特許 7311350 監視装置、監視方法、および監視プログラム

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】特許公報(B2)

(11)【特許番号】

(24)【登録日】2023-07-10

(45)【発行日】2023-07-19

(54)【発明の名称】監視装置、監視方法、および監視プログラム

(51)【国際特許分類】

   H04L 43/00 20220101AFI20230711BHJP

   H04L 12/28 20060101ALI20230711BHJP

   G06F 21/55 20130101ALI20230711BHJP

【ＦＩ】

H04L43/00

H04L12/28 200

G06F21/55 320

【請求項の数】 9

(21)【出願番号】P 2019145274

(22)【出願日】2019-08-07

(65)【公開番号】P2021027505

(43)【公開日】2021-02-22

【審査請求日】2022-02-28

(73)【特許権者】

【識別番号】000233055

【氏名又は名称】株式会社日立ソリューションズ

(74)【代理人】

【識別番号】110001678

【氏名又は名称】藤央弁理士法人

(72)【発明者】

【氏名】関 昂太

(72)【発明者】

【氏名】井手口 恒太

【審査官】大石 博見

(56)【参考文献】

【文献】国際公開第２０１５／１４１６３０（ＷＯ，Ａ１）

【文献】特開２０１９－００９７２６（ＪＰ，Ａ）

【文献】国際公開第２０１８／１３５００８（ＷＯ，Ａ１）

(58)【調査した分野】(Int.Cl.，ＤＢ名)

Ｈ０４Ｌ ４３／００

Ｈ０４Ｌ １２／２８

Ｇ０６Ｆ ２１／５５

(57)【特許請求の範囲】

【請求項1】

監視対象を監視する監視装置であって、
プログラムを実行するプロセッサと、前記プログラムを記憶する記憶デバイスと、前記監視対象と通信可能な通信インタフェースと、を有し、
前記プロセッサは、
脅威の発生に必要な複数の事象の関連性を示す脅威情報を取得する取得処理と、
前記取得処理によって取得された脅威情報に基づいて、前記監視対象への攻撃を検出するルール群のうち一部のルールについて、前記監視対象からのログの収集方式を、前記監視対象から前記ログが送信されてきた場合に収集する受動方式と、前記監視装置から前記監視対象に要求した場合に前記ログを前記監視対象から収集する能動方式と、のいずれかに決定する決定処理と、
を実行することを特徴とする監視装置。

【請求項2】

請求項１に記載の監視装置であって、
前記ルール群のルールごとに前記ルールの重要度が設定されたルールデータベースにアクセス可能であり、
前記決定処理では、前記プロセッサは、前記一部のルールの重要度に基づいて、前記ログの収集方式を、前記受動方式と前記能動方式とのいずれかに決定する、
ことを特徴とする監視装置。

【請求項3】

請求項１に記載の監視装置であって、
前記プロセッサは、前記複数の事象の各々について、前記一部のルールが適用される前記監視対象から前記ログを収集するために必要な通信コストと、前記監視対象の数と、に基づいて、前記監視対象への攻撃を検出するための検出コストを算出する算出処理を実行し、
前記決定処理では、前記プロセッサは、前記算出処理によって算出された検出コストに基づいて、前記一部のルールによる前記ログの収集方式を、前記受動方式と前記能動方式とのいずれかに決定する、
ことを特徴とする監視装置。

【請求項4】

請求項１に記載の監視装置であって、
前記脅威を時系列なルールで規定した時系列情報にアクセス可能であり、
前記プロセッサは、
前記監視対象からのログに基づいて、前記受動方式に決定された第１ルールに該当する特定の脅威に関する第１アラートを生成する第１生成処理と、
前記第１生成処理によって前記第１アラートが生成された場合、前記時系列情報を参照して、前記第１ルールに該当する前記特定の脅威を規定した特定の時系列なルールのうち、前記第１ルール以外の第２ルールの検出元となる他の監視対象を特定する特定処理と、
前記特定処理によって特定された他の監視対象に前記他の監視対象からのログの収集要求を送信した結果、前記他の監視対象からのログが収集された場合、前記他の監視対象からのログに基づいて、前記第２ルールに該当する前記特定の脅威に関する第２アラートを生成する第２生成処理と、
前記第２生成処理によって前記第２アラートが生成された場合、前記特定の時系列なルールのうち前記第１アラートおよび前記第２アラートの生成元となるルールの数に基づいて、前記特定の脅威を検出する検出処理と、
を実行することを特徴とする監視装置。

【請求項5】

請求項４に記載の監視装置であって、
前記特定処理では、前記プロセッサは、前記特定の時系列なルールにおける前記第１ルールおよび前記第２ルールの前後関係に基づいて、前記収集要求の対象ログを特定し、
前記第２生成処理では、前記プロセッサは、前記他の監視対象に前記他の監視対象からの前記対象ログの収集要求を送信した結果、前記他の監視対象からの前記対象ログが収集された場合、前記他の監視対象からの前記対象ログに基づいて、前記第２アラートを生成する、
ことを特徴とする監視装置。

【請求項6】

請求項５に記載の監視装置であって、
前記特定処理では、前記プロセッサは、前記特定の時系列なルールにおいて前記第２ルールが前記第１ルールよりも前に規定されている場合、現在から一定期間過去のログを前記対象ログに決定し、前記特定の時系列なルールにおいて前記第２ルールが前記第１ルールよりも後に規定されている場合、現在から一定期間先までのログを前記対象ログに決定する、
ことを特徴とする監視装置。

【請求項7】

請求項４に記載の監視装置であって、
前記脅威と、前記時系列なルールを構成する各ルールの重みと、前記脅威の発生を判定する判定しきい値と、を関連付けた重み情報にアクセス可能であり、
前記検出処理では、前記プロセッサは、前記重み情報を参照して、前記第１アラートおよび前記第２アラートの生成元となるルールの重みの総和が、前記判定しきい値以上である場合、前記特定の脅威を検出する、
ことを特徴とする監視装置。

【請求項8】

監視対象を監視する監視装置が実行する監視方法であって、
前記監視装置は、プログラムを実行するプロセッサと、前記プログラムを記憶する記憶デバイスと、前記監視対象と通信可能な通信インタフェースと、を有し、
前記プロセッサは、
脅威の発生に必要な複数の事象の関連性を示す脅威情報を取得する取得処理と、
前記取得処理によって取得された脅威情報に基づいて、前記監視対象への攻撃を検出するルール群のうち一部のルールについて、前記監視対象からのログの収集方式を、前記監視対象から前記ログが送信されてきた場合に収集する受動方式と、前記監視装置から前記監視対象に要求した場合に前記ログを前記監視対象から収集する能動方式と、のいずれかに決定する決定処理と、
を実行することを特徴とする監視方法。

【請求項9】

監視対象の監視をプロセッサに実行させる監視プログラムであって、
前記プロセッサに、
脅威の発生に必要な複数の事象の関連性を示す脅威情報を取得する取得処理と、
前記取得処理によって取得された脅威情報に基づいて、前記監視対象への攻撃を検出するルール群のうち一部のルールについて、前記監視対象からのログの収集方式を、前記監視対象から前記ログが送信されてきた場合に収集する受動方式と、監視装置から前記監視対象に要求した場合に前記ログを前記監視対象から収集する能動方式と、のいずれかに決定する決定処理と、
を実行させることを特徴とする監視プログラム。

【発明の詳細な説明】

【技術分野】

【0001】

本発明は、監視対象を監視する監視装置、監視方法、および監視プログラムに関する。

【背景技術】

【0002】

ＩｏＴ（Ｉｎｔｅｒｎｅｔ ｏｆ Ｔｈｉｎｇｓ）機器が外部と通信する機会が増加することにより，サイバー攻撃のターゲットとなる可能性が高まっている。ＩｏＴ機器に事前のセキュリティ対策を実装していても、攻撃の中にはその対策を乗り越え、被害を及ぼす場合も想定される。ＩｏＴ機器の状態を監視するセンタが、リアルタイムでログを収集し分析することで、ＩｏＴ機器が攻撃を受けたことを迅速に検出する必要がある。

【0003】

特許文献１は、ネットワークを介した不正な通信を検出するための通信ログの分析に用いる分析ルールを調整する分析ルール調整装置を開示する。この分析ルール調整装置は、ログ取得部と、ログ分析部と、第１の解析部と、を備える。ログ取得部は、防御対象ネットワークを介した通信ログと、マルウェアが発生させる通信ログとを取得する。ログ分析部は、ログ取得部が取得した通信ログを、所定の分析ルールとチューニング条件とに基づき分析する。第１の解析部は、ログ分析部による分析結果を解析して、所定の分析ルールの調整に用いる、チューニング条件を満たすチューニング推奨値を算出する。

【先行技術文献】

【特許文献】

【0004】

【文献】国際公開ＷＯ２０１５／１４１６３０号

【発明の概要】

【発明が解決しようとする課題】

【0005】

しかしながら、上述した従来技術では、分析ルール調整装置は、携帯通信網を利用してログを収集する場合があり、分析ルールに必要なすべてのログを常時収集すると、通信コストが増大してしまう可能性がある。

【0006】

本発明は、監視対象への攻撃の検出精度を低下させずに、監視対象からログを収集する際の通信コストの低減化を図ることを目的とする。

【課題を解決するための手段】

【0007】

本願において開示される発明の一側面となる監視装置は、監視対象を監視する監視装置であって、プログラムを実行するプロセッサと、前記プログラムを記憶する記憶デバイスと、前記監視対象と通信可能な通信インタフェースと、を有し、前記プロセッサは、脅威の発生に必要な複数の事象の関連性を示す脅威情報を取得する取得処理と、前記取得処理によって取得された脅威情報に基づいて、前記監視対象への攻撃を検出するルール群のうち一部のルールについて、前記監視対象からのログの収集方式を、前記監視対象から前記ログが送信されてきた場合に収集する受動方式と、前記監視装置から前記監視対象に要求した場合に前記ログを前記監視対象から収集する能動方式と、のいずれかに決定する決定処理と、を実行することを特徴とする。

【発明の効果】

【0008】

本発明の代表的な実施の形態によれば、攻撃の検出精度を下げずに、監視対象からのログを収集する際の通信コストを削減することができる。前述した以外の課題、構成及び効果は、以下の実施例の説明により明らかにされる。

【図面の簡単な説明】

【0009】

【図1】図１は、ログ収集方式決定例および脅威検出例を示す説明図である。

【図2】図２は、監視システムのシステム構成例を示す説明図である。

【図3】図３は、監視装置のハードウェア構成例を示すブロック図である。

【図4】図４は、ルールＤＢの記憶内容例を示す説明図である。

【図5】図５は、アラートＤＢの記憶内容例を示す説明図である。

【図6】図６は、シーケンスＤＢの記憶内容例を示す説明図である。

【図7】図７は、スコアＤＢの記憶内容例を示す説明図である。

【図8】図８は、ＩｏＴ機器のハードウェア構成例を示すブロック図である。

【図9】図９は、ＩｏＴ機器の記憶装置に記憶されているログＤＢの記憶内容例を示す説明図である。

【図10】図１０は、監視装置によるログ収集方式決定フェーズＦ１の詳細な処理手順例を示すフローチャートである。

【図11】図１１は、攻撃検出ルールの並び替え処理（ステップＳ１００４）の詳細な処理手順例を示すフローチャートである。

【図12】図１２は、攻撃検出ルールの並び替え処理（ステップＳ１００４）による処理例を示す説明図である。

【図13】図１３は、ログ収集方式決定処理（ステップＳ１００５）の詳細な処理手順例を示すフローチャートである。

【図14】図１４は、ログ収集方式決定処理（ステップＳ１００５）による処理例を示す説明図である。

【図15】図１５は、脅威検出フェーズＦ２の詳細な処理手順例を示すフローチャートである。

【図16】図１６は、ログ収集先および収集範囲の特定処理（ステップＳ１５０４）の詳細な処理手順例を示すフローチャートである。

【図17】図１７は、振り分け作業画面の一例を示す説明図である。

【発明を実施するための形態】

【0010】

＜ログ収集方式決定例および脅威検出例＞
図１は、ログ収集方式決定例および脅威検出例を示す説明図である。監視対象を監視する監視装置は、ログ収集方式決定フェーズＦ１にてログ収集方式を決定し、その後、脅威検出フェーズＦ２にてネットワーク上の監視対象（本実施例では、一例としてＩｏＴ機器）への脅威を検出する。そのために、脅威情報１００が用意される。

【0011】

ログ収集方式決定フェーズＦ１では、監視対象に対して脅威分析の結果から攻撃検出ルールが作成される。脅威分析では、まず、監視対象に対して起こりうる脅威が、５Ｗ（ｗｈｏ，Ｗｈｙ，ｗｈａｔ，ｗｈｅｒｅ，ｗｈｅｎ）の観点から抽出される。次に、各脅威に対して、具体的にどのような手順や条件によって脅威が発生しうるのかを論理的に解析するため、樹状に展開するＦＴ（Ｆａｕｌｔ Ｔｒｅｅ）が脅威情報１００として作成される。

【0012】

脅威情報１００は、既知の脅威分析ツールによって分析された脅威分析結果であり、脅威の発生に必要な複数の事象の関連性を示す。脅威とは、たとえば、ネットワーク上の監視対象に対する不正侵入、改ざん、ウイルス、盗聴、傍受、なりすましといった各種攻撃の総称である。攻撃とは、攻撃内容が特定された脅威である。

【0013】

ＦＴ分析では、各脅威を最上位のトップ事象（図１では、「脅威Ｘ」）とし、その事象を起こす具体的な実施方法（Ｈｏｗ）が展開される。このとき、各実施方法がそれぞれ成立しなければ上位事象が成り立たない場合は積の論理記号１００Ａ、どれかが成立すれば上位事象が成り立つ場合は和の論理記号１００Ｂが用いられる。

【0014】

たとえば、脅威情報１００として得られた脅威Ｘは、原因Ｙ１～Ｙ４という４つの事象が発生した場合に発生し、攻撃者からの攻撃であると分析される。原因とは、監視対象への攻撃によって引き起こされる監視対象での誤作動や不具合、障害の発生要因となる事象である。したがって、１以上の原因の組み合わせが脅威となる。

【0015】

ログ収集方式決定フェーズＦ１では、分析者は、各基本事象に対して、攻撃者が行う行動を予測し、その行動をＩｏＴ機器から収集したログから検出するために使用する攻撃検出ルール群１０１ｓを作成する。原因ごとに攻撃検出ルールが設定される。図１では、例として、ルールＡ～Ｅの攻撃検出ルール群１０１ｓが設定される。

【0016】

ルールＡは、原因Ｙ１の発生を特定して攻撃を検出するための攻撃検出ルールである。ルールＢは、原因Ｙ２．１の発生を特定して攻撃を検出するための攻撃検出ルールである。ルールＣは、原因Ｙ２．２の発生を特定して攻撃を検出するための攻撃検出ルールである。ルールＤは、原因Ｙ３の発生を特定して攻撃を検出するための攻撃検出ルールである。ルールＥは、原因Ｙ４の発生を特定して攻撃を検出するための攻撃検出ルールである。

【0017】

ログ収集方式決定フェーズＦ１では、監視装置は、攻撃検出ルールごとに、監視対象からのログの収集方式を設定する。収集方式には、受動方式と、能動方式の２種類がある。受動方式とは、監視装置が監視対象からのログを受動的に収集する方式、すなわち、監視装置は、監視対象から常時送信されてくるログを受信して監視装置内に蓄積する収集方式である。一方、能動方式とは、監視装置から監視対象にログを要求した場合にログを監視対象から収集する収集方式である。

【0018】

受動方式の攻撃検出ルールが多いほど、ログを大量に収集することができるため、攻撃を漏れなく検出することが可能となる反面、大量のログが監視対象から監視装置に送信されるため、トラフィックが増加し、ひいては、トラフィック軽減のための設備投資などによる通信コストが増加する。また、能動方式の攻撃検出ルールが多いほど、ログの収集量を抑制することができるため、通信コストの低減化を図ることができる反面、攻撃の検出精度が低下する。

【0019】

したがって、ログ収集方式決定フェーズＦ１では、監視装置は、脅威情報１００における各攻撃検出ルールの原因の発生のし易さの指標となる重要度、各攻撃検出ルールにおいてログの収集方式が受動方式になった場合の通信コスト、脅威の危険性を評価したリスク値を考慮して、攻撃検出ルール毎にログの収集方式を決定する。これにより、監視対象への攻撃の検出精度を低下させずに、監視対象からログを収集する際の通信コストの低減化の実現を図る。図１では、例として、ルールＡおよびルールＤに受動方式が設定され、ルールＢ、ルールＣ、およびルールＥに能動方式が設定されている。

【0020】

脅威検出フェーズＦ２では、監視装置は、攻撃検出ルールにしたがって脅威の原因となる事象を検出し、脅威Ｘが発生する予兆があるか、あるいは、すでに脅威Ｘが発生しているかを検出する。たとえば、監視装置は、受動方式が適用される監視対象１１０Ａ（たとえば、監視カメラ）からログを収集し（ステップＳ１１１）、受動収集ログ１０２Ａとして保存する。監視装置は、受動収集ログ１０２Ａに、受動方式に決定された攻撃検出ルール（以下、受動ルール）Ａ，Ｄを適用して、第１アラートを生成し、アラートＤＢ１０３に保存する（ステップＳ１１２）。

【0021】

シーケンスＤＢ１０４は、脅威毎に脅威が発生するための攻撃が検出される時系列な攻撃検出ルール（シーケンスともいう）を規定する。たとえば、シーケンスは、「Ａ⇒（ＢまたはＣ）⇒Ｄ⇒Ｅ」となる。すなわち、Ａ⇒（ＢまたはＣ）⇒Ｄ⇒Ｅの順に攻撃検出ルールが合致すると、Ｙ１⇒（Ｙ２．１またはＹ２．２）⇒Ｙ３⇒Ｙ４の順に監視対象で誤作動や不具合等の事象が発生したことを意味し、脅威Ｘが検出される。

【0022】

監視装置は、シーケンスＤＢ１０４を参照して、アラート生成（ステップＳ１１２）された第１アラートの生成元の受動ルールＡ，Ｄを含むシーケンスの中の他のルールを、能動方式に決定された攻撃検出ルール（以下、能動ルール）Ｂ，Ｃ，Ｅの中から同一脅威ルールとして抽出し（ステップＳ１１３）、同一脅威ルールが適用される監視対象１１０Ｂ（図１では、例として指紋認証装置）を特定する（ステップＳ１１４）。

【0023】

監視装置は、この同一脅威ルールが適用される監視対象１１０Ｂにログ収集リクエストを送信し、監視対象１１０Ｂからのログを能動的に収集して（ステップＳ１１６）、能動収集ログとして保存する。監視装置は、受動ルールの場合（ステップＳ１１２）と同様、能動収集ログ１０２Ｂに能動ルールを適用して第２アラートを生成しアラートＤＢ１０３に保存する（ステップＳ１１７）。

【0024】

スコアＤＢ１０５には、脅威毎に、当該脅威を規定する攻撃検出ルールに重みとなるスコアが設定されている。監視装置は、第１アラートの生成元の受動ルールＡ，Ｄの少なくとも１つのスコアと、第２アラートの生成元の能動ルールＢ，Ｃ，Ｅの少なくとも１つのスコアとの総和がしきい値以上であるか否かを判定する。しきい値以上であれば、監視装置は脅威Ｘの予兆や発生済みの脅威Ｘを検出する。このように、攻撃検出ルールでのログの収集方式を受動方式および能動方式に振り分けることで、受動方式により攻撃を漏れなく検出して検出精度の低下を抑制しつつ、能動方式により通信コストの低減化を図ることができる。

【0025】

＜監視システムのシステム構成例＞
図２は、監視システムのシステム構成例を示す説明図である。監視システム２００は、監視装置２０１と、１以上のＩｏＴシステム２０２と、を有する。監視装置２０１とＩｏＴシステム２０２とは、ＬＡＮ（Ｌｏｃａｌ Ａｒｅａ Ｎｅｔｗｏｒｋ），ＷＡＮ（Ｗｉｄｅ Ａｒｅａ Ｎｅｔｗｏｒｋ），インターネットなどのネットワーク２０３を介して相互に有線または無線で通信可能に接続される。

【0026】

監視装置２０１は、図１で説明したように、ログ収集方式決定フェーズＦ１および脅威検出フェーズＦ２を実行する。監視装置２０１の詳細は、図３～図７で説明する。ＩｏＴシステム２０２は、１以上のＩｏＴ機器１１０を有する。ＩｏＴシステム２０２は、たとえば、製造設備や監視カメラ、認証装置を含む。ＩｏＴ機器１１０の詳細は、図８および図９で説明する。

【0027】

なお、ＩｏＴ機器１１０は、監視装置２０１による監視対象の一例であり、監視対象は、ＩｏＴシステム２０２に限らず、ルータやスイッチなどのネットワーク機器、パーソナルコンピュータやサーバなどの計算機、スマートフォンやタブレットなどの通信端末など、ネットワーク２０３を介して監視装置２０１と通信可能に接続される通信機器でよい。

【0028】

＜監視装置２０１のハードウェア構成例＞
図３は、監視装置２０１のハードウェア構成例を示すブロック図である。監視装置２０１は、プロセッサ３０１と、メモリ３０２と、記憶装置３０３と、入力デバイス３０４と、出力デバイス３０５と、通信インタフェース（通信ＩＦ）３０６と、を有する。プロセッサ３０１、メモリ３０２、記憶装置３０３、入力デバイス３０４、出力デバイス３０５、および通信ＩＦ３０６は、バス３０７により接続される。プロセッサ３０１は、監視装置２０１を制御する。メモリ３０２は、プロセッサ３０１の作業エリアとなる。また、メモリ３０２は、各種プログラムやデータを記憶する非一時的なまたは一時的な記録媒体である。

【0029】

具体的には、たとえば、メモリ３０２は、監視プログラム３１０を記憶する。監視プログラム３１０は、ソフトウェアモジュールとして、取得モジュール３１１と、算出モジュール３１２と、並び替えモジュール３１３と、決定モジュール３１４と、第１生成モジュール３１５と、特定モジュール３１６と、第２生成モジュール３１７と、検出モジュール３１８と、を有する。各モジュール３１１～３１８の詳細は後述する。

【0030】

記憶装置３０３は、各種ＤＢ（Ｄａｔａｂａｓｅ）を記憶する非一時的なまたは一時的な記録媒体である。記憶装置３０３は、ルールＤＢ３２０と、アラートＤＢ１０３と、シーケンスＤＢ１０４と、スコアＤＢ１０５と、を含む。各ＤＢ３２０，１０３～１０５の詳細は後述する。記憶装置３０３は、監視装置２０１外で監視装置２０１とネットワーク２０３を介してアクセス可能な他のコンピュータに存在してもよい。メモリ３０２および記憶装置３０３を、記憶デバイスと称す。記憶デバイスとしては、たとえば、ＲＯＭ（Ｒｅａｄ Ｏｎｌｙ Ｍｅｍｏｒｙ）、ＲＡＭ（Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）、ＨＤＤ（Ｈａｒｄ Ｄｉｓｋ Ｄｒｉｖｅ）、フラッシュメモリがある。

【0031】

入力デバイス３０４は、データを入力する。入力デバイス３０４としては、たとえば、キーボード、マウス、タッチパネル、テンキー、スキャナがある。出力デバイス３０５は、データを出力する。出力デバイス３０５としては、たとえば、ディスプレイ、プリンタがある。通信ＩＦ３０６は、ネットワーク２０３と接続し、データを送受信する。

【0032】

＜ルールＤＢ３２０＞
図４は、ルールＤＢ３２０の記憶内容例を示す説明図である。ルールＤＢ３２０は、上述した攻撃検出ルールを記憶するデータベースである。ルールＤＢ３２０は、フィールドとして、脅威ＩＤ４０１と、リスク値４０２と、ルールＩＤ４０３と、ログ収集機器ＩＤ４０４と、ルール内容４０５と、重要度４０６と、検出コスト４０７と、収集方式４０８と、を有する。１つの行における各フィールド４０１～４０７の値の組み合わせが、１つの攻撃検出ルールを規定するエントリとなる。

【0033】

脅威ＩＤ４０１は、脅威を一意に特定するＩＤである。リスク値４０２は、脅威ＩＤ４０１で特定される脅威の危険性を示す指標値である。本例では、リスク値４０２が高いほど危険な脅威であることを示す。リスク値４０２は、脅威毎に事前の脅威分析結果によって得られる値である。同一脅威のリスク値４０２は同一である。また、１つの脅威に対して、複数の脅威が関連する場合があるため、脅威ＩＤ４０１およびリスク値４０２は重複することもある。

【0034】

ルールＩＤ４０３は、攻撃検出ルールを一意に特定する識別情報である。なお、ルールＩＤ４０３が「ｘｘｘ」（ｘは任意の文字列）の攻撃検出ルールを、「攻撃検出ルールｘｘｘ」と表記する場合がある。ログ収集機器ＩＤ４０４は、ログ収集機器を一意に特定する識別情報である。ログ収集機器とは、監視対象であり、たとえば、ログの収集対象となるＩｏＴ機器１１０である。

【0035】

ルール内容４０５とは、ルールＩＤ４０３で特定される攻撃検出ルールの内容を示す情報である。たとえば、一行目のエントリ（攻撃検出ルールａｂｃ１２３）のルール内容４０５は、「複数の機器から同一アドレス元からの認証エラーを受信」であるが、ログ収集機器ＩＤ４０４は「Ｄ１」、「Ｄ２」、「Ｄ３」であるため、「ＩｏＴ機器Ｄ１～Ｄ３から同一アドレス元からの認証エラーを受信」を意味する。

【0036】

脅威ＩＤ４０１、リスク値４０２、ルールＩＤ４０３、ログ収集機器ＩＤ４０４、およびルール内容４０５が、ＦＴ分析で事前に設定される脅威情報１００である。

【0037】

重要度４０６は、ルールＩＤ４０３で特定される攻撃検出ルールの重要性を示す指標値である。重要度４０６は、ルールＩＤ４０３で特定される攻撃検出ルールに対応する原因が脅威の発生にとって必須要件であるほど高くなる。具体的には、たとえば、脅威情報１００において、トップ事象（たとえば、脅威Ｘ）から攻撃検出ルールに対応した事象までの和の論理記号１００Ｂの数が少ないほど、重要度４０６は高くなる。重要度４０６は、たとえば、和の論理記号１００Ｂの数の逆数である。

【0038】

図１の脅威情報１００の例では、原因Ｙ１、Ｙ３、Ｙ４に対応するルールＡ，Ｄ，Ｅの重要度４０６は、原因Ｙ２．１、Ｙ２．２に対応するルールＢ，Ｃの重要度４０６よりも高い。監視装置２０１は、算出モジュールにより、脅威情報１００を参照して、エントリごとに重要度４０６を算出してルールＤＢ３２０に格納する。

【0039】

検出コスト４０７は、ルールＩＤ４０３で特定される攻撃検出ルールによりログを収集する１台のＩｏＴ機器１１０の単位時間当たりの通信コストと、ログ収集機器ＩＤ４０４で特定されるＩｏＴ機器１１０の台数（ログ収集機器ＩＤ４０４の数）と、を乗じた値である。通信コストは、監視対象のＩｏＴ機器１１０と監視装置２０１との間の通信にかかるコストであり、既知の値とする。監視装置２０１は、算出モジュール３１２により、エントリごとに検出コスト４０７を算出してルールＤＢ３２０に格納する。

【0040】

収集方式４０８は、ログ収集機器ＩＤ４０４で特定されるＩｏＴ機器１１０からログを収集する方式である。「受動」は、監視装置２０１が、当該ＩｏＴ機器１１０からのログを受信して記憶装置３０３に格納する方式である。「能動」は、監視装置２０１が当該ＩｏＴ機器１１０に要求した場合に限り、監視装置２０１が、当該ＩｏＴ機器１１０からのログを受信して記憶装置３０３に格納する方式である。監視装置２０１は、並び替えモジュール３１３および決定モジュール３１４により、エントリごとに収集方式４０８を決定してルールＤＢ３２０に格納する。

【0041】

なお、監視装置２０１は、収集方式４０８が設定されたエントリのログ収集機器ＩＤ４０４で特定されるＩｏＴ機器１１０に、収集方式４０８を送信する。これにより、送信先のＩｏＴ機器１１０は、収集方式４０８に従ってログを送信する。

【0042】

＜アラートＤＢ１０３＞
図５は、アラートＤＢ１０３の記憶内容例を示す説明図である。アラートＤＢ１０３は、監視装置２０１が、第１生成モジュール３１５および第２生成モジュール３１７によって生成したアラートを記憶するデータベースである。アラートＤＢ１０３は、フィールドとして、アラートＩＤ５０１と、発生時刻５０２と、アラート内容５０３と、を有する。１つの行における各フィールド５０１～５０３の値の組み合わせが、１つのアラートを規定するエントリとなる。

【0043】

アラートＩＤ５０１は、アラートを一意に特定する識別情報であり、当該アラートの生成に用いられた攻撃検出ルールのルールＩＤ４０３の値が用いられる。発生時刻５０２は、アラートＩＤ５０１で特定されるアラートが発生した時刻である。アラート内容５０３は、アラートＩＤ５０１で特定されるアラートの内容であり、アラートＩＤ５０１と一致するルールＩＤ４０３と同一エントリのルール内容４０５が流用される。

【0044】

＜シーケンスＤＢ１０４＞
図６は、シーケンスＤＢ１０４の記憶内容例を示す説明図である。シーケンスＤＢ１０４は、あらかじめシーケンスを記憶するデータベースである。シーケンスＤＢ１０４は、フィールドとして、脅威ＩＤ４０１と、シーケンス内容６０１と、を有する。１つの行における各フィールド４０１、６０１の値の組み合わせが、１つのシーケンスを規定するエントリとなる。シーケンスは、時系列に配列されたアラートＩＤ５０１（ルールＩＤ４０３）である。

【0045】

すなわち、アラートＩＤ５０１で特定されるアラートが、シーケンスで規定した順に発生すると、脅威ＩＤ４０１で特定される脅威が発生したことを示す。なお、アラートＩＤ５０１はルールＩＤ４０３と一致するため、シーケンス内容６０１は、上述したように、脅威が発生するための攻撃が検出される時系列なルールＩＤ４０３となる。矢印でつながっている２つのアラートＩＤ５０１（ルールＩＤ４０３）において、矢印の始端側のアラートＩＤ５０１は、矢印の終端側のアラートＩＤ５０１よりも前に発生したアラートを示す。

【0046】

＜スコアＤＢ１０５＞
図７は、スコアＤＢ１０５の記憶内容例を示す説明図である。スコアＤＢ１０５は、あらかじめ、攻撃検出ルールの重みを示すスコアを格納するデータベースである。スコアＤＢ１０５は、フィールドとして、脅威ＩＤ４０１と、しきい値７０１と、ルールＩＤ４０３と、スコア７０２と、を有する。

【0047】

しきい値７０１は、脅威ＩＤ４０１で特定される脅威であるか否かを示す基準値である。具体的には、たとえば、しきい値７０１は、対応するルールＩＤ４０３群のうち、アラートＩＤ５０１となったルールＩＤ４０３のスコア７０２の総和と比較される。スコア７０２は、対応するルールＩＤ４０３で特定される攻撃検出ルールの適合ののし易さ（対応するアラートの発生のし易さ）を示す。スコア７０２が大きいほど、その攻撃検出ルールで検出される事象は、発生しやすい。

【0048】

たとえば、ルールＩＤ４０３である「ａｂｃ１２３」、「ａｂｃ４５６」、および「ａｂｃ７８９」がアラートＩＤ５０１となってアラートが発生した場合、脅威ＩＤ４０１が「１２」の脅威の発生予想スコア７０２は、「ａｂｃ１２３」、「ａｂｃ４５６」、および「ａｂｃ７８９」に対応する各スコア７０２の値「２０」、「２０」、「１０」の総和である「５０」となる。脅威ＩＤ４０１が「１２」の脅威のしきい値７０１は「７０」である。この場合、総和である「５０」はしきい値７０１「７０」以上でないため、監視装置２０１は、脅威ＩＤ４０１である「１２」は、まだ発生していないと判断する。

【0049】

一方、ルールＩＤ４０３である「ａｂｃ１２３」、「ａｂｃ４５６」、および「ｄｅｆ７８９」がアラートＩＤ５０１となってアラートが発生した場合、脅威ＩＤ４０１が「１２」の脅威の発生予想スコアは、「ａｂｃ１２３」、「ａｂｃ４５６」、および「ｄｅｆ７８９」に対応する各スコア７０２の値「２０」、「２０」、「３０」の総和である「７０」となる。脅威ＩＤ４０１が「１２」の脅威のしきい値７０１は「７０」である。この場合、総和である「７０」はしきい値７０１である「７０」以上であるため、監視装置２０１は、脅威ＩＤ４０１である「１２」は発生したと判断する。

【0050】

＜ＩｏＴ機器１１０のハードウェア構成例＞
図８は、ＩｏＴ機器１１０のハードウェア構成例を示すブロック図である。ＩｏＴ機器１１０は、プロセッサ８０１と、メモリ８０２と、記憶装置８０３と、入力デバイス８０４と、出力デバイス８０５と、通信インタフェース（通信ＩＦ）８０６と、を有する。プロセッサ、メモリ８０２、記憶装置８０３、入力デバイス８０４、出力デバイス８０５、および通信ＩＦ８０６は、バス８０７により接続される。プロセッサ８０１は、ＩｏＴ機器１１０を制御する。メモリ８０２は、プロセッサ８０１の作業エリアとなる。また、メモリ８０２は、各種プログラムやデータを記憶する非一時的なまたは一時的な記録媒体である。

【0051】

具体的には、たとえば、メモリ８０２は、制御プログラム８１０を記憶する。制御プログラム８１０は、ソフトウェアモジュールとして、ログ生成モジュール８１１と、ログ送信モジュール８１２と、リクエスト処理モジュール８１３と、を有する。各モジュールの詳細は後述する。

【0052】

記憶装置８０３は、ログＤＢ８２０を記憶する非一時的なまたは一時的な記録媒体である。記憶装置８０３は、メモリ８０２および記憶装置８０３を、記憶デバイスと称す。記憶デバイスとしては、たとえば、ＲＯＭ（Ｒｅａｄ Ｏｎｌｙ Ｍｅｍｏｒｙ）、ＲＡＭ（Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）、ＨＤＤ（Ｈａｒｄ Ｄｉｓｋ Ｄｒｉｖｅ）、フラッシュメモリ８０２がある。入力デバイス８０４は、データを入力する。入力デバイス８０４としては、たとえば、キーボード、マウス、タッチパネル、テンキー、スキャナ、カメラ、各種センサがある。出力デバイス８０５は、データを出力する。出力デバイス８０５としては、たとえば、ディスプレイ、プリンタがある。通信ＩＦ８０６は、ネットワーク２０３と接続し、データを送受信する。

【0053】

なお、監視装置２０１のルールＤＢ３２０の収集方式４０８で「受動」が設定されたＩｏＴ機器１１０は、ログ生成モジュール８１１でログを生成するとログＤＢ８２０に格納するとともに、監視装置２０１に送信する。一方、監視装置２０１のルールＤＢ３２０の収集方式４０８で「能動」が設定されたＩｏＴ機器１１０は、ログ生成モジュール８１１でログを生成するとログＤＢ８２０に格納しても、監視装置２０１に送信しない。リクエスト処理モジュール８１３で監視装置２０１からログを要求された場合、監視装置２０１は、要求された範囲のログを監視装置２０１に送信する。

【0054】

＜ログＤＢ８２０＞
図９は、ＩｏＴ機器１１０の記憶装置３０３に記憶されているログＤＢ８２０の記憶内容例を示す説明図である。ログＤＢ８２０は、ＩｏＴ機器１１０が生成するログを記憶するデータベースである。ログＤＢ８２０は、タイムスタンプ９０１と、ログ詳細情報９０２と、を有する。１つの行における各フィールドの値の組み合わせが、１つのログを規定するエントリとなる。タイムスタンプ９０１は、ログの発生日時である。ログ詳細情報９０２は、ログの詳細な情報を示す。

【0055】

ＩｏＴ機器１１０の機器ＩＤがログ収集機器ＩＤ４０４に該当し、かつ、その収集方式４０８が「受動」であれば、ログは、受動収集ログ１０２Ａとして監視装置２０１に常時収集されて、監視装置２０１の記憶装置３０３に保存される。ＩｏＴ機器１１０の機器ＩＤがログ収集機器ＩＤ４０４に該当し、かつ、その収集方式４０８が「能動」であれば、ログは、監視装置２０１から要求があった場合に限り能動収集ログ１０２Ｂとして監視装置２０１に収集されて、監視装置２０１の記憶装置３０３に保存される。

【0056】

＜ログ収集方式決定フェーズＦ１＞
図１０は、監視装置２０１によるログ収集方式決定フェーズＦ１の詳細な処理手順例を示すフローチャートである。監視装置２０１は、取得モジュールにより、記憶装置３０３から脅威情報１００を取得する（ステップＳ１００１）。監視装置２０１は、算出モジュール３１２により、脅威情報１００を参照して、各攻撃検出ルールの重要度４０６を算出し、ルールＤＢ３２０に格納する（ステップＳ１００２）。

【0057】

監視装置２０１は、算出モジュール３１２により、各攻撃検出ルールの検出コスト４０７を算出し、ルールＤＢ３２０に格納する（ステップＳ１００３）。監視装置２０１は、並び替えモジュール３１３により、リスク値４０２と重要度４０６と検出コスト４０７とに基づいて攻撃検出ルールの並び替え処理を実行する（ステップＳ１００４）。攻撃検出ルールの並び替え処理（ステップＳ１００４）の詳細は、図１１および図１２で後述する。

【0058】

監視装置２０１は、決定モジュール３１４により、ログ収集方式決定処理を実行し（ステップＳ１００５）、各攻撃検出ルールの収集方式４０８をルールＤＢ３２０に格納する。ログ収集方式決定処理（ステップＳ１００５）の詳細は、図１３および図１４で後述する。

【0059】

＜攻撃検出ルールの並び替え処理（ステップＳ１００４）＞
図１１は、攻撃検出ルールの並び替え処理（ステップＳ１００４）の詳細な処理手順例を示すフローチャートである。監視装置２０１は、リスク値４０２が高い順に、攻撃検出ルールを並び替える（ステップＳ１１０１）。脅威ＩＤ４０１が同一であればリスク値４０２も同一であるため、並び替え後のルールＤＢ３２０は、脅威ＩＤ４０１ごとに集約される。

【0060】

監視装置２０１は、ステップＳ１１０１の並び替え後のルールＤＢ３２０において、同一脅威ＩＤ４０１の攻撃検出ルール内で、重要度４０６が高い順に並び替える（ステップＳ１１０２）。監視装置２０１は、ステップＳ１１０１の並び替え後のルールＤＢ３２０において、重要度４０６が同じ攻撃検出ルールを検出コスト４０７が低い順に並び替える（ステップＳ１１０３）。

【0061】

図１２は、攻撃検出ルールの並び替え処理（ステップＳ１００４）による処理例を示す説明図である。図１２において、ルールリスト１２０１～１２０４は、同一脅威毎に集約した攻撃検出ルールである。ルールリスト１２０１は脅威１の脅威ＩＤ４０１、ルールリスト１２０２は脅威２の脅威ＩＤ４０１、ルールリスト１２０３は脅威３の脅威ＩＤ４０１、ルールリスト１２０４は脅威４の脅威ＩＤ４０１を有する。図１２では、ルールリスト１２０１～１２０４の順にリスク値４０２が大きいものとする。

【0062】

ステップＳ１１０１により、ルールリスト１２０１～１２０４は、リスク値４０２が大きい順に並び替えられる。ステップＳ１１０２により、ルールリスト１２０１～１２０４はそれぞれ、重要度４０６が高い順に並び替えられる。ステップＳ１１０３により、ルールリスト１２０１～１２０４の各々において、重要度４０６が同一のエントリについては、検出コスト４０７が低い方が上位となるように並び替えられる。たとえば、ルールリスト１２０１のルールＩＤ４０３が１Ｂ、１Ｃの両エントリでは、重要度４０６はともに「中」であるため、検出コスト４０７が低い１Ｂが１Ｃよりも上位に並び替えられる。

【0063】

ルールリスト１２０１～１２０４において、リスク値４０２が最大の脅威であり、かつ、振分優先度が最高のエントリは、ルールＩＤ４０３が１Ａの攻撃検出ルールである。一方、振分優先度が最低のエントリは、ルールＩＤ４０３が４Ｄの攻撃検出ルールである。振分優先度とは重要度４０６であり、重要度４０６が同じであれば検出コスト４０７の低さにより決まる。

【0064】

＜ログ収集方式決定処理（ステップＳ１００５）＞
図１３は、ログ収集方式決定処理（ステップＳ１００５）の詳細な処理手順例を示すフローチャートである。図１４は、ログ収集方式決定処理（ステップＳ１００５）による処理例を示す説明図である。図１４は、図１２による並び替え後のルールリスト１２０１～１２０４を例に挙げて説明する。

【0065】

図１３において、監視装置２０１は、検出コスト４０７が所定値以下、たとえば、「０」の攻撃検出ルールの収集方式４０８を「受動」に設定する（ステップＳ１３０１）。具体的には、たとえば、図１４の（Ａ）に示したように、各ルールリストにおいて検出コスト４０７が「０」の攻撃検出ルールの収集方式４０８に「受動」が設定される。

【0066】

図１３において、監視装置２０１は、各脅威において、脅威内の最上位の重要度４０６に１つ以上の受動ルールが存在すれば、当該脅威をルール振り分け候補から削除する（ステップＳ１３０２）。具体的には、たとえば、図１４の（Ａ）において、ルールリスト１２０２では、ルールＩＤ４０３が２Ａのエントリが、ルールリスト１２０２内の重要度４０６が最上位の攻撃検出ルールである。攻撃検出ルール２Ａの検出コスト４０７は「０」であるため、ステップＳ１３０１で収集方式４０８が「受動」に設定されている。

【0067】

同様に、ルールリスト１２０３では、ルールＩＤ４０３が３Ａのエントリが、ルールリスト１２０２内の重要度４０６が最上位の攻撃検出ルールである。攻撃検出ルール３Ａの検出コスト４０７は「０」であるため、ステップＳ１３０１で収集方式４０８が「受動」に設定されている。したがって、ルールリスト１２０２，１２０３である脅威２，３は、ルール振り分け候補から削除される（図１３中、×印で表記）。

【0068】

図１３において、監視装置２０１は、すべての脅威がルール振り分け候補から削除されているか否かを判断する（ステップＳ１３０３）。すべての脅威がルール振り分け候補から削除されていれば（ステップＳ１３０３：Ｙｅｓ）、監視装置２０１は、すべての脅威をルール振り分け候補に戻して（ステップＳ１３０４）、ステップＳ１３０５に移行する。すべての脅威がルール振り分け候補から削除されてなければ（ステップＳ１３０３：Ｎｏ）、ステップＳ１３０５に移行する。

【0069】

具体的には、たとえば、図１４の（Ｂ）では、ステップＳ１３０２でルール振り分け候補から削除された脅威は、ルールリスト１２０２，１２０３の脅威２，３であり、脅威１，４は残存するため、ステップＳ１３０４を実行せずにステップＳ１３０５に移行する。

【0070】

図１３において、監視装置２０１は、リスク値４０２が最大の脅威において振分優先度が最上位の攻撃検出ルールの収集方式４０８を「受動」に設定する（ステップＳ１３０５）。設定対象となる振分優先度が最上位の攻撃検出ルールは、収集方式４０８が未設定な攻撃検出ルールである。具体的には、たとえば、図１４の（Ｂ）において、リスク値４０２が最大の脅威はルールリスト１２０１である。ルールリスト１２０１において、振分優先度が最上位の攻撃検出ルールは、攻撃検出ルール１Ａである。監視装置２０１は、攻撃検出ルール１Ａの収集方式４０８を「受動」に設定する。

【0071】

図１３において、監視装置２０１は、ルール振り分け候補の各々について、当該脅威内の最上位の重要度４０６に１つ以上の受動ルールが存在する脅威をルール振り分け候補から削除する（ステップＳ１３０６）。具体的には、たとえば、図１４の（Ｂ）において、ルールリスト１２０１内の最上位の重要度４０６は「高」であり、そのエントリは、攻撃検出ルール１Ａのみである。攻撃検出ルール１Ａの収集方式４０８は、ステップＳ１３０５で「受動」に設定されている。したがって、脅威１のルールリスト１２０１はルール振り分け候補から削除される（図１３中、×印で表記）。

【0072】

図１３において、監視装置２０１は、現状の受動ルールでの総検出コストが、実際に使用可能な通信コストより小さいか否かを判断する（ステップＳ１３０７）。実際に使用可能な通信コストとは、あらかじめ設定された値である。現状の受動ルールでの総検出コストとは、これまでの処理において収集方式４０８が「受動」に設定された攻撃検出ルールにおける検出コスト４０７の総和である。

【0073】

総検出コストが、実際に使用可能な通信コストより小さければ（ステップＳ１３０７：Ｙｅｓ）、まだ実際に使用可能な通信コストに余裕があるため、ステップＳ１３０３に戻る。一方、総検出コストが、実際に使用可能な通信コストより小さくなければ（ステップＳ１３０７：Ｎｏ）、ステップＳ１３０８に移行する。

【0074】

具体的には、たとえば、図１４の（Ｂ）において、現状の受動ルールとは、収集方式４０８に「受動」が設定された攻撃検出ルール１Ａ，１Ｂ，２Ａ，３Ａ，４Ｂである。総検出コストは、攻撃検出ルール１Ａ，１Ｂ，２Ａ，３Ａ，４Ｂの検出コスト４０７の値「１００」、「０」、「０」、「０」、「０」の総和「１００」である。実際に使用可能な通信コストを、たとえば、Ｃｔｈ＝２００とする。総検出コスト「１００」が通信コストＣｔｈよりも小さいため（ステップＳ１３０７：Ｙｅｓ）、ステップＳ１３０３に戻る。

【0075】

ステップＳ１３０３において、図１４（Ｂ）では、まだ、脅威４のルールリスト１２０４が残存しているため、ステップＳ１３０３：Ｎｏとなり、ステップＳ１３０５に移行する。ルール振り分け候補のうちリスク値４０２が最大の脅威は、脅威４である。脅威４のルールリスト１２０４において振分優先度が最上位でかつ収集方式４０８が未設定の攻撃検出ルールは、攻撃検出ルール４Ａである。したがって、監視装置２０１は、攻撃検出ルール４Ａの収集方式４０８を「受動」に設定する（ステップＳ１３０５）。

【0076】

ステップＳ１３０６において、監視装置２０１は、ルール振り分け候補である脅威４のルールリスト１２０４内の最上位の重要度４０６「高」である攻撃検出ルールは、攻撃検出ルール４Ａである。したがって、脅威４は、ルールリスト１２０４内の最上位の重要度４０６「高」に１つ以上の受動ルールが存在する脅威には該当するため、脅威４は、ルール振り分け候補から削除される（ステップＳ１３０６）。

【0077】

ステップＳ１３０７において、現状の受動ルールは、収集方式４０８に「受動」が設定された攻撃検出ルール１Ａ，１Ｂ，２Ａ，３Ａ，４Ａ，４Ｂである。総検出コストは、攻撃検出ルール１Ａ，１Ｂ，２Ａ，３Ａ，４Ａ，４Ｂの検出コストの値「１００」、「０」、「０」、「０」、「３００」、「０」の総和「４００」である。本例では、実際に使用可能な通信コストＣｔｈ＝２００である。総検出コスト「４００」が通信コストＣｔｈよりも小さくないため（ステップＳ１３０７：Ｎｏ）、ステップＳ１３０８に移行する。

【0078】

ステップＳ１３０８において、監視装置２０１は、直前に受動ルールにした攻撃検出ルールの収集方式４０８を「能動」に変更する（ステップＳ１３０８）。直前に受動ルールにした攻撃検出ルールとは、上記の例では、ステップＳ１３０５で設定された攻撃検出ルール４Ａである。監視装置２０１は、攻撃検出ルール４Ａの収集方式４０８を「受動」から「能動」に変更する。このような収集方式４０８の振り分けにより、攻撃の検出精度を下げずに、監視対象からのログを収集する際の通信コストを削減することができる。

【0079】

＜脅威検出フェーズＦ２＞
図１５は、脅威検出フェーズＦ２の詳細な処理手順例を示すフローチャートである。受動ルールに対応するＩｏＴ機器１１０は、ログ生成モジュール８１１により、ログを生成する（ステップＳ１５０１）。受動ルールに対応するＩｏＴ機器１１０は、ログ送信モジュール８１２により、生成したログを監視装置２０１に送信する（ステップＳ１５０２）。

【0080】

監視装置２０１は、第１生成モジュール３１５により、受信したログを解析して攻撃検出ルールに適合すると、第１アラートを生成し（ステップＳ１５０３）、アラートＤＢ１０３に格納する。監視装置２０１は、ログ収集先および収集範囲の特定処理を実行する（ステップＳ１５０４）。ログ収集先とは、能動的にログを収集する場合に監視装置２０１がログを収集し、かつ、能動ルールに対応するＩｏＴ機器１１０である。収集範囲とは、収集対象となるログのタイムスタンプ９０１の範囲である。ログ収集先および収集範囲の特定処理（ステップＳ１５０４）の詳細は、図１６で後述する。

【0081】

監視装置２０１は、ログ収集先にログ収集リクエストを送信する（ステップＳ１５０５）。能動ルールに対応するＩｏＴ機器１１０は、リクエスト処理モジュール８１３により送信対象のログをログＤＢ８２０から決定する（ステップＳ１５０６）。そして、能動ルールに対応するＩｏＴ機器１１０は、送信対象のログを監視装置２０１に送信する（ステップＳ１５０７）。

【0082】

監視装置２０１は、第２生成モジュール３１７により、受信したログを解析して攻撃検出ルールに適合すると、第２アラートを生成し（ステップＳ１５０８）、アラートＤＢ１０３に格納する。監視装置２０１は、検出モジュール３１８により、該当する脅威を検出する（ステップＳ１５０９）。具体的には、たとえば、監視装置２０１は、スコアＤＢ１０５を参照して、第１アラートの生成元の受動ルールのスコア７０２と、第２アラートの生成元の能動ルールのスコア７０２との総和が、対応する脅威のしきい値７０１以上であるか否かを判定する。

【0083】

しきい値７０１以上であれば、監視装置２０１は脅威の予兆や発生済みの脅威を検出する。このように、攻撃検出ルールでのログの収集方式４０８を受動方式および能動方式に振り分けることで、受動方式により攻撃を漏れなく検出して検出精度の低下を抑制しつつ、能動方式により通信コストの低減化を図ることができる。なお、ステップＳ１５０９は、ステップＳ１５０３のあとに実行されてもよい。すなわち、監視装置２０１は、第１アラートの生成元の受動ルールのスコア７０２の総和で、対応する脅威のしきい値７０１以上であるか否かを判定してもよい。

【0084】

＜ログ収集先および収集範囲の特定処理（ステップＳ１５０４）＞
図１６は、ログ収集先および収集範囲の特定処理（ステップＳ１５０４）の詳細な処理手順例を示すフローチャートである。監視装置２０１は、アラートを生成した受動ルール（以下、第１ルール）に関連のある第２ルールのルールＩＤ４０３を、ルールＤＢ３２０から抽出する（ステップＳ１６０１）。具体的には、たとえば、第１ルールに関連のある第２ルールとは、第１ルールと同じ脅威に含まれる攻撃検出ルールである。

【0085】

監視装置２０１は、ルールＤＢ３２０を参照して、第２ルールのルールＩＤ４０３に対応するログ収集機器ＩＤ４０４を特定する（ステップＳ１６０２）。特定されたログ収集機器ＩＤ４０４のＩｏＴ機器１１０がログ収集先となる。

【0086】

監視装置２０１は、シーケンスＤＢ１０４を参照して、第２ルールのルールＩＤ４０３（アラートＩＤ５０１）が第１ルールのルールＩＤ４０３（アラートＩＤ５０１）よりも前か否かを判断する（ステップＳ１６０３）。第２ルールのルールＩＤ４０３が第１ルールのルールＩＤ４０３よりも前である場合（ステップＳ１６０３：Ｙｅｓ）、監視装置２０１は、現在から一定時間遡った一定期間を収集範囲に決定して（ステップＳ１６０４）、ログ収集先および収集範囲の特定処理（ステップＳ１５０４）を終了する。

【0087】

一方、第２ルールのルールＩＤ４０３が第１ルールのルールＩＤ４０３よりも前でない場合（ステップＳ１６０３：Ｎｏ）、監視装置２０１は、現在から一定時間先までの一定期間を収集範囲に決定して（ステップＳ１６０５）、ログ収集先および収集範囲の特定処理（ステップＳ１５０４）を終了する。

【0088】

これにより、監視装置２０１は、ステップＳ１６０２で特定されたログ収集機器に、ステップＳ１６０４またはＳ１６０５で決定された収集範囲のログを要求するログ収集リクエストを送信することになる（ステップＳ１５０５）。

【0089】

図１７は、振り分け作業画面の一例を示す説明図である。振り分け作業画面１７００は、監視装置２０１の出力デバイス３０５で表示される。振り分け作業画面１７００は、全攻撃検出ルールを表示するエリア１７０１と、受動ルールを表示するエリア１７０２と、能動ルールを表示するエリア１７０３と、通信コストの入力欄１７０４と、実行ボタン１７０５とを有する。

【0090】

全攻撃検出ルールを表示するエリア１７０１は、ルールＤＢ３２０のルールＩＤ４０３およびルール内容４０５が表示されるエリアである。受動ルールを表示するエリア１７０２は、ルールＤＢ３２０の受動ルールのルールＩＤ４０３および、ルール内容４０５が表示されるエリアである。能動ルールを表示するエリア１７０３は、ルールＤＢ３２０の能動ルールのルールＩＤ４０３および、ルール内容４０５が表示されるエリアである。

【0091】

通信コストの入力欄１７０４は、ＩｏＴ機器１１０を監視する際の使用できる通信コスト（ステップＳ１３０７）を入力するための領域である。実行ボタン１７０５は、入力欄１７０４に数値が入力された状態で押されると、振り分け処理が実施され、受動ルールを表示するエリア１７０２と能動ルールを表示するエリア１７０３に振り分けられた攻撃検出ルールが新たに表示される。振り分け作業者は、入力欄１７０４の数値を変更しながら、攻撃検出ルールがどのように振り分けられるか確認することが可能となる。

【0092】

なお、上述した実施例では、図１３において、検出コスト４０７が所定値以下のルールを先に受動ルールに設定してから、総検出コストが通信コストの範囲内に収まるようにリスク値４０２および重要度４０６（振分優先度）が高い攻撃検出ルールを受動ルールとして追加し、通信コストオーバーとなった場合に、当該直前に追加された高振分優先度の攻撃検出ルールを能動ルールに振り分けた。

【0093】

しかし、検出コスト４０７は所定値以下に限らず、ステップＳ１３０１において、監視装置２０１は、脅威（ルールリスト）ごとに、ルールリスト内で相対的に低い検出コストの攻撃検出ルール（ルールリスト内で検出コスト４０７が少なくとも最大ではない攻撃検出ルール）を受動ルールに設定してもよい。

【0094】

また、図１３において、先にリスク値４０２および重要度４０６（振分優先度）が所定値以上の攻撃検出ルールを、総検出コストが通信コストを超えない程度に受動ルールに設定してから、総検出コストが通信コストの範囲内に収まるようにリスク値４０２および重要度４０６（振分優先度）が低い攻撃検出ルールを受動ルールとして追加し、通信コストオーバーとなった場合に、当該直前に追加された低振分優先度の攻撃検出ルールを能動ルールに振り分けてもよい。

【0095】

またこの場合、リスク値４０２は所定値以上に限らず、監視装置２０１は、攻撃検出ルール群１０１ｓ内で相対的に高いリスク値４０２の攻撃検出ルール（攻撃検出ルール群１０１ｓ内でリスク値４０２が少なくとも最小ではない攻撃検出ルール）を受動ルールに設定してもよい。同様に、重要度４０６（振分優先度）も所定値以上に限らず、監視装置２０１は、ルールリスト内で相対的に高いリスク値４０２の攻撃検出ルール（ルールリスト内で重要度４０６（振分優先度）が少なくとも最小ではない攻撃検出ルール）を受動ルールに設定してもよい。

【0096】

また、上述したすべての例においてリスク値４０２を用いたが、リスク値４０２は考慮しなくてもよい。たとえば、ＦＴ分析でリスク値４０２が得られなかった場合、または、分析者が不要と判断した場合には、監視装置２０１は、リスク値４０２を考慮せずにログ収集方式決定フェーズＦ１および脅威検出フェーズＦ２を実行してもよい。

【0097】

（１）このように、本実施例にかかる監視装置２０１は、取得モジュール３１１により、脅威の発生に必要な複数の事象の関連性を示す脅威情報１００を取得する取得処理と、決定モジュール３１４により、取得処理によって取得された脅威情報１００に基づいて、ＩｏＴ機器１１０への攻撃を検出する攻撃検出ルールによるＩｏＴ機器１１０からのログの収集方式４０８を、ＩｏＴ機器１１０からログが送信されてきた場合に収集する受動方式と、監視装置２０１からＩｏＴ機器１１０に要求した場合にログをＩｏＴ機器１１０から収集する能動方式と、のいずれかに決定する決定処理と、を実行する。

【0098】

これにより、攻撃の検出精度を下げずに、監視対象からのログを収集する際の通信コストを削減することができる。

【0099】

（２）また、上記（１）において、監視装置２０１は、算出モジュール３１２により、複数の事象の各々について、他の事象との関連性に基づいて、攻撃検出ルールの重要度４０６を算出する算出処理を実行し、決定処理では、監視装置２０１は、算出処理によって算出された攻撃検出ルールの重要度４０６に基づいて、ログの収集方式４０８を、受動方式と能動方式とのいずれかに決定してもよい。

【0100】

これにより、ログを監視する攻撃検出ルールの重要度４０６を用いることで重要度４０６を重視して収集方式４０８を決定することができる。したがって、ＩｏＴ機器１１０から収集するログを、重要度４０６を考慮して、従来通り常時収集するログと有事の際に能動的に収集するログに振り分けることで、ログ収集量を減らし、通信コストを削減することが可能になる。

【0101】

（３）また、上記（２）において、算出処理では、監視装置２０１は、複数の事象の各々について、事象が複数の原因の中から選ばれた原因であるか否かに基づいて、攻撃検出ルールの重要度４０６を算出してもよい。

【0102】

これにより、たとえば、脅威情報１００において、トップ事象（たとえば、脅威Ｘ）から攻撃検出ルールに対応した事象までの和の論理記号１００Ｂの数が少ないほど、重要度４０６は高くなる。したがって、重要度４０６の算出の容易化を図ることができる。

【0103】

（４）また、上記（２）において、決定処理では、監視装置２０１は、攻撃検出ルールの重要度４０６が所定のまたは最大ではない第１重要度よりも高い第２重要度である場合、ルールによるログの収集方式４０８を、能動方式に決定してもよい（ステップＳ１３０５、Ｓ１３０８）。

【0104】

これにより、監視装置２０１は、絶対的または相対的な評価により重要度４０６が高い攻撃検出ルールほど、収集方式４０８を能動方式に決定することができる。

【0105】

（５）また、上記（４）において、攻撃検出ルールは、脅威による危険性を示すリスク値４０２を有し、決定処理では、監視装置２０１は、リスク値４０２が所定のまたは最大ではない第１リスク値４０２よりも高い第２リスク値である場合、攻撃検出ルールによるログの収集方式４０８を、能動方式に決定してもよい（ステップＳ１１０１、Ｓ１３０５、Ｓ１３０８）。

【0106】

これにより、絶対的または相対的な評価によりリスク値４０２が高く、かつ、絶対的または相対的な評価により重要度４０６が高い攻撃検出ルールほど、収集方式４０８を能動方式に決定することができる。

【0107】

（６）また、上記（１）において、監視装置２０１は、算出モジュール３１２により、複数の事象の各々について、攻撃検出ルールが適用されるＩｏＴ機器１１０からログを収集するために必要な通信コストと、ＩｏＴ機器１１０の数と、に基づいて、ＩｏＴ機器１１０への攻撃を検出するための検出コスト４０７を算出する算出処理を実行し、決定処理では、監視装置２０１は、算出処理によって算出された検出コスト４０７に基づいて、攻撃検出ルールによるログの収集方式４０８を、受動方式と能動方式とのいずれかに決定してもよい。

【0108】

これにより、攻撃の検出コスト４０７を用いることで、検出コスト４０７を重視して収集方式４０８を決定することができる。したがって、ＩｏＴ機器１１０から収集するログを、検出コスト４０７を考慮して、従来通り常時収集するログと有事の際に能動的に収集するログに振り分けることで、ログ収集量を減らし、通信コストを削減することが可能になる。

【0109】

（７）また、上記（６）において、決定処理では、監視装置２０１は、検出コスト４０７が所定のまたは最小ではない第１検出コストよりも小さい第２検出コストである場合、攻撃検出ルールによるログの収集方式４０８を、受動方式に決定してもよい（ステップＳ１３０１）。

【0110】

これにより、監視装置２０１は、絶対的または相対的な評価により検出コスト４０７が低い攻撃検出ルールほど、収集方式４０８を受動方式に決定することができる。

【0111】

（８）また、上記（６）において、決定処理では、監視装置２０１は、攻撃検出ルールの検出コスト４０７と、攻撃検出ルールよりも先に受動方式に決定された他のルールの検出コスト４０７と、の総和（総検出コスト）に基づいて、攻撃検出ルールによるログの収集方式４０８を、受動方式と能動方式とのいずれかに決定してもよい（ステップＳ１３０７）。

【0112】

これにより、検出コスト４０７が低い攻撃検出ルールほど、収集方式４０８が受動方式に決定されやすくなる。

【0113】

（９）また、上記（８）において、決定処理では、監視装置２０１は、総和（総検出コスト）が実際に使える通信コスト以上でない場合、攻撃検出ルールによるログの収集方式４０８を、受動方式に決定し、実際に使える通信コスト以上である場合、攻撃検出ルールによるログの収集方式４０８を、能動方式に決定してもよい。

【0114】

これにより、実際に使える通信コストを超えない範囲で、検出コスト４０７が低い攻撃検出ルールほど、収集方式４０８が受動方式に決定されやすくなる。

【0115】

（１０）また、上記（１）において、監視装置２０１は、脅威を時系列なルールで規定した時系列情報であるシーケンスＤＢ１０４にアクセス可能であり、監視装置２０１は、第１生成モジュール３１５により、ＩｏＴ機器１１０からのログに基づいて、受動方式に決定された第１ルールに該当する特定の脅威に関する第１アラートを生成する第１生成処理と、特定モジュール３１６により、第１生成処理によって第１アラートが生成された場合、シーケンスＤＢ１０４を参照して、第１ルールに該当する特定の脅威を規定した特定の時系列な攻撃検出ルールのうち、第１ルール以外の第２ルールの検出元となる他のＩｏＴ機器１１０を特定する特定処理と、第２生成モジュール３１７により、特定処理によって特定された他のＩｏＴ機器１１０に他のＩｏＴ機器１１０からのログの収集要求を送信した結果、他のＩｏＴ機器１１０からのログが収集された場合、他のＩｏＴ機器１１０からのログに基づいて、第２ルールに該当する特定の脅威に関する第２アラートを生成する第２生成処理と、検出モジュール３１８により、第２生成処理によって第２アラートが生成された場合、特定の時系列な攻撃検出ルールのうち第１アラートおよび第２アラートの生成元となる攻撃検出ルールの数に基づいて、特定の時系列な攻撃検出ルールで規定される特定の脅威を検出する検出処理と、を実行してもよい。

【0116】

これにより、どのＩｏＴ機器１１０にどのような脅威が発生または発生の予兆があるかを高精度に検出することができる。

【0117】

（１１）また、上記（１０）において、特定処理では、監視装置２０１は、特定の時系列なルールにおける第１ルールおよび第２ルールの前後関係に基づいて、収集要求の対象ログを特定し、第２生成処理では、監視装置２０１は、他のＩｏＴ機器１１０に他のＩｏＴ機器１１０からの対象ログの収集要求を送信した結果、他のＩｏＴ機器１１０からの対象ログが収集された場合、他のＩｏＴ機器１１０からの対象ログに基づいて、第２アラートを生成してもよい。

【0118】

攻撃対象であるＩｏＴ機器１１０からのログの時期的な収集範囲を特定して、攻撃の検出に有用なログを収集することができる。

【0119】

（１２）また、上記（１１）において、特定処理では、監視装置２０１は、特定の時系列な攻撃検出ルールにおいて第２ルールが第１ルールよりも前に規定されている場合、現在から一定期間過去のログを対象ログに決定し、特定の時系列な攻撃検出ルールにおいて第２ルールが第１ルールよりも後に規定されている場合、現在から一定期間先までのログを対象ログに決定してもよい。

【0120】

これにより、第１ルールと第２ルールの前後関係から容易にログの収集範囲を特定することができる。

【0121】

（１３）また、上記（１０）において、監視装置２０１は、脅威ＩＤ４０１と、時系列な攻撃検出ルールを構成する各攻撃検出ルールの重みであるスコア７０２と、脅威の発生を判定する判定しきい値７０１と、を関連付けた重み情報であるスコアＤＢ１０５にアクセス可能であり、検出処理では、監視装置２０１は、スコアＤＢ１０５を参照して、第１アラートおよび第２アラートの生成元となるルールの重みの総和が、判定しきい値７０１以上である場合、特定の脅威を検出してもよい。

【0122】

スコアＤＢ１０５を用いることで客観的な評価指標で脅威をＩｏＴ機器１１０への攻撃として検出することができ、脅威の検出精度の向上を図ることができる。

【0123】

なお、本発明は前述した実施例に限定されるものではなく、添付した特許請求の範囲の趣旨内における様々な変形例及び同等の構成が含まれる。例えば、前述した実施例は本発明を分かりやすく説明するために詳細に説明したものであり、必ずしも説明した全ての構成を備えるものに本発明は限定されない。また、ある実施例の構成の一部を他の実施例の構成に置き換えてもよい。また、ある実施例の構成に他の実施例の構成を加えてもよい。また、各実施例の構成の一部について、他の構成の追加、削除、または置換をしてもよい。

【0124】

また、前述した各構成、機能、処理部、処理手段等は、それらの一部又は全部を、例えば集積回路で設計する等により、ハードウェアで実現してもよく、プロセッサがそれぞれの機能を実現するプログラムを解釈し実行することにより、ソフトウェアで実現してもよい。

【0125】

各機能を実現するプログラム、テーブル、ファイル等の情報は、メモリ、ハードディスク、ＳＳＤ（Ｓｏｌｉｄ Ｓｔａｔｅ Ｄｒｉｖｅ）等の記憶装置、又は、ＩＣ（Ｉｎｔｅｇｒａｔｅｄ Ｃｉｒｃｕｉｔ）カード、ＳＤカード、ＤＶＤ（Ｄｉｇｉｔａｌ Ｖｅｒｓａｔｉｌｅ Ｄｉｓｃ）の記録媒体に格納することができる。

【0126】

また、制御線や情報線は説明上必要と考えられるものを示しており、実装上必要な全ての制御線や情報線を示しているとは限らない。実際には、ほとんど全ての構成が相互に接続されていると考えてよい。

【符号の説明】

【0127】

１００ 脅威情報
１０３ アラートＤＢ
１０４ シーケンスＤＢ
１０５ スコアＤＢ
１１０ ＩｏＴ機器
２００ 監視システム
２０１ 監視装置
２０２ ＩｏＴシステム
２０３ ネットワーク
３０１ プロセッサ
３０２ メモリ
３０３ 記憶装置
３１０ 監視プログラム
３１１ 取得モジュール
３１２ 算出モジュール
３１３ 並び替えモジュール
３１４ 決定モジュール
３１５ 第１生成モジュール
３１６ 特定モジュール
３１７ 第２生成モジュール
３１８ 検出モジュール
３２０ ルールＤＢ
８２０ ログＤＢ
Ｆ１ ログ収集方式決定フェーズ
Ｆ２ 脅威検出フェーズ

【図1】

【図2】

【図3】

【図4】

【図5】

【図6】

【図7】

【図8】

【図9】

【図10】

【図11】

【図12】

【図13】

【図14】

【図15】

【図16】

【図17】