JPWO2019186722A1 - セキュリティ評価システム、セキュリティ評価方法及びプログラム - Google Patents

Abstract

セキュリティ評価システムは、セキュリティ評価の対象となるリソース同士の接続関係を示す第１の評価グラフを生成する第１グラフ生成部と、前記リソースが配置されているエリア同士の接続関係を示す第２の評価グラフを生成する第２グラフ生成部と、前記第１の評価グラフと、前記第２の評価グラフとを対応付けて表示する表示部と、を備える。

Description

本発明は、セキュリティ評価システム、セキュリティ評価方法及びプログラムに関する。

特許文献１に、対象システムにおいて効果的な業務保護が可能となるセキュリティ対策実施箇所を提案できるというセキュリティ対策支援装置が開示されている。同公報によると、このセキュリティ対策支援装置は、対象システムで各業務を構成する各サブシステムの属性情報を格納した外部記憶装置を備える。そして、このセキュリティ対策支援装置１０は、各業務の各サブシステムの属性情報を所定アルゴリズムに適用して、業務ごとの各サブシステムのリスクレベルを判定する処理を行う演算装置を含む。この演算装置は、前記判定したリスクレベルまたは属性情報を所定アルゴリズムに適用して該当業務の重要度を判定する処理と、属性情報に基づいて各サブシステムが関連する業務数を算定する処理と、を実行する。さらに、この演算装置は、各サブシステムに関する重要度および業務数の大きさに基づき各サブシステムに関するセキュリティ対策の実施優先度を算定し、当該実施優先度の情報を所定装置に出力する。

特許文献２に、脆弱性個々の技術的な特性に加え、システム構成やトポロジに基づいて脆弱性リスクを評価し、現実のシステム状況に対応した有効性の高いリスク評価を行うリスク評価システムが開示されている。このリスク評価システムを成すリスク評価サーバは、リスク評価の対象システムを成す機器、ネットワーク、及び脆弱性の各情報を互いに関連付けて保持する記憶装置を備える。また、リスク評価サーバは、上述の各情報をグラフ理論に基づく所定アルゴリズムに適用し、ネットワーク上での各機器の配置に応じた脆弱性の影響関係について規定するリスク評価モデルを作成する演算装置を備える。さらに、このリスク評価サーバの演算装置は、前記リスク評価モデルを所定の推論アルゴリズムに適用して、対象システムにおける脆弱性がもたらすリスクを評価し、当該評価結果を所定装置に出力する。

特許文献３に、分析対象のシステムの物理的な構成状態に依存して発生する脅威の流れも考慮してリスクを分析することができるという機密性分析支援システムが開示されている。機密性分析支援システムは、情報システムを構成する機器の物理的な接続状態を表す構造モデルと、前記機器の上で行われる処理フローを表す振る舞いモデルとに対して、前記機器が有する機能を示す情報を付与していく攻撃フローモデル生成手段を含む。そして、この攻撃フローモデル生成手段は、発生し得る攻撃の流れを表す攻撃フローモデルを情報システムにおける機密性を分析するためのモデルとして生成する。

特許文献４に、所定のビジネスに関する情報処理を実行するシステムの脆弱性に関するリスクを評価することができるという脆弱性リスク評価システムが開示されている。この脆弱性リスク評価システムは、システム構成情報とセキュリティ情報に基づいて、機器の脆弱性を検出する脆弱性検出部を備える。また、脆弱性リスク評価システムは、脆弱性ノードと機器ノードを対応付けて配置することで、脆弱性が機器に生じさせうるリスクを評価する機器リスク評価モデルを生成する機器リスク評価モデル生成部を備える。さらに、脆弱性リスク評価システムは、ビジネス関連リスク評価モデル生成部を備える。このビジネス関連リスク評価モデル生成部は、ビジネス関連ノードを機器リスク評価モデルに追加配置し、ビジネス関連ノードと機器ノードとを対応付ける。さらに、ビジネス関連リスク評価モデル生成部は、検出された脆弱性が所定のビジネス処理に生じさせうるリスクを評価するためのビジネス関連リスク評価モデルを生成する。

また、情報システムに対するさまざま攻撃手法の分析を行う方法として攻撃グラフを用いた手法が研究されている。例えば、特許文献５には、事前に準備した攻撃モデルを用いて、攻撃検出時に、前記攻撃モデルを参照して、セキュリティポリシーの実施、不実施を判定する方法が開示されている。

特開２０１６−１９２１７６号公報 特開２０１６−０９１４０２号公報 国際公開第２０１１／０９６１６２号 特開２０１７−２２４０５３号公報 特表２０１３−５２５９２７号公報

以下の分析は、本発明によって与えられたものである。特許文献５の図３の攻撃グラフは、システムの状態遷移を引き起こす操作（攻撃行動）をノードとしてモデル化、攻撃行動の発生順をリンクで表現している。一方で、現実の情報システムにおいては、様々なセキュリティ対策に加えて、リソースやネットワークを物理的に離隔する措置等が採られているが、上記攻撃モデル単体では、上記離隔の効果を把握することや、その対策を採ることが難しいという問題点がある。

典型的な例としては、Ｓｔｕｘｎｅｔと呼ばれるコンピュータワームの例が挙げられる。Ｓｔｕｘｎｅｔは、踏み台となるＰＣ（パーソナルコンピュータ）を介して、ＵＳＢ（Ｕｎｉｖｅｒｓａｌ Ｓｅｒｉａｌ Ｂｕｓ）メモリ経由で、標的とするスタンドアロンコンピュータに感染する。このような感染を防ぐには、その感染経路を把握し、有効な対策を採る必要があるが、インシデントの発生前にそのリスク評価を行うことは難しい。

本発明は、情報システムのセキュリティ評価手法の豊富化に貢献するセキュリティ評価システム、セキュリティ評価方法及びプログラムを提供することを目的とする。

第１の視点によれば、セキュリティ評価の対象となるリソース同士の接続関係を示す第１の評価グラフを生成する第１グラフ生成部と、前記リソースが配置されているエリア同士の接続関係を示す第２の評価グラフを生成する第２グラフ生成部と、前記第１の評価グラフと、前記第２の評価グラフとを対応付けて表示する表示部と、を備えたセキュリティ評価システムが提供される。

第２の視点によれば、セキュリティ評価の対象となるリソース同士の接続関係を示す第１の評価グラフを生成するステップと、前記リソースが配置されているエリア同士の接続関係を示す第２の評価グラフを生成するステップと、前記第１の評価グラフと、前記第２の評価グラフとを対応付けて表示するステップと、を備えたセキュリティ評価方法が提供される。本方法は、上記した第１、第２の評価グラフを生成し、表示する機能を備えたコンピュータという、特定の機械に結びつけられている。

第３の視点によれば、プロセッサと記憶装置とを備えるコンピュータに、セキュリティ評価の対象となるリソース同士の接続関係を示す第１の評価グラフを生成する処理と、前記リソースが配置されているエリア同士の接続関係を示す第２の評価グラフを生成する処理と、前記第１の評価グラフと、前記第２の評価グラフとを対応付けて表示する処理と、を実行させるプログラムが提供される。なお、このプログラムは、コンピュータが読み取り可能な（非トランジトリーな）記憶媒体に記録することができる。即ち、本発明は、コンピュータプログラム製品として具現することも可能である。

本発明によれば、情報システムのセキュリティ評価手法の豊富化に貢献することが可能となる。

本発明の一実施形態の構成を示す図である。 本発明の一実施形態の動作を説明するための図である。 本発明の第１の実施形態のセキュリティ評価システムの構成を示す図である。 本発明の第１の実施形態のセキュリティ評価システムのアセスメントグラフ生成部の構成例を示す図である。 本発明の第１の実施形態のセキュリティ評価システムのアセットグラフ生成部の構成例を示す図である。 本発明の第１の実施形態のセキュリティ評価システムが保持するアセット情報の一例を示す図である。 本発明の第１の実施形態のセキュリティ評価システムが保持するアセット間接続情報の一例を示す図である。 本発明の第１の実施形態のセキュリティ評価システムの物理エリアグラフ生成部の構成例を示す図である。 本発明の第１の実施形態のセキュリティ評価システムが保持する物理エリア情報の一例を示す図である。 本発明の第１の実施形態のセキュリティ評価システムが保持する物理エリア間経路情報の一例を示す図である。 本発明の第１の実施形態のセキュリティ評価システムの攻撃グラフ生成部の構成例を示す図である。 本発明の第１の実施形態のセキュリティ評価システムが保持する攻撃行動情報の一例を示す図である。 本発明の第１の実施形態のセキュリティ評価システムが保持する攻撃手順情報の一例を示す図である。 本発明の第１の実施形態のセキュリティ評価システムの動作を表したフローチャートである。 本発明の第１の実施形態のセキュリティ評価システムのアセスメントグラフ生成処理の例を表したフローチャートである。 本発明の第１の実施形態のセキュリティ評価システムによって表示されるアセスメントグラフの例である。 本発明の第１の実施形態のセキュリティ評価システムによって表示されるアセスメントグラフの別の一例である。 本発明の第１の実施形態のセキュリティ評価システムによって表示されるアセスメントグラフの別の一例である。 本発明の第２の実施形態のセキュリティ評価システムの構成を示す図である。 本発明の第２の実施形態のセキュリティ評価システムのアセスメントグラフ生成部の構成例を示す図である。 本発明の第２の実施形態のセキュリティ評価システムの物理エリアグラフ生成部の構成例を示す図である。 本発明の第２の実施形態のセキュリティ評価システムが保持するアクセス権限情報の一例を示す図である。 本発明の第２の実施形態のセキュリティ評価システムによって表示されるアセスメントグラフの例である。 本発明の第２の実施形態におけるアクセス権限情報の別の保持形態を説明するための図である。 本発明の第２の実施形態におけるアクセス権限情報のさらに別の保持形態を説明するための図である。 本発明の第３の実施形態のセキュリティ評価システムの構成を示す図である。 本発明の第３の実施形態のセキュリティ評価システムが保持するアセット情報の一例を示す図である。 本発明の第３の実施形態のセキュリティ評価システムの動作を表したフローチャートである。 本発明の第３の実施形態のセキュリティ評価システムによって表示されるアセスメントグラフの例である。 本発明の第３の実施形態のセキュリティ評価システムによって表示されるアセスメントグラフの別の一例である。 本発明の第３の実施形態のセキュリティ評価システムによって表示されるアセスメントグラフの別の一例である。 本発明と連携可能なセキュリティの評価プラットフォームの一例を示す図である。 本発明のセキュリティ評価システムを構成するコンピュータの構成を示す図である。

はじめに本発明の一実施形態の概要について図面を参照して説明する。なお、この概要に付記した図面参照符号は、理解を助けるための一例として各要素に便宜上付記したものであり、本発明を図示の態様に限定することを意図するものではない。また、以降の説明で参照する図面等のブロック間の接続線は、双方向及び単方向の双方を含む。一方向矢印については、主たる信号（データ）の流れを模式的に示すものであり、双方向性を排除するものではない。

本発明は、その一実施形態において、図１に示すように、第１グラフ生成部１０と、第２グラフ生成部２０と、表示部３０と、を備えたセキュリティ評価システム１にて実現できる。

より具体的には、第１グラフ生成部１０は、セキュリティ評価の対象となるリソース同士の接続関係を示す第１の評価グラフを生成する。第２グラフ生成部２０は、前記リソースが配置されているエリア同士の接続関係を示す第２の評価グラフを生成する。さらに、前記表示部３０は、前記第１の評価グラフと、前記第２の評価グラフとを対応付けて表示する。

図２は、本発明の一実施形態の動作を説明するための図である。図２の上段右側に示すように、第１グラフ生成部１０は、セキュリティ評価の対象となるリソース同士の接続関係を示す第１の評価グラフを生成する。このような第１の評価グラフは、例えば、事前に準備されたネットワーク構成情報等を参照して作成することができる。

一方、第２グラフ生成部２０は、図２の下段右側に示すように、リソースが配置されているエリア同士の接続関係を示す第２の評価グラフを生成する。このような第２の評価グラフは、例えば、事前に準備されたフロアレイアウト情報や拠点配置情報等を参照して作成することができる。図２の例では、エリア１とエリア２の間に３本のパスが存在することが分かる。

そして、表示部３０は、図２の破線で示すように、前記第１の評価グラフと、前記第２の評価グラフとを対応付けて表示する。このようなグラフにより、第１の評価グラフ上では、左側の４つのリソースと右側の２つのリソースは離隔しているもの、その物理的なエリアの観点では、３つのパスが存在することが分かる。そして、Ｓｔｕｘｎｅｔに代表されるＵＳＢメモリ等を媒介したインシデント対策については、上記第２の評価グラフの３つのパスについて、セキュリティポリシーを改訂したり、入退場時の所持品チェックを実施すればよいことが分かる。

以上のように、本実施形態によれば、リソース同士の接続関係を示す第１の評価グラフや攻撃グラフでは把握しにくい物理エリアを考慮したセキュリティの評価を行うことが可能となる。

［第１の実施形態］
続いて、上記第１、第２の評価グラフに、攻撃グラフを加えて３つのレイヤを統合したアセスメントグラフを表示可能とした第１の実施形態について図面を参照して詳細に説明する。なお、以下の説明において「アセット」が、上記「リソース」に対応する。即ち、以下の説明における「アセット」の語は、「リソース」に置き換えることが可能である。

図３は、本発明の第１の実施形態のセキュリティ評価システムの構成を示す図である。図３を参照すると、アセット関連情報記憶部１０１と、物理エリア関連情報記憶部１０２と、攻撃関連情報記憶部１０３と、アセスメントグラフ生成部１１０と、アセスメントグラフ表示部１２０と、を備えた構成が示されている。

アセット関連情報記憶部１０１は、アセット情報と、アセット間接続情報と、を記憶する。物理エリア関連情報記憶部１０２は、物理エリア情報と、物理エリア間経路情報と、を記憶する。攻撃関連情報記憶部１０３は、攻撃行動情報と、攻撃手順情報とを記憶する。これらの具体例については、後に図面を用いて詳細に説明する。

アセスメントグラフ生成部１１０は、上記アセット関連情報記憶部１０１、物理エリア関連情報記憶部１０２及び攻撃関連情報記憶部１０３から取得した情報を用いて、図１６〜図１８に例示するアセスメントグラフを生成する。

アセスメントグラフ表示部１２０は、図１６〜図１８に例示するアセスメントグラフをグラフィカルに表示する。

続いて、上記アセスメントグラフ生成部１１０の詳細構成について説明する。図４は、本発明の第１の実施形態のセキュリティ評価システムのアセスメントグラフ生成部の構成例を示す図である。図４を参照すると、アセットグラフ生成部１１１と、物理エリアグラフ生成部１１２と、攻撃グラフ生成部１１３と、アセスメントグラフ構成部１１４とを備えた構成が示されている。

アセットグラフ生成部１１１は、アセット情報と、アセット間接続情報とを入力として、アセットグラフを生成する。アセットグラフは、評価対象システムのアセットの接続関係を示したグラフであり、上述した第１の評価グラフに相当する。

物理エリアグラフ生成部１１２は、物理エリア情報と、物理エリア間経路情報とを入力として、物理エリアグラフを生成する。物理エリアグラフは、評価対象システムの物理エリアの接続関係を示したグラフであり、上述した第２の評価グラフに相当する。物理エリアグラフ生成部１１２の具体的な動作については、後に詳述する。

攻撃グラフ生成部１１３は、攻撃行動情報と、攻撃手順情報とを入力として、攻撃グラフを生成する。攻撃グラフは、評価対象システムに対して想定される攻撃手順を状態遷移グラフの形で表したグラフである。攻撃グラフの形態はさまざまな形態が提案されているが、本実施形態では、攻撃者の攻撃行動をノードとし、その順序関係をリンク（矢線）で表した攻撃グラフを用いて説明する。攻撃グラフ生成部１１３の具体的な動作については、後に詳述する。

アセスメントグラフ構成部１１４は、上記したアセットグラフ、物理エリアグラフ及び攻撃グラフを互いに対応付けて階層表示するアセスメントグラフを構成する（図１６〜図１８参照）。アセスメントグラフの具体的な態様とその効用については後に詳述する。

続いて、上記したアセットグラフ生成部１１１と、物理エリアグラフ生成部１１２と、攻撃グラフ生成部１１３の具体的な構成例を説明する。図５は、アセットグラフ生成部１１１の構成例を示す図である。図５を参照すると、ノード生成部１１１１と、リンク生成部１１１２と、グラフ構成部１１１３とを備えた構成が示されている。

アセットグラフ生成部１１１のノード生成部１１１１は、アセット情報に基づいて、アセットグラフ上のノードを生成する。

図６は、アセット関連情報記憶部１０１に保持されているアセット情報の一例を示す図である。図６の例では、アセットを一意に示すアセットＩＤと、アセット名と、配置エリアＩＤとを対応付けたエントリが示されている。例えば、ａｓｓｅｔ−ｎｏｄｅ：１のアセットは、Ｆｉｒｅｗａｌｌ−１という名称のファイアウォール装置であり、エリア１に配置されていることが示されている。なお、図６において、ＰＬＣは、Ｐｒｏｇｒａｍｍａｂｌｅ Ｌｏｇｉｃ Ｃｏｎｔｒｏｌｌｅｒの略である。

アセットグラフ生成部１１１のノード生成部１１１１は、例えば、上記アセット情報に基づいてａｓｓｅｔ−ｎｏｄｅ：１に対応するノードを生成する。

アセットグラフ生成部１１１のリンク生成部１１１２は、アセット間接続情報に基づいてアセットグラフ上のリンクを生成する。

図７は、アセット関連情報記憶部１０１に保持されているアセット間接続情報の一例を示す図である。図７の例では、アセット間のリンクを一意に示すリンクＩＤと、そのリンクの接続タイプ情報と、始点アセットＩＤと、終点アセットＩＤとを対応付けたエントリが示されている。例えば、ａｓｓｅｔ−ｌｉｎｋ：１のリンクは、ネットワークで接続されており、ａｓｓｅｔ−ｎｏｄｅ：１とａｓｓｅｔ−ｎｏｄｅ：２間のリンクであることが示されている。なお、図７の例では、接続タイプ情報には、Ｎｅｔｗｏｒｋのほかに、ＵＳＢがある。ＵＳＢは、ＵＳＢなどの媒体の受け渡しによるデータ交換経路であることを示している。このような媒体の受け渡しによるデータ交換経路は、対象となる機器のログ情報やユーザに対する聞き取り調査、現場観察などを通じて把握することができる。また、図７の例ではＵＳＢのみを例示したが、媒体の受け渡しによるデータ交換経路を構成可能な媒体はこれに限られない。例えば、その他のリムーバブルディスクの挿抜によるやり取りや近距離無線通信デバイスを媒体として用いる形態なども考えられる。以降、このような媒体の受け渡しによるデータ交換経路を「エアギャップパス」とも呼ぶ。

アセットグラフ生成部１１１のグラフ構成部１１１３は、上記ノードとリンクで構成されたアセットグラフを作成する（図１６〜図１８の中段参照）。

図８は、物理エリアグラフ生成部１１２の構成例を示す図である。図８を参照すると、ノード生成部１１２１と、リンク生成部１１２２と、グラフ構成部１１２３とを備えた構成が示されている。

物理エリアグラフ生成部１１２のノード生成部１１２１は、物理エリア情報に基づいて、物理エリアグラフ上のノードを生成する。

図９は、物理エリア関連情報記憶部１０２に保持されている物理エリア情報の一例を示す図である。図９の例では、物理エリアを一意に示す物理エリアＩＤと、物理エリア名とを対応付けたエントリが示されている。例えば、ａｒｅａ−ｎｏｄｅ：１の物理エリアは、Ａｒｅａ−１という名称のエリアであることが示されている。なお、物理エリアとは、現実世界において何らかの障壁により他の場所と区別される空間を言う。このような物理エリアとしては、小間、部屋、フロア、ビル、建物、地区などが挙げられる。また、これらの空間において、ＩＤカードによる入退場管理など、所定のアクセス権によって区切られていることが好ましい。

物理エリアグラフ生成部１１２のノード生成部１１２１は、例えば、上記物理エリア情報に基づいてａｒｅａ−ｎｏｄｅ：１に対応するノードを生成する。

物理エリアグラフ生成部１１２のリンク生成部１１２２は、物理エリア間経路情報に基づいて物理エリアグラフ上のリンクを生成する。

図１０は、物理エリア関連情報記憶部１０２に保持されている物理エリア間経路情報の一例を示す図である。図１０の例では、物理エリア間のリンクを一意に示すリンクＩＤと、始点物理エリアＩＤと、終点物理エリアＩＤとを対応付けたエントリが示されている。例えば、ａｒｅａ−ｌｉｎｋ：１のリンクは、ａｒｅａ−ｎｏｄｅ：１とａｒｅａ−ｎｏｄｅ：２間のリンクであることが示されている。なお、物理エリア間経路情報においても、そのリンクの接続タイプ情報を持たせてもよい。物理エリア間のリンクにおける接続タイプ情報としては、ＩＤカードによるゲートの有無や所持品チェックの有無などを含めることができる。

物理エリアグラフ生成部１１２のグラフ構成部１１２３は、上記ノードとリンクで構成された物理エリアグラフを作成する（図１６〜図１８の下段参照）。

図１１は、攻撃グラフ生成部１１３の構成例を示す図である。図１１を参照すると、ノード生成部１１３１と、リンク生成部１１３２と、グラフ構成部１１３３とを備えた構成が示されている。

攻撃グラフ生成部１１３のノード生成部１１３１は、攻撃行動情報に基づいて、攻撃グラフ上のノードを生成する。

図１２は、攻撃関連情報記憶部１０３に保持されている攻撃行動情報の一例を示す図である。図１２の例では、攻撃行動を一意に示す攻撃ＩＤと、その攻撃内容の詳細と、攻撃対象となる対象アセットＩＤとを対応付けたエントリが示されている。例えば、ａｔｔａｃｋ−ｎｏｄｅ：１の攻撃は、システムの脆弱性を利用して特定のコードを実行するものであり、その対象がａｓｓｅｔ−ｎｏｄｅ：１であることが示されている。

攻撃グラフ生成部１１３のノード生成部１１３１は、例えば、上記攻撃行動情報に基づいてａｔｔａｃｋ−ｎｏｄｅ：１に対応するノードを生成する。

攻撃グラフ生成部１１３のリンク生成部１１３２は、攻撃手順情報に基づいて攻撃グラフ上のリンクを生成する。

図１３は、攻撃関連情報記憶部１０３に保持されている攻撃手順情報の一例を示す図である。図１３の例では、攻撃行動間のリンクを一意に示すリンクＩＤと、始点ノードを示す始点攻撃ＩＤと、終点ノードを示す終点攻撃ＩＤとを対応付けたエントリが示されている。例えば、ａｔｔａｃｋ−ｌｉｎｋ：１のリンクは、ａｔｔａｃｋ−ｎｏｄｅ：１とａｔｔａｃｋ−ｎｏｄｅ：２間のリンクであることが示されている。

攻撃グラフ生成部１１３のグラフ構成部１１３３は、上記ノードとリンクで構成された攻撃グラフを作成する（図１６〜図１８の上段参照）。

続いて、本実施形態の動作について図面を参照して詳細に説明する。図１４は、本発明の第１の実施形態のセキュリティ評価システムの動作を表したフローチャートである。図１４を参照すると、まず、セキュリティ評価システム１００のアセスメントグラフ生成部１１０がアセスメントグラフを作成する。図１５は、上記アセスメントグラフ生成部１１０によるアセスメントグラフ生成処理の例を表したフローチャートである。

図１５を参照すると、セキュリティ評価システム１００の攻撃グラフ生成部１１３が、攻撃行動情報と、攻撃手順情報とに基づいて、攻撃グラフを生成する（ステップＳ０１１）。

次に、セキュリティ評価システム１００のアセットグラフ生成部１１１が、アセット情報と、アセット間接続情報とに基づいて、アセットグラフを生成する（ステップＳ０１２）。

次に、セキュリティ評価システム１００の物理エリアグラフ生成部１１２が、物理エリア情報と、物理エリア間経路情報とに基づいて、物理エリアグラフを生成する（ステップＳ０１３）。

最後に、セキュリティ評価システム１００のアセスメントグラフ構成部１１４が、上記したアセットグラフ、物理エリアグラフ及び攻撃グラフのレイヤ間の関連付け情報に基づいて、アセスメントグラフを構成する（ステップＳ０１４）。ここで、「レイヤ間の関連付け情報」としては、アセット情報における配置エリアＩＤ、攻撃行動情報における対象アセットＩＤなど、あるレイヤの情報中の異なるレイヤのノード等との対応関係を示した情報のことである。

再度、図１４を参照すると、セキュリティ評価システム１００のアセスメントグラフ表示部１２０が前記構成されたアセスメントグラフを表示する（ステップＳ００２）。

図１６は、上記ステップＳ００２の段階で表示されるアセスメントグラフの一例を示す図である。このアセスメントグラフは、３層の構成となっており、上段の攻撃グラフレイヤＡＴには、想定される攻撃行動をノードとし、攻撃間の順序関係をリンク（矢線）で表した攻撃グラフが表示されている。そして、中段のアセットグラフレイヤＡＳには、評価対象のシステムのアセットをノードとし、アセット間のデータ交換経路をリンクで表したアセットグラフが表示されている。また、このアセットグラフは、ＵＳＢ等の媒体を介したデータ交換経路（エアギャップパス）も表示可能となっている。そして、下段の物理エリアグラフレイヤＰＨに、アセットが配置された物理的な空間（エリア）をノードとし、この物理的な空間間の経路をリンクで表した物理エリアグラフが表示されている。なお、図１６において、ＳＷはＳｗｉｔｃｈの略であり、ＦＷはＦｉｒｅｗａｌｌの略である。

図１７は、アセスメントグラフの別の表示態様を示す図である。図１７の例では、アセットグラフ上のＰＣ１、ＰＣ２、ＰＬＣと、攻撃グラフのノードとの対応関係が破線で示されている。このような破線は、上述した「レイヤ間の関連付け情報」を用いて表示することができる。システムの評価者はこのような表示を見て、図１７の攻撃グラフがエアギャップパスを前提に成立していることを把握することができる。

図１８は、アセスメントグラフの別の表示態様を示す図である。図１８の例では、物理エリアグラフ上のエリア１、エリア２と、アセットグラフ上のアセット群との対応関係が破線で示されている。このような破線は、上述した「レイヤ間の関連付け情報」を用いて表示することができる。システムの評価者はこのような表示を見て、図１８上段の攻撃グラフの前提となっているエアギャップパスを介した攻撃を遮断するには、物理エリアグラフに表されたエリア１、エリア２間の経路について対策を講じるべきと判断することができる。

なお、上記図１６から図１８の例では、攻撃グラフ層のノードは、攻撃対象のアセット情報に基づいてアセットグラフ層のいずれかのノードに関連付けられる。これは、アセットグラフ層のノードが、攻撃グラフ層のノードを包含するグループ（スーパーセット）として定義されていることになる。同様に、アセットグラフ層のノードは、当該アセットの配置される物理エリア情報に基づいて物理エリアグラフ層のいずれかのノードに関連付けられる。これは、物理エリアグラフ層のノードが、アセットグラフ層のノードを包含するグループ（スーパーセット）として定義されていることになる。このような構成を採ることにより、任意の攻撃グラフの任意のノード、パスからアセットグラフのノードを特定し、さらに物理エリア層の対策を講ずべき箇所の絞込みが容易化される。また、別の視点によれば、アセットグラフの任意のノードを選択して、そのノードに関連付けられた攻撃グラフから、当該ノードに加えられる可能性の攻撃行動を把握することも可能となる。

一方で、アセスメントグラフの表示態様は、図１６〜図１８の例に限られない。例えば、アセットグラフのみを表示し、必要に応じて攻撃グラフや物理エリアグラフをポップアップ表示する形態であってもよい。また、アセットグラフのみを表示した態様と、アセスメントグラフを表示した態様とを切り替え表示してもよい。このような形態によれば、アセットグラフのみを表示する際に、各アセットの詳細情報（例えば、図６のアセット情報など）を同時に表示することができる。

［第２の実施形態］
続いて、物理エリアグラフの表示内容に変更を加えた第２の実施形態について図面を参照して詳細に説明する。図１９は、本発明の第２の実施形態のセキュリティ評価システム１００Ａの構成を示す図である。図３に示した第１の実施形態のセキュリティ評価システム１００との構成上の相違点は、物理エリアアクセス権限情報記憶部１０４が追加され、アセスメントグラフ生成部１１０Ａが、物理エリアアクセス権限を含んだアセスメントグラフを生成する点である。その他の構成は第１の実施形態と同等であるので、以下、その相違点を中心に説明する。

図２０は、本実施形態のアセスメントグラフ生成部１１０Ａの構成例を示す図である。図４に示したアセスメントグラフ生成部との相違点は、物理エリアグラフ生成部１１２Ａに物理エリアアクセス権限情報が入力される点である。

図２１は、本実施形態の物理エリアグラフ生成部１１２Ａの構成例を示す図である。図８に示した物理エリアグラフ生成部との相違点は、リンク生成部１１２２Ａに（物理エリア）アクセス権限情報が入力され、リンク生成部１１２２Ａがアクセス権限情報付きのリンクを生成する点である。

そして、本実施形態の物理エリアグラフ生成部１１２Ａのグラフ構成部１１２３Ａは、リンクにアクセス権限情報が付加された物理エリアグラフを生成する（図２５参照）。

図２２は、物理エリアアクセス権限情報記憶部１０４に保持される物理エリアアクセス権限情報の一例を示す図である。図２２の例では、ａｒｅａ−ｎｏｄｅ：１とのＩＤで特定される物理エリア１のアクセス権限を有しているユーザとして、Ｕｓｅｒ−１、Ｕｓｅｒ−２が定義されている。同様に、ａｒｅａ−ｎｏｄｅ：２とのＩＤで特定される物理エリア２のアクセス権限を有しているユーザとして、Ｕｓｅｒ−２、Ｇｒｏｕｐ−１が定義されている。このようにアクセス権限を有しているユーザとしてグループを定義することも可能である。物理エリアのアクセス権限とは、ＩＤカードの提示や顔認証手段などにより、物理エリアへの立ち入りが許可されていることを示す。

図２３は、本発明の第２の実施形態のセキュリティ評価システム１００Ａによって表示されるアセスメントグラフの例である。図１６〜図１８に示した第１の実施形態のセキュリティ評価システム１００によって表示されるアセスメントグラフとの相違点は、物理エリアグラフにおいてリンクに付随する情報として、アクセス権限を有しているユーザの情報が表示されている点である。

本実施形態によれば、上記第１の実施形態の効果に加えて、物理エリアのセキュリティ対策の対象となるユーザの絞込みを行うことが可能となる。

なお、上記した説明では、セキュリティ評価システム１００Ａに、物理エリアアクセス権限情報記憶部１０４を独立して設けるものとして説明したが、物理エリアアクセス権限情報記憶部１０４を省略した構成も採用可能である。例えば、図２４に示すように、物理エリア情報に、物理エリアアクセス権限情報を格納するアクセス権限フィールドを追加して保持させる形態も採用可能である。同様に、図２５に示すように、物理エリア間経路情報に、アクセス権限フィールドを追加して、物理エリアアクセス権限情報を保持させる形態も採用可能である。

なお、上記した実施形態では、アクセス権限として、アクセス権限を持つユーザの情報を保持し表示するものとして説明したが、アクセス権限を持つ主体はユーザ（人間）に限られない。例えば、ユーザに加えて、クレデンシャル情報を持つ主体を表示してもよい。また、上記したユーザ名やクレデンシャル情報の付帯情報として、これらのアクセス権限の認証方法などを持たせて併せて表示するようにしてもよい。

［第３の実施形態］
続いて、アセスメントグラフの表示形態を変更可能とした第３の実施形態について図面を参照して詳細に説明する。図２６は、本発明の第３の実施形態のセキュリティ評価システム１００Ｂの構成を示す図である。図１９に示した第２の実施形態のセキュリティ評価システム１００Ａとの構成上の相違点は、表示条件入力部１０５が追加され、アセスメントグラフ表示部１２０Ａが、入力された表示条件に従って、アセスメントグラフの表示態様に変更を加える点である。また、本実施形態では、アセット情報に、アセットの種類を示すアセットタイプフィールドが追加されている。その他の構成は第１、第２の実施形態と同等であるので、以下、その相違点を中心に説明する。

図２７は、本発明の第３の実施形態のセキュリティ評価システムが保持するアセット情報の一例を示す図である。図６に示したアセット情報との相違点は、アセットタイプフィールドが追加され、アセットグラフ上のノードのアセット種別を特定可能となっている点である。

表示条件入力部１０５は、システム評価者等から、アセスメントグラフの表示を行う際の表示条件の入力を受け、アセスメントグラフ表示部１２０Ａに送信する。ここでの表示条件としては、各レイヤのノードＩＤやその属性などが挙げられる。例えば、攻撃グラフにおけるノードに相当する攻撃ＩＤを指定できるようにしてもよい。また、同様に、アセットグラフにおけるアセットタイプやアセットＩＤ、リンクの接続タイプを指定できるようにしてもよい。また、同様に、物理エリアグラフにおける物理エリアＩＤやアクセス権限情報を指定できるようにしてもよい。

アセスメントグラフ表示部１２０Ａは、前記表示条件入力部１０５から指示された表示条件に従って、アセスメントグラフを表示する。

続いて、本実施形態の動作について図面を参照して詳細に説明する。図２８は、本実施形態のセキュリティ評価システム１００Ｂの動作を表したフローチャートである。図１４に示した第１の実施形態のセキュリティ評価システム１００の動作との相違点は、ステップＳ１０２において、表示条件の入力を受け付け、表示条件に従ってアセスメントグラフの表示態様に変更を加える点である（図２８のステップＳ１０２、Ｓ１０３）。

上記表示条件の入力と、アセスメントグラフの表示態様について、図２９〜図３１を用いて具体的に説明する。図２９は、表示条件入力部１０５に、表示条件としてアセットタイプ＝Ｃｏｍｐｕｔｅｒを指定した場合に表示されるアセスメントグラフを示している。表示条件としてアセットタイプ＝Ｃｏｍｐｕｔｅｒと指定したことにより図２７のアセット情報からａｓｓｅｔ−ｎｏｄｅ：３〜５のＳｅｒｖｅｒ−１、ＰＣ−１、ＰＣ−２が特定される。そして、アセスメントグラフ表示部１２０Ａは、アセットグラフを、少なくともノードとしてＳｅｒｖｅｒ−１、ＰＣ−１、ＰＣ−２を示したアセットグラフ（部分グラフ）を表示する。なお、アセットグラフのその他のノードについては、図２９のように破線で示してもよいし、非表示としてもよい。さらに、図２９の例では、攻撃グラフにおいて、上記Ｓｅｒｖｅｒ−１、ＰＣ−１、ＰＣ−２に対応する攻撃グラフのノードを実線で示し、破線で対応関係を示している。図２９の例では、物理エリアグラフにおいて、上記Ｓｅｒｖｅｒ−１、ＰＣ−１、ＰＣ−２が配置されたエリアを実線で示し、破線で対応関係を示している。このようなアセスメントグラフによれば、任意のアセットに関連を有する攻撃グラフの有無や物理エリア上の配置を確認することができる。

図３０は、表示条件入力部１０５に、表示条件として物理エリアグラフのＡｒｅａ１を指定した場合に表示されるアセスメントグラフを示している。表示条件として物理エリア名＝Ａｒｅａ１と指定したことにより図２７のアセット情報から配置エリアＩＤがａｒｅａ−ｎｏｄｅ：１のＦｉｒｅｗａｌｌ−１、Ｓｗｉｔｃｈ−１、Ｓｅｒｖｅｒ−１、ＰＣ−１が特定される。そして、アセスメントグラフ表示部１２０Ａは、アセットグラフを、少なくともノードとしてＦｉｒｅｗａｌｌ−１、Ｓｗｉｔｃｈ−１、Ｓｅｒｖｅｒ−１、ＰＣ−１を示したアセットグラフ（部分グラフ）を表示する。なお、アセットグラフのその他のノードについては、図３０のように破線で示してもよいし、非表示としてもよい。さらに、図３０の例では、攻撃グラフにおいて、上記Ｆｉｒｅｗａｌｌ−１、Ｓｗｉｔｃｈ−１、Ｓｅｒｖｅｒ−１、ＰＣ−１に対応する攻撃グラフのノードを実線で示し、破線で対応関係を示している。図３０の例では、物理エリアグラフにおいて、上記Ａｒｅａ１を実線で示し、破線で対応関係を示している。このようなアセスメントグラフによれば、任意のエリアに配置されているアセットや攻撃グラフの有無を確認することができる。

図３１は、表示条件入力部１０５に、表示条件としてアセットグラフのリンクの接続タイプとしてＵＳＢ以外、即ち、「エアギャップパスの存在を条件としない」を指定した場合に表示されるアセスメントグラフを示している。表示条件として接続タイプ＝ＮＯＴ（ＵＳＢ）と指定したことにより図７のアセット間接続情報から接続タイプがＵＳＢ以外のエントリが選択される。これにより、アセットグラフからＰＣ１とＰＣ２間のリンクが非表示となる。さらに、図３１の例では、攻撃グラフにおいて、上記ＰＣ１とＰＣ２間のエアギャップパスに対応するリンクが破線表示となっている。これにより、この攻撃グラフがエアギャップパスの存在なしに成り立たないことが分かる。なお、図３１の例は、攻撃グラフを表示しているが、このように、エアギャップパスの存在なしに成り立たない場合、当該攻撃グラフを非表示としてもよい。また、逆に、「エアギャップパスの存在を条件とする」を指定した場合には、図２３に示すようなアセスメントグラフが表示されることになる。このようなアセスメントグラフによれば、攻撃グラフから、エアギャップパスを利用した攻撃行動やその前後の攻撃パスを確認することができる。これにより、エアギャップパスを利用した攻撃に対する対策を立案することが可能となる。

なお、表示条件は、上記の例に限られずアセット情報、アセット間接続情報、物理エリア情報、物理エリア間経路情報、攻撃行動情報、攻撃手順情報、アクセス権限情報の任意の項目を指定できるようにしてもよい。例えば、表示条件として、任意のユーザの指定を受け、そのユーザがアクセス権限を持つ物理エリアと、該物理エリアとに対応するアセットグラフの部分や攻撃グラフを表示するようにしてもよい。同様に、例えば、表示条件として、攻撃グラフの任意のノード（攻撃行動）の指定を受け、そのノード（攻撃行動）の対象となるアセットグラフのアセットと、そのアセットが配置された物理エリアを表示するようにしてもよい。

また、より望ましい形態において、攻撃グラフのリンク（パス）に、影響度（ｓｅｖｅｒｉｔｙ）や攻撃行動の難易度等により計算された重み情報等が与えられている場合、これらの値に基づいて、攻撃グラフのパスの表示非表示を切り替えるようにしてもよい。これらの値として、Ｃｏｍｍｏｎ Ｖｕｌｎｅｒａｂｉｌｉｔｙ Ｓｃｏｒｉｎｇ Ｓｙｓｔｅｍとして知られているＣＶＳＳ値を用いても良い。

以上、本発明の各実施形態を説明したが、本発明は、上記した実施形態に限定されるものではなく、本発明の基本的技術的思想を逸脱しない範囲で、更なる変形・置換・調整を加えることができる。例えば、各図面に示したネットワーク構成、各要素の構成、メッセージの表現形態は、本発明の理解を助けるための一例であり、これらの図面に示した構成に限定されるものではない。また、以下の説明において、「Ａ及び／又はＢ」は、Ａ及びＢの少なくともいずれかという意味で用いる。

また、上記した各実施形態では特に触れなかったが、本発明は、図３２に示す、デジタルシャドウを用いたシステムの評価プラットフォーム１０００のサブシステムとしても適用できる。ここで、デジタルシャドウとは、デジタルツインとも呼ばれる実システムの再現モデルを用いてシステムのセキュリティ評価等を行う手法であり、発電所のシステムに代表される実システムでの試験等が難しいシステムに好適に使用される。図３２の例では、情報収集部１０２０と、再現モデル生成部１０３０と、攻撃グラフ分析部１０４０と、対策分析部１０５０とを備える評価プラットフォーム１０００が示されている。このうちの攻撃グラフ分析部１０４０が上記した攻撃グラフ生成部１１３に対応する。例えば、本発明は、図３２の攻撃グラフ分析部１０４０と連携して動作するシステムとして構成することもできる。

また、上記した第１〜第３の実施形態に示した手順は、セキュリティ評価システム１００、１００Ａ、１００Ｂとして機能するコンピュータ（図３３の９０００）に、セキュリティ評価システム１００としての機能を実現させるプログラムにより実現可能である。このようなコンピュータは、図３３のＣＰＵ（Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）９０１０、通信インタフェース９０２０、メモリ９０３０、補助記憶装置９０４０を備える構成に例示される。すなわち、図３３のＣＰＵ９０１０にて、アセスメントグラフ生成プログラムやアセスメントグラフ表示プログラムを実行し、その補助記憶装置９０４０等に保持された各計算パラメーターの更新処理を実施させればよい。

即ち、上記した第１〜第３の実施形態に示したセキュリティ評価システムの各部（処理手段、機能）は、上記コンピュータのプロセッサに、そのハードウェアを用いて、上記した各処理を実行させるコンピュータプログラムにより実現することができる。

最後に、本発明の好ましい形態を要約する。
［第１の形態］
（上記第１の視点によるセキュリティ評価システム参照）
［第２の形態］
上記したセキュリティ評価システムの第１グラフ生成部は、
前記リソース間における媒体を介したデータ交換経路を含むデータ交換経路を定義したリソース間の接続情報に基づいて、前記リソース間における媒体を介したデータ交換経路を表した第１の評価グラフを生成することが好ましい。
［第３の形態］
上記したセキュリティ評価システムの第２グラフ生成部は、
リソースが配置されているエリアのうち物理的に区分けされている空間をノードとして表し、
前記空間を結ぶ物理的な経路をリンクとして表した第２の評価グラフを生成することが好ましい。
［第４の形態］
上記したセキュリティ評価システムは、さらに、
前記空間に立ち入りが許可されるユーザを記憶するアクセス権限記憶部を備え、
前記表示部は、
前記第２の評価グラフの付随情報として、前記空間に立ち入りが許可されるユーザの情報を表示する構成を採ることができる。
［第５の形態］
上記したセキュリティ評価システムは、さらに、
前記セキュリティ評価の対象となるリソースに対する攻撃グラフを生成する第３グラフ生成部を備え、
前記表示部は、さらに、前記第１の評価グラフと、前記第３の評価グラフとを対応付けて表示する構成を採ることができる。
［第６の形態］
上記したセキュリティ評価システムは、さらに、
前記リソースのＩＤ、前記リソースの種別の少なくとも一方の指定を含む表示条件を受け付ける条件受付部を備え、
前記表示部は、前記第１の評価グラフの前記表示条件に該当するリソースと、該リソースに対応する前記第２の評価グラフ又は前記リソースに関連する攻撃グラフを表示する構成を採ることができる。
［第７の形態］
上記したセキュリティ評価システムは、さらに、
前記リソースが配置されているエリアの指定を含む表示条件を受け付ける条件受付部を備え、
前記表示部は、前記第２の評価グラフの前記表示条件に該当するエリアと、該エリアと関連を持つ前記第１の評価グラフの部分グラフと該部分グラフに関連する攻撃グラフを表示する構成を採ることができる。
［第８の形態］
上記したセキュリティ評価システムは、さらに、
前記データ交換経路のうち、前記リソース間における媒体を介したデータ交換経路の有無の指定を受け付ける条件受付部を備え、
前記表示部は、前記リソース間における媒体を介したデータ交換経路無しの指定を受けた場合、前記リソース間における媒体を介したデータ交換経路無しの第１の評価グラフと、前記第１の評価グラフに関連する攻撃グラフのうち、前記リソース間の媒体の移動によるデータ交換経路の存在を必要としない攻撃グラフを表示する構成を採ることができる。
［第９の形態］
上記したセキュリティ評価システムは、さらに、
前記ユーザの指定を含む表示条件を受け付ける条件受付部を備え、
前記表示部は、前記第２の評価グラフの前記ユーザが立ち入りが許可される空間を選択し、
前記空間に存在するリソースを示す前記第１の評価グラフの部分グラフと、該部分グラフに関連する攻撃グラフを表示する構成を採ることができる。
［第１０の形態］
上記したセキュリティ評価システムは、さらに、
前記攻撃グラフのノードの指定を含む表示条件を受け付ける条件受付部を備え、
前記表示部は、前記攻撃グラフの前記指定されたノードと関連付けられた前記第１の評価グラフの部分グラフと該部分グラフに関連する前記第２の評価グラフの部分グラフを表示する構成を採ることができる。
［第１１の形態］
（上記第２の視点によるセキュリティ評価方法参照）
［第１２の形態］
（上記第３の視点によるプログラム参照）
なお、上記第１１〜第１２の形態は、第１の形態と同様に、第２〜第１０の形態に展開することが可能である。

なお、上記の特許文献の各開示を、本書に引用をもって繰り込むものとする。本発明の全開示（請求の範囲を含む）の枠内において、さらにその基本的技術思想に基づいて、実施形態ないし実施例の変更・調整が可能である。また、本発明の開示の枠内において種々の開示要素（各請求項の各要素、各実施形態ないし実施例の各要素、各図面の各要素等を含む）の多様な組み合わせ、ないし選択が可能である。すなわち、本発明は、請求の範囲を含む全開示、技術的思想にしたがって当業者であればなし得るであろう各種変形、修正を含むことは勿論である。特に、本書に記載した数値範囲については、当該範囲内に含まれる任意の数値ないし小範囲が、別段の記載のない場合でも具体的に記載されているものと解釈されるべきである。

１、１００、１００Ａ、１００Ｂ セキュリティ評価システム
１０ 第１グラフ生成部
２０ 第２グラフ生成部
３０ 表示部
１０１ アセット関連情報記憶部
１０２ 物理エリア関連情報記憶部
１０３ 攻撃関連情報記憶部
１０４ 物理エリアアクセス権限情報記憶部
１０５ 表示条件入力部
１１０、１１０Ａ アセスメントグラフ生成部
１１１ アセットグラフ生成部
１１２、１１２Ａ 物理エリアグラフ生成部
１１３ 攻撃グラフ生成部
１１４ アセスメントグラフ構成部
１２０、１２０Ａ アセスメントグラフ表示部
１０００ 評価プラットフォーム
１０１０ ユーザインタフェース部及び制御部
１０２０ 情報収集部
１０３０ 再現モデル生成部
１０４０ 攻撃グラフ分析部
１０５０ 対策分析部
１１１１、１１２１、１１３１ ノード生成部
１１１２、１１２２、１１２２Ａ、１１３２ リンク生成部
１１１３、１１２３、１１２３Ａ、１１３３ グラフ構成部
９０００ コンピュータ
９０１０ ＣＰＵ
９０２０ 通信インタフェース
９０３０ メモリ
９０４０ 補助記憶装置
ＡＴ 攻撃グラフレイヤ
ＡＳ アセットグラフレイヤ
ＰＨ 物理エリアグラフレイヤ

Claims (10)

1. セキュリティ評価の対象となるリソース同士の接続関係を示す第１の評価グラフを生成する第１グラフ生成部と、
   前記リソースが配置されているエリア同士の接続関係を示す第２の評価グラフを生成する第２グラフ生成部と、
   前記第１の評価グラフと、前記第２の評価グラフとを対応付けて表示する表示部と、
   を備えたセキュリティ評価システム。
2. 前記第１グラフ生成部は、
   前記リソース間における媒体を介したデータ交換経路を含むデータ交換経路を定義したリソース間の接続情報に基づいて、前記リソース間における媒体を介したデータ交換経路を表した第１の評価グラフを生成する請求項１のセキュリティ評価システム。
3. 前記第２グラフ生成部は、
   リソースが配置されているエリアのうち物理的に区分けされている空間をノードとして表し、
   前記空間を結ぶ物理的な経路をリンクとして表した第２の評価グラフを生成する請求項１又は２のセキュリティ評価システム。
4. さらに、
   前記空間に立ち入りが許可されるユーザを記憶するアクセス権限記憶部を備え、
   前記表示部は、
   前記第２の評価グラフの付随情報として、前記空間に立ち入りが許可されるユーザの情報を表示する請求項１から３いずれか一のセキュリティ評価システム。
5. さらに、
   前記セキュリティ評価の対象となるリソースに対する攻撃グラフを生成する第３グラフ生成部を備え、
   前記表示部は、さらに、前記第１の評価グラフと、第３の評価グラフとを対応付けて表示する請求項１から４いずれか一のセキュリティ評価システム。
6. さらに、
   前記リソースのＩＤ、前記リソースの種別の少なくとも一方の指定を含む表示条件を受け付ける条件受付部を備え、
   前記表示部は、前記第１の評価グラフの前記表示条件に該当するリソースと、該リソースに対応する前記第２の評価グラフ又は前記リソースに関連する攻撃グラフを表示する請求項１から５いずれか一のセキュリティ評価システム。
7. さらに、
   前記リソースが配置されているエリアの指定を含む表示条件を受け付ける条件受付部を備え、
   前記表示部は、前記第２の評価グラフの前記表示条件に該当するエリアと、該エリアと関連を持つ前記第１の評価グラフの部分グラフと該部分グラフに関連する攻撃グラフを表示する請求項１から５いずれか一のセキュリティ評価システム。
8. さらに、
   前記データ交換経路のうち、前記リソース間における媒体を介したデータ交換経路の有無の指定を受け付ける条件受付部を備え、
   前記表示部は、前記リソース間における媒体を介したデータ交換経路無しの指定を受けた場合、前記リソース間における媒体を介したデータ交換経路無しの第１の評価グラフと、前記第１の評価グラフに関連する攻撃グラフのうち、前記リソース間の媒体の移動によるデータ交換経路の存在を必要としない攻撃グラフを表示する請求項２から５いずれか一のセキュリティ評価システム。
9. セキュリティ評価の対象となるリソース同士の接続関係を示す第１の評価グラフを生成するステップと、
   前記リソースが配置されているエリア同士の接続関係を示す第２の評価グラフを生成するステップと、
   前記第１の評価グラフと、前記第２の評価グラフとを対応付けて表示するステップと、
   を備えたセキュリティ評価方法。
10. プロセッサと記憶装置とを備えるコンピュータに、
    セキュリティ評価の対象となるリソース同士の接続関係を示す第１の評価グラフを生成する処理と、
    前記リソースが配置されているエリア同士の接続関係を示す第２の評価グラフを生成する処理と、
    前記第１の評価グラフと、前記第２の評価グラフとを対応付けて表示する処理と、
    を実行させるプログラム。
    

Images