JP2006011510A - 脆弱性検査システム - Google Patents

Abstract

【課題】 脆弱性検査の環境構築の自動化が可能でエージェントの作成が容易な脆弱性検査システムを実現する。
【解決手段】 ネットワークからの攻撃に対するシステムの脆弱性を検査する脆弱性検査システムにおいて、ネットワークに接続され情報やエージェントが格納されているサーバと、ネットワークに接続されたコンピュータとを備え、コンピュータで動作する制御エージェントが、開始指示されたシナリオに基づき必要な情報やエージェントをネットワークを介してサーバから取得してシナリオを実行するための環境をコンピュータ内に構築して脆弱性検査の準備を行い、準備が完了した時点で脆弱性検査を実行する。
【選択図】 図１

Description

本発明は、ネットワークからの攻撃に対するシステムの脆弱性を検査する脆弱性検査システムに関し、特に脆弱性検査の環境構築の自動化が可能でエージェントの作成が容易な脆弱性検査システムに関する。

従来のネットワークからの攻撃に対するシステムの脆弱性を検査する脆弱性検査システムに関連する先行技術文献としては次のようなものがある。

特開２００２−２２９９４５号公報 特開２００２−２２９９４６号公報 特開２００２−２６８９８５号公報 特表２００２−５２１７７５号公報 特開２００３−１０８５２１号公報 特開２００３−２５６２３４号公報 特開２００４−１０２４７９号公報 特開２００４−１０３０１４号公報

図６は「特許文献１」に記載された従来の脆弱性検査システムの一例を示す構成ブロック図である。図６において１は管理用コンピュータシステム、２，３，４及び５はＤＤｏＳ（Distributed ＤｏＳ攻撃：協調分散型ＤｏＳ攻撃）攻撃を行う攻撃用コンピュータシステム、６は被検査対象の挙動を測定する計測コンピュータシステム、７は脆弱性検査中に各種サーバ等に対してｈｔｔｐ（HyperText Transfer Protocol）リクエスト等のサービス要求を行う善意コンピュータシステム、８は通信ネットワークのルータやレイヤ３スイッチ等の通信機器、９はファイヤウォール機能を有するファイヤウォール部、１０はＤＮＳ（Domain Name System）サーバ、１１はＷＷＷ（World Wide Web）サーバ、１２はＳＭＴＰ（Simple Mail Transfer Protocol）サーバである。

また、１，２，３，４及び５は検査コンピュータシステム５０を、９，１０，１１及び１２は被検査コンピュータシステム５１をそれぞれ構成している。

管理コンピュータシステム１は各攻撃用コンピュータシステム２，３，４及び５に接続され、攻撃用コンピュータシステム２，３，４及び５は図６中”ＮＴ０１”に示すネットワークの通信機器８に接続される。また、善意コンピュータシステム７もまた通信機器８に接続される。

一方、通信機器８はファイヤウォール部９を介してＤＮＳサーバ１０、ＷＷＷサーバ１１及びＳＭＴＰサーバ１２に相互に接続される。

さらに、通信機器８、ファイヤウォール部９、ＤＮＳサーバ１０、ＷＷＷサーバ１１及びＳＭＴＰサーバ１２は図６中”ＮＴ０１”に示すネットワークとは物理的に独立した図６中”ＮＴ０２”に示す専用ネットワークにより計測コンピュータシステム６に相互に接続される。

ここで、図６に示す従来例の動作を図７を用いて説明する。図７は実際のＤＤｏＳツールの構成を示す説明図であり、図７中”ＡＴ１１”及び”ＡＴ１２”に示すネットワークを介して攻撃を指示するアタッカ部、図７中”ＨＬ１１”，”ＨＬ１２”及び”ＨＬ１３”に示す攻撃を中継するハンドラ部、図７中”ＡＧ１１”，”ＡＧ１２”，”ＡＧ１３”及び”ＡＧ１４”に示す攻撃を実行するエージェント部が順次改装構造を有している。

そして、目標となるコンピュータシステムに対して攻撃をかける場合には、図７中”ＡＴ１１”等に示すアタッカ部が攻撃を起動し、図７中”ＨＬ１１”等に示すハンドラ部がその起動を受けて攻撃指示を中継し、図７中”ＡＧ１１”等に示すエージェント部が目標のコンピュータシステムへ攻撃を開始する。

具体的には、管理コンピュータシステム１から攻撃指示を受けた攻撃用コンピュータシステム２〜５は、通信機器８を介して被検査コンピュータシステム５１を構成するファイヤウォール部９、ＤＮＳサーバ１０、ＷＷＷサーバ１１及びＳＭＴＰサーバ１２に対してＤＤｏｓ攻撃を行う。

一方、図６中”ＮＴ０２”に示す専用ネットワークで接続された計測コンピュータシステム６は、このようなＤＤｏＳ攻撃中に被検査コンピュータシステム５１を構成するファイヤウォール部９、ＤＮＳサーバ１０、ＷＷＷサーバ１１及びＳＭＴＰサーバ１２のリソース（ＣＰＵ（Central Processing Unit）、メモリ、ＯＳ（Operating System）、ネットワーク等）の消費率を測定する。

このように、図６中”ＮＴ０２”に示すような専用ネットワークを介して攻撃を受けている最中の被検査コンピュータシステム５１の挙動を測定するので、その測定は正確である。また、図６中”ＮＴ０２”に示す専用ネットワークにおいてはＳＮＭＰ（Simple Network Management Protocol）によって挙動の測定等が行われる。

しかし、図６に示す従来例では、被測定コンピュータシステムの挙動の測定の為に専用ネットワークを設ける必要性等があり、脆弱性の検査に必要な環境を構築するのに手間がかかってしまうと言った問題点があった。

また、攻撃用コンピュータシステムで動作する図７中”ＡＧ１１”等に示すようなエージェント部は規格化されておらず、新たなエージェントの作成には手間がかかってしまうと言った問題点があった。
従って本発明が解決しようとする課題は、脆弱性検査の環境構築の自動化が可能でエージェントの作成が容易な脆弱性検査システムを実現することにある。

このような課題を達成するために、本発明のうち請求項１記載の発明は、
ネットワークからの攻撃に対するシステムの脆弱性を検査する脆弱性検査システムにおいて、
前記ネットワークに接続され情報やエージェントが格納されているサーバと、前記ネットワークに接続されたコンピュータとを備え、
前記コンピュータで動作する制御エージェントが、開始指示されたシナリオに基づき必要な情報やエージェントを前記ネットワークを介して前記サーバから取得して前記シナリオを実行するための環境を前記コンピュータ内に構築して脆弱性検査の準備を行い、準備が完了した時点で脆弱性検査を実行することにより、脆弱性検査の環境構築の自動化が可能になる。

請求項２記載の発明は、
請求項１記載の発明である脆弱性検査システムにおいて、
前記制御エージェントが、
前記シナリオの進捗により前記サーバから取得した前記エージェントに対して処理の実行を行わせることにより、脆弱性検査の環境構築の自動化が可能になる。

請求項３記載の発明は、
請求項１記載の発明である脆弱性検査システムにおいて、
複数の前記コンピュータを備え、
複数の前記コンピュータで動作する全ての前記制御エージェントの準備が完了した時点で脆弱性検査を実行することにより、脆弱性検査の環境構築の自動化が可能になる。

請求項４記載の発明は、
請求項２記載の発明である脆弱性検査システムにおいて、
各々の前記制御エージェントが、
他のコンピュータで動作する前記制御エージェントとの間で同期をとりながら前記シナリオの進捗を管理すると共に前記シナリオの進捗により前記サーバから取得したそれぞれの前記エージェントに対して処理の実行を行わせることにより、脆弱性検査の環境構築の自動化が可能になる。

請求項５記載の発明は、
請求項２記載の発明である脆弱性検査システムにおいて、
複数の前記コンピュータの一に脆弱性検査中に各種サーバに対してサービス要求を行う善意コンピュータの役割を実行させることにより、脆弱性検査の環境構築の自動化が可能になる。

請求項６記載の発明は、
請求項２若しくは請求項４記載の発明である脆弱性検査システムにおいて、
前記エージェントが、
ｉｎｉｔ命令を受けた場合に、シナリオで指定されている設定ファイルを前記ネットワークを介して前記サーバから取得すると共に初期化を行うことにより、ユーザが比較的容易にエージェントを作成することが可能になり、拡張性が向上する。

請求項７記載の発明は、
請求項６記載の発明である脆弱性検査システムにおいて、
前記エージェントが、
ｓｔａｒｔ命令を受けた場合に、取得した前記設定ファイルに基づき定められた動作を実行することにより、ユーザが比較的容易にエージェントを作成することが可能になり、拡張性が向上する。

請求項８記載の発明は、
請求項２若しくは請求項４記載の発明である脆弱性検査システムにおいて、
前記エージェントが、
ｓｔｏｐ命令を受けた場合に、実行中の動作を停止することにより、ユーザが比較的容易にエージェントを作成することが可能になり、拡張性が向上する。

請求項９記載の発明は、
請求項２若しくは請求項４記載の発明である脆弱性検査システムにおいて、
前記エージェントが、
ｐｏｓｔ命令を受けた場合に、結果を前記ネットワークを介して前記サーバに保存することにより、ユーザが比較的容易にエージェントを作成することが可能になり、拡張性が向上する。

請求項１０記載の発明は、
請求項１、請求項２若しくは請求項４記載の発明である脆弱性検査システムにおいて、
前記シナリオが、
前記エージェントが実行する内容を時系列的に記述、若しくは、前記エージェントが実行する複数のステップを実行単位としてまとめて当該実行単位を組み合わせて記述したことにより、脆弱性検査の環境構築の自動化が可能になる。

請求項１１記載の発明は、
請求項１、請求項２若しくは請求項４記載の発明である脆弱性検査システムにおいて、
前記シナリオが、
分岐、待機、繰り返し、若しくは、条件判断を行うように記述したことにより、脆弱性検査の環境構築の自動化が可能になる。

請求項１２記載の発明は、
請求項１、請求項２若しくは請求項４記載の発明である脆弱性検査システムにおいて、
前記シナリオが、
拡張マークアップ言語形式で記述したことにより、脆弱性検査の環境構築の自動化が可能になる。

本発明によれば次のような効果がある。
請求項１，２，３，４，５，１０，１１及び請求項１２の発明によれば、各コンピュータで動作する制御エージェントが開始指示されたシナリオに基づき必要な情報やエージェントをサーバから取得してシナリオを実行するための環境をコンピュータ内に構築して脆弱性検査の準備を行い、全制御エージェントの準備が完了した時点で脆弱性検査を実行することにより、脆弱性検査の環境構築の自動化が可能になる。

また、請求項６，７，８及び請求項９の発明によれば、エージェントが最低限実装すべき命令を実行する機能を規定してエージェントを規格化することにより、ユーザが比較的容易にエージェントを作成することが可能になり、拡張性が向上する。

以下本発明を図面を用いて詳細に説明する。図１は本発明に係る脆弱性検査システムの一実施例を示す構成ブロック図である。図１において１３は脆弱性検査に必要なシナリオ、ソフトウェア、エージェント及び設定ファイル等の情報やツールが格納されているサーバ、１４は脆弱性検査の内容やスケジュール等が記述されたシナリオを作成してサーバに保存するコンソール、１５，１６，１７及び１８は最小限の通信機能を有する制御エージェントが予めインストールされているコンピュータ、１００はインターネットやＬＡＮ（Local Area Network）等の汎用のネットワークである。

サーバ１３及びコンソール１４はネットワーク１００に相互に接続され、コンピュータ１５，１６，１７及び１８もまたネットワーク１００に相互に接続される。

ここで、図１に示す実施例の動作を図２、図３及び図４を用いて説明する。図２は各コンピュータ１５〜１８内で動作する機能を説明する説明図、図３は脆弱性検査時のコンソール１４の動作を説明するフロー図、図４は脆弱性検査時の各コンピュータ１５〜１８の動作を説明するフロー図である。

図２中”ＣＰ２１”に示すコンピュータでは図２中”ＯＳ２１”に示すオペレーティングシステム（以下、単にＯＳと呼ぶ。）が起動されると共に図２中”ＡＧ２１”に示す制御エージェントがＯＳ上で動作している。

また、制御エージェントはそれぞれシナリオの記述に基づき各コンピュータ１５〜１８に攻撃側のコンピュータの役割を実行させたり、或いは、被検査側（攻撃を受ける側）のコンピュータの役割を実行させたりして、システムを構成する制御エージェントが動作するコンピュータに対して任意の役割を実行させることができる。

図３中”Ｓ００１”においてコンソール１４は、サーバ１３に保存されている既に作成されているシナリオ或いは新規に作成されたシナリオが選択され開始の指示がなされたか否かを判断し、もし、シナリオ開始指示があったと判断した場合には、図３中”Ｓ００２”においてコンソール１４は、ネットワーク１００を介して各コンピュータ１５〜１８で動作する各制御エージェントに対して開始が指示されたシナリオ、具体的には、開始が指示されたシナリオの名称或いはＵＲＬ（Uniform Resource Locator）等を通知する。

図４中”Ｓ１０１”において各コンピュータ１５〜１８、具体的には、各コンピュータ１５〜１８で動作する制御エージェントは、コンソール１４からシナリオの名称或いはＵＲＬ等の通知を受けたか否かを判断し、もし、当該通知を受けたと判断した場合には、図４中”Ｓ１０２”において制御エージェントは、当該通知に基づきネットワーク経由でサーバ１３からシナリオの本体をダウンロードして取得する。

そして、図４中”Ｓ１０３”において制御エージェントは、取得したシナリオの記述内容に基づき当該シナリオの実行に必要なソフトウェア、エージェント或いは設定ファイル等の情報やツールをサーバ１３からダウンロードして取得する。

例えば、サーバ１３から取得されるエージェントは、攻撃側のコンピュータの役割を実行するエージェントであったり、被検査側（攻撃を受ける側）のコンピュータの役割を実行（具体的には、リソース（ＣＰＵ、メモリ、ＯＳ、ネットワーク等）の消費率等を測定）するエージェントであったりする。

図４中”Ｓ１０４”において制御エージェントは、当該シナリオを実行するための環境を各コンピュータ内に構築して脆弱性検査の準備を行い、図４中”Ｓ１０５”において制御エージェントは、脆弱性検査の準備が完了した旨の通知をネットワーク１００を介して他のコンピュータで動作する制御エージェントに対して通知する。

図４中”Ｓ１０６”において制御エージェントは、全ての制御エージェントの脆弱性検査の準備が完了したか否かを判断し、もし、全ての制御エージェントの脆弱性検査の準備が完了したと判断した場合には、図４中”Ｓ１０７”においてシナリオの記述に従って脆弱性検査を実行する。

具体的には、制御エージェントは、他のコンピュータで動作する制御エージェントとの間で同期を取りながらシナリオの進捗を管理すると共に制御エージェントは、シナリオの進捗によりエージェントに対して攻撃等の処理の実行を行わせる。

図４中”Ｓ１０８”において制御エージェントは、シナリオが終了、具体的には、シナリオの記述を全て実行したか否かを判断し、もし、シナリオが終了していないと判断した場合には図４中”Ｓ１０７”のステップに戻り、シナリオが終了したと判断した場合には、図４中”Ｓ１０９”において制御エージェントは、必要に応じて結果をネットワーク１００を介してサーバ１３に保存する。

具体的には、制御エージェントが被検査側（攻撃を受ける側）のコンピュータの役割を実行させる場合には、測定したリソース（ＣＰＵ、メモリ、ＯＳ、ネットワーク等）の消費率等を前述の結果としてネットワーク１００を介してサーバ１３に保存する。

この結果、各コンピュータで動作する制御エージェントが開始指示されたシナリオに基づき必要な情報やエージェントをサーバから取得してシナリオを実行するための環境をコンピュータ内に構築して脆弱性検査の準備を行い、全ての制御エージェントの準備が完了した時点で脆弱性検査を実行することにより、脆弱性検査の環境構築の自動化が可能になる。

なお、図１に示す実施例の説明に際しては、それぞれネットワークに接続された１台のサーバ、１台のコンソール及び４台のコンピュータを例示しているが、勿論、この数には何ら限定されるものではない。

また、図１に示す実施例の説明に際しては、制御エージェントはそれぞれシナリオの記述に基づき各コンピュータに攻撃側のコンピュータの役割を実行させたり、或いは、被検査側（攻撃を受ける側）のコンピュータの役割を実行させたりしている旨記述しているが、勿論、従来例のように脆弱性検査中に各種サーバ等に対してｈｔｔｐリクエスト等のサービス要求を行う善意コンピュータの役割を実行させても構わないし、その他の役割を実行させても構わない。

また、図１に示す実施例の説明に際しては、説明の簡単のためにシナリオの作成やシナリオの開始指示を行うために別途コンソール１４を設けているが、勿論、コンピュータ１５〜１８の一或いは全てにコンソール１４の機能を持たせても構わない。

また、各エージェントは”ｉｎｉｔ”、”ｓｔａｒｔ”、”ｓｔｏｐ”及び”ｐｏｓｔ”の各種命令を実行する機能を実装する。

エージェントは、”ｉｎｉｔ”命令を受けた場合に、シナリオで指定されている設定ファイルをサーバ１３からダウンロードして取得すると共に初期化を行い、”ｓｔａｒｔ”命令を受けた場合に、取得した設定ファイルに基づき定められた動作を実行する。

また、エージェントは、”ｓｔｏｐ”命令を受けた場合に、実行中の動作を停止し、”ｐｏｓｔ”命令を受けた場合に、結果をネットワーク１００を介してサーバ１３に保存する。

図５はこのようなエージェントの命令による状態遷移の一例を示す説明図であり、図５中”Ｓ２０１”に示す起動後にエージェントが”ｉｎｉｔ”命令を受けた場合、図５中”Ｓ２０２”に示す初期化済の状態に遷移する。

そして、図５中”Ｓ２０２”に示す初期化済の状態でエージェントが”ｓｔａｒｔ”命令を受けた場合、図５中”Ｓ２０３”に示す実行中の状態に遷移する。

さらに、図５中”Ｓ２０３”に示す実行中の状態でエージェントが”ｓｔｏｐ”命令を受けた場合、図５中”Ｓ２０４”に示す停止の状態に遷移する。

その後、図５中”Ｓ２０４”に示す停止の状態でエージェントが”ｐｏｓｔ”命令を受けた場合、図５中”Ｓ２０５”に示すデータを保存した後、データ保存済の状態に遷移する。

また、図５中”Ｓ２０４”或いは”Ｓ２０５”に示す停止或いはデータ保存済の状態でエージェントが”ｉｎｉｔ”命令を受けた場合、図５中”Ｓ２０２”に示す初期化済の状態に遷移する。

このように、エージェントが最低限実装すべき命令を実行する機能を規定してエージェントを規格化することにより、ユーザが比較的容易にエージェントを作成することが可能になり、拡張性が向上する。

また、シナリオの記述に関しては、単にエージェントが実行する内容を時系列的に記述しても構わないし、エージェントが実行する複数のステップを実行単位としてまとめて、当該実行単位を組み合わせてシナリオを記述しても勿論構わない。

また、シナリオの記述に関しては、分岐、待機、繰り返し、若しくは、条件判断等を行うように記述しても勿論構わない。

また、シナリオの記述に関しては、拡張マークアップ言語形式（ＸＭＬ：eXtensible Markup Language）で記述しても勿論構わない。

本発明に係る脆弱性検査システムの一実施例を示す構成ブロック図である。 各コンピュータ内で動作する機能を説明する説明図である。 脆弱性検査時のコンソールの動作を説明するフロー図である。 脆弱性検査時の各コンピュータの動作を説明するフロー図である。 エージェントの命令による状態遷移の一例を示す説明図である。 従来の脆弱性検査システムの一例を示す構成ブロック図である。 実際のＤＤｏＳツールの構成を示す説明図である。

符号の説明

１ 管理用コンピュータシステム
２，３，４，５ 攻撃用コンピュータシステム
６ 計測コンピュータシステム
７ 善意コンピュータシステム
８ 通信機器
９ ファイヤウォール部
１０ ＤＮＳサーバ
１１ ＷＷＷサーバ
１２ ＳＭＴＰサーバ
１３ サーバ
１４ コンソール
１５，１６，１７，１８ コンピュータ
５０ 検査コンピュータシステム
５１ 被検査コンピュータシステム
１００ ネットワーク

Claims (12)

1. ネットワークからの攻撃に対するシステムの脆弱性を検査する脆弱性検査システムにおいて、
   前記ネットワークに接続され情報やエージェントが格納されているサーバと、
   前記ネットワークに接続されたコンピュータとを備え、
   前記コンピュータで動作する制御エージェントが、開始指示されたシナリオに基づき必要な情報やエージェントを前記ネットワークを介して前記サーバから取得して前記シナリオを実行するための環境を前記コンピュータ内に構築して脆弱性検査の準備を行い、準備が完了した時点で脆弱性検査を実行する
   ことを特徴とする脆弱性検査システム。
2. 前記制御エージェントが、
   前記シナリオの進捗により前記サーバから取得した前記エージェントに対して処理の実行を行わせることを特徴とする
   請求項１記載の脆弱性検査システム。
3. 複数の前記コンピュータを備え、
   複数の前記コンピュータで動作する全ての前記制御エージェントの準備が完了した時点で脆弱性検査を実行することを特徴とする
   請求項１記載の脆弱性検査システム。
4. 各々の前記制御エージェントが、
   他のコンピュータで動作する前記制御エージェントとの間で同期を取りながら前記シナリオの進捗を管理すると共に前記シナリオの進捗により前記サーバから取得したそれぞれの前記エージェントに対して処理の実行を行わせることを特徴とする
   請求項２記載の脆弱性検査システム。
5. 複数の前記コンピュータの一に脆弱性検査中に各種サーバに対してサービス要求を行う善意コンピュータの役割を実行させることを特徴とする
   請求項２記載の脆弱性検査システム。
6. 前記エージェントが、
   ｉｎｉｔ命令を受けた場合に、シナリオで指定されている設定ファイルを前記ネットワークを介して前記サーバから取得すると共に初期化を行うことを特徴とする
   請求項２若しくは請求項４記載の脆弱性検査システム。
7. 前記エージェントが、
   ｓｔａｒｔ命令を受けた場合に、取得した前記設定ファイルに基づき定められた動作を実行することを特徴とする
   請求項６記載の脆弱性検査システム。
8. 前記エージェントが、
   ｓｔｏｐ命令を受けた場合に、実行中の動作を停止することを特徴とする
   請求項２若しくは請求項４記載の脆弱性検査システム。
9. 前記エージェントが、
   ｐｏｓｔ命令を受けた場合に、結果を前記ネットワークを介して前記サーバに保存することを特徴とする
   請求項２若しくは請求項４記載の脆弱性検査システム。
10. 前記シナリオが、
    前記エージェントが実行する内容を時系列的に記述、若しくは、前記エージェントが実行する複数のステップを実行単位としてまとめて当該実行単位を組み合わせて記述したことを特徴とする
    請求項１、請求項２若しくは請求項４記載の脆弱性検査システム。
11. 前記シナリオが、
    分岐、待機、繰り返し、若しくは、条件判断を行うように記述したことを特徴とする
    請求項１、請求項２若しくは請求項４記載の脆弱性検査システム。
12. 前記シナリオが、
    拡張マークアップ言語形式で記述したことを特徴とする
    請求項１、請求項２若しくは請求項４記載の脆弱性検査システム。
    

Images