(19)【発行国】日本国特許庁(JP)
(12)【公報種別】特許公報(B2)
(11)【特許番号】
(24)【登録日】2024-11-07
(45)【発行日】2024-11-15
(54)【発明の名称】攻撃分析装置、攻撃分析方法及び攻撃分析プログラム
(51)【国際特許分類】
G06F 21/55 20130101AFI20241108BHJP
G06F 21/57 20130101ALI20241108BHJP
【ＦＩ】
G06F21/55 340
G06F21/57 370
【請求項の数】
10
(21)【出願番号】P 2024518965
(86)(22)【出願日】2022-06-01
(86)【国際出願番号】 JP2022022239
(87)【国際公開番号】W WO2023233560
(87)【国際公開日】2023-12-07
【審査請求日】2024-03-27
【早期審査対象出願】
(73)【特許権者】
【識別番号】000006013
【氏名又は名称】三菱電機株式会社
(74)【代理人】
【識別番号】110002491
【氏名又は名称】弁理士法人クロスボーダー特許事務所
(72)【発明者】
【氏名】横山 陽介
(72)【発明者】
【氏名】片山 吉章
(72)【発明者】
【氏名】三澤 学
(72)【発明者】
【氏名】米持 一樹
(72)【発明者】
【氏名】上田 直樹
(72)【発明者】
【氏名】平井 勇也
【審査官】青木 重徳
(56)【参考文献】
【文献】特開２０２０－０２１４２７（ＪＰ，Ａ）
【文献】特開２０２１－０９９５８９（ＪＰ，Ａ）
【文献】特開２０１２－２１２２８１（ＪＰ，Ａ）
【文献】国際公開第２０１５／０５９７９１（ＷＯ，Ａ１）
【文献】米国特許出願公開第２０１８／０２１２９８６（ＵＳ，Ａ１）
【文献】川口 信隆 ほか，不審活動の端末間伝搬に着目した標的型攻撃検知方式，情報処理学会 論文誌（ジャーナル） ［ｏｎｌｉｎｅ］，日本，情報処理学会，2016年03月，Vol.57 No.3，p. 1022-1039
【文献】佐藤 信 ほか，マルウェアによるネットワーク内の挙動を利用した標的型攻撃における感染経路検知ツールの開発と評価，情報処理学会 論文誌（ジャーナル） ［ｏｎｌｉｎｅ］，日本，情報処理学会，2017年02月15日，Vol.58 No.2，p. 366-374
(58)【調査した分野】(Int.Cl.，ＤＢ名)
Ｇ０６Ｆ ２１／５５
Ｇ０６Ｆ ２１／５７
ＪＳＴＰｌｕｓ／ＪＭＥＤＰｌｕｓ／ＪＳＴ７５８０（ＪＤｒｅａｍＩＩＩ）
(57)【特許請求の範囲】
【請求項1】
他のオブジェクトに影響を及ぼす動作を行ったオブジェクトであって対象システムのオブジェクトである影響元オブジェクトと、前記影響元オブジェクトが行った前記動作の影響を受けるオブジェクトであって前記対象システムのオブジェクトである影響先オブジェクトと、前記動作が前記対象システムに対するサイバー攻撃である確率を示す攻撃確度とのうち、少なくとも前記影響先オブジェクトと前記攻撃確度とを含む動作データを順次取得するデータ取得部と、初期状態のデータを初期の関係データとして、関係データに対して、前記データ取得部によって取得された前記動作データが前記影響元オブジェクトを含み、かつ、前記攻撃確度が閾値Ａ以上である場合に、前記影響元オブジェクトと前記影響先オブジェクトとの関係を加えることを繰り返す関係構築部と、
前記動作データを入力として、前記攻撃確度が前記閾値Ａよりも高い閾値Ｂ以上である場合に前記対象システムに対するサイバー攻撃が検知されたとして、前記関係構築部によって関係を加えることを繰り返すことにより最終的に得られた関係データに基づき、検知されたサイバー攻撃の影響があると想定される汚染範囲と、検知されたサイバー攻撃の侵入経路との少なくともいずれかを特定する特定部と
を備える攻撃分析装置。
【請求項2】
前記関係構築部は、前記影響元オブジェクトと前記影響先オブジェクトとの関係として、前記影響元オブジェクトから前記影響先オブジェクトへの方向を示す方向情報を加え、前記特定部は、検知されたサイバー攻撃を示す動作が検知されたオブジェクトを起点として、最終的に得られた関係データに含まれる前記方向情報が示す方向を順方向に辿ることにより、前記汚染範囲を特定する
請求項１に記載の攻撃分析装置。
【請求項3】
前記関係構築部は、前記影響元オブジェクトと前記影響先オブジェクトとの関係として、前記影響元オブジェクトから前記影響先オブジェクトへの方向を示す方向情報を加え、前記特定部は、検知されたサイバー攻撃を示す動作が検知されたオブジェクトを起点として、最終的に得られた関係データに含まれる前記方向情報が示す方向を逆方向に辿ることにより、侵入経路を特定する
請求項１に記載の攻撃分析装置。
【請求項4】
前記特定部は、前記動作データを入力として、前記攻撃確度が前記閾値Ａよりも高い閾値Ｂ以上である場合に、前記影響先オブジェクトを検知されたサイバー攻撃を示す動作が検知されたオブジェクトとして、前記侵入経路を特定する請求項３に記載の攻撃分析装置。
【請求項5】
前記関係構築部は、前記攻撃確度が前記閾値Ａ未満の前記動作データである過去データのうち、新たに取得された前記動作データとの関係から前記攻撃確度が基準よりも高いと判定された過去データにおける前記影響元オブジェクトと前記影響先オブジェクトとの関係を加える請求項１に記載の攻撃分析装置。
【請求項6】
前記関係構築部は、新たに取得された前記動作データにおける前記攻撃確度が前記閾値Ａ以上であり、かつ、新たに取得された前記動作データの動作時刻と前記過去データの動作時刻との差が基準時間内である場合に、前記過去データの前記攻撃確度が基準よりも高いと判定する請求項５に記載の攻撃分析装置。
【請求項7】
前記関係構築部は、新たに取得された前記動作データにおける前記攻撃確度が前記閾値Ａ以上であり、かつ、前記影響元オブジェクトと前記影響先オブジェクトとの少なくともいずれかが新たに取得された前記動作データと前記過去データとの間で一致する場合に、前記過去データの前記攻撃確度が基準よりも高いと判定する請求項５に記載の攻撃分析装置。
【請求項8】
前記動作データは、動作内容を示す動作情報を含み、前記攻撃分析装置は、さらに、
前記動作情報が示す前記動作内容から前記攻撃確度を計算する攻撃確度計算部
を備える請求項１に記載の攻撃分析装置。
【請求項9】
攻撃分析装置のデータ取得部が、他のオブジェクトに影響を及ぼす動作を行ったオブジェクトであって対象システムのオブジェクトである影響元オブジェクトと、前記影響元オブジェクトが行った前記動作の影響を受けるオブジェクトであって前記対象システムのオブジェクトである影響先オブジェクトと、前記動作が前記対象システムに対するサイバー攻撃である確率を示す攻撃確度とのうち、少なくとも前記影響先オブジェクトと前記攻撃確度とを含む動作データを順次取得し、前記攻撃分析装置の関係構築部が、初期状態のデータを初期の関係データとして、関係データに対して、前記動作データが前記影響元オブジェクトを含み、かつ、前記攻撃確度が閾値Ａ以上である場合に、前記影響元オブジェクトと前記影響先オブジェクトとの関係を加えることを繰り返し、
前記攻撃分析装置の特定部が、前記動作データを入力として、前記攻撃確度が前記閾値Ａよりも高い閾値Ｂ以上である場合に前記対象システムに対するサイバー攻撃が検知されたとして、関係を加えることを繰り返すことにより最終的に得られた関係データに基づき、検知されたサイバー攻撃の影響があると想定される汚染範囲と、検知されたサイバー攻撃の侵入経路との少なくともいずれかを特定する攻撃分析方法。
【請求項10】
他のオブジェクトに影響を及ぼす動作を行ったオブジェクトであって対象システムのオブジェクトである影響元オブジェクトと、前記影響元オブジェクトが行った前記動作の影響を受けるオブジェクトであって前記対象システムのオブジェクトである影響先オブジェクトと、前記動作が前記対象システムに対するサイバー攻撃である確率を示す攻撃確度とのうち、少なくとも前記影響先オブジェクトと前記攻撃確度とを含む動作データを順次取得するデータ取得処理と、初期状態のデータを初期の関係データとして、関係データに対して、前記データ取得処理によって取得された前記動作データが前記影響元オブジェクトを含み、かつ、前記攻撃確度が閾値Ａ以上である場合に、前記影響元オブジェクトと前記影響先オブジェクトとの関係を加えることを繰り返す関係構築処理と、
前記動作データを入力として、前記攻撃確度が前記閾値Ａよりも高い閾値Ｂ以上である場合に前記対象システムに対するサイバー攻撃が検知されたとして、前記関係構築処理によって関係を加えることを繰り返すことにより最終的に得られた関係データに基づき、検知されたサイバー攻撃の影響があると想定される汚染範囲と、検知されたサイバー攻撃の侵入経路との少なくともいずれかを特定する特定処理と
を行う攻撃分析装置としてコンピュータを機能させる攻撃分析プログラム。
【発明の詳細な説明】
【技術分野】
【0001】
本開示は、サイバー攻撃の影響があると想定される汚染範囲を特定する技術に関する。
【背景技術】
【0002】
特許文献１には、サイバー攻撃を受けたシステムにおいて、攻撃による侵入経路及び汚染範囲を特定する技術が記載されている。特許文献１では、複数のソフトウェアの動作データからオブジェクト間の関係データが生成される。そして、サイバー攻撃が検知されたときに、関係データを基に侵入経路及び汚染範囲が特定される。
関係データは、有向グラフである。有向グラフは、オブジェクトをノードとして有する。有向グラフは、オブジェクト間に影響を及ぼす動作データに対応した、影響元オブジェクトから影響先オブジェクトへの有向エッジを有する。サイバー攻撃が検知された場合に、関係データが参照される。攻撃が検知されたオブジェクトから逆方向に有向エッジを辿った範囲が侵入経路として特定される。順方向にエッジを辿った範囲が汚染範囲として特定される。
関係データは、有向グラフである。有向グラフは、オブジェクトをノードとして有する。有向グラフは、オブジェクト間に影響を及ぼす動作データに対応した、影響元オブジェクトから影響先オブジェクトへの有向エッジを有する。サイバー攻撃が検知された場合に、関係データが参照される。攻撃が検知されたオブジェクトから逆方向に有向エッジを辿った範囲が侵入経路として特定される。順方向にエッジを辿った範囲が汚染範囲として特定される。
【先行技術文献】
【特許文献】
【0003】
【文献】特許第６９８７３３２号公報
【発明の概要】
【発明が解決しようとする課題】
【0004】
特許文献１では、複数のソフトウェアの動作データからオブジェクト間の関係データが生成される。この際、サイバー攻撃と無関係の動作についての関係データも生成される。そのため、サイバー攻撃を受けた際に関係データを逆方向あるいは順方向に辿ると、サイバー攻撃と無関係のオブジェクトに到達することがある。その結果、侵入経路もしくは汚染範囲ではない部分が、侵入経路もしくは汚染範囲と特定されてしまう恐れがある。
本開示は、サイバー攻撃と関係する可能性の高いオブジェクトを侵入経路と汚染範囲との少なくともいずれかを特定可能にすることを目的とする。
本開示は、サイバー攻撃と関係する可能性の高いオブジェクトを侵入経路と汚染範囲との少なくともいずれかを特定可能にすることを目的とする。
【課題を解決するための手段】
【0005】
本開示に係る攻撃分析装置は、
他のオブジェクトに影響を及ぼす動作を行ったオブジェクトである影響元オブジェクトと、前記影響元オブジェクトが行った前記動作の影響を受けるオブジェクトである影響先オブジェクトと、前記動作が攻撃である確率を示す攻撃確度とのうち、少なくとも前記影響先オブジェクトと前記攻撃確度とを含む動作データを取得するデータ取得部と、
前記データ取得部によって取得された前記動作データが前記影響元オブジェクトを含み、かつ、前記攻撃確度が閾値Ａ以上である場合に、前記影響元オブジェクトと前記影響先オブジェクトとの関係を関係データに加えることにより、前記関係データを構築する関係構築部と、
攻撃が検知された場合に、前記関係構築部によって構築された前記関係データに基づき、検知された攻撃の影響があると想定される汚染範囲と、検知された攻撃の侵入経路との少なくともいずれかを特定する特定部と
を備える。
他のオブジェクトに影響を及ぼす動作を行ったオブジェクトである影響元オブジェクトと、前記影響元オブジェクトが行った前記動作の影響を受けるオブジェクトである影響先オブジェクトと、前記動作が攻撃である確率を示す攻撃確度とのうち、少なくとも前記影響先オブジェクトと前記攻撃確度とを含む動作データを取得するデータ取得部と、
前記データ取得部によって取得された前記動作データが前記影響元オブジェクトを含み、かつ、前記攻撃確度が閾値Ａ以上である場合に、前記影響元オブジェクトと前記影響先オブジェクトとの関係を関係データに加えることにより、前記関係データを構築する関係構築部と、
攻撃が検知された場合に、前記関係構築部によって構築された前記関係データに基づき、検知された攻撃の影響があると想定される汚染範囲と、検知された攻撃の侵入経路との少なくともいずれかを特定する特定部と
を備える。
【発明の効果】
【0006】
本開示では、攻撃確度が閾値Ａ以上である場合に、影響元オブジェクトと影響先オブジェクトとの関係を関係データに加えて、関係データが構築される。これにより、サイバー攻撃と関係する可能性が高いオブジェクトだけを侵入経路あるいは汚染範囲と特定することが可能になる。
【図面の簡単な説明】
【0007】
【図1】実施の形態１に係る攻撃分析装置１０の構成図。
【図2】実施の形態１に係る動作データ３１の説明図。
【図3】実施の形態１に係る閾値４１の説明図。
【図4】実施の形態１に係る関係データ５１の説明図。
【図5】実施の形態１に係る関係構築処理のフローチャート。
【図6】実施の形態１に係る特定処理のフローチャート。
【図7】変形例１に係る攻撃分析装置１０の構成図。
【図8】実施の形態２に係る履歴データ６１の説明図。
【図9】実施の形態２に係る関係構築処理のフローチャート。
【図10】実施の形態３に係る攻撃分析装置１０の構成図。
【図11】実施の形態３に係る動作データ３１の説明図。
【図12】実施の形態３に係る攻撃確度計算処理のフローチャート。
【発明を実施するための形態】
【0008】
実施の形態１．
＊＊＊構成の説明＊＊＊
図１を参照して、実施の形態１に係る攻撃分析装置１０の構成を説明する。
攻撃分析装置１０は、コンピュータである。
攻撃分析装置１０は、プロセッサ１１と、メモリ１２と、ストレージ１３とのハードウェアを備える。プロセッサ１１は、信号線を介して他のハードウェアと接続され、これら他のハードウェアを制御する。
＊＊＊構成の説明＊＊＊
図１を参照して、実施の形態１に係る攻撃分析装置１０の構成を説明する。
攻撃分析装置１０は、コンピュータである。
攻撃分析装置１０は、プロセッサ１１と、メモリ１２と、ストレージ１３とのハードウェアを備える。プロセッサ１１は、信号線を介して他のハードウェアと接続され、これら他のハードウェアを制御する。
【0009】
プロセッサ１１は、プロセッシングを行うＩＣである。ＩＣはＩｎｔｅｇｒａｔｅｄ Ｃｉｒｃｕｉｔの略である。プロセッサ１１は、具体例としては、ＣＰＵ、ＤＳＰ、ＧＰＵである。ＣＰＵは、Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔの略である。ＤＳＰは、Ｄｉｇｉｔａｌ Ｓｉｇｎａｌ Ｐｒｏｃｅｓｓｏｒの略である。ＧＰＵは、Ｇｒａｐｈｉｃｓ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔの略である。
【0010】
メモリ１２は、データを一時的に記憶する揮発性の記憶装置である。メモリ１２は、具体例としては、ＳＲＡＭ、ＤＲＡＭである。ＳＲＡＭは、Ｓｔａｔｉｃ Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙの略である。ＤＲＡＭは、Ｄｙｎａｍｉｃ Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙの略である。
【0011】
ストレージ１３は、データを保管する不揮発性の記憶装置である。ストレージ１３は、具体例としては、ＨＤＤである。ＨＤＤは、Ｈａｒｄ Ｄｉｓｋ Ｄｒｉｖｅの略である。また、ストレージ１３は、ＳＤ（登録商標）メモリカード、ＣｏｍｐａｃｔＦｌａｓｈ（登録商標）、ＮＡＮＤフラッシュ、フレキシブルディスク、光ディスク、コンパクトディスク、Ｂｌｕ－ｒａｙ（登録商標）ディスク、ＤＶＤといった可搬記録媒体であってもよい。ＳＤは、Ｓｅｃｕｒｅ Ｄｉｇｉｔａｌの略である。ＤＶＤは、Ｄｉｇｉｔａｌ Ｖｅｒｓａｔｉｌｅ Ｄｉｓｋの略である。
【0012】
攻撃分析装置１０は、機能構成要素として、データ取得部２１と、関係構築部２２と、特定部２３とを備える。攻撃分析装置１０の各機能構成要素の機能はソフトウェアにより実現される。
ストレージ１３には、攻撃分析装置１０の各機能構成要素の機能を実現するプログラムが格納されている。このプログラムは、プロセッサ１１によりメモリ１２に読み込まれ、プロセッサ１１によって実行される。これにより、攻撃分析装置１０の各機能構成要素の機能が実現される。
ストレージ１３には、攻撃分析装置１０の各機能構成要素の機能を実現するプログラムが格納されている。このプログラムは、プロセッサ１１によりメモリ１２に読み込まれ、プロセッサ１１によって実行される。これにより、攻撃分析装置１０の各機能構成要素の機能が実現される。
【0013】
図１では、プロセッサ１１は、１つだけ示されていた。しかし、プロセッサ１１は、複数であってもよく、複数のプロセッサ１１が、各機能を実現するプログラムを連携して実行してもよい。
【0014】
＊＊＊動作の説明＊＊＊
図２から図６を参照して、実施の形態１に係る攻撃分析装置１０の動作を説明する。
実施の形態１に係る攻撃分析装置１０の動作手順は、実施の形態１に係る攻撃分析方法に相当する。また、実施の形態１に係る攻撃分析装置１０の動作を実現するプログラムは、実施の形態１に係る攻撃分析プログラムに相当する。
図２から図６を参照して、実施の形態１に係る攻撃分析装置１０の動作を説明する。
実施の形態１に係る攻撃分析装置１０の動作手順は、実施の形態１に係る攻撃分析方法に相当する。また、実施の形態１に係る攻撃分析装置１０の動作を実現するプログラムは、実施の形態１に係る攻撃分析プログラムに相当する。
【0015】
攻撃分析装置１０の動作は、関係構築処理と、特定処理とを含む。関係構築処理及び特定処理で使用されるデータ等について説明した上で、関係構築処理及び特定処理を説明する。
【0016】
図２を参照して、実施の形態１に係る動作データ３１を説明する。
動作データ３１は、対象のシステムにおいて、システム中のあるオブジェクトが他のオブジェクトに影響を及ぼす動作を行った場合における、その動作を示す。対象のシステムは、侵入経路と汚染範囲との少なくともいずれかを特定する対象となるシステムである。オブジェクトは、ソフトウェアの実行時に使用される要素である。オブジェクトは、例えば、プロセスと、ファイルと、共有メモリ領域といった要素である。
動作データ３１は、対象のシステムにおいて、システム中のあるオブジェクトが他のオブジェクトに影響を及ぼす動作を行った場合における、その動作を示す。対象のシステムは、侵入経路と汚染範囲との少なくともいずれかを特定する対象となるシステムである。オブジェクトは、ソフトウェアの実行時に使用される要素である。オブジェクトは、例えば、プロセスと、ファイルと、共有メモリ領域といった要素である。
【0017】
動作データ３１は、影響元オブジェクト３２と、影響先オブジェクト３３と、攻撃確度３４とを含む。
影響元オブジェクト３２は、他のオブジェクトに影響を及ぼす動作を行ったオブジェクトである。影響先オブジェクト３３は、影響元オブジェクト３２が行った動作の影響を受けるオブジェクトである。プロセスＡからプロセスＢに対してデータが送信されたとする。この場合には、影響元オブジェクト３２はプロセスＡである。影響先オブジェクト３３はプロセスＢである。プロセスＣからファイルＤに対してデータが書き込まれたとする。この場合には、影響元オブジェクト３２はプロセスＣである。影響先オブジェクト３３はファイルＤである。
攻撃確度３４は、動作が対象のシステムに対するサイバー攻撃である確率を示す。
影響元オブジェクト３２は、他のオブジェクトに影響を及ぼす動作を行ったオブジェクトである。影響先オブジェクト３３は、影響元オブジェクト３２が行った動作の影響を受けるオブジェクトである。プロセスＡからプロセスＢに対してデータが送信されたとする。この場合には、影響元オブジェクト３２はプロセスＡである。影響先オブジェクト３３はプロセスＢである。プロセスＣからファイルＤに対してデータが書き込まれたとする。この場合には、影響元オブジェクト３２はプロセスＣである。影響先オブジェクト３３はファイルＤである。
攻撃確度３４は、動作が対象のシステムに対するサイバー攻撃である確率を示す。
【0018】
動作データ３１は、例えば、対象のシステムに導入された侵入検知プログラム又はセキュリティ監視プログラムによって生成される。
なお、動作データ３１には、影響元オブジェクト３２が含まれないことも許容される。動作データ３１を生成する侵入検知プログラム等が影響元を特定できなかった場合等には、動作データ３１に影響元オブジェクト３２が含まれない状態になる。
なお、動作データ３１には、影響元オブジェクト３２が含まれないことも許容される。動作データ３１を生成する侵入検知プログラム等が影響元を特定できなかった場合等には、動作データ３１に影響元オブジェクト３２が含まれない状態になる。
【0019】
図３を参照して、実施の形態１に係る閾値４１を説明する。
閾値４１は、動作データ３１が示す動作を、攻撃確度３４により、「攻撃でない」と、「攻撃が疑わしい」と、「攻撃である」との３種類に分類するための情報である。ここでは、閾値４１は、攻撃確度３４が閾値Ａ未満の場合には、動作が「攻撃でない」に分類されることを示す。閾値４１は、攻撃確度３４が閾値Ａ以上閾値Ｂ未満の場合には、動作が「攻撃が疑わしい」に分類されることを示す。閾値４１は、攻撃確度３４が閾値Ｂ以上の場合には、動作が「攻撃である」に分類されることを示す。
閾値４１は、関係構築部２２及び特定部２３のプログラム中に設定されている。あるいは、閾値４１は、ストレージ１３に設定されていてもよい。
閾値４１は、動作データ３１が示す動作を、攻撃確度３４により、「攻撃でない」と、「攻撃が疑わしい」と、「攻撃である」との３種類に分類するための情報である。ここでは、閾値４１は、攻撃確度３４が閾値Ａ未満の場合には、動作が「攻撃でない」に分類されることを示す。閾値４１は、攻撃確度３４が閾値Ａ以上閾値Ｂ未満の場合には、動作が「攻撃が疑わしい」に分類されることを示す。閾値４１は、攻撃確度３４が閾値Ｂ以上の場合には、動作が「攻撃である」に分類されることを示す。
閾値４１は、関係構築部２２及び特定部２３のプログラム中に設定されている。あるいは、閾値４１は、ストレージ１３に設定されていてもよい。
【0020】
図４を参照して、実施の形態１に係る関係データ５１を説明する。
関係データ５１は、オブジェクトを示すノード５２と、影響元オブジェクトから影響先オブジェクトへの向きを持つエッジ５３とから構成される有向グラフである。図４では、ノード５２は、楕円形で表されている。エッジ５３は、矢印で表されている。関係データ５１は、メモリ１２又はストレージ１３に記憶される。
関係データ５１は、オブジェクトを示すノード５２と、影響元オブジェクトから影響先オブジェクトへの向きを持つエッジ５３とから構成される有向グラフである。図４では、ノード５２は、楕円形で表されている。エッジ５３は、矢印で表されている。関係データ５１は、メモリ１２又はストレージ１３に記憶される。
【0021】
関係データ５１は、動作データ３１から生成される。図４では、影響元オブジェクト３２がプロセスＡであり、影響先オブジェクト３３がファイルＡである動作データ３１があったことが分かる。影響元オブジェクト３２がファイルＡであり、影響先オブジェクト３３がプロセスＢである動作データ３１があったことが分かる。影響元オブジェクト３２がプロセスＢであり、影響先オブジェクト３３がファイルＢである動作データ３１があったことが分かる。影響元オブジェクト３２がプロセスＢであり、影響先オブジェクト３３がプロセスＣである動作データ３１があったことが分かる。影響元オブジェクト３２がプロセスＤであり、影響先オブジェクト３３がプロセスＣである動作データ３１があったことが分かる。
【0022】
図５を参照して、実施の形態１に係る関係構築処理を説明する。
（ステップＳ１１：関係データ初期化処理）
関係構築部２２は、関係データ５１を空に初期化する。つまり、関係構築部２２は、関係データ５１をノード５２及びエッジ５３が存在しない状態にする。
（ステップＳ１１：関係データ初期化処理）
関係構築部２２は、関係データ５１を空に初期化する。つまり、関係構築部２２は、関係データ５１をノード５２及びエッジ５３が存在しない状態にする。
【0023】
（ステップＳ１２：動作データ入力処理）
関係構築部２２は、新たな動作データ３１を入力として受け付ける。
具体的には、データ取得部２１は、新たに生成された動作データ３１を取得する。ここで取得される動作データ３１は、影響元オブジェクト３２と影響先オブジェクト３３と攻撃確度３４とのうち、少なくとも影響先オブジェクト３３と攻撃確度３４とを含む。データ取得部２１は、取得した動作データ３１を関係構築部２２に入力する。関係構築部２２は、入力された動作データ３１を受け付ける。
関係構築部２２は、新たな動作データ３１を入力として受け付ける。
具体的には、データ取得部２１は、新たに生成された動作データ３１を取得する。ここで取得される動作データ３１は、影響元オブジェクト３２と影響先オブジェクト３３と攻撃確度３４とのうち、少なくとも影響先オブジェクト３３と攻撃確度３４とを含む。データ取得部２１は、取得した動作データ３１を関係構築部２２に入力する。関係構築部２２は、入力された動作データ３１を受け付ける。
【0024】
（ステップＳ１３：データ判定処理）
関係構築部２２は、ステップＳ１２で受け付けた動作データ３１が影響元オブジェクト３２を含み、かつ、攻撃確度３４が閾値Ａ以上であるか否かを判定する。
関係構築部２２は、動作データ３１が影響元オブジェクト３２を含み、かつ、攻撃確度３４が閾値Ａ以上である場合には、処理をステップＳ１４に進める。攻撃確度３４が閾値Ａ以上であるということは、動作が「攻撃が疑わしい」又は「攻撃である」に分類されたことを意味する。一方、関係構築部２２は、それ以外の場合には、処理をステップＳ１５に進める。
関係構築部２２は、ステップＳ１２で受け付けた動作データ３１が影響元オブジェクト３２を含み、かつ、攻撃確度３４が閾値Ａ以上であるか否かを判定する。
関係構築部２２は、動作データ３１が影響元オブジェクト３２を含み、かつ、攻撃確度３４が閾値Ａ以上である場合には、処理をステップＳ１４に進める。攻撃確度３４が閾値Ａ以上であるということは、動作が「攻撃が疑わしい」又は「攻撃である」に分類されたことを意味する。一方、関係構築部２２は、それ以外の場合には、処理をステップＳ１５に進める。
【0025】
（ステップＳ１４：データ追加処理）
関係構築部２２は、ステップＳ１２で受け付けた動作データ３１における影響元オブジェクト３２と影響先オブジェクト３３との関係を関係データ５１に加える。これにより、関係構築部２２は、関係データ５１を構築する。
具体的には、関係構築部２２は、影響元オブジェクト３２から影響先オブジェクト３３への方向を示す方向情報を関係データ５１に加える。ここでは、関係データ５１は有向グラフである。そのため、関係構築部２２は、影響元オブジェクト３２に対応するノード５２から影響先オブジェクト３３に対応するノード５２へ向いたエッジ５３を方向情報として関係データ５１に加える。
より具体的には、関係構築部２２は、影響元オブジェクト３２が関係データ５１に存在するか否かを判定する。関係構築部２２は、影響元オブジェクト３２が関係データ５１に存在しなければ、影響元オブジェクト３２に対応するノード５２を関係データ５１に加える。同様に、関係構築部２２は、影響先オブジェクト３３が関係データ５１に存在するか否かを判定する。関係構築部２２は、影響先オブジェクト３３が関係データ５１に存在しなければ、影響先オブジェクト３３に対応するノード５２を関係データ５１に加える。関係構築部２２は、影響元オブジェクト３２に対応するノード５２から影響先オブジェクト３３に対応するノードへ向いたエッジ５３を加える。
関係構築部２２は、ステップＳ１２で受け付けた動作データ３１における影響元オブジェクト３２と影響先オブジェクト３３との関係を関係データ５１に加える。これにより、関係構築部２２は、関係データ５１を構築する。
具体的には、関係構築部２２は、影響元オブジェクト３２から影響先オブジェクト３３への方向を示す方向情報を関係データ５１に加える。ここでは、関係データ５１は有向グラフである。そのため、関係構築部２２は、影響元オブジェクト３２に対応するノード５２から影響先オブジェクト３３に対応するノード５２へ向いたエッジ５３を方向情報として関係データ５１に加える。
より具体的には、関係構築部２２は、影響元オブジェクト３２が関係データ５１に存在するか否かを判定する。関係構築部２２は、影響元オブジェクト３２が関係データ５１に存在しなければ、影響元オブジェクト３２に対応するノード５２を関係データ５１に加える。同様に、関係構築部２２は、影響先オブジェクト３３が関係データ５１に存在するか否かを判定する。関係構築部２２は、影響先オブジェクト３３が関係データ５１に存在しなければ、影響先オブジェクト３３に対応するノード５２を関係データ５１に加える。関係構築部２２は、影響元オブジェクト３２に対応するノード５２から影響先オブジェクト３３に対応するノードへ向いたエッジ５３を加える。
【0026】
（ステップＳ１５：出力処理）
関係構築部２２は、ステップＳ１２で受け付けた動作データ３１を特定部２３に出力する。そして、関係構築部２２は、処理をステップＳ１２に戻して、次の動作データ３１の入力を待つ。
関係構築部２２は、ステップＳ１２で受け付けた動作データ３１を特定部２３に出力する。そして、関係構築部２２は、処理をステップＳ１２に戻して、次の動作データ３１の入力を待つ。
【0027】
図６を参照して、実施の形態１に係る特定処理を説明する。
（ステップＳ２１：動作データ入力処理）
特定部２３は、新たな動作データ３１を入力として受け付ける。具体的には、特定部２３は、ステップＳ１５で出力された動作データ３１を受け付ける。
（ステップＳ２１：動作データ入力処理）
特定部２３は、新たな動作データ３１を入力として受け付ける。具体的には、特定部２３は、ステップＳ１５で出力された動作データ３１を受け付ける。
【0028】
（ステップＳ２２：データ判定処理）
特定部２３は、ステップＳ２１で受け付けた動作データ３１における攻撃確度３４が閾値Ｂ以上であるか否かを判定する。
特定部２３は、攻撃確度３４が閾値Ｂ以上である場合には、処理をステップＳ２３に進める。攻撃確度３４が閾値Ｂ以上であるということは、動作が「攻撃である」に分類されたことを意味する。言い換えると、攻撃確度３４が閾値Ｂ以上であるということは、対象のシステムに対する攻撃が検知されたことを意味する。特定部２３は、それ以外の場合には、処理をステップＳ２１に戻して、次の動作データ３１の入力を待つ。
特定部２３は、ステップＳ２１で受け付けた動作データ３１における攻撃確度３４が閾値Ｂ以上であるか否かを判定する。
特定部２３は、攻撃確度３４が閾値Ｂ以上である場合には、処理をステップＳ２３に進める。攻撃確度３４が閾値Ｂ以上であるということは、動作が「攻撃である」に分類されたことを意味する。言い換えると、攻撃確度３４が閾値Ｂ以上であるということは、対象のシステムに対する攻撃が検知されたことを意味する。特定部２３は、それ以外の場合には、処理をステップＳ２１に戻して、次の動作データ３１の入力を待つ。
【0029】
（ステップＳ２３：侵入経路特定処理）
特定部２３は、関係構築部２２によって構築された関係データ５１を参照して、ステップＳ２１で受け付けた動作データ３１が示す攻撃の侵入経路を特定する。
具体的には、特定部２３は、ステップＳ２１で受け付けた動作データ３１が示す攻撃を示す動作が検知されたオブジェクトを特定する。ここでは、特定部２３は、動作データ３１における影響先オブジェクト３３を、攻撃を示す動作が検知されたオブジェクトとして特定する。特定部２３は、特定されたオブジェクトを起点として、関係データ５１に含まれる方向情報が示す方向を逆方向に辿ることにより、侵入経路を特定する。特定部２３は、起点から逆方向に辿って到達した範囲を侵入経路として特定する。
例えば、図４におけるプロセスＢが攻撃を示す動作が検知されたオブジェクトであるとする。この場合には、方向情報であるエッジ５３が逆方向に辿られ、プロセスＡとファイルＡとプロセスＢとが侵入経路として特定される。
特定部２３は、関係構築部２２によって構築された関係データ５１を参照して、ステップＳ２１で受け付けた動作データ３１が示す攻撃の侵入経路を特定する。
具体的には、特定部２３は、ステップＳ２１で受け付けた動作データ３１が示す攻撃を示す動作が検知されたオブジェクトを特定する。ここでは、特定部２３は、動作データ３１における影響先オブジェクト３３を、攻撃を示す動作が検知されたオブジェクトとして特定する。特定部２３は、特定されたオブジェクトを起点として、関係データ５１に含まれる方向情報が示す方向を逆方向に辿ることにより、侵入経路を特定する。特定部２３は、起点から逆方向に辿って到達した範囲を侵入経路として特定する。
例えば、図４におけるプロセスＢが攻撃を示す動作が検知されたオブジェクトであるとする。この場合には、方向情報であるエッジ５３が逆方向に辿られ、プロセスＡとファイルＡとプロセスＢとが侵入経路として特定される。
【0030】
（ステップＳ２４：汚染範囲特定処理）
特定部２３は、関係構築部２２によって構築された関係データ５１を参照して、ステップＳ２１で受け付けた動作データ３１が示す攻撃の影響があると想定される汚染範囲を特定する。
具体的には、特定部２３は、ステップＳ２１で受け付けた動作データ３１が示す攻撃を示す動作が検知されたオブジェクトを特定する。ここでは、特定部２３は、動作データ３１における影響先オブジェクト３３を、攻撃を示す動作が検知されたオブジェクトとして特定する。特定部２３は、特定されたオブジェクトを起点として、関係データ５１に含まれる方向情報が示す方向を順方向に辿ることにより、汚染範囲を特定する。特定部２３は、起点から順方向に辿って到達した範囲を汚染範囲として特定する。
例えば、図４におけるプロセスＢが攻撃を示す動作が検知されたオブジェクトであるとする。この場合には、方向情報であるエッジ５３が順方向に辿られ、プロセスＢとファイルＢとプロセスＣとプロセスＤとが汚染範囲として特定される。
特定部２３は、関係構築部２２によって構築された関係データ５１を参照して、ステップＳ２１で受け付けた動作データ３１が示す攻撃の影響があると想定される汚染範囲を特定する。
具体的には、特定部２３は、ステップＳ２１で受け付けた動作データ３１が示す攻撃を示す動作が検知されたオブジェクトを特定する。ここでは、特定部２３は、動作データ３１における影響先オブジェクト３３を、攻撃を示す動作が検知されたオブジェクトとして特定する。特定部２３は、特定されたオブジェクトを起点として、関係データ５１に含まれる方向情報が示す方向を順方向に辿ることにより、汚染範囲を特定する。特定部２３は、起点から順方向に辿って到達した範囲を汚染範囲として特定する。
例えば、図４におけるプロセスＢが攻撃を示す動作が検知されたオブジェクトであるとする。この場合には、方向情報であるエッジ５３が順方向に辿られ、プロセスＢとファイルＢとプロセスＣとプロセスＤとが汚染範囲として特定される。
【0031】
（ステップＳ２５：データ生成処理）
特定部２３は、ステップＳ２３で特定された侵入経路と、ステップＳ２４で特定された汚染範囲とを示す出力データを生成する。
具体的には、特定部２３は、侵入経路に含まれるオブジェクトの集合と、汚染範囲に含まれるオブジェクトの集合とを含むデータを出力データとして生成する。特定部２３は、さらに、ステップＳ２３で辿ったエッジ５３と、ステップＳ２４で辿ったエッジ５３とを出力データに含めてもよい。
そして、特定部２３は、処理をステップＳ２１に戻して、次の動作データ３１の入力を待つ。
特定部２３は、ステップＳ２３で特定された侵入経路と、ステップＳ２４で特定された汚染範囲とを示す出力データを生成する。
具体的には、特定部２３は、侵入経路に含まれるオブジェクトの集合と、汚染範囲に含まれるオブジェクトの集合とを含むデータを出力データとして生成する。特定部２３は、さらに、ステップＳ２３で辿ったエッジ５３と、ステップＳ２４で辿ったエッジ５３とを出力データに含めてもよい。
そして、特定部２３は、処理をステップＳ２１に戻して、次の動作データ３１の入力を待つ。
【0032】
＊＊＊実施の形態１の効果＊＊＊
以上のように、実施の形態１に係る攻撃分析装置１０は、動作が「攻撃が疑わしい」又は「攻撃である」に分類された場合にのみ、動作データ３１が示す動作によるオブジェクト間の影響関係を関係データ５１に加える。つまり、実施の形態１に係る攻撃分析装置１０は、サイバー攻撃である確率が一定以上である場合にのみ、動作データ３１が示す動作によるオブジェクト間の影響関係を関係データ５１に加える。
これにより、サイバー攻撃と関係する可能性が高いオブジェクトだけを侵入経路あるいは汚染範囲と特定することが可能になる。言い換えると、サイバー攻撃と関係する可能性が低いオブジェクトを侵入経路あるいは汚染範囲と特定しないようにすることが可能になる。
以上のように、実施の形態１に係る攻撃分析装置１０は、動作が「攻撃が疑わしい」又は「攻撃である」に分類された場合にのみ、動作データ３１が示す動作によるオブジェクト間の影響関係を関係データ５１に加える。つまり、実施の形態１に係る攻撃分析装置１０は、サイバー攻撃である確率が一定以上である場合にのみ、動作データ３１が示す動作によるオブジェクト間の影響関係を関係データ５１に加える。
これにより、サイバー攻撃と関係する可能性が高いオブジェクトだけを侵入経路あるいは汚染範囲と特定することが可能になる。言い換えると、サイバー攻撃と関係する可能性が低いオブジェクトを侵入経路あるいは汚染範囲と特定しないようにすることが可能になる。
【0033】
また、実施の形態１に係る攻撃分析装置１０は、動作データ３１が入力される度に関係データ５１の構築を行う。そして、実施の形態１に係る攻撃分析装置１０は、動作データ３１の動作が「攻撃である」と判定された場合には、即座に侵入経路及び汚染範囲を特定可能である。
これにより、リアルタイム性を必要とする制御システムなどへの適用が可能である。
これにより、リアルタイム性を必要とする制御システムなどへの適用が可能である。
【0034】
＊＊＊他の構成＊＊＊
＜変形例１＞
実施の形態１では、各機能構成要素がソフトウェアで実現された。しかし、変形例１として、各機能構成要素はハードウェアで実現されてもよい。この変形例１について、実施の形態１と異なる点を説明する。
＜変形例１＞
実施の形態１では、各機能構成要素がソフトウェアで実現された。しかし、変形例１として、各機能構成要素はハードウェアで実現されてもよい。この変形例１について、実施の形態１と異なる点を説明する。
【0035】
図７を参照して、変形例１に係る攻撃分析装置１０の構成を説明する。
各機能構成要素がハードウェアで実現される場合には、攻撃分析装置１０は、プロセッサ１１とメモリ１２とストレージ１３とに代えて、電子回路１４を備える。電子回路１４は、各機能構成要素と、メモリ１２と、ストレージ１３との機能とを実現する専用の回路である。
各機能構成要素がハードウェアで実現される場合には、攻撃分析装置１０は、プロセッサ１１とメモリ１２とストレージ１３とに代えて、電子回路１４を備える。電子回路１４は、各機能構成要素と、メモリ１２と、ストレージ１３との機能とを実現する専用の回路である。
【0036】
電子回路１４としては、単一回路、複合回路、プログラム化したプロセッサ、並列プログラム化したプロセッサ、ロジックＩＣ、ＧＡ、ＡＳＩＣ、ＦＰＧＡが想定される。ＧＡは、Ｇａｔｅ Ａｒｒａｙの略である。ＡＳＩＣは、Ａｐｐｌｉｃａｔｉｏｎ Ｓｐｅｃｉｆｉｃ Ｉｎｔｅｇｒａｔｅｄ Ｃｉｒｃｕｉｔの略である。ＦＰＧＡは、Ｆｉｅｌｄ－Ｐｒｏｇｒａｍｍａｂｌｅ Ｇａｔｅ Ａｒｒａｙの略である。
各機能構成要素を１つの電子回路１４で実現してもよいし、各機能構成要素を複数の電子回路１４に分散させて実現してもよい。
各機能構成要素を１つの電子回路１４で実現してもよいし、各機能構成要素を複数の電子回路１４に分散させて実現してもよい。
【0037】
＜変形例２＞
変形例２として、一部の各機能構成要素がハードウェアで実現され、他の各機能構成要素がソフトウェアで実現されてもよい。
変形例２として、一部の各機能構成要素がハードウェアで実現され、他の各機能構成要素がソフトウェアで実現されてもよい。
【0038】
プロセッサ１１とメモリ１２とストレージ１３と電子回路１４とを処理回路という。つまり、各機能構成要素の機能は、処理回路により実現される。
【0039】
実施の形態２．
実施の形態２は、攻撃確度３４が閾値Ａ未満の動作データ３１についても、他の動作データ３１との関係から攻撃確度３４が基準よりも高いと判定される場合には、オブジェクト間の影響関係を関係データ５１に加える点が実施の形態１と異なる。実施の形態２では、この異なる点を説明し、同一の点については説明を省略する。
実施の形態２は、攻撃確度３４が閾値Ａ未満の動作データ３１についても、他の動作データ３１との関係から攻撃確度３４が基準よりも高いと判定される場合には、オブジェクト間の影響関係を関係データ５１に加える点が実施の形態１と異なる。実施の形態２では、この異なる点を説明し、同一の点については説明を省略する。
【0040】
＊＊＊動作の説明＊＊＊
図８及び図９を参照して、実施の形態２に係る攻撃分析装置１０の動作を説明する。
実施の形態２に係る攻撃分析装置１０の動作手順は、実施の形態２に係る攻撃分析方法に相当する。また、実施の形態２に係る攻撃分析装置１０の動作を実現するプログラムは、実施の形態２に係る攻撃分析プログラムに相当する。
図８及び図９を参照して、実施の形態２に係る攻撃分析装置１０の動作を説明する。
実施の形態２に係る攻撃分析装置１０の動作手順は、実施の形態２に係る攻撃分析方法に相当する。また、実施の形態２に係る攻撃分析装置１０の動作を実現するプログラムは、実施の形態２に係る攻撃分析プログラムに相当する。
【0041】
関係構築処理で使用されるデータ等について説明した上で、関係構築処理を説明する。特定処理は、実施の形態１と同じである。
【0042】
図８を参照して、実施の形態２に係る履歴データ６１を説明する。
履歴データ６１は、過去に入力された動作データ３１のうち、攻撃確度３４が閾値Ａ未満であり、かつ、影響元オブジェクト３２が含まれる動作データ３１である。
履歴データ６１は、過去に入力された動作データ３１のうち、攻撃確度３４が閾値Ａ未満であり、かつ、影響元オブジェクト３２が含まれる動作データ３１である。
【0043】
履歴データ６１は、影響元オブジェクト６２と、影響先オブジェクト６３と、時刻情報６４とを含む。
影響元オブジェクト６２は、履歴データ６１の元になった動作データ３１における影響元オブジェクト３２である。影響先オブジェクト６３は、履歴データ６１の元になった動作データ３１における影響先オブジェクト３３である。時刻情報６４は、履歴データ６１の元になった動作データ３１が示す動作が行われた時刻を示す。
影響元オブジェクト６２は、履歴データ６１の元になった動作データ３１における影響元オブジェクト３２である。影響先オブジェクト６３は、履歴データ６１の元になった動作データ３１における影響先オブジェクト３３である。時刻情報６４は、履歴データ６１の元になった動作データ３１が示す動作が行われた時刻を示す。
【0044】
図９を参照して、実施の形態２に係る関係構築処理を説明する。
ステップＳ３１の処理は、図５のステップＳ１１の処理と同じである。ステップＳ３３からステップＳ３５の処理は、図５のステップＳ１２からステップＳ１４の処理と同じである。ステップＳ３９の処理は、図５のステップＳ１５の処理と同じである。
但し、ステップＳ３４では、関係構築部２２は、動作データ３１が影響元オブジェクト３２を含み、かつ、攻撃確度３４が閾値Ａ以上である場合には、処理をステップＳ３５に進める。一方、関係構築部２２は、それ以外の場合には、処理をステップＳ３６に進める。
ステップＳ３１の処理は、図５のステップＳ１１の処理と同じである。ステップＳ３３からステップＳ３５の処理は、図５のステップＳ１２からステップＳ１４の処理と同じである。ステップＳ３９の処理は、図５のステップＳ１５の処理と同じである。
但し、ステップＳ３４では、関係構築部２２は、動作データ３１が影響元オブジェクト３２を含み、かつ、攻撃確度３４が閾値Ａ以上である場合には、処理をステップＳ３５に進める。一方、関係構築部２２は、それ以外の場合には、処理をステップＳ３６に進める。
【0045】
（ステップＳ３２：履歴データ初期化処理）
関係構築部２２は、履歴データ６１を空に初期化する。つまり、履歴データ６１をデータが存在しない状態にする。
関係構築部２２は、履歴データ６１を空に初期化する。つまり、履歴データ６１をデータが存在しない状態にする。
【0046】
（ステップＳ３６：第２データ追加処理）
関係構築部２２は、履歴データ６１に含まれる動作データ３１である過去データのうち、ステップＳ３３で新たに取得された動作データ３１との関係から攻撃確度３４が基準よりも高いと判定される過去データを抽出する。関係構築部２２は、以下の（１）（２）の場合に、過去データの攻撃確度３４が基準よりも高いと判定することが考えられる。
（１）条件１を満たし、かつ、条件２を満たす場合。条件１は、新たに取得された動作データ３１における攻撃確度３４が閾値Ａ以上であるという条件である。条件２は、新たに取得された動作データ３１の動作時刻と過去データの動作時刻との差が基準時間内であるという条件である。現在の時刻を、新たに取得された動作データ３１の動作時刻と考えてもよい。なお、条件１は除かれてもよい。
（２）条件１を満たし、かつ、条件３を満たす場合。条件１は、上述した通りである。条件３は、影響元オブジェクトと影響先オブジェクトとの少なくともいずれかが新たに取得された動作データ３１と過去データとの間で一致するという条件である。条件３は、以下の（ａ）（ｂ）のいずれかの場合に満たされる。（ａ）新たに取得された動作データ３１における影響元オブジェクト３２と、過去データにおける影響元オブジェクト６２あるいは影響先オブジェクト６３のいずれか一方が一致する。（ｂ）新たに取得された動作データ３１における影響先オブジェクト３３と、過去データにおける影響元オブジェクト６２あるいは影響先オブジェクト６３のいずれか一方が一致する。なお、条件１は除かれてもよい。
関係構築部２２は、履歴データ６１に含まれる動作データ３１である過去データのうち、ステップＳ３３で新たに取得された動作データ３１との関係から攻撃確度３４が基準よりも高いと判定される過去データを抽出する。関係構築部２２は、以下の（１）（２）の場合に、過去データの攻撃確度３４が基準よりも高いと判定することが考えられる。
（１）条件１を満たし、かつ、条件２を満たす場合。条件１は、新たに取得された動作データ３１における攻撃確度３４が閾値Ａ以上であるという条件である。条件２は、新たに取得された動作データ３１の動作時刻と過去データの動作時刻との差が基準時間内であるという条件である。現在の時刻を、新たに取得された動作データ３１の動作時刻と考えてもよい。なお、条件１は除かれてもよい。
（２）条件１を満たし、かつ、条件３を満たす場合。条件１は、上述した通りである。条件３は、影響元オブジェクトと影響先オブジェクトとの少なくともいずれかが新たに取得された動作データ３１と過去データとの間で一致するという条件である。条件３は、以下の（ａ）（ｂ）のいずれかの場合に満たされる。（ａ）新たに取得された動作データ３１における影響元オブジェクト３２と、過去データにおける影響元オブジェクト６２あるいは影響先オブジェクト６３のいずれか一方が一致する。（ｂ）新たに取得された動作データ３１における影響先オブジェクト３３と、過去データにおける影響元オブジェクト６２あるいは影響先オブジェクト６３のいずれか一方が一致する。なお、条件１は除かれてもよい。
【0047】
関係構築部２２は、（１）及び（２）を併用して、過去データの攻撃確度３４が基準よりも高いと判定してもよい。つまり、関係構築部２２は、条件１を満たし、かつ、条件２を満たし、かつ、条件３を満たす場合に、過去データの攻撃確度３４が基準よりも高いと判定してもよい。
【0048】
関係構築部２２は、抽出された履歴データ６１における影響元オブジェクト６２と影響先オブジェクト６３との関係を関係データ５１に加える。具体的には、図５のステップＳ１４の処理と同様に、関係構築部２２は、影響元オブジェクト６２に対応するノード５２から影響先オブジェクト６３に対応するノード５２へ向いたエッジ５３を方向情報として関係データ５１に加える。
【0049】
（ステップＳ３７：影響元判定処理）
関係構築部２２は、ステップＳ３３で新たに取得された動作データ３１に影響元オブジェクト６２が含まれるか否かを判定する。
関係構築部２２は、影響元オブジェクト６２が含まれる場合には、処理をステップＳ３８に進める。関係構築部２２は、それ以外の場合には、処理をステップＳ３９に進める。
関係構築部２２は、ステップＳ３３で新たに取得された動作データ３１に影響元オブジェクト６２が含まれるか否かを判定する。
関係構築部２２は、影響元オブジェクト６２が含まれる場合には、処理をステップＳ３８に進める。関係構築部２２は、それ以外の場合には、処理をステップＳ３９に進める。
【0050】
（ステップＳ３８：履歴追加処理）
関係構築部２２は、ステップＳ３３で新たに取得された動作データ３１を履歴データ６１に追加する。
具体的には、関係構築部２２は、履歴データ６１に新たにレコードを作成する。そして、関係構築部２２は、動作データ３１における影響元オブジェクト３２及び影響先オブジェクト３３を履歴データ６１における影響元オブジェクト６２及び影響先オブジェクト６３に書き込む。関係構築部２２は、動作データ３１の動作時刻を、履歴データ６１における時刻情報６４に書き込む。
関係構築部２２は、ステップＳ３３で新たに取得された動作データ３１を履歴データ６１に追加する。
具体的には、関係構築部２２は、履歴データ６１に新たにレコードを作成する。そして、関係構築部２２は、動作データ３１における影響元オブジェクト３２及び影響先オブジェクト３３を履歴データ６１における影響元オブジェクト６２及び影響先オブジェクト６３に書き込む。関係構築部２２は、動作データ３１の動作時刻を、履歴データ６１における時刻情報６４に書き込む。
【0051】
＊＊＊実施の形態２の効果＊＊＊
以上のように、実施の形態２に係る攻撃分析装置１０は、他の動作データ３１との関係から攻撃確度３４が基準よりも高いと判定される場合には、オブジェクト間の影響関係を関係データ５１に加える。
動作データ３１単独では「攻撃である」あるいは「攻撃か疑わしい」と判定できない動作もある。このような動作であっても、「攻撃である」か「攻撃か疑わしい」動作に対する関連の有無を手掛かりに、「攻撃か疑わしい」動作と同様であるとみなし、関係データ５１を構築することが可能である。
以上のように、実施の形態２に係る攻撃分析装置１０は、他の動作データ３１との関係から攻撃確度３４が基準よりも高いと判定される場合には、オブジェクト間の影響関係を関係データ５１に加える。
動作データ３１単独では「攻撃である」あるいは「攻撃か疑わしい」と判定できない動作もある。このような動作であっても、「攻撃である」か「攻撃か疑わしい」動作に対する関連の有無を手掛かりに、「攻撃か疑わしい」動作と同様であるとみなし、関係データ５１を構築することが可能である。
【0052】
実施の形態３．
実施の形態３は、動作データ３１に攻撃確度３４が含まれていない場合に、攻撃確度３４を計算する点が実施の形態１，２と異なる。実施の形態３では、この異なる点を説明して、同一の点については説明を省略する。
実施の形態３は、動作データ３１に攻撃確度３４が含まれていない場合に、攻撃確度３４を計算する点が実施の形態１，２と異なる。実施の形態３では、この異なる点を説明して、同一の点については説明を省略する。
【0053】
＊＊＊構成の説明＊＊＊
図１０を参照して、実施の形態３に係る攻撃分析装置１０の構成を説明する。
攻撃分析装置１０は、機能構成要素として、攻撃確度計算部２４を備える点が図１に示す攻撃分析装置１０と異なる。攻撃確度計算部２４の機能は、他の機能構成要素と同様に、ソフトウェア又はハードウェアによって実現される。
図１０を参照して、実施の形態３に係る攻撃分析装置１０の構成を説明する。
攻撃分析装置１０は、機能構成要素として、攻撃確度計算部２４を備える点が図１に示す攻撃分析装置１０と異なる。攻撃確度計算部２４の機能は、他の機能構成要素と同様に、ソフトウェア又はハードウェアによって実現される。
【0054】
＊＊＊動作の説明＊＊＊
図１１及び図１２を参照して、実施の形態３に係る攻撃分析装置１０の動作を説明する。
実施の形態３に係る攻撃分析装置１０の動作手順は、実施の形態３に係る攻撃分析方法に相当する。また、実施の形態３に係る攻撃分析装置１０の動作を実現するプログラムは、実施の形態３に係る攻撃分析プログラムに相当する。
図１１及び図１２を参照して、実施の形態３に係る攻撃分析装置１０の動作を説明する。
実施の形態３に係る攻撃分析装置１０の動作手順は、実施の形態３に係る攻撃分析方法に相当する。また、実施の形態３に係る攻撃分析装置１０の動作を実現するプログラムは、実施の形態３に係る攻撃分析プログラムに相当する。
【0055】
攻撃分析装置１０の動作は、関係構築処理と、特定処理とに加え、攻撃確度計算処理を含む。攻撃確度計算処理で使用されるデータ等について説明した上で、攻撃確度計算処理を説明する。
【0056】
図１１を参照して、実施の形態３に係る動作データ３１を説明する。
動作データ３１は、影響元オブジェクト３２と影響先オブジェクト３３と攻撃確度３４とに加え、動作情報３５を含む。
動作情報３５は、動作種類及び動作内容を示す。例えば、動作種類は、ソケット通信によるデータ送信である。この場合、ポート番号と、データサイズと、送信データとが動作内容として含まれる。他の例としては、動作種類は、ファイルへの書き込みである。この場合、ファイルパスと、書き込みサイズと、書き込み位置と、書き込みデータとが動作内容として含まれる。
動作データ３１は、影響元オブジェクト３２と影響先オブジェクト３３と攻撃確度３４とに加え、動作情報３５を含む。
動作情報３５は、動作種類及び動作内容を示す。例えば、動作種類は、ソケット通信によるデータ送信である。この場合、ポート番号と、データサイズと、送信データとが動作内容として含まれる。他の例としては、動作種類は、ファイルへの書き込みである。この場合、ファイルパスと、書き込みサイズと、書き込み位置と、書き込みデータとが動作内容として含まれる。
【0057】
図１２を参照して、実施の形態３に係る攻撃確度計算処理を説明する。
【0058】
（ステップＳ４１：動作データ入力処理）
攻撃確度計算部２４は、新たな動作データ３１を入力として受け付ける。具体的な処理は、図５のステップＳ１２と同じである。
攻撃確度計算部２４は、新たな動作データ３１を入力として受け付ける。具体的な処理は、図５のステップＳ１２と同じである。
【0059】
（ステップＳ４２：データ判定処理）
攻撃確度計算部２４は、ステップＳ４１で受け付けた動作データ３１が攻撃確度３４を含むか否かを判定する。
攻撃確度計算部２４は、動作データ３１が攻撃確度計算部２４を含まない場合には、処理をステップＳ４３に進める。一方、攻撃確度計算部２４は、それ以外の場合には、処理をステップＳ４４に進める。
攻撃確度計算部２４は、ステップＳ４１で受け付けた動作データ３１が攻撃確度３４を含むか否かを判定する。
攻撃確度計算部２４は、動作データ３１が攻撃確度計算部２４を含まない場合には、処理をステップＳ４３に進める。一方、攻撃確度計算部２４は、それ以外の場合には、処理をステップＳ４４に進める。
【0060】
（ステップＳ４３：確度計算処理）
攻撃確度計算部２４は、ステップＳ４１で受け付けた動作データ３１における動作情報３５が示す動作内容から攻撃確度３４を計算する。攻撃確度計算部２４は、計算された攻撃確度３４を動作データ３１に加える。
具体的には、攻撃確度計算部２４は、判定基準毎に攻撃確度３４の値を予め設定しておく。判定基準は、動作内容に基づき定められる。攻撃確度計算部２４は、動作データ３１における動作内容が満たす判定基準を特定する。攻撃確度計算部２４は、特定された判定基準に対応する攻撃確度３４の値を特定する。
攻撃確度計算部２４は、ステップＳ４１で受け付けた動作データ３１における動作情報３５が示す動作内容から攻撃確度３４を計算する。攻撃確度計算部２４は、計算された攻撃確度３４を動作データ３１に加える。
具体的には、攻撃確度計算部２４は、判定基準毎に攻撃確度３４の値を予め設定しておく。判定基準は、動作内容に基づき定められる。攻撃確度計算部２４は、動作データ３１における動作内容が満たす判定基準を特定する。攻撃確度計算部２４は、特定された判定基準に対応する攻撃確度３４の値を特定する。
【0061】
判定基準の具体例を説明する。
動作種類がソケット通信によるデータ送信であるとする。この場合には、以下のような判定基準が考えられる。基準１：ポート番号が攻撃に使用される可能性のあるものである。基準２：データサイズが通常の通信で使用されるデータサイズと異なる。基準３：送信データの内容が既知の攻撃データと一致あるいは類似する。
動作種類がファイル書き込みであるとする。この場合、以下のような判定基準が考えられる。基準１：通常の動作では書き込まれないファイルに書き込みが実行されている。基準２：書き込みサイズが通常の動作時の書き込みサイズと異なる。
動作種類がソケット通信によるデータ送信であるとする。この場合には、以下のような判定基準が考えられる。基準１：ポート番号が攻撃に使用される可能性のあるものである。基準２：データサイズが通常の通信で使用されるデータサイズと異なる。基準３：送信データの内容が既知の攻撃データと一致あるいは類似する。
動作種類がファイル書き込みであるとする。この場合、以下のような判定基準が考えられる。基準１：通常の動作では書き込まれないファイルに書き込みが実行されている。基準２：書き込みサイズが通常の動作時の書き込みサイズと異なる。
【0062】
（ステップＳ４４：出力処理）
攻撃確度計算部２４は、動作データ３１を関係構築部２２に出力する。そして、攻撃確度計算部２４は、処理をステップＳ４１に戻して、次の動作データ３１の入力を待つ。
攻撃確度計算部２４は、動作データ３１を関係構築部２２に出力する。そして、攻撃確度計算部２４は、処理をステップＳ４１に戻して、次の動作データ３１の入力を待つ。
【0063】
関係構築処理及び特定処理は、実施の形態１，２と同じである。但し、関係構築処理における動作データ入力処理（図５のステップＳ１２及び図９のステップＳ３３）では、ステップＳ４４で出力された動作データ３１を受け付ける。
【0064】
＊＊＊実施の形態３の効果＊＊＊
以上のように、実施の形態３に係る攻撃分析装置１０は、動作データ３１に攻撃確度３４が含まれていない場合に、攻撃確度３４を計算する。
これにより、攻撃確度３４が事前に特定されていない場合にも、実施の形態１，２と同様の効果を得ることが可能である。
以上のように、実施の形態３に係る攻撃分析装置１０は、動作データ３１に攻撃確度３４が含まれていない場合に、攻撃確度３４を計算する。
これにより、攻撃確度３４が事前に特定されていない場合にも、実施の形態１，２と同様の効果を得ることが可能である。
【0065】
なお、以上の説明における「部」を、「回路」、「工程」、「手順」、「処理」又は「処理回路」に読み替えてもよい。
【0066】
以上、本開示の実施の形態及び変形例について説明した。これらの実施の形態及び変形例のうち、いくつかを組み合わせて実施してもよい。また、いずれか１つ又はいくつかを部分的に実施してもよい。なお、本開示は、以上の実施の形態及び変形例に限定されるものではなく、必要に応じて種々の変更が可能である。
【符号の説明】
【0067】
１０ 攻撃分析装置、１１ プロセッサ、１２ メモリ、１３ ストレージ、１４ 電子回路、２１ データ取得部、２２ 関係構築部、２３ 特定部、２４ 攻撃確度計算部、３１ 動作データ、３２ 影響元オブジェクト、３３ 影響先オブジェクト、３４ 攻撃確度、３５ 動作情報、４１ 閾値、５１ 関係データ、５２ ノード、５３ エッジ、６１ 履歴データ、６２ 影響元オブジェクト、６３ 影響先オブジェクト、６４ 時刻情報。
【図1】
【図2】
【図3】
【図4】
【図5】
【図6】
【図7】
【図8】
【図9】
【図10】
【図11】
【図12】