(57)【特許請求の範囲】
【請求項１】
リスク評価の対象システムを構成する機器、ネットワーク、前記機器に関する脆弱性、およびセキュリティ設定の各情報を互いに関連付けたデータベースを保持する記憶装置と、
前記機器、前記ネットワーク、前記脆弱性、および前記セキュリティ設定の各情報を、グラフ理論に基づく所定アルゴリズムに適用して、ネットワーク上での各機器の配置に応じた脆弱性およびセキュリティ設定の影響関係について規定するリスク評価モデルである簡易リスク評価モデルとして、前記機器、前記脆弱性、および前記セキュリティ設定をノードとし、前記ネットワーク情報が示す前記対象システムのネットワーク構成に基づいて、前記機器と前記脆弱性および前記セキュリティ設定との間をアークで接続した非循環有向グラフを作成し、前記非循環有向グラフをベイジアンネットワークの推論アルゴリズムに適用して、前記対象システムの脆弱性がもたらすリスクを評価し、当該評価結果を所定装置に出力する演算装置と、
を備えることを特徴とするリスク評価システム。
【請求項２】
前記演算装置は、
前記非循環有向グラフを、前記リスク評価モデルたる簡易リスク評価モデルとして作成するに際し、攻撃源となる所定機器を最上位ノードとし、前記攻撃源の所定機器からその他の各機器へ攻撃が届くまでのホップ数に応じて各機器をレベル分けし、上位レベルの機器から下位レベルの機器へのみアークを接続する制約条件に基づいて、前記非循環有向グラフを作成し、前記非循環有向グラフをベイジアンネットワークの推論アルゴリズムに適用して、前記対象システムの脆弱性がもたらすリスクを評価し、当該評価結果を所定装置に出力するものである、
ことを特徴とする請求項１に記載のリスク評価システム。
【請求項３】
前記記憶装置は、
前記データベースにおいて、前記機器の状態定義を更に記憶するものであり、
前記演算装置は、
前記非循環有向グラフを、前記リスク評価モデルとして作成するに際し、前記機器のうち機器状態が前記記憶装置にて定義されているものについて、その機器のノードに代えて、該当機器の各機器状態のノードを配置し、前記機器状態と前記脆弱性および前記セキュリティ設定との各ノード間をアークで接続した非循環有向グラフを、前記リスク評価モデルたる詳細リスク評価モデルとして作成し、前記非循環有向グラフをベイジアンネットワークの推論アルゴリズムに適用して、前記対象システムの脆弱性がもたらすリスクを評価し、当該評価結果を所定装置に出力するものである、
ことを特徴とする請求項１に記載のリスク評価システム。
【請求項４】
前記記憶装置は、
前記データベースにおいて、前記機器の状態定義を更に記憶するものであり、
前記演算装置は、
前記非循環有向グラフを、前記リスク評価モデルたる簡易リスク評価モデルとして作成し、
前記簡易リスク評価モデルを、当該リスク評価モデルに対応する所定の推論アルゴリズムに適用して、前記対象システムにおける脆弱性がもたらすリスクを評価し、当該評価で得たリスクの値が所定基準以上の機器であり、機器状態が前記記憶装置にて定義されているものについて、その機器のノードに代えて、該当機器の各機器状態のノードを配置し、前記機器状態と前記脆弱性および前記セキュリティ設定との各ノード間をアークで接続した非循環有向グラフを、前記リスク評価モデルたる詳細リスク評価モデルとして作成し、前記非循環有向グラフをベイジアンネットワークの推論アルゴリズムに適用して、前記対象システムの脆弱性がもたらすリスクを評価し、当該評価結果を所定装置に出力するものである、
ことを特徴とする請求項１に記載のリスク評価システム。
【請求項５】
前記記憶装置は、
前記データベースにおいて、前記機器に対する攻撃前後での各機器状態の定義を更に記憶するものであり、
前記演算装置は、
前記非循環有向グラフを、前記リスク評価モデルとして作成するに際し、前記機器のうち機器状態が前記記憶装置にて定義されているものについて、その機器のノードに代えて、該当機器の各機器状態のノードを配置し、前記機器状態と前記脆弱性および前記セキュリティ設定との各ノード間をアークで接続し、前記機器状態の間を攻撃前後の関係に基づきアークで接続した非循環有向グラフを、前記リスク評価モデルたる詳細リスク評価モデルとして作成し、前記非循環有向グラフをベイジアンネットワークの推論アルゴリズムに適用して、前記対象システムの脆弱性がもたらすリスクを評価し、当該評価結果を所定装置に出力するものである、
ことを特徴とする請求項１に記載のリスク評価システム。
【請求項６】
リスク評価の対象システムを構成する機器、ネットワーク、前記機器に関する脆弱性、およびセキュリティ設定の各情報を互いに関連付けたデータベースを保持する記憶装置を備えた情報処理システムが、
前記機器、前記ネットワーク、前記脆弱性、および前記セキュリティ設定の各情報を、グラフ理論に基づく所定アルゴリズムに適用して、ネットワーク上での各機器の配置に応じた脆弱性およびセキュリティ設定の影響関係について規定するリスク評価モデルである簡易リスク評価モデルとして、前記機器、前記脆弱性、および前記セキュリティ設定をノードとし、前記ネットワーク情報が示す前記対象システムのネットワーク構成に基づいて、前記機器と前記脆弱性および前記セキュリティ設定との間をアークで接続した非循環有向グラフを作成し、前記非循環有向グラフをベイジアンネットワークの推論アルゴリズムに適用して、前記対象システムの脆弱性がもたらすリスクを評価し、当該評価結果を所定装置に出力する、
ことを特徴とするリスク評価方法。
【請求項７】
前記情報処理システムが、
前記非循環有向グラフを、前記リスク評価モデルたる簡易リスク評価モデルとして作成するに際し、攻撃源となる所定機器を最上位ノードとし、前記攻撃源の所定機器からその他の各機器へ攻撃が届くまでのホップ数に応じて各機器をレベル分けし、上位レベルの機器から下位レベルの機器へのみアークを接続する制約条件に基づいて、前記非循環有向グラフを作成し、前記非循環有向グラフをベイジアンネットワークの推論アルゴリズムに適用して、前記対象システムの脆弱性がもたらすリスクを評価し、当該評価結果を所定装置に出力する、
ことを特徴とする請求項６に記載のリスク評価方法。
【請求項８】
前記情報処理システムが、
前記記憶装置の前記データベースにおいて、前記機器の状態定義を更に記憶し、
前記非循環有向グラフを、前記リスク評価モデルとして作成するに際し、前記機器のうち機器状態が前記記憶装置にて定義されているものについて、その機器のノードに代えて、該当機器の各機器状態のノードを配置し、前記機器状態と前記脆弱性および前記セキュリティ設定との各ノード間をアークで接続した非循環有向グラフを、前記リスク評価モデルたる詳細リスク評価モデルとして作成し、前記非循環有向グラフをベイジアンネットワークの推論アルゴリズムに適用して、前記対象システムの脆弱性がもたらすリスクを評価し、当該評価結果を所定装置に出力する、
ことを特徴とする請求項６に記載のリスク評価方法。
【請求項９】
前記情報処理システムが、
前記記憶装置の前記データベースにおいて、前記機器の状態定義を更に記憶し、
前記非循環有向グラフを、前記リスク評価モデルたる簡易リスク評価モデルとして作成し、
前記簡易リスク評価モデルを、当該リスク評価モデルに対応する所定の推論アルゴリズムに適用して、前記対象システムにおける脆弱性がもたらすリスクを評価し、当該評価で得たリスクの値が所定基準以上の機器であり、機器状態が前記記憶装置にて定義されているものについて、その機器のノードに代えて、該当機器の各機器状態のノードを配置し、前記機器状態と前記脆弱性および前記セキュリティ設定との各ノード間をアークで接続した非循環有向グラフを、前記リスク評価モデルたる詳細リスク評価モデルとして作成し、前記非循環有向グラフをベイジアンネットワークの推論アルゴリズムに適用して、前記対象システムの脆弱性がもたらすリスクを評価し、当該評価結果を所定装置に出力する、
ことを特徴とする請求項６に記載のリスク評価方法。
【請求項１０】
前記情報処理システムが、
前記記憶装置の前記データベースにおいて、前記機器に対する攻撃前後での各機器状態の定義を更に記憶し、
前記非循環有向グラフを、前記リスク評価モデルとして作成するに際し、前記機器のうち機器状態が前記記憶装置にて定義されているものについて、その機器のノードに代えて、該当機器の各機器状態のノードを配置し、前記機器状態と前記脆弱性および前記セキュリティ設定との各ノード間をアークで接続し、前記機器状態の間を攻撃前後の関係に基づきアークで接続した非循環有向グラフを、前記リスク評価モデルたる詳細リスク評価モデルとして作成し、前記非循環有向グラフをベイジアンネットワークの推論アルゴリズムに適用して、前記対象システムの脆弱性がもたらすリスクを評価し、当該評価結果を所定装置に出力する、
ことを特徴とする請求項６に記載のリスク評価方法。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、リスク評価システムおよびリスク評価方法に関するものであり、具体的には、脆弱性個々の技術的な特性に加え、システム構成やトポロジに基づいて脆弱性リスクを評価し、現実のシステム状況に対応した有効性の高いリスク評価を可能とする技術に関する。
【背景技術】
【０００２】
現在、多種多様なソフトウェアが利用されているが、ソフトウェアはプログラム上の不具合や仕様上の問題点など、ソフトウェア脆弱性と呼ばれる欠陥を有していることがある。公的なセキュリティ団体は、ソフトウェア脆弱性情報をデータベース化し、年間約５、０００件ものソフトウェア脆弱性を公開し、注意喚起を行っている。一方で、そうした脆弱性情報が公開された直後から、悪意の攻撃者による同脆弱性を利用した攻撃が著しく増加する傾向にあることが報告されている。そのため、情報システムを運用するシステム管理者は、脆弱性に関する公開情報に敏感に反応し、迅速に対応する必要がある。
【０００３】
一般的に、脆弱性対策においては、対象となるシステムの情報と脆弱性情報とを取得し、両情報の関係性や、脆弱性情報がもたらすリスク等を評価して、これに基づいて有効な対策手段を立案し、実際に対策の適用が行われる。
【０００４】
しかし、個々のシステムにとって無関係な脆弱性情報も多く公開されるため、システム管理者が対象システムに関する脆弱性情報を常に漏れなく収集し、全ての脆弱性情報に対して対策を実行することは時間および手間の観点からも大変困難であり、対策前に脆弱性攻撃を受けてしまう場合がある。また、脆弱性がシステムにもたらすリスクはシステム構成次第であり、システム知識とセキュリティ知識が必要なため、高度なセキュリティ知識を持たないシステム管理者にとって脆弱性がもたらすリスクを正しく評価することは困難である。
【０００５】
そこで、システム情報や脆弱性情報を収集、管理し、それら情報を正しく関連付けし、その脆弱性がシステムにもたらすリスクを評価する技術が必要となっている。このような、システムの脆弱性を管理、評価する従来技術としては、例えば、製品ＤＢ及び脆弱性キーワードＤＢに脆弱性の特性を示すキーワードを複数記憶させておき、キーワード抽出部が、脆弱性関連情報収集部により収集した脆弱性情報から、製品ＤＢ及び脆弱性キーワードＤＢに蓄積されているキーワードに合致するキーワードを抽出し、優先度判定部が、優先度判定ＤＢの内容に従い、キーワード抽出結果に基づいて脆弱性情報の優先度を判定し、出力部が優先度の判定結果を出力する情報処理装置（特許文献１参照）などが提案されている。この技術においては、製品情報と脆弱性情報からリスク評価することで、脆弱性対策の効率化を図っている。
【先行技術文献】
【特許文献】
【０００６】
【特許文献１】特開２００７−０５８５１４号公報
【発明の概要】
【発明が解決しようとする課題】
【０００７】
従来技術においては、脆弱性情報と製品情報とを対応付けることで、膨大な脆弱性情報の中から管理対象のシステムに関係する脆弱性情報を選別し、同脆弱性情報が示す脆弱性の技術的な特性に基づいて、同システムに同脆弱性がもたらすリスクの評価を可能にして
いる。
【０００８】
しかしながら実際のシステムでは、技術的にはリスクが高い脆弱性であってもネットワーク境界面より守られているため対策が不要なケースも存在する。例えば、或る脆弱性に対して外部から容易にアクセス可能となっている機器と、同じ脆弱性を有するがネットワークの奥深くで守られている機器とを比較した場合、外部アクセスが容易な機器上の脆弱性に対して対策を優先的に行うべきである。そのため、脆弱性リスク評価では、製品情報と脆弱性情報だけでなく、システム構成やトポロジについても踏まえた評価を行うことが望ましい。
【０００９】
そこで本発明の目的は、脆弱性個々の技術的な特性に加え、システム構成やトポロジに基づいて脆弱性リスクを評価し、現実のシステム状況に対応した有効性の高いリスク評価を可能とする技術を提供することにある。
【課題を解決するための手段】
【００１０】
上記課題を解決する本発明のリスク評価システムは、リスク評価の対象システムを構成する機器、ネットワーク、前記機器に関する脆弱性、およびセキュリティ設定の各情報を互いに関連付けたデータベースを保持する記憶装置と、前記機器、前記ネットワーク、前記脆弱性、および前記セキュリティ設定の各情報を、グラフ理論に基づく所定アルゴリズムに適用して、ネットワーク上での各機器の配置に応じた脆弱性およびセキュリティ設定の影響関係について規定するリスク評価モデルである簡易リスク評価モデルとして、前記機器、前記脆弱性、および前記セキュリティ設定をノードとし、前記ネットワーク情報が示す前記対象システムのネットワーク構成に基づいて、前記機器と前記脆弱性および前記セキュリティ設定との間をアークで接続した非循環有向グラフを作成し、前記非循環有向グラフをベイジアンネットワークの推論アルゴリズムに適用して、前記対象システムの脆弱性がもたらすリスクを評価し、当該評価結果を所定装置に出力する演算装置と、を備えることを特徴とする。
【００１１】
また、本発明のリスク評価方法は、リスク評価の対象システムを構成する機器、ネットワーク、前記機器に関する脆弱性、およびセキュリティ設定の各情報を互いに関連付けたデータベースを保持する記憶装置を備えた情報処理システムが、前記機器、前記ネットワーク、前記脆弱性、および前記セキュリティ設定の各情報を、グラフ理論に基づく所定アルゴリズムに適用して、ネットワーク上での各機器の配置に応じた脆弱性およびセキュリティ設定の影響関係について規定するリスク評価モデルである簡易リスク評価モデルとして、前記機器、前記脆弱性、および前記セキュリティ設定をノードとし、前記ネットワーク情報が示す前記対象システムのネットワーク構成に基づいて、前記機器と前記脆弱性および前記セキュリティ設定との間をアークで接続した非循環有向グラフを作成し、前記非循環有向グラフをベイジアンネットワークの推論アルゴリズムに適用して、前記対象システムの脆弱性がもたらすリスクを評価し、当該評価結果を所定装置に出力する、ことを特徴とする。
【発明の効果】
【００１２】
本発明によれば、脆弱性個々の技術的な特性に加え、システム構成やトポロジに基づいて脆弱性リスクを評価し、現実のシステム状況に対応した有効性の高いリスク評価が可能となる。
【図面の簡単な説明】
【００１３】
【図１】本実施形態におけるリスク評価システムを含むネットワーク構成例を示す図である。
【図２】本実施形態の管理対象機器の機能構成例を示す図である。
【図３】本実施形態の情報収集サーバの機能構成例を示す図である。
【図４】本実施形態のセキュリティナレッジ提供機関サーバの機能構成例を示す図である。
【図５】本実施形態のクライアントの機能構成例を示す図である。
【図６】本実施形態のリスク評価サーバの機能構成例を示す図である。
【図７】本実施形態のリスク評価システムを構成するコンピュータのハードウェア構成例を示す図である。
【図８】本実施形態のデータベースに格納されるデータテーブルの一覧の例を示す図である。
【図９】本実施形態のユーザ情報テーブルの例を示す図である。
【図１０】本実施形態のネットワーク情報テーブルの例を示す図である。
【図１１】本実施形態の機器情報テーブルの例を示す図である。
【図１２】本実施形態の脆弱性情報テーブルの例を示す図である。
【図１３】本実施形態のセキュリティ設定情報テーブルの例を示す図である。
【図１４】本実施形態の状態定義テーブルの例を示す図である。
【図１５】本実施形態におけるリスク評価方法の手順例１を示すフロー図である。
【図１６】本実施形態におけるリスク評価方法の手順例２を示すフロー図である。
【図１７】本実施形態におけるリスク評価方法の手順例３を示すフロー図である。
【図１８】本実施形態における画面例１を示す図である。
【図１９】本実施形態におけるリスク評価方法の手順例４を示すフロー図である。
【図２０】本実施形態におけるリスク評価方法の手順例５を示すフロー図である。
【図２１】本実施形態におけるリスク評価方法の手順例６を示すフロー図である。
【図２２】本実施形態におけるリスク評価方法の手順例７を示すフロー図である。
【図２３】本実施形態におけるリスク評価方法の手順例８を示すフロー図である。
【図２４】本実施形態における簡易リスク評価モデルの例を示す図である。
【図２５】本実施形態における条件付き確率表の例１を示す図である。
【図２６】本実施形態における条件付き確率表の例２を示す図である。
【図２７】本実施形態におけるリスク評価方法の手順例９を示すフロー図である。
【図２８】本実施形態におけるリスク評価方法の手順例１０を示すフロー図である。
【図２９】本実施形態における詳細リスク評価モデルの例を示す図である。
【図３０】本実施形態における条件付き確率表の例３を示す図である。
【図３１】本実施形態における条件付き確率表の例４を示す図である。
【図３２】本実施形態における画面例２を示す図である。
【発明を実施するための形態】
【００１４】
−−−システム構成−−−
【００１５】
以下に本発明の実施形態について図面を用いて詳細に説明する。図１は、本実施形態のリスク評価システム１０を含むネットワーク構成図である。図１に示すリスク評価システム１０は、脆弱性個々の技術的な特性に加え、システム構成やトポロジに基づいて脆弱性リスクを評価し、現実のシステム状況に対応した有効性の高いリスク評価を可能とするコンピュータシステムである。
【００１６】
図１に例示する本実施形態のリスク評価システム１０が含まれるネットワーク１０２には、リスク評価の対象システムを構成する管理対象機器１０１、情報収集サーバ１０３、セキュリティナレッジ公開機関サーバ１０４、データベース１０５、クライアント１０６、およびリスク評価サーバ１０７が接続されている。こうした装置らのうち、リスク評価システム１０は少なくともリスク評価サーバ１０７から構成され、このリスク評価サーバ１０７がデータベース１０５にアクセス可能であるとする。勿論、リスク評価システム１０がリスク評価サーバ１０７以外の装置らを適宜含んで構成されるとしてもよい。
【００１７】
上述のネットワーク１０２に接続された装置のうち、管理対象機器１０１は、システム管理者がリスク評価対象として管理するシステムすなわち対象システムを構成する機器であり、複数の管理対象機器１０１＿１〜１０１＿ｎを例示している。本実施形態において評価対象となるのは、この管理対象機器１０１が保有する脆弱性がもたらすリスクである。
【００１８】
また、情報収集サーバ１０３は、リスク評価の対象システム、すなわち上述の管理対象機器１０１に関する情報（システム情報。各管理対象機器１０１の識別情報、所属するネットワークに関する情報など）と、インターネット１０２＿２上でセキュリティナレッジ公開機関サーバ１０４によって公開されたセキュリティ情報（上述の管理対象機器１０１に関連する少なくとも脆弱性情報）を収集する機器である。一方、セキュリティナレッジ公開機関サーバ１０４は、インターネット１０２＿２上でセキュリティナレッジを公開している所定機関のサーバ装置である。このセキュリティナレッジ公開機関サーバ１０４の運営機関の例としては、コンピュータウィルスの検知と対処など各種セキュリティ対策サービスを提供する企業や、ＯＳ（Ｏｐｅｒａｔｉｎｇ  Ｓｙｓｔｅｍ）の提供企業などが想定できる。こうした運用機関は、特定の情報処理装置やＯＳ、或いはソフトウェアに関して得ている、情報セキュリティに関する脆弱性情報をこのセキュリティナレッジ公開機関サーバ１０４によって公開する。
【００１９】
なお、上述の管理対象機器１０１と情報収集サーバ１０３はネットワーク１０２＿１で接続されており、情報収集サーバ１０３とセキュリティナレッジ公開機関サーバ１０４はインターネット１０２＿２で接続されている。
【００２０】
また、データベース１０５は、情報収集サーバ１０３が収集した上述のシステム情報とセキュリティ設定情報、セキュリティナレッジ等を格納する記憶装置であり、ネットワーク１０２＿３を介してリスク評価サーバ１０７と通信可能に結ばれている。或いは、このデータベース１０５は、リスク評価サーバ１０７の外部記憶装置７０４（図７参照）に格納されているとしても好適である。一般的に、ＣＣＥに代表されるようなセキュリティ設定の情報は、ソフトウェア脆弱性情報と比べて更新頻度が少ない情報であるため、システム内で予め規定して当該データベース１０５にて保持する形態を想定する。但し、脆弱性情報と同様に、セキュリティナレッジ提供機関や各ソフトウェアのベンダから収集するとしても良い。
【００２１】
また、クライアント１０６は、システム管理者が直接操作する一般的なコンピュータ端末であり、リスク評価サーバ１０７による処理結果、すなわちリスク評価結果の主たる出力先となる装置となる。
【００２２】
また、リスク評価サーバ１０７は、データベース１０５上の情報と、クライアント１０６を介して受けたシステム管理者の要求とに基づき、本実施形態のリスク評価方法に対応する各手順を実行するサーバ装置である。このリスク評価サーバ１０７は、上述の情報収集サーバ１０３の機能、構成を含んで構成するとしても良い。
【００２３】
なお、本実施形態においては、ネットワーク１０２＿１、１０２＿２、１０２＿３は異なるネットワークとして例示したが、同一のネットワークであっても良い。また、ネットワーク１０２＿１、１０２＿２は必須ではなく、情報収集サーバ１０３がＵＳＢからの読み取りや適宜なインターフェイスからのユーザ入力動作を受けてデータを取得するとしてもよい。また、図１のネットワーク構成において符号を付した構成要素は、実施形態に応じて複数であるとしてもよい。
−−−機能構成−−−
【００２４】
続いて、本実施形態のリスク評価システム１０が備える機能について説明する。ここでは、リスク評価サーバ１０７のみならず、例えばリスク評価システム１０を含む上述のネットワーク構成における各装置が、そのメモリ７０３ないし外部記憶装置７０４にて備える適宜なプログラムを実行することで実装される機能についてそれぞれ説明するものとする。
【００２５】
図２は、本実施形態の管理対象機器１０１の機能構成例を示す図である。図２に例示する管理対象機器１０１は、送受信部２０１および制御部２０２から構成されている。このうち送受信部２０１は、ネットワーク１０２＿１を介し、情報収集サーバ１０３との間で情報の送受信を行う処理部である。
【００２６】
一方、制御部２０２は、システム情報出力部２０３およびセキュリティ設定出力部２０４から構成されている。このうちシステム情報出力部２０３は、管理対象機器１０１の識別情報たるＩＤ、機器名、製品ＩＤ、ネットワークセグメント、および利用する中継機器といった情報を含むシステム情報を収集し、送受信部２０１を介して、情報収集サーバ１０３に送信する処理部である。またセキュリティ設定出力部２０４は、管理対象機器１０１のセキュリティ設定情報（具体例は後述）を収集し、送受信部２０１を介して情報収集サーバ１０３に送信する処理部である。
【００２７】
上述のシステム情報出力部２０３およびセキュリティ設定出力部２０４における情報収集には、管理対象機器１０１におけるＯＳの標準的な機能を利用すれば良いが、その他にも、セキュリティ検査言語（ＯＶＡＬ：Ｏｐｅｎ Ｖｕｌｎｅｒａｂｉｌｉｔｙ ａｎｄ 
Ａｓｓｅｓｓｍｅｎｔ Ｌａｎｇｕａｇｅ）で定義された検査仕様に基づく情報収集ツー
ル等を利用しても良く、形態は限定しない。
【００２８】
図３は、本実施形態の情報収集サーバ１０３の機能構成例を示す図である。図３にレジする情報収集サーバ１０３は、送受信部３０１および制御部３０２から構成されている。このうち送受信部３０１は、ネットワーク１０２＿１、１０２＿２、１０２＿３を介して情報の送受信を行う処理部である。一方、制御部３０２は、システム情報収集部３０３、セキュリティナレッジ収集部３０４、およびセキュリティ設定収集部３０５から構成されている。このうちシステム情報収集部３０３は、送受信部３０１を介して、管理対象機器１０１からシステム情報を受信し、これをデータベース１０５に格納する処理部である。また、セキュリティナレッジ収集部３０４は、送受信部３０１を介して、セキュリティナレッジ提供機関サーバ１０４からセキュリティナレッジを受信し、これをデータベース１０５に格納する処理部である。また、セキュリティ設定収集部３０５は、送受信部３０１を介して管理対象機器１０１からセキュリティ設定情報を受信し、これをデータベース１０５に格納する処理部である。
【００２９】
図４は、本実施形態のセキュリティナレッジ提供機関サーバ１０４の機能構成例を示す図である。図４に例示するセキュリティナレッジ提供機関サーバ１０４は、送受信部４０１および制御部４０２から構成されている。このうち送受信部４０１は、ネットワーク１０２＿２を介して情報収集サーバ１０３との間で情報の送受信を行う処理部である。
【００３０】
一方、制御部４０２は、セキュリティナレッジ出力部４０３から構成されている。このセキュリティナレッジ出力部４０３は、上述の送受信部４０１を介して、情報収集サーバ１０３に対してセキュリティナレッジを送信する。セキュリティナレッジ提供機関サーバ１０４における、こうしたセキュリティナレッジの収集、管理の手法は、セキュリティナレッジ提供機関サーバ１０４の仕様や当該セキュリティナレッジ公開機関サーバ１０４の運営企業により異なるため、ここでは特に限定しない。
【００３１】
図５は、本実施形態のクライアント１０６の機能構成例を示す図である。図５に例示するクライアント１０６は、送受信部５０１、入出力部５０２、および制御部５０３から構成されている。このうち送受信部５０１は、ネットワーク１０２＿３を介して情報の送受信を行う処理部である。また、入出力部５０２は、キーボード等のインターフェイス機器を介してシステム管理者等のユーザからの入力を制御し、モニタ等のインターフェイス機
器を介してユーザ向けの出力処理を制御する処理部である。
【００３２】
また、上述の制御部５０３は、画面表示処理部５０４、初期画面表示要求部５０５、攻撃源指定処理部５０６、および脆弱性リスク表示要求部５０７から構成されている。このうち画面表示処理部５０４は、上述の入出力部５０２を介して、ユーザに対して画面表示を行う処理部であり、初期画面表示要求部５０５および脆弱性リスク表示要求部５０７で取得した画面を表示する。
【００３３】
また、上述の初期画面表示要求部５０５は、送受信部５０１を介して、リスク評価サーバ１０７に対し、当該クライアント１０６からの接続時にユーザに提示する初期画面のデータをリクエストし、該当初期画面データを受信する処理部である。
【００３４】
また、上述の攻撃源指定処理部５０６は、社外の機器やマルウェアに感染した疑いのある機器など、セキュリティ上の攻撃源となる機器の指定を、上述の入出力部５０２を介してシステム管理者等のユーザから受け付けて、送受信部５０１からリスク評価サーバ１０７に送信する処理部である。
【００３５】
また、脆弱性リスク表示要求部５０７は、リスク評価サーバ１０７が行った脆弱性リスクの評価結果に対する表示リクエストを、上述の送受信部５０１を介して送信し、リスク評価サーバ１０７から得た脆弱性リスク評価結果の画面データを受信する処理部である。
【００３６】
図６は、本実施形態のリスク評価サーバ１０７の機能構成例を示す図である。図６に例示するリスク評価サーバ１０７は、送受信部６０１および制御部６０２から構成されている。このうち送受信部６０１は、ネットワーク１０２＿３を介して情報の送受信を行う処理部である。
【００３７】
一方、制御部６０２は、初期画面表示処理部６０３、脆弱性リスク表示処理部６０４、リスク評価モデル構築処理部６０５、リスク評価モデル詳細化処理部６０６、条件付確率表設定処理部６０７、およびリスク値計算処理部６０８から構成されている。
【００３８】
このうち初期画面表示処理部６０３は、送受信部６０１を介してクライアント１０６から初期画面表示リクエストを受信し、初期画面の表示に必要となる画面データを、例えばデータベース１０５（この場合のデータベース１０５は、クライアント１０６での各表示画面の画面データを予め保持している）から取得し、これを返信する処理部である。
【００３９】
また、脆弱性リスク表示処理部６０４は、送受信部６０１を介してクライアント１０６から脆弱性リスク表示リクエストを受信し、リスク評価モデル構築処理部６０５、リスク評価モデル詳細化処理部６０６、条件付確率表設定処理部６０７、およびリスク値計算処理部６０８を利用して得た脆弱性リスク評価結果の画面データを返信する処理部である。
【００４０】
また、リスク評価モデル構築処理部６０５は、データベース１０５上の情報とクライアント１０６からのユーザ入力で指定された攻撃源（の機器）に基づき、脆弱性がもたらすリスクを評価するための簡易リスク評価モデルを構築する処理部である。
【００４１】
また、リスク評価モデル詳細化処理部６０６は、データベース１０５上の情報と、上述のリスク評価モデル構築処理部６０５で構築した簡易リスク評価モデルから計算されるリスク値に基づき、同モデルのリスク値が所定基準より高い部分をより詳細化した、詳細リスク評価モデルを構築する処理部である。
【００４２】
また、条件付確率表設定処理部６０７は、上述の簡易および詳細の各リスク評価モデル
に基づいてリスク評価するために確率値（図２５、２５、２９、３０参照）を設定する処理部である。また、リスク値計算処理部６０８は、上述の簡易および詳細の各リスク評価モデルに基づいて上述のリスク値を計算する処理部である。
【００４３】
上述のリスク評価サーバ１０７における各機能部による処理の詳細については、フロー図に基づいて後述するものとする。
−−−ハードウェア構成−−−
【００４４】
続いて、本実施形態のリスク評価システム１０を構成する装置のハードウェア構成について説明する。図７は、本実施形態のリスク評価システム１０を構成するコンピュータ装置７０１のハードウェア構成例を示す図である。
【００４５】
図７にて例示するコンピュータ装置７０１は、ＣＰＵ７０２、ＲＡＭなど揮発性記憶素子で構成されるメモリ７０３、ＳＳＤ（Ｓｏｌｉｄ  Ｓｔａｔｅ  Ｄｒｉｖｅ）やハードディスクドライブなど適宜な不揮発性記憶素子で構成される外部記憶装置７０４、ネットワークインターフェイスカード（ＮＩＣ：Ｎｅｔｗｏｒｋ  Ｉｎｔｅｒｆａｃｅ  Ｃａｒｄ）などの送受信装置７０５、ディスプレイなどの出力装置７０６、およびキーボード等の入力装置７０７から構成されている。このうち出力装置７０６および入力装置７０７については、管理対象機器１０１、セキュリティナレッジ公開機関サーバ１０４、情報収集サーバ１０３、およびリスク評価サーバ１０７のいずれも備えないとしてもよい。
【００４６】
また、図２〜図６で例示した各装置の制御部２０２、３０２、４０２、５０３、６０２は、ＣＰＵ７０２が上述の外部記憶装置７０４に記憶された適宜なプログラムをメモリ７０３にロードし実行することで実装される。また、図２〜図６で例示した各装置の送受信部２０１、３０１、４０１、５０１、６０１は、送受信装置７０５により実装される。また、図５で例示したクライアント１０６における入出力部５０２は、出力装置７０６、および入力装置７０７により実装される。
−−−データ構成−−−
【００４７】
次に、本実施形態のリスク評価システム１０を構成する装置、すなわちリスク評価サーバ１０７が利用するデータについて、その構成例について説明する。当該リスク評価システム１０にて利用するデータは、少なくとも、システム管理者のユーザ情報、管理対象システムのネットワーク情報と機器情報、セキュリティナレッジとして公開されている脆弱性情報、共通セキュリティ設定（ＣＣＥ：Ｃｏｍｍｏｎ Ｃｏｎｆｉｇｕｒａｔｉｏｎ Ｅｎｕｍｅｒａｔｉｏｎ）などを基に事前に規定されているセキュリティ設定項目情報、機器が取り得る状態の定義を含んでいる。
【００４８】
図８は、本実施形態のデータベース１０５上に格納されるデータテーブルの一覧を示す図である。図８に例示するデータベース１０５では、ユーザ情報テーブル８００、ネットワーク情報テーブル８１０、機器情報テーブル８２０、脆弱性情報テーブル８３０、セキュリティ設定情報テーブル８４０、および状態定義テーブル８５０を格納している。これら各テーブル間は、互いのレコードが含む所定のＩＤ等により相互に関連付けられている。
【００４９】
こうしたデータベース１０５が含むテーブルのうち、ユーザ情報テーブル８００の構成例を図９に示す。図９に例示するユーザ情報テーブル８００は、ユーザＩＤ８０１、ユーザ情報８０２、およびシステムリスト８０３をデータ項目としたレコードを有する。このうちユーザＩＤ８０１は、当該リスク評価システム１０において、システム管理者などのユーザに対してユニークに割り当てられたＩＤである。また、ユーザ情報８０２は、上述のユーザＩＤ８０１に対応するユーザの氏名や連絡先などの情報である。また、システム
リスト８０３は、ユーザＩＤ８０１に対応するユーザが管理しているシステム、すなわちリスク評価対象となりうるシステムのＩＤとシステム名の組のリストである。なお、複数のシステム管理者が複数のシステムを管理する状況を想定した場合、こうしたユーザ情報テーブル８００をデータベース１０５にて保持するものとするが、単一のシステムのみをリスク評価対象とする状況であれば、このユーザ情報テーブル８００をデータベース１０５で保持せずともよい。このユーザ情報テーブル８００は、リスク評価システム１０の管理者等が予め生成してデータベース１０５に格納してあるものとする。
【００５０】
また、ネットワーク情報テーブル８１０の構成例を図１０に示す。図１０に例示するネットワーク情報テーブル８１０は、ネットワークセグメントＩＤ９０１、システムＩＤ９０２、および可達セグメントＩＤリスト９０３をデータ項目としたレコードを有する。このうちネットワークセグメントＩＤ９０１は、ネットワークセグメントに対してユニークに割り当てられたＩＤである。また、システムＩＤ９０２は、上述のネットワークセグメントＩＤ９０１が関連するシステムのＩＤである。また、可達セグメントＩＤリスト９０３は、ネットワークセグメントＩＤ９０１が示すネットワークセグメントからメッセージが到達可能な隣接するセグメントのＩＤリストである。例えば、ネットワークセグメントＩＤ９０１が“１１１”のネットワークセグメントからネットワークセグメントＩＤ９０１が“２２２”のネットワークセグメントにメッセージが到達する場合、ネットワークセグメントＩＤ９０１が“１１１”のレコードの可達セグメントＩＤリスト１００３には、ネットワークセグメントＩＤ９０１の“２２２”が格納される。このネットワーク情報テーブル８１０は、リスク評価システム１０の管理者等が予め生成してデータベース１０５に格納してあるものとする。
【００５１】
機器情報テーブル８２０の例は、図１１に示す。図１１において、機器情報テーブル８２０は機器ＩＤ１００１、機器名１００２、ネットワークセグメントＩＤリスト１００３、中継機器ＩＤマップ１００４、セキュリティ設定項目ＩＤリスト１００５、ＣＩＡ要件１００６をデータ項目として有する。機器ＩＤ１００１は、機器に対してユニークに割り当てられたＩＤである。機器名１００２は、機器ＩＤ１００１に対応する機器に与えられたマシン名である。ネットワークセグメントＩＤリスト１００３は、機器ＩＤ１００１に対応する機器が所属しているネットワークセグメントのＩＤリストである。中継機器ＩＤマップ１００４は、システム構成上、機器が中継する通信の送信元と送信先の機器ＩＤのリストである。例えば、機器Ａから機器Ｂへ通信が機器Ｃを経由する場合、機器Ｃのレコードにおいて、機器ＡをＫＥＹ、機器ＢをＶＡＬＵＥとして連想配列として格納する。セキュリティ設定項目ＩＤリスト１００５は、各セキュリティ設定項目のうち、機器が充足しているセキュリティ設定項目のＩＤリストである。ＣＩＡ要件１００６は、機器に求められる情報セキュリティにおける機密性（Ｃ）、完全性（Ｉ）、可用性（Ａ）に関する要件であり、システム管理者によって入力される情報である。
【００５２】
脆弱性情報テーブル８３０の例は、図１２に示す。図１２において、脆弱性情報テーブル８３０は脆弱性ＩＤ１１０１、機器ＩＤ１１０２、脆弱性攻撃確率１１０３、機器影響確率１１０４、脆弱性攻撃前提状態１１０５、脆弱性攻撃事後状態１１０６、脆弱性攻撃前提サービス１１０７をデータ項目として有する。脆弱性ＩＤ１１０１は、脆弱性に対してユニークに割り当てられたＩＤである。脆弱性ＩＤ１１０１として、ＭＩＴＲＥ社が採番し、国際的に利用されている共通脆弱性識別子（ＣＶＥ：Ｃｏｍｍｏｎ Ｖｕｌｎｅｒ
ａｂｉｌｉｔｉｅｓ ａｎｄ Ｅｘｐｏｓｕｒｅｓ）や日本国内で利用されているＪＶＮ番号（ＪＶＮ：Ｊａｐａｎ Ｖｕｌｎｅｒａｂｉｌｉｔｙ Ｎｏｔｅｓ）、ベンダが独自に採番した脆弱性ＩＤなどを利用することが可能である。機器ＩＤ１１０２は、脆弱性ＩＤ１１０１に対応する脆弱性が存在する機器のＩＤである。脆弱性攻撃確率１１０３は、脆弱性単体を突いた攻撃の発生確率、あるいはスコアであり、脆弱性の技術的な特性に基づい
たスコアである。機器影響確率１１０４は、脆弱性攻撃により、機器に影響を与える確率であり、脆弱性の技術的な特性に基づいたスコアである。一般的にセキュリティナレッジ提供機関では、ＣＶＳＳ（Ｃｏｍｍｏｎ  Ｖｕｌｎｅｒａｂｉｌｉｔｙ  Ｓｃｏｒｉｎｇ
Ｓｙｓｔｅｍ）などの標準的なセキュリティ規格に基づき、個々のソフトウェア脆弱性に対して、技術特性の観点から攻撃容易性や機器への影響度などのスコアを付与して、セキュリティ情報を公開しており、脆弱性攻撃確率１１０３や機器影響確率１１０４として、同スコアを利用することが可能である。脆弱性攻撃前提状態１１０５は、脆弱性攻撃の前提となる機器の状態である。脆弱性攻撃事後状態１１０６は、脆弱性攻撃の結果機器が陥る状態である。脆弱性攻撃前提サービス１１０７は、脆弱性攻撃の前提となるサービスである。
【００５３】
次に、機器情報テーブル８２０の構成例について図１１に基づき説明する。図１１に例示する機器情報テーブル８２０は、上述の情報収集サーバ１０３が収集して当該テーブルに格納した、機器ＩＤ１００１、機器名１００２、ネットワークセグメントＩＤリスト１００３、中継機器ＩＤマップ１００４、セキュリティ設定項目ＩＤリスト１００５、およびＣＩＡ要件１００６をデータ項目としたレコードを有する。
【００５４】
このうち機器ＩＤ１００１は、情報収集サーバ１０３が情報収集を行った上述の管理対象機器１０１に対してユニークに割り当てられたＩＤである。また、機器名１００２は、上述の機器ＩＤ１００１に対応する管理対象機器１０１に与えられたマシン名である。また、ネットワークセグメントＩＤリスト１００３は、機器ＩＤ１００１に対応する管理対象機器１０１が所属しているネットワークセグメントのＩＤリストである。また、中継機器ＩＤマップ１００４は、システム構成上、管理対象機器１０１が中継する通信の送信元と送信先の管理対象機器１０１を示す機器ＩＤのリストである。例えば、管理対象機器である“機器Ａ”から“機器Ｂ”への通信が“機器Ｃ”を経由する場合、当該機器情報テーブル８２０の“機器Ｃ”に関するレコードにおいて、“機器Ａ”をＫＥＹ、“機器Ｂ”をＶＡＬＵＥとした連想配列として格納する。また、セキュリティ設定項目ＩＤリスト１００５は、各セキュリティ設定項目のうち、該当機器において充足しているセキュリティ設定項目のＩＤリストであり、ＣＩＡ要件１００６は、該当機器に求められているＣＩＡ（Confidentiality、Integrity、Availability）の要件である。
【００５５】
次に、脆弱性情報テーブル８３０の構成例について図１２に基づき説明する。図１２に例示する脆弱性情報テーブル８３０は、上述の情報収集サーバ１０３がセキュリティナレッジ公開機関サーバ１０４から収集して当該テーブルに格納した、脆弱性ＩＤ１１０１、機器ＩＤ１１０２、脆弱性攻撃確率１１０３、機器影響確率１１０４、脆弱性攻撃前提状態１１０５、脆弱性攻撃事後状態１１０６、および脆弱性攻撃前提サービス１１０７をデータ項目としたレコードを有する。
【００５６】
このうち脆弱性ＩＤ１１０１は、脆弱性に対してユニークに割り当てられたＩＤである。この脆弱性ＩＤ１１０１としては、ＭＩＴＲＥ社が採番し、国際的に利用されている共通脆弱性識別子（ＣＶＥ：Ｃｏｍｍｏｎ  Ｖｕｌｎｅｒａｂｉｌｉｔｉｅｓ  ａｎｄ  Ｅｘｐｏｓｕｒｅｓ）や、日本国内で利用されているＪＶＮ番号（ＪＶＮ：Ｊａｐａｎ  Ｖｕｌｎｅｒａｂｉｌｉｔｙ  Ｎｏｔｅｓ）、或いはベンダが独自に採番した脆弱性ＩＤなどを想定出来る。
【００５７】
また、機器ＩＤ１１０２は、上述の脆弱性ＩＤ１１０１に対応する脆弱性が存在する管理対象機器１０１のＩＤである。また、脆弱性攻撃確率１１０３は、上述の脆弱性ＩＤ１１０１に対応する脆弱性単体を突いた攻撃の発生確率、あるいはスコアであり、脆弱性の技術的な特性に基づいたスコアである。また、機器影響確率１１０４は、上述の脆弱性ＩＤ１１０１に対応する脆弱性への攻撃により、該当管理対象機器１０１（機器ＩＤ１１０
２が示す機器）に影響を与える確率であり、脆弱性の技術的な特性に基づいたスコアである。一般的にセキュリティナレッジ公開機関サーバ１０４では、ＣＶＳＳ（Ｃｏｍｍｏｎ
Ｖｕｌｎｅｒａｂｉｌｉｔｙ  Ｓｃｏｒｉｎｇ  Ｓｙｓｔｅｍ）などの標準的なセキュリティ規格に基づき、個々のソフトウェア脆弱性に対して、技術特性の観点から攻撃容易性や機器への影響度などのスコアを付与して、セキュリティ情報を公開しており、上述の情報収集サーバ１０３は、上述の脆弱性攻撃確率１１０３や機器影響確率１１０４として、同スコアを取得することが可能である。また、脆弱性攻撃前提状態１１０５は、脆弱性攻撃の前提となる該当機器の状態であり、脆弱性攻撃事後状態１１０６は、脆弱性攻撃の結果、該当機器が陥る状態であり、また、脆弱性攻撃前提サービス１１０７は、脆弱性攻撃の前提となるサービスである。
【００５８】
次に、セキュリティ設定項目情報テーブル８４０の構成例について図１３に基づき説明する。図１３に例示するセキュリティ設定項目情報テーブル８４０は、セキュリティ設定項目ＩＤ１２０１、セキュリティ設定攻撃確率１２０２、機器影響確率１２０３、セキュリティ設定攻撃前提状態１２０４、およびセキュリティ攻撃事後状態１２０５をデータ項目としたレコードを有する。
【００５９】
このうちセキュリティ設定項目ＩＤ１２０１は、セキュリティ設定項目に対して割り当てられたＩＤである。また、セキュリティ設定攻撃確率１２０２は、セキュリティ設定を突いた攻撃の発生確率、あるいはスコアである。また、機器影響確率１２０３は、セキュリティ設定攻撃により、該当機器に影響を与える確率である。また、セキュリティ設定攻撃前提状態１２０４は、セキュリティ設定攻撃の前提となる該当機器の状態である。また、セキュリティ攻撃事後状態１２０５は、セキュリティ設定攻撃の結果、該当機器が陥る状態である。
【００６０】
次に、状態定義テーブル８５０の構成例について図１４に基づき説明する。図１４に例示する状態定義テーブル８５０は、状態ＩＤ１３０１、上位状態ＩＤ１３０２、および下位状態ＩＤリスト１３０３をデータ項目としたレコードを有する。
【００６１】
このうち状態ＩＤ１３０１は、該当機器が取り得る状態に対してユニークに割り当てられたＩＤである。また、上位状態ＩＤ１３０２は、包含関係において上位となる状態のＩＤである。また、下位状態ＩＤリスト１３０３は、包含関係において下位となる状態のＩＤのリストである。この状態定義テーブル８５０では、該当機器が取り得る状態の上位下位の関係により木構造を構築し、上位の状態は下位の状態を含む状態である。本実施形態における状態定義テーブル８５０は、予め適宜に規定されデータベース１０５にて保持しているものとする。
【００６２】
なお、本実施形態においては、ユーザ情報テーブル８００、ネットワーク情報テーブル８１０、機器情報テーブル８２０、脆弱性情報テーブル８３０、セキュリティ設定項目情報テーブル８４０、および状態定義テーブル８５０をデータベース１０５上に構築しているが、リスク評価サーバ１０７にて格納するとしても良い。また、上述の各テーブルらの少なくともいずれかが結合した１つのテーブルであっても良いし、より正規化されたテーブルであっても良い。
−−−情報収集、登録のフロー例−−−
【００６３】
以下、本実施形態におけるリスク評価方法の実際手順について図に基づき説明する。以下で説明するリスク評価方法に対応する各種動作は、リスク評価システム１０を構成する、例えばリスク評価サーバ１０７がメモリ等に読み出して実行するプログラムによって実現される。そしてこのプログラムは、以下に説明される各種の動作を行うためのコードから構成されている。なお、以下の説明においては、リスク評価サーバ１０７が実行する処
理のみならず、他の装置が実行する処理についても適宜説明するものとする。
【００６４】
図１５は、本実施形態におけるリスク評価方法の処理手順例１を示すフロー図である。ここではまず、データベース１０５の生成処理、すなわち情報収集サーバ１０３による管理対象機器１０１のシステム情報やセキュリティ設定情報等の取得と、データベース１０５への格納の処理について説明する。こうした処理は、リスク評価サーバ１０７において、管理対象機器１０１の脆弱性がもたらすリスクの評価処理を行う前（少なくとも直前）に、予め実行しておく必要がある。また、上述のシステム情報やセキュリティ設定情報（いずれも管理対象機器１０１から得られる情報）、セキュリティナレッジ（セキュリティナレッジ公開機関サーバ１０４から得られる情報）等は、管理対象機器１０１やセキュリティナレッジ公開機関サーバ１０４にて随時、追加や更新がなされているため、本実施形態のリスク評価システム１０（に含まれる、或いは協働する管理対象機器１０１、情報収集サーバ１０３。またはリスク評価サーバ１０７）においては、これら各情報の取得処理をバックグラウンドの処理として実行するとすれば好適である。
【００６５】
この場合まず、管理対象機器１０１が、自身のＯＳにおける標準機能により、例えば所定時間の到来に応じてスケジューラを呼出して、システム情報出力部２０３を起動する（１４０１）。
【００６６】
次に、管理対象機器１０１におけるシステム情報出力部２０３は、当該管理対象機器１０１のシステム情報を取得し、これを情報収集サーバ１０３に送信する（１４０２）。システム情報出力部２０３が取得するシステム情報は、ネットワーク情報テーブル８１０や機器情報テーブル８２０の情報、脆弱性情報テーブル８３０に含まれる機器ＩＤ１１０２の情報などである。
【００６７】
一方、上述の管理対象機器１０１からシステム情報を受信した情報収集サーバ１０３は、データベース１０５に対して、データの新規追加または更新のリクエストを送信する（１４０３）。データベース１０５は、このリクエストを受けて、リクエストが含むシステム情報のうち、例えば機器ＩＤをキーに機器情報テーブル８２０を検索し、該当機器ＩＤに関するレコードがなければ新規にレコードを生成し、上述のリクエストが含むシステム情報のうち該当項目の値をセットする。また、機器情報テーブル８２０にて該当機器ＩＤに関するレコードが既に存在すれば、該当レコードにおいて、上述のリクエストが含むシステム情報のうち該当項目の値でデータ更新を行う。こうした処理はネットワーク情報テーブル８１０に関しても同様に実行するものとする。
【００６８】
続いて、上述の管理対象機器１０１は、当該管理対象機器１０１におけるセキュリティ設定情報を取得し、これを情報収集サーバ１０３に送信する（１４０４）。ここで管理対象機器１０１が取得、送信するセキュリティ設定情報は、該当機器においてセキュリティ設定項目情報テーブル８４０の各設定項目を充足しているかどうかの情報である。
【００６９】
一方、上述の管理対象機器１０１からセキュリティ設定情報を受信した情報収集サーバ１０３は、データベース１０５に対して、データの新規追加または更新のリクエストを送信する（１４０５）。データベース１０５は、このリクエストを受けて、リクエストが含むセキュリティ設定情報が、該当機器に関してセキュリティ設定情報テーブル８４０に存在するか検索し、該当情報がなければ新規にレコードを生成し、上述のリクエストが含むセキュリティ設定情報をセットする。また、セキュリティ設定情報テーブル８４０にて該当機器に関してセキュリティ設定情報が既に存在すれば、該当レコードにおいて、上述のリクエストが含むセキュリティ設定情報でデータ更新を行う。
【００７０】
以上の処理、ステップ１４０１〜ステップ１４０５は、管理対象機器１０１毎に実行さ
れ、管理対象機器１０１の数だけ反復されることとなる。本実施形態では、管理対象機器１０１と情報収集サーバ１０３との間でクライアントサーバ構成を取っており、上述のシステム情報等の取得処理を自動化して運用を効率化している。
【００７１】
但し、クライアント１０６などを利用するシステム管理者の手によって、データファイル形式で管理対象機器１０１のシステム情報やセキュリティ設定情報を記述し、これを情報収集サーバ１０３に入力するとしてもよい。このようにシステム管理者の手によりシステム情報やセキュリティ設定情報の入力を行うことで、管理対象機器１０１をエージェントレスで動作させることができる利点はある。また本実施形態では、定期的にシステム情報を送信する実施形態としているが、システム情報の変化を検知し、システム情報が変化したタイミングで同システム情報を送信しても良い。
【００７２】
上述のシステム情報の収集、格納に関する説明に引き続き、情報収集サーバ１０３が、セキュリティナレッジ公開機関サーバ１０４から、セキュリティ情報を収集し、データベース１０５に格納する一連の処理について説明する。図１６は本実施形態におけるリスク評価方法の手順例２を示すフロー図であり、具体的には、情報収集サーバ１０３がバックグラウンド処理として行うセキュリティナレッジの取得処理のフロー例を示す図である。
【００７３】
この場合まず、情報収集サーバ１０３は、例えば上述の管理対象機器１０１における機能と同様に、情報収集サーバ１０３自身のＯＳ等に備わるスケジューラ機能により、所定時間の到来に応じてセキュリティナレッジ収集部３０４を起動し、このセキュリティナレッジ収集部３０４により、セキュリティナレッジ要求を、セキュリティナレッジ公開機関サーバ１０４に送信する（１５０１）。
【００７４】
一方、上述のセキュリティナレッジ要求を受信したセキュリティナレッジ公開機関サーバ１０４は、セキュリティナレッジ出力部４０３により、自身の記憶装置にて保持するセキュリティナレッジのデータを、情報収集サーバ１０３に対して返信する（１５０２）。ここでセキュリティナレッジ公開機関サーバ１０４が情報収集サーバ１０３に返信するセキュリティナレッジは、脆弱性情報テーブル８３０におけるレコードの項目に対応する情報である。
【００７５】
セキュリティナレッジのデータを受信した情報収集サーバ１０３は、データベース１０５に対して、セキュリティナレッジすなわちセキュリティ情報の新規追加または更新のリクエストを送信する（１５０３）。データベース１０５は、このリクエストを受けて、リクエストが含むセキュリティ情報のうち、例えば機器ＩＤないし脆弱性ＩＤをキーに脆弱性情報テーブル８３０を検索し、該当機器ＩＤ等に関するレコードがなければ新規にレコードを生成し、上述のリクエストが含むセキュリティ情報のうち該当項目の値をセットする。また、脆弱性情報テーブル８３０にて該当機器ＩＤ等に関するレコードが既に存在すれば、該当レコードにおいて、上述のリクエストが含むセキュリティ情報のうち該当項目の値でデータ更新を行う。
【００７６】
本実施形態では、セキュリティナレッジ公開機関サーバ１０４と情報収集サーバ１０３との間で、上述のセキュリティ情報の取得処理を自動化して運用を効率化している。但し、セキュリティナレッジ公開機関サーバ１０４と情報収集サーバ１０３との間での情報授受の手法は、セキュリティナレッジ公開機関サーバ１０４の仕様に基づくものとする。
【００７７】
−−−初期画面表示処理のフロー例−−−
【００７８】
次に、システム管理者がクライアント１６０を介してリスク評価サーバ１０７に接続した際に、初期画面を表示する処理について図に基づき説明する。図１７は、本実施形態に
おけるリスク評価方法の処理手順例３を示すフロー図であり、具体的には、初期画面表示処理のフロー例を示す図である。
【００７９】
この場合まず、システム管理者の指示を入出力部５０２を介して受けたクライアント１０６が、初期画面表示要求部５０５を用いて、リスク評価サーバ１０７に対し接続リクエストを送信する（１６０１）。一方、リスク評価サーバ１０７の初期画面表示処理部６０３は、上述のクライアント１０６に対して出力すべき初期画面の表示データを、例えばデータベース１０５に要求して取得する（１６０２）。この場合、リスク評価サーバ１０７の外部記憶装置７０４には、例えば、本実施形態のリスク評価方法の各手順に対応する所定画面の雛形データが予め格納されており、リスク評価サーバ１０７は、クライアント１０６からの要求に応じて該当手順に対応する画面の雛形データをこの外部記憶装置７０４から読み出し、これに、データベース１０５への要求に伴って得たデータを設定して出力するものとする。
【００８０】
上述のステップ１６０２にてリスク評価サーバ１０７がデータベース１０５から取得するデータ、すなわち画面の雛形データに設定するデータは、例えば、上述の接続リクエストが含むユーザＩＤ８０１をキーにユーザ情報テーブル８００、機器情報テーブル８０２のそれぞれから得られるデータとなる。そのデータとは、ユーザＩＤ８０１に関連付けられたユーザ情報８０２、システムリスト８０３、および、このシステムリスト８０３が含むシステムＩＤに関連付けられた機器ＩＤ１００１、機器名１００２、ネットワークセグメントＩＤ１００３等である。なお、本実施形態では、クライアント１０６からの接続リクエストにユーザＩＤ８０１が含まれている例を示しているが、その他にも、接続リクエストに対する一般的なユーザ認証等の処理（例：ＩＤ、パスワードの組の真正性を検証する本人認証等）を行い、その認証処理等を通じてユーザＩＤ８０１を特定するとしても良い。このユーザ認証等の処理形態については限定しない。
【００８１】
リスク評価サーバ１０７の初期画面表示処理部６０３は、上述のように、データベース１０５のユーザ情報テーブル８０１および機器情報テーブル８３０から得たデータを、初期画面の雛形データにセットして画面データを生成し、これを上述のクライアント１０６に返す（１６０３）。このステップ１６０３の処理の結果、クライアント１０６の入出力部５０２にて表示される初期画面１７０１の例を図１８に示す。
【００８２】
図１８で例示する初期画面１７０１においては、ユーザＩＤおよびユーザ名の各情報を表示するユーザ情報領域１７０２と、システムリストの情報を表示するシステムリスト表示領域１７０３と、リスク評価ボタン１７０４を含む構成となっている。このうちシステムリスト表示領域１７０３は、当該領域にて表示されたシステムリストのうちチェックボックス１７０３１でチェックがされたシステムについて、関連する機器ＩＤ、機器名（機器情報テーブル８３０由来）のリスト（より好ましくはこのリストにネットワークセグメントＩＤも含まれる）を表示する関連機器情報リスト表示領域１７０５が含まれている。この関連機器情報リスト表示領域１７０５で表示されるリストには、システム管理者が攻撃源とみなす機器を指定する際にチェックを入れる攻撃源指定ボックス１７０４１が含まれている。
【００８３】
詳細は後述するが、リスク評価ボタン１７０４が押下された場合、その時点でチェックボックス１７０３１にチェックが入っているシステムに関して、攻撃源指定ボックス１７０４１にチェックが入っている機器を攻撃源とした場合のリスク評価が開始されることとなる。
【００８４】
−−−リスク評価処理のフロー例（メインフロー）−−−
【００８５】
次に、上述した初期画面１７０１でリスク評価ボタン１７０４が押下されることで、リスク評価サーバ１０７にて実行される脆弱性のリスク評価処理について図に基づき説明する。図１９は、本実施形態におけるリスク評価方法の処理手順例４を示すフロー図であり、リスク評価処理のメインフロー例を示す図である。
【００８６】
ここでまず、クライアント１０６において、システム管理者が入出力部５０２を介して指定してきた、リスク評価の対象システムと攻撃源となる機器の情報を受け付ける（１８０１）。本実施形態では、クライアント１０６が、対象システムと攻撃源の指定をシステム管理者から受け付けるインターフェイスとして、図１８の初期画面１７０１におけるチェックボックス１７０３１、１７０４１を例示する。システム管理者がチェックボックス１７０４１にて攻撃源として指定できる機器は、管理対象機器１０１、あるいは、管理対象機器１０１の所属ネットワークセグメントに所属する、管理対象外の機器がある。図１８の初期画面１７０１の例では、管理対象機器１０１ではなく、外部機器（管理対象外の機器）が攻撃源として選択されている。
【００８７】
続いてクライアント１０６は、リスク評価サーバ１０７に対し、脆弱性リスク表示要求を送信する（１８０２）。この送信処理は、例えば初期画面１７０１においてリスク評価ボタン１７０４がクリックされたことをトリガーとして実行される。ここで送信される脆弱性リスク表示要求には、初期画面１７０１のチェックボックス１７０３１でチェック対象となったシステムのシステムＩＤと、チェックボックス１７０４１で攻撃源として指定された機器ＩＤが含まれる。或いは、チェックボックス１７０３１でチェック対象となったシステムのシステムＩＤと、チェックボックス１７０４１で攻撃源として指定された管理対象外の外部機器を表す所定識別子と、その外部機器の所属するネットワークセグメントＩＤ（例：関連機器情報リスト表示領域１７０５のリストが含むもの）が含まれる。
【００８８】
上述の脆弱性リスク表示要求を受けたリスク評価サーバ１０７は、該当要求が示す情報をキーにして、データベース１０５上のネットワーク情報テーブル８１０、機器情報テーブル８２０、脆弱性情報テーブル８３０、およびセキュリティ設定項目情報テーブル８４０の各情報を取得する（１８０３）。本実施形態では、リスク評価サーバ１０７が、脆弱性リスク表示処理に必要となる情報を上述のステップ１８０３にて一括取得し、メモリ上に展開する形態を想定しているが、脆弱性リスク表示処理の各過程で情報が必要となったタイミングで、都度データベース１０５にアクセスし、必要な情報のみに限定して取得するとしても良い。
【００８９】
次に、リスク評価サーバ１０７のリスク評価モデル構築処理部６０５は、上述のステップ１８０３で得た情報に基づいて、簡易リスク評価モデルの構築処理（１８０４）を実行する。本実施形態における簡易リスク評価モデルの構築処理では、評価対象のシステム構成やネットワークのトポロジに基づいた脆弱性リスク評価を行うため、機器（外部機器や管理対象機器１０１）とその脆弱性およびセキュリティ設定との各間の関係性を表した非循環有向グラフを、対応する所定のグラフ理論に基づくアルゴリズムによって簡易リスク評価モデルとして生成する。このアルゴリズムは、後述する図２０〜２３に示すフローに対応するプログラムが実現するものであり、該当プログラムは、リスク評価サーバ１０７のリスク評価モデル構築処理部６０５が保持するものとする。
【００９０】
上述の非循環有向グラフとは、任意のオブジェクトをノードとし、このノード間をアークと呼ばれる一方向性の矢印で接続したグラフが該当する。こうした非循環有向グラフにおいては、上述のノードの間に親ノードと子ノードの関係があり、子ノードから、親を含む先祖のノードにアークを接続することは許容されない。一般的に、子ノードから親ノードに向けたアークの接続関係がないことを“ループがない”と呼ぶ。
【００９１】
本実施形態では、評価対象のシステムを構成する各機器、および機器が保有する脆弱性およびセキュリティ設定の穴それぞれをノードとしたグラフモデルを構築する。また、脆弱性を保有する機器とこの脆弱性およびセキュリティ設定との関係性をアークとして接続する。また、ネットワーク・トポロジより機器間での攻撃メッセージの到達性を判断し、ある機器Ａから機器Ｂへネットワークを介した攻撃メッセージの到達性がある場合、機器Ａを表すノードから機器Ｂが保有する脆弱性、またはセキュリティ設定の穴を表すノードへアークを接続する。前述のようにノード間を接続することにより、機器間の攻撃経路を表すグラフモデル、すなわち簡易リスク評価モデルを構築する。
【００９２】
評価対象となるシステムが、例えばＷＥＢシステムである場合、外部に公開されるＷＥＢサーバは堅牢にセキュリティ設定がなされていることが多いが、一方で非公開のアプリケーションサーバはセキュリティ設定が甘いことが多い。そのため、攻撃者はＷＥＢサーバを脆弱性攻撃により攻略した後、このＷＥＢサーバを踏み台として、アプリケーションサーバのセキュリティ設定の穴を突く攻撃を仕掛ける傾向がある。図２４にて示す簡易リスク評価モデルの例のように、攻撃経路として、脆弱性を突いた攻撃経路だけでなく、セキュリティ設定の穴を突いた攻撃経路を追加することで、上記のような組み合わせ攻撃を適切に評価できるため、精度よく脆弱性のリスク評価を行うことが可能となる。
【００９３】
このように非循環有向グラフとしてリスク評価モデルを構築することにより、ベイジアンネットワークと呼ばれる確率推論手法を用いて定量的に脆弱性リスクを評価することが可能になる。ベイジアンネットワーク（Ｂａｙｅｓｉａｎ  Ｎｅｔｗｏｒｋ）とは、詳細は後述するが、ある事象に関する原因と結果の関係を複数組み合わせることにより、原因と結果が互いに影響を及ぼしながら発生する現象をネットワーク図と確率という形で可視化し、過去に発生した原因と結果の積み重ねを統計的に処理し、所定の結果に繋がる原因や或る原因から発生する結果を、確率をもって予測する推論技術である。本実施形態のリスク評価サーバ１０７は、メモリ７０３ないし外部記憶装置７０４において、このベイジアンネットワークに対応する推論プログラムを予め保持し、必要に応じて実行可能であるものとする。
【００９４】
ここで、上述のリスク評価モデル構築処理（１８０４）のフロー例を図２０に基づき説明する。なお、説明の必要上、図２４に例示する、リスク評価モデル構築処理（１８０４）で生成される非循環有向グラフ２３００を随時参照するものとする。
【００９５】
まず、リスク評価サーバ１０７におけるリスク評価モデル構築処理部６０５は、初期画面１７０１でシステム管理者から指定された攻撃源の機器を、ノードとして配置する（１９０１）。なお、以後の処理でも同様であるが、リスク評価モデルにおけるノードやアークの配置は、リスク評価サーバ１０７が予め備える非循環有向グラフの描画プログラムによって、所定の描画平面内にて、ノードやアークに対応した描画要素（例：アイコンや線分など）を配置する処理により実現される。このステップ１９０１の実行の結果、図２４の簡易リスク評価モデルすなわち非循環有向グラフ２３００において、攻撃源機器ノード２３０１のみが配置された状態となる。
【００９６】
次に、リスク評価サーバ１０７のリスク評価モデル構築処理部６０５は、上述のステップ１８０３で得た情報が示す機器のうち、複数のネットワークに所属する機器とその脆弱性に対応するノードを、上述の非循環有向グラフ２３００において追加する処理を実行する（１９０２）。また、リスク評価サーバ１０７のリスク評価モデル構築処理部６０５は、上述のステップ１８０３で得た情報が示す機器のうち、単一のネットワークに所属する機器とその脆弱性に対応するノードを、上述の非循環有向グラフ２３００において追加する処理を実行する（１９０３）。
【００９７】
上述のステップ１９０２については図２１、図２２を用いて説明し、ステップ１９０３については図２３を用いて説明する。このように、機器が所属するネットワークの数が単数であるか複数であるかにより異なる処理を実行するのは、非循環有向グラフ２３００の構築を効率化するためである。
【００９８】
まず、複数のネットワークに所属する機器とその脆弱性およびセキュリティ設定の穴に対応するノードを配置する処理について説明する。この処理においては、攻撃源の機器を、ノード間の親子関係において最上位のノードを意味するレベル０と分類し、その他の機器を、攻撃源から攻撃が到達するまでのホップ数の大きさに応じてレベル分けし、上述の非循環有向グラフ２３００にて該当ノードを追加するものとする。
【００９９】
なお、脆弱性攻撃では、攻撃源から機器を直接攻撃できない場合、別の機器を攻撃、支配して踏み台とする踏み台攻撃が存在し、この踏み台攻撃の際に攻撃を中継する機器の数をホップ数と呼ぶ。また、既に述べたように、レベル分けした機器の間で、上位レベルの機器から下位レベルの機器へのみアークを接続する制約条件をおくこととしている。従って、ステップ１９０２においても、この制約条件を満たすように非循環有向グラフ２３００が構築される。
【０１００】
そこでまず、リスク評価サーバ１０７のリスク評価モデル構築処理部６０５は、上述のステップ１８０３でデータベース１０５から得た、機器情報テーブル８２０のネットワークセグメントＩＤリスト１００３を参照し、複数のネットワークに所属する機器の集合を構築する（２００１）。
【０１０１】
次に、リスク評価サーバ１０７のリスク評価モデル構築処理部６０５は、上述の攻撃源とされた機器をレベル０の機器集合“Ｅ０”とし、この機器集合“Ｅ０”に所属する機器“ｅ”全てに対して（２００２）、以降のステップ２００３〜２００６を実行する。
【０１０２】
このうち、ステップ２００３においてリスク評価モデル構築処理部６０５は、ステップ１８０３で得ている、機器情報テーブル８２０のネットワークセグメントＩＤリスト１００３とネットワーク情報テーブル８１０の可達セグメントＩＤリスト９０３から、機器“ｅ”が所属するネットワークとそのネットワークからメッセージが到達するネットワークのうち、上位のネットワーク以外をレベル１のネットワーク集合“Ｎ１”に追加する。なお、レベル０のネットワークは存在しないため、レベル１では全てが追加される。
【０１０３】
次に、ステップ２００４においてリスク評価モデル構築処理部６０５は、同じくネットワークセグメントＩＤリスト１００３から、レベル１のネットワークの部分集合“Ｎ’１”に所属する機器をレベル１の機器の部分集合“Ｅ’１”に追加する。“Ｅ’１”に追加する場合も同様に上位の機器集合の中に既に存在する機器は除外する。
【０１０４】
次に、ステップ２００５においてリスク評価モデル構築処理部６０５は、機器“ｅ”から、機器集合“Ｅ’１”に所属する機器とその脆弱性およびセキュリティ設定の穴へのアークの接続処理を行う（２００５）。このステップ２００５の詳細を図２２のフローにて示す。
【０１０５】
図２２のフローにおいて、リスク評価モデル構築処理部６０５は、まず機器の部分集合“Ｅ’１”に所属する全ての機器“ｅ’”に対して、ノードとして非循環有向グラフに配置済みかどうか判定する（２１０１、２１０２）。
【０１０６】
上述の判定の結果が「配置済」の場合（２１０２：Ｙｅｓ）、リスク評価モデル構築処理部６０５は、重複して同一の機器を配置する問題を避けるため、ステップ２０１３〜２
１０５を省略し、ステップ２１０６へ処理を進める。他方、上述の判定の結果が「未配置」であった場合（２１０２：Ｎｏ）、リスク評価モデル構築処理部６０５は、機器“ｅ’”をノードとして非循環有向グラフにて配置する（２１０３）。図２３の非循環有向グラフ２３００の例では機器ノード２３０２が配置されている。
【０１０７】
次に、リスク評価モデル構築処理部６０５は、上述のステップ１８０３にて既に得ている、脆弱性情報テーブル８３０の機器ＩＤ１２０２から機器“ｅ’”が保有する脆弱性“ｖｅ”全てを脆弱性ノードとして非循環有向グラフに配置する（２１０４）。図２３の非循環有向グラフ２３００の例では脆弱性ノード２３０３が配置されている。
【０１０８】
次に、リスク評価モデル構築処理部６０５は、脆弱性“ｖｅ”のノードから機器“ｅ’”のノードにアークを接続する（２１０５）。図２３の非循環有向グラフ２３００の例では、アーク２３０４が、脆弱性のノード２３０３と機器のノード２３０２の間を接続している。
【０１０９】
次に、リスク評価モデル構築処理部６０５は、機器“ｅ”のノードから脆弱性“ｖｅ”のノードにアークを接続する（２１０６）。図２３の非循環有向グラフ２３００の例では、アーク２３０５が、攻撃源機器のノード２３０１と脆弱性のノード２３０３との間を接続している。
【０１１０】
ここで図２０のフローについての説明に戻る。上述したステップ２００５の終了後、機器の部分集合“Ｅ’１”とネットワークの部分集合“Ｎ’１”をそれぞれ機器集合“Ｅ１”とネットワーク集合“Ｎ１”に追加する（２００６）。
【０１１１】
以上により、レベル０の機器に対してステップ２００２〜２００６を実行することで、レベル０の機器からレベル１への機器の関係性を非循環有向グラフ２３００に追加した。ここまでの一連の処理により、図２４に例示する簡易リスク評価モデルたる非循環有向グラフ２３００において、レベル０の領域２３１６とレベル１の領域２３１７までが構築される。本実施形態では、続けてレベル１の機器に対して、ステップ２００２〜２００６を実行し、レベル２の領域２３１８を構築する。このように上位レベルの機器から順次下位のレベルの機器に対してステップ２００２〜２００６を反復的に実行していくことにより、簡易リスク評価モデルたる非循環有向グラフを構築する。リスク評価モデル構築処理部６０５は、こうした反復処理を、全てのネットワークおよび複数のネットワークに所属する機器全てが追加されるまで反復的に実行する。
【０１１２】
ここで、上述のステップ２００５の詳細について図２２に基づき説明する。この場合、リスク評価モデル構築処理部６０５は、機器の部分集合“Ｅ'１”に所属する全ての機器
“ｅ'”に対して、ノードとして配置済みかどうか判定する（２１０１）。
【０１１３】
この判定の結果、ノード配置済であった場合（２１０１：Ｙｅｓ）、同一の機器の重複配置を避けるため、リスク評価モデル構築処理部６０５は、以降の処理２０１３〜処理２１０７まで省略し、処理をステップ２１０８に進める。
【０１１４】
他方、上述の判定の結果、ノードとして未配置のものがあった場合（２１０１：Ｎｏ）、リスク評価モデル構築処理部６０５は、該当機器“ｅ'”をノードとして非循環有向グ
ラフに配置する（２１０３）。図２４の例においては、簡易リスク評価モデルたる非循環有向グラフ２３００上に、機器ノード２３０２が配置されることとなる。
【０１１５】
続いてリスク評価モデル構築処理部６０５は、上述の機器“ｅ'”の機器ＩＤ１１０２
に基づいて脆弱性情報テーブル８３０にて該当機器に関する脆弱性の情報を参照し、脆弱
性“ｖｅ”全てを脆弱性ノードとして非循環有向グラフ２３００上に配置する（２１０４）。図２４の例においては、簡易リスク評価モデルたる非循環有向グラフ２３００上に脆弱性ノード２３０３が配置されることとなる。
【０１１６】
次に、リスク評価モデル構築処理部６０５は、上述の機器“ｅ'”の機器ＩＤ１１０２
に基づいて脆弱性情報テーブル８３０にて該当機器に関するセキュリティ設定の情報（セキュリティ設定の穴に関する情報）を参照し、セキュリティ設定の穴“ｓｅ”全てをセキュリティ設定ノードとして非循環有向グラフ２３００上に配置する（２１０５）。図２４の例においては、簡易リスク評価モデルたる非循環有向グラフ２３００上にセキュリティ設定ノード２３０４が配置されることとなる。
【０１１７】
次にリスク評価モデル構築処理部６０５は、上述の脆弱性“ｖｅ”のノードから機器“ｅ'”のノードへアークを接続する（２１０６）。図２４の例においては、簡易リスク評
価モデルたる非循環有向グラフ２３００上にアーク２３０５が接続されることとなる。
【０１１８】
続いてリスク評価モデル構築処理部６０５は、上述のセキュリティ設定の穴“ｓｅ”のノードから機器“ｅ'”のノードへアークを接続する（２１０７）。図２４の例において
は、簡易リスク評価モデルたる非循環有向グラフ２３００上にアーク２３０６が接続されることとなる。
【０１１９】
次に、リスク評価モデル構築処理部６０５は、機器“ｅ”のノードから脆弱性“ｖｅ”のノードへアークを接続する（２１０８）。図２４の例においては、簡易リスク評価モデルたる非循環有向グラフ２３００上にアーク２３０７が接続されることとなる。
【０１２０】
次に、リスク評価モデル構築処理部６０５は、機器“ｅ”のノードからセキュリティ設定“ｓｅ”のノードへアークを接続する（２１０９）。図２４の例においては、簡易リスク評価モデルたる非循環有向グラフ２３００上にアーク２３０８が接続されることとなる。こうして図２１のフローにおけるステップ２００５が完了する。
【０１２１】
ここで図２１のフローの説明に戻る。上述したとおり、ノード間をアークで接続する処理（ステップ２００５）の終了後、リスク評価モデル構築処理部６０５は、機器の部分集合“Ｅ'１”とネットワークの部分集合“Ｎ'１”をそれぞれ機器集合“Ｅ１”とネットワーク集合“Ｎ１”に追加する（２００６）。
【０１２２】
以上により、レベル０の機器に対してステップ２００２〜２００６を実行することで、レベル０の機器からレベル１への機器の関係性を非循環有向グラフ２３００上に追加した。また、ここまでの一連の処理により、図２４の簡易リスク評価モデルとしてレベル０の領域２３１６とレベル１の領域２３１７までが構築される。本実施形態では、続けてレベル１の機器に対して、ステップ２００２〜２００６を実行し、レベル２の領域２３１８を構築する。このように上位レベルの機器から下位のレベルの機器に対して、ステップ２００２〜２００６を順次実行していくことにより、簡易リスク評価モデルを構築する。リスク評価モデル構築処理部６０５は、こうした上位から下位にいたる各レベル間での処理を、全てのネットワークおよび複数のネットワークに所属する機器全てが追加されるまで反復的に実行する（２００７）。
【０１２３】
次に図２１のフローにおけるステップ１９０３の詳細について、図２３に基づき説明する。この場合、リスク評価モデル構築処理部６０５は、上述のステップ１８０３で得た情報が示す機器を、各機器が所属するネットワークの単複により集合“Ｅｍ”（複数）、“Ｅｓ”（単数）に分類し、単一のネットワークに所属する機器“ｅ”全てに対して、以降のステップ２２０１〜２２０９を実行するものとする。
【０１２４】
まず、リスク評価モデル構築処理部６０５は、機器“ｅ”をノードとして非循環有向グラフ２３００にて配置する（２２０２）。図２４の非循環有向グラフ２３００の例では、機器ノード２３０９などが配置されることとなる。
【０１２５】
次に、リスク評価モデル構築処理部６０５は、上述のステップ１８０３で既に得ている、脆弱性情報テーブル８３０の機器ＩＤ１１０２に対応する、機器“ｅ”が保有する脆弱性“ｖｅ”全てを脆弱性ノードとして非循環有向グラフに配置する（２２０３）。図２４の簡易リスク評価モデルたる非循環有向グラフ２３００の例では、脆弱性ノード２３１０が配置されることとなる。
【０１２６】
次に、リスク評価モデル構築処理部６０５は、脆弱性情報テーブル８３０の機器ＩＤ１１０２から機器“ｅ”が保有するセキュリティ設定の穴に関する情報を参照し、該当するセキュリティ設定の穴“ｓｅ”全てをセキュリティ設定ノードとして、非循環有向グラフに配置する（２２０４）。図２４の簡易リスク評価モデルたる非循環有向グラフ２３００の例では、セキュリティ設定ノード２３１１が配置されることとなる。
【０１２７】
次に、リスク評価モデル構築処理部６０５は、脆弱性“ｖｅ”のノードから機器“ｅ”のノードへアークを接続する（２２０５）。図２４の簡易リスク評価モデルたる非循環有向グラフ２３００の例では、アーク２３１２が、脆弱性のノード２３１０と機器のノード２３０９との間を接続することとなる。
【０１２８】
次に、リスク評価モデル構築処理部６０５は、セキュリティ設定“ｓｅ”のノードから機器“ｅ”のノードへアークを接続する（２２０６）。図２４の簡易リスク評価モデルたる非循環有向グラフ２３００の例では、アーク２３１３が、セキュリティ設定のノード２３１１と機器のノード２３０９との間を接続することとなる。
【０１２９】
続いてリスク評価モデル構築処理部６０５は、機器“ｅ”と同一のネットワークに所属し、複数のネットワークに所属している機器の集合“Ｅ’”を構築する（２２０７）。また、リスク評価モデル構築処理部６０５は、機器集合“Ｅ’”に含まれる機器のノードから脆弱性“ｖｅ”のノードにアークを接続する（２２０８）。図２４の簡易リスク評価モデルたる非循環有向グラフ２３００の例では、アーク２３１４が、機器のノード２３２０と脆弱性のノード２３１０との間を接続することとなる。
【０１３０】
次に、リスク評価モデル構築処理部６０５は、機器集合“Ｅ'”に含まれる機器のノー
ドからセキュリティ設定“ｓｅ”のノードへアークを接続する（２２０９）。図２４の簡易リスク評価モデルたる非循環有向グラフ２３００の例では、アーク２３１５が、機器のノード２３２０とセキュリティ設定のノード２３１１との間を接続することとなる。
【０１３１】
こうして図２４にて例示した非循環有向グラフ２３００すなわち、簡易リスク評価モデルが生成されることとなる。本実施形態とは異なり、ベイジアンネットワーク等の推論手法を適用する従来における評価モデルの構築では、非循環有向グラフのループがない等の制約条件から、システム管理者に上述のアークの接続関係などを入力させ、手動によりモデルを構築することが一般的であった。一方、本実施形態では、攻撃源となる機器を最上位ノードとし、この攻撃源の機器から攻撃が届くまでのホップ数によりその他の各機器をレベル分けし、上位レベルの機器から下位レベルの機器へのみアークを接続する制約条件を導入することにより、リスク評価モデル構築処理（１８０４）のプロセスで自動的にリスク評価モデルを構築することが可能となっている。
【０１３２】
ここで図１９のフローに関する説明に戻る。ここではまず、非循環有向グラフにおける
特定の脆弱性に限定せず、システム全体における脆弱性とセキュリティ設定の穴の分布状態から各機器が侵害される確率を計算する。
【０１３３】
上述のように簡易リスク評価モデルの構築処理（１８０４）が完了した後、リスク評価サーバ１０７の条件付確率表設定処理部６０７は、非循環有向グラフ２３００における各ノードに対して、条件付き確率表を設定する（１８０５）。この条件付き確率表とは、対象ノードが取り得る状態を規定し、対象ノードの親ノードがとる状態の組み合わせ全てに対して、対象ノードの状態が発生する確率を条件付き確率として記述した表のことである。また、条件付き確率とは、或る事象が起こるという条件の下で別の事象が発生する確率である。本実施形態においては、各機器ノードが取り得る状態を、該当機器が攻撃により乗っ取られたか乗っ取られていないかの２値で定義している。また、脆弱性ノードおよびセキュリティ設定ノードが取り得る状態を、攻撃を受けたか受けていないかの２値で定義している。
【０１３４】
上述の条件付き確率表の例を図２５に示す。図２５に例示する条件付き確率表２４０１は、図２４の非循環有向グラフ２３００における機器Ａを表すノード２３０２の条件付き確率表の例となっている。図２４における「機器Ａ」のノード２３０２は、親ノードとして「脆弱性１」のノード２３０３および「セキュリティ設定１」のノード２０４を有しているため、それら親ノードが持つ状態の組み合わせとして、２の２乗すなわち４通りに対して、条件付き確率を設定している。
【０１３５】
本実施形態では、上述の条件付き確率として、脆弱性の機器影響確率１１０４（脆弱性情報テーブル８３０）とセキュリティ設定の機器影響確率１２０３（セキュリティ設定情報テーブル８４０）の各値を利用しており、該当機器が保有する脆弱性あるいはセキュリティ設定の穴のうち、攻撃を受けたものの中で最も機器影響確率１１０４、１２０３が高い値を設定する。例えば、「脆弱性１」の機器影響確率１１０４が「０．７」で、「セキュリティ設定１」の機器影響確率１２０３が「０．９」であった場合、「脆弱性１」と「セキュリティ設定１」の両方が攻撃を受けた場合の条件付き確率２４０２は最大値である「０．９」となる。一方、「脆弱性１」のみ攻撃を受けた場合の条件付き確率２４０３は「０．７」となる。全ての攻撃を受けなかった場合の条件付き確率２４０４は、機器影響確率１１０４、１２０３に関わらず「０．０」となる。
【０１３６】
次にリスク評価モデル構築処理部６０５は、脆弱性ノードおよびセキュリティ設定ノードに対しても同様に条件付き確率表を設定する。この場合の条件付き確率表２５０１を図２６に例示する。図２６は、「脆弱性４」を表すノード２３２１の条件付き確率表２５０１の例を示す図である。図２４における「脆弱性４」のノード２３２１は、親ノードとして「機器Ａ」のノード２３０２および「機器Ｂ」のノード２３２２を有しているため、親ノードが持つ状態の組み合わせとし、２の２乗すなわち４通りに対して、条件付き確率を設定している。
【０１３７】
本実施形態では、上述の条件付き確率として、該当脆弱性の脆弱性攻撃確率１１０３（脆弱性情報テーブル８３０）と該当セキュリティ設定のセキュリティ設定攻撃確率１２０２（セキュリティ設定情報テーブル８４０）の各値を利用しており、親ノードいずれかが乗っ取られた場合は必ず同攻撃確率１１０３、または１２０２を設定する。例えば、「脆弱性４」の脆弱性攻撃確率１１０３が「０．８」の場合、「機器Ａ」、「機器Ｂ」のいずれかが乗っ取られた場合の条件付き確率２５０２は「０．８」となる。また、「機器Ａ」および「機器Ｂ」が共に乗っ取られていない場合の条件付き確率２５０３は「０．０」となる。
【０１３８】
次に、リスク値計算処理部６０８は、ベイジアンネットワークの推論プログラムを利用
した確率推論を実行し、各脆弱性が攻撃される確率と各機器が侵害される確率を計算する（１８０６）。ベイジアンネットワークは、非循環有向グラフと条件付き確率表から、各ノードがとる状態の周辺確率（事前条件のない一般的な確率）を計算する手法のことである。また、ベイジアンネットワークにおける確率推論の方法としては一般的に公知な方法を採用するものとし、限定はしない。ベイジアンネットワークを用いた確率推論では、結果として非循環有向グラフを構成する全てのノードの周辺確率が求められる。
【０１３９】
続いて、リスク評価モデル詳細化処理部６０６が実行するリスク評価モデル詳細化処理（１８０７）について説明する。このリスク評価モデル詳細化処理のフロー例を図２７に示す。この場合、リスク評価モデル詳細化処理部６０６は、上述のリスク評価モデル構築処理（１８０４）で構築した簡易リスク評価モデルの中で、リスクが所定基準より高いノードを含む所定領域において、より詳細な状態を表すノードを追加し、アークによる接続関係を修正することで、より詳細化したリスク評価モデル、すなわち詳細リスク評価モデルを構築する。
【０１４０】
一般的に公開される脆弱性情報などでは、全ての公開情報に共通して含まれる情報がある一方で、インパクトが大きい高リスクの脆弱性に対してのみ詳細な情報が公開されている場合などがある。本実施形態のように、リスク値が所定基準以上の特定ノード周辺のみ部分的に詳細化することで、均質的なリスク評価グラフと比べ、一部の公開情報のみに含まれている詳細情報を有効活用することが可能となり、リスク評価をより高精度に実現することが可能となる。また、詳細リスク評価モデルの構築を、リスク値が所定基準より高く、より詳細な分析が必要となる領域のみに限定することにより、リスク評価モデルにおけるノード数の増加を抑え、リスク値計算の高速化が可能となる。
【０１４１】
このリスク評価モデル詳細化処理（１８０７）において、リスク評価モデル詳細化処理部６０６は、まずリスク値が所定基準より高い機器ノードをリスト化する（２６０１）。リスト化処理（２６０１）では、上述のリスク値計算（１８０６）の結果、得られた各機器が侵害される確率に基づき、ある一定値を超えた機器ノードをリスト化する。リスク評価モデル詳細化処理部６０６は、こうしたリスト化処理２６０１によってリスト化された機器ノード“ｅ”全てに対して、以下のステップ２６０２〜２６０５を実行する。
【０１４２】
まず、リスク評価モデル詳細化処理部６０６は、リスク値が所定基準より高いとされた上述の機器“ｅ”のノードと、機器“ｅ”のノードに接続するアークを、簡易リスク評価モデルたる上述の非循環有向グラフ２３００において全て削除する（２６０２）。
【０１４３】
次に、リスク評価モデル詳細化処理部６０６は、機器“ｅ”の機器状態ノードの追加処理（２６０３）を実行する。この機器“ｅ”の機器状態ノードの追加処理のフローを図２８に示す。図２８のフローが例示する追加処理（２６０３）では、リスク評価モデル詳細化処理部６０６は、機器“ｅ”が保有する脆弱性“ｖｅ”全てに対して、ステップ２７０１〜２７０３を実行する。
【０１４４】
この場合、リスク評価モデル詳細化処理部６０６は、脆弱性情報テーブル８３０の脆弱性攻撃事後状態１１０６を参照し、該当機器“ｅ”の機器状態として詳細リスク評価モデル上（図２９）に配置する。但し、既に配置されている同一の機器状態ノードは重複して配置しない。図２９で示す詳細リスク評価モデル２８００の例では、機器状態ノード２８０１が配置されることとなる。
【０１４５】
次に、リスク評価モデル詳細化処理部６０６は、脆弱性ノード“ｖｅ”から、脆弱性情報テーブル８３０の脆弱性攻撃事後状態１１０６により対応づく機器“ｅ”の機器状態ノードへアークを接続する。図２９で示す詳細リスク評価モデル２８００の例では、例えば
アーク２８０２が、「機器Ａ」のノード２８０１と「脆弱性１」のノード２８０５との間を結ぶよう接続されることとなる。
【０１４６】
次に、リスク評価モデル詳細化処理部６０６は、機器“ｅ”が保有するセキュリティ設定の穴“ｓｅ”全てに対して、以下のステップ２７０４〜２７０６を実行する。この場合まず、リスク評価モデル詳細化処理部６０６は、セキュリティ設定情報テーブル８４０のセキュリティ設定攻撃事後状態１２０５を参照し、機器“ｅ”の機器状態として詳細リスク評価モデルたる非循環有向グラフ２８００上に配置する。但し、既に配置されている同一の機器状態ノードは重複して配置しない。
【０１４７】
次に、リスク評価モデル詳細化処理部６０６は、セキュリティ設定ノード“ｓｅ”から、セキュリティ設定情報テーブル８４０のセキュリティ設定攻撃事後状態１２０５により対応づく機器“ｅ”の機器状態ノードへアークを接続する。
【０１４８】
ここで図２７のフローの説明に戻る。リスク評価モデル詳細化処理部６０６は、上述のステップ２６０３に続き、機器“ｅ”の子ノードへアークを接続する（２６０４）。このステップ２６０４において、リスク評価モデル詳細化処理部６０６は、全ての子ノードについて、脆弱性情報テーブル８３０の脆弱性攻撃前提状態１１０５およびセキュリティ設定情報テーブル８４０のセキュリティ設定攻撃前提状態１２０４を参照し、前提状態１１０５、１２０４と一致する機器“ｅ”の機器状態ノードからアークを同子ノードへ接続する。図２９の詳細リスク評価モデルたる非循環有向グラフ２８００の例では、「脆弱性４」のノード２８０６が脆弱性攻撃前提状態１１０５として、「状態β」を有しているため、アーク２８０３を接続することとなる。
【０１４９】
次に、リスク評価モデル詳細化処理部６０６は、機器状態ノードの上位下位関係のアークを接続する（２６０５）。このステップ２６０５において、リスク評価モデル詳細化処理部６０６は、状態定義テーブル８５０の上位状態ＩＤ１３０２、および下位状態ＩＤリスト１３０３を参照し、機器“ｅ”の機器状態ノードの中で、上位となる機器状態ノードから下位となる機器状態ノードへアークを接続する。図２９の詳細リスク評価モデルたる非循環有向グラフ２８００の例では、状態定義テーブル８５０が表す木構造において、「状態α」が「状態β」の上位にあたるため、該当ノード２８０１とノード２８０７との間を、アーク２８０４で接続している。このように、機器状態の包含関係に基づいて、機器状態のノード間をアークで接続することにより、包含関係を持つ機器状態を適切に表現できる。例えば、「ＲＯＯＴ権限奪取された状態」と「ＬＯＣＡＬＵＳＥＲ権限が奪取された状態」のような２つの機器状態が想定されうる構成において、「ＲＯＯＴ権限」が奪取されたならば、「ＲＯＯＴ権限」によって自在に制御出来る「ＬＯＣＡＬＵＳＥＲ権限」も当然ながら「奪取された状態」となる関係にあり、上記状態の包含関係が表現できる。
【０１５０】
上述のリスク評価モデル詳細化処理（１８０７）の完了後、本実施形態では、システム全体における脆弱性とセキュリティ設定の穴の分布状態から各機器が侵害される確率を再度計算する。すなわち、リスク評価サーバ１０７の条件付確率表設定処理部６０７は、詳細リスク評価モデルたる非循環有向グラフ２８００の各ノードに対して、条件付き確率表を再設定する（１８０８）。
【０１５１】
こうした条件付確率表の設定処理（１８０８）において、条件付確率表設定処理部６０７は、非循環有向グラフ２８００の各機器状態ノードが取り得る状態を、その機器状態に陥るまで攻略されたか否かの２値で設定する。この場合、条件付確率表設定処理部６０７は、機器状態ノードに対して、図３０で例示する条件付き確率表２９０１を設定する。図３０は、「機器Ａ」の「機器状態β」を表すノードの条件付き確率表２９０１の例を示す図である。図２９の条件付き確率表２９０１の例では、「機器Ａ」の「機器状態β」は親
ノードとして「機器Ａ」の「機器状態α」、「脆弱性１」のノードおよび「セキュリティ設定１」のノードを有しているため、親ノードが持つ状態の組み合わせとして、２の３乗すなわち８通りに対して、条件付き確率を設定している。上位の状態である「状態α」が未攻略の場合の条件付き確率２９０２の設定方法は、条件付確率表の設定処理（１８０５）における条件付き確率２４０２、２４０３、２４０４の場合と同様であり、説明を省略する。上位の状態である「状態α」が攻略済の場合の条件付き確率２９０３は、「１．０」となる。
【０１５２】
次に条件付確率表設定処理部６０７は、詳細リスク評価モデルたる非循環有向グラフ２３００上の脆弱性ノードおよびセキュリティ設定ノードに対して、図３１で例示する条件付き確率表３００１を設定する。図３１は、リスク評価モデル詳細化処理後の「脆弱性４」を表すノードの条件付き確率表３００１の例を示す図である。図３１の条件付き確率表３００１の例では、「脆弱性４」のノードは親ノードとして「機器Ａ」の「機器状態β」のノードおよび「機器Ｂ」のノードを有しているため、親ノードが持つ状態の組み合わせとして、２の２乗すなわち４通りに対して、条件付き確率を設定している。
【０１５３】
本実施形態では、設定する条件付き確率として、非循環有向グラフ２３００における脆弱性ノードの脆弱性攻撃確率１１０３（脆弱性情報テーブル８３０）と、セキュリティ設定ノードのセキュリティ設定攻撃確率１２０２（セキュリティ設定情報テーブル８４０）の各値を利用しており、親ノードのいずれかが乗っ取られた場合あるいは攻略された場合は必ず同攻撃確率１１０３、または１２０２を設定する。
【０１５４】
次に、リスク評価サーバ１０７のリスク値計算処理部６０８は、上述のステップ１８０６と同様、ベイジアンネットワークを利用した確率推論を再度実行し、各脆弱性が攻撃される確率と各機器が侵害される確率を計算する（１８０９）。
【０１５５】
また、リスク評価サーバ１０７の脆弱性リスク表示処理部６０４は、こうした一連の処理の結果たる上述の詳細リスク評価モデル、すなわち非循環有向グラフ２８００を設定した画面データを生成し、これをクライアント１０６に送信する。図３２に、前述の画面データを受信したクライアント１０６にてユーザに表示される脆弱性リスク表示画面３１０１の例を示している。図３２の例においては、脆弱性リスク表示画面３１０１における領域１２５０２にて上述の非循環有向グラフ２８００が図として設定、表示された画面構成となっている。
【０１５６】
また脆弱性リスク表示処理部６０４は、上述のリスク値計算（１８０９）で機器毎に計算した機器状態に陥る確率を、リスト化して侵害確率３１０３として脆弱性リスク表示画面３１０１にて表示する。なお、複数の機器状態を取り得る機器に関しては、脆弱性リスク表示処理部６０４は、侵害確率３１０３を全て確率の加法定理により合算し、侵害確率３０１４として合算値を脆弱性リスク表示画面３１０１にて表示する。また、脆弱性リスク表示処理部６０４は、機器情報テーブル８１０のＣＩＡ要件１００６を、機器ＩＤ１００１に対応付けてＣＩＡ要件３１０５として脆弱性リスク表示画面３１０１にて表示する。また、脆弱性リスク表示処理部６０４は、脆弱性ＩＤ１１０１に対応付けて、脆弱性毎にリスク値計算（１８０９）で得た、脆弱性が侵害される確率をリスト化して、侵害確率３１０６として脆弱性リスク表示画面３１０１にて表示する。
【０１５７】
以上のように、脆弱性およびセキュリティ設定と機器との間の関係性を非循環有向グラフとして構築することで、評価対象システムを成す機器のシステム構成やネットワークのトポロジに基づいたリスク値を計算することが可能となる。またリスク評価サーバ１０７が、上述した脆弱性リスク表示画面３１０１をクライアント１０６に表示することにより、これを閲覧するシステム運管理者等は、例えば侵害確率３１０３、３１０４、３１０６
から現在システムが置かれている状況を素早く把握し、対策すべき脆弱性の優先度を容易に把握することができ、効率的に脆弱性対策を行うことが可能になる。
【０１５８】
なお、本発明は上記した実施例に限定されるものではなく、様々な変形例が含まれる。例えば、上記した実施例は本発明を分かりやすく説明するために詳細に説明したものであり、必ずしも説明した全ての構成を備えるものに限定されるものではない。また、ある実施例の構成の一部を他の実施例の構成に置き換えることが可能であり、また、ある実施例の構成に他の実施例の構成を加えることも可能である。また、各実施例の構成の一部について、他の構成の追加・削除・置換をすることが可能である。
【０１５９】
また、上記の各構成、機能、処理部、処理手段等は、それらの一部又は全部を、例えば集積回路で設計する等によりハードウェアで実現してもよい。また、上記の各構成、機能等は、プロセッサがそれぞれの機能を実現するプログラムを解釈し、実行することによりソフトウェアで実現してもよい。各機能を実現するプログラム、テーブル、ファイル等の情報は、メモリや、ハードディスク、ＳＳＤ（Ｓｏｌｉｄ  Ｓｔａｔｅ  Ｄｒｉｖｅ）等の記録装置、または、ＩＣカード、ＳＤカード、ＤＶＤ等の記録媒体に置くことができる。
【０１６０】
また、制御線や情報線は説明上必要と考えられるものを示しており、製品上必ずしも全ての制御線や情報線を示しているとは限らない。実際には殆ど全ての構成が相互に接続されていると考えてもよい。
【０１６１】
以上、本発明を実施するための最良の形態などについて具体的に説明したが、本発明はこれに限定されるものではなく、その要旨を逸脱しない範囲で種々変更可能である。
【０１６２】
こうした本実施形態によれば、システムを運用しているシステム管理者や業務システムを開発したエンジニア（ＳＥ）に対して、脆弱性とリスクの因果関係を、セキュリティ設定や攻撃前後の状態等も踏まえつつ、セキュリティ対策の優先度や各機器のＣＩＡ要件等も合わせて理解しやすく提示し、システム管理者によるセキュリティ対策の必要性や重要性の判断を支援できる。
【０１６３】
したがって、脆弱性個々の技術的な特性に加え、システム構成やトポロジに基づいて脆弱性リスクを評価し、現実のシステム状況に対応した有効性の高いリスク評価が可能となる。
【０１６４】
本明細書の記載により、少なくとも次のことが明らかにされる。すなわち、本実施形態のリスク評価システムにおいて、前記演算装置は、前記機器、前記ネットワーク、前記脆弱性、および前記セキュリティ設定の各情報を、グラフ理論に基づく所定アルゴリズムに適用して、ネットワーク上での各機器の配置に応じた脆弱性およびセキュリティ設定の影響関係について規定する非循環有向グラフを、前記リスク評価モデルとして作成し、前記非循環有向グラフをベイジアンネットワークの推論アルゴリズムに適用して、前記対象システムの脆弱性がもたらすリスクを評価し、当該評価結果を所定装置に出力するものであるとしてもよい。
【０１６５】
これによれば、例えば多数の機器を含むネットワークでの機器配置に応じた脆弱性の影響伝搬を、各機器のセキュリティ設定も踏まえつつ矛盾無く規定する非循環有向グラフをリスク評価モデルとし、これをベイジアンネットワークの概念に基づいて評価することで、より現実のシステム状況に対応した有効性の高いリスク評価が可能となる。
【０１６６】
また、本実施形態のリスク評価システムにおいて、前記演算装置は、前記機器、前記ネ
ットワーク、前記脆弱性、および前記セキュリティ設定の各情報を、グラフ理論に基づく所定アルゴリズムに適用して、前記機器、前記脆弱性、および前記セキュリティ設定をノードとし、前記ネットワーク情報が示す前記対象システムのネットワーク構成に基づいて、前記機器と前記脆弱性および前記セキュリティ設定との間をアークで接続した非循環有向グラフを、前記リスク評価モデルたる簡易リスク評価モデルとして作成し、前記非循環有向グラフをベイジアンネットワークの推論アルゴリズムに適用して、前記対象システムの脆弱性がもたらすリスクを評価し、当該評価結果を所定装置に出力するものである、としてもよい。
【０１６７】
これによれば、リスク評価モデルたる非循環有向グラフを、より効率的に作成し、ひいては、より現実のシステム状況に対応した有効性の高いリスク評価を効率的なものとできる。
【０１６８】
また、本実施形態のリスク評価システムにおいて、前記演算装置は、前記機器、前記ネットワーク、前記脆弱性、および前記セキュリティ設定の各情報を、グラフ理論に基づく所定アルゴリズムに適用して、前記機器、前記脆弱性、および前記セキュリティ設定をノードとし、前記ネットワーク情報が示す前記対象システムのネットワーク構成に基づいて、前記機器と前記脆弱性および前記セキュリティ設定との間をアークで接続した非循環有向グラフを、前記リスク評価モデルたる簡易リスク評価モデルとして作成するに際し、攻撃源となる所定機器を最上位ノードとし、前記攻撃源の所定機器からその他の各機器へ攻撃が届くまでのホップ数に応じて各機器をレベル分けし、上位レベルの機器から下位レベルの機器へのみアークを接続する制約条件に基づいて、前記非循環有向グラフを作成し、前記非循環有向グラフをベイジアンネットワークの推論アルゴリズムに適用して、前記対象システムの脆弱性がもたらすリスクを評価し、当該評価結果を所定装置に出力するものである、としてもよい。
【０１６９】
これによれば、例えば多数の機器を含むネットワークでの機器配置に応じた脆弱性の影響伝搬を、攻撃源となる機器の配置および各機器のセキュリティ設定も踏まえつつ、より効率的に矛盾無く規定する非循環有向グラフを作成し、これをベイジアンネットワークの概念に基づいて評価することで、より現実のシステム状況に対応した有効性の高いリスク評価が可能となる。
【０１７０】
また、本実施形態のリスク評価システムにおいて、前記記憶装置は、前記データベースにおいて、前記機器の状態定義を更に記憶するものであり、前記演算装置は、前記機器、前記ネットワーク、前記脆弱性、および前記セキュリティ設定の各情報を、グラフ理論に基づく所定アルゴリズムに適用して、前記機器、前記脆弱性、および前記セキュリティ設定をノードとし、前記ネットワーク情報が示す前記対象システムのネットワーク構成に基づいて、前記機器と前記脆弱性および前記セキュリティ設定との間をアークで接続した非循環有向グラフを、前記リスク評価モデルとして作成するに際し、前記機器のうち機器状態が前記記憶装置にて定義されているものについて、その機器のノードに代えて、該当機器の各機器状態のノードを配置し、前記機器状態と前記脆弱性および前記セキュリティ設定との各ノード間をアークで接続した非循環有向グラフを、前記リスク評価モデルたる詳細リスク評価モデルとして作成し、前記非循環有向グラフをベイジアンネットワークの推論アルゴリズムに適用して、前記対象システムの脆弱性がもたらすリスクを評価し、当該評価結果を所定装置に出力するものである、としてもよい。
【０１７１】
これによれば、各機器におけるユーザ間の管理権限の階層構造等に基づく、機器への攻撃に伴って変化する状態等（例：管理者権限が設定された状態を乗っ取られると管理者権限で付与されている一般ユーザ権限も乗っ取られた状態となる）も更に踏まえつつ、より効率的に矛盾無く規定する非循環有向グラフを作成し、これをベイジアンネットワークの
概念に基づいて評価することで、より現実のシステム状況に対応した有効性の高いリスク評価が可能となる。
【０１７２】
また、本実施形態のリスク評価システムにおいて、前記記憶装置は、前記データベースにおいて、前記機器の状態定義を更に記憶するものであり、前記演算装置は、前記機器、前記ネットワーク、前記脆弱性、および前記セキュリティ設定の各情報を、グラフ理論に基づく所定アルゴリズムに適用して、前記機器、前記脆弱性、および前記セキュリティ設定をノードとし、前記ネットワーク情報が示す前記対象システムのネットワーク構成に基づいて、前記機器と前記脆弱性および前記セキュリティ設定との間をアークで接続した非循環有向グラフを、前記リスク評価モデルたる簡易リスク評価モデルとして作成し、前記簡易リスク評価モデルを、当該リスク評価モデルに対応する所定の推論アルゴリズムに適用して、前記対象システムにおける脆弱性がもたらすリスクを評価し、当該評価で得たリスクの値が所定基準以上の機器であり、機器状態が前記記憶装置にて定義されているものについて、その機器のノードに代えて、該当機器の各機器状態のノードを配置し、前記機器状態と前記脆弱性および前記セキュリティ設定との各ノード間をアークで接続した非循環有向グラフを、前記リスク評価モデルたる詳細リスク評価モデルとして作成し、前記非循環有向グラフをベイジアンネットワークの推論アルゴリズムに適用して、前記対象システムの脆弱性がもたらすリスクを評価し、当該評価結果を所定装置に出力するものである、としてもよい。
【０１７３】
これによれば、リスクの高さ故に特に注意が必要となる機器について、各機器におけるユーザ間の管理権限の階層構造等に基づく、機器への攻撃に伴って変化する状態等（例：管理者権限が設定された状態を乗っ取られると管理者権限で付与されている一般ユーザ権限も乗っ取られた状態となる）も更に踏まえつつ、より効率的に矛盾無く規定する非循環有向グラフを作成し、これをベイジアンネットワークの概念に基づいて評価することで、より現実のシステム状況に対応した有効性の高いリスク評価が可能となる。
【０１７４】
また、本実施形態のリスク評価システムにおいて、前記記憶装置は、前記データベースにおいて、前記機器に対する攻撃前後での各機器状態の定義を更に記憶するものであり、前記演算装置は、前記機器、前記ネットワーク、前記脆弱性、および前記セキュリティ設定の各情報を、グラフ理論に基づく所定アルゴリズムに適用して、前記機器、前記脆弱性、および前記セキュリティ設定をノードとし、前記ネットワーク情報が示す前記対象システムのネットワーク構成に基づいて、前記機器と前記脆弱性および前記セキュリティ設定との間をアークで接続した非循環有向グラフを、前記リスク評価モデルとして作成するに際し、前記機器のうち機器状態が前記記憶装置にて定義されているものについて、その機器のノードに代えて、該当機器の各機器状態のノードを配置し、前記機器状態と前記脆弱性および前記セキュリティ設定との各ノード間をアークで接続し、前記機器状態の間を攻撃前後の関係に基づきアークで接続した非循環有向グラフを、前記リスク評価モデルたる詳細リスク評価モデルとして作成し、前記非循環有向グラフをベイジアンネットワークの推論アルゴリズムに適用して、前記対象システムの脆弱性がもたらすリスクを評価し、当該評価結果を所定装置に出力するものである、としてもよい。
【０１７５】
これによれば、各機器におけるユーザ間の管理権限の階層構造等に基づく、機器への攻撃に伴って変化する状態間の関係（例：管理者権限が設定された状態を乗っ取られると管理者権限で付与されている一般ユーザ権限も乗っ取られた状態となる）も更に踏まえつつ、より効率的に矛盾無く規定する非循環有向グラフを作成し、これをベイジアンネットワークの概念に基づいて評価することで、より現実のシステム状況に対応した有効性の高いリスク評価が可能となる。
【０１７６】
また、本実施形態のリスク評価方法において、前記情報処理システムが、前記機器、前
記ネットワーク、前記脆弱性、および前記セキュリティ設定の各情報を、グラフ理論に基づく所定アルゴリズムに適用して、ネットワーク上での各機器の配置に応じた脆弱性およびセキュリティ設定の影響関係について規定する非循環有向グラフを、前記リスク評価モデルとして作成し、前記非循環有向グラフをベイジアンネットワークの推論アルゴリズムに適用して、前記対象システムの脆弱性がもたらすリスクを評価し、当該評価結果を所定装置に出力する、としてもよい。
【０１７７】
また、本実施形態のリスク評価方法において、前記情報処理システムが、前記機器、前記ネットワーク、前記脆弱性、および前記セキュリティ設定の各情報を、グラフ理論に基づく所定アルゴリズムに適用して、前記機器、前記脆弱性、および前記セキュリティ設定をノードとし、前記ネットワーク情報が示す前記対象システムのネットワーク構成に基づいて、前記機器と前記脆弱性および前記セキュリティ設定との間をアークで接続した非循環有向グラフを、前記リスク評価モデルたる簡易リスク評価モデルとして作成し、前記非循環有向グラフをベイジアンネットワークの推論アルゴリズムに適用して、前記対象システムの脆弱性がもたらすリスクを評価し、当該評価結果を所定装置に出力する、としてもよい。
【０１７８】
また、本実施形態のリスク評価方法において、前記情報処理システムが、前記機器、前記ネットワーク、前記脆弱性、および前記セキュリティ設定の各情報を、グラフ理論に基づく所定アルゴリズムに適用して、前記機器、前記脆弱性、および前記セキュリティ設定をノードとし、前記ネットワーク情報が示す前記対象システムのネットワーク構成に基づいて、前記機器と前記脆弱性および前記セキュリティ設定との間をアークで接続した非循環有向グラフを、前記リスク評価モデルたる簡易リスク評価モデルとして作成するに際し、攻撃源となる所定機器を最上位ノードとし、前記攻撃源の所定機器からその他の各機器へ攻撃が届くまでのホップ数に応じて各機器をレベル分けし、上位レベルの機器から下位レベルの機器へのみアークを接続する制約条件に基づいて、前記非循環有向グラフを作成し、前記非循環有向グラフをベイジアンネットワークの推論アルゴリズムに適用して、前記対象システムの脆弱性がもたらすリスクを評価し、当該評価結果を所定装置に出力する、としてもよい。
【０１７９】
また、本実施形態のリスク評価方法において、前記情報処理システムが、前記記憶装置の前記データベースにおいて、前記機器の状態定義を更に記憶し、前記機器、前記ネットワーク、前記脆弱性、および前記セキュリティ設定の各情報を、グラフ理論に基づく所定アルゴリズムに適用して、前記機器、前記脆弱性、および前記セキュリティ設定をノードとし、前記ネットワーク情報が示す前記対象システムのネットワーク構成に基づいて、前記機器と前記脆弱性および前記セキュリティ設定との間をアークで接続した非循環有向グラフを、前記リスク評価モデルとして作成するに際し、前記機器のうち機器状態が前記記憶装置にて定義されているものについて、その機器のノードに代えて、該当機器の各機器状態のノードを配置し、前記機器状態と前記脆弱性および前記セキュリティ設定との各ノード間をアークで接続した非循環有向グラフを、前記リスク評価モデルたる詳細リスク評価モデルとして作成し、前記非循環有向グラフをベイジアンネットワークの推論アルゴリズムに適用して、前記対象システムの脆弱性がもたらすリスクを評価し、当該評価結果を所定装置に出力する、としてもよい。
【０１８０】
また、本実施形態のリスク評価方法において、前記情報処理システムが、前記記憶装置の前記データベースにおいて、前記機器の状態定義を更に記憶し、前記機器、前記ネットワーク、前記脆弱性、および前記セキュリティ設定の各情報を、グラフ理論に基づく所定アルゴリズムに適用して、前記機器、前記脆弱性、および前記セキュリティ設定をノードとし、前記ネットワーク情報が示す前記対象システムのネットワーク構成に基づいて、前記機器と前記脆弱性および前記セキュリティ設定との間をアークで接続した非循環有向グ
ラフを、前記リスク評価モデルたる簡易リスク評価モデルとして作成し、前記簡易リスク評価モデルを、当該リスク評価モデルに対応する所定の推論アルゴリズムに適用して、前記対象システムにおける脆弱性がもたらすリスクを評価し、当該評価で得たリスクの値が所定基準以上の機器であり、機器状態が前記記憶装置にて定義されているものについて、その機器のノードに代えて、該当機器の各機器状態のノードを配置し、前記機器状態と前記脆弱性および前記セキュリティ設定との各ノード間をアークで接続した非循環有向グラフを、前記リスク評価モデルたる詳細リスク評価モデルとして作成し、前記非循環有向グラフをベイジアンネットワークの推論アルゴリズムに適用して、前記対象システムの脆弱性がもたらすリスクを評価し、当該評価結果を所定装置に出力する、としてもよい。
【０１８１】
また、本実施形態のリスク評価方法において、前記情報処理システムが、前記記憶装置の前記データベースにおいて、前記機器に対する攻撃前後での各機器状態の定義を更に記憶し、前記機器、前記ネットワーク、前記脆弱性、および前記セキュリティ設定の各情報を、グラフ理論に基づく所定アルゴリズムに適用して、前記機器、前記脆弱性、および前記セキュリティ設定をノードとし、前記ネットワーク情報が示す前記対象システムのネットワーク構成に基づいて、前記機器と前記脆弱性および前記セキュリティ設定との間をアークで接続した非循環有向グラフを、前記リスク評価モデルとして作成するに際し、前記機器のうち機器状態が前記記憶装置にて定義されているものについて、その機器のノードに代えて、該当機器の各機器状態のノードを配置し、前記機器状態と前記脆弱性および前記セキュリティ設定との各ノード間をアークで接続し、前記機器状態の間を攻撃前後の関係に基づきアークで接続した非循環有向グラフを、前記リスク評価モデルたる詳細リスク評価モデルとして作成し、前記非循環有向グラフをベイジアンネットワークの推論アルゴリズムに適用して、前記対象システムの脆弱性がもたらすリスクを評価し、当該評価結果を所定装置に出力する、としてもよい。
【符号の説明】
【０１８２】
１０  リスク評価システム
１０１  管理対象装置
１０２  ネットワーク
１０３  情報収集サーバ
１０４  セキュリティナレッジ提供機関サーバ
１０５  データベース
１０６  クライアント
１０７  リスク評価サーバ（リスク評価システムの最小構成）
７０２  ＣＰＵ（演算装置）
７０３  メモリ
７０４  外部記憶装置（記憶装置）
７０５  送受信装置
７０６  出力装置
７０７  入力装置
７１０  プログラム
８００  ユーザ情報テーブル
８１０  ネットワーク情報テーブル
８２０  機器情報テーブル
８３０  脆弱性情報テーブル
８４０  セキュリティ設定情報テーブル
８５０  状態定義テーブル
２３００  簡易リスク評価モデル（非循環有向グラフ）
２３０１  攻撃源ノード
２３０２  機器ノード
２３０３  脆弱性ノード
２３０４  セキュリティ設定ノード
２４０１  条件付き確率表
２８００  詳細リスク評価モデル（非循環有向グラフ）
２８０１  機器状態ノード
【図１】
0006307453.tif 000002
【図２】
0006307453.tif 000003
【図３】
0006307453.tif 000004
【図４】
0006307453.tif 000005
【図５】
0006307453.tif 000006
【図６】
0006307453.tif 000007
【図７】
0006307453.tif 000008
【図８】
0006307453.tif 000009
【図９】
0006307453.tif 000010
【図１０】
0006307453.tif 000011
【図１１】
0006307453.tif 000012
【図１２】
0006307453.tif 000013
【図１３】
0006307453.tif 000014
【図１４】
0006307453.tif 000015
【図１５】
0006307453.tif 000016
【図１６】
0006307453.tif 000017
【図１７】
0006307453.tif 000018
【図１８】
0006307453.tif 000019
【図１９】
0006307453.tif 000020
【図２０】
0006307453.tif 000021
【図２１】
0006307453.tif 000022
【図２２】
0006307453.tif 000023
【図２３】
0006307453.tif 000024
【図２４】
0006307453.tif 000025
【図２５】
0006307453.tif 000026
【図２６】
0006307453.tif 000027
【図２７】
0006307453.tif 000028
【図２８】
0006307453.tif 000029
【図２９】
0006307453.tif 000030
【図３０】
0006307453.tif 000031
【図３１】
0006307453.tif 000032
【図３２】
0006307453.tif 000033