JP2019519018A - ネットワーク化コンピュータシステムアーキテクチャにおけるセキュリティリスクを低減させるための方法および装置 - Google Patents

Abstract

ネットワーク化コンピュータシステムアーキテクチャにおけるセキュリティリスクを低減させるための装置と、関連する方法が提供される。方法は、ネットワーク化コンピュータシステムの（ＣＩ）デバイスに関連する構成アイテム（ＣＩ）データに対する攻撃ベクトルに関連付けられた脆弱性に関する外部脆弱性データを、外部ソースからセキュリティコンピュータで受信することを含む。セキュリティコンピュータは、構成管理データベース（ＣＭＤＢ）にアクセスし、物理デバイスに関連するＣＩデータが読みだされる。ＣＩデバイスに関連付けられたトラストゾーンデータは、ＣＭＤＢを用いて決定され、セキュリティコンピュータは、外部脆弱性データと、関連付けられたトラストゾーンデータとを用いて、ＣＩデバイスに対する脆弱性計算を実施する。これは、第二のＣＩデバイスに対しても行われる。双方に対する脆弱性計算は比較され、この比較は、ＣＩデバイス、または関連付けられた他のネットワークコンポーネントに対して行われるべき動作を優先順位付けするための基礎として役立つ。【選択図】図３Ｃ

Description

本開示は、概して、ネットワーク構造の構成要素を考慮する、ネットワーク化コンピュータシステムアーキテクチャにおけるセキュリティリスクを低減させるための技術およびデバイスに関する。

サイバー攻撃からコンピュータを保護することは、攻撃がより洗練されるにつれて、さらなる課題となってきつつある。リソースが限定され、修復を必要とする脆弱性の数が通常非常に高いため、サイバー脆弱性の軽減および修復の作業に優先順位付けすることは、課題である。さらに、新しい脆弱性が継続的に出現する。

ネットワーク化コンピュータシステムアーキテクチャにおけるセキュリティリスクを低減させるための装置および関連方法が本明細書に開示される。以下に議論される種々の実施例によると、組織のためのコンピュータベースのネットワークの構成要素についての情報は、構成管理データベース（ＣＭＤＢ）に格納される。ＣＭＤＢは、ネットワークを構成するコンポーネントについてのデータを各々含む構成アイテム（ＣＩ）レコードを含み、このようなコンポーネントは、コンピュータ、コンピュータシステム、サーバ、ルータ、ファイアウォールなどを含む。

別の実施例によると、装置は、ネットワーク化コンピュータシステムアーキテクチャにおけるセキュリティリスクを低減させるために提供され、プロセッサと、ネットワークに接続される通信ポートを含むネットワークインタフェースと、プロセッサによってアクセス可能であって、プロセッサによって実行可能な命令を含むセキュリティリスクモジュールを含むメモリと、複数の構成アイテムレコードを含む構成管理データベースと、を含み、各構成アイテムレコードは、ネットワーク化コンピュータシステムを構成するコンポーネントに関連するデータを含み、構成管理データベースは、プロセッサによってアクセス可能であり、セキュリティリスクモジュールは、ネットワークインタフェースを介して、ネットワーク化コンピュータシステムのＣＩデバイスとして定義される物理デバイスに関連する構成アイテム（ＣＩ）に対する攻撃ベクトルに関連付けられた脆弱性に関する外部脆弱性データを、ネットワーク化コンピュータシステムの外部にあるソースから受信し、セキュリティコンピュータで、構成管理データベース（ＣＭＤＢ）にアクセスして物理デバイスに関連するＣＩデータを読み出し、ＣＭＤＢを用いるＣＩデバイスに関連付けられたトラストゾーンデータをセキュリティコンピュータのプロセッサを用いて決定し、ＣＩデバイスに関連付けられたトラストゾーンデータと外部脆弱性データとを利用してＣＩデバイスに対する脆弱性計算を実施し、外部脆弱性データと第二のＣＩデバイスに関連付けられたトラストゾーンデータとを利用して第二のＣＩデバイスに対する第二の脆弱性計算を実施し、ＣＩデバイスに対する脆弱性計算と第二のＣＩデバイスに対する第二の脆弱性計算とを比較し、その比較に基づいてＣＩデバイスまたは他の関連付けられたネットワークコンポーネントで行われる動作を優先順位付けする、命令を含む。

さらなる実施例によれば、方法は、ネットワーク化コンピュータシステムアーキテクチャにおけるセキュリティリスクを低減させるために提供され、セキュリティコンピュータのネットワークインタフェースを介して、ネットワーク化コンピュータシステムのＣＩデバイスとして定義される物理デバイスに関連する構成アイテム（ＣＩ）データに対する攻撃ベクトルに関連付けられた脆弱性に関する外部脆弱性データを、ネットワーク化コンピュータシステムの外部にあるソースから受信することと、セキュリティコンピュータで、構成管理データベース（ＣＭＤＢ）にアクセスし、物理デバイスに関連するＣＩデータを読み出すことと、セキュリティコンピュータのプロセッサを用いて、ＣＭＤＢを用いるＣＩデバイスに関連付けられたトラストゾーンデータを決定することと、外部脆弱性データとＣＩデバイスに関連付けられたトラストゾーンデータとを利用してＣＩデバイスに対する脆弱性計算を実施することと、外部脆弱性データと第二のＣＩデバイスに関連付けられたトラストゾーンデータとを利用して第二のＣＩデバイスに対する第二の脆弱性計算を実施することと、ＣＩデバイスに対する脆弱性計算と第二のＣＩデバイスに対する第二の脆弱性計算とを比較することと、その比較に基づいてＣＩデバイスまたは関連付けられた他のネットワークコンポーネントに対して行われるべき動作を優先順位付けすることと、を含む。

さらなる実施例によれば、非一時的コンピュータ可読記憶媒体であって、プロセッサによって実行されるとき、ネットワーク化コンピュータシステムアーキテクチャにおけるセキュリティリスクを低減させるための動作の実施を容易にする実行可能な命令を含み、該動作は、上述された方法を含む。

本明細書の記述は、添付の図面を参照し、類似の参照番号は、いくつかの図面を通して、類似の部分を称する。
本明細書の教示が実施され得る、ネットワーク化された分散またはクラウドコンピューティングシステムの一実施例のブロック図である。 図１に図示されたコンピューティングシステムのコンピューティングデバイスなどのコンピューティングデバイスの内部構成の一実施例のブロック図である。 基本的なネットワーク構成のブロック図である。 ネットワークトポロジーの一例のブロック図である。 セキュリティリスクを低減させるためのプロセスの一実施例のフローチャートである。 セキュリティインシデントレコードを図示するスクリーンショットの一実施例である。 選択されたＣＩに関連するレコードを図示するスクリーンショットの一実施例である。 サービスマップの一実施例を図示する階層ブロック図である。 選択されたＣＩに関連する、さらなるレコードを図示するスクリーンショットの一実施例である。 表示されたレコードに適用することができるフィルタを図示するスクリーンショットの一実施例である。 脆弱なアイテム表示／形式の一実施例の一部である。 脆弱なアイテム表示／形式の一実施例の一部である。 選択されたＣＩに関連する、さらなるレコードを示すスクリーンショットの一実施例である。

ネットワーク化コンピュータシステム内では、限定された利用可能なリソースを効率的に適用することができるように、脆弱性の優先順位を決めることが望まれる。Ｎａｔｉｏｎａｌ Ｉｎｓｔｉｔｕｔｅ ｏｆ Ｓｔａｎｄａｒｄｓ ａｎｄ Ｔｅｃｈｎｏｌｏｇｙ（ＮＩＳＴ）によるＮａｔｉｏｎａｌ Ｖｕｌｎｅｒａｂｉｌｉｔｙ Ｄａｔａｂａｓｅが存在し、同様にサードパーティソースも存在し、重大性インジケータ／緊急度が予め関連付けられているが、このようなインジケータは、スタンドアローンデバイスに対する適用に基づいたものである。既知のアプリケーションは、ネットワーク内の特定のコンピュータまたは他のデバイスに関連する他のコンポーネントを考慮しておらず、その結果、脆弱性の評価は決して最適なものではなく、脆弱性を解決するための効率的なリソースの割り当てに最終的に至らない。

非常に多数の脆弱性が存在すると、適切にその脆弱性の優先順位を決めることが重要である。種々の実施例は、より正確に脆弱性を決定するために、ソフトウェアアセット管理データと組み合わせられた構成管理データベースおよび外部から取得された脆弱性データからの情報を利用し、リソースをさらに効率的に利用することができるようにする。

コンピュータネットワークおよびクラウドコンピューティングの一般的な構造の議論の後、本発明のこれらの実施例は、このネットワーク内の実施例が実行され得るコンピュータの一般的な構造とともに、以下により詳細に議論される。

図１は、分散（例えば、クライアント・サーバ、ネットワーク化、またはクラウド）コンピューティングシステム１００のブロック図である。本明細書での語句“クラウドコンピューティングシステム”の使用は、分散コンピューティングシステムのあらゆる形態に対する代替であり、この語句は、参照を容易にするために単に用いられている。クラウドコンピューティングシステム１００は、カスタマ１１０を含む、任意の数のカスタマを有することができる。各カスタマ１１０は、クライアント１１２などのクライアントを有してもよい。クライアント１１２の各々は、複数のコンピューティングデバイスを含むコンピューティングシステムの形式をとることができ、または、例えば、携帯電話、タブレットコンピュータ、ラップトップコンピュータ、ノートブックコンピュータ、デスクトップコンピュータなどの単一のコンピューティングデバイスの形式をとることができる。カスタマ１１０およびクライアント１１２は、単に例示的なものであって、クラウドコンピューティングシステムは、様々な数のカスタマもしくはクライアントを有してもよく、または、様々な構成のカスタマもしくはクライアントを有してもよい。例えば、数百または数千のカスタマが存在してもよく、各カスタマが任意の数のクライアントを有してもよい。

クラウドコンピューティングシステム１００は、データセンタ１２０を含むあらゆる数を含むことができる。各データセンタ１２０は、サーバ１２２などのサーバを有してもよい。各データセンタ１２０は、サーバが配置される様々な地理的位置における設備を表してもよい。サーバ１２２の各々は、複数のコンピューティングデバイスを含むコンピューティングシステムの形式であってもよいし、または、例えば、デスクトップコンピュータ、サーバコンピュータなどの単一のコンピューティングデバイスの形式であってもよい。データセンタ１２０およびサーバ１２２は、単なる例に過ぎず、クラウドコンピューティングシステムは、様々な数のデータセンタおよびサーバを有してもよく、または、様々な構成のデータセンタおよびサーバを有してもよい。例えば、数十のデータセンタが存在してもよく、各データセンタは、数百または任意の数のサーバを有してもよい。

クライアント１１２およびサーバ１２２は、ネットワーク１３０に接続するように構成されてもよい。特定のカスタマに対するクライアントは、共通の通信ポイント１１６を介して、または、例えば、無線通信ポイント１１８および有線通信ポイント１１９などの異なる通信ポイントを介して、ネットワーク１３０に接続してもよい。共通または異なる通信ポイントの任意の組み合わせが存在してもよく、有線および無線通信ポイントの任意の組み合わせが同様に存在してもよい。ネットワーク１３０は、例えば、インターネットとすることができる。ネットワーク１３０は、ローカルエリアネットワーク（ＬＡＮ）、ワイドエリアネットワーク（ＷＡＮ）、仮想プライベートネットワーク（ＶＰＮ）、またはクライアント１１２およびサーバ１２２のうちの任意のものの間でデータを伝送する任意の他の手段とすることができ、またはそれらを含むことができる。図示されていないネットワーク１３０、データセンタ１２０および／またはブロックは、ルータ、スイッチ、ロードバランサおよび／または他のネットワークデバイスなどのネットワークハードウェアを含んでもよい。

クラウドコンピューティングシステム１００の他の実施例もまたは可能である。例えば、図示されたクライアントおよびサーバ以外のデバイスがシステム１００内に含まれてもよい。一実施例においては、一つ以上の追加のサーバが、クラウドインフラストラクチャ制御として動作してもよく、クラウドインフラストラクチャのサーバおよび／またはクライアントが監視され、制御されおよび／または構成される。例えば、本明細書に記述された技術のうちのいくつか、またはそのすべてが、前記クラウドインフラストラクチャ制御サーバ上で動作してもよい。代替的または追加的に、本明細書に記述された技術のうちのいくつか、またはそのすべては、サーバ１２２などのサーバ上で動作してもよい。

図２は、図１に図示されたようなコンピューティングシステム１００のクライアント１１２またはサーバデバイス１２２などのコンピューティングデバイス２００の例示的な内部構成のブロック図であって、コンピューティングシステムのインフラストラクチャ制御サーバを含む。前述されたように、クライアント１１２またはサーバ１２２は、複数のコンピューティングユニットを含むコンピューティングシステムの形態、または、例えば、携帯電話、タブレットコンピュータ、ラップトップコンピュータ、ノートブックコンピュータ、デスクトップコンピュータ、サーバコンピュータなどの単一のコンピューティングユニットの形態をとることができる。

コンピューティングデバイス２００は、図２に図示されるように、多数のコンポーネントを含むことができる。ＣＰＵ（またはプロセッサ）２０２は、マイクロプロセッサなどの中央処理装置とすることができ、単一または複数のプロセッサを含むことができ、各々が単一または複数のプロセシングコアを有する。あるいは、ＣＰＵ２０２は、既存または将来的に開発される、情報を操作または処理することが可能な、別の種類のデバイスまたは複数のデバイスを含むことができる。複数の処理デバイスが存在する場合、それらは、ハードワイヤードまたは無線ネットワーク化を含むネットワーク化を含む任意の方法で相互接続されてもよい。したがって、ＣＰＵ２０２の動作は、直接的、またはローカルエリアもしくは他のネットワークにわたって、結合することができる複数のマシンにわたって分散されることができる。ＣＰＵ２０２は、汎用プロセッサまたは専用プロセッサとすることができる。

ランダムアクセスメモリ（ＲＡＭ２０４）は、メモリとして用いられる任意の適切な非永久的記憶デバイスとすることができる。ＲＡＭ２０４は、ＣＰＵ２０２による即座のアクセスのために、実行可能な命令およびデータを含むことができる。ＲＡＭ２０４は、ＤＤＲ ＳＤＲＡＭなどの一つ以上のＤＲＡＭモジュールを典型的に含む。あるいは、ＲＡＭ２０４は、ＣＰＵ２０２によって処理するためのデータを格納することが可能な、既存または将来的に開発されるデバイスまたは複数のデバイスのうちの任意の種類を含むことができる。ＣＰＵ２０２は、バス２１２を介してＲＡＭ２０４におけるデータにアクセスし、操作することができる。ＣＰＵ２０２は、データおよび命令を操作するための局所的なファストメモリの形態として、キャッシュ２２０を利用してもよい。

記憶装置２０６は、リードオンリーメモリ（ＲＯＭ）、ディスクドライブ、ソリッドステートドライブ、フラッシュメモリ、相変化メモリ（ＰＣＭ）の形態、または、いくらかの期間、望ましくは電源を抜いた場合に、データを保持するように設計された任意の形態の不揮発性メモリとすることができる。本明細書に定義されるように、ディスクデバイスは、実際のディスクドライブとすることができ、または、（例えば、フラッシュカードおよびソリッドステートドライブなど）実際のディスクドライブと類似した方法でアクセスされるように設計された他の形態の記憶デバイスとすることができる。記憶装置２０６は、他のデータに加えて、実行可能な命令２０６Ａおよびアプリケーションファイル／データ２０６Ｂを含むことができる。実行可能な命令２０６Ａは、例えば、オペレーティングシステムと、全体として、もしくは部分的にＲＡＭ２０４へとロードし、ＣＰＵ２０２によって実行されるべき一つ以上のアプリケーションプログラム（ＲＡＭベースの実行可能な命令２０４Ａおよびアプリケーションファイル／データ２０４Ｂ）と、を含むことができる。実行可能な命令２０６Ａは、本明細書に記述された種々の機能を実施するように設計されたプログラマブルモジュール、またはアルゴリズム、機能的プログラム、コードおよびコードセグメントに組織化されてもよい。オペレーティングシステムは、例えば、Ｍｉｃｒｏｓｏｆｔ Ｗｉｎｄｏｗｓ（登録商標）、Ｍａｃ ＯＳ Ｘ（登録商標）、Ｌｉｎｕｘ（登録商標）もしくはオペレーティングシステムとすることができ、または、スマートフォンもしくはタブレットデバイスなどのスモールデバイス用のオペレーティングシステム、または、メインフレームコンピュータなどのラージデバイス用のオペレーティングシステムとすることができる。アプリケーションプログラムは、例えば、ウェブブラウザ、ウェブサーバおよび／またはデータベースサーバを含むことができる。アプリケーションファイル２０６Ｂは、例えば、ユーザファイル、データベースカタログおよび構成情報を含むことができる。一実施例においては、記憶装置２０６は、本明細書に記述された発見技術を実施するための命令を含む。記憶装置２０６は、一つ以上のデバイスを含んでもよく、ソリッドステートまたは磁気などの一つ以上の種類の記憶装置を利用してもよい。

コンピューティングデバイス２００は、有線通信コンポーネントまたは無線通信コンポーネント２９０を有することができるネットワーク通信ユニット２０８およびインタフェース２３０などの一つ以上の入力／出力デバイスも含むことができ、それらは、バス２１２を介してＣＰＵ２０２に結合されることができる。ネットワーク通信ユニット２０８は、デバイス間の通信を達成するために、多くのプロトコルのうちの幾つかを指定するために、イーサネット、ＴＣＰ／ＩＰなどの様々な標準化されたネットワークプロトコルの内の任意のものを利用することができる。インタフェース２３０は、イーサネット、電力線通信（ＰＬＣ）、ＷｉＦｉ、赤外線、ＧＰＲＳ／ＧＳＭ、ＣＤＭＡなどを利用する一つ以上の送受信機を含むことができる。

ユーザインタフェース２１０は、ディスプレイ、位置入力デバイス（マウス、タッチパッド、タッチスクリーンなど）、キーボードまたは他の形態のユーザ入力および出力デバイスを含むことができる。ユーザインタフェース２１０は、バス２１２を介してプロセッサ２０２に結合されることができる。クライアントまたはサーバをユーザがプログラムするか、またはそうでない場合には利用することを可能とする他の出力デバイスは、ディスプレイ２１０に加えて、またはディスプレイ２１０に対する代替として提供されることができる。出力デバイスがディスプレイであるか、またはディスプレイを含む場合、ディスプレイは、様々な方法で実施されることができ、液晶ディスプレイ（ＬＣＤ）または、ブラウン管（ＣＲＴ）または、ＯＬＥＤディスプレイなどの発光ダイオード（ＬＥＤ）ディスプレイによるものを含む。デバイスの構造化された出力は、ディスプレイの入力に対して提供されることができ、ディスプレイスクリーン上に提供される構成要素は、出力データの基本構造を表すことができるようにする。

クライアントおよびサーバ２００の内部構成またはアーキテクチャの他の実施例もまた可能である。例えば、サーバはディスプレイ２１０を省略してもよい。ＲＡＭ２０４または記憶装置２０６は、ネットワークベースメモリ、またはクライアントもしくはサーバの操作を実施する複数のマシン内のメモリなど、複数のマシンにわたって分散されることができる。本明細書には単一のバスとして図示されているが、バス２１２は、様々なブリッジ、コントローラ、および／またはアダプタを通じて互いに接続され得る、複数のバスで構成されることができる。コンピューティングデバイス２００は、デバイス２００自体もしくはデバイス２００の周囲の環境を監視する任意の数のセンサおよび検出器を含んでもよく、または、ＧＰＳもしくは他の種類の位置特定デバイスなどの位置識別ユニット２６０を含んでもよい。コンピューティングデバイス２００は、バッテリなどの電源２７０も含んでもよく、ユニットが自給自足的に動作することができるようにする。これらは、バス２１２を介してＣＰＵ／プロセッサ２０２と通信してもよい。

上述されたコンピュータアーキテクチャにおいては、様々なツールおよびプロセスの利用は、このアーキテクチャ内の潜在的脅威の重大性を決定し、これらの脅威を処理するために如何にリソースを割り当てるのが最良かを決定するのに有益にはたらくことがある。脆弱性の重大性は、現実世界の重大性とより厳密に一致するように決定されることができ、最高の重大性を有する脆弱性に対して、まずリソースを集中させることをより容易にする。それは、コンピュータが配置されるネットワークを考慮に入れることによって行われることができ、最も効率的な方法でリソースを割り当てることを可能とする。

プロセスは、特定のコンピュータ上にインストールされたソフトウェアに関連付けられた、国家で認識された脆弱性およびサードパーティによる脆弱性のすべてを収集し、リストアップするという点で、既知のプロセスのある特徴を利用する。Ｎａｔｉｏｎａｌ Ｖｕｌｎｅｒａｂｉｌｉｔｙ Ｄａｔａｂａｓｅおよびサードパーティソース由来の各脆弱性は、重大性インジケータ（緊急度とも呼ばれる）に予め関連付けられ、普及率、エクスプロイトの困難度、エクスプロイト（利己的利用）される脆弱性の潜在的影響を考慮に入れるために予め計算される。

基本的なネットワーク構成のブロック図である図３Ａに図示されるように、脆弱性に関連付けられたデフォルトの重大性は、インターネット１３０に接続されたスタンドアローンコンピュータ１２２を仮定したものである。脆弱性がその組織に与えるであろう影響は、そのスタンドアローンコンピュータ上での脆弱性のエクスプロイト（ｅｘｐｌｏｉｔａｔｉｏｎ）に基づく。ネットワークトポロジーの一例のブロック図である図３Ｂを参照すると、Ｎａｔｉｏｎａｌ Ｖｕｌｎｅｒａｂｉｌｉｔｙ Ｄａｔａｂａｓｅまたはサードパーティソース由来など、外部ソース１９０からダウンロードされると、脆弱性１９５は、攻撃ベクトルおよび影響スコア（機密性、インテグリティ（整合性）および利用可能性など）に関連付けられることができる。脆弱性１９５は、他の脆弱性データも含むことができる。各組織は、機密性、インテグリティおよび利用可能性に対して、独自の重み続けを有し、組織特有の影響の計算につながる。攻撃ベクトルを分析すると、幾つかは脆弱なマシンに対する直接的なネットワークアクセスを要求し、幾つかは物理アクセスを要求し、幾つかは、脆弱なマシン上に追加のソフトウェアをインストールすることを要求する。他と関係なく評価されると、脆弱性の重大性／影響は、攻撃ベクトルを考慮に入れることができない。なぜなら、実際のネットワークトポロジー、トラストゾーン割り当ておよび物理アクセス基準が、脆弱性データベースの作者／貢献者による評価の時点では未知だからである。

特定のクライアントのインストールは、単一のスタンドアローンマシンよりもさらに顕著に複雑であり、それによって、最適な対策には程遠い脆弱性の影響の判定をもたらす。現実社会においては、ネットワーク化環境において、マシンは、トラストゾーンに分離され、様々な境界防御、トラストゾーン推移防御およびエンドポイント保護によって保護される。これらの追加保護が考慮されると、脆弱性の実際の重大性は、顕著に軽減され得るか、または、完全に排除され得る。図３Ｂは、ルータ１４２およびファイアウォール１４０（境界防御）の下の脆弱なコンピュータ１１２の一実施例を図示し、したがって、ある攻撃ベクトルに対して影響を受けにくく、幾つかの脆弱性の影響／脆弱性の重大性を低下させる。ネットワークアーキテクチャを含む他の構成もまた可能である。

脆弱性データを含むデータベース（例えば、ＮＩＳＴによるＮａｔｉｏｎａｌ Ｖｕｌｎｅｒａｂｉｌｉｔｙ Ｄａｔａｂａｓｅ）は、関連付けられた重大性の計算を含んでもよいが、これらの計算は完全にスタンドアローンな特定の脆弱性に基づくものである。影響を受けたＣＩは、他のコンポーネントで満たされたネットワーク内にあり、そのコンポーネントのうちの幾つかは、ＣＩを保護するように設計される。インターネット上でアローンである場合、重要な脆弱性は、影響を受けたＣＩが保護された境界の内部にある場合に低い優先度としてもよい。システムは、ＣＭＤＢおよびネットワークトポロジーに対するアクセスを有するため、アルゴリズムは、保護層が適所に存在するため、幾つかの脆弱性がそれほど決定的ではないか否かを理解することができる。外部入力は、脆弱性の定義である。先駆けとして、システムは、脆弱性スキャンおよび既知の脆弱性のＣＩに対する適用を実施し、ソフトウェア、ハードウェアなどを通じて繰り返し、どの脆弱性を適用するか決定する。これは、外部脆弱性データに基づいて新規のリスクレベルを提供し、その後、ネットワークアーキテクチャに基づいた状況依存性のリスクおよびその中の関連コンポーネントについてのメタデータの計算を提供する。このアーキテクチャを考慮すると、さらに精密な脆弱性の重大性スコアを計算することが可能となり、特定のコンピュータでの特定の脆弱性に関連付けられた重大性は、低減されることができ、要求される修復作業の新しい優先順位付けにつながる。脆弱性が適切に評価されると、修復用に利用可能な限定されたリソースは、最も高いリスク低減の影響を有する修復タスクに重点を置くことができる。サイバー脆弱性の重大性を計算して、クライアント特有のネットワークトポロジーを調整することによって、脆弱性修復作業は、より優先化されることができ、さらに効率的なリスク軽減およびリスク修復プロセスが可能となる。トポロジー調整された脆弱性の重大性スコアを用いることによって、最高優先度の脆弱性修復タスクに対して、限定されたリソースが重点を置くことを可能とする。

一例のアーキテクチャにおいては、組織のためのコンピュータベースのネットワークの構成要素についての情報は、ＣＭＤＢ１８０内に格納される。一実施例においては、セキュリティコンピュータ（前述されたようなコンピュータ２００など）を含み得るセキュリティインシデント応答メカニズム１６０は、ＣＭＤＢ１８０内のＣＩデータレコードによって表される、各アイテム、またはネットワークのコンポーネントに対する、これらの脆弱性セキュリティスコアを計算することができる。一実施例によれば、ＣＭＤＢ情報に基づいて、ネットワークトポロジーおよびセキュリティ構造（他のネットワークコンポーネントデータを定義する）、並びにトラストゾーンメンバーシップおよびセグリゲーション、境界防御、トラストゾーン推移防御、エンドポイント保護などの他の可能な態様は、ＣＭＤＢ関係性およびＣＭＤＢデータに基づいて推測されることができる。ＣＭＤＢ１８０内で利用可能な場合、物理アクセスデータは、攻撃ベクトル１９７、１９７ａの影響を計算するために用いられることができる。

ＣＭＤＢ１８０内の全情報を考慮し、（ルータ１４２およびファイアウォール１４０などの他の境界防御コンポーネントに対するＣＭＤＢの関係性に基づいて）ネットワークトポロジーを推測することによって、セキュリティコンピュータ１６０は、指定された攻撃ベクトル１９７、１９７ａを用いて脆弱なコンピュータにアクセスすることの容易性または困難度を計算することができる。図３Ｂに記載されるように、攻撃ベクトル１９７は、インターネット１３０を介して生じることがあるが、攻撃ベクトル（物理攻撃ベクトル）１９７ａもまた、同様に物理アクセスを介して生じることがある（例えば、ＵＳＢサムドライブ）。ＣＭＤＢ１８０は、同様に、物理攻撃ベクトルの効果を適切に減じるために用いられることができるＣＩの特定の位置についての情報を含んでもよい。

組織特有の計算された影響の重みづけと、攻撃ベクトル／トポロジーの組み合わせとの双方を考慮すると、新しい重大性の数字がコンピュータおよび脆弱性の組み合わせに関連付けられることができ、最初の（固有の）重大性と更新された現実世界の（文脈上の）重大性スコアとの双方を格納する。さらなるコンピュータおよび脆弱性の組み合わせが評価されると、更新された重大性スコアは、現実世界のリスクの数字をより厳密に反映し、最高のリスクまたは最高の影響のある脆弱性に対して、まず修復作業の重点を置くことを可能とする。さらなる利点として、上述されたアルゴリズムは、特定の境界防御コンポーネントに関連付けられた正味のリスク減少を測定するためにも用いられることができ、それらのコンポーネントに対して、より良好な量の投資対効果を提供する。

例示として、公共無線接続上でアプリケーションＡを実行しているラップトップコンピュータは、アプリケーションＡにおけるバグを利用する特定の攻撃ベクトルによるエクスプロイトのより高いリスクにさらされることがあり、それによってラップトップは、悪意のあるソースによる制御を受けやすい状態になる。しかしながら、同一のラップトップがオフィスコンピュータとして操作される場合には、ファイアウォールおよび幾つかの他の保護層の下に存在し得、それによって、アプリケーションＡにおける攻撃ベクトルによるエクスプロイトのリスクを軽減する。

システムは、このように、発見またはＣＭＤＢへのＩＴ職員の入力（この情報はＣＩがデータセンタ、トラストゾーンなどの中にあるか否かを含むことがある）によって生成されるメタデータの組み合わせに依存し、それは、デバイスについて測定された属性にもまた依存することがある。システムは、その後、このシステムの一部である幾つかの所定のアルゴリズムに基づいて、ある攻撃ベクトルに対して適用可能であり得るルールを適用する。修復のジョブは、以下に議論されるように、タスク、変更、問題またはインシデントの生成によって開始されることができ、適切なエンティティによって最終的に扱われてもよい（例えば、ＨＲは、人材に関する問題を扱うことがあり、法務部門は、法的問題を扱うことがあり、ＩＴ部門は、コンピュータ／システム問題を扱うことがある、など）。

図３Ｂは、トラストゾーンの概念を図示し、ウェブサーバ１２２を含むトラストゾーンＡ１５０と、クライアントコンピュータ１１２を含むトラストゾーンＢ１５２とを図示する。トラストゾーンは、様々な要因の中で、異なるデバイスの境界を明示するゾーンに関連する。例えば、ある境界の明示は、ネットワークアーキテクチャ自体と関連付けられてもよい（例えば、ゾーンＡはファイアウォールの下にあり、それによって電子メールウイルスに対してそれほど影響を受けやすくはないが、ゾーンＢはそうではない）。しかしながら、他の境界の明示は、デバイス自体の特性に関連付けられてもよい（例えば、ゾーンＣは、ウェブベースのＳＱＬインジェクションを介する攻撃ベクトルに対する影響を受けやすいウェブサーバを含むが、ゾーンＤは、このようなウェブベースのＳＱＬインジェクションに対して影響を受けにくいアプリケーションサーバを含む）か、またはデバイスに関連付けられた物理セキュリティに関連付けられてもよい（例えば、ゾーンＥは、ロックされたサーバルーム内に配置されたラックマウントコンピュータであって、したがって、ＵＳＢドライブによって注入されるウイルスもしくは他のエクスプロイトによって危険にさらされにくいが、ゾーンＦは、従業員によって家庭に持って行く可能性のあるラップトップコンピュータであり、ＵＳＢドライブによって注入されるウイルスもしくは他のエクスプロイトによって容易に危険にさらされ得る）。別の例においては、トラストゾーンは、ユーザの特性によって境界を明示することができる（例えば、ゾーンＧのコンピュータは、Ｃレベルの管理職のラップトップであるため、非常に影響を受けやすい情報を含むが、ゾーンＨのコンピュータは、影響を受けやすい情報が限定された事務補助者のラップトップである）。トラストゾーンは、したがって、様々な攻撃ベクトルに照らしたリスクに基づいて、デバイスの境界を明示するために任意の方法で構成することができる。

多数の脆弱性、多数のコンピュータおよび限定されたリソースがあると、まず、どの脆弱性を修復すべきかを決定することは大きな課題である。一実施例においては、脆弱性修復アルゴリズムは、脆弱性の重大性および影響を受けたコンピュータ数に基づいて、どの修復が最大の影響を有し得るか（リスク低減を最大化するか）を決定する。この実施例は、いくつのコンピュータが影響を受けたかを決定するために、ＣＭＤＢ１８０データ（ＣＩおよびソフトウェアインストールレコード）および脆弱性データ１９５を用いる。ＣＭＤＢは、サーバ、ラップトップ、ルータ、ファイアウォールなどを含むシステム内にインストールされたハードウェアを記述するために用いられてもよい。

ほとんどの脆弱性は、特定のバージョンのソフトウェアに関連する。ゆえに、ＣＭＤＢは、そのシステムがどこにあるか、そのシステムが何に晒されているか、そのシステムが何をサポートしているか、および何のソフトウェアがそのシステム上にインストールされているかを示すことができる。脆弱性データは、特定のバージョンのソフトウェアが幾つかの潜在的脆弱性を有することを示す。

脆弱性の重大性と影響を受けたコンピュータ数との積は、その後、計算され、最も深刻であるほとんどのコンピュータにどの脆弱性が影響しているかを決定する。その計算は、その後、最適な脆弱性修復順序を決定するために用いられる。

図３Ｃは、上述されたネットワーク化コンピュータシステム内の脆弱性の優先順位を決定するための一方法の一実施例を図示するフローチャートである。動作３１０においては、ＣＭＤＢデータを観察することから、ＣＩに対するトラストゾーンが取得されるか、または推測される。動作３２０においては、外部脆弱性データが受信され、その後、動作３３０においては、このデータは、このＣＩに対する脆弱性を計算するために用いられるが、計算は、ＣＩに関連するトラストゾーンに関連付けられたデータも含む。動作３４０においては、プロセスは、第二の（または、追加の）ＣＩに対して繰り返される。動作３５０においては、第一および第二の（または追加の）ＣＩに対する脆弱性が比較され、取り扱いの優先順位が脆弱性計算に基づいて決定される。脆弱性を扱う優先順位の決定は、全ての他のスコアをつけられた脆弱性に対して、脆弱性スコアを細分化することによって行われる。

脆弱性は、重大性レベルに関連付けられる。ＣＭＤＢ１８０を用いて、コンピュータ１１２上にインストールされたソフトウェアのアイテムは、関連性のある脆弱性に関連付けられる。例えば、特定のバージョンのＡｄｏｂｅ Ｆｌａｓｈ Ｐｌａｙｅｒ（登録商標）は、特定の脆弱性が割り当てられる。したがって、ＣＭＤＢ１８０ソフトウェアインストールレコードを用いて決定されるように、このバージョンのＡｄｏｂｅ Ｆｌａｓｈ Ｐｌａｙｅｒがインストールされたすべてのコンピュータは、特定のバージョンのＡｄｏｂｅ Ｆｌａｓｈにあることが分かっている脆弱性に関連付けられる。コンピュータのレコードが適切な脆弱性と関連付けられると、各タイプの脆弱性を有するコンピュータ数の正確なカウントが決定されることができる。

脆弱性の重大性と影響を受けたコンピュータ数との双方が分かると、計算が行われ、脆弱性の全体のランキングを決定することができる（重大性およびコンピュータ数によって決定されるような、関連付けられたリスクであって、蓋然性を表す）。すべての脆弱性がランク付けされると、トップランキングの（より高いリスクの）脆弱性が示されることができ、修復作業の優先順位を決めることが可能となる。以下の表Ａは、それぞれの計算値とランキングとを図示する。
例示的なランキング計算は、Ｃ、Ｂ、Ａの修復の優先順位を我々に知らせる

幾つかのＣＩ（コンピュータ、モバイルデバイス、境界セキュリティデバイスなど）は、それらに関連付けられたより高いレベルのビジネスリスクを有する。例は、最高財務責任者（ＣＦＯ）のラップトップコンピュータと、最高経営責任者（ＣＥＯ）の携帯電話と、インターネットに対してＥコマースサイトに接続するメインファイアウォールと、を含む。高レベルのリスクマーカが追跡されない場合、適切に優先順位を決められるであろう作業（セキュリティ脆弱性の修復を扱うこと、または高リスクアイテムに関連付けられたセキュリティインシデントに対処すること）は、ルーティン処理に対してそのまま残されることがあり、リスク、リスクに対する暴露、およびその潜在的な余波を増大させる。

一実施例においては、あるアイテムの高リスクとしての指定を提供すること、高リスクアイテムの視覚的な指示を（フォームおよびビジネスサービスマップ（ＢＳＭ）の双方において）サポートすること、ならびに作業アイテムの重大性、緊急性および優先度の特別な対処を可能とすることによって、予期されない取り扱いの問題は、解決されることができ、関連付けられたリスクおよび暴露は軽減される。

高リスクとマーク付けされた構成アイテムは、セキュリティおよびリスク関連のアクティビティで異なる処理を受けることができる。ＣＩを高リスクとマーク付けすることを可能とすることによって、様々な可視的合図が表示されることができ、代替の重大性、緊急度および優先度の値が、関連付けられたリスク、セキュリティおよび他のＩＴアクティビティに対して割り当てられることができる。

上述されたように、ＣＭＤＢ１８０は、ＣＩに対して、記述的情報と構成情報とを含む。ＣＭＤＢ１８０に格納された情報は、持続的なものであって、手動および自動プロセスの双方によって更新されることができる。ＣＩに格納される情報に高リスクのインジケータを追加することによって、高リスクとマーク付けされたＣＩに対して特別な処理を提供することを可能にする。この特別な処理は、以下を含む。
・構成アイテムについての情報を表示するフォームにおける可視的合図
・ビジネスサービスマップおよびネットワークトポロジー表示上の可視的インジケータ（異なる背景色、点滅するテキスト、振動する同心環）
・高リスクＣＩに関連付けられた作業アイテムに割り当てられた、改変された（より高い）重大性、緊急度および優先度
〇セキュリティインシデント応答タスク
〇脆弱性修復タスク
〇本質的に不正であり得る損失または故障の報告
・特別な対処は、変化および改変に対して規定されることができる

上述のすべては、ＣＩレベルでの高リスクインジケータを追加すること、含まれるリスク態様（機密性、整合性または利用可能性など）を場合により示すことによって達成されてもよい。構成アイテムフォームは、（ページの上部におけるバナーまたは背景色変更などの）高リスク可視的指示をサポートするように改変される。可視マップ表示は、改良された高リスクインジケータをサポートするように改変されることができる。脆弱性修復と関連付けられる重大性を計算するために用いられるアルゴリズムは、高リスクの構成アイテムに関連付けられたタスクに対して、より高い重大性レベルを割り当てるように改変されてもよい。セキュリティインシデントに対して優先度を割り当てるために用いられるアルゴリズムは、高リスクの構成アイテムに関連付けられたタスクに対して、より高い優先度を割り当てるように改変されてもよい。上記の変更を適所で行うと、高リスクの構成アイテムに関連付けられた緊急性のある作業は、問題、インシデントおよび変更の影響を軽減するために必要な迅速性と特別な注意とともに扱われることができる。

例示として、ＣＩ Ａは、ＣＦＯのラップトップを表し、（機密保持の懸念によって）高リスクアイテムとしてマーク付けされる。ＣＩ Ｂは、Ｊｏｅ従業員のデスクトップであって、高リスクアイテムとしてマーク付けはされない。

アイテムＡがスクリーン上、またはビジネスサービスマップ内に表示されると、可視的指示によって、上述された特徴を用いて、表示されたアイテムが高リスクアイテムであることを明確にする。（コンピュータ上にインストールされたソフトウェアに関連付けられた）脆弱性が、アイテムＡおよびアイテムＢの双方と関連付けられる場合には、修復がより高いリスクに関連付けられるため、アイテムＡに関連付けられた修復タスクは、より高い優先度を受けるだろう。アイテムＡとアイテムＢの双方が失われるか、または盗まれた場合、アイテムＡの損失に対する対応は、アイテムＢと比較して、より高い重大性と緊急性とを割り当てられるだろう。それは、アイテムＡが高リスクアイテムとしてマーク付けされていることによる。

重大性は、攻撃が成功した場合の問題の程度を表す。脆弱性は、攻撃の成功のリスクを表し、トラストゾーンおよびネットワーク構成の他の態様を考慮に入れたものである。重大性の計算は、様々な方法で行われることができる。一実施例によれば、自動化され、動的で、かつ設定可能な重大性の計算は、ＣＭＤＢ１８０または任意の他の設定可能な複合要素を用いて、セキュリティインシデントに対して実施されてもよい。

これは、解決すべき大量のインシデントをしばしば有するであろう、セキュリティ応答チームに対して非常に有益であって、これらのインシデントのうちの幾つかは、極めて重要であって、また、そのうちの幾つかはそれほど重要なものではなく、幾つかは、高リスクを有し、注意深く扱わなければならないが、その他のものはルーティンである。リスクおよび優先度、影響および重大性を決定することは、セキュリティインシデント自体の存在、またはそれに対する潜在性にのみ基づくものではなく、デバイス、問題または潜在的問題の位置（例えば、高度に接続されたサーバ（高い影響）に対して、分離されたデスクトップ（低い影響））、デバイスの重要性に関連する他の基準（例えば、より高い個人的データを含むＣＥＯに関するものか、に対して、影響を受けやすいデータに対するアクセスのない標準的な従業員のものか）にも基づくものである。

問題（または、潜在的な問題）は、３つの要素を有する。第一に、それは、各アイテムの影響、リスクおよび重大性を迅速に優先順位付けして、評価することが望ましい。これは、問題を有するロードバランサが、その会社の財務支払処理センター（非常に重要）のコアに対して、（重要ではない）バックアップディベロップメントサーバであるか否かを（例示を用いて）観察するために、調査が実施されるのにいくらかの時間がかかり得るタスクである。第二に、例えば、Ｐ１としてカテゴライズされるインシデントの優先度は、Ｐ２としてカテゴライズされるインシデントの優先度ほどは重要ではないなど、分析者が、優先度、影響、リスクおよび重大性が常に同一の意味を持つと信頼することができるように、インシデントまたは潜在的な問題の優先順位付けにおいて、ある一貫性を提供することが望ましい。第三に、情報、ユーザまたはコンピュータに関連するか否かに関わらず、社内のアイテムの位置によって、どのアイテムがより重要かを知るための情報を提供することが望ましい。

コンピュータサーバ、デスクトップ、ユーザについてのＣＭＤＢ１８０由来の情報、またはセキュリティインシデントの型の定義および影響されたユーザとコンピュータとの間の相互関係と組み合わせて、セキュリティインシデント（または、潜在的なセキュリティインシデント）由来の情報を用いることによって、セキュリティインシデント応答管理者は、インシデントの優先度、影響、リスクおよび重大性を定義するための重大性ルールを生成することができ、それは、インシデントの迅速な優先順位付けと適切な取り扱いとに役立つ。これらの重大性計算機のルールは、カテゴリにおいて基礎となる全てのこれらの値と同様に簡単であってもよいし、または、データベース内のあらゆるものに基づいていて、どの値がいつ設定されるかを決定するスクリプトと同様に複雑なものであってもよい。

セキュリティコンピュータ１６０上で実行することができる重大性計算機においては、セキュリティ応答管理（ｍａｎａｇｅｍｅｎｔ ｏｒ ａｄｍｉｎｉｓｔｒａｔｉｏｎ）は、重大性計算機のルールを生成する。これらの各々は、それをいつ適用するかを決定するための条件を有する。それを適用するとき、適合するセキュリティインシデントまたは潜在的なセキュリティインシデントのリスク、優先度、影響および／または重大性を設定することができる。この条件は、カスタマのニーズに基づいてカスタマイズすることが可能であり、このＣＩに依存するコンピュータの数に基づくことができるか、または、要因とインシデント自体における値との組み合わせに基づくことができる。

重大性計算機は、新しいセキュリティインシデントが生成されると自動的に適用されてもよい（図９Ａの９１５および以下の議論参照）し、例えば、セキュリティインシデントフォーム（図示せず）におけるボタン“重大性を計算する”を押すことによって、要求に応じて実行されることができる。これが行われると、全てのルールが順番にチェックされ、条件が適合するものが実行され、条件に適合する第一のルールは、所望の重大性フィールドに適切な値を設定するだろう。

条件は、どのセキュリティインシデントがこのルールによって改変されるべきかの決定に影響することができ、これは、フィルタまたはスクリプトのいずれかを介して、行われてもよい。フィルタは、セキュリティインシデントまたは、以下のようなブール演算子を有するセキュリティインシデントにリンクされたレコードにおけるフィールドで動作する単純な検索クエリである。ブール演算子は、“カテゴリはマルウェアである、または、開かれた日付は１か月前である、または、ユーザの管理者は財務部門にいる”などである。より詳細に対して、進んだ条件は、また、データベース内の任意のレコードに対するより複雑な論理クエリと同様に、任意のデータベースフィールドを用いることを可能とするスクリプトであってもよい。以下のコードスニペットは、このような複雑な論理の一例を提供する。
answer = false;
if (current.cmdb_ci.sys_class_name == 'cmdb_ci_service') {
var service = new GlideRecord('cmdb_ci_service');
service.get(current.cmdb_ci);
if (service.busines_criticality == "1 - most critical" || service.busines_criticality == "2 - somewhat critical")
answer = true;
}

条件が真であると、値が設定される。これらの値は、例えば、以下のように精密であってもよい。
Priority=1
Risk=very high
Impact=Leave alone (this rule will then not change the impact)
Severity=1

または、それらは、追加のデータを利用し、条件付きで値を設定するであろうスクリプトによって設定されてもよい。
if (service.busines_criticality == "1 - most critical") {
current.impact = 1;
current.risk = 2;
current.priority = 1;
current.severity = 1;
}
if (service.busines_criticality == "2 - somewhat critical") {
current.impact = 2;
current.risk = 3;
current.priority = 3;
current.severity = 2;
}

続いて、セキュリティインシデント応答に焦点を当てると、セキュリティインシデントまたは潜在的なセキュリティインシデントに対する応答は、しばしば分離される。このような応答を処理する上での著しい改善は、影響を受けたシステム、どのビジネスサービスが影響され得るか、関連するインシデント、問題、最近の変更、既知の脆弱性、および影響を受けるであろう人、各システムに対して連絡を取るべき人についての情報を提供する、ＩＴシステムと、セキュリティインシデント応答とを一体化することによって行われることができる。この一体化によって、セキュリティインシデント応答のよりインテリジェントな処理、適切な優先順位付け、セキュリティインシデントのソースを発見し、それを解決することをより容易にすること、関連するすべての人／グループに通知すること、ならびに相互接続されたサーバおよびサービスの適切な取り扱いを可能とする。

従来、セキュリティインシデントが生じるか、または潜在的なセキュリティインシデントの識別が行われると、ほとんど前後関係はない。問題が生じたか、または生じるであろうシステムが分かり、その問題の技術的詳細を提供する情報およびログが存在し得る場合でも、そのインシデントをインテリジェントに扱い、優先順位付けするために極めて重要な他の詳細は欠けている。この欠如した情報は、どのユーザがそのシステムを所有しているか、管理者が存在するか否か、トラブルシューティングまたはメンテナンスチームが存在するか否か、どのビジネスサービスがそのハードウェアを使用しているか、他の既知の問題が存在するか否か、そのシステムに対して最近の変更が存在したか否か、そのシステム上のソフトウェアが既知の任意の脆弱性を有する場合には、このマシンの履歴は何か、などを含むことがある。

セキュリティインシデント応答メカニズムまたはセキュリティコンピュータ１６０および関連付けられたソフトウェアモジュール／ルーティンは、様々な方法でＣＭＤＢと一体化し、ＣＭＤＢから情報を受信し、セキュリティインシデントは、様々な方法で生成されてもよい。第一に、セキュリティインシデントは、情報技術（ＩＴ）インシデントから生成されてもよく、セキュリティコンピュータ１６０は、セキュリティインシデントデータレコードに影響を受けたＣＩデータをコピーするだろう。第二に、セキュリティインシデントは、内部または外部ソースからイベントを介して生成されてもよく、セキュリティコンピュータ１６０は、内部または外部イベントソース内で同定されたそれらのアイテムに関連付けられるＣＩデータを引き込むだろう。第三に、セキュリティインシデントは、手動で生成されてもよい。この場合には、影響を受けたＣＩ、また必要な場合には、複数の影響を受けたＣＩは、影響を受けたシステムを画定するために、記入されることができる。要求しているユーザは、また、そのユーザに対するレコードに対するリンクであり、影響を受けたユーザも同様である。これによって、最初から大量のデータをセキュリティインシデント分析者に提供し、そのデータとは、影響を受けたシステムをだれが所有しているか、そのシステムはどこにあるか、そのシステム上には何のソフトウェアが存在するか、そのシステムについて既知のすべての事柄である。

システムの履歴および現在の状態は、重要である。なぜなら、この情報は、問題の原因の検出、インシデントの影響の決定、優先順位付け、および問題の程度に寄与するからである。図４は、セキュリティインシデントレコード４００を図示するスクリーンショットの一実施例である。履歴および現在の状態についての幾つかの情報は、メインスクリーン上に提供されることができる。インシデント識別子またはインシデント番号４１０、要求しているユーザ４２０、インシデントの位置４３０、インシデントのカテゴリ４４０およびサブカテゴリ４５０、ならびに影響を受けたＣＩ４６０、インシデントの短い説明４７０が図示される。ボタンまたは他のインジケータは、関係する関連情報にアクセスするのを補助するために提供されてもよい。一実施例においては、関連するレコードボタン（感嘆符のついた三角形）４８０は、特定のフィールドに関する他の関連するレコードの存在を示すため、また、レコードに関連付けられた他のタスク、インシデント、変更、問題または脆弱性の存在を示すために提供されることができる。それは、そのシステム（サーバ／ラップトップなど）における他の最近の問題、変更要求、インシデント、セキュリティインシデントおよび既知の脆弱性についての情報も提供することができる。これは、最近の変更が問題の一部かもしれないか否か、または、システム上の脆弱性が現在のセキュリティインシデントに適合するエクスプロイトに一致するか否か、を示すのに役立つことがあり、簡単な処置を提供し、脆弱性の迅速なパッチを可能とする。サービスマップボタン４８２は、与えられたサーバと、他のサーバ、ロードバランサ、データベースとの間の関係、それが何のビジネスサービス（例えば、給与、企業のウェブサイトなど）をサポートしているかと同様に、関連するデバイスのすべてに対して、インシデント、問題、変更、セキュリティインシデントおよび脆弱性など、グラフィックフォームにおいて他の関連するＣＩの構成要素を示すために提供されることができる。これは、問題を発見し、何かが如何にして入り込んだか、修復するために何か必要かを決定するために、さらなる役立つデータを提供する。情報ボタン４８４は、フィールド内のデータに対して状況を提供するヘルプまたは他の情報にアクセスするために提供されることができる。それは、所有者、管理および変更履歴情報を含む、そのＣＩについての追加情報に対するアクセスを可能とし、サーバに対するレコードを開く。

図５は、選択されたＣＩに関連するレコードを図示するスクリーンショットの一実施例であって、関連するレコードボタン４８０を選択することによって表示されることができる。ディスプレイは、発見されて、表示される同一のＣＩにおける全ての最近の、または、アクティブな問題、インシデント、変更、脆弱性および他のセキュリティインシデントの関連問題リスト５００を提供する。図示された例においては、関連するレコードボタン４８０をクリックすることによって、システム５１０に対する最近の更新およびアクティブな別のセキュリティインシデント５２０が同時に明らかになる。それは、関連する脆弱なアイテムのリスト５３０も提供する。

この情報は、他のオープンセキュリティインシデントに合わせて調整し、問題を示し得る最近の変更を見分け、エクスプロイトされるかもしれない既知の脆弱性を見出すのに役立つ。関連する問題リスト５００は、現在開いているか、または、いくらかの指定期間（例えば、先月）内に開かれたこれらの種類のレコードのすべてのリストである。

図６は、サービスマップの一実施例を図示する階層的ブロック図である。さらなる情報のために、ビジネスサービス管理マップ（サービスマップ）６００は、調査される特定のＣＩについてのみならず、それにリンクされたすべてについても情報を提供するために表示される。それは、影響を受け得る重要なビジネスサービスを図示し、また、同様のシステム内で同様の任意の問題に対する洞察も提供する。例示として、サービスマップ６００は、最上部に、ビジネスサービスＳＡＰエンタープライズサーバを表すアイコン６１０を図示し、次の行に、人材、労務、財務、工場、設定、給与、材料および販売に対するビジネスサービスＳＡＰサーバを表すアイコン６２０を図示する。また次の行には、ロードバランスサーバとしてアイコン６３０を図示する。また次の行には、様々なウェブサーバを表すアイコン６４０を図示し、次の行には、アプリケーションサーバを表すアイコン６５０を図示し、最下行には、データベースを表すアイコン６６０を図示する。

サービスマップ６００マップは、スクリーン上に表示されるＣＩレコード４００の傍らでボタン４８２をクリックすることによって開かれてもよい。ＣＩに対してセキュリティインシデントをリンクし、その後、相互に関連する情報のすべてに可視性を提供することによって、問題に対する、よりインテリジェントかつ迅速な解決とともに、例えば、キーサーバの改変に関連するリスクに対する多くの洞察を可能とする。

図７は、選択されたＣＩに関連するさらなるレコード７００を図示するスクリーンショットの一実施例である。問題が発見されると、セキュリティインシデント内のリンクは、ＣＩについての情報を表示するのとともに、変更要求および問題を生成することを可能とし、正確な人に通知し、任意の影響を受けやすいサーバに対して必要とされる承認とアクセスとを得るのに役立つ。図７における表示は、インシデントボタン／タブ７１０を選択することによって生成されるインシデントフォーカス表示である。しかしながら、レコードは、また、問題フォーカス、セキュリティインシデントフォーカスまたは脆弱なアイテムフォーカスで表示されることもできる。

図８は、それらを簡略化するか、または、特定の態様／特徴に焦点を当てるために、表示されたレコードに対して適用されることができるフィルタ８００を図示するスクリーンショットの一実施例である。名前８１０は、フィルタに対して提供されることができ、その後、保存されたり、ロードされたり（８２０）することができるようにする。ユーザは、表示されるべき関係に対して、レベル数８３０を規定することができ、ＣＩは、深度（メインＣＩからディスプレイまでの“ジャンプ”数または“ホップ”距離）８４０、種類８５０、位置８６０、製造者８７０および関係の種類８８０によってフィルタ処理されることができる。これらのフィルタは、いくつの情報がＣＩマップに引き込まれるかを制御するために用いられてもよい。前述されたように、深度は、表示するためには中央のＣＩからいくつのリンクがあるかを提供する。種類は、構成要素の種類によって（例えば、サーバを選択することができるが、ラップトップやルータは選択することができない）、または、ロードバランサ、アプリケーションサーバ、データベースなどによって、フィルタ処理することを可能にする。フィルタは、複数の種類の選択を可能とし、ネットワークコンポーネントなどの望ましくない構成要素をフィルタで除去するために使用されることができる。関係の種類は、いかにして二つのアイテムが関連しているか、例えば、一方は他方に利用される、一方は他方に対するデータベースである、一方は他方によって要求される、一方は任意で使用される、一方は他方によって管理されるなど、を示す。プラットフォームは、複数の種類の関係を表示するのをサポートする。“利用する：利用される”という関係は、ＣＩが別のＣＩを利用するか、または別のＣＩによって利用されるということを示す（その関係には方向性がある）。“仮想化する：仮想化される”などの関係は、ＣＩが仮想ＣＩであって、それをホストするために用いられる物理的なＣＩにそれを接続するということを示す。“電力を供給する：電力を供給される”などの関係は、ＣＩに対する電源を示す。フィルタ８８０は、表示する関係の種類を選択するために使用され、それらに対して関連する関係の種類にのみユーザが焦点を当てることを可能とする。

上記のツールを利用する脆弱性管理者は、ＣＭＤＢおよびソフトウェア発見ツールからの企業のネットワーク利用システム情報内で見いだされる脆弱性の処理および優先順位付け、ならびに、セキュリティインシデント応答にリンクされた問題の追跡、変更要求および問題を介した解決の管理の改善を提供することができる。

上記で議論されたように、脆弱性スキャナおよび脆弱なソフトウェアリストがシステム内の既知のすべての脆弱性についての情報を提供するとしても、それらは、脆弱性の優先順位をつける解決法では効果的ではなく、組織内の影響を適切に判断する能力が欠如している。さらに、それらは、脆弱性がエクスプロイトされる場合、セキュリティインシデント応答チームと協力するための効果的な手段を有していない。

ＣＭＤＢおよびセキュリティインシデント応答アプリケーションと深い統合を有する脆弱性管理プリケーションの提供は、セキュリティインシデントを優先順位付けして解決するのに大いに役立つことができる。これらのシステムを統合することによって、脆弱性管理者は、重要なビジネスシステムまたはインフラストラクチャに影響を与えるかもしれない脆弱性を対象とすることができ、または、脆弱性によって影響を最も受けるユーザを考慮することができる。統合は、また、セキュリティインシデント応答チームに対して脆弱性を段階的に拡大する性能をも提供し、脆弱性応答が、適切な変更または問題管理ワークフローを経ることを確実にする。

脆弱性が脆弱性スキャナによって見つかると、一部のハードウェア上のソフトウェアの浅い見識を提供する代わりに、ＣＭＤＢの統合で上記ツールは、脆弱性の潜在的な影響を解析するために意義深い状態を提供する。ＣＩは、このＣＩに依存するビジネスサービスおよび他のハードウェアなど有益なデータを提供し、脆弱性の修復を支援するための連絡先情報（例えば、ユーザ、管理者などのための連絡先情報）も提供する。ビジネスサービス管理マップ６００は、構成アイテムおよびその接続の可視表現を提供し、他の脆弱性とともに、他の接続されたサーバに対する脆弱性も図示する性能を提供する。これは、脆弱性の影響を評価し、解決に必要な対策を講じるためのクイックビューを提供する。

セキュリティインシデントが脆弱性を有するシステムで起こると、脆弱性は、セキュリティインシデントディスプレイから容易に見ることができ、それによって、脆弱性管理者に表示を提供し、特定の脆弱性が問題を引き起こしていることを知らせるとともに、そのインシデントに対する考えられる原因および解決策をセキュリティ分析者に提供する。同様に、脆弱性がセキュリティインシデントとして扱われるべき場合、例えば、脆弱性がすでにエクスプロイトされたかもしれない場合など、脆弱性発見者／レビュー担当者は、マウスのクリックなどの単一の動作でセキュリティインシデントを生成することができ、それによって、セキュリティインシデント応答チームによる即座の調査を可能とする。不可欠なサーバに対して、変更要求は、承認、通知および更新が無事に完了した検証とともに、サーバを更新するための管理されたプロセスを提供する。問題インシデントを生成することは、それほど不可欠ではないシステムに対してより簡便なアップグレードパスを提供する。

図９Ａおよび図９Ｂは、脆弱なアイテムディスプレイ／フォーム９００の一部であるが、ボタン上のマウスのクリックなどのユーザの単一の動作が如何にして、特定のＣＩ９２０に対して、変更９０５、問題（インシデント）９１０、または、セキュリティインシデント９１５を生成することができるかを図示する。図９Ａに図示されるように、ＣＩは、ロードバランサ６３０である。影響を受けたサービスタブ９５０を選択することによって、影響を受けた様々なＳＡＰサーバ６２０のリスト９６０を提供する。ビジネスサービス管理マップ６００は、また、脆弱な構成アイテムをハイライト表示させて表示されてもよく、この機能停止しているサーバの考えられる影響が視覚的に見えるのとともに、他の関連する脆弱性、インシデントおよび問題が見えるような迅速な性能を実現する。

脆弱性リストビューから問題、変更またはセキュリティインシデントを生成すると、脆弱性分析者は、全ての構成アイテムが影響を受けたＣＩとして補足されることを確実にすることができる。図９Ａおよび図９Ｂは、メインフォームから問題、変更およびセキュリティインシデントを生成することの容易性と、構成アイテムの詳細を入れ込むとともに、影響を受けた構成アイテムのために影響を受けたサービスを見るための性能を図示する。

図１０は、選択されたＣＩに関連付けられた、さらなるレコードを図示するスクリーンショットの一実施例であって、ビジネスサービス管理マップ６００で表示されることができる図７に図示されるものと類似しているが、この場合には、表示されるべき脆弱なアイテム７２０の選択が行われる。

本明細書に記述された本発明の実施例のうちのすべてまたはその一部は、実行されると、本明細書に記述されたそれぞれの技術、アルゴリズムおよび／または命令のうちの任意のものを実行するコンピュータプログラムを有する汎用コンピュータ／プロセッサを用いて実装されることができる。追加的または代替的に、例えば、本明細書に記述された技術、アルゴリズムまたは命令のうちの任意のものを実行するために、専用ハードウェアを含むことができる専用コンピュータ／プロセッサが、用いられることができる。

本明細書に記述されたようなコンピューティングデバイス（ならびに、そこに格納される、および／またはそれによって実行されるアルゴリズム、方法、命令など）の実施例は、ハードウェア、ソフトウェア、またはその任意の組み合わせによって実現されることができる。ハードウェアは、例えば、コンピュータ、知的財産（ＩＰ）コア、特定用途向け集積回路（ＡＳＩＣ）、プログラマブル論理アレイ、光プロセッサ、プログラマブル論理コントローラ、マイクロコード、マイクロコントローラ、サーバ、マイクロプロセッサ、デジタル信号プロセッサまたは、任意の他の適切な回路を含むことができる。請求項においては、“プロセッサ（ｐｒｏｃｅｓｓｏｒ）”という用語は、前述のハードウェアのうちの任意のものを、単一または組み合わせのいずれかで包含するものとして理解されるべきである。

例えば、一つ以上のコンピューティングデバイスは、ＡＳＩＣまたは専用プロセッサとして構成されるフィールドプログラマブルゲートアレイ（ＦＰＧＡ）などのプログラマブル論理アレイを含むことができ、本明細書に記述されるか、または特許請求の範囲で請求される動作のうちの一つ以上を実施する。例示的なＦＰＧＡは、個々に構成される、および／または、構成可能なように相互接続されることができる論理ブロックとランダムアクセスメモリ（ＲＡＭ）ブロックとの集合を含むことができ、ある機能をＦＰＧＡに実施させる。あるＦＰＧＡは、他の汎用または専用ブロックを同様に含んでもよい。例示的なＦＰＧＡは、ＶＨＳＩＣハードウェア記述言語またはヴェリログ（Ｖｅｒｉｌｏｇ）などのハードウェア定義言語（ＨＤＬ）設計に基づいてプログラムされることができる。

本明細書の実施形態は、機能的ブロックコンポーネントおよび様々な処理ステップの点から記述されてもよい。このような機能的ブロックは、指定された機能を実施する任意の数のハードウェアおよび／またはソフトウェアコンポーネントによって実現されてもよい。例えば、記述された実施形態は、様々な集積回路コンポーネント、例えば、メモリ素子、プロセシング素子、論理素子、ルックアップテーブルなどを使用してもよく、一つ以上のマイクロプロセッサまたは他の制御デバイスの制御の下で様々な機能を実行してもよい。同様に、記述された実施形態の構成要素がソフトウェアプログラミングまたはソフトウェア構成要素を用いて実装される場合、本発明は、データ構造、オブジェクト、プロセス、ルーティンまたは他のプログラミング要素の任意の組み合わせで実装される様々なアルゴリズムで、Ｃ、Ｃ＋＋、Ｊａｖａ、アセンブラなどの任意のプログラミングまたはスクリプト言語で、実装されてもよい。機能的実装は、一つ以上のプロセッサで実行するアルゴリズムで実装されてもよい。さらに、本発明の実施形態は、電子工学的構造、信号処理および／または制御、データ処理などの任意の数の従来技術を使用することができる。“メカニズム（ｍｅｃｈａｎｉｓｍ）”および“構成要素（ｅｌｅｍｅｎｔ）”という用語は、広い意味で用いられるものであって、機械的または物理的実施形態に限定されるべきではなく、プロセッサと併用されるソフトウェアルーティンなどを含むことができる。

上記の開示の実施例または実施例の一部は、例えば、コンピュータ使用可能またはコンピュータ読み取り可能（可読）な媒体からアクセスすることが可能なコンピュータプログラム製品の形態をとることができる。コンピュータ使用可能またはコンピュータ読み取り可能な媒体は、例えば、任意のプロセッサによって使用するため、または任意のプロセッサと組み合わせて使用するためにプログラムまたはデータ構造を有形に含むか、格納するか、通信するか、または伝送することができる任意のデバイスとすることができる。その媒体は、例えば、電子、磁気、光学、電磁気または半導体デバイスとすることができる。他の適切な媒体もまた使用可能である。このようなコンピュータ使用可能またはコンピュータ読み取り可能な媒体は、非一時的メモリまたは媒体と呼ばれることがあり、ＲＡＭまたは他の揮発性メモリ、または時間の経過とともに変化するかもしれない記憶デバイスを含んでもよい。本明細書に記述される装置のメモリは、特に指定されない限りは、その装置によって物理的に含まれる必要はなく、装置によって遠隔からアクセスされることができるものであって、装置によって物理的に含まれ得る他のメモリと隣接する必要はない。

本明細書で用いられる“例（ｅｘａｍｐｌｅ）”という用語は、一例、例、または例示として機能することを意味するためのものである。“例”として本明細書で記述される任意の実施例または設計は、他の実施例または設計に対して、必ずしも望ましいか、または有益であるものと解釈される必要はない。むしろ、“例”という用語の使用は、具体的な様式で概念を提示することを意図するものである。本明細書で使用されるように、“または（ｏｒ）”という用語は、排他的“ｏｒ”ではなく、包括的“ｏｒ”を意味することを意図される。すなわち、特に指定されない限り、または文脈から明確でない限りは、“Ｘは、ＡまたはＢを含む”とは、本質的に包括的な置換のうちの任意のものを意味することを意図される。換言すると、ＸはＡを含む；ＸはＢを含む；または、ＸはＡとＢとの双方を含む場合には、“Ｘは、ＡまたはＢを含む”が、前述の例のうちの任意の例の下で満足される。さらに、本明細書および添付の請求項において用いられるような冠詞“ａ”および“ａｎ”は、特に指定されない限り、または文脈から単数形に指定されることが明確でない限りは、“一つ以上（ｏｎｅ ｏｒ ｍｏｒｅ）”を意味すると概して解釈されるべきである。さらに、“ある実施例（ａｎ ｉｍｐｌｅｍｅｎｔａｔｉｏｎ）”または“一実施例（ｏｎｅ ｉｍｐｌｅｍｅｎｔａｔｉｏｎ）”という用語の使用は、本明細書を通じて、そのように記述されない限りは、同一の実施形態または実施例を意味することを意図するものではない。

本明細書で図示され、記述された特定の実施例は、本発明の例示であって、いかなる方法でも本発明の範囲を限定することを意図するものではない。簡潔性のために、従来の電子機器、制御システム、ソフトウェア開発およびシステムの他の機能的実施例（およびシステムの個々の動作コンポーネントのコンポーネント）は、詳細には記述されない可能性がある。さらに、様々な提示された図面に図示された接続線またはコネクタは、様々な構成要素の間の例示的な機能的関係および／または物理的もしくは論理的結合を表すことを意図される。多くの代替的または追加的な機能的関係、物理的接続もしくは論理的接続が、実際のデバイスにおいて存在してもよい。さらに、その構成要素が“不可欠（ｅｓｓｅｎｔｉａｌ）”または“重大（ｃｒｉｔｉｃａｌ）”であると特に記述されない限りは、本発明の実現に対していかなるアイテムまたはコンポーネントも不可欠なものではない。

本明細書における“含む（ｉｎｃｌｕｄｉｎｇ）”、“含む”または“有する（ｈａｖｉｎｇ）”およびその変形の使用は、さらなるアイテムとともに、その後に記載されたアイテムおよびその均等物を包含することが意味される。特に指定または限定されない限りは、“取り付けられた（ｍｏｕｎｔｅｄ）”、“接続された（ｃｏｎｎｅｃｔｅｄ）”、“支持された（ｓｕｐｐｏｒｔｅｄ）”、および“結合された（ｃｏｕｐｌｅｄ）”という用語ならびにその変形は、広い意味で用いられ、直接的と、間接的との双方の取り付け、接続、支持および結合を包含するものである。さらに、“接続された”および“結合された”とは、物理的または機械的接続または結合に限定されることはない。

本発明を記述する文脈（特に以下の請求項の文脈）において、“ａ”および“ａｎ”および“ｔｈｅ”という用語ならびに類似の指示物の使用は、単数形と複数形との双方を包含するものとして解釈されるべきである。さらに、本明細書における値の範囲の記述は、その範囲内のある個別の各値を個々に参照する簡便な方法として機能することを単に意図するものであって、本明細書に特に示されない限りは、個別の各値は、本明細書で個々に記述されるように、本明細書に組み入れられる。最後に、本明細書に記述されたすべての方法のステップは、本明細書に特に示されない限り、または文脈によって明確に否定されない限りは、任意の適切な順序で実施することが可能である。本明細書に提供された任意およびすべての例、または例示的な語句（例えば、“など（ｓｕｃｈ ａｓ）”）の使用は、本発明をより明らかにすることを単に意図するものであって、他に請求されない限りは、本発明の範囲を限定するものではない。

出版物、特許出願および特許を含む本明細書に記述されたすべての参照は、各参照が個々にかつ具体的に参照によって組み入れられるように示されるように、また、その全体が本明細書に説明されるように、同程度で参照によって組み入れられる。

上述された実施形態は、本発明の容易な理解を可能とするために記述されてきたものであり、本発明を限定することはない。それとは逆に、本発明は、添付された請求項の範囲内に含まれる様々な改変および均等な配置を包含することを意図され、その範囲は、このような改変および均等な構造をすべて包含するために、法の下で許容される最も広い解釈と一致するべきである。

図２は、図１に図示されたようなコンピューティングシステム１００のクライアント１１２またはサーバ１２２などのコンピューティングデバイス２００の例示的な内部構成のブロック図であって、コンピューティングシステムのインフラストラクチャ制御サーバを含む。前述されたように、クライアント１１２またはサーバ１２２は、複数のコンピューティングユニットを含むコンピューティングシステムの形態、または、例えば、携帯電話、タブレットコンピュータ、ラップトップコンピュータ、ノートブックコンピュータ、デスクトップコンピュータ、サーバコンピュータなどの単一のコンピューティングユニットの形態をとることができる。

サービスマップ６００は、スクリーン上に表示されるＣＩレコード４００の傍らでボタン４８２をクリックすることによって開かれてもよい。ＣＩに対してセキュリティインシデントをリンクし、その後、相互に関連する情報のすべてに可視性を提供することによって、問題に対する、よりインテリジェントかつ迅速な解決とともに、例えば、キーサーバの改変に関連するリスクに対する多くの洞察を可能とする。

Claims (20)

1. ネットワーク化コンピュータシステムアーキテクチャにおけるセキュリティリスクを低減させるための装置であって、
   プロセッサと、
   ネットワークに接続される通信ポートを含むネットワークインタフェースと、
   前記プロセッサによってアクセス可能であって、前記プロセッサによって実行可能な命令を含むセキュリティリスクモジュールを含むメモリと、
   複数の構成アイテムレコードを含み、各構成アイテムレコードは、前記ネットワーク化コンピュータシステムを構成するコンポーネントに関連するデータを含み、前記プロセッサによってアクセス可能な構成管理データベースと、
   を含み、
   前記セキュリティリスクモジュールは、
   前記ネットワークインタフェースを介して、前記ネットワーク化コンピュータシステムのＣＩデバイスとして定義される物理デバイスに関連する構成アイテム（ＣＩ）データに対する攻撃ベクトルに関連付けられた脆弱性に関する外部脆弱性データを、前記ネットワーク化コンピュータシステムの外部にあるソースから受け取り、
   前記セキュリティコンピュータで、構成管理データベース（ＣＭＤＢ）にアクセスし、前記物理デバイスに関連する前記ＣＩデータを読み出し、
   前記セキュリティコンピュータのプロセッサを用いて、前記ＣＭＤＢを利用する前記ＣＩデバイスに関連付けられたトラストゾーンデータを決定し、
   前記外部脆弱性データと、前記ＣＩデバイスに関連付けられた前記トラストゾーンデータとを用いて、前記ＣＩデバイスに対する脆弱性計算を実施し、
   前記外部脆弱性データと、第二のＣＩデバイスに関連付けられた前記トラストゾーンデータとを用いて、前記第二のＣＩデバイスに対する第二の脆弱性計算を実施し、
   第二のＣＩデバイスに対する前記第二の脆弱性計算と、前記ＣＩデバイスに対する前記脆弱性計算とを比較し、
   前記比較に基づいて、前記ＣＩデバイス、または関連付けられた他のネットワークコンポーネントで行われる動作を優先順位付けする、
   命令を含む、
   装置。
2. 前記脆弱性計算は、前記ＣＩデバイスのユーザ、または前記ＣＩデバイスの位置に基づく、請求項１に記載の装置。
3. 前記メモリは、前記脆弱性計算用に用いられる、セキュリティインシデントレコード内に含まれる実行可能なスクリプト、一連のシーケンシャルに実行されるルール、またはデータをさらに含む、請求項１に記載の装置。
4. 前記ＣＭＤＢは、前記ＣＩデバイスと他のＣＩデバイスとの間の接続用に、相互接続データを含む、請求項１に記載の装置。
5. 前記トラストゾーンデータは、ルータまたは他の境界防御コンポーネント用のデータを含む、請求項１に記載の装置。
6. 前記トラストゾーンは、前記ＣＩデバイスに関連付けられた他のネットワークコンポーネントによって定義される、請求項１に記載の装置。
7. 前記外部脆弱性データは、Ｎａｔｉｏｎａｌ Ｉｎｓｔｉｔｕｔｅ ｏｆ Ｓｔａｎｄａｒｄｓ ａｎｄ Ｔｅｃｈｎｏｌｏｇｙ Ｎａｔｉｏｎａｌ Ｖｕｌｎｅｒａｂｉｌｉｔｙ Ｄａｔａｂａｓｅデータ、またはサードパーティ脆弱性データを含む、請求項１に記載の装置。
8. ネットワーク化コンピュータシステムアーキテクチャにおけるセキュリティリスクを低減させるための方法であって、
   セキュリティコンピュータのネットワークインタフェースを介して、前記ネットワーク化コンピュータシステムのＣＩデバイスとして定義される物理デバイスに関連する構成アイテム（ＣＩ）データに対する攻撃ベクトルに関連付けられた脆弱性に関する外部脆弱性データを、前記ネットワーク化コンピュータシステムの外部にあるソースから受信することと、
   前記セキュリティコンピュータで、構成管理データベース（ＣＭＤＢ）にアクセスし、前記物理デバイスに関連する前記ＣＩデータを読み出すことと、
   前記セキュリティコンピュータのプロセッサを用いて、前記ＣＭＤＢを利用する前記ＣＩデバイスに関連付けられたトラストゾーンデータを決定することと、
   前記外部脆弱性データと、前記ＣＩデバイスに関連付けられた前記トラストゾーンデータとを用いて、前記ＣＩデバイスに対する脆弱性計算を実施することと、
   前記外部脆弱性データと、第二のＣＩデバイスに関連付けられた前記トラストゾーンデータとを用いて、前記第二のＣＩデバイスに対する第二の脆弱性計算を実施することと、
   前記第二のＣＩデバイスに対する前記第二の脆弱性計算と、前記ＣＩデバイスに対する前記脆弱性計算と、を比較することと、
   前記比較に基づいて、前記ＣＩデバイス、または関連付けられた他のネットワークコンポーネントで行われる動作を優先順位付けすることと、
   を含む方法。
9. 前記脆弱性計算は、前記ＣＩデバイスのカテゴリに基づく、請求項８に記載の方法。
10. 前記カテゴリは、前記ＣＩデバイスのユーザである、請求項９に記載の方法。
11. 前記カテゴリは、前記ＣＩデバイスの位置である、請求項９に記載の方法。
12. 前記脆弱性計算は、実行可能なスクリプトに基づく、請求項８に記載の方法。
13. 前記脆弱性計算は、一連のシーケンシャルに実行されるルールに基づく、請求項８に記載の方法。
14. 前記脆弱性計算は、セキュリティインシデントレコード内に含まれるデータに基づく、請求項８に記載の方法。
15. 前記ＣＭＤＢは、前記ＣＩデバイスと他のＣＩデバイスとの間の接続用の相互接続データを含む、請求項８に記載の方法。
16. 前記トラストゾーンデータは、ルータまたは他の境界防御コンポーネント用のデータを含む、請求項８に記載の方法。
17. 前記トラストゾーンは、前記ＣＩデバイスに関連付けられた前記他のネットワークコンポーネントによって定義される、請求項８に記載の方法。
18. 前記外部脆弱性データは、Ｎａｔｉｏｎａｌ Ｉｎｓｔｉｔｕｔｅ ｏｆ Ｓｔａｎｄａｒｄｓ ａｎｄ Ｔｅｃｈｎｏｌｏｇｙ Ｎａｔｉｏｎａｌ Ｖｕｌｎｅｒａｂｉｌｉｔｙ Ｄａｔａｂａｓｅデータ、またはサードパーティ脆弱性データを含む、請求項８に記載の方法。
19. 前記第二のＣＩデバイス、または、その関連付けられた他のネットワークコンポーネントに対して動作を行う前に、前記ＣＩデバイス、または、その関連付けられた他のネットワークコンポーネントに対して、動作を行うことであって、それによって、前記ネットワーク化コンピュータシステム内の前記ＣＩデバイスのセキュリティリスクを効果的に低減させることをさらに含む、請求項８に記載の方法。
20. 非一時的コンピュータ可読記憶媒体であって、プロセッサによって実行されるとき、ネットワーク化コンピュータシステムアーキテクチャにおけるセキュリティリスクを低減させるための動作の実施を容易にする実行可能な命令を含み、前記動作は、
    セキュリティコンピュータのネットワークインタフェースを介して、前記ネットワーク化コンピュータシステムのＣＩデバイスとして定義される物理デバイスに関連する構成アイテム（ＣＩ）データに対する攻撃ベクトルに関連付けられた脆弱性に関する外部脆弱性データを、前記ネットワーク化コンピュータシステムの外部にあるソースから受信することと、
    前記セキュリティコンピュータで、構成管理データベース（ＣＭＤＢ）にアクセスし、前記物理デバイスに関連する前記ＣＩデータを読み出すことと、
    前記セキュリティコンピュータのプロセッサを用いて、前記ＣＭＤＢを利用する前記ＣＩデバイスに関連付けられたトラストゾーンデータを決定することと、
    前記外部脆弱性データと、前記ＣＩデバイスに関連付けられた前記トラストゾーンデータとを用いて、前記ＣＩデバイスに対する脆弱性計算を実施することと、
    前記外部脆弱性データと、第二のＣＩデバイスに関連付けられた前記トラストゾーンデータとを用いて、前記第二のＣＩデバイスに対して第二の脆弱性計算を実施することと、
    前記第二のＣＩデバイスに対する前記第二の脆弱性計算と、前記ＣＩデバイスに対する前記脆弱性計算と、を比較することと、
    前記比較に基づいて、前記ＣＩデバイス、または関連付けられた他のネットワークコンポーネントで行われる動作を優先順位付けすることと、
    を含む、
    非一時的コンピュータ可読記憶媒体。