JP6885255B2 - フロー生成プログラム、フロー生成装置及びフロー生成方法 - Google Patents

Description

本発明は、複数の処理のフローの定義情報を生成するフロー生成プログラム等に関する。

従来、情報システムの安定運用のため、システムに対する攻撃の予兆を検知して、実際の攻撃が開始される前に対策を施すことが行われている（例えば、特許文献１）。

特開２００２−２５１３７４号公報

しかし、定義にしたがい複数の処理を順に実行するフローの実行については、考慮していない。１つの側面では、セキュリティ脅威に対応したフローの定義情報を生成するフロー生成プログラム等の提供を目的とする。

本願に開示するフロー生成プログラムは、システムが晒されたセキュリティ脅威の種別情報を取得し、製品とセキュリティ脅威の種別情報との対応関係を示す情報を記憶する記憶部を参照して、前記取得した種別情報に対応付けられた製品を特定し、前記システムに含まれる複数の情報処理装置の構成情報を記憶する記憶部を参照して、前記特定した製品を構成として含む情報処理装置を特定し、前記複数の情報処理装置により実行される複数の処理のフローの定義情報を記憶する記憶部を参照して、前記特定した情報処理装置により実行される処理が含まれるフローの定義情報を取得し、前記取得した定義情報に基づき、前記取得した定義情報に含まれる処理のうち、前記特定した情報処理装置により実行される処理以外の処理を含み、かつ、前記特定した情報処理装置により実行される処理を含まないフローの定義情報を作成する処理をコンピュータに実行させることを特徴とする。

一観点によれば、セキュリティに関するリスクを低減することが可能となる。

情報システムの構成例を示すブロック図である。 運用自動化サーバのハードウェア構成例を示すブロック図である。 端末のハードウェア構成例を示すブロック図である。 アラート対照ＤＢの例を示す説明図である。 構成管理ＤＢの例を示す説明図である。 アラート管理ＤＢの例を示す説明図である。 アラート状況管理ＤＢの例を示す説明図である。 フロー実行状況ＤＢの例を示す説明図である。 アクティビティＤＢの例を示す説明図である。 フロー管理ＤＢの例を示す説明図である。 フロー定義ＤＢの例を示す説明図である。 停止フローＤＢの例を示す説明図である。 臨時アクティビティＤＢの例を示す説明図である。 種別判定ＤＢの例を示す説明図である。 アラート受信処理の手順例を示すフローチャートである。 アラート解析処理の手順例を示すフローチャートである。 フロー捜査処理の手順例を示すフローチャートである。 臨時フロー生成処理の手順例を示すフローチャートである。 臨時フロー生成処理の手順例を示すフローチャートである。 対象フローの一例を示す説明図である。 臨時フロー及び解除後フローの一例を示す説明図である。 臨時フロー及び解除後フローの一例を示す説明図である。 アラート解除後処理の手順例を示すフローチャートである。 フロー開始処理の手順例を示すフローチャートである。 臨時フローフラグ設定・更新処理の手順例を示すフローチャートである。 運用自動化サーバの機能構成例を示すブロック図である。

以下実施の形態を、図面を参照して説明する。

まず、以下の説明で用いる用語について説明する。「フロー」とは、順を追って行う複数の作業について、作業の内容と実行順とを対応付けたものをいう。「アクティビティ」とは、フローを構成する個々の作業をいう。「フロー定義」とは、実際に行う複数の作業をフローとして記述したものをいう。「セキュリティ脅威」とは、コンピュータの安全動作を脅かす事象をいう。安全動作を脅かす事象とは、例えば、コンピュータの不正操作を可能とするソフトウェアのセキュリティ脆弱性及び、当該セキュリティ脆弱性が発見されたことをいう。「アラート」とはセキュリティ脅威が発見された旨の通知をいう。「アラート対象」とは、セキュリティ脅威が発見されたことにより、運用の停止が必要となることをいう。アラート対象のサーバとは、セキュリティ脅威が発見されたことにより、運用停止の対象となるサーバをいう。アラート対象のフローとは、セキュリティ脅威が発見されたことにより、実行の停止又は禁止がされるフローをいう。

「運用」とは、いわゆる「運用管理・保守」を行うことをいう。ここでは、特にサーバコンピュータ、並びにサーバコンピュータ及びネットワークを含む情報システムが、安全性と安定性を守り、稼働を止めることなく動作するために行う作業をいう。

「運用フロー」とは、「運用」における作業をフローとして定義したものをいう。「自動化フロー」又は「自動運用フロー」とは、「運用フロー」の中で、人手を必要とすることなく実行できるものをいう。「臨時フロー」とは、自動化フローに含まれるアクティビティの中から、アラート状態であっても実行すべきアクティビティを抜き出して生成した自動化フローをいう。「解除後フロー」とは、自動化フローに含まれるアクティビティの中から、臨時フローに含まれないアクティビティを抜き出して生成した自動化フローをいう。

図１は情報システム１０の構成例を示すブロック図である。情報システム１０は運用自動化サーバ（フロー生成装置）１、セキュリティ脅威検知サーバ２、業務サーバ（情報処理装置）３、端末４を含む。各装置はネットワークＮにより、互いに通信可能に接続されている。運用自動化サーバ１は自動化フローの定義を記憶し、実行する。セキュリティ脅威検知サーバ２はセキュリティ脅威を検知する。業務サーバ３は情報システム１０のユーザに対して、業務に関するサービスを提供する。業務サーバ３が運用の対象となるコンピュータである。端末４は主に運用担当者が使用する。運用担当者は端末４に自動化フローの動作状況などを表示させる。運用担当者は必要に応じ、端末４を介して運用自動化サーバ１の制御を行う。

図２は運用自動化サーバ１のハードウェア構成例を示すブロック図である。運用自動化サーバ１はＣＰＵ（Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）１１、ＲＯＭ（Ｒｅａｄ Ｏｎｌｙ Ｍｅｍｏｒｙ）１２、ＲＡＭ（Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）１３、大容量記憶部１４、通信部１５及び読み取り部１６を含む。各構成はバスＢで接続されている。

ＣＰＵ１１はＲＯＭ１２に記憶された制御プログラム（フロー生成プログラム）１Ｐにしたがい、ハードウェア各部を制御する。ＲＡＭ１３は例えばＳＲＡＭ（Ｓｔａｔｉｃ ＲＡＭ）、ＤＲＡＭ（Ｄｙｎａｍｉｃ ＲＡＭ）又はフラッシュメモリである。ＲＡＭ１３はＣＰＵ１１によるプログラムの実行時に発生するデータを一時的に記憶する。

大容量記憶部１４は、例えばハードディスク又はＳＳＤ（Ｓｏｌｉｄ Ｓｔａｔｅ Ｄｒｉｖｅ）などである。大容量記憶部１４は各種データを記憶する。制御プログラム１Ｐを大容量記憶部１４に記憶してもよい。通信部１５はネットワークＮを介して、セキュリティ脅威検知サーバ２、業務サーバ３、及び端末４や他のコンピュータと通信を行う。読み取り部１６はＣＤ（Ｃｏｍｐａｃｔ Ｄｉｓｃ）−ＲＯＭ及びＤＶＤ（Ｄｉｇｉｔａｌ Ｖｅｒｓａｔｉｌｅ Ｄｉｓｃ）−ＲＯＭを含む可搬型記憶媒体１ａを読み取る。ＣＰＵ１１が読み取り部１６を介して、制御プログラム１Ｐを可搬型記憶媒体１ａより読み取り、大容量記憶部１４に記憶してもよい。また、ネットワークＮ等を介して他のコンピュータからＣＰＵ１１が制御プログラム１Ｐをダウンロードし、大容量記憶部１４に記憶してもよい。さらにまた、半導体メモリ１ｂから、ＣＰＵ１１が制御プログラム１Ｐを読み込んでもよい。

図３は端末４のハードウェア構成例を示すブロック図である。端末４はＣＰＵ４１、ＲＯＭ４２、ＲＡＭ４３、大容量記憶部４４、表示部４５、入力部４６、通信部４７及び読み取り部４８を含む。各構成はバスＢで接続されている。

ＣＰＵ４１はＲＯＭ４２に記憶された制御プログラム４Ｐにしたがい、ハードウェア各部を制御する。ＲＡＭ４３は例えばＳＲＡＭ、ＤＲＡＭ又はフラッシュメモリである。ＲＡＭ４３はＣＰＵ４１によるプログラムの実行時に発生するデータを一時的に記憶する。大容量記憶部４４は、例えばハードディスク又はＳＳＤなどである。大容量記憶部４４は各種データを記憶する。制御プログラム４Ｐを大容量記憶部４４に記憶してもよい。表示部４５は例えば液晶表示パネルなどの画像表示デバイスを含む。

表示部４５は運用自動化サーバ１が送信した自動化フローの動作状況など各種情報を表示する。入力部４６はキーボードやマウスを介して、ユーザが入力した運用自動化サーバ１への制御コマンドを受け付ける。また、タッチパネルディスプレイのように、表示部４５及び入力部４６を一体してもよい。

通信部４７はネットワークＮを介して、運用自動化サーバ１や他のコンピュータと通信を行う。読み取り部４８はＣＤ−ＲＯＭ及びＤＶＤ−ＲＯＭを含む可搬型記憶媒体４ａを読み取る。ＣＰＵ４１が読み取り部４８を介して、制御プログラム４Ｐを可搬型記憶媒体４ａより読み取り、大容量記憶部４４に記憶してもよい。また、ネットワークＮ等を介して他のコンピュータからＣＰＵ４１が制御プログラム４Ｐをダウンロードし、大容量記憶部４４に記憶してもよい。さらにまた、半導体メモリ４ｂから、ＣＰＵ４１が制御プログラム４Ｐを読み込んでもよい。

次に運用自動化サーバ１の大容量記憶部１４が記憶しているデータベース（ＤＢ：ＤａｔａＢａｓｅ）について説明する。図４はアラート対照ＤＢ（記憶部）１４１の例を示す説明図である。アラート対照ＤＢ１４１は、セキュリティ脅威検知サーバ２から送信されたアラートを解析する際に用いられる。アラートとは、セキュリティ脅威検知サーバ２が検知したセキュリティの脅威に関する通知である。アラート対照ＤＢ１４１はアラート種別（種別情報）と、製品、ＯＳＳ（Ｏｐｅｎ Ｓｏｕｒｃｅ Ｓｏｆｔａｗａｒｅ）、通信ポート・プロトコルとを対応付けて記憶する。アラート対照ＤＢ１４１はアラート種別列、シグネチャパターン／ルール列、通信ポート・プロトコル列、及び製品・ＯＳＳ列を含む。アラート種別列はアラートの種別を記憶する。種別は、例えば、Ｉｎｆｏｒｍａｔｉｏｎ（情報）、Ｗａｒｉｎｉｎｇ（警告）、Ａｖｅｒａｇｅ（要注意）などである。シグネチャパターン／ルール列は、アラートに関するシグネチャパターン／ルールを記憶する。シグネチャパターンとはマルウェアや不正アクセスといった攻撃（セキュリティ脅威）の特徴的なパターンをいう。シグネチャルールとはシグネチャパターンを用いて、セキュリティ脅威を判定するためのルールをいう。通信ポート・プロトコル列はアラートに対応する通信ポート・プロトコルを記憶する。例えば、８０／ＴＣＰなどである。製品・ＯＳＳ列はアラートに対応するソフトウェアの製品名やＯＳＳの名称を記憶する。

図５は構成管理ＤＢ（記憶部）１４２の例を示す説明図である。構成管理ＤＢ１４２は業務サーバ３のハードウェア構成及びソフトウェア構成などの構成情報を記憶する。構成管理ＤＢ１４２はホスト名列、ＯＳ（Ｏｐｅｒａｔｉｎｇ Ｓｙｓｔｅｍ）列、インストール済みソフト列、及び通信手段列を含む。ホスト名列は業務サーバ３のホスト名を記憶する。ホスト名は業務サーバ３を一意に特定できるデータである。ＯＳ列は業務サーバ３にインストールされているＯＳの情報（ＯＳ名、バージョン、パッチレベルなど）をインストール済みソフト列は業務サーバ３にインストールされているソフトウェア製品やＯＳＳの情報（名称、バージョン、エディションなど）を記憶する。通信手段列は業務サーバ３が用いている通信手段に関する情報（通信規格名、プロトコル名、使用ポート番号など）を記憶する。

図６はアラート管理ＤＢ１４３の例を示す説明図である。アラート管理ＤＢ１４３はセキュリティ脅威検知サーバ２から送信されたアラートの対象となる業務サーバ３の情報を記憶する。アラート管理ＤＢ１４３はアラートＩＤ列、受信アラート列、対象サーバ列、及び状態列を含む。アラートＩＤ列はアラートを一意に特定可能なＩＤであるアラートＩＤを記憶する。アラートＩＤはセキュリティ脅威検知サーバ２により発行される。受信アラート列はセキュリティ脅威検知サーバ２より送信されたアラートの内容を記憶する。受信アラート列は種別列及びシグネチャパターン／ルール列を含む。種別列はアラートの種別を記憶する。シグネチャパターン／ルール列は、アラートに関するシグネチャパターン／ルールを記憶する。対象サーバ列はアラートの対象となっている業務サーバ３のホスト名を記憶する。状態列はアラートの状態を記憶する。アラートの状態は例えばアラート状態、アラート状態である。アラート状態は対象サーバによるサービスを停止するなど、アラートに対する対応が必要な状態を示す。非アラート状態はアラートに対する恒久的な対策が完了したなどの理由により、対象サーバによるサービスを再開可能な状態等を示す。

図７はアラート状況管理ＤＢ１４４の例を示す説明図である。アラート状況管理ＤＢ１４４はアラートの対象サーバを対象となった製品・ＯＳＳと共に記憶する。アラート状況管理ＤＢ１４４はアラートＩＤ列、対象サーバ列、製品・ＯＳＳ列、及び状態列を含む。アラートＩＤ列はアラートＩＤを記憶する。対象サーバ列はアラート対象の業務サーバ３のホスト名を記憶する。製品・ＯＳＳ列はアラート対象の製品名、ＯＳＳの名称などを記憶する。状態列はアラートの状態を記憶する。

図８はフロー実行状況ＤＢ１４５の例を示す説明図である。フロー実行状況ＤＢ１４５は実行中の自動化フローを記憶する。フロー実行状況ＤＢ１４５はフローＩＤ列、及び実行ポイント列を含む。フローＩＤ列は自動化フローを一意に特定可能なＩＤであるフローＩＤを記憶する。実行ポイント列は実行中のアクティビティを記憶する。

図９はアクティビティＤＢ１４６の例を示す説明図である。アクティビティＤＢ１４６は自動化フローを構成するアクティビティ（フローの定義情報）を記憶する。アクティビティＤＢ１４６はフローＩＤ列、アクティビティ列、接続先列、通信手段列、及び運用操作列を含む。フローＩＤ列は自動化フローを一意に特定可能なＩＤであるフローＩＤを記憶する。アクティビティ列はアクティビティ名を記憶する。アクティビティ名は同一の自動化フローにおいてはユニークな値である。図９に示すアクティビティ名は３桁の数字を含む。この３桁の数字はアクティビティの実行順を示す。実行順をアクティビティ名に含めず、実行順を記憶する列を設けてもよい。接続先列はアクティビティを実行する際に運用自動化サーバ１が接続する業務サーバ３のホスト名を記憶する。通信手段列は運用自動化サーバ１が業務サーバ３に接続する際に用いる通信手段を記憶する。運用操作列は接続先列で特定された業務サーバ３に対して、運用自動化サーバ１が行う操作内容を記憶する。

図１０はフロー管理ＤＢ１４７の例を示す説明図である。フロー管理ＤＢ１４７はアラートにより実行が制限されている自動化フローに関する情報を記憶する。フロー管理ＤＢ１４７はアラートＩＤ列、フローＩＤ列、対象サーバ列、臨時フローＩＤ列、再開ポイント列、及び状態列を含む。アラートＩＤ列はアラートＩＤを記憶する。フローＩＤ列は実行が制限されている自動化フローのフローＩＤを記憶する。対象サーバ列はアラートの対象となっている業務サーバ３のホスト名を記憶する。臨時フローＩＤ列は自動化フローが制限されたことに伴い生成された臨時フローや解除後フローのフローＩＤを記憶する。再開ポイント列は臨時フローや解除後フローに関して、実行を開始するアクティビティを記憶する。状態列は臨時フローや解除後フローの状態を記憶する。実行中は臨時フローや解除後フローが実行中であることを示す。実行不可は臨時フローや解除後フローの実行が禁止されていることを示す。

図１１はフロー定義ＤＢ１４８の例を示す説明図である。フロー定義ＤＢ１４８はフローの属性を記憶する。フロー定義ＤＢ１４８はフローＩＤ列、フロー名列、及び臨時フローフラグ列を含む。フローＩＤ列はフローを一意に特定可能なフローＩＤを記憶する。フロー名列はフローの名称を記憶する。臨時フローフラグ列は、フローがアラート対象となった場合、臨時フローの作成が必要となる可能性が有るか否かを示す。例えば、臨時フローフラグの値がＯＮは、臨時フローの作成が必要となる可能性が有ることを示す。臨時フローフラグの値がＯＦＦは、臨時フローの作成が必要となる可能性が無いことを示す。

図１２は停止フローＤＢ１４９の例を示す説明図である。停止フローＤＢ１４９はアラートにより実行が停止されているフローの情報を記憶する。停止フローＤＢ１４９はアラートＩＤ列、フローＩＤ列、対象サーバ列、及び停止ポイント列を含む。アラートＩＤ列はアラートを一意に特定可能なアラートＩＤを記憶する。フローＩＤ列はフローを一意に特定可能なフローＩＤを記憶する。対象サーバ列はフローを実行するサーバであって、アラート対象のサーバのホスト名を記憶する。停止ポイント列はフローが停止しているポイントを記憶する。停止ポイント列はフローに含まれるアクティビティの名称を記憶する。停止ポイント列が記憶するアクティビティは未実行、又は実行を停止し、実質、実行していないに等しいアクティビティである。

図１３は臨時アクティビティＤＢ１５０の例を示す説明図である。臨時アクティビティＤＢ１５０は臨時フロー及び解除後フローに含まれるアクティビティを記憶する。臨時アクティビティＤＢ１５０はフローＩＤ列、アクティビティ列、接続先列、通信手段列、及び運用操作列を含む。フローＩＤ列は臨時フロー又は解除後フローのフローＩＤを記憶する。図１３に示す例では、「ｅｘｔ」から始まるフローＩＤは臨時フローのフローＩＤを示す。「ｒｅｓｔａｒｔ」から始まるフローＩＤは解除後フローのフローＩＤを示す。アクティビティ列はフローに含まれるアクティビティの名称を記憶する。接続先列はアクティビティの実行の際、運用自動化サーバ１が接続する業務サーバ３のホスト名を記憶する。通信手段列は、運用自動化サーバ１が業務サーバ３に接続する際に用いる通信手段を記憶する。運用操作列は、運用自動化サーバ１が業務サーバ３に対して行う操作の内容を記憶する。

図１４は種別判定ＤＢ１５１の例を示す説明図である。種別判定ＤＢ１５１はアクティビティに含まれる運用操作の種別を記憶する。種別判定ＤＢ１５１は種別列及び運用操作列を含む。種別列は運用操作の種別を記憶する。運用操作列は種別に対応する運用操作を記憶する。

次に、運用自動化サーバ１が実行する情報処理について説明する。図１５はアラート受信処理の手順例を示すフローチャートである。アラート受信処理は運用自動化サーバ１が、セキュリティ脅威検知サーバ２よりアラートを受信したことを契機に行う処理である。運用自動化サーバ１のＣＰＵ１１はアラートを取得する（ステップＳ１）。ＣＰＵ１１はアラート解析を行う（ステップＳ２）。ＣＰＵ１１は対象サーバが有るか否かを判定する（ステップＳ３）。ＣＰＵ１１は対象サーバが無いと判定した場合（ステップＳ３でＮＯ）、アラート受信処理を終了する。ＣＰＵ１１は対象サーバが有ると判定した場合（ステップＳ３でＹＥＳ）、フロー捜査処理を行う（ステップＳ４）。ＣＰＵ１１はフロー管理ＤＢ１４７よりフロー管理情報を取得する（ステップＳ５）。ここで、取得対象になるのは、臨時フロー列が空白又はＮＵＬＬで、状態列が実行不可のものである。フロー管理情報をフロー管理情報はフロー捜査処理で得たものである。ＣＰＵ１１は臨時フローを生成するかを判定する（ステップＳ６）。具体的には、状態列の値が実行中であり、フローＩＤ列の値をフローＩＤとするフローが臨時フロー作成対象で有るか否かを判定する。臨時フロー作成対象で有るか否かは、フロー定義ＤＢ１４８における該当レコード（フローＩＤが一致するレコード）の臨時フローフラグ列の値で判定する。ＣＰＵ１１は臨時フローを生成しないと判定した場合（ステップＳ６でＮＯ）、処理をステップＳ９へ進める。ＣＰＵ１１は臨時フローを生成すると判定した場合（ステップＳ６でＹＥＳ）、臨時フロー生成処理を行う（ステップＳ７）。ＣＰＵ１１は生成した臨時フローを実行する（ステップＳ８）。ＣＰＵ１１はフロー管理ＤＢ１４７に未処理のフロー管理情報が有るか否かを判定する（ステップＳ９）。ＣＰＵ１１は未処理のフロー管理情報が有ると判定した場合（ステップＳ９でＹＥＳ）、処理をステップＳ５に戻し、未処理のフロー管理情報に対する処理を行う。ＣＰＵ１１は未処理のフロー管理情報が無いと判定した場合（ステップＳ９でＮＯ）、アラート受信処理を終了する。

図１６はアラート解析処理の手順例を示すフローチャートである。アラート解析処理は図１５のステップＳ２で実行される処理である。アラート解析処理はセキュリティ脅威検知サーバ２より受信したアラートの内容を、運用自動化サーバ１が解析する処理である。当該アラートはアラート種別、シグネチャパターン、及びシグネチャルールなどを含む。運用自動化サーバ１のＣＰＵ１１はアラートの対象となる製品又はＯＳＳを取得する（ステップＳ３１）。ＣＰＵ１１はアラートに含まれるアラート種別、シグネチャパターン、及びシグネチャルールを検索キーに、アラート対照ＤＢ１４１を検索し、対象となる製品又はＯＳＳを取得する。ＣＰＵ１１は対象サーバの検索を行う（ステップＳ３２）。ＣＰＵ１１はステップＳ３１で取得した製品又はＯＳＳを検索キーに、構成管理ＤＢ１４２を検索する。ＣＰＵ１１は対象サーバが有るか否か判定する（ステップＳ３３）。ＣＰＵ１１は対象サーバが有ると判定した場合（ステップＳ３３でＹＥＳ）、アラート管理情報をアラート管理ＤＢ１４３に記憶する（ステップＳ３４）。記憶するのは、アラートＩＤ、アラート種別、シグネチャパターン、シグネチャルール、検索で得た対象サーバのホスト名、及び状態である。状態は「アラート状態」とする。アラートＩＤは一意となるように、ＣＰＵ１１により生成される。以降のアラート受信処理が終了するまで、アラートＩＤの値は、ここで生成したものが使いまわしされる。ＣＰＵ１１はアラート状況情報をアラート状況管理ＤＢ１４４に記憶する（ステップＳ３５）。記憶するのは、アラートＩＤ、検索で得た対象サーバのホスト名、アラートの対象となる製品又はＯＳＳ、及び状態である。状態は「アラート状態」とする。ＣＰＵ１１は戻り値を「対象サーバ有り」に設定し（ステップＳ３６）、処理を呼び出し元に戻す。ＣＰＵ１１は対象サーバが無いと判定した場合（ステップＳ３３でＮＯ）、戻り値を「対象サーバ無し」に設定し（ステップＳ３７）、処理を呼び出し元に戻す。

図１７はフロー捜査処理の手順例を示すフローチャートである。フロー捜査処理は図１５のステップＳ４で実行される処理である。フロー捜査処理はアラートに対する対応が必要な実行中のフローを捜査する処理である。運用自動化サーバ１のＣＰＵ１１はアラート状況管理ＤＢ１４４から、アラートＩＤに対応する対象サーバ（のホスト名）を取得する（ステップＳ５１）。ＣＰＵ１１はフロー実行状況ＤＢ１４５を参照し、実行中のフローを選択する（ステップＳ５２）。ＣＰＵ１１は選択したフローに含まれるアクティビティであって、接続先がステップＳ５１で取得した対象サーバのいずれかであるアクティビティを検索する（ステップＳ５３）。検索対象はアクティビティＤＢ１４６である。検索条件は、フローＩＤがステップＳ５２で選択したフローのフローＩＤと一致し、接続先がステップＳ５１で取得した対象サーバのいずれかである、という条件である。ＣＰＵ１１は検索にヒットしたか否か判定する（ステップＳ５４）。ＣＰＵ１１は、検索はヒットしていないと判定した場合（ステップＳ５４でＮＯ）、処理をステップＳ５９に進める。ＣＰＵ１１は検索にヒットしたと判定した場合（ステップＳ５４でＹＥＳ）、検索にヒットしたアクティビティを選択する（ステップＳ５５）。ＣＰＵ１１は選択したアクティビティが未実行であるか否か判定する（ステップＳ５６）。選択したアクティビティが未実行であるか否かは、フロー実行状況ＤＢ１４５の実行ポイント列の値により判定する。ここでは、アクティビティ名にフローでの実行順を示す３桁の数字が含まれている。したがって、数字の大小により選択したアクティビティが未実行であるか否か判定可能である。選択したアクティビティの数字が、フロー実行状況ＤＢ１４５の実行ポイントの値に含まれる数字より大きいのであれば、選択したアクティビティは未実行である。選択したアクティビティの数字が、フロー実行状況ＤＢ１４５の実行ポイントの値に含まれる数字より小さければ、選択したアクティビティは実行済みである。選択したアクティビティの数字が、フロー実行状況ＤＢ１４５の実行ポイントの値に含まれる数字と等しければ、選択したアクティビティは実行中である。ＣＰＵ１１は選択したアクティビティが未実行であると判定した場合（ステップＳ５６でＹＥＳ）、選択したアクティビティが含まれるフローの実行を停止する（ステップＳ５７）。ＣＰＵ１１は停止したフローに関するフロー管理情報を生成し、フロー管理ＤＢ１４７に記憶する（ステップＳ５８）。この際、臨時フローＩＤ列は空白又はＮＵＬＬとする。再開ポイント列は停止した時点のアクティビティ名を記憶する。状態列の値は「実行不可」とする。ＣＰＵ１１は処理をステップＳ５９に進める。ＣＰＵ１１は選択したアクティビティが未実行ではないと判定した場合（ステップＳ５６でＮＯ）、未処理のアクティビティが有るか否かを判定する（ステップＳ６０）。ＣＰＵ１１は未処理のアクティビティが有ると判定した場合（ステップＳ６０でＹＥＳ）、処理をステップＳ５５に戻し、未処理のアクティビティについての処理を行う。ＣＰＵ１１は未処理のアクティビティが無いと判定した場合（ステップＳ６０でＮＯ）、処理をステップＳ５９に進める。ＣＰＵ１１は実行中のフローで未処理のものが有るか否かを判定する（ステップＳ５９）。ＣＰＵ１１は実行中のフローで未処理のものが有ると判定した場合（ステップＳ５９でＹＥＳ）、処理をステップＳ５２に戻し、未処理の実行中フローについての処理を行う。ＣＰＵ１１は実行中のフローで未処理のものが無いと判定した場合（ステップＳ５９でＮＯ）、フロー捜査処理を終了し、処理を呼び出し元に戻す。

図１８及び図１９は臨時フロー生成処理の手順例を示すフローチャートである。臨時フロー生成処理は図１５のステップＳ７で実行される処理である。臨時フロー生成処理は臨時フロー生成対象であるフロー（以下、「対象フロー」と記す。）から、臨時フローと解除後フローを生成する処理である。運用自動化サーバ１のＣＰＵ１１はフローＩＤを生成する（ステップＳ７１）。ここで、生成するのは臨時フローのフローＩＤと解除後フローのフローＩＤである。ＣＰＵ１１は処理対象のフローに含まれるアクティビティを取得する（ステップＳ７２）。ＣＰＵ１１はポイントＡ及びポイントＢをＮＵＬＬ、ポイントｔを再開ポイントに設定する（ステップＳ７３）。ＣＰＵ１１は再開ポイントをフロー管理ＤＢ１４７より取得する。ポイントＡ、ポイントＢ及びポイントｔは対象フローに含まれる任意のアクティビティを示す変数である。ＣＰＵ１１はポイントｔが示すアクティビティの種別が対象種別で有るか否かを判定する（ステップＳ７４）。アクティビティの種別とは、アクティビティに含まれる運用操作の種別である。ＣＰＵ１１は運用操作の種別を種別判定ＤＢ１５１より得る。対象種別とは臨時フローに含めるべきアクティビティの種別である。対象種別は例えば、パッチ、アプリケーション配備及びプログラムの複写などである。ＣＰＵ１１はポイントｔが示すアクティビティの種別が対象種別であると判定した場合（ステップＳ７４でＹＥＳ）、ポイントＡがＮＵＬＬで有るか否かを判定する（ステップＳ７５）。ＣＰＵ１１はポイントＡがＮＵＬＬであると判定した場合（ステップＳ７５でＹＥＳ）、ポイントＡにポイントｔの値を設定する（ステップＳ７６）。ＣＰＵ１１はポイントＢにポイントｔの値を設定する（ステップＳ７７）。ＣＰＵ１１はポイントｔが示すアクティビティが対象フローの最後のアクティビティで有るか否かを判定する（ステップＳ７８）。ＣＰＵ１１は、ポイントｔが示すアクティビティが対象フローの最後のアクティビティではないと判定した場合（ステップＳ７８でＮＯ）、ポイントｔが示すアクティビティを、当該アクティビティの次のアクティビティに設定する（ステップＳ７９）。ＣＰＵ１１は処理をステップＳ７４に戻す。ＣＰＵ１１はポイントｔが示すアクティビティが対象フローの最後のアクティビティであると判定した場合（ステップＳ７８でＹＥＳ）、ＣＰＵ１１は処理をステップＳ８０に移す。ＣＰＵ１１はポイントＡがＮＵＬＬでないと判定した場合（ステップＳ７５でＮＯ）、処理をステップＳ７７に移す。ＣＰＵ１１はポイントｔが示すアクティビティの種別が対象種別でないと判定した場合（ステップＳ７４でＮＯ）、処理をステップＳ７８に移す。

ＣＰＵ１１は、ポイントＡからポイントＢまでのアクティビティに臨時フロー及び解除後フローに追加する（ステップＳ８０）。ＣＰＵ１１は、臨時フローより対象サーバについてのアクティビティを削除し、解除後フローより対象サーバ以外についてのアクティビティを削除する（ステップＳ８１）。ＣＰＵ１１は、再開ポイント〜ポイントＡ直前のアクティビティを臨時フローの先頭に追加し、ポイントＢ直後〜最後のアクティビティを解除後フローの最後に追加する（ステップＳ８２）。なお、ポイントＡ直前のアクティビティが、再開ポイントのアクティビティよりも前に実行するアクティビティの場合(再開ポイント＝ポイントＡ)、ＣＰＵ１１は臨時フローへのアクティビティの追加は行わない。ポイントＢ直後のアクティビティが存在しない場合（ポイントＡ＝最後）、ＣＰＵ１１は解除後フローへのアクティビティの追加は行わない。ＣＰＵ１１は臨時フロー及び解除後フローにおいて、運用自動化サーバ１との通信手段に脅威を受ける製品又はＯＳＳの通信手段を用いているか否かを判定する（ステップＳ８３）。ＣＰＵ１１は脅威を受ける製品又はＯＳＳの通信手段を用いていないと判定した場合（ステップＳ８３でＮＯ）、処理をステップＳ８５に移す。ＣＰＵ１１は脅威を受ける製品又はＯＳＳの通信手段を用いていると判定した場合（ステップＳ８３でＹＥＳ）、臨時フロー及び解除後フローにおいて使用する通信手段を、脅威を受けない他の通信手段に置き換える（ステップＳ８４）。ＣＰＵ１１は臨時フローを実行状態とする（ステップＳ８５）。ＣＰＵ１１は、フロー管理ＤＢ１４７において、臨時フローに対応するレコードの状態列の値を実行中に設定する。ＣＰＵ１１は臨時フロー生成処理を終了し、処理を呼び出し元に戻す。ＣＰＵ１１は図１５のステップＳ８で、生成した臨時フローを実行する。

以上の処理を、例を用いて説明する。図２０は対象フローの一例を示す説明図である。図２０は、図９に示したアクティビティＤＢ１４６に記憶するフローＩＤ＝ＦｌｏｗＩＤ０００１のフローを有向グラフの形式で示したものである。図２０に示す各ノードが対象フローのアクティビティを示している。アクティビティの名称は「ａｃｔＸＸＸ」（Ｘは任意の数字）としてある。ＸＸＸはアクティビティに実行順を示している。

ここでは、アラート種別がｗａｒｎｉｎｇ、シグネチャパターン／ルールがｓｉｇｎａｔｕｒｅ＿００００００ｘｘｘ、通信プロトコルがｙｙｙ／ｔｃｐであるアラートを、運用自動化サーバ１がセキュリティ脅威検知サーバ２より受信したとする。運用自動化サーバ１のＣＰＵ１１は図１５に示したアラート受信処理を開始する。ＣＰＵ１１は通信部１５からアラートを取得する（ステップＳ１）。ＣＰＵ１１はアラート解析処理を行う（ステップＳ２、図１６）。

取得したアラートとアラート対照ＤＢ１４１とを対比することにより、ＣＰＵ１１は対象製品として、ＤＢｓｏｆｔ１を取得する（ステップＳ３１）。ＣＰＵ１１は構成管理ＤＢ１４２を用いて対象サーバを検索する。ＣＰＵ１１は、インストール済みソフト列に対象製品ＤＢｓｏｆｔ１を含むレコードを検索する（ステップＳ３２）。ここでは、対象となる業務サーバ３はＳｅｒｖｅｒ３である（ステップＳ３３でＹＥＳ）。ＣＰＵ１１はアラート管理情報を生成し、アラート管理ＤＢ１４３に記憶する（ステップＳ３４）。ここでは、図６に示すアラートＩＤ＝ａｌｔ０００１であるレコードを、ＣＰＵ１１は生成する。ＣＰＵ１１はアラート状況情報を生成し、アラート状況管理ＤＢ１４４に記憶する（ステップＳ３５）。ここでは、図７に示すアラートＩＤ＝ａｌｔ０００１であるレコードを、ＣＰＵ１１は生成する。ＣＰＵ１１はアラート解析処理の戻り値を、該当サーバ有りと設定し（ステップＳ３６）、処理をアラート受信処理に戻す。アラートＩＤはＲＡＭ１３等に設けた一時記憶領域に記憶し、アラート受信処理において、必要に応じて参照される。

アラート解析処理の戻り値は該当サーバ有りであるので（ステップＳ３でＹＥＳ）、ＣＰＵ１１はフロー捜査処理を行う（ステップＳ４、図１７）。ＣＰＵ１１はアラート状況情報を取得する（ステップＳ５１）。処理対象であるアラートＩＤ＝ａｌｔ０００１であるレコードを、ＣＰＵ１１は取得する。ＣＰＵ１１は実行中のフローを選択する（ステップＳ５２）。フロー実行状況ＤＢ１４５のレコード１つを、ＣＰＵ１１は選択する。ここでは、フローＩＤ＝ＦｌｏｗＩＤ００１のレコードが選択されたとする。ＣＰＵ１１は選択したフローのアクティビティであって、接続先が対象サーバであるレコードを検索する（ステップＳ５３）。ここでは、フローＩＤ＝ＦｌｏｗＩＤ００１、接続先＝Ｓｅｒｖｅｒ３であるレコードを、ＣＰＵ１１は検索する。図９において、アクティビティａｃｔ００３、ａｃｔ００８、ａｃｔ００９、及びａｃｔ０１０がヒットする（ステップＳ５４でＹＥＳ）。ＣＰＵ１１は検索にヒットしたアクティビティを選択する（ステップＳ５５）。ＣＰＵ１１はアクティビティａｃｔ００３を選択したとする。ＣＰＵ１１はアクティビティａｃｔ００３が未実行で有るか否か判定する（ステップＳ５６）。フロー実行状況ＤＢ１４５によれば、フローＩＤ＝ＦｌｏｗＩＤ００１のフローの実行ポイントはａｃｔ００３であるので、未実行ではないと、ＣＰＵ１１は判定する（ステップＳ５６でＮＯ）。ＣＰＵ１１は未処理のアクティビティが有るか否か判定する（ステップＳ６０）。アクティビティａｃｔ００８、ａｃｔ００９、及びａｃｔ０１０について未処理であるから、ＣＰＵ１１は有りと判定し（ステップＳ６０でＹＥＳ）、処理をステップＳ５５に戻す。

ＣＰＵ１１は、ステップＳ５５でアクティビティａｃｔ００８を選択したとする。ＣＰＵ１１はアクティビティａｃｔ００８が未実行で有るか否か判定する（ステップＳ５６）。上述のように、フローＩＤ＝ＦｌｏｗＩＤ００１のフローの実行ポイントはａｃｔ００３であるので、未実行であると、ＣＰＵ１１は判定する（ステップＳ５６でＹＥＳ）。ＣＰＵ１１はフロー（フローＩＤ＝ＦｌｏｗＩＤ００１）の実行を停止する（ステップＳ５７）。ＣＰＵ１１は停止したフローに関するフロー管理情報を生成し、フロー管理ＤＢ１４７に記憶する（ステップＳ５８）。ＣＰＵ１１が記憶するフロー管理情報は、アラートＩＤ＝ａｌｔ０００１、フローＩＤ＝ＦｌｏｗＩＤ００１、対象サーバ＝Ｓｅｒｖｅｒ３、臨時フローＩＤ＝空白又はＮＵＬＬ、再開ポイント＝ａｃｔ００４、状態＝実行不可である。ＣＰＵ１１は実行中のフローで未処理のものが有るか否かを判定する（ステップＳ５９）。ここでは、フローＩＤ＝ＦｌｏｗＩＤ００２であるフローは未処理であるため、ＣＰＵ１１は未処理のものが有りと判定し（ステップＳ５９でＹＥＳ）、処理をステップＳ５２に戻す。フローＩＤ＝ＦｌｏｗＩＤ００２であるフローについての処理は、説明を省略する。ＣＰＵ１１は実行中のフローすべてについて処理を終えたら（ステップＳ５９でＮＯ）、フロー捜査処理を終了し処理を呼び出し元であるアラート受信処理に戻す。

ＣＰＵ１１はフロー管理ＤＢ１４７よりフロー管理情報を取得する（ステップＳ５）。ここで、ＣＰＵ１１が取得するのは上述したレコードである。ＣＰＵ１１は臨時フローを生成するかを判定する（ステップＳ６）。ここでは、フローＩＤ＝ＦｌｏｗＩＤ００１についての処理である。フロー定義ＤＢ１４８において、フローＩＤ＝ＦｌｏｗＩＤ００１であるレコードの臨時フローフラグ列の値はＯＮである。ＣＰＵ１１は臨時フローを生成すると判定し（ステップＳ６でＹＥＳ）、臨時フロー生成処理を行う（ステップＳ７、図１８）。

ＣＰＵ１１はフローＩＤを生成する（ステップＳ７１）。ここでは、臨時フローのフローＩＤとして、ｅｘｔｆｌｏｗ００１が生成されたとする。解除後フローのフローＩＤとして、ｒｅｓｔａｒｔｆｌｏｗ００１が生成されたとする。ＣＰＵ１１は処理対象のフロー（フローＩＤ＝ＦｌｏｗＩＤ００１）に含まれるアクティビティを取得する（ステップＳ７２）。ＣＰＵ１１はポイントＡ及びポイントＢをＮＵＬＬ、ポイントｔを再開ポイントに設定する（ステップＳ７３）。ＣＰＵ１１は再開ポイントをフロー管理ＤＢ１４７より取得する。ここで、再開ポイントはａｃｔ００４である。ポイントｔ＝ａｃｔ００４となる。ＣＰＵ１１はポイントｔが示すアクティビティａｃｔ００４の種別が対象種別で有るか否かを判定する（ステップＳ７４）。ＣＰＵ１１は、アクティビティＤＢ１４６からアクティビティａｃｔ００４の運用操作を取得する。ここでは、運用操作＝更新パッチ転送である。ＣＰＵ１１は、アクティビティａｃｔ００４の種別を種別判定ＤＢ１５１より取得する。ＣＰＵ１１は種別として、パッチを得る。上述のように、パッチは対象種別である。ＣＰＵ１１は対象種別であると判定し（ステップＳ７４でＹＥＳ）、ポイントＡがＮＵＬＬで有るか否かを判定する（ステップＳ７５）。ここでは、ポイントＡ＝ＮＵＬＬであるから、ＣＰＵ１１はポイントＡがＮＵＬＬであると判定し（ステップＳ７５でＹＥＳ）、ポイントＡにポイントｔの値を設定する（ステップＳ７６）。ここでは、ポイントＡ＝ａｃｔ００４となる。ＣＰＵ１１はポイントＢにポイントｔの値を設定する（ステップＳ７７）。ここでは、ポイントＢ＝ａｃｔ００４となる。ＣＰＵ１１はポイントｔが示すアクティビティ（ａｃｔ００４）が対象フローの最後のアクティビティで有るか否かを判定する（ステップＳ７８）。アクティビティａｃｔ００４は最後のアクティビティではないので、ＣＰＵ１１はポイントｔが示すアクティビティが対象フローの最後のアクティビティでないと判定する（ステップＳ７８でＮＯ）。ＣＰＵ１１はポイントｔが示すアクティビティを、当該アクティビティの次のアクティビティに設定する（ステップＳ７９）。ここでは、ポイントｔ＝ａｃｔ００５となる。ＣＰＵ１１は処理をステップＳ７４に戻す。

ＣＰＵ１１はポイントｔが示すアクティビティａｃｔ００５の種別が対象種別で有るか否かを判定する（ステップＳ７４）。ＣＰＵ１１は、アクティビティＤＢ１４６及び種別判定ＤＢ１５１を参照し、種別としてパッチを得る。ＣＰＵ１１は対象種別であると判定し（ステップＳ７４でＹＥＳ）、ポイントＡがＮＵＬＬで有るか否かを判定する（ステップＳ７５）。ここでは、ポイントＡ＝ＮＵＬＬでないから、ＣＰＵ１１はポイントＡがＮＵＬＬでないと判定し（ステップＳ７５でＮＯ）、ＣＰＵ１１はポイントＢにポイントｔの値を設定する（ステップＳ７７）。ここでは、ポイントＢ＝ａｃｔ００５となる。ＣＰＵ１１はポイントｔが示すアクティビティ（ａｃｔ００５）が対象フローの最後のアクティビティで有るか否かを判定する（ステップＳ７８）。アクティビティａｃｔ００５は最後のアクティビティではないので、ＣＰＵ１１はポイントｔが示すアクティビティが対象フローの最後のアクティビティでないと判定する（ステップＳ７８でＮＯ）。ＣＰＵ１１はポイントｔが示すアクティビティを、当該アクティビティの次のアクティビティに設定する（ステップＳ７９）。ポイントｔ＝ａｃｔ００６となる。ＣＰＵ１１は処理をステップＳ７４に戻す。

アクティビティａｃｔ００６、ａｃｔ００７、ａｃｔ００８、ａｃｔ００９について、ＣＰＵ１１はアクティビティａｃｔ００６と同様の処理を行い、処理をステップＳ７４に戻す。アクティビティａｃｔ００９についての処理後は、ポイントｔ＝ａｃｔ０１０、ポイントＢ＝ａｃｔ００９となっている。ＣＰＵ１１はポイントｔが示すアクティビティａｃｔ０１０の種別が対象種別で有るか否かを判定する（ステップＳ７４）。ＣＰＵ１１は、アクティビティＤＢ１４６及び種別判定ＤＢ１５１を参照し、種別として保守を得る。ここで保守は対象種別ではないので、ＣＰＵ１１は対象種別でないと判定し（ステップＳ７４でＮＯ）、ポイントｔが示すアクティビティ（ａｃｔ０１０）が対象フローの最後のアクティビティで有るか否かを判定する（ステップＳ７８）。アクティビティａｃｔ０１０は最後のアクティビティではないので、ＣＰＵ１１はポイントｔが示すアクティビティが対象フローの最後のアクティビティでないと判定する（ステップＳ７８でＮＯ）。ＣＰＵ１１はポイントｔが示すアクティビティを、当該アクティビティの次のアクティビティに設定する（ステップＳ７９）。ポイントｔ＝ａｃｔ０１１となる。ＣＰＵ１１は処理をステップＳ７４に戻す。

アクティビティａｃｔ０１１について、ＣＰＵ１１はアクティビティａｃｔ０１０と同様の処理を行い、処理をステップＳ７４に戻す。アクティビティａｃｔ０１０についての処理後は、ポイントｔ＝ａｃｔ０１１となっている。ＣＰＵ１１はポイントｔが示すアクティビティａｃｔ０１１の種別が対象種別であるか否かを判定する（ステップＳ７４）。ＣＰＵ１１は、アクティビティＤＢ１４６及び種別判定ＤＢ１５１を参照し、種別として保守を得る。ここで保守は対象種別ではないので、ＣＰＵ１１は対象種別でないと判定し（ステップＳ７４でＮＯ）、ポイントｔが示すアクティビティ（ａｃｔ０１１）が対象フローの最後のアクティビティであるか否かを判定する（ステップＳ７８）。アクティビティａｃｔ０１１は最後のアクティビティであるので、ＣＰＵ１１はポイントｔが示すアクティビティが対象フローの最後のアクティビティであると判定し（ステップＳ７８でＹＥＳ）、処理をステップＳ８０へ移す。この時点で、ポイントＡ＝ａｃｔ００４、ポイントＢ＝ａｃｔ００９となっている。

ＣＰＵ１１は、ポイントＡからポイントＢまでのアクティビティを臨時フロー及び解除後フローに追加する（ステップＳ８０）。ここでは、ａｃｔ００４からａｃｔ００９までが追加される。臨時フローより対象サーバ（Ｓｅｒｖｅｒ３）についてのアクティビティを削除し、解除後フローより対象サーバ以外についてのアクティビティを削除する（ステップＳ８１）。ここでは、臨時フローよりＳｅｒｖｅｒ３のアクティビティであるａｃｔ００８及びａｃｔ００９が削除される。解除後フローよりＳｅｒｖｅｒ３以外のアクティビティであるａｃｔ００４からａｃｔ００７が削除される。ＣＰＵ１１は、再開ポイント〜ポイントＡ直前のアクティビティを臨時フローの先頭に追加し、ポイントＢ直後〜最後のアクティビティを解除後フローの最後に追加する（ステップＳ８２）。ここでは、臨時フローにアクティビティは追加されない。解除後フローには、ａｃｔ０１１及びａｃｔ０１２が追加される。

ＣＰＵ１１は臨時フロー及び解除後フローにおいて、運用自動化サーバ１との通信手段に脅威を受ける製品又はＯＳＳの通信手段を用いているか否かを判定する（ステップＳ８３）。ここでは、通信手段についてのアラートではないので、ＣＰＵ１１は脅威を受ける製品又はＯＳＳの通信手段を用いないと判定し（ステップＳ８３でＮＯ）、臨時フロー（ｅｘｔｆｌｏｗ００１）を実行状態とする（ステップＳ８５）。フロー管理ＤＢ１４７において、臨時フローに対応するレコードの状態列の値を実行中に設定する。ＣＰＵ１１は臨時フロー生成処理を終了し、処理を呼び出し元に戻す。ＣＰＵ１１は図１５のステップＳ８で、生成した臨時フローを実行する（ステップＳ８）。ステップＳ９以降については説明を省略する。

図２１は臨時フロー及び解除後フローの一例を示す説明図である。上述した対象フロー（フローＩＤ＝ＦｌｏｗＩＤ００１）に対する処理の結果、得られる臨時フロー及び解除後フローを有向グラフで示したものである。図２１Ａは臨時フローの一例である。図２１Ｂは解除後フローの一例である。図１３に示した臨時アクティビティＤＢ１５０は、図２１と対応している。

次に、アラートが通信手段に関する場合について、例を用いて説明する。説明を簡単にするために、対象フローは図２０に例示したものである。また、アラート種別がｗａｒｎｉｎｇ、シグネチャパターン／ルールがｓｉｇｎａｔｕｒｅ＿ＡＢＣ１２３４５６、通信プロトコルがｘｙｚｚ／ｔｃｐであるアラートを、運用自動化サーバ１がセキュリティ脅威検知サーバ２より受信したとする。運用自動化サーバ１のＣＰＵ１１は図１５に示したアラート受信処理を開始する。ＣＰＵ１１は通信部１５からアラートを取得する（ステップＳ１）。ＣＰＵ１１はアラート解析処理を行う（ステップＳ２、図１６）。

取得したアラートとアラート対照ＤＢ１４１とを対比することにより、ＣＰＵ１１は対象製品として、ＰｏｗｅｒＳｈｅｌｌを取得する（ステップＳ３１）。ＣＰＵ１１は構成管理ＤＢ１４２を用いて対象サーバを検索する。ＣＰＵ１１は、通信手段列にＰｏｗｅｒＳｈｅｌｌを含むレコードを検索する（ステップＳ３２）。ここでは、対象となる業務サーバ３はＳｅｒｖｅｒ３である（ステップＳ３３でＹＥＳ）。なお、ＰｏｗｅｒＳｈｅｌｌが通信手段であることは、何らかの方法で判定可能とする。例えば、構成管理ＤＢ１４２に通信手段列を追加し、判定可能とする。又は、通信手段である対象製品の名称一覧を用意しておき、取得した対象製品の名称が当該一覧に含まれているか否かで判定する。

ここで、対象サーバはＳｅｒｖｅｒ３であるので、以降の処理は上述した対象製品がＤＢｓｏｆｔ１の場合とほぼ同様である。以下、異なる箇所について説明する。臨時フロー生成処理のステップＳ８２までは、同様の処理が行われる。

ＣＰＵ１１は臨時フロー及び解除後フローにおいて、運用自動化サーバ１との通信手段に脅威を受ける製品又はＯＳＳの通信手段を用いているか否かを判定する（ステップＳ８３）。ここでは、通信手段ＰｏｗｅｒＳｈｅｌｌが脅威を受ける製品又はＯＳＳの通信手段である。ここでの例では、ａｃｔ００８及びａｃｔ００９が該当する。ＣＰＵ１１は脅威を受ける製品又はＯＳＳの通信手段を用いていると判定し（ステップＳ８３でＹＥＳ）、臨時フロー及び解除後フローにおいて使用する通信手段を、脅威を受けない他の通信手段に置き換える（ステップＳ８４）。例えば、ＣＰＵ１１はａｃｔ００８及びａｃｔ００９の通信手段をＳＳＨに変更する。変更する通信手段は構成管理ＤＢ１４２を参照し、対象サーバであるＳｅｒｖｅｒ３が使える他の通信手段を、ＣＰＵ１１は決定する。

ＣＰＵ１１は臨時フロー（ｅｘｔｆｌｏｗ００１）を実行状態とする。フロー管理ＤＢ１４７において、臨時フローに対応するレコードの状態列の値を実行中に設定する。ＣＰＵ１１は臨時フロー生成処理を終了し、処理を呼び出し元に戻す。ＣＰＵ１１は図１５のステップＳ８で、生成した臨時フローを実行する（ステップＳ８）。ステップＳ９以降については説明を省略する。

図２２は臨時フロー及び解除後フローの一例を示す説明図である。図２２Ａは臨時フローの一例である。図２２Ｂは解除後フローの一例である。図２２Ａは図２１Ａと同一である。図２２Ｂは図２１Ｂとほぼ同様であるが、ａｃｔ００８及びａｃｔ００９の通信手段が、ＰｏｗｅｒＳｈｅｌｌからＳＳＨに変更されている。

次に、アラートが解除された後の処理を説明する。図２３はアラート解除後処理の手順例を示すフローチャートである。運用自動化サーバ１のＣＰＵ１１はアラートの解除通知を取得する（ステップＳ１０１）。解除通知はアラートと同様な内容に、解除された旨の情報が付加されている。ＣＰＵ１１は受信した解除通知とアラート管理ＤＢ１４３とを対照し、解除されたアラートに対応したアラート管理情報を特定する（ステップＳ１０２）。ＣＰＵ１１は特定したアラート管理情報の状態を、アラート状態から非アラート状態に変更する（ステップＳ１０３）。ＣＰＵ１１は、フロー管理ＤＢ１４７において、アラートＩＤ＝特定したアラート管理情報のアラートＩＤ、状態＝実行不可のレコードを取得する（ステップＳ１０４）。ＣＰＵ１１は取得したレコードに含む臨時フローＩＤが空か否かを判定する（ステップＳ１０６）。ここで、臨時フローＩＤ列に値が設定されている場合、実行不可とされているフローに対して、臨時フロー及び解除後フローが生成されたことを示している。ＣＰＵ１１は取得したレコードに含む臨時フローＩＤが空でないと判定した場合（ステップＳ１０６でＮＯ）、臨時フローＩＤ列に設定されているフローＩＤに対応した解除後フローを実行する（ステップＳ１０７）。臨時フローＩＤに値が空の場合、実行不可とされているフローに対して、臨時フロー及び解除後フローが生成されていないことを示している。ＣＰＵ１１は取得したレコードに含む臨時フローＩＤが空であると判定した場合（ステップＳ１０６でＹＥＳ）、中断しているフローを再開する（ステップＳ１０８）。すなわち、フローＩＤ列に記憶されているフローＩＤに対応したフローを、再開ポイント列に記憶されているアクティビティから再開する。ＣＰＵ１１はフロー管理ＤＢ１４７の該当レコード（ステップＳ１０４で取得したレコード）の状態を実行開始に設定する（ステップＳ１０９）。

以上の説明は、アラート受信時に実行中のフローについての処理である。次に、スケジュール又は手動により、フローを実行する処理について説明する。図２４はフロー開始処理の手順例を示すフローチャートである。運用自動化サーバ１のＣＰＵ１１はアラートが有るか否かを判定する（ステップＳ１１１）。ＣＰＵ１１はアラート管理ＤＢ１４３を参照し、状態＝アラート状態のレコードが有れば、アラートが有ると判定する。状態＝アラート状態のレコードが無ければ、アラートが無いと判定する。ＣＰＵ１１はアラートが有ると判定した場合（ステップＳ１１１でＹＥＳ）、対象サーバをアラート管理ＤＢ１４３より取得する（ステップＳ１１２）。ＣＰＵ１１はフローに含まれるアクティビティをアクティビティＤＢ１４６から取得する（ステップＳ１１３）。ＣＰＵ１１は取得したアクティビティの中に、接続先が対象サーバであるアクティビティが含まれているか否かを判定する（ステップＳ１１４）。ＣＰＵ１１は、接続先が対象サーバであるアクティビティが含まれていると判定した場合（ステップＳ１１４でＹＥＳ）、フロー管理情報を生成し、フロー管理ＤＢ１４７に記憶する（ステップＳ１１５）。ＣＰＵ１１が生成するフロー管理情報は、アラートＩＤは処理対象のアラートのアラートＩＤである。フローＩＤは処理対象のフロー、すなわち、実行しようとしているフローのフローＩＤである。対象サーバはステップＳ１１２で取得した業務サーバ３のホスト名である。臨時フローＩＤ＝空白又はＮＵＬＬ、再開ポイント＝最初のアクティビティ、状態＝実行不可である。ＣＰＵ１１は処理対象フローが臨時フロー生成対象であるか否かを、フロー定義ＤＢ１４８を参照し判定する（ステップＳ１１６）。ＣＰＵ１１は処理対象フローが臨時フロー生成対象であると判定した場合（ステップＳ１１６でＹＥＳ）、臨時フロー及び解除後フローを生成する（ステップＳ１１７）。当該処理は図１８及び１９で示した処理と同様であるので、説明を省略する。ＣＰＵ１１は臨時フローを実行する（ステップＳ１１８）。ＣＰＵ１１はフロー開始処理を終了する。ＣＰＵ１１は処理対象フローが臨時フロー生成対象でないと判定した場合（ステップＳ１１６でＮＯ）、フロー開始処理を終了する。ＣＰＵ１１は、接続先が対象サーバであるアクティビティが含まれていないと判定した場合（ステップＳ１１４でＮＯ）、又はＣＰＵ１１はアラートが無いと判定した場合（ステップＳ１１１でＮＯ）、通常にフローを開始する（ステップＳ１１９）。ＣＰＵ１１はフロー開始処理を終了する。

上述のように、本実施の形態では、各自動化フローは臨時フローの作成対象であるか否かのフラグを、フロー定義ＤＢ１４８の臨時フローフラグ列に記憶している。臨時フローフラグ列の値は、自動化フローの新規登録時及び変更登録時に設定される。自動化フローの新規登録時には、ＣＰＵ１１はフローＩＤを生成し、フロー定義ＤＢ１４８に新規レコードを追加する。この時、臨時フローフラグ列の値は設定されていない。また、ＣＰＵ１１はアクティビティの数に対応したアクティビティ名を生成し、アクティビティＤＢ１４６に記憶する。これらの処理の完了後に、ＣＰＵ１１は臨時フローフラグ列の値を設定する。

自動化フローの変更登録時には、変更内容に応じて、フロー定義ＤＢ１４８及びアクティビティＤＢ１４６を変更した後に、ＣＰＵ１１は臨時フローフラグ列の値を更新する。図２５は臨時フローフラグ設定・更新処理の手順例を示すフローチャートである。ＣＰＵ１１は処理対象のフローに含まれるアクティビティをアクティビティＤＢ１４６より取得する（ステップＳ１３１）。ＣＰＵ１１は取得したアクティビティの１つを選択する（ステップＳ１３２）。ＣＰＵ１１は選択したアクティビティの運用操作が臨時フロー作成対象となる運用操作に該当するか否かを判定する（ステップＳ１３３）。判定については、図１８のステップＳ７４の処理と同様であるから、説明を省略する。ＣＰＵ１１はた選択したアクティビティの運用操作が該当運用操作であると判定した場合（ステップＳ１３３でＹＥＳ）、臨時フローフラグをＯＮに設定し（ステップＳ１３６）、臨時フローフラグ設定・更新処理を終了する。ＣＰＵ１１は選択したアクティビティの運用操作が該当運用操作でないと判定した場合（ステップＳ１３３でＮＯ）、未処理のアクティビティが有るか否かを判定する（ステップＳ１３４）。ＣＰＵ１１は未処理のアクティビティが有ると判定した場合（ステップＳ１３４でＹＥＳ）、処理をステップＳ１３２に戻し、未処理のアクティビティに対する処理を行う。ＣＰＵ１１は未処理のアクティビティが無いと判定した場合（ステップＳ１３４でＮＯ）、臨時フローフラグをＯＦＦに設定し（ステップＳ１３５）、臨時フローフラグ設定・更新処理を終了する。

以上の説明から明らかのように、本実施の形態は次の効果を奏する。セキュリティ脅威についてのアラートが通知された場合、アラートの対象となる実行中のフローは、その実行を中断させる。しかし、フローに含まれるアクティビティであって、アラートの対象ではないものを含む臨時フローを生成し実行する。残りのアクティビティは解除後フローとする。これにより、アラート通知時に実行を中止するアクティビティを最小限とすることが可能となる。臨時フローに含むアクティビティがパッチ適用の場合、セキュリティパッチによるセキュリティの向上、不具合解消パッチ適用による障害発生の抑止が可能となる。アラート解除後は解除後フローを実行することにより、中止していたアクティビティを確実に実行可能である。臨時フロー及び解除後フローの生成、並びに臨時フロー及び解除後フローの実行を、人手を介さずに可能となるので、運用の効率化を図ることが可能となる。

図２６は運用自動化サーバ１の機能構成例を示すブロック図である。運用自動化サーバ１は、第１取得部１１ａ、第１特定部１１ｂ、第２特定部１１ｃ、第２取得部１１ｄ、作成部１１ｅ、フロー停止部１１ｆ、及び定義変更部１１ｇを含む。ＣＰＵ１１が制御プログラム１Ｐを実行することにより、運用自動化サーバ１は以下のように動作する。

第１取得部１１ａは、システムが晒されたセキュリティ脅威の種別情報を取得する。第１特定部１１ｂは、製品とセキュリティ脅威の種別情報との対応関係を示す情報を記憶する記憶部を参照して、取得した前記種別情報に対応付けられた製品を特定する。第２特定部１１ｃは、システムに含まれる複数の情報処理装置の構成情報を記憶する記憶部を参照して、特定した製品を構成として含む情報処理装置を特定する。第２取得部１１ｄは、複数の情報処理装置により実行される複数の処理のフローの定義情報を記憶する記憶部を参照して、特定した情報処理装置により実行される処理が含まれるフローの定義情報を取得する。作成部１１ｅは、取得した定義情報に基づき、取得した定義情報に含まれる処理のうち、特定した情報処理装置により実行される処理以外の処理を含み、かつ、特定した情報処理装置により実行される処理を含まないフローの定義情報を作成する。作成部１１ｅは、又、取得した定義情報に基づき、取得した定義情報に含まれる処理のうち、特定した情報処理装置により実行される処理を含み、かつ、特定した情報処理装置により実行される処理以外を含まない解除後のフローの定義情報を作成する。フロー停止部１１ｆは、特定した前記情報処理装置により実行される処理が含まれるフローが実行中の場合、フローの実行を停止する。定義変更部１１ｇは、作成したフロー定義情報に、特定した製品の通信機能を利用する処理が含まれている場合、構成情報を記憶する記憶部を参照して、特定した製品以外に情報処理装置が利用可能な通信機能を提供する他製品を特定し、特定した他製品の通信機能を利用するように定義を変更する。

各実施の形態で記載されている技術的特徴（構成要件）はお互いに組み合わせ可能であり、組み合わせすることにより、新しい技術的特徴を形成することができる。
今回開示された実施の形態はすべての点で例示であって、制限的なものではないと考えられるべきである。本発明の範囲は、上記した意味ではなく、特許請求の範囲によって示され、特許請求の範囲と均等の意味及び範囲内でのすべての変更が含まれることが意図される。

以上の実施の形態に関し、さらに以下の付記を開示する。

（付記１）
システムが晒されたセキュリティ脅威の種別情報を取得し、
製品とセキュリティ脅威の種別情報との対応関係を示す情報を記憶する記憶部を参照して、前記取得した種別情報に対応付けられた製品を特定し、
前記システムに含まれる複数の情報処理装置の構成情報を記憶する記憶部を参照して、前記特定した製品を構成として含む情報処理装置を特定し、
前記複数の情報処理装置により実行される複数の処理のフローの定義情報を記憶する記憶部を参照して、前記特定した情報処理装置により実行される処理が含まれるフローの定義情報を取得し、
前記取得した定義情報に基づき、前記取得した定義情報に含まれる処理のうち、前記特定した情報処理装置により実行される処理以外の処理を含み、かつ、前記特定した情報処理装置により実行される処理を含まないフローの定義情報を作成する
処理をコンピュータに実行させることを特徴とするフロー生成プログラム。

（付記２）
前記取得した定義情報に基づき、前記取得した定義情報に含まれる処理のうち、前記特定した情報処理装置により実行される処理を含み、かつ、前記特定した情報処理装置により実行される処理以外を含まない解除後のフローの定義情報を作成する
ことを特徴とする付記１に記載のフロー生成プログラム。

（付記３）
前記特定した情報処理装置により実行される処理が含まれるフローが実行中の場合、前記フローの実行を停止し、
前記取得した定義情報が停止した前記フローのものであるときは、前記取得した定義情報に基づき、前記取得した定義情報に含まれる処理のうち、前記特定した情報処理装置により実行される処理以外の処理であって未実行の処理を含み、かつ、前記特定した情報処理装置により実行される処理を含まないフローの定義情報を作成する
ことを特徴とする付記１又は付記２に記載のフロー生成プログラム。

（付記４）
前記特定した情報処理装置により実行される処理が含まれるフローが実行中の場合、前記フローの実行を停止し、
前記取得した定義情報が停止したフローのものであるときは、前記取得した定義情報に基づき、前記取得した定義情報に含まれる処理のうち、前記特定した情報処理装置により実行される処理であって未実行の処理を含み、かつ、前記特定した情報処理装置により実行される処理以外を含まない解除後のフローの定義情報を作成する
ことを特徴とする付記１から付記３のいずれか１つに記載のフロー生成プログラム。

（付記５）
前記作成したフロー定義情報に、前記特定した製品の通信機能を利用する処理が含まれている場合、前記構成情報を記憶する記憶部を参照して、前記特定した製品以外に前記情報処理装置が利用可能な通信機能を提供する他製品を特定し、
特定した前記他製品の通信機能を利用するように前記処理を変更する
ことを特徴とする付記１から付記４のいずれか１つに記載のフロー生成プログラム。

（付記６）
フローの定義情報を記憶する前記記憶部は、前記フローの定義情報を状態と対応付けて記憶しており、
前記作成した解除後のフローの定義情報を実行不可状態と対応付けて記憶する
ことを特徴とする付記２に記載のフロー生成プログラム。

（付記７）
前記セキュリティ脅威から開放された旨の通知を受信した場合、前記解除後のフローの定義情報に対応付けられた状態を実行不可から、実行開始に変更する
ことを特徴とする付記６に記載のフロー生成プログラム。

（付記８）
システムが晒されたセキュリティ脅威の種別情報を取得する第１取得部と、
製品とセキュリティ脅威の種別情報との対応関係を示す情報を記憶する記憶部を参照して、前記取得した種別情報に対応付けられた製品を特定する第１特定部と、
前記システムに含まれる複数の情報処理装置の構成情報を記憶する記憶部を参照して、前記特定した製品を構成として含む情報処理装置を特定する第２特定部と、
前記複数の情報処理装置により実行される複数の処理のフローの定義情報を記憶する記憶部を参照して、前記特定した情報処理装置により実行される処理が含まれるフローの定義情報を取得する第２取得部と、
前記取得した定義情報に基づき、前記取得した定義情報に含まれる処理のうち、前記特定した情報処理装置により実行される処理以外の処理を含み、かつ、前記特定した情報処理装置により実行される処理を含まないフローの定義情報を作成する作成部と
を備えることを特徴とするフロー生成装置。

（付記９）
コンピュータが、
システムが晒されたセキュリティ脅威の種別情報を取得し、
製品とセキュリティ脅威の種別情報との対応関係を示す情報を記憶する記憶部を参照して、前記取得した種別情報に対応付けられた製品を特定し、
前記システムに含まれる複数の情報処理装置の構成情報を記憶する記憶部を参照して、前記特定した製品を構成として含む情報処理装置を特定し、
前記複数の情報処理装置により実行される複数の処理のフローの定義情報を記憶する記憶部を参照して、前記特定した情報処理装置により実行される処理が含まれるフローの定義情報を取得し、
前記取得した定義情報に基づき、前記取得した定義情報に含まれる処理のうち、前記特定した情報処理装置により実行される処理以外の処理を含み、かつ、前記特定した情報処理装置により実行される処理を含まないフローの定義情報を作成する
ことを特徴とするフロー生成方法。

１０ 情報システム
１ 運用自動化サーバ
１１ ＣＰＵ
１１ａ 第１取得部
１１ｂ 第１特定部
１１ｃ 第２特定部
１１ｄ 第２取得部
１１ｅ 作成部
１１ｆ フロー停止部
１１ｇ 定義変更部
１２ ＲＯＭ
１３ ＲＡＭ
１４ 大容量記憶部
１４１ アラート対照ＤＢ
１４２ 構成管理ＤＢ
１４３ アラート管理ＤＢ
１４４ アラート状況管理ＤＢ
１４５ フロー実行状況ＤＢ
１４６ アクティビティＤＢ
１４７ フロー管理ＤＢ
１４８ フロー定義ＤＢ
１４９ 停止フローＤＢ
１５０ 臨時アクティビティＤＢ
１５１ 種別判定ＤＢ
１５ 通信部
１６ 読み取り部
１Ｐ 制御プログラム
１ａ 可搬型記憶媒体
１ｂ 半導体メモリ
Ｂ バス
２ セキュリティ脅威検知サーバ
３ 業務サーバ
Ｎ ネットワーク

Claims (5)

1. システムが晒されたセキュリティ脅威の種別情報を取得し、
   製品とセキュリティ脅威の種別情報との対応関係を示す情報を記憶する記憶部を参照して、前記取得した種別情報に対応付けられた製品を特定し、
   前記システムに含まれる複数の情報処理装置の構成情報を記憶する記憶部を参照して、前記特定した製品を構成として含む情報処理装置を特定し、
   前記複数の情報処理装置により実行される複数の処理のフローの定義情報を記憶する記憶部を参照して、前記特定した情報処理装置により実行される処理が含まれるフローの定義情報を取得し、
   前記取得した定義情報に基づき、前記取得した定義情報に含まれる処理のうち、前記特定した情報処理装置により実行される処理以外の処理を含み、かつ、前記特定した情報処理装置により実行される処理を含まないフローの定義情報を作成する
   処理をコンピュータに実行させることを特徴とするフロー生成プログラム。
2. 前記取得した定義情報に基づき、前記取得した定義情報に含まれる処理のうち、前記特定した情報処理装置により実行される処理を含み、かつ、前記特定した情報処理装置により実行される処理以外を含まない解除後のフローの定義情報を作成する
   ことを特徴とする請求項１に記載のフロー生成プログラム。
3. 前記特定した情報処理装置により実行される処理が含まれるフローが実行中の場合、前記フローの実行を停止し、
   前記取得した定義情報が停止した前記フローのものであるときは、前記取得した定義情報に基づき、前記取得した定義情報に含まれる処理のうち、前記特定した情報処理装置により実行される処理以外の処理であって未実行の処理を含み、かつ、前記特定した情報処理装置により実行される処理を含まないフローの定義情報を作成する
   ことを特徴とする請求項１又は請求項２に記載のフロー生成プログラム。
4. システムが晒されたセキュリティ脅威の種別情報を取得する第１取得部と、
   製品とセキュリティ脅威の種別情報との対応関係を示す情報を記憶する記憶部を参照して、前記取得した種別情報に対応付けられた製品を特定する第１特定部と、
   前記システムに含まれる複数の情報処理装置の構成情報を記憶する記憶部を参照して、前記特定した製品を構成として含む情報処理装置を特定する第２特定部と、
   前記複数の情報処理装置により実行される複数の処理のフローの定義情報を記憶する記憶部を参照して、前記特定した情報処理装置により実行される処理が含まれるフローの定義情報を取得する第２取得部と、
   前記取得した定義情報に基づき、前記取得した定義情報に含まれる処理のうち、前記特定した情報処理装置により実行される処理以外の処理を含み、かつ、前記特定した情報処理装置により実行される処理を含まないフローの定義情報を作成する作成部と
   を備えることを特徴とするフロー生成装置。
5. コンピュータが、
   システムが晒されたセキュリティ脅威の種別情報を取得し、
   製品とセキュリティ脅威の種別情報との対応関係を示す情報を記憶する記憶部を参照して、前記取得した種別情報に対応付けられた製品を特定し、
   前記システムに含まれる複数の情報処理装置の構成情報を記憶する記憶部を参照して、前記特定した製品を構成として含む情報処理装置を特定し、
   前記複数の情報処理装置により実行される複数の処理のフローの定義情報を記憶する記憶部を参照して、前記特定した情報処理装置により実行される処理が含まれるフローの定義情報を取得し、
   前記取得した定義情報に基づき、前記取得した定義情報に含まれる処理のうち、前記特定した情報処理装置により実行される処理以外の処理を含み、かつ、前記特定した情報処理装置により実行される処理を含まないフローの定義情報を作成する
   ことを特徴とするフロー生成方法。

Images