JP2023020031A - 検査装置、検査プログラム、及び検査方法 - Google Patents

Abstract

【課題】 負荷低減や早期検知をしつつ、不正端末や脆弱性検査を行うことができる検査装置を提供する。【解決手段】 本発明は、ネットワークを介して接続される１又は２以上の検査対象機器の脆弱性及び又は不正を検査する検査装置であって、ネットワーク上に新規に接続する前記各検査対象機器を検知すると共に、前記各検査対象機器がネットワーク上で送受信するパケットに基づき、前記各検査対象機器の同定処理を行い、機器種別を判定する第１の検査手段と、前記第１の検査手段で行った検査結果の情報を用いて、当該検査装置及び前記検査対象機器間のデータの送受信により機器の脆弱性及び又は不正を検知する検査内容を決定して、決定した検査内容に基づき、前記検査対象機器の検査を行う第２の検査手段とを有する。【選択図】 図１

Description

本発明は、検査装置、検査プログラム、及び検査方法に関し、例えば、ネットワーク上の端末を遠隔で監視し、不正端末の検出や脆弱性検査を行う検査装置に適用し得る。

コンピュータのＯＳ（Ｏｐｅｒａｔｉｎｇ Ｓｙｓｔｅｍ）やアプリケーション（ソフトウェア）には、プログラムの不具合や設計上のミスが原因となって発生し得る情報セキュリティ上の欠陥である脆弱性問題が存在する。脆弱性が残された状態でコンピュータを利用し続けると、不正アクセスに利用されたり、ウイルスに感染したりする危険性がある。

このように脆弱性は、ネットワーク（インターネット等）に接続しているコンピュータにおける情報セキュリティ上の大きな問題のひとつになっている。

脆弱性を発見するソフトウェアとして、例えば、非特許文献１～３に開示されているような脆弱性検査ツールが存在する。脆弱性検査ツールを利用して脆弱性を発見、除去することでウイルス感染等のリスクを抑えることができる。脆弱性検査手段として、例えば以下のような検査が存在する。

ポートスキャンは、ネットワークに接続されている検査対象端末に対し、ポートを指定したデータを送信し、応答を調べる。検査対象ポート分のデータパケットの送受信を行うことで、検査対象端末が使用しているサービスやＯＳを調査することができる。

パスワードの脆弱性検査は、アプリケーションが保持する初期パスワード、文字数が少なかったり、漏洩しやすい一般名詞で構成されているといったパスワード文字列のデータベースをあらかじめ用意しておき、ネットワークに接続されている検査対象端末に対し、このデータベースの文字列を用いてログインを試み、ログインできれば脆弱性が存在すると判定することができる。

"Ｎｍａｐ Ｃｈａｎｇｅｌｏｇ"［２０２１年７月２０日検索］，［Ｏｎｌｉｎｅ］、ＩＮＴＥＲＮＥＴ、<URL: https://nmap.org/changelog.html> "ＮＥＳＳＵＳ"［２０２１年７月２０日検索］，［Ｏｎｌｉｎｅ］、ＩＮＴＥＲＮＥＴ、<URL: https://www.tenable.com/products/nessus> "ＯＷＡＳＰ ＺＡＰ（Ｚｅｄ Ａｔｔａｃｋ Ｐｒｏｘｙ）"［２０２１年７月２０日検索］，［Ｏｎｌｉｎｅ］、ＩＮＴＥＲＮＥＴ、<URL: https://owasp.org/www-project-zap/>

しかしながら、上述の脆弱性検査は、使用サービス、ＯＳやパスワード等に関する脆弱性検知の精度を向上させるために、対象機器情報、ポート情報、パスワードを大量に保持して置くことで精度を向上させることはできるが、検査に時間がかかり、検査対象の端末の負荷がとても高くなるという問題があった。

上記問題に対して、先にＯＳスキャンを行い、ＯＳスキャンで判定したＯＳについての脆弱性検査を行うことで検査時間は短縮できるが、ＯＳスキャンは正しい結果を返すとは限らない。

また、標準ポート番号以外のポート番号に設定したり、推奨されていないポート番号を使用するアプリケーションをインストールした時に誤判定を起こしやすい。誤ったＯＳで脆弱性検査を行うことで精度が下がるという問題が発生する。

そのため、負荷低減や早期検知をしつつ、不正端末や脆弱性検査を行うことができる検査装置、検査プログラム、及び検査方法が望まれている。

第１の本発明は、ネットワークを介して接続される１又は２以上の検査対象機器の脆弱性及び又は不正を検査する検査装置であって、（１）ネットワーク上に新規に接続する前記各検査対象機器を検知すると共に、前記各検査対象機器がネットワーク上で送受信するパケットに基づき、前記各検査対象機器の同定処理を行い、機器種別を判定する第１の検査手段と、（２）前記第１の検査手段で行った検査結果の情報を用いて、当該検査装置及び前記検査対象機器間のデータの送受信により機器の脆弱性及び又は不正を検知する検査内容を決定して、決定した検査内容に基づき、前記検査対象機器の検査を行う第２の検査手段とを有することを特徴とする。

第２の本発明の検査プログラムは、ネットワークを介して接続される１又は２以上の検査対象機器の脆弱性及び又は不正を検査する検査装置に搭載されるコンピュータを、（１）ネットワーク上に新規に接続する前記各検査対象機器を検知すると共に、前記各検査対象機器がネットワーク上で送受信するパケットに基づき、前記各検査対象機器の同定処理を行い、機器種別を判定する第１の検査手段と、（２）前記第１の検査手段で行った検査結果の情報を用いて、当該検査装置及び前記検査対象機器間のデータの送受信により機器の脆弱性及び又は不正を検知する検査内容を決定して、決定した検査内容に基づき、前記検査対象機器の検査を行う第２の検査手段として機能させることを特徴とする。

第３の本発明は、ネットワークを介して接続される１又は２以上の検査対象機器の脆弱性及び又は不正を検査する検査装置に使用する検査方法であって、第１の検査手段及び第２の検査手段を有し、（１）前記第１の検査手段は、ネットワーク上に新規に接続する前記各検査対象機器を検知すると共に、前記各検査対象機器がネットワーク上で送受信するパケットに基づき、前記各検査対象機器の同定処理を行い、機器種別を判定し、（２）前記第２の検査手段は、前記第１の検査手段で行った検査結果の情報を用いて、当該検査装置及び前記検査対象機器間のデータの送受信により機器の脆弱性及び又は不正を検知する検査内容を決定して、決定した検査内容に基づき、前記検査対象機器の検査を行うことを特徴とする。

本発明によれば、負荷低減や早期検知をしつつ、不正端末や脆弱性検査を行うことができる。

実施形態に係るアクティブスキャン装置の内部構成を示すブロック図である。 実施形態に係る脆弱性検査システムの全体構成を示す全体構成図である。 実施形態に係る正規端末情報格納部の一例を示す説明図である。 実施形態に係る機器同定結果格納部の一例を示す説明図である。 実施形態に係る判定情報格納部の一例を示す説明図である。 実施形態に係る脆弱性検査結果格納部の一例を示す説明図である。 実施形態に係る脆弱性検査システム（主にアクティブスキャン装置）における脆弱性検査を示すフローチャートである。 実施形態に係る脆弱性検査部におけるＯＳスキャンの詳細な処理を示すフローチャートである。 実施形態に係る脆弱性検査部における脆弱性検査の詳細な処理を示すフローチャートである。 実施形態に係る脆弱性検査結果の一例を示す説明図である。

（Ａ）主たる実施形態
以下では、本発明に係る検査装置、検査プログラム、及び検査方法の一実施形態を、図面を参照しながら詳細に説明する。

（Ａ－１）実施形態の構成
（Ａ－１－１）全体構成
図２は、実施形態に係る脆弱性検査システムの全体構成を示す全体構成図である。

図２において、脆弱性検査システム１００は、アクティブスキャン装置１と、機器同定装置２と、脆弱性結果出力装置３と、複数の検査対象端末４（４－１～４－ｎ）とを有し、各装置（端末）はネットワークＮを介して接続されている。

図２の例では、アクティブスキャン装置１、第１の検査手段としての機器同定装置２、及び脆弱性結果出力装置３の３つの装置で成脆弱性検査装置が構成されるが、１又は２の装置で各装置の機能を実装しても良い。

ネットワークＮは、各装置が接続可能な通信ネットワークであれば良く、その種類は限定されるものではない。また、各装置間に介在するネットワークが複数種類あり、ネットワークＮが複数種類のネットワーク（イーサーネット、インターネット等）で構成されていても良い。

アクティブスキャン装置１は、検査対象の端末である検査対象端末４内に脆弱性を含んでいるか否かを検査する機能を保持する。

機器同定装置２は、検査対象端末４が送受信するパケットをネットワークＮ上で監視し、パケットの送受信の振る舞いから機器種別を判定する機能（機器種別を判定する方法及びアルゴリズムは種々様々な方法及びアルゴリズムを適用できる）を保持する。そして、機器同定装置２は、脆弱性判定対象と判断した検査対象端末４であればアクティブスキャン装置１に通知する機能を保持する。機器同定は静的な判定であるので検査対象端末４に負荷をかけることはない。機器同定装置２は、例えばゲートウェイ等のネットワークＮ内の検査対象端末４の接続を管理できる装置内の機能とするようにしても良い。

脆弱性結果出力装置３は、脆弱性検査の結果を出力表示する機能を保持する。例えば、脆弱性結果出力装置３は、装置内にＷＥＢブラウザを所持し、当該ブラウザを用いてアクティブスキャン装置１から送信された情報（脆弱性検査の結果）を画面表示したり、表示された画面に対して情報を入力することでアクティブスキャン装置１に入力情報を送信することができる。

検査対象端末４は、ＩＰ（Ｉｎｔｅｒｎｅｔ Ｐｒｏｔｏｃｏｌ）アドレスやＭＡＣ（Ｍｅｄｉａ Ａｃｃｅｓｓ Ｃｏｎｔｒｏｌ）アドレスが付与されネットワークＮに接続可能な通信端末である。例えば、検査対象端末４は、ＰＣ（Ｐｅｒｓｏｎａｌ Ｃｏｍｐｕｔｅｒ）、タブレット、スマートフォン等の通信機能が存在する情報処理端末である。この実施形態では、検査対象端末４は、「ＰＣ」であることを前提とする。

（Ａ－１－２）アクティブスキャン装置１の詳細構成
図１は、実施形態に係るアクティブスキャン装置の内部構成を示すブロック図である。図１において、アクティブスキャン装置１は、データ受信部１１と、第２の検査手段としての脆弱性検査部１２と、スキャンデータ生成部１３と、検査結果生成部１４と、制御部１５と、正規端末情報格納部１６と、機器同定結果格納部１７と、判定情報格納部１８と、脆弱性検査結果格納部１９とを有する。

アクティブスキャン装置１は、すべてハードウェア的に構成（例えば、専用の半導体チップを用いて構成）するようにしても良いし、一部または全部についてソフトウェア的に構成するようにしても良い。

データ受信部１１は、機器同定装置２が送信した検査対象端末４の機器同定結果（機器同定結果データ）を受信する機能を保持する。また、データ受信部１１は、検査対象端末４に対して行ったアクティブスキャン結果を受信する機能を保持する。

脆弱性検査部１２は、検査対象の検査対象端末４に対しアクティブスキャンを行うための脆弱性検査内容を決定する機能を保持する。検査内容は、機器同定装置２から受信した新規接続データと、正規端末情報格納部１６、判定情報格納部１８、脆弱性検査結果格納部１９内の情報を用いて内容を決定する。脆弱性検査部１２は、アクティブスキャンとして、例えば、ポートスキャン、パスワードスキャン等を使用する。

スキャンデータ生成部１３は、脆弱性検査部１２が決定した脆弱性検査内容について、判定情報格納部１８内のデータを用いてスキャンデータを生成し、検査対象端末４に対し送信する機能を保持する。

検査結果生成部１４は、脆弱性検査結果から脆弱性結果出力装置３で表示できる形式の結果を生成し、脆弱性結果出力装置３に送信する機能を保持する。

制御部１５は、脆弱性検査開始タイミングを決め、脆弱性検査開始タイミングになれば脆弱性検査部１２に、検査実行要求を出す機能を保持する。検査対象端末４のＣＰＵ利用率や負荷を取得し、負荷がかかっている場合は脆弱性開始タイミングを遅らせるようにしても良い。

正規端末情報格納部１６は、ネットワーク接続を許可された端末（検査対象端末４）についての情報を保存するものである。

図３は、実施形態に係る正規端末情報格納部の一例を示す説明図である。図３に示すように、正規端末情報格納部１６は、ネットワーク接続を許可された端末（検査対象端末４）を識別する「ＩＤ（Ｉｄｅｎｔｉｆｉｃａｔｉｏｎ）」と、各検査対象端末４のＩＰアドレスを示す「ＩＰアドレス」と、各機器のＭＡＣアドレスを示す「ＭＡＣアドレス」と、各機器の種別（ＯＳ等）を示す「機器種別」の項目を有する。なお、図３は一例であって、正規端末情報格納部１６の構成は、種々様々な構成を適用することができる。

上記機器種別は、後述するように脆弱性検査内容を決定するために利用され、あらかじめ検査対象機器毎に登録しても良いし、脆弱性結果後に登録されるようにしても良い。

機器同定結果格納部１７は、機器同定装置２の判定結果を保存するものである。

図４は、実施形態に係る機器同定結果格納部の一例を示す説明図である。図４に示すように、機器同定結果格納部１７は、機器同定結果を識別する「ＩＤ」と、各検査対象端末４のＩＰアドレスを示す「ＩＰアドレス」と、各機器の種別（ＯＳ等）を示す「機器種別」と、判定した時刻を示す「タイムスタンプ」の項目を有する。なお、図４は一例であって、機器同定結果格納部１７の構成は、種々様々な構成を適用することができる。また、ここでの「機器種別」は、機器同定装置２が判定した機器種別である。

アクティブスキャン装置１は、機器同定装置２が、検査対象端末４に対し機器同定を行い、機器同定結果を受信すると、機器同定結果格納部１７に新たにＩＤを割り当て追加保存する。なお、機器同定結果は追加保存ではなく、上書き保存するようにしても良い。また、判定できなかった場合には機器同定結果格納部１７に保存しないようにしても良い。

判定情報格納部１８は、脆弱性検査に関する判定方法を保存（記述）するものである。例えば、パスワードスキャンならばパスワードリスト、ポートスキャンならば検査対象ポート等を判定情報格納部１８に記述する。

図５は、実施形態に係る判定情報格納部の一例を示す説明図である。図５において、判定情報格納部１８は、検査内容を識別するための「検査ＩＤ」と、各機器の種別（ＯＳ等）を示す「機器種別」と、所定の検査種別（パスワードスキャン、ポートスキャン）を示す「検査種別」と、所定の検査を実行するためのコマンドである「検査コマンド」と、所定の検査に必要なデータ、パラメータ等が定義されたファイル名を示す「検査ファイル名」と、所定の検査方法に基づく正規な検査結果が記述されたファイルを示す「正規結果出力ファイル」の項目を有する。なお、図５は一例であって、判定情報格納部１８の構成は、種々様々な構成を適用することができる。

判定情報格納部１８には、図５に示すように、検査内容ごとに、対象機器種別、検査種別、検査コマンド、検査ファイル名、正規結果出力ファイルを記述する。機器毎に使用される初期パスワードやポート番号が異なるといった場合には、それぞれについて記述しておくことで脆弱性検査の精度が向上する。

判定情報格納部１８の使用方法について、例えば、脆弱性検査部１２によって検査対象の機器（機器種別）が指定されると該当する検査ＩＤが全て返される（通知される）。一方、検査ＩＤを指定すると、検査種別から何を検査するかを知ることができ、検査コマンド、検査ファイル名から検査の実行形式を取得することができる。また、脆弱性検査部１２は、検査結果と上述の正規結果出力ファイルとを比較し、脆弱性判断の参考にできる。

図５に示す検査ＩＤ１（機器種別がＵｎｋｎｏｗｎ）と検査ＩＤ６（機器種別がＵｎｋｎｏｗｎ）は全端末共通の検査内容である。また、検査ＩＤ５や検査ＩＤ８はスマートタップ向け検査内容である。検査ＩＤ２のようにＰＣ共通にしたり、ＩＤ４のようにＰＣのバージョンにより検査内容を変更しても良い。

図５のように判定情報格納部１８を構成することにより、機器種別毎に使用ポート番号が異なった検査を行ったり、ＰＣ向けはスマートタップより詳細な検査を行う、といった臨機応変に対応することができる。検査ファイルは、ポートスキャンを実施するならばスキャン対象ポート番号、パスワードスキャンならばパスワードリストを記述したファイルをあらかじめ作成しておき検査ファイル名として指定する。

脆弱性検査結果格納部１９は、脆弱性検査の結果を保存（記述）するものである。図６は、実施形態に係る脆弱性検査結果格納部の一例を示す説明図である。図６に示すように、脆弱性検査結果格納部１９は、実行した検査を識別する「検査ＩＤ」と、検査対象端末４を特定するための識別子（ＩＰアドレス又はＭＡＣアドレス）を示す「端末ＩＤ」と、検査した時刻を示す「検査時刻」と、検査した検査対象端末４のＯＳの種別を示す「ＯＳ」と、許可たＯＳか否かを示す「許可ＯＳ」と、パスワードスキャン結果を示す「パスワード」と、正規の端末であるか否かを示す「正規端末」と、脆弱性検査のスコアを示す「スコア」の項目を有する。なお、上述の許可ＯＳ、パスワードスキャン結果、及び正規端末の項目には、例えば、脆弱性検査のログファイル等を参照して記述すれば良い。

脆弱性検査結果格納部１９は、以上の項目について、脆弱性判定毎に記述する。同一端末ＩＤに対し新規脆弱性検査をしたならば、以前の脆弱性結果に対し上書きる又は新検査ＩＤを割り当て追加保存する。追加保存する場合には、機器同定結果と同様に、同一端末の複数の結果を用い、結果を判定する。

（Ａ－２）実施形態の動作
次に、実施形態に係る脆弱性検査システム１００における特徴動作を、図面を参照しながら詳細に説明する。

図７は、実施形態に係る脆弱性検査システム（主にアクティブスキャン装置１）における脆弱性検査を示すフローチャートである。

＜Ｓ１０１＞
機器同定装置２ではネットワークＮを流れる検査対象端末４のパケットを監視し、判定が実施されれば、機器判定情報（機器判定結果）をアクティブスキャン装置１に送信する。アクティブスキャン装置１は、データ受信部１１を介して取得した機器判定結果を機器同定結果格納部１７に保存する。

保存されたタイミングで以下の脆弱性検査が開始される。この他、アクティブスキャン装置１での機器同定情報の受信タイミングでは無く、アクティブスキャン装置１の制御部１５が独自で前回検査からの経過時間を監視して不正端末検査の必要性の判断をしても良い。何れにしても脆弱性検査のタイミングは、特に限定されるものでは無い。

＜Ｓ１０２＞
アクティブスキャン装置１（脆弱性検査部１２）は、機器同定結果格納部１７から機器同定結果のＩＰアドレスと機器種別を抽出する。

脆弱性検査部１２は、同一端末で複数回機器同定を行い、機器種別の内容が異なる場合には、最新の結果を優先する。また、脆弱性検査部１２は、３回以上機器同定を行っていた場合には、最も回数が多い機器種別結果をその端末の結果として利用するようにしても良い。

例えば、上述の図４（機器同定結果格納部１７）では、ＩＰアドレスが「２．２．２．２」の機器は、ＩＤ２、ＩＤ６、ＩＤ８の合計３回分データが保存されている。機器種別は、「ＰＣ ＯＳ ｖｅｒ１」が２回、「ＰＣ ＯＳ ｖｅｒ２」が１回であるので、機器種別は、「ＰＣ ＯＳ ｖｅｒ１」とみなして利用することになる。また、ＩＰアドレスが「３．３．３．３」の機器のデータは、２回機器種別が異なっている。この場合には、機器種別は、最新（ＩＤ７のデータ）の「ＰＣ ＯＳ Ｖｅｒ３」とみなすことになる。

＜Ｓ１０３＞
脆弱性検査部１２は、正規端末情報格納部１６から該当する端末の正規端末情報と、脆弱性検査結果格納部１９から該当する端末の過去の脆弱性検査結果を抽出する。

＜Ｓ１０４＞
脆弱性検査部１２は、機器同定結果、正規端末情報、及び過去の脆弱性検査結果から、脆弱性検査（又は不正端末検査）が必要であるか否かを判定する。脆弱性検査部１２は、新規に検査対象端末４がネットワーク接続されたり、機器同定結果、正規端末情報の機器種別が異なる、又は過去の脆弱性検査結果で、脆弱性が存在するか若しくはスコアが低いときには検査を行うようにする。

上述の図３（正規端末情報格納部１６）及び図４（機器同定結果格納部１７）を例に挙げると、ＩＰアドレスが「１．１．１．１」の機器種別は、正規端末情報格納部１６では「ＰＣ ｇａｔｅｗａｙ」、機器同定結果格納部１７では、「ＰＣ ＯＳ ｖｅｒ１」と異なっているので脆弱性検査を行う。また、ＩＰアドレスが「５．５．５．５」の機器種別は正規端末情報に登録されていないので（例えば、新規ネットワークに接続したため）脆弱性検査を行う。

さらに、アクティブスキャン装置１独自で前回検査からの経過時間を監視して不正端末検査の必要性の判断をする場合には、強制的に検査が必要であると判定する。脆弱性検査部１２は、検査が必要であれば後述するステップＳ１０５に移行し、一方、検査が必要ないと判定すれば後述するステップＳ１０７へ移行する。

＜Ｓ１０５＞
脆弱性検査部１２は、上述のステップＳ１０４の処理で検査が必要と判定された場合、機器同定装置２での機器同定結果（機器同定結果格納部１７に格納した機器同定結果）を用いて、脆弱性検査のための機器を決定するためにＯＳスキャンを行う。

図８は、実施形態に係る脆弱性検査部におけるＯＳスキャンの詳細な処理を示すフローチャートである。

＜Ｓ１０５－１＞
脆弱性検査部１２は、該当アドレス（上述のステップＳ１０４の処理で検査が必要と判定された機器のＩＰアドレス）について、判定情報格納部１８からＯＳスキャンに必要なパラメータ（検査ファイル等）を抽出する。

例えば、図５の場合には、脆弱性検査部１２は、ＯＳスキャンでは検査種別が「ｐｏｒｔ」、機器種別が「ＰＣ」である検査ＩＤ７の検査パラメータを抽出するものとする。

＜Ｓ１０５－２＞
脆弱性検査部１２は、該当アドレスの端末（検査対象端末４）に対しＯＳスキャンを行う。ポートスキャンを行い、使用ポート番号を調べ、使用ポートから使用ＯＳを判定する。

＜Ｓ１０５－３＞
脆弱性検査部１２は、ＯＳスキャンの結果から、機器候補リストを出力する。

例えば、脆弱性検査部１２は、候補１～３まで出し、それぞれについて機器のスコアを計算する。ＩＰアドレス「１．１.１．１」について、ＯＳスキャンにより、（ＯＳ，スコア）の組が（ＰＣ ｇａｔｅｗａｙ，９０）、（ＰＣ ＯＳ ｖｅｒ２,８９）、（ＰＣ ＯＳ ｖｅｒ１,８８）というような３組得られたとする。

＜Ｓ１０５－４＞
脆弱性検査部１２は、所定スコア以上かつ、スコアが最も高いＯＳスキャン結果について、機器同定結果の機器候補のＯＳと合致しているかを調査する。

脆弱性検査部１２は、両者が合致していれば、合致したＯＳを機器種別とする。一方、脆弱性検査部１２は、両者が合致していなければ、上述のＳ１０５－３に戻り、その次にスコアが高い結果について、機器同定結果での判定機器と合致するか否かを同様に調査する。

例えば、スコアのしきい値８０で、上述のステップＳ１０５－３で示した例の場合、１回目は「ＰＣ ｇａｔｅｗａｙ」で、機器同定の結果は「ＰＣ ＯＳ ｖｅｒ１」と異なるのでＳ１０５－３に戻る。スコアが２番目に高い「ＰＣ ＯＳ ｖｅｒ２」も異なる。そして、３回目でスコアが３番目に高い「ＰＣ ＯＳ ｖｅｒ１」が選択され機器同定結果と同一となるため、脆弱性検査部１２は、「ＰＣ ＯＳ ｖｅｒ １」を機器種別と決定する。

仮に、機器同定結果がバージョンまで判定せず「ＰＣ」のみしか判定しないならば、最もスコアが高い「ＰＣ ＯＳ ｖｅｒ ２」で次のステップＳ１０５－５へ進むことになる。

＜Ｓ１０５－５＞
脆弱性検査部１２は、ＯＳ判定結果を決定する。脆弱性検査部１２は、所定スコア以上に候補５（候補数は５に限らず、種々様々）まで調べても一致しなければスコアが最も高い機器種別を選択する。また、機器種別は、機器同定結果を優先するようにしても良い。

＜Ｓ１０５－６＞
脆弱性検査部１２は、脆弱性検査結果格納部１９の該当端末の「ＯＳ」項目のデータを更新する。

＜Ｓ１０６＞
脆弱性検査部１２は、判定された機器についての脆弱性検査を行う。脆弱性検査部１２は、脆弱性検査後、正規端末情報格納部１６、及び脆弱性検査結果格納部１９の該当端末の内容を更新する。

なお、上述のステップＳ１０４で脆弱性検査を行うとしたが、ステップＳ１０５の結果で、該当する脆弱性検査がない時には実施しなくてもよいことになる。

図９は、実施形態に係る脆弱性検査部における脆弱性検査の詳細な処理（Ｓ１０６の詳細な処理）を示すフローチャートである。

＜Ｓ１０６－１＞
脆弱性検査部１２は、該当アドレスについて、上述のステップＳ１０５で決定した機器種別で実施する脆弱性検査のパラメータを判定情報格納部１８から取得する。

例えば、ＩＰアドレス「１．１.１．１」は、「ＰＣ ＯＳ ｖｅｒ １」である検査ＩＤ４のパスワードスキャンと、「ＰＣ」である検査ＩＤ７のポートスキャンが選択される。

上述のステップＳ１０５－３で示した例の場合、ＯＳスキャンのみだと検査ＩＤ３のパスワードスキャンが選択されるが、機器同定結果を考慮することで検査ＩＤ４のパスワードスキャンが選択されることになる。

＜Ｓ１０６－２＞
アクティブスキャン装置１（脆弱性検査部１２）は、脆弱性検査を行う。アクティブスキャン装置１は、スキャンデータ生成部１３から検査対象端末４に対しデータを送信し、検査対象端末４からの応答データをデータ受信部１１経由で脆弱性検査部１２に入力し、全てのスキャンデータの送受信後に脆弱性の判定を行う。

＜Ｓ１０６－３＞
脆弱性検査部１２は、対象機器で実施すべき脆弱性検査の内、まだ実施していない検査が存在するか否かを調べる。脆弱性検査部１２は、実施していない検査があれば、ステップＳ１０６－１に戻り脆弱性検査を行う。一方、脆弱性検査部１２は、実施すべき検査を全て行っていれば次のＳ１０６－４を実行する。

＜Ｓ１０６－４＞
脆弱性検査部１２は、判定結果を決定し正規端末情報格納部１６、脆弱性検査結果格納部１９の該当端末の内容を更新する。記述（更新）する行（データ）は、Ｓ１０５－６の同一行に対して行う。

脆弱性検査部１２は、不正端末の判定では、許可されていない端末、ポートスキャンにより、許可されていないＯＳや、許可されていないソフトウェアが使用するポートが開いていることを検出したり、パスワードスキャン等により、許可されていないユーザといったことが発見されれば不正端末とみなす。また、脆弱性検査の結果が既にネットワーク内に存在している他の端末の結果とは異なっていることにより不正端末とみなしても良い。

例えば、ＯＳがＷｉｎｄｏｗｓ（登録商標）やＬｉｎｕｘ（登録商標）の端末の接続しか許可されていない拠点において、ＯＳスキャンの結果が既存の端末のスキャン結果と類似していないことでもって不正端末とみなしても良い。また、例えば、既存ツールを使ったＯＳスキャンの結果、厳密なＯＳのバージョン情報までは取得できない場合に、スキャン結果の文字列から、既にネットワーク内に存在している他の端末のＯＳとは明らかに異なると推定される端末を不正端末とみなしても良い。不正の度合いにより異常スコアを決定する。

ＩＰアドレス「１．１.１．１」はＯＳスキャンで「ＰＣ ｇａｔｅｗａｙ」と判定したが、機器同定結果を考慮し「ＰＣ ＯＳ Ｖｅｒ １」の検査を行うことで脆弱性検査時間を短縮し、かつ脆弱性検査の精度を向上させることができるようになる。

＜Ｓ１０７＞
検査結果生成部１４は、脆弱性結果出力装置３向けの検査結果を生成し、脆弱性結果出力装置３に対し生成した検査結果を送信する。

＜Ｓ１０８＞
脆弱性結果出力装置３は、受信した脆弱性検査の結果を表示する。

図１０は実施形態に係る脆弱性検査結果の一例を示す説明図である。

図１０において、脆弱性検査結果表示画面２００は、脆弱性検査結果の概要メッセージを表示する表示欄２１０と、脆弱性検査結果の各項目を表示する表示欄２２０と、各項目の詳細結果を表示する詳細ボタン２３０（２３０－１～２３０－３）と、直ちに脆弱性検査を再度実行する再検査ボタン２４０と、正規端末情報格納部１６のＩＰアドレスと機器種別を更新する正規情報更新ボタン２５０とを備える。なお、図１０は一例であって、表示する内容及びレイアウト等はこれに限定されるものでは無い。

図１０の表示欄２１０では、登録された正規の端末でなく（正規のＯＳを使用せず）、かつパスワードスキャンで脆弱性があった場合を示している。表示欄２２０では、機器（ＯＳ）が正規の「ＰＣ ｇａｔｅｗａｙ」では無く、「ＰＣ ＯＳ Ｖｅｒ １」であり、パスワード検査が「ＮＧ」と表示されている。

（Ａ－３）実施形態の効果
本実施形態によれば、以下の効果を奏する。

アクティブスキャン装置１は、機器同定結果を用い、アクティブスキャン方法や、検査の結果を補正するようにした。これにより、ＯＳスキャンでのＯＳ判定や、機器種別により初期パスワードが違っているような場合のパスワードスキャンの対応を行いやすくなる。その結果、端末の負荷低減や早期検知させつつ、精度を向上させることができるという効果が得られる。

また、正常な機器の情報を参照し脆弱性検査の結果を補正することで、脆弱性検査の精度をさらに向上させることができるという効果が得られる。

（Ｂ）他の実施形態
上述した実施形態においても種々の変形実施形態を言及したが、本発明は、以下の変形実施形態にも適用できる。

（Ｂ－１）機器情報、判定情報や脆弱性検査情報で取り扱うデータ種別は、上述した実施形態以外の内容を含んでも良い。また、上述した各情報は、一部省略しても良い。

（Ｂ－２）上述した実施形態では、機器同定の判定結果をアクティブスキャン装置１に入力するようにしたが、脆弱性検査結果を機器同定装置２に入力する場合に本発明を適用しても良い。

１…アクティブスキャン装置、２…機器同定装置、３…脆弱性結果出力装置、４…検査対象端末、５…候補、１１…データ受信部、１２…脆弱性検査部、１３…スキャンデータ生成部、１４…検査結果生成部、１５…制御部、１６…正規端末情報格納部、１７…機器同定結果格納部、１８…判定情報格納部、１９…脆弱性検査結果格納部、１００…脆弱性検査システム、２００…脆弱性検査結果表示画面、２１０、２２０…表示欄、２３０…詳細ボタン、２４０…再検査ボタン、２５０…正規情報更新ボタン。

Claims (7)

1. ネットワークを介して接続される１又は２以上の検査対象機器の脆弱性及び又は不正を検査する検査装置であって、
   ネットワーク上に新規に接続する前記各検査対象機器を検知すると共に、前記各検査対象機器がネットワーク上で送受信するパケットに基づき、前記各検査対象機器の同定処理を行い、機器種別を判定する第１の検査手段と、
   前記第１の検査手段で行った検査結果の情報を用いて、当該検査装置及び前記検査対象機器間のデータの送受信により機器の脆弱性及び又は不正を検知する検査内容を決定して、決定した検査内容に基づき、前記検査対象機器の検査を行う第２の検査手段と
   を有することを特徴とする検査装置。
2. 機器種別ごとに、前記各検査対象機器の脆弱性及び又は不正を判定する検査内容が記述された脆弱性判定情報を保持し、
   前記第２の検査手段は、前記第１の検査手段で判定した機器種別と、当該検査装置及び前記検査対象機器間のデータの送受信によるオペ―レーティングシステム判定で決定した前記各検査対象機器の機器種別とを用いて、前記脆弱性判定情報から検査内容を決定する
   ことを特徴とする請求項１に記載の検査装置。
3. ネットワーク接続を許可されて、正規端末と判定された前記検査対象機器の情報である正規端末情報を保持し、
   前記第２の検査手段は、前記正規端末情報を加味して、検査内容を決定する
   ことを特徴とする請求項１又は２に記載の検査装置。
4. 前記第２の検査手段で決定した検査内容に基づき実行した検査結果の情報である検査結果情報を保持し、
   前記検査結果情報を所定の表示形式に変換して出力する検査結果生成手段をさらに有する
   ことを特徴とする請求項１～３のいずれかに記載の検査装置。
5. 前記第２の検査手段は、前記検査結果情報に保持された過去の検査結果の情報を加味して、検査内容を決定することを特徴とする請求項４に記載の検査装置。
6. ネットワークを介して接続される１又は２以上の検査対象機器の脆弱性及び又は不正を検査する検査装置に搭載されるコンピュータを、
   ネットワーク上に新規に接続する前記各検査対象機器を検知すると共に、前記各検査対象機器がネットワーク上で送受信するパケットに基づき、前記各検査対象機器の同定処理を行い、機器種別を判定する第１の検査手段と、
   前記第１の検査手段で行った検査結果の情報を用いて、当該検査装置及び前記検査対象機器間のデータの送受信により機器の脆弱性及び又は不正を検知する検査内容を決定して、決定した検査内容に基づき、前記検査対象機器の検査を行う第２の検査手段と
   して機能させることを特徴とする検査プログラム。
7. ネットワークを介して接続される１又は２以上の検査対象機器の脆弱性及び又は不正を検査する検査装置に使用する検査方法であって、
   第１の検査手段及び第２の検査手段を有し、
   前記第１の検査手段は、ネットワーク上に新規に接続する前記各検査対象機器を検知すると共に、前記各検査対象機器がネットワーク上で送受信するパケットに基づき、前記各検査対象機器の同定処理を行い、機器種別を判定し、
   前記第２の検査手段は、前記第１の検査手段で行った検査結果の情報を用いて、当該検査装置及び前記検査対象機器間のデータの送受信により機器の脆弱性及び又は不正を検知する検査内容を決定して、決定した検査内容に基づき、前記検査対象機器の検査を行う
   ことを特徴とする検査方法。
   

Images