WO2020161780A1 - 行動計画推定装置、行動計画推定方法、及びコンピュータ読み取り可能な記録媒体 - Google Patents

行動計画推定装置、行動計画推定方法、及びコンピュータ読み取り可能な記録媒体 Download PDF

Info

Publication number
WO2020161780A1
WO2020161780A1 PCT/JP2019/003922 JP2019003922W WO2020161780A1 WO 2020161780 A1 WO2020161780 A1 WO 2020161780A1 JP 2019003922 W JP2019003922 W JP 2019003922W WO 2020161780 A1 WO2020161780 A1 WO 2020161780A1
Authority
WO
WIPO (PCT)
Prior art keywords
action
action plan
log
software
group
Prior art date
Application number
PCT/JP2019/003922
Other languages
English (en)
French (fr)
Inventor
細見　格
Original Assignee
日本電気株式会社
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 日本電気株式会社 filed Critical 日本電気株式会社
Priority to JP2020570224A priority Critical patent/JP7168010B2/ja
Priority to PCT/JP2019/003922 priority patent/WO2020161780A1/ja
Priority to US17/427,250 priority patent/US11989290B2/en
Publication of WO2020161780A1 publication Critical patent/WO2020161780A1/ja

Links

Images

Classifications

    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/55—Detecting local intrusion or implementing counter-measures
    • G06F21/554—Detecting local intrusion or implementing counter-measures involving event detection and direct action
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/55—Detecting local intrusion or implementing counter-measures
    • G06F21/56—Computer malware detection or handling, e.g. anti-virus arrangements
    • G06F21/566—Dynamic detection, i.e. detection performed at run-time, e.g. emulation, suspicious activities
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/55—Detecting local intrusion or implementing counter-measures
    • G06F21/552—Detecting local intrusion or implementing counter-measures involving long-term monitoring or reporting
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06N—COMPUTING ARRANGEMENTS BASED ON SPECIFIC COMPUTATIONAL MODELS
    • G06N5/00—Computing arrangements using knowledge-based models
    • G06N5/02—Knowledge representation; Symbolic representation
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06N—COMPUTING ARRANGEMENTS BASED ON SPECIFIC COMPUTATIONAL MODELS
    • G06N5/00—Computing arrangements using knowledge-based models
    • G06N5/04—Inference or reasoning models
    • G06N5/041—Abduction
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F2221/00—Indexing scheme relating to security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F2221/03—Indexing scheme relating to G06F21/50, monitoring users, programs or devices to maintain the integrity of platforms
    • G06F2221/034—Test or assess a computer or a system

Definitions

  • the present invention relates to an action plan estimation device and an action plan estimation method for estimating a software action plan on a computer system, and further, a computer-readable recording medium recording a program for realizing these.
  • Patent Document 1 discloses an analysis device that detects behavior of malware in a cyber attack, traces a function related to the detected behavior, and estimates the purpose of the malware. There is. According to the analysis device disclosed in Patent Document 1, it is possible to grasp the purpose of malware, that is, the purpose that the attacker is trying to achieve by using the malware, and the action plan formulated for achieving the purpose. It is thought that malware actions can be advanced and that cyber attacks can be responded quickly.
  • the behavior of the malware is detected by matching the behavior of the software with the predefined behavior pattern of the malware. Therefore, the analysis device disclosed in Patent Document 1 may not be able to cope with an attack by a new malware whose behavior does not match the pattern, and may not be able to estimate the action plan.
  • An example of an object of the present invention is to solve the above-mentioned problems, and even if the method of cyber attack by software inputted from the outside is diversified, the action plan executed by this software can be estimated.
  • An estimation device, an action plan estimation method, and a computer-readable recording medium are examples of an object of the present invention.
  • the action plan estimation that estimates the action plan executed by the software from which the action log is acquired from the action indicated by the action log included in the group to the preset target state Department, Is equipped with It is characterized by
  • the action plan estimation method is (A) acquiring, for each operation performed by the software on the computer system, an operation log indicating the operation and context information indicating the status of the operation; (B) dividing each of the operation logs into groups based on the similarity between the context information, and (C) For each of the groups, hypothesis inference is performed by applying knowledge data indicating a relationship between an action plan executed by software and the operation of the software to the operation log included in the group to execute hypothesis inference. Using the result of the inference, from the operation indicated by the operation log included in the group, to the preset target state, to estimate the action plan executed by the software from which the operation log is acquired, Steps, Has, It is characterized by
  • a computer-readable recording medium On the computer, (A) acquiring, for each operation performed by the software on the computer system, an operation log indicating the operation and context information indicating the status of the operation; (B) dividing each of the operation logs into groups based on the similarity between the context information, and (C) For each of the groups, hypothesis inference is performed by applying knowledge data indicating a relationship between an action plan executed by software and the operation of the software to the operation log included in the group to execute hypothesis inference.
  • Steps Recording a program, including instructions to execute It is characterized by
  • FIG. 1 is a block diagram showing a schematic configuration of an action plan estimation device in the first exemplary embodiment of the present invention.
  • FIG. 2 is a block diagram showing a specific configuration of the action plan estimation device in the first exemplary embodiment of the present invention.
  • FIG. 3 is a flowchart showing the operation of the action plan estimation device in the first exemplary embodiment of the present invention.
  • FIG. 4 is a diagram showing an example of the operation log and context information acquired in step A1 shown in FIG.
  • FIG. 5 is a diagram showing an example of the group created in step A2 shown in FIG.
  • FIG. 6 is a diagram showing an example of an action plan estimated from the hypothesis inference of step A3 shown in FIG.
  • FIG. 1 is a block diagram showing a schematic configuration of an action plan estimation device in the first exemplary embodiment of the present invention.
  • FIG. 2 is a block diagram showing a specific configuration of the action plan estimation device in the first exemplary embodiment of the present invention.
  • FIG. 3 is a flowchart showing the operation of
  • FIG. 7 is a diagram showing an example of an action plan and messages displayed on the screen by executing step A6 shown in FIG.
  • FIG. 8 is a block diagram showing the configuration of the action plan estimation device in the second exemplary embodiment of the present invention.
  • FIG. 9 is a flowchart showing the operation of the action plan estimation device in the second exemplary embodiment of the present invention.
  • 10A shows an example of the processing of steps B3 and B4 shown in FIG. 9, and
  • FIG. 10B is a diagram showing an example of the processing of steps B5 and B6 shown in FIG.
  • FIG. 11 is a block diagram showing an example of a computer that realizes the action plan estimation device according to the first and second exemplary embodiments of the present invention.
  • FIG. 1 is a block diagram showing a schematic configuration of an action plan estimation device in the first exemplary embodiment of the present invention.
  • the action plan estimation device 10 is a device that estimates an action plan executed by software on a computer system.
  • the “action plan executed by software” also includes the action plan of a person who wants to achieve using the software.
  • the action plan estimation device 10 includes an information acquisition unit 11, a group generation unit 12, and an action plan estimation unit 13.
  • the information acquisition unit 11 acquires, for each operation performed by the software on the computer system, an operation log indicating the operation and context information indicating the status of the operation.
  • the group generation unit 12 divides each operation log into groups based on the similarity between context information.
  • the action plan estimation unit 13 For each group, the action plan estimation unit 13 first applies hypothetical reasoning to the action logs included in each group by applying knowledge data indicating the relation between the action plan executed by the software and the action of the software at that time. Execute. Then, the action plan estimation unit 13 uses the result of the hypothesis inference to execute the action from the action indicated by the action log included in each group to the preset target state by the software from which the action log is acquired. Estimate the action plan to be performed.
  • the action plan is estimated by using the result of the hypothesis inference executed by applying the knowledge data indicating the relation between the execution plan and the action to the action logs related to each other. .. That is, in this embodiment, the action plan is estimated without depending on only the behavior of the software. For this reason, according to the present embodiment, even if the cyber attack method by software input from the outside is diversified, the action plan executed by this software can be estimated.
  • FIG. 2 is a block diagram showing a specific configuration of the action plan estimation device in the first exemplary embodiment of the present invention.
  • the action plan estimation device 10 is connected to the computer system 30.
  • the computer system 30 is constructed by a large number of computers connected via a network.
  • the action plan estimation apparatus 10 estimates an action plan executed by software that runs on the computer system 30, particularly software that attacks the computer system 30 such as malware.
  • the information acquisition unit 11 first collects an operation log from the computer system 30 and acquires context information associated with the operation log from the collected operation log.
  • the context information is, for example, information including an execution time (start time) of an operation, an execution place, an actor, an action target, and the like.
  • the group generation unit 12 matches any of the execution time (start time) of the operation, the execution location, the actor, and the action target included in each of the plurality of context information. In addition, it is determined that these operation logs are related to each other, and they are put in the same group.
  • the execution time is judged to match if the difference between the execution times in the context information of each of the two action logs is less than or equal to a threshold value (within one hour, one week, etc.).
  • a threshold value within one hour, one week, etc.
  • the execution location if the areas where the operation logs are acquired are in the same area (on the same host machine, on the same domain network, within the infected area, etc.), it is judged as a match.
  • the execution location is determined to match even if the spatial distance or network distance between the locations where the operation is performed is less than or equal to a threshold value (the operation log acquisition source is in the same department or cooperation department, etc.).
  • the actor if the user accounts related to each of the two action logs match, and if the privilege levels of the user accounts are the same, it is judged as a match. Further, regarding the actors, it is determined that the pieces of software that have operated are the same malware, or the series of malware that has been used for the same attack, and the like. Furthermore, regarding the action target, it is determined as a match when the objects targeted by the two action logs are the same, or when they are objects of the same family.
  • the action plan estimating unit 13 first applies the knowledge data to the operation log included in each group and executes the hypothesis inference for each group.
  • the knowledge data is expressed by the implication relation rule of the first-order predicate logical expression in this embodiment.
  • Knowledge data is expressed in the form of "pre-state (premise) ⁇ action (achievement state) ⁇ post-state (conclusion)", for example.
  • This form shows that if both the precondition and act (the achievement state) of the premise are true, the postcondition that is the inevitable consequence is derived. Further, in this form, the pre-state and the act are necessary conditions for the post-state to be established. Also, “pre-state ⁇ action” is a sufficient condition for the post-state to be established.
  • the action can also be expressed as a conjunct of multiple propositions. For example, the knowledge data may be expressed as “pre-state ⁇ action 1 ⁇ action 2 ⁇ post-state”.
  • a specific example of knowledge data is "Malware intrusion (Event1, Mal) ⁇ Unauthorized logon (Event2, Host, Host1) ⁇ Infection spread (Plan, Mal, Host1)".
  • Event1, Mal, Host, etc. are variables called "terms” of each predicate.
  • a logical expression in which “term” has a specific value is called “observation”.
  • An example is "unauthorized logon ("e1", "10.23.123.1”)”.
  • the action plan estimation unit 13 acquires the action log from the action indicated by the action log included in each group to the preset target state, using the result of the hypothesis inference.
  • the action plan that will be executed by the implemented software.
  • the action plan estimation unit 13 uses the result of the inference to estimate the action performed by the software after the action indicated by the action log is performed until the target state is reached.
  • the “target state” include a state in which confidential information is transmitted to the outside, a state in which the requested amount of money is remitted, and the like.
  • the action plan estimation device 10 includes an action plan output unit 14 and a message creation unit 15 in addition to the information acquisition unit 11, the group generation unit 12, and the action plan estimation unit 13. ing.
  • the message creation unit 15 identifies the action required to establish an element that is not directly connected to the action log, from the result of hypothesis inference. Then, the message creating unit 15 uses the context information of the action log to estimate the context information indicating the identified action state, and uses the estimated context information to generate a message about the action plan.
  • the action plan output unit 14 outputs the estimated action plan to an external device such as a display device or a terminal device. As a result, the action plan is displayed on the screen of the display device or the terminal device. Further, when the message is generated by the message creating unit 15, the action plan output unit 14 can output the generated message to an external device in addition to the estimated action plan.
  • FIG. 3 is a flowchart showing the operation of the action plan estimation device in the first exemplary embodiment of the present invention.
  • FIGS. 1 and 2 will be referred to as appropriate.
  • the action plan estimation method is implemented by operating the action plan estimation device 10. Therefore, the description of the action plan estimation method according to the first embodiment will be replaced with the following description of the operation of the action plan estimation device 10.
  • the information acquisition unit 11 acquires, for each operation performed by the software on the computer system 30, an operation log indicating the operation and its context information (step A1). Specifically, the information acquisition unit 11 collects operation logs from the computer system 30 and acquires context information associated with the operation logs from the collected operation logs.
  • the group generation unit 12 divides each operation log acquired in step A1 into groups based on the similarity between context information (step A2). Specifically, when any of the execution time (start time) of the operation, the execution location, the actor, and the action target included in each of the plurality of pieces of context information is the same, the group generation unit 12 determines whether these match. It is judged that the operation logs of are related, and these are made the same group.
  • the action plan estimation unit 13 applies the knowledge data to the action log included in each group and executes the hypothesis inference for each group (step A3).
  • the action plan estimation unit 13 acquires the action log from the action indicated by the action log included in each group to the preset target state by using the result of the hypothesis inference in step A3. Estimate the action plan executed by the software (step A4).
  • the message creating unit 15 creates a message about the action plan estimated in step A4 (step A5). Specifically, the message creating unit 15 identifies the action necessary for the establishment of the element that is not directly connected to the action log, from the result of the hypothesis inference. Then, the message creating unit 15 uses the context information of the action log to estimate the context information indicating the identified action state, and uses the estimated context information to generate a message about the action plan.
  • the action plan output unit 14 outputs the action plan estimated in step A4 and the message generated in step A5 to an external device such as a display device or a terminal device (step A6).
  • Step A1 The information acquisition unit 11 acquires the operation log shown in FIG. 4 and the context information accompanying it.
  • FIG. 4 is a diagram showing an example of the operation log and context information acquired in step A1 shown in FIG.
  • “malware detection”, “unauthorized logon 1”, and “unauthorized logon 2” are acquired as operation logs.
  • the operation log and the context information are schematically shown on the left side, and these logical expressions are shown on the right side.
  • Step A2 the group generation unit 12 divides each operation log acquired in step A1 into groups based on the similarity between context information.
  • FIG. 5 is a diagram showing an example of the group created in step A2 shown in FIG. As shown in FIG. 4, the actor and the execution place are the same in the “multiplication detection” and the “unauthorized logon 1”. Therefore, in the example of FIG. 5, these operations are in the same group.
  • Steps A3 and A4 The action plan estimating unit 13 applies knowledge data to the action logs included in the group shown in FIG. 5 to execute hypothesis inference. Then, the action plan estimation unit 13 estimates the action plan from the result of the hypothesis inference, as shown in FIG.
  • FIG. 6 is a diagram showing an example of an action plan estimated from the hypothesis inference of step A3 shown in FIG. In the example of FIG. 6, by hypothetical reasoning, the actions performed by the malware from the start point to the end point “target state” from “malware detection” and “unauthorized logon 1” included in the group created in step A2 are performed. It has been derived.
  • Step A5 The message creation unit 15 identifies, among the “acts” included in the hypothesis inference obtained in step A3, those not directly linked to the action log acquired in step A1. In the example of FIG. 6, “data external transmission” corresponds to this. Subsequently, the message creating unit 15 uses the knowledge data to identify the operation required to establish the “data external transmission”. Specifically, the message creating unit 15 uses the knowledge data to specify “information stealing” as an operation required to establish “data external transmission”.
  • the message creating unit 15 receives the context information of the action log acquired in step A1, for example, “infection” which is a necessary condition of “infection spread” immediately before “information stealing” identified as an action necessary for establishment.
  • the context information of "data external transmission” is estimated from the context information of "logon 1".
  • the message creation unit 15 extracts the values of the execution date and time (time), the action subject (agent), and the execution location (src, dest) in the context information of “unauthorized logon 1” (see FIG. 4). ).
  • the message creation unit 15 sets the execution date and time of “data external transmission” after the extracted date and time, and sets the actor, the action target, and the execution place in the extracted one. Then, the message creation unit 15 creates a message by using the unconfirmed operation “external transmission of data” and the context information set for it.
  • ““External data transmission” related to “information stealing” is “183.79.40.183” or “183.79” with “admin01” authority after “2018/01/31 13:54:28”. It may have been done on .52.210”.”
  • Step A6 the action plan output unit 14 outputs the action plan estimated in step A4 and the message generated in step A5 to an external device.
  • FIG. 7 is a diagram showing an example of an action plan and messages displayed on the screen by executing step A6 shown in FIG. In the example of FIG. 7, an action plan and a message are displayed on the screen.
  • the program in the first embodiment may be any program that causes a computer to execute steps A1 to A6 shown in FIG.
  • the processor of the computer functions as the information acquisition unit 11, the group generation unit 12, the action plan estimation unit 13, the action plan output unit 14, and the message creation unit 15 to perform processing.
  • each computer may function as any one of the information acquisition unit 11, the group generation unit 12, the action plan estimation unit 13, the action plan output unit 14, and the message creation unit 15.
  • FIG. 8 is a block diagram showing the configuration of the action plan estimation device in the second exemplary embodiment of the present invention.
  • the action plan estimation apparatus 20 according to the second exemplary embodiment is similar to the action plan estimation apparatus 10 according to the first exemplary embodiment shown in FIG. 2 in the information acquisition unit 11, the group generation unit 12, and the action.
  • a plan estimation unit 13, an action plan output unit 14, and a message creation unit 15 are provided.
  • the action plan estimation apparatus 20 is also provided with the partial purpose estimation unit 16 in addition to these, and in this respect, it is different from the action plan estimation apparatus 10 in the first embodiment.
  • the differences from the first embodiment will be mainly described below.
  • the partial purpose estimation unit 16 applies deduction inference by applying knowledge data to the operation log included in each group for each group. Furthermore, the partial purpose estimation unit 16 identifies a new action derived from the action indicated by the action log by using the result of the deduction inference for each group, and then obtains the action log indicating the identified new action in each group. Add to.
  • the action plan estimation unit 13 estimates the action plan executed by the software for each group to which the action log indicating the new action is added by the partial purpose estimation unit 16.
  • FIG. 9 is a flowchart showing the operation of the action plan estimation device in the second exemplary embodiment of the present invention.
  • FIG. 8 will be referred to as appropriate.
  • the action plan estimation method is implemented by operating the action plan estimation device 20. Therefore, the description of the action plan estimation method according to the second embodiment will be replaced with the following description of the operation of the action plan estimation device 20.
  • the information acquisition unit 11 acquires, for each operation performed by the software on the computer system 30, an operation log indicating the operation and its context information (step B1).
  • Step B1 is the same step as step A1 shown in FIG.
  • Step B2 is the same step as step A2 shown in FIG.
  • the partial purpose estimation unit 16 applies knowledge data to the operation log included in each group and executes deduction inference (step B3). Then, the partial purpose estimation unit 16 identifies, for each group, a new action derived from the action indicated by the action log acquired in step B1 by using the result of the deduction inference, and the identified new action. Is added to each group (step B4).
  • step B4 when an action log indicating a new action is added to each group in step B4, the action plan estimation unit 13 makes knowledge of the action log included in each group for each action log added group. Hypothetical reasoning is executed by applying the data (step B5).
  • the action plan estimation unit 13 acquires the action log from the action indicated by the action log included in each group to the preset target state by using the result of the hypothesis inference in step B5. Estimate the action plan executed by the software (step B6). Step B6 is the same step as step A4 shown in FIG.
  • Step B7 is the same step as step A5 shown in FIG.
  • Step B8 is the same step as step A6 shown in FIG.
  • FIGS. 10A shows an example of the processing of steps B3 and B4 shown in FIG. 9, and FIG. 10B is a diagram showing an example of the processing of steps B5 and B6 shown in FIG. Further, the description of the specific example will be given along the above-described steps shown in FIG.
  • Step B1 Also in the second embodiment, the information acquisition unit 11 acquires, for example, the operation log shown in FIG. 4 and the context information accompanying it, as in the first embodiment.
  • Step B2 Also in the second embodiment, as in the first embodiment, the group generation unit 12 sets each operation log acquired in step B1 based on the similarity between context information, as shown in FIG. 5, for example. , Divide into groups.
  • Steps B3 and B4 The partial purpose estimation unit 16 applies the knowledge data to the action acquired in step B1 to execute deduction.
  • the action “intrusion” is derived for “malware detection”
  • “infection spread” is derived for the “intrusion” and “unauthorized logon 1”. ..
  • deductive inference is performed on “intrusion”
  • “infection spread” is derived. Therefore, as shown in FIG. 10A, when both “malware detection” and “unauthorized logon 1” are completed, “intrusion” and “infection spread” are added.
  • Steps B5 and B6 The action plan estimation unit 13 executes the hypothesis inference by applying the knowledge data to the action log included in the group after the addition illustrated in FIG. Then, the action plan estimation unit 13 estimates the action plan as shown in FIG. In the example of FIG. 10B as well, similar to the example of FIG. 6 described in the first embodiment, the “malware detection” and the “unauthorized logon 1” included in the group created in step B2 are used as the starting points by hypothesis inference. As a result, the actions performed by the malware are derived from the starting point to the end point “target state”.
  • Step B7 the message creating unit 15 creates a message as in the specific example shown in the first embodiment.
  • ““Data external transmission” related to “information theft” is “183.79.40.183” or “183.79” after “2018/201731 13:54:28” with the authority of “admin01”. It may have been done on .52.210”.”
  • Step B8 Also in the second embodiment, the action plan output unit 14 outputs the action plan estimated in step B6 and the message generated in step B7 to an external device, as shown in FIG. 7, for example.
  • deductive inference has less processing load and can be processed faster than hypothetical inference.
  • the more the number of motion logs (observations) linked to the same hypothesis the greater the proportion of phenomena that can be derived by deductive reasoning, so the knowledge data to be searched for by hypothesis reasoning is limited. From these points, according to the second embodiment, the processing time can be shortened.
  • the action plan can be estimated even when the cyber attack method is diversified. Further, also in the second embodiment, as in the case of the first embodiment, the message for supporting the interpretation of the action plan is presented, so that the administrator of the computer system 30 can quickly take an appropriate response.
  • the program according to the second embodiment may be a program that causes a computer to execute steps B1 to B8 shown in FIG.
  • the processor of the computer functions as the information acquisition unit 11, the group generation unit 12, the action plan estimation unit 13, the action plan output unit 14, the message creation unit 15, and the partial purpose estimation unit 16 and performs processing.
  • the program in the present embodiment may be executed by a computer system constructed by a plurality of computers.
  • each computer functions as any one of the information acquisition unit 11, the group generation unit 12, the action plan estimation unit 13, the action plan output unit 14, the message creation unit 15, and the partial purpose estimation unit 16. You may do it.
  • FIG. 11 is a block diagram showing an example of a computer that realizes the action plan estimation device according to the first and second exemplary embodiments of the present invention.
  • the computer 110 includes a CPU (Central Processing Unit) 111, a main memory 112, a storage device 113, an input interface 114, a display controller 115, a data reader/writer 116, and a communication interface 117. With. These respective units are connected to each other via a bus 121 so as to be capable of data communication.
  • the computer 110 may include a GPU (Graphics Processing Unit) or an FPGA (Field-Programmable Gate Array) in addition to the CPU 111 or in place of the CPU 111.
  • the CPU 111 expands the program (code) according to the present embodiment stored in the storage device 113 into the main memory 112, and executes these in a predetermined order to perform various calculations.
  • the main memory 112 is typically a volatile storage device such as a DRAM (Dynamic Random Access Memory).
  • the program in the present embodiment is provided in a state of being stored in computer-readable recording medium 120.
  • the program according to the present embodiment may be distributed on the Internet connected via the communication interface 117.
  • the storage device 113 include a semiconductor storage device such as a flash memory in addition to a hard disk drive.
  • the input interface 114 mediates data transmission between the CPU 111 and an input device 118 such as a keyboard and a mouse.
  • the display controller 115 is connected to the display device 119 and controls the display on the display device 119.
  • the data reader/writer 116 mediates data transmission between the CPU 111 and the recording medium 120, reads a program from the recording medium 120, and writes the processing result in the computer 110 to the recording medium 120.
  • the communication interface 117 mediates data transmission between the CPU 111 and another computer.
  • the recording medium 120 include general-purpose semiconductor storage devices such as CF (Compact Flash (registered trademark)) and SD (Secure Digital), magnetic recording media such as a flexible disk, or CD- An optical recording medium such as a ROM (Compact Disk Read Only Memory) can be given.
  • CF Compact Flash
  • SD Secure Digital
  • magnetic recording media such as a flexible disk
  • CD- An optical recording medium such as a ROM (Compact Disk Read Only Memory) can be given.
  • the action plan estimation apparatus 10 can be realized not by using a computer in which a program is installed but by using hardware corresponding to each unit. Furthermore, the action plan estimation apparatus 10 may be partially realized by a program and the remaining part may be realized by hardware.
  • An information acquisition unit that acquires, for each operation performed by software on the computer system, an operation log indicating the operation and context information indicating the status of the operation,
  • a group generation unit that divides each of the operation logs into groups based on the similarity between the context information; For each group, knowledge data indicating the relationship between the action plan executed by software and the operation of the software is applied to the operation log included in the group, hypothesis inference is executed, and the result of the hypothesis inference is performed.
  • the action plan estimation that estimates the action plan executed by the software from which the action log is acquired from the action indicated by the action log included in the group to the preset target state Department, Is equipped with An action plan estimation device characterized by the above.
  • appendix 4 The action plan estimation device according to any one of appendices 1 to 3, For each group, the knowledge data is applied to the operation log included in the group, deductive inference is executed, and a new derivation derived from the operation indicated by the operation log is performed by using the result of the deductive inference.
  • a partial purpose estimation unit is further provided, which specifies an operation and adds an operation log indicating the specified new operation to the group, The action plan estimation unit estimates an action plan executed by the software for each of the groups to which an action log indicating the new action is added, An action plan estimation device characterized by the above.
  • (Appendix 5) (A) acquiring, for each operation performed by the software on the computer system, an operation log indicating the operation and context information indicating the status of the operation; (B) dividing each of the operation logs into groups based on the similarity between the context information, and (C) For each of the groups, hypothesis inference is performed by applying knowledge data indicating a relationship between an action plan executed by software and the operation of the software to the operation log included in the group to execute hypothesis inference. Using the result of the inference, from the operation indicated by the operation log included in the group, to the preset target state, to estimate the action plan executed by the software from which the operation log is acquired, Steps, Has, An action plan estimation method characterized by the above.
  • (Appendix 12) The computer-readable recording medium according to any one of appendices 9 to 11, The program, in the computer, (F) For each of the groups, the action log included in the group is applied to the knowledge data to perform deductive inference, and the result of the deductive inference is used to derive the action indicated by the action log. A new action to be taken, and adding an action log showing the identified new action to the group, further including an instruction for executing the step. In the step (c), the action plan executed by the software is estimated for each of the groups to which the action log indicating the new action is added.
  • the present invention it is possible to estimate the action plan executed by this software even if the cyber attack method by the software input from the outside is diversified.
  • the present invention is useful for various systems in which software may be input from the outside.
  • Action Plan Estimation Device (Embodiment 1) 11 information acquisition unit 12 group generation unit 13 action plan estimation unit 14 action plan output unit 15 message creation unit 16 partial purpose estimation unit 20 action plan estimation device (Embodiment 2) 30 computer system 110 computer 111 CPU 112 Main Memory 113 Storage Device 114 Input Interface 115 Display Controller 116 Data Reader/Writer 117 Communication Interface 118 Input Equipment 119 Display Device 120 Recording Medium 121 Bus

Landscapes

  • Engineering & Computer Science (AREA)
  • Theoretical Computer Science (AREA)
  • Software Systems (AREA)
  • Computer Security & Cryptography (AREA)
  • General Engineering & Computer Science (AREA)
  • General Physics & Mathematics (AREA)
  • Physics & Mathematics (AREA)
  • Computer Hardware Design (AREA)
  • Evolutionary Computation (AREA)
  • Mathematical Physics (AREA)
  • Computing Systems (AREA)
  • Data Mining & Analysis (AREA)
  • Computational Linguistics (AREA)
  • Artificial Intelligence (AREA)
  • Health & Medical Sciences (AREA)
  • General Health & Medical Sciences (AREA)
  • Virology (AREA)
  • Debugging And Monitoring (AREA)

Abstract

行動計画推定装置１０は、コンピュータシステム上でソフトウェアが行った動作毎に、当該動作を示す動作ログ及び当該動作の状況を示す文脈情報を取得する、情報取得部１１と、動作ログそれぞれを、文脈情報間の類似性に基づいて、グループに分ける、グループ生成部１２と、グループ毎に、当該グループに含まれる動作ログに、ソフトウェアによって実行される行動計画とその際のソフトウェアの動作との関係を示す知識データを適用して仮説推論を実行し、仮説推論の結果を用いて、当該グループに含まれる動作ログが示す動作から、予め設定された目標状態に至るまでの、動作ログが取得されたソフトウェアによって実行される行動計画を推定する、行動計画推定部１３と、を備えている。

Description

行動計画推定装置、行動計画推定方法、及びコンピュータ読み取り可能な記録媒体
　本発明は、コンピュータシステム上でのソフトウェアの行動計画を推定するための、行動計画推定装置、及び行動計画推定方法に関し、更には、これらを実現するためのプログラムを記録したコンピュータ読み取り可能な記録媒体に関する。
　近年においては、企業等の組織、社会においては、コンピュータシステムの役割がますます大きくなっており、コンピュータシステムを安全に運用することが求められている。従って、悪意のある第三者が、コンピュータシステムに対して何らかのサイバー攻撃を起こした場合は、そのことに素早く気づき、サイバー攻撃によって侵入したソフトウェア（マルウェア、ウィルス等）によって実行される行動計画を把握した上で、必要な対応をできるだけ早く行なうことが重要である。
　但し、昨今のサイバー攻撃は、様々な目的で行なわれており、サイバー攻撃でコンピュータシステムに侵入したソフトウェアによって実行される行動計画を把握することは容易ではない。このような問題に対して、例えば、特許文献１は、サイバー攻撃におけるマルウェアの振る舞いを検出し、検出した振る舞いから、それに関連する機能を辿って、マルウェアの目的を推定する分析装置を開示している。特許文献１に開示されている分析装置によれば、マルウェアの目的、即ち、攻撃者がマルウェアを用いて達成しようとしている目的と、目的達成のために策定された行動計画とを把握できるので、マルウェアの行動を先回りでき、サイバー攻撃に迅速に対応できると考えられる。
国際公開第２０１６／０２７２９２号
　ところで、以前は、サイバー攻撃の大半は、コンピュータウィルスのばらまき、サービスを停止させる攻撃（DoS攻撃、DDoS攻撃）といった、自己顕示又は不満のある組織の信用失墜を目的とした攻撃であったが、近年、サイバー攻撃の手口は多様化している。また、これに合わせて、コンピュータシステムに侵入したソフトウェアによって実行される行動計画も多様化している。
　具体的には、近年は、金銭の獲得を狙った機密情報の盗取、ランサムウェアによる身代金要求といった、金銭を目的とした攻撃が急増し、サイバー攻撃の手口は、標的に応じて、多種多様化すると共に巧妙化している。例えば、標的のコンピュータシステムに侵入させたマルウェアに、多種類のマルウェアのダウンロードを行わせることが行われている。この場合、コンピュータシステムにおいては、マルウェアの感染が徐々に拡大すると共に、多数のマルウェアが、協調して情報探索及び痕跡消去を実行する。
　これに対して、上記特許文献１に開示された分析装置では、ソフトウェアの動作と、予め定義されたマルウェアの振る舞いのパターンとを照合することで、マルウェアの振る舞いを検出する。このため、上記特許文献１に開示された分析装置では、振る舞いがパターンと合致しない新たなマルウェアによる攻撃に対応できず、行動計画を推定できない場合がある。
　本発明の目的の一例は、上記問題を解消し、外部から入力されたソフトウェアによるサイバー攻撃の手口が多様化した場合であっても、このソフトウェアによって実行される行動計画を推定し得る、行動計画推定装置、行動計画推定方法、及びコンピュータ読み取り可能な記録媒体を提供することにある。
　上記目的を達成するため、本発明の一側面における行動計画推定装置は、
　コンピュータシステム上でソフトウェアが行った動作毎に、当該動作を示す動作ログ及び当該動作の状況を示す文脈情報を取得する、情報取得部と、
　前記動作ログそれぞれを、前記文脈情報間の類似性に基づいて、グループに分ける、グループ生成部と、
　前記グループ毎に、当該グループに含まれる前記動作ログに、ソフトウェアによって実行される行動計画とその際のソフトウェアの動作との関係を示す知識データを適用して仮説推論を実行し、仮説推論の結果を用いて、当該グループに含まれる前記動作ログが示す動作から、予め設定された目標状態に至るまでの、前記動作ログが取得された前記ソフトウェアによって実行される行動計画を推定する、行動計画推定部と、
を備えている、
ことを特徴とする。
　また、上記目的を達成するため、本発明の一側面における行動計画推定方法は、
（ａ）コンピュータシステム上でソフトウェアが行った動作毎に、当該動作を示す動作ログ及び当該動作の状況を示す文脈情報を取得する、ステップと、
（ｂ）前記動作ログそれぞれを、前記文脈情報間の類似性に基づいて、グループに分ける、ステップと、
（ｃ）前記グループ毎に、当該グループに含まれる前記動作ログに、ソフトウェアによって実行される行動計画とその際のソフトウェアの動作との関係を示す知識データを適用して仮説推論を実行し、仮説推論の結果を用いて、当該グループに含まれる前記動作ログが示す動作から、予め設定された目標状態に至るまでの、前記動作ログが取得された前記ソフトウェアによって実行される行動計画を推定する、ステップと、
を有する、
ことを特徴とする。
　更に、上記目的を達成するため、本発明の一側面におけるコンピュータ読み取り可能な記録媒体は、
コンピュータに、
（ａ）コンピュータシステム上でソフトウェアが行った動作毎に、当該動作を示す動作ログ及び当該動作の状況を示す文脈情報を取得する、ステップと、
（ｂ）前記動作ログそれぞれを、前記文脈情報間の類似性に基づいて、グループに分ける、ステップと、
（ｃ）前記グループ毎に、当該グループに含まれる前記動作ログに、ソフトウェアによって実行される行動計画とその際のソフトウェアの動作との関係を示す知識データを適用して仮説推論を実行し、仮説推論の結果を用いて、当該グループに含まれる前記動作ログが示す動作から、予め設定された目標状態に至るまでの、前記動作ログが取得された前記ソフトウェアによって実行される行動計画を推定する、ステップと、
を実行させる命令を含む、プログラムを記録している、
ことを特徴とする。
　以上のように、本発明によれば、外部から入力されたソフトウェアによるサイバー攻撃の手口が多様化した場合であっても、このソフトウェアによって実行される行動計画を推定することができる。
図１は本発明の実施の形態１における行動計画推定装置の概略構成を示すブロック図である。 図２は、本発明の実施の形態１における行動計画推定装置の具体的構成を示すブロック図である。 図３は、本発明の実施の形態１における行動計画推定装置の動作を示すフロー図である。 図４は、図３に示したステップＡ１で取得される動作ログ及び文脈情報の一例を示す図である。 図５は、図３に示したステップＡ２で作成されたグループの一例を示す図である。 図６は、図３に示したステップＡ３の仮説推論から推定された行動計画の一例を示す図である。 図７は、図３に示したステップＡ６の実行により画面に表示された行動計画とメッセージとの一例を示す図である。 図８は、本発明の実施の形態２における行動計画推定装置の構成を示すブロック図である。 図９は、本発明の実施の形態２における行動計画推定装置の動作を示すフロー図である。 図１０（ａ）は、図９に示したステップＢ３及びＢ４の処理の一例を示し、図１０（ｂ）は、図９に示したステップＢ５及びＢ６の処理の一例を示す図である。 図１１は、本発明の実施の形態１及び２における行動計画推定装置を実現するコンピュータの一例を示すブロック図である。
（実施の形態１）
　以下、本発明の実施の形態１における、行動計画推定装置、行動計画推定方法、及びプログラムについて、図１～図７を参照しながら説明する。
［装置構成］
　最初に、本発明の実施の形態１における行動計画推定装置の概略構成について説明する。図１は本発明の実施の形態１における行動計画推定装置の概略構成を示すブロック図である。
　図１に示す、本実施の形態における行動計画推定装置１０は、コンピュータシステム上でソフトウェアによって実行される行動計画を推定する装置である。本実施の形態において、「ソフトウェアによって実行される行動計画」には、ソフトウェアを用いて達成したい人の行動計画も含まれる。
　図１に示すように、行動計画推定装置１０は、情報取得部１１と、グループ生成部１２と、行動計画推定部１３とを備えている。このうち、情報取得部１１は、コンピュータシステム上でソフトウェアが行った動作毎に、その動作を示す動作ログ及びその動作の状況を示す文脈情報を取得する。グループ生成部１２は、動作ログそれぞれを、文脈情報間の類似性に基づいて、グループに分ける。
　行動計画推定部１３は、まず、グループ毎に、各グループに含まれる動作ログに、ソフトウェアによって実行される行動計画とその際のソフトウェアの動作との関係を示す知識データを適用して仮説推論を実行する。続いて、行動計画推定部１３は、仮説推論の結果を用いて、各グループに含まれる動作ログが示す動作から、予め設定された目標状態に至るまでの、動作ログが取得されたソフトウェアによって実行される行動計画を推定する。
　このように、本実施の形態では、互いに関連のある動作ログに、実行計画と動作との関係を示す知識データを適用して実行される仮説推論の結果を用いて、行動計画が推定される。つまり、本実施の形態では、ソフトウェアの振る舞いのみに依存することなく、行動計画が推定される。このため、本実施の形態によれば、外部から入力されたソフトウェアによるサイバー攻撃の手口が多様化した場合であっても、このソフトウェアによって実行される行動計画を推定することができる。
　続いて、図２を用いて、本実施の形態１における行動計画推定装置１０の構成をより具体的に説明する。図２は、本発明の実施の形態１における行動計画推定装置の具体的構成を示すブロック図である。
　図２に示すように、本実施の形態１では、行動計画推定装置１０は、コンピュータシステム３０に接続されている。コンピュータシステム３０は、ネットワークを介して接続された多数のコンピュータによって構築されている。行動計画推定装置１０は、コンピュータシステム３０上で動作するソフトウェア、特には、マルウェア等のコンピュータシステム３０を攻撃するソフトウェアによって実行される行動計画を推定する。
　情報取得部１１は、本実施の形態１では、まず、コンピュータシステム３０から、動作ログを収集し、収集した動作ログから、それに付随する文脈情報を取得する。文脈情報は、例えば、動作の実行時刻（開始時刻）、実行場所、行為主体、行為対象等を含む情報である。
　グループ生成部１２は、本実施の形態では、例えば、複数の文脈情報それぞれに含まれる、動作の実行時刻（開始時刻）、実行場所、行為主体、行為対象のうちいずれかが一致している場合に、これらの動作ログは関連していると判断し、これらを同じグループとする。
　例えば、実行時刻については、２つの動作ログそれぞれの文脈情報中の実行時刻の差が閾値以下（１時間以内、１週間以内等）である場合に一致と判断される。実行場所については、各動作ログが取得されたエリアが同一エリア（同じホストマシン上、同じドメインネットワーク上、感染範囲内等）にある場合に一致と判断される。また、実行場所については、動作が行われた場所間の空間的距離又はネットワーク的距離が閾値以下である場合（動作ログの取得元が同一部門又は連携部門にある等）にも一致と判断される。
　また、行為主体については、２つの動作ログそれぞれが関連するユーザアカウントが一致している場合、ユーザアカウントの権限レベルが同等である場合に、一致と判断される。更に、行為主体については、動作を行った各ソフトウェアが同一のマルウェアである場合、同じ攻撃に用いられた実績がある一連のマルウェア等である場合も、一致と判断される。更に、行為対象については、２つの動作ログそれぞれで対象となっていたオブジェクトが同一である場合、又は同一ファミリのオブジェクトである場合に、一致と判断される。
　行動計画推定部１３は、上述したように、まず、グループ毎に、各グループに含まれる動作ログに、知識データを適用して仮説推論を実行する。この場合、知識データは、本実施の形態では、一階述語論理式の含意関係ルールによって表現される。
　知識データは、例えば、「前状態（前提）∧行為（の達成状態）⇒後状態（帰結）」の形式で表現される。この形式は、前提となる前状態と行為（の達成状態）とが共に真ならば、必然の帰結となる後状態が導かれる、ことを示している。また、この形式では、前状態と行為とは、それぞれ後状態が成り立つための必要条件である。また、「前状態∧行為」は、後状態が成り立つための十分条件である。また、行為は複数の命題の連言で表現することもできる。例えば、知識データは、「前状態∧行為１∧行為２⇒後状態」と表現されていても良い。
　知識データの具体例としては、「マルウェア侵入(Event1, Mal)∧不正ログオン(Event2, Host, Host1) ⇒ 感染拡大(Plan, Mal,  Host1)」が挙げられる。この場合、Event1、Mal、Host等はそれぞれ各述語の「項」と呼ばれる変数である。「項」に具体的な値が入った論理式は、「観測(observation)」と呼ばれる。例として、「不正ログオン(“e1”, “10.23.123.1”)」が挙げられる。
　続いて、行動計画推定部１３は、上述したように、仮説推論の結果を用いて、各グループに含まれる動作ログが示す動作から、予め設定された目標状態に至るまでの、動作ログが取得されたソフトウェアによって実行される行動計画を推定する。具体的には、行動計画推定部１３は、推論の結果を用いて、動作ログが示す動作が行われてから、目標状態に到達するまでに、ソフトウェアによって行われる行為を推定する。ここで、「目標状態」としては、例えば、機密情報が外部に送信された状態、要求した金額が送金された状態等が挙げられる。
　また、図２に示すように、行動計画推定装置１０は、情報取得部１１、グループ生成部１２、及び行動計画推定部１３に加えて、行動計画出力部１４と、メッセージ作成部１５とを備えている。
　メッセージ作成部１５は、仮説推論の結果から、動作ログに直接結びついていない要素の成立に必要となる動作を特定する。そして、メッセージ作成部１５は、動作ログの文脈情報を用いて、特定した動作の状況を示す文脈情報を推定し、推定した文脈情報を用いて、行動計画についてのメッセージを生成する。
　行動計画出力部１４は、推定された行動計画を、例えば、表示装置、端末装置といった外部の装置に出力する。これにより、表示装置または端末装置の画面上に、行動計画が表示される。また、行動計画出力部１４は、メッセージ作成部１５によってメッセージが生成された場合は、推定された行動計画に加えて、生成されたメッセージも外部の装置に出力することもできる。
［装置動作］
　次に、本実施の形態１における行動計画推定装置１０の動作について図３を用いて説明する。図３は、本発明の実施の形態１における行動計画推定装置の動作を示すフロー図である。以下の説明においては、適宜図１及び図２を参照する。また、本実施の形態１では、行動計画推定装置１０を動作させることによって、行動計画推定方法が実施される。よって、本実施の形態１における行動計画推定方法の説明は、以下の行動計画推定装置１０の動作説明に代える。
　図３に示すように、最初に、情報取得部１１が、コンピュータシステム３０上でソフトウェアが行った動作毎に、その動作を示す動作ログ及びその文脈情報を取得する（ステップＡ１）。具体的には、情報取得部１１は、コンピュータシステム３０から、動作ログを収集し、収集した動作ログから、それに付随する文脈情報を取得する。
　次に、グループ生成部１２は、ステップＡ１で取得した動作ログそれぞれを、文脈情報間の類似性に基づいて、グループに分ける（ステップＡ２）。具体的には、グループ生成部１２は、複数の文脈情報それぞれに含まれる、動作の実行時刻（開始時刻）、実行場所、行為主体、行為対象のうちいずれかが一致している場合に、これらの動作ログは関連していると判断し、これらを同じグループとする。
　次に、行動計画推定部１３は、グループ毎に、各グループに含まれる動作ログに、知識データを適用して仮説推論を実行する（ステップＡ３）。
　次に、行動計画推定部１３は、ステップＡ３の仮説推論の結果を用いて、各グループに含まれる動作ログが示す動作から、予め設定された目標状態に至るまでの、動作ログが取得されたソフトウェアによって実行される行動計画を推定する（ステップＡ４）。
　次に、メッセージ作成部１５は、ステップＡ４で推定された行動計画についてのメッセージを生成する（ステップＡ５）。具体的には、メッセージ作成部１５は、仮説推論の結果から、動作ログに直接結びついていない要素の成立に必要となる動作を特定する。そして、メッセージ作成部１５は、動作ログの文脈情報を用いて、特定した動作の状況を示す文脈情報を推定し、推定した文脈情報を用いて、行動計画についてのメッセージを生成する。
　次に、行動計画出力部１４は、ステップＡ４で推定された行動計画と、ステップＡ５で生成されたメッセージとを、例えば、表示装置、端末装置といった外部の装置に出力する（ステップＡ６）。
［具体例］
　ここで、本実施の形態１における行動計画推定装置１０の動作の具体例について、図４～図７を用いて説明する。また、具体例の説明は、上述した図３に示す各ステップに沿って行う。
　ステップＡ１
　情報取得部１１は、図４に示す動作ログとそれに付随する文脈情報とを取得する。図４は、図３に示したステップＡ１で取得される動作ログ及び文脈情報の一例を示す図である。図４の例では、動作ログとして、「マルウェア検知」、「不正ログオン１」、及び「不正ログオン２」が取得されている。また、図４では、左側に、動作ログと文脈情報とが模式的に示され、右側にこれらの論理式が示されている。
　ステップＡ２
　グループ生成部１２は、図５に示すように、ステップＡ１で取得した動作ログそれぞれを、文脈情報間の類似性に基づいて、グループに分ける。図５は、図３に示したステップＡ２で作成されたグループの一例を示す図である。図４に示したように、「マウルェア検知」と「不正ログオン１」とにおいて、行為主体及び実行場所が一致している。このため、図５の例では、これらの動作は同じグループとなる。
　ステップＡ３及びＡ４
　行動計画推定部１３は、図５に示したグループに含まれる動作ログに、知識データを適用して仮説推論を実行する。そして、行動計画推定部１３は、図６に示すように、仮説推論の結果から行動計画を推定する。図６は、図３に示したステップＡ３の仮説推論から推定された行動計画の一例を示す図である。図６の例では、仮説推論により、ステップＡ２で作成されたグループに含まれる「マルウェア検知」及び「不正ログオン１」を起点として、起点から終点「目標状態」までに、マルウェアによって行われる行為が導出されている。
　なお、図６において破線で囲まれている「データ外部送信」は、動作ログとして取得された動作ではない。但し、「データ外部送信」も、行動計画推定部１３による仮説推論によって推定される。
　ステップＡ５
　メッセージ作成部１５は、ステップＡ３で得られた仮説推論に含まれる「行為」のうち、ステップＡ１で取得された動作ログに直接結びついていないものを特定する。図６の例では、「データ外部送信」がそれに該当する。続いて、メッセージ作成部１５は、知識データを用いて、「データ外部送信」の成立に必要な動作を特定する。具体的には、メッセージ作成部１５は、知識データを用いて、「データ外部送信」の成立に必要な動作として、「情報盗取」を特定する。
　次に、メッセージ作成部１５は、ステップＡ１で取得された動作ログの文脈情報、例えば、成立に必要な動作として特定した「情報盗取」の直前の「感染拡大」の必要条件である「不正ログオン１」の文脈情報から、「データ外部送信」の文脈情報を推定する。具体的には、メッセージ作成部１５は、「不正ログオン１」の文脈情報における実行日時（time）、動作主体（agent）、及び実行場所（src, dest）の値をそれぞれ抽出する（図４参照）。
　次に、メッセージ作成部１５は、「データ外部送信」の実行日時を、抽出した日時の後に設定し、行為主体、行為対象及び実行場所を、抽出したものに設定する。そして、メッセージ作成部１５は、未確認の動作である「データ外部送信」と、それについて設定した文脈情報とを用いて、メッセージを作成する。メッセージの例としては、「“情報盗取”に関する“データ外部送信”が、“2018/05/31 13:54:28”より後に、“admin01”の権限で、“183.79.40.183”または“183.79.52.210”上で行なわれた可能性があります。」が挙げられる。
　ステップＡ６
　次に、行動計画出力部１４は、図７に示すように、ステップＡ４で推定された行動計画と、ステップＡ５で生成されたメッセージとを外部の装置に出力する。図７は、図３に示したステップＡ６の実行により画面に表示された行動計画とメッセージとの一例を示す図である。図７の例では、行動計画とメッセージとが画面上に表示されている。
［実施の形態１における効果］
　このように、本実施の形態１では、コンピュータシステム３０上で、ソフトウェア、具体的にはマルウェアが動作しようとすると、マルゥエアによって何がどのような手順で行われようとしているか（行動計画）が、推定され、推定結果が提示される。また、行動計画の推定は、仮説推論を用いて行われるので、サイバー攻撃の手口が多様化した場合であっても可能である。更に、本実施の形態１では、この行動計画の解釈を支援するメッセージが作成され、これも提示される。このため、コンピュータシステム３０の管理者は、適切な対応をすばやくとることができる。
［プログラム］
　本実施の形態１におけるプログラムは、コンピュータに、図３に示すステップＡ１～Ａ６を実行させるプログラムであれば良い。このプログラムをコンピュータにインストールし、実行することによって、本実施の形態１における行動計画推定装置１０と行動計画推定方法とを実現することができる。この場合、コンピュータのプロセッサは、情報取得部１１、グループ生成部１２、行動計画推定部１３、行動計画出力部１４、及びメッセージ作成部１５として機能し、処理を行なう。
　また、本実施の形態におけるプログラムは、複数のコンピュータによって構築されたコンピュータシステムによって実行されても良い。この場合は、例えば、各コンピュータが、それぞれ、情報取得部１１、グループ生成部１２、行動計画推定部１３、行動計画出力部１４、及びメッセージ作成部１５のいずれかとして機能しても良い。
（実施の形態２）
　本発明の実施の形態２における、行動計画推定装置、行動計画推定方法、及びプログラムについて、図８～図１０を参照しながら説明する。
［装置構成］
　最初に、本発明の実施の形態２における行動計画推定装置２０の構成について説明する。図８は、本発明の実施の形態２における行動計画推定装置の構成を示すブロック図である。
　図８に示すように、本実施の形態２における行動計画推定装置２０は、図２に示した実施の形態１における行動計画推定装置１０と同様に、情報取得部１１、グループ生成部１２、行動計画推定部１３、行動計画出力部１４、及びメッセージ作成部１５を備えている。
　但し、本実施の形態２では、行動計画推定装置２０は、これらに加えて、部分目的推定部１６も備えており、この点で、実施の形態１における行動計画推定装置１０と異なっている。以下、実施の形態１との相違点を中心に説明する。
　部分目的推定部１６は、まず、グループ毎に、各グループに含まれる動作ログに、知識データを適用して、演繹推論を実行する。更に、部分目的推定部１６は、グループ毎に、演繹推論の結果を用いて、動作ログが示す動作から導かれる新たな動作を特定し、そして、特定した新たな動作を示す動作ログを各グループに追加する。
　また、本実施の形態２では、行動計画推定部１３は、部分目的推定部１６によって新たな動作を示す動作ログが追加された、グループ毎に、ソフトウェアによって実行される行動計画を推定する。
［装置動作］
　次に、本実施の形態２における行動計画推定装置２０の動作について図９を用いて説明する。図９は、本発明の実施の形態２における行動計画推定装置の動作を示すフロー図である。以下の説明においては、適宜図８を参照する。また、本実施の形態２においても、行動計画推定装置２０を動作させることによって、行動計画推定方法が実施される。よって、本実施の形態２における行動計画推定方法の説明は、以下の行動計画推定装置２０の動作説明に代える。
　図８に示すように、最初に、情報取得部１１が、コンピュータシステム３０上でソフトウェアが行った動作毎に、その動作を示す動作ログ及びその文脈情報を取得する（ステップＢ１）。ステップＢ１は、図３に示したステップＡ１と同様のステップである。
　次に、グループ生成部１２は、ステップＢ１で取得した動作ログそれぞれを、文脈情報間の類似性に基づいて、グループに分ける（ステップＢ２）。ステップＢ２は、図３に示したステップＡ２と同様のステップである。
　次に、部分目的推定部１６は、ステップＢ２で作成されたグループ毎に、各グループに含まれる動作ログに、知識データを適用して、演繹推論を実行する（ステップＢ３）。続いて、部分目的推定部１６は、グループ毎に、演繹推論の結果を用いて、ステップＢ１で取得された動作ログが示す動作から導かれる新たな動作を特定し、そして、特定した新たな動作を示す動作ログを各グループに追加する（ステップＢ４）。
　次に、行動計画推定部１３は、各グループに、ステップＢ４によって新たな動作を示す動作ログが追加されると、動作ログが追加されたグループ毎に、各グループに含まれる動作ログに、知識データを適用して仮説推論を実行する（ステップＢ５）。
　次に、行動計画推定部１３は、ステップＢ５の仮説推論の結果を用いて、各グループに含まれる動作ログが示す動作から、予め設定された目標状態に至るまでの、動作ログが取得されたソフトウェアによって実行される行動計画を推定する（ステップＢ６）。ステップＢ６は、図３に示したステップＡ４と同様のステップである。
　次に、メッセージ作成部１５は、ステップＢ６で推定された行動計画についてのメッセージを生成する（ステップＢ７）。ステップＢ７は、図３に示したステップＡ５と同様のステップである。
　次に、行動計画出力部１４は、ステップＢ６で推定された行動計画と、ステップＢ７で生成されたメッセージとを、例えば、表示装置、端末装置といった外部の装置に出力する（ステップＢ８）。ステップＢ８は、図３に示したステップＡ６と同様のステップである。
［具体例］
　ここで、本実施の形態２における行動計画推定装置２０の動作の具体例について、図１０（ａ）及び（ｂ）を用いて説明する。図１０（ａ）は、図９に示したステップＢ３及びＢ４の処理の一例を示し、図１０（ｂ）は、図９に示したステップＢ５及びＢ６の処理の一例を示す図である。また、具体例の説明は、上述した図９に示す各ステップに沿って行う。
　ステップＢ１
　本実施の形態２においても、情報取得部１１は、実施の形態１と同様に、例えば、図４に示す動作ログとそれに付随する文脈情報とを取得する。
　ステップＢ２
　本実施の形態２においても、グループ生成部１２は、実施の形態１と同様に、例えば、図５に示すように、ステップＢ１で取得した動作ログそれぞれを、文脈情報間の類似性に基づいて、グループに分ける。
　ステップＢ３及びＢ４
　部分目的推定部１６は、ステップＢ１で取得された動作に対して、知識データを適用して、演繹推論を実行する。これにより、図１０（ａ）に示すように、「マルウェア検知」に対して行為「侵入」が導出され、その「侵入」と「不正ログオン１」とに対して「感染拡大」が導出される。また、「侵入」に対して演繹推論を実行すると、「感染拡大」が導出される。このため、図１０（ａ）に示すように、「マルウェア検知」と「不正ログオン１」との両方が揃うと、「侵入」及び「感染拡大」が追加される。
　ステップＢ５及びＢ６
　行動計画推定部１３は、図１０（ａ）に示した追加後のグループに含まれる動作ログに、知識データを適用して仮説推論を実行する。そして、行動計画推定部１３は、図１０（ｂ）に示すように、行動計画を推定する。図１０（ｂ）の例でも、実施の形態１で示した図６の例と同様に、仮説推論により、ステップＢ２で作成されたグループに含まれる「マルウェア検知」及び「不正ログオン１」を起点として、起点から終点「目標状態」までに、マルウェアによって行われる行為が導出されている。
　ステップＢ７
　本実施の形態２においても、メッセージ作成部１５は、実施の形態１において示した具体例と同様にメッセージを作成する。メッセージの例としては、「“情報盗取”に関する“データ外部送信”が、“2018/05/31 13:54:28”より後に、“admin01”の権限で、“183.79.40.183”または“183.79.52.210”上で行なわれた可能性があります。」が挙げられる。
　ステップＢ８
　本実施の形態２においても、行動計画出力部１４は、例えば、図７に示すように、ステップＢ６で推定された行動計画と、ステップＢ７で生成されたメッセージとを外部の装置に出力する。
［実施の形態２における効果］
　このように、本実施の形態２では、演繹推論が行われるので、事実に基づいた現象を追加することができ、その上で仮説推論が行われる。このため、本実施の形態２によれば、実施の形態１に比べて仮説推論における精度の向上を期待できる。なお、上述の具体例で得られた行動計画は、実施の形態１に示した具体例で得られた行動計画と同様であるが、取得される動作ログの数が増加する程、実施の形態１に比べて、仮説推論における精度は向上する。
　加えて、仮説推論よりも演繹推論の方が、処理にかかる負荷が小さく、高速に処理できる。また、同じ仮説に結びつく動作ログ（観測）の数が多い程、演繹推論で導出できる現象の割合が増えるため、仮説推論で探索すべき知識データは限定される。これらの点から、本実施の形態２によれば、処理時間の短縮化が可能となる。
　また、本実施の形態２においても、実施の形態１と同様に、サイバー攻撃の手口が多様化した場合であっても、行動計画の推定が可能である。更に、本実施の形態２においても、実施の形態１と同様に、行動計画の解釈を支援するメッセージが提示されるので、コンピュータシステム３０の管理者は、適切な対応をすばやくとることができる。
［プログラム］
　本実施の形態２におけるプログラムは、コンピュータに、図９に示すステップＢ１～Ｂ８を実行させるプログラムであれば良い。このプログラムをコンピュータにインストールし、実行することによって、本実施の形態２における行動計画推定装置２０と行動計画推定方法とを実現することができる。この場合、コンピュータのプロセッサは、情報取得部１１、グループ生成部１２、行動計画推定部１３、行動計画出力部１４、メッセージ作成部１５、及び部分目的推定部１６として機能し、処理を行なう。
　また、本実施の形態におけるプログラムは、複数のコンピュータによって構築されたコンピュータシステムによって実行されても良い。この場合は、例えば、各コンピュータが、それぞれ、情報取得部１１、グループ生成部１２、行動計画推定部１３、行動計画出力部１４、メッセージ作成部１５、及び部分目的推定部１６のいずれかとして機能しても良い。
（物理構成）
　ここで、実施の形態１及び２におけるプログラムを実行することによって、行動計画推定装置を実現するコンピュータについて、図１１を用いて説明する。図１１は、本発明の実施の形態１及び２における行動計画推定装置を実現するコンピュータの一例を示すブロック図である。
　図１１に示すように、コンピュータ１１０は、ＣＰＵ（Central Processing Unit）１１１と、メインメモリ１１２と、記憶装置１１３と、入力インターフェイス１１４と、表示コントローラ１１５と、データリーダ／ライタ１１６と、通信インターフェイス１１７とを備える。これらの各部は、バス１２１を介して、互いにデータ通信可能に接続される。なお、コンピュータ１１０は、ＣＰＵ１１１に加えて、又はＣＰＵ１１１に代えて、ＧＰＵ（Graphics Processing Unit）、又はＦＰＧＡ（Field-Programmable Gate Array）を備えていても良い。
　ＣＰＵ１１１は、記憶装置１１３に格納された、本実施の形態におけるプログラム（コード）をメインメモリ１１２に展開し、これらを所定順序で実行することにより、各種の演算を実施する。メインメモリ１１２は、典型的には、ＤＲＡＭ（Dynamic Random Access Memory）等の揮発性の記憶装置である。また、本実施の形態におけるプログラムは、コンピュータ読み取り可能な記録媒体１２０に格納された状態で提供される。なお、本実施の形態におけるプログラムは、通信インターフェイス１１７を介して接続されたインターネット上で流通するものであっても良い。
　また、記憶装置１１３の具体例としては、ハードディスクドライブの他、フラッシュメモリ等の半導体記憶装置が挙げられる。入力インターフェイス１１４は、ＣＰＵ１１１と、キーボード及びマウスといった入力機器１１８との間のデータ伝送を仲介する。表示コントローラ１１５は、ディスプレイ装置１１９と接続され、ディスプレイ装置１１９での表示を制御する。
　データリーダ／ライタ１１６は、ＣＰＵ１１１と記録媒体１２０との間のデータ伝送を仲介し、記録媒体１２０からのプログラムの読み出し、及びコンピュータ１１０における処理結果の記録媒体１２０への書き込みを実行する。通信インターフェイス１１７は、ＣＰＵ１１１と、他のコンピュータとの間のデータ伝送を仲介する。
　また、記録媒体１２０の具体例としては、ＣＦ（Compact Flash（登録商標））及びＳＤ（Secure Digital）等の汎用的な半導体記憶デバイス、フレキシブルディスク（Flexible Disk）等の磁気記録媒体、又はＣＤ－ＲＯＭ（Compact Disk Read Only Memory）などの光学記録媒体が挙げられる。
　なお、本実施の形態における行動計画推定装置１０は、プログラムがインストールされたコンピュータではなく、各部に対応したハードウェアを用いることによっても実現可能である。更に、行動計画推定装置１０は、一部がプログラムで実現され、残りの部分がハードウェアで実現されていてもよい。
　上述した実施の形態の一部又は全部は、以下に記載する（付記１）～（付記１２）によって表現することができるが、以下の記載に限定されるものではない。
（付記１）
　コンピュータシステム上でソフトウェアが行った動作毎に、当該動作を示す動作ログ及び当該動作の状況を示す文脈情報を取得する、情報取得部と、
　前記動作ログそれぞれを、前記文脈情報間の類似性に基づいて、グループに分ける、グループ生成部と、
　前記グループ毎に、当該グループに含まれる前記動作ログに、ソフトウェアによって実行される行動計画とその際のソフトウェアの動作との関係を示す知識データを適用して仮説推論を実行し、仮説推論の結果を用いて、当該グループに含まれる前記動作ログが示す動作から、予め設定された目標状態に至るまでの、前記動作ログが取得された前記ソフトウェアによって実行される行動計画を推定する、行動計画推定部と、
を備えている、
ことを特徴とする行動計画推定装置。
（付記２）
付記１に記載の行動計画推定装置であって、
　推定された前記行動計画を外部に出力する、行動計画出力部を更に備えている、
ことを特徴とする行動計画推定装置。
（付記３）
付記２に記載の行動計画推定装置であって、
　前記仮説推論の結果から、前記動作ログに直接結びついていない要素の成立に必要となる動作を特定し、そして、前記動作ログの前記文脈情報を用いて、特定した動作の状況を示す文脈情報を推定し、加えて、推定した前記文脈情報を用いて、前記行動計画についてのメッセージを生成する、メッセージ作成部を、
更に備え、
　前記行動計画出力部が、推定された前記行動計画に加えて、生成された前記メッセージも外部に出力する
ことを特徴とする行動計画推定装置。
（付記４）
付記１～３のいずれかに記載の行動計画推定装置であって、
　前記グループ毎に、当該グループに含まれる前記動作ログに、前記知識データを適用して、演繹推論を実行し、更に、演繹推論の結果を用いて、前記動作ログが示す動作から導かれる新たな動作を特定し、そして、特定した前記新たな動作を示す動作ログを当該グループに追加する、部分目的推定部を更に備え、
　前記行動計画推定部は、前記新たな動作を示す動作ログが追加された、前記グループ毎に、前記ソフトウェアによって実行される行動計画を推定する、
ことを特徴とする行動計画推定装置。
（付記５）
（ａ）コンピュータシステム上でソフトウェアが行った動作毎に、当該動作を示す動作ログ及び当該動作の状況を示す文脈情報を取得する、ステップと、
（ｂ）前記動作ログそれぞれを、前記文脈情報間の類似性に基づいて、グループに分ける、ステップと、
（ｃ）前記グループ毎に、当該グループに含まれる前記動作ログに、ソフトウェアによって実行される行動計画とその際のソフトウェアの動作との関係を示す知識データを適用して仮説推論を実行し、仮説推論の結果を用いて、当該グループに含まれる前記動作ログが示す動作から、予め設定された目標状態に至るまでの、前記動作ログが取得された前記ソフトウェアによって実行される行動計画を推定する、ステップと、
を有する、
ことを特徴とする行動計画推定方法。
（付記６）
付記５に記載の行動計画推定方法であって、
（ｄ）推定された前記行動計画を外部に出力する、ステップを更に有する、
ことを特徴とする行動計画推定方法。
（付記７）
付記６に記載の行動計画推定方法であって、
（ｅ）前記仮説推論の結果から、前記動作ログに直接結びついていない要素の成立に必要となる動作を特定し、そして、前記動作ログの前記文脈情報を用いて、特定した動作の状況を示す文脈情報を推定し、加えて、推定した前記文脈情報を用いて、前記行動計画についてのメッセージを生成する、ステップを更に有し、
　前記（ｄ）のステップにおいて、推定された前記行動計画に加えて、生成された前記メッセージも外部に出力する
ことを特徴とする行動計画推定方法。
（付記８）
付記５～７のいずれかに記載の行動計画推定方法であって、
（ｆ）前記グループ毎に、当該グループに含まれる前記動作ログに、前記知識データを適用して、演繹推論を実行し、更に、演繹推論の結果を用いて、前記動作ログが示す動作から導かれる新たな動作を特定し、そして、特定した前記新たな動作を示す動作ログを当該グループに追加する、ステップを更に有し、
　前記（ｃ）のステップにおいて、前記新たな動作を示す動作ログが追加された、前記グループ毎に、前記ソフトウェアによって実行される行動計画を推定する、
ことを特徴とする行動計画推定方法。
（付記９）
コンピュータに、
（ａ）コンピュータシステム上でソフトウェアが行った動作毎に、当該動作を示す動作ログ及び当該動作の状況を示す文脈情報を取得する、ステップと、
（ｂ）前記動作ログそれぞれを、前記文脈情報間の類似性に基づいて、グループに分ける、ステップと、
（ｃ）前記グループ毎に、当該グループに含まれる前記動作ログに、ソフトウェアによって実行される行動計画とその際のソフトウェアの動作との関係を示す知識データを適用して仮説推論を実行し、仮説推論の結果を用いて、当該グループに含まれる前記動作ログが示す動作から、予め設定された目標状態に至るまでの、前記動作ログが取得された前記ソフトウェアによって実行される行動計画を推定する、ステップと、
を実行させる命令を含む、プログラムを記録している、
ことを特徴とするコンピュータ読み取り可能な記録媒体。
（付記１０）
付記９に記載のコンピュータ読み取り可能な記録媒体であって、
前記プログラムが、前記コンピュータに、
（ｄ）推定された前記行動計画を外部に出力する、ステップを実行させる命令を更に含む、
ことを特徴とするコンピュータ読み取り可能な記録媒体。
（付記１１）
付記１０に記載のコンピュータ読み取り可能な記録媒体であって、
前記プログラムが、前記コンピュータに、
（ｅ）前記仮説推論の結果から、前記動作ログに直接結びついていない要素の成立に必要となる動作を特定し、そして、前記動作ログの前記文脈情報を用いて、特定した動作の状況を示す文脈情報を推定し、加えて、推定した前記文脈情報を用いて、前記行動計画についてのメッセージを生成する、ステップを実行させる命令を更に含む、
　前記（ｄ）のステップにおいて、推定された前記行動計画に加えて、生成された前記メッセージも外部に出力する
ことを特徴とするコンピュータ読み取り可能な記録媒体。
（付記１２）
付記９～１１のいずれかに記載のコンピュータ読み取り可能な記録媒体であって、
前記プログラムが、前記コンピュータに、
（ｆ）前記グループ毎に、当該グループに含まれる前記動作ログを、前記知識データに適用して、演繹推論を実行し、更に、演繹推論の結果を用いて、前記動作ログが示す動作から導かれる新たな動作を特定し、そして、特定した前記新たな動作を示す動作ログを当該グループに追加する、ステップを実行させる命令を更に含む、
　前記（ｃ）のステップにおいて、前記新たな動作を示す動作ログが追加された、前記グループ毎に、前記ソフトウェアによって実行される行動計画を推定する、
ことを特徴とするコンピュータ読み取り可能な記録媒体。
　以上、実施の形態を参照して本願発明を説明したが、本願発明は上記実施の形態に限定されるものではない。本願発明の構成や詳細には、本願発明のスコープ内で当業者が理解し得る様々な変更をすることができる。
　以上のように、本発明によれば、外部から入力されたソフトウェアによるサイバー攻撃の手口が多様化した場合であっても、このソフトウェアによって実行される行動計画を推定することができる。本発明は、外部からソフトウェアが入力される可能性がある種々のシステムに対して有用である。
　１０　行動計画推定装置（実施の形態１）
　１１　情報取得部
　１２　グループ生成部
　１３　行動計画推定部
　１４　行動計画出力部
　１５　メッセージ作成部
　１６　部分目的推定部
　２０　行動計画推定装置（実施の形態２）
　３０　コンピュータシステム
　１１０　コンピュータ
　１１１　ＣＰＵ
　１１２　メインメモリ
　１１３　記憶装置
　１１４　入力インターフェイス
　１１５　表示コントローラ
　１１６　データリーダ／ライタ
　１１７　通信インターフェイス
　１１８　入力機器
　１１９　ディスプレイ装置
　１２０　記録媒体
　１２１　バス

Claims (12)

  1. 　コンピュータシステム上でソフトウェアが行った動作毎に、当該動作を示す動作ログ及び当該動作の状況を示す文脈情報を取得する、情報取得部と、
    　前記動作ログそれぞれを、前記文脈情報間の類似性に基づいて、グループに分ける、グループ生成部と、
    　前記グループ毎に、当該グループに含まれる前記動作ログに、ソフトウェアによって実行される行動計画とその際のソフトウェアの動作との関係を示す知識データを適用して仮説推論を実行し、仮説推論の結果を用いて、当該グループに含まれる前記動作ログが示す動作から、予め設定された目標状態に至るまでの、前記動作ログが取得された前記ソフトウェアによって実行される行動計画を推定する、行動計画推定部と、
    を備えている、
    ことを特徴とする行動計画推定装置。
  2. 請求項１に記載の行動計画推定装置であって、
    　推定された前記行動計画を外部に出力する、行動計画出力部を更に備えている、
    ことを特徴とする行動計画推定装置。
  3. 請求項２に記載の行動計画推定装置であって、
    　前記仮説推論の結果から、前記動作ログに直接結びついていない要素の成立に必要となる動作を特定し、そして、前記動作ログの前記文脈情報を用いて、特定した動作の状況を示す文脈情報を推定し、加えて、推定した前記文脈情報を用いて、前記行動計画についてのメッセージを生成する、メッセージ作成部を、
    更に備え、
    　前記行動計画出力部が、推定された前記行動計画に加えて、生成された前記メッセージも外部に出力する
    ことを特徴とする行動計画推定装置。
  4. 請求項１～３のいずれかに記載の行動計画推定装置であって、
    　前記グループ毎に、当該グループに含まれる前記動作ログを、前記知識データに適用して、演繹推論を実行し、更に、演繹推論の結果を用いて、前記動作ログが示す動作から導かれる新たな動作を特定し、そして、特定した前記新たな動作を示す動作ログを当該グループに追加する、部分目的推定部を更に備え、
    　前記行動計画推定部は、前記新たな動作を示す動作ログが追加された、前記グループ毎に、前記ソフトウェアによって実行される行動計画を推定する、
    ことを特徴とする行動計画推定装置。
  5. （ａ）コンピュータシステム上でソフトウェアが行った動作毎に、当該動作を示す動作ログ及び当該動作の状況を示す文脈情報を取得する、ステップと、
    （ｂ）前記動作ログそれぞれを、前記文脈情報間の類似性に基づいて、グループに分ける、ステップと、
    （ｃ）前記グループ毎に、当該グループに含まれる前記動作ログに、ソフトウェアによって実行される行動計画とその際のソフトウェアの動作との関係を示す知識データを適用して仮説推論を実行し、仮説推論の結果を用いて、当該グループに含まれる前記動作ログが示す動作から、予め設定された目標状態に至るまでの、前記動作ログが取得された前記ソフトウェアによって実行される行動計画を推定する、ステップと、
    を有する、
    ことを特徴とする行動計画推定方法。
  6. 請求項５に記載の行動計画推定方法であって、
    （ｄ）推定された前記行動計画を外部に出力する、ステップを更に有する、
    ことを特徴とする行動計画推定方法。
  7. 請求項６に記載の行動計画推定方法であって、
    （ｅ）前記仮説推論の結果から、前記動作ログに直接結びついていない要素の成立に必要となる動作を特定し、そして、前記動作ログの前記文脈情報を用いて、特定した動作の状況を示す文脈情報を推定し、加えて、推定した前記文脈情報を用いて、前記行動計画についてのメッセージを生成する、ステップを更に有し、
    　前記（ｄ）のステップにおいて、推定された前記行動計画に加えて、生成された前記メッセージも外部に出力する
    ことを特徴とする行動計画推定方法。
  8. 請求項５～７のいずれかに記載の行動計画推定方法であって、
    （ｆ）前記グループ毎に、当該グループに含まれる前記動作ログを、前記知識データに適用して、演繹推論を実行し、更に、演繹推論の結果を用いて、前記動作ログが示す動作から導かれる新たな動作を特定し、そして、特定した前記新たな動作を示す動作ログを当該グループに追加する、ステップを更に有し、
    　前記（ｃ）のステップにおいて、前記新たな動作を示す動作ログが追加された、前記グループ毎に、前記ソフトウェアによって実行される行動計画を推定する、
    ことを特徴とする行動計画推定方法。
  9. コンピュータに、
    （ａ）コンピュータシステム上でソフトウェアが行った動作毎に、当該動作を示す動作ログ及び当該動作の状況を示す文脈情報を取得する、ステップと、
    （ｂ）前記動作ログそれぞれを、前記文脈情報間の類似性に基づいて、グループに分ける、ステップと、
    （ｃ）前記グループ毎に、当該グループに含まれる前記動作ログに、ソフトウェアによって実行される行動計画とその際のソフトウェアの動作との関係を示す知識データを適用して仮説推論を実行し、仮説推論の結果を用いて、当該グループに含まれる前記動作ログが示す動作から、予め設定された目標状態に至るまでの、前記動作ログが取得された前記ソフトウェアによって実行される行動計画を推定する、ステップと、
    を実行させる命令を含む、プログラムを記録している、
    ことを特徴とするコンピュータ読み取り可能な記録媒体。
  10. 請求項９に記載のコンピュータ読み取り可能な記録媒体であって、
    前記プログラムが、前記コンピュータに、
    （ｄ）推定された前記行動計画を外部に出力する、ステップを実行させる命令を更に含む、
    ことを特徴とするコンピュータ読み取り可能な記録媒体。
  11. 請求項１０に記載のコンピュータ読み取り可能な記録媒体であって、
    前記プログラムが、前記コンピュータに、
    （ｅ）前記仮説推論の結果から、前記動作ログに直接結びついていない要素の成立に必要となる動作を特定し、そして、前記動作ログの前記文脈情報を用いて、特定した動作の状況を示す文脈情報を推定し、加えて、推定した前記文脈情報を用いて、前記行動計画についてのメッセージを生成する、ステップを実行させる命令を更に含む、
    　前記（ｄ）のステップにおいて、推定された前記行動計画に加えて、生成された前記メッセージも外部に出力する
    ことを特徴とするコンピュータ読み取り可能な記録媒体。
  12. 請求項９～１１のいずれかに記載のコンピュータ読み取り可能な記録媒体であって、
    前記プログラムが、前記コンピュータに、
    （ｆ）前記グループ毎に、当該グループに含まれる前記動作ログを、前記知識データに適用して、演繹推論を実行し、更に、演繹推論の結果を用いて、前記動作ログが示す動作から導かれる新たな動作を特定し、そして、特定した前記新たな動作を示す動作ログを当該グループに追加する、ステップを実行させる命令を更に含む、
    　前記（ｃ）のステップにおいて、前記新たな動作を示す動作ログが追加された、前記グループ毎に、前記ソフトウェアによって実行される行動計画を推定する、
    ことを特徴とするコンピュータ読み取り可能な記録媒体。
PCT/JP2019/003922 2019-02-04 2019-02-04 行動計画推定装置、行動計画推定方法、及びコンピュータ読み取り可能な記録媒体 WO2020161780A1 (ja)

Priority Applications (3)

Application Number Priority Date Filing Date Title
JP2020570224A JP7168010B2 (ja) 2019-02-04 2019-02-04 行動計画推定装置、行動計画推定方法、及びプログラム
PCT/JP2019/003922 WO2020161780A1 (ja) 2019-02-04 2019-02-04 行動計画推定装置、行動計画推定方法、及びコンピュータ読み取り可能な記録媒体
US17/427,250 US11989290B2 (en) 2019-02-04 2019-02-04 Action plan estimation apparatus, action plan estimation method, and computer-readable recording medium

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
PCT/JP2019/003922 WO2020161780A1 (ja) 2019-02-04 2019-02-04 行動計画推定装置、行動計画推定方法、及びコンピュータ読み取り可能な記録媒体

Publications (1)

Publication Number Publication Date
WO2020161780A1 true WO2020161780A1 (ja) 2020-08-13

Family

ID=71947540

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/JP2019/003922 WO2020161780A1 (ja) 2019-02-04 2019-02-04 行動計画推定装置、行動計画推定方法、及びコンピュータ読み取り可能な記録媒体

Country Status (3)

Country Link
US (1) US11989290B2 (ja)
JP (1) JP7168010B2 (ja)
WO (1) WO2020161780A1 (ja)

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2023012849A1 (ja) * 2021-08-02 2023-02-09 日本電気株式会社 推論装置、推論方法、及び、記憶媒体

Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2002318734A (ja) * 2001-04-18 2002-10-31 Teamgia:Kk 通信ログ処理方法及びシステム
WO2015059791A1 (ja) * 2013-10-24 2015-04-30 三菱電機株式会社 情報処理装置及び情報処理方法及びプログラム
WO2016027292A1 (ja) * 2014-08-22 2016-02-25 日本電気株式会社 分析装置、分析方法及びコンピュータ読み取り可能な記録媒体

Family Cites Families (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2016009581A1 (ja) * 2014-07-15 2016-01-21 日本電気株式会社 業務状態分析システム
JP6643211B2 (ja) * 2016-09-14 2020-02-12 株式会社日立製作所 異常検知システム及び異常検知方法

Patent Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2002318734A (ja) * 2001-04-18 2002-10-31 Teamgia:Kk 通信ログ処理方法及びシステム
WO2015059791A1 (ja) * 2013-10-24 2015-04-30 三菱電機株式会社 情報処理装置及び情報処理方法及びプログラム
WO2016027292A1 (ja) * 2014-08-22 2016-02-25 日本電気株式会社 分析装置、分析方法及びコンピュータ読み取り可能な記録媒体

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2023012849A1 (ja) * 2021-08-02 2023-02-09 日本電気株式会社 推論装置、推論方法、及び、記憶媒体

Also Published As

Publication number Publication date
JPWO2020161780A1 (ja) 2021-11-25
US11989290B2 (en) 2024-05-21
US20220114253A1 (en) 2022-04-14
JP7168010B2 (ja) 2022-11-09

Similar Documents

Publication Publication Date Title
US9870471B2 (en) Computer-implemented method for distilling a malware program in a system
JP5972401B2 (ja) 攻撃分析システム及び連携装置及び攻撃分析連携方法及びプログラム
US8769692B1 (en) System and method for detecting malware by transforming objects and analyzing different views of objects
JP6400758B2 (ja) 不正リモート管理からのコンピュータを保護するためのシステム及び方法
JP6353498B2 (ja) ユーザ機器上でマルウェアを検出するためにアンチウィルス記録セットを生成するシステム及び方法
KR20180032566A (ko) 다수 소프트웨어 개체들에 걸쳐서 악성 행동을 트래킹하기 위한 시스템들 및 방법들
KR102271545B1 (ko) 도메인 생성 알고리즘(dga) 멀웨어 탐지를 위한 시스템 및 방법들
CN107066883A (zh) 用于阻断脚本执行的***和方法
EP3337106B1 (en) Identification system, identification device and identification method
KR102116573B1 (ko) 컴퓨터 보안 작동을 최적화하기 위한 동적 명성 표시자
US20160373447A1 (en) Unauthorized access detecting system and unauthorized access detecting method
KR101080953B1 (ko) 실시간 웹쉘 탐지 및 방어 시스템 및 방법
CN105760787A (zh) 用于检测随机存取存储器中的恶意代码的***及方法
JP6165469B2 (ja) 情報処理装置およびその制御方法、並びに、情報処理システム
JPWO2016002605A1 (ja) 検知装置、検知方法及び検知プログラム
CN110717181A (zh) 基于新型程序依赖图的非控制数据攻击检测方法及装置
WO2020246227A1 (ja) ルール生成装置、ルール生成方法、及びコンピュータ読み取り可能な記録媒体
KR101917996B1 (ko) 악성 스크립트 탐지 방법 및 장치
WO2020161780A1 (ja) 行動計画推定装置、行動計画推定方法、及びコンピュータ読み取り可能な記録媒体
CN110659478B (zh) 在隔离的环境中检测阻止分析的恶意文件的方法
CN110889112A (zh) 一种基于白名单机制的软件运行统一控制***及方法
KR102458075B1 (ko) 사이버물리시스템의 고가용성 보장을 위한 악성코드 대응 방법
US10250625B2 (en) Information processing device, communication history analysis method, and medium
JP7238987B2 (ja) セキュリティ訓練支援装置、セキュリティ訓練支援方法、及びプログラム
JP7427146B1 (ja) 攻撃分析装置、攻撃分析方法、及び攻撃分析プログラム

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 19914516

Country of ref document: EP

Kind code of ref document: A1

ENP Entry into the national phase

Ref document number: 2020570224

Country of ref document: JP

Kind code of ref document: A

NENP Non-entry into the national phase

Ref country code: DE

122 Ep: pct application non-entry in european phase

Ref document number: 19914516

Country of ref document: EP

Kind code of ref document: A1