JP7828270B2 - 脆弱性評価装置、脆弱性評価システム及び脆弱性評価方法 - Google Patents

Description

本発明は、脆弱性評価装置、脆弱性評価システム及び脆弱性評価方法に関する。

近年、情報システムにおける新たな脆弱性の発見や情報システムへの新たな攻撃手法の出現などにより、サイバーセキュリティ技術が注目を集めている。このような状況の下、情報システムが脆弱性を含んでいるか、脆弱性を利用したサイバー攻撃を受けた際に被害がどこまで広がるか、という問題は社会や組織において重要な関心事項となっている。

そのため、例えば企業等においては、ビジネス上のリスクを把握するために、新たに発見される脆弱性やサイバー攻撃（以下、サイバーイベントという）に関する様々なレポートを取得し、これらのレポートに基づいて適切な対策を講じることが求められている。

従来から、ソフトウエアにおける脆弱性の有無を判定するために、いくつかの提案がなされている。
例えば、米国特許第１１２１８５１０号（特許文献１）には、「ソフトウエアサプライチェーンの全てのレベルからの脆弱性の全体に基づいて、ソフトウエアプリケーションの包括的なサイバーセキュリティの脅威を評価するためのシステムと方法。ソフトウエアプリケーションのコード及び／又は動作を分析して、ソフトウエアを構成するコンポーネントを特定し、当該コンポーネントのソースを識別し、当該コンポーネントに関連する脆弱性を特定し、当該コンポーネントのリストをコンパイルし、当該コンポーネント及びそのソース間の関係の有向グラフを作成し、ソフトウエアサプライチェーンの脆弱性に基づいてソフトウエアプリケーションに関連する全体的な脅威を評価する」技術が記載されている。

米国特許第１１２１８５１０号

上記の特許文献１には、特定のソフトウエアを構成するソフトウエアコンポーネントのそれぞれの脆弱性やソース（出所）に基づいて、当該ソフトウエアのサイバー攻撃への耐性を評価する手段が記載されている。

しかし、現代のソフトウエア販売モデルでは、ソフトウエアが含むコンポーネントに関する構成情報は、クライアント等のエンドユーザーには提供されないことがある。このため、ソフトウエアが含むコンポーネントに関する構成情報がエンドユーザーに提供されない場合には、例えば特許文献１のような、ソフトウエアコンポーネントの構成方法に基づく脆弱性評価の適用が限られてしまい、ソフトウエアにおける脆弱性の有無を把握することができないことがある。

また、特許文献１に記載の手段では、評価対象の所定のソフトウエアにおける何らかの脆弱性の有無を判定することができるものの、ユーザによって指定された特定の脆弱性の有無を判定することや、特定の脆弱性を含むソフトウエアとの類似度が高く、同様の脆弱性を含む可能性がある関連ソフトウエアを判定することは想定されていない。

更に、特許文献１に記載の手段では、評価対象の所定のソフトウエアに含まれるコンポーネント及びこれらのコンポーネントのソース間の関係を示すサイバーフィジカルグラフを作成するが、当該サイバーフィジカルグラフは、コンポーネントと公開脆弱性情報とを関連付けないため、日々発見される新たな脆弱性を考慮した脆弱性評価が困難となる。

そこで、本開示は、例えばソフトウエアが含むコンポーネントに関する構成情報が提供されない場合であっても、ソフトウエアにおける特定の脆弱性の有無を判定すると共に、特定の脆弱性を含むソフトウエアとの類似度が高く、同様の脆弱性を含む可能性があるソフトウエアを判定することができる脆弱性評価手段を提供することを目的とする。

上記の課題を解決するために、代表的な本発明の脆弱性評価装置の一つは、プロセッサとメモリと記憶部とを備え、前記記憶部は、ソフトウエア資産を特徴付けるソフトウエア資産情報を格納するソフトウエア資産データベースを含んでいる。そして、前記メモリは、前記プロセッサを、前記ソフトウエア資産に関する脆弱性を特徴付ける脆弱性情報を取得する脆弱性管理部と、前記ソフトウエア資産情報と、前記脆弱性情報との関係を示す知識データベースを生成する知識データベース管理部と、第１のソフトウエア資産における第１の脆弱性を指定する脆弱性指定入力を受け付ける入力管理部と、前記脆弱性指定入力に基づいて前記知識データベースを検索することで、前記第１の脆弱性を含む可能性がある第２のソフトウエア資産を示す脆弱性含有候補情報を生成する脆弱性含有候補判定部として機能させるための処理命令を含む。

本開示によれば、例えばソフトウエアが含むコンポーネントに関する構成情報が提供されない場合であっても、ソフトウエアにおける特定の脆弱性の有無を判定すると共に、特定の脆弱性を含むソフトウエアとの類似度が高く、同様の脆弱性を含む可能性があるソフトウエアを判定することができる脆弱性評価手段を提供することができる。
上記以外の課題、構成及び効果は、以下の発明を実施するための形態における説明により明らかにされる。

図１は、本開示の実施形態を実施するためのコンピュータシステムを示す図である。 図２は、本開示の実施形態に係る脆弱性評価システムの構成の一例を示す図である。 図３は、本開示の実施形態に係る脆弱性評価システムによる処理の全体の流れの一例を示す図である。 図４は、本開示の実施形態に係る脆弱性含有候補判定処理の流れの一例を示す図である。 図５は、本開示の実施形態に係るソフトウエア資産検証処理の流れの一例を示す図である。 図６は、本開示の実施形態に係るグラフ形式の知識データベースの一例を示す図である。 図７は、本開示の実施形態に係る表形式の知識データベースの一例を示す図である。 図８は、本開示の実施形態に係るソフトウエア資産管理データベースの一例を示す図である。 図９は、本開示の実施形態に係るＳＢＯＭデータベースの一例を示す図である。 図１０は、本開示の実施形態に係るバイナリーデータベースの構成の一例を示す図である。 図１１は、本開示の実施形態に係る脆弱性データベースの構成の一例を示す図である。 図１２は、本開示の実施形態に係るソフトウエア資産構成情報データベースの構成の一例を示す図である。 図１３は、本開示の実施形態に係る脆弱性含有候補情報の構成の一例を示す図である。 図１４は、本開示の実施形態に係る評価結果情報の構成を示す図である。

以下、図面を参照して、本発明の実施形態について説明する。なお、この実施形態により本発明が限定されるものではない。また、図面の記載において、同一部分には同一の符号を付して示している。
また、「第１」、「第２」、「第３」等の用語は、本開示において様々な要素又は構成要素を説明するのに用いられる場合があるが、これらの要素又は構成要素はこれらの用語によって限定されるべきでないことが理解されるであろう。これらの用語は、或る要素又は構成要素を別の要素又は構成要素と区別するためにのみ用いられる。したがって、以下で論述する第１の要素又は構成要素は、本発明概念の教示から逸脱することなく第２の要素又は構成要素と呼ぶこともできる。

まず、図１を参照して、本開示の実施形態を実施するためのコンピュータシステム１００について説明する。本明細書で開示される様々な実施形態の機構及び装置は、任意の適切なコンピューティングシステムに適用されてもよい。コンピュータシステム１００の主要コンポーネントは、１つ以上のプロセッサ１０２、メモリ１０４、端末インターフェース１１２、ストレージインタフェース１１３、Ｉ／Ｏ（入出力）デバイスインタフェース１１４、及びネットワークインターフェース１１５を含む。これらのコンポーネントは、メモリバス１０６、Ｉ／Ｏバス１０８、バスインターフェースユニット１０９、及びＩ／Ｏバスインターフェースユニット１１０を介して、相互的に接続されてもよい。

コンピュータシステム１００は、プロセッサ１０２と総称される１つ又は複数の汎用プログラマブル中央処理装置（ＣＰＵ）１０２Ａ及び１０２Ｂを含んでもよい。ある実施形態では、コンピュータシステム１００は複数のプロセッサを備えてもよく、また別の実施形態では、コンピュータシステム１００は単一のＣＰＵシステムであってもよい。各プロセッサ１０２は、メモリ１０４に格納された命令を実行し、オンボードキャッシュを含んでもよい。

ある実施形態では、メモリ１０４は、データ及びプログラムを記憶するためのランダムアクセス半導体メモリ、記憶装置、又は記憶媒体（揮発性又は不揮発性のいずれか）を含んでもよい。メモリ１０４は、本明細書で説明する機能を実施するプログラム、モジュール、及びデータ構造の全て又は一部を格納してもよい。例えば、メモリ１０４は、脆弱性評価アプリケーション１５０を格納していてもよい。ある実施形態では、脆弱性評価アプリケーション１５０は、後述する機能をプロセッサ１０２上で実行する命令又は記述を含んでもよい。

ある実施形態では、脆弱性評価アプリケーション１５０は、プロセッサベースのシステムの代わりに、又はプロセッサベースのシステムに加えて、半導体デバイス、チップ、論理ゲート、回路、回路カード、及び／又は他の物理ハードウェアデバイスを介してハードウェアで実施されてもよい。ある実施形態では、脆弱性評価アプリケーション１５０は、命令又は記述以外のデータを含んでもよい。ある実施形態では、カメラ、センサ、又は他のデータ入力デバイス（図示せず）が、バスインターフェースユニット１０９、プロセッサ１０２、又はコンピュータシステム１００の他のハードウェアと直接通信するように提供されてもよい。

コンピュータシステム１００は、プロセッサ１０２、メモリ１０４、表示システム１２４、及びＩ／Ｏバスインターフェースユニット１１０間の通信を行うバスインターフェースユニット１０９を含んでもよい。Ｉ／Ｏバスインターフェースユニット１１０は、様々なＩ／Ｏユニットとの間でデータを転送するためのＩ／Ｏバス１０８と連結していてもよい。Ｉ／Ｏバスインターフェースユニット１１０は、Ｉ／Ｏバス１０８を介して、Ｉ／Ｏプロセッサ（ＩＯＰ）又はＩ／Ｏアダプタ（ＩＯＡ）としても知られる複数のＩ／Ｏインタフェースユニット１１２，１１３，１１４、及び１１５と通信してもよい。

表示システム１２４は、表示コントローラ、表示メモリ、又はその両方を含んでもよい。表示コントローラは、ビデオ、オーディオ、又はその両方のデータを表示装置１２６に提供することができる。また、コンピュータシステム１００は、データを収集し、プロセッサ１０２に当該データを提供するように構成された１つ又は複数のセンサ等のデバイスを含んでもよい。

例えば、コンピュータシステム１００は、心拍数データやストレスレベルデータ等を収集するバイオメトリックセンサ、湿度データ、温度データ、圧力データ等を収集する環境センサ、及び加速度データ、運動データ等を収集するモーションセンサ等を含んでもよい。これ以外のタイプのセンサも使用可能である。表示システム１２４は、単独のディスプレイ画面、テレビ、タブレット、又は携帯型デバイスなどの表示装置１２６に接続されてもよい。

Ｉ／Ｏインタフェースユニットは、様々なストレージ又はＩ／Ｏデバイスと通信する機能を備える。例えば、端末インタフェースユニット１１２は、ビデオ表示装置、スピーカテレビ等のユーザ出力デバイスや、キーボード、マウス、キーパッド、タッチパッド、トラックボール、ボタン、ライトペン、又は他のポインティングデバイス等のユーザ入力デバイスのようなユーザＩ／Ｏデバイス１１６の取り付けが可能である。ユーザは、ユーザインターフェースを使用して、ユーザ入力デバイスを操作することで、ユーザＩ／Ｏデバイス１１６及びコンピュータシステム１００に対して入力データや指示を入力し、コンピュータシステム１００からの出力データを受け取ってもよい。ユーザインターフェースは例えば、ユーザＩ／Ｏデバイス１１６を介して、表示装置に表示されたり、スピーカによって再生されたり、プリンタを介して印刷されたりしてもよい。

ストレージインタフェース１１３は、１つ又は複数のディスクドライブや直接アクセスストレージ装置１１７（通常は磁気ディスクドライブストレージ装置であるが、単一のディスクドライブとして見えるように構成されたディスクドライブのアレイ又は他のストレージ装置であってもよい）の取り付けが可能である。ある実施形態では、ストレージ装置１１７は、任意の二次記憶装置として実装されてもよい。メモリ１０４の内容は、ストレージ装置１１７に記憶され、必要に応じてストレージ装置１１７から読み出されてもよい。Ｉ／Ｏデバイスインタフェース１１４は、プリンタ、ファックスマシン等の他のＩ／Ｏデバイスに対するインターフェースを提供してもよい。ネットワークインターフェース１１５は、コンピュータシステム１００と他のデバイスが相互的に通信できるように、通信経路を提供してもよい。この通信経路は、例えば、ネットワーク１３０であってもよい。

ある実施形態では、コンピュータシステム１００は、マルチユーザメインフレームコンピュータシステム、シングルユーザシステム、又はサーバコンピュータ等の、直接的ユーザインターフェースを有しない、他のコンピュータシステム（クライアント）からの要求を受信するデバイスであってもよい。他の実施形態では、コンピュータシステム１００は、デスクトップコンピュータ、携帯型コンピュータ、ノートパソコン、タブレットコンピュータ、ポケットコンピュータ、電話、スマートフォン、又は任意の他の適切な電子機器であってもよい。

次に、図２を参照して、本開示の実施形態に係る脆弱性評価システムについて説明する。

図２は、本開示の実施形態に係る脆弱性評価システム２００の構成の一例を示す図である。脆弱性評価システム２００は、脆弱性評価を行うためのシステムである。図２に示すように、脆弱性評価システム２００は、脆弱性評価装置２１０、通信ネットワーク２５０、外部ＤＢ２６０及びクライアント端末２７０とからなる。脆弱性評価システム２００において、脆弱性評価装置２１０、外部ＤＢ２６０及びクライアント端末２７０は、通信ネットワーク２５０を介して互いに接続されてもよい。

脆弱性評価装置２１０は、特定の脆弱性を含むソフトウエアとの類似度が高く、同様の脆弱性を含む可能性がある他のソフトウエア資産を判定するための装置であり、図２に示すように、メモリ２２０、記憶部２３０、プロセッサ２４４及び入出力部２４６を主に含む。
ある実施形態では、脆弱性評価装置２１０は、図１に示すコンピュータシステム１００によって実装されてもよい。

メモリ２２０は、本開示の実施形態に係る脆弱性評価手段を実施するための脆弱性評価アプリケーション１５０を格納するためのメモリであってもよい。この脆弱性評価アプリケーション１５０は、図２に示すように、脆弱性管理部２２１、知識データベース管理部２２２、入力管理部２２３、脆弱性含有候補判定部２２４、検索部２２５、リスク評価部２２６及び結果出力部２２７等のソフトウエアモジュールの機能を実施するための処理命令を含んでもよい。

脆弱性管理部２２１は、ソフトウエア資産に関する脆弱性を特徴付ける脆弱性情報を取得し、例えば後述する脆弱性ＤＢ２３５に格納するための機能部である。ある実施形態では、脆弱性管理部２２１は、例えば後述するＣＶＥＤＢ２６１、ＣＷＥＤＢ２６２、ＣＡＰＥＣＤＢ２６３等の外部の公開脆弱性データベースから脆弱性情報を取得してもよい。

本開示では、「ソフトウエア資産」とは、特定の作業や機能をコンピュータに実行させるためのプログラムやデータの集合を意味し、例えば特定の個人や組織に所有されるプロプライエタリソフトウエアであってもよく、オープンソースのソフトウエアであってもよい。また、本開示における「脆弱性」とは、上述したソフトウエア資産において、プログラムの不具合や設計上のミスが原因となって発生した情報セキュリティ上の欠陥を意味する。

知識データベース管理部２２２は、ソフトウエア資産情報と、脆弱性情報との関係を示す知識データベースを生成するための機能部である。この知識データベースは、後述するように、例えば、ソフトウエア資産、当該ソフトウエア資産を開発及び販売するソフトウエア提供者、当該ソフトウエア資産と共に用いられるソフトウエア製品を含むパッケージ、ソフトウエア資産の脆弱性、脆弱性を利用する攻撃手法や弱点等の情報の論理的関係をグラフ又は表形式で示すデータ集合であってもよい。後述するように、この知識データベースを用いることで、特定の脆弱性を含むソフトウエアとの類似度が高く、同様の脆弱性を含む可能性がある他のソフトウエア資産を判定することが可能となる。

入力管理部２２３は、特定のソフトウエア資産（例えば、第１のソフトウエア資産）における特定の脆弱性（例えば、第１の脆弱性）を指定する脆弱性指定入力等の情報を、例えば後述するクライアント端末２７０から受け付けるための機能部である。一例として、入力管理部２２３は、特定のＣＶＥＩＤを示す脆弱性指定入力を受け付けてもよい。

脆弱性含有候補判定部２２４は、入力管理部２２３によって受け付けられた脆弱性指定入力に基づいて、知識データベース管理部２２２によって生成された知識データベースを検索することで、脆弱性指定入力に示される脆弱性（例えば第１の脆弱性）を含む可能性があるソフトウエア資産（例えば、第２のソフトウエア資産）を示す脆弱性含有候補情報を生成するための機能部である。
脆弱性含有候補判定部２２４によれば、特定の脆弱性を含むソフトウエアとの類似度が高く、同様の脆弱性を含む可能性がある他のソフトウエア資産を判定することができる。

検索部２２５は、後述する記憶部２３０に格納されるソフトウエア資産管理ＤＢ２３１と、脆弱性含有候補判定部２２４によって生成される脆弱性含有候補情報とに基づいて、ソフトウエア資産管理データベース２３１に格納されるソフトウエア資産の内、脆弱性含有候補情報に示されるソフトウエア資産（第２のソフトウエア資産）に対する類似度基準を満たし、脆弱性含有候補情報と同様の脆弱性を含む可能性があるソフトウエア資産（第３のソフトウエア資産）を特定するための機能部である。
検索部２２５によれば、脆弱性を含む可能性があると判定された脆弱性含有候補のソフトウエア資産は、例えば所定のクライアントによって使用されているか否かを判定することができる。

リスク評価部２２６は、脆弱性含有候補情報に示されるソフトウエア資産（第２のソフトウエア資産）に対する類似度基準を満たすソフトウエア資産（第３のソフトウエア資産）への脆弱性（例えば、脆弱性指定入力によって示される第１の脆弱性）のリスクを定量的に示すリスク評価値を計算するための機能部である。

結果出力部２２７は、脆弱性含有候補情報に示されるソフトウエア資産（第２のソフトウエア資産）に対する類似度基準を満たすソフトウエア資産（第３のソフトウエア資産）と、リスク評価部２２６によって計算されるリスク評価値とを示す評価結果情報を生成し、例えば入出力部２４６を介して後述するクライアント端末２７０に出力するための機能部である。

記憶部２３０は、本開示の実施形態に係る各種情報を格納するためのデータベース（以下、「ＤＢ」）を収容する記憶領域であり、図２に示すように、ソフトウエア資産管理部ＤＢ２３１、バイナリーＤＢ２３２、ソフトウエア資産構成情報ＤＢ２３３、ＳＢＯＭＤＢ２３４及び脆弱性ＤＢ２３６を含んでもよい。本開示において、記憶部２３０に格納されるソフトウエア資産管理部ＤＢ２３１、バイナリーＤＢ２３２、ソフトウエア資産構成情報ＤＢ２３３、ＳＢＯＭＤＢ２３４及び脆弱性ＤＢ２３５を「ソフトウエア資産データベース」と総称する。
なお、記憶部２３０に格納されるソフトウエア資産管理部ＤＢ２３１、バイナリーＤＢ２３２、ソフトウエア資産構成情報ＤＢ２３３、ＳＢＯＭＤＢ２３４及び脆弱性ＤＢ２３５の詳細については、図７～１４を参照して説明するため、ここではその説明を省略する。

プロセッサ２４４は、メモリ２２０によって格納される脆弱性評価アプリケーション１５０の各機能部の機能を規定する処理命令を実施するための処理部である。

入出力部２４６は、脆弱性評価装置２１０に入力される情報を受け付けると共に、脆弱性評価装置２１０によって生成される結果データ等の情報を出力するための機能部である。ある実施形態では、入出力部２４６は、特定のソフトウエア資産における特定の脆弱性を指定する脆弱性指定入力をユーザから受け付けるインターフェース画面や、脆弱性を含む可能性があるソフトウエア資産及び当該ソフトウエア資産のリスク評価値を示す評価結果情報をユーザに提示するインターフェース画面をクライアント端末２７０を介して出力してもよい。ある実施形態では、入出力部２４６は、例えばキーボード、マウス、ＧＵＩ（Ｇｒａｐｈｉｃａｌ Ｕｓｅｒ Ｉｎｔｅｒｆａｃｅ）を表示するディスプレイ等を含んでもよい。

通信ネットワーク２５０は、例えばローカルエリアネットワーク（ＬＡＮ）、ワイドエリアネットワーク（ＷＡＮ）、衛星ネットワーク、ケーブルネットワーク、ＷｉＦｉネットワーク、又はそれらの任意の組み合わせを含むものであってもよい。

外部ＤＢ２６０は、ソフトウエア資産の脆弱性、弱点及び攻撃手法等に関する公開情報を格納するデータベースである。図２に示すように、外部ＤＢ２６０は、例えば、ソフトウエア資産における既知の脆弱性を示すＣＶＥ（Ｃｏｍｍｏｎ Ｖｕｌｎｅｒａｂｉｌｉｔｉｅｓ ａｎｄ Ｅｘｐｏｓｕｒｅ）ＤＢ２６１、ソフトウエア資産における既知の弱点を示すＣＷＥ（Ｃｏｍｍｏｎ Ｗｅａｋｎｅｓｓ Ｅｎｕｍｅｒａｔｉｏｎ）ＤＢ２６２、及びソフトウエア資産に対する既知の攻撃手法を示すＣＡＰＥＣ（Ｃｏｍｍｏｎ Ａｔｔａｃｋ Ｐａｔｔｅｒｎ Ｅｎｕｍｅｒａｔｉｏｎ ａｎｄ Ｃｌａｓｓｉｆｉｃａｔｉｏｎ）ＤＢ２６３を含んでもよい。

上述したように、脆弱性管理部２２１は、外部ＤＢ２６０に含まれるＣＶＥＤＢ２６１、ＣＷＥＤＢ２６２及びＣＡＰＥＣＤＢ２６３にアクセスすることで、本開示の実施形態に係る知識データベースの生成に用いられる脆弱性情報を取得することができる。

クライアント端末２７０は、脆弱性評価装置２１０のユーザによって利用可能な端末装置である。ある実施形態では、このユーザは、ソフトウエア資産の使用者であり、使用中のソフトウエア資産における特定の脆弱性の有無の判定を脆弱性評価装置２１０に対して依頼するクライアントであってもよい。
ユーザは、クライアント端末２７０を用いることで、例えば入出力部２４６によって提供されるＧＵＩに対して、特定の脆弱性の有無を判定するための脆弱性指定入力を入力したり、脆弱性評価装置２１０から出力される評価結果情報を確認したりすることができる。一例として、クライアント端末２７０は、例えばスマートフォン、スマートウォッチ、タブレット、パソコン等を含んでもよく、特に限定されない。

なお、図２では、説明の便宜上、１つのクライアント端末２７０を含む構成を一例として説明しているが、実際には、クライアントに利用されるクライアント端末２７０に加えて、当該クライアントで製造・開発する製品やサービスを対象に、セキュリティレベルの向上やインシデント発生時の対応を行う組織（ＰＳＩＲＴ；Ｐｒｏｄｕｃｔ Ｓｅｃｕｒｉｔｙ Ｉｎｃｉｄｅｎｃｅ Ｒｅｓｐｏｎｓｅ Ｔｅａｍ）に利用可能な端末を含む構成や、クライアント端末２７０を複数含む構成も可能である。

以上説明した脆弱性評価システム２００によれば、例えばソフトウエアが含むコンポーネントに関する構成情報が提供されない場合であっても、ソフトウエアにおける特定の脆弱性の有無を判定すると共に、特定の脆弱性を含むソフトウエアとの類似度が高く、同様の脆弱性を含む可能性があるソフトウエアを判定することができる。

次に、図３を参照して、本開示の実施形態に係る脆弱性評価システムによる処理の全体の流れについて説明する。

図３は、本開示の実施形態に係る脆弱性評価システム２００による処理の全体の流れ３００の一例を示す図である。上述したように、本開示の実施形態に係る脆弱性評価システム２００は、脆弱性評価を行うための処理を実行するシステムであり、図３に示すように、脆弱性評価システム２００による処理の流れ３００は、特定の脆弱性を含む可能性があるソフトウエア資産（以下、脆弱性含有候補）を判定する脆弱性含有候補判定処理４００と、判定した脆弱性含有候補が特定の使用者（クライアント等）によって使用中か否かを判定するソフトウエア資産検証処理５００とからなる。
なお、図３を参照して、脆弱性評価システム２００による処理の全体の流れ３００の概要について説明するが、脆弱性含有候補判定処理４００及びソフトウエア資産検証処理５００の詳細については図５及び図６を参照して後述する。

まず、ステップＳ３０１では、脆弱性評価装置２１０の脆弱性管理部２２１は、脆弱性情報を取得するための公開脆弱性情報取得要求を外部ＤＢ２６０に送信する。
脆弱性管理部２２１は、所定の間隔（１日、３日、１週間）毎に、公開脆弱性情報取得要求を定期的に外部ＤＢ２６０に送信してもよい。

次に、ステップＳ３０２では、脆弱性管理部２２１は、ステップＳ３０１で送信した公開脆弱性情報取得要求の結果として、要求した脆弱性情報を取得する。ここでの脆弱性情報は、例えば、特定のソフトウエア資産について、特定の脆弱性を示すＣＶＥＩＤ、特定の弱点を示すＣＷＥＩＤ、特定の攻撃手法を示すＣＡＰＥＣＩＤ及びこれらの脆弱性、弱点及び攻撃手法の深刻度を示すＣＶＳＳ（Ｃｏｍｍｏｎ Ｖｕｌｎｅｒａｂｉｌｉｔｙ Ｓｃｏｒｉｎｇ Ｓｙｓｔｅｍ）等の情報を含んでもよい。脆弱性管理部２２１は、取得した脆弱性情報を例えば図２に示す脆弱性ＤＢ２３５に格納してもよい。

次に、ステップＳ３０３では、知識ＤＢ管理部２２２は、ステップＳ３０２で取得した脆弱性情報に基づいて、ソフトウエア資産情報（例えば図２に示すソフトウエア資産管理部ＤＢ２３１に管理されているソフトウエア資産の情報）と、取得した脆弱性情報との関係を示す知識データベースを生成又は更新する。知識ＤＢ管理部２２２は、知識データベースには含まれていない新たな脆弱性情報を受信する度に知識データベースを更新してもよい。

次に、ステップＳ３０４では、クライアント端末２７０は、有無を確認したい、第１のソフトウエア資産における第１の脆弱性を指定する脆弱性指定入力を脆弱性評価装置２１０に対して入力する。

次に、ステップＳ３０５では、脆弱性管理部２２１、クライアント端末２７０から受信した脆弱性指定入力によって示される第１のソフトウエア資産に関する属性（第１のソフトウエア資産の提供者ＩＤ、第１のソフトウエア資産のソフトウエア資産ＩＤ、第１のソフトウエア資産のパッケージ情報、第１のソフトウエア資産のＯＳ、第１の脆弱性に関連するＣＷＥＩＤやＣＡＰＥＣＩＤ等）を取得するための属性取得要求を外部ＤＢ２７０に送信する。
なお、図３では、脆弱性管理部２２１が属性取得要求を外部ＤＢ２６０に送信する場合を一例として示しているが、本開示はこれに限定されず、ソフトウエア資産の属性に関する情報を事前に構築した内部のデータベースから取得してもよい。

次に、ステップＳ３０６では、脆弱性管理部２２１は、ステップＳ３０５で送信した属性取得要求の結果として、要求した属性の情報を取得する。

次に、ステップＳ３０７では、脆弱性管理部２２１は、ステップＳ３０４で受信した脆弱性指定入力と、ステップＳ３０６で取得した第１のソフトウエア資産の属性情報に基づいて、ステップＳ３０３で生成された知識データベースに対する検索要求を脆弱性含有候補判定部２２４に送信する。

次に、ステップＳ３０８では、脆弱性含有候補判定部２２４は、ステップＳ３０４で受信した脆弱性指定入力と、ステップＳ３０６で取得した第１のソフトウエア資産の属性情報に基づいて知識データベースを検索する。

次に、ステップＳ３０９では、脆弱性含有候補判定部２２４は、ステップＳ３０８で実施した検索の結果として、第１のソフトウエア資産の属性情報に対して所定の類似度基準を満たす属性情報を有するソフトウエア資産を、第１のソフトウエア資産と同様に第１の脆弱性を含む可能性がある第２のソフトウエア資産を示す脆弱性含有候補情報を取得する。

次に、ステップＳ３１０では、リスク評価部２２６は、ステップＳ３０９で取得した脆弱性含有候補情報に示されるソフトウエア資産（第２のソフトウエア資産）における脆弱性の深刻度を示すリスク評価値を計算する。

次に、ステップＳ３１１では、リスク評価部２２６は、ステップＳ３１０で計算したリスク評価値を脆弱性含有候補判定部２２４に転送する。

次に、ステップＳ３１２では、脆弱性含有候補判定部２２４は、ステップＳ３０９で取得した脆弱性含有候補情報とステップＳ３１１で転送されたリスク評価値とをクライアント端末２７０に送信する。

次に、ステップＳ３１３では、クライアント端末２７０は、ステップＳ３０９で判定した脆弱性含有候補が特定の使用者（クライアント等）によって使用中か否かを判定するソフトウエア資産検証を依頼するソフトウエア資産検証要求を脆弱性評価装置２１０に送信する。

次に、ステップＳ３１４では、検索部２２５は、ステップＳ３０９で取得した脆弱性含有候補情報と、記憶部２３０に格納されているソフトウエア資産ＤＢ（例えば図２に示すソフトウエア資産管理部ＤＢ２３１に管理されているクライアントのソフトウエア資産の情報）とに基づいて、脆弱性含有候補が特定の使用者（クライアント等）によって使用中か否かを判定するソフトウエア資産検証を実行する。

次に、ステップＳ３１５では、検索部２２５は、ステップＳ３１４で実行したソフトウエア資産検証の結果として、ソフトウエア資産ＤＢに管理されているクライアントのソフトウエア資産の内、脆弱性含有候補に含まれる第２のソフトウエア資産に一致する（つまり、所定の類似度基準を満たす）第３のソフトウエア資産を判定する。

次に、ステップＳ３１６では、リスク評価部２２６は、ステップＳ３１５で判定した第３のソフトウエア資産に対する第１の脆弱性のリスクを示すリスク評価値を計算する。

次に、ステップＳ３１７では、リスク評価部２２６は、ステップＳ３１６で計算した第３のソフトウエア資産に対する第１の脆弱性のリスクを示すリスク評価値を検索部２２５に転送する。

次に、ステップＳ３１８では、検索部２２５は、結果出力部２２７や入出力部２４６を介して、ステップＳ３１５で判定した第３のソフトウエア資産と、ステップＳ３１６で計算したリスク評価値とを示す評価結果情報を生成し、クライアント端末２７０に送信する。

以上説明した脆弱性評価システム２００によれば、例えばソフトウエアが含むコンポーネントに関する構成情報が提供されない場合であっても、ソフトウエアにおける特定の脆弱性の有無を判定すると共に、特定の脆弱性を含むソフトウエアとの類似度が高く、同様の脆弱性を含む可能性があるソフトウエアを判定することができる。

次に、図４を参照して、本開示の実施形態に係る脆弱性含有候補判定処理について説明する。

図４は、本開示の実施形態に係る脆弱性含有候補判定処理４００の流れの一例を示す図である。脆弱性含有候補判定処理４００は、特定の脆弱性を含むソフトウエア資産（以下、脆弱性含有候補）を判定するための処理であり、図２に示す脆弱性管理部２２１、知識データベース管理部２２２、入力管理部２２３及び脆弱性含有候補判定部２２４によって実施される。

まず、ステップＳ４０２では、脆弱性評価装置２１０の脆弱性管理部２２１は、脆弱性情報を外部ＤＢ２６０から取得する。ここで、脆弱性管理部２２１は、例えば図２に示すソフトウエア資産管理部ＤＢ２３１に管理されているソフトウエア資産（例えば、脆弱性の有無を判定する対象のソフトウエア資産）のそれぞれについて、既知の脆弱性を示す脆弱性情報を取得するための公開脆弱性情報取得要求をＣＶＥＤＢ２６１、ＣＷＥ２６２及びＣＡＰＥＣＤＢ２６３に送信することで、ソフトウエア資産管理部ＤＢ２３１に管理されている各ソフトウエア資産に関する脆弱性（ｖｕｌｎｅｒａｂｉｌｉｔｙ）、弱点（ｗｅａｋｎｅｓｓ）及び攻撃手法（ａｔｔａｃｋ ｐａｔｔｅｒｎ）の情報を脆弱性情報として取得してもよい。

次に、ステップＳ４０４では、知識データベース管理部２２２は、ステップＳ４０２で取得した脆弱性情報に基づいて、ソフトウエア資産情報（例えば図２に示すソフトウエア資産管理部ＤＢ２３１に管理されているソフトウエア資産の情報）と、取得した脆弱性情報との関係を示す知識データベースを生成する。

ここで、知識データベースを生成するためには、まず、知識データベース管理部２２２は、ステップＳ４０２で取得した脆弱性情報に対して所定の固有表現認識手法（Ｎａｍｅｄ Ｅｎｔｉｔｙ Ｒｅｃｏｇｎｉｔｉｏｎ；ＮＥＲ）を実行することで、当該脆弱性情報におけるソフトウエア資産に関する第１の固有表現と、脆弱性に関する第２の固有表現とを抽出する。より具体的には、知識データベース管理部２２２は、ソフトウエア資産の名称、バージョン名、提供者名、ＯＳ（Ｏｐｅｒａｔｉｎｇ Ｓｙｓｔｅｍ）に関する情報を第１の固有表現として抽出し、脆弱性の名称、攻撃手法の名称、弱点の名称、ＣＶＥＩＤ、ＣＷＥＩＤ、ＣＡＰＥＣＩＤ及び被害に関する情報を第２の固有表現として抽出してもよい。
この固有表現認識は、手動で行われてもよく、機械学習手法によって行われてもよい。

次に、知識データベース管理部２２２は、脆弱性情報に対して、所定の関係抽出（Ｒｅｌａｔｉｏｎｓｈｉｐ Ｅｘｔｒａｃｔｉｏｎ）手法を実行することで、抽出した固有表現の間の関係に関する情報を抽出する。これにより、「名詞－動詞－名詞」形式の情報（ｔｒｉｐｌｅｔ ｉｎｆｏｒｍａｔｉｏｎ）を得ることができる。
このように取得した固有表現の情報及びその関係に関する情報を、それぞれの論理的関係に基づいて対応付けることで、例えば図６、７に示すような知識データベースを生成することができる。また、知識データベース管理部２２２は、いわゆるＳＴＩＸ（Ｓｔｒｕｃｔｕｒｅｄ Ｔｈｒｅａｔ Ｉｎｆｏｒｍａｔｉｏｎ Ｅｘｐｒｅｓｓｉｏｎ）を用いて知識データベースを集約し、構成してもよい。

次に、ステップＳ４０６では、入力管理部２２３は、第１のソフトウエア資産における第１の脆弱性を指定する脆弱性指定入力をクライアント端末２７０から受け付ける。この脆弱性指定入力は、例えば、特定の脆弱性（つまり、使用中のソフトウエア資産において有無を判定したい脆弱性）を識別するＣＶＥＩＤを規定する情報を含んでもよい。

次に、ステップＳ４０８では、脆弱性含有候補判定部２２４は、ステップＳ４０６で受信した脆弱性指定入力に基づいて、ステップＳ４０４で生成した知識データベースを検索することで、脆弱性指定入力に指定される第１の脆弱性を含む可能性がある第２のソフトウエア資産を判定し、判定した第２のソフトウエア資産を示す脆弱性含有候補情報を生成する。

図４に示すステップＳ４０９からＳ４１１を参照して、知識データベースを検索する処理の詳細について説明する。
まず、ステップＳ４０９では、脆弱性含有候補判定部２２４は、ステップＳ４０６で受信した脆弱性指定入力に示される第１のソフトウエア資産（すなわち、既知の脆弱性を含むソフトウエア資産）を特徴付けるソフトウエア資産属性を示す属性情報を判定する。この属性情報は、例えば、第１のソフトウエア資産の提供者ＩＤ、第１のソフトウエア資産のソフトウエア資産ＩＤ、第１のソフトウエア資産のパッケージ情報、第１のソフトウエア資産のＯＳ、第１のソフトウエア資産の機能、第１のソフトウエア資産に用いられるＡＰＩ、コード、ソフトウエアモジュール等を含んでもよい。ある実施形態では、脆弱性含有候補判定部２２４は、第１のソフトウエア資産の属性情報を外部ＤＢ２６０から取得してもよく、記憶部２３０に予め格納されているソフトウエア資産情報から取得してもよい。

次に、ステップＳ４１０では、脆弱性含有候補判定部２２４は、ステップＳ４０９で取得した第１のソフトウエア資産の属性情報に基づく検索クエリを生成する。この検索クエリは、知識データベースにおいて、第１のソフトウエア資産の属性情報に対する類似度基準を満たす他のソフトウエア資産を特定するための検索クエリである。
ある実施形態では、脆弱性含有候補判定部２２４は、この検索クエリをＮｅｏ４ｊ（登録商標）の「Ｃｙｐｈｅｒ」（登録商標）等のような、（名詞―動詞―名詞）形式のクエリが生成可能なクエリ言語で生成されてもよい。
一例として、脆弱性含有候補判定部２２４は、「MATCH (:product {name: 'XYZ'})-[:contains]->(package:’ABC’)」との検索クエリを生成してもよい。
なお、第１のソフトウエア資産に関する複数の属性情報を取得した場合、脆弱性含有候補判定部２２４は、属性毎に異なる検索クエリを生成してもよい。

次に、ステップＳ４１１では、脆弱性含有候補判定部２２４は、ステップＳ４１０で生成した検索クエリを用いて、知識データベースに対する検索を実施する。上述したように、第１のソフトウエア資産の属性情報に基づいて生成した検索クエリを用いて知識データベースを検索することで、当該第１のソフトウエア資産の属性に一致する第２のソフトウエア資産を特定することができる。そして、第１のソフトウエア資産と属性が一致している第２のソフトウエア資産は、第１のソフトウエア資産と同様に、第１の脆弱性を含む可能性があるため、脆弱性含有候補として判定し、後述するソフトウエア資産検証処理５００を行うことで、脆弱性を利用するサイバー攻撃等による被害を回避することができる。

次に、ステップＳ４１２では、リスク評価部２２６は、ステップＳ４０８で生成した脆弱性含有候補情報に示されるソフトウエア資産（第２のソフトウエア資産）における脆弱性（第１の脆弱性）に関するリスク評価値を計算し、出力する。ここで、リスク評価部２２６は、第２のソフトウエア資産が第１の脆弱性を含有している確率、第１の脆弱性の第２のソフトウエア資産に対する重要度や深刻度、第１の脆弱性の影響を受けるソフトウエア資産の数、第２のソフトウエア資産を使用するシステムの第１の脆弱性に対する耐性、第１の脆弱性のサプライチェーンにおける影響範囲等に基づいてリスク評価値を計算してもよい。

次に、図５を参照して、本開示の実施形態に係るソフトウエア資産検証処理について説明する。

図５は、本開示の実施形態に係るソフトウエア資産検証処理５００の流れの一例を示す図である。ソフトウエア資産検証処理５００は、図４を参照して説明した脆弱性含有候補判定処理４００において判定した脆弱性含有候補が特定の使用者（クライアント等）によって使用中か否かを判定するための処理であり、検索部２２５、リスク評価部２２６及び結果出力部２２７によって実施される。

まず、ステップＳ５０２では、検索部２２５は、図２や図８等で示すソフトウエア資産管理部ＤＢ２３１に情報が格納されているソフトウエア資産の内、第１の脆弱性を含む可能性がある脆弱性含有候補である第２のソフトウエア資産に対する類似度基準を満たす第３のソフトウエア資産を特定する。

本開示において、「類似度基準」との表現は、異なるソフトウエア資産（例えば、第１のソフトウエア資産と第２のソフトウエア資産、第２のソフトウエア資産と第３のソフトウエア資産）が実質的に類似しているか否かを判定するための情報であり、例えばユークリッド距離やコサイン距離の計算手法によって計算した類似度閾値等であってもよい。

検索部２２５は、第２のソフトウエア資産に対する類似度基準を満たす第３のソフトウエア資産を検索するためには、自然言語に基づく検索、ソフトウエアコードに基づく検索、ソフトウエア部品表に基づく検索、及びバイナリーに基づく検索を用いてもよい。

例えば、ある実施形態では、検索部２２５は、所定の自然言語処理手法を用いることで、ソフトウエア資産管理データベース２３１におけるソフトウエア資産の内、第２のソフトウエア資産のソフトウエア資産ＩＤ（ソフトウエア資産の名称等）に対する類似度基準を満たすソフトウエア資産を第３のソフトウエア資産として特定してもよい。ここで、検索部２２５は、第２のソフトウエア資産のソフトウエア資産ＩＤをソフトウエア資産管理データベース２３１から取得してもよい。

また、ある実施形態では、検索部２２５は、第２のソフトウエア資産から、ソースコードの一部であるソースコード部分を抽出し、所定のコード比較手法を用いることで、ソフトウエア資産管理データベース２３１におけるソフトウエア資産の内、第２のソフトウエア資産のソースコード部分に対する類似度基準を満たすソフトウエア資産を第３のソフトウエア資産として特定してもよい。

また、ある実施形態では、検索部２２５は、ソフトウエア資産管理データベース２３１におけるソフトウエア資産の内、図２や図９に示すＳＢＯＭＤＢに格納される第２のソフトウエア資産のソフトウエア部品表に対する類似度基準を満たすソフトウエア資産を第３のソフトウエア資産として特定してもよい。

更に、ある実施形態では、検索部２２５は、ソフトウエア資産管理データベース２３１におけるソフトウエア資産の内、図２や図１０に示すバイナリーＤＢ２３２に格納される第２のソフトウエア資産の前記バイナリーデータに対する類似度基準を満たすソフトウエア資産を第３のソフトウエア資産として特定してもよい。

このように、自然言語、ソースコード、ソフトウエア部品表、及びバイナリーに基づく検索を行うことで、第１の脆弱性を含む可能性がある脆弱性含有候補である第２のソフトウエア資産に実質的に態様する第３のソフトウエア資産を、例えば所定のクライアントが使用しているソフトウエア資産の中から特定することができる。

次に、ステップＳ５０４では、リスク評価部２２６は、ステップＳ５０２で特定した第３のソフトウエア資産に対する第１の脆弱性のリスクを示すリスク評価値を計算する。

ある実施形態では、このリスク評価値は、第３のソフトウエア資産が第１の脆弱性を含む確率を示す値であってもよい。この場合、リスク評価部２２６は、第２のソフトウエア資産の第１のソフトウエア資産に対する類似度や、第３のソフトウエア資産に対する第２の類似度等に基づいて、第３のソフトウエア資産が第１の脆弱性を含む確率を計算し、リスク評価値としてもよい。

また、ある実施形態では、このリスク評価値は、第１の脆弱性の第３のソフトウエア資産に対する重要度や深刻度を示す値であってもよい。この場合、リスク評価部２２６は、第３のソフトウエア資産の機密性、完全性及び可用性に対する第１の脆弱性の影響度を定量的に示すＣＶＳＳ（Ｃｏｍｍｏｎ Ｖｕｌｎｅｒａｂｉｌｉｔｙ Ｓｃｏｒｉｎｇ Ｓｙｓｔｅｍ）スコアを計算し、リスク評価値としてもよい。

更に、ある実施形態では、リスク評価部２２６は、第１の脆弱性の影響を受けるソフトウエア資産の数（つまり、第３のソフトウエア資産の数）、第３のソフトウエア資産を使用する企業や組織の数、第１の脆弱性のサプライチェーンにおける影響範囲に基づいてリスク評価値を計算してもよい。

次に、ステップＳ５０６では、リスク評価部２２６は、ステップＳ５０２で特定した第３のソフトウエア資産と、ステップＳ５０４で計算したリスク評価値とを示す評価結果情報を生成し、例えば図２に示す入出力部２４６や通信ネットワーク２５０を介して、クライアント端末２７０に提供してもよい。この評価結果情報の詳細については、図１６や図１７を参照して説明するため、ここではその説明を省略する。

図５に示すソフトウエア資産検証処理５００によれば、クライアント等のユーザが指定した第１の脆弱性を含むソフトウエア資産と実質的に類似しており、第１の脆弱性を含む可能性がある第２のソフトウエア資産（脆弱性含有候補）に対応する第３のソフトウエア資産が当該クライアントによって使用中か否かを判定することができる。このように、ユーザは、使用中のソフトウエア資産の中で、特定の脆弱性を含む可能性があるソフトウエア資産を特定することで、当該脆弱性を解消する対策や被害を抑える処置等を準備し、サイバーセキュリティを向上させることができる。

次に、図６及び図７を参照して、本開示の実施形態に係る知識データベースの構成について説明する。上述したように、本開示の一態様は、ソフトウエア資産情報及び脆弱性情報との関係を示す知識データベースに基づいて脆弱性評価を行うことに関する。この知識データベースは、グラフ形式で構成してもよく、表形式で構成してもよい。

図６は、本開示の実施形態に係るグラフ形式の知識データベース６００の一例を示す図である。

図６に示すように、グラフ形式の知識データベース６００は、例えば名称やソフトウエア資産ＩＤによって識別される特定のソフトウエア資産６０６、当該ソフトウエア資産のバージョン６０４、当該ソフトウエア資産のＯＳ６０８、当該ソフトウエア資産の提供者６０２、当該ソフトウエア資産を含むパッケージ６１０、当該パッケージのソフトウエアのバージョン６１２、当該パッケージの脆弱性６１４、当該脆弱性のＣＶＥＩＤ６１６、当該脆弱性による被害６１８、当該脆弱性に関連する弱点６２０とそのＣＷＥＩＤ６２２、当該脆弱性に対する攻撃手法６２４及び当該攻撃手法のＣＡＰＥＣＩＤ６２６等の情報の間の依存関係を、ノード及びエッジからなるグラフ形式で示すデータ構造であってもよい。

このグラフ形式の知識データベース６００は、例えば上述した「Ｃｙｐｈｅｒ」等のクエリ言語で生成される（名詞―動詞―名詞）形式の検索クエリによって検索可能である。

図７は、本開示の実施形態に係る表形式の知識データベース７００の一例を示す図である。

図７に示すように、表形式の知識データベース７００は、例えば所定のソフトウエア資産７０２について、提供者７０４、バージョン７０６、同じ脆弱性を含む可能性がある他のソフトウエア資産である脆弱性含有候補７０８、技術的分類７１０、応用分野７１２、ＣＶＥＩＤ７１４、攻撃手法７１６、ＯＳ７１８、ＣＷＥ７２０及びＣＡＰＥＣＩＤ７２２に関する情報を、行及び列からなる表形式で示すデータ構造であってもよい。
この表形式の知識データベース７００は、既存のテーブルクエリ言語で生成される検索クエリによって検索可能である。

図６や図７に示す知識データベース６００、７００に対して、特定のソフトウエア資産の属性（提供者、パッケージ、ソフトウエア資産の名称等）に基づく検索クエリを用いた検索を実施することで、ソフトウエア資産の属性に基づいた類似度比較が可能となる。これにより、例えばソフトウエアが含むコンポーネントに関する構成情報が提供されない場合であっても、ソフトウエアにおける特定の脆弱性の有無を判定すると共に、特定の脆弱性を含むソフトウエアとの類似度が高く、同様の脆弱性を含む可能性があるソフトウエアを判定することができる。

次に、図８を参照して、本開示の実施形態に係るソフトウエア資産管理部ＤＢについて説明する。

図８は、本開示の実施形態に係るソフトウエア資産管理部ＤＢ２３１の一例を示す図である。本開示の実施形態に係るソフトウエア資産管理部ＤＢ２３１は、脆弱性評価の対象となるソフトウエア資産に関する情報を格納するためのデータベースであり、ソフトウエア資産管理部ＤＢ２３１に示すように、ソフトウエア資産ＩＤ８０１、バージョンＩＤ８０２、使用者ＩＤ８０３及び提供者ＩＤ８０４等の情報を含んでもよい。

ソフトウエア資産ＩＤ８０１は、所定のソフトウエア資産を一意に識別する情報であり、図８に示すように、「Ｐ１」、「Ｐ２」、「Ｐ３」等の文字列であってもよく、ソフトウエア資産の名称であってもよい。

バージョンＩＤ８０２は、特定のソフトウエア資産のソフトウエアバージョンを示す情報であり、図８に示すように、「Ｖ１」、「Ｖ２」、「Ｖ３」等であってもよい。

使用者ＩＤ８０３は、特定のソフトウエア資産の使用者を一意に識別する情報であり、図８に示すように、「Ｏ１」、「Ｏ２」、「Ｏ３」等の文字列であってもよく、使用者の社名や氏名等であってもよい。ここでの使用者は、例えば、自己のソフトウエア資産に対する脆弱性評価を依頼するクライアント（つまり、図２に示すクライアント端末２７０の利用者）であってもよい。

提供者ＩＤ８０４は、特定のソフトウエア資産を使用者に提供する提供者（ベンダーともいう）を一意に識別する情報であり、図８に示すように、「Ｓ１」、「Ｓ２」、「Ｓ３」等の文字列であってもよく、提供者の社名や氏名等であってもよい。

上述したソフトウエア資産検証処理５００において、検索部２２５は、所定の自然言語処理手法を用いてソフトウエア資産管理部ＤＢ２３１に格納されている情報を解析することで、ソフトウエア資産管理データベース２３１におけるソフトウエア資産の内、第２のソフトウエア資産に対する類似度基準を満たすソフトウエア資産を第３のソフトウエア資産として特定することができる。

次に、図９を参照して、本開示の実施形態に係るＳＢＯＭＤＢについて説明する。

図９は、本開示の実施形態に係るＳＢＯＭＤＢ２３４の一例を示す図である。本開示の実施形態に係るＳＢＯＭＤＢ２３４は、脆弱性評価の対象となるソフトウエア資産のソフトウエア部品表（Ｓｏｆｔｗａｒｅ Ｂｉｌｌ ｏｆ Ｍａｔｅｒｉａｌｓ）を格納するためのデータベースであり、図９に示すように、コンポーネントＩＤ９０２、バージョンＩＤ９０４、ライセンス９０６、ファイルパス９０８及びセキュリティスコア９１０等の情報を含んでもよい。
なお、ソフトウエア部品表とは、特定の製品に含まれる（プロプライエタリ及びオープンソースなど）のソフトウエアコンポーネント、ライセンス、依存関係を示す情報である。

コンポーネントＩＤは、特定のソフトウエア資産に含まれるそれぞれのソフトウエアコンポーネントを一意に識別するための情報であり、図９に示すように、「Ｃ１」、「Ｃ２」、「Ｃ３」等の文字列であってもよく、ソフトウエアコンポーネントの名称であってもよい。

バージョンＩＤ９０４は、ソフトウエアコンポーネントのソフトウエアバージョンを示す情報であり、図９に示すように、例えば「２．０」、「１．２．１」、「６．０」等で表現してもよい。

ライセンス９０６は、ソフトウエアコンポーネントに関係するライセンスを示す情報であり、図９に示すように、「ＭＩＴ」や「ＢＳＤ－３－Ｃｌａｕｓｅ」等であってもよい。

ファイルパス９０８は、ソフトウエアコンポーネントが所定の記憶領域に格納されているファイルパスを示す情報であり、図９に示すように、例えば「demo1/example」であってもよい。

セキュリティスコア９１０は、ソフトウエアコンポーネントのセキュリティレベルの評価を定量的に示す情報であり、図９に示すように、例えば「９０」、「８０」、「４０」等であってもよい。

上述したソフトウエア資産検証処理５００において、検索部２２５は、ＳＢＯＭＤＢ２３４に格納されている情報を用いることで、ソフトウエア資産管理データベース２３１におけるソフトウエア資産の内、第２のソフトウエア資産のソフトウエア部品表に対する類似度基準を満たすソフトウエア資産を第３のソフトウエア資産として特定することができる。

次に、図１０を参照して、本開示の実施形態に係るバイナリーＤＢついて説明する。

図１０は、本開示の実施形態に係るバイナリーＤＢ２３２の構成の一例を示す図である。本開示の実施形態に係るバイナリーＤＢ２３２は、脆弱性評価の対象となるソフトウエア資産のバイナリーデータを格納するためのデータベースであり、図１０に示すように、ソフトウエア資産のバイナリーファイルを示すファイルＩＤ１００２、作成日時１００４、変更日時１００６及びサイズ１００８を含んでもよい。

ファイルＩＤ１００２は、特定のソフトウエア資産のバイナリーファイルを一意に識別する情報であり、図１０に示すように、例えば「Ｆ１」、「Ｆ２」、「Ｆ３」等で表現してもよい。
作成日時１００４は、特定のバイナリーファイルが作成された日時を示し、変更日時は、作成済みのバイナリーファイルが変更された日時を示す。図１０に示すように、作成日時１００４及び変更日時１００６は、ＹＹＹＹ／ＭＭ／ＤＤ形式であってもよい。
サイズ１００８は、バイナリーファイルのファイルサイズを例えばキロバイト（ＫＢ）単位で示す情報である。

上述したソフトウエア資産検証処理５００において、検索部２２５は、バイナリーＤＢ２３２に格納されている情報を用いることで、ソフトウエア資産管理データベース２３１におけるソフトウエア資産の内、第２のソフトウエア資産のバイナリーデータに対する類似度基準を満たすソフトウエア資産を第３のソフトウエア資産として特定することができる。
ＳＢＯＭＤＢ２３４

次に、図１１を参照して、本開示の実施形態に係る脆弱性ＤＢについて説明する

図１１は、本開示の実施形態に係る脆弱性ＤＢ２３５の構成の一例を示す図である。本開示の実施形態に係る脆弱性ＤＢ２３５は、脆弱性評価の対象となるソフトウエア資産（例えば、図２や図８に示すソフトウエア資産管理ＤＢ２３１において情報が格納されているソフトウエア資産）に関する脆弱性の情報を格納するデータベースであり、図１１に示すように、脆弱性ＩＤ１１０２、ＣＶＥＩＤ１１０４、ＣＷＥＩＤ１１０６、ソフトウエア資産ＩＤ１１０８及びＣＶＳＳ１１１０を含んでもよい。
図１１に示す脆弱性ＤＢ２３５に格納される情報は、例えば、図２に示すＣＶＥＤＢ２６１、ＣＷＥＤＢ２６２、ＣＡＰＥＣＤＢ２６３等の外部ＤＢ２６０から取得されてもよい。

脆弱性ＩＤ１１０２は、特定の脆弱性を脆弱性ＤＢ２３５において一意に識別する情報であり、図１１に示すように、「２３５１」や「４８５２１」等の文字列で表現してもよい。

ＣＶＥＩＤ１１０４は、ソフトウエア資産における既知の脆弱性を上述したＣＶＥＤＢ２６１において一意に識別する情報であり、図１１に示すように、「ＣＶＥ－２０２２－ＸＸＸＸ」形式の文字列で表現してもよい。

ＣＷＥＩＤ１１０６は、ソフトウエア資産における既知の弱点（Ｗｅａｋｎｅｓｓ）を上述したＣＷＥＤＢ２６２において一意に識別する情報であり、図１１に示すように、「ＸＸＸ」形式の情報で表現してもよい。

ソフトウエア資産ＩＤ１１０８は、特定の脆弱性ＩＤ１１０２、ＣＶＥＩＤ１１０４、ＣＷＥＩＤ１１０６、及びＣＶＳＳ１１１０に関連するソフトウエア資産を一意に識別するための情報であり、図１１に示すように、「Ｐ１」、「Ｐ２」、「Ｐ３」等の文字列であってもよく、ソフトウエア資産の名称であってもよい。

ＣＶＳＳ１１１０は、特定のソフトウエア資産に関する脆弱性、弱点及び攻撃手法等の深刻度を示す情報であり、図１１に示すように、「５．５」や「９．７」であってもよい。ある実施形態では、このＣＶＳＳ１１１０は、特定の脆弱性に対応付けられた値であり、外部ＤＢ２６０から取得されてもよい。

次に、図１２を参照して、本開示の実施形態に係るソフトウエア資産構成情報ＤＢについて説明する。

図１２は、本開示の実施形態に係るソフトウエア資産構成情報ＤＢ２３３の構成の一例を示す図である。上述したように、本開示の実施形態に係るソフトウエア資産構成情報ＤＢ２３３は、脆弱性評価の対象となるソフトウエア資産（例えば、図２や図８に示すソフトウエア資産管理ＤＢ２３１において情報が格納されているソフトウエア資産）に関する構成情報（ｃｏｎｆｉｇｕｒａｔｉｏｎ ｉｎｆｏｒｍａｔｉｏｎ）を格納するデータベースであり、図１２に示すように、ファイル名１２０２、ファイルサイズ１２０４、ファイル種類１２０６、ファイルパーミッション１２０８及び所有者１２１０に関する情報を含んでもよい。

ファイル名１２０２は、特定のソフトウエア資産に関する構成ファイル（ｃｏｎｆｉｇｕｒａｔｉｏｎ ｆｉｌｅ）を識別するファイル名であり、例えば図１２に示すように、「２３５１」等の文字列であってもよい。
ファイルサイズ１２０４は、特定のソフトウエア資産に関する構成ファイルのファイルサイズを例えばキロバイト（ＫＢ）単位で示す情報である。
ファイル種類１２０６は、特定のソフトウエア資産に関する構成ファイルの種類を示す情報であり、例えば図１２に示すように、「ＰＨＰ」や「ＨＴＡＣＣＥＳＳ」等であってもよい。

ファイルパーミッション１２０８は、特定のソフトウエア資産に関する構成ファイル毎に定義される、読み出し・書込みなどのアクセスに対する許可を示す情報であり、例えば図１２に示すように、例えば「-rwx-xr-x」や「-rw-r-r--」等であってもよい。
所有者１２１０は、特定のソフトウエア資産に関する構成ファイルの所有者を示す情報であり、例えば図１２に示すように、「Root」等であってもよい。

上述したソフトウエア資産検証処理５００において、検索部２２５は、ソフトウエア資産構成情報ＤＢ２３３に格納されている情報を用いることで、ソフトウエア資産管理データベース２３１におけるソフトウエア資産の内、第２のソフトウエア資産の構成データに対する類似度基準を満たすソフトウエア資産を第３のソフトウエア資産として特定することができる。

次に、図１３を参照して、本開示の実施形態に係る脆弱性含有候補情報について説明する。

図１３は、本開示の実施形態に係る脆弱性含有候補情報１３００の構成の一例を示す図である。本開示の実施形態に係る脆弱性含有候補情報１３００は、ユーザによって指定された第１の脆弱性を含む可能性がある第２のソフトウエア資産に関する情報であり、図４を参照して説明した脆弱性含有候補判定処理４００によって生成される。
図１３に示すように、脆弱性含有候補情報１３００は、ＣＶＥＩＤ１３０２、ソフトウエア資産ＩＤ１３０４、提供者１３０６、サービス種類１３０８、コード／ライブラリ１３１０、ＣＷＥＩＤ１３１２、技術的分類１３１４、脆弱性含有候補１３１６、リスク評価値１３１８及び応用分野１３２０を含んでもよい。

ＣＶＥＩＤ１３０２は、特定のソフトウエア資産における脆弱性を一意に識別する情報であり、例えば図１３に示すように「CVE-2022-XXXX」であってもよい。このＣＶＥＩＤ１３０２は、例えば上述した脆弱性指定入力に示されるＣＶＥＩＤであってもよい。

ソフトウエア資産ＩＤ１３０４は、ＣＶＥＩＤ１３０２によって識別される脆弱性を含み、上述した脆弱性指定入力に示されるソフトウエア資産（第１のソフトウエア資産）を識別する情報であり、例えば図１３に示すように、「Ｐ１」、「Ｐ２」、「Ｐ３」等の文字列であってもよく、ソフトウエア資産の名称であってもよい。

提供者１３０６は、ソフトウエア資産を提供する提供者（ベンダー、サプライヤー）を示す情報であり、例えば図１３に示すように、「Ｖ１」、「Ｖ２」、「Ｖ３」等であってもよい。
サービス種類１３０８は、ソフトウエア資産に関係するサービスの種類を示す情報であり、例えば図１３に示すように、「Ｓ１」、「Ｓ２」、「Ｓ３」等であってもよい。
コード／ライブラリ１３１０は、ソフトウエア資産のコードやライブラリを示す情報であり、図１３に示すように、「Ｃ１」、「Ｃ２」、「Ｃ３」等であってもよい。

ＣＷＥＩＤ１３１２は、特定のソフトウエア資産における弱点を一意に識別する情報であり、例えば図１３に示すように「２７６」であってもよい。このＣＷＥＩＤ１３１２は、例えば上述した脆弱性指定入力に示されるＣＷＥＩＤであってもよく、外部ＤＢ２６０から取得ｓあれてもよい。

技術的分類１３１４は、ソフトウエア資産の技術的分類を示す情報であり、例えば図１３に示すように「ＳＳＬ」や「ＲＥＳＴ ＡＰＩ」であってもよい

脆弱性含有候補１３１６は、ソフトウエア資産ＩＤ１３０４によって識別されるソフトウェア資産と同様に、ＣＶＥＩＤ１３０２によって指定される脆弱性を含む可能性がある他のソフトウエア資産を示す情報であり、例えば図１３に示すように、「Ｐ２３」、「Ｐ１７」、「Ｐ１０３」等であってもよい。この脆弱性含有候補１３１６は、例えば図４を参照して説明した脆弱性含有候補判定処理４００によって判定されてもよい。

リスク評価値１３１８は、特定のソフトウエア資産に対する特定の脆弱性のリスクを定量的に示す値であり、上述したように、特定のソフトウエア資産が特定の脆弱性を含有している確率、特定の脆弱性の特定のソフトウエア資産に対する重要度や深刻度、特定の脆弱性の影響を受けるソフトウエア資産の数、特定のソフトウエア資産を使用するシステムの脆弱性に対する耐性、特定の脆弱性のサプライチェーンにおける影響範囲等に基づいて計算されてもよい。

応用分野１３２０は、ソフトウエア資産が利用可能な応用分野を示す情報であり、例えば図１３に示すように、「自動車業界」や「ＩＴウエブサーバ」等であってもよい。

図１３を参照して説明した脆弱性含有候補情報１３００、例えば上述したソフトウエア資産検証処理５００において、脆弱性含有候である第２のソフトウエア資産に対する類似度基準を満たし、脆弱性を含む可能性がある第３のソフトウエア資産を判定するために用いられてもよい。

次に、図１４を参照して、本開示の実施形態に係る評価結果情報について説明する。

図１４は、本開示の実施形態に係る評価結果情報１４００の構成を示す図である。本開示の実施形態に係る評価結果情報１４００は、脆弱性評価の対象となるソフトウエア資産（例えば、図２や図８に示すソフトウエア資産管理ＤＢ２３１において情報が格納されているソフトウエア資産）毎に、特定の脆弱性（図１４には例示せず）の有無及びリスク評価値を示す情報であり、図５を参照して説明したソフトウエア資産検証処理５００によって生成されてもよい。
図１４に示すように、評価結果情報１４００は、ソフトウエア資産ＩＤ１４０２、脆弱性有無１４０４及びリスク評価値１４０６を含んでもよい。

ソフトウエア資産ＩＤ１４０２は、脆弱性評価の対象となるソフトウエア資産（例えば、図２や図８に示すソフトウエア資産管理ＤＢ２３１において情報が格納されているソフトウエア資産）を一意に識別する情報であり、例えば図１４に示すように、「Ｐ３」、「Ｐ４３」、「Ｐ１８」等の文字列であってもよく、ソフトウエア資産の名称であってもよい。

脆弱性有無１４０４は、ソフトウエア資産ＩＤ１４０２に識別されるソフトウエア資産毎に、特定の脆弱性の有無を示す情報であり、例えば図１４に示すように、「ＹＥＳ」又は「ＮＯ」であってもよい。ここでの脆弱性有無は、図５を参照して説明したソフトウエア資産検証処理５００によって判定されてもよい。

リスク評価値１４０６は、ソフトウエア資産ＩＤ１４０２に識別されるソフトウエア資産毎に、脆弱性によるリスクを定量的に示す情報であり、例えば図１４に示すように「7.2」や「１０」であってもよい。このリスク評価値は、図５を参照して説明したソフトウエア資産検証処理５００におけるステップＳ５０４で計算されてもよく、上述したように、特定のソフトウエア資産が特定の脆弱性を含む確率を示す値であってもよく、脆弱性のソフトウエア資産に対する重要度や深刻度を示す値であってもよい。

上述したように、図４に示す評価結果情報１４００をクライアントに提供することで、提供者は、自己の使用中のソフトウエア資産の内、特定の脆弱性を含む可能性があるソフトウエア資産を容易に確認することができる。

上述したように、新たな脆弱性の発見や新たな攻撃手法の出現が増加する中、使用中のソフトウエア資産のサイバーセキュリティの状況を把握することが社会や組織において重要な関心事項となっている。ソフトウエア資産を構成するコンポーネントを分析して脆弱性の有無を判定する手段は存在するものの、一般的には、ソフトウエアが含むコンポーネントに関する構成情報は、クライアント等のエンドユーザーに提供されないため、従来の脆弱性評価の手段の適用が限られてしまい、ソフトウエアにおける脆弱性の有無を把握することができないことがある。

そこで、本開示の実施形態に係る脆弱性評価手段では、特定の脆弱性を含むソフトウエア資産の属性情報に基づいて生成した検索クエリを用いて、ソフトウエア資産の情報と公開の脆弱性情報との関係を示す知識データベースを検索することで、当該ソフトウエア資産の属性に一致する他のソフトウエア資産を、同じ脆弱性を含む可能性がある脆弱性含有候補として特定することができる。
この検索で用いられる知識データベースの情報やソフトウエア資産の属性情報は、ソフトウエア資産のコンポーネントに関するプロプライエタリの構成情報が提供されなくとも取得可能な情報であるため、例えばソフトウエアが含むコンポーネントに関する構成情報が提供されない場合であっても、確実な脆弱性評価が可能となる。

また、本開示の実施形態に係る脆弱性評価手段では、クライアント等のユーザが指定した特定の脆弱性を含むソフトウエア資産と実質的に類似しており、同じ脆弱性を含む可能性がある脆弱性含有候補を特定した後、当該脆弱性含有候補に対する類似度基準を満たすソフトウエア資産を、所定のクライアントが使用しているソフトウエア資産の中で特定することで、クライアントは、当該脆弱性を解消する対策や被害を抑える処置等を準備し、サイバーセキュリティを向上させることができる。

このように、本開示の実施形態に係る脆弱性評価手段によれば、例えばソフトウエアが含むコンポーネントに関する構成情報が提供されない場合であっても、ソフトウエアにおける特定の脆弱性の有無を判定すると共に、特定の脆弱性を含むソフトウエアとの類似度が高く、同様の脆弱性を含む可能性があるソフトウエアを判定することができる脆弱性評価手段を提供することができる。

上述したように、本開示の実施形態に係る脆弱性評価手段は、以下の態様を含む。

（態様１）
脆弱性評価装置であって、
プロセッサとメモリと記憶部とを備え、
前記記憶部は、
ソフトウエア資産を特徴付けるソフトウエア資産情報を格納するソフトウエア資産データベースを含み、
前記メモリは、前記プロセッサを
前記ソフトウエア資産に関する脆弱性を特徴付ける脆弱性情報を取得する脆弱性管理部と、
前記ソフトウエア資産情報と、前記脆弱性情報との関係を示す知識データベースを生成する知識データベース管理部と、
第１のソフトウエア資産における第１の脆弱性を指定する脆弱性指定入力を受け付ける入力管理部と、
前記脆弱性指定入力に基づいて前記知識データベースを検索することで、前記第１の脆弱性を含む可能性がある第２のソフトウエア資産を示す脆弱性含有候補情報を生成する脆弱性含有候補判定部、
として機能させるための処理命令を含むことを特徴とする脆弱性評価装置。

（態様２）
前記ソフトウエア資産データベースは、
ソフトウエア資産を識別するソフトウエア資産ＩＤと、ソフトウエア資産の使用者を識別する使用者ＩＤとを少なくとも含むソフトウエア資産管理データベースを含み、
前記脆弱性評価装置は、
前記ソフトウエア資産管理データベースと、前記脆弱性含有候補情報とに基づいて、前記ソフトウエア資産管理データベースにおけるソフトウエア資産の内、前記第２のソフトウエア資産に対する類似度基準を満たす第３のソフトウエア資産を前記使用者ＩＤ毎に特定する検索部と、
前記第３のソフトウエア資産に対する前記第１の脆弱性のリスクを示すリスク評価値を計算するリスク評価部と、
前記第３のソフトウエア資産と、計算した前記リスク評価値とを示す評価結果情報を生成し、出力する結果出力部と、
を更に含むことを特徴とする、態様１に記載の脆弱性評価装置。

（態様３）
前記検索部は、
所定の自然言語処理手法を用いることで、前記ソフトウエア資産管理データベースにおけるソフトウエア資産の内、前記第２のソフトウエア資産の前記ソフトウエア資産ＩＤに対する類似度基準を満たすソフトウエア資産を前記第３のソフトウエア資産として特定する、
ことを特徴とする、態様２に記載の脆弱性評価装置。

（態様４）
前記検索部は、
前記第２のソフトウエア資産から、ソースコード部分を抽出し、
所定のコード比較手法を用いることで、前記ソフトウエア資産管理データベースにおけるソフトウエア資産の内、前記第２のソフトウエア資産の前記ソースコード部分に対する類似度基準を満たすソフトウエア資産を前記第３のソフトウエア資産として特定する、
ことを特徴とする、態様２又は３に記載の脆弱性評価装置。

（態様５）
前記ソフトウエア資産データベースは、
ソフトウエア資産のソフトウエア部品表を示すＳＢＯＭデータベースを含み、
前記検索部は、
前記ソフトウエア資産管理データベースにおけるソフトウエア資産の内、前記第２のソフトウエア資産の前記ソフトウエア部品表に対する類似度基準を満たすソフトウエア資産を前記第３のソフトウエア資産として特定する、
ことを特徴とする、態様２乃至４のいずれか一つに記載の脆弱性評価装置。

（態様６）
前記ソフトウエア資産データベースは、
ソフトウエア資産のバイナリーデータを示すバイナリーデータベースを含み、
前記検索部は、
前記ソフトウエア資産管理データベースにおけるソフトウエア資産の内、前記第２のソフトウエア資産の前記バイナリーデータに対する類似度基準を満たすソフトウエア資産を前記第３のソフトウエア資産として特定する、
ことを特徴とする、態様２乃至５のいずれか一つに記載の脆弱性評価装置。

（態様７）
前記脆弱性含有候補判定部は、
前記第１のソフトウエア資産を特徴付けるソフトウエア資産属性を判定し、
前記ソフトウエア資産属性に基づいて、前記知識データベースを検索する検索クエリを生成し、
前記検索クエリに基づいて前記知識データベースを検索することで、前記ソフトウエア資産属性に対する類似度基準を満たすソフトウエア資産を判定し、前記ソフトウエア資産属性に対する類似度基準を満たすソフトウエア資産を、前記第１の脆弱性を含む可能性がある前記第２のソフトウエア資産とする、
ことを特徴とする、態様１乃至６のいずれか一つに記載の脆弱性評価装置。

（態様８）
前記ソフトウエア資産属性は、
前記第１のソフトウエア資産の提供者ＩＤ、前記第１のソフトウエア資産のソフトウエア資産ＩＤ及び前記第１のソフトウエア資産のパッケージ情報のいずれかを含む、
ことを特徴とする、態様７に記載の脆弱性評価装置。

（態様９）
前記知識データベース管理部は、
前記脆弱性情報に対して所定の固有表現認識手法を実行することで、前記脆弱性情報におけるソフトウエア資産に関する第１の固有表現と、脆弱性に関する第２の固有表現とを抽出し、
前記脆弱性情報に対して所定の関係抽出手法を実行することで、抽出した前記第１の固有表現と前記第２の固有表現との間の関係に関する関係情報を抽出し、
前記第１の固有表現と前記第２の固有表現とを前記関係情報に基づいて対応付けることで、前記知識データベースを生成する、
ことを特徴とする、態様１乃至８のいずれか一つに記載の脆弱性評価装置。

以上、本発明の実施の形態について説明したが、本発明は、上述した実施の形態に限定されるものではなく、本発明の要旨を逸脱しない範囲において種々の変更が可能である。

１５０ 脆弱性評価アプリケーション
２００ 脆弱性評価システム
２１０ 脆弱性評価装置
２２０ メモリ
２２１ 脆弱性管理部
２２２ 知識データベース管理部
２２３ 入力管理部
２２４ 脆弱性含有候補判定部
２２５ 検索部
２２６ リスク評価部
２２７ 結果出力部
２３０ 記憶部
２３１ ソフトウエア資産管理データベース
２３２ バイナリーデータベース
２３３ ソフトウエア資産構成情報データベース
２３４ ＳＢＯＭデータベース
２３５ 脆弱性データベース
２４４ プロセッサ
２４６ 入出力部
２５０ 通信ネットワーク
２６０ 外部データベース
２７０ クライアント端末

Claims (11)

1. 脆弱性評価装置であって、
   プロセッサとメモリと記憶部とを備え、
   前記記憶部は、
   ソフトウエア資産を特徴付けるソフトウエア資産情報を格納するソフトウエア資産データベースを含み、
   前記メモリは、前記プロセッサを
   前記ソフトウエア資産に関する脆弱性を特徴付ける脆弱性情報を取得する脆弱性管理部と、
   前記ソフトウエア資産情報と前記脆弱性情報との関係を示す知識データベースを生成する知識データベース管理部と、
   第１のソフトウエア資産における第１の脆弱性を指定する脆弱性指定入力を受け付ける入力管理部と、
   前記脆弱性指定入力に基づいて前記知識データベースを検索することで、前記第１の脆弱性を含む可能性がある第２のソフトウエア資産を示す脆弱性含有候補情報を生成する脆弱性含有候補判定部、
   として機能させるための処理命令を含むことを特徴とする脆弱性評価装置。
2. 前記ソフトウエア資産データベースは、
   ソフトウエア資産を識別するソフトウエア資産ＩＤと、ソフトウエア資産の使用者を識別する使用者ＩＤとを少なくとも含むソフトウエア資産管理データベースを含み、
   前記脆弱性評価装置は、
   前記ソフトウエア資産管理データベースと、前記脆弱性含有候補情報とに基づいて、前記ソフトウエア資産管理データベースにおけるソフトウエア資産の内、前記第２のソフトウエア資産に対する類似度基準を満たす第３のソフトウエア資産を前記使用者ＩＤ毎に特定する検索部と、
   前記第３のソフトウエア資産に対する前記第１の脆弱性のリスクを示すリスク評価値を計算するリスク評価部と、
   前記第３のソフトウエア資産と、計算した前記リスク評価値とを示す評価結果情報を生成し、出力する結果出力部と、
   を更に含むことを特徴とする、請求項１に記載の脆弱性評価装置。
3. 前記検索部は、
   所定の自然言語処理手法を用いることで、前記ソフトウエア資産管理データベースにおけるソフトウエア資産の内、前記第２のソフトウエア資産の前記ソフトウエア資産ＩＤに対する類似度基準を満たすソフトウエア資産を前記第３のソフトウエア資産として特定する、
   ことを特徴とする、請求項２に記載の脆弱性評価装置。
4. 前記検索部は、
   前記第２のソフトウエア資産から、ソースコード部分を抽出し、
   所定のコード比較手法を用いることで、前記ソフトウエア資産管理データベースにおけるソフトウエア資産の内、前記第２のソフトウエア資産の前記ソースコード部分に対する類似度基準を満たすソフトウエア資産を前記第３のソフトウエア資産として特定する、
   ことを特徴とする、請求項２に記載の脆弱性評価装置。
5. 前記ソフトウエア資産データベースは、
   ソフトウエア資産のソフトウエア部品表を示すＳＢＯＭデータベースを含み、
   前記検索部は、
   前記ソフトウエア資産管理データベースにおけるソフトウエア資産の内、前記第２のソフトウエア資産の前記ソフトウエア部品表に対する類似度基準を満たすソフトウエア資産を前記第３のソフトウエア資産として特定する、
   ことを特徴とする、請求項２に記載の脆弱性評価装置。
6. 前記ソフトウエア資産データベースは、
   ソフトウエア資産のバイナリーデータを示すバイナリーデータベースを含み、
   前記検索部は、
   前記ソフトウエア資産管理データベースにおけるソフトウエア資産の内、前記第２のソフトウエア資産の前記バイナリーデータに対する類似度基準を満たすソフトウエア資産を前記第３のソフトウエア資産として特定する、
   ことを特徴とする、請求項２に記載の脆弱性評価装置。
7. 前記脆弱性含有候補判定部は、
   前記第１のソフトウエア資産を特徴付けるソフトウエア資産属性を判定し、
   前記ソフトウエア資産属性に基づいて、前記知識データベースを検索する検索クエリを生成し、
   前記検索クエリに基づいて前記知識データベースを検索することで、前記ソフトウエア資産属性に対する類似度基準を満たすソフトウエア資産を判定し、前記ソフトウエア資産属性に対する類似度基準を満たすソフトウエア資産を、前記第１の脆弱性を含む可能性がある前記第２のソフトウエア資産とする、
   ことを特徴とする、請求項１に記載の脆弱性評価装置。
8. 前記ソフトウエア資産属性は、
   前記第１のソフトウエア資産の提供者ＩＤ、前記第１のソフトウエア資産のソフトウエア資産ＩＤ及び前記第１のソフトウエア資産のパッケージ情報のいずれかを含む、
   ことを特徴とする、請求項７に記載の脆弱性評価装置。
9. 前記知識データベース管理部は、
   前記脆弱性情報に対して所定の固有表現認識手法を実行することで、前記脆弱性情報におけるソフトウエア資産に関する第１の固有表現及び脆弱性に関する第２の固有表現とを抽出し、
   前記脆弱性情報に対して所定の関係抽出手法を実行することで、抽出した前記第１の固有表現と前記第２の固有表現との間の関係に関する関係情報を抽出し、
   前記第１の固有表現と前記第２の固有表現とを前記関係情報に基づいて対応付けることで、前記知識データベースを生成する、
   ことを特徴とする、請求項１に記載の脆弱性評価装置。
10. クライアント端末と、
    ソフトウエア資産に対する脆弱性評価を行うための脆弱性評価装置と、
    既知の脆弱性に関する情報を格納する公開脆弱性データベースとが通信ネットワークを介して接続されている脆弱性評価システムであって、
    前記脆弱性評価装置は、
    プロセッサとメモリと記憶部とを備え、
    前記記憶部は、
    ソフトウエア資産を特徴付けるソフトウエア資産情報を格納するソフトウエア資産データベースを含み、
    前記メモリは、前記プロセッサを
    前記ソフトウエア資産に関する脆弱性を特徴付ける脆弱性情報を前記公開脆弱性データベースから取得する脆弱性管理部と、
    前記ソフトウエア資産情報と前記脆弱性情報との関係を示す知識データベースを生成する知識データベース管理部と、
    第１のソフトウエア資産における第１の脆弱性を指定する脆弱性指定入力を受け付ける入力管理部と、
    前記脆弱性指定入力に基づいて前記知識データベースを検索することで、前記第１の脆弱性を含む可能性がある第２のソフトウエア資産を示す脆弱性含有候補情報を生成し、前記クライアント端末に送信する脆弱性含有候補判定部、
    として機能させるための処理命令を含むことを特徴とする脆弱性評価システム。
11. 脆弱性評価方法であって、
    ソフトウエア資産を特徴付けるソフトウエア資産情報を格納するソフトウエア資産データベースを構築する工程と、
    前記ソフトウエア資産に関する脆弱性を特徴付ける脆弱性情報を取得する工程と、
    前記脆弱性情報に対して所定の固有表現認識手法を実行することで、前記脆弱性情報におけるソフトウエア資産に関する第１の固有表現及び脆弱性に関する第２の固有表現とを抽出する工程と、
    前記脆弱性情報に対して所定の関係抽出手法を実行することで、抽出した前記第１の固有表現と前記第２の固有表現との間の関係に関する関係情報を抽出する工程と、
    前記第１の固有表現と前記第２の固有表現とを前記関係情報に基づいて対応付けることで、前記ソフトウエア資産情報と、前記脆弱性情報との関係を示す知識データベースを生成する工程と、
    第１のソフトウエア資産における第１の脆弱性を指定する脆弱性指定入力を受け付ける工程と、
    前記第１のソフトウエア資産を特徴付けるソフトウエア資産属性を判定する工程と、
    前記ソフトウエア資産属性に基づいて、前記知識データベースを検索する検索クエリを生成する工程と、
    前記検索クエリに基づいて前記知識データベースを検索することで、前記ソフトウエア資産属性に対する類似度基準を満たすソフトウエア資産を判定し、前記ソフトウエア資産属性に対する類似度基準を満たすソフトウエア資産を、前記第１の脆弱性を含む可能性がある第２のソフトウエア資産として判定する工程と、
    前記第２のソフトウエア資産を示す脆弱性含有候補情報を生成する工程と、
    前記ソフトウエア資産データベースと、前記脆弱性含有候補情報とに基づいて、前記ソフトウエア資産データベースにおけるソフトウエア資産の内、前記第２のソフトウエア資産に対する類似度基準を満たす第３のソフトウエア資産を特定する工程と、
    前記第３のソフトウエア資産に対する前記第１の脆弱性のリスクを示すリスク評価値を計算する工程と、
    前記第３のソフトウエア資産と、計算した前記リスク評価値とを示す評価結果情報を生成し、出力する工程と、
    を含むことを特徴とする脆弱性評価方法。