知財求人 - 知財ポータルサイト「IP Force」
(19)【発行国】日本国特許庁(JP)
(12)【公報種別】公開特許公報(A)
(11)【公開番号】P2022179929
(43)【公開日】2022-12-06
(54)【発明の名称】攻撃シナリオ生成装置及び攻撃シナリオ生成方法
(51)【国際特許分類】
G06F 21/57 20130101AFI20221129BHJP
【ＦＩ】
G06F21/57 370
【審査請求】未請求
【請求項の数】8
【出願形態】ＯＬ
(21)【出願番号】P 2021086749
(22)【出願日】2021-05-24
(71)【出願人】
【識別番号】000005108
【氏名又は名称】株式会社日立製作所
(74)【代理人】
【識別番号】110000925
【氏名又は名称】弁理士法人信友国際特許事務所
(72)【発明者】
【氏名】小倉 貴志
(72)【発明者】
【氏名】藤田 淳也
(72)【発明者】
【氏名】山田 勉
(57)【要約】 （修正有）
【課題】過去の攻撃事例の再現に限らない攻撃シナリオを生成する攻撃シナリオ生成装置及び攻撃シナリオ生成方法を提供する。
【解決手段】攻撃シナリオ生成システム１において、攻撃シナリオ生成装置は、攻撃技術評価部、攻撃シナリオ生成部及び攻撃シナリオ出力部を備える。攻撃技術評価部は、攻撃シナリオの生成条件、サイバー攻撃の攻撃事例の情報、サイバー攻撃が実行される行動を規定した攻撃戦術及び攻撃戦術を実現する攻撃技術を取得して、攻撃事例毎に攻撃技術を評価する。攻撃シナリオ生成部は、サイバー攻撃の攻撃目標を含むシステムのシステム情報及びシステムの構成要素のセキュリティ対策情報のうち、少なくとも一つの情報と攻撃技術の評価結果とに基づいて、攻撃技術の評価が高い少なくとも一つ以上の攻撃技術を含むシステムに対する攻撃シナリオを生成する。攻撃シナリオ出力部は、攻撃シナリオを出力する。
【選択図】図１
【解決手段】攻撃シナリオ生成システム１において、攻撃シナリオ生成装置は、攻撃技術評価部、攻撃シナリオ生成部及び攻撃シナリオ出力部を備える。攻撃技術評価部は、攻撃シナリオの生成条件、サイバー攻撃の攻撃事例の情報、サイバー攻撃が実行される行動を規定した攻撃戦術及び攻撃戦術を実現する攻撃技術を取得して、攻撃事例毎に攻撃技術を評価する。攻撃シナリオ生成部は、サイバー攻撃の攻撃目標を含むシステムのシステム情報及びシステムの構成要素のセキュリティ対策情報のうち、少なくとも一つの情報と攻撃技術の評価結果とに基づいて、攻撃技術の評価が高い少なくとも一つ以上の攻撃技術を含むシステムに対する攻撃シナリオを生成する。攻撃シナリオ出力部は、攻撃シナリオを出力する。
【選択図】図１
【特許請求の範囲】
【請求項1】
サイバー攻撃の行動を模擬した攻撃シナリオの生成条件、前記サイバー攻撃の攻撃事例の情報、前記サイバー攻撃が実行される行動を規定した攻撃戦術、及び前記攻撃戦術を実現する攻撃技術を取得して、前記攻撃事例ごとに前記攻撃技術を評価する攻撃技術評価部と、
前記サイバー攻撃の攻撃目標を含むコンピューターシステムのシステム情報、及び前記コンピューターシステムの構成要素のセキュリティ対策情報のうち、少なくとも一つの情報と、前記攻撃技術の評価結果とに基づいて、前記攻撃技術の評価が高い少なくとも一つ以上の前記攻撃技術を含む、前記コンピューターシステムに対する前記攻撃シナリオを生成する攻撃シナリオ生成部と、
前記攻撃シナリオを出力する攻撃シナリオ出力部と、を備える
攻撃シナリオ生成装置。
前記サイバー攻撃の攻撃目標を含むコンピューターシステムのシステム情報、及び前記コンピューターシステムの構成要素のセキュリティ対策情報のうち、少なくとも一つの情報と、前記攻撃技術の評価結果とに基づいて、前記攻撃技術の評価が高い少なくとも一つ以上の前記攻撃技術を含む、前記コンピューターシステムに対する前記攻撃シナリオを生成する攻撃シナリオ生成部と、
前記攻撃シナリオを出力する攻撃シナリオ出力部と、を備える
攻撃シナリオ生成装置。
【請求項2】
前記攻撃シナリオ生成部は、前記コンピューターシステムの前記構成要素に対する攻撃順序を規定した攻撃パスを生成し、前記攻撃技術の評価結果に基づき、前記構成要素ごとに前記攻撃技術の組み合わせからなる前記攻撃シナリオを生成する
請求項１に記載の攻撃シナリオ生成装置。
請求項１に記載の攻撃シナリオ生成装置。
【請求項3】
前記攻撃シナリオ生成部は、複数の前記攻撃シナリオを生成し、
前記攻撃シナリオ出力部は、前記攻撃技術の評価結果に応じて複数の前記攻撃シナリオを出力する
請求項２に記載の攻撃シナリオ生成装置。
前記攻撃シナリオ出力部は、前記攻撃技術の評価結果に応じて複数の前記攻撃シナリオを出力する
請求項２に記載の攻撃シナリオ生成装置。
【請求項4】
前記攻撃技術評価部は、前記攻撃事例が記憶される攻撃事例記憶部と、前記サイバー攻撃が実行される行動を示す攻撃戦術、及び前記攻撃戦術を実現可能な具体的な攻撃技術とが記憶される攻撃戦術及び攻撃技術記憶部とを参照して、前記攻撃シナリオの生成条件に基づき、前記攻撃技術を評価する
請求項３に記載の攻撃シナリオ生成装置。
請求項３に記載の攻撃シナリオ生成装置。
【請求項5】
事例情報入力部から入力された新たな攻撃事例の情報を分析する事例情報分析部と、
前記新たな攻撃事例の情報の分析結果を確認可能に出力し、前記分析結果への編集を受付け、確認及び編集された前記分析結果、並びに前記新たな攻撃事例の情報を前記攻撃事例記憶部に記憶する分析結果確認編集部と、を備える
請求項４に記載の攻撃シナリオ生成装置。
前記新たな攻撃事例の情報の分析結果を確認可能に出力し、前記分析結果への編集を受付け、確認及び編集された前記分析結果、並びに前記新たな攻撃事例の情報を前記攻撃事例記憶部に記憶する分析結果確認編集部と、を備える
請求項４に記載の攻撃シナリオ生成装置。
【請求項6】
前記攻撃技術に対する対策内容を記憶した対策内容記憶部を参照して、前記攻撃シナリオに含まれる前記攻撃技術への前記対策内容を検討する対策検討部と、を備える
請求項４に記載の攻撃シナリオ生成装置。
請求項４に記載の攻撃シナリオ生成装置。
【請求項7】
前記コンピューターシステムの構成要素及び前記対策内容の効果に基づいて、前記対策検討部による前記対策内容の検討結果を推奨対策として出力する推奨対策出力部と、を備える
請求項６に記載の攻撃シナリオ生成装置。
請求項６に記載の攻撃シナリオ生成装置。
【請求項8】
サイバー攻撃の行動を模擬した攻撃シナリオの生成条件、前記サイバー攻撃の攻撃事例の情報、及び前記サイバー攻撃が実行される行動を規定した攻撃戦術、及び前記攻撃戦術を実現する攻撃技術を取得して、前記攻撃事例ごとに前記サイバー攻撃の攻撃技術を評価する処理と、
前記サイバー攻撃の攻撃目標を含むコンピューターシステムのシステム情報、及び前記コンピューターシステムの構成要素のセキュリティ対策情報のうち、少なくとも一つの情報と、前記攻撃技術の評価結果とに基づいて、前記攻撃技術の評価が高い少なくとも一つ以上の前記攻撃技術を含む、前記コンピューターシステムに対する前記攻撃シナリオを生成する処理と、
前記攻撃シナリオを出力する処理と、を含む
攻撃シナリオ生成方法。
前記サイバー攻撃の攻撃目標を含むコンピューターシステムのシステム情報、及び前記コンピューターシステムの構成要素のセキュリティ対策情報のうち、少なくとも一つの情報と、前記攻撃技術の評価結果とに基づいて、前記攻撃技術の評価が高い少なくとも一つ以上の前記攻撃技術を含む、前記コンピューターシステムに対する前記攻撃シナリオを生成する処理と、
前記攻撃シナリオを出力する処理と、を含む
攻撃シナリオ生成方法。
【発明の詳細な説明】
【技術分野】
【0001】
本発明は、攻撃シナリオ生成装置及び攻撃シナリオ生成方法に関する。
【背景技術】
【0002】
現在、コンピューターシステム（以下、「システム」と略称する）に対するサイバー攻撃（例えば、秘密管理される情報資産への不正アクセスなど）は深刻な問題となっており、システムを安全に運用する上でサイバー攻撃への対策は必須である。そこで、サイバー攻撃の攻撃者（人又はプログラム等）の行動を模擬したサイバー攻撃シナリオ（「攻撃シナリオ」又は「シナリオ」とも略称する）をベースとして対策を立案することは、対策内容の洗い出しが可能である点や対策の優先順位付けが可能である点から有用である。
【0003】
このサイバー攻撃シナリオをベースとした対策立案を具体的な対策技術のレベルで行うためには、攻撃者が使用する「攻撃技術」といった攻撃者の詳細な行動までを規定した攻撃シナリオが必要となる。ここで、攻撃技術は、攻撃の目的を達成するための具体的な技術（システムへの侵入にメールを用いる、ＵＳＢメモリ経由とする等）である。このため、攻撃技術は、攻撃の目標に対応しており、攻撃技術をカテゴライズしたものが攻撃戦術である。攻撃戦術は、攻撃の目的（システムへの侵入、情報の窃取等）とほぼ同じ意味である。そして、攻撃戦術には、一又は複数の攻撃技術が含まれる。
【0004】
そして、攻撃技術の実行順を決めたものが攻撃シナリオである。詳細な攻撃シナリオにより、対策立案者（以下、「利用者」と呼ぶ）は、攻撃戦術や攻撃技術に対応する具体的な対策技術レベルで対策を立案することが可能となる。そのため、実際の脅威を実現する攻撃戦術や攻撃技術までをも規定した攻撃シナリオを生成する方法及び装置が必要とされていた。
【0005】
上記の攻撃シナリオの生成方法に関して、特許文献１に開示された技術が知られている。特許文献１には、インシデントレポートの受領、キーワードの抽出、浅層機械学習技術、深層機械学習技術、シミュレーション、出力の順に処理を行う技術が開示されている。
【先行技術文献】
【特許文献】
【0006】
【特許文献1】特開２０１９－１４５０９１号公報
【発明の概要】
【発明が解決しようとする課題】
【0007】
ところで、従来の攻撃者の行動を模擬したサイバー攻撃シナリオは抽象度が高く、技術的なセキュリティ対策の立案に繋がらなかった。つまり、一般的な攻撃対象に対する攻撃シナリオが作成されるに過ぎず、具体的なシステムに対して有意義な対策立案が可能な攻撃シナリオを作成することが困難であった。
【0008】
また、特許文献１に開示された技術では、過去のサイバー攻撃の事例が別システムで再現されるものであった。しかし、特許文献１に開示された方法では、生成可能な攻撃シナリオが、攻撃の対象とされるシステム上で過去の事例を再現することに留まる。このため、生成可能な攻撃シナリオのバリエーションや精度に限界があり、対策立案を十分にカバーできなかった。
【0009】
本発明はこのような状況に鑑みて成されたものであり、過去の攻撃事例の再現に限らない攻撃シナリオを生成することを目的とする。
【課題を解決するための手段】
【0010】
本発明に係る攻撃シナリオ生成装置は、サイバー攻撃の行動を模擬した攻撃シナリオの生成条件、サイバー攻撃の攻撃事例の情報、サイバー攻撃が実行される行動を規定した攻撃戦術、及び攻撃戦術を実現する攻撃技術を取得して、攻撃事例ごとに攻撃技術を評価する攻撃技術評価部と、サイバー攻撃の攻撃目標を含むコンピューターシステムのシステム情報、及びコンピューターシステムの構成要素のセキュリティ対策情報のうち、少なくとも一つの情報と、攻撃技術の評価結果とに基づいて、攻撃技術の評価が高い少なくとも一つ以上の攻撃技術を含む、コンピューターシステムに対する攻撃シナリオを生成する攻撃シナリオ生成部と、攻撃シナリオを出力する攻撃シナリオ出力部と、を備える。
【発明の効果】
【0011】
本発明によれば、攻撃シナリオの生成条件を入力することで、評価が高い攻撃技術を含む攻撃シナリオが生成されるので、過去の攻撃事例の再現に限らず、サイバー攻撃に対する対策を検討することができる。
上記した以外の課題、構成及び効果は、以下の実施形態の説明により明らかにされる。
上記した以外の課題、構成及び効果は、以下の実施形態の説明により明らかにされる。
【図面の簡単な説明】
【0012】
【図1】本発明の第１の実施形態に係る攻撃シナリオ生成システムの機能構成例を示す機能ブロック図である。
【図2】本発明の第１の実施形態に係る攻撃シナリオ生成システムのシステム構成例を示すブロック図である。
【図3】本発明の第１の実施形態に係る攻撃事例記憶部に記憶されている攻撃事例情報の一例を示す図である。
【図4】本発明の第１の実施形態に係る攻撃戦術／技術記憶部に記憶されている攻撃戦術／技術情報の一例を示す図である。
【図5】本発明の第１の実施形態に係る攻撃シナリオ条件入力画面の表示例を示す図である。
【図6】本発明の第１の実施形態に係る評価結果一覧表の構成例を示す図である。
【図7】本発明の第１の実施形態に係るシステム情報入力部で入力されるシステムのシステム構成例を示す図である。
【図8】本発明の第１の実施形態に係るシステム構成情報の構成例を示す図である。
【図9】本発明の第１の実施形態に係るシステム情報入力画面の表示例を示す図である。
【図10】本発明の第１の実施形態に係る攻撃シナリオ生成部がシナリオを生成する処理の例を示すフローチャートである。
【図11】本発明の第１の実施形態に係る攻撃シナリオ一覧表を示す。
【図12】本発明の第１の実施形態に係るシナリオ出力画面の例を示す図である。
【図13】本発明の第２の実施形態に係る攻撃シナリオ生成システムの機能構成例を示す機能ブロック図である。
【図14】本発明の第２の実施形態に係る事例情報入力画面の表示例を示す図である。
【図15】本発明の第２の実施形態に係る確認編集画面の表示例を示す図である。
【図16】本発明の第２の実施形態に係る新たな攻撃事例の情報が追加された攻撃事例情報の一例を示す図である。
【図17】本発明の第３の実施形態に係る攻撃シナリオ生成システムの機能構成例を示す機能ブロック図である。
【図18】本発明の第３の実施形態に係る対策内容情報の一例を示す図である。
【図19】本発明の第３の実施形態に係る攻撃技術／対策の対応関係の一例を示す図である。
【図20】本発明の第３の実施形態に係る対策画面の表示例を示す図である。
【発明を実施するための形態】
【0013】
以下、本発明を実施するための形態について、添付図面を参照して説明する。本明細書及び図面において、実質的に同一の機能又は構成を有する構成要素については、同一の符号を付することにより重複する説明を省略する。
【0014】
［第１の実施形態］
図１は、第１の実施形態に係る攻撃シナリオ生成システム１の機能構成例を示す機能ブロック図である。
第１の実施の形態に係る攻撃シナリオ生成システム１は、攻撃シナリオ生成条件入力部１０１、システム情報入力部１０２、攻撃事例記憶部１０５、攻撃戦術／技術記憶部１０６、及び攻撃シナリオ生成装置２０を備える。
図１は、第１の実施形態に係る攻撃シナリオ生成システム１の機能構成例を示す機能ブロック図である。
第１の実施の形態に係る攻撃シナリオ生成システム１は、攻撃シナリオ生成条件入力部１０１、システム情報入力部１０２、攻撃事例記憶部１０５、攻撃戦術／技術記憶部１０６、及び攻撃シナリオ生成装置２０を備える。
【0015】
攻撃シナリオ生成装置２０は、例えば、後述する図７に示すような構成要素がそれぞれ接続されているコンピューターシステム７１０（以下、「システム７１０」と略称する。）に対するサイバー攻撃の攻撃シナリオを生成する装置である。なお、システム７１０の構成要素としては、例えば、図７に示すノートＰＣ７０２等が挙げられる。システム７１０の具体的なシステム構成については、後述する。
【0016】
攻撃シナリオ生成条件入力部１０１は、攻撃シナリオの生成に対する条件を攻撃技術評価部１０３に入力する。
システム情報入力部１０２は、シナリオ生成の対象となるシステム７１０のシステム構成７００と、システム構成情報８００とからなるシステム情報を入力する。ここで、システム構成７００は、各機器の接続状況を表す。また、システム構成情報８００は、各機器の機器情報を表す。
システム情報入力部１０２は、シナリオ生成の対象となるシステム７１０のシステム構成７００と、システム構成情報８００とからなるシステム情報を入力する。ここで、システム構成７００は、各機器の接続状況を表す。また、システム構成情報８００は、各機器の機器情報を表す。
【0017】
攻撃事例記憶部１０５には、過去に行われた複数の攻撃事例に関する情報として攻撃事例情報３００が記憶されている。
攻撃戦術／技術記憶部１０６（攻撃戦術及び攻撃技術記憶部の一例）には、サイバー攻撃が実行される行動を示す攻撃戦術、及び攻撃戦術を実現可能な具体的な攻撃技術に関する情報として攻撃戦術／技術情報４００が記憶されている。
攻撃戦術／技術記憶部１０６（攻撃戦術及び攻撃技術記憶部の一例）には、サイバー攻撃が実行される行動を示す攻撃戦術、及び攻撃戦術を実現可能な具体的な攻撃技術に関する情報として攻撃戦術／技術情報４００が記憶されている。
【0018】
以下、攻撃シナリオ生成装置２０の各ブロック（機能部）の構成例及び動作例について説明する。この攻撃シナリオ生成装置２０は、攻撃技術評価部１０３、攻撃シナリオ生成部１０４、及び攻撃シナリオ出力部１０７を備える。
【0019】
攻撃技術評価部１０３は、サイバー攻撃の行動を模擬した攻撃シナリオの生成条件、サイバー攻撃の攻撃事例の情報、サイバー攻撃が実行される行動を規定した攻撃戦術、及び攻撃戦術を実現する攻撃技術を取得して、攻撃事例ごとに攻撃技術を評価する。この際、攻撃技術評価部１０３は、攻撃事例記憶部１０５と、攻撃戦術／技術記憶部１０６とを参照して、攻撃シナリオの生成条件に基づき、攻撃技術を評価する。例えば、攻撃技術評価部１０３は、攻撃事例記憶部１０５から攻撃事例情報３００を読み出し、攻撃戦術／技術記憶部１０６からサイバー攻撃の戦術及び技術を含む攻撃戦術／技術情報４００を読み出す。そして、攻撃技術評価部１０３は、攻撃シナリオ生成条件入力部１０１から入力された攻撃シナリオの生成条件と、攻撃事例情報３００及び攻撃戦術／技術情報４００を基に、各攻撃技術がどの程度、シナリオ生成に用いるのに適切かを評価し、評価結果を攻撃シナリオ生成部１０４に出力する。
なお、本明細書では、攻撃技術に対して評価との表現を用いるが、評価の指標であればよく、評価点、評価値、評価指標などその表現は問わない。
なお、本明細書では、攻撃技術に対して評価との表現を用いるが、評価の指標であればよく、評価点、評価値、評価指標などその表現は問わない。
【0020】
攻撃シナリオ生成部１０４は、サイバー攻撃の攻撃目標を含むシステム７１０（図７を参照）のシステム情報、及びシステム７１０の構成要素のセキュリティ対策情報のうち、少なくとも一つの情報と、攻撃技術の評価結果とに基づいて、攻撃技術の評価が高い少なくとも一つ以上の攻撃技術を含む、システム７１０に対する攻撃シナリオを生成する。例えば、攻撃シナリオ生成部１０４は、攻撃技術評価部１０３が評価した各攻撃技術の評価結果と、システム情報入力部１０２から入力されたシステム構成７００と、システム構成情報８００とを用いて攻撃シナリオを生成する。この際、攻撃シナリオ生成部１０４は、システム７１０の構成要素に対する攻撃順序を規定した攻撃パスを生成し、攻撃技術の評価結果に基づき、構成要素ごとに攻撃技術の組み合わせからなる攻撃シナリオを生成する。そして、攻撃シナリオ生成部１０４は、少なくとも一つ以上の攻撃シナリオを生成する。
【0021】
攻撃シナリオ出力部１０７は、攻撃シナリオ生成部１０４が生成完了した攻撃シナリオを出力する。そして、攻撃シナリオ出力部１０７は、攻撃技術の評価結果に応じて複数の攻撃シナリオを出力する。攻撃シナリオ出力部１０７が出力した攻撃シナリオは、図２に示す端末装置２６－１，２６－２等の攻撃シナリオ生成装置２０外部の表示装置に表示される。なお、攻撃シナリオ生成システム１に構成される各記憶部や演算部は、ＣＰＵ（Central Processing Unit）又はＰＣ（Personal Computer）そのもので構成されてもよい。
【0022】
図２は、攻撃シナリオ生成システム１のシステム構成例を示すブロック図である。
攻撃シナリオ生成システム１は、攻撃シナリオ生成装置２０、記憶装置２４、及び端末装置２６－１，２６－２の入力部で構成されており、これらの装置の機能がコンピューターで実現される。そして、攻撃シナリオ生成装置２０に対して、端末装置２６－１，２６－２が接続される。
攻撃シナリオ生成システム１は、攻撃シナリオ生成装置２０、記憶装置２４、及び端末装置２６－１，２６－２の入力部で構成されており、これらの装置の機能がコンピューターで実現される。そして、攻撃シナリオ生成装置２０に対して、端末装置２６－１，２６－２が接続される。
【0023】
攻撃シナリオ生成装置２０は、バスなどで互いに接続されたＣＰＵで機能が実現される処理部２１、メモリ２２及び入出力Ｉ／Ｆ２３で構成される。
【0024】
処理部２１は、攻撃技術評価部１０３、攻撃シナリオ生成部１０４、事例情報分析部１３０２、分析結果確認編集部１３０３、攻撃シナリオ出力部１０７、対策検討部１７０２、及び推奨対策出力部１７０３を有している。ここで、事例情報分析部１３０２及び分析結果確認編集部１３０３は、第２の実施の形態に係る処理部２１が有する機能部であり、対策検討部１７０２及び推奨対策出力部１７０３は、第３の実施の形態に係る処理部２１が有する機能部である。処理部２１が有する各機能部は、攻撃シナリオ生成装置２０を構成するＣＰＵで実行されるプログラムで実現可能である。つまり、各実施形態に係る各機能は、プログラムをメモリ２２に展開し、これらの各機能、演算を処理部２１で実行することで実現される。
【0025】
攻撃シナリオ生成装置２０は、入出力Ｉ／Ｆ２３を介して記憶装置２４と接続する。
記憶装置２４は、攻撃事例情報３００、攻撃戦術／技術情報４００、対策内容情報１８００を記憶する。また、記憶装置２４には、図１に示した攻撃事例記憶部１０５、攻撃戦術／技術記憶部１０６の他、対策内容情報１８００を格納する対策内容記憶部１７０１が構成される。対策内容情報１８００及び対策内容記憶部１７０１の機能は、第３の実施の形態に係る処理部２１が用いる。
なお、記憶装置２４は、攻撃シナリオ生成装置２０の内部に設けてもよい。
記憶装置２４は、攻撃シナリオ生成装置２０によって実行されるプログラムを格納したコンピューター読取可能な非一過性の記憶媒体の一例である。
記憶装置２４は、攻撃事例情報３００、攻撃戦術／技術情報４００、対策内容情報１８００を記憶する。また、記憶装置２４には、図１に示した攻撃事例記憶部１０５、攻撃戦術／技術記憶部１０６の他、対策内容情報１８００を格納する対策内容記憶部１７０１が構成される。対策内容情報１８００及び対策内容記憶部１７０１の機能は、第３の実施の形態に係る処理部２１が用いる。
なお、記憶装置２４は、攻撃シナリオ生成装置２０の内部に設けてもよい。
記憶装置２４は、攻撃シナリオ生成装置２０によって実行されるプログラムを格納したコンピューター読取可能な非一過性の記憶媒体の一例である。
【0026】
図２に示した事例情報分析部１３０２、分析結果確認編集部１３０３は、後述する第２の実施形態で用いられるので、第１の実施形態では使用されなくてもよい。
また、対策検討部１７０２、推奨対策出力部１７０３は、第３の実施形態で用いられるので、第１の実施形態では使用されなくてもよい。また、対策内容情報１８００及び対策内容記憶部１７０１は、第３の実施形態で用いられる情報であるので、第１の実施形態では記憶装置２４に格納されていなくてもよい。
また、対策検討部１７０２、推奨対策出力部１７０３は、第３の実施形態で用いられるので、第１の実施形態では使用されなくてもよい。また、対策内容情報１８００及び対策内容記憶部１７０１は、第３の実施形態で用いられる情報であるので、第１の実施形態では記憶装置２４に格納されていなくてもよい。
【0027】
攻撃シナリオ生成装置２０は、入出力Ｉ／Ｆ２３を介して、各種の端末装置２６－１，２６－２と接続する。
端末装置２６－１，２６－２は、それぞれＰＣ等のコンピューターで実現され、攻撃シナリオ生成装置２０の利用者からの入力を受け付けたり、攻撃シナリオ生成装置２０の処理結果を表示したりする機能を有する。つまり、端末装置２６－１，２６－２は、図１の攻撃シナリオ生成条件入力部１０１、システム情報入力部１０２、図１３の事例情報入力部１３０１として機能する。端末装置２６－１は、攻撃シナリオ生成装置２０に直接接続される。端末装置２６－２は、ネットワーク２５を介して、攻撃シナリオ生成装置２０に接続される。
端末装置２６－１，２６－２は、それぞれＰＣ等のコンピューターで実現され、攻撃シナリオ生成装置２０の利用者からの入力を受け付けたり、攻撃シナリオ生成装置２０の処理結果を表示したりする機能を有する。つまり、端末装置２６－１，２６－２は、図１の攻撃シナリオ生成条件入力部１０１、システム情報入力部１０２、図１３の事例情報入力部１３０１として機能する。端末装置２６－１は、攻撃シナリオ生成装置２０に直接接続される。端末装置２６－２は、ネットワーク２５を介して、攻撃シナリオ生成装置２０に接続される。
【0028】
なお、端末装置２６－１，２６－２は、攻撃シナリオ生成装置２０と一体化して構成されてもよい。つまり、攻撃シナリオ生成装置２０に表示装置及び入出力装置を設けてもよい。攻撃シナリオ生成システム１の一構成要素として端末装置２６－１，２６－２を構成する場合、後述する図７に示すデスクトップＰＣ７０１、ノートＰＣ７０２、制御サーバ７０３及びコントローラ７０４に、攻撃シナリオ生成装置２０の機能を持たせるとよい。
【0029】
また、攻撃シナリオ生成装置２０は、インターネット２７に接続し、攻撃シナリオ生成システム１の外部から情報を取得することも可能である。例えば、攻撃シナリオ生成装置２０は、インターネット２７を介して接続される検証対象のシステムから攻撃事例情報３００を受信してもよい。
【0030】
図３は、攻撃事例記憶部１０５に記憶されている攻撃事例情報３００の一例を示す図である。
攻撃事例情報３００には、攻撃事例を分析した結果であるサイバー攻撃事例に関連する各種の情報が含まれる。攻撃事例情報３００は、攻撃事例ごとに、事例番号３１０、時期３２０、業種３３０、地域３４０、システム構成特徴３５０、攻撃目標３６０、攻撃目的３７０、攻撃技術３８０の各項目の情報が対応付けて構成される。以下に、攻撃事例情報３００の各項目について説明する。
攻撃事例情報３００には、攻撃事例を分析した結果であるサイバー攻撃事例に関連する各種の情報が含まれる。攻撃事例情報３００は、攻撃事例ごとに、事例番号３１０、時期３２０、業種３３０、地域３４０、システム構成特徴３５０、攻撃目標３６０、攻撃目的３７０、攻撃技術３８０の各項目の情報が対応付けて構成される。以下に、攻撃事例情報３００の各項目について説明する。
【0031】
事例番号３１０には、攻撃事例を一意に表す事例番号が格納される。
時期３２０には、攻撃事例の発生時期が格納される。図３の例では、「２０００」、「２０２０」、「２０１８」、「２０１０」などの攻撃事例の発生年が時期として格納される。
業種３３０には、攻撃の対象とされたシステムが属する業種の業種名が格納される。図３の例では、鉄道、自動車製造、電力などの業種が挙げられる。
時期３２０には、攻撃事例の発生時期が格納される。図３の例では、「２０００」、「２０２０」、「２０１８」、「２０１０」などの攻撃事例の発生年が時期として格納される。
業種３３０には、攻撃の対象とされたシステムが属する業種の業種名が格納される。図３の例では、鉄道、自動車製造、電力などの業種が挙げられる。
【0032】
地域３４０には、攻撃の対象とされたシステムが存在する物理的な存在場所として地域名が格納される。図３の例では、北米、欧州、アジアなどの地域名が地域３４０に格納される。他にも、地域３４０には、アフリカや南米などの地域名が含まれる。また、地域名でなく、国名が地域３４０に格納されてもよい。
システム構成特徴３５０には、攻撃の対象とされたシステムの構成の特徴が格納される。図３の例では、リモートデスクトップの利用、クラウド接続、ＶＰＮ（Virtual Private Network）の利用などの構成特徴が含まれる。
システム構成特徴３５０には、攻撃の対象とされたシステムの構成の特徴が格納される。図３の例では、リモートデスクトップの利用、クラウド接続、ＶＰＮ（Virtual Private Network）の利用などの構成特徴が含まれる。
【0033】
攻撃目標３６０には、攻撃の対象とされたシステム内で最終的な攻撃の目標となったシステムの構成要素（「システム構成要素」とも呼ぶ）の要素名が格納される図３の例では、デスクトップＰＣ、コントローラ、制御サーバなどがシステム構成要素として挙げられる。
【0034】
攻撃目的３７０には、攻撃の目的が格納される。図３の例では、攻撃の目的として、データの盗取、データの改ざん、システムの停止などが挙げられる。その他、データの破壊や目的不明などもある。
攻撃技術３８０には、各攻撃事例内で使用された攻撃技術が格納される。図３の例では、フィッシングメール、コマンドライン利用、遠隔ファイルコピー、ＡＰＩ（Application Programing Interface）の利用、物理機器の接続、リモート接続サービスの悪用などが挙げられる。
攻撃技術３８０には、各攻撃事例内で使用された攻撃技術が格納される。図３の例では、フィッシングメール、コマンドライン利用、遠隔ファイルコピー、ＡＰＩ（Application Programing Interface）の利用、物理機器の接続、リモート接続サービスの悪用などが挙げられる。
【0035】
なお、図３では、攻撃事例情報３００の事例ごとに情報をまとめたが、攻撃事例の統計処理などの結果を攻撃事例情報３００に加えてもよい。
【0036】
図４は、攻撃戦術／技術記憶部１０６に記憶されている攻撃戦術／技術情報４００の一例を示す図である。
【0037】
攻撃戦術／技術情報４００は、攻撃戦術識別番号４１０、攻撃戦術名４２０、攻撃技術識別番号４３０、攻撃技術名４４０の項目を持つ情報である。
攻撃戦術識別番号４１０には、想定される攻撃戦術の戦術を識別するための攻撃戦術識別番号が格納される。
攻撃戦術名４２０には、想定される攻撃戦術の戦術名が格納される。図４の例の場合、初期侵入、攻撃コードの実行、他資産への移動がある。資産とは、例えば、図７に示すシステム７１０の各構成機器である。その他、攻撃戦術名４２０には、権限昇格、認証情報アクセス、情報収集、データ持出などの攻撃戦術名が格納されてもよい。
攻撃技術識別番号４３０には、攻撃技術を一意に識別するための攻撃技術識別番号が格納される。図４に示す例の場合、攻撃戦術識別番号に枝番を付した番号が攻撃技術識別番号として用いられる。
攻撃戦術識別番号４１０には、想定される攻撃戦術の戦術を識別するための攻撃戦術識別番号が格納される。
攻撃戦術名４２０には、想定される攻撃戦術の戦術名が格納される。図４の例の場合、初期侵入、攻撃コードの実行、他資産への移動がある。資産とは、例えば、図７に示すシステム７１０の各構成機器である。その他、攻撃戦術名４２０には、権限昇格、認証情報アクセス、情報収集、データ持出などの攻撃戦術名が格納されてもよい。
攻撃技術識別番号４３０には、攻撃技術を一意に識別するための攻撃技術識別番号が格納される。図４に示す例の場合、攻撃戦術識別番号に枝番を付した番号が攻撃技術識別番号として用いられる。
【0038】
攻撃技術名４４０は、攻撃戦術を実現する技術である。図４に示す例の場合、攻撃技術名４４０として以下の攻撃技術名が格納される。
・フィッシングメール
・物理機器の接続
・コマンドラインの利用
・ＡＰＩ（Application Programing Interface）の利用
・リモート接続サービスの悪用
・遠隔ファイルコピー
・フィッシングメール
・物理機器の接続
・コマンドラインの利用
・ＡＰＩ（Application Programing Interface）の利用
・リモート接続サービスの悪用
・遠隔ファイルコピー
【0039】
図５は、攻撃シナリオ条件入力画面５００の表示例を示す図である。攻撃シナリオ条件入力画面５００は、攻撃シナリオ生成条件入力部１０１の一例である。
【0040】
攻撃シナリオ条件入力画面５００では、条件１と条件２が入力可能である。なお、第１の実施形態では、２つの条件が入力されているが２つに限るものではない。１つ又は３つ以上の条件が入力されてもよい。攻撃シナリオ条件入力画面５００では、入力情報の一覧が表示されており、条件としては未決定の状態である。
【0041】
条件１は、プルダウン５１０で地域が選択される。プルダウン５１０により、攻撃事例情報３００に対応付けられる時期３２０、業種３３０、地域３４０、システム構成特徴３５０、攻撃目標３６０、攻撃目的３７０などが選択される。また、プルダウン５２０では、プルダウン５１０で選択された地域の詳細情報が決定される。
【0042】
条件２では、フリーテキストボックス５３０により情報が入力される。攻撃シナリオ条件入力画面５００では、「業種：電力」が入力されている。
なお、攻撃シナリオ条件入力画面５００におけるフリーテキストボックス５３０への入力は、記号コロン「：」により、攻撃事例情報３００に対応付けられる時期３２０、業種３３０、地域３４０、システム構成特徴３５０、攻撃目標３６０、攻撃目的３７０などの項目と各項目詳細情報を対応付けたが、コロンに限定されるものではなくセミコロン「；」やハイフン「－」などの複数の情報の関係性を示すことができる記号であればよい。また、攻撃事例情報３００に対応付けられる情報以外にも、法律や標準、規格といった情報も入力されてよい。これら法律等の情報は、条件１の地域、条件２の業種、又はそれらの条件に記載されたセキュリティ対策内容（不図示）に基づいて、攻撃技術に結びつけることが可能である。
なお、攻撃シナリオ条件入力画面５００におけるフリーテキストボックス５３０への入力は、記号コロン「：」により、攻撃事例情報３００に対応付けられる時期３２０、業種３３０、地域３４０、システム構成特徴３５０、攻撃目標３６０、攻撃目的３７０などの項目と各項目詳細情報を対応付けたが、コロンに限定されるものではなくセミコロン「；」やハイフン「－」などの複数の情報の関係性を示すことができる記号であればよい。また、攻撃事例情報３００に対応付けられる情報以外にも、法律や標準、規格といった情報も入力されてよい。これら法律等の情報は、条件１の地域、条件２の業種、又はそれらの条件に記載されたセキュリティ対策内容（不図示）に基づいて、攻撃技術に結びつけることが可能である。
【0043】
そして、攻撃シナリオ条件入力画面５００は、条件を追加するための条件追加ボタン５４０、条件を決定するための条件決定ボタン５５０を含む。図５では、２つの条件が入力可能であるが、条件追加ボタン５４０が押されると３つ以上の条件を入力することが可能となる。また、攻撃シナリオ条件入力画面５００に表示された全ての条件が入力された後、条件決定ボタン５５０が押されると、入力された条件が決定される。
【0044】
図６は、評価結果一覧表４００Ａの構成例を示す図である。評価結果一覧表４００Ａは、図４に示した攻撃戦術／技術情報４００に評価４５０の項目を加えた構成としている。
評価４５０には、攻撃技術評価部１０３が攻撃戦術を評価した評価結果が格納される。
評価４５０には、攻撃技術評価部１０３が攻撃戦術を評価した評価結果が格納される。
【0045】
第１の実施形態では、図５に示した攻撃シナリオ条件入力画面５００により、攻撃シナリオ生成条件として条件１に地域を「北米」とし、条件２に業種を「電力」とした場合について評価結果一覧表４００Ａが構成される。そして、第１の実施形態では、攻撃技術評価部１０３が、条件１及び条件２に該当する攻撃事例（図３に示した攻撃事例情報３００中の事例番号３１０の１、２、４）で使用された攻撃技術３８０の数に着目し、攻撃技術３８０を評価した評価結果を評価４５０に格納する。ここで、評価４５０により、各攻撃技術には、以下のような評価結果が得られる。
・フィッシングメール：高（３回）
・物理機器の接続：無（０回）
・コマンドラインの利用：低（１回）
・ＡＰＩの利用：中（２回）
・リモート接続サービスの悪用：低（１回）
・遠隔ファイルコピー：中（２回）
・フィッシングメール：高（３回）
・物理機器の接続：無（０回）
・コマンドラインの利用：低（１回）
・ＡＰＩの利用：中（２回）
・リモート接続サービスの悪用：低（１回）
・遠隔ファイルコピー：中（２回）
【0046】
なお、第１の実施形態では、攻撃技術評価部１０３が２つの条件１，２を同価値として攻撃技術を評価しているが、条件番号や条件項目から一方の条件に重きをおいて攻撃技術を評価することもできる。また、第１の実施形態では、攻撃技術評価部１０３が、条件に該当する攻撃事例で使用された攻撃技術の数に着目して攻撃技術を評価した。しかし、攻撃シナリオ生成条件入力部１０１から攻撃技術自体が攻撃シナリオ生成条件として入力されることで、攻撃シナリオ生成部１０４がシナリオを生成する際に最優先で選択されうる攻撃技術として、入力された攻撃技術の評価を高めることも可能である。この場合、攻撃シナリオ生成条件入力部１０１から入力された攻撃技術が攻撃シナリオに選ばれやすくなる。
【0047】
次に、第１の実施形態に係るシナリオ生成方法について、具体例を用いて説明する。
始めに、攻撃対象、つまり、危険度の評価対象としてシステム情報入力部１０２で入力されるシステム７１０のシステム構成７００の具体例について説明する。
図７は、システム情報入力部１０２で入力されるシステム７１０のシステム構成例を示す図である。
始めに、攻撃対象、つまり、危険度の評価対象としてシステム情報入力部１０２で入力されるシステム７１０のシステム構成７００の具体例について説明する。
図７は、システム情報入力部１０２で入力されるシステム７１０のシステム構成例を示す図である。
【0048】
システム７１０は、デスクトップＰＣ７０１、ノートＰＣ７０２、制御サーバ７０３及びコントローラ７０４を構成要素とする。各システム構成要素は、他の構成要素と、以下のように接続されている。例えば、デスクトップＰＣ７０１は、ＬＡＮ（Local Area Network）等の通信回線を介してノートＰＣ７０２及び制御サーバ７０３と接続されている。ノートＰＣ７０２についても、ＬＡＮ等の通信回線を介してデスクトップＰＣ７０１及び制御サーバ７０３と接続されている。
【0049】
制御サーバ７０３は、ＬＡＮ等の通信回線を介してデスクトップＰＣ７０１、ノートＰＣ７０２及びコントローラ７０４と接続されている。コントローラ７０４は、ＬＡＮ等の通信回線を介して制御サーバ７０３と接続されている。なお、図７に示す構成要素のデスクトップＰＣ７０１～コントローラ７０４は、後述する図８に示す構成要素番号８１０の「１」～「４」に対応している。
【0050】
なお、攻撃シナリオ生成装置２０を、システム７１０と接続してもよいし、システム７１０の一構成要素として攻撃シナリオ生成装置２０を実現してもよい。システム７１０の一構成要素として攻撃シナリオ生成装置２０を構成する場合には、デスクトップＰＣ７０１、ノートＰＣ７０２、制御サーバ７０３、又はコントローラ７０４のいずれかに、攻撃シナリオ生成装置２０の機能を持たせる。
【0051】
【0052】
システム構成情報８００は、攻撃対象のシステムを構成する各システム構成要素についての各種の情報を含む。このシステム構成情報８００は、構成要素ごとに、構成要素番号８１０、機器名称８２０、機器種類８３０、機器役割８４０、ＯＳ（Operating System）８５０、マルウェア対策８６０、利用者管理８７０、物理アクセス８８０の項目を持つ情報である。
【0053】
構成要素番号８１０には、システム７１０の構成要素を一意に表す識別子である構成要素番号が格納される。
機器名称８２０には、機器、つまり、システム構成要素の名称が格納される。図８に示す例の場合、ノートＰＣ１、デスクトップＰＣ１、制御サーバ１、コントローラ１などがある。この他、機器には、スマートフォン、タブレット端末なども含まれる。
機器名称８２０には、機器、つまり、システム構成要素の名称が格納される。図８に示す例の場合、ノートＰＣ１、デスクトップＰＣ１、制御サーバ１、コントローラ１などがある。この他、機器には、スマートフォン、タブレット端末なども含まれる。
【0054】
機器種類８３０には、機器、つまり、システム構成要素の種類が格納される。図８に示す例の場合、ノートＰＣ、デスクトップＰＣ、サーバ、コントローラである。
機器役割８４０には、機器が担う役割が格納される。図８に示す例の場合、データ閲覧、データ入力／編集、コントローラ管理、機器の制御などである。
機器役割８４０には、機器が担う役割が格納される。図８に示す例の場合、データ閲覧、データ入力／編集、コントローラ管理、機器の制御などである。
【0055】
ＯＳ（基本ソフト）８５０には、各システム構成要素が搭載するＯＳ（基本ソフト）の種類及びＯＳのバージョンが格納される。図８に示す例の場合、ＯＳ１ ver.1、ＯＳ１ ver.2、ＯＳ３、ＯＳ４などがある。
【0056】
マルウェア対策８６０には、各システム構成要素におけるマルウェア対策の有無が格納される。図８に示す例では、ありの場合はシステム７１０の構成要素にはマルウェア対策が施されており、なしの場合はシステム７１０の構成要素は未対策であることを示している。例えば、システム７１０の構成要素にウイルス対策ソフトがインストールされていないか、ウイルス対策ソフトがインストールされていてもウイルス定義ファイルが最新のファイルにアップデートされていないことを、マルウェア対策が未対策と呼ぶ。
【0057】
利用者管理８７０には、各システム構成要素での利用者管理の有無が格納される。図８に示す例の場合、「あり」は利用者管理がされており、「なし」は利用者管理がされていないことを示している。
物理アクセス８８０には、該当危機に攻撃者が物理的にアクセス（接触）可能か否かの情報が格納される。図８に示す例の場合、ノートＰＣ１及びデスクトップＰＣ１は攻撃者が物理的にアクセス可能であるが、制御サーバ１及びコントローラ１は攻撃者が物理的にアクセス不可能であることを示している。例えば、事務室にノートＰＣ１及びデスクトップＰＣ１が置かれていれば攻撃者が物理的にアクセス可能である。一方、サーバ室等の入退室が厳重に管理されたエリアに置かれる制御サーバ１及びコントローラ１には、攻撃者が物理的にアクセス不可能であると想定される。
物理アクセス８８０には、該当危機に攻撃者が物理的にアクセス（接触）可能か否かの情報が格納される。図８に示す例の場合、ノートＰＣ１及びデスクトップＰＣ１は攻撃者が物理的にアクセス可能であるが、制御サーバ１及びコントローラ１は攻撃者が物理的にアクセス不可能であることを示している。例えば、事務室にノートＰＣ１及びデスクトップＰＣ１が置かれていれば攻撃者が物理的にアクセス可能である。一方、サーバ室等の入退室が厳重に管理されたエリアに置かれる制御サーバ１及びコントローラ１には、攻撃者が物理的にアクセス不可能であると想定される。
【0058】
このように機器役割８４０、ＯＳ（基本ソフト）８５０、マルウェア対策８６０、利用者管理８７０及び物理アクセス８８０には、サイバー攻撃に対する対策状況を示す情報が格納される。このため、後述するように、攻撃シナリオ生成部１０４が、対策状況を示す情報を用いることになる。
【0059】
図９は、システム情報入力画面９００の表示例を示す図である。システム情報入力画面９００は、システム情報入力部１０２の一例である。システム情報入力画面９００には、システム７１０のシステム情報が入力される。
【0060】
システム情報入力画面９００は、接続状態入力インターフェース９１０、機器情報入力インターフェース９２０及び機器追加ボタン９３０を備える。
接続状態入力インターフェース９１０は、利用者がシステム７１０の各システム構成要素の接続状態（システム構成７００）を入力するための機能部である。この接続状態入力インターフェース９１０には、システム７１０のシステム構成７００が図示される。利用者は、接続状態入力インターフェース９１０から各機器の接続状態を入力可能である。
接続状態入力インターフェース９１０は、利用者がシステム７１０の各システム構成要素の接続状態（システム構成７００）を入力するための機能部である。この接続状態入力インターフェース９１０には、システム７１０のシステム構成７００が図示される。利用者は、接続状態入力インターフェース９１０から各機器の接続状態を入力可能である。
【0061】
機器情報入力インターフェース９２０は、利用者がシステム７１０を構成する各機器のシステム構成情報８００を入力するための機能部である。機器情報入力インターフェース９２０は、名称９２１、種類９２２、役割９２３、ＯＳ９２４、マルウェア対策９２５、利用者管理９２６、物理アクセス９２７により、システム構成情報８００の機器名称８２０、機器種類８３０、機器役割８４０、ＯＳ８５０、マルウェア対策８６０、利用者管理８７０及び物理アクセス８８０の入力項目を有している。利用者は各入力項目から必要な情報を入力可能である。機器情報入力インターフェース９２０に入力された情報が、システム構成情報８００として用いられる。第１の実施形態では、各入力項目の形態をフリーテキストボックスとし、システム７１０を構成する各機器の情報を利用者が自由に入力可能としている。しかし、機器情報入力インターフェース９２０の各入力項目の全て又は一部の項目の形態をプルダウンメニューとし、利用者がプルダウンメニューから必要な情報を選択可能に構成してもよい。
【0062】
機器追加ボタン９３０は、システム７１０を構成する機器を追加するための機能部である。利用者が機器追加ボタン９３０を選択することで、接続状態入力インターフェース９１０に新たな機器が追加される。追加された機器の情報は機器情報入力インターフェース９２０から入力される。
【0063】
第１の実施形態では、利用者がシステム情報の全てをシステム情報入力画面９００から入力する例を示したが、システム情報の一部又は全てを別ファイルで定義し、そのファイルを読み込ませることでシステム情報を入力することも可能である。このため、システム情報入力画面９００に、後述する図１４のファイルパス入力部１４１０を構成して、ファイル読み込み機能を有するように構成してよい。システム情報入力画面９００は、ファイル読み込み機能を有することで、様々なバリエーションのシステム情報が記述されたファイルを一括で読み込めるので、複数の同一又は類似のシステム情報を繰り返し入力する場合に比べて利用者の負担を下げることができる。
【0064】
図１０は、攻撃シナリオ生成部１０４がシナリオを生成する処理の例を示すフローチャートである。
【0065】
始めに、攻撃シナリオ生成部１０４は、システム情報入力部１０２から入力された、システム構成７００及びシステム構成情報８００を含むシステム情報を読み込んで取得する（Ｓ１）。次に、攻撃シナリオ生成部１０４は、攻撃目標となるシステム及びシステム構成要素を決定する（Ｓ２）。攻撃シナリオ生成部１０４は、攻撃技術評価部１０３から入力した攻撃シナリオ生成条件に基づいて、攻撃目標となるシステム構成要素を決定することができる。
【0066】
第１の実施形態に係る攻撃シナリオ生成条件では、図３に示した攻撃事例情報３００の攻撃事例１、２、４が該当する。また、条件１として地域を「北米」、条件２として業種を「電力」と想定する。この場合、攻撃目標としてコントローラが決定されるため、攻撃シナリオ生成部１０４は、コントローラを選択する。ただし、利用者が直接決定した攻撃目標を攻撃シナリオ生成条件とすることも可能である。
【0067】
次に、攻撃シナリオ生成部１０４は、攻撃目標に達しうるサイバー攻撃の侵入ルートである攻撃パスを生成する（Ｓ３）。「攻撃パス」とは、後述する図１１に示すシナリオ毎に、上から順に実行される攻撃要素１１３０への攻撃技術の実行順を表す。
【0068】
次に、攻撃シナリオ生成部１０４は、攻撃技術評価部１０３が評価した攻撃技術の評価結果を読み込む（Ｓ４）。攻撃技術の評価結果は、上述した図６に示した評価結果一覧表４００Ａの評価４５０に格納される情報である。
【0069】
次に、攻撃シナリオ生成部１０４は、システム情報入力部１０２の機器役割８４０、ＯＳ（基本ソフト）８５０、マルウェア対策８６０、利用者管理８７０及び物理アクセス８８０を用いて攻撃パス上にある各機器への攻撃技術の成否を判定する（Ｓ５）。ここでは、ある攻撃技術による、ある機器に対する攻撃が成功するか否かが判定される。
【0070】
最後に、攻撃シナリオ生成部１０４は、判定結果と、攻撃技術評価部１０３での評価結果を用いて攻撃技術の組み合わせを決定し（Ｓ６）、攻撃シナリオを生成する。攻撃シナリオ生成部１０４がシナリオを生成する前に適切な条件が指定されると、攻撃シナリオ生成部１０４は、利用者が機器への攻撃に対する対処を検討可能な適切なシナリオを生成することができる。
【0071】
本実施の形態に係る攻撃シナリオ生成装置２０で行われるサイバー攻撃シナリオ生成方法は、コンピューターに実行させるためのコンピュータープログラムにより実行可能である。
【0072】
図１１は、攻撃シナリオ一覧表１１００の例を示す図である。
攻撃シナリオ一覧表１１００は、攻撃シナリオ生成部１０４により生成され、攻撃シナリオ出力部１０７から出力される。
攻撃シナリオ一覧表１１００は、攻撃シナリオ生成部１０４により生成され、攻撃シナリオ出力部１０７から出力される。
【0073】
この攻撃シナリオ一覧表１１００は、評価結果一覧表４００Ａ（図６を参照）、システム構成７００、及びシステム構成情報８００を基に作成される、攻撃目標をコントローラ１とした複数の攻撃シナリオを含む。この攻撃シナリオ一覧表１１００は、シナリオ番号１１１０、順番１１２０、攻撃要素１１３０及び攻撃技術１１４０が設けられる。シナリオ番号１１１０に対して順番１１２０が対応付けられ、順番１１２０に対して攻撃要素１１３０及び攻撃技術１１４０が対応付けられる。
【0074】
シナリオ番号１１１０には、攻撃シナリオ生成部１０４が生成したシナリオを識別するためのシナリオ番号が格納される。第１の実施形態では、シナリオ番号を「Ａ」、「Ｂ」、…のアルファベットとしているが、シナリオ番号を英数字の組み合わせ等としてもよい。
【0075】
順番１１２０には、シナリオ番号内の攻撃要素ごとに上から「１」、「２」、…と数字が格納される。あるシナリオで生成された攻撃技術は、上から数字順に実施されることを示す。
攻撃要素１１３０には、シナリオで規定された攻撃要素の名称が格納される。攻撃要素は、各シナリオでシステムへの攻撃が通過する攻撃パスに存在するシステム構成要素である。各シナリオの順番１１２０の最後には、攻撃目標として選択された「コントローラ１」が格納される。
攻撃技術１１４０には、図４の攻撃戦術／技術情報４００に規定される攻撃技術識別番号が格納される。攻撃技術識別番号で識別される攻撃技術が、各システム構成要素で実行される。
攻撃要素１１３０には、シナリオで規定された攻撃要素の名称が格納される。攻撃要素は、各シナリオでシステムへの攻撃が通過する攻撃パスに存在するシステム構成要素である。各シナリオの順番１１２０の最後には、攻撃目標として選択された「コントローラ１」が格納される。
攻撃技術１１４０には、図４の攻撃戦術／技術情報４００に規定される攻撃技術識別番号が格納される。攻撃技術識別番号で識別される攻撃技術が、各システム構成要素で実行される。
【0076】
攻撃シナリオ一覧表１１００により、例えば、シナリオ番号「Ａ」、順番「１」、攻撃要素「制御サーバ１」の場合、攻撃技術として「１－１フィッシングメール、２－４ＡＰＩの活用、３－６遠隔ファイルコピー」が攻撃シナリオに含まれることが分かる。なお、シナリオ番号「Ｄ」、「Ｅ」は、攻撃要素１１３０が同じである。しかし、順番１１２０が異なるので、異なる攻撃シナリオとして作成されている。ここで、図７では、コントローラ７０４が直接ＬＡＮに接続されていない構成であるが、制御サーバ７０３が蓄積するメールを起点として攻撃が始まる場合もある。このため、シナリオ番号「Ａ」に示すような、「制御サーバ１（制御サーバ７０３）」が攻撃された後、「コントローラ１（コントローラ７０４）」が攻撃されるようなシナリオも想定される。
【0077】
第１の実施形態では、攻撃シナリオ生成部１０４が攻撃パスを生成する際、単一シナリオ内で同一のシステム構成要素を通過するパスは生成していない。つまり、一つのシステムに同じシステム構成要素が複数構成されていても、あるシナリオでは、複数の同じシステム構成要素に対して同時に攻撃するパスは設定されていない。しかし、複数の同じシステム構成要素に対して同時に攻撃するパスがシナリオに設定されてもよい。
【0078】
各システム構成要素での攻撃技術は、図４の攻撃戦術／技術情報４００に基づいて選択される。例えば、各シナリオ中の初めのシステム構成要素に対して攻撃戦術「初期侵入・攻撃コードの実行・他資産への移動」の攻撃技術が選択される。また、攻撃目標のシステム構成要素（例えば、コントローラ１）に対して攻撃戦術「攻撃コードの実行」の攻撃技術が選択される。また、他の攻撃シナリオ中では、攻撃シナリオの中間のシステム構成要素に対して攻撃戦術「攻撃コードの実行・他資産への移動」の攻撃技術が一つずつ選択される。ただし、攻撃技術を複数持つシナリオを出力することも可能である。
【0079】
例えば、シナリオＡの制御サーバ１への攻撃技術は、評価結果一覧表４００Ａに格納された評価４５０の項目から、評価が高い攻撃戦術が割り当てられている。
ただし、シナリオＢのノートＰＣ１への攻撃は、攻撃技術識別番号４３０で示される評価が「中」である２－４「ＡＰＩの利用」に代わって、評価が「低」である２－３「コマンドライン利用」が割り当てられている。このように評価が低い攻撃技術が割り当てられた理由は、図８に示したシステム構成情報８００のマルウェア対策８６０の項目において、ノートＰＣ１が「あり」のためである。つまり、ノートＰＣ１のマルウェア対策がされているので、図１０のステップＳ５で攻撃技術である２－４「ＡＰＩの利用」の実行が否と判定され、攻撃者が実行可能な攻撃技術である２－３「コマンドライン利用」が設定される。
ただし、シナリオＢのノートＰＣ１への攻撃は、攻撃技術識別番号４３０で示される評価が「中」である２－４「ＡＰＩの利用」に代わって、評価が「低」である２－３「コマンドライン利用」が割り当てられている。このように評価が低い攻撃技術が割り当てられた理由は、図８に示したシステム構成情報８００のマルウェア対策８６０の項目において、ノートＰＣ１が「あり」のためである。つまり、ノートＰＣ１のマルウェア対策がされているので、図１０のステップＳ５で攻撃技術である２－４「ＡＰＩの利用」の実行が否と判定され、攻撃者が実行可能な攻撃技術である２－３「コマンドライン利用」が設定される。
【0080】
図１２は、シナリオ出力画面１２００の例を示す図である。
シナリオ出力画面１２００は、攻撃シナリオ出力部１０７の一例である。
シナリオ出力画面１２００は、攻撃シナリオ出力部１０７の一例である。
【0081】
攻撃シナリオ出力部１０７は、図２に示した端末装置２６－１，２６－２の表示装置にシナリオ出力画面１２００を出力する。利用者は、シナリオ出力画面１２００を通じて、攻撃シナリオを確認することができる。
【0082】
シナリオ出力画面１２００は、表１２０１を備える。そして、表１２０１は、シナリオ番号１２１０、順番１２２０、攻撃要素１２３０、攻撃技術１２４０を含む。表１２０１に含まれる各項目には、図１１に示した攻撃シナリオ一覧表１１００のシナリオ番号１１１０の「Ａ」～「Ｃ」の内容が表示される。
【0083】
また、シナリオ出力画面１２００は、シナリオ数表示領域１２５０、攻撃シナリオ再生成ボタン１２６０、並べ替えボタン１２７０、表示範囲切替ボタン１２８０、及びファイル出力ボタン１２９０を備える。
シナリオ数表示領域１２５０は、攻撃シナリオ生成部１０４が生成した攻撃シナリオの全シナリオ数を表示する。図１１のシナリオＡ～Ｅの数「５」が全シナリオ数としてカウントされ、シナリオ数表示領域１２５０に表示されている。
シナリオ数表示領域１２５０は、攻撃シナリオ生成部１０４が生成した攻撃シナリオの全シナリオ数を表示する。図１１のシナリオＡ～Ｅの数「５」が全シナリオ数としてカウントされ、シナリオ数表示領域１２５０に表示されている。
【0084】
攻撃シナリオ再生成ボタン１２６０は、利用者が再度、攻撃シナリオの生成のやり直しを攻撃シナリオ生成装置２０に指示するためのボタンである。利用者が攻撃シナリオ再生成ボタン１２６０を選択することで、攻撃シナリオ条件入力画面５００（図５を参照）やシステム情報入力画面９００（図９を参照）などの画面に遷移する。そして、利用者が各種の情報を入力することで、攻撃シナリオ生成装置２０が再度シナリオを生成することができる。
【0085】
並べ替えボタン１２７０は、利用者が、表１２０１に表示された攻撃シナリオの並べ替えを指示するためのボタンである。
表示範囲切替ボタン１２８０は、利用者が、表１２０１に表示される攻撃シナリオの表示範囲の切り替えを調整するためのボタンである。
ファイル出力ボタン１２９０は、利用者が、表１２０１をファイルとして出力する指示を行うためのボタンである。
表示範囲切替ボタン１２８０は、利用者が、表１２０１に表示される攻撃シナリオの表示範囲の切り替えを調整するためのボタンである。
ファイル出力ボタン１２９０は、利用者が、表１２０１をファイルとして出力する指示を行うためのボタンである。
【0086】
図１２に示した表１２０１では、シナリオ番号を昇順とし、表示範囲を攻撃要素数が３以下のシナリオが出力されている。なお、シナリオの並び替えは、シナリオ番号１２１０だけでなく、攻撃要素１２３０内に含まれる、シナリオ中で初めて出現したシステム構成要素や攻撃技術１２４０を優先して表示させる基準を用いてもよい。また、シナリオ番号１２１０の数や、攻撃技術１２４０の種類に応じて表示範囲を切り替えることが可能である。
【0087】
以上説明した第１の実施形態に係る攻撃シナリオ生成システム１では、利用者が、攻撃対象とされるシステムの構成を任意に変更可能であり、攻撃技術を特定できる様々な情報を攻撃シナリオの生成条件として入力可能である。ここで、攻撃シナリオ生成装置２０は、過去の事例情報に基づき、評価が高い攻撃技術を優先して攻撃シナリオに組み入れることで、サイバー攻撃で実施される可能性の高い攻撃技術を含む攻撃シナリオを生成できる。このため、攻撃シナリオ生成装置２０が過去の攻撃事例に限らず、柔軟かつ多種多様な精度の高い攻撃シナリオを生成することが可能となる。そして、利用者は、攻撃対策を検討する際に、対策案を複数挙げて検討することが可能となる。
【0088】
また、利用者は、実際のシステム７１０のシステム情報が入力されるので、実際のシステム構成に即した攻撃シナリオが生成される。そして、利用者は、攻撃者が実行する可能性の高い攻撃技術への対策を検討することができる。このように従来は、攻撃技術の評価が行われておらず、膨大な数のシナリオが生成されることがあったが、本実施の形態では、実現可能な攻撃に基づいて攻撃技術の過不足なくシナリオが生成されるので、利用者は、適切な数のシナリオを選択可能であり、攻撃技術への具体的な対策が可能となる。
【0089】
また、攻撃シナリオ生成システム１は、利用者が要求条件を入力することで、利用者が意図したバリエーションの攻撃シナリオを生成できる。そして、利用者は、攻撃シナリオ生成システム１により生成された複数の攻撃シナリオから、意図した数の攻撃シナリオを選択したり、重点的に対策を検討したい攻撃シナリオを抽出したりすることが可能である。
【0090】
このように攻撃シナリオ生成システム１は、有意義な対策立案が可能な攻撃シナリオを生成可能であるので、例えば、シナリオベースセキュリティ対策を立案するソフトウェアプログラムを顧客に提供して、顧客のシステムにおける具体的なセキュリティ対策が可能となる。このため、利用者は、例えば、攻撃シナリオ生成システム１をセキュリティコンサルタントビジネス、サイバー防衛訓練サービス等の各種サービスで利用し、顧客のシステムに合わせた対策を行い、顧客に助言することができる。
【0091】
［第２の実施形態］
以下、本発明の第２の実施形態に係る攻撃シナリオ生成システムの構成例について、図１３～図１６を参照して説明する。
サイバー攻撃の攻撃技術の組み合わせは日進月歩であり、それらの最新動向に対応した攻撃シナリオの生成方法が必要とされている。そこで、新たな攻撃事例の情報（「新たな事例情報」と呼ぶ）を入力し、入力された新たな事例情報を分析し、分析結果を記憶する機能を第１の実施形態で説明した方法に追加した第２の実施の形態に係る攻撃シナリオの生成方法について説明する。
以下、本発明の第２の実施形態に係る攻撃シナリオ生成システムの構成例について、図１３～図１６を参照して説明する。
サイバー攻撃の攻撃技術の組み合わせは日進月歩であり、それらの最新動向に対応した攻撃シナリオの生成方法が必要とされている。そこで、新たな攻撃事例の情報（「新たな事例情報」と呼ぶ）を入力し、入力された新たな事例情報を分析し、分析結果を記憶する機能を第１の実施形態で説明した方法に追加した第２の実施の形態に係る攻撃シナリオの生成方法について説明する。
【0092】
図１３は、第２の実施形態に係る攻撃シナリオ生成システム１Ａの機能構成例を示す機能ブロック図である。
第２の実施形態に係る攻撃シナリオ生成システム１Ａは、第１の実施形態に係る攻撃シナリオ生成システム１に対して、事例情報入力部１３０１を追加した構成としている。そして、第２の実施形態に係る攻撃シナリオ生成装置２０は、事例情報分析部１３０２及び分析結果確認編集部１３０３を追加した構成としている。
第２の実施形態に係る攻撃シナリオ生成システム１Ａは、第１の実施形態に係る攻撃シナリオ生成システム１に対して、事例情報入力部１３０１を追加した構成としている。そして、第２の実施形態に係る攻撃シナリオ生成装置２０は、事例情報分析部１３０２及び分析結果確認編集部１３０３を追加した構成としている。
【0093】
事例情報入力部１３０１は、事例情報分析部１３０２に新たな事例情報を入力する。新たな事例情報は、後述する図１４に示す事例情報入力画面１４００を通じて入力される。
【0094】
事例情報分析部１３０２は、事例情報入力部１３０１から入力された新たな攻撃事例の情報を分析する。ここでは、事例情報分析部１３０２は、入力された新たな事例情報に対して、例えば、テキストマイニング又は統計処理等を行う。そして、事例情報分析部１３０２は、攻撃戦術／技術記憶部１０６から攻撃戦術／技術情報４００を読み出し、入力された事例情報に対して、攻撃戦術及び攻撃技術を分析結果に基づいて結び付ける。
【0095】
分析結果確認編集部１３０３は、新たな攻撃事例の情報の分析結果を確認可能に出力し、分析結果への編集を受付け、確認及び編集された分析結果、並びに新たな攻撃事例の情報を攻撃事例記憶部１０５に記憶する。ここで、分析結果確認編集部１３０３は、後述する図１５に示す確認編集画面１５００を通じて分析結果の確認編集を行う。
その後、攻撃技術評価部１０３は、攻撃事例記憶部１０５を参照して、攻撃事例を読み出し、攻撃技術を評価する。
その後、攻撃技術評価部１０３は、攻撃事例記憶部１０５を参照して、攻撃事例を読み出し、攻撃技術を評価する。
【0096】
図１４は、事例情報入力画面１４００の表示例を示す図である。事例情報入力画面１４００は、事例情報入力部１３０１の一例である。
【0097】
事例情報入力画面１４００は、ファイルパス入力部１４１０及びＵＲＬ入力部１４３０を有しており、ファイルパス又はＵＲＬの入力を受付可能である。ファイルパスの入力は、コンピューター内のファイルを指定する機能である。利用者がコンピューター内のファイルパスをファイルパス入力部１４１０に入力することで、ファイルパスを指定することができる。また、利用者が、参照ボタン１４２０をクリックし、ファイルブラウザ等によりファイルパス入力部１４１０にファイルパスを入力することもできる。事例情報入力部１３０１にファイルパスが入力されることで、事例情報分析部１３０２が入力されたファイルパスからファイル等を取得する。
【0098】
事例情報入力画面１４００では、新たな事例情報が記述されたＰＤＦ（Portable Document Format）ファイルが入力された例が示される。しかし、入力ファイルをＰＤＦファイルに限るものではない。例えば、文書作成ソフトで作成した文書ファイル又はテクストファイルなどの新たな事例情報を保持した電子ドキュメントが入力されてもよい。
【0099】
上述したように事例情報入力画面１４００は、ＵＲＬ入力を受付け可能である。ＵＲＬ入力は、新たな事例情報を保持したｗｅｂページやインターネット上に公開されているファイルなどのＵＲＬを利用者がＵＲＬ入力部１４３０に入力する機能である。事例情報入力部１３０１にＵＲＬが入力されることで、事例情報分析部１３０２が入力されたＵＲＬからファイル等を取得する。
【0100】
これらファイルパス入力部１４１０又はＵＲＬ入力部１４３０に情報が入力された状態で、利用者が入力決定ボタン１４４０をクリックすることで、事例情報入力部１３０１が入力する事例情報が決定される。
【0101】
事例情報が決定された後、事例情報分析部１３０２が、事例情報入力部１３０１から入力された事例情報を取得し、分析する。事例情報の分析は、例えば、攻撃事例中から抽出すべきキーワードリストを事前に作成し、それらのキーワードとマッチングする方法を用いてもよい。また、事例情報の分析には、機械学習や深層学習又はＡＩ（Artificial Intelligence）などが用いられてもよい。
【0102】
図１５は、確認編集画面１５００の表示例を示す図である。確認編集画面１５００は、分析結果確認編集部１３０３の一例である。
確認編集画面１５００は、事例情報分析部１３０２による新たな事例情報の分析結果として、サイバー攻撃事例に関連する各種情報が表示される。
確認編集画面１５００は、事例情報分析部１３０２による新たな事例情報の分析結果として、サイバー攻撃事例に関連する各種情報が表示される。
【0103】
確認編集画面１５００は、時期１５１０、業種１５２０、地域１５３０、システム構成特徴１５４０、攻撃目標１５５０、攻撃目的１５６０、攻撃技術１５７０を対応付けた情報を持つ。これらの情報は、図３に示した攻撃事例情報３００の時期３２０～攻撃技術３８０に格納される情報に対応する。
【0104】
ただし、事例情報の分析結果によっては、確認編集画面１５００に含まれる情報に限るものではない。また、確認編集画面１５００の各項目は、編集が可能である。利用者は、例えば業種１５２０を「電力」から「鉄道」や「自動車製造」など他の情報に書き換え編集することも可能である。
【0105】
また、分析結果によっては、情報が記載されていない項目が存在したり、一つの項目に複数の情報が含まれる項目も存在したりする。その場合でも、利用者は、確認編集画面１５００を通じて情報を確認し、情報の追記や削除が可能である。利用者が各項目の情報の確認編集を完了した際には、確認ボタン１５８０をクリックし、情報を確定する。確認ボタン１５８０がクリックされると、分析結果確認編集部１３０３は、確定された情報を攻撃事例記憶部１０５に記憶する。
【0106】
図１６は、新たな事例情報が追加された攻撃事例情報３００の一例を示す図である。上述したように攻撃事例情報３００は、攻撃事例記憶部１０５に記憶されている。
図１６に示す攻撃事例情報３００は、図３に示した攻撃事例情報３００の下に、分析結果確認編集部１３０３で確認編集された、新たな事例情報が追加されている。ここでは、事例番号「５」の情報を、追加された新たな事例情報として強調表示している。
図１６に示す攻撃事例情報３００は、図３に示した攻撃事例情報３００の下に、分析結果確認編集部１３０３で確認編集された、新たな事例情報が追加されている。ここでは、事例番号「５」の情報を、追加された新たな事例情報として強調表示している。
【0107】
以降、第２の実施の形態に係る攻撃シナリオ生成装置２０は、新たな事例情報が追加された攻撃事例情報３００を用いて、攻撃技術の評価及び攻撃シナリオの生成と出力を行う。これらの処理については、第１の実施形態と同様である。
【0108】
以上説明した第２の実施の形態に係る攻撃シナリオ生成システム１では、事例情報入力部１３０１から入力された新たな事例情報を事例情報分析部１３０２が分析する。そして、分析結果確認編集部１３０３が確認及び編集した攻撃事例の情報が攻撃事例情報３００に追加される。そして、攻撃シナリオ生成装置２０は、追加された攻撃事例の情報を用いて、最新動向に対応した攻撃シナリオを生成できる。このため、最新の攻撃事例が反映された攻撃シナリオが生成される。
【0109】
【0110】
第１及び第２の実施形態では攻撃シナリオを生成する方法について説明を行った。これらの実施形態では、攻撃シナリオを生成するのと同時に、生成された攻撃シナリオに基づき攻撃技術へのセキュリティ対策（以下、「対策」と略記）を検討及び出力することも可能である。そこで、対策検討の一部を自動化し、対策の効率化を図るため、第３の実施形態では、攻撃シナリオの出力と同時に対策内容を出力する機能を追加した攻撃シナリオ生成システムについて説明する。
【0111】
図１７は、第３の実施形態に係る攻撃シナリオ生成システム１Ｂの機能構成例を示す機能ブロック図である。
第３の実施形態に係る攻撃シナリオ生成システム１Ｂは、第１の実施形態に係る攻撃シナリオ生成システム１に対して、対策内容記憶部１７０１を追加した構成としている。そして、攻撃シナリオ生成装置２０は、対策検討部１７０２及び推奨対策出力部１７０３を追加した構成としている。
第３の実施形態に係る攻撃シナリオ生成システム１Ｂは、第１の実施形態に係る攻撃シナリオ生成システム１に対して、対策内容記憶部１７０１を追加した構成としている。そして、攻撃シナリオ生成装置２０は、対策検討部１７０２及び推奨対策出力部１７０３を追加した構成としている。
【0112】
対策内容記憶部１７０１は、攻撃技術に対する対策内容として、後述する図１８に示す対策内容情報１８００を記憶する。
【0113】
対策検討部１７０２は、対策内容記憶部１７０１を参照して、攻撃シナリオに含まれる攻撃技術への対策内容を検討する。例えば、攻撃戦術／技術記憶部１０６から読み出した、サイバー攻撃の攻撃戦術／技術情報４００（図４を参照）と、対策内容記憶部１７０１から読み出した、対策内容情報１８００（図１８を参照）と、攻撃シナリオ生成部１０４が生成する攻撃シナリオとに基づいて、サイバー攻撃への対策を検討する。
【0114】
推奨対策出力部１７０３は、システム７１０の構成要素及び対策内容の効果に基づいて、対策検討部１７０２による対策内容の検討結果を推奨対策として出力する。このため、利用者は、効果の高い推奨対策を得ることができる。
【0115】
図１８は、対策内容情報１８００の一例を示す図である。対策内容情報１８００は、対策内容記憶部１７０１に記憶される。
対策内容情報１８００は、対策識別番号１８１０、対策名１８２０の項目を持つ情報である。
対策内容情報１８００は、対策識別番号１８１０、対策名１８２０の項目を持つ情報である。
【0116】
図１８の例では、対策名として以下の情報が対策名１８２０に格納される。そして、各対策を識別するための対策識別番号が対策識別番号１８１０に格納される。
・メール検閲の導入
・不要ポートをふさぐ
・不要機能の停止
・アプリケーションコントロールの導入
・多要素認証
・通信監視
・マルウェア対策
・利用者管理
・メール検閲の導入
・不要ポートをふさぐ
・不要機能の停止
・アプリケーションコントロールの導入
・多要素認証
・通信監視
・マルウェア対策
・利用者管理
【0117】
対策検討部１７０２は、攻撃戦術／技術情報４００と、対策内容情報１８００の情報を用いて、攻撃技術と対策名の対応付けを行い、図１９に示す対応付けの結果を得る。
【0118】
図１９は、攻撃技術／対策の対応関係１９００の一例を示す図である。
対応関係１９００には、攻撃技術と、攻撃技術を防ぐことができる対策との対応関係が定義されている。対応関係１９００は、対策内容記憶部１７０１に格納される。
対応関係１９００には、攻撃技術と、攻撃技術を防ぐことができる対策との対応関係が定義されている。対応関係１９００は、対策内容記憶部１７０１に格納される。
【0119】
対応関係１９００は、攻撃技術名１９１０と対策名１９２０の項目を持つ情報である。例えば、攻撃技術名１９１０に格納された「フィッシングメール」の攻撃には、対策名１９２０に格納された「メール検閲の導入」が対策として挙げられる。そして、対策検討部１７０２は、対応関係１９００と、攻撃シナリオ生成部１０４で生成された攻撃シナリオ一覧表１１００の攻撃シナリオとを用いて、対策検討を自動的に行う。
【0120】
図２０は、対策画面２０００の表示例を示す図である。対策画面２０００は、推奨対策出力部１７０３の一例である。
【0121】
対策画面２０００は、表２００１を含む。そして、表２００１は、対策２０１０、該当機器名称２０２０の各項目を含む。
対策２０１０には、対策検討部１７０２で検討された対策（「推奨対策」とも呼ぶ）が含まれる。
該当機器名称２０２０には、対策が実施されるシステム構成要素である機器の名称が含まれる。
表２００１の内容は、該当機器の多い順に並び替えをし、該当機器が２台以上の対策に表示範囲を切り替えた例として示されている。例えば、攻撃技術が「ＡＰＩの利用」である場合、対策２０１０には、図１９に示した対応関係１９００に基づき「アプリケーションコントロールの導入」が表示される。
対策２０１０には、対策検討部１７０２で検討された対策（「推奨対策」とも呼ぶ）が含まれる。
該当機器名称２０２０には、対策が実施されるシステム構成要素である機器の名称が含まれる。
表２００１の内容は、該当機器の多い順に並び替えをし、該当機器が２台以上の対策に表示範囲を切り替えた例として示されている。例えば、攻撃技術が「ＡＰＩの利用」である場合、対策２０１０には、図１９に示した対応関係１９００に基づき「アプリケーションコントロールの導入」が表示される。
【0122】
また、対策画面２０００は、シナリオ表示部２００２、並び替えボタン２０３０、表示範囲切替ボタン２０４０、及びファイル出力ボタン２０５０を備える。
シナリオ表示部２００２は、対策検討の対象とするシナリオのシナリオ番号を表示する。図２０の例では、図１１に示した「シナリオＥ」が対象シナリオとしてシナリオ表示部２００２に表示されている。
シナリオ表示部２００２は、対策検討の対象とするシナリオのシナリオ番号を表示する。図２０の例では、図１１に示した「シナリオＥ」が対象シナリオとしてシナリオ表示部２００２に表示されている。
【0123】
並び替えボタン２０３０は、利用者が、表２００１に表示されたる対策及び該当機器名称の並べ替えを指示するためのボタンである。
表示範囲切替ボタン２０４０は、利用者が、表２００１に表示される対策及び該当機器名称の表示範囲の切り替えを調整するためのボタンである。
ファイル出力ボタン２０５０は、利用者が、表２００１をファイルとして出力する指示を行うためのボタンである。
表示範囲切替ボタン２０４０は、利用者が、表２００１に表示される対策及び該当機器名称の表示範囲の切り替えを調整するためのボタンである。
ファイル出力ボタン２０５０は、利用者が、表２００１をファイルとして出力する指示を行うためのボタンである。
【0124】
以上説明した第３の実施形態に係る攻撃シナリオ生成システム１Ｂでは、対策検討部１７０２により攻撃シナリオから攻撃技術への対策が自動検討され、推奨対策出力部１７０３から推奨対策が出力される。このため、利用者は、対策の検討を効率化することができる。
【0125】
［変形例］
なお、攻撃シナリオ生成システム１Ｂでは、単一のシナリオについて対策を検討したが、攻撃シナリオ生成部１０４が生成した攻撃シナリオの全てに対して統計処理などを施し、対策検討を行い、推奨対策を出力することも可能である。
なお、攻撃シナリオ生成システム１Ｂでは、単一のシナリオについて対策を検討したが、攻撃シナリオ生成部１０４が生成した攻撃シナリオの全てに対して統計処理などを施し、対策検討を行い、推奨対策を出力することも可能である。
【0126】
また、対策画面２０００に表示される表２００１に関しても、各シナリオと、該当機器への攻撃を防ぐための推奨対策を一覧表にして表示することも可能である。
【0127】
また、上述した第１～第３の実施の形態に係る攻撃シナリオ生成装置２０の構成を組み合わせてもよい。例えば、図１７に示した攻撃シナリオ生成装置２０に、図１３に示した新たな事例情報を攻撃事例記憶部１０５に追加するための事例情報入力部１３０１、事例情報分析部１３０２及び分析結果確認編集部１３０３を組み合わせてもよい。このような構成とすることで、攻撃事例記憶部１０５に追加された新たな事例情報も含めて生成された攻撃シナリオに基づき、攻撃技術への対策が自動検討され、推奨対策出力部１７０３から推奨対策が出力されるようになる。
【0128】
また、セキュリティ対策状況を変更前と変更後のシステム情報を入力し，生成されるシナリオ数や内容を比較する機能を持ってもよい。この機能により、利用者による対策の検討作業が補助されるため、利用者は効果の高い対策を容易に発見できる。
【0129】
以上で、本発明の実施形態についての説明を終了する。なお、本発明は上述した各実施形態に限られるものではなく、特許請求の範囲に記載した本発明の要旨を逸脱しない限りその他種々の応用例、変形例を取り得ることは勿論である。上記の実施形態は本発明を分かりやすく説明するために装置及びシステムの構成を詳細かつ具体的に説明したものである。このため、例えば、各記憶部に記憶されている情報の内容、構成要素毎の構成要素危険度評価点の付与処理、攻撃シナリオの抽出結果、評価結果等、必ずしも説明した全ての構成、処理、情報、数値、に限定されるものではない。また、ここで説明した実施形態の構成の一部を他の実施形態の構成に置き換えることは可能であり、さらにはある実施形態の構成に他の実施形態の構成を加えることも可能である。また、各実施形態の構成の一部について、他の構成の追加、削除、置換をすることも可能である。
【0130】
また、上記の各構成、機能、処理部、処理手段等は、それらの一部又は全部を、例えば集積回路で設計する等によりハードウェアで実現してもよい。また、上記の各構成、機能等は、それぞれの機能を実現するプログラムを解釈し、実行することによりソフトウェアで実現してもよい。各機能を実現するプログラム、テーブル、ファイル等の情報は、メモリ２２や、ハードディスク、ＳＳＤ（Solid State Drive）等の記録装置、又は、ＩＣカード、ＳＤカード、ＤＶＤ等の記憶装置に記憶することができる。また、図中の制御線や情報線は説明上必要と考えられるものを示しており、製品上必ずしも全ての制御線や情報線を示しているとは限らない。実際には殆ど全ての構成が相互に接続されていると考えてもよい。
【符号の説明】
【0131】
１…攻撃シナリオ生成システム、２０…攻撃シナリオ生成装置、２１…処理部、２６－１，２６－２…端末装置、１０１…攻撃シナリオ生成条件入力部、１０２…システム情報入力部、１０３…攻撃技術評価部、１０４…攻撃シナリオ生成部、１０５…攻撃事例記憶部、１０６…攻撃戦術／技術記憶部、１０７…攻撃シナリオ出力部、３００…攻撃事例情報、４００…攻撃戦術／技術情報、５００…攻撃シナリオ条件入力画面、７００…システム構成、７１０…システム、８００…システム構成情報
【図1】
【図2】
【図3】
【図4】
【図5】
【図6】
【図7】
【図8】
【図9】
【図10】
【図11】
【図12】
【図13】
【図14】
【図15】
【図16】
【図17】
【図18】
【図19】
【図20】