知財求人 - 知財ポータルサイト「IP Force」
(19)【発行国】日本国特許庁(JP)
(12)【公報種別】特許公報(B2)
(11)【特許番号】
(24)【登録日】2024-12-16
(45)【発行日】2024-12-24
(54)【発明の名称】攻撃シナリオ生成装置、攻撃シナリオ生成方法、及びプログラム
(51)【国際特許分類】
G06F 21/57 20130101AFI20241217BHJP
【ＦＩ】
G06F21/57 370
【請求項の数】
6
(21)【出願番号】P 2023529386
(86)(22)【出願日】2021-06-24
(86)【国際出願番号】 JP2021024027
(87)【国際公開番号】W WO2022269881
(87)【国際公開日】2022-12-29
【審査請求日】2023-12-06
【国等の委託研究の成果に係る記載事項】（出願人による申告）平成３０年度 国立研究開発法人新エネルギー・産業技術総合開発機構「戦略的イノベーション創造プログラム（ＳＩＰ）第２期／ＩｏＴ社会に対応したサイバー・フィジカル・セキュリティ／（Ｃ２）信頼チェーンの維持技術の研究開発事業」に関する研究開発、産業技術力強化法第１７条の適用を受ける特許出願
(73)【特許権者】
【識別番号】000004237
【氏名又は名称】日本電気株式会社
(74)【代理人】
【識別番号】110002044
【氏名又は名称】弁理士法人ブライタス
(72)【発明者】
【氏名】渡部 正文
(72)【発明者】
【氏名】植田 啓文
【審査官】塩澤 如正
(56)【参考文献】
【文献】国際公開第２０２１／０９５２２３（ＷＯ，Ａ１）
(58)【調査した分野】(Int.Cl.，ＤＢ名)
Ｇ０６Ｆ ２１／５７
(57)【特許請求の範囲】
【請求項1】
対象システムを表すために用いる複数の仮想モデルが記憶されている記憶装置から取得した第一の仮想モデルに対して攻撃シミュレーションを実行させて、前記第一の仮想モデルに損害を与える損害条件を満たす第一の攻撃ステップを検出する、第一の攻撃ステップ検出手段と、検出した前記第一の攻撃ステップから前記第一の仮想モデルの入力条件と出力条件を抽出する、入出力条件抽出手段と、
前記記憶装置から取得した第二の仮想モデルに対して攻撃シミュレーションを実行させて、前記第二の仮想モデルの出力が前記入力条件を満たす第二の攻撃ステップを検出する、第二の攻撃ステップ検出手段と、
前記第一の攻撃ステップと前記第二の攻撃ステップの前記攻撃シミュレーションの種類が異なる場合、前記入力条件と前記出力条件を、前記攻撃シミュレーションの種類に応じた記述に変換する、変換手段と、
前記第一の攻撃ステップと前記第二の攻撃ステップとを結合して攻撃シナリオを生成する、結合手段と、を有し、
前記第一の仮想モデルの入力は前記第二の仮想モデルの出力として設定され、前記第一の仮想モデルの出力は前記第二の仮想モデルの入力として設定される、
攻撃シナリオ生成装置。
【請求項2】
請求項１に記載の攻撃シナリオ生成装置であって、複数の前記第一、第二の攻撃ステップを並行して生成する
攻撃シナリオ生成装置。
【請求項3】
コンピュータが、対象システムを表すために用いる複数の仮想モデルが記憶されている記憶装置から取得した第一の仮想モデルに対して攻撃シミュレーションを実行させて、前記第一の仮想モデルに損害を与える損害条件を満たす第一の攻撃ステップを検出し、
検出した前記第一の攻撃ステップから前記第一の仮想モデルの入力条件と出力条件を抽出し、
前記記憶装置から取得した第二の仮想モデルに対して攻撃シミュレーションを実行させて、前記第二の仮想モデルの出力が前記入力条件を満たす第二の攻撃ステップを検出し、
前記第一の攻撃ステップと前記第二の攻撃ステップの前記攻撃シミュレーションの種類が異なる場合、前記入力条件と前記出力条件を、前記攻撃シミュレーションの種類に応じた記述に変換し、
前記第一の攻撃ステップと前記第二の攻撃ステップとを結合して攻撃シナリオを生成し、
前記第一の仮想モデルの入力は前記第二の仮想モデルの出力として設定され、前記第一の仮想モデルの出力は前記第二の仮想モデルの入力として設定される、
攻撃シナリオ生成方法。
【請求項4】
請求項３に記載の攻撃シナリオ生成方法であって、複数の前記第一、第二の攻撃ステップを並行して生成する
攻撃シナリオ生成方法。
【請求項5】
コンピュータに、対象システムを表すために用いる複数の仮想モデルが記憶されている記憶装置から取得した第一の仮想モデルに対して攻撃シミュレーションを実行させて、前記第一の仮想モデルに損害を与える損害条件を満たす第一の攻撃ステップを検出させ、
検出した前記第一の攻撃ステップから前記第一の仮想モデルの入力条件と出力条件を抽出させ、
前記記憶装置から取得した第二の仮想モデルに対して攻撃シミュレーションを実行させて、前記第二の仮想モデルの出力が前記入力条件を満たす第二の攻撃ステップを検出させ、
前記第一の攻撃ステップと前記第二の攻撃ステップの前記攻撃シミュレーションの種類が異なる場合、前記入力条件と前記出力条件を、前記攻撃シミュレーションの種類に応じた記述に変換させ、
前記第一の攻撃ステップと前記第二の攻撃ステップとを結合して攻撃シナリオを生成させ、
前記第一の仮想モデルの入力は前記第二の仮想モデルの出力として設定され、前記第一の仮想モデルの出力は前記第二の仮想モデルの入力として設定される、
プログラム。
【請求項6】
請求項５に記載のプログラムであって、複数の前記第一、第二の攻撃ステップを並行して生成させる
プログラム。
【発明の詳細な説明】
【技術分野】
【0001】
本発明は、攻撃シナリオを生成する攻撃シナリオ生成装置、攻撃シナリオ生成方法に関し、更には、これらを実現するためのプログラムに関する。
【背景技術】
【0002】
システムにおける潜在的なサイバー攻撃リスクを分析する技術が知られている。例えば、ＯＴ（Operational Technology）、ＩｏＴ（Internet of Things）などのシステムを仮想的に構築したモデルに対して、攻撃シミュレーションを実行する技術が知られている。
【0003】
特許文献１には、対象システムにサイバー攻撃がされた場合に想定される攻撃パスを網羅的に抽出し、各攻撃パスを成り立たせる各装置の攻撃事例（例えば、攻撃内容、対策などを含む）を導出する技術が開示されている。
【0004】
特許文献１の情報処理装置によれば、まず、システムに含まれる装置群のリストと、装置間の接続関係のリストとに基づいて攻撃パスを抽出する。次に、特許文献１の情報処理装置は、抽出した攻撃パスを構成する各装置の攻撃用途とノード（装置）条件とを用いて、過去の攻撃用途とノード条件とが関連付けて記憶されている攻撃事例データベースを検索し、各装置に対応する攻撃事例を取得する。
【先行技術文献】
【特許文献】
【0005】
【文献】特開２０１９－１８５２２３号公報
【発明の概要】
【発明が解決しようとする課題】
【0006】
しかしながら、特許文献１の技術では攻撃事例を導出しているが、対象システムを模した仮想モデルに対して攻撃シミュレーションを実行し、攻撃シナリオを生成する装置ではない。
【0007】
また、大規模プラントを対象システムとした場合、大規模プラントを構成する機器が多くなると、上述した仮想モデルに対して攻撃シミュレーションを実行するには、大容量のメモリが必要になるとともに、攻撃シミュレーションの処理時間が増加する。そのため、攻撃シナリオを生成する処理時間も増加する。
【0008】
一つの側面として、攻撃シナリオを生成する処理時間を短縮する、攻撃シナリオ生成装置、攻撃シナリオ生成方法、及びプログラムを提供することにある。
【課題を解決するための手段】
【0009】
上記目的を達成するため、一つの側面における攻撃シナリオ生成装置は、
対象システムを表すために用いる複数の仮想モデルが記憶されている記憶装置から取得した第一の仮想モデルに対して攻撃シミュレーションを実行させて、前記第一の仮想モデルに損害を与える損害条件を満たす第一の攻撃ステップを検出する、第一の攻撃ステップ検出部と、
検出した前記第一の攻撃ステップから前記第一の仮想モデルの入力条件、又は出力条件、又は両方を抽出する、入出力条件抽出部と、
前記記憶装置から取得した第二の仮想モデルに対して攻撃シミュレーションを実行させて、前記第二の仮想モデルの出力が前記入力条件を満たす第二の攻撃ステップを検出する、第二の攻撃ステップ検出部と、
前記第一の攻撃ステップと第二の攻撃ステップとを結合して攻撃シナリオを生成する、結合部と、
を有することを特徴とする。
対象システムを表すために用いる複数の仮想モデルが記憶されている記憶装置から取得した第一の仮想モデルに対して攻撃シミュレーションを実行させて、前記第一の仮想モデルに損害を与える損害条件を満たす第一の攻撃ステップを検出する、第一の攻撃ステップ検出部と、
検出した前記第一の攻撃ステップから前記第一の仮想モデルの入力条件、又は出力条件、又は両方を抽出する、入出力条件抽出部と、
前記記憶装置から取得した第二の仮想モデルに対して攻撃シミュレーションを実行させて、前記第二の仮想モデルの出力が前記入力条件を満たす第二の攻撃ステップを検出する、第二の攻撃ステップ検出部と、
前記第一の攻撃ステップと第二の攻撃ステップとを結合して攻撃シナリオを生成する、結合部と、
を有することを特徴とする。
【0010】
また、上記目的を達成するため、一つの側面における攻撃シナリオ生成方法は、
コンピュータが、
対象システムを表すために用いる複数の仮想モデルが記憶されている記憶装置から取得した第一の仮想モデルに対して攻撃シミュレーションを実行させて、前記第一の仮想モデルに損害を与える損害条件を満たす第一の攻撃ステップを検出し、
検出した前記第一の攻撃ステップから前記第一の仮想モデルの入力条件、又は出力条件、又は両方を抽出し、
前記記憶装置から取得した第二の仮想モデルに対して攻撃シミュレーションを実行させて、前記第二の仮想モデルの出力が前記入力条件を満たす第二の攻撃ステップを検出し、
前記第一の攻撃ステップと第二の攻撃ステップとを結合して攻撃シナリオを生成する、
ことを特徴とする。
コンピュータが、
対象システムを表すために用いる複数の仮想モデルが記憶されている記憶装置から取得した第一の仮想モデルに対して攻撃シミュレーションを実行させて、前記第一の仮想モデルに損害を与える損害条件を満たす第一の攻撃ステップを検出し、
検出した前記第一の攻撃ステップから前記第一の仮想モデルの入力条件、又は出力条件、又は両方を抽出し、
前記記憶装置から取得した第二の仮想モデルに対して攻撃シミュレーションを実行させて、前記第二の仮想モデルの出力が前記入力条件を満たす第二の攻撃ステップを検出し、
前記第一の攻撃ステップと第二の攻撃ステップとを結合して攻撃シナリオを生成する、
ことを特徴とする。
【0011】
さらに、上記目的を達成するため、一つの側面におけるプログラムは、
コンピュータに、
対象システムを表すために用いる複数の仮想モデルが記憶されている記憶装置から取得した第一の仮想モデルに対して攻撃シミュレーションを実行させて、前記第一の仮想モデルに損害を与える損害条件を満たす第一の攻撃ステップを検出させ、
検出した前記第一の攻撃ステップから前記第一の仮想モデルの入力条件、又は出力条件、又は両方を抽出させ、
前記記憶装置から取得した第二の仮想モデルに対して攻撃シミュレーションを実行させて、前記第二の仮想モデルの出力が前記入力条件を満たす第二の攻撃ステップを検出させ、
前記第一の攻撃ステップと第二の攻撃ステップとを結合して攻撃シナリオを生成させる、
ことを特徴とする。
コンピュータに、
対象システムを表すために用いる複数の仮想モデルが記憶されている記憶装置から取得した第一の仮想モデルに対して攻撃シミュレーションを実行させて、前記第一の仮想モデルに損害を与える損害条件を満たす第一の攻撃ステップを検出させ、
検出した前記第一の攻撃ステップから前記第一の仮想モデルの入力条件、又は出力条件、又は両方を抽出させ、
前記記憶装置から取得した第二の仮想モデルに対して攻撃シミュレーションを実行させて、前記第二の仮想モデルの出力が前記入力条件を満たす第二の攻撃ステップを検出させ、
前記第一の攻撃ステップと第二の攻撃ステップとを結合して攻撃シナリオを生成させる、
ことを特徴とする。
【発明の効果】
【0012】
一つの側面として、攻撃シナリオを生成する処理時間を短縮することができる。
【図面の簡単な説明】
【0013】
【発明を実施するための形態】
【0014】
はじめに、以降で説明する実施形態の理解を容易にするために概要を説明する。
大規模なプラントではプラントを構成する機器の数が多いため、大規模プラント（対象システム）を仮想化した仮想モデルに対して攻撃シミュレーションを実行した場合、機器の数に応じて探索空間が指数関数的に拡大する。また、攻撃シミュレーションに用いるメモリが増加する。さらに、攻撃シミュレーションの処理時間が増加する、すなわち攻撃シナリオを探索（生成）する処理時間が増加する。
大規模なプラントではプラントを構成する機器の数が多いため、大規模プラント（対象システム）を仮想化した仮想モデルに対して攻撃シミュレーションを実行した場合、機器の数に応じて探索空間が指数関数的に拡大する。また、攻撃シミュレーションに用いるメモリが増加する。さらに、攻撃シミュレーションの処理時間が増加する、すなわち攻撃シナリオを探索（生成）する処理時間が増加する。
【0015】
そこで、仮想モデルを分割して、分割した仮想モデルそれぞれに攻撃シミュレーションを実行する。
【0016】
【0017】
モデルＭ１は、タンクＴ１の水位を制御するモデルである。モデルＭ１は、各機器の機能を表す、コントローラＰＬＣ１と、センサＬＳ１と、バルブＶ１と、バルブＶ２と、タンクＴ１と、センサＰＳ１とを有する。
【0018】
モデルＭ２は、タンクＴ２の水位を制御するモデルである。モデルＭ２は、各機器の機能を表す、コントローラＰＬＣ２と、センサＬＳ２と、タンクＴ２と、センサＰＳ１とを有する。
【0019】
ここで、センサＰＳ１は、タンクＴ１とタンクＴ２とを接続する配管に流れる水の流量（流れ有り／無し：Ｏｎ／Ｏｆｆ）を計測するセンサである。また、センサＰＳ１は、モデルＭ１とモデルＭ２の両方に関係する。
【0020】
コントローラＰＬＣ１は、タンクＴ１の水位を計測するセンサＬＳ１により計測されたタンクＴ１の水位に基づいて、バルブＶ１とバルブＶ２の開閉（Ｏｐｅｎ／Ｃｌｏｓｅｄ）を制御する。なお、センサＬＳ１は、図１の例では、六段階のレベル（Ｌｏｗ－Ｌｏｗ、Ｌｏｗ、Ｍｉｄｄｌｅ、Ｈｉｇｈ、Ｈｉｇｈ－Ｈｉｇｈ、Ｏｖｅｒｆｌｏｗ）を計測する。
【0021】
コントローラＰＬＣ２は、タンクＴ２の水位を計測するセンサＬＳ２により計測されたタンクＴ２の水位をコントローラＰＬＣ１に送信する。
【0022】
その後、コントローラＰＬＣ１は、コントローラＰＬＣ２からタンクＴ２の水位を受信し、受信したタンクＴ２の水位に基づいてバルブＶ２の開閉を制御する。
【0023】
図１の例のように、モデルＭ１、Ｍ２に分割することで、モデルＭ１、Ｍ２それぞれに含まれる機器の数が減縮できる。そのため、モデルＭ１、Ｍ２それぞれの攻撃シミュレーションの処理時間の合計は、分割しない仮想モデルに対して攻撃シミュレーションを実行した場合の処理時間より短くできる。
【0024】
しかしながら、分割した仮想モデルの制御ループは必ずしも閉じていないため、他の仮想モデルに影響を与えたり、他の仮想モデルから影響を受けたりしている。図１の例でも、分割したモデルＭ１、Ｍ２は互いに影響をしている。
【0025】
そのため、（１）分割した仮想モデルそれぞれに対して攻撃シミュレーションを実行しただけでは、影響を含むことができないので、分割しない仮想モデルに対して攻撃シミュレーションを実行して得られるような攻撃シナリオを探索することが困難である。
【0026】
さらに、（２）分割した仮想モデルごとに、機器の状態を記述する記述形式が異なる場合には、分割しない仮想モデルに対して攻撃シミュレーションを実行して得られるような攻撃シナリオを探索することは困難である。
【0027】
このようなプロセスを経て、発明者は、上述したような、分割した仮想モデルを用いて攻撃シナリオを探索する場合における課題（１）（２）を見出し、それとともに係る課題を解決する手段を導出するに至った。
【0028】
すなわち、発明者は、分割した仮想モデルを用いて攻撃シナリオを探索できる手段を導出するに至った。その結果、攻撃シナリオを探索する処理時間を短縮でき、攻撃シミュレーションに用いるメモリの増加も抑制できる。
【0029】
以下、図面を参照して実施形態について説明する。なお、以下で説明する図面において、同一の機能又は対応する機能を有する要素には同一の符号を付し、その繰り返しの説明は省略することもある。
【0030】
【0031】
［装置構成］
攻撃シナリオ生成装置１０は、分割した仮想モデルそれぞれに対して攻撃シミュレーションを実行して、分割した仮想モデルそれぞれの攻撃ステップを結合して攻撃シナリオを生成することで、攻撃シナリオを生成する処理時間を短縮する。また、攻撃シミュレーションに用いるメモリの増加も抑制する。
攻撃シナリオ生成装置１０は、分割した仮想モデルそれぞれに対して攻撃シミュレーションを実行して、分割した仮想モデルそれぞれの攻撃ステップを結合して攻撃シナリオを生成することで、攻撃シナリオを生成する処理時間を短縮する。また、攻撃シミュレーションに用いるメモリの増加も抑制する。
【0032】
攻撃シミュレーションは、一般的な攻撃シミュレーションを用いることが考えられる。また、分割した仮想モデルごとに異なる攻撃シミュレーションを用いてもよい。
【0033】
また、図２に示すように、攻撃シナリオ生成装置１０は、第一の攻撃ステップ検出部１１と、入出力条件抽出部１２と、第二の攻撃ステップ検出部１３と、結合部１４とを有する。
【0034】
攻撃シナリオ生成装置１０は、例えば、ＣＰＵ（Central Processing Unit）、又はＦＰＧＡ（Field-Programmable Gate Array）などのプログラマブルなデバイス、又はＧＰＵ（Graphics Processing Unit）、又はそれらのうちのいずれか一つ以上を搭載した回路、サーバコンピュータ、コンピュータ、モバイル端末などの情報処理装置である。
【0035】
第一の攻撃ステップ検出部１１は、対象システムを表すために用いる複数の分割した仮想モデルが記憶されている不図示の記憶装置から取得した第一の仮想モデルに対して攻撃シミュレーションを実行させて、第一の仮想モデルに損害を与える損害条件を満たす第一の攻撃ステップを検出する。
【0036】
具体的には、まず、第一の攻撃ステップ検出部１１は、記憶装置から第一の仮想モデルを取得する。次に、第一の攻撃ステップ検出部１１は、第一の仮想モデルに対して損害条件を満たす第一の攻撃ステップを探索する攻撃シミュレーションを実行する。次に、第一の攻撃ステップ検出部１１は、攻撃シミュレーションの結果として、損害条件を満たす第一の攻撃ステップを取得し、第一の攻撃ステップを記憶装置に記憶する。
【0037】
記憶装置は、対象システムを分割した仮想モデルを記憶している。図１の例であれば、モデルＭ１、モデルＭ２が記憶されている。なお、記憶装置は、攻撃シナリオ生成装置１０の内部に設けてもよいし、外部に設けてもよい。
【0038】
仮想モデルは、あらかじめ決められた記述形式、例えばテキスト形式などで、機器の状態を表した情報である。
【0039】
損害条件は、サイバー攻撃が行われた場合に、対象システムに与える損害を表す情報である。図１の対象システムにおける損害条件は、例えば、モデルＭ２のタンクＴ２から水が溢れることである。
【0040】
第一の攻撃ステップは、第一の仮想モデルに対して攻撃シミュレーションを実行し、第一の仮想モデルが損害条件を満たす状態に至るまでの、第一の仮想モデルに含まれる機器それぞれの状態の変化を表す情報である。
【0041】
図３は、第一の攻撃ステップの一例を説明するための図である。図３に示す第一の攻撃ステップ３１、３２は、モデルＭ２に対して損害条件を満たす第一の攻撃ステップを探索する攻撃シミュレーションを実行させて、得られた結果である。
【0042】
具体的には、第一の攻撃ステップ３１は、正常状態のモデルＭ２に対して、タンクＴ２が溢れるという損害条件（Ｔ２＝Ｏｖｅｒｆｌｏｗ）で、攻撃シミュレーションを実行して得られた結果である。また、第一の攻撃ステップ３２は、モデルＭ２のセンサＬＳ２（機器）の異常状態を想定して、タンクＴ２が溢れるという損害条件（Ｔ２＝Ｏｖｅｒｆｌｏｗ）で、攻撃シミュレーションを実行して得られた結果である。
【0043】
入出力条件抽出部１２は、検出した第一の攻撃ステップから第一の仮想モデルの入力条件と出力条件を抽出する。具体的には、まず、入出力条件抽出部１２は、記憶装置から第一の攻撃ステップを取得する。次に、入出力条件抽出部１２は、第一の攻撃ステップを用いて、第一の仮想モデルの入力条件と出力条件を抽出する。
【0044】
入力条件は、対象となる仮想モデルに含まれる機器のうち、あらかじめ入力機器として設定された機器の、第一の攻撃ステップにおける状態を表す情報である。
【0045】
出力条件は、対象となる仮想モデルに含まれる機器のうち、あらかじめ出力機器として設定された機器の、第一の攻撃ステップにおける状態を表す情報である。
【0046】
第一の攻撃ステップ３１、３２の入力条件について説明する。モデルＭ２のタンクＴ２には、モデルＭ１のタンクＴ１から水が供給されるので、タンクＴ２の前段にあるセンサＰＳ１の状態、すなわち水の流れを計測したか否かが、モデルＭ２の入力条件となる。したがって、第一の攻撃ステップ３１、３２の場合、センサＰＳ１が水の流れを計測した状態（ＰＳ１＝Ｏｎ）が、モデルＭ２の入力条件となる。
【0047】
第一の攻撃ステップ３１、３２の出力条件について説明する。モデルＭ２のコントローラＰＬＣ２は、センサＬＳ２が計測したタンクＴ２の水位を、モデルＭ１のコントローラＰＬＣ１に送信するので、コントローラＰＬＣ２が送信するセンサＬＳ２の状態が、モデルＭ２の出力条件となる。
【0048】
したがって、第一の攻撃ステップ３１においては、コントローラＰＬＣ２が送信するセンサＬＳ２の状態（ＰＬＣ２.ＬＳ２＝Ｈｉｇｈ―Ｈｉｇｈ）が、モデルＭ２の出力条件となる。また、第一の攻撃ステップ３２においては、コントローラＰＬＣ２がコントローラＰＬＣ１に送信するセンサＬＳ２の状態（ＰＬＣ２.ＬＳ２＝Ｌｏｗ）が、モデルＭ２の出力条件となる。
【0049】
第二の攻撃ステップ検出部１３は、第一の仮想モデルに関連する第二の仮想モデルに対して攻撃シミュレーションを実行させて、第二の仮想モデルの出力として、第一の攻撃ステップから抽出した入力条件を満たす第二の攻撃ステップを検出する。
【0050】
具体的には、まず、第二の攻撃ステップ検出部１３は、記憶装置から第二の仮想モデルを取得する。次に、第二の攻撃ステップ検出部１３は、第二の仮想モデルの入力を設定する。次に、第二の攻撃ステップ検出部１３は、第二の仮想モデルに対して、第一の攻撃ステップから抽出した入力条件を満たす攻撃シミュレーションを実行させる。次に、第二の攻撃ステップ検出部１３は、攻撃シミュレーションの結果として、入力条件を満たす第二の攻撃ステップを取得し、第二の攻撃ステップを不図示の記憶装置に記憶する。
【0051】
第二の攻撃ステップは、第二の仮想モデルに対して、入力条件を満たす攻撃シミュレーションを実行し、入力条件を満たす状態に至るまでの、第二の仮想モデルに含まれる機器それぞれの状態の変化を表す情報である。
【0052】
図４は、第二の攻撃ステップの一例を説明するための図である。図４に示す第二の攻撃ステップ４１、４２は、モデルＭ１の入力としてモデルＭ２の出力条件を設定して、モデルＭ１の出力としてモデルＭ２の入力条件を満たす第二の攻撃ステップを探索する攻撃シミュレーションを実行させて、得られた結果である。なお、第二の攻撃ステップ４１では、ステップの機器の状態を一部省略している。
【0053】
図５、図６は、仮想モデルと第一、第二の攻撃ステップとの関係を説明するための図である。図４の第二の攻撃ステップ４１を検出するには、まず、第一の攻撃ステップ３１から抽出した出力条件である、コントローラＰＬＣ２がコントローラＰＬＣ１に送信したセンサＬＳ２の状態（ＰＬＣ２.ＬＳ２＝Ｈｉｇｈ―Ｈｉｇｈ）を、モデルＭ１の入力として設定する。
【0054】
次に、正常状態のモデルＭ１に対して、第一の攻撃ステップ３１から抽出した入力条件を出力として、センサＰＳ１が水の流れを計測した状態（ＰＳ１＝Ｏｎ）を満たす、攻撃シミュレーションを実行する。その結果、第二の攻撃ステップ４１を得る。
【0055】
しかし、第二の攻撃ステップ４１の場合、モデルＭ２のセンサＰＳ１は開状態（ＰＳ１＝Ｏｎ）にならないので、第二の攻撃ステップ４１は選択しない。
【0056】
次に、図４の第二の攻撃ステップ４２を検出するには、まず、第一の攻撃ステップ３２から抽出した出力条件である、コントローラＰＬＣ２がコントローラＰＬＣ１に送信したセンサＬＳ２の状態（ＰＬＣ２.ＬＳ２＝Ｌｏｗ）を、モデルＭ１の入力として設定する。
【0057】
次に、正常状態のモデルＭ１に対して、第一の攻撃ステップ３２から抽出した入力条件を出力として、センサＰＳ１が水の流れを計測した状態（ＰＳ１＝Ｏｎ）を満たす、攻撃シミュレーションを実行する。その結果、第二の攻撃ステップ４２を得る。
【0058】
第二の攻撃ステップ４２の場合、モデルＭ２のセンサＰＳ１が開状態（ＰＳ１＝Ｏｎ）となるので、すなわちモデルＭ２に損害を与える入力条件と出力条件を満たすので、第二の攻撃ステップ４２が選択される。つまり、センサＬＳ２の状態を改竄してＰＬＣ２.ＬＳ２＝Ｌｏｗとすることで、センサＰＳ１は開状態（ＰＳ１＝Ｏｎ）となるので、モデルＭ２に損害が与えられてしまう。
【0059】
結合部１４は、第一の攻撃ステップと第二の攻撃ステップとを結合して攻撃シナリオを生成する。具体的には、まず、結合部１４は、第一の攻撃ステップと、第一の攻撃ステップで抽出された入力条件と出力条件とを満たした第二の攻撃ステップとを、記憶装置から取得する。例えば、結合部１４は、第一の攻撃ステップ３２と、第二の攻撃ステップ４２とを取得する。
【0060】
次に、結合部１４は、第一の攻撃ステップと、第二の攻撃ステップとを結合して攻撃シナリオを生成する。図７は、攻撃シナリオの説明をするための図である。図７に示す攻撃シナリオは、第一の攻撃ステップ３２と、第二の攻撃ステップ４２とを結合したものである。具体的には、第一の攻撃ステップ３２と第二の攻撃ステップ４２とでセンサＬＳ２の状態（ＰＬＣ２.ＬＳ２＝Ｌｏｗ）が同じなので、センサＬＳ２の状態に基づいて結合する。
【0061】
［装置動作］
次に、実施形態１における攻撃シナリオ生成装置の動作について図８を用いて説明する。図８は、攻撃シナリオ生成装置の動作の一例を説明するための図である。以下の説明においては、適宜図を参酌する。また、実施形態１では、攻撃シナリオ生成装置を動作させることによって、攻撃シナリオ生成方法が実施される。よって、実施形態１における攻撃シナリオ生成方法の説明は、以下の攻撃シナリオ生成装置の動作説明に代える。
次に、実施形態１における攻撃シナリオ生成装置の動作について図８を用いて説明する。図８は、攻撃シナリオ生成装置の動作の一例を説明するための図である。以下の説明においては、適宜図を参酌する。また、実施形態１では、攻撃シナリオ生成装置を動作させることによって、攻撃シナリオ生成方法が実施される。よって、実施形態１における攻撃シナリオ生成方法の説明は、以下の攻撃シナリオ生成装置の動作説明に代える。
【0062】
図８に示すように、まず、第一の攻撃ステップ検出部１１は、記憶装置から第一の仮想モデルを取得する（ステップＡ１）。次に、第一の攻撃ステップ検出部１１は、第一の仮想モデルに対して損害条件を満たす第一の攻撃ステップを探索する攻撃シミュレーションを実行する（ステップＡ２）。次に、第一の攻撃ステップ検出部１１は、攻撃シミュレーションの結果として、損害条件を満たす第一の攻撃ステップを取得し、第一の攻撃ステップを記憶装置に記憶する。
【0063】
次に、入出力条件抽出部１２は、記憶装置から第一の攻撃ステップを取得した第一の攻撃ステップを用いて、第一の仮想モデルの入力条件と出力条件を抽出する（ステップＡ３）。
【0064】
次に、第二の攻撃ステップ検出部１３は、記憶装置から第二の仮想モデルを取得する（ステップＡ４）。次に、第二の攻撃ステップ検出部１３は、第二の仮想モデルの入力を設定する（ステップＡ５）。次に、第二の攻撃ステップ検出部１３は、第二の仮想モデルに対して、第一の攻撃ステップから抽出した入力条件を満たす攻撃シミュレーションを実行させる（ステップＡ６）。次に、第二の攻撃ステップ検出部１３は、攻撃シミュレーションの結果として、入力条件を満たす第二の攻撃ステップを取得し、第二の攻撃ステップを不図示の記憶装置に記憶する。
【0065】
次に、結合部１４は、第一の攻撃ステップと、第一の攻撃ステップで抽出された入力条件と出力条件とを満たした第二の攻撃ステップとを、記憶装置から取得する（ステップＡ７）。次に、結合部１４は、第一の攻撃ステップと、第二の攻撃ステップとを結合して攻撃シナリオを生成する（ステップＡ８）。
【0066】
なお、分割したモデルが他にもある場合には、上述したステップＡ１からＡ８の処理を繰り返して、攻撃シナリオを生成する。
【0067】
［実施形態１の効果］
大規模プラントでは、プラントを構成する機器が多くなるため、大規模プラントを仮想化した仮想モデルに攻撃シミュレーションを実行した場合、大容量のメモリが必要になるとともに、攻撃シミュレーションの処理時間が増加する、すなわち攻撃シナリオを生成する処理時間も増加する。
大規模プラントでは、プラントを構成する機器が多くなるため、大規模プラントを仮想化した仮想モデルに攻撃シミュレーションを実行した場合、大容量のメモリが必要になるとともに、攻撃シミュレーションの処理時間が増加する、すなわち攻撃シナリオを生成する処理時間も増加する。
【0068】
しかしながら、実施形態１においては、対象システムの仮想モデルを分割して、分割した仮想モデルを用いて攻撃シミュレーションを実行するので、対象システム全体を攻撃シミュレーションする場合より、メモリの使用量を削減できる。
【0069】
また、実施形態１においては、仮想モデルを分割して、分割した仮想モデルごとに攻撃シミュレーションを実行し、実行結果（第一の攻撃ステップと第二の攻撃ステップ）に基づいて攻撃シナリオ生成するので、攻撃シナリオを生成する処理時間を短縮できる。
【0070】
また、サイバー攻撃の初期の攻撃ステップが探索されるまで、上述した処理を繰り返すことで、対象システムに対する侵入から損害が発生するまでの攻撃シナリオを生成できる。
【0071】
さらに、複数の攻撃ステップを並行して生成してもよい。例えば、攻撃シミュレーションを並行して実行してもよい。
【0072】
【0073】
［システム構成］
図９に示すように、実施形態２におけるシステム１００は、攻撃シナリオ生成装置１０と、入力装置２０と、記憶装置３０と、攻撃シミュレーション装置４０と、出力装置５０とを有する。
図９に示すように、実施形態２におけるシステム１００は、攻撃シナリオ生成装置１０と、入力装置２０と、記憶装置３０と、攻撃シミュレーション装置４０と、出力装置５０とを有する。
【0074】
攻撃シナリオ生成装置１０は、第一の攻撃ステップ検出部１１と、入出力条件抽出部１２と、第二の攻撃ステップ検出部１３と、結合部１４とに加えて、変換部１５と、出力情報生成部１６とを有する。
【0075】
入力装置２０は、損害条件などの設定を入力する装置である。例えば、キーボード、マウス、タッチパネルなどの入力装置である。
【0076】
記憶装置３０は、対象システムを分割した仮想モデル（第一の仮想モデル、第二の仮想モデル）、第一の攻撃ステップ、第二の攻撃ステップ、入力条件、出力条件、攻撃シナリオ、各種設定パラメータなどを記憶する。記憶装置３０は、例えば、データベース、又はサーバコンピュータなどである。なお、図９の例では、記憶装置３０は、攻撃シナリオ生成装置１０の外部に設けられているが、内部に設けてもよい。また、記憶装置３０は、複数の記憶装置に分けてもよい。
【0077】
攻撃シミュレーション装置４０は、第一の攻撃ステップ及び第二の攻撃ステップを探索するための攻撃シミュレーションを実行する装置である。攻撃シミュレーション装置４０は、例えば、サーバコンピュータなどに攻撃シミュレータをインストールした装置である。なお、図９の例であれば、攻撃シミュレーション装置４０は、攻撃シナリオ生成装置１０の外部に設けられているが、内部に設けてもよい。
【0078】
出力装置５０は、出力情報生成部１６により、出力可能な形式に変換された、出力情報を取得し、その出力情報に基づいて、生成した画像及び音声などを出力する。出力装置５０は、例えば、液晶、有機ＥＬ（Electro Luminescence）、ＣＲＴ（Cathode Ray Tube）を用いた画像表示装置などである。さらに、画像表示装置は、スピーカなどの音声出力装置などを備えていてもよい。なお、出力装置５０は、プリンタなどの印刷装置でもよい。
【0079】
攻撃シナリオ生成装置について具体的に説明する。
第一の攻撃ステップ検出部１１、入出力条件抽出部１２、第二の攻撃ステップ検出部１３、結合部１４については、既に説明をしたので、説明を省略する。
第一の攻撃ステップ検出部１１、入出力条件抽出部１２、第二の攻撃ステップ検出部１３、結合部１４については、既に説明をしたので、説明を省略する。
【0080】
変換部１５は、攻撃シミュレーションの種類が異なる場合、入力条件と出力条件を、攻撃シミュレーションの種類に応じた記述に変換する。
【0081】
【0082】
モデルＭ３は、各機器の機能を表す、コンピュータＰＣ、サーバコンピュータＳＶ１、ＳＶ２、ＳＶ３、ゲートウェイＧＷ１、ＧＷ２、エンジニアリングワークステーションＥＷＳ、スキャダＳＣＡＤＡ（Supervisory Control And Data Acquisition：コンピュータによるシステム監視とプロセス制御を行うシステム）を有する。また、モデルＭ３は、モデルＭ１、Ｍ２と異なる種類の攻撃シミュレーションを用いる。
【0083】
図１１は、実施形態２の攻撃ステップの結合を説明するための図である。モデルＭ３の攻撃ステップＳ３の記述は、モデルＭ１の攻撃ステップＳ２及びモデルＭ２の攻撃ステップＳ１の記述と異なる。そのため、結合部１４は、攻撃ステップＳ３と、攻撃ステップＳ２及び攻撃ステップＳ１とを結合することができない。
【0084】
図１１に示した攻撃ステップＳ１は、モデルＭ２に対して攻撃シミュレーションを実行し、モデルＭ２が損害条件（Ｔ２＝Ｏｖｅｒｆｌｏｗ）を満たす状態に至るまでの、モデルＭ２に含まれる機器それぞれの状態の変化を表す情報である。
【0085】
図１１に示した攻撃ステップＳ２は、モデルＭ１に対して攻撃シミュレーションを実行し、モデルＭ２の入力条件（ＰＳ＝Ｏｎ）を満たす状態に至るまでの、モデルＭ１に含まれる機器それぞれの状態の変化を表す情報である。
【0086】
図１１に示した攻撃ステップＳ３は、モデルＭ３に対して攻撃シミュレーションを実行し、モデルＭ１の入力条件（ＰＬＣ１＝Ｒｅｍｏｔｅ ｅｘｐｌｏｉｔ／ＰＬＣ１．Ｖ２＝Ｃｏｍｐｒｏｍｉｓｅｄ）を満たす状態に至るまでの、モデルＭ３に含まれる機器それぞれの状態の変化を表す情報である。なお、攻撃ステップＳ３では、ステップの機器の状態を一部省略している。
【0087】
なお、図１１の攻撃ステップＳ２の入力条件である「ＰＬＣ１.Ｖ２＝Ｃｏｍｐｒｏｍｉｓｅｄ」は、攻撃者がコントローラＰＬＣ１において不正操作（センサ値の改竄、動作改竄など）が可能な状態を示す。そこで、図１１の攻撃ステップＳ３では、コントローラＰＬＣ１において不正操作が可能であるという条件「Ｒｅｍｏｔｅ ｅｘｐｌｏｉｔ」を設定して攻撃シミュレーションを行う。
【0088】
不正操作の表現は、攻撃シミュレーションの方法により異なるため、同じ状態を意味するものを設定すればよい。実施形態２では「Ｒｅｍｏｔｅ ｅｘｐｌｏｉｔ」を設定したが、不正操作が可能な状態を示すものであれば他の物でもよい。例えば、「Ｌｏｃａｌ ｅｘｐｌｏｉｔ」（対象にログイン後に何かしらの攻撃で不正操作が可能）を指定してもよい。
【0089】
具体的には、変換部１５は、攻撃ステップの攻撃シミュレーションの種類が異なるか否かを判定する。変換部１５は、攻撃ステップの攻撃シミュレーションの種類が異なる場合、変換情報を用いて、変換対象の攻撃ステップに含まれる入力条件と出力条件の記述を、変換する攻撃シミュレーションの記述に変換する。
【0090】
図１２は、変換テーブルの一例を説明するための図である。図１２の変換情報１３１、は、二つの攻撃シミュレーションにおいて、同等の記述を対応付けた変換テーブルである。また、図１２の変換情報１３２、は、二つの攻撃シミュレーションにおいて、機器ごとに、同等の記述を対応付けた変換テーブルである。
【0091】
図１２の変換情報１３１、１３２は、「変換規則番号」「変換前種別」「変換前条件」「変換後種別」「変換後条件」を関連付けた情報である。変換規則番号「１」から「４」は、変換規則を識別するための情報である。変換前種別及び変換後種別「Ａ」「Ｂ」は、攻撃シミュレーションの種類を識別するための情報である。また、図１２の変換情報１３２の機器ＩＤ「ＨＭＩ」「ＥＷＳ」「Ｖ１」「Ｖ２」「ＬＳ」「ＰＬＣ」は、機器を識別するための情報である。
【0092】
変換前条件は、変換前の入力条件と出力条件を表す情報である。変換後条件は、変換後の入力条件と出力条件を表す情報である。例えば、変換情報１３１の変換規則番号「２」の変換前条件「Ｒｅｍｏｔｅ ｅｘｐｌｏｉｔ」は変換されると、変換後条件「Ｃｏｍｐｒｏｍｉｓｅｄ」に変換される。
【0093】
攻撃ステップＳ１、Ｓ２、Ｓ３の結合について説明する。
まず、攻撃ステップＳ２と攻撃ステップＳ１とは、実施形態１で説明したように、結合部１４を用いて結合する。具体的には、攻撃ステップＳ２と攻撃ステップＳ１とでセンサＰＳ１の状態（ＰＳ１＝Ｏｎ）が同じなので、センサＰＳ１の状態に基づいて結合する。
まず、攻撃ステップＳ２と攻撃ステップＳ１とは、実施形態１で説明したように、結合部１４を用いて結合する。具体的には、攻撃ステップＳ２と攻撃ステップＳ１とでセンサＰＳ１の状態（ＰＳ１＝Ｏｎ）が同じなので、センサＰＳ１の状態に基づいて結合する。
【0094】
次に、結合部１４は、攻撃ステップＳ３のコントローラＰＬＣ１の出力（ＰＬＣ１＝Ｒｅｍｏｔｅ ｅｘｐｌｏｉｔ）と、攻撃ステップＳ２のコントローラＰＬＣ１の入力（ＰＬＣ１＝Ｃｏｍｐｒｏｍｉｓｅｄ）とに基づいて結合する。攻撃ステップＳ３のコントローラＰＬＣ１の出力（ＰＬＣ１＝Ｒｅｍｏｔｅ ｅｘｐｌｏｉｔ）は変換されると、モデルＭ１の入力条件であるＰＬＣ１＝Ｃｏｍｐｒｏｍｉｓｅｄと同じ記述になるので、ＰＬＣ１＝Ｃｏｍｐｒｏｍｉｓｅｄに基づいて結合する。
【0095】
このようにして、結合部１４は、攻撃ステップＳ１、Ｓ２、Ｓ３を結合して攻撃シナリオを生成する。
【0096】
出力情報生成部１６は、例えば、少なくとも対象システムの仮想モデルの全体、分割した仮想モデル、攻撃ステップ、攻撃シナリオ、損害条件、入力条件、出力条件のいずれか一つ以上を出力装置５０に表示するための出力情報を生成する。
【0097】
［装置動作］
次に、実施形態２における攻撃シナリオ生成装置の動作について図１３を用いて説明する。図１３は、攻撃シナリオ生成装置の動作の一例を説明するための図である。以下の説明においては、適宜図を参酌する。また、実施形態２では、攻撃シナリオ生成装置を動作させることによって、攻撃シナリオ生成方法が実施される。よって、実施形態２における攻撃シナリオ生成方法の説明は、以下の攻撃シナリオ生成装置の動作説明に代える。
次に、実施形態２における攻撃シナリオ生成装置の動作について図１３を用いて説明する。図１３は、攻撃シナリオ生成装置の動作の一例を説明するための図である。以下の説明においては、適宜図を参酌する。また、実施形態２では、攻撃シナリオ生成装置を動作させることによって、攻撃シナリオ生成方法が実施される。よって、実施形態２における攻撃シナリオ生成方法の説明は、以下の攻撃シナリオ生成装置の動作説明に代える。
【0098】
実施形態１と実施形態２との違いはステップＢ１、Ｂ２である。ステップＡ１からＡ８については実施形態１で説明したので、ステップＡ１からＡ８の説明は省略する。
【0099】
ステップＢ１では、変換部１５は、攻撃シミュレーションの種類が異なる場合、入力条件と出力条件を、攻撃シミュレーションの種類に応じた記述に変換する。
【0100】
ステップＢ２では、出力情報生成部１６は、例えば、少なくとも仮想モデルの全体、分割した仮想モデル、攻撃ステップ、攻撃シナリオ、損害条件、入力条件、出力条件のいずれか一つ以上を出力装置５０に表示するための出力情報を生成する。
【0101】
［実施形態２の効果］
実施形態２によれば、実施形態１と同等の効果に加えて、入力条件と出力条件の記述を変換ができるので、異なる攻撃シミュレーションを組み合わせて、攻撃シナリオを生成することができる。
実施形態２によれば、実施形態１と同等の効果に加えて、入力条件と出力条件の記述を変換ができるので、異なる攻撃シミュレーションを組み合わせて、攻撃シナリオを生成することができる。
【0102】
【0103】
モデルＭ４は、各機器などの機能を表す、侵入口Ａｔｔａｃｋｅｒ、ゲートウェイＧＷ１、ＧＷ２、サーバコンピュータＳＶ１を有する。また、モデルＭ５は、ゲートウェイＧＷ２、コンピュータＰＣ１、サーバコンピュータＳＶ４、ＳＶ５、ＳＶ６を有する。
【0104】
実施形態３では、まず、第一の攻撃ステップ検出部１１が、モデルＭ５に対して攻撃シミュレーションを実行させて、モデルＭ５に損害を与える損害条件（ＳＶ６＝Ｄａｔａ―ｉｎｊｅｃｔ）を満たす攻撃ステップＳ５を検出する。
【0105】
次に、入出力条件抽出部１２は、検出した攻撃ステップＳ５からモデルＭ５の入力条件（ＰＣ１＝Ｌｏｃａｌ ｅｘｐｌｏｉｔ）を抽出する。
【0106】
次に、第二の攻撃ステップ検出部１３は、攻撃ステップＳ５から抽出した入力条件（ＰＣ１＝Ｌｏｃａｌ ｅｘｐｌｏｉｔ）を入力として、モデルＭ５に関連するモデルＭ４に対して攻撃シミュレーションを実行させて、モデルＭ４の出力として、攻撃ステップＳ５から抽出した入力条件を満たす攻撃ステップＳ４を検出する。
【0107】
図１５は、実施形態３の攻撃シナリオの説明をするための図である。モデルＭ４の攻撃ステップＳ４の記述では、まず、攻撃者が、侵入口ＡｔｔａｃｋｅｒからゲートウェイＧＷ１を介してサーバコンピュータＳＶ１に不正データが送信され（インジェクションアタック：Ｄａｔａ―ｉｎｊｅｃｔ）をする。次に、サーバコンピュータＳＶ１からゲートウェイＧＷ２を介してコンピュータＰＣに不正データが転送される。その後、コンピュータＰＣ１で不正データを開封するとマルウェアに感染する（Ｌｏｃａｌ ｅｘｐｌｏｉｔ）。
【0108】
また、モデルＭ５の攻撃ステップＳ５の記述では、まず、コンピュータＰＣ１がサーバコンピュータＳＶ４を攻撃する。次に、サーバコンピュータＳＶ４がサーバコンピュータＳＶ６に不正データを登録する。なお、攻撃ステップＳ４、Ｓ５では、ステップの機器の状態を一部省略している。
【0109】
結合部１４は、攻撃ステップＳ４と攻撃ステップＳ５とを結合して攻撃シナリオを生成する。具体的には、攻撃ステップＳ４のコンピュータＰＣ１の出力（ＰＣ１＝Ｌｏｃａｌ ｅｘｐｌｏｉｔ）と、攻撃ステップＳ５のコンピュータＰＣ１の入力（ＰＣ１＝Ｌｏｃａｌ ｅｘｐｌｏｉｔ）とが同じなので結合する。
【0110】
［実施形態３の効果］
実施形態３によれば、実施形態１と同等の効果に加えることができる。
実施形態３によれば、実施形態１と同等の効果に加えることができる。
【0111】
［プログラム］
実施形態１から３におけるプログラムは、コンピュータに、図８に示すステップＡ１からＡ８、又は、図１３に示すステップＡ１からＡ８、Ｂ１、Ｂ２を実行させるプログラムであればよい。このプログラムをコンピュータにインストールし、実行することによって、実施形態１から３における攻撃シナリオ生成装置と攻撃シナリオ生成方法とを実現することができる。この場合、コンピュータのプロセッサは、第一の攻撃ステップ検出部１１、入出力条件抽出部１２、第二の攻撃ステップ検出部１３、結合部１４、変換部１５、出力情報生成部１６として機能し、処理を行なう。
実施形態１から３におけるプログラムは、コンピュータに、図８に示すステップＡ１からＡ８、又は、図１３に示すステップＡ１からＡ８、Ｂ１、Ｂ２を実行させるプログラムであればよい。このプログラムをコンピュータにインストールし、実行することによって、実施形態１から３における攻撃シナリオ生成装置と攻撃シナリオ生成方法とを実現することができる。この場合、コンピュータのプロセッサは、第一の攻撃ステップ検出部１１、入出力条件抽出部１２、第二の攻撃ステップ検出部１３、結合部１４、変換部１５、出力情報生成部１６として機能し、処理を行なう。
【0112】
また、実施形態１から３におけるプログラムは、複数のコンピュータによって構築されたコンピュータシステムによって実行されてもよい。この場合は、例えば、各コンピュータが、それぞれ、第一の攻撃ステップ検出部１１、入出力条件抽出部１２、第二の攻撃ステップ検出部１３、結合部１４、変換部１５、出力情報生成部１６のいずれかとして機能してもよい。
【0113】
［物理構成］
ここで、実施形態１から３におけるプログラムを実行することによって、攻撃シナリオ生成装置を実現するコンピュータについて図１６を用いて説明する。図１６は、本発明の実施形態１から３における攻撃シナリオ生成装置を実現するコンピュータの一例を示すブロック図である。
ここで、実施形態１から３におけるプログラムを実行することによって、攻撃シナリオ生成装置を実現するコンピュータについて図１６を用いて説明する。図１６は、本発明の実施形態１から３における攻撃シナリオ生成装置を実現するコンピュータの一例を示すブロック図である。
【0114】
図１６に示すように、コンピュータ１１０は、ＣＰＵ（Central Processing Unit）１１１と、メインメモリ１１２と、記憶装置１１３と、入力インターフェイス１１４と、表示コントローラ１１５と、データリーダ／ライタ１１６と、通信インターフェイス１１７とを備える。これらの各部は、バス１２１を介して、互いにデータ通信可能に接続される。なお、コンピュータ１１０は、ＣＰＵ１１１に加えて、又はＣＰＵ１１１に代えて、ＧＰＵ、又はＦＰＧＡを備えていてもよい。
【0115】
ＣＰＵ１１１は、記憶装置１１３に格納された、本実施形態におけるプログラム（コード）をメインメモリ１１２に展開し、これらを所定順序で実行することにより、各種の演算を実施する。メインメモリ１１２は、典型的には、ＤＲＡＭ（Dynamic Random Access Memory）等の揮発性の記憶装置である。また、本実施形態におけるプログラムは、コンピュータ読み取り可能な記録媒体１２０に格納された状態で提供される。なお、本実施形態におけるプログラムは、通信インターフェイス１１７を介して接続されたインターネット上で流通するものであってもよい。なお、記録媒体１２０は、不揮発性記録媒体である。
【0116】
また、記憶装置１１３の具体例としては、ハードディスクドライブの他、フラッシュメモリ等の半導体記憶装置があげられる。入力インターフェイス１１４は、ＣＰＵ１１１と、キーボード及びマウスといった入力機器１１８との間のデータ伝送を仲介する。表示コントローラ１１５は、ディスプレイ装置１１９と接続され、ディスプレイ装置１１９での表示を制御する。
【0117】
データリーダ／ライタ１１６は、ＣＰＵ１１１と記録媒体１２０との間のデータ伝送を仲介し、記録媒体１２０からのプログラムの読み出し、及びコンピュータ１１０における処理結果の記録媒体１２０への書き込みを実行する。通信インターフェイス１１７は、ＣＰＵ１１１と、他のコンピュータとの間のデータ伝送を仲介する。
【0118】
また、記録媒体１２０の具体例としては、ＣＦ（Compact Flash（登録商標））及びＳＤ（Secure Digital）等の汎用的な半導体記憶デバイス、フレキシブルディスク（Flexible Disk）等の磁気記録媒体、又はＣＤ－ＲＯＭ（Compact Disk Read Only Memory）などの光学記録媒体があげられる。
【0119】
なお、実施形態１から３における攻撃シナリオ生成装置１０は、プログラムがインストールされたコンピュータではなく、各部に対応したハードウェアを用いることによっても実現可能である。更に、攻撃シナリオ生成装置１０は、一部がプログラムで実現され、残りの部分がハードウェアで実現されていてもよい。
【0120】
［付記］
以上の実施形態に関し、更に以下の付記を開示する。上述した実施形態の一部又は全部は、以下に記載する（付記１）から（付記９）により表現することができるが、以下の記載に限定されるものではない。
以上の実施形態に関し、更に以下の付記を開示する。上述した実施形態の一部又は全部は、以下に記載する（付記１）から（付記９）により表現することができるが、以下の記載に限定されるものではない。
【0121】
（付記１）
対象システムを表すために用いる複数の仮想モデルが記憶されている記憶装置から取得した第一の仮想モデルに対して攻撃シミュレーションを実行させて、前記第一の仮想モデルに損害を与える損害条件を満たす第一の攻撃ステップを検出する、第一の攻撃ステップ検出部と、
検出した前記第一の攻撃ステップから前記第一の仮想モデルの入力条件、又は出力条件、又は両方を抽出する、入出力条件抽出部と、
前記記憶装置から取得した第二の仮想モデルに対して攻撃シミュレーションを実行させて、前記第二の仮想モデルの出力が前記入力条件を満たす第二の攻撃ステップを検出する、第二の攻撃ステップ検出部と、
前記第一の攻撃ステップと第二の攻撃ステップとを結合して攻撃シナリオを生成する、結合部と、
を有する攻撃シナリオ生成装置。
対象システムを表すために用いる複数の仮想モデルが記憶されている記憶装置から取得した第一の仮想モデルに対して攻撃シミュレーションを実行させて、前記第一の仮想モデルに損害を与える損害条件を満たす第一の攻撃ステップを検出する、第一の攻撃ステップ検出部と、
検出した前記第一の攻撃ステップから前記第一の仮想モデルの入力条件、又は出力条件、又は両方を抽出する、入出力条件抽出部と、
前記記憶装置から取得した第二の仮想モデルに対して攻撃シミュレーションを実行させて、前記第二の仮想モデルの出力が前記入力条件を満たす第二の攻撃ステップを検出する、第二の攻撃ステップ検出部と、
前記第一の攻撃ステップと第二の攻撃ステップとを結合して攻撃シナリオを生成する、結合部と、
を有する攻撃シナリオ生成装置。
【0122】
（付記２）
付記１に記載の攻撃シナリオ生成装置であって、
前記攻撃シミュレーションの種類が異なる場合、前記入力条件と前記出力条件を、前記攻撃シミュレーションの種類に応じた記述に変換する、変換部
を有する攻撃シナリオ生成装置。
付記１に記載の攻撃シナリオ生成装置であって、
前記攻撃シミュレーションの種類が異なる場合、前記入力条件と前記出力条件を、前記攻撃シミュレーションの種類に応じた記述に変換する、変換部
を有する攻撃シナリオ生成装置。
【0123】
（付記３）
付記１又は２に記載の攻撃シナリオ生成装置であって、
複数の前記第一、第二の攻撃ステップを並行して生成する
攻撃シナリオ生成装置。
付記１又は２に記載の攻撃シナリオ生成装置であって、
複数の前記第一、第二の攻撃ステップを並行して生成する
攻撃シナリオ生成装置。
【0124】
（付記４）
コンピュータが、
対象システムを表すために用いる複数の仮想モデルが記憶されている記憶装置から取得した第一の仮想モデルに対して攻撃シミュレーションを実行させて、前記第一の仮想モデルに損害を与える損害条件を満たす第一の攻撃ステップを検出する、第一の攻撃ステップ検出ステップと、
検出した前記第一の攻撃ステップから前記第一の仮想モデルの入力条件、又は出力条件、又は両方を抽出する、入出力条件抽出ステップと、
前記記憶装置から取得した第二の仮想モデルに対して攻撃シミュレーションを実行させて、前記第二の仮想モデルの出力が前記入力条件を満たす第二の攻撃ステップを検出する、第二の攻撃ステップ検出ステップと、
前記第一の攻撃ステップと第二の攻撃ステップとを結合して攻撃シナリオを生成する、結合ステップと、
を有する攻撃シナリオ生成方法。
コンピュータが、
対象システムを表すために用いる複数の仮想モデルが記憶されている記憶装置から取得した第一の仮想モデルに対して攻撃シミュレーションを実行させて、前記第一の仮想モデルに損害を与える損害条件を満たす第一の攻撃ステップを検出する、第一の攻撃ステップ検出ステップと、
検出した前記第一の攻撃ステップから前記第一の仮想モデルの入力条件、又は出力条件、又は両方を抽出する、入出力条件抽出ステップと、
前記記憶装置から取得した第二の仮想モデルに対して攻撃シミュレーションを実行させて、前記第二の仮想モデルの出力が前記入力条件を満たす第二の攻撃ステップを検出する、第二の攻撃ステップ検出ステップと、
前記第一の攻撃ステップと第二の攻撃ステップとを結合して攻撃シナリオを生成する、結合ステップと、
を有する攻撃シナリオ生成方法。
【0125】
（付記５）
付記４に記載の攻撃シナリオ生成方法であって、
前記コンピュータが、
前記攻撃シミュレーションの種類が異なる場合、前記入力条件と前記出力条件を、前記攻撃シミュレーションの種類に応じた記述に変換する、変換ステップ
を有する攻撃シナリオ生成方法。
付記４に記載の攻撃シナリオ生成方法であって、
前記コンピュータが、
前記攻撃シミュレーションの種類が異なる場合、前記入力条件と前記出力条件を、前記攻撃シミュレーションの種類に応じた記述に変換する、変換ステップ
を有する攻撃シナリオ生成方法。
【0126】
（付記６）
付記４又は５に記載の攻撃シナリオ生成方法であって、
複数の前記第一、第二の攻撃ステップを並行して生成する
攻撃シナリオ生成方法。
付記４又は５に記載の攻撃シナリオ生成方法であって、
複数の前記第一、第二の攻撃ステップを並行して生成する
攻撃シナリオ生成方法。
【0127】
（付記７）
コンピュータに、
対象システムを表すために用いる複数の仮想モデルが記憶されている記憶装置から取得した第一の仮想モデルに対して攻撃シミュレーションを実行させて、前記第一の仮想モデルに損害を与える損害条件を満たす第一の攻撃ステップを検出する、第一の攻撃ステップ検出ステップと、
検出した前記第一の攻撃ステップから前記第一の仮想モデルの入力条件、又は出力条件、又は両方を抽出する、入出力条件抽出ステップと、
前記記憶装置から取得した第二の仮想モデルに対して攻撃シミュレーションを実行させて、前記第二の仮想モデルの出力が前記入力条件を満たす第二の攻撃ステップを検出する、第二の攻撃ステップ検出ステップと、
前記第一の攻撃ステップと第二の攻撃ステップとを結合して攻撃シナリオを生成する、結合ステップと、
を実行する命令を含むプログラム。
コンピュータに、
対象システムを表すために用いる複数の仮想モデルが記憶されている記憶装置から取得した第一の仮想モデルに対して攻撃シミュレーションを実行させて、前記第一の仮想モデルに損害を与える損害条件を満たす第一の攻撃ステップを検出する、第一の攻撃ステップ検出ステップと、
検出した前記第一の攻撃ステップから前記第一の仮想モデルの入力条件、又は出力条件、又は両方を抽出する、入出力条件抽出ステップと、
前記記憶装置から取得した第二の仮想モデルに対して攻撃シミュレーションを実行させて、前記第二の仮想モデルの出力が前記入力条件を満たす第二の攻撃ステップを検出する、第二の攻撃ステップ検出ステップと、
前記第一の攻撃ステップと第二の攻撃ステップとを結合して攻撃シナリオを生成する、結合ステップと、
を実行する命令を含むプログラム。
【0128】
（付記８）
付記７に記載のプログラムであって、
前記プログラムが、前記コンピュータに、
前記攻撃シミュレーションの種類が異なる場合、前記入力条件と前記出力条件を、前記攻撃シミュレーションの種類に応じた記述に変換する、変換ステップ
を実行する命令を含むプログラム。
付記７に記載のプログラムであって、
前記プログラムが、前記コンピュータに、
前記攻撃シミュレーションの種類が異なる場合、前記入力条件と前記出力条件を、前記攻撃シミュレーションの種類に応じた記述に変換する、変換ステップ
を実行する命令を含むプログラム。
【0129】
（付記９）
付記７又は８に記載のプログラムであって、
複数の前記第一、第二の攻撃ステップを並行して生成させる
プログラム。
付記７又は８に記載のプログラムであって、
複数の前記第一、第二の攻撃ステップを並行して生成させる
プログラム。
【0130】
以上、実施形態を参照して本願発明を説明したが、本願発明は上記実施形態に限定されるものではない。本願発明の構成や詳細には、本願発明のスコープ内で当業者が理解し得る様々な変更をすることができる。
【産業上の利用可能性】
【0131】
以上のように本発明によれば、攻撃シナリオを生成する処理時間を短縮することができる。本発明は、攻撃シナリオの生成が必要な分野において有用である。
【符号の説明】
【0132】
１０ 攻撃シナリオ生成装置
１１ 第一の攻撃ステップ検出部
１２ 入出力条件抽出部
１３ 第二の攻撃ステップ検出部
１４ 結合部
１５ 変換部
１６ 出力情報生成部
２０ 入力装置
３０ 記憶装置
４０ 攻撃シミュレーション装置
５０ 出力装置
１００ システム
１１０ コンピュータ
１１１ ＣＰＵ
１１２ メインメモリ
１１３ 記憶装置
１１４ 入力インターフェイス
１１５ 表示コントローラ
１１６ データリーダ／ライタ
１１７ 通信インターフェイス
１１８ 入力機器
１１９ ディスプレイ装置
１２０ 記録媒体
１２１ バス
１１ 第一の攻撃ステップ検出部
１２ 入出力条件抽出部
１３ 第二の攻撃ステップ検出部
１４ 結合部
１５ 変換部
１６ 出力情報生成部
２０ 入力装置
３０ 記憶装置
４０ 攻撃シミュレーション装置
５０ 出力装置
１００ システム
１１０ コンピュータ
１１１ ＣＰＵ
１１２ メインメモリ
１１３ 記憶装置
１１４ 入力インターフェイス
１１５ 表示コントローラ
１１６ データリーダ／ライタ
１１７ 通信インターフェイス
１１８ 入力機器
１１９ ディスプレイ装置
１２０ 記録媒体
１２１ バス
【図1】
【図2】
【図3】
【図4】
【図5】
【図6】
【図7】
【図8】
【図9】
【図10】
【図11】
【図12】
【図13】
【図14】
【図15】
【図16】