JP2020184372A - 情報処理装置、セキュリティ情報配信方法、及びプログラム - Google Patents

Abstract

【課題】セキュリティ上のリスクを有する装置に対する複数の対処の中から適切な対処を選択することを支援する技術を提供する。【解決手段】管理装置１０は、セキュリティリスクを有する管理対象装置に適用可能な対処を示す対処情報と、管理対象装置の稼働情報の種類とセキュリティリスクに対する対処との対応関係を定義する定義情報とを用いて、セキュリティリスクを有する管理対象装置に適用可能な対処に対応する稼働情報の種類を特定する特定部１１０と、特定した種類の稼働情報を取得する取得部１２０と、取得した稼働情報を、セキュリティリスクを有する管理対象装置に適用可能な対処に対応付けて表示装置に表示させる表示処理部１３０と、を備える。【選択図】図１

Description

本発明は、セキュリティ上のリスクへの対処の選択を支援する技術に関する。

ネットワーク上の装置には、脆弱性や外部からの攻撃によって生じる脅威など、セキュリティ上の問題（セキュリティリスク）が存在し得る。このような脆弱性や脅威を有する装置が存在するか否かを調査し、脆弱性や脅威を有する装置への対処策を提示する技術がある。

このような技術の一例が、例えば、下記特許文献に開示されている。特許文献１には、対象システム上の脆弱性の有無と、対象システム上に存在する文書ファイルの機密度とに基づいてリスク値を算出し、該リスク値が許容範囲を超える場合、リスク値を許容範囲内に収めることができる対策の中からその対策の各種コストが所定の条件を満たすものを提示する技術が開示されている。また、特許文献２には、管理対象の装置の操作ログを収集してセキュリティーポリシーと合致するか否かを判定し、ポリシー違反と判定された場合、該装置に対してネットワーク遮断措置を講じる技術が開示されている。

再特ＷＯ２００８／００４４９８号公報 特開２００８−１９８０９０号公報

ハードウエアやソフトウエアに存在する脆弱性や、外部からの攻撃により生じる脅威などのセキュリティリスクには複数の対処が存在するのが一般的であり、セキュリティ管理者はその複数の対処の中から、装置毎に適切な対処を選択および実行することになる。しかしながら、通常、対処を講じるべき各装置はそれぞれ異なった環境下で動作しており、単に脆弱性への対処を提示するのみでは、セキュリティ管理者が「適切な対処」を選択するのが困難な場合がある。

本発明の目的は、セキュリティ上のリスクを有する装置に対する複数の対処の中から適切な対処を選択することを支援する技術を提供することにある。

本発明によれば、
セキュリティリスクを有する管理対象装置に適用可能な対処を示す対処情報と、管理対象装置の稼働情報の種類と前記セキュリティリスクに対する対処との対応関係を定義する定義情報とを用いて、前記セキュリティリスクを有する管理対象装置に適用可能な対処に対応する稼働情報の種類を特定する特定手段と、
前記特定した種類の稼働情報を取得する取得手段と、
前記取得した稼働情報を、前記セキュリティリスクを有する管理対象装置に適用可能な対処に対応付けて表示装置に表示させる表示処理手段と、
を備える情報処理装置が提供される。

本発明によれば、
管理対象装置の稼働情報の種類をセキュリティリスクへの対処別に定義する定義情報を外部の管理装置に配信する定義情報配信手段を備える情報処理装置が提供される。

本発明によれば、
管理装置とサーバ装置とを備えるシステムであって、
前記サーバ装置は、
管理対象装置の稼働情報の種類をセキュリティリスクに対する対処別に定義する定義情報を外部の管理装置に配信する定義情報配信手段を備え、
前記管理装置は、
セキュリティリスクを有する管理対象装置に適用可能な対処を示す対処情報と前記定義情報とを用いて、前記セキュリティリスクを有する管理対象装置に適用可能な対処に対応する稼働情報の種類を特定する特定手段と、
前記特定した種類の稼働情報を取得する取得手段と、
前記取得した稼働情報を、前記セキュリティリスクを有する管理対象装置に適用可能な対処に対応付けて表示装置に表示させる表示処理手段を備える、
セキュリティ管理システムが提供される。

本発明によれば、
コンピュータが、
セキュリティリスクを有する管理対象装置に適用可能な対処を示す対処情報と、管理対象装置の稼働情報の種類と前記セキュリティリスクに対する対処との対応関係を定義する定義情報とを用いて、前記セキュリティリスクを有する管理対象装置に適用可能な対処に対応する稼働情報の種類を特定し、
前記特定した種類の稼働情報を取得し、
前記取得した稼働情報を、前記セキュリティリスクを有する管理対象装置に適用可能な対処に対応付けて表示装置に表示させる、
ことを含むセキュリティ対策提示方法が提供される。

本発明によれば、
コンピュータが、
管理対象装置の稼働情報の種類をセキュリティリスクへの対処別に定義する定義情報を外部の管理装置に配信することを含むセキュリティ情報配信方法が提供される。

本発明によれば、
コンピュータを、
セキュリティリスクを有する管理対象装置に適用可能な対処を示す対処情報と、管理対象装置の稼働情報の種類と前記セキュリティリスクに対する対処との対応関係を定義する定義情報とを用いて、前記セキュリティリスクを有する管理対象装置に適用可能な対処に対応する稼働情報の種類を特定する特定手段、
前記特定した種類の稼働情報を取得する取得手段、
前記取得した稼働情報を、前記セキュリティリスクを有する管理対象装置に適用可能な対処に対応付けて表示装置に表示させる表示処理手段、
として機能させるためのプログラムが提供される。

本発明によれば、
コンピュータを、
管理対象装置の稼働情報の種類をセキュリティリスクへの対処別に定義する定義情報を外部の管理装置に配信する定義情報配信手段として機能させるためプログラムが提供される。

本発明によれば、
セキュリティリスクを有する管理対象装置に適用可能な対処を示す対処情報と、前記管理対象装置の稼働情報であって、稼働情報の種類と前記セキュリティリスクに対する対処との対応関係を定義する定義情報を用いて特定される、前記管理対象装置に適用可能な対処に対応する種類の稼働情報と、を対応付けて表示装置に表示させる表示処理手段、
を備える情報処理装置が提供される。

本発明によれば、セキュリティ上のリスクを有する装置に対する複数の対処の中から適切な対処を選択することができる。

上述した目的、およびその他の目的、特徴および利点は、以下に述べる好適な実施の形態、およびそれに付随する以下の図面によってさらに明らかになる。

本発明の第１実施形態の管理装置の処理構成を概念的に示す図である。 あるセキュリティリスク（脆弱性Ａ）について管理対象装置別に適用可能な対処を示す情報を例示する図である。 第１実施形態の定義情報の一例を示す図である。 取得部が取得する情報の一例を示す図である。 第１実施形態の表示処理部が表示装置に表示させる画面の一例を示す図である。 第１実施形態の管理装置ハードウエア構成を概念的に示す図である。 第１実施形態の管理装置の処理の流れを示すフローチャートである。 第２実施形態の定義情報の一例を示す図である。 第２実施形態の表示処理部が表示装置に表示させる画面の一例を示す図である。 第２実施形態の表示処理部が表示装置に表示させる画面の一例を示す図である。 第３実施形態の表示処理部が表示装置に表示させる画面の一例を示す図である。 第４実施形態のセキュリティ管理システムの構成を概念的に示す図である。 定義情報配信部から配信される定義情報の一例を示す図である。 第４実施形態のセキュリティ管理システムのハードウエア構成を概念的に示す図である。 第４実施形態のセキュリティ管理システムの処理の流れを示すシーケンス図である。 情報収集部からの指示に応じて各管理対象装置で収集される情報の一例を示す図である。 第５実施形態の管理装置の処理構成を概念的に示す図である。

以下、本発明の実施形態について、図面を用いて説明する。尚、すべての図面において、同様な構成要素には同様の符号を付し、適宜説明を省略する。

［第１実施形態］
図１は、本発明の第１実施形態の管理装置１０の処理構成を概念的に示す図である。管理装置１０は、本願発明の情報処理装置の一例である。図１に示されるように、本実施形態の管理装置１０は、特定部１１０と、取得部１２０と、表示処理部１３０とを備える。

特定部１１０は、セキュリティリスクを有する管理対象装置に適用可能な対処を示す対処情報と、管理対象装置の稼働情報の種類とセキュリティリスクに対する対処との対応関係を定義する定義情報とを用いて、セキュリティリスクを有する管理対象装置に適用可能な対処に対応する稼働情報の種類を特定する。

ここで「管理対象装置」とは、図示しないネットワークを介して管理装置１０と接続され、セキュリティの状態を監視されている各種装置である。管理対象装置は、ネットワーク上のクライアント端末、サーバ端末、スイッチやルータなどの通信機器だけではなく、ネットワークに接続する機能やネットワークを介して通信する手段を有するあらゆる物（所謂ＩｏＴ（Internet of Things）に含まれる物）である。

また「セキュリティリスク」とは、管理対象装置に存在する脆弱性、または、管理対象装置に対する外部からの攻撃によって生じる脅威を含む。また「対処」（対応）とは、脆弱性や脅威を解消、回避、または低減させる措置であり、「適用可能な対処」とは、脆弱性や脅威に対する措置の中で管理対象装置に講じることができる措置のことをいう。本実施形態では、管理対象装置毎に適用可能な対処を示す情報が、例えば図２に示すような形式で所定の記憶部に予め保持されているものとする。図２は、あるセキュリティリスク（脆弱性Ａ）について管理対象装置別に適用可能な対処を示す情報を例示する図である。詳細には、図２の情報は、装置Ａには、対処Ａ、対処Ｂ、対処Ｃ、及び対処Ｄが適用可能であり、装置Ｂには対処Ｂのみが適用可能であることを示している。なお、管理対象装置別に適用可能な対処を示す情報を記憶する記憶部は、管理装置１０に備えられていてもよいし、管理装置１０と通信可能に接続された他の装置に備えられていてもよい。

また「稼働情報」とは、管理対象装置で実際に行われた動作や処理の履歴を示す情報（稼働履歴情報）、又は、管理装置でこれから行われる予定の動作や処理を示す情報（稼働予定情報）の少なくとも一方を含む情報である。これらの稼働情報は、各管理対象装置での所定の動作や処理の実行または所定の動作や処理の実行予定の入力に応じて、各管理対象装置で生成されてその管理対象装置の記憶部に記憶される。また「稼働情報の種類」とは、各稼働情報が属する分類を意味する。例えば、「稼働履歴情報の種類」の具体例としては、「パッチ適用履歴」、「再起動履歴」、「連続稼働時間」、「ポート利用履歴」、「プロセス稼働履歴」、「アプリケーション利用履歴」などが挙げられる。また例えば、「稼働予定情報の種類」の具体例としては、「パッチ適用予定日時」、「再起動予定日時」、「アプリケーション起動予定日時」などが挙げられる。但し、稼働情報の種類はここで挙げた例に限定されない。

また本実施形態において、定義情報は、例えば図３に示されるような形式で所定の記憶部に記憶されているものとする。図３は、第１実施形態の定義情報の一例を示す図である。図３の例では、あるセキュリティリスク「脆弱性Ａ」への対処（対処Ａ〜対処Ｄ）と、その対処を適用するか否かを決定する際に参考となる、管理対象装置の稼働情報の種類とが対応付けて記憶されている。なお、定義情報を記憶する記憶部は、管理装置１０に備えられていてもよいし、管理装置１０と通信可能に接続された他の装置に備えられていてもよい。

特定部１１０は、適用可能な対処を管理対象装置別に示す図２の情報と、各対処と稼働情報の種類との対応関係を示す図３の情報との組み合わせを基に、管理対象装置毎に、適用可能な対処とそれに紐付く稼働情報の種類とを特定する。具体的には、特定部１１０は、図２の情報の基に、装置Ａは「対処Ａ」、「対処Ｂ」、「対処Ｃ」及び「対処Ｄ」が適用可能であることを特定する。そして、特定部１１０は、図３の情報を基に、「対処Ａ」に関連する稼働情報の種類を「パッチ適用履歴」、「再起動履歴」、及び「連続稼働時間」と特定する。また特定部１１０は、図３の情報を基に、「対処Ｂ」に関連する稼働情報の種類を「プロセスＺＺＺＺの稼働履歴」と特定する。また特定部１１０は、図３の情報を基に、「対処Ｃ」に関連する稼働情報の種類を「ポート１０２７の利用履歴」と特定する。また特定部１１０は、図３の情報を基に、「対処Ｄ」に関連する稼働情報の種類を「アプリケーションＸＸＸＸの利用履歴」と特定する。特定部１１０は、装置Ａと同様に、装置Ｂについても適用可能な対処（「対処Ｂ」のみ）とそれに紐付く稼働情報の種類（「プロセスＺＺＺＺの利用履歴」）とを特定する。

取得部１２０は、特定部１１０が特定した種類の稼働情報を取得する。取得部１２０は、例えば次に示すように、セキュリティリスクを有する管理対象装置の稼働情報の中から特定部１１０が特定した種類の稼働情報を取得する。

取得部１２０は、例えば、特定部１１０が特定した稼働情報の種類を管理対象装置に通知し、管理対象装置からの応答としてその種類の稼働情報を受け取る。また、取得部１２０は、管理対象装置が記憶する稼働情報を取得し、その中から特定部１１０で特定された種類の稼働情報を抽出してもよい。ここで、取得部１２０は、管理対象装置が記憶する全ての稼働情報の中から必要な稼働情報を取得してもよいし、所定期間（例えば１ヶ月分など）内の稼働情報の中から必要な稼働情報を取得してもよい。

具体的には、取得部１２０は図４に示されるような情報を取得する。図４は、取得部１２０が取得する情報の一例を示す図である。取得部１２０は、特定部１１０が図２及び図３の情報を用いて特定した稼働情報の種類に基づいて、装置Ａで適用可能な「対処Ａ」については「パッチ適用履歴」、「再起動履歴」、及び「連続稼働時間」の稼働情報を装置Ａから取得する。また取得部１２０は、特定部１１０が図２及び図３の情報を用いて特定した稼働情報の種類に基づいて、装置Ａで適用可能な「対処Ｂ」については「プロセスＺＺＺＺの稼働履歴」の稼働情報を装置Ａから取得する。また、取得部１２０は、特定部１１０が図２及び図３の情報を用いて特定した稼働情報の種類に基づいて、装置Ａで適用可能な「対処Ｃ」については「ポート１０２７の利用履歴」の稼働情報を装置Ａから取得する。また取得部１２０は、特定部１１０が図２及び図３の情報を用いて特定した稼働情報の種類に基づいて、装置Ａで適用可能な「対処Ｄ」については「アプリケーションＸＸＸＸの利用履歴」の稼働情報を装置Ａから取得する。取得部１２０は、装置Ａと同様に、装置Ｂについても適用可能な「対処Ｂ」について、「プロセスＺＺＺＺの利用履歴」の稼働情報を装置Ｂから取得する。

表示処理部１３０は、取得部１２０が取得した稼働情報を、その稼働情報と対応関係にある、セキュリティリスクを有する管理対象装置に適用可能な対処に対応付けて表示装置（図示せず）に表示させる。

表示処理部１３０は、例えば、図４に示す各管理対象装置から取得した情報を用いて図５に示される画面を生成し、表示装置に表示させる。図５は、第１実施形態の表示処理部１３０が表示装置に表示させる画面の一例を示す図である。但し、図５はあくまで一例であり、表示処理部１３０が表示する画面はこの例に制限されない。表示処理部１３０は、各管理対象装置に適用可能な対処と、その対処を適用するか否かを決定する際に参考となる稼働情報（図５の例では「参考情報」）とを対応付けて示す画面を表示装置に表示させる。また、表示処理部１３０は、図５に例示されるように、セキュリティリスクの名称やその概要等の情報を取得して表示装置に表示させてもよい。

〔ハードウエア構成〕
図６は、第１実施形態の管理装置１０ハードウエア構成を概念的に示す図である。

管理装置１０は、プロセッサ１０１、メモリ１０２、ストレージ１０３、入出力インタフェース（入出力Ｉ／Ｆ）１０４、及び通信インタフェース（通信Ｉ／Ｆ）１０５などを備える。プロセッサ１０１、メモリ１０２、ストレージ１０３、入出力インタフェース１０４、および通信インタフェース１０５は、相互にデータを送受信するためのデータ伝送路で接続されている。

プロセッサ１０１は、例えばＣＰＵ（Central Processing Unit）やＧＰＵ（Graphics Processing Unit）などの演算処理装置である。メモリ１０２は、例えばＲＡＭ（Random Access Memory）やＲＯＭ（Read Only Memory）などのメモリである。ストレージ１０３は、例えばＨＤＤ（Hard Disk Drive）、ＳＳＤ（Solid State Drive）、又はメモリカードなどの記憶装置である。また、ストレージ１０３は、ＲＡＭやＲＯＭ等のメモリであってもよい。

ストレージ１０３は、管理装置１０が備える特定部１１０、取得部１２０、および表示処理部１３０を含む各処理部の機能を実現するプログラムを記憶している。プロセッサ１０１は、これら各プログラムを実行することで、各処理部の機能をそれぞれ実現する。ここで、プロセッサ１０１は、上記各プログラムを実行する際、これらのプログラムをメモリ１０２上に読み出してから実行してもよいし、メモリ１０２上に読み出さずに実行してもよい。

入出力インタフェース１０４は、表示装置１０４１や入力装置１０４２などと接続される。表示装置１０４１は、ＬＣＤ（Liquid Crystal Display）やＣＲＴ（Cathode Ray Tube）ディスプレイのような、プロセッサ１０１により処理された描画データに対応する画面を表示する装置である。入力装置１０４２は、オペレータの操作入力を受け付ける装置であり、例えば、キーボード、マウス、およびタッチセンサなどである。表示装置１０４１および入力装置１０４２は一体化され、タッチパネルとして実現されていてもよい。

通信インタフェース１０５は外部の装置との間でデータを送受信する。例えば、通信インタフェース１０５は、有線ネットワーク又は無線ネットワークを介して外部装置（例えば管理対象装置や外部のサーバ装置など）と通信する。

なお、管理装置１０のハードウエア構成は、図２に示される構成に制限されない。

〔動作例〕
図７を用いて、本実施形態の管理装置１０の動作について説明する。図７は、第１実施形態の管理装置１０の処理の流れを示すフローチャートである。

特定部１１０は、図２に示されるような情報に基づいて、管理対象装置毎に適用可能な対処を特定し（Ｓ１０１）、更に図３に示されるような情報に基づいて、当該適用可能な対処に対して取得すべき稼働情報の種類を特定する（Ｓ１０２）。例えば、特定部１１０は、装置Ａで適用可能な「対処Ａ」については、「パッチ適用履歴」、「再起動履歴」、及び「連続稼働時間」の稼働情報を、装置Ａの各種稼働情報の中から取得する稼働情報の種類として特定する。そして、取得部１２０は、特定部１１０で特定された種類の稼働情報を、各管理対象装置の稼働情報の中から取得する（Ｓ１０３）。そして、表示処理部１３０は、各管理対象装置について、適用可能な対処と対処別に取得された稼働情報とを対応付けて示す画面（例えば図５のような画面）を生成し、図示しない表示装置に表示させる（Ｓ１０４）。

〔第１実施形態の作用および効果〕
以上、本実施形態によれば、管理対象装置に適用可能な対処と、各対処を選択する際に参考となる管理対象装置の稼働情報とを対応付けた画面が、表示装置を介して管理装置１０のオペレータ（セキュリティ管理者）に提示される。これにより、セキュリティ管理者は、対処別に対応付けて表示される稼働情報を参照して、各管理対象装置についてどの対処を適用すべきかを判断することができる。

例えば、図５の画面よれば、セキュリティ管理者は、装置Ａについて次のような判断を下すことができる（なお、ここではセキュリティ管理者が図５の画面を２０１５年５月２７日時点で確認しているものとする）。詳細には、「対処策２」の参考情報から、直近でプロセスＺＺＺＺを利用した形跡が読み取れる。ここから、セキュリティ管理者は「プロセスＺＺＺＺを停止させた場合は何らかの問題が起こる可能性がある」と判断することができる。また「対処策３」の参考情報から、直近でポート１０２７が利用されており、また、その接続元が同一ネットワーク内からのものであることが読み取れる。ここから、セキュリティ管理者は「ポート１０２７をブロックした場合は何らかの影響が生じ得る」と判断することができる。また「対処策４」の参考情報から、アプリケーションＸＸＸＸは毎週定期的に実行されていることが読み取れる。ここから、セキュリティ管理者は「アプリケーションＸＸＸＸについてはアンインストールすべきではない」と判断することができる。一方で、「対処策１」の各種参考情報からは、パッチが毎週木曜日の午前中に定期的に適用されて装置Ａが再起動していることが読み取れる。ここから、セキュリティ管理者は「パッチＡＡＡＡを適用する対処策１を木曜日の午前中に実行するのが適切である」などと判断することができる。

また上記では、ある装置に対して適用可能な対処が複数存在するケースにおける効果を述べたが、例えば図５の例の装置Ｂのように、ある装置に対して適用可能な対処が１つのみの場合、以下のような効果を得ることができる。この効果について、装置の再起動が必要となる「対処Ａ」のみが適用可能なケースを例として具体的に説明する。この場合、セキュリティ管理者は、「対処Ａ」に対応付けて表示される「再起動履歴」を参照することにより、定期的な再起動の実行タイミング（すなわち、対処Ａを講じても影響のない又は影響の少ないタイミング）を把握することができる。また、セキュリティ管理者は、「パッチ適用履歴」から定期的なパッチの適用タイミング（すなわち、対処Ａを講じても影響のない又は影響の少ないタイミング）を把握することができる。また、セキュリティ管理者は、「再起動履歴」や「パッチ適用履歴」から、再起動するまでの大凡の時間間隔やパッチを適用する大凡の時間間隔を把握することができ、これと「連続稼働時間」とに基づいて、対処Ａを講じても影響のない又は影響の少ないタイミングを予測することもできる。すなわち、対処に対応付けて表示される参考情報を参照することによって、セキュリティ管理者がその対処を講じるべき適切なタイミングを容易に判断することができる。

［第２実施形態］
〔処理構成〕
本実施形態の管理装置１０は、第１実施形態と同様の構成を有する。

本実施形態の定義情報では、図８に示されるように、各対処に対応付けられる稼働情報の種類が複数存在する場合に、稼働情報の種類別に優先度が予め定められている。図８は、第２実施形態の定義情報の一例を示す図である。図８の例では、「対処Ａ」に対応付けられている「パッチ適用履歴」、「再起動履歴」、及び「連続稼働時間」について、それぞれ、「２位」、「１位」、及び「３位」の優先度が予め定められている。そして、本実施形態の表示処理部１３０は、稼働情報の種類別の優先度に基づいて、各稼働情報の表示順序または表示状態の少なくともいずれか一方を制御する。

具体的には、表示処理部１３０は、図８で定義される稼働情報の種類別の優先度に基づいて、図９や図１０に示されるような画面を生成し、表示装置に表示させる。図９および図１０は、第２実施形態の表示処理部１３０が表示装置に表示させる画面の一例を示す図である。図９では、優先度順（「再起動履歴」、「パッチ適用履歴」、「連続稼働時間」の順）に稼働情報を表示する画面を例示している。また、図１０では、優先度の最も高い「再起動履歴」の稼働情報を強調して表示する画面を例示している。なお、表示処理部１３０が、稼働情報の種類別の優先度に基づいて表示する画面は、これらの例に制限されない。

〔第２実施形態の作用および効果〕
以上、本実施形態によれば、各対処を選択する際に参考となる管理対象装置の稼働情報が複数ある場合に、その中で優先度が高い稼働情報が識別可能な状態で表示装置に表示される。これにより、セキュリティ管理者は、各管理対象装置についてどの対処を適用すべきかを判断する際、より有用な情報がどれであるかを一目で識別することができる。

［第３実施形態］
本実施形態の管理装置１０は、第１実施形態と同様の構成を有する。また、本実施形態の管理装置１０は、第２実施形態の構成を更に含んでいてもよい。

本実施形態の表示処理部１３０は、予め定められた条件を満たす稼働情報を判定し、当該条件を満たす稼働情報を識別可能な状態で表示装置に表示させる。ここで、「予め定められた条件」とは、取得部１２０が取得した管理対象装置の稼働情報の中でより有益な情報を絞り込むための条件であり、例えば、「現在から所定の基準時間内の稼働情報」や、「所定の曜日の稼働情報」などの条件である。このような条件を示す情報は、例えば、表示処理部１３０に予め設定される。

例えば、「現在から前後１週間以内の稼働情報」という条件が予め定められている場合、表示処理部１３０は、図１１に示すような画面を生成して表示装置に表示させる（なお、ここでは図１１の画面は２０１５年５月２７日時点で表示されたものとする）。図１１は、第３実施形態の表示処理部１３０が表示装置に表示させる画面の一例を示す図である。表示処理部１３０は、図１１に示されるように、２０１５年５月２７日の前後１週間の稼働履歴および稼働予定の情報を強調表示する画面を生成し、表示装置に表示させる。

〔第３実施形態の作用および効果〕
以上、本実施形態によれば、より有益な情報を絞り込むために予め定められた条件を満たす稼働情報が強調された状態で表示装置に表示される。これにより、セキュリティ管理者は、各管理対象装置についてどの対処を適用すべきかを判断する際、より有用な情報がどれであるかを一目で識別することができる。

［第４実施形態］
本実施形態では、上述の各実施形態の管理装置１０を含むセキュリティ管理システム１について説明する。

〔システム構成〕
図１２は、第４実施形態のセキュリティ管理システム１の構成を概念的に示す図である。セキュリティ管理システム１は、管理装置１０、サーバ装置２０、管理対象装置３０および管理者用端末４０を含んで構成される。管理者用端末４０は、セキュリティ管理者が操作する据え置き型のＰＣ（Personal Computer）、又は、タブレット端末やスマートフォンといった携帯端末などである。また管理対象装置３０は第１実施形態で説明したとおりである。

サーバ装置２０は、管理対象装置３０の稼働情報の種類とセキュリティリスクへの対処との対応関係を示す情報を少なくとも含む定義情報を、管理装置１０に配信する定義情報配信部２１０を備える。

図１３に、定義情報配信部２１０から配信される定義情報の一例を示す。本実施形態の定義情報は、「基礎情報」、「調査方法」、および「対処策」の３つのカテゴリに分類される様々な情報を含む。「基礎情報」は、脆弱性や脅威などのセキュリティリスクを有する装置やソフトウエアのベンダなどから提供される、その脆弱性や脅威の名称や概要などを含む基本的な情報である。「調査方法」は、脆弱性や脅威の有無を調査する各方法を適用する前提条件を示す情報、当該前提条件を満たす場合に装置から収集する情報、および、脆弱性の有無を判定する条件を示す情報を含む。また、「対処策」は、各対処の適用可否を判定する条件を示す情報、脆弱性や脅威を解消、回避、または低減させるための具体的な対処方法を示す情報、及び、各対処を適応するか否かをオペレータが決定する際に参考となる稼働情報の種類を定義する情報を含む。

図１２に示されるように、本実施形態の管理装置１０は、定義情報取得部１４０と、定義情報記憶部１４２と、情報収集部１５０と、セキュリティリスク判定部１６０と、表示処理部１３０とを備える。

定義情報取得部１４０は、図１３に示されるような、サーバ装置２０の定義情報配信部２１０から配信される定義情報を取得し、取得した定義情報を定義情報記憶部１４２に記憶する。情報収集部１５０は、定義情報記憶部１４２に記憶された定義情報に基づいて、管理対象装置３０から各種データを収集する。詳細には後述するが、情報収集部１５０は、上述の各実施形態の特定部１１０および取得部１２０に相当する役割も果たす。セキュリティリスク判定部１６０は、管理対象装置３０から収集したデータに基づいて、その管理対象装置３０がセキュリティリスクを有するか否かを判定する。表示処理部１３０は、上述の各実施形態で説明したような画面を生成し、表示装置１０４１に表示させる。

〔ハードウエア構成〕
本実施形態のセキュリティ管理システム１のハードウエア構成を、図１４を用いて説明する。図１４は、第４実施形態のセキュリティ管理システム１のハードウエア構成を概念的に示す図である。

＜管理装置１０のハードウエア構成＞
管理装置１０は、図６と同様のハードウエア構成を有する。第１実施形態と同様に、ストレージ１０３は、本実施形態の定義情報取得部１４０、情報収集部１５０、セキュリティリスク判定部１６０を含む各処理部の機能を実現するためのプログラムを記憶しており、プロセッサ１０１が各プログラムを実行することにより、本実施形態の各処理部が実現される。また、ストレージ１０３は、本実施形態の定義情報記憶部１４２の役割も果たす。

＜サーバ装置２０のハードウエア構成＞
サーバ装置２０は、プロセッサ２０１、メモリ２０２、ストレージ２０３、及び通信インタフェース（通信Ｉ／Ｆ）２０４などを備える。プロセッサ２０１、メモリ２０２、ストレージ２０３、通信インタフェース２０４は、相互にデータを送受信するためのデータ伝送路で接続されている。

プロセッサ２０１は、例えばＣＰＵやＧＰＵなどの演算処理装置である。メモリ２０２は、例えばＲＡＭやＲＯＭなどのメモリである。ストレージ２０３は、例えばＨＤＤ（Hard Disk Drive）、ＳＳＤ（Solid State Drive）、又はメモリカードなどの記憶装置である。また、ストレージ２０３は、ＲＡＭやＲＯＭ等のメモリであってもよい。

ストレージ２０３は、サーバ装置２０が備える定義情報配信部２１０を含む各処理部の機能を実現するプログラムを記憶している。プロセッサ２０１は、ストレージ２０３に記憶されているプログラムを実行することで、各処理部の機能をそれぞれ実現する。ここで、プロセッサ２０１は、上記各プログラムを実行する際、これらのプログラムをメモリ２０２上に読み出してから実行してもよいし、メモリ２０２上に読み出さずに実行してもよい。また、ストレージ２０３には、図１３に示されるような定義情報が格納されている。

通信インタフェース２０４は、有線ネットワーク又は無線ネットワークにより、外部の装置との間でデータを送受信する。例えば、サーバ装置２０は、通信インタフェース２０４を介して管理装置１０にストレージ２０３に格納されている定義情報を配信する。また、サーバ装置２０は、通信インタフェース２０４を介して最新の定義情報を受信し、ストレージ２０３に格納されている定義情報を更新する。

なお、セキュリティ管理システム１のハードウエア構成は、図１４に示される構成に制限されない。

〔動作例〕
図１５を用いて、本実施形態のセキュリティ管理システム１の動作例について説明する。図１５は、第４実施形態のセキュリティ管理システム１の処理の流れを示すシーケンス図である。

まず、サーバ装置２０の定義情報配信部２１０が配信する定義情報を、管理装置１０の定義情報取得部１４０が取得して定義情報記憶部１４２に格納する（Ｓ２００）。

そして、管理装置１０の情報収集部１５０は、定義情報記憶部１４２に記憶されている定義情報を読み出す（Ｓ２０１）。この処理のトリガーとしては、特に限定されないが、例えば、セキュリティ管理者が特定のセキュリティリスクについて調査する旨の指示を管理装置１０に入力した場合や、定義情報配信部２１０から新たなセキュリティリスクに関する定義情報が配信され、定義情報記憶部１４２に格納した場合などが考えられる。

そして、管理装置１０の情報収集部１５０は、読み出した定義情報に基づいて、管理対象装置３０に対して各種情報を収集する指示（情報収集指示）を送信する（Ｓ２０２）。本動作例において、管理装置１０の情報収集部１５０から送信される情報収集指示は、図１３の定義情報の「調査方法」および「対処策」を含む。

各管理対象装置３０は、情報収集指示を受信すると、その情報収集指示に含まれる「調査方法」および「対処策」を用いて、例えば図１６に示すような情報を収集する（Ｓ２０３）。図１６は、情報収集部１５０からの指示に応じて各管理対象装置３０で収集される情報の一例を示す図である。各管理対象装置３０は、「前提条件」を満たす「調査方法」を判定し、セキュリティリスクの有無の判定に用いるために収集すべき「判定用情報」を特定する。そして、各管理対象装置３０は、特定した「判定用情報」を収集する。図１６では、管理対象装置３０である装置Ａにおいて、「調査方法１」の「前提条件」で定義される条件「アプリケーションＸＸＸＸがインストールされている」を満たすと判定された結果、「調査方法１」の「収集情報」で定義される「アプリケーションＸＸＸＸのバージョン情報」として「Ｖｅｒ１．９」が収集された例を示している。また、各管理対象装置３０は、各「対処策」の「適用条件」に基づいて、各「対処策」の適用可否を判定する。そして、各管理対象装置３０は、適用可能と判断された「対処策」に対応付けられている「稼働情報の種類」に基づいて、自身が記憶している稼働情報の中から収集する稼働情報の種類を特定し、その種類の稼働情報を収集する。図１６では、管理対象装置３０である装置Ａにおいて、「対処Ａ」および「対処Ｂ」が適用可能と判定され、「対処Ａ」および「対処Ｂ」の「稼働情報の種類」で示される種類の稼働情報がそれぞれ収集された例を示している。具体的には、「対処Ａ」については「パッチ適用履歴」、「再起動履歴」、および「連続稼働時間」の稼働情報が収集され、「対処Ｂ」については「プロセスＺＺＺＺの稼働履歴」の稼働情報が収集される。そして、管理対象装置３０は、上述のように収集した各情報を、管理装置１０に送信する（Ｓ２０４）。

そして、管理装置１０のセキュリティリスク判定部１６０は、各管理対象装置３０から収集した「判定用情報」に基づいて、セキュリティリスクがどの管理対象装置３０に存在するかを判定する（Ｓ２０５）。

管理装置１０の表示処理部１３０は、「セキュリティリスクあり」と判定された管理対象装置３０について、各管理対象装置３０から収集した情報（例：図１６）から、適用可能な対処と、それぞれの対処に関連する情報として収集された稼働情報とを対応付けて表示する画面（例：図５）のデータを生成し、管理者用端末４０に送信する（Ｓ２０６）。

管理者用端末４０は、Ｓ２０６で取得した画面データに基づいて、適用可能な対処とそれぞれの対処に関連する情報として収集された稼働情報とを対応付けて表示する画面を、管理者用端末４０の表示部に表示させる（Ｓ２０７）。

〔第４実施形態の作用および効果〕
以上、本実施形態では、サーバ装置２０から定義情報が配信され、管理装置１０の定義情報記憶部１４２に格納される。管理装置１０では、定義情報記憶部１４２の定義情報を用いて、セキュリティリスクを有する管理対象装置３０、及び、管理対象装置３０から収集する各種情報を判定する。これにより、本実施形態では、セキュリティリスクに関する最新の情報をサーバ装置２０から取得し、上述の各実施形態で説明したような画面を生成してセキュリティ管理者に提示することが可能となる。

なお本実施形態において、管理対象装置３０が適用可能な対処を判定する例を示したが、この判定は管理装置１０が行ってもよい。この場合、管理装置１０の情報収集部１５０は、定義情報で定義される「適用条件」を満たすか否かを判定するために必要な情報を各管理対象装置３０から収集し、各管理対象装置３０で適用可能な対処がいずれかを判定する。

また本実施形態において、管理装置１０のセキュリティリスク判定部１６０がセキュリティリスクの有無を判定する例を示したが、この判定は各管理対象装置３０で行ってもよい。この場合、管理対象装置３０は、Ｓ２０３で収集した「判定用情報」を「判定条件」と照らし合わせてセキュリティリスクの有無を判定し、Ｓ２０４ではその結果を管理装置１０に送信する。

［第５実施形態］
〔処理構成〕
図１７は、第５実施形態の管理装置１０の処理構成を概念的に示す図である。図１７に示されるように、本実施形態の管理装置１０は表示処理部１３０を備える。

本実施形態の表示処理部１３０は、セキュリティリスクを有する管理対象装置に適用可能な対処を示す対処情報と、その管理対象装置の稼働情報であって、その管理対象装置に適用可能な対処に対応する種類の稼働情報と、を対応付けて表示装置に表示させる。ここで、「管理対象装置に適用可能な対処に対応する（稼働情報の）種類」は、例えば図３に示されるような、稼働情報の種類とセキュリティリスクに対する対処との対応関係を定義する定義情報を用いて特定される。

〔ハードウエア構成〕
本実施形態の管理装置１０は、例えば図６に示されるようなハードウエア構成を有する。ストレージ１０３は、本実施形態の表示処理部１３０の機能を実現するプログラムを格納しており、プロセッサ１０１がこのプログラムを実行することによって本実施形態の表示処理部１３０が実現される。

〔動作例〕
本実施形態の表示処理部１３０は、例えば、次のように動作する。一例として、管理装置１０と通信可能に接続された外部装置が、管理対象装置に適用可能な対処の調査と、図３に示されるような定義情報を用いて特定される種類の稼働情報の収集とを実行し、表示処理部１３０はその処理結果を取得する。この場合、表示処理部１３０は、外部装置から取得した情報を基に、例えば図５に示されるような画面を表示装置に表示させることができる。またこれに限らず、表示処理部１３０は、管理対象装置に適用可能な対処の調査結果のみを外部装置から取得してもよい。この場合、表示処理部１３０は、その調査結果を受け取った後、図３に示されるような定義情報を用いて、管理対象装置に適用可能な対処に対応する稼働情報の種類を特定する。そして、表示処理部１３０は、特定した種類の稼働情報を管理対象装置から取得し、その管理対象装置に適用可能な対処と、その対処に対応する稼働情報とを対応付けて表示する。また、管理対象装置の稼働情報を収集および蓄積する記憶部が存在する場合、表示処理部１３０は、定義情報を用いて特定した種類の稼働情報をその記憶部から取得してもよい。この「管理対象装置の稼働情報を収集および蓄積する記憶部」は、管理装置１０に備えられていてもよいし、管理装置１０と通信可能に接続された外部装置に備えられていてもよい。また、表示処理部１３０は、図１３に示されるような情報が所定の記憶部に格納されている場合、その情報を用いて、管理対象装置に適用可能な対処の調査を併せて実行することもできる。この「所定の記憶部」は、管理装置１０に備えられていてもよいし、管理装置１０と通信可能に接続された外部装置に備えられていてもよい。

〔第５実施形態の作用および効果〕
本実施形態によっても、第１実施形態と同様に、管理対象装置に適用可能な対処と、その対処に対応する稼働情報とを対応付けて表示する画面をセキュリティ管理者に提示することができる。これにより、第１実施形態と同様の効果を得ることができる。

以上、図面を参照して本発明の実施形態について述べたが、これらは本発明の例示であり、上記以外の様々な構成を採用することもできる。

例えば、上述の各実施形態で例示した画面で選択された対処を、各管理対象装置３０に実行させる実行ボタンなどを配置してもよい。当該ボタンが押下されると、管理装置１０は、画面上で選択された内容に従って各管理対象装置３０に対処を実行させる命令を生成し、各管理対象装置３０に向けて出力する。これにより、セキュリティリスクの調査から対処の実行までを一元的に管理することができる。

また、上述の説明で用いたフローチャートやシーケンス図では、複数の工程（処理）が順番に記載されているが、各実施形態で実行される工程の実行順序は、その記載の順番に制限されない。各実施形態では、図示される工程の順番を内容的に支障のない範囲で変更することができる。また、上述の各実施形態は、内容が相反しない範囲で組み合わせることができる。

以下、参考形態の例を付記する。
１．
セキュリティリスクを有する管理対象装置に適用可能な対処を示す対処情報と、管理対象装置の稼働情報の種類と前記セキュリティリスクに対する対処との対応関係を定義する定義情報とを用いて、前記セキュリティリスクを有する管理対象装置に適用可能な対処に対応する稼働情報の種類を特定する特定手段と、
前記特定した種類の稼働情報を取得する取得手段と、
前記取得した稼働情報を、前記セキュリティリスクを有する管理対象装置に適用可能な対処に対応付けて表示装置に表示させる表示処理手段と、
を備える情報処理装置。
２．
前記定義情報を外部のサーバ装置から取得する定義情報取得手段を更に備える、
１．に記載の情報処理装置。
３．
前記稼働情報の種類別に優先度が予め定められており、
前記表示処理手段は、
前記稼働情報の種類別の優先度に基づいて、各稼働情報の表示順序または表示状態の少なくともいずれか一方を制御する、
１．または２．に記載の情報処理装置。
４．
前記表示処理手段は、
予め定められた条件を満たす稼働情報を判定し、当該条件を満たす稼働情報を識別可能な状態で前記表示装置に表示させる、
１．から３．のいずれか１つに記載の情報処理装置。
５．
前記稼働情報は、前記管理対象装置の稼働履歴または稼働予定の少なくとも一方を含む、
１．から４．のいずれか１つに記載の情報処理装置。
６． 管理対象装置の稼働情報の種類をセキュリティリスクへの対処別に定義する定義情報を外部の管理装置に配信する定義情報配信手段を備える情報処理装置。
７．
管理装置とサーバ装置とを備えるシステムであって、
前記サーバ装置は、
管理対象装置の稼働情報の種類をセキュリティリスクに対する対処別に定義する定義情報を外部の管理装置に配信する定義情報配信手段を備え、
前記管理装置は、
セキュリティリスクを有する管理対象装置に適用可能な対処を示す対処情報と前記定義情報とを用いて、前記セキュリティリスクを有する管理対象装置に適用可能な対処に対応する稼働情報の種類を特定する特定手段と、
前記特定した種類の稼働情報を取得する取得手段と、
前記取得した稼働情報を、前記セキュリティリスクを有する管理対象装置に適用可能な対処に対応付けて表示装置に表示させる表示処理手段を備える、
セキュリティ管理システム。
８．
前記稼働情報の種類別に優先度が予め定められており、
前記表示処理手段は、
前記稼働情報の種類別の優先度に基づいて、各稼働情報の表示順序または表示状態の少なくともいずれか一方を制御する、
７．に記載のセキュリティ管理システム。
９．
前記表示処理手段は、
予め定められた条件を満たす稼働情報を判定し、当該条件を満たす稼働情報を識別可能な状態で前記表示装置に表示させる、
７．または８．に記載のセキュリティ管理システム。
１０．
前記稼働情報は、前記管理対象装置の稼働履歴または稼働予定の少なくとも一方を含む、
７．から９．のいずれか１つに記載のセキュリティ管理システム。
１１．
コンピュータが、
セキュリティリスクを有する管理対象装置に適用可能な対処を示す対処情報と、管理対象装置の稼働情報の種類と前記セキュリティリスクに対する対処との対応関係を定義する定義情報とを用いて、前記セキュリティリスクを有する管理対象装置に適用可能な対処に対応する稼働情報の種類を特定し、
前記特定した種類の稼働情報を取得し、
前記取得した稼働情報を、前記セキュリティリスクを有する管理対象装置に適用可能な対処に対応付けて表示装置に表示させる、
ことを含むセキュリティ対策提示方法。
１２．
コンピュータが、
前記定義情報を外部のサーバ装置から取得する、
ことを更に含む１１．に記載のセキュリティ対策提示方法。
１３．
前記稼働情報の種類別に優先度が予め定められており、
前記コンピュータが、
前記稼働情報の種類別の優先度に基づいて、各稼働情報の表示順序または表示状態の少なくともいずれか一方を制御する、
ことを更に含む１１．または１２．に記載のセキュリティ対策提示方法。
１４．
前記コンピュータが、
予め定められた条件を満たす稼働情報を判定し、当該条件を満たす稼働情報を識別可能な状態で前記表示装置に表示させる、
ことを更に含む１１．から１３．のいずれか１つに記載のセキュリティ対策提示方法。
１５．
前記稼働情報は、前記管理対象装置の稼働履歴または稼働予定の少なくとも一方を含む、
１１．から１４．のいずれか１つに記載のセキュリティ対策提示方法。
１６．
コンピュータが、
管理対象装置の稼働情報の種類をセキュリティリスクへの対処別に定義する定義情報を外部の管理装置に配信することを含むセキュリティ情報配信方法。
１７．
コンピュータを、
セキュリティリスクを有する管理対象装置に適用可能な対処を示す対処情報と、管理対象装置の稼働情報の種類と前記セキュリティリスクに対する対処との対応関係を定義する定義情報とを用いて、前記セキュリティリスクを有する管理対象装置に適用可能な対処に対応する稼働情報の種類を特定する特定手段、
前記特定した種類の稼働情報を取得する取得手段、
前記取得した稼働情報を、前記セキュリティリスクを有する管理対象装置に適用可能な対処に対応付けて表示装置に表示させる表示処理手段、
として機能させるためのプログラム。
１８．
前記コンピュータを、
前記定義情報を外部のサーバ装置から取得する定義情報取得手段、
として更に機能させるための１７．に記載のプログラム。
１９．
前記稼働情報の種類別に優先度が予め定められており、
前記コンピュータを、
前記稼働情報の種類別の優先度に基づいて、各稼働情報の表示順序または表示状態の少なくともいずれか一方を制御する手段、
として更に機能させるための１７．または１８．に記載のプログラム。
２０．
前記コンピュータを、
予め定められた条件を満たす稼働情報を判定し、当該条件を満たす稼働情報を識別可能な状態で前記表示装置に表示させる手段、
として更に機能させるための１７．から１９．のいずれか１つに記載のプログラム。
２１．
前記稼働情報は、前記管理対象装置の稼働履歴または稼働予定の少なくとも一方を含む、
１７．から２０．のいずれか１つに記載のプログラム。
２２．
コンピュータを、
管理対象装置の稼働情報の種類をセキュリティリスクへの対処別に定義する定義情報を外部の管理装置に配信する定義情報配信手段として機能させるためプログラム。
２３．
セキュリティリスクを有する管理対象装置に適用可能な対処を示す対処情報と、前記管理対象装置の稼働情報であって、稼働情報の種類と前記セキュリティリスクに対する対処との対応関係を定義する定義情報を用いて特定される、前記管理対象装置に適用可能な対処に対応する種類の稼働情報と、を対応付けて表示装置に表示させる表示処理手段、
を備える情報処理装置。

この出願は、２０１５年１０月１９日に出願された日本出願特願２０１５−２０５４９３号を基礎とする優先権を主張し、その開示の全てをここに取り込む。

Claims (4)

1. 管理対象装置の稼働情報の種類をセキュリティリスクへの対処別に定義する定義情報を、前記管理対象装置のセキュリティを管理する処理を行う外部の管理装置に配信する定義情報配信手段を備える情報処理装置。
2. 前記外部の管理装置は、
   セキュリティリスクを有する管理対象装置に適用可能な対処を示す対処情報と、管理対象装置の稼働情報の種類と前記セキュリティリスクに対する対処との対応関係を定義する定義情報とを用いて、前記セキュリティリスクを有する管理対象装置に適用可能な対処に対応する稼働情報の種類を特定する特定手段と、
   前記特定した種類の稼働情報を取得する取得手段と、
   前記取得した稼働情報を、前記セキュリティリスクを有する管理対象装置に適用可能な対処に対応付けて表示装置に表示させる表示処理手段と、
   を備える、請求項１に記載の情報処理装置。
3. コンピュータが、
   管理対象装置の稼働情報の種類をセキュリティリスクへの対処別に定義する定義情報を、前記管理対象装置のセキュリティを管理する処理を行う外部の管理装置に配信することを含むセキュリティ情報配信方法。
4. コンピュータを、
   管理対象装置の稼働情報の種類をセキュリティリスクへの対処別に定義する定義情報を、前記管理対象装置のセキュリティを管理する処理を行う外部の管理装置に配信する定義情報配信手段として機能させるためのプログラム。

Images