特許 7638918 制御装置、プログラムおよび制御システム

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】特許公報(B2)

(11)【特許番号】

(24)【登録日】2025-02-21

(45)【発行日】2025-03-04

(54)【発明の名称】制御装置、プログラムおよび制御システム

(51)【国際特許分類】

   G06F 21/57 20130101AFI20250225BHJP

   G06F 21/55 20130101ALI20250225BHJP

【ＦＩ】

G06F21/57

G06F21/55 320

【請求項の数】 13

(21)【出願番号】P 2022017652

(22)【出願日】2022-02-08

(65)【公開番号】P2023115443

(43)【公開日】2023-08-21

【審査請求日】2024-02-27

(73)【特許権者】

【識別番号】000003078

【氏名又は名称】株式会社東芝

(74)【代理人】

【識別番号】110002147

【氏名又は名称】弁理士法人酒井国際特許事務所

(72)【発明者】

【氏名】金井 遵

【審査官】▲柳▼谷 侑

(56)【参考文献】

【文献】特開２０２１－０２７５０５（ＪＰ，Ａ）

【文献】特開２０１６－２２４４８０（ＪＰ，Ａ）

【文献】特開２０１８－０４５３２７（ＪＰ，Ａ）

【文献】国際公開第２０２０／２４６０１１（ＷＯ，Ａ１）

(58)【調査した分野】(Int.Cl.，ＤＢ名)

Ｇ０６Ｆ ２１／１２ － ２１／１６

Ｇ０６Ｆ ２１／５０ － ２１／５７

(57)【特許請求の範囲】

【請求項1】

監視対象システムにおいて発生する１または複数の脅威事象を示す脅威情報を取得する脅威入力部と、
前記１または複数の脅威事象のそれぞれについて、前記監視対象システムに対して行われる複数の攻撃のうちの、前記１または複数の脅威事象を検出するために検出すべき複数の検出対象攻撃を示す攻撃情報を生成する攻撃情報生成部と、
前記攻撃情報に示される前記複数の検出対象攻撃のそれぞれ毎に、前記監視対象システムから取得される複数のログのうちの攻撃を検出することが可能な検出可能ログを示す攻撃－ログテーブルに基づき、それぞれが前記複数の検出対象攻撃の全てを検出可能な１または複数の検出可能ログの組み合わせを示す複数のログセットを生成するログセット生成部と、
前記複数のログセットのそれぞれについて、前記１または複数の検出可能ログのそれぞれを監視するための制約の小ささを表す簡易度を取得し、前記複数のログセットのそれぞれについて、前記１または複数の検出可能ログのそれぞれの前記簡易度に基づき、監視を優先する度合いを表す優先度を算出する優先度算出部と、
前記複数のログセット、および、前記複数のログセットのそれぞれの前記優先度に基づき、前記複数のログセットのうち前記優先度が上位の１または複数のログセットを選択して、選択した前記１または複数のログセットに示される１または複数のログを生成するための複数のデータを記録装置に対して記録させる選択制御部と、
を備える制御装置。

【請求項2】

前記優先度算出部は、
前記複数のログのそれぞれ、および、監視処理の実行に制約を与える複数の制約要因のそれぞれ毎に前記簡易度が予め登録された制約データベースから、前記簡易度を取得し、
前記複数の制約要因のそれぞれの重みを取得し、
前記複数のログセットのそれぞれについて、前記複数の制約要因のそれぞれ毎に前記１または複数の検出可能ログの前記簡易度を加算した加算値に対して、対応する前記重みを乗じて合計した合計値に基づき、前記優先度を算出する
請求項１に記載の制御装置。

【請求項3】

前記優先度算出部は、前記複数のログセットのそれぞれについて、前記合計値を前記１または複数の検出可能ログの個数により除算した値を、前記優先度として算出する
請求項２に記載の制御装置。

【請求項4】

前記複数の制約要因のそれぞれの前記重みをユーザから受け付ける制約入力部をさらに備え、
前記優先度算出部は、前記ユーザから受け付けた前記複数の制約要因のそれぞれの前記重みを取得する
請求項２または３に記載の制御装置。

【請求項5】

前記複数の制約要因は、解析困難性、データ発生量および解析コストの少なくとも１つを含み、
前記解析困難性についての前記簡易度は、解析が困難な程小さく
前記データ発生量についての前記簡易度は、発生する単位時間当たりのデータ量が大きい程小さく、
前記解析コストについての前記簡易度は、解析するコストが高い程小さい
請求項２から４の何れか１項に記載の制御装置。

【請求項6】

前記攻撃情報生成部は、発生するまでに前記監視対象システムに対して行われる１または複数の攻撃による攻撃手順を示す手順情報に基づき、前記攻撃情報を生成する
請求項１から５の何れか１項に記載の制御装置。

【請求項7】

前記攻撃情報生成部は、前記１または複数の脅威事象のそれぞれについて、前記手順情報に示される１または複数の攻撃の全てを、前記攻撃情報に示される前記複数の検出対象攻撃に含める
請求項６に記載の制御装置。

【請求項8】

前記攻撃情報生成部は、前記１または複数の脅威事象のそれぞれについて、前記手順情報に示される１または複数の攻撃のうち少なくとも対象の脅威事象を検出可能な１または複数の攻撃を、前記攻撃情報に示される前記複数の検出対象攻撃に含める
請求項６に記載の制御装置。

【請求項9】

前記ログセット生成部は、
前記監視対象システムに対して行われる複数の攻撃のそれぞれ毎に前記検出可能ログが予め登録されている攻撃－ログデータベースを参照することにより前記攻撃－ログテーブルを生成する攻撃－ログテーブル生成部と、
前記攻撃－ログテーブルを参照して前記複数の検出対象攻撃の全てを検出可能な前記１または複数の検出可能ログの組み合わせを検出することにより、前記複数のログセットを生成する組合せ部と、
を有する請求項１から８の何れか１項に記載の制御装置。

【請求項10】

動作中の前記監視対象システムに対して前記複数の攻撃を実行する攻撃実行部と、
実行した前記複数の攻撃のそれぞれ毎に、前記監視対象システムの動作中に記録される前記複数のログのうちの前記検出可能ログを検出して、前記攻撃－ログテーブルを生成するログ検出部と、
をさらに備える請求項１から８の何れか１項に記載の制御装置。

【請求項11】

前記攻撃実行部は、前記複数の攻撃のうちの第１の攻撃について、複数の攻撃手法が存在する場合、前記第１の攻撃を実行する場合、前記複数の攻撃手法を同時に実行し、
前記第１の攻撃を実行した場合、前記ログ検出部は、前記複数のログのうちの、前記複数の攻撃手法による攻撃を検出できるログを前記検出可能ログとして検出する
請求項１０に記載の制御装置。

【請求項12】

情報処理装置を制御装置として機能させるためのプログラムであって、
前記情報処理装置を、
監視対象システムにおいて発生する１または複数の脅威事象を示す脅威情報を取得する脅威入力部と、
前記１または複数の脅威事象のそれぞれについて、前記監視対象システムに対して行われる複数の攻撃のうちの、前記１または複数の脅威事象を検出するために検出すべき複数の検出対象攻撃を示す攻撃情報を生成する攻撃情報生成部と、
前記攻撃情報に示される前記複数の検出対象攻撃のそれぞれ毎に、前記監視対象システムから取得される複数のログのうちの攻撃を検出することが可能な検出可能ログを示す攻撃－ログテーブルに基づき、それぞれが前記複数の検出対象攻撃の全てを検出可能な１または複数の検出可能ログの組み合わせを示す複数のログセットを生成するログセット生成部と、
前記複数のログセットのそれぞれについて、前記１または複数の検出可能ログのそれぞれを監視するための制約の小ささを表す簡易度を取得し、前記複数のログセットのそれぞれについて、前記１または複数の検出可能ログのそれぞれの前記簡易度に基づき、監視を優先する度合いを表す優先度を算出する優先度算出部と、
前記複数のログセット、および、前記複数のログセットのそれぞれの前記優先度に基づき、前記複数のログセットのうち前記優先度が上位の１または複数のログセットを選択して、選択した前記１または複数のログセットに示される１または複数のログを生成するための複数のデータを記録装置に対して記録させる選択制御部と、
して機能させるプログラム。

【請求項13】

監視対象システムと、
前記監視対象システムにおけるログを記録する記録装置と、
前記記録装置に記録されたログを監視して、前記監視対象システムにおいて発生する脅威事象を検出する監視装置と、
前記監視装置により監視させるログを推薦する制御装置と、
を備え、
前記制御装置は、
前記監視対象システムにおいて発生する１または複数の脅威事象を示す脅威情報を取得する脅威入力部と、
前記１または複数の脅威事象のそれぞれについて、前記監視対象システムに対して行われる複数の攻撃のうちの、前記１または複数の脅威事象を検出するために検出すべき複数の検出対象攻撃を示す攻撃情報を生成する攻撃情報生成部と、
前記攻撃情報に示される前記複数の検出対象攻撃のそれぞれ毎に、前記監視対象システムから取得される複数のログのうちの攻撃を検出することが可能な検出可能ログを示す攻撃－ログテーブルに基づき、それぞれが前記複数の検出対象攻撃の全てを検出可能な１または複数の検出可能ログの組み合わせを示す複数のログセットを生成するログセット生成部と、
前記複数のログセットのそれぞれについて、前記１または複数の検出可能ログのそれぞれを監視するための制約の小ささを表す簡易度を取得し、前記複数のログセットのそれぞれについて、前記１または複数の検出可能ログのそれぞれの前記簡易度に基づき、監視を優先する度合いを表す優先度を算出する優先度算出部と、
前記複数のログセット、および、前記複数のログセットのそれぞれの前記優先度に基づき、前記複数のログセットのうち前記優先度が上位の１または複数のログセットを選択して、選択した前記１または複数のログセットに示される１または複数のログを生成するための複数のデータを前記記録装置に対して記録させる選択制御部と、
を有する
制御システム。

【発明の詳細な説明】

【技術分野】

【0001】

本発明の実施形態は、制御装置、プログラムおよび制御システムに関する。

【背景技術】

【0002】

近年、制御システムを狙ったサイバー攻撃が一般化しており、セキュリティ対策が急務である。中でもログの記録および監視をすることが、セキュリティ対策として重要である。このため、制御システムは、様々なログを記録しなければならない。

【0003】

制御システムから得られるログの種類は、膨大である。一方で、ログを記録するためのリソースは有限であるので、記録するログは、少ない方が好ましい。

【0004】

しかしながら、得られるログは、制御システムによって異なる。また、想定されるインシデントおよび検出すべき攻撃も、制御システムによって異なる。従って、記録するべきログは、制御システムによって異なる。

【0005】

また、制御システムにおいて、ログを生成したり、ログを取得したりするための機能は限られている。また、例えば社会インフラシステム等の多くの制御システムは、大幅な機能追加をすることが困難であることが多い。このため、制御システムの固有の制約を考慮して、限られた機能を用いて最大限のセキュリティ対策を実行できることが好ましい。

【先行技術文献】

【特許文献】

【0006】

【文献】特開２０２１－０２７５０５号公報

【発明の概要】

【発明が解決しようとする課題】

【0007】

本発明が解決しようとする課題は、脅威事象を効率良く検出させる１または複数のログを示すログセットを機械的に出力することにある。

【課題を解決するための手段】

【0008】

実施形態に係る制御装置は、脅威入力部と、攻撃情報生成部と、ログセット生成部と、優先度算出部と、選択制御部とを備える。前記脅威入力部は、監視対象システムにおいて発生する１または複数の脅威事象を示す脅威情報を取得する。前記攻撃情報生成部は、前記１または複数の脅威事象のそれぞれについて、前記監視対象システムに対して行われる複数の攻撃のうちの、前記１または複数の脅威事象を検出するために検出すべき複数の検出対象攻撃を示す攻撃情報を生成する。前記ログセット生成部は、前記攻撃情報に示される前記複数の検出対象攻撃のそれぞれ毎に、前記監視対象システムから取得される複数のログのうちの攻撃を検出することが可能な検出可能ログを示す攻撃－ログテーブルに基づき、それぞれが前記複数の検出対象攻撃の全てを検出可能な１または複数の検出可能ログの組み合わせを示す複数のログセットを生成する。前記優先度算出部は、前記複数のログセットのそれぞれについて、前記１または複数の検出可能ログのそれぞれを監視するための制約の小ささを表す簡易度を取得し、前記複数のログセットのそれぞれについて、前記１または複数の検出可能ログのそれぞれの前記簡易度に基づき、監視を優先する度合いを表す優先度を算出する。前記選択制御部は、前記複数のログセット、および、前記複数のログセットのそれぞれの前記優先度に基づき、前記複数のログセットのうち前記優先度が上位の１または複数のログセットを選択して、選択した前記１または複数のログセットに示される１または複数のログを生成するための複数のデータを記録装置に対して記録させる。

【図面の簡単な説明】

【0009】

【図1】第１実施形態に係る制御システムの構成を示す図。

【図2】第１実施形態に係るログ推薦装置の構成を示す図。

【図3】脅威事象の一例を示す図。

【図4】手順情報の一例を示す図。

【図5】攻撃情報の第１例を示す図。

【図6】攻撃情報の第２例を示す図。

【図7】攻撃－ログデータベースの一例を示す図。

【図8】攻撃－ログテーブルの一例を示す図。

【図9】ログセットの一例を示す図。

【図10】簡易度の一例を示す図。

【図11】重みの一例を示す図。

【図12】簡易度を数値に置き換える例を示す図。

【図13】制約要因毎の加算値の算出例を示す図。

【図14】優先度の第１の算出例を示す図。

【図15】優先度の第２の算出例を示す図。

【図16】第１実施形態に係るログ推薦装置の処理の流れを示すフローチャート。

【図17】第２実施形態に係るログ推薦装置の構成を示す図。

【図18】第２実施形態に係るログ推薦装置の処理の流れを示すフローチャート。

【図19】ログ推薦装置のハードウェア構成の一例を示す図。

【発明を実施するための形態】

【0010】

以下、図面を参照しながら本発明の実施形態について説明する。

【0011】

（第１実施形態）
図１は、第１実施形態に係る制御システム１０の構成を示す図である。制御システム１０は、監視対象システム１２と、記録装置１４と、監視装置１６と、ログ推薦装置２０とを備える。

【0012】

監視対象システム１２は、例えば、複数の機器を制御および管理をするシステムである。例えば、監視対象システム１２は、道路、鉄道、電力網、水道網および通信網等のインフラストラクチャを制御および管理するシステムである。また、監視対象システム１２は、発電プラント、化学プラントおよび製造プラントのプラントシステムであってもよい。監視対象システム１２は、１または複数の情報処理装置等を含む情報処理システムであってもよい。

【0013】

記録装置１４は、監視対象システム１２から取得した複数のログを記録する。例えば、記録装置１４は、監視対象システム１２に入力されるデータ、監視対象システム１２から出力されるデータ、監視対象システム１２に設けられた機器により測定されたデータ、または、これらの機器に対する制御データ等を取得して、それぞれの時系列データをログとして記録する。

【0014】

監視装置１６は、記録装置１４に記録された複数のログを監視し、監視対象システム１２において発生する脅威事象を検出する。また、監視装置１６は、監視対象システム１２において脅威事象が発生した場合、記録装置１４に記録された複数のログを解析して、脅威事象が発生した要因等を解析してもよい。監視装置１６は、監視プログラム等を実行して機械的に脅威事象を検出してもよいし、オペレータとの協働で脅威事象を検出してもよい。

【0015】

ログ推薦装置２０は、制御装置の一例である。ログ推薦装置２０は、監視装置１６に検出させる１または複数の脅威事象を示す脅威情報を取得する。また、ログ推薦装置２０は、脅威事象を検出するための監視処理を制約する複数の制約要因のそれぞれに対する重みを示す制約情報を取得する。そして、ログ推薦装置２０は、脅威情報および制約情報に基づき、複数のログセットを生成する。複数のログセットのそれぞれは、監視装置１６に監視させる１または複数のログの組み合わせを示す。さらに、ログ推薦装置２０は、複数のログセットのそれぞれについて、監視を優先する度合いを表す優先度を算出する。優先度は、スコア等の数値であってもよいし、順位であってもよい。ログ推薦装置２０は、算出した優先度を、複数のログセットのそれぞれに対応させて出力する。

【0016】

なお、ログ推薦装置２０は、複数のログセットのうち、優先度が上位の１または複数のログセットを選択して出力してもよい。優先度が上位の１または複数のログセットを選択して出力する場合、ログ推薦装置２０は、優先度を出力しなくてもよい。

【0017】

ログ推薦装置２０は、生成した複数のログセット、および、複数のログセットのそれぞれの優先度を、監視対象システム１２に与える。この場合、監視対象システム１２は、優先度が上位の１または複数のログセットに示される１または複数のログを生成させるための複数のデータを選択して、記録装置１４に与える。そして、記録装置１４は、監視対象システム１２から取得したデータのログを記録する。

【0018】

なお、記録装置１４は、監視対象システム１２は、生成される複数のデータの全てを記録装置１４に与えてもよい。この場合、ログ推薦装置２０は、生成した複数のログセット、および、複数のログセットのそれぞれの優先度を、記録装置１４に与える。そして、記録装置１４は、監視対象システム１２において生成される複数のデータの全ての中から、優先度が上位の１または複数のログセットに示される１または複数のログを生成するためのデータを選択し、選択したデータのログを記録する。

【0019】

図２は、第１実施形態に係るログ推薦装置２０の構成を示す図である。以下、図２に示すログ推薦装置２０の構成を、図３から図１５を参照しながら説明する。

【0020】

ログ推薦装置２０は、脅威入力部３２と、手順データベース記憶部３４と、攻撃情報生成部３６と、攻撃－ログデータベース記憶部３８と、ログセット生成部４０と、制約データベース記憶部４２と、制約入力部４４と、優先度算出部４６と、出力部４８とを備える。

【0021】

脅威入力部３２は、監視対象システム１２において発生する１または複数の脅威事象を示す脅威情報を取得する。例えば、脅威入力部３２は、システム管理者等のユーザにより入力された脅威情報を取得する。

【0022】

例えば、図３に示すように、脅威事象は、重要データ漏洩、システム停止およびシステム不正制御等である。脅威事象は、例えば、ＳＴＲＩＤＥ等の一般的な脅威分析方法により分析して得られる事象であってよい。

【0023】

手順データベース記憶部３４は、脅威が発生するまでに監視対象システム１２に対して行われる１または複数の攻撃による攻撃手順を示す手順情報を記憶する。ログ推薦装置２０は、手順データベース記憶部３４を備えず、サーバ等により提供されるデータベースから手順情報を取得してもよい。

【0024】

例えば、「システム停止」という脅威は、発生に至るまでに、１または複数の攻撃手順により、１または複数の攻撃が監視対象システム１２に実行される。例えば、「システム停止」という脅威は、監視対象システム１２を探索し、監視対象システム１２に侵入し、監視対象システム１２を停止するためのプログラムの実行する、といった流れで発生する。また、監視対象システム１２へ侵入するためのより具体的な攻撃は、リモートアクセス機能のパスワードを入手し、入手したパスワードで侵入する方法、または、プログラムの脆弱性を利用して侵入する方法等が存在する。手順データベース記憶部３４は、このような具体的な攻撃手順および攻撃内容を示す手順情報を記憶する。

【0025】

例えば、図４に示すように、手順データベース記憶部３４は、ツリー状に攻撃手順が記述された手順情報を記憶してもよい。図４に示される手順情報は、例えば、脅威♯１が発生する場合、攻撃Ａまたは攻撃Ｂが実行されることが示されている。また、図４に示される手順情報は、攻撃Ａが実行される場合、攻撃Ａの実行前に攻撃Ｃが実行されることが示されている。また、図４に示される手順情報は、攻撃Ｂが実行される場合、攻撃Ｂの前に攻撃Ｄまたは攻撃Ｅが実行されることが示されている。手順情報は、例えば、アタックツリー分析と呼ばれる分析手法により生成される。また、手順情報は、ＭＩＴＲＥ ＡＴＴ＆ＣＫ等の攻撃戦術検討用のフレームワークを利用して生成されてもよいし、ＢＡＳ（Breach and Attack Simulation）と呼ばれる攻撃シミュレーションの機能を利用して生成されてもよい。

【0026】

攻撃情報生成部３６は、手順データベース記憶部３４に記憶された手順情報を参照して、監視対象システム１２に対して行われる複数の攻撃のうちの、脅威入力部３２により入力された１または複数の脅威事象を検出するために検出すべき複数の検出対象攻撃を示す攻撃情報を生成する。攻撃情報は、複数の攻撃の内容を示す一覧である。

【0027】

例えば、攻撃情報生成部３６は、脅威入力部３２により入力された１または複数の脅威事象のそれぞれについて、手順情報に示される１または複数の攻撃の全てを、攻撃情報に示される複数の検出対象攻撃に含めてもよい。

【0028】

例えば、図４には、脅威＃２が発生する場合、攻撃Ａと、攻撃Ｅまたは攻撃Ｆとが実行されることが示され、脅威＃３が発生する場合、攻撃Ｂまたは攻撃Ｈと、攻撃Ｇとが実行されることが示されている。脅威情報に脅威＃２および脅威＃３が示される場合、攻撃情報生成部３６は、図５に示すように、攻撃Ａ、Ｂ、Ｅ、Ｆ、Ｇ、Ｈを含む攻撃情報を生成する。これにより、攻撃情報生成部３６は、１または複数の脅威事象のそれぞれについて、手順情報に示される１または複数の攻撃の全てを、攻撃情報に示される複数の検出対象攻撃に含めることができる。

【0029】

また、例えば、攻撃情報生成部３６は、脅威入力部３２により入力された１または複数の脅威事象のそれぞれについて、手順情報に示される１または複数の攻撃のうち少なくとも対象の脅威事象を検出可能な１または複数の攻撃を、攻撃情報に示される複数の検出対象攻撃に含めてもよい。

【0030】

例えば、図６に示すように、脅威情報に脅威＃２および脅威＃３が示される場合、攻撃Ａを解析することにより脅威♯２を検出し、攻撃Ｂおよび攻撃Ｈを解析することにより脅威♯３を検出することができるので、攻撃情報生成部３６は、攻撃Ａ、Ｂ、Ｈを含む攻撃情報を生成してもよい。また、攻撃Ａを解析することにより脅威♯２を検出し、攻撃Ｇを解析することにより脅威♯３を検出することができるので、攻撃情報生成部３６は、攻撃Ａ、Ｇを含む攻撃情報を生成してもよい。また、攻撃Ｅおよび攻撃Ｆを解析することにより脅威♯２を検出し、攻撃Ｂおよび攻撃Ｈを解析することにより脅威♯３を検出することができるので、攻撃情報生成部３６は、攻撃Ｅ、Ｆ、Ｂ、Ｈを含む攻撃情報を生成してもよい。また、監視装置１６は、攻撃Ｅおよび攻撃Ｆを解析することにより脅威♯２を検出し、攻撃Ｇを解析することにより脅威♯３を検出することができるので、攻撃情報生成部３６は、攻撃Ｅ、Ｆ、Ｇを含む攻撃情報を生成してもよい。これにより、攻撃情報生成部３６は、１または複数の脅威事象のそれぞれについて、手順情報に示される１または複数の攻撃のうち少なくとも対象の脅威事象を検出可能な１または複数の攻撃を、攻撃情報に示される複数の検出対象攻撃に含めることができる。

【0031】

攻撃－ログデータベース記憶部３８は、攻撃－ログデータベースを記憶する。攻撃－ログデータベースは、例えば、図７に示すように、監視対象システム１２に対して行われる複数の攻撃のそれぞれ毎に、攻撃を検出することが可能な検出可能ログが予め登録されている。

【0032】

ログセット生成部４０は、攻撃情報に示される複数の検出対象攻撃のそれぞれ毎に、攻撃－ログテーブルに基づき、それぞれが複数の検出対象攻撃の全てを検出可能な１または複数の検出可能ログの組み合わせを示す複数のログセットを生成する。攻撃－ログテーブルは、監視対象システム１２から取得される複数のログのうちの攻撃を検出することが可能な検出可能ログを示す。例えば、ログセット生成部４０は、攻撃－ログテーブル生成部５２と、組合せ部５４とを有する。

【0033】

攻撃－ログテーブル生成部５２は、攻撃－ログデータベース記憶部３８に記憶された攻撃－データベースを参照することにより、攻撃－ログテーブルを生成する。例えば、図８に示すように、攻撃情報に攻撃Ａ、Ｂ、Ｅ、Ｆ、ＧおよびＨが検出対象攻撃として含まれる場合、攻撃－ログテーブル生成部５２は、攻撃－データベースにおける攻撃Ａ、Ｂ、Ｅ、Ｆ、ＧおよびＨに関する部分を抽出して、攻撃－ログテーブルを生成する。例えば、図８の攻撃－ログテーブルは、攻撃Ａについてログ＃１、ログ＃３およびログ＃４が検出可能ログとして示され、攻撃Ｂについてログ＃２が検出可能ログとして示され、攻撃Ｅについてログ＃１およびログ＃２が検出可能ログとして示され、攻撃Ｆについてログ＃２が検出可能ログとして示され、攻撃Ｇについてログ＃２、ログ＃４が検出可能ログとして示され、攻撃Ｈについてログ＃１、ログ＃４が検出可能ログとして示される。

【0034】

組合せ部５４は、攻撃－ログテーブルを参照して複数の検出対象攻撃の全てを検出可能な１または複数の検出可能ログの組み合わせを検出して、複数のログセットを生成する。例えば、組合せ部５４は、複数の検出対象攻撃の全てを検出するために必要最小限となる１または複数の検出可能ログの組み合わせを含むログセットを少なくとも生成する。

【0035】

図８に示した攻撃－ログテーブルを参照すると、ログ♯１およびログ♯２を解析することにより検出対象攻撃Ａ、Ｂ、Ｅ、Ｆ、ＧおよびＨの全てを検出することができることがわかる。この場合、ログ♯１およびログ♯２以外のログを解析する必要はない。また、図８に示した攻撃－ログテーブルを参照すると、ログ♯２およびログ♯４を解析することによっても検出対象攻撃Ａ、Ｂ、Ｅ、Ｆ、ＧおよびＨの全てを検出することができることがわかる。この場合、ログ♯２およびログ♯４以外のログを解析する必要はない。従って、図８に示した攻撃－ログテーブルを参照することによって、組合せ部５４は、図９に示すような、ログ♯１およびログ♯２の組み合わせを示すログセット＃１と、ログ♯２およびログ♯４の組み合わせを示すログセット＃２とを生成することができる。

【0036】

なお、組合せ部５４は、必要最小限となる１または複数の検出可能ログのセットに他のログを加えたログセットも、さらに追加して生成してもよい。例えば、組合せ部５４は、ログ♯１およびログ♯２に、さらにログ♯３を加えたログセット♯３をさらに生成してもよい。

【0037】

制約データベース記憶部４２は、制約データベースを記憶する。制約データベースは、例えば、図１０に示すように、複数のログのそれぞれ、および、監視処理の実行に制約を与える複数の制約要因のそれぞれ毎に、監視するための制約の小ささを表す簡易度が予め設定されている。

【0038】

複数の制約要因は、例えば、解析困難性、データ発生量および解析コストの少なくとも１つを含む。解析困難性は、例えば、対応するログを解析するために、セキュリティの専門家が解析をしなければならない等の制約を表す。また、データ発生量は、対応するログを解析するために、ログ保存のための記憶領域を多く確保する必要がある等の制約を表す。解析コストは、対応するログを解析するために、高価な解析ソフトウェアを導入しなければならなく、多くのコストがかかる等の制約を表す。

【0039】

そして、解析困難性についての簡易度は、ログの解析が容易な程大きく、ログの解析が困難な程小さい。例えば、図１０の解析困難性についての簡易度は、ランクＡの場合、ログの解析が容易であり、ランクＢの場合、ログの解析が普通であり、ランクＣの場合、ログの解析が困難なことを示す。

【0040】

また、データ発生量についての簡易度は、発生する単位時間当たりのデータ量が小さい程大きく、データ発生が大きい程小さい。例えば、図１０のデータ発生量についての簡易度は、ランクＡの場合、単位時間当たりのデータ量が小さく、ランクＢの場合、単位時間当たりのデータ量が普通であり、ランクＣの場合、単位時間当たりのデータ量が大きいことを示す。

【0041】

また、解析コストについての簡易度は、ログを解析するコストが少ない程大きく、コストが高い程小さい。例えば、図１０の解析コストについての簡易度は、ランクＡの場合、解析コストが小さく、ランクＢの場合、解析コストが普通であり、ランクＣの場合、解析コストが大きいことを示す。

【0042】

なお、簡易度は、図１０の例では３段階で表されているが、２段階であってもよい。また、簡易度は、４段階以上で表されていてもよい。

【0043】

制約入力部４４は、複数の制約要因のそれぞれの重みをユーザから受け付ける。重みは、対応する制約要因を重視する割合を示す値である。例えば、複数の制約要因として、解析困難性、データ発生量および解析コストを含む場合、制約入力部４４は、解析困難性、データ発生量および解析コストのそれぞれに対する重みの入力をユーザから受け付ける。

【0044】

また、制約入力部４４は、複数の制約要因のそれぞれに対して重みが割り当てられた複数の選択肢が予め登録されていてもよい。この場合、制約入力部４４は、ユーザに複数の選択肢のうちの何れか１つを選択させる。

【0045】

例えば、図１１に示すように、制約入力部４４は、重みの合計が１００点となるように、解析困難性、データ発生量および解析コストのそれぞれに重みを割り当てた複数の選択肢が登録されていてもよい。例えば、データ発生量をとても少なくする選択肢は、解析困難性に１０点の重みが割り当てられ、データ発生量に８０点の重みが割り当てられ、解析コストに１０点の重みが割り当てられている。また、例えば、解析コストを若干少なくする選択肢は、解析困難性に３０点の重みが割り当てられ、データ発生量に３０点の重みが割り当てられ、解析コストに４０点の重みが割り当てられている。また、例えば、解析コストをとても少なくする選択肢は、解析困難性に１０点の重みが割り当てられ、データ発生量に１０点の重みが割り当てられ、解析コストに８０点の重みが割り当てられている。複数の選択肢のうちの何れかが選択された場合、制約入力部４４は、複数の制約要因のそれぞれについて、選択された選択肢に割り当てられている重みを出力する。

【0046】

優先度算出部４６は、ログセット生成部４０により生成された複数のログセットを取得する。優先度算出部４６は、制約データベースを参照して、複数のログセットのそれぞれについて、１または複数の検出可能ログのそれぞれの簡易度を取得する。この場合において、優先度算出部４６は、制約データベースを参照して、１または複数の検出可能ログのそれぞれの簡易度を、複数の制約要因のそれぞれ毎に取得する。そして、優先度算出部４６は、取得した簡易度を、対応する数値に置き換える。例えば、図１２に示すように、優先度算出部４６は、ランクＡを５、ランクＢを２．５、ランクＣを０に置き換える。

【0047】

続いて、優先度算出部４６は、複数のログセットのそれぞれについて、複数の制約要因のそれぞれ毎に１または複数の検出可能ログの簡易度を加算した加算値を算出する。

【0048】

例えば、図１３に示すように、優先度算出部４６は、ログセット＃１の解析困難性について、ログ＃１のランクＡの数値である５と、ログ＃２のランクＢの数値である２．５とを加算した加算値を算出する。また、優先度算出部４６は、ログセット＃１のデータ発生量について、ログ＃１のランクＢの数値である２．５と、ログ＃２のランクＢの数値である２．５とを加算した加算値を算出する。また、優先度算出部４６は、ログセット＃１の解析コストについて、ログ＃１のランクＡの数値である５と、ログ＃２のランクＡの数値である５とを加算した値を算出する。優先度算出部４６は、ログセット＃２についても同様に、解析困難性、データ発生量および解析コストのそれぞれについて加算値を算出する。

【0049】

続いて、優先度算出部４６は、制約入力部４４から、ユーザから受け付けた複数の制約要因のそれぞれの重みを取得する。そして、優先度算出部４６は、複数のログセットのそれぞれについて、１または複数の検出可能ログのそれぞれの簡易度に基づき、監視を優先する度合いを表す優先度を算出する。例えば、優先度算出部４６は、複数のログセットのそれぞれについて、１または複数の検出可能ログのそれぞれの簡易度を所定の演算式により合成することにより、優先度を算出する。例えば、優先度算出部４６は、複数のログセットのそれぞれについて、複数の制約要因のそれぞれ毎の加算値に対して対応する重みを乗じ、重みを乗じた加算値を複数の制約要因の全てについて合計した合計値を算出する。さらに、優先度算出部４６は、複数のログセットのそれぞれについて、合計値を、１または複数の検出可能ログの数により除算することにより優先度を算出する。

【0050】

例えば、図１４に示すように、データ発生量をとても少なくする選択肢を受け付けた場合、優先度算出部４６は、解析困難性の重みとして１０点、データ発生量の重みとして８０点、および、解析コストの重みとして１０点を取得する。この場合、優先度算出部４６は、ログセット＃１について、解析困難性の加算値である７．５を１０で除算した値に解析困難性の重みである１０点を乗算した値（７．５）と、データ発生量の加算値である５を１０で除算した値にデータ発生量の重みである８０点を乗算した値（４０）と、解析コストの加算値である１０を１０で除算した値に解析コストの重みである１０点を乗算した値（１０）とを合計した合計値（５７．５）を算出する。

【0051】

そして、優先度算出部４６は、合計値（５７．５）を、ログセット＃１に含まれるログの個数である２で除算した値（２８．７５）を、ログセット＃１の優先度として算出する。なお、解析をすべきログの数が増えた場合、解析困難性が増し、データ発生量が増え、解析コストが高くなると考えられる。このため、優先度算出部４６は、合計値をログの数で除算することにより１つのログ当たりの値に変換することにより、ログセットの数に関わらずログセットとログセットとの間で優先度を比較可能としている。また、優先度算出部４６は、データ発生量をとても少なくする選択肢を受け付けた場合、ログセット＃２についても、同様に演算を実行して、優先度（３３．７５）を算出する。

【0052】

また、例えば、図１５に示すように、解析コストを若干少なくする選択肢を受け付けた場合、優先度算出部４６は、解析困難性の重みとして３０点、データ発生量の重みとして３０点、および、解析コストの重みとして４０点を取得する。この場合、優先度算出部４６は、ログセット＃１について、解析困難性の加算値である７．５を１０で除算した値に解析困難性の重みである３０点を乗算した値（２２．５）と、データ発生量の加算値である５を１０で除算した値にデータ発生量の重みである３０点を乗算した値（１５）と、解析コストの加算値である１０を１０で除算した値に解析コストの重みである４０点を乗算した値（４０）とを合計した合計値（７７．５）を算出する。そして、優先度算出部４６は、合計値（７７．５）を、ログセット＃１に含まれるログの個数である２で除算した値（３８．７５）を、ログセット＃１の優先度として算出する。また、優先度算出部４６は、解析コストを若干少なくする選択肢を受け付けた場合、ログセット＃２についても、同様に演算を実行して、優先度（２５）を算出する。

【0053】

なお、優先度算出部４６は、他の演算方法により優先度を算出してもよい。また、優先度は、監視を優先する順位であってもよい。例えば、優先度算出部４６は、予め学習された機械学習モデルを用意し、機械学習モデルに複数のログセットおよび制約情報を入力して、複数のログセットのそれぞれの優先度を出力させてもよい。また、優先度算出部４６は、ログの数が少ない程、優先度が高くなるパラメータを加えた演算をして、優先度を算出してもよい。

【0054】

出力部４８は、ログセット生成部４０により生成された複数のログセット、および、優先度算出部４６により算出された複数のログセットのそれぞれの優先度を出力する。なお、出力部４８は、複数のログセットの中から、優先度が上位の１または複数のログセットを選択して出力してもよい。優先度が上位の１または複数のログセットを選択して出力する場合、出力部４８は、優先度を出力しなくてもよい。

【0055】

図１６は、第１実施形態に係るログ推薦装置２０の処理の流れを示すフローチャートである。第１実施形態に係るログ推薦装置２０は、図１６に示す流れで処理を実行する。

【0056】

まず、Ｓ１１において、ログ推薦装置２０は、１または複数の脅威事象を示す脅威情報を取得する。

【0057】

続いて、Ｓ１２において、ログ推薦装置２０は、脅威情報に示された１または複数の脅威事象のうち、未処理の脅威事象が有るか否かを判断する。未処理の脅威事象が有る場合（Ｓ１２のＹｅｓ）、ログ推薦装置２０は、処理をＳ１３に進める。

【0058】

Ｓ１３において、ログ推薦装置２０は、脅威情報に示された１または複数の脅威事象のうちの１つを処理対象の脅威事象とし、処理対象の脅威事象について、１または複数の攻撃による攻撃手順を示す手順情報を取得する。続いて、Ｓ１４において、ログ推薦装置２０は、取得した手順情報に示された１または複数の攻撃のうちの、処理対象の脅威事象を検出するために検出すべき１または複数の検出対象攻撃を特定して、攻撃情報に追加する。ログ推薦装置２０は、Ｓ１４の処理を終えると、処理をＳ１２に戻し、未処理の脅威事象が無くなるまで、Ｓ１３およびＳ１４の処理を繰り返す。未処理の脅威事象が無くなった場合（Ｓ１２のＮｏ）、ログ推薦装置２０は、処理をＳ１５に進める。

【0059】

Ｓ１５において、ログ推薦装置２０は、攻撃－ログデータベースを参照して、攻撃情報に示される複数の検出対象攻撃のそれぞれ毎に、攻撃を検出することが可能な検出可能ログを取得して、攻撃－ログテーブルを生成する。

【0060】

続いて、Ｓ１６において、ログ推薦装置２０は、攻撃－ログテーブルに基づき、それぞれが複数の検出対象攻撃の全てを検出可能な１または複数の検出可能ログの組み合わせを示す複数のログセットを生成する。

【0061】

続いて、Ｓ１７において、ログ推薦装置２０は、複数の制約要因のそれぞれの重みをユーザから受け付ける。この場合、ログ推薦装置２０は、複数の制約要因のそれぞれに対して重みが割り当てられた複数の選択肢の中から、ユーザに何れかの１つ選択肢を選択させてもよい。

【0062】

続いて、Ｓ１８において、ログ推薦装置２０は、生成した複数のログセットのうち、未処理のログセットが有るか否かを判断する。未処理のログセットが有る場合（Ｓ１８のＹｅｓ）、ログ推薦装置２０は、処理をＳ１９に進める。

【0063】

Ｓ１９において、ログ推薦装置２０は、生成した複数のログセットのうちの１つを処理対象のログセットとし、処理対象のログセットについて優先度を算出する。ログ推薦装置２０は、Ｓ１９の処理を終えると、処理をＳ１８に戻し、未処理のログセットが無くなるまで、Ｓ１９の処理を繰り返す。未処理のログセットが無くなった場合（Ｓ１８のＮｏ）、ログ推薦装置２０は、処理をＳ２０に進める。

【0064】

Ｓ２０において、ログ推薦装置２０は、生成された複数のログセット、および、優先度算出部４６により算出された複数のログセットのそれぞれの優先度を、複数のログセットのそれぞれに対応付けて出力する。これに代えて、ログ推薦装置２０は、生成された複数のログセットのうち優先度が上位の１または複数のログセットを選択し、選択した１または複数のログセットを出力してもよい。Ｓ２０の処理を終えると、ログ推薦装置２０は、本フローを終了する。

【0065】

以上のような第１実施形態に係るログ推薦装置２０によれば、脅威事象を効率良く検出させる１または複数のログを示すログセットを、機械的に出力することができる。さらに、ログ推薦装置２０は、監視処理に対して制約を与える複数の制約要因の影響を少なくするログセットを出力することができる。また、さらに、ログ推薦装置２０は、複数の制約要因の影響を考慮する重みを、ユーザによる設定に応じて調整することができる。これにより、ログ推薦装置２０によれば、解析困難性、データ発生量および解析コスト等のシステム固有の要件を考慮したログセットが出力することができる。従って、ログ推薦装置２０は、ログを生成したり追加したりするためのリソース制約が大きく、大幅な機能追加をすることが困難な社会インフラシステム等に対して、限られた機能を用いて最大限のセキュリティ対策を実行させることができる。

【0066】

なお、ログ推薦装置２０は、サイバー攻撃等による脅威事象を未然に検出するために限らず、例えば、フォレンジックと呼ばれる攻撃の分析をする場合にも用いることができる。この場合、ログ推薦装置２０は、攻撃を検出することが可能な検出可能ログとして、フォレンジックを行う際にログから得られる情報が十分であるログであればよい。また、ログ推薦装置２０は、故障による脅威事象を未然に検出したり、故障により発生した脅威事象を分析したりする場合にも用いられてもよい。この場合、ログ推薦装置２０は、ログの活用目的に応じて、各データベースおよび優先度の算出アルゴリズムを変更すればよい。

【0067】

（第２実施形態）
つぎに第２実施形態に係る制御システム１０について説明をする。第２実施形態に係る制御システム１０は、図１から図１６を参照して説明した第１実施形態と略同一の機能および構成を有するので、略同一の機能および構成を有する構成要素については同一符号を付けて、相違点を除き詳細な説明を省略する。

【0068】

図１７は、第２実施形態に係るログ推薦装置２０の構成を示す図である。

【0069】

第２実施形態に係るログ推薦装置２０は、攻撃－ログデータベース記憶部３８に代えて、攻撃実行部６２と、ログ検出部６４とを備える。

【0070】

攻撃実行部６２は、動作中の監視対象システム１２に対して複数の攻撃を実行する。例えば、攻撃実行部６２は、データベースに予め登録された攻撃プログラム等を取得して、取得した攻撃プログラムを実行することにより、監視対象システム１２に対して攻撃を実行する。また、攻撃実行部６２は、複数の攻撃のうちの第１の攻撃について、複数の攻撃手法が存在する場合、第１の攻撃を実行する場合に、複数の攻撃手法を同時に実行してもよい。

【0071】

ログ検出部６４は、実行した複数の攻撃のそれぞれ毎に、監視対象システム１２の動作中に記録される複数のログのうちの検出可能ログを検出して、攻撃－ログテーブルを生成する。ログ検出部６４は、攻撃実行部６２による攻撃中において、監視対象システム１２から取得された複数のログのそれぞれを解析して、攻撃を検出できたか否かを判断する。例えば、ログ検出部６４は、攻撃実行部６２による攻撃中において、特定の文字列が検出されたログを検出可能ログとして検出してもよい。また、ログ検出部６４は、複数のログのそれぞれについて通常操作時に出力されるデータを学習しておき、攻撃実行部６２による攻撃中において、学習されていないデータを出力するログを検出可能ログとして検出してもよい。また、ログ検出部６４は、攻撃実行部６２が第１の攻撃において複数の攻撃手法を同時に実行した場合、複数の攻撃手法の全てを検出できるログを、検出可能ログとして検出してもよい。

【0072】

図１８は、第２実施形態に係るログ推薦装置２０の処理の流れを示すフローチャートである。第２実施形態に係るログ推薦装置２０は、図１８に示す流れで処理を実行する。

【0073】

まず、Ｓ１１～Ｓ１４まで、ログ推薦装置２０は、図１６に示す第１実施形態の処理と同一の処理を実行する。ログ推薦装置２０は、未処理の脅威事象が無くなった場合（Ｓ１２のＮｏ）、処理をＳ３１に進める。

【0074】

Ｓ３１において、ログ推薦装置２０は、攻撃情報に示される複数の検出対象攻撃のうち未実行の検出対象攻撃が有るか否かを判断する。未実行の検出対象攻撃が有る場合（Ｓ３１のＹｅｓ）、ログ推薦装置２０は、処理をＳ３２に進める。

【0075】

Ｓ３２において、ログ推薦装置２０は、未実行の検出対象攻撃のうちの１つを対象攻撃として、対象攻撃を動作中の監視対象システム１２に対して実行する。続いて、Ｓ３３において、ログ推薦装置２０は、対象攻撃を実行中において、監視対象システム１２の動作中に記録される複数のログのうちの検出可能ログを検出する。ログ推薦装置２０は、検出可能ログが検出できた場合、検出可能ログを攻撃－ログテーブルに登録する。ログ推薦装置２０は、Ｓ３３の処理を終えると、処理をＳ３１に戻し、未実施の検出対象攻撃が無くなるまで、Ｓ３２およびＳ３３の処理を繰り返す。未実施の検出対象攻撃が無くなった場合（Ｓ３１のＮｏ）、ログ推薦装置２０は、処理をＳ１７に進める。

【0076】

そして、Ｓ１７からＳ２０まで、ログ推薦装置２０は、図１６に示す第１実施形態の処理と同一の処理を実行する。Ｓ２０の処理を終えると、ログ推薦装置２０は、本フローを終了する。

【0077】

第１実施形態においては、攻撃－ログデータベースを参照して攻撃－ログテーブルを生成する。しかし、攻撃によっては予め検出可能ログを決定しておくことが困難な場合もある。第２実施形態に係るログ推薦装置２０は、予め検出可能ログを決定しておくことが困難な攻撃があっても、確実に、脅威事象を検出させる１または複数のログを示すログセットを、機械的に出力することができる。

【0078】

（ハードウェア構成）
図１９は、各実施形態に係るログ推薦装置２０のハードウェア構成の一例を示す図である。ログ推薦装置２０は、例えば図１９に示すようなハードウェア構成のコンピュータにより実現される。ログ推薦装置２０は、ＣＰＵ（Central Processing Unit）３０１と、ＲＡＭ（Random Access Memory）３０２と、ＲＯＭ（Read Only Memory）３０３と、操作入力装置３０４と、表示装置３０５と、記憶装置３０６と、通信装置３０７とを備える。そして、これらの各部は、バスにより接続される。

【0079】

ＣＰＵ３０１は、プログラムに従って演算処理および制御処理等を実行するプロセッサである。ＣＰＵ３０１は、ＲＡＭ３０２の所定領域を作業領域として、ＲＯＭ３０３および記憶装置３０６等に記憶されたプログラムとの協働により各種処理を実行する。

【0080】

ＲＡＭ３０２は、ＳＤＲＡＭ（Synchronous Dynamic Random Access Memory）等のメモリである。ＲＡＭ３０２は、ＣＰＵ３０１の作業領域として機能する。ＲＯＭ３０３は、プログラムおよび各種情報を書き換え不可能に記憶するメモリである。

【0081】

操作入力装置３０４は、マウスおよびキーボード等の入力デバイスである。操作入力装置３０４は、ユーザから操作入力された情報を指示信号として受け付け、指示信号をＣＰＵ３０１に出力する。

【0082】

表示装置３０５は、ＬＣＤ（Liquid Crystal Display）等の表示デバイスである。表示装置３０５は、ＣＰＵ３０１からの表示信号に基づいて、各種情報を表示する。

【0083】

記憶装置３０６は、フラッシュメモリ等の半導体による記憶媒体、または、磁気的若しくは光学的に記録可能な記憶媒体等にデータを書き込みおよび読み出しをする装置である。記憶装置３０６は、ＣＰＵ３０１からの制御に応じて、記憶媒体にデータの書き込みおよび読み出しをする。通信装置３０７は、ＣＰＵ３０１からの制御に応じて外部の機器とネットワークを介して通信する。

【0084】

コンピュータで実行されるプログラムは、脅威入力モジュールと、攻撃情報生成モジュールと、ログセット生成モジュールと、制約入力モジュールと、優先度算出モジュールと、出力モジュールとを含むモジュール構成となっている。さらに、プログラムは、攻撃実行モジュールと、ログ検出モジュールとを含んでもよい。

【0085】

このプログラムは、ＣＰＵ３０１（プロセッサ）によりＲＡＭ３０２上に展開して実行されることにより、コンピュータを脅威入力部３２、攻撃情報生成部３６、ログセット生成部４０、制約入力部４４、優先度算出部４６、および、出力部４８として機能させる。さらに、このプログラムは、攻撃実行部６２およびログ検出部６４としてさらに機能させてもよい。なお、脅威入力部３２、攻撃情報生成部３６、ログセット生成部４０、制約入力部４４、優先度算出部４６、出力部４８、攻撃実行部６２およびログ検出部６４の一部または全部がハードウェア回路で実現されてもよい。また、ＲＡＭ３０２および記憶装置３０６は、手順データベース記憶部３４、攻撃－ログデータベース記憶部３８および制約データベース記憶部４２として機能する。

【0086】

また、コンピュータで実行されるプログラムは、コンピュータにインストール可能な形式または実行可能な形式のファイルで、ＣＤ－ＲＯＭ、フレキシブルディスク、ＣＤ－Ｒ、ＤＶＤ（Digital Versatile Disk）等のコンピュータで読み取り可能な記録媒体に記録されて提供される。

【0087】

また、このプログラムを、インターネット等のネットワークに接続されたコンピュータ上に格納し、ネットワーク経由でダウンロードさせることにより提供するように構成してもよい。また、このプログラムをインターネット等のネットワーク経由で提供または配布するように構成してもよい。また、ログ推薦装置２０で実行されるプログラムを、ＲＯＭ３０３等に予め組み込んで提供するように構成してもよい。

【0088】

本発明のいくつかの実施形態を説明したが、これらの実施形態は、例として提示したものであり、発明の範囲を限定することは意図していない。これら新規な実施形態は、その他の様々な形態で実施されることが可能であり、発明の要旨を逸脱しない範囲で、種々の省略、置き換え、変更を行うことができる。これら実施形態やその変形は、発明の範囲や要旨に含まれるとともに、特許請求の範囲に記載された発明とその均等の範囲に含まれる。

【符号の説明】

【0089】

１０ 制御システム
１２ 監視対象システム
１４ 記録装置
１６ 監視装置
２０ ログ推薦装置
３２ 脅威入力部
３４ 手順データベース記憶部
３６ 攻撃情報生成部
３８ 攻撃－ログデータベース記憶部
４０ ログセット生成部
４２ 制約データベース記憶部
４４ 制約入力部
４６ 優先度算出部
４８ 出力部
５２ 攻撃－ログテーブル生成部
５４ 組合せ部
６２ 攻撃実行部
６４ ログ検出部

【図1】

【図2】

【図3】

【図4】

【図5】

【図6】

【図7】

【図8】

【図9】

【図10】

【図11】

【図12】

【図13】

【図14】

【図15】

【図16】

【図17】

【図18】

【図19】