(57)【特許請求の範囲】
【請求項１】
脅威分析の分析対象システムの構成要素と、前記構成要素の種別と、前記構成要素が接続している通信路を示す接続先通信路とを対応付けた構成リストを記憶する分析対象情報記憶部と、
前記分析対象システムで想定される脅威と前記構成リストとに基づいて、前記構成リストの前記構成要素に対して前記接続先通信路によりアクセス可能な構成要素をアクセス元として抽出するアクセス元抽出部と
を備え、
前記アクセス元抽出部は、
通信路ではない構成要素を通信路として扱うか否かを判定する透過判定部を備え、
前記透過判定部が通信路として扱うと判定した構成要素を透過してアクセス可能な前記アクセス元を抽出する脅威分析装置。
【請求項２】
前記アクセス元抽出部は、
前記透過判定部が通信路として扱うと判定した前記構成要素が通信可能な方向を判定する方向判定部を備え、
前記方向判定部が判定した通信可能な方向の通信によりアクセス可能な前記アクセス元を抽出する請求項１記載の脅威分析装置。
【請求項３】
前記アクセス元抽出部は、
前記接続先通信路における通信元から通信先への通信が許可されるか否かを判定する第二の方向判定部を備え、
前記第二の方向判定部が判定した通信可能な方向の通信によりアクセス可能な前記アクセス元を抽出する請求項１記載の脅威分析装置。
【請求項４】
脅威分析の分析対象システムの構成要素と、前記構成要素の種別と、前記構成要素が接続している通信路を示す接続先通信路とを対応付けた構成リストを記憶する分析対象情報記憶ステップと、
前記分析対象システムで想定される脅威と前記構成リストとに基づいて、前記構成リストの前記構成要素に対して前記接続先通信路によりアクセス可能な構成要素をアクセス元として抽出するアクセス元抽出ステップと
を有し、
前記アクセス元抽出ステップは、
通信路ではない構成要素を通信路として扱うか否かを判定する透過判定ステップを有し、
通信路として扱うと判定された構成要素を透過してアクセス可能な前記アクセス元を抽出する脅威分析方法。
【請求項５】
コンピュータを、
脅威分析の分析対象システムで想定される脅威を前記分析対象システムの構成要素の種別と対応付けて格納する脅威格納手段、
前記分析対象システムの前記構成要素と、前記構成要素の前記種別と、前記構成要素が接続している通信路を示す接続先通信路とを対応付けた構成リストを記憶する分析対象情報記憶手段、
前記脅威と前記構成リストとに基づいて、前記構成リストの前記構成要素に対して前記接続先通信路によりアクセス可能な構成要素をアクセス元として抽出するアクセス元抽出手段
として機能させ、
前記アクセス元抽出手段は、
通信路ではない構成要素を通信路として扱うか否かを判定する透過判定手段を有し、
前記透過判定手段が通信路として扱うと判定した構成要素を透過してアクセス可能な前記アクセス元を抽出するための脅威分析プログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、システムを構成するサーバや端末、通信路などの構成要素におけるセキュリティ脅威を分析する脅威分析装置に関する。
【背景技術】
【０００２】
システムのセキュリティ設計を行なうためには、まず、システムに実装するセキュリティ対策を明らかにする必要がある。そのため、開発するシステム（以下、分析対象システムと呼ぶ）に対して、セキュリティ脅威分析を行ない、分析対象システムを構成するサーバや端末、通信路などの構成要素におけるセキュリティ脅威を明確にする必要がある。
【０００３】
システムでの脅威は、サーバへの不正アクセスや通信路での盗聴などが考えられる。サーバに対するリモートからの不正アクセスに関する従来の脅威分析については、例えば、特許文献１にセキュリティ脅威分析支援システムが開示されている。特許文献１の従来の脅威分析では、サーバという構成要素に対する脅威を、分析者が手動で特定している。具体的には、ある構成要素への脅威を抽出する際には、その構成要素へアクセス可能な他の構成要素、すなわち脅威の発信元となる構成要素として、サーバや端末などの装置や、不正な端末や装置を接続することができる通信路を、分析者が手作業で特定している。
【先行技術文献】
【特許文献】
【０００４】
【特許文献１】特開２００８−２３４４０９号公報
【発明の概要】
【発明が解決しようとする課題】
【０００５】
従来の脅威分析では、分析者が脅威の発信元を手動で特定しているため、発信元を網羅的に洗い出すことが困難であり、特定すべき脅威の洗い出しに漏れが発生する恐れがあった。特に、大規模システムでは、分析対象システムの構成図から目視で確認するため、発信元を洗い出す作業は工数がかかり、また、脅威の発信元となる構成要素の洗い出しに漏れが発生する恐れがあった。そのため、分析対象システムで考慮すべき全ての脅威を抽出できず、最終的に必要なセキュリティ対策が実装されない恐れがあった。
【０００６】
この発明は、上記のような問題点を解決するためになされたもので、分析対象システムの脅威分析において、リモートからの不正アクセスの脅威に関し、脅威の発信元となる構成要素（以下、コンポーネントとも呼ぶ）や通信路を漏れなく自動的に抽出することで、脅威を漏れなく抽出できる脅威分析装置を提供することを目的とする。
【課題を解決するための手段】
【０００７】
脅威分析の分析対象システムの構成要素と、前記構成要素の種別と、前記構成要素が接続している通信路を示す接続先通信路とを対応付けた構成リストを記憶する分析対象情報記憶部と、前記分析対象システムで想定される脅威と前記構成リストとに基づいて、前記構成リストの前記構成要素に対して前記接続先通信路によりアクセス可能な構成要素をアクセス元として抽出するアクセス元抽出部とを備え、前記アクセス元抽出部は、通信路ではない構成要素を通信路として扱うか否かを判定する透過判定部を備え、前記透過判定部が通信路として扱うと判定した構成要素を透過してアクセス可能な前記アクセス元を抽出する。
【０００８】
また、本発明の脅威分析方法は、脅威分析の分析対象システムの構成要素と、前記構成要素の種別と、前記構成要素が接続している通信路を示す接続先通信路とを対応付けた構成リストを記憶する分析対象情報記憶ステップと、前記分析対象システムで想定される脅威と前記構成リストとに基づいて、前記構成リストの前記構成要素に対して前記接続先通信路によりアクセス可能な構成要素をアクセス元として抽出するアクセス元抽出ステップとを有し、前記アクセス元抽出ステップは、通信路ではない構成要素を通信路として扱うか否かを判定する透過判定ステップを有し、通信路として扱うと判定された構成要素を透過してアクセス可能な前記アクセス元を抽出する。
【発明の効果】
【０００９】
本発明によれば、探索リストを用いて間接的に接続されている通信路を探索しているので、分析対象システムの構成要素が直接接続されている通信路から、すべてのアクセス元を効率的に抽出することができる。特に大規模な分析対象システムの場合、人手による作業で発生する恐れのあるミスをすることなく、効率的にアクセス元を抽出することができるという効果がある。
【図面の簡単な説明】
【００１０】
【図１】実施の形態１に係る脅威分析装置の一構成例を示す図である。
【図２】脅威分析装置１のハードウェア構成の一例を示す図である。
【図３】実施の形態１における脅威分析装置１を用いて脅威分析を行なう分析対象システムの一構成例を示す図である。
【図４】実施の形態１における脅威分析の処理の流れを示すフローチャートである。
【図５】図３の分析対象システムに対する構成リストの一例を示す図である。
【図６】脅威データベース９の一例を示す図である。
【図７】実施の形態１における脅威抽出部５による脅威の分析結果の一例を示す図である。
【図８】実施の形態１におけるアクセス元の抽出処理の流れを示すフローチャート（その１）である。
【図９】実施の形態１におけるアクセス元の抽出処理の流れを示すフローチャート（その２）である。
【図１０】実施の形態１におけるアクセス元の抽出処理の流れを示すフローチャート（その３）である。
【図１１】実施の形態２に係る脅威分析装置の一構成例を示す図である。
【図１２】実施の形態２における構成リストの一例を示す図である。
【図１３】実施の形態２におけるアクセス元の抽出処理の流れを示すフローチャートである。
【図１４】実施の形態３に係る脅威分析装置の一構成例を示す図である。
【図１５】実施の形態３における脅威分析装置１を用いて脅威分析を行なう分析対象システムの一構成例を示す図である。
【図１６】実施の形態３における構成リストの一例を示す図である。
【図１７】実施の形態３における特性表の一例を示す図である。
【図１８】実施の形態３におけるアクセス元の抽出処理の流れを示すフローチャートである。
【発明を実施するための形態】
【００１１】
実施の形態１．
図１は、実施の形態１に係る脅威分析装置の一構成例を示す図である。
以下、図１を参照しながら脅威分析装置の構成を説明する。
【００１２】
図１において、脅威分析装置１は、入出力部２、共通情報記憶部３、分析対象情報記憶部４、脅威抽出部５、及び制御部６を備える。
【００１３】
入出力部２は、分析者とのマンマシンインタフェースである。入出力部２は、分析者が分析対象システムを構成するサーバや端末などの構成要素や、その種別を入力する構成リスト入力部７と、分析者が分析対象システムの脅威を選択する脅威選択部８を備える。
【００１４】
共通情報記憶部３は、脅威分析を行なう上で必要な共通の情報を記憶する。共通情報記憶部３には、共通の情報の一例として、脅威の雛型が複数格納されている脅威データベース９が格納されている。なお、脅威データベース９の詳細は、後述する。
【００１５】
分析対象情報記憶部４は、分析対象システム固有の情報を記憶する。具体的には、分析対象情報記憶部４は、分析者が構成リスト入力部７から入力した構成リスト１０と、脅威分析装置１を使用して得られた分析結果１１を格納する。分析対象情報記憶部４は、分析対象情報記憶手段の一例である。
【００１６】
脅威抽出部５は、構成リスト１０と脅威データベース９から分析対象システムの脅威を抽出する。本実施形態の脅威抽出部５は、構成リスト１０から、構成リスト１０に記載されている各構成要素へのアクセス元を抽出するアクセス元抽出部１２を備える。また、アクセス元抽出部１２は、後述するアクセス元を抽出する処理において、端末や機器などのような通信路ではない構成要素を、アクセス元抽出時に通信路として扱うか否かを判定する透過判定部１３を備える。アクセス元抽出部１２は、アクセス元抽出手段の一例である。
【００１７】
制御部６は、脅威分析装置１が備える入出力部２、共通情報記憶部３、分析対象情報記憶部４、脅威抽出部５の動作全体の制御を行なう。
【００１８】
上記のような脅威分析装置１は、スタンドアロンのＰＣやクライアントサーバシステム、Ｗｅｂ端末とＷｅｂサーバからなるＷｅｂシステムで構成できる。
【００１９】
次に、脅威分析装置１のハードウェア構成について説明する。
図２は、脅威分析装置１のハードウェア構成の一例を示す図である。
【００２０】
脅威分析装置１はコンピュータであり、脅威分析装置１の各構成要素をプログラムで実現することができる。脅威分析装置１のハードウェア構成としては、バスに、演算装置１４、外部記憶装置１５、主記憶装置１６、通信装置１７、入出力装置１８が接続されている。
【００２１】
演算装置１４は、プログラムを実行するＣＰＵ（Ｃｅｎｔｒａｌ  Ｐｒｏｃｅｓｓｉｎｇ  Ｕｎｉｔ）等のプロセッサである。外部記憶装置１５は、例えばＲＯＭ（Ｒｅａｄ  Ｏｎｌｙ  Ｍｅｍｏｒｙ）やフラッシュメモリ、ハードディスク装置等である。主記憶装置１６は、例えばＲＡＭ（Ｒａｎｄｏｍ  Ａｃｃｅｓｓ  Ｍｅｍｏｒｙ）等である。通信装置１７は、データの通信処理を実行する電子回路であり、例えば通信ボード等である。入出力装置１８は、脅威分析装置１に対する入出力データを処理するデバイスであり、例えばマウス、キーボード、ディスプレイ装置等である。
【００２２】
プログラムは、通常は外部記憶装置１５に記憶されており、主記憶装置１６にロードされた状態で、順次、演算装置１４に読み込まれ、実行される。このプログラムは、脅威分析装置１を構成する入出力部２、共通情報記憶部３、分析対象情報記憶部４、脅威抽出部５、及び制御部６として説明している機能を実現するプログラムである。
【００２３】
更に、外部記憶装置１５には、オペレーティングシステム（ＯＳ）も記憶されており、ＯＳの少なくとも一部が主記憶装置１６にロードされ、演算装置１４は、ＯＳを実行しながら、上記プログラムを実行する。
【００２４】
また、共通情報記憶部３、分析対象情報記憶部４が記憶する情報やデータ、入出力部２、脅威抽出部５の処理の結果を示す情報やデータや信号値や変数値が、主記憶装置１６にファイルとして記憶されている。
【００２５】
なお、図２の構成は、あくまでも脅威分析装置１のハードウェア構成の一例を示すものであり、脅威分析装置１のハードウェア構成は、図２に記載の構成に限らず、他の構成であってもよい。
【００２６】
次に、実施の形態１に係る脅威分析装置１の動作について説明する。
図３は、実施の形態１における脅威分析装置１を用いて脅威分析を行なう分析対象システムの一構成例を示す図である。
【００２７】
図３において、分析対象システムは、サブシステム１（１９）、サブシステム２（２０）、サブシステム３（２１）から構成され、サブシステム１（１９）とサブシステム２（２０）は内部ネットワーク２２で接続され、サブシステム１（１９）とサブシステム３（２１）は外部ネットワーク２３で接続されている。サブシステム１（１９）は、内部にサーバＸ、サーバＹ、端末Ｚを含み、サブシステム１内ネットワーク２４で接続されている。サブシステム２（２０）は、内部にサーバα、端末β、機器γを有し、サブシステム２内ネットワーク２５で接続されている。機器γはネットワークスイッチのような通信機器を想定しており、サブシステム１（１９）内のサーバや端末、及びサブシステム２内のサーバや端末が、機器γと通信可能である。
【００２８】
次に、実施の形態１における脅威分析の処理の流れを説明する。
図４は、実施の形態１における脅威分析の処理の流れを示すフローチャートである。
【００２９】
まず、ステップＳ１００において、分析者は、構成リスト入力部７を用いて、分析対象システムを構成する構成要素やその種別などを入力する。
【００３０】
図５は、図３の分析対象システムに対する構成リストの一例を示す図である。
本実施の形態１では、構成リスト１０は、構成要素名、コンポーネントや通信路などの構成要素種別、透過フラグ、各構成要素が直接接続している通信路を示す接続先通信路からなる。ここで、透過フラグは、種別がコンポーネントの構成要素に対し、このコンポーネントを通過して他のコンポーネントにアクセスできるため、アクセス元抽出時に通信路として扱うことを意味するフラグであり、本実施の形態では「１」が通信路として扱い、「０」は通常のコンポーネントとして扱うことを意味する。
【００３１】
例えば、サーバＸは、サーバなので種別がコンポーネント、透過フラグは「０」、直接接続している通信路は、サブシステム１内ネットワークである。また、機器γは、種別はコンポーネント、透過フラグは、この機器を通過して他のコンポーネントにアクセスできるため「１」、直接接続している通信路は、サブシステム２内ネットワークと内部ネットワークである。
【００３２】
なお、本実施の形態では、以上の情報を構成リスト１０に記載しているが、別途、各構成要素の存在箇所や脅威を抽出する対象か否かを表す情報などを加えてもよい。また、本実施の形態では、接続先の通信路を分析者が入力する形態を示したが、分析者が入力した構成要素とその種別から、脅威分析装置１が抽出した通信路をリスト形式で表示して、分析者が選択する入力形態でもよい。また、脅威分析装置１が抽出した通信路と構成要素とを表形式で表示して、その表に分析者が接続先通信路として選択的に入力する入力形態でもよい。このような入力形態にすれば、分析者の記載ミスを軽減することができる。
【００３３】
次に、ステップＳ１０１において、脅威抽出部５は、分析者が入力した構成リスト１０と、共通情報記憶部３の脅威データベース９とを用いて、構成要素に対するアクセス元と、分析対象システムで想定される脅威を構成要素毎に抽出する。脅威データベース９は、脅威格納手段の一例である。
【００３４】
図６は、脅威データベース９の一例を示す図である。
図６において、脅威データベース９は、脅威の識別子であるＩＤと、脅威と、その脅威が対象となる構成要素の種別である脅威対象とから構成されている。脅威の記述中、［  ］の内容は、アクセス元抽出部１２により、分析対象システムに合わせて、アクセス可能なコンポーネントや通信路を特定することで、分析対象システム固有の脅威として抽出する。アクセス元抽出部１２の処理については後述する。
【００３５】
最後に、ステップＳ１０２において、脅威抽出部５は、上記の処理により脅威が抽出された後、脅威の分析結果を、分析対象情報記憶部４に記録し、脅威分析を終了する。
【００３６】
図７は、実施の形態１における脅威抽出部５による脅威の分析結果の一例を示す図である。
図７のサーバＸの脅威では、脅威データベース９の脅威の記述中、ＩＤが１の脅威における［コンポーネント］の箇所がサーバＹや端末Ｚ等に置き換えられ、また、ＩＤが２の脅威における［通信路］の箇所がサブシステム１内ネットワークに置き換えられて、分析対象システム固有の脅威として抽出される。なお、［  ］が無い盗聴の脅威は、そのまま記載される。
【００３７】
次に、アクセス元抽出部１２の処理について、図８〜図１０を用いて説明する。
図８は、実施の形態１におけるアクセス元の抽出処理の流れを示すフローチャート（その１）である。
図９は、実施の形態１におけるアクセス元の抽出処理の流れを示すフローチャート（その２）である。
図１０は、実施の形態１におけるアクセス元の抽出処理の流れを示すフローチャート（その３）である。
図８〜図１０は、図５に示した構成リスト１０において、種別がコンポーネントである１つの構成要素を対象として、そのアクセス元を抽出する処理である。アクセス元として抽出する対象は、前述したように、種別がコンポーネントと通信路の他の構成要素である。
【００３８】
まず、ステップＳ２００において、アクセス元抽出部１２は、構成リスト１０を参照して、対象の構成要素の接続先通信路をすべて探索リストに格納する。ここで、探索リストは、アクセス元抽出部１２によりアクセス元を探索する対象となる接続先通信路を格納するリストである。例えば、図３に示す分析対象システムの構成リスト１０である図５において、対象の構成要素をサーバＸとした場合、探索リストには、サブシステム１内ネットワークが格納される。
【００３９】
次に、ステップＳ２０１において、アクセス元抽出部１２は、探索リスト内の１つの通信路を探索通信路に設定する。図５のサーバＸの場合、探索リストには、サブシステム１内ネットワークが格納されているので、サブシステム１内ネットワークが探索通信路に設定される。
【００４０】
次に、ステップＳ２０２において、アクセス元抽出部１２は、構成リスト１０に記載されているすべての構成要素について探索するために、構成要素を１つ選択する。
【００４１】
次に、ステップＳ２０３において、アクセス元抽出部１２は、探索通信路が、選択された構成要素の接続先通信路に含まれているかを判定する。
【００４２】
探索通信路が、選択された構成要素の接続先通信路に含まれていない場合、Ｎｏの分岐に進み、ステップＳ２１２において、すべての構成要素を探索したかどうかを判定する。
【００４３】
探索通信路が、選択された構成要素の接続先通信路に含まれている場合、Ｙｅｓの分岐に進み、ステップＳ２０４において、選択された構成要素の種別が、コンポーネントであるか、通信路であるか、これら以外であるかを判定する。この判定では、図５に示す構成リスト１０における種別は、コンポーネントもしくは通信路であるため、これら以外の種別と判定することはないが、例えば、バックアップを保存するための媒体という種別がある場合、コンポーネントと通信路以外と判定される。
【００４４】
次に、Ｓ２０４の判定により選択された構成要素の種別がコンポーネントの場合、ステップＳ２０５において、アクセス元抽出部１２は、選択された構成要素がアクセス元として抽出済であるかどうかを判定する。選択された構成要素がアクセス元としてまだ抽出済でない場合、Ｎｏの分岐に進み、ステップＳ２０６において、アクセス元抽出部１２は、選択された構成要素は、対象の構成要素へアクセスできると判定して、選択された構成要素をアクセス元として特定する。
【００４５】
次に、ステップＳ２０７において、透過判定部１３が、アクセス元として抽出された構成要素を通信路として扱うか否かを、図５の構成リスト１０の透過フラグを用いて判定する。
【００４６】
透過フラグが「０」の場合、ステップＳ２１２に進み、Ｓ２０４の処理にて種別がコンポーネントや通信路ではない場合や、Ｓ２０６の処理で抽出済の構成要素の場合と同様に、すべての構成要素を探索したかどうかを判定する。
【００４７】
透過フラグが「１」の場合、ステップＳ２０８に進み、アクセス元として抽出された構成要素の接続先通信路が、探索リストにあるか否かを判定する。
【００４８】
接続先通信路が探索リストにない場合、ステップＳ２０９に進み、アクセス元として抽出された構成要素の接続先通信路を探索リストに追加する。その後、ステップＳ２１２に進み、探索リストにある場合と同様に、すべての構成要素を探索したかどうかを判定する。
【００４９】
次に、Ｓ２０４の処理において選択された構成要素の種別が通信路の場合、ステップＳ２１０に進み、選択された構成要素の通信路が探索リストにあるかどうかを判定する。
【００５０】
選択された構成要素の通信路が探索リストにない場合、ステップＳ２１１に進み、選択された構成要素を探索リストに追加する。その後、ステップＳ２１２に進み、探索リストにある場合と同様に、すべての構成要素を探索したかどうかを判定する。
【００５１】
以上の処理を、図５のサーバＸのアクセス元を抽出する場合について、具体的に説明する。
【００５２】
まず、Ｓ２０２において構成要素を１つ選択する際、サーバＸは同一の構成要素であるため、選択対象からはずす。次の構成要素であるサーバＹは、その種別がコンポーネントであるため、ステップＳ２０５に進む。次に、Ｓ２０５において、サーバＹはアクセス元として抽出されていないので、Ｓ２０６にてサーバＹがアクセス元として特定される。次に、ステップＳ２０７において、サーバＹの透過フラグは、図５の構成リスト１０から「０」であるため、Ｓ２１２の処理に進む。
【００５３】
次に、アクセス元抽出部１２は、まだすべての構成要素を探索していないので、Ｓ２０２の処理において次の構成要素を選択する。次の構成要素は端末Ｚであり、アクセス元抽出部１２は、ステップＳ２０３において、上述した処理を行ない、接続先通信路に探索通信路であるサブシステム１内ネットワークが含まれるため、端末Ｚがアクセス元として抽出される。
【００５４】
次の構成要素であるサブシステム１内ネットワークは、探索通信路と同じであるため、Ｓ２０２では選択されない。また、サーバαは、ステップＳ２０３において、接続先通信路に探索通信路であるサブシステム１内ネットワークが含まれていないため、アクセス元として抽出されない。
【００５５】
アクセス元抽出部１２は、上記のような処理を繰り返し、外部ネットワークがＳ２０２の処理で構成要素として選択された場合、外部ネットワークの接続先通信路には、探索通信路であるサブシステム１内ネットワークが含まれるので、Ｓ２０３の処理にてＹｅｓの分岐に進む。次に、Ｓ２０４にて、選択された構成要素である外部ネットワークの種別が通信路であるため、Ｓ２１０において、探索リストに外部ネットワークがあるかどうかを判定し、判定した結果、探索リストに外部ネットワークが無いので、Ｓ２１１において、探索リストに外部ネットワークが追加される。また、内部ネットワークも同様に探索リストに追加される。
【００５６】
以上の処理において、１つの探索通信路について、すべての構成要素を探索したことになるため、Ｓ２１２の処理にてＹｅｓの処理に進む。
【００５７】
次に、ステップＳ２１２において、アクセス元抽出部１２は、探索リストに格納されている通信路をすべて探索したかどうかを判定する。
【００５８】
探索リストに格納されている通信路をすべて探索していない場合、アクセス元抽出部１２は、ステップＳ２０１に進み、次の通信路を探索通信路に設定する。
【００５９】
探索リストに格納されている通信路をすべて探索した場合、アクセス元抽出部１２は、ステップＳ２１４に進み、探索リストに格納されている通信路をアクセス元とする。
【００６０】
以上の処理により、種別がコンポーネントである１つの構成要素に対し、アクセス元となるコンポーネントと通信路の抽出が完了する。
【００６１】
また、図５のサーバＸのアクセス元を抽出する場合、Ｓ２１３において、未探索の通信路として外部ネットワーク２３と内部ネットワーク２２が残っているため、アクセス元抽出部１２は、Ｓ２０１から再度同様の処理を行なう。
【００６２】
探索通信路が外部ネットワーク２３の場合、外部ネットワーク２３に接続されている構成要素はサブシステム３のみであるため、Ｓ２０６でサブシステム３（２１）がアクセス元として抽出される。
【００６３】
また、探索通信路が内部ネットワーク２２の場合、内部ネットワーク２２に接続されている構成要素は機器γであるため、Ｓ２０６で機器γがアクセス元として抽出される。
【００６４】
次に、Ｓ２０７の判断処理において、機器γの透過フラグは「１」であるため、Ｓ２０８に進み、機器γの接続先通信路であるサブシステム２内ネットワーク２５は探索リストに無いため、Ｓ２１１においてサブシステム２内ネットワーク２５が探索リストに追加される。
【００６５】
次に、Ｓ２０１において、探索通信路としてサブシステム２内ネットワーク２５が設定され、サブシステム２内ネットワーク２５を接続先通信路に含むサーバαと端末βがアクセス元として抽出される。
【００６６】
上記のような処理を行なうことで、サーバＸのアクセス元となるコンポーネントとして、サーバＹ、端末Ｚ、サブシステム３（２１）、機器γ、サーバα、端末βが抽出される。また、アクセス元となる通信路は、探索リストに格納されているサブシステム１内ネットワーク２４、外部ネットワーク２３、内部ネットワーク２２、サブシステム２内ネットワーク２５が抽出される。
【００６７】
なお、本実施の形態１では、分析対象システムの脅威を抽出することに焦点を当てた脅威分析装置１について示したが、脅威を抽出した後、各脅威の発生可能性や影響からリスクを導出するようにしてもよい。リスクを導出する手法は既存のもので可能である。
【００６８】
また、脅威の内容に、その脅威を引き起こす主体や脅威の対象となる情報などの保護資産を追加してもよい。
【００６９】
さらに、本実施の形態１では、透過判定部１３は、透過フラグを用いて判定したが、透過の有無を判別できればよいため、例えば、構成要素種別により透過の有無を区別するようにしてもよい。
【００７０】
また、本実施の形態１では、分析者が入力した構成リスト１０を用いて処理しているが、システム構成図の入力が可能となるユーザインタフェースを用いてもよいし、あるいは特定の言語、例えばＸＭＬで記載された構成リスト１０の入力が可能となるインタフェースを用いてもよい。
【００７１】
以上のように、本実施の形態１の発明では、探索リストを用いて間接的に接続されている通信路を探索しているので、分析対象システムの構成要素が直接接続されている通信路から、すべてのアクセス元を効率的に抽出することができる。特に大規模な分析対象システムの場合、人手による作業で発生する恐れのあるミスをすることなく、効率的にアクセス元を抽出することができるという効果がある。
【００７２】
また、１つの通信路にコンポーネントのみが接続されている分析対象システムだけでなく、通信路と通信路が接続されている構成を含む分析対象システムにおいても、脅威を抽出できる。そのため、ファイアウォールなどのセキュリティ対策を含む分析対象システムでも、脅威を抽出できる。透過判定部１３により、コンポーネントを通過した他のコンポーネントへのアクセスを判定できるため、ファイアウォールやスイッチなどのネットワーク機器や、計算機で実現したゲートウェイなどを含む様々の形態の分析対象システムに対しても、脅威を抽出できる。
【００７３】
また、構成要素が直接接続されている通信路からすべてのアクセス元を抽出することができるので、分析者は、間接的に接続されている通信路を考慮する必要がなく、構成リスト作成が容易となり、分析者のミスを削減することができる。
【００７４】
実施の形態２．
以上で説明した実施の形態１では、アクセス元抽出時に、透過フラグを用いて、種別がコンポーネントの構成要素を飛び越えたアクセス元を抽出する実施の形態を示したものであるが、次に、実施の形態２では、通信方向の制御を持つ構成要素を含む分析対象システムに対する脅威分析を行なう実施の形態を示す。
【００７５】
図１１は、実施の形態２に係る脅威分析装置の一構成例を示す図である。
図１１では、アクセス元抽出部１２は、方向判定部２６を備える。方向判定部２６以外の構成は、実施の形態１の構成と同じであるので、説明を省略する。
【００７６】
次に、実施の形態２に係る脅威分析装置１の動作について説明する。
本実施の形態２における脅威分析装置１を用いて脅威分析を行なう分析対象システムの構成は、図３と同じであるため、説明を省略する。ただし、機器γは、内部ネットワーク２２からサブシステム２内ネットワーク２５への通信を許可するが、サブシステム２内ネットワーク２５から内部ネットワーク２２への通信を許可しない設定になっているとする。
【００７７】
次に、実施の形態２における脅威分析の処理の流れを説明する。
本実施の形態２における脅威分析装置１を用いた脅威分析の処理フローは、基本的には、図４と同じである。以下、実施の形態１と異なる点を中心に脅威分析の処理の流れを説明する。
【００７８】
図４のＳ１００において、分析者は、構成リスト入力部７を用いて、分析対象システムを構成する構成要素やその種別などを入力する。
【００７９】
図１２は、実施の形態２における構成リストの一例を示す図である。
本実施の形態２では、構成リストは、構成要素名、コンポーネントや通信路などの構成要素種別、透過フラグ、各構成要素が直接接続している通信路を示す接続先通信路、接続先通信路に対して可能な通信方向を意味する方向フラグからなる。
【００８０】
本実施の形態２における方向フラグは、透過フラグが「１」の構成要素に対して設定され、通信元となる接続先通信路において通信が許可される場合には「１」、許可されない場合には「０」としている。図１２において、透過フラグが「１」である機器γの接続先通信路は、サブシステム２内ネットワーク２５と内部ネットワーク２２である。上述したように、機器γは、内部ネットワーク２２からサブシステム２内ネットワーク２５への通信を許可するが、サブシステム２内ネットワーク２５から内部ネットワーク２２への通信を許可しない設定になっているので、許可される通信の通信元である内部ネットワーク２２の方向フラグが「１」、許可されない通信の通信元であるサブシステム２内ネットワーク２５が「０」に設定されている。
【００８１】
次に、実施の形態２におけるアクセス元抽出部１２の処理について、図１３を用いて説明する。
図１３は、実施の形態２におけるアクセス元の抽出処理の流れを示すフローチャートである。
図１３では、図１２に示した構成リストにおいて、種別がコンポーネントである１つの構成要素を対象として、そのアクセス元を抽出する処理の一部を示している。図１３に記載されていない処理フローは、図８、図９の処理フローと同じである。つまり、図１３の処理フローは、図８において、アクセス元抽出処理が開始され、ステップＳ２０１において探索リスト内の１つの通信路を探索通信路と設定し、ステップＳ２０２において選択された構成要素の接続先通信路に、探索通信路が含まれるかをステップＳ２０３で判定し、判定の結果、探索通信路が含まれている場合に分岐するＢの処理である。
【００８２】
まず、Ｓ２０２により選択された構成要素の種別がコンポーネントの場合、ステップＳ３０５において、アクセス元抽出部１２は、選択された構成要素がアクセス元として抽出済であるかどうかを判定する。選択された構成要素がアクセス元としてまだ抽出済でない場合、Ｎｏの分岐に進み、ステップＳ３０６において、アクセス元抽出部１２は、選択された構成要素は、対象の構成要素へアクセスできると判定して、選択された構成要素をアクセス元として特定する。
【００８３】
次に、ステップＳ３０７において、透過判定部１３が、アクセス元として抽出された構成要素を通信路として扱うか否かを、図１２の構成リスト１０の透過フラグを用いて判定する。
【００８４】
透過フラグが「０」の場合、ステップＳ２１２に進み、ステップＳ２０４の処理にて種別がコンポーネントや通信路ではない場合や、ステップＳ２０６の処理で抽出済の構成要素の場合と同様に、すべての構成要素を探索したかどうかを判定する。
【００８５】
透過フラグが「１」の場合、ステップＳ３０８に進み、図１２の構成リストにおいて、探索通信路以外の接続先通信路の方向フラグを用いて、方向判定部２６が通信可能かどうかを判定する。
【００８６】
方向フラグが「０」の場合、ステップＳ２１２に進み、Ｓ２０４の処理にて種別がコンポーネントや通信路ではない場合や、Ｓ２０６の処理で抽出済の構成要素の場合と同様に、すべての構成要素を探索したかどうかを判定する。
【００８７】
方向フラグが「１」の場合、ステップＳ３０９に進み、アクセス元として抽出された構成要素の接続先通信路が、探索リストにあるか否かを判定する。
【００８８】
接続先通信路が探索リストにない場合、ステップＳ３１０に進み、アクセス元として抽出された構成要素の接続先通信路を探索リストに追加する。その後、ステップＳ２１２に進み、探索リストにある場合と同様に、すべての構成要素を探索したかどうかを判定する。
【００８９】
以上の処理を、サーバＸへのアクセス元を抽出する場合について、具体的に説明する。
例えば、ステップＳ３０６では、サーバＸへのアクセス元を抽出する処理において、探索通信路が内部ネットワーク２２である場合、内部ネットワーク２２に接続されている構成要素として機器γがアクセス元として特定される。ここで、機器γは、内部ネットワーク２２とサブシステム２内ネットワーク２５に接続されている。
【００９０】
次に、ステップＳ３０７において、透過判定部１３は、機器γの透過フラグが「１」であるので、機器γを通信路として扱うと判定し、ステップＳ３０８に進む。
【００９１】
次に、ステップＳ３０８において、方向判定部２６は、内部ネットワーク２２以外の接続先通信路であるサブシステム２内ネットワーク２５の方向フラグが「０」であることから、通信不可と判断してステップＳ２１２に進み、Ｓ２０４の処理にて種別がコンポーネントや通信路ではない場合や、Ｓ２０６の処理で抽出済の構成要素の場合と同様に、すべての構成要素を探索したかどうかを判定する。
【００９２】
また、サーバαへのアクセス元を抽出する処理においては、探索通信路がサブシステム２内ネットワーク２５である場合、ステップＳ３０６で、サブシステム２内ネットワーク２５に接続されている構成要素として機器γがアクセス元として特定される。
【００９３】
次に、ステップＳ３０７において、透過判定部１３は、機器γの透過フラグが「１」であるので、機器γを通信路として扱うと判定し、ステップＳ３０８に進む。
【００９４】
次に、ステップＳ３０８において、方向判定部２６は、サブシステム２内ネットワーク２５以外の接続先通信路である内部ネットワーク２２の方向フラグが「１」であることから、通信可能と判断し、ステップＳ３０９において、探索リストに内部ネットワーク２２があるかを判定し、無い場合は、内部ネットワーク２２を探索リストに追加する。
【００９５】
上記のような処理を行なうことで、サーバＸのアクセス元として、コンポーネントは、サーバＹ、端末Ｚ、サブシステム３（２１）、機器γが抽出され、通信路としては、サブシステム１内ネットワーク２４、外部ネットワーク２３、内部ネットワーク２２が抽出される。また、サーバαのアクセス元として、コンポーネントは、端末β、機器γ、サーバＸ、サーバＹ、端末Ｚ、サブシステム３（２１）が抽出され、通信路としては、サブシステム２内ネットワーク２５、内部ネットワーク２２、サブシステム１内ネットワーク２４、外部ネットワーク２３が抽出される。
【００９６】
なお、本実施の形態２では、分析対象システムの脅威を抽出することに焦点を当てた脅威分析装置１について示したが、脅威を抽出した後、各脅威の発生可能性や影響からリスクを導出するようにしてもよい。リスクを導出する手法は既存のもので可能である。
【００９７】
また、脅威の内容に、その脅威を引き起こす主体や脅威の対象となる情報などの保護資産を追加してもよい。
【００９８】
さらに、本実施の形態２では、透過判定部１３は、透過フラグを用いて判定したが、透過の有無を判別できればよいため、例えば、構成要素種別により透過の有無を区別するようにしてもよい。
【００９９】
また、本実施の形態２では、透過フラグが「１」の構成要素に対して方向フラグを設定しているが、種別がコンポーネントである構成要素の接続先通信路すべてに対して方向フラグを設定するようにしてもよい。
【０１００】
また、本実施の形態２では、分析者が入力した構成リスト１０を用いて処理しているが、システム構成図の入力が可能となるユーザインタフェースを用いてもよいし、あるいは特定の言語、例えばＸＭＬで記載された構成リスト１０の入力が可能となるインタフェースを用いてもよい。
【０１０１】
以上のように、本実施の形態２の発明によれば、実施の形態１で述べた効果に加えて、アクセス可能な通信を方向判定部２６にて判定しているため、ファイアウォールやデータダイオードなどによる可能な通信を反映した実施形態で、脅威を抽出することができるという効果が得られる。そのため、未対策の脅威のみ抽出され、セキュリティ対策により対策済の脅威は抽出されないので、効率的に脅威分析を実施することができる。
【０１０２】
実施の形態３．
以上で説明した実施の形態２では、２方向の通信に関する実施の形態を示したものであるが、次に、実施の形態３では、ＤＭＺ（ｄｅｍｉｌｉｔａｒｉｚｅｄ  ｚｏｎｅ）が設けられているファイアウォールのような３方向の通信制御を持つ構成要素を含む分析対象システムに対する脅威分析を行なう実施の形態を示す。
【０１０３】
図１４は、実施の形態３に係る脅威分析装置の一構成例を示す図である。
図１４では、アクセス元抽出部１２は、第二の方向判定部２７を備える。第二の方向判定部２７以外の構成は、実施の形態１の構成と同じであるので、説明を省略する。
【０１０４】
次に、本実施の形態３に係る脅威分析装置１の動作について説明する。
図１５は、実施の形態３における脅威分析装置１を用いて脅威分析を行なう分析対象システムの一構成例を示す図である。
【０１０５】
図１５において、分析対象システムは、サブシステム１（１９）と、外部ネットワークを介して接続されているサブシステム２（２０）から構成されている。サブシステム１（１９）は、内部にサーバＸ、サーバＹ、端末Ｚ、機器Ｗを含む。サーバＹと端末Ｚは、内部ネットワーク１（２８）を介して機器Ｗに接続され、サーバＸは、内部ネットワーク２（２９）を介して機器Ｗと接続されている。機器Ｗが内部ネットワーク３（３０）と外部ネットワーク（２３）を介してサブシステム２（２０）と接続されている。機器Ｗは、ファイアウォールのような通信機器を想定しており、内部ネットワーク１（２８）から内部ネットワーク２（２９）、内部ネットワーク３（３０）の通信は許可、内部ネットワーク２（２９）から内部ネットワーク１（２８）と内部ネットワーク３（３０）への通信は不許可、内部ネットワーク３から（３０）内部ネットワーク１（２８）への通信は不許可、内部ネットワーク２（２９）への通信は許可されている設定になっているとする。
【０１０６】
次に、実施の形態３における脅威分析の処理の流れを説明する。
本実施の形態３における脅威分析装置１を用いた脅威分析の処理フローは、基本的には、図４と同じである。以下、実施の形態１と異なる点を中心に脅威分析の処理の流れを説明する。
【０１０７】
図４のＳ１００において、分析者は、構成リスト入力部７を用いて、構成リストと特性表を入力する。
【０１０８】
図１６は、実施の形態３における構成リストの一例を示す図である。
図１７は、実施の形態３における特性表の一例を示す図である。
本実施の形態３の構成リストは、構成要素名、コンポーネントや通信路などの構成要素種別、透過フラグ、各構成要素が直接接続している通信路を示す接続先通信路であり、各項目は、実施の形態１と同じである。図１７の特性表は、透過フラグが「１」の構成要素における接続先通信路に対して可能な通信方向を意味している。本実施の形態３における特性表は、接続先通信路における通信元から通信先への通信が許可される場合には「１」、許可されない場合には「０」としている。図１５において、透過フラグが「１」である機器Ｗの接続先通信路は、内部ネットワーク１、内部ネットワーク２、内部ネットワーク３である。上述のような設定の機器Ｗの特性表は、図１７のようになる。
【０１０９】
次に、実施の形態３におけるアクセス元抽出部１２の処理について、図１８を用いて説明する。
図１８は、実施の形態３におけるアクセス元の抽出処理の流れを示すフローチャートである。
図１８では、図１６に示した構成リストにおいて、種別がコンポーネントである１つの構成要素を対象として、そのアクセス元を抽出する処理の一部を示している。図１８に記載されていない処理フローは、図８、図９の処理フローと同じである。つまり、図１８の処理フローは、図８において、アクセス元抽出処理が開始され、ステップＳ２０１において探索リスト内の１つの通信路を探索通信路と設定し、ステップＳ２０２において選択された構成要素の接続先通信路に、探索通信路が含まれるかをステップＳ２０３で判定し、判定の結果、探索通信路が含まれている場合に分岐するＢの処理である。
【０１１０】
まず、ステップＳ４０４において、アクセス元抽出部１２は、Ｓ２０２により選択された構成要素の種別を判定する。種別がコンポーネントの場合、ステップＳ４０５において、アクセス元抽出部１２は、選択された構成要素がアクセス元として抽出済であるかどうかを判定する。選択された構成要素がアクセス元としてまだ抽出済でない場合、Ｎｏの分岐に進み、ステップＳ４０６において、アクセス元抽出部１２は、選択された構成要素は、対象の構成要素へアクセスできると判定して、選択された構成要素をアクセス元として特定する。
【０１１１】
次に、ステップＳ４０７において、透過判定部１３が、アクセス元として抽出された構成要素を通信路として扱うか否かを、図１６の構成リスト１０の透過フラグを用いて判定する。
【０１１２】
透過フラグが「０」の場合、ステップＳ２１２に進み、Ｓ２０４の処理にて種別がコンポーネントや通信路ではない場合や、Ｓ２０６の処理で抽出済の構成要素の場合と同様に、すべての構成要素を探索したかどうかを判定する。
【０１１３】
透過フラグが「１」の場合、ステップＳ４０８に進み、図１７の特性表において、第二の方向判定部２７が、探索通信路を通信先として「１」である通信元が特性表にあるか否か、つまり、探索通信路以外の接続先通信路に通信可能かどうかを判定する。
【０１１４】
探索通信路を通信先として「１」である通信元が特性表にある場合、Ｙｅｓの分岐によりステップＳ２１２に進み、ステップＳ２０４の処理にて種別がコンポーネントや通信路ではない場合や、ステップＳ２０６の処理で抽出済の構成要素の場合と同様に、すべての構成要素を探索したかどうかを判定する。
【０１１５】
探索通信路を通信先として「１」である通信元が特性表にない場合、Ｎｏの分岐に進み、ステップＳ４０９において、アクセス元抽出部１２は、その接続先通信路が、探索リストにあるか否かを判定する。
【０１１６】
接続先通信路が探索リストにない場合、ステップＳ４１０に進み、アクセス元として抽出された構成要素の接続先通信路を探索リストに追加する。その後、ステップＳ２１２に進み、探索リストにある場合と同様に、すべての構成要素を探索したかどうかを判定する。
【０１１７】
以上の処理を、サーバＸへのアクセス元を抽出する場合について、具体的に説明する。
例えば、ステップＳ４０６では、サーバＸへのアクセス元を抽出する処理において、探索通信路が内部ネットワーク２である場合、内部ネットワーク２に接続されている構成要素として機器Ｗが選択され、機器Ｗがアクセス元として特定される。
【０１１８】
次に、ステップＳ４０７において、透過判定部１３は、機器Ｗの透過フラグが「１」であるので、機器Ｗを通信路として扱うと判定し、ステップＳ４０８に進む。
【０１１９】
次に、ステップＳ４０８にて、図１７の特性表において、通信先が内部ネットワーク２で「１」の通信路は内部ネットワーク１と内部ネットワーク３である。そのため、ステップＳ４０９において、アクセス元抽出部１２は、これらの通信路が探索リストにあるかを判定して、無い場合にはＮｏの分岐に進み、ステップＳ４１０において、探索リストに追加する。
【０１２０】
また、サーバＹへのアクセス元を抽出する処理においては、探索通信路が内部ネットワーク１である場合、内部ネットワーク１に接続されている構成要素として機器Ｗが選択され、ステップＳ４０６で、機器Ｗがアクセス元として特定される。機器Ｗは、透過フラグが「１」のため、ステップＳ４０７の判断によりステップＳ４０８に進む。
【０１２１】
次に、ステップＳ４０８において、アクセス元抽出部１２は、図１７の特性表を参照し、通信先が内部ネットワーク１で「１」の通信路が特性表にあるか否かを判定する。ここで、図１７の特性表では、通信先が内部ネットワーク１で「１」の通信路は存在しない。そのため、探索リストには追加されず、Ｙｅｓの分岐によりステップＳ２１２に進み、Ｓ２０４の処理にて種別がコンポーネントや通信路ではない場合や、Ｓ２０６の処理で抽出済の構成要素の場合と同様に、すべての構成要素を探索したかどうかを判定する。
【０１２２】
上記のような処理を行なうことで、サーバＸのアクセス元として、コンポーネントは、サーバＹ、端末Ｚ、サブシステム２（２０）、機器Ｗが抽出され、通信路として、内部ネットワーク１（２８）、内部ネットワーク２（２９）、内部ネットワーク３（３０）、外部ネットワーク２３が抽出される。また、サーバＹのアクセス元として、端末Ｚ、機器Ｗが抽出され、通信路として内部ネットワーク１（２８）のみが抽出される。
【０１２３】
なお、本実施の形態３では、分析対象システムの脅威を抽出することに焦点を当てた脅威分析装置１について示したが、脅威を抽出した後、各脅威の発生可能性や影響からリスクを導出するようにしてもよい。リスクを導出する手法は既存のもので可能である。
【０１２４】
また、脅威の内容に、その脅威を引き起こす主体や脅威の対象となる情報などの保護資産を追加してもよい。
【０１２５】
さらに、本実施の形態３では、透過判定部１３は、透過フラグを用いて判定したが、透過の有無を判別できればよいため、例えば、構成要素種別により透過の有無を区別するようにしてもよい。
【０１２６】
また、本実施の形態３では、分析者が入力した構成リスト１０を用いて処理しているが、システム構成図の入力が可能となるユーザインタフェースを用いてもよいし、あるいは特定の言語、例えばＸＭＬで記載された構成リスト１０の入力が可能となるインタフェースを用いてもよい。
【０１２７】
以上のように、本実施の形態３の発明によれば、実施の形態１で述べた効果に加えて、アクセス可能な通信を第二の方向判定部２７により判定しているため、ＤＭＺ（ｄｅｍｉｌｉｔａｒｉｚｅｄ  ｚｏｎｅ）が設けられているファイアウォールのような３方向の通信制御を持つ構成要素を含む分析対象システムに対する脅威分析を実施することができるという効果がある。そのため、未対策の脅威のみ抽出され、セキュリティ対策により対策済の脅威は抽出されないので、効率的に脅威分析を実施することができる。
【符号の説明】
【０１２８】
１  脅威分析装置、２  入出力部、３  共通情報記憶部、４  分析対象情報記憶部、５  脅威抽出部、６  制御部、７  構成リスト入力部、８  脅威選択部、９  脅威データベース、１０  構成リスト、１１  分析結果、１２  アクセス元抽出部、１３  透過判定部、１４  演算装置、１５  外部記憶装置、１６  主記憶装置、１７  通信装置、１８  入出力装置、１９  サブシステム１、２０  サブシステム２、２１  サブシステム３、２２  内部ネットワーク、２３  外部ネットワーク、２４  サブシステム１内ネットワーク、２５  サブシステム２内ネットワーク、２６  方向判定部、２７  第二の方向判定部、２８  内部ネットワーク１、２９  内部ネットワーク２、３０  内部ネットワーク３。
【図１】
0006384465.tif 000002
【図２】
0006384465.tif 000003
【図３】
0006384465.tif 000004
【図４】
0006384465.tif 000005
【図５】
0006384465.tif 000006
【図６】
0006384465.tif 000007
【図７】
0006384465.tif 000008
【図８】
0006384465.tif 000009
【図９】
0006384465.tif 000010
【図１０】
0006384465.tif 000011
【図１１】
0006384465.tif 000012
【図１２】
0006384465.tif 000013
【図１３】
0006384465.tif 000014
【図１４】
0006384465.tif 000015
【図１５】
0006384465.tif 000016
【図１６】
0006384465.tif 000017
【図１７】
0006384465.tif 000018
【図１８】
0006384465.tif 000019