JP6712207B2 - セキュリティ対策装置 - Google Patents

Description

本発明は、セキュリティ対策装置に関する。

近年、民間企業や、防衛関連企業、公的機関を狙ったサイバー攻撃が顕在化しており、個人、企業、国家の利益や安全性を損なうリスクが高まっている。また、攻撃手法も益々巧妙化しており、標的型攻撃、特にＡＰＴ（Ａｄｖａｎｃｅｄ Ｐｅｒｓｉｓｔｅｎｔ Ｔｈｒｅａｔ）攻撃は、秘密裏に、そして執拗に長期間攻撃を続ける点で従来の脅威とは性質が異なっている。このような背景から、迅速な脅威の解析と、解析結果を利用した対策が重要となる。

例えば、特許文献１には、ＦＷ（ＦｉｒｅＷａｌｌ）からマルウェア候補サンプルを受信し、マルウェア候補サンプルがマルウェアであるか否かを判定するために仮想マシンを用いてマルウェア候補サンプルを解析し、マルウェア候補サンプルがマルウェアであると判定された場合にシグネチャを自動的に生成するシステムが開示されている。

特表２０１４−５１９１１３号公報

特許文献１の技術を用いることで、一般的なウイルス対策ソフトでは防ぐことができない未知のマルウェアによる攻撃を防ぐことができる。しかし、特許文献１ではユーザの業務を考慮していないため、生成されたシグネチャにユーザの業務に関連する通信が含まれている場合、当該通信が遮断されてしまい、業務に悪影響を与えてしまう可能性がある。

本発明は、上記事情に鑑みてなされたものであり、ユーザの業務に与える影響を考慮してセキュリティ対策を適用することを目的とする。

本発明の代表的な一例は、メモリと、前記メモリに格納されているプログラムに従って動作するプロセッサと、を含み、前記プロセッサは、業務システム内のユーザ装置に対する攻撃方法についての情報を取得し、攻撃方法とセキュリティ対策との関係を示す対策候補生成ルール情報を参照して、前記ユーザ装置に対する前記攻撃方法に対するセキュリティ対策候補を決定し、前記業務システムに前記セキュリティ対策候補を適用していない場合の前記ユーザ装置の活動についての情報と、前記業務システムに前記セキュリティ対策を適用している場合の前記ユーザ装置の活動についての情報との差に基づいて、前記セキュリティ対策による前記ユーザ装置への影響度を決定する、セキュリティ対策装置である。

本発明の一態様によれば、ユーザの業務に与える影響を考慮してセキュリティ対策を適用できる。

実施例１に係るセキュリティ対策装置の構成例を示す図である。 実施例１に係る攻撃方法生成ルールテーブルの一例を示す図である。 実施例１に係る対策候補生成ルールテーブルの一例を示す図である。 実施例１に係るコスト算出ルールテーブルの一例を示す図である。 実施例１に係る業務シナリオデータの一例を示す図である。 実施例１に係る模擬端末での解析結果の一例を示す図である。 実施例１に係るセキュリティベンダサイトの一例を示す図である。 実施例１に係るリスク提示画面の一例を示す図である。 実施例１に係る攻撃方法生成から対策候補のコスト算出までの一連の処理を示すフローチャートである。 実施例１に係る対策候補の適用から残存リスク提示までの一連の処理を示すフローチャートである。 実施例２に係るセキュリティ対策装置の構成例を示す図である。 実施例２に係るリスク提示画面の一例を示す図である。 実施例２に係る対策候補の適用から残存リスク提示までの一連の処理を示すフローチャートである。

以下、添付図面を参照して本発明の実施形態を説明する。本実施形態は本発明を実現するための一例に過ぎず、本発明の技術的範囲を限定するものではないことに注意すべきである。各図において共通の構成については同一の参照符号が付されている。

マルウェアの脅威に対応するためには、マルウェアの通信先を遮断するといったセキュリティ対策の適用が有効である。しかし、安易なセキュリティ対策の適用は、業務へ悪影響を与える可能性がある。このため、セキュリティ対策の適用は慎重に吟味する必要があり、セキュリティ対策の適用までに時間を要してしまうという課題があった。

そこで、以下の実施例は、ユーザの業務に与える影響を考慮してセキュリティ対策を適用するための技術を開示する。セキュリティ対策装置は、セキュリティ対策の適用が業務に与える影響度を算出する。これにより、業務への影響度を考慮して、セキュリティ対策を適用できる。例えば、影響度が許容できるものであれば、セキュリティ対策装置又はユーザは、セキュリティ対策を適用する。

これにより、ユーザがセキュリティ対策の適用を吟味する必要がなくなり、迅速な対応が可能となる。以下の実施例は、この点に着目し、セキュリティ対策の影響度算出処理、セキュリティ対策のコスト算出処理、セキュリティ対策の効果度算出処理及び、セキュリティ対策実行処理を開示する。

図１は、実施例１に係るセキュリティ対策装置の構成例を示す図である。実施例１に係るセキュリティ対策装置１０１は、ユーザが業務で利用する端末１２１と、業務サーバ１２２と、セキュリティ対策機能１２３とに、ネットワーク１２０を介して接続される。端末１２１はユーザ装置であり、端末１２１と、業務サーバ１２２と、セキュリティ対策機能１２３は、業務システム（ユーザシステム）の構成要素である。

セキュリティ対策機能１２３は、インターネット１２４と接続し、インターネット１２４はセキュリティベンダサイト（１又は複数のサーバからなる）１２５と接続される。さらに、セキュリティ対策装置１０１は、模擬端末１２６と、模擬業務サーバ１２７と、模擬セキュリティ対策機能１２９と、ネットワーク１２８を介して接続される。模擬セキュリティ対策機能１２９は模擬インターネット１３０と接続される。

セキュリティ対策機能１２３は、ネットワーク上でセキュリティ対策のサービスを提供するシステムであって、プログラムを実行する１以上の計算機を含んで構成される。セキュリティ対策機能１２３として、例えば、ＦＷやＩＤＳ（Ｉｎｔｒｕｓｉｏｎ Ｄｅｔｅｃｔｉｏｎ Ｓｙｓｔｅｍ）、ＩＰＳ（Ｉｎｔｒｕｓｉｏｎ Ｐｒｅｖｅｎｔｉｏｎ Ｓｙｓｔｅｍ）、ＷＡＦ（Ｗｅｂ Ａｐｐｌｉｃａｔｉｏｎ Ｆｉｒｅｗａｌｌ）、ＳＩＥＭ（Ｓｅｃｕｒｉｔｙ Ｉｎｆｏｒｍａｔｉｏｎ ａｎｄ Ｅｖｅｎｔ Ｍａｎａｇｅｍｅｎｔ）、プロキシ等が存在する。

また、図には例示していないが、端末１２１や、業務サーバ１２２のセキュリティ対策機能として、ウイルス対策ソフトによるセキュリティ対策機能や、ＨＩＤＳ（Ｈｏｓｔ−ｂａｓｅｄ ＩＤＳ）等が存在する。ここで挙げたセキュリティ対策機能は一例であり、セキュリティ対策機能１２３や、端末１２１、業務サーバ１２２は、ここで挙げていないセキュリティ対策機能を具備してもよいし、ここに挙げたセキュリティ対策機能の一部を具備してもよい。

セキュリティ対策機能は、後述する対策候補生成プログラム１０９が生成したセキュリティ対策候補を適用するための機能である。後述する対策候補生成プログラム１０９が、セキュリティ対策機能１２３や、端末１２１、業務サーバ１２２が具備していないセキュリティ対策機能を用いたセキュリティ対策候補を生成した場合、当該セキュリティ対策機能を新たに具備することとなる。なお、この場合、新たに具備するために必要となるコストも含めて、後述するコスト算出ルールテーブル１１８を作成する。

なお、模擬端末１２６は端末１２１を、模擬業務サーバ１２７は業務サーバ１２２を、模擬セキュリティ対策機能１２９はセキュリティ対策機能１２３を、模擬インターネット１３０はインターネット１２４を、それぞれ模擬する。模擬セキュリティ対策機能１２９及び模擬端末１２６は、それぞれ、ネットワークを介して通信を行う、プログラムを実行する１又は複数の計算機を含んで構成される。

セキュリティ対策装置１０１は、例えば、計算機構成を有する。セキュリティ対策装置１０１は、ＣＰＵ（Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）１０３と、ＣＰＵ１０３が処理を実行するために必要なデータを格納するためのメインメモリ１０４と、大量のデータを記憶する容量を持つハードディスクやフラッシュメモリなどの記憶装置１０５を含む。

セキュリティ対策装置１０１は、さらに、他装置と通信を行なうためのＩＦ（インタフェース）１０２と、キーボード、ディスプレイなどの入出力を行うための入出力装置１０６と、これらの各装置を接続する通信路１０７と、を含む通信路１０７は、例えば、バスやケーブルなどの情報伝達媒体である。

プロセッサであるＣＰＵ１０３は、メインメモリ１０４に格納されたプログラムを実行することで所定の機能を実現する。具体的には、ＣＰＵ１０３は、攻撃方法生成プログラム１０８を実行することによりマルウェアの攻撃方法を生成する。対策候補生成プログラム１０９を実行することにより、セキュリティ対策候補を生成する。コスト算出プログラム１１０を実行することにより、セキュリティ対策候補のコストを算出する。

ＣＰＵ１０３は、模擬対策実行プログラム１１１を実行することにより模擬端末１２６や模擬セキュリティ対策機能１２９へセキュリティ対策候補を適用する。対策効果度算出プログラム１１２を実行することにより、模擬端末１２６や模擬セキュリティ対策機能１２９へ適用したセキュリティ対策候補の効果度を算出する。

ＣＰＵ１０３は、対策影響度算出プログラム１１３を実行することにより、模擬端末１２６や模擬セキュリティ対策機能１２９へ適用したセキュリティ対策候補の影響度を算出する。対策実行プログラム１１４を実行することにより、端末１２１やセキュリティ対策機能１２３へセキュリティ対策候補へ適用する。リスク提示プログラム１１５を実行することにより、セキュリティ対策候補を適用した後に残る残存リスクを提示する。

なお、攻撃方法は、マルウェアを特徴付ける挙動であり、例えば、特定のファイルを生成する挙動や、特定のホストへアクセスする挙動等を示す。

記憶装置１０５は、ＣＰＵ１０３が使用するデータ（情報）、具体的には、攻撃方法生成ルールテーブル１１６、対策候補生成ルールテーブル１１７、コスト算出ルールテーブル１１８、及び業務シナリオデータ１１９を格納する。

攻撃方法生成ルールテーブル１１６は、マルウェアを模擬端末１２６で実行した際に得られる解析結果からマルウェアの攻撃方法を生成するためのルールを示す。対策候補生成ルールテーブル１１７は、攻撃方法から対策候補を生成するためのルールを示す。コスト算出ルールテーブル１１８は、対策候補のコストを算出するためのルールを示す。業務シナリオデータ１１９は、ユーザの業務を定義する。

上記の各プログラムやデータは、あらかじめメインメモリ１０４または非一時的記憶媒体を含む記憶装置１０５に格納されていてもよいし、必要な時に、入出力装置１０６から、または、ＩＦ１０２を介して他の装置から、インストール（ロード）されてもよい。メインメモリ１０４及び記憶装置１０５は、個別に又は一体でメモリを構成する。

図２は、攻撃方法生成ルールテーブル１１６の一例を示す図である。図２に示すように、攻撃方法生成ルールテーブル１１６は、ＩＤ２０１と、抽出条件２０２と、攻撃方法２０３と、を含んで構成される。

ＩＤ２０１は、攻撃方法生成ルールを一意に識別できる情報を表す。抽出条件２０２は、マルウェアの解析結果に対してパターンマッチを行う条件を示す。攻撃方法２０３は、抽出条件２０２にマッチした際に生成する攻撃方法を示す。なお、抽出条件２０２は、例えば正規表現を用いたパターンマッチのための条件を示す。また、攻撃方法２０３に含まれる「＄１」は、抽出条件２０２でマッチした部分文字列を表す。一種類の攻撃方法２０３は、１又は複数種類の抽出条件２０２と関連付けられる。

図２を用いて具体的に説明する。例えば、ＩＤ２０１が「１」の攻撃方法生成ルールは、「Ｆｉｒｅ Ｃｒｅａｔｅ （［＾￥．］＋￥．ｅｘｅ）」の抽出条件２０２、「実行ファイル生成：＄１」の攻撃方法２０３を有する。攻撃方法生成ルール「１」は、攻撃方法抽出条件２０２が示す正規表現にマッチした文字列がマルウェアの解析結果に含まれている場合に、攻撃方法「実行ファイル生成：（正規表現にマッチした部分文字列）．ｅｘｅ」を生成することを示す。

攻撃方法生成ルールテーブル１１６は、マルウェアの解析結果にマルウェアを特徴づける挙動が含まれている場合にその挙動を攻撃方法として抽出するためのルールを示す。攻撃方法生成ルールテーブル１１６は、例えば、ファイル操作に関する挙動、レジストリ操作に関する挙動、プロセス操作に関する挙動、ネットワーク操作に関する挙動等に関する抽出ルールを格納する。攻撃方法生成ルールテーブル１１６の情報は、管理者が必要に応じて、入力または更新してもよい。

攻撃方法生成ルールテーブル１１６は、ＣＰＵ１０３により実行される攻撃方法生成プログラム１０８が、マルウェアの解析結果から攻撃方法を生成する際に利用される。攻撃方法生成プログラム１０８の具体的な処理については、図９を用いて後述する。

図３は、対策候補生成ルールテーブル１１７の一例を示す図である。図３に示すように、対策候補生成ルールテーブル１１７は、ＩＤ３０１と、抽出条件３０２と、対策候補３０３と、を含んで構成される。

ＩＤ３０１は、対策候補生成ルールを一意に識別できる情報を表す。抽出条件３０２は、攻撃方法生成プログラム１０８によって生成された攻撃方法に対してパターンマッチを行う条件を示す。対策候補３０３は、攻撃方法が抽出条件３０２にマッチした際に生成する対策候補を示すす。抽出条件３０２は、例えば、正規表現を用いたパターンマッチのための条件を示す。対策候補３０３に含まれる＄１は、抽出条件３０２でマッチした部分文字列を示す。

図３を用いて具体的に説明する。例えば、ＩＤ３０１が「１」の対策候補生成ルールは、「ＨＴＴＰ通信：（．＋）」の抽出条件３０２、「＄１をＦＷで遮断」の対策候補３０３を有する。対策候補生成ルール「１」は、抽出条件３０２の正規表現にマッチした文字列が攻撃方法に含まれている場合、対策候補「（正規表現にマッチした部分文字列）をＦＷで遮断」を生成することを示す。

対策候補生成ルールテーブル１１７は、攻撃方法を基に対策候補を生成するためのルールを示す。対策候補生成ルールテーブル１１７は、例えば、セキュリティ対策機能１２３で実行可能なセキュリティ対策を示すルールを格納する。一つの攻撃方法（抽出条件３０２）に対して複数の対策候補３０３が生成されてもよい。一種類の対策候補３０３は、１又は複数種類の抽出条件３０２と関連付けられ、一種類の抽出条件３０２は、１又は複数種類の対策候補３０３と関連付けられる。対策候補生成ルールテーブル１１７の情報は、管理者が必要に応じて、入力または更新してもよい。

対策候補生成ルールテーブル１１７は、ＣＰＵ１０３により実行される対策候補生成プログラム１０９が、攻撃方法生成プログラム１０８によって生成された攻撃方法から対策候補を生成する際に利用される。対策候補生成プログラム１０９の具体的な処理については、図９を用いて後述する。

図４は、コスト算出ルールテーブル１１８の一例を示す図である。図４に示すように、コスト算出ルールテーブル１１８は、ＩＤ４０１と、抽出条件４０２と、コスト４０３と、を含んで構成される。

ＩＤ４０１は、コスト算出ルールを一意に識別できる情報を示す。抽出条件４０２は、対策候補に対してパターンマッチを行う条件を示す。コスト４０３は、抽出条件４０２にマッチした対策候補を実行する際のコストを示す。抽出条件４０２は、例えば正規表現を用いたパターンマッチのための条件を示す。対策候補の適用に、新たなセキュリティ対策機能が必要となる場合は、コスト４０３は、初期投資に必要となるコストも格納する。

図４を用いて具体的に説明する。例えば、ＩＤ４０１が「１」のコスト算出ルールは、抽出条件４０２「ＦＷで遮断」、コスト４０３「１０円」を有する。コスト算出ルール「１」は、抽出条件４０２の正規表現にマッチした文字列が対策候補に含まれている場合に、当該対策候補のコストが「１０円」であることを示す。

ＩＤ４０１が「３」のコスト算出ルールは、抽出条件４０２「ＨＩＤＳで削除」、コスト４０３「１０円（初期投資：１００万円）」を有する。コスト算出ルール「３」は、ＨＩＤＳのセキュリティ対策機能が、セキュリティ対策機能１２３や、端末１２１、業務サーバ１２２に具備されていないことを示し、ＨＩＤＳの導入に１００万円、ＨＩＤＳの運用費用に１件あたり、１０円かかることを示す。

コスト算出ルールテーブル１１８は、対策候補のコストを算出するためのルールを示す。コスト算出ルールテーブル１１８は、例えば、過去のセキュリティ対策に要した費用や、セキュリティ対策機能の総額から算出した単位機能あたりの費用値などを、コスト４０３として格納する。なお、コスト算出ルールテーブル１１８の情報は、管理者が必要に応じて、入力または更新してもよい。

コスト算出ルールテーブル１１８は、ＣＰＵ１０３により実行されるコスト算出プログラム１１０が、対策候補のコストを算出する際に利用される。コスト算出プログラム１１０の具体的な処理については、図９を用いて後述する。

図５は、業務シナリオデータ１１９の一例を示す図である。図５に示すように、業務シナリオデータ１１９は、ＩＤ５０１と、業務シナリオ５０２と、判定条件５０３と、を含んで構成される。

ＩＤ５０１は、業務シナリオデータを一意に識別できる情報を表す。業務シナリオ５０２は、ユーザが業務でおこなう活動を示す。判定条件５０３は、業務シナリオ５０２の各動作（各エントリ）が成功したか否かを判定する条件を示す。判定条件５０３は、業務シナリオを模擬端末１２６で実行した際の解析結果に対して、例えば、正規表現を用いたパターンマッチの条件を示す。

図５を用いて具体的に説明する。例えば、ＩＤ５０１が「１」の業務シナリオ要素は、「ブラウザＡ起動」の業務シナリオ５０２の動作、「Ｐｒｏｃｅｓｓ Ｓｔａｒｔ ｂｒｏｗｓｅｒＡ．ｅｘｅ Ｓｕｃｃｅｓｓ」の判定条件５０３を有する。業務シナリオデータ「１」は、ブラウザＡを起動するという業務要件があることを示し、判定条件５０３の正規表現が模擬端末１２６上での業務シナリオ実行結果に含まれているか否かで業務の成否を判定することを示す。業務シナリオデータ１１９の情報は、管理者が必要に応じて、入力または更新してもよい。

業務シナリオデータ１１９は、ＣＰＵ１０３により実行される対策影響度算出プログラム１１３が、対策候補を適用した際に業務に与える影響度を算出する際に利用される。対策影響度算出プログラム１１３の具体的な処理については、図１０を用いて後述する。

図６は、模擬端末１２６で、マルウェアや業務シナリオデータ１１９を実行した際の解析結果の一例を示す図である。解析結果は、模擬端末１２６の活動ログを示す。活動ログは、模擬端末１２６の活動についての情報であって、外部との通信を含むシステムの動作の情報を示す。図６に示すように、解析結果は、日時６０１と、タイプ６０２と、動作６０３と、対象６０４と、動作結果６０５を含んで構成される。

日時６０１は、ログが記録された日時を示し、タイプ６０２はログのタイプ（Ｐｒｏｃｅｓｓ、Ｆｉｌｅ、Ｒｅｇｉｓｔｏｒｙ、Ｎｅｔｗｏｒｋ等）を示す。操作６０３はタイプ６０２に関する操作（Ｓｔａｒｔ、Ｔｅｒｍｉｎａｔｅ、Ｃｒｅａｔｅ、Ｒｅａｄ、Ｗｒｉｔｅ、Ｄｅｌｅｔｅ、Ｓｅｔ、Ａｃｃｅｓｓ等）を示し、対象６０４は、操作６０３の対象を示す。さらに、動作結果６０５は、操作６０３の結果（Ｓｕｃｃｅｓｓ、Ｆａｉｌｕｒｅ等）を示す。

図６を用いて具体的に説明する。例えば、解析結果「２０１６／０１／０１ ００：００：００ Ｐｒｏｃｅｓｓ Ｓｔａｒｔ ｅｘａｍｐｌｅ．ｅｘｅ Ｓｕｃｃｅｓｓ」は、２０１６／０１／０１ ００：００：００に、ｅｘａｍｐｌｅ．ｅｘｅのプロセスが正常に開始したことを表す。

図７は、セキュリティベンダサイト１２５で公開されているマルウェア解析結果の一例を示す図である。図７に示すようにマルウェア解析結果は、マルウェアの概要７０１と、マルウェアに対する対策７０２と、を含んで構成される。

マルウェアの概要７０１は、マルウェアを識別するための情報を示し、ファイル名や、ハッシュ値、ファイルサイズなどが例である。対策７０２は、マルウェアを対策するための示を表し、パッチの適用や、ウイルス対策ソフトの更新などが例である。

図８は、残存リスク提示画像の一例を示す図である。残存リスク提示画像は、例えば、入出力装置１０６で提示される。残存リスク提示画像は、対策候補８０１と、対策効果度８０２と、影響度８０３と、コスト８０４と、残存リスク８０５と、適用状況８０６と、を含んで構成される。これにより、管理者又はユーザが、マルウェア及びその対策についての情報を知ることができる。なお、図８の情報の一部のみが提示されてもよい。

対策候補８０１は、マルウェアに対する対策候補を示す。対策効果度８０２は、対策候補８０１によるマルウェアの対策効果度を示す。影響度８０３は、対策候補８０１による業務への影響度を示す。コスト８０４は、対策候補８０１のコストを示す。残存リスク８０５は、対策候補８０１の適用後に残っているリスクを示す。適用状況８０６は、対策候補８０１の適用状況を示す。

次に、攻撃方法生成から対策候補のコスト算出まで処理を説明する。攻撃方法生成プログラム１０８は、マルウェアの攻撃方法を生成する。対策候補生成プログラム１０９は、攻撃方法から対策候補を生成する。コスト算出プログラム１１０が、対策候補のコストを算出する。

図９は、攻撃方法生成から対策候補のコスト算出までの一連の処理の流れを示すフローチャートである。図９に示すように、攻撃方法生成プログラム１０８は、ＣＰＵ１０３により実行され、ＩＦ２０１または、入出力装置１０６を介してマルウェアを受信する。攻撃方法生成プログラム１０８は、ＩＦ２０１を介して模擬端末１２６に当該マルウェアを送信し、模擬端末１２６上で当該マルウェアを実行する（ステップ９０１）。

攻撃方法生成プログラム１０８は、ＩＦ２０１を介して模擬端末１２６から解析結果を受信すると、解析結果に含まれるログと攻撃方法生成ルールテーブル１１６の抽出条件２０２とを比較する。該当する抽出条件２０２が存在すれば、攻撃方法生成プログラム１０８は、当該抽出条件２０２に該当する攻撃方法２０３を、攻撃方法として生成し（ステップ９０２）、対策候補生成プログラム１０９を起動する。

対策候補生成プログラム１０９は、ＣＰＵ１０３により実行される。対策候補生成プログラム１０９は、攻撃方法生成プログラム１０８が生成した攻撃方法を受信すると、受信した攻撃方法と、対策候補生成ルールテーブル１１７の抽出条件３０２とを比較する。該当する抽出条件３０２が存在すれば、対策候補生成プログラム１０９は、当該抽出条件３０２に該当する対策候補３０３を、対策候補として生成する（ステップ９０３）。

対策候補生成プログラム１０９は、攻撃方法生成プログラム１０８が受信したマルウェアを識別できる情報（例えばハッシュ値）を算出し、セキュリティベンダサイト１２５において、当該マルウェアに関する情報を検索する（ステップ９０４）。該当するマルウェアに関する情報が存在する場合（ステップ９０４：Ｙｅｓ）、対策候補生成プログラム１０９は、ステップ９０５に進む。該当するマルウェアに関する情報が存在しない場合（ステップ９０４：Ｎｏ）、対策候補生成プログラム１０９は、ステップ９０７に進み、コスト算出プログラム１１０を起動する。

対策候補生成プログラム１０９は、セキュリティベンダサイト１２５の情報からマルウェアに対するセキュリティ対策７０２の情報を取得し、対策候補を生成する（ステップ９０５）する。

対策候補生成プログラム１０９は、セキュリティベンダサイト１２５から取得したセキュリティ対策７０２の情報を対策候補生成ルールテーブル１１７に追加（更新）し（ステップ９０６）、コスト算出プログラム１１０を起動する。対策候補生成プログラム１０９は、古い情報を新たなセキュリティ対策７０２に変更することで、対策候補生成ルールテーブル１１７を更新してもよい。対策候補生成ルールの更新において、対策候補生成プログラム１０９は、管理者に更新する旨の確認を行ってもよい。対策候補生成ルールテーブル１１７を更新することで、より適切な対策を選択できる。

コスト算出プログラム１１０は、ＣＰＵ１０３により実行される。コスト算出プログラム１１０は、対策候補生成プログラム１０９が生成した対策候補を受信すると、受信した対策候補と、コスト算出ルールテーブル１１８の抽出条件４０２とを比較する。コスト算出プログラム１１０は、該当する抽出条件４０２のコスト４０３を、コストとして算出し（ステップ９０７）、処理を終了する。コストを算出することで、ユーザの状況により適した対策を選択することができる。

次に、対策候補の模擬端末への適用から残存リスク提示までの処理を説明する。模擬対策実行プログラム１１１は、対策候補を、模擬端末１２６、模擬業務サーバ１２７及び模擬セキュリティ対策機能１２９に適用する。対策効果度算出プログラム１１２は、対策候補の効果度を算出する。対策影響度算出プログラム１１３は、対策候補の影響度を算出する。対策実行プログラム１１４は、対策候補を、端末１２１、業務サーバ１２２及びセキュリティ対策機能１２３に適用する。リスク提示プログラム１１５は、残存リスクを提示する。

図１０は、対策候補の模擬端末への適用から残存リスク提示までの一連の処理の流れを示すフローチャートである。図１０に示すように、模擬対策実行プログラム１１１は、ＣＰＵ１０３により実行される。模擬対策実行プログラム１１１は、対策候補生成プログラム１０９が生成した対策候補の中から、まだ模擬端末１２６、模擬業務サーバ１２７及び模擬セキュリティ対策機能１２９に適用していない対策候補があるか判定する（ステップ１００１）。

適用していない対策候補がある場合（ステップ１００１：Ｎｏ）、模擬対策実行プログラム１１１は、適用する一つの対策候補を抽出し、ステップ１００２に進む。すべての対策候補を適用していれば（ステップ１００１：Ｙｅｓ）、模擬対策実行プログラム１１１は、ステップ１００９に進み、対策実行プログラム１１４を起動する。

模擬対策実行プログラム１１１は、ステップ１００１で抽出した対策候補を、模擬端末１２６、模擬業務サーバ１２７及び模擬セキュリティ対策機能１２９に適用し（ステップ１００２）、対策効果度算出プログラム１１２を起動する。

対策効果度算出プログラム１１２は、ＣＰＵ１０３により実行される。対策効果度算出プログラム１１２は、攻撃方法生成プログラム１０８が受信したマルウェアを、ＩＦ２０１を介して模擬端末１２６に送信し、模擬端末１２６上で当該マルウェアを実行する（ステップ１００３）。

対策効果度算出プログラム１１２は、ＩＦ２０１を介して模擬端末１２６から解析結果を受信すると、解析結果に含まれるログと、攻撃方法生成ルールテーブル１１６の抽出条件２０２とを比較する。該当する抽出条件２０２が存在すれば、対策効果度算出プログラム１１２は、当該抽出条件２０２に該当する攻撃方法２０３を対策候補適用後の攻撃方法として生成する。

さらに、対策効果度算出プログラム１１２は、対策候補適用後に生成された攻撃方法と、ステップ９０２で生成した攻撃方法とを比較し、対策効果度を算出する（ステップ１００４）。

対策効果度は、対策候補の適用によって、攻撃方法をどの程度減らせたかを表す。例えば、対策候補適用前の攻撃方法の数が５で、対策候補適用後の攻撃方法の数が４である場合、対策効果度は８０％（４／５）と計算されてもよい。計算方法はシステム設計に応じて決定される。対策効果度が高い対策候補ほど、マルウェアの振る舞いを効果的に抑えることができるより良い対策候補である。対策効果度の算出は省略してもよい。

また、ステップ１００４で生成された対策候補適用後の攻撃方法は、対策候補を適用しても防げなかったマルウェアの活動を示し、これを残存リスクと定義する。

対策効果度算出プログラム１１２は、模擬端末１２６を、マルウェア実行前の環境に復元し（ステップ１００５）、対策影響度算出プログラム１１３を起動する。上記対策候補は、適用されたままである。マルウェア実行前の環境で対策影響度を算出することで、対策候補による影響をより適切に決定できる。対策影響度算出プログラム１１３は、ＣＰＵ１０３により実行される。業務シナリオデータ１１９に格納された業務シナリオ５０２を模擬端末１２６上で実行する（ステップ１００６）。なお、業務シナリオ５０２の実行にあたって、ユーザの代わりに業務シナリオデータ１１９に格納されている業務シナリオ５０２を順番に実行する実行ファイルを生成し、当該実行ファイルを模擬端末１２６上で実行してもよい。

対策影響度算出プログラム１１３は、ＩＦ２０１を介して模擬端末１２６から解析結果を受信すると、解析結果に含まれるログと、業務シナリオデータ１１９の判定条件５０３とを比較する。該当する判定条件５０３が存在すれば、対策影響度算出プログラム１１３は、当該判定条件５０３に該当する業務シナリオ５０２が正常に行われたと判定する。

さらに、対策影響度算出プログラム１１３は、業務シナリオデータ１１９に含まれる業務シナリオ５０２のうち正常に行われたと判定されなかった業務シナリオ５０２の割合を、影響度として算出する（ステップ１００７）。影響度は、対策候補の適用によって、業務シナリオがどの程度失敗するかを表す。

例えば、業務シナリオデータ１１９に含まれる業務シナリオ５０２の数が５で、対策候補適用によって失敗した業務シナリオ５０２の数が４である場合、影響度は８０％（４／５）と計算されてもよい。計算方法はシステム設計に応じて決定される。影響度が高い対策候補ほど、業務に与える影響が大きい対策候補である。

対策影響度算出プログラム１１３は、模擬端末１２６、模擬業務サーバ１２７、模擬セキュリティ対策機能１２９を、対策候補適用前の環境に復元し、ステップ１００１に進む（ステップ１００８）。

対策実行プログラム１１４は、ＣＰＵ１０３により実行される。対策候補の中に、予め定められた許容コスト以下、かつ予め定められた許容影響度以下の対策候補が存在するか判定する（ステップ１００９）。当該条件を満たす対策候補が存在する場合（ステップ１００９：Ｙｅｓ）、対策実行プログラム１１４は、ステップ１０１０に進む。当該条件を満たす対策候補が存在しなければ（ステップ１００９：Ｎｏ）、対策実行プログラム１１４は、ステップ１０１１に進み、リスク提示プログラム１１５を起動する（ステップ１００９）。

許容コストは、組織がセキュリティ対策にかけることができる金額を表し、許容影響度は、組織がセキュリティ対策によって業務に出る影響をどの程度許容できるかを表す。

例えば、許容コストは、年間のセキュリティ対策に利用できる総額から、現在適用しているセキュリティ対策のコストを減算することで、予め算出される。例えば、業務が止められない組織では許容影響度は低くなり、セキュリティ対策をしないことにより発生する被害に敏感な組織では、許容影響度は高くなる。コスト及び影響度の許容度にセキュリティ対策を選択することで、ユーザの状況に応じたより適切なセキュリティ対策を選択できる。

対策実行プログラム１１４は、ステップ１００９で条件を満たしている対策候補を、端末１２１、業務サーバ１２２及びセキュリティ対策機能１２３に適用し、リスク提示プログラム１１５を起動する（ステップ１０１０）。該当する複数の対策候補が存在する場合には、例えば、効果度が最も高い対策候補が適用される。

リスク提示プログラム１１５は、ＣＰＵ１０３により実行され、図８に例示するリスク提示画像を出力し、処理を終了する（ステップ１０１１）。

以下において、ステップ９０１からステップ９０７、ステップ１００１からステップ１０１１までの処理の流れを、具体例を用いて説明する。以下の具体例は、組織に届いたマルウェアを模擬端末１２６で解析し、当該マルウェアに対する対策を行う。

攻撃方法生成プログラム１０８は、ＩＦ２０１または、入出力装置１０６を介してマルウェアを受信する。攻撃方法生成プログラム１０８は、ＩＦ２０１を介して模擬端末１２６に当該マルウェアを送信し、模擬端末１２６上で当該マルウェアを実行する（ステップ９０１）。

本具体例において、管理者は組織に届いたマルウェアを入出力装置１０６を介して攻撃方法生成プログラム１０８に送信する。この時、攻撃方法生成プログラム１０８は受信したマルウェアを模擬端末１２６に送信し、模擬端末１２６上でマルウェアを実行する。

攻撃方法生成プログラム１０８は、ＩＦ２０１を介して模擬端末１２６から解析結果を受信すると、解析結果に含まれるログと攻撃方法生成ルールテーブル１１６の抽出条件２０２とを比較する。該当する抽出条件２０２が存在すれば、攻撃方法生成プログラム１０８は、当該抽出条件２０２に該当する攻撃方法２０３を攻撃方法として生成し（ステップ９０２）、対策候補生成プログラム１０９を起動する。

本具体例において、模擬端末１２６から図６に例示する解析結果を受信したとする。この時、２行目のログ「２０１６／０１／０１ ００：００：１０ Ｆｉｌｅ Ｃｒｅａｔｅ ＦｉｌｅＡ．ｅｘｅ Ｓｕｃｃｅｓｓ」は、ＩＤ２０１が「１」、抽出条件２０２が「Ｆｉｌｅ Ｃｒｅａｔｅ （［＾￥．］＋￥．ｅｘｅ）」、攻撃方法２０３が「実行ファイル生成：＄１」の抽出条件２０２に該当する。従って、「実行ファイル生成：ＦｉｌｅＡ．ｅｘｅ」が、攻撃方法として生成される。

同様に、４行目のログ「２０１６／０１／０１ ００：００：１１ Ｒｅｇｉｓｔｒｙ Ｓｅｔ ＨＫＬＭ￥ＣｕｒｒｅｎｔＶｅｒｓｉｏｎ￥Ｒｕｎ ＦｉｌｅＡ．ｅｘｅ Ｓｕｃｃｅｓｓ」から攻撃方法「自動起動：ＦｉｌｅＡ．ｅｘｅ」が生成される。

さらに、５行目のログ「２０１６／０１／０１ ００：００：１２ Ｎｅｔｗｏｒｋ Ａｃｃｅｓｓ ｈｔｔｐ：／／ｅｘａｍｐｌｅ．ｃｏｍ Ｓｕｃｃｅｓｓ」から攻撃方法「ＨＴＴＰ通信：ｅｘａｍｐｌｅ．ｃｏｍ」が生成される。

さらに、７行目のログ「２０１６／０１／０１ ００：００：１４ Ｆｉｌｅ Ｃｒｅａｔｅ ＦｉｌｅＢ．ｅｘｅ Ｓｕｃｃｅｓｓ」から攻撃方法「実行ファイル生成：ＦｉｌｅＢ．ｅｘｅ」が生成される。

対策候補生成プログラム１０９は、攻撃方法生成プログラム１０８が生成した攻撃方法を受信すると、受信した攻撃方法と、対策候補生成ルールテーブル１１７の抽出条件３０２とを比較する。該当する抽出条件３０２が存在すれば、対策候補生成プログラム１０９は、当該抽出条件３０２に該当する対策候補３０３を対策候補として生成する（ステップ９０３）。

本具体例において、生成された攻撃方法「実行ファイル生成：ＦｉｌｅＡ．ｅｘｅ」は、ＩＤ３０１が「３」、抽出条件３０２が「実行ファイル生成：（．＋）」、対策候補３０３が「＄１をＨＩＤＳで削除」の抽出条件３０２に該当する。従って、「ＦｉｌｅＡ．ｅｘｅをＨＩＤＳで削除」が対策候補として生成される。

同様に、攻撃方法「ＨＴＴＰ通信：ｅｘａｍｐｌｅ．ｃｏｍ」から対策候補「ｅｘａｍｐｌｅ．ｃｏｍをＦＷで遮断」と、対策候補「ｅｘａｍｐｌｅ．ｃｏｍ宛て通信に追加認証」が生成される。さらに、攻撃方法「実行ファイル生成：ＦｉｌｅＢ．ｅｘｅ」から、対策候補「ＦｉｌｅＢ．ｅｘｅをＨＩＤＳで削除」が生成される。

対策候補生成プログラム１０９は、攻撃方法生成プログラム１０８が受信したマルウェアを識別できる情報（例えばハッシュ値）を算出し、セキュリティベンダサイト１２５において、当該マルウェアに関する情報を検索する。該当するマルウェアに関する情報が存在する場合、対策候補生成プログラム１０９は、ステップ９０５に進む。該当するマルウェアに関する情報が存在しない場合、対策候補生成プログラム１０９は、ステップ９０７に進み、コスト算出プログラム１１０を起動する。

本具体例において、組織に届いたマルウェアのハッシュ値が「０１２３４５６７８９．．．」とする。また、セキュリティベンダサイト１２５に、図７に例示する、ハッシュ値「０１２３４５６７８９．．．」に関する情報が存在するとする。この時、対策候補生成プログラム１０９は、ステップ９０５に進む。

対策候補生成プログラム１０９は、セキュリティベンダサイト１２５の情報からマルウェアに対するセキュリティ対策７０２の情報を取得し、対策候補として生成する（ステップ９０５）。この時、セキュリティベンダサイト１２５の対策７０２から、対策候補「パッチＡ適用」と、対策候補「ＵｓｅｒＡｇｅｎｔ（ｂｏｔ）遮断」と、対策候補「ウイルス対策ソフトを更新」と、が生成される。

対策候補生成プログラム１０９は、セキュリティベンダサイト１２５から取得したセキュリティ対策７０２の情報を対策候補生成ルールテーブル１１７に追加し（ステップ９０６）、コスト算出プログラム１１０を起動する。

ここで、対策候補「パッチＡ適用」を対策候補生成ルールテーブル１１７に追加する例を説明する。ＩＤ３０１が、現在の対策候補生成ルールテーブル１１７に存在しないＩＤ（例えば「５」）、抽出条件３０２が「ハッシュ値：０１２３４５６７８９．．．」、対策候補３０３が「パッチＡ適用」の対策候補生成ルールが、対策候補生成ルールテーブル１１７に格納される。

なお、抽出条件３０２が「ハッシュ値：」で始まる対策候補生図成ルールは、マルウェアのハッシュ値を算出し、抽出条件３０２に格納されたハッシュ値と比較し、該当する抽出条件３０２が存在すれば、対応する対策候補３０３を対策候補として生成することを示す。

同様に、対策候補「ＵｓｅｒＡｇｅｎｔ（ｂｏｔ）遮断」からは、ＩＤ３０１が「６」、抽出条件３０２が「ハッシュ値：０１２３４５６７８９．．．」、対策候補３０３が「ＵｓｅｒＡｇｅｎｔ（ｂｏｔ）遮断」の対策候補生成ルールが、対策候補「ウイルス対策ソフトを更新」からは、ＩＤ３０１が「７」、抽出条件３０２が「ハッシュ値：０１２３４５６７８９．．．」、対策候補３０３が「ウイルス対策ソフトを更新」の対策候補生成ルールが生成され、対策候補生成ルールテーブル１１７に格納される。

コスト算出プログラム１１０は、対策候補生成プログラム１０９が生成した対策候補を受信すると、受信した対策候補と、コスト算出ルールテーブル１１８の抽出条件４０２とを比較する。コスト算出プログラム１１０は、該当する抽出条件４０２のコスト４０３を、コストとして算出する（ステップ９０７）。

本具体例において、生成された対策候補「ＦｉｌｅＡ．ｅｘｅをＨＩＤＳで削除」は、ＩＤ４０１が「３」、抽出条件４０２が「ＨＩＤＳで削除」、コスト４０３が「１０円（初期投資：１００万円）」の抽出条件４０２に該当する。従って、対策候補「ＦｉｌｅＡ．ｅｘｅをＨＩＤＳで削除」のコストとして、「１０円（初期投資：１００万円）」が算出される。

同様に、対策候補「ｅｘａｍｐｌｅ．ｃｏｍをＦＷで遮断」のコストとして「１０円」が算出され、対策候補「ｅｘａｍｐｌｅ．ｃｏｍ宛て通信に追加認証」のコストとして「１０円」が算出される。さらに、対策候補「ＦｉｌｅＢ．ｅｘｅをＨＩＤＳで削除」のコストとして「１０円（初期投資：１００万円）」が算出され、対策候補「パッチＡ適用」のコストとして「１０万円」が算出される。さらに、対策候補「ＵｓｅｒＡｇｅｎｔ（ｂｏｔ）遮断」のコストとして「１００円」が算出され、対策候補「ウイルス対策ソフトを更新」のコストとして「１００円」が算出される。

対策候補に該当するコスト算出ルールが存在しない場合、コスト算出プログラム１１０は、管理者にコスト算出ルールを追加させてもよいし、類似する対策候補のコスト算出ルールを用いてコストを算出してもよい。コストが不明なまま以下の処理が続行されてもよい。

模擬対策実行プログラム１１１は、対策候補生成プログラム１０９が生成した対策候補の中から、まだ模擬端末１２６、模擬業務サーバ１２７、模擬セキュリティ対策機能１２９に適用していない対策候補を抽出し、ステップ１００２に進む。すべての対策候補が適用済みであれば、模擬対策実行プログラム１１１は、ステップ１００９に進み、対策実行プログラム１１４を起動する（ステップ１００１）。

本具体例において、生成されたいずれの対策候補も適用されていないため、模擬対策実行プログラム１１１は、ステップ１００２に進む。ここで、模擬対策実行プログラム１１１が、適用する対策候補として「ｅｘａｍｐｌｅ．ｃｏｍをＦＷで遮断」を抽出したとする。

模擬対策実行プログラム１１１は、ステップ１００１で抽出した対策候補を、模擬端末１２６、模擬業務サーバ１２７及び模擬セキュリティ対策機能１２９に適用し（ステップ１００２）、対策効果度算出プログラム１１２を起動する。本具体例において、模擬対策実行プログラム１１１は、対策候補「ｅｘａｍｐｌｅ．ｃｏｍをＦＷで遮断」を模擬環境に適用する。具体的には、模擬対策実行プログラム１１１は、模擬セキュリティ対策機能１２９に存在するＦＷに、ｅｘａｍｐｌｅ．ｃｏｍ宛ての通信を遮断するルールを追加する。

対策効果度算出プログラム１１２は、攻撃方法生成プログラム１０８が受信したマルウェアを、ＩＦ２０１を介して模擬端末１２６に送信し、模擬端末１２６上で当該マルウェアを実行する（ステップ１００３）。本具体例において、対策効果度算出プログラム１１２は、組織に届いたマルウェアを模擬端末１２６に送信し、模擬端末１２６上でマルウェアを実行する。

対策効果度算出プログラム１１２は、ＩＦ２０１を介して模擬端末１２６から解析結果を受信すると、解析結果に含まれるログと、攻撃方法生成ルールテーブル１１６の抽出条件２０２とを比較する。該当する抽出条件２０２が存在すれば、対策効果度算出プログラム１１２は、当該抽出条件２０２に該当する攻撃方法２０３を対策候補適用後の攻撃方法として生成する。

さらに対策効果度算出プログラム１１２は、対策候補適用によって生成された攻撃方法と、ステップ９０２で生成した攻撃方法とを比較し、対策効果度を算出する（ステップ１００４）。

ここで、模擬端末１２６から、１行目が「Ｐｒｏｃｅｓｓ Ｓｔａｒｔ ｅｘａｍｐｌｅ．ｅｘｅ Ｓｕｃｃｅｓｓ」、２行目が「Ｆｉｌｅ Ｃｒｅａｔｅ ＦｉｌｅＡ．ｅｘｅ Ｓｕｃｃｅｓｓ」、３行目が「Ｐｒｏｃｅｓｓ Ｓｔａｒｔ ＦｉｌｅＡ．ｅｘｅ Ｓｕｃｃｅｓｓ」、４行目が「Ｒｅｇｉｓｔｒｙ Ｓｅｔ ＨＫＬＭ￥ＣｕｒｒｅｎｔＶｅｒｓｉｏｎ￥Ｒｕｎ ＦｉｌｅＡ．ｅｘｅ Ｓｕｃｃｅｓｓ」の解析結果を受信したとする。なお、説明を簡単にするため、解析結果に含まれる解析日時６０１の情報は省略した。

本具体例において、２行目のログ「Ｆｉｌｅ Ｃｒｅａｔｅ ＦｉｌｅＡ．ｅｘｅ Ｓｕｃｃｅｓｓ」から対策候補適用後の攻撃方法「実行ファイル生成：ＦｉｌｅＡ．ｅｘｅ」が生成される。４行目のログ「Ｒｅｇｉｓｔｒｙ Ｓｅｔ ＨＫＬＭ￥ＣｕｒｒｅｎｔＶｅｒｓｉｏｎ￥Ｒｕｎ ＦｉｌｅＡ．ｅｘｅ Ｓｕｃｃｅｓｓ」から対策候補適用後の攻撃方法「自動起動：ＦｉｌｅＡ．ｅｘｅ」が生成される。

さらに、対策効果度算出プログラム１１２は、生成した対策候補適用後の攻撃方法と、ステップ９０２で生成した攻撃方法と、を比較する。対策効果度算出プログラム１１２は、対策効果度として５０％（対策候補適用後の攻撃方法の数（２）／対策候補適用前の攻撃方法の数（４））を算出する。

対策効果度算出プログラム１１２は、模擬端末１２６を、マルウェア実行前の環境に復元し（ステップ１００５）、対策影響度算出プログラム１１３を起動する。本具体例において、模擬端末１２６の復元は、例えば、仮想環境のスナップショット機能を用いたり、マルウェア実行前の模擬端末１２６のバックアップされているハードディスクイメージを用いてもよい。

対策影響度算出プログラム１１３は、業務シナリオデータ１１９に格納された業務シナリオ５０２を模擬端末１２６上で実行する（ステップ１００６）。

本具体例において、まず、ＩＤ５０１が「１」、業務シナリオ５０２が「ブラウザＡ起動」の業務シナリオが、模擬端末１２６上で実行される。次に、ＩＤ５０１が「２」、業務シナリオ５０２が「業務サーバへアクセス」の業務シナリオが、模擬端末１２６上で実行される。以下、同様に、ＩＤ５０１が「４」、業務シナリオ５０２が「業務サーバへ情報書込み」の業務シナリオまで実行される。

対策影響度算出プログラム１１３は、ＩＦ２０１を介して模擬端末１２６から解析結果を受信すると、解析結果に含まれるログと、業務シナリオデータ１１９の判定条件５０３とを比較する。該当する判定条件５０３が存在すれば、対策影響度算出プログラム１１３は、当該判定条件５０３に該当する業務シナリオ５０２が正常に行われたと判定する。

さらに、対策影響度算出プログラム１１３は、業務シナリオデータ１１９に含まれる業務シナリオ５０２のうち正常に行われたと判定されなかった業務シナリオ５０２の割合を影響度として算出する（ステップ１００７）。

ここで、端末１２６１行目が「Ｐｒｏｃｅｓｓ Ｓｔａｒｔ ｂｒｏｗｅｒＡ．ｅｘｅ Ｓｕｃｃｅｓｓ」、２行目が「Ｎｅｔｗｏｒｋ Ａｃｃｅｓｓ ｈｔｔｐ：／／ｇｙｏｕｍｕ／ Ｓｕｃｃｅｓｓ」、３行目が「Ｆｉｌｅ Ｃｒｅａｔｅ ￥￥ｇｙｏｕｍｕ￥ＦｉｌｅＡ．ｄｏｃ Ｓｕｃｃｅｓｓ」の解析結果を、模擬端末１２６から受信したとする。説明を簡単にするため、解析結果に含まれる解析日時６０１の情報は省略した。

また、業務ＩＤ５０１が「３」、業務シナリオ５０２が「ｅｘａｍｐｌｅ．ｃｏｍへアクセス」の業務シナリオは、対策候補「ｅｘａｍｐｌｅ．ｃｏｍをＦＷで遮断」の適用により失敗し、解析結果には記録されなかったとする。

１行目のログ「Ｐｒｏｃｅｓｓ Ｓｔａｒｔ ｂｒｏｗｅｒＡ．ｅｘｅ Ｓｕｃｃｅｓｓ」から、業務シナリオ５０２が「ブラウザＡ起動」の業務シナリオが正常に行われたと判定される。

２行目のログ「Ｎｅｔｗｏｒｋ Ａｃｃｅｓｓ ｈｔｔｐ：／／ｇｙｏｕｍｕ／ Ｓｕｃｃｅｓｓ」から、業務シナリオ５０２が「業務サーバへアクセス」の業務シナリオが正常に行われたと判定される。

３行目のログ「Ｆｉｌｅ Ｃｒｅａｔｅ ￥￥ｇｙｏｕｍｕ￥ＦｉｌｅＡ．ｄｏｃ Ｓｕｃｃｅｓｓ」から、業務シナリオ５０２が「業務サーバへの情報書込み」の業務シナリオが正常に行われたと判定される。

さらに、対策影響度算出プログラム１１３は、正常に行われたと判定されなかった業務シナリオと、ステップ１００６で実行したシナリオと、を比較し影響度を算出する。算出される影響度は、２５％（正常に行われれなかったと判定された業務シナリオの数（１）／実行した業務シナリオの数（４））である。

ここまでの処理により、対策候補「ｅｘａｍｐｌｅ．ｃｏｍをＦＷで遮断」のコストは「１０円」、対策効果度は「５０％」、影響度は「２５％」であると判定される。

対策影響度算出プログラム１１３は、模擬端末１２６、模擬業務サーバ１２７及び模擬セキュリティ対策機能１２９を、対策候補適用前の環境に復元し、ステップ１００１に進む（ステップ１００８）。

本具体例において、対策影響度算出プログラム１１３は、模擬セキュリティ対策機能１２９に適用した対策候補「ｅｘａｍｐｌｅ．ｃｏｍをＦＷで遮断」の設定を解除する。模擬端末１２６の復元は、例えば、仮想環境のスナップショット機能を用いたり、マルウェア実行前の模擬端末１２６のバックアップされているハードディスクイメージを用いてもよい。

模擬対策実行プログラム１１１は、対策候補生成プログラム１０９が生成した対策候補の中から、まだ模擬端末１２６、模擬業務サーバ１２７及び模擬セキュリティ対策機能１２９に適用していない対策候補を抽出し、ステップ１００２に進む。すべての対策候補が適用済みであれば、模擬対策実行プログラム１１１はステップ１００９に進み、対策実行プログラム１１４を起動する（ステップ１００１）。

本具体例において、対策候補「ＦｉｌｅＡ．ｅｘｅをＨＩＤＳで削除」、「ｅｘａｍｐｌｅ．ｃｏｍ宛て通信に追加認証」、「ＦｉｌｅＢ．ｅｘｅをＨＩＤＳで削除」、「パッチＡ適用」、「ＵｓｅｒＡｇｅｎｔ（ｂｏｔ）遮断」、「ウイルス対策ソフトを更新」が、適用されていない。従って、模擬対策実行プログラム１１１は、ステップ１００２に進む。なお、ここでは説明を省略するが、上記対策候補に関してもステップ１００２からステップ１００８の処理が適用される。

対策実行プログラム１１４は、対策候補の中に、予め定められた許容コスト以下、かつ予め定められた許容影響度以下の対策候補が存在すれば、ステップ１０１０に進む。当該条件を満たす対策候補が存在しなければ、対策実行プログラム１１４は、ステップ１０１１に進み、リスク提示プログラム１１５を起動する（ステップ１００９）。

ここで、予め定められた許容コストが１万円で、予め定められた許容影響度が２０％だとする。また、対策候補「ＵｓｅｒＡｇｅｎｔ（ｂｏｔ）遮断」が当該許容コストと許容影響度を満たすとする。この時、対策実行プログラム１１４は、ステップ１０１０に進む。

対策実行プログラム１１４は、ステップ１００９で該当した対策候補を端末１２１、業務サーバ１２２、セキュリティ対策機能１２３に適用し、リスク提示プログラム１１５を起動する（ステップ１０１０）。本具体例において、対策実行プログラム１１４は、対策候補「ＵｓｅｒＡｇｅｎｔ（ｂｏｔ）遮断」をセキュリティ対策機能１２３に適用する。

リスク提示プログラム１１５は、図８に例示するリスク提示画面を入出力装置１０６に出力し、処理を終了する（ステップ１０１１）。

このように、本実施例では、セキュリティ対策による業務への影響度と、セキュリティ対策による対策の効果度と、セキュリティ対策のコストと、に基づき、セキュリティ対策を適用することが可能となる。

なお、本実施例の一部を以下のように変更してもよい。攻撃方法生成ルールテーブル１１６に重みをつけてもよい。例えば、脅威の大きな攻撃方法や、組織が優先して防ぎたい攻撃方法に重みをつける。これにより、脅威の大きさや、優先度に応じた対策の効果度を算出することが可能となる。

また、マルウェアの解析結果から攻撃方法を生成することでより具体的な表が可能となるが、マルウェアの解析結果とこなる情報を参照して、攻撃方法を生成してもよい。例えば、ＤｏＳ攻撃や、ＳＱＬインジェクション等の攻撃を、攻撃方法として用意する。これにより、これらの攻撃方法に対する、セキュリティ対策の対策効果度を算出することができ、セキュリティ対策の評価に利用することが可能となる。

複数のセキュリティベンダサイト１２５からセキュリティ対策候補を生成してもよい。これにより、セキュリティ対策候補の数が増え、より業務影響の少ないセキュリティ対策を適用することが可能となる。

業務シナリオデータ１１９に、重みをつけてもよい。例えば、組織が優先して行いたい業務シナリオに重みをつける。これにより、優先度に応じた業務への影響度を算出することが可能となる。

業務シナリオデータ１１９は、実際の業務の活動ログより生成してもよい。例えば、端末１２１の活動ログや、業務サーバ１２２の活動ログ、セキュリティ対策機能１２３の活動ログより生成する。これにより、実際の業務に即した業務シナリオデータ１１９が生成され、より正確な業務への影響度を算出することが可能となる。

セキュリティ対策の業務への影響度算出は、セキュリティ対策が適用された模擬環境の解析結果に代えて、実際の業務の活動ログを用いてもよい。実際の業務においては、セキュリティ対策は適用されていない。

セキュリティ対策装置１０１は、例えば、端末１２１の活動ログや、業務サーバ１２２の活動ログ、セキュリティ対策機能１２３の活動ログを参照する。セキュリティ対策装置１０１は、セキュリティ対策候補の適用により影響の受ける、端末１２１の動作を特定する。

例えば、あるホスト（例えばｅｘｓａｍｐｌｅ．ｃｏｍ）への接続を遮断する対策候補が決定された場合、セキュリティ対策装置１０１は、端末１２１の特定期間（例えば１ヶ月間）の接続先の情報を参照し、当該接続先情報の中に含まれるｅｘｓａｍｐｌｅ．ｃｏｍの情報をセキュリティ対策候補の適用により影響の受ける通信（動作）として特定する。

これにより、セキュリティ対策装置１０１は、セキュリティ対策候補が適用された後の端末１２１の活動を推定し、その活動についての情報を得ることができる。セキュリティ対策装置１０１は、セキュリティ対策候補適用前後の端末１２１の活動についての情報から、端末１２１の活動ログにいて影響を受ける動作の割合を推定し、影響度を算出する。これにより、実際の業務に即した業務への影響度を算出することが可能となる。

インストールされているソフトウェアが異なる複数の模擬端末１２６を用いて攻撃方法を生成してもよい。マルウェアの中には環境によって振る舞いを変えるものが存在する。複数の模擬端末１２６を用いて攻撃方法を生成することにより、このような環境によって振る舞いを変えるマルウェアの脅威を明らかにすることが可能となる。

セキュリティ対策の選択基準は、ユーザの状況に応じて適切に設定される。例えば、コストの算出を省略してもよい。セキュリティ対策の選択においてコストが参照されなくてもよい。コスト及び影響度が許容範囲にあるセキュリティ対策において、最もコストが小さい又は最も影響度が小さい対策が選択されてもよい。セキュリティ対策の選択は、対策効果度に基づいてもよい。コスト及び影響度が許容範囲にあるセキュリティ対策において、最も効果度が高いセキュリティ対策が選択されてもよい。

セキュリティ対策装置１０１は、セキュリティ対策の影響についての情報を管理者に提示し、管理者によるセキュリティ対策の選択を支援してもよい。例えば、セキュリティ対策装置１０１は、適用するセキュリティ対策を選択することなく、図８に示す情報の一部を管理者に提示する。

本実施例は、実施例１に係るセキュリティ対策装置１０１を含み、複数の対策候補を組み合わせて、影響度算出処理、コスト算出処理、効果度算出処理、対策実行処理を行うセキュリティ対策装置を示す。

実施例１は、一つの対策候補を模擬端末１２６に適用し、影響度、コスト、効果度を算出し、セキュリティ対策の組み合わせを考慮していない。そこで、実施例２は、複数の対策候補を組み合わせて一つの対策候補を作成して適用し、影響度やコスト、効果度を算出するセキュリティ対策装置を説明する。これにより、より効果の高いセキュリティ対策の適用が可能となる。

図１１は、本実施例におけるセキュリティ対策装置のハードウェア構成の例である。実施例１と同一の構成要素には同一の符号を付すことによってその説明を省略し、以下では、実施例１と異なる点を中心に説明する。

図１１に示すように、実施例２に係るセキュリティ対策装置１１０１は、実施例１のセキュリティ対策装置１０１と同様のハードウェア構成を有する。に、セキュリティ対策装置１１０１は、模擬対策実行プログラム１１０２と、対策効果度算出プログラム１１０３と、対策影響度算出プログラム１１０４と、対策実行プログラム１１０５と、リスク提示プログラム１１０６と、を含む。

なお、実施例１のセキュリティ対策装置１０１も、模擬対策実行プログラム１１１と、対策効果度算出プログラム１１２と、対策影響度算出プログラム１１３と、対策実行プログラム１１４と、リスク提示プログラム１１５を含む。しかし、これらプログラムの一部の処理が、実施例１と実施例２との間において異なるため、実施例２において新たな符号が付されている。

セキュリティ対策装置１１０１は、模擬端末１２６、模擬業務サーバ１２７、模擬セキュリティ対策機能１２９、模擬インターネット１３０から構成される模擬ネットワーク１１０７と、ネットワーク１２８を介して接続される。セキュリティ対策装置１１０１は、複数の模擬ネットワーク１１０７と接続している。

ＣＰＵ１０３は、メインメモリ１０４に格納された模擬対策実行プログラム１１０２を実行することにより、模擬ネットワーク１１０７に複数の対策候補の組み合わせ適用する。ＣＰＵ１０３は、対策効果度算出プログラム１１０３を実行することにより、複数の対策候補の組み合わせ適用による効果度を算出する。

ＣＰＵ１０３は、対策影響度算出プログラム１１０４を実行することにより、複数の対策候補の組み合わせ適用による影響度を算出する。ＣＰＵ１０３は、対策実行プログラム１１０５を実行することにより、端末１２１、業務サーバ１２２、セキュリティ対策機能１２３へ複数の対策候補の組み合わせ適用する。ＣＰＵ１０３は、リスク提示プログラム１１０６を実行することにより、複数の対策候補の組み合わせ適用による残存リスクを提示する。

上記の各プログラムは、あらかじめメインメモリ１０４または記憶装置１０５に格納されていてもよいし、必要な時に、入出力装置１０６からまたは、ＩＦ１０２Ａ、１０２Ｂを介して他の装置から、インストール（ロード）されてもよい。

図１２は、実施例２に係る残存リスク提示画像の一例を示す図である。残存リスク提示画像は、実施例１の残存リスク提示画像に、適用中の複数の対策候補の組み合わせ１２０１と、複数の対策候補の組み合わせ適用時の対策効果度、影響度、コスト１２０２と、を含んで構成される。

図１３は、実施例２に係る複数の対策候補組合せの模擬ネットワークへの適用から残存リスク提示までの一連の処理の流れを示すフローチャートである。図１３に示すように、模擬対策実行プログラム１１０２は、ＣＰＵ１０３により実行され、対策候補生成プログラム１０９が生成した対策候補から、とり得る対策候補の組み合わせを算出する（ステップ１３０１）。

模擬対策実行プログラム１１０２は、ステップ１３０１で算出した組合せの数に応じて模擬ネットワーク１１０７を構築する。模擬対策実行プログラム１１０２は、対策候補の組み合わせを、構築した模擬ネットワーク１１０７に適用し、対策効果度算出プログラム１１０３を起動する（ステップ１３０２）。

なお、模擬対策実行プログラム１１０２は、算出した対策候補の組み合わせの一つ目を、模擬ネットワークＡ１１０７Ａに、算出した対策候補の組み合わせの二つ目を、模擬ネットワークＢ１１０７Ｂに、以下同様に、算出したすべての対策候補の組み合わせを、それぞれ、模擬ネットワークに適用する。

対策効果度算出プログラム１１０３は、ＣＰＵ１０３により実行され、攻撃方法生成プログラム１０８が受信したマルウェアを、ＩＦ２０１を介してすべての模擬ネットワーク１１０７に送信し、模擬端末１２６上で当該マルウェアを実行する（ステップ１３０３）。

対策効果度算出プログラム１１０３は、ＩＦ２０１を介してすべての模擬ネットワーク１１０７から解析結果を受信すると、解析結果に含まれるログと、攻撃方法生成ルールテーブル１１６の抽出条件２０２とを比較する。該当する抽出条件２０２が存在すれば、対策効果度算出プログラム１１０３は、当該抽出条件２０２に該当する攻撃方法２０３を対策候補の組み合わせ適用後の攻撃方法として生成する。

さらに対策効果度算出プログラム１１０３は、対策候補の組み合わせ適用によって生成された攻撃方法と、ステップ９０２で生成した攻撃方法とを比較し、複数対策適用による対策効果度を算出する（ステップ１３０４）。

対策効果度算出プログラム１１０３は、模擬ネットワーク１１０７を、マルウェア実行前の環境に復元し（ステップ１３０５）、対策影響度算出プログラム１１０４を起動する。対策影響度算出プログラム１１０４は、ＣＰＵ１０３により実行され、業務シナリオデータ１１９に格納された業務シナリオ５０２をすべての模擬ネットワーク１１０７の模擬端末１２６上で実行する（ステップ１３０６）。

対策影響度算出プログラム１１０４は、ＩＦ２０１を介してすべての模擬ネットワーク１１０７から解析結果を受信すると、解析結果に含まれるログと、業務シナリオデータ１１９の判定条件５０３とを比較する。該当する判定条件５０３が存在すれば、当該判定条件５０３に該当する業務シナリオ５０２が正常に行われたと判定する。さらに、対策影響度算出プログラム１１０４は、業務シナリオデータ１１９に含まれる業務シナリオ５０２のうち正常に行われたと判定されなかった業務シナリオ５０２の割合を影響度として算出する（ステップ１３０７）。

対策影響度算出プログラム１１０４は、すべての模擬ネットワーク１１０７を、対策候補の組み合わせ適用前の環境に復元し（ステップ１３０８）、対策実行プログラム１１０５を起動する。

対策実行プログラム１１０５は、ＣＰＵ１０３により実行され、対策候補の組み合わせ中に、予め定められた許容コスト以下、かつ予め定められた許容影響度以下の対策候補を検索する。当該条件を満たす対策候補が存在すれば、対策実行プログラム１１０５は、ステップ１３１０に進む。当該条件を満たす対策候補が存在しなければ、対策実行プログラム１１０５は、ステップ１３１１に進み、リスク提示プログラム１１０６を起動する（ステップ１３０９）。

対策実行プログラム１１０５は、ステップ１３０９で該当した対策候補の組み合わせを端末１２１、業務サーバ１２２、セキュリティ対策機能１２３に適用し、リスク提示プログラム１１０６を起動する（ステップ１３１０）。なお、該当する対策候補の組み合わせが複数ある場合には、例えば、効果度が最も高い対策候補を適用する。

リスク提示プログラム１１０６は、ＣＰＵ１０３により実行され、図１２に例示するリスク提示画像を出力し、処理を終了する（ステップ１３１１）。

このように、本実施例では、セキュリティ対策の組み合わせによる業務への影響度と、セキュリティ対策の組み合わせによる対策の効果度と、セキュリティ対策の組み合わせのコストと、に基づき、セキュリティ対策を適用することが可能となる。

なお、次のように本実施例の一部を変更してもよい。複数の模擬ネットワーク１１０７を構築しなくてもよい。例えば、セキュリティ対策装置１１０１は、一つの模擬ネットワークを用いてステップ１３０３からステップ１３０８を繰り返す。これにより、すべての対策候補組合せの影響度、コスト、効果度の算出に時間を要するが、コストを抑えることが可能となる。

セキュリティ対策候補の組み合わせの一部のみを適用してもよい。セキュリティ対策装置１１０１は、例えば、構成要素数が所定数以下のセキュリティ対策候補の組み合わせを生成し、それらの各組み合わせの影響度を計算する。

なお、本発明は上記した実施例に限定されるものではなく、様々な変形例が含まれる。例えば、上記した実施例は本発明を分かりやすく説明するために詳細に説明したものであり、必ずしも説明したすべての構成を備えるものに限定されるものではない。また、ある実施例の構成の一部を他の実施例の構成に置き換えることが可能であり、また、ある実施例の構成に他の実施例の構成を加えることも可能である。また、各実施例の構成の一部について、他の構成の追加・削除・置換をすることが可能である。

また、上記の各構成・機能・処理部等は、それらの一部又は全部を、例えば集積回路で設計する等によりハードウェアで実現してもよい。また、上記の各構成、機能等は、プロセッサがそれぞれの機能を実現するプログラムを解釈し、実行することによりソフトウェアで実現してもよい。各機能を実現するプログラム、テーブル、ファイル等の情報は、メモリや、ハードディスク、ＳＳＤ（Ｓｏｌｉｄ Ｓｔａｔｅ Ｄｒｉｖｅ）等の記録装置、または、ＩＣカード、ＳＤカード等の記録媒体に置くことができる。

また、制御線や情報線は説明上必要と考えられるものを示しており、製品上必ずしもすべての制御線や情報線を示しているとは限らない。実際には殆どすべての構成が相互に接続されていると考えてもよい。

１０１…セキュリティ対策装置、１０８…攻撃方法生成プログラム、１０９…対策候補生成プログラム、１１０…コスト算出プログラム、１１１…模擬対策実行プログラム、１１２…対策効果度算出プログラム、１１３…対策影響度算出プログラム、１１４…対策実行プログラム、１１５…リスク提示プログラム、１１６…攻撃方法生成ルールテーブル１１７…対策候補生成ルールテーブル１１８…コスト算出ルール、１１９…業務シナリオデータ、１２１…端末、１２２…業務サーバ、１２３…セキュリティ対策機能、１２４…インターネット、１２５…セキュリティベンダサイト、１２６…模擬端末、１２７…模擬サーバ、１２９…模擬セキュリティ対策機能、１３０…模擬インターネット

Claims (6)

1. メモリと、
   前記メモリに格納されているプログラムに従って動作するプロセッサと、を含み、
   前記プロセッサは、
   マルウェアを、ユーザ装置を含む業務システムを模擬し前記ユーザ装置を模擬した模擬ユーザ装置を含む模擬システムで実行して、前記模擬ユーザ装置の第１活動ログを取得し、
   前記マルウェアによる攻撃方法のパターンを示す攻撃方法生成ルール情報を参照して、前記第１活動ログから前記マルウェアによる前記模擬ユーザ装置への攻撃方法を抽出し、
   攻撃方法とセキュリティ対策との関係を示す対策候補生成ルール情報を参照して、前記攻撃方法に対するセキュリティ対策候補を決定し、
   前記セキュリティ対策候補を適用した前記模擬システムにおいて前記マルウェアを実行して、前記模擬ユーザ装置の第２活動ログを取得し、
   前記第１活動ログ及び前記第２活動ログを比較して、前記マルウェアによる攻撃方法の前記セキュリティ対策候補による低減の度合を示す対策効果度を算出し、
   前記第１活動ログ及び前記第２活動ログを比較して、前記セキュリティ対策候補により防ぐことができない前記マルウェアの攻撃方法を、残存リスクと決定し、
   前記業務システムの実際の活動ログにおいて、前記セキュリティ対策候補の適用により影響を受ける前記ユーザ装置の動作を特定し、
   前記実際の活動ログが示す前記ユーザ装置の動作における前記影響を受ける前記ユーザ装置の動作の度合を示す対策影響度を算出し、
   前記対策効果度及び前記対策影響度に基づいて、前記セキュリティ対策候補の前記業務システムへの適用の有無を判定し、
   前記残存リスクを出力装置に出力する、セキュリティ対策装置。
2. 請求項１に記載のセキュリティ対策装置であって、
   前記対策候補生成ルール情報を、外部ネットワークに公開されている前記マルウェアの情報を使用して更新する、セキュリティ対策装置。
3. 請求項１に記載のセキュリティ対策装置であって、
   前記メモリは、コストとセキュリティ対策との関係を示すコスト算出ルール情報を格納し、
   前記プロセッサは、
   前記コスト算出ルール情報を参照して、前記セキュリティ対策候補にかかるコストを算出し、
   前記コストに基づいて、前記セキュリティ対策候補の前記業務システムへの適用の有無を判定する、セキュリティ対策装置。
4. 請求項３に記載のセキュリティ対策装置であって、
   前記セキュリティ対策候補を適用する条件は、前記コスト及び前記対策影響度が、予め定められた許容範囲に含まれることを含む、セキュリティ対策装置。
5. 請求項１に記載のセキュリティ対策装置であって、
   前記セキュリティ対策候補と前記対策影響度とを含む情報を、前記出力装置に出力する、セキュリティ対策装置。
6. 業務システムのセキュリティ対策のための方法であって、セキュリティ対策装置が、
   マルウェアを、ユーザ装置を含む業務システムを模擬し前記ユーザ装置を模擬した模擬ユーザ装置を含む模擬システムで実行して、前記模擬ユーザ装置の第１活動ログを取得し、
   前記マルウェアによる攻撃方法のパターンを示す攻撃方法生成ルール情報を参照して、前記第１活動ログから前記マルウェアによる前記模擬ユーザ装置への攻撃方法を抽出し、
   攻撃方法とセキュリティ対策との関係を示す対策候補生成ルール情報を参照して、前記攻撃方法に対するセキュリティ対策候補を決定し、
   前記セキュリティ対策候補を適用した前記模擬システムにおいて前記マルウェアを実行して、前記模擬ユーザ装置の第２活動ログを取得し、
   前記第１活動ログ及び前記第２活動ログを比較して、前記マルウェアによる攻撃方法の前記セキュリティ対策候補による低減の度合を示す対策効果度を算出し、
   前記第１活動ログ及び前記第２活動ログを比較して、前記セキュリティ対策候補により防ぐことができない前記マルウェアの攻撃方法を、残存リスクと決定し、
   前記業務システムの実際の活動ログにおいて、前記セキュリティ対策候補の適用により影響を受ける前記ユーザ装置の動作を特定し、
   前記実際の活動ログが示す前記ユーザ装置の動作における前記影響を受ける前記ユーザ装置の動作の度合を示す対策影響度を算出し、
   前記対策効果度及び前記対策影響度に基づいて、前記セキュリティ対策候補の前記業務システムへの適用の有無を判定し、
   前記残存リスクを出力装置に出力する、方法。

Images