JP7427146B1 - 攻撃分析装置、攻撃分析方法、及び攻撃分析プログラム - Google Patents

Abstract

攻撃分析装置（１００）は、各々に対して分析優先度が設定されている複数の機器を備える攻撃対象システムが備える機器である対象機器がサイバー攻撃である対象攻撃を受けた場合に、対象攻撃の内容に応じて対象機器に対応する分析優先度を変更する分析優先度変更部（１３０）を備える。攻撃対象システムが備える複数の機器を攻撃対象機器群としたとき、攻撃対象機器群に含まれている各機器がサイバー攻撃を受けた場合において、攻撃対象機器群に含まれている各機器に対するサイバー攻撃は、攻撃対象機器群に含まれている各機器に対応する分析優先度に応じて順に分析される。

Description

本開示は、攻撃分析装置、攻撃分析方法、及び攻撃分析プログラムに関する。

ハニーポットとは、意図的に攻撃を受けやすいように設定した端末をインターネット上に公開することによってサイバー攻撃を誘引し、誘引したサイバー攻撃を観測及び分析するシステムである。
ハニーポットは通常大量の攻撃通信を受信するため、受信した攻撃通信の分析に時間がかかる。攻撃通信はサイバー攻撃を示す通信である。一方、製品に大きな影響が及ぶサイバー攻撃を観測した場合において、すぐに対策を検討するために観測したサイバー攻撃を素早く分析する必要がある。

特開２０２２－１９１６４９号公報

システムを模擬したハニーポットは、大量のサイバー攻撃通信を受信し続けている。また、「情報を収集した後にさらなるサイバー攻撃を行う」といった複数の段階から成るサイバー攻撃もある。そのため、時系列に沿って全てのサイバー攻撃を分析することには多くの時間と手間がかかる。
特許文献１は、時間依存パラメータと、非時間依存パラメータとに基づいてサイバー攻撃に関する優先度を計算する技術を開示している。しかしながら、当該技術によれば、サイバー攻撃による製品への影響を考慮して用意された分析優先度を使用せず、また、観測したサイバー攻撃の内容に応じて分析優先度を変更しない。そのため、当該技術には、対応する分析優先度が高い機器に対するサイバー攻撃を優先的に分析することができないという課題がある。
本開示は、サイバー攻撃による製品への影響を考慮して用意された分析優先度を使用し、また、観測したサイバー攻撃の内容に応じて分析優先度を変更することにより、対応する分析優先度が高い機器に対するサイバー攻撃を優先的に分析することができるようにすることを目的とする。

本開示に係る攻撃分析装置は、
各々に対して分析優先度が設定されている複数の機器を備える攻撃対象システムが備える機器である対象機器がサイバー攻撃である対象攻撃を受けた場合に、前記対象攻撃の内容に応じて前記対象機器に対応する分析優先度を変更する分析優先度変更部
を備える攻撃分析装置であって、
前記攻撃対象システムが備える複数の機器を攻撃対象機器群としたとき、前記攻撃対象機器群に含まれている各機器がサイバー攻撃を受けた場合において、前記攻撃対象機器群に含まれている各機器に対するサイバー攻撃は、前記攻撃対象機器群に含まれている各機器に対応する分析優先度に応じて順に分析される。

本開示によれば、分析優先度変更部がサイバー攻撃の内容に応じて分析優先度を変更する。ここで、分析優先度はサイバー攻撃による製品への影響を考慮して用意されたものであってもよい。従って、本開示によれば、サイバー攻撃による製品への影響を考慮して用意された分析優先度を使用し、また、観測したサイバー攻撃の内容に応じて分析優先度を変更することにより、対応する分析優先度が高い機器に対するサイバー攻撃を優先的に分析することができるようにすることができる。

実施の形態１に係る攻撃分析システム９０の構成例を示す図。 実施の形態１に係る分析優先度変更部１３０の処理を説明する図であり、（ａ）は例１を示す図、（ｂ）は例２を示す図。 実施の形態１に係る攻撃分析装置１００のハードウェア構成例を示す図。 実施の形態１に係る資産情報作成部１２０の処理を示すフローチャート。 実施の形態１に係る資産ＤＢ１９１に格納されるデータの具体例を示す図。 実施の形態１に係る関係情報ＤＢ１９２に格納されるデータの具体例を示す図。 実施の形態１に係る攻撃分析システム９０の処理を示すフローチャート。 実施の形態１に係る攻撃情報ＤＢ１９０に格納されるデータの具体例を示す図。 実施の形態１に係る分析優先度変更部１３０の処理を説明する図。 実施の形態１の変形例に係る攻撃分析装置１００のハードウェア構成例を示す図。 実施の形態２に係る攻撃分析システム９０の構成例を示す図。 実施の形態２に係る資産ＤＢ１９１に格納されるデータの具体例を示す図。 実施の形態２に係る脆弱性情報ＤＢ１９３に格納されるデータの具体例を示す図。 実施の形態２に係る攻撃分析システム９０の処理を示すフローチャート。 実施の形態２に係る攻撃情報ＤＢ１９０に格納されるデータの具体例を示す図。 実施の形態２に係る分析優先度変更部１３０の処理を説明する図。

実施の形態の説明及び図面において、同じ要素及び対応する要素には同じ符号を付している。同じ符号が付された要素の説明は、適宜に省略又は簡略化する。図中の矢印はデータの流れ又は処理の流れを主に示している。また、「部」を、「回路」、「工程」、「手順」、「処理」又は「サーキットリー」に適宜読み替えてもよい。
本明細書において、サイバー攻撃を単に「攻撃」と表記することもある。

実施の形態１．
以下、本実施の形態について、図面を参照しながら詳細に説明する。

＊＊＊構成の説明＊＊＊
図１は、本実施の形態に係る攻撃分析システム９０の構成例を示している。攻撃分析システム９０は、図１に示すように、攻撃分析装置１００と、ハニーポット２００と、外部セキュリティ機関３００とを備える。攻撃分析システム９０が備える各要素は、ネットワークを介して通信可能に接続している。

攻撃分析システム９０は、ハニーポット２００内において攻撃を観測した場合に各機器に対応する分析優先度に応じて攻撃分析の優先度を設定する手段を用いる。攻撃分析システム９０では、攻撃分析によって今後攻撃を受ける可能性の高い機器に対応する分析優先度を変更することにより、複数の段階から成る攻撃を効率的に分析する。
具体例として、機器１は重要な情報を保有しているため、機器１に対応する対応する分析優先度が相対的に高い場合を考える。この場合において、機器１が攻撃を受けた場合に、機器１に対する攻撃は迅速に分析される。
別の具体例として、機器２は、特に重要な情報を保有していないため、機器２に対応する分析優先度が相対的に低い場合を考える。この場合において、機器２が攻撃を受けた場合に、機器２に対する攻撃対策の優先度を相対的に低くする。
別の具体例として、攻撃により機器３に関する情報が漏洩した場合に、漏洩した情報に基づく次の攻撃が実行される可能性がある。そのため、次の攻撃に備えて、機器３に対応する分析優先度を相対的に高くする。

攻撃分析装置１００は、図１に示すように、攻撃分析部１１０と、資産情報作成部１２０と、分析優先度変更部１３０とを備える。また、攻撃分析装置１００は、攻撃情報ＤＢ（Ｄａｔａｂａｓｅ）１９０と、資産ＤＢ１９１と、関係情報ＤＢ１９２とを記憶する。
ハニーポット２００は、攻撃検知部２１０と、各機器とを備える。ハニーポット２００が備える各機器は、各機器のエミュレータ等であってもよい。ハニーポット２００は攻撃対象システムに当たる。ハニーポット２００は、製品に対応するシステムであってもよい。「機器」を「端末」に読み替えてもよい。攻撃対象システムは、各々に対して分析優先度が設定されている複数の機器を備える。攻撃対象機器群に含まれている各機器がサイバー攻撃を受けた場合において、攻撃対象機器群に含まれている各機器に対するサイバー攻撃は、攻撃対象機器群に含まれている各機器に対応する分析優先度に応じて順に分析される。攻撃対象機器群は、攻撃対象システムが備える複数の機器から成る。
なお、攻撃分析システム９０は、ハニーポット２００の代わりに、攻撃対象システムとして実運用しているシステムを備えてもよい。即ち、実運用しているシステムに対するセキュリティ分析製品に用いられる技術として本実施の形態が活用されてもよい。

攻撃分析部１１０は、ハニーポット２００が備える各機器に対する攻撃を分析し、分析した結果を示すデータを攻撃情報として攻撃情報ＤＢ１９０に格納する。この際、攻撃分析部１１０は、具体例として、通信ログを分析することにより、どこからどの端末に対するどういう攻撃があったのかを分析する。攻撃分析部１１０は、攻撃により窃取された情報と、攻撃により生じた各機器の異常等を分析してもよい。

資産情報作成部１２０は、資産ＤＢ１９１を作成する。

分析優先度変更部１３０は、対象機器が対象攻撃を受けた場合に、対象攻撃の内容に応じて対象機器に対応する分析優先度を変更する。対象機器は、攻撃対象システムが備える機器である。対象攻撃はサイバー攻撃である。分析優先度変更部１３０は、対象機器が対象攻撃を受けた場合に、対象機器に格納されているデータの重要度に応じて対象機器に対応する分析優先度を変更してもよい。分析優先度変更部１３０は、対象システムが備える複数の機器のうち、対象攻撃において窃取された情報に基づいて実行される攻撃を受けると考えられる各機器に対応する分析優先度を変更してもよい。窃取された情報は、不正にアクセスされた情報である。
具体例として、分析優先度変更部１３０は、攻撃情報ＤＢ１９０と、資産ＤＢ１９１と、関係情報ＤＢ１９２とを適宜参照して、必要に応じて各機器に対応する分析優先度を変更する。通常はハニーポット２００に対する攻撃の量が膨大であるため、各機器に対して分析優先度を設定することによって分析対象とする攻撃を絞り込む。分析優先度が相対的に高い機器の数は、計算リソースの量と、攻撃の分析に費やすことができる時間等に応じて定められてもよい。

攻撃情報ＤＢ１９０は、攻撃情報を示すデータを格納する。
資産ＤＢ１９１は、資産を示すデータを格納する。資産は、具体例として、各機器と、各機器に格納されているデータとから成る。
関係情報ＤＢ１９２は、関係情報を示すデータを格納する。関係情報は、資産に関係がある情報である。

攻撃検知部２１０は、ハニーポット２００が備える各機器に対する攻撃を検知し、検知した結果を攻撃分析装置１００に通知する。

図２は、分析優先度変更部１３０の処理の具体例を説明する図である。ここで、各クライアントは機器に当たり、各サーバは機器に当たる。また、各機器に対する攻撃が検知される前において、各クライアントに対応する分析優先度が「小」に設定されており、各サーバに対応する分析優先度が「中」に設定されているものとする。
図２の（ａ）は、攻撃によってクライアント１からサービスのアカウント情報が漏洩した場合における具体例を示している。本例において、分析優先度変更部１３０は、サーバ１において当該サービスが稼働しているためにサーバ１に対する不正ログインが今後実行される可能性が高いものとして、サーバ１に対応する分析優先度をより高くする。
図２の（ｂ）は、攻撃によってクライアント１からファイルサーバのアドレス情報（パス情報）が漏洩した場合における具体例を示している。本例において、分析優先度変更部１３０は、サーバ２において当該ファイルサーバが稼働しているためにサーバ２に対する不正ログインが今後実行される可能性が高いものとして、サーバ２に対応する分析優先度をより高くする。なお、分析優先度変更部１３０は、文書データが窃取された場合において、窃取された文書データに基づく今後の攻撃がないものと判断して各機器に対応する分析優先度を変更しなくてもよい。

図３は、本実施の形態に係る攻撃分析装置１００のハードウェア構成例を示している。攻撃分析装置１００はコンピュータから成る。攻撃分析装置１００は複数のコンピュータから成ってもよい。

攻撃分析装置１００は、本図に示すように、プロセッサ１１と、メモリ１２と、補助記憶装置１３と、入出力ＩＦ（Ｉｎｔｅｒｆａｃｅ）１４と、通信装置１５等のハードウェアを備えるコンピュータである。これらのハードウェアは、信号線１９を介して適宜接続されている。

プロセッサ１１は、演算処理を行うＩＣ（Ｉｎｔｅｇｒａｔｅｄ Ｃｉｒｃｕｉｔ）であり、かつ、コンピュータが備えるハードウェアを制御する。プロセッサ１１は、具体例として、ＣＰＵ（Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）、ＤＳＰ（Ｄｉｇｉｔａｌ Ｓｉｇｎａｌ Ｐｒｏｃｅｓｓｏｒ）、又はＧＰＵ（Ｇｒａｐｈｉｃｓ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）である。
攻撃分析装置１００は、プロセッサ１１を代替する複数のプロセッサを備えてもよい。複数のプロセッサはプロセッサ１１の役割を分担する。

メモリ１２は、典型的には揮発性の記憶装置であり、具体例としてＲＡＭ（Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）である。メモリ１２は、主記憶装置又はメインメモリとも呼ばれる。メモリ１２に記憶されたデータは、必要に応じて補助記憶装置１３に保存される。

補助記憶装置１３は、典型的には不揮発性の記憶装置であり、具体例として、ＲＯＭ（Ｒｅａｄ Ｏｎｌｙ Ｍｅｍｏｒｙ）、ＨＤＤ（Ｈａｒｄ Ｄｉｓｋ Ｄｒｉｖｅ）、又はフラッシュメモリである。補助記憶装置１３に記憶されたデータは、必要に応じてメモリ１２にロードされる。
メモリ１２及び補助記憶装置１３は一体的に構成されていてもよい。

入出力ＩＦ１４は、入力装置及び出力装置が接続されるポートである。入出力ＩＦ１４は、具体例として、ＵＳＢ（Ｕｎｉｖｅｒｓａｌ Ｓｅｒｉａｌ Ｂｕｓ）端子である。入力装置は、具体例として、キーボード及びマウスである。出力装置は、具体例として、ディスプレイである。

通信装置１５は、レシーバ及びトランスミッタである。通信装置１５は、具体例として、通信チップ又はＮＩＣ（Ｎｅｔｗｏｒｋ Ｉｎｔｅｒｆａｃｅ Ｃａｒｄ）である。

攻撃分析装置１００の各部は、他の装置等と通信する際に、入出力ＩＦ１４及び通信装置１５を適宜用いてもよい。

補助記憶装置１３は攻撃分析プログラムを記憶している。攻撃分析プログラムは、攻撃分析装置１００が備える各部の機能をコンピュータに実現させるプログラムである。攻撃分析プログラムは、メモリ１２にロードされて、プロセッサ１１によって実行される。攻撃分析装置１００が備える各部の機能は、ソフトウェアにより実現される。

攻撃分析プログラムを実行する際に用いられるデータと、攻撃分析プログラムを実行することによって得られるデータ等は、記憶装置に適宜記憶される。攻撃分析装置１００の各部は記憶装置を適宜利用する。記憶装置は、具体例として、メモリ１２と、補助記憶装置１３と、プロセッサ１１内のレジスタと、プロセッサ１１内のキャッシュメモリとの少なくとも１つから成る。なお、データという用語と情報という用語とは同等の意味を有することもある。記憶装置は、コンピュータと独立したものであってもよい。
メモリ１２及び補助記憶装置１３の機能は、他の記憶装置によって実現されてもよい。

攻撃分析プログラムは、コンピュータが読み取り可能な不揮発性の記録媒体に記録されていてもよい。不揮発性の記録媒体は、具体例として、光ディスク又はフラッシュメモリである。攻撃分析プログラムは、プログラムプロダクトとして提供されてもよい。

＊＊＊動作の説明＊＊＊
攻撃分析装置１００の動作手順は攻撃分析方法に相当する。また、攻撃分析装置１００の動作を実現するプログラムは攻撃分析プログラムに相当する。

図４は、事前準備における資産情報作成部１２０の処理の一例を示すフローチャートである。図４を用いて資産情報作成部１２０の処理を説明する。

（ステップＳ１０１）
資産情報作成部１２０は、資産ＤＢ１９１と、関係情報ＤＢ１９２との各々を作成する。なお、情報の種類に応じて、資産情報作成部１２０は各ＤＢとして複数のＤＢを作成してもよい。
図５は、資産ＤＢ１９１に格納されるデータの具体例を示している。本例において、資産情報は、各機器を示す情報と、各機器の構成を示す情報と、各機器が保有するデータを示す情報と、各機器に対応する分析優先度を示す情報とから成る。資産情報作成部１２０は、資産情報を資産ＤＢ１９１に格納する。また、資産情報作成部１２０は、各機器に対応する分析優先度を設定し、設定した分析優先度を資産ＤＢ１９１に格納する。分析者等が分析優先度を設定してもよい。分析優先度は、サイバー攻撃による製品への影響を考慮して設定された分析優先度であってもよい。
図６は、関係情報ＤＢ１９２に格納されるデータの具体例を示している。関係情報ＤＢ１９２＿１は、アカウント情報の関係情報を示している。関係情報ＤＢ１９２＿２は、ファイルサーバのアドレスに関する関係情報を示している。
なお、各機器が保有しているデータが他の機器においても共有されている場合、資産情報作成部１２０は、共有されているデータを示す情報を関係情報ＤＢ１９２に格納する。

図７は、運用時における攻撃分析システム９０の処理の一例を示すフローチャートである。図７を用いて攻撃分析システム９０の処理を説明する。

（ステップＳ１１１）
攻撃検知部２１０は、ハニーポット２００に対する攻撃を検知し、検知した攻撃を示すデータを攻撃分析装置１００に送信する。

（ステップＳ１１２）
攻撃分析部１１０は、ハニーポット２００から攻撃を示すデータを受信し、受信したデータが示す各攻撃のログを分析することにより各攻撃により不正アクセスされたデータ特定し、特定したデータを示すデータを攻撃情報ＤＢ１９０に格納する。
その後、攻撃分析部１１０は、資産ＤＢ１９１に格納されている資産情報であって各攻撃における不正アクセス先に対応する資産情報と、外部セキュリティ機関３００の攻撃情報等に基づいて今後の攻撃可能性の有無を判定する。攻撃分析部１１０は、判定した結果を示すデータを攻撃情報ＤＢ１９０に格納する。
図８は、攻撃情報ＤＢ１９０に格納されるデータの具体例を示している。当該データは、各攻撃について、攻撃を受けた機器と、不正にアクセスされたデータと、今後の攻撃可能性とを示す。
なお、資産ＤＢ１９１において、情報ごとに今後の攻撃可能性の有無が事前に設定されていてもよい。具体例として、資産ＤＢ１９１において、アカウントを示す情報に対して今後の攻撃可能性があることを示す情報が設定されている。このとき、攻撃分析部１１０は、アカウントを示す情報に対する不正アクセスがあった場合に、当該アカウントを示す情報に対応する機器について、今後の攻撃可能性があると判定する。

（ステップＳ１１３）
攻撃情報ＤＢ１９０において今後の攻撃可能性があると設定されている攻撃がある場合、ステップＳ１１４が次に実行される。それ以外の場合、ステップＳ１１６が次に実行される。

（ステップＳ１１４）
分析優先度変更部１３０は、攻撃情報ＤＢ１９０において今後の攻撃可能性があると設定されている攻撃により不正アクセスされたデータを共有している他の機器を、関係情報ＤＢ１９２から抽出する。図８において、攻撃情報ＤＢ１９０において今後の攻撃可能性があると設定されている攻撃は、サービスＸのアカウント情報に対する不正アクセスと、サーバ２のアドレス情報に対する不正アクセスとの各々である。
具体例として、図８に示すクライアント１のサービスＸのアカウント情報は、関係情報ＤＢ１９２＿１に示すようにサーバ１において利用されるデータである。そのため、分析優先度変更部１３０は、サーバ１が今後攻撃される可能性があると判定する。
別の具体例として、図８に示すサーバ２のアドレス情報は、関係情報ＤＢ１９２＿２に示すようにサーバ２内のファイルサーバにアクセスするために利用されるデータである。そのため、分析優先度変更部１３０は、サーバ２が今後攻撃される可能性があると判定する。

（ステップＳ１１５）
分析優先度変更部１３０は、攻撃情報ＤＢ１９０において今後の攻撃可能性があると設定されている各攻撃を受けた機器に対応する分析優先度と、ステップＳ１１４において関係情報ＤＢ１９２から抽出した各機器に対応する分析優先度とを適宜変更する。
図９は、図５と図６と図８とに対応する図であり、分析優先度を変更する処理の具体例を説明する図である。
具体例として、クライアント１は、攻撃情報ＤＢ１９０において今後の攻撃可能性があると設定されている攻撃を受けた機器に当たる。そのため、分析優先度変更部１３０は、クライアント１に対応する分析優先度を高くする。また、サーバ１はクライアント１に対する攻撃により漏洩したアカウント情報を利用するサービスＸを運用する。そのため、分析優先度変更部１３０は、サーバ１に対応する分析優先度を高くする。
また、別の具体例として、分析優先度変更部１３０は、不正アクセスを受けたクライアント１に対応する分析優先度と、クライアント１に対する攻撃により漏洩したアドレス情報を用いてアクセスすることができるサーバ２に対応する分析優先度とを高くする。

（ステップＳ１１６）
攻撃分析システム９０が攻撃観測を継続する場合、ステップＳ１１１が再度実行される。それ以外の場合、攻撃分析システム９０は本フローチャートの処理を終了する。
なお、分析優先度変更部１３０は、必要に応じて分析優先度を変更してよい。具体例として、ある機器に対して対策を適用することによって当該ある機器に対する今後の攻撃可能性のリスクが低下した場合、分析優先度変更部１３０は当該ある機器に対応する分析優先度を元の値に変更する。

＊＊＊実施の形態１の効果の説明＊＊＊
本実施の形態によれば、資産内容に応じて設定された分析優先度を使用することができ、また、攻撃内容に応じて分析優先度を変更することができる。攻撃の分析対象である各機器に対応する分析優先度を設定することにより、攻撃を分析する作業を効率化することができる。また、攻撃内容に応じて分析優先度を変更することにより、攻撃状況に応じて分析及び対策の優先順位を決めることができる。
本実施の形態を活用することにより、観測した複数の攻撃の中で、分析優先度が相対的に高い機器に対する攻撃を優先的に分析することができる。
さらに、本実施の形態によれば、観測した攻撃に基づいて今後の攻撃において狙われる可能性が高い機器が判明した場合に、狙われる可能性が高い機器に対応する分析優先度を変更することができる。従って、本実施の形態によれば、ある攻撃を足掛かりにして別の攻撃を行うといった複数の段階から成る攻撃に対して対応することができる。具体例として、「情報を収集した後にさらなる攻撃を行う」といった複数の段階から成る攻撃に対して、情報収集されたことを検知した段階において次段階の攻撃において狙われる可能性がある機器に対応する分析優先度を高くすることにより、次段階の攻撃を受けたときに当該機器に対する攻撃を迅速に分析することができる。

＊＊＊他の構成＊＊＊
＜変形例１＞
図１０は、本変形例に係る攻撃分析装置１００のハードウェア構成例を示している。
攻撃分析装置１００は、プロセッサ１１、プロセッサ１１とメモリ１２、プロセッサ１１と補助記憶装置１３、あるいはプロセッサ１１とメモリ１２と補助記憶装置１３とに代えて、処理回路１８を備える。
処理回路１８は、攻撃分析装置１００が備える各部の少なくとも一部を実現するハードウェアである。
処理回路１８は、専用のハードウェアであってもよく、また、メモリ１２に格納されるプログラムを実行するプロセッサであってもよい。

処理回路１８が専用のハードウェアである場合、処理回路１８は、具体例として、単一回路、複合回路、プログラム化したプロセッサ、並列プログラム化したプロセッサ、ＡＳＩＣ（Ａｐｐｌｉｃａｔｉｏｎ Ｓｐｅｃｉｆｉｃ Ｉｎｔｅｇｒａｔｅｄ Ｃｉｒｃｕｉｔ）、ＦＰＧＡ（Ｆｉｅｌｄ Ｐｒｏｇｒａｍｍａｂｌｅ Ｇａｔｅ Ａｒｒａｙ）又はこれらの組み合わせである。
攻撃分析装置１００は、処理回路１８を代替する複数の処理回路を備えてもよい。複数の処理回路は、処理回路１８の役割を分担する。

攻撃分析装置１００において、一部の機能が専用のハードウェアによって実現されて、残りの機能がソフトウェア又はファームウェアによって実現されてもよい。

処理回路１８は、具体例として、ハードウェア、ソフトウェア、ファームウェア、又はこれらの組み合わせにより実現される。
プロセッサ１１とメモリ１２と補助記憶装置１３と処理回路１８とを、総称して「プロセッシングサーキットリー」という。つまり、攻撃分析装置１００の各機能構成要素の機能は、プロセッシングサーキットリーにより実現される。
他の実施の形態に係る攻撃分析装置１００についても、本変形例と同様の構成であってもよい。

実施の形態２．
以下、主に前述した実施の形態と異なる点について、図面を参照しながら説明する。

＊＊＊構成の説明＊＊＊
図１１は、本実施の形態に係る攻撃分析システム９０の構成例を示している。本実施の形態に係る攻撃分析装置１００は、図１１に示すように脆弱性情報ＤＢ１９３をさらに記憶する。攻撃分析装置１００は、関係情報ＤＢ１９２を記憶してもよい。
本実施の形態に係る攻撃分析装置１００は、ハニーポット２００内の各機器が脆弱性をつかれて攻撃を受けた場合において、同様の脆弱性を有する他機器の分析優先度を変更する機能を有する。具体例として、クライアント１に搭載されているソフトウェアａの脆弱性を突いた攻撃を検知した場合に、同じソフトウェアａが搭載されているクライアント２が今後攻撃される可能性が高いものとして、クライアント２に対応する分析優先度を高くする。

本実施の形態に係る分析優先度変更部１３０は、対象攻撃が対象脆弱性に起因する場合において、攻撃対象システムが備える複数の機器のうち、対象機器以外の対象脆弱性を有する各機器に対応する分析優先度を変更する。対象脆弱性は対象機器が有する脆弱性である。

脆弱性情報ＤＢ１９３は、機器又はソフトウェア等の脆弱性を示す情報を格納する。

＊＊＊動作の説明＊＊＊
以下、事前準備における資産情報作成部１２０の処理について、実施の形態１との差異を説明する。

（ステップＳ１０１）
資産情報作成部１２０は、実施の形態１に係るステップＳ１０１の処理に加えて下記の処理を実行する。
資産情報作成部１２０は、資産情報に加えて各機器に搭載されている各ＦＷ（ｆｉｒｍｗａｒｅ）と各ＳＷ（ｓｏｆｔｗａｒｅ）との各々バージョンを示す情報を資産ＤＢ１９１に格納する。図１２は、資産ＤＢ１９１に格納されるデータの具体例を示している。
また、資産情報作成部１２０は、外部セキュリティ機関３００の情報に基づいて脆弱性情報ＤＢ１９３を作成する。図１３は、脆弱性情報ＤＢ１９３に格納されるデータの具体例を示している。当該データは、各機器に搭載されているＦＷ及びＳＷのバージョン毎の脆弱性を示す。

図１４は、運用時における攻撃分析システム９０の処理の一例を示すフローチャートである。図１４を用いて攻撃分析システム９０の処理を説明する。なお、攻撃分析システム９０は、実施の形態１に係る攻撃分析システム９０の処理に加えて下記の処理を実行してもよい。

（ステップＳ２１２）
攻撃分析部１１０は、ハニーポット２００から攻撃を示すデータを受信し、受信したデータが示す各攻撃のログを分析することにより各攻撃により不正アクセスされたデータ特定し、特定したデータを示すデータを攻撃情報ＤＢ１９０に格納する。
その後、攻撃分析部１１０は、資産ＤＢ１９１に格納されている資産情報であって各攻撃における不正アクセス先に対応する資産情報と、外部セキュリティ機関３００の攻撃情報等に基づいて、各攻撃において利用された脆弱性を判定する。攻撃分析部１１０は、判定した結果を示すデータを攻撃情報ＤＢ１９０に格納する。
図１５は、攻撃情報ＤＢ１９０に格納されるデータの具体例を示している。

（ステップＳ２１３）
分析優先度変更部１３０は、攻撃情報ＤＢ１９０と脆弱性情報ＤＢ１９３とを参照し、攻撃分析部１１０によって判定された脆弱性が他の機器にもあるか否かを判定する。
当該脆弱性が他の機器にもあると判定された場合、ステップＳ２１４が次に実行される。それ以外の場合、ステップＳ１１６が次に実行される。

（ステップＳ２１４）
分析優先度変更部１３０は、攻撃情報ＤＢ１９０と脆弱性情報ＤＢ１９３とを参照し、攻撃分析部１１０によって判定された脆弱性がある他の各機器を関連機器として抽出する。
具体例として、図１３及び図１５に示すようにクライアント１に搭載されているソフトウェアａは脆弱性を利用されて不正アクセスを受けた。また、クライアント１に搭載されているソフトウェアａのバージョンと同じバージョンであるソフトウェアａがクライアント２に搭載されている。そのため、分析優先度変更部１３０は、クライアント２がクライアント１に対する攻撃と同様の攻撃を今後受ける可能性があると判定し、クライアント２を関連機器として抽出する。

（ステップＳ２１５）
分析優先度変更部１３０は、ステップＳ２１４において抽出した各関連機器に対応する分析優先度を適宜変更する。
図１６は、図１２と図１３と図１５とに対応する図であり、分析優先度を変更する処理の具体例を説明する図である。本例において、分析優先度変更部１３０は、不正アクセスを受けたクライアント１に対応する分析優先度と、不正アクセスを受けたクライアント１が有する脆弱性と同様の脆弱性を有するクライアント２に対応する分析優先度との各々を高くする。

＊＊＊実施の形態２の効果の説明＊＊＊
本実施の形態によれば、攻撃を受けた対象機器が有する脆弱性と同じ脆弱性を有する各機器に対応する分析優先度を、各機器に対する攻撃が観測される前に上げることができる。

＊＊＊他の実施の形態＊＊＊
前述した各実施の形態の自由な組み合わせ、あるいは各実施の形態の任意の構成要素の変形、もしくは各実施の形態において任意の構成要素の省略が可能である。
また、実施の形態は、実施の形態１から２で示したものに限定されるものではなく、必要に応じて種々の変更が可能である。フローチャート等を用いて説明した手順は適宜変更されてもよい。

１１ プロセッサ、１２ メモリ、１３ 補助記憶装置、１４ 入出力ＩＦ、１５ 通信装置、１８ 処理回路、１９ 信号線、９０ 攻撃分析システム、１００ 攻撃分析装置、１１０ 攻撃分析部、１２０ 資産情報作成部、１３０ 分析優先度変更部、１９０ 攻撃情報ＤＢ、１９１ 資産ＤＢ、１９２ 関係情報ＤＢ、１９３ 脆弱性情報ＤＢ、２００ ハニーポット、２１０ 攻撃検知部、３００ 外部セキュリティ機関。

Claims (5)

1. 各々に対して分析優先度が設定されている複数の機器を備える攻撃対象システムが備える機器である対象機器がサイバー攻撃である対象攻撃を受けた場合に、前記対象攻撃の内容に応じて前記対象機器に対応する分析優先度を変更する分析優先度変更部
   を備える攻撃分析装置であって、
   前記攻撃対象システムが備える複数の機器を攻撃対象機器群としたとき、前記攻撃対象機器群に含まれている各機器がサイバー攻撃を受けた場合において、前記攻撃対象機器群に含まれている各機器に対するサイバー攻撃は、前記攻撃対象機器群に含まれている各機器に対応する分析優先度に応じて順に分析され、
   前記攻撃対象機器群に含まれている各機器に対応する分析優先度は、前記攻撃対象機器群に含まれている各機器に対するサイバー攻撃による前記攻撃対象システムへの影響に対応して設定されており、
   前記分析優先度変更部は、前記対象機器がサイバー攻撃を受けた場合において、前記攻撃対象機器群に含まれている機器のうち、前記対象機器が保有している情報の漏洩によってサイバー攻撃を受ける可能性がある前記対象機器以外の各機器に対応する分析優先度を変更する攻撃分析装置。
2. 前記分析優先度変更部は、前記対象攻撃が、前記対象機器が有する脆弱性である対象脆弱性に起因する場合において、前記攻撃対象システムが備える複数の機器のうち、前記対象機器以外の前記対象脆弱性を有する各機器に対応する分析優先度を変更する請求項１に記載の攻撃分析装置。
3. 前記攻撃対象システムはハニーポットである請求項１又は２に記載の攻撃分析装置。
4. コンピュータが、各々に対して分析優先度が設定されている複数の機器を備える攻撃対象システムが備える機器である対象機器がサイバー攻撃である対象攻撃を受けた場合に、前記対象攻撃の内容に応じて前記対象機器に対応する分析優先度を変更する攻撃分析方法であって、
   前記攻撃対象システムが備える複数の機器を攻撃対象機器群としたとき、前記攻撃対象機器群に含まれている各機器がサイバー攻撃を受けた場合において、前記攻撃対象機器群に含まれている各機器に対するサイバー攻撃は、前記攻撃対象機器群に含まれている各機器に対応する分析優先度に応じて順に分析され、
   前記攻撃対象機器群に含まれている各機器に対応する分析優先度は、前記攻撃対象機器群に含まれている各機器に対するサイバー攻撃による前記攻撃対象システムへの影響に対応して設定されており、
   前記コンピュータは、前記対象機器がサイバー攻撃を受けた場合において、前記攻撃対象機器群に含まれている機器のうち、前記対象機器が保有している情報の漏洩によってサイバー攻撃を受ける可能性がある前記対象機器以外の各機器に対応する分析優先度を変更する攻撃分析方法。
5. 各々に対して分析優先度が設定されている複数の機器を備える攻撃対象システムが備える機器である対象機器がサイバー攻撃である対象攻撃を受けた場合に、前記対象攻撃の内容に応じて前記対象機器に対応する分析優先度を変更する分析優先度変更処理
   をコンピュータである攻撃分析装置に実行させる攻撃分析プログラムであって、
   前記攻撃対象システムが備える複数の機器を攻撃対象機器群としたとき、前記攻撃対象機器群に含まれている各機器がサイバー攻撃を受けた場合において、前記攻撃対象機器群に含まれている各機器に対するサイバー攻撃は、前記攻撃対象機器群に含まれている各機器に対応する分析優先度に応じて順に分析され、
   前記攻撃対象機器群に含まれている各機器に対応する分析優先度は、前記攻撃対象機器群に含まれている各機器に対するサイバー攻撃による前記攻撃対象システムへの影響に対応して設定されており、
   前記分析優先度変更処理では、前記対象機器がサイバー攻撃を受けた場合において、前記攻撃対象機器群に含まれている機器のうち、前記対象機器が保有している情報の漏洩によってサイバー攻撃を受ける可能性がある前記対象機器以外の各機器に対応する分析優先度を変更する攻撃分析プログラム。

Images