脆弱性判定装置及びプログラム
【課題】 脆弱性情報が公開されたソフトウェアのうち、安全性への影響度が高いソフトウェアのみを判定でき、効率よく安全性を向上できる。
【解決手段】 脆弱性判定装置４０においては、脆弱性情報取得部４１が脆弱性情報公開サイト装置３０から脆弱性情報を取得して脆弱性情報記憶４２に書き込み、構成情報要求部４３が電子計算機２０１から構成情報を取得して構成情報記憶部４４に書き込むと、マッチング部４５が、構成情報記憶部４４内の構成情報に対し、脆弱性情報記憶部４２内の脆弱性情報との関連を有するか否かを判定し、マッチング部４５による判定の結果、当該脆弱性情報との関連を有する構成情報に対し、影響度判定部４６が、電子計算機２０１から取得したサービス設定情報との関連を有するか否かを判定し、この判定の結果、当該サービス設定情報との関連を有する構成情報を出力する。
【解決手段】 脆弱性判定装置４０においては、脆弱性情報取得部４１が脆弱性情報公開サイト装置３０から脆弱性情報を取得して脆弱性情報記憶４２に書き込み、構成情報要求部４３が電子計算機２０１から構成情報を取得して構成情報記憶部４４に書き込むと、マッチング部４５が、構成情報記憶部４４内の構成情報に対し、脆弱性情報記憶部４２内の脆弱性情報との関連を有するか否かを判定し、マッチング部４５による判定の結果、当該脆弱性情報との関連を有する構成情報に対し、影響度判定部４６が、電子計算機２０１から取得したサービス設定情報との関連を有するか否かを判定し、この判定の結果、当該サービス設定情報との関連を有する構成情報を出力する。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、脆弱性判定装置及びそのプログラムに係り、例えば、脆弱性情報が公開されたソフトウェアのうち、安全性への影響度が高いソフトウェアのみを判定でき、効率よく安全性を向上し得る脆弱性判定装置及びプログラムに関する。
【背景技術】
【０００２】
情報システムは、一般には、複数の電子計算機と、各電子計算機が使用する様々なＯＳ（Operating System）、ＡＰＩ（Application Program Interface）、アプリケーションなどの各ソフトウェアを組み合わせて構築されている。各ソフトウェアは、情報システム構築時には脆弱性が発見されなくても、時間の経過とともに様々な脆弱性が発見される可能性がある。
【０００３】
現在、このような各ソフトウェアに関する脆弱性情報を一般に公開するサイト（例えば、有限責任中間法人JPCERTコーディネーションセンター及び独立行政法人情報処理推進機構（IPA）によって運営されるJapan Vulnerability Notes−http://jvn.jp/−など）やソフトウェアメーカが運営して自社のソフトウェアの脆弱性情報を公開するサイトが存在している。
【０００４】
また、信用できるサイトから公開された脆弱性情報に基づいて、電子計算機が使用するソフトウェアの脆弱性の有無を検査し、企業内ネットワークへの接続可否の判断、ソフトウェアへのパッチの適用、電子計算機の設定変更などの対策を講じる脆弱性対策技術が知られている（例えば、特許文献１参照。）。
【特許文献１】特開２００４−２５８７７７号公報
【発明の開示】
【発明が解決しようとする課題】
【０００５】
以上のような脆弱性対策技術は、電子計算機にインストールされたソフトウェアのうち、脆弱性情報によって脆弱性が周知されるソフトウェアに対策を講じるものであるので、本発明者の検討によれば、安全性向上のための効率を良くする余地がある。
【０００６】
例えば、インストールしていても実際には使用しないソフトウェアであれば、脆弱性情報による安全性への影響度が低く、対策が不要な筈である。しかしながら、脆弱性情報への対策を講じていた点で、安全性向上のための効率が低い。
【０００７】
すなわち、効率よく安全性を向上させる観点から、脆弱性情報が公開されたソフトウェアのうち、安全性への影響度が高いソフトウェアのみを判定すればよい。
【０００８】
また特に、他の電子計算機にサービスを提供するサーバ装置を管理するシステム管理者の場合、運用の都合上、パッチの頻繁な適用が困難であるため、脆弱性情報が公開されたソフトウェアのうち、電子計算機に対する安全性への影響度が高いソフトウェアのみを判定する必要がある。
【０００９】
本発明は上記実情を考慮してなされたもので、脆弱性情報が公開されたソフトウェアのうち、電子計算機に対する安全性への影響度が高いソフトウェアのみを判定でき、かかる安全性を効率よく向上し得る脆弱性判定装置及びそのプログラムを提供することを目的とする。
【課題を解決するための手段】
【００１０】
本発明の一つの局面は、インストールされた複数のソフトウェアを示す各ソフトウェア名及び各バージョン情報からなる構成情報、並びに前記各ソフトウェア名のうちのサービス設定された各ソフトウェアの各ソフトウェア名を含むサービス設定情報を保持する手段と、脆弱性をもつ各ソフトウェアを示す各ソフトウェア名及び各対象バージョン情報からなる脆弱性情報を取得する手段と、前記脆弱性情報を記憶する手段と、前記構成情報を記憶する手段とを備えた脆弱性判定装置であって、前記脆弱性情報を取得して前記脆弱性情報を記憶する手段に前記脆弱性情報を書き込む手段、前記サービス設定情報を保持する手段から前記構成情報を取得して前記構成情報を記憶する手段に書き込む手段、前記構成情報を記憶する手段内の前記構成情報に対し、前記脆弱性情報を記憶する手段内の前記脆弱性情報との関連を有するか否かを判定する手段、この判定の結果、前記脆弱性情報との関連を有する前記構成情報に対し、前記サービス設定情報との関連を有するか否かを判定する手段、この判定の結果、前記サービス設定情報との関連を有する前記構成情報を出力する手段、を備えた脆弱性判定装置である。
【００１１】
なお、本発明の一つの局面としては、装置の場合を説明したが、これに限らず、方法、プログラム、プログラムを記憶した記憶媒体として表現してもよい。
【００１２】
（作用）
本発明の一つの局面によれば、脆弱性情報との関連を有する構成情報に対し、電子計算機から取得したサービス設定情報との関連を有するか否かを判定する。そして、この判定の結果、サービス設定情報との関連を有する構成情報を出力する構成により、脆弱性情報が公開されたソフトウェアのうち、電子計算機に対する安全性への影響度が高いソフトウェアのみを判定でき、効率よく安全性を向上することができる。
【発明の効果】
【００１３】
以上説明したように本発明によれば、脆弱性情報が公開されたソフトウェアのうち、電子計算機に対する安全性への影響度が高いソフトウェアのみを判定でき、効率よく安全性を向上できる。
【発明を実施するための最良の形態】
【００１４】
以下、本発明の各実施形態について図面を用いて説明する。なお、以下の各装置は、装置毎に、ハードウェア構成、又はハードウェア資源とソフトウェアとの組合せ構成のいずれでも実施可能となっている。このような組合せ構成のソフトウェアとしては、予めネットワーク又は記憶媒体から対応する装置の持つ電子計算機にインストールされ、対応する装置の機能を実現させるためのプログラムが用いられる。
【００１５】
（第１の実施形態）
図１は本発明の第１の実施形態に係る脆弱性判定装置及びその周辺構成を示すブロック図である。図示するように、情報システム１０を構成するｎ台（但し、１≦ｎ）の電子計算機２０１〜２０ｎや、脆弱性情報公開サイト装置３０がそれぞれ脆弱性判定装置４０に通信可能に接続されている。
【００１６】
例えば、脆弱性判定装置４０は、企業や団体内に構築された情報システム１０に対して、脆弱性情報を監視及び評価する。なお、脆弱性判定装置４０は、いずれかの電子計算機２０１〜２０ｎに一体的に設けられていてもよいが、ここでは、各電子計算機２０１〜２０ｎとは別のＰＣ（Personal Computer）装置（脆弱性スキャナ）として設けられている。
【００１７】
情報システム１０内の各電子計算機２０１〜２０ｎは、情報システム１０において、クライアント端末又はサーバ装置のいずれとして用いられていてもよい。
【００１８】
なお、各電子計算機２０１〜２０ｎは、構成情報の内容やサービス設定情報の内容は異なるものの、互いに同一の機能ブロック２１〜２４を有する構成である。従って、以下では電子計算機２０１を代表例に挙げて説明する。これは、第１の実施形態以下で説明する各実施形態でも同様である。また、１台の電子計算機２０１を対象として説明するが、複数台の電子計算機２０１，…を対象としても構わない。
【００１９】
ここで、電子計算機２０１は、通常のコンピュータ機能を有し、図示しないＯＳ及び各ソフトウェアがインストールされており、当該インストールされた複数のソフトウェアを示す各ソフトウェア名及び各バージョン情報からなる構成情報、並びに各ソフトウェア名のうちのサービス設定された各ソフトウェアの各ソフトウェア名を含むサービス設定情報を保持している。具体的には、電子計算機２０１は、構成情報記憶部２１、構成情報取得部２２、サービス設定情報記憶部２３及びサービス設定取得部２４を備えている。
【００２０】
構成情報記憶部２１は、構成情報取得部２２から読出／書込可能な記憶装置であり、図２に示すように、電子計算機２０１にインストールされているソフトウェア名と、そのソフトウェアのバージョン番号とからなる構成情報が記憶される。
【００２１】
構成情報におけるソフトウェア名とバージョン番号との組合せは、ソフトウェアの種類を特定するためのものであり、この組合せに限らず、バージョン番号の他にソフトウェアのバイナリのハッシュ値などを用いた組合せなどのように、ソフトウェアの種類を特定するための情報を含む組合せであれば、他の組合せでも構わない。
【００２２】
構成情報取得部２２は、電子計算機２０１にインストールされているソフトウェアに関する構成情報を取得する。構成情報は、例えば、電子計算機２０１内にインストールされているソフトウェアがファイルに記録されている場合もある、また、別の電子計算機にデータベースとして記録されている場合もある、また、必要に応じて電子計算機２０１内に存在するファイルを走査することによって取得する場合もある。
【００２３】
サービス設定情報記憶部２３は、サービス設定情報取得部２４から読出／書込可能な記憶装置であり、図３に示すように、電子計算機２０１にインストールされているソフトウェアのうち、電子計算機２０１で実際に稼動するソフトウェアのソフトウェア名からなるサービス設定情報が記憶される。
【００２４】
サービス設定取得部２４は、電子計算機２０１で実際に稼動するサービス設定に関するソフトウェアのソフトウェア名をサービス設定情報として取得してサービス設定情報記憶部２３に書き込む機能と、サービス設定情報記憶部２３内のサービス設定情報を脆弱性判定装置４０に送信する機能とをもっている。ここで、一般に、サービス設定情報は、電子計算機２０１においてサービスを起動するための設定が予め記録されている。サービス設定取得部２４では、例えば、オープンしているポートに対して、待ち受けを行っているソフトウェアのソフトウェア名をサービス設定情報として取得する。あるいは、現在起動しているソフトウェアを示すソフトウェア名や、特定のポートにアクセスがあった場合に起動するソフトウェアを示すソフトウェア名をサービス設定情報として取得してもよい。サービス設定情報を脆弱性判定装置４０に送信するタイミングは、例えば、構成情報取得部２２による構成情報の送信の直前又は直後とすればよい。
【００２５】
脆弱性情報公開サイト装置３０は、各種ソフトウェアについての脆弱性情報を公開するサイトであり、内部に脆弱性情報を保持し、この脆弱性情報を外部に公開している。外部への公開手段は、例えば、ネットワーク経由で公開する手法や、ＣＤ−ＲＯＭなどの記憶媒体を送付して公開する手法など、一般的な任意の手法が使用可能となっている。但し、ここではネットワーク経由で公開する手法を用いている。なお、このような脆弱性公開サイト装置３０は複数が存在しても構わない。
【００２６】
また、脆弱性情報公開サイト装置３０は、ウインドウズ（登録商標）・アップデートのサイト等のように、ソフトウェアメーカが運営して自社のソフトウェアの脆弱性情報を公開するサイトを想定している。しかし、これに限らず、IPAのような第三者が運営するサイトでもよく、特に限定されない。また、脆弱性情報公開サイト装置３０は、脆弱性判定装置４０を運営する会社に対し、同一の会社又は異なる会社のいずれに運営されていてもよい。これらの場合、脆弱性判定装置４０が外部の脆弱性情報公開サイト装置３０から脆弱性情報を収集することになる。
【００２７】
ここで、脆弱性情報公開サイト装置３０は、具体的には、脆弱性情報記憶部３１及び脆弱性情報管理部３２を備えている。
【００２８】
脆弱性情報記憶部３１は、脆弱性情報管理部３２から読出／書込可能な記憶装置であり、図４に示すように、脆弱性情報を記憶している。脆弱性情報は、脆弱性をもつ各ソフトウェアを示す各ソフトウェア名及び各対象バージョン番号が記されている。脆弱性情報におけるソフトウェア名と対象バージョン番号の組合せは、ソフトウェアの種類を特定するためのものであって、バージョン番号のほかにソフトウェアのバイナリのハッシュ値など、ソフトウェアの種類を特定するための情報であれば、他の組合せでも構わない。また、対象バージョン番号は、特定のバージョン番号を必ずしも記載する必要はなく、バージョン番号の範囲を記載しても構わない。
【００２９】
脆弱性情報管理部３２は、脆弱性情報公開サイト装置３０のサイト管理者の操作により、脆弱性情報記憶部３１内の脆弱性情報を更新する機能と、脆弱性情報記憶部３１内の脆弱性情報を公開する機能とをもっている。
【００３０】
脆弱性判定装置４０は、脆弱性情報取得部４１、脆弱性情報記憶部４２、構成情報要求部４３、構成情報記憶部４４、マッチング部４５及び影響度判定部４６を備えている。
【００３１】
脆弱性情報取得部４１は、例えば、脆弱性情報公開サイト装置３０の更新頻度に準じ、脆弱性情報公開サイト装置３０から脆弱性情報を取得して脆弱性情報記憶部４２に書き込む機能をもっている。
【００３２】
脆弱性情報記憶部４２は、脆弱性情報取得部４１から書込可能でマッチング部４５から読出可能な記憶装置であり、脆弱性情報が記憶される。
【００３３】
構成情報要求部４３は、電子計算機２０１に構成情報を要求する機能と、この要求により、電子計算機２０１から取得した構成情報を構成情報記憶部４４に書き込む機能とをもっている。
【００３４】
構成情報記憶部４４は、構成情報要求部４３から書込可能でマッチング部４５から読出可能な記憶装置であり、構成情報が記憶される。
【００３５】
マッチング部４５は、構成情報記憶部４４内の構成情報と脆弱性情報記憶部４２内の脆弱性情報とを照合する機能と、この照合により、構成情報記憶部４４内の構成情報に対し、脆弱性情報記憶部４２内の脆弱性情報との関連を有するか否かを判定する機能と、この判定の結果、図５に示すように、当該脆弱性情報との関連を有する構成情報を影響度判定部４６に送出する機能とをもっている。
【００３６】
影響度判定部４６は、マッチング部４５から送出された構成情報に対し、電子計算機２０１から取得したサービス設定情報との関連を有するか否かを判定する機能と、この判定の結果、当該サービス設定情報との関連を有する構成情報を出力する機能とをもっている。出力された構成情報は、他の電子計算機にサービスを提供するサーバ装置を管理するシステム管理者を置いているときは、図示しないシステム管理者の端末に通知される。
【００３７】
次に、以上のように構成された脆弱性判定装置及びその周辺構成の動作を説明する。
【００３８】
いま、脆弱性情報公開サイト装置３０によって、脆弱性情報が公開されているとする。
【００３９】
脆弱性判定装置４０においては、脆弱性情報取得部４１が、脆弱性情報公開サイト装置３０から脆弱性情報を取得して脆弱性情報記憶部４２に書き込む。
【００４０】
また、脆弱性判定装置４０においては、構成情報要求部４３が電子計算機２０１に構成情報を要求する。
【００４１】
電子計算機２０１は、この要求により、構成情報取得部２２が構成情報記憶部２１内の構成情報を脆弱性判定装置４０に返信する。
【００４２】
脆弱性判定装置４０においては、構成情報要求部４３が、電子計算機２０１から取得した構成情報を構成情報記憶部４４に書き込む。
【００４３】
マッチング部４５は、構成情報記憶部４４内の構成情報と脆弱性情報記憶部４２内の脆弱性情報とを照合することにより、構成情報記憶部４４内の構成情報に対し、脆弱性情報記憶部４２内の脆弱性情報との関連を有するか否かを判定する。
【００４４】
また、マッチング部４５は、この判定の結果、当該脆弱性情報との関連を有する構成情報を影響度判定部４６に送出する。この例では、図２に示した構成情報のうち、ソフトウェア名“ｒｐｃｂｉｎｄ”、“ｈｔｔｐｄ”、“ｓｓｈｄ”が図４に示した脆弱性情報に含まれるため、当該ソフトウェア名“ｒｐｃｂｉｎｄ”、“ｈｔｔｐｄ”、“ｓｓｈｄ”との関連を有する構成情報が影響度判定部４６に送出される。
【００４５】
影響度判定部４６は、送出された構成情報に対し、電子計算機２０１から取得したサービス設定情報との関連を有するか否かを判定し、この判定の結果、当該サービス設定情報との関連を有する構成情報を出力する。この例では、図５に示したマッチング部４６の出力のうち、ソフトウェア名“ｒｐｃｂｉｎｄ”、“ｈｔｔｐｄ”、“ｓｓｈｄ”が図３に示したサービス設定情報に含まれるため、当該ソフトウェア名“ｒｐｃｂｉｎｄ”、“ｈｔｔｐｄ”、“ｓｓｈｄ” との関連を有する構成情報が影響度判定部４６から出力される。すなわち、この例では、マッチング部４６の出力と、影響度判定部４６の出力とは同じものとなる。
【００４６】
この出力結果を、例えば、システム管理者へ通知することにより、システム管理者は電子計算機２０１にインストールされている脆弱性を持つソフトウェアのうち、ソフトウェア名“ｒｐｃｂｉｎｄ”、“ｈｔｔｐｄ”、“ｓｓｈｄ”のソフトウェアだけが実際に動作していることを確認でき、これらのソフトウェアにだけ対策を採ればよいことが分かるので、管理の手間を削減することができる。
【００４７】
上述したように本実施形態によれば、脆弱性情報との関連を有する構成情報に対し、電子計算機から取得したサービス設定情報との関連を有するか否かを判定する。そして、この判定の結果、サービス設定情報との関連を有する構成情報を出力する構成により、脆弱性情報が公開されたソフトウェアのうち、電子計算機に対する安全性への影響度が高いソフトウェアのみを判定でき、効率よく安全性を向上することができる。
【００４８】
（第２の実施形態）
図６は本発明の第２の実施形態に係る脆弱性判定装置及びその周辺構成を示すブロック図であり、図１と略同一部分には同一符号を付してその詳しい説明を省略し、ここでは異なる部分について主に述べる。なお、以下の実施形態も同様にして重複した説明を省略する。
【００４９】
すなわち、本実施形態は、サービス設定されたソフトウェアについて脆弱性を判定した第１の実施形態の変形例であり、より詳しい判定を行う観点から、サービス設定されたソフトウェアとその依存関係にあるソフトウェアとの両者について、脆弱性情報に高い影響を受けるソフトウェアを判定する構成となっている。
【００５０】
これに伴って、電子計算機２０１は、依存関係取得部２５を更に備えている。また、脆弱性判定装置４０は、前述した影響度判定部４６に代えて、影響度判定部４７を備えている。
【００５１】
ここで、依存関係取得部２５は、サービス設定取得部２４により取得されたサービス設定情報が示す各ソフトウェアに対して、依存関係のある各ソフトウェアを示す、各ソフトウェア名からなる依存関係情報を取得する機能と、この依存関係情報を脆弱性判定装置４０に送信する機能とをもっている。ここで、依存関係情報を脆弱性判定装置４０に送信するタイミングは、例えば、構成情報取得部２２による構成情報の送信の直前又は直後とすればよい。
【００５２】
一方、影響度判定部４７は、マッチング部４５から送出された構成情報に対し、電子計算機２０１から取得した依存関係情報との関連を有するか否かを判定する機能と、この判定の結果、当該依存関係情報との関連を有する構成情報を出力する機能とをもっている。出力された構成情報は、他の電子計算機にサービスを提供するサーバ装置を管理するシステム管理者を置いているときは、図示しないシステム管理者の端末に通知される。
【００５３】
次に、以上のように構成された脆弱性判定装置及びその周辺構成の動作を説明する。
【００５４】
いま、脆弱性情報公開サイト装置３０は、前述同様に、脆弱性情報を公開しているとする。また、脆弱性判定装置４０においては、前述同様に、脆弱性情報取得部４１、構成情報要求部４３及びマッチング部４５が順次処理を実行し、マッチング部４５が、脆弱性情報との関連を有する構成情報を影響度判定部４７に送出したとする。
【００５５】
一方、電子計算機２０１においては、サービス設定取得部２４が、サービス設定情報記憶部２３内のサービス設定情報を依存関係取得部２５に送出する。
【００５６】
依存関係取得部２５は、図７に示すように、サービス設定情報としてソフトウェア名が入力されると（ＳＴ１）、このソフトウェア名に対して依存関係にあるソフトウェアを走査する（ＳＴ２）。この走査は、例えば、ＯＳに予めインストールされているソフトウェアパッケージ管理機能を用いて実行する。
【００５７】
走査の結果、依存関係にあるソフトウェアが検出された場合（ＳＴ３：ＮＯ）には、当該検出されたソフトウェアに対して、依存関係にあるソフトウェアを走査する。このステップＳＴ２からＳＴ３までの処理を依存関係が検出されなくなるまで再帰的に実行することにより、入力したソフトウェアと依存関係にある全てのソフトウェアを検出してそのソフトウェア名を取得することができる。依存関係にあるソフトウェアが無い場合（ＳＴ３：ＹＥＳ）には、依存関係取得部２５は、図８に示すように、依存関係にあるソフトウェアのソフトウェア名を一覧して示す依存関係情報を取得する（ＳＴ４）。
【００５８】
この依存関係情報の例では、ソフトウェア名“Ｅｘｐａｔ”のソフトウェアは、ソフトウェア名“Ｅｘｐａｔ−Ｄｅｖｅｌ”、“Ａｖａｈｉ”に依存している。また、ソフトウェア名“ｒｐｃｂｉｎｄ”のソフトウェアは、ソフトウェア名“ｙｐｂｉｎｄ”、“ｙｐｔｏｏｌｓ”、“ｎｆｓ−ｕｔｉｌｓ”の各ソフトウェアに依存している。また、ソフトウェア名“ｈｔｔｐｄ”のソフトウェアは、ソフトウェア名“ｍｏｄ＿ｓｓｌ”、“ｇｎｏｍｅ−ｕｓｅｒ−ｓｈａｒｅ”、“ｍｏｄ＿ｐｙｔｈｏｎ”の各ソフトウェアに依存している。また、ソフトウェア名“ｓｓｈ”のソフトウェアは、依存するソフトウェアが存在しないことが分かる。
【００５９】
依存関係取得部２５は、ステップＳＴ４で取得した依存関係情報を脆弱性判定装置４０に送信する。
【００６０】
脆弱性判定装置４０においては、影響度判定部４７が、マッチング部４５から送出された構成情報に対し、電子計算機２０１から取得した依存関係情報との関連を有するか否かを判定し、この判定の結果、当該依存関係情報との関連を有する構成情報を出力する。
【００６１】
上述したように本実施形態によれば、第１の実施形態の効果に加え、依存関係にあるソフトウェアの分だけ、より詳しい脆弱性判定を行うことができる。
【００６２】
補足すると、本実施形態は、ソフトウェアの依存関係に基づいて、より正確な脆弱性情報を出力できる。一般に、ソフトウェアが動作するためには、別のソフトウェアが必要になる。このような依存関係を保持しているＯＳも多い。例えば、サービスＡを提供するソフトウェアＡが、ソフトウェアＢに依存している場合、ソフトウェアＢに脆弱性があれば、サービスＡを介してソフトウェアＢの脆弱性を突かれる可能性がある。
【００６３】
これに対し、本実施形態によれば、各ソフトウェア間の依存関係情報に基づいて、より正確な脆弱性情報を出力することができる。
【００６４】
（第３の実施形態）
図９は本発明の第３の実施形態に係る脆弱性判定装置及びその周辺構成を示すブロック図である。
【００６５】
本実施形態は、サービス設定されたソフトウェアについて脆弱性を判定した第１及び第２の実施形態の変形例であり、サービス設定されたソフトウェアのログインの要否に基づいて、脆弱性情報に高い影響度をもつソフトウェアを影響度と共に、通知する構成となっている。
【００６６】
ここで、ソフトウェアの脆弱性の種類について補足する。脆弱性には大きく分けて２つのタイプがある。
【００６７】
１つ目は、そのソフトウェアが提供しているサービスがネットワーク経由で利用可能でさえあれば、脆弱性が問題となるタイプである。具体的には、脆弱性を突くためにログインなどのユーザ認証を必要としないタイプである。このタイプの脆弱性は、ソフトウェアの利用権限の無いユーザでも攻撃可能であるので、影響度が高いといえる。
【００６８】
２つ目は、そのソフトウェアが提供しているサービスが利用不可能であることから、脆弱性が問題とならないタイプである。具体的には、脆弱性を突くためにログインなどのユーザ認証を必要とするタイプである。このタイプの脆弱性は、ソフトウェアの利用権限の無いユーザからは攻撃できないので、影響度が低いといえる。
【００６９】
すなわち、本実施形態は、“脆弱性をもつ各ソフトウェアに関して当該脆弱性を攻撃するためにログインなどのユーザ認証が必要か否か”を示すログイン要否情報を、脆弱性情報記憶部３１’内の脆弱性情報が更に含んでいる場合に、このログイン要否情報を考慮して脆弱性の影響度を判定するものである。
【００７０】
これに伴い、脆弱性情報取得部４１が取得して脆弱性情報記憶部４２に書き込む脆弱性情報は、図１０に示すように、ログイン要否情報としての脆弱性タイプを含む内容となる。図１０中、脆弱性タイプは、ソフトウェア名“ｒｐｃｂｉｎｄ”，“ｈｔｔｐｄ”の各ソフトウェアについてはログインを必要としない脆弱性タイプ（ＮＥＴＷＯＲＫと表記）であり、ソフトウェア名“ｓｓｈｄ”のソフトウェアについてはログインを必要とする脆弱性タイプ（ここではＬＯＧＩＮと表記）であることを表している。
【００７１】
また、電子計算機２０１は、サービスユーザ対応リスト記憶部２６及びサービス利用ユーザ数取得部２７を更に備えている。
【００７２】
サービスユーザ対応リスト記憶部２６は、サービス設定情報内のソフトウェア名と当該ソフトウェア名のソフトウェアを利用するユーザとを示すサービスユーザ対応リスト（リスト情報）を保持する記憶装置である。なお、本実施形態の電子計算機２０１は、他の電子計算機（クライアント端末）にサービスを提供するサーバ装置を想定している。一般的に電子計算機がサービスを提供する場合には、サービス毎に、そのサービスを受けられるユーザを記載したサービスユーザ対応リストを保持している。
【００７３】
サービス利用ユーザ数取得部２７は、サービスユーザ対応リストに基づいて、ソフトウェア名毎にユーザ数を示すサービス利用ユーザ数（ユーザ数情報）を取得する機能と、このサービス利用ユーザ数を脆弱性判定装置４０に送信する機能とをもっている。
【００７４】
サービス利用ユーザ数は、サービス利用ユーザ数取得部２７が、サービス毎に存在するサービスユーザ対応リストの内容を読み込み、サービス対応ユーザリストに記載されたユーザをカウントして取得される。取得されたサービス利用ユーザ数は、例えば図１１に示すように、ソフトウェア名“ｓｓｈｄ”のソフトウェアの利用者が１５人であり、ソフトウェア名“ｖｓｆｔｐｄ”のソフトウェアの利用者が５０人である場合を示している。
【００７５】
サービス利用ユーザ数を脆弱性判定装置４０に送信するタイミングは、例えば、依存関係取得部２５による依存関係情報の送信の直前又は直後とすればよい。
【００７６】
一方、影響度判定部４７’は、前述した影響度判定部４７に代えて、マッチング部４５から送出された構成情報に対し、電子計算機２０１から取得した依存関係情報との関連を有するか否かを判定する機能と、この判定の結果、当該依存関係情報との関連を有する構成情報に対し、電子計算機２０１から取得したユーザ数情報が所定ユーザ数以上の場合又は脆弱性情報記憶部４２内の脆弱性タイプ（ログイン要否情報）がログインの必要を示す場合に高い値となるように影響度（脆弱性影響度）を算出する機能と、算出した影響度及び依存関係情報との関連を有する構成情報内のソフトウェア名を互いに関連付けて出力する機能とをもっている。
【００７７】
ここで、例えば、影響度を１〜１００の数値で表現し、影響度はユーザ数に比例すると仮定する。ユーザ数が１００人以上の場合、ログイン処理の必要なしに脆弱性を突けることと同等に、影響度が大きいと仮定する。なお、ログインが必要ない脆弱性の影響度は影響度の最大値である１００と仮定する。この仮定における影響度判定部４７’の出力の一例を図１２に示す。例えば、ソフトウェア名“ｓｓｈｄ”のソフトウェアは、ユーザ数が１５人なので、影響度が１５となる。ソフトウェア名“ｒｐｃｂｉｎｄ”，“ｈｔｔｐｄ”の各ソフトウェアは、ログイン処理の必要なしに脆弱性を突けるため、影響度が１００となる。なお、ソフトウェア名“ｖｓｆｔｐ”のソフトウェアは、脆弱性情報が未公開なので、脆弱性の評価対象にはならない。
【００７８】
次に、以上のように構成された脆弱性判定装置及びその周辺構成の動作を説明する。
【００７９】
いま、脆弱性情報公開サイト装置３０は、脆弱性タイプを含む脆弱性情報を公開しているとする。また、脆弱性判定装置４０においては、前述同様に、脆弱性情報取得部４１、構成情報要求部４３及びマッチング部４５が順次処理を実行し、マッチング部４５が、脆弱性情報との関連を有する構成情報を影響度判定部４７’に送出したとする。
【００８０】
一方、電子計算機２０１においては、前述同様に、依存関係取得部２５が依存関係情報を取得して脆弱性判定装置４０に送信する。
【００８１】
また、電子計算機２０１においては、サービス利用ユーザ数取得部２７が、サービスユーザ対応リスト記憶部２６内のサービスユーザ対応リストに基づいて、ソフトウェア名毎にユーザ数を示すサービス利用ユーザ数を取得し、このサービス利用ユーザ数を脆弱性判定装置４０に送信する。
【００８２】
一方、脆弱性判定装置４０においては、影響度判定部４７’が、マッチング部４５から送出された構成情報に対し、電子計算機２０１から取得した依存関係情報との関連を有するか否かを判定する。
【００８３】
また、影響度判定部４７’は、この判定の結果、当該依存関係情報との関連を有する構成情報に対し、電子計算機２０１から取得したユーザ数情報が所定ユーザ数以上の場合又は脆弱性情報記憶部４２内の脆弱性タイプがログインの必要を示す場合に高い値となるように影響度を算出する。
【００８４】
しかる後、影響度判定部４７’は、算出した影響度と、依存関係情報との関連を有する構成情報内のソフトウェア名とを互いに関連付けて出力する。
【００８５】
上述したように本実施形態によれば、第２の実施形態の効果に加え、ログイン要否情報としての脆弱性タイプに基づき、影響度の大きさを正確に把握することができる。
【００８６】
補足すると、ソフトウェアの脆弱性には、その脆弱性を突くために、予めユーザ認証が必要なものと、ユーザ認証が不要なものがある。予めユーザ認証が必要な脆弱性については、脆弱性を突ける人数が限られることから、ユーザ認証が不要な脆弱性に比べ、影響度が低い。本実施形態は、ユーザ認証が不要な脆弱性は影響度が高いという関係に基づき、より正確な脆弱性の影響度を算出することができる。
【００８７】
なお、上記実施形態に記載した手法は、電子計算機に実行させることのできるプログラムとして、磁気ディスク（フロッピー（登録商標）ディスク、ハードディスクなど）、光ディスク（ＣＤ−ＲＯＭ、ＤＶＤなど）、光磁気ディスク（ＭＯ）、半導体メモリなどの記憶媒体に格納して頒布することもできる。
【００８８】
また、この記憶媒体としては、プログラムを記憶でき、かつ電子計算機が読み取り可能な記憶媒体であれば、その記憶形式は何れの形態であっても良い。
【００８９】
また、記憶媒体から電子計算機にインストールされたプログラムの指示に基づきコンピュータ上で稼働しているＯＳ（Operating System）や、データベース管理ソフト、ネットワークソフト等のＭＷ（Middleware）等が上記実施形態を実現するための各処理の一部を実行しても良い。
【００９０】
さらに、本発明における記憶媒体は、電子計算機と独立した媒体に限らず、ＬＡＮやインターネット等により伝送されたプログラムをダウンロードして記憶または一時記憶した記憶媒体も含まれる。
【００９１】
また、記憶媒体は１つに限らず、複数の媒体から上記実施形態における処理が実行される場合も本発明における記憶媒体に含まれ、媒体構成は何れの構成であっても良い。
【００９２】
尚、本発明における電子計算機は、記憶媒体に記憶されたプログラムに基づき、上記実施形態における各処理を実行するものであって、ＰＣ等の１つからなる装置、複数の装置がネットワーク接続された情報システム等の何れの構成であっても良い。
【００９３】
また、本発明における電子計算機とは、ＰＣに限らず、情報処理機器に含まれる演算処理装置、マイコン等も含み、プログラムによって本発明の機能を実現することが可能な機器、装置を総称している。
【００９４】
なお、本願発明は、上記実施形態そのままに限定されるものではなく、実施段階ではその要旨を逸脱しない範囲で構成要素を変形して具体化できる。また、上記実施形態に開示されている複数の構成要素の適宜な組合せにより種々の発明を形成できる。例えば、実施形態に示される全構成要素から幾つかの構成要素を削除してもよい。更に、異なる実施形態に亘る構成要素を適宜組合せてもよい。
【図面の簡単な説明】
【００９５】
【図１】本発明の第１の実施形態に係る脆弱性判定装置及びその周辺構成を示すブロック図である。
【図２】同実施形態における構成情報取得部の出力内容を示す模式図である。
【図３】同実施形態におけるサービス設定取得部の出力内容を示す模式図である。
【図４】同実施形態における脆弱性情報公開サイト装置が公開する脆弱性情報の構成を示す模式図である。
【図５】同実施形態における影響度判定部の出力内容を示す模式図である。
【図６】本発明の第２の実施形態に係る脆弱性判定装置及びその周辺構成を示すブロック図である。
【図７】同実施形態における依存関係取得部の動作を説明するためのフローチャートである。
【図８】同実施形態における依存関係取得部の出力内容を示す模式図である。
【図９】本発明の第３の実施形態に係る脆弱性判定装置及びその周辺構成を示すブロック図である。
【図１０】同実施形態における脆弱性情報の構成を示す模式図である。
【図１１】同実施形態におけるサービス利用ユーザ数取得部の出力内容を示す模式図である。
【図１２】同実施形態における影響度判定部の出力内容を示す模式図である。
【符号の説明】
【００９６】
１０…情報システム、２０１〜２０ｎ…電子計算機、２１…構成情報記憶部、２２…構成情報取得部、２３…サービス設定情報記憶部、２４…サービス設定取得部、２５…依存関係取得部、２６…サービスユーザ対応リスト記憶部、２７…サービス利用ユーザ数取得部、３０…脆弱性情報公開サイト装置、３１，３１’…脆弱性情報記憶部、３２…脆弱性情報管理部、４０…脆弱性判定装置、４１…脆弱性情報取得部、４２…脆弱性情報記憶部、４３…構成情報要求部、４４…構成情報記憶部、４５…マッチング部、４６，４７，４７’…影響度判定部、
【技術分野】
【０００１】
本発明は、脆弱性判定装置及びそのプログラムに係り、例えば、脆弱性情報が公開されたソフトウェアのうち、安全性への影響度が高いソフトウェアのみを判定でき、効率よく安全性を向上し得る脆弱性判定装置及びプログラムに関する。
【背景技術】
【０００２】
情報システムは、一般には、複数の電子計算機と、各電子計算機が使用する様々なＯＳ（Operating System）、ＡＰＩ（Application Program Interface）、アプリケーションなどの各ソフトウェアを組み合わせて構築されている。各ソフトウェアは、情報システム構築時には脆弱性が発見されなくても、時間の経過とともに様々な脆弱性が発見される可能性がある。
【０００３】
現在、このような各ソフトウェアに関する脆弱性情報を一般に公開するサイト（例えば、有限責任中間法人JPCERTコーディネーションセンター及び独立行政法人情報処理推進機構（IPA）によって運営されるJapan Vulnerability Notes−http://jvn.jp/−など）やソフトウェアメーカが運営して自社のソフトウェアの脆弱性情報を公開するサイトが存在している。
【０００４】
また、信用できるサイトから公開された脆弱性情報に基づいて、電子計算機が使用するソフトウェアの脆弱性の有無を検査し、企業内ネットワークへの接続可否の判断、ソフトウェアへのパッチの適用、電子計算機の設定変更などの対策を講じる脆弱性対策技術が知られている（例えば、特許文献１参照。）。
【特許文献１】特開２００４−２５８７７７号公報
【発明の開示】
【発明が解決しようとする課題】
【０００５】
以上のような脆弱性対策技術は、電子計算機にインストールされたソフトウェアのうち、脆弱性情報によって脆弱性が周知されるソフトウェアに対策を講じるものであるので、本発明者の検討によれば、安全性向上のための効率を良くする余地がある。
【０００６】
例えば、インストールしていても実際には使用しないソフトウェアであれば、脆弱性情報による安全性への影響度が低く、対策が不要な筈である。しかしながら、脆弱性情報への対策を講じていた点で、安全性向上のための効率が低い。
【０００７】
すなわち、効率よく安全性を向上させる観点から、脆弱性情報が公開されたソフトウェアのうち、安全性への影響度が高いソフトウェアのみを判定すればよい。
【０００８】
また特に、他の電子計算機にサービスを提供するサーバ装置を管理するシステム管理者の場合、運用の都合上、パッチの頻繁な適用が困難であるため、脆弱性情報が公開されたソフトウェアのうち、電子計算機に対する安全性への影響度が高いソフトウェアのみを判定する必要がある。
【０００９】
本発明は上記実情を考慮してなされたもので、脆弱性情報が公開されたソフトウェアのうち、電子計算機に対する安全性への影響度が高いソフトウェアのみを判定でき、かかる安全性を効率よく向上し得る脆弱性判定装置及びそのプログラムを提供することを目的とする。
【課題を解決するための手段】
【００１０】
本発明の一つの局面は、インストールされた複数のソフトウェアを示す各ソフトウェア名及び各バージョン情報からなる構成情報、並びに前記各ソフトウェア名のうちのサービス設定された各ソフトウェアの各ソフトウェア名を含むサービス設定情報を保持する手段と、脆弱性をもつ各ソフトウェアを示す各ソフトウェア名及び各対象バージョン情報からなる脆弱性情報を取得する手段と、前記脆弱性情報を記憶する手段と、前記構成情報を記憶する手段とを備えた脆弱性判定装置であって、前記脆弱性情報を取得して前記脆弱性情報を記憶する手段に前記脆弱性情報を書き込む手段、前記サービス設定情報を保持する手段から前記構成情報を取得して前記構成情報を記憶する手段に書き込む手段、前記構成情報を記憶する手段内の前記構成情報に対し、前記脆弱性情報を記憶する手段内の前記脆弱性情報との関連を有するか否かを判定する手段、この判定の結果、前記脆弱性情報との関連を有する前記構成情報に対し、前記サービス設定情報との関連を有するか否かを判定する手段、この判定の結果、前記サービス設定情報との関連を有する前記構成情報を出力する手段、を備えた脆弱性判定装置である。
【００１１】
なお、本発明の一つの局面としては、装置の場合を説明したが、これに限らず、方法、プログラム、プログラムを記憶した記憶媒体として表現してもよい。
【００１２】
（作用）
本発明の一つの局面によれば、脆弱性情報との関連を有する構成情報に対し、電子計算機から取得したサービス設定情報との関連を有するか否かを判定する。そして、この判定の結果、サービス設定情報との関連を有する構成情報を出力する構成により、脆弱性情報が公開されたソフトウェアのうち、電子計算機に対する安全性への影響度が高いソフトウェアのみを判定でき、効率よく安全性を向上することができる。
【発明の効果】
【００１３】
以上説明したように本発明によれば、脆弱性情報が公開されたソフトウェアのうち、電子計算機に対する安全性への影響度が高いソフトウェアのみを判定でき、効率よく安全性を向上できる。
【発明を実施するための最良の形態】
【００１４】
以下、本発明の各実施形態について図面を用いて説明する。なお、以下の各装置は、装置毎に、ハードウェア構成、又はハードウェア資源とソフトウェアとの組合せ構成のいずれでも実施可能となっている。このような組合せ構成のソフトウェアとしては、予めネットワーク又は記憶媒体から対応する装置の持つ電子計算機にインストールされ、対応する装置の機能を実現させるためのプログラムが用いられる。
【００１５】
（第１の実施形態）
図１は本発明の第１の実施形態に係る脆弱性判定装置及びその周辺構成を示すブロック図である。図示するように、情報システム１０を構成するｎ台（但し、１≦ｎ）の電子計算機２０１〜２０ｎや、脆弱性情報公開サイト装置３０がそれぞれ脆弱性判定装置４０に通信可能に接続されている。
【００１６】
例えば、脆弱性判定装置４０は、企業や団体内に構築された情報システム１０に対して、脆弱性情報を監視及び評価する。なお、脆弱性判定装置４０は、いずれかの電子計算機２０１〜２０ｎに一体的に設けられていてもよいが、ここでは、各電子計算機２０１〜２０ｎとは別のＰＣ（Personal Computer）装置（脆弱性スキャナ）として設けられている。
【００１７】
情報システム１０内の各電子計算機２０１〜２０ｎは、情報システム１０において、クライアント端末又はサーバ装置のいずれとして用いられていてもよい。
【００１８】
なお、各電子計算機２０１〜２０ｎは、構成情報の内容やサービス設定情報の内容は異なるものの、互いに同一の機能ブロック２１〜２４を有する構成である。従って、以下では電子計算機２０１を代表例に挙げて説明する。これは、第１の実施形態以下で説明する各実施形態でも同様である。また、１台の電子計算機２０１を対象として説明するが、複数台の電子計算機２０１，…を対象としても構わない。
【００１９】
ここで、電子計算機２０１は、通常のコンピュータ機能を有し、図示しないＯＳ及び各ソフトウェアがインストールされており、当該インストールされた複数のソフトウェアを示す各ソフトウェア名及び各バージョン情報からなる構成情報、並びに各ソフトウェア名のうちのサービス設定された各ソフトウェアの各ソフトウェア名を含むサービス設定情報を保持している。具体的には、電子計算機２０１は、構成情報記憶部２１、構成情報取得部２２、サービス設定情報記憶部２３及びサービス設定取得部２４を備えている。
【００２０】
構成情報記憶部２１は、構成情報取得部２２から読出／書込可能な記憶装置であり、図２に示すように、電子計算機２０１にインストールされているソフトウェア名と、そのソフトウェアのバージョン番号とからなる構成情報が記憶される。
【００２１】
構成情報におけるソフトウェア名とバージョン番号との組合せは、ソフトウェアの種類を特定するためのものであり、この組合せに限らず、バージョン番号の他にソフトウェアのバイナリのハッシュ値などを用いた組合せなどのように、ソフトウェアの種類を特定するための情報を含む組合せであれば、他の組合せでも構わない。
【００２２】
構成情報取得部２２は、電子計算機２０１にインストールされているソフトウェアに関する構成情報を取得する。構成情報は、例えば、電子計算機２０１内にインストールされているソフトウェアがファイルに記録されている場合もある、また、別の電子計算機にデータベースとして記録されている場合もある、また、必要に応じて電子計算機２０１内に存在するファイルを走査することによって取得する場合もある。
【００２３】
サービス設定情報記憶部２３は、サービス設定情報取得部２４から読出／書込可能な記憶装置であり、図３に示すように、電子計算機２０１にインストールされているソフトウェアのうち、電子計算機２０１で実際に稼動するソフトウェアのソフトウェア名からなるサービス設定情報が記憶される。
【００２４】
サービス設定取得部２４は、電子計算機２０１で実際に稼動するサービス設定に関するソフトウェアのソフトウェア名をサービス設定情報として取得してサービス設定情報記憶部２３に書き込む機能と、サービス設定情報記憶部２３内のサービス設定情報を脆弱性判定装置４０に送信する機能とをもっている。ここで、一般に、サービス設定情報は、電子計算機２０１においてサービスを起動するための設定が予め記録されている。サービス設定取得部２４では、例えば、オープンしているポートに対して、待ち受けを行っているソフトウェアのソフトウェア名をサービス設定情報として取得する。あるいは、現在起動しているソフトウェアを示すソフトウェア名や、特定のポートにアクセスがあった場合に起動するソフトウェアを示すソフトウェア名をサービス設定情報として取得してもよい。サービス設定情報を脆弱性判定装置４０に送信するタイミングは、例えば、構成情報取得部２２による構成情報の送信の直前又は直後とすればよい。
【００２５】
脆弱性情報公開サイト装置３０は、各種ソフトウェアについての脆弱性情報を公開するサイトであり、内部に脆弱性情報を保持し、この脆弱性情報を外部に公開している。外部への公開手段は、例えば、ネットワーク経由で公開する手法や、ＣＤ−ＲＯＭなどの記憶媒体を送付して公開する手法など、一般的な任意の手法が使用可能となっている。但し、ここではネットワーク経由で公開する手法を用いている。なお、このような脆弱性公開サイト装置３０は複数が存在しても構わない。
【００２６】
また、脆弱性情報公開サイト装置３０は、ウインドウズ（登録商標）・アップデートのサイト等のように、ソフトウェアメーカが運営して自社のソフトウェアの脆弱性情報を公開するサイトを想定している。しかし、これに限らず、IPAのような第三者が運営するサイトでもよく、特に限定されない。また、脆弱性情報公開サイト装置３０は、脆弱性判定装置４０を運営する会社に対し、同一の会社又は異なる会社のいずれに運営されていてもよい。これらの場合、脆弱性判定装置４０が外部の脆弱性情報公開サイト装置３０から脆弱性情報を収集することになる。
【００２７】
ここで、脆弱性情報公開サイト装置３０は、具体的には、脆弱性情報記憶部３１及び脆弱性情報管理部３２を備えている。
【００２８】
脆弱性情報記憶部３１は、脆弱性情報管理部３２から読出／書込可能な記憶装置であり、図４に示すように、脆弱性情報を記憶している。脆弱性情報は、脆弱性をもつ各ソフトウェアを示す各ソフトウェア名及び各対象バージョン番号が記されている。脆弱性情報におけるソフトウェア名と対象バージョン番号の組合せは、ソフトウェアの種類を特定するためのものであって、バージョン番号のほかにソフトウェアのバイナリのハッシュ値など、ソフトウェアの種類を特定するための情報であれば、他の組合せでも構わない。また、対象バージョン番号は、特定のバージョン番号を必ずしも記載する必要はなく、バージョン番号の範囲を記載しても構わない。
【００２９】
脆弱性情報管理部３２は、脆弱性情報公開サイト装置３０のサイト管理者の操作により、脆弱性情報記憶部３１内の脆弱性情報を更新する機能と、脆弱性情報記憶部３１内の脆弱性情報を公開する機能とをもっている。
【００３０】
脆弱性判定装置４０は、脆弱性情報取得部４１、脆弱性情報記憶部４２、構成情報要求部４３、構成情報記憶部４４、マッチング部４５及び影響度判定部４６を備えている。
【００３１】
脆弱性情報取得部４１は、例えば、脆弱性情報公開サイト装置３０の更新頻度に準じ、脆弱性情報公開サイト装置３０から脆弱性情報を取得して脆弱性情報記憶部４２に書き込む機能をもっている。
【００３２】
脆弱性情報記憶部４２は、脆弱性情報取得部４１から書込可能でマッチング部４５から読出可能な記憶装置であり、脆弱性情報が記憶される。
【００３３】
構成情報要求部４３は、電子計算機２０１に構成情報を要求する機能と、この要求により、電子計算機２０１から取得した構成情報を構成情報記憶部４４に書き込む機能とをもっている。
【００３４】
構成情報記憶部４４は、構成情報要求部４３から書込可能でマッチング部４５から読出可能な記憶装置であり、構成情報が記憶される。
【００３５】
マッチング部４５は、構成情報記憶部４４内の構成情報と脆弱性情報記憶部４２内の脆弱性情報とを照合する機能と、この照合により、構成情報記憶部４４内の構成情報に対し、脆弱性情報記憶部４２内の脆弱性情報との関連を有するか否かを判定する機能と、この判定の結果、図５に示すように、当該脆弱性情報との関連を有する構成情報を影響度判定部４６に送出する機能とをもっている。
【００３６】
影響度判定部４６は、マッチング部４５から送出された構成情報に対し、電子計算機２０１から取得したサービス設定情報との関連を有するか否かを判定する機能と、この判定の結果、当該サービス設定情報との関連を有する構成情報を出力する機能とをもっている。出力された構成情報は、他の電子計算機にサービスを提供するサーバ装置を管理するシステム管理者を置いているときは、図示しないシステム管理者の端末に通知される。
【００３７】
次に、以上のように構成された脆弱性判定装置及びその周辺構成の動作を説明する。
【００３８】
いま、脆弱性情報公開サイト装置３０によって、脆弱性情報が公開されているとする。
【００３９】
脆弱性判定装置４０においては、脆弱性情報取得部４１が、脆弱性情報公開サイト装置３０から脆弱性情報を取得して脆弱性情報記憶部４２に書き込む。
【００４０】
また、脆弱性判定装置４０においては、構成情報要求部４３が電子計算機２０１に構成情報を要求する。
【００４１】
電子計算機２０１は、この要求により、構成情報取得部２２が構成情報記憶部２１内の構成情報を脆弱性判定装置４０に返信する。
【００４２】
脆弱性判定装置４０においては、構成情報要求部４３が、電子計算機２０１から取得した構成情報を構成情報記憶部４４に書き込む。
【００４３】
マッチング部４５は、構成情報記憶部４４内の構成情報と脆弱性情報記憶部４２内の脆弱性情報とを照合することにより、構成情報記憶部４４内の構成情報に対し、脆弱性情報記憶部４２内の脆弱性情報との関連を有するか否かを判定する。
【００４４】
また、マッチング部４５は、この判定の結果、当該脆弱性情報との関連を有する構成情報を影響度判定部４６に送出する。この例では、図２に示した構成情報のうち、ソフトウェア名“ｒｐｃｂｉｎｄ”、“ｈｔｔｐｄ”、“ｓｓｈｄ”が図４に示した脆弱性情報に含まれるため、当該ソフトウェア名“ｒｐｃｂｉｎｄ”、“ｈｔｔｐｄ”、“ｓｓｈｄ”との関連を有する構成情報が影響度判定部４６に送出される。
【００４５】
影響度判定部４６は、送出された構成情報に対し、電子計算機２０１から取得したサービス設定情報との関連を有するか否かを判定し、この判定の結果、当該サービス設定情報との関連を有する構成情報を出力する。この例では、図５に示したマッチング部４６の出力のうち、ソフトウェア名“ｒｐｃｂｉｎｄ”、“ｈｔｔｐｄ”、“ｓｓｈｄ”が図３に示したサービス設定情報に含まれるため、当該ソフトウェア名“ｒｐｃｂｉｎｄ”、“ｈｔｔｐｄ”、“ｓｓｈｄ” との関連を有する構成情報が影響度判定部４６から出力される。すなわち、この例では、マッチング部４６の出力と、影響度判定部４６の出力とは同じものとなる。
【００４６】
この出力結果を、例えば、システム管理者へ通知することにより、システム管理者は電子計算機２０１にインストールされている脆弱性を持つソフトウェアのうち、ソフトウェア名“ｒｐｃｂｉｎｄ”、“ｈｔｔｐｄ”、“ｓｓｈｄ”のソフトウェアだけが実際に動作していることを確認でき、これらのソフトウェアにだけ対策を採ればよいことが分かるので、管理の手間を削減することができる。
【００４７】
上述したように本実施形態によれば、脆弱性情報との関連を有する構成情報に対し、電子計算機から取得したサービス設定情報との関連を有するか否かを判定する。そして、この判定の結果、サービス設定情報との関連を有する構成情報を出力する構成により、脆弱性情報が公開されたソフトウェアのうち、電子計算機に対する安全性への影響度が高いソフトウェアのみを判定でき、効率よく安全性を向上することができる。
【００４８】
（第２の実施形態）
図６は本発明の第２の実施形態に係る脆弱性判定装置及びその周辺構成を示すブロック図であり、図１と略同一部分には同一符号を付してその詳しい説明を省略し、ここでは異なる部分について主に述べる。なお、以下の実施形態も同様にして重複した説明を省略する。
【００４９】
すなわち、本実施形態は、サービス設定されたソフトウェアについて脆弱性を判定した第１の実施形態の変形例であり、より詳しい判定を行う観点から、サービス設定されたソフトウェアとその依存関係にあるソフトウェアとの両者について、脆弱性情報に高い影響を受けるソフトウェアを判定する構成となっている。
【００５０】
これに伴って、電子計算機２０１は、依存関係取得部２５を更に備えている。また、脆弱性判定装置４０は、前述した影響度判定部４６に代えて、影響度判定部４７を備えている。
【００５１】
ここで、依存関係取得部２５は、サービス設定取得部２４により取得されたサービス設定情報が示す各ソフトウェアに対して、依存関係のある各ソフトウェアを示す、各ソフトウェア名からなる依存関係情報を取得する機能と、この依存関係情報を脆弱性判定装置４０に送信する機能とをもっている。ここで、依存関係情報を脆弱性判定装置４０に送信するタイミングは、例えば、構成情報取得部２２による構成情報の送信の直前又は直後とすればよい。
【００５２】
一方、影響度判定部４７は、マッチング部４５から送出された構成情報に対し、電子計算機２０１から取得した依存関係情報との関連を有するか否かを判定する機能と、この判定の結果、当該依存関係情報との関連を有する構成情報を出力する機能とをもっている。出力された構成情報は、他の電子計算機にサービスを提供するサーバ装置を管理するシステム管理者を置いているときは、図示しないシステム管理者の端末に通知される。
【００５３】
次に、以上のように構成された脆弱性判定装置及びその周辺構成の動作を説明する。
【００５４】
いま、脆弱性情報公開サイト装置３０は、前述同様に、脆弱性情報を公開しているとする。また、脆弱性判定装置４０においては、前述同様に、脆弱性情報取得部４１、構成情報要求部４３及びマッチング部４５が順次処理を実行し、マッチング部４５が、脆弱性情報との関連を有する構成情報を影響度判定部４７に送出したとする。
【００５５】
一方、電子計算機２０１においては、サービス設定取得部２４が、サービス設定情報記憶部２３内のサービス設定情報を依存関係取得部２５に送出する。
【００５６】
依存関係取得部２５は、図７に示すように、サービス設定情報としてソフトウェア名が入力されると（ＳＴ１）、このソフトウェア名に対して依存関係にあるソフトウェアを走査する（ＳＴ２）。この走査は、例えば、ＯＳに予めインストールされているソフトウェアパッケージ管理機能を用いて実行する。
【００５７】
走査の結果、依存関係にあるソフトウェアが検出された場合（ＳＴ３：ＮＯ）には、当該検出されたソフトウェアに対して、依存関係にあるソフトウェアを走査する。このステップＳＴ２からＳＴ３までの処理を依存関係が検出されなくなるまで再帰的に実行することにより、入力したソフトウェアと依存関係にある全てのソフトウェアを検出してそのソフトウェア名を取得することができる。依存関係にあるソフトウェアが無い場合（ＳＴ３：ＹＥＳ）には、依存関係取得部２５は、図８に示すように、依存関係にあるソフトウェアのソフトウェア名を一覧して示す依存関係情報を取得する（ＳＴ４）。
【００５８】
この依存関係情報の例では、ソフトウェア名“Ｅｘｐａｔ”のソフトウェアは、ソフトウェア名“Ｅｘｐａｔ−Ｄｅｖｅｌ”、“Ａｖａｈｉ”に依存している。また、ソフトウェア名“ｒｐｃｂｉｎｄ”のソフトウェアは、ソフトウェア名“ｙｐｂｉｎｄ”、“ｙｐｔｏｏｌｓ”、“ｎｆｓ−ｕｔｉｌｓ”の各ソフトウェアに依存している。また、ソフトウェア名“ｈｔｔｐｄ”のソフトウェアは、ソフトウェア名“ｍｏｄ＿ｓｓｌ”、“ｇｎｏｍｅ−ｕｓｅｒ−ｓｈａｒｅ”、“ｍｏｄ＿ｐｙｔｈｏｎ”の各ソフトウェアに依存している。また、ソフトウェア名“ｓｓｈ”のソフトウェアは、依存するソフトウェアが存在しないことが分かる。
【００５９】
依存関係取得部２５は、ステップＳＴ４で取得した依存関係情報を脆弱性判定装置４０に送信する。
【００６０】
脆弱性判定装置４０においては、影響度判定部４７が、マッチング部４５から送出された構成情報に対し、電子計算機２０１から取得した依存関係情報との関連を有するか否かを判定し、この判定の結果、当該依存関係情報との関連を有する構成情報を出力する。
【００６１】
上述したように本実施形態によれば、第１の実施形態の効果に加え、依存関係にあるソフトウェアの分だけ、より詳しい脆弱性判定を行うことができる。
【００６２】
補足すると、本実施形態は、ソフトウェアの依存関係に基づいて、より正確な脆弱性情報を出力できる。一般に、ソフトウェアが動作するためには、別のソフトウェアが必要になる。このような依存関係を保持しているＯＳも多い。例えば、サービスＡを提供するソフトウェアＡが、ソフトウェアＢに依存している場合、ソフトウェアＢに脆弱性があれば、サービスＡを介してソフトウェアＢの脆弱性を突かれる可能性がある。
【００６３】
これに対し、本実施形態によれば、各ソフトウェア間の依存関係情報に基づいて、より正確な脆弱性情報を出力することができる。
【００６４】
（第３の実施形態）
図９は本発明の第３の実施形態に係る脆弱性判定装置及びその周辺構成を示すブロック図である。
【００６５】
本実施形態は、サービス設定されたソフトウェアについて脆弱性を判定した第１及び第２の実施形態の変形例であり、サービス設定されたソフトウェアのログインの要否に基づいて、脆弱性情報に高い影響度をもつソフトウェアを影響度と共に、通知する構成となっている。
【００６６】
ここで、ソフトウェアの脆弱性の種類について補足する。脆弱性には大きく分けて２つのタイプがある。
【００６７】
１つ目は、そのソフトウェアが提供しているサービスがネットワーク経由で利用可能でさえあれば、脆弱性が問題となるタイプである。具体的には、脆弱性を突くためにログインなどのユーザ認証を必要としないタイプである。このタイプの脆弱性は、ソフトウェアの利用権限の無いユーザでも攻撃可能であるので、影響度が高いといえる。
【００６８】
２つ目は、そのソフトウェアが提供しているサービスが利用不可能であることから、脆弱性が問題とならないタイプである。具体的には、脆弱性を突くためにログインなどのユーザ認証を必要とするタイプである。このタイプの脆弱性は、ソフトウェアの利用権限の無いユーザからは攻撃できないので、影響度が低いといえる。
【００６９】
すなわち、本実施形態は、“脆弱性をもつ各ソフトウェアに関して当該脆弱性を攻撃するためにログインなどのユーザ認証が必要か否か”を示すログイン要否情報を、脆弱性情報記憶部３１’内の脆弱性情報が更に含んでいる場合に、このログイン要否情報を考慮して脆弱性の影響度を判定するものである。
【００７０】
これに伴い、脆弱性情報取得部４１が取得して脆弱性情報記憶部４２に書き込む脆弱性情報は、図１０に示すように、ログイン要否情報としての脆弱性タイプを含む内容となる。図１０中、脆弱性タイプは、ソフトウェア名“ｒｐｃｂｉｎｄ”，“ｈｔｔｐｄ”の各ソフトウェアについてはログインを必要としない脆弱性タイプ（ＮＥＴＷＯＲＫと表記）であり、ソフトウェア名“ｓｓｈｄ”のソフトウェアについてはログインを必要とする脆弱性タイプ（ここではＬＯＧＩＮと表記）であることを表している。
【００７１】
また、電子計算機２０１は、サービスユーザ対応リスト記憶部２６及びサービス利用ユーザ数取得部２７を更に備えている。
【００７２】
サービスユーザ対応リスト記憶部２６は、サービス設定情報内のソフトウェア名と当該ソフトウェア名のソフトウェアを利用するユーザとを示すサービスユーザ対応リスト（リスト情報）を保持する記憶装置である。なお、本実施形態の電子計算機２０１は、他の電子計算機（クライアント端末）にサービスを提供するサーバ装置を想定している。一般的に電子計算機がサービスを提供する場合には、サービス毎に、そのサービスを受けられるユーザを記載したサービスユーザ対応リストを保持している。
【００７３】
サービス利用ユーザ数取得部２７は、サービスユーザ対応リストに基づいて、ソフトウェア名毎にユーザ数を示すサービス利用ユーザ数（ユーザ数情報）を取得する機能と、このサービス利用ユーザ数を脆弱性判定装置４０に送信する機能とをもっている。
【００７４】
サービス利用ユーザ数は、サービス利用ユーザ数取得部２７が、サービス毎に存在するサービスユーザ対応リストの内容を読み込み、サービス対応ユーザリストに記載されたユーザをカウントして取得される。取得されたサービス利用ユーザ数は、例えば図１１に示すように、ソフトウェア名“ｓｓｈｄ”のソフトウェアの利用者が１５人であり、ソフトウェア名“ｖｓｆｔｐｄ”のソフトウェアの利用者が５０人である場合を示している。
【００７５】
サービス利用ユーザ数を脆弱性判定装置４０に送信するタイミングは、例えば、依存関係取得部２５による依存関係情報の送信の直前又は直後とすればよい。
【００７６】
一方、影響度判定部４７’は、前述した影響度判定部４７に代えて、マッチング部４５から送出された構成情報に対し、電子計算機２０１から取得した依存関係情報との関連を有するか否かを判定する機能と、この判定の結果、当該依存関係情報との関連を有する構成情報に対し、電子計算機２０１から取得したユーザ数情報が所定ユーザ数以上の場合又は脆弱性情報記憶部４２内の脆弱性タイプ（ログイン要否情報）がログインの必要を示す場合に高い値となるように影響度（脆弱性影響度）を算出する機能と、算出した影響度及び依存関係情報との関連を有する構成情報内のソフトウェア名を互いに関連付けて出力する機能とをもっている。
【００７７】
ここで、例えば、影響度を１〜１００の数値で表現し、影響度はユーザ数に比例すると仮定する。ユーザ数が１００人以上の場合、ログイン処理の必要なしに脆弱性を突けることと同等に、影響度が大きいと仮定する。なお、ログインが必要ない脆弱性の影響度は影響度の最大値である１００と仮定する。この仮定における影響度判定部４７’の出力の一例を図１２に示す。例えば、ソフトウェア名“ｓｓｈｄ”のソフトウェアは、ユーザ数が１５人なので、影響度が１５となる。ソフトウェア名“ｒｐｃｂｉｎｄ”，“ｈｔｔｐｄ”の各ソフトウェアは、ログイン処理の必要なしに脆弱性を突けるため、影響度が１００となる。なお、ソフトウェア名“ｖｓｆｔｐ”のソフトウェアは、脆弱性情報が未公開なので、脆弱性の評価対象にはならない。
【００７８】
次に、以上のように構成された脆弱性判定装置及びその周辺構成の動作を説明する。
【００７９】
いま、脆弱性情報公開サイト装置３０は、脆弱性タイプを含む脆弱性情報を公開しているとする。また、脆弱性判定装置４０においては、前述同様に、脆弱性情報取得部４１、構成情報要求部４３及びマッチング部４５が順次処理を実行し、マッチング部４５が、脆弱性情報との関連を有する構成情報を影響度判定部４７’に送出したとする。
【００８０】
一方、電子計算機２０１においては、前述同様に、依存関係取得部２５が依存関係情報を取得して脆弱性判定装置４０に送信する。
【００８１】
また、電子計算機２０１においては、サービス利用ユーザ数取得部２７が、サービスユーザ対応リスト記憶部２６内のサービスユーザ対応リストに基づいて、ソフトウェア名毎にユーザ数を示すサービス利用ユーザ数を取得し、このサービス利用ユーザ数を脆弱性判定装置４０に送信する。
【００８２】
一方、脆弱性判定装置４０においては、影響度判定部４７’が、マッチング部４５から送出された構成情報に対し、電子計算機２０１から取得した依存関係情報との関連を有するか否かを判定する。
【００８３】
また、影響度判定部４７’は、この判定の結果、当該依存関係情報との関連を有する構成情報に対し、電子計算機２０１から取得したユーザ数情報が所定ユーザ数以上の場合又は脆弱性情報記憶部４２内の脆弱性タイプがログインの必要を示す場合に高い値となるように影響度を算出する。
【００８４】
しかる後、影響度判定部４７’は、算出した影響度と、依存関係情報との関連を有する構成情報内のソフトウェア名とを互いに関連付けて出力する。
【００８５】
上述したように本実施形態によれば、第２の実施形態の効果に加え、ログイン要否情報としての脆弱性タイプに基づき、影響度の大きさを正確に把握することができる。
【００８６】
補足すると、ソフトウェアの脆弱性には、その脆弱性を突くために、予めユーザ認証が必要なものと、ユーザ認証が不要なものがある。予めユーザ認証が必要な脆弱性については、脆弱性を突ける人数が限られることから、ユーザ認証が不要な脆弱性に比べ、影響度が低い。本実施形態は、ユーザ認証が不要な脆弱性は影響度が高いという関係に基づき、より正確な脆弱性の影響度を算出することができる。
【００８７】
なお、上記実施形態に記載した手法は、電子計算機に実行させることのできるプログラムとして、磁気ディスク（フロッピー（登録商標）ディスク、ハードディスクなど）、光ディスク（ＣＤ−ＲＯＭ、ＤＶＤなど）、光磁気ディスク（ＭＯ）、半導体メモリなどの記憶媒体に格納して頒布することもできる。
【００８８】
また、この記憶媒体としては、プログラムを記憶でき、かつ電子計算機が読み取り可能な記憶媒体であれば、その記憶形式は何れの形態であっても良い。
【００８９】
また、記憶媒体から電子計算機にインストールされたプログラムの指示に基づきコンピュータ上で稼働しているＯＳ（Operating System）や、データベース管理ソフト、ネットワークソフト等のＭＷ（Middleware）等が上記実施形態を実現するための各処理の一部を実行しても良い。
【００９０】
さらに、本発明における記憶媒体は、電子計算機と独立した媒体に限らず、ＬＡＮやインターネット等により伝送されたプログラムをダウンロードして記憶または一時記憶した記憶媒体も含まれる。
【００９１】
また、記憶媒体は１つに限らず、複数の媒体から上記実施形態における処理が実行される場合も本発明における記憶媒体に含まれ、媒体構成は何れの構成であっても良い。
【００９２】
尚、本発明における電子計算機は、記憶媒体に記憶されたプログラムに基づき、上記実施形態における各処理を実行するものであって、ＰＣ等の１つからなる装置、複数の装置がネットワーク接続された情報システム等の何れの構成であっても良い。
【００９３】
また、本発明における電子計算機とは、ＰＣに限らず、情報処理機器に含まれる演算処理装置、マイコン等も含み、プログラムによって本発明の機能を実現することが可能な機器、装置を総称している。
【００９４】
なお、本願発明は、上記実施形態そのままに限定されるものではなく、実施段階ではその要旨を逸脱しない範囲で構成要素を変形して具体化できる。また、上記実施形態に開示されている複数の構成要素の適宜な組合せにより種々の発明を形成できる。例えば、実施形態に示される全構成要素から幾つかの構成要素を削除してもよい。更に、異なる実施形態に亘る構成要素を適宜組合せてもよい。
【図面の簡単な説明】
【００９５】
【図１】本発明の第１の実施形態に係る脆弱性判定装置及びその周辺構成を示すブロック図である。
【図２】同実施形態における構成情報取得部の出力内容を示す模式図である。
【図３】同実施形態におけるサービス設定取得部の出力内容を示す模式図である。
【図４】同実施形態における脆弱性情報公開サイト装置が公開する脆弱性情報の構成を示す模式図である。
【図５】同実施形態における影響度判定部の出力内容を示す模式図である。
【図６】本発明の第２の実施形態に係る脆弱性判定装置及びその周辺構成を示すブロック図である。
【図７】同実施形態における依存関係取得部の動作を説明するためのフローチャートである。
【図８】同実施形態における依存関係取得部の出力内容を示す模式図である。
【図９】本発明の第３の実施形態に係る脆弱性判定装置及びその周辺構成を示すブロック図である。
【図１０】同実施形態における脆弱性情報の構成を示す模式図である。
【図１１】同実施形態におけるサービス利用ユーザ数取得部の出力内容を示す模式図である。
【図１２】同実施形態における影響度判定部の出力内容を示す模式図である。
【符号の説明】
【００９６】
１０…情報システム、２０１〜２０ｎ…電子計算機、２１…構成情報記憶部、２２…構成情報取得部、２３…サービス設定情報記憶部、２４…サービス設定取得部、２５…依存関係取得部、２６…サービスユーザ対応リスト記憶部、２７…サービス利用ユーザ数取得部、３０…脆弱性情報公開サイト装置、３１，３１’…脆弱性情報記憶部、３２…脆弱性情報管理部、４０…脆弱性判定装置、４１…脆弱性情報取得部、４２…脆弱性情報記憶部、４３…構成情報要求部、４４…構成情報記憶部、４５…マッチング部、４６，４７，４７’…影響度判定部、
【特許請求の範囲】
【請求項１】
インストールされた複数のソフトウェアを示す各ソフトウェア名及び各バージョン情報からなる構成情報、並びに前記各ソフトウェア名のうちのサービス設定された各ソフトウェアの各ソフトウェア名を含むサービス設定情報を保持する手段と、脆弱性をもつ各ソフトウェアを示す各ソフトウェア名及び各対象バージョン情報からなる脆弱性情報を取得する手段と、前記脆弱性情報を記憶する手段と、前記構成情報を記憶する手段とを備えた脆弱性判定装置であって、
前記脆弱性情報を取得して、前記脆弱性情報を記憶する手段に前記脆弱性情報を書き込む手段、
前記サービス設定情報を保持する手段から前記構成情報を取得して、前記構成情報記憶手段に書き込む手段、
前記構成情報を記憶する手段内の前記構成情報に対し、前記脆弱性情報を記憶する手段内の前記脆弱性情報との関連を有するか否かを判定する手段、
この判定の結果、前記脆弱性情報との関連を有する前記構成情報に対し、前記サービス設定情報との関連を有するか否かを判定する手段、
この判定の結果、前記サービス設定情報との関連を有する前記構成情報を出力する手段、
を備えたことを特徴とする脆弱性判定装置。
【請求項２】
インストールされた複数のソフトウェアを示す各ソフトウェア名及び各バージョン情報からなる構成情報、並びに前記各ソフトウェア名のうちのサービス設定された各ソフトウェアの各ソフトウェア名を含むサービス設定情報を保持する手段と、脆弱性をもつ各ソフトウェアを示す各ソフトウェア名及び各対象バージョン情報を含む脆弱性情報を取得する手段と、前記脆弱性情報を記憶する手段と、前記構成情報を記憶する手段を備えた脆弱性判定装置に用いられるプログラムであって、
前記脆弱性判定装置を、
前記脆弱性情報を取得して、前記脆弱性情報を記憶する手段に前記脆弱性情報を書き込む手段、
前記サービス設定情報を保持する手段から前記構成情報を取得して、前記構成情報記憶手段に書き込む手段、
前記構成情報を記憶する手段内の前記構成情報に対し、前記脆弱性情報を記憶する手段内の前記脆弱性情報との関連を有するか否かを判定する手段、
この判定の結果、前記脆弱性情報との関連を有する構成情報に対し、前記サービス設定情報との関連を有するか否かを判定する手段、
この判定の結果、前記サービス設定情報にとの関連を有する前記構成情報を出力する手段、
として機能させるためのプログラム。
【請求項３】
請求項２に記載のプログラムにおいて、
前記サービス設定情報を保持する手段は、前記サービス設定情報が示す各ソフトウェアと依存関係にある各ソフトウェアを示す各ソフトウェア名からなる依存関係情報を取得する機能を更に備えているおり、
前記サービス設定情報との関連を有するか否かを判定する手段及び前記サービス設定情報との関連を有する前記構成情報を出力する手段に代えて、
前記構成情報が前記サービス設定情報との関連を有するか否かの判定の結果、前記脆弱性情報との関連を有する前記構成情報に対し、前記サービス設定情報を保持する手段から取得した依存関係情報との関連を有するか否かを判定する手段、
この判定の結果、前記依存関係情報との関連を有する前記構成情報を出力する手段、
として前記脆弱性判定装置を機能させるためのプログラム。
【請求項４】
請求項３に記載のプログラムにおいて、
前記サービス設定情報を保持する手段は、前記サービス設定情報内のソフトウェア名とこのソフトウェア名のソフトウェアを利用するユーザとを示すリスト情報を更に保持し、且つ前記リスト情報に基づいて前記ソフトウェア名毎に前記ユーザの数を示すユーザ数情報を取得する機能を更に備えており、
前記脆弱性情報としては、前記脆弱性をもつ各前記ソフトウェアに関して、この脆弱性を狙って攻撃するためにログインが必要か否かを示すログイン要否情報を更に含んでいる場合に、
前記依存関係情報との関連を有する前記構成情報を出力する手段に代えて、
前記依存関係情報が前記サービス設定情報との関連を有するか否かの判定の結果、前記依存関係情報との関連を有する構成情報に対し、前記サービス設定情報を保持する手段から取得した前記ユーザ数情報が所定ユーザ数以上の場合又は前記脆弱性情報を記憶する手段内のログイン要否情報がログインの必要を示す場合に、高い値となるように脆弱性影響度を算出する手段と、
前記算出した脆弱性影響度と、前記依存関係情報との関連を有する前記構成情報内のソフトウェア名とを互いに関連付けて出力する手段、
として前記脆弱性判定装置を機能させるためのプログラム。
【請求項１】
インストールされた複数のソフトウェアを示す各ソフトウェア名及び各バージョン情報からなる構成情報、並びに前記各ソフトウェア名のうちのサービス設定された各ソフトウェアの各ソフトウェア名を含むサービス設定情報を保持する手段と、脆弱性をもつ各ソフトウェアを示す各ソフトウェア名及び各対象バージョン情報からなる脆弱性情報を取得する手段と、前記脆弱性情報を記憶する手段と、前記構成情報を記憶する手段とを備えた脆弱性判定装置であって、
前記脆弱性情報を取得して、前記脆弱性情報を記憶する手段に前記脆弱性情報を書き込む手段、
前記サービス設定情報を保持する手段から前記構成情報を取得して、前記構成情報記憶手段に書き込む手段、
前記構成情報を記憶する手段内の前記構成情報に対し、前記脆弱性情報を記憶する手段内の前記脆弱性情報との関連を有するか否かを判定する手段、
この判定の結果、前記脆弱性情報との関連を有する前記構成情報に対し、前記サービス設定情報との関連を有するか否かを判定する手段、
この判定の結果、前記サービス設定情報との関連を有する前記構成情報を出力する手段、
を備えたことを特徴とする脆弱性判定装置。
【請求項２】
インストールされた複数のソフトウェアを示す各ソフトウェア名及び各バージョン情報からなる構成情報、並びに前記各ソフトウェア名のうちのサービス設定された各ソフトウェアの各ソフトウェア名を含むサービス設定情報を保持する手段と、脆弱性をもつ各ソフトウェアを示す各ソフトウェア名及び各対象バージョン情報を含む脆弱性情報を取得する手段と、前記脆弱性情報を記憶する手段と、前記構成情報を記憶する手段を備えた脆弱性判定装置に用いられるプログラムであって、
前記脆弱性判定装置を、
前記脆弱性情報を取得して、前記脆弱性情報を記憶する手段に前記脆弱性情報を書き込む手段、
前記サービス設定情報を保持する手段から前記構成情報を取得して、前記構成情報記憶手段に書き込む手段、
前記構成情報を記憶する手段内の前記構成情報に対し、前記脆弱性情報を記憶する手段内の前記脆弱性情報との関連を有するか否かを判定する手段、
この判定の結果、前記脆弱性情報との関連を有する構成情報に対し、前記サービス設定情報との関連を有するか否かを判定する手段、
この判定の結果、前記サービス設定情報にとの関連を有する前記構成情報を出力する手段、
として機能させるためのプログラム。
【請求項３】
請求項２に記載のプログラムにおいて、
前記サービス設定情報を保持する手段は、前記サービス設定情報が示す各ソフトウェアと依存関係にある各ソフトウェアを示す各ソフトウェア名からなる依存関係情報を取得する機能を更に備えているおり、
前記サービス設定情報との関連を有するか否かを判定する手段及び前記サービス設定情報との関連を有する前記構成情報を出力する手段に代えて、
前記構成情報が前記サービス設定情報との関連を有するか否かの判定の結果、前記脆弱性情報との関連を有する前記構成情報に対し、前記サービス設定情報を保持する手段から取得した依存関係情報との関連を有するか否かを判定する手段、
この判定の結果、前記依存関係情報との関連を有する前記構成情報を出力する手段、
として前記脆弱性判定装置を機能させるためのプログラム。
【請求項４】
請求項３に記載のプログラムにおいて、
前記サービス設定情報を保持する手段は、前記サービス設定情報内のソフトウェア名とこのソフトウェア名のソフトウェアを利用するユーザとを示すリスト情報を更に保持し、且つ前記リスト情報に基づいて前記ソフトウェア名毎に前記ユーザの数を示すユーザ数情報を取得する機能を更に備えており、
前記脆弱性情報としては、前記脆弱性をもつ各前記ソフトウェアに関して、この脆弱性を狙って攻撃するためにログインが必要か否かを示すログイン要否情報を更に含んでいる場合に、
前記依存関係情報との関連を有する前記構成情報を出力する手段に代えて、
前記依存関係情報が前記サービス設定情報との関連を有するか否かの判定の結果、前記依存関係情報との関連を有する構成情報に対し、前記サービス設定情報を保持する手段から取得した前記ユーザ数情報が所定ユーザ数以上の場合又は前記脆弱性情報を記憶する手段内のログイン要否情報がログインの必要を示す場合に、高い値となるように脆弱性影響度を算出する手段と、
前記算出した脆弱性影響度と、前記依存関係情報との関連を有する前記構成情報内のソフトウェア名とを互いに関連付けて出力する手段、
として前記脆弱性判定装置を機能させるためのプログラム。
【図１】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【図１０】
【図１１】
【図１２】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【図１０】
【図１１】
【図１２】
【公開番号】特開２０１０−６７２１６（Ｐ２０１０−６７２１６Ａ）
【公開日】平成２２年３月２５日（２０１０．３．２５）
【国際特許分類】
【出願番号】特願２００８−２３５４６５（Ｐ２００８−２３５４６５）
【出願日】平成２０年９月１２日（２００８．９．１２）
【出願人】（０００００３０７８）株式会社東芝 (54,554)
【出願人】（３０１０６３４９６）東芝ソリューション株式会社 (1,478)
【Ｆターム（参考）】
【公開日】平成２２年３月２５日（２０１０．３．２５）
【国際特許分類】
【出願日】平成２０年９月１２日（２００８．９．１２）
【出願人】（０００００３０７８）株式会社東芝 (54,554)
【出願人】（３０１０６３４９６）東芝ソリューション株式会社 (1,478)
【Ｆターム（参考）】
[ Back to top ]