JP2024034404A - 情報処理装置、情報処理方法およびシステム - Google Patents

Abstract

【課題】機器に含まれるソフトウェアを所定の形式で特定する識別子を容易に生成する。【解決手段】本実施形態に係る情報処理装置は、第１サーバから第１脆弱性情報を取得する第１脆弱性情報取得部と、第２サーバから第２脆弱性情報を取得する第２脆弱性情報取得部と、対象機器に含まれる対象ソフトウェアの名称およびバージョンを含む第１構成情報を取得する第１構成情報取得部と、第１構成情報に基づき、第１脆弱性情報から対象ソフトウェアの名称を含む第１識別子を検出し、検出した第１識別子に対応する脆弱性識別子を特定する、スキャナと、第２脆弱性情報に基づき、スキャナにより特定された脆弱性識別子に対応し、かつ対象ソフトウェアの名称と同じソフトウェアの名称を含む第２識別子を特定する検索部と、特定された第２識別子に含まれるバージョンを、対象ソフトウェアのバージョンに置換することにより、第３識別子を生成する出力部と、を備える。【選択図】図１

Description

本発明の実施形態は、情報処理装置、情報処理方法およびシステムに関する。

日々、世界中で様々な製品の脆弱性についての情報（脆弱性情報）が、公開されたサーバ（汎用サーバ）上で公表されている。製品の製造者は、公表された脆弱性が、自身が製造する製品に含まれているかを判断する必要がある。そのため、日々公表される脆弱性情報を収集して、機器（製品）の情報と比較することで脆弱性を検出する脆弱性監視システムの必要性が高まっている。

汎用サーバ上では、脆弱性と、当該脆弱性が影響を与えるソフトウェアなどの構成要素を示す構成情報が対応している。汎用サーバ上では、構成情報を表すために、ＣＰＥ（Common Platform Enumeration）と呼ばれる、汎用的かつグローバルな識別子が用いられている。そのため、製造者は、汎用サーバ上のＣＰＥを見ることで、自身が製造した機器に含まれる構成要素の情報を示すＣＰＥと同じＣＰＥが公表されているかを判断でき、公表されている場合、自身が製造した機器にどのような脆弱性が含まれているかを判断できる。そのために、脆弱性監視システムにおいては、機器の構成情報をＣＰＥの所定の形式で記述して格納しておく必要がある。しかし、ＣＰＥの形式は複雑であり、ＣＰＥの作成には困難が伴うとともに、人手での作成には大きなコスト（時間および費用）がかかる。

特開２０２０－２１３０９号公報

本発明の実施形態は、機器に含まれるソフトウェアを所定の形式で特定する識別子を容易に生成することを可能にする情報処理装置、情報処理方法およびシステムを提供する。

本実施形態に係る情報処理装置は、プラットフォームに固有の第１サーバから、前記プラットフォームに関するソフトウェアを前記ソフトウェアの名称およびバージョンにより特定する第１識別子と、前記ソフトウェアの脆弱性を特定する脆弱性識別子とが対応している第１脆弱性情報を取得する第１脆弱性情報取得部と、第２サーバから、機器に含まれるソフトウェアを前記ソフトウェアの名称およびバージョンを含む所定の形式で特定する第２識別子と、前記脆弱性識別子とが対応している第２脆弱性情報を取得する第２脆弱性情報取得部と、脆弱性検査の対象機器から、前記対象機器に含まれる対象ソフトウェアの名称およびバージョンを含む第１構成情報を取得する第１構成情報取得部と、前記第１構成情報に基づき、前記第１脆弱性情報から前記対象ソフトウェアの名称を含む第１識別子を検出し、検出した前記第１識別子に対応する脆弱性識別子を特定する、スキャナと、前記第２脆弱性情報に基づき、前記スキャナにより特定された前記脆弱性識別子に対応し、かつ前記対象ソフトウェアの名称と同じソフトウェアの名称を含む第２識別子を特定する検索部と、前記検索部により特定された前記第２識別子に含まれる前記バージョンを、前記対象ソフトウェアの前記バージョンに置換することにより、前記対象機器に含まれる前記対象ソフトウェアを前記所定の形式で特定する第３識別子を生成する出力部と、を備える。

一実施形態に係る脆弱性監視システムのブロック図。 第１構成情報の一例を示す図。 第１脆弱性情報の一例を示す図。 第２脆弱性情報の一例を示す図。 第２構成情報の一例を示す図。 脆弱性監視システムの処理の一例を示すフローチャート。 一実施形態の第１構成例に係る構成情報変換部のブロック図。 バージョンが無効化された第１構成情報と第１脆弱性データベースにおける情報を示す図。 第１構成情報とバージョンが無効化された第１脆弱性データベースにおける情報を示す図。 構成情報変換部の処理の一例を示すフローチャート。 一実施形態の第２構成例に係る構成情報変換部のブロック図。 一実施形態の第３構成例に係る構成情報変換部のブロック図。 一実施形態の第４構成例に係る構成情報変換部のブロック図。 一実施形態に係る情報処理装置のハードウェア構成を示す図。

以下、図面を参照しながら、本発明の実施形態について説明する。

［脆弱性監視システム１の全体の概要］
図１は、一実施形態に係る情報処理システムである脆弱性監視システム１を示すブロック図である。以下、脆弱性監視システム１の全体の概要を説明する。

脆弱性監視システム１は、脆弱性監視装置２と、固有サーバ６と、汎用サーバ７と、複数種類の機器１０＿１～１０＿Ｍ（Ｍ≧１）を備える。Ｍは機器１０の種類数を表しており、個数を表すものではない。以下、任意の種類ｉの機器１０を機器１０＿ｉ（ｉ＝１～Ｍ）と記載する。

脆弱性監視システム１は、出荷前の製品である複数種類の機器１０＿１～１０＿Ｍの構成情報を収集した上で、当該製品に発生し得る脆弱性を常時監視し、脆弱性が発見されると、その旨を脆弱性監視システム１のユーザに通知する。

種類ｉの機器１０＿ｉには種々の機能を実現する１つ以上のソフトウェアがインストールされている。通常、様々な種類の機器１０＿ｉが存在しており、それぞれ異なった構成情報を有する。機器１０＿ｉは、例えば、ＰＣ、またはＩｏＴ（Internet of Things）の対象となる機器などである。

構成情報とは、機器１０＿ｉがどのような構成要素（ソフトウェア等）で構成されているかを示す情報である。例えば、構成情報は、「機器１０＿ｉはソフトウェア１およびソフトウェア２を含む」のような情報である。

あるプラットフォーム（例：ＯＳ）に固有のソフトウェアは、例えば、プラットフォームがＬｉｎｕｘである場合、機器１０にパッケージという単位でインストールされている。パッケージとは、ソフトウェアの実行ファイル、設定ファイル、ドキュメント等を１つに纏めたものである。Ｌｉｎｕｘ以外のプラットフォームにおいても、パッケージに相当する仕組みでソフトウェア一式を管理するのが一般的である。以下、説明の便宜上、あるプラットフォームに固有のソフトウェアを「パッケージ」と記載する場合があるが、これはプラットフォームをＬｉｎｕｘに限定するものではない。

図２は、機器１０＿１～１０＿Ｍの構成情報（第１構成情報）の一例を示す。つまり、図２は、機器１０＿１～１０＿Ｍにインストールされているパッケージの情報（パッケージ情報）の一例を示す。パッケージ情報には、パッケージの名称（パッケージ名）と、パッケージのバージョンが含まれている。パッケージ情報は、プラットフォームが用意した、プラットフォーム独自の識別子（第１識別子）である。つまり、機器１０＿ｉに含まれる構成情報は、プラットフォーム固有のものであり、汎用性はない。また、あるパッケージは、当該パッケージのパッケージ名とバージョンによって一意に特定される。

図２の例では、機器１０＿１に、「バージョン１．３．６」の「パッケージ１」がインストールされている。なお、同一種類の機器１０＿ｉにインストールされているパッケージのプラットフォームは、統一されていなくてもよい。以下、説明のために、機器１０＿１にインストールされているパッケージをパッケージＸ（対象ソフトウェア）と記載する場合がある。

固有サーバ６は、世界中で日々発見される脆弱性情報（第１脆弱性情報）を蓄積し、公表している。固有サーバ６は、インターネット上に公開されているサーバであり、誰でも内容を閲覧できる。

固有サーバ６は、あるベンダが、自身が提供するプラットフォームのために設けたサーバであり、当該プラットフォームでの利用に特化した内容で脆弱性情報が記述されている。当該ベンダは、当該プラットフォームに帰属する製品に関しては責任を持って管理している。例えば、Ｌｉｎｕｘのディストリビュータが提供する固有サーバ６には、Ｌｉｎｕｘにインストールされるパッケージに関しては確実に脆弱性が発見できる情報が蓄積されている。

図３に、固有サーバ６が有する第１脆弱性情報の一例を示す。脆弱性は、脆弱性番号によって一意に特定される。固有サーバ６上では、図３に示されるように、脆弱性番号と、当該脆弱性が与えるパッケージのパッケージ名およびバージョン（範囲）が対応している。例えば、脆弱性番号ＣＶＥ－２０１８－ＸＸＸＸで示される脆弱性は、バージョン１．１．１までのパッケージ１に影響することを示している。

固有サーバ６上では、パッケージ名、影響のあるバージョン（範囲）および脆弱性番号の表記内容には曖昧さや誤りはなく、仮に誤りがあったとしても、即座に修正される可能性が高い。

なお、脆弱性の影響範囲は、「０．５．１～１．１．１」のように上限と下限を伴って定義される場合もある。しかし、現実では、最新バージョン以外のパッケージには脆弱性がある場合が多く、固有サーバ６上では、影響範囲が上限のみによる定義が主流である。以下、現実的な登録内容を前提とし、影響範囲は上限のみによって定義されることとする。

脆弱性番号は、例えばＣＶＥ（Common Vulnerabilities and Exposures）である。ＣＶＥは、発行年および連番で記述される。ＣＶＥは全世界共通であり、固有サーバ６および汎用サーバ７において共通である。

機器１０＿ｉと固有サーバ６は、共に第１識別子（パッケージ名とバージョン（範囲））を用いている。これは、固有サーバ６は、主にプラットフォーム固有の脆弱性スキャナ（スキャナ）によって利用されることが想定されているためである。スキャナとは、検査対象プラットフォームのパッケージのパッケージ情報から、当該パッケージに脆弱性が含まれているかを判定するソフトウェアである。

例えば、スキャナの検査対象である機器１０＿１（対象機器）に、「バージョン１．３．６」の「パッケージ１」であるパッケージＸがインストールされているとする。図３に示す情報に基づいて、スキャナは、パッケージＸがパッケージ１であること、パッケージＸのバージョンが１．１．１より大きいことを特定し、対象機器には脆弱性「ＣＶＥ－２０１８－ＸＸＸＸ」が含まれないと判定する。同様に、スキャナは、パッケージＸのバージョンが６．０．０より小さいことを特定し、パッケージＸには脆弱性「ＣＶＥ－２０２１－ＹＹＹＹ」が含まれると判定する。

汎用サーバ７は、世界中で日々発見される脆弱性情報（第２脆弱性情報）を蓄積し、公表している。汎用サーバ７は、インターネット上に公開されているサーバであり、誰でも内容を閲覧できる。

汎用サーバ７は、特定のプラットフォームには依存しておらず、汎用的な情報が記述されている。ここで、「汎用的な情報」とは、人間が読めば理解できる情報であり、特定のプラットフォームにとってのみ有益な情報を含まない情報を指す。そのため汎用サーバ上では、構成情報を表すために、汎用的な識別子（第２識別子）が用いられている。第２識別子は、例えばＣＰＥである。汎用サーバ７は、例えばＮＶＤ（National Vulnerability Database）である。以下、第２識別子はＣＰＥであるとして説明する。

ＣＰＥは、ある機器に含まれるソフトウェア（パッケージ）などの構成要素を所定の形式で記述した、構成要素を一意に識別する識別子である。例えば、ある機器に含まれる１つのソフトウェアは１つのＣＰＥで記述される。そのため、複数のソフトウェアを含む機器に対しては複数のＣＰＥが対応付けられる。構成要素にはソフトウェア以外に、ハードウェア、ＯＳ等も含まれ得る。

ＣＰＥは所定の形式（ＣＰＥ形式）で記述される。ＣＰＥ形式は、例えば、ＵＲＩ形式である。具体的には、「ｃｐｅ：／種別：ベンダ名：製品名：バージョン：アップデート：エディション：言語」のように、構成要素を一意に特定するための各要素が記述される。

「種別」には、ハードウェア（ｈ）、ＯＳ（ｏ）、アプリケーション（ａ）等、構成要素のプラットフォームの種別が記述される。「ベンダ名」には、構成要素のベンダの名称が記述される。「製品名」には、構成要素の製品としての名称が記述される。「バージョン」には、構成要素のバージョンを示す特定の数字などが記述される。「アップデート」には、製品のアップデートやサービスパックの情報が記述される。「エディション」には、製品の提供方法が記述される。「言語」には、製品で使用されている言語が記述される。各要素は必要に応じて適宜省略されてもよい。これ以降に任意の要素が続く場合にはアスタリスク（＊）で省略してもよい。

ＣＰＥは、ルール上は、既存のベンダ名と製品名とを流用した上で、バージョン以降の要素で１つのソフトウェア等を特定するように推奨されている。

図４に、汎用サーバ７が有する第２脆弱性情報を示す。図４に示されるように、汎用サーバ７では、脆弱性の概要と、危険度と、第２識別子で記述された構成情報が紐づけされた脆弱性情報が蓄積される。脆弱性情報は、脆弱性番号（ＣＶＥ）によって一意に特定される。脆弱性の概要は自然言語で書かれている。脆弱性の危険度は、例えば、ＣＶＳＳによって評価される。そして、1つの脆弱性に、ＣＰＥ形式で既述された構成情報が対応している。つまり、汎用サーバ７上では、脆弱性（脆弱性番号）と、当該脆弱性が影響を与える、第２識別子で記述された構成情報が対応している。

機器１０＿ｉに含まれる第１構成情報を、第２識別子で記述できる者は、汎用サーバ７上の第２脆弱性情報から、機器１０＿ｉに含まれる脆弱性を特定することができる。例えば、機器１０＿ｉにＣＰＥ１で示される構成要素が含まれていることを知る者は、機器１０＿ｉに脆弱性「ＣＶＥ－２０１８－ＸＸＸＸ」が含まれていることを知ることができる。

脆弱性監視装置２は、構成情報変換部３と、記憶部４と、脆弱機器判定部５を備える。脆弱性監視装置２は、出荷前の機器１０＿１～１０＿Ｍから構成情報を収集して保存し、機器１０に脆弱性が発見された場合には警告を脆弱性監視システム１のユーザに通知する。具体的には、汎用サーバ７上および／または固有サーバ６上で、脆弱性情報が公表されると、当該脆弱性に対応する識別子から、当該脆弱性が影響を与える構成要素を特定し、当該構成要素が、機器１０＿１～１０＿Ｍに含まれている場合、警告を脆弱性監視システム１のユーザに通知する。

しかしながら、既述のように、機器１０＿ｉの第１構成情報は、第１識別子で記述されているため、そのままでは汎用サーバ７上で公表される第２脆弱性情報と対応しない。そこで、機器１０＿１～１０＿Ｍから収集した第１構成情報の第１識別子を、第２識別子と同じ形式（ＣＰＥ形式）で記述された第３識別子（ＣＰＥ’と記載する）に変換した第２構成情報を生成する必要がある。ここで、固有サーバ６上の第１脆弱性情報を用いた脆弱性検出は、機器１０＿ｉから取得した第１構成情報を変換せずそのまま用いて行うことができ、その動作は自明であるため、説明を適宜省略する。

構成情報変換部３は、まず、機器１０＿１～１０＿Ｍから第１構成情報を収集する。様々な種類の機器１０が存在するため、構成情報変換部３は、特定プラットフォームに依存せず第１構成情報を収集する。

そして、構成情報変換部３は、収集した第１構成情報を、第３識別子（ＣＰＥ’）で記述された第２構成情報に変換し、出力する。具体的な変換方法は後述する。

図５は、構成情報変換部３によって出力される第２構成情報の一例である。図５に示されるように、機器１０＿ｉの構成情報を予め第３識別子で記述しておくことで、機器１０＿ｉの脆弱性の検出に、汎用サーバ７上の第２脆弱性情報を用いることができる。ＣＰＥ’には後述するように、ＣＰＥ検索部３１２（図７参照）により特定されたＣＰＥ（第２識別子）のバージョン部分を、対象となる機器１０＿ｉにおけるソフトウェア（対象ソフトウェア）のバージョンに置換することによって生成されることができる。ＣＰＥ’は、対象となる対象となる機器１０＿ｉにおけるソフトウェアを、ソフトウェアの名称とバージョンとを含む所定の形式（本実施形態ではＣＰＥの形式）で記述した第３識別子に対応する。

記憶部４は、構成情報変換部３によって出力された第２構成情報を格納する。記憶部４があることにより、機器１０＿ｉが出荷されておりかつユーザ（製造者）の手元に機器１０＿ｉの実物が無い場合においても、機器１０＿ｉの第２構成情報を過去に遡って確認できる。なお、記憶部４は、第１構成情報を格納していてもよい。

脆弱機器判定部５は、汎用サーバ７を常時監視している。汎用サーバ７において新たな第２脆弱性情報が公表された場合、脆弱機器判定部５は、第２脆弱性情報を取得する。そして、脆弱機器判定部５は、第２脆弱性情報に含まれる第２識別子と、記憶部４に格納されている第２構成情報に含まれる第３識別子を比較する。一致する第２識別子が第２脆弱性情報に存在すれば、当該第３識別子を含む第２構成情報の機器１０＿ｉに脆弱性が含まれると判定する。なお、脆弱機器判定部５は、第１構成情報と第１脆弱性情報を用いて、上記と同様に機器１０＿ｉの脆弱性検出を行ってもよい。

図６は、脆弱性監視装置２が行う処理のフローチャートである。以下、図６を参照して、脆弱性監視装置２が行う処理を説明する。

まず、構成情報変換部３が、機器１０＿ｉから、機器１０＿ｉの全ての第1構成情報を取得する（ステップＳ１）。

次に、構成情報変換部３が、第１構成情報を第２構成情報に変換する（ステップＳ２）。

次に、構成情報変換部３が、第２構成情報を記憶部４に格納する（ステップＳ３）。

次に、脆弱機器判定部５が、記憶部４に格納されている第２構成情報に含まれる第３識別子と、汎用サーバ７上の第２脆弱性情報に含まれる第２識別子を比較する。両者が一致した場合、当該第３識別子を含む第２構成情報を含む機器１０＿ｉに脆弱性が含まれると判定する（ステップＳ４）。

以上説明したように、脆弱性監視システム１によれば、第１識別子で記述された構成情報を有する機器１０＿ｉの脆弱性を、第３識別子で記述された第２脆弱性情報を用いて検出できる。

＜構成情報変換部３＞
［第1構成例］
図７は、一実施形態の第1構成例に係る情報処理装置である構成情報変換部３のブロック図である。以下、構成情報変換部３の構成及び構成情報変換部３が行う処理の詳細を説明する。

既述のように、構成情報変換部３は、機器１０＿１～１０＿Ｍから取得した第１構成情報を第２構成情報に変換するための装置である。

第１構成情報を、ＣＰＥで記述された第２構成情報に変換するためには、汎用サーバ７が公開しているＣＰＥ辞書（CPE dictionary）を用いる手法がある。ＣＰＥ辞書には、パッケージ情報とＣＰＥの対応が記載されている。しかし、以下に示す歴史的な経緯から、ＣＰＥ辞書には以下のような問題がある。

第一に、ＣＰＥ辞書には大量のＣＰＥが登録されており、どのＣＰＥが適切なＣＰＥなのか、判断することは難しい。ここで、「適切なＣＰＥ」とは、過去に渡って汎用サーバ７で常用されてきた実績のあるＣＰＥを指す。適切なＣＰＥは、下記に示すように、必ずしも記述形式が正しいとは限らない。

第二に、ベンダ名やソフトウェア名の表記が正規化されておらず、通称で表記されている等、表記揺れが大量に存在するため、どのＣＰＥが適切なＣＰＥなのか、判断することが難しい。また、ベンダ名やソフトウェア名は買収や社名変更により変更されることがあるが、過去のＣＰＥとの互換性を考慮して、旧来のベンダ名やソフトウェア名で記述されているＣＰＥもある。

第三に、ＣＰＥの記述には厳密なチェックが行われていないため、誤記を含むＣＰＥが存在する。また、過去のＣＰＥとの互換性を考慮して、誤記を含むＣＰＥが利用され続けている場合もある。

以上の理由から、ＣＰＥ辞書を用いても、第１構成情報を変換することは難しい。また、ＣＰＥの記述方法を熟知している者でも、適切なＣＰＥを記述できるわけではない。上記の問題を鑑みて、構成情報変換部３は、固有サーバ６上の第１脆弱性情報を用いて第１構成情報の変換を行うように構成されている。

構成情報変換部３は、第１脆弱性情報取得部３０１と、第１脆弱性ＤＢ３０２と、第２脆弱性情報取得部３０３と、ＣＰＥ候補ＤＢ３０４と、第１構成情報取得部３０５と、名称識別部３０６と、バージョン識別部３０７と、バージョン無効化部３０８と、ＤＢ内バージョン無効化部３０９と、スキャナ選択部３１０と、スキャナ３１１と、ＣＰＥ検索部３１２（検索部）と、ＣＰＥ出力部３１３（出力部）と、第１構成情報ＤＢ３１４を備える。

第１脆弱性情報取得部３０１は、固有サーバ６から、固有サーバ６上に公表されている第１脆弱性情報を取得する。取得する第１脆弱性情報は、図３に示されるような、固有サーバ６が公開している情報そのものでもよい。第１脆弱性情報取得部３０１は、固有サーバ６から定期的に第１脆弱性情報を取得してもよいし、固有サーバ６上で第１脆弱性情報が更新される度に第１脆弱性情報を取得してもよい。

第１脆弱性ＤＢ３０２は、第１脆弱性情報取得部３０１によって取得された第１脆弱性情報を格納する。第１脆弱性ＤＢ３０２は、予め初期化されており、第１脆弱性情報取得部３０１によって都度第１脆弱性情報が追加更新される。これは、固有サーバ６上の情報が日々変化するためである。

以下、第１脆弱性ＤＢ３０２には、図３に示される情報が格納されているとする。第１脆弱性ＤＢ３０２は、スキャナ３１１が、機器１０＿ｉの第１構成情報から脆弱性を検出する際に用いられるデータベースである。パッケージ名およびバージョンが分かれば、第１脆弱性ＤＢ３０２の情報を参照することで、パッケージが内包する脆弱性のＣＶＥを特定できる。

なお、第１脆弱性ＤＢ３０２の保存形式は、第１脆弱性ＤＢ３０２を利用するスキャナ３１１に依存する。保存形式は、例えば、ＳＱＬｉｔｅ３形式、ＣＳＶ（Comma Separated Value）形式である。後述するように、スキャナ３１１は既存のスキャナを流用してもよく、第１脆弱性情報取得部３０１として、既存のスキャナに付属の情報取得プログラムを流用しても良い。その際は、スキャナやプラットフォームの種類ごとに第１脆弱性ＤＢ３０２が複数作成されてもよい。

第２脆弱性情報取得部３０３は、汎用サーバ７から、汎用サーバ７上に公表されている第２脆弱性情報を取得する。取得する第２脆弱性情報は、図４に示されるような、汎用サーバ７が公開している情報そのものでもよい。或いは、第２脆弱性情報取得部３０３は、汎用サーバ７がＷｅｂサイトとして公開している情報をパースして取り込んでも良いし、プログラム処理しやすいようにＪＳＯＮやＸＭＬなど構造化された状態で公開されている第２脆弱性情報を取得してもよい。第２脆弱性情報取得部３０３は、汎用サーバ７から定期的に第２脆弱性情報を取得してもよいし、汎用サーバ７上で第２脆弱性情報が更新される度に第２脆弱性情報を取得してもよい。

ＣＰＥ候補ＤＢ３０４は、第２脆弱性情報取得部３０３によって取得された第２脆弱性情報を格納する。ＣＰＥ候補ＤＢ３０４は予め初期化されており、第２脆弱性情報取得部３０３によって都度第２脆弱性情報が追加更新される。これは、汎用サーバ７上の情報は日々変化するためである。

以下、ＣＰＥ候補ＤＢ３０４には、図４に示される情報が格納されているものとする。ＣＰＥ候補ＤＢ３０４は、後述するＣＰＥ検索部３１２が、ＣＶＥからＣＰＥを特定する際に用いるデータベースであり、少なくともＣＶＥとＣＰＥとのペアを格納していればよい。そのため、ＣＰＥ候補ＤＢ３０４は、処理速度の向上や保存容量の削減を目的として、ＣＶＥとＣＰＥ以外の要素（図４に示される脆弱性の概要、危険度等）を適宜削除してもよい。1つのＣＶＥに対応するＣＰＥの個数は１つのみならず、複数の場合もあり得る。

第１構成情報取得部３０５は、機器１０＿ｉから、機器１０＿ｉに含まれる全ての第１構成情報（パッケージ情報）を取得する。第１構成情報取得部３０５は、出荷前の機器１０＿ｉとネットワークを通じて接続されており、任意のタイミングで機器１０＿ｉから第１構成情報を収集する。第１構成情報取得部３０５は、機器１０＿ｉと無線アクセスポイントを通じて無線で接続されていてもよいし、工場などに設置されたイーサネットを含む有線で接続されていてもよい。また、第１構成情報取得部３０５は、機器１０＿ｉの製造者等から間接的に第１構成情報を収集してもよい。

第１構成情報取得部３０５は、第1構成情報の取得にあたって、まずは機器１０＿ｉのプラットフォームを判別し、その後、適切な方法で機器１０＿ｉにアクセスして第1構成情報を得る。プラットフォームがＬｉｎｕｘであれば、第１構成情報取得部３０５は、ＯＳのパッケージ管理コマンドを利用しても良いし、インストール済みのソフトウェア管理ファイルを参照しても良い。プラットフォームがＷｉｎｄｏｗｓであれば、第１構成情報取得部３０５は、レジストリの内容を確認しても良い。また、第１構成情報取得部３０５は、機器１０のプラットフォームの種類を第１構成情報ＤＢ３１４に格納する。

第１構成情報ＤＢ３１４は、機器１０＿ｉの第１構成情報を格納する。後述するスキャナ３１１とＣＰＥ検索部３１２は、パッケージのＣＰＥを特定する処理を行うが、その処理は、第１脆弱性ＤＢ３０２とＣＰＥ候補ＤＢ３０４の内容に依存する。両データベースの内容は、固有サーバ６および汎用サーバ７の内容と共に日々変化していくため、後日、処理をやり直すこともあり得る。そのために、第１構成情報取得部３０５は、これまでに取得した機器の第１構成情報を第１構成情報ＤＢ３１４に格納しておいてもよい。

名称識別部３０６は、第１構成情報取得部３０５によって取得された第１構成情報のうち、パッケージ名を識別する。

バージョン識別部３０７は、第１構成情報取得部３０５によって取得された第１構成情報のうち、パッケージのバージョンを識別する。名称識別部３０６とバージョン識別部３０７は、パッケージ名とバージョンを第１構成情報ＤＢ３１４に格納する。

スキャナ３１１は、第１構成情報（パッケージ名およびバージョン）が入力されると、固有サーバ６上の第１脆弱性情報を参照して、当該第１構成情報が示すパッケージに含まれる脆弱性の有無を判定するスキャナである。

スキャナ３１１は独自に実装しても良いし、商用あるいはオープンソースなどの既存のスキャナを流用してもよい。既存のスキャナを利用する場合は、プラットフォーム毎に異なった既存のスキャナが必要となる。そのため、スキャナ３１１は、最大で機器１０＿１～１０＿Ｍに含まれるパッケージのプラットフォームの種類だけ必要となる。以下、スキャナ３１１は、既存のスキャナを流用することを想定して説明する。

スキャナ３１１には、固有の形式で第１構成情報を入力する必要がある。例えば、第１構成情報の入力を、ＪＳＯＮ形式のファイルで受領するスキャナ３１１もあれば、ＸＭＬ形式のファイルで受領するスキャナ３１１もある。また、第１構成情報の入力を、プロセス間通信で受領するスキャナ３１１もあれば、ＴＣＰ通信を通じて受領するスキャナ３１１もある。

スキャナ選択部３１０は、第1構成情報ＤＢ３１４に基づき、機器１０＿ｉのプラットフォームを判別し、複数あるスキャナ３１１の中から機器１０＿ｉの脆弱性を判定可能なスキャナ３１１を決定する。また、後述するバージョンを無効化する手法も併せて決定する。

バージョン無効化部３０８は、スキャナ３１１が行う脆弱性スキャンの前準備として、スキャナ３１１に入力される機器１０＿ｉの第１構成情報に含まれるバージョンを無効化する。バージョン無効化部３０８は、スキャナ３１１に入力される第１構成情報のバージョンを、バージョンが取り得る値より小さい値に書き替える。本実施形態では、一例として、図８に示されるように、「０．０．０」に強制的に書き替える。バージョン無効化部３０８は、スキャナ３１１に固有の、第１構成情報の入力方法に従って、スキャナ３１１に対応する形式のまま、第１構成情報を書き換える。

例えば、スキャナ選択部３１０によって選択されたスキャナ３１１が、ファイル経由で情報を入力する仕様であれば、バージョン無効化部３０８は、事前にファイルの内容を書き換える。或いは、スキャナ選択部３１０によって選択されたスキャナ３１１が、何らかの通信を伴う仕様であれば、バージョン無効化部３０８は、通信内容を強制的に変更する。

上記のような処理を行うことで、一般的には、パッケージのバージョンが０．０．０よりも小さくなることはないため、あるパッケージの全てのバージョンについての脆弱性が検出される。つまり、本来であればパッケージ名およびバージョンで判定されるはずの脆弱性の有無が、パッケージ名だけで判定されるようになる。

例えば、機器１０＿１に「バージョン１．３．６」の「パッケージ１」であるパッケージＸがインストールされているとする。本来であれば、スキャナ３１１には、パッケージ名として「パッケージ１」、バージョンとして「１．３．６」が入力される。そして、既述のように、スキャナ３１１は、パッケージＸがパッケージ１であり、そのバージョンが「６．０．０」より小さいことを特定し、パッケージＸには脆弱性「ＣＶＥ－２０２１－ＹＹＹＹ」が含まれると判定する（図３参照）。

しかし、バージョン無効化部３０８により、バージョンとして「０．０．０」が入力されると、スキャナ３１１は、パッケージＸがパッケージ１であり、そのバージョンが「１．１．１」および「６．０．０」より小さいということを特定する。そのため、パッケージＸには、脆弱性「ＣＶＥ－２０１８－ＸＸＸＸ」と脆弱性「ＣＶＥ－２０２１－ＹＹＹＹ」が含まれると判定される（図８参照）。

上記のように、入力されるパッケージのバージョンが「０．０．０」であると、「パッケージ１」の既知脆弱性が全て検出されることになる。また、書き替えるバージョンは０．０．０である必要は無く、バージョン番号として一般的に利用されない程度に十分に小さな数であればよい。

ＤＢ内バージョン無効化部３０９は、バージョン無効化部３０８とは別の方法でバージョンを無効化する。ＤＢ内バージョン無効化部３０９は、第１脆弱性ＤＢ固有の保存形式（つまりスキャナ３１１に対応する形式）に従い、脆弱性の影響範囲の上限値、すなわち脆弱性が影響するバージョンの範囲の上限値を、バージョンが取り得る値より大きい値に書き替える。本実施形態では、一例として、図９に示すように、「～９９９９」に強制的に書き替える。これによりバージョンの範囲を拡張する。

上記のような処理を行うことで、一般的には、パッケージのバージョンがこれほど大きな値になることはないため、あるパッケージの全てのバージョンについての脆弱性が検出される。つまり、本来であればパッケージ名およびバージョンで判定されるはずの脆弱性の有無が、パッケージ名だけで判定されるようになる。

例えば、機器１０＿１に「バージョン１．３．６」の「パッケージ１」であるパッケージＸがインストールされているとする。既述のように、本来であれば、パッケージＸには脆弱性「ＣＶＥ－２０２１－ＹＹＹＹ」が含まれると判定される（図３参照）。

しかし、ＤＢ内バージョン無効化部３０９により、第１脆弱性ＤＢ３０２上の第１脆弱性情報のバージョン範囲が「～９９９９」に書き換えられると、スキャナ３１１は、パッケージＸがパッケージ１であり、そのバージョンが９９９９より小さいということを特定する。そのため、パッケージＸには、脆弱性「ＣＶＥ－２０１８－ＸＸＸＸ」と脆弱性「ＣＶＥ－２０２１－ＹＹＹＹ」が含まれると判定される（図９参照）。

上記のように、第１脆弱性情報のバージョン範囲が「～９９９９」であると、「パッケージ１」の既知脆弱性が全て検出されることになる。

なお、ＤＢ内バージョン無効化部３０９は、第１脆弱性ＤＢ３０２の値を直接書き替えずに、スキャナ３１１の第１構成情報の読み込みを動的にフックして、当該第１構成情報のバージョン部分を書き替えても良い。また、書き替えるバージョン範囲（の上限）は９９９９である必要は無く、バージョン番号として一般的に利用されない程度に十分に大きな数であれば良い。例えば、第１脆弱性ＤＢ３０２が扱える整数の最大値などでもよい。

バージョンを無効化するために、バージョン無効化部３０８またはＤＢ内バージョン無効化部３０９のどちらを用いるかは、スキャナ選択部３１０によって決定される。例えば、第１脆弱性情報が上限と下限を伴って定義される場合、ＤＢ内バージョン無効化部３０９を用いてバージョンを無効化するように決定されてもよい。

なお、スキャナ３１１が完全に独自実装であり、入力される第１構成情報や第１脆弱性ＤＢの内容を書き替えなくても、バージョンを無視してスキャンが可能であれば、ＤＢ内バージョン無効化部３０９およびバージョン無効化部３０８は動作しない。

いずれにせよ、パッケージＸがインストールされている機器１０＿１に、バージョンを無効化した上で脆弱性スキャンを行うことにより、パッケージＸの全てのバージョンに含まれる既知脆弱性が検出されることになる。

また、日々更新される固有サーバ６の内容に伴い、第１脆弱性ＤＢ３０２の内容も日々変化する。そのため、スキャナ３１１は、一度脆弱性スキャンを行った後でも、後日脆弱性スキャンを再度行ってもよい。その場合、第１構成情報ＤＢ３１４に格納された第１構成情報が用いられてもよい。

ＣＰＥ検索部３１２は、ＣＰＥ候補ＤＢ３０４（図４参照）におけるＣＶＥの行を検索して、スキャナ３１１によって取得されたＣＶＥが存在するかを判定する。ＣＶＥが存在した場合には、当該ＣＶＥに対応するＣＰＥを特定する。例えば、パッケージＸに含まれていたＣＶＥは「ＣＶＥ－２０１８－ＸＸＸＸ」と「ＣＶＥ－２０２１－ＹＹＹＹ」であるので、「ＣＰＥ１」と「ＣＰＥ２」を特定する。

上記のＣＰＥ検索部３１２の処理は、ＣＰＥ候補ＤＢ３０４の内容に依存する。日々更新される汎用サーバ７の内容に伴い、ＣＰＥ候補ＤＢ３０４の内容も日々変化する。そのため、ＣＰＥ検索部３１２は、ＣＰＥ候補ＤＢ３０４内に、スキャナ３１１によって取得されたＣＶＥが存在しないと一度判定しても、後日変更されたＣＰＥ候補ＤＢ３０４の内容に基づき、上記処理を再度行ってもよい。またその際、スキャナ３１１は、第１構成情報ＤＢ３１４に格納された第１構成情報に基づき、脆弱性スキャンを再度行ってもよい。

ＣＰＥ出力部３１３は、ＣＰＥ検索部３１２により特定されたＣＰＥを、パッケージのバージョンを考慮したＣＰＥに整形した上で記憶部４に格納する。ＣＰＥ１、ＣＰＥ２は、「パッケージ１」の過去のバージョンが有していた脆弱性が影響を与える構成要素を記述するＣＰＥに過ぎない。そのため、特定されたＣＰＥのバージョン部分は、機器１０＿１に実際にインストールされているパッケージＸのバージョンとは異なる可能性が高い。

そこで、ＣＰＥ出力部３１３は、ＣＰＥのバージョン部分を本来のバージョンに置き換える整形処理を行う。例えば、ＣＰＥ１が「cpe:/a:vendor1:package1:10:*」と記述されるとする。ＣＰＥ出力部３１３は、ＣＰＥ１「cpe:/a:vendor1:package1:10:*」のバージョン「１０」を「１．３．６」に置換して、ＣＰＥ１’「cpe:/a:vendor1:package1:1.3.6:*」を生成する。同様にして、ＣＰＥ出力部３１３は、ＣＰＥ２のバージョン部分を本来のバージョンに置換して、ＣＰＥ２’を生成する。ＣＰＥ出力部３１３は、生成したＣＰＥ１’、ＣＰＥ２’を出力する。ＣＰＥ出力部３１により生成されるＣＰＥ１’、ＣＰＥ２’は、機器１０＿１にインストールされている複数のパッケージのそれぞれを、パッケージ名とバージョンとを含む所定の形式（ＣＰＥの形式）により特定した第３識別子に対応する。

なお、出力されたＣＰＥ１’、ＣＰＥ２’は、出力された時点で、汎用サーバ７上で使用されていないＣＰＥであってもよい。既述のように、ＣＰＥは、ルール上は、既存のベンダ名と製品名とを流用した上で、バージョン以降の要素で１つのソフトウェア等を特定するように推奨されている。そのため、パッケージＸに新たな脆弱性が発見された場合、その脆弱性は、ＣＰＥ１’またはＣＰＥ２’と一致するＣＰＥで記述される可能性が高い。

また、ＣＰＥ検索部により特定されるＣＰＥが複数の場合に、複数のＣＰＥの中にはパッケージ名とバージョンとを含まないＣＰＥも存在し得る。このようなＣＰＥについてはバージョン部分の置き換えを行わずに、ＣＰＥを出力すればよい。

以上のように、ＣＰＥ出力部３１３によって適切なＣＰＥの可能性が高いＣＰＥ（ＣＰＥ１’、ＣＰＥ２’等）が出力される。出力されたＣＰＥは、記憶部４で機器１０＿１と対応付けられ、保存される。

以上の処理により、１つの第１構成情報（一組のパッケージ名とバージョン）からＣＰＥが特定できたことになる。これを、機器１０＿ｉに含まれる全てのパッケージの第1構成情報について繰り返し、機器１０＿ｉにインストールされている全てのパッケージのＣＰＥ特定および保存処理を行う。これによって、図５に示されるような第２構成情報が生成される。

図１０は、構成情報変換部３が実行する処理を説明するフローチャートである。以下、図を参照して構成情報変換部３が実行する処理を説明する。

まず、構成情報変換部３は、第１脆弱性ＤＢ３０２およびＣＰＥ候補ＤＢ３０４を初期化する（ステップＳ２１）。

次に、第１脆弱性情報取得部３０１および第２脆弱性情報取得部３０３が、それぞれ固有サーバ６および汎用サーバ７から第１脆弱性情報および第２脆弱性情報を取得する（ステップＳ２２）。取得された第１脆弱性情報および第２脆弱性情報は、それぞれ第１脆弱性ＤＢ３０２およびＣＰＥ候補ＤＢ３０４に格納される。

次に、第１構成情報取得部３０５が、機器１０＿ｉから、機器１０＿ｉに含まれる全てのパッケージの第１構成情報を取得する（ステップＳ２３）。

次に、名称識別部３０６およびバージョン識別部３０７が、第１構成情報取得部３０５によって取得された第１構成情報から、それぞれパッケージの名称およびバージョンを識別する（ステップＳ２４）。

次に、バージョン無効化部３０８、ＤＢ内バージョン無効化部３０９または独自実装されたスキャナ３１１によってバージョンを無効化された状態で、スキャナ３１１が、第１構成情報のスキャンを行う（ステップＳ２５）。

次に、スキャンの結果、スキャナ３１１が、上記のパッケージが過去に有していた脆弱性（ＣＶＥ）をバージョンに拘わらず、全て検出する（ステップＳ２６）。

次に、ＣＰＥ検索部３１２が、ＣＰＥ候補ＤＢ３０４において、検出されたＣＶＥが存在するか判定する（ステップＳ２７）。

検出されたＣＶＥが存在すると判定された場合（ステップＳ２７：Ｙｅｓ）、当該ＣＶＥに対応するＣＰＥのバージョン部分を、実際のパッケージのバージョンに置換して出力する（ステップＳ２８）。

検出されたＣＶＥが存在しないと判定された場合、ステップＳ２９に移行する（ステップＳ２７：Ｎｏ）。

次に、機器１０＿ｉにインストールされているパッケージのうち、未処理のパッケージが無いかを判定する（ステップＳ２９）。

未処理のパッケージがある場合、ステップＳ２４に戻って、未処理のパッケージについてステップＳ２４～Ｓ２８までの処理を行う（ステップＳ２９：Ｎｏ）。

未処理のパッケージが無い場合、処理を終了する（ステップＳ２９：Ｙｅｓ）。

なお、ステップＳ２７で、検出されたＣＶＥが存在しないと判定された場合、後日、新たなＣＰＥ候補ＤＢ３０４および第１脆弱性ＤＢ３０２を用いて、改めてステップＳ２１～Ｓ２７を実行してもよい。

以上説明したように、一実施形態の第１構成例によれば、第１識別子で記述された第１構成情報を、適切な第３識別子（ＣＰＥ’）で記述された第２構成情報に変換することができる。

［第２構成例］
固有サーバ６は、同一のプラットフォームに対して１つ設けられるが、プラットフォームによって、同一プラットフォームと見なす粒度は様々である。例えば、ＯＳが大幅に変更になっても長期に渡り同一と見做される場合もあれば、細かなリリース毎に別のプラットフォームと見做される場合もある。後者の場合には、１つの固有サーバ６の第１脆弱性情報だけを用いると、短い期間の間に発見された脆弱性しか検出されない可能性がある。

例えば、あるベンダが、自身が提供しているあるＯＳについて、既存のバージョンである「ＯＳ ｖｅｒ１」に加えて、新たに「ＯＳ ｖｅｒ２」をリリースしたとする。この場合、当該ベンダは、「ＯＳ ｖｅｒ１」に対応する固有サーバ６に加えて、新たに「ＯＳ ｖｅｒ２」に対応する固有サーバ６を用意する。そして、「ＯＳ ｖｅｒ２」がリリースされる以前に、「バージョン３」の「パッケージ１」が既に当該ＯＳに導入されている場合、「ＯＳ ｖｅｒ２」向けの固有サーバ６には、「バージョン３」以前のバージョンのパッケージ１の脆弱性情報が含まれない可能性が高い。

よって、パッケージの過去のバージョンの脆弱性を全て検出するためには、最新のプラットフォーム向けに設けられた固有サーバ６（およびそれに基づく第１脆弱性ＤＢ）だけではなく、過去のプラットフォーム向けに設けられた固有サーバ６を参照する必要がある。

第１構成例では、固有サーバ６は、プラットフォームのリリース等によって増加しないことを前提としていた。第２構成例では、固有サーバ６がプラットフォームのリリース等によって増加する場合の処理を説明する。

図１１は、一実施形態の第２構成例に係る情報処理装置である構成情報変換部３Ａのブロック図である。既述の構成例と同じ名称または機能の要素には同じ符号を付している。以後、変更または追加された事項を除き説明を省略する。

構成情報変換部３Ａは、第1脆弱性ＤＢ切替部３１５を備える。第1脆弱性ＤＢ切替部３１５は、スキャナ３１１によるバージョンを無視した脆弱性スキャンの精度を向上させる。

第1脆弱性ＤＢ切替部３１５は、スキャナ３１１が用いる第1脆弱性ＤＢ３０２を、異なるプラットフォーム（即ち過去のプラットフォーム）向けの第1脆弱性ＤＢ３０２と切り替えて、より多くの脆弱性が検出されるようにする。

例えば、第1脆弱性ＤＢ切替部３１５は、スキャナ３１１が読み込む第１脆弱性ＤＢ３０２のファイルをシンボリックリンクで置き換えてもよいし、引数を書き替えて異なるファイルを読み込ませてもよい。同一形式であり、スキャナ３１１が矛盾なく読込可能な第1脆弱性ＤＢ３０２であれば、第1脆弱性ＤＢ切替部３１５によって切り替えられることが可能である。換言すれば、本実施形態においては、スキャナ３１１が矛盾なく読込可能な複数の第1脆弱性ＤＢ３０２がある場合、当該複数の第1脆弱性ＤＢ３０２は同一プラットフォームの第1脆弱性ＤＢ３０２と見做すということである。

以上説明したように、一実施形態の第２構成例によれば、固有サーバ６が、プラットフォームのリリース等によって増加した場合であっても、パッケージの過去の全てのバージョンの脆弱性を検出することができる。

［第３構成例］
あるパッケージに脆弱性が発見された場合には、１種類のＣＰＥにのみ関連がある（つまり、ＣＶＥとＣＰＥが一対一で対応している）とされるのが好ましい。

一方で、世の中にはパッケージを１つの部品として組み込んでいるＯＳやハードウェアなどが存在する。この場合、当該パッケージに脆弱性が発見されると、当該パッケージを用いているＯＳやハードウェアにも脆弱性があると見做されることがある。

例えば、脆弱性「ＣＶＥ－２０２２－ＸＸＸＸ」は「ｖｅｎｄｏｒ」社が開発したパッケージ「ｐａｃｋａｇｅ１」の「バージョン１」に影響を与える場合、汎用サーバ７上では、以下のような内容が列挙されている。
脆弱性番号
CVE-2022-XXXX
概要
この脆弱性はpackage1に関する脆弱性であり・・・
影響を受ける構成要素（ＣＰＥリスト）
cpe:/a:vendor:package1:1:*
cpe:/o:vendor:os_system:2:*
cpe:/h:vendor:hardware1:1:*

上記のように、影響を受ける構成要素（ＣＰＥリスト）には、脆弱性の根本的な原因であるパッケージ「cpe:/a:vendor1:package1:1:*」以外にも、「ｐａｃｋａｇｅ１」を用いているＯＳ「cpe:/o:vendor2:os_system:2:*」やハードウェア「cpe:/h:vendor3:hardware1:1:*」も列挙されることになる。

しかしながら、脆弱性管理の視点からは、当該パッケージを用いているＯＳやハードウェアを特定したいケースは稀であり、根本的な脆弱性原因「cpe:/a:vendor1:package1:1:*」を特定したいケースが殆どである。

また、上記の例以外でも、１つのＣＶＥに対して、適切なＣＰＥ以外に、適切でないＣＰＥが複数列挙されることが考えられる。

このような汎用サーバ７のＷｅｂ情報を元に、第２脆弱性情報取得部３０３がＣＰＥ候補ＤＢ３０４に格納されている第２脆弱性情報を追加更新すると、１つのＣＶＥに対して複数のＣＰＥが対応付けられることになる。そのため、記憶部４に格納される第２構成情報が冗長なものになり、また重要でない脆弱性も脆弱機器判定部５によって検出されるようになる。

第１構成例および第２構成例では、汎用サーバ７上では、ＣＶＥとＣＰＥが一対一で対応していることを前提としていた。第３構成例では、ＣＶＥとＣＰＥが一対多で対応する場合に優先度の高いＣＰＥを選択する処理を説明する。

図１２は、一実施形態の第３構成例に係る情報処理装置である構成情報変換部３Ｂのブロック図である。既述の構成例と同じ名称または機能の要素には同じ符号を付している。以後、変更または追加された事項を除き説明を省略する。

構成情報変換部３Ｂは、優先ＣＰＥ選択部３１６と、劣後ＣＰＥ排除部３１７を備える。

優先ＣＰＥ選択部３１６は、より優先度の高いＣＰＥを特定可能なＣＰＥ候補ＤＢ３０４の更新をサポートする。優先ＣＰＥ選択部３１６は、ＣＰＥ候補ＤＢ３０４が更新された後、当該ＣＰＥ候補ＤＢ３０４を優先ＣＰＥのみで構成されたＣＰＥ候補ＤＢ３０４に書き換える。

具体的には、まず、優先ＣＰＥ選択部３１６は、ＣＰＥ候補ＤＢ３０４をスキャンして、複数のＣＰＥに対応付けられているＣＶＥを検索する。検索の結果、該当するＣＶＥが存在した場合には、当該ＣＶＥをキーに、汎用サーバ７のＷｅｂ情報を参照して、ＣＰＥリストの一番上に記載されているＣＰＥを優先ＣＰＥとする。つまりＣＰＥリストのＣＰＥをリストの順番に並べた場合の先頭のＣＰＥを優先ＣＰＥとする。そして、優先ＣＰＥ選択部３１６は、当該ＣＶＥに対応付けられたＣＰＥのうち優先ＣＰＥ以外のＣＰＥを削除する。

Ｗｅｂサイトは人間が閲覧するという性質上、重要な意味合いを持つ脆弱性から順に列挙されるケースが多く、通常は上記のように、最初に脆弱性の根本的な原因となったパッケージ、続いてそのパッケージを含むＯＳとハードウェアというような順序で列挙される。そのため、ＣＰＥリストの一番上に記載されているＣＰＥが所望の、適切なＣＰＥである可能性が高い。

また、汎用サーバ７が配布しているＪＳＯＮまたはＸＭＬなどの構造化された脆弱性情報（第２脆弱性情報）から、ＣＰＥ候補ＤＢ３０４に格納されている第２脆弱性情報が追加更新されると、ＣＰＥ候補ＤＢ３０４内でＣＰＥ掲載順序が不定になる場合もある。そのため、優先ＣＰＥの選択は、Ｗｅｂに記載されている汎用サーバ７の脆弱性情報に基づいて行われる。

上記処理の後、ＣＰＥ検索部３１２が、優先ＣＰＥ選択部３１６が書き換えたＣＰＥ候補ＤＢ３０４を利用してＣＰＥ検索を行うことで、１つのＣＶＥに対して脆弱性の根本原因となっているＣＰＥのみが特定されるようになる。

なお、ＣＰＥ候補ＤＢ３０４を直接書き替えない方式もありうる。例えば、ＣＰＥ検索部３１２がＣＰＥ候補ＤＢ３０４を用いてＣＰＥを特定する毎に、優先ＣＰＥ選択部３１６を参照して、特定されたＣＰＥが優先ＣＰＥでなければ無視する等の処理を行ってもよい。

以上説明したように、一実施形態の第３構成例によれば、スキャナ３１１によって特定されたＣＶＥに対して、所望のまたは優先度の高いＣＰＥのみを対応付けることができる。またこれにより、第２構成情報が冗長化することを防ぐことができる。

［第４構成例］
１つのパッケージに対して複数の脆弱性が発見された際には、それぞれの脆弱性からＣＰＥが特定される。一方で、脆弱性監視システム１の運用が進むにつれて、特定のＣＰＥが付与されている場合には、その他のＣＰＥが誤りまたは不要という知見が得られる場合がある。

上記の知見が得られた後も、１つのパッケージに対して複数のＣＰＥを対応付けておくことは、記憶部４に格納される第２構成情報を冗長なものにする。第４構成例では、そのような冗長なＣＰＥを予め排除する処理について説明する。

図１３は、一実施形態の第４構成例に係る情報処理装置である構成情報変換部３Ｃのブロック図である。既述の構成例と同じ名称または機能の要素には同じ符号を付している。以後、変更または追加された事項を除き説明を省略する。

構成情報変換部３Ｃは、劣後ＣＰＥ排除部３１７を備える。劣後ＣＰＥ排除部３１７は、事前に指定されたＣＰＥが選択された場合に、それ以外のＣＰＥを排除する。

劣後ＣＰＥ排除部３１７は、ＣＰＥ検索部３１２の処理が完了した後に、事前にユーザによって指定されたＣＰＥが、ＣＰＥ検索部３１２によって選択されたＣＰＥに含まれるか否かを判定する。指定されたＣＰＥが含まれている場合には、それ以外のＣＰＥを排除する。

以上説明したように、一実施形態の第４構成例によれば、特定のＣＰＥが付与されている場合には、予め当該特定のＣＰＥ以外のＣＰＥを排除することで、第２構成情報が冗長化することを防ぐことができる。また、ＣＰＥ出力部３１３の処理負荷を低減することができる。

（ハードウェア構成）
図１４は、各実施形態に係る情報処理装置のハードウェア構成を示す。情報処理装置は、コンピュータ装置６００により構成される。コンピュータ装置６００は、ＣＰＵ６０１と、入力インタフェース６０２と、表示装置６０３と、通信装置６０４と、主記憶装置６０５と、外部記憶装置６０６とを備え、これらはバス６０７により相互に接続されている。

ＣＰＵ（中央演算装置）６０１は、主記憶装置６０５上で、コンピュータプログラムである情報処理プログラムを実行する。情報処理プログラムは、情報処理装置の上述の各機能構成を実現するプログラムのことである。情報処理プログラムは、１つのプログラムではなく、複数のプログラムやスクリプトの組み合わせにより実現されていてもよい。ＣＰＵ６０１が、情報処理プログラムを実行することにより、各機能構成は実現される。

入力インタフェース６０２は、キーボード、マウス、及びタッチパネルなどの入力装置からの操作信号を、情報処理装置に入力するための回路である。入力インタフェース６０２は各実施形態に係る情報処理装置の入力部に対応する。

表示装置６０３は、情報処理装置から出力されるデータを表示する。表示装置６０３は、例えば、ＬＣＤ（液晶ディスプレイ）、有機エレクトロルミネッセンスディスプレイ、ＣＲＴ（ブラウン管）、又はＰＤＰ（プラズマディスプレイ）であるが、これに限られない。コンピュータ装置６００から出力されたデータは、この表示装置６０３に表示することができる。表示装置６０３は各実施形態に係る情報処理装置の出力部に対応する。

通信装置６０４は、情報処理装置が外部装置と無線又は有線で通信するための回路である。データは、通信装置６０４を介して外部装置から入力することができる。外部装置から入力したデータを、主記憶装置６０５や外部記憶装置６０６に格納することができる。

主記憶装置６０５は、情報処理プログラム、情報処理プログラムの実行に必要なデータ、及び情報処理プログラムの実行により生成されたデータなどを記憶する。情報処理プログラムは、主記憶装置６０５上で展開され、実行される。主記憶装置６０５は、例えば、ＲＡＭ、ＤＲＡＭ、ＳＲＡＭであるが、これに限られない。各実施形態に係る情報処理装置の各記憶部又はデータベースは、主記憶装置６０５上に構築されてもよい。

外部記憶装置６０６は、情報処理プログラム、情報処理プログラムの実行に必要なデータ、及び情報処理プログラムの実行により生成されたデータなどを記憶する。これらの情報処理プログラムやデータは、情報処理プログラムの実行の際に、主記憶装置６０５に読み出される。外部記憶装置６０６は、例えば、ハードディスク、光ディスク、フラッシュメモリ、及び磁気テープであるが、これに限られない。情報処理装置の各記憶部又はデータベースは、外部記憶装置６０６上に構築されてもよい。

なお、情報処理プログラムは、コンピュータ装置６００に予めインストールされていてもよいし、ＣＤ－ＲＯＭなどの記憶媒体に記憶されていてもよい。また、情報処理プログラムは、インターネット上にアップロードされていてもよい。

また、情報処理装置は、単一のコンピュータ装置６００により構成されてもよいし、相互に接続された複数のコンピュータ装置６００からなるシステムとして構成されてもよい。

なお、本発明は上記各実施形態そのままに限定されるものではなく、実施段階ではその要旨を逸脱しない範囲で構成要素を変形して具体化できる。また、上記各実施形態に開示されている複数の構成要素を適宜組み合わせることによって種々の発明を形成できる。また例えば、各実施形態に示される全構成要素からいくつかの構成要素を削除した構成も考えられる。さらに、異なる実施形態に記載した構成要素を適宜組み合わせてもよい。

本実施形態は、以下のように構成することもできる。
［項目１］
プラットフォームに固有の第１サーバから、前記プラットフォームに関するソフトウェアを前記ソフトウェアの名称およびバージョンにより特定する第１識別子と、前記ソフトウェアの脆弱性を特定する脆弱性識別子とが対応している第１脆弱性情報を取得する第１脆弱性情報取得部と、
第２サーバから、機器に含まれるソフトウェアを前記ソフトウェアの名称およびバージョンを含む所定の形式で特定する第２識別子と、前記脆弱性識別子とが対応している第２脆弱性情報を取得する第２脆弱性情報取得部と、
脆弱性検査の対象機器から、前記対象機器に含まれる対象ソフトウェアの名称およびバージョンを含む第１構成情報を取得する第１構成情報取得部と、
前記第１構成情報に基づき、前記第１脆弱性情報から前記対象ソフトウェアの名称を含む第１識別子を検出し、検出した前記第１識別子に対応する脆弱性識別子を特定する、スキャナと、
前記第２脆弱性情報に基づき、前記スキャナにより特定された前記脆弱性識別子に対応し、かつ前記対象ソフトウェアの名称と同じソフトウェアの名称を含む第２識別子を特定する検索部と、
前記検索部により特定された前記第２識別子に含まれる前記バージョンを、前記対象ソフトウェアの前記バージョンに置換することにより、前記対象機器に含まれる前記対象ソフトウェアを前記所定の形式で特定する第３識別子を生成する出力部と、
を備えた情報処理装置。
［項目２］
取得した前記第１構成情報における前記対象ソフトウェアのバージョンの値を、前記バージョンが取り得る値より小さい値に書き替えるバージョン無効化部をさらに備え、
前記第１脆弱性情報に含まれる前記第１識別子は前記ソフトウェアの名称と前記バージョンの範囲により前記ソフトウェアを特定し、
前記スキャナは、前記第１構成情報に含まれる前記バージョンが前記バージョンの範囲に含まれる前記第１識別子を検出する
項目１に記載の情報処理装置。
［項目３］
前記第１脆弱性情報に含まれる前記第１識別子は前記ソフトウェアの名称と前記バージョンの範囲により前記ソフトウェアを特定し、
取得した前記第１脆弱性情報のバージョンの前記範囲の上限値を、前記バージョンが取り得る値より大きい値に書き替えることにより前記範囲を拡張するＤＢバージョン無効化部をさらに備え、
前記スキャナは、前記第１構成情報に含まれる前記バージョンが、拡張された前記範囲に含まれる前記第１識別子を検出する
項目１または２に記載の情報処理装置。
［項目４］
前記第１脆弱性情報取得部は、複数の前記プラットフォームに関連する複数の前記第１サーバから複数の前記第１脆弱性情報を取得し、
複数の前記第１脆弱性情報は、前記ソフトウェアの名称が同じでありかつ前記バージョンが異なる第１識別子と、前記脆弱性識別子とをそれぞれ対応づけており、
前記スキャナは、複数の前記第１脆弱性情報のそれぞれから前記対象ソフトウェアの名称を含む第１識別子を検出し、検出した前記第１識別子に対応する脆弱性識別子を特定する
項目１～３のいずれか一項に記載の情報処理装置。
［項目５］
前記第２サーバから取得される前記第２脆弱性情報は、複数の前記第２識別子を１つの前記脆弱性識別子に対応づけており、前記第２脆弱性情報における複数の前記第２識別子は、任意の順序で並べられており、
前記第２脆弱性情報における複数の前記第２識別子のうち選択条件を満たす位置の第２識別子を選択する選択部をさらに備え、
前記検索部は、前記第２脆弱性情報の一部として、選択された前記第２識別子と前記脆弱性識別子とのみを用いる
項目１～４のいずれか一項に記載の情報処理装置。
［項目６］
前記選択条件を満たす位置は、先頭の位置である
項目５に記載の情報処理装置。
［項目７］
前記スキャナは前記第１脆弱性情報から複数の前記第１識別子を検出し、検出した複数の前記第１識別子に対応する複数の前記脆弱性識別子を特定し、
複数の前記脆弱性識別子に対して前記検索部により特定された複数の前記第２識別子に、指定された第２識別子が含まれている場合、前記検索部により特定された複数の前記第２識別子から、前記指定された第２識別子以外の第２識別子を排除する排除部をさらに備え、
前記出力部は、前記指定された第２識別子のみを用いて、前記対象ソフトウェアの前記第３識別子を生成する
項目１～６のいずれか一項に記載の情報処理装置。
［項目８］
プラットフォームに固有の第１サーバから、前記プラットフォームに関するソフトウェアを前記ソフトウェアの名称およびバージョンにより特定する第１識別子と、前記ソフトウェアの脆弱性を特定する脆弱性識別子とが対応している第１脆弱性情報を取得し、
第２サーバから、機器に含まれるソフトウェアをソフトウェアの名称及びバージョンを含む所定の形式で特定する第２識別子と、前記脆弱性識別子とが対応している第２脆弱性情報を取得し、
脆弱性検査の対象機器から、前記対象機器に含まれる対象ソフトウェアの名称およびバージョンを含む第１構成情報を取得し、
前記第１構成情報に基づき、前記第１脆弱性情報から前記対象ソフトウェアの名称を含む第１識別子を検出し、検出した前記第１識別子に対応する脆弱性識別子を特定し、
前記第２脆弱性情報に基づき、特定された前記脆弱性識別子に対応し、かつ前記対象ソフトウェアの名称と同じソフトウェアの名称を含む第２識別子を特定し、
特定された前記第２識別子に含まれる前記バージョンを、前記対象ソフトウェアの前記バージョンに置換することにより、前記対象機器に含まれる前記対象ソフトウェアを前記所定の形式で特定する第３識別子を生成する、
情報処理方法。
［項目９］
脆弱性検査の対象機器と、
プラットフォームに固有の、前記プラットフォームに関するソフトウェアの脆弱性を管理する第１サーバと、
機器に含まれる構成要素の脆弱性を管理する第２サーバと、
前記対象機器、前記第１サーバおよび前記第２サーバと通信可能な情報処理装置と、を備え、
前記情報処理装置は、
前記第１サーバから、前記プラットフォームに関するソフトウェアを前記ソフトウェアの名称およびバージョンにより特定する第１識別子と、前記ソフトウェアの脆弱性を特定する脆弱性識別子とが対応している第１脆弱性情報を取得する第１脆弱性情報取得部と、
前記第２サーバから、機器に含まれるソフトウェアをソフトウェアの名称およびバージョンを含む所定の形式で特定する第２識別子と、前記脆弱性識別子とが対応している第２脆弱性情報を取得する第２脆弱性情報取得部と、
前記脆弱性検査の対象機器から、前記対象機器に含まれる対象ソフトウェアの名称およびバージョンを含む第１構成情報を取得する第１構成情報取得部と、
前記第１構成情報に基づき、前記第１脆弱性情報から前記対象ソフトウェアの名称を含む第１識別子を検出し、検出した前記第１識別子に対応する脆弱性識別子を特定する、スキャナと、
前記第２脆弱性情報に基づき、前記スキャナにより特定された前記脆弱性識別子に対応し、かつ前記対象ソフトウェアの名称と同じソフトウェアの名称を含む第２識別子を特定する検索部と、
前記検索部により特定された前記第２識別子に含まれる前記バージョンを、前記対象ソフトウェアの前記バージョンに置換することにより、前記対象機器に含まれる前記対象ソフトウェアを前記所定の形式で特定する第３識別子を生成する出力部と、
前記第２サーバから取得される前記第２脆弱性情報に、前記第３識別子に一致する第２識別子が含まれているかを検査することにより、前記対象機器の脆弱性を判定する脆弱機器判定部と、
を備える情報処理システム。

１ 脆弱性監視システム
２ 脆弱性監視装置
３、３Ａ、３Ｂ、３Ｃ 構成情報変換部
４ 記憶部
５ 脆弱機器判定部
６ 固有サーバ
７ 汎用サーバ
１０、１０＿ｉ、１０＿１～１０＿Ｍ 機器
３０１ 第１脆弱性情報取得部
３０２ 第１脆弱性ＤＢ
３０３ 第２脆弱性情報取得部
３０４ ＣＰＥ候補ＤＢ
３０５ 第１構成情報取得部
３０６ 名称識別部
３０７ バージョン識別部
３０８ バージョン無効化部
３０９ 内バージョン無効化部
３１０ スキャナ選択部
３１１ スキャナ
３１２ ＣＰＥ検索部
３１３ ＣＰＥ出力部
３１４ 第１構成情報ＤＢ
３１５ 第１脆弱性ＤＢ切替部
３１６ 優先ＣＰＥ選択部
３１７ 劣後ＣＰＥ排除部
６００ コンピュータ装置
６０２ 入力インタフェース
６０３ 表示装置
６０４ 通信装置
６０５ 主記憶装置
６０６ 外部記憶装置
６０７ バス

Claims (9)

1. プラットフォームに固有の第１サーバから、前記プラットフォームに関するソフトウェアを前記ソフトウェアの名称およびバージョンにより特定する第１識別子と、前記ソフトウェアの脆弱性を特定する脆弱性識別子とが対応している第１脆弱性情報を取得する第１脆弱性情報取得部と、
   第２サーバから、機器に含まれるソフトウェアを前記ソフトウェアの名称およびバージョンを含む所定の形式で特定する第２識別子と、前記脆弱性識別子とが対応している第２脆弱性情報を取得する第２脆弱性情報取得部と、
   脆弱性検査の対象機器から、前記対象機器に含まれる対象ソフトウェアの名称およびバージョンを含む第１構成情報を取得する第１構成情報取得部と、
   前記第１構成情報に基づき、前記第１脆弱性情報から前記対象ソフトウェアの名称を含む第１識別子を検出し、検出した前記第１識別子に対応する脆弱性識別子を特定する、スキャナと、
   前記第２脆弱性情報に基づき、前記スキャナにより特定された前記脆弱性識別子に対応し、かつ前記対象ソフトウェアの名称と同じソフトウェアの名称を含む第２識別子を特定する検索部と、
   前記検索部により特定された前記第２識別子に含まれる前記バージョンを、前記対象ソフトウェアの前記バージョンに置換することにより、前記対象機器に含まれる前記対象ソフトウェアを前記所定の形式で特定する第３識別子を生成する出力部と、
   を備えた情報処理装置。
2. 取得した前記第１構成情報における前記対象ソフトウェアのバージョンの値を、前記バージョンが取り得る値より小さい値に書き替えるバージョン無効化部をさらに備え、
   前記第１脆弱性情報に含まれる前記第１識別子は前記ソフトウェアの名称と前記バージョンの範囲により前記ソフトウェアを特定し、
   前記スキャナは、前記第１構成情報に含まれる前記バージョンが前記バージョンの範囲に含まれる前記第１識別子を検出する
   請求項１に記載の情報処理装置。
3. 前記第１脆弱性情報に含まれる前記第１識別子は前記ソフトウェアの名称と前記バージョンの範囲により前記ソフトウェアを特定し、
   取得した前記第１脆弱性情報のバージョンの前記範囲の上限値を、前記バージョンが取り得る値より大きい値に書き替えることにより前記範囲を拡張するＤＢバージョン無効化部をさらに備え、
   前記スキャナは、前記第１構成情報に含まれる前記バージョンが、拡張された前記範囲に含まれる前記第１識別子を検出する
   請求項１に記載の情報処理装置。
4. 前記第１脆弱性情報取得部は、複数の前記プラットフォームに関連する複数の前記第１サーバから複数の前記第１脆弱性情報を取得し、
   複数の前記第１脆弱性情報は、前記ソフトウェアの名称が同じでありかつ前記バージョンが異なる第１識別子と、前記脆弱性識別子とをそれぞれ対応づけており、
   前記スキャナは、複数の前記第１脆弱性情報のそれぞれから前記対象ソフトウェアの名称を含む第１識別子を検出し、検出した前記第１識別子に対応する脆弱性識別子を特定する
   請求項１に記載の情報処理装置。
5. 前記第２サーバから取得される前記第２脆弱性情報は、複数の前記第２識別子を１つの前記脆弱性識別子に対応づけており、前記第２脆弱性情報における複数の前記第２識別子は、任意の順序で並べられており、
   前記第２脆弱性情報における複数の前記第２識別子のうち選択条件を満たす位置の第２識別子を選択する選択部をさらに備え、
   前記検索部は、前記第２脆弱性情報の一部として、選択された前記第２識別子と前記脆弱性識別子とのみを用いる
   請求項１に記載の情報処理装置。
6. 前記選択条件を満たす位置は、先頭の位置である
   請求項５に記載の情報処理装置。
7. 前記スキャナは前記第１脆弱性情報から複数の前記第１識別子を検出し、検出した複数の前記第１識別子に対応する複数の前記脆弱性識別子を特定し、
   複数の前記脆弱性識別子に対して前記検索部により特定された複数の前記第２識別子に、指定された第２識別子が含まれている場合、前記検索部により特定された複数の前記第２識別子から、前記指定された第２識別子以外の第２識別子を排除する排除部をさらに備え、
   前記出力部は、前記指定された第２識別子のみを用いて、前記対象ソフトウェアの前記第３識別子を生成する
   請求項１に記載の情報処理装置。
8. プラットフォームに固有の第１サーバから、前記プラットフォームに関するソフトウェアを前記ソフトウェアの名称およびバージョンにより特定する第１識別子と、前記ソフトウェアの脆弱性を特定する脆弱性識別子とが対応している第１脆弱性情報を取得し、
   第２サーバから、機器に含まれるソフトウェアをソフトウェアの名称及びバージョンを含む所定の形式で特定する第２識別子と、前記脆弱性識別子とが対応している第２脆弱性情報を取得し、
   脆弱性検査の対象機器から、前記対象機器に含まれる対象ソフトウェアの名称およびバージョンを含む第１構成情報を取得し、
   前記第１構成情報に基づき、前記第１脆弱性情報から前記対象ソフトウェアの名称を含む第１識別子を検出し、検出した前記第１識別子に対応する脆弱性識別子を特定し、
   前記第２脆弱性情報に基づき、特定された前記脆弱性識別子に対応し、かつ前記対象ソフトウェアの名称と同じソフトウェアの名称を含む第２識別子を特定し、
   特定された前記第２識別子に含まれる前記バージョンを、前記対象ソフトウェアの前記バージョンに置換することにより、前記対象機器に含まれる前記対象ソフトウェアを前記所定の形式で特定する第３識別子を生成する、
   情報処理方法。
9. 脆弱性検査の対象機器と、
   プラットフォームに固有の、前記プラットフォームに関するソフトウェアの脆弱性を管理する第１サーバと、
   機器に含まれる構成要素の脆弱性を管理する第２サーバと、
   前記対象機器、前記第１サーバおよび前記第２サーバと通信可能な情報処理装置と、を備え、
   前記情報処理装置は、
   前記第１サーバから、前記プラットフォームに関するソフトウェアを前記ソフトウェアの名称およびバージョンにより特定する第１識別子と、前記ソフトウェアの脆弱性を特定する脆弱性識別子とが対応している第１脆弱性情報を取得する第１脆弱性情報取得部と、
   前記第２サーバから、機器に含まれるソフトウェアをソフトウェアの名称およびバージョンを含む所定の形式で特定する第２識別子と、前記脆弱性識別子とが対応している第２脆弱性情報を取得する第２脆弱性情報取得部と、
   前記脆弱性検査の対象機器から、前記対象機器に含まれる対象ソフトウェアの名称およびバージョンを含む第１構成情報を取得する第１構成情報取得部と、
   前記第１構成情報に基づき、前記第１脆弱性情報から前記対象ソフトウェアの名称を含む第１識別子を検出し、検出した前記第１識別子に対応する脆弱性識別子を特定する、スキャナと、
   前記第２脆弱性情報に基づき、前記スキャナにより特定された前記脆弱性識別子に対応し、かつ前記対象ソフトウェアの名称と同じソフトウェアの名称を含む第２識別子を特定する検索部と、
   前記検索部により特定された前記第２識別子に含まれる前記バージョンを、前記対象ソフトウェアの前記バージョンに置換することにより、前記対象機器に含まれる前記対象ソフトウェアを前記所定の形式で特定する第３識別子を生成する出力部と、
   前記第２サーバから取得される前記第２脆弱性情報に、前記第３識別子に一致する第２識別子が含まれているかを検査することにより、前記対象機器の脆弱性を判定する脆弱機器判定部と、
   を備える情報処理システム。