JP6274090B2 - 脅威分析装置、及び脅威分析方法 - Google Patents

Description

本発明は、システムを構成するサーバや端末、通信路などの構成要素におけるセキュリティ脅威を分析する脅威分析装置に関する。

システムのセキュリティ設計を行なうためには、まず、システムに実装するセキュリティ対策を明らかにする必要がある。そのため、セキュリティ脅威分析を行ない、想定されるシステムを構成するサーバや端末、通信路などの構成要素におけるセキュリティ脅威を明確にする必要がある。
従来の脅威分析装置では、保護対象である資産へ許可されている操作権限など、分析対象システムの詳細仕様に関する情報を用いて、分析対象システムの脅威を抽出していた（例えば、特許文献１）。

特開２００９−２３０２７８号公報

従来の脅威分析装置は、設計上流段階で脅威分析を行なう場合、システムの詳細仕様が未確定な場合がありうる。そのため、詳細仕様が決まっていない段階で分析（上位分析）を行ない、さらに詳細仕様が決定した後に、再度、分析（下位分析）をしなおす必要があるため、分析工数がかかり効率的でないという課題があった。また、下位分析時には上位分析時に抽出した脅威が欠ける恐れがあり、必要な対策が実装されない可能性があるという課題があった。

この発明は上記のような課題を解決するためになされたもので、下位分析を効率良く、かつ上位分析結果と整合性良く実施できる脅威分析装置を提供することを目的とする。

上記で述べた課題を解決するため、本発明の脅威分析装置は、脅威分析の分析対象システムで想定される脅威を格納する脅威データベースと、前記分析対象システムの上位構成要素と前記上位構成要素の下位構成要素とを対応付けて記憶する分析対象情報記憶部と、前記脅威を用いて前記上位構成要素を脅威分析した上位分析結果の上位脅威を前記下位構成要素に割り振って前記下位構成要素に対する下位分析を行ない、前記下位構成要素の下位脅威を抽出する脅威抽出部とを備える。

また、本発明の脅威分析方法は、脅威分析の分析対象システムで想定される脅威を格納する脅威データベースと分析対象情報記憶部と脅威抽出部とを備える脅威分析装置の脅威分析方法であって、前記分析対象情報記憶部が、前記分析対象システムの上位構成要素と前記上位構成要素の下位構成要素とを対応付けて記憶する分析対象情報記憶ステップと、前記脅威抽出部が、前記脅威を用いて前記上位構成要素を脅威分析した上位分析結果の上位脅威を前記下位構成要素に割り振って前記下位構成要素に対する下位分析を行ない、前記下位構成要素の下位脅威を抽出する脅威抽出ステップとを備える。

本発明によれば、脅威をその特徴に合わせて分類し、その分類に合わせて分析結果を活用しているので、効率的に脅威分析を行なうことができ、また、上位分析結果と整合した下位分析結果を得ることができる。これにより、仕様の詳細度に合わせた脅威分析が行なえるという効果がある。

本発明の実施の形態１に係る脅威分析装置の一構成例を示す図である。 実施の形態１における脅威分析の対象システムの一例を示す図である。 実施の形態１における上位分析の処理の流れを示すフローチャートである。 上位分析の対象１５ａに対する上位構成要素一覧表１１の一例を示す図である。 実施の形態１における脅威データベース１０の一例を示す図である。 実施の形態１における上位分析の対象１５ａの上位分析結果の例を示す図である。 実施の形態１における下位分析の処理の流れを示すフローチャートである。 下位分析の対象１５ｂに対する下位構成要素一覧表１２の一例を示す図である。 図２の上位分析の対象１５ｂにおける下位分析結果の例を示す図である。 実施の形態２における脅威分析の対象システムの一例を示す図である。 実施の形態２における脅威データベース１０の一例を示す図である。 実施の形態２における上位分析の対象１５ａの上位分析結果の例を示す図である。 実施の形態２における下位分析の処理の流れ（その１）を示すフローチャートである。 実施の形態２における下位分析の処理の流れ（その２）を示すフローチャートである。 下位分析の対象１５ｃに対する下位構成要素一覧表１２の一例を示す図である。 図１０の上位分析の対象１５ｃにおける下位分析結果１４の例を示す図である。 実施の形態１〜２に示した脅威分析装置１のハードウェア構成の例を示す図である。

実施の形態１．
図１は、本発明の実施の形態１に係る脅威分析装置の一構成例を示す図である。
以下、図１を参照しながら脅威分析装置の構成を説明する。

図１において、脅威分析装置１は、入出力部２、共通情報記憶部３、分析対象情報記憶部４、制御部５、脅威抽出部６を備える。

入出力部２は、分析者とのマンマシンインタフェースである。入出力部２は、分析者が分析対象システムを構成するサーバや端末などの構成要素を入力する構成要素入力部７、分析者が上位分析や下位分析などの分析レベルを入力する分析レベル入力部８、分析者が分析対象システムの脅威を入力する脅威入力部９を備える。なお、分析レベル入力部８は、分析者が分析レベルを直接入力しても良いし、あるいは、過去に分析した結果を用いるか否かを分析者に確認し、過去に分析した結果を用いる場合には、用いる分析結果を分析者が指定するようにしても良い。

共通情報記憶部３は、脅威分析を行なう上で共通の情報が記憶されており、共通の情報の一例として、脅威の雛型が複数格納されている脅威データベース１０を備えている。

分析対象情報記憶部４は、分析対象システム固有の情報を記憶する。分析対象情報記憶部４には、分析者が上位分析時に構成要素入力部７から入力した上位構成要素一覧表１１、下位分析時に入力した下位構成要素一覧表１２、また、脅威分析装置１を使用して得られた上位分析結果１３と下位分析結果１４が格納されている。

制御部５は、脅威分析装置１全体の制御を行なう制御部である。

脅威抽出部６は、分析対象システムで想定される脅威を脅威データベース１０から抽出する。

上記で説明した脅威分析装置１は、スタンドアロンのＰＣやクライアントサーバシステム、Ｗｅｂ端末とＷｅｂサーバからなるＷｅｂシステムで構成することができる。

次に、実施の形態１に係る脅威分析装置の動作について説明する。
図２は、実施の形態１における脅威分析の対象システムの一例を示す図である。
図２において、１５ａは、詳細仕様が決まっていない段階で行なう上位分析の対象であり、３つのサブシステム（図中、ＳＳ１、ＳＳ２、ＳＳ３と略す）から構成される。サブシステム１（ＳＳ１）とサブシステム２（ＳＳ２）は、内部ネットワーク（図中、内部ＮＷと略す）を介して接続され、サブシステム１（ＳＳ１）とサブシステム３（ＳＳ３）は、インターネットなどの外部ネットワーク（図中、外部ＮＷと略す）を介して接続されている。なお、１５ａの上位分析の段階では、サブシステム１、サブシステム２、サブシステム３の詳細は決まっていない。
１５ｂは、サブシステム１のみの詳細仕様が決まった後の下位分析の対象であり、二つのサーバ（サーバＸ、サーバＹ）と一つの端末（端末Ｚ）から構成されている。

このように、本実施の形態１では、上位分析の対象の内、１つのサブシステムの詳細が決定された形態を示す。これは、既存のシステムに対して１つのサブシステムが開発の対象というケースを想定している。

まず、上位分析について図３を用いて説明する。
図３は、実施の形態１における上位分析の処理の流れを示すフローチャートである。
図３のフローチャートでは、分析者が、図２の１５ａで示した構成に対して、上位分析を開始する。
まず、ステップＳ１００において、分析者は、分析レベルとして上位分析であることを分析レベル入力部８から入力する。

次に、ステップＳ１０１において、分析者は、上位分析の対象となる構成要素を構成要素入力部７から入力する。入力した結果は、上位構成要素一覧表１１として分析対象情報記憶部４に記録される。

図４は、上位分析の対象１５ａに対する上位構成要素一覧表１１の一例を示す図である。
図４において、上位構成要素名は、サブシステム（ＳＳ１、ＳＳ２、ＳＳ３）やネットワーク（内部ＮＷ、外部ＮＷ）等の構成要素の識別名である。上位構成要素種別は、入力した上位構成要素名の種別を表すもので、図４の例では、サブシステムの種別はコンポーネント、ネットワークの種別は通信路としている。なお、上位構成要素種別は、サブシステムやサーバ、端末、ネットワークなど別の種別でもよく、分析対象システムで扱う情報を処理するコンポーネントと、情報が通過する通信路とを区別できればよい。

次に、ステップＳ１０２において、分析者は、脅威入力部９から脅威を入力し、対象システムに応じてカスタマイズを行なう。ここでは、脅威を入力する方法として、共通情報記憶部３の脅威データベース１０を用いる例を説明する。
図５は、実施の形態１における脅威データベース１０の一例を示す図である。
図５において、脅威データベース１０には、脅威Ｎｏ．と脅威の内容、脅威分類が格納されている。脅威Ｎｏ．は、脅威データベース１０内の脅威の識別子である。また、本実施の形態１での脅威分類は、まず、脅威を検討するコンポーネントに対して、その内部で発生する脅威と外部で発生する脅威に区別している。コンポーネント内部で発生する脅威の脅威分類は、脅威Ａとし、これらは覗き見、マルウェア感染、不正持出し、故障等の脅威である。コンポーネント外部で発生する脅威の脅威分類は、脅威Ｂと脅威Ｃの２つに分類している。脅威Ｂは、構成要素種別がコンポーネントもしくは通信路である構成要素から、対象のコンポーネントにアクセスする脅威であり、すなわち対象のコンポーネントの外部から対象のコンポーネントへの不正アクセスに関する脅威である。脅威Ｃは、通信路における盗聴などコンポーネント間の通信路で発生する脅威である。

また、脅威の内容において、［コンポーネント］や［通信路］などの［ ］で示した内容は、対象システムに応じて［ ］内を編集してカスタマイズすることを意味している。

分析者は、上記で説明した脅威データベース１０に格納されている脅威から、上位分析の対象となる構成要素に対する脅威を選択して、対象システムに応じてカスタマイズし、また、不要と思われる脅威は削除して、上位分析における脅威を抽出する。

次に、ステップＳ１０３において、分析者は、ステップＳ１０２で抽出した脅威の結果を上位分析結果１３として分析対象情報記憶部４に記録し、上位分析を終了する。
図６は、実施の形態１における上位分析の対象１５ａの上位分析結果の例を示す図である。
図６では、構成要素毎に、図５の脅威データベース１０の脅威から選択・編集し、サブシステム１に焦点を当てて図示しているため、サブシステム２とサブシステム３に関する上位分析結果を省略している。また、図６の例では、サブシステム３を悪用した不正アクセスは、脅威として想定されないとして、分析結果に含まれていない。図６に示すように、構成要素種別がコンポーネントの場合は、脅威分類Ａ、Ｂの脅威が抽出され、構成要素種別が通信路の場合には、脅威分類Ｃの脅威が抽出される。

なお、本実施の形態１では、脅威データベース１０を用いて脅威を抽出したが、脅威データベース１０を用いずに、分析者が脅威入力部９から脅威とその脅威分類を入力するようにしてもよい。

次に、下位分析について図７を用いて説明する。
図７は、実施の形態１における下位分析の処理の流れを示すフローチャートである。
図７のフローチャートでは、分析者が、図２の１５ｂで示した構成に対して、下位分析を開始する。
まず、ステップＳ２００において、分析者は、分析レベルとして下位分析であることを分析レベル入力部８から入力する。

次に、ステップＳ２０１において、分析者は、下位分析の対象と、その対象の構成要素を構成要素入力部７から入力する。入力した結果は、下位構成要素一覧表１２として分析対象情報記憶部４に記録される。

図８は、下位分析の対象１５ｂに対する下位構成要素一覧表１２の一例を示す図である。
図８は、基本的に図４と同じように、構成要素とその種別から成る。図８は、図２の１５ｂでのサブシステム１が対象であるので、サブシステム１のみに対して詳細な構成が記載されている。サブシステム２などは上位構成要素と同じである。

次に、ステップＳ２０２において、脅威抽出部６は、分析対象情報記憶部４の上位分析結果１３を用いて、脅威の抽出を行なう。なお、本実施の形態１では、上位分析結果１３の脅威と下位分析結果１４の脅威との間で対応関係を明確にするために、上位分析結果１３の脅威ＩＤを利用して下位分析結果１４の脅威ＩＤを設定するようにしている。以下、脅威抽出の処理について、上位分析結果１３の図６と下位分析結果１４である図９を用いて、その詳細を説明する。
図９は、図２の上位分析の対象１５ｂにおける下位分析結果１４の例を示す図である。

まず、ステップＳ２０３において、脅威抽出部６は、上位分析結果１３での対象の構成要素の脅威について、その脅威分類を判定する。下位分析の対象はサブシステム１の構成要素であるため、脅威分類はＡまたはＢのいずれかである。また、脅威分類の判定後の処理では、図８に示した下位構成要素一覧表１２を用いる。

次に、判定結果で脅威分類がＡの場合、ステップＳ２０４において、脅威抽出部６は、上位分析結果１３での脅威を、下位の構成要素で構成要素種別がコンポーネントである構成要素に割り振り、脅威として抽出する。例えば、図６のサブシステム１での脅威である「覗き見（図６中、脅威ＩＤがＡ１）」の場合、図８より、構成要素種別がコンポーネントの構成要素はサーバＸ、サーバＹ、端末Ｚであるので、これら３つの構成要素に対する脅威として、「覗き見」を割り振る。その結果、抽出された脅威が、図９中、脅威ＩＤがＡ１−Ｘ，Ａ１−Ｙ，Ａ１−Ｚの脅威である。

また、判定結果で脅威分類がＢの場合、ステップＳ２０５において、脅威抽出部６は、上記ステップＳ２０４と同様に、その脅威を下位の構成要素で構成要素種別がコンポーネントである構成要素に割り振り、脅威として抽出する。例えば、図６のサブシステム１での脅威である「サブシステム２を悪用した不正アクセス（図６中、脅威ＩＤがＢ１）」の場合、図８より、種別がコンポーネントの構成要素はサーバＸ、サーバＹ、端末Ｚであるので、これら３つの構成要素に対する脅威として、「サブシステム２を悪用した不正アクセス」を割り振る。その結果、図９中、脅威ＩＤがＢ１−Ｘの脅威が抽出される。なお、図９中、サーバＹに対するＢ１−Ｙと、端末Ｚに対するＢ１−Ｚの脅威は、その記述を省略している。同様に、図６中の脅威ＩＤがＢ２とＢ３の脅威も、図９中、Ｂ２−Ｘ，Ｂ３−Ｘの脅威として抽出される。

その後、ステップＳ２０６において、脅威抽出部６は、脅威データベース１０において、脅威分類がＢの脅威を作成する。具体的には、下位の構成要素種別がコンポーネントもしくは通信路である構成要素から、構成要素種別がコンポーネントの構成要素に対する脅威を作成する。例えば、図９中、サーバＸに対しては、「サーバＹを悪用した不正アクセス（脅威ＩＤがＢ４−Ｘ）」、「端末Ｚを悪用した不正アクセス(脅威ＩＤがＢ５−Ｘ)」、「サブシステム１内部ネットワークに接続した不正な装置からの不正アクセス（脅威ＩＤがＢ６−Ｘ）」の脅威を作成する。

次に、ステップＳ２０７において、脅威抽出部６は、上位分析結果１３における対象の構成要素の脅威を全て実施したかを判定する。判定した結果、上位分析結果１３の中に未実施の脅威がまだ残っている場合は、Ｎｏの分岐に進み、ステップＳ２０３から再度同様の処理を行なう。また、上位分析結果１３の脅威を全て実施した場合、Ｙｅｓの分岐に進み、ステップＳ２０８において、脅威抽出部６は、コンポーネント内の下位の構成要素で、構成要素種別が通信路の構成要素に対して、脅威Ｃを新たに作成する。例えば、図９中、脅威ＩＤがＣ３である脅威Ｃを作成する。

脅威抽出部６は、以上の処理を行ない、図９に示した下位分析結果１４が得られる。なお、図９で示したように、上位分析結果１３に想定されないとして含まれていない「サブシステム３を悪用した不正アクセス」は、下位分析結果１４にも含まれていない。脅威抽出部６は、得られた結果を下位分析結果１４として分析対象情報記憶部４に記録し、下位分析を終了する。

なお、本実施の形態１では、図７において、ステップＳ２０５の後にステップＳ２０６を実施するような処理フローを示したが、ステップＳ２０６は、ステップＳ２０８と同じタイミングで作成してもよい。

また、本実施の形態１では、分析対象システムの脅威を抽出することに焦点を当てた脅威分析装置１について示したが、脅威を抽出した後、各脅威の発生可能性やシステムに及ぼす影響の情報から、セキュリティ上のリスクを導出するようにしてもよい。この場合、各脅威の発生可能性やシステムに及ぼす影響の情報は、脅威データベース１０に格納しておき、脅威抽出部６がセキュリティ上のリスクを導出するようにする。なお、セキュリティ上のリスクを導出する手法は、既存のもので可能である。

さらに、脅威の内容に、その脅威を引き起こす主体や、脅威の対象となる情報などの保護資産を追加してもよい。

また、本実施の形態１では、上位分析を行なった後、下位分析を行なう例を示したが、上位分析を行なった後、セキュリティ上の対策を検討し、下位分析にて対策済の脅威を下位分析の対象からはずすようにしてもよい。

また、本実施の形態１では、脅威分類をコンポーネント内部で発生する脅威、対象のコンポーネントにコンポーネント外部からアクセスする脅威、コンポーネント間の通信路で発生する脅威に区別したが、対象のコンポーネントにコンポーネント外部からアクセスする脅威を、対象のコンポーネントにコンポーネント外部のコンポーネントからアクセスする脅威と、対象のコンポーネントにコンポーネント外部の通信路からアクセスする脅威に区別するなど、より細かくしてもよい。

以上のように、本実施の形態１の発明では、脅威をその特徴に合わせて分類し、その分類に合わせて分析結果を活用しているので、効率的に脅威分析を行なうことができ、また、上位分析結果と整合した下位分析結果を得ることができる。これにより、仕様の詳細度に合わせた脅威分析が行なえるという効果がある。

実施の形態２．
以上で説明した実施の形態１では、上位分析の対象の内、１つのサブシステムの詳細が決定され、その１つのサブシステムを対象に下位分析を行なう形態を示したものであるが、次に、実施の形態２では、複数のサブシステムを対象に下位分析を行なう実施の形態を示す。

本実施の形態２での脅威分析装置１の構成は、実施の形態１の構成と同じであるので、説明を省略する。

次に、本実施の形態２での脅威分析装置１の動作について説明する。
図１０は、実施の形態２における脅威分析の対象システムの一例を示す図である。
図１０において、１５ａは、詳細仕様が決まっていない段階で行なう上位分析の対象であり、実施の形態１と同じである。１５ｃは、全てのサブシステム（ＳＳ１、ＳＳ２）の詳細仕様が決まった後の下位分析の対象であり、サブシステム１（ＳＳ１）は、実施の形態１と同じように二つのサーバと一つの端末から構成されている。サブシステム２（ＳＳ２）は、一つのサーバ（サーバα）と一つの端末（端末β）から構成されている。なお、図１０では、サブシステム３の記述を省略している。

まず、上位分析について説明する。上位分析の処理フローは、実施の形態１の図３と同様であるので、ここでは実施の形態１と異なる点のみ説明する。

図３において、ステップＳ１０２の脅威入力部９から脅威を入力し、対象システムに応じてカスタマイズを行なう処理で用いる脅威データベースについて説明する。
図１１は、実施の形態２における脅威データベース１０の一例を示す図である。
図１１において、脅威データベース１０に脅威Ｎｏ、脅威の内容とその分類が格納されている点は実施の形態１の図５と同じであるが、本実施の形態２では、脅威分類が異なる。図１１では、実施の形態１における脅威Ｂについて、脅威Ｄと脅威Ｅの二つに区別している。脅威Ｄは、構成要素種別がコンポーネントである構成要素から対象のコンポーネントにアクセスする脅威であり、すなわち対象のコンポーネントの外部コンポーネントから対象のコンポーネントへの不正アクセスに関する脅威である。脅威Ｅは、構成要素種別が通信路である構成要素から対象のコンポーネントにアクセスする脅威であり、すなわち、コンポーネント間の通信路から対象のコンポーネントにアクセスする脅威である。

図１２は、実施の形態２における上位分析の対象１５ａの上位分析結果の例を示す図である。
図１２では、サブシステム１に焦点を当て、サブシステム２とサブシステム３に関する結果を省略している。また、図１２の例では、サブシステム３を悪用した不正アクセスは、脅威として想定されないとして、分析結果に含まれていない。図１２に示すように、構成要素種別がコンポーネントの場合は、脅威分類Ａ、Ｄ、Ｅの脅威が抽出され、構成要素種別が通信路の場合には、脅威分類Ｃの脅威が抽出される。

なお、本実施の形態２では、脅威データベース１０を用いて脅威を抽出したが、脅威データベース１０を用いずに、分析者が脅威入力部９から脅威とその脅威分類を入力するようにしてもよい。

次に、下位分析について図１３を用いて説明する。
図１３は、実施の形態２における下位分析の処理の流れ（その１）を示すフローチャートである。
図１４は、実施の形態２における下位分析の処理の流れ（その２）を示すフローチャートである。
図１３、図１４のフローチャートでは、分析者が、図１０の１５ｃで示した構成に対して、下位分析を開始する。
まず、ステップＳ３００において、分析者は、分析レベルとして下位分析であることを分析レベル入力部８から入力し、上位分析結果を指定する。

次に、ステップＳ３０１において、分析者は、下位分析の対象と、その対象の構成要素を構成要素入力部７から入力する。入力した結果は、下位構成要素一覧表１２として分析対象情報記憶部４に記録される。

図１５は、下位分析の対象１５ｃに対する下位構成要素一覧表１２の一例を示す図である。
図１５は、構成要素とその種別、接続先通信路から成る。構成要素とその種別は、実施の形態１と同じである。接続先通信路は、各構成要素が接続している通信路を入力する。サーバＸはサブシステム１内部ネットワーク（ＳＳ１内部ＮＷ）に接続されており、サブシステム１内部ネットワークと入力する。また、サブシステム１内部ネットワークは外部ネットワーク（外部ＮＷ）と内部ネットワーク（内部ＮＷ）に接続されているので、両方の通信路を入力する。

次に、ステップ３０２において、脅威抽出部６は、分析対象情報記憶部４の上位分析結果１３を用いて、脅威の抽出を行なう。以下、脅威抽出の処理について、上位分析結果１３の図１２と下位分析結果１４である図１６を用いて、その詳細を説明する。
図１６は、図１０の上位分析の対象１５ｃにおける下位分析結果１４の例を示す図である。

まず、ステップＳ３０３において、脅威抽出部６は、上位分析結果１３での対象の構成要素の脅威について、その脅威分類を判定する。判定する脅威分類は、脅威Ｂを脅威Ｄと脅威Ｅの二つに区別しているため、Ａ、Ｃ、Ｄ、Ｅのいずれかである。また、脅威分類の判定後の処理では、図１５に示した下位構成要素一覧表１２を用いる。

次に、判定結果で脅威分類がＡの場合、ステップＳ３０４において、脅威抽出部６は、上位分析結果１３での脅威を、下位の構成要素で構成要素種別がコンポーネントである構成要素に割り振り、脅威として抽出する。例えば、図１２のサブシステム１での脅威である「覗き見（図１２中、脅威ＩＤがＡ１）」の場合、図１５より、構成要素種別がコンポーネントの構成要素はサーバＸ、サーバＹ、端末Ｚであるので、これら３つの構成要素に対する脅威として、「覗き見」を割り振る。その結果、図１６中、脅威ＩＤがＡ１−Ｘ，Ａ１−Ｙ，Ａ１−Ｚの脅威が抽出される。

また、判定結果で脅威分類がＤ、Ｅ、Ｃの場合は、図１４に示すように処理が分岐する。
まず、判定結果で脅威分類がＤの場合、ステップＳ３０５において、脅威抽出部６は、その脅威を下位の構成要素で構成要素種別がコンポーネントである構成要素に割り振り、その後、その脅威のアクセス元の上位のコンポーネントを下位のコンポーネントに割り振ったものを脅威として抽出する。例えば、図１２のサブシステム１での脅威である「サブシステム２を悪用した不正アクセス（図１２中、脅威ＩＤがＤ１）」の場合、図１５より、構成要素種別がコンポーネントの構成要素はサーバＸ、サーバＹ、端末Ｚであるので、これら３つの構成要素に対する脅威として、「サブシステム２を悪用した不正アクセス」を割り振る。また、図１５より、アクセス元であるサブシステム２はサーバαと端末βから構成されるので、前記サーバＸ、サーバＹ、端末Ｚに対する各脅威をサーバαと端末βからの脅威として割り振る。その結果、図１６中、脅威ＩＤがＤ１−α−ＸとＤ１−β−Ｘの脅威が抽出される。なお、図１６中、サーバαと端末βからサーバＹに対する不正アクセスの脅威と、サーバαと端末βから端末Ｚに対する不正アクセスの脅威は省略している。

その後、ステップＳ３０６において、脅威抽出部６は、下位の構成要素種別がコンポーネントである構成要素からの脅威を新たに作成する。例えば、図１６中、サーバＸに対しては、脅威ＩＤがＤ４−ＸとＤ５−Ｘである脅威を作成する。

また、判定結果で脅威分類がＥの場合、ステップＳ３０７において、脅威抽出部６は、脅威分類がＡの場合と同様に、その脅威を下位の構成要素で構成要素種別がコンポーネントの構成要素に割り振り、脅威として抽出する。例えば、図１２のサブシステム１での脅威である「外部ネットワークに接続した不正な装置からの不正アクセス（図１２中、脅威ＩＤがＥ１）」の場合、図１５より、構成要素種別がコンポーネントの構成要素はサーバＸ、サーバＹ、端末Ｚであるので、これら３つの構成要素に対する脅威として割り振る。その結果、図１６中、脅威ＩＤがＥ１−Ｘの脅威が抽出される。なお、図１６中、外部ネットワークに接続した不正な装置からのサーバＹや端末Ｚへの不正アクセスの脅威は省略している。

その後、ステップＳ３０８において、脅威抽出部６は、下位の構成要素種別が通信路である構成要素からの脅威を新たに作成する。例えば、図１６中、サーバＸに対しては、サブシステム１内ネットワークに接続した不正な装置からの不正アクセス（脅威ＩＤがＥ３−Ｘ）である脅威を作成する。また、図１５において、サーバＸの接続先通信路やその通信路の接続先から、サーバＸに対するサブシステム２内ネットワークに接続した不正な装置からの不正アクセス（脅威ＩＤがＥ４−Ｘ）である脅威を作成する。

また、判定結果で脅威分類がＣの場合、ステップＳ３０９において、脅威抽出部６は、上位分析結果の脅威をそのまま脅威として抽出する。例えば、図１２中、外部ネットワークにおける盗聴（脅威ＩＤがＣ１）は、図１６でも同じ脅威として抽出している。

その後、ステップＳ３１０において、脅威抽出部６は、下位の構成要素種別が通信路の構成要素における脅威を作成する。例えば、図１６中、サブシステム１内部ネットワークにおける盗聴（脅威ＩＤはＣ３）を作成する。

上記のように脅威分類がＡ、Ｄ、Ｅ、Ｃの各処理を行なった後に、図１３のステップＳ３１１に処理が進む。
ステップＳ３１１において、脅威抽出部６は、上位分析結果１３における対象の構成要素の脅威を全て実施したかを判定する。判定した結果、上位分析結果１３の中に未実施の脅威がまだ残っている場合は、Ｎｏの分岐に進み、ステップＳ３０３から再度同様の処理を行なう。

脅威抽出部６は、以上の処理を行ない、図１６に示した下位分析結果１４が得られる。なお、図１６に示したように、上位分析結果１３に想定されないとして含まれていない「サブシステム３を悪用した不正アクセス」は、下位分析結果１４にも含まれていない。脅威抽出部６は、得られた結果を下位分析結果１４として分析対象情報記憶部４に記録し、下位分析を終了する。

なお、本実施の形態２では、図１４にてステップＳ３０５の後にステップＳ３０６を、ステップＳ３０７の後にステップＳ３０８を、ステップＳ３０９の後にステップＳ３１０を実施するような処理フローを示したが、ステップＳ３０６、ステップＳ３０８、ステップＳ３１０は、図１３のステップＳ３１１以降で作成してもよい。

また、本実施の形態２では、分析対象システムの脅威を抽出することに焦点を当てた脅威分析装置１について示したが、脅威を抽出した後、各脅威の発生可能性や影響からリスクを導出するようにしてもよい。リスクを導出する手法は既存のもので可能である。

さらに、脅威の内容に、その脅威を引き起こす主体や脅威の対象となる情報などの保護資産を追加してもよい。

また、本実施の形態２では、上位分析を行なった後、下位分析を行なう例を示したが、上位分析を行なった後、対策を検討し、下位分析にて対策済脅威を下位分析の対象からはずすようにしてもよい。

また、本実施の形態２では、脅威分類として、コンポーネント内部で発生する脅威、他のコンポーネントから対象のコンポーネントにアクセスする脅威、コンポーネント間の通信路から対象のコンポーネントにアクセスする脅威、コンポーネント間の通信路で発生する脅威の４種類に分類したが、実施の形態１で示したように、コンポーネント内部で発生する脅威、コンポーネント外部から対象のコンポーネントにアクセスする脅威、コンポーネント間の通信路で発生する脅威の３種類に分類としてもよい。すなわち、実施の形態２における脅威分類ＤとＥの区別を無くしてもよい。その場合、図１３、１４の下位分析の処理フローにおいて、上位分析結果１３の脅威を下位の構成要素で構成要素種別がコンポーネントの構成要素に割り振るステップと、その脅威の内、アクセス元の構成要素種別がコンポーネントの脅威は、上位のコンポーネントに含まれる下位のコンポーネントに割り振るステップと、下位の構成要素の内、構成要素種別がコンポーネントと通信路の構成要素からの脅威を新たに作成するステップとすればよい。

以上のように、本実施の形態２の発明では、複数のサブシステムを対象に下位分析を行なうことができるため、効率的に脅威分析を行なうことができ、また、上位分析結果と整合した下位分析結果を得ることができる。これにより、仕様の詳細度に合わせた脅威分析が行なえるという効果がある。

次に、実施の形態１〜２に示した脅威分析装置１のハードウェア構成について説明する。
図１７は、実施の形態１〜２に示した脅威分析装置１のハードウェア構成の例を示す図である。

脅威分析装置１はコンピュータであり、脅威分析装置１の各要素をプログラムで実現することができる。脅威分析装置１のハードウェア構成としては、バスに、演算装置１６、外部記憶装置１７、主記憶装置１８、通信装置１９、入出力装置２０が接続されている。

演算装置１６は、プログラムを実行するＣＰＵ（Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）等である。外部記憶装置１７は、例えばＲＯＭ（Ｒｅａｄ Ｏｎｌｙ Ｍｅｍｏｒｙ）やフラッシュメモリ、ハードディスク装置等である。主記憶装置１８は、例えばＲＡＭ（Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）等である。通信装置１９は、例えば通信ボード等である。入出力装置２０は、例えばマウス、キーボード、ディスプレイ装置等である。

プログラムは、通常は外部記憶装置１７に記憶されており、主記憶装置１８にロードされた状態で、順次、演算装置１６に読み込まれ、実行される。このプログラムは、脅威分析装置１を構成する入出力部２、共通情報記憶部３、分析対象情報記憶部４、制御部５、脅威抽出部６として説明している機能を実現するプログラムである。

更に、外部記憶装置１７には、オペレーティングシステム（ＯＳ）も記憶されており、ＯＳの少なくとも一部が主記憶装置１８にロードされ、演算装置１６は、ＯＳを実行しながら、上記プログラムを実行する。

また、実施の形態１〜２の説明において、共通情報記憶部３、分析対象情報記憶部４が記憶する情報やデータ、入出力部２、脅威抽出部６の処理の結果を示す情報やデータや信号値や変数値が、主記憶装置１８にファイルとして記憶されている。

なお、図１７の構成は、あくまでも各装置のハードウェア構成の一例を示すものであり、各装置のハードウェア構成は図１７に記載の構成に限らず、他の構成であってもよい。

１ 脅威分析装置、２ 入出力部、３ 共通情報記憶部、４ 分析対象情報記憶部、５ 制御部、６ 脅威抽出部、７ 構成要素入力部、８ 分析レベル入力部、９ 脅威入力部、１０ 脅威データベース、１１ 上位構成要素一覧表、１２ 下位構成要素一覧表、１３ 上位分析結果、１４ 下位分析結果、１５ａ 上位分析の対象、１５ｂ 下位分析の対象、１５ｃ 下位分析の対象（複数のサブシステム）、１６ 演算装置、１７ 外部記憶装置、１８ 主記憶装置、１９ 通信装置、２０ 入出力装置。

Claims (6)

1. 脅威分析の分析対象システムで想定される脅威を格納する脅威データベースと、
   前記分析対象システムの上位構成要素と前記上位構成要素の下位構成要素とを対応付けて記憶する分析対象情報記憶部と、
   前記脅威を用いて前記上位構成要素を脅威分析した上位分析結果の上位脅威を前記下位構成要素に割り振って前記下位構成要素に対する下位分析を行ない、前記下位構成要素の下位脅威を抽出する脅威抽出部と
   を備える脅威分析装置。
2. 前記脅威データベースは、前記脅威を分類した脅威分類を前記脅威に対応付けて格納し、
   前記脅威抽出部は、前記脅威分類に基づいて前記上位脅威を前記下位構成要素に割り振る請求項１記載の脅威分析装置。
3. 前記脅威データベースが格納する前記脅威分類は、前記分析対象システムの構成要素種別に応じて前記脅威が分類され、
   前記脅威抽出部は、前記脅威分類が示す前記構成要素種別に応じて前記上位脅威を前記下位構成要素に割り振る請求項２記載の脅威分析装置。
4. 前記脅威データベースは、前記脅威の発生可能性または前記分析対象システムに与える影響の情報を前記脅威に対応付けて格納し、
   前記脅威抽出部は、前記脅威の発生可能性または前記分析対象システムに与える影響の情報に基づいて、前記脅威分析により抽出した前記脅威のセキュリティ上のリスクを導出する請求項１記載の脅威分析装置。
5. 前記脅威抽出部は、前記上位分析結果の前記上位脅威のうち、セキュリティ上の対策済みの前記上位脅威を前記下位分析の対象からはずす請求項１記載の脅威分析装置。
6. 脅威分析の分析対象システムで想定される脅威を格納する脅威データベースと分析対象情報記憶部と脅威抽出部とを備える脅威分析装置の脅威分析方法であって、
   前記分析対象情報記憶部が、前記分析対象システムの上位構成要素と前記上位構成要素の下位構成要素とを対応付けて記憶する分析対象情報記憶ステップと、
   前記脅威抽出部が、前記脅威を用いて前記上位構成要素を脅威分析した上位分析結果の上位脅威を前記下位構成要素に割り振って前記下位構成要素に対する下位分析を行ない、前記下位構成要素の下位脅威を抽出する脅威抽出ステップと
   を備える脅威分析方法。

Images