(57)【要約】【課題】設定されたセキュリティポリシーを用いて端末のセキュリティ管理を行うシステムにおいて、セキュリティポリシーの設定漏れを抑制する。【解決手段】情報収集手段２１は、対象となる端末５０が属するＬＡＮ以外のＬＡＮにおいて発生したセキュリティインシデントに関する情報を収集する。特徴取得手段２２は、情報収集手段２１により収集された情報から、セキュリティインシデントの特徴又は傾向を取得する。履歴取得手段２３は、対象となる端末をユーザが操作した履歴を取得する。特定手段２４は、履歴取得手段２３により取得された履歴と、特徴取得手段２２により取得された特徴又は傾向との対比結果から、対象となる端末において発生したセキュリティインシデントを特定する。【選択図】図２
2019101448.tif 000002
【特許請求の範囲】
【請求項１】
対象となる端末が属するＬＡＮ以外のＬＡＮにおいて発生したセキュリティインシデントに関する情報を収集する情報収集手段と、
前記情報から、セキュリティインシデントの特徴又は傾向を取得する特徴取得手段と、
ユーザが前記対象となる端末を操作した履歴を取得する履歴取得手段と、
前記履歴と前記特徴又は傾向との対比結果から、前記対象となる端末において発生したセキュリティインシデントを特定する特定手段と
を有するセキュリティ管理システム。
【請求項２】
前記対比結果に応じて、前記対象となる端末に適用するセキュリティポリシーを提案する提案手段
を有する請求項１に記載のセキュリティ管理システム。
【請求項３】
前記履歴は、前記対象となる端末と通信した無線ＬＡＮアクセスポイントのログを含む
請求項１又は２に記載のセキュリティ管理システム。
【請求項４】
対象となる端末が属するＬＡＮ以外のＬＡＮにおいて発生したセキュリティインシデントに関する情報を収集するステップと、
前記情報から、セキュリティインシデントの特徴又は傾向を取得するステップと、
ユーザが前記対象となる端末を操作した履歴を取得するステップと、
前記履歴と前記特徴又は傾向との対比結果から、前記対象となる端末において発生したセキュリティインシデントを特定するステップと
を有するセキュリティ管理方法。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、端末のセキュリティを管理する技術に関する。
【背景技術】
【０００２】
ソフトウェアのセキュリティを確保するための技術が知られている。例えば、特許文献１には、脆弱性情報ファイル２０に登録した脆弱性情報とシステム情報ファイル２１に登録したインシデント情報を照合し、脆弱性に対するシステム機器１５のリスク診断を行うことが記載されている。また、特許文献２には、脆弱性に対する対策を示す対策情報を対策情報格納部２に格納し、脆弱性を示す脆弱性情報を取得すると、対策情報格納部２に格納されている対策情報の中から、取得した脆弱性情報に対応するものを抽出することが記載されている。
【先行技術文献】
【特許文献】
【０００３】
【特許文献１】特開２０１５−１３８５０９号公報
【特許文献２】特開２０１１−２８６１３号公報
【発明の開示】
【発明が解決しようとする課題】
【０００４】
ところで、従来のセキュリティ管理システムにおいては、例えばシステムの管理者等が社内の端末にセキュリティポリシーを設定する。このとき、設定されるポリシーに漏れがあると、情報漏洩、マルウェア感染、コンピュータウィルス感染といったセキュリティインシデントが発生する虞がある。ポリシーの漏れは、例えば管理者の知識や経験不足、引継が適切に行われていないこと、組織内でノウハウの共有や蓄積がされていないこと、等により起こり得る。
【０００５】
本発明は、設定されたセキュリティポリシーを用いて端末のセキュリティ管理を行うシステムにおいて、セキュリティポリシーの設定漏れを抑制することを目的の一つとする。
【課題を解決するための手段】
【０００６】
本発明は、対象となる端末が属するＬＡＮ以外のＬＡＮにおいて発生したセキュリティインシデントに関する情報を収集する情報収集手段と、前記情報から、セキュリティインシデントの特徴又は傾向を取得する特徴取得手段と、ユーザが前記対象となる端末を操作した履歴を取得する履歴取得手段と、前記履歴と前記特徴又は傾向との対比結果から、前記対象となる端末において発生したセキュリティインシデントを特定する特定手段とを有するセキュリティ管理システムを提供する。
【０００７】
前記セキュリティ管理システムは、前記対比結果に応じて、前記対象となる端末に適用するセキュリティポリシーを提案する提案手段を有してもよい。
【０００８】
前記履歴は、前記対象となる端末と通信した無線ＬＡＮアクセスポイントのログを含んでもよい。
【０００９】
また、本発明は、対象となる端末が属するＬＡＮ以外のＬＡＮにおいて発生したセキュリティインシデントに関する情報を収集するステップと、前記情報から、セキュリティインシデントの特徴又は傾向を取得するステップと、ユーザが前記対象となる端末を操作した履歴を取得するステップと、前記履歴と前記特徴又は傾向との対比結果から、前記対象となる端末において発生したセキュリティインシデントを特定するステップとを有するセキュリティ管理方法を提供する。
【発明の効果】
【００１０】
本発明によれば、設定されたセキュリティポリシーを用いて端末のセキュリティ管理を行うシステムにおいて、セキュリティポリシーの設定漏れを抑制することができる。
【図面の簡単な説明】
【００１１】
【図１】一実施形態に係るセキュリティ管理システム１の構成を例示する図。
【図２】セキュリティ管理システム１の機能構成を例示する図。
【図３】管理装置１０のハードウェア構成を例示する図。
【図４】サーバ２０のハードウェア構成を例示する図。
【図５】データベースサーバ４０のハードウェア構成を例示する図。
【図６】端末５０のハードウェア構成を例示する図。
【図７】セキュリティ管理に係る動作を例示するシーケンスチャート。
【図８】起動履歴を例示する図。
【図９】セキュリティインシデントの特定に係る動作を例示するシーケンスチャート。
【発明を実施するための形態】
【００１２】
１．構成
図１は、一実施形態に係るセキュリティ管理システム１の構成を例示する図である。セキュリティ管理システム１は、複数の端末５０に対するセキュリティ管理サービスを提供するためのシステムである。セキュリティ管理システム１は、管理装置１０、サーバ２０、中継装置３０、及び複数のデータベースサーバ４０を有する。この実施形態においてセキュリティ管理サービスは、複数の端末５０に対しセキュリティインシデントを回避するためのセキュリティポリシーを提供するサービスである。セキュリティインシデントは例えば、コンピュータウィルスなどのマルウェア感染、不正アクセス、迷惑メールの受信、予め定められたソフトウェアの起動、予め定められたＷｅｂサイトへのアクセス、等を含む。セキュリティポリシーは例えば、どの情報を誰にアクセスさせ、誰にアクセスさせないか、といったポリシーや、どの操作を誰に対して許可し、誰に許可しないか、といったポリシーを含む。
【００１３】
管理装置１０及び複数の端末５０は、例えば、企業の事業所、学校、又は役所等、限られた領域に閉じられたＬＡＮ（Local Area Network）２に含まれる。端末５０には、アプリケーションプログラム等のソフトウェアがインストールされており、ユーザにより使用される。管理装置１０は、インターネット３及び中継装置３０を介してサーバ２０及びデータベースサーバ４０にアクセスする。サーバ２０及びデータベースサーバ４０はいわゆるクラウド上に設けられたサーバであり、管理装置１０に対しセキュリティポリシーを提供する。データベースサーバ４０が有するデータベースには、ＬＡＮ２で発生したセキュリティインシデントに関する情報（以下「インシデント情報」という）等が、ＬＡＮ２毎に登録される。登録された情報の詳細は、その情報に対応するＬＡＮ２に属する管理装置１０でのみ参照及び管理される。中継装置３０は、データベースサーバ４０とＬＡＮ２との間の通信を中継する。
【００１４】
なお、図１では図面を簡単にするために単一の管理装置１０のみを図示しているが、サーバ２０にアクセス可能な管理装置１０は複数存在する。例えば、Ａ社のセキュリティポリシーを管理するための管理装置とＢ社のソフトウェア資産を管理するための管理装置１０とは、それぞれ個別に設けられる。また、図１には４つの端末５０を図示しているが、ＬＡＮ２に接続される端末５０の数はこれより多くても少なくてもよい。また、図１には３つのデータベースサーバ４０を図示しているが、データベースサーバ４０の数はこれより多くても少なくてもよい。また、図１では図面を簡単にするために１つのＬＡＮ２のみを図示しているが、セキュリティ管理システム１が提供するサービスは複数のＬＡＮ２により利用される。複数のＬＡＮ２によりセキュリティ管理サービスが利用される場合、複数のＬＡＮ２の各々に対して専用の中継装置３０が設けられてもよいし、単一の中継装置３０が複数のＬＡＮ２によって共用されてもよい。
【００１５】
図２は、セキュリティ管理システム１の機能構成を例示する図である。セキュリティ管理システム１は、情報収集手段２１、特徴取得手段２２、履歴取得手段２３、特定手段２４、及び提案手段２５を有する。このうち、情報収集手段２１及び特徴取得手段２２はサーバ２０に実装される。履歴取得手段２３、特定手段２４、及び提案手段２５はデータベースサーバ４０に実装される。
【００１６】
情報収集手段２１は、対象となる端末５０が属するＬＡＮ２以外のＬＡＮ２において発生したセキュリティインシデントに関する情報を収集する。この実施形態において、「対象となる端末５０が属するＬＡＮ２」とは、対象となる端末５０を管理する管理装置１０により管理されている端末５０が属するコンピュータネットワークをいう。一方、「対象となる端末５０が属するＬＡＮ２以外のＬＡＮ２」とは、対象となる端末５０を管理する管理装置１０の管理外のコンピュータネットワークをいう。この実施形態では、セキュリティンインシデントに関する情報が登録されたデータベース４１から情報が収集されると共に、セキュリティ管理システム１の外部に設けられたＷｅｂサーバ６０や、他のサービスで提供されているセキュリティインシデントのデータベース７０からも情報が収集される。
【００１７】
特徴取得手段２２は、情報収集手段２１により収集された情報から、セキュリティインシデントの特徴又は傾向を取得する。セキュリティインシデントの特徴又は傾向とは、セキュリティインシデントを特定するための情報であり、例えば、ユーザにより端末５０の操作履歴からセキュリティインシデントを特定するための汎用ルールである。履歴取得手段２３は、対象となる端末をユーザが操作した履歴をデータベース４１から取得する。特定手段２４は、履歴取得手段２３により取得された履歴と、特徴取得手段２２により取得された特徴又は傾向との対比結果から、対象となる端末５０において発生したセキュリティインシデントを特定する。提案手段２５は、履歴と特徴又は傾向との対比結果から、対象となる端末５０に適用するセキュリティポリシーを提案する。
【００１８】
図３は、管理装置１０のハードウェア構成を例示する図である。管理装置１０は、ＣＰＵ（Central Processing Unit）１０１、メモリ１０２、ストレージ１０３、ネットワークＩＦ１０４、表示装置１０５、及び入力装置１０６を有するコンピュータ装置である。ＣＰＵ１０１は、管理装置１０の他のハードウェア要素を制御するための演算を行うプロセッサ（制御装置）である。メモリ１０２は、ＣＰＵ１０１がプログラムを実行する際のワークエリアとして機能する記憶装置であり、例えばＲＡＭ（Random Access Memory）を含む。ストレージ１０３は、各種のデータ及びプログラムを記憶する不揮発性の記憶装置であり、例えばＨＤＤ（Hard Disk Drive）又はＳＳＤ（Solid State Drive）を含む。ネットワークＩＦ１０４は、所定の通信規格に従って他の装置と通信するためのインターフェースである。表示装置１０５は、情報を表示する装置であり、例えばＬＣＤ（Liquid Crystal Display）を含む。入力装置１０６は、ＣＰＵ１０１に情報を入力する装置であり、例えばキーボード又はタッチスクリーンを含む。
【００１９】
図４は、サーバ２０のハードウェア構成を例示する図である。サーバ２０は、ＣＰＵ２０１、メモリ２０２、ストレージ２０３、及びネットワークＩＦ２０４を有するコンピュータ装置である。各ハードウェア要素の詳細は管理装置１０と同様である。この例で、ストレージ２０３はコンピュータ装置をセキュリティ管理システム１におけるサーバ２０として機能させるためのプログラムを記憶している。ＣＰＵ２０１がこのプログラムを実行することにより、コンピュータ装置にサーバ２０としての機能が実装される。プログラムを実行しているＣＰＵ２０１は、情報収集手段２１及び特徴取得手段２２の一例である。
【００２０】
図５は、データベースサーバ４０のハードウェア構成を例示する図である。データベースサーバ４０は、ＣＰＵ４０１、メモリ４０２、ストレージ４０３、及びネットワークＩＦ４０４を有するコンピュータ装置である。各ハードウェア要素の詳細は管理装置１０と同様である。この例で、ストレージ４０３はコンピュータ装置をセキュリティ管理システム１におけるデータベースサーバ４０として機能させるためのプログラムを記憶している。ＣＰＵ４０１がこのプログラムを実行することにより、コンピュータ装置にデータベースサーバ４０としての機能が実装される。プログラムを実行しているＣＰＵ４０１は、履歴取得手段２３、特定手段２４、及び提案手段２５の一例である。
【００２１】
データベースサーバ４０は、セキュリティ管理に関する情報のデータベース４１を記憶する。データベース４１には、例えば、ＬＡＮ２毎に設定されるセキュリティポリシーが登録される。また、データベース４１には、ＬＡＮ２に属する端末５０を識別する情報や、端末５０のユーザによる操作履歴がＬＡＮ２毎に登録される。更に、データベース４１には、ＬＡＮ２において発生したセキュリティインシデントに関する情報がＬＡＮ２毎に登録される。
【００２２】
図６は、端末５０のハードウェア構成を例示する図である。端末５０は、ＣＰＵ５０１、メモリ５０２、ストレージ５０３、ネットワークＩＦ５０４、表示装置５０５、及び入力装置５０６を有するコンピュータ装置である。各ハードウェア要素の詳細は管理装置１０と同様である。端末５０はユーザにより使用されるコンピュータ装置である。端末５０には、アプリケーションプログラム及びドライバ等、各種のソフトウェアがインストールされる。ユーザはこれらのソフトウェアを使用する。
【００２３】
端末５０には、特に、設定されたセキュリティポリシーに従って自装置のセキュリティ管理を行うためのソフトウェアプログラム（以下「監視エージェントプログラム」という）がインストールされる。以下このプログラムを「監視エージェントプログラム」といい、このプログラムにより実装されるアプリケーションを「監視エージェント」という。ＣＰＵ５０１が監視エージェントプログラムを実行することにより、自装置のセキュリティ管理や、ユーザによる操作履歴の管理が行われる。端末５０にインストールされた監視エージェントは、端末５０においてバックグラウンドで実行され、システムに常駐する。
【００２４】
２．動作
２−１．セキュリティ管理動作
図７は、セキュリティ管理システム１におけるセキュリティ管理に係る動作を例示するシーケンスチャートである。なお、図７においては、図面が煩雑になるのを防ぐため、インターネット３の図示を省略している。また、図７においては、図面が煩雑になるのを防ぐため、３つの端末５０を図示しているが、端末５０の数はこれより多くても少なくてもよい。
【００２５】
ＬＡＮ２の管理者は、管理装置１０を用いてＬＡＮ２で使用するセキュリティポリシーや、自身が管理するＬＡＮ２で発生したセキュリティインシデントを登録する操作を行う。ステップＳ１０１において、管理装置１０は管理者の操作に応じてセキュリティポリシー及びセキュリティインシデントの登録要求をデータベースサーバ４０に送信する。この登録要求は、例えば、セキュリティポリシーを特定する情報、及びセキュリティポリシーを設定する対象（ＬＡＮ２又は端末５０）を特定する情報を含む。セキュリティポリシーを設定する対象は、例えば、ＬＡＮ２又は端末５０の識別子により直接指定される。あるいは、セキュリティポリシーを設定する対象は、管理装置１０の識別子により特定される。この場合、中継装置３０は、管理装置１０の識別子と、その管理装置１０の管理下にあるＬＡＮ２又は端末５０の識別子とを対応させるデータベースを有している。
【００２６】
ステップＳ１０２において、データベースサーバ４０は管理装置１０から受信されるセキュリティポリシー及びセキュリティインシデントをデータベース４１に登録する。このように、データベース４１には、ＬＡＮ２毎に設定されたセキュリティポリシー及び、各ＬＡＮ２で発生したセキュリティインシデントがＬＡＮ２毎に登録される。登録されるセキュリティポリシーはＬＡＮ２の管理者によって様々であるから、複数のＬＡＮ２のそれぞれで異なるセキュリティポリシーが設定される。データベースサーバ４０は、新たなセキュリティポリシー又はセキュリティインシデントを登録すると、「管理装置１０から新たに登録された」旨を示すフラグをデータベース４１に記録する。
【００２７】
ステップＳ１０３１において、中継装置３０は、新たに登録されたセキュリティポリシーを検知する。中継装置３０は、定期的に、又は管理装置１０等の他の装置からの指示に応じて、データベースサーバ４０を走査する。この走査により、中継装置３０は、データベース４１に記録されているフラグを取得する。中継装置３０は、前回の走査時において取得したこのフラグを記憶している。今回の走査において取得したこのフラグが「新たに登録された」旨を示している場合において、前回の走査において取得したこのフラグが「取得完了」を示しているときは、中継装置３０は、新たなセキュリティポリシーが登録されたことを検知する。
【００２８】
ステップＳ１０３２において、中継装置３０は、登録が検知されたセキュリティポリシーをデータベース４１から取得する。中継装置３０からセキュリティポリシーの取得要求を受けると、データベースサーバ４０は、この取得要求により指定されるセキュリティポリシーを中継装置３０に送信する。中継装置３０は、データベース４１にアクセスし、取得したセキュリティポリシーに対応するフラグの値を「取得完了」に書き換える。フラグが「取得完了」を示している場合、ステップＳ１０３１においてそのセキュリティポリシーは検知されない。ステップＳ１０３３において、中継装置３０は、取得したセキュリティポリシーを、登録要求において対象として特定される端末５０に対し送信する。
【００２９】
ステップＳ１０４において、複数の端末５０は各々、データベースサーバ４０から受信されたセキュリティポリシーに従って端末５０におけるセキュリティの管理処理を実行する。例えば、セキュリティポリシーによりアクセスが禁止されているサイトへのアクセス要求がユーザによりなされた場合、端末５０はセキュリティポリシーに従ってそのアクセス要求を拒否したり、エラーメッセージを表示したりする。
【００３０】
また、ステップＳ１０５において、端末５０はユーザによる操作の履歴を記録する処理を実行する。この実施形態では、ステップＳ１０４のセキュリティ管理処理とステップＳ１０５の記録処理とは、並行して実行される。
【００３１】
この実施形態において、ユーザにより操作の履歴を示す情報（以下「履歴情報」という）は例えば、端末５０と通信した無線ＬＡＮアクセスポイントのログ、ファイル又はフォルダへのアクセス履歴、Ｗｅｂサイトへのアクセス履歴、ＵＳＢメモリ等のデバイスに対する操作履歴、外部サーバへのファイルのＦＴＰ等によるアップロード履歴、メール送信のログ、メール受信のログ、アプリの起動履歴、アクティブウィンドウのログ、予め定められたシステムへのログイン／ログアウト履歴、アプリケーションＩＤのパスワードのログ、プリント履歴、クリップボードのログ、及び共有フォルダへのアクセス履歴、等を含む。
【００３２】
この実施形態では、特に、端末５０におけるソフトウェアの起動履歴や、監視エージェントを起動したソフトウェアを特定する情報が履歴情報として扱われる。起動されたソフトウェアを特定する情報としては、例えば、そのソフトウェアの実行ファイル名が用いられる。端末５０は、起動されたソフトウェアの実行ファイル名を、起動された時刻（タイムスタンプ）と共にストレージに書き込む。監視エージェントが常駐しているので、端末５０は、何らかのソフトウェアが起動される度に、そのソフトウェアの実行ファイル名及びタイムスタンプをストレージに記憶させる。こうして、端末５０のストレージに起動履歴が記憶される。
【００３３】
図８は、端末５０のメモリ５０２に記憶される起動履歴を例示する図である。起動履歴は、タイムスタンプ及び実行ファイル名を含む。例えば、第１行の情報は、「abc-xyz.exe」という実行ファイルが２０１６年８月１５日９時５分に起動されたことを示す。また、起動履歴は更に、履歴情報を中継装置３０に送信済であるか未送信であるかを示すフラグを含んでいる。このフラグによると、例えば、２０１６年８月１５日９時５分に「abc-xyz.exe」が起動されたことはまだ中継装置３０に送信されていない。
【００３４】
図７の説明に戻る。ステップＳ１０６において、端末５０はそれぞれ、ユーザによる操作履歴を示す履歴情報を中継装置３０に送信する。この送信処理は、予め定められたタイミングで定期的に行われてもよく、また、例えば、予め定められた操作が検知されたタイミングで送信処理が行われてもよい。ステップＳ１０７において、中継装置３０は、端末５０から受信した履歴情報をファイルに書き込む。こうして中継装置３０は、複数の端末５０から履歴情報を収集する。ステップＳ１０８において、中継装置３０は、端末５０から収集した履歴情報をデータベースサーバ４０に送信する。ステップＳ１０９において、データベースサーバ４０は受信される履歴情報をデータベース４１に登録する。ステップＳ１１０において、管理装置１０は、データベースサーバ４０のデータベース４１を参照し、ステップＳ１１１において操作履歴を表示する。
【００３５】
２−２．セキュリティインシデントの特定
図９は、セキュリティ管理システム１において、対象となる端末５０（以下「端末５０ａ」という）において発生したセキュリティインシデントの特定に係る動作を例示するシーケンスチャートである。図９の例では、端末５０ａが属するＬＡＮ２（以下「ＬＡＮ２ａ」という）に対応するデータベース４１がデータベースサーバ４０ａに記憶されており、ＬＡＮ２ａ以外のＬＡＮ２（以下「ＬＡＮ２ｂ」という）に対応するデータベース４１が、データベースサーバ４０ｂに記憶されている場合の動作を説明する。なお、図９の例では、図面が煩雑になるのを防ぐため、１つのデータベースサーバ４０ｂを図示しているが、データベースサーバ４０ｂの数は複数であってもよい。この実施形態では、セキュリティ管理システム１において、ユーザの操作履歴と他のＬＡＮ２ｂで発生したセキュリティインシデントの特徴又は傾向との対比結果から、対象となる端末５０ａにおいて発生したセキュリティインシデントが特定される。
【００３６】
ステップＳ２０１において、サーバ２０は、端末５０ａが属するＬＡＮ２ａ以外のＬＡＮ２ｂにおいて発生したセキュリティインシデントに関する情報（インシデント情報）を、データベースサーバ４０ｂ等のサーバから収集する。この実施形態では、サーバ２０は、端末５０ａが属するＬＡＮ２ａ以外のＬＡＮ２ｂで収集されたインシデント情報をデータベースサーバ４０ｂに問い合わせたり、外部の予め定められたＷｅｂサーバ６０や他のサービスで提供されているセキュリティインシデントのデータベース７０に問い合わせたりすることにより、他のネットワーク環境（ＬＡＮ２ｂ等）で発生したセキュリティインシデントに関するインシデント情報を取得する。このように、この実施形態では、複数のＬＡＮ環境のそれぞれのセキュリティインシデントや、インターネット３で公開されているセキュリティインシデントを集計する。
【００３７】
ステップＳ２０２において、サーバ２０は、収集されたインシデント情報から、セキュリティインシデントの特徴又は傾向を取得する。この実施形態では、サーバ２０は、複数のＬＡＮ環境のそれぞれのセキュリティインシデントや、インターネット３で公開されているセキュリティインシデントを集計したビッグデータを解析し、問題発生の傾向や普遍的な法則性を導き出す。ステップＳ２０３において、サーバ２０は、取得されたセキュリティインシデントの特徴又は傾向を示す情報（以下「汎用ルール情報」という）をデータベースサーバ４０ａに送信する。
【００３８】
ステップＳ２０４において、データベースサーバ４０ａは、ユーザが対象となる端末５０を操作した履歴を示す履歴情報を、自装置のデータベース４１から読み出すことにより取得する。この実施形態では、データベースサーバ４０ａは、ＬＡＮ２ａに対応するデータベース４１から、ユーザによる操作の履歴情報を取得する。
【００３９】
ステップＳ２０５において、データベースサーバ４０は、ステップＳ２０４で取得された履歴情報と、ステップＳ２０３で取得された汎用ルール情報との対比結果から、対象となる端末５０ａにおいて発生したセキュリティインシデントを特定する。セキュリティインシデントの特定方法としては、例えば、データベースサーバ４０が、ステップＳ２０４で取得された履歴情報の中から、他のＬＡＮ２ｂにおいてセキュリティインシデントとして登録されているものを抽出し、抽出した履歴情報のなかから予め定められた条件を満たすものを特定してもよい。具体的には、例えば、１又は複数のＬＡＮ２ｂにおいてセキュリティインシデントであるとされているＷｅｂサイトへのアクセス履歴がＬＡＮ２ａにおいても記録されていた場合であって、そのＷｅｂサイトへのアクセスがＬＡＮ２ａにおいてセキュリティインシデントとして登録されていない場合、そのアクセスがセキュリティインシデントとして特定されてもよい。また、他の例として、例えば、１又は複数のＬＡＮ２ｂにおいてセキュリティインシデントとして登録されているファイル名のファイルが添付された電子メールの受信履歴がＬＡＮ２ａにおいても記録されていた場合であって、そのファイル名がＬＡＮ２ａにおいてセキュリティインシデントとして登録されていない場合、そのファイル名又はそのファイル名が添付された電子メールの受信がセキュリティインシデントとして特定されてもよい。
【００４０】
ステップＳ２０６において、データベースサーバ４０ａは、ステップＳ２０４で取得された履歴情報と、ステップＳ２０３で取得された汎用ルール情報との対比結果から、対象となる端末５０ａに適用するセキュリティポリシーを提案する。この実施形態では、データベースサーバ４０ａは、ステップＳ２０５で特定されたセキュリティインシデントを回避するためのセキュリティポリシーを特定し、特定したセキュリティポリシーを示す情報を管理装置１０へ送信する。セキュリティポリシーの特定方法は、例えば、セキュリティインシデントとセキュリティポリシーとが対応付けられたテーブルを参照することにより行われてもよい。セキュリティポリシーの提案処理は、例えば、予め定められたタイミング（１日１回、等）で定期的に行われてもよく、また、セキュリティポリシーが特定される毎にリアルタイムで行われてもよい。
【００４１】
管理者は管理装置１０を操作して、提案されたセキュリティポリシーを確認する。管理者は、提案されたセキュリティポリシーを追加したい場合には、追加するための操作を、管理装置１０を用いて行う。管理装置１０は、管理者の操作に応じてセキュリティポリシーの更新をデータベースサーバ４０ａに指示する（ステップＳ２０７）。この更新指示は、例えば、更新の対象となるセキュリティポリシーを特定する情報、及び更新されたセキュリティポリシーの設定対象となる端末５０ａ（又はＬＡＮ２）を特定する情報を含む。データベースサーバ４０ａは、管理装置１０からの更新指示に従ってデータベースに登録されているセキュリティポリシーを更新する。
【００４２】
ステップＳ２０８１において、中継装置３０は、セキュリティポリシーの更新を検知する。ステップＳ１０３１において説明したように、中継装置３０は、定期的に、又は管理装置１０等の他の装置からの指示に応じて、データベースサーバ４０を走査する。この走査により、中継装置３０は、データベース４１の更新を検知する。セキュリティポリシーの登録と同様、セキィリティポリシ−の更新もフラグに記録され、中継装置３０は、このフラグに基づいて更新を検知する。
【００４３】
ステップＳ２０８２において、中継装置３０は、更新指示されたセキュリティポリシーをデータベースサーバ４０ａから取得する。ステップＳ２０８３において、中継装置３０は、セキュリティポリシーの更新を端末５０ａに指示する。端末５０ａは管理装置１０からの指示に従ってセキュリティポリシーを更新する。
【００４４】
ところで、従来のセキュリティ管理システムでは、セキュリティインシデントが発生した可能性があると考えられる場合、システムの管理者等はログを探索する。しかし、過去に起きた可能性のあるセキュリティインシデントを探し出すのは、多大なコストや手間が掛かる上、経験則に頼りがちになる。それに対しこの実施形態では、複数のＬＡＮ環境のそれぞれのセキュリティインシデントや、インターネットで公開されているセキュリティインシデントを集計したビッグデータを解析して問題発生の傾向や普遍的な法則性を導き出し、導き出された結果と各社のログを照らし合わせる。これにより、過去発生していたが見逃している可能性のあるセキュリティインシデントを洗い出したり、将来起きうるセキュリティインシデントを予防するセキュリティポリシーを提案したりすることができる。このように、この実施形態によれば、過去のセキュリティインシデントのグローバルなデータから、ローカルな環境で将来起こり得るセキュリティインシデントの予防の提案を行うことができる。
【００４５】
３．変形例
本発明は上述の実施形態に限定されるものではなく、種々の変型実施が可能である。以下、変形例をいくつか説明する。以下の変形例のうち２つ以上のものが組み合わせて用いられてもよい。
【００４６】
３−１．変形例１
上述の実施形態では、ＬＡＮ環境の管理者が、提案されたセキュリティポリシーを採用するか否かを判断し、採用する場合には管理装置１０を用いて、提案されたセキュリティポリシーを追加するための操作を行った。これに代えて、提案されたセキュリティポリシーを採用するか否かを管理装置１０が予め定められたアルゴリズムに従って判定してもよい。例えば、提案されたセキュリティポリシーに対応するセキュリティインシデントの発生頻度が予め定められた閾値以上である場合に、管理装置１０がそのセキュリティポリシーを採用すると判定してもよい。
【００４７】
３−２．変形例２
セキュリティインシデントの特定方法（図９のステップＳ２０５）は、上述した実施形態で例示したものに限られない。例えば、データベースサーバ４０が、ステップＳ２０４で取得された履歴情報の中から、他のＬＡＮ２ｂにおいてセキュリティインシデントとして登録されているものであって、かつ、予め定められた閾値を超える頻度の操作履歴がデータベースに記録されている場合に、その操作履歴をセキュリティインシデントとして特定してもよい。
【００４８】
３−３．変形例３
上述の実施形態において、ユーザの操作の履歴を記録する期間が指定されてもよい。例えば、管理者によって指定された時間帯にのみ履歴が記録されてもよい。
【００４９】
３−４．変形例４
データベース４１に記録される情報は実施形態で例示したものに限定されない。データベース４１は、実施形態で例示した情報に加えて、又はその一部に代えて、他の情報を含んでいてもよい。例えば、ソフトウェアの安全性に関する情報（レポート）を含んでいてもよい。ソフトウェアの安全性に関する情報とは、例えば、セキュリティ上の脆弱性の有無を示す情報、又はそのソフトウェアが悪意ある者によって作成されたものであることを示す情報である。
【００５０】
３−５．他の変形例
管理装置１０、サーバ２０、中継装置３０、データベースサーバ４０及び端末５０の機能構成は図２で例示したものに限定されない。図２に示した機能の一部が省略されてもよいし、図示されていない機能が追加されてもよい。また、セキュリティ管理システム１を構成する装置における機能の分担は、実施形態において例示したものに限定されない。例えば、中継装置３０が複数のデータベースサーバ４０から履歴を収集し、管理装置１０に対しセキュリティポリシーの更新を提案してもよい。また、管理装置１０は、管理対象の端末５０が含まれるＬＡＮ２に設けられるものに限定されない。管理装置１０は、サーバ２０と同様にクラウド上に設けられてもよい。
【００５１】
また、上述の実施形態において、例えば、サーバ２０とデータベースサーバ４０とが一体の装置として構成されていてもよく、また、サーバ２０の機能の一部がデータベースサーバ４０に設けられていてもよい。また、例えば、上述の実施形態においてサーバ２０により提供される機能が、複数の装置により分担されて提供されてもよい。
【００５２】
管理装置１０、サーバ２０、中継装置３０、データベースサーバ４０及び端末５０のハードウェア構成は、図３〜６において例示されたものに限定されない。要求される機能を実現できるものであれば、管理装置１０、サーバ２０、中継装置３０、データベースサーバ４０及び端末５０は、それぞれ、どのようなハードウェア構成を有していてもよい。
【００５３】
管理装置１０、サーバ２０、中継装置３０、データベースサーバ４０及び端末５０において実行されるプログラムは、光ディスク、磁気ディスク、半導体メモリなどの記憶媒体により提供されてもよいし、インターネット等の通信回線を介してダウンロードされてもよい。
【符号の説明】
【００５４】
１…セキュリティ管理システム、２…ネットワーク、３…インターネット、１０…管理装置、２０…サーバ、２１…情報収集手段、２２…特徴取得手段、２３…履歴取得手段、２４…特定手段、２５…提案手段、３０…中継装置、４０…データベースサーバ、５０…端末、１０１…ＣＰＵ、１０２…メモリ、１０３…ストレージ、１０４…ネットワークＩＦ、１０５…表示装置、１０６…入力装置、２０１…ＣＰＵ、２０２…メモリ、２０３…ストレージ、２０４…ネットワークＩＦ、３０１…ＣＰＵ、３０２…メモリ、３０３…ストレージ、３０４…ネットワークＩＦ。
【図１】
2019101448.tif 000003
【図２】
2019101448.tif 000004
【図３】
2019101448.tif 000005
【図４】
2019101448.tif 000006
【図５】
2019101448.tif 000007
【図６】
2019101448.tif 000008
【図７】
2019101448.tif 000009
【図８】
2019101448.tif 000010
【図９】
2019101448.tif 000011