JP7164016B2 - 分析システム、方法およびプログラム - Google Patents

Description

本発明は、診断対象システムへの攻撃に対する対処に関する判断材料となる情報を表示する分析システム、分析方法および分析プログラムに関する。

複数のコンピュータ等を含む情報処理システムにおいて、情報資産をサイバー攻撃等から守るためのセキュリティ対策をとることが求められている。セキュリティ対策としては、対象となるシステムの脆弱性等を診断し、必要に応じて脆弱性を取り除くこと等が挙げられる。

特許文献１には、脅威データベースを有するソフトウェア開発システムが記載されている。特許文献１に記載されているソフトウェア開発システムは、開発対象の設計情報から作成された制御モデルであって開発対象を模擬した実行可能モデルである制御モデルの個々の構成要素に対して、脅威データベースから該当する脅威のデータを抽出する。脅威のデータを抽出することによって、特許文献１に記載されているソフトウェア開発システムは、制御モデルに対する複数の脅威を示す脅威一覧のデータを作成して出力する。

また、特許文献２には、攻撃が開始される前に発生する恐れのある攻撃の全容を把握することの可能な不正アクセス検知装置が記載されている。特許文献２に記載されている不正アクセス検知装置は、発生する恐れのある分散型サービス不能化攻撃の全容を把握できる。

また、特許文献３には、利用者のシステムに関連する脆弱性について直観的にわかりやすく利用者に提示することで、利用者が適切な対策を積極的に行うことを補助する脆弱性分析装置が記載されている。

また、特許文献４には、技術的観点だけではなくビジネスの観点からも、脆弱性が情報処理システムにもたらすリスクを評価できるようにした脆弱性リスク評価システムが記載されている。

特開２０１７－６８８２５号公報 特開２００５－３４１２１７号公報 特開２０１４－１３０５０２号公報 特開２０１７－２２４０５３号公報

セキュリティ診断の対象となるシステムを、診断対象システムと記す。また、診断対象システムにおいて実行可能な攻撃の流れを攻撃ルートと記す。

セキュリティに関する対策をとるために、各脆弱性による影響を評価することが一般的である。

しかし、診断対象システムの構成は、診断対象システム毎にそれぞれ異なるので、脆弱性による影響の評価のみでは、攻撃による診断対象システムへの影響を把握することは困難である。

また、攻撃ルート上の機器が攻撃を受けた場合、具体的にどのような被害が発生する可能性があるかをセキュリティ管理者が容易に把握できることが好ましい。

そこで、本発明は、攻撃ルート上の機器が攻撃を受けたときに発生する可能性がある被害を分析できる分析システム、分析方法および分析プログラムを提供することを目的とする。

本発明による分析システムは、診断対象システムに含まれる機器のネットワークトポロジを特定するトポロジ特定部と、機器に関するセキュリティの情報に基づいて、診断対象システムにおいて、実行可能な攻撃の流れを示す第１攻撃ルートを検出する検出部と、第１攻撃ルート上の機器が攻撃された場合に受ける被害内容を示す被害情報を特定する被害特定部とを備え、検出部は、被害内容に起因して実行可能な攻撃の流れを示す第２攻撃ルートを、セキュリティの情報と特定された被害情報とに基づいて検出することを特徴とする。

本発明による分析方法は、コンピュータが、診断対象システムに含まれる機器のネットワークトポロジを特定し、機器に関するセキュリティの情報に基づいて、診断対象システムにおいて、実行可能な攻撃の流れを示す第１攻撃ルートを検出し、第１攻撃ルート上の機器が攻撃された場合に受ける被害内容を示す被害情報を特定し、被害内容に起因して実行可能な攻撃の流れを示す第２攻撃ルートを、セキュリティの情報と特定された被害情報とに基づいて検出することを特徴とする。

本発明による分析プログラムは、コンピュータに、診断対象システムに含まれる機器のネットワークトポロジを特定するトポロジ特定処理、機器に関するセキュリティの情報に基づいて、診断対象システムにおいて、実行可能な攻撃の流れを示す第１攻撃ルートを検出する第１検出処理、第１攻撃ルート上の機器が攻撃された場合に受ける被害内容を示す被害情報を特定する被害特定処理、および被害内容に起因して実行可能な攻撃の流れを示す第２攻撃ルートを、セキュリティの情報と特定された被害情報とに基づいて検出する第２検出処理を実行させることを特徴とする。

本発明によれば、攻撃ルート上の機器が攻撃を受けたときに発生する可能性がある被害を分析できる。

本発明の第１の実施形態の分析システムの例を示すブロック図である。 トポロジ特定部によって特定されるネットワークトポロジの例を示す模式図である。 「機器と攻撃状態との組合せ」の複数の遷移関係を示す情報の例を示す模式図である。 リスク情報記憶部に記憶されている情報の例を示す模式図である。 被害情報記憶部が記憶する情報の例を示す模式図である。 第１の実施形態における第１攻撃ルートの表示例を示す模式図である。 第１の実施形態における第１攻撃ルートの他の表示例を示す模式図である。 第１の実施形態における第２攻撃ルートの表示例を示す模式図である。 第１の実施形態における第１攻撃ルートと第２攻撃ルートの表示例を示す模式図である。 第１の実施形態における第１攻撃ルートと第２攻撃ルートの他の表示例を示す模式図である。 第１の実施形態における第２攻撃ルートの他の表示例を示す模式図である。 第１の実施形態の分析システムの処理経過の例を示すフローチャートである。 本発明の実施形態の分析システムに係るコンピュータの構成例を示す概略ブロック図である。 本発明の分析システムの概要を示すブロック図である。

以下、本発明の実施形態を図面を参照して説明する。

実施形態１．
図１は、本発明の第１の実施形態の分析システムの例を示すブロック図である。第１の実施形態の分析システム１は、データ収集部２と、データ記憶部３と、トポロジ特定部４と、検出部５と、表示制御部６と、ディスプレイ装置７と、被害特定部８と、リスク情報記憶部９と、被害情報記憶部１０とを備える。

本実施形態における分析システム１として、診断対象システムを仮想化し、各機器の情報等に基づいてシミュレーションを行うことによって、診断対象システムの分析を行う分析システムが想定されている。

データ収集部２は、診断対象システム（セキュリティ診断の対象となるシステム）に含まれる各機器に関する情報を収集する。

診断対象システムの例として、例えば、企業内のＩＴ（Information Technology）システムや、工場やプラント等を制御するためのいわゆるＯＴ（Operational Technology）システム等が挙げられる。ただし、診断対象システムは、これらのシステムに限られない。複数の機器が通信ネットワークを介して接続されたシステムが、診断対象システムとなり得る。

診断対象システムに含まれる各機器は、通信ネットワークを介して接続されている。診断対象システムに含まれる機器の例として、例えば、パーソナルコンピュータ、サーバ、スイッチ、ルータ、工場に設置される工作機器、工作機器の制御装置等が挙げられる。ただし、機器は、上記の例に限定されない。また、機器は、物理的な機器であっても、仮想的な機器であってもよい。

データ収集部２が収集する情報の例として、例えば、機器に搭載されているＯＳ（Operating System）やそのバージョン情報、機器に搭載されているハードウェアの構成情報、機器に搭載されているソフトウェアやそのバージョン情報、機器が他の機器との間で授受する通信データやその通信データの授受に用いた通信プロトコルの情報、機器のポートの状態を示す情報（どのポートが開いているか）等が挙げられる。通信データには、その通信データの送信元や送信先の情報が含まれている。ただし、データ収集部２が収集する情報の例は、上記の例に限定されない。データ収集部２は、機器に関する情報として、他の情報を収集してもよい。

データ収集部２は、診断対象システムに含まれる各機器から、直接、機器に関する情報を収集してもよい。この場合、分析システム１が各機器と通信ネットワークを介して接続されていれば、データ収集部２は、通信ネットワークを介して、各機器から情報を収集すればよい。

あるいは、データ収集部２は、各機器の情報を収集する情報収集サーバから、各機器に関する情報を取得してもよい。この場合、分析システム１が情報収集サーバと通信ネットワークを介して接続されていれば、データ収集部２は、通信ネットワークを介して、情報収集サーバから各機器に関する情報を収集すればよい。

また、各機器にエージェントが搭載されている場合には、データ収集部２は、エージェントを介して各機器に関する情報を収集してもよく、エージェントを介して各機器の情報を収集した情報収集サーバから各機器に関する情報を取得してもよい。

各機器に搭載されたエージェントがそれぞれ、機器に関する情報を情報収集サーバに送信してもよい。また、データ収集部２は、その情報収集サーバから、診断対象システムに含まれる各機器に関する情報を収集してもよい。この場合、例えば、分析システム１が情報収集サーバと通信ネットワークを介して接続されていれば、データ収集部２は、通信ネットワークを介して、その情報収集サーバから各機器に関する情報を収集すればよい。

データ収集部２は、診断対象システムに含まれる各機器に関する情報を収集すると、その情報を、データ記憶部３に記憶させる。

データ記憶部３は、データ収集部２が収集した各機器に関する情報を記憶する記憶装置である。

トポロジ特定部４は、各機器のネットワークトポロジを特定する。具体的には、トポロジ特定部４は、セキュリティ管理者（以下、単に管理者と記す。）から与えられたネットワークトポロジの構成を基に、各機器のネットワークトポロジを特定してもよい。また、トポロジ特定部４は、データ記憶部３に記憶された各機器に関する情報を基に、各機器のネットワークトポロジを特定してもよい。図２は、トポロジ特定部４によって特定されるネットワークトポロジの例を示す模式図である。図２は、複数の機器が通信ネットワークを介して接続されている状況を示している。

検出部５は、データ記憶部３に記憶された各機器に関するセキュリティの情報に基づいて、診断対象システムにおける攻撃ルートを検出する。具体的に、機器に関するセキュリティの情報は、機器に関するセキュリティ対応状況等を含む。以下、後述する被害情報が使用されずに検出される攻撃ルートを第１攻撃ルートと記す場合がある。

上述したように、攻撃ルートは、診断対象システムにおいて、実行可能な攻撃の流れを示すものである。具体的には、攻撃ルートは、攻撃の起点となる機器から攻撃の終点となる機器までの、攻撃を受ける機器の順を示すルートである。

検出部５は、各機器に関するセキュリティの情報と、予め定められた分析ルールとに基づいて、攻撃ルートを検出してもよい。

また、例えば、検出部５は、以下に示す方法で攻撃ルートを検出してもよい。

まず、攻撃には複数の種類があり、機器の有する脆弱性に応じて、受ける可能性がある攻撃が異なる。そこで、本発明の実施形態では、脆弱性によって攻撃を受ける可能性がある機器の状態を攻撃状態と定義する。例えば、攻撃状態として、「コードを実行できる状態（以下、execCodeと記す。）」、「データを改ざんできる状態（以下、dataInjectと記す。）」、「ファイルにアクセスできる状態（以下、accessFileと記す。）」、「アカウント情報を持っている状態（以下、hasAccountと記す。）」、「ＤｏＳ（Denial of Service ）攻撃を行える状態」等が挙げられる。

また、「機器と攻撃状態との組合せ」から別の「機器と攻撃状態との組合せ」への遷移を示す情報を攻撃シナリオと称することとする。「機器と攻撃状態との組合せ」から別の「機器と攻撃状態との組合せ」への遷移とは、ある機器にてある攻撃が可能になることで、その機器または別の機器で別のある攻撃が可能になることを示すものである。検出部５は、各機器に関するセキュリティの情報と、予め定められた分析ルールとに基づいて、診断対象システムで起こり得る攻撃シナリオを検出する。検出部５は、検出した複数の攻撃シナリオにおいて、「機器と攻撃状態との組合せ」をノードとみなし、共通のノードを繋げることで、「機器と攻撃状態との組合せ」の複数の遷移関係を示す情報を得る。図３は、この情報の例を模式的に示す模式図である。図３において、“Ａ”，“Ｂ”，“Ｕ”，“Ｗ”，“Ｘ”，“Ｙ”，“Ｚ”はそれぞれ機器を表している。ここでは、図３に示す情報が得られた場合を例に説明する。

また、検出部５は、ユーザインタフェース（図示略）を介して、管理者から、分析対象の指定を受け付ける。分析対象は、攻撃の起点となる機器、攻撃の終点となる機器、および、それらの組み合わせ等でもよい。また、複数の分析対象の指定があってもよい。検出部５は、管理者から指定された分析対象に関して、「機器と攻撃状態との組合せ」の複数の遷移関係を示す情報（図３参照）に基づいて、攻撃ルートを検出する。

例えば、攻撃の起点となる機器Ｘと攻撃の終点となる機器Ｚとが管理者によって指定された場合、検出部５は、図３に模式的に示す情報に基づいて、「Ｘ→Ａ→Ｙ→Ｚ」という攻撃ルート（以下、攻撃ルート１と記す。）、および、「Ｘ→Ａ→Ｂ→Ｚ」という攻撃ルート（以下、攻撃ルート２と記す。）を検出することができる。このように、１つの起点および１つの終点が指定された場合であっても、複数の攻撃ルートが存在することもあり得る。

また、例えば、攻撃の起点となる機器Ｘと攻撃の終点となる機器Ｗとが管理者によって指定された場合、検出部５は、図３に模式的に示す情報に基づいて、「Ｘ→Ａ→Ｙ→Ｗ」という攻撃ルートを検出することができる。

この方法は、検出部５が攻撃ルートを検出する方法の一例である。

上記の方法において、異なる攻撃ルート上に共通の機器が存在する場合であっても、その機器の攻撃状態が同一であるとは限らない。機器が複数の脆弱性を有していたり、１つの脆弱性によって複数の攻撃を受けてしまう可能性もあるため、異なる攻撃ルート上の共通の機器の攻撃状態が異なる場合がある。例えば、上記の攻撃ルート１では、機器Ａの攻撃状態は“dataInject”である。また、上記の攻撃ルート２では、機器Ａの攻撃状態は“hasAccount”である（図３参照）。

また、管理者に指定された分析対象に対して、必ず攻撃ルートが検出されるとは限らない。例えば、攻撃の起点となる機器Ｚと攻撃の終点となる機器Ｘとが管理者によって指定された場合、攻撃ルートは検出されない（図３参照）。すなわち、機器Ｚから機器Ｘに至る攻撃は存在しないということである。

また、管理者が起点のみを指定する場合、検出部５は、重要機器を終点として設定してもよい。また、管理者が終点のみを指定する場合、検出部５は、起点となりうる可能性の高い所定の端末を起点として設定してもよい。

被害特定部８は、攻撃ルート上の機器毎に、被害情報を特定する。被害特定部８は、この処理を、攻撃ルート毎に行う。ただし、攻撃ルート上には、被害情報が特定されない機器が存在していてもよい。

以下、被害特定部８が１つの攻撃ルートの機器毎に被害情報を特定する方法の例を説明する。被害特定部８は、着目している攻撃ルートの機器毎に、脆弱性と、機器の機能とを特定する。

機器の脆弱性の特定方法として、被害特定部８は、着目している攻撃ルート上の機器毎に、機器に搭載されている各ソフトウェアを確認し、リスク情報記憶部９に記憶されているリスクテーブル（図４参照）を参照することによって、機器に搭載されている各ソフトウェアに対応する各脆弱性を判定する。さらに、被害特定部８は、着目している攻撃ルート上の機器毎に、判定した脆弱性の中から、攻撃ルートに応じた脆弱性を特定する。

リスク情報記憶部９に記憶されている情報について説明する。図４は、リスク情報記憶部９に記憶されている情報の例を示す模式図である。

種々のソフトウェアと種々のセキュリティ上の脆弱性との関係は予め定められている。リスク情報記憶部９は、種々のソフトウェアと種々の脆弱性との関係を示す情報を、例えば、テーブル形式で記憶する（図４に示すテーブルを参照）。以下、ソフトウェアと脆弱性との関係を示すテーブルをリスクテーブルと記す。管理者は、リスクテーブルを予めリスク情報記憶部９に記憶させておけばよい。

セキュリティ上の脆弱性は、大きく２種類に分類される。第１の脆弱性は、ソフトウェアや機器（ルータ等）の不具合が原因の脆弱性である。この脆弱性については、様々な機関によって情報が収集または分類される。脆弱性は、適宜、採番される。一例として、共通脆弱性識別子ＣＶＥ（Common Vulnerabilities and Exposures）では、発見された脆弱性に対して“CVE-****-**** ”という形式の識別子が割り当てられる。第２の脆弱性は、プロトコルの仕様が原因の脆弱性である。このような脆弱性の例として、「ＦＴＰ（File Transfer Protocol）の悪用」、「Telnetの悪用」等が挙げられる。本発明の実施形態において、脆弱性は、この第１の脆弱性および第２の脆弱性を含む。

また、被害特定部８は、例えば、以下のように各機器の機能を特定する。

予め、機器の機能に応じた条件が定められている。例えば、「アカウントサーバ機能」に対しては、「アカウントサーバ用のソフトウェアが搭載されている」、「所定のプロトコルで他の機器と通信データを授受する機器である」、あるいは、「所定のポートが開いた状態になっている」という条件のいずれか１つ、あるいは、２つ以上が予め定められている。

また、例えば、「人事情報管理サーバ機能」に対しては、「人事情報管理サーバ用のソフトウェアが搭載されている」という条件が予め定められている。

被害特定部８は、機能を特定しようとしている機器に関する情報を参照し、その情報がどの機能に応じた条件を満たしているのかを判定することによって、その機器の機能を特定すればよい。なお、被害特定部８は、機器に関する情報がどの機能に応じた条件も満たしていないならば、その機器の機能として、「該当する機能なし」という結果を導出してもよい。

上記のような方法で、被害特定部８は、着目している攻撃ルート上の各機器の機能を特定する。

ただし、被害特定部８は、他の方法で機器の機能を特定してもよい。例えば、被害特定部８は、攻撃ルート上の各機器の機能の指定を、ユーザインタフェース（図示略）を介して管理者から受け付けることによって、攻撃ルート上の各機器の機能を特定してもよい。

また、被害特定部８は、通信ネットワーク上に流れているデータを基に、機器の機能を特定してもよい。例えば、被害特定部８は、任意の機器から送信されたパケットを解析することによって、任意の機器がクラウドコンピューティングで実現されている経理システムにアクセスする機能を有していると特定できる。

なお、被害特定部８は、通信ネットワーク上で流れているデータを基に、任意の機器がアクセスしているポートや、任意の機器が実行している認証方法（例えば、Kerberos認証）を推測してもよい。

被害特定部８は、着目している攻撃ルート上の１つの機器に関して、脆弱性および機能を特定したならば、その機能に合致するレコードを被害情報記憶部１０が記憶しているテーブル（図５参照）から検索する。

被害情報記憶部１０は、機器の機能に応じた被害情報（攻撃された場合に受ける被害内容を示す情報）を記憶する記憶装置である。図５は、被害情報記憶部１０が記憶する情報の例を示す模式図である。

被害情報記憶部１０は、例えば、図５に例示するように、機器の機能と、攻撃種類と、被害情報とを対応付けたテーブルを記憶する。攻撃種類は、機器の機能が特定されることにより、特定される。

該当するレコードがあれば、被害特定部８は、そのレコードに含まれている被害情報を読み込み、読み込んだ被害情報を、その機器の被害情報として特定する。該当するレコードがなければ、被害特定部８は、その機器の被害情報はないと判定する。被害特定部８は、着目している攻撃ルート上の各機器に対して、この動作を行う。この結果、着目している攻撃ルート上の各機器の被害情報が定まる。

被害特定部８は、攻撃ルート毎に上記と同様の動作を行い、各攻撃ルート上の各機器の被害情報を特定する。ただし、前述のように、被害情報が特定されない機器が存在していてもよい。

以上の説明では、被害特定部８が機器の機能に基づいて被害情報を定める場合を示した。他にも被害特定部８は、機器の機能と機器の脆弱性に基づいて被害情報を特定してもよく、攻撃種類等に基づいて特定してもよい。さらに、被害特定部８は、機器の機能と攻撃状態との組から被害情報を特定してもよい。

表示制御部６は、トポロジ特定部４によって特定されたネットワークトポロジに重畳させて攻撃ルートをディスプレイ装置７上に表示する。図６は、第１の実施形態における第１攻撃ルートの表示例を示す模式図である。

図６に示す例では、表示制御部６は、「機器ａ→機器ｃ→機器ｂ」という攻撃ルート（以下、符号“５０”で表し、攻撃ルート５０と記す。）を表示している。また、表示制御部６は、「機器ｄ→機器ｅ」という攻撃ルート（以下、符号“５１”で表し、攻撃ルート５１と記す。）も表示している。

なお、ディスプレイ装置７は、情報を表示する装置であり、一般的なディスプレイ装置でよい。なお、分析システム１がクラウド上に存在する場合には、ディスプレイ装置７は、クラウドに接続される端末のディスプレイ装置等であってもよい。

また、表示制御部６は、各攻撃ルートを表示するとともに、被害情報が特定された機器の近傍に被害情報（すなわち、攻撃された場合に受ける被害内容を示す情報）を表示してもよい。図７は、第１の実施形態における第１攻撃ルートの他の表示例を示す模式図である。

図７に示す例では、前述の攻撃ルート５０上の機器ｃ，ｂについて、それぞれ被害情報が特定され、表示制御部６が、ディスプレイ装置７上に表示した機器ｃ，ｂそれぞれの近傍に、対応する被害情報を表示した状態を示している。ここで、表示制御部６は、各攻撃ルートを表示するとともに、機器の近傍にその機器が有する脆弱性等のセキュリティに関する情報を併せて表示してもよい。

なお、表示制御部６は、被害情報が示す被害内容の大きさに応じて文字、ポップアップの大きさ、色を変えてもよい。例えば、予め、被害情報の内容にランクを付しておき、表示制御部６は、被害情報を表示するときに、そのランクに応じて、文字、ポップアップの大きさ、色を定めてもよい。

また、被害情報の表示態様は、上記の例に限定されない。例えば、表示制御部６は、被害情報が特定された機器の近傍に、その機器に関する被害情報があることを表わすアイコンを表示してもよい。そして、表示制御部６は、そのアイコンがマウス等によってクリックされた場合に、その機器に関する被害情報を表示してもよい。あるいは、表示制御部６は、そのアイコンがマウスオーバ状態になったときに、その機器に関する被害情報を表示してもよい（ロールオーバ）。また、表示制御部６は、被害情報をポップアップ表示し、マウス等による操作に応じて、そのポップアップ表示の大きさを変化させてもよい。

被害特定部８が特定した任意の機器における被害情報を基に、検出部５は、任意の機器が攻撃を受けたときの攻撃ルートをさらに検出する。以下、被害内容に起因して実行可能な攻撃の流れを示す攻撃ルートを第２攻撃ルートと記す場合がある。本実施形態の検出部５は、攻撃を受けた被装置の役割に応じて、被害内容をより具体的に予測する。

例えば、上記の例で機能が「アカウントサーバ機能」と特定された機器ｃは、ID管理サーバである可能性がある。ID管理サーバが攻撃を受けると、管理されている個人情報と認証情報の組（例えば、IDとパスワードの組）が流出する。

IDとパスワードが盗まれた場合、認証情報が求められる攻撃が成立する可能性がある。具体的には、IDとパスワードが盗まれた場合、機器ｃが管理しているIDとパスワードをログインに要する機器への攻撃、またはその機器からの攻撃が、理論的には成立する可能性がある。ただし、盗まれたIDの権限が管理者権限ではなく一般権限であった場合には、その限りではない。

例えば、データ収集部２が各機器間のデータフローに関する情報を収集した場合、検出部５は、機器ｃにログイン用のIDとパスワードを登録している機器を推定できる。

次いで、検出部５は、特定された被害情報を基に、第２攻撃ルートを検出する。具体的には、機器ｃが管理しているIDとパスワードが盗まれた場合に、検出部５は、盗まれたIDとパスワードを利用して実行可能な攻撃の流れを示す攻撃ルートである第２攻撃ルートを特定する。

第２攻撃ルートを特定する際も、検出部５は、収集されたデータフローに関する情報を用いてもよい。なお、第２攻撃ルートは、検出部５に予め管理者から与えられていてもよい。また、第１攻撃ルートと第２攻撃ルートは、基本的に異なる攻撃ルートであるが、同一の攻撃ルートでもよい。

図８は、第１の実施形態における第２攻撃ルートの表示例を示す模式図である。図８に示す表示例は、機器ｃが攻撃を受けたときの攻撃ルートを表示するように管理者から指示を受けた表示制御部６がディスプレイ装置７に表示する例である。

なお、表示制御部６は、例えば第１攻撃ルート上の各機器の指定を、グラフィカルユーザインタフェース（Graphical User Interface）（図示略）を介して管理者から受け付ける。

図８に示す例では、表示制御部６は、「機器ｆ→機器ｇ」という攻撃ルート（以下、符号“５２”で表し、攻撃ルート５２と記す。）、「機器ｈ→機器ｉ」という攻撃ルート（以下、符号“５３”で表し、攻撃ルート５３と記す。）、「機器ｊ→機器ｋ」という攻撃ルート（以下、符号“５４”で表し、攻撃ルート５４と記す。）をそれぞれ表示している。すなわち、本例では機器ｃが機器ｆ、機器ｈ、機器ｊそれぞれへのログインに要するIDとパスワードを管理していたため、検出部５は、図８に示す攻撃ルート５２、５３、５４を特定した。

また、攻撃ルート（第１攻撃ルート）上の重要な機器が指定された場合、表示制御部６は、指定されたサーバを強調して表示してもよい。図８に示すように、重要な機器である機器ｃは、破線の矩形で強調されて表示されている。

なお、表示制御部６は、第１攻撃ルートと第２攻撃ルートを併せて表示してもよいし、第２攻撃ルートだけを表示してもよい。表示制御部６は、例えば図９に示すように、ディスプレイ装置７が表示する２つの画面それぞれに第１攻撃ルートと第２攻撃ルートを分けて表示する。図９は、第１の実施形態における第１攻撃ルートと第２攻撃ルートの表示例を示す模式図である。

併せて表示する場合、表示制御部６は、例えば図１０に示すように、ディスプレイ装置７が表示する１つの画面に第１攻撃ルートと第２攻撃ルートを併せて表示する。図１０は、第１の実施形態における第１攻撃ルートと第２攻撃ルートの他の表示例を示す模式図である。

なお、表示制御部６は、太さや色を変える等の方法で、第１攻撃ルートと第２攻撃ルートを区別して表示する。図１０に示す例では、第１攻撃ルートの方が第２攻撃ルートよりも太く表示されている。また、表示制御部６は、管理者からの指示に従って、第１攻撃ルートと第２攻撃ルートの表示方法を切り替えてもよい。

また、表示制御部６は、第１攻撃ルートのうち、より多くの第２攻撃ルートの検出に関連する第１攻撃ルートを特に強調して表示してもよい。強調されて表示されると、管理者は、強調された第１攻撃ルートが示す攻撃を防ぐことができれば、より多くの第２攻撃ルートが示す攻撃も併せて防ぐことができる可能性があると認識できる。

また、表示制御部６は、対応する第２攻撃ルートが存在しない第１攻撃ルートを、強調せずに表示してもよい。その理由は、対応する第２攻撃ルートが存在しない第１攻撃ルートを基に被害が広がる可能性が他の第１攻撃ルートよりも低いためである。

また、表示制御部６は、第１攻撃ルートと第２攻撃ルートのいずれに関しても、被害内容の大きさに応じて表示方法を変えてもよい。このように表示方法が変えられると、管理者は、システムへの影響が大きい攻撃ルートを特定できる。

なお、被害特定部８は、検出部５が新たに特定した攻撃ルート（第２攻撃ルート）上の機器毎にも被害情報を特定してもよい。さらに、表示制御部６は、各攻撃ルートを表示するとともに、被害情報が特定された機器の近傍に被害情報を表示してもよい。図１１は、第１の実施形態における第２攻撃ルートの他の表示例を示す模式図である。

図１１に示す例では、前述の攻撃ルート５２上の機器ｇ、攻撃ルート５３上の機器ｉ、および攻撃ルート５４上の機器ｋについてそれぞれ被害情報が特定され、表示制御部６がディスプレイ装置７上に表示した機器ｇ，ｉ，ｋそれぞれの近傍に、対応する被害情報を表示した状態が示されている。

図１１に示すように、機器ｇの近傍には、「秘密鍵の流出」と表示されている。また、機器ｉの近傍には、「経営、資産情報の流出」と表示されている。また、機器ｋの近傍には、「機器がダウン」と表示されている。

なお、名前や生年月日等の個人情報が盗まれた場合、盗まれた個人情報からIDとパスワードを推察することが可能な場合もある。すなわち、ID管理サーバではなく任意の個人情報を管理しているサーバが指定された場合にも、検出部５は、図８に示す攻撃ルート（第２攻撃ルート）を特定できる場合がある。具体的には、検出部５は、盗まれた個人情報から推察されたIDとパスワードを利用して実行可能な攻撃の流れを示す攻撃ルートである第２攻撃ルートを特定する。

また、システムの管理者権限に関する情報が盗まれた場合には、システム内の機器が管理しているデータのうち、盗まれるデータの種類が格段に増える。また、システム内の機器に対して、マルウェアのインストール、機器のダウン、機器が提供するサービスの停止等のどのような攻撃も成立する。

その理由は、管理者権限に関する情報が利用されて突破されるセキュリティが一般権限に関する情報が利用されて突破されるセキュリティよりも多いためである。よって、管理者権限に関する情報が盗まれた場合、検出部５は、より多くの攻撃ルート（第２攻撃ルート）を特定する。

データ収集部２は、例えば、分析プログラムに従って動作するコンピュータのＣＰＵ（Central
Processing Unit ）、および、そのコンピュータの通信インタフェースによって実現される。例えば、ＣＰＵが、コンピュータのプログラム記憶装置等のプログラム記録媒体から分析プログラムを読み込み、そのプログラムに従って、通信インタフェースを用いて、データ収集部２として動作すればよい。また、トポロジ特定部４、検出部５、表示制御部６および被害特定部８は、例えば、分析プログラムに従って動作するコンピュータのＣＰＵによって実現される。例えば、ＣＰＵが上記のようにプログラム記録媒体から分析プログラムを読み込み、そのプログラムに従って、トポロジ特定部４、検出部５、表示制御部６および被害特定部８として動作すればよい。データ記憶部３、リスク情報記憶部９および被害情報記憶部１０は、例えば、コンピュータが備える記憶装置によって実現される。

次に、処理経過について説明する。図１２は、第１の実施形態の分析システム１の処理経過の例を示すフローチャートである。既に説明した事項については説明を省略する。

まず、データ収集部２が、診断対象システムに含まれる各機器に関する情報を収集する（ステップＳ１）。データ収集部２は、収集した情報をデータ記憶部３に記憶させる。

次に、トポロジ特定部４が、各機器のネットワークトポロジを特定する（ステップＳ２）。

次に、検出部５が、各機器に関するセキュリティの情報に基づいて、診断対象システムにおける攻撃ルート（第１攻撃ルート）を検出する（ステップＳ３）。

次に、被害特定部８が、ステップＳ３で検出された各攻撃ルート上の各機器の被害情報を特定する（ステップＳ４）。

次に、表示制御部６が、ネットワークトポロジに重畳させて、ステップＳ３で検出された攻撃ルートを、ステップＳ４で特定された被害情報とともにディスプレイ装置７上に表示する（ステップＳ５）。

次に、管理者が、指定する機器を示す情報を表示制御部６に入力する。管理者は、例えばステップＳ５で表示された攻撃ルート上の機器をマウス等でクリックすることによって、対象の機器を指定する（ステップＳ６）。

次に、表示制御部６は、入力された情報を検出部５に入力する。次に、検出部５が、管理者から指定された機器が攻撃を受けたときの攻撃ルート（第２攻撃ルート）を検出する（ステップＳ７）。

次に、被害特定部８が、ステップＳ７で検出された各攻撃ルート上の各機器の被害情報を特定する（ステップＳ８）。なお、ステップＳ８の処理は、省略されてもよい。

次に、表示制御部６が、ネットワークトポロジに重畳させて、ステップＳ７で検出された攻撃ルートを、ステップＳ８で特定された被害情報とともにディスプレイ装置７上に表示する（ステップＳ９）。なお、ステップＳ８の処理が省略された場合、表示制御部６は、被害情報をディスプレイ装置７上に表示しなくてもよい。

ステップＳ９の処理が終了した段階で、管理者は、他の機器が攻撃を受けたときの攻撃ルート（第２攻撃ルート）を表示するように分析システム１に新たに指示してもよい。新たな指示が入力された場合、ステップＳ７～ステップＳ９の各処理が繰り返し実行される。

本実施形態の検出部５は、上記のように、任意の機器が攻撃を受けたときの攻撃ルートをさらに検出できる。すなわち、本実施形態の分析システム１は、所定の攻撃ルート上の機器が攻撃を受けた場合、攻撃を受けた機器の被害内容をより具体的に予測できる。

よって、本実施形態の分析システム１が使用されると、攻撃が発生した場合にどのようなデータが盗まれるか、またはどの程度の影響がシステムに及ぶかが明確になる。すなわち、本実施形態の分析システム１が使用されると、セキュリティ管理者は、攻撃ルート上の機器が攻撃を受けたときに発生する可能性がある被害を容易に把握できる。

図１３は、本発明の実施形態の分析システム１に係るコンピュータの構成例を示す概略ブロック図である。コンピュータ１０００は、ＣＰＵ１００１と、主記憶装置１００２と、補助記憶装置１００３と、インタフェース１００４と、ディスプレイ装置１００５と、通信インタフェース１００６とを備える。

本発明の実施形態の分析システム１は、コンピュータ１０００によって実現される。分析システム１の動作は、分析プログラムの形式で補助記憶装置１００３に記憶されている。ＣＰＵ１００１は、その分析プログラムを補助記憶装置１００３から読み出して主記憶装置１００２に展開し、その分析プログラムに従って、上記の実施形態で説明した処理を実行する。

補助記憶装置１００３は、一時的でない有形の媒体の例である。一時的でない有形の媒体の他の例として、インタフェース１００４を介して接続される磁気ディスク、光磁気ディスク、ＣＤ－ＲＯＭ（Compact Disk Read Only Memory ）、ＤＶＤ－ＲＯＭ（Digital Versatile Disk Read Only Memory ）、半導体メモリ等が挙げられる。また、プログラムが通信回線によってコンピュータ１０００に配信される場合、配信を受けたコンピュータ１０００がそのプログラムを主記憶装置１００２に展開し、そのプログラムに従って上記の実施形態で説明した処理を実行してもよい。

また、各構成要素の一部または全部は、汎用または専用の回路（circuitry ）、プロセッサ等やこれらの組み合わせによって実現されてもよい。これらは、単一のチップによって構成されてもよいし、バスを介して接続される複数のチップによって構成されてもよい。各構成要素の一部または全部は、上述した回路等とプログラムとの組み合わせによって実現されてもよい。

各構成要素の一部または全部が複数の情報処理装置や回路等により実現される場合には、複数の情報処理装置や回路等は集中配置されてもよいし、分散配置されてもよい。例えば、情報処理装置や回路等は、クライアントアンドサーバシステム、クラウドコンピューティングシステム等、各々が通信ネットワークを介して接続される形態として実現されてもよい。

次に、本発明の概要について説明する。図１４は、本発明の分析システムの概要を示すブロック図である。本発明の分析システムは、トポロジ特定部４と、検出部５と、被害特定部８とを備える。

トポロジ特定部４は、診断対象システムに含まれる機器のネットワークトポロジを特定する。

検出部５は、機器に関するセキュリティの情報に基づいて、診断対象システムにおいて、実行可能な攻撃の流れを示す第１攻撃ルートを検出する。

被害特定部８は、第１攻撃ルート上の機器が攻撃された場合に受ける被害内容を示す被害情報を特定する。検出部５は、被害内容に起因して実行可能な攻撃の流れを示す第２攻撃ルートを、セキュリティの情報と特定された被害情報とに基づいて検出する。

そのような構成によって、攻撃ルート上の機器が攻撃を受けたときに発生する可能性がある被害を分析できる。

上記の本発明の実施形態は、以下の付記のようにも記載され得るが、以下に限定されるわけではない。

（付記１）
診断対象システムに含まれる機器のネットワークトポロジを特定するトポロジ特定部と、
機器に関するセキュリティの情報に基づいて、前記診断対象システムにおいて、実行可能な攻撃の流れを示す第１攻撃ルートを検出する検出部と、
前記第１攻撃ルート上の機器が攻撃された場合に受ける被害内容を示す被害情報を特定する被害特定部とを備え、
前記検出部は、
前記被害内容に起因して実行可能な攻撃の流れを示す第２攻撃ルートを、前記セキュリティの情報と特定された被害情報とに基づいて検出する
ことを特徴とする分析システム。

（付記２）
ネットワークトポロジに重畳させて第１攻撃ルートと第２攻撃ルートをディスプレイ装置上に表示する表示制御部を備える
付記１に記載の分析システム。

（付記３）
表示制御部は、
ディスプレイ装置が表示する１つの画面に第１攻撃ルートと第２攻撃ルートを併せて表示する
付記２に記載の分析システム。

（付記４）
表示制御部は、
ディスプレイ装置が表示する２つの画面それぞれに第１攻撃ルートと第２攻撃ルートを分けて表示する
付記２に記載の分析システム。

（付記５）
表示制御部は、
第１攻撃ルート上の機器の近傍に被害情報を表示する
付記２から付記４のうちのいずれかに記載の分析システム。

（付記６）
被害特定部は、
第２攻撃ルート上の機器が攻撃された場合に受ける被害内容を示す被害情報を特定する
付記２から付記５のうちのいずれかに記載の分析システム。

（付記７）
表示制御部は、
第２攻撃ルート上の機器の近傍に被害情報を表示する
付記６に記載の分析システム。

（付記８）
検出部は、
外部から指定された第１攻撃ルート上の機器が攻撃された場合に受ける被害内容に起因する攻撃に関する第２攻撃ルートを検出する
付記１から付記７のうちのいずれかに記載の分析システム。

（付記９）
コンピュータが、
診断対象システムに含まれる機器のネットワークトポロジを特定し、
機器に関するセキュリティの情報に基づいて、前記診断対象システムにおいて、実行可能な攻撃の流れを示す第１攻撃ルートを検出し、
前記第１攻撃ルート上の機器が攻撃された場合に受ける被害内容を示す被害情報を特定し、
前記被害内容に起因して実行可能な攻撃の流れを示す第２攻撃ルートを、前記セキュリティの情報と特定された被害情報とに基づいて検出する
ことを特徴とする分析方法。

（付記１０）
コンピュータに、
診断対象システムに含まれる機器のネットワークトポロジを特定するトポロジ特定処理、
機器に関するセキュリティの情報に基づいて、前記診断対象システムにおいて、実行可能な攻撃の流れを示す第１攻撃ルートを検出する第１検出処理、
前記第１攻撃ルート上の機器が攻撃された場合に受ける被害内容を示す被害情報を特定する被害特定処理、および
前記被害内容に起因して実行可能な攻撃の流れを示す第２攻撃ルートを、前記セキュリティの情報と特定された被害情報とに基づいて検出する第２検出処理
を実行させるための分析プログラムを記録したコンピュータ読み取り可能な記録媒体。

以上、実施形態および実施例を参照して本願発明を説明したが、本願発明は上記実施形態および実施例に限定されるものではない。本願発明の構成や詳細には、本願発明のスコープ内で当業者が理解し得る様々な変更をすることができる。

この出願は、２０１９年３月２８日に出願された日本特許出願２０１９－０６３５９９を基礎とする優先権を主張し、その開示の全てをここに取り込む。

産業上の利用の可能性

本発明は、攻撃ルートを表示する分析システムに好適に適用される。

１ 分析システム
２ データ収集部
３ データ記憶部
４ トポロジ特定部
５ 検出部
６ 表示制御部
７ ディスプレイ装置
８ 被害特定部
９ リスク情報記憶部
１０ 被害情報記憶部

Claims (10)

1. 診断対象システムに含まれる機器のネットワークトポロジを特定するトポロジ特定部と、
   機器に関するセキュリティの情報に基づいて、前記診断対象システムにおいて、実行可能な攻撃の流れを示す第１攻撃ルートを検出する検出部と、
   前記第１攻撃ルート上の機器が攻撃された場合に受ける被害内容を示す被害情報を特定する被害特定部とを備え、
   前記検出部は、
   前記被害内容に起因して実行可能な攻撃の流れを示す第２攻撃ルートを、前記セキュリティの情報と特定された被害情報とに基づいて検出する
   ことを特徴とする分析システム。
2. ネットワークトポロジに重畳させて第１攻撃ルートと第２攻撃ルートをディスプレイ装置上に表示する表示制御部を備える
   請求項１に記載の分析システム。
3. 表示制御部は、
   ディスプレイ装置が表示する１つの画面に第１攻撃ルートと第２攻撃ルートを併せて表示する
   請求項２に記載の分析システム。
4. 表示制御部は、
   ディスプレイ装置が表示する２つの画面それぞれに第１攻撃ルートと第２攻撃ルートを分けて表示する
   請求項２に記載の分析システム。
5. 表示制御部は、
   第１攻撃ルート上の機器の近傍に被害情報を表示する
   請求項２から請求項４のうちのいずれか１項に記載の分析システム。
6. 被害特定部は、
   第２攻撃ルート上の機器が攻撃された場合に受ける被害内容を示す被害情報を特定する
   請求項２から請求項５のうちのいずれか１項に記載の分析システム。
7. 表示制御部は、
   第２攻撃ルート上の機器の近傍に被害情報を表示する
   請求項６に記載の分析システム。
8. 検出部は、
   外部から指定された第１攻撃ルート上の機器が攻撃された場合に受ける被害内容に起因する攻撃に関する第２攻撃ルートを検出する
   請求項１から請求項７のうちのいずれか１項に記載の分析システム。
9. コンピュータが、
   診断対象システムに含まれる機器のネットワークトポロジを特定し、
   機器に関するセキュリティの情報に基づいて、前記診断対象システムにおいて、実行可能な攻撃の流れを示す第１攻撃ルートを検出し、
   前記第１攻撃ルート上の機器が攻撃された場合に受ける被害内容を示す被害情報を特定し、
   前記被害内容に起因して実行可能な攻撃の流れを示す第２攻撃ルートを、前記セキュリティの情報と特定された被害情報とに基づいて検出する
   ことを特徴とする分析方法。
10. コンピュータに、
    診断対象システムに含まれる機器のネットワークトポロジを特定するトポロジ特定処理、
    機器に関するセキュリティの情報に基づいて、前記診断対象システムにおいて、実行可能な攻撃の流れを示す第１攻撃ルートを検出する第１検出処理、
    前記第１攻撃ルート上の機器が攻撃された場合に受ける被害内容を示す被害情報を特定する被害特定処理、および
    前記被害内容に起因して実行可能な攻撃の流れを示す第２攻撃ルートを、前記セキュリティの情報と特定された被害情報とに基づいて検出する第２検出処理
    を実行させるための分析プログラム。

Images