特開 2024-17039 攻撃状況出力プログラム、攻撃状況出力装置、攻撃状況出力システム

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】公開特許公報(A)

(11)【公開番号】P2024017039

(43)【公開日】2024-02-08

(54)【発明の名称】攻撃状況出力プログラム、攻撃状況出力装置、攻撃状況出力システム

(51)【国際特許分類】

   G06F 21/55 20130101AFI20240201BHJP

【ＦＩ】

G06F21/55 320

【審査請求】未請求

【請求項の数】7

【出願形態】ＯＬ

(21)【出願番号】P 2022119406

(22)【出願日】2022-07-27

(71)【出願人】

【識別番号】000005223

【氏名又は名称】富士通株式会社

(74)【代理人】

【識別番号】100087480

【弁理士】

【氏名又は名称】片山 修平

(72)【発明者】

【氏名】及川 孝徳

(72)【発明者】

【氏名】小久保 博崇

(72)【発明者】

【氏名】森川 郁也

(57)【要約】      （修正有）

【課題】優先して対処すべき端末を判断できる情報を出力する攻撃状況出力プログラム、攻撃状況出力装置、攻撃状況出力システムを提供する。
【解決手段】複数のユーザ端末と、検出装置としてのＩＤＳ（Ｉｎｔｒｕｓｉｏｎ Ｄｅｔｅｃｔｉｏｎ Ｓｙｓｔｅｍ）端末と、攻撃状況出力装置と、インターネットなどのネットワークに接続されている攻撃状況出力システムにおいて、攻撃状況出力装置２０は、ＩＤＳアラートＤＢから抽出条件を満たすＩＤＳアラートを抽出するＩＤＳアラート抽出部、ユーザ端末単位でまとめられたＩＤＳアラートを用いて、異常な端末（アノマリ端末）を検出するアノマリ検出を実行するアノマリ検出部及び異常な端末の情報（ＩＰアドレス）と、異常な端末として検出されたときの抽出条件に対応する攻撃内容の情報と、を関連付けて出力する結果出力部を有する。
【選択図】図４

【特許請求の範囲】

【請求項1】

攻撃の脅威度を含む通信の情報の中から前記脅威度が第１条件を満たす第１の通信の情報を抽出し、
各端末の前記第１の通信の情報を用いて、異常な端末を検出するアノマリ検出処理を実行し、
前記アノマリ検出処理により異常な端末として検出された第１の端末の情報と、前記第１条件に対応する攻撃内容の情報と、を関連付けて出力する、
処理をコンピュータに実行させる攻撃状況出力プログラム。

【請求項2】

前記第１条件を異ならせて、前記抽出する処理と、前記アノマリ検出処理と、を複数回実行し、
前記出力する処理では、前記複数回のアノマリ検出処理のうちの少なくとも１回において異常な端末として検出された第１の端末の情報と、前記第１の端末に関する前記複数回のアノマリ検出処理の結果に対応する攻撃内容の情報と、を関連付けて出力する、ことを特徴とする請求項１に記載の攻撃状況出力プログラム。

【請求項3】

前記抽出する処理を、前記第１の通信を抽出する条件が緩くなるように前記第１条件を段階的に変更しつつ、複数回実行し、
前記出力する処理では、前記第１の端末が、前記第１条件を変更する前と後において異常な端末と検出されたか否かと、前記第１の端末の前記第１の通信の数が、前記第１条件を変更する前と後において変化したか否かと、に基づいて、出力する攻撃内容の情報を決定する、ことを特徴とする請求項２に記載の攻撃状況出力プログラム。

【請求項4】

前記抽出する処理を、前記第１の通信を抽出する条件が重複しないように前記第１条件を段階的に変更しつつ、複数回実行し、
前記出力する処理では、前記第１の端末が、前記アノマリ検出処理において異常な端末と検出されたときの前記第１条件の内容と、前記アノマリ検出処理において異常な端末と検出されなかったときの前記第１条件で前記第１の通信が抽出されていたか否かと、に基づいて、出力する攻撃内容の情報を決定する、ことを特徴とする請求項２に記載の攻撃状況出力プログラム。

【請求項5】

前記出力する処理において出力する攻撃内容の情報は、攻撃に関連する脅威度と、潜伏端末の業務に関連する脅威度と、の少なくとも一方の情報であることを特徴とする請求項１～４のいずれか一項に記載の攻撃状況出力プログラム。

【請求項6】

攻撃の脅威度を含む通信の情報の中から前記脅威度が第１条件を満たす第１の通信の情報を抽出する抽出部と、
各端末の前記第１の通信の情報を用いて、異常な端末を検出するアノマリ検出処理を実行する実行部と、
前記アノマリ検出処理により異常な端末として検出された第１の端末の情報と、前記第１条件に対応する攻撃内容の情報と、を関連付けて出力する出力部と、を備える攻撃状況出力装置。

【請求項7】

攻撃の脅威度を含む通信の情報を検出する検出装置と、
前記検出装置の検出結果を取得し、取得した検出結果から、前記脅威度が第１条件を満たす第１の通信の情報を抽出し、各端末の前記第１の通信の情報を用いて、異常な端末を検出するアノマリ検出処理を実行し、前記アノマリ検出処理により異常な端末として検出された第１の端末の情報と、前記第１条件に対応する攻撃内容の情報と、を関連付けて出力する、攻撃状況出力装置と、
を備える攻撃状況出力システム。

【発明の詳細な説明】

【技術分野】

【0001】

本発明は、攻撃状況出力プログラム、攻撃状況出力装置、攻撃状況出力システムに関する。

【背景技術】

【0002】

コンピュータ及び電気通信網の発達に伴い、データ通信が飛躍的に普及している。企業ばかりでなく一般個人もインターネットに接続し、各種情報をダウンロードしたり、自分のウェブページを設けて情報を発信するようになってきている。

【0003】

近年、一部の悪意を持つ者がコンピュータウイルスをばら撒いたり、コンピュータへ不正にアクセスして個人情報や秘密情報を盗み出したり、特定のサーバへ攻撃を仕掛けてその利用をできなくするようなことが発生している。不正アクセスを防止するための装置として、ファイアウォールコンピュータのほか、内部ネットワークを流れるデータを監視して不正なアクセスを検知する不正侵入検知装置（Intrusion Detection System：IDS）が知られている。

【0004】

不正侵入検知装置（ＩＤＳ）は、ネットワークに流れるパケットを監視して、不正アクセスの可能性のあるパケットを発見したときにアラートを行うとともに、当該通信記録を収集して保存する装置である。不正侵入検知装置は、Ｄｏｓ（Denial of Services）攻撃やＤＤｏｓ（Distributed Denial of Service）攻撃を検知することができる。また、ＩＤＳによる不正アクセス検知の方式としては、「シグネチャ」ベースの侵入検知が知られている。この方式は、予め登録されたシグネチャと呼ばれる侵入手口のパターンとマッチングを行うことにより侵入を検知するというものである。

【0005】

また、最近では、ＩＤＳで検知されたアラート（誤検知も含む）を用いて、異常な端末（不審な端末）を検出する技術としてアノマリ端末検出技術が知られている。この技術は、アラートを送信元端末単位でまとめ、端末の多くは正常な端末であるという前提の下、教師なし学習により異常な端末を検出するというものである。

【先行技術文献】

【特許文献】

【0006】

【特許文献1】国際公開第２０２１／０３８８７０

【特許文献2】特開２０１０－５５５６６号公報

【特許文献3】米国特許出願公開第２０１６／０３５９８９１号明細書

【特許文献4】米国特許出願公開第２０１７／０３２３１０２号明細書

【発明の概要】

【発明が解決しようとする課題】

【0007】

ＩＤＳで利用するシグネチャには脅威度が設定されているため、ＩＤＳで検知されるアラートにも脅威度が紐づけられている。したがって、ＩＤＳで検知されたアラートを用いて異常な端末をアノマリ検出する場合、脅威度に基づいてアラートを取捨選択することで、アノマリ検出の精度を高めることができる。

【0008】

しかしながら、アノマリ検出の結果として異常な端末の情報が出力されても、異常な端末それぞれがどのような攻撃をしているのかは不明である。したがって、管理者等は、異常な端末のうち、いずれの端末を優先して対処すべきかを判断するのが難しい。

【0009】

１つの側面では、本発明は、優先して対処すべき端末を判断できる情報を出力することが可能な攻撃状況出力プログラム、攻撃状況出力装置及び攻撃状況出力システムを提供することを目的とする。

【課題を解決するための手段】

【0010】

一つの態様では、攻撃状況出力プログラムは、攻撃の脅威度を含む通信の情報の中から前記脅威度が第１条件を満たす第１の通信の情報を抽出し、各端末の前記第１の通信の情報を用いて、異常な端末を検出するアノマリ検出処理を実行し、前記アノマリ検出処理により異常な端末として検出された第１の端末の情報と、前記第１条件に対応する攻撃内容の情報と、を関連付けて出力する、処理をコンピュータに実行させるプログラムである。

【発明の効果】

【0011】

優先して対処すべき端末を判断できる情報を出力することができる。

【図面の簡単な説明】

【0012】

【図1】一実施形態に係る攻撃状況出力システムの構成を概略的に示す図である。

【図2】ＩＤＳアラートの一例を示す図である。

【図3】攻撃状況出力装置のハードウェア構成の一例を示す図である。

【図4】攻撃状況出力装置の機能ブロック図である。

【図5】図５（ａ）～図５（ｃ）は、アノマリ検出について説明するための図（その１）である。

【図6】図６（ａ）～図６（ｃ）は、アノマリ検出について説明するための図（その２）である。

【図7】図７（ａ）～図７（ｃ）は、アノマリ検出について説明するための図（その３）である。

【図8】図８（ａ）～図８（ｃ）は、アノマリ検出について説明するための図（その４）である。

【図9】図９（ａ）、図９（ｂ）は、アノマリ検出の結果の一例を示す図である。

【図10】攻撃状況決定条件の一例を示す図である。

【図11】管理者へ提示する画面例を示す図である。

【図12】図１２（ａ）は、攻撃段階テーブルを示す図であり、図１２（ｂ）は潜伏端末の重要度テーブルを示す図である。

【図13】攻撃状況出力装置の処理を示すフローチャートである。

【図14】中間データの一例を示す図である。

【図15】図１４の中間データの分析結果を示す図である。

【図16】図１０の攻撃状況決定条件に代えて用いることが可能な表を示す図（その１）である。

【図17】図１０の攻撃状況決定条件に代えて用いることが可能な表を示す図（その２）である。

【図18】変形例１に係る攻撃状況出力装置の処理を示すフローチャートである。

【図19】変形例２において用いる攻撃状況決定条件を示す図である。

【図20】変形例２に係る攻撃状況出力装置の処理を示すフローチャートである。

【発明を実施するための形態】

【0013】

以下、攻撃状況出力システムの一実施形態について、図１～図１５に基づいて詳細に説明する。

【0014】

図１には、一実施形態に係る攻撃状況出力システム１００の構成が概略的に示されている。図１の攻撃状況出力システム１００は、複数のユーザ端末７０と、検出装置としてのＩＤＳ（Intrusion Detection System）端末２０と、攻撃状況出力装置３０と、を備える。攻撃状況出力システム１００に含まれる各装置は、インターネットなどのネットワーク８０に接続されている。

【0015】

ユーザ端末７０は、コンピュータ端末などの情報処理装置であり、ネットワーク８０へアクセスする機能（ネットワーク８０を介して情報を送受信する機能）を有する。

【0016】

ＩＤＳ端末２０は、情報処理装置（ワークステーションやサーバなど）又はネットワークアプライアンス装置である。ＩＤＳ端末２０は、ネットワーク８０を流れる全てのパケットを監視し、検出ルール（シグネチャ）に合致する通信を、攻撃活動の可能性のある不審な通信としてアラートする。ここで、ＩＤＳのオープンソースソフトウェア（ＯＳＳ）としては、SnortやSuricataなどが知られている。ＩＤＳアラートは、例えば、図２に示すようなデータ構造を有する。なお、本実施形態では、図２の１行で示されるアラートをＩＤＳアラートと呼び、複数のＩＤＳアラートを含んでＩＤＳアラート群と呼ぶものとする。ＩＤＳアラートは、図２に示すように、日時（Date）、プロトコル（Protocol）、送信元ＩＰ（SrcIP）、送信元ポート（SrcPort）、送信先ＩＰ（DstIP）、送信先ポート（DstPort）、脅威度（PriorityやSeverity）、シグネチャＩＤ（SID）等の情報を含む。なお、「脅威度」は、ＩＤＳアラートが攻撃であった場合の被害の深刻度を示す指標値である。図２において、例えば、上から１つ目と２つ目のＩＤＳアラートは、脅威度「３」のシグネチャ「１０００１」と合致した通信であり、上から３つ目のＩＤＳアラートは、脅威度「１」のシグネチャ「１２００４」と合致した通信である。ＩＤＳ端末２０は、図２のようなＩＤＳアラート群を攻撃状況出力装置３０へ送信する。シグネチャの記述形式は製品などによって異なる。一例としては、その操作に必要な権限が大きさによって脅威度が決まる。管理者権限でないと実行できない操作であれば脅威度が高くなる。

【0017】

攻撃状況出力装置３０は、ユーザ端末７０のセキュリティに関する状況を管理するセンタに設置されている情報処理装置（ワークステーションやサーバなど）である。攻撃状況出力装置３０は、ＩＤＳ端末２０から送信されてきたＩＤＳアラート群（図２）を取得して分析し、異常な端末に関する情報を出力する。

【0018】

ここで、ＩＤＳ端末２０から送信されてくるＩＤＳアラートの中には、シグネチャに合致する業務通信（誤検知）も含まれている。攻撃活動には、業務において頻繁に行われる操作も用いられるためである。そこで、本実施形態の攻撃状況出力装置３０は、膨大な数のＩＤＳアラートの中から特に不審なものを抽出するためのアプローチとして「アノマリ検出」を実行する。

【0019】

図３には、攻撃状況出力装置３０のハードウェア構成の一例が示されている。図３に示すように、攻撃状況出力装置３０は、ＣＰＵ（Central Processing Unit）９０、ＲＯＭ（Read Only Memory）９２、ＲＡＭ（Random Access Memory）９４、記憶部（ここではＳＳＤ（Solid State Drive）やＨＤＤ（Hard Disk Drive））９６、ネットワークインタフェース９７、表示部９３、入力部９５、及び可搬型記憶媒体用ドライブ９９等を備えている。表示部９３は、液晶ディスプレイや有機ＥＬディスプレイ等を含み、入力部９５は、キーボード、マウス、タッチパネル等を含む。これら攻撃状況出力装置３０の構成各部は、バス９８に接続されている。攻撃状況出力装置３０では、ＲＯＭ９２あるいは記憶部９６に格納されているプログラム（攻撃状況出力プログラムを含む）、或いは可搬型記憶媒体用ドライブ９９が可搬型記憶媒体９１から読み取ったプログラムをＣＰＵ９０が実行することにより、図４に示す各部の機能が実現されている。なお、図４の各部の機能は、例えば、ＡＳＩＣ（Application Specific Integrated Circuit）やＦＰＧＡ（Field Programmable Gate Array）等の集積回路により実現されてもよい。

【0020】

図４には、攻撃状況出力装置３０の機能ブロック図が示されている。図４に示すように、攻撃状況出力装置３０は、抽出部としてのＩＤＳアラート抽出部４０と、実行部としてのアノマリ検出部４２と、検出結果分析部４４と、結果出力部４６と、を有する。

【0021】

ＩＤＳアラート抽出部４０は、ＩＤＳアラートＤＢ５０に格納されているＩＤＳアラート（ＩＤＳ端末２０から取得したＩＤＳアラート群）の一部または全部（第１の通信の情報）を、フィルタ条件（第１条件）に基づいて抽出する。また、ＩＤＳアラート抽出部４０は、抽出したＩＤＳアラートを送信元のユーザ端末７０ごと（SrcIPごと）にまとめる処理を実行する。なお、本実施形態におけるフィルタ条件（抽出条件とも呼ぶ）は、脅威度「３」以上、「２」以上、「１」以上というように抽出範囲（下限値）を段階的に変更するものである。ただし、これに限らず、フィルタ条件（抽出条件）には、脅威度「１」以下、「２」以下、「３」以下というように抽出範囲（上限値）を段階的に変更するものもある。また、フィルタ条件（抽出条件）には、脅威度「１」のみ、「２」のみ、「３」のみというように抽出範囲を段階的に変更するものもある。管理者は、どのフィルタ条件を用いるかを予め設定することができる。

【0022】

アノマリ検出部４２は、送信元のユーザ端末７０（SrcIP）ごとにまとめられたＩＤＳアラート（群）を用いて、アノマリ検出を実行する。アノマリ検出は、アノマリ検知、異常検知、Anomaly Detectionなどとも呼ばれ、与えられたデータ全体の大部分が正常であるという前提に基づいて異常なデータを検出する「教師なし学習」に分類される機械学習である。

【0023】

ここで、一例として、図５（ａ）に示すようなＩＤＳアラート群がＩＤＳアラートＤＢ５０に格納されているとする。なお、図５（ａ）においては、説明に必要な列以外の列を省略して示している。この場合に、脅威度（Priority）「１」以上という条件でＩＤＳアラートを抽出し、ユーザ端末７０ごと（SrcIPごと）にまとめた結果、図５（ｂ）に示すようになったとする。なお、図５（ｂ）には、送信元ＩＰ「１０．１０．１０．１０」と「１０．２００．１０．３」のＩＤＳアラートをまとめた例が示されているが、その他の送信元ＩＰのＩＤＳアラートについても同様にまとめられる。

【0024】

一方、図６（ａ）に示すように、脅威度（Priority）「３」以上という条件でＩＤＳアラートを抽出した場合に、ユーザ端末７０ごと（SrcIPごと）に抽出されたＩＤＳアラートをまとめた結果、図６（ｂ）に示すようになったとする。

【0025】

図５（ｃ）には、図５（ｂ）に示すユーザ端末７０単位でまとめられたＩＤＳアラート（脅威度「１」以上）を用いてアノマリ検出を実行した結果が模式的に示されている。また、図６（ｃ）には、図６（ｂ）に示すユーザ端末７０単位でまとめられたＩＤＳアラート（脅威度「３」以上）を用いてアノマリ検出を実行した結果が模式的に示されている。図５（ｃ）においては、ＩＰアドレス「１０．１０．１０．１０」のユーザ端末７０が異常な端末（アノマリ）として検出されているが、図６（ｃ）においては、ＩＰアドレス「１０．１０．１０．１０」のユーザ端末７０が異常な端末として検出されていない。このように、ＩＤＳアラートの抽出条件が異なると、異常な端末の検出結果が変わる可能性がある。

【0026】

なお、図５（ａ）～図５（ｃ）、図６（ａ）～図６（ｃ）の例は、抽出するＩＤＳアラートが多いときにＩＰアドレス「１０．１０．１０．１０」のユーザ端末７０が異常な端末として検出される例を示しているが、その逆もある。例えば、図７（ａ）～図７（ｃ）の例では、脅威度「１」以上という条件でＩＤＳアラートを抽出した場合に、ＩＰアドレス「１０．１０．１０．１０」のユーザ端末７０が異常な端末として検出されない。一方、図８（ａ）～図８（ｃ）の例のように、脅威度「３」以上という条件でＩＤＳアラートを抽出すると、ＩＰアドレス「１０．１０．１０．１０」のユーザ端末７０が異常な端末として検出される。

【0027】

以上のことから、アノマリ検出においては、適切にＩＤＳアラートの抽出条件を設定しないと、異常な端末を検出できない可能性や、攻撃を見逃す可能性があると考えられる。また、抽出条件を段階的に変えて複数回のアノマリ検出を行ったとしても、単に複数回のアノマリ検出の結果を出力するだけでは、どの端末を優先して対処すべきかわからないと考えられる。

【0028】

そこで、本実施形態においては、検出結果分析部４４は、抽出条件を段階的に変化させつつアノマリ検出を実行した結果を用いて、各ユーザ端末７０の攻撃状況を分析することとする。ここで、検出結果分析部４４は、ＩＤＳアラートが攻撃の場合には、脅威度の内容に基づいて攻撃進行段階が推測できる、という性質を利用して、攻撃状況の分析を行う。

【0029】

上述したとおり、脅威度は、「その操作に必要な権限が大きさ（例：管理者権限でないと実行できないのでリスク高）」で決められることが多い。
一方、標的型攻撃は、「情報窃取」または「破壊」を目的に、攻撃者が攻撃対象組織内での自身のできることを増やしていく（権限を大きくしてく）方向に進行する。
つまり、
（１）脅威度が低いアラートのみであれば、攻撃者は権限を大きくするために権限の小さい操作で試行錯誤している攻撃初期（諜報活動）と分析でき、
（２）脅威度が低～高すべてのアラートを含む場合には、攻撃中期（探索、情報収集、感染拡大、など幅広い活動）と分析でき、
（３）脅威度が高いアラートのみであれば、試行錯誤は終了し、最終目的である「情報窃取」「破壊」を実施している攻撃末期（破壊的活動）と分析できる。

【0030】

なお、アラートが業務の場合（誤検知であった場合）には、脅威度が高いアラートが発生しているユーザ端末７０は、権限の大きい操作をしている重要な業務端末である可能性が高いと分析できる。

【0031】

例えば、ＩＤＳアラート抽出部４０が、抽出条件を脅威度「３」以上と設定して、ＩＤＳアラートを抽出し、アノマリ検出部４２が、抽出されたＩＤＳアラートをユーザ端末７０単位にまとめて、アノマリ検出を実行する。次いで、ＩＤＳアラート抽出部４０が、抽出条件を脅威度「２」以上と設定して、ＩＤＳアラートを抽出し、アノマリ検出部４２が、抽出されたＩＤＳアラートをユーザ端末７０単位にまとめて、アノマリ検出を実行する。更に、ＩＤＳアラート抽出部４０が、抽出条件を脅威度「１」以上と設定して、ＩＤＳアラートを抽出し、アノマリ検出部４２が、抽出されたＩＤＳアラートをユーザ端末７０単位にまとめて、アノマリ検出を実行する。これらのアノマリ検出の結果、ある端末について、図９（ａ）に示すような結果が得られたとする。なお、図９（ａ）の「アノマリ検出」の行には、各条件下でアノマリ検出を行った結果、その端末が異常な端末として検出された場合に「ＴＲＵＥ」、異常な端末として検出されなかった場合に「ＦＡＬＳＥ」が格納される。また、「アラート数変化」の行には、各条件を用いたときにアラート数がその前の条件のときから変化していれば「あり」、変化していなければ「なし」が格納される。具体的には、抽出条件が脅威度「３」以上のときにＩＤＳアラートが抽出されれば「あり」、抽出されなければ「なし」となる。また、抽出条件が脅威度「２」以上のときにＩＤＳアラートが抽出され、その数が脅威度「３」以上のときに抽出されたＩＤＳアラートの数と異なる場合には「あり」、そうでなければ「なし」となる。また、脅威度「１」以上のときにＩＤＳアラートが抽出され、その数が脅威度「２」以上のときに抽出されたＩＤＳアラートの数と異なる場合には「あり」、そうでなければ「なし」となる。

【0032】

検出結果分析部４４は、図９（ａ）の結果を用いることで、攻撃の状況（「攻撃に関連するアラートの脅威度」、「潜伏端末の業務に関連するアラートの脅威度」）を分析する。例えば、図９（ａ）の場合、脅威度が「１」以上「２」未満のＩＤＳアラートによって「ＦＡＬＳＥ」になっている。すなわち、「１」以上「２」未満のアラートは業務活動であり、業務活動に潜伏して「２」以上のアラートの攻撃活動が行われていると考えられる。したがって、検出結果分析部４４は、「攻撃に関連するアラート脅威度」が「２」以上であり、「潜伏端末の業務に関連するアラート脅威度」が「１」以上であると分析する。

【0033】

また、例えば、図９（ｂ）のような結果が得られた場合、業務なら本来は「３」以上と「１」以上の両方のＩＤＳアラートが含まれるはずだが、「１」以上が無いためにアノマリ検出された可能性がある。したがって、この場合には、検出結果分析部４４は、「攻撃に関連するアラート脅威度」は「３」以上、「潜伏端末の業務に関連するアラート脅威度」は「無し」と分析する。

【0034】

なお、検出結果分析部４４は、実際には、図１０に示すような攻撃状況決定条件を用いて、分析を実行する。この図１０の攻撃条件決定条件の詳細については後述する。

【0035】

図４に戻り、結果出力部４６は、検出結果分析部４４の分析結果をまとめた画面を生成し、表示部９３に表示することにより、管理者に提示する。図１１には、管理者に提示する画面例が示されている。結果出力部４６は、図１１の画面を生成する際に、図１２（ａ）に示す攻撃段階テーブルと、図１２（ｂ）に示す潜伏端末の重要度テーブルと、を参照する。なお、図１２（ａ）、図１２（ｂ）のテーブルの詳細については後述する。

【0036】

（攻撃状況出力装置３０の処理について）
次に、攻撃状況出力装置３０の処理について、図１３のフローチャートに沿って、その他図面を適宜参照しつつ詳細に説明する。なお、図１３の処理は、抽出条件を脅威度「３」以上、「２」以上、「１」以上というように下限を段階的に下げていく場合の処理である。

【0037】

図１３の処理が開始されると、まずステップＳ１０において、ＩＤＳアラート抽出部４０が、脅威度の下限値を示すパラメータｎを３に設定する（ｎ＝３）。

【0038】

次いで、ステップＳ１２では、ＩＤＳアラート抽出部４０が、ＩＤＳアラートＤＢ５０から脅威度ｎ以上（ここでは、３以上）のＩＤＳアラートを抽出する。ここで、ＩＤＳアラート抽出部４０は、抽出したＩＤＳアラートをユーザ端末７０単位にまとめる処理も実行する。

【0039】

次いで、ステップＳ１４では、アノマリ検出部４２が、抽出したＩＤＳアラートに対してアノマリ検出を実行する。

【0040】

次いで、ステップＳ１６では、アノマリ検出部４２が、アノマリ検出の結果を中間データに記録する。ここで、中間データは、図１４に示すようなデータであるものとする。図１４に示すように、中間データには、各ユーザ端末７０のＩＰアドレスに対応付けて、抽出条件（３以上、２以上、１以上）ごとに、「アノマリ検出（ＴＲＵＥ／ＦＡＬＳＥ）」と、「アラート数変化（あり／なし）」が記録される。

【0041】

次いで、ステップＳ１８では、ＩＤＳアラート抽出部４０が、パラメータｎの値が１であるか否かを判断する。この判断が否定された場合には、ステップＳ２０に移行し、ＩＤＳアラート抽出部４０は、パラメータｎを１デクリメントする（ｎ＝ｎ－１）。その後は、ステップＳ１２に戻り、ｎ＝２の状態（抽出条件が脅威度２以上）で、ステップＳ１２～Ｓ１８、Ｓ２０の処理、判断が実行される。更に、ｎ＝１の状態（抽出条件が脅威度１以上）で、ステップＳ１２～Ｓ１８の処理、判断が実行される。すなわち、抽出条件を段階的に緩くなるように変更しつつ、ＩＤＳアラートの抽出とアノマリ検出が実行される。その後、ステップＳ１８の判断が肯定されると、ステップＳ２２に移行する。

【0042】

ステップＳ２２に移行すると、検出結果分析部４４は、中間データと、攻撃状況決定条件から各ユーザ端末７０の攻撃状況を分析する。具体的には、検出結果分析部４４は、図１４の中間データを、図１０の攻撃状況決定条件に照らし合わせることで、攻撃状況を分析する。図１５には、図１４の中間データの分析結果が示されている。

【0043】

例えば、図１４の中間データのＩＰアドレス「１０．１０．１０．１０」の端末の場合、抽出条件「３以上」については、図１０の条件１に当てはまる。したがって、検出結果分析部４４は、「攻撃に関連するアラート脅威度」に「３以上」を設定する。

【0044】

また、図１４の中間データのＩＰアドレス「１０．２００．１０．２」の端末場合、抽出条件「３以上」、「２以上」、「１以上」が図１０の条件１に当てはまる。したがって、検出結果分析部４４は、「攻撃に関連するアラート脅威度」に「３以上、２以上、１以上」を設定する。

【0045】

また、図１４の中間データのＩＰアドレス「１０．２００．１０．３」の端末場合、抽出条件「２以上」は、図１０の条件１に当てはまる。したがって、検出結果分析部４４は、「攻撃に関連するアラート脅威度」に「２以上」を設定する。一方、抽出条件「１以上」は、図１０の条件２に当てはまる。したがって、検出結果分析部４４は、「潜伏端末の業務に関連するアラート脅威度」に「１以上」を設定する。

【0046】

また、図１４の中間データの「１０．２００．１０．４」の場合、抽出条件「１以上」が図１０の条件１に当てはまる。したがって、検出結果分析部４４は、「攻撃に関連するアラート脅威度」に「１以上」を設定する。

【0047】

更に、図１４の中間データの「１０．２００．１０．５」の場合、抽出条件「１以上」が図１０の条件３に当てはまる。したがって、検出結果分析部４４は、抽出条件「２以上」より前で、かつ「ＴＲＵＥ」になるまでの「ＦＡＬＳＥ」かつアラート数が「あり」の変更条件（ここでは「３以上」）を「攻撃に関連するアラート脅威度」に設定する。

【0048】

図１３に戻り、次のステップＳ２４では、結果出力部４６が、分析結果を出力する。このとき、結果出力部４６は、図１５の分析結果を、図１２（ａ）、図１２（ｂ）のテーブルに基づいて加工して、図１１のような画面を生成し、生成した画面を表示部９３上に表示する。具体的には、結果出力部４６は、図１２（ａ）のテーブルに基づいて、各ユーザ端末７０の「攻撃に関連するアラート脅威度」から、各ユーザ端末７０の「攻撃段階（攻撃初期／攻撃末期／攻撃初期）」を特定する。また、結果出力部４６は、図１２（ｂ）のテーブルに基づいて、各ユーザ端末７０の「潜伏端末の業務に関連するアラート脅威度」から、「潜伏端末の重要度（高／中／低）」を特定する。また、結果出力部４６は、「潜伏端末の重要度」が高、中、低のいずれであっても、図１１の画面の「潜伏」を「あり」とする。

【0049】

以上の処理により、図１３の全処理が終了する。図１１の画面には、各ユーザ端末７０の攻撃段階、潜伏有無、潜伏端末の重要度が含まれている。したがって、管理者は、図１１の画面を確認することで、どのユーザ端末７０から優先して対処するかを適切に判断することが可能である。

【0050】

これまでの説明からわかるように、本実施形態においては、検出結果分析部４４と、結果出力部４６と、により、異常な端末とされた端末の情報と、攻撃内容の情報と、を関連付けて出力する出力部としての機能が実現されている。

【0051】

以上、詳細に説明したように、本実施形態によると、ＩＤＳ端末２０は、通信を監視して、複数の攻撃の脅威度のいずれかに分類される通信を検出条件（シグネチャ）に従って検出する。すなわち、ＩＤＳ端末２０は、攻撃の脅威度を含む通信の情報を検出する。また、攻撃状況出力装置３０において、ＩＤＳアラート抽出部４０は、ＩＤＳアラートＤＢ５０から、ある抽出条件を満たすＩＤＳアラートを抽出する（Ｓ１２）。また、アノマリ検出部４２は、各ユーザ端末７０の抽出されたＩＤＳアラートを用いて、異常な端末（アノマリ端末）を検出するアノマリ検出を実行する（Ｓ１４）。そして、検出結果分析部４４と結果出力部４６は、異常な端末の情報（ＩＰアドレス）と、異常な端末として検出されたときの抽出条件に対応する攻撃内容の情報と、を関連付けて出力する（Ｓ２２、Ｓ２４、図１１）。これにより、攻撃状況出力装置３０は、優先して対処すべきユーザ端末７０を判断できる情報を出力することができる。したがって、管理者は、図１１の画面を確認することで、どのユーザ端末７０から優先して対処するかを適切に判断することが可能である。

【0052】

また、本実施形態では、ＩＤＳアラート抽出部４０が用いる抽出条件を異ならせて、ＩＤＳアラートを抽出する処理（Ｓ１２）とアノマリ検出する処理（Ｓ１４）と、が複数回実行される。また、検出結果分析部４４と結果出力部４６は、異常な端末として少なくとも１回検出されたユーザ端末７０の情報（ＩＰアドレス）と、複数回のアノマリ検出の結果に対応する攻撃内容の情報と、を関連付けて出力する。これにより、複数回のアノマリ検出の結果に対応する詳細な攻撃内容の情報を管理者に提供することができる。また、本実施形態によれば、管理者は抽出条件を手動で変更しなくてもよく、ＩＤＳ端末２０から得られたＩＤＳアラート群から適切な情報を得ることが可能である。

【0053】

また、本実施形態では、ＩＤＳアラート抽出部４０が用いる抽出条件が緩くなるように段階的に異ならせて、ＩＤＳアラートを抽出する処理（Ｓ１２）とアノマリ検出する処理（Ｓ１４）と、が複数回実行される。また、検出結果分析部４４と結果出力部４６は、抽出条件を変更する前後において異常な端末と検出されたか（ＴＲＵＥ／ＦＡＬＳＥ）と、抽出されたＩＤＳアラートの数が変化したか（あり／なし）に基づいて、出力する情報を決定する（図１０参照）。これにより、精度の高い攻撃内容の情報を管理者に提供することができる。

【0054】

なお、上記実施形態では、検出結果分析部４４は、図１０の攻撃状況決定条件に基づいて、図１５に示すような分析を行う場合について説明したが、これに限られるものではない。例えば、図１６、図１７のように、中間データに含まれる可能性のある「ＴＲＵＥ／ＦＡＬＳＥ」、「あり／なし」の全組み合わせに対して、「攻撃に関連するアラート脅威度」と「潜伏端末の業務に関連するアラート脅威度」とを紐づけた表を予め用意してもよい。この場合、検出結果分析部４４は、図１４の中間データを図１６、図１７の表に当てはめるだけで、図１５の分析結果を得ることができるため、処理負荷を軽減することができる。

【0055】

（変形例１）
上記実施形態では、ＩＤＳアラート抽出部４０は、脅威度「３」以上、「２」以上、「１」以上、というように抽出条件を段階的に変更する場合について説明した。この方法によれば、脅威度の高いアラートを重視した分析が可能である。ただし、これに限らず、例えば、ＩＤＳアラート抽出部４０は、脅威度「１」以下、「２」以下、「３」以下というように抽出条件を段階的に変更してもよい。この方法によれば、脅威度の低いアラートを重視した分析が可能である。

【0056】

図１８には、変形例１を採用した場合の攻撃状況出力装置３０の処理がフローチャートにて示されている。図１８の処理においては、図１３のステップＳ１０、Ｓ１２、Ｓ１８、Ｓ２０に代えて、ステップＳ１０’、Ｓ１２’、Ｓ１８’、Ｓ２０’が実行される。

【0057】

具体的には、図１８のステップＳ１０’では、ＩＤＳアラート抽出部４０が、脅威度の上限値を示すパラメータｎを１に設定する（ｎ＝１）。

【0058】

次いで、ステップＳ１２’では、ＩＤＳアラート抽出部４０が、ＩＤＳアラートＤＢ５０から脅威度ｎ以下のＩＤＳアラートを抽出する。また、ＩＤＳアラート抽出部４０は、抽出したＩＤＳアラートをユーザ端末７０単位にまとめる処理も実行する。その後は、ステップＳ１４、Ｓ１６が、上記実施形態と同様に実行される。

【0059】

そして、ステップＳ１８’に移行すると、ＩＤＳアラート抽出部４０は、パラメータｎの値が３であるか否かを判断する。この判断が否定された場合には、ステップＳ２０’に移行し、ＩＤＳアラート抽出部４０は、パラメータｎを１インクリメントする（ｎ＝ｎ＋１）。その後は、ステップＳ１２’に戻る。

【0060】

なお、ステップＳ２２、Ｓ２４の処理については、上記実施形態と同様である。すなわち、検出結果分析部４４は、図１０と同様の攻撃状況決定条件を用いて図１４と同様の中間データから、図１５と同様の分析結果を得る。そして、結果出力部４６は、図１５と同様の分析結果から、図１１と同様の画面を生成し、表示部９３上に表示する。

【0061】

以上のように、本変形例１では、ＩＤＳアラートの抽出条件として脅威度の上限値を段階的に変更する。このようにしても上記実施形態と同様の効果を得ることができる。

【0062】

（変形例２）
上記実施形態及び変形例１では、抽出条件の下限値又は上限値を段階的に変更する場合について説明したが、これに限られるものではない。例えば、ＩＤＳアラート抽出部４０は、抽出対象の脅威度を「１」のみ、「２」のみ、「３」のみ、というように段階的に変更してもよい。すなわち、抽出条件が重複しないように段階的に変更してもよい。この方法によれば、個別の脅威度を重視した分析が可能である。

【0063】

図１９には、変形例２において用いる攻撃状況決定条件が示されている。本変形例２では、各抽出条件において異常な端末とされたか（ＴＲＵＥ／ＦＡＬＳＥ）とＩＤＳアラートが抽出されたか（あり／なし）に対応付けて、「攻撃に関連するアラート脅威度」と「潜伏端末の業務に関連するアラート脅威度」が管理されている。なお、本変形例２では、異常な端末とされた抽出条件（「ＴＲＵＥ」となった抽出条件）が、そのまま「攻撃に関連するアラート脅威度」となる。また、異常な端末とされなかったが、ＩＤＳアラートが抽出された抽出条件（「ＦＡＬＳＥ（アラートあり）」となった抽出条件）が「潜伏端末の業務に関連するアラート脅威度」となる。

【0064】

図２０には、本変形例２を採用した場合の攻撃状況出力装置３０の処理がフローチャートにて示されている。図２０の処理においては、図１８のステップＳ１２’に代えて、ステップＳ１２”が実行されるが、その他の処理は図１８と同様となっている。ステップＳ１２”においては、ＩＤＳアラート抽出部４０が、ＩＤＳアラートＤＢ５０から脅威度ｎのＩＤＳアラートを抽出する。なお、検出結果分析部４４は、ステップＳ２２において、図１９の攻撃状況決定条件を用いて、アノマリ検出部４２の処理結果を分析する。

【0065】

なお、図２０においては、図１８と同様、ステップＳ１０’、Ｓ１８’、Ｓ２０’を実行する場合について説明したが、これに限られるものではない。すなわち、図２０のステップＳ１０’、Ｓ１８’、Ｓ２０’に代えて、図１３のステップＳ１０、Ｓ１８、Ｓ２０を実行することとしてもよい。

【0066】

なお、上記実施形態及び変形例では、抽出条件を段階的に変更して、アラートの抽出とアノマリ検出を実行し、異常な端末とされたときの抽出条件に対応する攻撃内容の情報をユーザ端末７０の情報と対応付けて出力することとした。しかしながら、これに限らず、１つの抽出条件（第１条件）を用いてアラートを抽出して、アノマリ検出を実行し、その抽出条件に対応する攻撃内容の情報をユーザ端末７０の情報と対応付けて出力することとしてもよい。このようにしても、優先して対処すべき端末を判断できる情報を出力することができる。

【0067】

なお、上記の処理機能は、コンピュータによって実現することができる。その場合、処理装置が有すべき機能の処理内容を記述したプログラムが提供される。そのプログラムをコンピュータで実行することにより、上記処理機能がコンピュータ上で実現される。処理内容を記述したプログラムは、コンピュータで読み取り可能な記憶媒体（ただし、搬送波は除く）に記録しておくことができる。

【0068】

プログラムを流通させる場合には、例えば、そのプログラムが記録されたＤＶＤ（Digital Versatile Disc）、ＣＤ－ＲＯＭ（Compact Disc Read Only Memory）などの可搬型記憶媒体の形態で販売される。また、プログラムをサーバコンピュータの記憶装置に格納しておき、ネットワークを介して、サーバコンピュータから他のコンピュータにそのプログラムを転送することもできる。

【0069】

プログラムを実行するコンピュータは、例えば、可搬型記憶媒体に記録されたプログラムもしくはサーバコンピュータから転送されたプログラムを、自己の記憶装置に格納する。そして、コンピュータは、自己の記憶装置からプログラムを読み取り、プログラムに従った処理を実行する。なお、コンピュータは、可搬型記憶媒体から直接プログラムを読み取り、そのプログラムに従った処理を実行することもできる。また、コンピュータは、サーバコンピュータからプログラムが転送されるごとに、逐次、受け取ったプログラムに従った処理を実行することもできる。

【0070】

上述した実施形態は本発明の好適な実施の例である。但し、これに限定されるものではなく、本発明の要旨を逸脱しない範囲内において種々変形実施可能である。

【0071】

なお、以上の実施形態及び変形例の説明に関して、更に以下の付記を開示する。
（付記１） 攻撃の脅威度を含む通信の情報の中から前記脅威度が第１条件を満たす第１の通信の情報を抽出し、
各端末の前記第１の通信の情報を用いて、異常な端末を検出するアノマリ検出処理を実行し、
前記アノマリ検出処理により異常な端末として検出された第１の端末の情報と、前記第１条件に対応する攻撃内容の情報と、を関連付けて出力する、
処理をコンピュータに実行させる攻撃状況出力プログラム。
（付記２） 前記第１条件を異ならせて、前記抽出する処理と、前記アノマリ検出処理と、を複数回実行し、
前記出力する処理では、前記複数回のアノマリ検出処理のうちの少なくとも１回において異常な端末として検出された第１の端末の情報と、前記第１の端末に関する前記複数回のアノマリ検出処理の結果に対応する攻撃内容の情報と、を関連付けて出力する、ことを特徴とする付記１に記載の攻撃状況出力プログラム。
（付記３） 前記抽出する処理を、前記第１の通信を抽出する条件が緩くなるように前記第１条件を段階的に変更しつつ、複数回実行し、
前記出力する処理では、前記第１の端末が前記第１条件を変更する前と後において異常な端末と検出されたか否かと、前記第１の端末の前記第１の通信の数が、前記第１条件を変更する前と後において変化したか否かと、に基づいて、出力する攻撃内容の情報を決定する、ことを特徴とする付記２に記載の攻撃状況出力プログラム。
（付記４） 前記抽出する処理を、前記第１の通信を抽出する条件が重複しないように前記第１条件を段階的に変更しつつ、複数回実行し、
前記出力する処理では、前記第１の端末が前記アノマリ検出処理において異常な端末と検出されたときの前記第１条件の内容と、前記アノマリ検出処理において異常な端末と検出されなかったときの前記第１条件で前記第１の通信が抽出されていたか否かと、に基づいて、出力する攻撃内容の情報を決定する、ことを特徴とする付記２に記載の攻撃状況出力プログラム。
（付記５） 前記出力する処理において出力する攻撃内容の情報は、攻撃に関連する脅威度と、潜伏端末の業務に関連する脅威度と、の少なくとも一方の情報であることを特徴とする付記１～４のいずれかに記載の攻撃状況出力プログラム。
（付記６） 攻撃の脅威度を含む通信の情報の中から前記脅威度が第１条件を満たす第１の通信の情報を抽出する抽出部と、
各端末の前記第１の通信の情報を用いて、異常な端末を検出するアノマリ検出処理を実行する実行部と、
前記アノマリ検出処理により異常な端末として検出された第１の端末の情報と、前記第１条件に対応する攻撃内容の情報と、を関連付けて出力する出力部と、を備える攻撃状況出力装置。
（付記７） 前記抽出部と前記実行部とが、前記第１条件を異ならせて、前記抽出する処理と前記アノマリ検出処理と、を複数回実行し、
前記出力部は、前記複数回のアノマリ検出処理のうちの少なくとも１回において異常な端末として検出された第１の端末の情報と、前記第１の端末に関する前記複数回のアノマリ検出処理の結果に対応する攻撃内容の情報と、を関連付けて出力する、ことを特徴とする付記６に記載の攻撃状況出力装置。
（付記８） 前記抽出部は、前記第１の通信を抽出する条件が緩くなるように前記第１条件を段階的に変更しつつ、前記抽出する処理を複数回実行し
前記出力部は、前記第１の端末が前記第１条件を変更する前と後において異常な端末と検出されたか否かと、前記第１の端末の前記第１の通信の数が、前記第１条件を変更する前と後において変化したか否かと、に基づいて、出力する攻撃内容の情報を決定する、ことを特徴とする付記７に記載の攻撃状況出力装置。
（付記９） 前記抽出部は、前記第１の通信を抽出する条件が重複しないように前記第１条件を段階的に変更しつつ、前記抽出する処理を複数回実行し、
前記出力部は、前記第１の端末が前記アノマリ検出処理において異常な端末と検出されたときの前記第１条件の内容と、前記アノマリ検出処理において異常な端末と検出されなかったときの前記第１条件で前記第１の通信が抽出されていたか否かと、に基づいて、出力する攻撃内容の情報を決定する、ことを特徴とする付記７に記載の攻撃状況出力装置。
（付記１０） 前記出力部が出力する攻撃内容の情報は、攻撃に関連する脅威度と、潜伏端末の業務に関連する脅威度と、の少なくとも一方の情報であることを特徴とする付記６～９のいずれかに記載の攻撃状況出力装置。
（付記１１） 攻撃の脅威度を含む通信の情報を検出する検出装置と、
前記検出装置の検出結果を取得し、取得した検出結果から、前記脅威度が第１条件を満たす第１の通信の情報を抽出し、各端末の前記第１の通信の情報を用いて、異常な端末を検出するアノマリ検出処理を実行し、前記アノマリ検出処理により異常な端末として検出された第１の端末の情報と、前記第１条件に対応する攻撃内容の情報と、を関連付けて出力する、攻撃状況出力装置と、
を備える攻撃状況出力システム。

【符号の説明】

【0072】

２０ ＩＤＳ端末（検出装置）
３０ 攻撃状況出力装置
４０ ＩＤＳアラート抽出部（抽出部）
４２ アノマリ検出部（実行部）
４４ 検出結果分析部（出力部の一部）
４６ 結果出力部（出力部の一部）
１００ 攻撃状況出力システム

【図1】

【図2】

【図3】

【図4】

【図5】

【図6】

【図7】

【図8】

【図9】

【図10】

【図11】

【図12】

【図13】

【図14】

【図15】

【図16】

【図17】

【図18】

【図19】

【図20】