JP2008033586A - セキュリティ対策状況監視システムにおけるセキュリティポリシーの自動更新方法 - Google Patents

Abstract

【課題】セキュリティ対策状況監視システムで、日々更新されるセキュリティ情報を監視
し、セキュリティポリシーを適切なタイミングで更新するのは、システム管理者への負担
が大きい。本発明の課題は、パッチやウイルスパターンファイルが発行される度に、自動
的にかつ適切なタイミングでセキュリティポリシーを変更し、システム管理者の負担を軽
減し、常に適切なセキュリティポリシーでセキュリティ対策状況を監視するセキュリティ
対策状況監視システムを提供することにある。
【解決手段】本発明では、セキュリティ管理製品と連係することで、セキュリティ情報の
更新を自動で検知し、モデルコンピュータを使用して適切なタイミングでセキュリティポ
リシーを自動で更新することを可能とする。
【選択図】図１

Description

本発明は、コンピュータのセキュリティ対策状況を監視するためのセキュリティポリシ
ーを更新する方法およびシステムに関するものである。

セキュリティ対策状況監視システムでは、コンピュータのセキュリティ対策状況をパッ
チ適用状況やウイルス対策製品のウイルスパターンファイルなどで判定する。本システム
におけるセキュリティポリシーは、システム管理者が作成し、コンピュータに適用が必須
であるパッチ情報や最新のウイルスパターンファイルを定義する。パッチは定期的または
不定期に発行され、ウイルスパターンファイルは１週間に数回の頻度で発行されるため、
システム管理者は常にそれらの更新情報を監視し、セキュリティポリシーを適切に変更す
る必要がある。

なお、本発明に関連する公知技術文献としては下記の特許文献１がある。

特開２００４−２８９２６０号公報

セキュリティポリシーを最新の状態に保つためには、発行されるパッチや、ウイルスパ
ターンファイルの更新情報を常に監視する必要があり、これらが更新される度に、セキュ
リティポリシーを変更することはシステム管理者への負担が大きい。

また、セキュリティポリシーを変更するタイミングにも留意する必要がある。発行され
るパッチ等をコンピュータ利用者が認知する前に、セキュリティポリシーを変更すると、
コンピュータ利用者は該当パッチ等を適用する猶予がなく、セキュリティ対策状況に問題
があると判定されることとなり不都合が発生する。

本発明の目的は、パッチやウイルスパターンファイルが発行される度に、自動的にかつ
適切なタイミングでセキュリティポリシーを変更し、システム管理者の負担を軽減し、常
に適切なセキュリティポリシーでセキュリティ対策状況を監視するセキュリティ対策状況
監視システムを提供することにある。

本発明では、セキュリティ製品管理サーバ（例えばパッチ管理サーバやウイルス管理サ
ーバなど）とセキュリティ対策状況監視サーバが連携し、パッチやウイルスパターンファ
イルの更新を自動的に検知する。また、セキュリティポリシーの適切な変更タイミングを
判断するために、セキュリティ対策モデルコンピュータを用意する。セキュリティ対策状
況監視サーバが、パッチやウイルスパターンファイルの更新を検知した場合、セキュリテ
ィ対策モデルコンピュータに対して、発行されたパッチやウイルスパターンファイルが適
用されているか判定し、適用されている場合はセキュリティポリシーを更新する。

本発明のセキュリティ対策状況監視システムによれば、次のような効果がある。

セキュリティポリシーの更新を自動的に適切なタイミングで実施でき、システム管理者
の負担を軽減できる。

以下、本発明を適用したセキュリティ対策状況監視システムの一実施の形態について説
明する。

図１は、本発明における一実施例であるセキュリティ対策状況監視システムの構成を示
すものである。セキュリティ対策状況監視システムには、セキュリティ製品管理サーバ１
０１とセキュリティ対策状況監視サーバ１０２との連携処理を行う連携処理部１０５が存
在し、セキュリティ対策状況監視サーバ１０２には、セキュリティ対策状況監視サーバ１
０２上で各処理を行う管理処理部１０６および各情報を格納するデータベース１０９が存
在し、モデルコンピュータ１０３および一般コンピュータ１０４にはコンピュータ上で各
処理を行うエージェント処理部１１０が存在する。以下処理の流れについて記述する。セ
キュリティ製品管理サーバ１０１では、セキュリティ情報（パッチの発行状況やウイルス
対策製品のウイルスパターンファイル更新履歴）を管理する。セキュリティ製品管理サー
バ１０１は、セキュリティ情報の更新を検知すると、セキュリティ対策状況監視サーバ１
０２にセキュリティ情報の更新内容を通知する。セキュリティ対策状況監視サーバ１０２
は、セキュリティ情報の更新内容を受信すると、ポリシー１０７の複製してポリシー１０
８を作成し、ポリシー１０８に更新されたセキュリティ情報を反映する。セキュリティ対
策状況監視サーバ１０２は、モデルコンピュータ１０３から資産情報を収集し、モデルコ
ンピュータ１０３の資産情報とポリシー１０８を照らし合わせて、セキュリティ対策情報
を判定する。セキュリティ対策状況監視サーバ１０２が、判定した結果、モデルコンピュ
ータ１０３のセキュリティ対策状況に問題がなければ、ポリシー１０７に更新されたセキ
ュリティ情報を反映する。セキュリティ対策状況に問題があれば、ポリシー１０７のポリ
シー管理情報を更新待ちにし、一定の間隔でモデルコンピュータ１０３のセキュリティ対
策状況に問題がないか判定し、問題がなくなった時点でポリシー１０７に更新されたセキ
ュリティ情報を反映する。セキュリティ対策状況監視サーバが、一般コンピュータ１０４
のセキュリティ対策状況の判定を行う場合は常にポリシー１０７を使用する。

図２は、システムのハードウェア構成を示した図である。セキュリティ製品管理サーバ
１０１およびセキュリティ対策状況監視サーバ１０２およびモデルコンピュータ１０３お
よび一般コンピュータ１０４はＣＰＵ（Central Processing Unit）２０１、ＲＡＭ（Ran
dom Access Memory）２０２、ハードディスク等の記憶装置２０３およびバス２０４から
構成される。記憶装置２０３には各種の制御プログラムやデータが記憶されており、ＣＰ
Ｕ２０１はこの制御プログラム等を読み出して所定の機能を実現する。ＲＡＭ（Random A
ccess Memory）２０２にはＣＰＵ２０１によって利用される作業領域等が確保される。ま
た、セキュリティ製品管理サーバ１０１とセキュリティ対策状況監視サーバ１０２とモデ
ルコンピュータ１０３および一般コンピュータ１０４の間にはＬＡＮ等の通信回路２０５
が存在し、それぞれ有線または無線のネットワーク２０６でつながれ、通信が可能となっ
ている。

図３は、図１のセキュリティ製品管理サーバ１０１の連携処理部１０５およびセキュリ
ティ対策状況監視サーバ１０２の管理処理部１０６およびモデルコンピュータ１０３およ
び一般コンピュータ１０４のエージェント処理部１１０の詳細な構成を記述したものであ
る。セキュリティ情報管理処理部３０１ではセキュリティ製品のセキュリティ情報の更新
を検知し、その更新情報をセキュリティ更新情報通知処理部３０２に通知する。セキュリ
ティ更新情報通知処理部３０２ではセキュリティ更新情報を、セキュリティ対策状況監視
サーバ１０２のポリシー管理処理部３０３に通知する。ポリシー管理処理部３０３ではセ
キュリティ更新情報を受信するとデータベース１０９のポリシー管理情報テーブルからポ
リシー管理情報を取得し、ポリシー１０７の複製を作成し、複製したポリシー１０８にセ
キュリティ更新情報を反映する。資産情報管理処理部３０４では、モデルコンピュータ１
０３の資産情報収集処理部３０６に資産情報の収集を要求する。モデルコンピュータ１０
３の資産情報収集処理部３０６では、資産情報を収集し、資産情報通知処理部３０７では
、収集した資産情報を資産情報管理処理部３０４に通知する。資産情報を受信した資産情
報管理処理部３０４では、データベース１０９の資産情報テーブルに資産情報を格納する
。セキュリティ対策状況判定処理部３０５では、データベース１０９から資産情報を取得
し、複製したポリシーと照らし合わせて、モデルコンピュータ１０３のセキュリティ対策
状況を判定し、その判定結果によりポリシー１０７を更新する。

図４は、図３で示したセキュリティ情報管理処理部３０１およびポリシー管理処理部３
０３を詳細化した図である。

セキュリティ情報管理処理部３０１では、セキュリティ製品管理サーバからセキュリテ
ィ更新情報４０１を取得する。セキュリティ更新情報４０１の例としてはパッチ情報やウ
イルスパターンファイルバージョン等である。セキュリティ情報通知処理部３０２は、セ
キュリティ更新情報４０１をセキュリティ対策状況監視サーバ１０２のポリシー管理処理
部３０３に通知する。ポリシー管理処理部３０３は、セキュリティ更新情報４０１を受信
後、データベース１０９からポリシー１０７のポリシー管理情報４０２を取得し、ポリシ
ー管理情報４０２の状態を更新待ちに変更する。ポリシー管理処理部３０３は、ポリシー
１０７を複製してポリシー１０８を作成し、ポリシー１０８にパッチ情報４０３を追加す
る。

図５は、セキュリティ情報管理処理部３０１およびポリシー管理処理部３０３のフロー
チャートを示した図である。セキュリティ情報管理処理部３０１では、セキュリティ製品
管理サーバから更新のあったパッチ情報やウイルス対策製品のウイルスパターンファイル
バージョンなどのセキュリティ更新情報４０１を取得する。取得したセキュリティ更新情
報４０１をポリシー管理処理部３０３に通知する（５０１〜５０３）。ポリシー管理処理
部３０３では、受信したセキュリティ更新情報４０１を、複製したポリシー１０８に反映
する。セキュリティ更新情報４０１をポリシーに反映するときには、パッチの番号や、ウ
イルス対策製品名をキー情報として、ポリシー内を検索し、既に同じキー情報が存在する
場合は、そのキー情報に対応する情報を更新し、同じキー情報が存在しない場合は、キー
情報も追加する（５０４〜５０７）。

図６は、図３で示した資産情報管理処理部３０４およびモデルコンピュータ１０３の資
産情報収集処理部３０６を詳細化した図である。資産情報管理処理部３０４では、データ
ベース１０９のポリシー管理情報テーブルからポリシー管理情報４０２を取得する。資産
情報管理処理部３０４は取得したポリシー管理情報４０２の状態を判定し、その状態が更
新待ちであれば、モデルコンピュータ１０３の資産情報の収集をモデルコンピュータ１０
３に対して要求する。モデルコンピュータ１０３の資産情報収集処理部３０６は、パッチ
情報６０４を含む資産情報６０３を収集し、資産情報通知処理部３０７に資産情報を渡す
。資産情報通知処理部３０７は、セキュリティ対策状況監視サーバの資産情報管理処理部
３０４に、資産情報６０３を通知する。資産情報通知処理部３０４では、受信した資産情
報をデータベース１０９の資産情報テーブルに格納する。資産情報６０１は、モデルコン
ピュータ１０３の資産情報を収集する前の状態であり、資産情報を収集後は資産情報６０
１のパッチ情報はパッチ情報６０２の内容に更新される。

図７は、資産情報管理処理部３０４およびモデルコンピュータ１０３の資産情報収集処
理部３０６のフローチャートを示した図である。資産情報管理処理部３０４は、データベ
ース１０９のポリシー管理情報テーブルからポリシー管理情報４０２を取得し、ポリシー
管理情報４０２の更新間隔の時間処理を待機する。資産情報管理処理部３０４は更新間隔
の時間が経過後、ポリシー管理情報４０２の状態が更新待ちであれば、モデルコンピュー
タ１０３の資産情報の収集を資産情報収集処理部３０７に対して要求する。ポリシー管理
情報４０２の状態が更新待ちでなければ、７０１〜７０３を繰り返す（７０１〜７０３）
。モデルコンピュータ１０３の資産情報収集処理部３０６では、資産情報の収集要求を受
信すると、コンピュータの情報や適用パッチ情報やウイルス対策製品情報を含む資産情報
６０３を収集して、資産情報通知処理部３０７を経由し資産情報管理処理部３０４に収集
した資産情報６０３を送信する。資産情報管理処理部３０４では、受信した資産情報６０
３をデータベース１０９の資産情報テーブルのモデルコンピュータ１０３の資産情報６０
１に追加または更新する（７０４〜７０８）。資産情報管理処理部３０４は、データベー
ス１０９の資産情報テーブルを更新後、セキュリティ対策状況の判定を実施し、ポリシー
を更新するセキュリティ対策状況判定処理部３０５を呼び出す（７０９）。

図８は、図３で示したセキュリティ対策状況判定処理部３０５を詳細化した図である。
セキュリティ対策状況判定処理部３０５では、データベース１０９のポリシー管理情報４
０２のポリシー名をキーとしてポリシー１０８を取得する。セキュリティ対策状況判定処
理部は、モデルコンピュータ１０３の資産情報６０１とポリシー１０８を照らし合わせて
、セキュリティ対策状況を判定する。判定した結果、パッチ情報４０３が資産情報６０１
に含まれていれば、ポリシー１０７にパッチ情報４０３を反映し、ポリシー１０７をポリ
シー８０１に更新する。ポリシー８０１の更新が完了後、ポリシー管理情報４０２の状態
８０２を更新完了に変更する。

図９は、セキュリティ対策状況判定処理部３０５のフローチャートを示した図である。
セキュリティ対策状況判定処理部３０５は、データベース１０９の資産情報テーブルから
資産情報６０１を取得し、ポリシー１０８の内容と照らし合わせて、セキュリティ対策状
況を判定する（９０１、９０２）。セキュリティ対策状況判定処理部３０５は、セキュリ
ティ対策状況に問題なしと判定した場合は、ポリシー１０７（ポリシーＡ）に、ポリシー
１０８（ポリシーＡ）のパッチ情報４０３を追加し、ポリシー管理情報４０２の状態８
０２を更新完了に更新する。資産情報６０１にパッチ情報６０２が存在しない場合は、ま
だポリシー１０７を更新するタイミングが適切でないと判断し、図７の７０１に制御を移
す（９０３〜９０５）。

図７の７０１〜７０９と図９の９０１〜９０３は、ポリシー管理情報４０２の状態８０
２が更新待ちである間、繰り返し実行される。モデルコンピュータ１０３でパッチ情報４
０３が適用されるまでは、一般コンピュータ１０４のセキュリティ対策状況の判定はポリ
シー１０７を使用して実施され、モデルコンピュータ１０３でパッチ情報４０３が適用さ
れた後は、ポリシー１０７がポリシー８０１に自動で更新され、一般コンピュータ１０４
のセキュリティ対策状況の判定はポリシー８０１が使用されるようになる。

本発明の一実施の形態例を示すシステム構成図である。 システムのハードウェア構成を示した図である。 セキュリティ状況対策監視システムの詳細を示した図である。 セキュリティ情報管理処理部およびポリシー管理処理部の詳細を示した図である。 セキュリティ情報管理処理部およびポリシー管理処理部の処理方式を示した図である。 資産情報管理処理部および資産情報収集処理部の詳細を示した図である。 資産情報管理処理部および資産情報収集処理部の処理方式を示した図である。 セキュリティ対策状況判定処理部の詳細を示した図である。 セキュリティ対策状況判定処理部の処理方式を示した図である。

符号の説明

１０１…セキュリティ製品管理サーバ、１０２…セキュリティ対策状況監視サーバ、１
０３…モデルコンピュータ、１０４…一般コンピュータ、１０５…連携処理部、１０６…
管理処理部、１０７，１０８，８０１…ポリシー、１０９…データベース、２０１…ＣＰ
Ｕ、２０２…ＲＡＭ、２０３…記憶装置、２０４…バス、２０５…通信回路、２０６…ネ
ットワーク、３０１…セキュリティ情報管理処理部、３０２…セキュリティ情報通知処理
部、３０３…ポリシー管理処理部、３０４…資産情報管理処理部、３０５…セキュリティ
対策状況判定処理部、３０６…資産情報収集処理部、３０７…資産情報収集通知処理部、
４０１…セキュリティ更新情報、４０２…ポリシー管理情報、４０３…パッチ情報、５０
１〜５０７…セキュリティ情報管理／ポリシー管理処理部フローチャート、６０１…資産
情報、６０２…資産情報のパッチ情報、６０３…モデルコンピュータの資産情報、６０４
…モデルコンピュータの資産情報のパッチ情報、７０１〜７０９…資産情報管理／資産情
報収集処理部フローチャート、８０２…ポリシー管理情報の状態、９０１〜９０５…セキ
ュリティ対策状況判定処理部フローチャート。

Claims (2)

1. セキュリティ管理サーバとセキュリティ対策状況監視サーバとコンピュータを備えるセ
   キュリティ管理を行うシステムにおいて前記セキュリティ対策状況監視サーバのセキュリ
   ティポリシーを自動更新する方法であって、各種情報を格納する記憶装置を備え、システ
   ム内部におけるセキュリティ更新情報とコンピュータの資産情報をもとにセキュリティポ
   リシーの更新タイミングを判断することを特徴とするセキュリティ対策状況監視システム
   。
2. セキュリティポリシーを更新する際、システム内に導入されたモデルコンピュータの資
   産情報からセキュリティポリシーを更新するタイミングを判断する請求項１に記載のシス
   テム。
   
   

Images