WO2024121950A1 - 配置場所選定装置、配置場所選定方法、及び配置場所選定プログラム - Google Patents

配置場所選定装置、配置場所選定方法、及び配置場所選定プログラム Download PDF

Info

Publication number
WO2024121950A1
WO2024121950A1 PCT/JP2022/044978 JP2022044978W WO2024121950A1 WO 2024121950 A1 WO2024121950 A1 WO 2024121950A1 JP 2022044978 W JP2022044978 W JP 2022044978W WO 2024121950 A1 WO2024121950 A1 WO 2024121950A1
Authority
WO
WIPO (PCT)
Prior art keywords
user
target
area
file
risk
Prior art date
Application number
PCT/JP2022/044978
Other languages
English (en)
French (fr)
Inventor
匠 山本
亜衣子 岩崎
Original Assignee
三菱電機株式会社
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 三菱電機株式会社 filed Critical 三菱電機株式会社
Priority to JP2023526121A priority Critical patent/JP7361997B1/ja
Priority to PCT/JP2022/044978 priority patent/WO2024121950A1/ja
Publication of WO2024121950A1 publication Critical patent/WO2024121950A1/ja

Links

Images

Classifications

    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/55—Detecting local intrusion or implementing counter-measures

Definitions

  • Patent Document 1 discloses a technology that intercepts data reading from a process determined to be fraudulent and returns fake data to that process.
  • Patent Document 1 since the accuracy of the fraud evaluation is not always perfect, there is a possibility that false data will be returned to a legitimate process. Here, if false data is returned to a legitimate process, the work of an innocent legitimate user will be hindered. Therefore, with this technology, there is a problem in that there is a risk of hindering the work of an innocent legitimate user.
  • the present disclosure aims to reduce the risk of disrupting the business of innocent, legitimate users in a deception system that uses decoy data.
  • a decoy file is placed in an area other than a first non-target area and a second non-target area.
  • the first non-target area is an area including one or more files that are presumed to be used by high-risk users in the course of their normal business operations
  • the second non-target area is an area including one or more files that are presumed to be accessed by users other than high-risk users in the course of their normal business operations. Therefore, according to the present disclosure, in a deception system that uses decoy data, it is possible to reduce the risk of disrupting the business of genuine, non-malicious users.
  • the risk value calculation unit 120 calculates a risk value corresponding to each user based on a log of file accesses and the like in the target system 20.
  • the risk value calculation unit 120 typically calculates a risk value corresponding to each user based on the access pattern of each user in the target system 20.
  • the risk value calculation unit 120 may calculate a risk value corresponding to each user based on the access pattern of each user in the target system 20.
  • the risk value calculation unit 120 may use an access log for the decoy file 191 when calculating a risk value corresponding to each user.
  • the normal work analysis unit 130 estimates each of the first non-target area and the second non-target area based on the access log 21.
  • the first non-target area is an area including one or more files that are estimated to be used by a high-risk user in the normal work of the high-risk user among the files included in the target file group, and is an area corresponding to a part of the file tree managed by the target system 20.
  • the normal work may be defined in any way.
  • the target file group is a plurality of files accessed by the high-risk user, and is composed of a plurality of files indicated by the access log 21.
  • the second non-target area is an area including one or more files that are estimated to be accessed by each user included in the target normal user group in the normal work of each user, and is composed of an area corresponding to a part of the file tree.
  • the target normal user group includes a plurality of users
  • the second non-target area is a union of the normal access areas corresponding to each user.
  • the target normal user group is one or more users other than the high-risk user who have accessed at least one file that exists outside the first non-target area among the files included in the target file group, and is composed of one or more users of the target system 20.
  • the regular task analysis unit 130 generates non-target area information 131, and outputs the generated non-target area information 131.
  • the non-target area information 131 is information indicating an area in which the decoy file 191 is not placed.
  • the normal operation analysis unit 130 identifies a normal access area corresponding to each high-risk user from the file access log of each high-risk user indicated by the high-risk user information 121, and adds the identified normal access area to the non-target area for placement.
  • the normal access area corresponding to each user is the range of the file tree that each user normally accesses in the course of work, and is an area that each user accesses relatively frequently, and as a specific example, is composed of one or more files and one or more directories that each user normally accesses.
  • the normal operation analysis unit 130 sets the files and directories that each user has accessed a predetermined number of times or more within a predetermined period as the files and directories that each user normally accesses.
  • the non-target area for placement is an area that corresponds to a part of the file tree, and is an area in which the decoy file 191 is not placed.
  • the normal work analysis unit 130 identifies one or more files and one or more directories that other users who normally access each file access at the same time or relatively close to each high-risk user from logs indicating access to each file accessed by each high-risk user indicated in the high-risk user information 121, and adds a range including the identified one or more files and one or more directories to the non-target area for placement.
  • the normal work analysis unit 130 sets files and directories that have been accessed a predetermined number of times or more within a predetermined period from the time when each file accessed by each high-risk user was accessed as files and directories that other users access at the same time or relatively close to each high-risk user.
  • the decoy placement unit 140 places one or more decoy files 191 in the placement target area. Placing the decoy file 191 includes instructing a plug-in or the like to place the decoy file 191.
  • the placement target area is an area excluding the first non-target area and the second non-target area, and is an area corresponding to a part of the file tree managed by the target system 20.
  • the placement target area may include an area expected to be accessed by a high-risk user.
  • the decoy placement unit 140 selects one or more decoy files 191 from the decoy file DB 190, executes an instruction to the target system 20 to place the selected decoy file 191 in an area in the file tree that is near the files accessed by each high-risk user indicated by the high-risk user information 121 and is an area other than the non-target area for placement, generates decoy file information 141 corresponding to the executed instruction, and outputs the generated decoy file information 141.
  • the decoy file information 141 corresponding to the decoy file 191 is information indicating the file name and placement location of the decoy file 191.
  • the decoy placement unit 140 may randomly select the decoy file 191 from the decoy file DB 190, or may select the decoy file 191 from the decoy file DB 190 according to the characteristics of the high-risk user.
  • the decoy placement unit 140 may place the decoy file 191 in the target system 20 instead of issuing an instruction to the target system 20 to place the decoy file 191 .
  • the decoy placement unit 140 may extract topics from the contents and file names of files accessed by high-risk users, further narrow down the area where files or directories related to the extracted topics exist, and place the decoy file 191 in the narrowed down area.
  • the decoy placement unit 140 may extract topics by using a topic model such as Top2Vec.
  • the decoy placement unit 140 may create a decoy folder and execute an instruction to the target system 20 to place the decoy file 191 in the created decoy folder.
  • the decoy placement unit 140 may add information indicating that the decoy file 191 has been accessed to the access log 21 corresponding to each user.
  • the decoy file 191 is arranged based on the hypothesis that differences in access trends occur depending on whether or not each user has malicious intent.
  • an internal malicious actor accesses not only the business file group corresponding to the internal malicious actor, but also various files unrelated to the business file group, while a legitimate user without malicious intent (hereinafter, normal user) basically accesses only the business file group corresponding to the normal user and the peripheral file group corresponding to the business file group.
  • a legitimate user is a user who is legitimately registered in the target system 20.
  • a legitimate user may also be written as a "user".
  • a business file group corresponding to each user is composed of at least one file related to the business of each user.
  • a peripheral file group corresponding to a business file group is composed of files other than the files constituting the business file group, and is composed of at least one file that can be reached from each file constituting the business file group in a relatively small number of steps in the file tree.
  • the decoy file 191 is a file that is not directly related to the business of each user.
  • the file name and file format of the decoy file 191 may be generated to attract the interest of an internal malicious actor based on the result of analyzing the access tendency of the internal malicious actor, or may be generated by AI (Artificial Intelligence).
  • Fig. 2 is a diagram for explaining the processing of the regular task analysis unit 130 and the decoy placement unit 140.
  • a circled S indicates confidentiality.
  • the processing of the regular task analysis unit 130 and the decoy placement unit 140 will be explained using Fig. 2.
  • the normal task analysis unit 130 analyzes file access trends by normal users, and based on the analysis results, predicts folders that each user may access without malicious intent. Specifically, the normal task analysis unit 130 predicts normal access areas of normal users and normal access areas of high-risk users. The normal access areas of normal users correspond to the second non-target area. The normal access areas of high-risk users correspond to the first non-target area.
  • the decoy placement unit 140 selects a folder in which to place the decoy file 191 based on the result of the estimation made by the normal task analysis unit 130.
  • the decoy placement unit 140 may predict future file accesses by high-risk users based on anomalies detected by monitoring the behavior of each user, and place the decoy file 191 in a folder that stores a file corresponding to the predicted file access.
  • the decoy placement unit 140 predicts future file accesses by high-risk users, and selects a folder in which to place the decoy file 191 based on the result of the estimation.
  • the decoy monitoring unit 150 monitors access to the decoy file 191 indicated by the decoy file information 141 for each high-risk user indicated by the high-risk user information 121, generates decoy file access information 151 corresponding to the monitoring result, and outputs the generated decoy file access information 151.
  • the decoy file access information 151 is information indicating that the high-risk user has accessed the decoy file 191 a predetermined number of times or more.
  • the high-risk user information 121 may be information indicating that a user other than the high-risk user has accessed the decoy file 191.
  • the analyst may narrow down the high-risk users based on the decoy file access information 151 and the high-risk user information 121, and may reflect the narrowed down result in the high-risk user information 121.
  • the analyst is, as a specific example, a person or a computer that analyzes security attacks in the target system 20.
  • the access log DB 180 is a database that stores information indicating the access log in the target system 20 .
  • the decoy file DB 190 is a database that stores one or more decoy files 191 .
  • Fig. 3 shows an example of the installation location selection system 90 according to this embodiment.
  • the example of the installation location selection system 90 will be described with reference to Fig. 3.
  • the installation location selection device 100 is illustrated divided by function.
  • the risk-based authentication function utilizes risk-based authentication technology to receive the access log 21 of each user from the target system 20 and calculate a risk value corresponding to each user based on the received log.
  • the risk value calculation unit 120 refers to the access log for the decoy file 191 when calculating the risk value of each user.
  • the internal fraud prevention platform is a system having a function for preventing internal fraud, and has a decoy dynamic distribution function and a file access function.
  • the decoy dynamic distribution function is a function for selecting a folder in which to place the decoy file 191, selecting the decoy file 191, and placing the selected decoy file 191 in the selected folder.
  • the decoy placement unit 140 instructs the internal fraud prevention plug-in to place a decoy file 191 .
  • the internal tamper prevention plug-in is a software module that realizes additional functions for the file access tool.
  • the function of the decoy monitor 150 is realized by the internal tamper prevention plug-in.
  • the file access tool that realizes the file access function uses an internal fraud prevention plug-in based on an instruction from the decoy dynamic distribution function to place the decoy file 191.
  • the internal fraud prevention plug-in may actually place the decoy file 191 in the target system 20, or may display the decoy file 191 on the operation screen of the file access tool when each user accesses a folder in which the decoy file 191 should be placed, without actually placing the decoy file 191 in the target system 20.
  • FIG. 4 shows an example of the hardware configuration of the placement location selection device 100 according to this embodiment.
  • the placement location selection device 100 is composed of a general computer.
  • the placement location selection device 100 may be composed of multiple computers.
  • the target system 20 and the placement location selection device 100 may be configured as an integrated unit.
  • the placement location selection device 100 is a computer equipped with hardware such as a processor 11 and a storage device 12. These pieces of hardware are appropriately connected via signal lines.
  • the processor 11 is an integrated circuit (IC) that performs arithmetic processing and controls the hardware of the computer.
  • Specific examples of the processor 11 include a central processing unit (CPU), a digital signal processor (DSP), and a graphics processing unit (GPU).
  • the arrangement location selection device 100 may include a plurality of processors that replace the processor 11. The plurality of processors share the role of the processor 11.
  • the storage device 12 is composed of at least one of a volatile storage device and a non-volatile storage device.
  • a specific example of a volatile storage device is a RAM (Random Access Memory).
  • a specific example of a non-volatile storage device is a ROM (Read Only Memory), a HDD (Hard Disk Drive), or a flash memory. Data stored in the storage device 12 is loaded into the processor 11 as needed.
  • the placement location selection device 100 may include hardware such as an input/output IF (Interface) and a communication device.
  • the input/output interface is a port to which an input device and an output device are connected.
  • An example of the input/output interface is a Universal Serial Bus (USB) terminal.
  • An example of the input device is a keyboard and a mouse.
  • An example of the output device is a display.
  • the communication device is a receiver and a transmitter.
  • a specific example of the communication device is a communication chip or a NIC (Network Interface Card).
  • Each unit of the arrangement location selecting device 100 may appropriately use an input/output IF and a communication device when communicating with other devices.
  • the storage device 12 stores a placement location selection program.
  • the placement location selection program is a program that causes a computer to realize the functions of each unit of the placement location selection device 100.
  • the placement location selection program is loaded into the storage device 12 and executed by the processor 11.
  • the functions of each unit of the placement location selection device 100 are realized by software.
  • the storage device 12 may store files managed by the target system 20 .
  • Data used when executing the placement location selection program and data obtained by executing the placement location selection program are appropriately stored in the storage device 12.
  • Each unit of the placement location selection device 100 appropriately uses the storage device 12.
  • the storage device 12 may be independent of the computer.
  • Each database may be stored in an external server or the like.
  • the placement location selection program may be recorded on a computer-readable non-volatile recording medium.
  • Specific examples of the non-volatile recording medium include an optical disk or a flash memory.
  • the placement location selection program may be provided as a program product.
  • the operation procedure of the installation location selection device 100 corresponds to an installation location selection method. Also, a program that realizes the operation of the installation location selection device 100 corresponds to an installation location selection program.
  • FIG. 5 is a flowchart showing an example of the operation of the placement location selection device 100. The operation of the placement location selection device 100 will be explained with reference to FIG. 5.
  • Step S101 Risk value calculation process
  • the risk value calculation unit 120 refers to the access log DB 180 and calculates a risk value relating to the behavior of each user based on the file access log.
  • Step S102 First non-target area identification process
  • the normal task analysis unit 130 identifies an area that includes a group of folders that are accessed relatively frequently by high-risk users during normal tasks and corresponds to a part of the file tree as a first non-target area.
  • Step S103 Second non-target area identification process
  • the normal business analysis unit 130 identifies as a second non-target area an area that includes folders that a user who accessed a folder that the high-risk user does not use in his/her normal business activities accesses with a relatively high frequency in normal business activities among the group of folders accessed by the high-risk user, and that corresponds to a part of the file tree.
  • Step S104 Decoy file placement process
  • the decoy placement unit 140 selects a decoy file 191 from the decoy file DB 190 , and places the selected decoy file 191 in a location that avoids the first non-target area and the second non-target area identified by the normal task analysis unit 130 .
  • Step S105 Decoy monitoring process
  • the decoy monitor unit 150 monitors access to the decoy file 191 , generates decoy file access information 151 indicating the monitoring results, and outputs the generated decoy file access information 151 .
  • Step S106 High-risk user information correction process
  • the risk value calculation unit 120 modifies the high-risk user information 121 based on the output decoy file access information 151 .
  • the decoy file 191 is placed in a folder that is not normally accessed by a legitimate user, thereby reducing the opportunities for a legitimate user to access the decoy file 191. Therefore, according to this embodiment, the risk of interfering with the work of an innocent legitimate user can be reduced. Furthermore, according to this embodiment, the decoy file 191 is placed to avoid the first non-target area, thereby reducing the risk of disrupting the normal business operations of a high-risk user even if the high-risk user is actually a normal user.
  • FIG. 6 shows an example of the hardware configuration of the arrangement location selecting device 100 according to this modified example.
  • the arrangement location selection device 100 includes a processing circuit 18 instead of the processor 11 or the processor 11 and the storage device 12 .
  • the processing circuitry 18 is hardware that realizes at least a portion of each unit of the arrangement location selection device 100 .
  • the processing circuitry 18 may be dedicated hardware, or may be a processor that executes a program stored in the storage device 12 .
  • processing circuitry 18 When processing circuitry 18 is dedicated hardware, processing circuitry 18 may be, for example, a single circuit, a multiple circuit, a programmed processor, a parallel programmed processor, an ASIC (Application Specific Integrated Circuit), an FPGA (Field Programmable Gate Array), or a combination thereof.
  • the arrangement location selecting device 100 may include a plurality of processing circuits that replace the processing circuit 18. The plurality of processing circuits share the role of the processing circuit 18.
  • placement location selection device 100 some functions may be realized by dedicated hardware, and the remaining functions may be realized by software or firmware.
  • Processing circuitry 18 is illustratively implemented in hardware, software, firmware, or a combination thereof.
  • the processor 11, the storage device 12, and the processing circuit 18 are collectively referred to as the “processing circuitry.”
  • the functions of the functional components of the arrangement location selecting device 100 are realized by the processing circuitry.
  • the arrangement location selecting device 100 according to other embodiments may also have a similar configuration to this modified example.
  • Embodiment 2 The following mainly describes the differences from the above-described embodiment with reference to the drawings.
  • Fig. 7 shows an example of the configuration of the placement location selection device 100 according to this embodiment.
  • the placement location selection device 100 further includes an access pattern analysis unit 210.
  • the placement location selection device 100 further stores an access pattern DB 280 and a placement rule DB 290.
  • FIG. 19 is a diagram for explaining the placement of a decoy file 191 when a file access by malware is detected as abnormal. As shown in Fig.
  • the decoy file 191 it is too late to place the decoy file 191 near the file that the malware is accessing, but it is not too late to place the decoy file 191 in a location other than the vicinity of the file. Furthermore, if the decoy file 191 is placed over a wide area in advance, the possibility that an innocent legitimate user will access the decoy file 191 increases. Here, it is considered that the appropriate placement location of the decoy file 191 differs depending on the access pattern of the internal malicious actor. Specific examples of the access pattern of the internal malicious actor include a pattern in which the internal malicious actor makes manual access and a pattern in which the internal malicious actor makes automatic access using malware. Therefore, in this embodiment, a method is proposed for placing the decoy file 191 more effectively depending on the type of access pattern.
  • the access pattern analysis unit 210 analyzes the access patterns of each user of the target system 20 in the target system 20 based on the access log 21. Specifically, the access pattern analysis unit 210 identifies the access pattern 281 corresponding to each high-risk user by comparing logs of the most recent file accesses of each high-risk user indicated by the high-risk user information 121 with each access pattern 281 stored in the access pattern DB 280. Thereafter, the access pattern analysis unit 210 identifies an arrangement rule 291 corresponding to the identified access pattern 281 from the arrangement rule DB 290, generates arrangement policy information 211 based on the identification result, and outputs the generated arrangement policy information 211.
  • the placement policy information 211 is information that indicates a policy for placing each of the decoy files 191 .
  • the access pattern DB 280 stores data indicating each of one or more access patterns 281 .
  • Each access pattern 281 may be classified according to at least one of the following: the type of user, the area where the user accessed files, and the frequency with which the user accessed files. Specific examples of the types of users include external attackers, high-risk users, and low-risk users. Low-risk users are users other than high-risk users. External attackers may be treated as part of high-risk users.
  • Each access pattern 281 corresponds to a classification of file access according to the characteristics of expected file access.
  • Each access pattern 281 may include data related to a detection rule for determining whether or not each access pattern 281 applies.
  • the data related to the detection rule indicates at least one of a reference value for the number of files accessed by a user within a certain period of time and a reference value for the number of directories accessed by a user within a certain period of time.
  • Each access pattern 281 may be a pattern learned using techniques such as machine learning using the collected logs, such as file access logs collected in advance when file access by an internal malicious actor is manually simulated, or file access logs collected in advance when an automated program such as malware is executed.
  • the placement rule DB 290 stores data indicative of each of one or more placement rules 291 .
  • the placement rule 291 is a rule indicating an area in which each decoy file 191 is placed, and as a specific example, a rule indicating that the decoy file 191 is placed in an area within a range of x hops or more and less than y hops from the non-placement target area.
  • a hop is a unit representing the distance between two directories, and the distance between two directories one level apart is one hop.
  • Each of x and y is a natural number, and the value of y is greater than the value of x.
  • the placement rule 291 corresponding to an access pattern corresponding to a case in which a high-risk user uses malware may be a rule for placing one or more decoy files 191 in an area that is a reference distance or more away in the file tree from a file accessed by a high-risk user within a reference time from the time when the one or more decoy files 191 are placed. Within the reference time from the time when the one or more decoy files 191 are placed is the period from the time when the one or more decoy files 191 are placed back by the reference time to the time when the one or more decoy files 191 are placed.
  • the placement rule 291 may be a rule that indicates a drive other than the drive accessed by each high-risk user as a placement target for the decoy file 191.
  • the placement target may be a file system on a cloud system or a network drive.
  • FIG. 9 and 10 are diagrams for explaining specific examples of each access pattern 281 and an arrangement rule 291 corresponding to each access pattern 281.
  • a detection rule for detecting the access pattern 281 and an arrangement rule 291 for the decoy file 191 are defined.
  • the “access pattern characteristics” are characteristics of each access pattern 281 .
  • the “detection rule” is a rule for detecting each access pattern 281, and is defined according to the "feature of the access pattern”.
  • the "future predicted behavior” is a file access predicted as a future behavior of a user or a tool.
  • the placement rule 291 is a rule that is defined according to "future expected actions.”
  • the access pattern DB 280 does not need to store both the information indicating the "access pattern characteristics” and the information indicating the "expected future behavior”.
  • the decoy placement unit 140 places one or more decoy files 191 in the placement target area according to the placement rule 291 corresponding to the access pattern of the high-risk user in the target system 20. Specifically, the decoy placement unit 140 instructs the internal fraud prevention plugin to place the decoy file 191 according to the placement policy indicated by the placement policy information 211.
  • the decoy placement unit 140 also has a function of placing the decoy file 191 not only near the placement target area, but also in a wide area other than near the placement target area, according to the placement policy of the decoy file 191 corresponding to the access pattern 281 corresponding to the high-risk user.
  • Operation Description *** 11 is a flowchart showing an example of the operation of the installation location selecting device 100. The operation of the installation location selecting device 100 will be described with reference to FIG.
  • Step S201 Access pattern identification process
  • the access pattern analysis unit 210 identifies the access pattern 281 of the high-risk user based on the access log of the high-risk user indicated in the access log DB 180 and the access pattern DB 280, identifies a placement rule 291 corresponding to the identified access pattern 281 from the placement rule DB 290, and generates placement policy information 211 based on the identified placement rule 291.
  • Step S202 Decoy file placement process
  • the decoy placement unit 140 selects a decoy file 191 from the decoy file DB 190, and places the selected decoy file 191 in a location that avoids the first non-target area and the second non-target area in accordance with the placement policy information 211 generated in step S201.
  • the decoy file 191 is placed according to the access pattern 281 of the high-risk user, so that the decoy file 191 can be placed more effectively according to the type of unauthorized file access.
  • 11 Processor, 12 Storage device, 18 Processing circuit 20 Target system, 21 Access log, 90 Placement location selection system, 100 Placement location selection device, 110 Log collection unit, 120 Risk value calculation unit, 121 High-risk user information, 130 Normal business analysis unit, 131 Non-target area information, 140 Decoy placement unit, 141 Decoy file information, 150 Decoy monitoring unit, 151 Decoy file access information, 180 Access log DB, 190 Decoy file DB, 191 Decoy file, 210 Access pattern analysis unit, 211 Placement policy information, 280 Access pattern DB, 281 Access pattern, 290 Placement rule DB, 291 Placement rule.

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Software Systems (AREA)
  • Theoretical Computer Science (AREA)
  • Computer Hardware Design (AREA)
  • Physics & Mathematics (AREA)
  • General Engineering & Computer Science (AREA)
  • General Physics & Mathematics (AREA)
  • Information Retrieval, Db Structures And Fs Structures Therefor (AREA)

Abstract

配置場所選定装置（１００）は、対象システムにおいて第１対象外エリアと第２対象外エリアとを除くエリアであって、ファイルツリーの一部に相当するエリアに囮ファイルを配置する囮配置部（１４０）を備える。第１対象外エリアは、高リスクユーザが高リスクユーザの通常業務において利用すると推定されるエリアである。第２対象外エリアは、高リスクユーザ以外の各ユーザが各ユーザの通常業務において利用すると推定されるエリアから成る。

Description

配置場所選定装置、配置場所選定方法、及び配置場所選定プログラム
　本開示は、配置場所選定装置、配置場所選定方法、及び配置場所選定プログラムに関する。
　セキュリティ攻撃に対する対策として、囮データを用いる欺瞞システムがある。特許文献１は、不正と判断されたプロセスからのデータ読み取りをインターセプトし、当該プロセスに対して偽のデータを返す技術を開示している。
米国特許第９７７３１０９号明細書
　特許文献１が開示している技術では、不正評価の精度が完璧であるとは限らないために正規プロセスに対して偽のデータを返す可能性がある。ここで、正規プロセスに対して偽のデータを返した場合に悪意がない正規ユーザの業務が阻害される。従って、当該技術によれば、悪意がない正規ユーザの業務を阻害するリスクがあるという課題がある。
　本開示は、囮データを用いる欺瞞システムにおいて、悪意がない正規ユーザの業務を阻害するリスクを減らすことを目的とする。
　本開示に係る配置場所選定装置は、
　対象システムのユーザである高リスクユーザがアクセスした複数のファイルであって、前記対象システムにおけるアクセスログが示す複数のファイルから成る対象ファイル群が含むファイルのうち前記高リスクユーザが前記高リスクユーザの通常業務において利用すると推定される１つ以上のファイルを含むエリアであって、前記対象システムが管理しているファイルツリーの一部に相当するエリアである第１対象外エリアと、
　前記対象ファイル群が含むファイルのうち前記第１対象外エリア以外に存在する少なくとも１つのファイルにアクセスした前記高リスクユーザ以外の１以上のユーザであって、前記対象システムの１以上のユーザから成る対象正常ユーザ群に含まれる各ユーザが各ユーザの通常業務においてアクセスすると推定される１つ以上のファイルを含むエリアであって、前記ファイルツリーの一部に相当するエリアから成る第２対象外エリアと
を除くエリアであって、前記ファイルツリーの一部に相当するエリアである配置対象エリアに１つ以上の囮ファイルを配置する囮配置部
を備える。
　本開示によれば、第１対象外エリアと第２対象外エリアとを除くエリアに囮ファイルを配置する。ここで、第１対象外エリアは高リスクユーザが高リスクユーザの通常業務において利用すると推定される１つ以上のファイルを含むエリアであり、第２対象外エリアは高リスクユーザ以外の各ユーザが各ユーザの通常業務においてアクセスすると推定される１つ以上のファイルを含むエリアである。従って、本開示によれば、囮データを用いる欺瞞システムにおいて、悪意がない正規ユーザの業務を阻害するリスクを減らすことができる。
実施の形態１に係る配置場所選定装置１００の構成例を示す図。 実施の形態１に係る通常業務分析部１３０及び囮配置部１４０の処理を説明する図。 実施の形態１に係る配置場所選定システム９０の実施例を示す図。 実施の形態１に係る配置場所選定装置１００のハードウェア構成例を示す図。 実施の形態１に係る配置場所選定装置１００の動作を示すフローチャート。 実施の形態１の変形例に係る配置場所選定装置１００のハードウェア構成例を示す図。 実施の形態２に係る配置場所選定装置１００の構成例を示す図。 実施の形態２に係る囮ファイル１９１の配置を説明する図。 実施の形態２に係るアクセスパターン２８１及び配置ルール２９１を説明する図。 実施の形態２に係るアクセスパターン２８１及び配置ルール２９１を説明する図。 実施の形態２に係る配置場所選定装置１００の動作を示すフローチャート。
　実施の形態の説明及び図面において、同じ要素及び対応する要素には同じ符号を付している。同じ符号が付された要素の説明は、適宜に省略又は簡略化する。図中の矢印はデータの流れ又は処理の流れを主に示している。また、「部」を、「回路」、「工程」、「手順」、「処理」又は「サーキットリー」に適宜読み替えてもよい。
　実施の形態１．
　以下、本実施の形態について、図面を参照しながら詳細に説明する。
＊＊＊構成の説明＊＊＊
　図１は、本実施の形態に係る配置場所選定装置１００の構成例を示している。配置場所選定装置１００は、本図に示すように、ログ収集部１１０と、リスク値算出部１２０と、通常業務分析部１３０と、囮配置部１４０と、囮監視部１５０とを備える。また、配置場所選定装置１００は、アクセスログＤＢ（Ｄａｔａｂａｓｅ）１８０と、囮ファイルＤＢ１９０とを記憶する。
　ログ収集部１１０は、アクセスログ２１と、囮ファイル１９１に対するアクセスログとを収集し、収集したログをアクセスログＤＢ１８０に記録する。アクセスログ２１は対象システム２０におけるファイルアクセスのログである。
　対象システム２０は、複数のユーザが業務において利用するコンピュータシステムであり、複数のファイルを格納するシステムである。対象システム２０は、具体例として、ゼロトラストに基づいて運用されているシステムであり、オンプレミスシステムとクラウドシステムとの少なくともいずれかから成る。対象システム２０は、複数のファイルの各ファイルをファイルツリーの一部として管理する。ファイルツリーは、複数のファイルを階層的に管理するファイルシステムである。対象システム２０において、各ファイルはいずれかのフォルダに格納されており、各ユーザはファイルアクセスツールを用いて対象システム２０が管理している各ファイルにアクセスする。フォルダはディレクトリとも呼ばれる。ファイルアクセスツールは、各ユーザが各ファイルにアクセスするためのツールであり、具体例としてエクスプローラ又はブラウザである。
　リスク値算出部１２０は、対象システム２０におけるファイルアクセスなどのログに基づいて各ユーザに対応するリスク値を算出する。リスク値算出部１２０は、囮ファイル１９１が配置されていない場合において、典型的には各ユーザの対象システム２０におけるアクセスパターンに基づいて各ユーザに対応するリスク値を算出する。リスク値算出部１２０は、囮ファイル１９１が配置されている場合においても各ユーザの対象システム２０におけるアクセスパターンに基づいて各ユーザに対応するリスク値を算出してもよい。対象システム２０に囮ファイル１９１が配置されている場合において、リスク値算出部１２０は、各ユーザに対応するリスク値を算出する際に囮ファイル１９１に対するアクセスログを用いてもよい。リスク値算出部１２０は、対象ユーザが１つ以上の囮ファイル１９１の少なくとも１つにアクセスした場合に、対象ユーザに対応するリスク値を引き上げてもよい。各ユーザは対象システム２０のユーザである。各ユーザは、人間であってもよく、コンピュータであってもよい。
　各ユーザに対応するリスク値は、対象システム２０における各ユーザの振舞いに応じて算出される値であり、また、各ユーザが実際に内部不正者である可能性に対応する値である。対象システム２０における各ユーザの振舞いは、対象システム２０における各ユーザの行動である。各ユーザの振舞いの構成要素は、具体例として、各ユーザがアクセスしたファイルと、各ユーザのファイルアクセスの順序と、各ユーザがファイルアクセスを実行した時間帯と、各ユーザの単位時間当たりのファイルアクセス数とである。内部不正者は、組織からデータを窃取することを目的として組織の内部において活動する主体である。内部不正者は、具体例として、対象システム２０における内部犯、又は、正規のクレデンシャルを窃取したマルウェアであって、対象システム２０を管理している組織において用いられているＰＣ（Ｐｅｒｓｏｎａｌ　Ｃｏｍｐｕｔｅｒ）に感染しているマルウェアである。内部犯は、正規のアクセス権限を持つユーザのうち、組織の内部においてセキュリティ攻撃に携わるユーザである。内部犯は悪意を持つユーザでもある。マルウェアは、具体例として、単体で自律的に動作するもの、又は、インターネット上のＣｏｍｍａｎｄ＆Ｃｏｎｔｒｏｌサーバを介して、組織外部の攻撃者からの指令に従って動作するものである。
　リスク値算出部１２０は、あらかじめファイルアクセスなどのログからユーザごとに対象システム２０における正常な振舞いのパターンをモデル化し、対象システム２０における各ユーザの実際の振舞いがモデル化した正常な振舞いのパターンから逸脱した度合いを各ユーザに対応するリスク値として算出してもよい。リスク値算出部１２０は、正常な振舞いのパターンをモデル化する際に、機械学習などの技術を活用してもよく、Ｕｓｅｒ　ａｎｄ　Ｅｎｔｉｔｙ　Ｂｅｈａｖｉｏｒ　Ａｎａｌｙｔｉｃｓ（ＵＥＢＡ）などのアクセスログに基づいてユーザごとに振舞いの異常を検知する技術を用いてもよい。
　また、リスク値算出部１２０は、高リスクユーザ情報１２１を生成し、生成した高リスクユーザ情報１２１を出力する。高リスクユーザ情報１２１は、各高リスクユーザと、各高リスクユーザの特性との各々を示す情報である。高リスクユーザ情報１２１には、具体例として、各高リスクユーザと、各高リスクユーザに対応するリスク値と、各高リスクユーザがアクセスしていた１つ以上のファイルなどを示すデータが含まれる。高リスクユーザは、対象システム２０のユーザであり、対象システム２０のユーザのうち対応するリスク値が既定の閾値であるリスク基準値以上であるユーザであり、内部不正者である可能性が比較的高いユーザである。なお、アクセスログ２１と囮ファイルアクセス情報１５１との少なくともいずれかが更新された場合に、更新された情報に基づいて高リスクユーザ情報１２１が更新されることもある。
　通常業務分析部１３０は、アクセスログ２１に基づいて第１対象外エリアと第２対象外エリアとの各々を推定する。第１対象外エリアは、対象ファイル群が含むファイルのうち高リスクユーザが高リスクユーザの通常業務において利用すると推定される１つ以上のファイルを含むエリアであって、対象システム２０が管理しているファイルツリーの一部に相当するエリアである。通常業務はどのように定義されてもよい。対象ファイル群は、高リスクユーザがアクセスした複数のファイルであって、アクセスログ２１が示す複数のファイルから成る。第２対象外エリアは、対象正常ユーザ群に含まれる各ユーザが各ユーザの通常業務においてアクセスすると推定される１つ以上のファイルを含むエリアであって、ファイルツリーの一部に相当するエリアから成る。対象正常ユーザ群に複数のユーザが含まれる場合において、第２対象外エリアは各ユーザに対応する通常アクセスエリアの和集合である。対象正常ユーザ群は、対象ファイル群が含むファイルのうち第１対象外エリア以外に存在する少なくとも１つのファイルにアクセスした高リスクユーザ以外の１以上のユーザであって、対象システム２０の１以上のユーザから成る。また、通常業務分析部１３０は対象外エリア情報１３１を生成し、生成した対象外エリア情報１３１を出力する。対象外エリア情報１３１は、囮ファイル１９１を配置しないエリアを示す情報である。
　具体例として、通常業務分析部１３０は、高リスクユーザ情報１２１が示す各高リスクユーザのファイルアクセスのログから各高リスクユーザに対応する通常アクセスエリアを特定し、特定した通常アクセスエリアを配置対象外エリアに加える。各ユーザに対応する通常アクセスエリアは、各ユーザが業務において普段アクセスするファイルツリーの範囲であり、各ユーザが比較的高い頻度でアクセスするエリアであり、具体例として各ユーザが普段アクセスしている１つ以上のファイルと１つ以上のディレクトリとから成る。この際、通常業務分析部１３０は、具体例として、既定の期間内に各ユーザが既定の回数以上のアクセスしたファイル及びディレクトリを各ユーザが普段アクセスしているファイル及びディレクリとする。配置対象外エリアは、ファイルツリーの一部に相当するエリアであり、囮ファイル１９１を配置しないエリアである。
　また、通常業務分析部１３０は、高リスクユーザ情報１２１が示す各高リスクユーザがアクセスした各ファイルに対するアクセスなどを示すログから、各ファイルに普段アクセスする他のユーザが各高リスクユーザと同じ又は比較的近いタイミングでアクセスする１つ以上のファイル及び１つ以上のディレクトリを特定し、特定した１つ以上のファイル及び１つ以上のディレクトリを含む範囲を配置対象外エリアに加える。この際、通常業務分析部１３０は、具体例として、各高リスクユーザがアクセスした各ファイルがアクセスされたタイミングから既定の期間内に既定の回数以上のアクセスがあったファイル及びディレクトリを、他のユーザが各高リスクユーザと同じ又は比較的近いタイミングでアクセスするファイル及びディレクトリとする。
　囮配置部１４０は、配置対象エリアに１つ以上の囮ファイル１９１を配置する。囮ファイル１９１を配置することには、プラグインなどに対して囮ファイル１９１を配置するよう指示することが含まれる。配置対象エリアは、第１対象外エリアと第２対象外エリアとを除くエリアであって、対象システム２０が管理しているファイルツリーの一部に相当するエリアである。配置対象エリアは、高リスクユーザがアクセスすると予想されるエリアを含んでもよい。
　具体的には、囮配置部１４０は、囮ファイルＤＢ１９０から１つ以上の囮ファイル１９１を選定し、ファイルツリーにおけるエリアであって、高リスクユーザ情報１２１が示す各高リスクユーザがアクセスしたファイルの近辺のエリア、かつ、配置対象外エリア以外のエリアに選定した囮ファイル１９１を配置する指示を対象システム２０に対して実行し、実行した指示に対応する囮ファイル情報１４１を生成し、生成した囮ファイル情報１４１を出力する。囮ファイル１９１に対応する囮ファイル情報１４１は、囮ファイル１９１のファイル名及び配置場所などを示す情報である。この際、囮配置部１４０は、ランダムに囮ファイル１９１を囮ファイルＤＢ１９０から選定してもよく、高リスクユーザの特性に応じて囮ファイル１９１を囮ファイルＤＢ１９０から選定してもよい。囮配置部１４０は、囮ファイル１９１を配置する指示を対象システム２０に対して実行する代わりに囮ファイル１９１を対象システム２０に配置してもよい。
　なお、囮配置部１４０は、高リスクユーザがアクセスしたファイルのコンテンツ及びファイル名などからトピックを抽出し、抽出したトピックに関連があるファイル又はディレクトリが存在するエリアをさらに絞りこみ、絞り込んだエリア内に囮ファイル１９１を配置してもよい。この際、囮配置部１４０はＴｏｐ２Ｖｅｃなどのトピックモデルを利用してトピックを抽出してもよい。
　囮配置部１４０は、囮フォルダを作成し、作成した囮フォルダに囮ファイル１９１を配置する指示を対象システム２０に対して実行してもよい。囮配置部１４０は、各ユーザに対応するアクセスログ２１に囮ファイル１９１にアクセスしたことを示す情報を追加してもよい。
　なお、本開示では、各ユーザの悪意の有無によってアクセス傾向の差異が生じるという仮説に基づいて囮ファイル１９１が配置される。アクセス傾向の差異は、具体例として、内部不正者は内部不正者に対応する業務ファイル群のほかに当該業務ファイル群と関係がない様々なファイルにもアクセスし、悪意がない正規ユーザ（以下、正常ユーザ）は正常ユーザに対応する業務ファイル群と当該業務ファイル群に対応する周辺ファイル群のみに基本的にアクセスするというものである。正規ユーザは、対象システム２０に正規に登録されているユーザである。正規ユーザを「ユーザ」と表記することもある。各ユーザに対応する業務ファイル群は、各ユーザの業務に関連する少なくとも１つのファイルから成る。業務ファイル群に対応する周辺ファイル群は、業務ファイル群を構成するファイル以外のファイルから成り、ファイルツリーにおいて業務ファイル群を構成する各ファイルから比較的少ないステップ数で辿り着くことができる少なくとも１つのファイルから成る。
　囮ファイル１９１は、各ユーザの業務との関連が直接的にはないファイルである。囮ファイル１９１のファイル名及びファイル形式などは、内部不正者のアクセス傾向などを分析した結果に基づいて内部不正者の興味を引き得るように生成されたものであってもよく、ＡＩ（Ａｒｔｉｆｉｃｉａｌ　Ｉｎｔｅｌｌｉｇｅｎｃｅ）によって生成されたものであってもよい。
　図２は、通常業務分析部１３０及び囮配置部１４０の処理を説明する図である。図２において、円で囲われたＳは機密性があることを示す。図２を用いて通常業務分析部１３０及び囮配置部１４０の処理を説明する。
　通常業務分析部１３０は、正常ユーザによるファイルアクセスの傾向を分析し、分析した結果に基づいて悪意がない範囲で各ユーザがアクセスする可能性があるフォルダを推測する。具体的には、通常業務分析部１３０は、正常ユーザの通常アクセスエリアと、高リスクユーザの通常アクセスエリアとの各々を推測する。正常ユーザの通常アクセスエリアは第２対象外エリアに相当する。高リスクユーザの通常アクセスエリアは第１対象外エリアに相当する。
　囮配置部１４０は、通常業務分析部１３０が推測した結果に基づいて囮ファイル１９１を配置するフォルダを選定する。この際、囮配置部１４０は、各ユーザの振舞いの監視によって検出された異常に基づいて高リスクユーザによる今後のファイルアクセスを予想し、予想したファイルアクセスに対応するファイルを格納しているフォルダに囮ファイル１９１を配置してもよい。具体例として、囮配置部１４０は、図２に示すように、高リスクユーザによる今後のファイルアクセスを予想し、予想した結果に基づいて囮ファイル１９１を配置するフォルダを選定する。
　囮監視部１５０は、高リスクユーザ情報１２１が示す各高リスクユーザに関して、囮ファイル情報１４１が示す囮ファイル１９１に対するアクセスを監視し、監視した結果に対応する囮ファイルアクセス情報１５１を生成し、生成した囮ファイルアクセス情報１５１を出力する。囮ファイルアクセス情報１５１は、具体例として、囮ファイル１９１に既定の回数以上アクセスした高リスクユーザが存在する場合に、当該高リスクユーザが囮ファイル１９１に既定の回数以上アクセスしたことを示す情報である。高リスクユーザ情報１２１は、高リスクユーザ以外のユーザが囮ファイル１９１にアクセスしたことを示す情報であってもよい。
　分析者は、囮ファイルアクセス情報１５１と高リスクユーザ情報１２１とに基づいて高リスクユーザを絞り込んでもよく、絞り込んだ結果を高リスクユーザ情報１２１に反映してもよい。分析者は、具体例として対象システム２０におけるセキュリティ攻撃を分析する人又はコンピュータである。
　アクセスログＤＢ１８０は、対象システム２０におけるアクセスログを示す情報を格納するデータベースである。
　囮ファイルＤＢ１９０は、１つ以上の囮ファイル１９１を格納するデータベースである。
　図３は、本実施の形態に係る配置場所選定システム９０の実施例を示している。図３を用いて配置場所選定システム９０の実施例を説明する。図３において、配置場所選定装置１００は機能ごとに分割されて図示されている。ここで、内部不正者は、対象システム２０内のファイルを調査したり、囮ファイル１９１を回避したりするものとする。
　リスクベース認証機能は、リスクベース認証技術を活用することにより、対象システム２０から各ユーザのアクセスログ２１を受信し、受信したログに基づいて各ユーザに対応するリスク値を算出する。また、囮ファイル１９１が既に配置されている場合において、リスク値算出部１２０は各ユーザのリスク値を算出する際に囮ファイル１９１に対するアクセスログを参照する。
　内部不正者対策基盤は、内部不正者対策機能を有するシステムであり、デコイ動的配布機能とファイルアクセス機能とを有する。
　デコイ動的配布機能は、囮ファイル１９１を配置するフォルダを選定し、囮ファイル１９１を選定し、選定した囮ファイル１９１を選定したフォルダに配置する機能である。
　囮配置部１４０は、内部不正者対策プラグインに対して囮ファイル１９１を配置するよう指示する。
　内部不正者対策プラグインは、ファイルアクセスツールに対する追加機能を実現するソフトウェアモジュールである。囮監視部１５０の機能は内部不正者対策プラグインによって実現される。
　ファイルアクセス機能を実現するファイルアクセスツールは、デコイ動的配布機能の指示に基づいて内部不正者対策プラグインを利用して囮ファイル１９１を配置する。内部不正者対策プラグインは、囮ファイル１９１を対象システム２０に実際に配置してもよく、囮ファイル１９１を対象システム２０に実際に配置せずに囮ファイル１９１が配置されるべきフォルダに各ユーザがアクセスした際にファイルアクセスツールの操作画面に囮ファイル１９１を表示してもよい。
　図４は、本実施の形態に係る配置場所選定装置１００のハードウェア構成例を示している。配置場所選定装置１００は一般的なコンピュータから成る。配置場所選定装置１００は複数のコンピュータから成ってもよい。対象システム２０と配置場所選定装置１００とは一体的に構成されてもよい。
　配置場所選定装置１００は、本図に示すように、プロセッサ１１と、記憶装置１２などのハードウェアを備えるコンピュータである。これらのハードウェアは、信号線を介して適宜接続されている。
　プロセッサ１１は、演算処理を行うＩＣ（Ｉｎｔｅｇｒａｔｅｄ　Ｃｉｒｃｕｉｔ）であり、かつ、コンピュータが備えるハードウェアを制御する。プロセッサ１１は、具体例として、ＣＰＵ（Ｃｅｎｔｒａｌ　Ｐｒｏｃｅｓｓｉｎｇ　Ｕｎｉｔ）、ＤＳＰ（Ｄｉｇｉｔａｌ　Ｓｉｇｎａｌ　Ｐｒｏｃｅｓｓｏｒ）、又はＧＰＵ（Ｇｒａｐｈｉｃｓ　Ｐｒｏｃｅｓｓｉｎｇ　Ｕｎｉｔ）である。
　配置場所選定装置１００は、プロセッサ１１を代替する複数のプロセッサを備えてもよい。複数のプロセッサはプロセッサ１１の役割を分担する。
　記憶装置１２は、揮発性の記憶装置と、不揮発性の記憶装置との少なくともいずれかから成る。揮発性の記憶装置は、具体例としてＲＡＭ（Ｒａｎｄｏｍ　Ａｃｃｅｓｓ　Ｍｅｍｏｒｙ）である。不揮発性の記憶装置は、具体例として、ＲＯＭ（Ｒｅａｄ　Ｏｎｌｙ　Ｍｅｍｏｒｙ）、ＨＤＤ（Ｈａｒｄ　Ｄｉｓｋ　Ｄｒｉｖｅ）、又はフラッシュメモリである。記憶装置１２に記憶されたデータは、必要に応じてプロセッサ１１にロードされる。
　配置場所選定装置１００は、入出力ＩＦ（Ｉｎｔｅｒｆａｃｅ）と、通信装置などのハードウェアを備えてもよい。
　入出力ＩＦは、入力装置及び出力装置が接続されるポートである。入出力ＩＦは、具体例としてＵＳＢ（Ｕｎｉｖｅｒｓａｌ　Ｓｅｒｉａｌ　Ｂｕｓ）端子である。入力装置は、具体例としてキーボード及びマウスである。出力装置は、具体例としてディスプレイである。
　通信装置は、レシーバ及びトランスミッタである。通信装置は、具体例として通信チップ又はＮＩＣ（Ｎｅｔｗｏｒｋ　Ｉｎｔｅｒｆａｃｅ　Ｃａｒｄ）である。
　配置場所選定装置１００の各部は、他の装置などと通信する際に、入出力ＩＦ及び通信装置を適宜用いてもよい。
　記憶装置１２は配置場所選定プログラムを記憶している。配置場所選定プログラムは、配置場所選定装置１００が備える各部の機能をコンピュータに実現させるプログラムである。配置場所選定プログラムは、記憶装置１２にロードされて、プロセッサ１１によって実行される。配置場所選定装置１００が備える各部の機能は、ソフトウェアにより実現される。
　記憶装置１２は、対象システム２０が管理しているファイルを記憶してもよい。
　配置場所選定プログラムを実行する際に用いられるデータと、配置場所選定プログラムを実行することによって得られるデータなどは、記憶装置１２に適宜記憶される。配置場所選定装置１００の各部は記憶装置１２を適宜利用する。なお、データという用語と情報という用語とは同等の意味を有することもある。
　記憶装置１２は、コンピュータと独立したものであってもよい。各データベースは外部のサーバなどに格納されていてもよい。
　配置場所選定プログラムは、コンピュータが読み取り可能な不揮発性の記録媒体に記録されていてもよい。不揮発性の記録媒体は、具体例として、光ディスク又はフラッシュメモリである。配置場所選定プログラムは、プログラムプロダクトとして提供されてもよい。
＊＊＊動作の説明＊＊＊
　配置場所選定装置１００の動作手順は配置場所選定方法に相当する。また、配置場所選定装置１００の動作を実現するプログラムは配置場所選定プログラムに相当する。
　図５は、配置場所選定装置１００の動作の一例を示すフローチャートである。図５を参照して配置場所選定装置１００の動作を説明する。
（ステップＳ１０１：リスク値算出処理）
　リスク値算出部１２０は、アクセスログＤＢ１８０を参照し、ファイルアクセスのログに基づいて各ユーザの振舞いに関するリスク値を算出する。
（ステップＳ１０２：第１対象外エリア特定処理）
　通常業務分析部１３０は、高リスクユーザが普段の正常業務において比較的高い頻度でアクセスするフォルダ群を含むエリアであってファイルツリーの一部に相当するエリアを第１対象外エリアとして特定する。
（ステップＳ１０３：第２対象外エリア特定処理）
　通常業務分析部１３０は、高リスクユーザがアクセスしたフォルダ群のうち高リスクユーザが普段の正常業務において使わないフォルダにアクセスしたユーザが正常業務において比較的高い頻度でアクセスするフォルダを含むエリアであってファイルツリーの一部に相当するエリアを第２対象外エリアとして特定する。
（ステップＳ１０４：囮ファイル配置処理）
　囮配置部１４０は、囮ファイルＤＢ１９０から囮ファイル１９１を選定し、通常業務分析部１３０が特定した第１対象外エリア及び第２対象外エリアを避けた場所に選定した囮ファイル１９１を配置する。
（ステップＳ１０５：囮監視処理）
　囮監視部１５０は、囮ファイル１９１に対するアクセスを監視し、監視した結果を示す囮ファイルアクセス情報１５１を生成し、生成した囮ファイルアクセス情報１５１を出力する。
（ステップＳ１０６：高リスクユーザ情報修正処理）
　リスク値算出部１２０は、出力された囮ファイルアクセス情報１５１に基づいて高リスクユーザ情報１２１を修正する。
＊＊＊実施の形態１の効果の説明＊＊＊
　以上のように、本実施の形態によれば、囮データを用いる欺瞞システムにおいて、正規ユーザが普段アクセスするフォルダを避けて囮ファイル１９１が配置されるため、正規ユーザが囮ファイル１９１にアクセスする機会を減らすことができる。従って、本実施の形態によれば、悪意がない正規ユーザの業務を阻害するリスクを減らすことができる。
　また、本実施の形態によれば、第１対象外エリアを避けて囮ファイル１９１を配置するため、高リスクユーザが実際には正常ユーザである場合においても当該高リスクユーザの通常業務を阻害するリスクを減らすことができる。
＊＊＊他の構成＊＊＊
＜変形例１＞
　図６は、本変形例に係る配置場所選定装置１００のハードウェア構成例を示している。
　配置場所選定装置１００は、プロセッサ１１、あるいはプロセッサ１１と記憶装置１２に代えて、処理回路１８を備える。
　処理回路１８は、配置場所選定装置１００が備える各部の少なくとも一部を実現するハードウェアである。
　処理回路１８は、専用のハードウェアであってもよく、また、記憶装置１２に格納されるプログラムを実行するプロセッサであってもよい。
　処理回路１８が専用のハードウェアである場合、処理回路１８は、具体例として、単一回路、複合回路、プログラム化したプロセッサ、並列プログラム化したプロセッサ、ＡＳＩＣ（Ａｐｐｌｉｃａｔｉｏｎ　Ｓｐｅｃｉｆｉｃ　Ｉｎｔｅｇｒａｔｅｄ　Ｃｉｒｃｕｉｔ）、ＦＰＧＡ（Ｆｉｅｌｄ　Ｐｒｏｇｒａｍｍａｂｌｅ　Ｇａｔｅ　Ａｒｒａｙ）又はこれらの組み合わせである。
　配置場所選定装置１００は、処理回路１８を代替する複数の処理回路を備えてもよい。複数の処理回路は、処理回路１８の役割を分担する。
　配置場所選定装置１００において、一部の機能が専用のハードウェアによって実現されて、残りの機能がソフトウェア又はファームウェアによって実現されてもよい。
　処理回路１８は、具体例として、ハードウェア、ソフトウェア、ファームウェア、又はこれらの組み合わせにより実現される。
　プロセッサ１１と記憶装置１２と処理回路１８とを、総称して「プロセッシングサーキットリー」という。つまり、配置場所選定装置１００の各機能構成要素の機能は、プロセッシングサーキットリーにより実現される。
　他の実施の形態に係る配置場所選定装置１００についても、本変形例と同様の構成であってもよい。
　実施の形態２．
　以下、主に前述した実施の形態と異なる点について、図面を参照しながら説明する。
＊＊＊構成の説明＊＊＊
　図７は、本実施の形態に係る配置場所選定装置１００の構成例を示している。配置場所選定装置１００は、図７に示すように、アクセスパターン分析部２１０をさらに備える。また、配置場所選定装置１００は、アクセスパターンＤＢ２８０と、配置ルールＤＢ２９０とをさらに記憶する。
　内部不正者が、ファイルを１つずつ開いて目視で確認して窃取するファイルを収集しているのではなく、スクリプトなどの自動プログラムを使って一括で窃取するファイルを収集しようとしているとき、内部不正者に対応するリスク値が高くなった時点において内部不正者がアクセスしているファイルの近傍に囮ファイル１９１を置くことは、囮ファイル１９１を置いた時点において当該ファイルの近傍に対するアクセスを既に終えているために手遅れである場合がある。なお、当該ファイルの近傍に囮ファイル１９１を置くと悪意がない正規ユーザが囮ファイル１９１にアクセスする可能性が増加する。
　図８は、マルウェアによるファイルアクセスが異常として検出された場合において囮ファイル１９１を配置することを説明する図である。図８に示すように、マルウェアがアクセスしているファイルの近傍に囮ファイル１９１を配置しても手遅れであるが、当該ファイルの近傍以外に囮ファイル１９１を配置することは手遅れではない。
　また、あらかじめ囮ファイル１９１を広範囲に配置した場合、悪意がない正規ユーザが囮ファイル１９１にアクセスする可能性が増加する。
　ここで、内部不正者のアクセスパターンに応じて囮ファイル１９１の適切な配置場所は異なるものと考えられる。内部不正者のアクセスパターンは、具体例として、内部不正者が手動アクセスするパターンと、内部不正者がマルウェアにより自動アクセスするパターンとである。そこで、本実施の形態では、アクセスパターンの種類に応じてより効果的に囮ファイル１９１を配置する手法を提案する。
　アクセスパターン分析部２１０は、アクセスログ２１に基づいて対象システム２０の各ユーザの対象システム２０におけるアクセスパターンを分析する。具体的には、アクセスパターン分析部２１０は、高リスクユーザ情報１２１が示す各高リスクユーザの直近のファイルアクセスなどのログと、アクセスパターンＤＢ２８０が記憶している各アクセスパターン２８１とを照らし合わせることにより、各高リスクユーザに対応するアクセスパターン２８１を特定する。
　その後、アクセスパターン分析部２１０は、特定したアクセスパターン２８１に対応する配置ルール２９１を配置ルールＤＢ２９０から特定し、特定した結果に基づいて配置方針情報２１１を生成し、生成した配置方針情報２１１を出力する。ここで、アクセスパターンＤＢ２８０が記憶しているアクセスパターン２８１ごとに適切な配置ルール２９１があらかじめ定義されているものとする。なお、アクセスパターン分析部２１０が検知することができないアクセスパターン２８１が存在してもよい。
　配置方針情報２１１は、各囮ファイル１９１を配置する方針を示す情報である。
　アクセスパターンＤＢ２８０は１つ以上のアクセスパターン２８１の各々を示すデータを記憶する。
　各アクセスパターン２８１は、具体例として、ユーザの種類と、ユーザがファイルアクセスしたエリアと、ユーザがファイルアクセスした頻度との少なくともいずれかに応じた分類であってもよい。ユーザの種類は、具体例として、外部攻撃者と、高リスクユーザと、低リスクユーザとである。低リスクユーザは高リスクユーザ以外のユーザである。外部攻撃者は高リスクユーザの一部として扱われてもよい。
　各アクセスパターン２８１は、想定されるファイルアクセスの特徴に応じたファイルアクセスの分類に相当する。各アクセスパターン２８１には、各アクセスパターン２８１に当たるか否かを判定する検知ルールに関するデータが含まれてもよい。検知ルールに関するデータは、具体例として、ユーザが一定時間内にアクセスしたファイルの数の基準値と、一定時間内にアクセスしたディレクトリの数の基準値との少なくともいずれかを示す。
　各アクセスパターン２８１は、内部不正者のファイルアクセスを手動で模擬実行した際のファイルアクセスのログ、又はマルウェアなどの自動プログラムを実行した際のファイルアクセスのログなどをあらかじめ収集しておき、収集したログを用いて機械学習などの技術を使って学習したパターンであってもよい。
　配置ルールＤＢ２９０は１つ以上の配置ルール２９１の各々を示すデータを記憶する。
　配置ルール２９１は、各囮ファイル１９１を配置するエリアを示すルールであり、具体例として、配置対象外エリアからｘホップ以上かつｙホップ未満である範囲内のエリアに囮ファイル１９１を配置することを示すルールである。ここで、ホップは２つのディレクトリ間の距離を表す単位であり、１階層離れた２つのディレクトリ間の距離は１ホップである。ｘ及びｙの各々は自然数であり、ｙの値はｘの値よりも大きい。高リスクユーザがマルウェアを用いた場合に対応するアクセスパターンに対応する配置ルール２９１は、１つ以上の囮ファイル１９１を配置する時点から過去基準時間以内に高リスクユーザがアクセスしたファイルからファイルツリーにおいて基準距離以上離れたエリアに１つ以上の囮ファイル１９１を配置するルールであってもよい。１つ以上の囮ファイル１９１を配置する時点から過去基準時間以内は、１つ以上の囮ファイル１９１を配置する時点から過去基準時間分過去に遡った時点から、１つ以上の囮ファイル１９１を配置する時点までの間である。
　なお、配置ルール２９１は、囮ファイル１９１の配置対象として、各高リスクユーザがアクセスしたドライブとは異なるドライブを示すルールであってもよい。配置対象は、クラウドシステム上のファイルシステムであってもよく、ネットワークドライブであってもよい。
　図９及び図１０は、各アクセスパターン２８１と、各アクセスパターン２８１に対応する配置ルール２９１との具体例を説明する図である。図９及び図１０に示すように、アクセスパターン２８１ごとに、アクセスパターン２８１を検知する検知ルールと、囮ファイル１９１の配置ルール２９１との各々が定義されている。
　「アクセスパターンの特徴」は、各アクセスパターン２８１において特徴的な事項である。
　「検知ルール」は、各アクセスパターン２８１を検知するルールであり、「アクセスパターンの特徴」に応じて定義されるルールである。
　「今後の予想される行動」は、ユーザ又はツールの今後の行動として予想されるファイルアクセスである。
　配置ルール２９１は、「今後予想される行動」に応じて定義されるルールである。
　なお、アクセスパターンＤＢ２８０は、「アクセスパターンの特徴」を示す情報と「今後予想される行動」を示す情報との各々を記憶しなくてもよい。
　本実施の形態に係る囮配置部１４０は、高リスクユーザの対象システム２０におけるアクセスパターンに対応する配置ルール２９１に応じて配置対象エリアに１つ以上の囮ファイル１９１を配置する。具体的には、囮配置部１４０は、配置方針情報２１１が示す配置方針に応じて、内部不正者対策プラグインに対して囮ファイル１９１を配置するよう指示する。また、囮配置部１４０は、高リスクユーザに対応するアクセスパターン２８１に対応する囮ファイル１９１の配置方針に応じて、配置対象外エリアの近辺だけでなく、配置対象外エリアの近辺以外の広範囲に囮ファイル１９１を配置する機能を有する。
＊＊＊動作の説明＊＊＊
　図１１は、配置場所選定装置１００の動作の一例を示すフローチャートである。図１１を用いて配置場所選定装置１００の動作を説明する。
（ステップＳ２０１：アクセスパターン特定処理）
　アクセスパターン分析部２１０は、アクセスログＤＢ１８０が示す高リスクユーザのアクセスログと、アクセスパターンＤＢ２８０とに基づいて高リスクユーザのアクセスパターン２８１を特定し、特定したアクセスパターン２８１に対応する配置ルール２９１を配置ルールＤＢ２９０から特定し、特定した配置ルール２９１に基づいて配置方針情報２１１を生成する。
（ステップＳ２０２：囮ファイル配置処理）
　囮配置部１４０は、囮ファイルＤＢ１９０から囮ファイル１９１を選定し、ステップＳ２０１において生成された配置方針情報２１１に応じて第１対象外エリア及び第２対象外エリアを避けた場所に選定した囮ファイル１９１を配置する。
＊＊＊実施の形態２の効果の説明＊＊＊
　以上のように、本実施の形態によれば、高リスクユーザのアクセスパターン２８１に応じて囮ファイル１９１を配置するため、不正なファイルアクセスの種類に応じてより効果的に囮ファイル１９１を配置することができる。
＊＊＊他の実施の形態＊＊＊
　前述した各実施の形態の自由な組み合わせ、あるいは各実施の形態の任意の構成要素の変形、もしくは各実施の形態において任意の構成要素の省略が可能である。
　また、実施の形態は、実施の形態１から２で示したものに限定されるものではなく、必要に応じて種々の変更が可能である。フローチャートなどを用いて説明した手順は適宜変更されてもよい。
　１１　プロセッサ、１２　記憶装置、１８　処理回路、２０　対象システム、２１　アクセスログ、９０　配置場所選定システム、１００　配置場所選定装置、１１０　ログ収集部、１２０　リスク値算出部、１２１　高リスクユーザ情報、１３０　通常業務分析部、１３１　対象外エリア情報、１４０　囮配置部、１４１　囮ファイル情報、１５０　囮監視部、１５１　囮ファイルアクセス情報、１８０　アクセスログＤＢ、１９０　囮ファイルＤＢ、１９１　囮ファイル、２１０　アクセスパターン分析部、２１１　配置方針情報、２８０　アクセスパターンＤＢ、２８１　アクセスパターン、２９０　配置ルールＤＢ、２９１　配置ルール。

Claims (10)

  1. 　対象システムのユーザである高リスクユーザがアクセスした複数のファイルであって、前記対象システムにおけるアクセスログが示す複数のファイルから成る対象ファイル群が含むファイルのうち前記高リスクユーザが前記高リスクユーザの通常業務において利用すると推定される１つ以上のファイルを含むエリアであって、前記対象システムが管理しているファイルツリーの一部に相当するエリアである第１対象外エリアと、
    　前記対象ファイル群が含むファイルのうち前記第１対象外エリア以外に存在する少なくとも１つのファイルにアクセスした前記高リスクユーザ以外の１以上のユーザであって、前記対象システムの１以上のユーザから成る対象正常ユーザ群に含まれる各ユーザが各ユーザの通常業務においてアクセスすると推定される１つ以上のファイルを含むエリアであって、前記ファイルツリーの一部に相当するエリアから成る第２対象外エリアと
    を除くエリアであって、前記ファイルツリーの一部に相当するエリアである配置対象エリアに１つ以上の囮ファイルを配置する囮配置部
    を備える配置場所選定装置。
  2. 　前記配置対象エリアは、前記高リスクユーザがアクセスすると予想されるエリアを含む請求項１に記載の配置場所選定装置。
  3. 　前記配置場所選定装置は、さらに、
    　前記対象システムの各ユーザの前記対象システムにおけるアクセスパターンに基づいて各ユーザに対応するリスク値を算出するリスク値算出部
    を備え、
    　前記高リスクユーザは、前記対象システムのユーザのうち対応するリスク値がリスク基準値以上であるユーザである請求項１又は２に記載の配置場所選定装置。
  4. 　前記リスク値算出部は、前記対象システムのユーザである対象ユーザが前記１つ以上の囮ファイルの少なくとも１つにアクセスした場合に、前記対象ユーザに対応するリスク値を引き上げる請求項３に記載の配置場所選定装置。
  5. 　前記配置場所選定装置は、さらに、
    　前記対象システムにおけるアクセスログに基づいて前記第１対象外エリアと前記第２対象外エリアとの各々を推定する通常業務分析部
    を備える請求項１から４のいずれか１項に記載の配置場所選定装置。
  6. 　前記囮配置部は、前記高リスクユーザの前記対象システムにおけるアクセスパターンに対応する配置ルールに応じて前記配置対象エリアに前記１つ以上の囮ファイルを配置する請求項１から５のいずれか１項に記載の配置場所選定装置。
  7. 　前記高リスクユーザがマルウェアを用いた場合に対応するアクセスパターンに対応する配置ルールは、前記１つ以上の囮ファイルを配置する時点から過去基準時間以内に前記高リスクユーザがアクセスしたファイルから前記ファイルツリーにおいて基準距離以上離れたエリアに前記１つ以上の囮ファイルを配置するルールである請求項６に記載の配置場所選定装置。
  8. 　前記配置場所選定装置は、さらに、
    　前記対象システムにおけるアクセスログに基づいて前記対象システムの各ユーザの前記対象システムにおけるアクセスパターンを分析するアクセスパターン分析部
    を備える請求項６又は７に記載の配置場所選定装置。
  9. 　コンピュータが、対象システムのユーザである高リスクユーザがアクセスした複数のファイルであって、前記対象システムにおけるアクセスログが示す複数のファイルから成る対象ファイル群が含むファイルのうち前記高リスクユーザが前記高リスクユーザの通常業務において利用すると推定される１つ以上のファイルを含むエリアであって、前記対象システムが管理しているファイルツリーの一部に相当するエリアである第１対象外エリアと、
    　前記対象ファイル群が含むファイルのうち前記第１対象外エリア以外に存在する少なくとも１つのファイルにアクセスした前記高リスクユーザ以外の１以上のユーザであって、前記対象システムの１以上のユーザから成る対象正常ユーザ群に含まれる各ユーザが各ユーザの通常業務においてアクセスすると推定される１つ以上のファイルを含むエリアであって、前記ファイルツリーの一部に相当するエリアから成る第２対象外エリアと
    を除くエリアであって、前記ファイルツリーの一部に相当するエリアである配置対象エリアに１つ以上の囮ファイルを配置する配置場所選定方法。
  10. 　対象システムのユーザである高リスクユーザがアクセスした複数のファイルであって、前記対象システムにおけるアクセスログが示す複数のファイルから成る対象ファイル群が含むファイルのうち前記高リスクユーザが前記高リスクユーザの通常業務において利用すると推定される１つ以上のファイルを含むエリアであって、前記対象システムが管理しているファイルツリーの一部に相当するエリアである第１対象外エリアと、
    　前記対象ファイル群が含むファイルのうち前記第１対象外エリア以外に存在する少なくとも１つのファイルにアクセスした前記高リスクユーザ以外の１以上のユーザであって、前記対象システムの１以上のユーザから成る対象正常ユーザ群に含まれる各ユーザが各ユーザの通常業務においてアクセスすると推定される１つ以上のファイルを含むエリアであって、前記ファイルツリーの一部に相当するエリアから成る第２対象外エリアと
    を除くエリアであって、前記ファイルツリーの一部に相当するエリアである配置対象エリアに１つ以上の囮ファイルを配置する囮配置処理
    をコンピュータである配置場所選定装置に実行させる配置場所選定プログラム。
PCT/JP2022/044978 2022-12-06 2022-12-06 配置場所選定装置、配置場所選定方法、及び配置場所選定プログラム WO2024121950A1 (ja)

Priority Applications (2)

Application Number Priority Date Filing Date Title
JP2023526121A JP7361997B1 (ja) 2022-12-06 2022-12-06 配置場所選定装置、配置場所選定方法、及び配置場所選定プログラム
PCT/JP2022/044978 WO2024121950A1 (ja) 2022-12-06 2022-12-06 配置場所選定装置、配置場所選定方法、及び配置場所選定プログラム

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
PCT/JP2022/044978 WO2024121950A1 (ja) 2022-12-06 2022-12-06 配置場所選定装置、配置場所選定方法、及び配置場所選定プログラム

Publications (1)

Publication Number Publication Date
WO2024121950A1 true WO2024121950A1 (ja) 2024-06-13

Family

ID=88328355

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/JP2022/044978 WO2024121950A1 (ja) 2022-12-06 2022-12-06 配置場所選定装置、配置場所選定方法、及び配置場所選定プログラム

Country Status (2)

Country Link
JP (1) JP7361997B1 (ja)
WO (1) WO2024121950A1 (ja)

Citations (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2014103115A1 (ja) * 2012-12-26 2014-07-03 三菱電機株式会社 不正侵入検知装置、不正侵入検知方法、不正侵入検知プログラム及び記録媒体
WO2022225508A1 (en) * 2021-04-20 2022-10-27 Assured Information Security, Inc. Prevention and remediation of malware based on selective presentation of files to processes

Family Cites Families (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP7499669B2 (ja) * 2020-10-05 2024-06-14 三菱電機株式会社 欺瞞システム、欺瞞方法および欺瞞プログラム

Patent Citations (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2014103115A1 (ja) * 2012-12-26 2014-07-03 三菱電機株式会社 不正侵入検知装置、不正侵入検知方法、不正侵入検知プログラム及び記録媒体
WO2022225508A1 (en) * 2021-04-20 2022-10-27 Assured Information Security, Inc. Prevention and remediation of malware based on selective presentation of files to processes

Non-Patent Citations (1)

* Cited by examiner, † Cited by third party
Title
HASEGAWA KAKERU ，, SAWAMURA RYO, KITAGAWA TAKUMI, NISHIKAWA HIROKI, YAMAMOTO TAKUMI, TETSUSHI OHKI, NISHIGAKI MASAKATSU: "A Countermeasure Against Targeted Attacks Using Visual File Deception and Periodic Log Analysis", COMPUTER SECURITY SYMPOSIUM 2020, INFORMATION PROCESSING SOCIETY OF JAPAN, 1 October 2020 (2020-10-01) - 29 October 2020 (2020-10-29), pages 567 - 572, XP093180231 *

Also Published As

Publication number Publication date
JP7361997B1 (ja) 2023-10-16

Similar Documents

Publication Publication Date Title
US10154066B1 (en) Context-aware compromise assessment
US9888032B2 (en) Method and system for mitigating the effects of ransomware
US9311476B2 (en) Methods, systems, and media for masquerade attack detection by monitoring computer user behavior
CN108268354A (zh) 数据安全监控方法、后台服务器、终端及***
JP5736305B2 (ja) ソフトウェア評価を確立し監視するシステムおよびプログラム
Aldauiji et al. Utilizing cyber threat hunting techniques to find ransomware attacks: A survey of the state of the art
JP7470116B2 (ja) セキュア通信方法およびそのシステム
US20210243223A1 (en) Aggregation and flow propagation of elements of cyber-risk in an enterprise
Nostro et al. A methodology and supporting techniques for the quantitative assessment of insider threats
JP2019219898A (ja) セキュリティ対策検討ツール
JP2011022903A (ja) 分析装置、分析方法およびプログラム
Sharma et al. Ransomware detection, prevention and protection in IoT devices using ML techniques based on dynamic analysis approach
Zhang The utility of inconsistency in information security and digital forensics
JP2009048317A (ja) セキュリティ評価方法、セキュリティ評価装置
GB2535579A (en) Preventing unauthorized access to an application server
CN103001937A (zh) 孤岛式以太网防御移动存储介质病毒的***和方法
KR101081875B1 (ko) 정보시스템 위험에 대한 예비경보 시스템 및 그 방법
WO2024121950A1 (ja) 配置場所選定装置、配置場所選定方法、及び配置場所選定プログラム
US12039042B2 (en) Abnormal cross authorization detection systems
WO2024121951A1 (ja) 配置場所選定装置、配置場所選定方法、及び配置場所選定プログラム
Shivakumara et al. Review Paper on Dynamic Mechanisms of Data Leakage Detection and Prevention
Watters Consumer risks from piracy sites in the Philippines
Mansikka Data loss prevention: for securing enterprise data integrity
US20230132611A1 (en) Abnormal classic authorization detection systems
Waziri et al. Data loss prevention and challenges faced in their deployments