JP7019533B2 - 攻撃検知装置、攻撃検知システム、攻撃検知方法および攻撃検知プログラム - Google Patents

Description

本願は、攻撃検知装置、攻撃検知システム、攻撃検知方法および攻撃検知プログラムに関するものである。

近年、サイバー攻撃は高度化されつつあり、従来のファイアウォール、侵入検知システム（ＩＤＳ：Ｉｎｔｒｕｓｉｏｎ Ｄｅｔｅｃｉｏｎ Ｓｙｓｔｅｍ）または侵入防御システム（ＩＰＳ：Ｉｎｔｒｕｓｉｏｎ Ｐｒｅｖｅｎｔｉｏｎ Ｓｙｓｔｅｍ）といったセキュリティ機器の配備による入口対策だけでは防ぎきることが難しくなっている。高度化したサイバー攻撃の対策の１つに、セキュリティ情報およびイベント管理（ＳＩＥＭ：Ｓｅｃｕｒｉｔｙ Ｉｎｆｏｒｍａｔｉｏｎ ａｎｄ Ｅｖｅｎｔ Ｍａｎａｇｅｍｅｎｔ）と呼ばれるシステムがある。ＳＩＥＭとは、監視対象システム内にある計算機、サーバ、およびルータ等のネットワーク機器、ファイアウォールまたはＩＤＳ／ＩＰＳといったセキュリティ機器が出力したログを相関分析することで、サイバー攻撃を検知するシステムである。

しかしながら、ＳＩＥＭでは検索対象の全ログを読み込んで相関分析を行うため、監視対象システムの内部に多数の機器がある場合および並行して複数のサイバー攻撃を検知する場合に処理負荷が増大することになる。その場合、実時間では処理ができないという課題があった。

この課題を解決するために、不正通信を行うサイバー攻撃の検知において、監視対象システムの内部の機器からブラックリストにある通信先と通信した回数をカウントしておき、期間内に一定回数以上の通信が行われた場合に、サイバー攻撃を検知するといった手法が開示されている（例えば、特許文献１参照）。

特開２０１５－１７９９７９号公報

上記特許文献１においては、ブラックリストにある通信先と通信した回数に応じてサイバー攻撃の検知を行うため、検知の実行回数を減らして、実時間での処理を可能としている。しかしながら、通信が一定回数以上行われるサイバー攻撃を想定しているため、監視対象システムの内部で行われる外部との通信を伴わないサイバー攻撃および通信頻度が低いサイバー攻撃の検出ができないという課題があった。また、ブラックリストを使用するため未知の通信先からのサイバー攻撃を検出できないという課題もあった。

本願は前記のような課題を解決するためになされたものであり、外部との通信を伴わないサイバー攻撃および未知の通信先からのサイバー攻撃を含む脆弱性を悪用したサイバー攻撃を外部のシステムから得られた脆弱性情報を元に早期に検知し、検知ルールに従ったログの相関分析を行う実行周期を調整して処理負荷を低減することを目的とする。

本願に開示される攻撃検知装置は、複数の構成機器を備えた監視対象システムで発生したログが格納されているログＤＢと、構成機器とログの相関分析の条件とが記録された検知ルールが格納されている検知ルールＤＢと、検知ルールに従ったログの相関分析を予め定められた実行周期で行うことによりサイバー攻撃を検知して出力する検知エンジンと、を備えた攻撃検知装置において、攻撃検知装置で過去に検知した脆弱性情報が格納されている脆弱性情報記録ＤＢと、新規の脆弱性情報を取得する脆弱性情報取得部と、複数の構成機器に関する構成情報が格納されている構成情報ＤＢと、新規の脆弱性情報と構成情報とから脆弱性のある構成機器を対象機器として判定する対象機器判定部と、対象機器判定部の判定結果と検知ルールＤＢに格納された検知ルールとから対象機器と構成機器とが一致する検知ルールを判定する検知ルール判定部と、新規の脆弱性情報から脆弱性のリスク値を計算するリスク値計算部と、リスク値が高まるのに応じて、検知ルール判定部で判定した検知ルールに従ったログの相関分析を行う実行周期が縮まるように更新する実行周期更新部とを備えたものである。

本願に開示される攻撃検知装置によれば、脆弱性を悪用したサイバー攻撃を早期に検知することができ、検知ルールに従ったログの相関分析を行う実行周期を調整して処理負荷を低減することができる。

実施の形態１に係る攻撃検知装置を含むシステム構成図である。 攻撃検知装置のハードウエアの一例を示す構成図である。 実施の形態１に係る攻撃検知装置の処理を示すフローチャートである。 実施の形態１に係る脆弱性情報を示す図である。 実施の形態１に係る構成情報を示す図である。 実施の形態１に係る検知ルールを示す図である。 実施の形態１に係るリスク値の計算方法を示す図である。 実施の形態１に係る検知ルールの実行周期の更新内容を示す図である。 実施の形態１に係る検知ルールの実行周期を変更した場合の検知ルールの実行タイミングを示す図である。 実施の形態２に係る攻撃検知装置のシステム構成図である。 実施の形態２に係る攻撃検知装置の処理を示すフローチャートである。 実施の形態２に係る攻撃シナリオを示す図である。 実施の形態３に係る脆弱性情報の項目を示す図である。 実施の形態３に係るリスク値の計算方法を示す図である。 実施の形態４に係る構成情報を示す図である。 実施の形態４に係る脆弱性情報の項目を示す図である。 実施の形態４に係るリスク値の計算方法を示す図である。

以下、実施の形態の攻撃検知装置を図に基づいて説明するが、各図において同一、または相当部材、部位については同一符号を付して説明する。

実施の形態１．
図１は実施の形態１に係る攻撃検知装置１００を含むシステム構成図である。攻撃検知装置１００は、監視対象システム２００、脆弱性情報公開システム３００、および監視端末４００と接続されている。攻撃検知システム５００は、攻撃検知装置１００と監視端末４００とで構成される。攻撃検知装置１００はサイバー攻撃を検知する機能を有した装置であり、監視対象システム２００の内部で発生するログを収集し、予め定められた実行周期にて検知ルールに従ったログの相関分析を行うことでサイバー攻撃を検知し、検知した結果を監視端末４００に出力する。監視対象システム２００は、計算機、サーバ、ネットワーク機器、セキュリティ機器などの複数の構成機器を備えた情報システムである。なお、図１において複数の構成機器は、機器Ａ～機器Ｃとして示す。脆弱性情報公開システム３００は、攻撃検知装置１００の外部に設置されたシステムで、ソフトウェア（以下、Ｓ／Ｗと記す）の脆弱性情報を公開するシステムである。監視端末４００は、攻撃検知装置１００から出力されたサイバー攻撃の検知結果を表示する端末であり、監視員が使用する。

攻撃検知装置１００は、４つのデータベース（以下、ＤＢと記す。脆弱性情報記録ＤＢ１０７、構成情報ＤＢ１０８、検知ルールＤＢ１０９、ログＤＢ１１０）と、検知ルールに従ったログの相関分析を行う実行周期（以下、検知ルールの実行周期と記す）の更新に係る脆弱性情報取得部１０１、対象機器判定部１０２、検知ルール判定部１０３、リスク値計算部１０４、実行周期更新部１０５と、検知エンジン１０６とを備える。

ログＤＢ１１０には監視対象システム２００で発生したログが格納され、検知ルールＤＢ１０９には機器Ａ～Ｃとログの相関分析の条件が記録された検知ルールが格納されている。検知エンジン１０６は、後述する実行周期の更新が可能な予め定められた実行周期にて検知ルールに従ったログの相関分析を行うことによりサイバー攻撃を検知し、検知した結果を監視端末４００に出力する。

攻撃検知装置１００は、ハードウエアの一例を図２に示すように、プロセッサ１１１と記憶装置１１２から構成される。記憶装置１１２は、図示していないが、ランダムアクセスメモリ等の揮発性記憶装置と、フラッシュメモリ等の不揮発性の補助記憶装置とを具備する。また、フラッシュメモリの代わりにハードディスクの補助記憶装置を具備してもよい。プロセッサ１１１は、記憶装置１１２から入力されたプログラムを実行する。この場合、補助記憶装置から揮発性記憶装置を介してプロセッサ１１１にプログラムが入力される。また、プロセッサ１１１は、演算結果等のデータを記憶装置１１２の揮発性記憶装置に出力してもよいし、揮発性記憶装置を介して補助記憶装置にデータを保存してもよい。

次に、攻撃検知装置１００における検知ルールの実行周期の更新動作について説明する。図３は、検知ルールの実行周期を更新する処理を示すフローチャートである。脆弱性情報記録ＤＢ１０７には、攻撃検知装置１００で過去に検知した脆弱性情報が格納されている。脆弱性情報取得部１０１は、脆弱性情報公開システム３００から脆弱性情報を取得する（ステップＳ１００）。なお、脆弱性情報公開システム３００は一般的にウェブで脆弱性情報が公開されているシステムであり、例えば情報処理推進機構（ＩＰＡ）により運営されているＪＶＮｉＰｅｄｉａである。脆弱性情報には、例えば図４に示すように、脆弱性の概要、対象となるＳ／ＷとＳ／Ｗのバージョン、影響度などが記録されている。脆弱性情報取得部１０１は、過去の脆弱性情報を元に取得した脆弱性情報が新規の脆弱性情報かどうかを判定する（ステップＳ１０１）。判定において、取得した脆弱性情報が新規の脆弱性情報であった場合は、取得した新規の脆弱性情報を脆弱性情報記録ＤＢ１０７に記録するとともに、対象機器判定部１０２に通知する（ステップＳ１０２）。ステップＳ１００からステップＳ１０２が脆弱性情報取得ステップとなる。取得した脆弱性情報が過去の脆弱性情報と同じであった場合は、実行周期の更新は行わずに更新動作を終了する。

構成情報ＤＢ１０８には、機器Ａ～Ｃに関する構成情報が格納されている。例えば構成情報には、図５に示すように、構成機器とその機器で動作しているＳ／ＷとＳ／Ｗのバージョンが記録されている。対象機器判定部１０２では、通知された新規の脆弱性情報と構成情報とから脆弱性のある機器が監視対象システム２００内で使用されているかを判定するステップを行う（ステップＳ１０３）。判定において、脆弱性のある機器が使用されている場合は、使用されている機器を対象機器として判定し、脆弱性情報と対象機器を検知ルール判定部１０３に通知する。図４に示した脆弱性情報および図５に示した構成情報においては、脆弱性の対象となるＳ／Ｗ（ＨｏｇｅＳｏｆｔｗａｒｅ Ｖｅｒ１．１）が機器Ａで動作しているため、機器Ａが脆弱性のある対象機器として判定される。脆弱性のある機器が使用されていない場合は、実行周期の更新は行わずに更新動作を終了する。

検知ルール判定部１０３では、通知された対象機器判定部１０２の判定結果と検知ルールＤＢ１０９に格納されている検知ルールとから対象機器と機器Ａ～Ｃとを比較し、これらが一致する検知ルールを関連する検知ルールとして判定するステップを行う（ステップＳ１０４）。検知ルールには、例えば図６に示すように、機器Ａと機器Ａのログの相関分析の条件が記録されている。相関分析の条件の例としては、ログイン失敗回数ｎ回発生（ｎ値は条件設定時に決定）、またはログａ５回連続発生後にログｂ発生などがあるが、これらに限るものではない。判定において、関連する検知ルールがあった場合は脆弱性情報をリスク値計算部１０４に通知する。ここでは対象機器が機器Ａであり、図６に示した検知ルールでは構成機器が機器Ａで双方が機器Ａで一致するため、検知ルール判定部１０３は図６の検知ルールを関連する検知ルールとして判定し、リスク値計算部１０４に通知する。関連する検知ルールがない場合は、実行周期の更新は行わずに更新動作を終了する。

リスク値計算部１０４では、通知された脆弱性情報から脆弱性のリスク値を計算し、計算したリスク値を実行周期更新部１０５に通知するステップを行う（ステップＳ１０５）。例えばリスク値の計算方法には、図７に示すように、脆弱性情報に含まれる影響度の項目を影響度に応じたリスク値に変換する方法がある。ここでは影響度が大きいほど、大きい自然数をリスク値として付与している。また、図７ではリスク値を１～３の３段階としているがこれに限るものではなく、監視対象システム２００に応じてさらに複数の段階に変更しても構わない。

実行周期更新部１０５では、通知されたリスク値を元に検知ルール判定部１０３で判定した関連する検知ルールの実行周期を更新するステップを行う（ステップＳ１０６）。例えば検知ルールの実行周期の更新内容は、図８に示すように、得られたリスク値に応じて実行周期を１／Ｎ（Ｎは自然数）に更新する。図７ではリスク値をリスクが高まるほど大きい自然数としたので、図８ではＮに図７で計算したリスク値を代入して更新する実行周期としている。リスク値が高まるほどＮの値を大きくすることで実行周期が縮まるように更新されるため、サイバー攻撃の検知を早めることができる。検知ルールの実行周期の更新により、更新動作を終了する。

なお、Ｎを自然数ではない値として実行周期を更新した場合、サイバー攻撃の検知が遅くなることがある。図９は、検知ルールの実行周期を変更した場合の検知ルールの実行タイミングの１例を示す図である。ここでは検知ルールの実行周期を１／２（Ｎ＝２）、もしくは２／３（Ｎ＝１．５）としている。実行周期更新前は、図９の上段に示した１の時点でサイバー攻撃を検知している。実行周期を１／２とした場合、検知ルールの実行タイミングは図９の中段に示した２または３となり、サイバー攻撃発生がＢのタイミングでは更新周期変更前と同じ３の時点で、サイバー攻撃発生がＡのタイミングでは更新周期変更前よりも早い２の時点でサイバー攻撃を検知することができる。しかし、実行周期を２／３とした場合、検知ルールの実行タイミングは図９の下段に示した４もしくは５となるため、５の時点のように変更前の１の時点よりもサイバー攻撃を検知するタイミングが遅くなることがある。サイバー攻撃を検知するタイミングが遅くなることを避けるために、Ｎを自然数として実行周期を更新する。

更新した実行周期を元に戻す方法としては、例えばＳ／Ｗのバージョンアップによる方法または脆弱性が解消された場合に手動で更新周期を戻す方法などがあるが、これらの方法に限るものではない。また、本実施の形態では検知ルールと構成機器を関連付けて対象機器に関連する検知ルールの実行周期を更新しているがこれに限るものではなく、検知ルールとＳ／Ｗを関連付けても構わない。

以上のように、この攻撃検知装置１００では外部のシステムから得られた新規の脆弱性情報を元にリスク値を計算し、リスク値の高い脆弱性に関連する検知ルールを高頻度で実行するように実行周期を更新するため、脆弱性を悪用したサイバー攻撃を早期に検知することできる。また、サイバー攻撃検知のセキュリティを確保したまま検知ルールの実行回数を減らすことができるため、攻撃検知装置の処理負荷を低減することができる。

なお、攻撃検知装置１００が実行する処理についてコンピュータが実行可能な言語で記述したプログラムを作成でき、コンピュータがプログラムを実行することにより、上記実施の形態と同等の効果を得ることができる。

実施の形態２．
実施の形態２における攻撃検知装置１００の構成と動作について説明する。図１０は実施の形態２に係る攻撃検知装置１００を含むシステム構成図で、図１１は攻撃検知装置１００の検知ルールの実行周期を更新する処理を示すフローチャートである。実施の形態１では検知ルールの実行周期を更新することでサイバー攻撃検知のセキュリティの確保および処理負荷の低減を実現していたが、脆弱性によって引き起こされる事象がログに残らない場合は個々の検知ルールの実行周期を上げても脆弱性を悪用したサイバー攻撃の検知ができないため、実施の形態２では攻撃シナリオに基づいて、特定のサイバー攻撃に関連する一連の検知ルールの実行周期をまとめて更新するものである。なお、他の構成については、実施の形態１の記載と同様であるため同一の符号を付して説明を省略する。

攻撃検知装置１００は、図１０に示すように、図１に示した攻撃検知装置１００に攻撃シナリオＤＢ６００を加えて５つのＤＢを備えたものである。他の構成は図１と同様である。攻撃シナリオＤＢ６００は、サイバー攻撃の攻撃フェーズ毎の内容と検知方法と構成機器と検知ルールとが記録された攻撃シナリオを格納する。

次に、攻撃検知装置１００における検知ルールの実行周期の更新動作について、図１１を参照して説明する。なお、脆弱性情報の取得から脆弱性の対象機器が監視対象システム内で使用されているかを判定するまでのステップＳ１００からステップＳ１０３の処理は実施の形態１と同様であるため、説明を省略する。

検知ルール判定部１０３では、通知された対象機器判定部１０２の判定結果と攻撃シナリオＤＢ６００に格納されている攻撃シナリオとから対象機器（実施の形態１と同様に機器Ａとする）と構成機器とを比較し、これらが一致する攻撃シナリオを関連する攻撃シナリオとして判定するステップを行う（ステップＳ２００）。例えば攻撃シナリオには、図１２に示すように、サイバー攻撃を何段階かのフェーズに分類して、各フェーズの内容、検知方法、構成機器及び検知ルールが記録されている。図１２は、機器Ａのデータ漏えいを行うサイバー攻撃を侵入、感染、攻撃、外部通信の４段階のフェーズに分類した攻撃シナリオの例である。判定において、関連する攻撃シナリオがあった場合は脆弱性情報をリスク値計算部１０４に通知する。関連する攻撃シナリオがない場合は、実行周期の更新は行わずに更新動作を終了する。

リスク値計算部１０４では、通知された脆弱性情報から脆弱性のリスク値を計算し、計算したリスク値を実行周期更新部１０５に通知するステップを行う（ステップＳ１０５）。リスク値の計算方法は実施の形態１と同様であるため、説明を省略する。

実行周期更新部１０５では、通知されたリスク値が高まるのに応じて検知ルール判定部１０３で判定した関連する攻撃シナリオに紐付いた一連の検知ルールの実行周期が縮まるように更新するステップを行う（ステップＳ２０１）。図１２の例では攻撃シナリオの構成機器に機器Ａが存在するため、検知ルール（１）～（５）が一連の検知ルールとなり、機器Ａおよびファイアウォールの双方の検知ルールが一連の検知ルールとなる。この場合、機器Ａの検知ルールだけでなくファイアウォールの検知ルールの実行周期も変更されるため、サイバー攻撃の早期検知が可能となる。検知ルールの実行周期の更新内容は、実施の形態１と同様なため説明を省略する。実行周期の更新により、更新動作を終了する。

なお、本実施の形態では攻撃シナリオと構成機器を関連付けて対象機器に関連する攻撃シナリオに紐付いた一連の検知ルールの実行周期を更新しているがこれに限るものではなく、攻撃シナリオとＳ／Ｗを関連付けても構わない。

以上のように、この攻撃検知装置１００では攻撃シナリオＤＢ６００に格納された攻撃シナリオに基づいて、特定のサイバー攻撃に関連する一連の検知ルールの実行周期をまとめて更新するため、脆弱性によって引き起こされる事象がログに残らない場合でも、脆弱性を悪用したサイバー攻撃を早期に検知することができる。

実施の形態３．
実施の形態３における攻撃検知装置１００の動作について説明する。実施の形態１では脆弱性情報に含まれる影響度のみの項目から脆弱性のリスク値を計算していたが、脆弱性情報に複数の項目がある場合には脆弱性の実態に合った適切なリスク値の計算ができなくなるおそれがあるため、実施の形態３では脆弱性情報に含まれる複数の脆弱性に係る項目を利用してリスク値を計算するものである。なお、実施の形態３におけるシステム構成図およびフローチャートは実施の形態１と同様である。

攻撃検知装置１００の検知ルールの実行周期の更新動作における脆弱性のリスク値の計算方法について、図１３、図１４を参照して説明する。図１３は脆弱性情報の脆弱性に係る項目を示す図で、図１４はリスク値の計算方法を示す図である。例えば脆弱性に係る項目は、図１３に示すように、機密性への影響度、完全性への影響度、可用性への影響度、攻撃条件の複雑度という４つが設けられ、それぞれの項目のリスクの程度の段階は高、中、低の３段階とし、各影響度については懸念されるリスクが高いほど大きい自然数（ここでは１～３）をリスク値として付与している。リスク値の計算方法は、図１４に示すように、まず脆弱性情報にある機密性への影響度、完全性への影響度、可用性への影響度の３つ項目の最大値を脆弱性の影響度として定義し、攻撃条件の複雑度と脆弱性の影響度を乗じた値をリスク値とする。例えば、攻撃条件の複雑度が低（容易に攻撃可能で付与した数値は３）で影響度が高い脆弱性（付与した数値は３）の場合、リスク値の計算結果は９で最大となる。逆に、攻撃条件の複雑度が高（攻撃が難しく付与した数値は１）で影響度の低い脆弱性（付与した数値は１）の場合、リスク値の計算結果は１で最小となる。このような計算方法とすることで、脆弱性の実体に合わせたリスク値の計算が可能となる。

なお、本実施の形態で示した脆弱性情報の項目およびリスク値の計算方法は１例でこれに限るものではなく、得られる脆弱性情報の項目、監視対象システム２００に応じて変更しても構わない。

以上のように、この攻撃検知装置１００では脆弱性情報に含まれる複数の脆弱性に係る項目を利用してリスク値を計算するため、脆弱性の実体に合わせてリスク値を計算することができる。

実施の形態４．
実施の形態４における攻撃検知装置１００の動作について説明する。実施の形態１では脆弱性情報だけからリスク値を計算しており、各構成機器の役割に関わらず動作Ｓ／Ｗが同じ構成機器のリスク値は同じと考えられていたが、例えば重要データを格納するデータベースサーバと負荷分散のために多重化されているアプリケーションサーバのように役割の異なる構成機器ではサイバー攻撃を受けた際のシステムへの影響度が変わるため、実施の形態４では構成機器の役割から情報資産価値を事前に定義しておき、構成機器の情報資産価値と脆弱性情報を元にリスク値を計算するものである。なお、実施の形態４におけるシステム構成図およびフローチャートは実施の形態１と同様である。

攻撃検知装置１００の検知ルールの実行周期の更新動作における脆弱性のリスク値の計算方法について、図１５～図１７を参照して説明する。図１５は構成情報ＤＢ１０８に格納された構成情報を示す図で、図１６は脆弱性情報の脆弱性に係る項目を示す図で、図１７はリスク値の計算方法を示す図である。例えば構成情報には、図１５に示すように、構成機器とその機器で動作しているＳ／ＷとＳ／Ｗのバージョンに加えて、情報資産価値が記録されている。情報資産価値は、各構成機器において機密性、完全性、可用性の３つの観点で、それぞれ高、中、低の３段階で設定されたものである。例えば、データベースサーバのように、格納されているデータの漏えいおよび改ざんが問題となる構成機器では、機密性、完全性の項目が高く設定され、セキュリティ機器のようにデータは保持しないが常時稼働していることが重要になる構成機器では可用性の項目が高く設定される。図１５に示した構成機器は前者に相当するため、機密性、完全性の項目を高く設定している。

例えば脆弱性に係る項目は、図１６に示すように、機密性への影響度、完全性への影響度、可用性への影響度という３つが設けられ、それぞれの項目のリスクの程度の段階は高、中、低の３段階とし、各影響度については段階が高いほど大きい自然数（ここでは１～３）をリスク値として付与している。リスク値の計算方法は、図１７に示すように、対象機器として判定された構成機器において、まず機密性、完全性、可用性のそれぞれについて、情報資産価値と脆弱性情報の影響度を乗じて情報資産への影響度を計算する。次に機密性、完全性、可用性のそれぞれの情報資産への影響度の中で、最大値をリスク値とする。このような計算方法とすることで、例えば機密性への影響の高い脆弱性が発生した場合、気密性についての情報資産価値が高い機器のリスク値が高くなり、構成機器の役割をリスク値に反映することが可能となる。

なお、本実施の形態で示した情報資産価値の項目、脆弱性情報の項目およびリスクの計算方法は１例でこれに限るものではなく、得られる脆弱性情報の項目、監視対象システム２００に応じて変更しても構わない。

以上のように、この攻撃検知装置１００では構成機器の役割から情報資産価値を事前に定義しておき、構成機器の情報資産価値と脆弱性情報を元にリスク値を計算するため、構成機器の役割をリスク値に反映することができ、適切な検知ルールの実行周期を設定することができる。

本願は、様々な例示的な実施の形態及び実施例が記載されているが、１つ、または複数の実施の形態に記載された様々な特徴、態様、及び機能は特定の実施の形態の適用に限られるのではなく、単独で、または様々な組み合わせで実施の形態に適用可能である。
従って、例示されていない無数の変形例が、本願明細書に開示される技術の範囲内において想定される。例えば、少なくとも１つの構成要素を変形する場合、追加する場合または省略する場合、さらには、少なくとも１つの構成要素を抽出し、他の実施の形態の構成要素と組み合わせる場合が含まれるものとする。

１００ 攻撃検知装置、１０１ 脆弱性情報取得部、１０２ 対象機器判定部、１０３ 検知ルール判定部、１０４ リスク値計算部、１０５ 実行周期更新部、１０６ 検知エンジン、１０７ 脆弱性情報記録ＤＢ、１０８ 構成情報ＤＢ、１０９ 検知ルールＤＢ、１１０ ログＤＢ、１１１ プロセッサ、１１２ 記憶装置、２００ 監視対象システム、３００ 脆弱性情報公開システム、４００ 監視端末、５００ 攻撃検知システム、６００ 攻撃シナリオＤＢ

Claims (7)

1. 複数の構成機器を備えた監視対象システムで発生したログが格納されているログＤＢと、
   前記構成機器と前記ログの相関分析の条件とが記録された検知ルールが格納されている検知ルールＤＢと、
   前記検知ルールに従った前記ログの相関分析を予め定められた実行周期で行うことによりサイバー攻撃を検知して出力する検知エンジンと、を備えた攻撃検知装置において、
   前記攻撃検知装置で過去に検知した脆弱性情報が格納されている脆弱性情報記録ＤＢと、
   新規の脆弱性情報を取得する脆弱性情報取得部と、
   前記複数の構成機器に関する構成情報が格納されている構成情報ＤＢと、
   前記新規の脆弱性情報と前記構成情報とから脆弱性のある構成機器を対象機器として判定する対象機器判定部と、
   前記対象機器判定部の判定結果と前記検知ルールＤＢに格納された前記検知ルールとから前記対象機器と前記構成機器とが一致する検知ルールを判定する検知ルール判定部と、
   前記新規の脆弱性情報から脆弱性のリスク値を計算するリスク値計算部と、
   前記リスク値が高まるのに応じて、前記検知ルール判定部で判定した検知ルールに従った前記ログの相関分析を行う実行周期が縮まるように更新する実行周期更新部と、を備えたことを特徴とする攻撃検知装置。
2. サイバー攻撃の攻撃フェーズ毎の内容と検知方法と構成機器と検知ルールとが記録された攻撃シナリオが格納されている攻撃シナリオＤＢをさらに備え、
   前記検知ルール判定部は、前記対象機器判定部の判定結果と前記攻撃シナリオとから前記対象機器と前記構成機器とが一致する攻撃シナリオを判定し、
   前記リスク値計算部は、前記新規の脆弱性情報から脆弱性のリスク値を計算し、
   前記実行周期更新部は、前記リスク値が高まるのに応じて、前記検知ルール判定部で判定した攻撃シナリオに記録された検知ルールに従った前記ログの相関分析を行う実行周期が縮まるように更新することを特徴とする請求項１に記載の攻撃検知装置。
3. 前記リスク値計算部は、前記新規の脆弱性情報が備える複数の脆弱性に係る項目に基づいて前記リスク値を計算することを特徴とする請求項１または請求項２に記載の攻撃検知装置。
4. 前記構成情報には前記構成機器の情報資産価値が含まれており、
   前記リスク値計算部は、前記新規の脆弱性情報が備える複数の脆弱性に係る項目と前記情報資産価値とに基づいて前記リスク値を計算することを特徴とする請求項１から３のいずれか１項に記載の攻撃検知装置。
5. 請求項１から４のいずれか１項に記載した攻撃検知装置と、前記攻撃検知装置から出力されたサイバー攻撃の検知結果を表示する監視端末とを備えたことを特徴とする攻撃検知システム。
6. サイバー攻撃を検知して出力する攻撃検知装置の攻撃検知方法において、
   取得した新規の脆弱性情報と監視対象システムが備える複数の構成機器に関する構成情報とから脆弱性のある構成機器を対象機器として判定し、
   前記構成機器と前記監視対象システムで発生したログの相関分析の条件とが記録された検知ルールと、前記対象機器の判定結果とから前記構成機器と前記対象機器とが一致する検知ルールを判定し、
   前記新規の脆弱性情報から脆弱性のリスク値を計算し、
   前記リスク値が高まるのに応じて、判定した検知ルールに従った前記ログの相関分析を行う実行周期が縮まるように更新することを特徴とする攻撃検知方法。
7. サイバー攻撃を検知して出力する攻撃検知装置の攻撃検知プログラムにおいて、
   前記攻撃検知装置で過去に検知した脆弱性情報を元に新規の脆弱性情報を取得する脆弱性情報取得ステップと、
   前記新規の脆弱性情報と監視対象システムが備える複数の構成機器に関する構成情報とから脆弱性のある構成機器を対象機器として判定する対象機器判定ステップと、
   前記構成機器と前記監視対象システムで発生したログの相関分析の条件とが記録された検知ルールと、前記対象機器判定ステップの判定結果とから前記構成機器と前記対象機器とが一致する検知ルールを判定する検知ルール判定ステップと、
   前記新規の脆弱性情報から脆弱性のリスク値を計算するリスク値計算ステップと、
   前記リスク値が高まるのに応じて、前記検知ルール判定ステップで判定した検知ルールに従った前記ログの相関分析を行う実行周期が縮まるように更新する実行周期更新ステップと、を備えたことを特徴とする攻撃検知プログラム。

Images