特開 2023-60953 攻撃シナリオ分析装置及び攻撃シナリオ分析方法

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】公開特許公報(A)

(11)【公開番号】P2023060953

(43)【公開日】2023-05-01

(54)【発明の名称】攻撃シナリオ分析装置及び攻撃シナリオ分析方法

(51)【国際特許分類】

   G06F 21/57 20130101AFI20230424BHJP

【ＦＩ】

G06F21/57 370

【審査請求】未請求

【請求項の数】10

【出願形態】ＯＬ

(21)【出願番号】P 2021170652

(22)【出願日】2021-10-19

(71)【出願人】

【識別番号】000005108

【氏名又は名称】株式会社日立製作所

(74)【代理人】

【識別番号】110000176

【氏名又は名称】弁理士法人一色国際特許事務所

(72)【発明者】

【氏名】辻 大輔

(72)【発明者】

【氏名】藤田 淳也

(72)【発明者】

【氏名】小倉 貴志

(57)【要約】

【課題】産業制御システムに対するサイバー攻撃について、攻撃者及び被害者の両視点からの効率的なリスク分析を可能とする。
【解決手段】攻撃シナリオ分析装置１０において、サイバー攻撃を試行する攻撃者の状態遷移モデルを組み合わせて分析対象システムにおけるサイバー攻撃シナリオを生成する攻撃シナリオ生成部１５２と、攻撃者が状態を遷移する行動を取ることで生じる前記攻撃者にとってのリスクおよび前記システムにとってのリスクの一方もしくは両方の評価値を算出し、前記評価値に基づき攻撃シナリオ全体のリスクの評価値を与えるリスク評価部１５３を備える構成とする。
【選択図】図２

【特許請求の範囲】

【請求項1】

サイバー攻撃の状態遷移モデルを保持する記憶部と、
前記状態遷移モデルを組み合わせることで、分析対象のシステムにおけるサイバー攻撃のシナリオを複数生成する攻撃シナリオ生成部と、
攻撃者が前記シナリオに沿って攻撃行動を遷移させることで順次生じる、当該攻撃者にとってのリスクまたは前記システムにとってのリスクの少なくともいずれかの評価値を算出し、前記評価値に基づき前記シナリオに関するリスクの評価値を特定するリスク評価部と、
を備えることを特徴とする攻撃シナリオ分析装置。

【請求項2】

前記記憶部は、
前記システムを構成する機器の種類ごとに、前記状態遷移モデルを保持し、
前記攻撃シナリオ生成部は、
前記システムに含まれる各機器の種類に対応する状態遷移モデルを組み合わせることで、前記シナリオを複数生成するものである、
ことを特徴とする請求項１に記載の攻撃シナリオ分析装置。

【請求項3】

前記記憶部は、
前記攻撃行動に必要なコストの情報をさらに保持し、
前記リスク評価部は、
前記シナリオに関して、当該シナリオが含む前記攻撃行動それぞれの、攻撃に必要な労力、攻撃の難易度、及び攻撃が検知される可能性を表す攻撃検知率、の少なくともいずれかの観点でのコストを、前記コストの情報に基づき集計し、当該集計したコストを前記攻撃者にとっての前記リスクの評価値とするものである、
ことを特徴とする請求項２に記載の攻撃シナリオ分析装置。

【請求項4】

前記記憶部は、
前記攻撃行動による被害の情報をさらに保持し、
前記リスク評価部は、
前記シナリオに関して、当該シナリオが含む前記攻撃行動それぞれの、攻撃による被害の影響を表した被害影響度、及び攻撃により想定される被害額を表す想定被害額、の少なくともいずれかの観点でのコストを、前記被害の情報に基づき集計し、当該集計したコストを前記システムにとっての前記リスクの評価値とするものである、
ことを特徴とする請求項３に記載の攻撃シナリオ分析装置。

【請求項5】

前記システムを構成する機器の情報入力を受け付ける情報入力部を更に備えることを特徴とする請求項４に記載の攻撃シナリオ分析装置。

【請求項6】

前記攻撃シナリオ生成部は、
前記情報入力部で入力された前記システムの機器の重要度に関する情報に基づき、前記シナリオにおける、攻撃者が前記システムにおいて最初にアクセスする機器と最終標的とする機器を選定するものである、
ことを特徴とする請求項５に記載の攻撃シナリオ分析装置。

【請求項7】

前記攻撃シナリオ生成部で生成した各シナリオと、前記リスク評価部で各シナリオについて得られた前記評価値とを紐付けたシナリオ一覧を表示する分析結果出力部をさらに備える、
ことを特徴とする請求項６に記載の攻撃シナリオ分析装置。

【請求項8】

前記記憶部は、
前記コストの情報として、前記攻撃行動を実現する技術の情報をさらに保持し、
前記攻撃シナリオ生成部は、
前記技術の情報に基づいて、前記状態遷移モデルと、当該状態遷移モデルにおける攻撃行動の実現技術の情報とを組み合わせて、前記システムにおける前記シナリオを生成するものである、
ことを特徴とする請求項３に記載の攻撃シナリオ分析装置。

【請求項9】

前記リスクの評価値に基づき、攻撃者が状態を遷移する攻撃行動と前記技術の組み合わせに対して報酬を定義し、前記シナリオを強化学習する学習部をさらに備える、
ことを特徴とする請求項８に記載の攻撃シナリオ分析装置。

【請求項10】

情報処理装置が、
記憶部において、サイバー攻撃の状態遷移モデルを保持し、
前記状態遷移モデルを組み合わせることで、分析対象のシステムにおけるサイバー攻撃のシナリオを複数生成する処理と、
攻撃者が前記シナリオに沿って攻撃行動を遷移させることで順次生じる、当該攻撃者にとってのリスクまたは前記システムにとってのリスクの少なくともいずれかの評価値を算出し、前記評価値に基づき前記シナリオに関するリスクの評価値を特定する処理と、
を実行することを特徴とする攻撃シナリオ分析方法。

【発明の詳細な説明】

【技術分野】

【0001】

本発明は、攻撃シナリオ分析装置及び攻撃シナリオ分析方法に関するものである。

【背景技術】

【0002】

近年、サイバー攻撃の脅威は従来の情報システムに留まらず、産業分野におけるコンピュータシステム（産業制御システム）でも顕在化している。

【0003】

一般的に、産業制御制御システムで稼働するコンピュータ機器のライフサイクルは情報システムと比べて長期に渡る。そのため、ベンダサポートが終了したレガシーＯＳ（Operating System）やソフトウェアが現役で稼働していることも少なくない。

【0004】

また、可用性の観点からセキュリティパッチを安易に適用することも難しいため、セキュリティ面では情報システムと比べて多くの脆弱性を抱えている場合が多い。

【0005】

一方で、生産効率向上等を目的としてＩｏＴ（Internet of Things）技術が積極的に導入され、インターネットを介して様々なシステムと相互接続されるケースが増えた結果、産業制御システムは攻撃者にとって都合の良い標的となった。

【0006】

重要インフラを含む産業制御システムへのサイバー攻撃は社会的な影響も大きく、場合によっては健康や安全に関する事故を引き起こす可能性もある。

【0007】

そのような損害を与えることを意図して、対象システムを標的と定めて高度な攻撃を継続的に行うＡＰＴ（Advanced Persistent Threat）攻撃の脅威も増している。

【0008】

このような高度な攻撃に対抗するためには、攻撃者が標的とするシステムに侵入してから目的を達成するまでの一連の経路および行動（以下、「攻撃シナリオ」もしくは「シナリオ」と略称する）を攻撃者の目線であらかじめ予測し、そのリスクを評価した上で、必要な対策を導入するというアプローチが有効である。

【0009】

ここで、「リスク」とは攻撃者にとってのリスクと被害者にとってのリスクの両視点から評価することが重要である。

【0010】

前者は「攻撃の実施にコストがかさむリスク」や「攻撃が失敗するリスク」等、攻撃シナリオの実現可能性に関連する。

【0011】

後者は「攻撃によって生じる被害額」や「攻撃によって生じる人命・環境への影響」等、被害者（サイバー攻撃の標的となるシステム）への被害影響に関連する。

【0012】

特許文献１では、複数のコンピュータ等を含む情報処理システムにおいて、サイバー攻撃の経路を特定し、そのリスクに対して評価値を与える方法およびプログラムを提供する。具体的には、攻撃経路上に存在する機器が有する脆弱性を特定した上で、あらかじめ定義した脆弱性毎の評価値を記憶したデータベースと照らし合わせることで、分析対象システム全体に対するリスク評価を可能にする。

【先行技術文献】

【特許文献】

【0013】

【特許文献1】ＷＯ２０２０／１９５２２８

【発明の概要】

【発明が解決しようとする課題】

【0014】

しかしながら産業制御システムでは、ＩｏＴ機器を含む多種多様な制御機器が稼働しているため、システムを構成する全機器の脆弱性情報を収集するには膨大な時間と労力を要する。

【0015】

そのため、時間と労力のリソースに限りがある状況下で、産業制御システムに関して、脆弱性をベースにした従来のリスク分析手法を適用するのは困難なケースが多い。したがってリスク分析に際し、攻撃者にとってのリスクと被害者にとってのリスクの両視点から評価することも難しい現状にある。

【0016】

そこで本発明では、産業制御システムに対するサイバー攻撃について、攻撃者及び被害者の両視点からの効率的なリスク分析を可能とすることを目的とする。

【課題を解決するための手段】

【0017】

上記課題を解決する本発明の攻撃シナリオ分析装置は、サイバー攻撃の状態遷移モデルを保持する記憶部と、前記状態遷移モデルを組み合わせることで、分析対象のシステムにおけるサイバー攻撃のシナリオを複数生成する攻撃シナリオ生成部と、攻撃者が前記シナリオに沿って攻撃行動を遷移させることで順次生じる、当該攻撃者にとってのリスクまたは前記システムにとってのリスクの少なくともいずれかの評価値を算出し、前記評価値に基づき前記シナリオに関するリスクの評価値を特定するリスク評価部と、を備えることを特徴とする。

【0018】

また、本発明の攻撃シナリオ分析方法は、情報処理装置が、記憶部において、サイバー攻撃の状態遷移モデルを保持し、前記状態遷移モデルを組み合わせることで、分析対象のシステムにおけるサイバー攻撃のシナリオを複数生成する処理と、攻撃者が前記シナリオに沿って攻撃行動を遷移させることで順次生じる、当該攻撃者にとってのリスクまたは前記システムにとってのリスクの少なくともいずれかの評価値を算出し、前記評価値に基づき前記シナリオに関するリスクの評価値を特定する処理と、を実行することを特徴とする。

【発明の効果】

【0019】

本発明によれば、膨大な脆弱性情報を個別に判別することなく、分析対象システムの構成情報から攻撃者の目線で攻撃シナリオを生成し、攻撃者と分析対象システムの両視点からリスク分析を行うことが可能となる。つまり、産業制御システムに対するサイバー攻撃について、攻撃者及び被害者の両視点からの効率的なリスク分析が可能となる。

【図面の簡単な説明】

【0020】

【図1】第１の実施形態に係る攻撃シナリオ分析装置の処理を表すフローチャートである。

【図2】第１～３の実施形態に係る攻撃シナリオ分析装置のシステム構成図である。

【図3】第１～３の実施形態に係る分析対象システムの構成情報の例を表す図である。

【図4】第１～３の実施形態に係る攻撃者の状態遷移モデルの例を表す図である。

【図5】第１～３の実施形態に係る分析対象システムのネットワーク構成の例を表す図である。

【図6】第１、２の実施形態に係る攻撃シナリオの模式図の例を表す図である。

【図7】第１の実施形態に係る攻撃シナリオの一例を表す図である。

【図8】第１の実施形態に係る攻撃シナリオ情報の一例を表す図である。

【図9】第１の実施形態に係るリスク評価情報の一例を表す図である。

【図10】第１の実施形態に係る入出力装置に出力される攻撃シナリオ分析装置の分析結果の一例を表す図である。

【図11】第２の実施形態に係る攻撃シナリオ分析装置の処理を表すフローチャートである。

【図12】第２の実施形態に係る攻撃者が状態を遷移する行動を取るために用いる技術情報を表す図である。

【図13】第２の実施形態に係る攻撃シナリオ情報の一例を表す図である。

【図14】第３の実施形態に係る攻撃シナリオ分析装置の処理を表すフローチャートである。

【図15】第３の実施形態に係る攻撃シナリオ情報の一例を表す図である。

【発明を実施するための形態】

【0021】

[第１の実施形態]
＜攻撃シナリオ分析方法のフロー＞

【0022】

以下、本発明の第1の実施形態について、図面を用いて説明する。図１は、攻撃シナリ
オ分析装置１０による攻撃シナリオ分析方法の処理フローを示す図である。

【0023】

以下、図１のフローチャートにおける各ステップの概要について説明する。まず攻撃シナリオ分析装置１０は、適宜な入出力インターフェイスを介して、分析対象となるシステムのシステム構成情報１６１のユーザ入力を受け付けて取得する（ステップＳ１）。

【0024】

続いて、攻撃シナリオ分析装置１０は、Ｓ１で取得したシステム構成情報１６１を、当該システムの機器種類ごとに個別に定義された攻撃者の状態遷移モデル１６２（一般的に、「サイバーキルチェーン」と呼ばれることもある）と組み合わせることで、攻撃シナリオを自動生成する（ステップＳ２）。

【0025】

また、攻撃シナリオ分析装置１０は、Ｓ２で生成した攻撃シナリオに対して、攻撃者および被害者にとってのリスクをそれぞれ個別に分析し、評価値を付与する（ステップＳ３）。

【0026】

ここで、被害者とは攻撃者によって攻撃を受ける対象システムを指す。また、「被害者にとってのリスク」と「分析対象システムにとってのリスク」は同義である。

【0027】

続いて、攻撃シナリオ分析装置１０は、上記のＳ３で個別に評価した、攻撃者および被害者それぞれにとってのリスクの評価値を基に、攻撃シナリオ全体のリスクを分析して評価値を算出する（ステップＳ４）。

【0028】

最後に、攻撃シナリオ分析装置１０は、攻撃シナリオをリスクの評価値と紐付けて、入出力装置１７のユーザに向けて出力し（ステップＳ５）、処理を終了する。

【0029】

＜攻撃シナリオ分析装置の構成＞
以上の攻撃シナリオ分析装置１０における機能をコンピュータで実現したシステム構成の一例を、図２に示す。

【0030】

この場合、攻撃シナリオ分析装置１０は、バスなどで互いに接続された、ＣＰＵ（Central Processing Unit）１１、メモリ１２、入出力インターフェイス１３、記憶装置１４
などを含んで構成される。

【0031】

ＣＰＵ１１は、この攻撃シナリオ分析装置１０を統括制御する中央処理装置である。攻撃シナリオ分析装置１０の実行時に、ＣＰＵ１１は、記憶装置１４に記憶されている処理プログラム群１５をメモリ１２に展開し、実行する。

【0032】

メモリ１２は、例えばＲＡＭ（Random Access Memory）などであり、ＣＰＵ１１がプログラムを実行する際の作業領域として使用される。

【0033】

また、入出力インターフェイス１３は、ＣＰＵ１１での処理結果を外部の入出力装置１７に出力するインターフェイスである。

【0034】

入出力装置１７は、攻撃シナリオ分析装置１０に対してユーザがデータ入出力を行うための装置であり、主にキーボード、マウス、ディスプレイ等から構成される。

【0035】

また、記憶装置１４は、例えばＨＤＤ（Hard Disk Drive）やＳＳＤ（Solid State Drive）で構成される。この記憶装置１４に格納される情報は、処理プログラム群１５と記憶部１６に大別される。

【0036】

処理プログラム群１５は、図１の処理Ｓ１～Ｓ５を実行するプログラムである。情報入力部１５１はステップＳ１を、攻撃シナリオ生成部１５２はステップＳ２を、リスク評価部１５３はステップＳ３およびＳ４を、分析結果出力部１５４はステップＳ５を実行するプログラムである。処理プログラム群１５に含まれる学習部１５５は、第３の実施形態でのみ使用される。

【0037】

また記憶部１６は、処理プログラム群１５が処理した入出力データを格納するデータベースを格納する領域となる。記憶部１６は、システム構成情報１６１、情報遷移モデル１６２、攻撃シナリオ情報１６３、リスク評価情報１６４、技術情報１６５を含む。なお、技術情報１６５は主に第２、３の実施形態で使用される。

【0038】

以下、記憶部１６に格納されている各情報について、処理プログラム群１５の機能詳細と関連付けて説明する。

【0039】

システム構成情報１６１は、分析対象システムを構成する機器の情報であり、情報入力部１５１により、ユーザから入力される。

【0040】

図３に本実施形態におけるシステム構成情報１６１の一例を示す。システム構成情報１６１は、機器のＩＤ（Identifier）１６１１、名称１６１２、種類１６１３、ＯＳ１６１４、接続ネットワーク１６１５、セキュリティレベル１６１６、および重要度１６１７を含む。

【0041】

このうちＩＤ１６１１は、機器を一意に表す識別子である。また、名称１６１２は、機器の名称であり、図３で示す例であれば、「ノートＰＣ１」、「データサーバ１」、「監視ＰＣ１」、「ＰＬＣ１」、及び「ＰＬＣ２」となる。

【0042】

また、種類１６１３は、機器の種類であり、図３で示す例であれば、「一般ＩＴ業務端末」、「制御監視端末」、「制御コントローラで」となる。

【0043】

ＯＳ１６１４は、各機器に搭載されているＯＳの情報であり、図３に示す例であれば、「汎用ＯＳ」か「独自ＯＳ」となる。

【0044】

また、接続ネットワーク１６１５は、各機器が接続されるネットワークの情報であり、
図３の例であれば、「情報ＮＷ（NetWork）」、「制御ＮＷ」、および「インターネット
」の三つのネットワークがある。

【0045】

セキュリティレベル１６１６は、各機器のセキュリティレベル（セキュリティ対策のレベル）を示す。本実施形態におけるセキュリティレベル１６１６は、１～３の３段階となっている。セキュリティレベルの数値が高いほど、セキュリティ対策が十分に実施されていることを意味する。

【0046】

また、セキュリティレベル１６１６の値は、「定期的なパッチ適用をしているか」、「常に最新のウイルス対策ソフトがインストールされているか」等、あらかじめ設定したセキュリティポリシーを満たしているかを基準として設定してもよい。

【0047】

重要度１６１７は、分析対象システムにおける各機器の重要度を、セキュリティの機密性１６１７Ａ、完全性１６１８Ｂ、可用性１６１９Ｃの３つの観点で評価した結果が示されている。

【0048】

本実施形態では、機密性１６１７Ａ、完全性１６１８Ｂ、可用性１６１９Ｃは、Ｈｉｇｈ、Ｌｏｗ、Ｎｏｎｅ、の３項目で評価されている。

【0049】

例えば、機密性１６１７Ａに「Ｈｉｇｈ」という評価が与えられている場合は、該当機器がサイバー攻撃を受けて機密性が損なわれると、重大な情報漏洩に繋がるということを示す。

【0050】

また、機密性１６１７Ａが「Ｌｏｗ」であれば軽度な情報漏洩、「Ｎｏｎｅ」であれば情報漏洩には発展しないということを意味する。

【0051】

同様に、完全性１６１７Ｂについては、該当機器に対するサイバー攻撃時がどの程度重大な情報改ざんにつながるのか、可用性１６１７Ｃについては該当機器へのサイバー攻撃時がどの程度重大な業務停止につながるのかが適宜な知見ある者に評価され、その結果が格納される。

【0052】

また、機密性１６１７Ａ、完全性１６１８Ｂ、可用性１６１９Ｃには、図３で示したＨｉｇｈ、Ｌｏｗ、Ｎｏｎｅを使った定性的な評価ではなく、定量的な評価値を与える方式を採用してもよい。

【0053】

続いて、状態遷移モデルについて図４に基づき説明する。状態遷移モデル１６２は、攻撃者がサイバー攻撃を施行する際の戦術レベルの状態遷移を示すものである。

【0054】

つまり、状態遷移モデルとは、攻撃者が各機器を攻撃するときの一連の行動（攻撃行動）の遷移を表したものである。状態遷移モデル１６２は、機器の種類ごとに異なり、個別に定義される。

【0055】

図４にて、状態遷移モデル１６２の一例を示す。状態遷移モデル１６２は、図３で定義された機器の種類１６１３ごとに定義される。つまり、状態遷移モデル１６２は、図３の機器の種類１６１３で予め定義された機器の種類からしか選択できないことを意味する。

【0056】

例えば、図４で示す状態遷移モデルは、図３の機器の種類１６１３で定義されている「一般ＩＴ業務端末」に適用可能な状態遷移モデル１６２１と、同様に「制御監視端末」に適用可能な状態遷移モデル１６２２、となっている。

【0057】

また、状態遷移モデル１６２では、所定の攻撃行動を経て各状態に攻撃者が達した際、対象となるシステムにおける機密性・完全性・可用性のどの要素が損害されるのかがあらかじめ定義されている。

【0058】

例えば、図４では、攻撃者が「持ち出し」という状態に達した際に、一般ＩＴ業務端末の「機密性」が損害され、「応答制御」という状態に達した際に制御監視端末の「完全性」が損害され、「制御阻害」という状態に達した際に当該制御監視端末の「可用性」が損害されることを示している。

【0059】

なお、攻撃シナリオ情報１６３は、攻撃シナリオ生成部１５２で生成された攻撃シナリオの情報である。本発明における攻撃シナリオとは、前述の通り、攻撃者が標的とするシステムに侵入してから目的を達成するまでの一連の経路および攻撃行動を指す。

【0060】

攻撃者が最初にアクセスする機器は、情報入力部１５１でユーザが指定してもよいし、システム構成情報１６１の接続ネットワーク１６１５に入力された情報から自動で選定してもよい。例えば、インターネットに接続されている機器を攻撃の侵入口と設定する等、が考えられる。

【0061】

同様に、攻撃者が最終標的とする機器も、情報入力部１５１でユーザが指定してもよいし、システム構成情報１６１の重要度１６１７に入力された情報から自動で選定してもよい。例えば、可用性１６１７Ａ・機密性１６１７Ｂ・可用性１６１７Ｃの全てが「Ｈｉｇｈ」と設定されている機器を攻撃の標的と設定する等、が考えられる。

【0062】

攻撃シナリオ分析装置１０は、攻撃者の最初にアクセスする機器と最終標的とする機器が決まれば、攻撃経路はシステム構成情報１６１の接続ネットワーク１６１５の情報を基に、自動的に探索する。

【0063】

図５は、図３で示されているシステム構成情報１６１をネットワーク構成図として示した図である。本実施形態では、攻撃者が最初にアクセスするものとして、インターネットに接続されているノートＰＣ１、また、攻撃目標の機器として監視ＰＣ１を想定し、攻撃シナリオの生成方法を説明する。

【0064】

まず第一に、攻撃経路に関して、最短経路である「ノートＰＣ１→監視ＰＣ１」を例として考える。この場合、攻撃シナリオ分析装置１０は、ノートＰＣ１と監視ＰＣ１において攻撃者が実施する行動について、当該機器に対応した図４の状態遷移モデル１６２を参照することで、モデル化できる。

【0065】

図３のシステム構成情報１６１によると、ノートＰＣ１の種類は「一般ＩＴ業務端末」であり、監視ＰＣ１の種類は「制御監視機器」である。

【0066】

そのため、攻撃シナリオ分析装置１０は、ノートＰＣ１上における攻撃者の行動を、図４の一般ＩＴ業務端末の状態遷移モデル１６２１でモデル化できる。

【0067】

また攻撃シナリオ分析装置１０は、監視ＰＣ１上における攻撃者の行動を、図４の制御監視端末の状態遷移モデル１６２２でモデル化できる。そして、これらを組み合わせることで攻撃シナリオが生成できる。

【0068】

図６に、上記組み合わせから生成した攻撃シナリオの模式図を示す。攻撃者が状態を遷移する攻撃行動には一意の識別子である行動ＩＤが割り当てられる。図６における攻撃シナリオの場合は、１～１１の行動ＩＤが割り当てられている。

【0069】

また図６では、行動ＩＤとして「１」が割り当てられた行動を「行動１」と表示しており、行動ＩＤが２～１１の各行動についても同様の表示形式を採用する。

【0070】

図６の攻撃シナリオにおける経路は、「ノートＰＣ１→監視ＰＣ１」で固定しているが、攻撃者の行動は次の４パターンが考えられる。

【0071】

[攻撃シナリオＩＤ：１]
行動１→行動２→行動６→行動７→行動８→行動９→行動１０

【0072】

[攻撃シナリオＩＤ：２]
行動１→行動２→行動６→行動７→行動８→行動９→行動１１

【0073】

[攻撃シナリオＩＤ：３]
行動１→行動２→行動３→行動４→行動５→行動７→行動８→行動９→行動１０

【0074】

[攻撃シナリオＩＤ：４]
行動１→行動２→行動３→行動４→行動５→行動７→行動８→行動９→行動１１

【0075】

それぞれの攻撃シナリオには、一意の識別子である攻撃シナリオＩＤが割り当てられる。図７にて、例として、攻撃シナリオＩＤが１の攻撃シナリオの模式図を示す。

【0076】

攻撃シナリオ分析装置１０においては、同じ攻撃経路である場合でも、攻撃者の状態遷移が異なる場合は、別々の攻撃シナリオとして認識される。つまり、「ノートＰＣ１→監視ＰＣ１」という単一の攻撃経路に対して、状態遷移が４パターン存在するため、攻撃シナリオ生成部１５２では４つの個別の攻撃シナリオとして識別される。これらの攻撃シナリオは、割り当てられた攻撃シナリオＩＤとともに、攻撃シナリオ情報１６３として格納される。

【0077】

図８は、攻撃シナリオ情報１６３の一例であり、上記の攻撃シナリオＩＤが「１」、の攻撃シナリオの情報が格納されたテーブルの一例である。攻撃シナリオ情報１６３では、攻撃の順序を表す攻撃ステップ１６３１、行動ＩＤ１６３２、各行動ＩＤの詳細１６３３、攻撃コスト１６３４、および被害影響度１６３５を対応付けて記憶する。攻撃コスト１６３４、被害影響度１６３５、合算値１６３６、総合リスク評価値１６３７については後述する。

【0078】

また、リスク評価情報１６４は、リスク評価部１５３で分析した、攻撃シナリオのリスクに関する情報が格納される。本発明におけるリスクの評価は、攻撃者と被害者の両視点から、攻撃者が状態を遷移する行動に対して行われる。

【0079】

攻撃者が状態を遷移する行動に着目することで、遷移前と遷移後の両方における攻撃者の状態を考慮したリスクの評価が可能になり、攻撃者の状態単体に対してリスクの評価を行う場合に比べて精度が向上する。

【0080】

本実施例では、攻撃者にとってのリスクを評価する指標として、例えば、「攻撃コスト」を採用する。攻撃コストとは、攻撃者がサイバー攻撃を実施する際に費やす労力を意味する。

【0081】

攻撃コストが高い場合、攻撃者にとってのリスクは増加するため、攻撃者はなるべく攻撃コストが低い攻撃シナリオを選択すると考えられる。そのため、攻撃コストが低い攻撃
シナリオに対しては、優先的に対策を実施する必要がある。

【0082】

攻撃コストは、前述の通り、攻撃者が状態を遷移する行動に対して算出される。攻撃コストの算出には、図３のシステム構成情報１６１における機器の種類１６１３、ＯＳ１６１４、接続ネットワーク１６１５およびセキュリティレベル１６１６を活用してもよい。例えば、"侵入"した状態に遷移する行動を取る際、情報ＮＷや制御ＮＷ等の社内ネットワークを介する場合はインターネットを介する場合と比べ、攻撃コストを高く算出することが考えられる。この評価方法に従うと、図６の場合、同じ"侵入"した状態に遷移する行動１と行動７を比べた際、行動１よりも行動７の攻撃コストが高く算出される。

【0083】

攻撃者にとってのリスクを評価する指標としては、「攻撃コスト」以外にも、攻撃の難易度を示す「攻撃難易度」や攻撃が検知される可能性を示す「攻撃検知率」等、攻撃者にとってのリスクに関連する指標であればよく、これらを組み合わせて攻撃者にとってのリスクの評価値を算出してもよい。

【0084】

一方で、被害者にとってのリスクを評価する指標として、例えば、「被害影響度」を採用する。被害影響度とは、分析対象システムがサイバー攻撃を受けた際に被る被害影響を数値化した指標である。攻撃者はなるべく被害影響度が高い攻撃シナリオを実行すると考えられる。そのため、被害影響度が高い攻撃シナリオに対しては、優先的に対策を実施する必要がある。

【0085】

被害影響度も攻撃コストと同様に、攻撃者が状態を遷移する行動に対して算出される。被害影響度の算出には、図３のシステム構成情報１６１における重要度１６１７の機密性１６１７Ａ・完全性１６１７Ｂ・可用性１６１７Ｃを活用してもよい。

【0086】

例えば、図６の攻撃シナリオの模式図では、攻撃者が行動４を実施するとノートＰＣ１の機密性が損害される。ノートＰＣ１の機密性１６１７Ａには「Ｌｏｗ」が割り当てられているので、攻撃者が行動４を実施すると、システムにとっては軽度な情報漏洩に繋がることを意味する。

【0087】

同様に、攻撃者が行動１０を実施すると監視ＰＣ１の完全性が阻害される。監視ＰＣ１の完全性１６１７Ｃには「Ｈｉｇｈ」が割り当てられているので、攻撃者が行動１０を実施すると、システムにとっては重大な情報の改ざんに繋がることを意味する。これらの被害影響度を数値化する際には、ＣＶＳＳ ｖ３（Common Vulnerability Scoring System v3）における攻撃による影響を評価する項目を参考にしても良い。

【0088】

被害者にとってのリスクを評価する指標としては、「被害影響度」以外にも、想定される被害額を示す「想定被害額」等、被害者にとってのリスクに関連する指標であればよく、これらを組み合わせて被害者にとってのリスクの評価値を算出してもよい。

【0089】

図９にリスク評価情報１６４の一例を示す。本実施例では、攻撃者にとってのリスクの評価値である攻撃コスト１６４２と、被害者にとってのリスクの評価値である被害影響度１６４３が、行動ＩＤ１６４１に対応付けられている。

【0090】

こうしたリスク評価情報１６４２は、図８の攻撃コスト１６３４と被害影響度１６３５にも入力される。図６の攻撃シナリオ情報１６３における合算値１６３６には、攻撃シナリオ全体で攻撃コストと被害影響度を合算した値が設定される。

【0091】

また、総合リスク評価値１６３７には、被害影響度の合算値を攻撃コストの合算値で除算した値が格納される。つまり、総合リスク評価値が高い攻撃シナリオは、少ない攻撃コ
ストで大きな被害影響度を与えることができると解釈できる。

【0092】

本実施例では、総合リスク評価値１６３７の算出方法として上記のような単純な除算を採用したが、攻撃者および被害者にとってのリスクの評価値の両方を用いて導出した値であれば、計算方法は問わない。

【0093】

図１０は、分析結果出力部１５４が攻撃シナリオ情報１６３を読み込み、攻撃シナリオ分析結果１５４０として入出力装置１７に表示した一例を示した図である。攻撃シナリオ分析結果１５４０は、表１５４９、並び替えボタン１５４６、リスク評価方式変更ボタン１５４７、及び一括ファイル出力ボタン１５４８を含む。

【0094】

このうち表１５４９は、攻撃シナリオＩＤ１５４１、攻撃コスト１５４２、被害影響度１５４３、および総合リスク評価値１５４４を対応付けたものである。

【0095】

攻撃コスト１５４２と被害影響度１５４３には、図８で算出した合算値１６３６が、総合リスク評価値１５４４には、図８で算出した総合リスク評価値１６３７と同じ値が、対応する攻撃シナリオＩＤ１５４１に対して格納される。

【0096】

また、詳細表示ボタン１５４５の押下を受けて、攻撃シナリオ分析装置１０は、該当する攻撃シナリオの詳細情報を、攻撃シナリオ情報１６３から呼び出し、ユーザに表示する。

【0097】

また、詳細表示ボタン１５４５の押下を受けて、攻撃シナリオ分析装置１０は、図７のような、該当する攻撃シナリオの模式図を表示するとしてもよい。或いは、図８のような表形式の攻撃シナリオを表示するとしてもよい。

【0098】

また、並び替えボタン１５４６の押下を受けて、攻撃シナリオ分析装置１０は、表１５４９の表示内容を、攻撃シナリオＩＤ１５４１、攻撃コスト１５４２、被害影響度１５４３、および総合リスク評価値１５４４の大小でソート、すなわち並び変える。

【0099】

ユーザによっては、総合リスク評価値１５４４ではなく、攻撃コスト１５４２もしくは被害影響度１５４３の一方を用いて、攻撃シナリオのリスクを評価することも考えられる。

【0100】

リスク評価方式変更ボタン１５４７の押下を受けて、攻撃シナリオ分析装置１０は、攻撃者および被害者にとってのリスクの評価方式を変更する。例えば、攻撃者にとってのリスクの評価方式を、「攻撃コスト」から「攻撃検知率」に切り替えることが考えられる。

【0101】

また、一括ファイル出力ボタンの押下を受けて、攻撃シナリオ分析装置１０は、表１５４９の表示内容、および詳細表示ボタン１５４５を押すことで得られる表示内容の、両方を一括してファイルで出力する。

【0102】

[第２の実施形態]
以下、本発明の第２の実施形態について、図面を用いて説明する。第１の実施形態では、図６のように攻撃シナリオを生成する際、ある状態から次の状態に遷移する行動には単一の行動ＩＤが割り当てられている。

【0103】

しかしながら、各行動を実現するための技術は多岐にわたる。ある状態から"侵入"した状態に遷移する行動を例に挙げると、本行動を実現するためには「標的型メールを介したマルウェア感染」や「リモートログインサービスの悪用」等の様々な技術が用いられる。

【0104】

本実施例では、上記の例のように採用する技術によって別々に攻撃シナリオを生成し、評価することを可能にする、攻撃シナリオ分析装置１０について説明する。

【0105】

第２の実施形態に係る攻撃シナリオ分析装置１０は、第１の実施形態に係る攻撃シナリオ分析装置の記憶部１６に技術情報１６５を追加した構成となる。

【0106】

図１１は、第２の実施形態に係る、攻撃シナリオ分析装置１０による攻撃シナリオ分析方法のフロー例を示す図である。

【0107】

図１１のフローにおける、ステップＳ１１、Ｓ１３、Ｓ１４、Ｓ１５は、図１のフローにおける、ステップＳ１、Ｓ３、Ｓ４、Ｓ５とそれぞれ同様の処理となる。

【0108】

一方、ステップＳ１２では、ステップＳ２と異なり、攻撃シナリオ分析装置１０は、入力したシステム構成情報１２１を、機器の種類ごとに個別に定義された攻撃者の状態遷移モデル１６２、および技術情報１６５と網羅的に組み合わせることで、攻撃シナリオを自動生成する。

【0109】

図１２は、技術情報１６５の一例を示す。技術情報１６５には、攻撃者が一連の攻撃シナリオの中で遷移する対象となる状態１６５２と、その状態遷移を実現するための技術１６５３の一覧が格納されている。

【0110】

それぞれの実現技術１６５３には、技術を一意に識別する技術ＩＤ１６５１と、当該技術を用いることの難易度を表す技術難易度１６５４、当該技術を用いた攻撃に要する労力を示す実施労力１６５５、攻撃が検知される可能性を表す攻撃検知率１６５６、当該技術を用いた攻撃による被害の影響度を示す被害影響度１６５７、及び当該技術を用いた攻撃による被害額度を示す想定被害額１６５８が定義されている。

【0111】

なお、図１２において、技術難易度１６５４、実施労力１６５５、攻撃検知率１６５６、被害影響度１６５７、及び想定被害額１６５８のそれぞれは、「Ｈｉｇｈ」、「Ｍｉｄ」、「Ｌｏｗ」で評価しているが、定量的なスコアを与えてもよい。

【0112】

図１３は、第２の実施形態で生成された攻撃シナリオを格納した攻撃シナリオ情報１６３Ａの一例を表したものである。第２の実施形態の攻撃シナリオ生成部１５２では、行動ＩＤと技術ＩＤの全ての組み合わせに対して攻撃シナリオが生成され、攻撃シナリオ情報１６３Ａに格納される。

【0113】

図１３では、攻撃シナリオＩＤが「１」の攻撃シナリオの一例が表示されており、各攻撃ステップ１６３１Ａに対応する行動ＩＤ１６３２Ａと技術ＩＤ１６３８Ａの組み合わせ、およびその詳細１６３３Ａが対応付けられている。

【0114】

また、図８と同じく、攻撃シナリオ分析装置１０は、攻撃コスト１６３４Ａと被害影響度１６３５Ａも各攻撃ステップに対して算出し、それらの合算値１６３６Ａを基にして、総合リスク評価値１６３７Ａを算出する。

【0115】

第２の実施形態においては、攻撃コスト１６３４Ａを算出する際は、図３のシステム構成情報１６１における機器の種類１６１３、ＯＳ１６１４、接続ネットワーク１６１５、セキュリティレベル１６１６に加えて、図１２の技術難易度１６５４の評価を考慮にいれてもよい。

【0116】

例えば、"侵入"した状態に移る行動を取る際、技術難易度に「Ｈｉｇｈ」の評価が与えられている技術を用いる場合は、「Ｌｏｗ」の評価が与えられている技術を用いる場合と比べて、攻撃コストを高く算出する、といった運用を想定する。

【0117】

最後に、分析結果出力部１５４が攻撃シナリオ情報１６３Ａを読み込み、分析結果出力部１５４に出力することで、本実施例のサイバー攻撃シナリオ評価は完了する。

【0118】

[第３の実施形態]
以下、本発明の第３の実施形態について、図面を用いて説明する。第１および第２の実施形態における攻撃シナリオ分析措置では、全ての攻撃シナリオに対してリスクの評価値を計算し、ユーザに出力する方法を採用していた。一方で、本実施例では、強化学習を用いた分析により、攻撃者にとって最適な攻撃シナリオを抽出し、これをユーザに出力する攻撃シナリオ分析措置について説明する。

【0119】

第３の実施形態に係る攻撃シナリオ分析装置１０は、第１の実施形態に係る攻撃シナリオ分析装置の処理プログラム群１５に学習部１５５を、記憶部１６に技術情報１６５を追加した構成となる。

【0120】

図１４は、第３の実施形態に係る、攻撃シナリオ分析装置１０による攻撃シナリオ分析方法のフロー例を示す図である。図１４のフローにおけるステップＳ１１１、Ｓ１１２、Ｓ１１３は、図１１のステップＳ１１、Ｓ１２、Ｓ１３とそれぞれ同様の処理を実施する。

【0121】

ここで、ステップＳ１１４では、学習部１５５において、ステップ１１３で算出した各行動に対する攻撃者および被害者にとってのリスクの評価値を基に各行動の報酬を定義し、学習を繰り返す。

【0122】

上述の学習の手法は任意であり、例えば、強化学習の一つの手法であるＱ学習（Ｑ―Ｌｅａｒｎｉｎｇ）を用いるとしてもよい。このＱ学習においては、各状態において選択できる全ての行動に対して報酬が与えられ、行動価値関数Ｑが学習される。ステップＳ１１３では、各行動と技術の組み合わせに対して、攻撃者および被害者にとってのリスクの評価値が算出されている。

【0123】

本実施例をＱ学習の枠組みに合わせるために、各行動と技術の組み合わせを改めて個別の行動として定義しなおしてもよい。例えば、行動ＩＤがＸＸで技術ＩＤがＹＹの組み合わせと、行動ＩＤがＸＸで技術ＩＤがＺＺの組み合わせは、異なる行動として扱い、それぞれの行動ＩＤをＸＸ-ＹＹおよびＸＸ－ＺＺと定義しなおすことが考えられる。図１５
には、図１３を上記で説明した行動ＩＤに定義しなおした一例を示す。

【0124】

行動に対して与えられる報酬に関して、被害者にとってのリスクの評価値が高い行動には報酬を高く設定し、攻撃者にとってのリスクの評価値が高い行動には報酬を低く設定してもよい。

【0125】

ステップＳ１１５では、学習部１５５において、上述のステップＳ１１４で学習した行動価値関数Ｑが最大となる行動と技術の組み合わせを選択した攻撃シナリオを、攻撃者にとっての最適の攻撃シナリオとみなし、分析結果出力部１５４に出力する。これにより、本実施例のサイバー攻撃シナリオ評価は完了する。

【0126】

以上、本発明を実施するための最良の形態などについて具体的に説明したが、本発明はこれに限定されるものではなく、その要旨を逸脱しない範囲で種々変更可能である。

【0127】

こうした本実施形態によれば、産業制御システムに対するサイバー攻撃について、攻撃者及び被害者の両視点からの効率的なリスク分析が可能となる。

【0128】

本明細書の記載により、少なくとも次のことが明らかにされる。すなわち、本実施形態の攻撃シナリオ分析装置において、前記記憶部は、前記システムを構成する機器の種類ごとに、前記状態遷移モデルを保持し、前記攻撃シナリオ生成部は、前記システムに含まれる各機器の種類に対応する状態遷移モデルを組み合わせることで、前記シナリオを複数生成するものである、としてもよい。

【0129】

これによれば、システムを構成する機器に関する情報が得られる場合に対応して、より高精度のシナリオ生成が可能となる。ひいては、産業制御システムに対するサイバー攻撃について、攻撃者及び被害者の両視点からのより効率的なリスク分析が可能となる。

【0130】

また、本実施形態の攻撃シナリオ分析装置において、前記記憶部は、前記攻撃行動に必要なコストの情報をさらに保持し、前記リスク評価部は、前記シナリオに関して、当該シナリオが含む前記攻撃行動それぞれの、攻撃に必要な労力、攻撃の難易度、及び攻撃が検知される可能性を表す攻撃検知率、の少なくともいずれかの観点でのコストを、前記コストの情報に基づき集計し、当該集計したコストを前記攻撃者にとっての前記リスクの評価値とするものである、としてもよい。

【0131】

これによれば、攻撃者側の視点でのコストについて、より精度良く勘案してリスク評価を行うことが可能となる。ひいては、産業制御システムに対するサイバー攻撃について、攻撃者及び被害者の両視点からのより効率的なリスク分析が可能となる。

【0132】

また、本実施形態の攻撃シナリオ分析装置において、前記記憶部は、前記攻撃行動による被害の情報をさらに保持し、前記リスク評価部は、前記シナリオに関して、当該シナリオが含む前記攻撃行動それぞれの、攻撃による被害の影響を表した被害影響度、及び攻撃により想定される被害額を表す想定被害額、の少なくともいずれかの観点でのコストを、前記被害の情報に基づき集計し、当該集計したコストを前記システムにとっての前記リスクの評価値とするものである、としてもよい。

【0133】

これによれば、被攻撃側である分析対象システムのコストについて、より精度良く勘案してリスク評価を行うことが可能となる。ひいては、産業制御システムに対するサイバー攻撃について、攻撃者及び被害者の両視点からのより効率的なリスク分析が可能となる。

【0134】

また、本実施形態の攻撃シナリオ分析装置において、前記システムを構成する機器の情報入力を受け付ける情報入力部を更に備えるとしてもよい。

【0135】

これによれば、シナリオ生成の精度を上げうる機器の情報を効率良く取得可能となる。ひいては、産業制御システムに対するサイバー攻撃について、攻撃者及び被害者の両視点からのより効率的なリスク分析が可能となる。

【0136】

また、本実施形態の攻撃シナリオ分析装置において、前記攻撃シナリオ生成部は、前記情報入力部で入力された前記システムの機器の重要度に関する情報に基づき、前記シナリオにおける、攻撃者が前記システムにおいて最初にアクセスする機器と最終標的とする機器を選定するものである、としてもよい。

【0137】

これによれば、シナリオにおける開始／終了の特定を精度良好に特定可能となる。ひいては、産業制御システムに対するサイバー攻撃について、攻撃者及び被害者の両視点から
のより効率的なリスク分析が可能となる。

【0138】

また、本実施形態の攻撃シナリオ分析装置において、前記攻撃シナリオ生成部で生成した各シナリオと、前記リスク評価部で各シナリオについて得られた前記評価値とを紐付けたシナリオ一覧を表示する分析結果出力部をさらに備える、としてもよい。

【0139】

これによれば、ユーザに対して各シナリオの特性がどのようなものか的確に提示可能となる。ひいては、産業制御システムに対するサイバー攻撃について、攻撃者及び被害者の両視点からのより効率的なリスク分析が可能となる。

【0140】

また、本実施形態の攻撃シナリオ分析装置において、前記記憶部は、前記コストの情報として、前記攻撃行動を実現する技術の情報をさらに保持し、前記攻撃シナリオ生成部は、前記技術の情報に基づいて、前記状態遷移モデルと、当該状態遷移モデルにおける攻撃行動の実現技術の情報とを組み合わせて、前記システムにおける前記シナリオを生成するものである、としてもよい。

【0141】

これによれば、シナリオを構成する攻撃行動のそれぞれについて技術的特徴や、それに基づくコスト（攻撃側と被害者側の双方）を踏まえた各種処理が可能となる。ひいては、産業制御システムに対するサイバー攻撃について、攻撃者及び被害者の両視点からのより効率的なリスク分析が可能となる。

【0142】

また、本実施形態の攻撃シナリオ分析装置において、前記リスクの評価値に基づき、攻撃者が状態を遷移する攻撃行動と前記技術の組み合わせに対して報酬を定義し、前記シナリオを強化学習する学習部をさらに備える、としてもよい。

【0143】

これによれば、あるシステムに関して得たシナリオを、類似の構成や特徴を有する他システムのシステムに展開するといった運用も可能となる。ひいては、産業制御システムに対するサイバー攻撃について、攻撃者及び被害者の両視点からのより効率的なリスク分析が可能となる。

【符号の説明】

【0144】

１０ 攻撃シナリオ分析装置
１１ ＣＰＵ
１２ メモリ
１３ 入出力インターフェイス
１４ 記憶装置
１５ 処理プログラム群
１５１ 情報入力部
１５２ 攻撃シナリオ生成部
１５３ リスク評価部
１５４ 分析結果出力部
１５５ 学習部
１６ 記憶部
１６１ システム構成情報
１６２ 状態遷移モデル
１６３ 攻撃シナリオ情報
１６４ リスク評価情報
１６５ 技術情報

【図1】

【図2】

【図3】

【図4】

【図5】

【図6】

【図7】

【図8】

【図9】

【図10】

【図11】

【図12】

【図13】

【図14】

【図15】