(57)【要約】エアギャップパスを含む攻撃パスをアセスメント可能なセキュリティアセスメントシステムを実現するため、システムに含まれる少なくとも２つのホストと、該少なくとも２つのホスト間の通信リンクとを検出するシステム構成検出手段と、前記少なくとも２つのホストの中で、互いの間に前記通信リンクは存在しないがデータの移動が発生しうるホストの組を検出するエアギャップパス検出手段と、前記システム構成検出手段による検出結果および前記エアギャップパス検出手段による検出結果を利用してセキュリティアセスメントを行うセキュリティアセスメント手段と、を備えた情報処理装置。
2019064579.tif 000002
【特許請求の範囲】
【請求項１】
システムに含まれる少なくとも２つのホストと、該少なくとも２つのホスト間の通信リンクとを検出するシステム構成検出手段と、
前記少なくとも２つのホストの中で、互いの間に前記通信リンクは存在しないがデータの移動が発生しうるホストの組を検出するエアギャップパス検出手段と、
前記システム構成検出手段による検出結果および前記エアギャップパス検出手段による検出結果を利用してセキュリティアセスメントを行うセキュリティアセスメント手段と、
を備えた情報処理装置。
【請求項２】
前記エアギャップパス検出手段は、前記エアギャップパス検出手段が検出した前記ホストの組に関する情報をユーザが入力するためのインタフェースを備える請求項１に記載の情報処理装置。
【請求項３】
前記エアギャップパス検出手段は、前記エアギャップパス検出手段が検出した前記ホストの組を、前記システムの仕様に関するドキュメントの情報に基づいて検出する請求項１または２に記載の情報処理装置。
【請求項４】
前記エアギャップパス検出手段は、前記エアギャップパス検出手段が検出した前記ホストの組を、前記システムの運用マニュアルの情報に基づいて検出する請求項１乃至３のいずれか１項に記載の情報処理装置。
【請求項５】
前記ドキュメントまたは前記運用マニュアルから、データの移動を発生させうる要素の情報を抽出するための、単語または文書の解釈ルールを入力させるためのインタフェースを備える請求項３または４のいずれか１項に記載の情報処理装置。
【請求項６】
前記エアギャップパス検出手段が検出した前記ホストの組の間でデータの移動を発生させうる要素の種類に関する情報を収集する請求項１乃至５のいずれか１項に記載の情報処理装置。
【請求項７】
前記エアギャップパス検出手段が検出した前記ホストの組の間でデータの移動を発生させうる要素が、前記ホストに接続される頻度または接続時間、またはその両方に関する情報を収集する請求項１乃至６のいずれか１項に記載の情報処理装置。
【請求項８】
上記請求項１乃至７のいずれか１項に記載の情報処理装置と、
前記エアギャップパス検出手段が検出した前記ホストの組の間でデータの移動を発生させうる要素とホストとの接続情報を収集するエアギャップパス情報収集クライアントと、
を備え、
前記エアギャップパス情報収集クライアントから得られた情報を基に、前記通信リンクは存在しないがデータの移動が発生しうるようなホストの組を検出する情報処理システム。
【請求項９】
システムに含まれる少なくとも２つのホストと、該少なくとも２つのホスト間の通信リンクとを検出するシステム構成検出ステップと、
前記少なくとも２つのホストの中で、互いの間に前記通信リンクは存在しないがデータの移動が発生しうるホストの組を検出するエアギャップパス検出ステップと、
前記システム構成検出ステップによる検出結果および前記エアギャップパス検出ステップによる検出結果を利用してセキュリティアセスメントを行うセキュリティアセスメントステップと、
を含むセキュリティアセスメント方法。
【請求項１０】
システムに含まれる少なくとも２つのホストと、該少なくとも２つのホスト間の通信リンクとを検出するシステム構成検出ステップと、
前記少なくとも２つのホストの中で、互いの間に前記通信リンクは存在しないがデータの移動が発生しうるホストの組を検出するエアギャップパス検出ステップと、
前記システム構成検出ステップによる検出結果および前記エアギャップパス検出ステップによる検出結果を利用してセキュリティアセスメントを行うセキュリティアセスメントステップと、
をコンピュータに実行させるセキュリティアセスメントプログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、情報処理装置、情報処理システム、セキュリティアセスメント方法およびセキュリティアセスメントプログラムに関する。
【背景技術】
【０００２】
上記技術分野において、特許文献１の段落００６４および図５には、マルウェア感染を含む脆弱性、ウィルス、ネットワーキング環境における不正なふるまい、ＩＴ資産管理上の問題等などのセキュリティ上の問題を監視し、検知し、端末の自動的な隔離および監視を行なうセキュリティ監視装置が開示されている。
【先行技術文献】
【特許文献】
【０００３】
【特許文献１】特開２０１７−０９１４９３号公報
【発明の概要】
【発明が解決しようとする課題】
【０００４】
しかしながら、上記文献に記載の技術では、あるホストからネットワーク上に存在する通信リンクをどのようにたどっても到達不可能なホストへと攻撃が行われる状況を考慮したアセスメントができない。【０００５】
本発明の目的は、上述の課題を解決する技術を提供することにある。
【課題を解決するための手段】
【０００６】
上記目的を達成するため、本発明に係る装置は、
システムに含まれる少なくとも２つのホストと、該少なくとも２つのホスト間の通信リンクとを検出するシステム構成検出手段と、
前記少なくとも２つのホストの中で、互いの間に前記通信リンクは存在しないがデータの移動が発生しうるホストの組を検出するエアギャップパス検出手段と、
前記システム構成検出手段による検出結果および前記エアギャップパス検出手段による検出結果を利用してセキュリティアセスメントを行うセキュリティアセスメント手段と、
を備えた。【０００７】
上記目的を達成するため、本発明に係る方法は、
システムに含まれる少なくとも２つのホストと、該少なくとも２つのホスト間の通信リンクとを検出するシステム構成検出ステップと、
前記少なくとも２つのホストの中で、互いの間に前記通信リンクは存在しないがデータの移動が発生しうるホストの組を検出するエアギャップパス検出ステップと、
前記システム構成検出ステップによる検出結果および前記エアギャップパス検出ステップによる検出結果を利用してセキュリティアセスメントを行うセキュリティアセスメントステップと、
を含む。【０００８】
上記目的を達成するため、本発明に係るプログラムは、
システムに含まれる少なくとも２つのホストと、該少なくとも２つのホスト間の通信リンクとを検出するシステム構成検出ステップと、
前記少なくとも２つのホストの中で、互いの間に前記通信リンクは存在しないがデータの移動が発生しうるホストの組を検出するエアギャップパス検出ステップと、
前記システム構成検出ステップによる検出結果および前記エアギャップパス検出ステップによる検出結果を利用してセキュリティアセスメントを行うセキュリティアセスメントステップと、
をコンピュータに実行させる。
【発明の効果】
【０００９】
本発明によれば、エアギャップパスを含む攻撃パスをアセスメント可能なセキュリティアセスメントシステムを実現することができる。
【図面の簡単な説明】
【００１０】
【図１】本発明の第１実施形態としてのセキュリティアセスメントシステムの一例を示す図である。
【図２】本発明の第２実施形態としてのセキュリティアセスメントシステムが評価対象とするシステムの構成を示す図である。
【図３】本発明の第２実施形態としてのセキュリティアセスメントシステムの構成を示す図である。
【図４】本発明の第２実施形態としてのセキュリティアセスメントシステムにおいて、入力ドキュメントとして利用されるシステム配置図である。
【図５】本発明の第２実施形態としてのセキュリティアセスメントシステムにおいて、エアギャップパス構成要素２０３をホストとみなしてエアギャップパスを定める図である。
【図６】本発明の第２実施形態としてのセキュリティアセスメントシステムの処理の流れを示す図である。
【図７】本発明の第３実施形態としてのセキュリティアセスメントシステムが評価対象とするシステムの構成を示す図である。
【図８】本発明の第３実施形態としてのセキュリティアセスメントシステムが評価対象とするシステムの運用マニュアルを示す図である。
【図９】本発明の第３実施形態としてのセキュリティアセスメントシステムの処理の流れを示す図である。
【図１０】本発明の第４実施形態としてのセキュリティアセスメントシステムが評価対象とするシステムの構成を示す図である。
【図１１】本発明の第４実施形態としてのセキュリティアセスメントシステムの具体的使用方法を示す図である。
【図１２】本発明の第４実施形態に係るエアギャップパス情報収集クライアントの処理の流れを示す図である。
【図１３】本発明の第４実施形態としてのセキュリティアセスメントシステムの処理の流れを示す図である。
【発明を実施するための形態】
【００１１】
以下に、図面を参照して、本発明の実施の形態について例示的に詳しく説明する。ただし、以下の実施の形態に記載されている構成要素はあくまで例示であり、本発明の技術範囲をそれらのみに限定する趣旨のものではない。
【００１２】
［第１実施形態］
（前提技術）
一般に、攻撃者が初期状態でアクセス可能なホストと攻撃者が攻撃目標としているホストが異なる場合には、攻撃者はシステム内の複数のホストを経由して攻撃目標としているホストへの攻撃を実現する。そのため、セキュリティアセスメントでも複数のホストを経由する攻撃をアセスメントできる必要がある。
【００１３】
既存のセキュリティアセスメントシステムではシステム内のネットワーク上に存在するホストがどの順序で攻撃されうるか（攻撃パス）を抽出し、攻撃が行われる可能性の高さや、攻撃所要時間の推定、攻撃が行われた場合の被害の推定を行う機能が提供されている。ここで、ネットワーク上に存在する通信リンクは有線か無線かは問わない。
【００１４】
以降、ネットワーク上に存在する通信リンクをたどることで到達可能なホストを単に"通常到達可能なホスト"と呼ぶ。同様に、通信リンクをどのようにたどっても到達不可能なホストを単に"通常到達不可能なホスト"と呼ぶ。
【００１５】
既存のセキュリティアセスメントシステムでは、あるホストが攻撃を受け攻撃者のコントロール下に置かれたとしても、そのホストから通常到達不可能なホストには通信が不可能であるため、攻撃を行うことができないと判断していた。
【００１６】
しかし、実際には携帯型の記憶媒体等を介して、マルウェアを感染拡大させるといった攻撃行動を行うことができる。例えば、ホストＡ、ホストＢが存在し、それらの間にネットワーク上は接続が存在しなかったとしても、ホストＡ、ホストＢ双方に接続される記憶媒体（ＵＳＢメモリなど）が存在した場合、当該記憶媒体を介して、一方のホストからもう一方のホストへとマルウェアの感染が拡大しうる。なお、本明細書では今後このように一時的に接続される媒体によってつながるホスト間のパスを"エアギャップパス"と呼称する。また、何らかの通信リンクによってつながるホスト間のパスを"通常パス"と呼称する。
【００１７】
エアギャップパスは実機から収集されるネットワークの構成情報などには現れず、既存のセキュリティアセスメントシステムでは考慮することができなかった。
【００１８】
なお、一般にエアギャップパスは通常到達可能なホスト間にも存在しうる。例えば、何らかの通信リンクが存在するホストＡ、ホストＢが存在したとき、さらにそれらの双方に接続される記憶媒体が存在した場合には、ホストＡ、Ｂ間には通常パスとエアギャップパス双方が存在することとなる。
【００１９】
（情報処理装置）
本発明の第１実施形態としての情報処理装置１００について、図１を用いて説明する。情報処理装置１００は、システムにおけるセキュリティ状態を査定、評価する装置である。
【００２０】
図１に示すように、情報処理装置１００は、システム構成検出部１０１、エアギャップパス検出部１０２およびセキュリティアセスメント部１０３を含む。
【００２１】
システム構成検出部１０１は、システム１５０に含まれる少なくとも２つのホスト１５１〜１５３と、少なくとも２つのホスト１５１、１５２間の通信リンク１５５とを検出する。
【００２２】
エアギャップパス検出部１０２は、少なくとも２つのホスト１５１〜１５３の中で、互いの間に通信リンクは存在しないがデータの移動が発生しうるホストの組１５２、１５３を検出する。
【００２３】
セキュリティアセスメント部１０３は、システム構成検出部１０１による検出結果およびエアギャップパス検出部１０２による検出結果を利用してセキュリティアセスメントを行う。
【００２４】
以上により、あるホストからネットワーク上に存在する通信リンクをどのようにたどっても到達不可能なホストへと攻撃が行われる状況を考慮したアセスメントができる。
【００２５】
［第２実施形態］
次に本発明の第２実施形態に係るセキュリティアセスメントシステムについて、図２〜図６を用いて説明する。
【００２６】
（評価対象となるシステムの構成）
図２は、本実施形態に係るセキュリティアセスメントシステムが評価対象とするシステム２００の構成を説明するための図である。
【００２７】
この例ではアセスメント対象となるシステム２００は、通常到達可能なホスト同士を含むホストグループ２０１、２０２を含んでいる。ホストグループ２０１は、ホスト２１１〜２１３を含み、ホストグループ２０２は、ホスト２２１〜２２３を含む。さらにシステム２００は、エアギャップパス構成要素２０３を含んでいる。通常到達可能なホストグループ２０１内のホスト２１１〜２１３はホスト間の通信リンクをたどることで互いに到達可能となるホスト群である。通常到達可能なホストグループ２０２についても同様で、ホスト２２１〜２２３は通信リンクをたどることで互いに到達可能である。ホストグループ２０１のホストとホストグループ２０２のホスト間は有線、無線問わず通信リンクが存在しない。しかし、ホスト２１３とホスト２２１の間には、その双方に接続されるエアギャップパス構成要素２０３が存在する。
【００２８】
ホスト２１１〜２１３、２２１〜２２３は典型的にはＰＣ、サーバなどの計算機やファイアウォール、スイッチなどのネットワーク機器であるが、これに限定されず、プリンタ、マウス等の周辺機器や産業制御機器でもよい。エアギャップパス構成要素２０３は典型的にはＵＳＢメモリなどの記憶媒体であるが、これに限定されない。
【００２９】
セキュリティアセスメントシステムの目的は、エアギャップパスを含む攻撃パスのアセスメントを可能とすることである。例えばホスト２１１が外部ネットワークと接続されており、２１１→２１３→２２１→２２２→２２３と辿ってホスト２２３で目的の攻撃行動を行うような攻撃パスのアセスメントを実現する。このとき２１３→２２１はエアギャップパスであり、既存のセキュリティアセスメントでは考慮されていなかった。
【００３０】
（セキュリティアセスメントシステムの構成）
セキュリティアセスメントシステム３００の構成例を図３に示す。セキュリティアセスメントシステム３００はシステム構成検出部３０１、エアギャップパス検出部３０２、セキュリティアセスメント部３０３をそれぞれ含む。
【００３１】
システム構成検出部３０１は、セキュリティアセスメントを行う対象システムの構成を検出する機能部である。アセスメント対象システムに含まれるホスト、ネットワーク構成（ホスト間の接続関係）を少なくとも検出する。ここで検出された情報を用いることで、通常到達可能なホストグループ２０１を定めることが可能となる。システム構成検出部３０１が検出した情報はセキュリティアセスメント部３０３へと通知される。また、システム構成検出部３０１は、セキュリティアセスメントに用いるために、さらなる情報を収集してもよい。例えば、システム構成検出部３０１は、ホスト上で動作するソフトウェア、ソフトウェアのバージョン、ホストに保存されるデータ、クレデンシャル情報、ホストのソフトウェアが他のどのホストにアクセスするか、ホスト間のプロトコルやそのコンフィグレーション情報などの情報を収集することもできる。
【００３２】
システム構成検出部３０１は、様々な実現方法があるが、典型的には各ホストに不図示のエージェントソフトウェアを導入することで実現できる。各ホストにインストールしたエージェントソフトウェアが、当該ホストと当該ホストが通信可能な隣接ホストの情報をセキュリティアセスメントシステム３００へと通知する。また、図３には含まれていないが、ユーザがシステム構成を入力できるようなインタフェースを備えてもよい。さらに、既存の構成管理システムから情報を得ることもできる。
【００３３】
一方、システム構成検出部３０１は、システム仕様に関するドキュメントからシステム構成を検出してもよい。すなわち、図４に示されるような配置図４０１、４０２から、システム構成として、各ホスト（ＰＣ４１１、４１２、４２１、４２２）の存在やその識別情報（デバイス名またはＩＰアドレス）、接続関係を検出するようにしてもよい。こうすることで、入力ドキュメントからのみ情報を収集するようになるため、情報収集の通信負荷を実システムに与えないようにすることができる。
【００３４】
エアギャップパス検出部３０２は、ユーザがエアギャップパスの情報を入力することを可能とする機能部である。エアギャップパス検出部３０２はユーザに対してエアギャップパス情報を入力するためのインタフェースを提供する。エアギャップパスを構成するホストの識別情報の情報が最低限入力される。例えば、図２に示されるシステム２００ではホスト２１３、ホスト２２１の識別情報が入力される。エアギャップパス検出部３０２は入力されたエアギャップパスの情報をセキュリティアセスメント部３０３へと通知する。このとき、エアギャップパス構成要素２０３の識別情報も併せてセキュリティアセスメント部３０３に通知してもよい。単一のホストの組に複数のエアギャップパス構成要素２０３が接続して、複数のエアギャップパスが形成される場合に、それらを区別することが可能となる。
【００３５】
さらに、エアギャップパス検出部３０２はエアギャップパス特有の情報を入力できるようなインタフェースを備えることができる。例えば、エアギャップパス構成要素２０３がエアギャップパス両端のホストへと接続される頻度や、エアギャップパス構成要素２０３が連続して接続される時間や、単位期間中の総接続時間などの接続時間の情報を入力できる。エアギャップパス構成要素が高頻度で接続されるほど、または接続時間が長いほど、当該エアギャップパスが攻撃に利用されやすくなると考えられるため、このような情報を入力可能とすることには重要な意味がある。
【００３６】
さらに、エアギャップパス構成要素２０３の種別に関する情報を入力できるようなインタフェースを備えることも可能である。エアギャップパス構成要素２０３にはＵＳＢメモリ、スマートフォン、デジタルカメラ等、様々なバリエーションが考えられる。エアギャップパス構成要素２０３の種類によって当該エアギャップパスの攻撃に利用されやすさが変わると考えられるため、エアギャップパス構成要素２０３を入力可能とすることには重要な意味がある。
【００３７】
エアギャップパス構成要素２０３には様々なバリエーションが存在する。記憶機能を持ち、ホストと情報のやり取りが可能なデバイスであればエアギャップパス構成要素２０３となりうる。具体例としてＵＳＢメモリやＳＤメモリカードなどのメモリカード、外付けハードディスク、ＣＤ、ＤＶＤなどの光メディア、ラップトップパーソナルコンピュータ、スマートフォン、タブレット、デジタルカメラ、携帯型音楽プレーヤーなどがある。また、プリンタ、マウス等の周辺機器や産業制御機器もエアギャップパス構成要素２０３となりうる。なおここで上げた機器は例であり、これには限定されない。
【００３８】
エアギャップパスはエアギャップパス構成要素２０３を持たないこともありうる。すなわち、ホスト間が記憶媒体を介さず直接ケーブルで接続される場合や、ＷｉＦｉのテザリング機能などで一時的に接続される場合である。ホスト間が定常的に接続されている場合はエアギャップパスとはならないが、システム使用者が必要に応じて一時的に接続するようなホスト間はエアギャップパスとなりうる。このようなエアギャップパスも既存のセキュリティアセスメントシステムでは、見逃される。この場合にはエアギャップパス構成要素２０３の実体はなくなるものの、本実施の形態のようにエアギャップ情報を入力させることは可能であり、本実施の形態を適用可能である。なお、エアギャップパス構成要素２０３をホストとみなしてエアギャップパスを定めることも可能である。
【００３９】
図５に示すケース５０１、５０２のようにホスト５１１とホスト５１２にＵＳＢメモリ５１３が接続される場合を考える。この時、ケース５０１に示されるように、ＵＳＢメモリ５１３をエアギャップパス構成要素２０３とみなし、ホスト５１１、ホスト５１２間にエアギャップパスが存在するものとして、エアギャップパスを入力させることも可能である。一方、ケース５０２に示されるようにＵＳＢメモリ５１３もホストとみなし、ホスト５１１−ＵＳＢメモリ５１３間とＵＳＢメモリ５１３−ホスト５１２間にエアギャップパスが存在するとものとしてエアギャップパスを入力させることも可能である。ケース５０２の場合には、ホスト５１１−ＵＳＢメモリ５１３間とＵＳＢメモリ５１３−ホスト５１２間のそれぞれのエアギャップパスはエアギャップパス構成要素を持たないエアギャップパスとなる。
【００４０】
また、エアギャップパス検出部３０２ではエアギャップパスの方向に関する情報を入力することもできる。例えばあるＵＳＢメモリが必ず初期化したあと、ホストＡ、ホストＢの順に接続するといった状況を考えると、ホストＡからホストＢにマルウェアが感染することはあってもその逆はない。そのためホストＡからホストＢへの一方向のエアギャップパスとなる。
【００４１】
セキュリティアセスメント部３０３では、システム構成検出部３０１とエアギャップパス検出部３０２から通知された情報をもとにセキュリティアセスメントを行う。少なくともあるホストから別のホストへの攻撃パスを抽出する機能を有する。単純な方法として、あるホストＡからネットワーク上の通信リンクとエアギャップパスをたどってホストＢへ到達可能であり、ホストＢの何らかの機能を不正に利用できる場合、ホストＡからホストＢへと到達する全てのパスを、ホストＡからホストＢへの攻撃パスとして抽出することができる。
【００４２】
また、抽出した攻撃パスについて、実際に攻撃を受ける可能性や、攻撃を受けた場合に被害が生じる可能性、攻撃所要時間などを評価してもよい。その際に、エアギャップパス検出部３０２から得られたエアギャップパス構成要素２０３の接続頻度、接続時間、エアギャップパス構成要素２０３の種別の情報を用いることができる。
【００４３】
なお、セキュリティアセスメント部３０３はここで述べた機能に限定されない。既存のセキュリティアセスメントシステムで使用されるアセスメント方法と適宜組み合わせることができる。
【００４４】
（処理の流れ）
本実施の形態の処理の流れを図６に示す。なお、図６の示す処理は適宜順序を入れ替えて実施することも可能である。
【００４５】
まずステップＳ６０１において、システム構成検出部３０１がシステム構成検出処理を行い、システム情報を検出する。そして、システム構成検出部３０１は、検出した情報をセキュリティアセスメント部３０３へと通知する。
【００４６】
次に、ステップＳ６０２において、エアギャップパス検出部３０２がエアギャップパス入力受付処理を行い、ユーザからの情報入力待ちを行う。ユーザからエアギャップパス情報の入力を受けると、当該情報をセキュリティアセスメント部３０３に通知する。
【００４７】
最後に、ステップＳ６０３において、セキュリティアセスメント部３０３はセキュリティアセスメント処理を行い、エアギャップパスを含む攻撃パスの抽出を行う。
【００４８】
本実施の形態によれば、既存のセキュリティアセスメントシステムで考慮されていなかったエアギャップパスを、セキュリティアセスメントの一要素として含ませることができる。すなわち、これまで見逃されていたエアギャップパスを含む攻撃パスを抽出することが可能となる。
【００４９】
また、エアギャップパス構成要素２０３の接続頻度や接続時間、種別をセキュリティアセスメントに反映できるようになる。
【００５０】
［第３実施形態］
次に本発明の第３実施形態に係るセキュリティアセスメントシステムについて、図７以降を用いて説明する。本実施形態に係るセキュリティアセスメントシステム７００は、上記第２実施形態と比べると、用語データベース７０４を有する点で異なる。その他の構成および動作は、第２実施形態と同様であるため、同じ構成および動作については同じ符号を付してその詳しい説明を省略する。
【００５１】
第２実施形態では、エアギャップパスをユーザに入力させることで、エアギャップパスの情報を得る方法を示した。それに対し、本実施形態ではエアギャップパスの情報をドキュメントから取得する。
【００５２】
（セキュリティアセスメントシステムの構成）
図７は、本実施形態に係るセキュリティアセスメントシステムの概略構成を説明するための図である。第２実施形態と比較し、エアギャップパス検出部７０２の機能が変更される。またドキュメントに記載されている情報を解釈するための用語データベース（用語ＤＢ）７０４を備える。
【００５３】
エアギャップパス検出部７０２は入力されたドキュメントから、エアギャップパス情報を抽出し、セキュリティアセスメント部３０３へと通知する機能を有する。エアギャップパス検出部７０２へと入力するドキュメントとして、システム仕様に関するドキュメントや運用マニュアルを用いることができる。
【００５４】
エアギャップパス検出部７０２は入力ドキュメントから、エアギャップパス構成要素２０３の情報を抽出する際に、ドキュメント内の表現を解釈するために用語ＤＢ７０４を利用する。具体的には、用語ＤＢ７０４にあらかじめ、エアギャップパス構成要素２０３を表しうる文字列表現の情報を格納し、それとドキュメント内の単語を比較することでエアギャップパス構成要素２０３の情報を抽出する。用語ＤＢ７０４に格納する内容は、"ＵＳＢフラッシュメモリ"、"ラップトップＰＣ"などの文字列であってもよいし、正規表現などの文字列をパターンマッチング可能な表現であってもよい。
【００５５】
エアギャップパス検出部７０２は入力ドキュメントから用語ＤＢ７０４を活用し、ホストと接続されるデバイスをエアギャップパス構成要素２０３の候補として抽出する。このとき、抽出する情報は当該エアギャップパス構成要素２０３の候補の識別情報とそのデバイスが接続するホストの識別情報が少なくとも含まれる。その後、複数ホストに接続されるようなエアギャップパス構成要素２０３の候補が存在する場合、当該デバイスをエアギャップパス構成要素２０３と判断し、そのデバイスが接続するホスト間にエアギャップパスが存在するものと判断する。
【００５６】
例えば、図４に示すような、入力するドキュメントとして、Ｕｎｉｆｉｅｄ  Ｍｏｄｅｌｉｎｇ  Ｌａｎｇｕａｇｅ（ＵＭＬ）における配置図４０１、４０２を利用することができる。図４はシステム上で隔離されたネットワーク４１０、ネットワーク４２０についての配置図である。なお、ＰＣ４１１、４１２、４２１、４２２の存在とそのＩＰアドレス、ＰＣ４１１、４１２間、ＰＣ４２１、４２２間がそれぞれ通信可能であることは、システム構成検出部３０１によって判明しているものとする。また用語ＤＢ７０４にはあらかじめ文字列"ＵＳＢフラッシュメモリ"がエアギャップパス構成要素２０３を示す単語の一つとして登録されているものとする。
【００５７】
エアギャップパス検出部７０２は配置図に存在する各単語を用語ＤＢ７０４の内容と比較し、マッチングする文字列が示すデバイスをエアギャップパス構成要素２０３の候補として認識し、その情報を取得する。このとき、取得する情報は当該デバイスの識別情報とそのデバイスが接続する（配置図上で、実線で繋がれる）ホストの識別情報が少なくとも含まれる。
【００５８】
図４の例では、配置図４０１、配置図４０２それぞれで"ＵＳＢフラッシュメモリ"がエアギャップパス構成要素２０３を示す単語としてマッチングするので、識別情報（ＩＤ：ｘｘｘｘ）を取得する。なお、識別情報が明示的に存在しない場合は、デバイス名（ＵＳＢフラッシュメモリＸ）などの情報をもとに識別情報を作成することもできる。典型的には、図中のデバイス名の文字列をそのまま識別情報として利用することができる（図中"ＵＳＢフラッシュメモリＸ"）。さらに、配置図４０１ではＵＳＢフラッシュメモリＸが接続するホストＰＣ４１１を識別可能な情報としてＩＰアドレス１９２．１６８．ａａ．ａａを取得する。同様に配置図４０２では、ＵＳＢフラッシュメモリＸが接続するホストＰＣ４２１を識別可能な情報としてデバイス名"ＰＣ４２１"またはＩＰアドレス１９２．１６８．ｃｃ．ｃｃを取得する。
【００５９】
なお、識別情報は明示的に指定されたＩＤやデバイス名、ホスト名、ＩＰアドレスなど様々な形式の値を用いることができ、エアギャップパス構成要素２０３の候補とホストの識別情報の形式は異なっていてもよい。ただし、エアギャップパス構成要素２０３の候補の識別情報は全て同じ形式で抽出することが求められる。同様に全てのホストの識別情報も同じ形式で抽出することが求められる。
【００６０】
配置図全体を読み込み、複数個所でエアギャップパス構成要素２０３の候補として認識されたデバイスを改めて抽出する。図４の例ではＵＳＢフラッシュメモリＸが抽出される。ＵＳＢフラッシュメモリＸが接続するホストの情報をもとに、エアギャップパスを検出する。図４の例では、ＰＣ４１１、４２１間にエアギャップパスが存在するものとして検出する。すなわち、（"ＰＣ４１１"，  "ＰＣ４２１"）または（１９２．１６８．ａａ．ａａ，  １９２．１６８．ｃｃ．ｃｃ）といったエアギャップパスが存在するホストの組の情報が分かるデータが生成される。ここで生成されたデータはセキュリティアセスメント部３０３に通知される。
【００６１】
別の例として、運用マニュアルからエアギャップパスを読み取ることができる。運用マニュアルから読み取る場合にはエアギャップパス検出部３０２は自然言語処理エンジンを備えることが望ましい。
【００６２】
図８の例を用いて運用マニュアル８００からエアギャップパスを読み取る例を説明する。運用マニュアルからエアギャップパスを読み取る場合には、ホストの情報とエアギャップパス構成要素２０３の情報を読み取る方法と、ホストの情報とホストを操作する作業者の情報を読み取る方法がある。
【００６３】
なお、ホスト２１１〜２１３、２２１〜２２３、エアギャップパス構成要素２０３、作業者を表現しうる文字列情報は用語ＤＢ７０４にあらかじめ格納しておく。以下の説明において、ドキュメント中に含まれる各要素の抽出では用語ＤＢ７０４に格納された文字列情報が利用される。
【００６４】
ホスト２１１〜２１３、２２１〜２２３の情報とエアギャップパス構成要素２０３の情報を読み取る方法では、まず運用マニュアルからホスト２１１〜２１３、２２１〜２２３の情報とエアギャップパス構成要素２０３の候補の組の情報を、自然言語処理エンジンを用いて抽出する。この時の自然言語処理アルゴリズムは問わない。単純な方法として、一つの段落または一つの文にホスト２１１〜２１３、２２１〜２２３をあらわす単語とエアギャップパス構成要素２０３を表す単語の両方が含まれている場合に、それらを抽出することができる。また、より高度な方法として、"ホストＡからメモリＸにデータを移動する"、"ホストＡのデータのバックアップをメモリＸにとる"といった、ホスト２１１〜２１３、２２１〜２２３にエアギャップパス構成要素２０３が接続されることを含意する文章を認識するように自然言語処理エンジンを構成してもよい。
【００６５】
例えば運用マニュアル８００の段落Ｉでは、ホストの情報として"ホストＡ"が、エアギャップパス構成要素２０３の情報として"ＵＳＢフラッシュメモリＸ"が抽出される。同様に段落ＩＩからは、ホストの情報として"ホストＡ"がエアギャップパス構成要素２０３の情報として"ＵＳＢフラッシュメモリＸ"が抽出される。
【００６６】
なお、ここで抽出したホストの情報とエアギャップパス構成要素２０３の候補の情報の組をエアギャップパスの情報とみなしてセキュリティアセスメント部３０３に通知するようなバリエーションが存在する。
【００６７】
運用マニュアル８００全体について、ホスト２１１〜２１３、２２１〜２２３とエアギャップパス構成要素２０３の候補の組を抽出すると、配置図からエアギャップパスを認識する場合と同様に、複数個所でエアギャップパス構成要素２０３の候補として認識されたデバイスを改めて抽出する（図４のＵＳＢフラッシュメモリＸ）。ここで抽出されたエアギャップパス構成要素２０３が接続されるホスト間にエアギャップパスが存在するものとして、ホストの識別情報の組（運用マニュアル８００中の"ホストＡ"、"ホストＢ"）のデータを生成する。前述のとおり、ここで生成されたデータはセキュリティアセスメント部３０３に通知される。
【００６８】
次に、ホスト２１１〜２１３、２２１〜２２３の情報とホスト２１１〜２１３、２２１〜２２３を操作する作業者の情報を読み取る方法を説明する。この方法はホスト間のデータの受け渡しに利用するデバイスが明示されていない状況でもエアギャップパスを検出できるというメリットがある。
【００６９】
この方法では、まず運用マニュアルからホスト２１１〜２１３、２２１〜２２３の情報とホスト２１１〜２１３、２２１〜２２３を操作する作業者の情報の組を、自然言語処理エンジンを用いて抽出する。前述の方法と同様に、このときの自然言語処理アルゴリズムは問わない。単純な方法として、一つの段落または一つの文にホスト２１１〜２１３、２２１〜２２３をあらわす単語と作業者を表す単語の両方が含まれている場合に、それらを抽出することができる。また、より高度な方法として、ある作業者が複数のホスト２１１〜２１３、２２１〜２２３にアクセスし、データを移動させることを含意する文章を認識するように自然言語処理エンジンを構成してもよい。
【００７０】
運用マニュアル８００の例では、段落Ｉで"作業者α"と"ホストＡ"の組が、段落ＩＩで"作業者α"と"ホストＢ"の組がホスト２１１〜２１３、２２１〜２２３および作業者の組として抽出される。さらに、段落ＩＩＩでは、"作業者β"と"ホストＣ"の組と"作業者β"と"ホストＤ"の組が抽出される。
【００７１】
運用マニュアル全体について、ホストと作業者の組を抽出すると、複数個所で抽出された作業者を改めて抽出する（運用マニュアル８００中、作業者α、作業者β）。同じ作業者によって、操作されるホスト間にエアギャップパスが存在するものとして、当該作業者とともに抽出されたホストの組を、エアギャップパスを示すデータとして生成する。運用マニュアル８００の例では作業者αとともに抽出された"ホストＡ"、"ホストＢ"の組と、作業者βとともに抽出された"ホストＣ"、"ホストＤ"の組がそれぞれエアギャップパスを示すデータとして生成される。前述のとおり、ここで生成されたデータはセキュリティアセスメント部３０３に通知される。
【００７２】
また、本来エアギャップパスではないホスト間が誤ってエアギャップパスとして認識されることを防ぐために、一ページや一段落、一文といった単位で運用マニュアルを区切って、繰り返し上記処理を行うようにしてもよい。そうした場合、同じ作業者の操作でも、運用マニュアル中で離れた箇所に記載されている場合にエアギャップパスとして認識されなくなり、誤って認識されるエアギャップパスを減らしうる。
【００７３】
用語ＤＢ７０４は、ホスト２１１〜２１３、２２１〜２２３、エアギャップパス構成要素２０３、作業者をドキュメントから抽出するための文字列と比較可能な表現が必要に応じて格納される。典型的には、ホスト２１１〜２１３、２２１〜２２３、エアギャップパス構成要素２０３、作業者を意味する文字列が格納される。また、正規表現など文字列とパターンマッチング可能な表現が格納されてもよい。
【００７４】
なお、エアギャップパス構成要素２０３やホスト２１１〜２１３、２２１〜２２３、作業者を表現する単語の集合は業界やシステムの内容によって異なりうる。例えば、一般企業の事務系システムでは、ホストは"パーソナルコンピュータ"や"認証サーバ"、"プリンタ"などオフィス環境で利用される機器が多くなるが、工場のシステムでは、"ＰＬＣ"、"ＨＭＩ"、"エンジニアリングステーション"などの産業制御機器が多くなる。そのため、用語ＤＢ７０４はシステムが利用される業界ごとにカスタマイズするようにしてもよい。また、用語ＤＢ７０４の内容や、エアギャップパス読み取り部４０４におけるドキュメントの解釈方法をユーザがカスタマイズできるようにしてもよい。
【００７５】
図７に示した構成に加えて、単語やドキュメントの解釈ルールや用語ＤＢ７０４の内容を追加、削除、変更できるようなインタフェースを備えるようにセキュリティアセスメントシステム３００を構成することもできる。
【００７６】
（処理の流れ）
本実施の形態の処理の流れを図９に示す。なお、図９の示す処理は適宜順序を入れ替えて実施することも可能である。
【００７７】
本実施形態の動作はシステム構成検出処理Ｓ６０１、ドキュメントからの情報抽出処理Ｓ９０２、エアギャップパス認識処理Ｓ９０３、セキュリティアセスメント処理Ｓ６０３を含む。システム構成検出処理Ｓ６０１とセキュリティアセスメント処理Ｓ６０３は第２実施形態と同様なので、説明を省略する。
【００７８】
ドキュメントからの情報抽出処理Ｓ９０２ではエアギャップパス検出部７０２において、ドキュメントから、エアギャップパス構成要素２０３およびそれが接続するホスト２１１〜２１３、２２１〜２２３の情報や作業者およびその作業者が操作するホスト２１１〜２１３、２２１〜２２３の情報を抽出する処理が行われる。
【００７９】
エアギャップパス認識処理Ｓ９０３では、ドキュメントからの情報抽出処理Ｓ９０２で得られたエアギャップパス構成要素２０３と接続するホスト２１１〜２１３、２２１〜２２３の情報や、作業者およびその作業者が操作するホスト２１１〜２１３、２２１〜２２３の情報をもとにエアギャップパスを検出し、少なくともホストの組の情報を含むデータが生成される。
【００８０】
（本実施形態の変形例）
エアギャップパス検出部７０２でのエアギャップパス検出において、自然言語処理アルゴリズムにより、直接的にエアギャップパスを認識するように構成してもよい。すなわち、運用マニュアル８００の段落Ｉ、ＩＩ、ＩＩＩのように、エアギャップパスが存在することを含意する文章から直接的にエアギャップパスの存在を検出するように自然言語処理エンジンを構成してもよい。
【００８１】
また、自然言語処理に限定されない任意の機械学習エンジンを用いて、文章、図、表からエアギャップパスの情報を得るような拡張も可能である。すなわち、エアギャップパスを構成しうるような文章、図、表のデータを正解データとして、学習させておき、入力ドキュメント中の文章、図、表から直接的にエアギャップパスを抽出してもよい。
【００８２】
本実施の形態の説明では、エアギャップパス構成要素２０３または作業者の情報とホストを紐づけて、情報を抽出したのち、エアギャップパスが存在するホストの組を改めて抽出しているが、エアギャップパス構成要素２０３や作業者が明示されない場合もある。そのことから、自然言語処理エンジンを、"あるホストからほかのホストへデータを移動させる"という意味を含む文章を検出するように構成し、当該ホストの組の間にエアギャップパスが存在するものとしてエアギャップパスを検出してもよい。
【００８３】
本実施の形態のここまでの説明では、入力ドキュメントとして配置図を用いる例と運用マニュアルを用いる例について述べたが、その他のドキュメントを用いてもよい。例えば、ＵＭＬのユースケース図を用いることもできる。ユースケース図を用いる場合には、アクターとユースケースに記載される内容からエアギャップパスを検出しうる。この場合にはユースケースに記載される内容のうち、"データをメモリに移動させる"といった、記憶媒体がホストに接続することを含意する表現がなされているユースケースを持つホストと対応するアクターを抽出し、同じアクターが記憶媒体を接続するようなホスト間にエアギャップパスが存在するものと判断することができる。
【００８４】
その他のドキュメントについても同様に入力ドキュメントとして用いることができる可能性がある。例えば、シーケンス図、コラボレーション図、クラス図、オブジェクト図、アクティビティ図、ステートチャート図、コンポーネント図などのドキュメントも用いうる。また、複数のドキュメントを適宜組み合わせて利用することも可能である。
【００８５】
ただし、エアギャップパス構成要素２０３がホストに接続することを含意する表現を抽出したあと、接続されるエアギャップパス構成要素２０３と接続先ホストを一意に識別可能である必要がある。ＵＭＬに含まれる表現形式は書き方によっては複数のエンティティに関する共通の事項をモデル化していることがあるため、エアギャップパス構成要素２０３と接続先ホストを一意に定めることができない場合がある。そのようなドキュメントでは、システムに一つだけ存在するエアギャップパス構成要素２０３と、同じくシステムに一つだけ存在するホストのみ、エアギャップパスとして認識可能なエンティティとなる。
【００８６】
別の例として、データフロー図を用いることができる。この場合には、システム構成検出部３０１で検出されたネットワーク構成と、ホスト間のデータ移動を対応させることでエアギャップパスを検出する。すなわち、エアギャップパス検出部３０２でデータフロー図から、データの移動が行われるホストの組を抽出する。このホストの組の抽出は、データフロー図上で矢印などデータ移動を示す線で繋がれるホストの識別情報を組として抽出すればよい。なお、このとき、他の例と同じく用語ＤＢ７０４に格納されている情報を用いてホストを抽出することもできる。抽出されたホストの組がシステム構成検出部３０１で検出されたネットワーク構成で通常到達可能でない場合に、当該ホストの組の間にエアギャップパスが存在するものとしてエアギャップパスを検出すればよい。第１実施形態と同様に、エアギャップパス構成要素２０３の種別の情報を収集し、セキュリティアセスメントに利用することもできる。その場合には、エアギャップパス構成要素２０３の候補を抽出する際に当該デバイスの種別を同時に抽出するようにすればよい。
【００８７】
さらに、第１実施形態と同様に、エアギャップパス構成要素２０３の接続頻度、接続時間の情報を収集し、セキュリティアセスメントに利用することもできる。その場合には、エアギャップパス構成要素２０３の候補を抽出する際に、それらの接続頻度、接続時間の情報も同時に抽出する。
【００８８】
第１実施形態と同様に、エアギャップパスはエアギャップパス構成要素２０３を持たないこともありうる。例えば、図８の段落ＩＩＩに示されるデータ移動は記憶媒体を介するとは限らない。すなわち、本実施の形態も、エアギャップパス構成要素２０３を持つようなエアギャップパスには限定されず、ホスト間が直接ケーブルや無線通信等で接続される場合のエアギャップパスも検出しうる。
【００８９】
第２実施形態と同様に、エアギャップパス構成要素２０３をホスト２とみなしてエアギャップパスを定めることも可能である。すなわち、ホストとホストに接続された記憶媒体の組の情報をドキュメントから抽出してセキュリティアセスメント部３０３に通知してもよい。
【００９０】
例えば、図４における、ＰＣＡとＵＳＢフラッシュメモリＸやＰＣ  ＣとＵＳＢフラッシュメモリＸの間にエアギャップパスが存在するものとして、ＰＣ  Ａの識別情報とＵＳＢフラッシュメモリＸの識別情報の組や、ＰＣ  Ｃの識別情報とＵＳＢフラッシュメモリＸの識別情報の組をセキュリティアセスメント部３０３に通知するようにしてもよい。
【００９１】
本実施の形態によると、アセスメント対象システムの仕様を記述したドキュメントや、当該システムの運用マニュアルを用いることで、自動的にエアギャップパスの情報を取得することができる。
【００９２】
［第４実施形態］
次に本発明の第４実施形態に係るセキュリティアセスメントシステムについて、図１０以降を用いて説明する。図１０は、本実施形態に係るセキュリティアセスメントシステムの概略構成を説明するための図である。本実施形態に係るセキュリティアセスメントシステム１０００は、上記第２実施形態と比べると、エアギャップ情報収集クライアント１００２と接続履歴記憶部１０１４を有する点で異なる。その他の構成および動作は、第２実施形態と同様であるため、同じ構成および動作については同じ符号を付してその詳しい説明を省略する。
【００９３】
第３実施形態では、ドキュメントから読み込んだ情報をもとにエアギャップパスの情報を取得したが、本実施の形態では、実際のシステムからエアギャップパスの情報を収集する。
【００９４】
（セキュリティアセスメントシステムの構成）
図１０は、本実施形態に係るセキュリティアセスメントシステム１０００の概略構成を説明するための図である。セキュリティアセスメントシステム１０００はセキュリティアセスメントサーバ１００１と、エアギャップパス情報収集クライアント１００２を備える。セキュリティアセスメントサーバ１００１はシステム構成検出部３０１とエアギャップパス検出部１０１２、セキュリティアセスメント部３０３、接続履歴記憶部１０１４を有する。また、エアギャップパス検出部１０１２はエアギャップパス情報収集クライアント１００２からエアギャップパスを検出するための情報を得る。
【００９５】
システム構成検出部３０１とセキュリティアセスメント部３０３が持つ機能は第２実施形態と同じであるため説明を省略する。
【００９６】
エアギャップパス情報収集クライアント１００２は典型的には、ホストにインストールされたエージェントソフトウェアである。以降の説明でも、エアギャップパス情報収集クライアント１００２がホストにインストールされたエージェントソフトウェアである場合で説明するが、これには限定されない。
【００９７】
エアギャップパス情報収集クライアント１００２はエアギャップパス構成要素２０３の接続を検知し、エアギャップパス検出部１０１２へとエアギャップパス構成要素２０３の接続情報を通知する機能を有する。具体的にはエアギャップパス情報収集クライアント１００２がインストールされたホストにエアギャップパス構成要素２０３が接続されたことを検知すると、エアギャップパス構成要素２０３の接続情報として、当該エアギャップパス構成要素２０３の識別情報と自ホストの識別情報を少なくとも含む情報をエアギャップパス検出部３０２へと通知する。
【００９８】
なお、既存のセキュリティツールや構成管理ツールで、外部記憶媒体等の接続を検知し、その情報を収集するシステムがある場合、そこで収集される情報を用いてもよい。また、作業者の操作履歴を記録するシステムの情報を用いてもよい。
【００９９】
エアギャップパス検出部１０１２はエアギャップパス情報収集クライアント１００２からエアギャップパス構成要素２０３の接続情報を得て、接続履歴記憶部１０１４に格納する。さらに、接続履歴記憶部１０１４に既に格納されている情報をもとに、エアギャップパスを検出し、セキュリティアセスメント部３０３へと通知する。
【０１００】
具体的にはエアギャップパス検出部１０１２はエアギャップパス情報収集クライアント１００２からエアギャップパス構成要素２０３の接続情報を得ると、当該情報を接続履歴記憶部１０１４へと格納する。同時に、当該情報に含まれるエアギャップパス構成要素２０３の識別情報と同じエアギャップパス構成要素２０３の識別情報の情報を持つ過去のエアギャップパス構成要素の接続情報を、接続履歴記憶部１０１４から取得する。すなわち、過去に同じエアギャップパス構成要素２０３が接続されたホストの識別情報が得られる。
【０１０１】
エアギャップパス検出部１０１２は、エアギャップパス情報収集クライアント１００２から得た接続情報に識別情報が含まれるホストと、接続履歴記憶部１０１４から得られた接続情報に識別情報が含まれるホストとの間にエアギャップパスが存在するものとしてエアギャップパスを検出する。検出したエアギャップパスの情報をセキュリティアセスメント部３０３に通知する。セキュリティアセスメント部３０３に通知されるエアギャップパスの情報には少なくともエアギャップパスを構成するホストの識別情報が含まれる。
【０１０２】
図１１は、接続履歴記憶部１０１４とエアギャップパスに示す具体例を用いて説明する。なお、以降の説明では、簡単のため識別情報Ｎを持つホストのことを単にホストＮと、識別情報Ｍを持つエアギャップパス構成要素のことを単にエアギャップパス構成要素Ｍと表現する。図１１では、ホストＥにエアギャップパス構成要素Ｘが接続される例である。このとき、ホストＥ内のエアギャップパス情報収集クライアント１００２はエアギャップパス検出部１０１２に対し、少なくとも識別情報Ｘと識別情報Ｅを含む情報を、エアギャップパス構成要素の接続情報として通知する。エアギャップパス検出部１０１２は当該情報を接続履歴記憶部１０１４に格納するとともに、接続履歴からエアギャップパス構成要素の識別情報がＸであるようなエアギャップパス構成要素接続情報を取り出す。図１１の例では（Ｘ，  Ａ）、（Ｘ，  Ｄ）が取り出される。これはエアギャップパス構成要素Ｘが過去にホストＡ、ホストＤに接続されたことを意味する。エアギャップパス検出部１０１２はホストＥとホストＡの間とホストＥとホストＤの間にそれぞれエアギャップパスが存在するものとしてエアギャップパスを検出し、セキュリティアセスメント部に識別情報の組（Ｅ，  Ａ）と（Ｅ，  Ｄ）を通知する。
【０１０３】
接続履歴記憶部１０１４は、エアギャップパス検出部１０１２がエアギャップパス情報収集クライアント１００２から収集したエアギャップパス構成要素２０３の接続情報を記憶する。ここで記憶された情報は、その後のエアギャップパス検出部１０１２の処理で利用される。
【０１０４】
（処理の流れ）
エアギャップパス情報収集クライアント１００２における処理の流れを図１２に示す。ステップＳ１２０１において、エアギャップパス情報収集クライアント１００２はエアギャップパス構成要素の接続を検出すると、ステップＳ１２０２において、エアギャップパス検出部１０１２にエアギャップパス構成要素の接続情報（１２０３）を通知する。
【０１０５】
次に、セキュリティアセスメントサーバ１００１の動作を図１３に示す。システム構成検出処理Ｓ６０１と、セキュリティアセスメント処理Ｓ６０３は第２実施形態と同じであるため説明を省略する。
【０１０６】
ステップＳ１３０２においては、接続情報記録処理として、エアギャップパス検出部１０１２がエアギャップ情報収集クライアント１００２からエアギャップパス構成要素２０３の接続情報１２０３を受信する。受信した当該情報１２０３を、接続履歴記憶部１０１４に保存する。
【０１０７】
続くステップＳ１３０３において、接続情報に基づくエアギャップパス検出処理を行なう。すなわち、エアギャップパス構成要素が過去に接続したホストの情報を接続履歴記憶部１０１４から得て、エアギャップパスを認識し、セキュリティアセスメント部３０３へと通知する。
【０１０８】
セキュリティアセスメント処理（Ｓ６０３〜が終わった後は、次のエアギャップパス構成要素の接続情報１２０３の受信待ち状態となる（Ｓ１３０２に戻る）。
【０１０９】
なお、セキュリティアセスメントサーバは、エアギャップパス構成要素の接続情報１２０３を得るたびにＳ１３０２〜Ｓ６０３の処理を繰り返し行うようにしてもよいし、エアギャップパス構成要素の接続情報１２０３をバッファリングし、一定数たまるたびにＳ１３０２〜Ｓ６０３の処理を行うようにしてもよい。
【０１１０】
本実施形態によると、ユーザの入力を必要とせず自動的にエアギャップパスを検出しセキュリティアセスメントに含めることが可能となる。さらに、エアギャップパスを検出するためのドキュメントを必要としない。また、本実施の形態では実際に接続されたエアギャップパス構成要素の情報を収集するため、現実の状態に即したエアギャップパスを検出することができる。加えて、リアルタイムに情報を収集することが可能であるという利点もある。
【０１１１】
（変形例と補足事項）
エアギャップパス情報収集クライアント１００２は、エアギャップパス構成要素２０３が接続されたときに、エアギャップパス構成要素の識別情報と自ホストの識別情報のほか、タイムスタンプを送ることもできる。このとき、エアギャップパス検出部１０１２は接続履歴記憶部１０１４に当該タイムスタンプ情報を合わせて記憶させることができる。タイムスタンプの情報を記憶しておくことで、ある決められた時刻より古いエアギャップパス構成要素の接続情報をエアギャップパスの検出に利用しないようにすることができる。
【０１１２】
第１〜第３実施形態と同様にエアギャップパス構成要素２０３の種別の情報を収集し、セキュリティアセスメントに利用することもできる。その場合には、エアギャップパス構成要素の識別情報と当該エアギャップパス構成要素の種別とを紐づけた情報を、セキュリティアセスメントサーバ１００１にあらかじめ保持させておくとよい。
【０１１３】
さらに、第１〜第３実施形態と同様にエアギャップパス構成要素２０３の接続頻度、接続時間の情報を収集し、セキュリティアセスメントに利用することもできる。その場合には、エアギャップパス情報収集クライアント１００２にエアギャップパス構成要素２０３の接続頻度、接続時間を計測させ、エアギャップパス検出部３０２に通知するようにすればよい。
【０１１４】
第１実施形態、第２実施形態と同様に、エアギャップパスはエアギャップパス構成要素２０３を持たないこともありうる。すなわち、本実施の形態において、エアギャップパス情報収集クライアント１００２がエアギャップパス構成要素２０３の接続だけではなく、他のホストの一時的な接続も記録し、エアギャップパス検出部１０１２に通知するようにしてもよい。その場合、エアギャップパス検出部１０１２では、エアギャップパス構成要素２０３の接続情報が通知された場合と同様に接続履歴の記録やエアギャップパスの検出を行うことができる。すなわち、本実施の形態においてもエアギャップパス構成要素２０３を持たず、ホスト間が一時的に直接ケーブルや無線通信で接続されるようなエアギャップパスを検出することが可能である。
【０１１５】
図５で説明した第２実施形態と同様に、エアギャップパス構成要素２０３をホストとみなしてエアギャップパスを定めることも可能である。その場合には、エアギャップパス情報収集クライアント１００２から通知された接続情報をそのままセキュリティアセスメント部３０３に通知するようにしてもよい。すなわち、接続履歴記憶部１０１４を使用しないようにすることもできる。
【０１１６】
各ホストにエアギャップパス情報収集クライアント１００２をインストールし、それらのクライアントから情報収集を行うと、エアギャップパス情報収集クライアント１００２とエアギャップパス検出部１０１２との通信によって、通常到達不可能であったホスト間が到達可能になりうる。例えば、図２のホスト２１３、ホスト２２１にインストールされた、エアギャップパス情報収集クライアント１００２から情報を得るために、セキュリティアセスメントサーバ１００１がホスト２１３、ホスト２２１と通信を行う状況が考えられる。この場合には、セキュリティアセスメントサーバ１００１が実装された計算機を経由してホスト２１３、ホスト２２１が到達可能となることがある。すなわち、セキュリティアセスメントサーバ１００１を実装した計算機を経由した攻撃が実行される可能性があるといえる。
【０１１７】
このような攻撃を防ぐために、エアギャップパス情報収集クライアント１００２から情報を得る場合に、片方向の通信を行わせることが可能である。例えば、データダイオードを用いることでエアギャップパス情報収集クライアント１００２からセキュリティアセスメントサーバ１００１にデータを送るようにすることができる。その場合にはセキュリティアセスメントサーバ１００１が実装された計算機からエアギャップパス情報収集クライアント１００２がインストールされたホストへのデータ（マルウェアなど）の送信を防ぐことが可能となる。データダイオードに限らず、片方向にしか情報を送信できないようにする仕組みであればよい。
【０１１８】
また、システム構成検出部３０１における情報収集でも同様の問題が生じうる。この場合にも、システム構成検出部３０１の処理を実現するための情報収集において同様の片方向でしか通信できない仕組みを用いることで、セキュリティアセスメントシステムが実装された計算機を経由して攻撃が行われるような状況を防ぐことが可能となる。
【０１１９】
エアギャップパス情報収集クライアント１００２には様々なバリエーションが存在する。エアギャップパス情報収集クライアント１００２をエアギャップパス構成要素２０３に実装することができる。例えばエアギャップパス構成要素２０３がスマートフォンやノートＰＣなどの計算機としての機能を持つデバイスである場合に、それらにエアギャップパス情報収集クライアント１００２を実装することが可能となる。
【０１２０】
この場合にエアギャップパス情報収集クライアント１００２は、ホストの接続を検知すると、自エアギャップパス構成要素の識別情報と接続したホストの識別情報をセキュリティアセスメントサーバ４０のエアギャップパス検出部３０２に通知する。このようにエアギャップパス情報収集クライアント１００２をエアギャップパス構成要素２０３に実装することで、ホスト２にセキュリティアセスメントのための機能を実装する必要がなくなる。アセスメント対象システムの一部であるホストは、新たにソフトウェアをインストールすることが制限されるケースがあるため、そのような場合にエアギャップパス構成要素２０３にエアギャップパス情報収集クライアント１００２を実装することが有効となる。
【０１２１】
また、外付けのデバイスでエアギャップパス情報収集クライアント１００２を実現することも可能である。例えば、ホストが持つＵＳＢポートなどの外部機器と通信可能なインタフェースを監視する通信機能を備えたセンサをホストに取り付けることができる。当該インタフェースが利用された場合に当該センサが、接続されたエアギャップパス構成要素２０３に関する情報を、無線通信などを用いてエアギャップパス検出部３０２に通知する。このとき、エアギャップパス構成要素２０３にも通信機能を備えたデバイスを取り付け、当該センサは接続されたエアギャップパス構成要素２０３の識別情報の情報を、当該デバイスから得るようにしてもよい。エアギャップパス構成要素２０３がスマートフォンやラップトップＰＣなど通信機能を備えたデバイスである場合、エアギャップパス構成要素２０３から直接エアギャップパス構成要素２０３の識別情報の情報を得てもよい。なお、エアギャップパス構成要素２０３に、通信機能を備えたセンサを取り付けることも可能である。
【０１２２】
エアギャップパスの方向を考慮して検出することも可能である。例えば、エアギャップパス構成要素ＸがホストＡに接続された後、ホストＢに接続されていたこと接続履歴記憶部１０１４に記録されていた場合、ホストＡからホストＢの方向に一方向のエアギャップパスが存在するものして向きを持つエアギャップパスを検出することもできる。
【０１２３】
［その他の変形例］
運用上の操作によって、記憶媒体や通信ケーブル等を介して一時的につながるホスト間にエアギャップパスが存在するものとしてエアギャップパスを検出する例を中心に説明したが、エアギャップパスとして検出する条件は緩和することができる。例えば、同種の物理的なインタフェースをもつホスト間をエアギャップパスとして検出するようにエアギャップパスとして検出する条件を緩和できる。なお、物理的なインタフェースには光学ドライブなど記憶媒体に対する書き込みや読み込みを行う装置も含まれる。
【０１２４】
具体的な例を挙げると、ＵＳＢポートを持つ全てのホスト間にエアギャップパスが存在すると検出することができる。他の物理的なインタフェースについても同様である。この緩和は、エアギャップパスとなりうる全てのホストを洗い出すことに相当する。悪意のある内部犯がエアギャップパスを作り出すことを想定したアセスメントでは、エアギャップパスとなりうる全てのホストの情報が必要となりうる。なお、エアギャップパスの検出を通常到達不可能なホスト間に限定こともできる。
【０１２５】
上記緩和は前述の全ての実施の形態で実施可能である。第２実施形態では、同じ物理的なインタフェースを持つホストの組や、各ホストが持つ物理的なインタフェースの情報を入力できるインタフェースを備えさせることができる。第３実施形態では、システム仕様に関するドキュメントのうちホストが持つインタフェースに関するドキュメントから、システム構成検出部３０１で検出された各ホストについて物理インタフェースを抽出することができる。同じエアギャップパス構成要素が接続されうる物理インタフェースを持つホスト間にエアギャップパスが存在するものとして検出させればよい。第４実施形態においては、エアギャップパス情報収集クライアント１００２に当該エアギャップパス情報収集クライアント１００２がインストールされたホストが備える物理インタフェースの情報をエアギャップパス検出部３０２に通知させることができる。同じエアギャップパス構成要素が接続されうる物理インタフェースを持つホスト間にエアギャップパスが存在するものとして検出させればよい。
【０１２６】
また、その他のエアギャップパスとして検出する条件の緩和の仕方がある。例えば、作業者が入場可能なエリアに基づいてエアギャップパスを検出してもよい。第３実施形態において、各作業者が入場可能なエリアとそのエリアに存在するホストを抽出し、当該ホスト間はエアギャップパスが存在するものとして検出することができる。
【０１２７】
他の例として、エアギャップパス構成要素２０３が移動する領域に基づいてエアギャップパスを検出してもよい。第４実施形態において、エアギャップパス構成要素２０３が屋内の特定の部屋に持ち込まれた場合に、その部屋に存在する全てのホストと接続されたものと判断することができる。これは当該エアギャップパス構成要素２０３が物理的に接続しえた全てのホスト間にエアギャップパスが存在するものとして判断していることになる。具体的には、エアギャップパス構成要素２０３に位置情報を取得可能なセンサを取り付け、当該センサの情報をエアギャップパス検出部３０２へと通知させる。また、各ホストの位置情報をあらかじめセキュリティアセスメントサーバ１００１に保持させておく。こうすることで、エアギャップパス構成要素２０３と各ホストの位置関係を把握することが可能となる。あるホストとの位置関係が決められた基準を満たした場合にエアギャップパス構成要素２０３が当該ホストと接続したと判断する。位置関係の基準は、屋内の区切られた領域内（部屋など）に存在することや直線的な距離が閾値以下であることなどが例として挙げられる。
【０１２８】
［他の実施形態］
以上、実施形態を参照して本願発明を説明したが、本願発明は上記実施形態に限定されるものではない。本願発明の構成や詳細には、本願発明のスコープ内で当業者が理解し得る様々な変更をすることができる。また、それぞれの実施形態に含まれる別々の特徴を如何様に組み合わせたシステムまたは装置も、本発明の範疇に含まれる。
【０１２９】
すなわち、エアギャップパスを検出するレベルを複数備えたセキュリティアセスメントシステムとすることもできる。例えば、以下の（１）〜（４）のような複数のエアギャップパスの検出方法を備えたシステムも本願発明に含まれる。
（１）  第４実施形態のように実際の接続履歴を用いて検出する
（２）  第３実施形態のようにドキュメント上に基づいて検出する
（３）  特定の作業者が入場可能なエリアに存在するホスト間にエアギャップパスが存在するものとして検出する
（４）  同種の物理インタフェースを持つ全てのホスト間にエアギャップパスが存在するものとして検出する。
【０１３０】
この（１）〜（４）の検出方法は以下のような検出レベルと解釈することができる。
（１）  実際にシステム上で存在が確認されたエアギャップパス
（２）  運用上生じるエアギャップパス
（３）  システムが設置されている場所の一部の区画への入場権限を持つ内部犯が生じさせるうるエアギャップパス
（４）  システムが設置されているあらゆる場所への入場権限を持つ内部犯が生じさせるうるエアギャップパス
なお、検出レベルはエアギャップパス検出のセンシティビティとみなすこともできる。
【０１３１】
複数のエアギャップパス検出方法（検出レベル）を備えるセキュリティアセスメントシステムは、当該エアギャップパス検出方法（検出レベル）を指定するインタフェースを備えることができる。このインタフェースはエアギャップパス検出のセンシティビティを指定するインタフェースと言い換えることもできる。
【０１３２】
また、本発明は、複数の機器から構成されるシステムに適用されてもよいし、単体の装置に適用されてもよい。さらに、本発明は、実施形態の機能を実現する情報処理プログラムが、システムあるいは装置に直接あるいは遠隔から供給される場合にも適用可能である。したがって、本発明の機能をコンピュータで実現するために、コンピュータにインストールされるプログラム、あるいはそのプログラムを格納した媒体、そのプログラムをダウンロードさせるＷＷＷ(World Wide Web)サーバも、本発明の範疇に含まれる。特に、少なくとも、上述した実施形態に含まれる処理ステップをコンピュータに実行させるプログラムを格納した非一時的コンピュータ可読媒体（non-transitory computer readable medium）は本発明の範疇に含まれる。
【図１】
2019064579.tif 000003
【図２】
2019064579.tif 000004
【図３】
2019064579.tif 000005
【図４】
2019064579.tif 000006
【図５】
2019064579.tif 000007
【図６】
2019064579.tif 000008
【図７】
2019064579.tif 000009
【図８】
2019064579.tif 000010
【図９】
2019064579.tif 000011
【図１０】
2019064579.tif 000012
【図１１】
2019064579.tif 000013
【図１２】
2019064579.tif 000014
【図１３】
2019064579.tif 000015
【国際調査報告】
2019064579.tif 000016
2019064579.tif 000017