JP7310936B2 - 検査装置、検査方法及びプログラム - Google Patents

Description

本発明は、検査装置、検査方法及びプログラムに関する。

従来、ネットワークの通信に関するセキュリティオペレーションを行う分野において、セキュリティ装置のセキュリティ設定（アクセスリスト、シグニチャ）を設計、適用する上で、保護対象となるサービスへのユーザ入力に対して、セキュリティ設定が誤検知するかを検査する技術（誤検知有無検査技術）、及び複数のセキュリティ装置にまたがって、セキュリティ設定の重複を検出する技術（セキュリティ設定重複検出技術）が有る。

従来の誤検知有無検査技術には、一定期間においてモニタリングを行い、誤検知の影響が極小であることを確認したうえで遮断を実行するようにセキュリティ装置の設定を変更するステージング方式や、実際に保護対象となるサービスに対して、脆弱性検査を行い、誤検知がないかを確認する脆弱性検査方式が有る。

また、セキュリティ設定重複検出技術については、ファイアーウォールのアクセスリスト重複検知技術が有る（非特許文献１）。

A.Liu et al., "Firewall Compressor: An Algorithm for Minimizing Firewall Policies," the 27th Annual IEEE Conference on Computer Communications (INFOCOM), pages 176-180, April, IEEE, 2008.

しかしながら、従来の誤検知有無検査技術（ステージング方式、脆弱性検査方式）では、ユーザからの入力全てに対して誤検知がないことを判断できないという網羅性の問題、及び検査においては実際の通信を使用して確認が行われるため、数日～数か月の期間を要するという検査時間の問題がある。

また、セキュリティ設定重複検出技術については、セキュリティ設定の一部（アクセスリスト）のみに適用されており、シグニチャについては考慮されていない。

本発明は、上記の点に鑑みてなされたものであって、セキュリティの確保に関連する作業を支援することを目的とする。

そこで上記課題を解決するため、検査装置は、第１のシグニチャの正規表現を非決定性有限オートマトンによる第１の表現に変換し、第２のシグニチャの正規表現を非決定性有限オートマトンによる第２の表現に変換する変換部と、前記第１の表現と前記第２の表現とについて包含関係の有無を判定する判定部と、前記判定部による判定の結果が、前記第１の表現と前記第２の表現とが包含関係を有することを示す場合、前記第１のシグニチャ及び前記第２のシグニチャが前記包含関係を有することを示す情報を出力する出力部と、を有する。

セキュリティの確保に関連する作業を支援することができる。

本発明の実施の形態における検査装置１０のハードウェア構成例を示す図である。 本発明の実施の形態における検査装置１０の機能構成例を示す図である。 シグニチャ同士の重複の検出方法を説明するための図である。 シグニチャによって誤検知されうるユーザ入力の有無の判定方法を説明するための図である。 重複検出部１２が実行する処理手順の一例を説明するためのフローチャートである。 誤検知有無検査部１３が実行する処理手順の一例を説明するためのフローチャートである。 ２つのＮＦＡについて排他関係有無を判定するための計算処理の一例を説明するためのフローチャートである。 ２つのＮＦＡについて排他関係有無を判定するための計算処理の一例の説明を補足するための図である。

以下、図面に基づいて本発明の実施の形態を説明する。図１は、本発明の実施の形態における検査装置１０のハードウェア構成例を示す図である。図１の検査装置１０は、それぞれバスＢで相互に接続されているドライブ装置１００、補助記憶装置１０２、メモリ装置１０３、ＣＰＵ１０４、及びインタフェース装置１０５等を有する。

検査装置１０での処理を実現するプログラムは、ＣＤ－ＲＯＭ等の記録媒体１０１によって提供される。プログラムを記憶した記録媒体１０１がドライブ装置１００にセットされると、プログラムが記録媒体１０１からドライブ装置１００を介して補助記憶装置１０２にインストールされる。但し、プログラムのインストールは必ずしも記録媒体１０１より行う必要はなく、ネットワークを介して他のコンピュータよりダウンロードするようにしてもよい。補助記憶装置１０２は、インストールされたプログラムを格納すると共に、必要なファイルやデータ等を格納する。

メモリ装置１０３は、プログラムの起動指示があった場合に、補助記憶装置１０２からプログラムを読み出して格納する。ＣＰＵ１０４は、メモリ装置１０３に格納されたプログラムに従って検査装置１０に係る機能を実行する。インタフェース装置１０５は、ネットワークに接続するためのインタフェースとして用いられる。

図２は、本発明の実施の形態における検査装置１０の機能構成例を示す図である。図２において、検査装置１０は、入力受付部１１、重複検出部１２、誤検知有無検査部１３及び結果出力部１４等を有する。これら各部は、検査装置１０にインストールされた１以上のプログラムが、ＣＰＵ１０４に実行させる処理により実現される。検査装置１０は、また、入力データ記憶部１５を利用する。入力データ記憶部１５は、例えば、補助記憶装置１０２、又は検査装置１０にネットワークを介して接続可能な記憶装置等を用いて実現可能である。

入力受付部１１は、或るネットワークにおける複数の転送装置、複数のセキュリティ装置及び１以上のクラウド基盤装置等から、それぞれの装置に設定されているセキュリティ設定情報の入力を、例えば、ネットワークを介して受け付け、受け付けたセキュリティ設定情報を入力データ記憶部１５に保存する。入力受付部１１は、また、当該ネットワークのクラウド基盤装置において起動されているサーバ上において動作するサービスに関するユーザ入力リストの入力を、例えば、検査装置１０の管理者から受け付け、入力データ記憶部１５に保存する。

ユーザ入力リストとは、サービスのユーザによる入力によってユーザ端末からサービスに対して送信されうるリクエスト（以下、「ユーザ入力」という。）の集合のリストである。例えば、サービスがＷｅｂサービスであれば、ユーザ入力は、ＨＴＴＰリクエストの形式を有する。一例として、Ｗｅｂサービスに対するログイン画面に対してユーザＩＤ及びパスワードの入力に応じてユーザ端末からＷｅｂサービスに対して送信されるリクエストは、以下のような形式を有する。
GET http://example.com/login.php?id=[userin-put]&password=[user-input] HTTP/1.1
ここで、[userin-put]の部分は、ユーザによって入力される可変部分である。ユーザ入力リストを構成する各ユーザ入力では、このような可変な部分が正規表現に置換されている。例えば、Ｗｅｂサービスの仕様としてユーザＩＤ及びパスワードについて、半角英数字８文字以上という入力制限が課されている場合、ユーザの入力部分が当該入力制限に従った正規表現に置き換えられて、下記のようにユーザ入力が作成される。
GET http:＼/＼/example.com＼/login.php＼?id=＼w{8,}＼&password=＼w{8,} HTTP＼/1.1
当該ユーザ入力では、元のリクエストの[user-input]が「＼w{8,}」に置換されている。ここで「＼w」は、正規表現において特別な意味を有するメタ文字と呼ばれる記号であり、半角英数字の任意の１文字を意味する。したがって、「＼w{8,}」は、半角英数字の任意の８文字を意味する。また、当該ユーザ入力では、元のリクエストの「/」、「?」及び「&」の前に「＼」が付与されている。当該「＼」は、「/」、「?」及び「&」が正規表現におけるメタ文字であるところ、当該ユーザ入力においては、通常の文字として解釈されるようにするため（すなわち、メタ文字として解釈されるのを回避するため）の機能を有する。入力受付部１１は、管理者によってこのような形式に変換されたユーザ入力のリスト（すなわち、ユーザ入力リスト）の入力を受け付け、当該ユーザ入力リストを入力データ記憶部１５に保存する。

一方、セキュリティ設定情報とは、アクセスリスト又はシグニチャ等である。アクセスリストとは、ＡＣＬ（Access Control List）とも呼ばれ、送信元及び宛先を特定する情報によって通信の許否を示す情報のリストである。シグニチャとは、通信における攻撃のパターンを示すテキストデータである。シグニチャは、当初から正規表現によって設定される場合もあれば、異なる形式によって設定される場合も有る。後者の場合、入力受付部１１は、管理者によって正規表現に変換された後のシグニチャの入力を受け付ける。したがって、入力データ記憶部１５に記憶されるシグニチャは、全て正規表現の形式を有する。

重複検出部１２は、入力データ記憶部１５に記憶されたセキュリティ設定情報同士を比較し、重複する（重複部分を有する）設定を検出する。重複検出部１２は、検出した結果を結果出力部１４へ出力する。アクセスリスト同士の重複の検出については公知技術が用いられればよい。シグニチャ同士の重複の検出については図３に示されるように行われる。

図３は、シグニチャ同士の重複の検出方法を説明するための図である。図３に示されるように、重複検出部１２は、或るセキュリティ装置等に設定されているセキュリティ設定情報Ａに含まれる正規表現のシグニチャと、別のセキュリティ装置等に設定されているセキュリティ設定情報Ｂに含まれる正規表現のシグニチャとのそれぞれを、非決定性有限オートマトン（Ｎｏｎ－ｄｅｔｅｒｍｉｎｉｓｔｉｃＦｉｎｉｔｅＡｕｔｏｍａｔｏｎ（以下「ＮＦＡ」という。））による表現に変換する。図３では、セキュリティ設定情報Ａに含まれるシグニチャのＮＦＡへの変換結果がＮＦＡ_Ａとして表記され、セキュリティ設定情報Ｂに含まれるシグニチャのＮＦＡへの変換結果がＮＦＡ_Ｂとして表記されている。重複検出部１２は、ＮＦＡ_ＡとＮＦＡ_Ｂとの比較に基づいて、２つのシグニチャの包含関係の有無を判定する。重複検出部１２は、包含関係が有れば、２つのシグニチャに重複が有ると判定する。

誤検知有無検査部１３は、ユーザ入力リストとシグニチャとを比較し、シグニチャによって攻撃として誤検知されうるユーザ入力の有無を検査（判定）する。誤検知有無検査部１３は、検査（判定）の結果を結果出力部１４へ出力する。

図４は、シグニチャによって誤検知されうるユーザ入力の有無の判定方法を説明するための図である。図４に示されるように、誤検知有無検査部１３は、或るセキュリティ装置等に設定されているユーザ入力リストＡに含まれる正規表現のユーザ入力と、別のセキュリティ装置等に設定されているセキュリティ設定情報Ｂに含まれる正規表現のシグニチャとのそれぞれを、ＮＦＡによる表現に変換する。図４では、ユーザ入力リストＡに含まれるユーザ入力のＮＦＡへの変換結果がＮＦＡ_Ａとして表記され、セキュリティ設定情報Ｂに含まれるシグニチャのＮＦＡへの変換結果がＮＦＡ_Ｂとして表記されている。誤検知有無検査部１３は、ＮＦＡ_ＡとＮＦＡ_Ｂとの比較に基づいて、当該ユーザ入力と当該シグニチャとに排他関係が有るか否かを判定する。誤検知有無検査部１３は、排他関係が無ければ、当該シグニチャによって当該ユーザ入力が誤検知されると判定する。

結果出力部１４は、重複検出部１２及び誤検知有無検査部１３から出力された情報を、例えば、セキュリティオペレータ等が認識可能な形態で出力する。表示装置への表示、ファイルへの出力、電子メールでの送信等が、結果出力部１４による出力の一例として挙げられる。

以下、検査装置１０が実行する処理手順について説明する。図５は、重複検出部１２が実行する処理手順の一例を説明するためのフローチャートである。

ステップＳ１０１において、重複検出部１２は、検査対象とされたサーバ又はサービスに関係するセキュリティ設定情報Ａに含まれるシグニチャリストｓｉｇ_Ａ＝［ａ_１，ａ_２，…，ａ_ｍ］と、当該サーバ又は当該サービスに関係するセキュリティ設定情報Ｂに含まれるシグニチャリストｓｉｇ_Ｂ＝［ｂ_１，ｂ_２，…，ｂ_ｎ］とを入力データ記憶部１５から取得する。ここで、セキュリティ設定情報Ａとは、或るセキュリティ装置又は転送装置から取得されたセキュリティ設定情報をいい、セキュリティ設定情報Ｂとは、別のセキュリティ装置又は別の転送装置から取得されたセキュリティ設定情報をいう。

続いて、重複検出部１２は、変数ｉに１を代入し（Ｓ１０２）、変数ｊに１を代入する（Ｓ１０３）。変数ｉは、シグニチャリストｓｉｇ_Ａに含まれる各シグニチャを区別するための変数である。変数ｊは、シグニチャリストｓｉｇ_Ｂに含まれる各シグニチャを区別するための変数である。

続いて、重複検出部１２は、シグニチャａ_ｉ，（１≦ｉ≦ｍ）の正規表現をＮＦＡによる表現に変換する（Ｓ１０４）。以下、シグニチャａ_ｉの正規表現のＮＦＡによる表現をＮＦＡ_ａｉと表記する。

続いて、重複検出部１２は、シグニチャｂ_ｊ，（１≦ｊ≦ｎ）の正規表現をＮＦＡによる表現に変換する（Ｓ１０５）。以下、シグニチャｂ_ｊの正規表現のＮＦＡによる表現をＮＦＡ_ｂｊと表記する。

続いて、重複検出部１２は、ＮＦＡ_ａｉ及びＮＦＡ_ｂｊについて包含関係の有無を判定するための計算処理を実行する（Ｓ１０６）。当該計算処理は、公知技術（例えば、特開２００６－１８５１７６号公報等）に基づいて行われればよい。

計算処理の結果が包含関係が有ることを示す場合（すなわち、ＮＦＡ_ａｉ⊆ＮＦＡ_ｂｊ、又はＮＦＡ_ｂｊ⊆ＮＦＡ_ａｉが成立する場合）（Ｓ１０７でＹｅｓ）、シグニチャａ_ｉはシグニチャｂ_ｊと重複しているため、重複検出部１２は、シグニチャａ_ｉ及びシグニチャｂ_ｊのペアと共に、当該ペアに包含関係が有ること（重複が有ること）を示す情報を結果出力部１４へ出力する（Ｓ１０８）。一方、計算処理の結果が包含関係が無いことを示す場合（Ｓ１０７でＮｏ）、重複検出部１２は、シグニチャａ_ｉ及びシグニチャｂ_ｊのペアと共に、当該ペアに包含関係がないことを示す情報を結果出力部１４へ出力する（Ｓ１０９）。なお、ステップＳ１０９は、実行されなくてもよい。

続いて、重複検出部１２は、変数ｊの値がｎ以上であるか否かを判定する（Ｓ１１０）。ｊがｎ未満である場合（Ｓ１１０でＮｏ）、重複検出部１２は、ｊに１を加算して（Ｓ１１１）、ステップＳ１０４以降を繰り返す。ｊがｎ以上である場合（Ｓ１１０でＹｅｓ）、重複検出部１２は、変数ｉの値がｍ以上であるか否かを判定する（Ｓ１１２）。ｉがｍ未満である場合（Ｓ１１２でＮｏ）、重複検出部１２は、ｉに１を加算して（Ｓ１１３）、ステップＳ１０３以降を繰り返す。ｉがｍ以上になると（Ｓ１１３でＹｅｓ）、重複検出部１２は、処理を終了する。

なお、検査対象のサーバ又はサービスに関係するセキュリティ情報が設定されたセキュリティ装置又は転送装置が３台以上有る場合、３台以上の装置の全ての組み合わせごとに当該組み合わせに係る２つのシグニチャリストについて、図５の処理手順が実行される。

図６は、誤検知有無検査部１３が実行する処理手順の一例を説明するためのフローチャートである。

ステップＳ２０１において、誤検知有無検査部１３は、検査対象とされたサーバ又はサービスに関係するユーザ入力リストｉｎｐ_Ａ＝［ａ_１，ａ_２，…，ａ_ｍ］と、当該サーバ又は当該サービスに関係するセキュリティ設定Ｂに含まれるシグニチャリストｓｉｇ_Ｂ＝［ｂ_１，ｂ_２，…，ｂ_ｎ］とを入力データ記憶部１５から取得する。

続いて、誤検知有無検査部１３は、変数ｉに１を代入し（Ｓ２０２）、変数ｊに１を代入する（Ｓ２０３）。変数ｉは、ユーザ入力リストｉｎｐ_Ａに含まれる各ユーザ入力を区別するための変数である。変数ｊは、シグニチャリストｓｉｇ_Ｂに含まれる各シグニチャを区別するための変数である。

続いて、誤検知有無検査部１３は、ユーザ入力ａ_ｉ，（１≦ｉ≦ｍ）の正規表現をＮＦＡによる表現に変換する（Ｓ２０４）。以下、ユーザ入力ａ_ｉの正規表現のＮＦＡによる表現をＮＦＡ_ａｉと表記する。

続いて、誤検知有無検査部１３は、シグニチャｂ_ｊ，（１≦ｊ≦ｎ）の正規表現をＮＦＡによる表現に変換する（Ｓ２０５）。以下、シグニチャｂ_ｊの正規表現のＮＦＡによる表現をＮＦＡ_ｂｊと表記する。

続いて、誤検知有無検査部１３は、ＮＦＡ_ａｉ及びＮＦＡ_ｂｊについて排他関係の有無を判定するための計算処理を実行する（Ｓ２０６）。当該計算処理において、誤検知有無検査部１３は、ＮＦＡ_ａｉとＮＦＡ_ｂｊとの積オートマトンを生成し、当該積オートマトンに最終状態が有るか否かに基づいて、排他関係の有無を判定する。誤検知有無検査部１３は、当該積オートマトンにおいて最終状態が無い場合、は排他関係が有ると判定し、最終状態が有る場合、排他関係は無いと判定する。

計算処理の結果が排他関係が無いことを示す場合（すなわち、ＮＦＡ_ａｉ⊆ＮＦＡ_ｂｊ ^Ｃが成立しない場合）（Ｓ２０７でＹｅｓ）、ユーザ入力ａ_ｉはシグニチャｂ_ｊによって誤検知されるため、誤検知有無検査部１３は、ユーザ入力ａ_ｉ及びシグニチャｂ_ｊのペアと共に、当該ペアに包含関係が有ること（誤検知の可能性が有ること）を示す情報を結果出力部１４へ出力する（Ｓ２０８）。一方、計算処理の結果が排他関係が有ることを示す場合（すなわち、ＮＦＡ_ａｉ⊆ＮＦＡ_ｂｊ ^Ｃが成立する場合）（Ｓ２０７でＮｏ）、誤検知有無検査部１３は、ユーザ入力ａ_ｉ及びシグニチャｂ_ｊのペアと共に、当該ペアに包含関係が無いこと（誤検知の可能性が無いこと）を示す情報を結果出力部１４へ出力する（Ｓ２０９）。

続いて、誤検知有無検査部１３は、変数ｊの値がｎ以上であるか否かを判定する（Ｓ２１０）。ｊがｎ未満である場合（Ｓ２１０でＮｏ）、誤検知有無検査部１３は、ｊに１を加算して（Ｓ２１１）、ステップＳ２０４以降を繰り返す。ｊがｎ以上である場合（Ｓ２１０でＹｅｓ）、誤検知有無検査部１３は、変数ｉの値がｍ以上であるか否かを判定する（Ｓ２１２）。ｉがｍ未満である場合（Ｓ２１２でＮｏ）、誤検知有無検査部１３は、ｉに１を加算して（Ｓ２１３）、ステップＳ２０３以降を繰り返す。ｉがｍ以上になると（Ｓ２１３でＹｅｓ）、誤検知有無検査部１３は、処理を終了する。

なお、検査対象のサーバ又はサービスに関係するセキュリティ情報が設定されたセキュリティ装置又は転送装置が３台以上有る場合、３台以上の装置の全ての組み合わせごとに当該組み合わせに係るユーザ入力リスト及びシグニチャリストについて、図６の処理手順が実行される。

続いて、ステップＳ２０６の詳細について説明する。図７は、２つのＮＦＡについて排他関係有無を判定するための計算処理の一例を説明するためのフローチャートである。

ステップＳ３０１において、誤検知有無検査部１３は、比較対象の２つのＮＦＡのそれぞれについて、初期状態の集合を生成する。その結果、一方のＮＦＡ（以下、「ＮＦＡ_Ａ」という。）の初期状態の集合と、他方のＮＦＡ（以下、「ＮＦＡ_Ｂ」という。）の初期状態の集合とのペアが生成される。ここで、初期状態には、初期状態からε遷移による遷移先の状態も含まれる。

図８は、２つのＮＦＡについて排他関係有無を判定するための計算処理の一例の説明を補足するための図である。図８の左側には、ＮＦＡ_ＡとＮＦＡ_Ｂとが示されている。図８のＮＦＡ_Ａにおいて、初期状態はＳ_０である。また、Ｓ_０からのε遷移による遷移先の状態は、Ｓ_１及びＳ_３である。したがって、ＮＦＡ_Ａについては、｛Ｓ_０，Ｓ_１，Ｓ_３｝が、初期状態の集合として生成される。一方、図８のＮＦＡ_Ｂにおいて、初期状態はＳ_０である。また、Ｓ_０からのε遷移による遷移先の状態は、Ｓ_１及びＳ_３である。したがって、ＮＦＡ_Ｂについては、｛Ｓ_０，Ｓ_１，Ｓ_３｝が、初期状態の集合として生成される。その結果、図８の例では、ステップＳ３０１において、図８に示されるペアｐ１（［｛Ｓ_０，Ｓ_１，Ｓ_３｝，｛Ｓ_０，Ｓ_１，Ｓ_３｝］）が生成される。なお、ペアの表記において、左側の集合は、ＮＦＡ_Ａの状態集合を示し、右側の集合は、ＮＦＡ_Ｂの状態集合を示す。

ステップＳ３０１に続いて、誤検知有無検査部１３は、ＮＦＡ_Ａの入力集合を構成する入力ごとに、最後の状態集合のペアに対する当該入力の遷移先の状態集合のペアを終了条件が満たされるまで再帰的に生成する（Ｓ３０２）。ここで、ＮＦＡ_Ａの入力集合は、図８において「ａ」のみである。したがって、図８の例では、「ａ」が最後の状態集合のペアに入力された場合の遷移先の状態集合のペアが、所定条件が満たされるまで再帰的に生成される。

ステップＳ３０２の開始時における最後の状態集合のペアは、ペアｐ１である。したがって、ペアｐ１におけるＮＦＡ_Ａの状態集合の各状態に対してａが入力された場合の遷移先（ε遷移の遷移先も含む）の状態集合が生成され、ペアｐ１におけるＮＦＡ_Ｂの状態集合の各状態に対してａが入力された場合の遷移先の状態集合が生成（探索）される。その結果、図８におけるペアｐ２が生成される。

状態集合に対するａの入力は再帰的に実行されるため、続いて、ペアｐ２の各状態集合に対してａが入力された場合の（ε遷移の遷移先も含む）の状態集合が生成される。その結果、図８におけるペアｐ３が生成される。

なお、再帰的な処理の終了条件は、「ＮＦＡ_Ａ側の状態集合が空集合となること、又は遷移先の状態集合のペアと同一のペアが既に出現していること」である。図８では、ペアｐ１においてＮＦＡ_Ａ側の状態集合が空集合であるために、終了条件が満たされ、状態集合の探索が終了する。

なお、図８では、ＮＦＡ_Ａの入力集合が「ａ」のみであるが、ＮＦＡの入力の候補は、Ａｓｃｉｉ文字で￥ｘ００～￥ｘｆｆの２５６文字である。したがって、仮に、入力集合を構成する入力が複数である場合、再帰的に複数の入力についてペアの階層が生成される。

ステップＳ３０２に続いて、誤検知有無検査部１３は、ステップＳ３０１及びＳ３０２において生成された全てのペアの中に、ＮＦＡ_Ａ側の状態集合とＮＦＡ_Ｂ側の状態集合の双方にＦｉｎａｌＳｔａｔｅ（最終状態）が含まれているペアが有るか否かを判定する（Ｓ３０３）。図８の例では、ＮＦＡ_Ａの最終状態はＳ_３であり、ＮＦＡ_Ｂの最終状態はＳ_３である。したがって、ＮＦＡ_Ａ側の状態集合にＳ_３が含まれており、ＮＦＡ_Ｂの最終状態にＳ_３が含まれているペアの出現の有無が判定される。

該当するペアが有る場合（Ｓ３０３でＹｅｓ）、誤検知有無検査部１３は、排他関係は無いと判定する（Ｓ３０４）。該当するペアが無い場合（Ｓ３０３でＮｏ）、誤検知有無検査部１３は、排他関係は有ると判定する（Ｓ３０５）。

なお、ステップＳ３０２において再帰的に実行されるペアの生成（探索）は、ステップＳ３０３の条件を満たすペアが生成された時点で終了してもよい。この場合、誤検知有無検査部１３は、排他関係は無いと判定すればよい。

上述したように、本実施の形態によれば、複数のシグニチャ同士について、事前に（各シグニチャの適用前に）、重複を検出することができる。また、複数のユーザ入力について、複数のシグニチャによる誤検知の有無を事前に検出することができる。したがって、セキュリティの確保に関連する作業を支援することができる。例えば、セキュリティ設定の誤検知の有無や重複の有無を短期間かつ既存より高い網羅率で検出することが可能となる。

なお、従来のセキュリティ設定重複検出技術では、アクセスリストにしか適用できなかったが、本実施の形態によれば、アクセスリストに加えてシグニチャに対しても適用可能である。

また、本実施の形態によれば、従来の誤検知有無検査技術（セキュリティ装置検証／ステージング）と比べ、ユーザ入力がとりうるが、入力上レアな入力（例えば、珍しいＵｓｅｒＩＤ等）にも対応可能である。

なお、本実施の形態において、重複検出部１２は、請求項１の変換部及び判定部の一例である。誤検知有無検査部１３は、請求項２及び３の変換部及び判定部の一例である。

以上、本発明の実施の形態について詳述したが、本発明は斯かる特定の実施形態に限定されるものではなく、請求の範囲に記載された本発明の要旨の範囲内において、種々の変形・変更が可能である。

１０ 検査装置
１１ 入力受付部
１２ 重複検出部
１３ 誤検知有無検査部
１４ 結果出力部
１５ 入力データ記憶部
１００ ドライブ装置
１０１ 記録媒体
１０２ 補助記憶装置
１０３ メモリ装置
１０４ ＣＰＵ
１０５ インタフェース装置
Ｂ バス

Claims (7)

1. 第１のシグニチャの正規表現を非決定性有限オートマトンによる第１の表現に変換し、第２のシグニチャの正規表現を非決定性有限オートマトンによる第２の表現に変換する変換部と、
   前記第１の表現と前記第２の表現とについて包含関係の有無を判定する判定部と、
   前記判定部による判定の結果が、前記第１の表現と前記第２の表現とが包含関係を有することを示す場合、前記第１のシグニチャ及び前記第２のシグニチャが前記包含関係を有することを示す情報を出力する出力部と、
   を有することを特徴とする検査装置。
2. サービスに対するユーザ入力の正規表現を非決定性有限オートマトンによる第１の表現に変換し、シグニチャの正規表現を非決定性有限オートマトンによる第２の表現に変換する変換部と、
   前記第１の表現と前記第２の表現とについて排他関係の有無を判定する判定部と、
   前記判定部による判定の結果が、前記第１の表現と前記第２の表現とが排他関係を有さないことを示す場合、前記ユーザ入力及び前記シグニチャが排他関係を有さないことを示す情報を出力する出力部と、
   を有することを特徴とする検査装置。
3. 前記判定部は、前記第１の表現と前記第２の表現との積オートマトンに最終状態が有るか否かに基づいて、前記排他関係の有無を判定する、
   ことを特徴とする請求項２記載の検査装置。
4. 第１のシグニチャの正規表現を非決定性有限オートマトンによる第１の表現に変換し、第２のシグニチャの正規表現を非決定性有限オートマトンによる第２の表現に変換する変換手順と、
   前記第１の表現と前記第２の表現とについて包含関係の有無を判定する判定手順と、
   前記判定手順における判定の結果が、前記第１の表現と前記第２の表現とが包含関係を有することを示す場合、前記第１のシグニチャ及び前記第２のシグニチャが前記包含関係を有することを示す情報を出力する出力手順と、
   をコンピュータが実行することを特徴とする検査方法。
5. サービスに対するユーザ入力の正規表現を非決定性有限オートマトンによる第１の表現に変換し、シグニチャの正規表現を非決定性有限オートマトンによる第２の表現に変換する変換手順と、
   前記第１の表現と前記第２の表現とについて排他関係の有無を判定する判定手順と、
   前記判定手順における判定の結果が、前記第１の表現と前記第２の表現とが排他関係を有さないことを示す場合、前記ユーザ入力及び前記シグニチャが排他関係を有さないことを示す情報を出力する出力手順と、
   をコンピュータが実行することを特徴とする検査方法。
6. 前記判定手順は、前記第１の表現と前記第２の表現との積オートマトンに最終状態が有るか否かに基づいて、前記排他関係の有無を判定する、
   ことを特徴とする請求項５記載の検査方法。
7. 請求項４乃至６いずれか一項記載の検査方法をコンピュータに実行させることを特徴とするプログラム。

Images