特許 7571066 攻撃制御装置、攻撃制御システム及びプログラム

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】特許公報(B2)

(11)【特許番号】

(24)【登録日】2024-10-11

(45)【発行日】2024-10-22

(54)【発明の名称】攻撃制御装置、攻撃制御システム及びプログラム

(51)【国際特許分類】

   G06F 21/57 20130101AFI20241015BHJP

【ＦＩ】

G06F21/57 370

【請求項の数】 10

(21)【出願番号】P 2022001669

(22)【出願日】2022-01-07

(65)【公開番号】P2023101201

(43)【公開日】2023-07-20

【審査請求日】2024-02-27

(73)【特許権者】

【識別番号】000003078

【氏名又は名称】株式会社東芝

(74)【代理人】

【識別番号】110002147

【氏名又は名称】弁理士法人酒井国際特許事務所

(72)【発明者】

【氏名】青木 慧

(72)【発明者】

【氏名】中西 福友

(72)【発明者】

【氏名】春木 洋美

(72)【発明者】

【氏名】石原 大移紀

【審査官】岸野 徹

(56)【参考文献】

【文献】特開２０１７－１４６６９９（ＪＰ，Ａ）

【文献】特開２０２０－１０７２８４（ＪＰ，Ａ）

【文献】特開２０１６－２１８７１４（ＪＰ，Ａ）

【文献】特開２００４－３４１６５２（ＪＰ，Ａ）

【文献】米国特許出願公開第２０２１／００６４７６２（ＵＳ，Ａ１）

【文献】津田 侑，標的型攻撃再現のための攻撃シナリオ定義インタフェースの実装 Implementation of an Interface to Define Attacking Scenarios for Reproducing Targeted Attacks，ＣＳＳ２０１４ コンピュータセキュリティシンポジウム２０１４ 論文集 合同開催 マルウェア対策研究人材育成ワークショップ２０１４ 情報処理学会シンポジウムシリーズ Ｖｏｌ．２０１４ Ｎｏ．２ ［ＣＤ－ＲＯＭ］ ，日本，一般社団法人情報処理学会 コンピュータセキュリティ研究会，2014年10月15日，第2014巻，pp.450～457

(58)【調査した分野】(Int.Cl.，ＤＢ名)

Ｇ０６Ｆ ２１／５７

(57)【特許請求の範囲】

【請求項1】

攻撃シナリオに基づいて実行された多段攻撃の攻撃結果を分析し、前記多段攻撃の途中で中断されたセッションが原因で失敗した失敗攻撃命令を検出する検出部と、
前記攻撃結果を記憶装置に記憶する攻撃結果記憶制御部と、
前記攻撃結果から、前記中断されたセッションを確立した攻撃命令を分析する攻撃結果分析部と、
前記中断されたセッションを確立した攻撃命令から、前記多段攻撃を再開する攻撃命令部と、
を備える攻撃制御装置。

【請求項2】

前記攻撃シナリオは、複数の攻撃命令と、前記複数の攻撃命令の依存関係とを含み、
前記攻撃シナリオを前記記憶装置に記憶する攻撃シナリオ記憶制御部を更に備え、
前記攻撃命令部は、前記依存関係に基づいて、前記中断されたセッションを確立した攻撃命令に遡り、前記中断されたセッションを確立した攻撃命令から、前記多段攻撃を再開する、
請求項１に記載の攻撃制御装置。

【請求項3】

前記攻撃シナリオを分析し、複数の攻撃命令と、前記複数の攻撃命令の依存関係とを取得する攻撃シナリオ分析部と、
前記複数の攻撃命令を前記記憶装置に記憶する攻撃命令記憶制御部と、
前記依存関係を記憶装置に記憶する依存関係記憶制御部と、を更に備え、
前記攻撃命令部は、前記依存関係に基づいて、前記中断されたセッションを確立した攻撃命令に遡り、前記中断されたセッションを確立した攻撃命令から、前記多段攻撃を再開する、
請求項１に記載の攻撃制御装置。

【請求項4】

前記攻撃結果は、前記攻撃命令の成否を含み、
前記攻撃結果分析部は、前記攻撃命令の成否から、成功する可能性がより高い攻撃命令を分析し、
前記攻撃命令部は、前記成功する可能性がより高い攻撃命令をより多く含む攻撃シナリオを優先して用いて、攻撃を命令する、
請求項１乃至３のいずれか１項に記載の攻撃制御装置。

【請求項5】

前記攻撃結果分析部は、前記失敗攻撃命令に基づいて、前記セッションが原因で失敗する可能性がより低い攻撃命令を分析し、
前記攻撃命令部は、前記セッションが原因で失敗する可能性がより低い攻撃命令をより多く含む攻撃シナリオを優先して用いて、攻撃を命令する、
請求項１乃至３のいずれか１項に記載の攻撃制御装置。

【請求項6】

前記攻撃命令部は、前記失敗攻撃命令を再実行するときに、利用可能なセッションが既に確立されている場合、前記利用可能なセッションを利用する、
請求項１乃至３のいずれか１項に記載の攻撃制御装置。

【請求項7】

前記攻撃結果分析部は、前記失敗攻撃命令が検出された回数が閾値より大きいか否かを判定し、
前記攻撃命令部は、前記失敗攻撃命令が検出された回数が閾値より大きい場合、前記失敗攻撃命令を含まない攻撃シナリオに基づいて、攻撃を命令する、
請求項１乃至３のいずれか１項に記載の攻撃制御装置。

【請求項8】

前記攻撃命令部からの攻撃の命令に基づいて、攻撃を実行する攻撃実行部、
を更に備える請求項１乃至７のいずれか１項に記載の攻撃制御装置。

【請求項9】

攻撃制御装置と、攻撃実行装置とを備え、
前記攻撃制御装置は、
攻撃シナリオに基づいて実行された多段攻撃の攻撃結果を分析し、前記多段攻撃の途中で中断されたセッションが原因で失敗した失敗攻撃命令を検出する検出部と、
前記攻撃結果を記憶装置に記憶する攻撃結果記憶制御部と、
前記攻撃結果から、前記中断されたセッションを確立した攻撃命令を分析する攻撃結果分析部と、
前記中断されたセッションを確立した攻撃命令から、前記多段攻撃を再開する攻撃命令部と、を備え、
前記攻撃実行装置は、前記攻撃命令部からの攻撃の命令に基づいて、攻撃を実行する、
攻撃制御システム。

【請求項10】

コンピュータを、
攻撃シナリオに基づいて実行された多段攻撃の攻撃結果を分析し、前記多段攻撃の途中で中断されたセッションが原因で失敗した失敗攻撃命令を検出する検出部と、
前記攻撃結果を記憶装置に記憶する攻撃結果記憶制御部と、
前記攻撃結果から、前記中断されたセッションを確立した攻撃命令を分析する攻撃結果分析部と、
前記中断されたセッションを確立した攻撃命令から、前記多段攻撃を再開する攻撃命令部、
として機能させるためのプログラム。

【発明の詳細な説明】

【技術分野】

【0001】

本発明の実施形態は攻撃制御装置、攻撃制御システム及びプログラムに関する。

【背景技術】

【0002】

システムのセキュリティを検証する方法として、攻撃者の視点からシステム内の脆弱性及びセキュリティリスクを評価する技術（例えば、ペネトレーションテスト等）が従来から知られている。実際に攻撃者によるサイバー攻撃の被害を受けるよりも前に、自らサイバー攻撃を試みることで、残存する脆弱性及びセキュリティリスクを未然に把握し、対策を施す検討材料とすることができる。

【先行技術文献】

【特許文献】

【0003】

【文献】特許第５４１８１３５号公報

【発明の概要】

【発明が解決しようとする課題】

【0004】

従来の技術では、脆弱性を検出するテストの所要時間を短縮させるとともに、検出精度を向上させることが難しかった。

【課題を解決するための手段】

【0005】

実施形態の攻撃制御装置は、検出部と攻撃結果記憶制御部と攻撃結果分析部と攻撃命令部とを備える。検出部は、攻撃シナリオに基づいて実行された多段攻撃の攻撃結果を分析し、前記多段攻撃の途中で中断されたセッションが原因で失敗した失敗攻撃命令を検出する。攻撃結果記憶制御部は、前記攻撃結果を記憶装置に記憶する。攻撃結果分析部は、前記攻撃結果から、前記中断されたセッションを確立した攻撃命令を分析する。攻撃命令部は、前記中断されたセッションを確立した攻撃命令から、前記多段攻撃を再開する。

【図面の簡単な説明】

【0006】

【図1】第１実施形態の攻撃制御システムの装置構成の例を示す図。

【図2】第１実施形態の攻撃制御装置の機能構成の例を示す図。

【図3】第１実施形態の攻撃シナリオの例を示す図。

【図4】第１実施形態の攻撃結果群の例を示す図。

【図5】第１実施形態のセッション情報の例を示す図。

【図6】第１実施形態の攻撃制御方法の例を示すフローチャート。

【図7】第２実施形態の攻撃制御装置の機能構成の例を示す図。

【図8A】第２実施形態の第２攻撃シナリオの例を示す図。

【図8B】第２実施形態の攻撃命令群の例を示す図。

【図9】第２実施形態の攻撃制御方法の例を示すフローチャート。

【図10】第３実施形態の装置構成の例を示す図。

【図11】第３実施形態の攻撃制御装置の機能構成の例を示す図。

【図12】第３実施形態の攻撃制御方法の例を示すフローチャート。

【図13】第１乃至第３実施形態の攻撃制御装置のハードウェア構成の例を示す図。

【発明を実施するための形態】

【0007】

以下に添付図面を参照して、攻撃制御装置、攻撃制御システム及びプログラムの実施形態を詳細に説明する。

【0008】

例えば、ペネトレーションテストは、攻撃者視点の知識及びスキル等を有したセキュリティ専門家によって実行されている。予め定めた攻撃目標を達成するための攻撃経路及びシナリオは、攻撃者視点の知識及びスキル等を有したセキュリティ専門家により手作業で作成されている。ゆえに、ペネトレーションテストの品質は、ペネトレーションテスターの知識及びスキル等に依存している場合が多い。

【0009】

既存のペネトレーションテストは、攻撃失敗時の原因を分析し、攻撃に利用しているセッションが切れてしまったことが原因による攻撃失敗の場合には、再度切断されたセッションを張りなおして攻撃を再実施しなければならない。手動でペネトレーションテストを行う際には、攻撃失敗原因の分析及び攻撃の再実施に作業工数が割かれるという課題がある。

【0010】

（第１実施形態）
はじめに、第１実施形態の攻撃制御システムの装置構成の例について説明する。

【0011】

［装置構成の例］
図１は第１実施形態の攻撃制御システム１０の装置構成の例を示す図である。第１実施形態の攻撃制御システム１０は、攻撃制御装置１００、攻撃モジュール記憶装置２００及び攻撃実行装置３００を備える。

【0012】

攻撃制御装置１００は、攻撃実行装置３００に攻撃命令を送信し、攻撃実行装置３００から攻撃結果を受信する。

【0013】

攻撃モジュール記憶装置２００は、攻撃モジュールを記憶する。第１実施形態の攻撃モジュールは、例えば攻撃モジュール記憶装置２００の攻撃モジュールデータベースに記憶される。

【0014】

攻撃実行装置３００は、攻撃命令で指定された攻撃モジュールを攻撃モジュール記憶装置２００から読み込み、攻撃対象である被攻撃システム４００に対して攻撃を実行し、攻撃結果を出力する。

【0015】

なお、攻撃実行装置３００は、攻撃モジュール記憶装置２００と一体の装置であってもよい。例えば、攻撃実行装置３００は、Ｍｅｔａｓｐｌｏｉｔ等のペネトレーションテストツールを有する装置であってもよい。また例えば、攻撃実行装置３００は、Ｐｙｔｈｏｎスクリプト、ＰｏｗｅｒＳｈｅｌｌスクリプト及びＲｕｂｙスクリプトなどペネトレーションテスト用スクリプトを実行する装置であってもよい。

【0016】

［機能構成の例］
図２は、第１実施形態の攻撃制御装置１００の機能構成の例を示す図である。第１実施形態の攻撃制御装置１００は、攻撃シナリオ分析部１１０、攻撃シナリオ記憶制御部１２０、攻撃命令部１３０、検出部１４０、攻撃結果記憶制御部１５０及び攻撃結果分析部１６０を備える。

【0017】

攻撃シナリオ分析部１１０は、少なくとも１つの攻撃シナリオを取得し、当該攻撃シナリオを分析する。攻撃シナリオ５００は、例えばＪＳＯＮ形式及びＸＭＬ形式などであっても良い。

【0018】

［攻撃シナリオの例］
図３は第１実施形態の攻撃シナリオ５００の例を示す図である。第１実施形態の攻撃シナリオ５００は、複数の攻撃５１０、５２０及び５３０を含む。攻撃５１０、５２０及び５３０の説明は、同様なので、主に攻撃５１０を例にして説明する。

【0019】

攻撃５１０は、攻撃順番５１１及び攻撃命令６１０を含む。攻撃命令６１０は、攻撃モジュール情報５１２、及び、パラメータ５１３を含む。

【0020】

攻撃順番５１１は、実行される攻撃命令６１０の順番を示す。第１実施形態では、攻撃順番５１１によって、攻撃命令６１０、６２０及び６３０の依存関係が表されている。例えば、攻撃順番５１１よりも後の攻撃順番５２１の攻撃５２０は、攻撃順番５１１の攻撃５１０が成功していないと、成功しないという依存関係を示す。同様に、攻撃５３０を実行するためには、攻撃５１０及び５２０が成功している必要がある。

【0021】

攻撃モジュール情報５１２は、攻撃実行装置３００による攻撃に使用される攻撃モジュールを示す情報である。例えば、攻撃モジュール情報５１２は、攻撃モジュールのファイル名及びファイルパス等である。

【0022】

パラメータ５１３は、攻撃モジュール情報５１２で指定される攻撃モジュールのパラメータである。パラメータ５１３は、図３に示すように複数でもよいし、１つでもよい。パラメータ５１３は、例えばＩＰアドレス、ポート番号、ユーザー名、パスワード、ペイロードモジュール、セッションＩＤ、及び、攻撃対象の種別等を示す。

【0023】

なお、攻撃命令６１０に、パラメータ５１３が含まれていなくてもよい。攻撃命令６１０にパラメータ５１３が含まれていない場合は、例えば、攻撃シナリオ分析部１１０が、ユーザーからパラメータ５１３の入力を受け付けてもよい。また例えば、攻撃シナリオ分析部１１０が、攻撃命令６１０、６２０及び６３０毎にパラメータ５１３、５２３及び５３３を設定するのではなく、攻撃命令６１０、６２０及び６３０全体として統一的なパラメータリストを持っていてもよい。

【0024】

なお、攻撃シナリオ５００に、攻撃順番５１１、５２１及び５３１を含めずに、攻撃５１０、５２０及び５３０が記載された順に攻撃するという方法であっても良い。

【0025】

また、複数の攻撃の依存関係は、攻撃順番に限られず、個々の攻撃の関係を示すツリー形式や状態遷移図等で表されていてもよいし、GOAP（Goal-Oriented Action Planning）のように攻撃毎の前提条件と効果（攻撃後の状態変化）で表されていても良い。

【0026】

図２に戻り、攻撃シナリオ記憶制御部１２０は、上述の攻撃シナリオ５００（図３参照）を記憶装置に記憶する。攻撃シナリオ５００を記憶する記憶装置は、攻撃制御装置１００に内蔵されていてもよいし、攻撃制御装置１００の外部にあってもよい。

【0027】

攻撃命令部１３０は、攻撃シナリオ５００の攻撃順番５１１、５２１及び５３１に沿って順番に、攻撃実行装置３００に攻撃命令６１０、６２０及び６３０を送信する。攻撃命令６１０、６２０及び６３０は、攻撃実行装置３００に対応した攻撃命令である必要がある。具体的には、攻撃命令６１０、６２０及び６３０で指定される各攻撃モジュールは、攻撃実行装置３００に読み込まれる攻撃モジュールデータベースから参照できる攻撃モジュールである必要がある。また、パラメータ５１３、５２３及び５３３は、攻撃モジュールの実行に必要な情報が指定されている必要がある。

【0028】

検出部１４０は、攻撃実行装置３００から攻撃結果群を取得し、多段攻撃（順番に実行される複数の攻撃）の中で起きたセッション中断による攻撃失敗を検出する。

【0029】

［攻撃結果群の例］
図４は第１実施形態の攻撃結果群７００の例を示す図である。攻撃結果群７００は、攻撃実行装置３００により実行された少なくとも１つの攻撃の攻撃結果を含む。図４の例では、攻撃結果群７００は、攻撃５１０、５２０及び５３０毎に生成された攻撃結果７１０、７２０及び７３０を含む。攻撃結果７１０、７２０及び７３０の説明は、同様なので、主に攻撃結果７１０を例にして説明する。

【0030】

攻撃結果７１０は、攻撃順番５１１、攻撃命令６１０、攻撃成否７１１、及び、セッション情報７１２を含む。

【0031】

攻撃順番５１１及び攻撃命令６１０は、図３と同様である。

【0032】

攻撃結果７１０に攻撃順番５１１があることによって、多段の攻撃がどの段階で攻撃失敗したかを分析しやすくなり、攻撃を再実施する際には、攻撃の順番を考慮した攻撃手順を作成することが出来る。

【0033】

攻撃命令６１０は、攻撃命令部１３０から送信され、攻撃実行装置３００で実行された命令である。

【0034】

攻撃成否７１１は、攻撃命令６１０による攻撃の成否を示す情報である。攻撃成否７１１は、補助情報として、攻撃実行ログ及び攻撃失敗原因などを含んでいても良い。補助情報があることによって、攻撃失敗の原因が更に検出しやすくなる。攻撃失敗の原因は、例えば前段の攻撃によって確立されたセッションが中断したこと等である。

【0035】

セッション情報７１２は、攻撃実行装置３００によって、被攻撃システム４００との間で確立されたセッションの情報を示す。セッション情報７１２は、攻撃命令６１０を実行する際に利用したセッションの情報、または攻撃命令６１０を実行した後に確立したセッションの情報である。セッション情報７１２は、どちらか一方のセッション情報のみであっても、両方のセッション情報であっても良い。

【0036】

［セッション情報の例］
図５は第１実施形態のセッション情報７１２の例を示す図である。第１実施形態のセッション情報７１２は、セッションＩＤ７５１、セッション状態７５２、セッションタイプ７５３、接続元ＩＰアドレス７５４、接続元ポート番号７５５、接続先ＩＰアドレス７５６及び接続先ポート番号７５７などを含む。

【0037】

セッションＩＤ７５１は、セッションを識別する識別情報である。例えば、セッションＩＤ７５１は、攻撃実行装置３００でセッションを管理するために付与された識別番号であっても良い。セッションＩＤ７５１が識別番号である場合は、攻撃命令６１０に含まれるパラメータ５１３の一つとして設定することが可能となる。

【0038】

セッション状態７５２は、セッションの状態（例えば、接続または切断）を示す。

【0039】

セッションタイプ７５３は、セッションの種類を示す。セッションの種類は、例えば被攻撃システム４００における実行権限の種類（例えば管理者権限の有無等）などである。

【0040】

接続元ＩＰアドレス７５４は、セッションの接続元装置のＩＰアドレスを示す。接続元ポート番号７５５は、セッションの接続元装置のポート番号を示す。接続先ＩＰアドレス７５６は、セッションの接続先装置のＩＰアドレスを示す。接続先ポート番号７５７は、セッションの接続先装置のポート番号を示す。

【0041】

図２に戻り、攻撃結果記憶制御部１５０は、攻撃結果７１０、７２０及び７３０を記憶装置に記憶する。攻撃結果７１０、７２０及び７３０を記憶する記憶装置は、攻撃制御装置１００に内蔵されていてもよいし、攻撃制御装置１００の外部にあってもよい。

【0042】

例えば、攻撃結果記憶制御部１５０が、複数の攻撃結果（図４の例では、攻撃結果７１０、７２０及び７３０）を記憶しておくことで、攻撃毎（図２の例では、攻撃５１０、５２０及び５３０）の攻撃成否を把握することができる。具体的には、攻撃制御システム１０を利用するテスターが、テスト実行後に、攻撃結果を報告書に整理しやすくなる。

【0043】

攻撃結果分析部１６０は、攻撃結果に基づいて次に実行する攻撃を分析する。例えば、攻撃結果分析部１６０は、検出部１４０によって、攻撃実行装置３００で攻撃実行中に確立したセッションが中断したことが原因で攻撃が失敗したと検出された場合は、中断したセッションを確立した攻撃に遡った攻撃命令を攻撃命令部１３０に送信する。中断したセッションを確立した攻撃に遡った攻撃命令は、例えば攻撃の依存関係に基づいて特定される。

【0044】

また例えば、攻撃結果分析部１６０は、記憶装置に記憶された攻撃の成否を参照し、多段攻撃に含まれる攻撃を遡り、一度成功した攻撃を分析する。これにより、攻撃命令部１３０が、一度成功した攻撃を優先して命令することができる。

【0045】

また例えば、攻撃結果分析部１６０は、攻撃命令の成否から、成功する可能性がより高い攻撃命令を分析する。そして、攻撃命令部１３０が、成功する可能性がより高い攻撃命令をより多く含む攻撃シナリオを優先して用いて、攻撃を命令する。

【0046】

また例えば、攻撃結果分析部１６０は、多段攻撃の途中で中断されたセッションが原因で失敗した失敗攻撃命令に基づいて、セッションが原因で失敗する可能性がより低い攻撃命令を分析する。そして、攻撃命令部１３０が、セッションが原因で失敗する可能性がより低い攻撃命令をより多く含む攻撃シナリオを優先して用いて、攻撃を命令する。

【0047】

攻撃シナリオ５００が複数ある場合に、攻撃シナリオ５００に優先度をつけることによって、時間及び工数等を鑑みたペネトレーションテストを行うことができる。具体的には、攻撃シナリオ５００が膨大に存在する場合に、例えば優先度が閾値より大きい攻撃シナリオのみを実施することができる。

【0048】

［攻撃制御方法の例］
図６は第１実施形態の攻撃制御方法の例を示すフローチャートである。はじめに、攻撃シナリオ分析部１１０が、上述の攻撃シナリオ５００を取得し、当該攻撃シナリオ５００を分析する（ステップＳ１１）。

【0049】

次に、攻撃シナリオ記憶制御部１２０が、ステップＳ１１で分析された攻撃シナリオ５００を記憶装置に記憶する（ステップＳ１２）。攻撃シナリオ５００が複数ある場合でも、記憶装置に当該攻撃シナリオ５００を記憶しておくことで、攻撃命令部１３０が、攻撃シナリオ５００を再度実行し直すことができたり、複数の攻撃シナリオ５００を連続して実行したりすることが出来る。

【0050】

次に、攻撃命令部１３０が、攻撃実行装置３００に攻撃を命令する（ステップＳ１３）。

【0051】

攻撃実行装置３００に送信される攻撃命令６１０、６２０及び６３０は、攻撃シナリオ５００の攻撃順番５１２、５２２及び５３２に沿って送信される。送信される攻撃命令６１０、６２０及び６３０は、１度に１つの攻撃命令６１０、６２０又は６３０が送信されても、１度に複数の攻撃命令６１０、６２０及び６３０が送信されても良い。

【0052】

１度に１つの攻撃命令６１０、６２０又は６３０が送信される場合は、その都度に攻撃結果７１０、７２０又は７３０を取得することが出来るので、攻撃が失敗した原因を調査しやすくなる。１度に複数の攻撃命令６１０、６２０及び６３０を送信する場合は、次の攻撃命令を待つ時間が無くなるので、攻撃シナリオ５００の実行を終えるまでの時間を短くすることが出来る。

【0053】

攻撃命令部１３０は、ステップ１８からステップＳ１３に遷移してきた場合など、セッションの切断が原因で中断した攻撃に、利用できるセッションがすでにある場合は、そのセッションを再攻撃時に利用してもよい。具体的には、図４の例では、攻撃命令部１３０は、攻撃結果群７００に含まれるセッション情報７１２、７２２及び７３２と、攻撃命令６１０、６２０及び６３０の対応を参照する。攻撃命令部１３０は、１度目の攻撃シナリオ５００の実行時には攻撃命令６２０で確立したセッションが攻撃命令６３０の実行中に切断してしまい、攻撃命令６３０が失敗してしまったとする。このとき、攻撃命令部１３０は、２度目の攻撃シナリオ５００の実行時には攻撃命令６１０からやり直すのではなく、既に１度目の攻撃シナリオ５００の攻撃命令６１０で確立しているセッションを利用して、攻撃命令６２０から再実施する。

【0054】

次に、検出部１４０が、攻撃実行装置３００から攻撃結果群７００を受信する（ステップＳ１４）。

【0055】

次に、検出部１４０は、ステップＳ１４で受信された攻撃結果群７００の攻撃成否７１１、７２１及び７３１から、全ての攻撃５１０、５２０及び５３０が成功したか否かを判定する（図３、ステップＳ１５）。

【0056】

全ての攻撃５１０、５２０及び５３０が成功した場合（ステップＳ１５，Ｙｅｓ）、攻撃結果記憶制御部１５０が、攻撃結果群７００に含まれる攻撃結果７１０、７２０及び７３０を記憶装置に記憶する（ステップＳ１６）。

【0057】

なお、攻撃結果記憶制御部１５０は、攻撃が成功したか失敗したかによらず、攻撃結果を記憶装置に記憶しても良い。攻撃結果記憶制御部１５０が、攻撃失敗時の攻撃結果を記憶装置に記憶しておくことで、攻撃失敗回数が閾値を超えた場合に、攻撃シナリオ５００の実行を中断し、攻撃失敗が度重なることにより攻撃シナリオ５００の実行時間が長時間になることを防ぐことが出来る。なお、閾値は、テスター等のユーザーにより任意に設定されてよい。具体的には、攻撃失敗回数は、例えば、多段攻撃の途中で中断されたセッションが原因で失敗した失敗攻撃命令が検出された回数である。攻撃命令部１３０は、例えば失敗攻撃命令が検出された回数が閾値より大きい場合、失敗攻撃命令を含まない攻撃シナリオに基づいて、攻撃を命令する。

【0058】

また、攻撃結果記憶制御部１５０が、攻撃成否７１１、７２１及び７３１を記憶装置に記憶しておくことで、攻撃命令部１３０が、成功したことのある攻撃命令を特定可能になる。これにより、例えば攻撃命令部１３０が、複数の攻撃シナリオ５００を実行する際に、成功したことのある攻撃命令が失敗した場合は、上述の閾値を無効にして、攻撃を再実施するなどの制御が可能になる。

【0059】

また、攻撃結果記憶制御部１５０は、攻撃結果７１０、７２０及び７３０の補足情報を記憶装置に記憶してもよい。例えば、補足情報は、セッション中断が原因で失敗したか否かを示す情報を含む。また例えば、補足情報は、攻撃失敗回数を含む。攻撃結果記憶制御部１５０が、中断（失敗）しやすい攻撃を特定するための補足情報を記憶装置に記憶しておくことで、攻撃命令部１３０が、攻撃再実施時に中断しにくい攻撃を優先的に実施することができ、また、セッションが中断されにくくする攻撃命令（確立されたセッションを別プロセスに統合する攻撃）を追加で命令することができる。

【0060】

次に、攻撃命令部１３０は、攻撃シナリオ５００を参照し、次の攻撃が存在するか否かを判定する（ステップＳ１９）。具体的には、攻撃命令部１３０は、攻撃順番が前の攻撃命令が成功していて、かつ、攻撃実行装置３００に送信されていない攻撃命令があるか否かを判定する。

【0061】

次の攻撃が存在する場合（ステップＳ１９，Ｙｅｓ）、処理はステップＳ１３に進み、次の攻撃が存在しない場合（ステップＳ１９，Ｎｏ）、処理を終了する。

【0062】

複数の攻撃シナリオ５００がある場合には、まだ実行されていない攻撃シナリオ５００を記憶装置から読み込み、ステップＳ１３に進んでも良い。

【0063】

攻撃５１０、５２０及び５３０のいずれかが失敗した場合（ステップＳ１５，Ｎｏ）、検出部１４０が、セッションが攻撃の途中で切断したことが原因で攻撃が失敗したか否かを判定する（ステップＳ１７）。

【0064】

攻撃結果７１０、７２０及び７３０には、攻撃命令６１０、６２０及び６３０が実行された後のセッション情報７１２、７２２及び７３２が含まれている。例えば、検出部１４０は、攻撃命令６２０のセッション情報７２２と、攻撃命令６２０の前の攻撃命令６１０のセッション情報７１２とを比較することで、攻撃命令６２０を実行した際に確立したセッション及び切断したセッションを検出することができる。

【0065】

検出部１４０は、攻撃成否７１１、７２１及び７３１を参照して、攻撃が失敗した攻撃命令を探索し、その攻撃命令を実行した際に切断したセッションがある場合は、セッションの切断が原因で攻撃が中断したと判定し、攻撃結果分析部１６０に通知する。

【0066】

セッションの切断が原因で攻撃が中断していない場合（ステップＳ１７，Ｎｏ）、処理はステップＳ１６に進む。

【0067】

セッションの切断が原因で攻撃が中断した場合（ステップＳ１７，Ｙｅｓ）、攻撃結果分析部１６０は、中断した攻撃実施に必要なセッションを確立した攻撃に遡って攻撃を行う攻撃シナリオ５００を再構成する（ステップＳ１８）。ステップＳ１８で再構成された攻撃システム５００は、攻撃命令部１３０に送信され、ステップＳ１３の処理が再実行される。例えば、攻撃命令６３０を実行中に攻撃命令６２０で確立したセッションが切断したことが原因で攻撃命令６３０の攻撃が失敗したと判定された場合で、攻撃命令６１０で確立したセッションが確立した状態のままであれば、攻撃結果分析部１６０は、攻撃命令６１０を除いた攻撃シナリオ５００を再構成する。また、攻撃結果分析部１６０は、攻撃命令６１０で確立したセッションも切断した状態であれば、全ての攻撃命令６１０、６２０及び６３０を含んだままの攻撃シナリオ５００を再構成する。

【0068】

以上、説明したように、第１実施形態の攻撃制御装置１００では、検出部１４０が、攻撃シナリオ５００に基づいて実行された多段攻撃の攻撃結果を分析し、多段攻撃の途中で中断されたセッションが原因で失敗した失敗攻撃命令を検出する。攻撃結果記憶制御部１５０が、攻撃結果を記憶装置に記憶する。攻撃結果分析部１６０が、攻撃結果から、中断されたセッションを確立した攻撃命令を分析する。そして、攻撃命令部１３０が、中断されたセッションを確立した攻撃命令から、多段攻撃を再開する。

【0069】

これにより第１実施形態の攻撃制御装置１００によれば、脆弱性を検出するテストの所要時間を短縮させるとともに、検出精度を向上させることができる。

【0070】

例えば、第１実施形態の攻撃制御装置１００によれば、攻撃に利用されるセッションが管理されるので、例えばペネトレーションテストの一部を自動化することができる。これにより、ペネトレーションテストの時間短縮、及び、熟練テスターを必要としない均一なテストを実現できる。

【0071】

また例えば、本当は攻撃が成功するのに攻撃が失敗することで攻撃リスクがないと誤って判断してしまうセキュリティリスクの検出漏れを防ぐことができる。

【0072】

以上のように、第１実施形態の攻撃制御装置１００によれば、被攻撃システム４００のセキュリティ向上を実現することができる。

【0073】

（第２実施形態）
次に第２実施形態について説明する。第２実施形態の説明では、第１実施形態と同様の説明については省略し、第１実施形態と異なる箇所について説明する。

【0074】

［機能構成の例］
図７は、第１実施形態の攻撃制御装置１００－２の機能構成の例を示す図である。第１実施形態の攻撃制御装置１００－２は、攻撃シナリオ分析部１１０、攻撃命令部１３０、検出部１４０、攻撃結果記憶制御部１５０、攻撃結果分析部１６０、依存関係記憶制御部１７０及び攻撃命令記憶制御部１８０を備える。

【0075】

攻撃シナリオ分析部１１０、攻撃命令部１３０、検出部１４０、攻撃結果記憶制御部１５０及び攻撃結果分析部１６０は、第１実施形態と同様なので説明を省略する。

【0076】

依存関係記憶制御部１７０は、攻撃シナリオ５００に含まれる攻撃５１０、５２０及び５３０の依存関係を、第２攻撃シナリオとして記憶装置に記憶する。

【0077】

攻撃命令記憶制御部１８０は、攻撃シナリオ５００に含まれる攻撃命令６１０、６２０及び６３０を、攻撃命令群として記憶装置に記憶する。

【0078】

図８Ａは第２実施形態の第２攻撃シナリオ８００の例を示す図である。第２実施形態の第２攻撃シナリオ８００は、攻撃順番５１１、５２１及び５３１、並びに、攻撃命令識別子８１２、８２２及び８３２を含む。

【0079】

攻撃順番５１１は、攻撃命令識別子８１２により識別される攻撃命令６１０が実行される順番を示す。攻撃順番５２１は、攻撃命令識別子８２２により識別される攻撃命令６２０が実行される順番を示す。攻撃順番５３１は、攻撃命令識別子８３２により識別される攻撃命令６３０が実行される順番を示す。

【0080】

なお、攻撃の依存関係を示す情報は、攻撃順番５１１、５２１及び５３１でなくてもよく、当該攻撃を実行するために事前に実施しておくべき攻撃のリストであってもよい。

【0081】

依存関係記憶制御部１７０が、攻撃の依存関係を記憶装置に記憶しておくことで、攻撃命令部１３０が、攻撃を再実施する際に遡る必要がある攻撃を特定することが出来る。また、依存関係記憶制御部１７０は、複数の攻撃シナリオ５００がある場合、新しい攻撃の組み合わせを含む新しい攻撃シナリオを、第２攻撃シナリオ８００として生成することが出来る。

【0082】

図８Ｂは第２実施形態の攻撃命令群９００の例を示す図である。第２実施形態の攻撃命令群９００は、攻撃命令６１０、６２０及び６３０、並びに、攻撃命令識別子８１２、８２２及び８３２を含む。攻撃命令６１０は、攻撃命令識別子８１２により識別される攻撃命令である。攻撃命令６２０は、攻撃命令識別子８２２により識別される攻撃命令である。攻撃命令６３０は、攻撃命令識別子８３２により識別される攻撃命令である。攻撃命令記憶制御部１８０が、攻撃命令群９００を記憶装置に記憶しておくことで、攻撃命令部１３０が、再実施する攻撃の攻撃命令を参照することができたり、パラメータの一部を変更した攻撃命令を作成したりすることができる。

【0083】

［攻撃制御方法の例］
図９は第２実施形態の攻撃制御方法の例を示すフローチャートである。図９では、第１実施形態のステップＳ１２（図６参照）が、ステップＳ１２－２に変更されている点が異なる。

【0084】

ステップＳ１２では、依存関係記憶制御部１７０が、各攻撃の依存関係を、上述の第２攻撃シナリオ８００として記憶装置に記憶し、攻撃命令記憶制御部１８０が、各攻撃の攻撃命令を上述の攻撃命令群９００として記憶装置に記憶する。第２攻撃シナリオ８００と攻撃命令群９００とが別々に記憶されることで、攻撃命令部１３０が、攻撃シナリオ分析部１１０に入力された攻撃シナリオ５００とは別の攻撃シナリオを、攻撃実行装置３００に送信することができる。攻撃命令部１３０は、攻撃命令識別子８１２、８２２及び８３２を用いて、第２攻撃シナリオ８００の攻撃順番５１１、５２１及び５３１、攻撃命令群９００の攻撃命令６１０、６２０及び６３０を、必要に応じて参照できる。

【0085】

（第３実施形態）
次に第３実施形態について説明する。第３実施形態の説明では、第２実施形態と同様の説明については省略し、第１実施形態と異なる箇所について説明する。

【0086】

［装置構成の例］
図１０は第３実施形態の装置構成の例を示す図である。第３実施形態では、攻撃制御装置１００－３が、第２実施形態の攻撃実行装置３００の機能も兼ね備える。攻撃モジュール記憶装置２００及び被攻撃システム４００は、第２実施形態と同様なので説明を省略する。

【0087】

攻撃制御装置１００－３は、外部装置から１以上の攻撃シナリオ５００を受信し、攻撃モジュール記憶装置２００の攻撃モジュールを参照する。そして、攻撃制御装置１００－３は、被攻撃システム４００に対してサイバー攻撃耐性評価用の通信（攻撃モジュールによる攻撃に係る通信）を行い、被攻撃システム４００の攻撃耐性を評価する。

【0088】

なお、攻撃モジュール記憶装置２００は、攻撃制御装置１００に内蔵されていてもよい。

【0089】

［機能構成］
図１１は第３実施形態の攻撃制御装置１００－３の機能構成の例を示す図である。第３実施形態の攻撃制御装置１００－３は、攻撃シナリオ分析部１１０、攻撃命令部１３０、検出部１４０、攻撃結果記憶制御部１５０、攻撃結果分析部１６０、依存関係記憶制御部１７０、攻撃命令記憶制御部１８０及び攻撃実行部１９０を備える。

【0090】

攻撃シナリオ分析部１１０、攻撃命令部１３０、検出部１４０、攻撃結果記憶制御部１５０、攻撃結果分析部１６０、依存関係記憶制御部１７０及び攻撃命令記憶制御部１８０は、第２実施形態と同様なので説明を省略する。

【0091】

攻撃実行部１９０は、例えば、攻撃命令部１３０から攻撃命令６１０を受信すると、攻撃命令６１０に含まれる攻撃モジュール情報５１２を用いて、攻撃モジュール記憶装置２００の攻撃モジュールを参照する。そして、攻撃実行部１９０は、攻撃命令６１０に含まれる複数のパラメータ５１３を攻撃モジュールに設定し、被攻撃システム４００に対して実行する。

【0092】

なお、攻撃命令６１０には必ずしもパラメータ５１３が含まれていなければならないわけではない。攻撃命令６１０にパラメータ５１３が含まれていない場合は、攻撃実行部１９０は、パラメータ５１３の値を設定するために情報を収集する攻撃命令を別途実行し、当該攻撃命令で取得された値をパラメータ５１３として攻撃モジュールに設定してもよい。具体的には、例えば、攻撃実行部１９０は、新たにホストスキャンの攻撃命令を実施し、取得されたＩＰアドレスを次の攻撃命令のパラメータとして設定してもよい。また例えば、攻撃実行部１９０は、新たにパスワードのブルートフォース攻撃の攻撃命令を実施し、明らかになったパスワードを次の攻撃命令のパラメータとして設定してもよい。

【0093】

［攻撃制御方法の例］
図１２は第３実施形態の攻撃制御方法の例を示すフローチャートである。図１２では、第２実施形態の攻撃制御方法のフローチャート（図９参照）に、ステップＳ１３－２に追加されている点が異なる。

【0094】

ステップＳ１３－２では、攻撃実行部１９０が、被攻撃システム４００に対して攻撃を実行する。ステップＳ１３－２で実行される攻撃は、例えば、既知の脆弱性を突いた攻撃である。攻撃の対応となる既知の脆弱性には、任意のコード実行を可能とする脆弱性、権限昇格を可能とする脆弱性、並びに、認証情報及び機密情報などを取得または改ざん、または削除を可能とする脆弱性などがある。

【0095】

また例えば、ステップＳ１３－２で実行される攻撃は、ファジングのように正常な通信データの一部分を改変したデータを送信する攻撃である。また例えば、ステップＳ１３－２で実行される攻撃は、正常な通信シーケンスを入れ替えたり、タイミングを変更したり、一部の通信データを抜かして送信するような攻撃である。また例えば、ステップＳ１３－２で実行される攻撃は、ＲＤＰまたはＳＳＨまたはＴｅｌｎｅｔなどのリモートアクセス通信による攻撃でもよいし、ＳＹＮフラッド攻撃のように大量のリクエストを短時間の間に送信する攻撃でもよい。

【0096】

攻撃実行部１９０は、ステップＳ１３－２で送信された攻撃通信に対する前記被攻撃システム４００の応答をもとに攻撃結果群７００を生成し（ステップＳ１４）、検出部１４０に送信する。

【0097】

第３実施形態では、攻撃結果を任意の要素で構成することが出来るので、攻撃命令ごとに生成または切断したセッション情報を記録できる。これにより、攻撃実行部１９０が、攻撃の再実施するとき、及び、別の攻撃シナリオを実行するときなどに、攻撃が成功したことのある攻撃命令を優先的に実行することが出来る。

【0098】

最後に、第１乃至第３実施形態の攻撃制御装置１００（１００－２，１００－３）のハードウェア構成の例について説明する。

【0099】

［ハードウェア構成の例］
図１１は、第１乃至第３実施形態の攻撃制御装置１００（１００－２，１００－３）のハードウェア構成の例を示す図である。第１乃至第３実施形態の攻撃制御装置１００（１００－２，１００－３）は、プロセッサ２０１、主記憶装置２０２、補助記憶装置２０３、表示装置２０４、入力装置２０５及び通信装置２０６を備える。プロセッサ２０１、主記憶装置２０２、補助記憶装置２０３、表示装置２０４、入力装置２０５及び通信装置２０６は、バス２１０を介して接続されている。

【0100】

なお、攻撃制御装置１００（１００－２，１００－３）は、上記構成の一部が備えられていなくてもよい。例えば、攻撃制御装置１００（１００－２，１００－３）が、外部の装置の入力機能及び表示機能を利用可能な場合、攻撃制御装置１００（１００－２，１００－３）に表示装置２０４及び入力装置２０５が備えられていなくてもよい。

【0101】

プロセッサ２０１は、補助記憶装置２０３から主記憶装置２０２に読み出されたプログラムを実行する。主記憶装置２０２は、ＲＯＭ及びＲＡＭ等のメモリである。補助記憶装置２０３は、ＨＤＤ（Ｈａｒｄ Ｄｉｓｋ Ｄｒｉｖｅ）及びメモリカード等である。

【0102】

表示装置２０４は、例えば液晶ディスプレイ等である。入力装置２０５は、攻撃制御装置１００を操作するためのインターフェースである。なお、表示装置２０４及び入力装置２０５は、表示機能と入力機能とを有するタッチパネル等により実現されていてもよい。通信装置２０６は、他の装置と通信するためのインターフェースである。

【0103】

攻撃制御装置１００（１００－２，１００－３）で実行されるプログラムは、インストール可能な形式又は実行可能な形式のファイルでＣＤ－ＲＯＭ、メモリカード、ＣＤ－Ｒ及びＤＶＤ等のコンピュータで読み取り可能な記憶媒体に記録されてコンピュータ・プログラム・プロダクトとして提供される。

【0104】

また攻撃制御装置１００（１００－２，１００－３）で実行されるプログラムを、インターネット等のネットワークに接続されたコンピュータ上に格納し、ネットワーク経由でダウンロードさせることにより提供するように構成してもよい。また攻撃制御装置１００（１００－２，１００－３）で実行されるプログラムをダウンロードさせずにインターネット等のネットワーク経由で提供するように構成してもよい。

【0105】

また攻撃制御装置１００（１００－２，１００－３）のプログラムを、ＲＯＭ等に予め組み込んで提供するように構成してもよい。

【0106】

攻撃制御装置１００（１００－２，１００－３）で実行されるプログラムは、上述の図２（図７、図１１）の機能構成のうち、プログラムによっても実現可能な機能を含むモジュール構成となっている。当該各機能は、実際のハードウェアとしては、プロセッサ２０１が記憶媒体からプログラムを読み出して実行することにより、上記各機能ブロックが主記憶装置２０２上にロードされる。すなわち上記各機能ブロックは主記憶装置２０２上に生成される。

【0107】

なお上述した図２（図７、図１１）の各機能の一部又は全部をソフトウェアにより実現せずに、ＩＣ等のハードウェアにより実現してもよい。

【0108】

また複数のプロセッサ２０１を用いて各機能を実現してもよく、その場合、各プロセッサ２０１は、各機能のうち１つを実現してもよいし、各機能のうち２以上を実現してもよい。

【0109】

本発明のいくつかの実施形態を説明したが、これらの実施形態は、例として提示したものであり、発明の範囲を限定することは意図していない。これら新規な実施形態は、その他の様々な形態で実施されることが可能であり、発明の要旨を逸脱しない範囲で、種々の省略、置き換え、変更を行うことができる。これら実施形態やその変形は、発明の範囲や要旨に含まれるとともに、特許請求の範囲に記載された発明とその均等の範囲に含まれる。

【符号の説明】

【0110】

１０ 攻撃制御システム
１００ 攻撃制御装置
１１０ 攻撃シナリオ分析部
１２０ 攻撃シナリオ記憶制御部
１３０ 攻撃命令部
１４０ 検出部
１５０ 攻撃結果記憶制御部
１６０ 攻撃結果分析部
１７０ 依存関係記憶制御部
１８０ 攻撃命令記憶制御部
１９０ 攻撃実行部
２００ 攻撃モジュール記憶装置
２０１ プロセッサ
２０２ 主記憶装置
２０３ 補助記憶装置
２０４ 表示装置
２０５ 入力装置
２０６ 通信装置
２１０ バス
３００ 攻撃実行装置

【図1】

【図2】

【図3】

【図4】

【図5】

【図6】

【図7】

【図8A】

【図8B】

【図9】

【図10】

【図11】

【図12】

【図13】