JP6918269B2 - 攻撃推定装置、攻撃制御方法、および攻撃推定プログラム - Google Patents

Description

本発明は、分析対象システムに対する攻撃による汚染範囲を推定する攻撃推定装置、攻撃制御方法、および攻撃推定プログラムに関する。

近年の企業を取り巻く環境変化により、企業のリスクは、多様化および変質しており、重要情報の流出、不正アクセス、システム障害など、情報資産を巡るトラブルに繋がる情報セキュリティインシデントの発生が頻発している。

この発生に対処するため、守るべきシステムに対する事前のセキュリティ分析に加え、不慮の事態に備えて、情報資産を巡るトラブルに繋がる攻撃を検知するシステムが求められている。このような攻撃を検知する対策を支援する技術として、アタックツリー手法を用いたものがいくつか提案されている（例えば、非特許文献１参照）。

セキュリティ分析では、対象の資産価値および脅威を明確化し、高リスク値のものに対して優先的に対策を実施していく。そのために、対象のシステム構成情報から攻撃手順を系統的に抽出する際にアタックツリーが用いられる。システムに対するアタックツリーを導出することで、網羅的に脆弱な個所を見つけ出し、リスク軽減策を提示する従来技術がある（例えば、特許文献１参照）。

また、専門家の手で作成したアタックツリーを基に、ＩＤＳ（Ｉｎｔｒｕｓｉｏｎ Ｄｅｔｅｃｔｉｏｎ Ｓｙｓｔｅｍ：侵入検知システム）が出力するアラートの相関を見るルールを自動で作成し、アタックツリーの各ノードに対し発生しうるＩＤＳのアラートを対応づけることで、ルールを作成する従来技術がある（例えば、非特許文献２参照）。さらに、ペネトレーションテストに用いるアタックツリーを自動で生成する従来技術がある（例えば、特許文献２参照）。

これらの従来技術を応用することにより、攻撃手段に対応する検知ルール、すなわち脅威痕跡情報（Ｉｎｄｉｃａｔｏｒｓ ｏｆ Ｃｏｍｐｒｏｍｉｓｅ：ＩＯＣ）を定義したアタックツリーを自動で生成し、脅威痕跡情報を用いることで、アタックツリーに基づいた攻撃検知と感染箇所の特定ができると考えられる。

しかしながら、アタックツリーの網羅性に関しては、完璧ではない点も多く、実際に発生した脅威が、分析では特定できていないこともある。例えば、未知の脆弱性を利用した攻撃の場合、分析の段階でその攻撃手段が存在しないため、ツリーにはその攻撃経路が存在しないこととなる。

これらの課題を解決する方法の１つとして、多段攻撃による攻撃シナリオにおいて、観測することができないイベントに関して前後のイベントの発生を観測することができれば、該当イベントを観測したとみなすことによって、多段攻撃の検知漏れを防ぐ従来技術が提案されている（例えば、特許文献３参照）。

特許第５４０６１９５号公報 特許第９８９４０９０号公報 特許第６０００４９５号公報

B. Schneier: Attack trees: modeling security threats, Dr. Dobb's Journal, December 1999, URL:<https://www.schneier.com/academic/archives/1999/12/attack_trees.html> Godefroy, Erwan, et al. "Automatic generation of correlation rules to detect complex attack scenarios." Information Assurance and Security (IAS), 2014 10th International Conference on. IEEE, 2014.

しかしながら、従来技術には、以下のような課題がある。
上記のように、アタックツリーを用いた場合、既知の攻撃に対してしか攻撃および感染箇所を特定することができない課題がある。

本発明は、前記のような課題を解決するためになされたものであり、未知の攻撃による痕跡の推測を可能とする攻撃推定装置、攻撃制御方法、および攻撃推定プログラムを得ることを目的とする。

本発明に係る攻撃推定装置は、分析対象システムで事前に想定されうる攻撃手法と、脅威痕跡情報とが関連付けられたアタックツリーを保持するアタックツリー記憶部と、攻撃手法と、攻撃手法の抽象度を上げた抽象的な攻撃名とが関連付けられた抽象アタックツリーを保持する抽象アタックツリー記憶部と、抽象的な攻撃名と、ログを確認する機器と、ログの具体的な箇所とが関連付けられた確認ログ管理情報を保持する確認ログ管理情報記憶部と、分析対象システムに対する攻撃が発生したことを知らせる検知アラートを受信した場合に、アタックツリー、抽象アタックツリー、および確認ログ管理情報を参照し、攻撃による汚染範囲を予測する予測部とを備え、予測部は、検知アラートを受信した場合には、アタックツリーを参照することで、攻撃に対応する脅威痕跡情報を特定し、攻撃に対応する脅威痕跡情報が特定できた場合には、攻撃として既知の攻撃が発生したと判断し、特定した脅威痕跡情報から汚染範囲を予測し、攻撃に対応する脅威痕跡情報が特定できなかった場合には、攻撃として未知の攻撃が発生したと判断し、未知の攻撃が発生したと判断した場合には、抽象アタックツリーを参照することで、抽象的な攻撃名を特定し、特定した抽象的な攻撃名と、確認ログ管理情報とを参照することで、未知の攻撃による痕跡が残っている可能性が高い機器としてログを確認する機器を特定するとともに、特定した機器に対応してログの具体的な箇所を特定することで未知の攻撃による汚染範囲を予測するものである。

また、本発明に係る攻撃推定方法は、分析対象システムで事前に想定されうる攻撃手法と、脅威痕跡情報とが関連付けられたアタックツリーと、攻撃手法と、攻撃手法の抽象度を上げた抽象的な攻撃名とが関連付けられた抽象アタックツリーと、抽象的な攻撃名と、ログを確認する機器と、ログの具体的な箇所とが関連付けられた確認ログ管理情報とを記憶部に保持させる記憶ステップと、分析対象システムに対する攻撃が発生したことを知らせる検知アラートを受信した場合に、アタックツリー、抽象アタックツリー、および確認ログ管理情報を参照し、攻撃による汚染範囲を予測する予測ステップとを有し、記憶ステップおよび予測ステップは、コンピュータにより実行され、予測ステップは、検知アラートを受信した場合には、アタックツリーを参照することで、攻撃に対応する脅威痕跡情報を特定し、攻撃に対応する脅威痕跡情報が特定できた場合には、攻撃として既知の攻撃が発生したと判断し、特定した脅威痕跡情報から汚染範囲を予測し、攻撃に対応する脅威痕跡情報が特定できなかった場合には、攻撃として未知の攻撃が発生したと判断し、未知の攻撃が発生したと判断した場合には、抽象アタックツリーを参照することで、抽象的な攻撃名を特定し、特定した抽象的な攻撃名と、確認ログ管理情報とを参照することで、未知の攻撃による痕跡が残っている可能性が高い機器としてログを確認する機器を特定するとともに、特定した機器に対応してログの具体的な箇所を特定することで未知の攻撃による汚染範囲を予測するものである。

また、本発明に係る攻撃推定プログラムは、分析対象システムで事前に想定されうる攻撃手法と、脅威痕跡情報とが関連付けられたアタックツリーと、攻撃手法と、攻撃手法の抽象度を上げた抽象的な攻撃名とが関連付けられた抽象アタックツリーと、抽象的な攻撃名と、ログを確認する機器と、ログの具体的な箇所とが関連付けられた確認ログ管理情報とを記憶部に保持させる記憶ステップと、分析対象システムに対する攻撃が発生したことを知らせる検知アラートを受信した場合に、アタックツリー、抽象アタックツリー、および確認ログ管理情報を参照し、攻撃による汚染範囲を予測する予測ステップとをコンピュータに実行させる攻撃推定プログラムであって、予測ステップでは、検知アラートを受信した場合には、アタックツリーを参照することで、攻撃に対応する脅威痕跡情報を特定し、攻撃に対応する脅威痕跡情報が特定できた場合には、攻撃として既知の攻撃が発生したと判断し、特定した脅威痕跡情報から汚染範囲を予測し、攻撃に対応する脅威痕跡情報が特定できなかった場合には、攻撃として未知の攻撃が発生したと判断し、未知の攻撃が発生したと判断した場合には、抽象アタックツリーを参照することで、抽象的な攻撃名を特定し、特定した抽象的な攻撃名と、確認ログ管理情報とを参照することで、未知の攻撃による痕跡が残っている可能性が高い機器としてログを確認する機器を特定するとともに、特定した機器に対応してログの具体的な箇所を特定することで未知の攻撃による汚染範囲を予測するものである。

本発明によれば、未知の攻撃による痕跡の推測を可能とする攻撃推定装置、攻撃制御方法、および攻撃推定プログラムを得ることができる。

本発明の実施の形態１における攻撃推定装置のハードウェア構成例を示す図である。 本発明の実施の形態１における攻撃推定装置の機能構成例を示す図である。 本発明の実施の形態１に係る攻撃推定装置において、サイバー攻撃痕跡情報の推定に必要なデータの作成手順を示したフローチャートである。 本発明の実施の形態１におけるアタックツリー記憶部に保持されているアタックツリーのデータ構造を示す図である。 本発明の実施の形態１における抽象アタックツリー記憶部に保持されている抽象アタックツリーのデータ構造を示す図である。 本発明の実施の形態１における確認ログ管理情報記憶部に保持されている確認ログ管理情報のデータ構造を示す図である。 本発明の実施の形態１に係る攻撃推定装置において実行される攻撃推定方法の一連動作を示したフローチャートである。 本発明の実施の形態２における攻撃推定装置の機能構成例である。 本発明の実施の形態２における復旧手段情報記憶部に保持されている復旧作業と作業時間とを対応付けた復旧手段情報のデータ構造を示す図である。

以下、本発明の攻撃推定装置、攻撃制御方法、および攻撃推定プログラムの好適な実施の形態につき図面を用いて説明する。本発明に係る攻撃推定装置は、未知のサイバー攻撃による痕跡情報を推定可能な「サイバー攻撃痕跡情報推定装置」に関するものである。以下の説明では、「サイバー攻撃痕跡情報推定装置」のことを単に「攻撃推定装置」と称して説明する。

実施の形態１．
図１は、本発明の実施の形態１における攻撃推定装置のハードウェア構成例を示す図である。図１に示す本実施の形態１に係る攻撃推定装置１は、ドライブ装置１０１と、補助記憶装置１０３と、メモリ装置１０４と、ＣＰＵ１０５と、インタフェース装置１０６のそれぞれが、バスＢで相互に接続されている。

攻撃推定装置１の一連処理を実現するプログラムは、ＣＤ−ＲＯＭ等の記録媒体１０２によって提供される。プログラムを記憶した記録媒体１０２がドライブ装置１０１にセットされると、記録媒体１０２からドライブ装置１０１を介して、プログラムが補助記憶装置１０３にインストールされる。

ただし、プログラムのインストールは、必ずしも記録媒体１０２を用いて行う必要はなく、ネットワークを介して他のコンピュータよりダウンロードするようにしてもよい。補助記憶装置１０３は、インストールされたプログラムを格納するとともに、必要なファイル、データ等を格納する。

メモリ装置１０４は、プログラムの起動指示があった場合に、補助記憶装置１０３からプログラムを読み出して格納する。コンピュータに相当するＣＰＵ１０５は、メモリ装置１０４に格納されたプログラムに従って攻撃推定装置１に係る機能を実行する。インタフェース装置１０６は、ネットワークに接続するためのインタフェースとして用いられる。

なお、攻撃推定装置１は、図１に示されるようなハードウェアを有する複数のコンピュータによって構成されてもよい。すなわち、攻撃推定装置１が実行する処理は、複数のコンピュータに分散されて実行されてもよい。

図２は、本発明の実施の形態１における攻撃推定装置１の機能構成例を示す図である。図２に示した攻撃推定装置は、アタックツリー生成処理部２０１、アタックツリー抽象化処理部２０２、健全性確認処理部２０３、攻撃ログ予測部２０４、システム構成情報記憶部２０５、脆弱性情報記憶部２０６、アタックツリー記憶部２０７、抽象アタックツリー記憶部２０８、および確認ログ管理情報記憶部２０９を有する。

図３は、本発明の実施の形態１に係る攻撃推定装置１において、サイバー攻撃痕跡情報の推定に必要なデータの作成手順を示したフローチャートである。図３を用いて、サイバー攻撃痕跡情報の推定に必要なデータを事前に作成する手順について説明する。なお、システム構成情報記憶部２０５には、分析対象システムの情報が記載されたデータが記憶されており、脆弱性情報記憶部２０６には、セキュリティの脅威事象を蓄積したデータが記憶されている。

また、以下に説明するステップＳ１０１〜ステップＳ１０３の処理は、攻撃推定を行う前段階として、攻撃推定に必要となるデータをあらかじめ記憶部に記憶させておく記憶ステップに相当する。

ステップＳ１０１において、アタックツリー生成処理部２０１は、システム構成情報記憶部２０５および脆弱性情報記憶部２０６に記憶されているそれぞれのデータを用いて、分析対象システムにおける攻撃の経路、攻撃される設備、攻撃手法、および脆弱性を関連付けたアタックツリーを生成する。さらに、アタックツリー生成処理部２０１は、生成したアタックツリーをアタックツリー記憶部２０７に保存する。

アタックツリーの生成処理および保存処理は、先行技術文献として挙げた特許文献１、２、および非特許文献２によって実現が可能であり、詳細な説明を省略する。

図４は、本発明の実施の形態１におけるアタックツリー記憶部２０７に保持されているアタックツリーのデータ構造を示す図である。アタックツリー記憶部２０７には、図４に示すように、「ＩＤ」、「Ｆｒｏｍ」、「Ｔｏ」、「攻撃手法」、「攻撃手法ＩＤ」、および「脅威痕跡情報（ＩＯＣ）」の各データが関連付けられて、アタックツリーとして保持されている。

アタックツリーとして示された「Ｆｒｏｍ」および「Ｔｏ」に関する情報により、分析対象システムにおける攻撃の経路、および攻撃される設備が特定される。また、アタックツリーとして示された「脅威痕跡情報（ＩＯＣ）」により、攻撃を受けた箇所の脆弱性が特定される。

システム構成情報記憶部２０５および脆弱性情報記憶部２０６の情報に基づいて、アタックツリー生成処理部２０１により導出されたアタックツリーには、図４に示すように、脅威痕跡情報であるＩＯＣが保持されている。

一例として、図４におけるＩＤ５では、設備Ａから設備Ｄに対して、ソフトウェアの脆弱性Ｚを利用して、攻撃手法ＩＤ＝Ｄ４の攻撃による脅威が発生した場合に、そのＩＯＣとして、脆弱性を含むソフトウェア名、バージョン、痕跡となるファイルパスの情報等が含まれることが示されている。

脅威痕跡情報であるＩＯＣとは、図４に示した各攻撃手法のいずれかの攻撃が発生した場合に、痕跡として設備に残る情報をまとめたものである。従って、図４にまとめたような既知の攻撃が発生した場合には、脅威痕跡情報を参照することによって、痕跡の特定が可能である。

次に、ステップＳ１０２において、アタックツリー抽象化処理部２０２は、アタックツリー記憶部２０７に保持されたアタックツリーの攻撃手法を、抽象度を上げた攻撃の項目に分類する。さらに、アタックツリー抽象化処理部２０２は、分類した抽象アタックツリーを抽象アタックツリー記憶部２０８に保存する。

図５は、本発明の実施の形態１における抽象アタックツリー記憶部２０８に保持されている抽象アタックツリーのデータ構造を示す図である。抽象アタックツリー記憶部２０８には、アタックツリー記憶部２０７に保持された攻撃手法が、抽象度を上げた攻撃の項目に分類され、図５に示すデータとして、保存されている。

具体的には、抽象アタックツリー記憶部２０８には、図５に示すように、「抽象的な攻撃名」、「攻撃手法ＩＤリスト」、および「攻撃の段階」の各データが関連付けられて、抽象アタックツリーとして保持されている。

アタックツリー記憶部２０７に保持されたアタックツリーのデータは、図４に示したように、設備の脆弱性および攻撃手法ＩＤ毎のＩＯＣによって詳細に分類されている。これに対して、アタックツリー抽象化処理部２０２は、例えば、サイバーキルチェーンによる攻撃の段階に従って攻撃手法を分類することで、１段抽象度の高い攻撃の項目に分類する。

サイバーキルチェーンとは、攻撃者の動き、すなわち攻撃の段階、を段階毎に分類したフレームワークである。具体的には、攻撃者の動きは、「偵察」、「武器化」、「配送」、「攻撃（エクスプロイト）」、「インストール」、「遠隔操作（Ｃ＆Ｃ）」、「侵入拡大」、および「目的実行」の各段階（プロセス）に分類される。

一例として、図５における「攻撃手法ＩＤリスト」中の攻撃手法ＩＤ＝Ｄ４に対応するデータとしては、「抽象的な攻撃名」がリモートアクセスとして保存され、「攻撃の段階」が遠隔操作として保存されている。

次に、ステップＳ１０３において、アタックツリー抽象化処理部２０２は、抽象アタックツリー記憶部２０８で分類された抽象的な攻撃名ごとに、ログを確認する機器、およびログの具体的な箇所を定義する。さらに、アタックツリー抽象化処理部２０２は、定義したデータを確認ログ管理情報として、確認ログ管理情報記憶部２０９に保存する。

図６は、本発明の実施の形態１における確認ログ管理情報記憶部２０９に保持されている確認ログ管理情報のデータ構造を示す図である。確認ログ管理情報記憶部２０９には、「抽象的な攻撃名」に対応して、「ログを確認する機器」および「ログの具体的な箇所」の項目のデータが関連付けられて、確認ログ管理情報として保存されている。

ここで、「ログを確認する機器」とは、抽象的な攻撃名に対応する攻撃が行われた際に、痕跡が残る可能性が高い機器を意味している。また、「ログの具体的な箇所」とは、「ログを確認する機器」のログに関して、具体的なログの項目を規定したものである。

次に、本実施の形態１に係る攻撃推定装置により実行される、未知のサイバー攻撃を推定する処理について、図７を用いて説明する。図７は、本発明の実施の形態１に係る攻撃推定装置において実行される攻撃推定方法の一連動作を示したフローチャートである。

なお、以下に説明するステップＳ２０１〜ステップＳ２０７の処理は、攻撃推定を行う予測ステップに相当する。また、ステップＳ２０１〜ステップＳ２０７の処理を実行する健全性確認処理部２０３および攻撃ログ予測部２０４は、予測部に相当する。

まず、ステップＳ２０１において、健全性確認処理部２０３は、サイバー攻撃が発生した際に、検知アラートを受信する。

次に、ステップＳ２０２において、健全性確認処理部２０３は、アタックツリー記憶部２０７に保存されたアタックツリーに基づいて、分析対象システムの設備に対応するＩＯＣが存在するか否かの調査を行う。

例えば、図４のＩＤ５では、設備Ａから設備Ｄに対して、ソフトウェアの脆弱性Ｚを利用した攻撃が発生する脅威があり、発生した場合のＩＯＣとして、脆弱性を含むソフトウェア名、バージョン、痕跡となるファイルパスの情報等が含まれている。健全性確認処理部２０３は、ＩＯＣが設備Ｄに存在するか否かを確認する。そして、健全性確認処理部２０３は、ＩＯＣが設備Ｄに存在する場合、すなわち、脅威痕跡情報を特定できた場合には、当該箇所のツリーの攻撃が成立しているとみなすことができる。

そこで、ステップＳ２０３において、健全性確認処理部２０３は、調査の結果としてＩＯＣが特定できたか否かを判断する。アタックツリーの攻撃経路が成立した場合、すなわち攻撃経路が成立するＩＯＣが存在した場合には、健全性確認処理部２０３は、未知の攻撃が無く、既知の攻撃であると判断し、一連処理を終了する。

一方、アタックツリーの攻撃経路の１つに対してＩＯＣが見つからなかった場合には、健全性確認処理部２０３は、既知の攻撃手法が成立せず、代わりに未知の攻撃が行われたと判断し、ステップＳ２０４以降の処理に進む。

そして、ステップＳ２０４に進んだ場合には、攻撃ログ予測部２０４は、該当するアタックツリーに関して、抽象アタックツリー記憶部２０８に保存されている抽象アタックツリーを参照することで、抽象的な攻撃名を特定する。

さらに、ステップＳ２０５において、攻撃ログ予測部２０４は、「抽象的な攻撃名」に対応して確認ログ管理情報記憶部２０９に保存されている確認ログ管理情報を参照することで、「ログを確認する機器」および「ログの具体的な箇所」を特定する。すなわち、攻撃ログ予測部２０４は、未知の攻撃による痕跡が残っている可能性が高い機器として「ログを確認する機器」を特定するとともに、特定した機器に対応して「ログの具体的な箇所」を特定することで、未知の攻撃による汚染範囲を予測する。

例えば、図４のＩＤ５は、攻撃手法ＩＤがＤ４である。そこで、攻撃ログ予測部２０４は、図５に示した抽象アタックツリーを参照することで、「抽象的な攻撃名」がリモートアクセスであると特定できる。さらに、攻撃ログ予測部２０４は、図６に示した確認ログ管理情報を参照することで、リモートアクセスに該当する「ログを確認する機器」がＦｉｒｅＷａｌｌであり、「ログの具体的な箇所」が送信元／送信先アドレス、あるいは送信先ポートであると特定できる。

次に、ステップＳ２０６において、攻撃ログ予測部２０４は、アタックツリーの前後の痕跡の情報から、確認するログの時間帯を推定する。例えば、図４で、未知の攻撃と想定されたＩＤ５の攻撃に関して、アタックツリーの前後のＩＤは、ＩＤ６とＩＤ３である。さらに、健全性確認処理部２０３は、調査によって特定した図４のＩＤ６とＩＤ３のそれぞれにおける、ＩＯＣのタイムスタンプの情報から、ＩＤ５がその間の時間帯に攻撃されたと推定することができる。

次に、ステップＳ２０７において、攻撃ログ予測部２０４は、抽象的な攻撃名に対応する「ログを確認する機器」に関して、ステップＳ２０６で推定した時間帯のログを、不審なログとして抽出し、一連処理を終了する。

攻撃推定装置１は、図７に示したフローチャートによる一連処理を実行することで、基地の攻撃および未知の攻撃のいずれに対しても、攻撃による汚染範囲を予測することができる。

なお、図４における攻撃手法のＦｒｏｍとＴｏが違う場合、すなわち別の機器に対する攻撃である場合には、攻撃ログ予測部２０４は、ログの時間帯に加えて、攻撃が行われたと推定される送信元と送信先の設備に関するログを、不審なログとして絞り込むことができる。

未知の攻撃による不正なログが存在するか否かを判断する方法として、攻撃ログ予測部２０４は、正常のログであるが、普段とログの出方が異なるものがないかどうかを判断する「振る舞い異常検知技術」などを用いることができる。

以上のように、実施の形態１に係る攻撃推定装置は、未知の攻撃による痕跡の推測を行うことができる。また、アタックツリーの攻撃経路においてＩＯＣが特定できなかった攻撃を、既知の攻撃がなされたとして誤判断してしまうことを防ぐことができる。

実施の形態２．
図８は、本発明の実施の形態２における攻撃推定装置１の機能構成例である。図８に示した攻撃推定装置は、先の実施の形態１における図２のコンポーネントに加え、復旧作業特定部２１０および復旧手段情報記憶部２１１をさらに有する。そこで、新たに追加されたコンポーネントである復旧作業特定部２１０および復旧手段情報記憶部２１１の機能を中心に、以下に説明する。

先の実施の形態１では、未知の攻撃を含むサイバー攻撃が発生した場合に、感染箇所を推定することができた。しかしながら、実際の運用では、推定作業が行われた後に、汚染範囲の復旧作業を実施する必要がある。そこで、本実施の形態２では、推定した感染箇所のＩＯＣを元に、システム全体の復旧にかかる手順と時間を予測できる機能を付加した攻撃推定装置１について説明する。

復旧手段情報記憶部２１１は、アタックツリー記憶部２０７のＩＯＣに定義された情報に関して、汚染範囲の復旧作業内容と、修復に要する復旧作業時間とを保持する。この復旧作業時間は、例えば、攻撃によってレジストリが書き換えられた場合に、元の状態に復旧するためにかかる作業時間である。

図９は、本発明の実施の形態２における復旧手段情報記憶部２１１に保持されている復旧作業内容と復旧作業時間とを対応付けた復旧手段情報のデータ構造を示す図である。なお、ＩＯＣに応じた複数の復旧作業時間を定義する代わりに、定期バックアップから復元する１手順だけの復旧作業時間を復旧手段情報として定義することもできる。

また、攻撃の種類によっては、インストールされているソフトウェアの再インストール、ＯＳの初期化、機器の再起動などが必要な場合もある。従って、復旧手段情報記憶部２１１およびシステム構成情報記憶部２０５で分担して、これらの作業にかかる時間が定義される。

一例として、システム構成情報記憶部２０５は、各設備にインストールされているソフトウェア、設備の性能情報、設備間の依存関係など、復旧作業時間の特定に使用されるデータを保持することができる。

復旧作業特定部２１０は、先の実施の形態１における一連処理で特定した、未知の攻撃を含む攻撃の痕跡を修復するため、システム構成情報記憶部２０５、アタックツリー記憶部２０７、および復旧手段情報記憶部２１１に保存されている、復旧作業時間の特定に必要な情報を参照する。具体的には、復旧作業特定部２１０は、ＩＯＣを修復するための時間、設備の依存関係から設備の復旧を行う順番、依存する機器の停止、起動処理の必要性の有無、などを判断する。

例えば、設備間の依存関係が有向グラフによって表現される場合には、復旧作業特定部２１０は、次のような手順で復旧作業時間を特定することができる。ここで、ある設備の停止を伴う修復を行う際には、グラフの隣接する依存先の設備を先に停止するルールとする。このようなルールによる有向グラフに基づいて、復旧作業特定部２１０は、全ての設備の修復にかかる手順を導出することで、復旧手順を求め、それらの修復時間の合計を復旧作業時間として特定することができる。

以上のように、実施の形態２に係る攻撃推定装置は、未知のサイバー攻撃が行われた際に、攻撃の痕跡の推定が可能になるだけでなく、特定した攻撃の痕跡情報から、攻撃による被害から復旧するために要する時間を予測して特定することができる。

上述した実施の形態１、２に係る攻撃推定装置の特徴をまとめると、以下のようになる。実施の形態１、２に係る攻撃推定装置は、企業が標的型攻撃を中心とする高度サイバー攻撃を受けた場合に、汚染された範囲を特定し、復旧にかかる作業と時間を推定することができる。

具体的には、実施の形態１、２に係る攻撃推定装置は、事前に分析対象システムで想定されうる攻撃活動と、対応する脅威痕跡情報を、網羅的に記述したアタックツリーを生成しておく。そして、実施の形態１、２に係る攻撃推定装置は、攻撃を検知後に、アタックツリーに沿って各設備内における攻撃の痕跡を調査し、攻撃の経路を特定する。

その際、未知の攻撃を受けた場合、事前のアタックツリー分析によるＩＯＣが見つけられず汚染範囲の特定ができない可能性がある。そこで、実施の形態１、２に係る攻撃推定装置は、アタックツリー上でＩＯＣが確認できなかった攻撃活動については、同種の未知の攻撃を受けた可能性が高いという仮定のもと、痕跡が残っている可能性の高い機器のログ、時間帯、ログの箇所を特定する。

この結果、実施の形態１に係る攻撃推定装置は、未知の攻撃が発生した場合でも、汚染範囲の特定を行うことができる。さらに、実施の形態２に係る攻撃推定装置は、実施の形態１に係る攻撃推定装置が有する効果に加え、汚染されたと特定された範囲の復旧にかかる作業と時間を推定することができる。

１ 攻撃推定装置、１０１ ドライブ装置、１０２ 記録媒体、１０３ 補助記憶装置、１０４ メモリ装置、１０５ ＣＰＵ、１０６ インタフェース装置、２０１ アタックツリー生成処理部、２０２ アタックツリー抽象化処理部、２０３ 健全性確認処理部、２０４ 攻撃ログ予測部、２０５ システム構成情報記憶部、２０６ 脆弱性情報記憶部、２０７ アタックツリー記憶部、２０８ 抽象アタックツリー記憶部、２０９ 確認ログ管理情報記憶部、２１０ 復旧作業特定部、２１１ 復旧手段情報記憶部。

Claims (4)

1. 分析対象システムで事前に想定されうる攻撃手法と、脅威痕跡情報とが関連付けられたアタックツリーを保持するアタックツリー記憶部と、
   前記攻撃手法と、前記攻撃手法の抽象度を上げた抽象的な攻撃名とが関連付けられた抽象アタックツリーを保持する抽象アタックツリー記憶部と、
   前記抽象的な攻撃名と、ログを確認する機器と、前記ログの具体的な箇所とが関連付けられた確認ログ管理情報を保持する確認ログ管理情報記憶部と、
   前記分析対象システムに対する攻撃が発生したことを知らせる検知アラートを受信した場合に、前記アタックツリー、前記抽象アタックツリー、および前記確認ログ管理情報を参照し、前記攻撃による汚染範囲を予測する予測部と
   を備え、
   前記予測部は、
   前記検知アラートを受信した場合には、前記アタックツリーを参照することで、前記攻撃に対応する前記脅威痕跡情報を特定し、
   前記攻撃に対応する前記脅威痕跡情報が特定できた場合には、前記攻撃として既知の攻撃が発生したと判断し、特定した前記脅威痕跡情報から前記汚染範囲を予測し、
   前記攻撃に対応する前記脅威痕跡情報が特定できなかった場合には、前記攻撃として未知の攻撃が発生したと判断し、
   前記未知の攻撃が発生したと判断した場合には、前記抽象アタックツリーを参照することで、前記抽象的な攻撃名を特定し、
   特定した前記抽象的な攻撃名と、前記確認ログ管理情報とを参照することで、前記未知の攻撃による痕跡が残っている可能性が高い機器として前記ログを確認する機器を特定するとともに、特定した前記機器に対応して前記ログの具体的な箇所を特定することで前記未知の攻撃による前記汚染範囲を予測する
   攻撃推定装置。
2. 前記汚染範囲の復旧作業内容と、復旧作業時間とが対応付けられた復旧手段情報を保持する復旧手段情報記憶部と、
   前記復旧手段情報を参照し、前記予測部により予測された前記汚染範囲を修復するために必要となる前記復旧作業内容および前記復旧作業時間を特定する復旧作業特定部と
   をさらに備える請求項１に記載の攻撃推定装置。
3. 分析対象システムで事前に想定されうる攻撃手法と、脅威痕跡情報とが関連付けられたアタックツリーと、前記攻撃手法と、前記攻撃手法の抽象度を上げた抽象的な攻撃名とが関連付けられた抽象アタックツリーと、前記抽象的な攻撃名と、ログを確認する機器と、前記ログの具体的な箇所とが関連付けられた確認ログ管理情報とを記憶部に保持させる記憶ステップと、
   前記分析対象システムに対する攻撃が発生したことを知らせる検知アラートを受信した場合に、前記アタックツリー、前記抽象アタックツリー、および前記確認ログ管理情報を参照し、前記攻撃による汚染範囲を予測する予測ステップと
   を有し、前記記憶ステップおよび前記予測ステップは、コンピュータにより実行され、
   前記予測ステップは、
   前記検知アラートを受信した場合には、前記アタックツリーを参照することで、前記攻撃に対応する前記脅威痕跡情報を特定し、
   前記攻撃に対応する前記脅威痕跡情報が特定できた場合には、前記攻撃として既知の攻撃が発生したと判断し、特定した前記脅威痕跡情報から前記汚染範囲を予測し、
   前記攻撃に対応する前記脅威痕跡情報が特定できなかった場合には、前記攻撃として未知の攻撃が発生したと判断し、
   前記未知の攻撃が発生したと判断した場合には、前記抽象アタックツリーを参照することで、前記抽象的な攻撃名を特定し、
   特定した前記抽象的な攻撃名と、前記確認ログ管理情報とを参照することで、前記未知の攻撃による痕跡が残っている可能性が高い機器として前記ログを確認する機器を特定するとともに、特定した前記機器に対応して前記ログの具体的な箇所を特定することで前記未知の攻撃による前記汚染範囲を予測する
   攻撃推定方法。
4. 分析対象システムで事前に想定されうる攻撃手法と、脅威痕跡情報とが関連付けられたアタックツリーと、前記攻撃手法と、前記攻撃手法の抽象度を上げた抽象的な攻撃名とが関連付けられた抽象アタックツリーと、前記抽象的な攻撃名と、ログを確認する機器と、前記ログの具体的な箇所とが関連付けられた確認ログ管理情報とを記憶部に保持させる記憶ステップと、
   前記分析対象システムに対する攻撃が発生したことを知らせる検知アラートを受信した場合に、前記アタックツリー、前記抽象アタックツリー、および前記確認ログ管理情報を参照し、前記攻撃による汚染範囲を予測する予測ステップと
   をコンピュータに実行させる攻撃推定プログラムであって、
   前記予測ステップでは、
   前記検知アラートを受信した場合には、前記アタックツリーを参照することで、前記攻撃に対応する前記脅威痕跡情報を特定し、
   前記攻撃に対応する前記脅威痕跡情報が特定できた場合には、前記攻撃として既知の攻撃が発生したと判断し、特定した前記脅威痕跡情報から前記汚染範囲を予測し、
   前記攻撃に対応する前記脅威痕跡情報が特定できなかった場合には、前記攻撃として未知の攻撃が発生したと判断し、
   前記未知の攻撃が発生したと判断した場合には、前記抽象アタックツリーを参照することで、前記抽象的な攻撃名を特定し、
   特定した前記抽象的な攻撃名と、前記確認ログ管理情報とを参照することで、前記未知の攻撃による痕跡が残っている可能性が高い機器として前記ログを確認する機器を特定するとともに、特定した前記機器に対応して前記ログの具体的な箇所を特定することで前記未知の攻撃による前記汚染範囲を予測する
   攻撃推定プログラム。

Images