(57)【要約】【課題】セキュリティ脅威を網羅的に抽出でき、仕様変更による分析結果の見直しを容易にするセキュリティ脅威分析支援システムを提供すること。【解決手段】分析対象となるシステムを構成する構成要素の名称、種別、接続関係、包含関係からなる構成要素情報を入力する分析対象入力手段と、入力された構成要素情報に基づき、構成要素間のアクセス点（インタフェースや通信系路上などアクセス可能な点）を抽出するアクセス点抽出手段と、抽出されたアクセス点について、どのような攻撃を受ける可能性があるかを示すセキュリティ脅威情報を入力するセキュリティ脅威入力手段と、セキュリティ脅威情報を所定の条件に基づいて分類するセキュリティ脅威検証支援手段とを有し、分析対象となるシステムを構成する構成要素の情報に基づきアクセス点を抽出し、このアクセス点に基づくセキュリティ脅威分析を行う。【選択図】図１
2008234409.tif 000002
【特許請求の範囲】
【請求項１】
分析対象となるシステムを構成する構成要素の名称、種別、接続関係、包含関係からなる構成要素情報を入力する分析対象入力手段と、前記分析対象入力手段によって入力された構成要素情報に基づき、構成要素間のアクセス点を抽出するアクセス点抽出手段と、前記アクセス点抽出手段によって抽出されたアクセス点について、どのような攻撃を受ける可能性があるかを示すセキュリティ脅威情報を入力するセキュリティ脅威入力手段と、前記セキュリティ脅威情報を所定の条件に基づいて分類するセキュリティ脅威検証支援手段とを有すること特徴とするセキュリティ脅威分析支援システム。
【請求項２】
分析対象となるシステムを構成する構成要素の名称、種別、接続関係、包含関係からなる構成要素情報を入力するステップと、入力された構成要素情報に基づき、構成要素間のアクセス点を抽出するステップと、抽出された前記アクセス点について、どのような攻撃を受ける可能性があるかを示すセキュリティ脅威情報を入力するステップと、前記セキュリティ脅威情報を所定の条件に基づいて分類するステップとを有すること特徴とするセキュリティ脅威分析支援方法。
【請求項３】
分析対象となるシステムを構成する構成要素の名称、種別、接続関係、包含関係からなる構成要素情報を入力するステップと、入力された構成要素情報に基づき、構成要素間のアクセス点を抽出するステップと、抽出された前記アクセス点について、どのような攻撃を受ける可能性があるかを示すセキュリティ脅威情報を入力するステップと、前記セキュリティ脅威情報を所定の条件に基づいて分類するステップとをコンピュータに実行させるためのセキュリティ脅威分析支援プログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、セキュリティ設計において、分析対象で想定されるセキュリティ脅威を、網羅的に抽出するためのセキュリティ脅威分析の実施する、セキュリティ設計技術の分野に関する。
【背景技術】
【０００２】
従来、セキュリティ設計におけるセキュリティ脅威分析は、分析対象で扱う情報資産に基づいて実施していた（特許文献1）。このため、情報資産に依存しないセキュリティ脅威（例えば、踏み台やサービス妨害など）の抽出は、経験則に頼っていた。
【０００３】
特に要件定義など上流の設計フェーズにおけるセキュリティ脅威分析では、分析対象の構成要素およびインタフェース仕様に未確定な部分が存在する場合、それらが確定後に再度分析をしなければならないが、従来、このような場合、情報資産ごとに仕様変更による影響を見直す必要があった。このため、結果としてセキュリティ脅威分析の結果全体を見直さなければならなかった。
【特許文献１】特開2005-242754号公報
【発明の開示】
【発明が解決しようとする課題】
【０００４】
情報資産に基づくセキュリティ脅威分析では、セキュリティ脅威を網羅的に抽出することができず、また、上流の設計フェーズにおけるセキュリティ脅威分析では、情報資産毎に仕様変更による影響を見直さなければならず、セキュリティ設計の生産効率の悪化を招いていた。
【０００５】
本発明はこのような事情を考慮してなされたものであり、その目的とするところは、セキュリティ脅威を網羅的に抽出でき、仕様変更による分析結果の見直しを容易にするセキュリティ脅威分析支援システムを提供することである。
【課題を解決するための手段】
【０００６】
本発明では、アクセス点（インタフェースや通信系路上などアクセス可能な点）に基づくセキュリティ脅威分析を行うことで、情報資産に依存しない踏み台やサービス妨害などを含めた網羅的なセキュリティ脅威の抽出も可能とした。
【０００７】
内部構成の未確定な部分を含む段階で実施したアクセス点に基づくセキュリティ脅威分析を行う場合、変更されたインタフェースに対応するアクセス点と関連付けられたセキュリティ脅威だけを見直せばよく、全体を見直す必要はない。
【発明の効果】
【０００８】
本発明のセキュリティ脅威分析支援システムでは、セキュリティ脅威を網羅的に抽出でき、仕様変更による分析結果の見直しを容易にする。
【発明を実施するための最良の形態】
【０００９】
図1は本発明の構成を示すブロック図である。設計者30が、本発明のセキュリティ脅威分析を行う場合、まず分析対象入力手段1によって、構成要素とその属性を入力する。入力されたセキュリティ脅威分析の範囲は、構成要素情報として構成要素情報記憶手段7に格納される。構成要素情報は、少なくとも、構成要素定義、構成要素接続関係、構成要素包含関係を含む 。
【００１０】
次にアクセス点抽出手段2によって、アクセス点が自動的に抽出される。アクセス点は、構成要素へのインタフェース、または構成要素間の通信経路上の点など、何らかのアクセスが想定されうる点である。
【００１１】
抽出されたアクセス点に対して、設計者30がアクセス点利用方法入力手段3により、利用方法を入力する。利用方法の要素の入力は、構成要素情報を参照して絞込みが行われ、効率的に入力できる。また、分析レベル２以降では、上位の分析レベルで定義したアクセス点とその利用方法が自動的に継承され、さらに効率化される（分析レベルについては後述）。これらのアクセス点と利用方法に関する情報は、アクセス点情報としてアクセス点情報記憶手段8に格納される。
【００１２】
次に、設計者30がセキュリティ脅威入力手段4により、編集対象とするアクセス点を選択する。選択されたアクセス点に対して、セキュリティ脅威編集手段5により、セキュリティ脅威を入力する。セキュリティ脅威の要素の入力は、構成要素情報を参照して絞込みが行われ、効率的に入力できる。また、分析レベル２以降では、上位の分析レベルで定義したアクセス点とそのセキュリティ脅威が自動的に継承され、さらに効率化される。
【００１３】
これらのセキュリティ脅威に関する情報は、セキュリティ脅威情報として、セキュリティ脅威情報記憶手段9に格納される。
【００１４】
次に、セキュリティ脅威検証支援手段6によって、セキュリティ脅威情報で示されるアクセス点に基づくセキュリティ脅威を、アクセス点とは異なる視点で、設計者30が抽出したセキュリティ脅威に漏れが無いことを検証する。このとき、漏れている可能性のある脅威が自動的に抽出され、設計者30はその中から適切なものを選択することで、効率的に漏れを発見することができる。
【００１５】
セキュリティ脅威検証支援手段6で、セキュリティ脅威の抽出作業に漏れが発見された場合は、セキュリティ脅威入力手段4により、新たなセキュリティ脅威を入力し、セキュリティ脅威検証支援手段6による検証を行う。
【００１６】
アクセス点が追加、削除、および仕様変更された場合は、アクセス点抽出手段2により変更を反映し、セキュリティ脅威入力手段4で新たなセキュリティ脅威を入力し、セキュリティ脅威検証支援手段6によりセキュリティ脅威の漏れの検証を行う。
【００１７】
これらの繰り返しは、脅威の漏れやアクセス点の変更がなくなる（インタフェース仕様が確定する）まで繰り返す。
【００１８】
図2は、セキュリティ脅威分析の対象として用いる文書管理システムのシステム構成図を示す。
【００１９】
文書管理システムでは、Webブラウザを配置したクライアントPC12と、文書管理サーバシステム14は、外部ネットワーク13を介して接続されている。文書管理サーバシステム14は、Webソフトウェア17と利用者識別データ18を配置したWebサーバ16、DBソフトウェア20と文書データ21を配置したDBサーバ19、および外部ネットワーク13が、内部ネットワーク15を介して接続されている。
【００２０】
外部ネットワーク13は、公衆網であり、他のシステムによって使用される可能性のあるネットワークである。
【００２１】
利用者識別データ18は、管理者が登録した正規の利用者を識別するための利用者IDが登録されたデータである。文書データ21は、利用者が登録した文書が保存されたデータである。
【００２２】
以下は、本実施例でセキュリティ脅威分析支援システムが対象とするシステムである文書管理システムの仕様である。
【００２３】
利用者10は、クライアントPC12から外部ネットワーク13を介して、文書管理サーバシステム14にアクセスし、文書管理サーバシステム14が提供する、文書データの登録、閲覧、削除の機能を使用することができる。
【００２４】
利用者10が、クライアントPC12から文書データ21にアクセスする場合、まずクライアントPC12のWebブラウザ11からWebサーバ16のWebソフトウェア17にアクセスすると、Webソフトウェア17は、応答として利用者10に利用者IDの入力を促す入力フォームを返す。
【００２５】
利用者10が、Webブラウザ11から利用者IDを入力し、Webソフトウェア17に送信すると、Webソフトウェア17が受取った利用者IDと利用者識別データ18と照合する。Webソフトウェアは、照合の結果、利用者IDが、登録済み利用者IDであれば利用者が正規の利用者であると判断し、未登録の利用者IDであれば正規の利用者でないと判断する。未登録の利用者IDであれば、Webソフトウェア17は、応答として利用者に警告メッセージを返し、これ以降の処理は行なわない。登録済み利用者IDであれば、Webソフトウェア17は、応答として処理種別（登録、閲覧、削除のいずれか）と処理対象文書名の入力を促す入力フォームを返す。
【００２６】
利用者10が、Webブラウザ11から処理種別と処理対象文書名、および文書（処理種別が登録の場合）を入力し、Webソフトウェア17に送信すると、Webソフトウェア17は、処理種別に従って、DBサーバ19のDBソフトウェア20を介して、文書データ21へアクセスし、書き込み、読み出し、削除を行い、応答として処理結果を返す。
【００２７】
管理者22は、文書管理サーバシステム14のWebサーバ16から、文書管理サーバシステム14が提供する、利用者の登録、削除の機能を使用することができる。
【００２８】
管理者22は、文書管理サーバシステム14のWebサーバ16、DBサーバ19の各コンソールから、それぞれWebソフトウェア17、DBソフトウェア20のソフトウェアアップデートを行うことができる。
【００２９】
図3は、分析対象入力手段1が提供する図式言語エディタの表示例である。分析対象入力手段1では、図式言語エディタを用いて、分析対象の構成要素名称、構成要素種別、構成要素説明、構成要素接続関係、および構成要素包含関係を入力する。ウインドウタイトルに示された「分析レベル：１」は、初回のセキュリティ脅威分析であることを示しており、この段階では文書管理サーバシステム14内の構成要素として、文書管理機能を実現する文書管理ソフトウェア23と、システムの利用者を識別するための利用者識別データ18と、文書を格納する文書データ21が存在することだけがわかっており、内部の構成要素やそれらの接続関係は明確になっていないものとする。
【００３０】
文書管理サーバシステム14内の構成要素が明らかになり、さらにセキュリティ脅威分析を進めていく場合は、分析レベル２、分析レベル３、・・・として分析を行う。構成要素は、文字列を伴う図形で表現されており、文字列は構成要素名称を表している。構成要素種別は、構成要素を表す図形の形状で表現されており、人形が関与者、四角形がコンポーネント（単体または集合したサブシステム）、楕円が通信経路、角丸四角形がプログラム、円柱がデータを、それぞれ表現している。構成要素接続関係は、構成要素間を結ぶ線分で表現している。構成要素包含関係は、構成要素を表す図形の包含関係によって表現している。また、構成要素を表した図形をクリックすることで、構成要素名称、構成要素種別、構成要素説明を編集することが可能である。
【００３１】
図4は、構成要素情報記憶手段7に格納されている構成要素情報のうち、構成要素定義の、分析レベル１における格納例である。構成要素定義は、 構成要素名称、構成要素種別、構成要素説明から構成される。
【００３２】
図5は、構成要素情報記憶手段7に格納されている構成要素情報のうち、構成要素接続関係の、分析レベル１における格納例である。構成要素接続関係は、構成要素名称、接続構成要素から構成されており、構成要素ごとに、どの構成要素が接続されているかという関係を示している。
【００３３】
図6は、構成要素情報記憶手段7に格納されている構成要素情報のうち、構成要素包含関係の、分析レベル１における格納例である。構成要素包含関係は、構成要素名称、包含構成要素から構成され、構成要素ごとに、どの構成要素が包含されているかという関係を示している。
【００３４】
図7は、アクセス点抽出手段2が提供する図式言語エディタの表示例である。アクセス点抽出手段2は、追加された構成要素に対するアクセス点の抽出とアクセス点IDの付与を行う。図7において、A、Bなどがアクセス点を示しており、○中の英字はアクセス点を識別するためのアクセス点IDを示している。
【００３５】
アクセス点の抽出は、以下の手順で行う。
【００３６】
１）新たに追加された構成要素eについて、構成要素eの構成要素種別が、通信経路なら、通信系路上にアクセス点を１つ作成し、コンポーネントなら、コンポーネント上の他の構成要素やアクセス点との接続点、すべてにアクセス点を作成する。
【００３７】
図7において、外部ネットワーク13の構成要素種別が通信経路なので、通信系路上にアクセス点が１つ作成されている。また、文書管理サーバシステム14は、構成要素種別がコンポーネントなので、文書管理サーバシステム14の外部ネットワーク13との接続点、および他の管理者22との接続点に、アクセス点が作成されている。
【００３８】
２）新たに追加された構成要素で、アクセス点が抽出されていないものがあれば１）へ
３）終了
分析レベル１では、アクセス点のアクセス点IDは作成された順に、A、B、C、・・・のユニークな番号を付与する。アクセス点部分をクリックすることによって、アクセス点利用方法入力手段3を表示することができる。
【００３９】
図8は、アクセス点抽出手段2が提供する図式言語エディタにおいて、アクセス点部分をクリックした際のアクセス点利用方法入力手段3の表示例である。図8において、利用方法の要素は、だれが、どこから、どこの、なにを（なにに）、どうする、の５つとしているが、要素や要素数はこれに限定されるものではない。
【００４０】
各要素の入力には、構成要素情報を参照してドロップダウンリストの内容を表示し、入力を効率化している。たとえば、だれがなど関与者を入力する場合は、入力欄をクリックすると、利用者、管理者といった構成要素種別が関与者である構成要素が、リストアップされそこから選択できる。どこからやどこのなど場所を入力する場合は、同様に、構成要素種別がコンポーネントまたは通信経路である構成要素が、リストアップされそこから選択できる。なにをなど対象物を入力する場合は、構成要素種別がデータやプログラムである構成要素が、リストアップされる。どうするは、分析対象の仕様に依存するため、自由記述としているが、対象物の種別により典型的なパターンをリストアップしてもよい。
【００４１】
図9は、アクセス点情報記憶手段8に格納されているアクセス点情報の、分析レベル１における格納例である。アクセス点ごとに、分析対象で想定される利用方法を示しており、１つのアクセス点に対して、複数の利用方法を関連付けることができる。利用方法は、アクセス点でユニークな識別番号を付与し、アクセス点IDと利用方法の識別番号の組合せで、一つの利用方法が特定されるようにしている。これにより、分析レベル２以降で利用方法の継承を行う際に継承元の利用方法の特定を容易にしている。所属構成要素は、アクセス点IDが示すアクセス点が所属している構成要素の構成要素名称が格納される。図9において、利用方法は、「だれが」、「どこから」、「どこの」、「なにを」、「どうする」、の５つの要素で表現しているが、要素や要素数はこれに限定されるものではない。
【００４２】
図10は、セキュリティ脅威入力手段4が提供する図式言語エディタの表示例である。プロットされたアクセス点ID部分をクリックすることで、アクセス点で想定されるセキュリティ脅威を入力することができる。分析レベル２以上では分析レベル１における分析結果を継承して作成する（後述）。
【００４３】
図11は、アクセス点抽出手段2が提供する図式言語エディタにおいて、アクセス点をクリックした際に表示されるセキュリティ脅威編集手段5の表示例である。入力方法は、基本的にアクセス点入力と同様に行うが、「だれが」に分析対象への攻撃を目的とする「第三者」がリストアップされること、および「どうする」がセキュリティ脅威となるアクションを入力する点が異なる。
【００４４】
図12は、セキュリティ脅威情報記憶手段4に格納されているセキュリティ脅威情報の、分析レベル１における格納例である。アクセス点ごとに、分析対象で想定されるセキュリティ脅威を示しており、１つのアクセス点に対して、複数のセキュリティ脅威を関連付けることができる。セキュリティ脅威は、アクセス点でユニークな識別番号を付与し、アクセス点IDとセキュリティ脅威の識別番号の組合せで、一つのセキュリティ脅威が特定されるようにしている。これにより、分析レベル２以降でセキュリティ脅威の継承を行う際に継承元のセキュリティ脅威の特定を容易にしている。所属構成要素は、アクセス点IDが示すアクセス点が所属している構成要素の構成要素名称が格納される。図12において、セキュリティ脅威は、「だれが」、「どこから」、「どこの」、「なにを」、「どうする」、の５つの要素で表現しているが、要素や要素数はこれに限定されるものではない。
【００４５】
対策実施レベルは、どの分析レベルで対策するかを示すもので、後述のセキュリティ脅威検証支援手段6で使用する。
【００４６】
図13は、セキュリティ脅威検証支援手段6のセキュリティ脅威分類条件設定ウインドウの表示例である。セキュリティ脅威検証支援手段6は、アクセス点に基づいて抽出したセキュリティ脅威を、セキュリティ脅威の要素およびその組合せの観点で分類することによって、設計者がセキュリティ脅威の抽出漏れを発見しやすくする表示を提供する。セキュリティ脅威分類条件設定ウインドウは、セキュリティ脅威のどの要素に基づいて分類するかを設定する。要素は複数選択により、組み合わせて分類することもできる。例えば、「どこの」と「なにを」を分類条件とすると、分析対象上の保護すべき情報資産に基づく分類が可能であり、保護すべき情報資産の観点で、セキュリティ脅威の抽出に漏れが無いかを検証することが容易になる。
【００４７】
図14は、セキュリティ脅威検証支援手段6による図13の分類条件によるセキュリティ脅威の分類結果の表示例である。セキュリティ脅威の要素である、「どこの」と「なにを」により分類されている。この分類結果から、分類条件としなかった、「だれが」、「どこから」、「どうする」を変えた時にそれらがセキュリティ脅威となるかどうかを検証する。
【００４８】
検証支援手段における検証の流れは以下の通り。
【００４９】
同じ分類グループに属する脅威について、構成要素情報の構成要素接続関係と構成要素包含関係を考慮して、抽出されていないセキュリティ脅威の要素の組合せをセキュリティ脅威の候補としてリストアップする。リストアップされたセキュリティ脅威を表示し、適切でないものを設計者がリストから削除する。リストに残った脅威をセキュリティ脅威情報に追加する。以上、すべての分類グループについて繰り返す。
【００５０】
この結果、例えば、文書管理サーバシステム上の文書データに対して、第三者が文書管理システムから破壊・改ざんする、文書管理サーバシステム上の利用者識別データに対して、第三者が外部ネットワークから破壊・改ざんする、文書管理サーバシステム上の文書管理ソフトウェアに対して、第三者が外部ネットワークから破壊・改ざんする、というセキュリティ脅威の抽出漏れが発見できる。
【００５１】
図15は、セキュリティ脅威検証支援手段6により抽出された、３つの新しいセキュリティ脅威が追加された分類結果の表示例である。
【００５２】
図16は、対策実施レベルの分析レベル１における表示例である。対策実施レベル欄は、少なくとも、現分析レベルで対策するか、下位レベルで対策するかを指定できるようにする。下位レベルで対策するとは、不明確な構成要素が存在し、それが明確になった場合にそこで対策するということを示している。実施例では、「○」が現分析レベルで対策する、「△」が下位レベルで対策することを示している。これにより、「○」とした脅威については、下位レベルでの対策が不要となるため、継承の必要がなく、分析レベルを上げることによる爆発的な脅威の継承を抑制する。
【００５３】
図17は、対策実施レベルが設定されたセキュリティ脅威情報である。この状態が、分析レベル１における最終的なセキュリティ脅威である。
【００５４】
図18は、分析対象入力手段1が提供する図式言語エディタの表示例である。文書管理サーバシステム14の内部構成が明確になったため、分析レベル２として分析レベル１と同様に構成要素情報を入力する。内部ネットワーク15、Webサーバ16、Webソフトウェア17、DBサーバ19、DBソフトウェア20の５つの構成要素が、分析レベル２で新たに明確化された構成要素である。分析レベル１における文書管理ソフトウェアは、Webソフトウェア17とDBソフトウェア20として具体化されている。
【００５５】
図19は、構成要素情報記憶手段7に格納される構成要素情報のうち、構成要素定義の、分析レベル２における格納例である。構成要素定義は、 構成要素名称、構成要素種別、構成要素説明から構成される。網掛けした５つの構成要素が、分析レベル２で新規に格納された構成要素である。
【００５６】
図20は、構成要素情報記憶手段7に格納される構成要素情報のうち、構成要素接続関係の、分析レベル２における格納例である。構成要素接続関係は、構成要素名称、接続構成要素から構成されており、構成要素ごとに、どの構成要素が接続されているかという関係を示している。網掛けした５つの構成要素が、分析レベル２で新規に格納された構成要素である。
【００５７】
図21は、構成要素情報記憶手段7に格納される構成要素情報のうち、構成要素包含関係の、分析レベル２における格納例である。構成要素包含関係は、構成要素名称、包含構成要素から構成され、構成要素ごとに、どの構成要素が包含されているかという関係を示している。網掛けした５つの構成要素が、分析レベル２で新規に格納された構成要素である。
【００５８】
図22は、アクセス点抽出手段2が提供する図式言語エディタの表示例である。アクセス点抽出手段2は、追加された構成要素に対するアクセス点の抽出とアクセス点IDの付与を行う。網掛けした５つのアクセス点が、分析レベル２で新規に追加された構成要素に基づいて、抽出されたアクセス点である。
【００５９】
アクセス点の抽出は、以下の手順で行う。
【００６０】
１）新たに追加された構成要素eについて、構成要素eの構成要素種別が、通信経路なら、通信系路上にアクセス点を１つ作成し、コンポーネントなら、コンポーネント上の他の構成要素やアクセス点との接続点、すべてにアクセス点を作成する。
【００６１】
図22において、内部ネットワークの構成要素種別が通信経路なので、通信系路上にアクセス点が１つ作成されている。また、Webサーバ16は、構成要素種別がコンポーネントなので、Webサーバ16上の内部ネットワーク15との接続点、および他のアクセス点であるアクセス点5との接続点に、アクセス点を作成している。DBサーバについても同様に作成できる。
【００６２】
２）新たに追加された構成要素で、アクセス点が抽出されていないものがあれば１）へ
３）終了
新たに抽出されたアクセス点のアクセス点IDは、階層関係を明示できるように次の手順で決定する。
【００６３】
１）新たに追加された構成要素のうち、構成要素種別がコンポーネントと通信経路であるものについて、識別番号（1、2、3、・・・）を付与する。
【００６４】
図22では、Webサーバが1、DBサーバが2、内部ネットワークが3としている。
【００６５】
２）新たに抽出したアクセス点aについて、aと直接または通信経路を介して接続する上位層の構成要素のアクセス点でのIDを取得する。
【００６６】
図22のアクセス点D-1では、通信経路である内部ネットワークを介して接続する文書管理サーバシステムのアクセス点でのアクセス点ID（=D）を取得する。
【００６７】
３）２）で取得したIDと、１）で付与したアクセス点aが所属する構成要素の識別番号を結合して、アクセス点aのアクセス点IDを決定する。
【００６８】
図22のアクセス点D-1では、２）で取得したID（=D）と、Webサーバの識別番号（=1）をハイフンで結合して、「D-1」をアクセス点IDとしている。上記手順により決定したアクセス点IDからは、そのアクセス点の派生元（上位層の）のアクセス点を読み取ることができる。図22のアクセス点D-1は、アクセス点Dから派生したものであることが識別できる。
【００６９】
分析レベル１と同様に、アクセス点をクリックすることによって、アクセス点の利用方法を入力することができる（エディタ表示例による説明は分析レベル１と同様に行われるため省略する）。
【００７０】
図23は、アクセス点情報記憶手段に格納されるアクセス点情報の、分析レベル２における格納例である。ただし、アクセス点D、アクセス点E、およびそれらから派生されたアクセス点以外は、省略してある。新たに追加されたアクセス点に関する利用方法は、上位のアクセス点の利用方法を継承して作成する。アクセス点の利用方法の継承は、以下の手順で行う。
【００７１】
１）上位の分析レベルのアクセス点のうち所属構成要素の順序関係の若いアクセス点aについて、
１−１）アクセス点aの利用方法を、アクセス点Aから派生したアクセス点の利用方法として複製する。アクセス点Dの利用方法を、アクセス点D-1、D-2、D-3の利用方法の利用方法として複製した。
【００７２】
１−２）複製した利用方法について、
１−２−１）「どこから」と「どこの」の部分で、上位の分析レベルのアクセス点の所属構成要素と同じ要素を、複製したアクセス点の所属構成要素で置き換える。
【００７３】
１−２−２）所属構成要素の構成要素種別が、コンポーネントである場合、「どこの」と「なにを」が、構成要素情報の包含関係を満たしていない場合、所属構成要素に含まれる構成要素種別が「プログラム」であるものに置き換え、「どうする」を「使用する」に置き換える。
【００７４】
アクセス点D-１の利用方法（識別番号1）では、変更前「Webサーバの文書データ」となっており、包含関係を満たしていない。このため「なにを」は文書データからWebソフトウェアに置き換えた。順序関係が上位のコンポーネントが存在する場合、「どこから」を上位のコンポーネントに置き換える。
【００７５】
アクセス点D-２の利用方法（識別番号1）では、「どこから」を、上位のコンポーネントであるWebサーバに置き換えた。通信経路である場合、「どうする」を「中継する」に置き換える。
【００７６】
アクセス点D-3の利用方法（識別番号1）では、「どうする」を「中継する」に置き換えた。
【００７７】
１−４）継承の結果、想定される利用方法でないものは削除する。
【００７８】
アクセス点E-2の利用方法（識別番号1）は、継承により「なにを」の「利用者識別データ」が「DBソフトウェア」となるが、DBサーバからDBサーバのDBソフトウェアを使用することはないので削除する。
【００７９】
１−３）他に、複製した利用法が存在する場合は、１−２）へ。
【００８０】
２）他に、上位の分析レベルのアクセス点が存在する場合は、１）へ。
【００８１】
３）終了
図24は、セキュリティ脅威情報記憶手段に格納されるセキュリティ脅威情報の、分析レベル２における格納例である。ただし、アクセス点D、アクセス点E（次ページ）、およびそれらから派生されたアクセス点以外は、省略してある。新たに追加されたアクセス点に関するセキュリティ脅威は、基本的に上位のアクセス点のセキュリティ脅威を継承して作成する。
【００８２】
アクセス点のセキュリティ脅威の継承は、以下の手順で行う。
【００８３】
１）上位の分析レベルのアクセス点のうち所属構成要素の順序関係の若いアクセス点aについて、
１−１）アクセス点aのセキュリティ脅威を、アクセス点aから派生したアクセス点のセキュリティ脅威として複製する。
【００８４】
アクセス点Dのセキュリティ脅威を、アクセス点D-1、D-2、D-3のセキュリティ脅威の利用方法として複製した。
【００８５】
１−２）複製したセキュリティ脅威について、
１−２−１）「どこから」と「どこの」の部分で、上位の分析レベルのアクセス点の所属構成要素と同じ要素を、複製したアクセス点の所属構成要素で置き換える。
【００８６】
１−２−２）所属構成要素の構成要素種別が、コンポーネントである場合、「どこの」と「なにを」が、構成要素情報の包含関係を満たしていない場合、所属構成要素に含まれる構成要素種別が「プログラム」であるものに置き換え、「どうする」を「使用する」に置き換える。
【００８７】
アクセス点D-１のセキュリティ脅威（識別番号1）では、変更前「Webサーバの文書データ」となっており、包含関係を満たしていない。このため「なにを」は文書データからWebソフトウェアに置き換えた。順序関係が上位のコンポーネントが存在する場合、「どこから」を上位のコンポーネントに置き換える。
【００８８】
アクセス点D-２のセキュリティ脅威（識別番号1）では、「どこから」を、上位のコンポーネントであるWebサーバに置き換えた。通信経路である場合、「どうする」を「盗聴する」に置き換える。
【００８９】
アクセス点D-3のセキュリティ脅威（識別番号1）では、「どうする」を「盗聴する」に置き換えた。
【００９０】
１−４）継承の結果、セキュリティ脅威とならないものは削除する。
【００９１】
１−３）他に、複製したセキュリティ脅威が存在する場合は、１−２）へ。
【００９２】
２）他に、上位の分析レベルのアクセス点が存在する場合は、１）へ。
【００９３】
３）終了
図25は、セキュリティ脅威情報記憶手段9に格納されるセキュリティ脅威情報の、分析レベル２における格納例の続きで、アクセス点Eに関連するセキュリティ脅威を示している。以降、セキュリティ脅威入力手段、およびセキュリティ脅威検証支援手段、および対策実施レベル入力手段については、分析レベル１と同様に処理されるため、省略する。
【図面の簡単な説明】
【００９４】
【図１】本発明のセキュリティ分析支援システムの構成を示すブロック図である。
【図２】セキュリティ脅威分析の対象として用いる文書管理システムのシステム構成図である。
【図３】分析対象入力手段1が提供する図式言語エディタの表示例を示す図である。
【図４】構成要素情報記憶手段7に格納されている構成要素情報のうち、構成要素定義の、分析レベル１における格納例を示す図である。
【図５】構成要素情報記憶手段7に格納されている構成要素情報のうち、構成要素接続関係の、分析レベル１における格納例を示す図である。
【図６】構成要素情報記憶手段7に格納されている構成要素情報のうち、構成要素包含関係の、分析レベル１における格納例を示す図である。
【図７】アクセス点抽出手段2が提供する図式言語エディタの表示例を示す図である。
【図８】アクセス点抽出手段2が提供する図式言語エディタにおいて、アクセス点部分をクリックした際のアクセス点利用方法入力手段3の表示例を示す図である。
【図９】アクセス点情報記憶手段8に格納されているアクセス点情報の、分析レベル１における格納例を示す図である。
【図１０】セキュリティ脅威入力手段4が提供する図式言語エディタの表示例を示す図である。
【図１１】アクセス点抽出手段2が提供する図式言語エディタにおいて、アクセス点をクリックした際に表示されるセキュリティ脅威編集手段5の表示例を示す図である。
【図１２】セキュリティ脅威情報記憶手段4に格納されているセキュリティ脅威情報の、分析レベル１における格納例を示す図である。
【図１３】セキュリティ脅威検証支援手段6のセキュリティ脅威分類条件設定ウインドウの表示例を示す図である。
【図１４】セキュリティ脅威検証支援手段6による図13の分類条件によるセキュリティ脅威の分類結果の表示例を示す図である。
【図１５】セキュリティ脅威検証支援手段6により抽出された、３つの新しいセキュリティ脅威が追加された分類結果の表示例を示す図である。
【図１６】対策実施レベルの分析レベル１における表示を示す図である。
【図１７】対策実施レベルが設定されたセキュリティ脅威情報を示す図である。
【図１８】分析対象入力手段1が提供する図式言語エディタの表示例を示す図である。
【図１９】構成要素情報記憶手段7に格納される構成要素情報のうち、構成要素定義の、分析レベル２における格納例を示す図である。
【図２０】構成要素情報記憶手段7に格納される構成要素情報のうち、構成要素接続関係の、分析レベル２における格納例を示す図である。
【図２１】構成要素情報記憶手段7に格納される構成要素情報のうち、構成要素包含関係の、分析レベル２における格納例を示す図である。
【図２２】アクセス点抽出手段2が提供する図式言語エディタの表示例を示す図である。
【図２３】アクセス点情報記憶手段に格納されるアクセス点情報の、分析レベル２における格納例を示す図である。
【図２４】セキュリティ脅威情報記憶手段9に格納されるセキュリティ脅威情報の、分析レベル２における格納例を示す図である。
【図２５】セキュリティ脅威情報記憶手段9に格納されるセキュリティ脅威情報の、分析レベル２における格納例の続きを示す図である。
【符号の説明】
【００９５】
1      分析対象入力手段
2      アクセス点抽出手段
4      セキュリティ脅威入力手段
6      セキュリティ脅威検証支援手段
【図１】
2008234409.tif 000003
【図２】
2008234409.tif 000004
【図３】
2008234409.tif 000005
【図４】
2008234409.tif 000006
【図５】
2008234409.tif 000007
【図６】
2008234409.tif 000008
【図７】
2008234409.tif 000009
【図８】
2008234409.tif 000010
【図９】
2008234409.tif 000011
【図１０】
2008234409.tif 000012
【図１１】
2008234409.tif 000013
【図１２】
2008234409.tif 000014
【図１３】
2008234409.tif 000015
【図１４】
2008234409.tif 000016
【図１５】
2008234409.tif 000017
【図１６】
2008234409.tif 000018
【図１７】
2008234409.tif 000019
【図１８】
2008234409.tif 000020
【図１９】
2008234409.tif 000021
【図２０】
2008234409.tif 000022
【図２１】
2008234409.tif 000023
【図２２】
2008234409.tif 000024
【図２３】
2008234409.tif 000025
【図２４】
2008234409.tif 000026
【図２５】
2008234409.tif 000027