JP6977625B2 - 評価プログラム、評価方法および評価装置 - Google Patents

評価プログラム、評価方法および評価装置 Download PDF

Info

Publication number
JP6977625B2
JP6977625B2 JP2018041316A JP2018041316A JP6977625B2 JP 6977625 B2 JP6977625 B2 JP 6977625B2 JP 2018041316 A JP2018041316 A JP 2018041316A JP 2018041316 A JP2018041316 A JP 2018041316A JP 6977625 B2 JP6977625 B2 JP 6977625B2
Authority
JP
Japan
Prior art keywords
address
cyber
information
cyber attack
band
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Active
Application number
JP2018041316A
Other languages
English (en)
Other versions
JP2019159431A (ja
Inventor
剛 谷口
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Fujitsu Ltd
Original Assignee
Fujitsu Ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Fujitsu Ltd filed Critical Fujitsu Ltd
Priority to JP2018041316A priority Critical patent/JP6977625B2/ja
Priority to GB1900984.4A priority patent/GB2571830B/en
Priority to US16/257,638 priority patent/US11336663B2/en
Publication of JP2019159431A publication Critical patent/JP2019159431A/ja
Application granted granted Critical
Publication of JP6977625B2 publication Critical patent/JP6977625B2/ja
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
    • H04L63/1416—Event detection, e.g. attack signature detection
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/55—Detecting local intrusion or implementing counter-measures
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/55—Detecting local intrusion or implementing counter-measures
    • G06F21/552—Detecting local intrusion or implementing counter-measures involving long-term monitoring or reporting
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/55—Detecting local intrusion or implementing counter-measures
    • G06F21/554—Detecting local intrusion or implementing counter-measures involving event detection and direct action
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/57—Certifying or maintaining trusted computer platforms, e.g. secure boots or power-downs, version controls, system software checks, secure updates or assessing vulnerabilities
    • G06F21/577—Assessing vulnerabilities and evaluating computer system security
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L61/00—Network arrangements, protocols or services for addressing or naming
    • H04L61/50—Address allocation
    • H04L61/5007—Internet protocol [IP] addresses
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1433—Vulnerability analysis
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1441—Countermeasures against malicious traffic
    • H04L63/145—Countermeasures against malicious traffic the attack involving the propagation of malware through the network, e.g. viruses, trojans or worms
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L2101/00—Indexing scheme associated with group H04L61/00
    • H04L2101/60—Types of network addresses
    • H04L2101/668—Internet protocol [IP] address subnets

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Hardware Design (AREA)
  • General Engineering & Computer Science (AREA)
  • Software Systems (AREA)
  • Theoretical Computer Science (AREA)
  • Computing Systems (AREA)
  • General Physics & Mathematics (AREA)
  • Physics & Mathematics (AREA)
  • Signal Processing (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Health & Medical Sciences (AREA)
  • General Health & Medical Sciences (AREA)
  • Virology (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)

Description

本発明の実施形態は、評価プログラム、評価方法および評価装置に関する。
近年、ネットワークを経由した不正アクセスなどのサイバー攻撃が深刻な問題となっている。このサイバー攻撃は多種多様な方法で実施される。よって、サイバー攻撃の対処には、過去に検知したサイバー攻撃ごとに、サイバー攻撃のイベント内容を分析して評価することが重要である。
イベント内容の分析に関する従来技術としては、通信先のアドレスおよび通信の発生日時のいずれか一方を縦軸とし、他方を横軸とする座標平面上に、通信が発生した回数に応じて大きさが異なる図形をログ情報に応じて配置して表示させる技術がある。
特開２０１７−４５１８８号公報 特表２０１５−５０４５４２号公報
しかしながら、上記の従来技術では、複数のサイバー攻撃と、それらのサイバー攻撃の攻撃者が主に利用するＩＰアドレス帯域との関連性が分かりづらいという問題がある。
例えば、大規模な攻撃キャンペーンにおいては、同じＩＰアドレスの帯域に属する複数のＩＰアドレスが観察されることがある。このようなＩＰアドレスの帯域は、同じ攻撃者が継続的に利用するケースがあることから、サイバー攻撃との関連性の分析に有用な場合がある。
１つの側面では、サイバー攻撃とアドレス群との関連性を評価できる評価プログラム、評価方法および評価装置を提供することを目的とする。
第１の案では、サイバー攻撃に関する評価プログラムは、収集する処理と、特定する処理と、決定する処理と、算出する処理と、出力を行う処理とをコンピュータに実行させる。収集する処理は、複数のサイバー攻撃情報を収集する。特定する処理は、収集した複数のサイバー攻撃情報を分析して、複数のサイバー攻撃情報に含まれるサイバー攻撃元のアドレスを特定する。決定する処理は、特定したアドレスに基づいてサイバー攻撃の監視対象とするアドレス群を決定する。算出する処理は、決定したアドレス群に含まれるアドレスからのサイバー攻撃の検知状況に応じてアドレス群を監視対象とすることの信頼性に関する評価値を算出する。出力する処理は、算出した評価値に応じた出力を行う。
本発明の１実施態様によれば、サイバー攻撃とアドレス群との関連性を評価できる。
図１は、実施形態にかかる評価装置の機能構成例を示すブロック図である。 図２は、ＩＰアドレス帯域の検知にかかる機能構成例を説明する説明図である。 図３は、サイバー脅威インテリジェンスを説明する説明図である。 図４は、前処理の一例を示すフローチャートである。 図５は、要素の抽出例を説明する説明図である。 図６は、前処理済みサイバー脅威インテリジェンスＤＢを説明する説明図である。 図７は、ＩＰアドレス帯域検出処理の一例を示すフローチャートである。 図８−１は、ＩＰアドレス帯域候補ＤＢを説明する説明図である。 図８−２は、ＩＰアドレス帯域候補ＤＢを説明する説明図である。 図８−３は、ＩＰアドレス帯域候補ＤＢを説明する説明図である。 図９は、統合処理の一例を示すフローチャートである。 図１０−１は、統合例を説明する説明図である。 図１０−２は、統合例を説明する説明図である。 図１１は、ＩＰアドレス帯域ＤＢを説明する説明図である。 図１２は、入力情報に対する出力情報の具体例を説明する説明図である。 図１３は、実施形態にかかる評価装置のハードウエア構成の一例を示すブロック図である。
以下、図面を参照して、実施形態にかかる評価プログラム、評価方法および評価装置を説明する。実施形態において同一の機能を有する構成には同一の符号を付し、重複する説明は省略する。なお、以下の実施形態で説明する評価プログラム、評価方法および評価装置は、一例を示すに過ぎず、実施形態を限定するものではない。また、以下の各実施形態は、矛盾しない範囲内で適宜組みあわせてもよい。
図１は、実施形態にかかる評価装置の機能構成例を示すブロック図である。実施形態にかかる評価装置１は、例えば、ＰＣ（パーソナルコンピュータ）などのコンピュータである。
図１に示すように、評価装置１は、サイバー攻撃にかかるキャンペーンの中で処理の対象とする対象キャンペーン１２の入力を受け付け、サイバー脅威インテリジェンスＤＢ１０に格納された複数のサイバー脅威インテリジェンスの中で対象キャンペーン１２に該当するサイバー脅威インテリジェンスを収集する。なお、キャンペーンとは、同じ攻撃者、同じ攻撃部隊または同じ攻撃作戦による一連のサイバー攻撃の活動（複数のサイバー攻撃の集合体）について付与された呼称である。
次いで、評価装置１は、収集したサイバー脅威インテリジェンスを分析して、対象キャンペーン１２にかかるサイバー攻撃の監視対象とするアドレス群（ＩＰアドレス帯域）と、アドレス群を監視対象とすることの信頼性に関する評価値（信頼度）とをＩＰアドレス帯域ＤＢ６０に格納する。また、評価装置１は、対象キャンペーン１２についての関連情報をキャンペーン関連情報ＤＢ５０に格納する。
なお、アドレス群（ＩＰアドレス帯域）は、幾つかのＩＰアドレスをグループとしてまとめたものであり、例えば「ＡＡＡ．ＡＡＡ．ＡＡＡ．０／２２」等のＣＩＤＲ記法によるアドレスのグループ（ＣＩＤＲブロック）などがある。本実施形態では、アドレス群（ＩＰアドレス帯域）としてＣＩＤＲブロックを例示するが、ドメインごとにＩＰアドレスをグループ分けしてもよく、ＣＩＤＲブロックに特にするものではない。
評価装置１では、このキャンペーン関連情報ＤＢ５０およびＩＰアドレス帯域ＤＢ６０に格納された情報に基づいて、入力装置１０２（図１３参照）などを介して入力された入力情報７１に対する出力情報７２をモニタ１０３（図１３参照）などに出力する。
具体的には、分析者が自組織で発生した怪しい通信に関するＩＰアドレスなどを「問い合わせＩＰアドレス」とする入力情報７１を評価装置１に入力する。評価装置１では、入力されたＩＰアドレスをもとにＩＰアドレス帯域ＤＢ６０を参照し、入力されたＩＰアドレスに該当するアドレス群のキャンペーンを関連が疑われる関連キャンペーンとする。
次いで、評価装置１は、関連キャンペーンに関する評価値（信頼度）をＩＰアドレス帯域ＤＢ６０より読み出し、入力されたＩＰアドレスとの関連がどの程度疑われるかを示す信頼度付きの関連キャンペーンを含む出力情報７２を出力する。また、評価装置１は、対象キャンペーン１２ごとにサイバー脅威インテリジェンスより収集したキャンペーン関連情報の中から、関連キャンペーンについてキャンペーン関連情報をキャンペーン関連情報ＤＢ５０より読み出し、信頼度付きの関連キャンペーンとともに出力情報７２に含めて出力する。
これにより、分析者（ユーザ）は、問い合わせたＩＰアドレスがサイバー脅威インテリジェンスとして認識されていないＩＰアドレスであったとしても、信頼度付きの関連キャンペーンによりサイバー攻撃にかかるキャンペーンとの関連を評価できる。また、ユーザは、関連キャンペーンについてキャンペーン関連情報をもとに、問い合わせたＩＰアドレスとの関連が疑われる関連キャンペーンの被害を予防するための対策を実施することができる。
図１に示すように、評価装置１は、前処理部２０、ＩＰアドレス帯域検出部３０、ＩＰアドレス帯域統合部４０およびインタフェース部７０を有する。
前処理部２０は、対象キャンペーン１２の入力を受け付け、サイバー脅威インテリジェンスＤＢ１０に格納された複数のサイバー脅威インテリジェンスの中で対象キャンペーン１２に該当するサイバー脅威インテリジェンスを収集して前処理を行う。すなわち、前処理部２０は、収集部の一例である。
図２は、ＩＰアドレス帯域の検知にかかる機能構成例を説明する説明図である。図２に示すように、前処理部２０は、対象キャンペーン１２とサイバー脅威インテリジェンスＤＢ１０とを入力とし、対象キャンペーン１２に該当するサイバー脅威インテリジェンスを収集して前処理を行い、前処理後のデータを前処理済みサイバー脅威インテリジェンスＤＢ１０ａとキャンペーン関連情報ＤＢ５０とに格納する。
前処理済みサイバー脅威インテリジェンスＤＢ１０ａは、サイバー脅威インテリジェンスより収集したＩＰアドレスやタイムスタンプ（時間情報）のデータを、キャンペーン名（またはキャンペーンＩＤ）とサイバー脅威インテリジェンスのＩＤとを関連付けて格納するデータベースである。キャンペーン関連情報ＤＢ５０は、サイバー脅威インテリジェンスより収集した、対象キャンペーン１２に関する手口、対処、利用する脆弱性などの関連情報をキャンペーン名（またはキャンペーンＩＤ）と関連付けて格納するデータベースである。
図３は、サイバー脅威インテリジェンスを説明する説明図である。図３に示すように、サイバー脅威インテリジェンス１１では、ＳＴＩＸ（Structured Threat Information eXpression）などの形式でサイバー攻撃の情報が記述される。例えば、ＳＴＩＸは、サイバー攻撃活動（Campaigns）、攻撃者（Threat_Actors）、攻撃手口（TTPs）、検知指標（Indicators）、観測事象（Observables）、インシデント（Incidents）、対処措置（Courses_Of_Action）、攻撃対象（Exploit_Targets）の８つの情報群から構成される。
すなわち、サイバー脅威インテリジェンス１１は、サイバー攻撃情報の一例である。また、ＳＴＩＸバージョン１．１．１時点では、図３のように、ＸＭＬ（eXtensible Markup Language）形式で記述される。
例えば、「Observables」のタグで囲まれた領域１１ａには、観測されたＩＰ、ｄｏｍａｉｎ、マルウェアのハッシュ値などが記述される。「Indicators」のタグで囲まれた領域１１ｂには、サイバー攻撃イベントを特徴づける指標を示す情報が個別に記述される。具体的には、領域１１ｂでは、検知指標のタイプ、検知指標に関連する観測事象、攻撃段階フェーズ、痕跡などから検知指標を作成するために使用したツールと共に、サイバー攻撃を特徴づける指標について記述される。
また、「TTPs」のタグで囲まれた領域１１ｃには、利用された攻撃手法、例えばスパムメールやマルウェア、水飲み場攻撃などが記述される。また、「Exploit_Targets」のタグで囲まれた領域１１ｄには、脆弱性、脆弱性の種類、設定や構成などの視点から、攻撃の対象となりうるソフトウェアやシステムの弱点など、サイバー攻撃イベントにおいて攻撃の対象となる資産の弱点を示す情報が個別に記述される。
また、「Campaigns」のタグで囲まれた領域１１ｅには、一連の攻撃（キャンペーン）につけられる名前などが記述される。すなわち、領域１１ｅには、サイバー攻撃にかかるキャンペーンの情報が記述される。領域１１ｅにおけるキャンペーンの名前を参照することで、サイバー脅威インテリジェンス１１にかかるサイバー攻撃がどのキャンペーンに属するかを識別できる。
また、「Threat_Actors」のタグで囲まれた領域１１ｆには、サイバー攻撃の攻撃者のタイプ、攻撃者の動機、攻撃者の熟練度、攻撃者の意図などの視点からサイバー攻撃に寄与している人／組織についての情報が個別に記述される。具体的には、領域１１ｆでは、不正アクセス元（送信元）のＩＰアドレス、またはメールアドレス、ソーシャルネットワークサービスのアカウントの情報が記述される。
このように、サイバー脅威インテリジェンス１１の領域１１ａ〜１１ｆには、サイバー攻撃にかかるキャンペーンを示すキャンペーンの名前とともに、サイバー攻撃の観測事象（ＩＰ、ｄｏｍａｉｎ、ハッシュ値等）やＴＴＰ等のサイバー攻撃の特徴を示す情報、すなわちサイバー攻撃の特徴情報（検知指標）が記述される。なお、サイバー脅威インテリジェンス１１を共有するためのソースとしては、ＡｌｉｅｎＶａｕｌｔが提供するフリーで利用可能なＯＴＸ（Open Threat Exchange）などが存在する。また、サイバー脅威インテリジェンス１１を管理するためのプラットフォームを利用すれば、サイバー脅威インテリジェンス１１の内容を確認したり、サイバー脅威インテリジェンス１１間の関連を見たりすることも可能である。
前処理部２０は、サイバー脅威インテリジェンスＤＢ１０に格納された複数のサイバー脅威インテリジェンス１１より対象キャンペーン１２に該当するものを収集して前処理を行い、前処理後のデータを前処理済みサイバー脅威インテリジェンスＤＢ１０ａおよびキャンペーン関連情報ＤＢ５０に格納する。
図４は、前処理の一例を示すフローチャートである。図４に示すように、前処理が開始されると、前処理部２０は、対象キャンペーン１２の入力を受け付ける（Ｓ０）。対象キャンペーン１２については、例えば処理の対象とするキャンペーン名をリストとしてまとめたものを入力する。次いで、前処理部２０は、サイバー脅威インテリジェンスＤＢ１０に格納されたサイバー脅威インテリジェンス１１をパース、あるいは自然言語処理して、必要なデータ（要素）を抽出する（Ｓ１）。
図５は、要素の抽出例を説明する説明図である。図５に示すように、ＳＴＩＸ形式のサイバー脅威インテリジェンス１１の場合、前処理部２０は、パーサによってＸＭＬ形式で記述されたサイバー脅威インテリジェンス１１の内容をパースする。これにより、前処理部２０は、サイバー脅威インテリジェンス１１に含まれる各要素を抽出する。なお、サイバー脅威インテリジェンス１１が標準規格などで構造化されておらず、テキストによるレポート形式などである場合は、前処理部２０は、既存の自然言語処理ツールを用いて抽出対象の要素を抽出してもよい。
例えば、前処理部２０は、「ＡｄｄｒｅｓｓＯｂｊ：Ａｄｄｒｅｓｓ＿Ｖａｌｕｅ」というタグで囲まれた部分から、「ＸＸＸ．ＸＸＸ．ＸＸＸ．ＸＸＸ」、「ＹＹＹ．ＹＹＹ．ＹＹＹ．ＹＹＹ」などのＩＰアドレスを抽出する。同様に、前処理部２０は、攻撃手口（TTPｓ）にかかるタグに囲まれた部分からは攻撃手口を抽出する。また、前処理部２０は、対処措置（Courses_Of_Action）にかかるタグに囲まれた部分からは対処措置を抽出する。また、前処理部２０は、攻撃対象（Exploit_Targets）にかかるタグに囲まれた部分から利用する脆弱性を抽出する。また、前処理部２０は、キャンペーンにかかるタグに囲まれた部分からキャンペーンの名称を抽出する。なお、データが存在しない場合には、情報なしという扱いにする。また、サイバー脅威インテリジェンス１１のタイトルが、「あるマルウェアに対するレポート，期間」のように、タイムスタンプ（時間情報）を含む場合にはその時間情報を抽出する。
次いで、前処理部２０は、サイバー脅威インテリジェンス１１より抽出した要素をもとに、対象キャンペーン１２に対して関連するサイバー脅威インテリジェンス１１であるか否かを判定する（Ｓ２）。具体的には、前処理部２０は、サイバー脅威インテリジェンス１１より抽出した要素におけるキャンペーン名が対象キャンペーン１２のキャンペーン名に一致するか否かをもとに、対象キャンペーン１２に対するサイバー脅威インテリジェンス１１であるか否かを判定する。
対象キャンペーン１２に対するサイバー脅威インテリジェンス１１である場合（Ｓ２：ＹＥＳ）、前処理部２０は、サイバー脅威インテリジェンス１１より抽出した要素（ＩＰアドレスやタイムスタンプ）のデータをキャンペーン名（またはキャンペーンＩＤ）とサイバー脅威インテリジェンス１１のＩＤと関連付けて前処理済みサイバー脅威インテリジェンスＤＢ１０ａに格納する。また、前処理部２０は、対象キャンペーン１２に対するサイバー脅威インテリジェンス１１より抽出した要素（手口、対処、利用する脆弱性など）をキャンペーン名（またはキャンペーンＩＤ）と関連付けてキャンペーン関連情報ＤＢ５０に格納する（Ｓ３）。
図６は、前処理済みサイバー脅威インテリジェンスＤＢ１０ａを説明する説明図である。図６に示すように、前処理済みサイバー脅威インテリジェンスＤＢ１０ａには、対象キャンペーン１２を示すキャンペーン名（キャンペーン１）と、サイバー脅威インテリジェンス１１のＩＤ（ＩＤ：１）、タイムスタンプ（２０１５年）とともに、サイバー脅威インテリジェンス１１より抽出したＩＰアドレス（ＡＡＡ．ＡＡＡ．ＡＡＡ．２５１，ＢＢＢ．ＢＢＢ．ＢＢＢ．４，…）が格納される。
なお、対象キャンペーン１２に対するサイバー脅威インテリジェンス１１でない場合（Ｓ２：ＮＯ）、前処理部２０は、Ｓ３の処理をスキップしてＳ４へ進む。
次いで、前処理部２０は、サイバー脅威インテリジェンスＤＢ１０の中で要素の抽出として未選択のサイバー脅威インテリジェンス１１が存在するか否かを判定する（Ｓ４）。存在する場合（Ｓ４：ＹＥＳ）、前処理部２０は、未選択のサイバー脅威インテリジェンス１１を要素の抽出対象として選択し、Ｓ０へ処理を戻す。存在しない場合（Ｓ４：ＮＯ）、全てのサイバー脅威インテリジェンス１１について処理が終了したことから、前処理部２０は、前処理を終了する。
図１、２に戻り、ＩＰアドレス帯域検出部３０は、前処理済みサイバー脅威インテリジェンスＤＢ１０ａを入力として、ＩＰアドレス帯域検出処理を行う。このＩＰアドレス帯域検出処理により、ＩＰアドレス帯域検出部３０は、対象キャンペーン１２について各サイバー脅威インテリジェンス１１から検出されたＩＰアドレス帯域の集合であるＩＰアドレス帯域候補群をＩＰアドレス帯域候補ＤＢ６０ａに格納する。
具体的には、ＩＰアドレス帯域検出部３０は、ＩＰアドレス特定部３１、ＩＰアドレス帯域決定部３２を有する。ＩＰアドレス特定部３１は、前処理済みサイバー脅威インテリジェンスＤＢ１０ａを参照することで、収集した複数のサイバー脅威インテリジェンス１１を分析し、複数のサイバー脅威インテリジェンス１１に含まれるサイバー攻撃元のアドレスを特定する。すなわち、ＩＰアドレス特定部３１は、特定部の一例である。
ＩＰアドレス帯域決定部３２は、特定したアドレスに基づいてサイバー攻撃の監視対象とするアドレス群（ＩＰアドレス帯域）を決定する。ＩＰアドレス帯域決定部３２は、決定したＩＰアドレス帯域をＩＰアドレス帯域候補ＤＢ６０ａに格納する。すなわち、ＩＰアドレス帯域決定部３２は、決定部の一例である。
ここで、ＩＰアドレス帯域検出処理の詳細を説明する。図７は、ＩＰアドレス帯域検出処理の一例を示すフローチャートである。
図７に示すように、ＩＰアドレス帯域検出処理が開始されると、ＩＰアドレス特定部３１は、入力された前処理済みサイバー脅威インテリジェンスＤＢ１０ａに含まれるサイバー脅威インテリジェンス１１群の中から、まだ選択していないサイバー脅威インテリジェンス１１を選択する（Ｓ１０）。次いで、ＩＰアドレス特定部３１は、選択したサイバー脅威インテリジェンス１１から未選択のＩＰアドレスを選択する（Ｓ１１）。
次いで、ＩＰアドレス帯域決定部３２は、選択したＩＰアドレスがＩＰアドレス帯域候補ＤＢ６０ａに登録済みのＩＰアドレス帯域の中に含まれるか否かを判定する（Ｓ１２）。具体的には、ＩＰアドレス帯域決定部３２は、ＩＰアドレス帯域候補ＤＢ６０ａにＩＰアドレス帯域として登録された「ＡＡＡ．ＡＡＡ．ＡＡＡ．０／２２」等のＣＩＤＲ記法によるＣＩＤＲブロックに、選択したＩＰアドレスが含まれるか否かを判定する。
含まれる場合（Ｓ１２：ＹＥＳ）、ＩＰアドレス帯域決定部３２は、選択したＩＰアドレスが含まれるＩＰアドレス帯域の帯域内ＩＰアドレスに選択したＩＰアドレスを追加登録し、このＩＰアドレスを選択済みとする（Ｓ１３）。
含まれない場合（Ｓ１２：ＮＯ）、ＩＰアドレス帯域決定部３２は、選択したＩＰアドレスを包括するＩＰアドレス帯域をＩＰアドレス帯域候補ＤＢ６０ａに新規登録し、このＩＰアドレスを選択済みとする（Ｓ１４）。具体的には、ＩＰアドレス帯域決定部３２は、ｗｈｏｉｓサービスなどを利用して選択したＩＰアドレスを包括するＣＩＤＲブロックを特定し、特定したＣＩＤＲブロックをＩＰアドレス帯域候補ＤＢ６０ａに新規登録する。
次いで、ＩＰアドレス特定部３１は、未選択のＩＰアドレスが存在するか否かを判定し（Ｓ１５）、存在する場合（Ｓ１５：ＹＥＳ）はＳ１１へ処理を戻す。存在しない場合（Ｓ１５：ＮＯ）、ＩＰアドレス特定部３１は、サイバー脅威インテリジェンス１１群の中から未選択のサイバー脅威インテリジェンス１１が存在するか否かを判定し（Ｓ１６）、存在する場合（Ｓ１６：ＹＥＳ）はＳ１０へ処理を戻す。存在しない場合（Ｓ１６：ＮＯ）、ＩＰアドレス特定部３１はＩＰアドレス帯域検出処理を終了する。
図６を例にすると、ＩＰアドレス特定部３１は、まず、「キャンペーン１」の「ＩＤ：１」のサイバー脅威インテリジェンス１１より、抽出された５つのＩＰアドレス（ＡＡＡ．ＡＡＡ．ＡＡＡ．２５１，ＢＢＢ．ＢＢＢ．ＢＢＢ．４，ＣＣＣ．ＣＣＣ．ＣＣＣ．２３，ＣＣＣ．ＣＣＣ．ＣＣＣ．５３，ＡＡＡ．ＡＡＡ．ＡＡＡ．２１７）のいずれかを選択する。例えば、ＩＰアドレス特定部３１は、「ＡＡＡ．ＡＡＡ．ＡＡＡ．２５１」を選択する。
次いで、ＩＰアドレス帯域決定部３２は、ＩＰアドレス帯域候補ＤＢ６０ａの中に選択したＩＰアドレス「ＡＡＡ．ＡＡＡ．ＡＡＡ．２５１」を含むＩＰアドレス帯域が存在するか否かを調べる。ここで、ＩＰアドレス「ＡＡＡ．ＡＡＡ．ＡＡＡ．２５１」は最初に選択したＩＰアドレスであるため、ＩＰアドレス帯域候補ＤＢ６０ａには存在しない。よって、ＩＰアドレス帯域決定部３２は、ｗｈｏｉｓサービスなどを利用し、選択したＩＰアドレス「ＡＡＡ．ＡＡＡ．ＡＡＡ．２５１」を包括するＩＰアドレス帯域「ＡＡＡ．ＡＡＡ．ＡＡＡ．０／２２」を特定してＩＰアドレス帯域候補ＤＢ６０ａに新規登録する。
図８−１〜図８−３は、ＩＰアドレス帯域候補ＤＢ６０ａを説明する説明図である。図８−１〜図８−３に示すように、ＩＰアドレス帯域候補ＤＢ６０ａは、「ＩＤ」、「ＩＰアドレス帯域」、「帯域内ＩＰアドレス」、「時間情報」、「ｗｈｏｉｓ」などの項目を有する。「ＩＤ」は、サイバー攻撃のキャンペーンを識別するキャンペーンＩＤなどを格納する。なお、ＩＤの記載については、例えば「キャンペーン１−１」である場合、「キャンペーン１」における枝番が「１」のサイバー攻撃を示すものとする。
「ＩＰアドレス帯域」は、例えば「ＡＡＡ．ＡＡＡ．ＡＡＡ．０／２２」等のＣＩＤＲブロックによるアドレスのグループを格納する。「帯域内ＩＰアドレス」は、「ＩＰアドレス帯域」に含まれる、登録済みのＩＰアドレスを格納する。「時間情報」は、ＩＰアドレスとともに抽出したタイムスタンプなどを格納する。「ｗｈｏｉｓ」は、「ＩＰアドレス帯域」についてｗｈｏｉｓサービスなどを利用して取得した情報（例えば登録者）を格納する。
図８−１の上段に示すＩＰアドレス帯域候補ＤＢ６０ａは、ＩＰアドレス「ＡＡＡ．ＡＡＡ．ＡＡＡ．２５１」を新規登録した結果である。この新規登録では、「ＩＤ」にＩＰアドレス「ＡＡＡ．ＡＡＡ．ＡＡＡ．２５１」にかかるキャンペーンを示す「キャンペーン１−１」が登録される。また、「ＩＰアドレス帯域」にはＩＰアドレス「ＡＡＡ．ＡＡＡ．ＡＡＡ．２５１」を包括する「ＡＡＡ．ＡＡＡ．ＡＡＡ．０／２２」が登録される。また、「帯域内ＩＰアドレス」には、選択したＩＰアドレス「ＡＡＡ．ＡＡＡ．ＡＡＡ．２５１」が登録される。
また、「時間情報」には、選択したＩＰアドレス「ＡＡＡ．ＡＡＡ．ＡＡＡ．２５１」とともに抽出した「２０１５年」などのタイムスタンプが登録される。なお、「時間情報」は、年単位としているが、月単位などで振り分けてもよい。
また、「ｗｈｏｉｓ」には、「ＩＰアドレス帯域」についてｗｈｏｉｓサービスなどを利用して取得した「登録者Ａ」などのＣＩＤＲブロックにかかる登録者情報が登録される。なお、「ｗｈｏｉｓ」は、登録者情報に限定するものではなく、登録者の国、登録機関名などを含めても構わない。
次いで、ＩＰアドレス帯域検出部３０は、前処理済みサイバー脅威インテリジェンスＤＢ１０ａにおいて未選択のＩＰアドレスが存在しなくなるまで上記の処理（Ｓ１１〜Ｓ１４）を繰り返す。例えば、図６を例における「ＡＡＡ．ＡＡＡ．ＡＡＡ．２５１」の次は、「ＢＢＢ．ＢＢＢ．ＢＢＢ．４」を選択して処理を行う。
図８−１の上段に示すように、ＩＰアドレス帯域候補ＤＢ６０ａには、「ＢＢＢ．ＢＢＢ．ＢＢＢ．４」を含むＩＰアドレス帯域が存在しない。よって、ＩＰアドレス帯域検出部３０は、図８−１の中段に示すように、「ＢＢＢ．ＢＢＢ．ＢＢＢ．４」にかかる情報をＩＰアドレス帯域候補ＤＢ６０ａに新規登録する。
図６の例における「ＢＢＢ．ＢＢＢ．ＢＢＢ．４」に次いで、ＩＰアドレス帯域検出部３０は、「ＣＣＣ．ＣＣＣ．ＣＣＣ．２３」を選択して処理を行う。図８−１の中段に示すように、ＩＰアドレス帯域候補ＤＢ６０ａには、「ＣＣＣ．ＣＣＣ．ＣＣＣ．２３」を含むＩＰアドレス帯域が存在しない。よって、ＩＰアドレス帯域検出部３０は、図８−１の下段に示すように、「ＣＣＣ．ＣＣＣ．ＣＣＣ．２３」にかかる情報をＩＰアドレス帯域候補ＤＢ６０ａに新規登録する。
図６の例における「ＣＣＣ．ＣＣＣ．ＣＣＣ．２３」に次いで、ＩＰアドレス帯域検出部３０は、「ＣＣＣ．ＣＣＣ．ＣＣＣ．５３」を選択して処理を行う。図８−１の下段に示すように、ＩＰアドレス帯域候補ＤＢ６０ａには、「ＣＣＣ．ＣＣＣ．ＣＣＣ．２５」を含むＩＰアドレス帯域「ＣＣＣ．ＣＣＣ．ＣＣＣ．０／２４」が存在する。よって、ＩＰアドレス帯域検出部３０は、図８−２の上段に示すように、「ＣＣＣ．ＣＣＣ．ＣＣＣ．５３」にかかる情報をＩＰアドレス帯域候補ＤＢ６０ａに追加登録する。
図６の例における「ＣＣＣ．ＣＣＣ．ＣＣＣ．５３」に次いで、ＩＰアドレス帯域検出部３０は、「ＡＡＡ．ＡＡＡ．ＡＡＡ．２１７」を選択して処理を行う。図８−２の上段に示すように、ＩＰアドレス帯域候補ＤＢ６０ａには、「ＡＡＡ．ＡＡＡ．ＡＡＡ．２１７」を含むＩＰアドレス帯域「ＡＡＡ．ＡＡＡ．ＡＡＡ．０／２２」が存在する。よって、ＩＰアドレス帯域検出部３０は、図８−２の下段に示すように、「ＡＡＡ．ＡＡＡ．ＡＡＡ．２１７」にかかる情報をＩＰアドレス帯域候補ＤＢ６０ａに追加登録する。
これらの処理の後に、ＩＰアドレス帯域検出部３０は、次のサイバー脅威インテリジェンス１１を選択し、同様の処理を繰り返す。図８−３は、全てのサイバー脅威インテリジェンス１１についてＩＰアドレス帯域検出処理を行った後のＩＰアドレス帯域候補ＤＢ６０ａを例示している。
図１、２に戻り、ＩＰアドレス帯域統合部４０は、ＩＰアドレス帯域候補ＤＢ６０ａを入力とし、統合処理を行うことで関連するＩＰアドレス帯域を統合してＩＰアドレス帯域ＤＢ６０を出力する。また、ＩＰアドレス帯域統合部４０は、統合したＩＰアドレス帯域に含まれるアドレスからのサイバー攻撃の検知状況に応じて、ＩＰアドレス帯域を監視対象とすることの信頼性に関する評価値（信頼度）を算出する。すなわち、ＩＰアドレス帯域統合部４０は、算出部の一例である。ＩＰアドレス帯域統合部４０は、算出した評価値をＩＰアドレス帯域に関連付けてＩＰアドレス帯域ＤＢ６０に格納する。
ここで、統合処理の詳細を説明する。図９は、統合処理の一例を示すフローチャートである。
図９に示すように、統合処理が開始されると、ＩＰアドレス帯域統合部４０は、ＩＰアドレス帯域候補ＤＢ６０ａの中から未選択のＩＰアドレス帯域を選択する（Ｓ２０）。
次いで、ＩＰアドレス帯域統合部４０は、ＩＰアドレス帯域候補ＤＢ６０ａにおける、選択したＩＰアドレス帯域以外の未選択のＩＰアドレス帯域の中に同じＩＰアドレス帯域が存在するか否かを判定する（Ｓ２１）。
同じＩＰアドレス帯域が存在する場合（Ｓ２１：ＹＥＳ）、ＩＰアドレス帯域統合部４０は、そのＩＰアドレス帯域に属するＩＰアドレスを時間情報ごとに統合し、ＩＰアドレス帯域候補ＤＢ６０ａにおけるＩＰアドレス帯域候補は選択済みとする（Ｓ２２）。
同じＩＰアドレス帯域が存在しない場合（Ｓ２１：ＮＯ）、ＩＰアドレス帯域統合部４０は、ＩＰアドレス帯域候補ＤＢ６０ａにおいて選択したＩＰアドレス帯域の候補は選択済みとする（Ｓ２３）。
次いで、ＩＰアドレス帯域統合部４０は、ＩＰアドレス帯域候補ＤＢ６０ａの中で未選択のＩＰアドレス帯域が存在するか否かを判定し（Ｓ２４）、存在する場合（Ｓ２４：ＹＥＳ）はＳ２０へ処理を戻す。これにより、ＩＰアドレス帯域統合部４０は、関連するＩＰアドレス帯域を統合していく。
例えば、図８−３の例では、ＩＰアドレス帯域統合部４０は「ＩＤ」が「キャンペーン１−１」である「ＡＡＡ．ＡＡＡ．ＡＡＡ．０／２２」を最初に選択する。次いで、ＩＰアドレス帯域統合部４０は、選択した「ＡＡＡ．ＡＡＡ．ＡＡＡ．０／２２」以外の未選択のＩＰアドレス帯域の中に同じＩＰアドレス帯域が存在するか否かを調べる。ここでは、「ＩＤ」が「キャンペーン１−２」と「キャンペーン１−３」に「ＡＡＡ．ＡＡＡ．ＡＡＡ．０／２２」が存在する。そこで、ＩＰアドレス帯域統合部４０は、「ＩＤ」が「キャンペーン１−１」、「キャンペーン１−２」、「キャンペーン１−３」の「帯域内ＩＰアドレス」を「時間情報」ごとに統合し、選択済みとする。
「キャンペーン１−１」の「帯域内ＩＰアドレス」である「ＡＡＡ．ＡＡＡ．ＡＡＡ．２１７」および「ＡＡＡ．ＡＡＡ．ＡＡＡ．２５１」と、「キャンペーン１−２」の「帯域内ＩＰアドレス」である「ＡＡＡ．ＡＡＡ．ＡＡＡ．１１」とは、「時間情報」が「２０１５年」として統合する。また、「キャンペーン１−３」の「帯域内ＩＰアドレス」である「ＡＡＡ．ＡＡＡ．ＡＡＡ．１１」、「ＡＡＡ．ＡＡＡ．ＡＡＡ．８８」および「ＡＡＡ．ＡＡＡ．ＡＡＡ．１０２」は、「時間情報」が「２０１６年」として統合する。
図１０−１、図１０−２は、統合例を説明する説明図である。「キャンペーン１−１」、「キャンペーン１−２」、「キャンペーン１−３」の「帯域内ＩＰアドレス」を「時間情報」ごとに統合した結果は、図１０−１のとおりである。
ＩＰアドレス帯域統合部４０は、次のＩＰアドレス帯域として、「ＢＢＢ．ＢＢＢ．ＢＢＢ．０／２７」を選択する。「ＢＢＢ．ＢＢＢ．ＢＢＢ．０／２７」には同じＩＰアドレス帯域が存在しないため、そのまま選択済みとする。したがって、図１０−１のＩＰアドレス帯域候補ＤＢ６０ａからの変更はない。
ＩＰアドレス帯域統合部４０は、次のＩＰアドレス帯域として、「ＣＣＣ．ＣＣＣ．ＣＣＣ．０／２４」を選択する。「ＩＤ」の「キャンペーン１−１」と「キャンペーン１−３」は異なる「時間情報」であるため、まとめることなく統合する。統合した結果は、図１０−２のようになる。ＩＰアドレス帯域統合部４０は、次のＩＰアドレス帯域として、「ＤＤＤ．ＤＤＤ．ＤＤＤ．０／２２」を選択するが、同じＩＰアドレス帯域が存在しないため、そのまま選択済みとする。ＩＰアドレス帯域統合部４０は、この処理をＩＰアドレス帯域候補ＤＢ６０ａのすべてのＩＰアドレス帯域に対して実施し、最終的に「ＩＤ」の列にキャンペーン名を残し、ＩＰアドレス帯域として出力する。
図９に戻り、ＩＰアドレス帯域候補ＤＢ６０ａの中で未選択のＩＰアドレス帯域が存在しない場合（Ｓ２４：ＮＯ）、ＩＰアドレス帯域統合部４０は、ＩＰアドレス帯域ごとに、ＩＰアドレス帯域に含まれるＩＰアドレスからのサイバー攻撃の検知状況に応じて信頼度を算出する（Ｓ２５）。
具体的には、ＩＰアドレス帯域統合部４０は、各ＩＰアドレス帯域の「信頼度」は以下のように算出する。ＩＰアドレス帯域統合部４０は、ＩＰアドレス帯域内のＩＰアドレスが「時間情報」に変化を伴って異なるＩＰアドレスになっている場合、監視対象とすることの信頼性が最も高い「高」とする。また、ＩＰアドレス帯域統合部４０は、同じ「時間情報」内で複数の異なるＩＰアドレスが属している場合、監視対象とすることの信頼性が中程度である「中」とする。また、ＩＰアドレス帯域統合部４０は、ＩＰアドレス帯域に１つのＩＰアドレスしか属していない場合、監視対象とすることの信頼性が最も低い「低」と設定する。このように、ＩＰアドレス帯域統合部４０は、ＩＰアドレス帯域に含まれるＩＰアドレスの中で、時間の変化に伴って異なるアドレスからのサイバー攻撃の検知がある場合に、ない場合に比べてより高い評価値を算出する。なお、上記の算出方法は、一例であり、この算出方法に限定したものではなく、別の方法で信頼度を算出しても構わない。
次いで、ＩＰアドレス帯域統合部４０は、算出した信頼度をＩＰアドレス帯域に関連付けてＩＰアドレス帯域ＤＢ６０に格納する（Ｓ２６）。図１１は、ＩＰアドレス帯域ＤＢ６０を説明する説明図である。
図１１に示すように、ＩＰアドレス帯域ＤＢ６０には、各キャンペーンにおけるＩＰアドレス帯域ごとに、算出された信頼度（高、中、低など）が関連付けて格納される。
図１に戻り、インタフェース部７０は、キャンペーン関連情報ＤＢ５０およびＩＰアドレス帯域ＤＢ６０に格納された情報に基づいて、入力情報７１に対する出力情報７２を出力する。具体的には、インタフェース部７０は、入力情報７１における「問い合わせＩＰアドレス」をもとに、ＩＰアドレス帯域ＤＢ６０を参照する。ここで、「問い合わせＩＰアドレス」がＩＰアドレス帯域ＤＢ６０における「帯域内ＩＰアドレス」と一致する場合、「問い合わせＩＰアドレス」に該当するサイバー攻撃のキャンペーンがあることが分かる。よって、インタフェース部７０は、「問い合わせＩＰアドレス」と「帯域内ＩＰアドレス」とが一致する場合、一致するキャンペーン名を該当するサイバー攻撃のキャンペーンを示す確定情報とする出力情報７２を出力する。
また、「問い合わせＩＰアドレス」がＩＰアドレス帯域ＤＢ６０における「帯域内ＩＰアドレス」と一致しないが、「問い合わせＩＰアドレス」が含まれるＩＰアドレス帯域が存在する場合は、そのＩＰアドレス帯域でのキャンペーン活動により、関連の疑わしいキャンペーンがあることが分かる。よって、インタフェース部７０は、「問い合わせＩＰアドレス」が含まれるＩＰアドレス帯域がある場合、この「ＩＰアドレス帯域」にかかるキャンペーン名を関連が疑わしいキャンペーンとし、関連付けられた信頼度（例えば、高、中、低）を関連性を示す評価値とする出力情報７２を出力する。
なお、インタフェース部７０は、「問い合わせＩＰアドレス」に関連するキャンペーンが存在しない場合は、存在なしとする出力情報７２を出力する。また、インタフェース部７０は、出力したキャンペーン名に対応する手口、対処、利用する脆弱性などのキャンペーン関連情報をキャンペーン関連情報ＤＢ５０より取得し、出力情報７２に含めて出力する。
図１２は、入力情報７１に対する出力情報７２の具体例を説明する説明図である。なお、ＩＰアドレス帯域ＤＢ６０の格納内容については、図１１に例示したとおりとする。
図１２に示すように、ケースＣ１では、「ＡＡＡ．ＡＡＡ．ＡＡＡ．１１」を問い合わせＩＰアドレスとする入力情報７１が入力される。このケースＣ１では、ＩＰアドレス帯域ＤＢ６０において（図１１参照）、「帯域内ＩＰアドレス」に一致するＩＰアドレスがある、「キャンペーン１」が該当する。よって、インタフェース部７０は、「キャンペーン１」を確定情報とし、キャンペーン関連情報ＤＢ５０より取得した「キャンペーン１」の関連情報を含めた出力情報７２を出力する。
ケースＣ２では、「ＡＡＡ．ＡＡＡ．ＡＡＡ．２００」を問い合わせＩＰアドレスとする入力情報７１が入力される。このケースＣ２では、ＩＰアドレス帯域ＤＢ６０において（図１１参照）、「帯域内ＩＰアドレス」と一致しないが、「ＡＡＡ．ＡＡＡ．ＡＡＡ．２００」が含まれる「ＩＰアドレス帯域」の「ＡＡＡ．ＡＡＡ．ＡＡＡ．０／２２」が存在する。よって、インタフェース部７０は、「ＡＡＡ．ＡＡＡ．ＡＡＡ．０／２２」にかかる「キャンペーン１」と、その信頼度「高」と、キャンペーン関連情報ＤＢ５０より取得した「キャンペーン１」の関連情報とを含めた出力情報７２を出力する。
ケースＣ３では、「ＦＦＦ．ＦＦＦ．ＦＦＦ．６０」を問い合わせＩＰアドレスとする入力情報７１が入力される。このケースＣ３では、ＩＰアドレス帯域ＤＢ６０において（図１１参照）、「帯域内ＩＰアドレス」と一致しないが、「ＦＦＦ．ＦＦＦ．ＦＦＦ．６０」が含まれる「ＩＰアドレス帯域」の「ＦＦＦ．ＦＦＦ．ＦＦＦ．０／１９」が存在する。よって、インタフェース部７０は、「ＦＦＦ．ＦＦＦ．ＦＦＦ．０／１９」にかかる「キャンペーン１」と、その信頼度「低」と、キャンペーン関連情報ＤＢ５０より取得した「キャンペーン１」の関連情報とを含めた出力情報７２を出力する。
以上のように、評価装置１は、前処理部２０と、ＩＰアドレス帯域検出部３０と、ＩＰアドレス帯域統合部４０と、インタフェース部７０とを有する。前処理部２０は、サイバー脅威インテリジェンスＤＢ１０より例えば対象キャンペーン１２にかかる複数のサイバー脅威インテリジェンス１１を収集する。ＩＰアドレス帯域検出部３０のＩＰアドレス特定部３１は、収集した複数のサイバー脅威インテリジェンス１１を分析して、複数のサイバー脅威インテリジェンス１１に含まれるサイバー攻撃元のアドレスを特定する。ＩＰアドレス帯域検出部３０のＩＰアドレス帯域決定部３２は、特定したアドレスに基づいてサイバー攻撃の監視対象とするアドレス群（例えば「ＡＡＡ．ＡＡＡ．ＡＡＡ．０／２２」等のＣＩＤＲ記法によるアドレスのグループ（ＣＩＤＲブロック））を決定する。ＩＰアドレス帯域統合部４０は、決定したアドレス群に含まれるアドレスからのサイバー攻撃の検知状況に応じてアドレス群を監視対象とすることの信頼性に関する評価値（信頼度）を算出する。ＩＰアドレス帯域統合部４０は、このアドレス群について算出した評価値をＩＰアドレス帯域ＤＢ６０に格納する。インタフェース部７０は、入力情報７１に対し、ＩＰアドレス帯域ＤＢ６０に格納した評価値に応じた出力を行う。
このように、評価装置１は、サイバー攻撃の監視対象とするアドレス群について、アドレス群に含まれるアドレスからのサイバー攻撃の検知状況に応じてアドレス群を監視対象とすることの信頼性に関する評価値を出力するので、サイバー攻撃とアドレス群との関連性を評価できる。
また、前処理部２０が対象キャンペーン１２などの所定のサイバー攻撃の活動（キャンペーン）にかかるサイバー脅威インテリジェンス１１をサイバー脅威インテリジェンスＤＢ１０より収集することで、評価装置１は、所定のサイバー攻撃の活動にかかるサイバー攻撃と、アドレス群との関連性を評価できる。
また、ＩＰアドレス帯域統合部４０は、アドレス群の評価値について、当該アドレス群に含まれるアドレスの中で、時間の変化に伴って異なるアドレスからのサイバー攻撃の検知がある場合に、サイバー攻撃の検知がない場合に比べてより高い評価値を算出する。
サイバー攻撃については、サイバー攻撃に用いるアドレスを、同じアドレス群内において時系列で少し変化させる場合がある。例えば、サイバー攻撃の攻撃者は、攻撃元が特定されないようにするため、サイバー攻撃に用いるアドレスを時系列で変化させることがある。このように、サイバー攻撃に用いるアドレスを変化させる場合、攻撃者は、「ＡＡＡ．ＡＡＡ．ＡＡＡ．０／２２」等の同じアドレス群内の別アドレスを用いる可能性が高い。したがって、アドレス群の評価値について、時間の変化に伴って異なるアドレスからのサイバー攻撃の検知がある場合にはより高い評価値とすることで、サイバー攻撃に用いられる可能性の高い、疑わしいアドレス群として評価することができる。
また、インタフェース部７０は、入力情報７１における問い合わせ対象のアドレス（例えばＩＰアドレス）を包括するアドレス群（例えばＣＩＤＲブロック）をもとに、このアドレス群について算出した評価値を出力する。例えば、ユーザは、あるＩＰアドレスが自組織に対する怪しい通信先として観察されたときに、観察されたＩＰアドレスを問い合わせ対象アドレスとする。これにより、ユーザは、怪しい通信先として観察されたＩＰアドレスを包括するアドレス群と、サイバー攻撃との関連性を評価できる。例えば、ユーザは、実際にはサイバー脅威インテリジェンス１１として認識されていないＩＰアドレスであったとしても、ＩＰアドレスを包括するアドレス群と、サイバー攻撃との関連性の評価によりサイバー攻撃との関連を疑い、サイバー攻撃による被害を予防するための対策を実施できる。
なお、図示した各装置の各構成要素は、必ずしも物理的に図示の如く構成されていることを要しない。すなわち、各装置の分散・統合の具体的形態は図示のものに限られず、その全部または一部を、各種の負荷や使用状況などに応じて、任意の単位で機能的または物理的に分散・統合して構成することができる。
また、評価装置１で行われる各種処理機能は、ＣＰＵ（またはＭＰＵ、ＭＣＵ（Micro Controller Unit）等のマイクロ・コンピュータ）上で、その全部または任意の一部を実行するようにしてもよい。また、各種処理機能は、ＣＰＵ（またはＭＰＵ、ＭＣＵ等のマイクロ・コンピュータ）で解析実行されるプログラム上、またはワイヤードロジックによるハードウエア上で、その全部または任意の一部を実行するようにしてもよいことは言うまでもない。また、評価装置１で行われる各種処理機能は、クラウドコンピューティングにより、複数のコンピュータが協働して実行してもよい。
ところで、上記の実施形態で説明した各種の処理は、予め用意されたプログラムをコンピュータで実行することで実現できる。そこで、以下では、上記の実施形態と同様の機能を有するプログラムを実行するコンピュータ（ハードウエア）の一例を説明する。図１３は、実施形態にかかる評価装置１のハードウエア構成の一例を示すブロック図である。
図１３に示すように、評価装置１は、各種演算処理を実行するＣＰＵ１０１と、データ入力を受け付ける入力装置１０２と、モニタ１０３と、スピーカ１０４とを有する。また、評価装置１は、記憶媒体からプログラム等を読み取る媒体読取装置１０５と、各種装置と接続するためのインタフェース装置１０６と、有線または無線により外部機器と通信接続するための通信装置１０７とを有する。また、評価装置１は、各種情報を一時記憶するＲＡＭ１０８と、ハードディスク装置１０９とを有する。また、評価装置１内の各部（１０１〜１０９）は、バス１１０に接続される。
ハードディスク装置１０９には、上記の実施形態で説明した前処理部２０、ＩＰアドレス帯域検出部３０、ＩＰアドレス帯域統合部４０およびインタフェース部７０等における各種の処理を実行するためのプログラム１１１が記憶される。また、ハードディスク装置１０９には、プログラム１１１が参照する各種データ１１２が記憶される。入力装置１０２は、例えば、操作者から操作情報の入力を受け付ける。モニタ１０３は、例えば、操作者が操作する各種画面を表示する。インタフェース装置１０６は、例えば印刷装置等が接続される。通信装置１０７は、ＬＡＮ（Local Area Network）等の通信ネットワークと接続され、通信ネットワークを介した外部機器との間で各種情報をやりとりする。
ＣＰＵ１０１は、ハードディスク装置１０９に記憶されたプログラム１１１を読み出して、ＲＡＭ１０８に展開して実行することで、前処理部２０、ＩＰアドレス帯域検出部３０、ＩＰアドレス帯域統合部４０およびインタフェース部７０等にかかる各種の処理を行う。なお、プログラム１１１は、ハードディスク装置１０９に記憶されていなくてもよい。例えば、評価装置１が読み取り可能な記憶媒体に記憶されたプログラム１１１を読み出して実行するようにしてもよい。評価装置１が読み取り可能な記憶媒体は、例えば、ＣＤ−ＲＯＭやＤＶＤディスク、ＵＳＢ（Universal Serial Bus）メモリ等の可搬型記録媒体、フラッシュメモリ等の半導体メモリ、ハードディスクドライブ等が対応する。また、公衆回線、インターネット、ＬＡＮ等に接続された装置にこのプログラム１１１を記憶させておき、評価装置１がこれらからプログラム１１１を読み出して実行するようにしてもよい。
以上の実施形態に関し、さらに以下の付記を開示する。
（付記１）複数のサイバー攻撃情報を収集し、
収集した前記複数のサイバー攻撃情報を分析して、前記複数のサイバー攻撃情報に含まれるサイバー攻撃元のアドレスを特定し、
特定した前記アドレスに基づいて前記サイバー攻撃の監視対象とするアドレス群を決定し、
決定した前記アドレス群に含まれるアドレスからのサイバー攻撃の検知状況に応じて前記アドレス群を監視対象とすることの信頼性に関する評価値を算出し、
算出した前記評価値に応じた出力を行う、
処理をコンピュータに実行させることを特徴とするサイバー攻撃に関する評価プログラム。
（付記２）前記収集する処理は、所定のサイバー攻撃の活動にかかるサイバー攻撃情報を収集する、
ことを特徴とする付記１に記載の評価プログラム。
（付記３）前記算出する処理は、前記アドレス群に含まれるアドレスについて、時間の変化に伴って異なるアドレスからのサイバー攻撃の検知がある場合に、サイバー攻撃の検知がない場合に比べてより高い評価値を算出する、
ことを特徴とする付記１または２に記載の評価プログラム。
（付記４）前記出力を行う処理は、問い合わせ対象のアドレスを包括するアドレス群をもとに、当該アドレス群について算出した前記評価値を出力する、
ことを特徴とする付記１乃至３のいずれか一に記載の評価プログラム。
（付記５）複数のサイバー攻撃情報を収集し、
収集した前記複数のサイバー攻撃情報を分析して、前記複数のサイバー攻撃情報に含まれるサイバー攻撃元のアドレスを特定し、
特定した前記アドレスに基づいて前記サイバー攻撃の監視対象とするアドレス群を決定し、
決定した前記アドレス群に含まれるアドレスからのサイバー攻撃の検知状況に応じて前記アドレス群を監視対象とすることの信頼性に関する評価値を算出し、
算出した前記評価値に応じた出力を行う、
処理をコンピュータが実行することを特徴とするサイバー攻撃に関する評価方法。
（付記６）前記収集する処理は、所定のサイバー攻撃の活動にかかるサイバー攻撃情報を収集する、
ことを特徴とする付記５に記載の評価方法。
（付記７）前記算出する処理は、前記アドレス群に含まれるアドレスについて、時間の変化に伴って異なるアドレスからのサイバー攻撃の検知がある場合に、サイバー攻撃の検知がない場合に比べてより高い評価値を算出する、
ことを特徴とする付記５または６に記載の評価方法。
（付記８）前記出力を行う処理は、問い合わせ対象のアドレスを包括するアドレス群をもとに、当該アドレス群について算出した前記評価値を出力する、
ことを特徴とする付記５乃至７のいずれか一に記載の評価方法。
（付記９）複数のサイバー攻撃情報を収集する収集部と、
収集した前記複数のサイバー攻撃情報を分析して、前記複数のサイバー攻撃情報に含まれるサイバー攻撃元のアドレスを特定する特定部と、
特定した前記アドレスに基づいて前記サイバー攻撃の監視対象とするアドレス群を決定する決定部と、
決定した前記アドレス群に含まれるアドレスからのサイバー攻撃の検知状況に応じて前記アドレス群を監視対象とすることの信頼性に関する評価値を算出する算出部と、
算出した前記評価値に応じた出力を行う出力部と、
を有することを特徴とするサイバー攻撃に関する評価装置。
（付記１０）前記収集部は、所定のサイバー攻撃の活動にかかるサイバー攻撃情報を収集する、
ことを特徴とする付記９に記載の評価装置。
（付記１１）前記算出部は、前記アドレス群に含まれるアドレスについて、時間の変化に伴って異なるアドレスからのサイバー攻撃の検知がある場合に、サイバー攻撃の検知がない場合に比べてより高い評価値を算出する、
ことを特徴とする付記９または１０に記載の評価装置。
（付記１２）前記出力部は、問い合わせ対象のアドレスを包括するアドレス群をもとに、当該アドレス群について算出した前記評価値を出力する、
ことを特徴とする付記９乃至１１のいずれか一に記載の評価装置。
１…評価装置
１０…サイバー脅威インテリジェンスＤＢ
１０ａ…前処理済みサイバー脅威インテリジェンスＤＢ
１１…サイバー脅威インテリジェンス
１１ａ〜１１ｆ…領域
１２…対象キャンペーン
２０…前処理部
３０…ＩＰアドレス帯域検出部
３１…ＩＰアドレス特定部
３２…ＩＰアドレス帯域決定部
４０…ＩＰアドレス帯域統合部
５０…キャンペーン関連情報ＤＢ
６０…ＩＰアドレス帯域ＤＢ
６０ａ…ＩＰアドレス帯域候補ＤＢ
７０…インタフェース部
７１…入力情報
７２…出力情報
１０１…ＣＰＵ
１０２…入力装置
１０３…モニタ
１０４…スピーカ
１０５…媒体読取装置
１０６…インタフェース装置
１０７…通信装置
１０８…ＲＡＭ
１０９…ハードディスク装置
１１０…バス
１１１…プログラム
１１２…各種データ
Ｃ１〜Ｃ３…ケース

Claims (6)

  1. 複数のサイバー攻撃情報を収集し、
    収集した前記複数のサイバー攻撃情報を分析して、前記複数のサイバー攻撃情報に含まれるサイバー攻撃元のアドレスを特定し、
    特定した前記アドレスに基づいて所定のサイバー攻撃の監視対象とするアドレス群を決定し、
    決定した前記アドレス群に含まれるアドレスからの前記所定のサイバー攻撃の検知状況に応じて前記アドレス群を監視対象とすることの信頼性に関する評価値を算出し、
    算出した前記評価値に応じた出力を行う、
    処理をコンピュータに実行させることを特徴とする評価プログラム。
  2. 前記収集する処理は、前記所定のサイバー攻撃の活動にかかるサイバー攻撃情報を収集する、
    ことを特徴とする請求項１に記載のサイバー攻撃に関する評価プログラム。
  3. 前記算出する処理は、前記アドレス群の評価値について、当該アドレス群に含まれるアドレスの中で、時間の変化に伴って異なるアドレスからの前記所定のサイバー攻撃の検知がある場合に、当該サイバー攻撃の検知がない場合に比べてより高い評価値を算出する、
    ことを特徴とする請求項１または２に記載の評価プログラム。
  4. 前記出力を行う処理は、問い合わせ対象のアドレスを包括するアドレス群をもとに、当該アドレス群について算出した前記評価値を出力する、
    ことを特徴とする請求項１乃至３のいずれか一項に記載の評価プログラム。
  5. 複数のサイバー攻撃情報を収集し、
    収集した前記複数のサイバー攻撃情報を分析して、前記複数のサイバー攻撃情報に含まれるサイバー攻撃元のアドレスを特定し、
    特定した前記アドレスに基づいて所定のサイバー攻撃の監視対象とするアドレス群を決定し、
    決定した前記アドレス群に含まれるアドレスからの前記所定のサイバー攻撃の検知状況に応じて前記アドレス群を監視対象とすることの信頼性に関する評価値を算出し、
    算出した前記評価値に応じた出力を行う、
    処理をコンピュータが実行することを特徴とするサイバー攻撃に関する評価方法。
  6. 複数のサイバー攻撃情報を収集する収集部と、
    収集した前記複数のサイバー攻撃情報を分析して、前記複数のサイバー攻撃情報に含まれるサイバー攻撃元のアドレスを特定する特定部と、
    特定した前記アドレスに基づいて所定のサイバー攻撃の監視対象とするアドレス群を決定する決定部と、
    決定した前記アドレス群に含まれるアドレスからの前記所定のサイバー攻撃の検知状況に応じて前記アドレス群を監視対象とすることの信頼性に関する評価値を算出する算出部と、
    算出した前記評価値に応じた出力を行う出力部と、
    を有することを特徴とするサイバー攻撃に関する評価装置。
JP2018041316A 2018-03-07 2018-03-07 評価プログラム、評価方法および評価装置 Active JP6977625B2 (ja)

Priority Applications (3)

Application Number Priority Date Filing Date Title
JP2018041316A JP6977625B2 (ja) 2018-03-07 2018-03-07 評価プログラム、評価方法および評価装置
GB1900984.4A GB2571830B (en) 2018-03-07 2019-01-24 Recording medium on which evaluating program is recorded, evaluating method, and information processing apparatus
US16/257,638 US11336663B2 (en) 2018-03-07 2019-01-25 Recording medium on which evaluating program is recorded, evaluating method, and information processing apparatus

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
JP2018041316A JP6977625B2 (ja) 2018-03-07 2018-03-07 評価プログラム、評価方法および評価装置

Publications (2)

Publication Number Publication Date
JP2019159431A JP2019159431A (ja) 2019-09-19
JP6977625B2 true JP6977625B2 (ja) 2021-12-08

Family

ID=65655868

Family Applications (1)

Application Number Title Priority Date Filing Date
JP2018041316A Active JP6977625B2 (ja) 2018-03-07 2018-03-07 評価プログラム、評価方法および評価装置

Country Status (3)

Country Link
US (1) US11336663B2 (ja)
JP (1) JP6977625B2 (ja)
GB (1) GB2571830B (ja)

Families Citing this family (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP7311354B2 (ja) * 2019-08-21 2023-07-19 株式会社日立製作所 ネットワーク監視装置、ネットワーク監視方法、及びネットワーク監視プログラム
US11503047B2 (en) 2020-03-13 2022-11-15 International Business Machines Corporation Relationship-based conversion of cyber threat data into a narrative-like format
US20210286879A1 (en) * 2020-03-13 2021-09-16 International Business Machines Corporation Displaying Cyber Threat Data in a Narrative
CN115102778B (zh) * 2022-07-11 2024-05-24 深信服科技股份有限公司 一种状态确定方法、装置、设备及介质

Family Cites Families (38)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP3534305B2 (ja) * 2000-02-29 2004-06-07 日本電気株式会社 アドレス解決プロトコルを用いたｉｐアドレス重複検出方法
US7257630B2 (en) * 2002-01-15 2007-08-14 Mcafee, Inc. System and method for network vulnerability detection and reporting
JP2005134972A (ja) * 2003-10-28 2005-05-26 Pfu Ltd ファイアウォール装置
US9185074B2 (en) * 2004-07-06 2015-11-10 Hewlett-Packard Development Company, L.P. Method and system for generating ranges of internet protocol addresses
US10225282B2 (en) * 2005-04-14 2019-03-05 International Business Machines Corporation System, method and program product to identify a distributed denial of service attack
US7530105B2 (en) * 2006-03-21 2009-05-05 21St Century Technologies, Inc. Tactical and strategic attack detection and prediction
US9275215B2 (en) * 2008-04-01 2016-03-01 Nudata Security Inc. Systems and methods for implementing and tracking identification tests
JP5011234B2 (ja) * 2008-08-25 2012-08-29 株式会社日立情報システムズ 攻撃ノード群判定装置およびその方法、ならびに情報処理装置および攻撃対処方法、およびプログラム
US9894093B2 (en) * 2009-04-21 2018-02-13 Bandura, Llc Structuring data and pre-compiled exception list engines and internet protocol threat prevention
US20130091580A1 (en) 2011-10-11 2013-04-11 Mcafee, Inc. Detect and Prevent Illegal Consumption of Content on the Internet
US8681007B2 (en) * 2012-01-06 2014-03-25 International Business Machines Corporation Managing a potential choking condition with a monitoring system
US9633201B1 (en) * 2012-03-01 2017-04-25 The 41St Parameter, Inc. Methods and systems for fraud containment
US8813228B2 (en) * 2012-06-29 2014-08-19 Deloitte Development Llc Collective threat intelligence gathering system
KR101884713B1 (ko) * 2012-07-20 2018-08-30 삼성전자주식회사 홈 네트워크 시스템 및 상기 시스템에서의 공유기의 네트워크 설정 방법
CA2886058A1 (en) * 2012-09-28 2014-04-03 Level 3 Communications, Llc Identifying and mitigating malicious network threats
US8973140B2 (en) * 2013-03-14 2015-03-03 Bank Of America Corporation Handling information security incidents
CN105210042B (zh) * 2013-03-14 2019-07-12 班杜拉有限责任公司 互联网协议威胁防护
US10015153B1 (en) * 2013-12-23 2018-07-03 EMC IP Holding Company LLC Security using velocity metrics identifying authentication performance for a set of devices
US8832832B1 (en) * 2014-01-03 2014-09-09 Palantir Technologies Inc. IP reputation
US9886581B2 (en) * 2014-02-25 2018-02-06 Accenture Global Solutions Limited Automated intelligence graph construction and countermeasure deployment
US10469514B2 (en) * 2014-06-23 2019-11-05 Hewlett Packard Enterprise Development Lp Collaborative and adaptive threat intelligence for computer security
US9753946B2 (en) * 2014-07-15 2017-09-05 Microsoft Technology Licensing, Llc Reverse IP databases using data indicative of user location
US9942250B2 (en) * 2014-08-06 2018-04-10 Norse Networks, Inc. Network appliance for dynamic protection from risky network activities
US9584533B2 (en) * 2014-11-07 2017-02-28 Arbor Networks, Inc. Performance enhancements for finding top traffic patterns
US20160171415A1 (en) * 2014-12-13 2016-06-16 Security Scorecard Cybersecurity risk assessment on an industry basis
JP6327567B2 (ja) * 2015-02-17 2018-05-23 日本電信電話株式会社 アンテナ装置及び電磁波伝送方法
US20160301658A1 (en) * 2015-04-10 2016-10-13 X15 Software, Inc. Method, apparatus, and computer-readable medium for efficient subnet identification
JP6360012B2 (ja) * 2015-08-04 2018-07-18 日本電信電話株式会社 ネットワーク統合システムおよびネットワーク統合方法
JP2017045188A (ja) 2015-08-25 2017-03-02 日本電信電話株式会社 通信記録確認装置、通信記録確認システム、通信記録確認方法および通信記録確認プログラム
US9699205B2 (en) * 2015-08-31 2017-07-04 Splunk Inc. Network security system
US10432521B2 (en) * 2016-01-28 2019-10-01 Verint Systems Ltd. System and method for identifying devices behind network address translators
US10552615B2 (en) * 2016-02-18 2020-02-04 Swimlane Llc Threat response systems and methods
US10069856B2 (en) * 2016-05-13 2018-09-04 King Abdulaziz City For Science And Technology System and method of comparative evaluation for phishing mitigation
US10554683B1 (en) * 2016-05-19 2020-02-04 Board Of Trustees Of The University Of Alabama, For And On Behalf Of The University Of Alabama In Huntsville Systems and methods for preventing remote attacks against transportation systems
US10594728B2 (en) * 2016-06-29 2020-03-17 AVAST Software s.r.o. Detection of domain name system hijacking
JP6786960B2 (ja) * 2016-08-26 2020-11-18 富士通株式会社 サイバー攻撃分析支援プログラム、サイバー攻撃分析支援方法およびサイバー攻撃分析支援装置
KR101712462B1 (ko) * 2016-10-14 2017-03-06 국방과학연구소 Ip 위험군 탐지 시스템
US11102239B1 (en) * 2017-11-13 2021-08-24 Twitter, Inc. Client device identification on a network

Also Published As

Publication number Publication date
GB2571830B (en) 2022-11-09
US11336663B2 (en) 2022-05-17
GB2571830A (en) 2019-09-11
US20190281075A1 (en) 2019-09-12
GB201900984D0 (en) 2019-03-13
JP2019159431A (ja) 2019-09-19

Similar Documents

Publication Publication Date Title
JP6977625B2 (ja) 評価プログラム、評価方法および評価装置
US10476904B2 (en) Non-transitory recording medium recording cyber-attack analysis supporting program, cyber-attack analysis supporting method, and cyber-attack analysis supporting apparatus
CN104509034B (zh) 模式合并以识别恶意行为
EP3287927B1 (en) Non-transitory computer-readable recording medium storing cyber attack analysis support program, cyber attack analysis support method, and cyber attack analysis support device
Perdisci et al. Alarm clustering for intrusion detection systems in computer networks
CN110431817A (zh) 识别恶意网络设备
JP7005936B2 (ja) 評価プログラム、評価方法および情報処理装置
CN111786950A (zh) 基于态势感知的网络安全监控方法、装置、设备及介质
US20150172303A1 (en) Malware Detection and Identification
CN113496033B (zh) 访问行为识别方法和装置及存储介质
CN110149319B (zh) Apt组织的追踪方法及装置、存储介质、电子装置
CN110188538B (zh) 采用沙箱集群检测数据的方法及装置
JP4773332B2 (ja) セキュリティ管理装置及びセキュリティ管理方法及びプログラム
EP3913888A1 (en) Detection method for malicious domain name in domain name system and detection device
Kim et al. CyTIME: Cyber Threat Intelligence ManagEment framework for automatically generating security rules
JP2013152497A (ja) ブラックリスト抽出装置、抽出方法および抽出プログラム
JP6984754B2 (ja) サイバー攻撃情報分析プログラム、サイバー攻撃情報分析方法および情報処理装置
JP2020072384A (ja) サイバー攻撃評価プログラム、サイバー攻撃評価方法および情報処理装置
WO2018211835A1 (ja) 評価プログラム、評価方法および情報処理装置
US20230379361A1 (en) System and method for generating cyber threat intelligence
JP2018022248A (ja) ログ分析システム、ログ分析方法及びログ分析装置
JP7424395B2 (ja) 分析システム、方法およびプログラム
JP2021111802A (ja) 検知プログラム、検知方法および情報処理装置
Slamet et al. Campus hybrid intrusion detection system using snort and c4. 5 algorithm
JP7405162B2 (ja) 分析システム、方法およびプログラム

Legal Events

Date Code Title Description
A621 Written request for application examination

Free format text: JAPANESE INTERMEDIATE CODE: A621

Effective date: 20201110

A977 Report on retrieval

Free format text: JAPANESE INTERMEDIATE CODE: A971007

Effective date: 20210818

A131 Notification of reasons for refusal

Free format text: JAPANESE INTERMEDIATE CODE: A131

Effective date: 20210824

A521 Request for written amendment filed

Free format text: JAPANESE INTERMEDIATE CODE: A523

Effective date: 20210929

TRDD Decision of grant or rejection written
A01 Written decision to grant a patent or to grant a registration (utility model)

Free format text: JAPANESE INTERMEDIATE CODE: A01

Effective date: 20211012

A61 First payment of annual fees (during grant procedure)

Free format text: JAPANESE INTERMEDIATE CODE: A61

Effective date: 20211025

R150 Certificate of patent or registration of utility model

Ref document number: 6977625

Country of ref document: JP

Free format text: JAPANESE INTERMEDIATE CODE: R150