WO2019163972A1 - 脅威分析システムおよび分析方法 - Google Patents

脅威分析システムおよび分析方法 Download PDF

Info

Publication number
WO2019163972A1
WO2019163972A1 PCT/JP2019/006925 JP2019006925W WO2019163972A1 WO 2019163972 A1 WO2019163972 A1 WO 2019163972A1 JP 2019006925 W JP2019006925 W JP 2019006925W WO 2019163972 A1 WO2019163972 A1 WO 2019163972A1
Authority
WO
WIPO (PCT)
Prior art keywords
vulnerability
threat
information
threat analysis
control operation
Prior art date
Application number
PCT/JP2019/006925
Other languages
English (en)
French (fr)
Inventor
暁彦 杉本
磯部　義明
Original Assignee
株式会社日立製作所
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 株式会社日立製作所 filed Critical 株式会社日立製作所
Priority to US16/971,331 priority Critical patent/US11418534B2/en
Publication of WO2019163972A1 publication Critical patent/WO2019163972A1/ja

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1433—Vulnerability analysis
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/57—Certifying or maintaining trusted computer platforms, e.g. secure boots or power-downs, version controls, system software checks, secure updates or assessing vulnerabilities
    • G06F21/577—Assessing vulnerabilities and evaluating computer system security
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06N—COMPUTING ARRANGEMENTS BASED ON SPECIFIC COMPUTATIONAL MODELS
    • G06N7/00—Computing arrangements based on specific mathematical models
    • G06N7/01—Probabilistic graphical models, e.g. probabilistic networks
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1441—Countermeasures against malicious traffic
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F2221/00—Indexing scheme relating to security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F2221/03—Indexing scheme relating to G06F21/50, monitoring users, programs or devices to maintain the integrity of platforms
    • G06F2221/034—Test or assess a computer or a system

Definitions

  • the present invention relates to a threat analysis system and an analysis method, and is suitable for application to, for example, a threat analysis system and an analysis method for analyzing a relationship between a vulnerability and a threat from a business operator perspective.
  • IT Information Technology
  • software vulnerabilities such as program defects and specification problems, which may be discovered later.
  • public security organizations create a database of discovered software vulnerability information and alert about 5,000 software vulnerabilities per year.
  • the present invention has been made in consideration of the above points, and intends to propose a threat analysis system and an analysis method that enable threat analysis more suitable for the security requirements of the system.
  • the first information in which the devices constituting the threat analysis target system and the vulnerabilities included in the devices are associated, and the device and the threat analysis target system are assumed.
  • Vulnerability included in the device based on the storage unit storing the second information associated with the threat from the operator's viewpoint, and the first information and the second information stored in the storage unit
  • a threat analysis processing unit for associating the threat in the threat analysis target system
  • a threat analysis result output unit for outputting the relationship between the vulnerability and the threat associated by the threat analysis processing unit.
  • FIG. 1, 10 shows the threat analysis system by 1st Embodiment.
  • FIG. 1 is a diagram illustrating an example of a configuration according to the threat analysis system 10 of the present embodiment.
  • the threat analysis system 10 analyzes the relationship between the vulnerability and the threat from the operator's viewpoint in addition to the vulnerability information and the threat information for each device caused by the vulnerability, and performs a threat analysis more suitable for the security requirements of the system. It is a computer system that makes it possible.
  • the threat analysis system 10 includes a threat analysis server 105 and a database 107, and detects vulnerabilities of the managed device 101 (managed devices 101_1 to 101_n) via the network 102 (network 102_1, network 102_2, Internet 102_3, etc.).
  • the vulnerability detection device 103 to detect, the vulnerability information disclosure organization 104, and the client device 106 are communicably connected.
  • the management target device 101 is a device constituting a system (threat analysis target system) managed by the administrator as a threat analysis target, and includes one or a plurality of management target devices 101.
  • an evaluation target is a risk caused by the vulnerability possessed by the managed device 101.
  • the vulnerability detection apparatus 103 collects information (system information, identification information of each managed device 101, etc.) related to the target system of the threat analysis, that is, the managed device 101, and detects the vulnerability possessed by the managed device 101. Device.
  • the vulnerability information disclosure organization 104 is a server device of a predetermined organization that discloses vulnerability information on the Internet 102_3.
  • a company that provides various security countermeasure services such as computer virus detection and countermeasures, an OS (Operating System) provider, and the like can be assumed.
  • Such a management organization discloses vulnerability information related to information security obtained from a specific information processing apparatus, OS, or software by the vulnerability information disclosure organization 104.
  • the threat analysis server 105 is a server device that executes each procedure corresponding to the threat analysis method of the present embodiment, based on information on the database 107 and a request from an administrator received via the client device 106. .
  • the threat analysis server 105 may include the function (configuration) of the vulnerability detection apparatus 103.
  • the client device 106 is a general computer terminal that is directly operated by an administrator, and serves as a main output destination of the processing result by the threat analysis server 105, that is, the threat analysis result.
  • the database 107 is a storage device that stores vulnerability detection results derived by the vulnerability detection device 103, vulnerability information collected by the threat analysis server 105, threat analysis results derived by the threat analysis server 105, and the like, and the network 102_2.
  • the communication is connected to the threat analysis server 105 via the network.
  • the database 107 is also suitable for being stored in the external storage device 704 (see FIG. 7) of the threat analysis server 105.
  • the threat analysis system 10 can appropriately adopt a configuration in which the threat analysis server 105 can access the database 107, and the threat analysis system 10 may or may not include the database 107.
  • the threat analysis system 10 may be configured to include devices other than the threat analysis server 105 (vulnerability detection device 103, client device 106, etc.) as appropriate.
  • the managed device 101 and the vulnerability detection device 103 are connected via the network 102_1, and the vulnerability information disclosure organization 104 and the threat analysis server 105 are connected via the Internet 102_3.
  • the networks 102_1 and 102_3 are not essential, and the vulnerability detection device 103 may read data from a USB (Universal Serial Bus) and obtain data by receiving a user input operation from an appropriate interface.
  • the networks 102_1, 102_2, and 102_3 are illustrated as different networks, but may be the same network. If it adds, the component which attached
  • FIG. 2 is a diagram illustrating an example of a functional configuration of the management target device 101.
  • the managed device 101 includes a transmission / reception unit 201 and a control unit 202.
  • the transmission / reception unit 201 is a processing unit that transmits / receives information to / from the vulnerability detection apparatus 103 via the network 102_1.
  • the control unit 202 includes a system information output unit 203.
  • the system information output unit 203 collects information related to devices such as ID (identification) indicating the identification information of the management target device 101 and device name, and sends the collected information related to the device to the vulnerability detection apparatus 103 via the transmission / reception unit 201.
  • a processing unit for transmission is a unit for transmission.
  • OS Open Vulnerability and Assessment Language
  • OVAL Open Vulnerability and Assessment Language
  • FIG. 3 is a diagram illustrating an example of a functional configuration of the vulnerability detection apparatus 103.
  • the vulnerability detection device 103 includes a transmission / reception unit 301 and a control unit 302.
  • the transmission / reception unit 301 is a processing unit that transmits and receives information via the networks 102_1 and 102_2.
  • the control unit 302 includes a system information collection unit 303, a vulnerability detection processing unit 304, and a vulnerability detection result output unit 305.
  • the system information collection unit 303 is a processing unit that receives system information from the management target device 101 via the transmission / reception unit 301.
  • the vulnerability detection processing unit 304 is a processing unit that detects a vulnerability possessed by a device based on a predetermined algorithm. As a method for detecting a vulnerability, a method for searching for a related vulnerability from software information held by the managed device 101, a method for executing an inspection code on the managed device 101, or the like may be used. The form is not limited.
  • the vulnerability detection result output unit 305 is a processing unit that transmits the processing result (vulnerability detection result) of the vulnerability detection processing unit 304 to the threat analysis server 105 via the transmission / reception unit 301.
  • FIG. 4 is a diagram illustrating an example of a functional configuration of the vulnerability information disclosure organization 104.
  • the vulnerability information disclosure organization 104 includes a transmission / reception unit 401 and a control unit 402.
  • the transmission / reception unit 401 is a processing unit that transmits / receives information to / from the threat analysis server 105 via the network 102_3.
  • the control unit 402 includes a vulnerability information output unit 403.
  • the vulnerability information output unit 403 transmits vulnerability information to the threat analysis server 105 via the transmission / reception unit 401.
  • the method of collecting and managing information in the vulnerability information disclosure organization 104 is not particularly limited because it differs depending on the specification of the vulnerability information disclosure organization 104, the operating company of the vulnerability information disclosure organization 104, and the like. Further, in the present embodiment, an example is given in which information is received from one (all the same) vulnerability information disclosure organization 104, but information may be received from different vulnerability information disclosure organizations 104. Not limited.
  • FIG. 5 is a diagram illustrating an example of a functional configuration of the threat analysis server 105.
  • the threat analysis server 105 includes a transmission / reception unit 501 and a control unit 502.
  • the transmission / reception unit 501 is a processing unit that transmits and receives information via the networks 102_2 and 102_3.
  • the control unit 502 includes a vulnerability detection result collection unit 503, a vulnerability information collection unit 504, a design information collection unit 505, a threat analysis processing unit 506, an impact evaluation processing unit 507, and a threat analysis result output unit 508. Has been.
  • the vulnerability detection result collection unit 503 is a processing unit that receives a vulnerability detection result from the vulnerability detection apparatus 103 via the transmission / reception unit 501, and stores the received vulnerability detection result in the database 107.
  • the vulnerability information collection unit 504 is a processing unit that receives vulnerability information from the vulnerability information disclosure organization 104 via the transmission / reception unit 501, and stores the received vulnerability information in the database 107.
  • the design information collection unit 505 is a processing unit that receives design information from the client device 106 via the transmission / reception unit 501, and stores the received design information in the database 107.
  • the threat analysis processing unit 506 uses each information on the database 107 to analyze whether, for example, the vulnerability of the managed device 101 is related to the threat from the business operator's viewpoint defined by the design information Part.
  • the threat analysis processing unit 506 includes, for example, the devices (for example, the management target device 101) and the vulnerabilities included in the devices, which are stored in the storage unit (for example, the database 107) and constitute the threat analysis target system.
  • First information (for example, device ID 901 and vulnerability ID 902 in the vulnerability detection result table 801 described later) is associated with the threat from the viewpoint of the operator assumed in the threat analysis target system.
  • second information for example, threat ID 1202 in the control operation information table 804 described later, and start device ID 1204 and / or end device ID 1205) and the threat included in the device and the threat in the threat analysis target system Associate with.
  • the threat analysis processing unit 506 stores the type of vulnerability included in the device, the type of control operation related to the device, and the vulnerability impact level that the vulnerability has on the control operation, which is stored in the storage unit.
  • the vulnerability included in the device based on the third information (for example, vulnerability type 1301, control operation type 1302, and vulnerability impact level 1304 in the vulnerability / control operation correspondence table 805 described later).
  • a control operation whose vulnerability influence degree corresponding to the type and the type of control operation related to the device is a predetermined value (for example, a value greater than 0%) is further associated.
  • the impact evaluation processing unit 507 determines the impact of the vulnerability held by the managed device 101 on the threat from the business operator's viewpoint defined in the design information. It is a processing unit that calculates the size. In other words, for example, the impact evaluation processing unit 507 uses a predetermined algorithm (for example, Bayesian) to determine the magnitude of the effect that the vulnerability included in the device (for example, the management target device 101) has on the threat in the threat analysis target system. Network).
  • a predetermined algorithm for example, Bayesian
  • the threat analysis result output unit 508 is a processing unit that transmits the threat analysis result derived by the threat analysis processing unit 506 and the impact evaluation processing unit 507 to the client device 106 via the transmission / reception unit 501.
  • FIG. 6 is a diagram illustrating an example of a functional configuration of the client device 106.
  • the client device 106 includes a transmission / reception unit 601, an input / output unit 602, and a control unit 603.
  • the transmission / reception unit 601 is a processing unit that transmits and receives information via the network 102_2.
  • the input / output unit 602 is a processing unit that controls input from a user such as a system administrator via an interface device such as a keyboard and a pointing device, and controls output processing for the user via an interface device such as a monitor. .
  • the control unit 603 includes a design information input screen display unit 604, a design information output unit 605, a threat analysis result collection unit 606, and a threat analysis result screen display unit 607.
  • the design information input screen display unit 604 is a processing unit that displays a screen for inputting information to the user via the input / output unit 602 and accepts input of design information of the threat analysis target system.
  • the design information output unit 605 is a processing unit that transmits the design information received by the design information input screen display unit 604 to the threat analysis server 105 via the transmission / reception unit 601.
  • the threat analysis result collection unit 606 is a processing unit that receives a threat analysis result from the threat analysis server 105 via the transmission / reception unit 601.
  • the threat analysis result screen display unit 607 is a processing unit that displays the threat analysis result received by the threat analysis result collection unit 606 to the user via the input / output unit 602.
  • FIG. 7 is a diagram illustrating an example of a hardware configuration of the computer 701.
  • Each of the management target device 101, the vulnerability detection device 103, the vulnerability information disclosure organization 104, and the threat analysis server 105 is configured by a computer 701.
  • the computer 701 includes a memory 703 including volatile storage elements such as a CPU 702 (Central Processing Unit) and a RAM (Random Access Memory), an external including appropriate nonvolatile storage elements such as an SSD (Solid State Drive) and a hard disk drive.
  • the storage device 704 includes a transmission / reception device 705 such as a network interface card (NIC), an output device 706 such as a display, and an input device 707 such as a pointing device and a keyboard.
  • NIC network interface card
  • an output device 706 such as a display
  • an input device 707 such as a pointing device and a keyboard.
  • the output device 706 and the input device 707 may not include any of the management target device 101, the vulnerability detection device 103, the vulnerability information disclosure organization 104, and the threat analysis server 105.
  • the transmission / reception units 201, 301, 401, 501, and 601 may be implemented by the transmission / reception device 705.
  • the input / output unit 602 may be implemented by the output device 706 and the input device 707.
  • Data used in the threat analysis server 105 includes at least vulnerability detection result information obtained by detecting the vulnerability of the managed device 101 by the vulnerability detection apparatus 103, vulnerability information disclosed by the vulnerability information disclosure organization 104, It includes design information of a threat analysis target system input by a user and association information that is a rule for associating a vulnerability with a threat.
  • FIG. 8 is a diagram showing an example of a data table stored on the database 107.
  • the database 107 stores a vulnerability detection result table 801, a vulnerability information table 802, a threat information table 803 from the business operator perspective, a control operation information table 804, a vulnerability / control operation correspondence table 805, a threat analysis result table 806, and the like. ing.
  • Each table is associated with each other by a predetermined ID included in each record. Details of each table will be described with reference to FIGS.
  • FIG. 9 is a diagram illustrating an example of the vulnerability detection result table 801.
  • the vulnerability detection result table 801 includes a device ID 901, a vulnerability ID 902, and other device information 903 as data items.
  • the device ID 901 is an identifier uniquely assigned to the device.
  • the vulnerability ID 902 is a vulnerability ID held by the device represented by the corresponding device ID 901.
  • the other device information 903 is information about the device such as a device name.
  • the user uses “railway crossing control system” as the threat analysis target system, and the device named “railway crossing control device” (device identifier “DEV111”) has the vulnerability “VUL-2017-0930”.
  • a record having “DEV111” as the device ID 901, “VUL-2017-0930” as the vulnerability ID 902, and “crossing control device” as the other device information 903 is stored in this embodiment.
  • FIG. 10 is a diagram showing an example of the vulnerability information table 802.
  • the vulnerability information table 802 includes a vulnerability ID 1001, a vulnerability type 1002, an attack ease 1003, and other vulnerability information 1004 as data items.
  • Vulnerability ID 1001 is an identifier uniquely assigned to the vulnerability.
  • the vulnerability type 1002 is a vulnerability type.
  • the vulnerability information disclosure organization 104 publishes security information by assigning types to individual vulnerabilities based on standard security standards such as CWE (Common Weakness Enumeration). The same type can be used as the vulnerability type 1002.
  • the attack ease 1003 is an occurrence probability or score of an attack aimed at vulnerability.
  • CVSS Common Vulnerability Scoring System
  • CVSS Common Vulnerability Scoring System
  • Security information is disclosed by assigning a score such as an influence degree, and the score can be used as the ease of attack 1003.
  • the other vulnerability information 1004 is information related to the vulnerability, such as a summary of the vulnerability.
  • FIG. 11 is a diagram showing an example of the threat information table 803 from the business operator perspective.
  • the threat information table 803 from the business operator viewpoint includes a threat ID 1101, a threat level 1102, and other threat information 1103 as data items.
  • Threat ID 1101 is an identifier uniquely assigned to a threat.
  • the threat level 1102 is a score of the magnitude of damage incurred when a threat occurs.
  • the other threat information 1103 is information about the threat such as a threat name.
  • threat information is information input by the user, and the form differs depending on the design method.
  • STAMP / STPA System Theoretic Accident Model and Processes / System Theoretic Process Analysis
  • STAMP / STPA System Theoretic Accident Model and Processes / System Theoretic Process Analysis
  • the “accident” defined in STAMP / STPA is used in this embodiment. It becomes a threat.
  • FIG. 12 is a diagram illustrating an example of the control operation information table 804.
  • the control operation information table 804 has a control operation ID 1201, a threat ID 1202, a control operation type 1203, a start device ID 1204, an end device ID 1205, and other control operation information 1206 as data items.
  • the control operation ID 1201 is an identifier uniquely assigned to the control operation (control instruction).
  • the threat ID 1202 is an ID of a threat related to the corresponding control operation ID 1201.
  • the control operation type 1203 is a type of control operation. For example, in STAMP / STPA, control operations are classified, and the same type can be used as the control operation type 1203.
  • the starting device ID 1204 is an ID of a device that implements / transmits the corresponding control operation.
  • the end device ID 1205 is the ID of the device that receives the corresponding control operation. In the example of FIG.
  • the relationship between a device that performs a control operation and a device that receives the control operation is managed by a set of a start device ID 1204 and an end device ID 1205. If there is no device that is subject to the control operation, a management method is possible by leaving the end device ID blank.
  • control operation information 1206 is information related to the control operation such as a control operation name.
  • the device name “crossing control device” device ID “DEV111” to the device name “obstacle detection device”
  • control operation ID “AC333” Design that the malfunction of the control operation “instruction to start obstacle detection” (control operation ID “AC333”) to the device ID “DEV222”) leads to the threat “collision with the car in the crossing” (threat ID “T444”)
  • the control operation ID 1201 is “AC333”
  • the threat ID 1202 is “T444”
  • the start device ID 1204 is “DEV111”
  • the end device ID 1205 is “DEV222”
  • other control operation information 1206 is displayed.
  • a record having “instruction to start obstacle detection” is stored.
  • FIG. 13 is a diagram illustrating an example of the vulnerability / control operation correspondence table 805.
  • the vulnerability / control operation correspondence table 805 includes a vulnerability type 1301, a control operation type 1302, a control operation point 1303, and a vulnerability impact level 1304 as data items.
  • Vulnerability type 1301 is a type of vulnerability.
  • the control operation type 1302 is a type of control operation. In the example of FIG. 13, the relationship between the vulnerability and the control operation is managed for each type by the combination of the vulnerability type 1301 and the control operation type 1302.
  • the control operation point 1303 is a binary value indicating whether a device with vulnerability exists at the start point or the end point of the control operation.
  • the vulnerability impact degree 1304 is a probability or score that a control operation is inhibited when a vulnerability is attacked.
  • the vulnerability / control operation correspondence information is information that is defined in advance by an expert and stored before the threat analysis system 10 operates.
  • FIG. 14 is a diagram illustrating an example of the threat analysis result table 806.
  • the threat analysis result table 806 includes a device ID 1401, a vulnerability ID 1402, a vulnerability type 1403, a control operation ID list 1404, a control operation influence degree list 1405, a threat ID list 1406, and a threat influence degree list 1407. , And system impact 1408 as data items.
  • the device ID 1401 is an identifier uniquely assigned to the device.
  • the vulnerability ID 1402 is a vulnerability ID held by the device represented by the corresponding device ID 1401.
  • the vulnerability detection result and the threat analysis result in the vulnerability detection result table 801 are associated with each other by one set of the device ID 1401 and the vulnerability ID 1402, and one vulnerability is detected in one record. Stores threat analysis results.
  • the vulnerability type 1403 is a vulnerability type.
  • the control operation ID list 1404 is a list of IDs of control operations related to the detected vulnerability.
  • the control operation influence degree list 1405 is a list of probabilities or scores at which the control operation is inhibited.
  • the control operation influence degree list 1405 lists the control operation influence degree corresponding to each control operation ID in the control operation ID list 1404.
  • the threat ID list 1406 is a list of IDs of threats related to the detected vulnerabilities.
  • the threat influence degree list 1407 is a list of probabilities or scores of occurrence of threats. In the threat influence degree list 1407, the threat influence degree corresponding to each threat ID in the threat ID list 1406 is listed.
  • the system influence degree 1408 is an influence degree that the detected vulnerability has on the entire system.
  • the threat analysis server 105 stores the processing result of the threat analysis by a predetermined algorithm in the threat analysis result table 806.
  • the table 806 is constructed on the database 107, it may be stored in the threat analysis server 105. Further, it may be a single table in which at least one of the above-described tables is joined, or a more normalized table.
  • FIG. 15 is a diagram showing an example of a flow showing a processing procedure related to the vulnerability detection processing in the present embodiment.
  • the vulnerability detection process of the vulnerability detection apparatus 103 will be mainly described. Such processing needs to be executed in advance before (at least immediately before) the threat analysis processing in the threat analysis server 105.
  • system information information obtained from the managed device 101
  • vulnerability information information obtained from the vulnerability information disclosure organization 104
  • etc. are added at any time by the managed device 101, the vulnerability information disclosure organization 104, etc.
  • the threat analysis system 10 the managed device 101, the vulnerability detection device 103, or the threat analysis server 105 included in or cooperating with the threat analysis system 10
  • the acquisition processing of each piece of information is performed in the background. It is preferable to execute this process.
  • the system information collection unit 303 of the vulnerability detection apparatus 103 requests the management target device 101 to perform system information collection processing.
  • the managed device 101 activates the system information output unit 203, collects system information using the standard function of its own OS, and transmits it to the vulnerability detection apparatus 103 (step S1501).
  • the vulnerability detection processing unit 304 in the vulnerability detection apparatus 103 detects the vulnerability held by the management target device 101 based on the system information (step S1502).
  • a tool based on the inspection specification defined in the security inspection language (OVAL) may be used, and the form is not limited.
  • the vulnerability detection result output unit 305 in the vulnerability detection apparatus 103 transmits the vulnerability detection result of the vulnerability detection processing unit 304 to the threat analysis server 105 via the transmission / reception unit 301 (step S1503).
  • the vulnerability detection result collection unit 503 of the threat analysis server 105 adds data to the vulnerability detection result table 801 of the database 107 (step S1504).
  • the database 107 receives the data addition request, searches the vulnerability detection result table 801 using the combination of the device ID and vulnerability ID included in the request as a key, and records related to the combination of the corresponding device ID and vulnerability ID If there is no, create a new record and set the value of the corresponding item in the vulnerability detection result included in the request. Further, when there is already a record related to the combination of the corresponding device ID and the vulnerability ID in the vulnerability detection result table 801, the database 107 indicates the value of the corresponding item in the vulnerability detection result included in the request in the corresponding record. Update data.
  • step S1501 to S1504 is executed for each managed device 101, and is repeated by the number of managed devices 101.
  • a client-server configuration is adopted between the management target device 101 and the vulnerability detection apparatus 103, and the acquisition process for system information and the like is automated to improve the operation efficiency.
  • system information of the management target device 101 may be described in a data file format by a user using the client device 106 and the like, and may be input to the vulnerability detection device 103.
  • system information is periodically transmitted. However, a change in system information may be detected, and the system information may be transmitted when the system information changes.
  • FIG. 16 is a diagram showing an example of a flow showing a processing procedure related to vulnerability information acquisition processing in the present embodiment.
  • the vulnerability information collection unit 504 of the threat analysis server 105 requests the vulnerability information disclosure organization 104 to process vulnerability information transmission.
  • the vulnerability information disclosure organization 104 activates the vulnerability information output unit 403 and transmits the vulnerability information to the threat analysis server 105 (step S1601).
  • the method of exchanging information between the vulnerability information disclosure organization 104 and the threat analysis server 105 is based on the specification of the vulnerability information disclosure organization 104.
  • the vulnerability information collection unit 504 of the threat analysis server 105 that has received the vulnerability information from the vulnerability information disclosure organization 104 adds data to the vulnerability information table 802 of the database 107 (step S1602).
  • the database 107 receives the data addition request, searches the vulnerability information table 802 using the vulnerability ID included in the request as a key, and if there is no record related to the vulnerability ID, generates a new record, Set the value of the corresponding item in the vulnerability information to be included. Further, when a record related to the corresponding vulnerability ID already exists in the vulnerability information table 802, the database 107 updates the data with the value of the corresponding item in the vulnerability information included in the request in the corresponding record.
  • the vulnerability information acquisition process is automated between the vulnerability information disclosure organization 104 and the threat analysis server 105 to improve the operation efficiency.
  • FIG. 17 is a diagram showing an example of a flow showing a processing procedure related to the design information input processing in the present embodiment.
  • the design information input screen display unit 604 of the client device 106 displays a screen for design information input to the user via the input / output unit 602, and the design information (threat information from the viewpoint of the operator, Input of control operation information or the like is accepted (step S1701).
  • Design information can be entered in a form via GUI (Graphical User Interface) or by loading design information in a file format such as XML (Extensible Markup Language). Is not limited.
  • the client device 106 transmits design information to the threat analysis server 105 via the transmission / reception unit 601 (step S1702).
  • the design information collection unit 505 of the threat analysis server 105 adds data to the threat information table 803 and the control operation information table 804 from the operator perspective in the database 107 (step S1703). ).
  • the database 107 receives the data addition request, searches the threat information table 803 from the operator's viewpoint using the threat ID included in the request as a key, and if there is no record related to the threat ID, generates a new record, Set the value of the corresponding item in the threat information from the business operator's perspective.
  • the database 107 updates the data with the value of the corresponding item in the threat information from the provider viewpoint included in the request.
  • the database 107 receives the data addition request, searches the control operation information table 804 using the control operation ID included in the request as a key, and if there is no record related to the control operation ID, generates a new record, Set the value of the corresponding item in the control operation information included in. Further, when a record related to the corresponding control operation ID already exists in the control operation information table 804, the database 107 updates the data with the value of the corresponding item in the control operation information included in the request in the corresponding record.
  • FIG. 18 is a diagram illustrating an example of a flow showing a processing procedure related to the threat analysis processing in the present embodiment.
  • the client device 106 receives a user request via the input / output unit 602, and requests the threat analysis server 105 to perform threat analysis processing (step S1801).
  • the threat analysis server 105 Upon receiving the threat analysis processing request from the client device 106, the threat analysis server 105 activates the threat analysis processing unit 506, and detects the vulnerability detection result table 801, the vulnerability information table 802, and the threat information from the operator's viewpoint on the database 107. Each information is acquired from the table 803, the control operation information table 804, the vulnerability / control operation correspondence table 805, and the threat analysis result table 806 (step S1802).
  • the threat analysis server 105 collects information necessary for the threat analysis processing in a step S1802 and expands the information on the memory 703. However, information in each step of the threat analysis processing is used. It is also possible to access the database 107 each time when it becomes necessary and acquire only the necessary information.
  • step S1803 the threat analysis processing unit 506 of the threat analysis server 105 performs a threat analysis process based on the acquired information (step S1803).
  • threat analysis processing step S1803 will be described with reference to FIG.
  • FIG. 19 is a diagram showing an example of a flowchart relating to threat analysis processing.
  • the threat analysis processing unit 506 performs the processing from step S1902 to step S1909 on all detected vulnerabilities (step S1901). Details of steps S1902 to S1909 will be described later.
  • step S1902 the threat analysis processing unit 506 determines whether there is a threat analysis result in which the detected vulnerability-matching device matches the vulnerability type.
  • the threat analysis processing unit 506 searches the vulnerability information table 802 using the vulnerability ID included in the vulnerability detection result information as a key, and acquires the vulnerability type related to the corresponding vulnerability ID. Further, the threat analysis processing unit 506 searches the threat analysis result table 806 by using the combination of the device ID and the corresponding vulnerability type included in the vulnerability detection result information as a key, and relates to the combination of the corresponding device ID and the vulnerability type. If it is determined that there is no record, the processing in steps S1903 to S1906 is performed.
  • the threat analysis processing unit 506 determines in the threat analysis result table 806 that a record relating to the combination of the device ID and the vulnerability type already exists, the threat analysis processing unit 506 performs the process of step S1907.
  • the threat analysis result information is stored in the database 107 in association with the device ID and the vulnerability type, and the presence or absence of the vulnerability detection result is determined in the process of step S1902, so that steps S1903 to S1 are performed.
  • the processing of S1906 can be omitted, and the calculation amount of the threat analysis processing is reduced.
  • the threat analysis processing unit 506 when it is determined that there is no related threat detection result in the process of step S1902, the threat analysis processing unit 506 generates a set of control operations related to the detected vulnerability (step S1903).
  • the corresponding set is first generated as an empty set, and a control operation related to the vulnerability detected in the processing of steps S1904 to S1906 is added.
  • the threat analysis processing unit 506 performs the processing of step S1905 and step S1906 on all the control operations (step S1904).
  • step S1905 the threat analysis processing unit 506 determines whether there is a relationship between the detected vulnerability and the control operation.
  • the threat analysis processing unit 506 determines whether the device ID included in the vulnerability detection result information matches the start device ID or the end device ID included in the control operation information, and the corresponding device ID is the corresponding start device ID or If it is determined that it does not match the corresponding end device ID, step S1905 is terminated and step S1906 is omitted. If the threat analysis processing unit 506 determines that the corresponding device ID matches the corresponding start device ID, the threat analysis processing unit 506 sets the control operation point as “start point”. When the threat analysis processing unit 506 determines that the corresponding device ID matches the corresponding end device ID, the control operation point is set to “end point”.
  • control operation point means whether the device having the vulnerability is at the start point or the end point of the control operation as described above.
  • the threat analysis processing unit 506 searches the vulnerability information table 802 using the vulnerability ID included in the vulnerability detection result information as a key, and acquires a vulnerability type related to the corresponding vulnerability ID.
  • the threat analysis processing unit 506 searches the vulnerability / control operation correspondence table 805 using the combination of the corresponding vulnerability type, the control operation type included in the control operation information, and the corresponding control operation point as a key, and the corresponding vulnerability type.
  • Step S1906 is omitted if the vulnerability impact degree related to the combination of the control operation type and the control operation point is acquired and it is determined that the acquired vulnerability impact degree is “0%”. If the threat analysis processing unit 506 determines that the vulnerability impact level is greater than “0%”, it executes step S1906.
  • the threat analysis processing unit 506 collects the control operation related to the detected vulnerability. Add to.
  • the threat analysis processing unit 506 determines that there is a related threat detection result in the process of step S1902, the threat analysis processing unit 506 acquires a set of control operations included in the corresponding threat detection result and copies it. (Step S1907).
  • the threat analysis processing unit 506 determines whether the threat analysis result corresponding to the vulnerability detection result has been stored (step S1908).
  • the threat analysis processing unit 506 searches the threat analysis result table 806 using the combination of the device ID and the corresponding vulnerability ID included in the vulnerability detection result as a key, and there is no record relating to the combination of the corresponding device ID and the vulnerability ID. If it is determined, a new record is generated, and the value of the corresponding item in the set of control operations related to the vulnerability detection result information and the vulnerability is set (step S1909).
  • the control operation impact list 1405, the threat impact list 1407, and the system impact 1408 store values calculated by the impact evaluation process shown in FIG. If the threat analysis processing unit 506 determines in the threat analysis result table 806 that a record relating to the set of the device ID and vulnerability ID already exists, the process of step S1909 is omitted.
  • the threat analysis process (step S1803) is realized by the processes in steps S1901 to S1909.
  • the threat analysis server 105 performs an impact evaluation process after the threat analysis process (step S1803) ends (step S1804).
  • step S1804 The influence degree evaluation process (step S1804) will be described with reference to FIG.
  • FIG. 1 The illustrated Bayesian network graph model 2101 is referred to as needed.
  • FIG. 20 is a diagram illustrating an example of a flowchart relating to the influence degree evaluation process.
  • the impact evaluation processing unit 507 performs the processing from step S2002 to step S2008 on all the detected vulnerabilities based on the vulnerability detection result information in the vulnerability detection result table 801 (step S2001). . Details of steps S2002 to S2008 will be described later.
  • the impact evaluation processing unit 507 acquires a set of control operations related to the vulnerability (step S2002).
  • the impact evaluation processing unit 507 searches the threat analysis result table 806 using a pair of the device ID and the vulnerability ID included in the vulnerability detection result information as a key, and relates to the pair of the corresponding device ID and the vulnerability ID. Get a set of control operations.
  • the influence degree evaluation processing unit 507 adds a control operation node to the Bayesian network (step S2003).
  • the influence degree evaluation processing unit 507 adds a control operation included in the set of control operations as a Bayesian network node. However, duplicate control operations that have already been added are not added. In the example of the Bayesian network model in FIG. 21, all the control operation nodes 2102 (control operation nodes 2102_1 to 2102_n) are added.
  • the impact evaluation processing unit 507 adds a vulnerability node, a threat node, and a system node to the Bayesian network (step S2004).
  • the impact evaluation processing unit 507 adds a vulnerability corresponding to the vulnerability ID included in the vulnerability detection result information as a node of the Bayesian network.
  • one vulnerability node 2103 is added.
  • the control operation information table 804 is searched using the control operation ID included in the set of control operations as a key, the threat ID related to the corresponding control operation ID is acquired, and the threat corresponding to the corresponding threat ID is added as a node of the Bayesian network. .
  • all threat nodes 2104 are added. Further, the impact evaluation processing unit 507 adds the threat analysis target system as a node of the Bayesian network. In the example of the Bayesian network model in FIG. 21, one system node 2107 is added.
  • the impact evaluation processing unit 507 connects arcs between nodes (step S2005).
  • the impact evaluation processing unit 507 connects a one-way arc from the vulnerability node to all control operation nodes.
  • all the arcs 2105 (arc 2105_1 to arc 2105_n) from the vulnerability node 2103 to the control operation node 2102 are connected.
  • the influence degree evaluation processing unit 507 connects a one-way arc from the related control operation node to the threat node based on the relationship between the control operation ID and the threat ID included in the control operation information.
  • all the arcs 2106 (arc 2106_1 to arc 2106_k) from the control operation node 2102 to the threat node 2104 are connected. Further, the impact evaluation processing unit 507 connects a one-way arc from all threat nodes to the system node. In the example of the Bayesian network model in FIG. 21, all the arcs 2108 (arc 2108_1 to arc 2108_m) from the threat node 2104 to the system node 2107 are connected.
  • the influence degree evaluation processing unit 507 sets a conditional probability table that is a parameter of the Bayesian network (step S2006).
  • the impact evaluation processing unit 507 sets parameters based on the attack ease 1003 included in the vulnerability information table 802 and the vulnerability impact 1304 of the vulnerability / control operation correspondence table 805.
  • the influence degree evaluation processing unit 507 calculates a probability using a Bayesian network (step S2007).
  • a probability propagation method or the like can be used as the probability calculation method, and the form is not limited.
  • the degree-of-impact evaluation processing unit 507 uses the control operation node peripheral probability calculated by the Bayesian network as the control operation influence degree, the threat node peripheral probability as the threat influence degree, and the system node peripheral probability as the system influence degree. It is said. Note that the weighted average evaluation of the threat influence degree may be used as the system influence degree.
  • the impact assessment processing unit 507 stores the processing result of the impact assessment processing unit 507 in the database 107 (step S2008).
  • the impact evaluation processing unit 507 searches the threat analysis result table 806 using a pair of the device ID and the vulnerability ID included in the vulnerability detection result information as a key, and relates to the pair of the corresponding device ID and the vulnerability ID.
  • the data is updated with the value of the corresponding item among the processing results of the influence evaluation processing unit 507.
  • the impact evaluation process is realized by the processes in steps S2001 to S2008 described above.
  • the threat analysis server 105 activates the threat analysis result output unit 508 after the impact evaluation processing (step S1804) is completed, and sends the threat analysis result to the threat analysis result collection unit 606 of the client device 106 via the transmission / reception unit 501. Transmit (step S1805).
  • the client device 106 Upon receipt of the threat analysis result, the client device 106 activates the threat analysis result screen display unit 607 and displays the threat analysis result screen to the user via the input / output unit 602.
  • FIG. 22 is a diagram showing an example of the threat analysis result screen.
  • a list of detected vulnerabilities is displayed in the first display area 2202 of the threat analysis result screen 2201 based on the vulnerability detection result information in the vulnerability detection result table 801.
  • the vulnerability ID included in the vulnerability detection result information, other device information, and the like are displayed.
  • the threat analysis result screen 2201 includes a check box 2203 for selecting the detected vulnerability.
  • a method for selecting a vulnerability pull-down, keyword input in a form, and the like can be used, and the form is not limited.
  • the system impact level of the selected vulnerability is displayed based on the threat analysis result information in the threat analysis result table 806.
  • a control operation related to the selected vulnerability based on the threat analysis result information of the threat analysis result table 806, the control operation influence degree, the threat, The threat impact level is tabulated and displayed.
  • the detected vulnerability is selected and only the threat analysis result related to the vulnerability is displayed, thereby enabling efficient display on a screen with a limited size. All threat analysis results may be listed and displayed without selecting a vulnerability.
  • the threat analysis result screen 2201 includes a button 2206 for transitioning to a design information input screen.
  • the results of analyzing threats on a device-by-device basis can be converted into threat analysis from the operator's point of view based on safety design information that has been performed manually in advance. Enable conversion. Further, by displaying the threat analysis result screen 2201 on the client device 106, a user who browses the screen quickly grasps the threat from the viewpoint of the operator that can cause the vulnerability, and the magnitude of the impact, for example. Can easily grasp whether it meets the security requirements, and it is possible to determine the priority of vulnerabilities to be addressed.
  • the threat analysis result screen (threat analysis result including the relationship between the associated vulnerability and the threat) as shown in FIG. 22 has been described.
  • the method of outputting the threat analysis result is not limited to the above.
  • the threat analysis result may be printed on a medium such as paper, transmitted to a predetermined mail address by e-mail, or stored in an external storage device. .
  • the vulnerability included in the device may be associated with the threat in the threat analysis target system, and the relationship between the associated vulnerability and the threat may be output, or the vulnerability included in the device and the threat in the threat analysis target system may be output.
  • the control operation related to the device may be associated, and the relationship between the associated vulnerability, threat, and control operation may be output.
  • the magnitude of the effect of the vulnerability included in the device on the threat in the threat analysis target system may be evaluated using a predetermined algorithm (for example, a Bayesian network).
  • a predetermined algorithm for example, Bayesian network
  • the evaluation result may be output or may not be output by being used for internal processing (for example, display order control).
  • this invention is not limited to the above-mentioned Example, Various modifications are included.
  • the above-described embodiments have been described in detail for easy understanding of the present invention, and are not necessarily limited to those having all the configurations described.
  • a part of the configuration of one embodiment can be replaced with the configuration of another embodiment, and the configuration of another embodiment can be added to the configuration of one embodiment.
  • each of the above-described configurations, functions, processing units, processing means, and the like may be realized by hardware by designing a part or all of them with, for example, an integrated circuit.
  • Each of the above-described configurations, functions, and the like may be realized by software by interpreting and executing a program that realizes each function by the processor.
  • Information such as programs, tables, and files that realize each function can be stored in a recording device such as a memory, a hard disk, or an SSD (Solid State Drive), or a recording medium such as an IC card, an SD card, or a DVD.
  • control lines and information lines indicate what is considered necessary for the explanation, and not all control lines and information lines on the product are necessarily shown. Actually, it may be considered that almost all the components are connected to each other.
  • the relationship between the vulnerability and the threat from the operator's perspective is analyzed, and the threat more suitable for the security requirements of the system Analysis becomes possible.
  • the system administrator of the company operating the system and the engineer (SE) who developed the business system are vulnerable to the relationship between the vulnerability and the threat from the operator's perspective, taking into account the threats considered at the time of design.
  • the priority of security measures can be presented in an easy-to-understand manner, and the user can help determine the necessity and importance of vulnerability measures.

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • General Engineering & Computer Science (AREA)
  • Computing Systems (AREA)
  • Computer Hardware Design (AREA)
  • Physics & Mathematics (AREA)
  • Theoretical Computer Science (AREA)
  • General Physics & Mathematics (AREA)
  • Signal Processing (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Software Systems (AREA)
  • Computational Mathematics (AREA)
  • Pure & Applied Mathematics (AREA)
  • Mathematical Optimization (AREA)
  • Mathematical Physics (AREA)
  • Mathematical Analysis (AREA)
  • Evolutionary Computation (AREA)
  • Data Mining & Analysis (AREA)
  • Artificial Intelligence (AREA)
  • Algebra (AREA)
  • Probability & Statistics with Applications (AREA)
  • Management, Administration, Business Operations System, And Electronic Commerce (AREA)

Abstract

脅威分析対象システムを構成する機器と機器に含まれる脆弱性とが対応付けられた第１情報と、機器と脅威分析対象システムで想定される事業者視点の脅威とが対応付けられた第２情報と、を記憶する記憶部と、記憶部に記憶されている第１情報と第２情報とに基づいて、機器に含まれる脆弱性と脅威分析対象システムにおける脅威とを関連付ける脅威分析処理部と、脅威分析処理部により関連付けられた脆弱性と脅威との関係を出力する脅威分析結果出力部と、を設けるようにした。

Description

脅威分析システムおよび分析方法
　本発明は脅威分析システムおよび分析方法に関し、例えば脆弱性と事業者視点の脅威との関係を分析する脅威分析システムおよび分析方法に適用して好適なものである。
　一般的に、ＩＴ（Information　Technology）システムは、多種多様なソフトウェアから構成されている。これらソフトウェアには、プログラム上の不具合、仕様上の問題点などのソフトウェア脆弱性と呼ばれる欠陥が残っており、後から発見される場合がある。実際、公的なセキュリティ団体は、発見されたソフトウェアの脆弱性情報をデータベース化し、年間で約５，０００件ものソフトウェア脆弱性について注意喚起を行っている。
　一方で、脆弱性情報が公開された直後から、悪意のある攻撃者による同脆弱性を利用した攻撃が著しく増加する傾向にあることが知られている。そのため、情報システムを運用するシステム管理者は、公開された脆弱性情報に敏感に反応し、迅速な対応判断が求められる。
　しかしながら、多数公開される脆弱性に対して、迅速に対応することは容易ではない。脆弱性の対処では、システム管理者が日常的に漏れなく公開された脆弱性情報を確認し、自身が管理するシステムに関係するかを特定し、その脆弱性の影響を評価する必要があり、多くの工数と時間とがかかってしまう。
　そこで、システム情報および脆弱性情報を収集し、システムに内在する脆弱性を特定し、その脆弱性がシステムにもたらすリスクを評価する技術が必要となっている。このようなシステムの脆弱性を管理、評価する従来技術としては、例えば、製品ＤＢ（database）および脆弱性キーワードＤＢに脆弱性の特性を示すキーワードを複数記憶させておき、キーワード抽出部が、脆弱性関連情報収集部により収集した脆弱性情報から、製品ＤＢおよび脆弱性キーワードＤＢに蓄積されているキーワードに合致するキーワードを抽出し、優先度判定部が、優先度判定ＤＢの内容に従い、キーワード抽出結果に基づいて脆弱性情報の優先度を判定し、出力部が優先度の判定結果を出力する情報処理装置が提案されている（特許文献１参照）。この技術においては、製品情報と脆弱性情報とから脅威分析することで、脆弱性対策の効率化を図っている。
特開２００７－０５８５１４号公報
　従来技術では、脆弱性情報と製品情報とをキーワードに基づいて対応付けることで、膨大な脆弱性情報の中から管理対象のシステムに関係する脆弱性を特定可能にする。また、脆弱性の技術的な側面を分析することで、システムを構成する機器単位で脅威を分析することが可能になっている。
　しかしながら、昨今では、インターネットを介してＩＴシステムに医療機器、インフラ装置などが繋がることが多く、機器単位で脅威を分析するだけでは不十分になってきている。なぜなら、医療機器などは人体への影響を与え得るモノであるため、機器の停止、機器からの情報漏えいといった機器単位で発生する脅威よりも、人体への悪影響といった事業者視点からみた脅威の方がセキュリティ要件として重要となっているからである。
　本発明は以上の点を考慮してなされたもので、よりシステムのセキュリティ要件に適した脅威分析を可能にする脅威分析システムおよび分析方法を提案しようとするものである。
　かかる課題を解決するため本発明においては、脅威分析対象システムを構成する機器と前記機器に含まれる脆弱性とが対応付けられた第１情報と、前記機器と前記脅威分析対象システムで想定される事業者視点の脅威とが対応付けられた第２情報と、を記憶する記憶部と、前記記憶部に記憶されている第１情報と第２情報とに基づいて、前記機器に含まれる脆弱性と前記脅威分析対象システムにおける脅威とを関連付ける脅威分析処理部と、前記脅威分析処理部により関連付けられた脆弱性と脅威との関係を出力する脅威分析結果出力部と、を設けるようにした。
　また本発明においては、脅威分析対象システムを構成する機器と前記機器に含まれる脆弱性とが対応付けられた第１情報と、前記機器と前記脅威分析対象システムで想定される事業者視点の脅威とが対応付けられた第２情報と、を記憶する記憶部を有する脅威分析システムにおける分析方法であって、脅威分析処理部が、前記記憶部に記憶されている第１情報と第２情報とに基づいて、前記機器に含まれる脆弱性と前記脅威分析対象システムにおける脅威とを関連付ける第１のステップと、脅威分析結果出力部が、前記脅威分析処理部により関連付けられた脆弱性と脅威との関係を出力する第２のステップと、を設けるようにした。
　上記構成によれば、脆弱性と事業者視点の脅威との関係を分析することができる。
　本発明によれば、よりシステムのセキュリティ要件に適した脅威分析が可能となる。
第１の実施の形態による脅威分析システムに係る構成の一例を示す図である。 第１の実施の形態による管理対象機器の機能構成の一例を示す図である。 第１の実施の形態による脆弱性検出装置の機能構成の一例を示す図である。 第１の実施の形態による脆弱性情報公開機関の機能構成の一例を示す図である。 第１の実施の形態による脅威分析サーバの機能構成の一例を示す図である。 第１の実施の形態によるクライアント装置の機能構成の一例を示す図である。 第１の実施の形態によるコンピュータのハードウェア構成の一例を示す図である。 第１の実施の形態によるデータベース上に格納されるデータテーブルの一例を示す図である。 第１の実施の形態による脆弱性検出結果テーブルの一例を示す図である。 第１の実施の形態による脆弱性情報テーブルの一例を示す図である。 第１の実施の形態による脅威情報テーブルの一例を示す図である。 第１の実施の形態による制御操作情報テーブルの一例を示す図である。 第１の実施の形態による脆弱性／制御操作対応テーブルの一例を示す図である。 第１の実施の形態による脅威分析結果テーブルの一例を示す図である。 第１の実施の形態による脆弱性検出処理に係る処理手順を示すフローの一例を示す図である。 第１の実施の形態による脆弱性情報取得処理に係る処理手順を示すフローの一例を示す図である。 第１の実施の形態による設計情報入力処理に係る処理手順を示すフローの一例を示す図である。 第１の実施の形態による脅威分析処理に係る処理手順を示すフローの一例を示す図である。 第１の実施の形態による脅威分析処理に係るフローチャートの一例を示す図である。 第１の実施の形態による影響度評価処理に係るフローチャートの一例を示す図である。 第１の実施の形態によるベイジアンネットワークモデルの一例を示す図である。 第１の実施の形態による脅威分析結果画面の一例を示す図である。
　以下図面について、本発明の一実施の形態を詳述する。
（１）第１の実施の形態
　図１において、１０は第１の実施の形態による脅威分析システムを示す。
（システム構成）
　図１は、本実施の形態の脅威分析システム１０に係る構成の一例を示す図である。脅威分析システム１０は、脆弱性情報、脆弱性がもたらす機器単位での脅威の情報に加え、脆弱性と事業者視点の脅威との関係を分析し、よりシステムのセキュリティ要件に適した脅威分析を可能とするコンピュータシステムである。
　脅威分析システム１０は、脅威分析サーバ１０５とデータベース１０７とを備え、ネットワーク１０２（ネットワーク１０２＿１、ネットワーク１０２＿２、インターネット１０２＿３等）を介して、管理対象機器１０１（管理対象機器１０１＿１～１０１＿ｎ）の脆弱性を検出する脆弱性検出装置１０３、脆弱性情報公開機関１０４、およびクライアント装置１０６と通信可能に接続されている。
　管理対象機器１０１は、管理者が脅威分析対象として管理するシステム（脅威分析対象システム）を構成する機器であり、一または複数の管理対象機器１０１を含んで構成される。本実施の形態において評価対象となるのは、管理対象機器１０１が保有する脆弱性がもたらすリスクである。
　脆弱性検出装置１０３は、脅威分析の対象システム、すなわち管理対象機器１０１に関する情報（システム情報、各管理対象機器１０１の識別情報など）を収集し、管理対象機器１０１が保有する脆弱性を検出する装置である。
　脆弱性情報公開機関１０４は、インターネット１０２＿３上で脆弱性情報を公開している所定機関のサーバ装置である。脆弱性情報公開機関１０４の運営機関の例としては、コンピュータウィルスの検出と対処など各種セキュリティ対策サービスを提供する企業、ＯＳ（Operating　System）の提供企業などが想定できる。こうした運営機関は、特定の情報処理装置、ＯＳ、またはソフトウェアに関して得ている、情報セキュリティに関する脆弱性情報を脆弱性情報公開機関１０４によって公開する。
　脅威分析サーバ１０５は、データベース１０７上の情報と、クライアント装置１０６を介して受けた管理者の要求とに基づいて、本実施の形態の脅威分析方法に対応する各手順を実行するサーバ装置である。脅威分析サーバ１０５は、脆弱性検出装置１０３の機能（構成）を含んで構成してもよい。
　クライアント装置１０６は、管理者が直接操作する一般的なコンピュータ端末であり、脅威分析サーバ１０５による処理結果、すなわち脅威分析結果の主たる出力先となる装置となる。
　データベース１０７は、脆弱性検出装置１０３が導出した脆弱性検出結果と、脅威分析サーバ１０５が収集した脆弱性情報、脅威分析サーバ１０５が導出した脅威分析結果などを格納する記憶装置であり、ネットワーク１０２＿２を介して脅威分析サーバ１０５と通信可能に接続されている。なお、データベース１０７は、脅威分析サーバ１０５の外部記憶装置７０４（図７参照）に格納さる構成としても好適である。
　脅威分析システム１０については、脅威分析サーバ１０５がデータベース１０７にアクセス可能である構成を適宜に採用でき、脅威分析システム１０は、データベース１０７を含んでいてもよいし、含んでいなくてもよい。また、脅威分析システム１０は、脅威分析サーバ１０５以外の装置（脆弱性検出装置１０３、クライアント装置１０６等）を適宜含んで構成されてもよい。
　なお、管理対象機器１０１と脆弱性検出装置１０３とは、ネットワーク１０２＿１を介して接続され、脆弱性情報公開機関１０４と脅威分析サーバ１０５とは、インターネット１０２＿３を介して接続されている。ただし、ネットワーク１０２＿１，１０２＿３は、必須ではなく、脆弱性検出装置１０３がＵＳＢ（Universal　Serial　Bus）からの読み取り、適宜なインタフェースからのユーザ入力動作を受けてデータを取得する構成としてもよい。また、本実施の形態においては、ネットワーク１０２＿１，１０２＿２，１０２＿３については異なるネットワークとして例示したが、同一のネットワークであってもよい。付言するならば、図１に示す構成において符号を付した構成要素は、実施の形態に応じて複数であるとしてもよい。
（機能構成）
　脅威分析システム１０が備える機能について説明する。ここでは、脅威分析サーバ１０５のみならず、例えば脅威分析システム１０を含む各装置が、そのメモリ７０３ないし外部記憶装置７０４（図７参照）にて備える適宜なプログラムを実行することで実装（実現）される機能についてそれぞれ説明するものとする。
　図２は、管理対象機器１０１の機能構成の一例を示す図である。管理対象機器１０１は、送受信部２０１および制御部２０２を含んで構成されている。
　送受信部２０１は、ネットワーク１０２＿１を介して、脆弱性検出装置１０３との間で情報の送受信を行う処理部である。
　制御部２０２は、システム情報出力部２０３を含んで構成されている。システム情報出力部２０３は、管理対象機器１０１の識別情報を示すＩＤ（identification）、機器名などの機器に関する情報を収集し、収集した機器に関する情報を送受信部２０１を介して脆弱性検出装置１０３に送信する処理部である。
　システム情報出力部２０３における情報収集には、管理対象機器１０１におけるＯＳの標準的な機能を利用することができるが、その他にも、セキュリティ検査言語（ＯＶＡＬ：Open　Vulnerability　and　Assessment　Language）で定義された検査仕様に基づく情報収集ツールなどを利用してもよく、形態は限定しない。
　図３は、脆弱性検出装置１０３の機能構成の一例を示す図である。脆弱性検出装置１０３は、送受信部３０１および制御部３０２を含んで構成されている。
　送受信部３０１は、ネットワーク１０２＿１，１０２＿２を介して情報の送受信を行う処理部である。
　制御部３０２は、システム情報収集部３０３、脆弱性検出処理部３０４、および脆弱性検出結果出力部３０５を含んで構成されている。システム情報収集部３０３は、送受信部３０１を介して、管理対象機器１０１からシステム情報を受信する処理部である。脆弱性検出処理部３０４は、所定のアルゴリズムに基づいて機器が保有する脆弱性を検出する処理部である。なお、脆弱性を検出する方法としては、管理対象機器１０１が保有するソフトウェア情報から関連する脆弱性を検索する方法、管理対象機器１０１上で検査コードを実行する方法などを利用してもよく、形態は限定しない。脆弱性検出結果出力部３０５は、脆弱性検出処理部３０４の処理結果（脆弱性検出結果）を、送受信部３０１を介して脅威分析サーバ１０５に送信する処理部である。
　図４は、脆弱性情報公開機関１０４の機能構成の一例を示す図である。脆弱性情報公開機関１０４は、送受信部４０１および制御部４０２を含んで構成されている。
　送受信部４０１は、ネットワーク１０２＿３を介して脅威分析サーバ１０５との間で情報の送受信を行う処理部である。
　制御部４０２は、脆弱性情報出力部４０３を含んで構成されている。脆弱性情報出力部４０３は、送受信部４０１を介して、脅威分析サーバ１０５に対して脆弱性情報を送信する。脆弱性情報公開機関１０４における情報の収集、管理の手法は、脆弱性情報公開機関１０４の仕様、脆弱性情報公開機関１０４の運営企業などにより異なるため、ここでは特に限定しない。また、本実施の形態では、一の（全て同じ）脆弱性情報公開機関１０４から情報を受信する例を挙げているが、異なる脆弱性情報公開機関１０４から情報を受信してもよく、形態は限定しない。
　図５は、脅威分析サーバ１０５の機能構成の一例を示す図である。脅威分析サーバ１０５は、送受信部５０１および制御部５０２を含んで構成されている。
　送受信部５０１は、ネットワーク１０２＿２，１０２＿３を介して情報の送受信を行う処理部である。
　制御部５０２は、脆弱性検出結果収集部５０３、脆弱性情報収集部５０４、設計情報収集部５０５、脅威分析処理部５０６、影響度評価処理部５０７、および脅威分析結果出力部５０８を含んで構成されている。
　脆弱性検出結果収集部５０３は、送受信部５０１を介して脆弱性検出装置１０３から脆弱性検出結果を受信し、受信した脆弱性検出結果をデータベース１０７に保存する処理部である。
　脆弱性情報収集部５０４は、送受信部５０１を介して脆弱性情報公開機関１０４から脆弱性情報を受信し、受信した脆弱性情報をデータベース１０７に保存する処理部である。
　設計情報収集部５０５は、送受信部５０１を介してクライアント装置１０６から設計情報を受信し、受信した設計情報をデータベース１０７に保存する処理部である。
　脅威分析処理部５０６は、データベース１０７上の各情報を利用して、例えば、管理対象機器１０１が保有する脆弱性が設計情報で定義された事業者視点での脅威に関連するかを分析する処理部である。
　付言するならば、脅威分析処理部５０６は、例えば、記憶部（例えば、データベース１０７）に記憶されている、脅威分析対象システムを構成する機器（例えば、管理対象機器１０１）と機器に含まれる脆弱性とが対応付けられた第１情報（例えば、後述の脆弱性検出結果テーブル８０１における機器ＩＤ９０１および脆弱性ＩＤ９０２）と、機器と脅威分析対象システムで想定される事業者視点の脅威とが対応付けられた第２情報（例えば、後述の制御操作情報テーブル８０４における脅威ＩＤ１２０２、並びに、始点機器ＩＤ１２０４および／または終点機器ＩＤ１２０５）と、に基づいて、機器に含まれる脆弱性と脅威分析対象システムにおける脅威とを関連付ける。また、例えば、脅威分析処理部５０６は、記憶部に記憶されている、機器に含まれる脆弱性の種別と、機器に係る制御操作の種別と、脆弱性が制御操作に与える脆弱性影響度とが対応付けられた第３情報（例えば、後述の脆弱性／制御操作対応テーブル８０５における脆弱性種別１３０１、制御操作種別１３０２、および脆弱性影響度１３０４）に基づいて、機器に含まれる脆弱性の種別と機器に係る制御操作の種別とに対応する脆弱性影響度が所定の値（例えば、０％より大きい値）である制御操作を更に関連付ける。
　影響度評価処理部５０７は、脅威分析処理部５０６が導き出した脅威分析の結果から、例えば、管理対象機器１０１が保有する脆弱性が設計情報で定義された事業者視点での脅威に与える影響の大きさを算定する処理部である。付言するならば、影響度評価処理部５０７は、例えば、機器（例えば、管理対象機器１０１）に含まれる脆弱性が脅威分析対象システムにおける脅威に与える影響の大きさを所定のアルゴリズム（例えば、ベイジアンネットワーク）を用いて評価する。
　脅威分析結果出力部５０８は、送受信部５０１を介して、クライアント装置１０６に対し、脅威分析処理部５０６および影響度評価処理部５０７が導き出した脅威分析結果を送信する処理部である。
　脅威分析サーバ１０５における各機能部による処理の詳細については、図１９および図２０を用いて後述するものとする。
　図６は、クライアント装置１０６の機能構成の一例を示す図である。クライアント装置１０６は、送受信部６０１、入出力部６０２、および制御部６０３を含んで構成されている。
　送受信部６０１は、ネットワーク１０２＿２を介して情報の送受信を行う処理部である。
　入出力部６０２は、キーボード、ポインティングデバイスなどのインタフェース機器を介してシステム管理者などのユーザからの入力を制御し、モニタなどのインタフェース機器を介してユーザ向けの出力処理を制御する処理部である。
　制御部６０３は、設計情報入力画面表示部６０４、設計情報出力部６０５、脅威分析結果収集部６０６、および脅威分析結果画面表示部６０７を含んで構成されている。設計情報入力画面表示部６０４は、入出力部６０２を介して、ユーザに対して情報入力のための画面を表示し、脅威分析対象システムの設計情報の入力を受け付ける処理部である。設計情報出力部６０５は、送受信部６０１を介して、設計情報入力画面表示部６０４で受け付けた設計情報を脅威分析サーバ１０５に送信する処理部である。脅威分析結果収集部６０６は、送受信部６０１を介して、脅威分析サーバ１０５から脅威分析結果を受信する処理部である。脅威分析結果画面表示部６０７は、入出力部６０２を介して、ユーザに対して脅威分析結果収集部６０６が受信した脅威分析結果を表示する処理部である。
（ハードウェア構成）
　図７は、コンピュータ７０１のハードウェア構成の一例を示す図である。管理対象機器１０１、脆弱性検出装置１０３、脆弱性情報公開機関１０４、および脅威分析サーバ１０５の各々は、コンピュータ７０１により構成される。
　コンピュータ７０１は、ＣＰＵ７０２（Central　Processing　Unit）、ＲＡＭ（Random　Access　Memory）など揮発性記憶素子で構成されるメモリ７０３、ＳＳＤ（Solid　State　Drive）、ハードディスクドライブなど適宜な不揮発性記憶素子で構成される外部記憶装置７０４、ネットワークインターフェイスカード（ＮＩＣ：Network　Interface　Card）などの送受信装置７０５、ディスプレイなどの出力装置７０６、およびポインティングデバイス、キーボードなどの入力装置７０７を含んで構成されている。
　出力装置７０６および入力装置７０７については、管理対象機器１０１、脆弱性検出装置１０３、脆弱性情報公開機関１０４、および脅威分析サーバ１０５のいずれも備えないとしてもよい。
　また、図２～図６で例示した各装置の制御部２０２，３０２，４０２，５０２，６０３、送受信部２０１，３０１，４０１，５０１，６０１、および入出力部６０２は、ＣＰＵ７０２が上述の外部記憶装置７０４に記憶された適宜なプログラムをメモリ７０３にロードし実行することで実装される。なお、送受信部２０１，３０１，４０１，５０１，６０１は、送受信装置７０５により実装されてもよい。また、入出力部６０２は、出力装置７０６および入力装置７０７により実装されてもよい。
（データ構成）
　脅威分析サーバ１０５が利用するデータの構成例について説明する。脅威分析サーバ１０５にて利用するデータは、少なくとも、脆弱性検出装置１０３により管理対象機器１０１が保有する脆弱性を検出した脆弱性検出結果情報、脆弱性情報公開機関１０４が公開する脆弱性情報、ユーザが入力する脅威分析対象システムの設計情報、および脆弱性と脅威とを対応付けるためのルールとなる対応付け情報を含んでいる。
　図８は、データベース１０７上に格納されるデータテーブルの一例を示す図である。データベース１０７では、脆弱性検出結果テーブル８０１、脆弱性情報テーブル８０２、事業者視点の脅威情報テーブル８０３、制御操作情報テーブル８０４、脆弱性／制御操作対応テーブル８０５、脅威分析結果テーブル８０６等を格納している。各テーブル間は、互いのレコードが含む所定のＩＤなどにより相互に関連付けられている。各テーブルの詳細について図９～図１４を用いて説明する。
　図９は、脆弱性検出結果テーブル８０１の一例を示す図である。図９において、脆弱性検出結果テーブル８０１は、機器ＩＤ９０１、脆弱性ＩＤ９０２、およびその他機器情報９０３をデータ項目として有する。
　機器ＩＤ９０１は、機器に対してユニークに割り当てられた識別子である。脆弱性ＩＤ９０２は、対応する機器ＩＤ９０１が表す機器が保有する脆弱性のＩＤである。図９の例では、機器ＩＤ９０１と脆弱性ＩＤ９０２との組により機器と脆弱性との保有関係を管理している。その他機器情報９０３は、機器名など、機器に関する情報である。例えば、ユーザが「鉄道の踏切制御システム」を脅威分析対象システムとしており、機器名「踏切制御装置」という機器（機器の識別子「ＤＥＶ１１１」）が脆弱性「ＶＵＬ－２０１７－０９３０」という脆弱性を保有していた場合、本実施の形態では、機器ＩＤ９０１に「ＤＥＶ１１１」、脆弱性ＩＤ９０２に「ＶＵＬ－２０１７－０９３０」、その他機器情報９０３に「踏切制御装置」を持つレコードが格納される。
　図１０は、脆弱性情報テーブル８０２の一例を示す図である。図１０において、脆弱性情報テーブル８０２は、脆弱性ＩＤ１００１、脆弱性種別１００２、攻撃容易性１００３、およびその他脆弱性情報１００４をデータ項目として有する。
　脆弱性ＩＤ１００１は、脆弱性に対してユニークに割り当てられた識別子である。脆弱性種別１００２は、脆弱性の種別である。一般的に、脆弱性情報公開機関１０４では、ＣＷＥ（Common　Weakness　Enumeration）などの標準的なセキュリティ規格に基づいて、個々の脆弱性に対して、種別を付与してセキュリティ情報を公開しており、脆弱性種別１００２として、同種別を利用することが可能である。攻撃容易性１００３は、脆弱性を狙った攻撃の発生確率、またはスコアである。一般的に、脆弱性情報公開機関１０４では、ＣＶＳＳ（Common　Vulnerability　Scoring　System）などの標準的なセキュリティ規格に基づいて、個々の脆弱性に対して、技術特性の観点から攻撃容易性、機器への影響度などのスコアを付与してセキュリティ情報を公開しており、攻撃容易性１００３として、同スコアを利用することが可能である。その他脆弱性情報１００４は、脆弱性の概要など、脆弱性に関する情報である。
　図１１は、事業者視点の脅威情報テーブル８０３の一例を示す図である。図１１において、事業者視点の脅威情報テーブル８０３は、脅威ＩＤ１１０１、脅威度１１０２、およびその他脅威情報１１０３をデータ項目として有する。
　脅威ＩＤ１１０１は、脅威に対してユニークに割り当てられた識別子である。脅威度１１０２は、脅威が発生した場合に被る被害の大きさのスコアである。その他脅威情報１１０３は、脅威名など、脅威に関する情報である。本実施の形態では、脅威情報は、ユーザが入力する情報であり、設計方法により形態は異なる。例えば、設計方法としては、ＳＴＡＭＰ／ＳＴＰＡ（System　Theoretic　Accident　Model　and　Processes　/　System　Theoretic　Process　Analysis）を利用してもよく、その場合は、ＳＴＡＭＰ／ＳＴＰＡで定義される「アクシデント」が本実施の形態における脅威となる。
　図１２は、制御操作情報テーブル８０４の一例を示す図である。図１２において、制御操作情報テーブル８０４は、制御操作ＩＤ１２０１、脅威ＩＤ１２０２、制御操作種別１２０３、始点機器ＩＤ１２０４、終点機器ＩＤ１２０５、およびその他制御操作情報１２０６をデータ項目として有する。
　制御操作ＩＤ１２０１は、制御操作（制御指示）に対してユニークに割り当てられた識別子である。脅威ＩＤ１２０２は、対応する制御操作ＩＤ１２０１に関係する脅威のＩＤである。図１２の例では、制御操作ＩＤ１２０１と脅威ＩＤ１２０２との組により制御操作と脅威との関係を管理している。制御操作種別１２０３は、制御操作の種別である。例えば、ＳＴＡＭＰ／ＳＴＰＡでは、制御操作を分類しており、制御操作種別１２０３として同種別を利用するが可能である。始点機器ＩＤ１２０４は、対応する制御操作を実施／送信する機器のＩＤである。終点機器ＩＤ１２０５は、対応する制御操作を受信する機器のＩＤである。図１２の例では、始点機器ＩＤ１２０４と終点機器ＩＤ１２０５との組により制御操作を実施する機器とその制御操作を受ける機器との関係を管理している。なお、制御操作を受ける対象となる機器がない場合は、終点機器ＩＤを空欄にすることで管理する方法が可能である。
　その他制御操作情報１２０６は、制御操作名など、制御操作に関する情報である。例えば、上述の「鉄道の踏切制御システム」に対して行った、ＳＴＡＭＰ／ＳＴＰＡを用いた設計で、機器名「踏切制御装置」（機器ＩＤ「ＤＥＶ１１１」）から機器名「障害物検出装置」（機器ＩＤ「ＤＥＶ２２２」）への制御操作「障害物検出開始の指示」（制御操作ＩＤ「ＡＣ３３３」）の不具合が脅威「踏切内で自動車と衝突する」（脅威ＩＤ「Ｔ４４４」）に繋がるという設計結果が得られた場合、本実施の形態では、制御操作ＩＤ１２０１に「ＡＣ３３３」、脅威ＩＤ１２０２に「Ｔ４４４」、始点機器ＩＤ１２０４に「ＤＥＶ１１１」、終点機器ＩＤ１２０５に「ＤＥＶ２２２」、その他制御操作情報１２０６に「障害物検出開始の指示」を持つレコードを格納する。
　図１３は、脆弱性／制御操作対応テーブル８０５の一例を示す図である。図１３において、脆弱性／制御操作対応テーブル８０５は、脆弱性種別１３０１、制御操作種別１３０２、制御操作点１３０３、および脆弱性影響度１３０４をデータ項目として有する。
　脆弱性種別１３０１は、脆弱性の種別である。制御操作種別１３０２は、制御操作の種別である。図１３の例では、脆弱性種別１３０１と制御操作種別１３０２との組によりそれぞれの種別単位で脆弱性と制御操作との関係を管理している。制御操作点１３０３は、脆弱性が存在する機器が制御操作の始点にあるか、または終点にあるかを表す２値の値である。脆弱性影響度１３０４は、脆弱性が攻撃された場合、制御操作が阻害される確率、またはスコアである。本実施の形態では、脆弱性／制御操作対応情報については、有識者が事前に定義し、脅威分析システム１０が稼動する前に格納しておく情報である。
　図１４は、脅威分析結果テーブル８０６の一例を示す図である。図１４において、脅威分析結果テーブル８０６は、機器ＩＤ１４０１、脆弱性ＩＤ１４０２、脆弱性種別１４０３、制御操作ＩＤのリスト１４０４、制御操作影響度のリスト１４０５、脅威ＩＤのリスト１４０６、脅威影響度のリスト１４０７、およびシステム影響度１４０８をデータ項目として有する。
　機器ＩＤ１４０１は、機器に対してユニークに割り当てられた識別子である。脆弱性ＩＤ１４０２は、対応する機器ＩＤ１４０１が表す機器が保有する脆弱性のＩＤである。図１４の例では、機器ＩＤ１４０１と脆弱性ＩＤ１４０２との組により、脆弱性検出結果テーブル８０１の脆弱性検出結果と脅威分析結果とを対応付けており、１レコードに検出された脆弱性１つに対する脅威分析結果を格納している。脆弱性種別１４０３は、脆弱性の種別である。
　制御操作ＩＤのリスト１４０４は、検出された脆弱性に関係する制御操作のＩＤのリストである。制御操作影響度のリスト１４０５は、制御操作が阻害される確率、またはスコアのリストである。制御操作影響度のリスト１４０５には、制御操作ＩＤのリスト１４０４の制御操作ＩＤ毎に対応する制御操作影響度がリスト化されている。脅威ＩＤのリスト１４０６は、検出された脆弱性に関係する脅威のＩＤのリストである。脅威影響度のリスト１４０７は、脅威が発生される確率、またはスコアのリストである。脅威影響度のリスト１４０７には、脅威ＩＤのリスト１４０６の脅威ＩＤ毎に対応する脅威影響度がリスト化されている。システム影響度１４０８は、検出された脆弱性がシステム全体に与える影響度である。本実施の形態では、脅威分析サーバ１０５が所定のアルゴリズムにより脅威分析した処理結果を脅威分析結果テーブル８０６に格納する。
　なお、本実施の形態においては、脆弱性検出結果テーブル８０１、脆弱性情報テーブル８０２、事業者視点の脅威情報テーブル８０３、制御操作情報テーブル８０４、脆弱性／制御操作対応テーブル８０５、および脅威分析結果テーブル８０６をデータベース１０７上に構築しているが、脅威分析サーバ１０５にて格納するとしてもよい。また、上述の各テーブルの少なくともいずれかが結合した１つのテーブルであってもよいし、より正規化されたテーブルであってもよい。
（分析方法）
　以下、本実施の形態における脅威分析方法の実際手順について図を用いて説明する。以下で説明する脅威分析方法に対応する各種動作は、脅威分析システム１０を構成する、例えば脅威分析サーバ１０５がメモリ７０３などに読み出して実行するプログラムによって実現される。そしてこのプログラムは、以下に説明される各種の動作を行うためのコードから構成されている。なお、以下の説明においては、脅威分析サーバ１０５が実行する処理のみならず、他の装置が実行する処理についても適宜説明するものとする。
（脆弱性検出処理に係るフロー）
　図１５は、本実施の形態における脆弱性検出処理に係る処理手順を示すフローの一例を示す図である。ここでは、主に、脆弱性検出装置１０３の脆弱性検出処理について説明する。かかる処理は、脅威分析サーバ１０５において、脅威分析処理を行う前（少なくとも直前）に、予め実行しておく必要がある。また、システム情報（管理対象機器１０１から得られる情報）、脆弱性情報（脆弱性情報公開機関１０４から得られる情報）などは、管理対象機器１０１、脆弱性情報公開機関１０４等にて随時、追加、更新などがなされているため、脅威分析システム１０（に含まれる若しくは協働する管理対象機器１０１、脆弱性検出装置１０３、または脅威分析サーバ１０５）においては、これら各情報の取得処理をバックグラウンドの処理として実行するとすれば好適である。
　まず、脆弱性検出装置１０３のシステム情報収集部３０３は、管理対象機器１０１にシステム情報収集の処理を依頼する。同依頼を受けた管理対象機器１０１は、システム情報出力部２０３を起動し、自身のＯＳにおける標準機能により、システム情報を収集し、脆弱性検出装置１０３に送信する（ステップＳ１５０１）。
　次に、脆弱性検出装置１０３における脆弱性検出処理部３０４は、システム情報に基づいて、管理対象機器１０１が保有する脆弱性を検出する（ステップＳ１５０２）。なお、脆弱性を検出する方法としては、セキュリティ検査言語（ＯＶＡＬ）で定義された検査仕様に基づくツールを利用してもよく、形態は限定しない。
　次に、脆弱性検出装置１０３における脆弱性検出結果出力部３０５は、送受信部３０１を介して、脆弱性検出処理部３０４の脆弱性検出結果を脅威分析サーバ１０５に送信する（ステップＳ１５０３）。
　脆弱性検出装置１０３から脆弱性検出結果を受信した脅威分析サーバ１０５の脆弱性検出結果収集部５０３は、データベース１０７の脆弱性検出結果テーブル８０１に対して、データの追加を行う（ステップＳ１５０４）。データベース１０７は、データの追加のリクエストを受けて、リクエストが含む機器ＩＤと脆弱性ＩＤとの組をキーに脆弱性検出結果テーブル８０１を検索し、該当機器ＩＤと脆弱性ＩＤとの組に関するレコードがない場合、新規にレコードを生成し、リクエストが含む脆弱性検出結果のうち該当項目の値をセットする。また、データベース１０７は、脆弱性検出結果テーブル８０１にて該当機器ＩＤと脆弱性ＩＤとの組に関するレコードが既に存在する場合、該当レコードにおいて、リクエストが含む脆弱性検出結果のうち該当項目の値でデータ更新を行う。
　以上の処理（ステップＳ１５０１～ステップＳ１５０４）は、管理対象機器１０１毎に実行され、管理対象機器１０１の数だけ反復されることとなる。本実施の形態では、管理対象機器１０１と脆弱性検出装置１０３との間でクライアントサーバ構成を採っており、システム情報などの取得処理を自動化して運用を効率化している。
　ただし、クライアント装置１０６などを利用するユーザの手によって、データファイル形式で管理対象機器１０１のシステム情報を記述し、これを脆弱性検出装置１０３に入力するとしてもよい。このようにユーザの手によりシステム情報の入力を行うことで、管理対象機器１０１をエージェントレスで動作させることができる利点はある。また、本実施の形態では、定期的にシステム情報を送信する実施の形態としているが、システム情報の変化を検出し、システム情報が変化したタイミングで同システム情報を送信してもよい。
（脆弱性情報取得処理に係るフロー）
　脆弱性情報公開機関１０４から脆弱性情報を取得する処理について図１６を用いて説明する。
　図１６は、本実施の形態における脆弱性情報取得処理に係る処理手順を示すフローの一例を示す図である。この場合、まず、脅威分析サーバ１０５の脆弱性情報収集部５０４は、脆弱性情報公開機関１０４に脆弱性情報送信の処理を依頼する。同依頼を受けた脆弱性情報公開機関１０４は、脆弱性情報出力部４０３を起動し、脆弱性情報を脅威分析サーバ１０５に送信する（ステップＳ１６０１）。なお、脆弱性情報公開機関１０４と脅威分析サーバ１０５との間での情報授受の手法は、脆弱性情報公開機関１０４の仕様に基づくものとする。
　脆弱性情報公開機関１０４から脆弱性情報を受信した脅威分析サーバ１０５の脆弱性情報収集部５０４は、データベース１０７の脆弱性情報テーブル８０２に対して、データの追加を行う（ステップＳ１６０２）。データベース１０７は、データの追加のリクエストを受けて、リクエストが含む脆弱性ＩＤをキーに脆弱性情報テーブル８０２を検索し、該当脆弱性ＩＤに関するレコードがない場合、新規にレコードを生成し、リクエストが含む脆弱性情報のうち該当項目の値をセットする。また、データベース１０７は、脆弱性情報テーブル８０２にて該当脆弱性ＩＤに関するレコードが既に存在する場合、該当レコードにおいて、リクエストが含む脆弱性情報のうち該当項目の値でデータ更新を行う。
　本実施の形態では、脆弱性情報公開機関１０４と脅威分析サーバ１０５との間で、脆弱性情報取得処理を自動化して運用を効率化している。
（設計情報入力処理に係るフロー）
　ユーザがクライアント装置１０６を介して設計情報を入力する処理について図１７を用いて説明する。
　図１７は、本実施の形態における設計情報入力処理に係る処理手順を示すフローの一例を示す図である。この場合、まず、クライアント装置１０６の設計情報入力画面表示部６０４は、入出力部６０２を介して、ユーザに設計情報入力用の画面を表示し、ユーザから設計情報（事業者視点の脅威情報、制御操作情報など）の入力を受け付ける（ステップＳ１７０１）。なお、設計情報の入力方法としては、ＧＵＩ（Graphical　User　Interface）を介してデータをフォームに入力する方法、ＸＭＬ（Extensible　Markup　Language）などのファイル形式の設計情報を読み込む方法などが可能であり、形態は限定しない。
　次に、クライアント装置１０６は、送受信部６０１を介して、設計情報を脅威分析サーバ１０５に送信する（ステップＳ１７０２）。
　クライアント装置１０６から設計情報を受信した脅威分析サーバ１０５の設計情報収集部５０５は、データベース１０７の事業者視点の脅威情報テーブル８０３、制御操作情報テーブル８０４に対して、データの追加を行う（ステップＳ１７０３）。データベース１０７は、データの追加のリクエストを受けて、リクエストが含む脅威ＩＤをキーに事業者視点の脅威情報テーブル８０３を検索し、該当脅威ＩＤに関するレコードがない場合、新規にレコードを生成し、リクエストが含む事業者視点の脅威情報のうち該当項目の値をセットする。また、データベース１０７は、事業者視点の脅威情報テーブル８０３にて該当脅威ＩＤに関するレコードが既に存在する場合、該当レコードにおいて、リクエストが含む事業者視点の脅威情報のうち該当項目の値でデータ更新を行う。また、データベース１０７は、データ追加のリクエストを受けて、リクエストが含む制御操作ＩＤをキーに制御操作情報テーブル８０４を検索し、該当制御操作ＩＤに関するレコードがない場合、新規にレコードを生成し、リクエストが含む制御操作情報のうち該当項目の値をセットする。また、データベース１０７は、制御操作情報テーブル８０４にて該当制御操作ＩＤに関するレコードが既に存在る場合、該当レコードにおいて、リクエストが含む制御操作情報のうち該当項目の値でデータ更新を行う。
（脅威分析処理に係るフロー（メインフロー））
　次に、脅威分析サーバ１０５が脅威分析する処理について図１８を用いて説明する。
　図１８は、本実施の形態における脅威分析処理に係る処理手順を示すフローの一例を示す図である。この場合、まず、クライアント装置１０６は、入出力部６０２を介して、ユーザの要求を受け付け、脅威分析サーバ１０５に脅威分析処理を依頼する（ステップＳ１８０１）。
　クライアント装置１０６から脅威分析処理の依頼を受信した脅威分析サーバ１０５は、脅威分析処理部５０６を起動し、データベース１０７上の脆弱性検出結果テーブル８０１、脆弱性情報テーブル８０２、事業者視点の脅威情報テーブル８０３、制御操作情報テーブル８０４、脆弱性／制御操作対応テーブル８０５、脅威分析結果テーブル８０６から各情報を取得する（ステップＳ１８０２）。なお、本実施の形態では、脅威分析サーバ１０５が、脅威分析処理に必要となる情報をステップＳ１８０２にて一括取得し、メモリ７０３上に展開する形態としているが、脅威分析処理の各ステップで情報が必要となったタイミングで、都度データベース１０７にアクセスし、必要な情報のみに限定して取得するとしてもよい。
　次に、脅威分析サーバ１０５の脅威分析処理部５０６は、取得した各情報に基づいて脅威分析処理を実施する（ステップＳ１８０３）。ここで、脅威分析処理（ステップＳ１８０３）について図１９を用いて説明する。
　図１９は、脅威分析処理に係るフローチャートの一例を示す図である。
　まず、脅威分析処理部５０６は、脆弱性検出結果テーブル８０１の脆弱性検出結果情報に基づいて、検出された脆弱性全てに対して、ステップＳ１９０２～ステップＳ１９０９の処理を実施する（ステップＳ１９０１）。ステップＳ１９０２～ステップＳ１９０９の詳細については後述する。
　ステップＳ１９０２では、脅威分析処理部５０６は、検出された脆弱性を保有する機器と該当脆弱性の種別とが一致する脅威分析結果の有無を判定する。脅威分析処理部５０６は、脆弱性検出結果情報に含まれる脆弱性ＩＤをキーに脆弱性情報テーブル８０２を検索し、該当脆弱性ＩＤに関係する脆弱性種別を取得する。また、脅威分析処理部５０６は、脆弱性検出結果情報に含まれる機器ＩＤと該当脆弱性種別との組をキーに脅威分析結果テーブル８０６を検索し、該当機器ＩＤと脆弱性種別との組に関するレコードがないと判定した場合、ステップＳ１９０３～ステップＳ１９０６の処理を実施する。他方、脅威分析処理部５０６は、脅威分析結果テーブル８０６にて該当機器ＩＤと脆弱性種別との組に関するレコードが既に存在すると判定した場合、ステップＳ１９０７の処理を実施する。本実施の形態では、脅威分析結果情報を機器ＩＤと脆弱性種別とに関連付けてデータベース１０７に格納しておき、ステップＳ１９０２の処理で脆弱性検出結果の有無を判定することで、ステップＳ１９０３～ステップＳ１９０６の処理を省略可能とし、脅威分析処理の計算量を削減している。なお、ステップＳ１９０３～ステップＳ１９０６の詳細については後述するが、検出された脆弱性を保有する機器と該当脆弱性の種別とが一致する場合、同じ結果が得られる処理である。ステップＳ１９０７の詳細についても後述する。
　次に、ステップＳ１９０２の処理で関連する脅威検出結果がないと判定した場合、脅威分析処理部５０６は、検出された脆弱性に関連する制御操作の集合を生成する（ステップＳ１９０３）。該当集合は、まず空集合として生成され、ステップＳ１９０４～ステップＳ１９０６の処理で検出された脆弱性に関連する制御操作が追加される。
　次に、脅威分析処理部５０６は、制御操作情報テーブル８０４の制御操作情報に基づいて、制御操作全てに対して、ステップＳ１９０５およびステップＳ１９０６の処理を実施する（ステップＳ１９０４）。
　ステップＳ１９０５では、脅威分析処理部５０６は、検知された脆弱性と制御操作との関連の有無を判定する。脅威分析処理部５０６は、脆弱性検出結果情報に含まれる機器ＩＤと制御操作情報に含まれる始点機器ＩＤまたは終点機器ＩＤが一致するか否かを判定し、該当機器ＩＤが該当始点機器ＩＤまたは該当終点機器ＩＤと一致しないと判定した場合、ステップＳ１９０５を終了し、ステップＳ１９０６を省略する。脅威分析処理部５０６は、該当機器ＩＤが該当始点機器ＩＤと一致すると判定した場合、制御操作点を「始点」とする。脅威分析処理部５０６は、該当機器ＩＤが該当終点機器ＩＤと一致すると判定した場合、制御操作点を「終点」とする。なお、制御操作点は、前述のように脆弱性が存在する機器が制御操作の始点にあるか、または終点にあるかを意味する。また、脅威分析処理部５０６は、脆弱性検出結果情報に含まれる脆弱性ＩＤをキーに脆弱性情報テーブル８０２を検索し、該当脆弱性ＩＤに関係する脆弱性種別を取得する。また、脅威分析処理部５０６は、該当脆弱性種別と制御操作情報に含まれる制御操作種別と該当制御操作点との組をキーに脆弱性／制御操作対応テーブル８０５を検索し、該当脆弱性種別と制御操作種別と制御操作点との組に関する脆弱性影響度を取得し、取得した脆弱性影響度が「０％」であると判定した場合、ステップＳ１９０６を省略する。脅威分析処理部５０６は、脆弱性影響度が「０％」より大きいと判定した場合、ステップＳ１９０６を実施する。
　次に、脅威分析処理部５０６は、ステップＳ１９０５の処理で、検知された脆弱性と制御操作との関連があると判定した場合、該当制御操作を検出された脆弱性に関連する制御操作の集合に追加する。
　一方、脅威分析処理部５０６は、ステップＳ１９０２の処理で、関連する脅威検出結果があると判定した場合、脅威分析処理部５０６は、該当脅威検出結果に含まれる制御操作の集合を取得し、複製する（ステップＳ１９０７）。
　次に、脅威分析処理部５０６は、脆弱性検出結果に対応する脅威分析結果が格納済であるか否かを判定する（ステップＳ１９０８）。脅威分析処理部５０６は、脆弱性検出結果に含まれる機器ＩＤと該当脆弱性ＩＤとの組をキーに脅威分析結果テーブル８０６を検索し、該当機器ＩＤと脆弱性ＩＤとの組に関するレコードがないと判定した場合、新規にレコードを生成し、脆弱性検出結果情報と脆弱性とに関連する制御操作の集合のうち該当項目の値をセットする（ステップＳ１９０９）。なお、制御操作影響度のリスト１４０５、脅威影響度のリスト１４０７、およびシステム影響度１４０８については、図２０に示す影響度評価処理により算出された値が格納される。また、脅威分析処理部５０６は、脅威分析結果テーブル８０６にて該当機器ＩＤと脆弱性ＩＤとの組に関するレコードが既に存在すると判定した場合、ステップＳ１９０９の処理を省略する。
　以上のステップＳ１９０１～ステップＳ１９０９の処理により、脅威分析処理（ステップＳ１８０３）が実現される。
　ここで、図１８のフローの説明に戻る。脅威分析サーバ１０５は、脅威分析処理（ステップＳ１８０３）の終了後、影響度評価処理を実施する（ステップＳ１８０４）。
　影響度評価処理（ステップＳ１８０４）について図２０を用いて説明する。なお、ベイジアンネットワークでは、任意のオブジェクトをノードとし、ノードの親子関係を示すアークと呼ばれる一方向性の矢印で接続したグラフを利用して確率計算を実行するため、説明の必要上、図２１に例示する、ベイジアンネットワークグラフモデル２１０１を随時参照するものとする。
　図２０は、影響度評価処理に係るフローチャートの一例を示す図である。
　まず、影響度評価処理部５０７は、脆弱性検出結果テーブル８０１の脆弱性検出結果情報に基づいて、検出された脆弱性全てに対して、ステップＳ２００２～ステップＳ２００８の処理を実施する（ステップＳ２００１）。ステップＳ２００２～ステップＳ２００８の詳細については後述する。
　次に、影響度評価処理部５０７は、脆弱性に関係する制御操作の集合を取得する（ステップＳ２００２）。影響度評価処理部５０７は、脆弱性検出結果情報に含まれる機器ＩＤと脆弱性ＩＤとの組をキーに脅威分析結果テーブル８０６を検索し、該当機器ＩＤと脆弱性ＩＤとの組に関係する制御操作の集合を取得する。
　次に、影響度評価処理部５０７は、ベイジアンネットワークに制御操作ノードを追加する（ステップＳ２００３）。影響度評価処理部５０７は、制御操作の集合に含まれる制御操作をベイジアンネットワークのノードとして追加する。ただし、既に追加済の制御操作の重複した追加はしない。図２１のベイジアンネットワークモデルの例では、制御操作ノード２１０２（制御操作ノード２１０２_１～制御操作ノード２１０２_ｎ）が全て追加された状態になる。
　次に、影響度評価処理部５０７は、ベイジアンネットワークに脆弱性ノードと脅威ノードとシステムノードとを追加する（ステップＳ２００４）。影響度評価処理部５０７は、脆弱性検出結果情報に含まれる脆弱性ＩＤに対応する脆弱性をベイジアンネットワークのノードとして追加する。図２１のベイジアンネットワークモデルの例では、脆弱性ノード２１０３が１つ追加された状態になる。また、制御操作の集合に含まれる制御操作ＩＤをキーに制御操作情報テーブル８０４を検索し、該当制御操作ＩＤに関する脅威ＩＤを取得し、該当脅威ＩＤに対応する脅威をベイジアンネットワークのノードとして追加する。図２１のベイジアンネットワークモデルの例では、脅威ノード２１０４（脅威ノード２１０４_１～脅威ノード２１０４_ｍ）が全て追加された状態になる。また、影響度評価処理部５０７は、脅威分析対象システムをベイジアンネットワークのノードとして追加する。図２１のベイジアンネットワークモデルの例では、システムノード２１０７が１つ追加された状態になる。
　次に、影響度評価処理部５０７は、ノード間のアークを接続する（ステップＳ２００５）。影響度評価処理部５０７は、脆弱性ノードから全制御操作ノードへ一方向性のアークを接続する。図２１のベイジアンネットワークモデルの例では、脆弱性ノード２１０３から制御操作ノード２１０２へのアーク２１０５（アーク２１０５_１～アーク２１０５_ｎ）が全て接続された状態になる。また、影響度評価処理部５０７は、制御操作情報に含まれる制御操作ＩＤと脅威ＩＤとの関係から、関係性がある制御操作ノードから脅威ノードへ一方向性のアークを接続する。図２１のベイジアンネットワークモデルの例では、制御操作ノード２１０２から脅威ノード２１０４へのアーク２１０６（アーク２１０６_１～アーク２１０６_ｋ）が全て接続された状態になる。また、影響度評価処理部５０７は、全脅威ノードからシステムノードへ一方向性のアークを接続する。図２１のベイジアンネットワークモデルの例では、脅威ノード２１０４からシステムノード２１０７へのアーク２１０８（アーク２１０８_１～アーク２１０８_ｍ）が全て接続された状態になる。
　次に、影響度評価処理部５０７は、ベイジアンネットワークのパラメータである条件付確率表を設定する（ステップＳ２００６）。本実施の形態では、影響度評価処理部５０７は、脆弱性情報テーブル８０２に含まれる攻撃容易性１００３、および脆弱性／制御操作対応テーブル８０５の脆弱性影響度１３０４に基づいてパラメータを設定する。
　次に、影響度評価処理部５０７は、ベイジアンネットワークにより確率計算する（ステップＳ２００７）。確率計算方法は、確率伝播法などが利用でき、その形態は限定しない。本実施の形態では、影響度評価処理部５０７は、ベイジアンネットワークで算定した制御操作ノードの周辺確率を制御操作影響度、脅威ノードの周辺確率を脅威影響度、システムノードの周辺確率をシステム影響度としている。なお、脅威影響度を重み付き平均評価したものをシステム影響度としてもよい。
　次に、影響度評価処理部５０７は、データベース１０７に影響度評価処理部５０７の処理結果を保存する（ステップＳ２００８）。影響度評価処理部５０７は、脆弱性検出結果情報に含まれる機器ＩＤと脆弱性ＩＤとの組をキーに脅威分析結果テーブル８０６を検索し、該当機器ＩＤと脆弱性ＩＤとの組に関係するレコードにおいて、影響度評価処理部５０７の処理結果のうち該当項目の値でデータ更新を行う。
　以上のステップＳ２００１～ステップＳ２００８の処理により、影響度評価処理が実現される。
　ここで、図１８のフローの説明に戻る。脅威分析サーバ１０５は、影響度評価処理（ステップＳ１８０４）の終了後、脅威分析結果出力部５０８を起動し、送受信部５０１を介して、クライアント装置１０６の脅威分析結果収集部６０６に脅威分析結果を送信する（ステップＳ１８０５）。
　脅威分析結果を受け付けたクライアント装置１０６は、脅威分析結果画面表示部６０７を起動し、入出力部６０２を介してユーザに脅威分析結果画面を表示する。
　図２２は、脅威分析結果画面の一例を示す図である。本実施の形態では、脅威分析結果画面２２０１の第１表示領域２２０２に、脆弱性検出結果テーブル８０１の脆弱性検出結果情報に基づいて、検出された脆弱性のリストが表示される。第１表示領域２２０２には、脆弱性検出結果情報に含まれる脆弱性ＩＤ、その他機器情報などが表示される。
　次に、脅威分析結果画面２２０１は、検出された脆弱性を選択するチェックボックス２２０３を備えている。なお、脆弱性を選択する方法としては、プルダウン、フォームでのキーワード入力などが利用でき、形態は限定しない。
　次に、脅威分析結果画面２２０１の第２表示領域２２０４には、脅威分析結果テーブル８０６の脅威分析結果情報に基づいて、選択された脆弱性のシステム影響度が表示される。
　次に、脅威分析結果画面２２０１の第３表示領域２２０５には、脅威分析結果テーブル８０６の脅威分析結果情報に基づいて、選択された脆弱性に関係する制御操作、その制御操作影響度、脅威、その脅威影響度がテーブル化されて表示される。なお、本実施の形態では、検知された脆弱性を選択し、該当脆弱性に関係する脅威分析結果のみ表示することで、大きさに制限のある画面における効率的な表示を可能としている。脆弱性を選択せずに、全ての脅威分析結果を一覧化して表示してもよい。
　次に、脅威分析結果画面２２０１は、設計情報入力画面に遷移するためのボタン２２０６を備えている。
　以上のように、脆弱性と脅威との関係を分析することで、機器単位で脅威を分析した結果を、事前に人手で行った安全設計情報に基づいて、事業者視点での脅威分析へと変換を可能にする。また、脅威分析結果画面２２０１をクライアント装置１０６に表示することにより、これを閲覧するユーザなどは、例えば脆弱性が引き起こし得る事業者視点の脅威、その影響の大きさを素早く把握し、現状のシステムがセキュリティ要件を満たしているか容易に把握でき、対策すべき脆弱性の優先度を決定可能になる。
（２）他の実施の形態
　なお上述の実施の形態においては、本発明を脅威分析システム１０に適用するようにした場合について述べたが、本発明はこれに限らず、この他種々の分析システム、分析方法などに広く適用することができる。
　また上述の実施の形態においては、図２２に示すような脅威分析結果画面（関連付けられた脆弱性と脅威との関係などを含む脅威分析結果）を表示する場合について述べたが、本発明はこれに限らず、脅威分析結果を出力する方法としては、例えば、紙などの媒体に印刷したり、電子メールにより所定のメールアドレスに送信したり、外部記憶装置に記憶したりするようにしてもよい。
　また上述した構成については、本発明の要旨を超えない範囲において、適宜に、変更したり、組み替えたり、組み合わせたり、省略したりしてもよい。例えば、機器に含まれる脆弱性と脅威分析対象システムにおける脅威とを関連付け、関連付けた脆弱性と脅威との関係を出力してもよいし、機器に含まれる脆弱性と脅威分析対象システムにおける脅威と機器に係る制御操作とを関連付け、関連付けた脆弱性と脅威と制御操作との関係を出力してもよい。また、例えば、機器に含まれる脆弱性が脅威分析対象システムにおける脅威に与える影響の大きさを所定のアルゴリズム（例えば、ベイジアンネットワーク）を用いて評価してもよいし、機器に含まれる脆弱性が脅威分析対象システムにおける脅威に与える影響の大きさと、機器に含まれる脆弱性が機器に係る制御操作に与える影響の大きさをと、を所定のアルゴリズム（例えば、ベイジアンネットワーク）を用いて評価してもよい。評価した結果は、出力してもよいし、内部的な処理（例えば、表示順の制御）に用いる等して出力しなくてもよい。
　なお、本発明は上記した実施例に限定されるものではなく、様々な変形例が含まれる。例えば、上記した実施例は、本発明を分かりやすく説明するために詳細に説明したものであり、必ずしも説明した全ての構成を備えるものに限定されるものではない。また、ある実施例の構成の一部を他の実施例の構成に置き換えることが可能であり、また、ある実施例の構成に他の実施例の構成を加えることも可能である。また、各実施例の構成の一部について、他の構成の追加・削除・置換をすることが可能である。
　また、上記の各構成、機能、処理部、処理手段などは、それらの一部または全部を、例えば集積回路で設計するなどによりハードウェアで実現してもよい。また、上記の各構成、機能などは、プロセッサがそれぞれの機能を実現するプログラムを解釈し、実行することによりソフトウェアで実現してもよい。各機能を実現するプログラム、テーブル、ファイルなどの情報は、メモリや、ハードディスク、ＳＳＤ（Solid　State　Drive）などの記録装置、または、ＩＣカード、ＳＤカード、ＤＶＤなどの記録媒体に置くことができる。
　また、制御線や情報線は、説明上必要と考えられるものを示しており、製品上必ずしも全ての制御線や情報線を示しているとは限らない。実際には殆ど全ての構成が相互に接続されていると考えてもよい。
　以上、本発明を実施するための最良の形態などについて具体的に説明したが、本発明はこれに限定されるものではなく、その要旨を逸脱しない範囲で種々変更可能である。
　こうした本実施の形態によれば、脆弱性情報、脆弱性がもたらす機器単位での脅威の情報に加え、脆弱性と事業者視点の脅威の関係を分析し、よりシステムのセキュリティ要件に適した脅威分析が可能となる。
　したがって、システムを運用している企業のシステム管理者や業務システムを開発したエンジニア（ＳＥ）に対して、脆弱性と事業者視点の脅威との関係について、設計時に考慮した脅威を踏まえつつ、脆弱性対策の優先度を理解しやすく提示し、ユーザによる脆弱性対策の必要性や重要性の判断を支援できる。
　１０……脅威分析システム、１０１……管理対象機器、１０２……ネットワーク、１０３……脆弱性検出装置、１０４……脆弱性情報公開機関、１０５……脅威分析サーバ、１０６……クライアント装置、１０７……データベース。

Claims (6)

  1. 　脅威分析対象システムを構成する機器と前記機器に含まれる脆弱性とが対応付けられた第１情報と、前記機器と前記脅威分析対象システムで想定される事業者視点の脅威とが対応付けられた第２情報と、を記憶する記憶部と、
    　前記記憶部に記憶されている第１情報と第２情報とに基づいて、前記機器に含まれる脆弱性と前記脅威分析対象システムにおける脅威とを関連付ける脅威分析処理部と、
    　前記脅威分析処理部により関連付けられた脆弱性と脅威との関係を出力する脅威分析結果出力部と、
    　を備えることを特徴とする脅威分析システム。
  2. 　前記記憶部には、前記機器に含まれる脆弱性の種別と、前記機器に係る制御操作の種別と、前記脆弱性が前記制御操作に与える脆弱性影響度とが対応付けられた第３情報が更に記憶され、
    　前記脅威分析処理部は、前記記憶部に記憶されている第３情報に基づいて、前記機器に含まれる脆弱性の種別と前記機器に係る制御操作の種別とに対応する脆弱性影響度が所定の値である制御操作を更に関連付け、
    　前記脅威分析結果出力部は、前記脅威分析処理部により関連付けられた脆弱性と脅威と制御操作との関係を出力する、
    　ことを特徴とする請求項１に記載の脅威分析システム。
  3. 　前記脅威分析処理部は、
    　前記機器と、前記機器に含まれる脆弱性の種別とに対応付けて、関連付けた制御操作の情報を前記記憶部に記憶し、
    　制御操作の関連付けの際、前記機器と、前記機器に含まれる脆弱性の種別とに対応付けられた制御操作の情報が前記記憶部に存在する場合、前記記憶部に記憶された制御操作の情報を用いる、
    　ことを特徴とする請求項２に記載の脅威分析システム。
  4. 　前記機器に含まれる脆弱性が前記脅威分析対象システムにおける脅威に与える影響の大きさを所定のアルゴリズムを用いて評価する影響度評価処理部を更に備える、
    　ことを特徴とする請求項１に記載の脅威分析システム。
  5. 　前記影響度評価処理部は、前記機器に含まれる脆弱性、前記機器に係る制御操作、および前記脅威分析対象システムにおける脅威をノードとしてベイジアンネットワークを用いて、前記機器に含まれる脆弱性が前記脅威分析対象システムにおける脅威に与える影響の大きさと、前記機器に含まれる脆弱性が前記機器に係る制御操作に与える影響の大きさをと、を評価し、
    　前記脅威分析結果出力部は、前記影響度評価処理部により評価された結果を出力する、
    　ことを特徴とする請求項４に記載の脅威分析システム。
  6. 　脅威分析対象システムを構成する機器と前記機器に含まれる脆弱性とが対応付けられた第１情報と、前記機器と前記脅威分析対象システムで想定される事業者視点の脅威とが対応付けられた第２情報と、を記憶する記憶部を有する脅威分析システムにおける分析方法であって、
    　脅威分析処理部が、前記記憶部に記憶されている第１情報と第２情報とに基づいて、前記機器に含まれる脆弱性と前記脅威分析対象システムにおける脅威とを関連付ける第１のステップと、
    　脅威分析結果出力部が、前記脅威分析処理部により関連付けられた脆弱性と脅威との関係を出力する第２のステップと、
    　を備えることを特徴とする分析方法。
PCT/JP2019/006925 2018-02-23 2019-02-22 脅威分析システムおよび分析方法 WO2019163972A1 (ja)

Priority Applications (1)

Application Number Priority Date Filing Date Title
US16/971,331 US11418534B2 (en) 2018-02-23 2019-02-22 Threat analysis system and threat analysis method

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
JP2018-031377 2018-02-23
JP2018031377A JP6718476B2 (ja) 2018-02-23 2018-02-23 脅威分析システムおよび分析方法

Publications (1)

Publication Number Publication Date
WO2019163972A1 true WO2019163972A1 (ja) 2019-08-29

Family

ID=67688414

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/JP2019/006925 WO2019163972A1 (ja) 2018-02-23 2019-02-22 脅威分析システムおよび分析方法

Country Status (3)

Country Link
US (1) US11418534B2 (ja)
JP (1) JP6718476B2 (ja)
WO (1) WO2019163972A1 (ja)

Cited By (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN114978569A (zh) * 2022-03-09 2022-08-30 西南交通大学 一种信息物理融合的铁路信号控制系统威胁分析方法
WO2023149008A1 (ja) * 2022-02-01 2023-08-10 株式会社日立製作所 計算機システム及びセキュリティリスクの影響分析方法

Families Citing this family (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US11481503B2 (en) * 2020-02-26 2022-10-25 Armis Security Ltd. Techniques for detecting exploitation of medical device vulnerabilities
US11841952B2 (en) 2020-02-26 2023-12-12 Armis Security Ltd. Techniques for detecting exploitation of manufacturing device vulnerabilities
EP3896591B1 (en) * 2020-04-17 2024-07-31 DeepInspect S.r.l. Method and system for security assessment of iot devices
US11483351B2 (en) 2020-08-26 2022-10-25 Cisco Technology, Inc. Securing network resources from known threats
US20230188540A1 (en) * 2021-12-10 2023-06-15 Palo Alto Networks, Inc. Iot adaptive threat prevention

Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2008004498A1 (fr) * 2006-07-06 2008-01-10 Nec Corporation Système, dispositif, procédé et programme de gestion des risques de sécurité
WO2009116173A1 (ja) * 2008-03-21 2009-09-24 富士通株式会社 対策選択プログラム、対策選択装置および対策選択方法
JP2016218964A (ja) * 2015-05-26 2016-12-22 日本電信電話株式会社 脅威分析支援方法、脅威分析支援装置、及び脅威分析支援プログラム
US9692778B1 (en) * 2014-11-11 2017-06-27 Symantec Corporation Method and system to prioritize vulnerabilities based on contextual correlation
JP2017224053A (ja) * 2016-06-13 2017-12-21 株式会社日立製作所 脆弱性リスク評価システムおよび脆弱性リスク評価方法

Family Cites Families (7)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2007058514A (ja) 2005-08-24 2007-03-08 Mitsubishi Electric Corp 情報処理装置及び情報処理方法及びプログラム
US8601587B1 (en) * 2009-09-04 2013-12-03 Raytheon Company System, method, and software for cyber threat analysis
US20140137257A1 (en) * 2012-11-12 2014-05-15 Board Of Regents, The University Of Texas System System, Method and Apparatus for Assessing a Risk of One or More Assets Within an Operational Technology Infrastructure
US9712551B2 (en) * 2012-11-30 2017-07-18 The Boeing Company Methods and systems for architecture-centric threat modeling, analysis and visualization
EP3545418A4 (en) * 2016-11-22 2020-08-12 AON Global Operations PLC, Singapore Branch SYSTEMS AND PROCEDURES FOR RISK ASSESSMENT OF CYBERSECURITY
US10521584B1 (en) * 2017-08-28 2019-12-31 Amazon Technologies, Inc. Computer threat analysis service
US10740469B2 (en) * 2017-12-28 2020-08-11 Fmr Llc Automated secure software development management, risk assessment, and risk remediation

Patent Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2008004498A1 (fr) * 2006-07-06 2008-01-10 Nec Corporation Système, dispositif, procédé et programme de gestion des risques de sécurité
WO2009116173A1 (ja) * 2008-03-21 2009-09-24 富士通株式会社 対策選択プログラム、対策選択装置および対策選択方法
US9692778B1 (en) * 2014-11-11 2017-06-27 Symantec Corporation Method and system to prioritize vulnerabilities based on contextual correlation
JP2016218964A (ja) * 2015-05-26 2016-12-22 日本電信電話株式会社 脅威分析支援方法、脅威分析支援装置、及び脅威分析支援プログラム
JP2017224053A (ja) * 2016-06-13 2017-12-21 株式会社日立製作所 脆弱性リスク評価システムおよび脆弱性リスク評価方法

Non-Patent Citations (1)

* Cited by examiner, † Cited by third party
Title
SUGIMOTO, AKIHIKO: "Development of the Business Risk Evaluation Technology for CxO Decision about Cyber Security Operation", IPSJ JOURNAL, vol. 58, no. 12, 15 December 2017 (2017-12-15), pages 1926 - 1934 *

Cited By (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2023149008A1 (ja) * 2022-02-01 2023-08-10 株式会社日立製作所 計算機システム及びセキュリティリスクの影響分析方法
JP7482159B2 (ja) 2022-02-01 2024-05-13 株式会社日立製作所 計算機システム及びセキュリティリスクの影響分析方法
CN114978569A (zh) * 2022-03-09 2022-08-30 西南交通大学 一种信息物理融合的铁路信号控制系统威胁分析方法
CN114978569B (zh) * 2022-03-09 2023-05-05 西南交通大学 一种信息物理融合的铁路信号控制系统威胁分析方法

Also Published As

Publication number Publication date
JP2019145053A (ja) 2019-08-29
US20210029153A1 (en) 2021-01-28
US11418534B2 (en) 2022-08-16
JP6718476B2 (ja) 2020-07-08

Similar Documents

Publication Publication Date Title
WO2019163972A1 (ja) 脅威分析システムおよび分析方法
JP5972401B2 (ja) 攻撃分析システム及び連携装置及び攻撃分析連携方法及びプログラム
US20200327223A1 (en) Affectedness scoring engine for cyber threat intelligence services
US9237161B2 (en) Malware detection and identification
CN105868635B (zh) 用于应对恶意软件的方法和装置
JP6312578B2 (ja) リスク評価システムおよびリスク評価方法
US20080148398A1 (en) System and Method for Definition and Automated Analysis of Computer Security Threat Models
JP2016143299A (ja) リスク評価システムおよびリスク評価方法
US8141149B1 (en) Keyword obfuscation
CN113704772B (zh) 基于用户行为大数据挖掘的安全防护处理方法及系统
JP6294847B2 (ja) ログ管理制御システムおよびログ管理制御方法
US20240111809A1 (en) System event detection system and method
US11822578B2 (en) Matching machine generated data entries to pattern clusters
JP6623128B2 (ja) ログ分析システム、ログ分析方法及びログ分析装置
JP2019021161A (ja) セキュリティ設計支援システムおよびセキュリティ設計支援方法
WO2012053041A1 (ja) セキュリティポリシーに基づくセキュリティ監視装置、セキュリティ監視方法及びセキュリティ監視プログラム
Michalas et al. MemTri: A memory forensics triage tool using bayesian network and volatility
US20090287781A1 (en) Grouping messages using patterns in a messaging system
US20210390519A1 (en) Storage medium, detection method, and detection device
Bhuiyan et al. Can we use software bug reports to identify vulnerability discovery strategies?
JP7424395B2 (ja) 分析システム、方法およびプログラム
JP7033560B2 (ja) 分析装置および分析方法
US20130086085A1 (en) Computer product, analysis support method, analysis support apparatus, and system
JP7409978B2 (ja) リスク評価システムおよびリスク評価方法
JP7408530B2 (ja) セキュリティ管理システム、及びセキュリティ管理方法

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 19756839

Country of ref document: EP

Kind code of ref document: A1

NENP Non-entry into the national phase

Ref country code: DE

122 Ep: pct application non-entry in european phase

Ref document number: 19756839

Country of ref document: EP

Kind code of ref document: A1