特開 2024-32210 セキュリティ対策支援装置およびセキュリティ対策支援方法

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】公開特許公報(A)

(11)【公開番号】P2024032210

(43)【公開日】2024-03-12

(54)【発明の名称】セキュリティ対策支援装置およびセキュリティ対策支援方法

(51)【国際特許分類】

   G06F 21/55 20130101AFI20240305BHJP

   H04L 43/062 20220101ALI20240305BHJP

【ＦＩ】

G06F21/55

H04L43/062

【審査請求】未請求

【請求項の数】6

【出願形態】ＯＬ

(21)【出願番号】P 2022135747

(22)【出願日】2022-08-29

(71)【出願人】

【識別番号】000233491

【氏名又は名称】株式会社日立システムズ

(74)【代理人】

【識別番号】110003694

【氏名又は名称】弁理士法人有我国際特許事務所

(72)【発明者】

【氏名】高橋 健治

(57)【要約】

【課題】既存のナレッジベースに基づいて構築した新たなセキュリティ対策モデルを利用して制御システムを監視するとともに、制御システムの可用性を優先してセキュリティ対策を行う。
【解決手段】アラート受信部４１０は、制御システムで送受信されるパケットを傍受してアラートを出力するように構成されたネットワーク監視装置からアラートを受信する。脅威情報特定部４２２は、ネットワーク監視装置から受信し得るアラートの種別情報に対して、脅威情報およびＩＲ情報が紐付けられた情報を格納する脅威情報データベース３９０の脅威情報テーブル３９２を参照し、アラートの種別情報に対応する脅威情報を特定する。ＩＲ情報特定部４２３は、脅威情報データベース３９０のＩＲ情報テーブル３９３を参照し、脅威情報に対応するＩＲ情報を特定する。支援情報作成部４２５は、脅威情報およびＩＲ情報を含む支援情報を作成し、支援情報出力部４３０が出力する。
【選択図】図５

【特許請求の範囲】

【請求項1】

制御システムのセキュリティ対策を支援するセキュリティ対策支援装置であって、
前記制御システムで送受信されるパケットを傍受して解析し、前記制御システムで発生した異常を検出して前記異常を通知するアラートを出力するように構成されたネットワーク監視装置から前記アラートを受信するアラート受信部と、
前記ネットワーク監視装置から受信し得るアラートの種別情報に対して、前記アラートに関連する脅威情報およびインシデントレスポンス情報が紐付けられた情報を格納する脅威情報データベースと、
前記脅威情報データベースを参照し、前記アラート受信部で受信した前記アラートの種別情報に対応する脅威情報を特定する脅威情報特定部と、
前記脅威情報データベースを参照し、前記脅威情報特定部で特定した前記脅威情報に対応するインシデントレスポンス情報を特定するインシデントレスポンス情報特定部と、
前記脅威情報特定部で特定した前記脅威情報、および前記インシデントレスポンス情報特定部で特定した前記インシデントレスポンス情報を含む、前記制御システムのセキュリティ対策の支援情報を作成する支援情報作成部と、
前記支援情報作成部で作成した前記支援情報を出力する支援情報出力部と、
を有することを特徴とするセキュリティ対策支援装置。

【請求項2】

前記脅威情報データベースが、攻撃の戦略および戦術が纏められている既存のナレッジベースから前記制御システムのセキュリティ対策に必要な項目を絞り込むとともに、当該絞り込んだ各項目を新たにグループ化することで構築されたセキュリティ対策モデルに基づいて作成されていることを特徴とする請求項１に記載のセキュリティ対策支援装置。

【請求項3】

前記脅威情報データベースにおいて、前記アラートの種別情報に対して複数の脅威情報が紐づけられており、
前記脅威情報特定部が、前記脅威情報データベースを参照して、前記アラート受信部で受信した前記アラートの種別情報に対応する複数の脅威情報を特定し、
前記支援情報作成部が、前記脅威情報特定部で特定した前記複数の脅威情報を含む前記支援情報を作成することを特徴とする請求項１または２に記載のセキュリティ対策支援装置。

【請求項4】

前記脅威情報データベースにおいて、前記脅威情報に対して複数のインシデントレスポンス情報が紐づけられており、
前記インシデントレスポンス情報特定部が、前記脅威情報特定部で特定した前記脅威情報に対応する複数のインシデントレスポンス情報を特定し、
前記支援情報作成部が、前記インシデントレスポンス情報特定部で特定した前記複数のインシデントレスポンス情報を含む前記支援情報を作成することを特徴とする請求項１または２に記載のセキュリティ対策支援装置。

【請求項5】

前記脅威情報データベースにおいて、前記ネットワーク監視装置から受信し得るアラートの種別情報に対して、誤検知情報がさらに紐付けられており、
前記脅威情報データベースを参照して前記アラート受信部で受信した前記アラートの種別情報に対応する誤検知情報を特定する誤検知情報特定部を有し、
前記支援情報作成部が、前記誤検知情報特定部で特定した前記誤検知情報を含む前記支援情報を作成することを特徴とする請求項１または２に記載のセキュリティ対策支援装置。

【請求項6】

制御システムのセキュリティ対策を支援するセキュリティ対策支援装置で実行されるセキュリティ対策支援方法であって、
前記制御システムで送受信されるパケットを傍受して解析し、前記制御システムで発生した異常を検出して前記異常を通知するアラートを出力するように構成されたネットワーク監視装置から前記アラートを受信するアラート受信ステップと、
前記ネットワーク監視装置から受信し得るアラートの種別情報に対して、前記アラートに関連する脅威情報およびインシデントレスポンス情報が紐付けられた情報を格納する脅威情報データベースを参照し、前記アラート受信ステップで受信した前記アラートの種別情報に対応する脅威情報を特定する脅威情報特定ステップと、
前記脅威情報データベースを参照し、前記脅威情報特定ステップで特定した前記脅威情報に対応するインシデントレスポンス情報を特定するインシデントレスポンス情報特定ステップと、
前記脅威情報特定ステップで特定した前記脅威情報、および前記インシデントレスポンス情報特定ステップで特定した前記インシデントレスポンス情報を含む、前記制御システムのセキュリティ対策の支援情報を作成する支援情報作成ステップと、
前記支援情報作成ステップで作成した前記支援情報を出力する支援情報出力ステップと、
を有することを特徴とするセキュリティ対策支援方法。

【発明の詳細な説明】

【技術分野】

【0001】

本発明は、制御システムのセキュリティ対策を支援するセキュリティ対策支援装置およびセキュリティ対策支援方法に関する。

【背景技術】

【0002】

従来、社会インフラシステムや工場・プラント等の生産設備を制御する制御システム等のＩＣＳ（産業用制御システム：Ｉｎｄｕｓｔｒｉａｌ Ｃｏｎｔｒｏｌ Ｓｙｓｔｅｍ）は、外部のシステムと接続しない閉鎖的（クローズド）な構成であったため、外部からの攻撃等による脅威に曝されることはないと考えられていた。しかしながら、近年ではＩＣＳのオープン化が進められており、外部からの攻撃等の脅威に曝される可能性が高くなってきている。

【0003】

インターネット等の開放的（オープン）な環境で情報を取り扱う技術は、ＩＴ（情報技術：Ｉｎｆｏｒｍａｔｉｏｎ Ｔｅｃｈｎｏｌｏｇｙ）と呼ばれるのに対し、ＩＣＳ等の制御系の監視・運用技術は、ＯＴ（運用技術：Ｏｐｅｒａｔｉｏｎａｌ Ｔｅｃｈｎｏｌｏｇｙ）と呼ばれている。ＩＴ系とＯＴ系とは、その考え方に大きな違いがあり、ＩＴ系のセキュリティ対策をＩＣＳ等のＯＴシステムに適用することが望ましくない場合が存在する。例えば、ＩＴ系とＯＴ系との顕著な違いの１つとして、ＩＴ系では、情報の価値を重視してデータの機密性を優先にしたセキュリティ対策が行われるのに対し、ＯＴ系では、安全かつ安定した稼働を重視して制御システムの可用性を優先にしたセキュリティ対策が行われる点が挙げられる。なお、本明細書では、ＩＣＳを含むＯＴ系のシステムを「制御システム」と記載する。

【0004】

セキュリティに関しては、ＮＩＳＴ（米国国立標準技術研究所：Ｎａｔｉｏｎａｌ Ｉｎｓｔｉｔｕｔｅ ｏｆ Ｓｔａｎｄａｒｄｓ ａｎｄ Ｔｅｃｈｎｏｌｏｇｙ）やＩＰＡ（独立行政法人情報処理推進機構：Ｉｎｆｏｒｍａｔｉｏｎ－ｔｅｃｈｎｏｌｏｇｙ Ｐｒｏｍｏｔｉｏｎ Ａｇｅｎｃｙ）等の各団体がセキュリティ対策の推奨・参考としてガイドラインを公開しており、各企業がガイドラインを参考にしてセキュリティ対策を行うことが一般的である。ＯＴ系のセキュリティについても、上記の団体からガイドラインが公開されているが、ＩＴ系に比べてガイドラインへの認知度が低く、有識者も少ないため、ガイドラインに従ったセキュリティ対策が進んでいないのが現状である。

【0005】

また、米国ＭＩＴＲＥ社が提供するＡＴＴ＆ＣＫ（Ａｄｖｅｒｓａｒｉａｌ Ｔａｃｔｉｃｓ， Ｔｅｃｈｎｉｑｕｅｓ， ａｎｄ Ｃｏｍｍｏｎ Ｋｎｏｗｌｅｄｇｅ）（米国登録商標、以下同）には、実際に起こり得る攻撃の戦略（ｔａｃｔｉｃｓ）および戦術（ｔｅｃｈｎｉｑｕｅ）が纏められている。ＡＴＴ＆ＣＫにはＩＣＳに関する攻撃の戦略および戦術も纏められているが、ＡＴＴ＆ＣＫは、数多の攻撃を包括的に分類したナレッジベースとして纏めることを目的としているため、ＯＴ系のセキュリティ対策に適用するためには、必ずしも実用的ではないという課題がある。なお、本明細書では、特定の団体が公開または提供するガイドラインおよびナレッジベースを纏めて「ナレッジベース（ＫＢ：Ｋｎｏｗｌｅｄｇｅ Ｂａｓｅ）」または「既存のナレッジベース」と記載することがある。

【0006】

さらに、ＯＴ系の制御システムでは可用性が優先され、ログの収集による制御システムへの負荷を嫌う傾向があるため、ＩＴ系のシステムと比べて、外部からの攻撃による被害実態の調査を実施しにくいことも課題となっている。

【0007】

ＯＴ系の制御システムにおけるセキュリティ対策に係る技術としては、例えば下記の特許文献１に開示されている技術が知られている。特許文献１には、対象とするシステムに対し脅威を実現する複数の攻撃戦術と攻撃技術で構成される攻撃戦術／技術情報に対する評価点を算出し、この評価点に基づき、攻撃者の動きを模擬したサイバー攻撃シナリオを生成する技術が開示されている。

【先行技術文献】

【特許文献】

【0008】

【特許文献1】特開２０２２－７６１５９号公報

【発明の概要】

【発明が解決しようとする課題】

【0009】

セキュリティ対策のナレッジベースは、煩雑で理解しにくいものであり、制御システムのセキュリティ対策を行うためのシステムを構築および開発する際に大きなハードルとなっている。このため、煩雑で理解しにくいナレッジベースを容易に理解できるようにすることが望まれている。さらに、既存のナレッジベースには様々な攻撃戦術が包括的に含まれているものの実用性に欠けるため、外部からの攻撃を実際に検出した際に、既存のナレッジベースの知見を活用して外部からの攻撃に対するＩＲ（インシデントレスポンス：Ｉｎｃｉｄｅｎｔ Ｒｅｓｐｏｎｓｅ）を適切に提示できる実用的なシステムの開発が望まれている。

【0010】

本発明は、上記の課題に鑑みてなされたものであり、制御システムのセキュリティ対策を行うために、既存のナレッジベースに基づいて構築した新たなセキュリティ対策モデルを利用して制御システムを監視するとともに、制御システムの可用性を優先してセキュリティ対策を行うことを可能にするセキュリティ対策支援装置およびセキュリティ対策支援方法を提供することを目的とする。

【課題を解決するための手段】

【0011】

上記の目的を達成するため、本発明のセキュリティ対策支援装置は、制御システムのセキュリティ対策を支援するセキュリティ対策支援装置であって、前記制御システムで送受信されるパケットを傍受して解析し、前記制御システムで発生した異常を検出して前記異常を通知するアラートを出力するように構成されたネットワーク監視装置から前記アラートを受信するアラート受信部と、前記ネットワーク監視装置から受信し得るアラートの種別情報に対して、前記アラートに関連する脅威情報およびインシデントレスポンス情報が紐付けられた情報を格納する脅威情報データベースと、前記脅威情報データベースを参照し、前記アラート受信部で受信した前記アラートの種別情報に対応する脅威情報を特定する脅威情報特定部と、前記脅威情報データベースを参照し、前記脅威情報特定部で特定した前記脅威情報に対応するインシデントレスポンス情報を特定するインシデントレスポンス情報特定部と、前記脅威情報特定部で特定した前記脅威情報、および前記インシデントレスポンス情報特定部で特定した前記インシデントレスポンス情報を含む、前記制御システムのセキュリティ対策の支援情報を作成する支援情報作成部と、前記支援情報作成部で作成した前記支援情報を出力する支援情報出力部と、を有することを特徴とする。

【0012】

上記の構成によれば、制御システムで送受信されるパケットを傍受することで、制御システムの可用性を優先して制御システムの異常を検出し、異常発生の原因となった外部からの攻撃等の脅威を特定して、当該脅威に関する脅威情報、およびその対応策であるインシデントレスポンス情報を含む支援情報を作成して出力することができるようになる。

【0013】

本発明のセキュリティ対策支援装置は、上記の構成に加えて、前記脅威情報データベースが、攻撃の戦略および戦術が纏められている既存のナレッジベースから前記制御システムのセキュリティ対策に必要な項目を絞り込むとともに、当該絞り込んだ各項目を新たにグループ化することで構築されたセキュリティ対策モデルに基づいて作成されていてもよい。

【0014】

上記の構成によれば、煩雑で理解しにくい既存のナレッジベースを簡素化して、容易に理解可能な簡素化したセキュリティ対策モデルを構築することで、実際の制御システムの環境に応じて適切かつ実用的なセキュリティ対策システムを構築することができるようになる。また、本発明に係る独自のセキュリティ対策モデルの戦略および戦術を、ネットワークベースのセキュリティ対策に必要な範囲で既存のナレッジベースから限定的に抽出した戦略および戦術とマッピングすることで、理解が容易ではなく煩雑な既存のナレッジベースに対する理解の促進や、脅威に係る戦略、戦術、手順の基本的な知識の向上を支援し、担当者およびシステム開発者のスキル向上および人材育成、セキュリティ対策に係る技術開発の促進および品質向上に繋げることができるようになる。

【0015】

本発明のセキュリティ対策支援装置は、上記の構成に加えて、前記脅威情報データベースにおいて、前記アラートの種別情報に対して複数の脅威情報が紐づけられており、前記脅威情報特定部が、前記脅威情報データベースを参照して、前記アラート受信部で受信した前記アラートの種別情報に対応する複数の脅威情報を特定し、前記支援情報作成部が、前記脅威情報特定部で特定した前記複数の脅威情報を含む前記支援情報を作成してもよい。

【0016】

上記の構成によれば、アラートに対応して複数の脅威情報が存在する可能性がある場合であっても、当該複数の脅威情報を含む支援情報を作成することができ、制御システムに対して、複数の脅威情報を考慮したセキュリティ対策を適切に実施することができるようになる。

【0017】

本発明のセキュリティ対策支援装置は、上記の構成に加えて、前記脅威情報データベースにおいて、前記脅威情報に対して複数のインシデントレスポンス情報が紐づけられており、前記インシデントレスポンス情報特定部が、前記脅威情報特定部で特定した前記脅威情報に対応する複数のインシデントレスポンス情報を特定し、前記支援情報作成部が、前記インシデントレスポンス情報特定部で特定した前記複数のインシデントレスポンス情報を含む前記支援情報を作成してもよい。

【0018】

上記の構成によれば、外部からの攻撃等の脅威に対応して複数のインシデントレスポンス情報が存在する可能性がある場合であっても、当該複数のインシデントレスポンス情報を含む支援情報を作成することができ、制御システムに対して、複数のインシデントレスポンス情報を考慮したセキュリティ対策を適切に実施することができるようになる。

【0019】

本発明のセキュリティ対策支援装置は、上記の構成に加えて、前記脅威情報データベースにおいて、前記ネットワーク監視装置から受信し得るアラートの種別情報に対して、誤検知情報がさらに紐付けられており、前記脅威情報データベースを参照して前記アラート受信部で受信した前記アラートの種別情報に対応する誤検知情報を特定する誤検知情報特定部を有し、前記支援情報作成部が、前記誤検知情報特定部で特定した前記誤検知情報を含む前記支援情報を作成してもよい。

【0020】

上記の構成によれば、ネットワーク監視装置２００が外部からの攻撃等の脅威ではない制御システムの動作を当該脅威として誤検知する可能性がある場合であっても、当該誤検知に関する誤検知情報を含む支援情報を作成することができ、制御システム１０に対して、誤検知によるアラートの発報も考慮したセキュリティ対策を適切に実施することができるようになる。

【0021】

また、上記の目的を達成するため、本発明のセキュリティ対策支援方法は、制御システムのセキュリティ対策を支援するセキュリティ対策支援装置で実行されるセキュリティ対策支援方法であって、前記制御システムで送受信されるパケットを傍受して解析し、前記制御システムで発生した異常を検出して前記異常を通知するアラートを出力するように構成されたネットワーク監視装置から前記アラートを受信するアラート受信ステップと、前記ネットワーク監視装置から受信し得るアラートの種別情報に対して、前記アラートに関連する脅威情報およびインシデントレスポンス情報が紐付けられた情報を格納する脅威情報データベースを参照し、前記アラート受信ステップで受信した前記アラートの種別情報に対応する脅威情報を特定する脅威情報特定ステップと、前記脅威情報データベースを参照し、前記脅威情報特定ステップで特定した前記脅威情報に対応するインシデントレスポンス情報を特定するインシデントレスポンス情報特定ステップと、前記脅威情報特定ステップで特定した前記脅威情報、および前記インシデントレスポンス情報特定ステップで特定した前記インシデントレスポンス情報を含む、前記制御システムのセキュリティ対策の支援情報を作成する支援情報作成ステップと、前記支援情報作成ステップで作成した前記支援情報を出力する支援情報出力ステップと、を有することを特徴とする。

【0022】

上記の処理によれば、制御システムで送受信されるパケットを傍受することで、制御システムの可用性を優先して制御システムの異常を検出し、異常発生の原因となった外部からの攻撃等の脅威を特定して、当該脅威に関する脅威情報、およびその対応策であるインシデントレスポンス情報を含む支援情報を作成して出力することができるようになる。

【発明の効果】

【0023】

本発明によれば、制御システムで送受信されるパケットを傍受することで、制御システムの可用性を優先して制御システムの異常を検出し、異常発生の原因となった外部からの攻撃を特定して、当該攻撃に関する脅威情報およびインシデントレスポンス情報を出力することが可能なセキュリティ対策支援装置およびセキュリティ対策支援方法を提供することができる。

【図面の簡単な説明】

【0024】

【図1】本発明の実施形態で新たに構築されるキルチェーンモデルの概要を説明するための図である。

【図2】本発明の実施形態において、外部からの攻撃の監視対象となる制御システムの一例を示す図である。

【図3】図２に示す制御システムに配置されるネットワーク監視装置の機能の一例を示す機能ブロック図である。

【図4】本発明の実施形態におけるセキュリティ対策支援装置のハードウェア構成の一例を示す図である。

【図5】本発明の実施形態におけるセキュリティ対策支援装置の機能の一例を示す機能ブロック図である。

【図6】本発明の実施形態におけるセキュリティ対策支援装置が参照するアラート情報テーブルの一例を示す図である。

【図7】本発明の実施形態におけるセキュリティ対策支援装置が参照する脅威情報テーブルの一例を示す図である。

【図8】本発明の実施形態におけるセキュリティ対策支援装置が参照するＩＲ情報テーブルの一例を示す図である。

【図9】本発明の実施形態におけるセキュリティ対策支援装置が参照する誤検知情報テーブルの一例を示す図である。

【図10】本発明の実施形態におけるセキュリティ対策支援装置で実行されるセキュリティ対策の支援情報を作成する処理の一例を示すフローチャートである。

【図11】本発明の実施形態において作成されるセキュリティ対策の支援情報の第１の例を示す図である。

【図12】本発明の実施形態において作成されるセキュリティ対策の支援情報の第２の例を示す図である。

【図13】本発明の実施形態において作成されるセキュリティ対策の支援情報の第３の例を示す図である。

【図14】本発明の実施形態において作成されるセキュリティ対策の支援情報の第４の例を示す図である。

【図15】本発明の実施形態におけるセキュリティ対策支援装置で実行されるセキュリティ対策の支援情報を作成する処理の別例を示すフローチャートである。

【図16】本発明の実施形態において作成されるセキュリティ対策の支援情報（誤検知情報を含む）の一例を示す図である。

【発明を実施するための形態】

【0025】

以下、図面を参照しながら、本発明の実施形態におけるセキュリティ対策支援装置およびセキュリティ対策支援方法について説明する。

【0026】

（本発明に係る独自のセキュリティ対策モデル）
まず、図１を参照しながら、本発明の実施形態で新たに構築されるセキュリティ対策モデルの概要について説明する。図１は、本発明の実施形態で新たに構築されるセキュリティ対策モデルの概要を説明するための図である。なお、図１に示すセキュリティ対策モデルは一例であり、本発明において新たに構築されるセキュリティ対策モデルはこれに限定されるものではない。

【0027】

図１には、本実施形態において用いられるセキュリティ対策モデルの一例として、外部からの攻撃（脅威）の構造をモデル化したネットワークベースのキルチェーンモデルが図示されている。

【0028】

図１の左側には、本実施形態において用いられるセキュリティ対策モデルとして、ネットワークベースのキルチェーンモデルが図示されている。このキルチェーンモデルは、制御システムに対する攻撃に適用可能なように構築された新たなセキュリティ対策モデルであり、攻撃の戦略フェーズを「Ａｃｃｅｓｓ ｔｏ ＩＣＳ」、「Ｐｅｒｓｉｓｔｅｎｃｅ＆Ｃ２」、「Ｄｉｓｃｏｖｅｒｙ＆Ｃｏｌｌｅｃｔｉｏｎ」、「Ｌａｔｅｒａｌ Ｍｏｖｅｍｅｎｔ」、「ＩＣＳ Ａｔｔａｃｋ」の５個のフェーズに分類してモデル化したものである。

【0029】

各戦略フェーズは、攻撃の戦略を大まかに分類したものであり、各戦略フェーズには、詳細な戦術が属するように設定されている。具体的には、戦略フェーズ「Ａｃｃｅｓｓ ｔｏ ＩＣＳ」には、戦術「リモートサービス悪用」等が含まれている。戦略フェーズ「Ｐｅｒｓｉｓｔｅｎｃｅ＆Ｃ２」には、戦術「ファームウェアインストール」等が含まれている。戦略フェーズ「Ｄｉｓｃｏｖｅｒｙ＆Ｃｏｌｌｅｃｔｉｏｎ」には、戦術「デバイス・タグの特定」等が含まれている。戦略フェーズ「Ｌａｔｅｒａｌ Ｍｏｖｅｍｅｎｔ」には、戦術「デフォルトクレデンシャル」が含まれている。戦略フェーズ「ＩＣＳ Ａｔｔａｃｋ」には、戦術「サービス拒否（ＤｏＳ）攻撃」が含まれている。

【0030】

各戦略フェーズに属する戦術は、ＩＣＳに関する攻撃の戦術と戦略を纏めた既存のナレッジベース（例えば、ＡＴＴ＆ＣＫ ｆｏｒ ＩＣＳ）の戦略の一部とマッピングするように定義されている。具体的には、戦略フェーズ「Ａｃｃｅｓｓ ｔｏ ＩＣＳ」には、既存のナレッジベースの戦略フェーズ「Ｉｎｉｔｉａｌ Ａｃｃｅｓｓ」がマッピングされている。戦略フェーズ「Ｐｅｒｓｉｓｔｅｎｃｅ＆Ｃ２」には、既存のナレッジベースの戦略フェーズ「Ｐｅｒｓｉｓｔｅｎｃｅ」および「Ｃｏｍｍａｎｄ ａｎｄ Ｃｏｎｔｒｏｌ」がマッピングされている。戦略フェーズ「Ｄｉｓｃｏｖｅｒｙ＆Ｃｏｌｌｅｃｔｉｏｎ」には、既存のナレッジベースの戦略フェーズ「Ｄｉｓｃｏｖｅｒｙ」および「Ｃｏｌｌｅｃｔｉｏｎ」がマッピングされている。戦略フェーズ「Ｌａｔｅｒａｌ Ｍｏｖｅｍｅｎｔ」には、既存のナレッジベースの戦略フェーズ「Ｌａｔｅｒａｌ Ｍｏｖｅｍｅｎｔ」がマッピングされている。戦略フェーズ「ＩＣＳ Ａｔｔａｃｋ」には、既存のナレッジベースの戦略フェーズ「Ｉｎｈｉｂｉｔ Ｒｅｓｐｏｎｓｅ Ｆｕｎｃｔｉｏｎ」および「Ｉｍｐａｉｒ Ｐｒｏｃｅｓｓ Ｃｏｎｔｒｏｌ」がマッピングされている。

【0031】

既存のナレッジベースであるＡＴＴ＆ＣＫ ｆｏｒ ＩＣＳでは、１２個の戦略フェーズと各戦略フェーズに属する複数の戦術が定義されている。当該既存のナレッジベースは、あらゆる攻撃の戦略および戦術を包括的に整理することを目的としているため、実際の制御システムへの適用が容易ではない膨大かつ煩雑なものとなっている。

【0032】

一方、本実施形態において用いられるセキュリティ対策モデルは、上記の問題点を考慮して構築されたものであり、既存のナレッジベースで纏められた知見を活用して、既存のナレッジベースから必要な項目を絞り込むとともに、当該絞り込んだ各項目を新たにグループ化することで構築されたものである。

【0033】

制御システムに対する負荷軽減および制御システムの可用性を重視した場合、ネットワークのトラフィックを監視対象として制御システムの異常を検出するパッシブ型のネットワーク監視を行うことが好ましい。そのため、本実施形態において用いられるセキュリティ対策モデルは、膨大な情報を有する既存のナレッジベースの中からパッシブ型のネットワーク監視によるセキュリティ対策にとって必要な項目を絞り込んで構築されており、図１に示すように、既存のナレッジベースを構成する７個の戦略フェーズを絞り込んでマッピングを行っている。

【0034】

また、既存のナレッジベースは、戦略－戦術の組み合わせの精度が必ずしも十分なものではなく、特に実際の制御システムに適用するのは容易ではない状態となっている。このため、本実施形態において用いられるセキュリティ対策モデルでは、図１に示すように、既存のナレッジベースから絞り込んだ７個の戦略フェーズをさらに新たにグループ化することで、実際の制御システムへの適用に適したものとなるように再構成されている。例えば、既存のナレッジベースの戦略フェーズ「Ｉｎｈｉｂｉｔ Ｒｅｓｐｏｎｓｅ Ｆｕｃｔｉｏｎ」および「Ｉｍｐａｉｒ Ｐｒｏｃｅｓｓ Ｃｏｎｔｒｏｌ」は、新たにグループ化したうえで戦略フェーズ「ＩＣＳ Ａｔｔａｃｋ」にマッピングされている。

【0035】

上記のように、既存のナレッジベースをそのまま使用せず、本発明に係る独自のセキュリティ対策モデルを構築して、実際の制御システムへの適用に適したセキュリティ対策モデルを構築することで、制御システムのセキュリティ対策を行うことが可能となる。さらに、本発明に係る独自のセキュリティ対策モデルの戦略および戦術を、ネットワークベースのセキュリティ対策に必要な範囲で既存のナレッジベースから限定的に抽出した戦略および戦術とマッピングすることで、理解が容易ではなく煩雑な既存のナレッジベースに対する理解の促進や、脅威に係る戦略、戦術、手順の基本的な知識の向上を支援し、担当者およびシステム開発者のスキル向上および人材育成、セキュリティ対策に係る技術開発の促進および品質向上に繋げることが可能となる。

【0036】

（本発明に係る監視対象の制御システム）
本発明の実施形態において、外部からの攻撃の監視対象となる制御システムについて説明する。図２は、本発明の実施形態において、外部からの攻撃の監視対象となる制御システム１０の一例を示す図である。なお、図２に示す制御システム１０は一例であり、外部からの攻撃の監視対象となる制御システムの構成はこれに限定されるものではない。

【0037】

図２に示す制御システム１０には、フィールドデバイス２０が設けられている。フィールドデバイス２０は、工場等の生産設備において多数の場所に導入されている機器であり、例えばセンサおよびアクチュエータ等が含まれる。フィールドデバイス２０は、当該フィールドデバイス２０の監視、分析および制御を行うＰＬＣ（プログラマブルロジックコントローラ：Ｐｒｏｇｒａｍｍａｂｌｅ Ｌｏｇｉｃ Ｃｏｎｔｒｏｌｌｅｒ）３０、ＲＴＵ（遠隔端末装置：Ｒｅｍｏｔｅ Ｔｅｒｍｉｎａｌ Ｕｎｉｔ）４０等に接続されている。

【0038】

さらにＰＬＣ３０、ＲＴＵ４０等は、ＳＣＡＤＡ（スキャダ：Ｓｕｐｅｒｖｉｓｏｒｙ Ｃｏｎｔｒｏｌ Ａｎｄ Ｄａｔａ Ａｃｑｕｉｓｉｔｉｏｎ）５０に接続されている。ＳＣＡＤＡ５０は、システム監視およびプロセス制御を行うコンピュータである。ＳＣＡＤＡ５０にはＨＭＩ（ヒューマンマシンインタフェース：Ｈｕｍａｎ Ｍａｃｈｉｎｅ Ｉｎｔｅｒｆａｃｅ）が接続され、ＨＭＩにおいてＳＣＡＤＡ５０によって処理されたデータを表示し、オペレータがＰＬＣ３０、ＲＴＵ４０等を監視および制御できるように構成されていてもよい。ＳＣＡＤＡ５０は、各作業システム（作業単位）の監視および制御を行うために各作業システムに設けられていてもよい。また、ＤＣＳ（分散制御システム：Ｄｉｓｔｒｉｂｕｔｅｄ Ｃｏｎｔｒｏｌ Ｓｙｓｔｅｍ）によって各作業システムの監視および制御が行われてもよい。

【0039】

図２に示す制御システム１０には、ＳＣＡＤＡ５０とＩＴネットワーク１００との境界にファイアウォール６０が設けられている。図２では図示簡略化しているが、ファイアウォール６０の上位または下位に制御系情報ネットワークや制御系ＤＭＺ（非武装地帯：ＤｅＭｉｌｉｔａｒｉｚｅｄ Ｚｏｎｅ）が配置されていてもよい。図２に示すファイアウォール６０は、制御システム１０内のＯＴ系のネットワークと制御システム１０外のＩＴネットワーク１００との境界に位置している。

【0040】

図２に示す制御システム１０には、ネットワーク監視装置２００が設けられている。ネットワーク監視装置２００は、制御システム１０のトラフィックを監視して、制御システム１０において送受信されるパケット（フレームを含む）を傍受し、傍受したパケットから制御システム１０の異常を検出した場合には、アラートを発報（送信）するように構成されている。ネットワーク監視装置２００は、制御システム１０内で送受信されるパケット、または外部のＩＴネットワーク１００と制御システム１０との間で送受信されるパケットを傍受できるように配置される。

【0041】

ネットワーク監視装置２００の配置位置は特に限定されず、制御システム１０に配置された任意の機器（ノード）間を繋ぐ通信回線（リンク）に接続して、当該通信回線を流れるパケットを傍受できるようになっていればよい。また、ネットワーク監視装置２００の台数も特に限定されず、１台であってもよく、複数台であってもよい。図２に示す制御システム１０では、一例として、ＰＬＣ３０またはＲＴＵ４０とＳＣＡＤＡ５０との間で送受信されるパケットを傍受できる位置、およびファイアウォール６０を通過するパケットを傍受できる位置に配置されている。

【0042】

図２に示す制御システム１０には、セキュリティ対策支援装置３００が設けられている。セキュリティ対策支援装置３００は、１台または複数台のネットワーク監視装置２００が発報したアラートを受信できるように構成されている。ネットワーク監視装置２００とセキュリティ対策支援装置３００とは直接接続されていてもよく、制御システム１０内のＯＴ系のネットワークまたは制御システム１０外のＩＴネットワーク１００を介して接続されていてもよい。また、制御システム１０に配置されたコントローラが、ネットワーク監視装置２００が発報したアラートを受信し、受信したアラートをセキュリティ対策支援装置３００に転送してもよい。

【0043】

（ネットワーク監視装置）
制御システム１０に配置されるネットワーク監視装置２００について説明する。図３は、図２に示す制御システム１０に配置されるネットワーク監視装置２００の機能の一例を示す機能ブロック図である。なお、本発明で用いるネットワーク監視装置２００は、制御システム１０の異常を検出してアラートを発報する既存のネットワーク監視装置であってよく、図３に示す構成に限定されるものではない。

【0044】

図３に示すネットワーク監視装置２００は、通信部２１０、ネットワークアナライザ２２０、異常検出部２３０を備えて構成されている。

【0045】

通信部２１０は、制御システム１０の所望の通信回線に接続可能なように構成されており、通信回線を流れるパケットを傍受できるようになっている。また、通信部２１０は、アラート生成部２３４で生成されたアラートを特定の装置（本実施形態ではセキュリティ対策支援装置３００）に対して送信できるようになっている。

【0046】

ネットワークアナライザ２２０は、通信部２１０で傍受したパケットを解析する機能を有する。ネットワークアナライザ２２０は、傍受したパケットのヘッダ部およびデータ部のみならず、カプセル化されたパケットに含まれるヘッダ部およびデータ部も解析し、すべてのプロトコルに含まれる各フィールドの属性から情報を抽出できるように構成されている。

【0047】

異常検出部２３０は、ネットワークアナライザ２２０によりパケットから抽出した情報に基づいて、制御システム１０において発生した異常を検出し、異常を検出した場合にアラートを発報する機能を有する。

【0048】

異常検出部２３０は、一例として、学習部２３１、リンク情報格納部２３２、比較部２３３、アラート生成部２３４を備えて構成されている。

【0049】

学習部２３１は、ネットワークアナライザ２２０によりパケットから抽出した情報に基づいて、制御システム１０における動作を学習する機能を有する。学習部２３１は、制御システム１０の正常時の動作を事前に学習し、その学習結果をリンク情報として出力する。

【0050】

リンク情報格納部２３２は、学習部２３１が出力したリンク情報を格納するための記憶媒体である。リンク情報は、学習部２３１による学習結果を含んだ情報であり、制御システム１０の正常時の動作を規定するものである。リンク情報には、制御システム１０において送受信される各パケットによって定義されるリンク（ノードおよびアーク）、および各リンク間で送受信されるすべてのプロトコルに含まれる各フィールドの属性に関連する情報が含まれている。

【0051】

比較部２３３は、ネットワークアナライザ２２０によりパケットから抽出した情報と、リンク情報格納部２３２に格納されているリンク情報とを比較し、制御システム１０において異常な動作が発生しているか否かを検出する機能を有する。比較部２３３は、例えば、傍受したパケットのすべてのプロトコルに含まれる各フィールドの属性に関連する情報をリンク情報と比較して、正常時には見られない情報が含まれている場合や、通信の頻度が所定の閾値を超えた場合等に、制御システム１０において異常な動作が発生していると判断する。比較部２３３は、制御システム１０において異常な動作が発生していることを検出した場合には、その旨をアラート生成部２３４に通知する。

【0052】

アラート生成部２３４は、比較部２３３から制御システム１０において異常な動作が発生している旨の通知を受けた場合に、アラートを生成する機能を有する。アラート生成部２３４は、検出した異常に対応した識別子が含まれるようにアラートを生成することができる。すなわち、アラート生成部２３４が生成したアラートには、制御システム１０において発生した異常な動作を識別するための識別子が含まれ、アラートに含まれる識別子を参照することで、どのような異常が検出されたかを特定することができるようになっている。また、アラート生成部２３４は、制御システム１０において発生した異常な動作のリスクの程度を示すセキュリティプロファイル情報（例えば「高」、「中」、「低」等）をアラートに含ませることができるようになっていてもよい。

【0053】

（セキュリティ対策支援装置のハードウェア構成）
図２に示す制御システム１０に配置されるセキュリティ対策支援装置３００について説明する。図４は、本発明の実施形態におけるセキュリティ対策支援装置３００のハードウェア構成の一例を示す図である。本発明に係るセキュリティ対策支援装置のハードウェア構成は、図４に示す構成に限定されるものではない。

【0054】

図４に示すように、セキュリティ対策支援装置３００は、一例として、プロセッサ３１０、メモリ３２０、通信部３３０、操作入力部３４０、モニタ３５０、ストレージ３６０を有しており、各構成要素がバス３０５を介して接続された構成となっている。

【0055】

プロセッサ３１０は、データの演算や処理制御を行う機能を有する。プロセッサ３１０は、例えばＣＰＵ（中央演算処理装置：Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）、特定の目的に特化したデータ処理を行うＤＳＰ（デジタル信号プロセッサ：Ｄｉｇｉｔａｌ Ｓｉｇｎａｌ Ｐｒｏｃｅｓｓｏｒ）またはＧＰＵ（グラフィックスプロセッシングユニット：Ｇｒａｐｈｉｃｓ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）等により構成されていてもよい。

【0056】

メモリ３２０は、セキュリティ対策支援装置３００で実行されるプログラムや処理対象データを一時的に記憶する揮発性メモリである。メモリ３２０は、例えばＲＡＭ（ランダムアクセスメモリ：Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）等の主記憶装置である。

【0057】

通信部３３０は、セキュリティ対策支援装置３００が他の装置と通信を行うための機能を有する。図２に示す制御システム１０では、セキュリティ対策支援装置３００は、ネットワーク監視装置２００が発報したアラートを通信部３３０により受信できるように構成されている。また、セキュリティ対策支援装置３００は、通信部３３０を介して、セキュリティ対策支援情報を所定の装置へ送信できるように構成されていてもよい。

【0058】

操作入力部３４０は、ユーザからの情報の入力を受け付ける機能を有しており、例えばマウスおよびキーボード等の入力デバイスを表している。また、モニタ３５０は、ユーザに対して視覚的な情報の出力を行う機能を有しており、表示画面を備えている。セキュリティ対策支援装置３００は、操作入力部３４０を用いてユーザから入力された情報に基づいて、セキュリティ対策支援装置３００に係る様々な設定を行うことができるようになっている。また、セキュリティ対策支援装置３００は、アラートの受信によって作成されたセキュリティ対策の支援情報を表示画面に表示できるように構成されていてもよい。なお、操作入力部３４０およびモニタ３５０は、それぞれの機能が一体化したタッチパネル型ディスプレイであってもよい。また、セキュリティ対策支援装置３００は、モニタ３５０を通じて情報を視覚的に表示出力するだけでなく、図示せぬプリンタ等を通じて、紙媒体に情報を印刷出力できるように構成されていてもよい。

【0059】

ストレージ３６０は、例えば、ＨＤＤ（ハードディスクドライブ：Ｈａｒｄ Ｄｉｓｋ Ｄｒｉｖｅ）等の磁気ディスク、ＳＳＤ（ソリッドステートドライブ：Ｓｏｌｉｄ Ｓｔａｔｅ Ｄｒｉｖｅ）等の半導体メモリ、光磁気ディスクならびに光ディスク等により実現される補助記憶装置である。

【0060】

ストレージ３６０は、例えばセキュリティ対策支援装置３００とは別体のネットワークストレージ装置やデータベース管理装置に配置されていてもよい。本実施形態におけるストレージ３６０は、セキュリティ対策支援装置３００がアクセス可能な任意のデータ記憶装置を包含するものである。

【0061】

ストレージ３６０は、所望の処理手順がプログラム命令として記述されたプログラムやデータを記憶することができるようになっている。例えば図４に示すように、ストレージ３６０には、セキュリティ対策に係る支援情報を作成するアラート処理プログラム３７０、支援情報を出力する支援情報出力プログラム３８０等の各種プログラムが格納されている。プロセッサ３１０は、ストレージ３６０から各種プログラムを適宜読み出してメモリ３２０上に展開し、プログラム命令を実行することで、各プログラムに対応する機能をセキュリティ対策支援装置３００において実現できるようになっている。

【0062】

本発明に係る各種プログラムは、それぞれ独立して存在してもよく、各種プログラムが連携または一体化したプログラムとして存在してもよい。図４では、アラート処理プログラム３７０が、ネットワーク監視装置２００から受信したアラートを解析して当該アラートを特定するアラート解析プログラム３７１、アラートに対応した脅威情報を特定する脅威情報特定プログラム３７２、脅威情報に対応したＩＲ情報を特定するＩＲ情報特定プログラム３７３、アラートに対応した誤検知情報を特定する誤検知情報特定プログラム３７４、出力するデータの整形および加工を行う支援情報作成プログラム３７５を一体に包含したプログラムとして表されている。

【0063】

さらに、ストレージ３６０には、セキュリティ対策の支援情報を作成する際に参照される脅威情報データベース３９０が格納されている。脅威情報データベース３９０は、例えばデータをテーブル形式で格納および管理しており、アラート情報テーブル３９１、脅威情報テーブル３９２、ＩＲ情報テーブル３９３、誤検知情報テーブル３９４により構成されている。脅威情報データベース３９０の各種テーブルの詳細については後述する。

【0064】

また、ストレージ３６０には、上記以外の様々なプログラムや様々なデータが格納されてもよい。一例として、ストレージ３６０には、セキュリティ対策支援装置３００の動作に必要なオペレーションシステムプログラム等の様々なプログラムや、セキュリティ対策支援装置３００の通信設定または動作設定を定義する設定情報等が格納されていてもよい。

【0065】

（セキュリティ対策支援装置の機能）
図４に示すセキュリティ対策支援装置３００の機能について説明する。図５は、本実施形態におけるセキュリティ対策支援装置３００の機能の一例を示す機能ブロック図である。本発明に係るセキュリティ対策支援装置の機能は、図５に示す構成に限定されるものではない。

【0066】

図５に示すセキュリティ対策支援装置３００は、アラート受信部４１０、アラート処理部４２０、支援情報出力部４３０、脅威情報データベース３９０を備えて構成されている。

【0067】

アラート受信部４１０は、ネットワーク監視装置２００が発報したアラートを受信する機能を有する。アラート受信部４１０は、図４に示す通信部３３０に対応する。

【0068】

アラート処理部４２０は、アラート受信部４１０で受信したアラートに基づいて、セキュリティ対策の支援情報を作成する機能を有する。アラート処理部４２０は、プロセッサ３１０がストレージ３６０からアラート処理プログラム３７０を適宜読み出してメモリ３２０上に展開し、プログラム命令を実行することで実現される。

【0069】

アラート処理部４２０は、アラート解析部４２１、脅威情報特定部４２２、ＩＲ情報特定部４２３、誤検知情報特定部４２４、支援情報作成部４２５を備えて構成されている。

【0070】

アラート解析部４２１は、アラート受信部４１０で受信したアラートを解析し、事前に設定されているアラートに含まれている識別子とアラートの種別の対応表等を参照して、アラートの種別を特定する機能を有する。また、アラート解析部４２１は、アラート情報テーブル３９１を参照して、特定したアラートの種別に対応するレコードを読み出してメモリ３２０に格納するとともに、アラート情報テーブル３９１から読み出したレコードに紐づけられている脅威識別情報を脅威情報特定部４２２に通知する機能を有する。なお、また、制御システム１０において発生した異常な動作のリスクの程度を示すセキュリティプロファイル情報がアラートに含まれている場合には、所定の程度以上のリスク（例えば「高」）のみを示すアラートに限定して処理を行うようにしてもよい。

【0071】

さらに、アラート解析部４２１は、アラート情報テーブル３９１から読み出したレコードに紐づけられている誤検知識別情報を誤検知情報特定部４２４に通知する機能を有していてもよい。アラート解析部４２１は、プロセッサ３１０がストレージ３６０からアラート解析プログラム３７１を適宜読み出してメモリ３２０上に展開し、プログラム命令を実行することで実現される。

【0072】

脅威情報特定部４２２は、脅威情報テーブル３９２を参照して、アラート解析部４２１から通知された脅威識別情報に対応するレコードを読み出してメモリ３２０に格納するとともに、脅威情報テーブル３９２から読み出したレコードに紐づけられているＩＲ識別情報をＩＲ情報特定部４２３に通知する機能を有する。脅威情報特定部４２２は、プロセッサ３１０がストレージ３６０から脅威情報特定プログラム３７２を適宜読み出してメモリ３２０上に展開し、プログラム命令を実行することで実現される。

【0073】

ＩＲ情報特定部４２３は、ＩＲ情報テーブル３９３を参照して、脅威情報特定部４２２から通知されたＩＲ識別情報に対応するレコードを読み出してメモリ３２０に格納する機能を有する。ＩＲ情報特定部４２３は、プロセッサ３１０がストレージ３６０からＩＲ情報特定プログラム３７３を適宜読み出してメモリ３２０上に展開し、プログラム命令を実行することで実現される。

【0074】

誤検知情報特定部４２４は、誤検知情報テーブル３９４を参照して、アラート解析部４２１から通知された誤検知識別情報に対応するレコードを読み出してメモリ３２０に格納する機能を有する。誤検知情報特定部４２４は、プロセッサ３１０がストレージ３６０から誤検知情報特定プログラム３７４を適宜読み出してメモリ３２０上に展開し、プログラム命令を実行することで実現される。

【0075】

支援情報作成部４２５は、アラート解析部４２１がアラート情報テーブル３９１から読み出したレコード、脅威情報特定部４２２が脅威情報テーブル３９２から読み出したレコード、ＩＲ情報特定部４２３がＩＲ情報テーブル３９３から読み出したレコードをメモリ３２０から取得し、必要な情報を適宜抽出して整形および加工して、セキュリティ対策の支援情報を作成する機能を有する。また、支援情報作成部４２５は、誤検知情報特定部４２４が誤検知情報テーブル３９４から読み出したレコードをメモリ３２０から取得し、必要な情報を適宜抽出してセキュリティ対策の支援情報に含ませてもよい。支援情報作成部４２５は、プロセッサ３１０がストレージ３６０から支援情報作成プログラム３７５を適宜読み出してメモリ３２０上に展開し、プログラム命令を実行することで実現される。

【0076】

支援情報出力部４３０は、支援情報作成部４２５で作成された支援情報を出力する機能を有する。支援情報出力部４３０は、例えばセキュリティ対策支援装置３００のモニタ３５０に支援情報を表示出力してもよく、セキュリティ対策支援装置３００に接続されたプリンタ等から紙媒体として支援情報を印刷出力してもよく、あるいは、通信部３３０を介して他の装置に支援情報を送信してもよい。支援情報出力部４３０は、プロセッサ３１０がストレージ３６０から支援情報出力プログラム３８０を適宜読み出してメモリ３２０上に展開し、プログラム命令を実行することで実現される。

【0077】

次に、本実施形態におけるセキュリティ対策支援装置３００が参照するアラート情報テーブル３９１、脅威情報テーブル３９２、ＩＲ情報テーブル３９３、誤検知情報テーブル３９４について説明する。

【0078】

（アラート情報テーブル）
図６は、本実施形態におけるセキュリティ対策支援装置３００が参照するアラート情報テーブル３９１の一例を示す図である。図６に示すアラート情報テーブル３９１は、各アラートに対応したアラート情報を各レコード（行）に含み、各アラートに関する各種情報を各カラム（列）に含むテーブルにより構成されている。図６には、アラート情報テーブル３９１のレコードの一部のみが図示されている。

【0079】

アラート情報テーブル３９１には、一例として、アラート種別カラム３９１ａ（図６中のＴｙｐｅ＿ＩＤ）、アラート名称カラム３９１ｂ（図６中のＮａｍｅ）、アラート詳細カラム３９１ｃ（図６中のＤｅｔａｉｌ）、誤検知識別カラム３９１ｄ（図６中のＦａｌｓｅ＿Ｐｏｓｉｔｉｖｅ）、脅威識別カラム３９１ｅ（図６中のＴｈｒｅａｔ）が設定されている。ただし、図６に示すアラート情報テーブル３９１に設定されたカラムは一例であり、これに限定されるものではない。

【0080】

アラート種別カラム３９１ａは、アラートの種別を示すアラート種別情報を格納するための欄である。アラート種別情報は、アラートの種別に対応づけられており、アラートの種別を一意に識別可能とする識別情報である。

【0081】

ネットワーク監視装置２００は、外部からの攻撃と判断し得る制御システム１０の異常な動作を検出すると、当該攻撃を識別する識別子を含むアラートを発報する。アラート種別情報はアラートに含まれる識別子に対応しており、アラート解析部４２１は、受信したアラートに含まれる識別子からアラートの種別を特定して、当該受信したアラートに関するアラート種別情報を含むレコードを特定できるようになっている。なお、アラート情報テーブル３９１に、アラート種別情報とともにアラートに含まれる識別子が格納されており、受信したアラートに含まれる識別子から当該受信したアラートに関する情報を含むレコード（行）を特定できるようになっていてもよい。

【0082】

アラート名称カラム３９１ｂは、アラートの名称を示す情報を格納するための欄であり、アラート詳細カラム３９１ｃは、アラートの具体的な内容を示すアラートの詳細情報を格納するための欄である。アラート名称情報およびアラート詳細情報は、アラートがどのような名称で表されるものであり、具体的にどのような攻撃が検出された際に送信されるものであるかを示す情報である。

【0083】

誤検知識別カラム３９１ｄは、誤検知識別情報を格納するための欄である。誤検知識別情報は、外部からの攻撃に起因しない制御システム１０の動作を、外部からの攻撃として誤って検知した場合（誤検知）に対応づけられており、誤検知を一意に識別可能とする識別情報である。これにより、誤検知情報特定部４２４は、誤検知情報テーブル３９４内のレコード（行）を特定できるようになっている。ここでは、誤検知識別情報は、メイン識別情報およびサブ識別情報により構成されており、「メイン識別情報」－「サブ識別情報」の形式で表記されている。なお、１つの誤検知識別情報が格納されてもよく。複数の誤検知識別情報が格納されてもよい。

【0084】

ネットワーク監視装置２００は、制御システム１０で発生した異常な動作を外部からの攻撃等の脅威として特定してアラートを発報するようになっているが、制御システム１０で発生した異常な動作が実際には外部からの攻撃に起因するものではない場合であっても、これを脅威として誤検出しアラートを発報してしまう場合がある。ネットワーク監視装置２００が、どのような事象を脅威として誤検知してしまうかはある程度パターン化されているため、各アラートと、各アラートが発報されてしまう可能性のある誤検知とを紐づけることができる。

【0085】

脅威識別カラム３９１ｅは、アラート発報のトリガーとなった外部からの攻撃に対応づけられた脅威識別情報を格納するための欄である。脅威識別情報は、外部からの攻撃に対応づけられており、当該攻撃を一意に識別可能とする識別情報であり、これにより、脅威情報特定部４２２は、脅威情報テーブル３９２内のレコード（行）を特定できるようになっている。ここでは、脅威識別情報は、メイン識別情報およびサブ識別情報により構成されており、「メイン識別情報」－「サブ識別情報」の形式で表記されている。なお、１つの脅威識別情報が格納されてもよく。複数の脅威識別情報が格納されてもよい。

【0086】

（脅威情報テーブル）
図７は、本実施形態におけるセキュリティ対策支援装置３００が参照する脅威情報テーブル３９２の一例を示す図である。図７に示す脅威情報テーブル３９２は、各攻撃に対応した脅威情報を各レコード（行）に含み、各攻撃に関する各種情報を各カラム（列）に含むテーブルにより構成されている。図７には、脅威情報テーブル３９２のレコードの一部のみが図示されている。

【0087】

脅威情報テーブル３９２には、一例として、脅威分類カラム３９２ａ（図７中のＣａｔｅｇｏｒｙ）、脅威識別カラム３９２ｂ（図７中のＭａｉｎ＿ＩＤ、Ｓｕｂ＿ＩＤ）、ナレッジベース識別カラム３９２ｃ（図７中のＫＢ＿ＩＤ）、ナレッジベース名称カラム３９２ｄ（図７中のＮａｍｅ）、脅威内容カラム３９２ｅ（図７中のＣｏｎｔｅｎｔｓ）、リンクカラム３９２ｆ（図７中のＵＲＬ）、ＩＲ識別カラム３９２ｇ（図７中のＩＲ＿ＩＤ）が設定されている。ただし、図７に示す脅威情報テーブル３９２に設定されたカラムは一例であり、これに限定されるものではない。

【0088】

脅威分類カラム３９２ａは、外部からの攻撃の分類を示す脅威分類情報を格納するための欄である。脅威分類情報は、外部からの攻撃が新たに構築されたキルチェーンモデルのどの戦略フェーズに対応しているかを示す情報であり、脅威分類情報として、当該キルチェーンモデルの戦略フェーズの名称情報を用いることができる。

【0089】

脅威識別カラム３９２ｂは、アラート発報のトリガーとなった外部からの攻撃を分類するための脅威識別情報を格納するための欄である。脅威識別情報は、外部からの攻撃に対応づけられており、当該攻撃を一意に識別可能とする識別情報である。ここでは、脅威識別情報は、メイン識別情報およびサブ識別情報により構成されている。脅威識別情報は、アラート情報テーブル３９１の脅威識別カラム３９１ｅにも格納されており、アラート情報テーブル３９１内のアラート情報から、脅威情報特定部４２２が、脅威情報テーブル３９２内のレコード（行）を特定できるようになっている。

【0090】

ナレッジベース識別カラム３９２ｃは、既存のナレッジベースの戦術を識別するナレッジベース識別情報を格納するための欄である。ナレッジベース識別情報は、外部からの攻撃が既存のナレッジベースのどの戦術に対応しているかを示す情報である。また、ナレッジベース名称カラム３９２ｄは、対応する既存のナレッジベースの戦術の具体的な名称情報を格納するための欄であり、リンクカラム３９２ｆは、対応する既存のナレッジベースの戦術の詳細が記載されたウェブページへのリンク情報を格納するための欄である。新たに構築されたキルチェーンモデルの脅威分類情報と、ナレッジベース識別情報、ナレッジベースの戦術の名称情報およびリンク情報が同一のレコードに関連付けられて格納されていることで、新たに構築されたキルチェーンモデルの戦略および戦術と、既存のナレッジベースの戦略および戦術との対応関係が把握できるようになっている。

【0091】

脅威内容カラム３９２ｅは、外部からの攻撃の具体的な内容を示す脅威内容情報を格納するための欄である。脅威内容情報は、外部からの攻撃が具体的にどのようなものであるかを示す情報である。

【0092】

ＩＲ識別カラム３９２ｇは、外部からの攻撃への対策であるＩＲ（インシデントレスポンス）を示すＩＲ識別情報を格納するための欄である。ＩＲ識別情報は、ＩＲに対応付けられており、当該ＩＲを一意に識別可能とする識別情報であり、これにより、ＩＲ情報特定部４２３は、ＩＲ情報テーブル３９３内のレコード（行）を特定できるようになっている。ここでは、ＩＲ識別情報は、メイン識別情報およびサブ識別情報により構成されており、「メイン識別情報」－「サブ識別情報」の形式で表記されている。なお、１つのＩＲ識別情報が格納されてもよく。複数のＩＲ識別情報が格納されてもよい。

【0093】

（ＩＲ情報テーブル）
図８は、本実施形態におけるセキュリティ対策支援装置３００が参照するＩＲ情報テーブル３９３の一例を示す図である。図８に示すＩＲ情報テーブル３９３は、各攻撃に対応したＩＲ情報を各レコード（行）に含み、各ＩＲに関する各種情報を各カラム（列）に含むテーブルにより構成されている。図８には、ＩＲ情報テーブル３９３のレコードの一部のみが図示されている。

【0094】

ＩＲ情報テーブル３９３には、一例として、ＩＲ分類カラム３９３ａ（図８中のＣａｔｅｇｏｒｙ）、ＩＲ識別カラム３９３ｂ（図８中のＭａｉｎ＿ＩＤ、Ｓｕｂ＿ＩＤ）、ＩＲ技術カラム３９３ｃ（図８中のＴｅｃｈｎｉｑｕｅ）、ＩＲ手順カラム３９３ｄ（図８中のＰｒｏｃｅｄｕｒｅ）が設定されている。ただし、図８に示すＩＲ情報テーブル３９３に設定されたカラムは一例であり、これに限定されるものではない。

【0095】

ＩＲ分類カラム３９３ａは、ＩＲの分類を示すＩＲ分類情報を格納するための欄である。ＩＲ分類情報は、例えばＩＲの概要を示す情報である。

【0096】

ＩＲ識別カラム３９３ｂは、外部からの攻撃に対して実施するＩＲに対応付けられており、当該ＩＲを一意に識別可能とするＩＲ識別情報を格納するための欄である。ここでは、ＩＲ識別情報は、メイン識別情報およびサブ識別情報により構成されている。ＩＲ識別情報は、脅威情報テーブル３９２のＩＲ識別カラム３９２ｇにも格納されており、脅威情報テーブル３９２内の脅威情報から、ＩＲ情報テーブル３９３内のレコード（行）を特定できるようになっている。

【0097】

ＩＲ技術カラム３９３ｃは、外部からの攻撃に対応するための技術に関するＩＲ技術情報を格納するための欄である。ＩＲ手順カラム３９３ｄは、外部からの攻撃に対応するための具体的なＩＲ手順情報を格納するための欄である。ＩＲ技術情報およびＩＲ手順情報は、外部からの攻撃に対応するための具体的な技術および手順に関する情報である。

【0098】

（誤検知情報テーブル）
図９は、本実施形態におけるセキュリティ対策支援装置３００が参照する誤検知情報テーブル３９４の一例を示す図である。図９に示す誤検知情報テーブル３９４は、各誤検知に対応した誤検知情報を各レコード（行）に含み、各誤検知に関する各種情報を各カラム（列）に含むテーブルにより構成されている。図９には、誤検知情報テーブル３９４のレコードの一部のみが図示されている。

【0099】

誤検知情報テーブル３９４には、一例として、誤検知分類カラム３９４ａ（図９中のＣａｔｅｇｏｒｙ）、誤検知識別カラム３９４ｂ（図９中のＭａｉｎ＿ＩＤ、Ｓｕｂ＿ＩＤ）、誤検知内容カラム３９４ｃ（図９中のＣｏｎｔｅｎｔｓ）が設定されている。ただし、図９に示す誤検知情報テーブル３９４に設定されたカラムは一例であり、これに限定されるものではない。

【0100】

誤検知分類カラム３９４ａは、誤検知の分類を示す誤検知分類情報を格納するための欄である。誤検知分類情報は、例えば、誤検知のトリガーとなった動作（誤設定、誤動作、メンテナンス等）に関する情報である。

【0101】

誤検知識別カラム３９４ｂは、誤検知に対応づけられており、誤検知を一意に識別可能とする誤検知識別情報を格納するための欄である。ここでは、誤検知識別情報は、メイン識別情報およびサブ識別情報により構成されている。誤検知識別情報は、アラート情報テーブル３９１の誤検知識別カラム３９１ｄにも格納されており、アラート情報テーブル３９１内の誤検知識別情報から、誤検知情報テーブル３９４内のレコード（行）を特定できるようになっている。

【0102】

誤検知内容カラム３９４ｃは、誤検知の具体的な内容を示す誤検知内容情報を格納するための欄である。誤検知内容情報は、誤検知が具体的にどのようなものであるかを示す情報である。

【0103】

（セキュリティ対策の支援情報の作成処理）
以下、本実施形態におけるセキュリティ対策支援装置３００で実行されるセキュリティ対策の支援情報を作成する処理について説明する。図１０は、本実施形態におけるセキュリティ対策支援装置３００で実行されるセキュリティ対策の支援情報を作成する処理の一例を示すフローチャートである。

【0104】

セキュリティ対策支援装置３００のアラート受信部４１０は、ネットワーク監視装置２００からアラートを受信すると、受信したアラートをアラート解析部４２１に供給する。図１０において、アラート解析部４２１は、ネットワーク監視装置２００が発報したアラートに含まれる識別子からアラートの種別情報を特定する（ステップＳ１０１）。

【0105】

アラート解析部４２１は、アラート情報テーブル３９１を参照して、ステップＳ１０１で特定したアラート種別情報に係るレコードを特定し、そのレコードの情報を読み出す（ステップＳ１０３）。アラート解析部４２１は、読み出したレコードの情報をメモリ３２０に保存する。

【0106】

アラート解析部４２１は、ステップＳ１０１で特定したアラート種別情報に係るレコードの脅威識別カラム３９１ｅから脅威識別情報を特定し（ステップＳ１０５）、脅威識別情報を脅威情報特定部４２２に通知する。なお、アラート情報テーブル３９１のレコードの脅威識別カラム３９１ｅには、複数の脅威識別情報を格納することができるようになっている。複数の脅威識別情報が格納されている場合には、アラート解析部４２１は、脅威情報特定部４２２に対して複数の脅威識別情報を通知する。

【0107】

脅威情報特定部４２２は、脅威情報テーブル３９２を参照して、アラート解析部４２１から通知された脅威識別情報に係るレコードを特定し、レコード内の情報を読み出す（ステップＳ１０７）。脅威情報特定部４２２は、読み出したレコードの情報をメモリ３２０に保存する。

【0108】

脅威情報特定部４２２は、アラート解析部４２１から通知された脅威識別情報に係るレコードのＩＲ識別カラム３９２ｇからＩＲ識別情報を特定する（ステップＳ１０９）。なお、脅威情報テーブル３９２のＩＲ識別カラム３９２ｇには、複数のＩＲ識別情報を格納することができるようになっている。複数のＩＲ識別情報が格納されている場合には、脅威情報特定部４２２は、ＩＲ情報特定部４２３に対して複数のＩＲ識別情報を通知する。

【0109】

アラート情報テーブル３９１のレコードの脅威識別カラム３９１ｅには、複数の脅威識別情報を格納することができるようになっていることから、アラート解析部４２１から脅威情報特定部４２２に対して複数の脅威識別情報が通知される場合がある。脅威情報特定部４２２は、アラート解析部４２１から複数の脅威識別情報が通知されているか否かを判断し（ステップＳ１１１）、複数の脅威識別情報が通知されている場合には、各脅威識別情報について上記のステップＳ１０７、Ｓ１０９の処理を実行する。

【0110】

すべての脅威識別情報に対する処理が完了すると、ＩＲ情報特定部４２３は、ＩＲ情報テーブル３９３を参照して、脅威情報特定部４２２から通知されたＩＲ識別情報に係るレコードを特定し、レコード内の情報を読み出す（ステップＳ１１３）。脅威特定情報部４２２は、読み出したレコードの情報をメモリ３２０に保存する。

【0111】

アラート情報テーブル３９１のレコードの脅威識別カラム３９１ｅには、複数の脅威識別情報を格納できるようになっていることに加えて、脅威情報テーブル３９２のＩＲ識別カラム３９２ｇには、複数のＩＲ識別情報を格納できるようになっていることから、脅威情報特定部４２２からＩＲ情報特定部４２３に対して複数のＩＲ識別情報が通知される場合がある。ＩＲ情報特定部４２３は、脅威情報特定部４２２から複数のＩＲ識別情報が通知されているか否かを判断し（ステップＳ１１５）、複数のＩＲ識別情報が通知されている場合には、各ＩＲ識別情報について上記のステップＳ１１３の処理を実行する。

【0112】

すべてのＩＲ識別情報に対する処理が完了すると、支援情報作成部４２５は、ステップＳ１０３でアラート情報テーブル３９１から読み出した情報、ステップＳ１０７で脅威情報テーブル３９２から読み出した情報、ステップＳ１１３でＩＲ情報テーブル３９３から読み出した情報を参照し、事前に設定されている項目の情報を抽出して整形し、さらに所定のデータ形式に加工することで、セキュリティ対策の支援情報を作成する（ステップＳ１１７）。支援情報作成部４２５は、作成した支援情報を支援情報出力部４３０に供給して、セキュリティ対策の支援情報の作成処理が完了となる。

【0113】

上述したセキュリティ対策の支援情報を作成する処理をより具体的に説明する。

【0114】

一例として、ネットワーク監視装置２００が制御システム１０における異常を検出し、種別「ＳＩＧＮ：ＡＲＰ：ＤＵＰ」のアラートを発報したとする。

【0115】

セキュリティ対策支援装置３００のアラート受信部４１０は、ネットワーク監視装置２００が発報したアラートを受信すると、受信したアラートをアラート解析部４２１に供給する。アラート解析部４２１は、アラート受信部４１０が受信したアラートのアラート種別情報「ＳＩＧＮ：ＡＲＰ：ＤＵＰ」を特定し（ステップＳ１０１）、アラート情報テーブル３９１を参照して、アラート種別情報「ＳＩＧＮ：ＡＲＰ：ＤＵＰ」に係るレコード（図６に示すアラート情報テーブル３９１の１行目）の情報を読み出す（ステップＳ１０３）。

【0116】

アラート解析部４２１は、アラート種別情報「ＳＩＧＮ：ＡＲＰ：ＤＵＰ」に係るレコードの脅威識別カラム３９１ｅから脅威識別情報「５－１」を特定し（ステップＳ１０５）、脅威情報特定部４２２に通知する。

【0117】

脅威情報特定部４２２は、脅威情報テーブル３９２を参照して、アラート解析部４２１から通知された脅威識別情報「５－１」に係るレコード（図７に示す脅威情報テーブル３９２の５行目）を特定し、レコード内の情報を読み出す（ステップＳ１０７）。脅威情報特定部４２２は、特定した脅威識別情報「５－１」に係るレコードのＩＲ識別カラム３９２ｇからＩＲ識別情報「１－１」を特定し（ステップＳ１０９）、ＩＲ情報特定部４２３に通知する。

【0118】

ここでは、脅威情報特定部４２２は、アラート解析部４２１から脅威識別情報「５－１」のみが通知されており、脅威情報テーブル３９２から読み出すレコードは、脅威識別情報「５－１」に係るレコードのみである。

【0119】

次いで、ＩＲ情報特定部４２３は、ＩＲ情報テーブル３９３を参照して、脅威情報特定部４２２から通知されたＩＲ識別情報「１－１」に係るレコード（図８に示すＩＲ情報テーブル３９３の１行目）を特定し、レコード内の情報を読み出す（ステップＳ１１３）。ここでは、ＩＲ情報特定部４２３は、脅威情報特定部４２２からＩＲ識別情報「１－１」のみが通知されており、ＩＲ情報テーブル３９３から読み出すレコードは、ＩＲ識別情報「１－１」に係るレコードのみである。

【0120】

上述した動作により、アラート情報テーブル３９１内のアラート種別情報「ＳＩＧＮ：ＡＲＰ：ＤＵＰ」に係るレコード（図６に示すアラート情報テーブル３９１の１行目）の情報、脅威情報テーブル３９２内の脅威識別情報「５－１」に係るレコード（図７に示す脅威情報テーブル３９２の５行目）の情報、ＩＲ情報テーブル３９３内のＩＲ識別情報「１－１」に係るレコード（図８に示すＩＲ情報テーブル３９３の１行目）の情報が読み出されてメモリ３２０に保存される。支援情報作成部４２５は、これらの情報を参照し、事前に設定されている項目の情報を用いて、セキュリティ対策の支援情報を作成する（ステップＳ１１７）。支援情報作成部４２５は、一部の情報のみを用いて支援情報を作成してもよく、すべての情報を用いて支援情報を作成してもよい。

【0121】

アラート種別情報「ＳＩＧＮ：ＡＲＰ：ＤＵＰ」のアラートを受信した場合に支援情報作成部４２５が作成するセキュリティ対策の支援情報の一例を図１１に示す。支援情報作成部４２５は、一例として、アラート情報として、アラート種別、アラート名称、アラート詳細を含み、脅威情報として、脅威種別、ＫＢ＿ＩＤ（ナレッジベースの識別情報）、ＫＢ名称（ナレッジベースにおける戦術の名称）、脅威の内容を含み、ＩＲ情報として、ＩＲ種別、手法、手順を含む支援情報を作成する。

【0122】

アラート種別、アラート名称、アラート詳細には、それぞれアラート情報テーブル３９１から読み出したアラート種別カラム３９１ａ内の情報、アラート名称カラム３９１ｂ内の情報、アラート詳細カラム３９１ｃ内の情報が含まれる。

【0123】

脅威種別、ＫＢ＿ＩＤ、ＫＢ名称、脅威の内容には、それぞれ脅威情報テーブル３９２から読み出した脅威分類カラム３９２ａ内の情報、ナレッジベース識別カラム３９２ｃ内の情報、脅威内容カラム３９２ｅ内の情報が含まれる。なお、支援情報にリンクカラム３９２ｆ内の情報を含ませて、例えば支援情報がモニタ３５０に表示された際に、そのリンクから既存のナレッジベースの戦術の詳細が記載されたウェブページにアクセスできるようになっていてもよい。

【0124】

ＩＲ種別、手法、手順には、それぞれＩＲ情報テーブル３９３から読み出したＩＲ分類カラム３９３ａ内の情報、ＩＲ技術カラム３９３ｃ内の情報、ＩＲ手順カラム３９３ｄ内の情報が含まれる。

【0125】

また、別例として、ネットワーク監視装置２００が制御システム１０における異常を検出し、種別「ＳＩＧＮ：ＰＲＯＣ：ＭＩＳＳＩＮＧ－ＶＡＲ」のアラートを発報したとする。

【0126】

セキュリティ対策支援装置３００のアラート受信部４１０は、ネットワーク監視装置２００が発報したアラートを受信すると、受信したアラートをアラート解析部４２１に供給する。アラート解析部４２１は、アラート受信部４１０が受信したアラートのアラート種別情報「ＳＩＧＮ：ＰＲＯＣ：ＭＩＳＳＩＮＧ－ＶＡＲ」を特定し（ステップＳ１０１）、アラート情報テーブル３９１を参照して、アラート種別情報「ＳＩＧＮ：ＰＲＯＣ：ＭＩＳＳＩＮＧ－ＶＡＲ」に係るレコード（図６に示すアラート情報テーブル３９１の２行目）の情報を読み出す（ステップＳ１０３）。

【0127】

アラート解析部４２１は、アラート種別情報「ＳＩＧＮ：ＰＲＯＣ：ＭＩＳＳＩＮＧ－ＶＡＲ」に係るレコードの脅威識別カラム３９１ｅから脅威識別情報「３－１」、「３－３」、「３－４」を特定し（ステップＳ１０５）、脅威情報特定部４２２に通知する。

【0128】

脅威情報特定部４２２は、アラート解析部４２１から通知された複数の脅威識別情報「３－１」、「３－３」、「３－４」のすべてについて処理を行う。

【0129】

脅威情報特定部４２２は、脅威情報テーブル３９２を参照して、アラート解析部４２１から通知された脅威識別情報「３－１」に係るレコード（図７に示す脅威情報テーブル３９２の１行目）を特定し、レコード内の情報を読み出す（ステップＳ１０７）。また、脅威情報特定部４２２は、アラート解析部４２１から通知された脅威識別情報「３－１」に係るレコードのＩＲ識別カラム３９２ｇからＩＲ識別情報「６－１」、「６－２」を特定し（ステップＳ１０９）、ＩＲ情報特定部４２３に通知する。

【0130】

脅威情報特定部４２２は、脅威情報テーブル３９２を参照して、アラート解析部４２１から通知された脅威識別情報「３－３」に係るレコード（図７に示す脅威情報テーブル３９２の３行目）を特定し、レコード内の情報を読み出す（ステップＳ１０７）。また、脅威情報特定部４２２は、アラート解析部４２１から通知された脅威識別情報「３－３」に係るレコードのＩＲ識別カラム３９２ｇからＩＲ識別情報「１－１」を特定し（ステップＳ１０９）、ＩＲ情報特定部４２３に通知する。

【0131】

脅威情報特定部４２２は、脅威情報テーブル３９２を参照して、アラート解析部４２１から通知された脅威識別情報「３－４」に係るレコード（図７に示す脅威情報テーブル３９２の４行目）を特定し、レコード内の情報を読み出す（ステップＳ１０７）。また、脅威情報特定部４２２は、アラート解析部４２１から通知された脅威識別情報「３－４」に係るレコードのＩＲ識別カラム３９２ｇからＩＲ識別情報「１－１」を特定し（ステップＳ１０９）、ＩＲ情報特定部４２３に通知する。

【0132】

ＩＲ情報特定部４２３は、アラート解析部４２１から、脅威識別情報「３－１」に紐づけられたＩＲ識別情報「６－１」、「６－２」、脅威識別情報「３－３」に紐づけられたＩＲ識別情報「１－１」、脅威識別情報「３－４」に紐づけられたＩＲ識別情報「１－１」の通知を受けており、これら複数のＩＲ識別情報「１－１」、「６－１」、「６－２」のすべてについて処理を行う。

【0133】

ＩＲ情報特定部４２３は、ＩＲ情報テーブル３９３を参照して、脅威情報特定部４２２から通知されたＩＲ識別情報「１－１」に係るレコード（図８に示すＩＲ情報テーブル３９３の１行目）を特定し、レコード内の情報を読み出す（ステップＳ１１３）。

【0134】

ＩＲ情報特定部４２３は、ＩＲ情報テーブル３９３を参照して、脅威情報特定部４２２から通知されたＩＲ識別情報「６－１」に係るレコード（図８に示すＩＲ情報テーブル３９３の２行目）を特定し、レコード内の情報を読み出す（ステップＳ１１３）。

【0135】

ＩＲ情報特定部４２３は、ＩＲ情報テーブル３９３を参照して、脅威情報特定部４２２から通知されたＩＲ識別情報「６－２」に係るレコード（図８に示すＩＲ情報テーブル３９３の３行目）を特定し、レコード内の情報を読み出す（ステップＳ１１３）。

【0136】

上述した動作により、アラート情報テーブル３９１内のアラート種別情報「ＳＩＧＮ：ＰＲＯＣ：ＭＩＳＳＩＮＧ－ＶＡＲ」に係るレコード（図６に示すアラート情報テーブル３９１の２行目）の情報、脅威情報テーブル３９２内の脅威識別情報「３－１」、「３－３」、「３－４」に係るレコード（図７に示す脅威情報テーブル３９２の１、３、４行目）の情報、ＩＲ情報テーブル３９３内のＩＲ識別情報「１－１」、「６－１」、「６－２」に係るレコード（図８に示すＩＲ情報テーブル３９３の１～３行目）の情報が読み出されてメモリ３２０に保存される。支援情報作成部４２５は、これらの情報を参照し、事前に設定されている項目の情報を用いて、セキュリティ対策の支援情報を作成する（ステップＳ１１７）。この場合も、支援情報作成部４２５は、一部の情報のみを用いて支援情報を作成してもよく、すべての情報を用いて支援情報を作成してもよい。

【0137】

アラート種別情報「ＳＩＧＮ：ＰＲＯＣ：ＭＩＳＳＩＮＧ－ＶＡＲ」のアラートを受信した場合に支援情報作成部４２５が作成するセキュリティ対策の支援情報の一例を図１２～１４に示す。

【0138】

図１２～図１４に示す支援情報は、図１１と同様の情報を含んで構成されている。ただし、図１１に示す支援情報は、１つのアラート種別情報（１レコード）に対して１つの脅威情報（１レコード）が紐づけられており、当該脅威情報に対して１つのＩＲ情報（１レコード）が紐づけられているのに対し、図１２～図１４に示す支援情報は、１つのアラート種別情報（１レコード）に対して複数の脅威情報（ここでは、脅威識別情報「３－１」、「３－３」、「３－４」で特定される３レコード）が紐づけられており、当該３つの脅威情報のうちの１つの脅威情報（脅威識別情報「３－１」で特定される１レコード）に対して複数のＩＲ情報（ここでは、ＩＲ識別情報「６－１」、「６－２」で特定される２レコード）が紐づけられている点で異なっている。

【0139】

上述したように、本実施形態では、アラートに対して脅威情報を紐づけ、脅威情報に対してＩＲ情報を紐づけている。これにより、本実施形態におけるセキュリティ対策支援装置３００は、ネットワーク監視装置２００が発報したアラートに基づいて、脅威情報およびＩＲ情報を特定し、これらの脅威情報およびＩＲ情報を含む支援情報を作成および出力できるようになっている。

【0140】

また、本実施形態では、アラート発報のトリガーとなる複数の脅威が存在し、さらに各脅威に対して複数のＩＲが存在し得ることを考慮して、１つのアラートに対して複数の脅威情報を紐づけ、１つの脅威情報に対して複数のＩＲ情報を紐づけることができるようになっている。これにより、アラート発報のトリガーとなる様々な脅威および様々な対応策が存在し得ることを考慮した支援情報を提供することができる。

【0141】

支援情報出力部４３０は、上記のように支援情報作成部４２５により作成された支援情報を、モニタ３５０に表示出力してもよく、プリンタ等から紙媒体として印刷出力してもよく、あるいは、通信部３３０を介して他の装置に送信してもよい。モニタ３５０に表示出力する場合には、図１２～図１４に示す支援情報が１つの表示画面上に表示されてもよく、あるいはスクロールまたは画面遷移により表示されてもよい。

【0142】

このように支援情報を出力することで、例えばセキュリティオペレーションセンターの担当者等が支援情報を確認できるようになる。当該担当者は、ネットワーク監視装置２００からアラートが発報されたことだけではなく、アラートのトリガーとなった攻撃に関する情報や、その攻撃に対して実施すべきＩＲに関する情報を適切に把握して、制御システム１０を検査して特定したＩｏＣ（侵害痕跡：Ｉｎｄｉｃａｔｏｒ ｏｆ Ｃｏｍｒｏｍｉｓｅ）に基づいて、外部からの攻撃を封じ込める対策を講じることができる。

【0143】

さらに、支援情報によれば、新たに構築されたキルチェーンモデルの戦略および戦術と、既存のナレッジベースの戦略および戦術との対応関係を容易に把握できるようになっており、既存のナレッジベースに対する理解の促進や脅威に係るＴＴＰの基本的な知識の向上を支援し、担当者およびシステム開発者のスキル向上および人材育成、セキュリティ対策に係る技術開発の促進および品質向上に繋げることが可能となる。

【0144】

（誤検知情報を含むセキュリティ対策の支援情報の作成処理）
図１０に示す処理では、セキュリティ対策支援装置３００は、脅威情報およびＩＲ情報を含む支援情報を作成および出力しているが、さらに誤検知情報を含む支援情報を作成および出力してもよい。図１５は、本実施形態におけるセキュリティ対策支援装置３００で実行されるセキュリティ対策の支援情報を作成する処理の別例を示すフローチャートである。なお、以下では、図１０に示す処理と同様の処理については、説明を簡略化または省略する。

【0145】

図１０に示すステップＳ１０１～Ｓ１０５と同様に、アラート解析部４２１は、ネットワーク監視装置２００が発報したアラートに含まれる識別子からアラートの種別情報を特定すると、アラート情報テーブル３９１を参照して、特定したアラート種別情報に係るレコードを特定し、そのレコードの情報を読み出す。そして、アラート解析部４２１は、特定したレコードの脅威識別カラム３９１ｅから脅威識別情報を特定し、脅威識別情報を脅威情報特定部４２２に通知する。

【0146】

次いで、アラート解析部４２１は、特定したレコードの誤検知識別カラム３９１ｄから誤検知識別情報を特定し（ステップＳ１０６）、誤検知識別情報を誤検知情報特定部４２４に通知する。

【0147】

図１０に示すステップＳ１０７～Ｓ１１５と同様に、脅威情報特定部４２２は、脅威情報テーブル３９２を参照して、アラート解析部４２１から通知された脅威識別情報に係るレコードを特定し、レコード内の情報を読み出すとともに、特定した脅威識別情報に係るレコードのＩＲ識別カラム３９２ｇからＩＲ識別情報を特定する。また、ＩＲ情報特定部４２３は、ＩＲ情報テーブル３９３を参照して、脅威情報特定部４２２から通知されたＩＲ識別情報に係るレコードを特定し、レコード内の情報を読み出す。

【0148】

次いで、誤検知情報特定部４２４は、誤検知情報テーブル３９４を参照して、アラート解析部４２１から通知された誤検知識別情報に係るレコードを特定し、レコード内の情報を読み出す（ステップＳ１１６ａ）。誤検知特定情報部４２４は、読み出したレコードの情報をメモリ３２０に保存する。なお、アラート情報テーブル３９１のレコードの誤検知識別カラム３９１ｄにおいても、複数の誤検知識別情報を格納することができるようになっており、アラート解析部４２１から誤検知情報特定部４２４に対して複数の誤検知識別情報が通知される場合がある。誤検知情報特定部４２４は、アラート解析部４２１から複数の誤検知識別情報が通知されているか否かを判断し（ステップＳ１１６ｂ）、複数の誤検知識別情報が通知されている場合には、各誤検知識別情報について上記のステップＳ１１６ａの処理を実行する。

【0149】

すべての誤検知識別情報に対する処理が完了すると、支援情報作成部４２５は、ステップＳ１０３でアラート情報テーブル３９１から読み出した情報、ステップＳ１０７で脅威情報テーブル３９２から読み出した情報、ステップＳ１１３でＩＲ情報テーブル３９３から読み出した情報、さらにステップＳ１１６ａで誤検知情報テーブル３９４から読み出した情報を参照し、事前に設定されている項目の情報を抽出して整形し、さらに所定のデータ形式に加工することで、セキュリティ対策の支援情報を作成する（ステップＳ１１７ａ）。支援情報作成部４２５は、作成した支援情報を支援情報出力部４３０に供給して支援情報の作成処理が完了となる。

【0150】

アラート種別情報「ＳＩＧＮ：ＡＲＰ：ＤＵＰ」のアラートを受信した場合に支援情報作成部４２５が作成する誤検知情報を含む支援情報の一例を図１６に示す。図１６に示す支援情報は、図１１に示す支援情報に対して誤検知情報がさらに追加されたものである。

【0151】

図１６に示す支援情報は、アラート情報テーブル３９１から読み出したアラート種別、アラート名称、アラート詳細、脅威情報テーブル３９２から読み出した脅威種別、ＩＲ情報テーブル３９３から読み出したＩＲ種別、手法、手順の各種情報に加えて、誤検知情報テーブル３９４から読み出した誤検知分類カラム３９４ａ内の情報、誤検知内容カラム３９４ｃ内の情報を含んでいる。

【0152】

図１６には、一例として、種別「ＳＩＧＮ：ＡＲＰ：ＤＵＰ」のアラートに関する支援情報が示されている。ここでは、アラート解析部４２１が、アラート種別情報「ＳＩＧＮ：ＰＲＯＣ：ＭＩＳＳＩＮＧ－ＶＡＲ」に係るレコードの誤検知識別カラム３９１ｄから誤検知識別情報「１－２」を特定し、誤検知情報特定部４２４が、誤検知情報テーブル３９４を参照して、誤検知識別情報「１－２」に係るレコード（図９に示す誤検知情報テーブル３９４の２行目）を読み出す。支援情報作成部４２５は、誤検知識別情報「１－２」に係るレコードの誤検知分類カラム３９４ａ内の情報、誤検知内容カラム３９４ｃ内の情報を抽出して、図１６に示すような誤検知情報を含む支援情報を作成することができる。

【0153】

なお、図示省略するが、図１２～図１４に示す支援情報（複数の脅威情報および複数のＩＲ情報）と同様、複数の誤検知情報が存在する場合には、これら複数の誤検知情報を含むように適宜整形・加工して支援情報を作成してもよい。

【0154】

このように、支援情報に誤検知情報を含ませることで、例えばセキュリティオペレーションセンターの担当者等は、外部からの攻撃が検出された可能性とともに、ネットワーク監視装置２００による誤検知の可能性を考慮して、制御システム１０を検査し、外部からの攻撃または誤検知に対する対策を講じることができる。特に、制御システム１０のセキュリティを維持するためには、ネットワーク監視装置２００が誤検知を行うことはある程度やむを得ないが、本実施形態のように、仮に誤検知の場合にはどのような動作が行われている可能性があるかを支援情報によって示すことで、誤検知に係る動作を効率良く把握できるようになる。

【0155】

なお、上述したように、本実施形態において用いられるセキュリティ対策モデルは、膨大な情報を有する既存のナレッジベースの中からパッシブ型のネットワーク監視によるセキュリティ対策にとって必要な項目を絞り込んで構築されている。本実施形態におけるセキュリティ対策支援装置３００は、ネットワーク監視を行うことで、セキュリティ対策モデルに基づいて、発生する可能性が高い脅威をふるい分けして導出し、当該導出した脅威を特定するために必要な追加の調査（エンドポイントのログ取得等）をＩＲ情報によって提案することで、発生した攻撃の特定および絞り込みをサポートすることができるようになっている。このように、セキュリティ対策モデルによって、発生する可能性が高い脅威をグループ化して絞り込みが可能な状態とし、脅威に紐づけられたＩＲ情報によって追加調査を提案することで、ＩＴシステムと比べて課題の多い制御システムに係るセキュリティへの対応を適切に支援することが可能となる。

【0156】

本実施形態の作用について説明する。

【0157】

本実施形態におけるセキュリティ対策支援装置３００は、制御システム１０のセキュリティ対策を支援するものであり、アラート受信部４１０、脅威情報データベース３９０、脅威情報特定部４２２、ＩＲ情報特定部４２３、支援情報作成部４２５、支援情報出力部４３０を概略備えて構成されている。

【0158】

アラート受信部４１０は、制御システム１０で送受信されるパケットを傍受して解析し、制御システム１０で発生した異常を検出して異常を通知するアラートを出力するように構成されたネットワーク監視装置２００からアラートを受信するように構成されている。

【0159】

脅威情報データベース３９０は、ネットワーク監視装置２００から受信し得るアラートの種別情報に対して、アラートに関連する脅威情報およびＩＲ情報が紐付けられた情報を格納するように構成されている。

【0160】

脅威情報特定部４２２は、脅威情報データベース３９０を参照し、アラート受信部４１０で受信したアラートの種別情報に対応する脅威情報を特定するように構成されている。

【0161】

ＩＲ情報特定部４２３は、脅威情報データベース３９０を参照し、脅威情報特定部４２２で特定した脅威情報に対応するＩＲ情報を特定するように構成されている。

【0162】

支援情報作成部４２５は、脅威情報特定部４２２で特定した脅威情報、およびＩＲ情報特定部４２３で特定したＩＲ情報を含む、制御システム１０のセキュリティ対策の支援情報を作成するように構成されている。

【0163】

支援情報作成部４３０は、支援情報作成部４２５で作成した支援情報を出力するように構成されている。

【0164】

上記の構成によれば、制御システム１０で送受信されるパケットを傍受することで、制御システム１０の可用性を優先して制御システム１０の異常を検出し、異常発生の原因となった外部からの攻撃等の脅威を特定して、当該脅威に関する脅威情報、およびその対応策であるＩＲ情報を含む支援情報を作成して出力することができるようになる。

【0165】

本実施形態におけるセキュリティ対策支援装置３００は、脅威情報データベース３９０が、攻撃の戦略および戦術が纏められている既存のナレッジベースから制御システム１０のセキュリティ対策に必要な項目を絞り込むとともに、当該絞り込んだ各項目を新たにグループ化することで構築されたセキュリティ対策モデル（図１参照）に基づいて作成されていてもよい。

【0166】

上記の構成によれば、煩雑で理解しにくい既存のナレッジベースを簡素化して、容易に理解可能な簡素化したセキュリティ対策モデルを構築することで、実際の制御システム１０の環境に応じて適切かつ実用的なセキュリティ対策システムを構築することができるようになる。また、本発明に係る独自のセキュリティ対策モデルの戦略および戦術を、ネットワークベースのセキュリティ対策に必要な範囲で既存のナレッジベースから限定的に抽出した戦略および戦術とマッピングすることで、理解が容易ではなく煩雑な既存のナレッジベースに対する理解の促進や、脅威に係る戦略、戦術、手順の基本的な知識の向上を支援し、担当者およびシステム開発者のスキル向上および人材育成、セキュリティ対策に係る技術開発の促進および品質向上に繋げることができるようになる。

【0167】

本実施形態におけるセキュリティ対策支援装置３００は、脅威情報データベース３９０において、アラートの種別情報に対して複数の脅威情報が紐づけられており、脅威情報特定部４２２が、脅威情報データベース３９０を参照して、アラート受信部４１０で受信したアラートの種別情報に対応する複数の脅威情報を特定し、支援情報作成部４２５が、脅威情報特定部４２２で特定した複数の脅威情報を含む支援情報を作成してもよい。

【0168】

上記の構成によれば、アラートに対応して複数の脅威情報が存在する可能性がある場合であっても、当該複数の脅威情報を含む支援情報を作成することができ、制御システム１０に対して、複数の脅威情報を考慮したセキュリティ対策を適切に実施することができるようになる。

【0169】

本実施形態におけるセキュリティ対策支援装置３００は、脅威情報データベース３９０において、脅威情報に対して複数のＩＲ情報が紐づけられており、ＩＲ情報特定部４２３が、脅威情報特定部４２２で特定した脅威情報に対応する複数のＩＲ情報を特定し、支援情報作成部４２５が、ＩＲ情報特定部４２３で特定した複数のＩＲ情報を含む支援情報を作成してもよい。

【0170】

上記の構成によれば、外部からの攻撃等の脅威に対応して複数のＩＲ情報が存在する可能性がある場合であっても、当該複数のＩＲ情報を含む支援情報を作成することができ、制御システム１０に対して、複数のＩＲ情報を考慮したセキュリティ対策を適切に実施することができるようになる。

【0171】

本実施形態におけるセキュリティ対策支援装置３００は、脅威情報データベース３９０において、ネットワーク監視装置２００から受信し得るアラートの種別情報に対して、誤検知情報がさらに紐付けられており、脅威情報データベース３９０を参照してアラート受信部４１０で受信したアラートの種別情報に対応する誤検知情報を特定する誤検知情報特定部４２４を有し、支援情報作成部４２５が、誤検知情報特定部４２４で特定した誤検知情報を含む支援情報を作成してもよい。

【0172】

上記の構成によれば、ネットワーク監視装置２００が外部からの攻撃等の脅威ではない制御システム１０の動作を当該脅威として誤検知する可能性がある場合であっても、当該誤検知に関する誤検知情報を含む支援情報を作成することができ、制御システム１０に対して、誤検知によるアラートの発報も考慮したセキュリティ対策を適切に実施することができるようになる。

【0173】

また、本実施形態におけるセキュリティ対策支援方法は、制御システム１０のセキュリティ対策を支援するセキュリティ対策支援装置３００で実行される方法である。本実施形態におけるセキュリティ対策支援方法は、制御システム１０で送受信されるパケットを傍受して解析し、制御システム１０で発生した異常を検出して異常を通知するアラートを出力するように構成されたネットワーク監視装置２００からアラートを受信するアラート受信ステップと、ネットワーク監視装置２００から受信し得るアラートの種別情報に対して、アラートに関連する脅威情報およびＩＲ情報が紐付けられた情報を格納する脅威情報データベース３９０を参照し、アラート受信ステップで受信したアラートの種別情報に対応する脅威情報を特定する脅威情報特定ステップ（図１０中のステップＳ１０７）と、脅威情報データベース３９０を参照し、脅威情報特定ステップで特定した脅威情報に対応するＩＲ情報を特定するＩＲ情報特定ステップ（図１０中のステップＳ１１３）と、脅威情報特定ステップで特定した脅威情報、およびＩＲ情報特定ステップで特定したＩＲ情報を含む、制御システム１０のセキュリティ対策の支援情報を作成する支援情報作成ステップ（図１０中のステップＳ１１７）と、支援情報作成ステップで作成した支援情報を出力するステップと、を有することを特徴とする。

【0174】

上記の処理によれば、制御システム１０で送受信されるパケットを傍受することで、制御システム１０の可用性を優先して制御システム１０の異常を検出し、異常発生の原因となった外部からの攻撃等の脅威を特定して、当該脅威に関する脅威情報、およびその対応策であるＩＲ情報を含む支援情報を作成して出力することができるようになる。

【0175】

本発明は、上記の実施形態に限定されるものではなく、本発明の技術的思想を逸脱しない範囲における種々の変形例および設計変更等をその技術的範囲に包含するものである。

【符号の説明】

【0176】

１０ 制御システム
２０ フィールドデバイス
３０ ＰＬＣ
４０ ＲＴＵ
５０ ＳＣＡＤＡ
６０ ファイアウォール
１００ ＩＴネットワーク
２００ ネットワーク監視装置
２１０、３３０ 通信部
２２０ ネットワークアナライザ
２３０ 異常検出部
２３１ 学習部
２３２ リンク情報格納部
２３３ 比較部
２３４ アラート生成部
３００ セキュリティ対策支援装置
３０５ バス
３１０ プロセッサ
３２０ メモリ
３４０ 操作入力部
３５０ モニタ
３６０ ストレージ
３７０ アラート処理プログラム
３７１ アラート解析プログラム
３７２ 脅威情報特定プログラム
３７３ ＩＲ情報特定プログラム
３７４ 誤検知情報特定プログラム
３７５ 支援情報作成プログラム
３８０ 支援情報出力プログラム
３９０ 脅威情報データベース
３９１ アラート情報テーブル
３９１ａ アラート種別カラム
３９１ｂ アラート名称カラム
３９１ｃ アラート詳細カラム
３９１ｄ、３９４ｂ 誤検知識別カラム
３９１ｅ、３９２ｂ 脅威識別カラム
３９２ 脅威情報テーブル
３９２ａ 脅威分類カラム
３９２ｃ ナレッジベース識別カラム
３９２ｄ ナレッジベース名称カラム
３９２ｅ 脅威内容カラム
３９２ｆ リンクカラム
３９２ｇ、３９３ｂ ＩＲ識別カラム
３９３ ＩＲ情報テーブル
３９３ａ ＩＲ分類カラム
３９３ｃ ＩＲ技術カラム
３９３ｄ ＩＲ手順カラム
３９４ 誤検知情報テーブル
３９４ａ 誤検知分類カラム
３９４ｃ 誤検知内容カラム
４１０ アラート受信部
４２０ アラート処理部
４２１ アラート解析部
４２２ 脅威情報特定部
４２３ ＩＲ情報特定部
４２４ 誤検知情報特定部
４２５ 支援情報作成部
４３０ 支援情報出力部

【図1】

【図2】

【図3】

【図4】

【図5】

【図6】

【図7】

【図8】

【図9】

【図10】

【図11】

【図12】

【図13】

【図14】

【図15】

【図16】