WO2015025694A1 - セキュリティ上の脅威を評価する評価装置及びその方法 - Google Patents

セキュリティ上の脅威を評価する評価装置及びその方法 Download PDF

Info

Publication number
WO2015025694A1
WO2015025694A1 PCT/JP2014/070298 JP2014070298W WO2015025694A1 WO 2015025694 A1 WO2015025694 A1 WO 2015025694A1 JP 2014070298 W JP2014070298 W JP 2014070298W WO 2015025694 A1 WO2015025694 A1 WO 2015025694A1
Authority
WO
WIPO (PCT)
Prior art keywords
information
threat
subsystem
externally connected
evaluation
Prior art date
Application number
PCT/JP2014/070298
Other languages
English (en)
French (fr)
Inventor
伸義 森田
信 萱島
英里子 安藤
Original Assignee
日立オートモティブシステムズ株式会社
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 日立オートモティブシステムズ株式会社 filed Critical 日立オートモティブシステムズ株式会社
Publication of WO2015025694A1 publication Critical patent/WO2015025694A1/ja

Links

Images

Classifications

    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/57—Certifying or maintaining trusted computer platforms, e.g. secure boots or power-downs, version controls, system software checks, secure updates or assessing vulnerabilities
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/57—Certifying or maintaining trusted computer platforms, e.g. secure boots or power-downs, version controls, system software checks, secure updates or assessing vulnerabilities
    • G06F21/577—Assessing vulnerabilities and evaluating computer system security

Definitions

  • the present invention defines the data required for risk evaluation according to the input instructions of the tool when the designer of the in-vehicle network system defines the evaluation target model based on information that can be input objectively such as a design document
  • the present invention relates to an apparatus and a method for automatically calculating a risk value of a threat without depending on the skill level of an analyst.
  • ISO / IEC15408 which is an international standard for security products (hardware / software) and system development, manufacturing, operation, etc., is used to improve the assurance level of security implementation.
  • ISO / IEC15408 it is required to formulate a security requirement specification based on a threat analysis, which is an analysis of a security threat, and to create a security requirement specification (ST: Security Target) in a predetermined format.
  • ST security requirement specification
  • a tool developer quantifies the magnitude of damage (confidentiality, integrity, availability) against a threat in advance. And, when assessing threat risk, the analyst quantifies the probability of occurrence of the threat, and calculates the product of the “damage magnitude” and “occurrence probability” of the threat extracted by the tool as the threat risk value of the threat Is disclosed.
  • Patent Document 1 can determine the risk for each threat when the occurrence probability is known in advance, as in a system or apparatus that is actually operated. However, at the time of design, the probability of occurrence of a threat in the system or apparatus is not known. For this reason, in order to quantify the probability of occurrence of a threat in a system or apparatus, knowledge and experience regarding security are required, and a high level of skill is required for a risk analyst.
  • the present invention has been made in view of the above problems, and an object of the present invention is to enable an analyst to determine a high-risk threat without depending on the skill level of the analyst.
  • an evaluation apparatus for evaluating a security threat to a system to be evaluated is provided from one aspect of the present invention.
  • the evaluation apparatus stores an input unit that receives design information related to a plurality of design items in the system, a plurality of evaluation items related to security threats, and information related to a plurality of design items input from the input unit in association with each other.
  • Security threats in the system based on information related to multiple design items, and security threats for the extracted threats based on evaluation items associated with information related to multiple design items
  • a control unit that calculates a threat risk value that is a value indicating the magnitude of the threat and displays the threat in the extracted system and the threat risk value for the threat on the display unit.
  • the information related to the plurality of design items in the system input to the input unit is information related to the subsystem to be evaluated in the system, and the information related to the subsystem is information on the externally connected equipment of the subsystem and the subsystem.
  • Information on the number of externally connected devices indicating the number of externally connected devices, path type information between the subsystem and externally connected devices, information on the number of authentications that occur when communicating between the subsystem and externally connected devices, Participant type information that may cause a threat, and protected asset information related to protected assets.
  • an evaluation method in an apparatus for evaluating a security threat to a system to be evaluated receives design information on a plurality of design items in the system, associates a plurality of evaluation items on security threats with information on the received plurality of design items, and based on information on the plurality of design items System security threats, and based on evaluation items associated with information on multiple design items, a threat risk value is calculated that indicates the size of the security threats for the extracted threats. Then, the threat in the extracted system and the threat risk value for the threat are displayed on the display unit.
  • the information related to the plurality of design items in the system received by the apparatus is information related to the subsystem to be evaluated in the system, and the information related to the subsystem is the externally connected device information of the subsystem and the externally connected device of the subsystem.
  • Number of externally connected devices indicating the number of devices, route type information between subsystems and externally connected devices, information on the number of authentications that occur when communicating between subsystems and externally connected devices, and security threats Information on the type of participant who may be allowed to be protected, and protected asset information related to the protected asset.
  • the present invention it is possible to extract threats and calculate risk values of the threats using information obtained from the design document as input, and to present the risk values of each threat to the analyst. become. This makes it possible to evaluate the threat risk without depending on the analyst's security knowledge and experience.
  • Diagram showing the configuration of the threat risk assessment support device The figure which shows the table structure of the subsystem division information in risk evaluation independent information.
  • the figure which shows the table structure of the life cycle division information in risk evaluation independent information The figure which shows the table structure of ASIL division
  • the figure which shows the table constitution of threat risk value information in risk evaluation independent information The figure which shows the table structure of the route division information in risk evaluation dependence information The figure which shows the table structure of the influence degree information to the confidentiality in the risk evaluation dependence information
  • the figure which shows the table structure of the subsystem detailed information in risk evaluation dependence information The figure which shows the table structure of the external connection apparatus information in risk evaluation dependence information
  • the figure which shows the table structure of the participant detailed information in risk evaluation dependence information The figure which shows the table structure of the internal connection apparatus information in risk evaluation dependence information
  • the figure which shows the table constitution of the protection asset information in the risk evaluation dependence information The figure which shows the table structure of risk value calculation method list information
  • Diagram showing overall processing sequence for threat risk assessment Diagram showing the processing sequence during model definition
  • the figure which shows the processing sequence at the time of the detailed information registration of a subsystem Diagram showing the processing sequence when extracting a threat event The figure which shows the processing sequence at the time of risk value calculation
  • the figure which shows the process sequence in CIA calculation Diagram showing an example of a screen for selecting a risk assessment method when defining a model
  • the figure which shows the example of a screen of selective addition of a subsystem The figure which shows the example of a screen of the selection of the subsystem to edit
  • the figure which shows the example screen of the detailed information input of the external connection device at the time of model definition The figure which shows the example screen of detailed information input of the participant at the time of model definition
  • the figure which shows the example of a screen of the input of the number of internal connection devices at the time of model definition The figure which shows the example screen of detailed information input of the internal connection equipment at the
  • the threat risk assessment support apparatus inputs data necessary for risk value calculation using a common vulnerability assessment system (CVSS: Common Vulnerability Scoring System) based on a design document or known information.
  • CVSS Common Vulnerability Scoring System
  • a common vulnerability assessment system CVSS: Common Vulnerability Scoring System
  • FIG. 1 shows the configuration of the threat risk evaluation support apparatus 99 in the embodiment of the present invention.
  • the threat risk evaluation support device 99 is connected to the input device 1 and the output device 2 via the input / output control unit 3, and the input / output control unit 3, the CPU 4, the memory 5, and the disk 6 are connected to the bus 7.
  • the input device 1 is, for example, a keyboard, a mouse, a scanner, or the like, and receives input from a user of the threat risk evaluation support device.
  • the output device 2 is, for example, a display, and outputs an intermediate result and an evaluation result by the threat risk evaluation support device.
  • the input / output control unit 3 controls input / output in the threat risk assessment support apparatus.
  • the CPU 4 controls each hardware in the apparatus and executes a program.
  • a model definition support unit 51 that supports model definition of an evaluation target
  • a threat extraction unit 52 that extracts a threat in the evaluation target
  • a threat risk value calculation unit 53 that calculates a risk value in the extracted threat
  • a threat risk value A countermeasure priority determination unit 54 that determines priority based on
  • a threat risk evaluation creation unit 55 that creates a threat risk evaluation result to be output to the output device, and a threat risk that is output in response to a request input from the input device 1
  • the threat risk list sorting unit 56 that sorts the list of evaluation results operates as a program.
  • the disk 6 is a non-volatile storage device such as a hard disk drive, for example, a risk evaluation-independent information storage unit 61 that does not depend on the risk evaluation method, a risk evaluation-dependent information storage unit 62 that depends on the risk evaluation method, and a determination in the risk evaluation method
  • a risk evaluation determination information storage unit 63 is provided as information.
  • the subsystem classification information 611 indicating the classification of the subsystem in the in-vehicle system
  • the life cycle classification information 612 indicating the life cycle classification of the car
  • the functional safety standard in the car device or system ASIL classification information 613 indicating the classification of a certain ASIL (Automatic Safety Integral Level)
  • participant classification information 614 indicating the classification of the persons involved in the car, participants, life cycle
  • Motivation correspondence information 615 asset type / threat correspondence information 616 that associates asset types with corresponding threats, and threat types, threat contents, impact ranges, and possible life cycles in order to guide threat events
  • Threat list information 617, threat And holds the threat risk value information 618 which holds the risk value of the threat.
  • the risk assessment dependence information storage unit 62 holds an input table that matches the requirements of the risk value calculation method. For example, in the case of using CVSS, route classification information 6211 indicating the attack route classification for the attack target, confidentiality impact information 6212 indicating the impact on the confidentiality of the evaluation target, and detailed subsystem information on the evaluation target Subsystem detailed information 6213 indicating external connection device information 6214 indicating an external connection device connected to the evaluation target, participant detailed information 6215 indicating a participant who uses the external connection device, and internal connection device communicating with the attack target It holds connected device information 6216 and protected asset information 6217 indicating the protected assets in the attack target.
  • route classification information 6211 indicating the attack route classification for the attack target
  • confidentiality impact information 6212 indicating the impact on the confidentiality of the evaluation target
  • Subsystem detailed information 6213 indicating external connection device information 6214 indicating an external connection device connected to the evaluation target
  • participant detailed information 6215 indicating a participant who uses the external connection device
  • the risk evaluation determination information storage unit 63 holds risk value calculation method list information 631 as a list of risk value calculation methods, and CVSS determination information 631 as determination information used for risk value calculation using the risk evaluation method.
  • FIG. 2 shows an example of the table configuration of the subsystem classification information 611 held in the risk evaluation independent information storage unit 61
  • FIG. 3 shows the life cycle classification information 612
  • FIG. 4 shows the ASIL classification information 623.
  • the model definition support unit 51 refers to the subsystem classification information 611 to display the subsystem name 6112 as a selection item on the output device 2 and is added using the input device 1.
  • the added subsystem is added to the subsystem classification information 611.
  • the S-ID 6111 is a unique value for identifying the subsystem.
  • the subsystem name 6112 is a name of the subsystem.
  • the validity determination 6113 indicates whether or not the S-ID 6111 subsystem is included in the model. For example, when the S-ID 6111 subsystem is included in the model, “ ⁇ ” may be set, and when the S-ID 6111 subsystem is not included in the model, “X” may be set.
  • the in-vehicle system and subsystem there are a GW (GateWay), an information system subsystem, an engine drive system subsystem, a body system subsystem, a chassis system subsystem, and the like.
  • the model definition support unit 51 refers to the life cycle classification information 612 as a protection period selection item when selecting the protection period 62176 in the protected asset information 6217.
  • the L-ID 6121 is a unique value for identifying the life cycle.
  • the life cycle name 6122 is a name of a life cycle in the automobile.
  • the model definition support unit 51 refers to the ASIL classification information 613 and displays it on the output device 2 as a selection item.
  • the ASIL-ID 6131 is a unique value for identifying the ASIL section.
  • the ASIL value 6132 is a classification of the ASIL value in the automobile.
  • FIG. 5 shows an example of the table configuration of the participant classification information 614 held in the risk evaluation independent information storage unit 61
  • FIG. 6 shows the table configuration of the participant / life cycle / motivation correspondence information 615.
  • the model definition support unit 51 When selecting the participant classification in the participant detailed information 6215, the model definition support unit 51 refers to the participant classification information 615 and displays it as a selection item on the output device 2 and is selected using the input device 1 The participant is registered in the participant category 62152.
  • W-ID 6141 is a unique value for identifying a participant.
  • the model definition support unit 51 refers to the life cycle type 6152 as a selection item of the participant and the attack timing corresponding to the participant and displays it on the output device 2, and the threat extraction unit 52 ,
  • the motive corresponding to the participant is extracted from the motive 6153.
  • the participant type 6151 is a unique value for identifying the participant, and the participant name can be specified by referring to the W-ID 6141 in the participant classification information 614.
  • the life cycle type 6152 is a life cycle related to the participant indicated by the participant type 6151.
  • the motive 6153 is a motive related to the participant indicated by the participant type 6151.
  • FIG. 7 shows an example of a table configuration of asset type / threat response information 616 held in the risk evaluation independent information storage unit 61
  • FIG. 8 shows threat list information 617
  • FIG. 9 shows threat risk value information 618.
  • the threat extraction unit 52 refers to the asset type / threat response information 616 and extracts the corresponding threat according to the type of the protected asset.
  • the asset type 6161 is the asset type of the protected asset.
  • the threat 6162 is a threat that can occur with respect to the asset type 6161. This table is an example, and the asset type and threat items are not limited to this.
  • the threat extraction unit 52 selects a threat 6162 in the asset type / threat response information 616, and extracts an influence range and an influence content corresponding to the threat.
  • the threat 6171 is a list of threats.
  • the influence range 6172 indicates whether the influence of the threat 6171 affects only the confidence or the communication destination.
  • the influence content 6173 is the influence content when the threat 6171 occurs.
  • the life cycle 6174 is a timing when the threat 6171 occurs.
  • the countermeasure priority determination unit 54 refers to the threat risk value information 618 and extracts a threat with a high countermeasure priority.
  • the T-ID 6181 is a unique value for identifying a threat event.
  • the threat event 6182 is a threat event extracted by the threat extraction unit 52.
  • the risk value 6183 is a threat risk value for the threat event 6182.
  • the S-ID 6184 is the S-ID of the subsystem that is the attack target in the threat event 6182, and the subsystem name can be specified by referring to the subsystem classification information 611.
  • the E-ID 6185 is the E-ID of the externally connected device that is the attack source in the threat event 6182, and the externally connected device name can be specified by referring to the externally connected device information 6214.
  • the P-ID 6186 is the P-ID of the protected asset to be protected in the threat event 6182, and the protected asset name can be specified by referring to the protected asset information 6217.
  • the threat type 6187 is the threat type of the threat in the threat event 6182.
  • FIG. 10 shows route classification information 6211 held in the risk evaluation dependent information storage unit 62
  • FIG. 11 shows confidentiality impact information 6212
  • FIG. 12 shows subsystem detailed information 6213
  • FIG. 13 shows externally connected device information 6214.
  • An example of the table configuration is shown.
  • the model definition support unit 51 When registering the route classification of the externally connected device, the model definition support unit 51 refers to the route classification information 6211 and displays it on the output device 2 as a selection item.
  • the R-ID 62111 is a unique value for identifying a route segment.
  • a route 62112 indicates a local, a neighbor, or a network as a route. For example, the case where the vehicle is directly connected to the in-vehicle network is regarded as local, the case where the connection is made using short-range communication is set as the adjacent, and the case where the connection is made using communication from a long distance such as the Internet or a mobile communication network is distinguished as the network. To do. Note that the route distinction is an example, and the present invention is not limited to this.
  • the model definition support unit 51 When registering the degree of influence of protected asset information on confidentiality, the model definition support unit 51 refers to the degree of influence information 6212 on confidentiality and displays it on the output device 2 as a selection item.
  • the C-ID 62121 is a unique value for identifying the degree of influence on confidentiality.
  • the degree of influence 62122 is a classification of the degree of influence on confidentiality given by the protected asset. For example, according to the asset value, it may be classified as non-target, partial, or full.
  • the model definition support unit 51 stores detailed information on the subsystem of the automobile to be evaluated in the subsystem detailed information 6213.
  • the threat risk value calculation unit 53 uses the external connection number 62132 and the ASIL value 62135 stored in the subsystem detailed information 6213 when calculating the risk value. A risk value calculation method using the external connection number 62132 and the ASIL value 62135 will be described later.
  • the S-ID 62131 is a unique value for identifying a subsystem, and the subsystem name can be specified by referring to the subsystem classification information 611.
  • the external connection number 62132 is the number of externally connected devices connectable to the subsystem indicated by the S-ID 62131.
  • the internal connection number 62133 is the number of internal connection devices that communicate with the subsystem indicated by the S-ID 62131.
  • the number of protected assets 62134 is the number of protected assets in the subsystem indicated by the S-ID 62131.
  • the ASIL value 62135 indicates the ASIL value defined in the subsystem indicated by the S-ID 62131, and holds the ASIL-ID selected based on the ASIL division information 613.
  • the Dell definition support unit 51 registers the external device information 6214 according to the external connection number 62132 registered in the subsystem detailed information 6213.
  • the threat risk value calculation unit 53 uses the path classification 62144 and the authentication count 62145 stored in the externally connected device information 6214 when calculating the risk value. A risk value calculation method using the route classification 62144 and the authentication count 62145 will be described later.
  • the S-ID 62141 is a unique value for identifying a subsystem, and the subsystem name can be specified by referring to the subsystem classification information 611.
  • the E-ID 62142 is a unique value that identifies an externally connected device for the S-ID 62141.
  • the external device name 62143 is a name of the external device corresponding to the E-ID 62142.
  • the route classification 62144 indicates the route classification of the externally connected device corresponding to the E-ID 62142, and holds the R-ID 62111 selected based on the route classification information 6211.
  • the number of authentication times 62145 is the number of authentication times that occurs when the externally connected device of the E-ID 62142 communicates with the corresponding S-ID 62141.
  • the number of participants 62145 is the number of participant types that communicate with the corresponding subsystem of the S-ID 62141 using the external connection device of the E-ID 62142.
  • FIG. 14 shows an example of the table configuration of the participant detailed information 6215 held in the risk evaluation dependence information storage unit 62, the internal connection device information 6216 in FIG. 15, and the protected asset information 6217 in FIG.
  • the model definition support unit 51 registers the participant detailed information 6215 according to the number of participants registered in the external device information 6214.
  • the threat extraction unit 52 extracts the externally connected device serving as an entry point, the corresponding participant, and the attack timing from the participant detailed information 6215.
  • the E-ID 62151 is a unique value for identifying the externally connected device, and the externally connected device name can be specified by referring to the externally connected device information 6214.
  • the participant category 62152 is a participant who uses an external connection device corresponding to the E-ID 62151, and the participant name can be specified by referring to the participant category information 614.
  • the attack timing 62153 indicates the timing at which the participant corresponding to the participant category 62152 attacks using the E-ID 62151 as an entry point.
  • the life cycle name can be specified by referring to the life cycle category information 612.
  • the model definition support unit 51 registers the internal connection device information 6216 according to the number of internal connections 62133 registered in the subsystem detailed information 6213.
  • the threat risk value calculation unit 53 uses the authentication count 62164 stored in the internal connection device information 6216 when calculating the risk value.
  • the risk value calculation method using the authentication count 62164 will be described later.
  • the S-ID 62161 is a unique value for identifying a subsystem, and the subsystem name can be specified by referring to the subsystem classification information 611.
  • the I-ID 62162 is a unique value for identifying the internally connected device.
  • the internal connection device 62163 is a subsystem with which the subsystem corresponding to the S-ID 62161 communicates, and the subsystem name can be specified by referring to the subsystem classification information 611.
  • the authentication count 62164 is the authentication count required when the subsystem corresponding to the S-ID 62161 communicates with the internal connection device 62163.
  • the model definition support unit 51 registers the protected asset information 6217 according to the number of protected assets 62134 registered in the subsystem detailed information 6213.
  • the threat extraction unit 52 uses the protected asset name 62173, the asset type 62174, and the protection organization 62176 stored in the protected asset information 6217 when extracting the threat.
  • the threat risk value calculation unit 53 uses the confidentiality impact level 62175 and the data flow 62177 stored in the protected asset information 6217 at the time of risk value calculation.
  • the threat extraction method using the protected asset name 62173, the asset type 62174, and the protection organization 62176, the degree of influence on confidentiality 62175, and the risk value calculation method using the data flow 62177 will be described later.
  • the S-ID 62171 is a unique value for identifying a subsystem, and the subsystem name can be specified by referring to the subsystem classification information 611.
  • the P-ID 62172 is a unique value for identifying the protected asset.
  • the protected asset name 62173 is a protected asset in the S-ID 62171.
  • the asset type 62174 is the asset type of the protected asset name 62173 corresponding to the P-ID 62172.
  • the degree of influence on confidentiality 62175 is the degree of influence on the confidentiality of the protected asset name 62173 corresponding to the P-ID 62172, and holds the C-ID selected based on the degree of influence information on confidentiality 6212. .
  • the protection period 62176 is the protection period of the protected asset name 62173 corresponding to the P-ID 62172, and the life cycle name can be specified by referring to the life cycle classification information 612.
  • the data flow 62177 indicates the data flow between subsystems of the protected asset name 62173 corresponding to the P-ID 62172, and the subsystem name can be specified by referring to the subsystem classification information 611.
  • FIG. 17 shows an example of a table configuration of risk value calculation method list information 631 held in the risk evaluation determination information storage unit 63
  • FIG. 18 shows a table configuration of CVSS determination information 632.
  • the model definition support unit 51 refers to the risk value calculation method list information 631, displays the determination method as a selection item on the output device 2, and changes the input items in the model definition based on the input using the input device 1. To do.
  • the technique name 6311 is the name of the technique for calculating the risk value.
  • the reference information 6312 is specific determination information to be referred to according to the method name 6311.
  • the threat risk value calculation unit 53 refers to the CVSS determination information 632 to calculate a threat risk value.
  • Parameters 6321 are six items necessary for obtaining the basic value of CVSS.
  • the section 6322 indicates a range to be referred to for each parameter 6321.
  • the determination value 6323 indicates a value provided in the section 6322 in the parameter 6321.
  • FIG. 19 shows the overall processing flow in this embodiment from model definition to threat event extraction, threat risk value calculation, countermeasure priority determination, and threat risk value list output.
  • step 511 the model definition support unit 51 displays a risk evaluation method selection screen on the output device 2, and when a risk evaluation method is selected using the input device 1, the process proceeds to step 512 and the risk evaluation method is selected. If not, the process waits in step 511.
  • the model definition support unit 51 displays input items corresponding to the method name 6311 of the risk value calculation method list information 631 selected in step 511, and the risk evaluation independent information storage unit 61 and the risk evaluation dependent Based on information stored in advance in the information storage unit 62, information input via the input device 1 is converted into subsystem detailed information 6213, externally connected device information 6214, participant detailed information 6215, and internal device connection information 6216. By storing in the protected asset information 6217, a model to be evaluated is defined.
  • the threat extraction unit 52 includes information previously stored in the risk evaluation independent information storage unit 61 and the risk evaluation dependency information storage unit 62, and the subsystem detailed information 6213, the external device information 6214, Threats are extracted based on the information stored in the participant detailed information 6215, internal device connection information 6216, and protected asset information 6217, and registered in the threat event 6182 in the threat risk value information 618.
  • the threat risk value calculation unit 53 acquires each threat extracted in step 521 from the threat event 6182, and in step 512, subsystem detailed information 6213, externally connected device information 6214, participant detailed information 6215, Based on the information stored in the internal device connection information 6216 and the protected asset information 6217, the risk value of each threat is calculated and registered in the risk value 6183.
  • the countermeasure priority determination unit 54 calculates a priority based on the risk value 6183 and registers it in the threat risk value information 618.
  • the threat risk value information 618 may be arranged in order from the threat events having a high risk value to rank the priorities, or another method may be used.
  • the countermeasure priority determination unit 54 does not execute the countermeasure priority determination process when no threat event is extracted in step 521.
  • the threat risk evaluation creating unit 55 acquires the threat and risk value from the threat risk value information 618 that are prioritized in step 541, and displays them on the output device 2. For example, you may display on the output device 2 in order with a high priority. Alternatively, it may be output as a CSV file. Note that the threat risk evaluation creation unit 54 does not execute the threat risk evaluation result output process if no threat event is extracted in step 521.
  • the threat risk evaluation support apparatus can present the threat risk with a high countermeasure priority to the analyst.
  • FIG. 20 shows an outline process flow of the model definition process when CVSS is selected as an example of the risk determination method in step 512.
  • step 5121 the model definition support unit 51 displays a subsystem addition / deletion screen.
  • step 5122 the model definition support unit 51 proceeds to step 5123 if the addition or deletion of the subsystem is selected in step 5121, and proceeds to step 5124 if the addition or deletion of the subsystem is not selected. move on.
  • step 5123 the model definition support unit 51 adds the S-ID 6111 and the subsystem name 6112 of the subsystem classification information 611 based on the subsystem selected or added in step 5122, and validates the validity determination 6113.
  • step 5124 the model definition support unit 51 displays a parameter information registration screen for the subsystem on the output device 2.
  • step 5125 if the subsystem for registering parameter information using the input device 2 is selected in step 5124, the model definition support unit 51 proceeds to step 5125 and displays information input via the input device 1. It is stored in subsystem detailed information 6213, externally connected device information 6214, participant detailed information 6215, internal device connection information 6216, and protected asset information 6217. On the other hand, if the subsystem for registering the parameter information using the input device 2 is not selected in step 5124, the model definition support unit 51 waits for the processing in step 5125.
  • step 5126 the model definition support unit 51 ends this process when the parameter information registration processing of all subsystems is completed, and proceeds to step 5125 when there is a subsystem for which parameter information registration processing has not been completed.
  • the model definition support unit 51 can define a model to be evaluated.
  • FIG. 21 shows an outline processing flow of parameter information registration for the subsystem in the step 5125.
  • step 51251 the model definition support unit 51 registers the number of externally connected devices input to the subsystem using the input device 1 as the externally connected number 62132 of the subsystem detailed information 6213.
  • the model definition support unit 51 uses the input device 1 as the detailed information of the externally connected device according to the number of externally connected devices input in step 51251, as the externally connected device name 62143, route classification 62144, The number of authentications is 62145, and the number of participant types is 62145.
  • the route category 62144 may display selection items on the output device 1 based on the route category information 6211 and may be selected using the input device 1.
  • the model definition support unit 51 uses the input device 1 as the detailed information of the participants in the externally connected device according to the number of participant types input in step 51252.
  • 62153 is registered.
  • the participant category 62152 may display a selection item on the output device 2 based on the participant category information 614 and select the selected item using the input device 1.
  • the attack timing 62153 displays the life cycle corresponding to the life cycle type 6152 corresponding to the participant type 6151 on the output device 2 as a selection item based on the participant / life cycle / motivation correspondence information 615, and the input device 1 You may make it select using.
  • step 51254 the model definition support unit 51 uses the input device 1 to register the number of internally connected devices with which the subsystem communicates in the internally connected number 62133 of the subsystem detailed information 6213.
  • step 51255 the model definition support unit 51 registers the internal connection device 62163 and the authentication count 62164 as detailed information of the internal connection device using the input device 1 in accordance with the number of internal connection devices input in step 51254.
  • the internal connection device 62163 may display a selection item on the output device 2 based on the subsystem classification information 611 and select it using the input device 1.
  • step 51256 the model definition support unit 51 uses the input device 1 to register the number of protected assets in the subsystem in the number of protected assets 62134 of the subsystem detailed information 6213.
  • the model definition support unit 51 uses the input device 1 as the detailed information of the protected assets in accordance with the number of protected assets input in step 51256, and converts the protected asset name 62173, asset type 62174, and confidentiality.
  • the degree of influence 62175, the protection period 62176 and the data flow 62177 are registered.
  • selection items may be displayed on the output device 2 based on the asset type 6161 of the asset type / threat response information 616 and may be selected using the input device 1.
  • the confidentiality impact level 62175 may be selected using the input device 1 by displaying a selection item on the output device 2 based on the confidentiality impact level information 6212.
  • selection items may be displayed on the output device 2 based on the life cycle classification information 612 and may be selected using the input device 1.
  • the data flow 62177 may display a selection item on the output device 2 based on the subsystem classification information 611 and select it using the input device 1.
  • the model definition support unit 51 uses the input device 1 to register the ASIL value defined in the subsystem in the ASIL value 62135.
  • the ASIL value 62135 may be selected using the input device 1 by displaying a selection item on the output device 2 based on the ASIL division information 613.
  • step 51259 the model definition support unit 51 displays an activation screen indicating a subsystem in which parameter registration has been completed in the processing from step 51251 to step 51258.
  • parameter information for the subsystem selected in step 5125 can be registered.
  • FIG. 22 shows an outline processing flow of threat event extraction in the evaluation target in the above step 521.
  • step 52101 the threat extraction unit 52 acquires the subsystem name 6122 from the subsystem classification information 611.
  • step 52102 the threat extraction unit 52 proceeds to step 52103 when the subsystem name of the subsystem classification information 611 exists in the above step 52101, and ends this processing when the subsystem name of the subsystem classification information 611 does not exist. To do.
  • the threat extraction unit 52 acquires an unselected subsystem name 6122 in the subsystem classification information 611 as an attack target in the evaluation target. For example, the threat extraction unit 52 acquires the total number of subsystem names 6122 and increases the value of the counter every time the subsystem name 6122 is selected using a counter, so that the total number of subsystem names 6122 and the counter value are increased. May be acquired in the memory, and subsystem names 6122 that are not selected may be acquired by acquiring the subsystem names 6122 in order.
  • the threat extraction unit 52 corresponds to the S-ID 62141 of the external connection device information 6214 based on the S-ID 6111 of the subsystem classification information 611 as the external connection device corresponding to the subsystem acquired in step 52103.
  • the name of the externally connected device 62143 that has not been selected is acquired.
  • the threat extraction unit 52 acquires the total number of externally connected device names 62143 corresponding to the subsystem acquired in step 52103 and increases the counter value each time the externally connected device name 62143 is selected using a counter. Then, the total number of the externally connected device names 62143 and the counter value may be held in the memory, and the externally connected device names 62143 may be acquired in order to acquire the externally connected device names 62143 that are not selected.
  • the threat extraction unit 52 corresponds to the E-ID 62151 of the participant detailed information 6215 based on the E-ID 62141 of the externally connected device information 6214 as a participant related to the externally connected device acquired in the above step 52104.
  • the participant name 6142 is acquired from the participant category information 614 with reference to the participant category 62152 that is not selected.
  • the threat extraction unit 52 acquires the total number of participant names 6142 corresponding to the externally connected devices acquired in step 52104, and increases the value of the counter each time the participant name 6142 is selected using the counter.
  • the total number of the participant names 6142 and the counter value may be held in a memory, and the participant names 6142 that are not selected may be acquired by acquiring the participant names 6142 in order.
  • the threat extraction unit 52 refers to the attack timing 62153 that is not selected based on the participant classification 62152 of the participant detailed information 6215 as the attack timing of the participant acquired in step 52105, and determines the life cycle.
  • the life cycle name 6122 of the division information 612 is acquired.
  • the threat extraction unit 52 acquires the total number of attack timings 62153 corresponding to the participants acquired in step 52105, and increases the counter value each time the attack timing 62153 is selected using the counter.
  • the attack timing 62153 which is not selected may be acquired by holding the total number of timings 62153 and the counter value in the memory and acquiring the attack timings 62153 in order.
  • the threat extraction unit 52 uses the participant classification 6151 of the participant / life cycle / motivation correspondence information 615 based on the participant classification 62152 of the participant detailed information 6215 as the motive of the participant acquired in 52105. To obtain the motivation 6153 that is not selected. For example, the threat extraction unit 52 acquires the total number of motivation 6153 corresponding to the participant acquired in step 52105 and increases the value of the counter each time the motivation 6153 is selected using the counter. The motivation 6153 which is not selected may be acquired by holding the total number and the counter value in the memory and acquiring the motivation 6153 in order.
  • the threat extraction unit 52 selects, as a protected asset corresponding to the subsystem acquired in step 52103, the S-ID 62171 of the protected asset information 6217 based on the S-ID 6111 of the subsystem classification information 611.
  • An unprotected asset name 62173 is acquired.
  • the threat extraction unit 52 acquires the total number of protected asset names 62173 corresponding to the subsystem acquired in step 52103 above, and increases the value of the counter each time the protected asset name 62173 is selected using the counter.
  • the total number of the protected asset names 62173 and the counter value may be held in a memory, and the protected asset names 62173 may be acquired in order to acquire the protected asset names 62173 that are not selected.
  • the threat extraction unit 52 corresponds to the asset type 6161 of the asset type / threat correspondence information 616 based on the asset type 62174 of the protected asset name 62173 as the threat corresponding to the protected asset acquired in step 52108.
  • An unselected threat 6162 is acquired.
  • the threat extraction unit 52 acquires the total number of threats 6162 corresponding to the protected assets acquired in step 52108 and increases the counter value each time the threat 6162 is selected using the counter.
  • the unselected threat 6162 may be acquired by holding the total number and the counter value in the memory and acquiring the threats 6162 in order.
  • the threat extraction unit 52 acquires the influence content 6173 corresponding to the threat 6171 of the threat list information 617 as the influence content corresponding to the threat acquired in step 52109.
  • the threat extraction unit 52 acquires the total number of the influence contents 6173 corresponding to the threat obtained in the above step 52109, and increases the counter value each time the influence contents 6173 are selected using the counter.
  • the total number of 6173 and the counter value may be held in the memory, and the influence contents 6173 that are not selected may be obtained by obtaining the influence contents 6173 in order.
  • step 52111 when the attack timing acquired in step 52106 exists in the life cycle 6174 corresponding to the influence content acquired in step 52110, the threat extraction unit 52 proceeds to step 52112, and the attack timing acquired in step 52106. Is not present in the life cycle 6174 corresponding to the influence content acquired in step 52110, the process proceeds to step 52113.
  • the threat extraction unit 52 registers the attack target, external connection device, participant, attack timing, motivation, protected asset, threat, and influence content acquired in step 52103 to step 52110 in the threat event 6182.
  • the “participant” “threats” the “protected asset” via the “external device” at the “motivation” at the “attack timing”. " May be created and registered in threat event 6182.
  • the threat extraction unit 52 registers an S-ID for identifying an attack target, an E-ID for identifying an externally connected device, and a P-ID for identifying a protected asset in S-ID 6184, E-ID 6185, and P-ID 6186. .
  • step 52113 the threat extraction unit 52 compares the total number of influence contents 6173 held in the memory in step 52110 with the counter value. If the total number of influence contents 6173 and the counter value are equal, the threat extraction unit 52 deletes the counter value and proceeds to step 52114. If the total number of influence contents 6173 and the counter value are not equal, the threat extraction unit 52 proceeds to step 52110. .
  • step 52114 the threat extraction unit 52 compares the counter value with the total number of threats 6162 held in the memory in step 52109. If the counter value is equal to the total number of threats 6162, the threat extraction unit 52 deletes the counter value and proceeds to Step 52115. If the total number of threats 6162 and the counter value are not equal, the threat extraction unit 52 proceeds to Step 52109.
  • step 52115 the threat extraction unit 52 compares the counter value with the total number of protected asset names 62173 held in the memory in step 52108. If the total number of protected asset names 62173 is equal to the counter value, the threat extraction unit 52 deletes the counter value and proceeds to step 52116. If the total number of protected asset names 62173 and the counter value are not equal, the threat extraction unit 52 proceeds to step 52108. .
  • step 52116 the threat extraction unit 52 compares the counter value with the total number of motivation 6153 held in the memory in step 52107. If the total number of motives 6153 is equal to the counter value, the threat extraction unit 52 deletes the counter value, and the process proceeds to step 52117. If the total number of motives 6153 and the counter value are not equal, the process proceeds to step 52107.
  • step 52117 the threat extraction unit 52 compares the counter value with the total number of attack timings 62153 held in the memory in step 52106. If the counter value is equal to the total number of attack timings 62153, the threat extraction unit 52 deletes the counter value and proceeds to step 52118. If the total number of attack timings 62153 and the counter value are not equal, the threat extraction unit 52 proceeds to step 52106.
  • step 52118 the threat extraction unit 52 compares the counter value with the total number of participant names 6142 held in the memory in step 52105. If the total number of participant names 6142 and the counter value are equal, the threat extraction unit 52 deletes the counter value and proceeds to step 52119. If the total number of participant names 6142 and the counter value are not equal, the threat extraction unit 52 proceeds to step 52105. .
  • step 52119 the threat extraction unit 52 compares the counter value with the total number of externally connected device names 62143 held in the memory in step 52104. When the total number of externally connected device names 62143 is equal to the counter value, the threat extraction unit 52 deletes the counter value, and proceeds to step 52120. When the total number of externally connected device names 62143 is not equal to the counter value, the above step 52104 is performed. Proceed to
  • step 52120 the threat extraction unit 52 compares the counter value with the total number of subsystem names 6122 held in the memory in step 52103. If the total number of subsystem names 6122 is equal to the counter value, the threat extraction unit 52 deletes the counter value, ends this processing, and if the total number of subsystem names 6122 is not equal to the counter value, the threat extraction unit 52 proceeds to step 52103 above. move on.
  • threat events in the evaluation target can be extracted in the above step 521.
  • FIG. 23 shows an outline processing flow for calculating the risk value of the threat event extracted in step 531.
  • step 5310 the threat risk value calculation unit 53 obtains S-ID 6184, E-ID 6185, P-ID 6186, and threat type 6187 of the threat events for which risk values have not been calculated from the threat events 6182 extracted in step 521. get.
  • step 5311 if the threat risk value calculation unit 53 stores S-ID 6184, E-ID 6185, P-ID 6186, and threat type 6187 of the threat event in the threat event 6182 in step 5310, the process proceeds to step 5312. If S-ID 6184, E-ID 6185, P-ID 6186, and threat type 6187 of the threat event are not stored in event 6182, this processing ends.
  • the threat risk value calculation unit 53 acquires the route segment 62144 corresponding to the E-ID 6185 acquired in step 5310, refers to the segment 6322 in the parameter 6321 of the CVSS determination information 632, and determines the determination value 6323. To get. *
  • the threat risk value calculation unit 53 obtains the minimum value from the authentication count 62145 corresponding to the E-ID 6185 acquired in step 5312 and the internal connection device 62163 corresponding to the S-ID 6184 acquired in step 5310.
  • the total number of authentication times 62164 is “m”, “unnecessary” when m is 0, “single” when m is 1, “multiple” when m is 2 or more, and CVSS determination information
  • the determination value 6323 is obtained by referring to the section 6322 in Au of the parameter 6321 of 632.
  • step 5315 the threat risk value calculation unit 53 “C: influence on confidentiality”, “I: influence on integrity”, “A: availability” according to the threat type 6187 acquired in step 5310.
  • the calculation method of the “effect level” is changed, and the determination value 6323 is acquired.
  • step 5316 the threat risk value calculation unit 53 substitutes the judgment value 6323 obtained in steps 5312 to 5315 in the CVSS basic value calculation formula, and registers the calculation result as the risk value 6183.
  • step 5317 if the threat risk value calculation unit 53 has calculated the risk values 6183 in all the threat events 6182 in steps 5310 to 5316, the present processing is terminated, and in steps 5310 to 5316, all If the risk value 6183 for the threat event 6182 is not calculated, the process proceeds to step 5310.
  • the risk value of the threat event extracted in step 531 can be calculated.
  • FIG. 24 calculates “C: influence on confidentiality”, “I: influence on integrity”, and “A: influence on availability” in step 5315 according to the threat type 6187. An outline processing flow is shown.
  • step 531501 if the threat type 6187 acquired in step 5310 is “reference”, the threat risk value calculation unit 53 proceeds to step 531502, and the threat type 6187 is “tampered”, “deleted”, or “executed”. In this case, the process proceeds to step 531505, and if the threat type 6187 is “communication interruption”, the process proceeds to step 531509.
  • step 531502 the threat risk value calculation unit 53 sets the degree of influence on integrity and the degree of influence on availability to “0”.
  • step 531503 the threat risk value calculation unit 53 acquires the degree of influence 62175 on the confidentiality of the P-ID 6186 acquired in step 5310.
  • the threat risk value calculation unit 53 refers to the classification 6322 in C of the parameter 6321 of the CVSS determination information 632 based on the confidentiality influence level 62175 acquired in step 531504, and sets the determination value 6323. get.
  • step 531505 the threat risk value calculation unit 53 sets the degree of influence on confidentiality to “0”.
  • step 531506 the threat risk value calculation unit 53 acquires the S-ID 62131 stored as the data flow 62177 of the P-ID 6186 acquired in step 5310.
  • step 531507 the threat risk value calculation unit 53 acquires the highest ASIL value 62135 from the S-ID 62131 acquired in step 531507.
  • the threat risk value calculation unit 53 refers to the classification 6322 in I and A of the parameter 6321 of the CVSS determination information 632 based on the highest ASIL value 62135 acquired in step 531507, and determines the determination value 6323. Get each.
  • step 531509 the threat risk value calculation unit 53 sets the influence degree to confidentiality and the influence degree to integrity to “0”.
  • step 531510 the threat risk value calculation unit 53 acquires the corresponding ASIL value 62135 based on the S-ID 6184 acquired in step 5310.
  • the threat risk value calculation unit 53 refers to the section 6322 in A of the parameter 6321 of the CVSS determination information 632 based on the ASIL value 62135 acquired in step 531510, and acquires the determination value 6323.
  • step 5315 “C: impact on confidentiality”, “I: impact on integrity”, and “A: impact on availability” are calculated according to threat type 6187. it can.
  • FIG. 25 shows a risk evaluation method selection screen displayed in step 511
  • FIG. 26 shows a subsystem change screen displayed in step 5121
  • FIG. 27 shows subsystem parameter information registration displayed in step 5124. An example of a screen is shown.
  • the model definition support unit 51 selects a risk evaluation method to be used (step 511).
  • the risk evaluation method 51002 may be selected in a pull-down format based on the method name 6311 of the risk value calculation method list information 631.
  • a next button 51001 is pressed to shift to the screen in FIG.
  • the model definition support unit 51 selects or adds a subsystem to be evaluated (step 5121).
  • the subsystem selection item 51004 may be selected in a radio box format based on the subsystem name 6112 of the subsystem classification information 611.
  • the model definition support unit 51 inputs the subsystem using the input device 1 and registers it in the subsystem classification information 611.
  • the return button 51003 is pressed, the screen of FIG. 25 is displayed.
  • the next button 51006 is pressed, the screen of FIG. 27 is displayed.
  • the model definition support unit 51 displays the subsystem selected or added in step 5121 on the output device 2 in a deactivated state, and selects a subsystem for inputting detailed parameter information (step 5124). ).
  • the information system subsystem object 51007 may be pressed as a subsystem to display the screen of FIG. 28 in a pop-up format.
  • the return button 51006 is pressed, the screen returns to the screen of FIG.
  • FIG. 28 shows the externally connected device number registration screen displayed in step 51251
  • FIG. 29 shows the externally connected device detailed information registration screen displayed in step 51252
  • FIG. 30 shows the participants displayed in step 5163. An example of a detailed information registration screen is shown.
  • the model definition support unit 51 registers the number of externally connected devices (step 51251). For example, addition or subtraction may be performed using a selection button like the number of externally connected devices 51,090, or direct input may be performed using the input device 1.
  • the return button 51008 is pressed, the pop-up screen is closed and the screen returns to the screen of FIG. 27.
  • the next button 51010 is pressed, the screen of FIG. 29 is displayed.
  • the model definition support unit 51 inputs detailed information of the externally connected device (step 51252).
  • the name 51012 may be directly input using the input device 1, and the route segment 51013 may be selected in a pull-down format based on the route 62112 of the route segment information 6211.
  • the authentication count 51014 and the number of participant types 51015 may be added or subtracted using a selection button.
  • the screen of FIG. 30 is displayed. If all the external connection devices 51016 to be input have not been input, the input is performed. The cursor is moved to the externally connected device 51016 that has not been displayed, and a screen for inputting the input item 51015 from the input item 51012 is displayed in the same manner as described above.
  • the return button 51011 When the return button 51011 is pressed, if no external connection device 51016 to be input has been input, or if there is only one external connection device 51016 to be input, the screen of FIG. When there are a plurality of target external connection devices 51016 and at least one input has been completed, the cursor is moved from the external connection device 51016 to which the cursor is currently positioned to the previous external connection device 51016, and the same as described above. A screen for inputting the input item 51019 and the input item 51020 is displayed.
  • the model definition support unit 51 inputs detailed information of the participants (step 51253).
  • the participant name 51019 may select the participant name 6142 in a pull-down format based on the participant category 62152 corresponding to the externally connected device, and the attack timing 51020 selects the attack timing 62153 of the participant category 62152.
  • An item may be selected in a radio button format.
  • FIG. 31 shows an example of the internal device number registration screen displayed in step 51254
  • FIG. 32 shows an example of the internal device detailed information registration screen displayed in step 51255.
  • the model definition support unit 51 inputs the number of internally connected devices (step 51254).
  • the number of internally connected devices 51024 may be added or subtracted using a selection button.
  • the return button 51023 is pressed, the screen returns to the screen of FIG. 30, and when the next button 51025 is pressed, the screen of FIG. 32 is displayed.
  • the model definition support unit 51 inputs detailed information of the internal connection device (step 51255).
  • the name 51027 may be selected in a pull-down format based on the subsystem name 6112 of the subsystem classification information 611, and the authentication count 51028 may be added or subtracted using a selection button.
  • the next button 51030 is pressed, if all the internal connection devices 51029 to be input have been input, the screen of FIG. 33 is displayed, and if all the internal connection devices 51029 to be input have not been input, the input is performed.
  • a screen for inputting the input item 51027 and the input item 51028 is displayed in the same manner as described above, and when the return button 51026 is pressed, the internal connection device 51029 to be input is If no input has been completed, or if there is only one internal connection device 51029 to be input, the screen of FIG. 31 is displayed, and there are a plurality of internal connection devices 51029 to be input, and even one has been input. In the case of, the internal connection device 5102 of the previous one from the internal connection device 51029 on which the cursor is currently positioned.
  • FIG. 33 shows the protected asset number registration screen displayed in step 51256
  • FIG. 34 shows the protected asset detailed information registration screen displayed in step 51257
  • FIG. 35 shows the ASIL information registration screen displayed in step 5168. An example is shown.
  • the model definition support unit 51 registers the number of protected assets (step 51256). For example, the number of protected assets 51032 may be added or subtracted using a selection button.
  • the return button 51031 is pressed, the screen returns to the screen of FIG. 32, and when the next button 51033 is pressed, the screen of FIG. 34 is displayed.
  • the model definition support unit 51 inputs detailed information on the protected assets (step 51257).
  • the asset name 51035 may be directly input using the input device 1, and the asset type 51036 may be selected in a pull-down format based on the asset type 6161 of the asset type / threat correspondence information 616.
  • (Confidentiality) 51037 may be selected in a pull-down format based on the influence degree 62122 of the influence degree information 6212 on confidentiality
  • the attack timing 51038 is a check box based on the life cycle name 6122 of the life cycle classification information 612.
  • the data flow 51039 may be selected in a pull-down format based on the subsystem name 6112 of the subsystem classification information 611.
  • the current cursor is set. Move the cursor from the protected asset 51041 to the previous protected asset 51041, and the same as above To display the screen to enter the input item 51040 from the input item 51035.
  • the model definition support unit 51 inputs an ASIL value (step 51258).
  • the selection may be made in a pull-down format based on the ASIL value 6132 of the ASIL classification information 613.
  • the return button 51043 is pressed, the screen returns to the screen of FIG. 34, and when the completion button 51045 is pressed, the same screen displayed as a pop-up is closed.
  • FIG. 36 shows an example of the registered subsystem activation screen displayed in step 51259
  • FIG. 37 shows an example of the threat risk evaluation execution screen displayed in step 521. 36 and FIG. 37 are obtained by updating the display contents of FIG. 27 based on steps 5125 to 5126.
  • the model definition support unit 51 adds a route line 51046 and an externally connected device object 51047 to the subsystem object 51048 selected at step 5125 based on the parameters input at step 51251 to step 51258.
  • the subsystem object 51048 is activated and displayed (step 51259).
  • the threat extraction unit 52 displays a screen for executing the extraction of the threat event and the calculation of the threat risk value as the threat risk evaluation (step 521).
  • the risk evaluation button 51049 is pressed, the processing from step 521 to step 541 is executed.
  • FIG. 38 shows an example of the threat risk evaluation result screen displayed in step 551 above.
  • the threat extraction unit 52 displays the threat event, risk value, and priority on the screen as a result of the threat risk evaluation in the processing from step 511 to step 541 (step 551).
  • the threats and risk values of the threat risk value information 618 that are prioritized in step 541 may be displayed in a table format.
  • a display method may be selected in a pull-down format based on the entire evaluation target and the subsystem name 6112 of the subsystem classification information 611, and the threat risk evaluation result of the entire evaluation target may be displayed. Then, the threat risk evaluation result in each subsystem may be displayed.
  • this threat risk evaluation support device automatically extracts threats in the evaluation target and automatically calculates the risk value of the threat without depending on the security knowledge and experience of the analyst, and sends each threat to the analyst. Risk value can be presented.
  • this embodiment is described for an in-vehicle network
  • this threat risk assessment support device is not limited to this, and can also be applied to threat risk assessment for control systems and information systems. It is.

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Hardware Design (AREA)
  • Computer Security & Cryptography (AREA)
  • General Engineering & Computer Science (AREA)
  • Software Systems (AREA)
  • Theoretical Computer Science (AREA)
  • Physics & Mathematics (AREA)
  • General Physics & Mathematics (AREA)
  • Computing Systems (AREA)
  • Management, Administration, Business Operations System, And Electronic Commerce (AREA)

Abstract

　分析者の熟練度に依存せずに、脅威リスク値を算出できる脅威リスク評価支援装置及び方法を提供する。　モデル定義支援部は、選択されたリスク評価手法に応じた入力支援を行うとともに、設計書から得られる外部接続機器数、経路情報、サブシステム間の認証回数、保護資産の機密性影響度、サブシステムに設定されたＡＳＩＬをリスク評価依存情報記憶部のサブシステム詳細情報、外部接続機器情報、内部接続機器情報、保護資産情報に格納する。脅威抽出部と脅威リスク値計算部は、本脅威リスク評価支援装置が予め保持するリスク評価非依存情報記憶部と前記リスク評価依存情報記憶部に格納された情報をもとに、選択されたリスク評価手法を用いて脅威抽出及び脅威リスク値の算出を行う。

Description

セキュリティ上の脅威を評価する評価装置及びその方法
　本発明は、車載ネットワークシステムの設計者が、評価対象モデルの定義時に、ツールの入力指示に従ってリスク評価に必要となるデータを、設計書のような客観的に入力可能な情報をもとに定義することにより、分析者の熟練度に依存せずに自動的に脅威のリスク値を算出する装置及び方法に関する。
　情報システムの分野と同様に、自動車の車載ネットワーク、及び車載ネットワークに接続される電子制御装置の設計において、適切なセキュリティ機能が正しく実装されていることを確認できることが求められている。
　例えば、情報システムの分野では、セキュリティ製品（ハード/ソフトウェア）およびシステムの開発や製造、運用などに関する国際標準であるＩＳＯ／ＩＥＣ１５４０８が、セキュリティ実装の保証レベルを向上させるために活用されている。ＩＳＯ／ＩＥＣ１５４０８では、セキュリティ上の脅威に対する分析である脅威分析に基づいたセキュリティ要求仕様を策定し、定められたフォーマットでセキュリティ要求仕様書（ＳＴ：Ｓｅｃｕｒｉｔｙ Ｔａｒｇｅｔ）を作成することが求められる。ＳＴでは、システム或いは装置に想定されるセキュリティ上の脅威であるセキュリティ脅威を抽出し、当該脅威に対して技術的あるいは運用的な対策が行われていることを示す必要がある。このような脅威分析では、過不足なくセキュリティ機能を実装することが重要である。このため、抽出されたセキュリティ上の脅威に対してリスク評価を行い、リスクの高い脅威に対して対策を行うことが求められる。
　例えば、脅威のリスクを評価する装置として、特開２００９－２３０２７８号公報には、予め、ツール開発者が脅威に対して被害の大きさ（機密性、完全性、可用性）を数値化する。そして、脅威リスク評価時に、分析者が脅威の発生確率を数値化し、ツールが抽出した脅威における、「被害の大きさ」と「発生確率」の積を、その脅威の脅威リスク値として算出する技術が開示されている。
特開２００９－２３０２７８号公報
　特許文献１に記載されている技術は、実際に運用しているシステム或いは装置のように、発生確率が事前に分かっている場合において、各脅威に対するリスクを求めることができる。しかし、設計時においては、システム或いは装置における脅威の発生確率は分からない。このため、システム或いは装置における脅威の発生確率を数値化するためには、セキュリティに関する知識や経験が必要であり、リスク分析者に高い熟練度が要求されてしまう。
　本発明は、以上の問題に鑑みなされたものであり、分析者がリスクの高い脅威を分析者の熟練度に依存せずに判定できることを目的とする。
　上記目的を達成するために、本発明の一つの観点から、評価対象となるシステムに対するセキュリティ上の脅威を評価する評価装置が提供される。当該評価装置は、システムにおける複数の設計項目に関する設計情報が入力される入力部と、セキュリティ上の脅威に関する複数の評価項目と入力部より入力された複数の設計項目に関する情報とを対応付けて格納する格納部と、複数の設計項目に関する情報に基づいて、システムにおけるセキュリティ上の脅威を抽出し、複数の設計項目に関する情報に対応付けられた評価項目に基づいて、抽出した脅威に対するセキュリティ上の脅威の大きさを示す値である脅威リスク値を算出し、抽出されたシステムにおける脅威と、該脅威に対する脅威リスク値とを表示部に表示させる制御部と、を有する。
　より好ましくは、入力部に入力されるシステムにおける複数の設計項目に関する情報は、システムにおける評価対象とするサブシステムに関する情報であり、サブシステムに関する情報は、サブシステムの外部接続機器情報、サブシステムの外部接続機器の数を示す外部接続機器数情報、サブシステムと外部接続機器との間の経路種別情報、サブシステムと外部接続機器との間で通信する際に発生する認証回数情報、セキュリティ上の脅威を発生させる可能性のある関与者種別情報、及び、保護資産に関する保護資産情報、である。　
　本発明の別の観点によれば、評価対象となるシステムに対するセキュリティ上の脅威を評価する装置における評価方法が提供される。当該評価方法における装置は、システムにおける複数の設計項目に関する設計情報を受け付け、セキュリティ上の脅威に関する複数の評価項目と受け付けた複数の設計項目に関する情報とを対応付け、複数の設計項目に関する情報に基づいて、システムにおけるセキュリティ上の脅威を抽出し、複数の設計項目に関する情報に対応付けられた評価項目に基づいて、抽出した脅威に対するセキュリティ上の脅威の大きさを示す値である脅威リスク値を算出し、抽出されたシステムにおける脅威と、該脅威に対する脅威リスク値とを表示部に表示させる。
　より好ましくは、装置が受け付けるシステムにおける複数の設計項目に関する情報は、システムにおける評価対象とするサブシステムに関する情報であり、サブシステムに関する情報は、サブシステムの外部接続機器情報、サブシステムの外部接続機器の数を示す外部接続機器数情報、サブシステムと外部接続機器との間の経路種別情報、サブシステムと外部接続機器との間で通信する際に発生する認証回数情報、セキュリティ上の脅威を発生させる可能性のある関与者種別情報、及び、保護資産に関する保護資産情報、である。
　本発明によれば、設計書から得られる情報を入力に用いて脅威の抽出、及び、当該脅威のリスク値の算出を行うことができ、分析者に各脅威のリスク値を提示することが可能になる。これにより、分析者のセキュリティに関する知識や経験に依存せずに、脅威リスクを評価できる。
脅威リスク評価支援装置の構成を示す図 リスク評価非依存情報におけるサブシステム区分情報のテーブル構成を示す図 リスク評価非依存情報におけるライフサイクル区分情報のテーブル構成を示す図 リスク評価非依存情報におけるＡＳＩＬ区分情報のテーブル構成を示す図 リスク評価非依存情報における関与者区分情報のテーブル構成を示す図 リスク評価非依存情報における関与者・ライフサイクル・動機対応情報のテーブル構成を示す図 リスク評価非依存情報における資産種別・脅威対応情報のテーブル構成を示す図 リスク評価非依存情報における脅威一覧情報のテーブル構成を示す図 リスク評価非依存情報における脅威リスク値情報のテーブル構成を示す図 リスク評価依存情報における経路区分情報のテーブル構成を示す図 リスク評価依存情報における機密性への影響度情報のテーブル構成を示す図 リスク評価依存情報におけるサブシステム詳細情報のテーブル構成を示す図 リスク評価依存情報における外部接続機器情報のテーブル構成を示す図 リスク評価依存情報における関与者詳細情報のテーブル構成を示す図 リスク評価依存情報における内部接続機器情報のテーブル構成を示す図 リスク評価依存情報における保護資産情報のテーブル構成を示す図 リスク値算出手法一覧情報のテーブル構成を示す図 リスク評価判定情報におけるＣＶＳＳ判定情報のテーブル構成を示す図 脅威リスク評価における全体処理シーケンスを示す図 モデル定義時における処理シーケンスを示す図 サブシステムの詳細情報登録時における処理シーケンスを示す図 脅威事象抽出時における処理シーケンスを示す図 リスク値算出時における処理シーケンスを示す図 ＣＩＡ算出じにおける処理シーケンスを示す図 モデル定義時におけるリスク評価手法の選択の画面例を示す図 サブシステムの選択追加の画面例を示す図 編集するサブシステムの選択の画面例を示す図 モデル定義時における外部接続機器数の入力の画面例を示す図 モデル定義時における外部接続機器の詳細情報入力の画面例を示す図 モデル定義時における関与者の詳細情報入力の画面例を示す図 モデル定義時における内部接続機器数の入力の画面例を示す図 モデル定義時における内部接続機器の詳細情報入力の画面例を示す図 モデル定義じにおける保護資産数の入力の画面例を示す図 モデル定義じにおける保護資産の詳細情報の入力の画面例を示す図 モデル定義時におけるサブシステムのＡＳＩＬ情報の入力の画面例を示す図 モデル定義時における定義済みサブシステム表示の画面例を示す図 モデル定義時におけるリスク評価実行可能状態の表示の画面例を示す図 脅威リスク評価結果の画面例を示す図
　以下、図面を用いて本発明の実施の形態を詳細に説明する。
　本実施形態では、本脅威リスク評価支援装置により、設計書或いは周知の情報をもとに共通脆弱性評価システム（ＣＶＳＳ：Ｃｏｍｍｏｎ　Ｖｕｌｎｅｒａｂｉｌｉｔｙ　Ｓｃｏｒｉｎｇ　Ｓｙｓｔｅｍ）を用いたリスク値算出に必要となるデータを入力させ、予め保持するデータと、ＣＶＳＳを用いたリスク値算出に必要なデータとを関連付けて管理することにより、評価対象における脅威の抽出、及び当該脅威のリスク値を自動的に算出可能な脅威リスク評価支援装置及び方法の例を用いる。ただし、本発明の技術的思想は、この例に限定されるものではない。
　図１は本発明の実施形態における脅威リスク評価支援装置９９の構成を示す。脅威リスク評価支援装置９９は、脅威リスク評価支援装置９９が入力装置１及び出力装置２と入出力制御部３を介して接続され、入出力制御部３、ＣＰＵ４、メモリ５、ディスク６がバス７を介して互いに接続されている。入力装置１は、例えばキーボードやマウスやスキャナなどであり、脅威リスク評価支援装置の利用者からの入力を受け付ける。出力装置２は、例えばディスプレイであり、脅威リスク評価支援装置による、途中経過および評価結果を出力する。
　入出力制御部３は、脅威リスク評価支援装置における入出力を制御する。ＣＰＵ４は、装置内の各ハードウェアを制御しプログラムを実行する。メモリ５では、評価対象のモデル定義を支援するモデル定義支援部５１、評価対象における脅威を抽出する脅威抽出部５２、抽出した脅威におけるリスク値を算出する脅威リスク値算出部５３、脅威リスク値をもとに優先度を決定する対策優先度判定部５４、出力装置に出力する脅威リスク評価結果を作成する脅威リスク評価作成部５５、前記入力装置１から入力される要求に応じて出力する脅威リスク評価結果の一覧を並べ替える脅威リスク一覧並べ替え部５６が、プログラムとして動作することを想定する。
　ディスク６は、例えばハードディスクドライブなどの不揮発性記憶装置であり、リスク評価手法に依存しないリスク評価非依存情報記憶部６１、リスク評価手法に依存するリスク評価依存情報記憶部６２、リスク評価手法における判定情報としてリスク評価判定情報記憶部６３を備える。
　リスク評価非依存情報記憶部６１では、車載システムにおけるサブシステムの区分を示すサブシステム区分情報６１１、自動車のライフサイクルの区分を示すライフサイクル区分情報６１２、自動車の装置やシステムにおける機能安全の基準であるＡＳＩＬ（Ａｕｔｏｍｏｔｉｖｅ　Ｓａｆｅｔｙ　Ｉｎｔｅｇｒｉｔｙ　Ｌｅｖｅｌ）の区分を示すＡＳＩＬ区分情報６１３、自動車における関与者の区分を示す関与者区分情報６１４、関与者と、ライフサイクルと、動機とを関連付けた関与者・ライフサイクル・動機対応情報６１５、資産の種類と対応する脅威を関連付けた資産種別・脅威対応情報６１６、脅威事象を導くために、脅威の種類と、脅威内容と、影響範囲と、起こりえるライフサイクルを関連付けた脅威一覧情報６１７、脅威と当該脅威のリスク値を保持する脅威リスク値情報６１８を保持する。
　前記リスク評価依存情報記憶部６２では、リスク値算出手法の要件に合わせた入力用テーブルを保持する。例えば、ＣＶＳＳを用いる場合では、攻撃対象に対する攻撃経路の区分を示す経路区分情報６２１１、評価対象における機密性への影響度を示す機密性への影響度情報６２１２、評価対象におけるサブシステムの詳細情報を示すサブシステム詳細情報６２１３、評価対象と繋がる外部接続機器を示す外部接続機器情報６２１４、外部接続機器を利用する関与者を示す関与者詳細情報６２１５、攻撃対象と通信する内部接続機器を示す内部接続機器情報６２１６、攻撃対象における保護資産を示す保護資産情報６２１７を保持する。
　前記リスク評価判定情報記憶部６３では、リスク値算出手法の一覧としてリスク値算出手法一覧情報６３１、リスク評価手法を用いたリスク値算出に用いる判定情報として例えばＣＶＳＳ判定情報６３１を保持する。
　図２に、リスク評価非依存情報記憶部６１に保持されているサブシステム区分情報６１１、図３にライフサイクル区分情報６１２、図４にＡＳＩＬ区分情報６２３のテーブル構成の一例を示す。
　モデル定義支援部５１は、評価対象におけるサブシステムを選択する際、サブシステム区分情報６１１を参照して選択項目としてサブシステム名６１１２を出力装置２に表示するとともに、入力装置１を用いて追加されたサブシステムをサブシステム区分情報６１１に追加する。Ｓ－ＩＤ６１１１は、サブシステムを識別するための固有値である。サブシステム名６１１２は、サブシステムの名称である。有効判定６１１３は、Ｓ－ＩＤ６１１１のサブシステムがモデルに含まれるかどうかを示す。例えば、Ｓ－ＩＤ６１１１のサブシステムがモデルに含まれる場合は、「○」とし、Ｓ－ＩＤ６１１１のサブシステムがモデルに含まれない場合は、「×」としてもよい。車載システムとサブシステムとしては、ＧＷ（ＧａｔｅＷａｙ）、情報系サブシステム、エンジン駆動系サブシステム、ボディ系サブシステム、シャーシ系サブシステムなどがある。
　モデル定義支援部５１は、保護資産情報６２１７における保護期間６２１７６の選択の際、ライフサイクル区分情報６１２を保護期間の選択項目として参照する。Ｌ－ＩＤ６１２１は、ライフサイクルを識別するための固有値である。ライフサイクル名６１２２は、自動車におけるライフサイクルの名称である。
　モデル定義支援部５１は、サブシステムにおけるＡＳＩＬ値を入力する際、ＡＳＩＬ区分情報６１３を参照して選択項目として出力装置２に表示する。ＡＳＩＬ－ＩＤ６１３１は、ＡＳＩＬの区分を識別するための固有値である。ＡＳＩＬ値６１３２は、自動車におけるＡＳＩＬ値の区分である。
　図５に、リスク評価非依存情報記憶部６１に保持されている、関与者区分情報６１４、図６に関与者・ライフサイクル・動機対応情報６１５のテーブル構成の一例を示す。
　モデル定義支援部５１は、関与者詳細情報６２１５における関与者区分を選択する際、関与者区分情報６１５を参照して選択項目として出力装置２に表示するとともに、入力装置１を用いて選択された関与者を関与者区分６２１５２に登録する。Ｗ－ＩＤ６１４１は、関与者を識別するための固有値である。
　モデル定義支援部５１は、関与者詳細情報を入力する際、関与者とそれに対応する攻撃タイミングの選択項目としてライフサイクル種別６１５２を参照して出力装置２に表示し、脅威抽出部５２は、脅威を抽出する際、関与者に対応する動機を動機６１５３から抽出する。関与者種別６１５１は、関与者を識別する固有値であり、関与者区分情報６１４におけるＷ－ＩＤ６１４１を参照することで、関与者名を特定できる。ライフサイクル種別６１５２は、関与者種別６１５１が示す関与者に関連するライフサイクルである。動機６１５３は、関与者種別６１５１が示す関与者が関連する動機である。
　図７に、リスク評価非依存情報記憶部６１に保持されている資産種別・脅威対応情報６１６、図８に脅威一覧情報６１７、図９に脅威リスク値情報６１８のテーブル構成の一例を示す。
　脅威抽出部５２は、資産種別・脅威対応情報６１６を参照し、保護資産の種別に応じて、対応する脅威を抽出する。資産種別６１６１は、保護資産の資産種別である。脅威６１６２は、資産種別６１６１に対して発生しうる脅威である。なお、本テーブルは一例であり、資産種別や脅威の項目についてはこの限りではない。
　脅威抽出部５２は、資産種別・脅威対応情報６１６における脅威６１６２を選択し、その脅威に対応する影響範囲、影響内容を抽出する。脅威６１７１は、脅威の一覧である。影響範囲６１７２は、脅威６１７１の影響が自信のみか、通信先にも影響するかを示すものである。影響内容６１７３は、脅威６１７１が発生した場合の影響内容である。ライフサイクル６１７４は、脅威６１７１が発生するタイミングである。
　対策優先度判定部５４は、脅威リスク値情報６１８を参照して対策優先度の高い脅威を抽出する。Ｔ－ＩＤ６１８１は、脅威事象を識別するための固有値である。脅威事象６１８２は、脅威抽出部５２が抽出した脅威事象である。リスク値６１８３は、脅威事象６１８２に対する脅威リスク値である。Ｓ－ＩＤ６１８４は、脅威事象６１８２において攻撃対象となるサブシステムのＳ－ＩＤであり、サブシステム区分情報６１１を参照することで、サブシステム名を特定できる。Ｅ－ＩＤ６１８５は、脅威事象６１８２において攻撃元である外部接続機器のＥ－ＩＤであり、外部接続機器情報６２１４を参照することで外部接続機器名を特定できる。Ｐ－ＩＤ６１８６は、脅威事象６１８２において守るべき保護資産のＰ－ＩＤであり、保護資産情報６２１７を参照することで保護資産名を特定できる。脅威種別６１８７は、脅威事象６１８２における脅威の脅威種別である。
　図１０に、リスク評価依存情報記憶部６２に保持されている経路区分情報６２１１、図１１に機密性への影響度情報６２１２、図１２にサブシステム詳細情報６２１３、図１３に外部接続機器情報６２１４のテーブル構成の一例を示す。
　モデル定義支援部５１は、外部接続機器の経路区分を登録させる際、経路区分情報６２１１を参照して選択項目として出力装置２に表示する。Ｒ－ＩＤ６２１１１は、経路区分を識別するための固有値である。経路６２１１２は、経路として、ローカル、隣接、ネットワークを示すものである。例えば、自動車の車載ネットワークに直接接する場合をローカルとし、近距離通信を用いて接続する場合を隣接とし、インターネットや携帯通信網のように遠距離からの通信を用いて接続する場合をネットワークとして区別する。なお、経路の区別については一例であり、これに限定するものではない。
　モデル定義支援部５１は、保護資産情報の機密性への影響度を登録させる際、機密性への影響度情報６２１２を参照して選択項目として出力装置２に表示する。Ｃ－ＩＤ６２１２１は、機密性への影響度を識別するための固有値である。影響度６２１２２は、保護資産が与える機密性への影響度の区分である。例えば、資産価値に応じて、対象外、部分的、全面的と分類してもよい。
　モデル定義支援部５１は、評価対象となる自動車のサブシステムに関する詳細情報をサブシステム詳細情報６２１３に格納する。また、脅威リスク値計算部５３は、リスク値算出時において、サブシステム詳細情報６２１３に格納された外部接続数６２１３２、ＡＳＩＬ値６２１３５を利用する。なお、外部接続数６２１３２、ＡＳＩＬ値６２１３５を利用したリスク値算出方法については後述する。Ｓ－ＩＤ６２１３１は、サブシステムを識別するための固有値であり、サブシステム区分情報６１１を参照することで、サブシステム名を特定できる。外部接続数６２１３２は、Ｓ－ＩＤ６２１３１が示すサブシステムに対して接続可能な外部接続機器の数である。内部接続数６２１３３は、Ｓ－ＩＤ６２１３１が示すサブシステムと通信が発生する内部接続機器の数である。保護資産数６２１３４は、Ｓ－ＩＤ６２１３１が示すサブシステムにおける保護資産の数である。ＡＳＩＬ値６２１３５は、Ｓ－ＩＤ６２１３１が示すサブシステムに定められたＡＳＩＬ値を示すものであり、ＡＳＩＬ区分情報６１３をもとに選択されたＡＳＩＬ－ＩＤを保持する。
　デル定義支援部５１は、サブシステム詳細情報６２１３に登録された外部接続数６２１３２に応じて、外部接続機器情報６２１４を登録する。また、脅威リスク値計算部５３は、リスク値算出時において、外部接続機器情報６２１４に格納された経路区分６２１４４、認証回数６２１４５を利用する。なお、経路区分６２１４４、認証回数６２１４５を利用したリスク値算出方法については後述する。Ｓ－ＩＤ６２１４１は、サブシステムを識別するための固有値であり、サブシステム区分情報６１１を参照することで、サブシステム名を特定できる。Ｅ－ＩＤ６２１４２は、Ｓ－ＩＤ６２１４１に対する外部接続機器を識別する固有値である。外部接続機器名６２１４３は、Ｅ－ＩＤ６２１４２に対応する外部接続機器の名称である。経路区分６２１４４は、Ｅ－ＩＤ６２１４２に対応する外部接続機器の経路区分を示すものであり、経路区分情報６２１１をもとに選択されたＲ－ＩＤ６２１１１を保持する。認証回数６２１４５は、Ｅ－ＩＤ６２１４２の外部接続機器が、対応するＳ－ＩＤ６２１４１と通信する際に発生する認証回数である。関与者数６２１４５は、Ｅ－ＩＤ６２１４２の外部接続機器を用いて、対応するＳ－ＩＤ６２１４１のサブシステムと通信を行う関与者種別の数である。
　図１４に、リスク評価依存情報記憶部６２に保持されている関与者詳細情報６２１５、図１５に内部接続機器情報６２１６、図１６に保護資産情報６２１７のテーブル構成の一例を示す。
　モデル定義支援部５１は、外部接続機器情報６２１４に登録された関与者数に応じて、関与者詳細情報６２１５を登録する。また、脅威抽出部５２は、脅威を抽出する際、エントリポイントとなる外部接続機器と、それに対応する関与者及び攻撃タイミングを関与者詳細情報６２１５から抽出する。Ｅ－ＩＤ６２１５１は、外部接続機器を識別するための固有値であり、外部接続機器情報６２１４を参照することで、外部接続機器名を特定できる。関与者区分６２１５２は、Ｅ－ＩＤ６２１５１に対応する外部接続機器を利用する関与者であり、関与者区分情報６１４を参照することで関与者名を特定できる。攻撃タイミング６２１５３は、関与者区分６２１５２に対応する関与者がＥ－ＩＤ６２１５１をエントリポイントとして攻撃するタイミングを示すものであり、ライフサイクル区分情報６１２を参照することで、ライフサイクル名を特定できる。
　モデル定義支援部５１は、サブシステム詳細情報６２１３に登録された内部接続数６２１３３に応じて、内部接続機器情報６２１６を登録する。また、脅威リスク値計算部５３は、リスク値算出時において、内部接続機器情報６２１６に格納された認証回数６２１６４を利用する。なお、認証回数６２１６４を利用したリスク値算出方法については後述する。Ｓ－ＩＤ６２１６１は、サブシステムを識別するための固有値であり、サブシステム区分情報６１１を参照することで、サブシステム名を特定できる。Ｉ－ＩＤ６２１６２は、内部接続機器を識別するための固有値である。内部接続機器６２１６３は、Ｓ－ＩＤ６２１６１に該当するサブシステムが通信を行うサブシステムであり、サブシステム区分情報６１１を参照することで、サブシステム名を特定できる。認証回数６２１６４は、Ｓ－ＩＤ６２１６１に該当するサブシステムが、内部接続機器６２１６３と通信を行う際に要求される認証回数である。
　モデル定義支援部５１は、サブシステム詳細情報６２１３に登録された保護資産数６２１３４に応じて、保護資産情報６２１７を登録する。脅威抽出部５２は、脅威を抽出する際、保護資産情報６２１７に格納された保護資産名６２１７３、資産種別６２１７４、保護機関６２１７６を利用する。また、脅威リスク値計算部５３は、リスク値算出時において、保護資産情報６２１７に格納された機密性への影響度６２１７５、データフロー６２１７７を利用する。なお、保護資産名６２１７３、資産種別６２１７４、保護機関６２１７６を利用する脅威抽出方法、及び機密性への影響度６２１７５、データフロー６２１７７を利用したリスク値算出方法については後述する。Ｓ－ＩＤ６２１７１は、サブシステムを識別するための固有値であり、サブシステム区分情報６１１を参照することで、サブシステム名を特定できる。Ｐ－ＩＤ６２１７２は、保護資産を識別するための固有値である。保護資産名６２１７３は、Ｓ－ＩＤ６２１７１における保護資産である。資産種別６２１７４は、Ｐ－ＩＤ６２１７２に対応する保護資産名６２１７３の資産種別である。機密性への影響度６２１７５は、Ｐ－ＩＤ６２１７２に対応する保護資産名６２１７３の機密性への影響度であり、機密性への影響度情報６２１２をもとに選択されたＣ－ＩＤを保持する。保護期間６２１７６は、Ｐ－ＩＤ６２１７２に対応する保護資産名６２１７３の保護期間であり、ライフサイクル区分情報６１２を参照することで、ライフサイクル名を特定できる。データフロー６２１７７は、Ｐ－ＩＤ６２１７２に対応する保護資産名６２１７３のサブシステム間におけるデータフローを示すものであり、サブシステム区分情報６１１を参照することで、サブシステム名を特定できる。
　図１７に、リスク評価判定情報記憶部６３に保持されているリスク値算出手法一覧情報６３１、図１８にＣＶＳＳ判定情報６３２のテーブル構成の一例を示す。
　モデル定義支援部５１は、リスク値算出手法一覧情報６３１を参照し、判定手法を選択項目として出力装置２に表示するとともに、入力装置１を用いた入力をもとにモデル定義における入力項目を変更する。手法名６３１１は、リスク値を算出する手法の名称である。参照情報６３１２は、手法名６３１１に応じて参照すべき具体的な判定情報である。
　脅威リスク値計算部５３は、ＣＶＳＳ判定情報６３２を参照して脅威のリスク値を算出する。パラメータ６３２１は、ＣＶＳＳの基本値を求めるために必要となる６つの項目である。区分６３２２は、パラメータ６３２１ごとに参照すべきレンジを示すものである。判定値６３２３は、パラメータ６３２１における区分６３２２に設けられている値を示すものである。
　図１９は、モデルの定義から、脅威事象の抽出、脅威リスク値の算出、対策優先度の判定、脅威リスク値一覧の出力までの本実施例における全体の概要処理フローを示す。
　ステップ５１１では、モデル定義支援部５１は、出力装置２にリスク評価手法選択画面を表示し、入力装置１を用いてリスク評価手法が選択された場合は、ステップ５１２に進み、リスク評価手法が選択されていない場合は、ステップ５１１のまま処理を待つ。
　ステップ５１２では、モデル定義支援部５１は、上記ステップ５１１で選択されたリスク値算出手法一覧情報６３１の手法名６３１１に応じた入力項目を表示し、リスク評価非依存情報記憶部６１とリスク評価依存情報記憶部６２で予め保持されている情報をもとに、入力装置１を介して入力された情報をサブシステム詳細情報６２１３、外部接続機器情報６２１４、関与者詳細情報６２１５、内部機器接続情報６２１６、保護資産情報６２１７に格納することで、評価対象のモデルを定義する。
　ステップ５２１では、脅威抽出部５２はリスク評価非依存情報記憶部６１とリスク評価依存情報記憶部６２で予め保持されている情報と、上記ステップ５１２でサブシステム詳細情報６２１３、外部接続機器情報６２１４、関与者詳細情報６２１５、内部機器接続情報６２１６、保護資産情報６２１７に格納された情報をもとに脅威を抽出し、脅威リスク値情報６１８における脅威事象６１８２に登録する。
　ステップ５３１では、脅威リスク値計算部５３は、脅威事象６１８２から上記ステップ５２１で抽出した各脅威を取得し、上記ステップ５１２でサブシステム詳細情報６２１３、外部接続機器情報６２１４、関与者詳細情報６２１５、内部機器接続情報６２１６、保護資産情報６２１７に格納された情報をもとに各脅威のリスク値を算出し、リスク値６１８３に登録する。
　ステップ５４１では、対策優先度判定部５４はリスク値６１８３をもとに優先度を算出し、脅威リスク値情報６１８に登録する。例えば、脅威リスク値情報６１８をリスク値の高い脅威事象から並べて優先度を順位付けしてもよいし、他の方法を用いてもよい。なお、対策優先度判定部５４は上記ステップ５２１で脅威事象が抽出されていない場合は、本対策優先度判定処理を実行しない。
　ステップ５５１では、脅威リスク評価作成部５５は、上記ステップ５４１で優先度付けされて脅威及びリスク値を脅威リスク値情報６１８から取得し、出力装置２に表示する。例えば、優先度の高い順番に出力装置２に表示してもよい。また、ＣＳＶ形式のファイルとして出力してもよい。なお、脅威リスク評価作成部５４は上記ステップ５２１で脅威事象が抽出されていない場合は、本脅威リスク評価結果出力処理を実行しない。
　以上のステップにより、本脅威リスク評価支援装置は、対策優先度の高い脅威リスクを分析者に提示できる。
　図２０は、上記ステップ５１２において、リスク判定手法の一例としてＣＶＳＳを選択した場合のモデル定義処理の概要処理フローを示す。
　ステップ５１２１では、モデル定義支援部５１はサブシステム追加削除画面を表示する。
　ステップ５１２２では、モデル定義支援部５１は上記ステップ５１２１において、サブシステムの追加或いは削除が選択された場合は、ステップ５１２３に進み、サブシステムの追加或いは削除が選択されなかった場合は、ステップ５１２４に進む。
　ステップ５１２３では、モデル定義支援部５１は上記ステップ５１２２で選択或いは追加されたサブシステムをもとに、サブシステム区分情報６１１のＳ－ＩＤ６１１１とサブシステム名６１１２を追加、及び有効判定６１１３を有効化させる。
　ステップ５１２４では、モデル定義支援部５１はサブシステムに対するパラメータ情報登録画面を出力装置２に表示する。
　ステップ５１２５では、モデル定義支援部５１は上記ステップ５１２４で入力装置２を用いてパラメータ情報を登録するサブシステムが選択された場合は、ステップ５１２５に進み、入力装置１を介して入力される情報をサブシステム詳細情報６２１３、外部接続機器情報６２１４、関与者詳細情報６２１５、内部機器接続情報６２１６、保護資産情報６２１７に格納する。一方、モデル定義支援部５１は上記ステップ５１２４で入力装置２を用いてパラメータ情報を登録するサブシステムが選択されていない場合、ステップ５１２５のまま処理を待つ。
　ステップ５１２６では、モデル定義支援部５１はすべてのサブシステムのパラメータ情報登録処理が完了している場合、本処理を終了し、パラメータ情報登録処理が済んでいないサブシステムがある場合、ステップ５１２５に進む。
　以上のステップにより、モデル定義支援部５１は、評価対象のモデルを定義することができる。
　図２１は、上記ステップ５１２５において、サブシステムに対するパラメータ情報登録の概要処理フローを示す。
　ステップ５１２５１では、モデル定義支援部５１は入力装置１を用いて入力されたサブシステムに対する外部接続機器数をサブシステム詳細情報６２１３の外部接続数６２１３２として登録する。
　ステップ５１２５２では、モデル定義支援部５１は上記ステップ５１２５１で入力された外部接続機器数に応じて、入力装置１を用いて外部接続機器の詳細な情報として、外部接続機器名６２１４３、経路区分６２１４４、認証回数６２１４５、関与者種別数６２１４５に登録する。ここで、経路区分６２１４４は、経路区分情報６２１１をもとに選択項目を出力装置１に表示し、入力装置１を用いて選択させてもよい。
　ステップ５１２５３では、モデル定義支援部５１は上記ステップ５１２５２で入力された関与者種別数に応じて、入力装置１を用いて外部接続機器における関与者の詳細な情報として、関与者区分６２１５２、攻撃タイミング６２１５３を登録する。関与者区分６２１５２は、関与者区分情報６１４をもとに選択項目を出力装置２に表示し、入力装置１を用いて選択させてもよい。攻撃タイミング６２１５３は、関与者・ライフサイクル・動機対応情報６１５をもとに、関与者種別６１５１に対応するライフサイクル種別６１５２に該当するライフサイクルを選択項目として出力装置２に表示し、入力装置１を用いて選択させてもよい。
　ステップ５１２５４では、モデル定義支援部５１は入力装置１を用いて、サブシステムが通信を行う内部接続機器の数をサブシステム詳細情報６２１３の内部接続数６２１３３に登録する。
　ステップ５１２５５では、モデル定義支援部５１は上記ステップ５１２５４で入力された内部接続機器数に応じて、入力装置１を用いて内部接続機器の詳細な情報として、内部接続機器６２１６３、認証回数６２１６４を登録する。ここで、内部接続機器６２１６３は、サブシステム区分情報６１１をもとに選択項目を出力装置２に表示し、入力装置１を用いて選択させてもよい。
　ステップ５１２５６では、モデル定義支援部５１は入力装置１を用いて、サブシステムにおける保護資産の数をサブシステム詳細情報６２１３の保護資産数６２１３４に登録する。
　ステップ５１２５７では、モデル定義支援部５１は上記ステップ５１２５６で入力された保護資産数に応じて、入力装置１を用いて保護資産の詳細な情報として、保護資産名６２１７３、資産種別６２１７４、機密性への影響度６２１７５、保護期間６２１７６、データフロー６２１７７を登録する。資産種別６２１７４は資産種別・脅威対応情報６１６の資産種別６１６１をもとに選択項目を出力装置２に表示し、入力装置１を用いて選択させてもよい。機密性への影響度６２１７５は、機密性への影響度情報６２１２をもとに選択項目を出力装置２に表示し、入力装置１を用いて選択させてもよい。保護期間６２１７６は、ライフサイクル区分情報６１２をもとに選択項目を出力装置２に表示し、入力装置１を用いて選択させてもよい。データフロー６２１７７は、サブシステム区分情報６１１をもとに選択項目を出力装置２に表示し、入力装置１を用いて選択させてもよい。
　ステップ５１２５８では、モデル定義支援部５１は入力装置１を用いて、サブシステムに定められているＡＳＩＬの値をＡＳＩＬ値６２１３５に登録する。ここで、ＡＳＩＬ値６２１３５は、ＡＳＩＬ区分情報６１３をもとに選択項目を出力装置２に表示し、入力装置１を用いて選択させてもよい。
　ステップ５１２５９では、モデル定義支援部５１は上記ステップ５１２５１からす轍鮒５１２５８までの処理においてパラメータの登録が完了したサブシステムを示す活性化画面を表示する。
　以上のステップにより、上記ステップ５１２５において選択したサブシステムに対するパラメータ情報を登録できる。
　図２２は、上記ステップ５２１において、評価対象における脅威事象抽出の概要処理フローを示す。
　ステップ５２１０１では、脅威抽出部５２はサブシステム区分情報６１１からサブシステム名６１２２を取得する。
　ステップ５２１０２では、脅威抽出部５２は上記ステップ５２１０１でサブシステム区分情報６１１のサブシステム名が存在する場合、ステップ５２１０３に進み、サブシステム区分情報６１１のサブシステム名が存在しない場合、本処理を終了する。
　ステップ５２１０３では、脅威抽出部５２は評価対象における攻撃対象として、サブシステム区分情報６１１の選択されていないサブシステム名６１２２を取得する。例えば、脅威抽出部５２はサブシステム名６１２２の総数を取得するとともに、カウンタを用いてサブシステム名６１２２が選択される度にカウンタの値をアップさせ、上記サブシステム名６１２２の総数及び上記カウンタ値をメモリで保持し、順番にサブシステム名６１２２を取得することで、選択されていないサブシステム６１２２を取得してもよい。
　ステップ５２１０４では、脅威抽出部５２は上記ステップ５２１０３で取得したサブシステムに対応する外部接続機器として、サブシステム区分情報６１１のＳ－ＩＤ６１１１をもとに、外部接続機器情報６２１４のＳ－ＩＤ６２１４１に対応する選択されていない外部接続機器名６２１４３を取得する。例えば、脅威抽出部５２は上記ステップ５２１０３で取得したサブシステムに対応する外部接続機器名６２１４３の総数を取得するとともに、カウンタを用いて外部接続機器名６２１４３が選択される度にカウンタの値をアップさせ、上記外部接続機器名６２１４３の総数及び上記カウンタ値をメモリで保持し、順番に外部接続機器名６２１４３を取得することで、選択されていない外部接続機器名６２１４３を取得してもよい。
　ステップ５２１０５では、脅威抽出部５２は上記ステップ５２１０４で取得した外部接続機器に関連する関与者として、外部接続機器情報６２１４のＥ－ＩＤ６２１４１をもとに、関与者詳細情報６２１５のＥ－ＩＤ６２１５１に対応する選択されていない関与者区分６２１５２を参照し、関与者区分情報６１４から関与者名６１４２を取得する。例えば、脅威抽出部５２は上記ステップ５２１０４で取得した外部接続機器に対応する関与者名６１４２の総数を取得するとともに、カウンタを用いて関与者名６１４２が選択される度にカウンタの値をアップさせ、上記関与者名６１４２の総数及び上記カウンタ値をメモリで保持し、順番に関与者名６１４２を取得することで、選択されていない関与者名６１４２を取得してもよい。
　ステップ５２１０６では、脅威抽出部５２は上記ステップ５２１０５で取得した関与者の攻撃タイミングとして、関与者詳細情報６２１５の関与者区分６２１５２をもとに、選択されていない攻撃タイミング６２１５３を参照し、ライフサイクル区分情報６１２のライフサイクル名６１２２を取得する。例えば、脅威抽出部５２は上記ステップ５２１０５で取得した関与者に対応する攻撃タイミング６２１５３の総数を取得するとともに、カウンタを用いて攻撃タイミング６２１５３が選択される度にカウンタの値をアップさせ、上記攻撃タイミング６２１５３の総数及び上記カウンタ値をメモリで保持し、順番に攻撃タイミング６２１５３を取得することで、選択されていない攻撃タイミング６２１５３を取得してもよい。
　ステップ５２１０７では、脅威抽出部５２は上記５２１０５で取得した関与者の動機として、関与者詳細情報６２１５の関与者区分６２１５２をもとに、関与者・ライフサイクル・動機対応情報６１５の関与者種別６１５１を参照し、選択されていない動機６１５３を取得する。例えば、脅威抽出部５２は上記ステップ５２１０５で取得した関与者に対応する動機６１５３の総数を取得するとともに、カウンタを用いて動機６１５３が選択される度にカウンタの値をアップさせ、上記動機６１５３の総数及び上記カウンタ値をメモリで保持し、順番に動機６１５３を取得することで、選択されていない動機６１５３を取得してもよい。
　ステップ５２１０８では、脅威抽出部５２は上記ステップ５２１０３で取得したサブシステムに対応する保護資産として、サブシステム区分情報６１１のＳ－ＩＤ６１１１をもとに、保護資産情報６２１７のＳ－ＩＤ６２１７１に対応する選択されていない保護資産名６２１７３を取得する。例えば、脅威抽出部５２は上記ステップ５２１０３で取得したサブシステムに対応する保護資産名６２１７３の総数を取得するとともに、カウンタを用いて保護資産名６２１７３が選択される度にカウンタの値をアップさせ、上記保護資産名６２１７３の総数及び上記カウンタ値をメモリで保持し、順番に保護資産名６２１７３を取得することで、選択されていない保護資産名６２１７３を取得してもよい。
　ステップ５２１０９では、脅威抽出部５２は上記ステップ５２１０８で取得した保護資産に対応する脅威として、保護資産名６２１７３の資産種別６２１７４をもとに、資産種別・脅威対応情報６１６の資産種別６１６１に対応する選択されていない脅威６１６２を取得する。例えば、脅威抽出部５２は上記ステップ５２１０８で取得した保護資産に対応する脅威６１６２の総数を取得するとともに、カウンタを用いて脅威６１６２が選択される度にカウンタの値をアップさせ、上記脅威６１６２の総数及び上記カウンタ値をメモリで保持し、順番に脅威６１６２を取得することで、選択されていない脅威６１６２を取得してもよい。
　テップ５２１１０では、脅威抽出部５２は上記ステップ５２１０９で取得した脅威に対応する影響内容として、脅威一覧情報６１７の脅威６１７１に対応する影響内容６１７３を取得する。例えば、脅威抽出部５２は上記ステップ５２１０９で取得した脅威に対応する影響内容６１７３の総数を取得するとともに、カウンタを用いて影響内容６１７３が選択される度にカウンタの値をアップさせ、上記影響内容６１７３の総数及び上記カウンタ値をメモリで保持し、順番に影響内容６１７３を取得することで、選択されていない影響内容６１７３を取得してもよい。
　ステップ５２１１１では、脅威抽出部５２は上記ステップ５２１０６で取得した攻撃タイミングが上記ステップ５２１１０で取得した影響内容に対応するライフサイクル６１７４に存在する場合、ステップ５２１１２に進み、上記ステップ５２１０６で取得した攻撃タイミングが上記ステップ５２１１０で取得した影響内容に対応するライフサイクル６１７４に存在しない場合、ステップ５２１１３に進む。
　ステップ５２１１２では、脅威抽出部５２は上記ステップ５２１０３からステップ５２１１０で取得した、攻撃対象、外部接続機器、関与者、攻撃タイミング、動機、保護資産、脅威、影響内容を、脅威事象６１８２に登録する。例えば、「攻撃対象」に対して、「関与者」が、「攻撃タイミング」時に、「動機」で、「外部接続機器」経由で、「保護資産」を「脅威」することにより、「脅威内容」。という文章を作成し、脅威事象６１８２に登録してもよい。また、脅威抽出部５２は攻撃対象を識別するＳ－ＩＤ、外部接続機器を識別するＥ－ＩＤ、保護資産を識別するＰ－ＩＤを、Ｓ－ＩＤ６１８４、Ｅ－ＩＤ６１８５、Ｐ－ＩＤ６１８６に登録する。
　ステップ５２１１３では、脅威抽出部５２は上記ステップ５２１１０でメモリに保持している影響内容６１７３の総数とカウンタの値を比較する。脅威抽出部５２は、影響内容６１７３の総数とカウンタの値が等しい場合、カウンタの値を消去し、ステップ５２１１４に進み、影響内容６１７３の総数とカウンタの値が等しくない場合、上記ステップ５２１１０に進む。
　ステップ５２１１４では、脅威抽出部５２は上記ステップ５２１０９でメモリに保持している脅威６１６２の総数とカウンタ値を比較する。脅威抽出部５２は、脅威６１６２の総数とカウンタ値が等しい場合、カウンタの値を消去し、ステップ５２１１５に進み、脅威６１６２の総数とカウンタ値が等しくない場合、上記ステップ５２１０９に進む。
　ステップ５２１１５では、脅威抽出部５２は上記ステップ５２１０８でメモリに保持している保護資産名６２１７３の総数とカウンタ値を比較する。脅威抽出部５２は、保護資産名６２１７３の総数とカウンタ値が等しい場合、カウンタの値を消去し、ステップ５２１１６に進み、保護資産名６２１７３の総数とカウンタ値が等しくない場合、上記ステップ５２１０８に進む。
　ステップ５２１１６では、脅威抽出部５２は上記ステップ５２１０７でメモリに保持している動機６１５３の総数とカウンタ値を比較する。脅威抽出部５２は、動機６１５３の総数とカウンタ値が等しい場合、カウンタの値を消去し、ステップ５２１１７に進み、動機６１５３の総数とカウンタ値が等しくない場合、上記ステップ５２１０７に進む。
　ステップ５２１１７では、脅威抽出部５２は上記ステップ５２１０６でメモリに保持している攻撃タイミング６２１５３の総数とカウンタ値を比較する。脅威抽出部５２は、攻撃タイミング６２１５３の総数とカウンタ値が等しい場合、カウンタの値を消去し、ステップ５２１１８に進み、攻撃タイミング６２１５３の総数とカウンタ値が等しくない場合、上記ステップ５２１０６に進む。
　ステップ５２１１８では、脅威抽出部５２は上記ステップ５２１０５でメモリに保持している関与者名６１４２の総数とカウンタ値を比較する。脅威抽出部５２は、関与者名６１４２の総数とカウンタ値が等しい場合、カウンタの値を消去し、ステップ５２１１９に進み、関与者名６１４２の総数とカウンタ値が等しくない場合、上記ステップ５２１０５に進む。
　ステップ５２１１９では、脅威抽出部５２は上記ステップ５２１０４でメモリに保持している外部接続機器名６２１４３の総数とカウンタ値を比較する。脅威抽出部５２は、外部接続機器名６２１４３の総数とカウンタ値が等しい場合、カウンタの値を消去し、ステップ５２１２０に進み、外部接続機器名６２１４３の総数とカウンタ値が等しくない場合、上記ステップ５２１０４に進む。
　ステップ５２１２０では、脅威抽出部５２は上記ステップ５２１０３でメモリに保持しているサブシステム名６１２２の総数とカウンタ値を比較する。脅威抽出部５２は、サブシステム名６１２２の総数とカウンタ値が等しい場合、カウンタの値を消去し、本処理を終了し、サブシステム名６１２２の総数とカウンタ値が等しくない場合、上記ステップ５２１０３に進む。
　以上のステップにより、上記ステップ５２１において、評価対象における脅威事象を抽出できる。
　図２３は、上記ステップ５３１において、抽出した脅威事象のリスク値算出の概要処理フローを示す。
　ステップ５３１０では、脅威リスク値計算部５３は上記ステップ５２１で抽出した脅威事象６１８２の中から、リスク値が算出されていない脅威事象のＳ－ＩＤ６１８４、Ｅ－ＩＤ６１８５、Ｐ－ＩＤ６１８６、脅威種別６１８７を取得する。
　ステップ５３１１では、脅威リスク値計算部５３は上記ステップ５３１０で脅威事象６１８２に脅威事象のＳ－ＩＤ６１８４、Ｅ－ＩＤ６１８５、Ｐ－ＩＤ６１８６、脅威種別６１８７が格納されている場合、ステップ５３１２に進み、脅威事象６１８２に脅威事象のＳ－ＩＤ６１８４、Ｅ－ＩＤ６１８５、Ｐ－ＩＤ６１８６、脅威種別６１８７が格納されていない場合、本処理を終了する。
　ステップ５３１２では、脅威リスク値計算部５３は上記ステップ５３１０で取得したＥ－ＩＤ６１８５に対応する経路区分６２１４４を取得し、ＣＶＳＳ判定情報６３２のパラメータ６３２１のＡＶにおける区分６３２２を参照し、その判定値６３２３を取得する。　
　ステップ５３１３では、脅威リスク値計算部５３は上記ステップ５３１０で取得したＳ－ＩＤ６１８４における外部接続数６２１３２と、評価対象における外部接続機器数の総数とを比較して攻撃条件の複雑さを算出する。例えば、外部接続機器の総数を「ｎ」、「Y1 = n／3」、「Y2 = 2Y1」とし、外部接続数６２１３２がY1より小さい場合は「高」、外部接続数６２１３２がY1以上Y2より小さい場合は「中」、外部接続数６２１３２がY2以上の場合は「低」とし、ＣＶＳＳ判定情報６３２のパラメータ６３２１のＡＣにおける区
分６３２２を参照し、その判定値６３２３を取得する。
　ステップ５３１４では、脅威リスク値計算部５３は上記ステップ５３１２で取得したＥ－ＩＤ６１８５に対応する認証回数６２１４５と、上記ステップ５３１０で取得したＳ－ＩＤ６１８４に対応する内部接続機器６２１６３の中から最小値となる認証回数６２１６４との合計値を「ｍ」とし、ｍが０の場合は「不要」、ｍが１の場合は「単一」、ｍが２以上の場合は「複数」とし、ＣＶＳＳ判定情報６３２のパラメータ６３２１のＡｕにおける区分６３２２を参照し、その判定値６３２３を取得する。
　ステップ５３１５では、脅威リスク値計算部５３は上記ステップ５３１０で取得した脅威種別６１８７に応じて、「Ｃ：機密性への影響度」、「Ｉ：完全性への影響度」、「Ａ：可用性への影響度」の算出方法を変更し、その判定値６３２３を取得する。
　ステップ５３１６では、脅威リスク値計算部５３は上記ステップ５３１２からステップ５３１５で取得した判定値６３２３をＣＶＳＳの基本値算出計算式に代入し、その計算結果をリスク値６１８３として登録する。
　ステップ５３１７では、脅威リスク値計算部５３は上記ステップ５３１０からステップ５３１６で、すべての脅威事象６１８２におけるリスク値６１８３を算出している場合、本処理を終了し、上記ステップ５３１０からステップ５３１６で、すべての脅威事象６１８２におけるリスク値６１８３を算出していない場合、ステップ５３１０に進む。
　以上のステップにより、上記ステップ５３１において、抽出した脅威事象のリスク値を算出できる。
　図２４は、上記ステップ５３１５において、脅威種別６１８７に応じて、「Ｃ：機密性への影響度」、「Ｉ：完全性への影響度」、「Ａ：可用性への影響度」を算出する概要処理フローを示す。
　ステップ５３１５０１では、脅威リスク値計算部５３は上記ステップ５３１０で取得した脅威種別６１８７が「参照」の場合、ステップ５３１５０２に進み、脅威種別６１８７が「改ざん」、或いは「削除」、或いは「実行」の場合、ステップ５３１５０５に進み、脅威種別６１８７が「通信妨害」の場合、ステップ５３１５０９に進む。
　ステップ５３１５０２では、脅威リスク値計算部５３は完全性への影響度、及び可用性への影響度を「０」とする。
　ステップ５３１５０３では、脅威リスク値計算部５３は上記ステップ５３１０で取得したＰ－ＩＤ６１８６の機密性への影響度６２１７５を取得する。
　ステップ５３１５０４では、脅威リスク値計算部５３は上記ステップ５３１５０４で取得した機密性への影響度６２１７５をもとに、ＣＶＳＳ判定情報６３２のパラメータ６３２１のＣにおける区分６３２２を参照し、その判定値６３２３を取得する。
　ステップ５３１５０５では、脅威リスク値算出部５３は機密性への影響度を「０」とする。
　ステップ５３１５０６では、脅威リスク値計算部５３は上記ステップ５３１０で取得したＰ－ＩＤ６１８６のデータフロー６２１７７として格納されているＳ－ＩＤ６２１３１を取得する。
　ステップ５３１５０７では、脅威リスク値計算部５３は上記ステップ５３１５０７で取得したＳ－ＩＤ６２１３１の中から、最も高いＡＳＩＬ値６２１３５を取得する。
　ステップ５３１５０８では、脅威リスク値計算部５３は上記ステップ５３１５０７で取得した最も高いＡＳＩＬ値６２１３５をもとに、ＣＶＳＳ判定情報６３２のパラメータ６３２１のＩとＡにおける区分６３２２をそれぞれ参照し、その判定値６３２３をそれぞれ取得する。
　ステップ５３１５０９では、脅威リスク値計算部５３は機密性への影響度、及び完全性への影響度を「０」とする。
　ステップ５３１５１０では、脅威リスク値計算部５３は上記ステップ５３１０で取得したＳ－ＩＤ６１８４をもとに、対応するＡＳＩＬ値６２１３５を取得する。
　ステップ５３１５１１では、脅威リスク値計算部５３は上記ステップ５３１５１０で取得したＡＳＩＬ値６２１３５をもとに、ＣＶＳＳ判定情報６３２のパラメータ６３２１のＡにおける区分６３２２を参照し、その判定値６３２３を取得する。
　以上のステップにより、上記ステップ５３１５において、脅威種別６１８７に応じて、「Ｃ：機密性への影響度」、「Ｉ：完全性への影響度」、「Ａ：可用性への影響度」を算出できる。
　図２５に、上記ステップ５１１で表示されるリスク評価手法選択画面、図２６に、上記ステップ５１２１で表示されるサブシステム変更画面、図２７に、上記ステップ５１２４で表示されるサブシステムのパラメータ情報登録画面の一例を示す。
　図２５では、モデル定義支援部５１は、利用するリスク評価手法を選択させる（ステップ５１１）。例えば、リスク値算出手法一覧情報６３１の手法名６３１１をもとに、リスク評価手法５１００２をプルダウン形式で選択させてもよい。選択完了後、次へボタン５１００１を押下することで図２６の画面に遷移する。
　図２６では、モデル定義支援部５１は、評価対象となるサブシステムを選択または追加させる（ステップ５１２１）。例えば、サブシステム区分情報６１１のサブシステム名６１１２をもとに、サブシステムの選択項目５１００４をラジオボックス形式で選択させてもよい。モデル定義支援部５１は、欄追加ボタン５１００５が押下された場合、入力装置１を用いてサブシステムを入力させるとともに、サブシステム区分情報６１１に登録する。戻るボタン５１００３を押下する場合、図２５の画面を表示し、次へボタン５１００６を押下する場合、図２７の画面を表示する。
　図２７では、モデル定義支援部５１は、上記ステップ５１２１で選択或いは追加されたサブシステムを非活性化状態で出力装置２に表示し、詳細なパラメータ情報を入力するサブシステムを選択させる（ステップ５１２４）。例えば、サブシステムとして情報系サブシステムオブジェクト５１００７を押下させ、図２８の画面をポップアップ形式で表示してもよい。なお、戻るボタン５１００６を押下する場合、図２６の画面に戻る。
　図２８に、上記ステップ５１２５１で表示される外部接続機器数登録画面、図２９に、上記ステップ５１２５２で表示される外部接続機器詳細情報登録画面、図３０に、上記ステップ５１６３で表示される関与者詳細情報登録画面の一例を示す。
　図２８では、モデル定義支援部５１は外部接続機器数を登録させる（ステップ５１２５１）。例えば、外部接続機器数５１００９のように選択ボタンを用いて加算或いは減算させてもよいし、入力装置１を用いて直接入力してもよい。なお、戻るボタン５１００８を押下する場合は、ポップアップ画面を閉じて図２７の画面に戻り、次へボタン５１０１０を押下する場合は、図２９の画面を表示する。
　図２９では、モデル定義支援部５１は外部接続機器の詳細な情報を入力させる（ステップ５１２５２）。例えば、名称５１０１２は入力装置１を用いて直接入力させてもよく、経路区分５１０１３は経路区分情報６２１１の経路６２１１２をもとにプルダウン形式で選択させてもよく、認証回数５１０１４と関与者種別数５１０１５は選択ボタンを用いて加算或いは減算させてもよい。
　次へボタン５１０１７を押下するとき、入力対象となる外部接続機器５１０１６がすべて入力済みの場合は、図３０の画面を表示し、入力対象となる外部接続機器５１０１６がすべて入力済みでない場合は、入力していない外部接続機器５１０１６にカーソルを合わせて、上記と同様に入力項目５１０１２から入力項目５１０１５を入力させる画面を表示する。
　戻るボタン５１０１１を押下するとき、入力対象となる外部接続機器５１０１６が一つも入力済みでない場合、或いは入力対象となる外部接続機器５１０１６が一つだけの場合は、図２８の画面を表示し、入力対象となる外部接続機器５１０１６が複数あり、且つ一つでも入力済みの場合、現在カーソルを合わせている外部接続機器５１０１６から、一つ前の外部接続機器５１０１６にカーソルを合わせて、上記と同様に入力項目５１０１９、及び入力項目５１０２０を入力させる画面を表示する。
　図３０では、モデル定義支援部５１は関与者の詳細な情報を入力させる（ステップ５１２５３）。例えば、関与者名５１０１９は外部接続機器に対応する関与者区分６２１５２をもとに関与者名６１４２をプルダウン形式で選択させてもよく、攻撃タイミング５１０２０は当該関与者区分６２１５２の攻撃タイミング６２１５３を選択項目としてラジオボタン形式で選択させてもよい。次へボタン５１０２２を押下するとき、入力対象となる関与者５１０２１がすべて入力済みの場合は、図３１の画面を表示し、入力対象となる関与者５１０２１がすべて入力済みでない場合は、入力していない関与者５１０２１にカーソルを合わせて、上記と同様に入力項目５１０１９、及び入力項目５１０２０を入力させる画面を表示し、戻るボタン５１０１８を押下するとき、入力対象となる関与者５１０２１が一つも入力済みでない場合、或いは入力対象となる関与者５１０２１が一つだけの場合は、図２９の画面を表示し、入力対象となる関与者５１０２１が複数あり、且つ一つでも入力済みの場合、現在カーソルを合わせている関与者５１０２１から、一つ前の関与者５１０２１にカーソルを合わせて、上記と同様に入力項目５１０１９、及び入力項目５１０２０を入力させる画面を表示する。
　図３１に、上記ステップ５１２５４で表示される内部接続機器数登録画面、図３２に、上記ステップ５１２５５で表示される内部接続機器詳細情報登録画面の一例を示す。
　図３１では、モデル定義支援部５１は内部接続機器数を入力させる（ステップ５１２５４）。例えば、内部接続機器数５１０２４は選択ボタンを用いて加算或いは減算させてもよい。戻るボタン５１０２３を押下する場合は、図３０の画面に戻り、次へボタン５１０２５を押下する場合は、図３２の画面を表示する。
　図３２では、モデル定義支援部５１は内部接続機器の詳細な情報を入力させる（ステップ５１２５５）。例えば、名称５１０２７はサブシステム区分情報６１１のサブシステム名６１１２をもとにプルダウン形式で選択させてもよく、認証回数５１０２８は選択ボタンを用いて加算或いは減算させてもよい。次へボタン５１０３０を押下するとき、入力対象となる内部接続機器５１０２９がすべて入力済みの場合は、図３３の画面を表示し、入力対象となる内部接続機器５１０２９がすべて入力済みでない場合は、入力していない内部接続機器５１０２９にカーソルを合わせて、上記と同様に入力項目５１０２７、及び入力項目５１０２８を入力させる画面を表示し、戻るボタン５１０２６を押下するとき、入力対象となる内部接続機器５１０２９が一つも入力済みでない場合、或いは入力対象となる内部接続機器５１０２９が一つだけの場合は、図３１の画面を表示し、入力対象となる内部接続機器５１０２９が複数あり、且つ一つでも入力済みの場合、現在カーソルを合わせている内部接続機器５１０２９から、一つ前の内部接続機器５１０２９にカーソルを合わせて、上記と同様に入力項目５１０１９、及び入力項目５１０２０を入力させる画面を表示する。 
　図３３に、上記ステップ５１２５６で表示される保護資産数登録画面、図３４に、上記ステップ５１２５７で表示される保護資産詳細情報登録画面、図３５に、上記ステップ５１６８で表示されるＡＳＩＬ情報登録画面の一例を示す。
　図３３では、モデル定義支援部５１は保護資産数を登録させる（ステップ５１２５６）。例えば、保護資産数５１０３２は選択ボタンを用いて加算或いは減算させてもよい。戻るボタン５１０３１を押下する場合は、図３２の画面に戻り、次へボタン５１０３３を押下する場合は、図３４の画面を表示する。
　図３４では、モデル定義支援部５１は保護資産の詳細な情報を入力させる（ステップ５１２５７）。例えば、資産名５１０３５は入力装置１を用いて直接入力させてもよく、資産種別５１０３６は資産種別・脅威対応情報６１６の資産種別６１６１をもとにプルダウン形式で選択させてもよく、影響度（機密性）５１０３７は機密性への影響度情報６２１２の影響度６２１２２をもとにプルダウン形式で選択させてもよく、攻撃タイミング５１０３８はライフサイクル区分情報６１２のライフサイクル名６１２２をもとにチェックボックス形式で選択させてもよく、データフロー５１０３９はサブシステム区分情報６１１のサブシステム名６１１２をもとにプルダウン形式で選択させてもよい。欄追加ボタン５１０４０を押下すると、データフロー５１０３９の入力項目を追加する。次へボタン５１０４２を押下するとき、入力対象となる保護資産５１０４１がすべて入力済みの場合は、図３５の画面を表示し、入力対象となる保護資産５１０４１がすべて入力済みでない場合は、入力していない保護資産５１０４１にカーソルを合わせて、上記と同様に入力項目５１０３５から入力項目５１０４０を入力させる画面を表示し、戻るボタン５１０３４を押下するとき、入力対象となる保護資産５１０４１が一つも入力済みでない場合、或いは入力対象となる保護資産５１０４１が一つだけの場合は、図３３の画面を表示し、入力対象となる保護資産５１０４１が複数あり、且つ一つでも入力済みの場合、現在カーソルを合わせている保護資産５１０４１から、一つ前の保護資産５１０４１にカーソルを合わせて、上記と同様に入力項目５１０３５から入力項目５１０４０を入力させる画面を表示する。
　図３５では、モデル定義支援部５１はＡＳＩＬ値を入力させる（ステップ５１２５８）。例えば、ＡＳＩＬ区分情報６１３のＡＳＩＬ値６１３２をもとにプルダウン形式で選択させてもよい。戻るボタン５１０４３を押下する場合は、図３４の画面に戻り、完了ボタン５１０４５を押下する場合は、ポップアップとして表示されている同画面を閉じる。　
　図３６に、上記ステップ５１２５９で表示される登録済みサブシステムの活性化画面、図３７に、上記ステップ５２１で表示される脅威リスク評価実行画面の一例を示す。なお、図３６及び図３７は、上記ステップ５１２５から上記ステップ５１２６をもとに図２７の表示内容が更新されたものである。
　図３６では、モデル定義支援部５１は上記ステップ５１２５で選択したサブシステムオブジェクト５１０４８に対して、上記ステップ５１２５１からステップ５１２５８で入力したパラメータをもとに経路線５１０４６や外部接続機器オブジェクト５１０４７を追加するとともに、当該サブシステムオブジェクト５１０４８を活性化して表示する（ステップ５１２５９）。
　図３７では、脅威抽出部５２は脅威リスク評価として、脅威事象の抽出及び脅威リスク値の算出を実行する画面を表示する（ステップ５２１）。ここで、リスク評価ボタン５１０４９を押下すると、上記ステップ５２１から上記ステップ５４１までの処理を実行する。
　図３８に、上記ステップ５５１で表示される脅威リスク評価結果画面の一例を示す。
　図３８では、脅威抽出部５２は上記ステップ５１１からステップ５４１までの処理における脅威リスク評価の結果として、脅威事象、リスク値、優先度を画面に表示する（ステップ５５１）。例えば、脅威リスク評価結果５１０５１として、上記ステップ５４１で優先度付けされた、脅威リスク値情報６１８の脅威及びリスク値を表形式で表示してもよい。このとき、表示項目５１０５０では、評価対象全体、及びサブシステム区分情報６１１のサブシステム名６１１２をもとにプルダウン形式で表示方法を選択させ、評価対象全体の脅威リスク評価結果を表示してもよいし、各サブシステムにおける脅威リスク評価結果を表示してもよい。
　以上により、本脅威リスク評価支援装置は、分析者のセキュリティに関する知識や経験に依存せずに、評価対象における脅威の抽出、及び当該脅威のリスク値を自動的に算出し、分析者に各脅威のリスク値を提示できる。
　なお、本実施例では車載ネットワークを対象に説明しているが、本脅威リスク評価支援装置はこれに限定するものではなく、制御系システムや情報系システムを対象にした脅威リスク評価にも適用可能である。
　１　　　　　入力装置
　２　　　　　出力装置
　３　　　　　入出力制御部
　４　　　　　ＣＰＵ
　５　　　　　メモリ
　６　　　　　ディスク
　７　　　　　バス

Claims (12)

  1. 　評価対象となるシステムに対するセキュリティ上の脅威を評価する評価装置であって、　前記システムにおける複数の設計項目に関する設計情報が入力される入力部と、
    　セキュリティ上の脅威に関する複数の評価項目と前記入力部より入力された前記複数の設計項目に関する情報とを対応付けて格納する格納部と、
    　前記複数の設計項目に関する情報に基づいて、前記システムにおけるセキュリティ上の脅威を抽出し、前記複数の設計項目に関する情報に対応付けられた前記評価項目に基づいて、前記抽出した脅威に対するセキュリティ上の脅威の大きさを示す値である脅威リスク値を算出し、前記抽出された前記システムにおける脅威と、該脅威に対する脅威リスク値とを表示部に表示させる制御部と、
    　を有することを特徴とする評価装置。
  2. 　請求項１に記載の評価装置であって、
    　前記制御部は、前記表示部にセキュリティ上の脅威を評価する複数種類の評価手法に関する情報を表示させ、前記入力部に入力される前記評価手法の種類に応じて前記表示部に表示させる前記設計項目に関する情報を決定する、ことを特徴とする評価装置。
  3. 　請求項１に記載の評価装置であって、
    　セキュリティ上の脅威を評価する手法として、ＣＶＳＳ（Ｃｏｍｍｏｎ　Ｖｕｌｎｅｒａｂｉｌｉｔｙ　Ｓｃｏｒｉｎｇ　Ｓｙｓｔｅｍ）を用いることを特徴とする評価装置。
  4. 　請求項１に記載の評価装置であって、
    　前記入力部に入力される前記システムにおける複数の設計項目に関する情報は、前記システムにおける評価対象とするサブシステムに関する情報であり、
    　前記サブシステムに関する情報は、前記サブシステムの外部接続機器情報、前記サブシステムの外部接続機器の数を示す外部接続機器数情報、前記サブシステムと前記外部接続機器との間の経路種別情報、前記サブシステムと前記外部接続機器との間で通信する際に発生する認証回数情報、セキュリティ上の脅威を発生させる可能性のある関与者種別情報、及び、保護資産に関する保護資産情報、であることを特徴とする評価装置。
  5. 　請求項４に記載の評価装置であって、
    　前記格納部は、前記関与者種別情報とセキュリティ上の脅威を発生させる動機に関する動機情報とが対応付けられた第一の対応情報と、前記保護資産情報と脅威の種別に関する脅威種別情報とが対応付けられた第二の対応情報と、前記脅威種別情報と脅威の影響範囲を示す脅威影響範囲情報と脅威の内容を示す脅威内容情報とが対応付けられた第三の対応情報と、を格納し、
    　前記制御部は、前記第一の対応情報と前記第二の対応情報と前記第三の対応情報と入力部より入力された前記設計情報とに基づいて、前記サブシステムにおける脅威を抽出する、ことを特徴とする評価装置。
  6. 　請求項１に記載の評価装置であって、
    　前記入力部に入力される前記システムにおける複数の設計項目に関する情報は、前記システムにおける評価対象とするサブシステムに関する情報であり、前記サブシステムに関する情報は、前記サブシステムの外部接続機器の数を示す外部接続機器数情報、前記サブシステムと前記外部接続機器との間の経路種別情報、前記サブシステムと前記外部接続機器との間で通信する際に発生する認証回数情報、であり、
    　前記制御部は、前記入力部より入力される前記外部接続機器数情報と前記経路種別情報と前記認証回数情報とに基づいて、前記サブシステムにおける脅威リスク値を算出する、ことを特徴とする評価装置。
  7. 　評価対象となるシステムに対するセキュリティ上の脅威を評価する装置における評価方法であって、
    　前記装置は、
    　前記システムにおける複数の設計項目に関する設計情報を受け付け、
    　セキュリティ上の脅威に関する複数の評価項目と前記受け付けた前記複数の設計項目に関する情報とを対応付け、
    　前記複数の設計項目に関する情報に基づいて、前記システムにおけるセキュリティ上の脅威を抽出し、
    　前記複数の設計項目に関する情報に対応付けられた前記評価項目に基づいて、前記抽出した脅威に対するセキュリティ上の脅威の大きさを示す値である脅威リスク値を算出し、　前記抽出された前記システムにおける脅威と、該脅威に対する脅威リスク値とを表示部に表示させる、ことを有することを特徴とする評価方法。
  8. 　請求項７に記載の評価方法であって、
    　前記装置は、
    　前記表示部にセキュリティ上の脅威を評価する複数種類の評価手法に関する情報を表示させ、
    　前記評価手法を示す評価手法情報を受け付け、
    　受け付けた前記評価手法情報が示す前記評価手法の種類に応じて前記表示部に表示させる前記設計項目に関する情報を決定する、ことを特徴とする評価方法。
  9. 　請求項７に記載の評価方法であって、
    　セキュリティ上の脅威を評価する手法として、ＣＶＳＳ（Ｃｏｍｍｏｎ　Ｖｕｌｎｅｒａｂｉｌｉｔｙ　Ｓｃｏｒｉｎｇ　Ｓｙｓｔｅｍ）を用いることを特徴とする評価方法。
  10. 　請求項７に記載の評価方法であって、
    　前記装置が受け付ける前記システムにおける複数の設計項目に関する情報は、前記システムにおける評価対象とするサブシステムに関する情報であり、
    　前記サブシステムに関する情報は、前記サブシステムの外部接続機器情報、前記サブシステムの外部接続機器の数を示す外部接続機器数情報、前記サブシステムと前記外部接続機器との間の経路種別情報、前記サブシステムと前記外部接続機器との間で通信する際に発生する認証回数情報、セキュリティ上の脅威を発生させる可能性のある関与者種別情報、及び、保護資産に関する保護資産情報、であることを特徴とする評価方法。
  11. 　請求項１０に記載の評価方法であって、
    　前記装置は、
    　前記関与者種別情報とセキュリティ上の脅威を発生させる動機に関する動機情報とが対応付けられた第一の対応情報と、前記保護資産情報と脅威の種別に関する脅威種別情報とが対応付けられた第二の対応情報と、前記脅威種別情報と脅威の影響範囲を示す脅威影響範囲情報と脅威の内容を示す脅威内容情報とが対応付けられた第三の対応情報と、を格納し、
    　前記第一の対応情報と前記第二の対応情報と前記第三の対応情報と入力部より入力された前記設計情報とに基づいて、前記サブシステムにおける脅威を抽出する、ことを特徴とする評価方法。
  12. 　請求項７に記載の評価方法であって、
    　前記装置受け付ける前記システムにおける複数の設計項目に関する情報は、前記システムにおける評価対象とするサブシステムに関する情報であり、
    　前記サブシステムに関する情報は、前記サブシステムの外部接続機器の数を示す外部接続機器数情報、前記サブシステムと前記外部接続機器との間の経路種別情報、前記サブシステムと前記外部接続機器との間で通信する際に発生する認証回数情報、であり、
    　前記装置は、
    　前記受け付けた前記外部接続機器数情報と前記経路種別情報と前記認証回数情報とに基づいて、前記サブシステムにおける脅威リスク値を算出する、ことを特徴とする評価方法。
PCT/JP2014/070298 2013-08-21 2014-08-01 セキュリティ上の脅威を評価する評価装置及びその方法 WO2015025694A1 (ja)

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
JP2013170899A JP6047463B2 (ja) 2013-08-21 2013-08-21 セキュリティ上の脅威を評価する評価装置及びその方法
JP2013-170899 2013-08-21

Publications (1)

Publication Number Publication Date
WO2015025694A1 true WO2015025694A1 (ja) 2015-02-26

Family

ID=52483475

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/JP2014/070298 WO2015025694A1 (ja) 2013-08-21 2014-08-01 セキュリティ上の脅威を評価する評価装置及びその方法

Country Status (2)

Country Link
JP (1) JP6047463B2 (ja)
WO (1) WO2015025694A1 (ja)

Cited By (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US10268824B2 (en) 2016-03-01 2019-04-23 Wipro Limited Method and system for identifying test cases for penetration testing of an application
CN111587433A (zh) * 2018-02-21 2020-08-25 株式会社日立制作所 安保评价服务器和安保评价方法
JP2021157401A (ja) * 2020-03-26 2021-10-07 株式会社日立製作所 アプリケーション開発支援システム、アプリケーション開発支援方法
US11431746B1 (en) 2021-01-21 2022-08-30 T-Mobile Usa, Inc. Cybersecurity system for common interface of service-based architecture of a wireless telecommunications network
US11546767B1 (en) 2021-01-21 2023-01-03 T-Mobile Usa, Inc. Cybersecurity system for edge protection of a wireless telecommunications network

Families Citing this family (7)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
EP3338424A1 (en) * 2015-08-21 2018-06-27 Renesas Electronics Europe Limited Design support system
EP3151114A1 (en) 2015-09-29 2017-04-05 Panasonic Intellectual Property Management Co., Ltd. Software development system in system development based on model-based method
EP4105804B1 (en) * 2018-10-17 2024-02-28 Panasonic Intellectual Property Corporation of America Threat analysis apparatus, threat analysis method, and program
WO2020136837A1 (ja) 2018-12-27 2020-07-02 三菱電機株式会社 アタックツリー生成装置、アタックツリー生成方法およびアタックツリー生成プログラム
JP2020113090A (ja) 2019-01-15 2020-07-27 三菱電機株式会社 脆弱性影響評価システム
CN114698392A (zh) * 2020-10-30 2022-07-01 日产自动车株式会社 车载计算机、计算机程序、计算机可读的记录介质以及安全措施设定方法
CN114019942B (zh) * 2021-11-04 2023-08-29 哈尔滨工业大学 一种基于分时频率的工业机器人系统安全威胁评价方法

Citations (6)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2001101135A (ja) * 1999-09-29 2001-04-13 Hitachi Ltd セキュリティ評価方法および装置、セキュリティ施策の作成支援方法および装置
JP2002352062A (ja) * 2001-05-24 2002-12-06 Hitachi Ltd セキュリティ評価装置
JP2006331383A (ja) * 2005-04-25 2006-12-07 Hitachi Ltd システムセキュリティ設計・評価支援ツール、システムセキュリティ設計・評価支援方法、およびシステムセキュリティ設計・評価支援プログラム
JP2009015570A (ja) * 2007-07-04 2009-01-22 Nippon Telegr & Teleph Corp <Ntt> 脆弱性情報流通システムおよび方法
JP2011022903A (ja) * 2009-07-17 2011-02-03 Nec Corp 分析装置、分析方法およびプログラム
US20130074188A1 (en) * 2011-09-16 2013-03-21 Rapid7 LLC. Methods and systems for improved risk scoring of vulnerabilities

Patent Citations (6)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2001101135A (ja) * 1999-09-29 2001-04-13 Hitachi Ltd セキュリティ評価方法および装置、セキュリティ施策の作成支援方法および装置
JP2002352062A (ja) * 2001-05-24 2002-12-06 Hitachi Ltd セキュリティ評価装置
JP2006331383A (ja) * 2005-04-25 2006-12-07 Hitachi Ltd システムセキュリティ設計・評価支援ツール、システムセキュリティ設計・評価支援方法、およびシステムセキュリティ設計・評価支援プログラム
JP2009015570A (ja) * 2007-07-04 2009-01-22 Nippon Telegr & Teleph Corp <Ntt> 脆弱性情報流通システムおよび方法
JP2011022903A (ja) * 2009-07-17 2011-02-03 Nec Corp 分析装置、分析方法およびプログラム
US20130074188A1 (en) * 2011-09-16 2013-03-21 Rapid7 LLC. Methods and systems for improved risk scoring of vulnerabilities

Non-Patent Citations (1)

* Cited by examiner, † Cited by third party
Title
PETER MELL ET AL.: "A Complete Guide to the Common Vulnerability Scoring System Version 2.0", FORUM OF INCIDENT RESPONSE AND SECURITY TEAMS, June 2007 (2007-06-01), pages 7 - 9,17-22, Retrieved from the Internet <URL:http://www.first.org/cvss/cvss-guide.html> [retrieved on 20141022] *

Cited By (9)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US10268824B2 (en) 2016-03-01 2019-04-23 Wipro Limited Method and system for identifying test cases for penetration testing of an application
CN111587433A (zh) * 2018-02-21 2020-08-25 株式会社日立制作所 安保评价服务器和安保评价方法
EP3757836A4 (en) * 2018-02-21 2021-11-17 Hitachi, Ltd. SECURITY ASSESSMENT SERVER AND SECURITY ASSESSMENT PROCESS
JP2021157401A (ja) * 2020-03-26 2021-10-07 株式会社日立製作所 アプリケーション開発支援システム、アプリケーション開発支援方法
JP7422584B2 (ja) 2020-03-26 2024-01-26 株式会社日立製作所 アプリケーション開発支援システム、アプリケーション開発支援方法
US11431746B1 (en) 2021-01-21 2022-08-30 T-Mobile Usa, Inc. Cybersecurity system for common interface of service-based architecture of a wireless telecommunications network
US11546767B1 (en) 2021-01-21 2023-01-03 T-Mobile Usa, Inc. Cybersecurity system for edge protection of a wireless telecommunications network
US11799897B2 (en) 2021-01-21 2023-10-24 T-Mobile Usa, Inc. Cybersecurity system for common interface of service-based architecture of a wireless telecommunications network
US11863990B2 (en) 2021-01-21 2024-01-02 T-Mobile Usa, Inc. Cybersecurity system for edge protection of a wireless telecommunications network

Also Published As

Publication number Publication date
JP2015041167A (ja) 2015-03-02
JP6047463B2 (ja) 2016-12-21

Similar Documents

Publication Publication Date Title
JP6047463B2 (ja) セキュリティ上の脅威を評価する評価装置及びその方法
CN108665297B (zh) 异常访问行为的检测方法、装置、电子设备和存储介质
US8768651B2 (en) System and method for automatic standardization and verification of system design requirements
US9372785B2 (en) Identifying implicit assumptions associated with a software product
WO2017118435A1 (zh) 车险查勘任务的发布系统、设备、方法及可读存储介质
US20130067572A1 (en) Security event monitoring device, method, and program
JP2017068825A (ja) ソフトウェア開発システムおよびプログラム
JP2008538642A5 (ja)
JP6361837B2 (ja) 訓練装置、訓練方法、及び訓練プログラム
WO2020024414A1 (zh) 基于滑块验证码的用户认证方法及装置
CN109101410B (zh) 一种风险驱动测试方法和装置以及计算机可读存储介质
CN110659807B (zh) 一种基于链路的风险用户识别方法及装置
US20150261505A1 (en) Method and system for generating stateflow models from software requirements
JP2015130152A (ja) 情報処理装置及びプログラム
CN112016138A (zh) 一种车联网自动化安全建模的方法、装置和电子设备
CN109547426A (zh) 业务响应方法及服务器
CN114004700A (zh) 业务数据处理方法、装置、电子设备及存储介质
US11899770B2 (en) Verification method and apparatus, and computer readable storage medium
US20090327971A1 (en) Informational elements in threat models
JP2009134673A (ja) Ｇｕｉ画面操作シーケンス検証装置、方法、及び、プログラム
KR102269174B1 (ko) 스마트 컨트랙트 검증 장치 및 방법
CN107678975A (zh) 一种软件故障检测方法及装置
JP4637175B2 (ja) 二次的に実行されるプロセスにおけるデッドロックを検出する方法
KR102090229B1 (ko) 바이너리에 대한 보안 취약점 및 그 원인 위치의 식별 방법 및 그 장치
JP2016057715A (ja) 図形式プログラム解析装置

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 14837665

Country of ref document: EP

Kind code of ref document: A1

NENP Non-entry into the national phase

Ref country code: DE

122 Ep: pct application non-entry in european phase

Ref document number: 14837665

Country of ref document: EP

Kind code of ref document: A1