(57)【特許請求の範囲】
【請求項１】
既知の脆弱性情報から、脆弱性を特徴づけるキーワードを抽出するキーワード抽出部と、
前記脆弱性を特徴づけるキーワードと、攻撃に用いられたリクエストに含まれるキーワードとを比較し、前記リクエストに、前記脆弱性を特徴づけるキーワードと同じキーワードが含まれる度合いの高さを示すスコアの値が所定の閾値未満である場合、前記リクエストを、既知の攻撃でもなく、また、既知の攻撃に類似する攻撃でもない0-day攻撃と判定する判定部とを備えることを特徴とする判定装置。
【請求項２】
前記スコアの値は、
前記脆弱性を特徴づけるキーワードの数に対する、前記リクエストに含まれる、前記脆弱性を特徴づけるキーワードと同じキーワードの数の割合であることを特徴とする請求項１に記載の判定装置。
【請求項３】
前記キーワード抽出部は、
前記脆弱性を特徴づけるキーワードを抽出する際、前記既知の脆弱性情報におけるＷｅｂサイトへの攻撃に使用されるリクエストに含まれるURLパス、URLパラメータ、ヘッダ、および、cookieの少なくともいずれかのフィールドから抽出することを特徴とする請求項１に記載の判定装置。
【請求項４】
前記判定部は、
前記キーワードの比較をする際、前記脆弱性を特徴づけるキーワードおよび前記攻撃に用いられたリクエストのキーワードの間で、抽出元のフィールドが同じキーワード同士を比較することを特徴とする請求項３に記載の判定装置。
【請求項５】
前記キーワード抽出部は、
前記脆弱性を特徴づけるキーワードを抽出する際、複数の脆弱性に対する攻撃に共通して使用されるキーワード、または、あらかじめ用意した所定のキーワードを除外することを特徴とする請求項１に記載の判定装置。
【請求項６】
既知の脆弱性情報から、脆弱性を特徴づけるキーワードを抽出するステップと、
前記脆弱性を特徴づけるキーワードと、攻撃に用いられたリクエストに含まれるキーワードとを比較し、前記リクエストに、前記脆弱性を特徴づけるキーワードと同じキーワードが含まれる度合いの高さを示すスコアが所定の閾値未満である場合、前記リクエストを、既知の攻撃でもなく、また、既知の攻撃に類似する攻撃でもない0-day攻撃と判定するステップとを判定装置が実行することを特徴とする判定方法。
【請求項７】
既知の脆弱性情報から、脆弱性を特徴づけるキーワードを抽出するステップと、
前記脆弱性を特徴づけるキーワードと、攻撃に用いられたリクエストに含まれるキーワードとを比較し、前記リクエストに、前記脆弱性を特徴づけるキーワードと同じキーワードが含まれる度合いの高さを示すスコアの値が所定の閾値未満である場合、前記リクエストを、既知の攻撃でもなく、また、既知の攻撃に類似する攻撃でもない0-day攻撃と判定するステップとをコンピュータに実行させることを特徴とする判定プログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、判定装置、判定方法、および、判定プログラムに関する。
【背景技術】
【０００２】
従来のＷｅｂアプリケーションに対する攻撃検知技術や脆弱性判定技術としては、アノマリ検知技術や、脆弱性管理技術等がある。アノマリ検知技術は、事前に正常なアクセスを示すモデルを学習しておき、このモデルとの比較により異常アクセスを検知する技術である。また、脆弱性管理技術は、システムやアプリケーションのバージョン等から脆弱性の有無を判定する技術である。
【先行技術文献】
【特許文献】
【０００３】
【特許文献１】特開２００９−１５５７０号公報
【非特許文献】
【０００４】
【非特許文献１】Christopher  Kruegel,  and  Giovanni  Vigna.  "Anomaly  Detection  of  Web-based  Attacks."  Proceedings  of  the  10th  ACM  conference  on  Computer  and  communications  security.  ACM,  2003.
【非特許文献２】Detecting  Attacks  on  Web  Applications  from  Log  Files,  SANS,  ［平成29年1月17日検索］、インターネット＜URL：https://www.sans.org/reading-room/whitepapers/logging/detecting-attacks-web-applications-log-files-2074＞
【非特許文献３】鐘  揚,  et  al.  "URIの共起性検知に基づくWebスキャンの実態調査"  研究報告セキュリティ心理学とトラスト  (SPT)  社団法人  電子情報通信学会  信学技法  2016.5  (2016):  1-6.
【発明の概要】
【発明が解決しようとする課題】
【０００５】
しかし、アノマリ検知技術により検知される異常アクセスは、0-day攻撃（対策が確立されていない攻撃）の他に、既知の攻撃の亜種の攻撃（対策の確立された攻撃）も含む。したがって、アノマリ検知技術を用いた場合、検知された異常アクセスが、0-day攻撃か否かを判定することはできなかった。また、脆弱性管理技術を用いることで、攻撃が既知の脆弱性に対する攻撃か否かを判定可能だが、0-day攻撃かの判定はできなかった。【０００６】
そのため、例えば、攻撃の検知後、分析官等は、当該攻撃が0-day攻撃か否かの判断を行うところから作業を始めなくてはならず、攻撃に対する対処が遅くなってしまうという問題があった。そこで、本発明は、前記した問題を解決し、攻撃が0-day攻撃か否かの判定を行うことを課題とする。
【課題を解決するための手段】
【０００７】
前記した課題を解決するため、本発明は、既知の脆弱性情報から、脆弱性を特徴づけるキーワードを抽出するキーワード抽出部と、前記脆弱性を特徴づけるキーワードと、攻撃に用いられたリクエストに含まれるキーワードとを比較し、前記リクエストに、前記脆弱性を特徴づけるキーワードと同じキーワードが含まれる度合いの高さであるスコアが所定の閾値未満である場合、前記リクエストを、既知の攻撃でもなく、また、既知の攻撃に類似する攻撃でもない0-day攻撃と判定する判定部とを備えることを特徴とする。
【発明の効果】
【０００８】
本発明によれば、攻撃が0-day攻撃か否かの判定を行うことができる。
【図面の簡単な説明】
【０００９】
【図１】図１は、判定装置の構成例を示した図である。
【図２】図２は、図１の判定装置内の脆弱性情報ＤＢの例を示した図である。
【図３】図３は、図１の判定装置の処理手順の例を示した図である。
【図４】図４は、図１の判定装置の動作例を示した図である。
【図５】図５は、図１の判定装置の動作例を示した図である。
【図６】図６は、判定プログラムを実行するコンピュータを示した図である。
【発明を実施するための形態】
【００１０】
以下、図面を参照しながら、本発明を実施するための形態（実施形態）について説明する。本発明は、本実施形態に限定されない。なお、以下の説明における0-day攻撃とは、既知の攻撃でもなく、既知の攻撃の亜種の攻撃（既知の攻撃に類似する攻撃）でもない攻撃のことを指すものとする。
【００１１】
図１を用いて、本実施形態の判定装置１０の概要を説明する。判定装置１０は、既知の脆弱性に関する情報を収集し、収集した既知の脆弱性に関する情報から、既知の脆弱性を特徴づけるキーワードを抽出し、脆弱性情報ＤＢ（データベース）１３に蓄積しておく。
【００１２】
その後、判定装置１０は、複数のＷｅｂサイトへのアクセスログ（Ｗｅｂアクセスログ）から攻撃となるリクエストを抽出すると、脆弱性情報ＤＢ１３に蓄積された、既知の脆弱性を特徴づけるキーワードとのマッチングを行う。そして、マッチングの結果、当該攻撃が、既知の攻撃でも、既知の攻撃に類似する攻撃でもなければ、判定装置１０は、当該攻撃を0-day攻撃と判定する。一方、マッチングの結果、当該攻撃が、既知の攻撃または既知の攻撃の亜種の攻撃であれば、判定装置１０は、当該攻撃を0-day攻撃と判定しない。
【００１３】
このような判定装置１０は、脆弱性情報収集部１１と、キーワード抽出部１２と、脆弱性情報ＤＢ１３と、攻撃抽出部１４と、0-day攻撃判定部１５とを備える。
【００１４】
脆弱性情報収集部１１は、既知の脆弱性に関する情報を収集する。例えば、脆弱性情報収集部１１は、ＣＶＥ（Common  Vulnerabilities  and  Exposures）などの脆弱性情報ＤＢ、攻撃コードが公開されているＷｅｂサイト、セキュリティベンダのブログ等から、Ｗｅｂアプリケーションに関する脆弱性情報を収集する。
【００１５】
収集する脆弱性情報は、例えば、脆弱性の発見日、公開日、Ｗｅｂアプリケーション名、Ｗｅｂアプリケーションのバージョン、脆弱性の種類、脆弱性が存在するＷｅｂアプリケーションのファイル名、関数名、攻撃に使用されるリクエストに関する情報、検証コード、リファレンス等であるが、これに限らない。
【００１６】
キーワード抽出部１２は、脆弱性情報収集部１１で収集された脆弱性情報から、当該脆弱性を特徴づけるキーワードを抽出する。例えば、キーワード抽出部１２は、脆弱性情報収集部１１で収集された脆弱性情報において、脆弱性に対する攻撃に使用されるリクエストに関する情報あるいは検証コードにおけるリクエストURLパス、URLパラメータ、ヘッダ、Cookie部等から、当該脆弱性を特徴づけるキーワードを抽出する。そして、キーワード抽出部１２は抽出したキーワードを脆弱性情報ＤＢ１３に蓄積する。
【００１７】
例えば、キーワード抽出部１２は、上記の情報あるいは検証コードにおける、リクエストURLパスから「/?&=#」等の記号以外の部分をキーワードとして抽出する。一例を挙げると、キーワード抽出部１２は、http://localhost/wp-content/plugins/wp-mobile-detector/resize.phpというリクエストURLパスから、http://localhost、/を除外し、（wp-content,  plugins,  wp-mobile-detector,  resize.php）をキーワードとして抽出する。
【００１８】
また、例えば、キーワード抽出部１２は、上記の情報あるいは検証コードにおける、リクエストURLパラメータから、URLパラメータ名をキーワードとして抽出する。一例を挙げると、キーワード抽出部１２は、http://localhost/wp-content/plugins/wp-mobile-detector/reisze.php?src=xxxというリクエストURLパラメータから、URLパラメータ名である（src）をキーワードとして抽出する。
【００１９】
また、例えば、キーワード抽出部１２は、上記の情報あるいは検証コードにおける、リクエストヘッダのヘッダ名をキーワードとして抽出する。一例を挙げると、キーワード抽出部１２は、User-Agent:  Firefox,  Accept:  */*,  Host:  www.example.com,  X-APP-ID:  1234というリクエストヘッダから、ヘッダ名である（user-agent,  accept,  host,  x-app-id）をキーワードとして抽出する。
【００２０】
また、例えば、キーワード抽出部１２は、上記の情報あるいは検証コードにおける、リクエストヘッダのリクエストcookie名をキーワードとして抽出する。一例を挙げると、キーワード抽出部１２は、リクエストヘッダのCookie:  wp_user_nonce=1234から、cookie名である（wp_user_nonce）をキーワードとして抽出する。
【００２１】
なお、キーワード抽出部１２は、上記のようにして抽出したキーワードから、一般的な語（例えば、脆弱性に対する攻撃となるリクエスト以外にも頻繁に登場する語）を除外してもよい。例えば、キーワード抽出部１２は、上記の情報あるいは検証コードから抽出したキーワードに対し、ＩＤＦ(Inverse  Document  Frequency)あるいは予め用意した除外フィルタを用いて一般的な語を除外する。
【００２２】
一例を挙げると、キーワード抽出部１２は、リクエストURLパスから抽出したキーワード（wp-content,  plugins,  wp-mobile-detector,  resize.php）から、一般的な語であるpluginsを除外し、(wp-content,  wp-mobile-detector,  resize.php)というキーワードを得る。また、キーワード抽出部１２は、リクエストURLパラメータから抽出したキーワード（src）については、一般的な語が含まれないため(src)のままとする。
【００２３】
さらに、キーワード抽出部１２は、リクエストヘッダから抽出したキーワード(user-agent,  accept,  host,  x-app-id)から、一般的な語であるuser-agent,  accept,  hostを除外し、（x-app-id）というキーワードを得る。さらに、リクエストcookie名から抽出したキーワード（wp_user_nonce）については、一般的な語が含まれないため（wp_user_nonce）のままとする。
【００２４】
脆弱性情報ＤＢ１３は、脆弱性ごとに、当該脆弱性を特徴づけるキーワードを対応付けた情報である。この脆弱性情報ＤＢ１３は、例えば、図２に示すように、脆弱性の識別情報（ＩＤ）と、当該脆弱性を特徴づけるキーワードと、当該脆弱性の内容（例えば、脆弱性の公開日、アプリケーション名、脆弱性のタイプなど）とを対応付けた情報である。図２に示す脆弱性情報ＤＢ１３において、脆弱性（ＩＤ:１）には、当該脆弱性の内容（ＩＤ:１の公開日、アプリケーション名、脆弱性のタイプなど）と、当該脆弱性（ＩＤ:１）を特徴づけるキーワード（キーワード１、キーワード２、…、キーワードＮ）とが対応付けられている。
【００２５】
攻撃抽出部１４は、複数のＷｅｂサイトへのアクセスログ（Ｗｅｂアクセスログ）から、攻撃と判断されるリクエスト（攻撃リクエスト）を抽出する。例えば、攻撃抽出部１４は、アノマリ検知（非特許文献１参照）、HTTPステータスコードによる判定（非特許文献２参照）、リクエストにおけるURIの共起性の検知（非特許文献３参照）等の攻撃検知の手法を、１つまたは複数組み合わせることで攻撃リクエストを抽出する。
【００２６】
なお、アノマリ検知は、学習したリクエストの内容と乖離が大きい場合、攻撃として検知する方法であり、HTTPステータスコードによる判定は、一般にＷｅｂアプリケーションに対する攻撃は失敗となる可能性が高く、失敗した場合、HTTPステータスコードはエラーを表す400から500台になるという性質を利用し、攻撃を検知する方法である。また、リクエストにおけるURIの共起性の検知は、一般にＷｅｂアプリケーションに対する攻撃は複数のＷｅｂサイトに対して実施されるため、各Ｗｅｂサイトに共通したリクエストが現れる可能性が高いという性質を利用し、この共起性の高さから攻撃を検知する方法である。
【００２７】
0-day攻撃判定部１５は、攻撃抽出部１４により攻撃と判断されたリクエストが0-day攻撃か否かを判定し、その判定結果を出力する。具体的には、0-day攻撃判定部１５は、脆弱性情報ＤＢ１３に蓄積される脆弱性を特徴づけるキーワードと、攻撃と判断されたリクエストに含まれるキーワードとを比較し、当該リクエストに、脆弱性を特徴づけるキーワードと同じキーワードが含まれる度合いの高さを示すスコアの値を算出する。そして、0-day攻撃判定部１５は、算出したスコアの値が所定の閾値未満である場合、当該リクエストを0-day攻撃と判定する。一方、算出したスコアの値が所定の閾値以上である場合、0-day攻撃判定部１５は、当該リクエストを既知の脆弱性を狙った攻撃、または当該攻撃の亜種の攻撃と判定する。
【００２８】
一例を挙げる。例えば、脆弱性情報ＤＢ１３に蓄積されている、ある脆弱性に関するキーワードの個数をＮｋ、そのうち、攻撃抽出部１４により攻撃と判断されたリクエストとマッチしたキーワードの個数をＮｍとし、スコアＳ＝Ｎｍ／Ｎｋを算出する。ここで、0-day攻撃判定部１５は、算出したスコアＳが予め定められた閾値Ｔ以上であれば（既知の脆弱性に対する攻撃との類似度が高ければ）、当該リクエストを、そのキーワードらと関連づけられている脆弱性を狙った攻撃と判定する。つまり、0-day攻撃判定部１５は、既知の脆弱性を狙った攻撃、または当該攻撃の亜種の攻撃と判定する。一方、算出したスコアＳが閾値Ｔ未満であれば（既知の脆弱性に対する攻撃との類似度が低ければ）、0-day攻撃判定部１５は、当該リクエストを、既知の脆弱性を狙った攻撃（既知の攻撃）でもなく、また、既知の攻撃の亜種の攻撃でもない、つまり、0-day攻撃と判定する。
【００２９】
なお、0-day攻撃判定部１５が、攻撃と判定されたリクエストに含まれるキーワードと、脆弱性情報ＤＢ１３に蓄積されたキーワードとをマッチング（比較）を行う際には、例えば、同じフィールド（例えば、URLパス、パラメータ、ヘッダ、cookie部等）のキーワード同士でマッチングを行う。例えば、0-day攻撃判定部１５は、攻撃と判断されたリクエストのURLパスから抽出したキーワードと、脆弱性情報ＤＢ１３におけるリクエストのURLパスのキーワードとについてマッチングを行うが、それ以外の部分（例えば、パラメータ、ヘッダ、cookie部等）のキーワードとのマッチングは行わない。
【００３０】
このようにすることで、0-day攻撃判定部１５は、攻撃と判定されたリクエストが0-day攻撃か否かを精度よく判定することができる。
【００３１】
なお、上記のスコアＳの値は、例えば、攻撃と判定されたリクエストにおける、脆弱性情報ＤＢ１３に蓄積されているキーワードと同じキーワードの数（マッチング数）であってもよいし、脆弱性情報ＤＢ１３に蓄積されているキーワードとマッチするキーワードについて、マッチするキーワードの長さも考慮した値であってもよい。
【００３２】
（処理手順）
次に、図３を用いて、判定装置１０の処理手順の例を説明する。なお、事前に脆弱性情報収集部１１は脆弱性情報を収集し、キーワード抽出部１２は、収集された脆弱性情報に基づき、脆弱性情報ＤＢ１３に、各脆弱性を特徴づけるキーワードを蓄積済みであるものとする。また、攻撃抽出部１４は、Ｗｅｂアクセスログ等から、攻撃と判断されるリクエスト（攻撃リクエスト）を抽出済みであるものとする。
【００３３】
図３に示すように、判定装置１０の0-day攻撃判定部１５は、ユーザにより処理停止命令がなく（Ｓ１でＮｏ）、未処理の攻撃リクエストが存在すれば（Ｓ２でＹｅｓ）、リクエストと脆弱性情報ＤＢ１３に含まれる脆弱性の各キーワードとマッチング数を算出する（Ｓ３）。そして、マッチング数が閾値Ｔ以上の脆弱性が存在すれば（Ｓ４でＹｅｓ）、0-day攻撃判定部１５は、攻撃リクエストを当該脆弱性に対する攻撃（既知攻撃）と判定する（Ｓ５）。一方、マッチング数が閾値Ｔ以上の脆弱性が存在しなければ（Ｓ４でＮｏ）、0-day攻撃判定部１５は、攻撃リクエストに該当する既知の攻撃ではなく、0-day攻撃と判定する（Ｓ６）。なお、判定装置１０がユーザにより処理停止命令を受け付けた場合（Ｓ１でＹｅｓ）、Ｓ２〜Ｓ６の処理を実行せず、処理を終了する。また、0-day攻撃判定部１５は、未処理の攻撃リクエストが存在しなかった場合（Ｓ２でＮｏ）、Ｓ１へ戻る。
【００３４】
以上説明した判定装置１０によれば、攻撃が0-day攻撃か否かを精度よく判定することができる。これにより、攻撃の検知後、分析官等は、当該攻撃が0-day攻撃か否かの判断を行う作業を行う必要がなくなるので、分析官等は0-day攻撃の分析に注力できる。その結果、攻撃に対する対処（レスポンス）の効率を向上させることができる。
【００３５】
（判定装置の動作例）
次に、図４および図５を用いて判定装置１０の動作例を説明する。例えば、図４および図５に示すとおり、脆弱性情報収集部１１は、符号４０１に示す脆弱性情報を収集すると、キーワード抽出部１２は、符号４０２に示す３つのキーワード（app1,edit.php,id）を抽出する。そして、キーワード抽出部１２は、脆弱性情報（ＩＤ:１）のキーワードとして、この３つのキーワード（app1,edit.php,id）を脆弱性情報ＤＢ１３に蓄積しているものとする。
【００３６】
その後、図４に示すように、攻撃抽出部１４は、符号４０３に示すＷｅｂアクセスログから、攻撃リクエストとして符号４０４に示すリクエストを抽出した場合を考える。この場合、0-day攻撃判定部１５は、当該攻撃リクエストと、脆弱性情報（ＩＤ:１）の３つのキーワード（app1,edit.php,id）とのマッチングを行うと、閾値Ｔ＝１とした場合、キーワードにマッチした部分が３つあるため、既知の攻撃と判定する。そして、0-day攻撃判定部１５は、「GET  /app1/edit.php?id=1  union  select  @@verion--;」というリクエストについて、脆弱性情報（ＩＤ:１）に示される既知の攻撃という判定結果を出力する。
【００３７】
一方、図５に示すように、攻撃抽出部１４は、符号５０１に示すＷｅｂアクセスログから、攻撃リクエストとして符号５０２に示すリクエストを抽出した場合を考える。この場合、0-day攻撃判定部１５は、当該攻撃リクエストと、脆弱性情報（ＩＤ:１）の３つのキーワード（app1,edit.php,id）とのマッチングを行うと、閾値Ｔ＝１とした場合、キーワードにマッチした部分が０であるため、0-day攻撃と判定する。そして、0-day攻撃判定部１５は、「GET  /app2/register.php?name=a  <script>alert(”xss”);</script>」というリクエストについて、0-day攻撃（脆弱性情報なし）と判定する。
【００３８】
このようにすることで、判定装置１０は、攻撃が0-day攻撃か否かを判定することができる。
【００３９】
（プログラム）
また、上記の実施形態で述べた判定装置１０の機能を実現するプログラムを所望の情報処理装置（コンピュータ）にインストールすることによって実装できる。例えば、パッケージソフトウェアやオンラインソフトウェアとして提供される上記のプログラムを情報処理装置に実行させることにより、情報処理装置を判定装置１０として機能させることができる。ここで言う情報処理装置には、デスクトップ型またはノート型のパーソナルコンピュータが含まれる。また、その他にも、情報処理装置にはスマートフォン、携帯電話機やＰＨＳ（Personal  Handyphone  System）等の移動体通信端末、さらには、ＰＤＡ（Personal  Digital  Assistant）等がその範疇に含まれる。また、判定装置１０を、クラウドサーバに実装してもよい。
【００４０】
以下に、上記のプログラム（判定プログラム）を実行するコンピュータの一例を説明する。図６は、判定プログラムを実行するコンピュータを示す図である。図６に示すように、コンピュータ１０００は、例えば、メモリ１０１０と、ＣＰＵ（Central  Processing  Unit）１０２０と、ハードディスクドライブインタフェース１０３０と、ディスクドライブインタフェース１０４０と、シリアルポートインタフェース１０５０と、ビデオアダプタ１０６０と、ネットワークインタフェース１０７０とを有する。これらの各部は、バス１０８０によって接続される。
【００４１】
メモリ１０１０は、ＲＯＭ（Read  Only  Memory）１０１１およびＲＡＭ（Random  Access  Memory）１０１２を含む。ＲＯＭ１０１１は、例えば、ＢＩＯＳ（Basic  Input  Output  System）等のブートプログラムを記憶する。ハードディスクドライブインタフェース１０３０は、ハードディスクドライブ１０９０に接続される。ディスクドライブインタフェース１０４０は、ディスクドライブ１１００に接続される。ディスクドライブ１１００には、例えば、磁気ディスクや光ディスク等の着脱可能な記憶媒体が挿入される。シリアルポートインタフェース１０５０には、例えば、マウス１１１０およびキーボード１１２０が接続される。ビデオアダプタ１０６０には、例えば、ディスプレイ１１３０が接続される。
【００４２】
ここで、図６に示すように、ハードディスクドライブ１０９０は、例えば、ＯＳ１０９１、アプリケーションプログラム１０９２、プログラムモジュール１０９３およびプログラムデータ１０９４を記憶する。前記した実施形態で説明した各種データや情報は、例えばハードディスクドライブ１０９０やメモリ１０１０に記憶される。
【００４３】
そして、ＣＰＵ１０２０が、ハードディスクドライブ１０９０に記憶されたプログラムモジュール１０９３やプログラムデータ１０９４を必要に応じてＲＡＭ１０１２に読み出して、上述した各手順を実行する。
【００４４】
なお、判定プログラムに係るプログラムモジュール１０９３やプログラムデータ１０９４は、ハードディスクドライブ１０９０に記憶される場合に限られず、例えば、着脱可能な記憶媒体に記憶されて、ディスクドライブ１１００等を介してＣＰＵ１０２０によって読み出されてもよい。あるいは、判定プログラムに係るプログラムモジュール１０９３やプログラムデータ１０９４は、ＬＡＮ（Local  Area  Network）やＷＡＮ（Wide  Area  Network）等のネットワークを介して接続された他のコンピュータに記憶され、ネットワークインタフェース１０７０を介してＣＰＵ１０２０によって読み出されてもよい。
【符号の説明】
【００４５】
１０    判定装置
１１    脆弱性情報収集部
１２    キーワード抽出部
１３    脆弱性情報ＤＢ
１４    攻撃抽出部
１５    0-day攻撃判定部
【図１】
0006691240.tif 000002
【図２】
0006691240.tif 000003
【図３】
0006691240.tif 000004
【図４】
0006691240.tif 000005
【図５】
0006691240.tif 000006
【図６】
0006691240.tif 000007