JP2018022419A - 画像形成装置、攻撃耐性評価プログラムおよび攻撃耐性評価システム - Google Patents

Abstract

【課題】専門知識のないユーザであっても、実使用環境でのネットワーク・セキュリティを評価できるようにする。
【解決手段】ネットワークを介して接続された外部の擬似攻撃実行サーバ宛の擬似攻撃要求送信の指示を受け付ける操作部と、前記送信指示に応答して前記擬似攻撃実行サーバへ擬似攻撃先である自己の識別情報を含む擬似攻撃要求を送信し、送信された擬似攻撃要求に応答して前記擬似攻撃実行サーバから送られる擬似的な不正アクセス攻撃を受領する通信部とを備える画像形成装置。
【選択図】図８

Description

この発明は、画像形成装置、攻撃耐性評価プログラムおよび攻撃耐性評価システムに関し、より詳細には攻撃耐性評価のため外部からの擬似的な攻撃を要求する機能を有する画像形成装置、画像形成装置を外部から擬似的に攻撃する攻撃耐性評価プログラムおよび攻撃耐性評価システムに関する。

一般的にネットワークに接続される機器（以下、ネットワーク接続機器という）の一種としての画像形成装置は複数のネットワーク設定やパスワードプロテクト等を用いたセキュリティ設定を備えており、それらを適切に設定することでセキュリティレベルを高めることができる。
しかしネットワーク関連の設定は専門的な内容が多く、一般的なユーザが設定内容を理解して適切なレベルのセキュリティを確立することは難しい。またネットワーク接続機器のセキュリティに関わる設定はその効果の確認が難しいという性質があることや、誤った設定によって正規の利用までも妨げられてしまうことがある。そのためユーザは適切なセキュリティ設定を行わずに運用し、これが結果として情報漏えいを引き起こす一因となっている。

一方、このようなユーザ側の使用状況や設定状況に起因するセキュリティの脆弱性とは別に、画像形成装置や通信経路中のその他のネットワーク接続機器のセキュリティホールに起因する脆弱性がある。画像形成装置に使用されるプログラムやネットワーク接続機器に関するセキュリティホールが日々発見されている現状を鑑みれば、本体設定のみを静的に評価する手法（例えばパスワードの複雑性に基づく評価方法など）のみでは実際の攻撃に対するセキュリティレベルを適切に評価できない。
ここで、ネットワーク・セキュリティ（あるいは単にセキュリティ）は、ネットワーク接続機器によって処理されたり格納される情報およびネットワーク上でやりとりされる情報が資格（権限）のない者によってアクセスされ取得されたりすることがないように構築された情報（データ）の保護体制といえる。

一般に、一定レベルのネットワーク・セキュリティを確保するには、ネットワークシステムを構築する際にセキュリティを考慮した設計が不可欠である。これに関し、複数のノードがネットワークを介して接続されている仮想的な対象システムをコンピュータ上に定義し、その脆弱性を評価するものが提案されている（例えば、特許文献１参照）。特許文献１のものは、仮想的な対象システムの各ノードの定義と、各ノードの脆弱性の定義と、擬似攻撃の種類等の定義と、保護対象の定義とを行ったうえで、定義された保護対象に対して、定義された擬似攻撃を行うシミュレーションを行って対象システムの脆弱性を評価する。

特開２００３−１０８５２１号公報

ネットワークシステム内の各ノードとなるネットワーク接続機器の特性が、その脆弱性を含めて予めすべて判っていれば、特許文献１のようにコンピュータ上で仮想的な対象システムを定義することで、対象システムを実際に構築する前にその脆弱性を評価して適切な対応をとることが可能である。
しかし、例えば画像形成装置の製造者は、自らが製造した画像形成装置のネットワーク接続機器としての特性や脆弱性はある程度把握できるとしても、それ以外の各ノードの特性や脆弱性を把握する術がなく、従って事前のシミュレーションを行うのは難しいのが実情である。

その一方で、ネットワーク関連の専門知識を持たないユーザが購入し、あるいはネットワーク関連の専門知識を持たない事業者が導入・設置する画像形成装置であれば、より一層、実使用環境におけるネットワーク・セキュリティの脆弱性を評価して適切な対応をとることが望まれる。
この発明は、以上のような事情を考慮してなされたものであって、専門知識のないユーザであっても、実使用環境でのネットワーク・セキュリティを評価できる画像形成装置、画像形成装置の攻撃耐性評価プログラムおよび攻撃耐性評価システムを提供するものである。

（１）この発明は、ネットワークを介して接続された外部の擬似攻撃実行サーバ宛の擬似攻撃要求送信の指示を受け付ける操作部と、前記送信指示に応答して前記擬似攻撃実行サーバへ擬似攻撃先である自己の識別情報を含む擬似攻撃要求を送信し、送信された擬似攻撃要求に応答して前記擬似攻撃実行サーバから送られる擬似的な不正アクセス攻撃を受領する通信部とを備える画像形成装置を提供する。

（２）また、異なる観点からこの発明は、ネットワークを介して外部の画像形成装置と接続されたコンピュータに、前記画像形成装置の識別情報を含む擬似攻撃要求を前記画像形成装置から受信する処理と、受信した擬似攻撃要求に応答して前記画像形成装置に対する擬似的な不正アクセス攻撃を実行する処理とを実行させる攻撃耐性評価プログラムを提供する。

（３）さらに、異なる観点からこの発明は、外部の機器と通信可能な画像形成装置と、ネットワークを介して前記画像形成装置と直接又は間接に接続されて通信する擬似攻撃実行サーバとを備えたシステムであって、前記画像形成装置は、その画像形成装置の識別情報を含む擬似攻撃要求を前記擬似攻撃実行サーバに送り、前記擬似攻撃実行サーバは、前記擬似攻撃要求に応答して前記画像形成装置に対する擬似的な不正アクセス攻撃を実行し、実行した結果を前記画像形成装置に送信し、前記画像形成装置は受領した結果を提示する画像形成装置の攻撃耐性評価システムを提供する。

（４）さらにまた、この発明は、外部の機器と通信可能な画像形成装置と、第１のネットワークを介して前記画像形成装置と通信可能な代理サーバと、第２のネットワークを介して前記代理サーバと通信可能な擬似攻撃実行サーバとを備えたシステムであって、前記画像形成装置は、その画像形成装置の識別情報を含む擬似攻撃要求を前記代理サーバに送り、前記代理サーバは、受信した擬似攻撃要求を前記擬似攻撃実行サーバに送り、前記擬似攻撃実行サーバは、前記擬似攻撃要求に応答して前記画像形成装置に対する擬似的な不正アクセス攻撃の実行を前記代理サーバに指示し、前記代理サーバは、指示に応答して擬似攻撃を実行し、実行した擬似攻撃の結果を前記擬似攻撃実行サーバに送信し、前記擬似攻撃実行サーバは、受信した擬似攻撃の結果を、前記代理サーバを介して前記画像形成装置に送信し、前記画像形成装置は受領した結果を提示する画像形成装置の攻撃耐性評価システムを提供する。

この発明による画像形成装置は、ネットワークを介して接続された擬似攻撃実行サーバへ擬似攻撃先である自己の識別情報を含む擬似攻撃要求を送信するので、専門知識のないユーザであっても、実使用環境で画像形成装置のネットワーク・セキュリティを簡便に評価できる。
この手法によれば、画像形成装置本体だけでなく接続されるネットワーク環境を含めて、実際の運用環境を対象としたネットワーク・セキュリティの評価が実現できる。
また、その評価に基づいて専門知識のないユーザであってもより適切なセキュリティ・マネジメントが行えるようになる。

この発明に係るネットワークの構成例を示す説明図である。（実施の形態１） 図１に示す記憶部に格納される擬似攻撃リクエストのデータの一例を示す説明図である。 図１に示す記憶部に格納される保護対象データを示す説明図である。 この発明の一態様の画像形成装置の構成を示すブロック図である。 この発明の一態様の画像形成装置のレイアウトの一例を示す説明図である。 この発明に係る擬似攻撃実行サーバの構成例を示すブロック図である。 この発明に係る擬似攻撃パターンデータベースの例を示す説明図である。 この発明に係る擬似攻撃の実行手順の例を示すフローチャートである。（実施の形態１） この発明に係るネットワークの図１と異なる構成例を示す説明図である。（実施の形態２） この実施形態に係る代理サーバを介した擬似攻撃の実行手順の例を示すフローチャートである。（実施の形態２）

以下、図面を用いてこの発明をさらに詳述する。なお、以下の説明は、すべての点で例示であって、この発明を限定するものと解されるべきではない。

（実施の形態１）
≪ネットワークの構成≫
この発明に係る画像形成装置および擬似攻撃実行サーバが通信するネットワークの構成について述べる。
図１は、この発明に係るネットワークの構成例を示す説明図である
図１に示すように、画像形成装置２００は、ネットワーク２１０に接続されている。ネットワーク２１０にはゲートウェイ２１１を介して異なるネットワーク２２０と接続されている。ネットワーク２２０には擬似攻撃の要求に応答して画像形成装置２００への擬似攻撃を実行する擬似攻撃実行サーバ２２１が接続されている。
なお、ネットワーク２１０および２２０に接続されている他のネットワーク接続機器は図示を省略している。

画像形成装置２００は、擬似攻撃を要求し、またその擬似攻撃の対象となる。画像形成装置２００は、表示部２０１（提示部）、操作部２０２、制御部２０３、記憶部２０４、通信Ｉ／Ｆ２０５（通信部）を備えている。
制御部２０３は、ハードウェア資源としてＣＰＵを中心とした回路で構成され、記憶部２０４に格納された処理プログラムを前記ＣＰＵが実行することによって画像形成装置２００の各部の動作を制御し、通信や種々のデータの処理を実行する。
なお、制御部２０３は、なりすましを判別するための認証プロセスを実行する認証部の機能を含んでいてもよい。
記憶部２０４には、前記処理プログラムのほか、擬似攻撃リクエスト情報や保護対象データ等のデータが格納されている。
図２は、記憶部２０４に格納される擬似攻撃リクエストのデータの一例を示す説明図である。図２に示す擬似攻撃リクエスト情報４００は、図８で後述する擬似攻撃リクエストと共に画像形成装置２００から擬似攻撃実行サーバ２２１へ送信される情報の内容に相当する。
図３は、図１に示す記憶部に格納される保護対象データを示す説明図である。保護対象データは、パスワード等によりセキュリティ上保護されるべきデータであって、画像形成装置２００の制御に関わる設定情報や、ユーザアカウント情報などのデータである。
画像形成装置２００の詳細な構成例は、後述する図４および図５に示されている。

なお、図１で、擬似攻撃実行サーバ２２１は、画像形成装置２００と同じネットワーク２１０に直接接続されず、ゲートウェイ２１１およびネットワーク２２０を介して画像形成装置と通信する。これと異なる態様として、擬似攻撃実行サーバ２２１が画像形成装置２００と同じネットワーク２１０に直接接続されていてもよい。

≪画像形成装置の構成≫
この発明に係る画像形成装置の具体的な一態様を説明する。ここでは特に、ネットワークを介した画像等のデータの送受に関連する構成について述べる。
図４および図５は、本発明による画像形成装置を複合機として構成した実施形態を示す図であって、スキャナ機能を備えた複合機として構成された画像形成装置の一例を示す説明図である。

図４および図５に示すように、画像形成装置１００は、外部から伝送され、もしくはスキャナ（画像読み取り手段）で読み取った画像データを記録紙に画像形成するもので、装置本体１３０と、自動原稿処理装置１２０とにより構成されている。
図４に示すように、画像形成装置１００は、記憶部１０９、制御部１１０、操作部１１１、画像形成部１１２、記録紙搬送部１１５、表示部１１６、画像入力部１１７を備える。画像形成部１１２は、転写部１１３および定着部１１４を含む。
表示部１１６、操作部１１１、制御部１１０および記憶部１０９はそれぞれ、図１に示す表示部２０１、操作部２０２、制御部２０３および記憶部２０４に対応している。

なお、図５は、画像形成装置１００の機構的な構成とレイアウトを示している。図５に示すように、装置本体１３０は、主な機構として露光ユニット１、現像器２、感光体ドラム３、クリーナユニット４、帯電器５、中間転写ベルトユニット６、定着ユニット７、給紙カセット８１、排紙トレイ９１等を有する。
図５に示す露光ユニット１、現像器２、感光体ドラム３、クリーナユニット４、帯電器５は、図４に示す画像形成部１１２に相当する。図５の中間転写ベルトユニット６は、図４の転写部１１３に該当する。図５の定着部１１４は、図４の定着部１１４に相当する。

装置本体１３０と自動原稿処理装置１２０とにより構成される画像形成装置１００の動作は、図４に示す制御部１１０が制御する。制御部１１０は、ＣＰＵを中心とするハードウェア資源がソフトウェアと協働して制御機能を実現する。記憶部１０９は、制御部１１０のＣＰＵが実行するプログラムや制御部１１０が処理するデータを格納する。
画像形成装置１００の画像形成機能に関する構成については後述する。

≪擬似攻撃実行サーバの構成≫
図６は図１に示す擬似攻撃実行サーバ２２１内の構成例を示すブロック図である。
擬似攻撃実行サーバ２２１は、制御部８０１、記憶部８０２を持ち、通信インターフェイス（通信Ｉ／Ｆ８０３）を介してネットワークと接続されている。このネットワークを経由して画像形成装置２００へ通信を行う。また、画像形成装置２００との認証プロセスを実行するための認証判定部８０４及び認証処理に必要となるデータを格納する認証データベース８０７を持つ。

さらに、擬似攻撃パターンデータベース８０５とレポート履歴データベース８０６を備える。擬似攻撃パターンデータベース８０５は、擬似攻撃実行サーバ２２１に予め格納されている。擬似攻撃パターンデータベース８０５は、書き換え可能な記憶装置に格納されてその内容が更新できることが好ましい。
図７は、擬似攻撃パターンデータベース８０５の内容の一例を示す説明図である。
図７に識別情報のＡ００１、及びＡ００２で示すように、擬似攻撃の内容として、例えば、パスワード脆弱性を悪用した攻撃が考えられる。

パスワード保護されたデータへアクセスするために、Ａ００１では規定の文字数を適当に組み合わせたパスワードを入力する。パスワードとして入力する文字の組合せとして、適当な文字や数字の組合せを用いて総当り的にアクセスする。総当り攻撃は、単純な文字や数字の組み合わせからなる短い文字数のパスワードで保護されたデータを想定している。
攻撃結果の判別方法は、パスワード認証に成功し、実際にパスワード保護されたデータへのアクセスが可能となるか否かである。
一般的にＡ００１の攻撃に対する対策としては、複数の文字種を用いた十分に大きな文字数からなるパスワードを設定することとなる。

またＡ００２では辞書式攻撃を行う。これは総当たり攻撃とは異なり、一般的によく使用されるパスワード文字列や初期設定パスワードを予め辞書として持っておき、辞書の内容で順次パスワード認証を試みる攻撃である。
一般的にＡ００２の攻撃に対する対策としては、簡単に予測可能な文字列は避けてランダムな文字列をパスワードに使用することである。
また、図７に示す表中の識別情報のＳ００１、及びＳ００２はセキュリティホール攻撃である。

ここで、セキュリティホールとは、当初は判明していなかったセキュリティ上の不具合や弱さであって後日判明したもののことである。例えば、通常の操作として当初想定された操作と異なった手順の操作をすると、パスワード入力をしなくても保護されたデータにアクセス可能になったり、本来その権限では許可されない処理が実行可能になったりするといったセキュリティ上の不具合（プログラムのバグ等）のことである。

前述のＡ００１の総当り攻撃やＡ００２の辞書式攻撃の成功は、選択されたパスワードにセキュリティ上の甘さがあることが脆弱性の要因である。これに対して、セキュリティホールの要因は、プログラム構造にセキュリティ上の甘さがあることといえる。即ち、前者が主としてユーザのセキュリティ管理の問題であるのに対して後者は製造者の問題といえる。しかし、セキュリティホールを皆無にすることは実際には容易なことでなく、所謂セキュリティパッチや更新プログラムを製造者がユーザに配布して対応がなされているという実状がある。

図７に示すＳ００１では、あるセキュリティホール（図７で、識別の呼称をＸＸＡＡとしている）を悪用した攻撃により、通常では実行できない（許可されていない）処理が行えるようになるか否か、即ち、権限昇格が成功するか否かで結果を判別する。
また、Ｓ００２では、あるセキュリティホール（呼称をＸＸＢＢとしている）を悪用した攻撃によりバッファオーバーフローが行えるか否か、または、それに伴って任意のプログラムを実行できるか否かで結果を判別する。バッファオーバーフローを用いた攻撃は、一般的には想定外の入力データを与えることでプログラムに不正なデータ実行を行わせるものである。

このようなセキュリティホールへの攻撃に関しては、対象のセキュリティホールを修正したプログラムへ更新することが一般的な対策である。
以上のように、擬似攻撃パターンデータベース８０５に格納される擬似攻撃の内容としては、パスワードで保護された情報への不正アクセスや、画像形成装置２００のプログラムのセキュリティホールを利用した不正アクセス等がある。その他に、例えば、（誤って）公開設定とされていて、誰でもアクセスできる状態にあるファイルからの情報取得等が考えられる。

擬似攻撃リクエストに対する擬似攻撃の実行結果レポートは、擬似攻撃の対象となる画像形成装置２００毎にレポート履歴データベース８０６に格納される。
履歴情報を用いることで、過去の擬似攻撃結果との比較を行うことができる。例えば、前回確認されなかったセキュリティリスクが新たに発見された場合は、該当のセキュリティリスクについては優先的にユーザに注意を促す事が望ましい。
新たなセキュリティリスクが発見される状況として、前回の擬似攻撃リクエスト実行時点から今回の擬似攻撃リクエストまでの間に、ユーザによって画像形成装置２００の設定が変更された場合が考えられる。また、画像形成装置２００が接続されるネットワークに関する設定が変更され、その変更が原因となっている場合がある。
さらにまた、擬似攻撃パターンデータベース８０５が更新され、新たなセキュリティリスクに対応する擬似攻撃が追加された場合もある。追加された擬似攻撃によって、攻撃対象の画像形成装置に新たなセキュリティリスクが発見されることがある。

≪擬似攻撃の実行手順≫
この実施形態における擬似攻撃の実行手順を説明する。
図８は、この実施形態において、画像形成装置が擬似攻撃実行サーバからの擬似攻撃によりセキュリティのチェックを行う手順を示すフローチャートである。図８で、左側の列は画像形成装置（図１の画像形成装置２００に相当する）が実行する処理を示し、右側の列は擬似攻撃実行サーバ２２１が実行する処理を示している。
この実施形態において、擬似攻撃を用いたセキュリティ・チェックは、画像形成装置２００が擬似攻撃リクエストを擬似攻撃実行サーバ２２１へ送信することによって開始される（図８のステップＳ１０）。

擬似攻撃リクエストは、ユーザが画像形成装置２００を操作することを契機に送信されてもよい。あるいは、予め定められたスケジュールなどに従って画像形成装置２００から送信されてもよい。あるいはまた、画像形成装置２００の一部設定が変更されたことや接続されるネットワークが変更されたことを画像形成装置２００が検知した場合に、その変更に応じて送信されるように予めプログラムされていてもよい。
なお、擬似攻撃リクエストの通信内容が第三者に傍受されることによる情報漏えいを避けるために擬似攻撃リクエストの通信内容は暗号化することが好ましい。

擬似攻撃リクエストを受信した擬似攻撃実行サーバ２２１はリクエストを行った画像形成装置に対する認証プロセスを実行する（ステップＳ３０）。この認証プロセスによって擬似攻撃実行サーバは擬似攻撃の対象とする画像形成装置を識別し、以降のシーケンスのために擬似攻撃リクエスト情報４００を格納する（図２参照）。

また、認証プロセスに於いては、画像形成装置２００とは異なる第三者によるなりすましの判別を行う。なりすましの判別は、画像形成装置２００以外の機器から、画像形成装置２００になりすました擬似攻撃要求が擬似攻撃実行サーバ２２１に送られる場合を想定している。擬似攻撃実行サーバ２２１がなりすましに応答して画像形成装置２００への擬似攻撃を実行してしまうと、その擬似攻撃に係る擬似攻撃実行サーバ２２１と画像形成装置２００との通信を第三者が傍受して画像形成装置２００の脆弱性がその第三者に知られてしまう恐れがある。

なりすましの判別は、このような悪意の第三者によるなりすましが行われても、擬似攻撃要求を行い得る正規の画像形成装置とそれ以外の第三者によるなりすましとを判別し、なりすましの際は擬似攻撃を実行しないようにする仕組みである。なりすましを見出す手法としては、例えば、デジタル証明書及びデジタル署名の仕組みを適用して真正な画像形成装置を判別する手法が考えられる。認証判定部８０４は、認証データベース８０７に格納されたデジタル署名等の暗号鍵を用いて認証を行う。

擬似攻撃リクエストを行った相手が正規の画像形成装置であると認識された場合、擬似攻撃実行サーバはリクエスト応答を画像形成装置２００に送信する（ステップＳ３２）。
画像形成装置２００は、擬似攻撃リクエスト送信後、擬似攻撃実行サーバ２２１からリクエスト応答が返されるのを待つ。予め定められた期間内に応答が返らなければ、画像形成装置２００は処理を終了する（ステップＳ１２のＮｏ）。ステップＳ３０の認証プロセスが成立しなかった場合、擬似攻撃実行サーバ２２１はリクエスト応答を返さず、擬似攻撃も開始しない。その場合、画像形成装置２００は、予め定められた期間が経過したら処理を終了する。よって、システムがリクエスト応答待ちのデッドロック状態に陥ることがない。

ステップＳ３０の認証プロセスによって、擬似攻撃リクエストがなりすましでないことを確認したうえで、擬似攻撃実行サーバ２２１は画像形成装置２００に対する擬似攻撃の実行を開始する。
認証プロセスにより正規の画像形成装置２００であると判断した擬似攻撃実行サーバ２２１は、擬似攻撃パターンデータベース８０５に基づいて対象の画像形成装置２００に対する擬似的な不正アクセス攻撃を実行する（ステップＳ３４）。この際、画像形成装置２００から受領した擬似攻撃リクエスト情報４００の内容に基づいて擬似攻撃の内容を変更してもよい。

例えば、実際の攻撃者は、攻撃目標とする画像形成装置２００のＩＰアドレスやポート設定を知っているとは限らない。その場合、攻撃目標を発見するために一定範囲内のＩＰアドレス／ポート全てに対してアクセスを試みることが想定される。
しかし、それと同様のことを擬似攻撃として行うと、対象の画像形成装置２００だけでなく画像形成装置２００と同一のネットワーク２１０に接続される他の機器に対しても不要なネットワーク負荷が生じることとなる。加えて、一連の擬似攻撃の実行に要する時間が増大してしまう。

そこで、画像形成装置２００は、擬似攻撃リクエストにＩＰアドレスやポート設定等の情報を含めて送信する（図２に示す擬似攻撃リクエスト情報を参照）。擬似攻撃実行サーバ２２１は、受信した擬似攻撃リクエスト情報４００に基づいて送信元の画像形成装置のＩＰアドレスやポート設定を取得し、擬似攻撃の対象を特定する。これによって、擬似攻撃の対象の探索にかかるネットワーク負荷を抑制できて、一連の擬似攻撃の実行時間も抑制できる。

また擬似攻撃リクエスト情報４００の内容から画像形成装置２００の機種識別情報やプログラムバージョン情報を判断し、擬似攻撃パターンデータベース８０５の識別情報と照合することで実行すべき攻撃内容を選別して実行してもよい。
例えば、機種識別情報に応じて、その機種が備えていない機能に対する擬似攻撃を省略して擬似攻撃の手順を簡略化してもよい。また、あるセキュリティホール（例えば、図７のＳ００２）に対する対策が既になされているプログラムバージョンがインストールされていれば、そのセキュリティホールに対応する擬似攻撃を省略して手順を簡略化してもよい。

擬似攻撃実行サーバ２２１は、対象の画像形成装置２００に係る情報と併せて擬似攻撃の成功／失敗の情報を脆弱性判定結果としてレポート履歴データベース８０６に格納する。
画像形成装置２００は、リクエスト応答の受信から一定時間経過後に、擬似攻撃実行サーバ２２１から脆弱性判定結果の取得を試みる（ステップＳ１４、レポート取得）。その際、擬似攻撃実行サーバ２２１は、レポート取得の要求が正規の画像形成装置２００からのものであることを確認すべく、前述のステップＳ３０と同様に認証プロセスを行う（ステップＳ３６）。
その時点で一連の擬似攻撃が完了していた場合、擬似攻撃実行サーバ２２１は、脆弱性判定結果をレポート応答として画像形成装置２００へ送信する（ステップＳ３８）。

一方、一連の擬似攻撃が未完了の場合は、擬似攻撃が未完了である旨を画像形成装置２００へ送信する。擬似攻撃が未完了であると認識した場合、画像形成装置２００はそれから一定時間経過後に再びレポート取得を試みる。
なお、擬似攻撃実行サーバ２２１が特定のコマンドを用いて一連の擬似攻撃の完了を画像形成装置２００に知らせるようにしてもよい。その場合、画像形成装置２００は擬似攻撃完了の受信を待ってレポート取得を行えばよい。
ここで、情報漏えいを避けるためレポート送信の内容は暗号化して送信されることが好ましい。

画像形成装置２００は、ステップＳ１４でレポート取得を要求してから予め定められた期間内にレポート応答が返るのを待つ（ステップＳ１６）。正常にレポート応答が取得できた場合（ステップＳ１６のＹｅｓ）、画像形成装置２００は、その結果を表示部２０１に表示して、セキュリティ・チェックの結果をユーザに知らせる（ステップＳ１８）。
セキュリティ・チェックの結果としての表示内容は、例えば次のようなものが考えられる。

まず、セキュリティリスク情報として、設定されたパスワードの強度やアクセス可能となっている保護対象データ６００の情報、及びセキュリティホール情報などが考えられる。また、セキュリティリスク情報と併せて、変更が推奨される画像形成装置２００の設定や、関連するセキュリティ設定のアドバイス、プログラムの更新情報を表示してもよい。
セキュリティ・チェックの結果に係る表示のやり方として、擬似攻撃対象の画像形成装置で使用禁止に設定されている機能や、よく使用されている機能に基づいて、使用禁止に設定されている機能に係るレポートを省略してもよい。あるいは、禁止設定や機能の使用頻度に応じてレポートの項目の表示の大きさや強調の仕方、説明の詳細度に優先順位をつけたりしてもよい。

≪画像形成装置の画像形成機能≫
以下、画像形成装置１００の画像形成機能について詳しく述べる。
装置本体１３０の上部には、透明ガラスからなる原稿載置台９２が設けられ、その上側には原稿載置台９２に原稿を自動搬送する自動原稿処理装置１２０が取り付けられる。自動原稿処理装置１２０は矢印Ｍ方向に回動自在に構成され、原稿載置台９２の上を開放することにより原稿を手置きで置くことができるようになっている。

装置本体１３０は、筐体内に収容される画像読取手段９０を有している。画像読取手段９０は、光源及び第１ミラーを保持する光源ユニット９５と、第２及び第３ミラーを保持するミラーユニット９４と、レンズ及びＣＣＤ９３とから構成された縮小光学系の画像読取手段である。また、装置本体１３０には、図示しない操作パネルが設けられ、ユーザによる操作入力が可能となっている。図４の画像入力部１１７は、図５の画像読取手段９０に相当する。操作パネルは図４の操作部１１１と表示部１１６に該当する。また装置本体１３０には、外部接続された装置から画像データを入力する手段、あるいは可搬型の記録媒体から画像データを読み取る手段（いずれも図示せず）を備えている。

画像形成装置１００において扱われる画像データは、例えばブラック（Ｋ）、シアン（Ｃ）、マゼンタ（Ｍ）、イエロー（Ｙ）の４色のカラー画像に応じたものである。従って、現像器２、感光体ドラム（像担持体）３、帯電器５、クリーナユニット４は、各色に応じた４種類の潜像を形成するようにそれぞれ４個ずつ設けられ、これらにより４つの画像ステーションが構成されている。

帯電器５は、感光体ドラム３の表面を所定の電位に均一に帯電させるための帯電手段であり、図４に示すようなチャージャ型の他、接触型のローラ型やブラシ型の帯電器が用いられることもある。
露光ユニット１には、レーザ出射部及び反射ミラー等を備えたレーザスキャニングユニット（ＬＳＵ）として構成される。露光ユニット１は、レーザビームを走査するポリゴンミラーと、ポリゴンミラーによって反射されたレーザ光を感光体ドラム３に導くためのレンズやミラー等の光学要素が配置されている。また、露光ユニット１としては、この他にも発光素子をアレイ状に並べた例えばＥＬやＬＥＤ書込みヘッドを用いる手法も採用できる。

露光ユニット１は、帯電された感光体ドラム３を入力された画像データに応じて露光することにより、その表面に、画像データに応じた静電潜像を形成する機能を有する。現像器２は、それぞれの感光体ドラム３上に形成された静電潜像を４色（Ｙ，Ｍ，Ｃ，Ｋ）のトナーにより顕像化するものである。また、クリーナユニット４は、現像・画像転写後における感光体ドラム３上の表面に残留したトナーを、除去・回収する。

感光体ドラム３の上方に配置されている中間転写ベルトユニット６は、中間転写ベルト６１、中間転写ベルト駆動ローラ６２、中間転写ベルト従動ローラ６３、中間転写ローラ６４、及び中間転写ベルトクリーニングユニット６５を備えている。中間転写ローラ６４は、Ｙ，Ｍ，Ｃ，Ｋの各色に対応して４本設けられている。
中間転写ベルト駆動ローラ６２、中間転写ベルト従動ローラ６３、及び中間転写ローラ６４は、中間転写ベルト６１を張架して回転駆動させる。また、各中間転写ローラ６４は、感光体ドラム３のトナー像を中間転写ベルト６１上に転写するための転写バイアスを与える。

中間転写ベルト６１は、各感光体ドラム３に接触するように設けられている、そして、感光体ドラム３に形成された各色のトナー像を中間転写ベルト６１に順次的に重ねて転写することによって、中間転写ベルト６１上にカラーのトナー像（多色トナー像）を形成する。中間転写ベルト６１は、例えば厚さ１００μｍ〜１５０μｍ程度のフィルムを用いて無端状に形成されている。

感光体ドラム３から中間転写ベルト６１へのトナー像の転写は、中間転写ベルト６１の裏側に接触している中間転写ローラ６４によって行われる。中間転写ローラ６４には、トナー像を転写するために高電圧の転写バイアス（トナーの帯電極性（−）とは逆極性（＋）の高電圧）が印加されている。中間転写ローラ６４は、直径８〜１０ｍｍの金属（例えばステンレス）軸をベースとし、その表面が導電性の弾性材（例えばＥＰＤＭ，発泡ウレタン等）により覆われているローラである。この導電性の弾性材により、中間転写ベルト６１に対して均一に高電圧を印加することができる。本構成例では転写電極としてローラ形状を使用しているが、それ以外にブラシなども用いることが可能である。

上述の様に各感光体ドラム３上で各色相に応じて顕像化された静電像は、中間転写ベルト６１で積層される。このように積層された静電像は、中間転写ベルト６１の回転によって、後述の用紙と中間転写ベルト６１の接触位置に配置される二次転写機構部である転写ローラ１０によって記録紙に転写される。二次転写機構部としては、転写ローラに限らず、コロナチャージャや転写ベルトを用いることも可能である。

このとき、中間転写ベルト６１と転写ローラ１０は所定ニップで圧接されるとともに、転写ローラ１０にはトナーを用紙に転写させるための電圧が印加される（トナーの帯電極性（−）とは逆極性（＋）の高電圧）。さらに、転写ローラ１０は、上記ニップを定常的に得るために、転写ローラ１０若しくは中間転写ベルト駆動ローラ６２の何れか一方を硬質材料（金属等）とし、他方を弾性ローラ等の軟質材料（弾性ゴムローラ、または発泡性樹脂ローラ等々）としている。

また、上記のように、感光体ドラム３に接触することにより中間転写ベルト６１に付着したトナー、若しくは転写ローラ１０によって記録紙に転写が行われず中間転写ベルト６１上に残存したトナーは、次工程でトナーの混色を発生させる原因となる。そのために、中間転写ベルトクリーニングユニット６５によって除去・回収されるように設定されている。中間転写ベルトクリーニングユニット６５には、中間転写ベルト６１に接触する例えばクリーニング部材としてクリーニングブレードが備えられており、クリーニングブレードが接触する中間転写ベルト６１は、裏側から中間転写ベルト従動ローラ６３で支持されている。

上記の中間転写ベルトユニット６及び転写ローラ１０によって図４の転写部１１３が構成される。感光体ドラム３と中間転写ベルト６１とを接触または離間させる図示しない駆動機構部を有している。この駆動機構部の構成及び動作については後述する。
給紙カセット８１は、画像形成に使用する記録紙（シート）を蓄積しておくためのトレイであり、装置本体１３０の露光ユニット１の下側に設けられている。また、手差し給紙カセット８２にも画像形成に使用する記録紙を置くことができる。装置本体１３０の上方に設けられている排紙トレイ９１は、印刷済みの記録紙をフェイスダウンで集積するためのトレイである。

また、装置本体１３０には、給紙カセット８１及び手差し給紙カセット８２の記録紙を転写ローラ１０や定着ユニット７を経由させて排紙トレイ９１に送るための、略垂直形状の搬送路Ｓ１が設けられている。給紙カセット８１ないし手差し給紙カセット８２から排紙トレイ９１までの搬送路Ｓ１の近傍には、ピックアップローラ１１ａ，１１ｂ、複数の搬送ローラ１２ａ〜１２ｄ，レジストローラ１３、転写ローラ１０、定着ユニット７等が配されている。

搬送ローラ１２ａ〜１２ｄは、記録紙の搬送を促進・補助するための小型のローラであり、搬送路Ｓ１に沿って複数設けられている。また、ピックアップローラ１１ａは、給紙カセット８１の端部近傍に備えられ、給紙カセット８１から記録紙を１枚ずつピックアップして用紙搬送路Ｓに供給する。同様に、ピックアップローラ１１ｂは、手差し給紙カセット８２の端部近傍に備えられ、手差し給紙カセット８２から記録紙を１枚ずつピックアップして搬送路Ｓ１に供給する。

また、レジストローラ１３は、搬送路Ｓ１を搬送されている記録紙を一旦保持するものである。そして、感光体ドラム３上のトナー像の先端と記録紙の先端を合わせるタイミングで記録紙を転写ローラ１０に搬送する機能を有している。
図４の記録紙搬送部１１５は、図５のピックアップローラ１１ａ、１１ｂ、搬送ローラ１２ａ〜１２ｄ、レジストローラ１３に相当する。

定着ユニット７は、図４の定着部１１４に相当するものであり、ヒートローラ７１及び加圧ローラ７２を備えている。ヒートローラ７１及び加圧ローラ７２は、記録紙を挟んで回転するようになっている。またヒートローラ７１は、図示しない温度検出器からの信号に基づいて制御手段によって所定の定着温度となるように設定されており、加圧ローラ７２とともにトナーを記録紙に熱圧着することにより、記録紙に転写された多色トナー像を溶融・混合・圧接し、記録紙に対して熱定着させる機能を有している。また、ヒートローラ７１を外部から加熱するための外部加熱ベルト７３が設けられている。

次に、記録紙の搬送経路をより具体的に説明する。上述のように、画像形成装置１００には、予め記録紙を収納する給紙カセット８１、及び手差し給紙カセット８２が設けられている。これら給紙カセット８１，８２から記録紙を給紙するために、各々ピックアップローラ１１ａ，１１ｂが配置され、記録紙を１枚ずつ搬送路Ｓ１に導くようになっている。

各給紙カセット８１，８２から搬送される記録紙は、搬送路Ｓ１の搬送ローラ１２ａによってレジストローラ１３まで搬送され、記録紙の先端と中間転写ベルト６１上の画像情報の先端を整合するタイミングで転写ローラ１０に搬送され、記録紙上に画像情報が書き込まれる。その後、記録紙は定着ユニット７を通過することによって記録紙上の未定着トナーが熱で溶融・固着され、その後に配された搬送ローラ１２ｂを経て排紙トレイ９１上に排出される。

上記の搬送経路は、記録紙に対する片面印字要求のときのものである。これに対して両面印字要求のときは、上記のように片面印字が終了し定着ユニット７を通過した記録紙の後端が最終の搬送ローラ１２ｂで把持されたときに、搬送ローラ１２ｂを逆回転させる。これによって記録紙を搬送ローラ１２ｃ，１２ｄが配された搬送路Ｓ２に導く。そして、搬送路Ｓ２は搬送路Ｓ１に合流して、記録紙はレジストローラ１３から転写ローラ１０に搬送される。このとき、搬送路Ｓ２からＳ１に合流する段階で記録紙の表裏が反転されているため、転写ローラ１０では記録紙の裏面に印刷が行わる。そして裏面に印刷された記録紙は定着ユニット７で定着され、排紙トレイ９１に排出される。

（実施の形態２）
実施の形態１では、擬似攻撃実行サーバ２２１が画像形成装置２００と直接やり取りして擬似攻撃を実行した。
これに対して、この実施形態では画像形成装置２００への擬似攻撃の少なくとも一部を代理サーバが代行して行う。
この実施形態で、代理サーバ２１２は、画像形成装置２００と同じネットワーク空間に接続されている。

図９は、この発明に係るネットワークの構成例を示す説明図である。実施の形態１に係る図１との相違点は、代理サーバ２１２の存在である。図９で、画像形成装置２００と代理サーバ２１２とは、共通のネットワーク２１０に接続されている。ネットワーク２１０は、例えば、ある企業の社内ネットワークである。ネットワーク２１０はゲートウェイ２１１を介してネットワーク２２０に接続され、ネットワーク２２０に擬似攻撃実行サーバ２２１が接続されている。ゲートウェイ２１１を介したネットワーク２１０とネットワーク２２０とのやりとりは、ゲートウェイ２１１によって両者のやり取りに制約が課されており、これによって社内ネットワークであるネットワーク２１０のセキュリティが確保されている。

特に大規模な事業者等においては、図９のように外部のネットワーク（ネットワーク２２０に相当）と内部のネットワーク（ネットワーク２１０に相当）の間のやり取りが厳密に管理されて制限されている構成が一般的である。その場合、外部のネットワーク２２０に接続された擬似攻撃実行サーバ２２１は、内部のネットワーク２１０に接続された画像形成装置２００に対して自由にアクセスできない場合がある。
ゲートウェイ２１１の設定を変えて擬似攻撃実行サーバ２２１が画像形成装置２００に自由にアクセスできるようにする対応も考えられなくはないが、セキュリティ上はリスクが生じる。内部のネットワーク２１０に接続された画像形成装置が１台のみであればよいが、大規模な社内ネットワークには複数の画像形成装置が接続される。各々の画像形成装置について疑似攻撃によるセキュリティ・チェックを行う場合、セキュリティ・チェックのためにネットワーク２１０全体のセキュリティリスクが高まることになる。これでは、本末転倒になりかねない。また、ゲートウェイ２１１の設定を運用管理する社内ネットワークのアドミニストレータにゲートウェイ２１１の設定を変更してもらうことは、申請の事務手続を含めて煩雑な作業を伴う。

そこで、別の対応策として図９に示すように社内ネットワークに代理サーバ２１２を置いてもらい、代理サーバ２１２が画像形成装置２００に擬似攻撃を実行するように構成してもよい。
この場合、例えば画像形成装置２００からの擬似攻撃リクエストを代理サーバ２１２が受けて擬似攻撃実行サーバ２２１へ送信し、それに応答して擬似攻撃実行サーバ２２１が発するコマンドを代理サーバ２１２へ送るやり取りをゲートウェイ２１１で許可してもよい。

さらに、擬似攻撃の結果を代理サーバ２１２が擬似攻撃実行サーバ２２１へ送信し、それに応答して擬似攻撃実行サーバ２２１が発するコマンドを代理サーバ２１２へ送るやり取りをゲートウェイ２１１で許可してもよい。
実際の擬似攻撃のやり取りは代理サーバ２１２と画像形成装置２００との間で行われて、ネットワーク２１０の中で閉じるので、ゲートウェイ２１１は代理サーバ２１２と擬似攻撃実行サーバ２２１との間の限られたやり取りだけを許可すればよい。
社内ネットワーク内に多数の画像形成装置が接続されている場合であっても、それらの画像形成装置が代理サーバ２１２と直接やり取りするので、擬似攻撃実行サーバ２２１は代理サーバ２１２とだけやり取りできればよい。

図１０を用いて擬似攻撃を代理サーバ２１２が代行する場合の擬似攻撃の実行手順を説明する。
なお、図１０では画像形成装置２００が直接的に擬似攻撃実行サーバ２２１と通信を行わない場合を示しているが、これは一例に過ぎない。擬似攻撃に係る一部の通信について、代理サーバを介さずに直接、画像形成装置２００と擬似攻撃実行サーバ２２１とが通信を行ってもよい。
また、画像形成装置と擬似攻撃実行サーバの間に複数の代理サーバが多段階に接続される形態であってもよい。

図１０に示す各処理のうち、画像形成装置と代理サーバの処理は、図８に示す実施の形態１で述べた手順とほぼ同様であるため、図８と同様の処理には図８と同様の符号を付している。以下、図４と対応しない処理を中心に図１０に示す擬似攻撃の処理手順を説明する。
図８と同様、画像形成装置２００が擬似攻撃リクエストを送信することで認証プロセスが実行される（ステップＳ１０）。ただし、図８と異なり、擬似攻撃リクエストの送信先は代理サーバ２１２である。擬似攻撃リクエストを受信した代理サーバ２１２は、それが正規の画像形成装置２００からのものであることを確認するために認証プロセスを実行する。認証が成功すると代理サーバ２１２は、画像形成装置２００に代わって擬似攻撃実行サーバ２２１に対して擬似攻撃リクエストを送信する（ステップＳ５０）。

擬似攻撃リクエストを受信した擬似攻撃実行サーバ２２１は、それが正規の代理サーバ２１２からのものであることを確認するために認証プロセスを実行する（ステップＳ７０）。この多段階の認証プロセスにより擬似攻撃リクエストが認証されると、逆の経路でリクエスト応答が擬似攻撃実行サーバ２２１から代理サーバ２１２を介して画像形成装置２００へ通知される（ステップＳ７２、Ｓ５２）。
画像形成装置２００は、擬似攻撃リクエスト送信後、代理サーバ２１２からリクエスト応答が返されるのを待つ。予め定められた期間内に応答が返らなければ、画像形成装置２００は処理を終了する（ステップＳ１２のＮｏ）。ステップＳ５０およびＳ７０のいずれかの認証プロセスが成立しなかった場合、代理サーバ２１２はリクエスト応答を返さず、擬似攻撃も開始しない。その場合、画像形成装置２００は、予め定められた期間が経過したら処理を終了する。よって、システムがリクエスト応答待ちのデッドロック状態に陥ることがない。

ステップＳ５０、Ｓ７０の認証プロセスによって、擬似攻撃リクエストがなりすましでないことを確認したうえで、擬似攻撃実行サーバ２２１は代理サーバ２１２に対して擬似攻撃実行指示を送信する（ステップＳ７４）。その指示を受けた代理サーバ２１２は画像形成装置２００に対して擬似的な不正アクセス攻撃を実行する（ステップＳ５４）。
擬似攻撃の成功／失敗の情報は脆弱性判定結果として、対象の画像形成装置２００の情報と併せて代理サーバ２１２及び擬似攻撃実行サーバ２２１に記録される。

画像形成装置２００は、リクエスト応答を受信してから一定時間経過後に、代理サーバ２１２から脆弱性判定結果の取得を試みる（ステップＳ１４、レポート取得）。
レポート取得の要求を受信した代理サーバ２１２は、その要求が正規の画像形成装置２００からのものであることを確認するために、認証プロセスを実行する。認証が成功したら、代理サーバ２１２は、レポート取得の要求を擬似攻撃実行サーバ２２１へ送信する（ステップＳ５６）。

レポート取得の要求を受信した擬似攻撃実行サーバ２２１は、レポート取得の要求が正規の代理サーバ２１２からのものであることを確認すべく、認証プロセスを行う（ステップＳ７６）。
その時点で一連の擬似攻撃が完了していた場合、擬似攻撃実行サーバ２２１は、脆弱性判定結果をレポート応答として代理サーバへ送信する（ステップＳ７８）。レポート応答を受信した代理サーバ２１２は、レポート応答を画像形成装置２００へ送信する（ステップＳ５８）。

一方、一連の擬似攻撃が未完了の場合は、擬似攻撃が未完了である旨を画像形成装置２００へ送信する。擬似攻撃が未完了であると認識した場合、画像形成装置２００はそれから一定時間経過後に再びレポート取得を試みる。
なお、代理サーバ２１２が特定のコマンドを用いて一連の擬似攻撃の完了を画像形成装置２００に知らせるようにしてもよい。その場合、画像形成装置２００は擬似攻撃完了の受信を待ってレポート取得を行えばよい。
ここで、情報漏えいを避けるためレポート送信の内容は暗号化して送信されることが好ましい。

画像形成装置２００は、ステップＳ１４でレポート取得を要求してから予め定められた期間内にレポート応答が返るのを待つ（ステップＳ１６）。正常にレポート応答が取得できた場合（ステップＳ１６のＹｅｓ）、画像形成装置２００は、その結果を表示部２０１に表示して、セキュリティ・チェックの結果をユーザに知らせる（ステップＳ１８）。

以上に述べたように、
（i）この発明による画像形成装置は、ネットワークを介して接続された外部の擬似攻撃実行サーバ宛の擬似攻撃要求送信の指示を受け付ける操作部と、前記送信指示に応答して前記擬似攻撃実行サーバへ擬似攻撃先である自己の識別情報を含む擬似攻撃要求を送信し、送信された擬似攻撃要求に応答して前記擬似攻撃実行サーバから送られる擬似的な不正アクセス攻撃を受領する通信部とを備えることを特徴とする。

この発明において、擬似攻撃は、ネットワーク機器としての画像形成装置で処理され、格納され、あるいは通信される情報が、権限のない第三者にアクセスされたり、取得されたりすることがあるか否かを確認するために実行される。擬似攻撃は、対象の画像形成装置に対して実際の攻撃を模した通信を外部のネットワーク接続機器から実行するものである。その具体的な態様としては、例えば、パスワードプロテクトされたデータに対して総当たり的にネットワーク上のログイン・パスワードを入力する攻撃が挙げられる。

また、擬似攻撃実行サーバは、擬似攻撃対象の画像形成装置とネットワークを介した通信を行って、その画像形成装置に対する擬似攻撃を実行するサーバである。
擬似攻撃実行要求は、画像形成装置が擬似攻撃実行サーバに対し、自身への擬似攻撃を要求する指示である。
さらにまた、識別情報は、擬似攻撃対象の画像形成装置が存在するネットワーク上のノードを特定するための情報である。識別情報の具体的な態様は、例えば、画像形成装置のＩＰアドレスである。

さらに、この発明の好ましい態様について説明する。
（ii）前記擬似攻撃要求を受信した前記擬似攻撃実行サーバからの擬似攻撃の開始前に、前記擬似攻撃実行サーバが要求する認証の手続きに応じた処理を行う認証部をさらに備えていてもよい。
このようにすれば、擬似攻撃の開始前に、擬似攻撃を行ってくる相手方が、真正な擬似攻撃実行サーバであることを認証により確認できる。

（iii）前記擬似攻撃実行サーバによる擬似的な不正アクセス攻撃の実行結果を前記擬似攻撃実行サーバから受領して提示する提示部をさらに備えていてもよい。
このようにすれば、擬似攻撃要求を発した画像形成装置で、擬似攻撃の実行結果を確認できる。

（iv）また、異なる観点からこの発明による攻撃耐性評価プログラムは、ネットワークを介して外部の画像形成装置と接続されたコンピュータに、前記画像形成装置の識別情報を含む擬似攻撃要求を前記画像形成装置から受信する処理と、受信した擬似攻撃要求に応答して前記画像形成装置に対する擬似的な不正アクセス攻撃を実行する処理とを実行させることを特徴とする。
（v）前記擬似的な不正アクセス攻撃の実行結果を前記画像形成装置に提示させるべく前記実行結果のデータを前記画像形成装置へ送信する処理をさらに前記コンピュータに実行させてもよい。
このようにすれば、擬似攻撃要求を発した画像形成装置の側で、擬似攻撃の実行結果を確認できる

（vi）擬似攻撃の更新指示に応じて、前記擬似的な不正アクセス攻撃の内容およびそれに対応する実行結果の提示内容を更新する処理をさらに前記コンピュータに実行させてもよい。
このようにすれば、擬似攻撃の内容および対応する実行結果の提示内容を更新できるので、例えば新たなセキュリティホールが見つかりその対策がなされた場合に、対象の画像形成装置が対策済か否かを確認したり、対策の効果を確認したりできる。
この発明の好ましい態様には、上述した複数の態様のうちの何れかを組み合わせたものも含まれる。
前述した実施の形態の他にも、この発明について種々の変形例があり得る。それらの変形例は、この発明の範囲に属さないと解されるべきものではない。この発明には、請求の範囲と均等の意味および前記範囲内でのすべての変形とが含まれるべきである。

１：露光ユニット、 ２：現像器、 ３：感光体ドラム、 ４：クリーナユニット、 ５：帯電器、 ６：中間転写ベルトユニット、 ７：定着ユニット
１０：転写ローラ、 １１ａ，１１ｂ：ピックアップローラ、 １２ａ，１２ｂ，１２ｃ，１２ｄ：搬送ローラ、 １３：レジストローラ
６１：中間転写ベルト、 ６２：中間転写ベルト駆動ローラ、 ６３：中間転写ベルト従動ローラ、 ６４：中間転写ローラ、 ６５：中間転写ベルトクリーニングユニット
７１：ヒートローラ、 ７２：加圧ローラ、 ７３：外部加熱ベルト
８１：給紙カセット、 ８２：手差し給紙カセット
９０：画像読取手段、 ９１：排紙トレイ、 ９２：原稿載置台、 ９３：ＣＣＤ、 ９４：ミラーユニット、 ９５：光源ユニット
１００、２００：画像形成装置、 １０９：記憶部、 １１０：制御部、 １１１：操作部、 １１２：画像形成部、 １１３：転写部、 １１４：定着部、 １１５：記録紙搬送部、 １１６：表示部、 １１７：画像入力部、 １２０：自動原稿処理装置、 １３０：装置本体
２０１：表示部、 ２０２：操作部、 ２０３：制御部、 ２０４：記憶部、 ２０５：通信Ｉ／Ｆ
２１０，２２０：ネットワーク、 ２１１：ゲートウェイ、 ２１２：代理サーバ、 ２２１：擬似攻撃実行サーバ
４００：擬似攻撃リクエスト情報、 ５００：擬似攻撃定義情報、 ６００：保護対象データ
８０１：制御部、 ８０２：記憶部、 ８０３：通信Ｉ／Ｆ、 ８０４：認証判定部、 ８０５：擬似攻撃パターンデータベース、 ８０６：レポート履歴データベース、 ８０７：認証データベース
Ｓ１，Ｓ２：搬送路

Claims (8)

1. ネットワークを介して接続された外部の擬似攻撃実行サーバ宛の擬似攻撃要求送信の指示を受け付ける操作部と、
   前記指示に応答して前記擬似攻撃実行サーバへ擬似攻撃先である自己の識別情報を含む擬似攻撃要求を送信し、送信された擬似攻撃要求に応答して前記擬似攻撃実行サーバから送られる擬似的な不正アクセス攻撃を受領する通信部とを備える画像形成装置。
2. 前記擬似攻撃要求を受信した前記擬似攻撃実行サーバからの擬似攻撃の開始前に、前記擬似攻撃実行サーバが要求する認証の手続きに応じた処理を行う認証部をさらに備える請求項１に記載の画像形成装置。
3. 前記擬似攻撃実行サーバによる擬似的な不正アクセス攻撃の実行結果を前記擬似攻撃実行サーバから受領して提示する提示部をさらに備える請求項１に記載の画像形成装置。
4. ネットワークを介して外部の画像形成装置と接続されたコンピュータに、
   前記画像形成装置の識別情報を含む擬似攻撃要求を前記画像形成装置から受信する処理と、
   受信した擬似攻撃要求に応答して前記画像形成装置に対する擬似的な不正アクセス攻撃を実行する処理とを実行させる攻撃耐性評価プログラム。
5. 前記擬似的な不正アクセス攻撃の実行結果を前記画像形成装置に提示させるべく前記実行結果のデータを前記画像形成装置へ送信する処理をさらに前記コンピュータに実行させる請求項４に記載の攻撃耐性評価プログラム。
6. 擬似攻撃の更新指示に応じて、前記擬似的な不正アクセス攻撃の内容およびそれに対応する実行結果の提示内容を更新する処理をさらに前記コンピュータに実行させる請求項５に記載の攻撃耐性評価プログラム。
7. 外部の機器と通信可能な画像形成装置と、
   ネットワークを介して前記画像形成装置と直接又は間接に接続されて通信する擬似攻撃実行サーバとを備えたシステムであって、
   前記画像形成装置は、その画像形成装置の識別情報を含む擬似攻撃要求を前記擬似攻撃実行サーバに送り、
   前記擬似攻撃実行サーバは、前記擬似攻撃要求に応答して前記画像形成装置に対する擬似的な不正アクセス攻撃を実行し、実行した結果を前記画像形成装置に送信し、
   前記画像形成装置は受領した結果を提示する画像形成装置の攻撃耐性評価システム。
8. 外部の機器と通信可能な画像形成装置と、
   第１のネットワークを介して前記画像形成装置と通信可能な代理サーバと、
   第２のネットワークを介して前記代理サーバと通信可能な擬似攻撃実行サーバとを備えたシステムであって、
   前記画像形成装置は、その画像形成装置の識別情報を含む擬似攻撃要求を前記代理サーバに送り、
   前記代理サーバは、受信した擬似攻撃要求を前記擬似攻撃実行サーバに送り、
   前記擬似攻撃実行サーバは、前記擬似攻撃要求に応答して前記画像形成装置に対する擬似的な不正アクセス攻撃の実行を前記代理サーバに指示し、
   前記代理サーバは、指示に応答して擬似攻撃を実行し、実行した擬似攻撃の結果を前記擬似攻撃実行サーバに送信し、
   前記擬似攻撃実行サーバは、受信した擬似攻撃の結果を、前記代理サーバを介して前記画像形成装置に送信し、
   前記画像形成装置は受領した結果を提示する画像形成装置の攻撃耐性評価システム。