特許 7586328 推論装置、推論方法、及び、プログラム

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】特許公報(B2)

(11)【特許番号】

(24)【登録日】2024-11-11

(45)【発行日】2024-11-19

(54)【発明の名称】推論装置、推論方法、及び、プログラム

(51)【国際特許分類】

   G06F 21/55 20130101AFI20241112BHJP

   G06N 5/04 20230101ALI20241112BHJP

【ＦＩ】

G06F21/55 320

G06N5/04

【請求項の数】 10

(21)【出願番号】P 2023539222

(86)(22)【出願日】2021-08-02

(86)【国際出願番号】 JP2021028549

(87)【国際公開番号】W WO2023012849

(87)【国際公開日】2023-02-09

【審査請求日】2024-01-31

(73)【特許権者】

【識別番号】000004237

【氏名又は名称】日本電気株式会社

(74)【代理人】

【識別番号】100107331

【弁理士】

【氏名又は名称】中村 聡延

(74)【代理人】

【識別番号】100104765

【弁理士】

【氏名又は名称】江上 達夫

(74)【代理人】

【識別番号】100131015

【弁理士】

【氏名又は名称】三輪 浩誉

(72)【発明者】

【氏名】本浦 庄太

【審査官】石坂 知樹

(56)【参考文献】

【文献】国際公開第２０２０／１６１７８０（ＷＯ，Ａ１）

【文献】特開２０１８－００５２８２（ＪＰ，Ａ）

(58)【調査した分野】(Int.Cl.，ＤＢ名)

Ｇ０６Ｆ ２１／５５

Ｇ０６Ｎ ５／０４

(57)【特許請求の範囲】

【請求項1】

サイバー攻撃に係る情報が記録された観測ログと、過去の攻撃事案から類推した攻撃者の特徴と、に基づく推論処理を行うことにより、前記攻撃者が前記観測ログに相当する情報を残したと仮定した場合における攻撃の手口が階層的に抽象化された、前記攻撃者による攻撃の全体像を取得する推論手段と、
前記攻撃者による攻撃の全体像と、前記攻撃者の特徴と、がどの程度類似しているかを示す値である類似度を取得する類似度取得手段と、
を備える推論装置。

【請求項2】

サイバー攻撃に係る情報が記録された観測ログに基づく推論処理を行うことにより、前記観測ログに対応する攻撃の手口が階層的に抽象化された、攻撃の全体像を取得する推論手段と、
前記攻撃の全体像と、過去の攻撃事案から類推した攻撃者の特徴と、がどの程度類似しているかを示す値である類似度を取得する類似度取得手段と、
複数の前記攻撃者各々に対応する複数の前記類似度が取得された場合に、各類似度を降順に並べたランキングを表示するための表示画面を生成する表示画面生成手段と、
を備える推論装置。

【請求項3】

前記類似度取得手段は、さらに、前記攻撃者の特徴に類似している他の過去の攻撃事案を取得する請求項１または２に記載の推論装置。

【請求項4】

前記類似度取得手段は、前記類似度に基づき、前記攻撃者が実際に攻撃を行った可能性の度合いを表す確率値を算出する請求項１または２に記載の推論装置。

【請求項5】

複数の前記攻撃者各々に対応する複数の前記類似度が取得された場合に、各類似度を降順に並べたランキングを表示するための表示画面を生成する表示画面生成手段をさらに有する請求項１に記載の推論装置。

【請求項6】

前記攻撃者による攻撃の全体像を表示するための表示画面を生成する表示画面生成手段をさらに有する請求項１に記載の推論装置。

【請求項7】

サイバー攻撃に係る情報が記録された観測ログと、過去の攻撃事案から類推した攻撃者の特徴と、に基づく推論処理を行うことにより、前記攻撃者が前記観測ログに相当する情報を残したと仮定した場合における攻撃の手口が階層的に抽象化された、前記攻撃者による攻撃の全体像を取得し、
前記攻撃者による攻撃の全体像と、前記攻撃者の特徴と、がどの程度類似しているかを示す値である類似度を取得する推論方法。

【請求項8】

サイバー攻撃に係る情報が記録された観測ログに基づく推論処理を行うことにより、前記観測ログに対応する攻撃の手口が階層的に抽象化された、攻撃の全体像を取得し、
前記攻撃の全体像と、過去の攻撃事案から類推した攻撃者の特徴と、がどの程度類似しているかを示す値である類似度を取得し、
複数の前記攻撃者各々に対応する複数の前記類似度が取得された場合に、各類似度を降順に並べたランキングを表示するための表示画面を生成する推論方法。

【請求項9】

サイバー攻撃に係る情報が記録された観測ログと、過去の攻撃事案から類推した攻撃者の特徴と、に基づく推論処理を行うことにより、前記攻撃者が前記観測ログに相当する情報を残したと仮定した場合における攻撃の手口が階層的に抽象化された、前記攻撃者による攻撃の全体像を取得し、
前記攻撃者による攻撃の全体像と、前記攻撃者の特徴と、がどの程度類似しているかを示す値である類似度を取得する処理をコンピュータに実行させるプログラム。

【請求項10】

サイバー攻撃に係る情報が記録された観測ログに基づく推論処理を行うことにより、前記観測ログに対応する攻撃の手口が階層的に抽象化された、攻撃の全体像を取得し、
前記攻撃の全体像と、過去の攻撃事案から類推した攻撃者の特徴と、がどの程度類似しているかを示す値である類似度を取得し、
複数の前記攻撃者各々に対応する複数の前記類似度が取得された場合に、各類似度を降順に並べたランキングを表示するための表示画面を生成する処理をコンピュータに実行させるプログラム。

【発明の詳細な説明】

【技術分野】

【0001】

本開示は、仮説推論の技術に関する。

【背景技術】

【0002】

仮説推論は、論理式で与えられた推論知識（ルール）と、観測された事象とから妥当な仮説を導く手法である。例えば、サイバーセキュリティの分野では、コンピュータシステムにおいて観測された事象がサイバー攻撃によるものであるかを判断する場合に、仮説推論を適用することができる。例えば、特許文献１には、重み付き仮説推論により生成された仮説候補に対し、観測の時間的な前後関係を反映させる技術が開示されている。

【0003】

一方、特許文献２には、標的型攻撃やマルウェアの活動内容を表現する構造である複数の不審活動グラフの類似度を算出する技術が開示されている。また、特許文献２には、不審活動グラフの分析結果のレコードに予想攻撃元を対応付ける技術が開示されている。

【先行技術文献】

【特許文献】

【0004】

【文献】国際公開ＷＯ２０２１／０９０４９７号公報

【文献】特開２０１６－２０６９４３号公報

【発明の概要】

【発明が解決しようとする課題】

【0005】

しかし、特許文献１には、サイバー攻撃を行う攻撃者に係る情報を用いて推論処理を行う観点について特に開示等されていない。そのため、特許文献１に開示された技術によれば、サイバー攻撃を行う攻撃者の推定に係る推定精度が低くなってしまう、という問題点がある。

【0006】

また、特許文献２に開示された技術によれば、例えば、不審活動検知装置が設置されたネットワークへのアクセスが制限されている等の理由により不審活動グラフの入手が困難な状況において、当該不審活動グラフの分析結果のレコードに対応付けられる予想攻撃元の推定精度が低くなってしまう、という問題点がある。

【0007】

本開示の１つの目的は、サイバー攻撃を行う攻撃者の推定に係る推定精度を向上することにある。

【課題を解決するための手段】

【0008】

本開示の一つの観点では、推論装置は、
サイバー攻撃に係る情報が記録された観測ログと、過去の攻撃事案から類推した攻撃者の特徴と、に基づく推論処理を行うことにより、前記攻撃者が前記観測ログに相当する情報を残したと仮定した場合における攻撃の手口が階層的に抽象化された、前記攻撃者による攻撃の全体像を取得する推論手段と、
前記攻撃者による攻撃の全体像と、前記攻撃者の特徴と、がどの程度類似しているかを示す値である類似度を取得する類似度取得手段と、を備える。

【0009】

本開示の他の観点では、推論装置は、
サイバー攻撃に係る情報が記録された観測ログに基づく推論処理を行うことにより、前記観測ログに対応する攻撃の手口が階層的に抽象化された、攻撃の全体像を取得する推論手段と、
前記攻撃の全体像と、過去の攻撃事案から類推した攻撃者の特徴と、がどの程度類似しているかを示す値である類似度を取得する類似度取得手段と、
複数の前記攻撃者各々に対応する複数の前記類似度が取得された場合に、各類似度を降順に並べたランキングを表示するための表示画面を生成する表示画面生成手段と、を備える。

【0010】

本開示のさらに他の観点では、推論方法は、
サイバー攻撃に係る情報が記録された観測ログと、過去の攻撃事案から類推した攻撃者の特徴と、に基づく推論処理を行うことにより、前記攻撃者が前記観測ログに相当する情報を残したと仮定した場合における攻撃の手口が階層的に抽象化された、前記攻撃者による攻撃の全体像を取得し、
前記攻撃者による攻撃の全体像と、前記攻撃者の特徴と、がどの程度類似しているかを示す値である類似度を取得する。

【0011】

本開示のさらに他の観点では、推論方法は、
サイバー攻撃に係る情報が記録された観測ログに基づく推論処理を行うことにより、前記観測ログに対応する攻撃の手口が階層的に抽象化された、攻撃の全体像を取得し、
前記攻撃の全体像と、過去の攻撃事案から類推した攻撃者の特徴と、がどの程度類似しているかを示す値である類似度を取得し、
複数の前記攻撃者各々に対応する複数の前記類似度が取得された場合に、各類似度を降順に並べたランキングを表示するための表示画面を生成する。

【0012】

本開示のさらに他の観点では、プログラムは、
サイバー攻撃に係る情報が記録された観測ログと、過去の攻撃事案から類推した攻撃者の特徴と、に基づく推論処理を行うことにより、前記攻撃者が前記観測ログに相当する情報を残したと仮定した場合における攻撃の手口が階層的に抽象化された、前記攻撃者による攻撃の全体像を取得し、
前記攻撃者による攻撃の全体像と、前記攻撃者の特徴と、がどの程度類似しているかを示す値である類似度を取得する処理をコンピュータに実行させる。

【0013】

本開示のさらに他の観点では、記録媒体は、
サイバー攻撃に係る情報が記録された観測ログに基づく推論処理を行うことにより、前記観測ログに対応する攻撃の手口が階層的に抽象化された、攻撃の全体像を取得し、
前記攻撃の全体像と、過去の攻撃事案から類推した攻撃者の特徴と、がどの程度類似しているかを示す値である類似度を取得し、
複数の前記攻撃者各々に対応する複数の前記類似度が取得された場合に、各類似度を降順に並べたランキングを表示するための表示画面を生成する処理をコンピュータに実行させるプログラムを記録する。

【発明の効果】

【0014】

本開示によれば、サイバー攻撃を行う攻撃者の推定に係る推定精度を向上することが可能となる。

【図面の簡単な説明】

【0015】

【図1】第１実施形態に係る推論装置のハードウェア構成を示すブロック図。

【図2】第１実施形態に係る推論装置の機能構成を示す図。

【図3】第１実施形態に係る推論装置の推論処理に用いられる観測ログの一例を示す図。

【図4】第１実施形態に係る推論装置の推論処理に用いられる攻撃者特徴情報の一例を示す図。

【図5】第１実施形態に係る推論装置の推論処理に用いられる攻撃者特徴情報の一例を示す図。

【図6】第１実施形態に係る推論装置の推論処理により得られる推論結果の一例を説明するための図。

【図7】第１実施形態に係る推論装置の推論処理により得られる推論結果の一例を説明するための図。

【図8】第１実施形態に係る推論装置により生成される攻撃者推定情報の一例を示す図。

【図9】第１実施形態に係る推論装置の処理に応じて表示される表示画面の一例を説明するための図。

【図10】第１実施形態に係る推論装置において行われる処理を説明するためのフローチャート。

【図11】第１実施形態の変形例に係る推論装置において行われる処理を説明するためのフローチャート。

【図12】第２の実施形態に係る推論装置の機能構成を示すブロック図。

【図13】第２の実施形態に係る推論装置において行われる処理を説明するためのフローチャート。

【図14】第３の実施形態に係る推論装置の機能構成を示すブロック図。

【図15】第３の実施形態に係る推論装置において行われる処理を説明するためのフローチャート。

【発明を実施するための形態】

【0016】

以下、図面を参照して、本開示の好適な実施形態について説明する。

【0017】

＜第１の実施形態＞
［ハードウェア構成］
図１は、推論装置１００のハードウェア構成を示すブロック図である。図示のように、推論装置１００は、インタフェース（ＩＦ）１１と、プロセッサ１２と、メモリ１３と、記録媒体１４と、データベース（ＤＢ）１５と、表示部１６と、入力部１７と、を備える。

【0018】

ＩＦ１１は、外部装置との間でデータの入出力を行う。具体的に、推論に用いられる観測情報は、ＩＦ１１を通じて入力される。また、推論装置１００により得られる攻撃者推定情報（後述）等はＩＦ１１を通じて外部装置へ出力される。

【0019】

プロセッサ１２は、ＣＰＵ（Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）、ＧＰＵ（Ｇｒａｐｈｉｃｓ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）などのコンピュータであり、予め用意されたプログラムを実行することにより、推論装置１００の全体を制御する。具体的に、プロセッサ１２は、後述する推論処理等の処理を実行する。

【0020】

メモリ１３は、ＲＯＭ（Ｒｅａｄ Ｏｎｌｙ Ｍｅｍｏｒｙ）、ＲＡＭ（Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）などにより構成される。メモリ１３は、プロセッサ１２による各種の処理の実行中に作業メモリとしても使用される。

【0021】

記録媒体１４は、ディスク状記録媒体、半導体メモリなどの不揮発性で非一時的な記録媒体であり、推論装置１００に対して着脱可能に構成される。記録媒体１４は、プロセッサ１２が実行する各種のプログラムを記録している。推論装置１００が各種の処理を実行する際には、記録媒体１４に記録されているプログラムがメモリ１３にロードされ、プロセッサ１２により実行される。

【0022】

データベース１５は、ＩＦ１１を通じて入力された観測情報等を記憶する。また、データベース１５は、後述の攻撃者推定部２２の処理により得られた推論結果等を記憶する。また、データベース１５には、後述の攻撃者特徴情報が格納されている。

【0023】

表示部１６は、例えば、液晶モニタ等のような表示装置により構成されている。また、表示部１６は、必要に応じ、推論結果等の情報を表示する。

【0024】

入力部１７は、例えば、キーボード、マウス及びタッチパネル等のような入力装置により構成されている。

【0025】

［機能構成］
図２は、第１実施形態に係る推論装置の機能構成を示す図である。

【0026】

推論装置１００は、入力受付部２１と、攻撃者推定部２２と、情報出力部２３と、を有している。

【0027】

入力受付部２１は、ネットワークドメインＮＤＸに対する攻撃に応じて実際に観測されたイベント等が記録されている観測ログの入力を受け付ける。

【0028】

具体的には、前述の観測ログには、例えば、ネットワークドメインＮＤＸに属するいずれかのコンピュータにおいて実際に発生したイベントの内容と、当該イベントの発生時刻（タイムスタンプ）と、が時系列に沿って並べられた情報が含まれている。すなわち、前述の観測ログには、サイバー攻撃に係る情報が記録されている。

【0029】

攻撃者推定部２２は、推論部３１と、類似度取得部３２と、攻撃者データベース３３と、を有している。また、攻撃者推定部２２は、入力受付部２１において入力を受け付けた観測ログ（以降、観測ログＬＸと称する）に基づき、ネットワークドメインＮＤＸに対して攻撃を行ったと推定される攻撃者に係る情報である攻撃者推定情報を得るための処理を行う。また、攻撃者推定部２２は、前述の処理により得られた攻撃者推定情報を情報出力部２３へ出力する。

【0030】

推論部３１は、推論エンジン３１ａと、推論用ルール格納部３１ｂと、を有している。また、推論部３１は、観測ログＬＸと、攻撃者データベース３３に格納されている攻撃者特徴情報ＡＦＪ（後述）と、に基づいて推論処理を行う。また、推論部３１は、推論処理により得られた推論結果を類似度取得部３２へ出力する。

【0031】

推論エンジン３１ａは、推論用ルール格納部３１ｂに格納されている推論用ルールを用いた推論処理を行うことにより、攻撃者特徴情報ＡＦＪにより示される攻撃者がネットワークドメインＮＤＸに対して攻撃を行った際に観測ログＬＸに相当する情報を残したと仮定した場合における、当該ネットワークドメインＮＤＸに対する攻撃の全体像を推定する。また、推論エンジン３１ａは、攻撃者特徴情報ＡＦＪにより示される複数の攻撃者各々について推論処理を行う。すなわち、本実施形態の推論処理により得られる推論結果には、攻撃者特徴情報ＡＦＪにより示される複数の攻撃者各々が独立してネットワークドメインＮＤＸに対して攻撃を行った際に観測ログＬＸに相当する情報を残したと仮定した場合における、当該ネットワークドメインＮＤＸに対する複数の攻撃の全体像が含まれている。

【0032】

推論用ルール格納部３１ｂには、推論エンジン３１ａの推論処理に用いられる推論用ルールが格納されている。

【0033】

なお、本実施形態の推論エンジン３１ａには、国際公開ＷＯ２０２１／０９０４９７号公報に開示されているような、重み付き仮説推論により生成された仮説候補に対し、観測の時間的な前後関係を反映させる技術が用いられているものとする。

【0034】

また、本実施形態の推論用ルール格納部３１ｂには、国際公開ＷＯ２０２１／０９０４９７号公報に開示されているルール（推論知識）に対し、ＴＴＰ（Ｔａｃｔｉｃｓ， Ｔｅｃｈｎｉｑｕｅｓ ａｎｄ Ｐｒｏｃｅｄｕｒｅｓ）の観点を組み込んだ推論用ルールが格納されているものとする。

【0035】

ＴＴＰは、攻撃者によるサイバー攻撃の手口を階層的に抽象化（モデル化）したフレームワークである。具体的には、例えば、ＭＩＴＲＥ社により開示されているＴＴＰのフレームワーク（https://attack.mitre.org/）においては、攻撃者によるサイバー攻撃の手口が、「Ｔａｃｔｉｃｓ」、「Ｔｅｃｈｎｉｑｕｅｓ」及び「Ｐｒｏｃｅｄｕｒｅｓ」の３階層の抽象度で表されている。そして、以降においては、ＭＩＴＲＥ社により開示されているＴＴＰのフレームワークが推論用ルールに組み込まれている場合を例に挙げて説明を行う。また、以降の説明においては、ＭＩＴＲＥ社により開示されているＴＴＰのフレームワークを単にＴＴＰと略記する。

【0036】

類似度取得部３２は、推論部３１により得られた推論結果と、攻撃者特徴情報ＡＦＪと、に基づき、当該攻撃者特徴情報ＡＦＪにより示される複数の攻撃者のうちの一の攻撃者がネットワークドメインＮＤＸに対して攻撃を行ったと仮定した場合の攻撃の全体像と、当該攻撃者特徴情報ＡＦＪにより示される当該一の攻撃者の特徴と、がどの程度類似しているかを示す値である類似度を取得する。また、類似度取得部３２は、攻撃者特徴情報ＡＦＪにより示される複数の攻撃者各々に対応する複数の類似度を取得し、当該取得した複数の類似度を降順に並べた攻撃者推定情報を生成し、当該生成した攻撃者推定情報を情報出力部２３へ出力する。

【0037】

攻撃者データベース３３には、複数の攻撃者各々の特徴を表す攻撃者特徴情報ＡＦＪが格納されている。

【0038】

攻撃者Ｚの特徴を表す攻撃者特徴情報ＡＦＪＺには、当該攻撃者Ｚにより行われたと考えられる過去の攻撃事案における公開レポートの内容から類推した攻撃の手口をＴＴＰに基づいて抽象化した情報である抽象化情報と、当該抽象化情報により表される攻撃の手口の特異性を評価した値である評価値と、を関連付けた情報が含まれている。すなわち、攻撃者特徴情報ＡＦＪには、複数の攻撃者各々の特徴を表す情報として、前述の攻撃者特徴情報ＡＦＪＺと同様の情報が含まれている。

【0039】

本実施形態においては、ＴＴＰに基づく抽象化情報を作成する際の公開レポートとして、例えば、https://content.secureworks.com/~/media/Files/JP/Reports/Secureworks-Bronze-Butler-Report.ashx?modified=20180419151034等を用いることができる。

【0040】

情報出力部２３は、攻撃者推定部２２から出力される攻撃者推定情報等を表示するための表示画面を生成し、当該生成した表示画面を表示装置へ出力する。すなわち、情報出力部２３は、表示画面生成手段としての機能を有している。また、情報出力部２３は、攻撃者推定部２２から出力される攻撃者推定情報等を含むデータを外部装置へ出力する。

【0041】

［推論装置において行われる処理の具体例］
ここで、本実施形態の推論装置１００において行われる処理の具体例について説明する。図３は、第１実施形態に係る推論装置の推論処理に用いられる観測ログの一例を示す図である。

【0042】

（観測情報の入力）
入力受付部２１は、ネットワークドメインＮＤ１に対する攻撃に応じて実際に観測された観測ログとして、図３に示すような観測ログＬ１の入力を受け付ける。

【0043】

図３の観測ログＬ１には、ＰＣ＿１２３からＰＣ＿４５６へのセッションハイジャックが時刻Ｔ１１において発生したこと、管理者権限が必要なタスクの予約が当該時刻Ｔ１１よりも後の時刻Ｔ２１において発生したこと、及び、大規模圧縮ファイルの作成が当該時刻Ｔ２１よりも後の時刻Ｔ３１において発生したことが記録されている。

【0044】

（推論処理）
推論部３１は、観測ログＬ１と、攻撃者データベース３３に格納されている攻撃者特徴情報ＡＦＪと、に基づいて推論処理を行う。

【0045】

図４及び図５は、第１実施形態に係る推論装置の推論処理に用いられる攻撃者特徴情報の一例を示す図である。

【0046】

攻撃者特徴情報ＡＦＪには、例えば、図４に示すような攻撃者特徴情報ＡＦＪＡと、図５に示すような攻撃者特徴情報ＡＦＪＢと、が含まれている。

【0047】

攻撃者特徴情報ＡＦＪＡには、攻撃者Ａの特徴を表す抽象化情報及び評価値が含まれている。また、攻撃者特徴情報ＡＦＪＢには、攻撃者Ｂの特徴を表す抽象化情報及び評価値が含まれている。

【0048】

攻撃者特徴情報ＡＦＪＡの抽象化情報のうちの「Ｌａｔｅｒａｌ Ｍｏｖｅｍｅｎｔ」は、攻撃者Ａにより行われたと考えられる過去の攻撃事案における公開レポートに含まれている「横断的侵害を行います」との文言から類推した攻撃の手口を抽象的に表したものに相当する。また、前述の「Ｌａｔｅｒａｌ Ｍｏｖｅｍｅｎｔ」は、ＴＴＰにおいて最も高い抽象度に設定されている「Ｔａｃｔｉｃ」に相当する。

【0049】

攻撃者特徴情報ＡＦＪＡの抽象化情報のうちの「Ｉｍｐａｃｔ」は、攻撃者Ａにより行われたと考えられる過去の攻撃事案における公開レポートに含まれている「基幹システムの制御に攻撃を加えます」との文言から類推した攻撃の手口を抽象的に表したものに相当する。また、前述の「Ｉｍｐａｃｔ」は、ＴＴＰにおいて最も高い抽象度に設定されている「Ｔａｃｔｉｃ」に相当する。

【0050】

攻撃者特徴情報ＡＦＪＡの抽象化情報のうちの「Ｆｉｌｅ Ｄｅｌｅｔｉｏｎ」は、攻撃者Ａにより行われたと考えられる過去の攻撃事案における公開レポートに含まれている「目的を達成後にその証跡を削除します」との文言から類推した攻撃の手口を抽象的に表したものに相当する。また、前述の「Ｆｉｌｅ Ｄｅｌｅｔｉｏｎ」は、ＴＴＰにおいて２番目に高い抽象度に設定されている「Ｔｅｃｈｎｉｑｕｅ」に相当する。

【0051】

攻撃者特徴情報ＡＦＪＢの抽象化情報のうちの「Ｌａｔｅｒａｌ Ｍｏｖｅｍｅｎｔ」は、攻撃者Ｂにより行われたと考えられる過去の攻撃事案における公開レポートに含まれている「他端末に感染を拡大します」との文言から類推した攻撃の手口を抽象的に表したものに相当する。

【0052】

攻撃者特徴情報ＡＦＪＢの抽象化情報のうちの「Ｐｒｉｖｉｌｅｇｅ Ｅｓｃａｌａｔｉｏｎ」は、攻撃者Ｂにより行われたと考えられる過去の攻撃事案における公開レポートに含まれている「認証サーバの管理者権限を窃取します」との文言から類推した攻撃の手口を抽象的に表したものに相当する。また、前述の「Ｐｒｉｖｉｌｅｇｅ Ｅｓｃａｌａｔｉｏｎ」は、ＴＴＰにおいて最も高い抽象度に設定されている「Ｔａｃｔｉｃ」に相当する。

【0053】

攻撃者特徴情報ＡＦＪＢの抽象化情報のうちの「Ｄａｔａ ｆｒｏｍ Ｎｅｔｗｏｒｋ Ｓｈａｒｅｄ Ｄｒｉｖｅ⇒Ｄａｔａ Ｃｏｍｐｒｅｓｓｅｄ」は、攻撃者Ｂにより行われたと考えられる過去の攻撃事案における公開レポートに含まれている「情報収集と圧縮ファイルの生成を行います」との文言から類推した攻撃の手口を抽象的に表したものに相当する。また、前述の「Ｄａｔａ ｆｒｏｍ Ｎｅｔｗｏｒｋ Ｓｈａｒｅｄ Ｄｒｉｖｅ」及び「Ｄａｔａ Ｃｏｍｐｒｅｓｓｅｄ」は、ＴＴＰにおいて２番目に高い抽象度に設定されている「Ｔｅｃｈｎｉｑｕｅ」に相当する。

【0054】

なお、本実施形態においては、１つの公開レポートの内容に対応する抽象化情報として、「Ｔａｃｔｉｃｓ」、「Ｔｅｃｈｎｉｑｕｅｓ」及び「Ｐｒｏｃｅｄｕｒｅｓ」のうちのいずれかに相当する情報が１つ以上含まれていればよい。

【0055】

攻撃者特徴情報ＡＦＪＡ及びＡＦＪＢに含まれる評価値は、以下の数式（１）を用いて算出される値である。なお、以下の数式（１）において、ＥＶは評価値を表し、ＡＧＮは攻撃者特徴情報ＡＦＪに含まれる攻撃者の総数を表し、ＡＴＮは当該攻撃者特徴情報ＡＦＪにおいて同一の抽象化情報を有する攻撃者の数を表し、ｌｎは自然対数を表すものとする。

【0056】

【数1】

具体的には、例えば、「Ｌａｔｅｒａｌ Ｍｏｖｅｍｅｎｔ」は、攻撃者特徴情報ＡＦＪＡ及びＡＦＪＢの両方に含まれているため、評価値ＥＶ＝０となる。また、例えば、「Ｉｍｐａｃｔ」は、攻撃者特徴情報ＡＦＪＡに含まれている一方で攻撃者特徴情報ＡＦＪＢには含まれていないため、評価値ＥＶ＝ｌｎ（２）となる。

【0057】

図６及び図７は、第１実施形態に係る推論装置の推論処理により得られる推論結果の一例を説明するための図である。

【0058】

推論部３１は、観測ログＬ１と、攻撃者特徴情報ＡＦＪＡと、に基づいて推論処理を行うことにより、ネットワークドメインＮＤ１に対する攻撃が攻撃者Ａによるものであると仮定した場合の推論結果として、例えば、図６に示すような推論結果ＨＲＡを取得する。また、推論部３１は、観測ログＬ１と、攻撃者特徴情報ＡＦＪＢと、に基づいて推論処理を行うことにより、ネットワークドメインＮＤ１に対する攻撃が攻撃者Ｂによるものであると仮定した場合の推論結果として、例えば、図７に示すような推論結果ＨＲＢを取得する。また、推論部３１は、推論処理により得られた推論結果ＨＲＡ及びＨＲＢを類似度取得部３２へ出力する。

【0059】

推論結果ＨＲＡは、攻撃者ＡがネットワークドメインＮＤ１に対して攻撃を行った際に観測ログＬ１に相当する情報を残したと仮定した場合における当該ネットワークドメインＮＤ１に対する攻撃の手口が階層的に抽象化された、攻撃者Ａによる攻撃の全体像に相当する。

【0060】

推論結果ＨＲＢは、攻撃者ＡがネットワークドメインＮＤ１に対して攻撃を行った際に観測ログＬ１に相当する情報を残したと仮定した場合における当該ネットワークドメインＮＤ１に対する攻撃の手口が階層的に抽象化された、攻撃者Ｂによる攻撃の全体像に相当する。

【0061】

推論結果ＨＲＡ及びＨＲＢ各々に含まれる抽象化情報（「Ｔａｃｔｉｃｓ」及び「Ｔｅｃｈｎｉｑｕｅｓ」）は、推論エンジン３１ａにより適宜選択される。また、推論結果ＨＲＡ及びＨＲＢ各々における発生時刻は、観測ログＬ１の発生時刻に対応する時刻として設定される。また、推論結果ＨＲＡ及びＨＲＢ各々におけるログは、ＴＴＰにおいて３番目に高い（最も低い）抽象度に設定されている「Ｐｒｏｃｅｄｕｒｅｓ」に相当する。また、図７の推論結果ＨＲＢにおける時刻Ｔ２２の列に示す抽象化情報及びログは、観測ログＬ１及び攻撃者特徴情報ＡＦＪＢに基づく仮説として、推論エンジン３１ａにより追加された攻撃の手口に相当する。時刻Ｔ２２は、時刻Ｔ２１よりも後かつ時刻Ｔ３１よりも前の時刻に相当する。

【0062】

なお、本実施形態においては、どのような内容の抽象化情報及びログを仮説として追加するかについては、推論エンジン３１ａが適宜選択するものとする。また、本実施形態においては、仮説としての抽象化情報及びログをどこに追加するかについては、推論エンジン３１ａが適宜選択するものとする。

【0063】

（類似度の取得）
類似度取得部３２は、推論部３１により得られた推論結果ＨＲＡと、攻撃者特徴情報ＡＦＪＡと、に基づき、攻撃者Ａによる攻撃の全体像と、当該攻撃者特徴情報ＡＦＪＡにより示される当該攻撃者Ａの特徴と、がどの程度類似しているかを示す値である類似度ＤＳＡを取得する。また、類似度取得部３２は、推論部３１により得られた推論結果ＨＲＢと、攻撃者特徴情報ＡＦＪＢと、に基づき、攻撃者Ｂによる攻撃の全体像と、当該攻撃者特徴情報ＡＦＪＢにより示される当該攻撃者Ｂの特徴と、がどの程度類似しているかを示す値である類似度ＤＳＢを取得する。

【0064】

類似度ＤＳＡ及びＤＳＢは、例えば、ＴＦ－ＩＤＦ（Ｔｅｒｍ Ｔｒｅｑｕｅｎｃｙ－Ｉｎｖｅｒｓｅ Ｄｏｃｕｍｅｎｔ Ｆｒｅｑｕｅｎｃｙ）のアイデアに基づくコサイン類似度の計算を行うことにより取得することができる。

【0065】

ここで、類似度ＤＳＢの具体的な取得方法について説明する。

【0066】

類似度取得部３２は、攻撃者特徴情報ＡＦＪＢに含まれる抽象化情報と、推論結果ＨＲＢに含まれる抽象化情報と、を比較することにより、当該推論結果ＨＲＢの攻撃の手口における、当該攻撃者特徴情報ＡＦＪＢに含まれる攻撃の手口の出現の有無を特定する。そして、このような類似度取得部３２の処理によれば、推論結果ＨＲＢにおいて、「Ｌａｔｅｒａｌ Ｍｏｖｅｍｅｎｔ」、「Ｐｒｉｖｉｌｅｇｅ Ｅｓｃａｌａｔｉｏｎ」、及び、「Ｄａｔａ ｆｒｏｍ Ｎｅｔｗｏｒｋ Ｓｈａｒｅｄ Ｄｒｉｖｅ⇒Ｄａｔａ Ｃｏｍｐｒｅｓｓｅｄ」が出現したことが特定される。

【0067】

類似度取得部３２は、攻撃者特徴情報ＡＦＪＢに含まれる評価値（０，ｌｎ（２），ｌｎ（２））と、前述のように特定した出現の有無を出現していれば１として記述しかつ出現していなければ０として記述した（１，１，１）と、における要素毎の積を計算することにより、計算結果（０，ｌｎ（２），ｌｎ（２））を取得する。

【0068】

類似度取得部３２は、前述の評価値（０，ｌｎ（２），ｌｎ（２））と、前述の計算結果（０，ｌｎ（２），ｌｎ（２））と、を各々ベクトルとしてコサイン類似度を計算することにより、類似度ＤＳＢを取得する。

【0069】

コサイン類似度は、下記数式（２）により計算することができる。そのため、例えば、下記数式において、ベクトルＸに評価値（０，ｌｎ（２），ｌｎ（２））を適用し、ベクトルＹに計算結果（０，ｌｎ（２），ｌｎ（２））を適用することにより、ｃｏｓ（Ｘ，Ｙ）に相当する類似度ＤＳＢの値として１を得ることができる

【0070】

【数2】

以上に述べた類似度ＤＳＢの取得方法は、類似度ＤＳＡの取得においても略同様に適用される。

【0071】

なお、本実施形態においては、上記数式（２）の分母の値が０になることに起因し、ｃｏｓ（Ｘ，Ｙ）が解なしとなる場合には、類似度＝０に設定される。従って、本実施形態の類似度取得部３２は、類似度ＤＳＡの値として０を取得する。

【0072】

（攻撃者推定情報の表示等）
類似度取得部３２は、攻撃者Ａに対応する類似度ＤＳＡと、攻撃者Ｂに対応する類似度ＤＳＢと、を降順に並べた攻撃者推定情報ＡＳＪを生成し、当該生成した攻撃者推定情報ＡＳＪを情報出力部２３へ出力する。図８は、第１実施形態に係る推論装置により生成される攻撃者推定情報の一例を示す図である。

【0073】

攻撃者推定情報ＡＳＪは、例えば、図８に示すような情報として生成される。具体的には、攻撃者推定情報ＡＳＪは、攻撃者特徴情報ＡＦＪに含まれる各攻撃者（に対応する名称）を、ネットワークドメインＮＤ１に対して攻撃を行った可能性の高い順に並べたランキング表として生成される。

【0074】

情報出力部２３は、攻撃者推定部２２から出力される攻撃者推定情報ＡＳＪに含まれるランキング表を表示するための表示画面を生成し、当該生成した表示画面を表示装置へ出力する。すなわち、情報出力部２３は、複数の攻撃者各々に対応する複数の類似度が取得された場合に、各類似度を降順に並べたランキングを表示するための表示画面を生成する。

【0075】

本実施形態によれば、例えば、複数の過去の攻撃事案が攻撃者データベース３３に格納されている場合において、類似度取得部３２は、攻撃者推定情報ＡＳＪを生成する際に、当該複数の過去の攻撃事案の中で攻撃者ＡまたはＢの特徴に類似している攻撃事案を取得し、当該取得した攻撃事案を前述のランキング表に対して加えるようにしてもよい。すなわち、本実施形態によれば、類似度取得部３２は、攻撃者Ａまたは攻撃者Ｂの特徴に類似している他の過去の攻撃事案を取得するようにしてもよい。

【0076】

本実施形態によれば、類似度取得部３２は、類似度ＤＳＡ及びＤＳＢに基づき、攻撃者ＡがネットワークドメインＮＤ１に対して実際に攻撃を行った可能性（信頼度）の度合いを表す確率値ＰＳＡと、攻撃者ＢがネットワークドメインＮＤ１に対して実際に攻撃を行った可能性（信頼度）の度合いを表す確率値ＰＳＢと、を算出するようにしてもよい。具体的には、類似度取得部３２は、例えば、類似度ＤＳＡ及びＤＳＢに対してソフトマックス関数を適用することにより、確率値ＰＳＡ及びＰＳＢの合計値が１００％となるように各確率値を算出するようにしてもよい。また、本実施形態によれば、類似度取得部３２は、攻撃者推定情報ＡＳＪを生成する際に、確率値ＰＳＡ及びＰＳＢを前述のランキング表に対して加えるようにしてもよい。

【0077】

本実施形態によれば、例えば、特定のマルウェアのハッシュ値、及び、サイバー攻撃の際に用いられたＩＰアドレス等のようなＩｏＣ（Ｉｎｄｉｃａｔｏｒ ｏｆ Ｃｏｍｐｒｏｍｉｓｅ）が攻撃者特徴情報ＡＦＪに含まれていてもよい。ＩｏＣは、攻撃者により行われた攻撃の痕跡を示す痕跡情報と言い換えてもよい。

【0078】

本実施形態によれば、推論部３１が、攻撃者特徴情報ＡＦＪ及びＩｏＣを用いて推論処理を行うようにしてもよい。また、本実施形態によれば、類似度取得部３２が、攻撃者推定情報ＡＳＪを生成する際に、ＩｏＣを前述のランキング表に対して加えるようにしてもよい。

【0079】

本実施形態によれば、情報出力部２３が、例えば、推論結果ＨＲＡ及びＨＲＢと、攻撃者特徴情報ＡＦＪＡ及びＡＦＪＢと、確率値ＰＳＡ及びＰＳＢと、に基づき、図９に示すような表示画面ＪＤＧを生成するようにしてもよい。換言すると、情報出力部２３は、攻撃者による攻撃の全体像を表示するための表示画面を生成するものであってもよい。図９は、第１実施形態に係る推論装置の処理に応じて表示される表示画面の一例を説明するための図である。

【0080】

図９の表示画面ＪＤＧにおける左側の表示領域には、攻撃者Ａ及び攻撃者Ｂのうちのいずれかを選択可能な選択欄ＳＬＲと、当該攻撃者Ｂが選択されていることを示す選択枠ＳＬＷと、確率値ＰＳＢ（７３％）と、確率値ＰＳＡ（２７％）と、が表示されている。また、選択欄ＳＬＲにおいては、確率値ＰＳＢに対応する攻撃者Ｂが最上部に表示されているとともに、確率値ＰＳＡに対応する攻撃者Ａが当該攻撃者Ｂの下部に表示されている。また、図９の表示画面ＪＤＧにおける右側の表示領域には、選択欄ＳＬＲにおいて選択されている攻撃者Ｂによる攻撃の全体像ＡＴＢが表示されている。

【0081】

全体像ＡＴＢによれば、図７の「Ｔａｃｔｉｃ」に属する要素同士が、同図の発生時刻の順番に応じた向きの矢印により繋がれている。また、全体像ＡＴＢによれば、図７における一の発生時刻の「ログ」、「Ｔｅｃｈｎｉｑｕｅ」、「Ｔａｃｔｉｃ」が、この順番に応じた向きの矢印により繋がれている。また、全体像ＡＴＢによれば、推論結果ＨＲＢのうちの仮説として追加された要素（図７の時刻Ｔ２２の列に相当する要素）が、他の要素とは異なる態様で表示されている。また、全体像ＡＴＢによれば、攻撃者特徴情報ＡＦＪＢ及び推論結果ＨＲＢの両者に共通している攻撃の手口が強調表示されている。

【0082】

なお、全体像ＡＴＢは、推論結果ＨＲＢのうちの仮説として追加された要素、並びに、攻撃者特徴情報ＡＦＪＢ及び当該推論結果ＨＲＢの両者に共通している攻撃の手口を識別可能な限りにおいては、色付きで表示されるものであってもよい。また、全体像ＡＴＢには、ＩｏＣを示す情報が含まれていてもよい。

【0083】

（処理フロー）
図１０は、第１実施形態に係る推論装置において行われる処理を説明するためのフローチャートである。

【0084】

まず、入力受付部２１は、ネットワークドメインＮＤ１に対する攻撃に応じて実際に観測されたイベント等が記録されている観測ログＬ１の入力を受け付ける（ステップＳ１１）。

【0085】

次に、推論部３１は、ステップＳ１１において入力された観測ログＬ１と、攻撃者データベース３３に格納されている攻撃者特徴情報ＡＦＪＡ及びＡＦＪＢと、に基づいて推論処理を行うことにより、推論結果ＨＲＡ及びＨＲＢを取得する（ステップＳ１２）。

【0086】

次に、類似度取得部３２は、ステップＳ１２において得られた推論結果ＨＲＡと、攻撃者特徴情報ＡＦＪＡと、に基づいて類似度ＤＳＡを取得する（ステップＳ１３）。また、類似度取得部３２は、ステップＳ１２において得られた推論結果ＨＲＢと、攻撃者特徴情報ＡＦＪＢと、に基づいて類似度ＤＳＢを取得する（ステップＳ１３）。

【0087】

類似度取得部３２は、ステップＳ１３において得られた類似度ＤＳＡ及びＤＳＢを降順に並べた攻撃者推定情報ＡＳＪを生成し、当該生成した攻撃者推定情報ＡＳＪを情報出力部２３へ出力する（ステップＳ１４）。そして、このような類似度取得部３２の処理に応じ、攻撃者推定情報ＡＳＪに含まれるランキング表が表示装置に表示される。

【0088】

以上に述べたように、本実施形態によれば、サイバー攻撃に係る情報が記録された観測ログと、過去の攻撃事案から類推した攻撃者の特徴と、に基づいて推論処理を行うとともに、当該推論処理により得られた攻撃の全体像と、当該攻撃者の特徴と、がどの程度似ているかを推定することができる。また、以上に述べたように、本実施形態によれば、例えば、大規模圧縮ファイルの作成等のような、明確な痕跡を残さない攻撃の手口が一連の攻撃プロセスに含まれている場合であっても、当該一連の攻撃プロセスを実際に行った攻撃者の推定に有用な情報を得ることができる。そのため、本実施形態によれば、サイバー攻撃を行う攻撃者の推定に係る推定精度を向上させることができる。

【0089】

（変形例）
以下、上記の実施形態に対する変形例を説明する。なお、以降においては、簡単のため、既述の処理等を適用可能な部分に関する具体的な説明を適宜省略するものとする。図１１は、第１実施形態の変形例に係る推論装置において行われる処理を説明するためのフローチャートである。

【0090】

本実施形態の推論部３１は、入力受付部２１において入力を受け付けた観測ログＬ１に基づいてネットワークドメインＮＤ１に対する攻撃の全体像ＡＴＸを推定するための推論処理を行うものであってもよい。また、本実施形態の類似度取得部３２は、全体像ＡＴＸと、攻撃者特徴情報ＡＦＪＡ及びＡＦＪＢと、を用いて類似度ＤＳＡ及びＤＳＢを取得するものであってもよい。このような処理の具体例について以下に述べる。

【0091】

まず、入力受付部２１は、ネットワークドメインＮＤ１に対する攻撃に応じて実際に観測されたイベント等が記録されている観測ログＬ１の入力を受け付ける（ステップＳ２１）。

【0092】

次に、推論部３１は、ステップＳ２１において入力された観測ログＬ１に基づいて推論処理を行うことにより、当該観測ログＬ１に対応する攻撃の手口が階層的に抽象化された攻撃の全体像ＡＴＸに相当する推論結果ＨＲＸを取得する（ステップＳ２２）。

【0093】

ここで、推論結果ＨＲＸは、可能な限り仮説を含まずかつ観測ログＬ１に近いものとして取得される。そのため、ステップＳ２２においては、図６の推論結果ＨＲＡと同様の推論結果ＨＲＸが取得される。

【0094】

次に、類似度取得部３２は、ステップＳ２２において得られた推論結果ＨＲＸと、攻撃者特徴情報ＡＦＪＡと、に基づき、全体像ＡＴＸと、当該攻撃者特徴情報ＡＦＪＡにより示される当該攻撃者Ａの特徴と、がどの程度類似しているかを示す値である類似度ＤＳＣを取得する（ステップＳ２３）。また、類似度取得部３２は、ステップＳ２２において得られた推論結果ＨＲＸと、攻撃者特徴情報ＡＦＪＢと、に基づき、全体像ＡＴＸと、当該攻撃者特徴情報ＡＦＪＢにより示される当該攻撃者Ｂの特徴と、がどの程度類似しているかを示す値である類似度ＤＳＤを取得する（ステップＳ２３）。

【0095】

ステップＳ２３においては、前述の方法と同様の方法を用いて類似度を取得することができる。そのため、ステップＳ２３においては、類似度ＤＳＣの値として０が取得されるとともに、類似度ＤＳＤの値として１／√２が取得される。

【0096】

類似度取得部３２は、ステップＳ２３において得られた類似度ＤＳＣ及びＤＳＤを降順に並べた攻撃者推定情報ＡＳＫを生成し、当該生成した攻撃者推定情報ＡＳＫを情報出力部２３へ出力する（ステップＳ２４）。そして、このような類似度取得部３２の処理に応じ、攻撃者推定情報ＡＳＫに含まれるランキング表が表示装置に表示される。なお、攻撃者推定情報ＡＳＫは、図８に例示した攻撃者推定情報ＡＳＪと同様のものとして生成される。

【0097】

以上に述べたように、本変形例によれば、サイバー攻撃に係る情報が記録された観測ログに基づいて推論処理を行うとともに、当該推論処理により得られた攻撃の全体像と、過去の攻撃事案から類推した攻撃者の特徴と、がどの程度似ているかを推定することができる。また、以上に述べたように、本変形例によれば、例えば、大規模圧縮ファイルの作成等のような、明確な痕跡を残さない攻撃の手口が一連の攻撃プロセスに含まれている場合であっても、当該一連の攻撃プロセスを実際に行った攻撃者の推定に有用な情報を得ることができる。そのため、本変形例によれば、サイバー攻撃を行う攻撃者の推定に係る推定精度を向上させることができる。

【0098】

＜第２の実施形態＞
図１２は、第２の実施形態に係る推論装置の機能構成を示すブロック図である。

【0099】

本実施形態に係る推論装置１００Ａは、推論装置１００と同様のハードウェア構成を有している。また、推論装置１００Ａは、推論手段４１と、類似度取得手段４２と、を有している。

【0100】

図１３は、第２の実施形態に係る推論装置において行われる処理を説明するためのフローチャートである。

【0101】

推論手段４１は、サイバー攻撃に係る情報が記録された観測ログと、過去の攻撃事案から類推した攻撃者の特徴と、に基づく推論処理を行うことにより、前記攻撃者が前記観測ログに相当する情報を残したと仮定した場合における攻撃の手口が階層的に抽象化された、前記攻撃者による攻撃の全体像を取得する（ステップＳ４１）。

【0102】

類似度取得手段４２は、攻撃者による攻撃の全体像と、攻撃者の特徴と、がどの程度類似しているかを示す値である類似度を取得する（ステップＳ４２）。

【0103】

本実施形態によれば、サイバー攻撃を行う攻撃者の推定に係る推定精度を向上させることができる。

【0104】

＜第３の実施形態＞
図１４は、第３の実施形態に係る推論装置の機能構成を示すブロック図である。

【0105】

本実施形態に係る推論装置１００Ｂは、推論装置１００と同様のハードウェア構成を有している。また、推論装置１００Ｂは、推論手段５１と、類似度取得手段５２と、を有している。

【0106】

図１５は、第３の実施形態に係る推論装置において行われる処理を説明するためのフローチャートである。

【0107】

推論手段５１は、サイバー攻撃に係る情報が記録された観測ログに基づく推論処理を行うことにより、前記観測ログに対応する攻撃の手口が階層的に抽象化された、攻撃の全体像を取得する（ステップＳ５１）。

【0108】

類似度取得手段５２は、攻撃の全体像と、過去の攻撃事案から類推した攻撃者の特徴と、がどの程度類似しているかを示す値である類似度を取得する（ステップＳ５２）。

【0109】

本実施形態によれば、サイバー攻撃を行う攻撃者の推定に係る推定精度を向上させることができる。

【0110】

上記の実施形態の一部又は全部は、以下の付記のようにも記載されうるが、以下には限られない。

【0111】

（付記１）
サイバー攻撃に係る情報が記録された観測ログと、過去の攻撃事案から類推した攻撃者の特徴と、に基づく推論処理を行うことにより、前記攻撃者が前記観測ログに相当する情報を残したと仮定した場合における攻撃の手口が階層的に抽象化された、前記攻撃者による攻撃の全体像を取得する推論手段と、
前記攻撃者による攻撃の全体像と、前記攻撃者の特徴と、がどの程度類似しているかを示す値である類似度を取得する類似度取得手段と、
を備える推論装置。

【0112】

（付記２）
サイバー攻撃に係る情報が記録された観測ログに基づく推論処理を行うことにより、前記観測ログに対応する攻撃の手口が階層的に抽象化された、攻撃の全体像を取得する推論手段と、
前記攻撃の全体像と、過去の攻撃事案から類推した攻撃者の特徴と、がどの程度類似しているかを示す値である類似度を取得する類似度取得手段と、
を備える推論装置。

【0113】

（付記３）
前記類似度取得手段は、さらに、前記攻撃者の特徴に類似している他の過去の攻撃事案を取得する付記１または２の推論装置。

【0114】

（付記４）
前記類似度取得手段は、前記類似度に基づき、前記攻撃者が実際に攻撃を行った可能性の度合いを表す確率値を算出する付記１または２の推論装置。

【0115】

（付記５）
前記攻撃者の特徴には、前記攻撃者により行われた攻撃の痕跡を示す痕跡情報が含まれている付記１または２の推論装置。

【0116】

（付記６）
複数の前記攻撃者各々に対応する複数の前記類似度が取得された場合に、各類似度を降順に並べたランキングを表示するための表示画面を生成する表示画面生成手段をさらに有する付記１または２の推論装置。

【0117】

（付記７）
前記攻撃者による攻撃の全体像を表示するための表示画面を生成する表示画面生成手段をさらに有する付記１の推論装置。

【0118】

（付記８）
サイバー攻撃に係る情報が記録された観測ログと、過去の攻撃事案から類推した攻撃者の特徴と、に基づく推論処理を行うことにより、前記攻撃者が前記観測ログに相当する情報を残したと仮定した場合における攻撃の手口が階層的に抽象化された、前記攻撃者による攻撃の全体像を取得し、
前記攻撃者による攻撃の全体像と、前記攻撃者の特徴と、がどの程度類似しているかを示す値である類似度を取得する推論方法。

【0119】

（付記９）
サイバー攻撃に係る情報が記録された観測ログに基づく推論処理を行うことにより、前記観測ログに対応する攻撃の手口が階層的に抽象化された、攻撃の全体像を取得し、
前記攻撃の全体像と、過去の攻撃事案から類推した攻撃者の特徴と、がどの程度類似しているかを示す値である類似度を取得する推論方法。

【0120】

（付記１０）
サイバー攻撃に係る情報が記録された観測ログと、過去の攻撃事案から類推した攻撃者の特徴と、に基づく推論処理を行うことにより、前記攻撃者が前記観測ログに相当する情報を残したと仮定した場合における攻撃の手口が階層的に抽象化された、前記攻撃者による攻撃の全体像を取得し、
前記攻撃者による攻撃の全体像と、前記攻撃者の特徴と、がどの程度類似しているかを示す値である類似度を取得する処理をコンピュータに実行させるプログラムを記録した記録媒体。

【0121】

（付記１１）
サイバー攻撃に係る情報が記録された観測ログに基づく推論処理を行うことにより、前記観測ログに対応する攻撃の手口が階層的に抽象化された、攻撃の全体像を取得し、
前記攻撃の全体像と、過去の攻撃事案から類推した攻撃者の特徴と、がどの程度類似しているかを示す値である類似度を取得する処理をコンピュータに実行させるプログラムを記録した記録媒体。

【0122】

以上、実施形態及び実施例を参照して本開示を説明したが、本開示は上記実施形態及び実施例に限定されるものではない。本開示の構成や詳細には、本開示のスコープ内で当業者が理解し得る様々な変更をすることができる。

【符号の説明】

【0123】

１２ プロセッサ
２１ 入力受付部
２２ 攻撃者推定部
２３ 情報出力部
３１ 推論部
３２ 類似度取得部
３３ 攻撃者データベース

【図1】

【図2】

【図3】

【図4】

【図5】

【図6】

【図7】

【図8】

【図9】

【図10】

【図11】

【図12】

【図13】

【図14】

【図15】