[go: up one dir, main page]

WO2014112185A1 - 攻撃分析システム及び連携装置及び攻撃分析連携方法及びプログラム - Google Patents

攻撃分析システム及び連携装置及び攻撃分析連携方法及びプログラム Download PDF

Info

Publication number
WO2014112185A1
WO2014112185A1 PCT/JP2013/080252 JP2013080252W WO2014112185A1 WO 2014112185 A1 WO2014112185 A1 WO 2014112185A1 JP 2013080252 W JP2013080252 W JP 2013080252W WO 2014112185 A1 WO2014112185 A1 WO 2014112185A1
Authority
WO
WIPO (PCT)
Prior art keywords
attack
information
analysis
log
schedule
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Ceased
Application number
PCT/JP2013/080252
Other languages
English (en)
French (fr)
Inventor
裕之 榊原
鐘治 桜井
河内　清人
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Mitsubishi Electric Corp
Original Assignee
Mitsubishi Electric Corp
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Mitsubishi Electric Corp filed Critical Mitsubishi Electric Corp
Priority to JP2014557329A priority Critical patent/JP5972401B2/ja
Priority to US14/433,560 priority patent/US9853994B2/en
Priority to EP13872002.4A priority patent/EP2947595A4/en
Priority to CN201380070764.1A priority patent/CN104937605B/zh
Publication of WO2014112185A1 publication Critical patent/WO2014112185A1/ja
Anticipated expiration legal-status Critical
Ceased legal-status Critical Current

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1433—Vulnerability analysis
    • G—PHYSICS
    • G06—COMPUTING OR CALCULATING; COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/55—Detecting local intrusion or implementing counter-measures
    • G06F21/552—Detecting local intrusion or implementing counter-measures involving long-term monitoring or reporting
    • G—PHYSICS
    • G06—COMPUTING OR CALCULATING; COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F11/00—Error detection; Error correction; Monitoring
    • G06F11/30—Monitoring
    • G06F11/34—Recording or statistical evaluation of computer activity, e.g. of down time, of input/output operation ; Recording or statistical evaluation of user activity, e.g. usability assessment
    • G—PHYSICS
    • G06—COMPUTING OR CALCULATING; COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/55—Detecting local intrusion or implementing counter-measures
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/02—Network architectures or network communication protocols for network security for separating internal from external traffic, e.g. firewalls
    • H04L63/0209—Architectural arrangements, e.g. perimeter networks or demilitarized zones
    • H04L63/0218—Distributed architectures, e.g. distributed firewalls
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
    • H04L63/1425—Traffic logging, e.g. anomaly detection

Definitions

  • the present invention relates to an attack analysis system, a linkage device, an attack analysis linkage method, and a program.
  • the present invention relates to an attack analysis system that efficiently performs attack analysis by linking an attack detection system and a log analysis system.
  • Non-Patent Document 1 Advanced and Persistent Threat
  • malware that has invaded the organization via email attachments, etc. infects computers, and also communicates with the C & C (Command & Control) server on the Internet operated by attackers to download new malware and attack tools or update itself. To do. Then, reconnaissance in the organization, find the file server, and leak the confidential file to the C & C server. If each of these activities is regarded as an attack, each attack is performed in stages over a long period of time. For example, malware that has infected a computer hides itself for one month after infection and begins to communicate with the C & C server one month later. Thus, in APT, a plurality of attacks are performed with time.
  • C & C Common & Control
  • the automatic log analysis method analyzes logs of network devices such as computers, servers, routers, security devices such as firewalls and intrusion detection systems, and examines the correlation between them or finds abnormal records from the logs. .
  • the log analysis method is a method of detecting APT or observing the progress by performing such analysis.
  • SIEM Security Information and Event Management: Security, Information, Event, and Management
  • Security, Information, Event, and Management is an example of a product that automatically detects anomalies by examining the correlation of logs of security devices such as firewalls or intrusion detection systems.
  • the SIEM system is sometimes called an integrated log monitoring system.
  • log analysis system that allows humans to detect abnormalities by drilling down various logs with various keywords or displaying status changes in time series.
  • Patent Document 1 proposes a method in which a relay server is introduced separately from the business system server, user authentication is performed in the relay server, and usage logs are collected.
  • a complex search can be executed for a plurality of logs.
  • it is necessary to repeatedly execute the search in a short time. Therefore, there is a problem that enormous computational resources are required to perform a plurality of search expressions simultaneously.
  • the present invention has been made to solve the above-described problems.
  • a log analysis system is linked based on an attack scenario, and traces of attacks that may occur in the future are obtained.
  • the purpose is to discover efficiently from logs.
  • the attack analysis system includes: Collected by a log collection device that collects logs of at least one device connected to the monitored network and stores them as log information in a storage device, a detection device that detects an attack on the monitored network, and the log collection device
  • An attack analysis system comprising an analysis device for analyzing the log information, Connected to the detection device, and provided with a cooperation device connected to the analysis device,
  • the detection device is: Upon detecting an attack on the monitored network, the warning information including an attack identifier for identifying the detected attack and an attack occurrence time when the detected attack has occurred is transmitted to the cooperation device,
  • the cooperation device Attack scenario information including a plurality of attack identifiers for identifying each of a plurality of attacks that are predicted to occur on the monitored network, the order in which the plurality of attacks occur, and two in which the order is continuous
  • An attack scenario information storage unit that stores attack scenario information including an attack occurrence interval in a storage device in advance;
  • a schedule analysis request unit that calculates and transmits a schedule analysis request that is a request to analyze the log information of the calculated predicted occurrence time to the analysis device;
  • the analyzer is The log information of the predicted occurrence time is analyzed based on the schedule analysis request transmitted from the schedule analysis request unit of the cooperation apparatus.
  • the linkage device stores the attack scenario information in the storage device, receives warning information including the detected attack information from the detection device, and based on the warning information and the attack scenario information , The predicted occurrence time of the attack that is predicted to occur next to the detected attack is calculated, and a schedule search is transmitted to the analysis device so as to search log information at the calculated predicted occurrence time.
  • FIG. 2 is a diagram illustrating an example of a hardware configuration of a log analysis cooperation device 1, a logger 901, a SIEM device 902, and a log analysis device 903 according to Embodiment 1.
  • FIG. 2 is a diagram illustrating an outline of a configuration and an operation of a log analysis cooperation device 1 according to Embodiment 1.
  • FIG. It is a figure which shows an example of a structure of the warning information 1201 which concerns on Embodiment 1.
  • FIG. It is a figure which shows an example of a structure of the attack scenario 1104 which concerns on Embodiment 1.
  • FIG. 7 is a flowchart showing an attack propriety determination process of an attack propriety determination unit 107 according to the first embodiment. It is a figure which shows the structure and operation
  • FIG. It is a figure which shows the structure and operation
  • FIG. It is a figure which shows the structure and operation
  • FIG. 8203 shows an example of the email produced
  • FIG. It is a figure which shows the structure and operation
  • FIG. It is a figure which shows the production
  • FIG. 1 is a diagram showing an overall configuration of a log analysis cooperation system 1000 according to the present embodiment.
  • a log analysis cooperation system 1000 an example of an attack analysis system
  • a log analysis cooperation system 1000 includes a logger 901 (an example of a log collection device), a SIEM device 902 (an example of a detection device), a log analysis device 903 (an example of an analysis device), and a log analysis cooperation device 1 (a cooperation device). Example).
  • the logger 901 collects logs of at least one device (communication device 904) included in the monitoring target network and stores them in the storage device as log information.
  • the logger 901 is connected to a computer 904a such as a PC or server to be monitored, a network device 904b such as a router, a security device 904c such as a firewall or an intrusion detection device, and a mobile device 905 such as a smartphone or a tablet PC.
  • the logger 901 collects and accumulates logs of the computer 904a, network device 904b, security device 904c, mobile device 905, and the like.
  • the SIEM device 902 detects an abnormality by performing a correlation analysis on the log accumulated in the logger 901 or the like.
  • the SIEM device 902 includes a detection rule 912.
  • the SIEM device 902 stores the detection rule 912 in a storage device.
  • the detection rule 912 is a log analysis rule for detecting an abnormality such as an attack.
  • the detection rule 912 is, for example, a correlation analysis rule.
  • the log analysis device 903 performs an analysis such as drilling down a log accumulated in the logger 901 by keyword search according to an operation by an operator. In addition, the log analysis device 903 visualizes an access status to a specific server by an operation by an operator and displays the status so that the status can be visually observed. As described above, the log analysis device 903 analyzes the log by the operation of the operator, and the operator finds an abnormality.
  • the log analysis cooperation device 1 is located between the SIEM device 902 and the log analysis device 903 and is connected to the SIEM device 902 and to the log analysis device 903.
  • the log analysis cooperation device 1 links the SIEM device 902 and the log analysis device 903.
  • the log analysis cooperation device 1 includes an attack scenario DB 1013, an asset DB 1015, and a security countermeasure DB 1014.
  • the SIEM device 902 collects the log 911 from the logger 901 and executes a real-time correlation analysis using the detection rule 912. In this way, the SIEM device 902 always performs abnormality detection.
  • an example of an operation (attack analysis cooperation method) when the SIEM apparatus 902 detects an abnormality will be described with reference to FIG.
  • the following (1) to (8) correspond to (1) to (8) in FIG.
  • the SIEM device 902 detects an attack b (detection attack) based on the detection rule B in the detection rule 912.
  • the SIEM device 902 notifies the log analysis cooperation device 1 that the attack b has been detected as warning information 1201 ′ (warning information transmission process, warning information transmission step).
  • the log analysis cooperation device 1 receives warning information (warning information receiving process, warning information receiving step).
  • the log analysis cooperation device 1 searches the DB for an attack c (next attack) predicted to occur next to the attack b.
  • the log analysis cooperation device 1 determines the possibility of the occurrence of the attack c that occurs after the attack b from the attack scenario DB 1013, the asset DB 1015, and the security countermeasure DB 1014.
  • the attack scenario DB 1013, the asset DB 1015, and the security countermeasure DB 1014 are stored in, for example, the storage device 1 ′ included in the log analysis cooperation device 1.
  • the log analysis cooperation device 1 requests the log analysis device 903 to perform a schedule search 915 to search for traces of the attack c from the log.
  • the log analysis collaboration apparatus 1 is predicted to generate an attack c (next attack, analysis target attack) predicted to occur next to the attack b (detected attack, detected attack) (predicted occurrence time). Is calculated, and the log analysis device 903 is requested to perform a schedule search 915 in order to perform a schedule search for a log at a time when the attack c (next attack) is predicted (predicted occurrence time) ((3), ( The process of 4) is a schedule analysis request process and a schedule analysis request process).
  • the log analysis apparatus 903 executes the schedule search 916 for the logger 901 based on the request for the schedule search 915. (6) The log analysis device 903 receives the search result 917 of the schedule search 916. (7) The log analysis device 903 transmits the received search result 917 as the search result 918 to the log analysis cooperation device 1.
  • the log analysis cooperation device 1 receives the result of (7), and executes processing according to the result of (7) (log information analysis processing, log information analysis step).
  • the log analysis cooperation device 1 determines that the time when the attack c occurs may not match the attack scenario 1104. Then, the log analysis cooperation device 1 changes the timing of the schedule search 915 and further issues the schedule search 915 to the log analysis device 903.
  • the log analysis cooperation device 1 notifies the operator that the attack c has been searched on the GUI. Upon receiving this notification, the operator uses the log analysis device 903 to analyze the trace of the attack c in more detail.
  • Mobile device 905 (specific device) may be difficult to always collect logs due to restrictions on CPU, memory, line, etc. Therefore, the logger 901 normally does not log from the mobile device 905. Alternatively, the logger 901 may collect logs from the mobile device 905 regularly or irregularly such as once a day.
  • the log analysis cooperation device 1 determines that the attack c occurs in the mobile device 905
  • the log analysis cooperation device 1 precedes the schedule search 915 of (4) at the timing of the schedule search 915 of (4).
  • the schedule collection 915 ′ is notified to the log analysis device 903 ((4) ′).
  • the log analysis device 903 notifies the logger 901 of the schedule collection 915 ′ notified from the log analysis cooperation device 1 as the schedule collection 916 ′ ((5) ′).
  • the logger 901 When the logger 901 is notified of the schedule collection 916 ′ from the log analysis device 903, the logger 901 notifies the mobile device 905 of the schedule collection 916 ′′ ((5) ′′) and collects the log 917 ′′ from the mobile device 905. ((6) ''). The logger 901 transmits the log collection result from the mobile device 905 to the log analysis device 903 as a collection result 917 ′ ((6) ′). When receiving the collection result 917 ′ from the logger 901, the log analysis device 903 transmits the collection result 918 ′ to the log analysis cooperation device 1 ((7) ′). Thereafter, the log analysis cooperation device 1, the log analysis device 903, and the logger 901 execute the above (4) to (7).
  • FIG. 2 is a diagram illustrating an example of a hardware configuration of the log analysis cooperation device 1, the logger 901, the SIEM device 902, and the log analysis device 903 according to the present embodiment.
  • a log analysis cooperation device 1, a logger 901, a SIEM device 902, and a log analysis device 903 are computers, which are an LCD 1901 (Liquid / Crystal / Display), a keyboard 1902 (K / B), a mouse 1903, an FDD 1904 (Flexible). (Disc / Drive), CDD 1905 (Compact / Disc / Drive), and a printer 1906 are provided. These hardware devices are connected by cables and signal lines. Instead of the LCD 1901, a CRT (Cathode / Ray / Tube) or other display device may be used. Instead of the mouse 1903, a touch panel, a touch pad, a trackball, a pen tablet, or other pointing devices may be used.
  • the log analysis cooperation device 1, the logger 901, the SIEM device 902, and the log analysis device 903 include a CPU 1911 (Central Processing Unit) that executes a program.
  • the CPU 1911 is an example of a processing device.
  • the CPU 1911 includes a ROM 1913 (Read / Only / Memory), a RAM 1914 (Random / Access / Memory), a communication board 1915, an LCD 1901, a keyboard 1902, a mouse 1903, an FDD 1904, a CDD 1905, a printer 1906, and an HDD 1920 (Hard / Disk). Connected with Drive) to control these hardware devices.
  • a flash memory, an optical disk device, a memory card reader / writer, or other recording media may be used.
  • RAM 1914 is an example of a volatile memory.
  • the ROM 1913, the FDD 1904, the CDD 1905, and the HDD 1920 are examples of nonvolatile memories. These are examples of a storage device and a storage unit.
  • the communication board 1915, the keyboard 1902, the mouse 1903, the FDD 1904, and the CDD 1905 are examples of input devices.
  • the communication board 1915, the LCD 1901, and the printer 1906 are examples of output devices.
  • the communication board 1915 is connected to a LAN (Local / Area / Network) or the like.
  • the communication board 1915 is not limited to a LAN, but includes an IP-VPN (Internet, Protocol, Private, Network), a wide area LAN, an ATM (Asynchronous / Transfer / Mode) network, a WAN (Wide / Area / Network), or the Internet. It does not matter if it is connected to.
  • LAN, WAN, and the Internet are examples of networks.
  • the HDD 1920 stores an operating system 1921 (OS), a window system 1922, a program group 1923, and a file group 1924.
  • Programs in the program group 1923 are executed by the CPU 1911, operating system 1921, and window system 1922.
  • the program group 1923 includes programs that execute the functions described as “ ⁇ units” in the description of this embodiment.
  • the program is read and executed by the CPU 1911.
  • the file group 1924 includes data, information, and signal values described as “ ⁇ data”, “ ⁇ information”, “ ⁇ ID (identifier)”, “ ⁇ flag”, and “ ⁇ result” in the description of this embodiment. And variable values and parameters are included as " ⁇ file", " ⁇ database” and " ⁇ table” items.
  • the “ ⁇ file”, “ ⁇ database”, and “ ⁇ table” are stored in a recording medium such as the RAM 1914 or the HDD 1920.
  • Data, information, signal values, variable values, and parameters stored in a recording medium such as the RAM 1914 and the HDD 1920 are read out to the main memory and the cache memory by the CPU 1911 via a read / write circuit, and extracted, searched, referenced, compared, and calculated. It is used for processing (operation) of the CPU 1911 such as calculation, control, output, printing, and display.
  • processing of the CPU 1911 such as extraction, search, reference, comparison, calculation, calculation, control, output, printing, display, data, information, signal values, variable values, and parameters are temporarily stored in the main memory, cache memory, and buffer memory.
  • the arrows in the block diagrams and flowcharts used in the description of this embodiment mainly indicate data and signal input / output.
  • Data and signals are recorded on a memory such as RAM 1914, FDD 1904 flexible disk (FD), CDD 1905 compact disk (CD), HDD 1920 magnetic disk, optical disk, DVD (Digital Versatile Disc), or other recording media. Is done. Data and signals are transmitted via the bus 1912, signal lines, cables, or other transmission media.
  • what is described as “to part” may be “to circuit”, “to apparatus”, “to device”, and “to step”, “to process”, “to” It may be “procedure” or “procedure”. That is, what is described as “ ⁇ unit” may be realized by firmware stored in the ROM 1913. Alternatively, what is described as “ ⁇ unit” may be realized only by software or only by hardware such as an element, a device, a board, and wiring. Alternatively, what is described as “ ⁇ unit” may be realized by a combination of software and hardware, or a combination of software, hardware and firmware.
  • Firmware and software are stored as programs in a recording medium such as a flexible disk, a compact disk, a magnetic disk, an optical disk, and a DVD.
  • the program is read by the CPU 1911 and executed by the CPU 1911. That is, the program causes the computer to function as “ ⁇ unit” described in the description of the present embodiment. Alternatively, the program causes a computer to execute the procedures and methods of “to unit” described in the description of the present embodiment.
  • FIG. 3 is a diagram showing an outline of the configuration and operation of the log analysis cooperation device 1 according to the present embodiment.
  • the configuration of the log analysis cooperation device 1 according to the present embodiment will be described with reference to FIG.
  • the log analysis cooperation device 1 does not use the schedule collection unit 108, the collection schedule condition 1204, and the external cooperation unit (collection) 109.
  • the log analysis cooperation device 1 includes an input unit 101, a warning interpretation unit 102, an attack scenario DB search unit 103, a related attack extraction unit 104, a security countermeasure search unit 105, an asset DB search unit 106, an attack availability A determination unit 107, a schedule search unit 1010, an external cooperation unit (search) 1011, and an output unit 1012 are provided. Further, the log analysis cooperation device 1 stores the attack scenario DB 1013, the security countermeasure DB 1014, and the asset DB 1015 in the storage device.
  • the input unit 101 inputs warning information 1201 ′ and outputs data 1101.
  • the warning interpretation unit 102 inputs data 1101 and outputs warning information 1102 and asset search information 1108.
  • the attack scenario DB search unit 103 inputs the scenario extraction condition 1202 and searches the attack scenario DB 1013 using the attack identification information 1103.
  • the attack scenario DB search unit 103 inputs an attack scenario 1104 that is a search result. Further, the attack scenario DB search unit 103 outputs the input attack scenario 1104 to the related attack extraction unit 104.
  • the attack scenario DB 1013 stores a plurality of attack sequences for executing APT (advanced and continuous threat) and information such as time intervals as scenarios.
  • the attack scenario DB 1013 is attack scenario information including a plurality of attack identifiers for identifying each of a plurality of attacks predicted to occur on the monitored network, and the order in which the plurality of attacks occur and the order are continuous. It is an example of the attack scenario information storage part which memorize
  • the related attack extraction unit 104 receives the related attack extraction condition 1203 and outputs the related attack information 1105 to the security countermeasure search unit 105 and the attack availability determination unit 107.
  • the security countermeasure search unit 105 inputs the related attack information 1105 and searches the security countermeasure DB 1014 using the related attack search information 1106. Then, the security countermeasure search unit 105 inputs a countermeasure presence / absence 1107 ′, which is the search result.
  • the security countermeasure search unit 105 outputs the countermeasure presence / absence 1107 ′ to the attack possibility determination unit 107.
  • the security countermeasure DB 1014 stores information related to implementation of countermeasures against attacks by intrusion detection / defense devices and the like.
  • the asset DB search unit 106 inputs the asset search information 1108 and searches the asset DB 1015 using the asset search information 1108.
  • the asset DB search unit 106 inputs asset information 1109 that is the search result.
  • the asset DB 1015 stores information such as an asset ID, an IP address, an OS and application used, and a patch application status such as a PC and a server.
  • the attack availability determination unit 107 inputs the asset information 1109, the related attack information 1105, and the countermeasure presence / absence 1107 ', and outputs the log search information 1113 to the schedule search unit 1010.
  • the attack scenario DB search unit 103, the related attack extraction unit 104, the asset DB search unit 106, and the attack availability determination unit 107 are examples of a next attack information acquisition unit.
  • the schedule search unit 1010 inputs the search schedule condition 1205 and the log search information 1113 and outputs a search command 1114 to the external cooperation unit (search) 1011.
  • the schedule search unit 1010 inputs a search result 1115 that is a result for the search command 1114.
  • the schedule search unit 1010 is an example of a schedule analysis request unit that transmits a search command 1114 (schedule analysis request), which is a request for analyzing log information of the predicted occurrence time, to the log analysis device 903.
  • the external cooperation unit (search) 1011 inputs the search command 1114 from the schedule search unit 1010 and outputs the search command 1208 to the outside.
  • the external cooperation unit (search) 1011 inputs the search result 1209 that is the result of the search command 1208, and outputs the search result 1115 to the schedule search unit 1010.
  • the output unit 1012 inputs the search result 1116 from the schedule search unit 1010 and outputs the detection result 1210 to the outside.
  • FIG. 4 is a diagram showing an example of the configuration of the warning information 1201 according to the present embodiment.
  • FIG. 5 is a diagram illustrating an example of a configuration of an attack scenario 1104 according to the present embodiment.
  • FIG. 6 is a diagram showing an example of the configuration of the countermeasure information 1107 according to the present embodiment.
  • FIG. 7 is a diagram showing an example of the configuration of asset information 1109 according to the present embodiment.
  • the input unit 101 inputs warning information 1201 ′ from the SIEM device 902.
  • the warning information 1201 ′ is information in which the warning information 1201 shown in FIG. 4 is formatted.
  • the warning information 1201 includes the following contents.
  • D Vulnerability ID: Identification information (for example, CVE number (vulnerability identification number)) when an attack is realized by exploiting a vulnerability such as software.
  • E Attack source information: Information on the attack source such as SourceIP / Port and asset ID.
  • the log analysis cooperation device 1 inputs the warning information 1201 ′ as, for example, a UDP or a TCP packet.
  • the warning information 1201 ′ is formatted such that the warning information 1201 is stored in the body part of the packet.
  • the input unit 101 extracts the data 1101 that is the body part of the packet from the warning information 1201 ′ that is information in which the warning information 1201 is formatted, and outputs the data 1101 to the warning interpretation unit 102. That is, the data 1101 is warning information 1201.
  • the warning interpretation unit 102 inputs data 1101 that is warning information 1201.
  • the warning interpretation unit 102 decomposes (interprets) the input data 1101 into components such as date and time, attack ID, attack type, vulnerability ID, attack source information, and attack destination information.
  • the warning interpretation unit 102 outputs the result as warning information 1102 to the attack scenario DB search unit 103.
  • the content of the warning information 1102 is the same as the content of the warning information 1201.
  • the attack scenario DB search unit 103 extracts the attack ID, the attack type, and the vulnerability ID from the warning information 1102 and outputs the attack ID to the attack scenario DB 1013 as the attack identification information 1103.
  • the attack scenario DB search unit 103 inputs a scenario extraction condition 1202.
  • the scenario extraction condition 1202 is a condition for designating the number of attack scenarios 1104 to be searched from the attack scenario DB 1013.
  • the scenario extraction condition 1202 for example, one, a plurality, or a designated number is used as a condition.
  • the scenario extraction condition 1202 the number of attack scenarios 1104 searched from the attack scenario DB 1013 is specified as “one”.
  • the attack scenario DB 1013 searches for an attack scenario including an attack ID or a vulnerability ID based on the attack identification information 1103.
  • attack scenario 1104 is configured as follows. 1104_e1: Attack scenario element 1 ⁇ 1104_s1: Interval 1 ⁇ 1104_e2: Attack scenario element 2 ⁇ 1104_s2: Interval 2 ⁇ 1104_e3: Attack scenario element 3
  • attack identification information 1104_a, attack information 1104_b, countermeasure identification information 1104_c, and countermeasure information 1104_d are the following information.
  • attack identification information 1104_a Attack ID, attack type, vulnerability ID.
  • Attack information 1104_b affected product (product ID, version information, patch ID), necessary execution authority, keyword, and other information.
  • Countermeasure identification information 1104_c Countermeasure ID.
  • Countermeasure information 1104_d Patch ID, workaround ID, workaround content, and other information.
  • the keyword of the attack information 1104_b indicates an event that may occur when an attack occurs. For example, if the OS registry is rewritten, the keyword is “OS, registry, modify”.
  • attack scenario element 1: 1104_e1 occurs first, after the interval 1: 1104_s1, the attack scenario element 2: 1104_e2 occurs, and after the interval 2: 1104_s2, the attack scenario element 3: A scenario in which 1104_e3 occurs is shown.
  • the interval 1: 1104_s1 is “24 hours”, for example. This indicates that the attack scenario element 2: 1104_e2 occurs 24 hours later after the attack scenario element 1: 1104_e1.
  • the log analysis cooperation device 1 includes an attack scenario DB storage unit (see FIG. 3).
  • the attack scenario DB storage unit creates the attack scenario 1104 as described above based on past cases and stores it in the attack scenario DB 1013.
  • the attack scenario element 1104_ei constituting the attack scenario 1104 is one or more, and may be two, three, or more.
  • the attack scenario DB search unit 103 searches the attack scenario DB 1013 using the attack identification information 1103. For example, the attack scenario DB search unit 103 searches for an “attack scenario included in the attack identification information 1104_a of the attack scenario element 1104_e” with the attack ID that is a constituent element of the attack identification information 1103.
  • attack scenario DB search unit 103 searches by the vulnerability ID.
  • the attack scenario DB search unit 103 extracts the search result as described above from the attack scenario DB 1013 as the attack scenario 1104.
  • the log analysis cooperation device 1 extracts the attack scenario 1104 including the attack notified by the warning information 1201 ′ received from the SIEM device 902 from the attack scenario DB 1013.
  • the attack scenario DB search unit 103 outputs the attack scenario 1104 input from the attack scenario DB 1013 to the related attack extraction unit 104.
  • the related attack extraction unit 104 inputs the attack scenario 1104 and analyzes the attack scenario 1104 by the processing device.
  • the related attack extraction unit 104 extracts information related to the attack included in the notified attack scenario 1104.
  • the related attack extraction unit 104 inputs a related attack extraction condition 1203.
  • the related attack extraction condition 1203 has the following contents. (A) Attacks that occur after the notified attack: n (1 to all), or attacks that occur before the notified attack: m (1 to all)
  • the related attack extraction condition 1203 is designated as “an attack that occurs after the notified attack: one”, only the information about the attack that occurs after the notified attack and its interval is extracted. . If all is specified, information on all attacks that occur after the notified attack and their intervals is extracted.
  • the attack extracted by the related attack extraction unit 104 is an example of an analysis target attack that is predicted to occur before and after the notified attack.
  • the related attack extraction condition 1203 is designated as “attack that occurs before the notified attack: one”, only information about the attack that occurs before the notified attack and its interval is extracted. If all is specified, information on all attacks that occur before the notified attack and their intervals is extracted.
  • the related attack extraction condition 1203 is designated as “an attack that occurs after the notified attack: one”.
  • the attack ID included in the warning information 1102 is the attack ID of the attack scenario element 2: 1104_e2.
  • the attack scenario DB search unit 103 extracts the attack scenario 1104 shown in FIG. 5 from the attack scenario DB 1013. Then, the related attack extraction unit 104 inputs the related attack extraction condition 1203 “attack that occurs after the notified attack: 1”, and the attack scenario element 2: 1104_e2 (notified attack) ) “Attack scenario element 3: 1104_e3” is extracted as the subsequent attack, and “interval 2: 1104_s2” is extracted as the “interval”.
  • the related attack information 1105 extracted by the related attack extraction unit 104 is “attack scenario element 3: 1104_e3”, “interval” as “attack that occurs after the notified attack” (next attack) (analysis target attack). As “interval 2: 1104_s2” (next generation interval). As described above, the related attack extraction unit 104 extracts the related attack information 1105.
  • the related attack extraction unit 104 outputs the related attack information 1105 to the security measure search unit 105.
  • the security countermeasure search unit 105 searches the security countermeasure DB 1014 using the input related attack information 1105. Specifically, the security countermeasure search unit 105 searches the security countermeasure DB 1014 using “attack scenario element 3: 1104_e3” and “interval 2: 1104_s2” included in the input related attack information 1105.
  • FIG. 6 is a diagram showing a configuration of the countermeasure information 1107 stored in the security countermeasure DB 1014. The configuration of the countermeasure information 1107 will be described with reference to FIG.
  • the countermeasure information 1107 includes attack identification information 1107_a, attack information 1107_b, countermeasure identification information 1107_c, countermeasure information 1107_d, and countermeasure implementation information 1107_e.
  • the contents of the attack identification information 1107_a, attack information 1107_b, countermeasure identification information 1107_c, countermeasure information 1107_d, and countermeasure implementation information 1107_e are the following information.
  • Countermeasure information 1107_d Patch ID, workaround ID, workaround content, and other information.
  • Countermeasure implementation information 1107_e Presence or absence of countermeasure implementation (whether or not countermeasures are currently being implemented by an intrusion detection device or the like).
  • the security countermeasure search unit 105 extracts corresponding countermeasure information 1107 from the security countermeasure DB 1014 using the related attack information 1105 that has been input. Specifically, the security countermeasure search unit 105 includes a countermeasure including an attack ID or vulnerability ID included in the “attack identification information 1104_a” constituting the “attack scenario element 3: 1104_e3” included in the input related attack information 1105. An entry of information 1107 is extracted from the security countermeasure DB 1014.
  • the security countermeasure search unit 105 extracts the countermeasure execution information 1107_e in the extracted countermeasure information 1107 entry.
  • the security countermeasure search unit 105 extracts the presence / absence of countermeasure implementation, which is the content of the extracted countermeasure implementation information 1107_e, as the countermeasure presence / absence 1107 ′.
  • the security countermeasure search unit 105 outputs the countermeasure presence / absence 1107 ′ extracted from the security countermeasure DB 1014 to the attack possibility determination unit 107.
  • the asset DB search unit 106 inputs the asset search information 1108 from the warning interpretation unit 102.
  • the asset search information 1108 is a part of the warning information 1102 (corresponding to the warning information 1201 in FIG. 4), and corresponds to attack destination information.
  • the attack destination information is information related to the attack destination such as Destination IP / Port and asset ID.
  • the asset DB search unit 106 sets, as asset search information 1108, information that can identify an asset, such as Destination IP (or MAC), asset ID, among the attack destination information.
  • the asset DB search unit 106 outputs the asset search information 1108 to the asset DB 1015.
  • the asset DB search unit 106 searches the asset DB 1015 using the asset search information 1108 (information that can identify an asset).
  • the asset DB search unit 106 extracts an entry that matches the asset search information 1108 as asset information 1109 from the asset DB 1015.
  • FIG. 7 is a diagram showing a configuration of asset information 1109 managed by the asset DB 1015. A configuration of the asset information 1109 will be described with reference to FIG.
  • the asset information 1109 includes asset identification information 1109_a, asset OS information 1109_b, asset application information 1109_c, asset execution information 1109_d, and asset security measure information 1109_e.
  • the contents of asset identification information 1109_a, asset OS information 1109_b, asset application information 1109_c, asset execution information 1109_d, and asset security measure information 1109_e constituting the asset information 1109 are, for example, the following information.
  • Asset identification information 1109_a asset ID, IP address, MAC address, user ID.
  • Asset OS information 1109_b OS (product ID, version information), application patch (patch ID) / application avoidance measure (avoidance measure ID).
  • Asset application information 1109_c application (product ID, version information), application patch (patch ID) / application avoidance measure (avoidance measure ID).
  • Asset execution information 1109_d execution authority.
  • Asset security measure information 1109_e Security measure (security setting, software, etc.).
  • the asset DB 1015 searches the asset information 1109 for an entry whose Destination IP (or MAC) / asset ID of the asset search information 1108 (attack destination information) matches the asset identification information 1109_a from the entry stored in itself. To the asset DB search unit 106.
  • the asset DB search unit 106 outputs the asset information 1109 input from the asset DB 1015 to the attack availability determination unit 107.
  • the attack availability determination unit 107 receives the asset information 1109, the related attack information 1105, and the countermeasure presence / absence 1107 ′, and outputs log search information 1113.
  • the attack availability determination unit 107 outputs log search information 1113 by executing an attack availability determination process.
  • FIG. 8 is a flowchart showing an attack propriety determination process of the attack propriety determination unit 107 according to the present embodiment.
  • the attack propriety determination process of the attack propriety determination part 107 is demonstrated using FIG.
  • the attack propriety determining unit 107 determines whether or not the attack identified by the attack identification information 1104_a included in the related attack information 1105 (attack scenario element 1104_e) is being countered by an intrusion detection device or the like. Is determined by the processing device.
  • an attack identified by the attack identification information 1104_a included in the related attack information 1105 (attack scenario element 1104_e) is referred to as a determination target attack.
  • the attack propriety determination unit 107 determines the attack (determination target attack) identified by the attack identification information 1104_a of the next attack (attack scenario element 3: 1104_e3) of the notified attack (attack scenario element 2: 1104_e2). ) Is determined by the processing device using the countermeasure presence / absence 1107 ′.
  • the attack propriety determination unit 107 advances the process to S107_9. If the determination target attack is not implemented (NO in S107_1), the attack propriety determination unit 107 advances the process to S107_2.
  • the attack availability determination unit 107 checks whether the attack target asset uses the corresponding OS or application for the determination target attack. This process is executed as follows.
  • the attack propriety determination unit 107 inputs the related attack information 1105 corresponding to the determination target attack.
  • the attack information 1104_b in the related attack information 1105 includes information on the affected product as “product ID, version information, patch ID” (see FIG. 5).
  • the attack propriety determination unit 107 inputs the asset information 1109 corresponding to the determination target attack.
  • the asset information 1109 includes asset OS information 1109_b (OS (product ID, version information), application patch (patch ID) / application avoidance measure (workaround ID), asset application information 1109_c (application (product ID, version information), Application patch (patch ID) / application avoidance measure (avoidance measure ID) are included
  • the application avoidance measure (avoidance measure ID) in the asset OS information 1109_b and the asset application information 1109_c may be measure setting.
  • the attack propriety determination unit 107 determines whether the attack target asset uses an affected product. Judgment is made by the processing device.
  • the attack propriety determination unit 107 determines that the product information “product ID, version information, patch ID” affected by the attack information 1104 — b is “OS (product ID, version information)” of the asset OS information 1109 — b, application The processing device determines whether it corresponds to “patch (patch ID)” or whether it corresponds to “application (product ID, version information), applied patch (patch ID)” of the asset application information 1109_c. That is, “product ID, version information, patch ID” is information included in any of attack information 1104_b, asset OS information 1109_b, and asset application information 1109_c. It can be determined by matching version information and patch ID.
  • the attack propriety determination unit 107 proceeds to S107_3. If the attack propriety determination unit 107 determines that a product that affects the asset targeted by the attack is not used (NO in S107_2), the process proceeds to S107_9.
  • the attack propriety determination unit 107 determines whether or not there is a patch for the attack identified by the attack identification information 1104_a included in the related attack information 1105 (corresponding to the attack scenario element 1104_e). This is determined based on whether or not a patch ID exists in the information of the countermeasure information 1104_d included in the related attack information 1105 (corresponding to the attack scenario element 1104_e).
  • the attack propriety determination unit 107 advances the process to S107_4. If the attack propriety determining unit 107 determines that the patch ID does not exist (NO in S107_3), the process proceeds to S107_5.
  • the attack propriety determination unit 107 determines whether or not a patch is applied to the attack identified by the attack identification information 1104_a included in the related attack information 1105 (corresponding to the attack scenario element 1104_e). . Whether the patch ID in the information of the countermeasure information 1104_d included in the related attack information 1105 (corresponding to the attack scenario element 1104_e) matches the patch ID in the asset OS information 1109_b or the asset application information 1109_c of the asset information 1109. Judge by no.
  • the attack propriety determination unit 107 advances the process to S107_9. If the attack propriety determining unit 107 determines that the patch IDs do not match (NO in S107_4), the process proceeds to S107_5.
  • the attack propriety determination unit 107 determines whether or not there is a workaround for the attack identified by the attack identification information 1104_a included in the related attack information 1105 (corresponding to the attack scenario element 1104_e). This is determined by whether or not a workaround ID exists in the information of the countermeasure information 1104_d included in the related attack information 1105 (corresponding to the attack scenario element 1104_e).
  • attack propriety determination unit 107 determines that the avoidance measure ID exists (YES in S107_5), the process proceeds to S107_6. If the attack propriety determining unit 107 determines that the avoidance measure ID does not exist (NO in S107_5), the process proceeds to S107_7.
  • the attack propriety determination unit 107 determines whether the asset to be attacked is implementing the avoidance measure determined to exist in S107_5. This is determined based on whether or not the application avoidance measure (avoidance measure ID) matches the avoidance measure ID identified in S107_5 in the asset OS information 1109_b or the asset application information 1109_c included in the asset information 1109.
  • attack propriety determination unit 107 determines that the workaround IDs match (YES in S107_6), the process proceeds to S107_9. If the attack propriety determination unit 107 determines that the workaround IDs do not match (NO in S107_6), the process proceeds to S107_7.
  • the attack availability determination unit 107 executes the asset to be attacked with the execution authority required by the attack identified by the attack identification information 1104_a included in the related attack information 1105 (corresponding to the attack scenario element 1104_e).
  • the processing device determines whether or not The processing device may determine whether or not the execution authority required by the attack information 1104_b included in the attack scenario element 1104_e matches the execution authority of the asset execution information 1109_d of the asset information 1109.
  • the execution authority is compared by assigning an ID (identifier) according to the type of execution authority. Becomes easy.
  • the attack propriety determination unit 107 advances the process to S107_8. If the attack propriety determining unit 107 determines that the execution authority does not match (NO in S107_7), the process proceeds to S107_9.
  • the attack propriety determination unit 107 determines that “the attack is successful”. In S107_9, the attack propriety determination unit 107 determines that the attack is not successful. This is the end of the description of the attack propriety determination processing by the attack propriety determination unit 107.
  • the attack propriety determination unit 107 executes the attack propriety determination process illustrated in FIG. 8 and determines whether the attack is successful or the attack is not successful. If the attack availability determination unit 107 determines that the attack is successful, it generates log search information 1113 and outputs the log search information 1113 to the schedule search unit 1010.
  • the attack propriety determination unit 107 generates log search information 1113 that is the following information.
  • the attack propriety determination unit 107 calculates the next time when the attack scenario element 3 occurs from “interval 2: 1104_s2” in the related attack information 1105. For example, in the warning information 1201, the date / time (attack occurrence date / time) of the notified attack (attack scenario element 2) is “2012/1524, 09:00:00”, and “interval 2: 1104_s2” is “24”. If “time”, “2012/15, 09:00:00” is calculated as the expected occurrence date and time of attack.
  • the attack propriety determination unit 107 generates a command for searching a log from the expected occurrence date of the attack and the asset identification information 1109_a in the asset information 1109.
  • the firewall log search command when searching for access to this asset from the firewall log is as follows. In the attack to be judged, it is assumed that some deny occurs in the firewall log. This information is recorded in the keyword of the attack information 1104_b that is a component of the attack scenario element 3.
  • the asset log search command for searching the asset log for the asset that is the target of the attack in the determination target attack is as follows. In the attack to be determined, it is assumed that registry rewriting occurs in the OS log. This information is recorded in the attack information 1104_b that is a constituent element of the attack scenario element 3.
  • ⁇ Asset log search command> (A) Search condition: “Expected attack occurrence date and time” and “(“ IP address ”or“ MAC address ”or“ asset ID ”) (both of the corresponding assets) and“ keyword (OS, registry, modify) ” . (B) Search target log: Log (OS, application, etc.) of the corresponding asset.
  • the attack possibility determination unit 107 generates the log search information 1113 for the log that can grasp the status of the access to the asset and the OS and the application on the asset at the expected attack occurrence date and time.
  • the log search information 1113 is the above-described firewall log search command, asset log search command, or the like.
  • the attack availability determination unit 107 outputs the generated log search information 1113 to the schedule search unit 1010.
  • the schedule search unit 1010 receives the log search information 1113 from the attack availability determination unit 107. Further, the schedule search unit 1010 inputs a search schedule condition 1205.
  • the search schedule condition 1205 specifies conditions for performing a search by the log analysis device 903 according to a schedule. For example, it is possible to specify a condition such as searching for a log for one hour from the anticipated attack occurrence date and time. Here, it is assumed that nothing is specified in the search schedule condition 1205.
  • the schedule search unit 1010 inputs the log search information 1113 and the search schedule condition 1205, and converts the log search information 1113 and the search schedule condition 1205 into a search command 1114 that can be interpreted by the log analyzer 903.
  • the schedule search unit 1010 outputs the converted search command 1114 to the external cooperation unit (search) 1011.
  • the external cooperation unit (search) 1011 inputs the search instruction 1114 and transmits the input search instruction 1114 as the search instruction 1208 to the log analysis apparatus 903 (log analysis system) existing outside the log analysis cooperation apparatus 1. .
  • This process corresponds to (4) schedule search 915 in FIG.
  • the log analysis device 903 receives the search command 1208.
  • the log analysis device 903 executes a search at the attack occurrence prediction date / time according to the received search command 1208. This process corresponds to (5) Schedule search 916 in FIG.
  • the log analysis device 903 transmits to the log analysis cooperation device 1 as a search result 1209 whether or not the entry has been searched by the schedule search (with / without entry).
  • the external cooperation unit (search) 1011 of the log analysis cooperation device 1 receives the search result 1209 from the log analysis device 903.
  • the external cooperation unit (search) 1011 outputs the received search result 1209 as the search result 1115 to the schedule search unit 1010.
  • the schedule search unit 1010 creates the following message (search result 1116).
  • ⁇ Search result 1116> (Message) “Attack 3 was detected on asset X at 2012/03/25, 09:00:00”
  • the attack 3 is attack information corresponding to the attack scenario element 3 and is expected to occur at an expected occurrence date and time according to the attack scenario.
  • the asset X is an asset that has been attacked by the attack scenario element 2.
  • the above message can be generated from the log search information 1113.
  • the schedule search unit 1010 outputs the above message as the search result 1116 to the output unit 1012.
  • the output unit 1012 displays the search result 1116 as the detection result 1210 on the GUI or the like of the display screen of the log analysis cooperation device 1.
  • the operator of the log analysis cooperation apparatus 1 displaying this message in the GUI analyzes the log in detail using the log analysis apparatus 903 based on this message to the operator of the log analysis apparatus 903 (FIG. 3), or You can instruct to create a report.
  • the log analysis collaboration device 1 can occur next with an attack detectable by the SIEM device 902 (SIEM system) as a base point.
  • SIEM system SIEM system
  • For an attack use the attack scenario to determine the expected date and time of the attack.
  • the log analysis cooperation device 1 performs a schedule search of the log analysis device 903 (log analysis system) based on the expected date and time of occurrence of the attack, thereby efficiently identifying the trace of the attack in the log analysis device 903 (log analysis system). The effect that it can search with is produced.
  • FIG. 9 is a diagram showing an outline of the configuration and operation of the log analysis cooperation device 1 according to the present embodiment.
  • FIG. 9 is a diagram corresponding to FIG. 1, and the same functional configuration as that of FIG. 1 is denoted by the same reference numeral, and the description thereof is omitted.
  • the configuration and operation of the log analysis collaboration device 1 according to the present embodiment are different from those of the first embodiment in that a schedule collection unit 108, an external collaboration unit (collection) 109, a collection schedule The use of the condition 1204 is added.
  • the attack availability determination unit 107 outputs the log collection information 1110 to the schedule collection unit 108 in addition to the output of the log search information 1113 to the schedule search unit 1010.
  • the attack propriety determination unit 107 generates log collection information 1110 that is the following information.
  • the attack possibility determination unit 107 may input the collection schedule condition 1204 and generate the log collection information 1110 based on the input collection schedule condition 1204.
  • the attack propriety determination unit 107 calculates the next time when the attack scenario element 3 occurs from “interval 2: 1104_s2” in the related attack information 1105. For example, in the warning information 1201, the date / time (attack occurrence date / time) of the notified attack (attack scenario element 2) is “2012/1524, 09:00:00”, and “interval 2: 1104_s2” is “24”. If “time”, “2012/1525, 09:00:00” is calculated as the expected occurrence date and time of attack.
  • the attack propriety determination unit 107 generates a command (log collection command) for collecting logs from the predicted occurrence date of the attack and the asset identification information 1109_a in the asset information 1109.
  • the log collection command is as follows.
  • A Collection condition: Expected date and time of attack occurrence.
  • B Search target log: “IP address” or “MAC address” or “asset ID” (all of the corresponding asset)
  • the attack availability determination unit 107 generates the log collection command as described above as the log collection information 1110.
  • the collection schedule condition 1204 is an additional condition for collection, such as collecting logs for one hour before and after the anticipated attack occurrence date.
  • the collection schedule condition 1204 is for adding further conditions to the log collection information 1110.
  • the schedule collection unit 108 processes the log collection information 1110 as follows.
  • the schedule collection unit 108 converts the log collection information 1110 into a collection command 1111 that can be interpreted by the log analysis device 903, and the external cooperation unit ( Collected) 109.
  • the external cooperation unit (collection) 109 transmits a collection instruction 1206 to the log analysis apparatus 903 existing outside the log analysis cooperation apparatus 1. This processing corresponds to (4) 'schedule collection 915' in FIG.
  • the log analysis device 903 issues an instruction to the logger 901 to execute log collection from the relevant asset (schedule collection) at an expected occurrence date and time (1 hour before and after the expected occurrence date and time of attack). .
  • This process corresponds to (5) 'schedule collection 916' in FIG.
  • the logger 901 collects logs from the mobile device 905 only by the scheduled collection date and time (1 hour before and after the estimated attack date and time). This processing corresponds to (5) ′′ schedule collection 916 ′′, (6) ′′ log 917 ′′ in FIG. 1.
  • the logger 901 notifies the log analysis apparatus 903 of the log collection result as a collection result 917 ′′.
  • the log analysis device 903 transmits the collection result 917 ′′ notified from the logger 901 as the collection result 1207 to the log analysis cooperation device 1.
  • the external cooperation unit (collection) 109 of the log analysis cooperation device 1 inputs the collection result 1207 and outputs it as the collection result 1112 to the schedule collection unit 108.
  • the logger 901 has a function of collecting logs with respect to the mobile device 905.
  • a log collection agent is installed in the mobile device 905, and the logger 901 logs the mobile device 905.
  • a mechanism may be considered in which a log transmission command is sent to the collection agent to cause the logger 901 to transmit the log of the mobile device 905.
  • an existing technique may be used, and the log collection mechanism is not limited to the agent method, but may be an agentless method.
  • a system in which the collection command 1206 is directly transmitted to the logger 901 may be used.
  • logs necessary for analysis are collected only at that time, so logs can be collected without placing a burden on the mobile devices. effective.
  • Embodiment 3 FIG.
  • differences from the first and second embodiments will be mainly described with reference to FIG.
  • the case where nothing is specified in the search schedule condition 1205 has been described.
  • a description will be given of an aspect in which, for example, the search variation can be increased by specifying the search schedule condition 1205 as follows.
  • the schedule search unit 1010 is designated as the search schedule condition 1205, such as “search from one hour before the expected occurrence date of the attack to the expected occurrence date of the attack” or “search for one hour before and after the predicted occurrence date of the attack”. Enter the conditions. These specifications are reflected in the search conditions of the log search information 1113 by the schedule search unit 107, and a search command 1114 is generated.
  • an instruction to further extend the schedule search may be designated as the search schedule condition 1205 in advance.
  • the schedule search unit 1010 inputs the search schedule condition 1205 specified as “if the entry is not searched in the first search result 1115, the same schedule search is performed n times every m hours”. .
  • the schedule search unit 1010 generates a search command 1114 reflecting the condition “every m hours / n times” in the search date and time of the search condition.
  • the search schedule condition 1205 specifies that “if the entry is not searched in the first search result 1115, the same schedule search is performed twice every hour”, the following ( Schedule search of a) to (c) is executed.
  • the related attack extraction unit 104 occurred before the attack detected from the attack scenario 1104 when “attack that occurred before the detected attack” was specified in the related attack extraction condition 1203. Extract the attack information that will be.
  • the search schedule condition 1205 is specified as follows.
  • the schedule search unit 1010 period specification analysis request unit
  • sends a search command 1114 search command 1208 to the log analysis device 903 for the trace of the attack that would have occurred before the detected attack. You can send and request a search.
  • attack detected by the SIEM device 902 corresponds to “attack scenario element 2: 1104_e2” (see FIG. 5).
  • attack scenario element 1: 1104_e1 previously attack
  • interval 1: 1104_s1 previously occurrence interval
  • the search schedule condition 1205 specifies 24 hours before the date and time (attack occurrence date and time: 2012/03/24, 09:00:00) in the warning information 1201 ′ as the search date and time. That is, the search schedule condition 1205 specifies “2012/1523, 09:00:00 search”.
  • attack scenario DB search unit 103 the related attack extraction unit 104, the asset DB search unit 106, and the attack availability determination unit 107 are examples of the previous attack information acquisition unit.
  • the search schedule condition 1205 by specifying the search schedule condition 1205, it is possible to give a range to the search date and to specify a subsequent search method when an entry is not searched in the first search. As a result, there is an effect that it is possible to cope with the case where the predicted date and time of occurrence of the attack is deviated.
  • the attack scenario in order to examine the traces of attacks before the detected attack from the log, refer to the attack scenario and use the attack occurrence date and time and the interval between attacks to specify the search target time as an appropriate past. Thus, the log can be searched for the trace of the corresponding past attack.
  • Embodiment 4 FIG. In the present embodiment, differences from Embodiments 1 to 3 will be mainly described. Functional configurations similar to those described in Embodiments 1 to 3 are denoted by the same reference numerals, and description thereof may be omitted.
  • password hashes may be cached in memory or stored in a file. If this password hash is stolen, impersonation may succeed even if the password itself is known only by the hash of the stolen password. This exploits the fact that many authentication methods use a value obtained by converting a password with a hash for authentication. Although hackers try to steal this password hash and try to misuse it, it is generally assumed that malware cannot steal the password hash if the OS is not running with administrator privileges.
  • the anticipated attack (next attack) described in the first embodiment is “attack scenario element 3: 1104_e3”, and “attack scenario element 3: 1104_e3” is “illegal access by impersonation by password hash”. Is defined as follows.
  • the attack type of the attack identification information 1104_a is assigned “9” that is an ID for identifying “illegal access by impersonation by password hash”.
  • the execution authority 1109_d of the attack target asset is “administrator”.
  • the authority of an administrator is often required, and there are cases where priority is given to convenience and execution is performed with the administrator authority.
  • FIG. 10 is a diagram showing an outline of the configuration and operation of the log analysis cooperation device 1 according to the present embodiment.
  • FIG. 10 is a diagram corresponding to FIG. 9, and the functional components similar to those in FIG. 9 are denoted by the same reference numerals and description thereof is omitted.
  • the attack propriety determination unit 107 confirms that the asset is being executed with the authority (administrator) necessary for the attack in S107_7 when the attack propriety determination process of FIG. 8 is performed. YES in S107_7 Thus, the determination of “attack is successful” is made in S107_8.
  • the attack propriety determination unit 107 performs the following processing when the attack type is “unauthorized access by impersonation by password hash”.
  • the attack propriety determination unit 107 generates the following information and outputs it to the external cooperation unit (measure) 1071.
  • Authority change instruction 1119 An instruction to change to execute with an authority other than the administrator authority when the asset X is executed with the administrator authority.
  • Password reset command 1117 Command to change the administrator password in asset X.
  • the external cooperation unit (measure) 1071 inputs an authority change command 1119 and a password reset command 1117 from the attack availability determination unit 107.
  • the external cooperation unit (measure) 1071 converts the input authority change instruction 1119 into an authority change instruction 1211, converts the input password reset instruction 1117 into a password reset instruction 1212, and outputs it to the outside of the log analysis cooperation apparatus 1. .
  • the monitoring target system includes an authentication server 10 (or a management system similar to the authentication server) (authentication device).
  • the authentication server 10 authenticates the access authority to the monitoring target system, the communication device 904 connected to the monitoring target system, the mobile device 905, and the like based on the authentication information.
  • the authentication information is, for example, a user ID, a password, or the like.
  • the external cooperation unit (measure) 1071 transmits an authority change command 1211 and a password reset command 1212 to the authentication server 10 managing the entire system.
  • FIG. 11 is a diagram showing the configuration and operation of the authentication server 10 according to the present embodiment.
  • the authentication server 10 receives the authority change command 1211 from the log analysis cooperation device 1 and changes the execution authority of the corresponding asset to a person other than the administrator (S1001).
  • the authentication server 10 has an authority change function for changing the execution authority of the corresponding asset to a person other than the administrator by the input authority change instruction 1211.
  • the authentication server 10 includes a password reset device 11.
  • the authentication server 10 inputs a password reset command 1212 from the log analysis cooperation device 1, converts the input password reset command 1212 into a password reset command 8201, and inputs the password reset command 1212 to the password reset device 11.
  • the password reset device 11 When the password reset device 11 receives the password reset command 8201, the password reset device 11 generates a reset password 8203 and a password reset notification text 8202 for resetting the password of the communication device 904.
  • the password reset device 11 transmits the reset password 8203 and the password reset notification text 8202 to the communication device 904 or the like (S1002, S1003). Details of processing for generating the reset password 8203 and the password reset notification text 8202 will be described later.
  • the external cooperation unit (measure) 1071 of the log analysis cooperation device 1 converts the authority change instruction 1119 as an authority change instruction 1211 interpreted by the authority change function. Similarly, the external cooperation unit (measure) 1071 converts the password reset command 1117 as a password reset command 1212 that is interpreted by the password reset function.
  • an authority change function and password reset function for example, a software development library or the like is prepared, or an instruction format or a communication method is often disclosed.
  • the authority change command 1211 is transmitted from the external cooperation unit (measure) 1071 to the authentication server 10 (or a similar management system).
  • the authentication server 10 changes the execution authority of the asset X using the authority change function.
  • the external cooperation unit (measure) 1071 transmits a password reset command 1212 to the authentication server 10 (or similar management system).
  • the authentication server 10 or similar management system
  • This module resets the password of the administrator of the asset X with the reset password shown below, and notifies the user of the reset password with the following text.
  • the password of the corresponding asset is reset using a password reset function executed remotely from the authentication server 10 (or similar management system).
  • the password reset device 11 includes a password generation function for resetting a password and a password reset notification function for notifying a password after reset.
  • the password reset device 11 performs the following process for resetting the password. (1) Generate “pass — 1” as a secure password. (2) A conversion method prepared in advance is applied to the created password, and a new password “pass — 2” is generated. (3) Using the converted password “pass — 2”, reset the password of the administrator of the asset. (4) An e-mail indicating “pass_1” and “the conversion method applied in (2)” is transmitted to the user of the asset X.
  • the password is automatically reset in the monitored system or monitored device, and the password after reset is You will be notified by e-mail.
  • FIG. 12 is a diagram showing an email generated by the password reset device 11 according to the present embodiment, where (a) is an example of the email, and (b) is a diagram showing another example of the email. is there.
  • FIG. 13 is a diagram showing the configuration and operation of the password reset device 11 according to the present embodiment.
  • the password reset text shown in FIG. 12A is generated by the password reset device 11 shown in FIG.
  • the password reset device 11 includes a password generation unit 801, a conversion rule selection unit 802, a conversion parameter value generation unit 803, a document template selection unit 804, a password reset notification document generation unit 805, and a conversion rule document template DB 806.
  • the password generation unit 801 generates a secure password.
  • the conversion rule selection unit 802 selects a rule for converting the password generated by the password generation unit 801.
  • the conversion rule selection unit 802 searches for and acquires conversion rules from the conversion rule document template DB 806.
  • the conversion parameter value generation unit 803 generates a conversion parameter used when converting the password.
  • the document template selection unit 804 searches the conversion rule document template DB 806 for a document template that is paired with a rule for password conversion.
  • the password reset notification document creation unit 805 creates a document instructing password reset, and outputs a password reset notification text 8202 and a reset password 8203.
  • the conversion rule document template DB 806 is a DB that stores a pair of a password conversion rule and a document template.
  • a pair of a password conversion rule and a document template (hereinafter referred to as “password conversion rule + document template”) is stored and managed as follows by an ID for identifying the pair.
  • ID2 Password conversion rule 2 + document template 2 ...
  • IDn Password conversion rule n + document template n
  • FIG. 14 is a diagram showing a method for generating the reset password 8203 and the password reset notification text 8202 of the password reset device 11 according to the present embodiment. The operation of the password reset device 11 will be described with reference to FIGS.
  • the password reset device 11 inputs a password reset command 8201 (instruction in the authentication server 10 (or similar management system)).
  • the input password reset command 8201 is input to the password generation unit 801 and the conversion rule selection unit 802.
  • the password generation unit 801 generates a secure password by a predetermined algorithm and generates a base password 8101.
  • the conversion rule selection unit 802 randomly selects an ID that manages a password conversion rule + document template pair. For example, the conversion rule selection unit 802 selects “ID1”. Subsequently, the conversion rule selection unit 802 transmits the selected “ID1” to the conversion rule document template DB 806, and acquires the conversion rule 8106 of the corresponding entry.
  • the password conversion rule 1 is acquired from the entry corresponding to “ID1” as follows. ID1: Password conversion rule 1 + document template 1
  • the conversion rule selection unit 802 outputs the password conversion rule 1 as the password conversion rule 8102 to the conversion parameter value generation unit 803.
  • the conversion parameter value generation unit 803 outputs the password conversion rule 1 as the conversion parameter value 8103 as it is.
  • the conversion parameter value generation unit 803 sets a value for the parameter and generates a parameter value 8103.
  • the conversion parameter value generation unit 803 selects and applies an arbitrary character on the spot. Apply to “*”.
  • the number of characters may be one or more.
  • the reset password is “] J9-n1 *% 4> ⁇ q>”.
  • the conversion rule selection unit 802 outputs the selected “ID1” to the document template selection unit 804 as ID8104.
  • the document template selection unit 804 inputs ID 8104 (ID1) from the conversion rule selection unit 802.
  • the document template selection unit 804 searches the conversion rule document template DB 806 using the input ID 8104 (ID1).
  • the document template selection unit 804 acquires the document template 1 corresponding to ID 8104 (ID1) as the document template 8107. Further, the document template selection unit 804 outputs the acquired document template 1 to the password reset notification document generation unit 805.
  • the password reset notification document generation unit 805 refers to the input conversion parameter value 8103.
  • the password reset notification document generation unit 805 includes a conversion table 804a illustrated in FIG.
  • the conversion table 804a describes, for example, the correspondence between the variable represented at the location of where and the conversion in the document.
  • the conversion table 804a describes, for example, the following contents.
  • Top Top is converted to the top (* 2 in FIG. 14).
  • tail ⁇ end tail is converted to the end (* 3 in FIG. 14).
  • the password reset notification document generation unit 805 interprets the conversion parameter value 8103 based on the conversion table 804a as follows. (1) Since it is an append, the designated value is added to the designated location. ⁇ Specified value> From param1, the first one: '! ' second from param2: ')' ⁇ Specified location> From param1, 1st: top ⁇ Start From param2, 2nd: tail ⁇ End
  • the password reset notification document generation unit 805 generates a reset password as follows.
  • the password reset notification document generation unit 805 refers to the input document template 8105 (document template 1) and interprets it as follows.
  • Instruction The subsequent character string is read and interpreted as a password conversion instruction document. Enter value1 as the password1 and value2 as the password2 where2 and value2 as the password.
  • the location of ToBeChanged is specified and read line by line. (Where1, value1), (where2, value2), (do1) are obtained.
  • the password reset notification document generation unit 805 interprets the following.
  • the part that matches 'where1' is replaced with a character string indicating the first conversion part.
  • the part that matches 'value1' is replaced with the first conversion value.
  • the part that matches 'where2' is replaced with a character string indicating the second conversion part.
  • the part that matches “value2” is replaced with the second conversion value.
  • the part that matches 'do1' is replaced with a character string indicating the conversion method.
  • This conversion parameter value 8103 has already been interpreted as follows. (1) Since it is an append, the designated value is added to the designated location. ⁇ Specified value> From param1, the first one: '! ' second from param2: ')' ⁇ Specified location> From param1, 1st: top ⁇ Start From param2, 2nd: tail ⁇ End
  • the password reset notification document generation unit 805 performs the following conversion. Replace the location that matches 'where1' with the character string that indicates the first conversion location ⁇ 'Start'. Replace the location that matches' value1 'with the first conversion value ⁇ '! '.
  • a password conversion instruction document (hereinafter referred to as a conversion instruction document) is converted as follows. Conversion instruction document: “Please enter '!' At the beginning of the password below and“ value2 ”at do1 and enter it as the password.” Here, “head” and “'!'” Are converted parts.
  • the password reset notification document generation unit 805 performs the following conversion. Replace the location that matches 'where2' with a character string that indicates the second conversion location ⁇ 'End'. Replace the location that matches 'value2' with the second conversion value ⁇ ')'.
  • the password conversion instruction document is converted as follows. Conversion instruction document: “Do1 at the beginning of the password below and do it with“! ”At the end, and enter it as the password.” Here, “end” and “′) ′” are converted parts.
  • the password reset notification document generation unit 805 performs the following conversion.
  • the part of do1 is replaced with “append ⁇ 'add'” which is a conversion instruction.
  • the password conversion instruction document is converted as follows. Conversion instruction document: "Add '!' To the beginning of the password below and add ')' to the end, and enter it as the password.” Here, “addition” is the converted part.
  • the password reset notification document generation unit 805 adds the base password 8101 to the end of the conversion instruction document, and finally generates a password reset document (conversion instruction document) as follows (see FIG. 12A). ). Conversion instruction document: Just before the password below! Add ')' at the end and enter it as a password. J9-n1 *% 4> ⁇ q
  • the password reset notification document generation unit 805 outputs the password reset document (conversion instruction document) as the password reset notification document 8202. Further, the password reset notification document generation unit 805 outputs a reset password 8203.
  • the authentication server 10 (or similar management system) resets the administrator password of the asset X using the reset password 8203 that is the output of the password reset device 11 (S1002 in FIG. 10).
  • the authentication server 10 receives the password reset notification document 8202 that is the output of the password reset device 11, uses the password reset notification document 8202 as the mail text, and transmits an e-mail to the user of the asset X. (S1003 in FIG. 11).
  • the user of the asset X receives this e-mail, he reads the text of the e-mail and follows the instruction, and inputs the reset password as the password after reset. Thereafter, the user may reset the password.
  • FIG. 12B there is a method of generating the following text as the password reset notification document 8202.
  • the mail message shown in FIG. 12 (b) is “Please select the animal number that matches the image and add the name to the end of the password below to make it a password”, and then the base password “J9-n1 *% 4> ⁇ q "is displayed. Further, after that, a fish image is attached, and a selection branch “1. tiger, 2. snack, 3. fish, 4. Michel” is displayed. The position of the fish image and the options may be reversed.
  • the conversion rule document template DB 806 manages the following. ID1: Password conversion rule g + document template g + image template g.
  • the document template g has the following contents.
  • the image template g has the following contents. ⁇ Image template g> "Fish images” “1. tiger, 2. snake, 3. fish, 4. Michel”
  • the processes of the password generation unit 801, the conversion rule selection unit 802, and the conversion parameter value generation unit 803 are the same as the processes for generating the mail in FIG.
  • the document template selection unit 804 acquires the image template g in addition to the document template g, and outputs it to the password reset notification document generation unit 805.
  • the password reset notification document generation unit 805 generates a password reset notification document 8202 (conversion instruction document) as follows, similarly to the above-described processing.
  • the document template g does not have a ToBeChanged value 1 and there is no portion corresponding to the value 1 in the Instruction document.
  • the password reset notification document generation unit 805 generates the base password “J9- after the conversion instruction document:“ Select the animal number that matches the image and add the name to the end of the following password to make it a password ”. n1 *% 4> ⁇ q "is added. Next, the password reset notification document generation unit 805 adds' 1. tiger, 2. snake, 3. fish, 4. Add Michel '. Further, the password reset notification document generation unit 805 attaches a fish image to the password reset notification document 8202.
  • the password reset notification document generation unit 805 generates the password reset notification document 8202. Also, the password reset notification document generation unit 805 generates “J9-n1 *% 4> ⁇ qfish” as the reset password 8203 according to the rule.
  • the log analysis linkage device instructs the authentication system to change the execution of assets with administrator privileges to execution with other privileges when the information on attacks that may occur in the future includes unauthorized access by password hashing. Output. Furthermore, the log analysis cooperation device generates a new administrator password by a device that is added to the existing authentication system, and resets the password of the corresponding asset with the password from the authentication system. In addition, the user of the corresponding asset is notified by e-mail of a sentence notifying the reset password. At that time, the text of the e-mail contains the “base password”, “base password conversion method (document)”, and the password that was converted to the base password using the conversion method indicated in the document. It is a content indicating “is.”
  • the characteristic of the password generation method described above is that “the password generation method is not known unless a human reads the document”. Even if the malware receives the mail including the password reset notification document 8202, the malware cannot interpret the conversion rule, thereby preventing the reset password from being misused by the malware.
  • the log analysis linkage system 1000 in the attack scenario, when it is determined in the future that an unauthorized access due to password hash impersonation will occur, execution of the attack target asset from the asset information. Check if the authority is administrator authority, and if it is executed with administrator authority, by making the execution authority other than administrator authority via the authentication server, the password hash can be stolen by malware and misappropriated There is an effect to prevent.
  • the password of the user (administrator) in the attack target asset is forcibly reset, and the reset password is set in the attack target asset.
  • the reset password cannot be determined unless a person understands the text. Therefore, even if the malware obtains a password e-mail, the password is not known and it is misused. There is an effect that it is not possible.
  • Embodiment 5 FIG. In the present embodiment, differences from Embodiments 1 to 4 will be mainly described. Functional configurations similar to those described in Embodiments 1 to 4 are denoted by the same reference numerals, and description thereof may be omitted.
  • the log analysis collaboration system 1000 searches the log for possible future attacks from the log based on the attack scenario including the attack notified by the warning information. Or, a method of searching from logs for the time when an attack would have occurred was described.
  • the log analysis cooperation device 1 will be described with respect to processing for correcting the attack scenario 1104 and generating a corrected scenario when it is indicated that there is no searched entry.
  • the log analysis cooperation device 1 determines the target of the search request from the attack scenario 1104 referred to at that time to the log analysis device 903.
  • a modified scenario in which the attack is deleted is generated and added to the attack scenario DB 1013.
  • attack scenario 1104 in FIG. 5 a case will be described in which no trace is found for “attack scenario element 3: 1104_e3” even if a log schedule search is performed.
  • the log analysis cooperation device 1 deletes “attack scenario element 3: 1104_e3” from the attack scenario 1104, and generates a new attack scenario 1104 '.
  • the new attack scenario 1104 ′ has the following contents. Attack scenario 1104 ′: “1104_e1: attack scenario element 1 ⁇ 1104_s1: interval 1 ⁇ 1104_e2: attack scenario element 2”.
  • the log analysis cooperation device 1 adds the newly generated attack scenario 1104 'to the attack scenario DB 1013 as an additional scenario.
  • production time. In this case, “1104_s2: interval 2 24 to 48 hours” may be set as a result of correction by reflecting a difference between the expected occurrence time and the actual occurrence time (for example, a time difference of 24 hours).
  • the difference between the predicted occurrence time and the actual occurrence time can be reflected in the attack scenario, so that a highly accurate schedule search is executed. be able to.
  • Embodiment 6 FIG. In this embodiment, differences from Embodiments 1 to 5 will be mainly described. Functional configurations similar to those described in Embodiments 1 to 5 are denoted by the same reference numerals, and the description thereof may be omitted.
  • attack scenario 1104 of FIG. 5 the interval 1: 1104_s1 and the interval 2: 1104_s2 are described. However, in this embodiment, the attack scenario 1104 that does not include the occurrence time between the attacks of the interval 1 and the interval 2 is used. That is, in this embodiment, the attack scenario 1104 is as follows. Attack scenario element 1: 1104_e1 ⁇ attack scenario element 2: 1104_e2 ⁇ attack scenario element 3: 1104_e3.
  • attack scenario element 3: 1104_e3 corresponds to the related attack information 1105.
  • the interval 2 included in the related attack information 1105 is used to generate the predicted attack occurrence date and time included in the log search information 1113.
  • the log analysis cooperation device 1 according to the present embodiment gives the following instruction in the search schedule condition 1205 instead of the “interval” information.
  • Example 1 “Search for a period of p hours every m hours from the date and time when the attack occurred”.
  • Example 2 “Search once from the date of attack occurrence, The second time is a period of p1 hours after 1 ⁇ m hours after the first search, The third time is a period of p2 hours after 2 ⁇ m hours after the second search, The fourth time is a period of p3 hours after 3 ⁇ m hours after the third search, ... search n times in the same way.
  • the period from the search to the next search becomes longer.
  • Example 3 “Search once from the date and time of the attack, The second time is a period of p1 hours after 1 ⁇ m hours after the first search, The third time is a period of p2 hours after 2 ⁇ m hours after the second search, The 4th time is 4 ⁇ m hours after the 3rd search, a period of p3 hours, ... search n times in the same way.
  • the period from the search to the next search is doubled and lengthened.
  • p1, p2, and p3 may be the same or different.
  • the part “from the date and time when the attack occurred” may be replaced with “from the current time”, “from p time from now”, “from the next 0:00”, or the like.
  • the schedule search unit 1010 receives information such as the time, period, and number of times for performing the schedule search in this way as the search schedule condition 1205, and generates a search command 1114.
  • the predicted date and time of occurrence of the attack is generated based on the search schedule condition 1205. For example, if the search schedule condition 1205 includes a condition of “every m hours from the date and time of occurrence of the attack”, the predicted date and time of occurrence of the attack is “attack occurrence date and time + m hours later” (hereinafter “m hours later”).
  • the attack possibility determination unit 107 does not generate the predicted date and time of occurrence of an attack, but the schedule search unit 1010 generates it. Therefore, in the first embodiment, the log search information 1113 output from the attack availability determination unit 107 includes the search date and time as a search condition, but is not included in the present embodiment, and is generated and added by the schedule search unit 1010. .
  • the attack availability determination unit 107 generates log collection information 1110.
  • the log collection information 1110 includes a collection condition based on the predicted date and time of occurrence of an attack as the collection condition.
  • the predicted date and time of occurrence of the attack is calculated based on the interval included in the attack scenario.
  • the expected attack occurrence date and time is generated by the schedule collection unit 108 based on the collection schedule condition 1204.
  • the collection schedule condition 1204 has the same description as the search schedule condition 1205 in the present embodiment (the description “search” replaces “collect”).
  • the search schedule condition 1205 in the present embodiment may be input to the attack availability determination unit 107, and the attack availability determination unit 107 may calculate the expected attack occurrence date and time for the search from the search schedule condition 1205.
  • the collection schedule condition 1204 in the present embodiment may be input to the attack availability determination unit 107, and the attack availability determination unit 107 may calculate the expected attack occurrence date and time for collection from the collection schedule condition 1204.
  • the attack occurrence date / time is set to the future, but when searching for an attack that would have occurred retroactively or collecting logs, specify m (time) as a negative value. do it.
  • attack scenario element included in the related attack information 1105 is “attack scenario element 3: 1104_e3”
  • searched attack scenario 1104 is as follows, and there are cases where the number of attack scenario elements included in the related attack information 1105 is plural.
  • Attack scenario elements included in the related attack information 1105 “attack scenario element 3: 1104_e3, attack scenario element 4: 1104_e4, attack scenario element 5: 1104_e5”. That is, there are a plurality of attack scenario elements included in the related attack information 1105.
  • the attack propriety determination unit 107, the schedule search unit 1010, and the schedule collection unit 108 are similar to the processing for the attack scenario element 3: 1104_e3 described above for these multiple attack scenario elements included in the related attack information 1105. Processing may be performed.
  • the attack propriety determination unit 107 determines whether an attack included in each attack scenario element occurs in the asset indicated by the corresponding asset information 1109 according to FIG. For the attack scenario element determined to occur in the asset indicated by the corresponding asset information 1109 by the processing of FIG. 8, the schedule search unit 1010 executes log search.
  • an attack corresponding to the attack scenario element 3: 1104_e3 is searched from the log by the schedule search unit 1010. Thereafter, the schedule search unit 1010 applies the time / period / number of times for performing the schedule search included in the search schedule condition 1205 with the date / time when the attack of the attack scenario element 3: 1104_e3 recorded in the log occurred as the date / time when the attack occurred. Further, a schedule search is performed for attack scenario element 4: 1104_e4.
  • the schedule search unit 1010 uses the date and time when the attack of the attack scenario element 4: 1104_e4 recorded in the log occurs as the attack occurrence date and time, and the search schedule condition By applying the time, period, number of times, etc., of the schedule search included in 1205, the attack scenario element 5: 1104_e5 is further scheduled.
  • the schedule search unit 1010 may output the search result 1116 to the output unit 1012 each time each attack scenario element is searched from the log, or collectively when the attack scenario element 5: 1104_e5 is searched. All search results may be output.
  • the schedule collection unit 108 schedules and collects logs that may include subsequent attack scenario elements, as in the process of the schedule search unit 1010. May be.
  • the schedule search unit 1010 may perform processing for the determined attack scenario element.
  • the schedule search unit 1010 may process all of the attack scenario element 3: 1104_e3, the attack scenario element 4: 1104_e4, and the attack scenario element 5: 1104_e5 regardless of the determination result.
  • the occurrence of an attack can be predicted by providing information on the search timing and interval in the search schedule condition. It is possible to calculate the date and schedule search. In addition, it is also possible to calculate the expected date and time of attack occurrence and collect log schedules by giving information related to the collection time and interval under the collection schedule conditions.
  • Embodiment 7 FIG. In the present embodiment, differences from Embodiments 1 to 6 will be mainly described. Functional configurations similar to those described in the first to sixth embodiments are denoted by the same reference numerals, and description thereof may be omitted.
  • the interval information and the connection between attacks may be unknown.
  • the operation of the log analysis cooperation system 1000 using a scenario when the attack scenario 1104 includes neither an interval nor a connection between attacks will be described.
  • the interval 1: 1104_s1, the interval 2: 1104_s2, and the order are described as ⁇ as the connection between the attacks, but in this embodiment, the interval between the attacks of the interval 1 and the interval 2 is described. And the attack scenario 1104 that does not include the connection between attacks is used. That is, the attack scenario 1104 is as follows, for example. Attack scenario element 1: 1104_e1, attack scenario element 2: 1104_e2, attack scenario element 3: 1104_e3, attack scenario element 4: 1104_e4, attack scenario element 5: 1104_e5. As described above, the attack scenario 1104 according to the present embodiment has neither “interval” nor “ ⁇ ”, and means an attack group constituting the attack scenario.
  • the attack scenario DB search unit 103 outputs the attack identification information 1103 (same as the example in the first embodiment) to the attack scenario DB 1013, and acquires the attack scenario 1104.
  • the attack scenario DB search unit 103 searches for an “attack scenario included in the attack identification information 1104_a of the attack scenario element 1104_e” whose attack ID is a constituent element of the attack identification information 1103.
  • the related attack extraction unit 104 inputs the attack scenario 1104 and analyzes the attack scenario 1104 by the processing device.
  • the related attack extraction unit 104 extracts information related to the attack included in the notified attack scenario 1104.
  • the related attack extraction unit 104 inputs a related attack extraction condition 1203.
  • the related attack extraction condition 1203 is “all attacks except for the notified attack”.
  • attack scenario 1104 is as follows, and the attack ID included in the warning information 1102 is the attack ID of the attack scenario element 2: 1104_e2.
  • attack scenario element 1 1104_e1, Attack scenario element 2: 1104_e2, Attack scenario element 3: 1104_e3, Attack scenario element 4: 1104_e4, Attack scenario element 5: 1104_e5”.
  • the related attack information 1105 extracted by the related attack extraction unit 104 is the following excluding the attack scenario element 2 from the attack scenario 1104. “Attack scenario element 1: 1104_e1, attack scenario element 3: 1104_e3, attack scenario element 4: 1104_e4, attack scenario element 5: 1104_e5”.
  • the related attack extraction unit 104, the attack availability determination unit 107, the schedule search unit 1010, and the schedule collection unit 108 are implemented for each of the attack scenario element 1, the attack scenario element 3, the attack scenario element 4, and the attack scenario element 5.
  • the same processing as in the sixth embodiment is performed. That is, the schedule search unit 1010 individually applies the search time, period, and number of times indicated in the search schedule condition 1205 to the attack occurrence date and time of the attack scenario element 2: 1104_e2 for each attack scenario element, Perform a search. Then, the schedule search unit 1010 inputs a search result 1115 for each attack scenario element. Similarly, the schedule collection unit 108 collects logs.
  • the search schedule condition 1205 for example, “when s% of the number of attack scenario elements in the attack scenario 1104 is searched by schedule search within t hours, it is determined that the attack according to the scenario is progressing. Is added. t may be 0, plus (future), minus (past), plus / minus (before and after the expected occurrence date of attack), or 0.
  • the schedule search unit 1010 has any two or more of attack scenario element 1, attack scenario element 3, attack scenario element 4 and attack scenario element 5 (attack scenario 3 or more in combination with element 2) is searched within 720 hours (30 days), it is determined that an attack according to the attack scenario is in progress, and the search result 1116 is output to the output unit 1012 .
  • the search result for each time may be output as the search result 1116.
  • the search schedule condition 1205 “when s% of attacks in the attack scenario 1104 are searched by scheduled search within t hours, it is determined that the attack according to the scenario is progressing, and the same attack is counted multiple times. In the case where the same attack scenario element is searched a plurality of times, an instruction to be included in the count may be given.
  • the search time and interval in the search schedule condition By providing the information about the attack scenario and making the condition for attack establishment that a certain number of elements included in the attack scenario are searched, there is an effect that it is possible to search for attacks according to the scenario and determine the attack establishment .
  • log information can be collected by calculating the expected date and time of occurrence of an attack by giving information on the collection time and interval in the collection schedule condition.
  • the information related to the collection time and interval given by the collection schedule condition is, for example, information such as “within t hours from the predicted occurrence date and time of attack”, which is different from the sixth embodiment. It is.
  • Embodiment 8 FIG. In the present embodiment, differences from Embodiments 1 to 7 will be mainly described. Functional configurations similar to those described in the first to seventh embodiments are denoted by the same reference numerals, and description thereof may be omitted.
  • the attack target in the attack scenario is the asset indicated by the warning information 1102.
  • the attack target in the attack scenario is the asset indicated by the warning information 1102.
  • the attack destination information of the asset search information 1108 Destination IP / Port, asset ID and the like are input to the asset DB search unit 106 and output to the asset DB 1015 as the asset search information 1108.
  • Information about the asset indicated by Destination IP or asset ID and other assets that can be connected from the Destination IP via the network is returned to the asset DB search unit 106 as asset information 1109.
  • the asset DB 1015 returns information on the asset that uses the Port as asset information 1109. That is, there are a plurality of asset information 1109 depending on circumstances.
  • the asset DB 1015 may extract assets that use the same OS or application (same version and patch application state) as the asset identified by Destination IP / Port and asset ID.
  • the asset DB search unit 106 inputs related attack information 1105 (not shown), and affected products (product ID, version information, patch) included in the attack information 1104_b in the included attack scenario element 1104_e. ID) information may be included in the asset search information 1108 and output to the asset DB 1015.
  • the asset DB 1015 outputs an asset that uses a product that can be affected by the attack as asset information 1109.
  • attack information 1104_b for example, when the type of attack target such as an authentication server / file server / DB server / router / switch is indicated, an asset based on that type is displayed.
  • the DB 1015 may search and output asset information 1109. Since there can be one or more attack scenario elements 1104_e, in that case, a search is performed for each.
  • the attack propriety determination unit 107 performs the same processing as that of the first embodiment for each of the one or more pieces of asset information 1109 (the attack propriety determination unit 107, the schedule search unit 1010, the schedule collection unit 108, and the output unit 1012). ).
  • the condition “search for information about the asset indicated by Destination IP and other assets connectable from the Destination IP” described above is (shown). However, it is input to the asset DB search unit 106 as an asset search condition.
  • the log analysis linkage system it is possible to search for assets that can be attacked other than the assets that have been attacked.
  • the scope of the log search can be expanded, and there is an effect of reducing the log search skipping.
  • the log analysis cooperation device receives an attack detection from the SIEM device (SIEM system).
  • SIEM system SIEM system
  • the log analysis cooperation device refers to an attack scenario including information on a detected attack received from the SIEM system, and extracts information on an attack that may occur in the future described in the attack scenario.
  • the log analysis cooperation device refers to the asset information of the attack target asset, refers to the security countermeasure, matches with information on an attack that can occur in the future, and determines whether an attack that may occur in the future actually occurs.
  • the log analysis linkage device schedules an instruction to search the log analysis system for a log in which the trace of the attack remains at the expected attack occurrence time.
  • the log analysis cooperation device acquires information on attacks that may have occurred in the past according to the attack scenario, and instructs the log analysis system to search for the trace.
  • the log analysis linkage system 1000 in the detection / follow-up observation of APT (attack) by log analysis, the features of the SIEM system and the log analysis system are utilized, and the APT detection / follow-up observation is made efficient. Therefore, in the log analysis cooperation system 1000, the SIEM system is used for APT detection by correlation analysis of events that are not complicated and frequent. Further, for subsequent APT attacks, according to the scenario of the APT attack, the log analysis system can be scheduled to search at the expected occurrence time of the subsequent attack, thereby realizing log analysis efficiency.
  • the log analysis cooperation system 1000 having the following features has been described.
  • the log analysis linkage device instructs the log analysis system (or logger, etc.) to collect a log that leaves a trace of the attack at the expected attack occurrence time. Output.
  • efficient log collection can be performed even in a device where log collection is always difficult.
  • the attack availability determination unit 107 may proceed with processing assuming that related attack information 1105 occurs.
  • the presence / absence of countermeasures 1107 ′ and asset information 1109 are searched for some, and the remaining are not searched, an attack occurs for the attack scenario elements that are not searched. Processing may proceed as a thing.

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • General Engineering & Computer Science (AREA)
  • Computer Hardware Design (AREA)
  • Theoretical Computer Science (AREA)
  • Software Systems (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Computing Systems (AREA)
  • Signal Processing (AREA)
  • General Physics & Mathematics (AREA)
  • Physics & Mathematics (AREA)
  • Quality & Reliability (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)
  • Computer And Data Communications (AREA)

Abstract

　通信機器９０４のログを収集して記憶装置に記憶するロガー９０１と、攻撃を検知するＳＩＥＭ装置９０２と、ロガー９０１により収集されたログを分析するログ分析装置９０３とを備えるログ分析連携システム１０００において、ログ分析連携装置１が攻撃シナリオ１１０４を記憶装置に記憶し、検知した攻撃の情報を含む警告情報１２０１'をＳＩＥＭ装置９０２から受信し、警告情報１２０１'と攻撃シナリオ１１０４とに基づいて、検知した攻撃の次に発生すると予測される攻撃の予測発生時期を算出し、算出した予測発生時期にログを検索するようにスケジュール検索９１５をログ分析装置９０３に送信し、ログ分析装置９０３は予測発生時期にログを検索するようにスケジュール検索９１６をロガー９０１に送信する。

Description

攻撃分析システム及び連携装置及び攻撃分析連携方法及びプログラム
　本発明は、攻撃分析システム及び連携装置及び攻撃分析連携方法及びプログラムに関する。特に、攻撃検知システムとログ分析システムとを連携して効率的に攻撃分析を行う攻撃分析システムに関する。
　近年、マルウェアが機密情報を組織外に漏洩させる事故が問題となっている。マルウェアを用いたサイバー攻撃は高度化されつつあり、例えば、非特許文献１に示されるＡＰＴ（高度かつ継続的な脅威：Ａｄｖａｎｃｅｄ・Ｐｅｒｓｉｓｔｅｎｔ・Ｔｈｒｅａｔ）と呼ばれる攻撃等がある。
　ＡＰＴでは、添付メールなどで組織に侵入したマルウェアが、計算機に感染し、さらに、攻撃者が運用するインターネット上のＣ＆Ｃ（Ｃｏｍｍａｎｄ＆Ｃｏｎｔｒｏｌ）サーバと通信し、新しいマルウェアや攻撃ツールをダウンロードしたり自身をアップデートする。そして、組織内を偵察し、ファイルサーバを見つけ、機密ファイルをＣ＆Ｃサーバへ漏洩する。これらの各活動を、攻撃とみなした場合、各攻撃は、長時間かけて段階的に行われる。例えば、計算機に感染したマルウェアは、感染後、１ヶ月は活動せず身を潜め、１ヵ月後にＣ＆Ｃサーバと通信を開始する。
　このように、ＡＰＴでは、複数の攻撃が、時間をおいて行われる。
　ＡＰＴの対策には、様々な方法がある。ＡＰＴ対策の製品として、メールによる侵入を防止する製品、情報漏洩を防止する製品などがある。
　また、ＡＰＴ対策の方法の一つとして自動的にログ分析する方法がある。自動的にログ分析する方法は、計算機、サーバ、ルータ等のネットワーク機器、ファイアウォール、侵入検知システム等のセキュリティ機器等のログを分析し、相互の相関関係を調べる、あるいはログから異常な記録を見つける。自動的にログ分析する方法は、このような分析をすることにより、ＡＰＴを検知する、あるいは経過を観察する方法である。
　ファイアウォール、あるいは侵入検知システム等のセキュリティ機器のログなどの相関関係を調べることで自動的に異常を検知する製品の例として、ＳＩＥＭ（セキュリティ情報およびイベント管理：Ｓｅｃｕｒｉｔｙ・Ｉｎｆｏｒｍａｔｉｏｎ・ａｎｄ・Ｅｖｅｎｔ・Ｍａｎａｇｅｍｅｎｔ）システムがある（特許文献１参照）。ＳＩＥＭシステムは、統合ログ監視システムなどと呼ばれることもある。
　また、各種ログを様々なキーワードでドリルダウンする、あるいは時系列で状況変化を表示する等により、人間が異常を発見するログ分析システムがある。
　特許文献１では、業務システム用サーバとは別に中継サーバを導入し、中継サーバにおいてユーザ認証を行なうとともに、利用ログを収集する方法が提案されている。
特表２００４－５３７０７５号公報
「新しいタイプの攻撃」の対策に向けた設計・運用ガイド，改訂第２版，ＩＰＡ
　ＳＩＥＭシステムでは、オンメモリでリアルタイムにイベントを監視しているので、複雑な相関分析や多発するイベントの相関分析は実質的にはできないため、ＡＰＴに対して十分な対策がとれないという課題がある。
　また、ログ分析システムでは、複数のログに対して複雑な検索を実行することができるが、相関分析のようにリアルタイムにイベントを検知するためには検索を短時間に繰り返し実行する必要がある。したがって、複数の検索式を多数同時に行うために、膨大な計算リソースが必要であるという課題がある。
　つまり、ログを分析する方法によるＡＰＴの検知においては、ＳＩＥＭシステムもログ分析ステムも単体では対応しきれないという課題がある。
　本発明は、上記のような課題を解決するためになされたものであり、ＳＩＥＭシステムで検知した攻撃について、攻撃シナリオを元にログ分析システムを連携させ、将来起こる可能性のある攻撃の痕跡をログから効率よく発見することを目的とする。
　本発明に係る攻撃分析システムは、
　監視対象ネットワークに接続される少なくとも１つの機器のログを収集して記憶装置にログ情報として記憶するログ収集装置と、前記監視対象ネットワークに対する攻撃を検知する検知装置と、前記ログ収集装置により収集された前記ログ情報を分析する分析装置とを備える攻撃分析システムにおいて、
　前記検知装置に接続されるとともに、前記分析装置に接続される連携装置を備え、
　前記検知装置は、
　前記監視対象ネットワークに対する攻撃を検知すると、検知した攻撃を識別する攻撃識別子と前記検知した攻撃が発生した攻撃発生時期とを含む警告情報を前記連携装置に送信し、
　前記連携装置は、
　前記監視対象ネットワークに対して発生すると予測される複数の攻撃の各々を識別する複数の攻撃識別子を含む攻撃シナリオ情報であって、前記複数の攻撃の発生する順番と、前記順番が連続する２つの攻撃の発生間隔とを含む攻撃シナリオ情報を予め記憶装置に記憶する攻撃シナリオ情報記憶部と、
　前記検知装置から前記警告情報を受信すると、受信した前記警告情報と前記攻撃シナリオ情報記憶部により記憶された前記攻撃シナリオ情報とに基づいて、前記攻撃シナリオ情報に含まれる前記複数の攻撃のうち前記攻撃発生時期の前後の時期において発生すると予測される攻撃である分析対象攻撃であって、前記検知した攻撃とは別の攻撃である分析対象攻撃が発生すると予測される予測発生時期を処理装置により算出し、算出した前記予測発生時期の前記ログ情報を分析する要求であるスケジュール分析要求を前記分析装置に送信するスケジュール分析要求部と
を備え、
　前記分析装置は、
　前記連携装置の前記スケジュール分析要求部から送信された前記スケジュール分析要求に基づいて、前記予測発生時期の前記ログ情報を分析することを特徴とする。
　本発明に係る攻撃分析システムによれば、連携装置が攻撃シナリオ情報を記憶装置に記憶し、検知した攻撃の情報を含む警告情報を検知装置から受信し、警告情報と攻撃シナリオ情報とに基づいて、検知した攻撃の次に発生すると予測される攻撃の予測発生時期を算出し、算出した予測発生時期にログ情報を検索するようにスケジュール検索を分析装置に送信するので、検知装置と分析装置を連携させることにより、将来起こる可能性のある攻撃の痕跡をログ情報から効率よく発見することができるという効果を奏する。
実施の形態１に係るログ分析連携システム１０００の全体構成を示す図である。 実施の形態１に係るログ分析連携装置１、ロガー９０１、ＳＩＥＭ装置９０２、ログ分析装置９０３のハードウェア構成の一例を示す図である。 実施の形態１に係るログ分析連携装置１の構成及び動作の概要を示す図である。 実施の形態１に係る警告情報１２０１の構成の一例を示す図である。 実施の形態１に係る攻撃シナリオ１１０４の構成の一例を示す図である。 実施の形態１に係る対策情報１１０７の構成の一例を示す図である。 実施の形態１に係る資産情報１１０９の構成の一例を示す図である。 実施の形態１に係る攻撃可否判定部１０７の攻撃可否判定処理を示すフローチャートである。 実施の形態２に係るログ分析連携装置１の構成及び動作の概要を示す図である。 実施の形態４に係るログ分析連携装置１の構成及び動作の概要を示す図である。 実施の形態４に係る認証サーバ１０の構成と動作とを示す図である。 実施の形態４に係るパスワードリセット装置１１により生成される電子メールの一例を示す図である。 実施の形態４に係るパスワードリセット装置１１の構成と動作とを示す図である。 実施の形態４に係るパスワードリセット装置１１のリセット用パスワード８２０３及びパスワードリセット通知文面８２０２の生成方法を示す図である。
　実施の形態１．
　図１は、本実施の形態に係るログ分析連携システム１０００の全体構成を示す図である。図１を用いて、本実施の形態に係るログ分析連携システム１０００（攻撃分析システムの一例）の全体構成と動作の概要について説明する。
　図１において、ログ分析連携システム１０００は、ロガー９０１（ログ収集装置の一例）、ＳＩＥＭ装置９０２（検知装置の一例）、ログ分析装置９０３（分析装置の一例）、ログ分析連携装置１（連携装置の一例）を備える。
　ロガー９０１は、監視対象ネットワークが備える少なくとも１つの機器（通信機器９０４）のログを収集して記憶装置にログ情報として記憶する。
　ロガー９０１は、監視対象のＰＣやサーバなどの計算機９０４ａ、ルータなどのネットワーク機器９０４ｂ、ファイアウォールや侵入検知装置などのセキュリティ機器９０４ｃ、スマートフォンやタブレットＰＣなどのモバイル機器９０５と接続する。
　ロガー９０１は、計算機９０４ａ、ネットワーク機器９０４ｂ、セキュリティ機器９０４ｃ、モバイル機器９０５等のログを収集、蓄積する。
　ＳＩＥＭ装置９０２は、ロガー９０１に蓄積されたログを相関分析するなどして異常を検知する。ＳＩＥＭ装置９０２は、検知ルール９１２を備える。ＳＩＥＭ装置９０２は、例えば、検知ルール９１２を記憶装置に記憶する。
　検知ルール９１２は、攻撃などの異常を検知するためのログ分析のルールである。検知ルール９１２は、例えば、相関分析のルールである。
　ログ分析装置９０３は、オペレータによる操作により、ロガー９０１に蓄積されたログをキーワード検索でドリルダウンする等の分析をする。また、ログ分析装置９０３は、オペレータによる操作により、特定のサーバへのアクセス状況を可視化し、状況を目視できるように表示する。このように、ログ分析装置９０３では、オペレータによる操作によりログを分析し、オペレータが異常を発見する。
　ログ分析連携装置１は、ＳＩＥＭ装置９０２とログ分析装置９０３との間に位置し、ＳＩＥＭ装置９０２と接続するとともにログ分析装置９０３と接続する。
　ログ分析連携装置１は、ＳＩＥＭ装置９０２とログ分析装置９０３とを連携する。
　ログ分析連携装置１は、攻撃シナリオＤＢ１０１３、資産ＤＢ１０１５、セキュリティ対策ＤＢ１０１４を備える。
　ログ分析連携装置１がＳＩＥＭ装置９０２とログ分析装置９０３とを連携する動作の概要について説明する。
　ＳＩＥＭ装置９０２は、ロガー９０１からログ９１１を収集し、検知ルール９１２を用いて、リアルタイムの相関分析を実行する。このように、ＳＩＥＭ装置９０２は、常に異常検知を実行している。
　以下に、図１を用いて、ＳＩＥＭ装置９０２が異常を検知した場合の動作（攻撃分析連携方法）の一例について説明する。以下の（１）～（８）は、図１の（１）～（８）に対応する。
　（１）ＳＩＥＭ装置９０２は、検知ルール９１２における検知ルールＢにより、攻撃ｂ（検知攻撃）を検知する。
　（２）ＳＩＥＭ装置９０２は、攻撃ｂを検知したことを警告情報１２０１’として、ログ分析連携装置１に通知する（警告情報送信処理，警告情報送信工程）。ログ分析連携装置１は、警告情報を受信する（警告情報受信処理，警告情報受信工程）。
　（３）ログ分析連携装置１は、攻撃ｂの次に起こると予測される攻撃ｃ（次攻撃）を、ＤＢから検索する。ログ分析連携装置１は、攻撃ｂの後に起こる攻撃ｃの発生の可能性を、攻撃シナリオＤＢ１０１３、資産ＤＢ１０１５、セキュリティ対策ＤＢ１０１４から判断する。攻撃シナリオＤＢ１０１３、資産ＤＢ１０１５、セキュリティ対策ＤＢ１０１４は、例えば、ログ分析連携装置１の備える記憶装置１’に記憶されている。
　（４）ログ分析連携装置１は、ログ分析装置９０３に対し、攻撃ｃの痕跡をログから検索するためにスケジュール検索９１５を依頼する。言い換えると、ログ分析連携装置１は、攻撃ｂ（検知攻撃、検知した攻撃）の次に発生すると予測される攻撃ｃ（次攻撃、分析対象攻撃）が発生すると予測される時期（予測発生時期）を算出し、攻撃ｃ（次攻撃）が発生すると予測される時期（予測発生時期）のログをスケジュール検索するために、ログ分析装置９０３に対し、スケジュール検索９１５を依頼する（（３），（４）の処理は、スケジュール分析要求処理，スケジュール分析要求工程）。
　（５）ログ分析装置９０３は、スケジュール検索９１５の依頼にもとづき、ロガー９０１に対してスケジュール検索９１６を実行する。
　（６）ログ分析装置９０３は、スケジュール検索９１６の検索結果９１７を受信する。
　（７）ログ分析装置９０３は、受信した検索結果９１７を検索結果９１８として、ログ分析連携装置１へ送信する。
　（８）ログ分析連携装置１は、（７）の結果を受信し、（７）の結果に応じた処理を実行する（ログ情報分析処理，ログ情報分析工程）。
　ログ分析連携装置１は、（７）の結果、攻撃ｃが検出されなかった場合、攻撃ｃの発生時期が攻撃シナリオ１１０４と合っていない可能性があると判断する。そして、ログ分析連携装置１は、スケジュール検索９１５のタイミングを変更し、さらに、ログ分析装置９０３へスケジュール検索９１５を発行する。
　ログ分析連携装置１は、（７）の結果、攻撃ｃが検出された場合は、攻撃ｃが検索されたことをＧＵＩ上でオペレータに通知する。オペレータは、この通知を受け、ログ分析装置９０３を用いてさらに詳しく攻撃ｃの痕跡などを分析する。
　モバイル機器９０５（特定の機器）は、ＣＰＵ、メモリ、回線等の制約により、常にログを収集することが難しい場合がある。したがって、ロガー９０１は、通常は、モバイル機器９０５からのログは行わない。あるいは、ロガー９０１は、１日に１回等の定期的あるいは不定期に、モバイル機器９０５からログを収集するとしてもよい。
　ログ分析連携装置１は、（１）～（３）において、攻撃ｃがモバイル機器９０５で発生すると判断した場合、（４）のスケジュール検索９１５のタイミングで、（４）のスケジュール検索９１５の前にスケジュール収集９１５’をログ分析装置９０３へ通知する（（４）’）。
　ログ分析装置９０３は、ログ分析連携装置１から通知されたスケジュール収集９１５’を、スケジュール収集９１６’としてロガー９０１へ通知する（（５）’）。
　ロガー９０１は、ログ分析装置９０３からスケジュール収集９１６’を通知されると、モバイル機器９０５にスケジュール収集９１６’’を通知し（（５）’’）、モバイル機器９０５からログ９１７’’を収集する（（６）’’）。ロガー９０１は、モバイル機器９０５からのログの収集結果を、収集結果９１７’として、ログ分析装置９０３へ送信する（（６）’）。
　ログ分析装置９０３は、ロガー９０１から収集結果９１７’を受信すると、収集結果９１８’としてログ分析連携装置１へ送信する（（７）’）。
　この後、ログ分析連携装置１、ログ分析装置９０３、ロガー９０１は、上記（４）～（７）を実行する。
　以上で、ログ分析連携システム１０００の全体構成と動作の概要についての説明を終わる。
　図２は、本実施の形態に係るログ分析連携装置１、ロガー９０１、ＳＩＥＭ装置９０２、ログ分析装置９０３のハードウェア構成の一例を示す図である。
　図２において、ログ分析連携装置１、ロガー９０１、ＳＩＥＭ装置９０２、ログ分析装置９０３は、コンピュータであり、ＬＣＤ１９０１（Ｌｉｑｕｉｄ・Ｃｒｙｓｔａｌ・Ｄｉｓｐｌａｙ）、キーボード１９０２（Ｋ／Ｂ）、マウス１９０３、ＦＤＤ１９０４（Ｆｌｅｘｉｂｌｅ・Ｄｉｓｃ・Ｄｒｉｖｅ）、ＣＤＤ１９０５（Ｃｏｍｐａｃｔ・Ｄｉｓｃ・Ｄｒｉｖｅ）、プリンタ１９０６といったハードウェアデバイスを備えている。これらのハードウェアデバイスはケーブルや信号線で接続されている。ＬＣＤ１９０１の代わりに、ＣＲＴ（Ｃａｔｈｏｄｅ・Ｒａｙ・Ｔｕｂｅ）、あるいは、その他の表示装置が用いられてもよい。マウス１９０３の代わりに、タッチパネル、タッチパッド、トラックボール、ペンタブレット、あるいは、その他のポインティングデバイスが用いられてもよい。
　ログ分析連携装置１、ロガー９０１、ＳＩＥＭ装置９０２、ログ分析装置９０３は、プログラムを実行するＣＰＵ１９１１（Ｃｅｎｔｒａｌ・Ｐｒｏｃｅｓｓｉｎｇ・Ｕｎｉｔ）を備えている。ＣＰＵ１９１１は、処理装置の一例である。ＣＰＵ１９１１は、バス１９１２を介してＲＯＭ１９１３（Ｒｅａｄ・Ｏｎｌｙ・Ｍｅｍｏｒｙ）、ＲＡＭ１９１４（Ｒａｎｄｏｍ・Ａｃｃｅｓｓ・Ｍｅｍｏｒｙ）、通信ボード１９１５、ＬＣＤ１９０１、キーボード１９０２、マウス１９０３、ＦＤＤ１９０４、ＣＤＤ１９０５、プリンタ１９０６、ＨＤＤ１９２０（Ｈａｒｄ・Ｄｉｓｋ・Ｄｒｉｖｅ）と接続され、これらのハードウェアデバイスを制御する。ＨＤＤ１９２０の代わりに、フラッシュメモリ、光ディスク装置、メモリカードリーダライタ、あるいは、その他の記録媒体が用いられてもよい。
　ＲＡＭ１９１４は、揮発性メモリの一例である。ＲＯＭ１９１３、ＦＤＤ１９０４、ＣＤＤ１９０５、ＨＤＤ１９２０は、不揮発性メモリの一例である。これらは、記憶装置、記憶部の一例である。通信ボード１９１５、キーボード１９０２、マウス１９０３、ＦＤＤ１９０４、ＣＤＤ１９０５は、入力装置の一例である。また、通信ボード１９１５、ＬＣＤ１９０１、プリンタ１９０６は、出力装置の一例である。
　通信ボード１９１５は、ＬＡＮ（Ｌｏｃａｌ・Ａｒｅａ・Ｎｅｔｗｏｒｋ）等に接続されている。通信ボード１９１５は、ＬＡＮに限らず、ＩＰ－ＶＰＮ（Ｉｎｔｅｒｎｅｔ・Ｐｒｏｔｏｃｏｌ・Ｖｉｒｔｕａｌ・Ｐｒｉｖａｔｅ・Ｎｅｔｗｏｒｋ）、広域ＬＡＮ、ＡＴＭ（Ａｓｙｎｃｈｒｏｎｏｕｓ・Ｔｒａｎｓｆｅｒ・Ｍｏｄｅ）ネットワークといったＷＡＮ（Ｗｉｄｅ・Ａｒｅａ・Ｎｅｔｗｏｒｋ）、あるいは、インターネットに接続されていても構わない。ＬＡＮ、ＷＡＮ、インターネットは、ネットワークの一例である。
　ＨＤＤ１９２０には、オペレーティングシステム１９２１（ＯＳ）、ウィンドウシステム１９２２、プログラム群１９２３、ファイル群１９２４が記憶されている。プログラム群１９２３のプログラムは、ＣＰＵ１９１１、オペレーティングシステム１９２１、ウィンドウシステム１９２２により実行される。プログラム群１９２３には、本実施の形態の説明において「～部」として説明する機能を実行するプログラムが含まれている。プログラムは、ＣＰＵ１９１１により読み出され実行される。ファイル群１９２４には、本実施の形態の説明において、「～データ」、「～情報」、「～ＩＤ（識別子）」、「～フラグ」、「～結果」として説明するデータや情報や信号値や変数値やパラメータが、「～ファイル」や「～データベース」や「～テーブル」の各項目として含まれている。「～ファイル」や「～データベース」や「～テーブル」は、ＲＡＭ１９１４やＨＤＤ１９２０等の記録媒体に記憶される。ＲＡＭ１９１４やＨＤＤ１９２０等の記録媒体に記憶されたデータや情報や信号値や変数値やパラメータは、読み書き回路を介してＣＰＵ１９１１によりメインメモリやキャッシュメモリに読み出され、抽出、検索、参照、比較、演算、計算、制御、出力、印刷、表示といったＣＰＵ１９１１の処理（動作）に用いられる。抽出、検索、参照、比較、演算、計算、制御、出力、印刷、表示といったＣＰＵ１９１１の処理中、データや情報や信号値や変数値やパラメータは、メインメモリやキャッシュメモリやバッファメモリに一時的に記憶される。
　本実施の形態の説明において用いるブロック図やフローチャートの矢印の部分は主としてデータや信号の入出力を示す。データや信号は、ＲＡＭ１９１４等のメモリ、ＦＤＤ１９０４のフレキシブルディスク（ＦＤ）、ＣＤＤ１９０５のコンパクトディスク（ＣＤ）、ＨＤＤ１９２０の磁気ディスク、光ディスク、ＤＶＤ（Ｄｉｇｉｔａｌ・Ｖｅｒｓａｔｉｌｅ・Ｄｉｓｃ）、あるいは、その他の記録媒体に記録される。また、データや信号は、バス１９１２、信号線、ケーブル、あるいは、その他の伝送媒体により伝送される。
　本実施の形態の説明において「～部」として説明するものは、「～回路」、「～装置」、「～機器」であってもよく、また、「～ステップ」、「～工程」、「～手順」、「～処理」であってもよい。即ち、「～部」として説明するものは、ＲＯＭ１９１３に記憶されたファームウェアで実現されていても構わない。あるいは、「～部」として説明するものは、ソフトウェアのみ、あるいは、素子、デバイス、基板、配線といったハードウェアのみで実現されていても構わない。あるいは、「～部」として説明するものは、ソフトウェアとハードウェアとの組み合わせ、あるいは、ソフトウェアとハードウェアとファームウェアとの組み合わせで実現されていても構わない。ファームウェアとソフトウェアは、プログラムとして、フレキシブルディスク、コンパクトディスク、磁気ディスク、光ディスク、ＤＶＤ等の記録媒体に記憶される。プログラムはＣＰＵ１９１１により読み出され、ＣＰＵ１９１１により実行される。即ち、プログラムは、本実施の形態の説明で述べる「～部」としてコンピュータを機能させるものである。あるいは、プログラムは、本実施の形態の説明で述べる「～部」の手順や方法をコンピュータに実行させるものである。
　図３は、本実施の形態に係るログ分析連携装置１の構成及び動作の概要を示す図である。
　図３を用いて、本実施の形態に係るログ分析連携装置１の構成を説明する。本実施の形態では、ログ分析連携装置１は、スケジュール収集部１０８、収集スケジュール条件１２０４、外部連携部（収集）１０９は使用しない。
　図３に示すように、ログ分析連携装置１は、入力部１０１、警告解釈部１０２、攻撃シナリオＤＢ検索部１０３、関連攻撃抽出部１０４、セキュリティ対策検索部１０５、資産ＤＢ検索部１０６、攻撃可否判定部１０７、スケジュール検索部１０１０、外部連携部（検索）１０１１、出力部１０１２を備える。
　また、ログ分析連携装置１は、攻撃シナリオＤＢ１０１３、セキュリティ対策ＤＢ１０１４、資産ＤＢ１０１５を記憶装置に記憶する。
　入力部１０１は、警告情報１２０１’を入力し、データ１１０１を出力する。
　警告解釈部１０２は、データ１１０１を入力し、警告情報１１０２と資産検索情報１１０８を出力する。
　攻撃シナリオＤＢ検索部１０３は、シナリオ抽出条件１２０２を入力し、攻撃識別情報１１０３を用いて攻撃シナリオＤＢ１０１３を検索する。攻撃シナリオＤＢ検索部１０３は、検索結果である攻撃シナリオ１１０４を入力する。また、攻撃シナリオＤＢ検索部１０３は、入力した攻撃シナリオ１１０４を関連攻撃抽出部１０４へ出力する。
　攻撃シナリオＤＢ１０１３は、ＡＰＴ（高度かつ継続的な脅威）を実行する複数の攻撃のシーケンスと、その時間間隔などの情報をシナリオとして保存する。
　攻撃シナリオＤＢ１０１３は、監視対象ネットワークに対して発生すると予測される複数の攻撃の各々を識別する複数の攻撃識別子を含む攻撃シナリオ情報であって、複数の攻撃の発生する順番と、順番が連続する２つの攻撃の発生間隔とを含む攻撃シナリオ情報を予め記憶装置に記憶する攻撃シナリオ情報記憶部の一例である。
　関連攻撃抽出部１０４は、関連攻撃抽出条件１２０３を入力し、関連攻撃情報１１０５をセキュリティ対策検索部１０５と、攻撃可否判定部１０７へ出力する。
　セキュリティ対策検索部１０５は、関連攻撃情報１１０５を入力し、関連攻撃検索情報１１０６を用いて、セキュリティ対策ＤＢ１０１４を検索する。そして、セキュリティ対策検索部１０５は、その検索結果である、対策有無１１０７’を入力する。セキュリティ対策検索部１０５は、対策有無１１０７’を攻撃可否判定部１０７へ出力する。
　セキュリティ対策ＤＢ１０１４は、侵入検知／防御装置などによる攻撃への対策実施に関わる情報を保存する。
　資産ＤＢ検索部１０６は、資産検索情報１１０８を入力し、資産検索情報１１０８を用いて資産ＤＢ１０１５を検索する。資産ＤＢ検索部１０６は、その検索結果である資産情報１１０９を入力する。
　資産ＤＢ１０１５は、ＰＣやサーバなどの、資産ＩＤ、ＩＰアドレス、使用ＯＳやアプリケーション、パッチ適用状況などの情報を保存する。
　攻撃可否判定部１０７は、資産情報１１０９と、関連攻撃情報１１０５と、対策有無１１０７’とを入力し、ログ検索情報１１１３をスケジュール検索部１０１０に出力する。
　攻撃シナリオＤＢ検索部１０３、関連攻撃抽出部１０４、資産ＤＢ検索部１０６、攻撃可否判定部１０７は、次攻撃情報取得部の一例である。
　スケジュール検索部１０１０は、検索スケジュール条件１２０５とログ検索情報１１１３とを入力し、検索命令１１１４を外部連携部（検索）１０１１へ出力する。スケジュール検索部１０１０は、検索命令１１１４に対する結果である、検索結果１１１５を入力する。スケジュール検索部１０１０は、予測発生時期のログ情報を分析する要求である検索命令１１１４（スケジュール分析要求）をログ分析装置９０３に送信するスケジュール分析要求部の一例である。
　外部連携部（検索）１０１１は、スケジュール検索部１０１０から検索命令１１１４を入力し、外部へ検索命令１２０８を出力する。外部連携部（検索）１０１１は、検索命令１２０８の結果である検索結果１２０９を入力し、スケジュール検索部１０１０へ検索結果１１１５を出力する。
　出力部１０１２は、スケジュール検索部１０１０から検索結果１１１６を入力し、検知結果１２１０を外部へ出力する。
　図４は、本実施の形態に係る警告情報１２０１の構成の一例を示す図である。図５は、本実施の形態に係る攻撃シナリオ１１０４の構成の一例を示す図である。図６は、本実施の形態に係る対策情報１１０７の構成の一例を示す図である。図７は、本実施の形態に係る資産情報１１０９の構成の一例を示す図である。
　次に、図１、図３～図７を用いて、ログ分析連携装置１の動作について説明する。
　図１及び図３に示すように、入力部１０１は、ＳＩＥＭ装置９０２から警告情報１２０１’を入力する。
　警告情報１２０１’は、図４に示す警告情報１２０１が、フォーマット化された情報である。図４に示すように、警告情報１２０１は、以下の内容から構成される。
　（ａ）日時：攻撃が発生した日時。
　（ｂ）攻撃ＩＤ：攻撃を識別する情報。
　（ｃ）攻撃種別：攻撃の種別（例えば、ＤｏＳ（Ｄｅｎｉａｌ・ｏｆ・Ｓｅｒｖｉｃｅ）攻撃、権限昇格など）。
　（ｄ）脆弱性ＩＤ：攻撃がソフトウェアなどの脆弱性を悪用することで成り立つ場合、その識別情報（例えば、ＣＶＥ番号（脆弱性識別番号））。
　（ｅ）攻撃元情報：ＳｏｕｒｃｅＩＰ／Ｐｏｒｔ、資産ＩＤなど攻撃元に関する情報。
　（ｆ）攻撃先情報：ＤｅｓｔｉｎａｔｉｏｎＩＰ／Ｐｏｒｔ、資産ＩＤなど攻撃先に関する情報。
　ログ分析連携装置１は、警告情報１２０１’を、例えば、ＵＤＰやＴＣＰパケットとして入力する。警告情報１２０１’は、パケットのボディ部に警告情報１２０１を格納する形でフォーマット化される。
　入力部１０１は、警告情報１２０１がフォーマット化された情報である警告情報１２０１’から、パケットのボディ部であるデータ１１０１を取り出し、警告解釈部１０２へ出力する。すなわち、データ１１０１とは、警告情報１２０１のことである。
　警告解釈部１０２は、警告情報１２０１であるデータ１１０１を入力する。警告解釈部１０２は、入力したデータ１１０１を、日時、攻撃ＩＤ、攻撃種別、脆弱性ＩＤ、攻撃元情報、攻撃先情報などの構成要素に分解する（解釈する）。警告解釈部１０２は、この結果を、警告情報１１０２とし、攻撃シナリオＤＢ検索部１０３へ出力する。警告情報１１０２の内容は、警告情報１２０１の内容と同じである。
　攻撃シナリオＤＢ検索部１０３は、警告情報１１０２から、攻撃ＩＤ、攻撃種別、脆弱性ＩＤを抽出し、攻撃識別情報１１０３として、攻撃シナリオＤＢ１０１３に出力する。
　このとき、攻撃シナリオＤＢ検索部１０３は、シナリオ抽出条件１２０２を入力する。シナリオ抽出条件１２０２とは、攻撃シナリオＤＢ１０１３から検索する攻撃シナリオ１１０４の数を指定する条件である。シナリオ抽出条件１２０２としては、例えば、１つ、複数、あるいは指定された数を条件とする。ここでは、シナリオ抽出条件１２０２として、攻撃シナリオＤＢ１０１３から検索する攻撃シナリオ１１０４の数は「１つ」として指定するものとする。
　次に、図５を用いて、攻撃シナリオ１１０４について説明する。
　攻撃シナリオＤＢ１０１３では、攻撃識別情報１１０３に基づいて、攻撃ＩＤ若しく脆弱性ＩＤが含まれる攻撃シナリオを検索する。
　図５に示すように、攻撃シナリオ１１０４は、以下のように構成される。
　１１０４＿ｅ１：攻撃シナリオ要素１→１１０４＿ｓ１：間隔１→１１０４＿ｅ２：攻撃シナリオ要素２→１１０４＿ｓ２：間隔２→１１０４＿ｅ３：攻撃シナリオ要素３。
　攻撃シナリオ要素１１０４＿ｅｉ（ｉ＝１，２，３）は、１つ１つの攻撃の情報である。
　それぞれの攻撃シナリオ要素１１０４＿ｅｉ（ｉ＝１，２，３）は、攻撃識別情報１１０４＿ａ、攻撃情報１１０４＿ｂ、対策識別情報１１０４＿ｃ、対策情報１１０４＿ｄから構成される。これらの情報は、攻撃を識別する攻撃識別子の一例である。
　図５に示すように、攻撃識別情報１１０４＿ａ、攻撃情報１１０４＿ｂ、対策識別情報１１０４＿ｃ、対策情報１１０４＿ｄとは、以下の情報である。
　（ａ）攻撃識別情報１１０４＿ａ：攻撃ＩＤ、攻撃種別、脆弱性ＩＤ。
　（ｂ）攻撃情報１１０４＿ｂ：影響を受ける製品（製品ＩＤ、バージョン情報、パッチＩＤ）、必要とする実行権限、キーワード、その他の情報。
　（ｃ）対策識別情報１１０４＿ｃ：対策ＩＤ。
　（ｄ）対策情報１１０４＿ｄ：パッチＩＤ、回避策ＩＤ、回避策内容、その他の情報。
　ここで、攻撃情報１１０４＿ｂのキーワードとは、攻撃発生において起こりうる事象を示すもので、例えば、ＯＳのレジストリの書き換えが発生するのであれば、キーワードは、「ＯＳ、ｒｅｇｉｓｔｒｙ、ｍｏｄｉｆｙ」である。
　図５に示す攻撃シナリオ１１０４は、攻撃シナリオ要素１：１１０４＿ｅ１が最初に発生し、間隔１：１１０４＿ｓ１の後、攻撃シナリオ要素２：１１０４＿ｅ２が発生し、間隔２：１１０４＿ｓ２の後、攻撃シナリオ要素３：１１０４＿ｅ３が発生するというシナリオを示している。
　間隔１：１１０４＿ｓ１は、例えば「２４時間」である。これは、攻撃シナリオ要素１：１１０４＿ｅ１の後、２４時間後に攻撃シナリオ要素２：１１０４＿ｅ２が発生することを示す。
　ログ分析連携装置１は、攻撃シナリオＤＢ記憶部（図３参照）を備える。攻撃シナリオＤＢ記憶部は、過去の事例に基づき、上記のような攻撃シナリオ１１０４を作成し、攻撃シナリオＤＢ１０１３に保存する。
　なお、攻撃シナリオ１１０４を構成する攻撃シナリオ要素１１０４＿ｅｉは１つ以上であり、２つでも、３つでも、それ以上でも構わない。
　攻撃シナリオＤＢ検索部１０３は、攻撃識別情報１１０３を用いて、攻撃シナリオＤＢ１０１３を検索する。攻撃シナリオＤＢ検索部１０３は、例えば、攻撃識別情報１１０３の構成要素である攻撃ＩＤが、「攻撃シナリオ要素１１０４＿ｅの攻撃識別情報１１０４＿ａに含まれる攻撃シナリオ」を検索する。
　攻撃シナリオＤＢ検索部１０３は、攻撃ＩＤで検索結果を得ることができなければ、脆弱性ＩＤで検索する。
　攻撃シナリオＤＢ検索部１０３は、上記の様にして検索された結果を、攻撃シナリオ１１０４として、攻撃シナリオＤＢ１０１３から抽出する。
　以上のように、ログ分析連携装置１は、ＳＩＥＭ装置９０２から受信した警告情報１２０１’により通知された攻撃が含まれる攻撃シナリオ１１０４を、攻撃シナリオＤＢ１０１３から抽出する。
　攻撃シナリオＤＢ検索部１０３は、攻撃シナリオＤＢ１０１３から入力された攻撃シナリオ１１０４を関連攻撃抽出部１０４へ出力する。
　関連攻撃抽出部１０４は、攻撃シナリオ１１０４を入力し、処理装置により、攻撃シナリオ１１０４を分析する。関連攻撃抽出部１０４は、通知された攻撃シナリオ１１０４に含まれる攻撃に関連する情報を抽出する。
　このとき、関連攻撃抽出部１０４は、関連攻撃抽出条件１２０３を入力する。関連攻撃抽出条件１２０３とは、以下の内容である。
　（ａ）通知された攻撃の以降に発生する攻撃：ｎ個（１～ａｌｌ）、又は、通知された攻撃の以前に発生する攻撃：ｍ個（１～ａｌｌ）
　例えば、関連攻撃抽出条件１２０３が、「通知された攻撃の以降に発生する攻撃：１個」と指定された場合、通知された攻撃の次に起こる攻撃と、その間隔に関しての情報のみを抽出する。ａｌｌと指定された場合は、通知された攻撃の後に起こる全ての攻撃とその間隔に関しての情報を抽出する。
　関連攻撃抽出部１０４により抽出される攻撃は、通知された攻撃の前後の時期において発生すると予測される分析対象攻撃の一例である。
　例えば、関連攻撃抽出条件１２０３が、「通知された攻撃の以前に発生する攻撃：１個」と指定された場合、通知された攻撃の前に起こる攻撃とその間隔に関しての情報のみを抽出する。ａｌｌと指定された場合は、通知された攻撃の前に起こる全ての攻撃とその間隔に関しての情報を抽出する。
　ここでは、関連攻撃抽出条件１２０３は、「通知された攻撃の以降に発生する攻撃：１個」と指定されたものとする。
　例えば、警告情報１１０２に含まれる攻撃ＩＤが攻撃シナリオ要素２：１１０４＿ｅ２の攻撃ＩＤであるとする。
　攻撃シナリオＤＢ検索部１０３は、図５に示す攻撃シナリオ１１０４を攻撃シナリオＤＢ１０１３から抽出する。
　そして、関連攻撃抽出部１０４は、関連攻撃抽出条件１２０３である「通知された攻撃の以降に発生する攻撃：１個」を入力し、攻撃シナリオ１１０４から攻撃シナリオ要素２：１１０４＿ｅ２（通知された攻撃）の以降の攻撃として「攻撃シナリオ要素３：１１０４＿ｅ３」を抽出し、「間隔」として「間隔２：１１０４＿ｓ２」を抽出する。
　すなわち、関連攻撃抽出部１０４が抽出した関連攻撃情報１１０５は、「通知された攻撃の以降に発生する攻撃」（次攻撃）（分析対象攻撃）として「攻撃シナリオ要素３：１１０４＿ｅ３」、「間隔」として「間隔２：１１０４＿ｓ２」（次発生間隔）である。
　以上のように、関連攻撃抽出部１０４は、関連攻撃情報１１０５を抽出する。
　次に、関連攻撃抽出部１０４は、関連攻撃情報１１０５をセキュリティ対策検索部１０５に出力する。
　セキュリティ対策検索部１０５は、入力した関連攻撃情報１１０５を用いて、セキュリティ対策ＤＢ１０１４を検索する。具体的には、セキュリティ対策検索部１０５は、入力した関連攻撃情報１１０５に含まれる「攻撃シナリオ要素３：１１０４＿ｅ３」、「間隔２：１１０４＿ｓ２」を用いて、セキュリティ対策ＤＢ１０１４を検索する。
　図６は、セキュリティ対策ＤＢ１０１４に格納される対策情報１１０７の構成を示す図である。
　図６を用いて、対策情報１１０７の構成について説明する。
　対策情報１１０７は、攻撃識別情報１１０７＿ａ、攻撃情報１１０７＿ｂ、対策識別情報１１０７＿ｃ、対策情報１１０７＿ｄ、対策実施情報１１０７＿ｅから構成される。
　攻撃識別情報１１０７＿ａ、攻撃情報１１０７＿ｂ、対策識別情報１１０７＿ｃ、対策情報１１０７＿ｄ、対策実施情報１１０７＿ｅの内容は、以下の情報である。
　（ａ）攻撃識別情報１１０７＿ａ：攻撃ＩＤ、攻撃種別、脆弱性ＩＤ。
　（ｂ）攻撃情報１１０７＿ｂ：影響を受ける製品（製品ＩＤ、バージョン情報、パッチＩＤ）、必要とする実行権限、キーワード、その他の情報。
　（ｃ）対策識別情報１１０７＿ｃ：対策ＩＤ。
　（ｄ）対策情報１１０７＿ｄ：パッチＩＤ、回避策ＩＤ、回避策内容、その他の情報。
　（ｅ）対策実施情報１１０７＿ｅ：対策実施の有無（現在、侵入検知装置などで対策を実施しているか否か）。
　セキュリティ対策検索部１０５は、入力した関連攻撃情報１１０５を用いて、セキュリティ対策ＤＢ１０１４から対応する対策情報１１０７を抽出する。具体的には、セキュリティ対策検索部１０５は、入力した関連攻撃情報１１０５に含まれる「攻撃シナリオ要素３：１１０４＿ｅ３」を構成する「攻撃識別情報１１０４＿ａ」に含まれる攻撃ＩＤあるいは脆弱性ＩＤを含む対策情報１１０７のエントリをセキュリティ対策ＤＢ１０１４から抽出する。
　セキュリティ対策検索部１０５は、抽出した対策情報１１０７のエントリにおける対策実施情報１１０７＿ｅを抽出する。セキュリティ対策検索部１０５は、抽出した対策実施情報１１０７＿ｅの内容である対策実施の有無を対策有無１１０７’として抽出する。
　セキュリティ対策検索部１０５は、セキュリティ対策ＤＢ１０１４から抽出した対策有無１１０７’を攻撃可否判定部１０７へ出力する。
　資産ＤＢ検索部１０６は、警告解釈部１０２から資産検索情報１１０８を入力する。
　資産検索情報１１０８は、警告情報１１０２（図４の警告情報１２０１に相当）の一部の情報であり、攻撃先情報が該当する。
　攻撃先情報は、ＤｅｓｔｉｎａｔｉｏｎＩＰ／Ｐｏｒｔ、資産ＩＤなど攻撃先に関する情報である。
　資産ＤＢ検索部１０６は、この攻撃先情報のうち、ＤｅｓｔｉｎａｔｉｏｎＩＰ（或いはＭＡＣ）、資産ＩＤなど、資産を特定できる情報を資産検索情報１１０８とする。
　資産ＤＢ検索部１０６は、資産検索情報１１０８を資産ＤＢ１０１５に出力する。
　資産ＤＢ検索部１０６は、資産検索情報１１０８（資産を特定できる情報）を用いて、資産ＤＢ１０１５を検索する。
　資産ＤＢ検索部１０６は、資産検索情報１１０８にマッチするエントリを資産ＤＢ１０１５から資産情報１１０９として抽出する。
　図７は、資産ＤＢ１０１５で管理する資産情報１１０９の構成を示す図である。
　図７を用いて、資産情報１１０９の構成について説明する。
　資産情報１１０９は、資産識別情報１１０９＿ａ、資産ＯＳ情報１１０９＿ｂ、資産アプリ情報１１０９＿ｃ、資産実行情報１１０９＿ｄ、資産セキュリティ施策情報１１０９＿ｅから構成される。資産情報１１０９を構成する資産識別情報１１０９＿ａ、資産ＯＳ情報１１０９＿ｂ、資産アプリ情報１１０９＿ｃ、資産実行情報１１０９＿ｄ、資産セキュリティ施策情報１１０９＿ｅの内容は、例えば、以下の情報である。
　（ａ）資産識別情報１１０９＿ａ：資産ＩＤ、ＩＰアドレス、ＭＡＣアドレス、ユーザＩＤ。
　（ｂ）資産ＯＳ情報１１０９＿ｂ：ＯＳ（製品ＩＤ、バージョン情報）、適用パッチ（パッチＩＤ）／適用回避策（回避策ＩＤ）。
　（ｃ）資産アプリ情報１１０９＿ｃ：アプリ（製品ＩＤ、バージョン情報）、適用パッチ（パッチＩＤ）／適用回避策（回避策ＩＤ）。
　（ｄ）資産実行情報１１０９＿ｄ：実行権限。
　（ｅ）資産セキュリティ施策情報１１０９＿ｅ：セキュリティ施策（セキュリティ設定、ソフトなど）。
　つまり、資産ＤＢ１０１５は、資産検索情報１１０８（攻撃先情報）のＤｅｓｔｉｎａｔｉｏｎＩＰ（或いはＭＡＣ）／資産ＩＤが、資産識別情報１１０９＿ａにマッチするエントリを、自身に保存しているエントリから検索し、資産情報１１０９として資産ＤＢ検索部１０６へ出力する。
　資産ＤＢ検索部１０６は、資産ＤＢ１０１５から入力した資産情報１１０９を攻撃可否判定部１０７へ出力する。
　攻撃可否判定部１０７は、資産情報１１０９、関連攻撃情報１１０５、対策有無１１０７’を入力し、ログ検索情報１１１３を出力する。
　攻撃可否判定部１０７は、攻撃可否判定処理を実行することにより、ログ検索情報１１１３を出力する。
　図８は、本実施の形態に係る攻撃可否判定部１０７の攻撃可否判定処理を示すフローチャートである。図８を用いて、攻撃可否判定部１０７の攻撃可否判定処理について説明する。
　Ｓ１０７＿１において、攻撃可否判定部１０７は、関連攻撃情報１１０５（攻撃シナリオ要素１１０４＿ｅ）に含まれる攻撃識別情報１１０４＿ａで識別される攻撃が侵入検知装置などで対策されているか否かについて、対策有無１１０７’を用いて、処理装置により判断する。以下、関連攻撃情報１１０５（攻撃シナリオ要素１１０４＿ｅ）に含まれる攻撃識別情報１１０４＿ａで識別される攻撃を、判定対象攻撃とする。
　具体的には、攻撃可否判定部１０７は、通知された攻撃（攻撃シナリオ要素２：１１０４＿ｅ２）の次の攻撃（攻撃シナリオ要素３：１１０４＿ｅ３）の攻撃識別情報１１０４＿ａで識別される攻撃（判定対象攻撃）が侵入検知装置などで対策されているか否かについて、対策有無１１０７’を用いて、処理装置により判断する。
　攻撃可否判定部１０７は、判定対象攻撃が対策実施済であれば（Ｓ１０７＿１でＹＥＳ）、Ｓ１０７＿９に処理を進める。攻撃可否判定部１０７は、判定対象攻撃が対策未実施であれば（Ｓ１０７＿１でＮＯ）、Ｓ１０７＿２に処理を進める。
　Ｓ１０７＿２において、攻撃可否判定部１０７は、判定対象攻撃について、攻撃対象となる資産は、該当するＯＳやアプリケーションを使用しているか調べる。
　この処理は、以下のように実行される。
　上述したように、攻撃可否判定部１０７は、判定対象攻撃に対応する関連攻撃情報１１０５を入力する。関連攻撃情報１１０５（攻撃シナリオ要素１１０４＿ｅ）における攻撃情報１１０４＿ｂには、影響を受ける製品の情報が「製品ＩＤ、バージョン情報、パッチＩＤ」として含まれている（図５参照）。
　また、上述したように、攻撃可否判定部１０７は、判定対象攻撃に対応する資産情報１１０９を入力する。
　資産情報１１０９には、資産ＯＳ情報１１０９＿ｂ（ＯＳ（製品ＩＤ、バージョン情報）、適用パッチ（パッチＩＤ）／適用回避策（回避策ＩＤ）、資産アプリ情報１１０９＿ｃ（アプリ（製品ＩＤ、バージョン情報）、適用パッチ（パッチＩＤ）／適用回避策（回避策ＩＤ）が含まれている。資産ＯＳ情報１１０９＿ｂ、資産アプリ情報１１０９＿ｃにおける適用回避策（回避策ＩＤ）は、施策設定でもよい。
　攻撃可否判定部１０７は、判定対象攻撃に対応する関連攻撃情報１１０５と判定対象攻撃に対応する資産情報１１０９とに基づいて、攻撃の対象となる資産が、影響を受ける製品を使っているかどうかを処理装置により判断する。
　具体的には、攻撃可否判定部１０７は、攻撃情報１１０４＿ｂの影響を受ける製品の情報「製品ＩＤ、バージョン情報、パッチＩＤ」が、資産ＯＳ情報１１０９＿ｂの「ＯＳ（製品ＩＤ、バージョン情報）、適用パッチ（パッチＩＤ）」に該当するか、あるいは、資産アプリ情報１１０９＿ｃの「アプリ（製品ＩＤ、バージョン情報）、適用パッチ（パッチＩＤ）」に該当するかを処理装置により判定する。
　つまり、「製品ＩＤ、バージョン情報、パッチＩＤ」は、攻撃情報１１０４＿ｂ、資産ＯＳ情報１１０９＿ｂ、資産アプリ情報１１０９＿ｃの何れにも含まれる情報であるから、該当するものがあるか無いかは、製品ＩＤ、バージョン情報、パッチＩＤのマッチングを取れば判断できる。
　攻撃可否判定部１０７は、攻撃の対象となる資産が影響を受ける製品を使っていると判断した場合は（Ｓ１０７＿２でＹＥＳ）、Ｓ１０７＿３に処理を進める。攻撃可否判定部１０７は、攻撃の対象となる資産が影響を受ける製品を使っていないと判断した場合は（Ｓ１０７＿２でＮＯ）、Ｓ１０７＿９に処理を進める。
　Ｓ１０７＿３において、攻撃可否判定部１０７は、関連攻撃情報１１０５（攻撃シナリオ要素１１０４＿ｅに該当）に含まれる攻撃識別情報１１０４＿ａで識別される攻撃について、パッチが存在するか否かを処理装置により判断する。
　これは、関連攻撃情報１１０５（攻撃シナリオ要素１１０４＿ｅに該当）に含まれる、対策情報１１０４＿ｄの情報において、パッチＩＤが存在するか否かで判断する。
　攻撃可否判定部１０７は、パッチＩＤが存在すると判断した場合は（Ｓ１０７＿３でＹＥＳ）、Ｓ１０７＿４に処理を進める。攻撃可否判定部１０７は、パッチＩＤが存在しないと判断した場合は（Ｓ１０７＿３でＮＯ）、Ｓ１０７＿５に処理を進める。
　Ｓ１０７＿４において、攻撃可否判定部１０７は、関連攻撃情報１１０５（攻撃シナリオ要素１１０４＿ｅに該当）に含まれる攻撃識別情報１１０４＿ａで識別される攻撃について、パッチを適用しているか否かを処理装置により判断する。
　これは、関連攻撃情報１１０５（攻撃シナリオ要素１１０４＿ｅに該当）に含まれる、対策情報１１０４＿ｄの情報におけるパッチＩＤが、資産情報１１０９の、資産ＯＳ情報１１０９＿ｂ或いは資産アプリ情報１１０９＿ｃにおけるパッチＩＤに一致するか否かで判断する。
　攻撃可否判定部１０７は、パッチＩＤが一致すると判断した場合は（Ｓ１０７＿４でＹＥＳ）、Ｓ１０７＿９に処理を進める。攻撃可否判定部１０７は、パッチＩＤが一致しないと判断した場合は（Ｓ１０７＿４でＮＯ）、Ｓ１０７＿５に処理を進める。
　Ｓ１０７＿５において、攻撃可否判定部１０７は、関連攻撃情報１１０５（攻撃シナリオ要素１１０４＿ｅに該当）に含まれる攻撃識別情報１１０４＿ａで識別される攻撃について、回避策はあるか否かを処理装置により判断する。
　これは、関連攻撃情報１１０５（攻撃シナリオ要素１１０４＿ｅに該当）に含まれる、対策情報１１０４＿ｄの情報において、回避策ＩＤが存在するか否かで判断する。
　攻撃可否判定部１０７は回避策ＩＤが存在すると判断した場合は（Ｓ１０７＿５でＹＥＳ）、Ｓ１０７＿６に処理を進める。攻撃可否判定部１０７は、回避策ＩＤが存在しないと判断した場合は（Ｓ１０７＿５でＮＯ）、Ｓ１０７＿７に処理を進める。
　Ｓ１０７＿６において、攻撃可否判定部１０７は、攻撃対象となる資産は、Ｓ１０７＿５で存在すると判断した回避策を実施しているか否かを処理装置により判断する。
　これは、資産情報１１０９に含まれる資産ＯＳ情報１１０９＿ｂ、又は、資産アプリ情報１１０９＿ｃにおいて、適用回避策（回避策ＩＤ）がＳ１０７＿５において識別した回避策ＩＤと一致するか否かで判断する。
　攻撃可否判定部１０７は回避策ＩＤが一致すると判断した場合は（Ｓ１０７＿６でＹＥＳ）、Ｓ１０７＿９に処理を進める。攻撃可否判定部１０７は、回避策ＩＤが一致しないと判断した場合は（Ｓ１０７＿６でＮＯ）、Ｓ１０７＿７に処理を進める。
　Ｓ１０７＿７において、攻撃可否判定部１０７は、攻撃対象となる資産は、関連攻撃情報１１０５（攻撃シナリオ要素１１０４＿ｅに該当）に含まれる攻撃識別情報１１０４＿ａで識別される攻撃が必要とする実行権限で実行されているか否かを処理装置により判断する。
　これは、攻撃シナリオ要素１１０４＿ｅに含まれる攻撃情報１１０４＿ｂの必要とする実行権限と、資産情報１１０９の資産実行情報１１０９＿ｄの実行権限とが一致するか否かを処理装置により判定すればよい。
　攻撃シナリオ要素１１０４＿ｅに含まれる攻撃情報１１０４＿ｂ、及び、資産情報１１０９の資産実行情報１１０９＿ｄに実行権限を実装する場合においては、実行権限の種類別にＩＤ（識別子）を付与することにより、実行権限の比較が容易となる。
　攻撃可否判定部１０７は、実行権限が一致すると判断した場合は（Ｓ１０７＿７でＹＥＳ）、Ｓ１０７＿８に処理を進める。攻撃可否判定部１０７は、実行権限が一致しないと判断した場は（Ｓ１０７＿７でＮＯ）、Ｓ１０７＿９に処理を進める。
　最後に、Ｓ１０７＿８において、攻撃可否判定部１０７は、「攻撃は成功する」という判断をする。
　また、Ｓ１０７＿９において、攻撃可否判定部１０７は、「攻撃は成功しない」という判断をする。
　以上で、攻撃可否判定部１０７による攻撃可否判定処理の説明を終わる。
　以上のように、攻撃可否判定部１０７は、図８に示す攻撃可否判定処理を実行し、攻撃が成功する、あるいは、攻撃が成功しない、の判断を実行する。
　攻撃可否判定部１０７は、攻撃が成功する、と判断した場合、ログ検索情報１１１３を生成し、スケジュール検索部１０１０へ出力する。
　攻撃可否判定部１０７は、以下の情報であるログ検索情報１１１３を生成する。
　攻撃可否判定部１０７は、関連攻撃情報１１０５における「間隔２：１１０４＿ｓ２」から、次に攻撃シナリオ要素３が発生する時期を計算する。例えば、警告情報１２０１において、通知された攻撃（攻撃シナリオ要素２）の日時（攻撃発生日時）が「２０１２／０９／２４，０９：００：００」であり、「間隔２：１１０４＿ｓ２」が「２４時間」であれば、「２０１２／０９／２５，０９：００：００」が攻撃発生予想日時として算出される。
　攻撃可否判定部１０７は、攻撃発生予想日時と、資産情報１１０９における資産識別情報１１０９＿ａとから、ログを検索する命令を生成する。
　例えば、この資産へのアクセスをファイアウォールログから検索する場合のファイアウォールログ検索命令は以下のようになる。
　判定対象攻撃では、ファイアウォールログで一部ｄｅｎｙが発生すると仮定する。この情報は、攻撃シナリオ要素３の構成要素である攻撃情報１１０４＿ｂのキーワードに記録されているものとする。
　＜ファイアウォールログ検索命令＞
　（ａ）検索条件：「攻撃発生予想日時」ａｎｄ「ＩＰアドレス（該当資産のもの）が宛先」ａｎｄ「キーワード（ファイアウォール、ｄｅｎｙ）」
　（ｂ）検索対象ログ：ファイアウォールログ
　また、判定対象攻撃において攻撃の対象となる資産における資産ログを検索する場合の、資産ログ検索命令は以下のようになる。
　判定対象攻撃では、ＯＳのログでレジストリの書き換えが発生すると仮定する。この情報は、攻撃シナリオ要素３の構成要素である攻撃情報１１０４＿ｂに記録されている。
　＜資産ログ検索命令＞
　（ａ）検索条件：「攻撃発生予想日時」ａｎｄ「（「ＩＰアドレス」ｏｒ「ＭＡＣアドレス」ｏｒ「資産ＩＤ」）（何れも該当資産のもの）」ａｎｄ「キーワード（ＯＳ，ｒｅｇｉｓｔｒｙ，ｍｏｄｉｆｙ）」。
　（ｂ）検索対象ログ：該当資産のログ（ＯＳ、アプリなど）。
　以上のように、攻撃可否判定部１０７は、攻撃発生予想日時に、該当資産へのアクセスや該当資産上のＯＳやアプリの状況を把握できるログを対象として、ログ検索情報１１１３を生成する。
　ログ検索情報１１１３は、上述したファイアウォールログ検索命令、資産ログ検索命令等である。
　攻撃可否判定部１０７は、生成したログ検索情報１１１３を、スケジュール検索部１０１０に出力する。
　スケジュール検索部１０１０は、攻撃可否判定部１０７からログ検索情報１１１３を入力する。
　さらに、スケジュール検索部１０１０は、検索スケジュール条件１２０５を入力する。
　検索スケジュール条件１２０５は、スケジュールによりログ分析装置９０３で検索を行う場合の条件を指定するものである。例えば、攻撃発生予想日時から、１時間にわたり、ログを検索するなどの条件を指定できる。
　ここでは、検索スケジュール条件１２０５では何も指定しないとする。
　スケジュール検索部１０１０は、ログ検索情報１１１３と検索スケジュール条件１２０５とを入力し、ログ検索情報１１１３と検索スケジュール条件１２０５とをログ分析装置９０３が解釈可能な検索命令１１１４に変換する。スケジュール検索部１０１０は、変換した検索命令１１１４を、外部連携部（検索）１０１１に出力する。
　外部連携部（検索）１０１１は、検索命令１１１４を入力し、入力した検索命令１１１４を検索命令１２０８として、ログ分析連携装置１の外部に存在するログ分析装置９０３（ログ分析システム）向けに送信する。この処理は、図１の（４）スケジュール検索９１５に相当する。
　ログ分析装置９０３は、検索命令１２０８を受信する。ログ分析装置９０３は、受信した検索命令１２０８にしたがって、攻撃発生予想日時に検索を実行する。この処理は、図１の（５）スケジュール検索９１６に相当する。
　ログ分析装置９０３は、スケジュール検索によりエントリが検索されたか否か（エントリ有／無し）を検索結果１２０９として、ログ分析連携装置１に送信する。
　ログ分析連携装置１の外部連携部（検索）１０１１は、ログ分析装置９０３から検索結果１２０９を受信する。外部連携部（検索）１０１１は、受信した検索結果１２０９を検索結果１１１５としてスケジュール検索部１０１０へ出力する。スケジュール検索部１０１０は、例えば、以下のようなメッセージ（検索結果１１１６）を作成する。
　＜検索結果１１１６＞
　（メッセージ）「２０１２／０９／２５，０９：００：００に、資産Ｘにおいて、攻撃３が検知されました」
　攻撃３は、攻撃シナリオ要素３に対応する攻撃の情報であり、攻撃シナリオにしたがって、攻撃発生予想日時に発生が予想されたものである。資産Ｘは、攻撃シナリオ要素２の攻撃を受けた資産である。
　上記のメッセージは、ログ検索情報１１１３から生成可能である。
　スケジュール検索部１０１０は、上記のメッセージを、検索結果１１１６として出力部１０１２に出力する。
　出力部１０１２は、検索結果１１１６を検知結果１２１０として、ログ分析連携装置１の表示画面のＧＵＩ等に表示する。
　このメッセージをＧＵＩで表示された、ログ分析連携装置１のオペレータは、ログ分析装置９０３（図３）のオペレータに、当メッセージに基づき、ログ分析装置９０３を用いて詳細にログを分析する、あるいは、レポートを作成するなどを指示することができる。
　以上のように、本実施の形態に係るログ分析連携システム１０００では、ＳＩＥＭ装置９０２（ＳＩＥＭシステム）で検知可能な攻撃を基点として、ログ分析連携装置１（ログ分析連携システム）が次に起こりうる攻撃について、攻撃シナリオを用いて、攻撃発生の予想日時を求める。そして、ログ分析連携装置１は、攻撃発生の予想日時に基づいて、ログ分析装置９０３（ログ分析システム）をスケジュール検索することで、効率よく、攻撃の痕跡をログ分析装置９０３（ログ分析システム）で検索することができるという効果を奏する。
　実施の形態２．
　本実施の形態では、主に、実施の形態１との差異について説明する。
　図９は、本実施の形態に係るログ分析連携装置１の構成及び動作の概要を示す図である。図９は、図１に対応する図であり、図１と同様の機能構成については同一の符号を付し、その説明を省略する。
　本実施の形態では、モバイル機器９０５等のように、リソース制約の関係からログ収集を常に実施できない場合におけるログ分析方法の態様について説明する。
　図９に示すように、本実施の形態に係るログ分析連携装置１の構成及び動作についての実施の形態１との差異は、スケジュール収集部１０８と、外部連携部（収集）１０９と、収集スケジュール条件１２０４との使用が加わったことである。
　入力部１０１から攻撃可否判定部１０７までの処理、及び入力部１０１から攻撃可否判定部１０７までの処理に関わる各情報は、実施の形態１と同様であるため、その説明を省略する。
　攻撃可否判定部１０７は、ログ検索情報１１１３のスケジュール検索部１０１０への出力に加えて、ログ収集情報１１１０をスケジュール収集部１０８に出力する。
　攻撃可否判定部１０７は、以下の情報であるログ収集情報１１１０を生成する。攻撃可否判定部１０７は、例えば、収集スケジュール条件１２０４を入力し、入力した収集スケジュール条件１２０４に基づいてログ収集情報１１１０を生成するとしてもよい。
　まず、攻撃可否判定部１０７は、関連攻撃情報１１０５における「間隔２：１１０４＿ｓ２」から、次に攻撃シナリオ要素３が発生する時期を計算する。例えば、警告情報１２０１において、通知された攻撃（攻撃シナリオ要素２）の日時（攻撃発生日時）が「２０１２／０９／２４，０９：００：００」であり、「間隔２：１１０４＿ｓ２」が「２４時間」であれば、「２０１２／０９／２５，０９：００：００」が攻撃発生予想日時として算出される。
　また、攻撃可否判定部１０７は、攻撃発生予想日時と、資産情報１１０９における資産識別情報１１０９＿ａとから、ログを収集する命令（ログ収集命令）を生成する。
　例えば、ログ収集命令は以下のようになる。
　（ａ）収集条件：攻撃発生予想日時。
　（ｂ）検索対象ログ：「ＩＰアドレス」ｏｒ「ＭＡＣアドレス」ｏｒ「資産ＩＤ」（何れも該当資産のもの）
　攻撃可否判定部１０７は、上記のようなログ収集命令をログ収集情報１１１０として生成する。
　なお、収集スケジュール条件１２０４は、例えば、攻撃発生予想日時の前後１時間のログを収集するというような収集の付加条件である。収集スケジュール条件１２０４は、ログ収集情報１１１０に対してさらに条件を加えるものである。この場合は、スケジュール収集部１０８が、以下のようにログ収集情報１１１０を加工する。
　（ａ）収集条件：攻撃発生予想日時プラスマイナス１時間。
　（ｂ）検索対象ログ：「ＩＰアドレス」ｏｒ「ＭＡＣアドレス」ｏｒ「資産ＩＤ」（何れも該当資産のもの）。
　攻撃可否判定部１０７がログ収集情報１１１０をスケジュール収集部１０８へ出力すると、スケジュール収集部１０８は、ログ収集情報１１１０をログ分析装置９０３が解釈可能な収集命令１１１１に変換して、外部連携部（収集）１０９に出力する。
　外部連携部（収集）１０９は、ログ分析連携装置１の外部に存在するログ分析装置９０３に対して、収集命令１２０６を送信する。この処理は、図１の（４）’スケジュール収集９１５’に相当する。
　ログ分析装置９０３は、受信した収集命令１２０６にしたがって、攻撃発生予想日時（攻撃発生予想日時の前後１時間）に該当資産からログ収集を実行するように（スケジュール収集）、ロガー９０１に指示を出す。この処理は、図１の（５）’スケジュール収集９１６’に相当する。
　ロガー９０１は、スケジュール収集により、攻撃発生予想日時（攻撃発生予想日時の前後１時間）のみ、モバイル機器９０５からログを収集する。この処理は、図１の（５）’’スケジュール収集９１６’’、（６）’’ログ９１７’’に相当する。
　ロガー９０１は、ログを収集した結果をログ分析装置９０３へ収集結果９１７’’として通知する。ログ分析装置９０３は、ロガー９０１から通知された収集結果９１７’’を収集結果１２０７として、ログ分析連携装置１に送信する。
　ログ分析連携装置１の外部連携部（収集）１０９は、収集結果１２０７を入力し、収集結果１１１２としてスケジュール収集部１０８へ出力する。
　以上のようなスケジュール収集部１０８の処理により、モバイル機器９０５からログがロガー９０１にスケジュール収集された。これ以降は、実施の形態１における、スケジュール検索部１０１０、外部連携部（検索）１０１１、出力部１０１２の処理を実行する。
　本実施の形態では、ロガー９０１がモバイル機器９０５に対してログの収集を行う機能を有しており、例えば、モバイル機器９０５にログ収集用エージェントをインストールし、ロガー９０１が、モバイル機器９０５のログ収集用エージェントに対して、ログの送信命令を送ることで、ロガー９０１にモバイル機器９０５のログを送信させるような仕組みが考えられる。この様な仕組みは既存の技術を用いればよく、ログ収集の仕組みは、エージェント方式に限定せず、エージェントレス方式であっても良い。また、収集命令１２０６を直接ロガー９０１に送信するような方式でも良い。
　本実施の形態では、常にログ収集が不可能なモバイル機器に対して、分析に必要なログをそのときだけに限り収集するので、モバイル機器に負担をかけずに、ログの収集が可能となる効果がある。
　実施の形態３．
　本実施の形態では、主に、実施の形態１，２との差異について図９を用いて説明する。
　実施の形態１では、検索スケジュール条件１２０５には、何も指定しない場合について説明した。本実施の形態では、検索スケジュール条件１２０５として、例えば、以下のように指定することで検索のバリエーションを増やすことができる態様について説明する。
　スケジュール検索部１０１０は、検索スケジュール条件１２０５として、「攻撃発生予想日時の前１時間から攻撃発生予想日時まで検索する」、あるいは、「攻撃発生予想日時の前後１時間を検索する」等と指定された条件を入力する。
　これらの指定は、スケジュール検索部１０７により、ログ検索情報１１１３の検索条件に反映され、検索命令１１１４が生成される。
　また、検索結果１１１５において、エントリが検索されなかったことが判明した場合には、スケジュール検索を更に延長する指示を予め検索スケジュール条件１２０５として指定してもよい。
　例えば、スケジュール検索部１０１０は、「１度目の検索結果１１１５においてエントリが検索されなかった場合、ｍ時間おきに、ｎ回、同様のスケジュール検索を行う」と指定された検索スケジュール条件１２０５を入力する。この場合、スケジュール検索部１０１０は、検索条件の検索日時に「ｍ時間おき・ｎ回」という条件を反映し、検索命令１１１４を生成する。
　具体的には、検索スケジュール条件１２０５に「１度目の検索結果１１１５においてエントリが検索されなかった場合、１時間おきに、２回、同様のスケジュール検索を行う」と指定された場合、以下の（ａ）～（ｃ）のスケジュール検索が実行される。
　（ａ）最初の検索における検索日時：２０１２／０９／２５，０９：００：００。
　（ｂ）２回目の検索における検索日時：２０１２／０９／２５，１０：００：００。
　（ｃ）３回目の検索における検索日時：２０１２／０９／２５，１１：００：００。
　また、関連攻撃抽出部１０４は、関連攻撃抽出条件１２０３において「検知された攻撃の以前に発生した攻撃」が指定されていた場合、攻撃シナリオ１１０４から検知された攻撃よりも前に発生していたであろう攻撃の情報を抽出する。その場合、検索スケジュール条件１２０５を以下の様に指定する。これにより、スケジュール検索部１０１０（期間指定分析要求部）は、検知された攻撃よりも前に発生していたであろう攻撃の痕跡について、ログ分析装置９０３に検索命令１１１４（検索命令１２０８）を送信して、検索を依頼することができる。
　例えば、ＳＩＥＭ装置９０２により検知された攻撃（警告情報１２０１’により通知された攻撃）が、「攻撃シナリオ要素２：１１０４＿ｅ２」に該当したとする（図５参照）。その場合、「攻撃シナリオ要素１：１１０４＿ｅ１」（前攻撃）が、「攻撃シナリオ要素２：１１０４＿ｅ２」の攻撃の発生日時の「間隔１：１１０４＿ｓ１」（前発生間隔）前の日時に発生している可能性がある。
　「間隔１：１１０４＿ｓ１」が「２４時間」であったとする。この情報を利用し、例えば、検索スケジュール条件１２０５には、警告情報１２０１’における日時（攻撃発生日時：２０１２／０９／２４，０９：００：００）よりも２４時間前を検索日時として指定する。つまり、検索スケジュール条件１２０５には、「２０１２／０９／２３，０９：００：００を検索する」と指定する。
　但し、この場合は、既に過去の時間帯の検索なので、スケジューリングで検索するのではなく、直ぐに検索をするように指示する。
　また、検索に用いるキーワードなどの指定は、実施の形態１と同様の考え方であり、攻撃シナリオ要素１：１１０４＿ｅ１（前段の攻撃）から引用する。
　攻撃シナリオＤＢ検索部１０３、関連攻撃抽出部１０４、資産ＤＢ検索部１０６、攻撃可否判定部１０７は、前攻撃情報取得部の一例である。
　本実施の形態では、検索スケジュール条件１２０５を指定することで、検索日時に幅を持たせたり、１回目の検索でエントリが検索されなかった場合の、その後の検索方法を指定することが可能であり、この結果、攻撃発生予想日時がずれた場合にも対応できる効果がある。また、検知された攻撃の前段階の攻撃の痕跡をログから調べるため、攻撃シナリオを参照し、攻撃発生日時と攻撃の間隔を利用することで、検索対象の時期を適切な過去に指定した上で、該当する過去の攻撃の痕跡について、ログを検索することができる。
　実施の形態４．
　本実施の形態では、主に、実施の形態１～３との差異について説明する。
　実施の形態１～３において説明した機能構成と同様の機能構成については同一の符号を付し、その説明を省略する場合がある。
　本実施の形態では、ＳＩＥＭ装置９０２から出力される警告情報１２０１’の攻撃について、次に発生が予想される攻撃として成りすましによる不正アクセスが予想された場合の対策について説明する。
　ＡＰＴにおいては、「パスワードハッシュによる成りすましによる不正アクセス」が使われることがある。
　「パスワードハッシュによる成りすましによる不正アクセス」とは、次のような攻撃をいう。
　様々な認証において、パスワードのハッシュがメモリ上にキャッシュされる、あるいはファイルに保存されることがある。このパスワードのハッシュを盗めば、盗んだパスワードのハッシュのみで、パスワード自体を知らなくとも、成りすましが成功することがある。
　これは、パスワードをハッシュで変換した値を認証で用いる認証方式が多いことを悪用している。ハッカーは、このパスワードハッシュを盗み、悪用しようとするが、一般的には、ＯＳが管理者権限で動いていないと、マルウェアがパスワードハッシュを盗むことができないとされる。
　そこで、本実施の形態では、上記のような「パスワードハッシュによる成りすましによる不正アクセス」攻撃が発生することが予測された場合に、パスワードハッシュを悪用する成りすましを検知・防止する方式について説明する。
　例えば、実施の形態１において説明した予想される攻撃（次攻撃）が、「攻撃シナリオ要素３：１１０４＿ｅ３」であり、「攻撃シナリオ要素３：１１０４＿ｅ３」においては、「パスワードハッシュによる成りすましによる不正アクセス」が以下のように定義されているとする。
　＜攻撃シナリオ要素３：１１０４＿ｅ３の内容＞
　（ａ）攻撃識別情報１１０４＿ａ：「攻撃ＩＤ＝１２３４」、「攻撃種別＝９（パスワードハッシュによる成りすましによる不正アクセス）」、「脆弱性ＩＤ＝無し」。
　（ｂ）攻撃情報１１０４＿ｂ：「影響を受ける製品（製品ＩＤ＝ＯＳ＿○○○、バージョン情報＝ｖｅｒ１、パッチＩＤ＝１，２，３，４，５）」、「必要とする実行権限＝管理者」、「キーワード＝無し」、「その他情報＝無し」。
　（ｃ）対策識別情報ＩＤ１１０４＿ｃ：「対策ＩＤ＝１２３４’」。
　（ｄ）対策情報１１０４＿ｄ：「パッチＩＤ＝無し」、「回避策ＩＤ＝７８９」、「回避策内容（管理者権限での実行を止める）」、「その他情報＝無し」。
　攻撃識別情報１１０４＿ａの攻撃種別には、「パスワードハッシュによる成りすましによる不正アクセス」を識別するＩＤである「９」が付与されている。
　また、攻撃対象の資産Ｘの資産情報１１０９において、攻撃対象の資産の実行権限１１０９＿ｄは、「管理者」であるとする。
　ＯＳのパッチやアプリケーションのインストールを行うためには、管理者の権限が必要であることが多く、利便性を優先し、管理者権限で実行している場合がある。
　図１０は、本実施の形態に係るログ分析連携装置１の構成及び動作の概要を示す図である。図１０は、図９に対応する図であり、図９と同様の機能構成については同一の符号を付し、その説明を省略する。
　図１０は、図９の構成に加え、外部連携部（対策）１０７１を備える。
　入力部１０１から資産ＤＢ検索部１０６までの処理は、実施の形態１で説明したものと同様なので説明を省略する。
　攻撃可否判定部１０７は、図８の攻撃可否判定処理のフローを実施した際に、Ｓ１０７＿７において、資産が攻撃に必要な権限（管理者）で実行されていることを確認するので、Ｓ１０７＿７においてＹＥＳとなり、Ｓ１０７＿８の「攻撃は成功する」の判断となる。
　上記の処理に加えて、本実施の形態では、攻撃可否判定部１０７は、攻撃種別が９「パスワードハッシュによる成りすましによる不正アクセス」であった場合に、以下の処理を行う。
　図１０において、攻撃可否判定部１０７は、以下の情報を生成し、外部連携部（対策）１０７１へ出力する。
　（ａ）権限変更命令１１１９：資産Ｘにおいて、管理者権限で実行している場合、管理者権限以外の権限で実行するように変更する命令。
　（ｂ）パスワードリセット命令１１１７：資産Ｘにおける管理者のパスワードを変更する命令。
　外部連携部（対策）１０７１は、攻撃可否判定部１０７から権限変更命令１１１９とパスワードリセット命令１１１７とを入力する。外部連携部（対策）１０７１は、入力した権限変更命令１１１９を権限変更命令１２１１に変換するとともに、入力したパスワードリセット命令１１１７をパスワードリセット命令１２１２に変換し、ログ分析連携装置１の外部に出力する。
　監視対象システムは、認証サーバ１０（あるいは、認証サーバに類する管理システム）（認証装置）を備える。認証サーバ１０は、監視対象システム、監視対象システムに接続されている通信機器９０４、モバイル機器９０５等へのアクセス権限を認証情報により認証する。認証情報とは、例えば、ユーザＩＤ、パスワード等である。
　外部連携部（対策）１０７１は、権限変更命令１２１１とパスワードリセット命令１２１２とを、システム全体を管理している認証サーバ１０へ送信する。
　図１１は、本実施の形態に係る認証サーバ１０の構成と動作とを示す図である。
　図１１に示すように、認証サーバ１０は、ログ分析連携装置１から権限変更命令１２１１を受けて、該当する資産の実行権限を管理者以外に変更する（Ｓ１００１）。認証サーバ１０は、入力した権限変更命令１２１１により、該当する資産の実行権限を管理者以外に変更する権限変更機能を備える。
　また、図１１に示すように、認証サーバ１０は、パスワードリセット装置１１を備える。認証サーバ１０は、ログ分析連携装置１からパスワードリセット命令１２１２を入力し、入力したパスワードリセット命令１２１２をパスワードリセット命令８２０１に変換し、パスワードリセット装置１１に入力する。
　パスワードリセット装置１１は、パスワードリセット命令８２０１を入力すると、通信機器９０４のパスワードをリセットするためのリセット用パスワード８２０３、パスワードリセット通知文面８２０２を生成する。パスワードリセット装置１１は、リセット用パスワード８２０３、パスワードリセット通知文面８２０２を通信機器９０４等に送信する（Ｓ１００２，Ｓ１００３）。リセット用パスワード８２０３及びパスワードリセット通知文面８２０２を生成する処理の詳細については後述する。
　ログ分析連携装置１の外部連携部（対策）１０７１は、権限変更命令１１１９を、上記権限変更機能が解釈する権限変更命令１２１１として変換する。同様に、外部連携部（対策）１０７１は、パスワードリセット命令１１１７をパスワードリセット機能が解釈するパスワードリセット命令１２１２として変換する。
　このような権限変更機能、パスワードリセット機能としては、例えば、ソフトウェア開発ライブラリなどが用意されていたり、あるいは、命令フォーマットや通信方式が開示されていることが多い。
　権限変更命令１２１１は、外部連携部（対策）１０７１から、認証サーバ１０（或いは類する管理システム）へ送信される。認証サーバ１０は、権限変更機能を用いて、資産Ｘの実行権限を変更する。
　次に、外部連携部（対策）１０７１は、パスワードリセット命令１２１２を認証サーバ１０（或いは類する管理システム）へ送信する。
　この時、認証サーバ１０（或いは類する管理システム）においては、このパスワードリセット命令１２１２にしたがって、パスワードリセット機能を実装するモジュールを呼び出す。
　ここで、パスワードリセット命令１２１２を受けて、認証サーバ１０（或いは類する管理システム）で呼び出すモジュールの処理を以下に示す。
　当モジュールは、資産Ｘの管理者のパスワードを、下記に示すリセット用パスワードでリセットしたうえで、リセット後のパスワードを、下記に示す文面でユーザに通知する。
　なお、該当資産のパスワードのリセットは、認証サーバ１０（或いは類する管理システム）からリモートで実行するパスワードリセット機能を使用する。
　本実施の形態に係るパスワードリセット装置１１は、パスワードリセットのためのパスワード生成機能と、リセット後のパスワードを通知するパスワードリセット通知機能とを備える。
　パスワードリセット装置１１は、パスワードのリセットのために以下の処理を実行する。
（１）安全なパスワードとして、「ｐａｓｓ＿１」を生成する。
（２）作成したパスワードについて、予め用意した変換方法を適用し、新しいパスワード「ｐａｓｓ＿２」を生成する。
（３）変換したパスワード「ｐａｓｓ＿２」を用いて、該当資産の管理者のパスワードをリセットする。
（４）「ｐａｓｓ＿１」と「（２）で適用した変換方法」とを示した電子メールを資産Ｘのユーザに送信する。
　上記のような処理により、「パスワードハッシュによる成りすましによる不正アクセス」攻撃が発生することが予測された場合、監視対象システムあるいは監視対象機器においてパスワードが自動的にリセットされ、リセット後のパスワードはユーザに電子メールなどで通知されることとなる。
　図１２は、本実施の形態に係るパスワードリセット装置１１により生成される電子メールを示す図であり、（ａ）は電子メールの一例、（ｂ）は電子メールの他の例を示した図である。
　図１２（ａ）に示す「Ｊ９－ｎ１＊％４＞＾ｑ」が「ｐａｓｓ＿１」である。そして、「！Ｊ９－ｎ１＊％４＞＾ｑ）」が「ｐａｓｓ＿２」である。
　図１２（ａ）に示すように、「ｐａｓｓ＿１」から「ｐａｓｓ＿２」への変換方法（「（２）で適用した変換方法」）は、「下記のパスワードの直前に’！’を末尾に’）’を追加し、パスワードとして入力してください。」と、メールの文面で指示する。
　図１３は、本実施の形態に係るパスワードリセット装置１１の構成と動作とを示す図である。
　図１２（ａ）に示すパスワードのリセット文面は、図１３に示すパスワードリセット装置１１により生成される。
　パスワードリセット装置１１は、パスワード生成部８０１、変換ルール選択部８０２，変換パラメータ値生成部８０３、文書テンプレート選択部８０４、パスワードリセット通知文書生成部８０５、変換ルール文書テンプレートＤＢ８０６を備える。
　パスワード生成部８０１は、安全なパスワードを生成する。
　変換ルール選択部８０２は、パスワード生成部８０１で生成したパスワードを変換するルールを選択する。変換ルール選択部８０２は、変換ルールを、変換ルール文書テンプレートＤＢ８０６から検索し取得する。
　変換パラメータ値生成部８０３は、パスワードを変換する際に使用する変換用パラメータを生成する。
　文書テンプレート選択部８０４は、パスワードを変換するルールと対になる文書テンプレートを、変換ルール文書テンプレートＤＢ８０６から検索し取得する。
　パスワードリセット通知文書作成部８０５は、パスワードリセットを指示する文書を作成し、パスワードリセット通知文面８２０２と、リセット用パスワード８２０３とを出力する。
　変換ルール文書テンプレートＤＢ８０６は、パスワードの変換ルールと文書テンプレートとの対を保存するＤＢである。パスワード変換ルールと文書テンプレートとの対（以下、パスワード変換ルール＋文書テンプレートと記載する）は、この対を識別するＩＤにより、以下のように保存・管理されている。
　ＩＤ１：パスワード変換ルール１＋文書テンプレート１
　ＩＤ２：パスワード変換ルール２＋文書テンプレート２
　・・・
　ＩＤｎ：パスワード変換ルールｎ＋文書テンプレートｎ
　図１４は、本実施の形態に係るパスワードリセット装置１１のリセット用パスワード８２０３及びパスワードリセット通知文面８２０２の生成方法を示す図である。
　図１３及び図１４を用いて、パスワードリセット装置１１の動作について説明する。
　パスワードリセット装置１１は、パスワードリセット命令８２０１（認証サーバ１０（或いは類する管理システム）における指示）を入力する。入力されたパスワードリセット命令８２０１は、パスワード生成部８０１と変換ルール選択部８０２とに入力される。
　パスワード生成部８０１は、所定のアルゴリズムで、安全なパスワードを生成し、ベースパスワード８１０１を生成する。
　変換ルール選択部８０２は、ランダムに、パスワード変換ルール＋文書テンプレートの対を管理しているＩＤを選択する。例えば、変換ルール選択部８０２は、「ＩＤ１」を選択する。続けて、変換ルール選択部８０２は、選択した「ＩＤ１」を変換ルール文書テンプレートＤＢ８０６に送信し、該当するエントリの、変換ルール８１０６を取得する。
　ここでは、以下のように「ＩＤ１」に対応するエントリから、パスワード変換ルール１を取得する。
　ＩＤ１：パスワード変換ルール１＋文書テンプレート１
　変換ルール選択部８０２は、パスワード変換ルール１をパスワード変換ルール８１０２として、変換パラメータ値生成部８０３に出力する。
　ここで、パスワード変換ルール１は、以下のように記述されているとする。
　＜パスワード変換ルール１＞
ａｐｐｅｎｄ
　ｐａｒａｍ１＝ｔｏｐ，’！’
　ｐａｒａｍ２＝ｔａｉｌ，’）’
　次に、変換パラメータ値生成部８０３は、このパスワード変換ルール１を解釈し、変換パラメータ値８１０３を以下のように生成する（図１４参照）。
ａｐｐｅｎｄ
　ｐａｒａｍ１＝ｔｏｐ，’！’
　ｐａｒａｍ２＝ｔａｉｌ，’）’
　ここでは、ｐａｒａｍ１とｐａｒａｍ２とに、既に値が指定されているため、変換パラメータ値生成部８０３は、パスワード変換ルール１をそのまま変換パラメータ値８１０３として出力する。
　パラメータに値が設定されていない場合は、変換パラメータ値生成部８０３は、パラメータに値を設定してパラメータ値８１０３を生成する。
　パラメータに値が設定されていない場合の変換パラメータ値８１０３は、以下のようになる。
ａｐｐｅｎｄ
　ｐａｒａｍ１＝ｔｏｐ，＊
　ｐａｒａｍ２＝ｔａｉｌ，＊
　上記のようにパラメータに値が設定されていない場合の変換パラメータ値８１０３が指定された場合は、変換パラメータ値生成部８０３は、任意の文字をその場で選択して当てはめる。「＊」に当てはめる。
　例えば、変換パラメータ値生成部８０３は、’］’と’＞’を選択したのであれば、
ａｐｐｅｎｄ
　ｐａｒａｍ１＝ｔｏｐ，’］’
　ｐａｒａｍ２＝ｔａｉｌ，’＞’
と解釈する。文字数は１文字以上であればよい。
　この場合、リセット用パスワードは、「］Ｊ９－ｎ１＊％４＞＾ｑ＞」となる。
　次に、変換ルール選択部８０２は、選択した「ＩＤ１」をＩＤ８１０４として文書テンプレート選択部８０４へ出力する。
　文書テンプレート選択部８０４は、変換ルール選択部８０２からＩＤ８１０４（ＩＤ１）を入力する。文書テンプレート選択部８０４は、入力したＩＤ８１０４（ＩＤ１）を用いて、変換ルール文書テンプレートＤＢ８０６を検索する。文書テンプレート選択部８０４は、ＩＤ８１０４（ＩＤ１）に対応する文書テンプレート１を文書テンプレート８１０７として取得する。さらに、文書テンプレート選択部８０４は、パスワードリセット通知文書生成部８０５に取得した文書テンプレート１を出力する。
　ここで、文書テンプレート１は、以下のように記述されているとする（図１４参照）。
　＜文書テンプレート１＞
Ｉｎｓｔｒｕｃｔｉｏｎ：
下記のパスワードのｗｈｅｒｅ１にｖａｌｕｅ１をｗｈｅｒｅ２にｖａｌｕｅ２をｄｏ１し、パスワードとして入力してください。
ＴｏＢｅＣｈａｎｇｅｄ：
ｗｈｅｒｅ１，ｖａｌｕｅ１
ｗｈｅｒｅ２，ｖａｌｕｅ２
ｄｏ１
　パスワードリセット通知文書生成部８０５は、入力した変換パラメータ値８１０３を参照する。
　＜変換パラメータ値８１０３＞
ａｐｐｅｎｄ
　ｐａｒａｍ１＝ｔｏｐ，’！’
　ｐａｒａｍ２＝ｔａｉｌ，’）’
　ここで、パスワードリセット通知文書生成部８０５は、図１４に示す変換表８０４ａを備えるものとする。
　変換表８０４ａは、例えば、ｗｈｅｒｅの位置に表される変数と、文書中の変換についての対応を記載したものである。変換表８０４ａは、例えば、次のような内容が記載されている。
　（ａ）ｔｏｐ→先頭：ｔｏｐは先頭と変換する（図１４の＊２）。
　（ｂ）ｔａｉｌ→末尾：ｔａｉｌは末尾と変換する（図１４の＊３）。
　上記の内容の他に、例えば、以下の内容等を指定する（図示は無し）。
　（ｃ）１→先頭から１番目：１は先頭から１番目を意味する。
　（ｄ）２→先頭から２番目：２は先頭から２番目を意味する。
　パスワードリセット通知文書生成部８０５は、例えば、変換表８０４ａに基づいて、上記変換パラメータ値８１０３を、次のように解釈する。
　（１）ａｐｐｅｎｄなので、指定された値を、指定された箇所に追加する。
＜指定された値＞
　ｐａｒａｍ１より、１つ目：’！’
　ｐａｒａｍ２より、２つ目：’）’
＜指定された箇所＞
　ｐａｒａｍ１より、１つ目：ｔｏｐ→先頭
　ｐａｒａｍ２より、２つ目：ｔａｉｌ→末尾
　そして、パスワードリセット通知文書生成部８０５は、リセット用のパスワードを以下のように生成する。
　（１）ベースパスワード８１０１（Ｊ９－ｎ１＊％４＞＾ｑ）に対するリセット用パスワード：「！Ｊ９－ｎ１＊％４＞＾ｑ）」。
　これは、「Ｊ９－ｎ１＊％４＞＾ｑ」の先頭に’！’を追加し、末尾に’）’を追加したものである。
　次に、パスワードリセット通知文書生成部８０５は、入力した文書テンプレート８１０５（文書テンプレート１）を参照し、以下のように解釈する。
　（１）Ｉｎｓｔｒｕｃｔｉｏｎ：以降の文字列を読み込み、パスワードの変換指示の文書と解釈する。
　下記のパスワードのｗｈｅｒｅ１にｖａｌｕｅ１をｗｈｅｒｅ２にｖａｌｕｅ２をｄｏ１し、パスワードとして入力してください。
　（２）ＴｏＢｅＣｈａｎｇｅｄ：の箇所を特定し、１行ずつ読み込む。
　（ｗｈｅｒｅ１，ｖａｌｕｅ１）、（ｗｈｅｒｅ２，ｖａｌｕｅ２）、（ｄｏ１）を得る。
　そして、パスワードリセット通知文書生成部８０５は、以下を解釈する。
　パスワードの変換指示の文書「下記のパスワードのｗｈｅｒｅ１にｖａｌｕｅ１をｗｈｅｒｅ２にｖａｌｕｅ２をｄｏ１し、パスワードとして入力してください」において、
　’ｗｈｅｒｅ１’とマッチする箇所を、１つ目の変換箇所を示す文字列で置換する。
　’ｖａｌｕｅ１’とマッチする箇所を、１つ目の変換用の値で置換する。
　’ｗｈｅｒｅ２’とマッチする箇所を、２つ目の変換箇所を示す文字列で置換する。
　’ｖａｌｕｅ２’とマッチする箇所を、２つ目の変換用の値で置換する。
　’ｄｏ１’とマッチする箇所を、変換方法を示す文字列で置換する。
　次に、パスワードリセット通知文書生成部８０５は、変換パラメータ値８１０３を参照する。
ａｐｐｅｎｄ
　ｐａｒａｍ１＝ｔｏｐ，’！’
　ｐａｒａｍ２＝ｔａｉｌ，’）’
　この変換パラメータ値８１０３は、既に、次のように解釈されている。
　（１）ａｐｐｅｎｄなので、指定された値を、指定された箇所に追加する。
＜指定された値＞
　ｐａｒａｍ１より、１つ目：’！’
　ｐａｒａｍ２より、２つ目：’）’
＜指定された箇所＞
　ｐａｒａｍ１より、１つ目：ｔｏｐ→先頭
　ｐａｒａｍ２より、２つ目：ｔａｉｌ→末尾
　以上より、パスワードリセット通知文書生成部８０５は、次の変換を行う。
　’ｗｈｅｒｅ１’とマッチする箇所を１つ目の変換箇所を示す文字列で置換する→’先頭’。
　’ｖａｌｕｅ１’とマッチする箇所を、１つ目の変換用の値で置換する→’！’。
　この結果、パスワードの変換指示の文書（以下、変換指示文書とする）は、以下のように変換される。
　変換指示文書：「下記のパスワードの先頭に’！’をｗｈｅｒｅ２にｖａｌｕｅ２をｄｏ１し、パスワードとして入力してください」。
　ここでは、「先頭」と「’！’」とが、変換された部分である。
　同様に、パスワードリセット通知文書生成部８０５は、次の変換を行う。
　’ｗｈｅｒｅ２’とマッチする箇所を２つ目の変換箇所を示す文字列で置換する→’末尾’。
　’ｖａｌｕｅ２’とマッチする箇所を、２つ目の変換用の値で置換する→’）’。
　この結果、パスワードの変換指示文書は、以下のように変換される。
　変換指示文書：「下記のパスワードの先頭に’！’を末尾に’）’をｄｏ１し、パスワードとして入力してください」。
　ここでは、「末尾」と「’）’」とが、変換された部分である。
　最後に、パスワードリセット通知文書生成部８０５は、次の変換を行う。
　ｄｏ１の箇所を、変換指示である「ａｐｐｅｎｄ→’追加’」で置換する。
　この結果、パスワードの変換指示文書は、以下のように変換される。
　変換指示文書：「下記のパスワードの先頭に’！’を末尾に’）’を追加し、パスワードとして入力してください」。
　ここでは、「追加」が、変換された部分である。
　パスワードリセット通知文書生成部８０５は、最後に、変換指示文書の末尾にベースパスワード８１０１を追加し、最終的にパスワードリセット文書（変換指示文書）を以下のように生成する（図１２（ａ）参照）。
　変換指示文書：
下記のパスワードの直前に’！’を末尾に’）’を加えてから、パスワードとして入力してください。
Ｊ９－ｎ１＊％４＞＾ｑ
　そして、パスワードリセット通知文書生成部８０５は、パスワードリセット文書（変換指示文書）をパスワードリセット通知文書８２０２として出力する。また、パスワードリセット通知文書生成部８０５は、リセット用パスワード８２０３を出力する。
　認証サーバ１０（或いは類する管理システム）は、パスワードリセット装置１１の出力であるリセット用パスワード８２０３を用いて、資産Ｘの管理者用パスワードをリセットする（図１０のＳ１００２）。
　さらに、認証サーバ１０（或いは類する管理システム）は、パスワードリセット装置１１の出力であるパスワードリセット通知文書８２０２を受け取り、パスワードリセット通知文書８２０２をメールの文面とし、資産Ｘのユーザへ電子メールを送信する（図１１のＳ１００３）。
　資産Ｘのユーザは、この電子メールを受け取ると、メールの文面を読んで指示に従い、リセット用パスワードをリセット後のパスワードとして入力する。
　その後、さらにユーザ自身でパスワードをリセットしても良い。
　次に、パスワードリセット装置１１において、パスワードリセット処理の他の実装の方法について説明する。
　図１２（ｂ）に示すように、パスワードリセット通知文書８２０２として以下のような文面を生成する方法がある。
　図１２（ｂ）に示すメール文面は、「画像と一致する動物の番号を選択して、下記のパスワードの末尾に、その名前を追加しパスワードとしてください」として、その後にベースパスワード「Ｊ９－ｎ１＊％４＞＾ｑ」が表示される。また、その後には魚の画像が添付され、選択枝「１．ｔｉｇｅｒ，２．ｓｎａｋｅ，３．ｆｉｓｈ，４．Ｍｉｃｈｅｌ」が表示される。魚の画像と選択肢の位置は、逆でもよい。
　この場合、変換ルール文書テンプレートＤＢ８０６では、以下を管理する。
　ＩＤ１：パスワード変換ルールｇ＋文書テンプレートｇ＋画像テンプレートｇ。
　パスワード変換ルールｇは、以下の内容となる。
　＜パスワード変換ルールｇ＞
ａｐｐｅｎｄ
　ｐａｒａｍ１＝ｔａｉｌ，’ｆｉｓｈ’
　文書テンプレートｇは、以下の内容となる。
　＜文書テンプレートｇ＞
Ｉｎｓｔｒｕｃｔｉｏｎ：
画像と一致する動物の番号を選択して、下記のパスワードのｗｈｅｒｅ１に、その名前をｄｏ１しパスワードとしてください。
ＴｏＢｅＣｈａｎｇｅｄ：
ｗｈｅｒｅ１←ｖａｌｕｅ１は無い。
ｄｏ１
　画像テンプレートｇは、以下の内容となる。
　＜画像テンプレートｇ＞
　「魚の画像」
　「１．ｔｉｇｅｒ，２．ｓｎａｋｅ，３．ｆｉｓｈ，４．Ｍｉｃｈｅｌ」
　パスワード生成部８０１、変換ルール選択部８０２、変換パラメータ値生成部８０３の処理は、図１２（ａ）のメールを生成する場合の処理と同様である。
　文書テンプレート選択部８０４は、文書テンプレートｇに加え、画像テンプレートｇも取得し、パスワードリセット通知文書生成部８０５へ出力する。
　パスワードリセット通知文書生成部８０５は、上述した処理と同様に、以下のようにパスワードリセット通知文書８２０２（変換指示文書）を生成する。但し、文書テンプレートｇには、ＴｏＢｅＣｈａｎｇｅｄのｖａｌｕｅ１は存在せず、Ｉｎｓｔｒｕｃｔｉｏｎの文書中にもｖａｌｕｅ１に相当する箇所は無いので、この置換に関する処理は行わない。
　パスワードリセット通知文書生成部８０５は、変換指示文書：「画像と一致する動物の番号を選択して、下記のパスワードの末尾に、その名前を追加しパスワードとしてください」の後に、ベースパスワード「Ｊ９－ｎ１＊％４＞＾ｑ」を追加する。
　次に、パスワードリセット通知文書生成部８０５は、末尾に、画像テンプレートｇにおける、’１．ｔｉｇｅｒ，２．ｓｎａｋｅ，３．ｆｉｓｈ，４．Ｍｉｃｈｅｌ’を追加する。
　さらに、パスワードリセット通知文書生成部８０５は、パスワードリセット通知文書８２０２に、魚の画像を添付する。
　以上のように、パスワードリセット通知文書生成部８０５は、パスワードリセット通知文書８２０２を生成する。また、パスワードリセット通知文書生成部８０５は、ルールに従い、「Ｊ９－ｎ１＊％４＞＾ｑｆｉｓｈ」をリセット用パスワード８２０３として生成する。
　上記は実装の一例であるが、パスワード変換ルール、文書テンプレートの実装を変え、ベースパスワードに対する置換の方法を変えたり、文字を削除したり、ベースパスワードを半分に分割しそれらを入れ替えるなど、様々なパスワード生成方法が考えられる。
　以上のように、本実施の形態に係るログ分析連携システム１０００は、次のような特徴を備えることを説明した。
　ログ分析連携装置は、将来に起こりうる攻撃の情報に、パスワードハッシュによる不正アクセスが含まれていた場合、認証システムに、管理者権限による資産の実行を、その他の権限による実行に変更する命令を出力する。
　さらに、ログ分析連携装置は、既存の認証システムにアドオンする装置により、新しい管理者用パスワードを生成し、認証システムから、そのパスワードで該当資産のパスワードをリセットする。さらに、リセットしたパスワードを通知する文章をメールで、該当資産のユーザに通知する。その際に、メールの文章は、「ベースパスワード」、「ベースパスワードの変換方法（文書）」、「ベースパスワードに対して、文書で示された変換方法を施したパスワードが、リセットに使用したパスワードであること」を示す内容である。
　上述したパスワード生成方法において特徴的なのは、「人間が文書を読まないとパスワード生成方法は分からない」点である。マルウェアは、パスワードリセット通知文書８２０２を含んだメールを受け取っても、その変換ルールを解釈できないので、マルウェアによるリセット用パスワードの悪用防止となる。
　以上のように、本実施の形態に係るログ分析連携システム１０００によれば、攻撃シナリオにおいて、将来、パスワードハッシュによる成りすましによる不正アクセスが起こると判断された場合、資産情報から攻撃対象の資産の実行権限が管理者権限か調べ、管理者権限で実行されている場合は、認証サーバ経由で、実行権限を管理者権限以外にすることで、パスワードハッシュがマルウェアにより盗まれ、成りすましに悪用されることを防ぐ効果がある。
　さらに、本実施の形態に係るログ分析連携システム１０００によれば、成りすましを防止するため、攻撃対象の資産におけるユーザ（管理者）のパスワードを強制リセットし、そのリセットしたパスワードを攻撃対象の資産におけるユーザ（管理者）へメールで通知する場合に、人間が文章を理解しないと、リセットしたパスワードを判断できないようにしたので、マルウェアがパスワードの通知メールを入手しても、パスワードが分からず、悪用できないという効果がある。
　実施の形態５．
　本実施の形態では、主に、実施の形態１～４との差異について説明する。
　実施の形態１～４において説明した機能構成と同様の機能構成については同一の符号を付し、その説明を省略する場合がある。
　実施の形態１～４において、ログ分析連携システム１０００は、警告情報で通知された攻撃を含む攻撃シナリオに基づいて、将来起こりうる攻撃の発生を攻撃発生が予想される時期にログから検索する、あるいは過去に起こり得た攻撃の痕跡を攻撃発生したであろう時期についてログから検索する方式について説明した。
　例えば、攻撃発生が予想される時期／攻撃発生したであろう時期を指定してログを検索しても、該当する攻撃の痕跡が検索されないことが考えられる。
　本実施の形態では、ログ分析連携装置１は、検索されたエントリが無かったことが示された場合は、攻撃シナリオ１１０４を修正して修正シナリオを生成する処理について説明する。
　ログ分析連携装置１は、図１の検索結果１２０９に、検索されたエントリが無かったことが示された場合は、そのとき参照した攻撃シナリオ１１０４から、ログ分析装置９０３へ検索を依頼した対象の攻撃を削除した修正シナリオを生成し、攻撃シナリオＤＢ１０１３に追加する。
　例えば、図５の攻撃シナリオ１１０４において、ログのスケジュール検索をしても「攻撃シナリオ要素３：１１０４＿ｅ３」について痕跡が見つからなかった場合について説明する。この場合、ログ分析連携装置１は、攻撃シナリオ１１０４から、「攻撃シナリオ要素３：１１０４＿ｅ３」を削除して、新たな攻撃シナリオ１１０４’を生成する。
　新たな攻撃シナリオ１１０４’は、以下のような内容となる。
　攻撃シナリオ１１０４’：「１１０４＿ｅ１：攻撃シナリオ要素１→１１０４＿ｓ１：間隔１→１１０４＿ｅ２：攻撃シナリオ要素２」。
　ログ分析連携装置１は、新たに生成した攻撃シナリオ１１０４’を追加シナリオとして攻撃シナリオＤＢ１０１３に追加する。
　また、「１１０４＿ｓ２：間隔２」の値に基づいた攻撃発生が予想される時期が、実際にログ分析システムで検索された時期に対して、進んでいたり、遅れていたりした場合について説明する。
　ログ分析連携装置１は、予想発生時期と実際の発生時期とのずれを「１１０４＿ｓ２：間隔２」に反映（修正）し、攻撃シナリオ１１０４を修正しても良い。例えば、修正前は「１１０４＿ｓ２：間隔２＝２４時間」であった情報を、予想発生時期と実際の発生時期とのずれ（例えば、２４時間のずれ）を反映して修正した結果、「１１０４＿ｓ２：間隔２＝４８時間」としてもよい。
　或いは、予想発生時期と実際の発生時期とのずれ（例えば、２４時間のずれ）を加味して修正してもよい。この場合は、予想発生時期と実際の発生時期とのずれ（例えば、２４時間のずれ）を反映して修正した結果、「１１０４＿ｓ２：間隔２＝２４～４８時間」としてもよい。
　以上のように、本実施の形態に係るログ分析連携システム１０００によれば、予想発生時期と実際の発生時期とのずれを攻撃シナリオに反映させることができるので、精度の高いスケジュール検索を実行することができる。
　実施の形態６．
　本実施の形態では、主に、実施の形態１～５との差異について説明する。
　実施の形態１～５において説明した機能構成と同様の機能構成については同一の符号を付し、その説明を省略する場合がある。
　攻撃の種類によっては、攻撃の間隔についての情報が不明な場合がある。本実施の形態では、攻撃シナリオ１１０４に間隔を含まない場合のシナリオを用いたログ分析連携システム１０００の動作について記述する。
　図５の攻撃シナリオ１１０４において、間隔１：１１０４＿ｓ１、間隔２：１１０４＿ｓ２が記述されているが、本実施の形態では、間隔１、間隔２という攻撃間の発生時間を含まない攻撃シナリオ１１０４を用いる。
　つまり、本実施の形態では、攻撃シナリオ１１０４は以下である。
　攻撃シナリオ要素１：１１０４＿ｅ１→攻撃シナリオ要素２：１１０４＿ｅ２→攻撃シナリオ要素３：１１０４＿ｅ３。
　以下に、実施の形態１におけるログ分析連携装置１の動作と、本実施の形態におけるログ分析連携装置１の動作との差分について説明する。
　本実施の形態では、攻撃シナリオにおいて間隔を含まないため、関連攻撃情報１１０５には「攻撃シナリオ要素３：１１０４＿ｅ３」が該当する。
　実施の形態１では、ログ検索情報１１１３に含まれる攻撃発生予想日時の生成に、関連攻撃情報１１０５に含まれる間隔２を使用するが、本実施の形態では「間隔」の情報が無い。本実施の形態に係るログ分析連携装置１は、「間隔」の情報の代わりに、検索スケジュール条件１２０５において、例えば、以下のような指示を行う。
　＜本実施の形態に係る検索スケジュール条件１２０５の具体例＞
　例１：「攻撃発生日時からｍ時間おきにｐ時間の期間をｎ回検索せよ」。
　例２：「攻撃発生日時から１回検索、
　２回目は１回目の検索後１×ｍ時間後にｐ１時間の期間、
３回目は２回目の検索後２×ｍ時間後にｐ２時間の期間、
４回目は３回目の検索後３×ｍ時間後にｐ３時間の期間、
・・・同様にｎ回検索せよ」。例２では検索から次の検索までの期間が段々長くなる。
　例３：「攻撃発生日時から１回検索、
２回目は１回目の検索後１×ｍ時間後にｐ１時間の期間、
３回目は２回目の検索後２×ｍ時間後にｐ２時間の期間、
４回目は３回目の検索後４×ｍ時間後にｐ３時間の期間、
・・・同様にｎ回検索せよ」。例３では検索から次の検索までの期間が倍で長くなる。
　また、ｐ１、ｐ２、ｐ３は同じでも異なっても良い。
　また、「攻撃発生日時から」という部分も、「現在の時刻から」「今からｐ時間から」「次の０時から」などに置き換えても良い。
　スケジュール検索部１０１０は、このようにスケジュール検索を行う時期・期間・回数などの情報を検索スケジュール条件１２０５として受け取り、検索命令１１１４を生成する。
　攻撃発生予想日時は、検索スケジュール条件１２０５をもとに生成される。例えば、検索スケジュール条件１２０５で、「攻撃発生日時からｍ時間おき」という条件が含まれていた場合は、攻撃発生予想日時は、「攻撃発生日時＋ｍ時間後」（以後ｍ時間後）である。
　本実施の形態では、攻撃可否判定部１０７では攻撃発生予想日時を生成せず、スケジュール検索部１０１０で生成する。従って、実施の形態１では攻撃可否判定部１０７が出力するログ検索情報１１１３に検索条件として検索の日時が含まれていたが、本実施の形態では含まれず、スケジュール検索部１０１０で生成・追加する。
　また、実施の形態２においては、攻撃可否判定部１０７がログ収集情報１１１０を生成する。このログ収集情報１１１０には、収集条件として攻撃発生予想日時をもとにした収集条件が含まれている。この攻撃発生予想日時は攻撃シナリオに含まれる間隔を元に算出される。
　一方、本実施の形態では、攻撃発生予想日時は、スケジュール収集部１０８において、収集スケジュール条件１２０４をもとに生成される。この場合、収集スケジュール条件１２０４は、本実施の形態における検索スケジュール条件１２０５と同様の記述となる（「検索せよ」という記述が「収集せよ」と置き換わる）。
　また、本実施の形態における検索スケジュール条件１２０５を攻撃可否判定部１０７に入力し、攻撃可否判定部１０７が検索スケジュール条件１２０５から検索のための攻撃発生予想日時を算出しても良い。
　また、本実施の形態における収集スケジュール条件１２０４を攻撃可否判定部１０７に入力し、攻撃可否判定部１０７が収集スケジュール条件１２０４から収集のための攻撃発生予想日時を算出しても良い。
　また、上記の例では、攻撃発生日時を未来としたが、過去に遡って発生していたであろう攻撃を検索したり、ログを収集する場合は、ｍ（時間）をマイナスの値に指定すればよい。
　なお、本実施の形態では、関連攻撃情報１１０５に含まれる攻撃シナリオ要素が「攻撃シナリオ要素３：１１０４＿ｅ３」である場合を示した。
　しかし、例えば、検索された攻撃シナリオ１１０４が以下のとおりであり、関連攻撃情報１１０５に含まれる攻撃シナリオ要素の数が複数の場合もある。
　検索された攻撃シナリオ１１０４：「攻撃シナリオ要素１：１１０４＿ｅ１→攻撃シナリオ要素２：１１０４＿ｅ２→攻撃シナリオ要素３：１１０４＿ｅ３→攻撃シナリオ要素４：１１０４＿ｅ４→攻撃シナリオ要素５：１１０４＿ｅ５」。
　関連攻撃情報１１０５に含まれる攻撃シナリオ要素：「攻撃シナリオ要素３：１１０４＿ｅ３、攻撃シナリオ要素４：１１０４＿ｅ４、攻撃シナリオ要素５：１１０４＿ｅ５」。
　すなわち、関連攻撃情報１１０５に含まれる攻撃シナリオ要素が複数の場合である。
　この場合、攻撃可否判定部１０７、スケジュール検索部１０１０、スケジュール収集部１０８は、関連攻撃情報１１０５に含まれる、これらの複数の攻撃シナリオ要素について、上述した攻撃シナリオ要素３：１１０４＿ｅ３に対する処理と同様の処理を行っても良い。
　以下に処理の例を示す。
　関連攻撃情報１１０５に含まれる攻撃シナリオ要素が複数であるため、対策情報１１０７、対策有無１１０７’は、セキュリティ対策検索部１０５により各攻撃シナリオ要素に対応したものが返される。
　攻撃可否判定部１０７は、各攻撃シナリオ要素に含まれる攻撃が、該当する資産情報１１０９で示される資産において発生するか否かを、図８にしたがって判定する。
　図８の処理により該当する資産情報１１０９で示される資産で発生すると判断された攻撃シナリオ要素について、スケジュール検索部１０１０は、ログの検索を実行する。
　次に、攻撃シナリオ要素３：１１０４＿ｅ３、攻撃シナリオ要素４：１１０４＿ｅ４、攻撃シナリオ要素５：１１０４＿ｅ５に含まれる各攻撃が、該当する各資産情報１１０９で示される資産で発生すると判断された場合について説明する。
　まず、攻撃シナリオ要素３：１１０４＿ｅ３に該当する攻撃が、スケジュール検索部１０１０によってログから検索される。その後、スケジュール検索部１０１０は、ログに記録された攻撃シナリオ要素３：１１０４＿ｅ３の攻撃が発生した日時を攻撃発生日時として、検索スケジュール条件１２０５に含まれるスケジュール検索を行う時期・期間・回数などを適用して、さらに、攻撃シナリオ要素４：１１０４＿ｅ４をスケジュール検索する。
　次に、スケジュール検索部１０１０は、攻撃シナリオ要素４：１１０４＿ｅ４がログから検索された場合は、ログに記録された攻撃シナリオ要素４：１１０４＿ｅ４の攻撃が発生した日時を攻撃発生日時として、検索スケジュール条件１２０５に含まれるスケジュール検索を行う時期・期間・回数などを適用して、さらに、攻撃シナリオ要素５：１１０４＿ｅ５をスケジュール検索する。
　なお、スケジュール検索部１０１０は、各攻撃シナリオ要素がログから検索されるたびに検索結果１１１６を出力部１０１２に出力しても良いし、攻撃シナリオ要素５：１１０４＿ｅ５が検索された場合に、まとめて、全ての検索結果を出力しても良い。
　この場合、関連攻撃情報１１０５に含まれる攻撃シナリオ要素は複数であり、スケジュール収集部１０８は、スケジュール検索部１０１０の処理と同様に、後続する攻撃シナリオ要素を含む可能性のあるログをスケジュール収集しても良い。
　また、攻撃可否判定部１０７が、攻撃シナリオ要素３：１１０４＿ｅ３、攻撃シナリオ要素４：１１０４＿ｅ４、攻撃シナリオ要素５：１１０４＿ｅ５のうち、一部の攻撃シナリオ要素のみ攻撃が発生すると判定した場合は、その発生すると判定した攻撃シナリオ要素を対象として、スケジュール検索部１０１０で処理を行う様にしてもよい。或いは、判定結果に関わらず、攻撃シナリオ要素３：１１０４＿ｅ３、攻撃シナリオ要素４：１１０４＿ｅ４、攻撃シナリオ要素５：１１０４＿ｅ５の全てについてスケジュール検索部１０１０で処理しても良い。
　以上のように、本実施の形態に係るログ分析連携システムによれば、内包する攻撃間の発生間隔が不明な攻撃シナリオでも、検索スケジュール条件において検索時期や間隔に関する情報を与えることで攻撃発生予想日時を算出しスケジュール検索することが可能である。
　また、収集スケジュール条件においても収集時期や間隔に関する情報を与えることで攻撃発生予想日時を算出しログのスケジュール収集をすることが可能である。
　実施の形態７．
　本実施の形態では、主に、実施の形態１～６との差異について説明する。
　実施の形態１～６において説明した機能構成と同様の機能構成については同一の符号を付し、その説明を省略する場合がある。
　攻撃の種類によっては、間隔の情報や攻撃間の繋がりが不明な場合がある。本実施の形態では、攻撃シナリオ１１０４に間隔も攻撃間の繋がりも含まない場合のシナリオを用いたログ分析連携システム１０００の動作について記述する。
　図５の攻撃シナリオ１１０４において、間隔１：１１０４＿ｓ１、間隔２：１１０４＿ｓ２、また、攻撃間の繋がりとしてその順番が→で記述されているが、本実施の形態では、間隔１、間隔２という攻撃間の発生時間も、攻撃間の繋がりも含まない攻撃シナリオ１１０４を用いる。
　つまり、攻撃シナリオ１１０４は例えば以下である。
　攻撃シナリオ要素１：１１０４＿ｅ１、攻撃シナリオ要素２：１１０４＿ｅ２、攻撃シナリオ要素３：１１０４＿ｅ３、攻撃シナリオ要素４：１１０４＿ｅ４、攻撃シナリオ要素５：１１０４＿ｅ５。
　このように、本実施の形態に係る攻撃シナリオ１１０４は、「間隔」も「→」も無く、攻撃シナリオを構成する攻撃群を意味する。
　以下に、実施の形態６におけるログ分析連携装置１の動作との差分について説明する。
　本実施の形態では、攻撃シナリオＤＢ検索部１０３は、攻撃識別情報１１０３（実施の形態１における例と同じとする）を攻撃シナリオＤＢ１０１３に出力し、攻撃シナリオ１１０４を取得する。この場合、攻撃シナリオＤＢ検索部１０３は、例えば、攻撃識別情報１１０３の構成要素である攻撃ＩＤが、「攻撃シナリオ要素１１０４＿ｅの攻撃識別情報１１０４＿ａに含まれる攻撃シナリオ」を検索する。
　関連攻撃抽出部１０４は、攻撃シナリオ１１０４を入力し、処理装置により、攻撃シナリオ１１０４を分析する。関連攻撃抽出部１０４は、通知された攻撃シナリオ１１０４に含まれる攻撃に関連する情報を抽出する。このとき、関連攻撃抽出部１０４は、関連攻撃抽出条件１２０３を入力する。関連攻撃抽出条件１２０３は「通知された攻撃を除く全ての攻撃」である。
　攻撃シナリオ１１０４が以下であり、警告情報１１０２に含まれる攻撃ＩＤが攻撃シナリオ要素２：１１０４＿ｅ２の攻撃ＩＤであるとする。
　「攻撃シナリオ要素１：１１０４＿ｅ１、攻撃シナリオ要素２：１１０４＿ｅ２、攻撃シナリオ要素３：１１０４＿ｅ３、攻撃シナリオ要素４：１１０４＿ｅ４、攻撃シナリオ要素５：１１０４＿ｅ５」。
　関連攻撃抽出部１０４で抽出される関連攻撃情報１１０５は、攻撃シナリオ１１０４から攻撃シナリオ要素２を除いた以下である。
　「攻撃シナリオ要素１：１１０４＿ｅ１、攻撃シナリオ要素３：１１０４＿ｅ３、攻撃シナリオ要素４：１１０４＿ｅ４、攻撃シナリオ要素５：１１０４＿ｅ５」。
　次に、関連攻撃抽出部１０４、攻撃可否判定部１０７、スケジュール検索部１０１０、スケジュール収集部１０８は、攻撃シナリオ要素１、攻撃シナリオ要素３、攻撃シナリオ要素４、攻撃シナリオ要素５の各々について、実施の形態６と同様の処理を行う。
　つまり、スケジュール検索部１０１０では、各攻撃シナリオ要素について、個別に、検索スケジュール条件１２０５に示される検索する時期・期間・回数を、攻撃シナリオ要素２：１１０４＿ｅ２の攻撃発生日時に適用して、ログの検索を行う。そして、スケジュール検索部１０１０は、各々の攻撃シナリオ要素についての検索結果１１１５を入力する。
　また、同様にスケジュール収集部１０８はログの収集を行う。
　本実施の形態では、検索スケジュール条件１２０５において、例えば、「攻撃シナリオ１１０４における攻撃シナリオ要素の数のｓ％がｔ時間以内にスケジュール検索で検索された場合に、シナリオに沿った攻撃が進行と判断」という条件を加える。ｔは０でもプラス（未来）でもマイナス（過去）でもプラスマイナス（攻撃発生予想日時を基点とした前後）でも０でも良い。
　スケジュール検索部１０１０は、例えば、ｓ＝６０％、ｔ＝７２０の場合、攻撃シナリオ要素１、攻撃シナリオ要素３、攻撃シナリオ要素４、攻撃シナリオ要素５のうち、いずれか２つ以上が（攻撃シナリオ要素２とあわせて３つ以上）が７２０時間（３０日）以内に検索された場合に、攻撃シナリオに従った攻撃が進行していると判断して、検索結果１１１６を出力部１０１２に出力する。攻撃進行の判断とは別に、毎回の検索結果を検索結果１１１６として出力しても良い。
　あるいは、検索スケジュール条件１２０５において、「攻撃シナリオ１１０４における攻撃のｓ％がｔ時間以内にスケジュール検索で検索された場合に、シナリオに沿った攻撃が進行と判断、同じ攻撃が複数回の場合もカウントに数える」のように、同じ攻撃シナリオ要素が複数回検索された場合もカウントに含める指示を与えても良い。
　以上のように、本実施の形態に係るログ分析連携システムによれば、内包する攻撃間の発生間隔が不明であり、かつ、その繋がりが不明な攻撃シナリオでも、検索スケジュール条件で検索時期や間隔に関する情報を与え、攻撃シナリオに含まれる要素の一定個数が検索されたことを攻撃成立の条件とすることで、シナリオに沿った攻撃を検索・攻撃成立を判断することが可能となる効果がある。
　また、本実施の形態に係るログ分析連携システムによれば、収集スケジュール条件で収集時期や間隔に関する情報を与えることで攻撃発生予想日時を算出しログのスケジュール収集が可能となる効果がある。本実施の形態においては収集スケジュール条件で与える収集時期や間隔に関する情報とは、例えば、「攻撃発生予想日時を基点としてｔ時間以内」などの情報であり、この点が実施の形態６と異なる点である。
　実施の形態８．
　本実施の形態では、主に、実施の形態１～７との差異について説明する。
　実施の形態１～７において説明した機能構成と同様の機能構成については同一の符号を付し、その説明を省略する場合がある。
　実施の形態１においては、攻撃シナリオにおける攻撃対象は、警告情報１１０２で示される資産とした。しかし、攻撃によっては他の資産へ攻撃が行われる可能性がある。
　本実施の形態では、資産検索情報１１０８の攻撃先情報として、ＤｅｓｔｉｎａｔｉｏｎＩＰ／Ｐｏｒｔ、資産ＩＤなどが資産ＤＢ検索部１０６に入力され、資産検索情報１１０８として資産ＤＢ１０１５に出力された場合、資産ＤＢ１０１５は、ＤｅｓｔｉｎａｔｉｏｎＩＰや資産ＩＤで示される資産と、そのＤｅｓｔｉｎａｔｉｏｎＩＰからネットワークを介して接続可能な他の資産についての情報を資産情報１１０９として資産ＤＢ検索部１０６へ返す。
　資産検索情報１１０８にＰｏｒｔが示された場合は、そのＰｏｒｔを使用している資産の情報を、資産ＤＢ１０１５は資産情報１１０９として返す。
　つまり、場合によっては資産情報１１０９は複数である。
　また、資産ＤＢ１０１５は、ＤｅｓｔｉｎａｔｉｏｎＩＰ／Ｐｏｒｔ、資産ＩＤで識別される資産と同じＯＳやアプリケーション（バージョン、パッチ適用状態が同じもの）を使用している資産を抽出してもよい。
　また、資産ＤＢ検索部１０６は、（図示していないが）関連攻撃情報１１０５を入力し、含まれる攻撃シナリオ要素１１０４＿ｅにおける攻撃情報１１０４＿ｂに含まれる、影響を受ける製品（製品ＩＤ、バージョン情報、パッチＩＤ）の情報などから、攻撃を受けうる資産の情報を資産検索情報１１０８に含めて資産ＤＢ１０１５に出力しても良い。この場合、資産ＤＢ１０１５は攻撃の影響を受けうる製品を使用している資産を資産情報１１０９として出力する。
　また、攻撃情報１１０４＿ｂに含まれる、キーワード／その他の情報として、例えば、認証サーバ／ファイルサーバ／ＤＢサーバ／ルータ／スイッチといった攻撃対象の種別が示されている場合は、その種別をもとに資産ＤＢ１０１５は検索を行い資産情報１１０９を出力してもよい。
　なお、攻撃シナリオ要素１１０４＿ｅは１つ以上ありえるので、その場合は各々について検索を行う。
　以上のようにすることで、次に起こりうる攻撃の対象となる資産の情報を得ることができる。
　そして、攻撃可否判定部１０７は、１つ以上の資産情報１１０９の各々について、実施の形態１と同様の処理を行う（攻撃可否判定部１０７、スケジュール検索部１０１０、スケジュール収集部１０８、出力部１０１２）。
　本実施の形態に係るログ分析連携装置１では、上記に示される、例えば、「ＤｅｓｔｉｎａｔｉｏｎＩＰで示される資産とそのＤｅｓｔｉｎａｔｉｏｎＩＰから接続可能な他の資産についての情報を検索せよ」という条件は、（図示していないが）資産検索条件として、資産ＤＢ検索部１０６に入力される。
　以上のように、本実施の形態に係るログ分析連携システムによれば、攻撃を受けうる資産について、攻撃を受けた資産以外も検索できるようにしたので、シナリオに沿って攻撃を受けうる資産についてログ検索の範囲を拡大でき、ログ検索の取りこぼしを低減する効果がある。
　以上のように、実施の形態１～８において、次のような特徴を備えるログ分析連携システム１０００について説明した。
　ログ分析連携装置（ログ分析システム）は、ＳＩＥＭ装置（ＳＩＥＭシステム）から攻撃の検知を受け取る。
　ログ分析連携装置は、ＳＩＥＭシステムから受け取った、検知された攻撃の情報が含まれる、攻撃シナリオを参照し、その攻撃シナリオに記載される、将来に起こりうる攻撃の情報を抽出する。
　ログ分析連携装置は、攻撃対象の資産の資産情報を参照し、セキュリティ対策を参照し、将来に起こりうる攻撃の情報と突合せ、将来に起こりうる攻撃が、実際に起こるか判定する。
　ログ分析連携装置は、将来に起こりうる攻撃が、実際に起こると判定した場合に、ログ分析システムに、予想される攻撃発生時期に、攻撃の痕跡が残るログを検索する命令をスケジュール実行するように指示する。
　ログ分析連携装置は、攻撃シナリオにより、過去に発生した可能性のある攻撃の情報を取得し、ログ分析システムにその痕跡を検索するように指示する。
　上記ログ分析連携システム１０００によれば、ログ分析によるＡＰＴ（攻撃）の検知／経過観察において、ＳＩＥＭシステムとログ分析システムの特長を活かし、ＡＰＴの検知／経過観察を効率化する。そのため、ログ分析連携システム１０００では、ＳＩＥＭシステムを複雑・多発ではないイベントの相関分析によるＡＰＴ検知に使用する。また、後続するＡＰＴの攻撃については、ＡＰＴ攻撃のシナリオに従い、後続する攻撃の発生予想時期に、ログ分析システムをスケジュール検索することで、ログ分析の効率化を実現することができる。
　また、実施の形態１～８において、次のような特徴を備えるログ分析連携システム１０００について説明した。
　ログ分析連携装置は、将来に起こりうる攻撃が、実際に起こると判定した場合に、ログ分析システム（或いはロガーなど）に、予想される攻撃発生時期に攻撃の痕跡が残るログを収集する命令を出力する。
　これにより、常にログの収集が困難な機器においても、効率的なログ収集を行うことができる。
　なお、これらの実施の形態では、セキュリティ対策ＤＢ１０１４や資産ＤＢ１０１５において、該当するエントリが検索される場合を記述しているが、該当するエントリが未登録の場合や検索されない場合がある。
　その場合は、該当する対策有無１１０７’や資産情報１１０９は空になるが、攻撃可否判定部１０７は、関連攻撃情報１１０５が発生するものとして処理を進めてよい。関連攻撃情報１１０５に複数の攻撃シナリオ要素が含まれ、一部について対策有無１１０７’や資産情報１１０９が検索され、残りについて検索されない場合は、検索されなかった攻撃シナリオ要素については、攻撃が発生するものとして処理を進めてよい。
　以上、本発明の実施の形態について説明したが、これらの実施の形態のうち、２つ以上を組み合わせて実施しても構わない。あるいは、これらの実施の形態のうち、１つを部分的に実施しても構わない。あるいは、これらの実施の形態のうち、２つ以上を部分的に組み合わせて実施しても構わない。なお、本発明は、これらの実施の形態に限定されるものではなく、必要に応じて種々の変更が可能である。
　１　ログ分析連携装置、１０　認証サーバ、１１　パスワードリセット装置、１０１　入力部、１０２　警告解釈部、１０３　攻撃シナリオＤＢ検索部、１０４　関連攻撃抽出部、１０５　セキュリティ対策検索部、１０６　資産ＤＢ検索部、１０７　攻撃可否判定部、１０８　スケジュール収集部、１０９　外部連携部（収集）、８０１　パスワード生成部、８０２　変換ルール選択部、８０３　変換パラメータ値生成部、８０４　文書テンプレート選択部、８０４ａ　変換表、８０５　パスワードリセット通知文書生成部、８０６　変換ルール文書テンプレートＤＢ、９０１　ロガー、９０２　ＳＩＥＭ装置、９０３　ログ分析装置、９０４　通信機器、９０４ａ　計算機、９０４ｂ　ネットワーク機器、９０４ｃ　セキュリティ機器、９０５　モバイル機器、９１１　ログ、９１２　検知ルール、９１５，９１６　スケジュール検索、９１７，９１８　検索結果、１０００　ログ分析連携システム、１０１０　スケジュール検索部、１０１１　外部連携部（検索）、１０１２　出力部、１０１３　攻撃シナリオＤＢ、１０１４　セキュリティ対策ＤＢ、１０１５　資産ＤＢ、１０１４　セキュリティ対策ＤＢ、１０７１　外部連携部（対策）、１１０１　データ、１１０２　警告情報、１１０３　攻撃識別情報、１１０４　攻撃シナリオ、１１０５　関連攻撃情報、１１０６　関連攻撃検索情報、１１０７　対策情報、１１０７’　対策有無、１１０８　資産検索情報、１１０９　資産情報、１１１０　ログ収集情報、１１１１　収集命令、１１１２　収集結果、１１１３　ログ検索情報、１１１４　検索命令、１１１５　検索結果、１１１６　検索結果、１１１７　パスワードリセット命令、１１１９　権限変更命令、１２０１，１２０１’　警告情報、１２０２　シナリオ抽出条件、１２０３　関連攻撃抽出条件、１２０４　収集スケジュール条件、１２０５　検索スケジュール条件、１２０６　収集命令、１２０７　収集結果、１２０８　検索命令、１２０９　検索結果、１２１１　権限変更命令、１２１２　パスワードリセット命令、１９０１　ＬＣＤ、１９０２　キーボード、１９０３　マウス、１９０４　ＦＤＤ、１９０５　ＣＤＤ、１９０６　プリンタ、１９１１　ＣＰＵ、１９１２　バス、１９１３　ＲＯＭ、１９１４　ＲＡＭ、１９１５　通信ボード、１９２０　ＨＤＤ、１９２１　オペレーティングシステム、１９２２　ウィンドウシステム、１９２３　プログラム群、１９２４　ファイル群、８２０１　パスワードリセット命令、８２０２　パスワードリセット通知文面、８２０３　リセット用パスワード。

Claims (16)

  1. 　監視対象ネットワークに接続される少なくとも１つの機器のログを収集して記憶装置にログ情報として記憶するログ収集装置と、前記監視対象ネットワークに対する攻撃を検知する検知装置と、前記ログ収集装置により収集された前記ログ情報を分析する分析装置とを備える攻撃分析システムにおいて、
    　前記検知装置に接続されるとともに、前記分析装置に接続される連携装置を備え、
    　前記検知装置は、
    　前記監視対象ネットワークに対する攻撃を検知すると、検知した攻撃を識別する攻撃識別子と前記検知した攻撃が発生した攻撃発生時期とを含む警告情報を前記連携装置に送信し、
    　前記連携装置は、
    　前記監視対象ネットワークに対して発生すると予測される複数の攻撃の各々を識別する複数の攻撃識別子を含む攻撃シナリオ情報を予め記憶装置に記憶する攻撃シナリオ情報記憶部と、
    　前記検知装置から前記警告情報を受信すると、受信した前記警告情報と前記攻撃シナリオ情報記憶部により記憶された前記攻撃シナリオ情報とに基づいて、前記攻撃シナリオ情報に含まれる前記複数の攻撃のうち前記攻撃発生時期の前後の時期において発生すると予測される攻撃である分析対象攻撃であって、前記検知した攻撃とは別の攻撃である分析対象攻撃が発生すると予測される予測発生時期を処理装置により算出し、算出した前記予測発生時期の前記ログ情報を分析する要求であるスケジュール分析要求を前記分析装置に送信するスケジュール分析要求部と
    を備え、
    　前記分析装置は、
    　前記連携装置の前記スケジュール分析要求部から送信された前記スケジュール分析要求に基づいて、前記予測発生時期の前記ログ情報を分析する
    ことを特徴とする攻撃分析システム。
  2. 　前記連携装置は、
    　前記攻撃シナリオ情報から前記分析対象攻撃の攻撃識別子を取得する次攻撃情報取得部を備え、
    　前記スケジュール分析要求部は、
    　前記次攻撃情報取得部により取得された前記分析対象攻撃の攻撃識別子と前記予測発生時期とを前記スケジュール分析要求に含めて送信し、
    　前記分析装置は、
    　前記スケジュール分析要求部から送信された前記スケジュール分析要求に含まれる前記分析対象攻撃の攻撃識別子と前記予測発生時期とに基づいて、前記予測発生時期の前記ログ情報を処理装置により分析し、前記予測発生時期に前記分析対象攻撃が発生したか否かを判定する
    ことを特徴とする請求項１に記載の攻撃分析システム。
  3. 　前記攻撃シナリオ情報記憶部は、
    　前記複数の攻撃の発生する順番と、前記順番が連続する２つの攻撃の発生間隔とを含む前記攻撃シナリオ情報を予め記憶装置に記憶し、
    　前記次攻撃情報取得部は、
    　前記検知装置から前記警告情報を受信すると、受信した前記警告情報と前記攻撃シナリオ情報記憶部により記憶された前記攻撃シナリオ情報とに基づいて、前記警告情報に含まれる攻撃識別子により識別される攻撃の次に発生すると予測される次攻撃である前記分析対象攻撃の攻撃識別子と、前記警告情報に含まれる攻撃識別子により識別される攻撃と前記次攻撃との発生間隔である次発生間隔とを取得し、　前記スケジュール分析要求部は、
    　前記次攻撃情報取得部により取得された前記次発生間隔と、前記警告情報に含まれる前記攻撃発生時期とに基づいて、前記次攻撃が発生すると予測される前記予測発生時期を算出することを特徴とする請求項２に記載の攻撃分析システム。
  4. 　前記連携装置は、
    　前記検知装置から前記警告情報を受信すると、受信した前記警告情報と前記攻撃シナリオ情報記憶部により記憶された前記攻撃シナリオ情報とに基づいて、前記警告情報に含まれる攻撃識別子により識別される攻撃の１つ前に発生した可能性のある前攻撃である前記分析対象攻撃の攻撃識別子と、前記前攻撃と前記警告情報に含まれる攻撃識別子により識別される攻撃との発生間隔である前発生間隔とを取得する前攻撃情報取得部と、
    　前記前攻撃情報取得部により取得された前記前発生間隔と、前記警告情報に含まれる前記攻撃発生時期とに基づいて、前記前攻撃が発生した可能性のある発生可能時期を算出し、算出した前記発生可能時期の前記ログ情報を分析する要求である期間指定分析要求を前記分析装置に送信する期間指定分析要求部と
    を備え、
    　前記分析装置は、
    　前記連携装置の前記期間指定分析要求部から送信された前記期間指定分析要求に基づいて、前記発生可能時期の前記ログ情報を分析する
    ことを特徴とする請求項３に記載の攻撃分析システム。
  5. 　前記攻撃シナリオ情報記憶部は、
    　前記複数の攻撃の発生する順番を含む前記攻撃シナリオ情報を予め記憶装置に記憶し、
    　前記次攻撃情報取得部は、
    　前記検知装置から前記警告情報を受信すると、受信した前記警告情報と前記攻撃シナリオ情報記憶部により記憶された前記攻撃シナリオ情報とに基づいて、前記警告情報に含まれる攻撃識別子により識別される攻撃の次に発生すると予測される次攻撃を前記分析対象攻撃とし、前記分析対象攻撃の攻撃識別子を取得し、
    　前記スケジュール分析要求部は、
    　前記予測発生時期を算出するための検索スケジュール条件を入力し、入力した検索スケジュール条件と前記攻撃発生時期とに基づいて、前記予測発生時期を算出することを特徴とする請求項２に記載の攻撃分析システム。
  6. 　前記スケジュール分析要求部は、
    　前記攻撃発生時期を基点とする検索時期及び検索間隔を含む前記検索スケジュール条件を入力することを特徴とする請求項５に記載の攻撃分析システム。
  7. 　前記次攻撃情報取得部は、
    　前記検知装置から前記警告情報を受信すると、受信した前記警告情報と前記攻撃シナリオ情報記憶部により記憶された前記攻撃シナリオ情報とに基づいて、前記警告情報に含まれる攻撃識別子により識別される攻撃以外の攻撃を前記分析対象攻撃とし、前記分析対象攻撃の攻撃識別子を取得し、
    　前記スケジュール分析要求部は、
    　前記予測発生時期を算出するための検索スケジュール条件を入力し、入力した検索スケジュール条件と前記攻撃発生時期とに基づいて、前記予測発生時期を算出することを特徴とする請求項２に記載の攻撃分析システム。
  8. 　前記スケジュール分析要求部は、
    　前記攻撃発生時期を基点とする検索時期を含むとともに、前記分析対象攻撃が発生したと判定するための判定条件を含む前記検索スケジュール条件を入力し、　前記スケジュール分析要求部は、さらに、
    　前記スケジュール分析要求に前記判定条件を含めて送信し、
    　前記分析装置は、
    　前記スケジュール分析要求部から送信された前記スケジュール分析要求に含まれる前記分析対象攻撃の攻撃識別子と前記予測発生時期と前記判定条件とに基づいて、前記予測発生時期に前記分析対象攻撃が発生したか否かを判定することを特徴とする請求項７に記載の攻撃分析システム。
  9. 　前記警告情報は、さらに、
    　前記検知した攻撃の対象となる資産である攻撃対象資産の情報を含み、
    　前記次攻撃情報取得部は、さらに、
    　前記警告情報と前記攻撃シナリオ情報記憶部により記憶された前記攻撃シナリオ情報とに基づいて、前記警告情報に含まれる攻撃識別子により識別される攻撃の攻撃対象資産の情報を抽出するとともに、抽出した前記攻撃対象資産の情報に関連する資産の情報である対象関連資産を攻撃の対象とする関連攻撃を前記分析対象攻撃に含めることを特徴とする請求項５～８のいずれかに記載の攻撃分析システム。
  10. 　前記監視対象ネットワークは、
    　前記ログ収集装置がログ収集命令を受信した場合に前記ログ収集装置によりログが収集される特定の機器を接続し、
    　前記スケジュール分析要求部は、
    　前記スケジュール分析要求を前記分析装置に送信する前に、前記特定の機器の前記予測発生時期のログを収集する命令である前記ログ収集命令を前記ログ収集装置に送信し、
    　前記ログ収集装置は、
    　前記スケジュール分析要求部から前記ログ収集命令を受信すると、受信した前記ログ収集命令に基づいて、前記特定の機器の前記予測発生時期のログを収集し、収集したログを特定機器ログ情報として記憶装置に記憶するとともに、前記ログ収集命令に対するログ収集応答を前記連携装置に送信し、
    　前記スケジュール分析要求部は、
    　前記ログ収集装置から前記ログ収集応答を受信すると、前記予測発生時期の前記特定機器ログ情報を分析する要求である特定機器分析要求を前記分析装置に送信する
    ことを特徴とする請求項１～９のいずれかに記載の攻撃分析システム。
  11. 　前記次攻撃情報取得部は、
    　前記検知装置から受信した前記警告情報に含まれる攻撃識別子により識別される攻撃の次に発生すると予測された次攻撃が成功するか否かを処理装置により判定し、前記次攻撃が成功すると判定した場合に、前記次攻撃の攻撃識別子と前記次発生間隔とを取得する
    ことを特徴とする請求項３または４に記載の攻撃分析システム。
  12. 　前記監視対象ネットワークは、
    　前記機器へのアクセス権限を認証情報により認証する認証装置を備え、
    　前記次攻撃情報取得部は、
    　前記次攻撃が成功すると判定した場合に、前記次攻撃が成りすましによる不正アクセスであるか否かを処理装置により判定し、前記次攻撃が成りすましによる不正アクセスであると判定した場合に、前記機器へのアクセス権限を変更する要求である権限変更要求を前記認証装置に送信する
    ことを特徴とする請求項１１に記載の攻撃分析システム。
  13. 　前記認証装置は、
    　前記認証情報としてパスワードを用いて認証し、　前記次攻撃情報取得部は、
    　前記次攻撃が成りすましによる不正アクセスであると判定した場合に、さらに、前記パスワードを変更する要求であるパスワード変更要求を前記認証装置に送信する
    ことを特徴とする請求項１２に記載の攻撃分析システム。
  14. 　監視対象ネットワークが備える少なくとも１つの機器のログを収集して記憶装置にログ情報として記憶するログ収集装置と、前記監視対象ネットワークに対する攻撃を検知する検知装置と、前記ログ収集装置により収集された前記ログ情報を分析する分析装置とを具備する攻撃分析システムに備えられる連携装置において、
    　前記監視対象ネットワークに対して発生すると予測される複数の攻撃の各々を識別する複数の攻撃識別子を含む攻撃シナリオ情報を予め記憶装置に記憶する攻撃シナリオ情報記憶部と、
    　前記検知装置から送信される警告情報であって、前記監視対象ネットワークに対する攻撃を識別する攻撃識別子と前記監視対象ネットワークに対する攻撃が発生した攻撃発生時期とを含む警告情報を受信し、受信した前記警告情報と前記攻撃シナリオ情報記憶部により記憶された前記攻撃シナリオ情報とに基づいて、前記攻撃シナリオ情報に含まれる前記複数の攻撃のうち前記攻撃発生時期の前後の時期において発生すると予測される攻撃である分析対象攻撃であって、前記警告情報に含まれる攻撃識別子により識別される攻撃とは別の攻撃である分析対象攻撃が発生すると予測される予測発生時期を算出し、算出した前記予測発生時期を含む期間の前記ログ情報を分析する要求であるスケジュール分析要求を前記分析装置に送信するスケジュール分析要求部と
    を備えることを特徴とする連携装置。
  15. 　監視対象ネットワークに接続される少なくとも１つの機器のログを収集して記憶装置にログ情報として記憶するログ収集装置と、
    　前記監視対象ネットワークに対する攻撃を検知する検知装置と、
    　前記ログ収集装置により収集された前記ログ情報を分析する分析装置と、
    　前記検知装置に接続されるとともに前記分析装置に接続され、前記監視対象ネットワークに対して発生すると予測される複数の攻撃の各々を識別する複数の攻撃識別子を含む攻撃シナリオ情報を予め記憶装置に記憶する攻撃シナリオ情報記憶部を備える連携装置と
    を備える攻撃分析システムの攻撃分析連携方法において、
    　前記検知装置が、前記監視対象ネットワークに対する攻撃を検知すると、検知した攻撃を識別する攻撃識別子と前記検知した攻撃が発生した攻撃発生時期とを含む警告情報を前記連携装置に送信し、
    　前記連携装置のスケジュール分析要求部が、前記検知装置から前記警告情報を受信すると、受信した前記警告情報と前記攻撃シナリオ情報記憶部により記憶された前記攻撃シナリオ情報とに基づいて、前記攻撃シナリオ情報に含まれる前記複数の攻撃のうち前記攻撃発生時期の前後の時期において発生すると予測される攻撃である分析対象攻撃であって、前記検知した攻撃とは別の攻撃である分析対象攻撃が発生すると予測される予測発生時期を算出し、算出した前記予測発生時期の前記ログ情報を分析する要求であるスケジュール分析要求を前記分析装置に送信し、
    　前記分析装置が、前記連携装置の前記スケジュール分析要求部から送信された前記スケジュール分析要求に基づいて、前記予測発生時期の前記ログ情報を分析する
    ことを特徴とする攻撃分析連携方法。
  16. 　監視対象ネットワークが備える少なくとも１つの機器のログを収集して記憶装置にログ情報として記憶するログ収集装置と、前記監視対象ネットワークに対する攻撃を検知する検知装置と、前記ログ収集装置により収集された前記ログ情報を分析する分析装置とを具備する攻撃分析システムに備えられ、前記監視対象ネットワークに対して発生すると予測される複数の攻撃の各々を識別する複数の攻撃識別子を含む攻撃シナリオ情報を予め記憶装置に記憶する攻撃シナリオ情報記憶部を備える連携装置のプログラムにおいて、
    　処理装置が、前記検知装置から送信される警告情報であって、前記監視対象ネットワークに対する攻撃を識別する攻撃識別子と前記監視対象ネットワークに対する攻撃が発生した攻撃発生時期とを含む警告情報を受信する警告情報受信処理と、
    　処理装置が、受信した前記警告情報と前記攻撃シナリオ情報記憶部により記憶された前記攻撃シナリオ情報とに基づいて、前記攻撃シナリオ情報に含まれる前記複数の攻撃のうち前記攻撃発生時期の前後の時期において発生すると予測される攻撃である分析対象攻撃であって、前記警告情報に含まれる攻撃識別子により識別される攻撃とは別の攻撃である分析対象攻撃が発生すると予測される予測発生時期を算出し、算出した前記予測発生時期を含む期間の前記ログ情報を分析する要求であるスケジュール分析要求を前記分析装置に送信するスケジュール分析要求処理と
    をコンピュータである前記連携装置に実行させることを特徴とするプログラム。
PCT/JP2013/080252 2013-01-21 2013-11-08 攻撃分析システム及び連携装置及び攻撃分析連携方法及びプログラム Ceased WO2014112185A1 (ja)

Priority Applications (4)

Application Number Priority Date Filing Date Title
JP2014557329A JP5972401B2 (ja) 2013-01-21 2013-11-08 攻撃分析システム及び連携装置及び攻撃分析連携方法及びプログラム
US14/433,560 US9853994B2 (en) 2013-01-21 2013-11-08 Attack analysis system, cooperation apparatus, attack analysis cooperation method, and program
EP13872002.4A EP2947595A4 (en) 2013-01-21 2013-11-08 ATTACK ANALYSIS SYSTEM, COORDINATION DEVICE, ATTACK ANALYSIS COORDINATION PROCEDURE AND PROGRAM
CN201380070764.1A CN104937605B (zh) 2013-01-21 2013-11-08 攻击分析系统、协作装置、攻击分析协作方法

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
JP2013008724 2013-01-21
JP2013-008724 2013-01-21

Publications (1)

Publication Number Publication Date
WO2014112185A1 true WO2014112185A1 (ja) 2014-07-24

Family

ID=51209297

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/JP2013/080252 Ceased WO2014112185A1 (ja) 2013-01-21 2013-11-08 攻撃分析システム及び連携装置及び攻撃分析連携方法及びプログラム

Country Status (5)

Country Link
US (1) US9853994B2 (ja)
EP (1) EP2947595A4 (ja)
JP (1) JP5972401B2 (ja)
CN (1) CN104937605B (ja)
WO (1) WO2014112185A1 (ja)

Cited By (11)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2016171243A1 (ja) * 2015-04-22 2016-10-27 株式会社日立製作所 サイバー攻撃分析装置及びサイバー攻撃分析方法
WO2019181370A1 (ja) * 2018-03-22 2019-09-26 株式会社日立製作所 インシデント検知システムおよびその方法
JP2019536144A (ja) * 2016-11-04 2019-12-12 マイクロソフト テクノロジー ライセンシング，エルエルシー Ｉｏｔセキュリティーサービス
JP2019219898A (ja) * 2018-06-20 2019-12-26 三菱電機株式会社 セキュリティ対策検討ツール
JP2020028092A (ja) * 2018-08-17 2020-02-20 三菱電機株式会社 攻撃検知装置、攻撃検知システム、攻撃検知方法および攻撃検知プログラム
WO2020183615A1 (ja) * 2019-03-12 2020-09-17 三菱電機株式会社 攻撃推定装置、攻撃制御方法、および攻撃推定プログラム
JP2020149390A (ja) * 2019-03-14 2020-09-17 三菱電機株式会社 サイバー攻撃検知装置
US20210021631A1 (en) * 2019-07-19 2021-01-21 Rochester Institute Of Technology Cyberattack Forecasting Using Predictive Information
JPWO2022264317A1 (ja) * 2021-06-16 2022-12-22
JP2025525536A (ja) * 2022-07-15 2025-08-05 ブルーボヤント エルエルシー ネットワークセキュリティを強化するために、ネットワーク化されたコンピュータ支援脅威ハンティングプラットフォームを利用するデバイス、システム、および方法
WO2025173182A1 (ja) * 2024-02-15 2025-08-21 Ｎｔｔ株式会社 セキュリティ機能選択装置、プログラムおよびセキュリティ機能選択方法

Families Citing this family (32)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US10367827B2 (en) * 2013-12-19 2019-07-30 Splunk Inc. Using network locations obtained from multiple threat lists to evaluate network data or machine data
WO2015128896A1 (ja) * 2014-02-26 2015-09-03 三菱電機株式会社 攻撃検知装置、攻撃検知方法、及び攻撃検知プログラム
US10721267B1 (en) * 2014-07-18 2020-07-21 NortonLifeLock Inc. Systems and methods for detecting system attacks
JP6294847B2 (ja) * 2015-03-12 2018-03-14 株式会社日立製作所 ログ管理制御システムおよびログ管理制御方法
US10454963B1 (en) * 2015-07-31 2019-10-22 Tripwire, Inc. Historical exploit and vulnerability detection
US9853940B2 (en) * 2015-09-24 2017-12-26 Microsoft Technology Licensing, Llc Passive web application firewall
JP6328595B2 (ja) * 2015-09-29 2018-05-23 東芝テック株式会社 情報処理装置及びプログラム
JP6714337B2 (ja) * 2015-10-16 2020-06-24 キヤノン株式会社 情報処理装置、情報処理方法およびプログラム
EP3314515B1 (en) * 2016-01-25 2020-03-18 Hewlett-Packard Development Company, L.P. Notice of intrusion into firmware
JP6903901B2 (ja) * 2016-11-28 2021-07-14 富士通株式会社 攻撃検知装置、攻撃検知プログラム及び攻撃検知方法
JP6656211B2 (ja) * 2017-08-02 2020-03-04 三菱電機株式会社 情報処理装置、情報処理方法及び情報処理プログラム
US10708292B2 (en) * 2017-11-28 2020-07-07 Aetna Inc. Vulnerability contextualization
JP6824151B2 (ja) * 2017-12-26 2021-02-03 三菱電機株式会社 インシデント対応支援装置
US20210034740A1 (en) * 2018-03-19 2021-02-04 Nec Corporation Threat analysis system, threat analysis method, and threat analysis program
KR102254142B1 (ko) * 2018-10-02 2021-05-20 국방과학연구소 폐쇄 네트워크에 대한 감시 및 정찰을 수행하는 방법 및 장치
CN111224928B (zh) * 2018-11-26 2021-11-30 中国移动通信集团辽宁有限公司 网络攻击行为的预测方法、装置、设备及存储介质
CN109784043A (zh) * 2018-12-29 2019-05-21 北京奇安信科技有限公司 攻击事件还原方法、装置、电子设备及存储介质
US11405413B2 (en) * 2019-02-01 2022-08-02 Microsoft Technology Licensing, Llc Anomaly lookup for cyber security hunting
CN112087414B (zh) * 2019-06-14 2024-08-20 北京奇虎科技有限公司 挖矿木马的检测方法及装置
US11336682B2 (en) * 2019-07-09 2022-05-17 Nice Ltd. System and method for generating and implementing a real-time multi-factor authentication policy across multiple channels
US11290473B2 (en) 2019-08-08 2022-03-29 Microsoft Technology Licensing, Llc Automatic generation of detection alerts
JP7296470B2 (ja) * 2019-10-29 2023-06-22 日立Astemo株式会社 分析装置及び分析方法
US10917401B1 (en) 2020-03-24 2021-02-09 Imperva, Inc. Data leakage prevention over application programming interface
US11652833B2 (en) 2020-07-24 2023-05-16 Microsoft Technology Licensing, Llc Detection of anomalous count of new entities
CN112187719B (zh) * 2020-08-31 2023-04-14 新浪技术（中国）有限公司 被攻击服务器的信息获取方法、装置和电子设备
CN112114995B (zh) * 2020-09-29 2023-12-12 中科安信(山西)科技有限公司 基于进程的终端异常分析方法、装置、设备及存储介质
CN112738071B (zh) * 2020-12-25 2023-07-28 中能融合智慧科技有限公司 一种攻击链拓扑的构建方法及装置
CN113259361B (zh) * 2021-05-20 2022-03-22 常州皓焱信息科技有限公司 互联网安全数据处理方法及系统
CN114301712B (zh) * 2021-12-31 2023-04-07 西安交通大学 一种基于图方法的工业互联网告警日志关联分析方法及系统
CN115499202A (zh) * 2022-09-15 2022-12-20 杭州安恒信息技术股份有限公司 网络数据处理方法、装置、系统、处理设备和存储介质
US12282533B2 (en) 2023-01-04 2025-04-22 Nice Ltd. System and method for detecting agent sharing credentials
JP2025000446A (ja) * 2023-06-19 2025-01-07 株式会社東芝 情報処理装置および情報処理方法

Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2003100619A1 (en) * 2002-05-28 2003-12-04 Fujitsu Limited Unauthorized access detection apparatus, unauthorized access detection program, and unauthorized access detection method
JP2004537075A (ja) 2000-04-28 2004-12-09 インターネット セキュリティ システムズ インコーポレーテッド コンピュータのセキュリティ情報を管理するための方法およびシステム
JP2005136526A (ja) * 2003-10-28 2005-05-26 Fujitsu Ltd 不正アクセス検知装置、不正アクセス検知方法および不正アクセス検知プログラム
US20070169194A1 (en) * 2004-12-29 2007-07-19 Church Christopher A Threat scoring system and method for intrusion detection security networks

Family Cites Families (8)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US9027121B2 (en) * 2000-10-10 2015-05-05 International Business Machines Corporation Method and system for creating a record for one or more computer security incidents
WO2004038594A1 (en) 2002-10-22 2004-05-06 Unho Choi Integrated emergency response system in information infrastructure and operating method therefor
JP2004318552A (ja) * 2003-04-17 2004-11-11 Kddi Corp Ｉｄｓログ分析支援装置、ｉｄｓログ分析支援方法及びｉｄｓログ分析支援プログラム
JP4371905B2 (ja) * 2004-05-27 2009-11-25 富士通株式会社 不正アクセス検知装置、不正アクセス検知方法、不正アクセス検知プログラムおよび分散型サービス不能化攻撃検知装置
US7716739B1 (en) 2005-07-20 2010-05-11 Symantec Corporation Subjective and statistical event tracking incident management system
US8191149B2 (en) 2006-11-13 2012-05-29 Electronics And Telecommunications Research Institute System and method for predicting cyber threat
US7865954B1 (en) * 2007-08-24 2011-01-04 Louisiana Tech Research Foundation; A Division Of Louisiana Tech University Foundation, Inc. Method to detect SYN flood attack
KR100935861B1 (ko) * 2007-11-12 2010-01-07 한국전자통신연구원 네트워크 보안 위험도 예측 방법 및 장치

Patent Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2004537075A (ja) 2000-04-28 2004-12-09 インターネット セキュリティ システムズ インコーポレーテッド コンピュータのセキュリティ情報を管理するための方法およびシステム
WO2003100619A1 (en) * 2002-05-28 2003-12-04 Fujitsu Limited Unauthorized access detection apparatus, unauthorized access detection program, and unauthorized access detection method
JP2005136526A (ja) * 2003-10-28 2005-05-26 Fujitsu Ltd 不正アクセス検知装置、不正アクセス検知方法および不正アクセス検知プログラム
US20070169194A1 (en) * 2004-12-29 2007-07-19 Church Christopher A Threat scoring system and method for intrusion detection security networks

Non-Patent Citations (2)

* Cited by examiner, † Cited by third party
Title
"Design and Operational Guide to Protect against ''Advanced Persistent Threats", INFORMATION-TECHNOLOGY PROMOTION AGENCY
See also references of EP2947595A4

Cited By (23)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2016206943A (ja) * 2015-04-22 2016-12-08 株式会社日立製作所 サイバー攻撃分析装置及びサイバー攻撃分析方法
WO2016171243A1 (ja) * 2015-04-22 2016-10-27 株式会社日立製作所 サイバー攻撃分析装置及びサイバー攻撃分析方法
JP2019536144A (ja) * 2016-11-04 2019-12-12 マイクロソフト テクノロジー ライセンシング，エルエルシー Ｉｏｔセキュリティーサービス
JP7506719B2 (ja) 2016-11-04 2024-06-26 マイクロソフト テクノロジー ライセンシング，エルエルシー Ｉｏｔセキュリティーサービス
US11514158B2 (en) 2016-11-04 2022-11-29 Microsoft Technology Licensing, Llc IoT security service
JP2022160702A (ja) * 2016-11-04 2022-10-19 マイクロソフト テクノロジー ライセンシング，エルエルシー Ｉｏｔセキュリティーサービス
WO2019181370A1 (ja) * 2018-03-22 2019-09-26 株式会社日立製作所 インシデント検知システムおよびその方法
JP2019168869A (ja) * 2018-03-22 2019-10-03 株式会社日立製作所 インシデント検知システムおよびその方法
JP2019219898A (ja) * 2018-06-20 2019-12-26 三菱電機株式会社 セキュリティ対策検討ツール
JP7213626B2 (ja) 2018-06-20 2023-01-27 三菱電機株式会社 セキュリティ対策検討ツール
JP7019533B2 (ja) 2018-08-17 2022-02-15 三菱電機株式会社 攻撃検知装置、攻撃検知システム、攻撃検知方法および攻撃検知プログラム
JP2020028092A (ja) * 2018-08-17 2020-02-20 三菱電機株式会社 攻撃検知装置、攻撃検知システム、攻撃検知方法および攻撃検知プログラム
JPWO2020183615A1 (ja) * 2019-03-12 2021-09-13 三菱電機株式会社 攻撃推定装置、攻撃制御方法、および攻撃推定プログラム
CN113544676A (zh) * 2019-03-12 2021-10-22 三菱电机株式会社 攻击估计装置、攻击控制方法和攻击估计程序
WO2020183615A1 (ja) * 2019-03-12 2020-09-17 三菱電機株式会社 攻撃推定装置、攻撃制御方法、および攻撃推定プログラム
JP7202932B2 (ja) 2019-03-14 2023-01-12 三菱電機株式会社 サイバー攻撃検知装置
JP2020149390A (ja) * 2019-03-14 2020-09-17 三菱電機株式会社 サイバー攻撃検知装置
US20210021631A1 (en) * 2019-07-19 2021-01-21 Rochester Institute Of Technology Cyberattack Forecasting Using Predictive Information
US11632386B2 (en) * 2019-07-19 2023-04-18 Rochester Institute Of Technology Cyberattack forecasting using predictive information
JPWO2022264317A1 (ja) * 2021-06-16 2022-12-22
JP7679878B2 (ja) 2021-06-16 2025-05-20 日本電気株式会社 情報可視化装置、情報可視化方法、及びプログラム
JP2025525536A (ja) * 2022-07-15 2025-08-05 ブルーボヤント エルエルシー ネットワークセキュリティを強化するために、ネットワーク化されたコンピュータ支援脅威ハンティングプラットフォームを利用するデバイス、システム、および方法
WO2025173182A1 (ja) * 2024-02-15 2025-08-21 Ｎｔｔ株式会社 セキュリティ機能選択装置、プログラムおよびセキュリティ機能選択方法

Also Published As

Publication number Publication date
EP2947595A4 (en) 2016-06-08
JPWO2014112185A1 (ja) 2017-01-19
CN104937605A (zh) 2015-09-23
US20150256554A1 (en) 2015-09-10
EP2947595A1 (en) 2015-11-25
US9853994B2 (en) 2017-12-26
JP5972401B2 (ja) 2016-08-17
CN104937605B (zh) 2018-08-28

Similar Documents

Publication Publication Date Title
JP5972401B2 (ja) 攻撃分析システム及び連携装置及び攻撃分析連携方法及びプログラム
US20240348644A1 (en) Managing security actions in a computing environment using enrichment information
US20240089121A1 (en) Systems and methods for digital certificate security
US11240262B1 (en) Malware detection verification and enhancement by coordinating endpoint and malware detection systems
EP3127301B1 (en) Using trust profiles for network breach detection
US10142343B2 (en) Unauthorized access detecting system and unauthorized access detecting method
US20130061325A1 (en) Dynamic Cleaning for Malware Using Cloud Technology
US12050694B2 (en) Rule generation apparatus, rule generation method, and computer-readable recording medium
US10091225B2 (en) Network monitoring method and network monitoring device
WO2018146757A1 (ja) 情報処理装置、情報処理方法及び情報処理プログラム
EP3692695B1 (en) Intrusion investigation
US10757029B2 (en) Network traffic pattern based machine readable instruction identification
Yamada et al. RAT-based malicious activities detection on enterprise internal networks
CN118890211A (zh) Apt攻击行为的检测方法、系统及可读存储介质
US20250039211A1 (en) Information processing apparatus, information processing method, and computer-readable recording medium
Rodríguez et al. A process mining-based method for attacker profiling using the MITRE ATT&CK taxonomy
JP6314036B2 (ja) マルウェア特徴抽出装置、マルウェア特徴抽出システム、マルウェア特徴方法及び対策指示装置
US10250625B2 (en) Information processing device, communication history analysis method, and medium
JP6911723B2 (ja) ネットワーク監視装置、ネットワーク監視方法及びネットワーク監視プログラム
WO2021059519A1 (ja) 分析システム、方法およびプログラム
JP6760884B2 (ja) 生成システム、生成方法及び生成プログラム
Hatada et al. Finding new varieties of malware with the classification of network behavior
Shen Security Operations Center (SOC) Development for Metropolia Cybersecurity Courses
JP6716995B2 (ja) 情報処理装置、情報処理方法、およびプログラム
EP2973176B1 (en) System and method employing structured intelligence to verify and contain threats at endpoints

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 13872002

Country of ref document: EP

Kind code of ref document: A1

ENP Entry into the national phase

Ref document number: 2014557329

Country of ref document: JP

Kind code of ref document: A

WWE Wipo information: entry into national phase

Ref document number: 14433560

Country of ref document: US

WWE Wipo information: entry into national phase

Ref document number: 2013872002

Country of ref document: EP

NENP Non-entry into the national phase

Ref country code: DE