JP2023105859A - 脆弱性管理装置、脆弱性管理プログラム、及び脆弱性管理方法 - Google Patents

Abstract

【課題】 脆弱性の有無や脆弱性対策を行うか否かの判断を効率的に行い、ネットワークに対する脅威を防ぐことができる脆弱性管理装置を提供する。【解決手段】 本発明の脆弱性管理装置は、ネットワーク上の端末のポートの脆弱性の検査を行う脆弱性管理装置であって、前記端末の検査対象のポートを示す１又は複数の検査対象ポート毎に、ポート情報、脆弱性対策の要否情報を格納するポート情報格納部と、前記ポート情報格納部の情報に基づき、前記端末の脆弱性検査を行う脆弱性検査部とを有する。【選択図】 図１

Description

本発明は、脆弱性管理装置、脆弱性管理プログラム、及び脆弱性管理方法に関し、例えば、ネットワーク上の端末を遠隔で監視し、脆弱性検査等を行う管理装置に適用し得る。

コンピュータのＯＳ（Ｏｐｅｒａｔｉｎｇ Ｓｙｓｔｅｍ）やソフトウェア（アプリケーション）では、プログラムの不具合や設計上のミスが原因となり、情報セキュリティ上の欠陥である脆弱性問題が発生する場合が存在する。脆弱性が残された状態でコンピュータを利用し続けると、不正アクセスに利用されたり、ウイルスに感染したりする危険性がある。

このように脆弱性は、ネットワーク（インターネット等）に接続しているコンピュータにおける情報セキュリティ上の大きな問題の一つになっている。

脆弱性を発見するソフトウェアとして、例えば、非特許文献１～３に開示されているような脆弱性検査ツールが存在する。脆弱性検査ツールを利用して脆弱性を発見、除去することでウイルス感染等のリスクを抑えることができる。

ＴＣＰ／ＩＰ（Ｔｒａｎｓｍｉｓｓｉｏｎ Ｃｏｎｔｒｏｌ Ｐｒｏｔｏｃｏｌ／Ｉｎｔｅｒｎｅｔ Ｐｒｏｔｏｃｏｌ）のコンピュータネットワークでは、外部の通信機器との通信プロトコルにおいて宛先にあたるポートが存在する。ポートは、プロトコル毎に取り決められている。以下のポートスキャンは、このポートに対して行う脆弱性検査である。

ポートスキャンは、ネットワークに接続されている検査対象端末に対し、ポートを指定したデータを送信し、応答を調べる。検査対象ポートに対してこのようなデータパケットの送受信を行うことで、検査対象端末が使用しているサービスやＯＳを調べることができる。

"Ｎｍａｐ Ｃｈａｎｇｅｌｏｇ"［２０２１年１２月２２日検索］，［Ｏｎｌｉｎｅ］、ＩＮＴＥＲＮＥＴ、<URL: https://nmap.org/changelog.html> "ＮＥＳＳＵＳ"［２０２１年１２月２２日検索］，［Ｏｎｌｉｎｅ］、ＩＮＴＥＲＮＥＴ、<URL: https://www.tenable.com/products/nessus> "ＯＷＡＳＰ ＺＡＰ（Ｚｅｄ Ａｔｔａｃｋ Ｐｒｏｘｙ）"［２０２１年１２月２２日検索］，［Ｏｎｌｉｎｅ］、ＩＮＴＥＲＮＥＴ、<URL: https://owasp.org/www-project-zap/>

ところで、上述のポートスキャンの実施後、脆弱性の有無や脆弱性対策を行うかどうかの判断は、通常、セキュリティ対策に精通している専門家が行っていることが多い。

セキュリティ対策に精通している専門家であっても、脆弱性の有無や脆弱性対策を行うかどうかの判断は困難なことが多い。

そのため、脆弱性の有無や脆弱性対策を行うか否かの判断を効率的に行い、ネットワークに対する脅威を防ぐことができる脆弱性管理装置、脆弱性管理プログラム、及び脆弱性管理方法が望まれている。

第１の本発明は、ネットワーク上の端末のポートの脆弱性の検査を行う脆弱性管理装置であって、（１）前記端末の検査対象のポートを示す１又は複数の検査対象ポート毎に、ポート情報、脆弱性対策の要否情報を格納するポート情報格納部と、（２）前記ポート情報格納部の情報に基づき、前記端末の脆弱性検査を行う脆弱性検査部とを有することを特徴とする。

第２の本発明の脆弱性管理プログラムは、ネットワーク上の端末のポートの脆弱性の検査を行う脆弱性管理装置に搭載されるコンピュータを、（１）前記端末の検査対象のポートを示す１又は複数の検査対象ポート毎に、ポート情報、脆弱性対策の要否情報を格納するポート情報格納部と、（２）前記ポート情報格納部の情報に基づき、前記端末の脆弱性検査を行う脆弱性検査部として機能させることを特徴とする。

第３の本発明は、ネットワーク上の端末のポートの脆弱性の検査を行う脆弱性管理装置に使用する脆弱性管理方法であって、（１）ポート情報格納部は、前記端末の検査対象のポートを示す１又は複数の検査対象ポート毎に、ポート情報、脆弱性対策の要否情報を格納し、（２）脆弱性検査部は、前記ポート情報格納部の情報に基づき、前記端末の脆弱性検査を行うことを特徴とする。

本発明によれば、脆弱性の有無や脆弱性対策を行うか否かの判断を効率的に行い、ネットワークに対する脅威を防ぐことができる。

実施形態に係る脆弱性検査装置の内部構成を示すブロック図である。 実施形態に係る脆弱性検査システムの全体構成を示す全体構成図である。 実施形態に係るポート情報格納部の一例を示す説明図である。 実施形態に係る検査情報納部の一例を示す説明図である。 実施形態に係る対策管理情報格納部の一例を示す説明図である 実施形態に係る使用ポート履歴格納部の一例を示す説明図である。 実施形態に係る脆弱性検査システム（主に脆弱性検査装置）における脆弱性管理の全体的動作を示すフローチャートである。 実施形態に係る脆弱性検査装置における脆弱性対策の詳細処理を示すフローチャートである。 実施形態に係る脆弱性検査結果の一例を示す説明図である。

（Ａ）主たる実施形態
以下では、本発明に係る脆弱性管理装置、脆弱性管理プログラム、及び脆弱性管理方法の一実施形態を、図面を参照しながら詳細に説明する。

（Ａ－１）実施形態の構成
（Ａ－１－１）全体構成
図２は、実施形態に係る脆弱性検査システムの全体構成を示す全体構成図である。

図２において、脆弱性検査システム１００は、脆弱性検査装置１と、トラフィック監視装置２と、脆弱性結果出力装置３と、複数の検査対象端末４（４－１～４－ｎ）とを有し、各装置（端末）はネットワークＮを介して接続されている。脆弱性管理装置は、例えば、脆弱性検査装置１、トラフィック監視装置２、及び脆弱性結果出力装置３（又は脆弱性検査装置１及び脆弱性結果出力装置３）で構成される。

ネットワークＮは、各装置が接続可能な通信ネットワークであれば良く、その種類は限定されるものではない。また、各装置間に介在するネットワークが複数種類あり、ネットワークＮが複数種類のネットワーク（イーサーネット、インターネット等）で構成されていても良い。

脆弱性検査装置１は、検査対象の検査対象端末４内に脆弱性を含んでいるか否かを検査し、脆弱性の存在する検査対象端末４を検知すると、検査対象端末４に対し処置する機能や検査対象端末４の管理者に対し警告する機能を保持する。

トラフィック監視装置２は、検査対象端末４がネットワークＮ上に送受信するパケットを監視し（静的な監視を行い）、脆弱性検査装置１に監視内容を通知する機能を保持する。

脆弱性結果出力装置３は、脆弱性検査の結果を出力表示する機能を保持する。例えば、脆弱性結果出力装置３は、装置内にＷＥＢブラウザを所持し、当該ブラウザを用いて脆弱性検査装置１から送信された情報（脆弱性検査の結果）を画面表示したり、表示された画面に対して情報を入力することで脆弱性検査装置１に入力情報を送信することができる。

検査対象端末４は、ＩＰ（Ｉｎｔｅｒｎｅｔ Ｐｒｏｔｏｃｏｌ）アドレスやＭＡＣ（Ｍｅｄｉａ Ａｃｃｅｓｓ Ｃｏｎｔｒｏｌ）アドレスが付与され、ネットワークＮに接続可能な脆弱性検査対象の通信端末である。例えば、検査対象端末４は、ＰＣ（Ｐｅｒｓｏｎａｌ Ｃｏｍｐｕｔｅｒ）、タブレット、スマートフォン等の通信機能が存在する情報処理端末である。

（Ａ－１－２）脆弱性検査装置１の詳細構成
図１は、実施形態に係る脆弱性検査装置の内部構成を示すブロック図である。

図１において、脆弱性検査装置１は、検査制御部１１と、脆弱性検査部１２と、脆弱性処置部１３と、脆弱性対策プログラム１４と、脆弱性検査結果生成部１５と、ポート情報格納部１６と、検査情報格納部１７と、対策管理情報格納部１８と、使用ポート履歴格納部１９とを有する。ここで、各格納部は、例えば、一般的なデータベースのテーブルで構成されたものである。

脆弱性検査装置１は、すべてハードウェア的に構成（例えば、専用の半導体チップを用いて構成）するようにしても良いし、一部または全部についてソフトウェア的に構成するようにしても良い。

検査制御部１１は、所定の監視タイミングで脆弱性検査装置１内の各部を制御し、検査対象端末４の脆弱性監視を行う機能を保持する。

脆弱性検査部１２は、検査対象端末４の指定ポート（又はプロトコル）について、ポート情報格納部１６や検査情報格納部１７の情報を参照し、検査対象端末４の監視を行う機能を保持する。

脆弱性処置部１３は、検査対象端末４の指定ポート（又はプロトコル）について、対策管理情報格納部１８の情報を参照し、脆弱性対策プログラム１４を用いて検査対象端末４の該当ポートに対策を施す機能を保持する。

脆弱性検査結果生成部１５は、脆弱性検査や対策結果を生成し、脆弱性結果出力装置３に送信する機能を保持する。

ポート情報格納部１６は、検査対象端末４の各ポートに対して行う検査・対策についての情報を格納するものである。

図３は、実施形態に係るポート情報格納部の一例を示す説明図である。図３に示すように、ポート情報格納部１６は、「ポート番号」、「プロトコル」、「許可ＩＤ（Ｉｄｅｎｔｉｆｙ）」、「検査ＩＤ」、「対策ＩＤ」の項目を有する。なお、図３は一例であって、ポート情報格納部の構成は、種々様々な構成を適用することができる。

ポート番号は、ＴＣＰ／ＩＰ通信においてプロトコルを識別するための番号であって、プロトコル毎に、０から最大６５５３５までの何れかの数値（整数）を記述できる。なお、数値はＩｎｔｅｒｎｅｔ Ａｓｓｉｇｎｅｄ Ｎｕｍｂｅｒｓ Ａｕｔｈｏｒｉｔｙ（ＩＡＮＡ）が管理しているポート番号を記述する。また、管理対象のネットワーク内で独自に割り当てたポート番号を記載することもできる。

プロトコルは、ネットワークアプリケーションのプロトコル名のことである。当該プロトコル及び上記ポート番号は、ペア（組）で管理される。

許可ＩＤは、該当ポート番号（プロトコル）の使用許可をネットワーク管理者によって予め設定するものである。例えば、許可ＩＤには、該当ポート番号（プロトコル）の使用を許可する場合は「ＯＫ」、許可しない場合は「ＮＧ」と記述しておく。また、許可をするか否かを決めていない場合は、記述しなくても良く、その場合には許可扱いとしても良い。

検査ＩＤは、該当プロトコルについて、詳細なポート情報の検査を行うためのプログラム（及びプログラムの引数）を指定する。

プロトコルに応じて検査ＩＤ（調査方法）を変化させることができる。例えば、プロトコルがＳＳＨ（Ｓｅｃｕｒｅ Ｓｈｅｌｌ）の時はパスワードスキャンを行う。これ以外にポートが使用されているかを調べるといったことを行っても良い。いずれにしても各プロトコルによって記述する調査方法（検査ＩＤ）は特に限定されるものでは無い。

検査対象端末４の通信では、プロトコルに割り当てられた一般的なポート番号を使用していない可能性も存在する。通信特性からプロトコルとポート番号が一般的な組と合致しているか、していない場合は、プロトコルを推定するためにも用いる。

対策ＩＤは、詳細な脆弱性対策を行うためのプログラム（及びプログラムの引数：ポート番号やタイムアウトの設定等の情報）を指定する。プロトコルによって対策をさせる。上述の許可ＩＤがＮＧである検査対象端末４に対しては、通信を遮断や、ポートを用いた通信を監視したりするようにしても良い。これ以外の手段を行っても良く、例えば検査対象端末４の管理者に通知するためのプログラムを記述するようにしても良い。いずれにしても各プロトコルによって記述するプログラム（対策ＩＤ）は特に限定されるものでは無い。

なお、検査ＩＤ、及び対策ＩＤは、複数記述し、調査や対策を複数実施するようにしても良い。また、別プロトコルで同一検査ＩＤや対策ＩＤが記載されていても良い。ポート番号で検査や対策を区別するようにしたが、その他の情報を追加してもよい。例えば、ポート情報格納部１６に「端末種別」の項目追加し、「サーバー端末」か「クライアント端末」、「ＰＣ」か「端末」等の種類を追加して区別することで、ある機器種別は許可するが、別の機器種別は許可しないといったことができる。

検査情報格納部１７は、検査対象端末４に適用する脆弱性検査情報（詳細検査情報）を格納するものである。

図４は、実施形態に係る検査情報納部の一例を示す説明図である。図４に示すように、検査情報格納部１７は、「検査ＩＤ」及び「検査プログラム」の項目を有する。

検査ＩＤは、検査プログラムを識別する識別子であって、上述の図３で説明した検査ＩＤと同一のものである。

検査プログラムは、ポートの詳細な検査を行うためのプログラム（及びプログラムの引数）が記述される。ポート情報格納部１６の検査ＩＤが指定されると、当該検査情報格納部１７の情報に従い、脆弱性対策プログラム１４内の該当検査ＩＤの検査プログラムが参照できるようになる。

対策管理情報格納部１８は、検査対象端末４に適用する脆弱性対策情報を格納するものである。

図５は、実施形態に係る対策管理情報格納部の一例を示す説明図である。図５に示すように、対策管理情報格納部１８は、「対策ＩＤ」及び「対策プログラム」の項目を有する。

対策ＩＤは、対策プログラムを識別する識別子であって、上述の図３で説明した対策ＩＤと同一のものである。

対策プログラムは、脆弱性対策を行うためのプログラム（及びプログラム）の引数が記述される。ポート情報格納部１６の対策ＩＤが指定されると、当該対策管理情報格納部１８の情報に従い、脆弱性対策プログラム１４内の該当対策ＩＤの対策プログラムが参照できるようになる。

例えば、脆弱ポート対策プログラムは、ポートの詳細情報を検査したり、パスワードスキャンといったポート関連のその他の脆弱性を検査したりするプログラムである。また、ポートを強制的に閉じる、検査対象端末４の使用者にアラートを通知するといったポートに脆弱性があると判定した時に対策を行うプログラムも含まれる。

使用ポート履歴格納部１９は、検査対象端末４の各ポートに行った検査・対策等の履歴情報を格納するものである。

図６は、実施形態に係る使用ポート履歴格納部の一例を示す説明図である。図６に示すように、使用ポート履歴格納部１９は、「タイムスタンプ」、「ＩＰアドレス」、「ポート番号」、「状態」、「詳細情報」、及び「対策情報」の項目を有する。

タイムスタンプは、脆弱性検査装置１による脆弱性検査により各検査対象端末４のポートを検知した時刻を示すものである。

ＩＰアドレスは、検査を行った検査対象端末４のＩＰアドレスを示すものである。ここでは、検査対象端末４を識別できるものであれば良く、ＩＰアドレス以外の識別情報を用いても良い。例えば、ＩＰアドレスの代わりにＭＡＣアドレス等を使用しても良い。

ポート番号には、脆弱性検査（ポートスキャン）により検知されたポート番号が記述される。

状態には、ポートの状態が記述される。ここでは、オープンやクローズによりポートの状態が示されているが、記述の仕方はこれに限定されるものでは無い。

詳細情報は、詳細なポート情報の検査を実施した後にその結果を示す情報が記述される。図６の例では、結果をファイルに書き込み、ファイル名を記述した例を示している。詳細なポート情報の検査を実施しなければ記述しなくて良い。

対策情報は、脆弱性対策を行ったならばその結果が記述される。脆弱性対策を実施しなければ記述しなくて良い。

（Ａ－２）実施形態の動作
次に、実施形態に係る脆弱性検査システム１００における特徴動作を、図面を参照しながら詳細に説明する。

（Ａ－２－１）脆弱性管理の全体的動作
図７は、実施形態に係る脆弱性検査システム（主に脆弱性検査装置）における脆弱性管理の全体的動作を示すフローチャートである。

このフローチャート（脆弱性検査）を開始するタイミングは、特に限定されるものでは無いが、例えば、ユーザが脆弱性結果出力装置３等から検査対象端末４のＩＰアドレスを指定し脆弱性検査を開始する。又は指定時刻になれば脆弱性検査装置１が処理を開始するといったように、自動的に脆弱性検査を開始しても良い。

＜Ｓ１０１：検査対象ポート番号の取得＞
脆弱性検査を開始するとまず、脆弱性検査部１２は、ポート情報格納部１６を参照し検査対象ポートを取得する。検査対象ポートの取得手段は、ポート情報格納部１６に限定されるものでは無く、例えば、脆弱性対象ポートをユーザが指定するようにしても良い。

また、ポート情報格納部１６に記載以外のポート番号が使われている可能性が存在する。そのため、このような場合も検査したい場合には記載以外のポート番号についてもポートスキャン対象とする。例えば、６５５３５までの全ポート番号を対象とすることで確実に使用ポートを検知できる。

＜Ｓ１０２：ポートスキャン＞
脆弱性検査部１２は、検査対象端末４のＩＰアドレスに対し、検査対象ポートのポートスキャンを実行し、検知したポート番号、状態等の情報を収集する。なお、ここでのポートスキャンは、例えば、上述の非特許文献１、２に記載の技術を適用できる。

脆弱性検査部１２は、収集した情報を、使用ポート履歴格納部１９の各項目（検査時刻、ＩＰアドレス、ポート、プロトコル、状態）に書き込む。なお、スキャンしても、プロトコルが不明であれば、プロトコルの項目は書き込まなくて良い。

＜Ｓ１０３：全ポート確認したか＞
脆弱性検査部１２は、検知したポート番号の全てについて脆弱性対策の要否の確認を行う。脆弱性検査部１２は、全ポートを確認した場合には、後述するステップＳ１０７に移行し、一方、未確認のポート存在する場合には、ステップＳ１０４の処理を行う。

＜Ｓ１０４：ポートは開放か＞
脆弱性検査部１２は、上述のステップＳ１０２の行ったポートスキャンで収集した情報（使用ポート履歴格納部１９に書き込んだ情報）に基づき、ポートの状態を確認する。

ポートがクローズ(ｃｌｏｓｅ)など外部からそのポートにアクセス不可能な状態であるならば脆弱性対策をする必要がない。そこで、脆弱性検査部１２は、検知したポート（ポート番号）の状態がオープンであるかを調べる。脆弱性検査部１２は、ポートの状態がオープンである場合には、次のステップＳ１０５に移行し、一方、状態がオープン以外であるならば、上述のステップＳ１０３に戻り次の未確認のポート番号を調べる。

＜Ｓ１０５：検査情報格納部の参照＞
脆弱性検査部１２は、検知したポート番号のうち、状態がオープンであるポートについて、検査情報格納部１７を参照し、詳細な検査が必要であるかを調べる。例えば、脆弱性検査部１２は、検知したポート番号に係る検査ＩＤ（ポート情報格納部１６の検査ＩＤ）をキーとして、検査情報格納部１７を検索し、該当するデータ（検査プログラム）が存在する場合には、詳細な検査が必要であると判断する。ここでは、詳細な検査が必要であることを前提に以下の説明を行う。なお、脆弱性検査部１２は、詳細な検査が不要である場合には、上述のステップＳ１０３に戻り次の未確認のポート番号を調べても良い。

＜Ｓ１０６：脆弱性対策＞
脆弱性検査部１２及び脆弱性処置部１３は、詳細な検査が必要なポートについて脆弱性対策を行う。当該ステップＳ１０６の詳細は図８を用いて後述する。

＜Ｓ１０７：脆弱性検査結果（脆弱性対策結果）の表示＞
脆弱性検査結果生成部１５は、使用ポート履歴格納部１９に基づき、脆弱性結果出力装置３で表示する脆弱性検査結果を生成するものである。脆弱性検査結果生成部１５は、生成した脆弱性検査結果を脆弱性結果出力装置３に送信する。

脆弱性結果出力装置３は、受信した脆弱性検査結果を表示する。

図９は、実施形態に係る脆弱性検査結果の一例を示す説明図である。

図９において、脆弱性検査結果表示画面２００は、脆弱性検査時刻及び検査対象端末４のＩＰアドレスを表示する表示欄２１０と、ポートごとに脆弱性検査結果の各項目（検知したポート、オープン等の状態、対策対象であるかどうかと、対策を行ったかどうかといった情報）を表示する表示欄２２０と、管理者から脆弱性対策の実行を受け付ける脆弱性対策ボタン２３０と、脆弱性対策が必要なポートの状態変化を示す表示欄２４０と、端末の通信履歴を示す表示欄２５０とを備える。なお、図９は一例であって、表示する内容及びレイアウト等はこれに限定されるものでは無い。

管理者は、脆弱性検査結果表示画面２００により、どのポートが開いているか、対策が必要なポートについて、対策済みかどうか、通信状況といった情報を知ることができる。対策をするかどうかの判定を管理者が行う場合、対策が要と表示されていたら、対策方法を見て行う。対策方法に自動実行のリンクを設け、そこをクリックすることで対策の支援を行うようにしても良い。対策をするかどうかの判定を管理者が行わず、自動的に実行（ポートを閉じる等）しても良い。

（Ａ－２－２）ステップＳ１０６の詳細
図８は、実施形態に係る脆弱性検査装置における脆弱性対策の詳細処理を示すフローチャートである。

＜Ｓ１０６－１：使用ポート履歴の参照＞
脆弱性検査部１２は、該当ポートについて使用ポート履歴格納部１９を参照し、ポートの状態がいつ変化したかの時刻を調査する。

例えば、ＩＰアドレスが「１１．１１１．１．１０」の検査対象端末４で、今回の検知したポート番号が「２２」、「２３」、「８０」であるとする。

そして、図６では、前回までの使用ポート履歴が記載されているものとすると、前回のＩＰアドレスが「１１．１１１．１．１０」の脆弱性検査時刻は「２０２１．０９．１５ ０１：２１：０５」となる。そうすると、「２１」と「２２」のポート番号が今回変化したことが分かる。

なお、「２３」と「８０」のポート番号は、ポート情報格納部１６に対策ＩＤが記載されているが、今回変化したポートでは無いため（新規に開いたポートでは無いため）、Ｓ１０６－２以降の処理は対象外となる（即ち、ステップＳ１０３に戻る）。

＜Ｓ１０６－２：新規に開いたポートか否かの確認＞
脆弱性検査部１２は、該当ポートについて前回検査後に開いたポートであるかを調べる。例えば、上述のＳ１０６－１で示したＩＰアドレスが「１１．１１１．１．１０」の今回の脆弱性検査の例では、「２２」のポートが新規に開いたポートとなる。脆弱性検査部１２は、該当ポートが新規に開いたポートである場合には、次のステップＳ１０６－３に移行する。

一方、脆弱性検査部１２は、該当ポートが新規に開いたポートでなければ脆弱性対策を行わずにステップＳ１０３に戻る。これにより一度脆弱性対策をしたならば、再度脆弱性対策は行わないようにすることで端末に負荷をかけずに済む。ただし、強制的にステップＳ１０６－３の処理を行うようにしても良い。例えば、使用ポート履歴格納部１９の対策情報を参照し、脆弱性対策を行っていない場合（対策情報に対策ＩＤ等の情報が記載されいない場合）には、強制的にステップＳ１０６－３の処理を行う。

例えば、上述のＳ１０６－１で示したＩＰアドレスが「１１．１１１．１．１０」の今回の脆弱性検査の例では、「２１」のポートは閉じて検知しなくなったポートである（新規に開いたポートでは無い）。そのため、この場合には、脆弱性検査部１２は、ステップＳ１０３に戻る。

＜Ｓ１０６－３：詳細検査＞
脆弱性検査部１２は、該当ポートについて、ポート情報格納部１６を参照し、ポート番号に対する検査ＩＤを取得する。続いて、脆弱性検査部１２は、取得した検査ＩＤをキーとして、検査情報格納部１７を参照して、検査ＩＤに対するプログラム名を取得する。そして、脆弱性検査部１２は、脆弱性対策プログラム１４内の該当プログラム（検査プログラム）を実行する。

検査プログラムにより、プロトコルを推定したり、ポートの使用状況が分かる。また、トラフィック監視装置２で測定したポートを使用した通信状況やパケット解析しても良い。

例えば、上述のステップＳ１０６－２で示したポート番号２２（新規に開いたポート）の場合、図３のポート情報格納部１６のポート番号２２の検査ＩＤである「２」が抽出され、図４の検査情報格納部１７から検査ＩＤ２の検査プログラムｂｂｂが抽出され、このプログラムが実行されることになる。

＜Ｓ１０６－４：ポートとプロトコルは一致かの判定＞
脆弱性検査部１２は、上述のステップＳ１０６－３の実行結果からポート番号と推定プロトコルは一致するか否かを判定する。ここで、例えば、ウェルノウンポートと呼ばれ、よく使われる特に著名なポート番号である１０２３までのポート番号等（標準プロトコル）についてはポート番号とプロトコルの対応を信頼し、一致しているとみなすようにしても良い。

脆弱性検査部１２は、ポートと推定プロトコルの対応が一致する場合には、後述するステップＳ１０６－６に移行し、一方、ポートとプロトコルの対応が一致しない場合には、次のステップＳ１０６－５の処理を行う。

＜Ｓ１０６－５：脆弱性対策必要性調査＞
脆弱性検査部１２は、該当ポートの許可ＩＤ（ポート情報格納部１６の許可ＩＤ）がＮＧであるポートは脆弱性対策が必要であるとする。例えば、ポート番号２２は、許可ＩＤがＮＧであるので脆弱性対策が必要とする。

また、上述のステップＳ１０６－４で、ポート番号と推定プロトコルが一致しないポートについて脆弱性対策が必要であるかを調査する。例えば、推定されたプロトコルが、脆弱性対策が必要であるか等により判定する。

＜Ｓ１０６－５：対策要否判定＞
脆弱性検査部１２は、上述のステップＳ１０６－５の処理により、脆弱性対策が必要でないプロトコルと判定されたならばステップＳ１０３に戻る。

一方、脆弱性検査部１２は、脆弱性対策が必要なプロトコルと判定されれば次のＳ１０６－７の処理を行う。例えば、ポート番号２２は脆弱性対策が必要であるのでＳ１０６－７の処理を行うことになる。

＜Ｓ１０６－７：脆弱性対策＞
脆弱性処置部１３は、脆弱性対策が必要なポートについて、脆弱性対策を行う。対策管理情報格納部１８で指定された、ポートを強制的に閉じる、検査対象端末４の使用者にアラートを通知するといった脆弱性対策を行う。

例えば、ポート番号２２は、図３のポート情報格納部１６から対策ＩＤが１０１、図５の対策管理情報格納部１８の１０１の対策プログラムａ１１１が指定され実行される。

（Ａ－３）実施形態の効果
本発明によれば、以下の効果を奏する。

脆弱性検査装置１が、検査対象端末４の開いているポートを調査後、ポートの使用プロトコル（アプリケーション）や、使用情報、状況、脆弱性の有無を調べた後、脆弱性対策やポートの使用履歴といった結果を出力表示することにより、脆弱性があった時に迅速な対応の判断ができるという効果が得られる。

また、ポートと対策の対応をあらかじめ指定し、該当ポートが開いていれば対策を自動的に行うことにより、ネットワークに対する脅威の防止を迅速に行うことができるという効果が得られる。

さらに、詳細なポート検査プログラムや通信内容からプロトコル推定することにより、独自に作成したプロトコルや、標準的なポート番号を使わないプロトコルにも脆弱性対策がとりやすくなるという効果が得られる。

（Ｂ）他の実施形態
上述した実施形態においても種々の変形実施形態を言及したが、本発明は、以下の変形実施形態にも適用できる。

（Ｂ－１）上述した図２の例では、脆弱性検査装置１、トラフィック監視装置２、脆弱性結果出力装置３の各装置をそれぞれ別構成で示される例を示したが、これら３つの装置を、同一ハードウェア内の１台の装置で実現しても良い。

（Ｂ－２）機器情報、判定情報や脆弱性検査情報で取り扱うデータ種別は、上述した実施形態以外の内容を含んでも良い。また、上述した各情報は、一部省略しても良い。

１…脆弱性検査装置、２…トラフィック監視装置、３…脆弱性結果出力装置、４…検査対象端末、１１…検査制御部、１２…脆弱性検査部、１３…脆弱性処置部、１４…脆弱性対策プログラム、１５…脆弱性検査結果生成部、１６…ポート情報格納部、１７…検査情報格納部、１８…対策管理情報格納部、１９…使用ポート履歴格納部、１００…脆弱性検査システム、２００…脆弱性検査結果表示画面、２１０、２２０、２４０、２５０…表示欄、２３０…脆弱性対策ボタン、Ｎ…ネットワーク。

Claims (11)

1. ネットワーク上の端末のポートの脆弱性の検査を行う脆弱性管理装置であって、
   前記端末の検査対象のポートを示す１又は複数の検査対象ポート毎に、ポート情報、脆弱性対策の要否情報を格納するポート情報格納部と、
   前記ポート情報格納部の情報に基づき、前記端末の脆弱性検査を行う脆弱性検査部と
   を有することを特徴とする脆弱性管理装置。
2. 前記端末の前記検査対象ポートに対して行った脆弱性検査、及び脆弱性対策の履歴情報を格納する使用ポート履歴格納部と、
   前記脆弱性検査部は、前記使用ポート履歴格納部の情報に基づき、脆弱性対策の要否を判定することを特徴とする請求項１に記載の脆弱性管理装置。
3. 前記脆弱性検査部は、前記検査対象ポートのポートがオープンである場合、脆弱性対策を行うと判定することを特徴とする請求項２に記載の脆弱性管理装置。
4. 前記脆弱性検査部は、ポート番号と標準プロトコルとの対情報を参照し、プロトコルが標準プロトコルと合致しているか、又は未知のプロトコルであるか否かの判定を加味して、脆弱性対策の要否を判定することを特徴とする請求項２又は３に記載の脆弱性管理装置。
5. 前記脆弱性検査部は、前記端末の機器情報を加味して脆弱性対策の要否を判定することを特徴とする請求項２～４のいずれかに記載の脆弱性管理装置。
6. 前記脆弱性検査部は、ネットワークのトラフィックの静的な監視情報を加味して脆弱性対策の要否を判定することを特徴とする請求項１～５のいずれかに記載の脆弱性管理装置。
7. 脆弱性対策が必要な検査対象のポートについて、所定の脆弱性対策対策を施す脆弱性処置部をさらに有することを特徴とする請求項１～６のいずれかに記載の脆弱性管理装置。
8. 前記脆弱性検査部の検査結果を含む脆弱性検査結果を出力する脆弱性結果出力部をさらに有することを特徴とする請求項７に記載の脆弱性管理装置。
9. 前記脆弱性検査結果に前記脆弱性処置部の脆弱性対策の内容が含まれることを特徴とする請求項８に記載の脆弱性管理装置。
10. ネットワーク上の端末のポートの脆弱性の検査を行う脆弱性管理装置に搭載されるコンピュータを、
    前記端末の検査対象のポートを示す１又は複数の検査対象ポート毎に、ポート情報、脆弱性対策の要否情報を格納するポート情報格納部と、
    前記ポート情報格納部の情報に基づき、前記端末の脆弱性検査を行う脆弱性検査部と
    して機能させることを特徴とする脆弱性管理プログラム。
11. ネットワーク上の端末のポートの脆弱性の検査を行う脆弱性管理装置に使用する脆弱性管理方法であって、
    ポート情報格納部は、前記端末の検査対象のポートを示す１又は複数の検査対象ポート毎に、ポート情報、脆弱性対策の要否情報を格納し、
    脆弱性検査部は、前記ポート情報格納部の情報に基づき、前記端末の脆弱性検査を行う
    ことを特徴とする脆弱性管理方法。

Images