JP6076881B2 - 評価方法及び評価装置 - Google Patents

Description

本発明は、評価方法及び評価装置に関する。

従来、ＩＣＴ（Information and Communication Technology）システムでは、ＩＣＴシステム外部からのマルウェア感染を防ぐ入口対策が行なわれている。この一方で、マルウェアは、この入口対策を回避する場合がある。このような場合、ＩＣＴシステム内部の端末が、マルウェアに感染する（これを「一次感染」と定義する）。

またＩＣＴシステムに対する攻撃手段は、複雑化・高度化している。例えば、マルウェアは、一次感染した端末を踏み台として、システム内部に感染を拡大させる（これを「二次感染」と定義する）場合がある。

このようにＩＣＴシステム内部の端末がマルウェアに感染した場合、深刻な情報流出に至る可能性があることから、ＩＣＴシステムにおいて、十分なセキュリティ対策が施されているかどうかを監査するセキュリティ監査の重要性が高まっている。例えば、ＩＣＴシステムが持つ脆弱性を評価するための手法として、ＣＶＳＳ（Common Vulnerability Score System）がある。

ＣＶＳＳでは、ＩＣＴシステムの脆弱性が、「基本評価基準」、「現状評価基準」及び「環境評価基準」の３つの観点から評価される。ここで、「基本評価基準」では、時間の経過やシステムの利用環境に依存しない、脆弱性そのものの特性が基本値として評価される。また、「現状評価基準」では、脆弱性を取り巻く時間的な状況が現状値として評価される。「環境評価基準」では、攻撃を受けた場合の二次的な被害の大きさや利用者側でのＩＣＴシステムの使用状況が環境値として評価される。

また、ＩＣＴシステム中の情報資産が外部に流出するリスクを評価する監査手法も知られている。この監査手法では、情報資産が収容されている機器の配置情報と情報資産の移動や扱いに関する運用ポリシ、ＩＣＴシステムの論理的な構成情報や物理的な構成情報、及び導入しているセキュリティ対策の情報を用いて、情報資産が流出するリスクを評価する。

Trend MICRO社, "2012年間セキュリティラウンドアップ 「ポストPC」時代に進化する脅威," http://www.trendmicro.co.jp/cloud-content/jp/pdfs/security-intelligence/threat-report/pdf-2012asr-20130828.pdf?cm_sp=Corp-_-sr-_-2012asr [平成25年11月12日検索] Verizon, "2013 Data Breach Investigations Report" http://www.verizonenterprise.com/DBIR/2013/ [平成25年11月12日検索] 独立行政法人 情報処理推進機構, "共通脆弱性評価システムCVSS概説," 2010年 http://www.ipa.go.jp/security/vuln/CVSS.html [平成25年11月12日検索] 原田 敏樹, 金岡 晃, 加藤 雅彦, 勝野 恭治, 岡本 栄司, "ネットワークシステムにおける脆弱性影響の測定手法とシステム実装,"情報処理学会論文誌 Vol. 52, No.9 2613-2623(Sep. 2011)

しかしながら、上記の従来技術では、マルウェアの二次感染に対するリスクを容易に評価することができないという問題がある。

具体的には、そもそもＣＶＳＳは、マルウェアの二次感染に対するリスクに留意したものではない。また、ＣＶＳＳにおける３つの評価基準のうち、「環境評価基準」は、個々のシステムの環境を考慮して評価するので評価が複雑になり、現時点ではほとんど実施されていない。なお、環境評価基準を評価する手法として、個別のネットワーク構成に対して、通信レイヤーごとの相関性を基に、セキュリティインシデントが発生した際に他の通信に与える影響を評価する手法が提案されている。しかしながら、この手法では、システム内に感染端末が発生した場合や、導入しているセキュリティ機能の影響などを踏まえたリスクの評価は行われていない。

また、例えば、ＩＣＴシステム中の情報資産が外部に流出するリスクを評価する監査手法では、セキュリティ機能の配置については考慮しているが、セキュリティ機能の防御対象や設定などを考慮していない。このため、同じセキュリティ機能が導入されたシステムであっても、異なる設定や異なる攻撃手段に応じてリスクが異なるという点を考慮していない。

このように、それぞれのＩＣＴシステムごとに、ネットワーク構成、ネットワーク設定、導入しているセキュリティ機能、及びセキュリティ機能の配置が異なるので、ネットワーク構成・設定を考慮に入れて、マルウェアの二次感染に対するリスクを評価することが困難である。

開示の技術は、上述に鑑みてなされたものであって、マルウェアの二次感染に対するリスクを容易に評価することを目的とする。

本願の開示する評価方法は、特定工程と、評価工程とを含む。特定工程は、コンピュータが、ネットワーク上の端末のうちマルウェアに感染したと想定される第１の端末から、当該ネットワーク上の第２の端末に前記マルウェアに起因するマルウェアが感染する感染経路を、当該ネットワーク上の各端末の接続先を示す接続情報に基づいて特定する。評価工程は、コンピュータが、前記感染経路に基づいて、前記ネットワーク上の各機器に備わるセキュリティ機能の設定状態を示す設定情報を参照して、前記第１の端末から前記第２の端末に対する感染リスクを評価する。

開示する評価方法の一つの態様によれば、マルウェアの二次感染に対するリスクを容易に評価することができるという効果を奏する。

図１は、第１の実施形態に係る評価装置が適用されるシステムの構成例を示す図である。 図２は、評価装置が評価対象とするネットワークの一例を示す図である。 図３は、第１の実施形態に係る評価装置の構成例を示す図である。 図４は、接続情報ＤＢが記憶するデータ構造の一例を示す図である。 図５は、設定情報ＤＢが記憶するデータ構造の一例を示す図である。 図６は、セキュリティ機能ＤＢが記憶するデータ構造の一例を示す図である。 図７は、評価装置による処理の手順を示すフローチャートである。 図８は、第１の実施形態に係る特定部を説明するための図（その１）である。 図９は、第１の実施形態に係る特定部を説明するための図（その２）である。 図１０は、第１の実施形態に係る特定部を説明するための図（その３）である。 図１１は、第１の実施形態に係る評価部を説明するための図（その１）である。 図１２は、第１の実施形態に係る評価部を説明するための図（その２）である。 図１３は、第１の実施形態に係る評価部を説明するための図（その３）である。 図１４は、第１の実施形態に係る評価部を説明するための図（その４）である。 図１５は、第１の実施形態に係る評価部を説明するための図（その５）である。 図１６は、第１の実施形態に係る評価部を説明するための図（その６）である。 図１７は、第１の実施形態に係る評価部を説明するための図（その７）である。 図１８は、第１の実施形態に係る出力制御部を説明するための図である。 図１９は、評価プログラムを実行するコンピュータを示す図である。

以下に、開示する評価方法及び評価装置の実施形態について、図面に基づいて詳細に説明する。なお、本実施形態により開示する発明が限定されるものではない。

（第１の実施形態）
図１は、第１の実施形態に係る評価装置１００が適用されるＩＣＴシステムの構成例を示す図である。図１に示すように、評価装置１００が適用されるＩＣＴシステムは、ネットワーク１０と、ＣＭＤＢ（Configuration Management Data Base）６０と、評価装置１００とが含まれる。また、図１に示すように、ネットワーク１０は、ＣＭＤＢ６０に接続され、評価装置１００は、ＣＭＤＢ６０に接続される。

ネットワーク１０には、例えば、スイッチやルータ、ユーザ端末、メールサーバ等が含まれる。ＣＭＤＢ６０は、ネットワーク１０上の各機器が有するポート間の接続関係に関する情報をネットワーク１０の接続情報として取得する。なお、ネットワーク１０上の各機器には、スイッチやルータ、ユーザ端末、メールサーバ等が含まれる。

また、ＣＭＤＢ６０は、ネットワーク１０上の各機器に実装されているセキュリティ機能及びセキュリティ機能の設定状態を示す設定情報を取得する。ここで言うセキュリティ機能には、「ＦＷ（Firewall）」、「ＷＡＦ（Web Application Firewall）」、「ＩＰＳ（Intrusion Detection System）」、「ＮＩＰＳ（Network IPS）」、「ＡＣＬ（Access List）」、「ＨＩＰＳ（Host IPS）」及び「スパムフィルタ」が含まれる。また、セキュリティ機能の設定状態とは、例えば、セキュリティ機能が有する機能が有効に設定されているか否かを示す。ＣＭＤＢ６０は、取得した接続情報及び設定情報を管理する。

評価装置１００は、ネットワーク１０について、接続情報及び設定情報をＣＭＤＢ６０から取得する。そして、評価装置１００は、評価対象とするネットワーク１０上の端末がマルウェアに一次感染した場合に、マルウェアに一次感染した端末からこのマルウェアに起因するマルウェアが第２の端末に感染するリスクを接続情報と設定情報とを用いて評価する。なお、図１に示すように、第１の実施形態に係る評価装置１００は、評価対象とするネットワーク１０とは独立に設置される。

次に、第１の実施形態に係る評価装置１００が評価対象とするネットワーク１０について説明する。図２は、評価装置１００が評価対象とするネットワーク１０の一例を示す図である。図２では、ネットワーク１０の構成と、ネットワーク１０上の各機器に実装されるセキュリティ機能とを図示する。

図２に示すように、ネットワーク１０には、セグメントとして、ユーザセグメント１１、ユーザセグメント１２、ユーザセグメント１３、内部サーバセグメント１４が含まれる。また、ネットワーク１０には、各セグメント間で実行される通信を中継する中継網２０が含まれる。

ユーザセグメント１１、ユーザセグメント１２及びユーザセグメント１３は、中継網２０を介して内部サーバセグメント１４に含まれるメールサーバ１４ａと通信を実行するユーザ端末（ユーザ端末１１ａ、ユーザ端末１２ａ及びユーザ端末１３ａ）をそれぞれ有する。また、各ユーザ端末は、中継網２０を介して、他のユーザ端末と通信を実行することも可能である。ユーザ端末１１ａ、ユーザ端末１２ａ及びユーザ端末１３ａには、セキュリティ機能として「ＨＩＰＳ」が実装されている。

内部サーバセグメント１４は、電子メールを配送するメールサーバ１４ａを有する。メールサーバ１４ａは、ユーザセグメント１１、ユーザセグメント１２及びユーザセグメント１３に含まれる各ユーザ端末に対して、中継網２０を介して電子メールの送受信を行なう。メールサーバ１４ａには、セキュリティ機能として「ＨＩＰＳ」及び「スパムフィルタ」が実装されている。

中継網２０は、例えば、図２に示すように、エッジスイッチ２１、エッジスイッチ２２、エッジスイッチ２３、エッジスイッチ２４及びコアスイッチ２５を有し、ユーザセグメント１１と、ユーザセグメント１２と、ユーザセグメント１３と、内部サーバセグメント１４との間で実行される通信を中継する。エッジスイッチ２１、エッジスイッチ２２、エッジスイッチ２３、エッジスイッチ２４及びコアスイッチ２５には、セキュリティ機能として「ＡＣＬ」が実装されている。なお、図２に示す中継網２０はあくまでも一例であり、図２に示す例に限定されるものではない。

また、ネットワーク１０には、コアスイッチ２６及び外部接続ルータ２７が含まれる。外部接続ルータ２７は、インターネット３０を介して他のネットワークと接続され、ネットワーク１０と、他のネットワークとの間で実行される通信を中継する。外部接続ルータ２７には、セキュリティ機能として「ＦＷ」が実装されている。

また、コアスイッチ２６は、コアスイッチ２５、外部接続ルータ２７及び後述するエッジスイッチ１５ｂに接続され、ネットワーク１０と他のネットワークとの通信を中継したり、ネットワーク１０のセグメントと後述するＤＭＺ（DeMilitarized Zone）１５との通信を中継する。コアスイッチ２６には、セキュリティ機能として「ＦＷ」及び「ＮＩＰＳ（Network IPS）」が実装されている。

また、ネットワーク１０には、ＤＭＺ１５が含まれる。このＤＭＺ１５は、外部公開サーバ１５ａと、エッジスイッチ１５ｂとを有する。ＤＭＺ１５に含まれる外部公開サーバ１５ａは、エッジスイッチ１５ｂを介して、コアスイッチ２６に接続される。エッジスイッチ１５ｂには、セキュリティ機能として「ＮＩＰＳ」が実装されている。

なお、以下では、ユーザ端末１１ａ、ユーザ端末１２ａ、ユーザ端末１３ａ及びメールサーバ１４ａを「端末」と称する場合があり、コアスイッチ２５、コアスイッチ２６、エッジスイッチ２１、エッジスイッチ２２、エッジスイッチ２３、エッジスイッチ２４、エッジスイッチ１５ｂ及び外部接続ルータ２７を「中継装置」或いは「ネットワーク機器」と称する場合がある。なお、評価対象とするネットワーク１０の構成は、図２に図示した例に限定されるものではなく、各機器の数は任意に変更可能である。

なお、以下では、説明の便宜上、ユーザ端末１１ａがマルウェアに一次感染した端末である場合を説明する。かかる場合、評価装置１００は、例えば、ネットワーク１０上のユーザ端末１２ａ、ユーザ端末１３ａ及びメールサーバ１４ａについて、マルウェアに起因するマルウェアが二次感染するリスクを評価する。

なお、ここで言う「一次感染」の例には、外部から受け取ったメールにマルウェアを含むファイルが添付されており、ユーザ端末がこの添付ファイルを開封すること、マルウェアを感染させるプログラムが仕組まれた外部ウェブサイトにユーザ端末がブラウザでアクセスすることなどが含まれる。

また、「二次感染」の例として、一次感染した端末からマルウェアを含むファイルが添付されたメールがシステム内部に送信されること、一次感染した端末からマルウェアを含むファイルがファイルサーバにアップロードされて、システム内部のユーザによってダウンロードされることにより、システム内の端末にマルウェアに起因した感染が拡大することなどを含む。なお、端末に一次感染したマルウェアと、このマルウェアに起因するマルウェアとが同一のマルウェアである場合もあるし、異なるマルウェアである場合もある。

図３は、第１の実施形態に係る評価装置１００の構成例を示す図である。図３に示すように、評価装置１００は、入力部１０１と、出力部１０２と、通信制御部１０３と、記憶部１１０と、制御部１２０とを有する。

入力部１０１は、評価装置１００の操作者から各種情報の入力操作を受付ける。例えば、入力部１０１は、評価対象であるネットワーク１０に対して一次感染したと想定される端末の指定や想定される攻撃の手法の指定を受付ける。また、入力部１０１は、記憶部１１０に記憶される各種情報を更新、追加、削除などを行うための入力操作を受付ける。出力部１０２は、各種情報を表示する表示デバイスであり、例えば液晶ディスプレイ等である。通信制御部１０３は、ＣＭＤＢ６０等他の装置との間でやり取りする各種情報に関する通信を制御する。

記憶部１１０は、図３に示すように、接続情報ＤＢ（Data Base）１１１と、設定情報ＤＢ１１２と、セキュリティ機能ＤＢ１１３とを有する。記憶部１１０は、例えば、ＲＡＭ（Random Access Memory）、フラッシュメモリ（Flash Memory）等の半導体メモリ素子、又は、ハードディスク、光ディスク等の記憶装置などである。

接続情報ＤＢ１１１は、ネットワーク１０上の各端末の接続先を示す接続情報を記憶する。言い換えると、接続情報ＤＢ１１１は、ネットワーク１０上の各機器のルーティングやＶＬＡＮ（Virtual LAN）の設定情報から、各機器が論理的にどのようにして接続されているかを示す情報を記憶する。なお、接続情報ＤＢ１１１は、例えば、ＣＭＤＢ６０から取得された接続情報に基づいて設定される。

図４は、接続情報ＤＢ１１１が記憶するデータ構造の一例を示す図である。図４では、図２に示すネットワーク１０上の各端末の接続先を示す。図４に示すように、接続情報ＤＢ１１１は、機器名に対応付けて、接続先機器名と経路とを記憶する。

ここで、図４に示す「機器名」は、ネットワーク１０上の端末を特定する機器名を示す。例えば、「機器名」には、「ユーザ端末１１ａ」、「ユーザ端末１２ａ」などネットワーク１０上の端末を特定する機器名が格納される。また、図４に示す「接続先機器名」は、接続先の機器名を示す。例えば、「接続先機器名」には、「メールサーバ１４ａ」、「ユーザ端末１２ａ」などネットワーク１０上の各端末を特定する機器名が格納される。また、図４に示す「経路」は、接続先と通信を行う場合の中継経路を示す。例えば、「経路」には、「エッジスイッチ２１，コアスイッチ２５，エッジスイッチ２４」や「エッジスイッチ２１，コアスイッチ２５，エッジスイッチ２２」などの中継装置名が格納される。

一例をあげると、図４に示す接続情報ＤＢ１１１は、ユーザ端末１１ａは、メールサーバ１４ａと通信を行う場合、「エッジスイッチ２１，コアスイッチ２５，エッジスイッチ２４」を中継経路とすることを示す。また、図４に示す接続情報ＤＢ１１１は、ユーザ端末１１ａは、ユーザ端末１２ａと通信を行う場合、「エッジスイッチ２１，コアスイッチ２５，エッジスイッチ２２」を中継経路とすることを示す。

設定情報ＤＢ１１２は、ネットワーク１０上の各端末及び中継装置に備わるセキュリティ機能の設定状態を示す設定情報を記憶する。言い換えると、設定情報ＤＢ１１２は、ネットワーク１０上の各機器やアプライアンスとして実装されているセキュリティ機能の情報を示し、どの機器にどのような種類のツールが実装されているのかを示す。なお、設定情報ＤＢ１１２は、例えば、ＣＭＤＢ６０から取得された設定情報に基づいて設定される。

図５は、設定情報ＤＢ１１２が記憶するデータ構造の一例を示す図である。図５では、図２に示すネットワーク１０上の各機器に備わるセキュリティ機能を示す。図５に示すように、設定情報ＤＢ１１２は、「機器名」に対応付けて、機器に実装された「セキュリティ機能」とセキュリティ機能の「設定状態」を記憶する。

ここで、図５に示す「機器名」は、ネットワーク１０上の機器を特定する機器名を示す。例えば、「機器名」には、「ユーザ端末１１ａ」、「ユーザ端末１２ａ」などネットワーク１０上の各機器を特定する機器名が格納される。また、図５に示す「セキュリティ機能」は、対応する「機器名」に格納された機器に実装されたセキュリティ機能の名称を示す。例えば、「セキュリティ機能」には、「ＨＩＰＳ」、「スパムフィルタ」、「ＦＷ」、「ＮＩＰＳ」などネットワーク１０上の各機器に実装されたセキュリティ機能の名称が格納される。

また、図５に示す「設定状態」は、機器に実装されたセキュリティ機能の設定状態を示す。ここで言う設定状態には、例えば、「不審なメールアドレスからのメールを遮断する設定」、「マルウェアを含むメールを検出する設定」、「不審なＩＰ（Internet Protocol）アドレスへのアクセスを遮断する設定」、「不審なＩＰアドレスへのＨＴＴＰ（Hypertext Transfer Protocol）アクセスを遮断する設定」、「不審なＵＲＬへのＨＴＴＰアクセスを遮断する設定」及び「アプリケーションデータ中に含まれるマルウェアを検出する設定」などが有効であるか否かを示す情報が含まれる。

セキュリティ機能ＤＢ１１３は、セキュリティ機能と各レイヤーにおける防御機能との対応関係を示す情報を記憶する。言い換えると、セキュリティ機能ＤＢ１１３は、一般的にセキュリティ防御機能の対象としている範囲及び対象としていない範囲を識別する情報を記憶する。図６は、セキュリティ機能ＤＢ１１３が記憶するデータ構造の一例を示す図である。

図６に示すように、セキュリティ機能ＤＢ１１３は、「セキュリティ機能」に対応付けて、各レイヤーにおける防御機能を有するか否かを示す情報を記憶する。また、ここでは、レイヤーが、「ネットワーク層」、「トランスポート層」、「アプリケーション層」及び「アプリケーションデータ」である場合について説明する。なお、図６では、「セキュリティ機能」がレイヤーにおいて防御機能を有さない場合には、「セキュリティ機能」と「レイヤー」とに対応する項目に「防御機能を持たない」が格納される。また、「セキュリティ機能」がレイヤーにおいて防御機能を有する場合には、「セキュリティ機能」と「レイヤー」とに対応する項目を空欄とする。

図６に示す例では、「セキュリティ機能」が「ＦＷ」である場合、「アプリケーション層」及び「アプリケーションデータ」には防御機能を有さないことを示す。また、「セキュリティ機能」が「ＦＷ」である場合、「ネットワーク層」及び「トランスポート層」には防御機能を有することを示す。

図３に戻る。制御部１２０は、図３に示すように、特定部１２１と、評価部１２２と、出力制御部１２３とを有する。制御部１２０は、ＣＰＵ（Central Processing Unit）やＭＰＵ（Micro Processing Unit）などの電子回路やＡＳＩＣ（Application Specific Integrated Circuit）やＦＰＧＡ（Field Programmable Gate Array）などの集積回路である。

特定部１２１は、ネットワーク１０上の端末のうちマルウェアに感染したと想定される第１の端末から、当該ネットワーク１０上の第２の端末にマルウェアに起因するマルウェアが感染する感染経路を、当該ネットワーク１０上の各端末の接続先を示す接続情報ＤＢ１１１に基づいて特定する。

評価部１２２は、ネットワーク１０上の各端末及び中継装置に備わるセキュリティ機能を示す設定情報と、感染経路とに基づいて、第１の端末から第２の端末に対する二次感染リスクを評価する。ここで、二次感染リスクを評価するとは、危険度の高低を判定することである。具体的には、評価部１２２は、後述する防御可否一覧情報において、防御条件を満たす状態に設定されている項目が１つでもある場合に、危険度が低いと判定し、防御条件を満たす状態に設定されている項目が１つもない場合に、危険度が高いと判定することにより、二次感染リスクを評価する。ただし二次感染リスクの評価の手法はこれに限定されるものではない。

出力制御部１２３は、第２の端末についての感染リスクの評価結果を出力部１０２に出力させる。

次に、図７を用いて、評価装置１００による処理の手順を説明する。図７は、評価装置１００による処理の手順を示すフローチャートである。図７に示すように、評価装置１００において入力部１０１は、攻撃の種類及び一次感染端末の指定を操作者から受付ける（ステップＳ１０１）。例えば、入力部１０１は、攻撃の種類として「メールを介したドライブバイ・ダウンロード（drive-by download）」を受付け、一次感染端末として「ユーザ端末１１ａ」を受付ける。なお、ここで言う「一次感染端末」とは、マルウェアに一次感染したと想定されるネットワーク１０上の端末を示す。

続いて、入力部１０１は、標的端末の指定を受付ける（ステップＳ１０２）。例えば、入力部１０１は、標的端末として「ユーザ端末１２ａ」を操作者から受付ける。入力部１０１は、受付けた攻撃の種類、一次感染端末及び標的端末を特定部１２１に出力する。なお、ここで言う「標的端末」とは、一次感染端末からマルウェアを感染させられる標的となる端末を示す。

そして、特定部１２１は、ネットワーク１０上の一次感染端末からネットワーク１０上の標的端末にマルウェアに起因するマルウェアが感染する感染経路を特定する（ステップＳ１０３）。ここで、特定部１２１は、ネットワーク１０上の各端末の接続先を示す接続情報を参照し、攻撃の手法に応じて感染経路を特定する。図８から図１０は、第１の実施形態に係る特定部１２１を説明するための図（その１）から（その３）である。ここでは、攻撃の手法が、メールを介したドライブバイ・ダウンロードである場合の特定部１２１の動作について説明する。

メールを介したドライブバイ・ダウンロードでは、一次感染したマルウェアによる攻撃は、例えば、以下の２段階で行なわれる。すなわち、段階その１では、マルウェアに感染したユーザ端末１１ａからユーザ端末１２ａに悪意のあるＵＲＬ（Uniform Resource Locator）を含むメールが送信される。そして、段階その２では、ユーザ端末１２ａが、悪意のあるＵＲＬが指定する外部ウェブサーバ４０にアクセスすることで、ドライブバイ・ダウンロードが行なわれる。なお、段階その１は、ユーザ端末１１ａがメールサーバ１４ａに悪意のあるＵＲＬを含むメールを送信する段階その１−１と、ユーザ端末１２ａがメールサーバ１４ａから悪意のあるＵＲＬを含むメールを受信する段階その１−２とに細分化される。

図８では、段階その１−１における感染経路を示す。図８に示すように、特定部１２１は、接続情報ＤＢ１１１を参照して、ユーザ端末１１ａからメールサーバ１４ａにメールを送信する感染経路を特定する。図８に示す例では、特定部１２１は、ユーザ端末１１ａからメールサーバ１４ａにメールを送信する経路として、「ユーザ端末１１ａ、エッジスイッチ２１、コアスイッチ２５、エッジスイッチ２４、メールサーバ１４ａ」を特定する。

図９では、段階その１−２における感染経路を示す。図９に示すように、特定部１２１は、接続情報ＤＢ１１１を参照して、ユーザ端末１２ａがメールサーバ１４ａから悪意のあるＵＲＬを含むメールを受信する感染経路を特定する。図９に示す例では、特定部１２１は、ユーザ端末１２ａがメールサーバ１４ａから悪意のあるＵＲＬを含むメールを受信する経路として、「ユーザ端末１２ａ、エッジスイッチ２２、コアスイッチ２５、エッジスイッチ２４、メールサーバ１４ａ、エッジスイッチ２４、コアスイッチ２５、エッジスイッチ２２、ユーザ端末１２ａ」を特定する。

図１０では、段階その２における感染経路を示す。図１０に示すように、特定部１２１は、接続情報ＤＢ１１１を参照して、ユーザ端末１２ａが、悪意のあるＵＲＬが指定する外部ウェブサーバ４０にアクセスする感染経路を特定する。図９に示す例では、特定部１２１は、ユーザ端末１２ａが、悪意のあるＵＲＬが指定する外部ウェブサーバ４０にアクセスする経路として、「ユーザ端末１２ａ、エッジスイッチ２２、コアスイッチ２５、コアスイッチ２６、外部接続ルータ２７、インターネット３０、外部ウェブサーバ４０、インターネット３０、外部接続ルータ２７、コアスイッチ２６、コアスイッチ２５、エッジスイッチ２２、ユーザ端末１２ａ」を特定する。

図７に戻る。評価部１２２は、ネットワーク１０上の各機器に実装されているセキュリティ機能の設定状態を示す設定情報ＤＢ１１２を参照して、感染経路上の各機器が想定される攻撃に対して防御機能を有するか否かを示す防御可否一覧情報を生成する（ステップＳ１０４）。ここで、評価部１２２は、第１の処理と、第２の処理とを実行して、防御可否一覧情報を生成する。すなわち、評価部１２２は、第１の処理として、想定される攻撃に対して各セキュリティ機能が対応可能であるか否かを示す対応可否一覧情報を生成する。そして、評価部１２２は、第２の処理として、対応可否一覧情報に基づいて、ネットワーク１０上の各機器のセキュリティ機能の設定状態が想定される攻撃に対して有効であるか否かを判定して防御可否一覧情報を生成する。図１１から図１４は、第１の実施形態に係る評価部１２２を説明するための図（その１）から（その４）である。ここでは、攻撃の手法が、メールを介したドライブバイ・ダウンロードである場合の評価部１２２の動作について説明する。

評価部１２２は、図６に示すセキュリティ機能ＤＢ１１３を用いて、各セキュリティ機能について、攻撃の手法に対応した対応可否一覧情報を生成する。すなわち、評価部１２２は、各機器に実装されているセキュリティ機能が、攻撃に対して防御機能を備えるか否かを示す情報を生成する。言い換えると、評価部１２２は、各セキュリティ機能に備わる防御機能が、攻撃に対応したものであるか否かを示す情報を生成する。なお、評価部１２２は、攻撃の手法が、複数の段階に分かれて各段階で別々の攻撃手段を用いる場合、それぞれの段階毎に対応可否一覧情報を生成する。例えば、評価部１２２は、攻撃の手法が、メールを介したドライブバイ・ダウンロードである場合、攻撃の最初の段階である標的型メール攻撃と、マルウェアの感染段階であるドライブバイ・ダウンロード攻撃それぞれについて、対応可否一覧情報を生成する。

図１１では、標的型メール攻撃に対応した対応可否一覧情報の一例を示す。攻撃の手法が標的型メールである場合、「ネットワーク層」及び「トランスポート層」では、例えば、メールにマルウェアを含むファイルが添付されているか否かを判定することができない。このため、セキュリティ機能「ＦＷ」、「ＷＡＦ」、「ＮＩＰＳ」、「ＡＣＬ」及び「ＨＩＰＳ」は、「ネットワーク層」及び「トランスポート層」への防御機能を有しているが、攻撃の手法が標的型メールである場合には対応することができない。このため、評価部１２２は、図１１に示すように、セキュリティ機能「ＦＷ」、「ＷＡＦ」、「ＮＩＰＳ」、「ＡＣＬ」及び「ＨＩＰＳ」それぞれの「ネットワーク層」及び「トランスポート層」に対応する項目に、この防御機能では防御不可であることを示す「×」を格納する。

また、セキュリティ機能「ＷＡＦ」は「アプリケーション層」への防御機能を有しているが、攻撃の手法が標的型メールである場合には対応することができない。このため、評価部１２２は、図１１に示すように、セキュリティ機能「ＷＡＦ」の「アプリケーション層」に対応する項目に、この防御機能では防御不可であることを示す「×」を格納する。

この一方で、セキュリティ機能「ＮＩＰＳ」、「ＨＩＰＳ」及び「スパムフィルタ」は、不審なメールアドレスからのメールを遮断することで「アプリケーション層」への攻撃を防御することが可能である。かかる場合、評価部１２２は、図１１に示すように、セキュリティ機能「ＮＩＰＳ」、「ＨＩＰＳ」及び「スパムフィルタ」それぞれの「アプリケーション層」に対応する項目に、この防御機能で防御可能であることを示す「○」を格納する。

また、セキュリティ機能「ＮＩＰＳ」、「ＨＩＰＳ」及び「スパムフィルタ」は、マルウェアを含むメールを検出することで「アプリケーションデータ」への攻撃を防御することが可能である。かかる場合、評価部１２２は、図１１に示すように、セキュリティ機能「ＮＩＰＳ」、「ＨＩＰＳ」及び「スパムフィルタ」それぞれの「アプリケーションデータ」に対応する項目に、この防御機能で防御可能であることを示す「○」を格納する。

図１２では、ドライブバイ・ダウンロードに対応した対応可否一覧情報の一例を示す。セキュリティ機能「ＦＷ」、「ＷＡＦ」、「ＮＩＰＳ」、「ＡＣＬ」及び「ＨＩＰＳ」は、不審なＩＰアドレスへのアクセスを遮断することで「ネットワーク層」への攻撃を防御することが可能である。かかる場合、評価部１２２は、図１２に示すように、セキュリティ機能「ＦＷ」、「ＷＡＦ」、「ＮＩＰＳ」、「ＡＣＬ」及び「ＨＩＰＳ」それぞれの「ネットワーク層」に対応する項目に、この防御機能で防御可能であることを示す「○」を格納する。

また、セキュリティ機能「ＦＷ」、「ＷＡＦ」、「ＮＩＰＳ」、「ＡＣＬ」及び「ＨＩＰＳ」は、不審なＩＰアドレスへのＨＴＴＰアクセスを遮断することで「トランスポート層」への攻撃を防御することが可能である。かかる場合、評価部１２２は、図１２に示すように、セキュリティ機能「ＦＷ」、「ＷＡＦ」、「ＮＩＰＳ」、「ＡＣＬ」及び「ＨＩＰＳ」それぞれの「トランスポート層」に対応する項目に、この防御機能で防御可能であることを示す「○」を格納する。

また、セキュリティ機能「ＷＡＦ」、「ＮＩＰＳ」及び「ＨＩＰＳ」は、不審なＵＲＬへのＨＴＴＰアクセスを遮断することで「アプリケーション層」への攻撃を防御することが可能である。かかる場合、評価部１２２は、図１２に示すように、セキュリティ機能「ＷＡＦ」、「ＮＩＰＳ」及び「ＨＩＰＳ」それぞれの「アプリケーション層」に対応する項目に、この防御機能で防御可能であることを示す「○」を格納する。なお、セキュリティ機能「ＮＩＰＳ」及び「ＨＩＰＳ」は、不審なメールアドレスからのメールを遮断することでも「アプリケーション層」への攻撃を防御することが可能である。一方、セキュリティ機能「スパムフィルタ」は、「アプリケーション層」への防御機能を有しているが、攻撃の手法がドライブバイ・ダウンロードである場合には対応することができない。このため、評価部１２２は、図１２に示すように、セキュリティ機能「スパムフィルタ」の「アプリケーション層」に対応する項目に、この防御機能では防御不可であることを示す「×」を格納する。

また、セキュリティ機能「ＮＩＰＳ」及び「ＨＩＰＳ」は、アプリケーションデータ中に含まれるマルウェアを検出することで「アプリケーションデータ」への攻撃を防御することが可能である。かかる場合、評価部１２２は、図１２に示すように、セキュリティ機能「ＮＩＰＳ」及び「ＨＩＰＳ」それぞれの「アプリケーションデータ」に対応する項目に、この防御機能で防御可能であることを示す「○」を格納する。一方、セキュリティ機能「スパムフィルタ」は、「アプリケーションデータ」への防御機能を有しているが、攻撃の手法がドライブバイ・ダウンロードである場合には対応することができない。このため、評価部１２２は、図１２に示すように、セキュリティ機能「スパムフィルタ」の「アプリケーションデータ」に対応する項目に、この防御機能では防御不可であることを示す「×」を格納する。

なお、図１１及び図１２に示す攻撃の手法に対応した対応可否一覧情報は、攻撃手法に応じて、一意に決定される情報である。このため、評価部１２２は、図１１及び図１２に示す攻撃の手法に対応した対応可否一覧情報を、ネットワーク１０の二次感染リスクを評価する前に予め生成するようにしてもよい。

続いて、評価部１２２は、攻撃の手法に対応した対応可否一覧情報に基づいて、設定情報ＤＢ１１２を参照して、ネットワーク１０について防御可否一覧情報を生成する。ここで、評価部１２２は、設定情報ＤＢ１１２が記憶する各機器に実装されたセキュリティ機能が、攻撃の手法に対応した対応可否一覧情報において防御可能であるとする条件に設定されているか否かを判定する。

例えば、評価部１２２は、攻撃の手法に対応した対応可否一覧情報のセキュリティ機能が実装された機器を図５に示す設定情報ＤＢ１１２から特定する。そして、評価部１２２は、「セキュリティ機能」に、特定した機器名を更に対応付ける。

また、評価部１２２は、特定した機器名に対して、攻撃の手法に対応した対応可否一覧情報において「○」が格納された項目において、条件を満たす状態に設定されているか否かを、図５に示す設定情報ＤＢ１１２を参照して判定する。

より具体的には、評価部１２２は、攻撃の手法が標的型メールである場合には、図１１に示す対応可否一覧情報において、セキュリティ機能「ＮＩＰＳ」、「ＨＩＰＳ」及び「スパムフィルタ」それぞれの「アプリケーション層」について、不審なメールアドレスからのメールを遮断する状態に設定されているか否かを判定する。ここで、評価部１２２は、不審なメールアドレスからのメールを遮断する状態に設定されていると判定した「セキュリティ機能」について、この「セキュリティ機能」と「アプリケーション層」とに対応する項目に「○」を格納する。一方、評価部１２２は、不審なメールアドレスからのメールを遮断する状態に設定されていないと判定した「セキュリティ機能」について、この「セキュリティ機能」と「アプリケーション層」とに対応する項目に「×」を格納する。

また、評価部１２２は、図１１に示す対応可否一覧情報において、セキュリティ機能「ＮＩＰＳ」、「ＨＩＰＳ」及び「スパムフィルタ」それぞれの「アプリケーションデータ」について、マルウェアを含むメールを検出する状態に設定されているか否かを判定する。ここで、評価部１２２は、マルウェアを含むメールを検出する状態に設定されていると判定した「セキュリティ機能」について、この「セキュリティ機能」と「アプリケーションデータ」とに対応する項目に「○」を格納する。一方、評価部１２２は、マルウェアを含むメールを検出する状態に設定されていないと判定した「セキュリティ機能」について、この「セキュリティ機能」と「アプリケーションデータ」とに対応する項目に「×」を格納する。

図１３では、標的型メールに対応したネットワーク１０についての防御可否一覧情報の一例を示す。図１３に示す防御可否一覧情報は、ユーザ端末１３ａに実装された「ＨＩＰＳ」が「アプリケーション層」及び「アプリケーションデータ」において、標的型メールに対応した防御条件を満たす状態に設定されていることを示す。なお、「アプリケーション層」において、防御条件を満たす状態とは、例えば、セキュリティツールベンダから提供されるＵＲＬのレピュテーション情報を定期的に取得し、不審なＵＲＬへのアクセスを遮断できるように設定されている状態を示す。また、「アプリケーションデータ」において、防御条件を満たす状態とは、例えば、セキュリティツールベンダから提供されるマルウェアのシグネチャ情報を定期的に取得し、ダウンロードパケットに含まれるマルウェアを検出できるように設定されている状態を示す。

同様にして、評価部１２２は、攻撃の手法がドライブバイ・ダウンロードである場合、図１２に示す対応可否一覧情報において、セキュリティ機能「ＦＷ」、「ＷＡＦ」、「ＮＩＰＳ」、「ＡＣＬ」及び「ＨＩＰＳ」それぞれの「ネットワーク層」について、不審なＩＰアドレスへのアクセスを遮断する状態に設定されているか否かを判定する。また、評価部１２２は、セキュリティ機能「ＦＷ」、「ＷＡＦ」、「ＮＩＰＳ」、「ＡＣＬ」及び「ＨＩＰＳ」それぞれの「トランスポート層」について、不審なＩＰアドレスへのＨＴＴＰアクセスを遮断する状態に設定されているか否かを判定する。また、評価部１２２は、セキュリティ機能「ＷＡＦ」、「ＮＩＰＳ」及び「ＨＩＰＳ」それぞれの「アプリケーション層」について、不審なＵＲＬへのＨＴＴＰアクセスを遮断する状態に設定されているか否かを判定する。或いは、評価部１２２は、セキュリティ機能「ＮＩＰＳ」及び「ＨＩＰＳ」それぞれの「アプリケーション層」について、不審なメールアドレスからのメールを遮断する状態に設定されているか否かを判定する。また、評価部１２２は、セキュリティ機能「ＮＩＰＳ」及び「ＨＩＰＳ」それぞれの「アプリケーションデータ」について、アプリケーションデータ中に含まれるマルウェアを検出する状態に設定されているか否かを判定する。

図１４では、ドライブバイ・ダウンロードに対応したネットワーク１０についての防御可否一覧情報の一例を示す。図１４に示す防御可否一覧情報は、ユーザ端末１３ａに実装された「ＨＩＰＳ」が「アプリケーション層」及び「アプリケーションデータ」において、ドライブバイ・ダウンロードに対応した防御条件を満たす状態に設定されていることを示す。なお、「アプリケーション層」において、防御条件を満たす状態とは、例えば、セキュリティツールベンダから提供されるメールアドレスのレピュテーション情報を定期的に取得し、不審なアドレスを検出できるように設定されている状態を示す。また、「アプリケーションデータ」において、防御条件を満たす状態とは、例えば、セキュリティツールベンダから提供されるマルウェアのシグネチャ情報を定期的に取得し、メール内部に含まれるマルウェアを検出できるように設定されている状態を示す。

なお、評価部１２２は、図１１及び図１２に示す対応可否一覧情報を既に生成している場合、図１３に示す防御可否一覧情報及び図１４に示す防御可否一覧情報を、ネットワーク１０の二次感染リスクを評価する前に予め生成するようにしてもよい。

図７に戻る。評価部１２２は、特定した感染経路に基づいて、生成したネットワーク１０について防御可否一覧情報を参照して、評価対象の攻撃に対する防御設定を判定する（ステップＳ１０５）。ここで、評価部１２２は、生成した防御可否一覧情報のうち、感染経路上の機器を特定して、評価対象の攻撃に対する防御条件を満たす状態に設定されている機器があるか否かを判定する。図１５から図１７は、第１の実施形態に係る評価部１２２を説明するための図（その５）から（その７）である。

図１５では、生成した防御可否一覧情報のうち、段階その１−１の感染経路において、防御設定を判定した結果を示す。図１５に示す例では、評価部１２２は、実装されているセキュリティ機能は、いずれの機器においても防御条件を満たす状態に設定されていないと判定する。

図１６では、生成した防御可否一覧情報のうち、段階その１−２の感染経路において、防御設定を判定した結果を示す。図１６に示す例では、評価部１２２は、実装されているセキュリティ機能は、いずれの機器においても防御条件を満たす状態に設定されていないと判定する。

図１７では、生成した防御可否一覧情報のうち、段階その２の感染経路において、防御設定を判定した結果を示す。図１７に示す例では、評価部１２２は、実装されているセキュリティ機能は、いずれの機器においても防御条件を満たす状態に設定されていないと判定する。

図７に戻る。評価部１２２は、判定結果に基づいて、標的端末の二次感染リスクを評価する（ステップＳ１０６）。ここで、評価部１２２は、評価対象の端末への感染の際の経路上のセキュリティ機能の設定状態から、評価対象の端末がどの程度二次感染するリスクを有するか評価する。なお、ここでは説明の便宜上、評価部１２２は、感染経路の各段階の防御可否一覧情報において、防御条件を満たす状態に設定されている項目が１つでもある場合に、危険度が低いと判定し、防御条件を満たす状態に設定されている項目が１つもない場合に、危険度が高いと判定するものとする。

例えば、図１５から図１７に示す防御設定の例では、段階その１−１の感染経路、段階その１−２の感染経路及び段階その２の感染経路において、防御条件を満たす状態に設定されている項目が１つもないので、評価部１２２は、ユーザ端末１２ａへの二次感染の危険度が高いと判定する。

なお、標的端末がユーザ端末１３ａである場合についての説明を補足する。図１３に示すように、ユーザ端末１３ａに実装された「ＨＩＰＳ」が「アプリケーション層」及び「アプリケーションデータ」において、標的型メールに対応した防御条件を満たす状態に設定されている。このため、評価部１２２は、標的端末がユーザ端末１３ａである場合に、段階その１−２の感染経路において、実装されているセキュリティ機能が防御条件を満たす状態に設定されていると判定する。また、図１４に示すように、ユーザ端末１３ａに実装された「ＨＩＰＳ」が「アプリケーション層」及び「アプリケーションデータ」において、ドライブバイ・ダウンロードに対応した防御条件を満たす状態に設定されている。このため、評価部１２２は、標的端末がユーザ端末１３ａである場合に、段階その２の感染経路において、実装されているセキュリティ機能が防御条件を満たす状態に設定されていると判定する。かかる場合、評価部１２２は、ユーザ端末１３ａへの二次感染の危険度が低いと判定する。

続いて、評価部１２２は、処理の終了を受付けたか否かを判定する（ステップＳ１０７）。ここで、評価部１２２が、処理の終了を受付けていないと判定した場合（ステップＳ１０７、Ｎｏ）、ステップＳ１０２に移行する。この結果、入力部１０１は、端末のうち標的端末として未選択である端末の指定を受付ける。一方、評価部１２２が、処理の終了を受付けたと判定した場合（ステップＳ１０７、Ｙｅｓ）、出力制御部１２３は、評価結果を出力部１０２に出力させる（ステップＳ１０８）。図１８は、第１の実施形態に係る出力制御部１２３を説明するための図である。

図１８では、ユーザ端末１１ａが一次感染した場合に、ユーザ端末１２ａ、ユーザ端末１３ａ及びメールサーバ１４ａが二次感染するリスクを評価した結果を示す。なお、図１８に示す例では、ユーザ端末１２ａに対する二次感染リスクが高く、ユーザ端末１３ａ及びメールサーバ１４ａに対する二次感染リスクが低い評価結果である場合を示す。

図１８に示すように、出力制御部１２３は、ネットワーク１０の構成及びネットワーク１０上の各機器に実装されたセキュリティ機能に加えて、ユーザ端末１２ａの近傍に二次感染リスクが高いことを示す「リスク：Ｈｉｇｈ」を表示させ、ユーザ端末１３ａの近傍及びメールサーバ１４ａの近傍に二次感染リスクが低いことを示す「リスク：Ｌｏｗ」を表示させる。なお、出力制御部１２３は、一次感染したユーザ端末１１ａの近傍にも「リスク：Ｈｉｇｈ」を表示させるようにしてもよい。このように、出力制御部１２３は、ネットワーク１０上の各端末の感染リスクを一覧表示させる。なお、出力制御部１２３が、評価結果を出力した後、評価装置１００は、処理を終了する。

上述したように、第１の実施形態に係る評価装置１００は、ネットワーク１０上の端末のうちマルウェアに感染したと想定される第１の端末から、当該ネットワーク１０上の第２の端末にマルウェアに起因するマルウェアが感染する感染経路を、当該ネットワーク１０上の各端末の接続先を示す接続情報に基づいて特定する。そして、評価装置１００は、感染経路に基づいて、ネットワーク１０上の各機器に備わるセキュリティ機能の設定状態を示す設定情報を参照して、第１の端末から第２の端末に対する感染リスクを評価する。これにより、ネットワーク１０の管理者は、自組織のＩＣＴシステム内の端末がマルウェアに感染した場合に、どのような感染の拡大のリスクがあるかを評価することができる。

また、この評価結果により、ネットワーク１０の管理者は、例えば、限られたリソースで効果の高いセキュリティ対策を実施するために、どのようなツールの導入や設定・構成の変更が必要かを知ることができる。また、ネットワーク１０の管理者は、二次感染に対するＩＣＴシステムのセキュリティ対策が想定している水準にあるかを評価することができる。

また、ネットワーク１０の管理者は、ＩＣＴシステムの各ユーザの利便性を別途評価することにより、ユーザの利便性とセキュリティ対策の堅牢さのトレードオフを考慮し、当該組織にとって最適なセキュリティ対策レベルを決定することができる。

なお、上述した実施形態では、評価装置１００は、標的端末の指定を操作者から受付けるものとして説明したが、実施形態はこれに限定されるものではない。例えば、評価装置１００は、ネットワーク１０上の端末を標的端末として所定の順序で選択するようにしてもよい。かかる場合、評価装置１００は、図７に示すステップＳ１０７において、ネットワーク１０上の端末のうち、標的端末として未選択の端末が存在するか否かを判定する。そして、評価装置１００は、標的端末として未選択の端末が存在すると判定した場合、図７に示すステップＳ１０２に移行して、標的端末として未選択の端末を所定の順序で選択する。

また、上述した実施形態では、評価装置１００は、一次感染端末の指定を操作者から受付けるものとして説明したが、実施形態はこれに限定されるものではない。例えば、評価装置１００は、ネットワーク１０上の端末を一次感染端末として所定の順序で選択するようにしてもよい。かかる場合、評価装置１００は、一次感染端末に選択した端末に対して、ネットワーク１０上の他の端末を標的端末として所定の順序で選択して二次感染リスクを評価する。そして、全ての標的端末について二次感染リスクを評価した後、一次感染端末を新たに選択して、ネットワーク１０上の他の端末を標的端末として所定の順序で選択して二次感染リスクを評価する。さらに、このような評価装置１００は、接続情報と、設定情報とが与えられると、ネットワーク１０上の端末に対する一次感染端末と二次感染端末との全ての組合せについて、自動的に二次感染のリスクを評価することができる。

また、上述した実施形態では、攻撃の種類として「メールを介したドライブバイ・ダウンロード」を説明したが、実施形態はこれに限定されるものではない。例えば、評価装置１００において、既知の攻撃の種類について、マルウェアが被害を拡大させるために取る行動の種類と、攻撃の手順と、各攻撃段階における送信元端末及び宛先端末の情報とを予め記憶部１１０に記憶するようにしてもよい。また、かかる場合、評価装置１００は、攻撃の種類についても選択を受付けることなく、記憶部１１０において記憶された全ての種類の攻撃について、自動的に二次感染のリスクを評価することができる。

上述した実施形態では、評価装置１００は、防御可否一覧情報において、防御条件を満たす状態に設定されている項目が１つでもある場合に、危険度が低いと判定し、防御条件を満たす状態に設定されている項目が１つもない場合に、危険度が高いと判定するものとして説明した。言い換えると、評価装置１００は、危険度が「高い」或いは「低い」の２種類で二次感染のリスクを評価する評価法について説明した。しかし、実施形態はこれに限定されるものではない。例えば、複数の機器で防御機能が備わっているほど、危険度を低く評価してもよい。また、感染経路が複数の段階に分かれている場合には、より早い段階で防御できるほど、危険度を低く評価してもよい。

なお、上述した実施形態では、評価装置１００は、図１８に示すように、評価結果を一覧表示するものとして説明したが、実施形態はこれに限定されるものではない。例えば、評価装置１００は、評価結果を評価対象の端末ごとに出力するようにしてもよい。或いは、評価装置１００は、標的端末と二次感染リスクの危険度とを対応付けたテーブルを評価結果として出力するようにしてもよい。

なお、上述した実施形態では、評価装置１００は、評価対象とするネットワーク１０とは独立に設置されるものとして説明したが、実施形態はこれに限定されるものではない。例えば、評価装置１００は、評価対象とするネットワーク１０と通信可能に接続されていてもよい。かかる場合、通信制御部１０３は、評価対象とするネットワーク１０に含まれる端末や中継装置との間でやり取りする各種情報に関する通信を制御する。例えば、通信制御部１０３は、ネットワーク１０上の各機器が有するポート間の接続関係に関する情報をネットワーク１０の接続情報として取得する。また、通信制御部１０３は、ネットワーク１０上の各機器に実装されているセキュリティ機能及びセキュリティ機能の設定状態を示す設定情報を取得する。そして、評価装置１００は、取得した接続情報と、設定情報とに基づいて、ネットワーク１０上の端末が二次感染するリスクを評価する。これにより、評価装置１００は、ネットワーク１０に生じた接続情報の変化や設定情報の変化に対応して、ネットワーク１０上の端末が二次感染するリスクを動的に評価することが可能となる。

（第２の実施形態）
さて、これまで本発明の実施形態について説明したが、本発明は上述した実施形態以外にも、その他の実施形態にて実施されてもよい。そこで、以下では、その他の実施形態を示す。

（システム構成）
また、本実施形態において説明した各処理のうち、自動的に行われるものとして説明した処理の全部又は一部を手動的に行うこともでき、あるいは、手動的に行われるものとして説明した処理の全部又は一部を公知の方法で自動的に行うこともできる。この他、上述の文書中や図面中で示した処理手順、制御手順、具体的名称、各種のデータやパラメータを含む情報については（例えば、図１〜図１８）、特記する場合を除いて任意に変更することができる。

また、図示した各装置の各構成要素は機能概念的なものであり、必ずしも物理的に図示の如く構成されていることを要しない。すなわち、各装置の分散・統合の具体的形態は図示のものに限られず、その全部又は一部を、各種の負荷や使用状況などに応じて、任意の単位で機能的又は物理的に分散・統合して構成することができる。

（プログラム）
また、上記第１の実施形態に係る評価装置１００が実行する処理をコンピュータが実行可能な言語で記述した評価プログラムを作成することもできる。この場合、コンピュータが評価プログラムを実行することにより、上記実施形態と同様の効果を得ることができる。さらに、かかる評価プログラムをコンピュータ読み取り可能な記録媒体に記録して、この記録媒体に記録された評価プログラムをコンピュータに読み込ませて実行することにより上記実施形態と同様の処理を実現してもよい。以下に、図１等に示した評価装置１００と同様の機能を実現する評価プログラムを実行するコンピュータの一例を説明する。

図１９は、評価プログラムを実行するコンピュータ１０００を示す図である。図１９に示すように、コンピュータ１０００は、例えば、メモリ１０１０と、ＣＰＵ１０２０と、ハードディスクドライブインタフェース１０３０と、ディスクドライブインタフェース１０４０と、シリアルポートインタフェース１０５０と、ビデオアダプタ１０６０と、ネットワークインタフェース１０７０とを有する。これらの各部は、バス１０８０によって接続される。

メモリ１０１０は、ＲＯＭ（Read Only Memory）１０１１およびＲＡＭ１０１２を含む。ＲＯＭ１０１１は、例えば、ＢＩＯＳ（Basic Input Output System）等のブートプログラムを記憶する。ハードディスクドライブインタフェース１０３０は、ハードディスクドライブ１０３１に接続される。ディスクドライブインタフェース１０４０は、ディスクドライブ１０４１に接続される。ディスクドライブ１０４１には、例えば、磁気ディスクや光ディスク等の着脱可能な記憶媒体が挿入される。シリアルポートインタフェース１０５０には、例えば、マウス１０５１およびキーボード１０５２が接続される。ビデオアダプタ１０６０には、例えば、ディスプレイ１０６１が接続される。

ここで、図１９に示すように、ハードディスクドライブ１０３１は、例えば、ＯＳ１０９１、アプリケーションプログラム１０９２、プログラムモジュール１０９３およびプログラムデータ１０９４を記憶する。上記実施形態で説明した評価プログラムは、例えばハードディスクドライブ１０３１やメモリ１０１０に記憶される。

また、評価プログラムは、例えば、コンピュータ１０００によって実行される指令が記述されたプログラムモジュールとして、例えばハードディスクドライブ１０３１に記憶される。具体的には、上記実施形態で説明した特定部１２１と同様の情報処理を実行する特定手順と、評価部１２２と同様の情報処理を実行する評価手順とが記述されたプログラムモジュールが、ハードディスクドライブ１０３１に記憶される。

また、評価プログラムによる情報処理に用いられるデータは、プログラムデータとして、例えば、ハードディスクドライブ１０３１に記憶される。そして、ＣＰＵ１０２０が、ハードディスクドライブ１０３１に記憶されたプログラムモジュール１０９３やプログラムデータ１０９４を必要に応じてＲＡＭ１０１２に読み出して、上述した各手順を実行する。

なお、評価プログラムに係るプログラムモジュール１０９３やプログラムデータ１０９４は、ハードディスクドライブ１０３１に記憶される場合に限られず、例えば、着脱可能な記憶媒体に記憶されて、ディスクドライブ１０４１等を介してＣＰＵ１０２０によって読み出されてもよい。あるいは、評価プログラムに係るプログラムモジュール１０９３やプログラムデータ１０９４は、ＬＡＮ（Local Area Network）やＷＡＮ（Wide Area Network）等のネットワークを介して接続された他のコンピュータに記憶され、ネットワークインタフェース１０７０を介してＣＰＵ１０２０によって読み出されてもよい。

（その他）
なお、本実施形態で説明した特定プログラムは、インターネットなどのネットワークを介して配布することができる。また、特定プログラムは、ハードディスク、フレキシブルディスク（ＦＤ）、ＣＤ−ＲＯＭ、ＭＯ、ＤＶＤなどのコンピュータで読み取り可能な記録媒体に記録され、コンピュータによって記録媒体から読み出されることによって実行することもできる。

１００ 評価装置
１０１ 入力部
１０２ 出力部
１０３ 通信制御部
１１０ 記憶部
１１１ 接続情報ＤＢ
１１２ 設定情報ＤＢ
１１３ セキュリティ機能ＤＢ
１２０ 制御部
１２１ 特定部
１２２ 評価部
１２３ 出力制御部
１０００ コンピュータ
１０１０ メモリ
１０１１ ＲＯＭ
１０１２ ＲＡＭ
１０２０ ＣＰＵ
１０３０ ハードディスクドライブインタフェース
１０３１ ハードディスクドライブ
１０４０ ディスクドライブインタフェース
１０４１ ディスクドライブ
１０５０ シリアルポートインタフェース
１０５１ マウス
１０５２ キーボード
１０６０ ビデオアダプタ
１０６１ ディスプレイ
１０７０ ネットワークインタフェース
１０８０ バス
１０９１ ＯＳ
１０９２ アプリケーションプログラム
１０９３ プログラムモジュール
１０９４ プログラムデータ

Claims (5)

1. コンピュータが、
   ネットワーク上の端末のうちマルウェアに感染したと想定される第１の端末から、当該ネットワーク上の第２の端末に前記マルウェアに起因するマルウェアが感染する感染経路を、当該ネットワーク上の各端末の接続先を示す接続情報に基づいて特定する特定工程と、
   前記感染経路に基づいて、前記ネットワーク上の各機器に備わるセキュリティ機能の設定状態を示す設定情報を参照して、前記第１の端末から前記第２の端末に対する感染リスクを評価する評価工程と
   を含んだことを特徴とする評価方法。
2. 前記評価工程は、前記マルウェアによる攻撃の種類に応じて前記セキュリティ機能が防御対象として対応しているか否かを示す対応可否情報に基づいて、前記設定情報を参照して、前記ネットワーク上の各機器の各々に対して前記攻撃に対して防御可能であるか否かを示す防御可否情報を生成し、前記感染経路上における機器に対する前記防御可否情報から、前記第２の端末に対する二次感染リスクを評価することを特徴とする請求項１に記載の評価方法。
3. 前記特定工程は、更に、前記マルウェアによる攻撃の種類に応じて、前記感染経路を特定し、
   前記評価工程は、前記マルウェアによる攻撃の種類に応じて特定された感染経路ごとに、感染リスクを評価する
   ことを特徴とする請求項１又は２に記載の評価方法。
4. 前記第２の端末についての感染リスクの評価結果を出力部に出力させる出力制御工程を更に含んだことを特徴とする請求項１〜３のいずれか一つに記載の評価方法。
5. ネットワーク上の端末のうちマルウェアに感染したと想定される第１の端末から、当該ネットワーク上の第２の端末に前記マルウェアに起因するマルウェアが感染する感染経路を、当該ネットワーク上の各端末の接続先を示す接続情報に基づいて特定する特定部と、
   前記感染経路に基づいて、前記ネットワーク上の各機器に備わるセキュリティ機能の設定状態を示す設定情報を参照して、前記第１の端末から前記第２の端末に対する感染リスクを評価する評価部と
   を備えたことを特徴とする評価装置。

Images