JP2020113090A

JP2020113090A - 脆弱性影響評価システム

Info

Publication number: JP2020113090A
Application number: JP2019004023A
Authority: JP
Inventors: 健太深見; Kenta Fukami; 光伸吉永; Mitsunobu Yoshinaga
Original assignee: Mitsubishi Electric Corp
Current assignee: Mitsubishi Electric Corp
Priority date: 2019-01-15
Filing date: 2019-01-15
Publication date: 2020-07-27
Also published as: US11487882B2; US20200226266A1

Abstract

【課題】脆弱性影響の評価を適時に実施することができる脆弱性影響評価システムを得ることを目的とする。【解決手段】脆弱性影響評価システム１００は、脆弱性情報を格納する脆弱性情報格納部１０１と、脆弱性情報格納部１０１から最新の脆弱性情報を収集する脆弱性情報収集部１０２と、評価対象のシステムのシステム定義情報と脆弱性情報を比較して、評価対象のシステムと脆弱性との関連の有無を判定するシステム関連判定部１１０と、脆弱性影響度算出情報に基づいて、評価対象のシステムと関連がある脆弱性の脆弱性影響度を算出する脆弱性影響度算出部１１１と、脆弱性影響度に基づいて評価対象のシステムの脆弱性レベルの判定を行う脆弱性影響度判定部１１２と、脆弱性影響度判定部１１２による判定の結果を出力する評価結果出力部１１３とを備えた。【選択図】図１

Description

本願は、脆弱性影響評価システムに関するものである。

複数のハードウェア製品およびソフトウェア製品を含むコンピュータシステムは、情報システムまたは制御システムなど、様々な分野で導入されている。このようなコンピュータシステムを安定的に稼働させるためには様々なセキュリティリスクに対応する必要があり、それぞれのセキュリティリスクに対応するためにはセキュリティリスクを構成する脅威および脆弱性を適切に評価する必要がある。また、脆弱性評価の結果から脆弱性の存在が予想される製品に対しては、修正パッチの適用などの脆弱性対策を実施する必要がある。
従来、セキュリティ上の脅威を評価する装置として、リスク評価に依存する情報と依存しない情報をデータとして予め保持し、このデータに基づいて脅威の抽出および脅威の大きさの算出を実施するものが提案されている（例えば、特許文献１参照）。
また、セキュリティ強度の劣化レベルをシステムの監視項目毎に求め、劣化レベルが取得されたシステムを構成する製品に対応する脆弱性情報を収集して、脆弱性の影響度と劣化レベルに基づいて脆弱性対応優先度を求めるものがある（例えば、特許文献２参照）。

特開２０１５−４１１６７号公報特開２０１０−８６３１１号公報

しかしながら、特許文献１のものでは、予め保持するデータに基づいてセキュリティ上の脅威の抽出および脅威の大きさの算出を実施している。このため、同様の手法により脆弱性影響の評価を行う場合、脆弱性情報の追加および更新が随時行われる中で適時に脆弱性影響の評価を行い、最新の脆弱性情報に基づいてリスク評価を行うことが困難である。
また、特許文献２のものでは、セキュリティ強度の劣化レベルが取得されたシステムについて脆弱性対応優先度を求めるため、脆弱性によるセキュリティ強度の劣化が起こる前に脆弱性影響の評価を行うことは困難である。セキュリティ強度の劣化が観測される状況は、既に何らかの脅威が発生している可能性もあり、より早いタイミングでの脆弱性影響評価が求められる。
本願は、上記のような問題点を解決するための技術を開示するものであり、脆弱性影響の評価を適時に実施することができる脆弱性影響評価システムを得ることを目的とする。

本願に開示される脆弱性影響評価システムは、脆弱性が影響を与える対象である脆弱性対象を示す情報および脆弱性の脆弱性深刻度を示す情報を含む脆弱性情報を格納する脆弱性情報格納部と、脆弱性情報格納部から最新の脆弱性情報を収集する脆弱性情報収集部と、評価対象の構成情報と脆弱性情報を比較して、評価対象が脆弱性対象を含むか否かに基づいて評価対象と脆弱性との関連の有無を判定し、評価対象と関連があると判定した脆弱性を関連脆弱性として検出する関連判定部と、関連脆弱性の脆弱性深刻度、および関連脆弱性に係る脅威と関連脆弱性との関連度に基づいて、関連脆弱性の脆弱性影響度を算出する脆弱性影響度算出部と、脆弱性影響度に基づいて評価対象の脆弱性レベルの判定を行う脆弱性影響度判定部と、脆弱性影響度判定部による判定の結果を出力する出力部とを備えたものである。

本願に開示される脆弱性影響評価システムによれば、脆弱性影響の評価を適時に実施することができる。

実施の形態１における脆弱性影響評価システムの構成を示す機能ブロック図である。実施の形態１における脆弱性影響評価システムを示すハードウェア構成図である。実施の形態１に係る脆弱性情報の例を示す図である。実施の形態１に係る脆弱性情報の他の例を示す図である。実施の形態１に係るシステム定義情報の例を示す図である。実施の形態１に係るリスク評価情報の例を示す図である。実施の形態１に係る資産重要度定義情報の例を示す図である。実施の形態１に係る脅威レベル定義情報の例を示す図である。実施の形態１に係る脆弱性レベル定義情報の例を示す図である。実施の形態１に係るリスク値定義情報の例を示す図である。実施の形態１に係る脆弱性影響度算出情報の例を示す図である。実施の形態１に係る脆弱性影響度判定情報の例を示す図である。実施の形態１における脆弱性影響評価システムの動作を示すフロー図である。実施の形態１に係る脆弱性影響度の算出結果を示す図である。脆弱性レベル更新後のリスク評価情報の例を示す図である。実施の形態１に係る評価結果の例を示す図である。実施の形態２における脆弱性影響評価システムの構成を示す機能ブロック図である。実施の形態３における脆弱性影響評価システムの構成を示す機能ブロック図である。実施の形態３に係る脆弱性情報の例を示す図である。実施の形態３に係る評価結果の出力例を示す図である。

実施の形態１．
以下に、実施の形態１を図１から図１５に基づいて説明する。図１は、実施の形態１における脆弱性影響評価システムの構成を示す機能ブロック図である。脆弱性影響評価システム１００は、セキュリティに関する最新の脆弱性情報を格納する脆弱性情報格納部１０１と、脆弱性情報格納部１０１から脆弱性情報を収集する１０２と、評価対象のシステムにおける特定の脆弱性の影響の大きさを脆弱性影響度として評価する脆弱性影響評価部１０９を備えている。脆弱性影響評価部１０９は、評価対象のシステムと特定の脆弱性の関連の有無を判定するシステム関連判定部１１０、特定の脆弱性が評価対象のシステムに与える影響の大きさを示す脆弱性影響度を算出する脆弱性影響度算出部１１１、および評価対象のシステムが持つ脆弱性の脆弱性レベルを判定する脆弱性影響度判定部１１２と、脆弱性影響評価部１０９による評価結果を出力する評価結果出力部１１３を備えている。

また脆弱性影響評価システム１００は、脆弱性情報収集部１０２が収集した脆弱性情報を解析し、脆弱性評価に必要な情報を脆弱性影響評価部１０９のシステム関連判定部１１０に送信する脆弱性情報解析部１０３、システム定義情報格納部１０４から評価対象のシステムのシステム定義情報を取得し、取得したシステム定義情報を解析することにより評価対象のシステムの脆弱性評価に必要な情報を抽出してシステム関連判定部１１０に送信するシステム情報解析部１０５、脆弱性影響度の算出に必要な情報である脆弱性影響度算出情報を格納する脆弱性影響度算出情報格納部１０７、および脆弱性レベルの判定に必要な情報である脆弱性影響度判定情報を格納する脆弱性影響度判定情報格納部１０８を備えている。

図２は、実施の形態１における脆弱性影響評価システムを示すハードウェア構成図であり、上記の各機能部は、図２に示す各ハードウェアにより実現される。図に示すように、脆弱性影響評価システム１００は、演算処理装置としてのプロセッサ１９１、主記憶装置としてのメモリ１９２、補助記憶装置としてのハードディスク１９３、ネットワークを介して外部の機器とデータの送受信を行う通信装置１９４、外部からの入力を受け付ける入力装置１９５、および脆弱性影響の評価結果などを外部に出力する出力装置１９６をシステムバス１９７により接続することで構成されたものである。

プロセッサ１９１は、例えばＣＰＵ（ＣｅｎｔｒａｌＰｒｏｃｅｓｓｓｉｎｇＵｎｉｔ）であり、メモリ１９２またはハードディスク１９３に記憶されたプログラムを実行することで各種の演算および処理を行い、得られた結果をメモリ１９２またはハードディスク１９３に格納する。通信装置１９４は、インターネットなどの通信ネットワークを介して脆弱性情報格納サーバ１９８から最新の脆弱性情報を収集する。収集された脆弱性情報は、メモリ１９２またはハードディスク１９３に格納される。脆弱性情報格納サーバ１９８としては、例えばＪＶＮ（ＪａｐａｎＶｕｌｎｅｒａｂｉｌｉｔｙＮｏｔｅｓ）など、最新の脆弱性情報が随時追加更新されるサイトのデータベースサーバを用いることができる。図２の例は、脆弱性情報格納部１０１の実現手段として外部のデータベースサーバを用いる場合の例であるが、メールまたはテキスト形式の脆弱性情報を格納する内部の記憶装置を脆弱性情報格納部１０１の実現手段としてもよい。入力装置１９５は、例えばキーボード、マウス、タッチパネルなどである。出力装置１９６は、例えば液晶ディスプレイなどの表示装置、または印刷装置などである。
なお、図２に示したハードウェア構成は一例であり、これに限られるものではない。例えば、プロセッサ１９１、メモリ１９２、およびハードディスク１９３をそれぞれ複数備え、それぞれ複数のプロセッサ１９１、メモリ１９２、およびハードディスク１９３が連携して上記機能を実現する構成としてもよい。

脆弱性情報格納部１０１は、定期的に新たな脆弱性情報が追加で格納されるとともに、格納済みの脆弱性情報に変化があれば更新を行うことで最新の脆弱性情報を保持する。脆弱性情報格納部１０１は、脆弱性情報の追加または更新があった場合、脆弱性情報更新通知Ｎを脆弱性情報収集部１０２に送信する。なお、実施の形態１における「脆弱性情報」は、例えば図３Ａおよび図３Ｂに示す脆弱性情報８１０Ａ、８１０Ｂのように複数の要素から構成されるものであり、識別子としての脆弱性ＩＤを示す脆弱性識別情報８１１、脆弱性の影響を受ける可能性がある製品を示す脆弱性関連製品情報８１２、脆弱性関連製品情報８１２が示す製品において、脆弱性の影響を受けるバージョンを示す脆弱性関連バージョン情報８１３、脆弱性により想定される影響を示す脆弱性影響情報８１４、および脆弱性によるセキュリティ上の深刻度を示す脆弱性深刻度情報８１５を含むテキスト形式のデータである。脆弱性関連製品情報８１２および脆弱性関連バージョン情報８１３は、その脆弱性が影響を与える対象、すなわち脆弱性対象を示す情報である。なお、上記した深刻度を評価する手法としては、ＣＶＳＳ（ＣｏｍｍｏｎＶｕｌｎｅｒａｂｉｌｉｔｙＳｃｏｒｉｎｇＳｙｓｔｅｍ、共通脆弱性評価システム）を用いればよい。また、脆弱性情報のデータ形式は特に限られるものではなく、表形式またはデータベース形式であってもよい。

脆弱性情報収集部１０２は、脆弱性情報更新通知Ｎを受信すると脆弱性情報送信要求Ｒを脆弱性情報格納部１０１に送信し、脆弱性情報格納部１０１から最新の脆弱性情報を収集する。脆弱性情報収集部１０２は、収集した脆弱性情報を脆弱性情報解析部１０３に送信する。

脆弱性情報解析部１０３は、脆弱性情報収集部から受信した脆弱性情報を解析して脆弱性影響評価に必要な情報を抽出し、抽出した情報を脆弱性影響評価部１０９および脆弱性影響度判定部１１２に送信する。なお、上述したように脆弱性情報８１０Ａおよび脆弱性情報８１０Ｂのデータ形式はテキスト形式に限定されないため、脆弱性情報解析部１０３には、それぞれのデータ形式に対応する複数の脆弱性情報解析部が含まれる。

システム定義情報格納部１０４には、評価対象のシステムのシステム定義情報が格納されている。システム定義情報の例を図４に示す。システム定義情報９０１は、システム名、システムを構成する設備の設備名、各設備を構成するハードウェアおよびソフトウェアを示す構成内容、および各構成内容のバージョンを含む表形式のデータであり、評価対象のシステムを構成する各要素の情報を含む構成情報である。なお、システム定義情報のデータ形式は特に限られるものではなく、テキスト形式、図形式またはデータベース形式であってもよい。

システム情報解析部１０５は、システム定義情報格納部１０４からシステム定義情報を取得して解析し、システム定義情報の各要素、すなわちシステム名、設備名、構成内容、バージョンのそれぞれを抽出し、システム関連判定部１１０に送信する。なお、上述したようにシステム定義情報９０１のデータ形式は表形式に限定されないため、システム情報解析部１０５には、それぞれのデータ形式に対応する複数のシステム定義情報解析部が含まれる。

システム関連判定部１１０は、脆弱性情報解析部１０３から受信した解析済みの脆弱性情報とシステム情報解析部１０５から受信した解析済みのシステム定義情報を比較し、脆弱性情報と評価対象のシステムとの関連の有無を判定する。システム関連判定部１１０は、評価対象のシステムと関連があると判定した脆弱性を関連脆弱性とし、その脆弱性情報を脆弱性影響度算出部１１１に送信する。

リスク評価情報格納部１０６には、リスク評価に必要なリスク評価情報が格納されている。リスク評価情報の例を図５に示す。リスク評価情報９０２は、評価対象のシステムのシステム名、評価対象のシステムを構成する設備の設備名、各設備に危害を与える脅威の名称（脅威名）、各設備の資産としての重要性の度合い（資産重要度）、各脅威の発生可能性の度合い（脅威レベル）、関連する脅威に対して各設備が有する脆弱性の度合い（脆弱性レベル）、および各脅威によるセキュリティリスクの大きさの度合い（リスク値）を含む表形式のデータである。リスク評価情報９０２の具体的な内容は、ユーザが予め入力したものでもよいし、過去のリスク評価の結果でもよい。なお、リスク評価情報のデータ形式は特に限られるものではなく、テキスト形式またはデータベース形式であってもよい。

実施の形態１では、図６、図７および図８に示す例のように、「３」、「２」、「１」の３段階で資産重要度、脅威レベル、および脆弱性レベルが定義されている。資産重要度定義情報９０３Ａが示すとおり、資産重要度が大きい設備ほど危害を受けた場合の経済的損失または人的被害などが大きい。また、脅威レベル定義情報９０３Ｂが示すとおり、脅威レベルが大きい脅威ほどその脅威が発生する可能性が高い。また、脆弱性レベル定義情報９０３Ｃが示すとおり、脆弱性レベルが大きいほど、発生した脅威を設備が受け入れる可能性が高い。このように定義された資産重要度、脅威レベルおよび脆弱性レベルの組み合わせにより、リスク値が一意に決まる。リスク値は、図９に示すリスク値定義情報９０４のように、大きい方から順に「Ａ」から「Ｅ」の５段階で定義されている。

脆弱性影響度算出情報格納部１０７には、脆弱性影響の度合いである脆弱性影響度を算出するために必要な脆弱性影響度算出情報が格納されている。脆弱性影響度算出情報の例を図１０に示す。脆弱性影響度算出情報９０５は、脆弱性により想定される影響、その影響に係る脅威の脅威名、および脆弱性と脅威との関連の強さを示す「関連度」を含む表形式のデータである。「関連度」の具体的な値は、ユーザの事前評価により予め定められている。なお、脆弱性影響度算出情報のデータ形式は特に限られるものではなく、テキスト形式またはデータベース形式であってもよい。

脆弱性影響度算出部１１１は、脆弱性影響度算出情報格納部１０７から脆弱性影響度算出情報９０５を取得し、この脆弱性影響度算出情報９０５に基づいて脆弱性影響度を算出する。特定の脆弱性の脆弱性影響度を算出する際は、システム関連判定部１１０から関連脆弱性の脆弱性情報を取得し、関連脆弱性の深刻度と脆弱性影響度算出情報９０５の関連度から脆弱性影響度を算出する。実施の形態１では、脆弱性影響度を「深刻度と関連度の積」としている。脆弱性影響度は、脆弱性ごと脅威ごとに算出される。脆弱性影響度の算出後、脆弱性影響度算出部１１１は脆弱性影響度の算出結果を脆弱性影響度判定部１１２に送信する。また脆弱性影響度算出部１１１は、リスク評価情報格納部１０６から評価対象のシステムのリスク評価情報９０２を取得し、脆弱性影響度判定部１１２に送信する。

脆弱性影響度判定部１１２は、脆弱性影響度判定情報格納部１０８に格納された脆弱性影響度判定情報に基づいて、評価対象のシステムが有する脆弱性の脆弱性レベルを判定する。実施の形態１では既に脆弱性レベルの判定が１回以上行われていることを想定し、脆弱性レベルの変更の要否と変更量を判定することにより脆弱性レベルの判定を行う。脆弱性影響度判定情報の例を図１１に示す。脆弱性影響度判定情報９０６は、脆弱性影響度の値の範囲と、それぞれの範囲に対応する脆弱性レベルの変更内容との関連を定めたものである。脆弱性影響度判定部１１２は、脆弱性影響度算出部１１１から脆弱性影響度の算出結果を受信すると、脆弱性影響度判定情報９０６に基づいて脆弱性レベルの変更の要否および脆弱性レベルの変更量を判定する。また、脆弱性影響度判定部１１２は、リスク評価情報９０２を脆弱性影響度算出部１１１から受信し、脆弱性レベルの判定結果に応じてリスク評価情報９０２を更新する。リスク評価情報９０２の更新後、脆弱性影響度判定部１１２は、更新されたリスク評価情報を評価結果出力部１１３に送信する。なお、更新されたリスク評価情報をリスク評価情報格納部１０６に送信し、リスク評価情報格納部１０６に格納されているリスク評価情報を更新してもよい。
なお、脆弱性影響度判定情報９０６では脆弱性影響度の大きさのみで脆弱性レベルの変更の要否および変更量を判定する内容となっているが、現在の脆弱性レベルも考慮するようにしてもよい。例えば、現在の脆弱性レベルが「１」の場合と「２」の場合とで、脆弱性レベルの変更の要否の閾値を異なるように設定してもよい。

評価結果出力部１１３は、脆弱性影響度判定部１１２からリスク評価情報を受信し、受信したリスク評価情報の内容を出力装置１９６またはハードディスク１９３などの記憶装置に出力する。

次に、動作について説明する。図１２は、実施の形態１における脆弱性影響評価システムの動作を示すフロー図である。なお、以降ではシステム定義情報９０１に記載のシステムＡを評価対象のシステムとし、脆弱性の具体例として脆弱性ＩＤ２０１７−００９１の脆弱性および脆弱性ＩＤ２０１７−００９２の脆弱性を用いて説明する。まず、脆弱性情報収集部１０２が脆弱性情報格納部１０１から最新の脆弱性情報を収集し（ステップＳＴ１０１）、脆弱性情報８１０Ａおよび脆弱性情報８１０Ｂを取得して、脆弱性情報解析部１０３に送信する。脆弱性情報解析部１０３は、脆弱性情報収集部１０２から受信した脆弱性情報８１０Ａ、８１０Ｂを解析し、脆弱性影響の評価に必要な情報を抽出する（ステップＳＴ１０２）。脆弱性情報解析部１０３は、解析済みの脆弱性情報８１０Ａ、８１０Ｂをシステム関連判定部１１０および脆弱性影響度判定部１１２に送信する。なお、上述したように脆弱性情報のデータ形式は特に限られておらず、脆弱性情報は種々のデータ形式をとりうるので、脆弱性情報解析部１０３は、受信した脆弱性情報のデータ形式の識別を最初に行い、識別されたデータ形式に応じた解析を行う。

次に、システム情報解析部１０５がシステム定義情報格納部１０４から評価対象のシステムのシステム定義情報９０１を取得し、取得したシステム定義情報９０１を解析して、脆弱性影響評価に必要なシステム構成の情報を抽出する（ステップＳＴ１０３）。システム情報解析部１０５は、解析済みのシステム定義情報９０１をシステム関連判定部１１０に送信する。なお、上述したようにシステム定義情報のデータ形式は特に限られておらず、種々のデータ形式をとりうるので、システム情報解析部１０５は、取得したシステム定義情報のデータ形式の識別を最初に行い、識別されたデータ形式に応じた解析を行う。また、実施の形態１では脆弱性情報解析部１０３による脆弱性情報８１０Ａ、８１０Ｂの解析の後にシステム情報解析部１０５によるシステム定義情報９０１の解析を行っているが、解析の順序は特に限られるものではなく、先にシステム定義情報９０１の解析を行ってもよいし、両方の解析を並行して行ってもよい。

脆弱性情報解析部１０３による脆弱性情報８１０Ａ、８１０Ｂの解析とシステム情報解析部１０５によるシステム定義情報９０１の解析の後、脆弱性影響評価部１０９により脆弱性影響度の評価が行われる。まず、システム関連判定部１１０は、システム情報解析部１０５から受信したシステム定義情報９０１および脆弱性情報解析部１０３から受信した脆弱性情報８１０Ａ、８１０Ｂを用いて、評価対象のシステムであるシステムＡと脆弱性情報８１０Ａ、８１０Ｂの脆弱性との関連の有無を判定する（ステップＳＴ１０４）。上述したように、システム関連判定部１１０による関連の有無の判定は、評価対象であるシステムＡが脆弱性情報８１０Ａ、８１０Ｂそれぞれの脆弱性対象を含むか否かに基づいて行われる。

システムＡと、脆弱性情報８１０Ａの脆弱性および脆弱性情報８１０Ｂの脆弱性との関連について説明する。脆弱性情報８１０Ａの脆弱性の脆弱性対象はバージョンが２．３より前のＸＸＸソフトウェアであり、システム定義情報９０１よりシステムＡはバージョンが２．２のＸＸＸソフトウェアを有する操作端末を含む。このように、システムＡは脆弱性情報８１０Ａの脆弱性の脆弱性対象を含むので、脆弱性情報８１０Ａの脆弱性はシステムＡと関連があると判定される。また、脆弱性情報８１０Ｂの脆弱性の脆弱性対象はバージョンが１０．１より前のＷＷＷオペレーティングシステムであり、システム定義情報９０１よりシステムＡを構成する操作端末のＷＷＷオペレーティングシステムのバージョンは１０．３である（これ以外のＷＷＷオペレーティングシステムはシステムＡにないとする）。このように、システムＡは脆弱性情報８１０Ｂの脆弱性の脆弱性対象を含まないので、脆弱性情報８１０Ｂの脆弱性はシステムＡと関連がないと判定される。このように評価対象と脆弱性との関連の有無を判定することで、システム関連判定部１１０は評価対象と関連がある脆弱性を関連脆弱性として検出する。判定後、システム関連判定部１１０は関連脆弱性の脆弱性情報である脆弱性情報８１０Ａを脆弱性影響度算出部１１１に送信する。

次に、脆弱性影響度算出部１１１は、脆弱性影響度算出情報９０５に基づいて評価対象のシステムへの脆弱性影響度を算出する（ステップＳＴ１０５）。脆弱性影響度算出部１１１は、システム関連判定部１１０から関連脆弱性の脆弱性情報８１０Ａを受信すると、脆弱性影響情報８１４の「想定される影響」を抽出し、脆弱性影響度算出情報９０５の「想定される影響」と比較する。脆弱性影響度算出部１１１は、脆弱性影響情報８１４と同じ「想定される影響」を検出すると、その「想定される影響」に対応する脅威および関連度をそれぞれ抽出し、脆弱性深刻度情報８１５の深刻度の値と関連度の値の積を計算して脆弱性影響度の値を算出する。

脆弱性情報８１０Ａに係る脆弱性影響度について具体的に説明する。脆弱性情報８１０Ａの脆弱性の「想定される影響」は「任意のコードの実行の可能性」であるので、関連する脅威は「プロセス不正実行」および「マルウェア感染」であり、関連度は「１．０」および「０．８」である。また、脆弱性情報８１０Ａの脆弱性の深刻度は「５．４」であるので「プロセス不正実行」および「マルウェア感染」に係る「脆弱性影響度」は、「５．４」および「４．３」となる。この具体例の脆弱性影響度算出結果を図１３に示す。脆弱性影響度算出部１１１は、脆弱性影響度算出結果９１１を脆弱性影響度判定部１１２に送信する。

次に、脆弱性影響度判定部１１２は、脆弱性影響度判定情報９０６に基づいて脆弱性レベルの変更の要否を判定し（ステップＳＴ１０６）、脆弱性レベルの変更が必要と判断した場合は脆弱性レベルの変更および評価対象のシステムのリスク評価を行う（ステップＳＴ１０７）。脆弱性影響度判定部１１２は、脆弱性影響度算出部１１１から脆弱性影響度算出結果９１１を受信すると、脆弱性影響度算出結果９１１に含まれる「脅威」およびこれに対応する「脆弱性影響度」の値を全て抽出し、それぞれの脆弱性影響度の値が脆弱性影響度判定情報９０６において定められ各範囲のいずれにあるかを識別する。また脆弱性影響度判定部１１２は、脆弱性影響度判定情報９０６によって対応付けられた「脆弱性影響度」の範囲と「脆弱性レベルとの関連」にしたがって、脆弱性レベルの変更の要否および変更量を判定する。脆弱性レベルの変更が必要と判定された場合、脆弱性影響度判定部１１２は脆弱性レベルの変更が必要と判定された脅威について「脆弱性レベルとの関連」に定められた変更量だけ脆弱性レベルを変更する。また、脆弱性レベルが変更された脅威については対応するリスク値も評価する。リスク値の評価は、資産重要度、脅威レベルおよび変更後の脆弱性レベルの組み合わせにより、リスク値定義情報９０４に基づいて決定される。
脆弱性レベルの変更が不要と判断された場合は、ステップＳＴ１０８の評価結果の出力に進む。

脆弱性影響度算出結果９１１に対する脆弱性影響度の判定について説明する。脆弱性影響度算出結果９１１では、脅威「プロセス不正実行」に係る脆弱性影響度の値は５．４、「マルウェア感染」に係る脆弱性影響度は４．３となっており、いずれも「４＜脆弱性影響度≦９」の範囲にあるので、「脆弱性レベルを１上げる」こととなる。このため、リスク評価情報９０２は図１４に示すリスク評価情報９０２１のように更新される。リスク評価情報９０２１では、更新により値が変わった項目を網掛けで表している。更新されたリスク評価情報９０２１において、システムＡの設備「操作端末」の脅威「プログラム不正実行」および脅威「マルウェア感染」に係る脆弱性の脆弱性レベルがそれぞれ「１」から「２」に増加し、この脆弱性レベルの変更に伴い、リスク値も「Ｂ」から「Ａ」に上がっている。脆弱性影響度判定部１１２は、更新されたリスク評価情報９０２１を評価結果出力部１１３に送信する。

次に、評価結果出力部１１３は、脆弱性影響度判定部１１２からリスク評価情報を受信し、受信したリスク評価情報を所定のフォーマットで出力する（ステップＳＴ１０８）。評価結果出力部１１３の出力例を図１５に示す。評価結果９１２は、リスク評価情報９０２１の内容を出力したものであり、脆弱性影響評価の対象となった脆弱性の脆弱性情報、評価対象のシステムにおけるリスクの有無、脆弱性対策の実施に関する情報、関連する脅威、およびその脅威によるリスク値の変化、すなわち脆弱性影響度判定部１１２による判定の結果に関する情報を含んでいる。

実施の形態１によれば、脆弱性影響の評価を適時に実施することができる。より具体的には、脆弱性が影響を与える対象である脆弱性対象を示す情報および脆弱性の脆弱性深刻度情報を含む脆弱性情報を格納する脆弱性情報格納部と、脆弱性格納部から最新の脆弱性情報を収集する脆弱性情報収集部を備え、脆弱性情報収集部によって収集される最新の脆弱性情報に基づいて脆弱性影響評価を実施する。また、システム関連判定部により、収集された脆弱性情報の脆弱性の中から、評価対象のシステムと関連がある脆弱性を関連脆弱性として検出する。検出された関連脆弱性については脆弱性影響度算出部により脆弱性影響度が算出され、脆弱性影響度の算出結果に基づき、脆弱性レベルの変更の要否の判定が行われる。これにより、評価対象のシステムと関連がある脆弱性について、最新の脆弱性情報に基づく脆弱性レベルの判定が行われるため、脆弱性影響の評価を適時かつ的確に実施することができる。また、脆弱性影響評価に要する人手と時間を削減することもできる。

また、脆弱性情報格納部は、脆弱性情報の追加または更新があったときに脆弱性情報更新通知を脆弱性情報収集部に送信し、脆弱性情報収集部は、脆弱性情報更新通知を受信したときに最新の脆弱性情報を脆弱性情報格納部から収集するので、脆弱性情報格納部における脆弱性情報の更新状況を適時に反映した脆弱性影響評価が可能となっている。このため、発電プラント等の制御システムなど、リアルタイムでの脆弱性情報の入手および迅速な脆弱性影響評価が特に求められるシステムにも対応可能である。また、脆弱性情報の更新があったときに脆弱性情報の収集を実施するので、既に収集済みの脆弱性情報を再度収集するような無駄が生じることを防ぎ、通信コストの増加を抑制することができる。

なお、脆弱性情報収集部による脆弱性情報の収集は、実施の形態１のようなものに限られない。例えば、定期的に最新の脆弱性情報の収集を実施することも考えられる。この場合、最新の更新状況の反映に若干のタイムラグが生じる可能性が生じるが、脆弱性情報更新通知を送信する機能を脆弱性情報格納部から省略することができる。

また、脆弱性影響評価を開始するタイミングで脆弱性情報の収集を実施することも考えられる。この場合、既に収集済みの脆弱性情報を再度収集してしまう可能性が生じるが、脆弱性情報更新通知を送信する機能を脆弱性情報格納部から省略することができるとともに、脆弱性影響評価開始時点の脆弱性情報の更新状況を反映した脆弱性影響評価が可能である。

また、実施の形態１の評価対象となるシステムの種類は特に限定されない。評価対象のシステムに応じたシステム定義情報およびシステム情報解析部を用いることにより、例えば情報システムまたは制御システムなど、様々な種類のシステムに実施の形態１を適用することができる。

また、実施の形態１では、脆弱性影響度評価のためのリスク評価の手法として、資産ベースの詳細リスク分析の手法を用いたが、リスク評価の手法はこれに限られるものではない。リスク評価の手法に応じた脆弱性影響度算出部および脆弱性影響度判定部を用いることにより、様々なリスク評価の手法で評価対象のシステムに係る脆弱性影響度を評価することができる。

また、実施の形態１における脆弱性影響度の評価ではリスク評価の手法を用いたが、リスク評価の手法に限らず、深層学習を含む機械学習などの人工知能を用いて脆弱性影響度を評価してもよい。

また、実施の形態１では脆弱性影響評価の評価対象の単位を「システム」としているが、「設備」または「構成内容」を評価対象の単位としてもよい。

実施の形態２．
以下に、実施の形態２を図１６に基づいて説明する。なお、図１から図１５と同一または相当部分については同一符号を付し、その説明を省略する。図１６は、実施の形態２における脆弱性影響評価システムの構成を示す機能ブロック図である。脆弱性影響評価システム２００は、評価対象のシステムの稼働状況に関する情報をシステム稼働情報として格納するシステム稼働情報格納部２１４を備え、脆弱性影響度の算出において脆弱性影響度算出部２１１がシステム稼働情報を用いる点が実施の形態１と異なる。システム稼働情報は、例えばシステムの動作ログ、ユーザからのアクセスログ、認証ログ、イベントログなどの各種ログである。これらのログは図示しないログ収集部によりリアルタイムで収集され、システム稼働情報格納部２１４に随時格納される。

脆弱性影響度算出部２１１は、脆弱性情報影響度を算出する際に、評価対象のシステムのシステム稼働情報をシステム稼働情報格納部２１４から取得し、評価対象のシステムの稼働状況に応じて脆弱性影響度算出情報９０５の「関連度」を補正する。例えば、システムの動作ログを解析してプロセス不正実行を検出した場合、脅威「プロセス不正実行」の関連度を増加するなどの補正処理を実施する。脆弱性影響度算出部２１１は、上記のようにして補正された脆弱性影響度算出情報９０５に基づいて関連脆弱性の脆弱性影響度を算出し、脆弱性影響度の算出結果を脆弱性影響度判定部１１２に送信する。
その他については実施の形態１と同様であるので、説明を省略する。

実施の形態２によれば、実施の形態１と同様の効果を得ることができる。
また、評価対象のシステムの稼働状況を反映した、より正確な脆弱性影響評価を実施することができる。より具体的には、評価対象のシステムのシステム稼働情報を格納するシステム稼働情報格納部を備え、脆弱性影響度を算出する際には、評価対象のシステムのシステム稼働状況に応じて脆弱性と脅威の関連度を補正することとした。これにより、算出される脆弱性影響度はシステム稼働状況が反映されたものとなり、脆弱性影響度の判定及びリスク評価の更新もシステム稼働状況を反映したものとなる。このため、脆弱性影響評価時のシステムの稼働状況を適時に反映させた、より正確な脆弱性影響評価を実施することが可能となっている。

実施の形態３．
以下に、実施の形態３を図１７から図１９に基づいて説明する。なお、図１から図１６と同一または相当部分については同一符号を付し、その説明を省略する。図１７は、実施の形態３における脆弱性影響評価システムの構成を示す機能ブロック図である。脆弱性影響評価システム３００は、脆弱性影響評価の対象となった脆弱性の脆弱性レベルを低減するための対策を実施する脆弱性対策実施部３１５を備えている点が実施の形態２と異なる。

脆弱性情報格納部３０１は、図１８に例を示すように脆弱性対策情報を含む脆弱性情報８３０を格納している。脆弱性情報８３０は、脆弱性情報８１０Ａ、８１０Ｂと同様に脆弱性識別情報８１１、脆弱性関連製品情報８１２、脆弱性関連バージョン情報８１３、脆弱性影響情報８１４、および脆弱性深刻度情報８１５を含むとともに、脆弱性対策情報８３６を含んでいる。脆弱性対策情報８３６は、例えば「最新バージョンのインストール」「パッチの適用」のように、その脆弱性の脆弱性レベルを低減するための対策を示す情報である。また、一時的な対策としてのワークアラウンド（回避策）も脆弱性対策情報８３６の具体例に含まれる。なお、ここで「最新バージョン」は２．３以降であるとする。脆弱性情報収集部３０２は、脆弱性対策情報付きの脆弱性情報８３０を脆弱性情報収集部１０２と同様に収集し、脆弱性情報解析部３０３に送信する。脆弱性情報８３０を受信した脆弱性情報解析部３０３は、脆弱性情報解析部１０３と同様にシステム関連判定部１１０および脆弱性影響度判定部３１２に解析済みの脆弱性情報８３０を送信するとともに、脆弱性対策情報８３６を脆弱性対策実施部３１５に送信する。脆弱性情報８３０は、脆弱性対策情報８３６を含む点以外は脆弱性情報８１０Ａと同じなので、脆弱性情報８３０の脆弱性はシステム関連判定部１１０にてシステムＡの関連脆弱性と判定される。脆弱性影響度の算出も脆弱性情報８１０Ａの場合と同様に行われ、脆弱性影響度の算出決結果も脆弱性情報８１０Ａの場合と同じになる。

脆弱性影響度判定部３１２は、脆弱性影響度算出部２１１から脆弱性影響度算出結果を受信し、脆弱性情報解析部３０３から脆弱性情報８３０を受信すると、脆弱性影響度判定情報９０６に従って脆弱性レベルの変更の要否および脆弱性レベルの変更量を判定する。また、脆弱性影響度判定部３１２はリスク評価情報９０２を脆弱性影響度算出部２１１から受信し、脆弱性影響度の判定後に判定結果に応じてリスク評価情報９０２を更新する。脆弱性影響度判定部３１２は、更新されたリスク評価情報を脆弱性対策実施部３１５に送信する。

脆弱性対策実施部３１５は、更新されたリスク評価情報を脆弱性影響度判定部３１２から受信するとともに、脆弱性対策情報８３６を脆弱性情報解析部３０３から受信し、「対策の優先度」に応じて脆弱性対策を実施する。脆弱性情報８３０の場合、更新されたリスク評価情報は図１４に示したリスク評価情報９０２１と同じとなるので、システムＡの設備「操作端末」に係る脅威「プログラム不正実行」および「マルウェア感染」に係る脆弱性、すなわち脆弱性情報８３０の脆弱性と、この脆弱性に係るリスクのリスク値が上昇している。脆弱性対策実施部３１５は、このようにリスク値が上昇している脆弱性を「対策の優先度が高い」と判断し、脆弱性情報８３０の脆弱性に対する脆弱性対策を実施する。

脆弱性対策実施部３１５による脆弱性対策は、脆弱性対策情報８３６に基づいて実施される。脆弱性情報８３０の脆弱性に対する脆弱性対策は、脆弱性対策情報８３６に示すとおり「最新バージョンのインストール」であるので、脆弱性対策実施部３１５はＸＸＸソフトウェアの最新バージョンを入手し、最新バージョンのＸＸＸソフトウェアをシステムＡの操作端末にインストールする。これにより、システムＡの操作端末にインストールされているＸＸＸソフトウェアのバージョンは２．３以降となり、脆弱性情報８３０の脆弱性は解消されるので、脆弱性情報８３０の脆弱性の脆弱性レベルおよびこの脆弱性に係るリスクのリスク値は小さくなる。脆弱性対策の実施後、脆弱性対策実施部３１５は、上記脆弱性対策の実施による脆弱性レベルの低減を反映させたリスク評価情報を評価結果出力部３１３に送信する。
なお、実施の形態３では関連するリスク値が上昇している脆弱性を「対策の優先度が高い」と設定するが、「対策の優先度」の設定方法はこれに限られるものではない。

評価結果出力部３１３は、脆弱性対策の結果が反映されたリスク評価情報を脆弱性対策実施部３１５から受信し、受信したリスク評価情報を所定のフォーマットで出力する。評価結果出力部３１３の出力例を図１９に示す。評価結果９３２は、脆弱性対策実施後のリスク評価情報の内容を出力したものであり、脆弱性影響評価の対象となった脆弱性の脆弱性情報、評価対象のシステムにおけるリスクの有無、脆弱性対策の実施に関する情報、関連する脅威、およびその脅威によるリスク値の変化、すなわち脆弱性影響度判定部３１２による判定の結果に関する情報を含んでいる。
その他については実施の形態２と同様であるので、説明を省略する。

なお、実施の形態３は実施の形態２の脆弱性影響評価システム２００に脆弱性対策実施部３１５を追加したものであるが、実施の形態１の脆弱性影響評価システム１００に脆弱性対策実施部３１５を追加してもよい。

実施の形態３によれば、実施の形態２と同様の効果を得ることができる。
また、脆弱性影響評価の結果に応じた脆弱性対策をより迅速に実施することができる。より具体的には、脆弱性影響度判定部から受信したリスク評価情報、および脆弱性情報解析部から受信した脆弱性対策情報に基づいて脆弱性対策を実施する脆弱性対策実施部を備えた。このため、脆弱性影響度判定部の判定により特定の脆弱性に係るリスク値が上昇しても、上記特定の脆弱性の脆弱性対策情報に示された脆弱性対策が結果出力前の段階で脆弱性対策実施部により実施される。したがって、脆弱性影響評価の結果に応じた脆弱性対策をより迅速に実施することができる。また、脆弱性対策のための人員の負担を低減することができる。

本願は、様々な例示的な実施の形態及び実施例が記載されているが、１つ、または複数の実施の形態に記載された様々な特徴、態様、及び機能は特定の実施の形態の適用に限られるのではなく、単独で、または様々な組み合わせで実施の形態に適用可能である。
従って、例示されていない無数の変形例が、本願に開示される技術の範囲内において想定される。例えば、少なくとも１つの構成要素を変形する場合、追加する場合または省略する場合、さらには、少なくとも１つの構成要素を抽出し、他の実施の形態の構成要素と組み合わせる場合が含まれるものとする。

１００、２００、３００脆弱性影響評価システム、１０１、３０１脆弱性情報格納部、１０２、３０２脆弱性情報収集部、１１０システム関連判定部、１１１、２１１脆弱性影響度算出部、１１２、３１２脆弱性影響度判定部、１１３、３１３評価結果出力部、２１４システム稼働情報格納部、３１５脆弱性対策実施部、８１０Ａ、８１０Ｂ、８３０脆弱性情報、８１２脆弱性関連製品情報、８１３脆弱性関連バージョン情報、８１５脆弱性深刻度情報、８３６脆弱性対策情報、９０１システム定義情報、９０２、９０２１リスク評価情報、９０５脆弱性影響度算出情報、９０６脆弱性影響度判定情報、９１１脆弱性影響度算出結果、９１２、９３２評価結果、Ｎ脆弱性情報更新通知

Claims

脆弱性が影響を与える対象である脆弱性対象を示す情報および前記脆弱性の脆弱性深刻度を示す情報を含む脆弱性情報を格納する脆弱性情報格納部と、
前記脆弱性情報格納部から最新の前記脆弱性情報を収集する脆弱性情報収集部と、
評価対象の構成情報と前記脆弱性情報を比較して、前記評価対象が前記脆弱性対象を含むか否かに基づいて前記評価対象と前記脆弱性との関連の有無を判定し、前記評価対象と関連があると判定した前記脆弱性を関連脆弱性として検出する関連判定部と、
前記関連脆弱性の脆弱性深刻度、および前記関連脆弱性に係る脅威と前記関連脆弱性との関連度に基づいて、前記関連脆弱性の脆弱性影響度を算出する脆弱性影響度算出部と、
前記脆弱性影響度に基づいて前記評価対象の脆弱性レベルの判定を行う脆弱性影響度判定部と、
前記脆弱性影響度判定部による前記判定の結果を出力する出力部と
を備えたことを特徴とする脆弱性影響評価システム。
前記脆弱性影響度算出部は、前記評価対象の稼働状況に応じて前記関連度を補正する請求項１に記載の脆弱性影響評価システム。
前記脆弱性情報は前記脆弱性に対する対策を示す情報である脆弱性対策情報をさらに含み、前記脆弱性影響評価システムは、前記脆弱性対策情報に基づいて脆弱性対策を実施する脆弱性対策実施部をさらに備え、
前記脆弱性対策実施部は、前記脆弱性影響度判定部により前記脆弱性影響度が判定された前記関連脆弱性に対して前記脆弱性対策を実施する請求項１または２に記載の脆弱性影響評価システム。
前記脆弱性情報格納部は、格納する前記脆弱性情報が追加または更新されたときに脆弱性情報更新通知を前記脆弱性情報収集部に送信し、前記脆弱性情報収集部は、前記脆弱性情報更新通知を受信したときに前記脆弱性情報を収集する請求項１から３のいずれか１項に記載の脆弱性影響評価システム。
前記脆弱性情報収集部は、定期的に前記脆弱性情報を収集する請求項１から３のいずれか１項に記載の脆弱性影響評価システム。
前記脆弱性情報収集部は、前記評価対象の脆弱性影響評価を開始するタイミングで前記脆弱性情報を収集する請求項１から３のいずれか１項に記載の脆弱性影響評価システム。