JP7647929B2 - セキュリティ対策立案システム、セキュリティ対策立案方法及び、プログラム - Google Patents

Description

本発明は、セキュリティ対策立案システム、セキュリティ対策立案方法及び、プログラムに関する。

診断対象システムのリスク分析では、分析時点での各種構成情報をもとに、侵入口から攻撃目標に至るまでの攻撃手段や攻撃条件、経由するホストなどの情報を含む攻撃グラフを抽出する。攻撃に対する対策立案では、攻撃ルートに含まれる攻撃手段や攻撃条件が成立しなくなるように対策を導入することでリスクを低減する。

特許文献１は、セキュリティ・システムに関して、国際標準（Ｃｏｍｍｏｎ Ｃｒｉｔｅｒｉａ）で規定しているＰＰ（Ｐｒｏｔｅｃｔｉｏｎ Ｐｒｏｆｉｌｅ） ／ＳＴ（Ｓｅｃｕｒｉｔｙ Ｔａｒｇｅｔ）作成のためのセキュリティ・システムの計画・設計方法に関するものである。

特許文献２は、有効的に情報セキュリティマネジメントが行えるよう支援する情報セキュリティマネジメント支援システムに関するものである。

特許文献３は、セキュリティやリスクの状態を認識して、対策を講じるのを可能にするセキュリティ監視装置に関するものである。

特許文献４は、業務プロセス全体として、矛盾がないリスク対策の計画および実施を支援するリスク管理装置に関するものである。

特許文献５は、リスクの評価において、客観的な指標をユーザに提示できるセキュリティリスク分析支援装置に関するものである。

特開２０００－１３２７６７号公報 特開２００５－２９３２６７号公報 特開２００７－３１６８２１号公報 特開２０１０－１７６２７４号公報 国際公開第２０２１／０５９４７１号

以下の分析は、本発明によって与えられたものである。

しかしながら、対策が、即時導入可能か又は導入までに時間がかかるか、恒久的な対策か又は一時的な対策かのような対策の効果の時間変化や、攻撃コードの出現、診断対象システムの構成変更などの脅威の時間変化等により、対策の効果やシステムに内在する脅威のリスクは時間経過に伴い変化するため、診断対象システムのリスク分析時点のリスクだけを考慮して対策案を構成すると、効果的な対策とならないことも多い。

本発明は、システムに内在するセキュリティリスクの時間変化に基づいて、対策を選択することに貢献する、セキュリティ対策立案システム、セキュリティ対策立案方法及び、プログラムを提供することを目的とする。

本発明の第１の視点によれば、診断対象のシステムに含まれる一つ以上の資産のリスク値を計算する機能部と、
前記機能部の計算する前記資産のリスク値の将来のリスク推定値を推定する、リスク変化推定部と、
リスク変化推定部で推定された前記将来のリスク推定値に基づいて対策案を選択する対策決定部を含む、セキュリティ対策立案システムを提供することができる。

本発明の第２の視点によれば、診断対象のシステムに含まれる一つ以上の資産のリスク値を計算するステップと、
計算された前記資産のリスク値の将来のリスク推定値を推定する、リスク変化推定ステップと、
推定された前記将来のリスク推定値に基づいて対策案を選択する対策決定ステップを含む、セキュリティ対策立案方法を提供できる。

本発明の第３の視点によれば、コンピュータに、
診断対象のシステムに含まれる一つ以上の資産のリスク値を計算する処理と、
計算された前記資産のリスク値の将来のリスク推定値を推定する、リスク変化推定処理と、
推定された前記将来のリスク推定値に基づいて対策案を選択する対策決定処理を実行させる、プログラムを提供することができる。なお、このプログラムは、コンピュータが読み取り可能な記憶媒体に記録することができる。記憶媒体は、半導体メモリ、ハードディスク、磁気記録媒体、光記録媒体等の非トランジェント（ｎｏｎ－ｔｒａｎｓｉｅｎｔ）なものとすることができる。本発明は、コンピュータプログラム製品として具現することも可能である。

本発明によれば、システムに内在するセキュリティリスクの時間変化に基づいて、対策を選択することに貢献する、セキュリティ対策立案システム、セキュリティ対策立案方法及び、プログラムを提供することができる。

本発明の一実施形態のセキュリティ対策立案システムの構成の一例を示す図である。 本発明の一実施形態のセキュリティ対策立案システムの動作内容の概念の一例を示す図である。 本発明の一実施形態のセキュリティ対策立案システムの動作の一例の概略を示す図である。 本発明の一実施形態のセキュリティ対策立案システムの動作の一例の概略を示す図である。 本発明の第１の実施形態のセキュリティ対策立案システムの構成の一例を示す図である。 本発明の第１の実施形態のセキュリティ対策立案システムのリスク分析部の構成の一例を示す図である。 本発明の第１の実施形態のセキュリティ対策立案システムの将来リスク推定情報部の格納情報の一例を示す図である。 本発明の第１の実施形態のセキュリティ対策立案システムの将来リスク推定情報部の格納情報の一例を示す図である。 本発明の第１の実施形態のセキュリティ対策立案システムの対策候補情報部の格納情報の一例を示す図である。 本発明の第１の実施形態のセキュリティ対策立案システムのリスク変化推定部の概略構成の一例を示す図である。 本発明の第１の実施形態のセキュリティ対策立案システムの対策決定部の概略構成の一例を示す図である。 本発明の第１の実施形態のセキュリティ対策立案システムの対策決定部の動作の一例の概要を示す図である。 本発明の第１の実施形態のセキュリティ対策立案システムの対策決定部の出力の一例を示す図である。 本発明の第２の実施形態のセキュリティ対策立案システムの構成一例を示す図である。 本発明の第３の実施形態のセキュリティ対策立案システムの構成の一例を示す図である。 本発明の第３の実施形態のセキュリティ対策立案システムの診断時期決定部の構成の一例を示す図である。 本発明の第３の実施形態のセキュリティ対策立案システムの動作の一例を示す図である。 本発明の第４の実施形態のセキュリティ対策立案システムの構成の一例を示す図である。 本発明の第４の実施形態のセキュリティ対策立案システムの注意情報生成部の構成の一例を示す図である。 本発明の第４の実施形態のセキュリティ対策立案システムの動作の一例を示す図である。 本発明のセキュリティ対策立案システムを構成するコンピュータの構成を示す図である。

はじめに本発明の一実施形態の概要について図面を参照して説明する。なお、この概要に付記した図面参照符号は、理解を助けるための一例として各要素に便宜上付記したものであり、本発明を図示の態様に限定することを意図するものではない。また、以降の説明で参照する図面等のブロック間の接続線は、双方向及び単方向の双方を含む。一方向矢印については、主たる信号（データ）の流れを模式的に示すものであり、双方向性を排除するものではない。

図１は、本発明の一実施形態のセキュリティ対策立案システムの構成の一例を示す図である。セキュリティリスクは、事業被害レベルと、脅威レベルと、脆弱性レベルの３要素から算出することができる。例えばこれら３要素を数値化しその積をもとにセキュリティリスク値を定めることができる。事業被害レベルとは、脅威が発生したときにどの程度の被害が発生するかということであり、脅威レベルとは、脅威が発生する可能性であり、脆弱性レベルとは、脅威を受容する可能性である。以下に示す本発明の一実施形態のセキュリティ対策立案システムは、事業被害レベル、脅威レベル、脆弱性レベルの変化を推定し、適切な対策を選択することに貢献することができる。

図１を参照すると、本発明の一実施形態のセキュリティ対策立案システム１００は、リスク分析部１１０と、リスク変化推定部１２０と、対策決定部１３０を含み、診断対象システムの構成情報１０１を入力とし、セキュリティ対策案１０２を選択し、出力する。

図２は、本発明の一実施形態のセキュリティ対策立案システム１００の動作内容の概念の一例を示す図である。セキュリティ対策立案の診断対象システム２１０から情報収集２２０を行い、診断対象システムの構成情報１０１を取得し、取得した構成情報１０１を推論エンジン２３０によりリスク分析２４０を行って、攻撃ルートとリスク値２５０を抽出する。攻撃ルートとリスク値２５０に対して、リスク変化推定及び対策決定を行い、対策案１０２を選択し、出力する。

図３及び図４は、本発明の一実施形態のセキュリティ対策立案システム１００の動作の一例の概略を示す図である。図３及び図４を用いて、図１の本発明の一実施形態のセキュリティ対策立案システム１００の動作を説明する。図３の攻撃者の攻撃ルートと前記攻撃ルートのリスク値２５０は、図４の導入可能な対策３２０へ続くものとする。図３及び図４において、図２で記載した参照符号と同一の参照符号は、同一の構成要素を示すものとする。

図３は、診断対象システム２１０の構成の一例と、これに対応する攻撃グラフ３１０のイメージの一例及び、抽出した攻撃ルートとリスク値を示す図である。図３の一例の診断対象システム２１０は、パーソナルコンピュータＰＣ１と、ＰＣ２と、ＰＣ３がネットワーク３０３で接続され、また、パーソナルコンピュータＰＣ４と、サーバ１と、サーバ２がネットワーク３０８で接続され、ネットワーク３０３とネットワーク３０８がファイアーウォールＦＷを介して接続されている。図３において、ＰＣ１、ＰＣ２、ＰＣ３からの、サーバ１、ＰＣ４、サーバ２へのアクセスは許可される構成である。

図３の診断対象システム２１０から抽出された構成情報１０１が、図１のリスク分析部１１０に入力される。リスク分析部１１０では、診断対象システム２１０の構成情報１０１から、攻撃者の攻撃ルートと前記攻撃ルートのリスク値２５０を抽出するリスク分析を行う。リスク分析においては、リスク分析部１１０は、対象のシステムの構成情報１０１を用いて、攻撃グラフ３１０を抽出し、攻撃グラフ３１０に基づいて、攻撃者の攻撃ルートと前記攻撃ルートのリスク値２５０を抽出する。抽出された攻撃ルートとリスク値２５０には、複数の攻撃ルート（攻撃ルート１、２、３等）と、各攻撃ルートに対応するリスク値（リスク値Ｂ、Ｂ、Ａ等）が含まれてもよい。

ここで、攻撃グラフ３１０は、診断対象システム２１０の構成情報１０１を分析して抽出されたものであり、攻撃グラフ３１０の攻撃元及び攻撃先のノードＰＣ１、ＰＣ２、ＰＣ３、ＰＣ４、サーバ１，サーバ２は、診断対象システム２１０内のホストＰＣ１、ＰＣ２、ＰＣ３、ＰＣ４、サーバ１，サーバ２に対応する。攻撃ルートとリスク値２５０内の、攻撃ルートは、攻撃グラフ３１０から、攻撃ステップ（辺）をつなげた攻撃ルートを抽出したものであり、ノードを順次に列挙することにより、侵入口から攻撃目標に至る、攻撃グラフ上の各攻撃ルートを示したものである。また、攻撃ルートとリスク値２５０内の、リスク値（リスクＢ、リスクＡ等）は、各攻撃ルートのリスク値を示している。

ここに、攻撃グラフとは、各攻撃ステップの可能な組み合わせによる流れ（攻撃ルート）を示すチャートないし、図式表現を言う。また、攻撃手段により別の状態（ノード）に至る各段階を攻撃ステップと呼び、攻撃ルートは、各攻撃ステップ（攻撃手段を示す辺）をつなげたものである。

次に、図１のリスク変化推定部１２０は、リスク分析部１１０の抽出する攻撃ルートのリスク値の将来のリスク推定値であるリスク時系列変化を推定する。本一実施形態では、例示として、脆弱性レベルの変化を推定して、リスク時系列変化を推定する。脆弱性レベルの変化の推定によるリスク時系列変化の推定において、リスク変化推定部１２０は、図４に例示されているような導入可能な対策３２０を抽出する。対策の内容としては、例えば図４に例示されているような、パーソナルコンピュータＰＣ２でオペレーティングシステム（ＯＳ）をアップデートする（対策案１）、サーバ室ネットワーク（ＮＷ）に侵入防止システム（ＩＰＳ（Ｉｎｔｒｕｓｉｏｎ Ｐｒｅｖｅｎｔｉｏｎ Ｓｙｓｔｅｍ））を導入する（対策案２）、サーバ１にアンチウイルスソフトを導入する（対策案３）、サーバ２にアンチウイルスソフトを導入する（対策案４）等がある。

次に、図１のリスク変化推定部１２０は、各攻撃ルートに対して、各対策案を適用した場合の将来のリスクの推定値であるリスク時系列変化３３０、３３５を算出する。例えば、図４に例示されているように、対策案１を適用した場合において、攻撃ルート１のリスク値が、１週間後にＥ、１か月後にＤ、半年後にＣとなる、リスク時系列変化が推定される（３３０）。また、対策案２を適用した場合において、攻撃ルート１のリスク値が、１週間後にＣ、１か月後にＣ、半年後にＣとなる、リスク時系列変化が、推定される（３３５）。攻撃ルート２、３についても、同様である。

次に、図１の対策決定部１３０は、リスク変化推定部１２０で推定されたリスク時系列変化３３０、３３５に従って対策案１０２を選択し、出力する。例えば、図４に例示しているように、２か月後以降の平均リスクを最小化するというポリシー３４０に従う場合には、最終の対策案１０２として、サーバ室ＮＷにＩＰＳを導入するという、対策案２が選択されて、出力される。

以上のように、本発明の一実施形態により、システムに内在するセキュリティリスクの時間変化に基づいて、対策を選択することに貢献する、セキュリティ対策立案システムを提供できる。

［第１の実施形態］
次に、本発明の第１の実施形態のセキュリティ対策立案システムの構成について、図面を参照して説明する。図５は、本発明の第１の実施形態のセキュリティ対策立案システム１００の構成の一例を示す図である。

図５を参照すると、本発明の第１の実施形態のセキュリティ対策立案システム１００は、リスク分析部１１０と、リスク変化推定部１２０と、対策決定部１３０と、将来リスク推定情報部１４０と、対策候補情報部１５０とを含む。リスク分析部１１０には、診断対象システムの構成情報１０１が入力され、対策決定部１３０は対策ポリシー（ポリシー情報）１０６に基づいて、対策案１０２を選択し、出力する。

図６は、本発明の第１の実施形態のセキュリティ対策立案システム１００のリスク分析部１１０の構成の一例を示す図である。図６を参照すると、リスク分析部１１０は、脆弱性情報データベース（ＤＢ）１１１、分析ルール格納部１１２、推論部１１３、攻撃グラフ情報出力部１１４、攻撃ルート抽出部１１５、リスク計算部１１６を含む。リスク分析部１１０は、診断対象システムの構成情報１０１から、図３に例示するような、攻撃ルート１、２、３と、各攻撃ルートのリスク値を抽出するリスク分析を行う。

推論部１１３は、収集した例えば図３に例示される診断対象システム２１０の構成情報１０１をもとに、どのホストからどのホストに対してどのような攻撃が可能かを推論する。構成情報１０１は、診断対象システム２１０に含まれるホスト情報、ネットワーク構成、各ホストにインストールされているオペレーティングシステム（ＯＳ）やソフトウェア、各ＯＳやソフトウェアの脆弱性情報、データフロー情報などを含む。脆弱性情報ＤＢ１１１は、各脆弱性の攻撃条件や、攻撃結果等を格納している。分析ルール格納部１１２は、どのような攻撃がどのような条件のもとで実施可能かの情報を記載している分析ルールを格納している。攻撃グラフ情報出力部１１４で、上記の情報をつなぎ合わせることで、例えば図３に例示される攻撃グラフ３１０のような、攻撃グラフを出力する。次に、攻撃ルート抽出部１１５は、攻撃グラフに基づいて、例えば図３に例示される攻撃ルートとリスク値２５０内の攻撃ルート１、２、３のような、攻撃グラフに含まれる攻撃ルートを抽出する。また、リスク計算部１１６は、抽出した攻撃ルートごとに、例えば図３に例示される攻撃ルートとリスク値２５０内のリスク値（リスクＢ、リスクＢ、リスクＡ）のような、リスク値を計算する。以上のように、リスク分析部１１０は、診断対象システムの構成情報１０１から、リスク分析を行って、攻撃ルートと、各攻撃ルートのリスク値を抽出する。

なお、攻撃ルートのリスク値の計算例としては、攻撃ルートに含まれる攻撃ステップのリスク値の最低値をその攻撃ルートのリスク値とすることができる。また、攻撃ステップのリスク値の計算例としては、攻撃ステップに利用される攻撃手段や攻撃に利用される脆弱性ごとにリスク値を決めることができる。さらに、攻撃手段ごとにリスク値のテーブルを用意して、リスク値を計算してもよい。また、脆弱性のＣＶＳＳ（Ｃｏｍｍｏｎ Ｖｕｌｎｅｒａｂｉｌｉｔｙ Ｓｃｏｒｉｎｇ Ｓｙｓｔｅｍ）のスコアを用いてリスク値を決定することもできる。

図５に示す本発明の第１の実施形態のセキュリティ対策立案システムのリスク変化推定部１２０は、将来リスク推定情報部１４０と対策候補情報部１５０に格納された情報を利用して、将来のリスク推定値であるリスク時系列変化を推定する。

最初に、将来リスク推定情報部１４０と対策候補情報部１５０に格納された情報について説明する。

図７及び図８は、本発明の第１の実施形態のセキュリティ対策立案システム１００の将来リスク推定情報部１４０の格納情報の一例を示す図である。

将来リスク推定情報部１４０は、図７に例示するように、診断対象システムの構成変更履歴１４１、ホストの資産種別１４２、リスク分析時の診断対象のシステムの資産の集約状態１４３、診断対象のシステムの資産の運用ルール（運用情報）１４４及び、図８に例示するように、攻撃コード出現確率１４５と脅威予測１４６を含む外部要因を格納する。なお、将来リスク推定情報部１４０は、予め必要な上記に例示されたような情報を手動で入力しておいてもよい。また、資産の集約状態１４３はリスク分析部１１０で設定するようにしてもよい。攻撃コード出現確率１４５や脅威予測１４６については、ウェブ（Ｗｅｂ）上から情報を収集することもできる。さらに、過去のリスク分析で利用した構成情報をもとに構成変更履歴１４１を作成することも可能である。

図９は、本発明の第１の実施形態のセキュリティ対策立案システム１００の対策候補情報部１５０の格納情報の一例を示す図である。対策候補情報部１５０は、対策種別１５１と、対策可能な攻撃手段（対策対象）１５２と、対策のコスト１５３、対策導入可能時期（対策を導入できるまでの期間）１５４と対策の効果の変動情報１５５を含む時期に関する情報１５６を格納する。

図１０は、本発明の第１の実施形態のセキュリティ対策立案システム１００のリスク変化推定部１２０の概略構成の一例を示す図である。図１０を参照すると、リスク変化推定部１２０は、対策抽出部１２１、リスク時系列変化推定部１２２を含む。

図１０に例示するリスク変化推定部１２０は、リスク分析部１１０の出力する攻撃ルートと各攻撃ルートのリスク値１０４に対して、事業被害レベル、脅威レベル、脆弱性レベルの少なくとも１つの将来の変化の推定値に基づいて、将来のリスク推定値を決定する。即ち、各攻撃ルートに対して、事業被害レベル、脅威レベル、脆弱性レベルの将来の変化の推定値の少なくとも１つに基づいて、各攻撃ルートのリスク値が将来どのように変化するかを推定する。なお、事業被害レベル、脅威レベル、脆弱性レベルの将来の変化の推定値は、以下のように推定する。

[１．脅威レベルの変化の推定]
脅威レベルの変化の推定は、リスク時系列変化推定部１２２が、リスク分析部１１０の出力するリスク分析時の攻撃ルートのリスク値１０４に対して、将来リスク推定情報部１４０に格納された診断対象システムの構成変更履歴１４１、ホストの資産種別１４２、リスク分析時の診断対象のシステムの資産の集約状態１４３、診断対象システムの資産の運用ルール（運用情報）１４４及び、攻撃コードの出現確率１４５と脅威予測１４６を含む外部要因等の少なくとも１つの情報に基づいて、以下のように推定する。

（１－１）診断対象のシステムの構成変更履歴１４１において、
（１－１ａ）新しいソフトウェアを頻繁にインストールしている場合には、将来に、脆弱性のあるソフトウェアがインストールされる可能性があるという、脅威レベルの変化が推定される。例えば、構成変更履歴において、予め決められた期間内で予め決められた回数以上ソフトウェアのインストールを行っている場合、新しいソフトウェアを頻繁にインストールしていると判断できる。

（１－１ｂ）ファイアーウォール（ＦＷ）のポリシーが頻繁に変更されている場合には、将来、リモートから攻撃できるようになる可能性があるという、脅威レベルの変化が推定される。例えば、構成変更履歴において、予め決められた期間内で予め決められた回数以上ＦＷのポリシーが変更されている場合、ＦＷのポリシーを頻繁に変更していると判断できる。

（１－２）ホストの資産種別１４２
オペレーショナルテクノロジー（ＯＴ）機器の場合には、アップデートできないのでリスクが上がりやすいという、脅威レベルの変化が推定される。

（１－３）リスク分析時の診断対象のシステムの資産の集約状態１４３
リスク分析時に同じ構成の資産を１台に集約して分析することがあり、このような場合に、沢山のホストを集約している場合には、どれか１台が攻撃できればよいためリスクが上がりやすいという、脅威レベルの変化が推定される。

（１－４）診断対象のシステムの資産の運用ルール（運用情報）１４４
購入してからＮ年経過したサーバを廃棄する場合には、将来当該ホストが攻撃されるリスクがなくなるという、脅威レベルの変化が推定される。

（１－５）外部要因の攻撃コードの出現確率１４５
あるソフトウェアで脆弱性が見つかった後、攻撃コードが発見される確率を過去の統計情報をもとに予測して、脅威レベルを推定する。

（１－６）外部要因の脅威予測１４６
はやりの攻撃手法の場合には、直近のリスクを高くする。例えば、イベント期間中の場合には、主催者や同じ地域のシステムは狙われやすくなり、脅威レベルは高く推定される。

なお、上記（１－１）から（１－６）の情報ごとに、具体的な数値へと変換するテーブルを用いて、リスク分析部１１０の出力するリスク分析時の攻撃ルートのリスク値１０４に対して、脅威レベルの将来の変化の推定値を算出するようにしてもよい。

[２．脆弱性レベルの変化の推定]
リスク変化推定部１２０の対策抽出部１２１が、リスク分析部１１０の出力した攻撃ルート１０３に対して、対策候補情報部１５０に格納された対策可能な攻撃手段（対策対象）１５２と対策種別１５１に基づいて、当該対策を適用可能な対策箇所を抽出する。次に、対策と対策箇所の組について、各対策の対策種別１５１と、対策導入可能時期１５４と、対策の効果の変動情報１５５に基づいて、当該対策を導入した場合の将来の脆弱性レベルを計算する。対策抽出部１２１による脆弱性レベルの推定は、対策種別１５１と、対策導入可能時期１５４と、対策の効果の変動情報１５５の少なくとも一つに基づいて、以下のように行われる。

（２－１）対策種別
対策種別１５１によって一時的か、恒久的かが決定され、脆弱性レベルの変化が異なって推定される。

（２－２）対策を導入できるまでの期間（対策導入可能時期１５４）
導入可能時期が、即時可能である場合、製品を購入するまで時間がかかる場合、次の構成変更のタイミングまで待つ必要がある場合、予算が取れるまで待つ必要がある場合等によって、脆弱性レベルの変化が異なって推定される。

（２－３）対策種別１５１内の運用ルール
例えば、Ｎか月ごとにソフトウェア（ＳＷ）またはオペレーティングシステム（ＯＳ）のアップデートがなされる場合には、Ｎか月おきに脆弱性を使った攻撃が実施される確率が下がると推定される。

（２－４）対策が効果を発揮するまでの期間（対策の効果の変動情報１５５）
ホワイトリストを学習する場合に、学習に時間がかかると、対策が効果を発揮するまでの期間が長くなり、その間は、脆弱性レベルが改善されないと推定される。

[３．事業被害レベルの変化の推定]
あらかじめ入力された事業被害レベルに関する情報を用いて、事業被害レベルの変化を推定する。例えば、Ｘ月～Ｙ月は繁忙期でシステムが停止した場合の影響が大きい場合には、脆弱性レベルが高いことが推定される。

リスク変化推定部１２０では、上記の様に対策抽出部１２１が、リスク分析部１１０の出力した攻撃ルート１０３に対して、対策候補情報部１５０に格納された各対策案を適用した場合の脆弱性レベルの時間変化の推定値を推定して出力し、リスク時系列変化推定部１２２が、将来リスク推定情報部１４０に格納された情報に基づいて、脅威レベルの変化の推定値を推定する。そして、リスク時系列変化推定部１２２が、リスク分析部１１０の出力するリスク分析時の攻撃ルートのリスク値１０４に、対策抽出部１２１が推定した脆弱性レベルの時間変化の推定値と、リスク時系列変化推定部１２２が推定した脅威レベルの変化の推定値を乗じて、将来のリスク推定値であるリスク時系列変化１０５を推定し、出力する。また、あらかじめ入力された事業被害レベルの変化の推定値をさらに乗じて、リスク時系列変化１０５を推定してもよい。なお、脆弱性レベルの時間変化の推定値と、脅威レベルの変化の推定値と、事業被害レベルの変化の推定値の少なくとも１つに基づいて、将来のリスク推定値であるリスク時系列変化１０５を推定してもよい。

図１１は、本発明の第１の実施形態のセキュリティ対策立案システム１００の対策決定部１３０の概略構成の一例を示す図である。図１１を参照すると、対策決定部１３０は、対策効果検証部１３１と組み合わせ対策案構成部１３２を含む。

図１１に示す対策決定部１３０は、リスク変化推定部１２０で推定された対策案ごとの攻撃ルートに対する将来のリスク推定値であるリスク時系列変化１０５に基づいて、対策効果検証部１３１で、各対策案が、対策候補情報部１５０に格納された各対策のコストを参照して、与えられた対策ポリシー１０６を満たすかを、検証する。

対策決定部１３０の対策効果検証部１３１に入力される対策ポリシー１０６の一例は、例えば、以下のようである。
（１）対策のコストＸＸ以下で、Ａ週間以内にリスクをα以下にする。
（２）対策のコストＹＹ以下で、できるだけ長い期間リスク値β以下になるようにする。
（３）対策のコストＺＺ以下で、Ｂ月～Ｃ月までの間のリスクを最小化する。

対策効果検証部１３１は、対策ポリシー１０６を満たす対策案が見つかった場合、それを対策案１０２として選択し、出力する。

一方、対策ポリシー１０６を満たす対策案が見つからない場合、組み合わせ対策案構成部１３２で対策案を組み合わせて新しい対策案を構成し、再度、対策効果検証部１３１が、与えられた対策ポリシー１０６を満たすかを、検証する。例えば、単純な方法ではすべての対策案の組み合わせを構成することができる。また、１回目は２つの対策の組み合わせ、２回目は３つの対策の組み合わせという形で、組み合わせる対策の数を徐々に増やすこともできる。

図１２は、本発明の第１の実施形態のセキュリティ対策立案システム１００の対策決定部１３０の動作の一例の概要を示す図である。対策決定部１３０の組み合わせ対策案構成部１３２は、単純な方法としては、対策ポリシーを満たす、対策を行った攻撃ルートの組み合わせを総当たりで探索することができる。即ち、図１２の左側に例示して記載（１２０１、１２０２）したように、対策案を適用した対策ポリシー１０６を満たす対策案１又は対策案２を選択し、出力することができる。なお、図１２に記載の例示のリスクは、Ａが最も高く、Ａ＞Ｂ＞Ｃ＞Ｄ＞Ｅの順に低くなるものとする。また、図１２の右側に例示して記載（１２０３）したように、対策案を適用した対策ポリシー１０６を満たす対策案１及び対策案２の組み合わせを選択し、出力することができる。このように組み合わせた対策案の場合には、図１２の右側に例示して記載（１２０３）した網掛け部分のように、リスクの推定値はそれぞれのリスクの推定値の中の最小値を取ることができる。あるいは、コストＸＸ以下でポリシーを満たす対策案、コストＹＹ以下でポリシーを満たす対策案のように、コストごとに対策案を選択し、出力することもできる。

図１３は、本発明の第１の実施形態のセキュリティ対策立案システム１００の対策決定部１３０の出力例（出力例１及び出力例２）を示す図である。図１３に例示して記載したように、対策案の出力に加え、攻撃ルートの時系列的なリスクの推定値を出力に含むことができる。図１３の出力例１は、対策なし１３０１、対策案Ｘ１３０２、対策案Ｙ１３０３を適用した場合の、各攻撃ルートの平均リスク値の経時変化を示すグラフ１３００であり、出力例２は、対策なし１３０１、対策案Ｘ１３０２、対策案Ｙ１３０３を適用した場合の各攻撃ルートのリスク値の経時変化を表形式１３１０で出力したものである。

以上のように、本発明の第１の実施形態により、システムに内在するセキュリティリスクの時間変化に基づいて、対策を選択することに貢献する、セキュリティ対策立案システムを提供できる。

［第２の実施形態］
次に、本発明の第２の実施形態の本発明のセキュリティ対策立案システム１４００について、図面を参照して説明する。図１４は、本発明の第２の実施形態のセキュリティ対策立案システム１４００の構成一例を示す図である。図１４において、図５と同一の参照符号を付した構成要素は、同一の構成要素であるものとし、その説明を省略する。

図１４の本発明の第２の実施形態のセキュリティ対策立案システム１４００は、図５に示す本発明の第１の実施形態のセキュリティ対策立案システム１００の対策決定部１３０において、対策ポリシー１０６に加えて、コスト・予算情報１７０も入力し、対策決定部１３０が、リスク変化推定部１２０で推定された将来のリスク推定値であるリスク時系列変化と、入力された対策ポリシー１０６及び、コスト及び予算情報１７０とに従って最終的な対策案１０２を決定する構成である。

対策候補情報部１５０に格納された各対対策コストは、定期メンテナンスのタイミングであれば少ないコストで導入できる、製品の価格の変化（長期割引など）、人件費の変化というように、時間に従って変化する。一方、年度ごとの予算も、時間に従って変化する。従って、対策決定部１３０が、入力されたコスト・予算情報１７０の内のコスト情報に従って、対策候補情報部１５０に格納され対策決定部１３０により参照された各対策のコストを変更し、また、入力されたコスト・予算情報１７０の内の予算情報に従って、対策ポリシー１０６を変更することにより、対策コスト・予算の時間変化に基づいて対策案１０２を決定することができる。

［第３の実施形態］
次に、本発明の第３の実施形態の本発明のセキュリティ対策立案システムについて、図面を参照して説明する。図１５は、本発明の第３の実施形態のセキュリティ対策立案システム１５００の構成の一例を示す図である。図１５において、図５と同一の参照符号を付した構成要素は、同一の構成要素であるものとし、その説明を省略する。

図１５の本発明の第３の実施形態のセキュリティ対策立案システム１５００は、図５に示す本発明の第１の実施形態のセキュリティ対策立案システム１００の対策決定部１３０の出力に、更に診断時期決定部１８０を付加した構成である。

図１６は、本発明の第３の実施形態のセキュリティ対策立案システム１５００の診断時期決定部１８０の構成の一例を示す図である。診断時期決定部１８０は、対策決定部１３０が選択し、出力した対策案１０２を採用した場合に、次回の診断時期を提案する機能を備えている。図１６を参照すると、診断時期決定部１８０は、リスク変化計算部１８１と、次回診断時期決定部１８２を含む。

診断時期決定部１８０のリスク変化計算部１８１は、対策案１０２を使用する場合のリスク値の変化を計算する。例えば、リスク値の変化として、各時期の攻撃ルートのリスク値の平均を算出することができる。また、リスク値の変化として、特定の代表的な攻撃ルートのリスク値の変化を用いることができる。

次回診断時期決定部１８２は、リスク変化計算部１８１の計算した変化するリスク値が、決められた閾値以上になる時期を次回診断時期１０８として出力する

図１７は、本発明の第３の実施形態のセキュリティ対策立案システム１５００の動作の一例を示す図である。

診断時期決定部１８０では、攻撃ルートの平均リスク値の将来のリスクの推定値であるリスク時系列変化をもとに、リスクが高くなると予想される次期を次回診断時期１０８として出力する。例えば、対策案１０２について、各攻撃ルートの将来のリスク推定値であるリスク時系列変化が図１７の左側の表に例示するように経時変化する場合に、図１７の右側に例示するように（１７０１）、攻撃ルートの平均のリスクの推定値１７０２が閾値を超える時期を次回診断時期１０８として出力する。なお、次回診断時期１０８は、再度リスク分析を行う時期とすることもできるし、対策案１０２の立案を見直す時期とすることもできる。また、次回診断時期１０８を判断するのに使用する閾値と、再度リスク分析を行う時期を判断するのに使用する閾値は、異なる値としてもよい。

［第４の実施形態］
次に、本発明の第４の実施形態の本発明のセキュリティ対策立案システムについて、図面を参照して説明する。図１８は、本発明の第４の実施形態のセキュリティ対策立案システム１８００の構成一例を示す図である。図１８において、図５と同一の参照符号を付した構成要素は、同一の構成要素であるものとし、その説明を省略する。

図１８の本発明の第４の実施形態のセキュリティ対策立案システム１８００は、図５に示す本発明の第１の実施形態のセキュリティ対策立案システム１００の対策決定部１３０に、注意情報生成部１９０を加えた構成である。

図１９は、本発明の第４の実施形態のセキュリティ対策立案システム１８００の注意情報生成部１９０の構成の一例を示す図である。

注意情報生成部１９０は、対策決定部１３０が選択し、出力した対策案１０２を採用した場合にリスクが高くなると予想される時期と攻撃ルートの情報を生成する。図１９を参照すると、注意情報生成部１９０は、リスク値変化計算部１９１と、注意時期決定部１９２を含む。

注意時期決定部１９２とリスク値変化計算部１９１は、対策案１０２を使用する場合のリスク値の変化を計算する。例えば、リスク値の変化として、各時期の攻撃ルートのリスク値の平均を算出することができる。また、リスク値の変化として、特定の代表的な攻撃ルートのリスク値の変化を用いることができる。

注意時期決定部１９２は、リスク値変化計算部１９１の計算した変化するリスク値が、決められた閾値以上になる時期を注意情報１０７として出力する。

図２０は、本発明の第４の実施形態のセキュリティ対策立案システム１８００の動作の一例を示す図である。注意情報生成部１９０では、図２０に示すように、攻撃ルート１から３ごとの将来のリスクの推定値をもとに、攻撃ルートのリスクが高くなる時期を抽出し注意情報１０７を生成する。

例えば、図２０に記載されている例では、攻撃ルート１（２００１）については、５か月後以降に将来のリスク推定値が閾値を越え、攻撃ルート２（２００２）については、１か月後～５か月後及び６か月後～１０か月後の間に将来のリスク推定値が閾値を越え、攻撃ルート３（２００３）については、閾値を越えない。なお、攻撃ルート２（２００２）の例については、定期的にＯＳのアップデートを行う場合などには、攻撃ルート２（２００２）のようにリスク値が振動することがある。

これに対応して、攻撃ルートのリスク値が閾値を超える期間、即ち、攻撃ルート１（２００１）は５か月後以降、攻撃ルート２（２００２）は１か月～５か月後及び６か月～１０か月を攻撃ルートの要注意期間として抽出し、注意情報１０７を生成する。なお、攻撃ルート３（２００３）については、注意情報は生成されない。

以上、本発明の各実施形態を説明したが、本発明は、上記した実施形態に限定されるものではなく、本発明の基本的技術的思想を逸脱しない範囲で、更なる変形・置換・調整を加えることができる。例えば、各図面に示したシステム構成、各要素の構成、メッセージの表現形態は、本発明の理解を助けるための一例であり、これらの図面に示した構成に限定されるものではない。また、以下の説明において、「Ａ及び／又はＢ」は、Ａ又はＢの少なくともいずれかという意味で用いる。

また、上記した第１～第４の実施形態に示した手順は、セキュリティ対策立案システム１００、１４００，１５００、１８００として機能するコンピュータ（図２１の９０００）に、セキュリティ対策立案システム１００、１４００，１５００、１８００としての機能を実現させるプログラムにより実現可能である。このようなコンピュータは、図２１のＣＰＵ（Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）９０１０、通信インタフェース９０２０、メモリ９０３０、補助記憶装置９０４０を備える構成に例示される。すなわち、図２１のＣＰＵ９０１０にて、攻撃ルート抽出プログラムを実行し、その補助記憶装置９０４０等に保持された各計算パラメータの更新処理を実施させればよい。

メモリ９０３０は、ＲＡＭ（Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）、ＲＯＭ（Ｒｅａｄ Ｏｎｌｙ Ｍｅｍｏｒｙ）等である。

即ち、上記した第１～第４の実施形態に示したセキュリティ対策立案システムの各部（処理手段、機能）は、上記コンピュータのプロセッサに、そのハードウェアを用いて、上記した各処理を実行させるコンピュータプログラムにより実現することができる。

最後に、本発明の好ましい形態を要約する。
［第１の形態］
（上記第１の視点による攻撃ルート抽出システム参照）
［第２の形態］
第１の形態に記載のセキュリティ対策立案システムは、前記リスク変化推定部は、事業被害レベル、脅威レベル、脆弱性レベルの少なくとも１つの将来の変化の推定値に基づいて、前記将来のリスク推定値を推定する、ことが好ましい。
［第３の形態］
第２の形態に記載のセキュリティ対策立案システムは、前記リスク変化推定部は、前記診断対象のシステムの構成変更履歴、ホストの資産種別、前記資産のリスク値の計算時の前記診断対象のシステムの資産の集約状態、前記診断対象のシステムの資産の運用ルール及び、攻撃コード出現確率と脅威予測の少なくとも一つに基づいて、前記脅威レベルの将来の変化の推定値を推定する、ことが好ましい。
［第４の形態］
第２又は３の形態に記載のセキュリティ対策立案システムは、前記リスク変化推定部は、
各対策に対して、適用可能な前記資産の対策個所を抽出し、
前記対策と前記対策個所の組について、対策種別と、対策導入可能時期と、対策の効果の変動情報の少なくとも一つに基づいて、前記対策を導入した場合の前記脆弱性レベルの将来の変化の推定値を推定する、ことが好ましい。
［第５の形態］
第２から４の形態に記載のセキュリティ対策立案システムは、前記対策決定部は、前記将来のリスク推定値と、対策ポリシーと、前記対策に要するコストを用いて、前記対策案を決定する、ことが好ましい。
［第６の形態］
第５の形態に記載のセキュリティ対策立案システムは、前記対策決定部は、前記リスク変化推定部で推定された前記将来のリスク推定値と、入力された前記対策ポリシーと、前記対策に要するコストと、対策コスト及び予算情報とに従って最終的な対策案を決定する、ことが好ましい。
［第７の形態］
第１から６の形態に記載のセキュリティ対策立案システムは、選択した前記対策案に対して、次回診断時期を決定する診断時期決定部をさらに含む、ことが好ましい。
［第８の形態］
第１から７の形態に記載のセキュリティ対策立案システムは、選択した前記対策案に対して、前記対策案の前記資産のリスク値が高くなると予想される時期の情報を生成する、注意情報生成部をさらに含む、ことが好ましい。
［第９の形態］
（上記第２の視点による方法参照）
［第１０の形態］
（上記第３の視点によるプログラム参照）
なお、上記第９、第１０の形態は、第１の形態と同様に、第２～第８の形態に展開することが可能である。

なお、上記の特許文献の各開示を、本書に引用をもって繰り込むものとする。本発明の全開示（請求の範囲を含む）の枠内において、さらにその基本的技術思想に基づいて、実施形態ないし実施例の変更・調整が可能である。また、本発明の開示の枠内において種々の開示要素（各請求項の各要素、各実施形態ないし実施例の各要素、各図面の各要素等を含む）の多様な組み合わせ、ないし選択が可能である。すなわち、本発明は、請求の範囲を含む全開示、技術的思想にしたがって当業者であればなし得るであろう各種変形、修正を含むことは勿論である。特に、本書に記載した数値範囲については、当該範囲内に含まれる任意の数値ないし小範囲が、別段の記載のない場合でも具体的に記載されているものと解釈されるべきである。

１００ セキュリティ対策立案システム
１０１ 構成情報
１０２ 対策案
１０６ 対策ポリシー
１０７ 注意情報
１０８ 次回診断時期
１１０ リスク分析部
１１１ 脆弱性情報データベース（ＤＢ）
１１２ 分析ルール格納部
１１３ 推論部
１１４ 攻撃グラフ情報出力部
１１５ 攻撃ルート抽出部
１１６ リスク値計算部
１２０ リスク変化推定部
１２１ 対策抽出部
１２２ リスク時系列変化推定部
１３０ 対策決定部
１３１ 対策効果検証部
１３２ 組み合わせ対策案構成部
１４０ 将来リスク推定情報部
１５０ 対策候補情報部
１７０ コスト及び予算情報
１８０ 診断時期決定部
１８１ リスク変化計算部
１８２ 次回診断時期決定部
１９０ 注意情報生成部
１９１ リスク値変化計算部
１９２ 注意時期決定部
９０００ コンピュータ
９０１０ ＣＰＵ
９０２０ 通信インタフェース
９０３０ メモリ
９０４０ 補助記憶装置

Claims (9)

1. 診断対象のシステムに含まれる一つ以上の資産のリスク値を計算する機能部と、
   前記機能部の計算する前記資産のリスク値の将来のリスク推定値を推定する、リスク変化推定部と、
   リスク変化推定部で推定された前記将来のリスク推定値に基づいて対策案を選択する対策決定部を含む、セキュリティ対策立案システムであって
   選択した前記対策案に対して、前記リスク推定値が、決められた閾値以上になると推定される時期を、次回診断時期及び再度リスク分析を行う時期として決定する診断時期決定部をさらに含み、
   前記次回診断時期と前記再度リスク分析を行う時期を決定する前記閾値は、異なった値である、セキュリティ対策立案システム。
2. 前記リスク変化推定部は、事業被害レベル、脅威レベル、脆弱性レベルの少なくとも１つの将来の変化の推定値に基づいて、前記将来のリスク推定値を推定する、請求項１に記載のセキュリティ対策立案システム。
3. 前記リスク変化推定部は、前記診断対象のシステムの構成変更履歴、ホストの資産種別、前記資産のリスク値の計算時の前記診断対象のシステムの資産の集約状態、前記診断対象のシステムの資産の運用ルール及び、攻撃コード出現確率と脅威予測の少なくとも一つに基づいて、前記脅威レベルの将来の変化の推定値を推定する、請求項２に記載のセキュリティ対策立案システム。
4. 前記リスク変化推定部は、
   各対策に対して、適用可能な前記資産の対策個所を抽出し、
   前記対策と前記対策個所の組について、対策種別と、対策導入可能時期と、対策の効果の変動情報の少なくとも一つに基づいて、前記対策を導入した場合の前記脆弱性レベルの将来の変化の推定値を推定する、請求項２又は３に記載のセキュリティ対策立案システム。
5. 前記対策決定部は、前記将来のリスク推定値と、対策ポリシーと、前記対策に要するコストを用いて、前記対策案を決定する、請求項４に記載のセキュリティ対策立案システム。
6. 前記対策決定部は、前記リスク変化推定部で推定された前記将来のリスク推定値と、入力された前記対策ポリシーと、前記対策に要するコストと、対策コスト及び予算情報とに従って最終的な対策案を決定する、請求項５に記載のセキュリティ対策立案システム。
7. 選択した前記対策案に対して、前記対策案の前記資産のリスク値が高くなると予想される時期の情報を生成する、注意情報生成部をさらに含む、請求項１から６のいずれか一項に記載のセキュリティ対策立案システム。
8. 診断対象のシステムに含まれる一つ以上の資産のリスク値を計算するステップと、
   計算された前記資産のリスク値の将来のリスク推定値を推定する、リスク変化推定ステップと、
   推定された前記将来のリスク推定値に基づいて対策案を選択する対策決定ステップを含む、セキュリティ対策立案方法であって、
   選択した前記対策案に対して、前記リスク推定値が、決められた閾値以上になると推定される時期を、次回診断時期及び再度リスク分析を行う時期として決定する診断時期決定ステップをさらに含み、
   前記次回診断時期と前記再度リスク分析を行う時期を決定する前記閾値は、異なった値である、セキュリティ対策立案方法。
9. コンピュータに、
   診断対象のシステムに含まれる一つ以上の資産のリスク値を計算する処理と、
   計算された前記資産のリスク値の将来のリスク推定値を推定する、リスク変化推定処理と、
   推定された前記将来のリスク推定値に基づいて対策案を選択する対策決定処理と、
   選択した前記対策案に対して、前記リスク推定値が、決められた閾値以上になると推定される時期を、次回診断時期及び再度リスク分析を行う時期として決定する診断時期決定処理、を実行させ、
   前記次回診断時期と前記再度リスク分析を行う時期を決定する前記閾値は、異なった値である、プログラム。

Images