JP6678798B1 - 処理装置及び処理方法 - Google Patents

Abstract

【課題】公開ソフトウェアを用いるケースにおいて、脆弱性を有する公開ソフトウェアの扱いを適切に判定することを可能とする処理装置及び処理方法を提供する。【解決手段】公開ソフトウェアが有する脆弱性を判定する処理装置１０は、公開ソフトウェアに対して外部からアクセス可能であるか否かを示す第１情報及び公開ソフトウェアが有する脆弱性に対する攻撃コードが流通しているか否かを示す第２情報の少なくともいずれか１つに基づいて、脆弱性の優先度を出力する制御部１３を備える。制御部１３は、外部からアクセス可能である公開ソフトウェアが有する脆弱性に対して、外部からアクセス可能でない公開ソフトウェアが有する脆弱性よりも高い優先度を設定する、或いは、攻撃コードが流通している脆弱性に対して、攻撃コードが流通していない脆弱性よりも高い優先度を設定する。【選択図】図２

Description

本発明は、処理装置及び処理方法に関する。

従来、ソフトウェアが有する複数の脆弱性情報の中から調査対象とすべき脆弱性情報を効果的に選択する技術が提案されている。具体的には、情報処理装置は、インターネットなどのネットワーク上で公開された脆弱性情報を収集し、ソフトウェアに対応する脆弱性情報を特定する。情報処理装置は、攻撃種別、通信プロトコル、ソフトウェアの製品種別など基づいて、特定された脆弱性情報の優先度を決定する（例えば、特許文献１）。

特開２００７−５８５１４号公報

しかしながら、上述した技術は、ＯＳＳ（Ｏｐｅｎ Ｓｏｕｒｃｅ Ｓｏｆｔｗａｒｅ）に代表される公開ソフトウェアについて考慮されておらず、自社で開発したソフトウェアの脆弱性について自社で対策を講じるケースを想定している。従って、上述した技術では、公開ソフトウェアを使わない、公開ソフトウェアをバージョンアップするなどの対策が想定されていない。

このような状況に鑑みて、発明者等は、鋭意検討の結果、公開ソフトウェアを用いるケースでは、上述した技術に開示された優先度の設定方法が必ずしも適切ではないことを見出した。

そこで、本発明は、上述した課題を解決するためになされたものであり、公開ソフトウェアを用いるケースにおいて、脆弱性を有する公開ソフトウェアの扱いを適切に判定することを可能とする処理装置及び処理方法を提供することを目的とする。

第１の特徴は、公開ソフトウェアを含むシステムについて、前記公開ソフトウェアが有する脆弱性を判定する処理装置であって、前記公開ソフトウェアに対して外部からアクセス可能であるか否かを示す第１情報及び前記公開ソフトウェアが有する脆弱性に対する攻撃コードが流通しているか否かを示す第２情報の少なくともいずれか１つに基づいて、前記脆弱性の優先度を出力する制御部を備え、前記制御部は、前記外部からアクセス可能である前記公開ソフトウェアが有する前記脆弱性に対して、前記外部からアクセス可能でない前記公開ソフトウェアが有する前記脆弱性よりも高い優先度を設定する、或いは、前記攻撃コードが流通している前記脆弱性に対して、前記攻撃コードが流通していない前記脆弱性よりも高い優先度を設定する、ことを要旨とする。

第２の特徴は、第１の特徴において、前記処理装置は、前記外部からアクセス可能であるか否かを入力するユーザインタフェースを出力する出力部を備える、ことを要旨とする。

第３の特徴は、第２の特徴において、前記出力部は、前記脆弱性を有する前記公開ソフトウェアを含むシステム単位で、前記外部からアクセス可能であるか否かを入力するユーザインタフェースを出力する、ことを要旨とする。

第４の特徴は、第１の特徴乃至第３の特徴において、前記制御部は、前記第１情報及び第２情報の双方に基づいて、前記脆弱性の優先度を出力する、ことを要旨とする。

第５の特徴は、第４の特徴において、前記制御部は、前記第１情報及び第２情報に加えて、前記脆弱性の種別を示す第３情報に基づいて、前記脆弱性の優先度を出力する、ことを要旨とする。

第６の特徴は、第５の特徴において、前記制御部は、前記第１情報、前記第２情報及び前記第３情報に加えて、前記脆弱性について第三者機関が設定する前記脆弱性のレベルを示す第４情報に基づいて、前記脆弱性の優先度を出力する、ことを要旨とする。

第７の特徴は、第６の特徴において、前記制御部は、前記第４情報に基づいて、前記脆弱性のレベルがレベル条件を満たす脆弱性を特定し、特定された脆弱性を対象として、前記第１情報、前記第２情報及び前記第３情報に基づいて、前記脆弱性の優先度を出力する、ことを要旨とする。

第８の特徴は、第５の特徴乃至第７の特徴において、前記制御部は、前記第２情報に基づいて、前記攻撃コードが流通している脆弱性を特定し、或いは、前記第３情報に基づいて、前記脆弱性の種別が種別条件を満たす脆弱性を特定し、前記制御部は、特定された脆弱性を対象として、前記第１情報に基づいて、前記脆弱性の優先度を出力する、ことを要旨とする。

第９の特徴は、公開ソフトウェアを含むシステムについて、前記公開ソフトウェアが有する脆弱性を判定する処理方法であって、前記公開ソフトウェアに対して外部からアクセス可能であるか否かを示す第１情報及び前記公開ソフトウェアが有する脆弱性に対する攻撃コードが流通しているか否かを示す第２情報の少なくともいずれか１つに基づいて、前記脆弱性の優先度を出力するステップと、前記外部からアクセス可能である前記公開ソフトウェアが有する前記脆弱性に対して、前記外部からアクセス可能でない前記公開ソフトウェアが有する前記脆弱性よりも高い優先度を設定する、或いは、前記攻撃コードが流通している前記脆弱性に対して、前記攻撃コードが流通していない前記脆弱性よりも高い優先度を設定するステップと、を備えることを要旨とする。

本発明によれば、公開ソフトウェアを用いるケースにおいて、脆弱性を有する公開ソフトウェアの扱いを適切に判定することを可能とする処理装置及び処理方法を提供することができる。

図１は、実施形態に係る処理システム１００を示す図である。 図２は、実施形態に係る処理装置１０を示す図である。 図３は、実施形態に係る脆弱性情報を示す図である。 図４は、実施形態に係るユーザインタフェースを示す図である。 図５は、実施形態に係るトリアージレベルについて説明するための図である。 図６は、実施形態に係るユーザ端末２０のディスプレイ２１に表示される表示態様について示す図である。 図７は、実施形態に係る処理方法を示す図である。

以下において、実施形態について図面を参照しながら説明する。なお、以下の図面の記載において、同一又は類似の部分には、同一又は類似の符号を付している。

但し、図面は模式的なものであり、各寸法の比率などは現実のものとは異なる場合があることに留意すべきである。従って、具体的な寸法などは以下の説明を参酌して判断すべきである。また、図面相互間においても互いの寸法の関係又は比率が異なる部分が含まれている場合があることは勿論である。

［開示の概要］
開示の概要に係る処理装置は、公開ソフトウェアを含むシステムについて、前記公開ソフトウェアが有する脆弱性を判定する。前記処理装置は、前記公開ソフトウェアに対して外部からアクセス可能であるか否かを示す第１情報及び前記公開ソフトウェアが有する脆弱性に対する攻撃コードが流通しているか否かを示す第２情報の少なくともいずれか１つに基づいて、前記脆弱性の優先度を出力する制御部を備える。前記制御部は、前記外部からアクセス可能である前記公開ソフトウェアが有する前記脆弱性に対して、前記外部からアクセス可能でない前記公開ソフトウェアが有する前記脆弱性よりも高い優先度を設定する、或いは、前記攻撃コードが流通している前記脆弱性に対して、前記攻撃コードが流通していない前記脆弱性よりも高い優先度を設定する。

開示の概要では、処理装置は、外部からアクセス可能である公開ソフトウェアが有する脆弱性に対して、外部からアクセス可能でない公開ソフトウェアが有する脆弱性よりも高い優先度を設定する。或いは、処理装置は、攻撃コードが流通している脆弱性に対して、攻撃コードが流通していない脆弱性よりも高い優先度を設定する。すなわち、外部からアクセス可能でない公開ソフトウェアが有する脆弱性については、その対策を講じる緊急性が低いため、その影響が大きいとしても、その対策を直ちに講じる必要がないという判定を行うことができる。攻撃コードが流通していない脆弱性についても同様の判定を行うことができる。従って、上述した構成によれば、公開ソフトウェアを使わない、公開ソフトウェアをバージョンアップするなどの対策を想定した場合において、脆弱性を有する公開ソフトウェアの扱いを判定するための指標として、適切な優先度を設定することができる。

ここで、公開ソフトウェアは、ソフトウェアのソースコードが公開され、改良及び再配布が許可されたソフトウェア（以下、ＯＳＳ；Ｏｐｅｎ Ｓｏｕｒｃｅ Ｓｏｆｔｗａｒｅ）であってもよい。公開、改良及び再配布は無償で行われてもよい。優先度は、公開ソフトウェアが有する脆弱性に対する対策を講じるべき優先度（以下、トリアージレベル）であってもよい。トリアージレベルは、公開ソフトウェアが有する脆弱性に対する対策を講じるべき緊急性と考えてもよい。

［実施形態］
（処理システム）
以下において、実施形態に係る処理システムについて説明する。図１は、実施形態に係る処理システム１００を示す図である。

図１に示すように、処理システム１００は、処理装置１０と、ユーザ端末２０と、システムサーバ３０と、脆弱性ＤＢ（Ｄａｔａ Ｂａｓｅ）４０と、を有する。処理装置１０、ユーザ端末２０、システムサーバ３０及び脆弱性ＤＢ４０は、ネットワーク２００によって接続される。特に限定されるものではないが、ネットワーク２００は、インターネット網によって構成されてもよい。ネットワーク２００は、ローカルエリアネットワークを含んでもよく、移動体通信網を含んでもよく、ＶＰＮ（Ｖｉｒｔｕａｌ Ｐｒｉｖａｔｅ Ｎｅｔｗｏｒｋ）を含んでもよい。

処理装置１０は、システムサーバ３０に構築されるＯＳＳを含むシステムについて、ＯＳＳが有する脆弱性を判定する。処理装置１０は、２以上のサーバによって構成されてもよい。処理装置１０の少なくとも一部は、クラウドコンピューティングサービスによって実現されてもよい。処理装置１０の詳細については後述する（図２を参照）。

ユーザ端末２０は、ティスプレイ２１を有しており、脆弱性の判定機能（以下、トリアージ機能）を利用する端末である。ユーザ端末２０は、ＯＳＳを含むシステムを利用する端末であってもよい。例えば、ユーザ端末２０は、パーソナルコンピュータであってもよく、スマートフォンであってもよく、タブレット端末であってもよい。例えば、ディスプレイ２１は、液晶パネルであってもよく、有機ＥＬパネルであってもよい。

システムサーバ３０は、ＯＳＳを含むシステムが構築されるサーバである。システムサーバ３０上に構築されるシステムは、ＯＳＳ以外のソフトウェアを含んでもよい。例えば、ＯＳＳ以外のソフトウェアは、ユーザによって開発されたソフトウェアであってもよい。システムサーバ３０は、２以上のサーバによって構成されてもよい。システムサーバ３０の少なくとも一部は、クラウドコンピューティングサービスによって実現されてもよい。ＯＳＳを含むシステムは、インターネットなどのネットワーク２００を介して外部に公開される公開システムを含んでもよく、インターネットなどのネットワーク２００を介して外部に公開されない非公開システムを含んでもよい。例えば、公開システムは、製品、サービス又は採用情報を外部に公開するためのシステムを含んでもよい。非公開システムは、経理又は財務などの処理に用いるシステムを含んでもよい。

脆弱性ＤＢ４０は、ＯＳＳが有する脆弱性に関する情報（以下、脆弱性情報）を格納するデータベースである。脆弱性ＤＢ４０は、１以上のデータベースを定期的にクローリングすることによって、１以上のデータベースから脆弱性情報を収集するデータベースであってもよい。１以上のデータベースは、ＣＶＥ（Ｃｏｍｍｏｎ Ｖｕｌｎｅｒａｂｉｌｉｔｉｅｓ ａｎｄ Ｅｘｐｏｓｕｒｅｓ）、ＩＣＡＴ（ＩＰＡ Ｃｙｂｅｒ ｓｅｃｕｒｉｔｙ Ａｌｅｒｔ Ｓｅｒｖｉｃｅ） Ｍｅｔａｂａｓｅ、ＮＶＤ（Ｎａｔｉｏｎａｌ Ｖｕｌｎｅｒａｂｉｌｉｔｙ Ｄａｔａｂａｓｅ）、ＪＶＮ（Ｊａｐａｎ Ｖｕｌｎｅｒａｂｉｌｉｔｙ Ｎｏｔｅｓ）、ＪＶＮ ｉＰｅｄｉａ、ＯＳＶＤＢ（Ｏｐｅｎ Ｓｏｕｒｃｅ Ｖｕｌｎｅｒａｂｉｌｉｔｙ Ｄａｔａｂａｓｅ）から選択された１以上のデータベースを含んでもよい。

（処理装置）
以下において、実施形態に係る処理装置について説明する。図２は、実施形態に係る処理装置１０を示す図である。

図２に示すように、処理装置１０は、通信部１１と、管理部１２と、制御部１３と、を有する。

通信部１１は、通信モジュールによって構成される。通信モジュールは、ＩＥＥＥ８０２．１１ａ／ｂ／ｇ／ｎ、ＬＴＥ、５Ｇなどの規格に準拠する無線通信モジュールであってもよく、ＩＥＥＥ８０２．３などの規格に準拠する有線通信モジュールであってもよい。

通信部１１は、ユーザ端末１０と通信を行うことによって、トリアージ機能をユーザ端末１０に提供してもよい。通信部１１は、システムサーバ３０と通信を行うことによって、システムサーバ３０上に構築されるシステムに含まれるソフトウェアの情報を取得してもよい。通信部１１は、脆弱性ＤＢ４０と通信を行うことによって、脆弱性情報を取得してもよい。

例えば、脆弱性情報は、脆弱性について第三者機関が設定する脆弱性のレベルを示す第４情報を含んでもよい。例えば、第４情報は、ＣＶＳＳ（Ｃｏｍｍｏｎ Ｖｕｌｎｅｒａｂｉｌｉｔｙ Ｓｃｏｒｉｎｇ Ｓｙｓｔｅｍ）で定義されるスコア値（例えば、Ｂａｓｅ Ｓｃｏｒｅ）であってもよい。第４情報は、ＣＶＳＳのバージョンを含んでもよい。さらに、脆弱性情報は、ＯＳＳが有する脆弱性に対する攻撃コードが流通している場合には、ＯＳＳが有する脆弱性に対する攻撃コードを含んでもよい。

管理部１２は、不揮発性メモリなどのメモリ又は／及びＨＤＤ（Ｈａｒｄ ｄｉｓｃ ｄｒｉｖｅ）などの記憶媒体によって構成されており、様々な情報を格納する。

管理部１２は、脆弱性ＤＢ４０から取得される脆弱性情報を管理（格納）する。管理部１２によって管理される脆弱性情報は、脆弱性ＤＢ４０から取得される脆弱性情報に基づいて加工された情報であってもよい。加工は、脆弱性の種別を示す第３情報（以下、タイプとも称する）を付加する処理であってもよい。加工は、エンジニアによってマニュアルでタイプを付加する処理であってもよく、テキスト解析などによって自動的にタイプを付加する処理であってもよい。

例えば、管理部１２は、図３に示す情報を管理する。脆弱性は、ＯＳＳが有する脆弱性の識別情報である。ＯＳＳは、システムサーバ３０上に構築されるシステムに含まれるＯＳＳの識別情報（例えば、名称）である。タイプは、上述したように、脆弱性の種別を示す情報である。説明は、脆弱性に関する説明であり、ＣＶＳＳのバージョン及びスコア値を含んでもよい。影響は、脆弱性によって想定される影響であり、脆弱性を引き起こす原因、脆弱性に対する攻撃手法、脆弱性に対する攻撃によって生じる問題を含んでもよい。

制御部１３は、少なくとも１つのプロセッサを含んでもよい。少なくとも１つのプロセッサは、単一の集積回路（ＩＣ）によって構成されてもよく、通信可能に接続された複数の回路（集積回路及び又はディスクリート回路（ｄｉｓｃｒｅｔｅ ｃｉｒｃｕｉｔｓ）など）によって構成されてもよい。

制御部１３は、ＯＳＳに対して外部からアクセス可能であるか否かを示す第１情報及びＯＳＳが有する脆弱性に対する攻撃コードが流通しているか否かを示す第２情報の少なくともいずれか１つに基づいて、脆弱性のトリアージレベルを出力する。

具体的には、制御部１３は、外部からアクセス可能であるＯＳＳが有する脆弱性に対して、外部からアクセス可能でないＯＳＳが有する脆弱性よりも高いトリアージレベルを設定する、或いは、攻撃コードが流通している脆弱性に対して、攻撃コードが流通していない脆弱性よりも高いトリアージレベルを設定する。

ここで、制御部１３は、脆弱性を有するＯＳＳに対して外部からアクセス可能であるか否かを入力するユーザインタフェースを出力する出力部を構成してもよい。制御部１３は、脆弱性を有するＯＳＳを含むシステム単位で、外部からアクセス可能であるか否かを入力するユーザインタフェースを出力してもよい。ユーザインタフェースは、通信部１１からユーザ端末２０に送信される。ユーザインタフェースは、ユーザ端末２０のディスプレイ２１に表示されてもよい。

例えば、ディスプレイ２１に表示されるユーザインタフェースは、図４に示す通りである。図４に示すように、ユーザインタフェースは、ソフトウェアを含むシステムの識別情報（図４では、システムＡ）、システムに含まれるソフトウェアの識別情報（図４では、ＳＳＳ、ＴＴＴ、ＵＵＵ）を含む。さらに、ユーザインタフェースは、外部からアクセス可能であるか否かを入力するチェックボックスを含む。

このようなケースにおいて、Ａシステムの右側に配置されたチェックボックスにチェックが入力さると、システムに含まれる全てのソフトウェアの右側に配置されたチェックボックスに自動的にチェックが入力されてもよい。同様に、Ａシステムの右側に配置されたチェックボックスからチェックが削除さると、システムに含まれる全てのソフトウェアの右側に配置されたチェックボックスから自動的にチェックが削除されてもよい。すなわち、外部からアクセス可能であるか否かをシステム単位で入力可能である。但し、ソフトウェアの右側に配置されたチェックボックスに個別にチェックが入力されてもよい。同様に、ソフトウェアの右側に配置されたチェックボックスから個別にチェックが削除されてもよい。

図４に示す例において、システムは、システムサーバ３０上に構築されるシステムを意味しており、システムに含まれるソフトウェアは、少なくとも１つのＯＳＳを含む。

上述したように、制御部１３は、ユーザインタフェースを用いて入力される情報（チェックボックスに対するチェックの有無）に基づいて第１情報を取得可能である。一方で、制御部１３は、脆弱性情報に攻撃コードが含まれているか否かに基づいて第２情報を取得可能である。

実施形態において、制御部１３は、第１情報及び第２情報の双方に基づいて、脆弱性のトリアージレベルを出力してもよい。制御部１３は、第１情報及び第２情報に加えて、脆弱性の種別を示す第３情報に基づいて、脆弱性のトリアージレベルを出力してもよい。制御部１３は、管理部１２によって管理される脆弱性情報に第３情報が付加されるため、制御部１３は、脆弱性情報に基づいて第３情報を取得可能である。制御部１３は、第１情報、第２情報及び第３情報に加えて、脆弱性について第三者機関が設定する脆弱性のレベルを示す第４情報に基づいて、脆弱性のトリアージレベルを出力してもよい。脆弱性ＤＢ４０から取得する脆弱性情報に第４情報が含まれるため、制御部１３は、脆弱性情報に基づいて第４情報を取得可能である。

このようなケースにおいて、トリアージレベルの出力方法（判定方法）について、図５を参照しながら説明する。図５において、“○”は、各条件が満たされていることを意味し、“−”は、各条件が満たされていないことを意味する。

第１に、制御部１３は、第４情報に基づいて第４条件が満たされる脆弱性を特定し、特定された脆弱性を対象として、第１情報、第２情報及び第３情報に基づいて、脆弱性のトリアージレベルを出力してもよい。第４条件とは、脆弱性のレベルがレベル条件を満たすことである。例えば、第４情報がＣＶＳＳのＢａｓｅ Ｓｃｏｒｅである場合には、第４条件は、Ｂａｓｅ Ｓｃｏｒｅが所定閾値よりも高いことである。制御部１３は、第４条件が満たされない脆弱性については、第１情報、第２情報及び第３情報を用いたトリアージレベルの判定を省略してもよい。ここで、制御部１３は、図５に示すように、第４条件を満たしてない脆弱性については、最も低いトリアージレベル（例えば、レベル４）を出力してもよい。レベル４は、特に対策を講じる必要がないレベルであってもよい。

第２に、制御部１３は、第２情報に基づいて第２条件が満たされる脆弱性を特定し、特定された脆弱性を対象として、第１情報に基づいて、脆弱性のトリアージレベルを出力してもよい。第２条件とは、攻撃コードが流通していることである。制御部１３は、第２条件が満たされない脆弱性については、第１情報を用いたトリアージレベルの判定を省略してもよい。ここで、制御部１３は、図５に示すように、第２条件を満たしてない脆弱性については、２番目に低いトリアージレベル（例えば、レベル３）を出力してもよい。レベル３は、レベル４よりも対策を講じる必要性が高いレベルである。

第３に、制御部１３は、第３情報に基づいて第３条件が満たされる脆弱性を特定し、特定された脆弱性を対象として、第１情報に基づいて、脆弱性のトリアージレベルを出力してもよい。第３条件は、脆弱性の種別が種別条件を満たすことである。種別条件は、管理部１２によって管理される脆弱性情報として上述したタイプが管理されていることであってもよい。或いは、種別条件は、管理部１２によって管理されるタイプが所定タイプであることであってもよい。所定タイプは、脆弱性に対する対策を講じる必要性が相対的に高いタイプである。制御部１３は、第３条件が満たされない脆弱性については、第１情報を用いたトリアージレベルの判定を省略してもよい。ここで、制御部１３は、図５に示すように、第３条件を満たしてない脆弱性については、２番目に低いトリアージレベル（例えば、レベル３）を出力してもよい。レベル３は、レベル４よりも対策を講じる必要性が高いレベルである。

ここで、制御部１３は、第２条件及び第３条件の双方が満たされていない脆弱性について、トリアージレベルとしてレベル３を出力する。しかしながら、実施形態はこれに限定されるものではない。制御部１３は、第２条件及び第３条件のいずれか１つが満たされていない脆弱性について、トリアージレベルとしてレベル３を出力してもよい。同様に、制御部１３は、第２条件及び第３条件の少なくともいずれか１つを満たす脆弱性を対象として、第１情報に基づいて脆弱性のトリアージレベルを出力する。しかしながら、実施形態はこれに限定されるものではない。制御部１３は、第２条件及び第３条件の双方が満たされる脆弱性を対象として、第１情報に基づいて脆弱性のトリアージレベルを出力してもよい。

第４に、制御部１３は、第２条件及び第３条件の少なくともいずれか１つを満たす脆弱性を対象として、第１情報に基づいて第１条件が満たされているか否かを判定してもよい。第１条件は、脆弱性を有するＯＳＳ又は脆弱性を有するＯＳＳを含むシステムに対して外部からアクセス可能である。図５に示すように、制御部１３は、第１条件が満たされる脆弱性について、最も高いトリアージレベル（例えば、レベル１）を出力する。制御部１３は、第１条件を満たさない脆弱性について、２番目に高いトリアージレベル（例えば、レベル２）を出力する。レベル２は、レベル３よりも対策を講じる必要が高いレベルである。レベル１は、レベル２よりも対策を講じる必要が高いレベルである。

（表示態様）
以下において、実施形態に係る表示態様について説明する。図６は、実施形態に係るユーザ端末２０のディスプレイ２１に表示される表示態様について示す図である。図６に示す表示態様は一例に過ぎず、他の表示態様がディスプレイ２１に表示されてもよい。

図６に示すように、ディスプレイ２１は、トリアージ機能として脆弱性の一覧を表示する。ＩＤは、脆弱性に割り振られた識別情報である。トリアージレベルは、脆弱性に対する対策を講じるべき優先度を示す情報である。ステータスは、脆弱性に対する対策を講じたか否かを示す情報である。リポジトリは、システムサーバ３０においてソフトウェアが格納される場所を示す情報である。ソフトウェアは、ソフトウェアの識別情報である。スキャン日時は、脆弱性がスキャンされた日時を示す情報である。

（処理方法）
以下において、実施形態に係る処理方法について説明する。図７は、実施形態に係る処理方法を示す図である。

ステップＳ１０において、処理装置１０は、システムサーバ３０上に構築されたシステムに含まれるＯＳＳをスキャンする。詳細には、処理装置１０は、管理部１２によって管理される脆弱性情報に基づいて、ＯＳＳが有する脆弱性をスキャンする。

ステップＳ１１において、処理装置１０は、ステップＳ１０で見つかった脆弱性を対象として、第４条件が満たされるか否かを判定する。第４条件の詳細は上述した通りである。第４条件が満たされる場合には、ステップＳ１２の処理が行われ、第４条件が満たされない場合には、ステップＳ１８の処理が行われる。

ステップＳ１２において、処理装置１０は、第４条件が満たされる脆弱性を対象として、第３条件が満たされるか否かを判定する。第３条件の詳細は上述した通りである。第３条件が満たされる場合には、ステップＳ１４の処理が行われ、第３条件が満たされない場合には、ステップＳ１３の処理が行われる。

ステップＳ１３において、処理装置１０は、第４条件が満たされる脆弱性を対象として、第２条件が満たされるか否かを判定する。第２条件の詳細は上述した通りである。第２条件が満たされる場合には、ステップＳ１４の処理が行われ、第２条件が満たされない場合には、ステップＳ１７の処理が行われる。

ステップＳ１４において、処理装置１０は、第２条件及び第３条件のいずれか１つが満たされる脆弱性を対象として、第１条件が満たされるか否かを判定する。第１条件の詳細は上述した通りである。第１条件が満たされる場合には、ステップＳ１５の処理が行われ、第１条件が満たされない場合には、ステップＳ１６の処理が行われる。

ステップＳ１５において、処理装置１０は、脆弱性のトリアージレベルがレベル１であると判定する。レベル１の詳細は上述した通りである。

ステップＳ１６において、処理装置１０は、脆弱性のトリアージレベルがレベル２であると判定する。レベル２の詳細は上述した通りである。

ステップＳ１７において、処理装置１０は、脆弱性のトリアージレベルがレベル３であると判定する。レベル３の詳細は上述した通りである。

ステップＳ１８において、処理装置１０は、脆弱性のトリアージレベルがレベル４であると判定する。レベル４の詳細は上述した通りである。

なお、ステップＳ１１〜ステップＳ１８の処理は、ステップＳ１０で見つかった脆弱性の全てに対して個別に行われる。また、ステップＳ１２及びステップＳ１３の順序が入れ替えられてもよい。

（作用及び効果）
実施形態では、処理装置１０は、外部からアクセス可能であるＯＳＳが有する脆弱性に対して、外部からアクセス可能でないＯＳＳが有する脆弱性よりも高いトリアージレベルを設定する。或いは、処理装置１０は、攻撃コードが流通している脆弱性に対して、攻撃コードが流通していない脆弱性よりも高いトリアージレベルを設定する。すなわち、外部からアクセス可能でないＯＳＳが有する脆弱性については、その対策を講じる緊急性が低いため、その影響が大きいとしても、その対策を直ちに講じる必要がないという判定を行うことができる。攻撃コードが流通していない脆弱性についても同様の判定を行うことができる。従って、上述した構成によれば、ＯＳＳを使わない、ＯＳＳをバージョンアップするなどの対策を想定した場合において、脆弱性を有するＯＳＳの扱いを判定するための指標として、適切なトリアージレベルを設定することができる。

実施形態では、処理装置１０は、脆弱性を有するＯＳＳに対して外部からアクセス可能であるか否かを入力するユーザインタフェースを出力してもよい。このような構成によれば、処理装置１０が簡易な構成で第１情報を取得することができる。さらに、ユーザインタフェースは、脆弱性を有するＯＳＳを含むシステム単位で、外部からアクセス可能であるか否かを入力するユーザインタフェースであってもよい。このような構成によれば、ユーザの入力の煩雑さを抑制することができる。

実施形態では、処理装置１０は、第４情報に基づいて第４条件が満たされる脆弱性を特定し、特定された脆弱性を対象として、第１情報、第２情報及び第３情報に基づいて、脆弱性のトリアージレベルを出力してもよい。このような構成によれば、第４条件が満たされていない脆弱性について、第１情報、第２情報及び第３情報を用いた判定を省略することができ、処理装置１０の処理負荷を軽減することができる。

実施形態では、処理装置１０は、第２条件及び第３条件の少なくともいずれか１つを満たす脆弱性を対象として、第１情報に基づいて第１条件が満たされているか否かを判定してもよい。このような構成によれば、第２条件及び第３条件の双方が満たされない脆弱性について、第１情報を用いた判定を省略することができ、処理装置１０の処理負荷を軽減することができる。

［その他の実施形態］
本発明は上述した実施形態によって説明したが、この開示の一部をなす論述及び図面は、この発明を限定するものであると理解すべきではない。この開示から当業者には様々な代替実施形態、実施例及び運用技術が明らかとなろう。

実施形態では、トリアージレベルのレベル数が４つであるケースを例示した。しかしながら、実施形態はこれに限定されるものではない。トリアージレベルのレベル数は５つ以上であってもよく、トリアージレベルのレベル数は３つ以下であってもよい。

実施形態では、第２条件及び第３条件の重要度が同程度であるケースを例示した。しかしながら、実施形態はこれに限定されるものではない。第２条件の重要度が第３条件の重要度よりも高くてもよい。このようなケースでは、第２条件が満たされる脆弱性のトリアージレベルは、第３条件が満たされるトリアージレベルよりも高くてもよい。同様に、第３条件の重要度が第２条件の重要度よりも高くてもよい。このようなケースでは、第３条件が満たされる脆弱性のトリアージレベルは、第２条件が満たされるトリアージレベルよりも高くてもよい。

実施形態では、脆弱性を有するＯＳＳに対して外部からアクセス可能であるか否かを入力するユーザインタフェースが出力されるケースを例示した。しかしながら、実施形態は、これに限定されるものではない。処理装置１０は、システムサーバ３０上に構築されるシステムの学習（例えば、深層学習）によって、ＯＳＳに対して外部からアクセス可能であるか否かを自動的に判定してもよい。さらには、ユーザインタフェースは、自動的に判定された結果を初期値として含んでもよい。

実施形態では、処理装置１０が１つの装置であるケースを例示した。しかしながら、実施形態はこれに限定されるものではない。処理装置１０が有する機能は、２以上のエンティティによって実現されてもよい。２以上のエンティティは、クラウドコンピューティングサービスを提供するエンティティを含んでもよい。また、管理部１２は、処理装置１０とは別に設けられるクラウド上のデータベースであってもよい。

実施形態では特に触れていないが、処理装置１０が行う各処理をコンピュータに実行させるプログラムが提供されてもよい。また、プログラムは、コンピュータ読取り可能媒体に記録されていてもよい。コンピュータ読取り可能媒体を用いれば、コンピュータにプログラムをインストールすることが可能である。ここで、プログラムが記録されたコンピュータ読取り可能媒体は、非一過性の記録媒体であってもよい。非一過性の記録媒体は、特に限定されるものではないが、例えば、ＣＤ−ＲＯＭやＤＶＤ−ＲＯＭ等の記録媒体であってもよい。

或いは、処理装置１０が行う各処理を実行するためのプログラムを記憶するメモリ及びメモリに記憶されたプログラムを実行するプロセッサによって構成されるチップが提供されてもよい。

１０…処理装置、１１…通信部、１２…管理部、１３…制御部、２０…ユーザ端末、２１…ディスプレイ、３０…システムサーバ、４０…脆弱性ＤＢ、１００…処理システム

Claims (7)

1. 公開ソフトウェアを含むシステムについて、前記公開ソフトウェアが有する脆弱性を判定する処理装置であって、
   前記公開ソフトウェアに対して外部からアクセス可能であるか否かを示す第１情報及び前記脆弱性について第三者機関が設定する前記脆弱性のレベルを示す第４情報に基づいて、前記脆弱性の優先度を出力する制御部を備え、
   前記制御部は、前記第４情報に基づいて前記脆弱性のレベルがレベル条件を満たす脆弱性を特定し、前記第４情報に基づいて特定された脆弱性を対象として、前記第１情報に基づいて前記前記脆弱性の優先度を出力し、
   前記制御部は、前記外部からアクセス可能である前記公開ソフトウェアが有する前記脆弱性に対して、前記外部からアクセス可能でない前記公開ソフトウェアが有する前記脆弱性よりも高い優先度を設定する、処理装置。
2. 前記第１情報を入力するためのユーザインタフェースを出力する出力部を備える、請求項１に記載の処理装置。
3. 前記出力部は、前記脆弱性を有する前記公開ソフトウェアを含むシステム単位で、前記ユーザインタフェースを出力する、請求項２に記載の処理装置。
4. 前記制御部は、前記公開ソフトウェアが有する脆弱性に対する攻撃コードが流通しているか否かを示す第２情報に基づいて前記脆弱性の優先度を出力し、
   前記制御部は、前記第４情報に基づいて特定された脆弱性を対象として、前記第１情報及び前記第２情報に基づいて前記前記脆弱性の優先度を出力する、請求項１乃至請求項３のいずれか１項に記載の処理装置。
5. 前記公開ソフトウェアが有する脆弱性に関する脆弱性情報を格納するデータベースから前記脆弱性情報を受信する受信部を備え、
   前記制御部は、前記第４情報に基づいて特定された脆弱性を対象として、前記第１情報及び第２情報に加えて、前記脆弱性の種別を示す第３情報に基づいて、前記脆弱性の優先度を出力し、
   前記脆弱性の種別は、前記データベースから受信する前記脆弱性情報の加工によって得られ、前記脆弱性に対する対策を講じる必要性を示す種別である、請求項４に記載の処理装置。
6. 前記制御部は、前記第４情報に基づいて特定された脆弱性を対象として、前記第２情報に基づいて前記攻撃コードが流通している脆弱性を特定し、或いは、前記第３情報に基づいて前記脆弱性の種別が種別条件を満たす脆弱性を特定し、
   前記制御部は、前記第２情報又は前記第３情報に基づいて特定された脆弱性を対象として、前記第１情報に基づいて前記脆弱性の優先度を出力する、請求項５に記載の処理装置。
7. 公開ソフトウェアを含むシステムについて、前記公開ソフトウェアが有する脆弱性を判定する処理方法であって、
   前記脆弱性を判定する処理装置が、前記公開ソフトウェアに対して外部からアクセス可能であるか否かを示す第１情報及び前記脆弱性について第三者機関が設定する前記脆弱性のレベルを示す第４情報に基づいて、前記脆弱性の優先度を出力するステップＡを備え、
   前記ステップＡは、前記第４情報に基づいて前記脆弱性のレベルがレベル条件を満たす脆弱性を特定し、前記第４情報に基づいて特定された脆弱性を対象として、前記第１情報に基づいて前記前記脆弱性の優先度を出力するステップを含み、
   前記ステップＡは、前記外部からアクセス可能である前記公開ソフトウェアが有する前記脆弱性に対して、前記外部からアクセス可能でない前記公開ソフトウェアが有する前記脆弱性よりも高い優先度を設定するステップを含む、処理方法。

Images