JP2015138509A - 脆弱性リスク診断システム及び脆弱性リスク診断方法 - Google Patents

Abstract

【課題】脆弱性によるリスクを診断すること。【解決手段】ベンダーから公開された脆弱性情報を脆弱性情報ファイル２０へ登録する脆弱性情報登録部１３及びシステム機器１５毎のインシデント情報をシステム情報ファイル２１へ登録するシステム情報登録部１４を含む情報登録部１０と、脆弱性情報ファイル２０に登録した脆弱性情報とシステム情報ファイル２１に登録したインシデント情報を照合し、脆弱性に対するシステム機器１５のリスク診断を行って診断結果をシステム情報ファイル２１に登録するリスク診断部１１と、リスクの診断結果を表示するリスク表示部１２とを設けた脆弱性リスク診断システム。【選択図】図１

Description

本発明は、コンピュータシステムにおけるソフトウェア等の脆弱性によるリスクを診断することができる脆弱性リスク診断システム及び脆弱性リスク診断方法に関する。

近年のコンピュータシステムにおいてはＯＳ等のソフトウェア・ハードウェアには脆弱性が内在し、この脆弱性情報はソフトウェア・ハードウェアの製造業者又は供給業者であるベンダーから一般公開され、これらソフトウェア及びハードウェアを利用するコンピュータシステムの管理業務においては、前記脆弱性によるコンピュータシステムに与える影響を最小限にするためのリスク診断を行う必要があり、このリスク管理は、システム管理者がコンピュータ機器やその部品のデータをまとめた資産目録である資産管理台帳を基にリスク診断を行っている。前記脆弱性とは、情報システムにおいて、第三者が保安上の脅威となる行為(システムの乗っ取りや機密情報の漏洩［セキュリティ］など)に利用できる可能性のあるソフトウェア・ハードウェアの欠陥や仕様上の問題点をいい、ハードウェアの欠陥やソフトウェアのバグや利用形態・設計段階での見落としなどの形式的には欠陥とはならない潜在的な問題点が挙げられる
この脆弱性がシステムに適合するかについてのリスク診断は、使用ＯＳ・ソフトウェアのバージョン、システムの設定、稼働状況、そのほか様々な条件が複合し、それら適合具合によってリスクが異なり、環境に応じた対応が必要となる。しかし、資産管理台帳の情報が不足したり、システムが大規模な場合、これら全てを確認することは困難であり、バージョンなど一部の確認のみ行われていた。

尚、ソフトウェアのセキュリティに関する技術が記載された文献としては下記の特許文献１が挙げられ、該特許文献１には、業務サーバ毎の重要性の度合いを示す重要度を記憶するソフトウェア重要度データベースと、業務サーバ毎のインストールされているソフトウェアのパッチが適用されているか否かの状況を記憶する適用緊急度データベースと、パッチの適用の状況の情報を業務サーバから取得して適用緊急度データベースを更新する適用状況更新処理部と、前記用緊急度データベースに記憶されるパッチの適用の状況に基づいて必要なパッチが適用されていない業務サーバを検出し、該検出した業務サーバのサーバ名を当該業務サーバの重要度の大きさに応じたアイコンと共に端末装置に表示させる容態画面表示処理部を設けることによって、コンピュータのソフトウェアに関する状況を管理者に容易に確認させ技術が記載されている。

特開２００９−２１７６３７号公報

前述の特許文献１記載技術は、業務サーバごとにインストールされているソフトウェアと重要度を記憶しておき、ソフトウェアのパッチ適用状況に基づいて重要度に応じた容態画面を表示させることができるものの、予め定義したソフトウェアの重要度のみでパッチ適用の必要性を判断するため、脆弱性のシステムへの適合の有無については考慮されていないという課題があった。

また、ベンダーから公開される脆弱性情報は一般的なものであるため、診断対象となる具体的なコンピュータシステムに対する脆弱性の条件とシステムとの適合具合によって異なる影響範囲や対策手段の把握が困難である課題と、資産管理台帳の更新漏れや大規模システムにおいては診断が困難である課題と、脆弱性に対する対策の効果の確認が困難であるという課題があった。

本発明の目的は、前述の従来技術による課題を解決しようとするものであり、コンピュータシステムにおけるハードウェアやソフトウェアの脆弱性によるリスクを診断することができる脆弱性リスク診断システム及び脆弱性リスク診断方法を提供することである。

前記目的を達成するため本発明は、脆弱性のリスク診断の対象となるソフトウェア情報を含むシステム機器のインベントリ情報を格納するインベントリ情報ファイルを含む外部システムに接続され、システム機器の脆弱性をベンダーから公開された脆弱性情報に基づいて診断する脆弱性リスク診断システムであって、
前記ベンダーから公開された脆弱性情報及び該脆弱性情報に対するリスク値を格納する脆弱性情報ファイルと、
前記外部システムのソフトウェア情報を含むシステム機器のインシデント情報を格納するシステム情報ファイルと、
前記ベンダーから公開された脆弱性情報を前記脆弱性情報ファイルへ登録する脆弱性情報登録部及びシステム機器毎のインシデント情報をシステム情報ファイルへ登録するシステム情報登録部を含む情報登録部と、
前記脆弱性情報ファイルに登録した脆弱性情報とシステム情報ファイルに登録したインシデント情報を照合し、脆弱性に対するシステム機器のリスク診断を行って診断結果をシステム情報ファイルに登録するリスク診断部と、
リスクの診断結果を表示するリスク表示部を備えたことを第１の特徴とする。

また、本発明は、第１の特徴の脆弱性リスク診断システムにおいて、前記インベントリ情報が、システム機器を構成するハードウェア情報を含み、前記リスク診断部が、前記脆弱性情報ファイルに登録した脆弱性情報とシステム情報ファイルに登録したソフトウェア情報及びハードウェア情報を照合し、脆弱性に対するシステム機器のリスク診断を行うことを第２の特徴とし、前記何れかの特徴の脆弱性リスク診断システムにおいて、前記インベントリ情報が、ソフトウェア情報に対するパッチ情報と任意設定情報を含み、前記リスク診断部が、脆弱性情報ファイルに格納した脆弱性が公開されているバージョンを含む適合条件に、システム情報ファイルに格納したソフトウェア情報とハードウェア情報とパッチ情報と任意設定情報を含むインベントリ情報に合致するか否かを判定し、合致するインベントリ情報に対して脆弱性情報ファイルに含まれるリスク値を抽出してリスク表示部に表示することを第３の特徴とする。

更に、本発明は、脆弱性のリスク診断の対象となるソフトウェア情報を含むシステム機器のインベントリ情報を格納するインベントリ情報ファイルを含む外部システムに接続され、脆弱性情報及び該脆弱性情報に対するリスク値を格納する脆弱性情報ファイルと、前記外部システムのソフトウェア情報を含むシステム機器のインシデント情報を格納するシステム情報ファイルとを備え、システム機器の脆弱性をベンダーから公開された脆弱性情報に基づいて診断するコンピュータシステムの脆弱性リスク診断方法であって、
前記ベンダーから公開された脆弱性情報を前記脆弱性情報ファイルへ登録する脆弱性情報登録部及びシステム機器毎のインシデント情報をシステム情報ファイルへ登録するシステム情報登録部を含む情報登録工程と、
前記脆弱性情報ファイルに登録した脆弱性情報とシステム情報ファイルに登録したインシデント情報を照合し、脆弱性に対するシステム機器のリスク診断を行って診断結果をシステム情報ファイルに登録するリスク診断工程と、
リスクの診断結果を表示するリスク表示工程を実行することを第４の特徴とする。

また、本発明は、前記第４の特徴の脆弱性リスク診断方法において、前記インベントリ情報が、システム機器を構成するハードウェア情報を含み、前記リスク診断工程が、前記脆弱性情報ファイルに登録した脆弱性情報とシステム情報ファイルに登録したソフトウェア情報及びハードウェア情報を照合し、脆弱性に対するシステム機器のリスク診断を行うことを第５の特徴とし、前記何れかの特徴の脆弱性リスク診断方法において、前記インベントリ情報が、ソフトウェア情報に対するパッチ情報と任意設定情報を含み、前記リスク診断工程が、脆弱性情報ファイルに格納した脆弱性が公開されているバージョンを含む適合条件に、システム情報ファイルに格納したソフトウェア情報とハードウェア情報とパッチ情報と任意設定情報を含むインベントリ情報に合致するか否かを判定し、合致するインベントリ情報に対して脆弱性情報ファイルに含まれるリスク値を抽出して表示することを第６の特徴とする。

本発明による脆弱性リスク診断システム及び脆弱性リスク診断方法は、ベンダーから公開された脆弱性情報を脆弱性情報ファイルへ登録する脆弱性情報登録部及びシステム機器毎のインシデント情報をシステム情報ファイルへ登録するシステム情報登録部を含む情報登録部と、脆弱性情報ファイルに登録した脆弱性情報とシステム情報ファイルに登録したインシデント情報を照合し、脆弱性に対するシステム機器のリスク診断を行って診断結果をシステム情報ファイルに登録するリスク診断部と、リスクの診断結果を表示する表示部とを設けたことによって、コンピュータシステムにおけるハードウェアやソフトウェアの脆弱性によるリスクを診断することができる。

本発明の実施形態による脆弱性リスク診断システムを含むコンピュータシステムを示す図。 本実施形態によるリスク診断結果の表示画面図例を示す図。 本実施形態による情報登録部の動作フロー図。 本実施形態によるリスク診断部の動作フローを示す図。 本実施形態によるリスク表示部の動作フロー図を示す図。 本実施形態による脆弱性情報ファイル及びシステム情報ファイルのレイアウトを示す図。

以下、本発明による脆弱性リスク診断方法を実現する脆弱性リスク診断システムの一実施形態を図面を参照して詳細に説明する。
［構成］
本実施形態による脆弱性リスク診断システムを含むコンピュータシステムは、リスク診断の対象となるシステム機器１５及び該システム機器１５のインベントリ情報を格納するインベントリ情報ファイル２２を含む外部システム２と、該外部システム２とインターネット等の通信回線を介して接続され前記外部システム２のリスク診断を行うリスク診断システム１と、該リスク診断システム１に接続され、操作者が操作する操作端末１６によりリスク診断結果を表示するシステム操作部３とから構成される。

本実施形態の特徴であるリスク診断システム１は、図示しないソフトウェア・ハードウェアの製造業者又は供給業者であるベンダーから公開された脆弱性情報を格納するための脆弱性情報ファイル２０と、前記外部システム２のシステム機器１５を形成するソフトウェア及びハードウェアの構成情報であるシステム情報及びリスク診断結果を格納するシステム情報ファイル２１と、前記公開された脆弱性情報を収集して脆弱性情報ファイル２０に登録する脆弱性情報登録部１３及び前記外部システム２のインベントリ情報ファイル２２の情報をシステム情報ファイル２１に登録するシステム情報登録部１４を含む情報登録部１０と、前記脆弱性情報ファイル２０及びシステム情報ファイル２１を照合し、脆弱性ごとにシステム機器１５のリスク診断を行うリスク診断部１１と、該リスク診断部１１によるリスク診断結果及び脆弱性への対策を行った後のリスク値の変化のシミュレート画面を表示するリスク表示部１２とを備え、リスク表示部１２を閲覧するためにシステム操作部３が接続されている。

前記脆弱性情報ファイル２０に格納される脆弱性情報は、図６（ａ）に示す如く、脆弱性に適合する適合条件及び該適合条件毎のリクク値を含む評価基準と、該脆弱性によりシステム機器に与える想定される影響範囲と、該脆弱性に対応するための対策手段との各項目情報とから成り、前記適合条件は、ソフトウェアのバージョンに対するリスク値を［適合条件／リスク値］の形式で表し、例えば、［Ｓｏｆｔｗａｒｅ＿Ａ１０．１以前／４．５（高）］の如く登録され、前記影響範囲は、例えば、「任意のコードが実行される」「情報の漏洩、改ざんの可能性」の如く表し、前記対策手段は、例えば、「ｐａｔｃｈ＿００１適用」「ｓｅｔｔｉｎｇｓ＿００１を１００に変更」の如く表されている。尚、図示の例ではソフトウェアに対する脆弱性の適合条件しか例示していないが、ハードウェアとソフトウェアとの相性による脆弱性も想定されるためハードウェアとの組み合わせも脆弱性情報に含めても良い。

前記システム情報ファイル２１に登録されるシステム情報ファイルは、インベントリ情報及びリスク診断結果を含み、該インベントリ情報は、図６（ｂ）に示す如く、システム機器からのインベントリの取得日時と、ＯＳバージョン・ホスト名・当該ホストのＩＰアドレスを含むＯＳ情報と、システム機器を構成する各パーツの型番・スペックを含むハードウェア情報と、ソフトウェア名・ソフトウェア毎のバージョンを含むソフトウェア情報と、脆弱性に関連するパッチの適用状況を表すパッチ情報と、脆弱性に対するサービスＯＮ／ＯＦＦ・レジストリ値・パーソナルコンピュータらメータ値などの設定状況を表す任意設定情報の各項目情報と、システム機器のリソース使用率を表すリソース情報と、システム機器の連続稼働時間を表す稼働時間とを含み、データ例としては図示の通りである。

前記リスク診断結果は、診断結果毎に一意に付与された登録名ＩＤと、診断結果の適合条件毎のリスク値と、想定される影響範囲と、脆弱性への対策手段との各綱目情報を含む診断結果とから成り、例えば、登録名ＩＤ「脆弱性＿００１」に対し、リスク値が「４．５（高）」、影響範囲が「任意のコードが実行される」「情報の漏洩、改竄の可能性」、対策手段が「ｐａｔｃｈ＿００１適用」「ｓｅｔｔｉｎｇ＿００１を１００に変更」の如く格納されている。

また、前記リスク表示部１２に表示されるリスク診断結果画面は、図２に示す如く、指定したシステム機器の脆弱性に対するリスク値欄３０と、診断日時と、システム機器のホスト名と、該ホストのＯＳバージョンと、該ホストに適用可能なパッチ適用有無を示すパッチ名及び適用可能なサービス名を表すサービス名を表示するシステム情報表示フィールド３１と、脆弱性による影響範囲及び対策手段を表示する影響範囲／対策手段表示フィールド３２との各項目欄を表示し、図示の例では、ＯＳ＿Ａ ＳｔｄのホストＳｅｒｖｅｒ＿００１に対して２０１３／１１／６ １０：５７：２０に診断したリスク値が「３．２（中）」であり、パッチ＿００１が未適用、サービス＿００２が「ＯＮ」、想定される影響範囲が「任意のコードが実行される」、対策手段が「パッチ＿００２適用」である旨が表示されている。

［動作］
前述のように構成された脆弱性リスク診断システムは、図３（ｂ）に示す如く、システム情報登録部１４が、システム情報ファイル２１に格納した外部システム２のシステム機器毎のインベントリ情報を定期的に読みだしてシステム情報ファイル２１に登録したインベントリ情報をシステム情報ファイル２１に登録するステップ１０３と、図３（ａ）に示す如く、脆弱性情報登録部１３が、脆弱性ごとにベンダーが公開した脆弱性情報を脆弱性情報ファイル２０に登録するステップ１０１と、システム情報登録部１４が、前記登録した脆弱性情報ファイル２０の登録名ＩＤをリスク診断部１１に通知するステップ１０２を実行することによって、脆弱性情報ファイル２０とシステム情報ファイル２１に情報を登録するように動作する。

次いで、本実施形態によるリスク診断部１１が、図４に示す如く、前記脆弱性情報登録部１３からの脆弱性情報の登録通知を受信したとき、脆弱性情報ファイル２０から脆弱性情報を取得するステップ２０１と、システム情報ファイル２１からインベントリ情報を取得するステップ２０２と、該ステップ２０２により取得したインベントリ情報の取得日時と脆弱性情報日付とを比較し、インベントリ情報日付と脆弱性情報日付との日付差が所定日数差以上古い又はインベントリ情報登録がされているかに基づいてシステム情報を更新するか否かを判定するステップ２０３と、該ステップ２０３によりシステム情報を更新すると判定（所定日数差以上古い又はインベントリ情報登録がされていない）したとき、インシベント情報を含むシステム情報を更新するステップ２０４と、該ステップ２０４又は前記ステップ２０３によりシステム情報を更新しないと判定したときに続き、リスク診断処理を実行するステップＳ２０５と、該ステップ２０５により実行したリスク診断処理結果をシステム情報ファイル２１に登録するステップ２０６とを実行することによって、リスク診断を行うように動作する。

このリスク診断は、例えば、脆弱性情報ファイル２０に格納した脆弱性が公開されているバージョンを含む適合条件に合致するソフトウェア及びハードウェアが、システム情報ファイル２１に格納したインベントリ情報（ソフトウェア情報とハードウェア情報とパッチ情報と任意設定情報）に合致するか否かを判定し、合致するインベントリ情報に対して脆弱性情報ファイル２０に含まれるリスク値を抽出することによって行われる。

更に、本実施形態による脆弱性リスク診断システムは、操作端末１６からリスク表示部１２に接続し脆弱性の一覧から任意の脆弱性を選択することによって、図５に示す如く、脆弱性情報ファイル２０から脆弱性の一覧「登録名ＩＤ」を取得してリスク表示部１２へ表示する画面データ作成を行う表示処理を実行するステップ３０１と、システム情報ファイル２１のリスク診断結果から選択した脆弱性のリスク診断結果を取得するステップ３０２と、該ステップ３０２により取得したリスク診断結果（図２）をリスク表示部１２へ画面出力するステップ３０３と、該ステップ３０３により出力した表示画面に対して操作端末１６からシステム情報表示フィールド３１の変更又は再診断のシミュレートが入力されたか否かを判定し、シミュレートしないと判定したときに処理を終了するステップ３０４と、該ステップ３０４によりシミュレートすると判定したとき、図２に示すリスク値表示フィールド３０及び影響範囲／対策手段表示フィールド３２のシステム情報の変更又は再診断処理を行って前記ステップ３０３に戻るステップ３０５とを実行することによって、表示画面においてシステム情報値（パッチ、サービス）を変更して対策の効果をシミュレートすることができる。

このように本実施形態による脆弱性リスク診断システムは、リスク診断の対象となるシステム機器１５及び該システム機器１５のインベントリ情報を格納するインベントリ情報ファイル２２を含む外部システム２と接続され、システム機器１５の脆弱性をベンダーから公開された脆弱性情報に基づいて診断するものであって、ベンダーから公開された脆弱性情報を格納する脆弱性情報ファイル２０と、前記外部システム２のシステム機器１５を形成するソフトウェア及びハードウェアの構成情報であるシステム情報及びリスク診断結果を格納するシステム情報ファイル２１と、脆弱性情報を脆弱性毎に脆弱性情報ファイルへ登録する脆弱性情報登録部１３及びシステム機器毎のシステム情報をシステム情報ファイルへ登録するシステム情報登録部１４とを含む情報登録部１０と、前記脆弱性情報ファイル２０とシステム情報ファイル２１を照合し、脆弱性に対するシステムのリスク診断を行って診断結果をシステム情報ファイル２１に登録するリスク診断部１１と、リスクの診断結果を表示すると共にシステム情報値を変更することで、対策の効果をシミュレートすることができるリスク表示部１２とを備えたことによって、コンピュータシステムにおけるハードウェアやソフトウェアの脆弱性によるリスクを診断することができる。

１ リスク診断システム、２ 外部システム、３ システム操作部、
１０ 情報登録部、１１ リスク診断部、１２ リスク表示部、
１３ 脆弱性情報登録部、１４ システム情報登録部、１５ システム機器、
１６ 操作端末、２０ 脆弱性情報ファイル、２１ システム情報ファイル、
２２ インベントリ情報ファイル、３０ リスク値欄、
３１ システム情報表示フィールド、
３２ 対策手段表示フィールド

Claims (6)

1. 脆弱性のリスク診断の対象となるソフトウェア情報を含むシステム機器のインベントリ情報を格納するインベントリ情報ファイルを含む外部システムに接続され、システム機器の脆弱性をベンダーから公開された脆弱性情報に基づいて診断する脆弱性リスク診断システムであって、
   前記ベンダーから公開された脆弱性情報及び該脆弱性情報に対するリスク値を格納する脆弱性情報ファイルと、
   前記外部システムのソフトウェア情報を含むシステム機器のインシデント情報を格納するシステム情報ファイルと、
   前記ベンダーから公開された脆弱性情報を前記脆弱性情報ファイルへ登録する脆弱性情報登録部及びシステム機器毎のインシデント情報をシステム情報ファイルへ登録するシステム情報登録部を含む情報登録部と、
   前記脆弱性情報ファイルに登録した脆弱性情報とシステム情報ファイルに登録したインシデント情報を照合し、脆弱性に対するシステム機器のリスク診断を行って診断結果をシステム情報ファイルに登録するリスク診断部と、
   リスクの診断結果を表示するリスク表示部と備えたことを特徴とする脆弱性リスク診断システム。
2. 前記インベントリ情報が、システム機器を構成するハードウェア情報を含み、前記リスク診断部が、前記脆弱性情報ファイルに登録した脆弱性情報とシステム情報ファイルに登録したソフトウェア情報及びハードウェア情報を照合し、脆弱性に対するシステム機器のリスク診断を行うことを特徴とする請求項１記載の脆弱性リスク診断システム。
3. 前記インベントリ情報が、ソフトウェア情報に対するパッチ情報と任意設定情報を含み、前記リスク診断部が、脆弱性情報ファイルに格納した脆弱性が公開されているバージョンを含む適合条件に、システム情報ファイルに格納したソフトウェア情報とハードウェア情報とパッチ情報と任意設定情報を含むインベントリ情報に合致するか否かを判定し、合致するインベントリ情報に対して脆弱性情報ファイルに含まれるリスク値を抽出してリスク表示部に表示することを特徴とする請求項１又は２記載の脆弱性リスク診断システム。
4. 脆弱性のリスク診断の対象となるソフトウェア情報を含むシステム機器のインベントリ情報を格納するインベントリ情報ファイルを含む外部システムに接続され、脆弱性情報及び該脆弱性情報に対するリスク値を格納する脆弱性情報ファイルと、前記外部システムのソフトウェア情報を含むシステム機器のインシデント情報を格納するシステム情報ファイルとを備え、システム機器の脆弱性をベンダーから公開された脆弱性情報に基づいて診断するコンピュータシステムの脆弱性リスク診断方法であって、
   前記ベンダーから公開された脆弱性情報を前記脆弱性情報ファイルへ登録する脆弱性情報登録部及びシステム機器毎のインシデント情報をシステム情報ファイルへ登録するシステム情報登録部を含む情報登録工程と、
   前記脆弱性情報ファイルに登録した脆弱性情報とシステム情報ファイルに登録したインシデント情報を照合し、脆弱性に対するシステム機器のリスク診断を行って診断結果をシステム情報ファイルに登録するリスク診断工程と、
   リスクの診断結果を表示するリスク表示工程を実行することを特徴とする脆弱性リスク診断方法。
5. 前記インベントリ情報が、システム機器を構成するハードウェア情報を含み、前記リスク診断工程が、前記脆弱性情報ファイルに登録した脆弱性情報とシステム情報ファイルに登録したソフトウェア情報及びハードウェア情報を照合し、脆弱性に対するシステム機器のリスク診断を行うことを特徴とする請求項４記載の脆弱性リスク診断方法。
6. 前記インベントリ情報が、ソフトウェア情報に対するパッチ情報と任意設定情報を含み、前記リスク診断工程が、脆弱性情報ファイルに格納した脆弱性が公開されているバージョンを含む適合条件に、システム情報ファイルに格納したソフトウェア情報とハードウェア情報とパッチ情報と任意設定情報を含むインベントリ情報に合致するか否かを判定し、合致するインベントリ情報に対して脆弱性情報ファイルに含まれるリスク値を抽出して表示することを特徴とする請求項４又は５記載の脆弱性リスク診断方法。

Images