JP7078562B2 - 計算機システム、インシデントによる業務システムへの影響の分析方法、及び分析装置 - Google Patents

Description

本発明は、インシデントが業務システムに与える影響を防止するためのセキュリティ対策を立案する技術に関する。

近年、民間企業、防衛関連企業、及び公的機関等を狙ったサイバ攻撃が顕在化しており、個人、企業、及び国家の利益及び安全性を損なうリスクが高まっている。また、攻撃手法の巧妙化しており、高度なマルウェアを巧みに活用して特定の官庁、企業、及び組織のネットワークに侵入し、機密情報の窃取及びシステム破壊を行う標的型攻撃は、セキュリティ上の大きな脅威となっている。このような背景から、迅速な脅威の解析と、解析結果に基づく対策の立案が重要となる。

例えば、特許文献１には、ＦＷ（ＦｉｒｅＷａｌｌ）からマルウェア候補サンプルを受信し、マルウェア候補サンプルがマルウェアであるか否かを判定するために仮想マシンを用いてマルウェア候補サンプルを解析し、マルウェア候補サンプルがマルウェアであると判定された場合にシグネチャを自動的に生成するシステムが開示されている。

特表２０１４－５１９１１３号公報

特許文献１の技術を用いることによって、一般的なウィルス対策ソフトでは防ぐことができない未知のマルウェアによる攻撃を防ぐことができる。

しかし、特許文献１の技術は、複数の業務システムへの影響を評価する技術ではない。そのため、他の業務システム（例えば、ある企業が運用する業務システム）で発生したインシデントに関する情報を活用して、当該インシデントが評価対象の業務システム（例えば、自社が運用する業務システム）に与える影響の有無を判定し、当該影響を防止するための対策を立案することができない。例えば、他の業務システムで検出されたマルウェアが評価対象の業務システムに影響を与えないにもかかわらずシグネチャが生成され、生成されたシグネチャが業務システムに悪影響を与えてしまう可能性がある。

本発明は、他の業務システムで発生したインシデントに関する情報を活用して、当該インシデントが評価対象の業務システムへ与える影響を分析することを目的とする。

本発明の代表的な一例は、以下の通りである。すなわち、複数の計算機を備える計算機システムであって、前記複数の計算機の各々は、プロセッサ、前記プロセッサに接続される記憶装置、及び前記プロセッサに接続されるインタフェースを有し、前記計算機システムは、業務を実行する複数の業務システムと接続し、前記複数の業務システムの各々の構成及び影響の有無を判定するための判定基準を定義した業務システム管理情報を管理し、第１の業務システムにおいて発生したインシデントに関する情報、前記第１の業務システムにおける影響の検出方法に関する情報、及び前記第１の業務システムにおける影響を解消するために行われた対処に関する情報を含むインシデントデータを取得する第１の処理と、前記業務システム管理情報に基づいて、前記計算機システムと接続する業務システムであり、かつ、前記第１の業務システムとは異なる業務システムを模擬する評価業務システムを構築する第２の処理と、前記インシデントデータに基づいて、前記評価業務システム上で前記第１の業務システムにおいて発生したインシデントを再現し、当該インシデントによる前記評価業務システムの影響を分析する第３の処理と、前記分析の結果を出力する第４の処理と、を実行し、前記第３の処理では、前記第１の業務システムにおける影響の検出方法に基づいて、前記評価業務システムの前記判定基準を満たすか否かを判定する処理と、前記評価業務システムの判定基準を満たすと判定された場合、前記第１の業務システムにおいて発生したインシデントによる前記評価業務システムへの影響があると判定し、前記評価業務システムに対して、前記第１の業務システムにおける影響を解消するために行われた対処に対応する対策を適用する処理と、前記対策が適用された評価業務システム上で前記第１の業務システムにおいて発生したインシデントを再現し、当該インシデントによる前記評価業務システムの影響を分析する処理と、が実行される。

本発明の一形態によれば、他の業務システムで発生したインシデントに関する情報を活用して、インシデントが評価対象の業務システムへ与える影響を分析できる。上記した以外の課題、構成及び効果は、以下の実施例の説明により明らかにされる。

実施例１に係る計算機システムの構成例を示す図である。 実施例１のインシデントデータ管理情報のデータ構造の一例を示す図である。 実施例１の業務システム管理情報のデータ構造の一例を示す図である。 実施例１のインシデント再現結果管理情報のデータ構造の一例を示す図である。 実施例１のインシデント再現装置が実行する処理の一例を説明するフローチャートである。 実施例１のインシデント再現装置が実行するインシデント再現処理の一例を説明するフローチャートである。 実施例１のインシデント再現結果を表示する表示画面の一例を示す図である。 実施例２のインシデント再現装置の構成例を示す図である。 実施例２の攻撃手法管理情報のデータ構造の一例を示す図である。 実施例２のインシデント再現装置が実行する処理の一例を説明するフローチャートである。 実施例２のインシデント再現装置が実行するインシデント再現処理の一例を説明するフローチャートである。

まず、実発明の概要について説明する。

本明細書では、業務システムを運用する個人、企業、及び国等を区別しない場合、組織と記載する。

インシデント（セキュリティインシデント）が発生した業務システムを運用する組織では、組織の中に存在するＳＯＣ（Ｓｅｃｕｒｉｔｙ Ｏｐｅｒａｔｉｏｎ Ｃｅｎｔｅｒ）及びＣＳＩＲＴ（Ｃｏｍｐｕｔｅｒ Ｓｅｃｕｒｉｔｙ Ｉｎｃｉｄｅｎｔ Ｒｅｓｐｏｎｓｅ Ｔｅａｍ）等でインシデントの原因である脅威の特定、脅威の検出方法の確立、脅威への対策が行われる。

本発明では、インシデント再現装置１１０（図１を参照）が、ある組織で特定された脅威、脅威の検出方法、及び脅威による影響を解消するために行われた対処に関する情報を含むインシデントデータを取得し、評価対象の組織が運用する業務システム上でインシデントを再現する。インシデント再現装置１１０は、当該インシデントによる業務システムへの影響がある場合、当該影響を防止するための対策を立案する。

以上のような処理が実行されることによって、ある業務システムで発生したインシデントが評価対象の業務システムに与える影響を防止する対策を立案することができる。これによって、複数の業務システムにおいて同様のインシデントの発生を予防することが可能となる。

以下、本発明の実施例を、図面を用いて説明する。ただし、本発明は以下に示す実施例の記載内容に限定して解釈されるものではない。本発明の思想ないし趣旨から逸脱しない範囲で、その具体的構成を変更し得ることは当業者であれば容易に理解される。

以下に説明する発明の構成において、同一又は類似する構成又は機能には同一の符号を付し、重複する説明は省略する。

本明細書等における「第１」、「第２」、「第３」等の表記は、構成要素を識別するために付するものであり、必ずしも、数又は順序を限定するものではない。

図面等において示す各構成の位置、大きさ、形状、及び範囲等は、発明の理解を容易にするため、実際の位置、大きさ、形状、及び範囲等を表していない場合がある。したがって、本発明では、図面等に開示された位置、大きさ、形状、及び範囲等に限定されない。

図１は、実施例１に係る計算機システムの構成例を示す図である。

計算機システムは、異なる組織が運用するシステム１００から構成される。図１では、組織Ａ、Ｂ、Ｃ、Ｄが運用するシステム１００Ａ、１００Ｂ、１００Ｃ、１００Ｄから構成される。なお、本発明は計算機システムを構成するシステム１００の数に限定されない。

各システム１００Ａ、１００Ｂ、１００Ｃ、１００Ｄは、ネットワーク１０１を介して互いに接続される。ネットワーク１０１は、例えば、ＷＡＮ（Ｗｉｄｅ Ａｒｅａ Ｎｅｔｗｏｒｋ）等である。ネットワーク１０１の接続方式は有線及び無線のいずれでもよい。

システム１００Ａは、インシデント再現装置１１０、評価環境１４０、及び本番環境１５０から構成される。なお、一つのシステム１００にのみインシデント再現装置１１０が存在する構成でもよい。

本番環境１５０は、実際に業務を行う業務システム（図示省略）を構築するための環境である。例えば、ファイルサーバ、ＷＥＢサーバ、ＤＮＳ（Ｄｏｍａｉｎ Ｎａｍｅ Ｓｙｓｔｅｍ）サーバ等が業務システムとして挙げられる。本番環境１５０には、複数の計算機及びネットワーク装置、並びに、各種ソフトウェアが含まれる。

評価環境１４０は、インシデントの影響を分析する業務システムを模擬する評価業務システム１４１を構築するための環境である。図１の評価環境１４０には、評価業務システムＡ１４１Ａ、評価業務システムＢ１４１Ｂ、評価業務システムＣ１４１Ｃが構築される。各評価業務システム１４１は、ネットワーク１４２を介してインシデント再現装置１１０と接続する。ネットワーク１４２は、例えば、ＬＡＮ（Ｌｏｃａｌ Ａｒｅａ Ｎｅｔｗｏｒｋ）等である。ネットワーク１４２の接続方式は有線及び無線のいずれでもよい。

実施例１では、自システム１００Ａ内で稼働する業務システムを模擬した評価業務システム１４１が評価環境１４０に構築される。なお、他のシステム１００Ｂ、１００Ｃ、１００Ｄで稼働する業務システムを模擬した評価業務システム１４１が構築されてよい。

インシデント再現装置１１０は、評価環境１４０に評価業務システム１４１を構築し、評価業務システム１４１上でインシデントを再現し、当該インシデントによる評価業務システム１４１への影響を分析する。

インシデント再現装置１１０は、ＣＰＵ（Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）１１３、メインメモリ１１４、記憶装置１１５、インタフェース１１２、及び入出力装置１１６を有する計算機である。各ハードウェアは通信路１１７を介して互いに接続される。通信路１１７は、例えば、バス及びケーブル等の情報伝達媒体である。

ＣＰＵ１１３は、メインメモリ１１４に格納されたプログラムを実行する。ＣＰＵ１１３がプログラムにしたがって処理を実行することによって、特定の機能を実現する機能部（モジュール）として動作する。

メインメモリ１１４は、ＣＰＵ１１３が実行するプログラム及び当該プログラムの実行時に使用するデータを格納する。また、メインメモリ１１４は、プログラムが一時的に使用するワークエリアを含む。メインメモリ１１４に格納されるプログラムの詳細は後述する。

記憶装置１１５は大量のデータを永続的に格納する。記憶装置１１５は、例えば、ＨＤＤ（Ｈａｒｄ Ｄｉｓｋ Ｄｒｉｖｅ）及びフラッシュメモリ等である。記憶装置１１５に格納されるデータの詳細は後述する。

インタフェース１１２は、他の装置と通信するためのインタフェースである。インタフェース１１２は、例えば、ＮＩＣ（Ｎｅｔｗｏｒｋ Ｉｎｔｅｒｆａｃｅ Ｃａｒｄ）である。図１では、インシデント再現装置１１０は、インタフェース１１２Ａを介して他のシステム１００Ｂ、１００Ｃ、１００Ｄと通信し、また、インタフェース１１２Ｂを介して、評価環境１４０及び本番環境１５０と通信する。

入出力装置１１６は、インシデント再現装置１１０にデータを入力し、インシデント再現装置１１０からデータを出力するための装置である。入出力装置１１６は、例えば、キーボード、マウス、タッチパネル、及びディスプレイ等から構成される。

ここで、メインメモリ１１４に格納されるプログラムについて説明する。メインメモリ１１４は、インシデントデータ受信プログラム１２１、業務システム構築プログラム１２２、インシデント再現プログラム１２３、影響分析プログラム１２４、対策適用プログラム１２５、及び提示プログラム１２６を格納する。

メインメモリ１１４に格納されるプログラムは、記憶装置１１５に格納されていてもよいし、外部の装置に格納されてもよい。記憶装置１１５にプログラムが格納されている場合、ＣＰＵ１１３は、記憶装置１１５からプログラムを読み出し、メインメモリ１１４にロードする。外部の装置にプログラムが格納されている場合、ＣＰＵ１１３は、入出力装置１１６又はインタフェース１１２を介して外部装置からプログラムを取得し、メインメモリ１１４にインストール（ロード）する。

インシデントデータ受信プログラム１２１は、他組織のシステム１００上で稼働する業務システムで発生したインシデントに関連する情報を含むインシデントデータを受信するために実行されるプログラムである。

業務システム構築プログラム１２２は、評価環境１４０に評価業務システム１４１を構築するために実行されるプログラムである。

インシデント再現プログラム１２３は、評価業務システム１４１上でインシデントを再現するために実行されるプログラムである。

影響分析プログラム１２４は、再現されたインシデントによる評価業務システム１４１への影響を分析するために実行されるプログラムである。

対策適用プログラム１２５は、評価業務システム１４１に対策を適用するために実行されるプログラムである。

提示プログラム１２６は、ユーザに分析の結果をインシデント再現結果として提示するために実行されるプログラムである。例えば、提示プログラム１２６が実行されることによって、情報の可視化（画面の表示）又は音声の再生等が行われる。

なお、メインメモリ１１４に格納されるプログラムは、複数のプログラムを一つのプログラムにまとめてもよいし、一つのプログラムを複数のプログラムに分けてもよい。例えば、インシデント再現プログラム１２３及び影響分析プログラム１２４を一つのプログラムにしてよい。

次に、記憶装置１１５に格納されるデータについて説明する。記憶装置１１５は、インシデントデータ管理情報１３１、業務システム管理情報１３２、及びインシデント再現結果管理情報１３３を格納する。

インシデントデータ管理情報１３１は、インシデントデータを管理するための情報である。インシデントデータ管理情報１３１のデータ構造の詳細は図２を用いて説明する。

業務システム管理情報１３２は、業務システムの構成及び影響の確認方法等を管理するための情報である。業務システム管理情報１３２のデータ構造の詳細は図３を用いて説明する。

インシデント再現結果管理情報１３３は、インシデント再現結果を管理するための情報である。インシデント再現結果管理情報１３３のデータ構造の詳細は図４を用いて説明する。

図２は、実施例１のインシデントデータ管理情報１３１のデータ構造の一例を示す図である。

インシデントデータ管理情報１３１は、ＩＤ２０１、日時２０２、組織２０３、脅威２０４、検出方法２０５、及び対処手段２０６から構成されるエントリを格納する。一つのエントリが一つのインシデントデータに対応する。

ＩＤ２０１は、インシデントデータ（エントリ）を一意に識別するための識別情報を格納するフィールドである。

日時２０２は、インシデントが発生した日時を格納するフィールドである。各システム１００が管理する時刻は同期が行われているものとする。

組織２０３は、インシデントが発生したシステム１００、すなわち、インシデントデータの送信元の組織を識別するための識別情報を格納するフィールドである。

脅威２０４は、インシデントの原因である脅威を示す情報を格納するフィールドである。本明細書では、業務システムに対する攻撃を行う主体（プログラム）及び業務システムに対する攻撃の契機となる行為を「脅威」と定義する。

検出方法２０５は、脅威を検出する方法を格納するフィールドである。複数の検出方法が存在する場合、検出方法２０５には複数の検出方法が格納される。また、検出方法が不明の場合、検出方法２０５は空欄となる。

対処手段２０６は、検出された脅威に対して行われた処理及び行動等の対処に関する情報を格納するフィールドである。インシデントに対して複数の対処が行われた場合、対処手段２０６には複数の対処を示す情報が格納される。また、対処が不明の場合、対処手段２０６は空欄となる。

ＩＤ２０１が「１」に対応するインシデントデータは、組織Ｂ（システム１００Ｂ）において、２０１８／１／１の００：００：００に、マルウェアＡが脅威として検出されたこと、マルウェアＡの感染により、サイトＡへの通信及びａ．ｅｘｅの生成が観測されたこと、サイトＡへの通信の遮断及びパッチＡの適用が対処として行われたことを表す。

ＩＤ２０１が「４」に対応するインシデントデータは、組織Ｄ（システム１００Ｄ）において、２０１８／１／１の００：００：３０に、マルウェアＣが脅威として特定されたこと、検出方法及び対処が不明であることを表す。

なお、インシデントデータは、説明の都合上、実際に組織（システム１００）で発生したインシデントに関連する情報を含むものと説明しているが、必ずしもインシデントが発生している必要はない。インシデントデータ管理情報１３１には、既知の脅威に関する情報を含むインシデントデータが格納されてもよい。

インシデントデータ管理情報１３１は、インシデントデータ受信プログラム１２１を実行するＣＰＵ１１３によって生成される。また、インシデントデータ管理情報１３１は、業務システム上でのインシデントの再現、インシデントが業務システムへ与える影響の分析、及び業務システムへの対策の適用を行う場合、並びに、インシデント再現結果を提示する場合に用いられる。

図３は、実施例１の業務システム管理情報１３２のデータ構造の一例を示す図である。

業務システム管理情報１３２は、ＩＤ３０１、システム名３０２、ＯＳ３０３、アプリケーション３０４、及び判定基準３０５から構成されるエントリを格納する。一つのエントリが一つの業務システムに対応する。

ＩＤ３０１は、業務システム（エントリ）を一意に識別するための識別情報を格納するフィールドである。

システム名３０２は、業務システムの名前を格納するフィールドである。ＯＳ３０３は、業務システムで用いられるＯＳ（Ｏｐｅｒａｔｉｎｇ Ｓｙｓｔｅｍ）を示す情報を格納するフィールドである。アプリケーション３０４は、業務システムで用いられるアプリケーションを示す情報を格納するフィールドである。

判定基準３０５は、インシデントによる業務システムへの影響の有無を判定するための基準に関する情報を格納するフィールドである。判定基準３０５には、複数の判定基準を示す情報が格納されてもよい。この場合、インシデント再現装置１１０は、いずれかの判定基準を満たす場合、インシデントによる業務システムへの影響があると判定する。

ＩＤ３０１が「１」に対応する業務システムは、ＯＳＡを利用すること、ＯＳＡ上で業務アプリケーションＡ及びデータベースＡがインストールされること、業務アプリケーションＡの停止、データの改ざん、又はマルウェアの感染が判定基準として設定されていることを表す。

業務システム管理情報１３２は、予め設定されているものとする。ただし、計算機システムの管理者等が必要に応じて、エントリの追加、削除、及び更新を行ってもよい。業務システム管理情報１３２は、評価環境１４０に評価業務システム１４１を構築する場合に用いられる。

図４は、実施例１のインシデント再現結果管理情報１３３のデータ構造の一例を示す図である。

インシデント再現結果管理情報１３３は、ＩＤ４０１、インシデントＩＤ４０２、業務システムＩＤ４０３、影響４０４、対策４０５、及び適用後影響４０６から構成されるエントリを格納する。一つのエントリが一つのインシデント再現結果に対応する。

ＩＤ４０１は、インシデント再現結果を一意に識別するための識別情報を格納するフィールドである。

インシデントＩＤ４０２は、再現したインシデントの識別情報を格納するフィールドである。インシデントＩＤ４０２はＩＤ２０１に対応する。

業務システムＩＤ４０３は、インシデントの再現が行われた評価業務システム１４１の識別情報を格納するフィールドである。業務システムＩＤ４０３はＩＤ３０１に対応する。

影響４０４は、再現されたインシデントによる評価業務システム１４１への影響の有無を示す情報を格納する。影響４０４には「あり」又は「なし」のいずれかが格納される。「あり」は影響があることを示し、「なし」は影響がないことを示す。

対策４０５は、業務システムに対して適用した対策を示す情報を格納する。

適用後影響４０６は、再現されたインシデントによる、対策が適用された後の業務システムへの影響の有無を示す情報を格納する。適用後影響４０６には「あり」又は「なし」のいずれかが格納される。

ＩＤ４０１が「１」に対応するインシデント再現結果は、業務システムＡがＩＤ２０１が「１」のインシデントによる影響を受けること、また、「サイトＡ遮断」の対策を適用した業務システムＡも当該インシデントの影響を受けることを表す。

インシデント再現結果管理情報１３３は、影響分析プログラム１２４を実行するＣＰＵ１１３によって生成される。インシデント再現結果管理情報１３３は、インシデント再現結果を提示する場合に用いられる。

次に、インシデント再現装置１１０が実行する処理の詳細について説明する。

図５は、実施例１のインシデント再現装置１１０が実行する処理の一例を説明するフローチャートである。

インシデント再現装置１１０は、インタフェース１１２Ａを介して、任意のシステム１００からインシデントデータを受信した場合（ステップＳ５０１）、当該インシデントデータに対応するインシデントが未知の脅威に起因するインシデントであるか否かを判定する（ステップＳ５０２）。

具体的には、インシデントデータ受信プログラム１２１を実行するＣＰＵ１１３は、受信したインシデントから脅威に関する情報を取得する。ＣＰＵ１１３は、インシデントデータ管理情報１３１を参照し、脅威２０４が取得した脅威に関する情報と一致するエントリが存在するか否かを判定する。前述の条件を満たすエントリが存在しない場合、ＣＰＵ１１３は、受信したインシデントデータに対応するインシデントが未知の脅威に起因するインシデントであると判定する。

受信したインシデントデータに対応するインシデントが未知の脅威に起因するインシデントでないと判定された場合、インシデント再現装置１１０は処理を終了する。この場合、インシデントデータ受信プログラム１２１を実行するＣＰＵ１１３は、受信したインシデントデータをインシデントデータ管理情報１３１に登録せずに、処理を終了する。

受信したインシデントデータに対応するインシデントが未知の脅威に起因するインシデントであると判定された場合、インシデント再現装置１１０は業務システムのループ処理を開始する（ステップＳ５０３）。

具体的には、インシデントデータ受信プログラム１２１を実行するＣＰＵ１１３は、インシデントデータ管理情報１３１に受信したインシデントデータを登録し、業務システム構築プログラム１２２を起動する。業務システム構築プログラム１２２を実行するＣＰＵ１１３は、業務システム管理情報１３２に格納されるエントリから一つのエントリを選択する。以下では、選択されたエントリに対応する業務システムをターゲット業務システムと記載する。

次に、インシデント再現装置１１０は、評価環境１４０に、ターゲット業務システムに対応する評価業務システム１４１を構築する（ステップＳ５０４）。

具体的には、業務システム構築プログラム１２２を実行するＣＰＵ１１３は、業務システム管理情報１３２から選択されたエントリのＯＳ３０３及びアプリケーション３０４に基づいて、評価環境１４０に評価業務システム１４１を構築する。その後、ＣＰＵ１１３は、インシデント再現プログラム１２３を起動する。

次に、インシデント再現装置１１０は、構築された評価業務システム１４１に対してインシデント再現処理を実行する（ステップＳ５０５）。インシデント再現処理の詳細は図６を用いて説明する。

次に、インシデント再現装置１１０は、全ての業務システムについて処理が完了したか否かを判定する（ステップＳ５０６）。

全ての業務システムについて処理が完了していないと判定された場合、インシデント再現装置１１０は、ステップＳ５０３に戻り、同様の処理を実行する。

具体的には、影響分析プログラム１２４を実行するＣＰＵ１１３は、業務システム構築プログラム１２２を起動する。

全ての業務システムについて処理が完了したと判定された場合、インシデント再現装置１１０は、インシデント再現結果を提示し（ステップＳ５０７）、その後、処理を終了する。

具体的には、影響分析プログラム１２４を実行するＣＰＵ１１３は、提示プログラム１２６を起動する。提示プログラム１２６を実行するＣＰＵ１１３は、インシデント再現結果を提示するための情報（表示情報及び音声情報等）を生成し、出力する。表示情報に基づいて表示される画面については図７を用いて説明する。

図６は、実施例１のインシデント再現装置１１０が実行するインシデント再現処理の一例を説明するフローチャートである。

インシデント再現装置１１０は、構築された評価業務システム１４１上で、受信したインシデントデータに対応するインシデントを再現し、当該インシデントの影響を分析する（ステップＳ６０１）。具体的には、以下のような処理が実行される。

インシデント再現プログラム１２３を実行するＣＰＵ１１３は、インシデントデータに基づいて、評価業務システム１４１上でインシデントを再現する。例えば、脅威２０４に対応するプログラム（マルウェア）を実行し、又は、脅威２０４に対する行為（サイトへのアクセス）を実行する。インシデント再現プログラム１２３を実行するＣＰＵ１１３は、影響分析プログラム１２４を起動する。

影響分析プログラム１２４を実行するＣＰＵ１１３は、インシデントが再現された評価業務システム１４１の挙動を監視し、ステップＳ５０３において選択されたエントリの判定基準３０５に設定された判定基準を満たすか否かを判定する。このとき、ＣＰＵ１１３は、予め設定されたポリシ、又は、受信したインシデントデータの検出方法２０５を用いて評価業務システム１４１の挙動を監視する。予め設定されたポリシに基づく評価業務システム１４１の挙動の監視には、稼働するプロセス、ＣＰＵ１１３の使用率、データ改ざんの有無等を確認するためのプログラムを評価業務システム１４１にインストールし、利用してもよい。

以上がステップＳ６０１の処理の説明である。

次に、インシデント再現装置１１０は、再現されたインシデントによる評価業務システム１４１への影響があるか否かを判定する（ステップＳ６０２）。

具体的には、影響分析プログラム１２４を実行するＣＰＵ１１３は、判定基準３０５に設定された判定基準を満たすか否かが判定される。判定基準３０５に設定された判定基準を満たす場合、ＣＰＵ１１３は、再現されたインシデントによる評価業務システム１４１への影響があると判定する。

再現されたインシデントによる評価業務システム１４１への影響がないと判定された場合、インシデント再現装置１１０は、インシデント再現結果管理情報１３３を更新し（ステップＳ６０３）、その後、インシデント再現処理を終了する。

具体的には、影響分析プログラム１２４を実行するＣＰＵ１１３は、インシデント再現結果管理情報１３３にエントリを追加し、追加されたエントリのＩＤ４０１に識別情報を設定する。ＣＰＵ１１３は、追加されたエントリのインシデントＩＤ４０２に再現されたインシデントの識別情報を格納し、業務システムＩＤ４０３にターゲット業務システムの識別情報を格納し、影響４０４に「なし」を格納する。この場合、対策４０５及び適用後影響４０６は空欄となる。

再現されたインシデントによる評価業務システム１４１への影響があると判定された場合、インシデント再現装置１１０は、対処のループ処理を開始する（ステップＳ６０４）。具体的には、以下のような処理が実行される。

影響分析プログラム１２４を実行するＣＰＵ１１３は、対策適用プログラム１２５を起動する。

対策適用プログラム１２５を実行するＣＰＵ１１３は、インシデントデータ管理情報１３１を参照し、受信したインシデントデータに対応するエントリを検索する。ＣＰＵ１１３は、検索されたエントリの対処手段２０６に設定された対処の中から一つの対処を選択する。

以上がステップＳ６０４の処理の説明である。

次に、インシデント再現装置１１０は、選択された対処を対策として評価業務システム１４１に適用する（ステップＳ６０５）。

具体的には、対策適用プログラム１２５を実行するＣＰＵ１１３は、選択された対処を対策として評価業務システム１４１に適用する。ＣＰＵ１１３は、インシデント再現プログラム１２３を起動する。

次に、インシデント再現装置１１０は、対策が適用された評価業務システム１４１上で、受信したインシデントデータに対応するインシデントを再現し、当該インシデントの影響を分析する（ステップＳ６０６）。ステップＳ６０６の処理はステップＳ６０１の処理と同一である。

次に、インシデント再現装置１１０は、インシデント再現結果管理情報１３３を更新する（ステップＳ６０７）。

具体的には、影響分析プログラム１２４を実行するＣＰＵ１１３は、インシデント再現結果管理情報１３３にエントリを追加し、追加されたエントリのＩＤ４０１に識別情報を設定する。ＣＰＵ１１３は、追加されたエントリのインシデントＩＤ４０２に再現されたインシデントの識別情報を格納し、また、業務システムＩＤ４０３にターゲット業務システムの識別情報を格納し、影響４０４に「あり」を格納する。ＣＰＵ１１３は、追加されたエントリの対策４０５にステップＳ６０４で選択された対処を示す情報を格納し、適用後影響４０６に分析結果を格納する。分析結果は「あり」又は「なし」のいずれかである。

次に、インシデント再現装置１１０は、全ての対処について処理が完了したか否かを判定する（ステップＳ６０８）。

全ての対処について処理が完了していないと判定された場合、インシデント再現装置１１０は、ステップＳ６０４に戻り、同様の処理を実行する。

具体的には、影響分析プログラム１２４を実行するＣＰＵ１１３は、対策適用プログラム１２５を起動する。

全ての対処について処理が完了したと判定された場合、インシデント再現装置１１０は、インシデント再現処理を終了する。

複数の対処を検証することにより、適用しやすい対策又はコストの低い対策の抽出等、適用可能な対策の選択の幅を広げることができる。

図７は、実施例１のインシデント再現結果を表示する表示画面の一例を示す図である。

表示画面７００は、例えば、入出力装置１１６に表示される画面であり、パス欄７０１、インシデント情報欄７０２、対策欄７０３、及びインシデント再現結果欄７０４を含む。なお、図７に示す表示画面７００は一例であり、これに限定されない。図示しない欄を含んでもよいし、また、いずれかの欄を含まなくてもよい。

パス欄７０１は、インシデント再現結果管理情報１３３が格納されるパスを表示する欄である。

インシデント情報欄７０２は、他組織で発生したインシデントに関する情報を表示する欄である。インシデント情報欄７０２には、受信したインシデントデータに含まれる情報が表示される。例えば、インシデント情報欄７０２には、インシデントが発生した日時、インシデントが発生した組織、特定された脅威等が表示される。

対策欄７０３は、業務システム毎に推奨される対策を表示する欄である。対策欄７０３には、影響４０４が「あり」かつ適用後影響４０６が「なし」であるエントリの対策４０５が表示される。

なお、一つの業務システムについて、前述の条件を満たすエントリが複数存在する場合、全てのエントリの対策４０５を表示してもよいし、また、一部のエントリの対策４０５を表示してもよい。

なお、一つの業務システムについて、影響４０４が「あり」かつ適用後影響４０６が「あり」であるエントリしか存在しない場合、管理者に注意喚起を行うために、「不明」が表示される。

インシデント再現結果欄７０４は、各業務システムのインシデントの再現結果を表示する欄である。

インシデント再現結果欄７０４には、インシデント再現結果管理情報１３３に設定された情報が表示される。

ここで、具体例を用いて、インシデント再現装置１１０が実行する処理について説明する。なお、説明の都合上、インシデントデータ管理情報１３１及びインシデント再現結果管理情報１３３にはエントリが存在しないものとする。また、業務システム管理情報１３２には、業務システムＡ及び業務システムＢのエントリのみが存在するものとする。

この例では、次のようなインシデントを想定する。組織Ｂのシステム１００Ｂにおいて、２０１８／１／１の００：００：００にインシデントが発生した。組織ＢのＳＯＣチームは、マルウェアＡを脅威として特定し、マルウェアＡに感染した端末がサイトＡに通信し、またａ．ｅｘｅを生成することを特定した。これに対して、組織ＢのＳＯＣチームは、感染端末に対して、サイトＡの遮断及びパッチＡの適用を対処として行った。

インシデント再現装置１１０は、上記のインシデントに関する情報を含むインシデントデータを受信する（ステップＳ５０１）。

ステップＳ５０２において、インシデントデータ受信プログラム１２１を実行するＣＰＵ１１３は、インシデントデータ管理情報１３１が空であるため、未知の脅威に起因するインシデントであると判定する。このとき、ＣＰＵ１１３は、インシデントデータ管理情報１３１にエントリを追加し、追加されたエントリのＩＤ２０１に「１」を格納し、日時２０２に「２０１８／１／１ ００：００：００」を格納し、組織２０３に「組織Ｂ」を格納し、脅威２０４に「マルウェアＡ」を格納し、検出方法２０５に「サイトＡへの通信」及び「ａ．ｅｘｅの生成」を格納し、対処手段２０６に「サイトＡ遮断」及び「パッチＡ適用」を格納する。

業務システムＡ及び業務システムＢのそれぞれについて、ステップＳ５０４及びステップＳ５０５の処理が実行される。

まず、業務システム構築プログラム１２２を実行するＣＰＵ１１３は、ＩＤ３０１が「１」のエントリを選択し（ステップＳ５０３）、評価環境１４０に業務システムＡに対応する評価業務システムＡ１４１Ａを構築する（ステップＳ５０４）。

インシデント再現プログラム１２３を実行するＣＰＵ１１３は、評価業務システムＡ１４１Ａ上でマルウェアＡを実行させる（ステップＳ６０１）。

影響分析プログラム１２４を実行するＣＰＵ１１３は、業務システム管理情報１３２から選択したエントリの判定基準３０５を取得し、業務アプリＡの停止、データ改ざん、及びマルウェア感染の発生を監視する。マルウェア感染については、インシデントデータの検出方法２０５に基づいて監視が行われる。「サイトＡへの通信」及び「ａ．ｅｘｅの生成」の少なくともいずれか検出された場合、ＣＰＵ１１３はマルウェアＡの感染と判定する。

この例では、「サイトＡへの通信」及び「ａ．ｅｘｅの生成」のいずれもが検出されたものとする。すなわち、マルウェアＡの感染が検出されたものとする。この場合、影響分析プログラム１２４を実行するＣＰＵ１１３は、再現されたインシデントによる評価業務システムＡ１４１Ａへの影響があると判定し（ステップＳ６０２がＹｅｓ）、対策適用プログラム１２５を起動する。

対策適用プログラム１２５を実行するＣＰＵ１１３は、対処手段２０６に格納される「サイトＡ遮断」及び「パッチＡ適用」のいずれかを選択する（ステップＳ６０４）。ここでは、「サイトＡ遮断」が選択されたものとする。

対策適用プログラム１２５を実行するＣＰＵ１１３は、「サイトＡ遮断」を実現するための設定及び変更等を評価業務システムＡ１４１Ａに適用する（ステップＳ６０５）。例えば、評価業務システムＡ１４１Ａ上でサイトＡへの通信を遮断するように設定を変更し、又は、ネットワーク１４２にサイトＡへの通信を遮断するためのＦｉｒｅＷａｌｌを設置する。

インシデント再現プログラム１２３を実行するＣＰＵ１１３は、「サイトＡ遮断」の対策が適用された評価業務システムＡ１４１Ａ上でマルウェアＡを実行させる（ステップＳ６０６）。ここでは、ａ．ｅｘｅの生成が検出されたものとする。

影響分析プログラム１２４を実行するＣＰＵ１１３は、インシデント再現結果管理情報１３３を更新する（ステップＳ６０７）。具体的には、ＣＰＵ１１３は、インシデント再現結果管理情報１３３にエントリを追加し、ＩＤ４０１に「１」を格納し、インシデントＩＤ４０２に「１」を格納し、業務システムＩＤ４０３に「１」を格納し、影響４０４に「あり」を格納し、対策４０５に「サイトＡ遮断」を格納し、適用後影響４０６に「あり」を設定する。

ステップＳ６０８では、未処理の対処が存在するため、影響分析プログラム１２４を実行するＣＰＵ１１３は、ステップＳ６０４に戻り、対策適用プログラム１２５を起動する。対策適用プログラム１２５を実行するＣＰＵ１１３は、「パッチＡ適用」を選択する。

対策適用プログラム１２５を実行するＣＰＵ１１３は、パッチＡを評価業務システムＡ１４１Ａに適用する（ステップＳ６０５）。

インシデント再現プログラム１２３を実行するＣＰＵ１１３は、「パッチＡ適用」の対策が適用された評価業務システムＡ１４１Ａ上でマルウェアＡを実行させる（ステップＳ６０６）。ここでは、業務アプリＡの停止、データ改ざん、及びマルウェア感染のいずれも検出されなかったものとする。

影響分析プログラム１２４を実行するＣＰＵ１１３は、インシデント再現結果管理情報１３３を更新する（ステップＳ６０７）。具体的には、ＣＰＵ１１３は、インシデント再現結果管理情報１３３にエントリを追加し、ＩＤ４０１に「２」を格納し、インシデントＩＤ４０２に「１」を格納し、業務システムＩＤ４０３に「１」を格納し、影響４０４に「あり」を格納し、対策４０５に「パッチＡ適用」を格納し、適用後影響４０６に「なし」を設定する。

ステップＳ６０８では、全ての対処の処理が完了したため、インシデント再現装置１１０はインシデント再現処理を終了する。

ステップＳ５０６において、未処理の業務システムが存在するため、影響分析プログラム１２４を実行するＣＰＵ１１３は、ステップＳ５０３に戻り、業務システム構築プログラム１２２を起動する。業務システム構築プログラム１２２を実行するＣＰＵ１１３は、ＩＤ３０１が「２」のエントリを選択し（ステップＳ５０３）、評価環境１４０に業務システムＢに対応する評価業務システムＢ１４１Ｂを構築する（ステップＳ５０４）。

インシデント再現プログラム１２３を実行するＣＰＵ１１３は、評価業務システムＢ１４１Ｂ上でマルウェアＡを実行させる（ステップＳ６０１）。

影響分析プログラム１２４を実行するＣＰＵ１１３は、業務システム管理情報１３２から選択したエントリの判定基準３０５を取得し、業務アプリＢの停止及びデータ漏洩の発生を監視する。

この例では、データ漏洩が検出されたものとする。この場合、影響分析プログラム１２４を実行するＣＰＵ１１３は、再現されたインシデントによる評価業務システムＢ１４１Ｂへの影響があると判定し（ステップＳ６０２がＹｅｓ）、対策適用プログラム１２５を起動する。

対策適用プログラム１２５を実行するＣＰＵ１１３は、対処手段２０６に格納される「サイトＡ遮断」及び「パッチＡ適用」のいずれかを選択する（ステップＳ６０４）。ここでは、「サイトＡ遮断」が選択されたものとする。

対策適用プログラム１２５を実行するＣＰＵ１１３は、「サイトＡ遮断」を実現するための設定及び変更等を評価業務システムＢ１４１Ｂに適用する（ステップＳ６０５）。例えば、評価業務システムＢ１４１Ｂ上でサイトＡへの通信を遮断するように設定を変更し、又は、ネットワーク１４２にサイトＡへの通信を遮断するためのＦｉｒｅＷａｌｌを設置する。

インシデント再現プログラム１２３を実行するＣＰＵ１１３は、「サイトＡ遮断」の対策が適用された評価業務システムＢ１４１Ｂ上でマルウェアＡを実行させる（ステップＳ６０６）。ここでは、データ漏洩が検出されたものとする。

影響分析プログラム１２４を実行するＣＰＵ１１３は、インシデント再現結果管理情報１３３を更新する（ステップＳ６０７）。具体的には、ＣＰＵ１１３は、インシデント再現結果管理情報１３３にエントリを追加し、ＩＤ４０１に「３」を格納し、インシデントＩＤ４０２に「１」を格納し、業務システムＩＤ４０３に「２」を格納し、影響４０４に「あり」を格納し、対策４０５に「サイトＡ遮断」を格納し、適用後影響４０６に「あり」を設定する。

ステップＳ６０８では、未処理の対処が存在するため、影響分析プログラム１２４を実行するＣＰＵ１１３は、ステップＳ６０４に戻り、対策適用プログラム１２５を起動する。対策適用プログラム１２５を実行するＣＰＵ１１３は、「パッチＡ適用」を選択する。

対策適用プログラム１２５を実行するＣＰＵ１１３は、パッチＡを評価業務システムＢ１４１Ｂに適用する（ステップＳ６０５）。

インシデント再現プログラム１２３を実行するＣＰＵ１１３は、「パッチＡ適用」の対策が適用された評価業務システムＢ１４１Ｂ上でマルウェアＡを実行させる（ステップＳ６０６）。ここでは、業務アプリＢの停止が検出されたものとする。

影響分析プログラム１２４を実行するＣＰＵ１１３は、インシデント再現結果管理情報１３３を更新する（ステップＳ６０７）。具体的には、ＣＰＵ１１３は、インシデント再現結果管理情報１３３にエントリを追加し、ＩＤ４０１に「４」を格納し、インシデントＩＤ４０２に「１」を格納し、業務システムＩＤ４０３に「２」を格納し、影響４０４に「あり」を格納し、対策４０５に「パッチＡ適用」を格納し、適用後影響４０６に「あり」を設定する。

ステップＳ６０８では、全ての対処の処理が完了したため、インシデント再現装置１１０はインシデント再現処理を終了する。

ステップＳ５０６において、全ての業務システムの処理が完了したため、影響分析プログラム１２４を実行するＣＰＵ１１３は、提示プログラム１２６を起動する。提示プログラム１２６を実行するＣＰＵ１１３は、インシデント再現結果を提示するための情報を生成し、出力する（ステップＳ５０７）。この結果、図７に示すような表示画面７００がユーザに対して提示される。

なお、実施例１は以下のような変形例も考えられる。

（変形例１）インシデント再現装置１１０は、業務システムの構成の変化に伴って業務システム管理情報１３２を更新した後、インシデントデータ管理情報１３１に格納されるインシデントデータを用いて処理を実行してもよい。これによって、最新の業務システムに対するインシデントの影響を分析できる。

（変形例２）インシデント再現装置１１０は、推薦された対策を業務システムに自動的に適用してもよい。例えば、ある業務システムに適用した対策により、インシデントの影響がないと判定された場合、インシデント再現装置１１０は、全て、又は、特定の業務システムに対して当該対策を自動的に適用する。これによって、迅速に対策を業務システムに適用できる。

（変形例３）判定基準３０５に影響のレベルを追加する。例えば、影響が小、中、大の各々の判定基準を定義し、影響レベル及び対策と、分析結果とを提示する。これによって、対策の適用による影響が小さい場合に対策を適用する等、柔軟な対策の適用処理を実現できる。

（変形例４）対策適用プログラム１２５を実行するＣＰＵ１１３は、受信したインシデントデータに含まれる対処とは異なる対処を選択してもよい。例えば、ＣＰＵ１１３は、インシデントデータ管理情報１３１に格納されるインシデントデータに含まれる対処を選択してもよい。これによって、例えば、亜種のウィルスの出現等、対策が明らかになっていない脅威に対しても対策を講じることができる。

（変形例５）業務システム構築プログラム１２２を実行するＣＰＵ１１３は、予め評価環境１４０に評価業務システム１４１を構築してもよい。これによって、インシデントの再現及び分析に要する時間を短縮できる。

（変形例６）影響分析プログラム１２４を実行するＣＰＵ１１３は、業務システムに対するインシデントの影響がない対策が特定された場合に、ステップＳ６０４からステップＳ６０８までのループ処理を終了してよい。これによって、迅速に対策を適用できる。

（変形例７）対策適用プログラム１２５を実行するＣＰＵ１１３は、複数の対処を組み合わせた対策を適用してもよい。これによって、適用しやすい対策又はコストの低い対策の抽出等、適用可能な対策の選択の幅を広げることができる。

以上で説明したように、実施例１によれば、他の組織で発生したインシデントに関する情報を活用し、当該インシデントが自組織の業務システムに与える影響を分析できる。また、分析結果を用いて有効な対策を立案し、未然に同様のインシデントの発生を防止することができる。

実施例２では、インシデント再現装置１１０は未知の攻撃に起因するインシデントを再現する。実施例１では、他の組織で実際に発生したインシデントを業務システム上で再現し、その影響の分析が行われていた。しかし、攻撃手法は日々進化しており、未知の脅威に起因するインシデントの発生を未然に防ぐことが望ましい。

以下、実施例１との差異を中心に実施例２について説明する。

実施例２の計算機システムの構成は実施例１と同一である。実施例２では、インシデント再現装置１１０の構成が一部異なる。

図８は、実施例２のインシデント再現装置１１０の構成例を示す図である。

実施例２のインシデント再現装置１１０のハードウェア構成は実施例１と同一である。また、実施例２のメインメモリ１１４に格納されるプログラムも実施例１と同一である。

実施例２では、記憶装置１１５に格納される情報が一部異なる。具体的には、実施例２の記憶装置１１５は、インシデントデータ管理情報１３１、業務システム管理情報１３２、及びインシデント再現結果管理情報１３３に加えて、攻撃手法管理情報８００を格納する。攻撃手法管理情報８００のデータ構造の詳細は図９を用いて説明する。

実施例２では、インシデントデータは、脅威として攻撃シナリオを含む。ここで、攻撃シナリオとは、特定の目的を達成するための攻撃手法群であり、複数の攻撃手法から構成されるシナリオである。

例えば、標的型攻撃では、添付メール又は水飲み場攻撃等を用いて組織に侵入したマルウェアが、攻撃者が運用するＣ＆Ｃ（Ｃｏｍｍａｎｄ＆Ｃｏｎｔｒｏｌ）サーバと通信することによって新たなマルウェア及び攻撃ツールをダウンロードし、組織内の偵察し、攻撃基盤の確立し、破壊及び情報窃取等の最終目的を達成する。

ここで、攻撃者が、ＯＳ調査プログラムＡを用いてＯＳの調査を行い、マルウェアＡを用いて組織に侵入し、認証窃取プログラムＡを用いて認証情報の窃取を行い、リモート実行プログラムＡを用いて感染を拡大し、情報窃取プログラムＡを用いて情報を窃取する攻撃を想定する。この場合、攻撃シナリオは、「ＯＳ調査（ＯＳ調査プログラムＡ）、マルウェア実行（マルウェアＡ）、認証窃取（認証窃取プログラムＡ）、リモート実行（リモート実行プログラムＡ）、情報窃取（情報窃取プログラムＡ）」となる。攻撃手法の順番は実行順を表す。

実施例２では、インシデントデータには、攻撃シナリオと共に、攻撃シナリオに対応する攻撃に使用する攻撃コード（ＯＳ調査プログラムＡ、マルウェアＡ、認証窃取プログラムＡ、リモート実行プログラムＡ、情報窃取プログラムＡ等）も含まれるものとする。

図９は、実施例２の攻撃手法管理情報８００のデータ構造の一例を示す図である。

攻撃手法管理情報８００は、ＩＤ９０１、攻撃分類９０２、攻撃手法９０３、前提条件９０４、及び攻撃コード９０５から構成されるエントリを含む。一つのエントリが一つの攻撃手法に対応する。

ＩＤ９０１は、攻撃手法（エントリ）を一意に識別するための識別情報を格納するフィールドである。

攻撃分類９０２は、攻撃手法の大まかな分類を示す情報を格納するフィールドである。

攻撃手法９０３は、攻撃手法を示す情報を格納するフィールドである。

前提条件９０４は、攻撃手法９０３に対応する攻撃手法を実行するための前提条件を示す情報を格納するフィールドである。

攻撃コード９０５は、攻撃手法９０３に対応する攻撃手法を実現するための攻撃コードを格納するフィールドである。

ＩＤ９０１が「１」に対応する攻撃手法は、ＯＳ調査プログラムＡを用いて、ＯＳの調査を目的とした偵察行動を行うことを表す。

実施例２では、攻撃手法管理情報８００は予め設定されているものとする。なお、管理者等が必要に応じて、攻撃手法管理情報８００のエントリの追加、削除、及び更新を行ってもよい。

攻撃手法管理情報８００は、インシデントを再現する場合に用いられる。

図１０は、実施例２のインシデント再現装置１１０が実行する処理の一例を説明するフローチャートである。

インシデント再現装置１１０は、インタフェース１１２Ａを介して、インシデントデータを受信した場合（ステップＳ１００１）、業務システムのループ処理を開始する（ステップＳ１００２）。

具体的には、インシデントデータ受信プログラム１２１を実行するＣＰＵ１１３は、インシデントデータ管理情報１３１に受信したインシデントデータを登録し、業務システム構築プログラム１２２を起動する。業務システム構築プログラム１２２を実行するＣＰＵ１１３は、業務システム管理情報１３２に格納されるエントリから一つのエントリを選択する。以下では、選択されたエントリに対応する業務システムをターゲット業務システムと記載する。

次に、インシデント再現装置１１０は、ターゲット業務システムに対応する評価業務システム１４１を構築する（ステップＳ１００３）。

具体的には、業務システム構築プログラム１２２を実行するＣＰＵ１１３は、業務システム管理情報１３２から選択されたエントリのＯＳ３０３及びアプリケーション３０４に基づいて、評価環境１４０に評価業務システム１４１を構築する。その後、ＣＰＵ１１３は、インシデント再現プログラム１２３を起動する。

次に、インシデント再現装置１１０は、構築された評価業務システム１４１に対してインシデント再現処理を実行する（ステップＳ１００４）。インシデント再現処理の詳細は図１１を用いて説明する。

次に、インシデント再現装置１１０は、全ての業務システムについて処理が完了したか否かを判定する（ステップＳ１００５）。

全ての業務システムについて処理が完了していないと判定された場合、インシデント再現装置１１０は、ステップＳ１００２に戻り、同様の処理を実行する。

具体的には、影響分析プログラム１２４を実行するＣＰＵ１１３は、業務システム構築プログラム１２２を起動する。

全ての業務システムについて処理が完了したと判定された場合、インシデント再現装置１１０は、インシデント再現結果を提示し（ステップＳ１００６）、その後、処理を終了する。

具体的には、影響分析プログラム１２４を実行するＣＰＵ１１３は、提示プログラム１２６を起動する。提示プログラム１２６を実行するＣＰＵ１１３は、インシデント再現結果を提示するための情報を生成し、出力する。

図１１は、実施例２のインシデント再現装置１１０が実行するインシデント再現処理の一例を説明するフローチャートである。

インシデント再現装置１１０は、攻撃シナリオのループを開始する（ステップＳ１１０１）。具体的には、以下のような処理が実行される。

インシデント再現プログラム１２３を実行するＣＰＵ１１３は、攻撃手法管理情報８００を参照し、インシデントデータに含まれる攻撃シナリオを構成する攻撃手法を変更することによって、新たな攻撃シナリオ（検証用攻撃シナリオ）を生成する。

インシデント再現プログラム１２３を実行するＣＰＵ１１３は、生成された攻撃シナリオの中から一つの攻撃シナリオを選択する。

例えば、インシデントデータに含まれる攻撃シナリオが「ＯＳ調査（ＯＳ調査プログラムＡ）、マルウェア実行（マルウェアＡ）、認証窃取（認証窃取プログラムＡ）、リモート実行（リモート実行プログラムＡ）、情報窃取（情報窃取プログラムＡ）」である場合、以下のような処理が実行される。

「ＯＳ調査（ＯＳ調査プログラムＡ）」を変更対象の攻撃手法として選択した場合、インシデント再現プログラム１２３を実行するＣＰＵ１１３は、攻撃分類９０２が「偵察」であるエントリを検索する。ＣＰＵ１１３は、攻撃シナリオの「ＯＳ調査（ＯＳ調査プログラムＡ）」を、「脆弱性調査（脆弱性調査プログラムＡ）」に置き換えた攻撃シナリオと、「脆弱性調査（脆弱性調査プログラムＢ）」に置き換えた攻撃シナリオとを生成する。

「マルウェア実行（マルウェアＡ）」を変更対象の攻撃手法として選択した場合、インシデント再現プログラム１２３を実行するＣＰＵ１１３は、攻撃分類９０２が「初期侵入」であるエントリを検索する。ＣＰＵ１１３は、攻撃シナリオの「マルウェア実行（マルウェアＡ）」を、「マルウェア実行（マルウェアＢ）」に置き換えた攻撃シナリオと、「脆弱性利用（エクスプロイトＡ）」に置き換えた攻撃シナリオとを生成する。

同様の処理を実行することによって、複数の攻撃シナリオが生成される。なお、前提条件９０４が設定されている場合には、前提条件を満たす場合に攻撃手法が置き換えられる。

なお、受信したインシデントデータに含まれる攻撃シナリオも検証用攻撃シナリオとして出力されてもよい。以上がステップＳ１１０１の処理の説明である。

次に、インシデント再現装置１１０は、構築された評価業務システム１４１上で、選択された攻撃シナリオに対応するインシデントを再現し、当該インシデントの影響を分析する（ステップＳ１１０２）。具体的には、以下のような処理が実行される。

インシデント再現プログラム１２３を実行するＣＰＵ１１３は、選択された攻撃シナリオに基づいて、評価業務システム１４１上でインシデントを再現する。インシデント再現プログラム１２３を実行するＣＰＵ１１３は、影響分析プログラム１２４を起動する。

影響分析プログラム１２４を実行するＣＰＵ１１３は、インシデントが再現された評価業務システム１４１の挙動を監視し、ステップＳ１００２において選択されたエントリの判定基準３０５に設定された判定基準を満たすか否かを判定する。このとき、ＣＰＵ１１３は、予め設定されたポリシ、又は、受信したインシデントデータの検出方法２０５を用いて評価業務システム１４１の挙動を監視する。予め設定されたポリシに基づく評価業務システム１４１の挙動の監視には、稼働するプロセス、ＣＰＵ１１３の使用率、データ改ざんの有無等を確認するためのプログラムを利用してもよい。

以上がステップＳ１１０２の処理の説明である。

次に、インシデント再現装置１１０は、再現されたインシデントによる評価業務システム１４１への影響があるか否かを判定する（ステップＳ１１０３）。

具体的には、影響分析プログラム１２４を実行するＣＰＵ１１３は、判定基準３０５に設定された判定基準を満たすか否かが判定される。判定基準３０５に設定された判定基準を満たす場合、ＣＰＵ１１３は、再現されたインシデントによる評価業務システム１４１への影響があると判定する。

再現されたインシデントによる評価業務システム１４１への影響がないと判定された場合、インシデント再現装置１１０は、インシデント再現結果管理情報１３３を更新し（ステップＳ１１０４）、その後、インシデント再現処理を終了する。

具体的には、影響分析プログラム１２４を実行するＣＰＵ１１３は、インシデント再現結果管理情報１３３にエントリを追加し、追加されたエントリのＩＤ４０１に識別情報を設定する。ＣＰＵ１１３は、追加されたエントリのインシデントＩＤ４０２に再現されたインシデントの識別情報を格納し、業務システムＩＤ４０３にターゲット業務システムの識別情報を格納し、影響４０４に「なし」を格納する。この場合、対策４０５及び適用後影響４０６は空欄となる。

再現されたインシデントによる評価業務システム１４１への影響があると判定された場合、インシデント再現装置１１０は、対処のループ処理を開始する（ステップＳ１１０５）。具体的には、以下のような処理が実行される。

影響分析プログラム１２４を実行するＣＰＵ１１３は、対策適用プログラム１２５を起動する。

対策適用プログラム１２５を実行するＣＰＵ１１３は、インシデントデータ管理情報１３１を参照し、受信したインシデントデータに対応するエントリを検索する。ＣＰＵ１１３は、検索されたエントリの対処手段２０６に設定された対処の中から一つの対処を選択する。

以上がステップＳ１１０５の処理の説明である。

次に、インシデント再現装置１１０は、選択された対処を対策として評価業務システム１４１に適用する（ステップＳ１１０６）。

具体的には、対策適用プログラム１２５を実行するＣＰＵ１１３は、選択された対処を対策として評価業務システム１４１に適用する。ＣＰＵ１１３は、インシデント再現プログラム１２３を起動する。

次に、インシデント再現装置１１０は、対策が適用された評価業務システム１４１上で、受信したインシデントデータに対応するインシデントを再現し、当該インシデントの影響を分析する（ステップＳ１１０７）。ステップＳ１１０７の処理はステップＳ１１０２の処理と同一である。

次に、インシデント再現装置１１０は、インシデント再現結果管理情報１３３を更新する（ステップＳ１１０８）。

具体的には、影響分析プログラム１２４を実行するＣＰＵ１１３は、インシデント再現結果管理情報１３３にエントリを追加し、追加されたエントリのＩＤ４０１に識別情報を設定する。ＣＰＵ１１３は、追加されたエントリのインシデントＩＤ４０２に再現されたインシデントの識別情報を格納し、また、業務システムＩＤ４０３にターゲット業務システムの識別情報を格納し、影響４０４に「あり」を格納する。ＣＰＵ１１３は、追加されたエントリの対策４０５にステップＳ６０４で選択された対処を示す情報を格納し、適用後影響４０６に分析結果を格納する。分析結果は「あり」又は「なし」のいずれかである。

次に、インシデント再現装置１１０は、全ての対処について処理が完了したか否かを判定する（ステップＳ１１０９）。

全ての対処について処理が完了していないと判定された場合、インシデント再現装置１１０は、ステップＳ１１０５に戻り、同様の処理を実行する。

具体的には、影響分析プログラム１２４を実行するＣＰＵ１１３は、対策適用プログラム１２５を起動する。

全ての対処について処理が完了したと判定された場合、インシデント再現装置１１０は、全ての攻撃シナリオについて処理が完了したか否かを判定する（ステップＳ１１１０）。

全ての攻撃シナリオについて処理が完了していないと判定された場合、インシデント再現装置１１０は、ステップＳ１１０１に戻り、同様の処理を実行する。

具体的には、影響分析プログラム１２４を実行するＣＰＵ１１３は、インシデント再現プログラム１２３を起動する。インシデント再現プログラム１２３を実行するＣＰＵ１１３は、生成された攻撃シナリオの中から未処理の攻撃シナリオを選択する。

全ての攻撃シナリオについて処理が完了したと判定された場合、インシデント再現装置１１０はインシデント再現処理を終了する。

なお、実施例２は以下のような変形例も考えられる。

（変形例１）インシデント再現装置１１０は、インターネット等で公開された攻撃コードを収集し、攻撃手法管理情報８００を生成又は更新してもよい。これによって、最新の攻撃手法を含む攻撃シナリオを生成できる。

（変形例２）インシデント再現装置１１０は、インシデントデータに含まれる攻撃シナリオから新たな攻撃シナリオを生成する代わりに、インターネット等で公開された攻撃シナリオを用いる。これによって、多様な攻撃シナリオに起因するインシデントを再現することができ、適用可能な対策の選択の幅を広げることができる。

以上で説明したように、実施例２によれば、いずれの組織でも発生していない攻撃シナリオに起因するインシデントを再現し、その影響を分析できる。これによって、今後発生する可能性がある攻撃に対する対策を講じることができる。

なお、本発明は上記した実施例に限定されるものではなく、様々な変形例が含まれる。また、例えば、上記した実施例は本発明を分かりやすく説明するために構成を詳細に説明したものであり、必ずしも説明した全ての構成を備えるものに限定されるものではない。また、各実施例の構成の一部について、他の構成に追加、削除、置換することが可能である。

また、上記の各構成、機能、処理部、処理手段等は、それらの一部又は全部を、例えば集積回路で設計する等によりハードウェアで実現してもよい。また、本発明は、実施例の機能を実現するソフトウェアのプログラムコードによっても実現できる。この場合、プログラムコードを記録した記憶媒体をコンピュータに提供し、そのコンピュータが備えるプロセッサが記憶媒体に格納されたプログラムコードを読み出す。この場合、記憶媒体から読み出されたプログラムコード自体が前述した実施例の機能を実現することになり、そのプログラムコード自体、及びそれを記憶した記憶媒体は本発明を構成することになる。このようなプログラムコードを供給するための記憶媒体としては、例えば、フレキシブルディスク、ＣＤ－ＲＯＭ、ＤＶＤ－ＲＯＭ、ハードディスク、ＳＳＤ（Ｓｏｌｉｄ Ｓｔａｔｅ Ｄｒｉｖｅ）、光ディスク、光磁気ディスク、ＣＤ－Ｒ、磁気テープ、不揮発性のメモリカード、ＲＯＭなどが用いられる。

また、本実施例に記載の機能を実現するプログラムコードは、例えば、アセンブラ、Ｃ／Ｃ＋＋、ｐｅｒｌ、Ｓｈｅｌｌ、ＰＨＰ、Ｐｙｔｈｏｎ、Ｊａｖａ（登録商標）等の広範囲のプログラム又はスクリプト言語で実装できる。

さらに、実施例の機能を実現するソフトウェアのプログラムコードを、ネットワークを介して配信することによって、それをコンピュータのハードディスクやメモリ等の記憶手段又はＣＤ－ＲＷ、ＣＤ－Ｒ等の記憶媒体に格納し、コンピュータが備えるプロセッサが当該記憶手段や当該記憶媒体に格納されたプログラムコードを読み出して実行するようにしてもよい。

上述の実施例において、制御線や情報線は、説明上必要と考えられるものを示しており、製品上必ずしも全ての制御線や情報線を示しているとは限らない。全ての構成が相互に接続されていてもよい。

１００ システム
１０１、１４２ ネットワーク
１１０ インシデント再現装置
１１２ インタフェース
１１３ ＣＰＵ
１１４ メインメモリ
１１５ 記憶装置
１１６ 入出力装置
１１７ 通信路
１２１ インシデントデータ受信プログラム
１２２ 業務システム構築プログラム
１２３ インシデント再現プログラム
１２４ 影響分析プログラム
１２５ 対策適用プログラム
１２６ 提示プログラム
１３１ インシデントデータ管理情報
１３２ 業務システム管理情報
１３３ インシデント再現結果管理情報
１４０ 評価環境
１４１ 評価業務システム
１５０ 本番環境
７００ 表示画面
８００ 攻撃手法管理情報

Claims (6)

1. 複数の計算機を備える計算機システムであって、
   前記複数の計算機の各々は、プロセッサ、前記プロセッサに接続される記憶装置、及び前記プロセッサに接続されるインタフェースを有し、
   前記計算機システムは、
   業務を実行する複数の業務システムと接続し、
   前記複数の業務システムの各々の構成及び影響の有無を判定するための判定基準を定義した業務システム管理情報を管理し、
   第１の業務システムにおいて発生したインシデントに関する情報、前記第１の業務システムにおける影響の検出方法に関する情報、及び前記第１の業務システムにおける影響を解消するために行われた対処に関する情報を含むインシデントデータを取得する第１の処理と、
   前記業務システム管理情報に基づいて、前記計算機システムと接続する業務システムであり、かつ、前記第１の業務システムとは異なる業務システムを模擬する評価業務システムを構築する第２の処理と、
   前記インシデントデータに基づいて、前記評価業務システム上で前記第１の業務システムにおいて発生したインシデントを再現し、当該インシデントによる前記評価業務システムの影響を分析する第３の処理と、
   前記分析の結果を出力する第４の処理と、を実行し、
   前記第３の処理では、
   前記第１の業務システムにおける影響の検出方法に基づいて、前記評価業務システムの前記判定基準を満たすか否かを判定する処理と、
   前記評価業務システムの判定基準を満たすと判定された場合、前記第１の業務システムにおいて発生したインシデントによる前記評価業務システムへの影響があると判定し、前記評価業務システムに対して、前記第１の業務システムにおける影響を解消するために行われた対処に対応する対策を適用する処理と、
   前記対策が適用された評価業務システム上で前記第１の業務システムにおいて発生したインシデントを再現し、当該インシデントによる前記評価業務システムの影響を分析する処理と、が実行されることを特徴とする計算機システム。
2. 複数の計算機を備える計算機システムであって、
   前記複数の計算機の各々は、プロセッサ、前記プロセッサに接続される記憶装置、及び前記プロセッサに接続されるインタフェースを有し、
   前記計算機システムは、
   業務を実行する複数の業務システムと接続し、
   第１の業務システムにおいて発生したインシデントに関する情報、及び前記第１の業務システムに対する複数の攻撃の組み合わせとして定義された攻撃シナリオを含むインシデントデータを取得し、
   前記計算機システムと接続する業務システムであり、かつ、前記第１の業務システムとは異なる業務システムを模擬する評価業務システムを構築し、
   前記インシデントデータに含まれる前記攻撃シナリオを構成する前記複数の攻撃の少なくとも一つを変更することによって、検証用攻撃シナリオを生成し、
   前記検証用攻撃シナリオに基づいて、前記評価業務システム上で前記第１の業務システムにおいて発生したインシデントを再現し、当該インシデントによる前記評価業務システムの影響を分析し、
   前記分析の結果を出力することを特徴とする計算機システム。
3. 計算機システムが実行するインシデントによる業務システムへの影響の分析方法であって、
   前記計算機システムは、
   プロセッサ、前記プロセッサに接続される記憶装置、及び前記プロセッサに接続されるインタフェースを有する複数の計算機を含み、
   業務を実行する複数の業務システムと接続し、
   前記複数の業務システムの各々の構成及び影響の有無を判定するための判定基準を定義した業務システム管理情報を管理し、
   前記分析方法は、
   少なくとも一つの計算機が、第１の業務システムにおいて発生したインシデントに関する情報、前記第１の業務システムにおける影響の検出方法に関する情報、及び前記第１の業務システムにおける影響を解消するために行われた対処に関する情報を含むインシデントデータを取得する第１のステップと、
   前記少なくとも一つの計算機が、前記業務システム管理情報に基づいて、前記計算機システムと接続する業務システムであり、かつ、前記第１の業務システムとは異なる業務システムを模擬する評価業務システムを構築する第２のステップと、
   前記少なくとも一つの計算機が、前記インシデントデータに基づいて、前記評価業務システム上で前記第１の業務システムにおいて発生したインシデントを再現し、当該インシデントによる前記評価業務システムの影響を分析する第３のステップと、
   前記少なくとも一つの計算機が、前記分析の結果を出力する第４のステップと、を含み、
   前記第３のステップは、
   前記少なくとも一つの計算機が、前記第１の業務システムにおける影響の検出方法に基づいて、前記評価業務システムの前記判定基準を満たすか否かを判定するステップと、
   前記評価業務システムの判定基準を満たすと判定された場合、前記少なくとも一つの計算機が、前記第１の業務システムにおいて発生したインシデントによる前記評価業務システムへの影響があると判定し、前記評価業務システムに対して、前記第１の業務システムにおける影響を解消するために行われた対処に対応する対策を適用するステップと、
   前記少なくとも一つの計算機が、前記対策が適用された評価業務システム上で前記第１の業務システムにおいて発生したインシデントを再現し、当該インシデントによる前記評価業務システムの影響を分析するステップと、を含むことを特徴とする分析方法。
4. 計算機システムが実行するインシデントによる業務システムへの影響の分析方法であって、
   前記計算機システムは、
   プロセッサ、前記プロセッサに接続される記憶装置、及び前記プロセッサに接続されるインタフェースを有する複数の計算機を含み、
   業務を実行する複数の業務システムと接続し、
   前記分析方法は、
   少なくとも一つの計算機が、第１の業務システムにおいて発生したインシデントに関する情報及び前記第１の業務システムに対する複数の攻撃の組み合わせとして定義された攻撃シナリオを含むインシデントデータを取得する第１のステップと、
   前記少なくとも一つの計算機が、前記計算機システムと接続する業務システムであり、かつ、前記第１の業務システムとは異なる業務システムを模擬する評価業務システムを構築する第２のステップと、
   前記少なくとも一つの計算機が、前記インシデントデータに基づいて、前記評価業務システム上で前記第１の業務システムにおいて発生したインシデントを再現し、当該インシデントによる前記評価業務システムの影響を分析する第３のステップと、
   前記少なくとも一つの計算機が、前記分析の結果を出力する第４のステップと、を含み、
   前記第３のステップは、
   前記少なくとも一つの計算機が、前記攻撃シナリオを構成する前記複数の攻撃の少なくとも一つを変更することによって、検証用攻撃シナリオを生成するステップと、
   前記少なくとも一つの計算機が、前記検証用攻撃シナリオに基づいて、前記評価業務システム上で前記第１の業務システムにおいて発生したインシデントを再現するステップと、を含むことを特徴とする分析方法。
5. プロセッサ、前記プロセッサに接続される記憶装置、及び前記プロセッサに接続されるインタフェースを有する分析装置であって、
   業務を実行する複数の業務システムと接続し、
   前記複数の業務システムの各々の構成及び影響の有無を判定するための判定基準を定義した業務システム管理情報を保持し、
   第１の業務システムにおいて発生したインシデントに関する情報、前記第１の業務システムにおける影響の検出方法に関する情報、及び前記第１の業務システムにおける影響を解消するために行われた対処に関する情報を含むインシデントデータを取得する受信部と、
   前記分析装置と接続する業務システムであり、かつ、前記第１の業務システムとは異なる業務システムを模擬する評価業務システムを構築する構築部と、
   前記インシデントデータに基づいて、前記評価業務システム上で前記第１の業務システムにおいて発生したインシデントを再現し、当該インシデントによる前記評価業務システムの影響を分析する分析部と、
   前記分析部によって、前記第１の業務システムにおいて発生したインシデントによる前記評価業務システムへの影響があると判定された場合、前記評価業務システムに対して当該インシデントによる影響を防止するための対策を適用する対策適用部と、
   前記分析の結果を出力する提示部と、を備え、
   前記構築部は、前記業務システム管理情報に基づいて、前記評価業務システムを構築し、
   前記分析部は、
   前記第１の業務システムにおける影響の検出方法に基づいて、前記評価業務システムの前記判定基準を満たすか否かを判定し、
   前記評価業務システムの判定基準を満たすと判定された場合、前記第１の業務システムにおいて発生したインシデントによる前記評価業務システムへの影響があると判定し、
   前記対策適用部は、前記評価業務システムに対して、前記第１の業務システムにおける影響を解消するために行われた対処に対応する対策を適用し、
   前記分析部は、前記対策が適用された評価業務システム上で前記第１の業務システムにおいて発生したインシデントを再現し、当該インシデントによる前記評価業務システムの影響を分析することを特徴とする分析装置。
6. プロセッサ、前記プロセッサに接続される記憶装置、及び前記プロセッサに接続されるインタフェースを有する分析装置であって、
   業務を実行する複数の業務システムと接続し、
   第１の業務システムにおいて発生したインシデントに関する情報及び前記第１の業務システムに対する複数の攻撃の組み合わせとして定義された攻撃シナリオを含むインシデントデータを取得する受信部と、
   前記分析装置と接続する業務システムであり、かつ、前記第１の業務システムとは異なる業務システムを模擬する評価業務システムを構築する構築部と、
   前記インシデントデータに基づいて、前記評価業務システム上で前記第１の業務システムにおいて発生したインシデントを再現し、当該インシデントによる前記評価業務システムの影響を分析する分析部と、
   前記分析の結果を出力する提示部と、を備え、
   前記分析部は、
   前記攻撃シナリオを構成する前記複数の攻撃の少なくとも一つを変更することによって、検証用攻撃シナリオを生成し、
   前記検証用攻撃シナリオに基づいて、前記評価業務システム上で前記第１の業務システムにおいて発生したインシデントを再現することを特徴とする分析装置。

Images