特許ウォッチ

公開番号2024092669
公報種別公開特許公報(A)
公開日2024-07-08
出願番号2022208773
出願日2022-12-26
発明の名称情報処理装置、情報処理方法、及びプログラム
出願人日本電気株式会社
代理人弁理士法人ブライタス
主分類G06F 21/55 20130101AFI20240701BHJP(計算;計数)
要約【課題】サイバー攻撃を受けたマシン群から収集したログの中から、人手によることなく、インシデントの痕跡を特定する。
【解決手段】情報処理装置10は、サイバー攻撃を受けた計算システムからログの集合を取得し、取得したログの集合から、サイバー攻撃の実行履歴を示す履歴データを用いて、サイバー攻撃の結果を示す痕跡を特定する、痕跡特定部11を備えている。
【選択図】図1
特許請求の範囲【請求項１】
サイバー攻撃を受けた計算システムからログの集合を取得し、取得した前記ログの集合から、前記サイバー攻撃の実行履歴を示す履歴データを用いて、前記サイバー攻撃の結果を示す痕跡を特定する、痕跡特定部を備えている、
ことを特徴とする情報処理装置。
続きを表示（約 1,300 文字）【請求項２】
前記計算システム上で、複数の工程で構成されたサイバー攻撃を実行し、そして、前記履歴データを生成する、攻撃実行部を、
更に備えている、
請求項１に記載の情報処理装置。
【請求項３】
前記履歴データが、前記サイバー攻撃の工程毎の攻撃コマンドを含み、
前記痕跡特定部が、
前記履歴データを、攻撃コマンド毎に当該攻撃コマンドによる攻撃の痕跡を示す情報が登録されているテンプレートに照合して、前記履歴データに含まれる前記攻撃コマンドによる攻撃の痕跡を示す情報を特定し、特定した前記情報に基づいて、前記ログの集合から、前記サイバー攻撃の痕跡を特定する、
請求項１または２に記載の情報処理装置。
【請求項４】
特定された前記痕跡を予め設定された正解条件に照合し、照合結果に基づいて、特定された前記痕跡が正解であるかどうかを判定する、正解判定部を、
更に備えている、
請求項１に記載の情報処理装置。
【請求項５】
前記正解条件が、痕跡のタイプの組合せで表されており、
前記正解判定部は、特定された前記痕跡のタイプ全てが、前記正解条件に表されている前記組合せに含まれている場合に、特定された前記痕跡が正解であると判定する、
請求項４に記載の情報処理装置。
【請求項６】
外部情報として入力された１以上のサイバー攻撃の痕跡と、前記痕跡特定部によって特定された痕跡、又は前記正解判定部によって正解と判定された痕跡と、を照合し、双方の痕跡が整合する割合に基づいて、スコアを算出する、外部情報評価部を、
更に備えている、
請求項４に記載の情報処理装置。
【請求項７】
サイバー攻撃を受けた計算システムからログの集合を取得し、取得した前記ログの集合から、前記サイバー攻撃の実行履歴を示す履歴データを用いて、前記サイバー攻撃の結果を示す痕跡を特定する、痕跡特定ステップを有する、
ことを特徴とする情報処理方法。
【請求項８】
前記計算システム上で、複数の工程で構成されたサイバー攻撃を実行し、そして、前記履歴データを生成する、攻撃実行ステップを、
更に有する、
請求項７に記載の情報処理方法。
【請求項９】
前記履歴データが、前記サイバー攻撃の工程毎の攻撃コマンドを含み、
前記痕跡特定ステップにおいて、
前記履歴データを、攻撃コマンド毎に当該攻撃コマンドによる攻撃の痕跡を示す情報が登録されているテンプレートに照合して、前記履歴データに含まれる前記攻撃コマンドによる攻撃の痕跡を示す情報を特定し、特定した前記情報に基づいて、前記ログの集合から、前記サイバー攻撃の痕跡を特定する、
請求項７または８に記載の情報処理方法。
【請求項１０】
特定された前記痕跡を予め設定された正解条件に照合し、照合結果に基づいて、特定された前記痕跡が正解であるかどうかを判定する、正解判定ステップを、
更に有する、
請求項７に記載の情報処理方法。
（【請求項１１】以降は省略されています）
発明の詳細な説明【技術分野】
【０００１】
本開示は、サイバー攻撃に対する訓練の支援を行うための、情報処理装置、及び情報処理方法に関し、更には、これらを実現するためのプログラムに関する。
続きを表示（約 1,300 文字）【背景技術】
【０００２】
近年、組織を標的としたサイバー攻撃により、情報漏洩、事業停止といった被害が増加しており、サイバー攻撃に対する対策の強化が求められている。そして、サイバー攻撃に対する対策を強化するためには、システムのセキュリティ担当者のスキルの向上が不可欠となる。
【０００３】
このため、従来から、セキュリティ担当者のスキルを向上させるために、サイバーセキュリティ演習が行われている。特許文献１は、サイバーセキュリティ演習を実行するためのシステムを開示している。特許文献１は、受講者のスキルに合わせてサイバーセキュリティ演習を実施するシステムを提案している。
【０００４】
特許文献１に開示されたシステムは、まず、攻撃対象となるマシン群において、各マシンに攻撃実行用プログラムを配備する。そして、特許文献１に開示されたシステムは、予め用意されたシナリオに沿って、各攻撃実行用プログラムを制御し、攻撃対象となるマシン群に対して、サイバー攻撃を実行する。サイバー攻撃が実行されると、受講者は、サイバー攻撃の実行を阻止するための操作を実行する。
【０００５】
その後、特許文献１に開示されたシステムは、各マシンから、サイバー攻撃の結果（成功／失敗）を示す攻撃結果ログと、サイバー攻撃中に受講者が行った対応操作を示す操作ログとを収集し、収集したログを表示画面に表示する。これにより、受講者は、自身が行った操作が適切であったかどうかを判断することができる。
【先行技術文献】
【特許文献】
【０００６】
特開２０１９－１９１６７０号公報
【発明の概要】
【発明が解決しようとする課題】
【０００７】
ところで、サイバー攻撃は、セキュリティ担当者に気付かれないように実行されることが多く、サイバー攻撃の実行時に担当者が対応操作を実行できないことがある。このような場合は、各マシンからログを収集し、収集したログに基づいて、インシデントの痕跡となるログ（以下「攻撃ログ」と表記する）を見つけ出すことが重要となる。
【０００８】
従って、上述した特許文献１に開示されたシステムによってサイバー攻撃を実行し、その後、各マシンからログを収集し、収集したログを提示すれば、受講者は、インシデントの痕跡となる攻撃ログを見つけ出す訓練も行うことができる。
【０００９】
しかしながら、上述した特許文献１に開示されたシステムでは、収集したログを提示するまでしか行えないため、受講者は、自身が攻撃ログとして抽出したログが本当に攻撃ログに該当するかどうかを自らで調査して判断する必要がある。この場合、受講者にとっては大きな負担である。受講者が効率良くスキルを向上させるためには、収集したログのなから、演習の正解となる攻撃ログを自動的に抽出するシステムが必要となる。
【００１０】
本開示の目的の一例は、サイバー攻撃を受けたマシン群から収集したログの中から、人手によることなく、インシデントの痕跡を特定することにある。
【課題を解決するための手段】
（【００１１】以降は省略されています）

関連特許