JP2020161017A - セキュリティインシデント可視化システム - Google Patents

Abstract

【課題】通知されるセキュリティインシデント情報に対する原因調査結果をセキュリティ関係者に連絡する時間を短縮できるセキュリティインシデント可視化システムを提供する。【解決手段】システムにおいて、セキュリティインシデント可視化装置１０２は、検出装置から受付けたセキュリティインシデント情報のセキュリティインシデント詳細情報を作成する詳細化モジュール２０４と、セキュリティインシデント詳細情報に基づきセキュリティインシデント発生が外部または内部の不正か否か判定し、外部不正では報告先のセキュリティ担当者に対し、内部不正では報告先の内部不正者に対し、セキュリティインシデント詳細情報を通知する通知指示を生成する不正判定モジュール２０６と、を有する。さらに、不正判定モジュールの通知指示に応じて、セキュリティインシデント詳細情報を、報告先の通信端末装置へ音声パケットを介して発信する通知部１０３を有する。【選択図】図１

Description

本発明は、セキュリティインシデント検出装置に接続されるセキュリティインシデント可視化システムに関する。

情報セキュリティインシデント（単にセキュリティインシデントともいう）は、事業運営を危うくする確率および情報セキュリティを脅かす確率が高い、望まない又は予期しない単独若しくは一連の情報セキュリティ事象である（ISO/IEC 17799）。セキュリティインシデントはコンピュータの利用や情報管理、情報システム運用に関して保安（セキュリティ）上の脅威となる事象として知られている。セキュリティインシデントの例としては、コンピュータウイルスなどのマルウェア感染、不正アクセス、アカウント乗っ取り（なりすまし）、Webサイトの改竄、情報漏洩、迷惑メール送信、サービス拒否攻撃（DoS攻撃）、情報機器や記憶媒体の紛失や盗難などが含まれる。さらに、コンピュータの機器やシステムにおけるサービスや施設の停止、システム動作の不良、過負荷等もセキュリティインシデントに含まれる。

企業内にて構築されている各種コンピュータシステムにおけるサイバー攻撃がなされた場合や顧客情報や機密情報を外部に流出させてしまう等のセキュリティインシデントを防ぐために、セキュリティ事象の相関と標準化を行うセキュリティ情報管理（SIM:Security Information Management)の技術や、セキュリティ事象の収集と集約を行うセキュリティ事象管理SEM（SEM:Security Event Management)の技術や、これら技術を統合したセキュリティ情報事象管理（SIEM:Security Information and Event Management）の技術がセキュリティインシデント検出装置又はシステムとして用いられている。

例えば、セキュリティ情報事象管理用の装置又はシステム（以下、ＳＩＥＭ装置ともいう）は、コンピュータシステム内の接続されている種々のネットワーク装置のログデータを一元管理して、ログデータに基づいてリアルタイムに相関分析を実施し、脅威となりうる事象に対してセキュリティインシデント情報を担当者（オペレータ）の情報端末に表示する。担当者は、出力されたセキュリティインシデント情報を人手でセキュリティインシデントの有無の判断を実施する。さらにセキュリティインシデントと判断されると、関係各所に連絡を実施して各セキュリティ担当者がセキュリティインシデント対応を当該コンピュータシステムに施す。

特許文献１には、ＳＩＥＭ装置と共に使用される、ログデータを処理するためのロギングシステム装置が記載されている。

特表２０１０−５１５１７２号公報

従来のロギングシステム装置をＳＩＥＭ装置に導入しても、ＳＩＥＭ装置が脅威となる事象に対してセキュリティインシデント情報を通知する際に、セキュリティインシデント情報に対する原因調査をセキュリティ担当者が調査するため時間を要する。さらにセキュリティ担当者が調査結果をユーザに連絡するまで時間が掛かる問題があった。

本発明は、上記した従来の問題に鑑みなされたものであり、ＳＩＥＭ装置等のセキュリティインシデント検出装置から通知されるセキュリティインシデント情報に対する原因調査結果をセキュリティ関係者に連絡する時間を短縮できるセキュリティインシデント可視化システムを提供することを目的とする。

本発明のセキュリティインシデント可視化システムは、ネットワークを介してセキュリティインシデント検出装置からセキュリティインシデント情報を受付け、該セキュリティインシデント情報のセキュリティインシデント詳細情報を作成する詳細化モジュールと、
該セキュリティインシデント詳細情報に基づきセキュリティインシデント発生が外部不正または内部不正であるか判定し、外部不正であるとき報告先のセキュリティ担当者に対し、内部不正であるとき報告先の内部不正者に対し、該セキュリティインシデント詳細情報を通知する通知指示を生成するセキュリティインシデントの不正判定モジュールと、
前記セキュリティインシデントの不正判定モジュールの前記通知指示に応じて、該セキュリティインシデント詳細情報を、前記報告先の通信端末装置へ音声パケットを介して発信する通知部と、を有することを特徴とする。

本発明によれば、セキュリティインシデント検出装置から通知する脅威となる事象のセキュリティインシデントに対し、調査に必要な情報をピックアップするセキュリティインシデント可視化システムを用いて出力されたセキュリティインシデントの詳細情報を、関係者にメールで送付することで、原因調査時間を短縮できる。また、セキュリティ担当者がセキュリティインシデントに関係しているユーザにセキュリティインシデントの確認を行う連絡を自動化することで、セキュリティインシデントをユーザに確認するまでの時間が短縮することができ、事前に登録されているセキュリティ担当者の電話番号に自動発信することが実現できる。

本発明の実施例のセキュリティインシデント可視化システムを示すシステム構成例の概略説明図である。 本発明の実施例のセキュリティインシデント可視化システムの動作フロー図である。

以下、図面を参照しつつ本発明による実施例のセキュリティインシデント可視化システムの例について説明する。なお、本発明は以下の実施例に限定されるものではない。

［システム構成例］
図１は、本発明による実施例のセキュリティインシデント可視化システム１００を示すシステム構成例の概略説明図である。セキュリティインシデント可視化システム１００は、ＳＩＥＭ装置１０１とセキュリティインシデント可視化装置１０２とＶｏＩＰ（Voice over Internet Protocol）システム１０３を備える。

システム構成の一例は、セキュリティインシデント可視化システム１００にＩＰネットワークＩＰが接続され、このネットワークに接続された、複数のセキュリティ担当者１０５、１０６、１０７の通信端末装置１０５ａ、１０６ａ、１０７ａや、複数の監視対象装置１０７およびオペレータ端末１０８で構成される。ＩＰネットワークＩＰの接続形態は、インターネットの他、例えば電話回線網、衛星通信網等の公衆回線網や、各種のＬＡＮ（Local Area Network)、ＷＡＮ(Wide Area Network）、ＶｏＰＮ（Voice over Packet Network）のような専用回線網を含むものであってもよい。ＩＰネットワークＩＰは、通信端末装置である、固定電話機、携帯電話機、ＰＨＳ電話機、携帯通信端末およびパーソナルコンピュータに接続可能であるものである。なお、セキュリティインシデント可視化システム１００とＩＰネットワークＩＰとの接続には図示しないがファイアウォールを介している。

監視対象装置１０７は、ログ管理対象機器であり、例えば、ファイアウォールやＩＰＳ（Intrusion Prevention System）等のネットワーク機器や認証サーバ、Ｗｅｂプロキシサーバ、システム機器の権限を管理するサーバ（ＬＤＡＰサーバ（Lightweight Directory Access Protocol）、ＲＡＤＩＵＳサーバ（Remote Authentication Dial-in User Service（ダイヤルアップ接続ユーザ認証））等）、メールサーバ、データベースサーバ、ファイルサーバ、クライアントのＰＣ（Personal Computer）が含まれ、例えばサーバやスイッチやルータ等や侵入防止システム（IPS:Intrusion Prevention System）等も含まれる。

セキュリティ担当者１０５、１０６、１０７は、セキュリティインシデント情報に対して対応を監視対象装置１０７に実施する担当者である。キュリティ担当者１０５、１０６、１０７の情報は、セキュリティインシデント可視化装置１０２において、セキュリティインシデント対応スキルレベルに応じて事前登録され、該担当者の連絡先も事前登録されている。記憶部には、担当者情報ファイルが構築されている。セキュリティ担当者情報には、セキュリティ担当者ＩＤ、セキュリティ担当者名、担当システムやサーバのＩＤ、危険度に応じたスキルの程度評価、担当者を追跡できる連絡先として、電話番号、および、Ｅ−Ｍａｉｌアドレスが対応づけて登録されている。その他、Twitter（登録商標）、Facebook（登録商標）、Ｌｉｎｅ（登録商標）等のＳＮＳ（Social Network System）の担当者通知先が担当者情報ファイルに登録されていてもよい。

［ＳＩＥＭ装置］
ＳＩＥＭ装置１０１は、上記の監視対象装置１０７から出力されるログデータを収集し、これらを一元管理する。また、ＳＩＥＭ装置１０１は、収集したログデータを相関分析する。ＳＩＥＭ装置１０１は、ログデータの関分析の結果から脅威がある事象があるとセキュリティインシデント情報を発出する機能を有する。セキュリティインシデント情報２０１は、ＳＩＥＭ装置１０１が相関分析を実施した結果から脅威となる事象の警告情報である。ＳＩＥＭ装置１０１は、オペレータ端末１０８からのユーザの操作により監視対象装置１０７を監視し、保守し、操作する機能を備えていてもよい。

ＳＩＥＭ装置１０１のハードウエアは、ソフトウエアのオペレーティングシステム（Operating System:OS）で制御されるＳＩＥＭプログラムをインストールしたコンピュータ装置で実現することができる。ＳＩＥＭ装置１０１は、図示しないが、ＣＰＵ（Central Processing Unit）と、ＲＡＭ（Random Access Memory）、ハードディスク装置やＳＳＤ（solid state drive）等の記憶部を含み、記憶部に格納されたプログラムに従い、ＣＰＵがＲＡＭを一次記憶用ワークメモリとして利用して、ＳＩＥＭ処理を実行するコンピュータ装置である。ＳＩＥＭ装置１０１は、キーボード等の入出力装置や、ＵＳＢ（Universal Serial Bus）や、ネットワーク接続部（NIC:Network Interface Card）をも含む。なお、ＳＩＥＭ装置１０１は、セキュリティインシデント可視化装置１０２に直接接続されていてもよい。

［ＶｏＩＰシステム］
ＶｏＩＰシステム１０３は、後に詳述するセキュリティインシデント可視化装置１０２から出力される分析結果の種々情報を音声データとして音声パケット化して、セキュリティ担当者１０５、１０６、１０７に対応する通信端末装置１０５ａ、１０６ａ、１０７ａにＶｏＩＰ配信すなわち、セキュリティインシデント詳細情報２０２の情報を自動送信する通知部である。このように、セキュリティインシデント可視化システム１００は、ＳＩＥＭ装置１０１からのセキュリティインシデント情報２０１に基づき、危険度情報を含むセキュリティインシデント詳細情報２０２をセキュリティ担当者に送付することができる。

［セキュリティインシデント可視化装置］
セキュリティインシデント可視化装置１０２は、ＳＩＥＭ装置１０１から発出されたセキュリティインシデント情報２０１を受信して受付ける機能を有する（受付部１０２ａ）。セキュリティインシデント可視化装置１０２は、セキュリティインシデント情報を受付けてセキュリティインシデント通知内容を自動分析し、セキュリティインシデント詳細情報２０２等を可読な言語情報の結果として出力する通知機能を有する（データ変換部１０２ｂ）。データ変換部１０２ｂは、各種情報を、ＶｏＩＰシステム１０３を介して発信できるように音声データに変換し、セキュリティインシデント可視化装置１０２に接続されているＶｏＩＰシステム１０３に送信する通知部である。データ変換部１０２ｂは、セキュリティインシデント通知等の種々の情報を、ＩＰネットワークＩＰを介して報告先の通信端末装置１０５ａ、１０６ａ、１０７ａ等へ電子メール等として、又はプッシュ通知として、報告する機能をも有する。

セキュリティインシデント可視化装置１０２は、セキュリティインシデント情報の詳細化モジュール２０４と、セキュリティインシデント発生の原因が内部又は外部にあるかを判定するセキュリティインシデントの不正判定モジュール２０６とセキュリティインシデント対応結果登録モジュール２０７を有する。

セキュリティインシデント情報の詳細化モジュール２０４は、ＳＩＥＭ装置１０１から発報されたセキュリティインシデント情報から原因調査に必要な情報をピックアップし解析して生成された二次データであるセキュリティインシデント詳細情報２０２をまとめる機能を有する。セキュリティインシデント詳細情報２０２は、詳細化モジュール２０４で調査に必要な情報をピックアップしたセキュリティインシデントの詳細情報であり、不正判定モジュール２０６に入力される。

不正判定モジュール２０６は、詳細化モジュール２０４からのセキュリティインシデント詳細情報２０２に基づいてセキュリティインシデント発生が外部不正又は内部不正どちらに起因するかを判定する機能を有する。ここで、内部としては、例えば、企業またはそのグループ内の通信情報システムの範囲内が挙げられる。不正判定モジュール２０６は、内部不正と判定された場合に、セキュリティインシデント詳細情報を含むセキュリティインシデント内容確認情報２０３を生成すると共に、該セキュリティインシデント内容確認情報２０３を内部不正の対象者に通知する通知指示を生成し、データ変換部１０２ｂを介して送信する機能とを有する。

セキュリティインシデント対応結果登録モジュール２０７は、内部不正の対象者１０４がセキュリティインシデント詳細情報を含むセキュリティインシデント内容確認情報２０３からセキュリティインシデント情報を確認した結果を受付け、これを登録する機能と登録した結果を、データ変換部１０２ｂを介しＶｏＩＰシステム１０３に送信する機能とを有する。

（動作の説明）
図１の構成図を踏まえて、セキュリティインシデント可視化システム１００の動作を説明する。本実施例のセキュリティインシデント可視化システムの動作フロー図を図２に示す。

図２に示すように、ＳＩＥＭ装置１０１は、保持しているログデータから相関分析を実施する（Ｓ１）。ＳＩＥＭ装置１０１は、相関分析で脅威となる事象のセキュリティインシデントを検知（Ｓ２）するとセキュリティインシデント情報２０１の通知を実施する（Ｓ３）。

セキュリティインシデント情報２０１は、セキュリティインシデント可視化装置１０２の受付部１０２ａに入力される。受付部１０２ａは、セキュリティインシデント情報２０１を受付けて、セキュリティインシデント情報２０１を、セキュリティインシデント可視化装置１０２の内部にあるセキュリティインシデント情報の詳細化モジュール２０４に入力する。

当該詳細化モジュール２０４は、セキュリティインシデント情報から原因調査に必要な情報をピックアップし、セキュリティインシデント詳細情報の作成を行う（Ｓ４）。ピックアップするセキュリティインシデント詳細情報は、カスタマイズ可能とする。詳細化モジュール２０４で作成されたセキュリティインシデント詳細情報２０２は、不正判定モジュール２０６に入力する。

不正判定モジュール２０６は、セキュリティインシデント詳細情報２０２に基づいて内部不正か否か（外部不正又は内部不正）を判断する（Ｓ５）。そして、不正判定モジュール２０６は、セキュリティインシデント詳細情報２０２をＶｏＩＰシステム１０３に送信する。ＶｏＩＰシステム１０３は、事前に登録しているセキュリティ担当者１０５、１０６、１０７にセキュリティインシデント詳細情報を自動発信する（Ｓ６）。

不正判定モジュール２０６は、不正判定モジュール２０６で内部不正と判断した場合（内部不正の対象者１０４を発見した場合（Ｓ５：Ｙ））は、セキュリティインシデント内容確認情報２０３を生成して、これを内部不正の対象者１０４に連絡する（Ｓ７）。かかる連絡は、例えばプッシュ通知技術を用いて内部不正の対象者１０４の通信端末装置１０４ａに直接行ってもよい。通信端末装置１０４ａは、固定電話機、携帯電話機、ＰＨＳ電話機、携帯通信端末又はパーソナルコンピュータであってもよい。

内部不正の対象者１０４は、セキュリティインシデント詳細情報を含むセキュリティインシデント内容確認情報２０３の連絡を受信したら、セキュリティインシデント詳細情報からセキュリティインシデント発生の原因を確認して、セキュリティインシデント可視化装置１０２（セキュリティインシデント対応結果登録モジュール２０７）に確認結果２０８を送信する。

セキュリティインシデント可視化装置１０２（セキュリティインシデント対応結果登録モジュール２０７）は、確認結果２０８を受付けて登録すると、セキュリティインシデント内容確認結果情報２０９を生成し（Ｓ８）、これをＶｏＩＰシステム１０３に送信する。ＶｏＩＰシステム１０３は、セキュリティインシデント内容確認結果情報２０９を事前に登録しているセキュリティ担当者１０５、１０６、１０７に自動発信する（Ｓ９）。

上記のＳ５において、不正判定モジュール２０６が不正判定モジュール２０６で外部不正と判断した場合（Ｓ５：Ｎ）も、セキュリティインシデント詳細情報２０２がＶｏＩＰシステム１０３に送信され、ＶｏＩＰシステム１０３は、事前に登録しているセキュリティ担当者１０５、１０６、１０７にセキュリティインシデント詳細情報２０２を自動発信する（Ｓ１０）。すなわち、外部不正、内部不正に限らずセキュリティインシデント詳細情報２０２がセキュリティ担当者１０５、１０６、１０７に送信される。

このように、ＳＩＥＭ装置１０１から出力されるセキュリティインシデント情報２０１をキュリティインシデント可視化装置１０２やＶｏＩＰシステム１０３を使用して自動配信されることにより、セキュリティ担当者１０５、１０６、１０７に連絡するまでの時間、内部不正の場合の一次対応が大幅に短縮することができる。

以上の実施例によれば、ＳＩＥＭ装置１０１からのセキュリティインシデント情報を自動判定し、さらに自動判定をした結果をセキュリティ関係者に連絡するまでをシステム化することで、今まで、ＳＩＥＭ装置１０１からのセキュリティインシデント情報を人手で解析から連絡をするまでの工数を約５０％削減することができる。

本実施例によれば、ＳＩＥＭから通知されるセキュリティインシデントに対し、セキュリティインシデント可視化システムを設け、原因調査に必要なセキュリティインシデント詳細情報を作成し、セキュリティ担当者に自動で連絡できる。また、これによれば、セキュリティインシデント詳細情報からセキュリティインシデントに関係するユーザにセキュリティインシデントの確認メール等を送信することができ、さらにＶｏＩＰシステムを使用した自動発信システムを含むことができる故に情報セキュリティ関係者に連絡する時間を短縮できる。

本発明は、ＳＩＥＭ装置だけでなく、情報セキュリティに関するログデータとセキュリティインシデント情報を出力している全ての情報セキュリティ装置又はシステムに適応可能である。

１００…セキュリティインシデント可視化システム、１０１…ＳＩＥＭ装置、１０２…セキュリティインシデント可視化装置、１０７…監視対象装置、１０４ａ、１０５ａ、１０６ａ、１０７ａ…通信端末装置。

Claims (5)

1. ネットワークを介してセキュリティインシデント検出装置からセキュリティインシデント情報を受付け、該セキュリティインシデント情報のセキュリティインシデント詳細情報を作成する詳細化モジュールと、
   該セキュリティインシデント詳細情報に基づきセキュリティインシデント発生が外部不正または内部不正であるか判定し、外部不正であるとき報告先のセキュリティ担当者に対し、内部不正であるとき報告先の内部不正者に対し、該セキュリティインシデント詳細情報を通知する通知指示を生成するセキュリティインシデントの不正判定モジュールと、
   前記セキュリティインシデントの不正判定モジュールの前記通知指示に応じて、該セキュリティインシデント詳細情報を、前記報告先の通信端末装置へ音声パケットを介して発信する通知部と、を有することを特徴とするセキュリティインシデント可視化システム。
2. 前記セキュリティインシデントの不正判定モジュールは、前記内部不正者の通信端末装置へ前記通知部を介してセキュリティインシデント詳細情報を含むセキュリティインシデント内容確認情報を発信することを特徴とする請求項１に記載のセキュリティインシデント可視化システム。
3. 前記内部不正の対象者が前記セキュリティインシデント内容確認情報を確認した結果を受付けたときに、これを登録する機能と登録した結果を前記通知部に送る機能を有するセキュリティインシデント対応結果登録モジュールを有することを特徴とする請求項１又は２に記載のセキュリティインシデント可視化システム。
4. 前記報告先の通信端末装置は、固定電話機、携帯電話機、ＰＨＳ電話機、携帯通信端末又はパーソナルコンピュータであることを特徴とする請求項１乃至３のいずれか一項に記載のセキュリティインシデント可視化システム。
5. 前記通知部は、前記セキュリティインシデント詳細情報を、前記報告先の通信端末装置へ電子メールとして報告する機能を有することを特徴とする請求項１乃至４のいずれか一項に記載のセキュリティインシデント可視化システム。

Images