特許 7554139 不正侵害分析支援装置、及び不正侵害分析支援方法

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】特許公報(B2)

(11)【特許番号】

(24)【登録日】2024-09-10

(45)【発行日】2024-09-19

(54)【発明の名称】不正侵害分析支援装置、及び不正侵害分析支援方法

(51)【国際特許分類】

   G06F 16/35 20190101AFI20240911BHJP

   G06F 21/55 20130101ALI20240911BHJP

【ＦＩ】

G06F16/35

G06F21/55

【請求項の数】 5

(21)【出願番号】P 2021032480

(22)【出願日】2021-03-02

(65)【公開番号】P2022133671

(43)【公開日】2022-09-14

【審査請求日】2023-08-01

(73)【特許権者】

【識別番号】000005108

【氏名又は名称】株式会社日立製作所

(74)【代理人】

【識別番号】110000176

【氏名又は名称】弁理士法人一色国際特許事務所

(72)【発明者】

【氏名】鈴木 篤

(72)【発明者】

【氏名】チェン イーウェン

(72)【発明者】

【氏名】山▲崎▼ 裕紀

(72)【発明者】

【氏名】井島 謙吾

【審査官】甲斐 哲雄

(56)【参考文献】

【文献】特開２０１９－０４９８００（ＪＰ，Ａ）

【文献】特開２０１５－０５２８４１（ＪＰ，Ａ）

(58)【調査した分野】(Int.Cl.，ＤＢ名)

Ｇ０６Ｆ １６／００－１６／９５８

Ｇ０６Ｆ ２１／５５

(57)【特許請求の範囲】

【請求項1】

プロセッサ及びメモリを有し、
不正侵害に係る分野の入力を受け付ける入力部と、
所定のネットワークに通信可能に接続されている装置に対する不正侵害に関する文章から、当該不正侵害に関する前記入力された分野における単語を抽出するキーワード抽出部と、
前記抽出した単語と、前記入力された分野における不正侵害の態様の単語の情報とに基づき、前記抽出した単語及び前記不正侵害の態様の間の関連度を算出し、算出した関連度が所定の閾値以上である場合に、前記文章が前記入力された分野における不正侵害の文章であると推定する関連度推定部と、
前記文章が前記分野における不正侵害の文章であることを示す情報を出力する出力部と、
を備える、不正侵害分析支援装置。

【請求項2】

前記算出した関連度が所定の閾値を超えた場合に、前記文章における前記入力された分野の各単語に所定の単語が含まれているか否かを判定し、前記各単語のいずれにも前記所定の単語が含まれていない場合にのみ、前記文章が前記入力された分野における不正侵害の文章であると推定する除外処理部を備える、請求項１に記載の不正侵害分析支援装置。

【請求項3】

前記関連度推定部は、
前記不正侵害に係る侵害元、侵害方法、被侵害部品、又は通信ネットワークの種類の少なくともいずれかを示す単語の情報を、前記不正侵害の態様の情報とし、
前記抽出した単語と、前記不正侵害の態様を示す単語との一致の数が所定数以上である場合に、前記文章が前記入力された分野における不正侵害の文章であると推定する、
請求項１に記載の不正侵害分析支援装置。

【請求項4】

前記除外処理部は、前記関連度が前記所定の閾値を超えていた場合に、前記文章における前記入力された分野の各単語に、前記入力された分野以外の分野における不正侵害の態様を示す単語が含まれているか否かを判定し、前記各単語のいずれにも前記所定の単語が含まれていない場合にのみ、前記文章が前記入力された分野における不正侵害の文章であると推定する、請求項２に記載の不正侵害分析支援装置。

【請求項5】

情報処理装置が、
不正侵害に係る分野の入力を受け付ける入力処理と、
所定のネットワークに通信可能に接続されている装置に対する不正侵害に関する文章から、当該不正侵害に関する前記入力された分野における単語を抽出するキーワード抽出処理と、
前記抽出した単語と、前記入力された分野における不正侵害の態様の単語の情報とに基づき、前記抽出した単語及び前記不正侵害の態様の間の関連度を算出し、算出した関連度が所定の閾値以上である場合に、前記文章が前記入力された分野における不正侵害の文章であると推定する関連度推定処理と、
前記文章が前記分野における不正侵害の文章であることを示す情報を出力する出力処理と、
を実行する、不正侵害分析支援方法。

【発明の詳細な説明】

【技術分野】

【0001】

本発明は、不正侵害分析支援装置、及び不正侵害分析支援方法に関する。

【背景技術】

【0002】

インターネットと接続可能な製品（ＩｏＴ（Internet Of Things）製品）が普及するにつれ、これらＩｏＴ製品に対する不正侵害（サイバー攻撃）に対応したセキュリティの確保が重要な問題となっている。そこで、法規制等のルールによって、各事業者には、ＩｏＴ製品の運用時のセキュリティを保証するためにセキュリティ上の脅威又は脆弱性の情報といったサイバー情報をハンドリングすることが求められている。そのため事業者は、サイバー情報を収集してこれらを分類するといった作業が必要となる。しかしながら、サイバー情報の量は膨大であり、それらの分析や分類には時間がかかる。

【0003】

そこで、このような作業を行うのに資する技術として、特許文献１には、セキュリティ情報管理装置が、セキュリティに関する情報であるセキュリティ情報を収集し、セキュリティに関するキーワードを属性ごとに記憶するセキュリティ辞書を参照して、セキュリティ情報との関連性を比較する元となる参照元セキュリティ情報からキーワードを抽出し、抽出されたキーワードと収集されたセキュリティ情報に含まれるキーワードとを比較して、参照元セキュリティ情報とセキュリティ情報との関連度を算出し、算出された関連度が高いセキュリティ情報ほど優先的に出力することが記載されている。

【先行技術文献】

【特許文献】

【0004】

【文献】国際公開第２０１４／２０８４２７号

【発明の概要】

【発明が解決しようとする課題】

【0005】

ＩｏＴ装置には様々な分野の製品があるため、そのためサイバー情報もそれに応じて分類されなければならない。ところが、特許文献１では、セキュリティ情報同士の関連性をキーワードで判断しているため、複数分野に横断して用いられるようなキーワードがある場合には、セキュリティ情報の分野が考慮されない分類がなされるおそれがある。特にセキュリティは各分野ごとの専門性が非常に高いため、特許文献１では、各分野の専門家が正しくセキュリティ情報を利用することができない可能性がある。

【0006】

本発明は以上の背景に鑑みてなされたものであり、その目的は、不正侵害に関する情報を分野に応じて分類することが可能な不正侵害分析支援装置、及び不正侵害分析支援方法を提供することにある。

【課題を解決するための手段】

【0007】

上記課題を解決するための本発明の一つは、プロセッサ及びメモリを有し、不正侵害に係る分野の入力を受け付ける入力部と、所定のネットワークに通信可能に接続されている装置に対する不正侵害に関する文章から、当該不正侵害に関する前記入力された分野における単語を抽出するキーワード抽出部と、前記抽出した単語と、前記入力された分野における不正侵害の態様の単語の情報とに基づき、前記抽出した単語及び前記不正侵害の態様の間の関連度を算出し、算出した関連度が所定の閾値以上である場合に、前記文章が前記入力された分野における不正侵害の文章であると推定する関連度推定部と、前記文章が前記分野における不正侵害の文章であることを示す情報を出力する出力部と、を備える、不正侵害分析支援装置、とする。

【0008】

また、上記課題を解決するための本発明の一つは、情報処理装置が、不正侵害に係る分野の入力を受け付ける入力処理と、所定のネットワークに通信可能に接続されている装置に対する不正侵害に関する文章から、当該不正侵害に関する前記入力された分野における単語を抽出するキーワード抽出処理と、前記抽出した単語と、前記入力された分野における不正侵害の態様の単語の情報とに基づき、前記抽出した単語及び前記不正侵害の態様の間の関連度を算出し、算出した関連度が所定の閾値以上である場合に、前記文章が前記入力された分野における不正侵害の文章であると推定する関連度推定処理と、前記文章が前記分野における不正侵害の文章であることを示す情報を出力する出力処理と、を実行する、不正侵害分析支援方法、とする。

【発明の効果】

【0009】

本発明によれば、不正侵害に関する情報を分野に応じて分類することができる。

【0010】

上記した以外の課題、構成及び効果は、以下の実施形態の説明により明らかにされる。

【図面の簡単な説明】

【0011】

【図1】本実施形態に係る不正侵害分析支援システムの構成の一例を示す図である。

【図2】不正侵害分析支援装置の機能の一例を説明する図である。

【図3】分野別キーワードＤＢの一例を示す図である。

【図4】分野別攻撃事例ＤＢの一例を示す図である。

【図5】除外キーワードＤＢの一例を示す図である。

【図6】各装置が備えるハードウェアの一例を説明する図である。

【図7】不正侵害分析支援システムにおいて行われる処理の概要を説明するシーケンス図である。

【図8】不正侵害分析支援装置が行う処理の概要を説明するシーケンス図である。

【図9】キーワード抽出処理の一例を説明するフロー図である。

【図10】関連度推定処理の一例を説明するフロー図である。

【図11】除外処理の一例を説明するフロー図である。

【図12】関連性情報を表示した関連性情報表示画面の一例を示す図である。

【図13】不正侵害分析支援装置の他の機能例を説明する図である。

【発明を実施するための形態】

【0012】

以下、本発明の実施形態を、図面に基づき説明する。なお、実施形態は下記に限定されるものではない。

【0013】

－－システム構成－－
図１は、本実施形態に係る不正侵害分析支援システム１０の構成の一例を示す図である。不正侵害分析支援システム１０は、ユーザからの入力を受け付ける、キーボード、マウス、タッチパネル等の入力装置６と、次述するセキュリティ情報を、１又は複数のＩｏＴ装置７（ＩＯＴ：Internet Of Things）から取得するセキュリティ情報収集装置１と、セキュリティ識別情報付与装置２と、不正侵害分析支援装置３と、セキュリティ識別情報付与装置２及び不正侵害分析支援装置３から受信した情報と、ＩｏＴ装置７の仕様の情報等とに基づき、各ＩｏＴ装置７に対する不正侵害（サイバー攻撃）の脅威に関する情報を生成する影響度分析装置４と、セキュリティ識別情報付与装置２、不正侵害分析支援装置３、及び影響度分析装置４が生成した情報を画面に表示する、モニタ（ディスプレイ）等の出力装置５とを含んで構成される。

【0014】

セキュリティ情報は、各ＩｏＴ装置７が出力した情報又はその情報を加工した情報であって、ＩｏＴ装置７への不正侵害に関する、複数の文章（以下、セキュリティ文章という
）の情報である。セキュリティ情報は、例えば、ＩｏＴ装置７が通信ネットワーク８等を介して受けたセキュリティ攻撃の情報、又はセキュリティの脆弱性を表す情報である。各セキュリティ文章は、各ＩｏＴ装置が属する様々な技術分野の文章から構成されている。

【0015】

セキュリティ識別情報付与装置２は、セキュリティ情報収集装置１が取得したセキュリティ情報（セキュリティ文章）に基づき、ＩｏＴ装置７に対して行われた不正侵害の種類を示す情報（セキュリティ識別情報）を所定の分類方法に従って作成する。

【0016】

不正侵害分析支援装置３は、セキュリティ情報収集装置１が取得した各セキュリティ情報（複数のセキュリティ文章）から、ユーザが担当する分野に関連するセキュリティ文章を特定し、そのセキュリティ文章に関する情報を作成する。

【0017】

なお、各ＩｏＴ装置７及びセキュリティ情報収集装置１の間は、例えば、インターネット又はＬＡＮ（Local Area Network）等の有線若しくは無線の通信ネットワーク８により通信可能に接続される。

【0018】

また、セキュリティ情報収集装置１、セキュリティ識別情報付与装置３、不正侵害分析支援装置３、及び影響度分析装置４の間は、例えば、ＬＡＮ（Local Area Network）、ＷＡＮ（Wide Area Network）、インターネット、又は専用線等の有線若しくは無線の通信
ネットワーク９により通信可能に接続される。

【0019】

次に、不正侵害分析支援装置３の詳細を説明する。

【0020】

図２は、不正侵害分析支援装置３の機能の一例を説明する図である。

【0021】

不正侵害分析支援装置３は、入力部３０１、キーワード抽出部３０３、関連度推定部３０４、除外処理部３０５、及び出力部３０２の各機能部を備える。

【0022】

また、不正侵害分析支援装置３は、分野別キーワードＤＢ３０６、分野別攻撃事例ＤＢ３０７、及び除外キーワードＤＢ３０８の各データベースを備える。

【0023】

入力部３０１は、ユーザからの入力装置６への入力を介して、ユーザが担当する分野の入力を受け付ける。また、入力部３０１は、セキュリティ情報収集装置１からセキュリティ情報（セキュリティ文章）を取得する。

【0024】

キーワード抽出部３０３は、分野別キーワードＤＢ３０６に基づき、ＩｏＴ装置７に対する不正侵害に関する文章から、その不正侵害に関するユーザ入力された分野（以下、ユーザ分野という）における単語を抽出する。

【0025】

関連度推定部３０４は、キーワード抽出部３０３が抽出した単語と、ユーザ入力された分野における不正侵害の態様の情報である分野別攻撃事例ＤＢ３０７とに基づき、抽出した単語及び不正侵害の態様の間の関連度を算出し、算出した関連度が所定の閾値以上である場合に、セキュリティ文章がユーザ入力された分野における不正侵害の文章であると推定する。

【0026】

除外処理部３０５は、関連度推定部３０４が算出した関連度が所定の閾値を超えた場合に、セキュリティ文章におけるユーザ入力された分野の各単語に所定の単語（以下、除外キーワードという）が含まれているか否かを判定し、各単語のいずれにも除外キーワードが含まれていない場合にのみ、セキュリティ文章がユーザ入力された分野における不正侵害の文章であると推定する。

【0027】

出力部３０２は、セキュリティ文章がユーザ入力された分野における不正侵害の文章であることを示す情報（以下、関連性情報という）を出力する。

【0028】

（分野別キーワードＤＢ）
図３は、分野別キーワードＤＢ３０６の一例を示す図である。分野別キーワードＤＢ３０６は、分野の種類３０６１と、その分野におけるクラス３０６２（不正侵害の態様を表す項目（カテゴリ））と、分野の種類３０６１及びクラス３０６２に属する単語３０６３（キーワード）とを含む単語データベースである。

【0029】

なお、分野の種類３０６１には、全ての分野に共通する「セキュリティ」と、それ以外の「分野別」とがある。クラス３０６２には、不正侵害の攻撃元、不正侵害の攻撃手法といった全ての分野に共通のクラスと、「コンポーネント」、「インタフェース」、「システム」、「プロトコル」といった分野を特徴付けるクラスとが設定される。単語３０６３には、「ソフトウェア」、「ネットワーク」といった全ての分野に共通する、不正侵害に関する単語と、「ＥＣＵ」、「無線通信」といった特定の分野における不正侵害に関する単語が設定される。

【0030】

（分野別攻撃事例ＤＢ）
図４は、分野別攻撃事例ＤＢ３０７の一例を示す図である。分野別攻撃事例ＤＢ３０７は、攻撃事例（不正侵害の事例）の態様を分野ごとに記憶した１又は複数の分野データベース３０７０からなる。各分野データベース３０７０は、その分野の攻撃事例のＩＤ３０７１、その攻撃事例における攻撃元３０７２、その攻撃事例における攻撃手法３０７３、その攻撃事例における攻撃対象のコンポーネント３０７４、及びその攻撃事例に利用されるインタフェース３０７５の各情報を有する。

【0031】

（除外キーワードＤＢ）
図５は、除外キーワードＤＢ３０８の一例を示す図である。除外キーワードＤＢ３０８は、除外キーワードを記憶した各分野ごとの除外キーワードテーブル３０８０を備える。除外キーワードテーブル３０８０は、対象のクラス３０８１、及びそのクラスにおける除外単語３０８２（除外キーワード）の各情報を有する。除外キーワードは、例えば、その分野では使用されない単語であり、一例としては、対象のセキュリティ文章がユーザ分野と無関係な分野の文章であることを決定づける単語である。

【0032】

ここで、図６は、各装置（セキュリティ情報収集装置１、セキュリティ識別情報付与装置２、不正侵害分析支援装置３、及び影響度分析装置４）が備えるハードウェアの一例を説明する図である。各装置は、ＣＰＵ（Central Processing Unit）などの処理装置９１
と、ＲＡＭ（Random Access Memory）、ＲＯＭ（Read Only Memory）等のメモリ９２と、ＨＤＤ（Hard Disk Drive）、ＳＳＤ（Solid State Drive）等の補助記憶装置９３と、無線ネットワークインターフェース又はネットワークインターフェースカード等の通信装置９６とを備える。なお、これに加えて各装置は、キーボード、マウス、タッチパネル等の入力装置９４、又は、モニタ（ディスプレイ）等の出力装置９５を備えていてもよい。これら各装置の機能部は、各装置の処理装置９１が、メモリ９２に記憶されているプログラムを実行することによって実現される。これらのプログラムは、例えば、二次記憶デバイスや不揮発性半導体メモリ、ハードディスクドライブ、ＳＳＤなどの記憶デバイス、又は、ＩＣカード、ＳＤカード、ＤＶＤなどの、各ノードで読み取り可能な非一時的データ記憶媒体に格納されてもよい。

【0033】

次に、不正侵害分析支援システム１０において行われる処理について説明する。

【0034】

－－処理－－
図７は、不正侵害分析支援システム１０において行われる処理の概要を説明するシーケンス図である。この処理は、例えば、入力装置６にユーザから所定の入力があった場合に開始される。

【0035】

まず、入力装置６は、ユーザから、分析を行うＩｏＴ装置７のグループを特定する情報（情報源）の入力を受け付ける。そして、入力装置６は、入力された情報源をセキュリティ情報収集装置１に送信する（ｓ１）。

【0036】

セキュリティ情報収集装置１は、通信ネットワーク５を介して、入力装置６から受信した情報源に対応するＩｏＴ装置７から、セキュリティ情報（１又は複数のセキュリティ文章）を取得する（ｓ３）。

【0037】

そして、セキュリティ情報収集装置１は、取得したセキュリティ文章を、セキュリティ識別情報付与装置２及び不正侵害分析支援装置３に送信する（ｓ５、ｓ７）。

【0038】

セキュリティ識別情報付与装置２は、受信したセキュリティ文章に基づきセキュリティ識別情報を作成し、作成したセキュリティ識別情報をセキュリティ文章に付帯させてこれを影響度分析装置４に送信する（ｓ９）。また、セキュリティ識別情報付与装置２は、セキュリティ識別情報をセキュリティ文章に付帯させてこれを出力装置５に送信する（ｓ１１）。

【0039】

一方、不正侵害分析支援装置３は、受信したセキュリティ文章に基づき関連性情報を作成し、作成した関連性情報を影響度分析装置４に送信する（ｓ１３）。また、不正侵害分析支援装置３は、関連性情報をセキュリティ文章に付帯させてこれを出力装置５に送信する（ｓ１５）。

【0040】

影響度分析装置４は、セキュリティ識別情報付与装置２及び不正侵害分析支援装置３から受信した情報（セキュリティ識別情報及び関連性情報）に基づき、各ＩｏＴ装置７に対する不正侵害の影響を示す情報（影響度情報）を作成し、作成した影響度情報を出力装置５に送信する（ｓ１７）。

【0041】

出力装置５は、セキュリティ識別情報付与装置２、不正侵害分析支援装置３、及び影響度分析装置４から受信した各情報を画面に表示する（ｓ１９）。

【0042】

次に、不正侵害分析支援装置３が行う処理を説明する。

【0043】

－不正侵害分析支援装置の処理－
図８は、不正侵害分析支援装置３が行う処理の概要を説明するシーケンス図である。まず、不正侵害分析支援装置３の入力部３０１は、セキュリティ情報収集装置１から受信したセキュリティ文章をキーワード抽出部３０３に送信する。また、入力部３０１は、ユーザが属する分野の情報（ユーザ分野）を関連度推定部３０４に送信する（ｓ５１）。例えば、入力部３０１は、ユーザが入力装置６に入力した分野の情報を入力装置６から受信することにより、ユーザ分野を取得する。

【0044】

キーワード抽出部３０３は、受信したセキュリティ文章の各単語をその分野と共に分野別キーワードとして抽出するキーワード抽出処理ｓ５２を実行し、分野別キーワードを関連度推定部３０４に送信する（ｓ５３）。

【0045】

関連度推定部３０４は、分野別キーワード及びユーザ分野の情報を受信すると、分野別
攻撃事例ＤＢ３０７を参照することにより、各セキュリティ文章の分野別キーワードと、各分野の不正侵害の態様との関連度をセキュリティ文章ごとに算出する。そして関連度推定部３０４は、これらの関連度により、ユーザ分野に係るセキュリティ文章（以下、関連セキュリティ文章という）を特定する（以上、関連度推定処理ｓ５４）。関連度推定部３０４は、作成した関連セキュリティ文章の情報を除外処理部３０５に送信する（ｓ５５）。

【0046】

除外処理部３０５は、関連セキュリティ文章のうち除外キーワードを含む文章を除外する除外処理ｓ５６を実行し、除外後の関連セキュリティ文章を出力部３０２に送信する（ｓ５７）。その後、出力部３０２は、関連セキュリティ文章に基づき関連性情報を出力する。関連性情報は、出力装置５等により画面表示され、ユーザに提示される。

【0047】

以下、各処理の詳細を説明する。

【0048】

－キーワード抽出処理－
図９は、キーワード抽出処理ｓ５２の一例を説明するフロー図である。キーワード抽出部３０３は、セキュリティ情報収集装置１から各セキュリティ文章を受信すると（ｓ７１）、受信した各セキュリティ文章に含まれる単語を認識する（ｓ７３）。例えば、キーワード抽出部３０３は、セキュリティ文章を構成する各単語をセキュリティ文章のそれぞれについて特定する。

【0049】

キーワード抽出部３０３は、ｓ７３で認識した単語が属するクラスを、各単語について特定する（ｓ７５）。例えば、キーワード抽出部３０３は、分野別キーワードＤＢ３０６から、ｓ７３で取得した単語と同じ単語３０６３が設定されているレコードを取得する。

【0050】

キーワード抽出部３０３は、ｓ７３で特定した各単語をｓ７５で特定した各クラスに対応づけた情報（分野別キーワード）を、セキュリティ文章ごとに作成する。以上で分野別キーワード抽出処理は終了する。

【0051】

－関連度推定処理－
図１０は、関連度推定処理の一例を説明するフロー図である。関連度推定部３０４は、セキュリティ文章のうち一つを選択する（ｓ９１）。

【0052】

さらに、関連度推定部３０４は、分野を一つ選択する（ｓ９３）。具体的には、分野別攻撃事例ＤＢ３０７から分野データベース３０７０を一つ選択する。

【0053】

関連度推定部３０４は、ｓ９１で選択したセキュリティ文章の分野別キーワードを取得し、また、ｓ９３で選択した分野別攻撃事例ＤＢ３０７の分野データベース３０７０の内容を取得する（ｓ９５）。

【0054】

関連度推定部３０４は、取得した分野別キーワードと、取得した分野データベース３０７０が示す攻撃事例の態様（クラス）との関連度を算出する（ｓ９７）。

【0055】

例えば、まず、関連度推定部３０４は、関連度に所定の初期値を設定する。そして、関連度推定部３０４は、ｓ９３で取得した分野データベース３０７０の各レコード（各攻撃事例）について、そのレコードの攻撃元３０７２の内容が、ｓ９３で取得した分野別キーワードのうちクラス３０６２が「攻撃元」の分野別キーワードにある場合は、その攻撃事例に係る関連度を１増加させる。また、関連度推定部３０４は、そのレコードの攻撃手法３０７３の内容が、ｓ９３で取得した分野別キーワードのうちクラス３０６２が「攻撃手法」の分野別キーワードにある場合は、その攻撃事例に係る関連度を１増加させる。関連
度推定部３０４は、このような処理をコンポーネント３０７４及びインタフェース３０７５等の各クラス（態様）について行う。さらに、関連度推定部３０４は、以上の処理を、分野データベース３０７０の全レコード（全攻撃事例）について繰り返す。

【0056】

そして、関連度推定部３０４は、関連度が所定の閾値以上である攻撃事例があるか否かを判定する（ｓ９９）。「関連度が所定の閾値以上である攻撃事例がある」とは、例えば、関連度がクラスの数と一致する、すなわち、分野別キーワードと、ある攻撃事例のクラスとが完全に対応することを意味する。なお、関連度がクラスの数と完全に一致しなくても、一定数以上一致すればよいとすることもできる。

【0057】

関連度が所定の閾値以上である攻撃事例がある場合は（ｓ９９：Ｙ）、関連度推定部３０４はｓ１０１の処理を実行し、関連度が所定の閾値以上である攻撃事例がない場合は（ｓ９９：Ｎ）、関連度推定部３０４はｓ１０７の処理を実行する。

【0058】

ｓ１０３において関連度推定部３０４は、他にｓ９３で選択されていない分野があるか否かを確認し、選択されていない分野がある場合には（ｓ１０３：Ｙ）、その分野についてｓ９３以降の処理を繰り返す。選択されていない分野がない場合には（ｓ１０３：Ｎ）、関連度推定部３０４はｓ１０７の処理を行う。

【0059】

ｓ１０１において関連度推定部３０４は、ｓ９３で選択された分野がユーザ分野と一致するか否かを確認する。ｓ９３で選択された分野がユーザ分野と一致する場合は（ｓ１０１：Ｙ）、関連度推定部３０４はｓ１０５の処理を実行し、ｓ９３で選択された分野がユーザ分野と一致しない場合は（ｓ１０１：Ｎ）、関連度推定部３０４はｓ１０７の処理を実行する。

【0060】

ｓ１０５において関連度推定部３０４は、ｓ９１で選択したセキュリティ文章が、ｓ９３で選択した分野（すなわちユーザ分野）に関することを示す関連情報を作成する。例えば、関連度推定部３０４は、ｓ９１で選択したセキュリティ文章と、ユーザ分野と、ｓ９７で算出した関連度とを対応づけた情報を作成する。その後は、ｓ１０７の処理が行われる。

【0061】

ｓ１０７において関連度推定部３０４は、他にｓ９１で選択されていないセキュリティ文章があるか否かを確認し、選択されていないセキュリティ文章がある場合には（ｓ１０７：Ｙ）、そのセキュリティ文章についてｓ９１以降の処理を繰り返す。選択されていないセキュリティ文章がない場合には（ｓ１０７：Ｎ）、関連度推定処理は終了する。

【0062】

なお、（ｓ１０１：Ｎ）又は（ｓ１０３：Ｎ）において関連度推定部３０４は、関連性情報として、ｓ９１で選択したセキュリティ文章がユーザ分野に関連しないことを示す関連情報を作成してもよい。

【0063】

また、ｓ１０１において、ｓ９３で選択された分野がユーザ分野と一致しない場合であっても、その分野に係る関連度が所定値以上である場合は、その分野の情報とセキュリティ文章とその関連度とを関連性情報に含めてもよい。これにより、ユーザ分野以外の分野の文章であるがユーザ分野と密接な関連のあるセキュリティ文章の情報をユーザに提供することができる。

【0064】

－除外処理－
図１１は、除外処理の一例を説明するフロー図である。除外処理部３０５は、関連度推定処理により特定された、ユーザ分野に関連するセキュリティ文章（関連セキュリティ文章）を一つ取得する（ｓ１３１）。

【0065】

除外処理部３０５は、同一クラス内において、関連セキュリティ文章の単語に除外キーワードがあるか否かを判定する（ｓ１３３）。すなわち、除外処理部３０５は、関連セキュリティ文章における各単語のクラスを特定し、そのクラスの除外キーワードと同じ単語が関連セキュリティ文章における単語に含まれているか否かを判定する。

【0066】

例えば、除外処理部３０５は、関連セキュリティ文章における各単語のクラスを、分野別キーワードＤＢ３０６により特定する。また、除外処理部３０５は、そのクラスにおける除外キーワードを、除外キーワードＤＢ３０８における、ユーザ分野に係る除外キーワードテーブル３０８０の除外単語３０８２から特定する。除外処理部３０５は、関連セキュリティ文章における各単語について、その単語が、その単語のクラスにおける除外キーワードのいずれかと同じであるか否かを判定する。

【0067】

除外キーワードに該当する単語が関連セキュリティ文章における単語に含まれている場合は（ｓ１３３：Ｙ）、除外処理部３０５はｓ１３７の処理を行い、除外キーワードに該当する単語が関連セキュリティ文章における単語に含まれていない場合は（ｓ１３３：Ｎ）、除外処理部３０５はｓ１３５の処理を行う。

【0068】

ｓ１３５において除外処理部３０５は、ｓ１３１で取得した関連セキュリティ文章は、ユーザ分野のセキュリティ文章でないとして、関連性情報からその関連セキュリティ文章に係る情報を削除する。その後は、ｓ１３７の処理が行われる。なお、除外処理部３０５は、情報を削除するのではなく、当該関連セキュリティ文章がユーザ分野のセキュリティ文章でないことを示す情報を作成してもよい。

【0069】

ｓ１３７において、除外処理部３０５は、他にｓ１３１で取得していない関連セキュリティ文章があるか否かを判定する。他にｓ１３１で取得していない関連セキュリティ文章がない場合は（ｓ１３７：Ｎ）、除外処理は終了し、他にｓ１３１で取得していない関連セキュリティ文章がある場合は（ｓ１３７：Ｙ）、除外処理部３０５は、その一つに関してｓ１３１以降の処理を繰り返す。

【0070】

－関連性情報－
図１２は、関連性情報を表示した関連性情報表示画面２００の一例を示す図である。関連性情報表示画面２００には、ユーザにより指定された分野（ユーザ分野）の情報２０１と、関連セキュリティ文章の一覧２０３と、関連セキュリティ文章でないセキュリティ文章の一覧２０５とが表示される。

【0071】

関連セキュリティ文章の一覧２０３には、各関連セキュリティ文章を特定する情報２０７（番号、識別子、又はその文章自体等）と、その関連セキュリティ文章の関連度とが表示される。

【0072】

関連セキュリティ文章でないセキュリティ文章の一覧２０５には、それらのセキュリティ文章を特定する情報２０７（番号、識別子、又はその文章自体等）と、そのセキュリティ文章の関連度とが表示される。

【0073】

なお、関連性情報表示画面２００は、例えば、不正侵害分析支援装置３又は出力装置５が表示する。

【0074】

最後に、図１３は、不正侵害分析支援装置３の他の機能例を説明する図である。この不正侵害分析支援装置３は、除外キーワードであることを示すクラスを設定する。キーワード抽出部３０３は、除外キーワードＤＢ３０８に基づき、各セキュリティ文章における各
単語について、その単語が除外キーワードである場合にはその単語に上記クラスを対応づけて分野別キーワードとし、除外処理部３０５は、そのクラスに基づき除外処理を行う。

【0075】

以上のように、本実施形態の不正侵害分析支援装置３は、ＩｏＴ装置７に関するセキュリティ文章から不正侵害に関するユーザ分野の単語し、その各単語と、ユーザ分野に係る分野別攻撃事例ＤＢ３０７とに基づき、抽出した単語及び不正侵害の態様の単語の間の関連度を算出し、関連度が所定の閾値以上である場合に、セキュリティ文章がユーザ分野における不正侵害の文章であると推定し、そのセキュリティ文章がユーザ分野における不正侵害の文章であることを示す情報を出力する。

【0076】

このように、不正侵害分析支援装置３は、不正侵害に関する情報を分野に応じて分類することができる。すなわち、不正侵害分析支援装置３は、セキュリティ文章の単語と不正侵害の態様の単語との関連性を分野別に算出し、関連性が高い場合にセキュリティ文章がその分野の文章であると判定することで、ユーザは、自身が担当する分野のセキュリティ文章を容易に把握することができる。

【0077】

本発明は以上に説明した実施形態に限定されるものではなく、様々な変形例が含まれる。上記した実施形態は本発明のより良い理解のために詳細に説明したものであり、必ずしも説明の全ての構成を備えるものに限定されるものではない。

【0078】

例えば、本実施形態の各装置又は端末が備える各機能の一部は他の装置又は端末に設けてもよいし、別装置又は端末が備える機能を同一の装置又は端末に設けてもよい。

【0079】

また、本実施形態におけるセキュリティ文章は、音声データ、画像又はその他のコンテンツを文章に変換したものであってもよい。

【0080】

また、関連度の算出方法は本実施形態で説明したものに限られない。例えば、本実施形態のようにクラスの一致数だけでなく、クラスごと、単語ごと、又は分野ごとの重み付けの係数を乗算することで関連度を算出してもよい。

【0081】

また、本実施形態ではユーザ分野は一つであることを前提としたが、複数のユーザ分野の入力を受け付けるようにしてもよい。

【0082】

以上の本明細書の記載により少なくとも以下の事項が明らかにされる。すなわち、不正侵害分析支援装置３は、前記算出した関連度が所定の閾値を超えた場合に、前記文章における前記入力された分野の各単語に所定の単語が含まれているか否かを判定し、前記各単語のいずれにも前記所定の単語が含まれていない場合にのみ、前記文章が前記入力された分野における不正侵害の文章であると推定する除外処理部を備える、としてもよい。

【0083】

このように、関連度が大きい場合にさらに、セキュリティ文章におけるユーザ分野の各単語に除外キーワードが含まれていない場合にのみ、セキュリティ文章がユーザ分野における不正侵害の文章であると推定することで、文章全体としては関連性が高くても、特異なキーワードがあるためユーザ分野に該当しないとされるようなセキュリティ文章を確実に除外し、誤判定を防ぐことができる。

【0084】

また、不正侵害分析支援装置３の前記関連度推定部は、前記不正侵害に係る侵害元、侵害方法、被侵害部品、又は通信ネットワークの種類の少なくともいずれかを示す単語の情報を、前記不正侵害の態様の情報とし、前記抽出した単語と、前記不正侵害の態様を示す単語との一致の数が所定数以上である場合に、前記文章が前記入力された分野における不正侵害の文章であると推定する、としてもよい。

【0085】

このように、不正侵害に係る侵害元、侵害方法、被侵害部品、又は通信ネットワークの種類の単語の情報を不正侵害の態様の情報とすることで、ＩｏＴ装置７に対する、ユーザ分野に係る不正侵害のセキュリティ文章を確実に抽出することができる。

【0086】

また、本実施形態の不正侵害分析支援装置３は、前記関連度が前記所定の閾値を超えていた場合に、前記文章における前記入力された分野の各単語に、前記入力された分野以外の分野における不正侵害の態様を示す単語が含まれているか否かを判定し、前記各単語のいずれにも前記所定の単語が含まれていない場合にのみ、前記文章が前記入力された分野における不正侵害の文章であると推定する、としてもよい。

【0087】

このように、関連度が大きい場合にさらに、セキュリティ文章におけるユーザ分野の各単語に、ユーザ分野外の除外キーワードが含まれていない場合にのみ、セキュリティ文章がユーザ分野における不正侵害の文章であると推定することで、ユーザ分野外のセキュリティ文章を確実に除外することができる。

【符号の説明】

【0088】

１０ 不正侵害分析支援システム、６ 入力装置、７ ＩｏＴ装置、１ セキュリティ情報収集装置、２ セキュリティ識別情報付与装置、３ 不正侵害分析支援装置、４ 影響度分析装置

【図1】

【図2】

【図3】

【図4】

【図5】

【図6】

【図7】

【図8】

【図9】

【図10】

【図11】

【図12】

【図13】