(57)【特許請求の範囲】
【請求項１】
１以上の事前設定スキャンポリシーであって、各々が１種類のネットワーク装置に対応すると共に、１以上のセキュリティチェック項目を有し、当該セキュリティチェック項目の各々は前記対応するネットワーク装置におけるセキュリティ構成に関連付けられている、という１以上の事前設定スキャンポリシーと、
前記１以上の事前設定スキャンポリシーからスキャンポリシーを選択し、選択されたネットワーク装置と前記選択されたネットワーク装置のネットワークアプリケーション環境との両方に対応する新しいスキャンポリシーを生成するスキャンポリシー生成器であって、前記新しいスキャンポリシーにおけるセキュリティチェック項目は前記事前設定スキャンポリシー内の前記選択されたネットワーク装置に適合したセキュリティチェック項目から選択され、選択されたセキュリティチェック項目が前記選択されたネットワーク装置のネットワークアプリケーション環境に適合しないときは、前記新しいスキャンポリシーにおけるセキュリティチェック項目は前記選択されたスキャンポリシー内のセキュリティチェック項目のパラメータを変更することで生成される、というスキャンポリシー生成器と、
選択されたネットワーク装置に対し、生成された前記新しいスキャンポリシーを用いてセキュリティスキャンを実行し、それによってセキュリティ構成検証を行うスキャナと、を有し、
前記新しいスキャンポリシーに含まれる各々のセキュリティチェック項目について、前記選択されたネットワーク装置のセキュリティ構成が前記セキュリティチェック項目で示されるセキュリティチェックを満たすか否かが判定されること、
を特徴とするセキュリティ構成検証装置。
【請求項２】
前記スキャンポリシー生成器において、前記選択されたスキャンポリシーと前記新しいスキャンポリシーとは、同じ種類のネットワーク装置に対応していること、
を特徴とする請求項１に記載のセキュリティ構成検証装置。
【請求項３】
前記スキャナによるセキュリティスキャンの結果に基づいて、前記選択されたネットワーク装置に関するセキュリティ構成検証結果を生成するレポート生成器を更に有すること、
を特徴とする請求項１乃至２のいずれか一項に記載のセキュリティ構成検証装置。
【請求項４】
前記１以上の事前設定スキャンポリシーを格納するスキャンポリシー記憶部を更に有すること、
を特徴とする請求項１乃至２のいずれか一項に記載のセキュリティ構成検証装置。
【請求項５】
ネットワーク装置のセキュリティ構成を検証するためのセキュリティ構成検証装置で用いられるセキュリティ構成検証方法であって、前記セキュリティ構成検証装置は、
１以上の事前設定スキャンポリシーからスキャンポリシーを選択して前記ネットワーク装置と前記ネットワーク装置のネットワークアプリケーション環境との両方に対応する新しいスキャンポリシーを生成するステップであって、前記事前設定スキャンポリシーは各々が１種類のネットワーク装置に対応していると共に１以上のセキュリティチェック項目を含み、各セキュリティチェック項目は、対応する種類のネットワーク装置におけるセキュリティ構成と関連付けられており、前記新しいスキャンポリシーに含まれるセキュリティチェック項目は、選択された事前設定スキャンポリシーに含まれる前記ネットワーク装置に適合したセキュリティチェック項目から選択され、選択されたセキュリティチェック項目が前記ネットワーク装置のネットワークアプリケーション環境に適合しないときは、前記新しいスキャンポリシーにおけるセキュリティチェック項目は前記選択されたスキャンポリシー内のセキュリティチェック項目のパラメータを変更することで生成される、というステップと、
生成された新しいスキャンポリシーを用いて、前記ネットワーク装置に対するセキュリティスキャンを実行するステップであって、前記新しいスキャンポリシーに含まれる各々のセキュリティチェック項目について、前記ネットワーク装置のセキュリティ構成が前記セキュリティチェック項目で示されるセキュリティチェックを満たすか否かが判定される、というステップと、
を実行することを特徴とするセキュリティ構成検証方法。
【請求項６】
前記１以上の事前設定スキャンポリシーからスキャンポリシーを選択して前記ネットワーク装置に対応する新しいスキャンポリシーを生成するステップは更に、
前記ネットワーク装置と種類が同じであるネットワーク装置に対応する事前設定スキャンポリシーからスキャンポリシーを選択することで前記新しいスキャンポリシーを生成する処理を含むこと、
を特徴とする請求項５に記載のセキュリティ構成検証方法。
【請求項７】
前記セキュリティスキャンの結果に基づいて、前記ネットワーク装置に関するセキュリティ構成検証結果を生成するステップを更に有すること、
を特徴とする請求項５乃至６のいずれか一項に記載されたセキュリティ構成検証方法
【請求項８】
１以上のネットワーク装置と、
前記１以上のネットワーク装置に対してセキュリティ構成検証を実行する、請求項１乃至４のいずれか一項に記載のセキュリティ構成検証装置と、
を有するネットワークシステム。
【請求項９】
複数のグループに分割された複数のネットワーク装置を含み、
ネットワーク装置の各グループは、セキュリティ構成検証を当該ネットワーク装置のグループに含まれるネットワーク装置に対して実行するためのセキュリティ構成検証装置を有すること、
を特徴とする請求項８に記載のネットワークシステム。
【請求項１０】
サーバで実行された際に、請求項５乃至６のいずれか一項に記載されたセキュリティ構成検証方法をサーバに実行させる、コンピュータ読取可能コードから成るコンピュータプログラム。
【請求項１１】
請求項１０に記載のコンピュータプログラムを格納するコンピュータ読取可能媒体。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明はネットワークセキュリティの分野に関し、特に、ネットワーク装置のセキュリティ構成を検証するセキュリティ構成検証装置及び方法、並びに、当該セキュリティ構成検証装置を用いるネットワークシステムに関する。
【背景技術】
【０００２】
情報技術の継続的な発展に伴い、ネットワークサービス及びネットワークアプリケーションは増え続けている。そして、これらのネットワークサービス及びネットワークアプリケーションを実行するサーバやネットワーク装置も継続的に市場に出ている。そして、こうしたサーバやネットワーク装置のセキュリティへの関心も高まっている。ネットワークサービスやアプリケーションに違法な侵入が行われる際、その最も大きな理由は、これらのサーバやネットワーク装置自体の脆弱性に加えて、ユーザの手によるサーバやネットワーク装置の構成が充分なセキュリティを備えていないことである。構成に不備があれば、それによって、ハッカーがつけ込むすきが生じ、サーバやネットワーク装置のユーザにも大きな損害が生じる。
【０００３】
サーバやネットワーク装置の構成上の欠陥による損失を防ぐために、ネットワーク管理者は通常、ネットワーク内のサーバ又はネットワーク装置のセキュリティ構成を検証して、セキュリティ構成仕様を満たさないサーバやネットワーク装置に対してセキュリティ補強を実行する。一部のセキュリティ業者は、サーバやネットワーク装置のセキュリティ構成に対するスキャンを実行するためのセキュリティソフトウェアを、ネットワーク管理者に提供してきた。
【０００４】
図１は、サーバやネットワーク装置に対するセキュリティ構成検証を実行する際の従来の手順を示す概略図である。図１で示すように、先ず、あるサーバ又はネットワーク装置の納入業者から「セキュリティ構成仕様」が提供される。ネットワーク管理者が、当該「セキュリティ構成仕様」に従って、サーバ又はネットワーク装置においてセキュリティ構成を実行する一方、セキュリティ業者は「セキュリティ構成仕様」に応じたセキュリティ構成スキャンスキームを当該サーバ又はネットワーク装置用にカスタマイズする。その後、セキュリティ業者は、このセキュリティスキャンスキームによって、サーバ又はネットワーク装置へのセキュリティ構成スキャンを実行し、スキャン結果をネットワーク管理者に通知すると、その結果に応じてサーバ又はネットワーク装置のセキュリティ構成は正常化される。こうして、サーバ又はネットワーク装置の構成に対するセキュリティ補強が達成される。
【０００５】
しかしながら、こうしたセキュリティ構成検証は、図１に示すように、既存の解決策を用いて１台のサーバ又はネットワーク装置に対して行うには便利であるが、セキュリティ業者の作業が発生することから、多くの時間が費やされる。ネットワーク環境内のサーバやネットワーク装置が１台だけではなく（通常、２台以上の異なるサーバやネットワーク装置が存在する）、セキュリティ構成検証をこうした他の装置にも実行する必要がある場合には、図１に示した手順を繰り返し実行する必要がある。このことは、ネットワーク環境内のサーバやネットワーク装置の種類が多いほど、繰り返されるステップが多くなり、費やされる時間もより長くなることを意味する。更に、ネットワークアプリケーションシナリオが異なれば、サーバやネットワーク装置のセキュリティ構成仕様に関する必要条件も、互いに異なるものとなるかもしれず、そうなれば、セキュリティ業者が行う必要のある作業は多くなり、それによって、更なる時間及び労力を費やさざるをえない。
【０００６】
上記の内容から分かるように、サーバやネットワーク装置のユーザあるいはネットワーク管理者が、ネットワークアプリケーション環境やサーバ、ネットワーク装置の違いに応じて、固有のセキュリティ構成検証ポリシーを自身で柔軟に定義することでコスト及び時間を節約できるような、セキュリティ構成検証方法が必要とされている。
【先行技術文献】
【特許文献】
【０００７】
【特許文献１】中国特許第１０１０１５１８５号明細書
【特許文献２】中国特許第１９８８４７８号明細書
【発明の概要】
【発明が解決しようとする課題】
【０００８】
上記課題を鑑みて、本発明は、上記課題を克服する、又は少なくとも部分的には解決する、セキュリティ構成検証装置及び方法、並びに、当該セキュリティ構成検証装置を使用するネットワークシステムを提供する目的で提案される。
【課題を解決するための手段】
【０００９】
本発明の１つの様態として、１以上の事前設定スキャンポリシーであって、各々が１種類のネットワーク装置に対応すると共に、１以上のセキュリティチェック項目を有し、当該セキュリティチェック項目の各々は前記対応するネットワーク装置におけるセキュリティ構成に関連付けられている、という１以上の事前設定スキャンポリシーと、前記１以上の事前設定スキャンポリシーからスキャンポリシーを選択し、選択されたネットワーク装置に対応する新しいスキャンポリシーを生成するスキャンポリシー生成器であって、前記新しいスキャンポリシーにおけるセキュリティチェック項目は前記事前設定スキャンポリシー内のセキュリティチェック項目から選択される、というスキャンポリシー生成器と、選択されたネットワーク装置に対し、生成された前記新しいスキャンポリシーを用いてセキュリティスキャンを実行し、それによってセキュリティ構成検証を行うスキャナと、を有し、前記新しいスキャンポリシーに含まれる各々のセキュリティチェック項目について、前記選択されたネットワーク装置のセキュリティ構成が前記セキュリティチェック項目で示されるセキュリティチェックを満たすか否かが判定される、という、ネットワーク装置に対するセキュリティ構成検証を行うセキュリティ構成検証装置を提供する。
【発明の効果】
【００１０】
本発明によるセキュリティ構成検証装置は、事前設定スキャンポリシーに従って新しいスキャンポリシーを生成し、ネットワーク装置に対してセキュリティ構成検証を実行することで、セキュリティ業者の関与を不要とし、これによってセキュリティ構成検証の実行に要する時間を大幅に節約する。
そして、オプションとして、前記スキャンポリシー生成器において、前記新しいスキャンポリシーに含まれるセキュリティチェック項目は、前記選択されたスキャンポリシーに含まれるセキュリティチェック項目を変更することで生成されること、とする。加えて、前記スキャンポリシー生成器において、前記選択されたスキャンポリシーと前記新しいスキャンポリシーとは、同じ種類のネットワーク装置に対応していることとする。この構成によれば、事前設定スキャンポリシーに従って、新しいネットワーク装置及び新しいネットワークアプリケーション環境に適応した新しいスキャンポリシーが、より速くかつ正確に生成され、それによって、セキュリティ構成検証の実行に要する時間は更に節約されるであろう。
【００１１】
また、オプションとして、本発明のセキュリティ構成検証装置は更に、前記スキャナによるセキュリティスキャンの結果に基づいて、前記ネットワーク装置に関するセキュリティ構成検証結果を生成するレポート生成器と、前記１以上の事前設定スキャンポリシーを格納するスキャンポリシー記憶部と有することとする。
また、本発明の別の様態として、ネットワーク装置用のセキュリティ構成検証方法を提供する。当該方法は、事前設定スキャンポリシーに従って新しいスキャンポリシーを生成し、ネットワーク装置に対してセキュリティ構成検証を実行することで、セキュリティ業者の関与を不要とし、これによってセキュリティ構成検証の実行に要する時間を大幅に節約する。具体的には、セキュリティ構成検証方法であって、１以上の事前設定スキャンポリシーからスキャンポリシーを選択して前記ネットワーク装置に対応する新しいスキャンポリシーを生成するステップであって、前記事前設定スキャンポリシーは各々が１種類のネットワーク装置に対応していると共に１以上のセキュリティチェック項目を含み、各セキュリティチェック項目は、対応する種類のネットワーク装置におけるセキュリティ構成と関連付けられており、前記新しいスキャンポリシーに含まれるセキュリティチェック項目は、選択された事前設定スキャンポリシーに含まれるセキュリティチェック項目から選択される、というステップと、生成された新しいスキャンポリシーを用いて、前記ネットワーク装置に対するセキュリティスキャンを実行するステップであって、前記新しいスキャンポリシーに含まれる各々のセキュリティチェック項目について、前記ネットワーク装置のセキュリティ構成が前記セキュリティチェック項目で示されるセキュリティチェックを満たすか否かが判定される、というステップと、を有することを特徴とする。
【００１２】
また、本発明の更に別の様態として、１以上のネットワーク装置と、前記１以上のネットワーク装置に対してセキュリティ構成検証を実行する、上記のセキュリティ構成検証装置と、を有するネットワークシステムを提供する。
こうしたネットワークシステムは、本発明によるセキュリティ構成検証装置を採用していることで、たとえネットワークシステム内に種類の異なる複数のネットワーク装置が存在していても、これらのネットワーク装置に対応したスキャンポリシーが生成されて適切なセキュリティ構成検証が実行されるという利便性があり、その結果として、セキュリティ構成検証の実行に要する時間を節約できる。
【００１３】
上記以外の様々な効果及び利点については、当業者であれば、後述する効果的な実施の形態に関する詳細な説明を読むことで明らかになるであろう。図面は、好適な実施の形態を示すことのみを目的としており、本発明を限定するものと見なすべきではない。そして、全図面を通して、類似の参照記号は類似の構成要素を示している。
【図面の簡単な説明】
【００１４】
【図１】サーバまたはネットワーク装置に対して従来行われているセキュリティ構成検証の実行手順の概略図である。
【図２】本発明の実施の形態によるセキュリティ構成検証装置を示す図である。
【図３】本発明の実施の形態によるセキュリティ構成検証装置におけるスキャンポリシー生成器による新スキャンポリシー生成の概略を示す図である。
【図４】本発明の実施の形態によるセキュリティ構成検証方法を示す図である。
【図５】セキュリティ構成検証装置が採用されている本発明の実施の形態によるネットワークシステムを示す図である。
【図６】セキュリティ構成検証装置が採用されている本発明の別の実施の形態によるネットワークシステムを示す図である。
【図７】本発明によるセキュリティ構成検証方法を実行するサーバの概略的なブロック図である。
【図８】本発明によるセキュリティ構成検証方法を実現するためのプログラムコードを保持又は格納するための記憶装置の概略図である。
【発明を実施するための形態】
【００１５】
以下、図面を参照しながら、本発明の特定の実施の形態について述べる。
図２は、本発明の実施の形態によるセキュリティ構成検証装置２００を示す。図２に示すように、セキュリティ構成検証装置２００は、１つ以上の事前設定スキャンポリシー２１０を保持しており、スキャンポリシーは各々が１種類のネットワーク装置に対応する（以下、記述を簡単にするために、サーバとネットワーク装置とを併せて、１つのネットワーク装置とする）。事前設定スキャンポリシーは通常、ネットワーク装置納入業者によって提供される仕様に従い、セキュリティ業者によって予めカスタマイズされる。例えば、ネットワーク装置の種類に応じて、スキャンポリシー２１０が、以下のスキャンポリシーを含むグループから選択される。すなわち、Windows（登録商標）スキャンポリシー、Solarisスキャンポリシー、Oracleスキャンポリシー、Cisco Routerスキャンポリシー、Juniper Routerスキャンポリシー、Huawei Routerスキャンポリシー、NETSCREENスキャンポリシー、PIX Firewallスキャンポリシー、Informixスキャンポリシー、HP Unix（登録商標）スキャンポリシー、AIXスキャンポリシー、Linux（登録商標）スキャンポリシー、Microsoft SQL Serverスキャンポリシー、BINDスキャンポリシー、Apacheスキャンポリシー、IISスキャンポリシー、Tomcatスキャンポリシー、H3C Switchスキャンポリシー、fortigateスキャンポリシー、Windows（登録商標）-ORACLEスキャンポリシー。スキャンポリシー２１０は、各々が１以上のセキュリティチェック項目から成り、セキュリティチェック項目の各々は対応するネットワーク装置におけるセキュリティ構成と関連付けられている。例えば、スキャンポリシー２１０がHP Unix（登録商標）スキャンポリシーである場合、ここでの対応するネットワーク装置はHP Unix（登録商標）であり、セキュリティチェック項目は以下の通りとなる。すなわち、デフォルトのユーザアクセス権限が仕様に適合しているか否か検出すること（デフォルトのユーザアクセス権限の設定がセキュリティチェック項目に従ったセキュリティ仕様に適合しているか否か検出すること）、スーパー管理者権限を有するユーザによるｔｅｌｎｅｔを用いたダイレクトリモートログインが禁止されているか否かを検出すること、スーパー管理者権限を有するユーザによるｓｓｈを用いたダイレクトログインが禁止されているか否かを検出すること、静的パスワード認証技術を採用している装置のパスワード長が仕様に適合するか否かを検出すること、静的パスワード認証技術を採用している装置のパスワード有効期間が仕様を満たすか否か検出すること、そして、静的パスワード認証技術を使用している装置が、最近の規定回数内でセットされたパスワードの使用を禁じられているか否かを検出すること、などである。スキャンポリシーに対応するネットワーク装置の種類の違いに応じて、スキャンポリシーのセキュリティチェック項目の種類及び数は異なってくる。更には、同じ種類のネットワーク装置の場合ですら、スキャンポリシーを、ネットワークアプリケーション環境の違いに適応するよう事前設定することもあり得る。例えば、NETSCREENネットワーク装置の場合、ネットワーク装置がパブリックネットワークで用いられているか、ローカルエリアネットワークで用いられているかに応じて、異なるスキャンポリシーが事前設定されることがある。
【００１６】
セキュリティ構成検証装置２００は更に、スキャンポリシー生成器２２０を有する。当該スキャンポリシー生成器２２０は、セキュリティ構成検証が実行される対象ネットワーク装置用に、新しいスキャンポリシーを生成する。スキャンポリシー生成器２２０は、事前設定のスキャンポリシー２１０から１以上のスキャンポリシーを選択して、対象ネットワーク装置に対応する新しいスキャンポリシーを生成する。
【００１７】
図３は、スキャンポリシー生成器２２０による新しいスキャンポリシーの生成処理を示す概略図である。新しいスキャンポリシーに含まれるセキュリティチェック項目は、選択された事前設定スキャンポリシー２１０内のセキュリティチェック項目から選択する、というやり方で得られる。オプションとして、新しいスキャンポリシーのセキュリティチェック項目は、１つの事前設定スキャンポリシー２１０から選択してもよいし、複数の事前設定スキャンポリシーから選択してもよい。対象ネットワーク装置及びネットワークアプリケーション環境の種類に基づいて、スキャンポリシー生成器２２０は、選択された１以上の事前設定スキャンポリシー２１０のセキュリティチェック項目から、対象ネットワーク装置に適したセキュリティチェック項目を洗い出して、新しいスキャンポリシーを構築する。
【００１８】
オプションとして、事前設定スキャンポリシー２１０のセキュリティチェック項目が対象ネットワーク装置のネットワークアプリケーション環境に適合していない場合、スキャンポリシー生成器２２０は、セキュリティチェック項目のパラメータを変更して、新しいスキャンポリシーに関するセキュリティチェック項目を取得することとしてもよい。ここで、変更する必要があるのはセキュリティチェック項目のパラメータのみであり、新しいセキュリティチェック項目をゼロから生成することはないため、セキュリティチェック項目の確立は速やかに行われるであろう。一例として、既存のセキュリティチェック項目「静的パスワード認証技術を使用している装置のユーザが、最近の８回（８回目を含む）以内で使用されたパスワードを繰り返して使用することが禁じられているか否か検知する」の場合、その中の「８回」というパラメータを、ネットワークアプリケーション環境に応じて変更して、新しいセキュリティチェック項目を生成すればよい。
【００１９】
もちろん、スキャンポリシー生成器２２０は、対象ネットワーク装置の種類に応じて、セキュリティチェック項目を新たに生成することもできる。例えば、対象ネットワーク装置の種類がWindows（登録商標）オペレーティングシステムである場合には、特定のレジストリ入力の内容値に関するセキュリティチェック項目を確立することもできる。他の種類のネットワーク装置についても、新しいセキュリティチェック項目を生成する方法はある。それらは全て、本発明の保護範囲に含まれる。
【００２０】
更に、オプションとして、新しいスキャンポリシーは、関連するネットワーク装置の種類が対象ネットワーク装置と同じである事前設定スキャンポリシーから選択してもよい。例えば、対象ネットワーク装置がWindows（登録商標）である場合、新しいスキャンポリシーのセキュリティチェック項目はWindows（登録商標）用の複数の事前設定スキャンポリシーのいずれかから選択すればよい。このように、新しいスキャンポリシーは、速やかに、しかも正確に構築される。
【００２１】
スキャンポリシー生成器２２０が新しいスキャンポリシーを構築した後、セキュリティ構成検証装置２００内のスキャナ２３０が、新しいスキャンポリシーに基づき、対象ネットワーク装置３００に対してセキュリティスキャンを実行して、セキュリティ構成検証を行う。新しいスキャンポリシーに含まれる各々のセキュリティチェック項目について、スキャナ２３０が、対象のネットワーク装置３００のセキュリティ構成がセキュリティチェック項目で示されたセキュリティチェック内容を満たすか否か判定する。セキュリティチェック項目で示されるセキュリティチェック内容の検知を行うにあたって、スキャナ２３０は本技術分野における何らかの既知の方法を用いればよい。例えば、スキャナ２３０は、セキュリティチェック項目の内容に基づいて、ログイン後に対象ネットワーク装置３００の上で実行されるスクリプトを生成し、対象ネットワーク装置３００上で当該スクリプトを実行させる。そして、スクリプト実行結果に応じて、対象ネットワーク装置３００がセキュリティチェック項目を満たすか否か判定する。こうしたチェック方法は全て、本発明の保護範囲に含まれる。
【００２２】
オプションとして、セキュリティ構成検証装置は更に、レポート生成器２４０を有し、当該レポート生成器２４０は、スキャナ２３０からのセキュリティスキャン結果に基づいて、対象ネットワーク装置３００に関するセキュリティ構成検証結果を生成する。その後、対象ネットワーク装置３００のシステム管理者は、当該検証結果に従って、対象ネットワーク装置３００のセキュリティ構成を変更し、それによって対象ネットワーク装置３００のセキュリティを向上させる。
【００２３】
加えて、セキュリティ構成検証装置２００は更に、１以上の事前設定スキャンポリシー２１０を記憶するスキャンポリシー記憶部２５０を有する。
セキュリティ構成検証装置２００は、事前設定スキャンポリシー２１０に従って新しいスキャンポリシーを生成して、対象ネットワーク装置３００に対するセキュリティ構成検証を実行することでセキュリティ業者の介在を排除する。これにより、セキュリティ構成検証の実行に要する時間は大幅に節約される。
【００２４】
図４は、本発明の実施の形態によるセキュリティ構成検証方法を示す。当該セキュリティ構成検証方法は、ネットワーク装置に対するセキュリティ構成検証を実行するために、セキュリティ構成検証装置２００に実装される。図４に示すように、本セキュリティ構成検証方法の開始はステップＳ４１０であり、本ステップでは、１以上の事前設定スキャンポリシーからスキャンポリシーが選択され、対象ネットワーク装置に対応した新しいスキャンポリシーが生成される。上述したように、事前設定スキャンポリシーは各々が１種類のネットワーク装置に対応しており、１以上のセキュリティチェック項目から成る。そして、各セキュリティチェック項目は対応する種類のネットワーク装置におけるセキュリティ構成と関連付けられている。
【００２５】
ステップＳ４１０では、対象ネットワーク装置及びネットワークアプリケーション環境の種類に基づき、選択された事前設定スキャンポリシーに含まれるセキュリティチェック項目から、対象ネットワーク装置に適したセキュリティチェック項目を洗い出すことで、新しいスキャンポリシーが生成される。オプションとして、新しいスキャンポリシーのセキュリティチェック項目は、１つの事前設定スキャンポリシーから選択しても、複数の事前設定スキャンポリシーから選択してもよい。更に、オプションとして、事前設定スキャンポリシーのセキュリティチェック項目が対象ネットワーク装置のネットワークアプリケーション環境に適合しない場合には、新しいスキャンポリシーに関するセキュリティチェック項目を得るため、セキュリティチェック項目のパラメータを変更してもよい。その場合、セキュリティチェック項目のパラメータの修正のみが必要で、新しいセキュリティチェック項目をゼロから生成することはないため、セキュリティチェック項目は迅速に確立されるであろう。更に、オプションとして、新しいスキャンポリシーを、関連するネットワーク装置の種類が対象ネットワーク装置と同一である事前設定スキャンポリシーから選択してもよい。
【００２６】
オプションとして、ステップＳ４１０は、上述したスキャンポリシー生成器２２０で実行してもよい。
ステップＳ４１０において、対象ネットワーク装置に合わせた新しいスキャンポリシーが構築された後、ステップＳ４２０では、生成された新しいスキャンポリシーを用いて、対象ネットワーク装置に対するセキュリティスキャンが実行される。ここで、新しいスキャンポリシーの各々のセキュリティチェック項目について、当該セキュリティチェック項目で示すセキュリティチェックを、対象ネットワーク装置のセキュリティ構成が満たすか否かが判定される。ステップＳ４２０で、本技術分野において公知の何らかの方法を用いて、セキュリティチェック項目で示される内容の検知が実行される。例えば、ログイン後に対象ネットワーク装置で実行されるスクリプトが、セキュリティチェック項目の内容に基づいて生成され、当該スクリプトを対象ネットワーク装置で実行させる。そして、スクリプトの実行結果に従って、対象ネットワーク装置がセキュリティチェック項目を満たすか否かが判定される。こうしたチェック方法は全て、本発明の保護範囲に含まれる。
【００２７】
オプションとして、ステップＳ４２０は、上記のスキャナ２３０で実行してもよい。
オプションとして、本セキュリティ構成検証方法は、対象ネットワーク装置にセキュリティ構成検証が実行されるステップＳ４２０の後に、更にステップＳ４３０を有し、ここでは、対象ネットワーク装置に関するセキュリティ構成検証結果が、ステップＳ４２０におけるセキュリティスキャン結果に基づいて生成される。対象ネットワーク装置のシステム管理者は、検証結果に応じて対象ネットワーク装置におけるセキュリティ構成を変更することで、対象ネットワーク装置のセキュリティを向上させる。
【００２８】
図５は、本発明の実施の形態によるネットワークシステム５００を示す。本ネットワークシステム５００には、セキュリティ構成検証装置２００が用いられている。図５に示すように、ネットワークシステム５００は、ローカルエリアネットワーク５４０によって相互接続された複数のネットワーク装置を含み、これらネットワーク装置には、ゲートウェイやルータなどの従来のネットワーク装置５１０に加えて、サーバ５２０、端末５３０などが含まれる。セキュリティ構成検証装置２００は、ローカルエリアネットワーク５４０を介して、これらのネットワーク装置とも相互接続されており、それによって、これらのネットワーク装置のセキュリティ構成を検証することができる。このようにして、システム管理者は、１台のセキュリティ構成検証装置２００を用いて、ネットワークシステム５００内の全ネットワーク装置に対するセキュリティ構成検証を実行する。
【００２９】
なお、大規模なネットワークの場合は、組織構造が複雑で、配布点（distribution point）が多く、データも比較的分散しているなどの理由から、分散配置した複数のセキュリティ構成検証装置２００を利用して、ネットワークシステム全体のネットワーク装置に対してセキュリティ構成検証を実現する構成としてもよい。図６はそうした例を示す。図６に示すように、複数のセキュリティ構成検証装置２００が分散配置されており、この分散配置では、セキュリティ構成検証装置同士の間のデータの共有及び集積がサポートされており、その結果として、ユーザによる分散ネットワークの集中管理が容易となっている。図６のネットワークシステム６００では、複数のネットワーク装置がネットワークトポロジーによってグループ化され、各々のネットワーク装置グループについて、対応するセキュリティ構成検証装置が検証を行い、検証後のデータはセキュリティ構成検証装置同士の間で共有又は集積される。この構成によれば、本発明のセキュリティ構成検証装置２００を大規模ネットワークに適用することができる。
【００３０】
本発明では、セキュリティ構成スキャンのスキームが柔軟にカスタマイズされ、そうしたカスタマイズが完全にユーザの要請に従って行われるため、ユーザは、サーバ又はネットワーク装置の構成に対するセキュリティスキャンを柔軟に行うことが可能となり、大量の時間及びコストが節約される。
留意すべき点として、本発明によるセキュリティ構成検証装置の各構成要素では、その中の構成要素が、それらの実現する機能に応じて論理的に分割されているが、本発明はこれに限定されない。個々の構成要素は、必要に応じて、再分割又は結合してもよく、例えば、いくつかの構成要素は、結合して１つの構成要素とすることも、更に細かい副構成要素に分割することもできる。
【００３１】
本発明の個別の構成要素の実施の形態は、ハードウェア、プロセッサ上で動作するソフトウェアモジュール、それらの組み合わせ、のいずれでも実装することができる。当業者には理解されるであろうが、実際問題として、本発明の実施の形態によるセキュリティ構成検証装置の構成要素の一部又は全ての機能は、マイクロプロセッサ又はデジタル信号プロセッサ（ＤＳＰ）を用いて実現することができる。本発明はまた、ここで記述した方法の一部または全体を実行する装置又は手段プログラム（例えば、コンピュータプログラム又はコンピュータプログラム製品）として実現することもできる。本発明を実現するこうしたプログラムは、コンピュータ読取可能媒体に記憶させればよい。
【００３２】
一例として、図７に、本発明によるセキュリティ構成検証方法を実施するサーバを示す（例：アプリケーションサーバ）。サーバは、従来通りの構成として、プロセッサ７１０と、コンピュータプログラム製品又はメモリ７２０の形を取るコンピュータ読取可能媒体とを有する。メモリ７２０は、フラッシュメモリ、ＥＥＰＲＯＭ（Electrically Erasable Programmable Read-only Memory：電気的に消去可能なプログラマブルリードオンリメモリ）、ＥＰＲＯＭ、ハードディスク、ＲＯＭなどの電子メモリとすればよい。メモリ７２０は、上述の方法に含まれる方法ステップを実行するのに用いられるプログラムコード７３１用のメモリスペース７３０を有する。例えば、プログラムコード用のメモリスペース７３０は、上記の方法のいずれかのステップをそれぞれ実行する複数のプログラムコード７３１から成るものとすることができる。これらのプログラムコードは、１以上のコンピュータプログラム製品から読み出される、あるいは、そこに書き込まれる。こうしたコンピュータプログラム製品は、ハードディスク、コンパクトディスク（ＣＤ）、メモリーカード、フロッピー（登録商標）ディスクなどのプログラムコードキャリアから成る。こうしたコンピュータプログラム製品は通常、可搬型又は据置型の記憶装置であり、以下、図８を参照しながら説明する。記憶装置は、メモリセグメント、メモリスペースなどを有し、これらは、図７のサーバにおけるメモリ７２０と同様に配置されている。例えば、プログラムコードは適当な形式で圧縮しておいてもよい。通常、記憶装置には、コンピュータ読取可能なコード７３１´（すなわち、参照番号７１０のプロセッサなどで読み取られるコード）が格納されており、これらのコードは、サーバで実行されると、上述の方法の個々のステップをサーバに実施させる。
【００３３】
留意すべき点として、上述の実施の形態は、本発明を限定するものではなく、むしろ例示的なものである。そして、当業者であれば、添付の特許請求の範囲から逸脱しない形で、他の実施の形態を設計することも可能であろう。特許請求の範囲において、括弧の中に入れられた参照符号はいずれも、特許請求の範囲の限定と解釈すべきでない。「有する（comprise）」との語は、特許請求の範囲に列挙されていない構成要素又はステップの存在を除外するものではない。構成要素に先行する冠詞（「ａ」又は「ａｎ」）は、こうした構成要素が複数存在する構成を除外するものではない。本発明は、いくつかの異なる構成要素を有するハードウェアによって、そして、適切にプログラムされたコンピュータによって実現される。複数の手段を列挙している装置の請求項においては、いくつかの手段を１つの同一のハードウェアアイテムで具体化する場合もある。「第１（first）」、「第２（second）」、「第３（third）」などの語の使用は、いかなる順序も意味しない。こうした語は、名称を区別するためのものである。
【図１】
0005796084.tif 000002
【図２】
0005796084.tif 000003
【図３】
0005796084.tif 000004
【図４】
0005796084.tif 000005
【図５】
0005796084.tif 000006
【図６】
0005796084.tif 000007
【図７】
0005796084.tif 000008
【図８】
0005796084.tif 000009