(57)【特許請求の範囲】
【請求項１】
ユーザが利用するユーザ端末と通信可能に接続され、記憶部に資産データベースと、資産の、欠陥や仕様上の問題点である脆弱性が記憶された脆弱性情報データベースと、脆弱性が顕在化しやすい状態にあり、損害や影響を引き起こしやすい要因であることを指す情報である脅威情報が記憶された脅威情報データベースとを備え、
前記ユーザ端末から、システムの情報を受信するシステム情報受信手段と、
前記受信したシステムの情報を前記ユーザの資産として前記資産データベースに記憶させることで資産として登録する資産登録手段と、
前記資産として登録された前記システムから、当該システムの構成要素技術を自動的に取得する構成要素技術取得手段と、
前記登録された資産に、前記脆弱性情報データベース内に記憶された脆弱性が含まれるかを、前記取得した構成要素技術を元に診断する脆弱性診断手段と、
前記診断の結果、前記資産に前記脆弱性が含まれている場合に、前記ユーザに当該資産及び当該脆弱性に関する情報である脆弱性情報の通知を行うことで、当該資産に含まれる脆弱性を可視化する脆弱性情報可視化手段と、
前記脆弱性に対応する脅威情報を前記脅威情報データベースから抽出し、参照することで、当該脆弱性に係る脆弱性情報を補強する脅威情報参照手段と、
前記通知の際に、前記診断された脆弱性に対応する前記脅威情報を通知に含める脅威情報可視化手段と、
を備えることを特徴とする脆弱性可視化サーバ。
【請求項２】
前記資産に含まれると診断された前記脆弱性と、参照された前記脅威情報の少なくともいずれかについて、種類及び件数を診断時刻とともに記憶させる診断履歴記憶手段と、
前記診断の履歴を、統計情報として提供する統計情報提供手段と、
を備えることを特徴とする請求項１に記載の脆弱性可視化サーバ。
【請求項３】
ユーザが利用するユーザ端末と通信可能に接続され、記憶部に資産データベースと、資産の、欠陥や仕様上の問題点である脆弱性が記憶された脆弱性情報データベースと、脆弱性が顕在化しやすい状態にあり、損害や影響を引き起こしやすい要因であることを指す情報である脅威情報が記憶された脅威情報データベースとを備え、前記ユーザの資産たるシステムに含まれる脆弱性を可視化する脆弱性可視化サーバが実行する脆弱性可視化方法であって、
前記ユーザ端末から、システムの情報を受信するステップと、
前記受信したシステムの情報を前記ユーザの資産として前記資産データベースに記憶させることで資産として登録するステップと、
前記資産として登録された前記システムから、当該システムの構成要素技術を自動的に取得するステップと、
前記登録された資産に、前記脆弱性情報データベース内に記憶された脆弱性が含まれるかを、前記取得した構成要素技術を元に診断する脆弱性診断手段と、
前記診断の結果、前記資産に前記脆弱性が含まれている場合に、前記ユーザに当該資産及び当該脆弱性に関する情報である脆弱性情報の通知を行うことで、当該資産に含まれる脆弱性を可視化するステップと、
前記脆弱性に対応する脅威情報を前記脅威情報データベースから抽出し、参照することで、当該脆弱性に係る脆弱性情報を補強するステップと、
前記通知の際に、前記診断された脆弱性に対応する前記脅威情報を通知に含めるステップと、
を備えることを特徴とする脆弱性可視化方法。
【請求項４】
ユーザが利用するユーザ端末と通信可能に接続され、記憶部に資産データベースと、資産の、欠陥や仕様上の問題点である脆弱性が記憶された脆弱性情報データベースと、脆弱性が顕在化しやすい状態にあり、損害や影響を引き起こしやすい要因であることを指す情報である脅威情報が記憶された脅威情報データベースとを備え、前記ユーザの資産たるシステムに含まれる脆弱性を可視化する脆弱性可視化サーバに、
前記ユーザ端末から、システムの情報を受信するステップ、
前記受信したシステムの情報を前記ユーザの資産として前記資産データベースに記憶させることで登録するステップ、
前記資産として登録された前記システムから、当該システムの構成要素技術を自動的に取得するステップ、
前記登録された資産から、前記脆弱性情報データベース内に記憶された脆弱性が含まれるかを、前記取得した構成要素技術を元に診断するステップ、
前記診断の結果、前記資産に前記脆弱性が含まれている場合に、前記ユーザに当該資産及び当該脆弱性情報に関する情報である脆弱性情報の通知を行うことで、当該資産に含まれる脆弱性を可視化するステップ、
前記脆弱性に対応する脅威情報を前記脅威情報データベースから抽出し、参照することで、当該脆弱性に係る脆弱性情報を補強するステップ、
前記通知の際に、前記診断された脆弱性に対応する前記脅威情報を通知に含めるステップ、
を実行させることを特徴とする脆弱性可視化サーバ用プログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、ユーザの資産として登録されたシステムに含まれる脆弱性を可視化する脆弱性可視化サーバ、脆弱性可視化方法、脆弱性可視化サーバ用プログラムに関する。
【背景技術】
【０００２】
近年、公衆回線網に接続された携帯端末をＷｅｂサーバ等と接続することで、ユーザに様々なサービスが提供されている。ここで、サービスの提供側に目を向けると、システムはフレームワーク、実行ソフトウェア、ライブラリ等様々な構成要素技術で成り立っていることが分かる。
【０００３】
一方で、あらゆるソフトウェアはバグを内包している可能性があり、それをゼロにすることは実質的に不可能である。よって、ソフトウェアを多数組み合わせたシステムにおいても脆弱性がつきものであり、場合によっては顧客情報や決済情報の流出といった、サービス自体を破綻させうるような致命的な被害が発生する恐れがある。
【０００４】
脆弱性は、ソフトウェアの提供者が認知すれば、それに対するアップデートを施すことで修正されるのが常である。しかしながら、システム管理者が管理しているシステムに含まれるソフトウェアを全て把握し、脆弱性情報を毎日チェックし、アップデート処理を施すことは困難であり、人件費もかかるといった問題があった。
【０００５】
このような課題に対して、所定条件により、リクエストに対するレスポンスの内容を変えるようなウエブサーバ装置についても、ＳＱＬインジェクションなどの脆弱性を診断する脆弱性診断装置が開示されている。
【先行技術文献】
【特許文献】
【０００６】
【特許文献１】特開２０１２−１３３４０６号公報
【発明の概要】
【発明が解決しようとする課題】
【０００７】
特許文献１によれば、正常レスポンス収集手段１０は、登録されているユーザＩＤとパスワードを伴った正常リクエストＲＥＱＮを複数回送信し、正常リクエストに対するウエブサーバからの複数のレスポンスＲＥＳＮ（正常レスポンスという）を受信することで、複数の正常レスポンスについて、共通領域抽出手段１２によって共通領域が抽出される。その後、異常レスポンス収集手段１８は、ＳＱＬインジェクションを、ウエブサーバに対して行い、レスポンスＲＥＳＡ（異常レスポンスという）を受信し、これを記録部１６に記録する。判断手段１４は、共通領域において、正常レスポンスと異常レスポンスが同一であれば、脆弱性があると判断する。
【０００８】
しかしながら、特許文献１で開示されている方法は、ＳＱＬインジェクションを主とした脆弱性にしか対応できず、また、予め想定されているリクエスト以外に係る脆弱性には対応できないという課題があった。
【０００９】
そこで、本発明の発明者は、システムに含まれる構成要素技術を抽出し、脆弱性情報と脅威情報を結びつけ、関連する脆弱性情報が発見され次第ユーザに通知するようなサーバを構成することで、一度システムを登録してしまえば、漏れなく、遅滞無く、自動で脆弱性情報をユーザに通知でき、脆弱性に関する運用コストを大幅に下げられる点に着目した。
【００１０】
本発明は、これらの課題に鑑み、ユーザが資産として登録したシステムに含まれる構成要素技術を抽出し、脆弱性情報、及び脅威情報を結びつけ、関連する脆弱性情報が発見された場合には、当該脆弱性情報を自動的にユーザへ通知する脆弱性可視化サーバ、脆弱性可視化方法、脆弱性可視化サーバ用プログラムを提供する。
【課題を解決するための手段】
【００１１】
本発明では、以下のような解決手段を提供する。
【００１２】
第１の特徴に係る発明は、ユーザが利用するユーザ端末と通信可能に接続され、記憶部に資産データベースと、脆弱性情報データベースとを備え、前記ユーザの資産たるシステムに含まれる脆弱性を可視化する脆弱性可視化サーバであって、
前記ユーザ端末から、システムの情報を受信するシステム情報受信手段と、
前記受信したシステムの情報を前記ユーザの資産として前記資産データベースに記憶させることで資産として登録する資産登録手段と、
前記登録された資産に、前記脆弱性情報データベース内に記憶された脆弱性が含まれるかを診断する脆弱性診断手段と、
前記診断の結果、前記資産に前記脆弱性が含まれている場合に、前記ユーザに当該資産及び当該脆弱性情報の通知を行うことで、当該資産に含まれる脆弱性を可視化する脆弱性情報可視化手段と、
を備えることを特徴とする脆弱性可視化サーバを提供する。
【００１３】
第１の特徴に係る発明によれば、ユーザが利用するユーザ端末と通信可能に接続され、記憶部に資産データベースと、脆弱性情報データベースとを備え、前記ユーザの資産たるシステムに含まれる脆弱性を可視化する脆弱性可視化サーバは、前記ユーザ端末から、システムの情報を受信し、前記受信したシステムの情報を前記ユーザの資産として前記資産データベースに記憶させることで資産として登録し、前記登録された資産に、前記脆弱性情報データベース内に記憶された脆弱性が含まれるかを診断し、前記診断の結果、前記資産に前記脆弱性が含まれている場合に、前記ユーザに当該資産及び当該脆弱性情報の通知を行うことで、当該資産に含まれる脆弱性を可視化する。
【００１４】
第１の特徴に係る発明は、脆弱性可視化サーバのカテゴリであるが、脆弱性可視化方法、及び脆弱性可視化サーバ用プログラムのカテゴリにおいても、同一の作用、効果を奏する。
【００１５】
第２の特徴に係る発明は、記憶部に脅威情報データベースを備え、
前記脆弱性に対応する脅威を参照し、当該脆弱性に係る脆弱性情報を補強する脅威情報参照手段と、
前記通知の際に、前記診断された脆弱性に対応する前記脅威情報を通知に含める脅威情報可視化手段と、
を備えることを特徴とする第１の特徴に係る発明である脆弱性可視化サーバを提供する。
【００１６】
第２の特徴に係る発明によれば、第１の特徴に係る発明である脆弱性可視化サーバは、記憶部に脅威情報データベースを備え、前記脆弱性に対応する脅威を参照し、当該脆弱性に係る脆弱性情報を補強し、前記通知の際に、前記診断された脆弱性に対応する前記脅威情報を通知に含める。
【００１７】
第３の特徴に係る発明は、前記ユーザ端末と、前記資産として登録された前記システムとの少なくともいずれかから、当該システムの構成要素技術を取得する構成要素技術取得手段と、を備え、
前記取得した構成要素技術を元に、前記脆弱性が含まれるかの診断を行うことを特徴とする第１又は第２の特徴に係る発明である脆弱性可視化サーバを提供する。
【００１８】
第３の特徴に係る発明によれば、第１又は第２の特徴に係る発明である脆弱性可視化サーバは、前記ユーザ端末と、前記資産として登録された前記システムとの少なくともいずれかから、当該システムの構成要素技術を取得し、前記取得した構成要素技術を元に、前記脆弱性が含まれるかの診断を行う。
【００１９】
第４の特徴に係る発明は、前記資産に含まれると診断された前記脆弱性情報と、参照された前記脅威情報の少なくともいずれかについて、種類及び件数を診断時刻とともに記憶させる診断履歴記憶手段と、
前記診断の履歴を、統計情報として提供する統計情報提供手段と、
を備えることを特徴とする第１から第３のいずれかの特徴に係る発明である脆弱性可視化サーバを提供する。
【００２０】
第４の特徴に係る発明によれば、第１から第３のいずれかの特徴に係る発明である脆弱性可視化サーバは、前記資産に含まれると診断された前記脆弱性情報と、参照された前記脅威情報の少なくともいずれかについて、種類及び件数を診断時刻とともに記憶させ、前記診断の履歴を、統計情報として提供する。
【００２１】
第５の特徴に係る発明は、ユーザが利用するユーザ端末と通信可能に接続され、記憶部に資産データベースと、脆弱性情報データベースとを備え、前記ユーザの資産たるシステムに含まれる脆弱性を可視化する脆弱性可視化サーバが実行する脆弱性可視化方法であって、
前記ユーザ端末から、システムの情報を受信するステップと、
前記受信したシステムの情報を前記ユーザの資産として登録するステップと、
前記登録された資産から、前記脆弱性情報データベース内に記憶された脆弱性が含まれるかを診断するステップと、
前記診断の結果、前記資産に前記脆弱性が含まれている場合に、前記ユーザに当該資産及び当該脆弱性情報の通知を行うことで、当該資産に含まれる脆弱性を可視化するステップと、
を備えることを特徴とする脆弱性可視化方法を提供する。
【００２２】
第６の特徴に係る発明は、ユーザが利用するユーザ端末と通信可能に接続され、記憶部に資産データベースと、脆弱性情報データベースとを備え、前記ユーザの資産たるシステムに含まれる脆弱性を可視化する脆弱性可視化サーバに、
前記ユーザ端末から、システムの情報を受信するステップ、
前記受信したシステムの情報を前記ユーザの資産として登録するステップ、
前記登録された資産から、前記脆弱性情報データベース内に記憶された脆弱性が含まれるかを診断するステップ、
前記診断の結果、前記資産に前記脆弱性が含まれている場合に、前記ユーザに当該資産及び当該脆弱性情報の通知を行うことで、当該資産に含まれる脆弱性を可視化するステップ、
を実行させることを特徴とする脆弱性可視化サーバ用プログラムを提供する。
【発明の効果】
【００２３】
本発明によれば、ユーザが資産として登録したシステムに含まれる構成要素技術を抽出し、脆弱性情報、及び脅威情報を結びつけ、関連する脆弱性情報が発見された場合には、当該脆弱性情報を自動的にユーザへ通知する脆弱性可視化サーバ、脆弱性可視化方法、脆弱性可視化サーバ用プログラムを提供する。
【図面の簡単な説明】
【００２４】
【図１】図１は、脆弱性可視化システム１の概要を説明するための図である。
【図２】図２は、脆弱性可視化システム１の全体構成図である。
【図３】図３は、ユーザ端末１０、脆弱性可視化サーバ２００の機能ブロック図である。
【図４】図４は、ユーザ端末１０、脆弱性可視化サーバ２００が実行する脆弱性可視化処理を示すフローチャート図である。
【図５】図５は、ユーザ端末１０、脆弱性可視化サーバ２００が実行する脆弱性診断処理を示すフローチャート図である。
【図６】図６は、通知の一例として表示されるプロジェクト一覧画面の一例である。
【図７】図７は、通知の一例として表示される脆弱性詳細画面の一例である。
【図８】図８は、資産データベース２５０内に記憶されている資産テーブルの一例である。
【図９】図９は、脆弱性情報データベース２５１内に記憶されている脆弱性情報テーブルの一例である。
【図１０】図１０は、脅威情報データベース２５２内に記憶されている脅威情報テーブルの一例である。
【図１１】図１１は、診断履歴データベース２５３内の診断履歴テーブルの一例である。
【発明を実施するための形態】
【００２５】
以下、本発明を実施するための最良の形態について図を参照しながら説明する。なお、これはあくまでも一例であって、本発明の技術的範囲はこれに限られるものではない。
【００２６】
［脆弱性可視化システム１の概要］
図１は、本発明の好適な実施形態である脆弱性可視化システム１の概要を説明するための図である。この図１に基づいて、脆弱性可視化システム１の概要を説明する。
【００２７】
脆弱性可視化システム１において、初めにユーザは、ユーザ端末１０を用いてユーザの管理するシステムを資産として脆弱性可視化サーバ２００に送信する（ステップＳ０１）。ここで送信する情報としては、システムの名称、構成するサーバ等のハードウェア資源、フレームワークや実行系、ライブラリ等の構成要素技術が挙げられる。これらの構成要素技術は、ＣＰＥ（Ｃｏｍｍｏｎ  Ｐｌａｔｆｏｒｍ  Ｅｎｕｍｅｒａｔｉｏｎ）名により表される。
【００２８】
脆弱性可視化サーバ２００は、受信したシステム情報を、ユーザの資産として資産データベース２５０に登録する（ステップＳ０２）。次に脆弱性可視化サーバ２００は、脆弱性情報データベース２５１、及び脅威情報データベース２５２から、脆弱性情報と脅威情報を読み込む（ステップＳ０３）。
【００２９】
ここで脆弱性とは、コンピュータやネットワーク等の情報システムに置いて、第三者が保安上の脅威となる行為、例えばシステムの乗っ取りや機密情報の漏洩等に利用できる可能性のある欠陥や仕様上の問題点を指す。又、脅威とは、脆弱性が特に顕在化しやすい状態にあり、組織や情報システムのセキュリティに損害や影響を与える可能性で  あるリスクを引き起こしやすい要因として重要であることを指す。脆弱性と脅威は、後述するＣＶＥ-ＩＤによって関連付けられる。
【００３０】
脆弱性情報には、脆弱性の名称や詳細のほか、関連するプラットフォームのＣＰＥ名が含まれる。そこで、脆弱性可視化サーバ２００は、資産データベース２５０を参照し、各システムにおいて、脆弱性に関連したＣＰＥ名を含むか否かにより、脆弱性の有無を診断する（ステップＳ０４）。
【００３１】
ここで、脆弱性が発見された場合は、ユーザ端末１０に対して、脆弱性を持つ資産の存在とその詳細が通知される（ステップＳ０５）。また、各脆弱性には一意にＣＶＥ（Ｃｏｍｍｏｎ  Ｖｕｌｎｅｒａｂｉｌｉｔｉｅｓ  ａｎｄ  Ｅｘｐｏｓｕｒｅｓ）-ＩＤが付与されており、各脅威情報には関連する脆弱性のＣＶＥ-ＩＤが含まれる。よって、発見された脆弱性のＣＶＥ-ＩＤによって関連する脅威情報を参照することで、通知に脅威情報をも含めることが可能となる。
【００３２】
次に、脆弱性可視化サーバ２００は診断の結果、発見された脆弱性を、資産の情報や診断時刻とともに診断履歴データベース２５３に記憶させる（ステップＳ０６）。この診断履歴の対応ステータス部分を更新することで、ユーザは対応ステータスを管理してもよい。また、対応ステータスが未対応のまま、一定期間放置された場合には、ユーザに定期的な通知を行ってもよい。なお、脆弱性情報に危険度が含まれる場合には、危険度を参照して定期通知の期間を調整してもよい。
【００３３】
なお、これらの脆弱性情報や脅威情報は、常に最新に更新されている必要がある。脆弱性可視化サーバ２００は、数時間、あるいは数分毎に、脆弱性情報データベース２５１及び脅威情報データベース２５２を最新に更新してよい（ステップＳ０７）。更新の情報源は、広く公開されている脆弱性情報の発信元であってもよいし、ユーザや管理者によって脆弱性情報等が提供されてもよい。以上が、脆弱性可視化システム１の概要である。
【００３４】
［脆弱性可視化システム１のシステム構成］
図２は、本発明の好適な実施形態である脆弱性可視化システム１のシステム構成図である。脆弱性可視化システム１は、公衆回線網３（インターネット網や移動体通信網など）、ユーザ端末１０、脆弱性可視化サーバ２００、資産データベース２５０、脆弱性情報データベース２５１、脅威情報データベース２５２、診断履歴データベース２５３から構成される。
【００３５】
ユーザ端末１０は、公衆回線網３を介して、脆弱性可視化サーバ２００と通信可能に接続されている。脆弱性可視化システム１内の通信は、無線通信、有線通信を問わない。ユーザ端末１０が公衆回線網３と接続するために、ルータ等のネットワーク機器を介して通信可能であってよい。
【００３６】
ユーザ端末１０は、ユーザがシステムの認証を行い、機能を発揮させる一般的な情報端末であってよく、後述する機能を備える情報機器や電化製品である。ユーザ端末１０は、例えば、携帯電話、スマートフォン、複合型プリンタ、テレビ、ルータ又はゲートウェイ等のネットワーク機器、コンピュータに加えて、冷蔵庫、洗濯機等の白物家電であってもよいし、電話機、ネットブック端末、スレート端末、電子書籍端末、電子辞書端末、携帯型音楽プレーヤ、携帯型コンテンツ再生・録画プレーヤ等の一般的な情報家電であってよい。
【００３７】
脆弱性可視化サーバ２００は、記憶部に資産データベース２５０、脆弱性情報データベース２５１、脅威情報データベース２５２、診断履歴データベース２５３を備え、ユーザ端末１０に対して脆弱性可視化処理を行う、後述の機能を備えたサーバである。
【００３８】
［各機能の説明］
図３は、ユーザ端末１０、脆弱性可視化サーバ２００の機能ブロックと各機能の関係を示す図である。
【００３９】
ユーザ端末１０は、制御部１１として、ＣＰＵ（Ｃｅｎｔｒａｌ  Ｐｒｏｃｅｓｓｉｎｇ  Ｕｎｉｔ），ＲＡＭ（Ｒａｎｄｏｍ  Ａｃｃｅｓｓ  Ｍｅｍｏｒｙ），ＲＯＭ（Ｒｅａｄ  Ｏｎｌｙ  Ｍｅｍｏｒｙ）等を備え、通信部１２として、例えば、ＩＥＥＥ８０２．１１に準拠したＷｉＦｉ（Ｗｉｒｅｌｅｓｓ  Ｆｉｄｅｌｉｔｙ）対応デバイス又は、移動体通信網を介して通信可能な無線デバイス等を備える（有線によるＬＡＮ接続であってもよい）。
【００４０】
ユーザ端末１０において、制御部１１が所定のプログラムを読み込むことで、通信部１２と協働して、システム情報送信モジュール１３、構成要素技術送信モジュール１４、脆弱性情報可視化モジュール１５、統計情報受信モジュール１６を実現する。
【００４１】
脆弱性可視化サーバ２００は、同様に、制御部２０１として、ＣＰＵ，ＲＡＭ，ＲＯＭ等を備え、通信部２０２として、例えば、ＩＥＥＥ８０２．１１に準拠したＷｉＦｉ対応デバイスを備える（有線であってもよい）。加えて、脆弱性可視化サーバ２００は、記憶部２０３として、ハードディスクや半導体メモリによる、データのストレージ部を備える。脆弱性可視化サーバ２００は、資産データベース２５０、脆弱性情報データベース２５１、脅威情報データベース２５２、診断履歴データベース２５３に備える。
【００４２】
脆弱性可視化サーバ２００において、制御部２０１が所定のプログラムを読み込むことで、通信部２０２と協働して、システム情報受信モジュール２０４、脆弱性情報可視化モジュール２０５、脅威情報可視化モジュール２０６、構成要素技術取得モジュール２０７、統計情報提供モジュール２０８を実現する。また、脆弱性可視化サーバ２００において、制御部２０１が所定のプログラムを読み込むことで、記憶部２０３と協働して、資産登録モジュール２０９、脆弱性診断モジュール２１０、脅威情報参照モジュール２１１、診断履歴記憶モジュール２１２を実現する。
【００４３】
［脆弱性可視化処理］
図４は、ユーザ端末１０、脆弱性可視化サーバ２００が実行する脆弱性可視化処理のフローチャートである。上述した各装置のモジュールが行う処理について、本処理にて併せて説明する。
【００４４】
はじめに、ユーザ端末１０のシステム情報送信モジュール１３は、脆弱性可視化サーバ２００に対して、システム情報の送信を行う（ステップＳ１１）。ここで送信する情報としては、システムの名称、構成するサーバ等のハードウェア資源等である。ここではＣＰＥ名で表されるフレームワークや実行系、ライブラリ等の構成要素技術を含んでもよいが、本フローチャートにおいては、後述の脆弱性診断処理において別途送信の機会を設けている。
【００４５】
脆弱性可視化サーバ２００のシステム情報受信モジュール２０４は、システム情報を受信すると（ステップＳ１２）、資産登録モジュール２０９により、送信を行ったユーザ端末１０と関連付けて資産データベース２５０に記憶させることで、システムをユーザの資産として登録する（ステップＳ１３）。
【００４６】
図８は、資産データベース２５０内の資産テーブルの一例である。各資産には、固有の資産ＩＤが振られ、登録日時が管理される。また、各資産には構成要素技術数や、未対応の脆弱性数、脅威数が関連付けられて管理され、診断の度、あるいはユーザからのアップデートの度に更新される。診断の詳細に関しては、後述の脆弱性診断処理において詳述する。
【００４７】
続けて、ユーザ端末１０と脆弱性可視化サーバ２００は、登録された資産、及び登録済みの資産について脆弱性診断処理を行う（ステップＳ１４）
【００４８】
［脆弱性診断処理］
図５は、ユーザ端末１０、脆弱性可視化サーバ２００が実行する脆弱性診断処理のフローチャートである。上述した各装置のモジュールが行う処理について、本処理にて併せて説明する。
【００４９】
ここで、以降の診断は、登録済みの全ての資産について行われる（ステップＳ２１）。初めに、ユーザ端末１０の構成要素技術送信モジュール１４は、診断中の資産について、構成要素技術を送信する（ステップＳ２２）。この構成要素技術は、ＣＰＥ名によって表される。なお、構成要素技術の送信は、変更が無い限り、各資産について一度ずつ行われていればよい。また、構成要素技術は、ユーザ端末１０の送信のみならず、システム自体にインストールされたエージェント側のソフトウェアによって検出・収集され、自動的に脆弱性可視化サーバ２００に送信されてよい。
【００５０】
脆弱性可視化サーバ２００の構成要素技術取得モジュール２０７が、ユーザ端末１０又はシステムそれ自体から構成要素技術を受信する（ステップＳ２３）と、脆弱性診断モジュール２１０は、脆弱性情報データベース２５１から、脆弱性情報を読み出す（ステップＳ２４）。
【００５１】
そして、受信した構成要素技術のＣＰＥ名と、読み出した脆弱性情報に含まれるＣＰＥ名とを紐付けることで、システムに含まれる構成要素技術に関連した脆弱性を検出する（ステップＳ２５）。
【００５２】
図９は、脆弱性情報データベース２５１内の脆弱性情報テーブルの一例である。脆弱性情報テーブルには、一意に定められたＣＶＥ-ＩＤと、関連するＣＰＥ名とともに、脆弱性の名称、概要、対応方法とが記録されている。
【００５３】
ここで、脆弱性が検出されなかった場合（ステップＳ２６：「ＮＯ」の場合）は、この資産に関する診断を終了し、次の資産へ処理を移す（ステップＳ２９）。一方、資産に脆弱性が検出された場合（ステップＳ２６：「ＹＥＳ」の場合）は、以降の処理を続けて行う。
【００５４】
すなわち、脆弱性可視化サーバ２００の脅威情報参照モジュール２１１は、検出された脆弱性情報が含むＣＶＥ-ＩＤを用いて、脅威情報データベース２５２から、関連する脅威情報を参照する（ステップＳ２７）。
【００５５】
図１０は、脅威情報データベース２５２内の脅威情報テーブルの一例である。脅威情報テーブルには、関連する脆弱性のＣＶＥ-ＩＤと、脅威の名称のほか、脅威の概要等が記憶されている。図では省略されているが、脆弱性や脅威に関する危険度等、さらに詳細な情報が追加されてもよい。
【００５６】
そして、脆弱性情報可視化モジュール２０５、及び脅威情報可視化モジュール２０６により、通知が通知待ち状態となり（ステップＳ２８）、次の資産の診断に処理を移す（ステップＳ２９）。
【００５７】
ここで、通知は都度行ってもよいが、本実施例のように通知を一旦待ち状態とし、ユーザごとにまとめて通知を行ってもよい。以上の処理を全ての登録済み資産について実行すると、脆弱性診断処理を終える（ステップＳ２１、ステップＳ２９）。
【００５８】
脆弱性可視化処理に戻り、脆弱性を含む資産が一つでもあった場合（ステップＳ１５：「ＹＥＳ」の場合）、脆弱性可視化サーバ２００の脆弱性情報可視化モジュール２０５、及び脅威情報可視化モジュール２０６により、脆弱性情報及び脅威情報の通知が行われる（ステップＳ１６）。一方、脆弱性を含む資産が存在しなかった場合（ステップＳ１５：「ＮＯ」の場合）は、後述の統計情報の送信まで処理をスキップする。
【００５９】
ユーザ端末１０の脆弱性情報可視化モジュール１５は、脆弱性情報及び脅威情報の通知を受信する（ステップＳ１７）。ここでユーザ端末１０が表示部等を備える場合、通知を表示部に表示してよい。
【００６０】
図６は、通知の一例として表示されるプロジェクト一覧画面の一例である。図６では、ログイン中のユーザが資産として登録したシステムをプロジェクトと呼び、プロジェクト一覧画面に表示している。プロジェクト情報として、プロジェクト名６１とともに、未対応の脆弱性数６２、及び未対応の脅威数６３、構成要素技術数６４が各列に表示されている。すなわち、未対応の脆弱性数６２、及び未対応の脅威数６３が通知として表示される限り、脆弱性を含んでいることを表している。
【００６１】
図７は、通知の一例として表示される脆弱性詳細画面の一例である。図７において、
脆弱性の名称７１、概要７２、危険度７３、詳細情報７４、対策方法７５が画面に表示され、ユーザは脆弱性についての情報を直観的に把握することが可能である。また、脆弱性に関連する脅威がある場合には、脅威情報へのリンク７６が設置され、脅威情報の詳細を閲覧することも可能である。加えて、表示中の脆弱性を含むプロジェクト７７が表示され、未対応の場合未対応マーク７８が表示されることで、この脆弱性に関し対応が必要な資産が存在することをすぐに把握できる。なお、図６及び図７はあくまで通知の一例であって、同様の内容をメールやＳＮＳ等でユーザに送信したり、外部のタスク管理システムに登録したりすることで通知を行ってもよい。
【００６２】
通知後、脆弱性可視化サーバ２００の診断履歴記憶モジュール２１２は、検出された脆弱性について、資産、及び時刻とともに診断履歴データベース２５３に診断履歴として記憶する（ステップＳ１８）。
【００６３】
図１１は、診断履歴データベース２５３内の診断履歴テーブルの一例である。診断履歴テーブルでは、関連する資産ＩＤとともに、検出された脆弱性のＣＶＥ-ＩＤと、紐付けに使われたＣＰＥ名が記憶されている。また、ユーザが手動で対応ステータスをアップデートする場合、診断履歴テーブル内に対応ステータスを記憶し、更新してよい。
【００６４】
以上の処理により、資産に含まれる脆弱性情報を検出し、関連する脅威情報を通知することが可能である。そして、その履歴は、ユーザや資産の情報を廃することで統計情報として活用可能である。そこで、脆弱性可視化サーバ２００の統計情報提供モジュール２０８は、診断履歴データベース２５３内の情報を統計情報として加工し、ユーザ端末１０に送信してもよい（ステップＳ１９）。ユーザ端末１０の統計情報受信モジュール１６は、送信された統計情報を受信し、表示してよい（ステップＳ２０）。
【００６５】
以上の処理は、システム情報の資産登録を起点に開始されたが、脆弱性可視化処理は脆弱性情報及び脅威情報の更新に伴い定期的に実行されてよい。脆弱性情報や脅威情報は、それらを提供する情報源から定期的に取得することで更新するほか、ユーザや脆弱性可視化サーバ２００の管理者が手動で更新を行ってもよい。
【００６６】
以上が、脆弱性可視化処理の手順である。
【００６７】
上述した手段、機能は、コンピュータ（ＣＰＵ，情報処理装置，各種端末を含む）が、所定のプログラムを読み込んで、実行することによって実現される。プログラムは、例えば、フレキシブルディスク、ＣＤ（ＣＤ−ＲＯＭなど）、ＤＶＤ（ＤＶＤ−ＲＯＭ、ＤＶＤ−ＲＡＭなど）等のコンピュータ読取可能な記録媒体に記録された形態で提供される。この場合、コンピュータはその記録媒体からプログラムを読み取って内部記憶装置または外部記憶装置に転送し記憶して実行する。また、そのプログラムを、例えば、磁気ディスク、光ディスク、光磁気ディスク等の記憶装置（記録媒体）に予め記録しておき、その記憶装置から通信回線を介してコンピュータに提供するようにしてもよい。
【００６８】
以上、本発明の実施形態について説明したが、本発明は上述したこれらの実施形態に限るものではない。また、本発明の実施形態に記載された効果は、本発明から生じる最も好適な効果を列挙したに過ぎず、本発明による効果は、本発明の実施形態に記載されたものに限定されるものではない。
【符号の説明】
【００６９】
１  脆弱性可視化システム、３  公衆回線網、１０  ユーザ端末、２００  脆弱性可視化サーバ、２５０  資産データベース、２５１  脆弱性情報データベース、２５２  脅威情報データベース、２５３  診断履歴データベース
【図１】
0006023121.tif 000002
【図２】
0006023121.tif 000003
【図３】
0006023121.tif 000004
【図４】
0006023121.tif 000005
【図５】
0006023121.tif 000006
【図６】
0006023121.tif 000007
【図７】
0006023121.tif 000008
【図８】
0006023121.tif 000009
【図９】
0006023121.tif 000010
【図１０】
0006023121.tif 000011
【図１１】
0006023121.tif 000012