特開 2022-37896 脅威対応自動化方法

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】公開特許公報(A)

(11)【公開番号】P2022037896

(43)【公開日】2022-03-09

(54)【発明の名称】脅威対応自動化方法

(51)【国際特許分類】

   G06F 21/55 20130101AFI20220302BHJP

【ＦＩ】

G06F21/55

【審査請求】有

【請求項の数】7

【出願形態】ＯＬ

(21)【出願番号】P 2021121973

(22)【出願日】2021-07-26

(31)【優先権主張番号】10-2020-0106709

(32)【優先日】2020-08-25

(33)【優先権主張国・地域又は機関】KR

【公序良俗違反の表示】

（特許庁注：以下のものは登録商標）

１．ＷＩＮＤＯＷＳ

２．Ｌｉｎｕｘ

(71)【出願人】

【識別番号】521328607

【氏名又は名称】ログプレッソ インコーポレイテッド

【氏名又は名称原語表記】Ｌｏｇｐｒｅｓｓｏ Ｉｎｃ．

(74)【代理人】

【識別番号】100147485

【弁理士】

【氏名又は名称】杉村 憲司

(74)【代理人】

【識別番号】230118913

【弁護士】

【氏名又は名称】杉村 光嗣

(74)【代理人】

【識別番号】100211395

【弁理士】

【氏名又は名称】鈴木 裕貴

(72)【発明者】

【氏名】ヤン ボンヨル

(57)【要約】      （修正有）

【課題】脅威対応自動化方法、コンピュータプログラム及び記録媒体を提供する。
【解決手段】脅威対応自動化方法において、脅威探知モジュールは、単位セキュリティシステムからセキュリティ関連データを受信し、脅威探知モジュールは、データに基づいて脅威探知結果であるチケットを生成し、チケット管理モジュールは、ワークフローモジュールにチケット分析及び対応を要求し、プラグインプログラムモジュールは、単位セキュリティシステム又は外部セキュリティサービスのＡＰＩを呼び出し、ワークフローモジュールは、呼び出された単位セキュリティシステム又は外部セキュリティサービスのＡＰＩ通信によってタスクを実行する。タスクは、調査タスク、隔離タスク、通知タスク及び事後措置タスクのうちの少なくともいずれか一つを含む。
【選択図】図２

【特許請求の範囲】

【請求項1】

脅威探知モジュールと、チケット管理モジュールと、ワークフローモジュールと、プラグインプログラムモジュールとを含む脅威対応自動化装置が実行する脅威に対応の自動化方法において、
脅威探知モジュールが、単位セキュリティシステムからセキュリティ関連データを受信する第１ステップと、
脅威探知モジュールが、前記データに基づいて脅威探知結果であるチケットを生成する第２ステップと、
チケット管理モジュールが、ワークフローモジュールにチケット分析及び対応を要求する第３ステップと、
プラグインプログラムモジュールが、単位セキュリティシステム又は外部セキュリティサービスのＡＰＩを呼び出す第４ステップと、
ワークフローモジュールが、呼び出された単位セキュリティシステム又は外部セキュリティサービスのＡＰＩ通信によってタスクを実行する第５ステップと、
を含み、
前記タスクは、調査タスク、隔離タスク、通知タスク、及び事後措置タスクのうちの少なくともいずれか一つを含み、
調査タスクは、ＩＰレピュテーション照会、資産情報照会、ＷＨＯＩＳ照会、ＧＥＯＩＰ照会、ＵＲＬ照会、ＨＡＳＨ照会、サンドボックス分析、及び既存の警報照会のうちの少なくともいずれか一つであり、
隔離タスクは、アカウントの非アクティブ化、ＩＰブロック、ＨＡＳＨブロック、ＵＲＬブロック、及びドメインブロックのうちの少なくともいずれか一つである、
脅威対応自動化方法。

【請求項2】

第４ステップにおいて、プラグインプログラムモジュールが、単位セキュリティシステム又は外部セキュリティサービスのＡＰＩをクエリで呼び出す、
請求項１に記載の脅威対応自動化方法。

【請求項3】

各チケットのワークフローインスタンスは、侵害インジケータ変数と一般変数とを含み、
各タスクは、一般変数空間への入出力を行う、
請求項１又は請求項２に記載の脅威対応自動化方法。

【請求項4】

前記脅威対応自動化装置がＡＩ学習モジュールをさらに含み、
ＡＩ学習モジュールが、
一般変数から抽出されたカテゴリ型変数と数値型変数、及び侵害インジケータの各モジュールに対する悪性可否の判断のうちの少なくともいずれか一つを学習モデルの入力特徴として受信する第６ステップをさらに含む、
請求項３に記載の脅威対応自動化方法。

【請求項5】

ＡＩ学習モジュールが、前記入力特徴と、アナリストが入力した応答結果とを学習用データとして蓄積する第７ステップと、
ＡＩ学習モジュールが、第７ステップで蓄積された学習用データで指導学習を行い、ＡＩ学習モデルを生成する第８ステップと、
ワークフローモジュールが、前記学習モデルに従って脅威があるか否かを判断し、脅威対応を行う第９ステップと、をさらに含む、
請求項４に記載の脅威対応自動化方法。

【請求項6】

コンピュータに、請求項１又は請求項２に記載のステップを実行させるためのプログラムを記録した、コンピュータ読み取り可能な記録媒体。

【請求項7】

コンピュータに、請求項１又は請求項２に記載のステップを実行させるために媒体に保存されたコンピュータプログラム。

【発明の詳細な説明】

【技術分野】

【0001】

本発明は、脅威対応自動化方法に係り、さらに詳しくは、セキュリティアナリストの攻撃判断及びブロック（遮断）措置判断をＡＩに基づいて自動化する方法に関する。

【背景技術】

【0002】

ＣＯＶＩＤ－１９は、デジタル化、そして非対面化の速度を加速化させており、それに応じて、オンラインネットワークに接続される装置の数と、そのような装置から発生するトラフィックの量とが急激に増加している。又はッキング技術とセキュリティ技術の競争により、セキュリティ管制システムと接続される単位セキュリティシステムの類型と数も急増している。このような状況により、統合セキュリティ管制プラットフォームに流入するセキュリティ関連データ、例えば、セキュリティログ、アプリケーションログの数が爆発的に増えており、セキュリティアナリストが分析して対応しなければならない脅威警報の数が過度に増えている。

【0003】

従来のＳＩＥＭのようなセキュリティ管制システムは、統計分析、相関分析、異常探知などの様々な方法を用いて、実際に侵害の可能性が高い脅威を分類することにより、セキュリティアナリストが対応できるレベルまで脅威警報を最小化してはいるが、この場合は、侵害の可能性がある脅威が必然的に排除される可能性があるため、セキュリティ脅威への対応を不可能にするおそれがある。従来のセキュリティ管制システムでは、セキュリティアナリストが分析して対応を決定する必要があるが、脅威の探知後にブロックなどの対応措置が完了するまでのＭＴＴＲ（Ｍｅａｎ Ｔｉｍｅ ｔｏ Ｒｅｓｐｏｎｄ）が長いため、セキュリティ脅威が成功的に探知されても対応措置が遅延し、データの破壊又は情報流出などの被害が発生する可能性が高かった。

【0004】

従来のセキュリティ管制システムは、主に一方向のログデータ受信に依存していたが、通常ＳＹＳＬＯＧやＳＮＭＰ等によって収集されたセキュリティログは発生件数が非常に多く、パケット長が制限されているため、十分な情報を担持できないという限界がある。最近、管理コンソールやＡＰＩを通じて実際の侵害が存在するか否かを判断するのに必要な様々な分析情報を提供するセキュリティソリューションが多数開発され、発売されている。ただし、このようなセキュリティソリューションを用いる場合にも、セキュリティ管制システムが受信する情報が制限されるため、セキュリティ管制システムが探知すると、セキュリティアナリストが毎回関連セキュリティソリューションにログインし、脅威源を検索してバイナリ行為分析やトラフィックのメタデータを確認する過程を経なければならない限界がある。したがって、セキュリティ管制システムを通じて侵害分析と対応ポイントを一元化するという目的を達成できず、攻撃の正／誤探知やブロック有無を判断するのに必要な根拠資料収集のためにセキュリティアナリストの時間を使いすぎるという問題がある。

【先行技術文献】

【特許文献】

【0005】

【特許文献1】韓国特許第１０－２０９０７５７号（２０２０年３月１９日登録公告）

【発明の概要】

【発明が解決しようとする課題】

【0006】

本発明は、前述した従来技術の問題を解決するためのもので、収集した脅威分析情報、脆弱性情報、資産情報及びアナリストの判断内容を学習して、セキュリティアナリストの判断を補助したり、信頼したりできる脅威対応自動化方法を提供することを目的とする。

【課題を解決するための手段】

【0007】

本発明による脅威対応自動化方法は、脅威探知モジュールと、チケット管理モジュールと、ワークフローモジュールと、プラグインプログラムモジュールとを含む脅威対応自動化装置が実行し、脅威探知モジュールが、単位セキュリティシステムからセキュリティ関連データを受信する第１ステップと、脅威探知モジュールが、前記データに基づいて脅威探知結果であるチケットを生成する第２ステップと、チケット管理モジュールが、ワークフローモジュールにチケット分析及び対応を要求する第３ステップと、プラグインプログラムモジュールが、単位セキュリティシステム又は外部セキュリティサービスのＡＰＩを呼び出す第４ステップと、ワークフローモジュールが、呼び出された単位セキュリティシステム又は外部セキュリティサービスのＡＰＩ通信によってタスクを実行する第５ステップと、を含む。

【0008】

前記タスクは、調査タスク、隔離タスク、通知タスク、及び事後措置タスクのうちの少なくともいずれか一つを含み、調査タスクは、ＩＰレピュテーション照会、資産情報照会、ＷＨＯＩＳ照会、ＧＥＯＩＰ照会、ＵＲＬ照会、ＨＡＳＨ照会、サンドボックス分析、及び既存の警報照会のうちの少なくともいずれか一つであり、隔離タスクは、アカウントの非アクティブ化、ＩＰブロック、ＨＡＳＨブロック、ＵＲＬブロック、及びドメインブロックのうちの少なくともいずれか一つである。

【0009】

プラグインプログラムモジュールは、単位セキュリティシステム又は外部セキュリティサービスのＡＰＩをクエリで呼び出してもよい。

【0010】

各チケットのワークフローインスタンスは、侵害インジケータ変数と一般変数とを含んでもよく、各タスクは、一般変数空間への入出力を行ってもよい。

【0011】

前記脅威対応自動化装置は、ＡＩ学習モジュールをさらに含んでもよい。

【0012】

ＡＩ学習モジュールが、一般変数から抽出されたカテゴリ型変数と数値型変数、及び各侵害インジケータの各モジュールに対する悪性可否の判断のうちの少なくともいずれか一つを学習モデルの入力特徴として受信する第６ステップを行ってもよい。

【0013】

ＡＩ学習モジュールが、前記入力特徴と、アナリストが入力した応答結果とを学習用データとして蓄積する第７ステップと、ＡＩ学習モジュールが、第７ステップで蓄積された学習用データで指導学習を行い、ＡＩ学習モデルを生成する第８ステップと、ワークフローモジュールが、前記学習モデルに従って脅威があるか否かを判断し、脅威対応を行う第９ステップと、を行ってもよい。

【0014】

本発明による脅威対応自動化方法は、コンピュータ読み取り可能な媒体に保存されたコンピュータプログラムにより行ってもよい。

【発明の効果】

【0015】

本発明によれば、セキュリティアナリストの手動分析に頼ることなく、セキュリティ脅威に対する対応を自動化することができるので、セキュリティ脅威に対する迅速かつ正確な対応が可能となるという効果がある。

【図面の簡単な説明】

【0016】

【図1】本発明による脅威対応自動化方法が実行される環境の一例を示す図である。

【図2】本発明による脅威対応自動化方法のフローチャートである。

【図3】本発明による脅威対応自動化方法を実行する電子演算装置の一例のブロック図である。

【発明を実施するための形態】

【0017】

本明細書で行う情報（データ）伝送／受信過程は、必要に応じて、暗号化／復号化が適用されてよく、本明細書及び特許請求範囲で情報（データ）伝送過程を説明する表現は、格別に言及しなくても、全て暗号化／復号化する場合も含むものとして解釈されるべきである。本明細書で「ＡからＢに伝送（伝達）」又は「ＡがＢから受信」というような形態の表現は、中間に別の媒介体が含まれて伝送（伝達）又は受信されることも含み、必ずしもＡからＢに直接伝送（伝達）又は受信されることのみを表現するものではない。本発明の説明において、各ステップの順番は、先行ステップが論理的及び時間的に必ずしも後行ステップの前に行われなければならない場合ではなければ、各ステップの順番は非制限的に理解されるべきである。即ち、上記のような例外的な場合を除いては、後行ステップとして説明された過程が先行ステップとして説明された過程より前に行われたとしても、発明の本質には影響がなく、権利範囲もステップの順番によらず定義されるべきである。そして、本明細書で「Ａ又はＢ」と記載したのは、ＡとＢのうちいずれかを選択的に指すだけでなく、ＡとＢの両方を含むことも意味するものとして定義される。なお、本明細書で「含む」という用語は、含むものとして並び立てられた要素の他に、更に別の構成要素を更に含むことも包括する意味を有する。

【0018】

本明細書において「モジュール」又は「ユニット」とは、汎用的なハードウェアとその機能を実行するソフトウェアの論理的な結合を意味する。

【0019】

本明細書においては、本発明の説明に必要な構成要素のみを説明し、本発明の本質に関係のない構成要素については、言及しない。そして、言及される構成要素のみを含む排他的な意味として解釈されてはならず、他の構成要素も含むことができる非排他的な意味として解釈されるべきである。

【0020】

本発明による方法は、コンピュータ、タブレットＰＣ、携帯電話、携帯用演算装置、固定式の演算装置などの電子演算装置により実行されてもよい。また、本発明の１つ又は複数の方法又は形態が少なくとも一つのプロセッサにより実行できるという点が理解されるべきである。プロセッサは、コンピュータ、タブレットＰＣ、モバイル機器、携帯演算装置などにインストールされてもよい。このような装置に、コンピュータプログラム命令を保存するためのメモリがインストールされ、メモリに保存されたプログラム命令をプロセッサが実行するように特別にプログラムされて、一つ又はそれ以上の、本明細書に記載されたプロセッサを実行することができる。また、本明細書に記載された情報及び方法などは、一つ又はそれ以上の追加の構成要素とプロセッサを含むコンピュータ、タブレットＰＣ、モバイル機器、携帯用演算装置等により実行できるという点が理解されるべきである。また、制御ロジックは、プロセッサ、制御部／制御ユニットなどによって実行される実行可能なプログラム命令を含む不揮発性のコンピュータ読み取り可能な媒体で実現できる。コンピュータ読取可能な媒体の例としては、ＲＯＭ、ＲＡＭ、ＣＤ?ＲＯＭ、磁気テープ、フロッピーディスク、フラッシュドライブ、スマートカード、および光学データ保存装置等が挙げられるが、これらに限定されない。また、コンピュータ読取可能な記録媒体は、ネットワークで接続されたコンピュータに分散されて、コンピュータ読取可能な媒体が分散された方法、例えば、リモートサーバ又はＣＡＮ（Ｃｏｎｔｒｏｌｌｅｒ Ａｒｅａ Ｎｅｔｗｏｒｋ）によって分散された方式で保存され実行されてもよい。

【0021】

本発明の各ステップを実行する電子演算装置の一例が図３に示されている。図３に示すように、電子演算装置３０９は、プロセッサ例えば、中央処理ユニット（ＣＰＵ）３１０と、メモリ３２０と、有線又は無線通信ユニット３３０と、少なくとも１つの入力ユニット３４０と、少なくとも一つの出力ユニット３５０と、を含むが、含まれている構成要素は、列挙された構成要素に制限されるものではない。図３に示す構造は、単に説明の目的のために単純化されて提供されるものということを理解しなければならない。電子演算装置３０９の構造は、後述する特許請求の範囲に基づいて当業者によって適切な方法で変更されてもよい。また、電子演算装置３０９の各構成要素もまた、後述する特許請求の範囲に基づいて当業者によって適切な方法で変更されてもよい。したがって、図３に示す装置の構造は、単に例示的であり、本発明の権利範囲を制限するものと解釈されてはならない。

【0022】

プロセッサ３１０は、電子演算装置３０９の作動を制御することができる。より詳しくは、プロセッサ３１０は、図３に示すような電子演算装置３０９にインストールされた複数の構成要素を制御し、相互作用するように作動できる。例えば、メモリ３２０は、プロセッサ３１０によって実行されるプログラム命令やデータを保存できる。本明細書で説明するプロセス（ステップ）は、プロセッサ３１０を実行するためにメモリ３２０にプログラム命令語の形で保存されてもよい。通信ユニット３３０は、電子演算装置１０９が、通信ネットワークを介して少なくとも１つの外部装置にデータを伝送するか、少なくとも１つの外部装置からデータを受信することを可能にする。入力ユニット３４０は、電子演算装置３０９がオーディオ／ビデオ入力、ユーザの入力、データ入力などの様々な形態の入力を受信することを可能にする。このような目的のため、入力ユニット３４０は、様々な形態の入力を受け付けるために、例えば、少なくとも一つのカメラ３４２（すなわち、「画像（イメージ）取得ユニティ」）、タッチパネル３４４、マイク（（図示せず））、センサ３４６、キーボード、マウス、少なくとも一つのボタンやスイッチ（図示せず）などの様々な入力装置を含んでいてもよい。本明細書で使用される「画像取得ユニット」とは、カメラ３４２を指してもよいが、それに制限されるものではない。出力ユニット３５０は、ユーザに見えるようにディスプレイスクリーン３５２に情報を表示できる。ディスプレイスクリーン３５２は、公知の様々なメカニズムを介してユーザタッピング（ｔａｐｐｉｎｇ）やスクリーン３５２を押すことなどの少なくとも１つの入力を受け付けるように構成されてもよい。出力ユニット３５０は、光源３５４をさらに含んでいてもよい。電子演算装置３０９は、単一の装置として示されているが、使用中に互いに接続及び相互作用できる多重の別個の装置で構成されてもよい。

【0023】

本明細書で説明する例示的な実施形態は、本明細書に開示開示されている装置の構造、機能、製造、及び用途と方法の原理についての全体的な理解を提供する。このような一つ以上の実施形態が添付図面に示されている。当業者であれば、ここに具体的に記載されて添付図面に示されている装置および方法が非限定的で例示的な実施形態であり、本発明の権利範囲は特許請求の範囲によって定義されることを理解する筈である。一つの例示的な実施形態に関連して示され説明されている特徴は、他の実施形態の特徴と組み合わせることができる。このような修正（ｍｏｄｉｆｉｃａｔｉｏｎ）又は変更（ｖａｒｉａｔｉｏｎ）は、本発明の権利範囲に含まれることを意図している。

【0024】

図１には、本発明による脅威対応自動化方法を実行するプラットフォーム１の構造及び外部装置が示されている。

【0025】

本発明による脅威対応自動化方法を実行するプラットフォーム１は、脅威探知モジュール２０と、チケット管理モジュール３０と、ワークフローモジュール５０と、ブロック連動管理ローモジュール６０と、タスク管理者７０と、プラグインプログラムモジュール（８０－１、８０－２、．．．、８０－Ｎ）と、を含む。

【0026】

単位セキュリティシステム１０は、ファイアウォール（防火壁）、Ｗｅｂウェブファイアウォール（ＷＡＦ）、侵入検知システム（ＩＤＳ）、侵入防御システム（ＩＰＳ）、アンチウイルスなどのネットワーク及びシステム階層別の単位セキュリティ機能を提供する構成要素を意味し、脅威探知時にログを発生させる。

【0027】

脅威探知モジュール２０は、単位セキュリティシステム１０からセキュリティログを受信し、標準化を行い、パターンマッチング、同一データ縮約、異機種データ（ｈｅｔｅｒｏｇｅｎｅｏｕｓ ｄａｔａ）のリアルタイムのイベント相関分析、統計的相関分析、マシンラーニングに基づく異常探知などの様々な方法で脅威を分析、探知してチケットを生成する。

【0028】

チケット管理モジュール３０は、探知された脅威に関連する根拠の内訳を保存し、脅威分析及び対応責任を有するセキュリティチームの担当者に新しいチケットを割り当て、チケットの発生を電子メール、テキストメッセージなどで通知する。チケット管理モジュール３０は、チケットに割り当てられた脅威のタイプに応じて、ワークフローモジュール５０に対して、事前に指定されたワークフローの実行を要求する。

【0029】

ワークフローモジュール５０は、事前に定義されたワークフローに応じてタスクを実行する。

【0030】

ブロック連動管理ローモジュール６０は、ＩＰブラックリスト、ドメインブラックリスト、ＨＡＳＨブラックリスト、及びＵＲＬブラックリストを含む。ブロック連動管理ローモジュール６０のブラックリストは、イベントが発生する際に、リアルタイムで、又は不定期に、又は定期的に更新され得る。タスク管理者７０は、調査タスク７１、隔離タスク７２、通知タスク７３、及び事後措置タスク７４を含み得る。タスクの種類をさらに含んでもよく、一部のタスクを除外してもよい。

【0031】

調査タスク７１は、例えば、ＩＰレピュテーション照会、資産情報照会、ＷＨＯＩＳ照会、ＧＥＯＩＰ照会、ＵＲＬ照会、ＨＡＳＨ照会、サンドボックス分析、既存の警報照会、ＥＤＲホストスキャン等を含んでいてもよい。

【0032】

ＩＰレピュテーション照会は、内部で接続したパブリックＩＰが、他の組織で攻撃履歴を持つ悪意のあるＩＰ（悪性ＩＰ）か否かを照会することである。具体的には、チケットに含まれているＩＰアドレスリストを自動的に抽出し、プラグインプログラムモジュールを介してセキュリティソリューションのＡＰＩを呼び出すことで照会することができる。

【0033】

資産情報照会は、侵害が疑われるホストの情報を確認し、ネットワークブロックに対する危険性を評価することである。たとえば、重要なサービスＩＰを隔離すると、対顧客障害が発生する可能性がある。アクティブディレクトリベースのインフラストラクチャを運用する場合、ＬＤＡＰプロトコルを使用してディレクトリで資産情報を自動的に照会することができ、単位セキュリティシステム１０としてＮＡＣ９６を構築した場合、プラグインプログラムモジュールを使用してＤＢやＡＰＩを呼び出して資産情報を照会することができる。

【0034】

ＷＨＯＩＳ照会では、脅威の可能性があると判断されたドメインやＩＰの情報を照会する。照会される情報のうち重要なのは、ドメイン登録日時（Ｃｒｅａｔｉｏｎ Ｄａｔｅ）である。目的のある悪性コード（悪意のあるコード）は、攻撃者が制御するサーバに接続する必要がある。ネットワーク上での固定ドメインやＩＰは簡単にブロックできるため、多くの場合、意味のない文字列を持つドメインは一時的に登録され、短時間で使用され、廃棄される。したがって、最近作成されたドメインであるか、古いドメインであるかを照会し、万が一正常なレピュテーション（評判）を持つ古いドメインが潜在的な脅威を持っていると判断されれば、ドメインのインフラストラクチャが侵害されており、攻撃に悪用されていることが分かる。

【0035】

ＧＥＯＩＰ照会は、ＩＰアドレスが属する地域情報を照会することである。代表的にマックスマインド（Ｍａｘｍｉｎｄ）社が提供するサービスである。例えば、国内地域だけで勤務する役職員がＶＰＮ（Ｖｉｒｔｕａｌ Ｐｒｉｖａｔｅ Ｎｅｔｗｏｒｋ）で海外からアクセスしようとした場合、これを侵害の試みとして判断でき、ＧＥＯＩＰ照会を通じて確認できる。

【0036】

ＵＲＬ照会は、特定のＵＲＬのレピュテーションを照会することである。例えば、ウイルストータルのサイト（ｗｗｗ．ｖｉｒｕｓｔｏｔａｌ．ｃｏｍ）又はＡＰＩを介してＵＲＬレピュテーションを照会できる。

【0037】

ＨＡＳＨ照会は、バイナリハッシュが既知のバイナリであるか、悪意のあるバイナリであるかを照会することである。例えば、チケットに含まれているハッシュ、例えば、ＭＤ５ハッシュのリストを自動的に抽出し、プラグインプログラムモジュールを介してセキュリティソリューションのＡＰＩを呼び出すことで分析する。

【0038】

サンドボックス分析は、疑わしいバイナリをサンドボックスソリューションで実行して行動分析レポートを確認することである。分析する行為には、プロセスの実行、レジストリの記録、ファイルのドロップなどがある。このようなサービスを提供する外部のセキュリティソリューションには、Ｃｉｓｃｏ Ｔｈｒｅａｔ Ｇｒｉｄ、Ｊｏｅ Ｓａｎｄｂｏｘなどがある。

【0039】

ＥＤＲホストスキャンは、同じバイナリが他のホストでも見つかったかどうか、インストール又は伝播の内訳を確認する作業であり、ＥＤＲサーバを通じて、ＥＤＲエージェントがインストールされたすべてのホストに対して、ファイル検索コマンドを自動的に発行し、検索結果を非同期的に収集することができる。

【0040】

隔離タスク７２は、例えば、脅威要素と判断されたアカウントの非アクティブ化、ＩＰブロック、ＨＡＳＨブロック、ＵＲＬブロック、ドメインブロックを含んでいてもよい。ブロックが実行されると、ブロック連動管理ローモジュール６０のブラックリストを、当該情報を用いて更新し得る。

【0041】

通知タスク７３は、関係者に脅威を通知する作業であり、例えば、電子メール、テキストメッセージなどを通じて実行され、ＳｌａｃｋやＪＡＮＤＩなどのコラボレーションソリューション（協業ソリューション）を通じた通知も可能である。通知を実行するときは、必要に応じて通知の優先順位を調整できる。

【0042】

事後措置タスク７４は、例えば、ホワイトリスト、悪性コードの除去、ブラックリスト登録、対応レポートの作成及びＩｏＣ情報共有などを含んでいてもよい。

【0043】

プラグインプログラムモジュール（８０－１、８０－２、．．．、８０－Ｎ）は、各種外部セキュリティサービス９０及び／又は単位セキュリティシステム１０、例えば、ＮＡＣ９６又はファイアウォール９７とのリモートＡＰＩ通信が可能である。それぞれのセキュリティソリューションやセキュリティユニットごとに脅威の探知に必要なＡＰＩ通信を行えるように個別に提供されてもよく、単一のプラグインプログラムモジュールに複数のセキュリティソリューション乃至セキュリティユニットとＡＰＩ通信を行えるように提供されてもよい。

【0044】

本明細書において「セキュリティサービス」とは、従来の技術でセキュリティと関連する基本データ（例えば、ログデータ）に基づいて、脅威が探知された後、セキュリティアナリストがアクセスして実際に侵害されているか否かを判断するのに使用する追加の外部セキュリティインテリジェンスサービスを意味する。このようなセキュリティサービスの例としては、ウイルストータル、ＡｌｉｅｎｔＶａｕｌｔ ＯＴＸ、ＡｂｕｓｅＩＰＤＢ、Ａｂｕｓｅ．ｃｈ、ＳＫインフォセック社の脅威インテリジェンス（Ｓｅｃｕｄｉｕｍ Ｉｎｔｅｌｌｉｇｅｎｃｅ）、ＮＳＨＣ社のＴｈｒｅａｔＲｅｃｏｎ、セントセキュリティ（Ｓａｉｎｔ Ｓｅｃｕｒｉｔｙ）社のｍａｌｗａｒｅｓ．ｃｏｍなどがある。

【0045】

単位セキュリティシステム１０の例としては、、ファイアウォール、侵入検知システム（ＩＤＳ）、侵入防御システム（ＩＰＳ）、Ｗｅｂファイアウォール（ＷＡＦ）、ＤＤｏｓ防御、ＡＰＴ防御、スパムメールブロックシステム、無線侵入防御システム（ＷＩＰＳ）、セキュアＷｅｂゲートウェイ（ＳＷＧ）、アンチウイルス、メディアコントロール（媒体制御）、ＤＲＭ、データ漏洩防止（ＤＬＰ）、アプリ偽変造防止、セキュリティＵＳＢ、ＯＴＰ、ＤＢアクセス制御、ＤＢ暗号化、Ｗｅｂシェルブロック、暗号化キー管理、ネットワーク接続機器、アクセス制御、ネットワーク脆弱性診断、ソースコード脆弱性診断、ＰＣ個人情報検出、個人情報モニタリング、サーバ個人情報検出、Ｗｉｎｄｏｗｓ権限昇格の管理、パッチ管理などがある。

【0046】

次に、図２を参照して、本発明による脅威探知対応自動化方法について説明する。

【0047】

脅威探知モジュール２０は、単位セキュリティシステム１０が生成したセキュリティデータ、例えば、警報ログを受信する（ステップ２００）。

【0048】

次のようなログデータを例として説明する。次のログデータは、ＳＮＩＰＥＲ ＩＰＳというセキュリティシステムがＵＤＰ ＳＹＳＬＯＧプロトコルを使用して発生させたログデータである。

【0049】

［ＳＮＩＰＥＲ－０００５］
［Ａｔｔａｃｋ＿Ｎａｍｅ＝３００７６ＵＤＲ＿ＡＴＴＡＣＫ＿ＭＹＳＱＬ＿ｌｏｇｉｎ＿ｓｕｃｃｅｓｓ＿１２６９＿１２０３２３］、［Ｔｉｍｅ＝２０１４／１２／１２ １４：３３：４６］、［Ｈａｃｋｅｒ＝１７５．１２６．５６．９９］、［Ｖｉｃｔｉｍ＝１０．２０２．２１５．１０１］、［Ｐｒｏｔｏｃｏｌ＝ｔｃｐ／３３０６］、［Ｒｉｓｋ＝Ｍｅｄｉｕｍ］、［Ｈａｎｄｌｉｎｇ＝Ａｌａｒｍ］、［Ｉｎｆｏｒｍａｔｉｏｎ＝］、［ＳｒｃＰｏｒｔ＝５９９３９］、［ＨａｃｋＴｙｐｅ＝０２４０１］

【0050】

前記ログデータは、本発明によるプラットフォーム１で処理できるように、以下のフィールド構成で正規化（標準化）できる。正規化は、脅威探知モジュール２０によって行われてもよく、脅威探知モジュール２０とは別に提供される正規化モジュール（図示せず）によって行われてもよい。

【0051】

＿ｔｉｍｅ＝２０１４－１２－１２ １４：３３：４６（時刻、日付タイプ）
ｓｒｃ＿ｉｐ＝１７５．１２６．５６．９９（送信元ＩＰ、ＩＰアドレスタイプ）
ｓｒｃ＿ｐｏｒｔ＝５９９３９（送信元ポート、３２ビット整数タイプ）
ｄｓｔ＿ｉｐ＝１０．２０２．２１５．１０１（宛先ＩＰアドレス、ＩＰアドレスタイプ）
ｄｓｔ＿ｐｏｒｔ＝３３０６（宛先ポート、３２ビット整数タイプ）
ｐｒｏｔｏｃｏｌ＝ＴＣＰ（プロトコル、文字列タイプ）
ａｃｔｉｏｎ＝ＤＥＴＥＣＴ（対応、文字列タイプ）
ｒｉｓｋ＝ＭＥＤＩＵＭ（危険度、文字列タイプ）
ｓｉｇｎａｔｕｒｅ（３００７６）ＵＤＲ＿ＡＴＴＡＣＫ＿ＭＹＳＱＬ＿ｌｏｇｉｎ＿ｓｕｃｃｅｓｓ＿１２６９＿１２０３２３（攻撃名、文字列タイプ）

【0052】

ステップ２０５において、脅威探知モジュール２０は、脅威シナリオに応じて脅威を探知し、探知された脅威結果に対するチケットを生成する。

【0053】

正規化されたセキュリティデータの入力を受けた脅威探知モジュール２０は、イベントとチケットを発生させる。イベントは、以下のフォーマットで標準化できる。

【0054】

＿ｔｉｍｅ：日付タイプ、時刻
ｇｕｉｄ：文字列タイプ、イベント固有識別子
ｔｉｃｋｅｔ＿ｇｕｉｄ：文字列タイプ、チケット固有識別子
ｌｏｇｇｅｒ＿ｉｄ：３２ビット整数タイプ、コレクタ識別子
ｌｏｇｇｅｒ＿ｎａｍｅ：文字列タイプ、コレクタ名
ｐｒｉｏｒｉｔｙ：文字列タイプ、重要度（ＬＯＷ、ＭＥＤＩＵＭ、ＨＩＧＨ）
ｒｕｌｅ＿ｔｙｐｅ：文字列タイプ、探知シナリオタイプ（ＳＴＲＥＡＭ－リアルタイム、ＢＡＴＣＨ－バッチ）
ｒｕｌｅ＿ｉｄ：３２ビット整数タイプ、探知シナリオ固有識別子
ｕｓｅｒ：文字列タイプ、ユーザアカウント
ｓｒｃ＿ｉｐ：ＩＰアドレスタイプ、送信元ＩＰ
ｓｒｃ＿ｐｏｒｔ：３２ビット整数タイプ、送信元ポート
ｄｓｔ＿ｉｐ：ＩＰアドレスタイプ、宛先ＩＰ
ｄｓｔ＿ｐｏｒｔ：３２ビット整数タイプ、宛先ポート
ｐｒｏｔｏｃｏｌ：文字列タイプ、プロトコル（ＴＣＰ／ＵＤＰ／ＩＣＭＰ／ＩＧＭＰ）
ｓｒｃ＿ｃｏｕｎｔｒｙ：文字列タイプ、送信元ＩＳＯ－２国コードＵＳ、ＫＲなど
ｄｓｔ＿ｃｏｕｎｔｒｙ ：文字列タイプ、宛先ＩＳＯ－２国コード
ａｃｔｉｏｎ：文字列タイプ、対応ＤＥＴＥＣＴ、ＢＬＯＣＫなど
ｍｓｇ：文字列タイプ、イベントメッセージ

【0055】

複数のイベントを一つのチケットにＮ：１としてマッピングでき、複数のイベントを一つのチケットに削減できる。前記イベントに対して、脅威探知モジュール２０は、以下の内容のチケットを生成してもよい。

【0056】

時刻：２０１４－１２－１２ １４：３３：４６
重要度：ＭＥＤＩＵＭ
探知シナリオタイプ：アカウント侵害
探知シナリオ名：認可されていないＤＢ接続試行
データソース：ＳＮＩＰＥＲ ＩＰＳ＃１
送信元ＩＰ：１７５．１２６．５６．９９
送信元ポート：：５９９３９
宛先ＩＰアドレス：１０．２０２．２１５．１０１
宛先ポート：３３０６
プロトコル：ＴＣＰ
発生回数：１
アカウント：なし
メッセージ：３００７６ＵＤＲ＿ＡＴＴＡＣＫ＿ＭＹＳＱＬ＿ｌｏｇｉｎ＿ｓｕｃｃｅｓｓ＿１２６９＿１２０３２３

【0057】

探知シナリオタイプでは、脅威を「Ｅｘｐｌｏｉｔ試み」、「悪性コード感染」、「アカウント奪取」に分類し、それに伴うワークフローを定義する。脅威探知によりチケットが生成されると、送信元ＩＰ：ポート、宛先ＩＰ：ポート、プロトコル、アカウント、ドメイン、ＵＲＬ、ＨＡＳＨなどの標準化されたフィールドを、セキュリティ関連基本データから抽出することができる。

【0058】

チケット管理モジュール３０は、ワークフローモジュール５０に対して、脅威の分析及び対応を要求し、ワークフローモジュール５０は、チケットの脅威分類と、脅威に関連するインジケータ（ＩＰ、ドメイン、ＵＲＬ、ＨＡＳＨなど）とを抽出し（ステップ２１０）、脅威分類に対応するワークフローを実行する（ステップ２１５）。ワークフローは、調査、ブロック、隔離、通知、及び事後措置に該当する一連のタスクであり、相互依存関係がない場合は、タスクを並列に実行することができる。相互依存関係のあるタスクは、先行タスクの完了後に実行される必要がある。たとえば、特定のＩＰアドレスを攻撃者ＩＰとして認識してブロック（遮断）するタスクに先立って、正／誤探知判別タスクを前もって実行する必要がある場合である。

【0059】

チケット管理モジュールは、脅威探知に関連するログとＩＰアドレス、ハッシュ、ドメイン、電子メールアドレス、レジストリキーなどのアーティファクトをまとめてチケットを生成する。チケットは、セキュリティ担当者の分析と対応を必要とする作業単位である。

【0060】

セキュリティ担当者は、チケット管理モジュールを通じて、特定のチケットに対する分析内訳を記録したり、ファイルをアップロードして添付したりできる。また、セキュリティ担当者は、脅威を分析する際、以前の類似チケットを検索して参照してもよい。通常、チケットは、新規、割り当て、処理中、決裁要求、承認又は拒否のステップを経て完了処理される。

【0061】

セキュリティ担当者がチケットを照会するとき、チケット管理モジュールは、チケットの脅威の種類に応じて、事前に定義されたワークフローのタスクと進行状況を表示することができる。

【0062】

チケット管理モジュール３０は、チケットが生成されるときに、ワークフローモジュール５０を介して、事前に定義されたワークフローを実行する。

【0063】

ワークフローモジュール５０は、タスクを実行し、タスクの結果をチケットに収集する（ステップ２２０）。実行するタスクと収集結果は、次のとおりである。

【0064】

１．調査タスク
［ＩＰレピュテーション照会］
送信元ＩＰ“１７５．１２６．５６．９９”についてＡｂｕｓｅＩＰＤＢ、ＶｉｒｕｓＴｏｔａｌなどの脅威インテリジェンスサービス（外部セキュリティサービス）を照会した結果を自動的に収集する。この作業は、ＡｂｕｓｅＩＰＤＢ、ＶｉｒｕｓＴｏｔａｌそれぞれ共通のＩＰ照会インタフェースをサポートするプラグインプログラムモジュールで実現される。プラグイン機能は、サービスがサポートするＡＰＩを使用して実現できる。

【0065】

前記照会タスクを実行すると、
－ＶｉｒｕｓＴｏｔａｌ応答値（応答は１７８．１５６．２０２．８６に対する例：疑い有無＝悪性、レポート件数＝３、国＝ＲＯ、ＡＳＮ＝４８８７４、ＡＳの所有者＝Ｈｏｓｔｍａｚｅ Ｉｎｃ、悪性ＵＲＬ＝ｈｔｔｐ：／／１７８．１５６．２０２．８６：８０８０／ｓｙｎ（ｄｅｔｅｃｔｅｄ７／７１、２０１９－０７－０４ ０４：４１：５９）、悪性コードハッシュ＝０７ｃ７ａ９５４３０６ｅｂｅ０９ｃ９ａ６９８０２８３７１１ｅ３１９１０５ｄ７７ｄ８８５７６９９ｂ５ｆｃ０ｆａｂ０ａ７１０６８ｄａ、ドメイン＝ｊｏｉｎｄｅｂｏ．ｃｏｍ
－ＡｂｕｓｅＩＰＤＢ応答値：疑い有無＝悪性、説明＝Ｒｏｍａｎｉａ、ｓｃｏｒｅ １００、レポート件数＝４７、国＝Ｒｏｍａｎｉａ、攻撃の分類＝Ｂｒｕｔｅ－Ｆｏｒｃｅ、Ｂｌｏｇ Ｓｐａｍ、Ｗｅｂ Ｓｐａｍ、Ｂａｄ Ｗｅｂ Ｂｏｔ、Ｅｘｐｌｏｉｔｅｄ Ｈｏｓｔ、Ｐｏｒｔ Ｓｃａｎ、Ｈａｃｋｉｎｇ 、Ｗｅｂ Ａｐｐ Ａｔｔａｃｋ
を得ることができる。

【0066】

［資産情報照会］
宛先ＩＰ“１０．２０２．２１５．１０１”についてＮＡＣ９６を照会した結果を自動的に収集する。この例では、資産情報照会共通インタフェースをサポートするＮＡＣプラグインプログラムモジュールで実現できる。プラグイン機能は、メーカーがサポートするＡＰＩを使用して実現できる。たとえば、次のような結果が得られる。

【0067】

－ホスト名＝ＫＹＬＥ、タイプ＝サーバ、ＩＰ＝１０．２０２．２１５．１０１、ＭＡＣ＝ＡＡ：ＢＢ：ＣＣ：ＤＤ：ＥＥ：ＦＦ、プラットフォーム＝Ｌｉｎｕｘ、ノードポリシー＝基本ポリシー

【0068】

［ＧＥＯＩＰ照会］
送信元ＩＰ“１７５．１２６．５６．９９”について、国、ＡＳＮ、経緯度を照会する。ＧＥＯＩＰ照会は、ＧＥＯＩＰ照会サービスを提供する外部のセキュリティソリューション等とのＡＰＩ通信を可能にするプラグインプログラムモジュールで実現できる。前記送信元ＩＰの位置情報を、次のように取得できる。

【0069】

－国＝ＫＲ、緯度＝３７．５１１１９９９５１１７１８７５、経度＝１２６．９７４０９８２０５５６６４、ＡＳＮ＝ＡＳ９３１８ ＳＫ Ｂｒｏａｄｂａｎｄ Ｃｏ Ｌｔｄ

【0070】

［既存の警報照会］
既存の警報照会は、プラットフォーム１に保存されている既存の警報を照会して実行でき、例えば、次のような結果が得られる。

【0071】

最近２４時間の攻撃タイプ数＝３、最近２４時間の攻撃回数＝８、最近一週間の攻撃タイプ数＝５、最近一週間の攻撃回数＝２０

【0072】

２．隔離タスク
［正／誤探知の判断］
調査タスクで収集された情報を確認して正／誤探知の有無を判断する。

【0073】

－前記情報では、２つ以上の脅威インテリジェンスがすべて悪意のあるＩＰと診断されるため、攻撃がスパイである可能性が高い。

【0074】

－前記例の変数値と判断結果を集めて学習させると、正探知と誤探知を自動的に分類することができる。

【0075】

［ブロックするか否かの判断］
調査タスクで収集された情報を検討してブロックするか否かを決定する。

【0076】

－前記情報では、送信元ＩＰが外部のＩＰであり（ＧＥＯＩＰ照会により確認）、レピュテーション照会時に悪意があると確認されるので、ブロックを決定する可能性が高い。

【0077】

－前記例の変数値と判断結果を収集して学習させると、ブロックするか否かを自動的に分類することができる。

【0078】

［ブロックタスク］
ブロックするか否かの判断において、ブロックの決定が完了した後に実行される。

【0079】

－ブロック用ブラックリストに送信元ＩＰアドレスを自動的に追加する。

【0080】

－メーカー別プラグインの中でＩＰブロック機能を持っているものは、指定されたブロック用ブラックリストを監視し、ＩＰが追加されると、機器にブロックＩＰアドレスを配信してポリシーを反映する。

【0081】

３．通知タスク
前記タスクの結果を電子メール又は前述した他の手段により関係者に通知する通知タスクを実行する。

【0082】

ステップ２２５では、前述したタスクの結果からカテゴリ型変数及び数値型変数を収集する。カテゴリ型変数は、所定のタイプに分類できる変数を意味し、数値型変数は、数値で表現できる変数を指す。例えば、カテゴリ型変数と数値型変数は次のように分類できる。

【0083】

ウイルストータルサービスにおける「ＭＤ５レピュテーション照会」の際に、悪意があると診断されたアンチウイルスエンジンの数は？
－ＡＰＩ応答結果：８（数値型変数）

【0084】

ＡｂｕｓｅＩＰＤＢサービスにおける「ＩＰレピュテーション照会」の際に、報告された攻撃試行の数は？
－ＡＰＩ応答結果：９８回（数値型変数）

【0085】

ＡｂｕｓｅＩＰＤＢサービスにおける「ＩＰレピュテーション照会」の際に、悪意のあるＩＰと判断する確率は？
－ＡＰＩ応答結果：３７％（数値型変数）

【0086】

「ＮＡＣ資産情報照会」の際に資産情報の種類は？
－ＡＰＩ応答結果：Ｗｅｂサーバ（カテゴリ型変数）

【0087】

「サンドボックス分析の実行」の結果でホストファイルが改ざんされるか？
－ＡＰＩ応答結果：ｙｅｓ（カテゴリ型変数）

【0088】

「サンドボックス分析の実行」の結果で起動（ブート）時の自動実行に関連するレジストリを設定するか？
－ＡＰＩ応答結果：ｙｅｓ（カテゴリ型変数）

【0089】

このようにカテゴリ型変数と数値型変数を分類する理由は、侵害指標の各モジュールに対する悪性可否の判断を抽出し、後述するＡＩ学習モデルの入力特性として使用するためである。各モジュールに対する悪性可否の判断を個別変数として分離する理由は、各外部セキュリティサービス（脅威インテリジェンス）の信頼性に違いがあるからである。

【0090】

ステップ２３０では、セキュリティアナリストが判定結果を入力する。入力された判定結果と入力特性をＡＩ学習データとして蓄積する。ステップ２３５では、ＡＩの学習、例えば、指導学習を実行する。セキュリティアナリストが入力した判定結果と入力特性に基づいて指導学習を実行し、指導学習の実行によりＡＩモデルが生成される（ステップ２４０）。

【0091】

ＡＩモデルが生成されると、その後、ステップ２２０で収集されたタスク収集結果と、ステップ２２５で収集されたカテゴリ型変数及び数値型変数等とに基づいて対応措置を自動的に行うことができる。ＡＩモデルは、指定周期又は不定期に再学習を行い、例えば、Ｋ－Ｆｏｌｄ Ｃｒｏｓｓ Ｖａｌｉｄａｔｉｏｎなどの検証方法を用いて、既存のＡＩモデルよりも正確な場合には、既存のＡＩモデルを、再学習で生成されたＡＩモデルに置き換えて精度を向上させることができる。

【0092】

以上、添付図面を参照して本発明について説明したが、本発明の権利範囲は、後述する特許請求の範囲によって決定され、前述した実施形態及び／又は図面に限定されると解釈されてはならない。また、特許請求の範囲に記載された発明の、当業者にとって明らかな改良、変更、及び修正も本発明の権利範囲に含まれることを明確に理解しなければならない。

【符号の説明】

【0093】

１０ 単位セキュリティシステム
２０ 脅威探知モジュール
３０ チケット管理モジュール
５０ ワークフローモジュール
６０ ブロック連動管理ローモジュール
７０ タスク管理者

【図1】

【図2】

【図3】