JP6913057B2 - 損害予測方法、損害予測システム及びプログラム - Google Patents

Description

本発明は、サイバーインシデントに対する損害予測システムおよび損害予測方法に関する。

様々なシステムや機器がインターネットに接続され、様々なビジネスがＩＴ技術で連携し、これらのログが再利用され、ビジネスのスマート化が進展している一方で、インターネットを介したサイバー攻撃により、ビジネス継続性への影響が深刻となっている。

これらのサイバー攻撃に対するビジネス継続性を確保するためには、サイバーインシデントに対するリスクを識別して適切に対処する必要がある。

しかし、適切にサイバーインシデントに対するリスク評価を行うには、サイバーインシデントが発生する確率を明らかにする必要があるが、サイバーインシデントの因果関係が明確に示された統計情報が整備されていない。これらの統計情報に依らずにそれぞれのビジネス主体のシステムやセキュリティ対策、セキュリティ態勢において、サイバーインシデントの発生確率や損害の期待値を明確にする方法が必要となる。

情報システムの脆弱性を管理して、そのセキュリティリスクを評価する従来技術として、特許文献１が知られている。特許文献１では、評価対象のビジネスシステムの構成に関するシステム構成情報と、情報セキュリティに関する情報とに基づいて、機器の脆弱性を検出する脆弱性検出部と、検出された脆弱性を示す脆弱性ノードと機器を示す機器ノードとを対応付けて配置することで、検出された脆弱性が機器に生じさせうるリスクを評価するための機器リスク評価モデルを生成する機器リスク評価モデル生成部と、所定のビジネスに関する情報処理に含まれるビジネス処理に関するビジネス関連ノードを機器リスク評価モデルに追加配置し、ビジネス関連ノードと機器ノードとを対応付けることで、検出された脆弱性が所定のビジネス処理に生じさせうるリスクを評価するためのビジネス関連リスク評価モデルを生成するビジネス関連リスク評価モデル生成部とを有し、ビジネスリスクを評価する。

特開２０１７−２２４０５３号公報

従来技術では、脆弱性情報と製品情報とを対応付けることで、膨大な脆弱性情報の中から管理対象の情報処理システムに関係する脆弱性情報を選別し、選別した脆弱性情報が示す脆弱性の技術的な特性に基づいて、その脆弱性が情報処理システムにもたらすリスクを評価できる。

また、従来技術では、脆弱性に対処するために情報処理システムを停止させると、業務の円滑な処理に支障を生じたり、売上が低下したりするなどの悪影響を生じるおそれに対し、経営者視点での判断基準に基づいて、脆弱性に対処すべきか否かや、いつ対処すべきかを判断を支援するため、脆弱性の情報処理システムにおける技術的な影響を評価するだけでなく、ビジネスへの影響も評価できる。

しかし、前記従来技術は、ビジネス継続計画の観点では、現状のビジネスシステムにおいて、近い将来、どの程度のサイバーインシデントによる損害が見込まれるのか、妥当な予測を行うことが難しい、という問題があった。

そこで、本発明の目的では、サイバーインシデントの発生と、損害の発生をシミュレーションするシステムおよび損害発生シミュレーション方法を提供することにある。

本発明は、プロセッサとメモリを有する計算機で、所定のビジネスに関する処理を実行する予測対象システムのサイバー攻撃による損害を予測する損害予測方法であって、前記プロセッサが、前記予測対象システムで使用されるソフトウェア毎の脆弱性モデルを読み込んで、脆弱性情報の発生日と脆弱性の特性を生成する第１のステップと、前記プロセッサが、前記予測対象システムを構成する要素のネットワークトポロジ情報に基づいて、前記要素へ前記脆弱性を使った攻撃が到達するリスクを評価する第２のステップと、前記プロセッサが、前記脆弱性情報の発生日からの時間経過に対する発生確率モデルに基づいて、前記脆弱性に対する攻撃の発生を判定する第３のステップと、前記プロセッサが、前記脆弱性に対する攻撃が発生したと判定した場合には、前記リスクの評価の結果と、各要素に対する攻撃による損害の発生を予測する第４のステップと、前記プロセッサが、前記脆弱性に対して前記予測対象システムの対策状況を反映する第５のステップと、前記プロセッサが、乱数を発生して前記第１のステップから前記第５のステップを所定の回数まで繰り返して実行する第６のステップと、を含む。

本発明によれば、ビジネスシステムの各機器の機能をなすソフトウェアの脆弱性情報の発行統計に基づいた脆弱性情報の発生をトリガとして、ビジネスシステムの機器のネットワークトポロジに応じた攻撃到達性に基づいた各機器の損害発生をシミュレーションすることができる。

本発明の実施例を示し、サイバーインシデントに対する損害予測システムおよび損害予測方法の実施形態の一つの例の概要を示すフローチャート図である。 本発明の実施例を示し、計算機の構成の一例示すブロック図である。 本発明の実施例を示し、脆弱性情報の発生タイミングをシミュレーションする処理のフローチャートである。 本発明の実施例を示し、発生させる脆弱性情報の特性をシミュレーションする処理のフローチャートである。 本発明の実施例を示し、発生させる脆弱性情報テーブルの構成の一例を示す図である。 本発明の実施例を示し、データベースの構成の一例を示す図である。 本発明の実施例を示し、ビジネスシステムを構成するネットワーク情報を定義するテーブルの一例を示す図である。 本発明の実施例を示し、ビジネスシステムを構成する機器情報を定義するテーブルの一例を示す図である。 本発明の実施例を示し、ビジネスシステムを構成する機器に検知された脆弱性情報の状況を管理するテーブルの一例を示す図である。 本発明の実施例を示し、損害発生シミュレーションを行う処理のフローチャートの詳細である。 本発明の実施例を示し、超過損害確率カーブあるいは再現期間を算出する処理のフローチャートである。 本発明の実施例を示し、脆弱性発生シミュレータ部の画面構成例である。 本発明の実施例を示し、損害発生シミュレータ部の画面構成例である。 本発明の実施例を示し、攻撃シナリオテーブルの一例を示す図である。

以下、図面に基づいて、本発明の実施の形態を説明する。以下に述べるように、本実施形態の一例を示す実施例は、サイバーインシデントに対する損害予測システムおよび損害予測方法に関するものであり、ビジネスシステムの損害発生を予測し、リスクに対する対処判断を支援する。

＜全体の概要＞
図１は、本実施例の一つの例の全体概要を示すフローチャートである。図１は本発明の理解および実施に必要な程度で実施例の概要のフローチャートを示している。

本発明のサイバーインシデントに対する損害予測システムおよび損害予測方法は、次のステップで構成されている。

なお、本処理が開始される以前に、ソフトウェアのプロダクト毎の脆弱性情報の発生に関する確率分布モデル１１２と、予測対象のシステム構成情報及び対策状況１１３と、予測対象のシステムを構成する機器（要素）ごとの損害見積り１１４が予め生成されている。また、計算機２００は、ループの繰返し回数Ｎも予め受け付けているものとする。

損害予測システムを構成する計算機２００（図２参照）は、ステップ１０１で処理を開始する。ステップ１０２では計算機２００が、脆弱性情報の発生についてのプロダクト毎の確率分布モデル１１２に基づき、年間のプロダクト毎の脆弱性情報の発生タイミングのばらつきを乱数でシミュレーションする。また、計算機２００は、発生する脆弱性情報の脆弱性特性についての確率分布モデル１１２に基づき、発生する脆弱性情報の特性のばらつきを乱数でシミュレーションし、１年分の脆弱性情報の発生をシミュレーションする。

ステップ１０３では、計算機２００が、年間の所定のタイミングにおける脆弱性情報を取り込み、システム構成情報および対策状況１１３を参照して機器ごとのリスク評価を行ってリスク値を算出する。本リスク評価の方法として、前記特許文献１の方法を利用しても良い。なお、以下の説明では、前記特許文献１に開示された脆弱性リスク評価手法を用いるものとする。すなわち、予測対象システムを構成する機器（要素）のネットワークトポロジに応じた攻撃到達性に基づいて脆弱性に対するリスクの評価が行われる。

また、システム構成情報および対策状況１１３は、前記特許文献１のビジネスプロセスに関するテーブルや、本実施例のネットワーク情報テーブル７００や、機器情報テーブル８００や脆弱性状況管理テーブル９００を含むことができる。

ステップ１０４では、計算機２００が、機器毎の損害見積もり１１４を読み込み、ステップ１０３で算出された機器毎のリスク値に応じた損害発生のばらつきを乱数でシミュレーションし、機器毎の損害額を算出し、記録する。

ステップ１０５では、計算機２００が、上記ステップ１０２〜１０４の処理を１年分（３６５日分）繰り返す。繰り返し処理が完了した後に、ステップ１０６に進む。

ステップ１０６では、計算機２００が、上記ステップ１０２〜１０５の処理を所定の回数（Ｎ）、繰り返し、所定の回数の年間損害額を算出し、記録する。

ステップ１０７では計算機２００が、各繰り返し回の１年分（３６５日分）のステップ１０４の損害算出結果を集計し、年間損害額を算出し、記録する。

ステップ１０８では、計算機２００が、所定の回数（Ｎ回）の年間損害額から超過損害確率カーブ（あるいは再現期間カーブ）を算出する。なお、超過損害確率カーブは、超過確率年や超過確率から算出することができる。そして、ステップ１０９で、計算機２００は処理を終了する。

上記処理により予測対象のビジネスシステムの各機器の機能を提供するソフトウェアプロダクトの脆弱性情報の発行統計に基づいた脆弱性情報の発行をトリガイベントとして、ビジネスシステムを構成する機器（要素）とネットワークトポロジに応じた攻撃到達性に基づいて各機器の損害発生をシミュレーションすることができる。したがって、損害予測システムは、年間の損害発生を集計し、モンテカルロ法にて年間損害額を繰り返し評価することで、超過損害確率カーブを算出することができ、ビジネスモデルの損害予測を実現することができる。

＜ハードウェア構成＞
図２は、本実施例の計算機２００の構成の一例示すブロック図である。計算機２００は、例えば、ＣＰＵ２０１と、メモリ２０２と、記憶装置２０３と、入力装置２０４と、出力装置２０５と、通信装置２０６を有する。

ＣＰＵ２０１は、メモリ２０２にロードされたプログラムを実行する。本実施例では、脆弱性情報発生シミュレータ２１０と、脆弱性リスク評価部２２０と、損害発生シミュレータ２３０と、損害予測部２４０がプログラムとしてメモリ２０２へロードされている例を示す。なお、各フローチャートの説明では、処理の主体を計算機２００としたが、ＣＰＵ２０１としてもよい。

記憶装置２０３は、不揮発性の記憶媒体で構成されて、上記プログラムが利用するデータが格納されている。

本実施例では、データとして、プロダクト毎の確率分布モデル１１２と、システム構成情報及び対策状況１１３と、機器ごとの損害見積り１１４と、脆弱性情報発生日リスト４０２と、脆弱性特性の発生確率表４０６と、脆弱性発生日からＥｘｐｌｏｉｔコードが公開されるまでの経過日数に対する累積確率分布情報１００５と、損害額表１０３０と、損害発生記録１０２０と、データベース６００が格納される。各データの詳細については後述する。なお、確率分布モデル１１２〜損害発生記録１０２０等のデータは、メモリ２０２に格納しても良い。

なお、プロダクト毎の確率分布モデル１１２と、脆弱性特性の発生確率表４０６は、プロダクト（ソフトウェア）毎に設定される値であるので、これらを、プロダクト（ソフトウェア）の脆弱性モデルとして扱っても良い。あるいは、プロダクトの種別（例えば、OSやWeb、DB等のミドルウェアなどのソフトウェア機能により区分けした種別）毎に確率分布モデル１１２と脆弱性特性の発生確率表４０６を作っても良い。

入力装置２０４は、キーボードやマウスあるいはタッチパネルで構成されて、ユーザの入力を受け付ける。出力装置２０５は、ディスプレイなどで構成されて、情報を表示する。通信装置２０６は、ネットワーク２０７に接続されて他の計算機などと通信を行う。

ＣＰＵ２０１は、各機能部のプログラムに従って処理することによって、所定の機能を提供する機能部として稼働する。例えば、ＣＰＵ２０１は、脆弱性情報発生シミュレーションプログラムに従って処理することで脆弱性情報発生シミュレータ２１０として機能する。他のプログラムについても同様である。さらに、ＣＰＵ２０１は、各プログラムが実行する複数の処理のそれぞれの機能を提供する機能部としても稼働する。計算機及び計算機システムは、これらの機能部を含む装置及びシステムである。

計算機２００の各機能を実現するプログラム、テーブル等の情報は、記憶装置２０３や不揮発性半導体メモリ、ハードディスクドライブ、ＳＳＤ（Ｓｏｌｉｄ Ｓｔａｔｅ Ｄｒｉｖｅ）等の記憶デバイス、または、ＩＣカード、ＳＤカード、ＤＶＤ等の計算機読み取り可能な非一時的データ記憶媒体に格納することができる。

メモリ２０２にロードされた各プログラムは、次のような処理を行う。脆弱性情報発生シミュレータ２１０は、プロダクト毎の確率分布モデル１１２に基づいて、プロダクト毎の脆弱性情報の発生をシミュレートする。脆弱性リスク評価部２２０は、システム構成に基づいて機器ごとのリスク値を算出してリスクの評価を行う。

損害発生シミュレータ２３０は、機器毎の損害見積り１１４に基づいて各年の損害額を見積もる。そして、損害予測部２４０は、上記各プログラムを制御して超過損害確率カーブ（再現期間）を算出する。

＜脆弱性情報発生タイミングシミュレーション＞
図３は、脆弱性情報発生シミュレータ２１０が、脆弱性情報の発生タイミングをシミュレーションする処理のフローチャートである。この処理は、図１に示したステップ１０２の一部で行われる。

計算機２００は、ステップ３００でＮ回目の処理を開始する。なお、Ｎは図１の処理のループの繰返し回数を示す。計算機２００は、ステップ３０１では、計算機２００が、予め設定されたプロダクト毎の確率分布モデル１１２から関数のパラメータを読み込む。

確率分布モデル１１２は、図３で示すように、ソフトウェア製品（またはプロダクト）の識別子を格納するプロダクトＩＤ１１２１と、確率分布モデルの種類を格納する関数１１２２と、パラメータを格納する定数項１１２３からひとつのエントリが構成される。

確率分布モデル１１２は、予測対象のビジネスシステムで使用されるソフトウェアのそれぞれについて予め確率分布モデルやパラメータが設定される。

ステップ３０２では、計算機２００が、初期値として、ｉ＝１、Ｔｘ［０］＝０を代入する。なお、ｉはカウンタの値を示し、Ｔｘは１年の間の脆弱性情報の発生タイミングを小数で表した数値であり、例えば、０．１年は３６５×０．１日のため、２月５日となる。また、計算機２００は、ひとつのプロダクトを選択する。

ステップ３０３では、計算機２００が、Ｔｘの値の判定を実施し、Ｔｘ［ｉ−１］＜１ならばステップ３０４に、それ以外ならばステップ３０６に進む。換言すれば、Ｔｘの値が１年以上になれば、現在選択しているプロダクトについて、３６５日分の脆弱性情報の発生タイミングが算出されたのでステップ３０６に進む。

ステップ３０４では、計算機２００が乱数（または擬似乱数）Ｒを生成する。次に、計算機２００は、ステップ３０５で、前回の発生タイミングＣＴ＝Ｔｘ［ｉ−１］を取得してから、
Ｔｘ［ｉ］＝ＣＴ−Ｌｎ（Ｒ）／Ｅ（ｘ）
を計算する。

ここで、Ｅ（ｘ）は、プロダクト毎の脆弱性情報発生に関する確率分布関数に応じて、設定される。例えば、確率分布がポアソン分布の場合は、年間発生件数の平均値となる。ばらつきが大きい場合は、負の２項分布により、脆弱性発生をモデル化することもできる。また、ここで関数Ｌｎは、定数ｅを底とする対数（自然対数）を返す関数である。

そして、計算機２００は、カウンタ値ｉをインクリメントしてから、ステップ３０３に戻って上記処理を繰り返す。

ステップ３０６では、計算機２００が、脆弱性情報の発生タイミングを示す小数（単位年）Ｔｘを日付に変換する関数（ＣｈａｎｇｅＤａｔｅ関数）にて日付に変換し、プロダクト毎に脆弱性情報発生日リスト（図中ＯｃｃｕｒＰｒｏｄｕｃｔＬｉｓｔ）４０２を生成する。脆弱性情報発生日リスト４０２は、例えば、日付と、プロダクトＩＤをひとつのエントリに含むテーブルで構成することができる。

ステップ３０８では、計算機２００が、上記確率分布モデル１１２に設定されたすべてのプロダクトＩＤ１１２１について脆弱性情報発生日リスト４０２の生成を終了していれば、ステップ３０８で処理を終了する。

一方、すべてのプロダクトＩＤ１１２１について脆弱性情報発生日リスト４０２の生成が完了していなければ、次のプロダクトリストの発生タイミングをシミュレーションするため、上記ステップ３０１〜３０６を繰り返す。

以上の処理によって、確率分布モデル１１２に基づいて、１年間の脆弱性情報発生日リスト４０２がプロダクトＩＤ毎に生成される。

＜発生脆弱性情報のシミュレーション＞
図４は、脆弱性情報発生シミュレータ２１０が発生させた脆弱性情報の特性をシミュレーションする処理のフローチャートである。この処理は、図１に示したステップ１０２の一部で実行される。

計算機２００は、ステップ４００でＮ回目の処理を開始する。なお、Ｎは図１の処理のループの繰返し回数を示す。ステップ４０１では、計算機２００が初期値として、Ｄａｔｅ＝１月１日を代入する。

ステップ４０３では、計算機２００が、図３で生成したプロダクト毎の脆弱性情報発生日リスト４０２を読み込んで、Ｄａｔｅに該当する日付で脆弱性情報の発生があるか否かを判定し、発生があればステップ４０４に進み、発生が無ければ、ステップ４１１に進む。

ステップ４０４では、計算機２００が、現在のＤａｔｅで脆弱性情報を発生する発現プロダクトリスト（図中ＯｃｃｕｒＰｒｏｄｕｃｔＬｉｓｔ）をプロダクト毎の脆弱性情報発生日リスト４０２から生成する。発現プロダクトリストは、脆弱性情報テーブル５００を生成するための中間データであり、例えば、発生日付（Ｄａｔｅ）と、プロダクトＩＤ（Ｐｉｄ）を含む。

ステップ４０５では、計算機２００が、乱数Ｒを生成する。ステップ４０７では、計算機２００が、該当するプロダクトのパラメータをプロダクト毎の脆弱性特性の発生確率表４０６から読み込み、ステップ４０５で発生した乱数Ｒに対応する発生確率から、脆弱性特性を決定する。

ステップ４０８では、計算機２００が、現在のＤａｔｅで発生する脆弱性情報として、ステップ４０７で決定した脆弱性特性の脆弱性情報を生成し、Ｄａｔｅ（日付）と、プロダクトＩＤと、脆弱性特性と脆弱性情報テーブル５００に書き込む。なお、脆弱性情報テーブル５００の詳細については、図６で後述する。また、計算機２００は、同一の日付に、複数のプロダクトＩＤの脆弱性情報を書き込むことができる。

ステップ４０９では、計算機２００が、脆弱性情報発生日リスト４０２を参照して、現在のＤａｔｅで発生する他のプロダクトの脆弱性情報があれば、ステップ４０５に戻り、上記ステップ４０５〜４０８の処理を繰り返す。ここで、発生パラメータによっては、同一のプロダクトの脆弱性情報の発生もありうる。

ステップ４１０では、計算機２００が、Ｄａｔｅが１２月３１日となるまで、ステップ４１１からステップ４０３に戻って上記処理を繰り返す。ステップ４１１では、計算機２００が、Ｄａｔｅをインクリメントして翌日について上記の処理を繰り返す。ステップ４１２では、計算機２００が、上記の処理を終了する。

上記処理によって、脆弱性情報発生日リスト４０２の脆弱性情報の発生日について、プロダクトＩＤ毎に脆弱性特性を推定した脆弱性情報テーブル５００にエントリが追加される。すなわち、１年間分の脆弱性情報の発生日付（タイミング）とその特性が脆弱性情報テーブル５００に生成される。

ここで、脆弱性情報の発生の確率分布関数や脆弱性特性の発生確率表４０６については、ＩＰＡ（情報処理推進機構）や米国ＮＩＳＴ（国立標準技術研究所）にて整備している脆弱性情報データベースの情報から、年間発生件数やそれぞれの脆弱性特性の含有率により、モデル化して予め設定しておく。

また、脆弱性情報の年間発生件数に対しては、ポアソン分布や負の２項分布にて近似して、図３のフローチャートで示したように乱数により発生タイミングのばらつきをシミュレーションする。脆弱性特性については、ＣＶＳＳ（Ｃｏｍｍｏｎ Ｖｕｌｎｅｒａｂｉｌｉｔｙ Ｓｃｏｒｉｎｇ Ｓｙｓｔｅｍ）のベクトル値の組み合わせについて、統計的な割合に応じて、脆弱性特性が割り当てられるように乱数値により決定して、脆弱性情報を生成する。

本実施例の脆弱性特性の発生確率表４０６は、図３で示すように、ＣＶＳＳパターン４０６１と、プロダクトａの発生確率を格納するＰａ４０６２−１と、プロダクトｂの発生確率を格納するＰｂ４０６２−２からひとつのエントリが構成される例を示す。発生確率はプロダクトの数Ｐｎに応じて符号４０６２−ｎまで設定することができる。

＜データベース構成＞
図６は、本実施例の記憶装置２０３において、処理に必要な情報を記憶するデータベース６００の構成の一例を示す図である。

データベース６００は、脆弱性情報テーブル５００と、ネットワーク情報テーブル７００と、機器情報テーブル８００と、脆弱性状況管理テーブル９００と、攻撃シナリオテーブル６１０を含む。

図５は、シミュレーションで発生させる脆弱性情報５００の構成の一例を示す図である。脆弱性情報５００は、脆弱性をユニークに特定する識別子を格納する脆弱性ＩＤ５０１と、脆弱性ＩＤ５０１で特定された脆弱性によって影響を受けるソフトウェア（またはプロダクト）の識別子や名称を格納する影響ソフトウェア５０２と、脆弱性の攻撃されやすさとしてＣＶＳＳのベクトル情報を格納するＣＶＳＳ（脆弱特性）５０３と、脆弱性の種別を分類番号ＣＷＥ（Ｃｏｍｍｏｎ Ｗｅａｋｎｅｓｓ Ｅｎｕｍｅｒａｔｉｏｎ）等で格納するＣＷＥ（種別）５０４と、当該脆弱性がＥｘｐｌｏｉｔコード（攻撃手順）の公開される脆弱性であるか否か、また、Ｅｘｐｌｏｉｔコードが公開されたか否かの状態を格納するＥｘｐｌｏｉｔ状態識別子５０５と、脆弱性が発生した日時５０６からひとつのエントリが構成される。生成された脆弱性情報５００は記憶装置２０３に記憶される。

図７は、本実施例において予測対象のビジネスシステムを構成するネットワークの情報を定義するネットワーク情報テーブル７００の一例を示す図である。

ネットワーク情報テーブル７００は、ネットワークセグメントをユニークに特定する識別子を格納するネットワークセグメントＩＤ７０１と、ネットワークセグメントＩＤ７０１で特定されたネットワークセグメントに関連するネットワークセグメント情報７０２と、ネットワークセグメントＩＤ７０１で特定されたネットワークセグメントからメッセージが到達可能なセグメントの識別子を格納する可達セグメントＩＤリスト７０３と、ネットワークセグメントＩＤ７０１で特定されたネットワークセグメントの外部接続の有無を格納する外部接続性７０４からひとつのエントリが構成されている。

ネットワーク情報テーブル７００は、予測対象のビジネスシステム毎に予め設定されたデータである。

図８は本実施例において予測対象のビジネスシステムを構成する機器情報を定義する機器情報テーブル８００の一例を示す図である。

機器情報テーブル８００は、機器をユニークに特定する識別子を格納する機器ＩＤ８０１と、機器ＩＤ８０１で特定された機器に関する情報を格納する機器情報８０２と、機器ＩＤ８０１で特定された機器が所属（接続）しているネットワークセグメントのＩＤのリストを格納する接続セグメントＩＤリスト８０３と、機器ＩＤ８０１で特定された機器の種別を格納する機器種別８０４と、機器ＩＤ８０１で特定された機器にインストールされたソフトウェア（またはプロダクト）のリストを格納するソフトウェアリスト８０５でひとつのエントリが構成されている。

機器情報テーブル８００は、予測対象のビジネスシステム毎に予め設定されたデータである。

図９は本実施例において予測対象のビジネスシステムを構成する機器について検知された脆弱性情報の状況を管理する脆弱性状況管理テーブル９００の一例を示す図である。

脆弱性状況管理テーブル９００は、各機器で検知された脆弱性を一意に特定する識別子を格納する検知ＩＤ９０１と、検知ＩＤ９０１で特定された検知脆弱性の脆弱性情報を特定する識別子を格納する脆弱性ＩＤ９０２と、検知ＩＤ９０１で特定された検知脆弱性のある機器を特定する識別子を格納する機器ＩＤ９０３と、検知ＩＤ９０１で特定された検知脆弱性の対策状況を格納する対策状況９０４と、検知ＩＤ９０１で特定された検知脆弱性の状況が更新された更新日時９０５からひとつのエントリが構成されている。

ここで検知脆弱性の対策状況９０４としては、未対策、および、対策済みの２つの状況で定義される。なお、脆弱性状況管理テーブル９００は、損害発生シミュレータ２３０によって生成または更新される。

＜損害発生シミュレーション＞
図１０は本実施例において、損害発生シミュレータ２３０が、損害発生シミュレーションを行う処理の一例を示すフローチャートである。この処理は、図１に示したステップ１０４〜１０５の処理の詳細を示す。

計算機２００は、ステップ１０００でＮ回目の処理を開始する。なお、Ｎは図１の処理のループの繰返し回数を示す。次に、ステップ１００１では、計算機２００は、初期値として、Ｄａｔｅ＝１月１日を代入する。

ステップ１００２では、計算機２００が、脆弱性情報テーブル５００から、Ｄａｔｅに該当する脆弱性発生日時５０６と、脆弱性ＩＤ５０１と、影響ソフトウェア５０２と、Ｅｘｐｌｏｉｔ状態識別子５０５を読み込んで、現在のＤａｔｅで発生した脆弱性情報を検知する。

ステップ１００３では計算機２００が、脆弱性状況管理テーブル９００の対策状況９０４を参照して、検知された脆弱性情報に対して対策が講じられたか否かを判定する。対策が講じられていなければ、未対策の検知情報ありと判定してステップ１００４に進む。一方、検知された脆弱性情報に対して対策が講じられていれば、ステップ１０１５に進んで次のＤａｔｅについて上記処理を繰り返す。

なお、脆弱性情報に対する対策の有無の判定は、例えば、脆弱性状況管理テーブル９００の更新日時９０５が現在のＤａｔｅ以前で、対策状況９０４が「対策済み」であれば脆弱性に対して対策済みと判定することができる。

ステップ１００４では、計算機２００が、乱数Ｒ１を生成する。ステップ１００６では、計算機２００がＤａｔｅと予測対象のビジネスシステムの各機器に内在する脆弱性情報の発生日の差分（つまり、脆弱性情報の発生日からの経過日数）を計算する。

そして、計算機２００は、脆弱性発生日からＥｘｐｌｏｉｔコードが公開されるまでの経過日数に対する累積確率分布情報１００５を参照して、Ｅｘｐｌｏｉｔコード公開の発生確率に対して乱数Ｒ１が上回っているのであれば、Ｅｘｐｌｏｉｔコード発現として、該当する脆弱性にマークを設定する。

なお、経過日数に対する累積確率分布情報１００５は、脆弱性毎に時間の経過に応じて予め設定された損害発生確率モデルである。また、累積確率分布情報１００５は、予測対象のビジネスシステムにおけるセキュリティの運用状況によって脆弱性情報の発生日からの経過日数に対する損害発生確率が設定される。

ステップ１００７では、計算機２００が、新たにＥｘｐｌｏｉｔコードが発現した脆弱性があれば、ステップ１００８へ、無ければ、ステップ１０１５に進む。

ステップ１００８では、計算機２００が、Ｅｘｐｌｏｉｔコードが発現した脆弱性のみを対象に、機器毎に攻撃到達の可能性を評価する。

攻撃到達の可能性の評価は、前記特許文献１に記載された手法を用いることができ、ネットワーク情報テーブル７００の可達セグメントＩＤリスト７０３や、機器情報テーブル８００の接続セグメントＩＤリスト８０３から、機器間の周辺確率で算出し、攻撃（メッセージ）の到達可能性を評価する。

ステップ１００９では、計算機２００が、乱数Ｒ２を生成する。次に、ステップ１０１０では、計算機２００が、乱数Ｒ２を超える攻撃到達可能性の機器を特定する。なお、攻撃到達可能性は、前記特許文献１において、ベイジアンネットワークで計算される各ノード（機器）の周辺確率で表される。

ステップ１０１１では、計算機２００が、乱数Ｒ２を超える攻撃到達可能性の機器の有無を判定する。乱数Ｒ２を超える機器があった場合にはステップ１０１２へ進み、ない場合にはステップ１０１５に進む。

ステップ１０１２では、計算機２００が、機器毎にＣＩＡ（機密性：Ｃｏｎｆｉｄｅｎｔｉａｌｉｔｙ、完全性：Ｉｎｔｅｇｒｉｔｙ、可用性：Ａｖａｉｌａｂｉｌｉｔｙ）別の損害額表１０３０に基づき、攻撃到達と特定された機器と脆弱性のインパクトをＣＶＳＳベクトルから、ＣＩＡ別の損害額を算出し、損害を機器毎の損害発生記録１０２０に記録する。なお、損害額表１０３０は、予め設定されたテーブルである。

損害額表１０３０は、機器ＩＤ１０３１と、機密性に関する損害額が設定されたＣ１０３２と、完全性に関する損害額が設定されたＩ１０３３と、可用性に関する損害額が設定されたＡ１０３４を、ひとつのエントリに含む。

ステップ１０１１では、計算機２００が、ステップ１０１２の損害の露見に対して対策状況を後述するように反映する。ステップ１０１４では、計算機２００が、Ｄａｔｅが１２月３１日であれば、ステップ１０１６へ、それ以外であれば、ステップ１０１５へ進む。

ステップ１０１５では、計算機２００が、Ｄａｔｅをインクリメントし、ステップ１００２に戻り、上記処理を繰り返す。ステップ１０１６では、計算機２００が処理を終了する。

ここで、脆弱性情報の発生日からＥｘｐｌｏｉｔコードが公開されるまでの経過日数に対する確率分布１００５は、脆弱性情報の発生からの経過日数に対する、Ｅｘｐｌｏｉｔコードが公開された脆弱性情報の正規化累積ヒストグラムを生成することで、算出することができる。例えば、正規化ヒストグラム情報をテーブルやＣＳＶファイル（経過日数、正規化累積頻度）で保持しておく。

また、ステップ１０１１の損害発生時の対策状況の反映に対しては、ビジネスシステムを運用する組織毎に事前設定された対応手続きの内容によって異なる。例えば、以下のような事前設定の例が考えられる。

（ア）損害発生の有無に関わらず、公開された脆弱性について、脆弱性パッチや対策を定期的に行う手続きがある場合、対策間隔（定期保守の間隔など）が組織ごとに設定される。

（イ）攻撃の有無を検知する手段を講じており、損害の有無に関わらず、検知後、すみやかに対策を行うことが手続き化されている。検知及び対策手段として、ウィルスワクチンソフトやＩＤＳ（侵入検知システム）、ＷＡＦ（Ｗｅｂアプリケーションファイヤウォール）などがある。

（ウ）損害発生があった場合、対策手続きが決まっており、対策範囲が設定されている。

これらの対策状況に合わせて、計算機２００は、上記ステップ１０１３で脆弱性状況管理テーブル９００の対策状況９０４の内容を更新する。なお、計算機２００は、新たな脆弱性ＩＤであれば、脆弱性状況管理テーブル９００に新たなエントリを追加することができる。

以上の処理によって、乱数Ｒ２を超える攻撃到達可能性を有する機器について、予め設定された損害額表１０３０に基づいて、インシデントによる損害額が機器ごとの損害発生記録１０２０として生成される。

図１１は本実施例における損害予測部２４０が超過損害確率カーブあるいは再現期間を算出するフローチャートである。この処理は、図１のステップ１０７〜１０８で行われる。

ステップ１１００では、計算機２００が、処理を開始する。ステップ１１０１では、計算機２００が、初期値として、カウンタｎに０を代入する。ステップ１１０２では、計算機２００が、機器毎の損害発生記録１０２０を読み込んで各繰り返し回（Ｎ）のインシデントによる損害額を呼び出して、その総和を算出し、記録する。

ステップ１１０３では、計算機２００が、繰り返し計算を行ったＮ回分の総和の算出が完了していれば、ステップ１１０４に進み、完了していなければ、ステップ１１０７に進む。

ステップ１１０５では、計算機２００が、年間損害額が大きい順に繰り返し回Ｎを並び替える。ステップ１１０６では、計算機２００が、年間損害額が小さい繰り返し回の順に番号付け（ナンバリング）する。

ステップ１１０７では、計算機２００が、番号付けした番号が示す損害額がその損害が発生する再現期間となる。計算機２００は、縦軸を制限期間、横軸を損害額とするグラフを生成する。生成後、ステップ１１０８に進む。

ステップ１１０７では、計算機２００が、カウンタｎをインクリメントし、ステップ１１０２に戻る。ステップ１１０８では、処理を終了する。

ここで、上記ステップ１１０７において、超過損害確率カーブを生成する場合は、番号付けした数値Ｘとすると、超過確率Ｐを以下で算出する。

Ｐ＝（Ｎ−Ｘ）／Ｎ ・・・（数１）

計算機２００は、超過確率Ｐを縦軸に設定し、損害額を横軸とする超過損害確率カーブグラフを生成する。

＜画面構成例＞
図１２は、本実施例の脆弱性発生シミュレータ部１２００の画面構成の一例を示す図である。脆弱性情報発生シミュレータ２１０が生成する脆弱性発生シミュレータ部１２００の画面は、脆弱性発生コントローラ１２１０と、脆弱性発生状況モニタ１２２０と、脆弱性情報詳細確認部１２３０にて構成される。

脆弱性発生コントローラ１２１０は、インシデントの発生対象となるソフトウェアと発生数式モデル、その数式のパラメータを入力することができる。これらの対象ソフトウェアの追加または削除や、年間の脆弱性情報の発生の繰り返し回数の指定を行うことができる。

また、各ソフトウェアの脆弱性特性（ＣＶＳＳやＣＷＥ）に関する発生確率や、Ｅｘｐｌｏｉｔコードの発生確率などの詳細を設定することができる。さらに、これらの条件に従い、脆弱性発生処理を起動することができる。

脆弱性発生状況モニタ１２２０は、繰り返し回（Ｎ）毎に、月毎の脆弱性情報の発生件数のグラフを表示することができる。また、プルダウンメニュー１２２１により、各ソフトの内訳やＣＶＳＳ値の分類（Ｈｉｇｈ、Ｍｉｄｄｌｅ、Ｌｏｗ）や、ＣＷＥ分類や、Ｅｘｐｌｏｉｔコード発生の有無などの内訳にグラフの表示態様を切り替えることができる。

発生脆弱性情報詳細確認部１２３０は、発生した脆弱性情報をリスト表示することができる。脆弱性情報の項目として、ＣＶＥ−ＩＤ１２３１、対象ソフト１２３２、ＣＶＳＳベクトル１２３３、ＣＷＥ１２３４、Ｅｘｐｌｏｉｔコード発生の有無１２３５を表示することができる。

また、発生脆弱性情報詳細確認部１２３０は、リスト表示の範囲を絞り込むための条件入力フィールド１２３６を有する。絞込み条件として、繰り返し回、ソフトウェア名、発生月、ＣＶＥ−ＩＤ、脆弱性特性情報などが設定できるものとする。

図１３は、本実施例の損害発生シミュレータ部１３００の画面構成の一例を示す図である。損害発生シミュレータ２３０が生成する損害発生シミュレータ部１３００は、コントローラ部１３１０と、ＢＩＡ（Business Impact Analysis）分析パラメータ設定部１３２０と、組織対策状況パラメータ設定部１３３０と、結果モニタ部１３４０から構成される。

損害発生シミュレータコントローラ部１３１０は、繰り返し回数を指定し、シミュレーション実行開始を指示することができる。

ＢＩＡ分析パラメータ設定部１３２０は、機器毎の損害額へのインパクトをＣＩＡ（Ｃ：秘匿性侵害、Ｉ：完全性侵害、Ａ：可用性侵害）ごとに設定することができる。また、これらの設定をファイルから読み込み、または書き込みすることもできる。

また、機器毎の対策期間を設定できる。例えば、ＰＣはアップデートサービスによる即時対策、ＷｅｂやＤＢは、定期保守対策、制御機器は、半年ごとに対策するなどの設定を行う。

組織対策状況パラメータ設定部１３３０は、定期保守対策の期間や、組織検知能力（攻撃検知の平均時間）、組織防御能力（攻撃防御確率、損害額低減率）などを設定することができる。なお、組織防御能力は、予測対象のビジネスシステムが有するセキュリティ対策に応じて攻撃防御確率（損害の発生確率）を制御するパラメータとしてもよい。

結果モニタ部１３４０は、損害額の再現期間グラフや超過損害確率カーブグラフなどを選択して表示することができる。また、これらの結果をファイル出力することができる。

このように構成される本実施例によれば、ビジネスシステムの各機器の機能をなすソフトウェアの脆弱性情報の発行統計に基づいた脆弱性情報の発行をトリガとして、ビジネスシステムの機器のネットワークトポロジに応じた攻撃到達性に基づいた各機器の損害発生をシミュレーションすることができる。したがって、本発明により、年間の損害発生をモンテカルロ法にて繰り返し評価することで、超過損害確率カーブを算出することができる。これにより、サイバーインシデントによる損害額の規模とその発生確率を提示することで、ビジネス継続上のリスクとして経営層が的確にハンドリングすることができる。

＜実施例の拡張例＞
これまでの本実施例において、攻撃者の意図を考慮せず、機器の脆弱性と機器のネットワークトポロジによる攻撃の到達可能性のみで損害をシミュレーションしているが、ビジネスシステムの特性に応じて、攻撃シナリオを設定して、サイバー攻撃による損害発生をシミュレーションしても良い。

例えば、予測対象のビジネスシステムがＷｅｂサービスの場合、インターネットからの攻撃については、インターネットからの侵入を攻撃シナリオとして、ビジネスシステムへの侵入による個人データ詐取損害を想定した損害発生をＢＩＡ分析結果に反映し、攻撃起点をインターネット境界に設定し、損害発生をシミュレーションする。

なお、攻撃シナリオとしては、図６のデータベース６００に格納された攻撃シナリオテーブル６１０を用いることができる。攻撃シナリオテーブル６１０は、図１４で示すように、攻撃シナリオＩＤ６１１と、攻撃の種別・名前６１２と、攻撃起点６１３、攻撃目的６１４とをひとつのエントリに含む予め設定されたテーブルである。ここで、攻撃起点６１３で設定された攻撃起点からの攻撃到達可能性を評価し、攻撃目的で示されたＣＩＡへの損害を算定することで、損害発生をシミュレーションする。

また、ＩＩｏＴ（Industrial Internet of Things）の場合は、インターネットからの侵入の他に、作業員ＰＣへのランサムウェア感染によるＤｏＳ攻撃を想定した事業継続に関する損害発生をＢＩＡ分析結果に反映するとともに、攻撃起点をインターネット境界および作業員ＰＣに設定し、損害発生をシミュレーションする。

＜まとめ＞
また、これまでの本実施の形態において、機器の脆弱性の有無により攻撃成功の可否を判定していたが、対策の有無により攻撃成功の可否を考慮することも可能である。例えば、ウィルスワクチンソフトの導入の有無とそのパターンファイルの更新ルールにより、脆弱性を利用した攻撃の成功確率を設定することで、損害発生の阻止をシミュレーションする。また、インターネット境界へのＦＷやＩＤＳ、ＷＡＦの導入と、それらのシグネチャ更新等に関する運用ルールにより、内部の機器へのインターネットを介した脆弱性攻撃の成功確率を設定することで、インターネットからの攻撃による損害発生をシミュレーションする。

これらの対策状況を本実施の形態では、組織対策状況パラメータ設定部１３３０では、組織検知能力として攻撃検知できるまでの期間を設定したり、組織防御能力として、攻撃防御に成功する確率として設定することで、損害発生シミュレーションの乱数に重み付けすることで、損害発生をシミュレーションする。

なお、本発明は上述の実施例に限定されるものではなく、様々な変形例が含まれる。例えば、上記した実施例は本発明を分かりやすく説明するために詳細に説明したものであり、必ずしも説明した全ての構成を備えるものに限定されるものではない。

実施例の各構成、機能、処理部、処理手段等は、それらの一部又は全部を、例えば集積回路で設計する等によりハードウェアで実現してもよい。上記の各構成、機能等は、プロセッサがそれぞれの機能を実現するプログラムを解釈し、実行することによりソフトウェアで実現してもよい。各機能を実現するプログラム、テーブル、ファイル等の情報は、メモリや、ハードディスク、ＳＳＤ等の記録装置、または、ＩＣカード、ＳＤカード、ＤＶＤ等の記録媒体に置くことができる。

制御線や情報線は説明上必要と考えられるものを示しており、製品上必ずしも全ての制御線や情報線を示しているとは限らない。実際には殆ど全ての構成が相互に接続されていると考えてもよい。

２００ 計算機
２０１ ＣＰＵ
２０２ メモリ
２０３ 記憶装置
２０４ 入力装置
２０５ 出力装置
２０６ 通信装置
２１０ 脆弱性情報発生シミュレータ
２２０ 脆弱性リスク評価部
２３０ 損害発生シミュレータ
２４０ 損害予測部

Claims (15)

1. プロセッサとメモリを有する計算機で、所定のビジネスに関する処理を実行する予測対象システムのサイバー攻撃による損害を予測する損害予測方法であって、
   前記プロセッサが、前記予測対象システムで使用されるソフトウェア毎の脆弱性モデルを読み込んで、脆弱性情報の発生日と脆弱性の特性を生成する第１のステップと、
   前記プロセッサが、前記予測対象システムを構成する要素のネットワークトポロジ情報に基づいて、前記要素へ前記脆弱性を使った攻撃が到達するリスクを評価する第２のステップと、
   前記プロセッサが、前記脆弱性情報の発生日からの時間経過に対する発生確率モデルに基づいて、前記脆弱性に対する攻撃の発生を判定する第３のステップと、
   前記プロセッサが、前記脆弱性に対する攻撃が発生したと判定した場合には、前記リスクの評価の結果と、各要素に対する攻撃による損害の発生を予測する第４のステップと、
   前記プロセッサが、前記脆弱性に対して前記予測対象システムの対策状況を反映する第５のステップと、
   前記プロセッサが、乱数を生成して前記第１のステップから前記第５のステップを所定の回数まで繰り返して実行する第６のステップと、
   を含むことを特徴とする損害予測方法。
2. 請求項１に記載の損害予測方法であって、
   前記第３のステップは、
   前記脆弱性情報の特性に応じて前記発生確率モデルが設定されることを特徴とする損害予測方法。
3. 請求項１に記載の損害予測方法であって、
   前記第４のステップは、
   前記要素の種類と脆弱性の特性に応じて損害額を算出することを特徴とする損害予測方法。
4. 請求項１に記載の損害予測方法であって、
   前記第１のステップは、
   前記ソフトウェア毎に前記脆弱性が発生する確率分布を予め設定したことを特徴とする損害予測方法。
5. 請求項１に記載の損害予測方法であって、
   前記第４のステップは、
   前記予測対象システムのセキュリティの有無に応じて損害が発生する確率を制御することを特徴とする損害予測方法。
6. 請求項１に記載の損害予測方法であって、
   前記第３のステップは、
   前記予測対象システムにおけるセキュリティの運用状況によって脆弱性発生からの経過日数に対する損害発生確率が設定されることを特徴とする損害予測方法。
7. 請求項１に記載の損害予測方法であって、
   前記プロセッサが、所定の回数までの繰り返し毎の損害額の総和を算出し、前記総和に基づいて超過損害確率を算出する第７のステップをさらに含むことを特徴とする損害予測方法。
8. プロセッサとメモリを含む計算機で、所定のビジネスに関する処理を実行する予測対象システムのサイバー攻撃による損害を予測する損害予測システムであって、
   前記予測対象システムで使用されるソフトウェア毎の脆弱性モデルを読み込んで、脆弱性情報の発生日と脆弱性の特性を生成する脆弱性情報発生シミュレータと、
   前記予測対象システムを構成する要素のネットワークトポロジ情報に基づいて、前記要素へ前記脆弱性を使った攻撃が到達するリスクを評価する脆弱性リスク評価部と、
   前記脆弱性情報の発生日からの時間経過に対する発生確率モデルに基づいて、前記脆弱性に対する攻撃の発生を判定し、前記脆弱性に対する攻撃が発生したと判定した場合には、前記リスクの評価の結果と、各要素に対する攻撃による損害の発生を予測し、前記脆弱性に対して前記予測対象システムの対策状況を反映する損害発生シミュレータと、
   乱数を生成して前記脆弱性情報発生シミュレータと、前記脆弱性リスク評価部と、前記損害発生シミュレータの処理を所定の回数まで繰り返して実行する損害予測部と、
   を有することを特徴とする損害予測システム。
9. 請求項８に記載の損害予測システムであって、
   前記損害発生シミュレータは、
   前記脆弱性情報の特性に応じて前記発生確率モデルが設定することを特徴とする損害予測システム。
10. 請求項８に記載の損害予測システムであって、
    前記損害発生シミュレータは、
    前記要素の種類と脆弱性の特性に応じて損害額を算出することを特徴とする損害予測システム。
11. 請求項８に記載の損害予測システムであって、
    前記脆弱性情報発生シミュレータは、
    前記ソフトウェア毎に前記脆弱性が発生する確率分布を予め設定することを特徴とする損害予測システム。
12. 請求項８に記載の損害予測システムであって、
    前記損害発生シミュレータは、
    前記予測対象システムのセキュリティの有無に応じて損害が発生する確率を制御することを特徴とする損害予測システム。
13. 請求項８に記載の損害予測システムであって、
    前記損害発生シミュレータは、
    前記予測対象システムにおけるセキュリティの運用状況によって脆弱性発生からの経過日数に対する損害発生確率が設定されることを特徴とする損害予測システム。
14. 請求項８に記載の損害予測システムであって、
    前記損害予測部は、
    所定の回数までの繰り返し毎の損害額の総和を算出し、前記総和に基づいて超過損害確率を算出することを特徴とする損害予測システム。
15. プロセッサとメモリを有する計算機で、所定のビジネスに関する処理を実行する予測対象システムのサイバー攻撃による損害を予測させるためのプログラムであって、
    前記予測対象システムで使用されるソフトウェア毎の脆弱性モデルを読み込んで、脆弱性情報の発生日と脆弱性の特性を生成する第１のステップと、
    前記予測対象システムを構成する要素のネットワークトポロジ情報に基づいて、前記要素へ前記脆弱性を使った攻撃が到達するリスクを評価する第２のステップと、
    前記脆弱性情報の発生日からの時間経過に対する発生確率モデルに基づいて、前記脆弱性に対する攻撃の発生を判定する第３のステップと、
    前記脆弱性に対する攻撃が発生したと判定した場合には、前記リスクの評価の結果と、各要素に対する攻撃による損害の発生を予測する第４のステップと、
    前記脆弱性に対して前記予測対象システムの対策状況を反映する第５のステップと、
    乱数を生成して前記第１のステップから前記第５のステップを所定の回数まで繰り返して実行する第６のステップと、
    を前記計算機に実行させるためのプログラム。

Images