JP6425865B1 - リスク分析装置、リスク分析方法及びリスク分析プログラム - Google Patents

Abstract

リスク分析装置（１０）では、脅威抽出部（２２）は、分析対象システムに対して発生する可能性のある脅威を抽出する。可能性特定部（２３）は、脅威抽出部（２２）によって抽出された脅威の発生可能性を、脅威の発生場所となる構成要素に対して実施されているセキュリティ対策に応じて特定する。リスク値計算部（２４）は、可能性特定部（２３）によって特定された発生可能性から、分析対象システムの脅威に対するリスクの大きさを示すリスク値を計算する。

Description

この発明は、システムのセキュリティリスクを分析する技術に関する。

分析対象システムのセキュリティ設計を行うためには、まず、システムに実装するセキュリティ対策を明らかにする必要がある。そのため、分析対象システムに対して、セキュリティリスクの分析が行われる。これにより、分析対象システムを構成するサーバと端末と通信路といった構成要素における対策が必要なセキュリティ脅威（以下、脅威と呼ぶ）が明確にされる。
セキュリティリスクの分析では、分析対象システムの構成要素に対する脅威が特定される。特定された脅威に対し、脅威の発生可能性と脅威発生による影響とが設定される。脅威発生による影響は、脅威が発生する構成要素の資産価値等によって表される。設定された発生可能性と脅威発生による影響とから、特定された脅威のリスク値が導出される。そして、リスクの高い脅威に対して対策が定められる。

特許文献１では、脅威の発生可能性を人手で設定することが記載されている。また、特許文献２では、脅威の発生可能性を予め設定された固定値とすることが記載されている。

特開２００９−２３０２７８号公報 特開２００１−１５５０８１号公報

特許文献１では、脅威の発生可能性を人手で設定しているため、分析にかかる工数が大きくなるとともに、人為的なミスが発生するという課題があった。また、特許文献２では、脅威の発生可能性として予め設定した固定値を用いているため、発生可能性が適切な値にならず、脅威のリスク値を正確に計算できないという課題があった。その結果、特許文献１，２では、最終的に対策の過不足を導く恐れがあった。
この発明は、分析対象システムのセキュリティリスクを適切に分析可能にすることを目的とする。

この発明に係るリスク分析装置は、
分析対象システムに対して発生する可能性のある脅威の発生可能性を、前記脅威の発生場所となる構成要素に対して実施されているセキュリティ対策に応じて特定する可能性特定部と、
前記可能性特定部によって特定された前記発生可能性から、前記分析対象システムの脅威に対するリスクの大きさを示すリスク値を計算するリスク値計算部と
を備える。

この発明では、脅威の発生場所となる構成要素に対して実施されているセキュリティ対策に応じて、発生可能性が特定される。これにより、分析対象システムのセキュリティリスクを適切に分析可能である。

実施の形態１に係るリスク分析装置１０の構成図。 実施の形態１で説明に用いる分析対象システム５０の構成図。 実施の形態１に係るリスク分析装置１０の全体的な動作のフローチャート。 実施の形態１に係る可能性設定情報３１２を示す図。 実施の形態１に係る構成情報３２２を示す図。 実施の形態１に係る脅威抽出結果３２１を示す図。 実施の形態１に係るステップＳ３の可能性特定処理のフローチャート。 実施の形態１に係る発生可能性情報３２３を示す図。 実施の形態１に係るリスク分析情報３２４を示す図。 変形例２に係るリスク分析装置１０の構成図。 実施の形態２に係るリスク分析装置１０の構成図。 実施の形態２に係る接続先情報３２５を示す図。 実施の形態２に係る通信制御情報３２６を示す図。 実施の形態２に係るステップＳ３の可能性特定処理のフローチャート。 実施の形態２に係る脅威抽出結果３２１を示す図。 実施の形態２に係る可能性設定情報３１２を示す図。 実施の形態２に係るステップＳ２５の通信制御判定処理のフローチャート。 実施の形態２に係る発生可能性情報３２３を示す図。 実施の形態３に係るリスク分析装置１０の構成図。 実施の形態３に係る対応情報３１３を示す図。 実施の形態３に係るステップＳ３の可能性特定処理のフローチャート。 実施の形態３に係る脅威抽出結果３２１を示す図。 実施の形態３に係る可能性設定情報３１２を示す図。 実施の形態３に係る構成情報３２２を示す図。 実施の形態３に係る発生可能性情報３２３を示す図。

実施の形態１．
＊＊＊構成の説明＊＊＊
図１を参照して、実施の形態１に係るリスク分析装置１０の構成を説明する。
リスク分析装置１０は、コンピュータである。
リスク分析装置１０は、プロセッサ１１と、メモリ１２と、ストレージ１３と、通信インタフェース１４とのハードウェアを備える。プロセッサ１１は、信号線を介して他のハードウェアと接続され、これら他のハードウェアを制御する。

プロセッサ１１は、プロセッシングを行うＩＣ（Ｉｎｔｅｇｒａｔｅｄ Ｃｉｒｃｕｉｔ）であり、リスク分析装置１０全体の制御を行う装置である。プロセッサ１１は、具体例としては、ＣＰＵ（Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）、ＤＳＰ（Ｄｉｇｉｔａｌ Ｓｉｇｎａｌ Ｐｒｏｃｅｓｓｏｒ）、ＧＰＵ（Ｇｒａｐｈｉｃｓ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）である。

メモリ１２は、データを一時的に記憶する記憶装置である。メモリ１２は、具体例としては、ＳＲＡＭ（Ｓｔａｔｉｃ Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）、ＤＲＡＭ（Ｄｙｎａｍｉｃ Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）である。

ストレージ１３は、データを保管する記憶装置である。ストレージ１３は、具体例としては、ＨＤＤ（Ｈａｒｄ Ｄｉｓｋ Ｄｒｉｖｅ）、又は、ＳＳＤ（Ｓｏｌｉｄ Ｓｔａｔｅ Ｄｒｉｖｅ）である。また、ストレージ１３は、ＳＤ（登録商標，Ｓｅｃｕｒｅ Ｄｉｇｉｔａｌ）メモリカード、ＣＦ（ＣｏｍｐａｃｔＦｌａｓｈ）、ＮＡＮＤフラッシュ、フレキシブルディスク、光ディスク、コンパクトディスク、ブルーレイ（登録商標）ディスク、ＤＶＤ（Ｄｉｇｉｔａｌ Ｖｅｒｓａｔｉｌｅ Ｄｉｓｋ）といった可搬記憶媒体であってもよい。

通信インタフェース１４は、入力装置と表示装置といった外部の装置と通信するためのインタフェースである。通信インタフェース１４は、具体例としては、Ｅｔｈｅｒｎｅｔ（登録商標）、ＵＳＢ（Ｕｎｉｖｅｒｓａｌ Ｓｅｒｉａｌ Ｂｕｓ）、ＨＤＭＩ（登録商標，Ｈｉｇｈ−Ｄｅｆｉｎｉｔｉｏｎ Ｍｕｌｔｉｍｅｄｉａ Ｉｎｔｅｒｆａｃｅ）のポートである。

リスク分析装置１０は、機能構成要素として、情報取得部２１と、脅威抽出部２２と、可能性特定部２３と、リスク値計算部２４とを備える。可能性特定部２３は、ルール抽出部２５と、条件判定部２６とを備える。情報取得部２１と、脅威抽出部２２と、可能性特定部２３と、リスク値計算部２４と、ルール抽出部２５と、条件判定部２６との機能はソフトウェアにより実現される。
ストレージ１３には、情報取得部２１と、脅威抽出部２２と、可能性特定部２３と、リスク値計算部２４と、ルール抽出部２５と、条件判定部２６との機能を実現するプログラムが記憶されている。このプログラムは、プロセッサ１１によりメモリ１２に読み込まれ、プロセッサ１１によって実行される。これにより、情報取得部２１と、脅威抽出部２２と、可能性特定部２３と、リスク値計算部２４と、ルール抽出部２５と、条件判定部２６との機能が実現される。

ストレージ１３は、共通情報記憶部３１と、分析対象記憶部３２との機能を実現する。共通情報記憶部３１は、脅威データ３１１と、可能性設定情報３１２とを記憶する。分析対象記憶部３２は、脅威抽出結果３２１と、構成情報３２２と、発生可能性情報３２３と、リスク分析情報３２４とを記憶する。

図１では、プロセッサ１１は、１つだけ示されている。しかし、リスク分析装置１０は、プロセッサ１１を代替する複数のプロセッサを備えていてもよい。これら複数のプロセッサは、オペレーティングシステム２０が備える機能構成要素の実行を分担する。それぞれのプロセッサは、プロセッサ１１と同じように、プロセッシングを行うＩＣである。

図２を参照して、実施の形態１で説明に用いる分析対象システム５０の構成を説明する。
分析対象システム５０は、サーバ＿０１と、サーバ＿０２と、ファイアウォールであるＦＷ＿０１と、ネットワークであるＮＷ＿０１と、ネットワークであるＮＷ＿０２と、ネットワークであるＮＷ＿０３と、外部ネットワークと、端末＿０１と、端末＿０２とを備える。
サーバ＿０１は、ＮＷ＿０１を介してサーバ＿０２と接続され、ＮＷ＿０２を介してＦＷ＿０１と接続され、ＮＷ＿０３を介して端末＿０１及び端末＿０２と接続されている。また、サーバ＿０１は、ＦＷ＿０１と外部ネットワークとを介して外部と接続されている。ＦＷ＿０１は、サーバ＿０１から外部ネットワークへのデータは通すが、外部ネットワークからサーバ＿０１へのデータは通さないように通信制御を行う。

＊＊＊動作の説明＊＊＊
図３から図９を参照して、実施の形態１に係るリスク分析装置１０の動作を説明する。
実施の形態１に係るリスク分析装置１０の動作は、実施の形態１に係るリスク分析方法に相当する。また、実施の形態１に係るリスク分析装置１０の動作は、実施の形態１に係るリスク分析プログラムの処理に相当する。

図３を参照して、実施の形態１に係るリスク分析装置１０の全体的な動作を説明する。
（図３のステップＳ１：情報取得処理）
情報取得部２１は、通信インタフェース１４を介して、可能性設定情報３１２及び構成情報３２２を取得する。情報取得部２１は、可能性設定情報３１２を共通情報記憶部３１に書き込み、構成情報３２２を分析対象記憶部３２に書き込む。

可能性設定情報３１２は、脅威の識別子と、脅威の発生場所となる構成要素に対して実施されているセキュリティ対策との組合せ毎に、発生可能性が定義された情報である。
図４に示すように、実施の形態１では、可能性設定情報３１２は、ルールＮｏ毎に、脅威ＩＤと、１つ以上の条件と、発生可能性とを示す。ルールＮｏは、ルールの識別子である。脅威ＩＤは、そのルールが適用される脅威の識別子である。条件は、そのルールが適用される条件である。実施の形態１では、脅威の発生場所である構成要素に対して実施されているセキュリティ対策を含む条件が定められている。発生可能性は、そのルールが適用された場合の脅威の発生可能性である。
実施の形態１では、条件が「項目：内容」という構成で示される。図４では、脅威ＩＤ１０に適用されるルールは３個の条件であり、脅威ＩＤ２０に適用されるルールは２個の条件である。実施の形態１では、発生可能性は３段階が想定されており、発生する可能性が低い場合に１、中である場合に２、高い場合に３の値が用いられる。なお、発生可能性の段階数及び値は、これに限定されるものではない。

構成情報３２２は、分析対象システム５０の各構成要素の情報を示す。
図５に示すように、実施の形態１では、構成情報３２２は、要素名毎に、種別と、物理アクセスの可否と、セキュリティ対策と、暗号対策と、資産価値とを示す。要素名は、構成要素の名称である。種別は、構成要素の分類である。物理アクセスの可否は、構成要素に対して物理アクセス可能か否かである。暗号対策は、暗号化通信が可能であるか否かである。資産価値は、構成要素の価値である。
なお、構成情報３２２は、他にも、利用者認証の有無と、使用しているＯＳの種別といったセキュリティ対策に関する情報を示してもよい。

（図３のステップＳ２：脅威抽出処理）
脅威抽出部２２は、共通情報記憶部３１に記憶された脅威データ３１１に基づき、分析対象システム５０に対して発生する可能性のある脅威を抽出する。脅威データ３１１は、脅威の雛形である。具体的な脅威を抽出する方法については、特開２０１６−１０５２３３号公報に記載された方法等により実現すればよい。脅威抽出部２２は、抽出された脅威を脅威抽出結果３２１として、分析対象記憶部３２に書き込む。

図６に示すように、実施の形態１では、脅威抽出結果３２１は、Ｎｏ毎に、要素名と、脅威ＩＤと、アクセス元と、脅威の内容とを示す。Ｎｏは、抽出された脅威に一意に割り当てられる番号である。要素名は、脅威の発生場所となる構成要素の名称である。脅威ＩＤは、抽出された脅威の識別子である。アクセス元は、脅威がネットワークを介したリモートアクセスに関するものである場合に、アクセスの元となる構成要素の名称が示される。例えば、図６では、端末＿０１を悪用したサーバ＿０１への不正アクセスという脅威のアクセス元として、端末＿０１が示されている。脅威の内容は、抽出された脅威の内容である。
なお、脅威抽出結果３２１は、他にも、各構成要素の存在箇所と、構成要素の種別とを表す情報とを示してもよい。また、本実施の形態では、Ｎｏ１の脅威とＮｏ２の脅威とは、悪用する端末は異なるが同じ内容の脅威であるため、同じ脅威ＩＤで表している。しかし、これらの脅威を区別する脅威ＩＤを用いてもよい。

（図３のステップＳ３：可能性特定処理）
可能性特定部２３は、ステップＳ２で抽出された脅威それぞれについて、その脅威の識別子と、その脅威の発生場所となる構成要素に対して実施されているセキュリティ対策との組合せに応じて、その脅威が発生する発生可能性を特定する。

図７を参照して、実施の形態１に係るステップＳ３の可能性特定処理を説明する。
（図７のステップＳ１１：結果読出処理）
可能性特定部２３は、分析対象記憶部３２の脅威抽出結果３２１から１つの脅威についての情報を読み出し、メモリ１２に書き込む。つまり、可能性特定部２３は、脅威抽出結果３２１の１つのレコードを読み出し、メモリ１２に書き込む。

（図７のステップＳ１２：ルール抽出処理）
ルール抽出部２５は、共通情報記憶部３１の可能性設定情報３１２から、ステップＳ１１で読み出された情報に含まれる脅威ＩＤを持つルールを抽出する。
例えば、図６のＮｏ１の脅威は、脅威ＩＤが１０である。そのため、ルール抽出部２５は、図４のルールＮｏ１とルールＮｏ２との２つのルールを抽出する。

（図７のステップＳ１３：第１ルール判定処理）
ルール抽出部２５は、ステップＳ１２でルールが抽出されたか否かを判定する。
ルール抽出部２５は、ルールが抽出された場合には、処理をステップＳ１４に進める。一方、ルール抽出部２５は、ルールが抽出されなかった場合には、発生可能性を特定できないので、処理をステップＳ１７に進める。

（図７のステップＳ１４：条件判定処理）
条件判定部２６は、ステップＳ１２で抽出された各ルールについて、ステップＳ１１で読み出されたレコードが、そのルールの各条件に合致するか否かを判定する。具体的には、条件判定部２６は、ステップＳ１１で読み出された要素名が示す構成要素についての構成情報３２２を参照して、各条件に合致するか否かを判定する。
例えば、図６のＮｏ１の脅威は、図４のルールＮｏ１については、条件１及び条件２は合致するものの、条件３が合致しない。一方、図６のＮｏ１の脅威は、図４のルールＮｏ２については、条件１〜３の全てが合致する。

（図７のステップＳ１５：第２ルール判定処理）
条件判定部２６は、ステップＳ１４で構成要素が全ての条件に合致するルールがあったか否かを判定する。
条件判定部２６は、合致するルールがあった場合には、処理をステップＳ１６に進める。一方、条件判定部２６は、合致するルールがなかった場合には、発生可能性を特定できないので、処理をステップＳ１７に進める。

（図７のステップＳ１６：可能性読出処理）
条件判定部２６は、ステップＳ１４で構成要素が全ての条件に合致するルールの発生可能性を読み出し、発生可能性情報３２３として分析対象記憶部３２に書き込む。

図８に示すように、実施の形態１では、発生可能性情報３２３は、脅威抽出結果３２１のアクセス元の情報がなくなり、発生可能性が追加されている。なお、発生可能性情報３２３は、アクセス元の情報を示してもよいし、さらに他の情報を示してもよい。
条件判定部２６は、読み出された発生可能性を、対応する脅威のレコードに書き込む。つまり、ステップＳ１１で図６のＮｏ１のレコードが読み出された場合には、条件判定部２６は、読み出された発生可能性を、図８のＮｏ１のレコードに書き込む。

（図７のステップＳ１７：終了判定処理）
ルール抽出部２５は、ステップＳ１１で脅威抽出結果３２１から全ての脅威についての情報が読み出し済であるか否かを判定する。
ルール抽出部２５は、全ての脅威についての情報が読み出し済である場合には、処理を終了する。一方、ルール抽出部２５は、全ての脅威についての情報が読み出し済でない場合には、処理をステップＳ１１に戻して、次の脅威についての情報を読み出す。

（図３のステップＳ４：リスク値計算処理）
リスク値計算部２４は、ステップＳ２で抽出された脅威それぞれについて、ステップＳ３で特定された発生可能性から、分析対象システム５０のその脅威に対するリスクの大きさを示すリスク値を計算する。具体的には、リスク値計算部２４は、ステップＳ２で抽出された脅威それぞれについて、その脅威の発生可能性と、その脅威の発生場所となる構成要素の資産価値との積を、リスク値として計算する。リスク値計算部２４は、計算されたリスク値を示すリスク分析情報３２４を分析対象記憶部３２に書き込む。
図９に示すように、実施の形態１では、リスク分析情報３２４は、発生可能性情報３２３に、構成要素の資産価値と、リスク値とが追加されている。例えば、図９のＮｏ１の脅威のリスク値は、発生可能性“３”と、構成要素であるサーバ＿０１の資産価値“３”との積“９”となっている。

なお、上記説明では、脅威抽出結果３２１と発生可能性情報３２３とリスク分析情報３２４とを別々の情報として扱った。しかし、脅威抽出結果３２１と発生可能性情報３２３とリスク分析情報３２４との全ての情報を示す１つのフォーマットを用意しておいてもよい。そして、処理の経過に応じて、そのフォーマットに順次情報が追加されてもよい。

＊＊＊実施の形態１の効果＊＊＊
以上のように、実施の形態１に係るリスク分析装置１０は、脅威の発生場所となる構成要素に対して実施されているセキュリティ対策に応じて、脅威の発生可能性を特定する。これにより、脅威の発生可能性を適切に特定可能である。その結果、分析対象システムのセキュリティリスクを適切に分析可能である。

特に、実施の形態１に係るリスク分析装置１０では、可能性設定情報３１２に基づき発生可能性が特定されるため、脅威の発生可能性に分析者に恣意が含まれることがない。そのため、脅威の発生可能性を適切に特定可能である。

また、脅威の発生可能性を人手で設定する必要がないため、作業ミスが発生することがない。また、分析対象システム５０が大規模なシステムであっても、効率的に分析が可能である。

＊＊＊他の構成＊＊＊
＜変形例１＞
実施の形態１では、共通情報記憶部３１には１つの可能性設定情報３１２が記憶されていた。しかし、共通情報記憶部３１に、システムの種別毎の可能性設定情報３１２が記憶されていてもよい。例えば、情報システムと、車載機器システムと、ＦＡ（Ｆａｃｔｏｒｙ Ａｕｔｏｍａｔｉｏｎ）システムといった種別毎に、可能性設定情報３１２が記憶されてもよい。
この場合、可能性特定部２３は、分析対象システム５０の種別に対応する可能性設定情報３１２を用いて、脅威の発生可能性を特定する。これにより、より適切に脅威の発生可能性を特定することが可能になる。

また、共通情報記憶部３１に、システム管理者と保守員といった役割毎の可能性設定情報３１２が記憶されてもよい。
この場合、可能性特定部２３は、各役割に対応する可能性設定情報３１２を用いて、役割毎に発生可能性を特定する。そして、リスク値計算部２４は、役割毎に脅威のリスク値を計算する。これにより、役割毎のリスク値を知ることができる。

＜変形例２＞
実施の形態１では、情報取得部２１と、脅威抽出部２２と、可能性特定部２３と、リスク値計算部２４と、ルール抽出部２５と、条件判定部２６との機能がソフトウェアで実現された。しかし、変形例２として、情報取得部２１と、脅威抽出部２２と、可能性特定部２３と、リスク値計算部２４と、ルール抽出部２５と、条件判定部２６との機能はハードウェアで実現されてもよい。この変形例２について、実施の形態１と異なる点を説明する。

図１０を参照して、変形例２に係るリスク分析装置１０の構成を説明する。
情報取得部２１と、脅威抽出部２２と、可能性特定部２３と、リスク値計算部２４と、ルール抽出部２５と、条件判定部２６との機能がハードウェアで実現される場合、リスク分析装置１０は、プロセッサ１１とメモリ１２とストレージ１３とに代えて、処理回路１５を備える。処理回路１５は情報取得部２１と、脅威抽出部２２と、可能性特定部２３と、リスク値計算部２４と、ルール抽出部２５と、条件判定部２６との機能と、メモリ１２とストレージ１３との機能とを実現する専用の電子回路である。

処理回路１５は、単一回路、複合回路、プログラム化したプロセッサ、並列プログラム化したプロセッサ、ロジックＩＣ、ＧＡ（Ｇａｔｅ Ａｒｒａｙ）、ＡＳＩＣ（Ａｐｐｌｉｃａｔｉｏｎ Ｓｐｅｃｉｆｉｃ Ｉｎｔｅｇｒａｔｅｄ Ｃｉｒｃｕｉｔ）、ＦＰＧＡ（Ｆｉｅｌｄ−Ｐｒｏｇｒａｍｍａｂｌｅ Ｇａｔｅ Ａｒｒａｙ）が想定される。
情報取得部２１と、脅威抽出部２２と、可能性特定部２３と、リスク値計算部２４と、ルール抽出部２５と、条件判定部２６との機能を１つの処理回路１５で実現してもよいし、情報取得部２１と、脅威抽出部２２と、可能性特定部２３と、リスク値計算部２４と、ルール抽出部２５と、条件判定部２６との機能を複数の処理回路１５に分散させて実現してもよい。

＜変形例３＞
変形例３として、一部の機能がハードウェアで実現され、他の機能がソフトウェアで実現されてもよい。つまり、情報取得部２１と、脅威抽出部２２と、可能性特定部２３と、ルール抽出部２５と、条件判定部２６と、リスク値計算部２４とのうち、一部の機能がハードウェアで実現され、他の機能がソフトウェアで実現されてもよい。

プロセッサ１１とメモリ１２とストレージ１３と処理回路１５とを、総称して「プロセッシングサーキットリー」という。つまり、各機能構成要素の機能は、プロセッシングサーキットリーにより実現される。

実施の形態２．
実施の形態２は、発生場所となる構成要素への分析対象システム５０における通信経路の通信制御に応じて、発生可能性を特定する点が実施の形態１と異なる。実施の形態２では、この異なる点を説明し、同一の点については説明を省略する。

＊＊＊構成の説明＊＊＊
図１１を参照して、実施の形態２に係るリスク分析装置１０の構成を説明する。
リスク分析装置１０は、機能構成要素として、通信判定部２７を備える点と、分析対象記憶部３２が接続先情報３２５と通信制御情報３２６とを記憶する点とが図１に示されたリスク分析装置１０と異なる。
通信判定部２７は、他の機能構成要素と同様にソフトウェアにより実現される。また、通信判定部２７は、他の機能構成要素と同様にハードウェアで実現されてもよい。

＊＊＊動作の説明＊＊＊
図３と図１２から図１８とを参照して、実施の形態２に係るリスク分析装置１０の動作を説明する。
実施の形態２に係るリスク分析装置１０の動作は、実施の形態２に係るリスク分析方法に相当する。また、実施の形態２に係るリスク分析装置１０の動作は、実施の形態２に係るリスク分析プログラムの処理に相当する。

図３を参照して、実施の形態２に係るリスク分析装置１０の全体的な動作を説明する。
ステップＳ２とステップＳ４の処理は、実施の形態１と同じである。

（図３のステップＳ１：情報取得処理）
情報取得部２１は、通信インタフェース１４を介して、可能性設定情報３１２と構成情報３２２と接続先情報３２５と通信制御情報３２６とを取得する。情報取得部２１は、可能性設定情報３１２を共通情報記憶部３１に書き込み、構成情報３２２と接続先情報３２５と通信制御情報３２６とを分析対象記憶部３２に書き込む。

接続先情報３２５は、分析対象システム５０の構成要素間の接続関係を示す。
図１２に示すように、実施の形態２では、接続先情報３２５は、要素名毎に、種別と、通信制御の有無と、通信路とを示す。図２に示されたように、分析対象システム５０の通信路は、ＮＷ＿０１と、ＮＷ＿０２と、ＮＷ＿０３と、外部ネットワークとである。図１２では、○は、その構成要素がその通信路に接続されていることを示す。

通信制御情報３２６は、通信制御の内容を示す。
図１３に示すように、実施の形態２では、通信制御情報３２６は、アクセス元（ＦＲＯＭ）からアクセス先（ＴＯ）へのデータの流れが許されているか否かを示す。図１３では、ＦＷ＿０１によって、ＮＷ＿０２から外部ネットワークへデータを流すことは許可され、外部ネットワークからＮＷ＿０２へデータを流すことは許可されていないことが示されている。

図１４を参照して、実施の形態２に係るステップＳ３の可能性特定処理を説明する。
ステップＳ２１からステップＳ２３の処理は、図７のステップＳ１１からステップＳ１３の処理と同じである。また、ステップＳ２６からステップＳ２９の処理は、図７のステップＳ１４からステップＳ１７の処理と同じである。

（図１４のステップＳ２４：通信項目判定処理）
通信判定部２７は、ステップＳ２２で抽出された各ルールについて、条件の項目として通信制御があるか否かを判定する。
通信判定部２７は、通信制御がある場合には、処理をステップＳ２５に進める。一方、通信判定部２７は、通信制御がない場合には、処理をステップＳ２６に進める。

具体例としては、可能性設定情報３１２が図１５に示す通りであり、脅威抽出結果３２１が図１６に示す通りであるとする。ステップＳ２１で脅威抽出結果３２１のＮｏ１のレコードが読み出されたとする。
この場合、ステップＳ２２では、脅威ＩＤが１０であるので、図１６のルールＮｏ１〜ルールＮｏ３の３つのルールが抽出される。すると、ルールＮｏ１〜ルールＮｏ３の３つのルールには、条件１の項目として通信制御がある。そのため、処理がステップＳ２５に進められる。

（図１４のステップＳ２５：通信制御判定処理）
通信判定部２７は、ステップＳ２２で抽出されたルールから、脅威の発生場所となる構成要素への分析対象システム５０における通信経路の通信制御の有無に対応するルールを抽出する。

図１７を参照して、実施の形態２に係るステップＳ２５の通信制御判定処理を説明する。
（図１７のステップＳ３１：経路特定処理）
通信判定部２７は、接続先情報３２５を参照して、ステップＳ２１で読み出されたレコードのアクセス元から要素名が示す構成要素への通信経路を特定する。
例えば、図１５の脅威抽出結果３２１のＮｏ１のレコードであれば、アクセス元の端末＿０１から構成要素であるサーバ＿０１までの通信経路は、ＮＷ＿０３であると特定される。また、図１５の脅威抽出結果３２１のＮｏ３のレコードであれば、アクセス元の外部から構成要素であるサーバ＿０１までの通信経路は、外部ネットワークとＦＷ＿０１とＮＷ０２とであると特定される。

（図１７のステップＳ３２：制御要素処理）
通信判定部２７は、ステップＳ３１で特定された通信経路上に、通信制御を行う構成要素が存在するか否かを判定する。
通信判定部２７は、通信制御を行う構成要素が存在する場合には、処理をステップＳ３３に進める。一方、通信判定部２７は、通信制御を行う構成要素が存在しない場合には、通信制御可と設定する。
例えば、図１５の脅威抽出結果３２１のＮｏ１のレコードの場合には、通信経路はＮＷ＿０３であるため、通信制御を行う構成要素が存在しないと判定される。したがって、通信制御可と設定される。また、図１５の脅威抽出結果３２１のＮｏ３のレコードの場合には、通信経路は外部ネットワークとＦＷ＿０１とＮＷ０２とであり、ＦＷ＿０１が通信制御をするので、通信制御を行う構成要素が存在すると判定される。したがって、処理がステップＳ３３に進められる。

（図１７のステップＳ３３：制御要素処理）
通信判定部２７は、ステップＳ２１で読み出されたレコードのアクセス元から要素名が示す構成要素へデータを流すことが許可されるか否かを判定する。
通信判定部２７は、データを流すことが許可される場合には、通信制御可と設定する。一方、通信判定部２７は、データを流すことが許可されない場合には、通信制御不可と設定する。
例えば、図１５の脅威抽出結果３２１のＮｏ３のレコードの場合には、ＦＷ＿０１により、アクセス元の外部から構成要素であるサーバ＿０１への方向にはデータを流すことが許可されていない。そのため、通信制御不可と設定される。

（図１７のステップＳ３４：対応ルール抽出処理）
通信判定部２７は、ステップＳ３２からステップＳ３３で設定された通信制御可又は通信制御不可に対応するルールを抽出する。
例えば、図１５の脅威抽出結果３２１のＮｏ１のレコードの場合には、通信制御可と設定されたため、図１６の条件１で通信制御：可となっているルールＮｏ１とルールＮｏ２とが抽出される。また、図１５の脅威抽出結果３２１のＮｏ３のレコードの場合には、通信制御不可と設定されたため、図１６の条件１で通信制御：不可となっているルールＮｏ３が抽出される。

その結果、発生可能性情報３２３として、図１８に示すように、各Ｎｏに対応した発生可能性が特定される。

＊＊＊実施の形態２の効果＊＊＊
以上のように、実施の形態２に係るリスク分析装置１０は、脅威の発生場所となる構成要素へのアクセス元からの通信経路で通信制御がされているか否かに応じて、脅威の発生可能性を特定する。これにより、分析対象システム５０のデータの流れを考慮して脅威の発生可能性を特定することが可能である。

＊＊＊他の構成＊＊＊
＜変形例４＞
実施の形態２では、ステップＳ２２で抽出されたルールに項目として通信制御があることが判定された後に、通信制御の内容を判定した。しかし、脅威抽出結果３２１として抽出された脅威のうち、アクセス元が存在している脅威に対して、通信制御の内容を判定するように処理の流れを変えてもよい。

＜変形例５＞
実施の形態２では、通信制御を行う構成要素が１つであった。通信制御を行う構成要素が複数ある場合には、各構成要素を識別できるように識別情報を付与した通信制御情報を用いればよい。
また、この場合、単に通信経路で通信制御がされているか否かに応じて脅威の発生可能性を特定するのではなく、通信経路でいくつの通信制御がされているかに応じて脅威の発生可能性を特定してもよい。

実施の形態３．
実施の形態３は、脅威の発生場所となる構成要素に対して発生する可能性のある別の脅威の発生可能性に応じて、脅威の発生可能性を特定する点が実施の形態１と異なる。実施の形態３では、この異なる点を説明し、同一の点については説明を省略する。
なお、実施の形態３を実施の形態２と組み合わせることも可能である。

＊＊＊構成の説明＊＊＊
図１９を参照して、実施の形態３に係るリスク分析装置１０の構成を説明する。
リスク分析装置１０は、共通情報記憶部３１が対応情報３１３を記憶する点が、図１に示されたリスク分析装置１０と異なる。

＊＊＊動作の説明＊＊＊
図３と図２０から図２５とを参照して、実施の形態３に係るリスク分析装置１０の動作を説明する。
実施の形態３に係るリスク分析装置１０の動作は、実施の形態３に係るリスク分析方法に相当する。また、実施の形態３に係るリスク分析装置１０の動作は、実施の形態３に係るリスク分析プログラムの処理に相当する。

図３を参照して、実施の形態３に係るリスク分析装置１０の全体的な動作を説明する。
ステップＳ２とステップＳ４の処理は、実施の形態１と同じである。

（図３のステップＳ１：情報取得処理）
情報取得部２１は、通信インタフェース１４を介して、可能性設定情報３１２と対応情報３１３と構成情報３２２とを取得する。情報取得部２１は、可能性設定情報３１２と対応情報３１３とを共通情報記憶部３１に書き込み、構成情報３２２を分析対象記憶部３２に書き込む。

対応情報３１３は、セキュリティ対策と脅威ＩＤとを対応付けた情報である。
図２０に示すように、実施の形態３では、対応情報３１３は、セキュリティ対策の条件項目毎に、脅威ＩＤを示す。

図２１を参照して、実施の形態３に係るステップＳ３の可能性特定処理を説明する。
ステップＳ４１からステップＳ４７の処理は、図７のステップＳ１１からステップＳ１７の処理と同じである。但し、ステップＳ４５では、条件判定部２６は、合致するルールがなかった場合には、処理をステップＳ４８に進める。

（ステップＳ４８：対応情報判定処理）
条件判定部２６は、ステップＳ４２で抽出された各ルールについて、そのルールに含まれる条件項目が対応情報３１３に含まれているか否かを判定する。具体的には、条件判定部２６は、各ルールに含まれる各条件項目をキーワードとして、対応情報３１３を検索して、レコードが抽出されるか否かを判定する。
条件判定部２６は、条件項目が対応情報３１３に含まれている場合には、処理をステップＳ４９に進める。一方、条件判定部２６は、条件項目が対応情報３１３に含まれていない場合には、発生可能性を特定できないので、処理をステップＳ４７に進める。

具体例としては、脅威抽出結果３２１が図２２に示す通りであり、可能性設定情報３１２が図２３に示す通りであり、構成情報３２２が図２４に示す通りであるとする。ステップＳ４１で脅威抽出結果３２１のＮｏ５のレコードが読み出されたとする。
この場合、ステップＳ４２では、脅威ＩＤが１１であるので、図２３のルールＮｏ５０とルールＮｏ５１との２つのルールが抽出される。
ルールＮｏ５０とルールＮｏ５１とには、条件３の条件項目として、アクセス元のマルウェア感染がある。しかし、構成情報３２２には、マルウェア感染という項目がなく、ルールＮｏ５０とルールＮｏ５１とのどちらの条件３にも合致しない。そのため、処理がステップＳ２８に進められる。
条件判定部２６は、条件３の条件項目であるマルウェア感染をキーワードとして、対応情報３１３を検索する。すると、図２０に示すレコードが抽出される。したがって、処理がステップＳ４９に進められる。

（ステップＳ４９：ルール再抽出処理）
条件判定部２６は、共通情報記憶部３１の可能性設定情報３１２から、ステップＳ４８で抽出されたレコードの脅威ＩＤを持ち、かつ、ステップＳ４１で読み出されたレコードが全ての条件に合致するルールを抽出する。
条件判定部２６は、ルールが抽出された場合には、処理をステップＳ５０に進める。一方、条件判定部２６は、ルールが抽出されなかった場合には、処理をステップＳ４７に進める。

上述した例であれば、図２０に示すレコードの脅威ＩＤは３０である。そのため、ルールＮｏ８０とルールＮｏ８１との２つのルールが該当する。図２４に示すように、端末＿０２はマルウェア対策ありのため、ステップＳ４４でルール８０の条件に合致する。その結果、ルール８０が抽出される。

（ステップＳ５０：条件特定処理）
条件判定部２６は、ステップＳ４９で抽出されたルールの発生可能性を読み出す。そして、処理をステップＳ４４に戻して、読み出された発生可能性を用いて、再びステップＳ４２で抽出された各ルールについて、ステップＳ４１で読み出されたレコードが、そのルールの各条件に合致するか否かを判定する。

上述した例であれば、発生可能性として１が読み出される。つまり、マルウェア感染の発生可能性は１となる。この情報に基づき、再びルールＮｏ５０とルールＮｏ５１とについて、各条件に合致するか否かが判定される。すると、図２２のＮｏ５の脅威は、ルールＮｏ５０については、条件１〜３の全てが合致する。
その結果、図２５に示すように、図２２のＮｏ５の脅威の発生可能性は１と特定される。

以上のように、実施の形態３に係るリスク分析装置１０は、脅威の発生場所となる構成要素に対して発生する可能性のある別の脅威の発生可能性に応じて、脅威の発生可能性を特定する。これにより、脅威の発生源となる別の脅威の発生可能性を利用して、脅威の発生可能性を特定することが可能である。

１０ リスク分析装置、１１ プロセッサ、１２ メモリ、１３ ストレージ、１４ 通信インタフェース、１５ 処理回路、２１ 情報取得部、２２ 脅威抽出部、２３ 可能性特定部、２４ リスク値計算部、２５ ルール抽出部、２６ 条件判定部、２７ 通信判定部、３１ 共通情報記憶部、３１１ 脅威データ、３１２ 可能性設定情報、３１３ 対応情報、３２ 分析対象記憶部、３２１ 脅威抽出結果、３２２ 構成情報、３２３ 発生可能性情報、３２４ リスク分析情報、３２５ 接続先情報、３２６ 通信制御情報、５０ 分析対象システム。

Claims (8)

1. 分析対象システムに対する脅威の発生可能性を、前記脅威の発生場所となる構成要素に対して実施されているセキュリティ対策に応じて特定する可能性特定部であって、前記脅威を対象脅威として、前記対象脅威の発生場所となる構成要素に対する別の脅威の発生可能性に応じて、前記対象脅威の発生可能性を特定する可能性特定部と、
   前記可能性特定部によって特定された前記発生可能性から、前記分析対象システムの前記脅威に対するリスクの大きさを示すリスク値を計算するリスク値計算部と
   を備えるリスク分析装置。
2. 前記可能性特定部は、前記脅威の識別子と、前記セキュリティ対策との組合せに応じて、前記発生可能性を特定する
   請求項１に記載のリスク分析装置。
3. 前記可能性特定部は、システムの種別毎に用意された可能性設定情報であって、前記脅威の識別子と、実施されているセキュリティ対策との組合せ毎に、前記発生可能性が定義された可能性設定情報のうち、前記分析対象システムの種別に対応する可能性設定情報を用いて、前記発生可能性を特定する
   請求項２に記載のリスク分析装置。
4. 前記リスク値計算部は、前記発生可能性と、前記発生場所となる構成要素の資産価値とから、前記リスク値を計算する
   請求項１から３までのいずれか１項に記載のリスク分析装置。
5. 前記可能性特定部は、前記発生場所となる構成要素への前記分析対象システムにおける通信経路の通信制御に応じて、前記発生可能性を特定する
   請求項１から４までのいずれか１項に記載のリスク分析装置。
6. 前記可能性特定部は、前記別の脅威の発生場所となる構成要素に対して実施されているセキュリティ対策に応じて、前記別の脅威の前記発生可能性を特定した上で、特定された前記別の脅威の前記発生可能性に応じて、前記対象脅威の発生可能性を特定する
   請求項１から５までのいずれか１項に記載のリスク分析装置。
7. コンピュータが、分析対象システムに対する脅威の発生可能性を、前記脅威の発生場所となる構成要素に対して実施されているセキュリティ対策に応じて特定するとともに、前記脅威を対象脅威として、前記対象脅威の発生場所となる構成要素に対する別の脅威の発生可能性に応じて、前記対象脅威の発生可能性を特定し、
   コンピュータが、特定された前記発生可能性から、前記分析対象システムの前記脅威に対するリスクの大きさを示すリスク値を計算するリスク分析方法。
8. 分析対象システムに対する脅威の発生可能性を、前記脅威の発生場所となる構成要素に対して実施されているセキュリティ対策に応じて特定する可能性特定処理であって、前記脅威を対象脅威として、前記対象脅威の発生場所となる構成要素に対する別の脅威の発生可能性に応じて、前記対象脅威の発生可能性を特定する可能性特定処理と、
   前記可能性特定処理によって特定された前記発生可能性から、前記分析対象システムの前記脅威に対するリスクの大きさを示すリスク値を計算するリスク値計算処理と
   をコンピュータに実行させるリスク分析プログラム。

Images