JP7123659B2 - 脆弱性管理装置、脆弱性管理方法及びプログラム - Google Patents

Description

本発明は、脆弱性管理装置、脆弱性管理方法及びプログラムに関する。

近年、サイバー攻撃が高度化・多様化し続けており、企業活動を守るためにも継続的なセキュリティ対策を施すことが求められている。しかしながら、一般に、ＩＴシステム等の機器が利用するＯＳ（Operating System）やアプリケーション等では、その脆弱性が日々発見されており、脆弱性情報の収集や脆弱性に対する対応を継続的に行うことは、企業のシステム管理者等にとって大きな負担となっている。

これに対して、ＩＴシステム等の機器が有する脆弱性を自動で検出して、システム管理者等のユーザに脆弱性情報を通知する技術が知られている（例えば、特許文献１参照）。このような脆弱性の検出は、例えば、個別製品（ＯＳやアプリケーション等）中の脆弱性を識別するＣＶＥ（Common Vulnerabilities and Exposures）と呼ばれる識別子を用いて、ＣＶＥが付与されている個別製品を機器が利用しているか否かを判定することにより行われる場合が多い。

特開２０１５－２１９６６５号公報

ところで、ＯＳやアプリケーション等の個別製品に脆弱性が発見された場合、この個別製品のベンダ（ソフトウェアベンダ）等によって、当該脆弱性を解消するためのパッチが配布されることが多い。しかしながら、従来技術では、ＣＶＥが付与されている個別製品を機器が利用しているか否かを判定するため、パッチが適用された後も脆弱性が検出される場合があった。このため、例えばシステム管理者等のユーザは、パッチの適用により脆弱性が解消しているにも関わらず、脆弱性が検出されたことを示す通知等を受け取ることがあった。

本発明の実施の形態は、上記の点に鑑みてなされたもので、パッチ適用を考慮した脆弱性管理を行うことを目的とする。

上記目的を達成するため、本発明の実施の形態は、機器に搭載されているソフトウェアの脆弱性を管理する脆弱性管理装置であって、前記機器から収集した機器情報に基づいて、前記機器に搭載されているソフトウェアに脆弱性が存在するか否かを判定する第１の判定手段と、前記第１の判定手段により前記ソフトウェアに前記脆弱性が存在すると判定された場合、前記脆弱性を解消するためのパッチが前記ソフトウェアに適用されているか否かを判定する第２の判定手段と、前記第２の判定手段により前記パッチが前記ソフトウェアに適用されていないと判定された場合、前記ソフトウェアに存在する前記脆弱性を管理するための管理情報を作成する管理手段と、を有することを特徴とする。

本発明の実施の形態によれば、パッチ適用を考慮した脆弱性管理を行うことができる。

本実施形態に係る脆弱性管理システムの全体構成の一例を示す図である。 本実施形態に係る脆弱性管理システムの機能構成の一例を示す図である。 ＣＶＥ情報の一例を示す図である。 ＣＰＥ情報の一例を示す図である。 脆弱性ＣＰＥ情報の一例を示す図である。 機器搭載ＣＰＥ情報の一例を示す図である。 対処済脆弱性情報の一例を示す図である。 脆弱性管理情報の一例を示す図である。 機器搭載ＣＰＥ情報の保存処理の一例を示すフローチャートである。 脆弱性管理情報の保存処理の一例を示すフローチャートである。 脆弱性管理画面の一例を示す図である。

以下、本発明の実施の形態（以降、「本実施形態」と表す。）について説明する。以降では、パッチの適用を考慮した脆弱性管理を行う脆弱性管理システム１について説明する。

＜全体構成＞
まず、本実施形態に係る脆弱性管理システム１の全体構成について、図１を参照しながら説明する。図１は、本実施形態に係る脆弱性管理システム１の全体構成の一例を示す図である。

図１に示すように本実施形態に係る脆弱性管理システム１には、脆弱性管理装置１０と、１以上の機器２０と、１以上の管理者端末３０とが含まれる。また、脆弱性管理装置１０と、機器２０と、管理者端末３０とは、例えば、インターネット等のネットワークＮを介して通信可能に接続される。

脆弱性管理装置１０は、機器２０の脆弱性を管理するコンピュータ又はコンピュータシステムである。脆弱性管理装置１０は、機器２０から収集した情報（機器情報）を用いて、当該機器２０に搭載されているソフトウェア（すなわち、ＯＳやミドルウェア、アプリケーション等の種々のソフトウェア）に脆弱性があるか否かを判定する。このとき、脆弱性管理装置１０は、機器２０に搭載されているソフトウェアに対するパッチも考慮して脆弱性があるか否かを判定する。なお、パッチとは、ソフトウェアに内在するバグ等を原因とした脆弱性を解消するためのデータのことである。パッチは、「修正プログラム」や「更新プログラム」、「アップデート（又はアップデートプログラム）」、「セキュリティパッチ」等とも称される。

機器２０は、脆弱性が管理される任意の電子機器又は装置である。機器２０としては、例えば、ＰＣ（パーソナルコンピュータ）、サーバ装置、スマートフォン、タブレット端末、プリンタ、ルータ等が挙げられる。なお、機器２０は、これらに限られず、何等かのソフトウェアが搭載されるものであれば任意の電子機器又は装置としても良い。

管理者端末３０は、例えば、機器２０を管理するシステム管理者等が利用するＰＣ等である。システム管理者等のユーザは、管理者端末３０を用いて、脆弱性管理装置１０にアクセスすることで、脆弱性が存在する機器２０の一覧や機器２０に存在する脆弱性の一覧等を確認することができる。これにより、システム管理者等のユーザは、脆弱性に対する種々の対処（例えば、パッチを適用する、ＷＡＦ（Web Application Firewall）を設置する等）の検討や実施を行うことができるようになる。

なお、図１に示す脆弱性管理システム１の構成は一例であって、他の構成であっても良い。例えば、図１に示す脆弱性管理システム１では、脆弱性管理装置１０が機器２０や管理者端末３０等とネットワークＮを介して接続される場合を示したが、これに限られず、例えば、脆弱性管理装置１０が機器２０や管理者端末３０等と同一ネットワーク内に設置されていても良い。すなわち、脆弱性管理装置１０は、オンプレミスとして設置されていても良い。

＜機能構成＞
次に、本実施形態に係る脆弱性管理システム１の機能構成について、図２を参照しながら説明する。図２は、本実施形態に係る脆弱性管理システム１の機能構成の一例を示す図である。

図２に示すように、本実施形態に係る機器２０は、機器情報送信部２０１を有する。機器情報送信部２０１は、機器２０にインストールされた１以上のプログラムがＣＰＵ（Central Processing Unit）等に実行させる処理により実行される。

機器情報送信部２０１は、所定の時間毎（例えば、１日毎や数日毎、数週間毎等）に、機器情報を脆弱性管理装置１０に送信する。機器情報とは、機器２０に搭載されているソフトウェアやパッチ等に関する情報である。機器情報には、例えば、機器２０を識別する機器ＩＤ、ソフトウェア名やバージョン、ソフトウェアに適用されたパッチを識別するパッチ番号等が含まれる。機器情報には、これら以下にも、例えば、機器２０の名称やソフトウェアのインストール日、パッチの適用日等の種々の情報が含まれていても良い。

図２に示すように、本実施形態に係る脆弱性管理装置１０は、収集部１０１と、正規化部１０２と、機器搭載ＣＰＥ情報作成部１０３と、情報管理部１０４と、脆弱性判定部１０５と、パッチ適用判定部１０６と、脆弱性管理情報作成部１０７とを有する。これら各機能部は、脆弱性管理装置１０にインストールされた１以上のプログラムがＣＰＵに実行させる処理により実現される。

また、本実施形態に係る脆弱性管理装置１０は、ＣＶＥ情報記憶部１１１と、ＣＰＥ情報記憶部１１２と、脆弱性ＣＰＥ情報記憶部１１３と、機器搭載ＣＰＥ情報記憶部１１４と、対処済脆弱性情報記憶部１１５と、脆弱性管理情報記憶部１１６とを有する。これら各記憶部は、例えば、ＨＤＤ（Hard Disk Drive）やＳＳＤ（Solid State Drive）等の補助記憶装置を用いて実現可能である。なお、これら各記憶部のうちの少なくとも１つが、脆弱性管理装置１０とネットワークＮを介して接続される記憶装置等を用いて実現されていても良い。

収集部１０１は、機器２０から送信された機器情報を収集する。正規化部１０２は、収集部１０１が収集した機器情報に含まれるソフトウェア名（製品名）を、ＣＰＥ（Common Platform Enumeration）名に正規化する。これは、同一のソフトウェアであっても機器２０によって異なるソフトウェア名が用いられている場合（例えば、「ＡＢＣアプリケーション」と「ａｂｃアプリケーション」等）があるためである。

機器搭載ＣＰＥ情報作成部１０３は、正規化部１０２が正規化したＣＰＥ名を識別するＣＰＥ番号と、機器情報に含まれる機器ＩＤ及びパッチ番号とから機器搭載ＣＰＥ情報を作成する。機器搭載ＣＰＥ情報とは、機器２０に搭載されているソフトウェアのＣＰＥ名と、当該ソフトウェアに対して適用されたパッチのパッチ番号とが含まれる情報である。機器搭載ＣＰＥ情報により、機器２０に搭載されているソフトウェアと、当該ソフトウェアに対して適用されたパッチとを管理することができる。

情報管理部１０４は、各記憶部に記憶されている情報を管理する。すなわち、情報管理部１０４は、各記憶部から情報を取得したり、各記憶部へ情報を格納したりする。

脆弱性判定部１０５は、機器２０毎に、当該機器２０に搭載されているソフトウェアに脆弱性が存在するか否かを判定する。

パッチ適用判定部１０６は、脆弱性判定部１０５により脆弱性が存在すると判定された場合、当該脆弱性がパッチの適用によって解消されているか否かを判定する。

脆弱性管理情報作成部１０７は、パッチ適用判定部１０６により脆弱性が解消されていないと判定された場合、脆弱性管理情報を作成する。脆弱性管理情報とは、機器２０が有する脆弱性を示すＣＶＥ番号と、そのリスクとが含まれる情報である。ＣＶＥ番号とは、ＣＶＥを識別する識別情報であり、「ＣＶＥ識別番号」又は「ＣＶＥ－ＮＯ」とも称される。脆弱性管理情報により、脆弱性を有し、かつ、この脆弱性を解消するためのパッチが適用されていないソフトウェアが搭載されている機器２０を管理することができる。

ＣＶＥ情報記憶部１１１は、ＣＶＥ情報を記憶する。ここで、ＣＶＥ情報記憶部１１１に記憶されているＣＶＥ情報について、図３を参照しながら説明する。図３は、ＣＶＥ情報の一例を示す図である。

図３に示すように、ＣＶＥ情報記憶部１１１に記憶されている各ＣＶＥ情報には、ＣＶＥ番号と、ＣＶＥ番号と、脆弱性の概要と、参考とが含まれる。ＣＶＥ番号は、上述した通り、ＣＶＥを識別する識別情報である。脆弱性の概要は、ＣＶＥにより識別される脆弱性の概要である。参考は、この脆弱性に関して参考となるＵＲＬ（Uniform Resource Locator）等である。

これらのＣＶＥ情報は、例えば、ＮＩＳＴ（National Institute of Standards and Technology）によって管理されているＮＶＤ（National Vulnerability Database）から取得することができる。また、ＪＰＣＥＲＴ／ＣＣ及びＩＰＡ（Information-technology Promotion Agency, Japan）によって管理されているＪＶＮ（Japan Vulnerability Notes）から取得した脆弱性情報をＣＶＥ情報に変換しても良い。

ＣＰＥ情報記憶部１１２は、ＣＰＥ情報を記憶する。ここで、ＣＰＥ情報記憶部１１２に記憶されているＣＰＥ情報について、図４を参照しながら説明する。図４は、ＣＰＥ情報の一例を示す図である。

図４に示すように、ＣＰＥ情報記憶部１１２に記憶されている各ＣＰＥ情報には、ＣＰＥ番号と、ＣＰＥ名とが含まれる。ＣＰＥ番号は、上述した通り、ＣＰＥ名を識別する識別情報である。ＣＰＥ名は、ハードウェアやオペレーティングシステム、アプリケーション等を識別するため名称である。ＣＰＥ名は、以下の形式で記載される。

ｃｐｅ：／｛種別｝：｛ベンダ名｝：｛製品名｝：｛バージョン｝：｛アップデート}：｛エディション}：｛言語}
これらのＣＰＥ情報に含まれるＣＰＥ名は、ＮＩＳＴによって管理されているＮＶＤから取得することができる。そして、取得されたＣＰＥ名に対して、情報管理部１０４によりＣＰＥ番号が付与される。

脆弱性ＣＰＥ情報記憶部１１３は、脆弱性ＣＰＥ情報を記憶する。脆弱性ＣＰＥ情報記憶部１１３に記憶されている脆弱性ＣＰＥ情報について、図５を参照しながら説明する。図５は、脆弱性ＣＰＥ情報の一例を示す図である。

図５に示すように、脆弱性ＣＰＥ情報記憶部１１３に記憶されている各脆弱性ＣＰＥ情報には、ＣＶＥ番号と、ＣＰＥ番号リストとが含まれる。ＣＶＥ番号は、上述した通り、ＣＶＥを識別する識別情報である。ＣＰＥ番号リストは、当該ＣＶＥ番号のＣＶＥにより識別される脆弱性を有するソフトウェアに対応するＣＰＥ番号（すなわち、当該ソフトウェアのＣＰＥ名のＣＰＥ番号）が含まれるリストである。

例えば、図５に示す例では、ＣＶＥ番号「ＣＶＥ－２００７－ｘｘｘｘ」に対してＣＰＥ番号リスト「ＣＰＥ００１，ＣＰＥ００５，・・・」が対応付けられている。これは、ＣＰＥ番号「ＣＰＥ００１」のＣＰＥ名（のソフトウェア）は、ＣＶＥ番号「ＣＶＥ－２００７－ｘｘｘｘ」により識別される脆弱性を有することを示している。同様に、ＣＰＥ番号「ＣＰＥ００５」のＣＰＥ名（のソフトウェア）は、ＣＶＥ番号「ＣＶＥ－２００７－ｘｘｘｘ」により識別される脆弱性を有することを示している。

このように、脆弱性ＣＰＥ情報には、ＣＶＥ番号によって識別される脆弱性を有するソフトウェアに対応するＣＰＥ番号のリストが含まれている。これにより、機器２０に搭載されているソフトウェアが脆弱性を有するか否かが判定される。

機器搭載ＣＰＥ情報記憶部１１４は、機器搭載ＣＰＥ情報を記憶する。機器搭載ＣＰＥ情報記憶部１１４に記憶されている機器搭載ＣＰＥ情報について、図６を参照しながら説明する。図６は、機器搭載ＣＰＥ情報の一例を示す図である。

図６に示すように、機器搭載ＣＰＥ情報記憶部１１４に記憶されている各機器搭載ＣＰＥ情報には、機器ＩＤと、ＣＰＥ番号リストと、パッチ番号リストとが含まれる。機器ＩＤは、上述した通り、機器２０を識別する識別情報である。ＣＰＥ番号リストは、当該機器２０に搭載されているソフトウェアに対応するＣＰＥ番号のリストである。パッチ番号リストは、当該機器２０に搭載されているソフトウェアに適用されているパッチのパッチ番号のリストである。

対処済脆弱性情報記憶部１１５は、対処済脆弱性情報を記憶する。対処済脆弱性情報記憶部１１５に記憶されている対処済脆弱性情報について、図７を参照しながら説明する。図７は、対処済脆弱性情報の一例を示す図である。

図７に示すように、対処済脆弱性情報記憶部１１５に記憶されている各対処済脆弱性情報には、パッチ番号と、ＣＶＥ番号リストとが含まれる。パッチ番号は、上述した通り、パッチを識別する識別情報である。ＣＶＥ番号リストは、当該パッチによって脆弱性が解消されるＣＶＥを識別するＣＶＥ番号である。すなわち、ＣＶＥ番号リストに含まれるＣＶＥ番号は、ソフトウェアベンダ等によって既に対処された脆弱性に対応するＣＶＥのＣＶＥ番号である。

例えば、図７に示す例では、パッチ番号「ＫＢｘｘｘｘｘｘｘ」に対してＣＶＥ番号リスト「ＣＶＥ－２００７－ｘｘｘｘ，ＣＶＥ－２００８－ｘｘｘｘ，・・・」が対応付けられている。これは、パッチ番号「ＫＢｘｘｘｘｘｘｘ」により識別されるパッチを適用することによって、ＣＶＥ番号「ＣＶＥ－２００７－ｘｘｘｘ」により識別されるＣＶＥの脆弱性が解消されることを示している。同様に、パッチ番号「ＫＢｘｘｘｘｘｘｘ」により識別されるパッチを適用することによって、ＣＶＥ番号「ＣＶＥ－２００８－ｘｘｘｘ」により識別されるＣＶＥの脆弱性が解消されることを示している。

このように、対処済脆弱性情報には、既に配布されたパッチによって解消可能な脆弱性のＣＶＥ番号のリストが含まれる。これにより、機器２０に搭載されているソフトウェアが脆弱性を有する場合であっても、この脆弱性がパッチの適用によって解消されているか否かが判定される。

ここで、対処済脆弱性情報は、例えば、情報管理部１０４により、ソフトウェアベンダが配布しているパッチを情報管理部１０４によって取得した上で、当該パッチのパッチ番号と、このパッチによって解消される脆弱性に対応するＣＶＥ番号と対応付けることで作成される。このとき、ソフトウェアベンダが配布しているパッチの取得は、例えば、当該パッチの配布サイト等の監視することで、新しいパッチが配布されたタイミングで自動的に取得しても良いし、新しいパッチが配布されたか否かを人手によって確認した上で、新しいパッチの取得を手動で開始しても良い。

また、ソフトウェアベンダ等によって配布されたパッチによって解消される脆弱性の特定についても、情報管理部１０４が当該パッチを取得する際に特定しても良いし、どの脆弱性が解消されるのかを人手によって確認しても良い。

脆弱性管理情報記憶部１１６は、脆弱性管理情報を記憶する。脆弱性管理情報記憶部１１６に記憶されている脆弱性管理情報について、図８を参照しながら説明する。図８は、脆弱性管理情報の一例を示す図である。

図８に示すように、脆弱性管理情報記憶部１１６に記憶されている脆弱性管理情報には、機器ＩＤと、ＣＶＥ番号と、リスクとが含まれる。機器ＩＤは、上述した通り、機器２０を識別する識別情報である。ＣＶＥ番号は、当該機器２０に搭載されたソフトウェアが有する脆弱性を識別するＣＶＥのＣＶＥ番号である。リスクは、当該脆弱性のリスクである。脆弱性管理情報により、機器２０に搭載されているソフトウェアが有する脆弱性と、この脆弱性のリスクとが管理される。なお、リスクは、例えば、ＣＶＳＳ（Common Vulnerability Scoring System）と呼ばれる評価手法によって評価される。

＜機器搭載ＣＰＥ情報の保存処理＞
以降では、機器搭載ＣＰＥ情報を機器搭載ＣＰＥ情報記憶部１１４に保存する処理について、図９を参照しながら説明する。図９は、機器搭載ＣＰＥ情報の保存処理の一例を示すフローチャートである。

脆弱性管理装置１０の収集部１０１は、機器２０から送信された機器情報を収集（受信）する（ステップＳ１０１）。機器情報には、例えば、機器２０を識別する機器ＩＤ、ソフトウェア名（製品名）やバージョン、ソフトウェアに適用されたパッチを識別するパッチ番号等が含まれる。なお、機器２０は、所定の時間毎（例えば、１日毎や数日毎、数週間毎等）に、機器情報を脆弱性管理装置１０に送信する。

次に、脆弱性管理装置１０の正規化部１０２は、収集部１０１が受信した機器情報に含まれるソフトウェア名を、ＣＰＥ名に正規化する（ステップＳ１０２）。なお、ＣＰＥ名への正規化は、例えば、ソフトウェア名とＣＰＥ名とが対応付けられた辞書データを参照して行われる。このような辞書データは、例えば、予め取得しておき、補助記憶装置等に保存しておけば良い。又は、正規化部１０２は、ネットワークＮを介して、辞書データが格納されているＤＢサーバ等を参照しても良い。

次に、脆弱性管理装置１０の機器搭載ＣＰＥ情報作成部１０３は、正規化部１０２が正規化した各ＣＰＥ名をそれぞれ識別するＣＰＥ番号をＣＰＥ番号リストとして、機器情報に含まれる機器ＩＤと、当該ＣＰＥ番号リスト、当該機器情報に含まれるパッチ番号のリスト（パッチ番号リスト）とを対応付けた機器搭載ＣＰＥ情報を作成する（ステップＳ１０３）。

そして、脆弱性管理装置１０の情報管理部１０４は、上記のステップＳ１０３で作成された機器搭載ＣＰＥ情報を機器搭載ＣＰＥ情報記憶部１１４に保存する（ステップＳ１０４）。これにより、機器搭載ＣＰＥ情報が機器搭載ＣＰＥ情報記憶部１１４に保存される。なお、上記のステップＳ１０３で作成された機器搭載ＣＰＥ情報と機器ＩＤが同一の機器搭載ＣＰＥ情報が機器搭載ＣＰＥ情報記憶部１１４に既に存在する場合、情報管理部１０４は、上記のステップＳ１０３で作成された機器搭載ＣＰＥ情報で、機器搭載ＣＰＥ情報記憶部１１４に既に記憶されている機器搭載ＣＰＥ情報を上書き更新する。

以上のように、本実施形態に係る脆弱性管理装置１０は、所定の時間毎に、機器２０に搭載されているソフトウェアのＣＰＥ番号と、当該ソフトウェアに対して適用されているパッチのパッチ番号とを機器搭載ＣＰＥ情報として収集する。

＜脆弱性管理情報の保存処理＞
以降では、機器２０に搭載されたソフトウェアの脆弱性とそのリスクとを示す脆弱性管理情報を作成し、脆弱性管理情報記憶部１１６に保存する処理について、図１０を参照しながら説明する。図１０は、脆弱性管理情報の保存処理の一例を示すフローチャートである。なお、図１０のステップＳ２０１～ステップＳ２０６の処理は、機器２０の機器ＩＤ毎に繰り返し実行される。以降では、或る１つの機器ＩＤを固定した場合について説明する。

まず、脆弱性管理装置１０の情報管理部１０４は、当該機器ＩＤが含まれる機器搭載ＣＰＥ情報を機器搭載ＣＰＥ情報記憶部１１４から取得する（ステップＳ２０１）。

次に、脆弱性管理装置１０の情報管理部１０４は、上記のステップＳ２０１で取得した機器搭載ＣＰＥ情報のＣＰＥ番号リストからＣＰＥ番号を１つ取得する（ステップＳ２０２）。

次に、脆弱性管理装置１０の脆弱性判定部１０５は、脆弱性ＣＰＥ情報記憶部１１３を参照して、上記のステップＳ２０２で取得されたＣＰＥ番号が、脆弱性があるＣＰＥ名のＣＰＥ番号であるか否かを判定する（ステップＳ２０３）。すなわち、脆弱性判定部１０５は、上記のステップＳ２０２で取得されたＣＰＥ番号が含まれる脆弱性ＣＰＥ情報が脆弱性ＣＰＥ情報記憶部１１３に記憶されているか否かを判定する。このとき、上記のステップＳ２０１で取得されたＣＰＥ番号が含まれる脆弱性ＣＰＥ情報が脆弱性ＣＰＥ情報記憶部１１３に記憶されている場合、脆弱性判定部１０５は、脆弱性があるＣＰＥ名のＣＰＥ番号であると判定する。一方で、上記のステップＳ２０１で取得されたＣＰＥ番号が含まれる脆弱性ＣＰＥ情報が脆弱性ＣＰＥ情報記憶部１１３に記憶されていない場合、脆弱性判定部１０５は、脆弱性があるＣＰＥ名のＣＰＥ番号ではないと判定する。

ステップＳ２０３で脆弱性があるＣＰＥ名のＣＰＥ番号であると判定された場合、脆弱性管理装置１０のパッチ適用判定部１０６は、当該脆弱性がパッチ適用によって解消済であるか否かを判定する（ステップＳ２０４）。

すなわち、パッチ適用判定部１０６は、以下の（１）～（４）により当該脆弱性がパッチ適用によって解消済であるかを判定すれば良い。

（１）まず、パッチ適用判定部１０６は、当該ＣＰＥ番号のＣＰＥ名が有する脆弱性のＣＶＥ番号を特定する。これは、脆弱性ＣＰＥ情報記憶部１１３を参照して、当該ＣＰＥ番号が含まれる脆弱性ＣＰＥ情報のＣＶＥ番号とすれば良い。

（２）次に、パッチ適用判定部１０６は、当該ＣＶＥ番号のＣＶＥにより識別される脆弱性を解消するパッチがあるか否かを判定する。これは、対処済脆弱性情報記憶部１１５を参照して、当該ＣＶＥ番号が含まれる対処済脆弱性情報が存在するか否かを判定すれば良い。なお、当該脆弱性を解消するパッチが存在しない場合は、当該脆弱性を解消するパッチがソフトウェアベンダ等によって未だ配布されていない場合等である。この場合は、パッチ適用判定部１０６は、当該脆弱性がパッチ適用によって解消済でないと判定すれば良い。

（３）次に、当該脆弱性を解消するパッチがあると判定した場合、パッチ適用判定部１０６は、当該パッチが、当該機器ＩＤの機器２０に搭載されたソフトウェアに適用されているか否かを判定する。これは、上記のステップＳ２０１で取得された機器搭載ＣＰＥ情報のパッチ番号リストに、当該パッチのパッチ番号が含まれているか否かを判定すれば良い。

（４）そして、パッチ適用判定部１０６は、上記のステップＳ２０１で取得された機器搭載ＣＰＥ情報のパッチ番号リストに、当該パッチのパッチ番号が含まれている場合、当該脆弱性がパッチ適用によって解消済であると判定する。一方で、パッチ適用判定部１０６は、当該パッチ番号リストに、当該パッチのパッチ番号が含まれていない場合、当該脆弱性がパッチ適用によって解消済でないと判定する。

ステップＳ２０４で当該脆弱性がパッチ適用によって解消済でないと判定された場合、脆弱性管理装置１０の脆弱性管理情報作成部１０７は、脆弱性管理情報を作成する（ステップＳ２０５）。すなわち、脆弱性管理情報作成部１０７は、当該機器ＩＤと、上記のステップＳ２０２で取得されたＣＰＥ番号のＣＰＥ名が有する脆弱性を示すＣＶＥ番号と、そのリスクとを対応付けた脆弱性管理情報を作成する。

そして、脆弱性管理装置１０の情報管理部１０４は、上記のステップＳ２０５で作成された脆弱性管理情報を脆弱性管理情報記憶部１１６に保存する（ステップＳ２０６）。

ステップＳ２０３で脆弱性があるＣＰＥ名のＣＰＥ番号であると判定されなかった場合、ステップＳ２０４で当該脆弱性がパッチ適用によって解消済であると判定された場合、又はステップＳ２０６に続いて、脆弱性管理装置１０の情報管理部１０４は、上記のステップＳ２０１で取得した機器搭載ＣＰＥ情報のＣＰＥ番号リストに未取得のＣＰＥ番号があるか否かを判定する（ステップＳ２０７）。

そして、当該ＣＰＥ番号リストに未取得のＣＰＥ番号があると判定された場合、脆弱性管理装置１０は、ステップＳ２０２の処理に戻る。これにより、当該ＣＰＥ番号リストに含まれる全てのＣＰＥ番号に対して上記のステップＳ２０３以降の処理が実行される。一方で、当該ＣＰＥ番号リストに未取得のＣＰＥ番号があると判定されなかった場合、脆弱性管理装置１０は、処理を終了する。

以上のように、本実施形態に係る脆弱性管理装置１０では、ＣＶＥ番号及びＣＰＥ名を用いて、機器２０に搭載されたソフトウェアに脆弱性があると判定される場合であっても、当該脆弱性がパッチの適用によって解消されている場合には、脆弱性があるとは判定されない。これにより、パッチの適用によって既に脆弱性が解消されているにも関わらず、脆弱性があると判定されてしまう事態を防止することができ、システム管理者等は、機器２０の脆弱性をより正確に管理することができるようになる。

＜脆弱性管理画面＞
ここで、システム管理者等のユーザが利用する管理者端末３０上に表示される脆弱性管理画面１０００を図１１に示す。図１１は、脆弱性管理画面１０００の一例を示す図である。図１１に示す脆弱性管理画面１０００は、管理者端末３０からの表示要求に応じて、脆弱性管理装置１０の情報管理部１０４が脆弱性管理情報を返信することで表示される。

図１１に示す脆弱性管理画面１０００には、リスク毎に脆弱性がある機器２０の台数が表示されるリスク保有機器件数表示欄１１００と、リスク毎に機器２０が有する脆弱性の件数が表示されるリスク保有脆弱性数表示欄１２００とが含まれる。

システム管理者等のユーザは、リスク保有機器件数表示欄１１００やリスク保有脆弱性数表示欄１２００を確認することで、脆弱性を有する機器２０の台数や脆弱性の件数等を知ることができる。このため、システム管理者等のユーザは、これらの台数や件数、そのリスクの高さ等に応じて、種々の対処の検討や実施を行うことができるようになる。

本発明は、具体的に開示された上記の実施形態に限定されるものではなく、特許請求の範囲から逸脱することなく、種々の変形や変更が可能である。

１ 脆弱性管理システム
１０ 脆弱性管理装置
２０ 機器
３０ 管理者端末
１０１ 収集部
１０２ 正規化部
１０３ 機器搭載ＣＰＥ情報作成部
１０４ 情報管理部
１０５ 脆弱性判定部
１０６ パッチ適用判定部
１０７ 脆弱性管理情報作成部
１１１ ＣＶＥ情報記憶部
１１２ ＣＰＥ情報記憶部
１１３ 脆弱性ＣＰＥ情報記憶部
１１４ 機器搭載ＣＰＥ情報記憶部
１１５ 対処済脆弱性情報記憶部
１１６ 脆弱性管理情報記憶部
２０１ 機器情報送信部
Ｎ ネットワーク

Claims (7)

1. 機器に搭載されているソフトウェアの脆弱性を管理する脆弱性管理装置であって、
   ソフトウェアに存在する脆弱性を示す情報と、該脆弱性を解消するためのパッチを示す情報とを関連付けた対処済脆弱性情報を記憶する第１の記憶部と、
   前記パッチを配布するサーバを監視し、新たなパッチの配布が開始された場合、該新たなパッチを取得する取得手段と、
   前記取得手段により取得された新たなパッチの適用によって解消される脆弱性を示す情報と、該新たなパッチを示す情報とが含まれる対処済脆弱性情報を作成し、作成した対処済脆弱性情報を前記第１の記憶部に記憶させる保存手段と、
   前記機器から収集した機器情報に基づいて、前記機器に搭載されているソフトウェアに脆弱性が存在するか否かを判定する第１の判定手段と、
   前記第１の記憶部を参照して、前記第１の判定手段により前記ソフトウェアに前記脆弱性が存在すると判定された場合、前記脆弱性を解消するためのパッチが前記ソフトウェアに適用されているか否かを判定する第２の判定手段と、
   前記第２の判定手段により前記パッチが前記ソフトウェアに適用されていないと判定された場合には前記ソフトウェアに存在する前記脆弱性を管理するための管理情報を作成し、前記第２の判定手段により前記パッチが前記ソフトウェアに適用されていると判定された場合には前記管理情報を作成しない管理手段と、
   を有することを特徴とする脆弱性管理装置。
2. 前記機器情報には、前記機器に搭載されているソフトウェアに適用されたパッチを示す情報が含まれ、
   前記第２の判定手段は、
   前記第１の記憶部を参照して、前記機器情報に含まれるパッチを示す情報と、前記第１の判定手段により前記ソフトウェアに存在すると判定された前記脆弱性を示す情報とが含まれる対処済脆弱性情報が前記第１の記憶部に記憶されているか否かを判定することで、前記脆弱性を解消するためのパッチが前記ソフトウェアに適用されているか否かを判定する、
   ことを特徴とする請求項１に記載の脆弱性管理装置。
3. 前記機器情報に含まれるソフトウェア名をＣＰＥ名に正規化する正規化手段を有し、
   前記第１の判定手段は、
   ＣＰＥ名と、該ＣＰＥ名に対応するソフトウェアの脆弱性を識別するＣＶＥ番号とを関連付けた脆弱性ＣＰＥ情報を記憶する第２の記憶部を参照して、前記正規化手段により正規化されたＣＰＥ名が含まれる脆弱性ＣＰＥ情報が前記第２の記憶部に記憶されているか否かを判定することで、前記機器に搭載されているソフトウェアに脆弱性が存在するか否かを判定する、
   ことを特徴とする請求項１又は２に記載の脆弱性管理装置。
4. 前記脆弱性管理装置とネットワークを介して接続される端末からの要求に応じて、前記管理手段により作成された管理情報に基づく画面を前記端末に表示させる表示手段を有する、ことを特徴とする請求項１乃至３の何れか一項に記載の脆弱性管理装置。
5. 前記画面には、脆弱性のリスク毎に、前記脆弱性に関するパッチが適用されていないソフトウェアが搭載されている機器の台数が含まれる、ことを特徴とする請求項４に記載の脆弱性管理装置。
6. 機器に搭載されているソフトウェアの脆弱性を管理する脆弱性管理装置であって、ソフトウェアに存在する脆弱性を示す情報と、該脆弱性を解消するためのパッチを示す情報とを関連付けた対処済脆弱性情報を記憶する第１の記憶部を有する脆弱性管理装置が、
   前記パッチを配布するサーバを監視し、新たなパッチの配布が開始された場合、該新たなパッチを取得する取得手順と、
   前記取得手順により取得された新たなパッチの適用によって解消される脆弱性を示す情報と、該新たなパッチを示す情報とが含まれる対処済脆弱性情報を作成し、作成した対処済脆弱性情報を前記第１の記憶部に記憶させる保存手順と、
   前記機器から収集した機器情報に基づいて、前記機器に搭載されているソフトウェアに脆弱性が存在するか否かを判定する第１の判定手順と、
   前記第１の記憶部を参照して、前記第１の判定手順により前記ソフトウェアに前記脆弱性が存在すると判定された場合、前記脆弱性を解消するためのパッチが前記ソフトウェアに適用されているか否かを判定する第２の判定手順と、
   前記第２の判定手順により前記パッチが前記ソフトウェアに適用されていないと判定された場合には前記ソフトウェアに存在する前記脆弱性を管理するための管理情報を作成し、前記第２の判定手順により前記パッチが前記ソフトウェアに適用されていると判定された場合には前記管理情報を作成しない管理手順と、
   を実行することを特徴とする脆弱性管理方法。
7. コンピュータを、請求項１乃至５の何れか一項に記載の脆弱性管理装置として機能させるためのプログラム。

Images