セキュリティ診断システム、方法およびプログラム
【課題】対象システムが持つ脆弱性に基づき対象システムに固有の侵入ルートを検出し、検出した侵入ルートに基づくセキュリティ診断を実現する。
【解決手段】セキュリティ診断の対象である対象システムの脆弱性を持ち得るポイントに対して、このポイントが脆弱性を持つか否かを判断する脆弱性判断部１３１と、この脆弱性判断部１３１により脆弱性があると判断されたポイントを組み合わせて対象システムに対する侵入ルートを探索する侵入ルート探索部１３２とを備える。また、侵入ルート探索部１３２により検出された侵入ルートを表す画像を、対象システムの構成要素および構成要素間の接続関係を記載したシステム構成図上に表示する出力制御部１４０を備える。
【解決手段】セキュリティ診断の対象である対象システムの脆弱性を持ち得るポイントに対して、このポイントが脆弱性を持つか否かを判断する脆弱性判断部１３１と、この脆弱性判断部１３１により脆弱性があると判断されたポイントを組み合わせて対象システムに対する侵入ルートを探索する侵入ルート探索部１３２とを備える。また、侵入ルート探索部１３２により検出された侵入ルートを表す画像を、対象システムの構成要素および構成要素間の接続関係を記載したシステム構成図上に表示する出力制御部１４０を備える。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、情報処理システムのセキュリティ診断を行うための技術に関する。
【背景技術】
【０００２】
データベース、その他のコンピュータを用いた情報処理システムにおいては、情報資産を脅威から守るためのセキュリティ対策を取ることが不可欠である。セキュリティ対策としては、対象となる情報処理システム（以下、対象システム）の脆弱性を取り除くことが一般的に行われる。
【０００３】
この種の従来技術として、特許文献１には、検査対象装置から収集された脆弱性情報をもとにリスク分析、セキュリティ対策やセキュリティポリシーの策定、セキュリティ監視の実践といった統合的なセキュリティ管理を実施できるセキュリティ管理システムが開示されている。同文献に記載されたシステムは、このようなセキュリティ管理を実現するため、検査対象装置に対してセキュリティ脆弱性の診断を行い、セキュリティ対策の提示や設定を可能にすると共に、検査対象装置から収集された脆弱性データをもとにリスク分析を行なうリスク分析装置、セキュリティ対策ならびに情報セキュリティポリシーを策定するセキュリティ対策策定装置を設けている。
【０００４】
また、この種の他の従来技術として、特許文献２には、インターネット上の公開サーバについて、そのセキュリティレベルを診断し、定量的な評価が可能な診断方法および診断システムが開示されている。同文献に記載されたシステムは、このような診断を実現するため、セキュリティホール情報収集手段を用いてセキュリティホール情報を収集し、セキュリティホール確認手段を用いて、確認方法を決定・格納し、セキュリティ情報知識ベースを構築した後、セキュリティレベル点数化手段とセキュリティ情報知識ベースを用いてセキュリティレベル情報データベースを構築する構成を備える。
【０００５】
【特許文献１】特開２００５−２４２７５４号公報
【特許文献２】特開２００４−１２６８７４号公報
【発明の開示】
【発明が解決しようとする課題】
【０００６】
上記のように、情報処理システムにおいては適切なセキュリティ対策を取ることが重要である。そして、セキュリティ対策の実施を支援するため、上記のように、対象システムが持つ脆弱性を診断するための種々の従来技術が提案されている。しかし、対象システムにおいて適切なセキュリティ対策を取るためには、単に対象システムがどのような脆弱性を持つかを判断するだけでは十分ではない。対象システムが持つ脆弱性がどのように組み合わされ、どのようなルートで対象システムに侵入し情報資産にアクセスできるか、さらに情報資産にアクセスしてどのような操作が可能か、というような侵入ルートや被害内容まで想定して診断を行うことが好ましい。
【０００７】
例えば、情報資産に到達するまでの侵入ルート上に脆弱性を持ち得るポイントが複数ある場合を考える。この場合、それらの複数のポイントのうちで１つでも十分な対策が取られていれば、他のポイントで脆弱性を残していたとしても、対象システム全体としては、その侵入ルートを利用した攻撃に対して脆弱とは必ずしも言えない。
【０００８】
また、特定の侵入ルートから情報資産に到達したとき、その情報資産を閲覧することはできるが編集したり削除したりすることはできない、というような場合を考える。この場合、対象システムは、その侵入ルートを利用した攻撃に対して脆弱ではあるが、想定される被害規模は小さい。情報資産の内容によっては、閲覧されるだけでは被害となり得ない場合もある。
【０００９】
上述した特許文献１、２に開示された技術を含む従来の技術は、対象システムが持つ脆弱性（セキュリティホール）を個別に検出し、検出された個々の脆弱性に基づくリスクを分析するものである。これらの従来技術では、個々の脆弱性に基づいてリスクレベルを診断することは行われているが、対象システムに固有の侵入ルートや侵入ルートに関連する被害内容を想定した診断は行われていない。
【００１０】
本発明は、上記の課題に鑑みてなされたものであり、対象システムが持つ脆弱性に基づき対象システムに固有の侵入ルートを検出し、検出した侵入ルートに基づくセキュリティ診断を実現することを目的とする。
【課題を解決するための手段】
【００１１】
かかる目的を達成するために、本発明は、次のようなセキュリティ診断システムとして実現される。このシステムは、セキュリティ診断の対象である対象システムの脆弱性を持ち得るポイントに対して、このポイントが脆弱性を持つか否かを判断する脆弱性判断部と、この脆弱性判断部により脆弱性があると判断されたポイントを組み合わせて対象システムに対する侵入ルートを探索する侵入ルート探索部とを備えることを特徴とする。
【００１２】
より詳しくは、侵入ルート探索部は、脆弱性があると判断されたポイントの１つに着目し、着目したポイントに連なる全ての脆弱性があると判断されたポイントを検出する操作を繰り返して、脆弱性があると判断されたポイントをたどることにより、侵入ルートを探索する。
また、侵入ルート探索部は、対象システムの情報資産に到達するポイントの組み合わせおよび情報資産に到達しないポイントの組み合わせを侵入ルートとして認識する。
【００１３】
さらにこのシステムは、侵入ルート探索部により検出された侵入ルートを表す画像を、対象システムの構成要素および構成要素間の接続関係を記載したシステム構成図上に表示する出力制御部を備える構成としても良い。
侵入ルート探索部により検出された侵入ルートで侵入した場合に対象システムに対して可能な操作の種類に応じて、この侵入ルートで対象システムへの侵入が行われた場合の被害規模を判断する被害規模判断部をさらに備える構成としても良い。
【００１４】
また、本発明による他のセキュリティ診断システムは、セキュリティ診断の対象である対象システムにおける脆弱性を持つポイントの情報に基づき、このポイントを組み合わせて対象システムに対する侵入ルートを探索する侵入ルート探索手段と、対象システムの構成要素および構成要素間の接続関係を記載したシステム構成図上に、侵入ルート探索手段により検出された侵入ルートを表す画像を表示する出力手段とを備えることを特徴とする。
【００１５】
さらにこのシステムは、侵入ルート探索部により検出された侵入ルートの一覧を表示する一覧表示手段と、この一覧表示手段により表示された侵入ルートの一覧から任意の侵入ルートを選択する操作を受け付ける受け付け手段とを備える構成とすることができる。この場合、出力手段は、受け付け手段により受け付けられた操作にて選択された侵入ルートをシステム構成図上に表示する。
【００１６】
また、上記の目的を達成する他の本発明は、コンピュータが対象システムのセキュリティ診断を行う方法としても実現される。この方法は、対象システムの情報を取得し、この情報に基づいて、対象システムの脆弱性を持ち得るポイントに対して、このポイントが脆弱性を持つか否かを判断するステップと、脆弱性があると判断されたポイントを組み合わせて対象システムに対する侵入ルートを探索するステップとを含むことを特徴とする。
【００１７】
より詳細には、侵入ルートを探索するステップでは、脆弱性があると判断されたポイントの１つに着目し、着目したポイントに連なる全ての脆弱性があると判断されたポイントを検出する操作を繰り返して、脆弱性があると判断されたポイントをたどることにより、侵入ルートを探索する。
【００１８】
また本発明は、コンピュータに上記のセキュリティ診断システムの機能を実現させ、または上記セキュリティ診断の方法の各ステップに対応する処理をコンピュータに実行させるプログラムとしても実現される。このプログラムは、磁気ディスクや光ディスク、半導体メモリ、その他の記録媒体に格納して配布したり、ネットワークを介して配信したりすることにより提供することができる。
【発明の効果】
【００１９】
以上のように構成された本発明によれば、対象システムが持つ脆弱性に基づき対象システムに固有の侵入ルートを検出し、検出した侵入ルートに基づくセキュリティ診断を行うことができる。
【発明を実施するための最良の形態】
【００２０】
以下、添付図面を参照して、本発明を実施するための最良の形態（以下、実施形態）について詳細に説明する。
図１は、本実施形態によるセキュリティ診断システムの全体構成を示す図である。
図１に示すように、本実施形態のセキュリティ診断システム１００は、診断情報の入力を受け付けるための診断情報取得部１１０と、対象システム２００の脆弱性を調査するための調査部１２０とを備える。また、対象システム２００のリスク状況を評価する評価部１３０と、評価結果を出力するための出力制御部１４０とを備える。図示の例では、これら各機能を備えた単一の装置として記載されているが、本実施形態を実現するための装置構成は図示の構成に限定されない。例えば、各機能を個別に有する複数の装置で構成したり、診断情報取得部１１０および調査部１２０を備えた情報入力手段としての装置と評価部１３０および出力制御部１４０を備えた診断手段としての装置とで構成したりすることができる。
【００２１】
図２は、本実施形態のセキュリティ診断システム１００を実現するコンピュータのハードウェア構成例を示す図である。
図２に示すコンピュータ１０は、演算手段であるＣＰＵ１０ａと、主記憶装置であるメインメモリ１０ｃと、ディスプレイ装置へ表示出力を行うための表示機構１０ｄとを備える。また、ネットワークを介して外部機器に接続するためのネットワークインターフェイス１０ｆと、補助記憶装置である磁気ディスク装置１０ｇおよびフレキシブルディスクドライブ１０ｊと、音声出力を行うための音声機構１０ｈと、入力デバイスであるキーボード／マウス１０ｉとを備えて構成される。また、図２に示すように、メインメモリ１０ｃおよび表示機構１０ｄは、Ｍ／Ｂ（マザーボード）チップセット１０ｂを介してＣＰＵ１０ａに接続されている。ネットワークインターフェイス１０ｆ、磁気ディスク装置１０ｇ、音声機構１０ｈ、キーボード／マウス１０ｉおよびフレキシブルディスクドライブ１０ｊは、ブリッジ回路１０ｅを介してＭ／Ｂチップセット１０ｂと接続されている。
【００２２】
図２において、各構成要素は、バスを介して接続される。例えば、ＣＰＵ１０ａとＭ／Ｂチップセット１０ｂの間や、Ｍ／Ｂチップセット１０ｂとメインメモリ１０ｃの間は、ＣＰＵバスを介して接続される。また、Ｍ／Ｂチップセット１０ｂと表示機構１０ｄとの間は、ＡＧＰ（Accelerated Graphics Port）を介して接続されてもよいが、表示機構１０ｄがＰＣＩ Ｅｘｐｒｅｓｓ対応のビデオカードを含む場合、Ｍ／Ｂチップセット１０ｂとこのビデオカードの間は、ＰＣＩ Ｅｘｐｒｅｓｓ（ＰＣＩｅ）バスを介して接続される。また、ブリッジ回路１０ｅと接続する場合、ネットワークインターフェイス１０ｆについては、例えば、ＰＣＩ Ｅｘｐｒｅｓｓを用いることができる。また、磁気ディスク装置１０ｇについては、例えば、シリアルＡＴＡ（AT Attachment）、パラレル転送のＡＴＡ、ＰＣＩ（Peripheral Components Interconnect)等を用いることができる。さらに、キーボード／マウス１０ｉおよびフレキシブルディスクドライブ１０ｊについては、ＵＳＢ（Universal Serial Bus）等を用いることができる。
【００２３】
なお、図２は、セキュリティ診断システム１００を実現するのに好適なコンピュータのハードウェア構成を例示するに過ぎず、図示の構成に限定されないことは言うまでもない。例えば、補助記憶装置としては磁気ディスク装置１０ｇのみを設け、フレキシブルディスクドライブ１０ｊを持たない構成としたり、各種の光学ディスクをメディアとするドライブを設けたりしても良い。また、音声機構１０ｈを独立した構成とせず、Ｍ／Ｂチップセット１０ｂの機能として備えるようにしても良い。
【００２４】
図１に示した診断情報取得部１１０は、例えばセキュリティ診断システム１００が図２に示したコンピュータで実現される場合、プログラム制御されたＣＰＵ１０ａにより実現される。この診断情報取得部１１０は、対象システム２００の仕様や設定、使用条件等に関する設問を提示し回答を受け付ける。そして、受け付けた回答を評価部１３０が使用できるように分類、整理し、セキュリティ診断に用いられる情報として、例えば図２のメインメモリ１０ｃや磁気ディスク装置１０ｇ等の記憶手段に格納する。設問を提示し回答を受け付けるための具体的な手段は特に限定されず、種々の手法を取ることができる。
【００２５】
図３は、診断情報取得部１１０により提示される設問および回答の例を示す図である（なお、図３において、Ｏｒａｃｌｅは米国Ｏｒａｃｌｅ Ｃｏｒｐｏｒａｔｉｏｎの登録商標、ＳＱＬＳｅｒｖｅｒおよびＷｉｎｄｏｗｓは米国Ｍｉｃｒｏｓｏｆｔ Ｃｏｒｐｏｒａｔｉｏｎの登録商標、ＤＢ２は米国ＩＢＭ Ｃｏｒｐｏｒａｔｉｏｎの登録商標、ＬｉｎｕｘはＬｉｎｕｓ Ｔｏｒｖａｌｄｓ氏の登録商標である）。
図３に示した設問の他、
・通信用ポートの変更
・Ｏｒａｃｌｅインストールオーナーのアカウント名
・データベース管理者アカウントの認証方式
・ＳＹＳＤＢＡ／ＳＹＳＯＰＥＲ権限でログインする際の認証方式
・データベースサーバ設置場所の施錠状況
・対象データベースサーバ設置場所の入退出管理状況
・清掃業者／保守業者等、外部の人間の作業時の立会い
・バックアップデータの保管場所施錠状況
・バックアップデータの取扱者／日時等の管理簿への記録状況
・外部へのバックアップデータ搬送の際の安全性の確保状況
・バックアップデータのメディアの廃棄状況
・データベースサーバのＯＳパッチ適用状況（ウイルス／ワーム対策）
・データベース脆弱性情報の入手方法（ウイルス／ワーム対策）
・クライアントＰＣのアンチウイルス導入／定義ファイル更新状況
・データベース周辺のＷＥＢ−アプリケーションサーバ等のアンチウイルス導入／定義ファイル更新状況
・データベースサーバ自体のアンチウイルス導入／定義ファイル更新状況
・ウイルスゲートウェイの導入状況
・ファイヤウォールによるアクセス制御状況
・他システム／データベースとの連携・接続状況
・開発者からのアクセス経路
といった種々の項目について設問を作成し、これに対する回答により対象システム２００に対する情報を取得することができる。
【００２６】
具体的な実施例としては、例えば、ディスプレイ装置に設問を記載した画面（設問画面）を表示させ、キーボード等の入力デバイスを用いて対象システム２００の使用者に回答を入力してもらう（あるいは対象システム２００の使用者に回答してもらい、オペレータが入力する）ことが考えられる。この場合、全ての設問を提示するのではなく、特定の設問に対する回答に応じて次に提示する設問を選択するなどの手法を取ることにより、効率よく診断情報を取得することができる。設問画面に提示される設問は、例えば図２の磁気ディスク装置１０ｇに格納しておき、ＣＰＵ１０ａが読み出して表示機構１０ｄを介してディスプレイ装置に表示させる。
【００２７】
他の実施例としては、設問をディスプレイ表示するのではなく、プリントアウトして使用者に渡し、回答してもらっても良い。また、回答をマークシートのような形式で記入してもらうように設問を設定しておき、解答用紙をスキャナ等で読み込むことによって診断情報を取得するような実施態様を取ることも可能である。ただし、これらの場合、設問をディスプレイ表示する場合のように選択的に切り換えて設問を提示することは難しい。
【００２８】
調査部１２０は、例えばセキュリティ診断システム１００が図２に示したコンピュータで実現される場合、プログラム制御されたＣＰＵ１０ａにより実現される。この調査部１２０は、対象システム２００に接続し、各種の検査機能により対象システム２００の構成や設定を調べる。そして、取得した情報を評価部１３０が使用できるように分類、整理し、セキュリティ診断に用いられる情報として、例えば図２のメインメモリ１０ｃや磁気ディスク装置１０ｇ等の記憶手段に格納する。調査部１２０と対象システム２００との接続は、所定のケーブルを用いて直接行っても良いし、ＬＡＮ（Local Area Network）等のネットワークを介して行っても良い。調査部１２０の検査機能は、例えば既存の種々の検査ツール（ソフトウェア）を用いて実現することができる。
【００２９】
本実施形態では、診断情報取得部１１０と調査部１２０とを連関させて用いることが好ましい。すなわち、診断情報取得部１１０によって得られる対象システム２００の使用条件等によっては、調査部１２０による調査項目のうち特定の項目について調査する必要がなくなることが考えられる。反対に、調査部１２０によって得られた対象システム２００の構成等によっては、特定の設問への回答が不要となることも考えられる。そこで、調査部１２０において診断情報取得部１１０により取得された情報を記憶手段から読み込み、この情報に基づいて調査項目を選択したり、反対に診断情報取得部１１０において調査部１２０により取得された情報を記憶手段から読み込み、この情報に基づいて提示する設問を選択したりするような実装が考えられる。さらにまた、同一の項目に関して、敢えて診断情報取得部１１０により取得される情報と調査部１２０により取得される情報とを両方取得し、比較することで、使用者の意識と実際の対象システム２００の状態との差異を明確にすることも可能である。
【００３０】
評価部１３０は、例えばセキュリティ診断システム１００が図２に示したコンピュータで実現される場合、プログラム制御されたＣＰＵ１０ａにより実現される。この評価部１３０は、診断情報取得部１１０および調査部１２０により取得された情報に基づいて対象システム２００のセキュリティ診断を行う。
【００３１】
図４は、評価部１３０の機能構成を示す図である。
図４に示すように、評価部１３０は、対象システム２００の脆弱性を判断する脆弱性判断部１３１と、対象システム２００の情報資産への侵入ルートを探索する侵入ルート探索部１３２と、情報資産にアクセスされた場合の被害規模を判断する被害規模判断部１３３とを備える。
【００３２】
脆弱性判断部１３１は、診断情報取得部１１０および調査部１２０により取得された情報に基づき、対象システム２００における脆弱性を持ち得るポイント（以下、チェックポイントと称す）を検出し、脆弱性が存在するか否かを判断する。各チェックポイントにおける脆弱性の有無の判断は、既存のセキュリティ診断ツール等で用いられている手法を用いて行うことができる。具体的には例えば、チェックポイントごとに脆弱性があると判断すべき状態を示す情報をデータベース化しておき、対象システム２００の各チェックポイントがそのような状態に該当するか否かを照合することによって判断することができる。
【００３３】
侵入ルート探索部１３２は、脆弱性判断部１３１により脆弱性があると判断されたチェックポイントを組み合わせて、情報資産にアクセスするためのルートを探索する。ここでは、情報資産まで到達するルートだけでなく、外部または内部の対象システム２００の使用者が侵入可能な範囲（深さ）までのルートを全て検出する。これにより、攻撃者が情報資産に対してどれだけ近づけるか、どの脆弱性に対して優先的に対策を施すべきか、というような対象システム２００全体のセキュリティに関する具体的な状態の診断に寄与することができる。
【００３４】
被害規模判断部１３３は、侵入ルート探索部１３２により検出された各侵入ルートに応じて、情報資産または対象システム２００に対してどのような操作が可能かを判断し、そのような操作が行われた場合の被害規模を特定する。具体的には例えば、侵入ルートのパターンを想定し、侵入ルートのパターンと可能な操作との対応関係（どのパターンの侵入ルートで攻撃された場合にはどのような操作が可能か）を示す情報をデータベース化しておき、検出された侵入ルートがどのパターンに該当するかを照合することによって、被害規模を特定することができる。情報資産または対象システム２００に対する操作としては、例えば、情報資産の不正参照、情報資産の削除、情報資産の改ざん、チェックポイントにおけるアカウントの奪取などが挙げられる。
【００３５】
出力制御部１４０は、例えばセキュリティ診断システム１００が図２に示したコンピュータで実現される場合、プログラム制御されたＣＰＵ１０ａおよび表示機構１０ｄにより実現される。この出力制御部１４０は、侵入ルート探索部１３２により検出された侵入ルートおよび被害規模判断部１３３により特定された被害規模の情報を含む出力画像を生成し、ディスプレイ装置に表示させる。
【００３６】
図５は、出力制御部１４０により生成される出力画像の構成例を示す図である。
図５に示す出力画像は、「対象システム名称」、「診断結果」および「侵入ルートマップ」の３つの欄を備えて構成される。「対象システム名称」には、セキュリティ診断を行った対象システム２００の名称が表示される。「診断結果」には、評価部１３０の被害規模判断部１３３により特定された被害規模の情報の中で最大のものと、同じく評価部１３０の脆弱性判断部１３１により検出された脆弱性の個数が提示される。また、オプションで侵入ルートの一覧と検出された脆弱性の一覧とを表示することができる。「侵入ルートマップ」には、各チェックポイントを記した対象システム２００のシステム構成図（対象システム２００の構成要素および構成要素間の接続関係を示す図）が表示される。そして、このシステム構成図上で侵入ルートが矢印により図示される。なお、図５に示す出力画像は例示に過ぎず、評価部１３０によるセキュリティ診断の結果を提示できるものであれば、他の構成をとることもできる。
【００３７】
図６は、図５に示した出力画像の「診断結果」において侵入ルートの一覧を表示した状態を示す図である。
図６に示す例では、侵入ルートの一覧には、評価部１３０の侵入ルート探索部１３２により検出された侵入ルートごとに、侵入ルートの識別番号と、被害レベルと、被害の概要とが提示されている。ここで、被害レベルとは、評価部１３０の被害規模判断部１３３により判断された、当該侵入ルートで侵入された場合に想定される被害の規模を数段階のレベルで示すものである。図６に例示される侵入ルートに対しては、「Ｖｅｒｙ Ｈｉｇｈ」、「Ｈｉｇｈ」、「Ｌｏｗ」の３種類のレベルが設定されている。また、被害の概要とは、同様に各侵入ルートによる侵入に対して想定される被害の内容を簡略に記載したものである。
【００３８】
また、図６に示す出力画像は、侵入ルートマップに表示する侵入ルートを指定するためのユーザインターフェイスとなっている。すなわち、オペレータがマウス等の入力デバイスを操作して、侵入ルートの一覧における特定の侵入ルートを指定すると、出力制御部１４０が、この入力を受け付け、指定された侵入ルートを侵入ルートマップ上に表示する。図６に示す例では、一覧表示された侵入ルートのうち、識別番号Ｎｏ．１の侵入ルートが指定され（図中、該当する行をグレーで表示）、これが「侵入ルートマップ」に太線の矢印で図示されている。
【００３９】
図７は、図５に示した出力画像の「診断結果」において脆弱性の一覧を表示した状態を示す図である。
図７に示す例では、脆弱性の一覧には、評価部１３０の脆弱性判断部１３１により脆弱性があると判断されたチェックポイントごとに、チェックポイントの識別番号と、脆弱性の概要とが提示されている。ここで、脆弱性の概要とは、各脆弱性の内容を簡略に記載したものである。
【００４０】
また、図７に示す出力画像は、侵入ルートマップに表示する侵入ルートを指定するためのユーザインターフェイスとなっている。すなわち、オペレータがマウス等の入力デバイスを操作して、脆弱性の一覧における特定のチェックポイントを指定すると、出力制御部１４０が、この入力を受け付け、指定されたチェックポイントへ到達する侵入ルートを侵入ルートマップ上に表示する。図７に示す例では、一覧表示されたチェックポイントのうち、識別番号Ｎｏ．４のチェックポイントが指定され（図中、該当する行をグレーで表示）、このチェックポイントが有する脆弱性を攻撃できる侵入ルートが「侵入ルートマップ」に太線の矢印で図示されている。
【００４１】
次に、本実施形態によるセキュリティ診断の具体例を説明する。
図８は、本具体例における対象システム２００のシステム構成例を示す図である。
図８に示す対象システム２００は、情報資産を有するデータベースサーバ２１０と、データベースサーバ２１０にアクセス可能な管理用端末２２０およびアプリケーションサーバ２３０と、アプリケーションサーバ２３０にアクセス可能なウェブサーバ２４０、２５０とを備えて構成される。なお、図８に示すシステム構成は、本実施形態のセキュリティ診断を説明するための具体例に過ぎず、対象システム２００を図８に示すシステム構成に限定するものではない。
【００４２】
データベースサーバ２１０では、オペレーティングシステム（以下、ＯＳ）が動作し、このＯＳ上でデータベース（アプリケーション）が動作している。データベースサーバ２１０は、情報資産として、ＯＳに管理されるファイル２１１と、データベースに管理されるテーブル２１２とを有している。また、ＯＳにおけるチェックポイントとしてＯＳアカウント２１３があり、データベースにおけるチェックポイントとしてＤＢアカウント２１４がある。
【００４３】
管理用端末２２０には、チェックポイントとしてＯＳアカウント２２１がある。また、アプリケーションサーバ２３０には、チェックポイントとしてアプリケーション（Ａｐｐ）アカウント２３１がある。
ウェブサーバ２４０は、内部ネットワークからアプリケーションサーバ２３０へアクセスするための内部サーバであり、ウェブサーバ２５０は、外部ネットワーク（インターネット等）からアプリケーションサーバ２３０へアクセスするための公開サーバである。
【００４４】
この具体例において、対象システム２００には以下に示す１３個のチェックポイントがあり、各チェックポイントは、それぞれ下記の状態の時に脆弱性を持つものとする。各チェックポイントの場所は、図８においてスイッチのマークで示されており、各スイッチの番号が以下のチェックポイントの番号に一致する。なお、これらのチェックポイントおよび脆弱性は例示に過ぎず、図８に示す構成の対象システム２００に想定されるチェックポイントおよび脆弱性を図８および下記に示すものに限定するものではない。
【００４５】
（１）外部ネットワークと内部ネットワークの境界
脆弱性を持つ状態：
・ファイヤウォール（Ｆ／Ｗ）が存在しない。
・Ｆ／Ｗにおいて、接続ポートが制限されていない。
・ルータによるアクセス制御がなされていない。
（２）内部の使用者がアプリケーションサーバ２３０に対して利用するアプリケーションアカウント２３１
脆弱性を持つ状態：
・認証用パスワードが設定されていない。
・推定が容易なパスワードである。
・パスワード有効期限が設定されていない。
（３）外部の（外部ネットワーク経由の）使用者がアプリケーションサーバ２３０に対して利用するアプリケーションアカウント２３１
脆弱性を持つ状態：
・認証用パスワードが設定されていない。
・推定が容易なパスワードである。
・パスワード有効期限が設定されていない。
（４）管理用端末２２０のＯＳアカウント２２１
脆弱性を持つ状態：
・認証用パスワードが設定されていない。
・推定が容易なパスワードである。
・パスワード有効期限が設定されていない。
（５）アプリケーションサーバ２３０がデータベースサーバ２１０に対して利用するＤＢアカウント２１４
脆弱性を持つ状態：
・認証用パスワードが設定されていない。
・推定が容易なパスワードである。
・パスワード有効期限が設定されていない。
（６）データベースサーバ２１０のＤＢアカウント２１４の権限
脆弱性を持つ状態：
・過剰な権限が付与されている。
・権限昇格が可能な脆弱性が存在する。
・本来、低い権限では実行できない操作が、できてしまう不具合がある。
（７）管理用端末２２０がデータベースサーバ２１０に対して利用するＤＢアカウント２１４
脆弱性を持つ状態：
・認証用パスワードが設定されていない。
・推定が容易なパスワードである。
・パスワード有効期限が設定されていない。
（８）データベースサーバ２１０のＯＳが利用するＤＢアカウント２１４
脆弱性を持つ状態：
・データベースサーバ２１０のＯＳアカウント２１３に関して、ＯＳ認証が有効。
・ＤＢアカウント２１４が推定容易なパスワードである。
・ＤＢアカウント２１４のパスワード有効期限が設定されていない。
・推定が容易なＤＢアカウント２１４のパスワードである。
（９）データベースサーバ２１０のデータベースが利用するＯＳアカウント２１３
脆弱性を持つ状態：
・ＤＢアカウント２１４権限過剰（外部コマンド実行可能）。
・外部コマンドを実行できる脆弱性が存在する。
・アクセス可能ディレクトリの設定ミスがある。
（１０）管理用端末２２０がデータベースサーバ２１０に対して利用するＯＳアカウント２１３
脆弱性を持つ状態：
・認証用パスワードが設定されていない。
・推定が容易なパスワードである。
・パスワード有効期限が設定されていない。
（１１）データベースサーバ２１０の直接操作
脆弱性を持つ状態：
・データベースサーバ２１０の設置ルームへの入室・退出がチェックされていない。
・データベースサーバ２１０に直接接触可能である。
・データベースサーバ２１０のＯＳアカウント２１３の認証用パスワードが設定されていない。
・データベースサーバ２１０のＯＳアカウント２１３が推定容易なパスワードである。
・データベースサーバ２１０のＯＳアカウント２１３のパスワード有効期限が設定されていない。
（１２）データベースサーバ２１０への物理的接触
脆弱性を持つ状態：
・データベースサーバ２１０の設置ルームへの入室・退出がチェックされていない。
・データベースサーバ２１０に直接接触可能である。
・データベースサーバ２１０に外部媒体機器が接続されている。
（１３）データベースサーバ２１０のＯＳアカウント２１３の権限
脆弱性を持つ状態：
・データベースサーバ２１０のＯＳアカウント２１３に関して権限が過剰である。
【００４６】
脆弱性判断部１３１は、診断情報取得部１１０および調査部１２０により取得された情報に基づき、図８に示す各チェックポイントが上記に示す状態にあるか否かを調べ、各チェックポイントが脆弱性を有するか否かを判断する。
【００４７】
次に、図８に示した対象システム２００における侵入ルートの探索方法について説明する。
図９は、本実施形態の侵入ルート探索部１３２による侵入ルートの探索方法を説明するフローチャートである。
図９を参照すると、侵入ルート探索部１３２は、脆弱性判断部１３１により脆弱性があると判断されたチェックポイント（以下、脆弱性があるチェックポイントと呼ぶ）の１つに着目する（ステップ９０１）。ここで、最初に着目されるチェックポイントは、対象システム２００の使用者による操作に対して直接的に関わるチェックポイントであり、言い換えれば侵入ルートの起点となるチェックポイントである。具体的には、図８の対象システム２００の場合、（１）、（２）、（４）、（１１）、（１２）等のチェックポイントである。
【００４８】
次に、侵入ルート探索部１３２は、着目したチェックポイントに連なり脆弱性があるチェックポイントを全て検出する（ステップ９０２）。ここで、着目したチェックポイントに連なるチェックポイントとは、対象システム２００に侵入する場合に、着目したチェックポイントを突破した直後に突破しなければならないチェックポイントである。図８の例では、着目したチェックポイントが（４）のチェックポイントである場合、（７）、（１０）のチェックポイントが該当する。
【００４９】
このとき、着目したチェックポイントに連なるチェックポイントが存在しない場合、この侵入ルートは情報資産に到達したことを意味する。また、着目したチェックポイントに連なるチェックポイントは存在するが、その中に脆弱性があるチェックポイントが存在しない場合（すなわち、着目したチェックポイントに連なるチェックポイントの全てにおいて脆弱性がない場合）、その侵入ルートで到達できるのは着目したチェックポイントまでであることを意味する。これらの場合（ステップ９０３でＮｏ）、脆弱性があるチェックポイントであって、未だ着目していないチェックポイントが存在すれば（ステップ９０５でＹｅｓ）、ステップ９０１に戻って処理を繰り返す。一方、全てのチェックポイントに着目して処理が済んだ場合は（ステップ９０５でＮｏ）、侵入ルートの探索を終了する。
【００５０】
ステップ９０２で脆弱性があるチェックポイントが検出された場合（ステップ９０３でＹｅｓ）、次に侵入ルート探索部１３２は、検出されたチェックポイントの１つに着目する。そして、着目したチェックポイントに連なり脆弱性があるチェックポイントを全て検出する処理を再帰的に繰り返す（ステップ９０４）。そして、全てのチェックポイントに着目して処理が済んだ場合は、侵入ルートの探索を終了する（ステップ９０５）。
【００５１】
以上のようにして、脆弱性があるチェックポイントの各々に着目し、着目したチェックポイントに連なり脆弱性があるチェックポイントを順次たどっていくことにより、対象システム２００に対する全ての侵入ルートが検出される。この動作によれば、ステップ９０３の判断において説明したように、情報資産にアクセスできず、途中のチェックポイントまでしか到達しない侵入ルートも検出される。
【００５２】
次に、被害規模の特定方法について説明する。
被害規模は、上記のようにして検出された各侵入ルートに関して個別に判断される。所定の侵入ルートで対象システム２００に侵入した場合に、どのような操作が可能かは、その侵入ルートが対象システム２００の情報資産またはどのチェックポイントまで到達しているか、その侵入ルートを構成するチェックポイントの場所、チェックポイントにおける脆弱性の種類等によって特定される。これらの情報は、脆弱性判断部１３１および侵入ルート探索部１３２から取得される。被害規模判断部１３３は、侵入ルート探索部１３２により検出された侵入ルートのそれぞれに関して、上記の侵入ルート、チェックポイント、脆弱性等の各情報に基づき、対象システム２００に対してどのような操作が可能かを判断する。そして、可能な操作の種類と攻撃対象の重要度に応じて、攻撃深刻度を特定する。
【００５３】
図１０は、攻撃対象と攻撃深刻度との関係を表す図表である。
ここで、攻撃深刻度は、攻撃対象が攻撃を受けた場合に、対象システム２００またはその情報資産が受ける影響の度合いを示す。すなわち、攻撃深刻度の高い侵入ルートほど、その侵入ルートで侵入され攻撃された場合の被害規模が大きくなる。図１０に示す例では、攻撃対象として業務情報、データベースオブジェクト、ファイルを挙げ、攻撃対象への操作の内容に応じて、「Ｖｅｒｙ Ｈｉｇｈ」、「Ｈｉｇｈ」、「Ｍｅｄｉｕｍ」、「Ｌｏｗ」の４段階で攻撃深刻度を示している。例えば、情報資産である重要情報が変更される攻撃は、攻撃深刻度が「Ｖｅｒｙ Ｈｉｇｈ」である。また、非重要ファイルが参照される攻撃は、攻撃深刻度が「Ｌｏｗ」である。なお、図１０の例では、攻撃による影響の度合いは「Ｖｅｒｙ Ｈｉｇｈ」が最も高く、「Ｌｏｗ」が最も低い。
【００５４】
ところで、本実施形態では、上述したように情報資産に到達しない侵入ルートも検出するのであるが、情報資産に到達しない侵入ルートで侵入しても情報資産を攻撃することができず、被害は発生しない。しかしながら、その侵入ルートが情報資産に対してどれだけ近くまで到達しているかによって、その侵入ルートの危険度が変わる。例えば、図８に示す対象システム２００の場合、外部の（インターネット経由でデータベースサーバ２１０にアクセスする）使用者が、データベースサーバ２１０のファイル２１１にアクセスするには、（１）−（３）−（５）−（９）−（１３）という５つのチェックポイントを突破しなければならない。このとき、（１）および（２）のチェックポイントにのみ脆弱性がある場合（すなわち、Ａｐｐアカウント２３１まで到達する侵入ルート）と、（１）、（３）、（５）および（９）のチェックポイントに脆弱性がある場合（すなわち、データベースサーバ２１０のＯＳアカウント２１３まで到達する侵入ルート）とを比較すると、後者の方が情報資産であるファイル２１１の近くまで達している。これは、後者の方が、ファイル２１１に到達するために突破しなければならないチェックポイントが少ない（（１３）のみ）ことを意味しており、より危険な状態である。
【００５５】
このような、侵入ルートの到達地点によって異なる危険度を評価するため、侵入深度という概念を導入することができる。
図１１は、侵入ルートの侵入深度を説明する図である。
図１１には、図８の対象システム２００に関して、データベースサーバ２１０の使用者（人間）から攻撃対象である情報資産に到達するまでの侵入ルートが、侵入深度を表す３層の階層構造で模式的に示されている。最も浅い到達点である第１目標は、データベースサーバ２１０の外部の構成であり、図８の対象システム２００ではアプリケーションサーバ２３０のアプリケーションアカウント２３１および管理用端末２２０のＯＳアカウント２２１が該当する。次の到達点である第２目標は、データベースサーバ２１０の内部の構成であり、図８の対象システム２００ではデータベースサーバ２１０のＤＢアカウント２１４およびＯＳアカウント２１３が該当する。したがって、データベースサーバ２１０のＯＳアカウント２１３まで到達する侵入ルートは、第２目標までの侵入深度を持つことになる。
【００５６】
ここで、侵入ルートに対して侵入深度に応じた評価を行うために、侵入深度に点数を付けることにする。具体的には、各チェックポイントに、侵入深度に応じた点数を付しておき、侵入ルートが通過する各チェックポイントの点数を加算する。また、情報資産に近い（すなわち深い）所にあるチェックポイントほど重要であると考えて、高い配点とする。図１１に示す例では、攻撃元から第１目標までの間のチェックポイントを１点、第１目標から第２目標までのチェックポイントを２点、第２目標から攻撃対象までのチェックポイントを４点としている。また、攻撃元から第２目標へ直接到達するルートのチェックポイントを３点、攻撃元から攻撃対象（情報資産）へ直接到達するルートのチェックポイントを７点としている。したがって、先に例示したデータベースサーバ２１０のＯＳアカウント２１３まで到達する侵入ルートには、３点という評価点が与えられる。なお、これらの侵入ルートの階層分けおよび配点は例示に過ぎず、具体的な対象システム２００のシステム構成に応じて任意に設定されることは言うまでもない。
【００５７】
以上のようにして侵入ルートに与えられた評価点は、情報資産の種類とは関係がなく、対象システム２００に侵入可能な深さ（どれだけ深く侵入できるか）のみによる評価である。したがって、この侵入深度に基づいて各侵入ルートを評価することにより、現時点では情報資産には到達できない侵入ルートに対しても、どの程度危険な侵入ルートかを判断する指標を与えることができる。
【００５８】
侵入深度に基づく侵入ルートの評価を行う場合は、評価部１３０にかかる評価を行う侵入深度評価部を設けて侵入ルートごとの侵入深度を評価する。そして、出力制御部１４０が、侵入深度評価部から評価結果を取得して、例えば出力画像において侵入ルートの一覧を表示する際に、各侵入ルートに対応付けて表示すれば良い。
【００５９】
この他、図１０を参照して説明した攻撃深刻度と侵入深度に基づく侵入ルートの評価とを合わせて、実際に情報資産への攻撃が行われる場合の被害規模と情報資産への攻撃の容易さとを含む包括的な評価を、対象システム２００全体における総合的な脆弱性の判断としても良い。この場合の判断方法としては、例えば、攻撃深刻度の各段階に点数を付し、この点数と侵入深度における点数とを乗算することで脆弱性の度合いを算出するといった方法が考えられる。
【００６０】
なお、本実施形態では、各チェックポイントにおいて脆弱性があるか否かのみを考慮し、脆弱性がある場合あるいは脆弱性の種類に応じて、そのチェックポイントを突破することの容易性（攻撃容易性）については考慮していない。しかしながら、突破することが容易なチェックポイントを含む侵入ルートが含まない侵入ルートよりも危険度が高いと考えることもできる。そこで、各侵入ルートに対して、個々の侵入ルートに含まれるチェックポイントの攻撃容易性に基づく評価をさらに行い、出力画像等にて提示するようにしても良い。
【図面の簡単な説明】
【００６１】
【図１】本実施形態によるセキュリティ診断システムの全体構成を示す図である。
【図２】本実施形態のセキュリティ診断システムを実現するコンピュータのハードウェア構成例を示す図である。
【図３】本実施形態で用いられる、診断情報取得部により提示される設問の例を示す図である。
【図４】本実施形態の評価部の機能構成を示す図である。
【図５】本実施形態の出力制御部により生成される出力画像の構成例を示す図である。
【図６】図５に示した出力画像の「診断結果」において侵入ルートの一覧を表示した状態を示す図である。
【図７】図５に示した出力画像の「診断結果」において脆弱性の一覧を表示した状態を示す図である。
【図８】本実施形態の診断対象である対象システムのシステム構成例を示す図である。
【図９】本実施形態の侵入ルート探索部による侵入ルートの探索方法を説明するフローチャートである。
【図１０】攻撃対象と攻撃深刻度との関係を表す図表である。
【図１１】侵入ルートの侵入深度を説明する図である。
【符号の説明】
【００６２】
１０ａ…ＣＰＵ、１０ｃ…メインメモリ、１０ｇ…磁気ディスク装置、１００…セキュリティ診断システム、１１０…診断情報取得部、１２０…調査部、１３０…評価部、１３１…脆弱性判断部、１３２…侵入ルート探索部、１３３…被害規模判断部、１４０…出力制御部
【技術分野】
【０００１】
本発明は、情報処理システムのセキュリティ診断を行うための技術に関する。
【背景技術】
【０００２】
データベース、その他のコンピュータを用いた情報処理システムにおいては、情報資産を脅威から守るためのセキュリティ対策を取ることが不可欠である。セキュリティ対策としては、対象となる情報処理システム（以下、対象システム）の脆弱性を取り除くことが一般的に行われる。
【０００３】
この種の従来技術として、特許文献１には、検査対象装置から収集された脆弱性情報をもとにリスク分析、セキュリティ対策やセキュリティポリシーの策定、セキュリティ監視の実践といった統合的なセキュリティ管理を実施できるセキュリティ管理システムが開示されている。同文献に記載されたシステムは、このようなセキュリティ管理を実現するため、検査対象装置に対してセキュリティ脆弱性の診断を行い、セキュリティ対策の提示や設定を可能にすると共に、検査対象装置から収集された脆弱性データをもとにリスク分析を行なうリスク分析装置、セキュリティ対策ならびに情報セキュリティポリシーを策定するセキュリティ対策策定装置を設けている。
【０００４】
また、この種の他の従来技術として、特許文献２には、インターネット上の公開サーバについて、そのセキュリティレベルを診断し、定量的な評価が可能な診断方法および診断システムが開示されている。同文献に記載されたシステムは、このような診断を実現するため、セキュリティホール情報収集手段を用いてセキュリティホール情報を収集し、セキュリティホール確認手段を用いて、確認方法を決定・格納し、セキュリティ情報知識ベースを構築した後、セキュリティレベル点数化手段とセキュリティ情報知識ベースを用いてセキュリティレベル情報データベースを構築する構成を備える。
【０００５】
【特許文献１】特開２００５−２４２７５４号公報
【特許文献２】特開２００４−１２６８７４号公報
【発明の開示】
【発明が解決しようとする課題】
【０００６】
上記のように、情報処理システムにおいては適切なセキュリティ対策を取ることが重要である。そして、セキュリティ対策の実施を支援するため、上記のように、対象システムが持つ脆弱性を診断するための種々の従来技術が提案されている。しかし、対象システムにおいて適切なセキュリティ対策を取るためには、単に対象システムがどのような脆弱性を持つかを判断するだけでは十分ではない。対象システムが持つ脆弱性がどのように組み合わされ、どのようなルートで対象システムに侵入し情報資産にアクセスできるか、さらに情報資産にアクセスしてどのような操作が可能か、というような侵入ルートや被害内容まで想定して診断を行うことが好ましい。
【０００７】
例えば、情報資産に到達するまでの侵入ルート上に脆弱性を持ち得るポイントが複数ある場合を考える。この場合、それらの複数のポイントのうちで１つでも十分な対策が取られていれば、他のポイントで脆弱性を残していたとしても、対象システム全体としては、その侵入ルートを利用した攻撃に対して脆弱とは必ずしも言えない。
【０００８】
また、特定の侵入ルートから情報資産に到達したとき、その情報資産を閲覧することはできるが編集したり削除したりすることはできない、というような場合を考える。この場合、対象システムは、その侵入ルートを利用した攻撃に対して脆弱ではあるが、想定される被害規模は小さい。情報資産の内容によっては、閲覧されるだけでは被害となり得ない場合もある。
【０００９】
上述した特許文献１、２に開示された技術を含む従来の技術は、対象システムが持つ脆弱性（セキュリティホール）を個別に検出し、検出された個々の脆弱性に基づくリスクを分析するものである。これらの従来技術では、個々の脆弱性に基づいてリスクレベルを診断することは行われているが、対象システムに固有の侵入ルートや侵入ルートに関連する被害内容を想定した診断は行われていない。
【００１０】
本発明は、上記の課題に鑑みてなされたものであり、対象システムが持つ脆弱性に基づき対象システムに固有の侵入ルートを検出し、検出した侵入ルートに基づくセキュリティ診断を実現することを目的とする。
【課題を解決するための手段】
【００１１】
かかる目的を達成するために、本発明は、次のようなセキュリティ診断システムとして実現される。このシステムは、セキュリティ診断の対象である対象システムの脆弱性を持ち得るポイントに対して、このポイントが脆弱性を持つか否かを判断する脆弱性判断部と、この脆弱性判断部により脆弱性があると判断されたポイントを組み合わせて対象システムに対する侵入ルートを探索する侵入ルート探索部とを備えることを特徴とする。
【００１２】
より詳しくは、侵入ルート探索部は、脆弱性があると判断されたポイントの１つに着目し、着目したポイントに連なる全ての脆弱性があると判断されたポイントを検出する操作を繰り返して、脆弱性があると判断されたポイントをたどることにより、侵入ルートを探索する。
また、侵入ルート探索部は、対象システムの情報資産に到達するポイントの組み合わせおよび情報資産に到達しないポイントの組み合わせを侵入ルートとして認識する。
【００１３】
さらにこのシステムは、侵入ルート探索部により検出された侵入ルートを表す画像を、対象システムの構成要素および構成要素間の接続関係を記載したシステム構成図上に表示する出力制御部を備える構成としても良い。
侵入ルート探索部により検出された侵入ルートで侵入した場合に対象システムに対して可能な操作の種類に応じて、この侵入ルートで対象システムへの侵入が行われた場合の被害規模を判断する被害規模判断部をさらに備える構成としても良い。
【００１４】
また、本発明による他のセキュリティ診断システムは、セキュリティ診断の対象である対象システムにおける脆弱性を持つポイントの情報に基づき、このポイントを組み合わせて対象システムに対する侵入ルートを探索する侵入ルート探索手段と、対象システムの構成要素および構成要素間の接続関係を記載したシステム構成図上に、侵入ルート探索手段により検出された侵入ルートを表す画像を表示する出力手段とを備えることを特徴とする。
【００１５】
さらにこのシステムは、侵入ルート探索部により検出された侵入ルートの一覧を表示する一覧表示手段と、この一覧表示手段により表示された侵入ルートの一覧から任意の侵入ルートを選択する操作を受け付ける受け付け手段とを備える構成とすることができる。この場合、出力手段は、受け付け手段により受け付けられた操作にて選択された侵入ルートをシステム構成図上に表示する。
【００１６】
また、上記の目的を達成する他の本発明は、コンピュータが対象システムのセキュリティ診断を行う方法としても実現される。この方法は、対象システムの情報を取得し、この情報に基づいて、対象システムの脆弱性を持ち得るポイントに対して、このポイントが脆弱性を持つか否かを判断するステップと、脆弱性があると判断されたポイントを組み合わせて対象システムに対する侵入ルートを探索するステップとを含むことを特徴とする。
【００１７】
より詳細には、侵入ルートを探索するステップでは、脆弱性があると判断されたポイントの１つに着目し、着目したポイントに連なる全ての脆弱性があると判断されたポイントを検出する操作を繰り返して、脆弱性があると判断されたポイントをたどることにより、侵入ルートを探索する。
【００１８】
また本発明は、コンピュータに上記のセキュリティ診断システムの機能を実現させ、または上記セキュリティ診断の方法の各ステップに対応する処理をコンピュータに実行させるプログラムとしても実現される。このプログラムは、磁気ディスクや光ディスク、半導体メモリ、その他の記録媒体に格納して配布したり、ネットワークを介して配信したりすることにより提供することができる。
【発明の効果】
【００１９】
以上のように構成された本発明によれば、対象システムが持つ脆弱性に基づき対象システムに固有の侵入ルートを検出し、検出した侵入ルートに基づくセキュリティ診断を行うことができる。
【発明を実施するための最良の形態】
【００２０】
以下、添付図面を参照して、本発明を実施するための最良の形態（以下、実施形態）について詳細に説明する。
図１は、本実施形態によるセキュリティ診断システムの全体構成を示す図である。
図１に示すように、本実施形態のセキュリティ診断システム１００は、診断情報の入力を受け付けるための診断情報取得部１１０と、対象システム２００の脆弱性を調査するための調査部１２０とを備える。また、対象システム２００のリスク状況を評価する評価部１３０と、評価結果を出力するための出力制御部１４０とを備える。図示の例では、これら各機能を備えた単一の装置として記載されているが、本実施形態を実現するための装置構成は図示の構成に限定されない。例えば、各機能を個別に有する複数の装置で構成したり、診断情報取得部１１０および調査部１２０を備えた情報入力手段としての装置と評価部１３０および出力制御部１４０を備えた診断手段としての装置とで構成したりすることができる。
【００２１】
図２は、本実施形態のセキュリティ診断システム１００を実現するコンピュータのハードウェア構成例を示す図である。
図２に示すコンピュータ１０は、演算手段であるＣＰＵ１０ａと、主記憶装置であるメインメモリ１０ｃと、ディスプレイ装置へ表示出力を行うための表示機構１０ｄとを備える。また、ネットワークを介して外部機器に接続するためのネットワークインターフェイス１０ｆと、補助記憶装置である磁気ディスク装置１０ｇおよびフレキシブルディスクドライブ１０ｊと、音声出力を行うための音声機構１０ｈと、入力デバイスであるキーボード／マウス１０ｉとを備えて構成される。また、図２に示すように、メインメモリ１０ｃおよび表示機構１０ｄは、Ｍ／Ｂ（マザーボード）チップセット１０ｂを介してＣＰＵ１０ａに接続されている。ネットワークインターフェイス１０ｆ、磁気ディスク装置１０ｇ、音声機構１０ｈ、キーボード／マウス１０ｉおよびフレキシブルディスクドライブ１０ｊは、ブリッジ回路１０ｅを介してＭ／Ｂチップセット１０ｂと接続されている。
【００２２】
図２において、各構成要素は、バスを介して接続される。例えば、ＣＰＵ１０ａとＭ／Ｂチップセット１０ｂの間や、Ｍ／Ｂチップセット１０ｂとメインメモリ１０ｃの間は、ＣＰＵバスを介して接続される。また、Ｍ／Ｂチップセット１０ｂと表示機構１０ｄとの間は、ＡＧＰ（Accelerated Graphics Port）を介して接続されてもよいが、表示機構１０ｄがＰＣＩ Ｅｘｐｒｅｓｓ対応のビデオカードを含む場合、Ｍ／Ｂチップセット１０ｂとこのビデオカードの間は、ＰＣＩ Ｅｘｐｒｅｓｓ（ＰＣＩｅ）バスを介して接続される。また、ブリッジ回路１０ｅと接続する場合、ネットワークインターフェイス１０ｆについては、例えば、ＰＣＩ Ｅｘｐｒｅｓｓを用いることができる。また、磁気ディスク装置１０ｇについては、例えば、シリアルＡＴＡ（AT Attachment）、パラレル転送のＡＴＡ、ＰＣＩ（Peripheral Components Interconnect)等を用いることができる。さらに、キーボード／マウス１０ｉおよびフレキシブルディスクドライブ１０ｊについては、ＵＳＢ（Universal Serial Bus）等を用いることができる。
【００２３】
なお、図２は、セキュリティ診断システム１００を実現するのに好適なコンピュータのハードウェア構成を例示するに過ぎず、図示の構成に限定されないことは言うまでもない。例えば、補助記憶装置としては磁気ディスク装置１０ｇのみを設け、フレキシブルディスクドライブ１０ｊを持たない構成としたり、各種の光学ディスクをメディアとするドライブを設けたりしても良い。また、音声機構１０ｈを独立した構成とせず、Ｍ／Ｂチップセット１０ｂの機能として備えるようにしても良い。
【００２４】
図１に示した診断情報取得部１１０は、例えばセキュリティ診断システム１００が図２に示したコンピュータで実現される場合、プログラム制御されたＣＰＵ１０ａにより実現される。この診断情報取得部１１０は、対象システム２００の仕様や設定、使用条件等に関する設問を提示し回答を受け付ける。そして、受け付けた回答を評価部１３０が使用できるように分類、整理し、セキュリティ診断に用いられる情報として、例えば図２のメインメモリ１０ｃや磁気ディスク装置１０ｇ等の記憶手段に格納する。設問を提示し回答を受け付けるための具体的な手段は特に限定されず、種々の手法を取ることができる。
【００２５】
図３は、診断情報取得部１１０により提示される設問および回答の例を示す図である（なお、図３において、Ｏｒａｃｌｅは米国Ｏｒａｃｌｅ Ｃｏｒｐｏｒａｔｉｏｎの登録商標、ＳＱＬＳｅｒｖｅｒおよびＷｉｎｄｏｗｓは米国Ｍｉｃｒｏｓｏｆｔ Ｃｏｒｐｏｒａｔｉｏｎの登録商標、ＤＢ２は米国ＩＢＭ Ｃｏｒｐｏｒａｔｉｏｎの登録商標、ＬｉｎｕｘはＬｉｎｕｓ Ｔｏｒｖａｌｄｓ氏の登録商標である）。
図３に示した設問の他、
・通信用ポートの変更
・Ｏｒａｃｌｅインストールオーナーのアカウント名
・データベース管理者アカウントの認証方式
・ＳＹＳＤＢＡ／ＳＹＳＯＰＥＲ権限でログインする際の認証方式
・データベースサーバ設置場所の施錠状況
・対象データベースサーバ設置場所の入退出管理状況
・清掃業者／保守業者等、外部の人間の作業時の立会い
・バックアップデータの保管場所施錠状況
・バックアップデータの取扱者／日時等の管理簿への記録状況
・外部へのバックアップデータ搬送の際の安全性の確保状況
・バックアップデータのメディアの廃棄状況
・データベースサーバのＯＳパッチ適用状況（ウイルス／ワーム対策）
・データベース脆弱性情報の入手方法（ウイルス／ワーム対策）
・クライアントＰＣのアンチウイルス導入／定義ファイル更新状況
・データベース周辺のＷＥＢ−アプリケーションサーバ等のアンチウイルス導入／定義ファイル更新状況
・データベースサーバ自体のアンチウイルス導入／定義ファイル更新状況
・ウイルスゲートウェイの導入状況
・ファイヤウォールによるアクセス制御状況
・他システム／データベースとの連携・接続状況
・開発者からのアクセス経路
といった種々の項目について設問を作成し、これに対する回答により対象システム２００に対する情報を取得することができる。
【００２６】
具体的な実施例としては、例えば、ディスプレイ装置に設問を記載した画面（設問画面）を表示させ、キーボード等の入力デバイスを用いて対象システム２００の使用者に回答を入力してもらう（あるいは対象システム２００の使用者に回答してもらい、オペレータが入力する）ことが考えられる。この場合、全ての設問を提示するのではなく、特定の設問に対する回答に応じて次に提示する設問を選択するなどの手法を取ることにより、効率よく診断情報を取得することができる。設問画面に提示される設問は、例えば図２の磁気ディスク装置１０ｇに格納しておき、ＣＰＵ１０ａが読み出して表示機構１０ｄを介してディスプレイ装置に表示させる。
【００２７】
他の実施例としては、設問をディスプレイ表示するのではなく、プリントアウトして使用者に渡し、回答してもらっても良い。また、回答をマークシートのような形式で記入してもらうように設問を設定しておき、解答用紙をスキャナ等で読み込むことによって診断情報を取得するような実施態様を取ることも可能である。ただし、これらの場合、設問をディスプレイ表示する場合のように選択的に切り換えて設問を提示することは難しい。
【００２８】
調査部１２０は、例えばセキュリティ診断システム１００が図２に示したコンピュータで実現される場合、プログラム制御されたＣＰＵ１０ａにより実現される。この調査部１２０は、対象システム２００に接続し、各種の検査機能により対象システム２００の構成や設定を調べる。そして、取得した情報を評価部１３０が使用できるように分類、整理し、セキュリティ診断に用いられる情報として、例えば図２のメインメモリ１０ｃや磁気ディスク装置１０ｇ等の記憶手段に格納する。調査部１２０と対象システム２００との接続は、所定のケーブルを用いて直接行っても良いし、ＬＡＮ（Local Area Network）等のネットワークを介して行っても良い。調査部１２０の検査機能は、例えば既存の種々の検査ツール（ソフトウェア）を用いて実現することができる。
【００２９】
本実施形態では、診断情報取得部１１０と調査部１２０とを連関させて用いることが好ましい。すなわち、診断情報取得部１１０によって得られる対象システム２００の使用条件等によっては、調査部１２０による調査項目のうち特定の項目について調査する必要がなくなることが考えられる。反対に、調査部１２０によって得られた対象システム２００の構成等によっては、特定の設問への回答が不要となることも考えられる。そこで、調査部１２０において診断情報取得部１１０により取得された情報を記憶手段から読み込み、この情報に基づいて調査項目を選択したり、反対に診断情報取得部１１０において調査部１２０により取得された情報を記憶手段から読み込み、この情報に基づいて提示する設問を選択したりするような実装が考えられる。さらにまた、同一の項目に関して、敢えて診断情報取得部１１０により取得される情報と調査部１２０により取得される情報とを両方取得し、比較することで、使用者の意識と実際の対象システム２００の状態との差異を明確にすることも可能である。
【００３０】
評価部１３０は、例えばセキュリティ診断システム１００が図２に示したコンピュータで実現される場合、プログラム制御されたＣＰＵ１０ａにより実現される。この評価部１３０は、診断情報取得部１１０および調査部１２０により取得された情報に基づいて対象システム２００のセキュリティ診断を行う。
【００３１】
図４は、評価部１３０の機能構成を示す図である。
図４に示すように、評価部１３０は、対象システム２００の脆弱性を判断する脆弱性判断部１３１と、対象システム２００の情報資産への侵入ルートを探索する侵入ルート探索部１３２と、情報資産にアクセスされた場合の被害規模を判断する被害規模判断部１３３とを備える。
【００３２】
脆弱性判断部１３１は、診断情報取得部１１０および調査部１２０により取得された情報に基づき、対象システム２００における脆弱性を持ち得るポイント（以下、チェックポイントと称す）を検出し、脆弱性が存在するか否かを判断する。各チェックポイントにおける脆弱性の有無の判断は、既存のセキュリティ診断ツール等で用いられている手法を用いて行うことができる。具体的には例えば、チェックポイントごとに脆弱性があると判断すべき状態を示す情報をデータベース化しておき、対象システム２００の各チェックポイントがそのような状態に該当するか否かを照合することによって判断することができる。
【００３３】
侵入ルート探索部１３２は、脆弱性判断部１３１により脆弱性があると判断されたチェックポイントを組み合わせて、情報資産にアクセスするためのルートを探索する。ここでは、情報資産まで到達するルートだけでなく、外部または内部の対象システム２００の使用者が侵入可能な範囲（深さ）までのルートを全て検出する。これにより、攻撃者が情報資産に対してどれだけ近づけるか、どの脆弱性に対して優先的に対策を施すべきか、というような対象システム２００全体のセキュリティに関する具体的な状態の診断に寄与することができる。
【００３４】
被害規模判断部１３３は、侵入ルート探索部１３２により検出された各侵入ルートに応じて、情報資産または対象システム２００に対してどのような操作が可能かを判断し、そのような操作が行われた場合の被害規模を特定する。具体的には例えば、侵入ルートのパターンを想定し、侵入ルートのパターンと可能な操作との対応関係（どのパターンの侵入ルートで攻撃された場合にはどのような操作が可能か）を示す情報をデータベース化しておき、検出された侵入ルートがどのパターンに該当するかを照合することによって、被害規模を特定することができる。情報資産または対象システム２００に対する操作としては、例えば、情報資産の不正参照、情報資産の削除、情報資産の改ざん、チェックポイントにおけるアカウントの奪取などが挙げられる。
【００３５】
出力制御部１４０は、例えばセキュリティ診断システム１００が図２に示したコンピュータで実現される場合、プログラム制御されたＣＰＵ１０ａおよび表示機構１０ｄにより実現される。この出力制御部１４０は、侵入ルート探索部１３２により検出された侵入ルートおよび被害規模判断部１３３により特定された被害規模の情報を含む出力画像を生成し、ディスプレイ装置に表示させる。
【００３６】
図５は、出力制御部１４０により生成される出力画像の構成例を示す図である。
図５に示す出力画像は、「対象システム名称」、「診断結果」および「侵入ルートマップ」の３つの欄を備えて構成される。「対象システム名称」には、セキュリティ診断を行った対象システム２００の名称が表示される。「診断結果」には、評価部１３０の被害規模判断部１３３により特定された被害規模の情報の中で最大のものと、同じく評価部１３０の脆弱性判断部１３１により検出された脆弱性の個数が提示される。また、オプションで侵入ルートの一覧と検出された脆弱性の一覧とを表示することができる。「侵入ルートマップ」には、各チェックポイントを記した対象システム２００のシステム構成図（対象システム２００の構成要素および構成要素間の接続関係を示す図）が表示される。そして、このシステム構成図上で侵入ルートが矢印により図示される。なお、図５に示す出力画像は例示に過ぎず、評価部１３０によるセキュリティ診断の結果を提示できるものであれば、他の構成をとることもできる。
【００３７】
図６は、図５に示した出力画像の「診断結果」において侵入ルートの一覧を表示した状態を示す図である。
図６に示す例では、侵入ルートの一覧には、評価部１３０の侵入ルート探索部１３２により検出された侵入ルートごとに、侵入ルートの識別番号と、被害レベルと、被害の概要とが提示されている。ここで、被害レベルとは、評価部１３０の被害規模判断部１３３により判断された、当該侵入ルートで侵入された場合に想定される被害の規模を数段階のレベルで示すものである。図６に例示される侵入ルートに対しては、「Ｖｅｒｙ Ｈｉｇｈ」、「Ｈｉｇｈ」、「Ｌｏｗ」の３種類のレベルが設定されている。また、被害の概要とは、同様に各侵入ルートによる侵入に対して想定される被害の内容を簡略に記載したものである。
【００３８】
また、図６に示す出力画像は、侵入ルートマップに表示する侵入ルートを指定するためのユーザインターフェイスとなっている。すなわち、オペレータがマウス等の入力デバイスを操作して、侵入ルートの一覧における特定の侵入ルートを指定すると、出力制御部１４０が、この入力を受け付け、指定された侵入ルートを侵入ルートマップ上に表示する。図６に示す例では、一覧表示された侵入ルートのうち、識別番号Ｎｏ．１の侵入ルートが指定され（図中、該当する行をグレーで表示）、これが「侵入ルートマップ」に太線の矢印で図示されている。
【００３９】
図７は、図５に示した出力画像の「診断結果」において脆弱性の一覧を表示した状態を示す図である。
図７に示す例では、脆弱性の一覧には、評価部１３０の脆弱性判断部１３１により脆弱性があると判断されたチェックポイントごとに、チェックポイントの識別番号と、脆弱性の概要とが提示されている。ここで、脆弱性の概要とは、各脆弱性の内容を簡略に記載したものである。
【００４０】
また、図７に示す出力画像は、侵入ルートマップに表示する侵入ルートを指定するためのユーザインターフェイスとなっている。すなわち、オペレータがマウス等の入力デバイスを操作して、脆弱性の一覧における特定のチェックポイントを指定すると、出力制御部１４０が、この入力を受け付け、指定されたチェックポイントへ到達する侵入ルートを侵入ルートマップ上に表示する。図７に示す例では、一覧表示されたチェックポイントのうち、識別番号Ｎｏ．４のチェックポイントが指定され（図中、該当する行をグレーで表示）、このチェックポイントが有する脆弱性を攻撃できる侵入ルートが「侵入ルートマップ」に太線の矢印で図示されている。
【００４１】
次に、本実施形態によるセキュリティ診断の具体例を説明する。
図８は、本具体例における対象システム２００のシステム構成例を示す図である。
図８に示す対象システム２００は、情報資産を有するデータベースサーバ２１０と、データベースサーバ２１０にアクセス可能な管理用端末２２０およびアプリケーションサーバ２３０と、アプリケーションサーバ２３０にアクセス可能なウェブサーバ２４０、２５０とを備えて構成される。なお、図８に示すシステム構成は、本実施形態のセキュリティ診断を説明するための具体例に過ぎず、対象システム２００を図８に示すシステム構成に限定するものではない。
【００４２】
データベースサーバ２１０では、オペレーティングシステム（以下、ＯＳ）が動作し、このＯＳ上でデータベース（アプリケーション）が動作している。データベースサーバ２１０は、情報資産として、ＯＳに管理されるファイル２１１と、データベースに管理されるテーブル２１２とを有している。また、ＯＳにおけるチェックポイントとしてＯＳアカウント２１３があり、データベースにおけるチェックポイントとしてＤＢアカウント２１４がある。
【００４３】
管理用端末２２０には、チェックポイントとしてＯＳアカウント２２１がある。また、アプリケーションサーバ２３０には、チェックポイントとしてアプリケーション（Ａｐｐ）アカウント２３１がある。
ウェブサーバ２４０は、内部ネットワークからアプリケーションサーバ２３０へアクセスするための内部サーバであり、ウェブサーバ２５０は、外部ネットワーク（インターネット等）からアプリケーションサーバ２３０へアクセスするための公開サーバである。
【００４４】
この具体例において、対象システム２００には以下に示す１３個のチェックポイントがあり、各チェックポイントは、それぞれ下記の状態の時に脆弱性を持つものとする。各チェックポイントの場所は、図８においてスイッチのマークで示されており、各スイッチの番号が以下のチェックポイントの番号に一致する。なお、これらのチェックポイントおよび脆弱性は例示に過ぎず、図８に示す構成の対象システム２００に想定されるチェックポイントおよび脆弱性を図８および下記に示すものに限定するものではない。
【００４５】
（１）外部ネットワークと内部ネットワークの境界
脆弱性を持つ状態：
・ファイヤウォール（Ｆ／Ｗ）が存在しない。
・Ｆ／Ｗにおいて、接続ポートが制限されていない。
・ルータによるアクセス制御がなされていない。
（２）内部の使用者がアプリケーションサーバ２３０に対して利用するアプリケーションアカウント２３１
脆弱性を持つ状態：
・認証用パスワードが設定されていない。
・推定が容易なパスワードである。
・パスワード有効期限が設定されていない。
（３）外部の（外部ネットワーク経由の）使用者がアプリケーションサーバ２３０に対して利用するアプリケーションアカウント２３１
脆弱性を持つ状態：
・認証用パスワードが設定されていない。
・推定が容易なパスワードである。
・パスワード有効期限が設定されていない。
（４）管理用端末２２０のＯＳアカウント２２１
脆弱性を持つ状態：
・認証用パスワードが設定されていない。
・推定が容易なパスワードである。
・パスワード有効期限が設定されていない。
（５）アプリケーションサーバ２３０がデータベースサーバ２１０に対して利用するＤＢアカウント２１４
脆弱性を持つ状態：
・認証用パスワードが設定されていない。
・推定が容易なパスワードである。
・パスワード有効期限が設定されていない。
（６）データベースサーバ２１０のＤＢアカウント２１４の権限
脆弱性を持つ状態：
・過剰な権限が付与されている。
・権限昇格が可能な脆弱性が存在する。
・本来、低い権限では実行できない操作が、できてしまう不具合がある。
（７）管理用端末２２０がデータベースサーバ２１０に対して利用するＤＢアカウント２１４
脆弱性を持つ状態：
・認証用パスワードが設定されていない。
・推定が容易なパスワードである。
・パスワード有効期限が設定されていない。
（８）データベースサーバ２１０のＯＳが利用するＤＢアカウント２１４
脆弱性を持つ状態：
・データベースサーバ２１０のＯＳアカウント２１３に関して、ＯＳ認証が有効。
・ＤＢアカウント２１４が推定容易なパスワードである。
・ＤＢアカウント２１４のパスワード有効期限が設定されていない。
・推定が容易なＤＢアカウント２１４のパスワードである。
（９）データベースサーバ２１０のデータベースが利用するＯＳアカウント２１３
脆弱性を持つ状態：
・ＤＢアカウント２１４権限過剰（外部コマンド実行可能）。
・外部コマンドを実行できる脆弱性が存在する。
・アクセス可能ディレクトリの設定ミスがある。
（１０）管理用端末２２０がデータベースサーバ２１０に対して利用するＯＳアカウント２１３
脆弱性を持つ状態：
・認証用パスワードが設定されていない。
・推定が容易なパスワードである。
・パスワード有効期限が設定されていない。
（１１）データベースサーバ２１０の直接操作
脆弱性を持つ状態：
・データベースサーバ２１０の設置ルームへの入室・退出がチェックされていない。
・データベースサーバ２１０に直接接触可能である。
・データベースサーバ２１０のＯＳアカウント２１３の認証用パスワードが設定されていない。
・データベースサーバ２１０のＯＳアカウント２１３が推定容易なパスワードである。
・データベースサーバ２１０のＯＳアカウント２１３のパスワード有効期限が設定されていない。
（１２）データベースサーバ２１０への物理的接触
脆弱性を持つ状態：
・データベースサーバ２１０の設置ルームへの入室・退出がチェックされていない。
・データベースサーバ２１０に直接接触可能である。
・データベースサーバ２１０に外部媒体機器が接続されている。
（１３）データベースサーバ２１０のＯＳアカウント２１３の権限
脆弱性を持つ状態：
・データベースサーバ２１０のＯＳアカウント２１３に関して権限が過剰である。
【００４６】
脆弱性判断部１３１は、診断情報取得部１１０および調査部１２０により取得された情報に基づき、図８に示す各チェックポイントが上記に示す状態にあるか否かを調べ、各チェックポイントが脆弱性を有するか否かを判断する。
【００４７】
次に、図８に示した対象システム２００における侵入ルートの探索方法について説明する。
図９は、本実施形態の侵入ルート探索部１３２による侵入ルートの探索方法を説明するフローチャートである。
図９を参照すると、侵入ルート探索部１３２は、脆弱性判断部１３１により脆弱性があると判断されたチェックポイント（以下、脆弱性があるチェックポイントと呼ぶ）の１つに着目する（ステップ９０１）。ここで、最初に着目されるチェックポイントは、対象システム２００の使用者による操作に対して直接的に関わるチェックポイントであり、言い換えれば侵入ルートの起点となるチェックポイントである。具体的には、図８の対象システム２００の場合、（１）、（２）、（４）、（１１）、（１２）等のチェックポイントである。
【００４８】
次に、侵入ルート探索部１３２は、着目したチェックポイントに連なり脆弱性があるチェックポイントを全て検出する（ステップ９０２）。ここで、着目したチェックポイントに連なるチェックポイントとは、対象システム２００に侵入する場合に、着目したチェックポイントを突破した直後に突破しなければならないチェックポイントである。図８の例では、着目したチェックポイントが（４）のチェックポイントである場合、（７）、（１０）のチェックポイントが該当する。
【００４９】
このとき、着目したチェックポイントに連なるチェックポイントが存在しない場合、この侵入ルートは情報資産に到達したことを意味する。また、着目したチェックポイントに連なるチェックポイントは存在するが、その中に脆弱性があるチェックポイントが存在しない場合（すなわち、着目したチェックポイントに連なるチェックポイントの全てにおいて脆弱性がない場合）、その侵入ルートで到達できるのは着目したチェックポイントまでであることを意味する。これらの場合（ステップ９０３でＮｏ）、脆弱性があるチェックポイントであって、未だ着目していないチェックポイントが存在すれば（ステップ９０５でＹｅｓ）、ステップ９０１に戻って処理を繰り返す。一方、全てのチェックポイントに着目して処理が済んだ場合は（ステップ９０５でＮｏ）、侵入ルートの探索を終了する。
【００５０】
ステップ９０２で脆弱性があるチェックポイントが検出された場合（ステップ９０３でＹｅｓ）、次に侵入ルート探索部１３２は、検出されたチェックポイントの１つに着目する。そして、着目したチェックポイントに連なり脆弱性があるチェックポイントを全て検出する処理を再帰的に繰り返す（ステップ９０４）。そして、全てのチェックポイントに着目して処理が済んだ場合は、侵入ルートの探索を終了する（ステップ９０５）。
【００５１】
以上のようにして、脆弱性があるチェックポイントの各々に着目し、着目したチェックポイントに連なり脆弱性があるチェックポイントを順次たどっていくことにより、対象システム２００に対する全ての侵入ルートが検出される。この動作によれば、ステップ９０３の判断において説明したように、情報資産にアクセスできず、途中のチェックポイントまでしか到達しない侵入ルートも検出される。
【００５２】
次に、被害規模の特定方法について説明する。
被害規模は、上記のようにして検出された各侵入ルートに関して個別に判断される。所定の侵入ルートで対象システム２００に侵入した場合に、どのような操作が可能かは、その侵入ルートが対象システム２００の情報資産またはどのチェックポイントまで到達しているか、その侵入ルートを構成するチェックポイントの場所、チェックポイントにおける脆弱性の種類等によって特定される。これらの情報は、脆弱性判断部１３１および侵入ルート探索部１３２から取得される。被害規模判断部１３３は、侵入ルート探索部１３２により検出された侵入ルートのそれぞれに関して、上記の侵入ルート、チェックポイント、脆弱性等の各情報に基づき、対象システム２００に対してどのような操作が可能かを判断する。そして、可能な操作の種類と攻撃対象の重要度に応じて、攻撃深刻度を特定する。
【００５３】
図１０は、攻撃対象と攻撃深刻度との関係を表す図表である。
ここで、攻撃深刻度は、攻撃対象が攻撃を受けた場合に、対象システム２００またはその情報資産が受ける影響の度合いを示す。すなわち、攻撃深刻度の高い侵入ルートほど、その侵入ルートで侵入され攻撃された場合の被害規模が大きくなる。図１０に示す例では、攻撃対象として業務情報、データベースオブジェクト、ファイルを挙げ、攻撃対象への操作の内容に応じて、「Ｖｅｒｙ Ｈｉｇｈ」、「Ｈｉｇｈ」、「Ｍｅｄｉｕｍ」、「Ｌｏｗ」の４段階で攻撃深刻度を示している。例えば、情報資産である重要情報が変更される攻撃は、攻撃深刻度が「Ｖｅｒｙ Ｈｉｇｈ」である。また、非重要ファイルが参照される攻撃は、攻撃深刻度が「Ｌｏｗ」である。なお、図１０の例では、攻撃による影響の度合いは「Ｖｅｒｙ Ｈｉｇｈ」が最も高く、「Ｌｏｗ」が最も低い。
【００５４】
ところで、本実施形態では、上述したように情報資産に到達しない侵入ルートも検出するのであるが、情報資産に到達しない侵入ルートで侵入しても情報資産を攻撃することができず、被害は発生しない。しかしながら、その侵入ルートが情報資産に対してどれだけ近くまで到達しているかによって、その侵入ルートの危険度が変わる。例えば、図８に示す対象システム２００の場合、外部の（インターネット経由でデータベースサーバ２１０にアクセスする）使用者が、データベースサーバ２１０のファイル２１１にアクセスするには、（１）−（３）−（５）−（９）−（１３）という５つのチェックポイントを突破しなければならない。このとき、（１）および（２）のチェックポイントにのみ脆弱性がある場合（すなわち、Ａｐｐアカウント２３１まで到達する侵入ルート）と、（１）、（３）、（５）および（９）のチェックポイントに脆弱性がある場合（すなわち、データベースサーバ２１０のＯＳアカウント２１３まで到達する侵入ルート）とを比較すると、後者の方が情報資産であるファイル２１１の近くまで達している。これは、後者の方が、ファイル２１１に到達するために突破しなければならないチェックポイントが少ない（（１３）のみ）ことを意味しており、より危険な状態である。
【００５５】
このような、侵入ルートの到達地点によって異なる危険度を評価するため、侵入深度という概念を導入することができる。
図１１は、侵入ルートの侵入深度を説明する図である。
図１１には、図８の対象システム２００に関して、データベースサーバ２１０の使用者（人間）から攻撃対象である情報資産に到達するまでの侵入ルートが、侵入深度を表す３層の階層構造で模式的に示されている。最も浅い到達点である第１目標は、データベースサーバ２１０の外部の構成であり、図８の対象システム２００ではアプリケーションサーバ２３０のアプリケーションアカウント２３１および管理用端末２２０のＯＳアカウント２２１が該当する。次の到達点である第２目標は、データベースサーバ２１０の内部の構成であり、図８の対象システム２００ではデータベースサーバ２１０のＤＢアカウント２１４およびＯＳアカウント２１３が該当する。したがって、データベースサーバ２１０のＯＳアカウント２１３まで到達する侵入ルートは、第２目標までの侵入深度を持つことになる。
【００５６】
ここで、侵入ルートに対して侵入深度に応じた評価を行うために、侵入深度に点数を付けることにする。具体的には、各チェックポイントに、侵入深度に応じた点数を付しておき、侵入ルートが通過する各チェックポイントの点数を加算する。また、情報資産に近い（すなわち深い）所にあるチェックポイントほど重要であると考えて、高い配点とする。図１１に示す例では、攻撃元から第１目標までの間のチェックポイントを１点、第１目標から第２目標までのチェックポイントを２点、第２目標から攻撃対象までのチェックポイントを４点としている。また、攻撃元から第２目標へ直接到達するルートのチェックポイントを３点、攻撃元から攻撃対象（情報資産）へ直接到達するルートのチェックポイントを７点としている。したがって、先に例示したデータベースサーバ２１０のＯＳアカウント２１３まで到達する侵入ルートには、３点という評価点が与えられる。なお、これらの侵入ルートの階層分けおよび配点は例示に過ぎず、具体的な対象システム２００のシステム構成に応じて任意に設定されることは言うまでもない。
【００５７】
以上のようにして侵入ルートに与えられた評価点は、情報資産の種類とは関係がなく、対象システム２００に侵入可能な深さ（どれだけ深く侵入できるか）のみによる評価である。したがって、この侵入深度に基づいて各侵入ルートを評価することにより、現時点では情報資産には到達できない侵入ルートに対しても、どの程度危険な侵入ルートかを判断する指標を与えることができる。
【００５８】
侵入深度に基づく侵入ルートの評価を行う場合は、評価部１３０にかかる評価を行う侵入深度評価部を設けて侵入ルートごとの侵入深度を評価する。そして、出力制御部１４０が、侵入深度評価部から評価結果を取得して、例えば出力画像において侵入ルートの一覧を表示する際に、各侵入ルートに対応付けて表示すれば良い。
【００５９】
この他、図１０を参照して説明した攻撃深刻度と侵入深度に基づく侵入ルートの評価とを合わせて、実際に情報資産への攻撃が行われる場合の被害規模と情報資産への攻撃の容易さとを含む包括的な評価を、対象システム２００全体における総合的な脆弱性の判断としても良い。この場合の判断方法としては、例えば、攻撃深刻度の各段階に点数を付し、この点数と侵入深度における点数とを乗算することで脆弱性の度合いを算出するといった方法が考えられる。
【００６０】
なお、本実施形態では、各チェックポイントにおいて脆弱性があるか否かのみを考慮し、脆弱性がある場合あるいは脆弱性の種類に応じて、そのチェックポイントを突破することの容易性（攻撃容易性）については考慮していない。しかしながら、突破することが容易なチェックポイントを含む侵入ルートが含まない侵入ルートよりも危険度が高いと考えることもできる。そこで、各侵入ルートに対して、個々の侵入ルートに含まれるチェックポイントの攻撃容易性に基づく評価をさらに行い、出力画像等にて提示するようにしても良い。
【図面の簡単な説明】
【００６１】
【図１】本実施形態によるセキュリティ診断システムの全体構成を示す図である。
【図２】本実施形態のセキュリティ診断システムを実現するコンピュータのハードウェア構成例を示す図である。
【図３】本実施形態で用いられる、診断情報取得部により提示される設問の例を示す図である。
【図４】本実施形態の評価部の機能構成を示す図である。
【図５】本実施形態の出力制御部により生成される出力画像の構成例を示す図である。
【図６】図５に示した出力画像の「診断結果」において侵入ルートの一覧を表示した状態を示す図である。
【図７】図５に示した出力画像の「診断結果」において脆弱性の一覧を表示した状態を示す図である。
【図８】本実施形態の診断対象である対象システムのシステム構成例を示す図である。
【図９】本実施形態の侵入ルート探索部による侵入ルートの探索方法を説明するフローチャートである。
【図１０】攻撃対象と攻撃深刻度との関係を表す図表である。
【図１１】侵入ルートの侵入深度を説明する図である。
【符号の説明】
【００６２】
１０ａ…ＣＰＵ、１０ｃ…メインメモリ、１０ｇ…磁気ディスク装置、１００…セキュリティ診断システム、１１０…診断情報取得部、１２０…調査部、１３０…評価部、１３１…脆弱性判断部、１３２…侵入ルート探索部、１３３…被害規模判断部、１４０…出力制御部
【特許請求の範囲】
【請求項１】
セキュリティ診断の対象である対象システムの脆弱性を持ち得るポイントに対して、当該ポイントが脆弱性を持つか否かを判断する脆弱性判断部と、
前記脆弱性判断部により脆弱性があると判断された前記ポイントを組み合わせて前記対象システムに対する侵入ルートを探索する侵入ルート探索部と
を備えることを特徴とするセキュリティ診断システム。
【請求項２】
前記侵入ルート探索部は、脆弱性があると判断された前記ポイントの１つに着目し、着目した当該ポイントに連なる全ての脆弱性があると判断された前記ポイントを検出する操作を繰り返して、当該脆弱性があると判断されたポイントをたどることにより、前記侵入ルートを探索することを特徴とする請求項１に記載のセキュリティ診断システム。
【請求項３】
前記侵入ルート探索部は、前記対象システムの情報資産に到達する前記ポイントの組み合わせおよび当該情報資産に到達しない前記ポイントの組み合わせを前記侵入ルートとして認識することを特徴とする請求項１に記載のセキュリティ診断システム。
【請求項４】
前記侵入ルート探索部により検出された前記侵入ルートを表す画像を、前記対象システムの構成要素および構成要素間の接続関係を記載したシステム構成図上に表示する出力制御部をさらに備えることを特徴とする請求項１に記載のセキュリティ診断システム。
【請求項５】
前記侵入ルート探索部により検出された前記侵入ルートで侵入した場合に前記対象システムに対して可能な操作の種類に応じて、当該侵入ルートで当該対象システムへの侵入が行われた場合の被害規模を判断する被害規模判断部をさらに備えることを特徴とする請求項１に記載のセキュリティ診断システム。
【請求項６】
セキュリティ診断の対象である対象システムにおける脆弱性を持つポイントの情報に基づき、当該ポイントを組み合わせて当該対象システムに対する侵入ルートを探索する侵入ルート探索手段と、
前記対象システムの構成要素および構成要素間の接続関係を記載したシステム構成図上に、前記侵入ルート探索手段により検出された前記侵入ルートを表す画像を表示する出力手段と
を備えることを特徴とするセキュリティ診断システム。
【請求項７】
前記侵入ルート探索部により検出された前記侵入ルートの一覧を表示する一覧表示手段と、
前記一覧表示手段により表示された前記侵入ルートの一覧から任意の侵入ルートを選択する操作を受け付ける受け付け手段とをさらに備え、
前記出力手段は、前記受け付け手段により受け付けられた操作にて選択された侵入ルートを前記システム構成図上に表示することを特徴とする請求項６に記載のセキュリティ診断システム。
【請求項８】
コンピュータが対象システムのセキュリティ診断を行う方法であって、
前記コンピュータが、前記対象システムの情報を取得し、当該情報に基づいて、当該対象システムの脆弱性を持ち得るポイントに対して、当該ポイントが脆弱性を持つか否かを判断するステップと、
前記コンピュータが、脆弱性があると判断された前記ポイントを組み合わせて前記対象システムに対する侵入ルートを探索するステップと
を含むことを特徴とするセキュリティ診断方法。
【請求項９】
前記侵入ルートを探索するステップでは、脆弱性があると判断された前記ポイントの１つに着目し、着目した当該ポイントに連なる全ての脆弱性があると判断された前記ポイントを検出する操作を繰り返して、当該脆弱性があると判断されたポイントをたどることにより、前記侵入ルートを探索することを特徴とする請求項８に記載のセキュリティ診断方法。
【請求項１０】
コンピュータに
セキュリティ診断の対象である対象システムの脆弱性を持ち得るポイントに対して、当該ポイントが脆弱性を持つか否かを判断する機能と、
脆弱性があると判断された前記ポイントを組み合わせて前記対象システムに対する侵入ルートを探索する機能と
を実現させることを特徴とするプログラム。
【請求項１１】
コンピュータに
セキュリティ診断の対象である対象システムにおける脆弱性を持つポイントの情報に基づき、当該ポイントを組み合わせて当該対象システムに対する侵入ルートを探索する機能と、
ディスプレイ装置に、前記対象システムの構成要素および構成要素間の接続関係を記載したシステム構成図を表示させ、前記侵入ルートを探索する機能により検出された侵入ルートを表す画像を当該システム構成図上に表示させる機能と
を実現させることを特徴とするプログラム。
【請求項１】
セキュリティ診断の対象である対象システムの脆弱性を持ち得るポイントに対して、当該ポイントが脆弱性を持つか否かを判断する脆弱性判断部と、
前記脆弱性判断部により脆弱性があると判断された前記ポイントを組み合わせて前記対象システムに対する侵入ルートを探索する侵入ルート探索部と
を備えることを特徴とするセキュリティ診断システム。
【請求項２】
前記侵入ルート探索部は、脆弱性があると判断された前記ポイントの１つに着目し、着目した当該ポイントに連なる全ての脆弱性があると判断された前記ポイントを検出する操作を繰り返して、当該脆弱性があると判断されたポイントをたどることにより、前記侵入ルートを探索することを特徴とする請求項１に記載のセキュリティ診断システム。
【請求項３】
前記侵入ルート探索部は、前記対象システムの情報資産に到達する前記ポイントの組み合わせおよび当該情報資産に到達しない前記ポイントの組み合わせを前記侵入ルートとして認識することを特徴とする請求項１に記載のセキュリティ診断システム。
【請求項４】
前記侵入ルート探索部により検出された前記侵入ルートを表す画像を、前記対象システムの構成要素および構成要素間の接続関係を記載したシステム構成図上に表示する出力制御部をさらに備えることを特徴とする請求項１に記載のセキュリティ診断システム。
【請求項５】
前記侵入ルート探索部により検出された前記侵入ルートで侵入した場合に前記対象システムに対して可能な操作の種類に応じて、当該侵入ルートで当該対象システムへの侵入が行われた場合の被害規模を判断する被害規模判断部をさらに備えることを特徴とする請求項１に記載のセキュリティ診断システム。
【請求項６】
セキュリティ診断の対象である対象システムにおける脆弱性を持つポイントの情報に基づき、当該ポイントを組み合わせて当該対象システムに対する侵入ルートを探索する侵入ルート探索手段と、
前記対象システムの構成要素および構成要素間の接続関係を記載したシステム構成図上に、前記侵入ルート探索手段により検出された前記侵入ルートを表す画像を表示する出力手段と
を備えることを特徴とするセキュリティ診断システム。
【請求項７】
前記侵入ルート探索部により検出された前記侵入ルートの一覧を表示する一覧表示手段と、
前記一覧表示手段により表示された前記侵入ルートの一覧から任意の侵入ルートを選択する操作を受け付ける受け付け手段とをさらに備え、
前記出力手段は、前記受け付け手段により受け付けられた操作にて選択された侵入ルートを前記システム構成図上に表示することを特徴とする請求項６に記載のセキュリティ診断システム。
【請求項８】
コンピュータが対象システムのセキュリティ診断を行う方法であって、
前記コンピュータが、前記対象システムの情報を取得し、当該情報に基づいて、当該対象システムの脆弱性を持ち得るポイントに対して、当該ポイントが脆弱性を持つか否かを判断するステップと、
前記コンピュータが、脆弱性があると判断された前記ポイントを組み合わせて前記対象システムに対する侵入ルートを探索するステップと
を含むことを特徴とするセキュリティ診断方法。
【請求項９】
前記侵入ルートを探索するステップでは、脆弱性があると判断された前記ポイントの１つに着目し、着目した当該ポイントに連なる全ての脆弱性があると判断された前記ポイントを検出する操作を繰り返して、当該脆弱性があると判断されたポイントをたどることにより、前記侵入ルートを探索することを特徴とする請求項８に記載のセキュリティ診断方法。
【請求項１０】
コンピュータに
セキュリティ診断の対象である対象システムの脆弱性を持ち得るポイントに対して、当該ポイントが脆弱性を持つか否かを判断する機能と、
脆弱性があると判断された前記ポイントを組み合わせて前記対象システムに対する侵入ルートを探索する機能と
を実現させることを特徴とするプログラム。
【請求項１１】
コンピュータに
セキュリティ診断の対象である対象システムにおける脆弱性を持つポイントの情報に基づき、当該ポイントを組み合わせて当該対象システムに対する侵入ルートを探索する機能と、
ディスプレイ装置に、前記対象システムの構成要素および構成要素間の接続関係を記載したシステム構成図を表示させ、前記侵入ルートを探索する機能により検出された侵入ルートを表す画像を当該システム構成図上に表示させる機能と
を実現させることを特徴とするプログラム。
【図１】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【図１０】
【図１１】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【図１０】
【図１１】
【公開番号】特開２００８−２５７５７７（Ｐ２００８−２５７５７７Ａ）
【公開日】平成２０年１０月２３日（２００８．１０．２３）
【国際特許分類】
【出願番号】特願２００７−１００６５１（Ｐ２００７−１００６５１）
【出願日】平成１９年４月６日（２００７．４．６）
【出願人】（５０００７２８８４）株式会社ラック (25)
【Ｆターム（参考）】
【公開日】平成２０年１０月２３日（２００８．１０．２３）
【国際特許分類】
【出願日】平成１９年４月６日（２００７．４．６）
【出願人】（５０００７２８８４）株式会社ラック (25)
【Ｆターム（参考）】
[ Back to top ]