JP7167439B2 - 情報処理装置、脆弱性検知方法およびプログラム - Google Patents

Description

本開示は、情報処理装置、脆弱性検知方法、および、情報処理装置を実現するためのプログラムに関する。

従来、ネットワーク機器に対してスキャンを行って脆弱性を検出する技術が知られている。また、特許第４９９５１７０号公報（特許文献１）は、コンピュータシステムで実行されるプロセスの内部のモジュール毎に、当該モジュールにより発生した各種情報を収集し、収集された各種情報に基づいて、不正な攻撃や侵入を示す挙動をモジュール毎に監視する情報処理装置を開示する。この情報処理装置は、不正な攻撃や侵入を示す挙動を特定する挙動情報を記憶するルールＤＢを有し、収集された各種情報が、ルールＤＢに記憶される挙動情報と一致する場合に、不正な攻撃や侵入が発生したと検知する。

しかしながら、従来技術では、機器に対してスキャンなど能動的な処理を行わなければならず、充分なものではなかった。特許文献１の従来技術では、監視対象の情報処理装置に、モジュール毎に発生するＡＰＩ呼び出しやシステムコールなどの各種情報を収集する監視プログラムを挿入する必要があった。

本開示は、上記点に鑑みてなされたものであり、対象の機器に対する負荷を軽減しながら、機器が有する一定の脆弱性を検出可能とし、ネットワークの安全性を維持するコストを低減することができる、情報処理装置を提供することを目的とする。

本開示によれば、上記課題を解決するために、下記特徴を有する、ネットワークに接続される情報処理装置を提供する。本情報処理装置は、脆弱性を有する所定単位の通信データの特徴を記述する脆弱性パターンを記憶する記憶手段と、ネットワークから所定単位の通信データを取得する取得手段と、取得した所定単位の通信データの内容と、記憶された脆弱性パターンとを照合し、通信データの脆弱性を評価する評価手段と、脆弱性の評価結果に基づいて、少なくとも発信元の情報を記録する記録手段とを含む。

上記構成により、対象の機器に対する負荷を軽減しながら、機器が有する一定の脆弱性を検出可能とし、ネットワークの安全性を維持するコストを低減することができる。

本実施形態によるパケット監視装置が設置されるネットワーク環境を示す図。 本実施形態によるパケット監視装置として用いられる、コンピュータのハードウェア構成図。 本実施形態によるパケット監視装置において、パケット監視に基づき脆弱性検知を行うための機能ブロック図。 ＳＳＬ（Secure Socket Layer）／ＴＬＳ（Transport Layer Security）ハンドシェイクプロトコルにおいてセッションを確立するためのフローを説明する図。 本実施形態におけるパケット監視装置において参照される、脆弱性パターンデータベースのデータ構造を示す図。 本実施形態におけるパケット監視装置において記録される、脆弱性ログのデータ構造を示す図。 本実施形態におけるパケット監視装置が実行する、パケット監視に基づく脆弱性検知処理を示すフローチャート。 本実施形態におけるパケット監視装置により提供されるログ閲覧機能を説明する図。 本実施形態におけるパケット監視装置により提供されるログメール報告機能を説明する図。 本実施形態におけるパケット監視装置が実行する、ログメール報告処理を示すフローチャート。 他の実施形態によるネットワーク機器において、パケット監視に基づく脆弱性検知によりパケットフィルタリングを行うための機能ブロック図。 本実施形態におけるネットワーク機器が実行する、脆弱性検知により禁止アドレスおよびポートを記録する処理を示すフローチャート。 本実施形態におけるネットワーク機器により提供される禁止アドレスおよびポート管理機能を説明する図。

以下、本実施形態をもって説明するが、実施形態は、後述する実施形態に限定されるものではない。

本実施形態による情報処理装置および脆弱性検知方法は、ネットワークから所定単位の通信データを取得し、取得した所定単位の通信データの内容と、事前に記憶された脆弱性を記述する脆弱性パターンとを照合し、脆弱性を評価する構成を備える。

以下、図１～図１０を参照しながら、本実施形態によるパケット監視に基づく脆弱性検知機能を備えるパケット監視装置について、詳細を説明する。

以下、まず、図１を参照しながら、本実施形態によるパケット監視に基づく脆弱性検知機能を備える、パケット監視装置が設置されたネットワーク環境について説明する。

図１は、本実施形態によるパケット監視装置が設置されるネットワーク環境を示す。図１に示すネットワーク環境１００には、複合機１５０、ネットワークプロジェクタ１５２、インタラクティブホワイトボード１５４、サーバコンピュータ１５６およびタブレットコンピュータ１５８などの複数の機器が配置されている。これらの機器１５０～１５８は、ネットワーク１０２を介して、ＴＣＰ（Transmission Control Protocol）／ＩＰ（Internet Protocol）プロトコルに基づくパケット通信により、相互に通信を行っている。上記ネットワーク１０２は、特に限定されるものではないが、１０００Ｂａｓｅ－ＴＸのイーサネット（登録商標）やＩＥＥＥ８０２．１１などの規格の有線または無線のローカル・エリア・ネットワークを含むことができる。なお、図１では、タブレットコンピュータ１５８が、アクセスポイント１０４を経由して、無線通信によりネットワーク１０２に接続されていることが描かれている。

本実施形態においては、ネットワーク環境１００には、さらに、パケット監視装置１１０が設置されている。パケット監視装置１１０は、ネットワーク１０２に接続されており、ネットワーク１０２を流れる各種パケットを傍受し、傍受したパケットの内容に基づいて、セキュリティ上の脆弱性の検知を試みる。上述した、複合機１５０、ネットワークプロジェクタ１５２、インタラクティブホワイトボード１５４、サーバコンピュータ１５６およびタブレットコンピュータ１５８などの機器は、本実施形態において、パケット監視装置１１０が監視する対象となるパケットの発信元（ソース）または送信先（デスティネーション）となり得る。これらの機器１５０～１５８が、ネットワーク１０２上のルータなどを介して、インターネットに接続されている場合もある。これらの機器１５０～１５８と、インターネットとの間のパケットも、本実施形態における監視の対象となり得る。パケット監視装置１１０は、本実施形態における情報処理装置を構成する。

続いて、図２を参照しながら、本実施形態によるパケット監視に基づく脆弱性検知機能を備える、パケット監視装置１１０のハードウェア構成について説明する。図２は、本実施形態によるパケット監視装置１１０として用いられ得るコンピュータのハードウェア構成を示す。コンピュータ１０は、典型的には、パーソナルコンピュータ、サーバコンピュータなどのコンピュータ装置として構成され得る。

図２に示すコンピュータ１０は、シングルコアまたはマルチコアのＣＰＵ（Central Processing Unit）１２と、ＲＡＭ（Random Access Memory）１４と、ＲＯＭ（Read Only Memory）１６と、ＨＤＤ（Hard Disk Drive）１８と、ドライブ装置２４と、ネットワークインタフェース２６とを含み構成されている。また、コンピュータ１０は、必要に応じて、入力装置２０と、表示装置２２とを含むことができる。

ＣＰＵ１２は、コンピュータ１０内部の処理などの全体制御を行う。ＲＡＭ１４は、ＣＰＵ１２の作業領域を提供する。ＲＯＭ１６は、ＢＩＯＳ（Basic Input / Output System）などの制御プログラムを記憶する。ＨＤＤ１８は、コンピュータ１０を制御するためのＯＳ（Operating System）、後述する機能部を実現するためのプログラムや各種システム情報や各種設定情報を格納する。ドライブ装置２４には、記録媒体３０が着脱可能に挿入され、ドライブ装置２４は、挿入された記録媒体３０に対する読み書きを行う。

入力装置２０は、マウス、キーボード、タッチスクリーンパネルなどの入力装置である。表示装置２２は、液晶ディスプレイ装置、有機ＥＬ（Electroluminescence）ディスプレイなどの表示装置である。入力装置２０および表示装置２２は、操作者からの各種指示の入力を受け付けるためのユーザ・インタフェースを提供することができる。ネットワークインタフェース２６は、ＮＩＣ（Network Interface Card）など、コンピュータ１０をネットワーク１０２に接続させるためのインタフェース機器である。

本実施形態によるコンピュータ１０は、ＲＯＭ１６やＨＤＤ１８からプログラムを読み出し、ＲＡＭ１４が提供する作業空間に展開することにより、ＣＰＵ１２の制御の下、パケット監視装置１１０として後述する各部の機能および各処理を実現する。

なお、上述した説明では、パケット監視装置１１０は、コンピュータ装置として実装されるものとして説明したが、パケット監視装置１１０の実装形態は、これに限定されるものではない。パケット監視装置１１０は、パケット監視機能を併せ持つ複合機、プリンタファクシミリ、スキャナなどの画像処理装置として実装されてもよいし、パケット監視機能を有するハブ、スイッチ、ルータなどのネットワーク機器として実装されてもよい。これらの場合は、パケット監視装置１１０は、その装置の用途に応じた適切なハードウェアを備えることができる。

以下、図３を参照しながら、本実施形態によるパケット監視装置１１０において、パケット監視に基づき脆弱性を検知する機能について、より詳細に説明する。図３は、本実施形態によるパケット監視装置１１０において、パケット監視に基づき脆弱性検知を行うために備えられる機能ブロックを示す。

図３に示すように、パケット監視装置１１０は、パケット取得部１１２、脆弱性解析部１１４、脆弱性パターンデータベース１１６、脆弱性ログ格納部１１８および出力部１２０を含み構成される。

パケット取得部１１２は、ネットワーク１０２から所定単位の通信データを取得するよう構成される。ここで、所定単位の通信データとは、ネットワークの各種レイヤにおけるフレームやパケットなどと呼ばれるデータ単位をいい、プロトコルに応じた単位となる。例えば、ＭＡＣ（Media Access Control）フレーム、ＩＰ（Internet Protocol）パケット、ＴＣＰ（Transmission Control Protocol）セグメント、ＳＳＬパケットなどが取得される。上位レイヤの単位のデータは、１または複数の下位のレイヤの単位のデータから構成され得る。例えば、ＳＳＬパケットは、１または複数のＴＣＰセグメントから構成される。以下、これらの所定単位のデータを総称して、単に「パケット」と参照する。パケットの取得は、所謂、パケットキャプチャやネットワーク・アナライザと呼ばれる技術を利用して行うことができる。パケット取得部１１２は、本実施形態における取得手段を構成する。

なお、典型的には、パケット監視装置１１０のＮＩＣなどのネットワークインタフェース２６は、プロミスキャスモードで動作し、自身宛以外のパケットも取り込んで処理を行うよう構成することができる。また、パケット監視装置１１０は、例えば、リピータハブ、特定の１または複数のポートで送受信するパケットを指定のポートにコピーするミラーポート付きＬＡＮスイッチまたはネットワークタップなどを介して、ネットワーク１０２と接続されており、ネットワーク１０２を流れるパケットを傍受可能に構成されている。あるいは、パケット監視装置１１０が、ハブやスイッチなどのネットワーク機器として実装される場合は、ハブやスイッチとしての処理に加えて、そのような自身が受信するすべてのパケットを取り込んで解析処理を行うよう構成することができる。

脆弱性解析部１１４は、取得したパケットの内容と、記憶された脆弱性パターンとを照合し、パケットの脆弱性を評価し、脆弱性の評価結果に基づいて、発信元の情報を含めた脆弱性ログを記録するよう構成されている。脆弱性解析部１１４は、本実施形態における評価手段および記録手段を構成する。

脆弱性パターンデータベース１１６は、それぞれ、脆弱性を有するパケットの特徴を記述した１または複数の脆弱性パターンを記憶するよう構成されている。脆弱性パターンについては後述する。脆弱性パターンデータベース１１６は、本実施形態における記憶手段を構成する。

脆弱性ログ格納部１１８は、脆弱性解析部１１４から、発信元の情報を含む脆弱性ログを受け取り、受け取った脆弱性ログを格納するよう構成されている。本実施形態においては、発信元の情報は、脆弱性の内容の情報とともに、ログとして記録される。記録される発信元の情報は、発信元アドレスおよび発信元ポート番号の一方または両方を含むことができる。脆弱性の内容としては、特に限定されるものではないが、検出時刻や脆弱性の名称を含むことができ、さらに、送信先の情報（送信先アドレスおよび送信先ポート番号など）が含まれてもよい。

出力部１２０は、記録した発信元の情報を出力するよう構成されている。好ましい実施形態においては、出力部１２０は、外部要求に応答して、記録された複数のログの内容を提供することができる。

出力の形態としては、パケット監視装置１１０が表示装置２２を備える場合に、パケット監視装置１１０の操作者による表示装置２２上でログ閲覧画面を閲覧するための操作など外部要求に応答して、表示装置２２に対しログ閲覧画面を表示させる態様がある。

また、出力の形態としては、ネットワーク１０２を介して接続されるリモート端末からの外部要求に応答して、リモート端末に対しログ閲覧画面を記述する画面データを送信する態様とすることもできる。特定の実施形態では、出力部１２０は、Ｗｅｂユーザ・インタフェースを提供し、外部要求は、例えばログ閲覧画面の取得を要求するＨＴＴＰメッセージとしてリモート端末から発行され、画面データは、例えばＨＴＴＰレスポンスとしてリモート端末に応答される。

さらに、出力の形態としては、パケット監視装置１１０がメール送信機能を備える場合に、事前定義されたタイミングで、前回の時点から現時点までに記録された複数のログの内容を、所定の宛先にメール送信する態様とすることもできる。

出力部１２０は、本実施形態における出力手段を構成する。なお、出力の形態については、より詳細に後述する。

以下、図４～図６を参照しながら、ＳＳＬ（Secure Sockets Layer）／ＴＬＳ（Transport Layer Security）パケットを一例として、本実施形態による、パケット監視に基づく脆弱性の検知の仕方について説明する。

図４は、ＳＳＬ／ＴＬＳハンドシェイクプロトコルにおいてセッションを確立するためのフローを示す。なお、図４には、ハンドシェイクプロトコルのフローに加えて、ハンドシェイクプロトコルでクライアントとサーバ間で交換されるパケットの一例として、ＣｌｉｅｎｔＨｅｌｌｏメッセージ２００の内容が併せて示されている。

図４に示すように、ＳＳＬ／ＴＬＳハンドシェイクにおいては、ＣｌｉｅｎｔＨｅｌｌｏ、ＳｅｒｖｅｒＣｅｒｔｉｆｉｃａｔｅ、ＳｅｒｖｅｒＫｅｙＥｘｃｈａｎｇｅ、ＣｅｒｔｉｆｉｃａｔｅＲｅｑｕｅｓｔ、ＳｅｒｖｅｒＨｅｌｌｏ、ＣｌｉｅｎｔＣｅｒｔｉｆｉｃａｔｅ、ＣｌｉｅｎｔＫｅｙＥｘｃｈａｎｇｅ、ＣｅｒｔｉｆｉｃａｔｅＶｅｒｉｆｙ、ＣｈａｎｇｅＣｉｐｈｅｒＳｐｅｃ、Ｆｉｎｉｓｈｅｄなどの各種メッセージが、クライアント－サーバ間で交換される。これらのメッセージの交換を経て、セッションが確立される。

図４に例示されるＣｌｉｅｎｔＨｅｌｌｏメッセージ２００は、クライアントバージョン２００ａ、クライアントに一意の乱数２００ｂ、セッション再開の場合のセッションＩＤ２００ｃ、暗号スイート一覧２００ｄおよび圧縮方法一覧２００ｅなどが含まれ得る。図４に示す例では、暗号スイート一覧２００ｄに複数の暗号スイートがリストアップされている。同様に、ＳｅｒｖｅｒＨｅｌｌｏメッセージには、プロトコルバージョン、サーバに一意の乱数、セッションＩＤ、使用する暗号スイート、使用する圧縮方法などが含まれ得る。なお、他のメッセージの詳細については、ここではこれ以上立ち入らない。

図５は、本実施形態におけるパケット監視装置１１０において脆弱性解析部１１４により参照される、脆弱性パターンデータベース２１０のデータ構造を示す。図４に示すＣｌｉｅｎｔＨｅｌｌｏメッセージ２００においては、暗号スイート一覧２００ｄの中に、セキュリティ上脆弱性があるスイートが列挙されている可能性がある。また、図４に示すＣｌｉｅｎｔＨｅｌｌｏメッセージ２００やＳｅｒｖｅｒＨｅｌｌｏメッセージにおいては、セキュリティ上脆弱性があるバージョンが使用されている可能性がある。図５は、このようなメッセージに含まれ得る、脆弱性の特徴を記述する脆弱性パターンを示している。

図５に示す脆弱性パターンデータベース２１０は、例示として、ＳＳＬ／ＴＬＳに関連したパケットに関する脆弱性の特徴を記述した複数の脆弱性パターンを含む。脆弱性パターンデータベース２１０のデータ構造としては、脆弱性パターンを識別する識別子を保持するＩＤフィールド２１０ａと、脆弱性の名称を保持する脆弱性名称フィールド２１０ｂと、判断対象のパケットの種別の指定を保持するパケット種別フィールド２１０ｃと、種別指定されたパケットにおける注目箇所の指定を保持する注目箇所フィールド２１０ｄと、注目箇所に対するパターンにマッチした文字列を表すパターン表現フィールド２１０ｅとを含む。パターン表現フィールド２１０ｅに保持されるパターン表現は、例えば、正規表現などを用いることができる。

なお、脆弱性は、公開された脆弱性対策データベースなどの情報から知ることができ、一部の脆弱性に関して、図５に示す例のような形式でパケットから脆弱性を判別する脆弱性パターンを用意することができる。例えば、ハンドシェークのパケットに、「ＲＣ４」を含む暗号スイートがあると、脆弱性になるおそれがある。

図６は、本実施形態におけるパケット監視装置１１０において、脆弱性ログ格納部１１８に記録される脆弱性ログ２２０のデータ構造を示す。図６に示すように、脆弱性ログ２２０は、脆弱性が検出された時刻を保持する検出時刻フィールド２２０ａと、検出された脆弱性の名称を保持する脆弱性名称フィールド２２０ｂと、発信元の情報の１つであるＩＰアドレスを保持する発信元ＩＰアドレスフィールド２２０ｃと、同じく発信元の情報の１つであるポート番号を保持する発信元ポート番号フィールド２２０ｄとを含み構成される。図６に示すように、パケットについて脆弱性有りと評価される毎に、脆弱性ログ格納部１１８には、発信元の情報および脆弱性の内容の情報を含む脆弱性ログが記録されて行く。

以下、図７を参照しながら、本実施形態におけるパケット監視に基づいて、通信データにかかる脆弱性を検出する脆弱性検知処理の流れを説明する。図７は、本実施形態におけるパケット監視装置が実行するパケット監視に基づく脆弱性検知処理を示すフローチャートである。なお、図７に示す処理は、図２に示したＣＰＵ１２などのプロセッサにより実行される。

図７に示す処理は、例えば、パケット毎に、ステップＳ１００から開始され得る。ステップＳ１０１では、プロセッサは、ネットワーク１０２を介して、パケットを取得する。ステップＳ１０２では、プロセッサは、取得したパケットが、ＳＳＬ（ＴＬＳ）接続に関するパケットであるか否かに応じて制御を分岐させる。

ステップＳ１０２でＳＳＬ（ＴＬＳ）接続に関するパケットではないと判定された場合（ＮＯ）は、プロセッサは、ステップＳ１０９へ分岐させて、当該パケットに対する処理を終了する。この場合、当該パケットについて脆弱性がないものとして判定される。なお、説明する実施形態では、説明の便宜上、ＳＳＬ（ＴＬＳ）接続に関するパケットである場合に、さらに脆弱性の評価を進めるものとし、それ以外のパケットについては不問としている。しかしながら、ＳＳＬ（ＴＬＳ）接続に関するパケット以外であっても、パケットの内容から脆弱性を検出可能な場合に、適切な脆弱性パターンを用意し、そのパケットについて、さらなる脆弱性の評価を行うように構成してもよいことは言うまでもない。

一方、ステップＳ１０２で、ＳＳＬ（ＴＬＳ）接続に関するパケットであると判定された場合（ＹＥＳ）は、プロセッサは、ステップＳ１０３へ処理を分岐させる。ステップＳ１０３では、プロセッサは、それぞれ脆弱性を有するパケットの特徴を記述する１または複数の脆弱性パターンを読み出し、ステップＳ１０４に処理を進める。ステップＳ１０３では、典型的には、１または複数の脆弱性パターンが、ＨＤＤ１８などからＲＡＭ１４などの作業空間上に読み込まれる。なお、読み込まれた脆弱性パターンが作業空間上で維持され、以降読み込む必要がない場合は、ステップＳ１０３は省略され得る。

ステップＳ１０４～ステップＳ１０８のループでは、各脆弱性パターンについて、取得したパケットの内容との照合が行われる。

ステップＳ１０５およびステップＳ１０６では、プロセッサは、取得したパケットの内容と、読み出した脆弱性パターンとを照合を行い、当該パケットの脆弱性を評価する。

より具体的には、ステップＳ１０５では、プロセッサは、当該パケットの種別が、現在対象としている脆弱性パターンで指定された種別に一致するか否かを判定する。ステップＳ１０５で、種別が一致しないと判定された場合（ＮＯ）は、プロセッサは、直接ステップＳ１０８へ処理を進めて、必要に応じて次の脆弱性パターンの処理へ進める。一方、ステップＳ１０５で、種別が一致すると判定された場合（ＹＥＳ）は、プロセッサは、ステップＳ１０６へ処理を進める。

ステップＳ１０６では、プロセッサは、さらに、当該パケットの注目箇所が、現在対象としている脆弱性パターンで指定されたパターン表現にマッチするか否かを判定する。ステップＳ１０６で、パターン表現にマッチしないと判定された場合（ＮＯ）は、プロセッサは、直接ステップＳ１０８へ処理を進め、必要に応じて次の脆弱性パターンの処理を行う。一方、ステップＳ１０６で、パターン表現にマッチすると判定された場合（ＹＥＳ）は、プロセッサは、ステップＳ１０７へ処理を進める。

ステップＳ１０２で、ＳＳＬ接続に関すると判定され、かつ、ステップＳ１０５で種別が一致すると判定され、かつ、ステップＳ１０６で、パターン表現にマッチすると判定された場合は、当該パケットが、現在処理対象としている脆弱性パターンに該当する脆弱性を有するという評価結果となる。この評価結果に基づいて、ステップＳ１０７では、プロセッサは、検出時刻、脆弱性ＩＤ、発信元ＩＰアドレス、発信元ポート番号を含む脆弱性ログのレコードを脆弱性ログ格納部１１８に記録し、ステップＳ１０８へ処理を進め、必要に応じて次の脆弱性パターンの処理へ進める。

当該パケットが、１つの脆弱性パターンにマッチした場合、あるいは、当該パケットが、いずれの脆弱性パターンにもマッチしなかった場合は、ステップＳ１０４～ステップＳ１０８のループを抜けて、ステップＳ１０９へ処理が進められる。ステップＳ１０９では、プロセッサは、当該パケットに対する処理を終了する。

なお、１つの脆弱性パターンにマッチした段階で、ステップＳ１０４～ステップＳ１０８のループを抜けてもよい。あるいは、すべての脆弱性パターンとの照合を終えた後にループのループを抜けるよう構成してもよい。その場合に、ステップＳ１０７で、マッチする複数の脆弱性ログのレコードを記録することもできる。いずれの脆弱性パターンにもマッチしなかった場合は、当該パケットについて脆弱性がないものとして評価されたことになる。少なくとも１つの脆弱性パターンにマッチした場合は、当該パケットについて脆弱性が検知されたものとして評価されたことになる。

図７に示す処理により、脆弱性ログのレコードが記録された後、適宜、外部要求あるいは内部イベントに応答して、記録した発信元の情報を含む脆弱性ログの内容を適宜出力することができるようになる。

図８および図９は、本実施形態におけるパケット監視装置１１０により提供される、ログ提供機能を説明する図である。

図８は、本実施形態におけるパケット監視装置１１０により提供される、ログ閲覧機能を説明する図である。ここで、ログ閲覧機能とは、操作者による指示に応答して、所定の表示装置上にログ閲覧画面を表示させる機能をいう。

図８（Ａ）は、ログ閲覧で用いる内部的なデータベース・クエリ２３０を一例として示す。図８（Ｂ）は、ログ閲覧機能により提供されるログ閲覧画面２４０を一例として示す。脆弱性ログがリレーショナル・データベースとして記録されている場合、図８（Ａ）に示すようなＳＱＬクエリでデータベース照会することにより、所定期間内のログを取得することができる。そして、取得された照会結果に基づいて、図８（Ｂ）に示すような、ログを一覧表示するログ閲覧画面２４０が表示される。

図８（Ｂ）に示すログ閲覧画面２４０は、表示するログの期間を示す期間表示２４２と、ログ一覧表２４４とを含む。ログ一覧表２４４は、図６に示した脆弱性ログの内容に対応して、脆弱性が検出された時刻を表示する検出時刻カラム２４４ａと、検出された脆弱性の名称を表示する脆弱性名称カラム２４４ｂと、発信元の情報の１つであるＩＰアドレスを表示する発信元ＩＰアドレスカラム２４４ｃと、同じく発信元の情報の１つであるポート番号を保持する発信元ポート番号カラム２４４ｄとを含み構成される。図８（Ｂ）に示すように、ログ閲覧画面２４０では、それぞれ発信元の情報に加えて脆弱性の内容の情報を含む１以上のログが表示される。

なお、図８に示すログ閲覧画面２４０は、操作者による当該パケット監視装置１１０が備える入力装置２０に対する操作に応答して、当該パケット監視装置１１０が備える表示装置２２上に表示することができる。あるいは、当該パケット監視装置１１０にネットワーク１０２を介してリモート接続されるリモート端末からの（リモート端末上での操作者の操作に応答した）要求に応答して、当該リモート端末の表示装置上に表示することができる。

図９は、本実施形態におけるパケット監視装置１１０により提供される、ログメール報告機能を説明する図である。ここで、ログメール報告機能とは、管理者等により事前に設定されたタイミングが到来したことに応答して、同様に事前に設定された所定の宛先へ、検出された脆弱性ログを報告する電子メールを送信する機能をいう。

図９（Ａ）は、ログメール報告機能で用いる、内部的な通知条件２５０のデータ構造を示す。図９（Ｂ）は、ログメール報告機能で用いる、内部的なデータベース・クエリ２６０を一例として示す。図９（Ｃ）は、ログメール報告機能により所定の宛先に送信されるログ報告メールを一例として示す。

なお、ログメール報告に際しては、予め管理者により、事前に、図９（Ａ）に示すような宛先メールアドレスおよび通知スケジュールが定義されているものとする。図９（Ａ）に示す通知条件２５０は、報告メールを通知する宛先を保持する宛先メールアドレスフィールド２５０ａと、報告メールの通知のタイミングを規定する情報を保持する通知スケジュールフィールド２５０ｂと、前回の通知時刻を保持する前回通知日時フィールド２５０ｃとを含む。通知スケジュールフィールド２５０ｂに規定するタイミングが到来すると、メール通知処理が呼び出される。当該メール通知処理では、脆弱性ログがリレーショナル・データベースとして記録されている場合、図９（Ｂ）に示すようなＳＱＬクエリにより、前回メール通知を行ってから今回の通知時刻までのログが取得される。そして、図９（Ｃ）に示すような、ログ一覧表を含むログ報告メール２７０が、宛先メールアドレスフィールド２５０ａで示される宛先メールアドレスに宛てて、メールサーバを介してメール送信される。

図９（Ｃ）に示すログ報告メール２７０は、宛先メールアドレスフィールド２５０ａに指定された宛先２７２、件名２７４、ログの期間を示す期間表示２７６、および、ログ一覧表２７８を含む。ログ一覧表２７８の内容は、図８（Ｂ）に示すものと同じである。

以下、図１０を参照しながら、記録した発信元の情報を出力する処理の流れについて、ログメール報告処理を一例として説明する。図１０は、本実施形態におけるパケット監視装置１１０が実行する、ログメール報告処理を示すフローチャートである。なお、図１０に示す処理は、図２に示したＣＰＵ１２などのプロセッサにより実行される。

図１０に示す処理は、例えば定期的にあるいは不定期に、ステップＳ２００から開始される。ステップＳ２０１～ステップＳ２０８のループでは、事前登録された宛先毎にＳ２０２～ステップＳ２０６で示す処理が行われる。ステップＳ２０２では、プロセッサは、現在対象としている宛先のレコードに記述された通知スケジュールフィールド２５０ｂに規定されるタイミングが到来したか否かを判定する。ステップＳ２０２で、タイミングが到来していないと判定された場合（ＮＯ）は、ステップＳ２０８へ処理が進められ、必要に応じて、次の宛先の処理へ進められる。

一方、ステップＳ２０２で、タイミングが到来したと判定された場合（ＹＥＳ）は、ステップＳ２０３へ処理が進められる。ステップＳ２０３では、プロセッサは、現在処理している宛先のレコードの前回の通知時刻を前回通知日時フィールド２５０ｃから読み出す。ステップＳ２０４では、プロセッサは、例えばシステムが保持する現在時刻を今回通知時刻として取得する。ステップＳ２０５では、プロセッサは、取得した前回通知時刻および今回通知時刻に基づくクエリをデータベースに照会し、照会結果を取得する。ステップＳ２０６では、プロセッサは、照会結果に基づいて、ログ報告メールを作成し、ネットワークインタフェース２６により、作成したログ報告メールを、メールサーバを介して送信する。ステップＳ２０７では、プロセッサは、今回通知時刻を次に使用する前回通知時刻として、前回通知日時フィールド２５０ｃを更新し、ステップＳ２０８へ処理を進めて、必要に応じて、次の宛先の処理へと進める。

すべての宛先について処理が完了すると、ステップＳ２０１～ステップＳ２０８のループを抜けて、ステップＳ２０９へと処理が進められ、ステップＳ２０９で、プロセッサは、本処理を終了する。以降、適切な間隔をあけて、図１０に示す処理が繰り返し実行される。

以上説明した実施形態によれば、特定の脆弱性の種類について、特定のプロトコルを使用しているなど、パケットの内容から脆弱性の有無を評価し、脆弱性を検知することができる。パケットの内容から形式的に判断できる脆弱性について、低コストでネットワークの安全性を保つことを可能とする。パケット監視装置１１０は、ネットワーク１０２からパケットを取得しているだけなので、監視対象の機器に対して余分な負荷をかけない。また、脆弱性テストを機器に対して行うための作業の手間などを省くことができる。

上述した実施形態では、パケット監視装置１１０は、脆弱性を有するパケットを検知した場合、脆弱性ログとして記録するものであった。しかしながら、脆弱性を検知した場合の対応は、他の仕方も想定される。他の実施形態では、脆弱性を有するパケットを検知した場合に、より積極的な処理を実行することもできる。以下、図１１～図１３を参照しながら、他の実施形態による、上述した脆弱性検知に基づきパケットフィルタリングする機能を有するネットワーク機器について説明する。

図１１は、他の実施形態によるネットワーク機器３１０において、パケット監視に基づく脆弱性検知によりパケットフィルタリングを行うための機能ブロックを示す。なお、ネットワーク機器３１０が設置されるネットワーク環境については、図１を参照して説明したものと同様とすることができ、ハードウェア構成も、ネットワーク機器３１０の目的や用途に応じて適切な構成を採用すればよい。図１０に示すように、ネットワーク機器３１０は、その機能ブロックとして、パケット取得部３１２、脆弱性解析部３１４、脆弱性パターンデータベース３１６、禁止アドレス・ポートリスト格納部３１８、出力部３２０およびパケットフィルタ部３３０を含み構成される。

パケット取得部３１２は、ネットワーク１０２からパケットを取得するよう構成される。パケット取得部３１２は、本実施形態における取得手段を構成する。なお、説明する実施形態では、ネットワーク機器３１０は、ハブやスイッチなどとして構成されており、自身のポートで送受信されるすべてのパケットを取り込んで解析処理を行うよう構成される。パケット取得部３１２は、図３を参照して説明した実施形態のパケット取得部１１２と同様の機能を有する。

脆弱性解析部３１４は、取得したパケットの内容と、記憶された脆弱性パターンとを照合し、脆弱性の評価結果に基づいて、脆弱性を有するパケットの発信元の情報を禁止アドレス・ポートリスト格納部３１８に記録するよう構成されている。脆弱性解析部３１４は、本実施形態における評価手段および記録手段を構成する。脆弱性解析部３１４は、発信元の情報を禁止アドレス・ポートリスト格納部３１８に記録する他は、図３を参照して説明した実施形態の脆弱性解析部１１４と同様の機能を有する。

脆弱性パターンデータベース３１６は、１または複数の脆弱性パターンを記憶するよう構成されている。脆弱性パターンデータベース３１６は、本実施形態における記憶手段を構成する。脆弱性パターンデータベース３１６は、図３を参照して説明した実施形態の脆弱性パターンデータベース１１６と同様のものである。

禁止アドレス・ポートリスト格納部３１８は、脆弱性解析部３１４から、発信元の情報を受け取り、受け取った発信元の情報を格納するよう構成されている。本実施形態においては、発信元の情報は、通信を禁止するアドレス情報として記録される。記録される発信元の情報は、発信元アドレスおよび発信元ポート番号の一方または両方を含むことができる。

出力部３２０は、禁止アドレス・ポートリスト格納部３１８の禁止アドレス・ポートリストに記録された発信元の情報を出力するよう構成されている。好ましい実施形態においては、出力部３２０は、外部要求に応答して、記録された通信を禁止するアドレス情報含むレコードの内容を編集可能に提供することができる。出力の形態としては、ネットワーク１０２を介して接続されるリモート端末からのコマンドやＨＴＴＰメッセージなどの外部要求に応答して、リモート端末に対しリスト一覧やリスト一覧を編集可能に表示する画面データを送信する態様とすることもできる。他の出力の形態としては、ネットワーク機器３１０が表示装置２２を備える場合に、この表示装置２２上でリストを表示するための操作など外部要求に応答して、表示装置２２に対しリストの一覧を表示させる態様もある。出力部３２０は、本実施形態における出力手段を構成する。

パケットフィルタ部３３０は、ネットワークを流れるパケットを受信し、禁止アドレス・ポートリスト格納部３１８の禁止アドレス・ポートリストを参照して、フィルタリングを行う。より具体的には、パケットフィルタ部３３０は、通信を禁止するアドレス情報が発信元または送信先として含まれる場合には、パケットを破棄するよう構成されている。パケットフィルタ部３３０は、パケットに通信を禁止するアドレス情報が含まれない場合は、パケットを通過させる。例えば、一のポートで受信したパケットを、他のポートから出力するよう構成することができる。パケットフィルタ部３３０は、本実施形態における破棄手段を構成する。

以下、図１２を参照しながら、他の実施形態における脆弱性検知により禁止アドレス・ポートを記録する処理の流れを説明する。図１２は、他の実施形態におけるネットワーク機器３１０が実行する、脆弱性検知により禁止アドレス・ポートを記録する処理を示すフローチャートである。なお、図１２に示す処理は、ＣＰＵなどのプロセッサにより実行される。

図１２に示す処理は、例えば、パケット毎に、ステップＳ３００から開始される。ステップＳ３０１では、プロセッサは、ネットワーク１０２を介して、パケットを取得する。ステップＳ３０２では、プロセッサは、取得したパケットが、ＳＳＬ（ＴＬＳ）接続に関するパケットであるか否かに応じて制御を分岐させる。

ステップＳ３０２でＳＳＬ（ＴＬＳ）接続に関するパケットではないと判定された場合（ＮＯ）は、プロセッサは、ステップＳ３０９へ分岐させて、当該パケットに対する処理を終了する。一方、ステップＳ３０２で、ＳＳＬ（ＴＬＳ）接続に関するパケットであると判定された場合（ＹＥＳ）は、プロセッサは、ステップＳ３０３へ処理を分岐させる。ステップＳ３０３では、プロセッサは、必要に応じて、それぞれ脆弱性を有するパケットの特徴を記述する１または複数の脆弱性パターンを読み出す。

ステップＳ３０４～ステップＳ３０８のループでは、各脆弱性パターンについて、取得したパケットの内容との照合が行われる。ステップＳ３０５では、プロセッサは、当該パケットの種別が、現在対象としている脆弱性パターンで指定された種別に一致するか否かを判定する。ステップＳ３０５で、種別が一致しないと判定された場合（ＮＯ）は、プロセッサは、直接ステップＳ３０８へ処理を進めて、必要に応じて次の脆弱性パターンの処理へ進める。一方、ステップＳ３０５で、種別が一致すると判定された場合（ＹＥＳ）は、プロセッサは、ステップＳ３０６へ処理を進める。

ステップＳ３０６では、プロセッサは、さらに、当該パケットの注目箇所が、現在対象としている脆弱性パターンで指定されたパターン表現にマッチするか否かを判定する。ステップＳ３０６で、パターン表現にマッチしないと判定された場合（ＮＯ）は、プロセッサは、直接ステップＳ３０８へ処理を進め、必要に応じて次の脆弱性パターンの処理へ進める。一方、ステップＳ３０６で、パターン表現にマッチすると判定された場合（ＹＥＳ）は、プロセッサは、ステップＳ３０７へ処理を進める。

ステップＳ３０７では、プロセッサは、発信元ＩＰアドレスおよび発信元ポート番号を禁止アドレス・ポートリスト格納部３１８に記録し、ステップＳ３０８へ処理を進め、必要に応じて次の脆弱性パターンの処理へ進める。

当該パケットが、１つの脆弱性パターンにマッチした場合、あるいは、当該パケットが、いずれの脆弱性パターンにもマッチしなかった場合は、ステップＳ３０４～ステップＳ３０８のループを抜けて、ステップＳ１０９へ処理が進められる。この場合、ステップＳ３０９で、プロセッサは、当該パケットに対する処理を終了する。

図１２に示す処理により、リストに発信元ＩＰアドレスおよびポート番号が記録された後、受信したパケットの発信元または送信先のＩＰアドレスおよびポート番号が禁止されたものと一致する場合に、当該パケットが破棄されるようになる。

なお、ここでは、一度の脆弱性の発見でそのパケットの発信元の情報が禁止リストに記録されるものとして説明した。しかしながら、他の実施形態では、脆弱性を発見した回数を計数し、複数回にわたる評価結果に基づいて、所定回数以上あるいは所定頻度以上で脆弱性が発見された場合に禁止リストに記録するよう構成することもできる。その場合、別途発信元ＩＰアドレスおよび発信元ポート番号の組ごとにカウンタを用意し、ステップＳ３０７で、カウンタ値をインクリメントし、カウンタ値が閾値以上であると判定した場合に、発信元ＩＰアドレスおよび発信元ポート番号を禁止アドレス・ポートリスト格納部３１８に記録するよう構成すればよい。

図１３は、本実施形態におけるネットワーク機器により提供される、禁止アドレス／ポート管理機能を説明する図である。図１３（Ａ）は、本実施形態におけるネットワーク機器３１０において、禁止アドレス・ポートリスト格納部３１８に記録される禁止リスト４００のデータ構造を示す。図１３（Ａ）に示すように、禁止リスト４００は、発信元の情報の１つであるＩＰアドレスを保持する発信元ＩＰアドレスフィールド４００ａと、同じく発信元の情報の１つであるポート番号を保持する発信元ポート番号フィールド４００ｂとを含み構成される。図１３（Ａ）に示すように、脆弱性有りとパケットが評価されると、禁止アドレス・ポートリスト格納部３１８には、発信元の情報が記録されて行く。

図１３（Ｂ）は、禁止リスト管理機能により提供される、禁止リスト管理画面４１０を一例として示す。図１３（Ｂ）に示す禁止リスト管理画面４１０は、禁止されるアドレス情報のレコード一覧表４１２を含む。禁止アドレス情報レコード一覧表４１２は、図１３（Ａ）に示した脆弱性ログの内容に対応して、発信元の情報の１つであるＩＰアドレスを表示する発信元ＩＰアドレスフィールド４１２ａと、同じく発信元の情報の１つであるポート番号を保持する発信元ポート番号フィールド４１２ｂと、編集ボタン４１２ｃと、削除ボタン４１２ｄとを含み構成される。

編集ボタン４１２ｃが押下されると、対応する発信元ＩＰアドレスフィールド４１２ａおよび発信元ポート番号フィールド４１２ｂの内容を編集することができる。削除ボタン４１２ｄが押下されると、対応するレコードが削除される。なお、図１３（Ｂ）に示す禁止リスト管理画面４１０は、ネットワーク機器３１０にネットワーク１０２を介してリモート接続されるリモート端末からの要求に応答して、リモート端末の表示装置上に表示されてもよい。あるいは、当該ネットワーク機器３１０の操作者による入力装置２０に対する操作に応答して、ネットワーク機器３１０が備える表示装置２２上に表示されてもよい。

他の実施形態によれば、特定の脆弱性の種類について、特定のプロトコルを使用しているなど、パケットの内容から形式的に脆弱性の有無を評価し、脆弱性を検知した発信元に関連するパケットをフィルタリングすることができる。パケットの内容から形式的に判断できる脆弱性について、低コストでネットワークの安全性を保つことが可能となる。ネットワーク機器３１０は、ネットワーク１０２からパケットを取得しているだけなので、監視対象の機器に対して余分な負荷をかけない。

以上説明したように、上述までの実施形態によれば、対象の機器に対する負荷を軽減しながら、機器が有する一定の脆弱性を検出可能とし、ネットワークの安全性を維持するコストを低減することが可能な情報処理装置、脆弱性検知方法、および、情報処理装置を実現するためのプログラムを提供することができる。なお、情報処理装置は、パケット監視機能を有するコンピュータ装置、パケット監視機能を併せ持つ複合機、プリンタ、ファクシミリ、スキャナなどの画像処理装置、または、パケット監視機能を有するハブ、スイッチ、ルータなどのネットワーク機器として構成することができる。

なお、上記機能部は、アセンブラ、Ｃ、Ｃ＋＋、Ｃ＃、Ｊａｖａ（登録商標）などのレガシープログラミング言語やオブジェクト指向プログラミング言語などで記述されたコンピュータ実行可能なプログラムにより実現でき、ＲＯＭ、ＥＥＰＲＯＭ、ＥＰＲＯＭ、フラッシュメモリ、フレキシブルディスク、ＣＤ－ＲＯＭ、ＣＤ－ＲＷ、ＤＶＤ－ＲＯＭ、ＤＶＤ－ＲＡＭ、ＤＶＤ－ＲＷ、ブルーレイディスク、ＳＤカード、ＭＯなど装置可読な記録媒体に格納して、あるいは電気通信回線を通じて頒布することができる。

これまで本発明の実施形態について説明してきたが、本発明の実施形態は上述した実施形態に限定されるものではなく、他の実施形態、追加、変更、削除など、当業者が想到することができる範囲内で変更することができ、いずれの態様においても本発明の作用・効果を奏する限り、本発明の範囲に含まれるものである。

１００…ネットワーク環境、１０２…ネットワーク、１０４…アクセスポイント、１１０…パケット監視装置、１１２，３１２…パケット取得部、１１４，３１４…脆弱性解析部、１１６，３１６…脆弱性パターンデータベース、１１８…脆弱性ログ格納部、１２０，３２０…出力部、１５０～１５８…機器、２００…ＣｌｉｅｎｔＨｅｌｌｏメッセージ、２１０…脆弱性パターンデータベース、２２０…脆弱性ログ、２３０…データベース・クエリ、２４０…ログ閲覧画面、２４２，２７６…期間表示、２４４，２７８…ログ一覧表、２５０…通知条件、２７０…ログ報告メール、３１０…ネットワーク機器、３１８…禁止アドレス／ポートリスト格納部、３３０…パケットフィルタ部、４００…禁止リスト、４１０…禁止リスト管理画面、４１２…禁止アドレスレコード一覧表

特許第４９９５１７０号公報

Claims (8)

1. ネットワークに接続される情報処理装置であって、
   脆弱性を有する所定単位の通信データの特徴を記述した脆弱性パターンであって、脆弱性の名称と、判断対象のパケットの種別の指定と、前記種別の指定がされたパケットにおける注目箇所の指定と、前記注目箇所に対するパターンにマッチする文字列を表すパターン表現とを含む前記脆弱性パターンを記憶する記憶手段と、
   前記ネットワークから所定単位の通信データであるパケットを取得する取得手段と、
   前記取得手段で取得したパケットの種別が、前記脆弱性パターンに含まれるパケットの種別の指定と一致するか、および、前記取得手段で取得したパケットにおける前記脆弱性パターンで指定された注目箇所が、前記脆弱性パターンで指定されたパターン表現にマッチするか、を判断し、種別が一致すると判定され、かつ、パターン表現にマッチすると判定した場合は、前記取得手段で取得したパケットが、前記脆弱性パターンに該当する脆弱性を有すると評価する評価手段と、
   前記評価手段で脆弱性を有すると評価されたパケットに関するログであって、前記脆弱性の名称を少なくとも含む脆弱性の内容の情報と、該パケットの発信元の情報とを少なくとも含む前記ログを脆弱性ログ格納部に記録する記録手段と、
   前記脆弱性ログ格納部に記録された前記ログのログ閲覧画面を記述する画面データであって、前記脆弱性の内容の情報と前記発信元の情報とを少なくとも含む前記画面データを、前記ネットワークを介して接続された端末からの外部要求に応答して該端末に送信する出力手段と
   を含む、情報処理装置。
2. 前記脆弱性パターンは、ＳＳＬ（Secure Sockets Layer）／ＴＬＳ（Transport Layer Security）に関連したパケットに関する脆弱性の特徴を記述するものである、請求項１に記載の情報処理装置。
3. 前記発信元の情報は、発信元アドレスおよび発信元ポート番号の一方または両方を含む、請求項１または２に記載の情報処理装置。
4. 前記ログは、脆弱性が検出された検出時刻をさらに含み、前記画面データは、前記検出時刻を含む、請求項１～３のいずれか１項に記載の情報処理装置。
5. 前記出力手段は、前記外部要求に検出時刻の範囲の指定が含まれている場合、前記ログのうち、該検出時刻の範囲に含まれる検出時刻のログを含めた前記画面データを前記端末に送信する、請求項４に記載の情報処理装置。
6. 前記脆弱性パターンは、複数記録されており、前記評価手段は、前記取得手段で取得したパケットについて、複数の脆弱性パターンに対してそれぞれ評価する、請求項１～５のいずれか１項に記載の情報処理装置。
7. 通信データにかかる脆弱性を検出する脆弱性検知方法であって、
   コンピュータが、脆弱性を有する所定単位の通信データの特徴を記述した脆弱性パターンであって、脆弱性の名称と、判断対象のパケットの種別の指定と、前記種別の指定がされたパケットにおける注目箇所の指定と、前記注目箇所に対するパターンにマッチする文字列を表すパターン表現とを含む前記脆弱性パターンを読み出すステップと、
   コンピュータが、ネットワークを介して所定単位の通信データであるパケットを取得するステップと、
   コンピュータが、前記取得するステップで取得したパケットの種別が、前記脆弱性パターンに含まれるパケットの種別の指定と一致するか、および、前記取得するステップで取得したパケットにおける前記脆弱性パターンで指定された注目箇所が、前記脆弱性パターンで指定されたパターン表現にマッチするか、を判断し、種別が一致すると判定され、かつ、パターン表現にマッチすると判定した場合は、前記取得するステップで取得したパケットが、前記脆弱性パターンに該当する脆弱性を有すると評価するステップと、
   コンピュータが、前記評価するステップで脆弱性を有すると評価されたパケットに関するログであって、前記脆弱性の名称を少なくとも含む脆弱性の内容の情報と、該パケットの発信元の情報とを少なくとも含む前記ログを脆弱性ログ格納部に記録するステップと、
   前記脆弱性ログ格納部に記録された前記ログのログ閲覧画面を記述する画面データであって、前記脆弱性の内容の情報と前記発信元の情報とを少なくとも含む前記画面データを、前記ネットワークを介して接続された端末からの外部要求に応答して該端末に送信するステップと
   を含む、脆弱性検知方法。
8. ネットワークに接続される情報処理装置を実現するためのプログラムであって、前記プログラムは、コンピュータを、
   脆弱性を有する所定単位の通信データの特徴を記述した脆弱性パターンあって、脆弱性の名称と、判断対象のパケットの種別の指定と、前記種別の指定がされたパケットにおける注目箇所の指定と、前記注目箇所に対するパターンにマッチする文字列を表すパターン表現とを含む前記脆弱性パターンを記憶する記憶手段、
   前記ネットワークから所定単位の通信データであるパケットを取得する取得手段、
   前記取得手段で取得したパケットの種別が、前記脆弱性パターンに含まれるパケットの種別の指定と一致するか、および、前記取得手段で取得したパケットにおける前記脆弱性パターンで指定された注目箇所が、前記脆弱性パターンで指定されたパターン表現にマッチするか、を判断し、種別が一致すると判定され、かつ、パターン表現にマッチすると判定した場合は、前記取得手段で取得したパケットが、前記脆弱性パターンに該当する脆弱性を有すると評価する評価手段、
   前記評価手段で脆弱性を有すると評価されたパケットに関するログであって、前記脆弱性の名称を少なくとも含む脆弱性の内容の情報と、該パケットの発信元の情報とを少なくとも含む前記ログを脆弱性ログ格納部に記録する記録手段、および、
   前記脆弱性ログ格納部に記録された前記ログのログ閲覧画面を記述する画面データであって、前記脆弱性の内容の情報と前記発信元の情報とを少なくとも含む前記画面データを、前記ネットワークを介して接続された端末からの外部要求に応答して該端末に送信する出力手段
   として機能させるためのプログラム。

Images