(57)【要約】　　　（修正有）【課題】ユーザのコンピュータシステムのセキュリティ脆弱性情報と、不正アクセスに関する不正アクセス情報と、を併せてユーザに提供する。【解決手段】情報配信側ネットワーク３０とユーザ組織ネットワーク４０とを有する。ユーザ組織ネットワークは、不正アクセスシグニチャを受信して不正アクセスシグニチャファイル４３ａに登録する一方、この不正アクセスシグニチャとリスク管理対象サーバ４２，４６へのアクセスパケットとを比較して不正アクセスを検出し、セキュリティ脆弱性情報マスタデータベース３３ａからセキュリティ脆弱性情報を抽出してセキュリティ脆弱性情報データベース４５ａに登録する一方、このセキュリティ脆弱性情報のうち、リスク管理対象サーバの属性およびユーザの属性によりカスタマイズされた情報および上記不正アクセス検出結果情報を提供可能に管理するセキュリティリスク管理サーバ４５と、をそれぞれ備えている。【選択図】　図１
2004054706.tif 000002
【特許請求の範囲】
【請求項１】
セキュリティホール情報を含むセキュリティ脆弱性情報を登録したセキュリティ脆弱性情報マスタデータベース、このマスタデータベースの上記セキュリティ脆弱性情報を送信するセキュリティ脆弱性情報提供手段、不正アクセスシグニチャを含む不正アクセスに関する不正アクセス事象情報を登録した不正アクセスシグニチャマスタファイル、このマスタファイルの上記不正アクセスシグニチャを送信する不正アクセスシグニチャ提供手段を有する情報提供システムと、
インターネットに双方向データ通信自在に接続されてリスク管理の対象となるリスク管理対象サーバ、上記不正アクセスシグニチャマスタファイルから不正アクセスを検出するための上記不正アクセスシグニチャを受信して不正アクセスシグニチャファイルに登録する一方、この不正アクセスシグニチャと上記リスク管理対象サーバへのアクセスパケットとを比較して不正アクセスを検出する不正アクセス監視サーバ、この監視サーバにより検出した不正アクセスの検出結果を記録する不正アクセス監視記録手段、上記リスク管理対象サーバのホストの属性およびユーザの属性に関する情報を登録したユーザ／ホスト情報管理データベース、上記セキュリティ脆弱性情報手段から上記セキュリティ脆弱性情報マスタデータベースの上記セキュリティ脆弱性情報を受信してセキュリティ脆弱性情報データベースに登録する一方、このセキュリティ脆弱性情報のうち、上記ユーザ／ホスト情報管理データベースから抽出した上記リスク管理対象サーバのホスト属性およびユーザの属性によりカスタマイズされたセキュリティ脆弱性情報および上記不正アクセス検出結果情報を提供可能に管理するセキュリティリスク管理手段をそれぞれ備えたユーザ側コンピュータシステムと、
を具備していることを特徴とするセキュリティリスク管理システム。
【請求項２】
上記セキュリティ脆弱性情報提供手段および不正アクセスシグニチャ提供手段は、所定時間毎または所要のインシデントが発生したときに、上記セキュリティ脆弱性情報マスタデータベースに登録されているセキュリティ脆弱性情報と、上記不正アクセスシグニチャマスタファイルに登録されている不正アクセス事象情報の少なくとも一方を、セキュリティ脆弱性情報データベースと不正アクセスシグニチャファイルの少なくとも一方に送信し、このセキュリティ脆弱性情報データベースと上記セキュリティ脆弱性情報マスタデータベースとにそれぞれ登録されているセキュリティ脆弱性情報と、上記不正アクセスシグニチャファイルと上記不正アクセスシグニチャマスタファイルとにそれぞれ登録されている不正アクセス関連情報との少なくとも一方がそれぞれ一致するように自動更新する更新手段を、
備えていることを特徴とする請求項１記載のセキュリティリスク管理システム。
【請求項３】
上記セキュリティリスク管理手段は、上記リスク管理対象サーバのセキュリティレベルの閲覧を要求している端末に対してこの管理対象サーバのセキュリティレベルを定量化し、その端末の表示部に定量的に表示する表示手段を、
備えていることを特徴とする請求項１または２記載のセキュリティリスク管理システム。
【請求項４】
上記表示手段は、セキュリティ脆弱性情報と不正アクセス情報の少なくとも一方を表示する表示画面を複数の閲覧権限に応じて変えて表示する表示手段を備えていることを特徴とする請求項３記載のセキュリティリスク管理システム。
【請求項５】
上記不正アクセスシグニチャマスタファイルは、その登録する不正アクセスシグニチャが不正アクセスで使用するセキュリティホールが同一であるときに、このセキュリティホール情報を含むセキュリティ脆弱性情報の情報識別子と同一の識別子を登録する手段を、
備えていることを特徴とする請求項１〜４のいずれか１項に記載のセキュリティリスク管理システム。
【請求項６】
セキュリティホール情報を含むセキュリティ脆弱性情報をセキュリティ脆弱性情報マスタデータベースに登録する一方、このマスタデータベースの上記セキュリティ脆弱性情報を送信するセキュリティ脆弱性情報提供手順と、
不正アクセスシグニチャを含む不正アクセスに関する不正アクセス事象情報を不正アクセスシグニチャマスタファイルに登録する一方、このマスタファイルの上記不正アクセスシグニチャを送信する不正アクセスシグニチャ提供手順と、上記不正アクセスシグニチャマスタファイルから不正アクセスを検出するための上記不正アクセスシグニチャを受信して不正アクセスシグニチャファイルに登録する手順と、
この不正アクセスシグニチャファイル内の不正アクセスシグニチャと、インターネットに双方向データ通信自在に接続されてリスク管理の対象となるリスク管理対象サーバへのアクセスパケットとを不正アクセス監視サーバにより比較して不正アクセスを監視する手順と、
この監視サーバにより検出した不正アクセスの検出結果を不正アクセス監視記録に記録する手順と、
上記リスク管理対象サーバのホストの属性およびユーザの属性に関する情報をユーザ／ホスト情報管理データベースに登録する手順と、
上記セキュリティ脆弱性情報提供手段から上記セキュリティ脆弱性情報マスタデータベースの上記セキュリティ脆弱性情報を受信してセキュリティ脆弱性情報データベースに登録する一方、このセキュリティ脆弱性情報のうち、上記ユーザ／ホスト情報管理データベースから抽出した上記リスク管理対象サーバのホスト属性およびユーザの属性によりカスタマイズされた情報および上記不正アクセス検出結果情報をセキュリティリスク管理手段により提供可能に管理する手順と、をコンピュータに実行させるためのプログラム。
【請求項７】
請求項６に記載されたプログラムを、
上記セキュリティ脆弱性情報提供手順および上記不正アクセスシグニチャ提供手順と、
上記不正アクセスシグニチャファイルに登録する手順および上記不正アクセス監視サーバにより監視する手順と、
上記不正アクセス検出結果を不正アクセス監視記録手段により不正アクセス監視記録手段に記録する手順から上記カスタマイズされた上記セキュリティ脆弱性情報と不正アクセス検出結果情報をセキュリティリスク管理手段により提供可能に管理する手順までの手順と、
にそれぞれ分割したプログラムをそれぞれ記録した記録媒体。
【発明の詳細な説明】
【０００１】
【発明の属する技術分野】
この発明は、インターネット等の外部ネットワークに接続されたコンピュータシステムのセキュリティリスクを管理するためのセキュリティリスク管理システム、そのプログラムおよび記録媒体に係り、特に、ソフトウエアのセキュリティ脆弱性情報と不正アクセスシグニチャ（不正アクセスパターン）とを共に提供し、リスク管理対象のコンピュータシステムのセキュリティリスクを管理する管理システム、そのプログラムおよび記録媒体に関する。
【０００２】
【従来の技術】
近年の情報技術の普及によりネットワークを利用した情報通信社会においては、インターネット等の外部ネットワークに接続された会社等所要組織のコンピュータシステムは、外部ネットワークからの不正アクセスにより侵入される脅威に晒されており、コンピュータシステムのサービス妨害、内部データの改竄等の行為も社会問題化している。これらは、情報通信ネットワークに接続されたコンピュータシステムの基本ソフトウエア（以下、ＯＳと称する）あるいはアプリケーションソフトのソフトウエア脆弱性を利用して行なわれている。
【０００３】
さらに、近年はこのような外部ネットワークから直接的に侵入する不正アクセスによる問題だけではなく、ファイアウォールを通過するコンピュータウィルスの侵入によってコンピュータシステムが有する固有のソフトウエア脆弱性を冒し、大きなセキュリティ被害をもたらす問題点が存在する。なお、ここで、コンピュータシステムのソフトウエア脆弱性とはセキュリティホールをいう。
【０００４】
従来、このようなコンピュータシステム上の問題の可能性を監査する方法としては、情報通信に係わる多種類のセキュリティの脅威に対するコンピュータシステム上の問題点を人的に監査し調査する手段、あるいは、検査用ソフトウエアによるＯＳあるいはアプリケーションソフトウエアのセキュリティホールを検出し監査する手段、さらに外部ネットワークからの不正アクセスを監視する手段が知られている。
【０００５】
いずれも、これらの方法は、セキュリティ脆弱性収集について専門的な知識を有する専門オペレータが行なうものとされている。
【０００６】
しかしながら、従来のこのようなセキュリティ監査の手段においては、コンピュータシステムのＯＳあるいはアプリケーションソフトのセキュリティホールに関して、監査する時点での問題個所を組織内のユーザに対して指摘するだけの時点情報提供機能に留まっている。このため、監査する間隔が時間的に不定期であれば、再度の監査までの間、ＯＳあるいはアプリケーションソフトに新たに発見されたセキュリティホールに対する回避対策が遅延することにより、組織内コンピュータシステムの潜在的かつ本質的なセキュリティリスクが高まるだけでなく、コンピュータシステムのセキュリティホールの管理と予防的対策を講じることができないため、組織内セキュリティが十分に担保されない問題点があった。
【０００７】
また、不正アクセスをリアルタイムに常時監視する手段は、組織内に存在するコンピュータシステムのＯＳあるいはアプリケーションが潜在的に有するセキュリティホールの有無を問わず、外部ネットワークから及ぼされる時点で自明な不正アクセスパターン（以下、不正アクセスシグニチャと称する）のみを組織内部のネットワーク経路上で監視検知するものであり、この手段を使用したとしても、本質的に存在するコンピュータシステム自身のＯＳあるいはアプリケーションのセキュリティホールを検出するものではないので、組織内コンピュータシステムのセキュリティ脆弱性時点情報に関してのリアルタイム認知性を得ることができないという問題があった。
【０００８】
本来、コンピュータシステムのセキュリティ強度を常に確保するためには、セキュリティ監査によるセキュリティホールの検出並びに不正アクセス監視だけではなく、組織内で使用している様々なコンピュータシステムに対して、日々新たに顕在化したＯＳあるいはアプリケーションのセキュリティホールをいち早く認識し、その存在する箇所に予防的措置を講じることがコンピュータシステムの本質的なセキュリティリスク低減においては、特に重要である。
【０００９】
しかしながら、上述のように定期的な人的操作手法によるセキュリティ監査手段だけでは、その検査時点におけるコンピュータシステムのセキュリティ脆弱性情報把握のみであるために、その後新たに発生する脆弱性問題認知への時間的な空白域が必ず存在する状況にあった。
【００１０】
また不正アクセス監視手段においても、日々新たに顕在化するＯＳあるいはアプリケーションのセキュリティホールを検出する機能がないため、従来は、組織内でユーザが利用するコンピュータシステム自身に対して、常に新規発見されるセキュリティに関する脆弱性情報を自動的に反映したソフトウエア脆弱性に関するリアルタイム定点監視並びに多数のコンピュータシステムのセキュリティリスクの効率的管理が難しい状況であった。
【００１１】
上記の機能を実現するためには、多種多様なＯＳ並びにアプリケーションに対して毎日発見されるソフトウエアのセキュリティホールに関する情報のデータベースの作成および更新、並びにそのデータベース上のＯＳおよびアプリケーション毎に分類されたコンテンツと組織内に存在するコンピュータシステム種別との情報結合を機構的に自動化し、その情報のリアルタイム操作性を確保することが必要である。
【００１２】
これらの機能性の中で、従来から実現されている機能は、セキュリティ情報提供会社が行なう情報データベースの作成とその情報配信のみであり、この情報コンテンツを能動的に組織内のユーザが管理するコンピュータシステム情報と連結して、コンピュータシステムのセキュリティリスクの管理と予防的対策のための管理システムとして機能している事例は存在しない。
【００１３】
一般に、セキュリティ情報提供会社が行なうセキュリティに関する最新セキュリティホール情報を専門的に配信するサービスでは、情報提供媒体としてインターネットを利用している。情報を必要とするユーザはＷＷＷによる閲覧形式による情報入手か、あるいは、電子メールによる情報の要約配信サービスを受けているに過ぎない。
【００１４】
したがって、ユーザは目的とするＯＳ並びにアプリケーションのセキュリティホール情報に関しては、インターネット上に存在する情報を能動的に検索しなければならない状況である。さらに、電子メールにて目的情報を受け取ったとしても、利用者が管理しているコンピュータシステムの脆弱性状況と容易に関連づけることができないという課題がある。
【００１５】
すなわち、ユーザが管理するコンピュータシステムが多数であればあるほどセキュリティリスク管理が煩雑となり、個々のコンピュータシステムの脆弱性状況を日々更新し把握、管理するためには、最新のセキュリティホール情報とそれに対応するコンピュータシステムのＯＳ並びにアプリケーションソフトを自動的に対応づけて、さらにその脆弱度の定量的指標を与える手段並びにシステムが必要となるが、このようなシステムは未だ知られていない。
【００１６】
つまり、従来の組織内コンピュータシステムのセキュリティ脆弱性への対策と管理、並びに防御手段としては、上述したように、不定期な人的操作手法によるセキュリティ監査から得られる該コンピュータシステムのＯＳあるいはアプリケーションのセキュリティ脆弱性の静的時点情報（以下、静的ローカル情報と称する）に依存するか、あるいは、不正アクセスの常時監視による不正アクセス動向の動的時点情報（以下、動的外部要因情報と称する）に依存したものとなっている。最新のＯＳ並びにアプリケーションソフトのセキュリティホール情報を反映したコンピュータシステム管理情報（以下、最新脆弱性管理情報と称する）に依存する形態は未だ実現できていない。
【００１７】
さらに、従来は、「静的ローカル情報」と「動的外部要因情報」は非同期に得られるものであり、ユーザにとって組織内のセキュリティリスクの度合いを判断する際の静的かつ動的な多次元情報の同時把握と言う観点では、難しい側面があった。
【００１８】
【発明が解決しようとする課題】
上述したような従来の方法によりネットワークに接続されたコンピュータシステムのセキュリティ監査方法と管理方法とに頼るだけでは、組織内のコンピュータシステムに対して、常に最新のセキュリティホール情報を反映した管理ができないと言う課題があった。
【００１９】
また、最新のセキュリティホール情報を能動的に組織内のユーザが管理するコンピュータシステム種別との情報結合を機構的にできなかったため、その管理の自動化ができず、組織内の管理すべきコンピュータシステムが増加した場合、そのセキュリティレベルの維持管理並びにそのリスク管理に多大な作業が発生するという問題がある。
【００２０】
さらに、組織内セキュリティリスクのリアルタイム管理と予防的対策を行なうための実効的な管理に必要となる、組織内コンピュータシステムの「最新脆弱性管理情報」と組織に対するリアルタイムな不正アクセス状況を示す「動的外部要因情報」等の複数の情報の関連づけができなかったため、多次元情報の一元化ができず、的確かつ即時的な状況把握並びに対応ができないと言う問題点がある。
【００２１】
そこで、本発明は、このような事情を考慮してなされたもので、その目的は、ユーザのコンピュータシステムにカスタマイズされたセキュリティ脆弱性情報と、ユーザのコンピュータシステムに不正アクセスされた不正アクセス情報とを併せてユーザに提供するセキュリティリスク管理方法システム、そのプログラムおよび記録媒体を提供することにある。
【００２２】
【課題を解決するための手段】
本発明は上記課題を解決するために次のように構成される。
【００２３】
すなわち本願請求項１に係る発明は、セキュリティホール情報を含むセキュリティ脆弱性情報を登録したセキュリティ脆弱性情報マスタデータベース、このマスタデータベースの上記セキュリティ脆弱性情報を送信するセキュリティ脆弱性情報提供手段、不正アクセスシグニチャを含む不正アクセスに関する不正アクセス情報を登録した不正アクセスシグニチャマスタファイル、このマスタファイルの上記不正アクセスシグニチャを送信する不正アクセスシグニチャ提供手段を有する情報提供システムと、インターネットに双方向データ通信自在に接続されてリスク管理の対象となるリスク管理対象サーバ、上記不正アクセスシグニチャマスタファイルから不正アクセスを検出するための上記不正アクセスシグニチャを受信して不正アクセスシグニチャファイルに登録する一方、この不正アクセスシグニチャと上記リスク管理対象サーバへのアクセスパケットとを比較して不正アクセスを検出する不正アクセス監視サーバ、この監視サーバにより検出した不正アクセスの検出結果を記録する不正アクセス監視記録手段、上記リスク管理対象サーバのホストの属性およびユーザの属性に関する情報を登録したユーザ／ホスト情報管理データベース、上記セキュリティ脆弱性情報手段から上記セキュリティ脆弱性情報マスタデータベースの上記セキュリティ脆弱性情報を受信してセキュリティ脆弱性情報データベースに登録する一方、このセキュリティ脆弱性情報のうち、上記ユーザ／ホスト情報管理データベースから抽出した上記リスク管理対象サーバのホスト属性およびユーザの属性によりカスタマイズされたセキュリティ脆弱性情報および上記不正アクセス検出結果情報を提供可能に管理するセキュリティリスク管理手段をそれぞれ備えたユーザ側コンピュータシステムと、を具備していることを特徴とするセキュリティリスク管理システムである。
【００２４】
請求項２に係る発明は、上記セキュリティ脆弱性情報提供手段および不正アクセスシグニチャ提供手段は、所定時間毎または所要のインシデントが発生したときに、上記セキュリティ脆弱性情報マスタデータベースに登録されているセキュリティ脆弱性情報と、上記不正アクセスシグニチャマスタファイルに登録されている不正アクセス事象情報の少なくとも一方を、セキュリティ脆弱性情報データベースと不正アクセスシグニチャファイルの少なくとも一方に送信し、このセキュリティ脆弱性情報データベースと上記セキュリティ脆弱性情報マスタデータベースとにそれぞれ登録されているセキュリティ脆弱性情報と、上記不正アクセスシグニチャファイルと上記不正アクセスシグニチャマスタファイルとにそれぞれ登録されている不正アクセス事象情報との少なくとも一方がそれぞれ一致するように自動更新する更新手段を、備えていることを特徴とする請求項１記載のセキュリティリスク管理システムである。
【００２５】
なお、ここで所要のインシデントの発生とは情報提供システム側がユーザ側コンピュータシステムへ緊急に提供すべき重要なセキュリティ脆弱性情報または不正アクセスシグニチャ関連情報に関するインシデントが発生したことを情報源から入手したとき等を示す。
【００２６】
請求項３に係る発明は、上記セキュリティリスク管理手段は、上記リスク管理対象サーバのセキュリティレベルの閲覧を要求している端末に対してこの管理対象サーバのセキュリティレベルを定量化し、その端末の表示部に定量的に表示する表示手段を、備えていることを特徴とする請求項１または２記載のセキュリティリスク管理システムである。
【００２７】
請求項４に係る発明は、上記表示手段は、セキュリティ脆弱性情報と不正アクセス情報の少なくとも一方を表示する表示画面を複数の閲覧権限に応じて変えて表示する表示手段を備えていることを特徴とする請求項３記載のセキュリティリスク管理システムである。
【００２８】
請求項５に係る発明は、上記不正アクセスシグニチャマスタファイルは、その登録する不正アクセスシグニチャが不正アクセスで使用するセキュリティホールが同一であるときに、このセキュリティホール情報を含むセキュリティ脆弱性情報の情報識別子と同一の識別子を登録する手段を、備えていることを特徴とする請求項１〜４のいずれか１項に記載のセキュリティリスク管理システムである。
【００２９】
請求項６に係る発明は、セキュリティホール情報を含むセキュリティ脆弱性情報をセキュリティ脆弱性情報マスタデータベースに登録する一方、このマスタデータベースの上記セキュリティ脆弱性情報を送信するセキュリティ脆弱性情報提供手順と、不正アクセスシグニチャを含む不正アクセスに関する不正アクセス事象情報を不正アクセスシグニチャマスタファイルに登録する一方、このマスタファイルの上記不正アクセスシグニチャを送信する不正アクセスシグニチャ提供手順と、上記不正アクセスシグニチャマスタファイルから不正アクセスを検出するための上記不正アクセスシグニチャを受信して不正アクセスシグニチャファイルに登録する手順と、この不正アクセスシグニチャファイルから抽出した不正アクセスシグニチャと、インターネットに双方向データ通信自在に接続されてリスク管理の対象となるリスク管理対象サーバへのアクセスパケットとを不正アクセス監視サーバにより比較して不正アクセスを監視する手順と、この監視サーバにより検出した不正アクセスの検出結果を不正アクセス監視記録に記録する手順と、上記リスク管理対象サーバのホストの属性およびユーザの属性に関する情報をユーザ／ホスト情報管理データベースに登録する手順と、上記セキュリティ脆弱性情報提供手段から上記セキュリティ脆弱性情報マスタデータベースの上記セキュリティ脆弱性情報を受信してセキュリティ脆弱性情報データベースに登録する一方、このセキュリティ脆弱性情報のうち、上記ユーザ／ホスト情報管理データベースから抽出した上記リスク管理対象サーバのホスト属性およびユーザの属性によりカスタマイズされた情報および上記不正アクセス検出結果情報をセキュリティリスク管理手段により提供可能に管理する手順と、をコンピュータに実行させるためのプログラムである。
【００３０】
請求項７に係る発明は、請求項６に記載されたプログラムを、上記セキュリティ脆弱性情報提供手順および上記不正アクセスシグニチャ提供手順と、上記不正アクセスシグニチャファイルに登録する手順および上記不正アクセス監視サーバにより監視する手順と、上記不正アクセス検出結果を不正アクセス監視記録手段により不正アクセス監視記録手段に記録する手順から上記カスタマイズされた上記セキュリティ脆弱性情報と不正アクセス検出結果情報をセキュリティリスク管理手段により提供可能に管理する手順までの手順と、にそれぞれ分割したプログラムをそれぞれ記録した記録媒体である。
【００３１】
【発明の実施の形態】
以下、本発明の実施形態を図面を参照して説明する。なお、図中同一または相当部分には同一符号を付している。
【００３２】
図１は本発明の一実施形態に係るセキュリティリスク管理システム１の全体構成を示すブロック図である。この図１に示すように、セキュリティリスク管理システム１は、インターネット１０にそれぞれ双方向データ通信自在に接続されたセキュリティ脆弱性情報等コンピュータセキュリティに関連したセキュリティ関連情報の情報源であるセキュリティ関連情報ウェブサイト２０およびセキュリティ関連情報メーリングリスト２１と、セキュリティ脆弱性情報等をユーザに提供する情報提供システムの一例である情報配信側ネットワーク３０と、この情報配信側ネットワーク３０からセキュリティ脆弱性情報等の提供を受ける会社等ユーザ側のコンピュータシステムの一例である１以上のユーザ組織ネットワーク４０と、を備えている。
【００３３】
上記情報源のセキュリティ関連情報サイト２０およびセキュリティ関連情報メーリングリスト２１は主に種々のコンピュータのハードウエアやソフトウエアのメーカ、その関連事業者、コンピュータセキュリティ情報提供者等が種々のコンピュータのハードウエアや、ＯＳ（オペレーションシステム）を含む種々のソフトウエアについてセキュリティ脆弱性に関連した情報およびセキュリティ関連ニュースと、不正アクセスシグニチャ（不正アクセスパターン）に関する不正アクセス情報等のセキュリティに関連する情報をインターネット１０等を介して公表ないし提供しており、これら情報の多くは英語である。なお、ここでセキュリティ脆弱性とはセキュリティホールをいい、セキュリティ関連情報とはセキュリティホール情報とセキュリティ関連ニュース情報とを含み、セキュリティ脆弱性情報ともいう。
【００３４】
そして、情報配信側ネットワーク３０は、例えばセキュリティ脆弱性情報と不正アクセス関連情報を複数の会社等のユーザ（顧客）に提供する会社等の組織のコンピュータネットワークであり、インターネット１０を介してユーザ組織ネットワーク４０と双方向データ通信自在に構成されている。すなわち、情報配信側ネットワーク３０はインターネット１０に双方向データ通信自在に接続されたルータ３１と、このルータ３１に内部ネットワークのＬＡＮ３２を介して双方向データ通信自在にそれぞれ接続されたセキュリティ脆弱性情報提供サーバ３３および不正アクセスシグニチャ提供サーバ３４と、を備えている。
【００３５】
セキュリティ脆弱性情報提供サーバ３３は、セキュリティ脆弱性情報を管理し、かつユーザ組織ネットワーク４０へセキュリティ脆弱性情報を配信するためのプログラムを実行するＣＰＵ（中央処理装置）と、セキュリティ脆弱性情報を登録し蓄積するセキュリティ脆弱性情報マスタデータベース３３ａを備えている。
【００３６】
一方、不正アクセスシグニチャ提供サーバ３４は、不正アクセスシグニチャを管理し、かつユーザ組織ネットワーク４０へ配信するためのプログラムを実行するＣＰＵと、不正アクセスシグニチャを登録し蓄積する不正アクセスシグニチャマスタファイル３４ａを備えている。
【００３７】
次の表１はセキュリティ脆弱性情報マスタデータベース３３ａに登録されるセキュリティホール情報登録項目の一例を示し、表２はセキュリティ脆弱性情報マスタデータベース３３ａに登録されるセキュリティ関連ニュース情報登録項目の例を示している。
【００３８】
【表１】
2004054706.tif 000003
【００３９】
【表２】
2004054706.tif 000004
【００４０】
上記セキュリティ脆弱性情報とセキュリティ関連情報は、それら情報収集の専門家である情報収集オペレータにより所要の端末を使用してセキュリティ関連情報ウェブサイト２０とセキュリティ関連情報メーリングリスト２１から収集され、セキュリティ脆弱性情報マスタデータベース３３ａに登録される。また、不正アクセスの監視のために使用される不正アクセスシグニチャ（不正アクセスパターン）もオペレータにより端末を使用してセキュリティ関連情報ウェブサイト２０とセキュリティ関連情報メーリングリスト２１から収集され、不正アクセスシグニチャマスタファイル３４ａに登録される。
【００４１】
こうして情報源から収集されたセキュリティ脆弱性情報は、多くが英語であるので、これを日本語に翻訳し、必要かつ有用な情報を付加してセキュリティ脆弱性情報マスタデータベース３３ａに登録される。また、こうして収集された不正アクセスシグニチャについても、オペレータや専門のアナリストによりその内容が検証され、不正アクセスシグニチャマスタファイル３４ａに追加登録される。
これらの登録作業はオペレータやアナリスト等による人的作業となる。
【００４２】
しかし、セキュリティ脆弱性情報提供サーバ３３はセキュリティ脆弱性情報マスタデータベース３３ａの管理とユーザ組織ネットワーク４０への配信については自動的に行なう自動管理，配信機能を有し、不正アクセスシグニチャ提供サーバ３４についても不正アクセスシグニチャマスタファイル３４ａの管理とユーザ組織ネットワーク４０への配信について自動的に行なう機能を備えている。
【００４３】
一方、上記ユーザ組織ネットワーク４０はインターネット１０に接続されたルータ４０ａ、このルータ４０ａに接続されたファイアウォール４１、このファイアウォール４１にそれぞれ設けた非武装セグメント（Ｄｅ−Ｍｉｌｉｔａｒｉｚｅｄ　Ｚｏｎｅ：ＤＭＺ）４１ａと内部ネットワーク４１ｂとを備えている。
【００４４】
また、この非武装セグメント４１ａには一つ以上のリスク管理対象サーバ４２、不正アクセス監視サーバ４３を接続している。この不正アクセス監視サーバ４３には、ユーザ組織ネットワーク４０に不正にアクセスしてきた不正アクセスを常時監視するための実行プログラムおよびデータベース管理システムを実行する中央処理装置（ＣＰＵ）、その記憶部として不正アクセスシグニチャ（パターン）を登録する不正アクセスシグニチャファイル４３ａ、監視ログデータベース４３ｂを備えている。監視ログデータベース４３ｂには、リスク管理対象サーバ４２に対する不正アクセスの検出結果や履歴、事象等が不正アクセス監視サーバ４３により記録される。
【００４５】
一方、内部ネットワーク４１ｂには、ＷＷＷサーバ４４、セキュリティリスク管理サーバ４５、一つ以上のリスク管理対象サーバ４６およびＰＣ端末４７とを備えている。
【００４６】
このセキュリティリスク管理サーバ４５には、セキュリティリスク管理を実現するプログラムおよびデータベース管理システムを実行する中央処理装置（ＣＰＵ）、その記憶部としてのセキュリティ脆弱性情報データベース４５ａ、ユーザ／ホスト情報管理データベース４５ｂを備えている。
【００４７】
セキュリティ脆弱性情報データベース４５ａは情報配信側ネットワーク３０のセキュリティ脆弱性情報マスタデータベース３３ａに登録蓄積されているデータ内容の自動的同期処理を実行する機能を有する。すなわち、セキュリティ脆弱性情報データベース４５ａは情報配信側ネットワーク３０側のセキュリティ脆弱性情報マスタデータベース３３ａから、例えば一日にユーザが指定した回数あるいは最低６回の更新データをインターネット１０を介して自動的に受信し登録する機能を有する。これにより、ユーザ組織ネットワーク４０内のセキュリティ脆弱性情報データベース４５ａの内容を、最大でも４時間以内の最新性を維持することが可能となる。このセキュリティ脆弱性情報のうち、特にセキュリティホール情報の更新間隔は、現在のインターネット社会でのセキュリティ脆弱性発見の間隔と較べても十分に最新性を維持できる間隔である。
【００４８】
また、社会的に緊急度の高いセキュリティ脆弱性のインシデントが発見された場合は、可及的速やかに情報配信側ネットワーク３０のセキュリティ脆弱性情報マスタデータベース３３ａが更新されるが、その更新の都度、セキュリティ脆弱性情報データベース４５ａも、自動更新する機能を有する。さらに、ユーザには自動的に電子メールによりその状況を報告する処理を行なう機能を有する。
【００４９】
このような方法によりユーザ組織ネットワーク４０に対して最新のセキュリティ脆弱性情報を情報配信側ネットワーク３０から提供するので、その情報の最新性を十分に担保することができる。
【００５０】
上記セキュリティ脆弱性情報マスタデータベース３３ａとセキュリティ脆弱性情報データベース４５ａとの自動更新と同様に、情報配信側ネットワーク３０側の不正アクセスシグニチャマスタファイル３４ａと、ユーザ組織ネットワーク４０側の不正アクセスシグニチャファイル４３ａもファイル内容の同期処理を自動的に行なう自動更新機能を有する。
【００５１】
このような情報配信側ネットワーク３０とユーザ組織ネットワーク４０とのデータの授受は、インターネット１０を介在して種々のデータベースあるいはファイルのデータの送信・受信により実行される。ユーザ組織ネットワーク４０内では、一般に図１に示されるファイアウォール４１を経由することが多いため、ファイアウォール４１でのパケットフィルタ制約によって、組織外部とのデータ通信が制約されることがある。
【００５２】
これを回避するために、情報配信側ネットワーク３０とユーザ組織ネットワーク４０間のデータベースあるいはファイルのデータの送信・受信は、ＨＴＴＰプロトコルを使用して行なう。ＨＴＴＰプロトコルは、組織内部の一般ユーザがＷＷＷサービスで使用するプロトコルであるため、一般に、ファイアウォール４１でのパケットフィルタ制約を回避することができる。ＷＷＷサーバ４４は、このＷＷＷサービスによりセキュリティ脆弱性情報や不正アクセス情報をＰＣ端末４７等に提供し、その表示部に定量的に表示させる手段を備えている。
【００５３】
図２は、このように構成されたセキュリティリスク管理システム１の機能の概要と全体的な流れを示したブロック図である。図２中、Ｓに数字を付加した符号はステップを示しており、Ｓ１は、情報配信側ネットワーク３０内で行なわれる処理を示している。すなわち、Ｓ１では情報配信側ネットワーク３０側のセキュリティ情報収集オペレータ等によりインターネット１０を介してセキュリティ関連情報ウェブサイト２０ならびにセキュリティ関連情報メーリングリスト２１からコンピュータシステムのセキュリティ脆弱性に関連した情報を収集する一方、不正アクセス情報を含むセキュリティ関連ニュースを収集し、そのセキュリティ脆弱性情報をセキュリティ脆弱性情報マスタデータベース３３ａに登録する。また、不正アクセス監視のために使用される不正アクセスシグニチャ（不正アクセスパターン）に関しても、その最新シグニチャをインターネット１０のニュース源から収集し、その不正アクセス情報を不正アクセスシグニチャマスタファイル３４ａに登録する。
【００５４】
新規セキュリティ脆弱性情報は、上述したようにほとんどのニュース源が英語であるため、それを日本語に翻訳し必要かつ有用な情報を付加して、データベースに追加登録する。また、新規不正アクセスシグニチャに関してもその内容の検証を行ない、不正アクセスシグニチャマスタファイル３４ａに追加登録する。これらの登録作業だけは人的作業となる。
【００５５】
しかし、セキュリティ脆弱性情報提供サーバ３３は、セキュリティ脆弱性情報マスタデータベース３３ａの管理とユーザ組織ネットワーク４０への自動配信機能を取り持ち、不正アクセスシグニチャ提供サーバ３４も不正アクセスシグニチャマスタファイル３４ａの管理とユーザ組織ネットワーク４０への自動配信機能を取り持つ。
【００５６】
一方、Ｓ２とＳ３は、ユーザ組織ネットワーク４０側の処理を示す。Ｓ２ではセキュリティ脆弱性情報データベース４５ａとリスク管理対象となるリスク管理対象サーバ４２等のコンピュータシステムの属性情報と作業履歴情報（以下、ホスト情報とも称する）とリスク管理を行なう会社等顧客の登録ユーザの属性情報（以下、ユーザ情報とも称する）を含むユーザ／ホスト情報管理データベース４５ｂと、不正アクセス監視ログデータベース４３ｂの登録内容を使用して、セキュリティリスク管理サーバ４５によりユーザ組織ネットワーク４０のコンピュータシステムのセキュリティリスク管理機能を取り持つ。このセキュリティリスク管理機能において、不正アクセス事象のデータが必要な場合は、不正アクセス監視サーバ４３にクエリを発行し、そのデータを受信する。
【００５７】
Ｓ３では、不正アクセス監視サーバ４３により不正アクセスシグニチャファイル４３ａを利用して、インターネット１０等の外部ネットワークからユーザ組織ネットワーク４０への不正アクセスを常時監視して、不正アクセス検出履歴を不正アクセス監視ログデータベース４３ｂに記録し、そのデータを管理する。
【００５８】
一方、ユーザ組織ネットワーク４０側のユーザは、ＷＷＷサーバ４４にアクセスし、そのウェブページ上で様々な管理機能を操作する。例えばＷＷＷサーバ４４は、セキュリティリスク管理サーバ４５のセキュリティリスク管理機能と連携して、リスク管理に必要な情報をユーザ組織ネットワーク４０に提供する。ユーザは、図１で示する組織内のＰＣ端末４７からＷＷＷサーバ４４にアクセスし、ユーザ認証、その後のリスク管理の対象となるサーバの登録、ユーザ登録、並びに様々なセキュリティリスク管理機能を使用する。ＷＷＷサーバ４４にはユーザが任意にアクセスすることができるため、利用登録ユーザ全員に対し、ＷＷＷブラウザを使用してセキュリティリスクの状況を正確かつ迅速に提供することができる。
【００５９】
一方、ユーザ組織ネットワーク４０側のセキュリティ脆弱性情報データベース４５ａと不正アクセスシグニチャファイル４３ａは、情報配信側ネットワーク３０側のセキュリティ脆弱性情報マスタデータベース３３ａと不正アクセスシグニチャマスタファイル３４ａとの間でデータ内容の自動的同期処理が行なわれる。
すなわち、ユーザ組織ネットワーク４０のセキュリティ脆弱性情報データベース４５ａは、情報配信側ネットワーク３０のセキュリティ脆弱性情報マスタデータベース３３ａから一日にユーザが指定した回数あるいは最低６回の更新データの受信を自動的に行なう。これにより、ユーザ組織ネットワーク４０側のセキュリティ脆弱性情報データベース４５ａの内容は、最大でも４時間以内の最新性を維持することが可能となる。このセキュリティ脆弱性情報の内、特にセキュリティホール情報の更新間隔は、現在のインターネット社会でのセキュリティ脆弱性発見の間隔と較べても十分に最新性を維持できる間隔である。また、社会的に緊急度の高いセキュリティ脆弱性が発見された場合は、直ちに、情報配信側ネットワーク３０のセキュリティ脆弱性情報マスタデータベース２３ａを更新し、その都度、ユーザ組織ネットワーク４０側のセキュリティ脆弱性情報データベース４５ａを自動更新する。また、ユーザには自動的に電子メールによりその状況を報告する処理も行なわれる。このような方法で、ユーザ組織に対して最新のセキュリティ脆弱性情報を提供し、その情報の最新性を十分に担保する。これと同様に、情報配信側ネットワーク３０の不正アクセスシグニチャマスタファイル３４ａとユーザネット４０内の不正アクセスシグニチャファイル４３ａもファイル内容の同期処理を自動的に行ない、常時登録内容を一致させておく。
【００６０】
一方、ユーザ組織ネットワーク４０内では、一般に図１に示されるファイアウォール４１を経由することが多いため、ファイアウォール４１でのパケットフィルタ制約によって、組織外部とのデータ通信が制約されることがある。これを回避するために、情報配信側ネットワーク３０とユーザ組織ネットワーク４０間のデータ通信は、ＨＴＴＰプロトコルを使用して行なう。ＨＴＴＰプロトコルは、ユーザ組織内部の一般ユーザがＷＷＷサービスで使用するプロトコルであるため、一般に、ファイアウォールでのパケットフィルタが行なわれないので、そのパケットフィルタを回避することができる。
【００６１】
図３〜図５は本セキュリティリスク管理システムにより実行される処理のフローチャートをそれぞれ示しており、図３は図２の上記Ｓ１での処理、すなわち最新のセキュリティ脆弱性情報の提供方式並びに最新の不正アクセスシグニチャの提供方式に係わる処理形式の具体例を説明するフローチャートである。また、図４は、図２で示したＳ３ステップの内、不正アクセス監視とその監視結果等を監視ログデータベースに保存する方法を説明するフローチャートである。
【００６２】
そして、図３に示すように、情報配信側ネットワーク３０では、オペレータによりインターネット１０からセキュリティ脆弱性情報と不正アクセスシグニチャとをほぼ並行に収集する。前者のセキュリティ脆弱性情報については、まず最初（Ｓ１１）に、インターネット１０上に散在し、セキュリティ関連情報を発信している複数のセキュリティ関連情報ウェブサイト２０およびセキュリティ関連情報メーリングリスト２１からインターネット１０経由で最新の情報を収集する。
【００６３】
ここで収集されたセキュリティ関連情報は、主に表１で示されるセキュリティホール情報と表２で示されるセキュリティ関連ニュース情報の二つからなる。この二つを総称してセキュリティ脆弱性情報と称する。セキュリティ脆弱性情報の本来の本質はセキュリティホール情報であるが、表２で示される社会性を帯びたセキュリティ関連ニュース情報もセキュリティリスクを判断する際に、重要な指標となるためこの二つの情報をデータベース化する。
【００６４】
セキュリティホール情報の選択基準に関しては、ユーザが管理するコンピュータシステムのＯＳ並びにアプリケーションソフトが多岐に渡るものの、ユーザが一般に利用するコンピュータ並びにネットワーク装置あるいは商用ＯＳの市場シェアが所定値、例えば５％以上であるものの基本ソフトウエア、並びに情報通信ネットワークにおいて重要なソフトウエア類、また、ユーザから要求のあるアプリケーションに関するセキュリティホール情報を選択基準とすることにより、ユーザが必要とするソフトウエアに対する脆弱性情報を捕捉できる。
【００６５】
次のＳ１２で、情報収集オペレータはセキュリティ脆弱情報が英語であるときに日本語に翻訳してから表１に示すようにセキュリティホール情報をカテゴリ別、例えば関連ＯＳ名、関連アプリケーション名、日付、危険度、被害対象範囲等に細かく分類するとともに、そのセキュリティホール情報に基づいて指定された項目、例えば概要、影響範囲、確認方法、検証結果、対処方法、関連情報、更新履歴に応じた情報を作成する。
【００６６】
この後、セキュリティホール情報に関しては、個々の情報を表１に示されるセキュリティホール情報登録用項目とその登録基準に従って、セキュリティ脆弱性マスタデータベース２３ａに日本語で登録する。この登録項目の中で特に、セキュリティリスク判断に有用となるものとしては、ユーザが事後に予防的対策を施す際にセキュリティホールの内容を理解しかつ確認し、その脆弱性を改修するための情報を有すること、後にセキュリティ脆弱度の定量的な指標として判断できるように、個々の情報に対してその危険度、影響範囲の定量的ランク指標をテーブルとして有すること、さらに、セキュリティホールの情報識別子をテーブル項目として持つことがある。なお、セキュリティホールの情報識別子については、そのセキュリティホールが、表４で示す不正アクセスシグニチャに登録する項目の脆弱性と同一な場合、シグニチャ項目内のテーブルにも、同一セキュリティホールの情報識別子を登録するため、このセキュリティホール情報は、後に不正アクセス監視データである「動的外部要因情報」との情報結合が可能となり、セキュリティリスクに関して迅速かつ的確な判断が可能となる特徴を有する。
【００６７】
現在、システムソフトウエア並びにアプリケーションのセキュリティホールに関する世界共通識別子の業界標準化はなされていないが、その代用として、米国非営利任意団体が定義しているＣＶＥ識別子（Ｃｏｍｍｏｎ　Ｖｕｌｎｅｒａｂｉｌｉｔｉｅｓ　ａｎｄ　Ｅｘｐｏｓｕｒｅｓ）が、セキュリティ脆弱性に関する共通識別子の一つとして使用することができる。発見される全てのセキュリティ脆弱性情報に対してＣＶＥ識別子が付与されているわけではないが、これが一般化しつつある。セキュリティ脆弱性マスタデータベース３３ａでは、このＣＶＥ識別子を登録する。また、ＣＶＥ識別子が付与されていないセキュリティホールについては、独自の識別子を定義し、付与する。
【００６８】
この後、Ｓ１３で、個々のセキュリティホール情報並びにセキュリティ関連ニュース情報を、セキュリティ脆弱性情報マスタデータベース３３ａに登録する。この登録は例えば毎日行なわれ、特に、一日の中でも新規セキュリティホールが発見され次第、可及的速やかに登録される。
【００６９】
次のＳ１４では、セキュリティ脆弱性情報マスタデータベース３３ａに登録されたセキュリティホール情報を、例えば一日にユーザが指定した回数あるいは最低６回の更新データの送信を自動的に行なう。これにより、ユーザ組織ネットワーク４０内のセキュリティ脆弱性情報データベース４５ａに対してインターネット１０経由でデータベースの自動更新を行ない、常に最新のセキュリティホール情報を保持する形態（同期）をとる。このために、ユーザ組織ネットワーク４０側のセキュリティ脆弱性情報データベース４５ａの登録内容は、情報配信側ネットワーク３０の全ての登録内容を含んだセキュリティ脆弱性情報マスタデータベース３３ａと同一内容であり、ユーザ組織ネットワーク４０のホスト情報に一致するものだけを選択して受信するものではない。これは、ユーザ組織ネットワーク４０側で種別の異なるホスト情報を新規登録した場合、即座に登録ホストのセキュリティリスク管理を開始できるようにするためである。
【００７０】
次に図３中、コンピュータシステムへの不正アクセス監視のための基本情報となる最新の不正アクセスシグニチャの作成・登録処理について説明する。まず最初（Ｓ１５）に、インターネット１０上のセキュリティ関連情報ウェブサイト２０とセキュリティ関連情報メーリングリスト２１から新しく公開された不正アクセスを検出するための不正アクセスシグニチャをオペレータによりインターネット１０経由で収集する。
【００７１】
ここで収集したシグニチャは、次に示す表３で定義された影響度を基準に、表４で示す登録項目に従い、不正アクセスシグニチャマスタファイル３４ａに追加登録される（Ｓ１６）。なお、不正アクセスシグニチャに登録する項目の中にはセキュリティホール情報識別子がある。これは、登録する不正アクセスシグニチャが、不正アクセスに悪用するセキュリティホールと同一な場合、そのセキュリティホール情報の情報識別子と同じ識別子を登録するためである。
【００７２】
【表３】
2004054706.tif 000005
【００７３】
【表４】
2004054706.tif 000006
【００７４】
次のＳ１７で、情報配信側ネットワーク３０の不正アクセスシグニチャマスタファイル３４ａにおいて不正アクセスシグニチャの新規登録され、更新された情報は、例えば一日にユーザが指定した回数あるいは最低６回の更新データの送信をユーザ組織ネットワーク４０側の不正アクセス監視サーバ４３の記憶部である不正アクセスシグニチャファイル４３ａに対して、インターネット１０経由でファイルの自動更新を行ない、常に最新の不正アクセスシグニチャを保持する形態（同期）をとる。
【００７５】
前述したように不正アクセス監視サーバ４３は、情報配信側ネットワーク３０の不正アクセスシグニチャ提供サーバ３４から、最新のシグニチャファイルを自動的に受信し、不正アクセスシグニチャファイル４３ａに登録される。これにより、不正アクセスシグニチャファイル４３ａは常に最新に保たれる。
【００７６】
このために、図４のＳ３１では最新のファイルを受信した場合、不正アクセス監視サーバ４３上では、不正アクセス監視を行なうプログラムが自動的に再起動される。このプログラムが再起動され、反映された後は、その更新された新しい不正アクセスのシグニチャに基づいて不正アクセス監視が続行される。不正アクセス監視サーバ４３の配置に関しては、非武装セグメント４１ａに限るものではなく、ユーザが必要とする場所に複数配置することもできる。
【００７７】
次のＳ３２において、不正アクセス監視サーバ４３は、不正アクセスシグニチャファイル４３ａに定義された不正アクセスシグニチャ（パターン）と、非武装セグメント４１ａに流れるデータパケットを比較し、同一であれば検出捕捉し、その検出結果を監視ログデータベース４３ｂに記録する。監視ログデータベース４３ｂに記録する内容は、主に、不正アクセスのシグニチャ名（パターン名）と検出時刻、攻撃（加害）元ＩＰアドレス、攻撃先（被害先）ＩＰアドレスである。
【００７８】
次に図５のフローチャートに基づいて図２で示したＳ２ステップの内、最新のセキュリティ脆弱性情報を登録したセキュリティ脆弱性情報データベース４５ａを利用してリスク管理対象サーバ４２，４６のセキュリティリスク管理を行なう方法を説明する。
【００７９】
まず最初のＳ２１で、本セキュリティリスク管理システム１を利用する会社等のユーザは、そのシステム１を利用するに当り例えばそのユーザ組織ネットワーク４０の管理者等によりユーザの属性に関する初期設定情報をユーザ／ホスト情報管理データベース４５ｂに登録する。ユーザの管理者は、ＰＣ端末４７によりＷＷＷサーバ４４にアクセスし、本システムが提供するホームページの認証用画面上で、ユーザ名並びにパスワードを入力しログインする。本システムを利用するユーザの属性情報（ユーザ情報）としては、ユーザＩＤ、ユーザ名、所属課ＩＤ、電子メールアドレス、電話番号、内線番号、ユーザアクセス権限を入力する。ここで、ユーザアクセス（閲覧）権限をテーブルとして持つことにより、ユーザ層を例えば、最高責任者、全体システム管理者、ホスト管理者、一般ユーザ等に分類することにより、セキュリティリスク状況の表示画面をマクロ分析型あるいは詳細分析型と言うようにユーザアクセス（閲覧）権限をそれぞれに応じて変化させることができたり、あるいは、セキュリティリスクの予防的対策を行なうためのワークフロー管理においては、その作業報告の承認系の制御を行なうことができる。
【００８０】
次のＳ２２で、リスク管理対象サーバ４２，４６のホスト属性情報（ホスト情報）を入力する。このホスト情報としては、例えばシステムＩＤ、ホスト名、ホストが所属する部署ＩＤ、ＯＳ種別、ＯＳバージョン、リスク管理対象となるアプリケーション名、ＩＰアドレス、ネットワークマスクアドレス、登録者の所属ＩＤ、登録者名、該ホスト管理者名、該ホスト作業承認責任者名がある。さらに、後述するホストの攻撃脅威度並びに重要度もホスト情報の一部となる。
【００８１】
また、ホスト管理のためのデータベースには、ホスト属性情報だけではなく、作業履歴情報、すなわち、セキュリティホールにセキュリティパッチを適用して予防的対策作業を行なった作業日時と作業承認日時、作業内容、作業者名等のテーブルを有する。これらは、ホスト情報初期設定時においては入力しない。作業履歴情報は、セキュリティホールが発見されてから対策を施すまでの時間と言う指標を与えることになり、セキュリティリスクの度合い（これを、セキュリティレベルとも言う）を定量化する際に、極めて重要な位置づけとなる。
【００８２】
この後、Ｓ２３で、ユーザ組織ネットワーク４０におけるセキュリティポリシーの一つであるリスク管理対象サーバ４２，４６の設置場所に応じたリスク度を表すために、不正アクセスに対する攻撃脅威度の定量的な重み付けを行ない、これを入力する。この攻撃脅威度は、例えば表５で定義された脅威にさらされる度合いによって、定量的な数値指標が設定される。表５で示した指標値、則ち重み係数は一例である。この攻撃脅威度も、ユーザ／ホスト情報管理データベース４５ｂに登録される。
【００８３】
【表５】
2004054706.tif 000007
【００８４】
さらに、次のＳ２４で、ホスト情報登録において、上記の攻撃脅威度と同様にリスク管理対象サーバ４２，４６が扱うデータの重要度に応じたリスク度を表すために、その重要度の定量的な重み付けを行ない、これを入力する。例えば次の表６で定義されているようにリスク管理対象サーバ４２，４６が扱うデータの重要度の度合いによって、定量的な数値指標が設定される。但し、表６で示した指標値、則ち重み係数は一例である。この重要度も、ユーザ／ホスト情報管理データベース４５ｂに登録される。以上のＳ２１からＳ２４の処理ステップは、セキュリティリスク管理システム１の初期登録の作業である。
【００８５】
【表６】
2004054706.tif 000008
【００８６】
そして、各リスク管理対象サーバ４２，４６は、不正アクセスに対する攻撃脅威度並びに所有するデータの重要度に応じて、定量的なホスト（サーバ）固有のセキュリティリスク指標値が計算され、これが、各リスク管理対象サーバ４２，４６の総合セキュリティリスク指標の一つの重み付け値として使用される（Ｓ２５）。
【００８７】
これ以降に述べる処理の流れは、セキュリティリスク管理システムの本質的な機能であるリスク管理の方法についてである。すなわち、セキュリティリスク管理サーバ４５は、ユーザ／ホスト属性情報が登録されたユーザ／ホスト情報管理データベース４５ｂ内のホスト情報に基づいて常に最新に維持されているセキュリティ脆弱性情報データベース４５ａ上に登録されているセキュリティホール情報を検索する。つまり、セキュリティリスク管理サーバ４５は、登録されたリスク管理対象サーバ４２，４６のＯＳ並びにアプリケーションの属性情報に従ってカスタマイズされた、各リスク管理対象サーバ４２，４６のホスト毎に関係する対処が必要なセキュリティホールの件数と、個々のセキュリティホールの危険度指標値並びに影響範囲指標値、さらにセキュリティホールの概要情報、詳細情報等の抽出を行なう。
【００８８】
この中で、各リスク管理対象サーバ４２，４６のホストの総合セキュリティリスク指標を予め定義した計算式に則り定量化する。この計算で使用する指標値としては、不正アクセスに対する攻撃脅威度並びに所有するデータの重要度に応じた定量的なホスト固有の指標値と、未対応とされているセキュリティホールの数、またその危険度指標値並びに影響範囲指標値、セキュリティ対策の未対応時間が挙げられる。ここで、このホスト毎に対策未対応時間を計算指標として使用することにより、静的な指標値からより現実的な動的なリスク度合いを示す指標値となる。
【００８９】
これらを使用して計算された各ホストの総合セキュリティリスク指標値をもとにソーティングして閲覧することにより、全ホストのリスクを一元化して判断することが可能となる。さらに、監視ログデータベース４３ｂ、セキュリティ脆弱性情報データベース４５ａ、ユーザ／ホスト情報管理データベース４５ｂから抽出した様々なデータを使用することにより、以下に示すようにユーザにとって有用なセキュリティ情報が一覧可能となることにより、的確かつ迅速な判断がリアルタイムに行なうことができる（Ｓ２６）。
【００９０】
総合セキュリティリスク指標値をある特定の指標により正規化計算することにより、ユーザは様々な側面から管理対象サーバ４２，４６のリスクレベルをＰＣ端末４７により閲覧することができ、各ホスト間の定量的な比較が可能となる。
例えば、リスク管理対象サーバ４２，４６単位２７ａ、リスク管理対象サーバ４２，４６が所属する人事部や経理部、技術開発部等、部署単位２７ｂ、攻撃脅威度単位２７ｃ、重要度単位２７ｄ、セキュリティホール未対応時間２７ｅ等により分類あるいは正規化することで、ユーザ組織における現在のセキュリティレベルをリアルタイムで一覧できる（Ｓ２７）。
【００９１】
一般に、会社等組織の中では最高情報責任者、システム管理者、現場ＳＥ（システムエンジニア）等のホスト管理者、と言ったような階層に分かれており、例えば最高情報責任者は組織内セキュリティリスクのマクロ的な判断材料が必要であり、ホスト管理者は個々のセキュリティホールの対応策の詳細と作業履歴が必要である。
【００９２】
また、これらの中間に位置するシステム管理者は、予防対策立案のための判断材料や作業のワークフローの管理、承認に関する情報が必要である。そこで、本実施形態では、これらの全階層のユーザが必要とする情報をＰＣ端末４７により閲覧可能とすることにより、情報一元化によるセキュリティレベルの効率的管理に寄与している。ＰＣ端末４７による閲覧可能な情報として以下の機能を備える。
【００９３】
まず、マクロ的な判断材料を与えるものとしては、総合セキュリティリスク指標値によってソーティングされたセキュリティホール対応状況と表２で示される社会性を帯びた最新の脅威情報、事故情報等のセキュリティ関連ニュースの表示、さらに組織に対するリアルタイムでの不正アクセス状況を示す「動的外部要因情報」を一覧画面で表示する。これは、組織内の静的セキュリティリスク状況と常に行なわれる不正アクセス状況の動的情報、さらに社会性を帯びたニュースという三次元の情報を一元化できる。したがって、この三次元情報を閲覧するユーザ組織ネットワーク４０側の各閲覧者は自社のコンピュータシステムについてのセキュリティリスク状況を容易かつ迅速に認識することができる。すなわち、実際にパッチを適用するか否か等の対策ないし対応の判断を容易かつ迅速に行なうことができる。
【００９４】
また、現場ＳＥに有用なセキュリティ情報としては、ホスト毎に存在するセキュリティホールの項目とその危険度並びにその対処方法等を含めた表１に示す詳細情報の表示を提供する。さらに、リスク管理対象サーバ４２，４６毎に個々のセキュリティホールの対策作業の状況、最終作業日等の表示等を提供する。
【００９５】
そして、セキュリティリスク管理サーバ４５は、セキュリティホールの予防的対策作業を支援するために、その対策作業のワークフロー管理機能を備えている。すなわち、ホスト管理者権限の担当者は閲覧機能の一つであるリスク管理対象サーバ４２，４６のホスト毎に存在するセキュリティホール項目とその危険度並びにその対処方法を閲覧しながら、パッチを適用する等のセキュリティ対策を施す。その後、各セキュリティホールに対する作業報告の入力を行ない、その作業結果をユーザ／ホスト情報管理データベース４５ｂに登録する。このユーザ／ホスト情報管理データベース４５ｂに登録されると、承認指示を待つ画面が表示される。
【００９６】
そこで、ホスト管理者権限よりも上位階層のシステム管理者権限を有する担当者が、ＰＣ端末４７の閲覧画面上に現れる作業内容項目を承認すると、その承認結果がユーザ／ホスト情報管理データベース４５ｂに登録されデータが更新される。こうして予防対策が施され承認された後、総合セキュリティリスク指標値が再計算されて、ホスト毎のセキュリティレベルが閲覧可能となる。また、対策が施されない時間が長期間に渡り、ユーザが定めたしきい値を上回ると、この事実を記した内容が自動的に電子メールで最高責任者に通知される（Ｓ２８）。
【００９７】
こうしてセキュリティ脆弱性情報データベース４５ａの登録内容が更新されると、リスク管理対象サーバ４２，４６のセキュリティレベルが自動的に変化するので、再び上記Ｓ２６へ戻り、以下のステップを繰り返す。これにより、最新のセキュリティリスクの状況が把握できる。また、ユーザ組織ネットワーク４０側には、自社のリスク管理対象サーバ４２，４６とそのホストのコンピュータシステム等自社環境にカスタマイズされたセキュリティ脆弱性情報と不正アクセス情報が提供されるので、必要な情報の絞り込み作業を大幅に低減できる。
【００９８】
図６は図２で示したＳ２ステップの内、不正アクセス監視サーバ４３により不正アクセスの監視ログデータベース４３ｂを利用して、インターネット１０の外部等組織外部からのセキュリティ脅威に関する時点情報とこれに対応するセキュリティホール情報およびリスク管理対象サーバのホスト情報等とを連結する方法を説明するフローチャートである。
【００９９】
すなわち、不正アクセス監視サーバ４３は、まず最初のＳ２１０で、不正アクセス事象の監視ログデータベース４３ｂから指定時間内における不正アクセス事象を抽出する。この不正アクセス事象はＰＣ端末４７の表示部にグラフで表示される。
【０１００】
次のＳ２１１では、パラメータは選択として、検知内容、攻撃元（加害者側）ＩＰアドレス、攻撃先（被害者側）ＩＰアドレスをそれぞれ選択した場合に、これら選択したパラメータ毎に着目した場合の各不正アクセスの検知数について複数のグラフ表示をそれぞれ行なう（Ｓ２１１）。
【０１０１】
また、不正アクセス監視状況の詳細情報については、不正アクセスに対して設定された危険度、攻撃元ＩＰアドレス、攻撃先ＩＰアドレス、および不正アクセス検知数の詳細情報のデータ表示も可能とする（Ｓ２１２）。
【０１０２】
さらに、次のＳ２１３とＳ２１４では、不正アクセス監視サーバ４３により検出された不正アクセス事象の検知数の時間的推移を把握するため、ＷＷＷサーバ４４においてパラメータとして検知内容、攻撃元ＩＰアドレスおよび攻撃先ＩＰアドレスがそれぞれ選択された場合に、これら選択されたパラメータ毎の不正アクセス検知数が指定時間ごとに集計され、それを指定した期間の範囲でグラフ表示される。
【０１０３】
この後、Ｓ２１５では、検出された不正アクセス事象と、セキュリティ脆弱性情報データベース４５ａに登録されたセキュリティホール情報に関し、これら双方同一のセキュリティホール情報識別子を有する場合、その識別子に基づいて詳細なセキュリティ情報がＷＷＷサーバ４４によりＰＣ端末４７の表示部に表示される（Ｓ２１５）。
【０１０４】
不正アクセスの被害を受けているホストにおいて、この情報識別子並びに該ホストの最新脆弱性管理情報とを連結し状況を表示することにより、セキュリティホールの対策状況が即座に把握できるため、現在の被害の状況とその範囲を迅速かつ的確に判断可能となる。
【０１０５】
すなわち、セキュリティリスク管理サーバ４５は、不正アクセスの監視ログデータベース４３ｂ、セキュリティ脆弱性情報データベース４５ａおよびユーザ／ホスト情報管理データベース４５ｂの三つデータベースを操作し、相互に関連ある情報を結合してＷＷＷサーバ４４により表示させる。このために、上記のようなリアルタイム性のある不正アクセス事象のマクロ的な傾向表示と、リスク対象サーバ４２，４６における各ホストの常に最新のセキュリティリスクレベルの状況の表示を同時に閲覧できる。これにより、不正アクセスの攻撃にさらされているホストのセキュリティレベルとその詳細が即座に理解できる。則ち、種別の異なる複数の情報を同時に把握でき、効率的なセキュリティリスク分析が可能となる（Ｓ２１６）。
【０１０６】
図７〜図１２はＰＣ端末４７の表示部にカラー等で表示されるウェブページよりなるセキュリティリスク管理画面における操作表示画面のテンプレートをそれぞれ示しており、図７はアクセス（閲覧）権限として最高情報責任者の権限を有するユーザが閲覧できる組織全般の「セキュリティリスク概要」を示すウェブページよりなる操作画面のテンプレートである。最高情報責任者は、会社等の組織では例えば社長や会長等最高経営責任者であり、大局的な見知での組織のセキュリティレベルの情報を必要とするユーザの一員である。ここでは、その一例として、組織内コンピュータシステムに関して、全社総合セキュリティリスク指標値や脅威度、重要度別に特に重要視されているサーバの指標値などが表示され、リスク判定の判断材料を提供する。また、各登録ホスト毎の指標値も表示される。
【０１０７】
一方、動的外部要因情報として、外部からの不正アクセスの直近２４時間監視で検出された数をインシデントの高リスクのものから低リスクのものを分類して表示する。特に脅威にさらされている管理対象サーバないしホストについては、例えば画面左下段に示すように「高脅威対象ホスト」としてリスク管理対象サーバ４２，４６が属する２系統のホストのＩＰアドレスと不正アクセスの検知数が表示される。また、過去数日間の不正アクセスのインシデントの傾向を掴むための情報も同時に示される。さらに最新の社会性を帯びたセキュリティ事案（ニュース）についても表示されるため、組織内コンピュータシステムのリスクと不正アクセスの動的リスク、さらに社会で起きているニュースの三次元的な情報を元に、セキュリティの対策指示も含め迅速かつ的確な判断が可能となる。
【０１０８】
図８，９は、システム管理者、ホスト管理者権限をそれぞれ有するユーザを対象にした組織全般の「セキュリティリスク概要」を示すウェブページよりなる操作表示画面のテンプレートである。全社セキュリティリスク指標等の表示は、上述したものと同じであるが各ホストのセキュリティホールの数は三段階リスクにより具体的に表示される。また、各ホストの予防的対策作業の近況報告なども表示される。
【０１０９】
図１０は図９で示すホスト管理者閲覧用操作表示画面における最下段の詳細セキュリティホール情報／対策対応欄中のセキュリティ名をクリックしたときに、この詳細セキュリティホール情報／対策対応欄のさらなる詳細情報が表示される操作表示画面である。
【０１１０】
図１１、図１２は図７で示す最高情報責任者閲覧用操作表示画面における左下段の「不正アクセスインシデント状況」のタイトル欄や棒グラフの一部等所要箇所をクリックしたときに、不正アクセスインシデント状況のさらなる詳細データを例えば一画面に同時に表示する操作表示画面である。図１１の操作表示画面は不正アクセス検知内容とセキュリティ脆弱性データベースとをリンクする情報識別子ＣＶＥを使用してセキュリティホール情報と不正アクセス情報等他の情報とリンクする情報の詳細を閲覧し得るように構成されており、例えば「その他の情報リンク」の項目をクリックすることにより、セキュリティホール情報とリンクする他の情報を閲覧することができる。
【０１１１】
また、図１１の操作表示画面では所定期間における各リスク管理対象サーバ４２，４６に対して攻撃された不正アクセスの検知数の合計と危険度等が表示され、危険度はカラーで表示されている。危険度は上昇するに連れてカラー濃度が濃くなるように表示されている。
【０１１２】
一方、図１２の最高情報責任者閲覧用の操作表示画面は、所定期間におけるリスク管理対象サーバ４２，４６に対する不正アクセスの攻撃元と攻撃先（被害先）のＩＰアドレスや検知数、危険度等が表示される。また、攻撃先（被害先）がリスク管理対象サーバ４２，４６である場合には、これらリスク管理対象サーバ４２，４６のホストのセキュリティリスク管理画面へリンクされている。また、この図１２の操作表示画面では、例えばその検知項目の「６」、「７」に示すように攻撃先が同一であるリスク管理対象サーバ４２，４６に対しては異なる攻撃先から各々「１４回」も攻撃されている状況が表示されている。なお、これら図７から図１２で示す操作表示画面は一例であって適変更してもよい。
【０１１３】
したがって、このセキュリティリスク管理システム１によれば、ユーザ組織内のアクセス（閲覧）権限のレベルに応じてセキュリティ管理システムの操作表示画面を、大局的見地が必要な最高情報責任者向け操作表示画面から、実際にパッチの適用等システムのセキュリティ管理の現場で従事するホスト管理者向け操作表示画面、これら両者の中間管理者向け操作表示画面等に適宜変えて提供することができる。
【０１１４】
また、このセキュリティリスク管理システム１では、セキュリティ脆弱性情報と不正アクセス情報をユーザに、そのコンピュータシステムにカスタマイズされた形態で提供するので、ユーザ側では、セキュリティ脆弱性情報と不正アクセス情報とを自社のコンピュータシステム環境に適合した情報に絞り込む作業を省略することができる。
【０１１５】
なお、上記実施形態では、セキュリティ脆弱性情報と不正アクセスシグニチャ関連情報とを情報配信側ネットワーク３０側からユーザ組織ネットワーク４０側へ送信して不正アクセスシグニチャファイル４３ａとセキュリティ脆弱性情報データベース４５ａを所定時間毎、または所要のインシデントが発生したときに自動更新するプッシュ型について説明したが、本発明はこれに限定されるものではない。例えば、ユーザ組織ネットワーク４０側のセキュリティリスク管理サーバ４５から随時情報配信側ネットワーク３０側のセキュリティ脆弱性情報マスタデータベース３３ａと不正アクセスシグニチャマスタファイル３４ａのセキュリティ脆弱性情報と不正アクセスシグニチャ関連情報とにアクセスして不正アクセスシグニチャファイル４３ａとセキュリティ脆弱性情報データベース４５ａを自動更新するプル型に構成してもよい。
【０１１６】
【発明の効果】
以上説明したように本発明によれば、リスク管理対象サーバないしホストの静的なセキュリティ脆弱性情報と、これらコンピュータシステムに対する動的な外部要因情報である不正アクセス監視データとを併せて閲覧可能に提供するので、これら情報の提供を受けるユーザは静的なセキュリティ脆弱性情報と動的外部要因情報である不正アクセス監視データとの結合が容易となり、リスク管理対象サーバのセキュリティリスクに関する情報を一元的に把握することができる。このために、ユーザは自己のコンピュータシステムに対するセキュリティリスクを容易迅速かつ正確に判断することができる。このために、これらセキュリティリスクに対する処置ないし対策と予防を容易かつ迅速に行なうことができる。
【図面の簡単な説明】
【図１】本発明の一実施形態に係るセキュリティリスク管理システムの全体構成を示すシステム構成図。
【図２】図１で示すセキュリティ脆弱性情報提供サーバと不正アクセスシグニチャ提供サーバの主たる機能ないし処理を示す概略フローチャート。
【図３】図１で示すセキュリティリスク管理システムにおいてセキュリティ脆弱性情報と不正アクセスシグニチャをオペレータにより収集する処理を示すフローチャート。
【図４】図１で示す不正アクセス監視サーバにより不正アクセスを検出し、その検出結果等を不正アクセスシグニチャファイルに登録する処理を主に示すフローチャート。
【図５】図１で示すユーザ／ホスト情報管理データベースにユーザ／ホスト情報を登録するステップからリスク管理対象サーバのセキュリティレベルを定量的に表示し、さらにこのセキュリティレベルに基づいてセキュリティ対策の実施をユーザ／ホスト情報管理データベースに登録するまでの一連のステップを示すフローチャート。
【図６】図１で示すＷＷＷサーバにより不正アクセス監視結果をＰＣ端末等の表示部に定量的に表示するための処理を示すフローチャート。
【図７】図１で示すＷＷＷサーバによりＰＣ端末等の表示部に表示されるセキュリティリスク概要を示す最高情報責任者閲覧用操作表示用画面のテンプレート。
【図８】図１で示すＷＷＷサーバによりＰＣ端末等の表示部に表示されるセキュリティリスク概要を示すシステム管理者閲覧用の操作表示画面のテンプレート。
【図９】図１で示すＷＷＷサーバによりＰＣ端末等の表示部に表示されるホスト管理リスク状況を示すホスト管理者閲覧用操作表示画面のテンプレート。
【図１０】図１で示すＷＷＷサーバによりＰＣ端末等の表示部に表示されるホスト管理リスクを図９よりもさらに詳細に示す管理者閲覧用操作表示画面のテンプレート。
【図１１】図１で示すＷＷＷサーバによりＰＣ端末等の表示部に表示される不正アクセスインシデントを図１０よりもさらに詳細に示す最高情報責任者閲覧用の操作表示画面のテンプレート。
【図１２】図１で示すＷＷＷサーバによりＰＣ端末等の表示部に表示される不正アクセスインシデントを図１０よりもさらに詳細に示す最高情報責任者閲覧用の操作表示画面の他の例のテンプレート。
【符号の説明】
１　セキュリティリスク管理システム
１０　インターネット
２０　セキュリティ関連情報サイト
２１　セキュリティ関連情報ＭＬ
３０　情報配信側ネットワーク
３１，４０ａ　ルータ
３２　情報配信側組織の内部ネットワーク（ＬＡＮ）
３３　セキュリティ脆弱性情報提供サーバ
３３ａ　セキュリティ脆弱性情報マスタデータベース
３４　不正アクセスシグニチャ提供サーバ
３４ａ　不正アクセスシグニチャマスタファイル
４０　ユーザ組織ネットワーク
４１　ファイアウォール
４１ａ　ユーザ組織の非武装セグメント
４１ｂ　ユーザ組織の内部ネットワーク
４２，４６　リスク管理対象サーバ
４３　不正アクセス監視サーバ
４３ａ　不正アクセスシグニチャファイル
４３ｂ　監視ログデータベース
４４　ＷＷＷサーバ
４５　セキュリティリスク管理サーバ
４５ａ　セキュリティ脆弱性情報データベース
４５ｂ　ユーザ／ホスト情報管理データベース
４７　ＰＣ端末
【図１】
2004054706.tif 000009
【図２】
2004054706.tif 000010
【図３】
2004054706.tif 000011
【図４】
2004054706.tif 000012
【図５】
2004054706.tif 000013
【図６】
2004054706.tif 000014
【図７】
2004054706.tif 000015
【図８】
2004054706.tif 000016
【図９】
2004054706.tif 000017
【図１０】
2004054706.tif 000018
【図１１】
2004054706.tif 000019
【図１２】
2004054706.tif 000020