JP2014130502A - 脆弱性分析装置、脆弱性分析プログラムおよび脆弱性分析方法 - Google Patents

Abstract

【課題】 利用者のシステムに関連する脆弱性について直観的にわかりやすく利用者に提示する技術を提供する。
【解決手段】
脆弱性分析装置であって、所定の装置に含まれるセキュリティ脆弱性を特定する脆弱性特定部と、特定したセキュリティ脆弱性に対する攻撃パターン数を特定する攻撃パターン数特定部と、攻撃パターン数に応じてセキュリティ脆弱性を示す表示情報を特定する表示情報処理部と、を備えることを特徴とする。
【選択図】図１

Description

本発明は、脆弱性分析の技術に関するものである。

従来、コンピュータシステム上の脆弱性を分析する技術として、導入されたソフトウェアに関係する脆弱性の分析を行うことを可能とする技術が存在する。特許文献１には、このような装置についての技術が記載されている。

特開２０１２−０５３８０２号公報

上記技術では、ソフトウェアの導入状況についての検索条件にしたがい、ソフトウェアが導入された管理対象装置を検索することが可能となっている。しかし、利用者自らが管理するシステムに関係する脆弱性の有無に利用者が気づきやすいものとはいい難く、その結果脆弱性への対策が不十分となる可能性がある。

本発明の目的は、利用者のシステムに関連する脆弱性について直観的にわかりやすく利用者に提示することで、利用者が適切な対策を積極的に行うことを補助する技術を提供することにある。

本願は、上記課題の少なくとも一部を解決する手段を複数含んでいるが、その例を挙げるならば、以下のとおりである。上記課題を解決すべく、本発明に係る脆弱性分析装置は、所定の装置に含まれるセキュリティ脆弱性を特定する脆弱性特定部と、特定したセキュリティ脆弱性に対する攻撃パターン数を特定する攻撃パターン数特定部と、攻撃パターン数に応じてセキュリティ脆弱性を示す表示情報を特定する表示情報処理部と、を備えることを特徴とする。

上記の攻撃パターン数特定部は、セキュリティ脆弱性に関連する脆弱性タイプを特定し、脆弱性タイプに応じてあらかじめ定められた攻撃パターンを計数する、ことを特徴とするものであってもよい。

上記の脆弱性分析装置は、構成情報を取得する構成情報取得部を備え、脆弱性特定部は、構成情報取得部により取得した構成情報に関連するセキュリティ脆弱性を特定する、ことを特徴とするものであってもよい。

上記の脆弱性分析装置は、特定した前記セキュリティ脆弱性の影響度を特定する影響度特定部を備え、影響度特定部は、セキュリティ脆弱性に応じてあらかじめ定められた影響度を特定する、ことを特徴とすることを特徴とするものであってもよい。

上記の脆弱性分析装置の表示情報処理部は、攻撃パターン数が多いほど、表示情報の大きさを大きく設定する、ことを特徴とするものであってもよい。

上記の脆弱性分析装置の表示情処理部は、影響度が大きいほど、表示情報の大きさを大きく設定する、ことを特徴とするものであってもよい。

上記の脆弱性分析装置の表示情報処理部は、攻撃パターン数が多いほど、表示情報の色を所定の色に近くなるよう設定する、ことを特徴とするようにしてもよい。

上記の脆弱性分析装置の表示情処理部は、影響度が大きいほど、表示情報の色を所定の色に近くなるように設定する、ことを特徴とするものであってもよい。

また、本発明に係るプログラムは、コンピューターに、セキュリティ脆弱性の分析を支援する手続きを実行させるプログラムであって、制御部として機能させ、制御部に対して、所定の装置に含まれるセキュリティ脆弱性を特定する脆弱性特定手順と、特定した前記セキュリティ脆弱性に対する攻撃パターン数を特定する攻撃パターン数特定手順と、前記攻撃パターン数に応じて前記セキュリティ脆弱性を示す表示情報を特定する表示情報処理手順と、を実行させることを特徴とするものであってもよい。

また、本発明に係る脆弱性分析方法は、脆弱性分析装置を用いた脆弱性分析方法であって、脆弱性分析装置は、所定の装置に含まれるセキュリティ脆弱性を特定する脆弱性特定ステップと、特定した前記セキュリティ脆弱性に対する攻撃パターン数を特定する攻撃パターン数特定ステップと、攻撃パターン数に応じて前記セキュリティ脆弱性を示す表示情報を特定する表示情報処理ステップと、実行することを特徴とするものであってもよい。

上記した以外の課題、構成および効果は、以下の実施形態の説明により明らかにされる。

本発明によると、利用者のシステムに関連する脆弱性について直観的にわかりやすく利用者に提示することで、利用者が適切な対策を積極的に行うことを補助することができる。

本発明の実施形態に係る脆弱性分析装置の構成例を示す図である。 脆弱性記憶部に格納されるデータ構造を示す図である。 脆弱性タイプ記憶部に格納されるデータ構造を示す図である。 攻撃パターン記憶部に格納されるデータ構造を示す図である。 構成情報記憶部に格納されるデータ構造を示す図である。 脆弱性分析装置のハードウェア構成を示す図である。 脆弱性分析処理フローを示す図である。 脆弱性出力処理フローを示す図である。 脆弱性出力処理フローで出力される画面例を示す図である。 本発明の第二の実施形態に係る脆弱性分析システムの構成例を示す図である。 第二の実施形態に係る脆弱性分析処理フローを示す図である。 第二の実施形態に係る脆弱性出力処理フローを示す図である。

以下に、本発明に係る第一の実施形態を適用した脆弱性分析装置１００について、図面を参照して説明する。

図１は、本発明の第一の実施形態における脆弱性分析装置１００の構成例を示す図である。本発明における脆弱性分析装置１００には、制御部１１０と、記憶部１２０と、出力部１３０と、が含まれる。

制御部１１０には、構成情報特定部１１１と、影響度特定部１１２と、攻撃可能性特定部１１３と、脆弱性出力処理部１１４と、が含まれる。

構成情報特定部１１１は、所定のタイミング（例えば、一定間隔または脆弱性分析の開始指示を受け付けた際、あるいは脆弱性分析装置１００のＯＳ（Ｏｐｅｒａｔｉｎｇ Ｓｙｓｔｅｍ）の起動シーケンス内の所定のタイミング等）で構成情報を特定する。例えば、構成情報特定部１１１は、脆弱性分析装置１００のＯＳの起動シーケンス内の所定のタイミングで、ＯＳが管理するシステムレジストリ等の構成情報を読み出し、特に、脆弱性分析装置１００にインストールされているソフトウェアと、そのバージョンあるいはサービスパックの適用状況等と、を特定する情報を取得する。なお、より具体的には、構成情報特定部１１１は、ＯＶＡＬ（Ｏｐｅｎ Ｖｕｌｎｅｒａｂｉｌｉｔｙ ａｎｄ Ａｓｓｅｓｓｍｅｎｔ Ｌａｎｇｕａｇｅ）等を用いてレジストリ情報を読み出すものであってもよい。

影響度特定部１１２は、セキュリティ脆弱性のリポジトリを読み出して、セキュリティ脆弱性ごとに対応付けられた関連するソフトウェアを特定し、脆弱性分析装置１００の構成情報において、合致するソフトウェアがインストールされている旨の情報が登録されていれば、当該脆弱性を表示対象として特定する。また、影響度特定部１１２は、脆弱性のリポジトリを読み出して、当該脆弱性の影響度を特定する。

攻撃可能性特定部１１３は、影響度特定部が特定した表示対象の脆弱性について、脆弱性タイプを特定し、脆弱性タイプに応じた攻撃パターンの数を特定する。

脆弱性出力処理部１１４は、表示対象として特定された脆弱性について、表示に用いる脆弱性を示す図形の整列順序と、形状、大きさ、色および当該図形に対する入力を受け付けた場合に表示するウェブサイトのＵＲＬと、を特定して、表示画面を構成する。

脆弱性分析装置１００の記憶部１２０には、脆弱性記憶部１２１と、脆弱性タイプ記憶部１２２と、攻撃パターン記憶部１２３と、構成情報記憶部１２４と、が含まれる。

図２に示すように、脆弱性記憶部１２１には、脆弱性を識別する脆弱性ＩＤ、例えばＣＶＥ（Ｃｏｍｍｏｎ Ｖｕｌｎｅｒａｂｉｌｉｔｉｅｓ ａｎｄ Ｅｘｐｏｓｕｒｅｓ：共通脆弱性識別子）の識別番号（ＣＶＥ−ＩＤ）、を含む情報について、当該脆弱性の属性を特定する情報が対応付けられて格納される。具体的には、脆弱性記憶部１２１には、脆弱性ＩＤ１２１Ａと、脆弱性タイプ１２１Ｂと、関連ソフトウェア１２１Ｃと、影響度１２１Ｄと、参照ＵＲＬ１２１Ｅと、が対応付けて格納される。なお、より具体的には、脆弱性記憶部１２１は、上記に相当する情報が含まれるＮＶＤ（Ｎａｔｉｏｎａｌ Ｖｕｌｎｅｒａｂｉｌｉｔｙ Ｄａｔａｂａｓｅ：脆弱性情報データベース）のリポジトリを想定している。

脆弱性タイプ１２１Ｂには、脆弱性の種類を特定する情報が格納される。具体的には、ＳＱＬインジェクション、クロスサイト・スクリプティング、バッファオーバーフロー等のソフトウェアのセキュリティ脆弱性の種類を特定する情報（例えば、ＣＷＥ）が格納される。

関連ソフトウェア１２１Ｃには、脆弱性ＩＤ１２１Ａで特定される脆弱性に関連するソフトウェアを特定する情報（例えば、ｓｏｆｔｗａｒｅ−ｌｉｓｔ）が格納される。

影響度１２１Ｄには、脆弱性ＩＤ１２１Ａで特定される脆弱性が有する影響度を特定する情報（例えば、ＣＶＳＳ基本値）が格納される。なお、影響度は、ＮＶＤのＣＶＳＳ基本値を想定するが、これに限られず、ＣＶＳＳ現状値であってもよい。ただし、本発明においてより高い効果を奏すると考えられるのは、ＣＶＳＳ現状値よりもＣＶＳＳ基本値であるといえる。ＣＶＳＳ現状値は時期に応じて、あるいはセキュリティの動向を考慮に入れている値であるため、脆弱性分析装置１００が用いられる個別具体的な環境によっては妥当でない場合もありうるためである。

参照ＵＲＬ１２１Ｅには、脆弱性ＩＤ１２１Ａで特定される脆弱性の情報源や製品開発元を特定する情報（例えば、情報源のＵＲＬ（Ｕｎｉｖｅｒｓａｌ Ｒｅｓｏｕｒｃｅ Ｌｏｃａｔｏｒ））が格納される。

図３に示すように、脆弱性タイプ記憶部１２２には、脆弱性の種類を識別する情報である脆弱性タイプ１２２Ａについて、属性を特定する情報が格納される。具体的には、脆弱性タイプ記憶部１２２には、脆弱性タイプ１２２Ａについて、当該脆弱性のタイプに関連する攻撃のパターンを特定する情報である関連攻撃パターン１２２Ｂと、脆弱性のタイプを説明するテキスト情報である説明１２２Ｃと、が対応付けて格納される。なお、より具体的には、脆弱性タイプ記憶部１２２は、ＣＷＥ（Ｃｏｍｍｏｎ Ｗｅａｋｎｅｓｓ Ｅｎｕｍｅｒａｔｉｏｎ）のリスト情報を想定している。

関連攻撃パターン１２２Ｂには、脆弱性のタイプに応じて可能性がある攻撃パターンが一または複数格納される。すなわち、攻撃されるパターンが多い脆弱性のタイプほど、セキュリティ対策の必要性が高いことを示すといえる。

図４に示すように、攻撃パターン記憶部１２３には、攻撃のパターンを識別する情報である攻撃パターンＩＤ１２３Ａについて、属性を特定する情報が格納される。具体的には、攻撃パターン記憶部１２３には、攻撃パターンＩＤ１２３Ａについて、攻撃パターンを説明するテキスト情報である説明１２３Ｂが対応付けて格納される。なお、より具体的には、攻撃パターン記憶部１２３は、ＣＡＰＥＣ（Ｃｏｍｍｏｎ Ａｔｔａｃｋ Ｐａｔｔｅｒｎ Ｅｎｕｍｅｒａｔｉｏｎ ａｎｄ Ｃｌａｓｓｉｆｉｃａｔｉｏｎ）のリスト情報を想定している。

図５に示すように、構成情報記憶部１２４には、脆弱性分析装置１００に導入済みのソフトウェアを特定する情報が格納される。具体的には、構成情報記憶部１２４には、導入済みのソフトウェアの名称等である導入済ソフトウェア１２４Ａと、導入済ソフトウェア１２４Ａで特定されるソフトウェアのバージョンあるいはリビジョン、ビルド等を特定する情報を含むバージョン１２４Ｂと、が対応付けて格納される。なお、より具体的には、構成情報記憶部１２４は、Ｗｉｎｄｏｗｓ（登録商標）ＯＳの場合には、レジストリ情報の所定の情報を抜き出した情報を想定している。

図１の説明に戻る。出力部１３０は、ディスプレイやプリンタ等の画像出力装置に対する出力依頼を受け付けると、出力を依頼された画面情報を出力する。

以上が、脆弱性分析装置１００の構成である。なお、特に図示しないが、脆弱性分析装置１００は、一般的なコンピューターとしての動作を行うことが可能である。すなわち、脆弱性分析装置１００は、操作者によるキーボードあるいはマウス、タッチパネル、タッチペン等を介した入力を受け付けて、ディスプレイ等へ出力を行うことができる。また、脆弱性分析装置１００は、記憶部１２０に格納された情報を参照して、所定の画面レイアウトに従った画面情報を構成し、ディスプレイ等に出力することもできる。

図６は、脆弱性分析装置１００のハードウェア構成例を示す図である。脆弱性分析装置１００は、演算装置１５１と、主記憶装置１５２と、表示装置１５３と、記憶装置１５４と、各装置をつなぐバス１５５と、を少なくとも備える。また、他に、脆弱性分析装置１００は、キーボード、マウスといった入力装置を備える。

演算装置１５１は、例えばＣＰＵ（Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）などの演算装置である。

主記憶装置１５２は、例えばＲＡＭ（Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）などのメモリ装置である。

表示装置１５３は、液晶ディスプレイ等の画面情報の描画を行う出力装置である。

記憶装置１５４は、デジタル情報を記憶可能な、いわゆるハードディスク（Ｈａｒｄ Ｄｉｓｋ Ｄｒｉｖｅ）やＳＳＤ（Ｓｏｌｉｄ Ｓｔａｔｅ Ｄｒｉｖｅ）あるいはフラッシュメモリなどの不揮発性記憶装置である。

演算装置１５１と、主記憶装置１５２と、表示装置１５３と、記憶装置１５４とは、バス１５５等の接続導線により互いに接続される。なお、表示装置１５３は、脆弱性分析装置の外部に独立して存在する場合には、バス１５５に直接接続されるものではなく、所定の信号線（ＤＶケーブル、ＨＤＭＩケーブル、同軸ケーブル、ＵＳＢケーブル等各種ケーブル、あるいはＢｌｕｅｔｏｏｔｈ（登録商標）等の無線を含む）を介して接続されるものであることは言うまでもない。

上記した脆弱性分析装置１００の構成情報特定部１１１、影響度特定部１１２、攻撃可能性特定部１１３、脆弱性出力処理部１１４は、演算装置１５１に処理を行わせるプログラムによって実現される。このプログラムは、主記憶装置１５２または図示しないＲＯＭ装置内に記憶され、実行にあたって主記憶装置１５２上にロードされ、演算装置１５１により実行される。

また、脆弱性分析装置１００の記憶部１２０は、主記憶装置１５２及び記憶装置１５４により実現される。また、出力部１３０は、表示装置１５３により実現される。以上が、脆弱性分析装置１００のハードウェア構成例である。

[動作の説明]次に、本実施形態における脆弱性分析装置１００の動作を説明する。図７は、本実施形態における脆弱性分析装置１００が実施する脆弱性分析処理のフロー図である。

脆弱性分析処理は、脆弱性分析装置１００が稼働を開始すると、あるいは脆弱性分析処理の開始の指示を受け付けると、またあるいは脆弱性分析装置１００の稼働中に定期的に開始される。

まず、構成情報特定部１１１は、レジストリ情報のうち導入済みのソフトウェアとそのバージョンを特定するエントリを特定する（ステップＳ００１）。具体的には、構成情報特定部１１１は、ＯＳの管理下にあるレジストリ情報あるいはサービス情報を取得して、導入されているソフトウェアの名称等及びソフトウェアのバージョン情報が格納されたエントリを特定し、情報を読み出し、構成情報記憶部１２４にソフトウェア名称とバージョンの情報とを格納する。

そして、影響度特定部１１２は、脆弱性ごとに関連するソフトウェアを特定する（ステップＳ００２）。具体的には、影響度特定部１１２は、脆弱性記憶部１２１に格納された脆弱性ＩＤ１２１Ａのそれぞれについて、関連ソフトウェア１２１Ｃと対応付けて読み出す。

そして、影響度特定部１１２は、特定したソフトウェアのうち導入済みのソフトウェアのレジストリ上のエントリを読み出す（ステップＳ００３）。具体的には、影響度特定部１１２は、ステップＳ００２にて読み出した関連ソフトウェア１２１Ｃと、導入済ソフトウェア１２４Ａに格納された情報と、をそれぞれ比較して、合致するものを特定し、当該導入済ソフトウェア１２４Ａに対応付けられたバージョン１２４Ｂを読み出す。

そして、影響度特定部１１２は、読み出したエントリのソフトウェアのいずれかのバージョンと一致する場合に、当該脆弱性とソフトウェアとを対応付ける（ステップＳ００４）。具体的には、影響度特定部１１２は、ステップＳ００３にて読み出したバージョン１２４Ｂの情報と、ステップＳ００２にて読み出した関連ソフトウェア１２１Ｃと、を比較して、同一のバージョンであるか、ステップＳ００３にて読み出した導入済みのソフトウェアのバージョン１２４Ｂが関連ソフトウェア１２１Ｃに含まれるバージョンである場合には、当該脆弱性とソフトウェアとを対応付ける。

そして、影響度特定部１１２は、ソフトウェアと対応付けられた脆弱性の影響度を特定する（ステップＳ００５）。具体的には、影響度特定部１１２は、ステップＳ００４にてソフトウェアと対応付けられた脆弱性のそれぞれについて、脆弱性記憶部１２１の影響度１２１Ｄを読み出す。

そして、攻撃可能性特定部１１３は、ソフトウェアと対応付けられた脆弱性の脆弱性タイプを特定する（ステップＳ００６）。具体的には、攻撃可能性特定部１１３は、ステップＳ００４にてソフトウェアと対応付けられた脆弱性のそれぞれについて、脆弱性記憶部１２１の脆弱性タイプ１２１Ｂを読み出す。

そして、攻撃可能性特定部１１３は、ソフトウェアと対応付けられた各脆弱性の脆弱性タイプに応じた攻撃パターン数を特定する（ステップＳ００７）。具体的には、攻撃可能性特定部１１３は、ステップＳ００６にて脆弱性タイプ１２１Ｂを特定した脆弱性ごとに、脆弱性タイプ記憶部１２２を参照して対応する脆弱性タイプ１２２Ａに関連付けられた関連攻撃パターン１２２Ｂを読み出し、含まれる攻撃パターンの数を計数する。

以上が、脆弱性分析処理の処理内容である。脆弱性分析処理を行うことで、脆弱性分析装置１００は、脆弱性分析装置１００に含まれる脆弱性を特定し、その影響度と、攻撃パターンの数と、を特定することができる。

図８は、脆弱性出力処理の処理内容である。脆弱性出力処理は、脆弱性分析処理に続いて開始される。

まず、脆弱性出力処理部１１４は、ソフトウェアと対応付けられた各脆弱性について、一意のクラスターＩＤを割付ける（ステップＳ１０１）。具体的には、脆弱性出力処理部１１４は、脆弱性分析処理のステップＳ００６において脆弱性のタイプを特定された各脆弱性に対して、表示対象を特定する識別子たるクラスターＩＤを一意に（例えば、連番で採番して）割付ける。

そして、脆弱性出力処理部１１４は、ソフトウェアと対応付けられた各脆弱性について、影響度に応じて表示色を特定する（ステップＳ１０２）。具体的には、脆弱性出力処理部１１４は、脆弱性分析処理のステップＳ００６において脆弱性のタイプを特定された各脆弱性に対して、表示の際に用いる図形の色を特定する。

ここで例えば、表示の際に用いる図形の色は、影響度として取得した値がＣＶＳＳ基本値である場合には、ＣＶＳＳ基本値が所定の範囲内にあれば当該所定の範囲にあらかじめ対応付けられた色が特定されるものとする。より具体的には、脆弱性出力処理部１１４は、ＣＶＳＳ基本値が「０．０」から「３．９」の範囲であれば、表示の際に用いる色を「黄色」として特定し、ＣＶＳＳ基本値が「４．０」から「６．９」の範囲であれば、表示の際に用いる色を「オレンジ色」として特定し、ＣＶＳＳ基本値が「７．０」から「１０．０」の範囲であれば、表示の際に用いる色を「赤色」として特定する。すなわち、脆弱性出力処理部１１４は、影響度が大きいほど、表示情報の色を所定の色（赤色）に近く設定するものであるといえる。

なお、これに限らず、重複しない複数の範囲を設けて表示の際に用いる色をより細かく特定するようにしてもよい。ただし、利用者にとってあまりに細かい色分けは区別性が低下することも含めてより高い効果が得られるとは一概に言い難いことから、３段階程度に区分し表示すると効用が高いといえる。

そして、脆弱性出力処理部１１４は、ソフトウェアと対応付けられた各脆弱性について、攻撃パターン数に応じて表示サイズを特定する（ステップＳ１０３）。具体的には、脆弱性出力処理部１１４は、脆弱性分析処理のステップＳ００６において脆弱性のタイプを特定された各脆弱性に対して、表示の際に用いる図形のサイズを特定する。

ここで例えば、表示の際に用いる図形のサイズは、関連する攻撃パターン数が所定の範囲内にあれば当該所定の範囲にあらかじめ対応付けられたサイズが特定されるものとする。より具体的には、脆弱性出力処理部１１４は、攻撃パターン数が「１」であれば、表示の際に用いる楕円のサイズを「小」（例えば、横幅が所定の基準サイズの円の１．２倍、縦幅が所定の基準サイズの円の０．６倍）として特定し、攻撃パターン数が「２」から「５」の範囲であれば、表示の際に用いる楕円のサイズを「中」（例えば、横幅が所定の基準サイズの円の１．６倍、縦幅が所定の基準サイズの円の０．８倍）として特定し、攻撃パターン数が「６以上」の範囲であれば、表示の際に用いる楕円のサイズを「大」（例えば、横幅が所定の基準サイズの円の２．０倍、縦幅が所定の基準サイズの円の１．０倍）として特定する。すなわち、脆弱性出力処理部１１４は、攻撃パターンの数が多いほど、表示情報の大きさを大きく設定するものであるといえる。

なお、これに限らず、重複しない複数の範囲を設けて表示の際に用いる図形の形状やサイズをより細かく特定するようにしてもよい。ただし、利用者にとってあまりに細かいサイズの差は区別性が低下することも含めてより高い効果が得られるとは一概に言い難いことから、３段階程度に区分し表示すると効用が高いといえる。

そして、脆弱性出力処理部１１４は、ソフトウェアと対応付けられた各脆弱性について、参照ＵＲＬを特定する（ステップＳ１０４）。具体的には、脆弱性出力処理部１１４は、脆弱性分析処理のステップＳ００６において脆弱性のタイプを特定された各脆弱性に対して、脆弱性記憶部１２１の参照ＵＲＬ１２１Ｅを読み出す。

そして、脆弱性出力処理部１１４は、クラスターＩＤの順に、脆弱性毎に特定した表示色、サイズに応じた図形を表示画面に配置し、各図形に脆弱性に応じた参照ＵＲＬへのリンクを挿入する（ステップＳ１０５）。具体的には、脆弱性出力処理部１１４は、ステップＳ１０１で割付けたクラスターＩＤの順に脆弱性の情報をソートし、各脆弱性の情報についてステップＳ１０２にて特定した表示色を指定し、ステップＳ１０３にて特定した表示サイズを指定し、ステップＳ１０４にて特定した参照ＵＲＬをハイパーリンクとして挿入して、画面情報を構成する。また、その際に用いる各脆弱性を示す図形は、例えば楕円である。なお、表示する図形は楕円に限定されず、例えば真円であってもよいし、正多角形あるいはその他の多角形、その他所定のキャラクターを示すイラスト画像等であってもよい。なお、より具体的には、ステップＳ１０５における処理は、既存のグラフィック生成ソフトウェアであるＧｒａｐｈｖｉｚ等により実行されるようにしてもよく、その際には上記したクラスターＩＤ、表示色、図形の種類、図形のサイズ等を設定することでＨＴＭＬにより上記画面情報を構成する。

そして、脆弱性出力処理部１１４は、表示画面を出力する（ステップＳ１０６）。具体的には、脆弱性出力処理部１１４は、ステップＳ１０５において図形を配置した表示画面を出力する。

以上が、脆弱性出力処理の処理内容である。脆弱性出力処理を行うことで、脆弱性分析装置１００は、脆弱性分析装置１００に含まれる脆弱性の影響度と、攻撃パターンの数と、に応じて直観的に把握可能に表示することが可能となる。

図９は、脆弱性出力処理のステップＳ１０６において表示される画面２００の例を示す図である。画面２００には、「ＣＶＥ−２０１２−ＸＸＸＸ」の脆弱性を示す第一の楕円オブジェクト２１１と、「ＣＶＥ−２０１２−ＹＹＹＹ」の脆弱性を示す第二の楕円オブジェクト２１２と、「ＣＶＥ−２０１２−ＺＺＺＺ」の脆弱性を示す第三の楕円オブジェクト２１３と、入力を受け付けると影響度の順に脆弱性を示す楕円を再整列させる第一のボタンオブジェクト２２１と、入力を受け付けると攻撃パターンの数の順に脆弱性を示す楕円を再整列させる第二のボタンオブジェクト２２２と、入力を受け付けるとソフトウェアの順（レジストリから読み出された順）、すなわちクラスターＩＤの順に脆弱性を示す楕円を再整列させる第三のボタンオブジェクト２２３と、が含まれる。

ここで、第一の楕円オブジェクト２１１は、ＣＶＳＳ基本値（影響度）が１０．０であって、ＣＡＰＥＣ数（攻撃パターン数）が１０である想定であるため、赤色で着色され、サイズ「大」で表示される楕円であり、当該楕円オブジェクトの領域内における入力指示を受け付けると「ＣＶＥ−２０１２−ＸＸＸＸ」に対応付けられた参照ＵＲＬにアクセスが可能なように関連付けられている。また、第二の楕円オブジェクト２１２は、ＣＶＳＳ基本値（影響度）が５．０であって、ＣＡＰＥＣ数（攻撃パターン数）が５である想定であるため、オレンジ色で着色され、サイズ「中」で表示される楕円であり、当該楕円オブジェクトの領域内における入力指示を受け付けると「ＣＶＥ−２０１２−ＹＹＹＹ」に対応付けられた参照ＵＲＬにアクセスが可能なように関連付けられている。また、第三の楕円オブジェクト２１３は、ＣＶＳＳ基本値（影響度）が２．０であって、ＣＡＰＥＣ数（攻撃パターン数）が１である想定であるため、黄色で着色され、サイズ「小」で表示される楕円であり、当該楕円オブジェクトの領域内における入力指示を受け付けると「ＣＶＥ−２０１２−ＺＺＺＺ」に対応付けられた参照ＵＲＬにアクセスが可能なように関連付けられている。

また、第一の楕円オブジェクト２１１と、第二の楕円オブジェクト２１２と、第三の楕円オブジェクト２１３とは、画面２００の表示の上方部から下方部に向かって順に直線状に配置されて表示される。

なお、図９の例では、「ＣＶＥ−２０１２−ＸＸＸＸ」の脆弱性と、「ＣＶＥ−２０１２−ＹＹＹＹ」の脆弱性と、「ＣＶＥ−２０１２−ＺＺＺＺ」の脆弱性と、の順にソフトウェアの順（レジストリの順）となっており、当該順に影響度が下がり、ＣＡＰＥＣ数も減るものである。そのため、入力を受け付けると影響度の順に脆弱性を示す楕円を再整列させる第一のボタンオブジェクト２２１と、入力を受け付けると攻撃パターンの数の順に脆弱性を示す楕円を再整列させる第二のボタンオブジェクト２２２と、入力を受け付けるとソフトウェアの順、すなわちクラスターＩＤの順に脆弱性を示す楕円を再整列させる第三のボタンオブジェクト２２３と、のいずれのオブジェクトが入力を受け付けた場合であっても、第一の楕円オブジェクト２１１と、第二の楕円オブジェクト２１２と、第三の楕円オブジェクト２１３と、の表示の順序は変更されない。

しかし、影響度が当該オブジェクトの順に下がるものではない場合には、脆弱性出力処理部１１４は、入力を受け付けると影響度の順に脆弱性を示す楕円を再整列させる第一のボタンオブジェクト２２１への入力を受け付けると、影響度の降順に順番を入れ替えて画面２００を再表示させる。同様に、ＣＡＰＥＣ数が当該オブジェクトの順に減るものではない場合には、入力を受け付けると攻撃パターン数の順に脆弱性を示す楕円を再整列させる第二のボタンオブジェクト２２１への入力を受け付けると、攻撃パターンの数の降順に順番を入れ替えて画面２００を再表示させる。

以上、本発明の第一の実施形態を適用した脆弱性分析装置１００について説明した。当該実施形態によると、利用者のシステムに関連する脆弱性について利用者が適切な対策を積極的に行うことを補助することができる。具体的には、利用者のシステムに関連する脆弱性について直観的にわかりやすく利用者に提示することができる。

本発明は、上記の第一の実施形態に制限されない。上記の第一の実施形態は、本発明の技術的思想の範囲内で様々な変形が可能である。例えば、上記の第一の実施形態においては、脆弱性分析装置１００は自装置の脆弱性を分析しているが、これに限られず、他の情報処理装置についても脆弱性を分析するようにしてもよい。このようにすることで、脆弱性分析装置１００による複数の情報処理装置の分析を効率よく行うことができるといえる。

以下に、図１０〜図１２を用いて、上記変形例について、第二の実施形態として具体的に説明する。なお、第二の実施形態については、第一の実施形態と基本的に同様の構成を備えるものであるため、以下においては相違する部分を中心に説明する。

図１０は、本発明に係る第二の実施形態を適用した脆弱性分析システム１の概要の構成を示す図である。脆弱性分析システム１においては、一または複数の脆弱性分析装置１００と、一または複数の情報処理装置３００と、が含まれる。

ここで、脆弱性分析装置１００については、第一の実施形態に係る脆弱性分析装置１００と略同様の構成を備えるが、制御部１１０の脆弱性出力処理部１１４´が第一の実施形態における脆弱性出力処理部１１４と処理内容において異なり、また、構成情報特定部１１１に代えて構成情報受付部１１５と、通信部１４０と、を備える点で異なる。なお、構成情報特定部１１１を併せて備えていてもよい。

脆弱性出力処理部１１４´は、脆弱性分析装置１００の出力部１３０に出力画面を出力するのではなく、後述するとおり、情報処理装置３００のブラウザ部３１２に出力画面を送信する点において、第一の実施形態の脆弱性出力処理部１１４´とは異なる。

構成情報受付部１１５は、所定のタイミング（例えば、情報処理装置３００からの脆弱性分析の開始依頼を受け付けたタイミング）で構成情報を受け付ける。そして、受け付けた構成情報を構成情報記憶部１２４に格納させる。例えば、構成情報受付部１１５は、脆弱性分析の開始依頼を行った情報処理装置３００のＯＳが管理するシステムレジストリ等の構成情報を受け付ける。特に、情報処理装置３００にインストールされているソフトウェアと、そのバージョンあるいはサービスパックの適用状況等と、を特定する情報を受け付ける。なお、より具体的には、構成情報受付部１１５は、ＯＶＡＬ（Ｏｐｅｎ Ｖｕｌｎｅｒａｂｉｌｉｔｙ ａｎｄ Ａｓｓｅｓｓｍｅｎｔ Ｌａｎｇｕａｇｅ）等を介して取得された情報処理装置３００のレジストリ情報を受け付けるものであってもよい。

脆弱性出力処理部１１４´および構成情報受付部１１５は、脆弱性分析装置１００の演算装置１５１に処理を行わせるプログラムによって実現される。このプログラムは、主記憶装置１５２または図示しないＲＯＭ装置内に記憶され、実行にあたって主記憶装置１５２上にロードされ、演算装置１５１により実行される。

通信部１４０は、ネットワーク１０を介して他の装置と通信を行う。なお、通信部１４０は、脆弱性分析装置１００が備える図示しない通信装置により実現される。

ネットワーク１０は、インターネット、ＷＡＮ（Ｗｉｄｅ Ａｒｅａ Ｎｅｔｗｏｒｋ）、ＬＡＮ（Ｌｏｃａｌ Ａｒｅａ Ｎｅｔｗｏｒｋ）、ピアツーピア型通信路、携帯電話網、無線通信網等を含む通信網であり、情報処理装置３００と脆弱性分析装置１００とはネットワーク１０を介して通信が可能となっている。

情報処理装置３００は、制御部３１０と、記憶部３２０と、ネットワーク１０を介して他の装置と通信を行う通信部３３０と、表示部３４０と、を含む。制御部３１０には、構成情報特定部３１１と、ブラウザ部３１２と、が含まれる。記憶部３２０には、構成情報記憶部３２１が含まれる。

構成情報特定部３１１は、所定のタイミング（例えば、一定間隔または脆弱性分析の開始指示を受け付けた際、あるいは情報処理装置３００のＯＳ（Ｏｐｅｒａｔｉｎｇ Ｓｙｓｔｅｍ）の起動シーケンス内の所定のタイミング等）で構成情報を特定する。例えば、構成情報特定部３１１は、情報処理装置３００のＯＳの起動シーケンス内の所定のタイミングで、ＯＳが管理するシステムレジストリ等の構成情報を読み出し、特に、情報処理装置３００にインストールされているソフトウェアと、そのバージョンあるいはサービスパックの適用状況等と、を特定する情報を取得する。なお、より具体的には、構成情報特定部３１１は、ＯＶＡＬ等を用いてレジストリ情報を読み出すものであってもよい。

ブラウザ部３１２は、いわゆるＷｅｂブラウザである。すなわち、ネットワークを介したＨＴＴＰ（Ｈｙｐｅｒｔｅｘｔ Ｔｒａｎｓｆｅｒ Ｐｒｏｔｏｃｏｌ）通信あるいはＨＴＴＰＳ等を行い、他の装置とＨＴＭＬ（Ｈｙｐｅｒｔｅｘｔ Ｍａｒｋｕｐ Ｌａｎｇｕａｇｅ）等の画面構成情報等を受信し表示する。また、ブラウザ部３１２は、所定のＵＲＬ、例えば脆弱性分析装置１００が提供するＷｅｂサイトの所定のリソースに対するＨＴＴＰリクエストを送信し、ＨＴＴＰレスポンスを受信し、ＨＴＴＰレスポンスに含まれるＨＴＭＬおよび関連する画像ファイルや動画等を含めて画面情報として表示する。

記憶部３２０には、構成情報記憶部３２１が含まれる。

図１０に示すように、構成情報記憶部３２１には、情報処理装置３００に導入済みのソフトウェアを特定する情報が格納される。具体的には、構成情報記憶部３２１には、第一の実施形態において示した構成情報記憶部１２４と同様の情報が格納される。

表示部３４０は、ブラウザ部３１２により受信された画面情報等を表示出力する。

なお、特に明記しないが、情報処理装置３００は、一般的な情報処理装置としての動作を行うことが可能である。すなわち、情報処理装置３００は、操作者によるキーボード等からの入力を受け付けて、所定の処理を実施してディスプレイ等へ出力を行うことができる。

また、情報処理装置３００は、第一の実施形態における脆弱性分析装置１００と同様のハードウェア構成を備える。上記した情報処理装置３００の構成情報特定部３１１、ブラウザ部３１２、通信部３３０、表示部３４０は、演算装置１５１に処理を行わせるプログラムによって実現される。このプログラムは、主記憶装置１５２または図示しないＲＯＭ装置内に記憶され、実行にあたって主記憶装置１５２上にロードされ、演算装置１５１により実行される。

また、情報処理装置３００の記憶部３２０は、主記憶装置１５２及び記憶装置１５４により実現される。以上が、情報処理装置３００のハードウェア構成例である。

[動作の説明]次に、本実施形態における脆弱性分析システム１の動作を説明する。図１１は、本実施形態における脆弱性分析システム１が実施する脆弱性分析処理のフロー図である。

脆弱性分析処理は、第一の実施形態における脆弱性分析処理と基本的に同様であるが、ステップＳ００１の処理が一部異なるため、当該相違について説明する。

構成情報特定部３１１は、レジストリ情報のうち導入済みのソフトウェアとそのバージョンを特定するエントリを特定し、脆弱性分析装置の構成情報受付部１１５へ送信する（ステップＳ００１´）。具体的には、構成情報特定部３１１は、ＯＳの管理下にあるレジストリ情報あるいはサービス情報を取得して、導入されているソフトウェアの名称等及びソフトウェアのバージョン情報が格納されたエントリを特定して読み出し、脆弱性分析装置１００に送信する。当該送信された構成情報を構成情報受付部１１５が受け付けると、構成情報記憶部１２４´に当該構成情報が格納される。

以上が、第一の実施形態における脆弱性分析処理との処理内容の差である。このようにすることで、第二の実施形態においては、情報処理装置３００の構成情報が脆弱性分析装置１００へ送信され、脆弱性分析装置１００において脆弱性の存否を判断することが可能となるべく記憶される。

図１２は、第二の実施形態における脆弱性出力処理のフロー図である。脆弱性出力処理についても、第一の実施形態における脆弱性出力処理と基本的に同様であるが、ステップＳ１０６以降の処理が一部異なるため、当該相違について説明する。

図１２に示すように、ステップＳ１０５において参照ＵＲＬへのリンクが挿入されると、脆弱性出力処理部１１４´は、構成された表示画面を情報処理装置３００へ送信する（ステップＳ１０７）。

そして、情報処理装置３００のブラウザ部３１２は、表示画面を表示する（ステップＳ１０８）。なお、ここでブラウザ部３１２が表示する表示画面は、第一の実施形態において表示される画面２００と同様であり、当該画面上の動作も同様に実現される。

以上が、第二の実施形態が適用された脆弱性分析システム１である。第二の実施形態によると、脆弱性分析装置１００による複数の情報処理装置の分析を効率よく行うことができるといえる。

また例えば、第一の実施形態においては、脆弱性に対する攻撃パターンの数に応じて表示を異ならせるようにしているが、これに限られない。例えば、攻撃パターンごとに一定の重みづけを行い、重みづけがなされた累積値に応じて表示を異ならせるようにしてもよい。このようにすることで、容易に実施しうる攻撃パターンについては重く扱うことで現実的な脆弱性の攻撃の可能性を直観的に示すことが可能となる。

また例えば、第一の実施形態においては、脆弱性を示す図形を楕円または真円として、その色とサイズにより表示を変化させているが、これに限られない。例えば、影響度に応じて図形が徐々に一定の法則（一または複数の突起が形成され、影響度が大きいと突起の数が増える等）で変化するように表示を変化させ、攻撃パターン数に応じて図形の大きさを変化させるようにしてもよい。このようにすることで、モノカラーで印刷出力した場合であっても、影響度を直観的に把握しうることとなる。

また例えば、第一の実施形態においては、脆弱性に対する攻撃パターンの数に応じて表示サイズを変更させ、影響度に応じて表示色を特定しているが、これに限られず、逆であってもよい。すなわち、脆弱性に対する攻撃パターンの数に応じて表示色を特定し、影響度に応じて表示サイズを変更するものであってもよい。

また例えば、第一の実施形態においては、脆弱性を示す図形を一覧しやすいように直線状に画面下方向に整列させて表示させているが、これに限られない。例えば、脆弱性を示す図形を表示順にしたがって中心から広がるようらせん状に表示させ、らせんの中心から離れた位置に配置された脆弱性ほど透過度を上げて、渦巻きの中心に近い位置にある脆弱性に注目させるようにしてもよい。このようにすることで、より効果的に注意を喚起することができるようになる。

また、上記した実施形態の技術的要素は、単独で適用されてもよいし、プログラム部品とハードウェア部品のような複数の部分に分けられて適用されるようにしてもよい。

以上、本発明について、実施形態を中心に説明した。

１・・・脆弱性分析システム、１０・・・ネットワーク、１００・・・脆弱性分析装置、１１０・・・制御部、１２０・・・記憶部、１３０・・・出力部、１４０・・・通信部、３００・・・情報処理装置、３１０・・・制御部、３２０・・・記憶部、３３０・・・通信部、３４０・・・表示部

本願は、上記課題の少なくとも一部を解決する手段を複数含んでいるが、その例を挙げるならば、以下のとおりである。上記課題を解決すべく、本発明に係る脆弱性分析装置は、所定の装置に含まれるセキュリティ脆弱性を上記所定の装置のオペレーティングシステムのレジストリ情報に基づき特定する脆弱性特定部と、特定したセキュリティ脆弱性に対する攻撃パターン数を特定する攻撃パターン数特定部と、特定したセキュリティ脆弱性の影響度を特定する影響度特定部と、攻撃パターン数および影響度に応じてセキュリティ脆弱性を示す表示情報を特定する表示情報処理部と、を備え、影響度特定部は、セキュリティ脆弱性に応じてあらかじめ定められた影響度を特定する、ことを特徴とする。

また、本発明に係るプログラムは、コンピューターに、セキュリティ脆弱性の分析を支援する手続きを実行させるプログラムであって、上記コンピューターを制御部として機能させ、制御部に対して、所定の装置に含まれるセキュリティ脆弱性を上記所定の装置のオペレーティングシステムのレジストリ情報に基づき特定する脆弱性特定手順と、特定した前記セキュリティ脆弱性に対する攻撃パターン数を特定する攻撃パターン数特定手順と、特定したセキュリティ脆弱性の影響度を特定する影響度特定手順と、前記攻撃パターン数および影響度に応じて前記セキュリティ脆弱性を示す表示情報を特定する表示情報処理手順と、を実行させ、影響度特定手順では、セキュリティ脆弱性に応じてあらかじめ定められた影響度を特定する、ことを特徴とするものであってもよい。

また、本発明に係る脆弱性分析方法は、脆弱性分析装置を用いた脆弱性分析方法であって、脆弱性分析装置は、所定の装置に含まれるセキュリティ脆弱性を上記所定の装置のオペレーティングシステムのレジストリ情報に基づき特定する脆弱性特定ステップと、特定した前記セキュリティ脆弱性に対する攻撃パターン数を特定する攻撃パターン数特定ステップと、特定したセキュリティ脆弱性の影響度を特定する影響度特定ステップと、攻撃パターン数および影響度に応じて前記セキュリティ脆弱性を示す表示情報を特定する表示情報処理ステップと、を実行し、影響度特定ステップでは、セキュリティ脆弱性に応じてあらかじめ定められた影響度を特定する、ことを特徴とするものであってもよい。

本願は、上記課題の少なくとも一部を解決する手段を複数含んでいるが、その例を挙げるならば、以下のとおりである。上記課題を解決すべく、本発明に係る脆弱性分析装置は、所定の装置に含まれるセキュリティ脆弱性を上記所定の装置のオペレーティングシステムのレジストリ情報に基づき特定する脆弱性特定部と、前記セキュリティ脆弱性に関連する脆弱性タイプを特定し、前記脆弱性タイプに応じてあらかじめ定められた攻撃パターンを計数することで、特定したセキュリティ脆弱性に対する攻撃パターン数を特定する攻撃パターン数特定部と、特定したセキュリティ脆弱性の影響度を特定する影響度特定部と、攻撃パターン数および影響度に応じてセキュリティ脆弱性を示す表示情報を特定する表示情報処理部と、を備え、影響度特定部は、セキュリティ脆弱性に応じてあらかじめ定められた影響度を特定する、ことを特徴とする。

また、本発明に係るプログラムは、コンピューターに、セキュリティ脆弱性の分析を支援する手続きを実行させるプログラムであって、上記コンピューターを制御部として機能させ、制御部に対して、所定の装置に含まれるセキュリティ脆弱性を上記所定の装置のオペレーティングシステムのレジストリ情報に基づき特定する脆弱性特定手順と、前記セキュリティ脆弱性に関連する脆弱性タイプを特定し、前記脆弱性タイプに応じてあらかじめ定められた攻撃パターンを計数することで、特定した前記セキュリティ脆弱性に対する攻撃パターン数を特定する攻撃パターン数特定手順と、特定したセキュリティ脆弱性の影響度を特定する影響度特定手順と、前記攻撃パターン数および影響度に応じて前記セキュリティ脆弱性を示す表示情報を特定する表示情報処理手順と、を実行させ、影響度特定手順では、セキュリティ脆弱性に応じてあらかじめ定められた影響度を特定する、ことを特徴とするものであってもよい。

また、本発明に係る脆弱性分析方法は、脆弱性分析装置を用いた脆弱性分析方法であって、脆弱性分析装置は、所定の装置に含まれるセキュリティ脆弱性を上記所定の装置のオペレーティングシステムのレジストリ情報に基づき特定する脆弱性特定ステップと、前記セキュリティ脆弱性に関連する脆弱性タイプを特定し、前記脆弱性タイプに応じてあらかじめ定められた攻撃パターンを計数することで、特定した前記セキュリティ脆弱性に対する攻撃パターン数を特定する攻撃パターン数特定ステップと、特定したセキュリティ脆弱性の影響度を特定する影響度特定ステップと、攻撃パターン数および影響度に応じて前記セキュリティ脆弱性を示す表示情報を特定する表示情報処理ステップと、を実行し、影響度特定ステップでは、セキュリティ脆弱性に応じてあらかじめ定められた影響度を特定する、ことを特徴とするものであってもよい。

Claims (10)

1. 所定の装置に含まれるセキュリティ脆弱性を特定する脆弱性特定部と、
   特定した前記セキュリティ脆弱性に対する攻撃パターン数を特定する攻撃パターン数特定部と、
   前記攻撃パターン数に応じて前記セキュリティ脆弱性を示す表示情報を特定する表示情報処理部と、
   を備えることを特徴とする脆弱性分析装置。
2. 請求項１に記載の脆弱性分析装置であって、
   前記攻撃パターン数特定部は、前記セキュリティ脆弱性に関連する脆弱性タイプを特定し、前記脆弱性タイプに応じてあらかじめ定められた攻撃パターンを計数する、
   ことを特徴とする脆弱性分析装置。
3. 請求項１または２に記載の脆弱性分析装置であって、さらに、
   構成情報を取得する構成情報取得部を備え、
   前記脆弱性特定部は、前記構成情報取得部により取得した構成情報に関連するセキュリティ脆弱性を特定する、
   ことを特徴とする脆弱性分析装置。
4. 請求項１〜３のいずれか一項に記載の脆弱性分析装置であって、
   前記表示情報処理部は、前記攻撃パターン数が多いほど、前記表示情報の大きさを大きく設定する、
   ことを特徴とする脆弱性分析装置。
5. 請求項１〜３のいずれか一項に記載の脆弱性分析装置であって、
   前記表示情報処理部は、前記攻撃パターン数が多いほど、前記表示情報の色を所定の色に近くなるよう設定する、
   ことを特徴とする脆弱性分析装置。
6. 請求項１〜５のいずれか一項に記載の脆弱性分析装置であって、さらに、
   特定した前記セキュリティ脆弱性の影響度を特定する影響度特定部を備え、
   前記影響度特定部は、前記セキュリティ脆弱性に応じてあらかじめ定められた前記影響度を特定する、
   ことを特徴とする脆弱性分析装置。
7. 請求項６に記載の脆弱性分析装置であって、
   前記表示情処理部は、前記影響度が大きいほど、前記表示情報の大きさを大きく設定する、
   ことを特徴とする脆弱性分析装置。
8. 請求項６に記載の脆弱性分析装置であって、
   前記表示情処理部は、前記影響度が大きいほど、前記表示情報の色を所定の色に近くなるように設定する、
   ことを特徴とする脆弱性分析装置。
9. コンピューターに、セキュリティ脆弱性の分析を支援する手続きを実行させるプログラムであって、制御部として機能させ、前記制御部に対して、
   所定の装置に含まれるセキュリティ脆弱性を特定する脆弱性特定手順と、
   特定した前記セキュリティ脆弱性に対する攻撃パターン数を特定する攻撃パターン数特定手順と、
   前記攻撃パターン数に応じて前記セキュリティ脆弱性を示す表示情報を特定する表示情報処理手順と、
   を実行させることを特徴とする脆弱性分析装置。
10. 脆弱性分析装置を用いた脆弱性分析方法であって、
    前記脆弱性分析装置は、
    所定の装置に含まれるセキュリティ脆弱性を特定する脆弱性特定ステップと、
    特定した前記セキュリティ脆弱性に対する攻撃パターン数を特定する攻撃パターン数特定ステップと、
    前記攻撃パターン数に応じて前記セキュリティ脆弱性を示す表示情報を特定する表示情報処理ステップと、
    を実行することを特徴とする脆弱性分析方法。

Images