特許 7441719 インシデント情報分析装置、分析方法、および分析プログラム

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】特許公報(B2)

(11)【特許番号】

(24)【登録日】2024-02-21

(45)【発行日】2024-03-01

(54)【発明の名称】インシデント情報分析装置、分析方法、および分析プログラム

(51)【国際特許分類】

   G06F 21/57 20130101AFI20240222BHJP

   G06F 21/55 20130101ALI20240222BHJP

【ＦＩ】

G06F21/57 370

G06F21/55 340

【請求項の数】 10

(21)【出願番号】P 2020083133

(22)【出願日】2020-05-11

(65)【公開番号】P2021179660

(43)【公開日】2021-11-18

【審査請求日】2023-01-27

(73)【特許権者】

【識別番号】000233055

【氏名又は名称】株式会社日立ソリューションズ

(74)【代理人】

【識別番号】110000279

【氏名又は名称】弁理士法人ウィルフォート国際特許事務所

(72)【発明者】

【氏名】チェン イーウェン

(72)【発明者】

【氏名】山▲崎▼ 裕紀

(72)【発明者】

【氏名】岡田 健一

(72)【発明者】

【氏名】鈴木 則夫

【審査官】岸野 徹

(56)【参考文献】

【文献】特開２０１８－０７７５９８（ＪＰ，Ａ）

【文献】特開２０１９－１６８８６９（ＪＰ，Ａ）

【文献】特開２００７－１２２７４９（ＪＰ，Ａ）

【文献】特開２０２０－１６０６１１（ＪＰ，Ａ）

(58)【調査した分野】(Int.Cl.，ＤＢ名)

Ｇ０６Ｆ ２１／５７

Ｇ０６Ｆ ２１／５５

(57)【特許請求の範囲】

【請求項1】

インシデント情報の文章から単語を抽出し、該単語に対応する情報処理装置の要素を識別する要素識別部と、
前記インシデント情報から抽出された単語に対応する前記要素の組み合わせに基づいて、当該インシデント情報に示された攻撃が辿る攻撃経路を特定する攻撃経路特定部と、
前記識別された要素と前記特定された攻撃経路とに基づいて、前記情報処理装置のシステム構成に関する構成情報を推定する構成推定部と、を有するインシデント情報分析装置。

【請求項2】

前記攻撃経路は、複数の要素とその順序により示され、
前記攻撃経路特定部は、前記インシデント情報における前記要素の登場順序を、前記攻撃経路における前記要素の順序とする、
請求項１に記載のインシデント情報分析装置。

【請求項3】

前記構成推定部は、情報処理装置のシステム構成と攻撃経路とを対応付けるシステム構成攻撃経路対応付け情報を管理し、前記特定された攻撃経路が前記システム構成攻撃経路対応付け情報に含まれていれば、当該攻撃経路に対応するシステム構成を前記情報処理装置のシステム構成と推定し、前記特定された攻撃経路が前記システム構成攻撃経路対応付け情報に含まれていなければ、当該攻撃経路に対応するシステム構成を前記システム構成攻撃経路対応付け情報に登録することを分析者に促す、
請求項１に記載のインシデント情報分析装置。

【請求項4】

前記システム構成攻撃経路対応付け情報に含まれているシステム構成と、管理対象装置のシステム構成との類似度を算出する構成比較部と、
攻撃経路と該攻撃経路の攻撃に対する対策とを対応付けた対策情報を管理し、前記システム構成攻撃経路対応付け情報において、前記管理対象装置のシステム構成と所定の類似度を有するシステム構成に対応する攻撃経路の、前記対策情報において対応する対策を提示する対策提示部と、を更に有する、
請求項３に記載のインシデント情報分析装置。

【請求項5】

システム構成は、各階層に存在する要素が定められた階層構造を有する情報であり、
前記構成比較部は、システム構成における各階層の要素同士の類似度を合成して前記類似度を算出する、
請求項４に記載のインシデント情報分析装置。

【請求項6】

前記対策情報には、攻撃経路と対策とに加え、前記対策による効果が対応付けられており、
前記対策提示部は、前記類似度と、前記対策情報において前記対策に対応する効果とに基づいて、前記対策の前記管理対象装置に対する効果を算出し、前記対策と共に提示する、
請求項４に記載のインシデント情報分析装置。

【請求項7】

前記インシデント情報と、前記インシデント情報に対応する前記攻撃経路および前記システム構成と、を画面に表示する出力部を更に有する、
請求項１に記載のインシデント情報分析装置。

【請求項8】

提示された前記対策と前記対策の前記管理対象装置に対する効果とを対応付けて画面に表示する出力部を更に有する、
請求項６に記載のインシデント情報分析装置。

【請求項9】

インシデント情報に含まれる、情報処理装置の要素の記載を抽出し、
前記インシデント情報から抽出された前記要素の組合せに基づいて、前記インシデント情報に示された攻撃が辿る攻撃経路を特定し、
前記抽出された要素と前記特定された攻撃経路とに基づいて、前記情報処理装置のシステム構成に関する構成情報を推定することを、
前記情報処理装置のインシデント情報を分析するためのコンピュータが実行するインシデント情報分析方法。

【請求項10】

インシデント情報に含まれる、情報処理装置の要素の記載を抽出し、
前記インシデント情報から抽出された前記要素の組合せに基づいて、前記インシデント情報に示された攻撃が辿る攻撃経路を特定し、
前記抽出された要素と前記特定された攻撃経路とに基づいて、前記情報処理装置のシステム構成に関する構成情報を推定することを、
前記情報処理装置のインシデント情報を分析するためのコンピュータに実行させるためのインシデント情報分析プログラム。

【発明の詳細な説明】

【技術分野】

【0001】

本発明は、インシデント情報を分析する技術に関する。

【背景技術】

【0002】

近年、情報化社会の進展に伴って様々な情報処理装置が利用されている。これらの情報処理装置は、日々様々な攻撃の脅威に晒されている。近年の情報化社会の多くはこのような情報処理装置によって制御されているため、企業の情報処理システムや社会インフラシステムが攻撃を受けるとその被害の影響は大きい。

【0003】

しかし、攻撃対象となりうる情報処理装置の構成に応じて、攻撃を受ける前にあるいは攻撃を受けたときに適切な対策を適用すれば、攻撃を未然に防いだり、被害を最小限に抑えたりできる場合も多い。

【0004】

特許文献１には、脅威項目の攻撃経路に含まれるコンポーネントの情報とセキュリティ対策の効果値とから、各セキュリティ対策が大規模システム全体に対してどの程度の効果があるのかを算出することが開示されている。

【先行技術文献】

【特許文献】

【0005】

【文献】特開２０１８－７７５９７号公報

【発明の概要】

【発明が解決しようとする課題】

【0006】

情報処理装置への攻撃に関連する情報（インシデント情報）は、インターネットやＳＮＳ（Ｓｏｃｉａｌ Ｎｅｔｗｏｒｋｉｎｇ Ｓｅｒｖｉｃｅ）に存在することがある。このようなインシデント情報を活用することで情報処理装置の弱点や有効な対策が見つかることもある。そのため、例えば、企業等の組織内では、ＰＳＩＲＴ（Ｐｒｏｄｕｃｔ Ｃｅｑｕｒｉｔｙ Ｉｎｃｉｄｅｎｔ Ｒｅｓｐｏｎｓｅ Ｔｅａｍ）によって、インターネットやＳＮＳから、情報処理装置への攻撃に関連するインシデント情報を収集し、それを分析し、情報処理装置のセキュリティ維持に役立てるといったことが行われる。

【0007】

しかし、攻撃対象とされる情報処理装置の構成は様々であり、またインシデント情報の内容や表現も様々であることから、インシデント情報を分析して有益な情報を得るには分析者に専門知識が求められ、その作業には長時間を要する。

【0008】

本開示のひとつの目的は、インシデント情報の分析を支援する技術を提供することである。

【課題を解決するための手段】

【0009】

本開示のひとつの態様によるインシデント情報分析装置は、インシデント情報の文章から単語を抽出し、該単語に対応する情報処理装置の要素を識別する要素識別部と、前記インシデント情報から抽出された単語に対応する前記要素の組み合わせに基づいて、当該インシデント情報に示された攻撃が辿る攻撃経路を特定する攻撃経路特定部と、前記識別された要素と前記特定された攻撃経路とに基づいて、前記情報処理装置のシステム構成に関する構成情報を推定する構成推定部と、を有する。

【発明の効果】

【0010】

本開示のひとつの態様によれば、インシデント情報の分析を支援することが可能となる。

【図面の簡単な説明】

【0011】

【図1】実施形態によるインシデント情報分析システムのブロック図である。

【図2】図１に示したインシデント情報分析装置の構成を示すブロック図である。

【図3】図１及び図２に示したインシデント情報分析システム全体の処理を示すシーケンス図である。

【図4】図１及び図２に示したインシデント情報分析システムにおけるインシデント情報分析方法を説明するためのフローチャートである。

【図5】図1に示した入力装置に表示されるインシデント情報入力画面の一例を示す図である。

【図6】図４に示した要素識別部における要素識別処理を説明するためのフローチャートである。

【図7】図２に示したセキュリティ要素データベースの一例を示す図である。

【図8】図４に示した攻撃経路特定部における攻撃経路特定処理を説明するためのフローチャートである。

【図9】図２に示した攻撃経路定義データベースの一例を示す図である。

【図10】図４に示した構成推定部における構成推定処理を説明するためのフローチャートである。

【図11】図２に示した製品構成データベースの一例を示す図である。

【図12】構成推定部から出力部を介して出力される構成特定結果出力画面を示す図である。

【図13】図４に示した構成比較部における構成比較処理を説明するためのフローチャートである。

【図14】図２に示した自社製品データベースの一例を示す図である。

【図15】図２に示した自社製品データベースに自社製品のシステム構成を登録する際の自社製品構成入力画面の一例を示す図である。

【図16】図２に示した対策提示部における対策提示処理を説明するためのフローチャートである。

【図17】図２に示した対策データベースの一例を示す図である。

【図18】対策提示部から出力部を介して出力される影響判定結果出力画面を示す図である。

【発明を実施するための形態】

【0012】

以下に、本発明の実施形態について図面を参照して説明する。なお、以下の本願明細書においては、要素とは、情報処理装置に含まれる、コンポーネント部品やインタフェースや通信路など各部のハードウェア、アプリケーションやツールなどのソフトウェア、個人情報や演算結果などのデータなどを示す。また、攻撃経路は、情報処理装置における攻撃が辿った経路であり、要素およびその順序で示される。例えば、サーバにアクセスしてサーバのメモリ上の個人情報を摂取あるいは改ざんするという攻撃であれば、最初のアクセス先の要素からいくつかの要素を経由してターゲットである個人情報に到達する。その場合、アクセス先の要素からターゲットの要素（個人情報）までに存在する要素およびその順序が攻撃経路を示す。また、構成情報とは、情報処理装置に含まれる要素およびその要素の相互関係が示す構成であり、要素およびその要素同士の接続により示される。

【0013】

図１は、実施形態によるインシデント情報分析システムのブロック図である。本実施形態によるインシデント情報分析システムは図１に示すように、入力装置１１と、出力装置１２と、インシデント情報分析装置１３とを有し、入力装置１１及び出力装置１２がユーザ９０からアクセス可能に構成されている。入力装置１１は、ユーザ９０がインシデント情報分析装置１３にインシデント情報や自社製品構成情報を入力するためのものである。出力装置１２は、インシデント情報分析装置１３からの構成特定結果や影響判定結果をユーザ９０に提示出力するためのものである。

【0014】

図２は、図１に示したインシデント情報分析装置１３の構成を示すブロック図である。図１に示したインシデント情報分析装置１３は、図２に示すように、入力部３０１と、出力部３０２と、要素識別部３０３と、攻撃経路特定部３０４と、構成推定部３０５と、構成比較部３０６と、対策提示部３０７と、セキュリティ要素データベース３０８と、攻撃経路定義データベース３０９と、製品構成データベース３１０と、自社製品データベース３１１と、対策データベース３１２とを有している。

【0015】

入力部３０１は、ユーザ９０が入力装置１１を介して入力したインシデント情報や自社製品構成情報を受け付ける。

【0016】

出力部３０２は、構成特定結果や影響判定結果を出力装置３０２に出力する。

【0017】

要素識別部３０３は、入力部３０１にて受け付けたインシデント情報の文章から単語を抽出し、抽出した単語に対応する情報処理装置の要素を識別する。

【0018】

攻撃経路特定部３０４は、要素識別部３０３にて識別された要素の組み合わせに基づいて、その要素に対応する単語が抽出されたインシデント情報に示された攻撃が辿る攻撃経路を特定する。

【0019】

構成推定部３０５は、要素識別部３０３にて識別された要素と、攻撃経路特定部３０４にて特定された攻撃経路とに基づいて、情報処理装置のシステム構成に関する構成情報を推定する。また、構成推定部３０５は、情報処理装置のシステム構成と攻撃経路とを対応付けるシステム構成攻撃経路対応付け情報を製品構成データベース３１０として管理する。そして、特定された攻撃経路がシステム構成攻撃経路対応付け情報に含まれていれば、その攻撃経路に対応するシステム構成を情報処理装置のシステム構成と推定し、また、特定された攻撃経路がシステム構成攻撃経路対応付け情報に含まれていなければ、その攻撃経路に対応するシステム構成をシステム構成攻撃経路対応付け情報として製品構成データベース３１０に登録することを分析者に促す。

【0020】

構成比較部３０６は、製品構成データベース３１０として管理されるシステム構成攻撃経路対応付け情報に含まれているシステム構成と、管理対象装置のシステム構成との類似度を算出する。

【0021】

対策提示部３０７は、攻撃経路とその攻撃経路の攻撃に対する対策とを対応付けた対策情報を対策データベース３１２として管理し、製品構成データベース３１０として管理されるシステム構成攻撃経路対応付け情報において、管理対象装置のシステム構成と所定の類似度を有するシステム構成に対応する攻撃経路の、対策情報において対応する対策を提示する。

【0022】

以下に、上記のように構成されたインシデント情報分析システムにおけるインシデント情報分析方法について説明する。

【0023】

図３は、図１及び図２に示したインシデント情報分析システム全体の処理を示すシーケンス図である。図４は、図１及び図２に示したインシデント情報分析システムにおけるインシデント情報分析方法を説明するためのフローチャートである。

【0024】

図１及び図２に示したインシデント情報分析システムにおいてユーザ９０がインシデント情報の分析を行うために、インシデント情報の文章を入力装置１１に入力すると、入力されたインシデント情報の文章はインシデント情報分析装置１３の入力部３１０を介して要素識別部３０３に入力される。すると、要素識別部３０３において、入力されたインシデント情報から要素が識別される（ステップ４０１）。

【0025】

図５は、図1に示した入力装置１１に表示されるインシデント情報入力画面の一例を示す図である。

【0026】

図1に示した入力装置１１に表示されるインシデント情報入力画面としては例えば、図５に示すように、インシデント情報を入力するためのインシデント情報入力領域Ｄ０１と、執行項目を指定するための執行項目指定領域Ｄ０２と、インシデント情報の分析の実行を開始するための実行ボタンＤ０３とが設けられたものが考えられる。

【0027】

ユーザ９０は、執行項目指定領域Ｄ０２にて執行項目を指定するとともに、インシデント情報入力領域Ｄ０１にインシデント情報を入力し、実行ボタンＤ０３を押下することになる。なお、インシデント情報入力領域Ｄ０１へのインシデント情報の入力は、インシデント情報の文章をそのまま入力してもよいし、インシデント情報のＵＲＬ等を指定してもよい。

【0028】

図６は、図４に示した要素識別部３０３における要素識別処理を説明するためのフローチャートである。

【0029】

要素識別部３０３においては、インシデント情報が入力部３１０を介して入力されるとまず、入力されたインシデント情報からシステムの種類が識別される（ステップ４０１１）。

【0030】

次に、要素識別部３０３においては、インシデント情報の文章から単語が抽出される（ステップ４０１２）。

【0031】

次に、要素識別部３０３においては、セキュリティ要素データベース３０８が参照され、抽出された単語のそれぞれについて対応する要素が識別される（ステップ４０１３）。

【0032】

図７は、図２に示したセキュリティ要素データベース３０８の一例を示す図である。

【0033】

図７に示すように、図２に示したセキュリティ要素データベース３０８には、システムの種別毎に、単語に対応する要素が登録されている。そのため、要素識別部３０３においては、インシデント情報から単語が抽出されると、抽出された単語のそれぞれについて対応する要素を識別することができる。

【0034】

そして、入力されたインシデント情報に新たな単語が存在しない場合は（ステップ４０１４）、要素識別部３０３における要素識別処理を終了する。

【0035】

一方、入力されたインシデント情報に新たな単語が存在する場合は、その新たな単語と対応する要素がセキュリティ要素データベース３０８に登録され（ステップ４０１５）、ステップ４０１１の処理に戻る。

【0036】

要素識別部３０３における要素識別処理が終了すると次に、攻撃経路特定部３０４において、攻撃経路が特定される（ステップ４０２）。

【0037】

図８は、図４に示した攻撃経路特定部３０４における攻撃経路特定処理を説明するためのフローチャートである。

【0038】

攻撃経路特定部３０４においては、要素識別部３０３にて要素が識別されると、攻撃経路定義データベース３０９が参照され、識別された要素の組み合わせに基づいて、その要素に対応する単語が抽出されたインシデント情報に示された攻撃が辿る攻撃経路が特定される（ステップ４０２１）。

【0039】

図９は、図２に示した攻撃経路定義データベース３０９の一例を示す図である。

【0040】

図９に示すように、図２に示した攻撃経路定義データベース３０９には、システムの種類に応じて種別や詳細などからなる要素が対応づけられて要素識別番号によって識別可能に登録されているとともに、要素識別番号によって識別される要素に対する攻撃の経路がその要素と順序により示され、攻撃経路識別番号によって識別可能に登録されている。そのため、攻撃経路特定部３０４においては、要素識別部３０３にて識別された要素の組み合わせに基づいて、その要素に対応する単語が抽出されたインシデント情報に示された攻撃が辿る攻撃経路を特定することができる。その際、上述したように、攻撃経路が複数の要素とその順序により示されているため、攻撃経路特定部３０４は、インシデント情報における要素の登場順序を、攻撃経路における要素の順序とすることができる。このように、インシデント情報の文章構造における要素の登場順序を、攻撃経路にて要素を辿る順序とすることで、分析者は攻撃経路を容易に推定することができる。

【0041】

なお、本例においては、要素識別番号によって識別される要素に対する攻撃の経路がその要素と順序により示されているが、攻撃の順序が示されていなくてもよい。

【0042】

攻撃経路特定部３０４における攻撃経路特定処理が終了すると次に、構成推定部３０５において、要素識別部３０３にて識別された要素と、攻撃経路特定部３０４にて特定された攻撃経路とに基づいて、情報処理装置のシステム構成に関する構成情報が推定される（ステップ４０３）。

【0043】

図１０は、図４に示した構成推定部３０５における構成推定処理を説明するためのフローチャートである。

【0044】

構成推定部３０５においては、攻撃経路特定部３０４にて攻撃経路が特定されると、製品構成データベース３１０が参照され、特定された攻撃経路が製品構成データベース３１０に登録されているかどうかが確認される（ステップ４０３１）。

【0045】

図１１は、図２に示した製品構成データベース３１０の一例を示す図である。

【0046】

図１１に示すように、図２に示した製品構成データベース３１０には、攻撃経路に対応するシステム構成が製品番号によって識別可能に登録されている。攻撃経路は、図９に示した攻撃経路識別番号がその要素の組み合わせとともに登録されている。これらの情報は、自社製品ではなく、インターネットやSNSから収集されたインシデント情報から推定されたシステム構成に関する情報である。

【0047】

構成推定部３０５においては、このような構成の製品構成データベース３１０が参照され、攻撃経路特定部３０４にて特定された攻撃経路が製品構成データベース３１０に登録されている場合は、特定された攻撃経路に対応するシステム構成が推定される（ステップ４０３２）。

【0048】

一方、攻撃経路特定部３０４にて特定された攻撃経路が製品構成データベース３１０に登録されていない場合は、特定された攻撃経路とそのシステム構成が製品構成データベース３１０に登録される（ステップ４０３３）。

【0049】

このように、構成推定部３０５は、情報処理装置のシステム構成と攻撃経路とを対応付けるシステム構成攻撃経路対応付け情報を製品構成データベース３１０として管理しておき、特定された攻撃経路がシステム構成攻撃経路対応付け情報に含まれていれば、その攻撃経路に対応するシステム構成を情報処理装置のシステム構成と推定し、また、特定された攻撃経路がシステム構成攻撃経路対応付け情報に含まれていなければ、その攻撃経路に対応するシステム構成をシステム構成攻撃経路対応付け情報として製品構成データベース３１０に登録することを分析者に促すことになる。それにより、インシデント情報にて攻撃対象となった情報処理装置のシステム構成を容易に推定することができる。また、製品構成データベース３１０のシステム構成攻撃経路対応付け情報に含まれていない情報の追加を分析者に促すことにより、システム構成攻撃経路対応付け情報を拡張することができる。

【0050】

また、インシデント情報分析装置１２が、インシデント情報に基づいて要素を識別し、その要素の組合せに基づいて攻撃経路を特定し、その攻撃経路から情報処理装置のシステム構成を推定するので、分析者はインシデント情報を容易に分析することができる。

【0051】

このようにして構成推定部３０５にてシステム構成が推定されると、推定されたシステム構成が出力部３０２を介して出力装置１２に出力され、ユーザ９０に提示される（ステップ４０４）。

【0052】

図１２は、構成推定部３０５から出力部３０２を介して出力される構成特定結果出力画面を示す図である。

【0053】

図１２に示すように、構成推定部３０５から出力部３０２を介して出力され、出力装置１２にて表示出力される構成特定結果出力画面には、対応するインシデント情報Ｄ０４と、インシデント情報に対応する攻撃経路およびシステム構成Ｄ０５とが表示されるとともに、分析をやり直すためのやり直しボタンＤ０６と、結果を印刷するための印刷ボタンＤ０７と、終了ボタンＤ０８とが設けられている。

【0054】

このように、出力部３０２から、対応するインシデント情報と、インシデント情報に対応する攻撃経路およびシステム構成とが出力され、画面に表示されるので、分析者は容易に分析結果を知得することができる。

【0055】

構成推定部３０５におけるシステム構成推定処理が終了すると次に、構成比較部３０６において、製品構成データベース３１０として管理されるシステム構成攻撃経路対応付け情報に含まれているシステム構成と、管理対象装置のシステム構成との類似度が算出される（ステップ４０５）。

【0056】

図１３は、図４に示した構成比較部３０６における構成比較処理を説明するためのフローチャートである。

【0057】

構成比較部３０６においては、製品構成データベース３１０に登録されたシステム構成が構成推定部３０５を介して取得されるとともに（ステップ４０５１）、自社製品データベース３１１から自社製品のシステム構成が取得されると（ステップ４０５２）、まず、これらのシステム構成の入力があるかどうかが確認される（ステップ４０５３）。

【0058】

図１４は、図２に示した自社製品データベース３１１の一例を示す図である。

【0059】

図１４に示すように、図２に示した自社製品データベース３１１には、ユーザ９０の属する企業などの組織の製品のそれぞれについて、その種類毎に、コンポーネントやソフトウェアの名称と、メーカー名と、そのバージョンと、ライセンス、さらには、連接あるいは実装されるコンポーネントの数とが、番号によって識別可能に登録されている。

【0060】

構成比較部３０６においては、製品構成データベース３１０に登録されたシステム構成と、自社製品データベース３１１に登録された自社製品のシステム構成とのいずれの入力もない場合は、入力装置１１を介したユーザ９０の入力により、自社製品のシステム構成が取得される（ステップ４０５４）。

【0061】

図１５は、図２に示した自社製品データベース３１１に自社製品のシステム構成を登録する際の自社製品構成入力画面の一例を示す図である。

【0062】

図１５に示すように、図２に示した自社製品データベース３１１に自社製品のシステム構成を登録する際の自社製品構成入力画面には、入力された自社製品のシステム構成が表示されるシステム構成表示領域Ｄ０９と、影響判定を行う際に押下される影響判定実行ボタンＤ１０とが設けられている。

【0063】

ユーザ９０は、図１５に示した自社製品構成入力画面を用いて、自社製品のシステム構成を入力装置１１を介して入力することになる。

【0064】

入力装置１１を介して入力された自社製品のシステム構成は、入力部３０１を介して構成比較部３０６にて取得され、自社製品データベース３１１に登録され（ステップ４０５５）、ステップ４０５２における処理に戻る。

【0065】

一方、製品構成データベース３１０に登録されたシステム構成と、自社製品データベース３１１に登録された自社製品のシステム構成とのいずれの入力がある場合は、構成比較部３０６においては、これらのシステム構成について、インタフェースの一番近い層から一番遠い層まで、順次類似度が算出されていく（ステップ４０５６Ａ，４０５７，４０５８，４０５６Ｂ）。

【0066】

全ての階層について類似度が算出されると、構成比較部３０６においては、各階層の評価結果に基づいてシステム全体の類似度が算出される（ステップ４０５９）。具体的には、情報処理装置Ａのシステム構成において、階層ｘがｘａ、階層ｙがｙａ、階層ｚがｚａであるとし、情報処理装置Ｂのシステム構成において、階層ｘがｘｂ、階層ｙがｙｂ、階層ｚがｚｂであるとした場合、情報処理装置Ａと情報処理装置Ｂのシステム構成の類似度は、（類似度（ｘａ，ｘｂ））×（類似度（ｙａ，ｙｂ））×（類似度（ｚａ，ｚｂ））となる。なお、類似度（ｘａ，ｘａ）は要素の種別毎に予め定めておけばよい。例えば、物理的なコンポーネント部品であれば、規格、メーカー、バージョンなどの項目の一致の度合いにより類似度を定めてもよい。

【0067】

このように、システム構成が、各階層に存在する要素が定められた階層構造を有する情報である場合、構成比較部３０６においてシステム構成における各階層の要素同士の類似度を合成して類似度が算出されて定量評価されるので、分析者は容易に所定の類似度を有する情報処理装置への対策を得ることができる。

【0068】

構成比較部３０６における構成比較処理が終了すると、次に、対策提示部３０７においいて、インシデントへの対策および効果が算出されて提示される（ステップ４０６）。

【0069】

図１６は、図２に示した対策提示部３０７における対策提示処理を説明するためのフローチャートである。

【0070】

対策提示部３０７においてはまず、自社製品と類似度の高い製品が特定され（ステップ４０６１）、類似製品のシステム構成に有効な対策が特定される（ステップ４０６２）。

【0071】

次に、対策提示部３０７において、対策データベース３１２が参照され、特定された対策の効果が算出される（ステップ４０６３）。

【0072】

図１７は、図２に示した対策データベース３１２の一例を示す図である。

【0073】

図１７に示すように、図２に示した対策データベース３１２には、攻撃経路と、その攻撃経路に有効な対策と、その効果とが対応づけて登録されている。そのため、対策提示部３０７においては、特定された対策の効果を算出することができる。このように、図２に示した対策データベース３１２には、対策情報として、攻撃経路と対策とに加え、対策による効果が対応付けられている。

【0074】

その後、対策提示部３０７において、算出された効果が、特定された対策とともに提示される（ステップ４０６３）。具体的には、対策提示部にて算出された効果が特定された対策とともに出力部３０２によって出力装置１２にて表示出力されることになる。

【0075】

図１８は、対策提示部３０７から出力部３０２を介して出力される影響判定結果出力画面を示す図である。

【0076】

図１８に示すように、対策提示部３０７から出力部３０２を介して出力され、出力装置１２にて表示出力される影響判定結果出力画面には、自社製品への影響の有無を示す影響判定Ｄ１１と、その対応の緊急度Ｄ１２0と、構成比較部３０６にて算出された類似度Ｄ１４と、システム構成並びにその推奨対策及びそれによる効果Ｄ１４とが表示されるとともに、対策と効果の算出をやり直すためのやり直しボタンＤ１５と、結果を印刷するための印刷ボタンＤ１６と、終了ボタンＤ１７とが設けられている。

【0077】

このように、システム構成の類似度に基づいて選択された管理対象装置への対策が提示されるので、分析者は管理対象装置への攻撃に対する有効な対策を容易に推定することができる。

【0078】

また、対策提示部３０７において、構成比較部３０６にて算出された類似度と、対策データベース３１２に登録された対策情報においてその対策に対応する効果とに基づいて、対策の管理対象装置に対する効果が算出され、対策と共に提示されることにより、分析者は、提示された対策を自身の管理する情報処理装置に適用した場合に期待される効果を知ることができる。その際、提示された対策とその対策の管理対策装置に対する効果とが、出力部３０２によって対応付けて画面に表示されることで、分析者は容易に対策とその効果を知得することができる。

【0079】

なお、本形態におけるインシデント情報分析装置１３は、CPU、メモリ等を有し、CPUがメモリを利用して、ソフトウェアプログラムを実行するコンピュータによるものである。

【0080】

上述した実施形態は、本発明の説明のための例示であり、本発明の範囲をそれらの実施形態にのみ限定する趣旨ではない。当業者は、本発明の範囲を逸脱することなしに、他の様々な態様で本発明を実施することができる。

【符号の説明】

【0081】

１０…インシデント情報分析システム、１１…入力装置、１２…出力装置、１３…インシデント情報分析装置、９０…ユーザ、３０１…入力部、３０２…出力部、３０３…要素識別部、３０４…攻撃経路特定部、３０５…構成推定部、３０６…構成比較部、３０７…対策提示部、３０８…セキュリティ要素データベース、３０９…攻撃経路定義データベース、３１０…製品構成データベース、３１１…自社製品データベース、３１２…対策データベース

【図1】

【図2】

【図3】

【図4】

【図5】

【図6】

【図7】

【図8】

【図9】

【図10】

【図11】

【図12】

【図13】

【図14】

【図15】

【図16】

【図17】

【図18】