特開 2024-145577 予測システム、プログラム及び予測方法

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】公開特許公報(A)

(11)【公開番号】P2024145577

(43)【公開日】2024-10-15

(54)【発明の名称】予測システム、プログラム及び予測方法

(51)【国際特許分類】

   G06Q 50/00 20240101AFI20241004BHJP

   G06Q 10/00 20230101ALI20241004BHJP

【ＦＩ】

G06Q50/00 300

G06Q10/00

【審査請求】未請求

【請求項の数】6

【出願形態】ＯＬ

(21)【出願番号】P 2023057991

(22)【出願日】2023-03-31

【新規性喪失の例外の表示】特許法第３０条第２項適用申請有り （１）令和５年１月１９日に２０２３年 暗号と情報セキュリティシンポジウム（ＳＣＩＳ２０２３；２０２３ Ｓｙｍｐｏｓｉｕｍ ｏｎ Ｃｒｙｐｔｏｇｒａｐｈｙ ａｎｄ Ｉｎｆｏｒｍａｔｉｏｎ Ｓｅｃｕｒｉｔｙ）のウェブサイト内（ｈｔｔｐｓ：／／ｗｗｗ．ｉｗｓｅｃ．ｏｒｇ／ｓｃｉｓ／２０２３／）で、ＳＣＩＣ２０２３の参加者に対して論文「ツイート傾向を活用した深刻度の高い脆弱性の早期検知の検討」を含む予稿集を公開した。 （２）令和５年１月２７日にＳＣＩＳ２０２３で発表した。

【公序良俗違反の表示】

（特許庁注：以下のものは登録商標）

１．ＴＷＩＴＴＥＲ

(71)【出願人】

【識別番号】000208891

【氏名又は名称】ＫＤＤＩ株式会社

(74)【代理人】

【識別番号】100106002

【弁理士】

【氏名又は名称】正林 真之

(74)【代理人】

【識別番号】100120891

【弁理士】

【氏名又は名称】林 一好

(72)【発明者】

【氏名】源平 祐太

(72)【発明者】

【氏名】中村 徹

(72)【発明者】

【氏名】磯原 隆将

(72)【発明者】

【氏名】清本 晋作

【テーマコード（参考）】

5L010

5L049

5L050

【Ｆターム（参考）】

5L010AA04

5L049AA04

5L049CC00

5L050CC00

(57)【要約】      （修正有）

【課題】脆弱性の脅威度を従来よりも早期に予測可能な予測システム、プログラム及び予測方法を提供すること。
【解決手段】分析システム１において、収集サーバーのプロセッサーは、脆弱性に付与された識別情報を投稿内容に含む、ＳＮＳへの投稿の時間帯ごとの投稿数を学習済みモデルに入力し、学習済みモデルの出力として、脆弱性の脅威度の予測値を得る予測部として機能する。分析サーバーのプロセッサーは、予め定められた期間内における前記識別情報を投稿内容に含む投稿の投稿数が、予め定められた閾値以上である場合に、脆弱性を脅威度の予測の対象として決定する決定部して機能する。予測部は、決定部が決定した脆弱性の脅威度の予測値を得る。
【選択図】図１

【特許請求の範囲】

【請求項1】

脆弱性に付与された識別情報を投稿内容に含む、ＳＮＳへの投稿の時間帯ごとの投稿数を学習済みモデルに入力し、前記学習済みモデルの出力として、前記脆弱性の脅威度の予測値を得る、予測部を備える予測システム。

【請求項2】

予め定められた期間内における前記識別情報を投稿内容に含む投稿の投稿数が、予め定められた閾値以上である場合に、前記脆弱性を前記脅威度の予測の対象として決定する決定部をさらに備え、
前記予測部は、前記決定部によって決定された前記脆弱性の脅威度の予測値を得る、請求項１に記載の予測システム。

【請求項3】

複数の脆弱性のそれぞれに付与された識別情報ごとの、前記識別情報を投稿内容に含む前記ＳＮＳへの投稿の時間帯ごとの投稿数を説明変数とし、前記複数の脆弱性のそれぞれの脅威度を目的変数として、機械学習を行うことで前記学習済みモデルを作成する学習部をさらに備える、請求項１に記載の予測システム。

【請求項4】

前記学習部は、投稿人数が予め定められた人数以上である前記識別情報を投稿内容に含む前記ＳＮＳへの投稿の時間帯ごとの投稿数を前記説明変数として用いる、請求項３に記載の予測システム。

【請求項5】

予測システムが備えるプロセッサーを、
脆弱性に付与された識別情報を投稿内容に含む、ＳＮＳへの投稿の時間帯ごとの投稿数を学習済みモデルに入力し、前記学習済みモデルの出力として、前記脆弱性の脅威度の予測値を得る、予測部として機能させるプログラム。

【請求項6】

脆弱性に付与された識別情報を投稿内容に含む、ＳＮＳへの投稿の時間帯ごとの投稿数を学習済みモデルに入力し、前記学習済みモデルの出力として、前記脆弱性の脅威度の予測値を得る予測方法。

【発明の詳細な説明】

【技術分野】

【0001】

本発明は、予測システム、プログラム及び予測方法に関する。

【背景技術】

【0002】

特許文献１は、サイバー脅威インテリジェンス（cyber threat intelligence: ＣＴＩ）を提供するサイトの情報を取得・分析し、固有表現を抽出・重要度算出等を行う、ＣＴＩを対象とした分析支援技術について開示している。

【0003】

非特許文献１は、特定ＳＮＳ（social networking service）の投稿及び脆弱性の公開情報を利用して、脆弱性が悪用されるかどうかを予測する機械学習モデルの構築及びＳＮＳを利用した機械学習モデルにおける敵対的攻撃について評価を行うことを記載している。

【0004】

非特許文献２は、ＣＴＩに関連するユーザーをＳＮＳのグラフ構造及び投稿内容から推薦するモデルの作成・評価を行うことを記載している。非特許公報２は、ＳＮＳにおけるサイバー脅威情報を発信するユーザーを推薦するシステムを提案している。

【0005】

非特許公報３、非特許公報４、及び非特許公報５では、それぞれサイバーセキュリティに関する投稿を検知したり、投稿内容を要約したりといったＳＮＳの投稿テキストを利用する研究について記載している。

【0006】

非特許文献３は、既存のＣＶＥ（Common Vulnerabilities and Exposures）に関する記述を学習して未知のＣＴＩに関連するツイートを検知するモデルを構築し、ＣＶＥ番号を含まない追跡が難しいＣＴＩ関連ツイートの検知を行うことを開示している。

【0007】

非特許文献４は、特定ＳＮＳにおけるＣＴＩ関連投稿をサイバーセキュリティに特化したＲＤＦ(Resource Description Framework）に加工する研究について開示している。ＲＤＦは、ウェブ上にある「リソース」を記述するための統一された枠組みである。

【0008】

非特許文献５は、既存の脆弱性に関して公開されたテキスト情報を学習し、ＣＴＩに関連する投稿を検知する機械学習モデルを構築・評価することについて開示している。

【先行技術文献】

【特許文献】

【0009】

【特許文献1】特開２０２２－１２２３７１号公報

【非特許文献】

【0010】

【非特許文献1】C. Sabottke, O. Suciu, and T. Dumitras.. Vulnerability disclosure in the age of social media: Exploiting twitter for predicting real-world exploits. USENIX Security Symposium, pp. 1041-1056,2015

【非特許文献2】Avishek Bose, Shreya Gopal Sundari, Vahid Behzadan, W. Hsu.. Tracing Relevant Twitter Accounts Active in Cyber Threat Intelligence Domain by Exploiting Content and Structure of Twitter Network, Intelligence and Security Informatics 2021.

【非特許文献3】Ba-Dung Le, Guanhua Wang, Mehwish Nasim and M. Ali Babar, “ Gathering Cyber Threat Intelligence from Twitter Using Novelty Classification, ” 2019.

【非特許文献4】S. Mittal, P. K. Das, V. Mulwad, A. Joshi, and T. Finin, “ Cybertwitter: Using twitter to generate alerts for cybersecurity threats and vulnerabilities, ”in Proceedings of the 2016 IEEE/ACM In ternational Conference on Advances in Social Networks Analysis and Mining, pp. 860-867, IEEE Press, 2016.

【非特許文献5】Ba-Dung Le, Guanhua Wang, Mehwish Nasim and M. Ali Babar, “ Gathering Cyber Threat Intelligence from Twitter Using Novelty Classification, ”2019.

【発明の概要】

【発明が解決しようとする課題】

【0011】

サイバー攻撃による被害は増加してきており、サイバー攻撃の起点となる脆弱性に対する早期対策が求められるようになってきている。一方で脆弱性の公表数は膨大で、あらゆる脆弱性に対して情報収集及び対応判断を行うことは時間的コストの観点から困難である。そこで今後脅威となる脆弱性に対して必要十分に対応していくことが求められる。

【0012】

特許公報１は、同様の課題背景に対するＣＴＩの分析技術を開示している。特許公報１が対象とするＣＴＩは、主に機械的に扱えるよう構造化されているもの及び専門家などによるレポーティングされたものである。そのような構造化ＣＴＩは、一度専門家による分析及び構造化などの作業が必要である。

【0013】

非特許公報１は、脆弱性の深刻度のスコアなどの、長期間のデータ観測が必要なデータ利用している。

【0014】

ＳＮＳでは多様な言語での投稿が行われる。このため、非特許公報３、非特許公報４、及び非特許公報５のように自然言語処理アプローチで多言語の投稿に対応するには、各言語の差異を吸収する必要があり実装コストが高い。なお、非特許公報３、非特許公報４、及び非特許公報５においては英語で記載された投稿のみを対象としている。

【0015】

本発明の実施形態が解決しようとする課題は、脆弱性の脅威度を従来よりも早期に予測可能な予測システム、プログラム及び予測方法を提供することである。

【課題を解決するための手段】

【0016】

実施形態の予測システムは、脆弱性に付与された識別情報を投稿内容に含む、ＳＮＳへの投稿の時間帯ごとの投稿数を学習済みモデルに入力し、前記学習済みモデルの出力として、前記脆弱性の脅威度の予測値を得る、予測部を備える。

【発明の効果】

【0017】

本発明は、脆弱性の脅威度を従来よりも早期に予測可能である。

【図面の簡単な説明】

【0018】

【図1】実施形態に係る分析システム及び当該分析システムに含まれる構成要素の要部構成の一例を示すブロック図。

【図2】図１中の収集サーバーのプロセッサーによる処理の一例を示すフローチャート。

【図3】図１中の分析サーバーのプロセッサーによる処理の一例を示すフローチャート。

【図4】ディスプレイに表示される一覧画面の一例を示す図。

【図5】ディスプレイに表示される詳細画面の一例を示す図。

【発明を実施するための形態】

【0019】

以下、実施形態に係る分析システムについて図面を用いて説明する。なお、以下の実施形態の説明に用いる各図面は、説明のため、構成を省略して示している場合がある。また、各図面及び本明細書中において、同一の符号は同様の要素を示す。

【0020】

図１は、実施形態に係る分析システム１及び分析システム１に含まれる構成要素の要部構成の一例を示すブロック図である。なお、各装置の各構成要素は、内蔵であっても外付けであっても良い。分析システム１は、ＳＮＳへの投稿を収集及び分析して、脆弱性の脅威度を予測するシステムである。分析システム１は、一例として、分析サーバー１００、収集サーバー２００及びＳＮＳサーバー３００を含む。なお、分析システム１は、このうちの一部を含むものであっても良い。また、図１には、分析システム１の構成要素を１つずつ示すが、各構成要素の数は限定しない。なお、分析システム１は、予測システムの一例である。

【0021】

分析サーバー１００、収集サーバー２００及びＳＮＳサーバー３００は、ネットワークＮＷに接続する。ネットワークＮＷは、典型的にはインターネットを含む通信網である。ネットワークＮＷは、典型的にはＷＡＮ（wide area network）を含む通信網である。ネットワークＮＷは、イントラネットなどのプライベートネットワークを含む通信網であっても良い。ネットワークＮＷは、ＬＡＮ（local area network）を含む通信網であっても良い。また、ネットワークＮＷは、無線回線でも良いし有線回線でも良く、無線回線と有線回線とが混在していても良い。また、ネットワークＮＷは、専用線又は公衆携帯電話網などを含む通信網であっても良い。

【0022】

分析サーバー１００は、ＳＮＳの投稿を用いて脆弱性の脅威度を予測する装置である。分析サーバー１００は、例えば、サーバー又はＰＣ（personal computer）などである。分析サーバー１００は、一例として、プロセッサー１１０、ＲＯＭ（read-only memory）１２０、ＲＡＭ（random-access memory）１３０、補助記憶装置１４０及び通信インターフェース１５０を含む。そして、バス１６０などが、これら各部を接続する。なお、分析サーバー１００は、予測システムの一例である。

【0023】

プロセッサー１１０は、分析サーバー１００の動作に必要な演算及び制御などの処理を行うコンピューターの中枢部分であり、各種演算及び処理などを行う。プロセッサー１１０は、例えば、ＣＰＵ（central processing unit）、ＭＰＵ（micro processing unit）、ＳｏＣ（system on a chip）、ＤＳＰ（digital signal processor）、ＧＰＵ（graphics processing unit）、ＡＳＩＣ（application specific integrated circuit）、ＰＬＤ（programmable logic device）又はＦＰＧＡ（field-programmable gate array）などである。あるいは、プロセッサー１１０は、これらのうちの複数を組み合わせたものである。また、プロセッサー１１０は、これらにハードウェアアクセラレーターなどを組み合わせたものであっても良い。プロセッサー１１０は、ＲＯＭ１２０又は補助記憶装置１４０などに記憶されたファームウェア、システムソフトウェア及びアプリケーションソフトウェアなどのプログラムに基づいて、分析サーバー１００の各種の機能を実現するべく各部を制御する。また、プロセッサー１１０は、当該プログラムに基づいて後述する処理を実行する。なお、当該プログラムの一部又は全部は、プロセッサー１１０の回路内に組み込まれていても良い。

【0024】

ＲＯＭ１２０及びＲＡＭ１３０は、プロセッサー１１０を中枢としたコンピューターの主記憶装置である。
ＲＯＭ１２０は、専らデータの読み出しに用いられる不揮発性メモリである。ＲＯＭ１２０は、上記のプログラムのうち、例えばファームウェアなどを記憶する。また、ＲＯＭ１２０は、プロセッサー１１０が各種の処理を行う上で使用するデータなども記憶する。
ＲＡＭ１３０は、データの読み書きに用いられるメモリである。ＲＡＭ１３０は、プロセッサー１１０が各種の処理を行う上で一時的に使用するデータを記憶するワークエリアなどとして利用される。ＲＡＭ１３０は、典型的には揮発性メモリである。

【0025】

補助記憶装置１４０は、プロセッサー１１０を中枢としたコンピューターの補助記憶装置である。補助記憶装置１４０は、例えばＥＥＰＲＯＭ（electric erasable programmable read-only memory）、ＨＤＤ（hard disk drive）又はフラッシュメモリなどである。補助記憶装置１４０は、上記のプログラムのうち、例えば、システムソフトウェア及びアプリケーションソフトウェアなどを記憶する。また、補助記憶装置１４０は、プロセッサー１１０が各種の処理を行う上で使用するデータ、プロセッサー１１０での処理によって生成されたデータ及び各種の設定値などを記憶する。

【0026】

補助記憶装置１４０が記憶するデータは、脅威度ＤＢ１４１を含む。
脅威度ＤＢ１４１は、分析サーバー１００による、脆弱性の脅威度の予測結果を記憶及び管理するデータベースである。

【0027】

通信インターフェース１５０は、分析サーバー１００がネットワークＮＷなどを介して通信するためのインターフェースである。

【0028】

バス１６０は、コントロールバス、アドレスバス及びデータバスなどを含み、分析サーバー１００の各部で授受される信号を伝送する。

【0029】

収集サーバー２００は、ＳＮＳサーバー３００などからＳＮＳの投稿を取得して収集する装置である。また、収集サーバー２００は、脅威度の予測の対象となる脆弱性を決定する装置である。収集サーバー２００は、例えば、サーバー又はＰＣなどである。収集サーバー２００は、一例として、プロセッサー２１０、ＲＯＭ２２０、ＲＡＭ２３０、補助記憶装置２４０及び通信インターフェース２５０を含む。そして、バス２６０などが、これら各部を接続する。

【0030】

プロセッサー２１０は、収集サーバー２００の動作に必要な演算及び制御などの処理を行うコンピューターの中枢部分であり、各種演算及び処理などを行う。プロセッサー２１０は、例えば、ＣＰＵ、ＭＰＵ、ＳｏＣ、ＤＳＰ、ＧＰＵ、ＡＳＩＣ、ＰＬＤ又はＦＰＧＡなどである。あるいは、プロセッサー２１０は、これらのうちの複数を組み合わせたものである。また、プロセッサー２１０は、これらにハードウェアアクセラレーターなどを組み合わせたものであっても良い。プロセッサー２１０は、ＲＯＭ２２０又は補助記憶装置２４０などに記憶されたファームウェア、システムソフトウェア及びアプリケーションソフトウェアなどのプログラムに基づいて、収集サーバー２００の各種の機能を実現するべく各部を制御する。また、プロセッサー２１０は、当該プログラムに基づいて後述する処理を実行する。なお、当該プログラムの一部又は全部は、プロセッサー２１０の回路内に組み込まれていても良い。

【0031】

ＲＯＭ２２０及びＲＡＭ２３０は、プロセッサー２１０を中枢としたコンピューターの主記憶装置である。
ＲＯＭ２２０は、専らデータの読み出しに用いられる不揮発性メモリである。ＲＯＭ２２０は、上記のプログラムのうち、例えばファームウェアなどを記憶する。また、ＲＯＭ２２０は、プロセッサー２１０が各種の処理を行う上で使用するデータなども記憶する。
ＲＡＭ２３０は、データの読み書きに用いられるメモリである。ＲＡＭ２３０は、プロセッサー２１０が各種の処理を行う上で一時的に使用するデータを記憶するワークエリアなどとして利用される。ＲＡＭ２３０は、典型的には揮発性メモリである。

【0032】

補助記憶装置２４０は、プロセッサー２１０を中枢としたコンピューターの補助記憶装置である。補助記憶装置２４０は、例えばＥＥＰＲＯＭ、ＨＤＤ又はフラッシュメモリなどである。補助記憶装置２４０は、上記のプログラムのうち、例えば、システムソフトウェア及びアプリケーションソフトウェアなどを記憶する。また、補助記憶装置２４０は、プロセッサー２１０が各種の処理を行う上で使用するデータ、プロセッサー２１０での処理によって生成されたデータ及び各種の設定値などを記憶する。

【0033】

補助記憶装置２４０が記憶するデータは、収集ＤＢ２４１及び脆弱性ＤＢ２４２を含む。
収集ＤＢ２４１は、収集サーバー２００がＳＮＳサーバー３００などから取得して収集したＳＮＳの投稿のデータ（以下「投稿データ」という。）を記憶及び管理するデータベースである。

【0034】

脆弱性ＤＢ２４２は、収集サーバー２００が収集した投稿データから抽出した脆弱性ＩＤ及び脆弱性ＩＤについてのデータを記憶及び管理するデータベースである。脆弱性ＤＢ２４２は、各脆弱性ＩＤについて、脆弱性ＩＤに関連付けて当該脆弱性ＩＤについてのデータを記憶及び管理する。脆弱性ＩＤについては後述する。

【0035】

通信インターフェース２５０は、収集サーバー２００がネットワークＮＷなどを介して通信するためのインターフェースである。

【0036】

バス２６０は、コントロールバス、アドレスバス及びデータバスなどを含み、収集サーバー２００の各部で授受される信号を伝送する。

【0037】

ＳＮＳサーバー３００は、ＳＮＳを運営及び管理するための装置である。また、ＳＮＳサーバー３００は、投稿データを記憶及び管理する装置である。ＳＮＳサーバー３００は、例えば、サーバーである。ＳＮＳサーバー３００は、一例として、プロセッサー３１０、ＲＯＭ３２０、ＲＡＭ３３０、補助記憶装置３４０及び通信インターフェース３５０を含む。そして、バス３６０などが、これら各部を接続する。

【0038】

プロセッサー３１０は、ＳＮＳサーバー３００の動作に必要な演算及び制御などの処理を行うコンピューターの中枢部分であり、各種演算及び処理などを行う。プロセッサー３１０は、例えば、ＣＰＵ、ＭＰＵ、ＳｏＣ、ＤＳＰ、ＧＰＵ、ＡＳＩＣ、ＰＬＤ又はＦＰＧＡなどである。あるいは、プロセッサー３１０は、これらのうちの複数を組み合わせたものである。また、プロセッサー３１０は、これらにハードウェアアクセラレーターなどを組み合わせたものであっても良い。プロセッサー３１０は、ＲＯＭ３２０又は補助記憶装置３４０などに記憶されたファームウェア、システムソフトウェア及びアプリケーションソフトウェアなどのプログラムに基づいて、ＳＮＳサーバー３００の各種の機能を実現するべく各部を制御する。また、プロセッサー３１０は、当該プログラムに基づいて後述する処理を実行する。なお、当該プログラムの一部又は全部は、プロセッサー３１０の回路内に組み込まれていても良い。

【0039】

ＲＯＭ３２０及びＲＡＭ３３０は、プロセッサー３１０を中枢としたコンピューターの主記憶装置である。
ＲＯＭ３２０は、専らデータの読み出しに用いられる不揮発性メモリである。ＲＯＭ３２０は、上記のプログラムのうち、例えばファームウェアなどを記憶する。また、ＲＯＭ３２０は、プロセッサー３１０が各種の処理を行う上で使用するデータなども記憶する。
ＲＡＭ３３０は、データの読み書きに用いられるメモリである。ＲＡＭ３３０は、プロセッサー３１０が各種の処理を行う上で一時的に使用するデータを記憶するワークエリアなどとして利用される。ＲＡＭ３３０は、典型的には揮発性メモリである。

【0040】

補助記憶装置３４０は、プロセッサー３１０を中枢としたコンピューターの補助記憶装置である。補助記憶装置３４０は、例えばＥＥＰＲＯＭ、ＨＤＤ又はフラッシュメモリなどである。補助記憶装置３４０は、上記のプログラムのうち、例えば、システムソフトウェア及びアプリケーションソフトウェアなどを記憶する。また、補助記憶装置３４０は、プロセッサー３１０が各種の処理を行う上で使用するデータ、プロセッサー３１０での処理によって生成されたデータ及び各種の設定値などを記憶する。

【0041】

補助記憶装置３４０は、投稿データを記憶する。

【0042】

通信インターフェース３５０は、ＳＮＳサーバー３００がネットワークＮＷなどを介して通信するためのインターフェースである。

【0043】

バス３６０は、コントロールバス、アドレスバス及びデータバスなどを含み、ＳＮＳサーバー３００の各部で授受される信号を伝送する。

【0044】

以下、実施形態に係る分析システム１の動作を図２及び図３などに基づいて説明する。なお、以下の動作説明における処理の内容は一例であって、同様な結果を得ることが可能な様々な処理を適宜に利用できる。図２は、収集サーバー２００のプロセッサー２１０による処理の一例を示すフローチャートである。プロセッサー２１０は、例えば、ＲＯＭ２２０又は補助記憶装置２４０などに記憶されたプログラムに基づいて図２の処理を実行する。図３は、分析サーバー１００のプロセッサー１１０による処理の一例を示すフローチャートである。プロセッサー１１０は、例えば、ＲＯＭ１２０又は補助記憶装置１４０などに記憶されたプログラムに基づいて図３の処理を実行する。

【0045】

図２のステップＳＴ１１において収集サーバー２００のプロセッサー２１０は、ＳＮＳの投稿の収集を開始するか否かを判定する。プロセッサー２１０は、例えば、所定の時間ｔ１が経過するごとにＳＮＳの投稿の収集を開始すると判定する。これにより、プロセッサー２１０は、時間ｔ１ごとにステップＳＴ１２～ステップＳＴ２０の処理を実行する。時間ｔ１の値は、例えば、分析システム１の設計者又は管理者などによって予め設定される。時間ｔ１の値は、デフォルトの値が定められていても良い。プロセッサー２１０は、ＳＮＳの投稿の収集を開始すると判定しないならば、ステップＳＴ１１においてＮｏと判定してステップＳＴ１１の処理を繰り返す。そして、プロセッサー２１０は、ＳＮＳの投稿の収集を開始すると判定するならば、ステップＳＴ１１においてＹｅｓと判定してステップＳＴ１２へと進む。

【0046】

ステップＳＴ１２においてプロセッサー２１０は、ＳＮＳサーバー３００から投稿データを取得することで、投稿データを収集する。取得の対象とする投稿は、例えば、投稿時刻が時刻ｔ２から時刻ｔ３の範囲内であり、投稿内容に脆弱性共通文字列を含む投稿である。時刻ｔ２から時刻ｔ３とは、例えば、時刻ｔ２より後から時刻ｔ３までを示す。今回のステップＳＴ１２の処理における時刻ｔ２は、例えば、前回のステップＳＴ１２の処理における時刻ｔ３である。あるいは、今回のステップＳＴ１２の処理における時刻ｔ２は、（現在日時－時間ｔ１）である。今回のステップＳＴ１２の処理における時刻ｔ３は、今回のステップＳＴ１２の処理における現在日時である。したがって、プロセッサー２１０は、時間ｔ１が経過するごとに、この経過時間内に投稿された投稿のデータを取得する。脆弱性共通文字列は、脆弱性ＩＤに必ず含まれる文字列である。脆弱性ＩＤは、脆弱性をリスト化した脆弱性情報データベースにおける、脆弱性ごとにユニークな識別情報である。分析システム１が用いる脆弱性情報データベースは、例えば、ＣＶＥである。分析システム１が用いる脆弱性情報データベースがＣＶＥである場合における脆弱性共通文字列は、「CVE」である。分析システム１は、脆弱性情報データベースとして、ＣＶＥの他、ＮＶＤ（National Vulnerability Database）及びＪＶＮ（Japan Vulnerability Notes）などを用いることもできる。

【0047】

プロセッサー２１０は、投稿データを取得するために、例えば、投稿時刻が時刻ｔ２から時刻ｔ３の範囲内であり、投稿内容に脆弱性共通文字列を含むという条件に合致する投稿データを送信するようにＡＰＩ（application programming interface）を用いてＳＮＳサーバー３００に問い合わせる。この問い合わせに応じて、ＳＮＳサーバー３００のプロセッサー３１０は、当該条件に合致する投稿データを検索によって抽出する。なお、プロセッサー３１０は、当該検索において、半角及び全角を区別しても良いししなくても良い。また、プロセッサー３１０は、当該検索において、大文字及び小文字を区別しても良いししなくても良い。そして、プロセッサー３１０は、抽出した投稿データを送信するように通信インターフェース３５０に指示する。この送信の指示を受けて通信インターフェース３５０は、当該投稿データを収集サーバー２００に送信する。送信された当該投稿データは、収集サーバー２００の通信インターフェース２５０によって受信される。このようにして、収集サーバー２００のプロセッサー２１０は、条件に合致する投稿データを取得する。

【0048】

プロセッサー２１０は、例えば、取得した投稿データを投稿ＩＤと関連付けて収集ＤＢ２４１に記憶する。投稿ＩＤは、投稿データごとにユニークな識別情報である。プロセッサー２１０は、新たに投稿ＩＤを付与しても良いし、ＳＮＳサーバー３００で用いている投稿ＩＤを用いても良い。ＳＮＳサーバー３００で用いている投稿ＩＤは、例えば、ＳＮＳサーバー３００から取得した投稿データに含まれる。

【0049】

ステップＳＴ１３においてプロセッサー２１０は、ステップＳＴ１２で取得した投稿データのうち、未選択の投稿データを１つ選択する。ここで選択されたデータを以下「対象データ」というものとする。また、対象データの投稿ＩＤを以下「対象ＩＤ」というものとする。一度対象データとなった投稿データは、未選択の状態から選択済みの状態になる。対象データは、ステップＳＴ１３～ステップＳＴ１７の処理の対象とする投稿データである。なお、プロセッサー２１０は、例えば、投稿日時が早いものから順に投稿データを選択する。あるいは、プロセッサー２１０は、その他の順番で投稿データを選択しても良いし、順不同で投稿データを選択しても良い。また、プロセッサー２１０は、並行処理又は並列処理により、複数の投稿データに対するステップＳＴ１３～ステップＳＴ１７の処理を同時に実行しても良い。

【0050】

ステップＳＴ１４においてプロセッサー２１０は、対象データの投稿内容から脆弱性ＩＤを抽出する。なお、投稿内容に複数の脆弱性ＩＤが含まれる場合、プロセッサー２１０は、例えば、投稿内容に含まれる全ての脆弱性ＩＤを抽出する。プロセッサー２１０は、例えば、正規表現を用いて脆弱性ＩＤのフォーマットに合致する文字列を抽出することで脆弱性ＩＤを抽出する。分析システム１が用いる脆弱性情報データベースがＣＶＥである場合には、脆弱性ＩＤのフォーマットは、「CVE-XXXX-YYYYY」である。ここで、XXXXは４桁の数字である。YYYYYは、４桁又は５桁の数字である。なお、プロセッサー２１０は、脆弱性ＩＤの抽出において、全角及び半角のいずれも抽出対象としても良いし、全角又は半角のいずれかのみを抽出対象としても良い。また、プロセッサー２１０は、脆弱性ＩＤの抽出において、大文字及び小文字のいずれも抽出対象としても良いし、大文字又は小文字のいずれかのみを抽出対象としても良い。

【0051】

また、プロセッサー２１０は、抽出した各脆弱性ＩＤを、対象ＩＤに関連付けて収集ＤＢ２４１に記憶する。

【0052】

ステップＳＴ１５においてプロセッサー２１０は、ステップＳＴ１４の処理で脆弱性ＩＤを１つ以上抽出したか否かを判定する。対象データの投稿内容に含まれる「CVE」の文字列が脆弱性ＩＤとは無関係である場合がある。このような場合などにおいては脆弱性ＩＤを抽出できない場合がある。プロセッサー２１０は、ステップＳＴ１４の処理で脆弱性ＩＤを１つも抽出していないならば、ステップＳＴ１５においてＮｏと判定してステップＳＴ１９へと進む。なお、プロセッサー２１０は、脆弱性ＩＤを抽出できなかった投稿データについては、収集ＤＢ２４１から削除しても良い。対して、プロセッサー２１０は、ステップＳＴ１４の処理で脆弱性ＩＤを１つ以上抽出したならば、ステップＳＴ１５においてＹｅｓと判定してステップＳＴ１６へと進む。

【0053】

ステップＳＴ１６においてプロセッサー２１０は、ステップＳＴ１４の処理で抽出した脆弱性ＩＤの中に、脆弱性ＤＢ２４２に登録されていない脆弱性ＩＤがあるか否かを判定する。プロセッサー２１０は、ステップＳＴ１４の処理で抽出した脆弱性ＩＤの中に、脆弱性ＤＢ２４２に登録されていない脆弱性ＩＤがあるならば、ステップＳＴ１６においてＹｅｓと判定してステップＳＴ１７へと進む。

【0054】

ステップＳＴ１７においてプロセッサー２１０は、ステップＳＴ１４の処理で抽出した脆弱性ＩＤうち、脆弱性ＤＢ２４２に登録されていない脆弱性ＩＤを脆弱性ＤＢ２４２に登録する。脆弱性ＤＢ２４２は、脆弱性ＩＤに、最初投稿日時、最終投稿日時、総投稿数情報、期間投稿数情報、直近投稿数情報及び投稿ＩＤ情報を関連付けて記憶する。最初投稿日時は、関連付けられた脆弱性ＩＤが抽出された投稿データの投稿日時のうち、最も早い投稿日時である。最終投稿日時は、関連付けられた脆弱性ＩＤが抽出された投稿データの投稿日時のうち、最も遅い投稿日時である。総投稿数情報は、関連付けられた脆弱性ＩＤを含む投稿の投稿数を示す情報である。当該脆弱性ＩＤを含む投稿の投稿数は、当該脆弱性ＩＤが抽出された回数である。期間投稿数情報は、関連付けられた脆弱性ＩＤを含む投稿データのうち、各収集で収集された投稿データに含まれる投稿データの数を示す情報である。１回分の収集で収集された投稿データに含まれる、当該脆弱性ＩＤを含む投稿データの数は、当該収集で収集された投稿データから当該脆弱性ＩＤが抽出された回数である。なお、１回分の収集で収集された投稿データとは、１回のステップＳＴ１２の処理で収集された投稿データである。期間投稿数情報は、例えば、各収集について、収集日時に関連付けて、抽出回数（投稿数）を記憶する。直近投稿数情報は、関連付けられた脆弱性ＩＤを含む投稿データのうち、直近のＮ回分の収集で収集された投稿データに含まれる投稿データの数を示す情報である。直近のＮ回分の収集で収集された投稿データに含まれる、当該脆弱性ＩＤを含む投稿データの数は、直近のＮ回分の収集で収集された投稿データから当該脆弱性ＩＤが抽出された回数である。なお、Ｎは、１以上の整数である。Ｎの値は、例えば、分析システム１の設計者又は管理者などによって予め設定される。Ｎの値は、デフォルトの値が定められていても良い。投稿ＩＤ情報は、関連付けられた脆弱性ＩＤが抽出された投稿データの投稿ＩＤの一覧を示す情報である。

【0055】

プロセッサー２１０は、例えば、最初投稿日時の初期値を対象データの投稿日時とする。プロセッサー２１０は、例えば、最終投稿日時の初期値を対象データの投稿日時とする。プロセッサー２１０は、例えば、総投稿数情報の初期値を０とする。プロセッサー２１０は、例えば、期間投稿数情報の収集日時の初期値として、ステップＳＴ１２で用いた時刻ｔ３を登録する。また、プロセッサー２１０は、例えば、当該収集日時に、初期値を０とした抽出回数を関連付ける。また、プロセッサー２１０は、例えば、直近投稿数情報の初期値を０とする。

【0056】

対して、プロセッサー２１０は、ステップＳＴ１４の処理で抽出した脆弱性ＩＤの中に、脆弱性ＤＢ２４２に登録されていない脆弱性ＩＤがないならば、ステップＳＴ１６においてＮｏと判定してステップＳＴ１８へと進む。また、プロセッサー２１０は、ステップＳＴ１７の処理の後、ステップＳＴ１８へと進む。

【0057】

ステップＳＴ１８においてプロセッサー２１０は、脆弱性ＤＢ２４２について、ステップＳＴ１４の処理で抽出した脆弱性ＩＤについてのデータを更新する。すなわち、プロセッサー２１０は、最初投稿日時が、対象データの投稿日時より後であるならば、最初投稿日時を対象データの投稿日時にする。また、プロセッサー２１０は、最終投稿日時が、対象データの投稿日時より前であるならば、最終投稿日時を対象データの投稿日時にする。また、プロセッサー２１０は、総投稿数情報の値を１増加させる。また、プロセッサー２１０は、期間投稿数情報について、ステップＳＴ１２で用いた時刻ｔ３と同一である収集日時が登録されている場合、当該収集日時に関連付けられた抽出回数の値を１増加させる。また、プロセッサー２１０は、期間投稿数情報について、ステップＳＴ１２で用いた時刻ｔ３と同一である収集日時が登録されてない場合、ステップＳＴ１２で用いた時刻ｔ３を収集日時として新規に登録する。また、プロセッサー２１０は、新規に登録した当該した収集日時に、値を１とした抽出回数を関連付ける。また、プロセッサー２１０は、投稿ＩＤ情報の一覧に対象データの投稿ＩＤを追加する。

【0058】

ステップＳＴ１９においてプロセッサー２１０は、ステップＳＴ１２で取得した投稿データの中に、未選択の投稿データがあるか否かを判定する。プロセッサー２１０は、未選択の投稿データがあるならば、ステップＳＴ１９においてＹｅｓと判定してステップＳＴ１３へと戻る。対して、プロセッサー２１０は、未選択の投稿データがないならば、ステップＳＴ１９においてＮｏと判定してステップＳＴ２０へと進む。

【0059】

ステップＳＴ２０においてプロセッサー２１０は、脆弱性ＤＢ２４２に登録された各脆弱性ＩＤについて、直近投稿数情報を更新する。プロセッサー２１０は、このために、各脆弱性ＩＤについて、例えば下式により直近投稿数ＰＬを算出する。

【数1】

ここで、Ｐ＿ｉは、直近ｉ回目の収集の抽出回数である。直近ｉ回目の収集とは、収集日時が（ステップＳＴ１２で用いた時刻ｔ３－（ｉ－１）×ｔ１）である収集である。

【0060】

したがって、プロセッサー２１０は、例えば、期間投稿数情報に登録された収集日時のうち、（ステップＳＴ１２で用いた時刻ｔ３－（Ｎ－１）×ｔ１）より後であるものを特定する。そして、プロセッサー２１０は、特定した各収集日時に関連付けられた抽出回数を取得する。そして、プロセッサー２１０は、取得した抽出回数の合計を求める。当該合計が、直近投稿数ＰＬである。プロセッサー２１０は、直近投稿数情報の値を直近投稿数ＰＬにする。

【0061】

ステップＳＴ２１においてプロセッサー２１０は、脆弱性ＤＢ２４２に登録された各脆弱性ＩＤについて、脅威度の予測の対象とするものを選定する。プロセッサー２１０は、例えば、直近投稿数情報の値が投稿数閾値Ｋ以上である脆弱性ＩＤを脅威度の予測対象として決定する。投稿数閾値Ｋは、０以上の整数又は実数である。好ましくは、投稿数閾値Ｋは、１以上の整数又は実数である。投稿数閾値Ｋは、例えば、分析システム１の設計者又は管理者などによって予め設定される。投稿数閾値Ｋは、デフォルトの値が定められていても良い。

【0062】

また、プロセッサー２１０は、脅威度の予測の対象として決定した各脆弱性ＩＤについて、当該脆弱性ＩＤに関する情報を取得する。プロセッサー２１０は、当該脆弱性ＩＤに関する情報として、脆弱性ＤＢ２４２において当該脆弱性ＩＤに関連付けられたデータを取得する。また、プロセッサー２１０は、当該脆弱性ＩＤに関する情報として、当該脆弱性ＩＤに関連付けられた投稿ＩＤ情報に含まれる各投稿ＩＤで特定される投稿データを取得する。プロセッサー２１０は、収集ＤＢ２４１を参照して、各投稿データを取得する。

【0063】

直近のＮ回とは、（ステップＳＴ１２で用いた時刻ｔ３－（Ｎ－１）×ｔ１）より後、ステップＳＴ１２で用いた時刻ｔ３までの期間を示す。したがって、直近のＮ回は、予め定められた期間の一例である。したがって、プロセッサー２１０は、ステップＳＴ２１の処理を行うことで、予め定められた期間内における識別情報を投稿内容に含む投稿の投稿数が、予め定められた閾値以上である場合に、脆弱性を前記脅威度の予測の対象として決定する決定部の一例として機能する。

【0064】

ステップＳＴ２２においてプロセッサー２１０は、分析要求を生成する。分析要求は、ステップＳＴ２１で脅威度の予測の対象として決定された各脆弱性ＩＤ、及びステップＳＴ２１で取得された、当該各脆弱性ＩＤに関する情報を含む。プロセッサー２１０は、分析要求に含まれる各脆弱性ＩＤについての脅威度を予測するように要求する情報である。プロセッサー２１０は、分析要求を生成した後、当該分析要求を分析サーバー１００に送信するように通信インターフェース３５０に対して指示する。この送信の指示を受けて通信インターフェース３５０は、当該分析要求を分析サーバー１００に送信する。送信された当該分析要求は、分析サーバー１００の通信インターフェース２５０によって受信される。プロセッサー２１０は、ステップＳＴ２２の処理の後、ステップＳＴ１１へと戻る。

【0065】

一方、図３のステップＳＴ３１において分析サーバー１００のプロセッサー１１０は、脅威度分析を開始するか否かを判定する。脅威度分析は、脆弱性についての脅威度を算出する処理である。プロセッサー１１０は、ステップＳＴ３１において、通信インターフェース２５０によって分析要求が受信されるのを待ち受けている。プロセッサー１１０は、例えば、分析要求が受信されたことに応じて脅威度分析を開始すると判定する。プロセッサー１１０は、脅威度分析を開始すると判定しないならば、ステップＳＴ３１においてＮｏと判定してステップＳＴ３１の処理を繰り返す。そして、プロセッサー１１０は、脅威度分析を開始すると判定するならば、ステップＳＴ３１においてＹｅｓと判定してステップＳＴ３２へと進む。

【0066】

ステップＳＴ３２においてプロセッサー１１０は、ステップＳＴ３１で受信された分析要求に含まれる各脆弱性ＩＤについて脅威度分析を実行する。プロセッサー１１０は、例えば、脅威予測モデルを用いて脅威度を予測する。脅威予測モデルは、脆弱性の脅威度を予測することができる学習済みＡＩ（artificial intelligence）モデルである。なお、分析システム１は、脆弱性の脅威度として、例えば、ＣＶＳＳ（Common Vulnerability Scoring System）スコアを用いる。

【0067】

脅威予測モデルは、例えば、脆弱性ＩＤを含む投稿の投稿日時、又は当該投稿日時を用いて作成された時系列データを説明変数とし、脅威度を目的変数とした学習モデルである。当該時系列データは、脆弱性ＩＤを含む投稿の時間帯ごとの投稿数を示すデータである。

【0068】

したがって、プロセッサー１１０は、脅威度を予測する対象の脆弱性ＩＤについて、当該脆弱性ＩＤを含む各投稿データの投稿日時、又は当該各投稿データの時系列データを脅威予測モデルに入力する。そして、プロセッサー１１０は、脅威予測モデルの出力データとして、当該脆弱性ＩＤの脅威度の予測値を得る。

【0069】

以下、脅威予測モデルの作成方法について説明する。なお、分析サーバー１００が脅威予測モデルを作成するものとして説明するが、分析サーバー１００以外の装置が脅威予測モデルを作成しても良い。

【0070】

プロセッサー１１０は、ＳＮＳサーバー３００から、予め定められた観測期間内に投稿された投稿のうち、脆弱性ＩＤを含む投稿の投稿データを収集する。このために、プロセッサー１１０は、脆弱性共通文字列を含む投稿データをＳＮＳサーバー３００から取得する。そして、プロセッサー２１０は、取得した各投稿データから脆弱性ＩＤを抽出する。プロセッサー２１０は、脆弱性ＩＤを抽出できた投稿データの集合を学習のためのデータセットとして用いる。このように、プロセッサー２１０は、脆弱性ＩＤを含む投稿の投稿データの集合をデータセットとして用いる。

【0071】

プロセッサー１１０は、前処理として、投稿数が少なく時系列データの作成が困難な脆弱性ＩＤを除外するスクリーニング処理を行うことが好ましい。このために、プロセッサー１１０は、データセットを用いて、例えば、少なくともＭ人以上のユーザーによって投稿された脆弱性ＩＤを特定する。Ｍは、正の整数である。Ｍは、例えば、脅威予測モデルの作成者、又は分析システム１の管理者又は設計者などによって予め設定される。Ｍの値は、一例として１０である。プロセッサー１１０は、特定した脆弱性ＩＤを、時系列データ化する対象として決定する。なお、Ｍ人は、予め定められた人数の一例である。

【0072】

プロセッサー１１０は、時系列データ化する対象として決定した脆弱性ＩＤについて、時系列データ化する。時系列データは、当該脆弱性ＩＤを含む投稿の時間帯ごとの投稿数を示すデータである。時系列データは、一例として、１時間ごとの投稿数を示す。

【0073】

そして、プロセッサー１１０は、作成した時系列データ化した脆弱性ＩＤについて、観測期間内で最初に当該脆弱性ＩＤを含む投稿が行われた日時から、特定期間内の投稿の時系列データを抽出する。特定期間は、例えば、６時間～４８時間である。

【0074】

また、プロセッサー１１０は、時系列データ化する対象として決定した脆弱性ＩＤについて、脅威度を脆弱性情報データベースから取得する。

【0075】

プロセッサー１１０は、時系列データ化する対象として決定した各脆弱性ＩＤについての抽出した時系列データと取得した脅威度とを用いて、特徴量化ライブラリを用いて特徴量化する。当該特徴量ライブラリは、一例として、Ｔｓｆｒｅｓｈである。そして、プロセッサー１１０は、この特徴量を用いて学習モデル（脅威予測モデル）を作成する。プロセッサー１１０は、一例として、ランダムフォレストを用いて学習モデルを作成する。また、プロセッサー１１０は、一例として、ｓｃｉｋｉｔ－ｌｅａｒｎのデフォルト値を用いて学習モデルを作成する。

【0076】

なお、プロセッサー１１０は、データセットのうち、一部を訓練データとして用い、残りをテストデータとして用いることが好ましい。一例として、データセットのうちの訓練データの割合は７０％で、テストデータの割合は３０％である。

【0077】

プロセッサー１１０は、訓練データを用いて作成した学習モデルを、テストデータを用いて評価することができる。

【0078】

なお、プロセッサー１１０は、Ｇｒｉｄ ｓｅａｒｃｈによる最適パラメーター探索を行って学習モデルを作成しても良い。

【0079】

以上より、プロセッサー１１０は、ステップＳＴ３２の処理を実行することで、脆弱性に付与された識別情報を投稿内容に含む、ＳＮＳへの投稿の時間帯ごとの投稿数を学習済みモデルに入力し、学習済みモデルの出力として、脆弱性の脅威度の予測値を得る、予測部の一例として機能する。

【0080】

また、プロセッサー１１０は、通信インターフェース２５０によって受信された分析要求に含まれる各脆弱性ＩＤで特定される脆弱性の脅威度を予測する。したがって、プロセッサー１１０は、受信された分析要求に基づきステップＳＴ３２の処理を実行することで、決定部によって決定された脆弱性の脅威度の予測値を得る、予測部の一例として機能する。

【0081】

また、プロセッサー１１０は、脅威予測モデルを作成することで、複数の脆弱性のそれぞれに付与された識別情報ごとの、識別情報を投稿内容に含むＳＮＳへの投稿の時間帯ごとの投稿数を説明変数とし、複数の脆弱性のそれぞれの脅威度を目的変数として、機械学習を行うことで学習済みモデルを作成する学習部の一例として機能する。

【0082】

ステップＳＴ３３においてプロセッサー１１０は、ステップＳＴ３２で予測した脅威度を用いて、脅威度の閲覧用のデータ（以下「閲覧用データ」という。）を生成する。閲覧データによって液晶ディスプレイなどのディスプレイに表示される画面の例を図４及び図５を用いて説明する。閲覧用データは、当該画面に表示させるために必要なデータである。図４は、ディスプレイに表示される一覧画面ＳＣ１の一例を示す図である。図５は、ディスプレイに表示される詳細画面ＳＣ２の一例を示す図である。

【0083】

図４に示す一覧画面ＳＣ１は、各脆弱性に対応する領域ＡＲ１１を脅威度順に並べて表示したものである。領域ＡＲ１１は、対応する脆弱性ＩＤとその脅威度を左右に並べて表示したものである。領域ＡＲ１１は、それぞれがボタンとなっている。当該ボタンが操作された場合、操作された領域に対応する脆弱性ＩＤについての詳細画面ＳＣ２が画面に表示される。

【0084】

図５に示す詳細画面ＳＣ２は、一覧画面ＳＣ１において操作された領域に対応する脆弱性ＩＤについての詳細を表示する画面である。評価画面ＳＣ２は、一例として、領域ＡＲ２１～領域ＡＲ２３を含む。

【0085】

領域ＡＲ２１は、詳細を表示中の脆弱性ＩＤを示す。
領域ＡＲ２２は、詳細を表示中の脆弱性ＩＤについてのワードクラウドを表示する。
領域ＡＲ２３は、詳細を表示中の脆弱性ＩＤを含む投稿の投稿内容と、当該投稿内容に含まれるリンクを左右に並べて表示したものの一覧である。

【0086】

プロセッサー１１０は、例えば、要求に応じて閲覧用データを、通信インターフェース１５０を介して送信する。一覧画面ＳＣ１及び詳細画面ＳＣ２は、例えば、分析サーバー１００のダッシュボードにアクセスすることで閲覧可能である。プロセッサー１１０は、ステップＳＴ３３の処理の後、ステップＳＴ３１へと戻る。

【0087】

以下、前述の手法によって実際に作成した学習モデルの評価値について説明する。なお、学習モデル作成に用いた脆弱性情報データベースは、ＣＶＥである。学習モデル作成に用いたＳＮＳには、Ｔｗｉｔｔｅｒである。また、プロセッサー１１０は、特定期間を６時間～４８時間まで６時間きざみに変更して８種類の学習モデルを作成した。

【0088】

また、プロセッサー１１０は、各学習モデルの評価のために、訓練データとテストデータの分割をランダムに１０回行った。そして、プロセッサー１１０は、１０回の分割それぞれについて、訓練データを用いた学習モデルの作成及びテストデータを用いた評価値の算出を行った。そして、プロセッサー１１０は、１０回分の評価値の平均値を算出した。

【0089】

表１に、各学習モデルの評価値を示す。

【表1】

【0090】

表１に示すように、深刻な脆弱性の見落とし率を示すｒｅｃａｌｌは最大０．９０と高水準である。したがって、Ｔｉｗｔｔｅｒの投稿数（ツイート数）を用いた学習モデルは、深刻度の高い脆弱性を絞り込むために有効となることが分かる。

【0091】

また、特定期間を４８時間とし、Ｇｒｉｄ ｓｅａｒｃｈによる最適パラメーター探索を行った場合のｒｅｃａｌｌは０．９３、Ｆ１－Ｓｃｏｒｅは０．８１であった。したがって、パラメーター最適化により、評価値が向上することが分かる。

【0092】

実施形態の分析システム１は、脆弱性ＩＤを投稿内容に含む、ＳＮＳへの投稿の時間帯ごとの投稿数を入力データとして、学習済みモデルである脅威予測モデルの出力データとして、脆弱性の脅威度を予測する。このように、実施形態の分析システム１は、ＳＮＳの投稿データを用いて脆弱性の脅威度を予測する。したがって、実施形態の分析システム１は、脆弱性の脅威度を予測するために、当該脆弱性の深刻度のスコアなどの、長期間のデータ観測が必要なデータを利用しない。したがって、実施形態の分析システム１は、従来よりも脆弱性の脅威度を従来よりも早期に予測可能である。

【0093】

また、実施形態の分析システム１は、分析システム１が自動で実行可能である。したがって、専門家による分析及び構造化などの作業が不要である。

【0094】

また、実施形態の分析システム１は、投稿内容のうち脅威度の予測に用いる文字列は、脆弱性ＩＤである。したがって、実施形態の分析システム１は、自然言語処理が不要である。

【0095】

また、実施形態の分析システム１は、脆弱性ＩＤごとに脅威度を予測する。したがって、実施形態の分析システム１は、個別の脆弱性の脅威度の予測が可能である。

【0096】

また、実施形態の分析システム１は、直近Ｎ回分という予め定められた期間において収集された投稿データにおける直近投稿数ＰＬが投稿数閾値Ｋ以上である脆弱性について、脅威度の予測を行う。このように、分析システム１は、脅威予測モデルを用いなくても脅威度が低いと予想可能な脆弱性については脅威予測モデルを用いた脅威度の予測の対象外とすることができる。

【0097】

また、実施形態の分析システム１は、Ｍ人以上のユーザーによって投稿された脆弱性ＩＤを投稿内容に含む投稿の時系列データを、脅威予測モデルの作成に用いる。このように、実施形態の分析システム１は、投稿数が少ない脆弱性ＩＤを学習に用いないことで、学習の精度を上げることができると考えられる。

【0098】

上記の実施形態は、以下のような変形も可能である。
上記の実施形態では、直近投稿数情報は、関連付けられた脆弱性ＩＤが、直近のＮ回分の収集で収集された投稿データから抽出された回数を示す情報である。しかしながら、直近投稿数情報は、関連付けられた脆弱性ＩＤが、直近の期間ｔ４内に投稿された投稿データから抽出された回数を示す情報であっても良い。期間ｔ４の値は、例えば、分析システム１の設計者又は管理者などによって予め設定される。期間ｔ４の値は、デフォルトの値が定められていても良い。期間ｔ４は、予め定められた期間の一例である。

【0099】

収集サーバー２００のプロセッサー２１０は、収集日時として、時刻ｔ３に代えて時刻ｔ２を用いても良い。

【0100】

収集サーバー２００のプロセッサー２１０は、投稿時刻が時刻ｔ２から時刻ｔ３の範囲内という条件で投稿データを取得しても良い。そして、プロセッサー２１０は、このように取得した投稿データの中から、投稿内容に脆弱性共通文字列を含む投稿データを取得する。

【0101】

上記の実施形態において収集サーバー２００が行う処理の一部又は全部を分析サーバー１００が実行しても良い。上記の実施形態において分析サーバー１００が行う処理の一部又は全部を収集サーバー２００が行っても良い。上記の実施形態において収集サーバー２００が行う処理の一部又は全部をＳＮＳサーバー３００が行っても良い。

【0102】

分析サーバー１００は、収集サーバー２００を兼ねていても良い。分析サーバー１００は、収集サーバー２００及びＳＮＳサーバー３００を兼ねていても良い。収集サーバー２００は、ＳＮＳサーバー３００を兼ねていても良い。

【0103】

実施形態の各装置は、複数の装置からなるものであっても良い。

【0104】

プロセッサー１１０、プロセッサー２１０及びプロセッサー３１０は、上記実施形態においてプログラムによって実現する処理の一部又は全部を、回路のハードウェア構成によって実現するものであっても良い。

【0105】

実施形態の処理を実現するプログラムは、例えば装置内の非一時的な記憶媒体に記憶された状態で譲渡される。しかしながら、当該装置は、当該プログラムが記憶されない状態で譲渡されても良い。そして、当該プログラムが別途に譲渡され、当該装置へと書き込まれても良い。このときのプログラムの譲渡は、例えば、リムーバブルで非一時的な記憶媒体に記録して、あるいはインターネット又はＬＡＮなどのネットワークを介したダウンロードによって実現できる。

【0106】

以上、本発明の実施形態を説明したが、例として示したものであり、本発明の範囲を限定するものではない。本発明の実施形態は、本発明の要旨を逸脱しない範囲において種々の態様で実施可能である。

【符号の説明】

【0107】

１ 分析システム
１００ 分析サーバー
１１０，２１０，３１０ プロセッサー
１２０，２２０，３２０ ＲＯＭ
１３０，２３０，３３０ ＲＡＭ
１４０，２４０，３４０ 補助記憶装置
１４１ 脅威度ＤＢ
１５０，２５０，３５０ 通信インターフェース
１６０，２６０，３６０ バス
２００ 収集サーバー
２４１ 収集ＤＢ
２４２ 脆弱性ＤＢ
３００ ＳＮＳサーバー

【図1】

【図2】

【図3】

【図4】

【図5】