JP7107432B2 - 分析システム、方法およびプログラム - Google Patents

Description

本発明は、診断対象システムへの攻撃に対する対処に関する判断材料となる情報を表示する分析システム、分析方法および分析プログラムに関する。

複数のコンピュータ等を含む情報処理システムにおいて、情報資産をサイバー攻撃等から守るためのセキュリティ対策をとることが求められている。セキュリティ対策としては、対象となるシステムの脆弱性等を診断し、必要に応じて脆弱性を取り除くこと等が挙げられる。

特許文献１には、侵入ルートの識別番号を一覧表示し、指定された侵入ルートをマップ上に表示するセキュリティ診断システムが表示されている。

特許文献２には、ネットワークに接続された各コンピュータからなるシステムを評価対象として、シミュレータによって、脆弱性の検査を擬似的に評価するための脆弱性評価ツールが記載されている。

特開２００８－２５７５７７号公報 特開２００３－１０８５２１号公報

セキュリティ診断の対象となるシステムを、診断対象システムと記す。

セキュリティに関する対策をとるために、各脆弱性による影響を評価することが一般的である。

しかし、診断対象システムの構成は、診断対象システム毎にそれぞれ異なるので、脆弱性による影響の評価のみでは、攻撃による診断対象システムへの影響を把握することは困難である。

そこで、本発明は、診断対象システムの構成に応じたセキュリティへの脅威の評価を行うことができる分析システム、分析方法および分析プログラムを提供することを目的とする。

本発明による分析システムは、診断対象システムを仮想化してシミュレーションを行う分析システムにおいて、診断対象システムに含まれる機器のネットワークトポロジを特定するトポロジ特定部と、機器に関するセキュリティの情報に基づいて、診断対象システムにおいて、実行可能な攻撃の流れを示す攻撃ルートを検出する検出部と、ネットワークトポロジに重畳させて攻撃ルートをディスプレイ装置上に表示する表示制御部とを備え、表示制御部が、診断対象システムへの影響に応じた態様で、攻撃ルートをディスプレイ装置上に表示し、攻撃ルート上の機器が攻撃された場合に受ける被害内容を示す被害情報を特定する被害特定部を備え、表示制御部が、攻撃ルート上の機器の近傍に、被害内容を示す被害情報を表示することを特徴とする。

本発明による分析方法は、診断対象システムを仮想化してシミュレーションを行う分析方法において、コンピュータが、診断対象システムに含まれる機器のネットワークトポロジを特定し、機器に関するセキュリティの情報に基づいて、診断対象システムにおいて、実行可能な攻撃の流れを示す攻撃ルートを検出し、攻撃ルート上の機器が攻撃された場合に受ける被害内容を示す被害情報を特定し、ネットワークトポロジに重畳させて攻撃ルートをディスプレイ装置上に表示し、攻撃ルートをディスプレイ装置上に表示するときに、診断対象システムへの影響に応じた態様で、攻撃ルートをディスプレイ装置上に表示し、攻撃ルートをディスプレイ装置上に表示するときに、攻撃ルート上の機器の近傍に、被害内容を示す被害情報を表示することを特徴とする。

本発明による分析プログラムは、コンピュータに、診断対象システムを仮想化してシミュレーションを行わせるための分析プログラムにおいて、コンピュータに、診断対象システムに含まれる機器のネットワークトポロジを特定するトポロジ特定処理、機器に関するセキュリティの情報に基づいて、診断対象システムにおいて、実行可能な攻撃の流れを示す攻撃ルートを検出する検出処理、攻撃ルート上の機器が攻撃された場合に受ける被害内容を示す被害情報を特定する被害特定処理、および、ネットワークトポロジに重畳させて攻撃ルートをディスプレイ装置上に表示する表示制御処理を実行させ、コンピュータに、表示制御処理で、診断対象システムへの影響に応じた態様で、攻撃ルートをディスプレイ装置上に表示させ、コンピュータに、表示制御処理で、攻撃ルート上の機器の近傍に、被害内容を示す被害情報を表示させることを特徴とする。また、本発明は、上記の分析プログラムを記録したコンピュータ読み取り可能な記録媒体であってもよい。

本発明によれば、診断対象システムの構成に応じたセキュリティへの脅威の評価を行うことができる。

本発明の第１の実施形態の分析システムの例を示すブロック図である。 トポロジ特定部によって特定されるネットワークトポロジの例を示す模式図である。 「機器と攻撃状態との組合せ」の複数の遷移関係を示す情報の例を示す模式図である。 第１の実施形態における表示例を示す模式図である。 第１の実施形態における他の表示例を示す模式図である。 第１の実施形態における他の表示例を示す模式図である。 第１の実施形態の分析システムの処理経過の例を示すフローチャートである。 本発明の第２の実施形態の分析システムの例を示すブロック図である。 第２の実施形態における表示例を示す模式図である。 第２の実施形態における他の表示例を示す模式図である。 第２の実施形態における他の表示例を示す模式図である。 第２の実施形態の分析システムの処理経過の例を示すフローチャートである。 本発明の第３の実施形態の分析システムの例を示すブロック図である。 リスク情報記憶部に記憶されている情報の例を示す模式図である。 第３の実施形態における表示例を示す模式図である。 第３の実施形態の分析システムの処理経過の例を示すフローチャートである。 第３の実施形態の変形例を示すブロック図である。 被害情報記憶部が記憶する情報の例を示す模式図である。 第３の実施形態の変形例における表示例を示す模式図である。 複数の攻撃ルート上にある機器の被害情報を強調して表示する例を示す模式図である。 重要機器に関する被害情報を強調して表示する例を示す模式図である。 重要機器に至る攻撃ルートの評価値が大きい場合にその攻撃ルートを特に強調して表示する例を示す模式図である。 本発明の各実施形態の分析システムに係るコンピュータの構成例を示す概略ブロック図である。 本発明の分析システムの概要を示すブロック図である。

以下、本発明の実施形態を図面を参照して説明する。

実施形態１．
図１は、本発明の第１の実施形態の分析システムの例を示すブロック図である。第１の実施形態の分析システム１は、データ収集部２と、データ記憶部３と、トポロジ特定部４と、検出部５と、表示制御部６と、ディスプレイ装置７とを備える。

本発明の各実施形態における分析システムは、診断対象システムを仮想化し、各機器の情報等に基づいてシミュレーションを行うことによって、診断対象システムの分析を行う分析システムを想定している。

データ収集部２は、診断対象システム（セキュリティ診断の対象となるシステム）に含まれる各機器に関する情報を収集する。

診断対象システムの例として、例えば、企業内のＩＴ（Information Technology）システムや、工場やプラント等を制御するためのいわゆるＯＴ（Operational Technology）システム等が挙げられる。ただし、診断対象システムは、これらのシステムに限られない。複数の機器が通信ネットワークを介して接続されたシステムが、診断対象システムとなり得る。

診断対象システムに含まれる各機器は、通信ネットワークを介して接続されている。診断対象システムに含まれる機器の例として、例えば、パーソナルコンピュータ、サーバ、スイッチ、ルータ、工場に設置される工作機器、工作機器の制御装置等が挙げられる。ただし、機器は、上記の例に限定されない。また、機器は、物理的な機器であっても、仮想的な機器であってもよい。

データ収集部２が収集する情報の例として、例えば、機器に搭載されているＯＳ（Operating System）やそのバージョン情報、機器に搭載されているハードウェアの構成情報、機器に搭載されているソフトウェアやそのバージョン情報、機器が他の機器との間で授受する通信データやその通信データの授受に用いた通信プロトコルの情報、機器のポートの状態を示す情報（どのポートが開いているか）等が挙げられる。通信データには、その通信データの送信元や送信先の情報が含まれている。ただし、データ収集部２が収集する情報の例は、上記の例に限定されず、データ収集部２は、機器に関する情報として、他の情報を収集してもよい。

データ収集部２は、診断対象システムに含まれる各機器から、直接、機器に関する情報を収集してもよい。この場合、分析システム１は、各機器と通信ネットワークを介して接続されていて、データ収集部２は、通信ネットワークを介して、各機器から情報を収集すればよい。

あるいは、データ収集部２は、各機器の情報を収集する情報収集サーバから、各機器に関する情報を取得してもよい。この場合、分析システム１は、情報収集サーバと通信ネットワークを介して接続されていて、データ収集部２は、通信ネットワークを介して、情報収集サーバから各機器に関する情報を収集すればよい。

また、各機器にエージェントが搭載されている場合には、データ収集部２は、エージェントを介して各機器に関する情報を収集してもよく、エージェントを介して各機器の情報を収集した情報収集サーバから各機器に関する情報を取得してもよい。

各機器に搭載されたエージェントがそれぞれ、機器に関する情報を情報収集サーバに送信し、データ収集部２は、その情報収集サーバから、診断対象システムに含まれる各機器に関する情報を収集してもよい。この場合、例えば、分析システム１は、情報収集サーバと通信ネットワークを介して接続されていて、データ収集部２は、通信ネットワークを介して、その情報収集サーバから各機器に関する情報を収集すればよい。

データ収集部２は、診断対象システムに含まれる各機器に関する情報を収集すると、その情報を、データ記憶部３に記憶させる。

データ記憶部３は、データ収集部２が収集した各機器に関する情報を記憶する記憶装置である。

トポロジ特定部４は、各機器のネットワークトポロジを特定する。具体的には、トポロジ特定部４は、セキュリティ管理者（以下、単に管理者と記す。）から与えられたネットワークトポロジの構成を基に、各機器のネットワークトポロジを特定してもよいし、データ記憶部３に記憶された各機器に関する情報を基に、各機器のネットワークトポロジを特定してもよい。図２は、トポロジ特定部４によって特定されるネットワークトポロジの例を示す模式図である。図２では、複数の機器が通信ネットワークを介して接続されている状況を示している。

検出部５は、データ記憶部３に記憶された各機器に関するセキュリティの情報に基づいて、診断対象システムにおける攻撃ルートを検出する。具体的に、機器に関するセキュリティの情報は、機器に関するセキュリティ対応状況等を含む。

攻撃ルートは、診断対象システムにおいて、実行可能な攻撃の流れを示すものである。具体的には、攻撃ルートは、攻撃の起点となる機器から攻撃の終点となる機器までの、攻撃を受ける機器の順を示すルートである。

検出部５は、各機器に関するセキュリティの情報と、予め定められた分析ルールとに基づいて、攻撃ルートを検出してもよい。

また、例えば、検出部５は、以下に示す方法で攻撃ルートを検出してもよい。

まず、攻撃には複数の種類があり、機器の有する脆弱性に応じて、受ける可能性がある攻撃が異なる。そこで、本発明の各実施形態では、脆弱性によって攻撃を受ける可能性がある機器の状態を攻撃状態と定義する。例えば、攻撃状態として、「コードを実行できる状態（以下、execCodeと記す。）」、「データを改ざんできる状態（以下、dataInjectと記す。）」、「ファイルにアクセスできる状態（以下、accessFileと記す。）」、「アカウント情報を持っている状態（以下、hasAccountと記す。）」、「ＤｏＳ（Denial of Service ）攻撃を行える状態」等が挙げられる。

また、「機器と攻撃状態との組合せ」から別の「機器と攻撃状態との組合せ」への遷移を示す情報を攻撃シナリオと称することとする。「機器と攻撃状態との組合せ」から別の「機器と攻撃状態との組合せ」への遷移とは、ある機器にてある攻撃が可能になることで、その機器または別の機器で別のある攻撃が可能になることを示すものである。検出部５は、各機器に関するセキュリティの情報と、予め定められた分析ルールとに基づいて、診断対象システムで起こり得る攻撃シナリオを検出する。具体的には、検出部５は、各機器に関するセキュリティの情報が、分析ルールが示す条件にマッチするかに応じて、攻撃シナリオを検出する。検出部５は、検出した複数の攻撃シナリオにおいて、「機器と攻撃状態との組合せ」をノードとみなし、共通のノードを繋げることで、「機器と攻撃状態との組合せ」の複数の遷移関係を示す情報を得る。図３は、この情報の例を模式的に示す模式図である。図３において、“Ａ”，“Ｂ”，“Ｕ”，“Ｗ”，“Ｘ”，“Ｙ”，“Ｚ”はそれぞれ機器を表わしている。ここでは、図３に示す情報が得られた場合を例にして説明する。

また、検出部５は、ユーザインタフェース（図示略）を介して、管理者から、分析対象の指定を受け付ける。分析対象は、攻撃の起点となる機器、攻撃の終点となる機器、および、それらの組み合わせ等でもよい。また、複数の分析対象の指定があってもよい。検出部５は、管理者から指定された分析対象に関して、「機器と攻撃状態との組合せ」の複数の遷移関係を示す情報（図３参照）に基づいて、攻撃ルートを検出する。

例えば、攻撃の起点となる機器Ｘと攻撃の終点となる機器Ｚとが管理者によって指定された場合、検出部５は、図３に模式的に示す情報に基づいて、「Ｘ→Ａ→Ｙ→Ｚ」という攻撃ルート（以下、攻撃ルート１と記す。）、および、「Ｘ→Ａ→Ｂ→Ｚ」という攻撃ルート（以下、攻撃ルート２と記す。）を検出することができる。このように、１つの起点および１つの終点が指定された場合であっても、複数の攻撃ルートが存在することもあり得る。

また、例えば、攻撃の起点となる機器Ｘと攻撃の終点となる機器Ｗとが管理者によって指定された場合、検出部５は、図３に模式的に示す情報に基づいて、「Ｘ→Ａ→Ｙ→Ｗ」という攻撃ルートを検出することができる。

この方法は、検出部５が攻撃ルートを検出する方法の一例である。

上記の方法において、異なる攻撃ルート上に共通の機器が存在する場合であっても、その機器の攻撃状態が同一であるとは限らない。機器が複数の脆弱性を有していたり、１つの脆弱性によって複数の攻撃を受けてしまう可能性もあるため、異なる攻撃ルート上の共通の機器の攻撃状態が異なる場合がある。例えば、上記の攻撃ルート１では、機器Ａの攻撃状態は“dataInject”であり、上記の攻撃ルート２では、機器Ａの攻撃状態は“hasAccount”である（図３参照）。

また、管理者に指定された分析対象に対して、必ず攻撃ルートが検出されるとは限らない。例えば、攻撃の起点となる機器Ｚと攻撃の終点となる機器Ｘとが管理者によって指定された場合、攻撃ルートは検出されない（図３参照）。すなわち、機器Ｚから機器Ｘに至る攻撃は存在しないということである。

また、管理者が起点のみを指定する場合、検出部５は、後述する重要機器を終点として設定してもよい。また、管理者が終点のみを指定する場合、検出部５は、起点となりうる可能性の高い所定の端末を起点として設定してもよい。

表示制御部６は、トポロジ特定部４によって特定されたネットワークトポロジに重畳させて攻撃ルートをディスプレイ装置７上に表示する。このとき、表示制御部６は、攻撃による診断対象システムへの影響に応じた態様で、検出部５によって検出された攻撃ルートをディスプレイ装置７上に表示する。

例えば、表示制御部６は、攻撃による診断対象システムへの影響が大きい攻撃ルートを強調してもよいし、攻撃による診断対象システムへの影響が大きい攻撃ルート上に存在する機器を強調表示してもよい。

本実施形態では、表示制御部６は、複数の攻撃ルートの重複部分を、攻撃ルート上で複数の攻撃ルートが重複していない部分とは異なる態様でディスプレイ装置７上に表示する。複数の攻撃ルートの重複部分に存在する機器は、複数の攻撃ルートで攻撃対象となる。従って、複数の攻撃ルートの重複部分に存在する機器による影響が大きいと言える。上記のように、表示制御部６は、複数の攻撃ルートの重複部分を、攻撃ルート上で複数の攻撃ルートが重複していない部分とは異なる態様で表示することによって、攻撃による影響が大きい箇所を強調する。このような表示は、攻撃によく利用される機器であったり、踏み台とされやすい機器を強調することになる。その結果、管理者は、多くの攻撃に利用される箇所を把握でき、管理者にとって、優先して対処すべきものの判断が容易になる。

例えば、表示制御部６は、複数の攻撃ルートの重複部分を、攻撃ルート上で複数の攻撃ルートが重複していない部分とは異なる態様でディスプレイ装置７上に表示してもよい。より具体的には、例えば、表示制御部６は、複数の攻撃ルートの重複部分に該当する線を、攻撃ルート上で複数の攻撃ルートが重複していない部分に該当する線よりも太い線で表示してもよい。このような表示例を図４に示す。

図４に示す例では、表示制御部６は、「機器ａ→機器ｅ→機器ｂ」という攻撃ルート（以下、符号“５０”で表し、攻撃ルート５０と記す。）、および、「機器ｃ→機器ｅ→機器ｄ」という攻撃ルート（以下、符号“５１”で表し、攻撃ルート５１と記す。）を表示している。また、表示制御部６は、「機器ｆ→機器ｇ」という攻撃ルート（以下、符号“５２”で表し、攻撃ルート５２と記す。）も表示している。そして、表示制御部６は、攻撃ルート５０，５１の重複部分に該当する線を、攻撃ルート５０，５１における重複していない部分に該当する線よりも太く表示している。また、攻撃ルート５２は他の攻撃ルートとの重複部分がなく、表示制御部６は、攻撃ルート５２を、攻撃ルート５０，５１における重複していない部分に該当する線と同じ太さの線で表示している。

図４に例示する表示を確認した管理者は、重複部分を有する攻撃ルート５０，５１への対処を攻撃ルート５２への対処よりも優先させるべきであり、特に、その重複部分に存在する機器ｅへの攻撃に関する対処を優先させるべきことを容易に判断できる。なお、攻撃に関する対処の例として、例えば、「攻撃に利用される脆弱性を持つソフトウェアにパッチを当てる。」、「特定のポートを閉じる。」等が挙げられる。

図４に示す例では、表示制御部６が、複数の攻撃ルートの重複部分を、攻撃ルート上で複数の攻撃ルートが重複していない部分とは異なる太さで表示する場合を示した。表示制御部６は、複数の攻撃ルートの重複部分を、攻撃ルート上で複数の攻撃ルートが重複していない部分とは異なる色で表示してもよい。この場合の表示例を、図５に示す。図５では、表示制御部６が、攻撃ルート５０，５１の重複部分に該当する線を、攻撃ルート５０，５１における重複していない部分に該当する線よりも濃い色で表示することによって、攻撃ルートの共通部分を強調する表示を例示している。

また、表示制御部６は、複数の攻撃ルートの重複部分を、攻撃ルート上で複数の攻撃ルートが重複していない部分とは異なる線種で表示してもよい。この場合の表示例を、図６に示す。図６では、表示制御部６が、攻撃ルート５０，５１の重複部分に該当する線を点線で表示し、攻撃ルート５０，５１における重複していない部分に該当する線を実線で表示することによって、攻撃ルートの共通部分を強調する表示を例示している。図６では、攻撃ルートの共通部分を点線によって強調する場合を例示したが、視認性や強調度合いに応じて、強調部分の線種を適宜変更してもよい。

なお、上記の実施形態では、表示制御部６が、攻撃ルートの重複部分を強調して表示する例を示したが、複数の攻撃ルートの共通部分に存在する機器を強調して表示してもよい。例えば、表示制御部６は、複数の攻撃ルートの共通部分に存在する機器を、他の機器とは異なる色で表示してもよいし、他の機器とは異なる線種で表示してもよい。

なお、ディスプレイ装置７は、情報を表示する装置であり、一般的なディスプレイ装置でよい。なお、分析システム１がクラウド上に存在する場合には、ディスプレイ装置７は、クラウドに接続される端末のディスプレイ装置等であってもよい。

データ収集部２は、例えば、分析プログラムに従って動作するコンピュータのＣＰＵ（Central
Processing Unit ）、および、そのコンピュータの通信インタフェースによって実現される。例えば、ＣＰＵが、コンピュータのプログラム記憶装置等のプログラム記録媒体から分析プログラムを読み込み、そのプログラムに従って、通信インタフェースを用いて、データ収集部２として動作すればよい。また、トポロジ特定部４、検出部５および表示制御部６は、例えば、分析プログラムに従って動作するコンピュータのＣＰＵによって実現される。例えば、ＣＰＵが上記のようにプログラム記録媒体から分析プログラムを読み込み、そのプログラムに従って、トポロジ特定部４、検出部５および表示制御部６として動作すればよい。データ記憶部３は、例えば、コンピュータが備える記憶装置によって実現される。

次に、処理経過について説明する。図７は、第１の実施形態の分析システム１の処理経過の例を示すフローチャートである。既に説明した事項については説明を省略する。

まず、データ収集部２が、診断対象システムに含まれる各機器に関する情報を収集する（ステップＳ１）。データ収集部２は、収集した情報をデータ記憶部３に記憶させる。

次に、トポロジ特定部４が、各機器のネットワークトポロジを特定する（ステップＳ２）。

次に、検出部５が、各機器に関するセキュリティの情報に基づいて、診断対象システムにおける攻撃ルートを検出する（ステップＳ３）。

次に、表示制御部６が、ネットワークトポロジに重畳させて、複数の攻撃ルートの重複部分に該当する線を、攻撃ルート上で複数の攻撃ルートが重複していない部分に該当する線とは異なる態様でディスプレイ装置７上に表示する（ステップＳ４）。

本実施形態によれば、上記のように、表示制御部６が、複数の攻撃ルートの重複部分に該当する線を、攻撃ルート上で複数の攻撃ルートが重複していない部分に該当する線とは異なる態様でディスプレイ装置７上に表示する。この表示によって、攻撃によく利用される機器であったり、踏み台とされやすい機器を強調することになる。従って、管理者は、多くの攻撃に利用される箇所を把握でき、管理者にとって、優先して対処すべきものの判断が容易になる。そして、診断対象システムの構成に応じて、各攻撃ルートが検出され、表示制御部６が上記のような方法で、各攻撃ルートを表示する。従って、診断対象システムの構成に応じたセキュリティへの脅威の評価を行うことができる。本発明の各実施形態における評価は、脆弱性そのものに対する評価ではなく、固有の構成を有する診断対象システム全体に対する評価である。従って、そのような診断対象システムへの影響の大きさ等に応じた問題を見つけ、その問題に対する対処をとることが可能となる。

第１の実施形態の種々の変形例を以下に示す。

表示制御部６は、複数の攻撃ルートの重複部分が存在している場合に、その重複部分に存在する機器の攻撃状態が、その攻撃ルート毎に異なる場合には、その攻撃ルートの重複部分をまとめて表示せずに、その攻撃ルートをそれぞれ別々に表示してもよい。

また、表示制御部６は、複数の攻撃ルートの重複部分を、攻撃ルート上で複数の攻撃ルートが重複していない部分とは異なる態様で表示する場合、状況によって、例えば、重複部分の太さを変えたり、色を変えたりしてもよい。例えば、表示制御部６は、重複する攻撃ルートの数が一定数以下ならば、重複部分の太さと、重複していない部分の太さとを変え、重複する攻撃ルートの数が一定数を超えるならば、重複部分の色と、重複していない部分の色とを変えてもよい。上記の例において、重複する攻撃ルートの数が一定数以下である場合とそうでない場合の表示方法を逆にしてもよい。

また、多数の攻撃ルートが存在する場合には、重複部分を有する攻撃ルートのセットが複数生じ得る。このような場合、表示制御部６は、重複部分を有する攻撃ルートのセット毎に、重複部分の表示方法を変えてもよい。例えば、表示制御部６は、ある攻撃ルートのセットに関しては、重複部分の太さと、重複していない部分の太さとを変え、別の攻撃ルートのセットに関しては、重複部分の色と、重複していない部分の色とを変えてもよい。

また、表示制御部６は、画面に表示される機器の数に応じて重複部分の表示方法を変えてもよい。例えば、表示制御部６は、画面に表示される機器の数が一定数以下の場合、重複部分の太さと、重複していない部分の太さとを変え、画面に表示される機器の数が一定数を超える場合、重複部分の色や線種と、重複していない部分の色や線種とを変えてもよい。

なお、第１の実施形態において、表示制御部６は、複数の攻撃ルートの重複部分を、攻撃ルート上で複数の攻撃ルートが重複していない部分よりも目立たなくなるように表示してもよい。ここで、目立たない表示の例として、細い線で表示したり、他の線と比較して薄い色や目立たない色で表示したりすることが挙げられる。

実施形態２．
図８は、本発明の第２の実施形態の分析システムの例を示すブロック図である。第１の実施形態の要素と同様の要素については、図１と同一の符号を付す。第２の実施形態の分析システム１は、データ収集部２と、データ記憶部３と、トポロジ特定部４と、検出部５と、重要機器特定部８と、表示制御部６と、ディスプレイ装置７とを備える。

データ収集部２、データ記憶部３、トポロジ特定部４、検出部５およびディスプレイ装置７は、第１の実施形態におけるそれらの要素と同様であり、説明を省略する。

重要機器特定部８は、診断対象システムに含まれる各機器の中から、重要機器を特定する。ここで、重要機器とは、診断対象システムにおいて重要な機器であり、攻撃を受けることが好ましくない機器である。どのような種類の機器を重要機器とするかは、予め管理者が定めておけばよい。本例では、アカウント情報（ＩＤとパスワードとの組）を複数保持するアカウントサーバを重要機器とする場合を例にして説明する。ただし、アカウントサーバ以外の種類の機器を重要機器としてもよい。例えば、機密情報が格納されるストレージを重要機器としてもよい。また、重要機器に該当する機器の種類は複数であってもよい。１つの診断対象システムに、重要機器に該当する機器が複数存在していてもよい。

重要機器特定部８は、例えば、診断対象システムに含まれる各機器のうち重要機器に該当する機器の指定を、ユーザインタフェース（図示略）を介して管理者から受け付けることによって、重要機器を特定してもよい。

また、管理者からの指定によらずに、重要機器特定部８は、データ収集部２によって収集された各機器に関する情報に基づいて、重要機器を特定してもよい。以下の説明は、重要機器特定部８が、診断対象システムに含まれる機器の１つを、重要機器の一例であるアカウントサーバとして特定する場合の例である。

アカウントサーバには、アカウントサーバ用のソフトウェアが搭載されている。また、アカウントサーバは、所定のプロトコルで他の機器と通信データを授受する。また、例えば、アカウントサーバでは、所定のポートが開いた状態になっている。従って、例えば、重要機器特定部８は、各機器に関する情報に基づいて、アカウントサーバ用のソフトウェアが搭載されている機器を各機器の中から特定し、その機器を重要機器（本例では、アカウントサーバ）として決定してもよい。また、例えば、重要機器特定部８は、各機器に関する情報に基づいて、所定のプロトコルで他の機器と通信データを授受する機器を各機器の中から特定し、その機器を重要機器（本例では、アカウントサーバ）として決定してもよい。また、例えば、重要機器特定部８は、各機器に関する情報に基づいて、所定のポートが開いた状態になっている機器を各機器の中から特定し、その機器を重要機器（本例では、アカウントサーバ）として決定してもよい。

上記の例では、「アカウントサーバ用のソフトウェアが搭載されている」、「所定のプロトコルで他の機器と通信データを授受する機器である」、「所定のポートが開いた状態になっている」という条件を例示した。重要機器特定部８は、これらの条件のうち、予め定められた２つ以上の条件が満たされている機器を、アカウントサーバとして特定してもよい。

また、アカウントサーバ以外の機器が重要機器として定められている場合、その重要機器に該当する条件も予め定めておけばよい。そして、重要機器特定部８は、各機器に関する情報に基づいて、定められた条件を満たす機器を各機器の中から特定し、その機器を重要機器として決定すればよい。

表示制御部６は、ネットワークトポロジに重畳させて攻撃ルートをディスプレイ装置７上に表示する。このとき、表示制御部６は、攻撃による診断対象システムへの影響に応じた態様で攻撃ルートをディスプレイ装置７上に表示する。

本実施形態では、表示制御部６は、重要機器に至る攻撃ルートを、重要機器に至らない攻撃ルートとは異なる態様でディスプレイ装置７上に表示する。重要機器は、診断対象システムにおいて重要な機器であり、攻撃を受けることが好ましくない機器である。重要機器に至る攻撃ルートに沿った攻撃による診断対象システムへの影響は大きい。上記のように、表示制御部６が、重要機器に至る攻撃ルートを、重要機器に至らない攻撃ルートとは異なる態様で表示することによって、攻撃による影響が大きい攻撃ルートを管理者に示すことができる。なお、複数種類の重要機器が存在する場合や同じ種類の重要機器が複数存在する場合に、表示制御部６は、それぞれの重要機器毎に、重要機器に至る攻撃ルートの表示態様を変えてもよい。

例えば、表示制御部６は、重要機器に至る攻撃ルートを表わす線を、重要機器に至らない攻撃ルートを表わす線よりも太い線で表示してもよい。このような表示例を図９に示す。

図９に示す例では、表示制御部６は、「機器ａ→機器ｅ→機器ｂ」という攻撃ルート（第１の実施形態と同様に、攻撃ルート５０と記す。）、および、「機器ｆ→機器ｇ」という攻撃ルート（第１の実施形態と同様に、攻撃ルート５２と記す。）を表示している。また、本例では、重要機器特定部８は、図９に示す機器ｂのみを重要機器として特定しているものとする。この場合、攻撃ルート５０は、重要機器に至る攻撃ルートであり、攻撃ルート５２は、重要機器に至らない攻撃ルートである。従って、表示制御部６は、攻撃ルート５０に該当する線を、攻撃ルート５２に該当する線よりも太く表示している。

図９に例示する表示を確認した管理者は、重要機器への攻撃を容易に把握可能となる。

図９に示す例では、重要機器に至る攻撃ルート５０に該当する線の太さと、重要機器に至らない攻撃ルート５２に該当する線の太さとを変える場合を示した。表示制御部６は、重要機器に至る攻撃ルート５０に該当する線の色を、重要機器に至らない攻撃ルート５２に該当する線とは異なる色で表示することによって、重要機器に至る攻撃ルート５０を強調してもよい。この場合の表示例を図１０に示す。図１０では、表示制御部６が、重要機器に至る攻撃ルート５０に該当する線を、攻撃ルート５２に該当する線よりも濃い色で表示することによって、重要機器に至る攻撃ルート５０を強調する表示を例示している。

また、表示制御部６は、重要機器に至る攻撃ルート５０に該当する線を、重要機器に至らない攻撃ルート５２に該当する線とは異なる線種で表示することによって、重要機器に至る攻撃ルート５０を強調してもよい。この場合の表示例を、図１１に示す。図１１では、重要機器に至る攻撃ルート５０に該当する線を点線で表示し、重要機器に至る攻撃ルート５２を実線で表示することによって、重要機器に至る攻撃ルート５０を強調する表示を例示している。なお、視認性や強調度合いに応じて、強調部分の線種を適宜変更してもよい。

重要機器特定部８は、例えば、分析プログラムに従って動作するコンピュータのＣＰＵによって実現される。例えば、ＣＰＵが、プログラム記録媒体から分析プログラムを読み込み、そのプログラムに従って、重要機器特定部８として動作すればよい。

次に、処理経過について説明する。図１２は、第２の実施形態の分析システム１の処理経過の例を示すフローチャートである。第１の実施形態の動作と同様の動作については、図７と同一のステップ番号を付している。また、既に説明した事項については説明を省略する。

ステップＳ１～Ｓ３は、第１の実施形態におけるステップＳ１～Ｓ３（図７参照）と同様であり、説明を省略する。

ステップＳ３の後、重要機器特定部８が、診断対象システムに含まれる各機器の中から、重要機器を特定する（ステップＳ１１）。

次に、表示制御部６が、ネットワークトポロジに重畳させて、重要機器に至る攻撃ルートを、重要機器に至らない攻撃ルートとは異なる態様でディスプレイ装置７上に表示する（ステップＳ１２）。

本実施形態によれば、上記のように、表示制御部６が、重要機器に至る攻撃ルートを、重要機器に至らない攻撃ルートとは異なる態様でディスプレイ装置７上に表示する。従って、管理者は、重要機器に至る攻撃ルートを容易に把握できる。そして、重要機器は、診断対象システムにおいて重要な機器であり、攻撃を受けることが好ましくない機器である。管理者は、重要機器に至る攻撃ルートを容易に把握でき、その攻撃ルートに対する対処を検討することが可能となる。

なお、第２の実施形態において、表示制御部６は、重要機器に至る攻撃ルートを、重要機器に至らない攻撃ルートよりも目立たなくなるように表示してもよい。目立たない表示の例については既に説明しているので、ここでは説明を省略する。

実施形態３．
図１３は、本発明の第３の実施形態の分析システムの例を示すブロック図である。第１の実施形態や第２の実施形態の要素と同様の要素については、図１や図８と同一の符号を付す。第３の実施形態の分析システム１は、データ収集部２と、データ記憶部３と、トポロジ特定部４と、検出部５と、評価値導出部９と、リスク情報記憶部１０と、表示制御部６と、ディスプレイ装置７とを備える。

データ収集部２、データ記憶部３、トポロジ特定部４、検出部５およびディスプレイ装置７は、第１の実施形態や第２の実施形態におけるそれらの要素と同様であり、説明を省略する。

評価値導出部９は、攻撃ルート上の機器に関する情報と、リスク情報記憶部１０に記憶されている情報とに基づいて、その攻撃ルートでの攻撃によるリスクの程度を示す評価値を導出する。評価値導出部９は、攻撃ルート毎に評価値を導出する

リスク情報記憶部１０に記憶されている情報について説明する。図１４は、リスク情報記憶部１０に記憶されている情報の例を示す模式図である。

種々のソフトウェアと種々のセキュリティ上の脆弱性との関係は予め定められている。リスク情報記憶部１０は、種々のソフトウェアと種々の脆弱性との関係とを示す情報を、例えば、テーブル形式で記憶する（図１４の上段に示すテーブルを参照）。以下、ソフトウェアと脆弱性との関係を示すテーブルを第１テーブルと記す。管理者は、第１テーブルを予めリスク情報記憶部１０に記憶させておけばよい。

セキュリティ上の脆弱性は、大きく２つがある。第１は、ソフトウェアや機器（ルータ等）の不具合が原因の脆弱性である。この脆弱性については、様々な機関によって情報が収集、分類され、脆弱性は、適宜、採番される。一例として、共通脆弱性識別子ＣＶＥ（Common Vulnerabilities and Exposures）では、発見された脆弱性に対して“CVE-****-**** ”という形式の識別子が割り当てられる。第２は、プロトコルの仕様が原因の脆弱性である。このような脆弱性の例として、「ＦＴＰ（File Transfer Protocol）の悪用」、「Telnetの悪用」等が挙げられる。本発明の各実施形態において、脆弱性は、この第１および第２の脆弱性を含む。

また、リスク情報記憶部１０は、脆弱性毎に、脆弱性を利用した攻撃によるリスクの程度を示す評価値を、例えば、テーブル形式で記憶する（図１４の下段に示すテーブルを参照）。以下、脆弱性と評価値との関係を示すテーブルを第２テーブルと記す。

第２テーブルに格納される評価値は、予め脆弱性毎に定めておけばよい。例えば、脆弱性が、ソフトウェアや機器の脆弱性であれば、その脆弱性に対して定められたＣＶＳＳ ｖ３（Common Vulnerability Scoring System v3）におけるリスク値を、評価値として用いてもよい。また、ＣＶＳＳ ｖ３では、「攻撃に管理者権限が必要であるか否か」、「攻撃に人間の関与が必要であるか否か」、「可用性に対する危険度」等の情報も含まれる。これらの値に応じて、リスク値を補正した値を評価値として用いてもよい。また、「発見されて間もない脆弱性であるか否か」、「最近、攻撃されることが多い脆弱性であるか否か」等の情報を考慮して、ＣＶＳＳ ｖ３におけるリスク値を補正した値を評価値として用いてもよい。

また、「ＦＴＰの悪用」、「Telnetの悪用」等のように、プロトコルの仕様が原因の脆弱性の場合には、管理者が、適宜、評価値を予め定めればよい。

上記の例のように、管理者は、脆弱性毎に予め評価値を定め、第２テーブルをリスク情報記憶部１０に記憶させておけばよい。

評価値導出部９が、１つの攻撃ルートの評価値を導出する方法の例を説明する。評価値導出部９は、着目している攻撃ルート上の機器毎に、機器に搭載されている各ソフトウェアを確認し、第１テーブル（図１４参照）を参照することによって、機器に搭載されている各ソフトウェアに対応する各脆弱性を判定する。さらに、評価値導出部９は、着目している攻撃ルート上の機器毎に、判定した脆弱性の中から、攻撃ルートに応じた脆弱性を特定する。既に説明したように、異なる攻撃ルート上に共通の機器が存在する場合であっても、その機器の攻撃状態が同一であるとは限らない。従って、上記のように、評価値導出部９は、攻撃ルートに応じた脆弱性を特定する。

評価値導出部９は、着目している攻撃ルート上の機器毎に脆弱性を特定したならば、機器毎に、脆弱性に対応する評価値を第２テーブル（図１４参照）から読み込む。そして、評価値導出部９は、攻撃ルート上の機器毎に得られた評価値に基づいて、着目している攻撃ルートの評価値を導出する。例えば、評価値導出部９は、攻撃ルート上の機器毎に得られた評価値の和を、その攻撃ルートの評価値としてもよい。また、例えば、評価値導出部９は、攻撃ルート上の機器毎に得られた評価値の最大値を、その攻撃ルートの評価値としてもよい。

評価値導出部９は、攻撃ルート毎に、上記の方法で評価値を導出してもよい。

評価値の計算方法の他の例について説明する。評価値導出部９は、脆弱性毎に、脆弱性が診断対象システムにおけるいくつの攻撃パターンで用いられるのかを計算し、その計算結果を、脆弱性の評価値と定めてもよい。ここで、攻撃パターンとは、少なくとも、攻撃の条件となる攻撃状態、攻撃の結果となる攻撃状態、および、その攻撃で利用される脆弱性を含む情報である。そして、前述のように、評価値導出部９は、着目している攻撃ルート上の機器毎に、攻撃ルートに応じた脆弱性を特定する。評価値導出部９は、機器毎に特定した脆弱性の評価値として、その脆弱性を用いる攻撃パターンの数を用いる。このように、攻撃ルート上の機器毎に評価値を求めた後、機器毎に求めた評価値に基づいて、着目している攻撃ルートの評価値を導出する。例えば、評価値導出部９は、攻撃ルート上の機器毎に得られた評価値の和を、その攻撃ルートの評価値としてもよい。また、例えば、評価値導出部９は、攻撃ルート上の機器毎に得られた評価値の最大値を、その攻撃ルートの評価値としてもよい。評価値導出部９は、攻撃ルート毎に、この方法で評価値を導出してもよい。

表示制御部６は、ネットワークトポロジに重畳させて攻撃ルートをディスプレイ装置７上に表示する。このとき、表示制御部６は、攻撃による診断対象システムへの影響に応じた態様で攻撃ルートをディスプレイ装置７上に表示する。

本実施形態では、表示制御部６は、攻撃ルート毎に導出された評価値に応じた態様で、各攻撃ルートをディスプレイ装置７上に表示する。すなわち、表示制御部６は、評価値の大きさに応じて攻撃ルートを強調表示する。例えば、表示制御部６は、評価値に応じた太さの線で各攻撃ルートを表示してもよい。具体的には、表示制御部６は、評価値が大きいほど攻撃ルートを太い線で表し、評価値が小さいほど攻撃ルートを細い線で表してもよい。このような表示例を図１５に示す。

図１５に示す例では、表示制御部６は、「機器ａ→機器ｅ→機器ｂ」という攻撃ルート（第１の実施形態と同様に、攻撃ルート５０と記す。）、「機器ｆ→機器ｇ」という攻撃ルート（第１の実施形態と同様に、攻撃ルート５２と記す。）、および、「機器ｃ→機器ｉ」という攻撃ルート（符号“５３”で表し、攻撃ルート５３と記す。）を表示している。そして、本例では、表示制御部６は、攻撃ルート５０を表わす線を最も太く表示し、攻撃ルート５２を表わす線を最も細く表示し、攻撃ルート５３を表わす線を、中程度の太さで表示している。

従って、表示された線の太さに基づいて、攻撃ルート５０の評価値が最も大きく、攻撃ルート５３の評価値が２番目に大きく、攻撃ルート５２の評価値が最も小さいことを、管理者は容易に判断できる。換言すれば、管理者は、攻撃ルート５０に沿った攻撃の影響が最も高く、攻撃ルート５３に沿った攻撃の影響が２番目に高く、攻撃ルート５２に沿った攻撃の影響が最も低いことを、管理者は容易に判断できる。

図１５に示す例では、表示制御部６が、評価値に応じた太さの線で各攻撃ルートを表示する場合を示した。表示制御部６は、評価値に応じた色で各攻撃ルートを表示してもよい。あるいは、表示制御部６は、評価値に応じた線種で各攻撃ルートを表示してもよい。そのような場合でも、管理者は、色や線種によって、攻撃ルートの評価値（診断対象システムへの影響）を判断できる。

評価値導出部９は、例えば、分析プログラムに従って動作するコンピュータのＣＰＵによって実現される。例えば、ＣＰＵが、プログラム記録媒体から分析プログラムを読み込み、そのプログラムに従って、評価値導出部９として動作すればよい。また、リスク情報記憶部１０は、例えば、コンピュータが備える記憶装置によって実現される。

次に、処理経過について説明する。図１６は、第３の実施形態の分析システム１の処理経過の例を示すフローチャートである。第１の実施形態や第２の実施形態と同様の動作については、図７や図１２と同一のステップ番号を付している。また、既に説明した事項については説明を省略する。

ステップＳ１～Ｓ３は、第１の実施形態や第２の実施形態におけるステップＳ１～Ｓ３（図７、図１２を参照）と同様であり、説明を省略する。

ステップＳ３の後、評価値導出部９は、攻撃ルート毎に評価値を算出する（ステップＳ２１）。

次に、表示制御部６が、ネットワークトポロジに重畳させて、攻撃ルート毎に導出された評価値に応じた態様で各攻撃ルートをディスプレイ装置７上に表示する（ステップＳ２２）。

本実施形態によれば、表示制御部６が、評価値に応じた態様で各攻撃ルートを表示する。従って、管理者は、攻撃ルート毎に、評価値（診断対象システムへの影響）を判断でき、その結果、優先的に対処すべき攻撃ルートを容易に判断することができる。すなわち、管理者は、評価値（診断対象システムへの影響）が大きい攻撃ルートを容易に判断できる。

なお、第３の実施形態において、検出部５によって検出された攻撃ルートの数が非常に多い場合、表示制御部６が、評価値に応じた態様で各攻撃ルートを表示すると、表示される攻撃ルートの数が多く、管理者にとって見づらい表示となることもあり得る。そこで、第３の実施形態において、表示制御部６は、検出部５によって検出された攻撃ルートの数が予め定められた所定数以下である場合に、評価値に応じた態様で各攻撃ルートをディスプレイ装置７上に表示してもよい。この場合、表示される攻撃ルートの数が制限されているので、管理者の判断のしやすさが向上する。

また、表示制御部６は、評価値の大きい順に（換言すれば、攻撃による影響が大きい順に）所定数の攻撃ルートを選択し、選択した所定数の攻撃ルートを評価値に応じた態様でディスプレイ装置７上に表示してもよい。表示制御部６は、選択しなかった攻撃ルートについては表示しなくてよい。この場合、検出部５によって検出された攻撃ルートの数が多くても、評価値の大きい順に所定数の攻撃ルートが選択され、選択された攻撃ルートが評価値に応じた態様で表示される。従って、表示される攻撃ルートの数が制限され、管理者の判断のしやすさが向上する。

なお、第３の実施形態において、表示制御部６は、評価値の大きい攻撃ルートを目立たないように表示し、評価値の小さい攻撃ルートを目立つように表示してもよい。目立たない表示の例については既に説明しているので、ここでは説明を省略する。

次に、第３の実施形態の変形例について説明する。図１７は、第３の実施形態の変形例を示すブロック図である。本変形例の分析システム１は、図１３に示す要素に加え、被害情報記憶部１１と、被害特定部１２とを備える。

被害情報記憶部１１は、機器の機能や攻撃種類に応じた被害情報（攻撃された場合に受ける被害内容を示す情報）を記憶する記憶装置である。

図１８は、被害情報記憶部１１が記憶する情報の例を示す模式図である。被害情報記憶部１１は、例えば、図１８に例示するように、機器の機能と、攻撃種類と、被害情報とを対応付けたテーブルを記憶する。なお、攻撃種類は、機器の機能に基づいて特定することができる。そして、被害情報は、機器の機能と攻撃種類の両方、あるいは、いずれか一方から特定することができる。図１８に例示する情報は、例えば、管理者が予め定めておき、被害情報記憶部１１に記憶させておけばよい。

被害特定部１２は、攻撃ルート上の機器毎に、被害情報を特定する。被害特定部１２は、この処理を、攻撃ルート毎に行う。ただし、攻撃ルート上には、被害情報が特定されない機器が存在していてもよい。

被害特定部１２が１つの攻撃ルートの機器毎に被害情報を特定する方法の例を説明する。被害特定部１２は、着目している攻撃ルートの機器毎に、機器の機能と、攻撃種類とを特定する。

被害特定部１２は、例えば、以下のように各機器の機能を特定する。

予め、機器の機能に応じた条件が定められている。例えば、「アカウントサーバ機能」に対しては、「アカウントサーバ用のソフトウェアが搭載されている」、「所定のプロトコルで他の機器と通信データを授受する機器である」、あるいは、「所定のポートが開いた状態になっている」という条件のいずれか１つ、あるいは、２つ以上が予め定められている。

また、例えば、「人事情報管理サーバ機能」に対しては、「人事情報管理サーバ用のソフトウェアが搭載されている」という条件が予め定められている。

被害特定部１２は、機能を特定しようとしている機器に関する情報を参照し、その情報がどの機能に応じた条件を満たしているのかを判定することによって、その機器の機能を特定すればよい。なお、被害特定部１２は、機器に関する情報がどの機能に応じた条件も満たしていないならば、その機器の機能として、「該当する機能なし」という結果を導出してもよい。

上記のような方法で、被害特定部１２は、着目している攻撃ルート上の各機器の機能を特定する。

また、前述のように、攻撃種類は、機器の機能に基づいて特定することができる。従って、被害特定部１２は、例えば、予め既知となっている機器の機能と攻撃種類との対応関係に基づいて、攻撃種類を特定すればよい。

ただし、被害特定部１２は、他の方法で機器の機能を特定してもよい。例えば、被害特定部１２は、攻撃ルート上の各機器の機能の指定を、ユーザインタフェース（図示略）を介して管理者から受け付けることによって、攻撃ルート上の各機器の機能を特定してもよい。攻撃種類に関しても同様である。

被害特定部１２は、着目している攻撃ルート上の１つの機器に関して、機器の機能および攻撃種類を特定したならば、被害情報記憶部１１が記憶しているテーブル（図１８参照）を参照して、例えば、機器の機能と攻撃種類の組み合わせに対応する被害情報を特定する。なお、被害情報は、機器の機能と攻撃種類の一方からも特定することができる。従って、被害特定部１２は、機器の機能に対応する被害情報を特定したり、攻撃種類に対応する被害情報を特定したりしてもよい。また、被害情報記憶部１１が記憶しているテーブル（図１８参照）を参照しても、機器の機能と攻撃種類の組み合わせ、または、そのいずれか一方に対応する被害情報を特定できない場合、被害特定部１２は、その機器の被害情報はないと判定する。被害特定部１２は、着目している攻撃ルート上の各機器に対して、この動作を行う。この結果、着目している攻撃ルート上の各機器の被害情報が定まる。

被害特定部１２は、攻撃ルート毎に上記と同様の動作を行い、各攻撃ルート上の各機器の被害情報を特定する。ただし、前述のように、被害情報が特定されない機器が存在していてもよい。

以上の説明では、被害特定部１２が機器の機能や攻撃種類に基づいて被害情報を定める場合を示した。被害特定部１２は、他の方法で被害情報を定めてもよい。例えば、予め、脆弱性の種類と被害情報とを対応付けることができる。被害特定部１２は、各攻撃ルート上の各機器にインストールされているソフトウェアに基づいて脆弱性の種類を特定し、その脆弱性の種類に基づいて被害情報を特定してもよい。

被害特定部１２は、上記の処理を、例えば、第３の実施形態におけるステップＳ２１（図１６参照）の次に行う。

そして、表示制御部６は、ステップＳ２２（図１６参照）において、第３の実施形態で説明したように各攻撃ルートを表示するとともに、被害情報が特定された機器の近傍に被害情報（すなわち、攻撃された場合に受ける被害内容を示す情報）を表示する。このような表示例を図１９に示す。図１９に示す例では、前述の攻撃ルート５０上の機器ｅ，ｂ、および、前述の攻撃ルート５３上の機器ｉについて、それぞれ被害情報が特定され、表示制御部６は、ディスプレイ装置７上に表示した機器ｅ，ｂ，ｉそれぞれの近傍に、対応する被害情報を表示した状態を示している。ここで、表示制御部６は、第３の実施形態で説明したように各攻撃ルートを表示するとともに、機器の近傍にその機器が有する脆弱性等のセキュリティに関する情報を併せて表示してもよい。

なお、表示制御部６は、被害情報が示す被害内容の大きさに応じて文字、ポップアップの大きさ、色を変えてもよい。例えば、予め、被害情報の内容にランクを付しておき、表示制御部６は、被害情報を表示するときに、そのランクに応じて、文字、ポップアップの大きさ、色を定めてもよい。

また、被害情報の表示態様は、上記の例に限定されない。例えば、表示制御部６は、被害情報が特定された機器の近傍に、その機器に関する被害情報があることを表わすアイコンを表示してもよい。そして、表示制御部６は、そのアイコンがマウス等によってクリックされた場合に、その機器に関する被害情報を表示してもよい。あるいは、表示制御部６は、そのアイコンがマウスオーバ状態になったときに、その機器に関する被害情報を表示してもよい（ロールオーバ）。また、表示制御部６は、被害情報をポップアップ表示し、マウス等による操作に応じて、そのポップアップ表示の大きさを変化させてもよい。

また、表示制御部６は、複数の攻撃ルート上にある機器の被害情報を強調して表示してもよい。図２０は、複数の攻撃ルート上にある機器の被害情報を強調して表示する例を示す模式図である。図２０に示すように、「機器ａ→機器ｅ→機器ｂ」という攻撃ルート５０と、「機器ｃ→機器ｅ→機器ｄ」という攻撃ルート５１とが重複していて、その重複部分に機器ｅが存在しているとする。すなわち、機器ｅは、複数の攻撃ルート５０，５１上に存在する。また、機器ｂは、１つの攻撃ルート５０上に存在する。そして、図２０に示す機器ｅおよび機器ｂの被害情報が特定されているとする。この場合、表示制御部６は、図２０に示すように、複数の攻撃ルート５０，５１上に存在する機器ｅの被害情報を、機器ｂの被害情報よりも強調して表示する。

図２０に示す例では、機器ｅの被害情報の吹き出しの線を太くすることによって、機器ｅの被害情報を強調する場合を示している。この点は、後述の図２１でも同様である。

また、表示制御部６は、重要機器に関する被害情報を強調して表示してもよい。図２１は、重要機器に関する被害情報を強調して表示する例を示す模式図である。図２１に示す例において、機器ｂおよび機器ｉの被害情報が特定されているとする。また、機器ｂが重要機器であり、機器ｉは重要機器でないとする。この場合、表示制御部６は、図２１に示すように、機器ｂの被害情報を、機器ｉの被害情報よりも強調して表示する。

被害特定部１２は、例えば、分析プログラムに従って動作するコンピュータのＣＰＵによって実現される。例えば、ＣＰＵが、プログラム記録媒体から分析プログラムを読み込み、そのプログラムに従って、被害特定部１２として動作すればよい。また、被害情報記憶部１１は、例えば、コンピュータが備える記憶装置によって実現される。

本変形例によれば、表示制御部６が、ディスプレイ装置７において、攻撃ルート上の機器が攻撃された場合に受ける被害内容を示す被害情報も機器の近傍に表示する。従って、管理者は、想定される被害内容に応じて、どの攻撃ルートに対する対処を優先的に行えばよいかを判断することができるようになる。

図１７から図２１までを参照して説明した変形例は、第１の実施形態や第２の実施形態にも適用可能である。例えば、第１の実施形態や第２の実施形態において、分析システム１が、リスク情報記憶部１０、被害情報記憶部１１および被害特定部１２を備えていてもよい。そして、表示制御部６が、ディスプレイ装置７において、攻撃ルート上の機器が攻撃された場合に受ける被害内容を示す被害情報もその機器の近傍に表示してもよい。なお、この場合、リスク情報記憶部１０は、第１テーブル（図１４参照）を記憶していればよく、第２テーブル（図１４参照）は記憶していなくてよい。上記の変形例を第１の実施形態に適用する場合、表示制御部６は、複数の攻撃ルートの重複部分に存在する機器の被害情報を他の機器の被害情報よりも強調して表示してもよい。また、上記の変形例を第２の変形例に適用する場合、表示制御部６は、重要機器の被害情報を他の機器の被害情報よりも強調して表示してもよい。

また、第１の実施形態に、第２の実施形態と第３の実施形態のいずれか一方または両方を適用してもよい。第１の実施形態に第３の実施形態を適用する場合には、表示制御部６は、複数の攻撃ルートの重複部分に該当する線の太さを、複数の攻撃ルートに応じて定めてもよい。具体的には、表示制御部６は、複数の攻撃ルートの重複部分に該当する線の太さを、その複数の攻撃ルートのそれぞれに対する評価値の和に応じた太さに定めてもよい。

第１の実施形態に第２の実施形態を組み合わせる場合の種々の例について説明する。

第１の実施形態に第２の実施形態を組み合わせる場合、表示制御部６は、重要機器に至る複数の攻撃ルートに重複部分が存在する場合、その重複部分を特に強調して表示してもよい。

また、表示制御部６は、複数の攻撃ルートに重複部分を線の太さで強調し、重要機器に至る攻撃ルートを線の色で強調してもよい。なお、本例において、重複部分の強調方法と、重要機器に至る攻撃ルートの強調方法とを逆にしてもよい。本例によれば、例えば、太さと色の両方で強調されている部分を有する攻撃ルートに関しては、脆弱性への対処を特に優先すべきであることを管理者は把握できる。

また、第２の実施形態に第３の実施形態を適用してもよい。

第２の実施形態に第３の実施形態を適用する場合の種々の例について説明する。表示制御部６は、重要機器に至る攻撃ルートの評価値が大きい場合には、その攻撃ルートを特に強調して表示してもよい。図２２は、この場合の表示例を示す模式図である。図２２に示す例において、攻撃ルート５０，５２，５３は、それぞれの評価値に応じた太さで表示される。ここで、攻撃ルート５０の評価値が特に大きい値であるものとする。また、図２２に示す機器ｂは、重要機器であるとする。すると、評価値の大きい攻撃ルート５０は、重要機器に至る攻撃ルートでもある。従って、表示制御部６は、攻撃ルート５０を、評価値に応じた太い線で表示するだけでなく、その太い線を点線とすることで、攻撃ルート５０をさらに強調して表示する。なお、強調の方法は、図２２に示す例に限定されない。

また、表示制御部６は、重要機器に至る攻撃ルートに関しては、評価値が小さくても、強調して表示してもよい。この表示態様は、重要機器に至る攻撃ルートへの攻撃は、評価値に関わらず影響が大きいという考え方に基づく。

あるいは、表示制御部６は、重要機器に至る攻撃ルートに関しては、評価値が小さい場合には、強調の程度を低くして表示してもよい。この表示態様は、重要機器に至る攻撃ルートであっても、評価値が小さい場合には攻撃の影響が小さく、対処の優先順位を下げてもよいという考え方に基づく。

また、表示制御部６は、重要機器に至らない攻撃ルートに関しては、評価値が大きくても、強調せずに表示してもよい。この表示態様は、攻撃対象の重要性が低いので、対処の優先順位を下げてもよいという考え方に基づく。

あるいは、表示制御部６は、重要機器に至らない攻撃ルートに関して、評価値が大きい場合には、その評価値に応じて強調して表示してもよい。この表示態様は、攻撃ルートの評価値自体が大きい場合に、攻撃の影響度が大きく、評価値に応じた優先順位で対処すべきという考え方に基づく。

このように、対処の優先順位に関する種々の考え方によって、表示制御部６は、種々の態様で攻撃ルートを表示してよい。

図２３は、本発明の各実施形態の分析システム１に係るコンピュータの構成例を示す概略ブロック図である。コンピュータ１０００は、ＣＰＵ１００１と、主記憶装置１００２と、補助記憶装置１００３と、インタフェース１００４と、ディスプレイ装置１００５と、通信インタフェース１００６とを備える。

本発明の各実施形態の分析システム１は、コンピュータ１０００によって実現される。分析システム１の動作は、分析プログラムの形式で補助記憶装置１００３に記憶されている。ＣＰＵ１００１は、その分析プログラムを補助記憶装置１００３から読み出して主記憶装置１００２に展開し、その分析プログラムに従って、上記の各実施形態で説明した処理を実行する。

補助記憶装置１００３は、一時的でない有形の媒体の例である。一時的でない有形の媒体の他の例として、インタフェース１００４を介して接続される磁気ディスク、光磁気ディスク、ＣＤ－ＲＯＭ（Compact Disk Read Only Memory ）、ＤＶＤ－ＲＯＭ（Digital Versatile Disk Read Only Memory ）、半導体メモリ等が挙げられる。また、プログラムが通信回線によってコンピュータ１０００に配信される場合、配信を受けたコンピュータ１０００がそのプログラムを主記憶装置１００２に展開し、そのプログラムに従って上記の各実施形態で説明した処理を実行してもよい。

また、各構成要素の一部または全部は、汎用または専用の回路（circuitry ）、プロセッサ等やこれらの組み合わせによって実現されてもよい。これらは、単一のチップによって構成されてもよいし、バスを介して接続される複数のチップによって構成されてもよい。各構成要素の一部または全部は、上述した回路等とプログラムとの組み合わせによって実現されてもよい。

各構成要素の一部または全部が複数の情報処理装置や回路等により実現される場合には、複数の情報処理装置や回路等は集中配置されてもよいし、分散配置されてもよい。例えば、情報処理装置や回路等は、クライアントアンドサーバシステム、クラウドコンピューティングシステム等、各々が通信ネットワークを介して接続される形態として実現されてもよい。

次に、本発明の概要について説明する。図２４は、本発明の分析システムの概要を示すブロック図である。本発明の分析システムは、診断対象システムを仮想化してシミュレーションを行う分析システムである。本発明の分析システムは、トポロジ特定部４と、検出部５と、表示制御部６とを備える。

トポロジ特定部４は、診断対象システムに含まれる機器のネットワークトポロジを特定する。

検出部５は、機器に関するセキュリティの情報に基づいて、診断対象システムにおいて、実行可能な攻撃の流れを示す攻撃ルートを検出する。

表示制御部６は、ネットワークトポロジに重畳させて攻撃ルートをディスプレイ装置上に表示する。このとき、表示制御部６は、診断対象システムへの影響に応じた態様で、攻撃ルートをディスプレイ装置上に表示する。

そのような構成によって、診断対象システムの構成に応じたセキュリティへの脅威の評価を行うことができる。

上記の本発明の実施形態は、以下の付記のようにも記載され得るが、以下に限定されるわけではない。

（付記１）
診断対象システムを仮想化してシミュレーションを行う分析システムにおいて、
前記診断対象システムに含まれる機器のネットワークトポロジを特定するトポロジ特定部と、
機器に関するセキュリティの情報に基づいて、前記診断対象システムにおいて、実行可能な攻撃の流れを示す攻撃ルートを検出する検出部と、
前記ネットワークトポロジに重畳させて前記攻撃ルートをディスプレイ装置上に表示する表示制御部とを備え、
前記表示制御部は、
前記診断対象システムへの影響に応じた態様で、前記攻撃ルートを前記ディスプレイ装置上に表示する
ことを特徴とする分析システム。

（付記２）
表示制御部は、
複数の攻撃ルートの重複部分を、攻撃ルート上で複数の攻撃ルートが重複していない部分とは異なる態様でディスプレイ装置上に表示する
付記１に記載の分析システム。

（付記３）
表示制御部は、
複数の攻撃ルートの重複部分に該当する線を、攻撃ルート上で複数の攻撃ルートが重複していない部分に該当する線とは異なる態様でディスプレイ装置上に表示する
付記１または付記２に記載の分析システム。

（付記４）
表示制御部は、
重要機器に至る攻撃ルートを、前記重要機器に至らない攻撃ルートとは異なる態様でディスプレイ装置上に表示する
付記１から付記３のうちのいずれかに記載の分析システム。

（付記５）
診断対象システムに含まれる各機器の中から、重要機器を特定する重要機器特定部を備え、
表示制御部は、
重要機器に至る攻撃ルートを、前記重要機器に至らない攻撃ルートとは異なる態様でディスプレイ装置上に表示する
付記１から付記４のうちのいずれかに記載の分析システム。

（付記６）
攻撃ルート毎に、攻撃によるリスクの程度を示す評価値を導出する評価値導出部を備え、
表示制御部は、
評価値に応じた態様で攻撃ルートをディスプレイ装置上に表示する
付記１から付記５のうちのいずれかに記載の分析システム。

（付記７）
表示制御部は、
攻撃ルートの数が予め定められた所定数以下である場合に、評価値に応じた態様で各攻撃ルートをディスプレイ装置上に表示する
付記６に記載の分析システム。

（付記８）
表示制御部は、
攻撃によるリスクの程度が大きい順に所定数の攻撃ルートを選択し、前記所定数の攻撃ルートを評価値に応じた態様でディスプレイ装置上に表示する
付記６に記載の分析システム。

（付記９）
攻撃ルート上の機器が攻撃された場合に受ける被害内容を示す被害情報を特定する被害特定部を備え、
表示制御部は、
攻撃ルート上の機器の近傍に被害情報を表示する
付記１から付記８のうちのいずれかに記載の分析システム。

（付記１０）
診断対象システムを仮想化してシミュレーションを行う分析方法において、
コンピュータが、
前記診断対象システムに含まれる機器のネットワークトポロジを特定し、
機器に関するセキュリティの情報に基づいて、前記診断対象システムにおいて、実行可能な攻撃の流れを示す攻撃ルートを検出し、
前記ネットワークトポロジに重畳させて前記攻撃ルートをディスプレイ装置上に表示し、
前記攻撃ルートを前記ディスプレイ装置上に表示するときに、前記診断対象システムへの影響に応じた態様で、前記攻撃ルートを前記ディスプレイ装置上に表示する
ことを特徴とする分析方法。

（付記１１）
コンピュータに、診断対象システムを仮想化してシミュレーションを行わせるための分析プログラムを記録したコンピュータ読み取り可能な記録媒体において、
前記コンピュータに、
前記診断対象システムに含まれる機器のネットワークトポロジを特定するトポロジ特定処理、
機器に関するセキュリティの情報に基づいて、前記診断対象システムにおいて、実行可能な攻撃の流れを示す攻撃ルートを検出する検出処理、および、
前記ネットワークトポロジに重畳させて前記攻撃ルートをディスプレイ装置上に表示する表示制御処理を実行させ、
前記コンピュータに、
前記表示制御処理で、
前記診断対象システムへの影響に応じた態様で、前記攻撃ルートを前記ディスプレイ装置上に表示させる
ための分析プログラムを記録したコンピュータ読み取り可能な記録媒体。

以上、実施形態を参照して本願発明を説明したが、本願発明は上記の実施形態に限定されるものではない。本願発明の構成や詳細には、本願発明のスコープ内で当業者が理解し得る様々な変更をすることができる。

この出願は、２０１９年３月２８日に出願された日本特許出願２０１９－０６３５９７を基礎とする優先権を主張し、その開示のすべてをここに取り込む。

産業上の利用の可能性

本発明は、攻撃ルートを表示する分析システムに好適に適用される。

１ 分析システム
２ データ収集部
３ データ記憶部
４ トポロジ特定部
５ 検出部
６ 表示制御部
７ ディスプレイ装置
８ 重要機器特定部
９ 評価値導出部
１０ リスク情報記憶部
１１ 被害情報記憶部
１２ 被害特定部

Claims (10)

1. 診断対象システムを仮想化してシミュレーションを行う分析システムにおいて、
   前記診断対象システムに含まれる機器のネットワークトポロジを特定するトポロジ特定部と、
   機器に関するセキュリティの情報に基づいて、前記診断対象システムにおいて、実行可能な攻撃の流れを示す攻撃ルートを検出する検出部と、
   前記ネットワークトポロジに重畳させて前記攻撃ルートをディスプレイ装置上に表示する表示制御部とを備え、
   前記表示制御部は、
   前記診断対象システムへの影響に応じた態様で、前記攻撃ルートを前記ディスプレイ装置上に表示し、
   前記攻撃ルート上の機器が攻撃された場合に受ける被害内容を示す被害情報を特定する被害特定部を備え、
   前記表示制御部は、
   前記攻撃ルート上の前記機器の近傍に、前記被害内容を示す前記被害情報を表示する
   ことを特徴とする分析システム。
2. 表示制御部は、
   複数の攻撃ルートの重複部分を、攻撃ルート上で複数の攻撃ルートが重複していない部分とは異なる態様でディスプレイ装置上に表示する
   請求項１に記載の分析システム。
3. 表示制御部は、
   複数の攻撃ルートの重複部分に該当する線を、攻撃ルート上で複数の攻撃ルートが重複していない部分に該当する線とは異なる態様でディスプレイ装置上に表示する
   請求項１または請求項２に記載の分析システム。
4. 表示制御部は、
   重要機器に至る攻撃ルートを、前記重要機器に至らない攻撃ルートとは異なる態様でディスプレイ装置上に表示する
   請求項１から請求項３のうちのいずれか１項に記載の分析システム。
5. 診断対象システムに含まれる各機器の中から、重要機器を特定する重要機器特定部を備え、
   表示制御部は、
   重要機器に至る攻撃ルートを、前記重要機器に至らない攻撃ルートとは異なる態様でディスプレイ装置上に表示する
   請求項１から請求項４のうちのいずれか１項に記載の分析システム。
6. 攻撃ルート毎に、攻撃によるリスクの程度を示す評価値を導出する評価値導出部を備え、
   表示制御部は、
   評価値に応じた態様で攻撃ルートをディスプレイ装置上に表示する
   請求項１から請求項５のうちのいずれか１項に記載の分析システム。
7. 表示制御部は、
   攻撃ルートの数が予め定められた所定数以下である場合に、評価値に応じた態様で各攻撃ルートをディスプレイ装置上に表示する
   請求項６に記載の分析システム。
8. 表示制御部は、
   攻撃によるリスクの程度が大きい順に所定数の攻撃ルートを選択し、前記所定数の攻撃ルートを評価値に応じた態様でディスプレイ装置上に表示する
   請求項６に記載の分析システム。
9. 診断対象システムを仮想化してシミュレーションを行う分析方法において、
   コンピュータが、
   前記診断対象システムに含まれる機器のネットワークトポロジを特定し、
   機器に関するセキュリティの情報に基づいて、前記診断対象システムにおいて、実行可能な攻撃の流れを示す攻撃ルートを検出し、
   前記攻撃ルート上の機器が攻撃された場合に受ける被害内容を示す被害情報を特定し、
   前記ネットワークトポロジに重畳させて前記攻撃ルートをディスプレイ装置上に表示し、
   前記攻撃ルートを前記ディスプレイ装置上に表示するときに、前記診断対象システムへの影響に応じた態様で、前記攻撃ルートを前記ディスプレイ装置上に表示し、
   前記攻撃ルートを前記ディスプレイ装置上に表示するときに、前記攻撃ルート上の前記機器の近傍に、前記被害内容を示す前記被害情報を表示する
   ことを特徴とする分析方法。
10. コンピュータに、診断対象システムを仮想化してシミュレーションを行わせるための分析プログラムにおいて、
    前記コンピュータに、
    前記診断対象システムに含まれる機器のネットワークトポロジを特定するトポロジ特定処理、
    機器に関するセキュリティの情報に基づいて、前記診断対象システムにおいて、実行可能な攻撃の流れを示す攻撃ルートを検出する検出処理、
    前記攻撃ルート上の機器が攻撃された場合に受ける被害内容を示す被害情報を特定する被害特定処理、および、
    前記ネットワークトポロジに重畳させて前記攻撃ルートをディスプレイ装置上に表示する表示制御処理を実行させ、
    前記コンピュータに、
    前記表示制御処理で、
    前記診断対象システムへの影響に応じた態様で、前記攻撃ルートを前記ディスプレイ装置上に表示させ、
    前記コンピュータに、
    前記表示制御処理で、
    前記攻撃ルート上の前記機器の近傍に、前記被害内容を示す前記被害情報を表示させる
    ための分析プログラム。

Images