JP7198991B2 - 脆弱性管理装置、脆弱性管理方法、及びプログラム - Google Patents

Description

本発明は、脆弱性管理装置、脆弱性管理方法、及びプログラムに関する。

例えば、特許文献１には、制御部を有する情報処理装置に入力された入力情報を処理する情報処理方法において、前記制御部により、危険性の増減情報を取得し、前記制御部により取得した危険性の増減情報に基づき、記憶部に記憶した第１閾範囲または記憶部に記憶した第２閾範囲を補正し、前記制御部により入力情報に基づく値が前記第１閾範囲を越えるか否か判断し、前記制御部により前記第１閾範囲を越えると判断した場合に、越えると判断した回数または越えた時間が前記第２閾範囲を越えるか否か判断し、前記制御部により前記第２閾範囲を越えると判断した場合に、異常情報を出力する情報処理方法が開示されている。

また、特許文献２には、サイバー攻撃の対象となる装置に関して検知されたサイバー攻撃の情報を取得し、地球を示す画像と、該地球を示す画像の周囲に配置された前記装置を示す画像と、前記地球を示す画像の表面と前記装置を示す画像との間に配置され、前記取得した前記サイバー攻撃の情報に基づき、前記装置に関して検知されたサイバー攻撃のレベルを示す画像とを含む画像情報を生成し、該生成された画像情報を出力する処理をコンピュータが実行することを特徴とする表示方法が開示されている。

また、非特許文献３には、事前予防と事後対処とを統合し、簡単で迅速なインシデント対応の実現し、検知、調査、対応のサイクルを統合管理するソフトウェアが開示されている。

特許５６９１５３９ 特開２０１５－２１６５４９

Ｔｒｅｎｄ Ｍｉｃｒｏ Ａｐｅｘ Ｏｎｅ 2019年2月26日提供

脆弱性の危険度を、視覚的に把握及び管理することができる脆弱性管理装置を提供することを目的とする。

本発明に係る脆弱性管理装置は、所定のネットワークに接続している機器の構成情報を取得する構成情報取得部と、適用可能なセキュリティ対策を示す脆弱性情報を収集する情報収集部と、前記構成情報取得部により取得された構成情報と、前記情報収集部により収集された脆弱性情報とに基づいて、前記ネットワークに接続している機器それぞれの脆弱性を評価する評価部とを有する。

好適には、前記評価部による評価結果に対応する大きさのシンボルで、機器それぞれの脆弱性を表示する表示部をさらに有する。

好適には、前記情報収集部は、適用可能な修正プログラム又は更新プログラムに関する情報と、更新可能なウイルス定義ファイルに関する情報とを前記脆弱性情報として収集し、前記構成情報取得部は、それぞれの機器に適用されている修正プログラム又は更新プログラムを識別する識別情報と、それぞれの機器におけるウイルス定義ファイルの更新に関する情報とを前記構成情報として取得する。

好適には、前記表示部は、既定のネットワークに接続している複数の機器について、前記評価部による評価結果を一覧表示する。

好適には、前記評価部は、適用可能な修正プログラム又は更新プログラムが機器に適用されているか否かに基づいて算出される評価値と、更新可能なウイルス定義ファイルが機器で更新されているか否かに基づいて算出される評価値とを合算して、各機器の評価値を算出し、前記表示部は、それぞれの機器について、合算前後の評価値を切り替えて表示する。

好適には、前記表示部は、それぞれの機器が配置されたフロア図、又は、それぞれの機器が接続されたネットワーク構成図に対して、各機器の評価結果に対応する大きさのシンボルを重ね合わせて表示する。

好適には、前記表示部は、ネットワークに接続している機器の評価結果を、このネットワークがインターネットに接続しているか否かに応じて異なる表示態様で表示する。

好適には、機器の設置場所の周囲に配置された複数の警告灯と、いずれかの機器について前記評価部による評価結果が既定の条件に合致した場合に、この機器の周囲に設置された警告灯を点灯させる検知部とをさらに有する。

本発明に係る脆弱性管理方法は、所定のネットワークに接続している機器の構成情報を取得する構成情報取得ステップと、適用可能なセキュリティ対策を示す脆弱性情報を収集する情報収集ステップと、前記構成情報取得ステップにより取得された構成情報と、前記情報収集ステップにより収集された脆弱性情報とに基づいて、前記ネットワークに接続している機器それぞれの脆弱性を評価する評価ステップとを有する。

本発明に係るプログラムは、所定のネットワークに接続している機器の構成情報を取得する構成情報取得ステップと、適用可能なセキュリティ対策を示す脆弱性情報を収集する情報収集ステップと、前記構成情報取得ステップにより取得された構成情報と、前記情報収集ステップにより収集された脆弱性情報とに基づいて、前記ネットワークに接続している機器それぞれの脆弱性を評価する評価ステップとをコンピュータに実行させる。

脆弱性の危険度を、視覚的に把握及び管理することができる。

脆弱性管理システム１の全体構成を例示する図である。 脆弱性管理装置５のハードウェア構成を例示する図である。 脆弱性管理装置５の機能構成を例示する図である。 （ａ）は、脆弱性情報ＤＢ６００に格納される脆弱性情報を例示する図であり、（ｂ）は、構成情報ＤＢ６１０に格納される構成情報を例示する図であり、（ｃ）は、構成情報ＤＢ６１０に格納されるソフトウェアの構成情報を例示する図である。 脆弱性管理装置５による脆弱性可視化処理（Ｓ１０）を説明するフローチャートである。 （ａ）は、脆弱性起点の評価値の表示方法を例示し、（ｂ）は、端末起点の評価値の表示方法を例示し、（ｃ）は、ユーザ起点の評価値の表示方法を例示する。 （ａ）は、ユーザ端末３毎の評価値を合算して表示する合算モードを例示する評価値マップであり、（ｂ）は、ユーザ端末３毎の脆弱性の数と評価値を「丸」の数と大きさで表示する詳細モードを例示する評価値マップである。 会社、フロア、及び部署間におけるユーザ端末３の評価値の可視化を例示する図である。

以下、本発明の実施形態を、図面を参照して説明する。
図１は、脆弱性管理システム１の全体構成を例示する図である。
図１に例示するように、脆弱性管理システム１は、複数のユーザ端末３a、ユーザ端末３ｂ、ユーザ端末３ｃ、ユーザ端末３ｄ、脆弱性管理装置５、及び警告灯７を含み、ネットワーク９を介して互いに接続している。ユーザ端末３a、ユーザ端末３ｂ、ユーザ端末３ｃ、及びユーザ端末３ｄをユーザ端末３と総称する。ユーザ端末３は、本発明に係る機器の一例である。
ユーザ端末３は、ユーザが操作するコンピュータ端末、又はネットワーク機器であり、脆弱性管理装置５による脆弱性管理の対象機器である。具体的には、ユーザ端末３は、業務サーバ、業務ＰＣ、ルータ、又はＩｏＴ機器である。
脆弱性管理装置５は、コンピュータ端末であり、各ユーザ端末３の脆弱性を管理、及び表示する。本発明における脆弱性とは、プログラムの不具合や設計上のミスが原因となって発生した情報セキュリティ上の欠陥をいい、パッチの未適用による危険性と、ウイルスによる危険性とを含む。ここで、パッチとは、修正プログラム、更新プログラム、及びウイルス定義ファイルをいう。具体的には、脆弱性管理装置５は、外部のＷｅｂサイトから取得した脆弱性情報と、ユーザ端末３の構成情報とに基づいて、ネットワーク９に接続するユーザ端末３の脆弱性による影響を表す評価値を数値化、及び脆弱性の評価値の数値に応じたシンボルを表示する。
警告灯７は、ユーザ端末３の設置場所の周囲に配置された、脆弱性を周囲に知らせる回転灯である。

図２は、脆弱性管理装置５のハードウェア構成を例示する図である。
図２に例示するように、脆弱性管理装置５は、ＣＰＵ２００、メモリ２０２、ＨＤＤ２０４、ネットワークインタフェース２０６（ネットワークＩＦ２０６）、表示装置２０８、及び、入力装置２１０を有し、これらの構成はバス２１２を介して互いに接続している。
ＣＰＵ２００は、例えば、中央演算装置である。
メモリ２０２は、例えば、揮発性メモリであり、主記憶装置として機能する。
ＨＤＤ２０４は、例えば、ハードディスクドライブ装置であり、不揮発性の記録装置としてコンピュータプログラム（例えば、図３の脆弱性管理プログラム５０）やその他のデータファイル（例えば、図３の脆弱性情報データベース６００、及び構成情報データベース６１０）を格納する。
ネットワークＩＦ２０６は、有線又は無線で通信するためのインタフェースであり、例えば、内部ネットワーク９における通信を実現する。
表示装置２０８は、例えば、液晶ディスプレイである。
入力装置２１０は、例えば、キーボード及びマウスである。

図３は、脆弱性管理装置５の機能構成を例示する図である。
図３に例示するように、本例の脆弱性管理装置５には、脆弱性管理プログラム５０がインストールされると共に、脆弱性情報データベース６００（脆弱性情報ＤＢ６００）、及び構成情報データベース６１０（構成情報ＤＢ６１０）が構成される。
脆弱性管理プログラム５０は、構成情報取得部５００、脆弱性情報収集部５０２、検索部５０４、評価部５０６、表示部５０８、及び検知部５１０を有する。
なお、脆弱性管理プログラム５０の一部又は全部は、ＡＳＩＣなどのハードウェアにより実現されてもよく、また、ＯＳ（Ｏｐｅｒａｔｉｎｇ Ｓｙｓｔｅｍ）の機能を一部借用して実現されてもよい。
脆弱性管理プログラム５０において、構成情報取得部５００は、ネットワーク９に接続しているユーザ端末３の構成情報を取得する。具体的には、構成情報取得部５００は、それぞれのユーザ端末３に適用されている修正プログラム又は更新プログラムを識別する識別情報と、それぞれのユーザ端末３におけるウイルス定義ファイルの更新に関する情報とを構成情報として取得する。より具体的には、構成情報取得部５００は、ネットワーク９に接続しているユーザ端末３の最新のＯＳ（ＶＬ）情報、ユーザ情報、インストールしているソフトウェア情報、パッチの適用状況を取得し、構成情報ＤＢ６１０に格納する。例えば、構成情報取得部５００は、業務サーバ、及び業務ＰＣからＯＳ情報、ユーザ情報、及びパッチの適用状況を取得し、ネットワーク９から通信経路を取得し、ルータから設定情報を取得し、ＩｏＴ機器からＢｌｕｅｔｏｏｔｈ Ｖｅｒｓｉｏｎ、Ｓｅｎｓｏｒ Ｖｅｒｓｉｏｎ、Ｆｉｒｍｗａｒｅ Ｖｅｒｓｉｏｎ、及びＷｉｆｉ Ｌｅｖｅｌを取得する。構成情報取得部５００は、ユーザ端末３がＰＣ又はＩｏＴ機器である場合に、ＯＳのＡＰＩの使用により構成情報を取得する。

脆弱性情報収集部５０２は、適用可能な情報セキュリティ対策を示す脆弱性情報を収集する。具体的には、脆弱性情報収集部５０２は、適用可能な修正プログラム又は更新プログラムに関する情報と、更新可能なウイルス定義ファイルに関する情報とを脆弱性情報として収集する。より具体的には、脆弱性情報収集部５０２は、脆弱性情報を公開する外部のＷｅｂサイトを常時監視し、新たな脆弱性情報が掲載された場合に、新たな脆弱性情報を収集し、脆弱性情報ＤＢ６００に格納する。さらに具体的には、脆弱性情報収集部５０２は、外部のＷｅｂサイトから、脆弱性情報として、ソフトウェア、危険度、及びパッチの有無を収集する。外部のＷｅｂサイトとは、例えば、ＪＶＮ（脆弱性情報）、ＩＰＡ、ＥＳＥＴ、トレンドマイクロ、ソースネクスト（ウイルス情報）、マイクロソフト（パッチ情報）、ＭｃＡｆｅｅ（定義情報）のサイトをいう。脆弱性情報収集部５０２は、これらのＷｅｂサイトで公開されているＡＰＩ、及びＷｅｂページの記載内容を解析することにより、脆弱性情報を取得する。外部のＷｅｂサイトから取得できる脆弱性の危険度は、標準化された値ＣＶＳＳｖ２、又はＣＶＳＳｖ３である。なお、脆弱性情報収集部５０２は、本発明に係る情報収集部の一例である。
検索部５０４は、脆弱性情報収集部５０２により新たな脆弱性情報が追加された場合に、新たな脆弱性情報の対象となるユーザ端末３を検索する。具体的には、検索部５０４は、脆弱性情報収集部５０２により収集された脆弱性情報に基づいて、対処が必要となるユーザ端末３を構成情報ＤＢ６１０から検索する。

評価部５０６は、構成情報取得部５００により取得された構成情報と、脆弱性情報収集部５０２により収集された脆弱性情報とに基づいて、ネットワーク９に接続しているユーザ端末３それぞれの脆弱性を評価する。具体的には、評価部５０６は、検索部５０４により検索された対象となるユーザ端末３のパッチの適用状況、及び、ユーザ端末３に残存する脆弱性に基づいて、評価値を算出する。より具体的には、評価部５０６は、適用可能な修正プログラム又は更新プログラムがユーザ端末３に適用されているか否かに基づいて算出される評価値と、更新可能なウイルス定義ファイルがユーザ端末３で更新されているか否かに基づいて算出される評価値とを合算して、各ユーザ端末３の評価値を算出する。評価値は、評価値＝Σ（脆弱性ｉ（プログラムの欠陥i）の危険度×パッチの適用有無（０ ｏｒ １））＋Σ（ウイルスｊの危険度×定義ファイルの適用有無（０ ｏｒ １））により算出される。

表示部５０８は、評価部５０６による評価結果に対応する大きさのシンボルで、ユーザ端末３それぞれの脆弱性を表示する。具体的には、表示部５０８は、評価部５０６により算出された評価値に応じた大きさのシンボルをユーザ端末３と関連付けて表示する。また、
表示部５０８は、ネットワーク９に接続している複数のユーザ端末３について、評価部５０６による評価結果を一覧表示する。
さらに、表示部５０８は、それぞれのユーザ端末３について、合算前後の評価値を切り替えて表示する。具体的には、表示部５０８は、ユーザ端末３毎に合算した評価値を表示する合算モードと、ユーザ端末３内の評価値を分けて表示する詳細モードとを切り替えて表示する。
そして、表示部５０８は、それぞれのユーザ端末３が配置されたフロア図、又は、それぞれのユーザ端末３が接続されたネットワーク構成図に対して、各ユーザ端末３の評価結果に対応する大きさのシンボルを重ね合わせて表示する。具体的には、表示部５０８は、評価部５０６により算出された評価値を有するユーザ端末３を、ユーザ端末３の配置図、又はフロア図に重ねて評価値マップを生成する。さらに、表示部５０８は、ネットワークに接続しているユーザ端末３の評価結果を、このネットワークがインターネットに接続しているか否かに応じて異なる表示態様で表示する。
検知部５１０は、いずれかのユーザ端末３について評価部５０６による評価結果が既定の条件に合致した場合に、このユーザ端末３の周囲に設置された警告灯を点灯させる。

ここで、脆弱性情報ＤＢ６００、及び構成情報ＤＢ６１０について説明する。
図４（ａ）は、脆弱性情報ＤＢ６００に格納される脆弱性情報を例示する図であり、（ｂ）は、構成情報ＤＢ６１０に格納される構成情報を例示する図であり、（ｃ）は、構成情報ＤＢ６１０に格納されるソフトウェアの構成情報を例示する図である。
図４（ａ）に例示するように、脆弱性情報ＤＢ６００には、脆弱性を識別する脆弱性ＩＤと、脆弱性が影響する対象ソフトウェアと、脆弱性の危険性を数値化した危険度と、脆弱性に対応するパッチ名とが格納される。
図４（ｂ）に例示するように、構成情報ＤＢ６１０には、ユーザ端末３を識別する端末ＩＤと、ユーザ端末３のＯＳ情報と、ユーザ端末３のユーザ識別情報と、パッチの適用状況とが格納される。
図４（ｃ）に例示するように、構成情報ＤＢ６１０には、さらに、ソフトウェアの構成情報として、ユーザ端末３を識別する端末ＩＤと、ユーザ端末３のソフトウェアと、パッチの適用状況とが格納される。

図５は、脆弱性管理装置５による脆弱性可視化処理（Ｓ１０）を説明するフローチャートである。
図５に例示するように、ステップ１００（Ｓ１００）において、脆弱性情報収集部５０２は、脆弱性情報を公開している外部のＷｅｂサイトを常時監視する。
ステップ１０５（Ｓ１０５）において、脆弱性情報収集部５０２は、外部のＷｅｂサイトに新たな脆弱性情報が掲載されたことを検知した場合に、Ｓ１１０へ移行し、新たな脆弱性情報を検知しない場合に、Ｓ１００へ移行し、監視を続ける。
ステップ１１０（Ｓ１１０）において、脆弱性情報収集部５０２は、新たに掲載された脆弱性情報を収集する。具体的には、脆弱性情報収集部５０２は、新たに掲載された脆弱性情報の対象ソフトウェア、危険度、及びパッチの有無を収集し、脆弱性情報ＤＢ６００に格納する。さらに、脆弱性情報収集部５０２は、収集した脆弱性情報を検索部５０４に通知する。
ステップ１１５（Ｓ１１５）において、構成情報取得部５００は、ネットワーク９に接続するユーザ端末３の最新の構成情報を取得する。具体的には、構成情報取得部５００は、ユーザ端末３のＯＳ情報、ユーザ情報、インストールしているソフトウェア情報、及びパッチの適用状況を取得し、構成情報ＤＢ６１０に格納する。

ステップ１２０（Ｓ１２０）において、検索部５０４は、脆弱性情報収集部５０２により通知された脆弱性情報に該当するユーザ端末３が存在するか否かを構成情報ＤＢ６１０に格納される構成情報から検索する。
ステップ１２５（Ｓ１２５）において、検索部５０４による検索の結果、該当するユーザ端末３が存在する場合に、脆弱性可視化処理（Ｓ１０）は、Ｓ１３０へ移行し、該当するユーザ端末３が存在しない場合に、Ｓ１００へ移行する。
ステップ１３０（Ｓ１３０）において、評価部５０６は、新たな脆弱性情報に該当するユーザ端末３のパッチの適用状況、及び、ユーザ端末３に残存する脆弱性に基づいて、評価値を算出する。
ステップ１３５（Ｓ１３５）において、表示部５０８は、評価部５０６により算出された評価値を、脆弱性管理装置５に表示する。また、表示部５０８は、ユーザ端末３の評価値を、評価値に応じたシンボル（例えば、「丸」の大きさ）で、脆弱性管理装置５に表示する。

図６は、評価値の表示方法を例示する図である。図６（ａ）は、脆弱性起点の評価値の表示方法を例示し、（ｂ）は、端末起点の評価値の表示方法を例示し、（ｃ）は、ユーザ起点の評価値の表示方法を例示する。
表示部５０８は、評価値を、脆弱性起点、端末起点、及びユーザ起点で表示する。図６（ａ）に例示するように、脆弱性起点の表示方法では、ある脆弱性が影響する端末と評価値とを一覧表示する。また、脆弱性起点の表示方法では、脆弱性情報の対象ソフトウェアをキーに、脆弱性毎のユーザ端末３の評価値を一覧表示できる。
図６（ｂ）に例示するように、端末起点の表示方法では、構成情報の端末ＩＤをキーに端末毎の評価値を一覧表示する。端末起点の表示方法では、パッチの未適用の危険性を示す危険度、ウイルスの危険性を示す危険度、及びこれらの合計である評価値を、数値とシンボルとにより表示する。
また、端末起点では、ユーザ端末３の重要度を設定することにより、脆弱性未対応時のユーザへの通知方法を変更可能である。具体的には、重要度の高いユーザ端末３に対する脆弱性未対応の通知について、メーリングリストが設定できる。予め設定されたメーリングリストを使用した連絡をすることにより、組織的に、脆弱性に対処することができる。これにより、ユーザ端末３の停止時の業務影響が大きいファイルサーバ、またはコンパイラ等の脆弱性に、即時対応が可能である。

図６（ｃ）に例示するように、ユーザ起点の表示方法では、構成情報に基づいて、同一ユーザが操作する端末一覧を取得し、端末毎に評価値を算出することにより、ユーザの担当端末の評価値を一覧表示する。また、脆弱性管理装置５は、ユーザの対処が滞る場合に、事前に設定されたユーザの所属のメーリングリストへ通知する。これにより、ユーザだけでなく、組織として脆弱性に対する対処を行うことができ、組織全体のセキュリティ意識向上の啓蒙に繋げることができる。
各起点の表示により、緊急対策を要する脆弱性発生した場合に、影響を受ける端末全てを特定し、対策が完了するまで監視することができる。また、ユーザ単位でユーザ端末３の評価値を表示することにより、脆弱性に対する意識の低いユーザを特定できる。さらに、ユーザの部署情報を定義しておくことにより、部署単位での分析も可能である。

図７（ａ）は、端末毎の評価値を合算して表示する合算モードを例示する評価値マップであり、（ｂ）は、端末毎の脆弱性の数と評価値を「丸」の数と大きさで表示する詳細モードを例示する評価値マップである。
表示部５０８は、全ユーザ端末３に対して評価値を算出し、ユーザ端末３の配置図と合わせることにより、評価値マップを生成する。図７（ａ）に例示するように、表示部５０８は、合算モードでは、ユーザ端末３毎の評価値を一つのシンボルである「丸」の大きさで表示する。図７（ｂ）に例示するように、表示部５０８は、詳細モードでは、ユーザ端末３毎の脆弱性の数と評価値とを、「丸」の数と大きさとにより表示する。さらに、ユーザは、評価値マップ上のユーザ端末３を選択することにより、ユーザ端末起点の情報を表示、及び脆弱性起点の情報を表示可能である。
評価値マップにより、脆弱性の評価値が高いユーザ端末３の物理的な位置が即座に特定できる。また、詳細モードから脆弱性起点の情報を参照することにより、脆弱性の内容が分かるため、必要な対処が特定できる。

図８は、会社、フロア、及び部署間におけるユーザ端末３の評価値の可視化を例示する図である。
図８に例示するように、表示部５０８は、ユーザ端末３間の通信量に基づいて、ネットワーク上の関連性を表す。図中の線の太さは通信量に比例する。セキュリティ管理者は、図８の「全社」の「４Ｆ」を選択することにより、「４Ｆ」の「フロア」における評価値マップを閲覧可能となり、さらに、「フロア」の「Ｂ」を選択することにより、「Ｂ」に相当する「部署」における評価値マップを閲覧可能となる。通信量と、脆弱性の評価値とを併せて表示することは、脆弱性により影響を受ける範囲を特定することを可能にする。また、集計単位を定義しておくことにより、フロア間、部署間等の脆弱性の影響を可視化することができる。さらに、表示部５０８は、クローズド環境を色分けして表示することにより、一般的にパッチの適用ができない、常に危険度の高い傾向のあるクローズド環境を見分けることを可能にする。

以上説明したように、脆弱性管理装置５によれば、外部のＷｅｂサイトから収集した脆弱性情報とユーザ端末３の構成情報とに基づいて、評価値を算出し、算出した評価値をシンボルで表す。評価値をシンボルの大きさで表示することにより、セキュリティ管理者は、直感的に危険性を把握することができる。また、評価値の表示方法として、異なる起点に基づいた表示が可能であるため、多面的に危険性を捉えることが可能である。さらに、ユーザ端末間のネットワーク上の関連性に合わせて評価値のシンボルを表示することにより、脆弱性による影響範囲を視覚的に把握することができ、脆弱性の対応の優先順位を定めることが可能になる。

１…脆弱性管理システム
３…ユーザ端末
５…脆弱性管理装置
７…警告灯
９…ネットワーク
５０…脆弱性管理プログラム
５００…構成情報取得部
５０２…脆弱性情報収集部
５０４…検索部
５０６…評価部
５０８…表示部
５１０…検知部
６００…脆弱性情報データベース
６１０…構成情報データベース

Claims (8)

1. 所定のネットワークに接続している機器の構成情報を取得する構成情報取得部と、
   適用可能なセキュリティ対策を示す脆弱性情報を収集する情報収集部と、
   前記構成情報取得部により取得された構成情報と、前記情報収集部により収集された脆弱性情報とに基づいて、前記ネットワークに接続している機器それぞれの脆弱性を評価する評価部と、
   それぞれの機器が配置されたフロアのフロア図に対して、前記評価部による各機器の評価結果に対応する大きさのシンボルを重ね合わせて表示する表示部と
   を有する脆弱性管理装置。
2. 前記情報収集部は、適用可能な修正プログラム又は更新プログラムに関する情報と、更新可能なウイルス定義ファイルに関する情報とを前記脆弱性情報として収集し、
   前記構成情報取得部は、それぞれの機器に適用されている修正プログラム又は更新プログラムを識別する識別情報と、それぞれの機器におけるウイルス定義ファイルの更新に関する情報とを前記構成情報として取得する
   請求項１に記載の脆弱性管理装置。
3. 前記表示部は、既定のネットワークに接続している複数の機器について、前記評価部による評価結果を一覧表示する
   請求項２に記載の脆弱性管理装置。
4. 前記評価部は、適用可能な修正プログラム又は更新プログラムが機器に適用されているか否かに基づいて算出される評価値と、更新可能なウイルス定義ファイルが機器で更新されているか否かに基づいて算出される評価値とを合算して、各機器の評価値を算出し、
   前記表示部は、それぞれの機器について、合算前後の評価値を切り替えて表示する
   請求項３に記載の脆弱性管理装置。
5. 前記表示部は、ネットワークに接続している機器の評価結果を、このネットワークがインターネットに接続しているか否かに応じて異なる表示態様で表示する
   請求項２に記載の脆弱性管理装置。
6. 機器の設置場所の周囲に配置された複数の警告灯と、
   いずれかの機器について前記評価部による評価結果が既定の条件に合致した場合に、この機器の周囲に設置された警告灯を点灯させる検知部と
   をさらに有する請求項１に記載の脆弱性管理装置。
7. コンピュータが、所定のネットワークに接続している機器の構成情報を取得する構成情報取得ステップと、
   コンピュータが、適用可能なセキュリティ対策を示す脆弱性情報を収集する情報収集ステップと、
   コンピュータが、前記構成情報取得ステップにより取得された構成情報と、前記情報収集ステップにより収集された脆弱性情報とに基づいて、前記ネットワークに接続している機器それぞれの脆弱性を評価する評価ステップと、
   コンピュータが、それぞれの機器が配置されたフロアのフロア図に対して、前記評価ステップによる各機器の評価結果に対応する大きさのシンボルを重ね合わせて表示させる表示ステップと
   を有する脆弱性管理方法。
8. 所定のネットワークに接続している機器の構成情報を取得する構成情報取得ステップと、
   適用可能なセキュリティ対策を示す脆弱性情報を収集する情報収集ステップと、
   前記構成情報取得ステップにより取得された構成情報と、前記情報収集ステップにより収集された脆弱性情報とに基づいて、前記ネットワークに接続している機器それぞれの脆弱性を評価する評価ステップと、
   それぞれの機器が配置されたフロアのフロア図に対して、前記評価ステップによる各機器の評価結果に対応する大きさのシンボルを重ね合わせて表示させる表示ステップと
   をコンピュータに実行させるプログラム。

Images