CN113544676B - 攻击估计装置、攻击估计方法和记录介质 - Google Patents

Abstract

攻击估计装置具有：存储部，其保持攻击树、抽象攻击树和确认日志管理信息；以及预测部，其在接收到通知发生了对分析对象系统的攻击的检测警报的情况下，参照攻击树、抽象攻击树和确认日志管理信息，预测由攻击造成的污染范围，预测部在未能确定与攻击对应的威胁痕迹信息的情况下，判断为发生了未知的攻击作为攻击，参照抽象攻击树来确定抽象攻击名称，参照确认日志管理信息来确定残留有由未知的攻击造成的痕迹的可能性高的设备，并且与所确定的设备对应地确定日志的具体部位，由此预测由未知的攻击造成的污染范围。

Description

攻击估计装置、攻击估计方法和记录介质

技术领域

本发明涉及估计由对分析对象系统的攻击造成的污染范围的攻击估计装置、攻击估计方法和记录介质。

背景技术

由于近年来的围绕企业的环境变化，企业的风险多样化且变质，重要信息的流出、非法访问、系统故障等与围绕信息资产的故障相关的信息安全事件频繁发生。

为了应对该发生，除了针对应保护的系统的事先安全分析以外，还要求为了防备意外状况而检测与围绕信息资产的故障相关的攻击的系统。作为对检测这样的攻击的对策进行辅助的技术，提出若干使用攻击树方法的技术(例如，参照非专利文献1)。

在安全分析中，使对象的资产价值和威胁明确化，对高风险值的资产价值和威胁优先地实施对策。为此，在从对象的系统结构信息中系统性地提取攻击过程时使用攻击树。存在如下现有技术：导出针对系统的攻击树，由此全面地找出脆弱部位，提示减轻风险对策(例如，参照专利文献1)。

此外，存在如下现有技术：基于由专家手工生成的攻击树，自动生成观察IDS(Intrusion Detection System：侵入检测系统)输出的警报相关性的规则，将可能产生的IDS的警报与攻击树的各节点对应起来，由此生成规则(例如，参照非专利文献2)。并且，存在自动生成用于穿透测试的攻击树的现有技术(例如，参照专利文献2)。

可考虑通过应用这些现有技术，自动生成与攻击手段对应的检测规则即定义威胁痕迹信息(IOC：Indicators of Compromise)的攻击树，能够使用威胁痕迹信息，进行基于攻击树的攻击检测以及感染部位的确定。

但是，关于攻击树的全面性，有时有较多不完美的方面，实际发生的威胁在分析中无法确定。例如，在未知的利用脆弱性的攻击的情况下，在分析的阶段不存在其攻击手段，因此，树中不存在其攻击路径。

作为解决这些课题的一个方法，提出有如下现有技术：在基于多级攻击的攻击脚本中，如果关于无法观测的事件能够观测前后事件的发生，则视为观测到相应事件，由此防止多级攻击的漏检(例如，参照专利文献3)。

现有技术文献

专利文献

专利文献1：日本特许第5406195号公报

专利文献2：美国特许第9894090号

专利文献3：日本特许第6000495号公报

非专利文献

非专利文献1：B.Schneier:Attack trees:modeling security threats,Dr.Dobb's Journal,December 1999,URL:<https://www.schneier.com/academic/archives/1999/12/attack_trees.html>

非专利文献2：Godefroy,Erwan,et al."Automatic generation of correlationrules to detect complex attack scenarios."Information Assurance and Security(IAS),2014 10th International Conference on.IEEE,2014.

发明内容

发明要解决的课题

但是，现有技术存在以下的课题。

在如上所述使用攻击树的情况下，存在只能针对已知的攻击确定攻击和感染部位的课题。

本发明正是为了解决如上所述的课题而完成的，其目的在于，得到一种攻击估计装置、攻击估计方法和记录介质，能够推测由未知的攻击造成的痕迹。

用于解决课题的手段

本发明的攻击估计装置具有：攻击树存储部，其保存将在分析对象系统中能够事先设想的攻击方法与威胁痕迹信息关联起来的攻击树；抽象攻击树存储部，其保存将攻击方法与提高了攻击方法的抽象度的抽象攻击名称关联起来的抽象攻击树；确认日志管理信息存储部，其保存将抽象攻击名称、确认日志的设备和日志的具体部位关联起来的确认日志管理信息；以及预测部，其在接收到通知发生了对分析对象系统的攻击的检测警报的情况下，参照攻击树、抽象攻击树和确认日志管理信息，预测由攻击造成的污染范围，预测部在接收到检测警报的情况下，参照攻击树来确定与攻击对应的威胁痕迹信息，预测部在能确定与攻击对应的威胁痕迹信息的情况下，判断为发生了已知的攻击作为攻击，根据所确定的威胁痕迹信息来预测污染范围，预测部在未能确定与攻击对应的威胁痕迹信息的情况下，判断为发生了未知的攻击作为攻击，预测部在判断为发生了未知的攻击的情况下，参照抽象攻击树来确定抽象攻击名称，参照所确定的抽象攻击名称和确认日志管理信息，来确定确认日志的设备作为残留有由未知的攻击造成的痕迹的可能性高的设备，并且，与所确定的设备对应地确定日志的具体部位，由此预测由未知的攻击造成的污染范围。

此外，本发明的攻击估计方法具有以下步骤：存储步骤，使存储部保存将在分析对象系统中能够事先设想的攻击方法与威胁痕迹信息关联起来的攻击树、将攻击方法与提高了攻击方法的抽象度的抽象攻击名称关联起来的抽象攻击树以及将抽象攻击名称、确认日志的设备和日志的具体部位关联起来的确认日志管理信息；以及预测步骤，在接收到通知发生了对分析对象系统的攻击的检测警报的情况下，参照攻击树、抽象攻击树和确认日志管理信息，预测由攻击造成的污染范围，在预测步骤中接收到检测警报的情况下，参照攻击树来确定与攻击对应的威胁痕迹信息，在预测步骤中能确定与攻击对应的威胁痕迹信息的情况下，判断为发生了已知的攻击作为攻击，根据所确定的威胁痕迹信息来预测污染范围，在预测步骤中未能确定与攻击对应的威胁痕迹信息的情况下，判断为发生了未知的攻击作为攻击，在预测步骤中判断为发生了未知的攻击的情况下，参照抽象攻击树来确定抽象攻击名称，参照所确定的抽象攻击名称和确认日志管理信息，来确定确认日志的设备作为残留有由未知的攻击造成的痕迹的可能性高的设备，并且，与所确定的设备对应地确定日志的具体部位，由此预测由未知的攻击造成的污染范围。

此外，本发明的存储有攻击估计程序的计算机能读取的记录介质，该攻击估计程序使计算机执行以下步骤：存储步骤，使存储部保存将在分析对象系统中能够事先设想的攻击方法与威胁痕迹信息关联起来的攻击树、将攻击方法与提高了攻击方法的抽象度的抽象攻击名称关联起来的抽象攻击树以及将抽象攻击名称、确认日志的设备和日志的具体部位关联起来的确认日志管理信息；以及预测步骤，在接收到通知发生了对分析对象系统的攻击的检测警报的情况下，参照攻击树、抽象攻击树和确认日志管理信息，预测由攻击造成的污染范围，其中，在预测步骤中接收到检测警报的情况下，参照攻击树来确定与攻击对应的威胁痕迹信息，在预测步骤中能确定与攻击对应的威胁痕迹信息的情况下，判断为发生了已知的攻击作为攻击，根据所确定的威胁痕迹信息来预测污染范围，在预测步骤中未能确定与攻击对应的威胁痕迹信息的情况下，判断为发生了未知的攻击作为攻击，在预测步骤中判断为发生了未知的攻击的情况下，参照抽象攻击树来确定抽象攻击名称，参照所确定的抽象攻击名称和确认日志管理信息，来确定确认日志的设备作为残留有由未知的攻击造成的痕迹的可能性高的设备，并且，与所确定的设备对应地确定日志的具体部位，由此预测由未知的攻击造成的污染范围。

发明效果

根据本发明，能够得到一种攻击估计装置、攻击估计方法和记录介质，能够推测由未知的攻击造成的痕迹。

附图说明

图1是示出本发明实施方式1中的攻击估计装置的硬件结构例的图。

图2是示出本发明实施方式1中的攻击估计装置的功能结构例的图。

图3是示出在本发明实施方式1的攻击估计装置中估计网络攻击痕迹信息所需的数据的生成过程的流程图。

图4是示出本发明实施方式1中的攻击树存储部中保存的攻击树的数据结构的图。

图5是示出本发明实施方式1中的抽象攻击树存储部中保存的抽象攻击树的数据结构的图。

图6是示出本发明实施方式1中的确认日志管理信息存储部中保存的确认日志管理信息的数据结构的图。

图7是示出本发明实施方式1的攻击估计装置中执行的攻击估计方法的一系列动作的流程图。

图8是本发明实施方式2中的攻击估计装置的功能结构例。

图9是示出将本发明实施方式2中的恢复手段信息存储部中保存的恢复作业与作业时间对应起来的恢复手段信息的数据结构的图。

具体实施方式

以下，使用附图说明本发明的攻击估计装置、攻击估计方法和记录介质的优选实施方式。本发明的攻击估计装置涉及能够估计由未知的网络攻击造成的痕迹信息的“网络攻击痕迹信息估计装置”。在以下的说明中，将“网络攻击痕迹信息估计装置”简称作“攻击估计装置”来进行说明。

实施方式1

图1是示出本发明实施方式1中的攻击估计装置的硬件结构例的图。在图1所示的本实施方式1的攻击估计装置1中，驱动装置101、辅助存储装置103、存储器装置104、CPU105和接口装置106分别通过总线B相互地连接。

实现攻击估计装置1的一系列处理的程序由CD-ROM等记录介质102提供。当将存储有程序的记录介质102安装于驱动装置101时，从记录介质102经由驱动装置101将程序安装到辅助存储装置103。

但是，程序的安装不一定需要使用记录介质1002来进行，也可以经由网络从其他计算机下载。辅助存储装置103存储已安装的程序，并且存储必要的文件或数据等。

在具有程序的启动指示的情况下，存储器装置104从辅助存储装置103读出并存储程序。相当于计算机的CPU 105依照存储器装置104中存储的程序执行攻击估计装置1的功能。接口装置106作为用于与网络连接的接口使用。

另外，攻击估计装置1也可以由具有如图1所示的硬件的多个计算机构成。即，攻击估计装置1执行的处理也可以分散到多个计算机中执行。

图2是示出本发明实施方式1中的攻击估计装置1的功能结构例的图。图2所示的攻击估计装置具有攻击树生成处理部201、攻击树抽象化处理部202、健全性确认处理部203、攻击日志预测部204、系统结构信息存储部205、脆弱性信息存储部206、攻击树存储部207、抽象攻击树存储部208和确认日志管理信息存储部209。

图3是示出在本发明实施方式1的攻击估计装置1中估计网络攻击痕迹信息所需的数据的生成过程的流程图。使用图3，对事先生成估计网络攻击痕迹信息所需的数据的过程进行说明。另外，在系统结构信息存储部205中存储有记载有分析对象系统的信息的数据，在脆弱性信息存储部206中存储有蓄积有安全威胁现象的数据。

此外，作为进行攻击估计的预阶段，以下说明的步骤S101～步骤S103的处理相当于如下存储步骤：使存储部预先存储估计攻击所需的数据。

在步骤S101中，攻击树生成处理部201使用系统结构信息存储部205和脆弱性信息存储部206中存储的各个数据，生成将分析对象系统中的攻击的路径、被攻击的设备、攻击方法和脆弱性关联起来的攻击树。并且，攻击树生成处理部201将生成的攻击树保存到攻击树存储部207。

攻击树的生成处理和保存处理能够通过作为现有技术文献而举出的专利文献1、2和非专利文献2来实现，省略详细说明。

图4是示出本发明实施方式1中的攻击树存储部207中保存的攻击树的数据结构的图。在攻击树存储部207中，如图4所示，将“ID”、“从(From)”、“至(To)”、“攻击方法”、“攻击方法ID”和“威胁痕迹信息(IOC)”的各数据关联起来作为攻击树保存。

通过与示作攻击树的“从(From)”以及“至(To)”相关的信息，确定分析对象系统中的攻击的路径以及被攻击的设备。此外，通过示作攻击树的“威胁痕迹信息(IOC)”，确定受到攻击的部位的脆弱性。

如图4所示，根据系统结构信息存储部205和脆弱性信息存储部206的信息，在由攻击树生成处理部201导出的攻击树中保存有作为威胁痕迹信息的IOC。

作为一例，在图4中的ID 5中，示出如下内容：在从设备A对设备D利用软件的脆弱性Z而发生了由攻击方法ID＝D4的攻击造成的威胁的情况下，作为该IOC，包含软件名称、版本、作为痕迹的文件路径的信息等，该软件名称包含脆弱性。

作为威胁痕迹信息的IOC是指在发生了图4所示的各攻击方法的任意攻击的情况下，汇集作为痕迹而残留于设备的信息。因此，在发生了图4中汇集的已知的攻击的情况下，通过参照威胁痕迹信息，能够确定痕迹。

接着，在步骤S102中，攻击树抽象化处理部202将攻击树存储部207中保存的攻击树的攻击方法分类成提高了抽象度的攻击项目。并且，攻击树抽象化处理部202将分类后的抽象攻击树保存到抽象攻击树存储部208。

图5是示出本发明实施方式1中的抽象攻击树存储部208中保存的抽象攻击树的数据结构的图。攻击树存储部207中保存的攻击方法被分类成提高了抽象度的攻击项目，作为图5所示的数据保存到抽象攻击树存储部208。

具体而言，如图5所示，在抽象攻击树存储部208中，将“抽象攻击名称”、“攻击方法ID列表”和“攻击的阶段”的各数据关联起来作为抽象攻击树保存。

如图4所示，攻击树存储部207中保存的攻击树的数据根据设备的脆弱性和每个攻击方法ID的IOC详细地进行分类。与此相对，攻击树抽象化处理部202例如按照基于网络杀伤链(Cyber-Kill-Chain)的攻击阶段对攻击方法进行分类，由此，分类成1级抽象度较高的攻击项目。

网络杀伤链是指按照每个阶段对攻击者的运动即攻击的阶段进行分类而得到的框架。具体而言，攻击者的动作被分类成“侦察”、“武器化”、“发布”、“攻击(Explutes)”、“安装”、“远程操作(C&C)”、“侵入扩大”和“目标执行”的各阶段(进程)。

作为一例，作为与图5的“攻击方法ID列表”中的攻击方法ID＝D4对应的数据，保存“抽象攻击名称”作为远程访问，保存“攻击的阶段”作为远程操作。

接着，在步骤S103中，攻击树抽象化处理部202按照由抽象攻击树存储部208分类后的每个抽象攻击名称，对确认日志的设备以及日志的具体部位进行定义。并且，攻击树抽象化处理部202将定义的数据作为确认日志管理信息保存到确认日志管理信息存储部209。

图6是示出本发明实施方式1中的确认日志管理信息存储部209中保存的确认日志管理信息的数据结构的图。与“抽象攻击名称”对应地将“确认日志的设备”与“日志的具体部位”的项目的数据关联起来，作为确认日志管理信息保存到确认日志管理信息存储部20。

在此，“确认日志的设备”是指在进行了与抽象攻击名称对应的攻击时残留有痕迹的可能性较高的设备。此外，“日志的具体部位”是指关于“确认日志的设备”的日志规定了具体的日志项目的部位。

接着，使用图7，对由本实施方式1的攻击估计装置执行的估计未知的网络攻击的处理进行说明。图7是示出在本发明实施方式1的攻击估计装置中执行的攻击估计方法的一系列动作的流程图。

另外，以下说明的步骤S201～步骤S207的处理相当于进行攻击估计的预测步骤。此外，执行步骤S201～步骤S207的处理的健全性确认处理部203和攻击日志预测部204相当于预测部。

首先，在步骤S201中，健全性确认处理部203在发生了网络攻击时，接收检测警报。

接着，在步骤S202中，健全性确认处理部203根据攻击树存储部207中保存的攻击树，进行分析对象系统的设备中是否存在对应的IOC的调查。

例如，在图4的ID 5中，从设备A对设备D具有发生利用软件的脆弱性Z的攻击的威胁，作为发生了攻击时的IOC，包含软件名称、版本、作为痕迹的文件路径的信息等，该软件名称包含脆弱性。健全性确认处理部203确认IOC是否存在于设备D。然后，在IOC存在于设备D的情况下，即能确定威胁痕迹信息的情况下，健全性确认处理部203能够视作该部位的树的攻击成立。

因此，在步骤S203中，健全性确认处理部203判断是否能确定IOC作为调查结果。在攻击树的攻击路径成立的情况下，即存在攻击路径成立的IOC的情况下，健全性确认处理部203判断为没有未知的攻击而是已知的攻击，结束一系列处理。

另一方面，在针对攻击树的一个攻击路径没有找到IOC的情况下，健全性确认处理部203判断为已知的攻击方法不成立而替代地进行了未知的攻击，进入步骤S204以后的处理。

然后，在进入步骤S204的情况下，关于对应的攻击树，攻击日志预测部204参照抽象攻击树存储部208中保存的抽象攻击树来确定抽象攻击名称。

并且，在步骤S205中，攻击日志预测部204与“抽象攻击名称”对应地参照确认日志管理信息存储部209中保存的确认日志管理信息，来确定“确认日志的设备”和“日志的具体部位”。即，攻击日志预测部204确定“确认日志的设备”作为残留有由未知的攻击造成的痕迹的可能性高的设备，并且与所确定的设备对应地确定“日志的具体部位”，由此预测由未知的攻击造成的污染范围。

例如，在图4的ID 5中，攻击方法ID是D4。因此，攻击日志预测部204参照图5所示的抽象攻击树，由此能够确定“抽象攻击名称”是远程访问。并且，攻击日志预测部204参照图6所示的确认日志管理信息，由此能够确定与远程访问对应的“确认日志的设备”为防火墙(FireWall)并且“日志的具体部位”是发送源/发送目的地地址或者发送目的地端口。

接着，在步骤S206中，攻击日志预测部204根据攻击树前后的痕迹信息来估计要确认的日志的时间段。例如，在图4中，关于假设是未知的攻击的ID 5的攻击，攻击树前后的ID是ID 6和ID 3。并且，健全性确认处理部203能够根据通过调查而确定的图4的ID 6和ID 3各自中的IOC的时间戳信息，估计出ID 5在该期间的时间段被攻击。

接着，在步骤S207中，关于与抽象攻击名称对应的“确认日志的设备”，攻击日志预测部204提取在步骤S206中估计出的时间段的日志作为可疑日志，结束一系列处理。

攻击估计装置1执行图7所示的流程图的一系列处理，由此，针对已知的攻击和未知的攻击中的任何攻击，都能够预测由攻击造成的污染范围。

另外，在图4中的攻击方法的从(From)与至(To)不同的情况下，即是针对另一设备的攻击的情况下，攻击日志预测部204除了日志的时间段以外，还能够将与估计出进行了攻击的发送源和发送目的地的设备相关的日志锁定成可疑日志。

作为判断是否存在由未知的攻击造成的非法日志的方法，攻击日志预测部204能够使用如下“行为异常检测技术”等：判断是否没有虽然是正常的日志但日志的输出方式与平时不同的日志。

如上所述，实施方式1的攻击估计装置能够进行由未知的攻击造成的痕迹推测。此外，能够防止将在攻击树的攻击路径中未能确定IOC的攻击误判断为进行了已知的攻击。

实施方式2

图8是本发明实施方式2中的攻击估计装置1的功能结构例。图8所示的攻击估计装置除了之前的实施方式1中的图2的组件以外，还具有恢复作业确定部210和恢复手段信息存储部211。因此，以下，以作为新追加的组件的恢复作业确定部210和恢复手段信息存储部211的功能为中心进行说明。

在之前的实施方式1中，在发生了包含未知的攻击的网络攻击的情况下，能估计出感染部位。但是，在实际的运用中，在进行了估计作业之后，需要实施污染范围的恢复作业。因此，在本实施方式2中，对附加有能够根据估计出的感染部位的IOC来预测系统整体的恢复花费的过程和时间的功能的攻击估计装置1进行说明。

关于攻击树存储部207的被定义为IOC的信息，恢复手段信息存储部211保存污染范围的恢复作业内容和修复所需的恢复作业时间。该恢复作业时间例如是在注册表因攻击而被改写的情况下为了恢复至原来的状态花费的作业时间。

图9是示出将本发明实施方式2中的恢复手段信息存储部211中保存的恢复作业内容与恢复作业时间对应起来的恢复手段信息的数据结构的图。另外，也能够替代定义与IOC相应的多个恢复作业时间，将从定期备份中恢复的1个过程的恢复作业时间定义成恢复手段信息。

此外，有时也根据攻击的种类而需要安装着的软件的重新安装、OS的初始化、设备的重新启动等。因此，由恢复手段信息存储部211和系统结构信息存储部205分担定义这些作业花费的时间。

作为一例，系统结构信息存储部205能够保存各设备中安装着的软件、设备的性能信息、设备间的依存关系等用于确定恢复作业时间的数据。

为了修复通过之前的实施方式1中的一系列处理确定的包含未知的攻击的攻击的痕迹，恢复作业确定部210参照系统结构信息存储部205、攻击树存储部207和恢复手段信息存储部211中保存的确定恢复作业时间所需的信息。具体而言，恢复作业确定部210判断用于修复IOC的时间、根据设备的依存关系进行设备恢复的顺序、依存的设备的停止、有无启动处理的必要性等。

例如，在通过有向图表现设备间的依存关系的情况下，恢复作业确定部210能够通过如下所述的过程确定恢复作业时间。在此，在进行伴随某一设备的停止的修复时，成为使图的相邻的依存对象设备先停止的规则。恢复作业确定部210根据基于这样的规则的有向图，导出全部设备的修复花费的过程，由此，能够求出恢复过程，确定这些修复时间的合计作为恢复作业时间。

如上所述，实施方式2的攻击估计装置在被进行了未知的网络攻击时，不仅能够估计攻击的痕迹，还能够根据所确定的攻击的痕迹信息来预测并确定从由攻击造成的损害中恢复所需的时间。

总结上述实施方式1、2的攻击估计装置的特征如下所述。在企业受到以目标型攻击为中心的高级网络攻击的情况下，实施方式1、2的攻击估计装置能够确定被污染的范围，估计恢复花费的作业和时间。

具体而言，实施方式1、2的攻击估计装置生成全面性地记述有在分析对象系统中事先能够设想的攻击活动和对应的威胁痕迹信息的攻击树。然后，实施方式1、2的攻击估计装置在检测出攻击之后，沿着攻击树调查各设备内的攻击的痕迹，确定攻击的路径。

此时，在受到未知的攻击的情况下，有可能没有找到由事先的攻击树分析造成的IOC而无法确定污染范围。因此，针对在攻击树上没能确认IOC的攻击活动，实施方式1、2的攻击估计装置基于受到同种未知的攻击的可能性高这样的假设，确定残留有痕迹的可能性高的设备的日志、时间段、日志的部位。

其结果是，即使在发生了未知的攻击的情况下，实施方式1的攻击估计装置也能够进行污染范围的确定。并且，实施方式2的攻击估计装置除了实施方式1的攻击估计装置具有的效果以外，还能够估计恢复确定为已被污染的范围花费的作业和时间。

标号说明

1：攻击估计装置；101：驱动装置；102：记录介质；103：辅助存储装置；104：存储器装置；105：CPU；106：接口装置；201：攻击树生成处理部；202：攻击树抽象化处理部；203：健全性确认处理部；204：攻击日志预测部；205：系统结构信息存储部；206：脆弱性信息存储部；207：攻击树存储部；208：抽象攻击树存储部；209：确认日志管理信息存储部；210：恢复作业确定部；211：恢复手段信息存储部。

Claims (4)

1.一种攻击估计装置，其中，该攻击估计装置具有：

攻击树存储部，其保存将在分析对象系统中能够事先设想的攻击方法与威胁痕迹信息关联起来的攻击树；

抽象攻击树存储部，其保存将所述攻击方法与通过对所述攻击方法进行分类而提高了所述攻击方法的抽象度的抽象攻击名称关联起来的抽象攻击树；

确认日志管理信息存储部，其保存将所述抽象攻击名称、确认日志的设备和所述日志的具体部位关联起来的确认日志管理信息；以及

预测部，其在接收到通知发生了对所述分析对象系统的攻击的检测警报的情况下，参照所述攻击树、所述抽象攻击树和所述确认日志管理信息，预测由所述攻击造成的污染范围，

所述预测部在接收到所述检测警报的情况下，参照所述攻击树来确定与所述攻击对应的所述威胁痕迹信息，

所述预测部在能确定与所述攻击对应的所述威胁痕迹信息的情况下，判断为发生了已知的攻击作为所述攻击，根据所确定的所述威胁痕迹信息来预测所述污染范围，

所述预测部在未能确定与所述攻击对应的所述威胁痕迹信息的情况下，判断为发生了未知的攻击作为所述攻击，

所述预测部在判断为发生了所述未知的攻击的情况下，参照所述抽象攻击树来确定所述抽象攻击名称，

所述预测部参照所确定的所述抽象攻击名称和所述确认日志管理信息，将确认所述日志的设备确定为残留有由所述未知的攻击造成的痕迹的可能性高的设备，并且，与所确定的所述设备对应地确定所述日志的具体部位，由此预测由所述未知的攻击造成的所述污染范围。

2.根据权利要求1所述的攻击估计装置，其中，该攻击估计装置还具有：

恢复手段信息存储部，其保存将所述污染范围的恢复作业内容与恢复作业时间对应起来的恢复手段信息；以及

恢复作业确定部，其参照所述恢复手段信息，确定为了修复由所述预测部预测出的所述污染范围所需的所述恢复作业内容和所述恢复作业时间。

3.一种攻击估计方法，其中，该攻击估计方法具有以下步骤：

存储步骤，使存储部保存将在分析对象系统中能够事先设想的攻击方法与威胁痕迹信息关联起来的攻击树、将所述攻击方法与通过对所述攻击方法进行分类而提高了所述攻击方法的抽象度的抽象攻击名称关联起来的抽象攻击树以及将所述抽象攻击名称、确认日志的设备和所述日志的具体部位关联起来的确认日志管理信息；以及

预测步骤，在接收到通知发生了对所述分析对象系统的攻击的检测警报的情况下，参照所述攻击树、所述抽象攻击树和所述确认日志管理信息，预测由所述攻击造成的污染范围，

在所述预测步骤中接收到所述检测警报的情况下，参照所述攻击树来确定与所述攻击对应的所述威胁痕迹信息，

在所述预测步骤中能确定与所述攻击对应的所述威胁痕迹信息的情况下，判断为发生了已知的攻击作为所述攻击，根据所确定的所述威胁痕迹信息来预测所述污染范围，

在所述预测步骤中未能确定与所述攻击对应的所述威胁痕迹信息的情况下，判断为发生了未知的攻击作为所述攻击，

在所述预测步骤中判断为发生了所述未知的攻击的情况下，参照所述抽象攻击树来确定所述抽象攻击名称，

在所述预测步骤中，参照所确定的所述抽象攻击名称和所述确认日志管理信息，将确认所述日志的设备确定为残留有由所述未知的攻击造成的痕迹的可能性高的设备，并且，与所确定的所述设备对应地确定所述日志的具体部位，由此预测由所述未知的攻击造成的所述污染范围。

4.一种存储有攻击估计程序的计算机能读取的记录介质，该攻击估计程序使计算机执行以下步骤：

存储步骤，使存储部保存将在分析对象系统中能够事先设想的攻击方法与威胁痕迹信息关联起来的攻击树、将所述攻击方法与通过对所述攻击方法进行分类而提高了所述攻击方法的抽象度的抽象攻击名称关联起来的抽象攻击树以及将所述抽象攻击名称、确认日志的设备和所述日志的具体部位关联起来的确认日志管理信息；以及

预测步骤，在接收到通知发生了对所述分析对象系统的攻击的检测警报的情况下，参照所述攻击树、所述抽象攻击树和所述确认日志管理信息，预测由所述攻击造成的污染范围，其中，

在所述预测步骤中接收到所述检测警报的情况下，参照所述攻击树来确定与所述攻击对应的所述威胁痕迹信息，

在所述预测步骤中能确定与所述攻击对应的所述威胁痕迹信息的情况下，判断为发生了已知的攻击作为所述攻击，根据所确定的所述威胁痕迹信息来预测所述污染范围，

在所述预测步骤中未能确定与所述攻击对应的所述威胁痕迹信息的情况下，判断为发生了未知的攻击作为所述攻击，

在所述预测步骤中判断为发生了所述未知的攻击的情况下，参照所述抽象攻击树来确定所述抽象攻击名称，

在所述预测步骤中，参照所确定的所述抽象攻击名称和所述确认日志管理信息，将确认所述日志的设备确定为残留有由所述未知的攻击造成的痕迹的可能性高的设备，并且，与所确定的所述设备对应地确定所述日志的具体部位，由此预测由所述未知的攻击造成的所述污染范围。