(57)【要約】  エアギャップパスを含む攻撃パスをアセスメント可能なセキュリティアセスメントシステムを実現するため、システムに含まれる少なくとも２つのホストと、該少なくとも２つのホスト間の通信リンクとを検出するシステム構成検出手段と、前記少なくとも２つのホストの中で、互いの間に前記通信リンクは存在しないがデータの移動が発生しうるホストの組を検出するエアギャップパス検出手段と、前記エアギャップパス検出手段が検出した前記ホストの組が攻撃に利用される可能性に関するスコアを算出する算出手段と、前記ホストと前記ホスト間の通信リンク、前記ホストの組の情報と前記スコアを利用してセキュリティアセスメントを行うセキュリティアセスメント手段と、を備えた情報処理装置。
2019064580.tif 000002
【特許請求の範囲】
【請求項１】
システムに含まれる少なくとも２つのホストと、該少なくとも２つのホスト間の通信リンクとを検出するシステム構成検出手段と、
前記少なくとも２つのホストの中で、互いの間に前記通信リンクは存在しないがデータの移動が発生しうるホストの組を検出するエアギャップパス検出手段と、
前記エアギャップパス検出手段が検出した前記ホストの組が攻撃に利用される可能性に関するスコアを算出する算出手段と、
前記ホストと前記ホスト間の通信リンク、前記ホストの組の情報と前記スコアを利用してセキュリティアセスメントを行うセキュリティアセスメント手段と、
を備えた情報処理装置。
【請求項２】
前記算出手段は、
前記エアギャップパス検出手段が検出した前記ホストの組に含まれるホスト間、または前記データの移動を発生させうる要素とホストの間の接続頻度または接続時間、
前記データの移動を発生させうる要素が接続するホスト数、
前記データの移動を発生させうる要素の種類、および
これらの組み合わせのうち、少なくともいずれか１つに基づいてスコア算出を行なう請求項１に記載の情報処理装置。
【請求項３】
前記算出手段は、
前記エアギャップパス検出手段が検出した前記ホストの組に含まれるホスト、またはそのホストの周辺のホストのセキュリティチェック頻度、
前記ホストの再起動頻度、
前記ホストにおけるＯＳ・ソフトウェア・ファームウェアのアップデート頻度、
またはこれらの組み合わせに基づいて前記スコア算出を行なう請求項１または２に記載の情報処理装置。
【請求項４】
前記算出手段は、
前記エアギャップパス検出手段が検出した前記ホストの組に含まれるホストとＩＤＳまたはＩＰＳまたはファイアウォールとの位置関係に基づいて、前記スコアの算出を行なう請求項１乃至３のいずれか１項に記載の情報処理装置。
【請求項５】
前記エアギャップパス検出手段は、前記ホストの組を検出する方法を複数備え、
前記算出手段は、前記エアギャップパス検出手段で選択された検出方法に応じた算出方法によって、前記スコアを算出する請求項１乃至４のいずれか１項に記載の情報処理装置。
【請求項６】
請求項２に記載の情報処理装置と、
前記エアギャップパス検出手段が検出した前記ホストの組に含まれるホスト間、または前記データの移動を発生させうる要素とホストの間の接続頻度または接続時間、
前記データの移動を発生させうる要素が接続するホスト数、
前記データの移動を発生させうる要素の種類、および
これらの組み合わせのうち、少なくともいずれか１つの情報を収集するクライアント装置と、
を備えた情報処理システム。
【請求項７】
請求項３に記載の情報処理装置と、
前記セキュリティチェック頻度、
前記再起動頻度、
前記アップデート頻度、
前記エアギャップパス検出手段が検出した前記ホストの組に含まれるホストとＩＤＳまたはＩＰＳまたはファイアウォールとの位置関係、および
これらの組み合わせのうち、少なくともいずれか１つの情報を収集するクライアント装置と、
を備えた情報処理システム。
【請求項８】
システムに含まれる少なくとも２つのホストと、該少なくとも２つのホスト間の通信リンクとを検出するシステム構成検出ステップと、
前記少なくとも２つのホストの中で、互いの間に前記通信リンクは存在しないがデータの移動が発生しうるホストの組を検出するエアギャップパス検出ステップと、
前記エアギャップパス検出ステップが検出した前記ホストの組が攻撃に利用される可能性に関するスコアを算出する算出ステップと、
前記ホストと前記ホスト間の通信リンク、前記ホストの組の情報と前記スコアを利用してセキュリティアセスメントを行うセキュリティアセスメントステップと、
を含むセキュリティアセスメント方法。
【請求項９】
システムに含まれる少なくとも２つのホストと、該少なくとも２つのホスト間の通信リンクとを検出するシステム構成検出ステップと、
前記少なくとも２つのホストの中で、互いの間に前記通信リンクは存在しないがデータの移動が発生しうるホストの組を検出するエアギャップパス検出ステップと、
前記エアギャップパス検出ステップが検出した前記ホストの組が攻撃に利用される可能性に関するスコアを算出する算出ステップと、
前記ホストと前記ホスト間の通信リンク、前記ホストの組の情報と前記スコアを利用してセキュリティアセスメントを行うセキュリティアセスメントステップと、
をコンピュータに実行させるセキュリティアセスメントプログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、情報処理装置、情報処理システム、セキュリティアセスメント方法およびセキュリティアセスメントプログラムに関する。
【背景技術】
【０００２】
上記技術分野において、特許文献１の段落００６４および図５には、マルウェア感染を含む脆弱性、ウィルス、ネットワーキング環境における不正なふるまい、ＩＴ資産管理上の問題等などのセキュリティ上の問題を監視し、検知し、端末の自動的な隔離および監視を行なうセキュリティ監視装置が開示されている。
【先行技術文献】
【特許文献】
【０００３】
【特許文献１】特開２０１７−０９１４９３号公報
【発明の概要】
【発明が解決しようとする課題】
【０００４】
しかしながら、上記文献に記載の技術では、あるホストからネットワーク上に存在する通信リンクをどのようにたどっても到達不可能なホストへと攻撃が行われる状況を考慮したアセスメントができない。【０００５】
本発明の目的は、上述の課題を解決する技術を提供することにある。
【課題を解決するための手段】
【０００６】
上記目的を達成するため、本発明に係る装置は、
システムに含まれる少なくとも２つのホストと、該少なくとも２つのホスト間の通信リンクとを検出するシステム構成検出手段と、
前記少なくとも２つのホストの中で、互いの間に前記通信リンクは存在しないがデータの移動が発生しうるホストの組を検出するエアギャップパス検出手段と、
前記エアギャップパス検出手段が検出した前記ホストの組が攻撃に利用される可能性に関するスコアを算出する算出手段と、
前記ホストと前記ホスト間の通信リンク、前記ホストの組の情報と前記スコアを利用してセキュリティアセスメントを行うセキュリティアセスメント手段と、
を備えた情報処理装置。【０００７】
上記目的を達成するため、本発明に係る方法は、
システムに含まれる少なくとも２つのホストと、該少なくとも２つのホスト間の通信リンクとを検出するシステム構成検出ステップと、
前記少なくとも２つのホストの中で、互いの間に前記通信リンクは存在しないがデータの移動が発生しうるホストの組を検出するエアギャップパス検出ステップと、
前記エアギャップパス検出ステップが検出した前記ホストの組が攻撃に利用される可能性に関するスコアを算出する算出ステップと、
前記ホストと前記ホスト間の通信リンク、前記ホストの組の情報と前記スコアを利用してセキュリティアセスメントを行うセキュリティアセスメントステップと、
を含むセキュリティアセスメント方法。【０００８】
上記目的を達成するため、本発明に係るプログラムは、
システムに含まれる少なくとも２つのホストと、該少なくとも２つのホスト間の通信リンクとを検出するシステム構成検出ステップと、
前記少なくとも２つのホストの中で、互いの間に前記通信リンクは存在しないがデータの移動が発生しうるホストの組を検出するエアギャップパス検出ステップと、
前記エアギャップパス検出ステップが検出した前記ホストの組が攻撃に利用される可能性に関するスコアを算出する算出ステップと、
前記ホストと前記ホスト間の通信リンク、前記ホストの組の情報と前記スコアを利用してセキュリティアセスメントを行うセキュリティアセスメントステップと、
をコンピュータに実行させるセキュリティアセスメントプログラム。
【発明の効果】
【０００９】
本発明によれば、エアギャップパスを含む攻撃パスを、優先度を考慮しつつアセスメント可能なセキュリティアセスメントシステムを実現することができる。
【図面の簡単な説明】
【００１０】
【図１】本発明の第１実施形態としてのセキュリティアセスメントシステムの一例を示す図である。
【図２】本発明の第２実施形態としてのセキュリティアセスメントシステムが評価対象とするシステムの構成を示す図である。
【図３】本発明の第２実施形態としてのセキュリティアセスメントシステムの構成を示す図である。
【図４】本発明の第２実施形態としてのセキュリティアセスメントシステムにおいて、入力ドキュメントとして利用されるシステム配置図である。
【図５】本発明の第２実施形態としてのセキュリティアセスメントシステムにおいて、エアギャップパス構成要素をホストとみなしてエアギャップパスを定める図である。
【図６】本発明の第２実施形態としてのエアギャップパス検出部とエアギャップパススコアリング部との間の具体的な情報の流れを示す図である。
【図７】本発明の第２実施形態としてのセキュリティアセスメントシステムの処理の流れを示す図である。
【図８】本発明の第２実施形態としてのセキュリティアセスメントシステムの処理の流れを示す図である。
【図９】本発明の第２実施形態としてのセキュリティアセスメントシステムにおけるエアギャップパス構成要素の接続情報の例を示す図である。
【図１０】本発明の第２実施形態の変形例としてのセキュリティアセスメントシステムの構成を示す図である。
【図１１】本発明の第３実施形態としてのセキュリティアセスメントシステムの構成を示す図である。
【図１２】本発明の第３実施形態に係るセキュリティアセスメントシステムの処理の流れを示す図である。
【図１３】本発明の第３実施形態としてのセキュリティアセスメントシステムの処理の流れを示す図である。
【図１４】本発明の第４実施形態としてのセキュリティアセスメントシステムの構成を示す図である。
【図１５】本発明の第４実施形態としてのセキュリティアセスメントシステムの処理の流れを示す図である。
【発明を実施するための形態】
【００１１】
以下に、図面を参照して、本発明の実施の形態について例示的に詳しく説明する。ただし、以下の実施の形態に記載されている構成要素はあくまで例示であり、本発明の技術範囲をそれらのみに限定する趣旨のものではない。
【００１２】
［第１実施形態］
（前提技術）
一般に、攻撃者が初期状態でアクセス可能なホストと攻撃者が攻撃目標としているホストが異なる場合には、攻撃者はシステム内の複数のホストを経由して攻撃目標としているホストへの攻撃を実現する。そのため、セキュリティアセスメントでも複数のホストを経由する攻撃をアセスメントできる必要がある。
【００１３】
既存のセキュリティアセスメントシステムではシステム内のネットワーク上に存在するホストがどの順序で攻撃されうるか（攻撃パス）を抽出し、攻撃が行われる可能性の高さや、攻撃所要時間の推定、攻撃が行われた場合の被害の推定を行う機能が提供されている。ここで、ネットワーク上に存在する通信リンクは有線か無線かは問わない。
【００１４】
以降、ネットワーク上に存在する通信リンクをたどることで到達可能なホストを単に"通常到達可能なホスト"と呼ぶ。同様に、通信リンクをどのようにたどっても到達不可能なホストを単に"通常到達不可能なホスト"と呼ぶ。
【００１５】
既存のセキュリティアセスメントシステムでは、あるホストが攻撃を受け攻撃者のコントロール下に置かれたとしても、そのホストから通常到達不可能なホストには通信が不可能であるため、攻撃を行うことができないと判断していた。
【００１６】
しかし、実際には携帯型の記憶媒体等を介して、マルウェアを感染拡大させるといった攻撃行動を行うことができる。例えば、ホストＡ、ホストＢが存在し、それらの間にネットワーク上は接続が存在しなかったとしても、ホストＡ、ホストＢ双方に接続される記憶媒体（ＵＳＢメモリなど）が存在した場合、当該記憶媒体を介して、一方のホストからもう一方のホストへとマルウェアの感染が拡大しうる。なお、本明細書では今後このように一時的に接続される媒体によってつながるホスト間のパスを"エアギャップパス"と呼称する。また、何らかの通信リンクによってつながるホスト間のパスを"通常パス"と呼称する。
【００１７】
エアギャップパスは実機から収集されるネットワークの構成情報などには現れず、既存のセキュリティアセスメントシステムでは考慮することができなかった。特に、エアギャップパスが攻撃に利用される可能性を考慮することができないという課題があった。
【００１８】
なお、一般にエアギャップパスは通常到達可能なホスト間にも存在しうる。例えば、何らかの通信リンクが存在するホストＡ、ホストＢが存在したとき、さらにそれらの双方に接続される記憶媒体が存在した場合には、ホストＡ、Ｂ間には通常パスとエアギャップパス双方が存在することとなる。
【００１９】
（情報処理装置）
本発明の第１実施形態としての情報処理装置１００について、図１を用いて説明する。情報処理装置１００は、システムにおけるセキュリティ状態を査定、評価する装置である。
【００２０】
図１に示すように、情報処理装置１００は、システム構成検出部１０１、エアギャップパス検出部１０２、セキュリティアセスメント部１０３およびスコア算出部１０４を含む。
【００２１】
システム構成検出部１０１は、システム１５０に含まれる少なくとも２つのホスト１５１〜１５３と、少なくとも２つのホスト１５１、１５２間の通信リンク１５５とを検出する。
【００２２】
エアギャップパス検出部１０２は、少なくとも２つのホスト１５１〜１５３の中で、互いの間に通信リンクは存在しないがデータの移動が発生しうるホストの組１５２、１５３を検出する。
【００２３】
スコア算出部１０４は、エアギャップパス検出部１０２が検出したホストの組１５２、１５３が攻撃に利用される可能性に関するスコアを算出する。
【００２４】
セキュリティアセスメント部１０３は、システム構成検出部１０１による検出結果、エアギャップパス検出部１０２による検出結果およびスコア算出部１０４が算出したスコアを利用してセキュリティアセスメントを行う。
【００２５】
以上により、あるホストからネットワーク上に存在する通信リンクをどのようにたどっても到達不可能なホストへと攻撃が行われる可能性を考慮したアセスメントができる。
【００２６】
［第２実施形態］
次に本発明の第２実施形態に係るセキュリティアセスメントシステムについて、図２〜図６を用いて説明する。
【００２７】
（第２実施形態の概要）
本実施の形態に係るセキュリティアセスメントシステムは、エアギャップパスの接続頻度・接続時間などの特性に基づいてエアギャップパスが攻撃に利用される可能性をスコアリングする。
【００２８】
なお、以降の説明では、簡単のため、攻撃に利用される可能性が高いほどスコアが高くなるものとしているが、これは限定を意図するものではない。以降説明されるスコアリングの例によって得られたスコアは、符号を反転するといった処理により、攻撃に利用される可能性が低くなるほどスコアが高くなるように構成することも容易に可能である。
【００２９】
（評価対象となるシステムの構成）
図２は、本実施形態に係るセキュリティアセスメントシステムが評価対象とするシステム２００の構成を説明するための図である。
【００３０】
この例ではアセスメント対象となるシステム２００は、通常到達可能なホスト同士を含むホストグループ２０１、２０２を含んでいる。ホストグループ２０１は、ホスト２１１〜２１３を含み、ホストグループ２０２は、ホスト２２１〜２２３を含む。さらにシステム２００は、エアギャップパス構成要素２０３を含んでいる。通常到達可能なホストグループ２０１内のホスト２１１〜２１３はホスト間の通信リンクをたどることで互いに到達可能となるホスト群である。通常到達可能なホストグループ２０２についても同様で、ホスト２２１〜２２３は通信リンクをたどることで互いに到達可能である。ホストグループ２０１のホストとホストグループ２０２のホスト間は有線、無線問わず通信リンクが存在しない。しかし、一組のホスト２１３とホスト２２１の間には、その双方に接続されるエアギャップパス構成要素２０３が存在する。
【００３１】
ホスト２１１〜２１３、２２１〜２２３は典型的にはＰＣ、サーバなどの計算機やファイアウォール、スイッチなどのネットワーク機器であるが、これに限定されず、プリンタ、マウス等の周辺機器や産業制御機器でもよい。エアギャップパス構成要素２０３は典型的にはＵＳＢメモリなどの記憶媒体であるが、これに限定されない。
【００３２】
セキュリティアセスメントシステムの目的は、エアギャップパスを含む攻撃パスのアセスメントを可能とすることである。例えばホスト２１１が外部ネットワークと接続されており、２１１→２１３→２２１→２２２→２２３と辿ってホスト２２３で目的の攻撃行動を行うような攻撃パスのアセスメントを実現する。このとき２１３→２２１はエアギャップパスであり、既存のセキュリティアセスメントでは考慮されていなかった。特に、通常パスとエアギャップパスは攻撃されやすさに関する性質が異なる点が考慮されるべきである。例えば、通常パスは一般に常時接続されているのに対し、エアギャップパスは一時的にしか接続されない。そのため、マルウェアがエアギャップパスを利用して感染を拡大するためには、エアギャップパス構成要素２０３が接続されるまでの間、エアギャップパスにつながるホスト中に潜伏して待機しておく必要があり、攻撃を行うのが通常パスより困難な状況になりえる。逆に、エアギャップパス構成要素２０３は多数のホストに接続されうるため、通常の通信リンクより攻撃に利用されやすくなる可能性もある。
【００３３】
以降の説明中、単にホストという場合、上記アセスメント対象となるシステム２００に含まれるいずれかのホストを指す。
【００３４】
（セキュリティアセスメントシステムの構成）
セキュリティアセスメントシステム３００の構成例を図３に示す。セキュリティアセスメントシステム３００はセキュリティアセスメントサーバ３０１とエアギャップ情報収集クライアント３０２とを含む。さらにセキュリティアセスメントサーバ３０１は、システム構成検出部３１１、エアギャップパス検出部３１２、セキュリティアセスメント部３１３、接続履歴記憶部３１４およびエアギャップパススコアリング部３１５を含む。
【００３５】
エアギャップパス情報収集クライアント３０２は典型的には、ホストにインストールされたエージェントソフトウェアである。以降の説明でも、エアギャップパス情報収集クライアント３０２がホストにインストールされたエージェントソフトウェアである場合で説明するが、これには限定されない。
【００３６】
エアギャップパス情報収集クライアント３０２はエアギャップパス構成要素２０３の接続を検知し、エアギャップパス検出部３１２へとエアギャップパス構成要素２０３の接続情報を通知する機能を有する。具体的にはエアギャップパス情報収集クライアント３０２がインストールされたホストにエアギャップパス構成要素２０３が接続されたことを検知すると、エアギャップパス構成要素２０３の接続情報として、当該エアギャップパス構成要素２０３の識別情報と自ホストの識別情報を少なくとも含む情報をエアギャップパス検出部３１２へと通知する。
【００３７】
さらに、エアギャップパス情報収集クライアント３０２はエアギャップパス構成要素２０３の接続に関する付加情報を収集する。付加情報の例としては、エアギャップパス構成要素２０３が接続された時刻のタイムスタンプや接続されていた期間、接続されたデバイスの種類の情報などがある。収集された付加情報は接続情報の一部としてエアギャップパス検出部３１２に通知する。これらの情報はエアギャップパススコアリング部３１５でのスコアリングで利用できる。収集する付加情報についてはエアギャップパススコアリング部３１５の処理に依存するため、エアギャップパススコアリング部３１５の説明で再度述べる。
【００３８】
なお、既存のセキュリティツールや構成管理ツールで、外部記憶媒体等の接続を検知し、その情報を収集するシステムがある場合、そこで収集される情報を用いてもよい。また、作業者の操作履歴を記録するシステムの情報を用いてもよい。
【００３９】
システム構成検出部３１１は、セキュリティアセスメントを行う対象システムの構成を検出する。アセスメント対象システムに含まれるホスト、ネットワーク構成（ホスト間の接続関係）を少なくとも検出する。ここで検出された情報を用いることで、通常到達可能なホストグループ２０１を定めることが可能となる。システム構成検出部３１１が検出した情報はセキュリティアセスメント部３１３へと通知される。また、システム構成検出部３１１は、セキュリティアセスメントに用いるために、さらなる情報を収集してもよい。例えば、システム構成検出部３１１は、ホスト上で動作するソフトウェア、ソフトウェアのバージョン、ホストに保存されるデータ、クレデンシャル情報、ホストのソフトウェアが他のどのホストにアクセスするか、ホスト間のプロトコルやそのコンフィグレーション情報などの情報を収集することもできる。また、必要に応じて、当該ホストが外部のネットワークにつながるかの情報を集めることもできる。
【００４０】
システム構成検出部３１１は、様々な実現方法があるが、典型的には各ホストに不図示のエージェントソフトウェアを導入することで実現できる。各ホストにインストールしたエージェントソフトウェアが、当該ホストと当該ホストが通信可能な隣接ホストの情報をセキュリティアセスメントシステム３００へと通知する。また、図３には含まれていないが、ユーザがシステム構成を入力できるようなインタフェースを備えてもよい。さらに、既存の構成管理システムから情報を得ることもできる。
【００４１】
一方、システム構成検出部３１１は、システム仕様に関するドキュメントからシステム構成を検出してもよい。すなわち、図４に示されるような配置図４０１、４０２から、システム構成として、各ホスト（ＰＣ４１１、４１２、４２１、４２２）の存在やその識別情報（デバイス名またはＩＰアドレス）、接続関係を検出するようにしてもよい。こうすることで、入力ドキュメントからのみ情報を収集するようになるため、情報収集の通信負荷を実システムに与えないようにすることができる。
【００４２】
エアギャップパス検出部３１２はエアギャップパス情報収集クライアント３０２からエアギャップパス構成要素２０３の接続情報を得て、接続履歴記憶部３１４に格納する。さらに、接続履歴記憶部３１４に既に格納されている情報をもとに、エアギャップパスを検出し、エアギャップパススコアリング部３１５へと通知する。
【００４３】
具体的にはエアギャップパス検出部３１２はエアギャップパス情報収集クライアント３０２からエアギャップパス構成要素２０３の接続情報を得ると、当該情報を接続履歴記憶部３１４へと格納する。同時に、当該情報に含まれるエアギャップパス構成要素２０３の識別情報と同じエアギャップパス構成要素２０３の識別情報の情報を持つ過去のエアギャップパス構成要素の接続情報を、接続履歴記憶部３１４から取得する。すなわち、過去に同じエアギャップパス構成要素２０３が接続されたホストの識別情報が得られる。
【００４４】
エアギャップパス検出部３１２は、エアギャップパス情報収集クライアント３０２から得た接続情報に識別情報が含まれるホストと、接続履歴記憶部３１４から得られた接続情報に識別情報が含まれるホストとの間にエアギャップパスが存在するものとしてエアギャップパスを検出する。検出したエアギャップパスの情報をエアギャップパススコアリング部３１５に通知する。このとき通知されるエアギャップパスの情報にはエアギャップパスを構成するホストの識別情報とエアギャップパス構成要素２０３の識別情報が含まれる。
【００４５】
エアギャップパス構成要素２０３には様々な種類が存在する。記憶機能を持ち、ホストと情報のやり取りが可能なデバイスであればエアギャップパス構成要素２０３となりうる。具体例としてＵＳＢメモリやＳＤメモリカードなどのメモリカード、外付けハードディスク、ＣＤ、ＤＶＤなどの光メディア、ラップトップパーソナルコンピュータ、スマートフォン、タブレット、デジタルカメラ、携帯型音楽プレーヤーなどがある。また、プリンタ、マウス等の周辺機器や産業制御機器もエアギャップパス構成要素２０３となりうる。なおここで上げた機器は例であり、これには限定されない。
【００４６】
エアギャップパスはエアギャップパス構成要素２０３を持たないこともありうる。すなわち、ホスト間が記憶媒体を介さず直接ケーブルで接続される場合や、ＷｉＦｉのテザリング機能などで一時的に接続される場合である。ホスト間が定常的に接続されている場合はエアギャップパスとはならないが、システム使用者が必要に応じて一時的に接続するようなホスト間はエアギャップパスとなりうる。このようなエアギャップパスも既存のセキュリティアセスメントシステムでは、見逃される。
【００４７】
エアギャップパス構成要素を持たない場合には、エアギャップパス情報収集クライアント３０２がエアギャップパス検出部３１２に通知する接続情報には、エアギャップパス構成要素２０３の識別情報は含まれない。この場合、エアギャップパススコアリング部３１５は、エアギャップパス構成要素２０３とホスト２１３、２２１の接続頻度ではなく、エアギャップパスを構成するホスト２１３、２２１の組の間の接続頻度を用いることでスコアを算出できる。後述する他の変形例や実施の形態も、エアギャップパス構成要素２０３そのものに関する特徴を利用しない限り、エアギャップパス構成要素２０３を持たないようなエアギャップパスのスコアリングを行えるように同様の変更を加えることができる。
【００４８】
なお、エアギャップパス構成要素２０３をホストとみなしてエアギャップパスを定めることも可能である。
【００４９】
図５に示すケース５０１、５０２のようにホスト５１１とホスト５１２にＵＳＢメモリ５１３が接続される場合を考える。この時、ケース５０１に示されるように、ＵＳＢメモリ５１３をエアギャップパス構成要素２０３とみなし、ホスト５１１、ホスト５１２間にエアギャップパスが存在するものとして、エアギャップパスを入力させることも可能である。一方、ケース５０２に示されるようにＵＳＢメモリ５１３もホストとみなし、ホスト５１１−ＵＳＢメモリ５１３間とＵＳＢメモリ５１３−ホスト５１２間にエアギャップパスが存在するとものとしてエアギャップパスを入力させることも可能である。ケース５０２の場合には、ホスト５１１−ＵＳＢメモリ５１３間とＵＳＢメモリ５１３−ホスト５１２間のそれぞれのエアギャップパスはエアギャップパス構成要素を持たないエアギャップパスとなる。
【００５０】
セキュリティアセスメント部３１３では、システム構成検出部３１１とエアギャップパススコアリング部３１５から通知された情報をもとにセキュリティアセスメントを行う。少なくともあるホストから別のホストへの攻撃パスを抽出する機能と、攻撃パスを定量評価するためのスコアリング情報の算出機能を有する。攻撃パスの抽出の単純な方法として、あるホストＡからネットワーク上の通信リンクとエアギャップパスをたどってホストＢへ到達可能であり、ホストＢの何らかの機能を不正に利用できる場合、ホストＡからホストＢへと到達する全てのパスを、ホストＡからホストＢへの攻撃パスとして抽出することができる。
【００５１】
また、攻撃パスのスコアリングは、パスに含まれる各通常パスと各エアギャップパスのスコアの和やスコアの最小値を当該攻撃パスのスコアとすることができる。この時、エアギャップパスのスコアについては、エアギャップパススコアリング部３１５から通知される値を用いればよい。
【００５２】
通常パスについては、既存のセキュリティアセスメントシステムと同様にスコアを算出できる。典型的な方法として、ホストが持つ脆弱性のＣＶＳＳ（Common Vulnerability Scoring System）の値を使うことができる。ＣＶＳＳには基本値、現状値、環境値などのスコアがあるが、どれを使用してもよい。本明細書中では特に区別せずＣＶＳＳ値と呼称する。各ホストについてそのホストで稼働しているOSやソフトウェアをユーザからの入力やポートスキャン、スタックフィンガープリンティングなどで特定する。その後、Web上に公開されている情報をもとに各ＯＳやソフトウェアが持つ脆弱性とそのＣＶＳＳ値を調査する。ＣＶＳＳ値の最も高いものをそのホストにつながるパスのスコアとすることで、通常パスをスコアリングできる。
【００５３】
また、より単純な方法として通常パスのスコアをあらかじめ決められた固定の値にしてもよいし、ＣＶＳＳ値以外の要素に基づいて決められてもよい。また、既存のセキュリティアセスメントシステムを用いて通常パスのスコアを算出してもよい。
【００５４】
なお、セキュリティアセスメント部３１３はここで述べた機能に限定されない。既存のセキュリティアセスメントシステムで使用されるアセスメント方法と適宜組み合わせることができる。
【００５５】
接続履歴記憶部３１４は、エアギャップパス検出部３１２がエアギャップパス情報収集クライアント３０２から収集したエアギャップパス構成要素２０３の接続情報を記憶する。ここで記憶された情報は、その後のエアギャップパス検出部３１２の処理とエアギャップパススコアリング部３１５で利用される。
【００５６】
エアギャップパススコアリング部３１５はエアギャップパス検出部から通知されたエアギャップパスが攻撃に利用される可能性を表すスコアを算出し、エアギャップパスの情報とともにセキュリティアセスメント部３１３へと通知する。算出されるスコアは、エアギャップパス検出部41が収集し、エアギャップパス検出部３１２が接続履歴記憶部３１４に格納したエアギャップパス構成要素２０３の接続情報をもとに計算される。本実施の形態では、エアギャップパスの接続頻度に基づいてスコアリングする例が示される。接続頻度以外の情報に基づくスコアリングについては変形例として後述する。
【００５７】
接続頻度が高いエアギャップパスはマルウェアが潜伏しなければならない時間が短いため攻撃に利用される可能性が高いといえる。
【００５８】
エアギャップパスの接続頻度に基づくスコアリングを行う場合、エアギャップパス情報収集クライアント３０２はエアギャップパス構成要素２０３の接続に関する付加情報としてエアギャップパス構成要素２０３が接続された時刻のタイムスタンプを収集し、接続情報に含ませる。
【００５９】
エアギャップパススコアリング部３１５は接続履歴記憶部３１４に格納されている接続情報に含まれるタイムスタンプの情報をもとに、エアギャップパスの接続頻度を算出する。これは、スコアリングするエアギャップパスに含まれる各ホストについての単位期間中にエアギャップパス構成要素２０３が接続される回数を調査し、それらの平均を算出すればよい。
【００６０】
例えば、図６に示すような接続情報６０１が接続履歴記憶部３１４に格納されている状態でエアギャップパス検出部３１２から、ホストＡ、ホストＤがエアギャップパス構成要素Ｘによって接続されたというエアギャップパス情報が通知された場合を考える。なお、接続頻度を計算する単位期間は１か月で、２０ｘｘ年８月３１日に処理が行われるものとして説明する。この場合、エアギャップパス構成要素Ｘは過去一か月以内に、ホストＡには１回接続されており、ホストＤには２回接続されている。この場合、１．５が接続頻度となる。
【００６１】
なお、接続頻度は他の方法でも算出しうる。例えば、エアギャップパスに含まれる各ホストについての単位期間中にエアギャップパス構成要素２０３が接続される回数を調査し、その回数の最小値（図６の例では１）または合計(図６の例では３)を接続頻度とすることもできる。
【００６２】
例えば、図６の例では、過去一か月以内にエアギャップパス構成要素Ｘが接続されたのは、8/30 13:00 ホストＡ，8/29 10:00 ホストＤ，8/5 10:00 ホストＤの３回である。合計値はそのエアギャップパス構成要素がいずれかのホストに接続された回数の合計を指しているため、３になる。ホストＡには１回、ホストＤには２回接続されており、接続された２ホストの中で回数が最小なのはＡの１回であり、最小値は1となる。
【００６３】
あるホストにあるエアギャップパス構成要素２０３が接続されてから、次に当該ホストに当該エアギャップパス構成要素２０３が接続されるまでの期間の最小値を求め、その値をもとに頻度を計算してもよい。また、１単位期間の情報だけではなくさらに過去にさかのぼって接続頻度を算出してもよい。すなわち、複数の単位期間について接続頻度を算出しその平均を計算することができる。
【００６４】
エアギャップパススコアリング部３１５は算出した接続頻度をもとにしたスコアを算出しセキュリティアセスメント部３１３に通知する。このとき、接続頻度が高くなるほど高いスコア（攻撃に利用される可能性が高いことを意味する）となるようにする。
【００６５】
単純には接続頻度の値をそのままセキュリティアセスメント部３１３に通知すればよい。また、接続頻度の値をある範囲にスケーリングしてもよい。例えば、接続頻度がある閾値Th1以下であれば、０とし、別のある閾値Th2以上であれば１０とし、Th1からTh2の間の値の場合は線形にスケーリングすることができる。スコアを０から１０の範囲とすることでＣＶＳＳ値と比較しやすいというメリットが得られる。
【００６６】
（処理の流れ）
本実施の形態の処理の流れを図７に示す。なお、図７の示す処理は適宜順序を入れ替えて実施することも可能である。
【００６７】
ステップＳ７０１において、セキュリティアセスメントサーバ３０１は、まず、システム構成検出処理を行い、システムの構成（ホストやホスト間の接続関係）の情報を得る。
【００６８】
次にステップＳ７０２において、エアギャップパス情報収集クライアント３０２からエアギャップパス構成要素の接続情報７００を得ると、エアギャップパス検出部３１２は接続情報記録処理を行い、エアギャップパス構成要素の接続情報７００を接続情報記憶部３１４に保存する。
【００６９】
つづくステップＳ７０３において、接続情報に基づくエアギャップパス検出処理において、構成の説明で述べたとおり、当該エアギャップパス構成要素が過去に接続したホストの情報を接続履歴記憶部３１４から得て、エアギャップパスを認識し、エアギャップパススコアリング部３１５へと通知する。
【００７０】
ステップＳ７０４では、エアギャップパスのスコア算出処理を行なう。エアギャップパススコアリング部３１５がエアギャップパス検出部から通知されたエアギャップパスについてそのスコアを算出し、セキュリティアセスメント部３１３へと通知する。
【００７１】
最後に、ステップＳ７０５において、セキュリティアセスメント部３１３がセキュリティアセスメント処理を行い、エアギャップパスを含む攻撃パスの抽出とそのスコアリングを行う。
【００７２】
なお、セキュリティアセスメント処理が終わった後は、次のエアギャップパス構成要素の接続情報７００の受信待ち状態となる（Ｓ７０２に戻る）。
【００７３】
なお、セキュリティアセスメントサーバ３０１は、エアギャップパス構成要素の接続情報７００を得るたびにＳ７０２〜Ｓ７０５の処理を繰り返し行うようにしてもよいし、エアギャップパス構成要素の接続情報７００をバッファリングし、一定数たまるたびにＳ７０２〜Ｓ７０５の処理を行うようにしてもよい。
【００７４】
図８にエアギャップパス情報収集クライアント３０２の動作の例を示す。図８に示されるように、エアギャップパス情報収集クライアント３０２はエアギャップパス構成要素の接続を検出すると（Ｓ８０１）、エアギャップパス検出部３１２にエアギャップパス構成要素の接続情報７００を通知する（Ｓ８０２）。
【００７５】
エアギャップパススコアリング部３１５は接続頻度以外の情報に基づいてエアギャップパスのスコアリングを行うこともできる。例えば、エアギャップパス構成要素２０３が接続されていた時間を基にしてスコアリングすることができる。エアギャップパス構成要素２０３が接続される時間が長いほどホストとエアギャップパス構成要素２０３の間でのマルウェアの転送が成功する可能性が高くなるため、攻撃に利用される可能性も高くなる。
【００７６】
この場合、エアギャップパス情報収集クライアント３０２は、エアギャップパス構成要素２０３が接続されていた時間の情報も収集し、接続情報に含ませてエアギャップパス検出部３１２に通知する。
【００７７】
エアギャップパススコアリング部３１５は、接続履歴記憶部３１４に格納された接続情報から、エアギャップパスごとのエアギャップパス構成要素２０３の接続時間を算出する。これは、スコアリングするエアギャップパスに含まれる各ホストについての単位期間中にエアギャップパス構成要素２０３が接続された時間を調査し、それらの平均を算出すればよい。
【００７８】
接続頻度の場合と同様、接続時間も他の方法でも算出しうる。例えば、エアギャップパスに含まれる各ホストについての単位期間中にエアギャップパス構成要素２０３が接続された時間を調査し、その時間の最小値または合計を接続頻度とすることもできる。さらに、１単位期間の情報だけではなくさらに過去にさかのぼって接続頻度を算出してもよい。すなわち、複数の単位期間について接続時間を算出しその平均を計算することができる。
【００７９】
エアギャップパススコアリング部３１５は接続時間が長いほど、高くなるようにスコアを算出してセキュリティアセスメント部に通知する。単純には接続時間の値をそのままセキュリティアセスメント部３１３に通知すればよい。また、接続時間の値をある範囲にスケーリングしてもよい。例えば、接続時間がある閾値Th1以下であれば、０とし、別のある閾値Th2以上であれば１０とし、Th1からTh2の間の値の場合は線形にスケーリングすることができる。
【００８０】
また、別の例として、エアギャップパス構成要素２０３が接続するホスト数に基づいて、エアギャップパスをスコアリングすることが可能である。エアギャップパス構成要素２０３は３つ以上のホストに接続されることもあるが、多くのホストに接続されるエアギャップパス構成要素２０３ほど、攻撃にさらされる可能性が高くなる。すなわち、エアギャップパススコアリング部３１５は接続されるホスト数が多いほど高くなるようにスコアを算出すればよい。
【００８１】
具体的には、エアギャップパススコアリング部３１５は、エアギャップパス検出部３１２からエアギャップパスの情報が通知されると、当該情報に含まれるエアギャップパス構成要素２０３が過去に接続したホスト数を接続履歴記憶部３１４に格納された接続情報をもとに調査する。
【００８２】
過去に接続したホスト数が多いほどスコアが高くなるようにスコアを算出しセキュリティアセスメント部３１３に通知する。単純にはホスト数の値をそのままセキュリティアセスメント部３１３に通知すればよい。また、ホスト数の値をある範囲にスケーリングしてもよい。例えば、ホスト数がある閾値Th1以下であれば、０とし、別のある閾値Th2以上であれば１０とし、Th1からTh2の間の値の場合は線形にスケーリングすることができる。
【００８３】
例えば、図９に示すようなエアギャップパス構成要素の接続情報９００が、接続履歴記憶部３１４に保存されていた時、エアギャップパス構成要素２０３は３つのホストと、エアギャップパス構成要素Ｙは２つのホストと接続していることが分かる。この場合には、エアギャップパス構成要素Ｘによって繋がるエアギャップパス（Ａ−Ｄ，  Ｄ−Ｅ，  Ａ−Ｅ）は、エアギャップパス構成要素Ｙによって繋がるエアギャップパス（Ｂ−Ｃ）よりも高いスコアとする。
【００８４】
さらに別の例として、エアギャップパス構成要素２０３の種類に基づいてスコアを算出することも可能である。マルウェアはＵＳＢメモリの脆弱性をつくように構成されているものや、単純な記憶媒体には感染しないがスマートフォンには感染するようなものなどのバリエーションがある。そのため、エアギャップパス構成要素２０３の種類によって攻撃される可能性は変化すると考えられる。
【００８５】
この場合、エアギャップパス情報収集クライアント３０２は、エアギャップパス構成要素２０３の種類の情報も収集し、接続情報に含ませてエアギャップパス検出部３１２に通知する。エアギャップパススコアリング部３１５にはあらかじめエアギャップパス構成要素２０３ごとのスコアを保持させておく。エアギャップパススコアリング部は、通知されたエアギャップパスの接続情報に含まれる種類に応じたスコアをセキュリティアセスメント部３１３に通知する。エアギャップパス構成要素２０３の種類ごとのスコアは典型的には全てユーザが入力するものとしてよい。
【００８６】
エアギャップパス構成要素２０３の種類ごとのスコアは、エアギャップパス構成要素の特徴に基づいて決めることも可能である。例えば、メモリカードや外付けハードディスクなどの単純な記憶媒体はスコアを低くし、スマートフォンやラップトップコンピュータなどの計算機のスコアを高くすることができる。
【００８７】
さらに、社内の資産管理システムと連携し、エアギャップパス構成要素２０３が社有デバイスか私物かを判断するように拡張してもよい。そのうえで、社有デバイスの場合スコアを低くし、私物の場合スコアを高くすることができる。私物の場合、すでにマルウェアに感染しており、新たにマルウェアが感染しやすい状態となっている可能性がある。
【００８８】
また、エアギャップパス構成要素２０３の種類だけでなく、製造した企業や型番ごとの情報に基づいてスコアリングするように拡張することも可能である。さらに、エアギャップパス構成要素２０３の脆弱性情報をもとにスコアリングすることも可能である。例えばエアギャップパス構成要素２０３が持つ脆弱性の数が多いほどスコアを高くすることや、エアギャップパス構成要素２０３が持つ脆弱性のＣＶＳＳ値をスコアとして利用してもよい。
【００８９】
変形例として、接続情報を、エアギャップパス情報収集クライアント３０２を用いずに収集することも可能である。例えば、運用マニュアルやシステムの仕様から、エアギャップパスの接続情報が得られる場合がある。また、エアギャップパスの接続情報をユーザに入力させるように構成することも可能である。その場合に、エアギャップパス検出部３１２とエアギャップパススコアリング部３１５にエアギャップパスの接続情報を収集する機能を持たせることで、セキュリティアセスメントシステム１０００を図１０のように構成することも可能である。
【００９０】
本実施の形態によれば、エアギャップパスの特性（接続頻度、接続時間、接続ホスト数、エアギャップパス構成要素の種類）に基づいて、エアギャップパスが攻撃に利用される可能性を算出できる。
【００９１】
［第３実施形態］
次に本発明の第３実施形態に係るセキュリティアセスメントシステムについて、図１１以降を用いて説明する。本実施形態に係るセキュリティアセスメントシステム１１００は、上記第２実施形態と比べると、周辺環境情報収集クライアント１１０３と環境情報記憶部１１１６とを有する点で異なる。その他の構成および動作は、第２実施形態と同様であるため、同じ構成および動作については同じ符号を付してその詳しい説明を省略する。
【００９２】
本実施の形態ではエアギャップパスが接続されるホストなど、エアギャップパスの周辺環境の情報に基づいてエアギャップパスがスコアリングされる。前述のとおり、エアギャップパスは一時的にしか接続されないため、エアギャップパスを通じてマルウェアが感染拡大するためには、システム内のエアギャップパスにつながるホストに潜伏する必要がある。エアギャップパス周辺のホストのセキュリティ対策によっては、エアギャップパスが繋がるまでシステム内に潜伏することが困難な状況がありうる。すなわち、エアギャップパス周辺の環境情報（特にセキュリティ対策の情報）をエアギャップパスが攻撃に利用される可能性のスコアリングに利用することが有効となりうる。
【００９３】
（セキュリティアセスメントシステムの構成）
エアギャップパススコアリング部１１１５は接続履歴記憶部１１１４ではなく、周辺環境情報収集クライアント１１０３からエアギャップパスをスコアリングするための情報を得る。
【００９４】
エアギャップパススコアリング部１１１５のスコアリングに接続履歴記憶部３１４の情報は必ずしも必要ではない。すなわち、接続履歴記憶部３１４に格納されている情報は、エアギャップパススコアリング部１１１５に提供されなくてもよい。また、エアギャップパス検出部３１２からエアギャップパススコアリング部１１１５に通知されるエアギャップパス情報にはエアギャップパス構成要素２０３の識別情報は必ずしも含まれなくてもよい。
【００９５】
なお、図中ではエアギャップパス情報収集クライアント３０２と周辺環境情報収集クライアント１１０３を区別して記載しているが、実際にはこれらの機能部の情報収集機能を集約した単一のソフトウェアとして実装されることもありうる。
【００９６】
エアギャップパススコアリング部１１１５は周辺環境情報収集クラインアント１１０３から通知された、エアギャップパス周辺の環境情報、特にセキュリティ対策に関する情報をもとにエアギャップパスのスコアリングを行う。本実施の形態では、まず周辺の環境情報としてホストのアップデート頻度の情報を収集し、その情報に基づいてスコアリングを行う例を示す。
【００９７】
ソフトウェアやオペレーティングシステム（ＯＳ）で発見された脆弱性は、多くの場合当該ソフトウェア、ＯＳのアップデートで修正される。そのため、アップデート頻度が低い端末ほど脆弱性が長期間対策されないままとなる。そのようなホストにつながるエアギャップパスは攻撃に利用しやすくなると考えられる。
【００９８】
また、以降の説明では、簡単のため、ＯＳのアップデート情報に基づいてスコアリングする例とするが、これはその他のソフトウェア、ファームウェア、ミドルウェアのアップデート情報でもよく、ＯＳのアップデート情報に限定はされない。
【００９９】
周辺環境情報収集クライアント１１０３は、典型的にはホストにインストールされたエージェントソフトウェアである。周辺環境情報収集クライアント１１０３はホストのＯＳのアップデート頻度を周辺環境情報として記録し、単位期間ごとにエアギャップパススコアリング部１１１５に通知する。このとき、通知される情報にはホストのＯＳアップデート頻度の情報とホストの識別情報が含まれる。
【０１００】
エアギャップパススコアリング部１１１５は通知された周辺環境情報を環境情報記憶部１１１６に保存する。また、エアギャップパススコアリング部１１１５はエアギャップパス検出部３１２からエアギャップパス情報が通知されると、エアギャップパス情報に含まれるホストの識別情報をもとに、環境情報記憶部１１１６から当該ホストのアップデート頻度を抽出する。両ホストのアップデート頻度が低くなるほどスコアが高くなるようスコアを算出しセキュリティアセスメント部に通知する。
【０１０１】
単純な方法として、両ホストのアップデート頻度の平均をエアギャップパスのアップデート頻度とし、あらかじめ決められた値から減算した値をスコアとして算出すればよい。また、エアギャップパスのアップデート頻度の値をある範囲にスケーリングしてもよい。例えば、アップデート頻度がある閾値Th1以上であれば、０とし、別のある閾値Th2以下であれば１０とし、Th1からTh2の間の値の場合は線形にスケーリングすることができる。エアギャップパスのアップデート頻度は両ホストのアップデート頻度の最大値または最小値を利用してもよいし、合計を利用することもできる。
【０１０２】
環境情報記憶部１１１６はエアギャップパススコアリング部３１５がエアギャップパスのスコアを算出するための周辺環境の情報を保存する機能を持つ。
【０１０３】
（処理の流れ）
図１２は、本実施の形態におけるセキュリティアセスメントサーバ１１０１の処理の流れを示すフローチャートである。第２実施形態と同様の処理について同じ符号を付して、説明を省略する。
【０１０４】
セキュリティアセスメントサーバ１１０１のエアギャップパススコアリング部１１１５はシステム構成検出処理（Ｓ７０１）後、周辺環境情報収集クライアント１１０３から周辺環境情報１２００を受信すると、周辺環境情報記録処理（Ｓ１２０２）を行い、当該情報を環境情報記憶部１１１６に記録する。
【０１０５】
接続情報に基づくエアギャップパス検出処理（Ｓ７０３）のあと、エアギャップパススコアリング部３１５は、ステップＳ１２０４において、環境情報記憶部１１１６に含まれる情報をもとにエアギャップパスのスコアを算出するとともにセキュリティアセスメント部３１３に通知する。
【０１０６】
なお、図１２には図示していないが、接続情報に基づくエアギャップパス検出処理（Ｓ７０３）の前に、周辺環境情報記録処理（Ｓ１２０２）を複数回行ってもよい。
【０１０７】
図１３は、周辺環境情報収集クライアント１１１３の動作を示すフローチャートである。周辺環境情報収集クライアント１１１３はステップＳ１３０１において周辺環境情報を収集したのち、ステップＳ１３０２において、収集した周辺環境情報１２００をセキュリティアセスメントサーバ１１０１へと通知する。
【０１０８】
（環境情報とスコアリング方法のバリエーション）
収集する周辺環境の情報とスコアリングの方法には様々なバリエーションが存在する。例えば、ＯＳのアップデート頻度の代わりにホストのセキュリティチェック頻度や再起動頻度の情報を収集することができる。この場合は、ＯＳのアップデート頻度の場合と同様に、ホストのセキュリティチェック頻度が高いほど、または、再起動頻度が高いほど、当該ホストが繋がるエアギャップパスのスコアが高くなるようにスコアを算出する。具体的な算出方法はＯＳのアップデート頻度の場合と同じ方法が使える。
【０１０９】
また、ホストにインストールされたセキュリティ対策の内容を収集することもできる。例えば、ホワイトリスト型のセキュリティ対策が行われているかどうかを調査し、ホワイトリスト型のセキュリティ対策が行われている場合にスコアを高くするようにしてもよい。
【０１１０】
エアギャップパスの周辺環境情報はエアギャップパスが繋がるホストの情報には限定されない。エアギャップパスが繋がるホストの周辺のホストから情報を得ることもできる。例えば、エアギャップパスにつながるホストから、決められたホップ数以内の近隣のホストからも同様に情報を収集してもよい。収集する情報がアップデート頻度やセキュリティチェック頻度、再起動頻度などの頻度情報の場合は、全てのホストの平均値や最大値または最小値をもとにスコアを算出することができる。
【０１１１】
また、ＩＤＳ（Intrusion Detection System）・ＩＰＳ（Intrusion Prevention System）やＦＷ（Fire Wall）の配置に基づいてスコアを算出することも可能である。例えば、エアギャップパスに繋がるホストのうち少なくとも一方がＩＤＳ・ＩＰＳやＦＷを介さずに外部のネットワークと接続される場合には、当該ホストに潜伏するマルウェアは逐次外部ネットワークと通信して自身のコードをアップデートするといった挙動が可能となる。すなわち、そのようなホストに繋がるエアギャップパスは攻撃に利用される可能性が高くなる。
【０１１２】
この場合は、周辺環境情報収集クライアント１１１３は全てのホストにインストールされるものとし、ＩＤＳ・ＩＰＳやＦＷの位置を周辺環境情報としてエアギャップパススコアリング部３１５に通知する。エアギャップパススコアリング部３１５は通知された情報とシステム構成検出部で得られた情報をもとに、ホストがＩＤＳ・ＩＰＳやＦＷを介さずに外部のネットワークと繋がるかを判断する。ホストがＩＤＳ・ＩＰＳやＦＷを介さずに外部のネットワークと繋がる場合には、当該ホストが繋がるエアギャップパスのスコアを高く算出する。
【０１１３】
また、本明細書に記載の各実施の形態や変形例は適宜組み合わせて実施可能であるが、特に第２実施形態と第３実施形態を組み合わせることは効果的である。前述のとおり、エアギャップパスを利用してマルウェアが感染を拡大するためには、エアギャップパスが接続されるまでの間、ホストに潜伏する必要がある。エアギャップパスが接続される前に発見、駆除されると、感染を拡大できない。
【０１１４】
このことから、エアギャップパス構成要素２０３の接続頻度などのエアギャップパスの接続に関する特性とホストのアップデート頻度やセキュリティチェック頻度などの周辺環境情報の関係はエアギャップパスが攻撃に利用される可能性に大きく影響すると言える。
【０１１５】
例えば、第２実施形態のようにエアギャップパス構成要素２０３の接続頻度の情報を収集するとともに、第２実施形態のようにエアギャップパスが繋がるホストのセキュリティチェック頻度の情報を収集することができる。そのうえで、接続頻度とセキュリティチェック頻度の関係をもとにスコアを算出することができる。具体的には、セキュリティチェック頻度に対して接続頻度が大きいほどスコアを高くする。例えば、エアギャップパススコアリング部３１５は、接続頻度をセキュリティチェック頻度で割った値が大きいほど、スコアが高くなるようにスコアを算出できる。
【０１１６】
本実施形態では、周辺環境情報収集クライアント１１０３を用いて周辺環境情報を収集する例を用いて説明したが、本発明はこれには限定されない。周辺環境情報は他の方法でも収集しうる。例えば、運用マニュアルやシステムの仕様から、周辺環境情報を収集してもよい。また、周辺環境情報をユーザに入力させるように構成することも可能である。エアギャップパス情報収集クライアント３０２も、第２実施形態と同様に、エアギャップパス検出部にエアギャップパスの接続情報を収集する機能を持たせることで、省略可能である。すなわち、本実施形態も、単純な構成として、図１０のようにも書ける。
【０１１７】
本実施形態によれば、エアギャップパスが繋がるホストやその周辺のホストの情報（特にセキュリティ対策の情報）をもとにしたエアギャップパスのスコア算出が可能となる。すなわち、より正確なエアギャップパスのスコアリングが可能となる。
【０１１８】
[第４実施形態]
次に本発明の第４実施形態に係るセキュリティアセスメントシステムについて、図１４を用いて説明する。本実施形態に係るセキュリティアセスメントシステム１４００は、上記第２実施形態と比べると、エアギャップパスの検出方法ごとに異なる方法でスコアを算出する点で異なる。その他の構成および動作は、第２実施形態と同様であるため、同じ構成および動作については同じ符号を付してその詳しい説明を省略する。
【０１１９】
エアギャップパスの検出方法には、「エアギャップパスとなりうる全てのホスト間を抽出する」といった方法や、「実際に接続が確認されたエアギャップパスのみを抽出する」といった方法がある。これらの検出方法（検出ポリシー）によって、それらのエアギャップパスが実際に攻撃に利用される可能性は異なる。
【０１２０】
（システム構成）
図１４に本実施形態に係るセキュリティアセスメントシステム１４００の概略構成を示す。エアギャップパス検出部１４０２は複数のエアギャップパス検出方法１４２１を持つ。エアギャップパス検出部１４０２はエアギャップパスを検出するとエアギャップパスの情報のみならずその検出方法１４２１も併せてエアギャップパススコアリング部１４０５に通知する。
【０１２１】
エアギャップパス検出部１４０２は複数のエアギャップパス検出方法１４２１を備えていればよいが、本実施の形態の説明では、典型的な例として、次のような検出ポリシーをそれぞれ実現する３つの検出方法を持つものとする
検出ポリシー１：実際にシステム上で存在が確認されたエアギャップパスを検出する
検出ポリシー２：運用上生じる可能性があるエアギャップパスを検出する
検出ポリシー３：あらゆるホストへの物理アクセス権限を持つユーザ（悪意のある内部犯を含む）が発生させる可能性があるエアギャップパスを検出する
検出ポリシー１を持つエアギャップパスの検出は第２実施形態で示した方法で実現できる。図１４には図示していないが、エアギャップパス情報収集クライアント３０２と接続履歴記憶部３１４を備え、第２実施形態と同様にしてエアギャップパスを検出する。
【０１２２】
検出ポリシー２は、運用マニュアルやシステム仕様などのドキュメントからエアギャップパスを読み取ることで実現する。運用マニュアルからホストの情報や、エアギャップパス構成要素２０３の情報を読み取る。単純な方法として、ホストを意味する可能性がある単語のデータとエアギャップパス構成要素２０３を意味する可能性がある単語のデータをそれぞれ保持し、運用マニュアルからホストやエアギャップパス構成要素２０３が含まれる文章を抽出する。文章中の近接した範囲（例えば、一文や一段落）に２つ以上のホストと一つ以上のエアギャップパス構成要素２０３が含まれている箇所がある場合に、当該ホストの間にエアギャップパスが存在するものとして検出する。
【０１２３】
検出ポリシーも、運用マニュアルやシステム仕様などのドキュメントからエアギャップパスを読み取ることで実現する。検出ポリシー３はシステムに存在するホストで同じ物理的なインタフェースを持つホスト間にエアギャップパスが存在するものとしてエアギャップパスを検出することで実現できる。すなわち、システム仕様に関するドキュメントから各ホストが持つ物理的なインタフェースを抽出し、同じインタフェースを持つ全てのホスト間にエアギャップパスが存在するものとしてエアギャップパスを検出する。
【０１２４】
このように、エアギャップパス検出部３１２は複数のエアギャップパスの検出ポリシーと検出方法を持つことが可能である。
【０１２５】
なお、各検出ポリシーと検出方法は例示であり、これには限定されない。より単純な検出方法として全てのポリシーについてエアギャップパスをユーザに入力させることも可能であり、そのような入力を受け付けるインタフェースをセキュリティアセスメントシステムに備えさせてもよい。
【０１２６】
エアギャップパス検出部３１２はエアギャップパスを検出すると、当該エアギャップパスの情報とともに検出方法または検出ポリシーをエアギャップパススコアリング部３１５に通知する。
【０１２７】
エアギャップパススコアリング部３１５は、通知された検出方法または検出ポリシーに基づいて、同時に通知されたエアギャップパスのスコアを算出する。単純な方法としては、あらかじめ検出方法または検出ポリシーごとにスコアを決めておき、その値をあらかじめエアギャップパススコアリング部３１５に持たせておくことができる。エアギャップパススコアリング部３１５は算出したスコアをセキュリティアセスメント部３１３に通知する。
【０１２８】
（処理の流れ）
図１５は、本実施の形態におけるセキュリティアセスメントサーバ１４００の処理の流れを示すフローチャートである。第２実施形態と同様の処理について同じ符号を付して、説明を省略する。
【０１２９】
エアギャップパススコアリング部１４０５はシステム構成検出処理（Ｓ７０１）後、周辺環境情報収集クライアント１１０３から周辺環境情報１２００を受信すると、周辺環境情報記録処理（Ｓ１２０２）を行い、当該情報を環境情報記憶部１１１６に記録する。
【０１３０】
接続情報に基づくエアギャップパス検出処理（Ｓ７０３）のあと、エアギャップパススコアリング部３１５は、ステップＳ１２０４において、環境情報記憶部１１１６に含まれる情報をもとにエアギャップパスのスコアを算出するとともにセキュリティアセスメント部３１３に通知する。
【０１３１】
ステップＳ７０１においてシステム構成検出部３１１でシステム構成を検出した後、ステップＳ１５０３において、エアギャップパス検出部１４０２で、複数のエアギャップパス検出方法１４２１のうちの一つ以上の方法でエアギャップパスを検出する。その後、ステップＳ１５０４において、エアギャップパス検出部１４０２が検出したエアギャップパスについて、エアギャップパススコアリング部１４０５は、通知されたエアギャップパス検出方法１４２１または検出ポリシーに基づいてスコアリングを行う。ステップＳ７０５において、セキュリティアセスメント部３１３は、それらの情報をもとにセキュリティアセスメント行う。
【０１３２】
（変形例と補足）
検出ポリシーはエアギャップパス検出のセンシティビティと言い換えることができる場合がある。すなわちセンシティビティが高い検出方法ほど、より多くの潜在的なエアギャップパス（実際にエアギャップパスになるとは限らないがエアギャップパスになる可能性が存在するパス）を検出するような場合である。この場合、センシティビティに基づいてスコアを決めることができる。センシティビティが低い検出方法で見つけられたエアギャップパスほど高いスコアをつけるようにする。
【０１３３】
本実施の形態によると、エアギャップパスの検出方法（検出ポリシー、センシティビティ）に基づいてエアギャップパスをスコアリングすることが可能となる。すなわち、より正確なスコアリングが可能となる。
【０１３４】
（その他の補足）
エアギャップパスのスコアが意味する、エアギャップパスが攻撃に利用される可能性は、攻撃に利用されたときの影響の度合いとも言い換えることが可能な場合がある。例えば、エアギャップパス構成要素２０３が接続するホスト数に基づいてエアギャップパスのスコアリングをするとき、エアギャップパス構成要素２０３がより多くのホストにつながるほど、攻撃に利用されたときの影響が大きくなりうる。すなわちエアギャップパスの攻撃に利用されたときの影響の度合いをスコアリングするシステムともとらえることができる。
【０１３５】
これまでの説明で、各実施の形態と変形例はエアギャップパスの向きについては考慮していなかったが、エアギャップパスの向きを考慮するように拡張可能である。すなわち、エアギャップパスの向きを定義し、向きごとにスコアを算出してもよい。例えば、ホストＡ、ホストＢ間にエアギャップパスが存在し、両ホストのＯＳアップデート頻度が得られたとき、ホストＢのアップデート頻度に基づいてホストＡからホストＢのスコアを算出し、ホストＡのアップデート頻度に基づいてホストＢからホストＡのスコアを算出することができる。
【０１３６】
また、セキュリティアセスメントシステムは、エアギャップパススコアリング部３１５のスコアの算出方法や具体的な算出式を指定、変更するためのインタフェースを備えることができる。
【０１３７】
［他の実施形態］
以上、実施形態を参照して本願発明を説明したが、本願発明は上記実施形態に限定されるものではない。本願発明の構成や詳細には、本願発明のスコープ内で当業者が理解し得る様々な変更をすることができる。また、それぞれの実施形態に含まれる別々の特徴を如何様に組み合わせたシステムまたは装置も、本発明の範疇に含まれる。
【０１３８】
また、本発明は、複数の機器から構成されるシステムに適用されてもよいし、単体の装置に適用されてもよい。さらに、本発明は、実施形態の機能を実現する情報処理プログラムが、システムあるいは装置に直接あるいは遠隔から供給される場合にも適用可能である。したがって、本発明の機能をコンピュータで実現するために、コンピュータにインストールされるプログラム、あるいはそのプログラムを格納した媒体、そのプログラムをダウンロードさせるＷＷＷ(World Wide Web)サーバも、本発明の範疇に含まれる。特に、少なくとも、上述した実施形態に含まれる処理ステップをコンピュータに実行させるプログラムを格納した非一時的コンピュータ可読媒体（non-transitory computer readable medium）は本発明の範疇に含まれる。
【図１】
2019064580.tif 000003
【図２】
2019064580.tif 000004
【図３】
2019064580.tif 000005
【図４】
2019064580.tif 000006
【図５】
2019064580.tif 000007
【図６】
2019064580.tif 000008
【図７】
2019064580.tif 000009
【図８】
2019064580.tif 000010
【図９】
2019064580.tif 000011
【図１０】
2019064580.tif 000012
【図１１】
2019064580.tif 000013
【図１２】
2019064580.tif 000014
【図１３】
2019064580.tif 000015
【図１４】
2019064580.tif 000016
【図１５】
2019064580.tif 000017
【国際調査報告】
2019064580.tif 000018
2019064580.tif 000019