(57)【特許請求の範囲】
【請求項１】
Ｗｅｂアプリケーションへのリクエストデータに対する脆弱性定義情報、及び脆弱性処理ロジックを格納する記憶部と、
前記Ｗｅｂアプリケーションに業務処理を実行させるアプリケーションサーバが、前記Ｗｅｂアプリケーションにリクエストデータを渡す前に、前記記憶部内の前記脆弱性定義情報、及び前記脆弱性処理ロジックに基づいて、前記Ｗｅｂアプリケーションへのリクエストデータに対する脆弱性対策を行う脆弱性対策処理部と、
前記記憶部内の前記脆弱性定義情報、または前記脆弱性処理ロジックが最新でないときに、前記脆弱性対策処理部の前記脆弱性対策を待機させて、第１のパッケージファイル内の更新された前記脆弱性定義情報、及び前記脆弱性処理ロジックを前記記憶部にロードするパッケージロード処理部と、
を備えることを特徴とする脆弱性対策サーバ。
【請求項２】
前記脆弱性対策処理部は、前記記憶部内の前記脆弱性定義情報、または前記脆弱性処理ロジックが最新でないときに、前記パッケージロード処理部が前記第１のパッケージファイル内の更新された前記脆弱性定義情報、及び前記脆弱性処理ロジックを前記記憶部にロードするまで、前記脆弱性対策を待機させる脆弱性対策待ち合わせフラグを備えることを特徴とする請求項１記載の脆弱性対策サーバ。
【請求項３】
外部の更新サーバ内の第２のパッケージファイルの前記脆弱性定義情報、または前記脆弱性処理ロジックが更新された旨の情報を受信し、前記更新サーバの前記第２のパッケージファイル内の前記脆弱性定義情報、及び前記脆弱性処理ロジックを前記第１のパッケージファイル内に格納するパッケージ更新チェック処理部を備えることを特徴とする請求項２記載の脆弱性対策サーバ。
【請求項４】
クロスサイトリクエストフォージェリ攻撃に対して、前記脆弱性定義情報は、レスポンスデータに特殊データを付加し、前記脆弱性処理ロジックは、レスポンスデータに特殊データを付加されていなければクロスサイトリクエストフォージェリエラーとすることを特徴とする請求項２または請求項３記載の脆弱性対策サーバ。
【請求項５】
リクエストデータをアプリケーションサーバに送信するクライアント端末と、請求項３記載の更新サーバと、請求項３記載の脆弱性対策サーバと、を備えることを特徴とする脆弱性対策システム。
【請求項６】
管理者からの前記第１のパッケージファイルを更新する旨の指示を受信し、第２のパッケージファイルの前記脆弱性定義情報、及び前記脆弱性処理ロジックを前記第１のパッケージファイルに送信するパッケージファイル送信処理部を有する管理マシンと、リクエストデータをアプリケーションサーバに送信するクライアント端末と、請求項３または請求項４記載の脆弱性対策サーバと、を備えることを特徴とする脆弱性対策システム。
【請求項７】
Ｗｅｂアプリケーションへのリクエストデータに対する脆弱性定義情報、及び脆弱性処理ロジックを記憶部に格納するステップと、
前記Ｗｅｂアプリケーションに業務処理を実行させるアプリケーションサーバが、前記Ｗｅｂアプリケーションにリクエストデータを渡す前に、前記記憶部内の前記脆弱性定義情報、及び前記脆弱性処理ロジックに基づいて、前記Ｗｅｂアプリケーションへのリクエストデータに対する脆弱性対策を行う脆弱性対策処理ステップと、
前記記憶部内の前記脆弱性定義情報、または前記脆弱性処理ロジックが最新でないときに、前記脆弱性対策処理部の前記脆弱性対策を待機させ、第１のパッケージファイル内の更新された前記脆弱性定義情報、及び前記脆弱性処理ロジックを前記記憶部にロードするパッケージロード処理ステップと、
を含むことを特徴とする脆弱性対策方法。
【請求項８】
前記脆弱性対策処理ステップは、前記第１のパッケージファイル内の前記脆弱性定義情報、または前記脆弱性処理ロジックが更新されたとき、前記パッケージロード処理部が前記第１のパッケージファイル内の更新された前記脆弱性定義情報、及び前記脆弱性処理ロジックを前記記憶部にロードするまで、前記脆弱性対策を待機させる脆弱性対策待ち合わせフラグを含むことを特徴とする請求項７記載の脆弱性対策方法。
【請求項９】
外部の更新サーバ内の第２のパッケージファイルの前記脆弱性定義情報、または前記脆弱性処理ロジックが更新された旨の情報を受信し、前記更新サーバの前記第２のパッケージファイル内の前記脆弱性定義情報、及び前記脆弱性処理ロジックを前記第１のパッケージファイル内に格納するパッケージ更新チェック処理ステップを含むことを特徴とする請求項８記載の脆弱性対策方法。
【請求項１０】
クロスサイトリクエストフォージェリ攻撃に対して、前記脆弱性定義情報は、レスポンスデータに特殊データを付加し、前記脆弱性処理ロジックは、レスポンスデータに特殊データを付加されていなければクロスサイトリクエストフォージェリエラーとすることを特徴とする請求項８または請求項９記載の脆弱性対策方法。
【請求項１１】
Ｗｅｂアプリケーションへのリクエストデータに対する脆弱性定義情報、及び脆弱性処理ロジックを記憶部に格納する処理と、
前記Ｗｅｂアプリケーションに業務処理を実行させるアプリケーションサーバが、前記Ｗｅｂアプリケーションにリクエストデータを渡す前に、前記記憶部内の前記脆弱性定義情報、及び前記脆弱性処理ロジックに基づいて、前記Ｗｅｂアプリケーションへのリクエストデータに対する脆弱性対策を行う脆弱性対策処理と、
前記記憶部内の前記脆弱性定義情報、または前記脆弱性処理ロジックが最新でないときに、前記脆弱性対策処理部の前記脆弱性対策を待機させ、第１のパッケージファイル内の更新された前記脆弱性定義情報、及び前記脆弱性処理ロジックを前記記憶部にロードするパッケージロード処理と、
をコンピュータに実行させることを特徴とするプログラム。
【請求項１２】
前記脆弱性対策処理は、前記記憶部内の前記脆弱性定義情報、または前記脆弱性処理ロジックが最新でないときに、前記パッケージロード処理部が前記第１のパッケージファイル内の更新された前記脆弱性定義情報、及び前記脆弱性処理ロジックを前記記憶部にロードするまで、前記脆弱性対策を待機させる脆弱性対策待ち合わせフラグを含むことを特徴とする請求項１１記載のプログラム。
【請求項１３】
外部の更新サーバ内の第２のパッケージファイルの前記脆弱性定義情報、または前記脆弱性処理ロジックが更新された旨の情報を受信し、前記更新サーバの前記第２のパッケージファイル内の前記脆弱性定義情報、及び前記脆弱性処理ロジックを前記第１のパッケージファイル内に格納するパッケージ更新チェック処理を含むことを特徴とする請求項１２記載のプログラム。
【請求項１４】
クロスサイトリクエストフォージェリ攻撃に対して、前記脆弱性定義情報は、レスポンスデータに特殊データを付加し、前記脆弱性処理ロジックは、レスポンスデータに特殊データを付加されていなければクロスサイトリクエストフォージェリエラーとすることを特徴とする請求項１２または請求項１３記載のプログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、脆弱性対策システム、脆弱性対策サーバ、脆弱性対策方法、及びプログラムに関し、特に、システムを停止せずに脆弱性対策の更新を動的に行う脆弱性対策システム、脆弱性対策サーバ、脆弱性対策方法、及びプログラムに関する。
【背景技術】
【０００２】
ウィルスチェックに関する技術が特許文献１に記載されている。特許文献１の技術は、最新のウィルスチェック手段またはウィルス定義ファイルをメモリに登録し、ウィルスチェックを行う構成である。また、特許文献２の技術は、システムの再起動をせずに、テーブル（メモリ）へのアクセスを一時的に制限してメモリ上のデータ（テーブル）を更新する構成である。
【０００３】
【特許文献１】特開２００７−２００１０２号公報
【特許文献２】特開平４−３６２７３３号公報
【発明の開示】
【発明が解決しようとする課題】
【０００４】
特許文献１および特許文献２の技術は、システムを停止せずに、運用中に脆弱性定義情報、脆弱性処理ロジックの変更等脆弱性対策の更新を動的に行う技術の記載がない。
【０００５】
本発明の目的は、上記問題点を解決する脆弱性対策サーバ、脆弱性対策方法、及びプログラムを提供することである。
【課題を解決するための手段】
【０００６】
本発明の脆弱性対策サーバは、脆弱性定義情報、及び脆弱性処理ロジックを格納する記憶部と、前記記憶部内の前記脆弱性定義情報、及び前記脆弱性処理ロジックに基づいて、脆弱性対策を行う脆弱性対策処理部と、前記記憶部内の前記脆弱性定義情報、または前記脆弱性処理ロジックが最新でないときに、前記脆弱性対策処理部の前記脆弱性対策を待ち合わせ、第１のパッケージファイル内の更新された前記脆弱性定義情報、及び前記脆弱性処理ロジックを前記記憶部にロードするパッケージロード処理部と、を備えることを特徴とする。
【０００７】
本発明の脆弱性対策方法は、脆弱性定義情報、及び脆弱性処理ロジックを記憶部に格納するステップと、前記記憶部内の前記脆弱性定義情報、及び前記脆弱性処理ロジックに基づいて、脆弱性対策を行う脆弱性対策処理ステップと、前記記憶部内の前記脆弱性定義情報、または前記脆弱性処理ロジックが最新でないときに、前記脆弱性対策処理部の前記脆弱性対策を待ち合わせ、第１のパッケージファイル内の更新された前記脆弱性定義情報、及び前記脆弱性処理ロジックを前記記憶部にロードするパッケージロード処理ステップを含むことを特徴とする。
【０００８】
本発明のプログラムは、脆弱性定義情報、及び脆弱性処理ロジックを記憶部に格納する処理と、前記記憶部内の前記脆弱性定義情報、及び前記脆弱性処理ロジックに基づいて、脆弱性対策を行う脆弱性対策処理と、前記記憶部内の前記脆弱性定義情報、または前記脆弱性処理ロジックが最新でないときに、前記脆弱性対策処理部の前記脆弱性対策を待ち合わせ、第１のパッケージファイル内の更新された前記脆弱性定義情報、及び前記脆弱性処理ロジックを前記記憶部にロードするパッケージロード処理と、をコンピュータに実行させることを特徴とする。
【発明の効果】
【０００９】
本発明の効果は、システムを停止せずに、運用中に脆弱性定義情報、脆弱性処理ロジックの変更等脆弱性対策の更新を動的に行うことができることである。
【発明を実施するための最良の形態】
【００１０】
次に、本発明の第１の実施の形態について図面を参照して詳細に説明する。
【００１１】
図１は、本発明の第１の実施の形態である脆弱性対策サーバ１００の構成図である。
【００１２】
脆弱性対策サーバ１００は、脆弱性対策処理部１２０とパッケージロード処理部１３０と記憶部１４０とパッケージファイル１５０（第１のパッケージファイル）とから構成されている。
【００１３】
記憶部１４０は、脆弱性定義情報１４１、及び脆弱性処理ロジック１４２を格納する。
【００１４】
脆弱性定義情報１４１は、脆弱性処理ロジック１４２の振る舞いを規定する定義情報を記述する。脆弱性処理ロジック１４２は、脆弱性定義情報１４１に従って、例えば、Ｗｅｂアプリケーションの呼び出しで渡されるリクエストデータにＳＱＬ（リレーショナルデータベースマネージメントシステムにおけるデータの操作や定義を行うための言語）インジェクションのような脆弱性攻撃が含まれていないかを確認し、その攻撃を無効とする処理プログラムである。
【００１５】
脆弱性対策処理部１２０は、記憶部１４０内の脆弱性定義情報１４１、及び脆弱性処理ロジック１４２に基づいて、脆弱性対策を行う。
【００１６】
パッケージロード処理部１３０は、パッケージファイル１５０内の脆弱性定義情報１４１、または脆弱性処理ロジック１４２が更新され、記憶部１４０内の脆弱性定義情報１４１、または脆弱性処理ロジック１４２が最新でなくなったとき、脆弱性対策処理部１２０の脆弱性対策を待ち合わせる。次に、パッケージロード処理部１３０は、パッケージファイル１５０内の更新された脆弱性定義情報１４１、及び脆弱性処理ロジック１４２を記憶部１４０にロードする。
【００１７】
このため、本発明の第１の実施の形態である脆弱性対策サーバ１００は、システムを停止せずに、運用中に脆弱性定義情報１４１、脆弱性処理ロジック１４２の更新を動的に行うことができる。
【００１８】
その理由は、脆弱性対策処理部１２０で記憶部１４０内の脆弱性定義情報１４１、及び脆弱性処理ロジック１４２に基づいて、脆弱性対策を行う前に、記憶部１４０内の脆弱性定義情報１４１、または脆弱性処理ロジック１４２を最新に更新し、記憶部１４０内の脆弱性定義情報１４１、または脆弱性処理ロジック１４２の更新に伴う再起動を必要としないような構成を採用したためである。
【００１９】
尚、脆弱性対策処理部１２０とパッケージロード処理部１３０は、ハードウェアで実現してもよいし、ソフトウェアで実現してもよい。
【００２０】
次に、本発明の第２の実施の形態について図面を参照して詳細に説明する。
【００２１】
図２は、本発明の第２の実施の形態である脆弱性対策システム８００の構成図である。
【００２２】
脆弱性対策システム８００は、脆弱性対策サーバ２００と更新サーバ４００とクライアント端末３００とネットワーク６００とから構成されている。
【００２３】
脆弱性対策サーバ２００は、ＡＰサーバ２１０（アプリケーションサーバ、プログラムである）とＷｅｂアプリケーション２２０と脆弱性対策処理部１２０とパッケージロード処理部１３０と記憶部１４０とパッケージ更新チェック処理部２５０とパッケージファイル２６０（第１のパッケージファイル）とデータ処理部２３０と送受信処理部２４０とから構成されている。
【００２４】
ＡＰサーバ２１０は、Ｗｅｂアプリケーション２２０を呼び出して、リクエストデータを渡し業務処理を行う。
【００２５】
記憶部１４０は、脆弱性定義情報１４１と脆弱性処理ロジック１４２と作業領域１４３を格納している。記憶部１４０は、例えば、メモリ等であり、ＲＡＭで構成してよいし、不揮発性メモリで構成してもよい。
【００２６】
作業領域１４３は、ＡＰサーバ２１０、Ｗｅｂアプリケーション２２０他のプログラムを一時的にロードして実行するための作業エリアである。
【００２７】
パッケージファイル２６０は、脆弱性定義情報２６１と脆弱性処理ロジック２６２を含み、ハードディスク等に格納される。
【００２８】
脆弱性対策処理部１２０は、記憶部１４０内の脆弱性定義情報１４１、及び脆弱性処理ロジック１４２に基づいて、脆弱性対策を行う（後述の図４参照）。
【００２９】
パッケージ更新チェック処理部２５０は、更新サーバ４００のパッケージファイル４４０（第２のパッケージファイル）が更新されているか否かの問い合わせを更新サーバ４００へ出力する。
【００３０】
データ処理部２３０は、中央処理装置（ＣＰＵ）を含み、プログラム処理によりＡＰサーバ２１０、Ｗｅｂアプリケーション２２０の実行等、脆弱性対策サーバ２００全体の制御を行う。
【００３１】
送受信処理部２４０は、脆弱性対策サーバ２００と更新サーバ４００、及びクライアント端末３００との送受信処理を行う。
【００３２】
脆弱性対策処理部１２０とパッケージロード処理部１３０とパッケージ更新チェック処理部２５０は、ハードウェアで実現してもよいし、ソフトウェアで実現してもよい。
【００３３】
更新サーバ４００は、パッケージ管理処理部４３０とパッケージファイル４４０（第２のパッケージファイル）と送受信処理部４１０とデータ処理部４２０とから構成されている。
【００３４】
パッケージファイル４４０は、脆弱性定義情報４４１と脆弱性処理ロジック４４２を格納している。
【００３５】
パッケージ管理処理部４３０は、パッケージファイル４４０（第２のパッケージファイル）が更新されているか否かの問い合わせを脆弱性対策サーバ２００のパッケージ更新チェック処理部２５０からネットワーク６００経由で受信し、その返答を送受信処理部４１０、送受信処理部２４０経由でパッケージ更新チェック処理部２５０へ出力する。
【００３６】
データ処理部４２０は、中央処理装置（ＣＰＵ）を含み、プログラム処理により更新サーバ４００全体の制御を行う。
【００３７】
送受信処理部４１０は、更新サーバ４００と脆弱性対策サーバ２００、及びクライアント端末３００との送受信処理を行う。
【００３８】
パッケージ管理処理部４３０は、ハードウェアで実現してもよいし、ソフトウェアで実現してもよい。
【００３９】
クライアント端末３００は、リクエストデータを脆弱性対策サーバ２００のＡＰサーバ２１０に送信する機能を有する。クライアント端末３００は、パーソナルコンピュータ、
携帯端末、無線端末でもよい。
【００４０】
ネットワーク６００は、脆弱性対策サーバ２００と更新サーバ４００とクライアント端末３００相互間を接続するもので、インターネット、有線回線網、無線回線網のいずれでもよい。
【００４１】
図３は、脆弱性対策処理部１２０の構成図である。
【００４２】
脆弱性対策処理部１２０は、脆弱性対策待ち合わせフラグ１２１と脆弱性対策実行処理部１２２とから構成されている。
【００４３】
脆弱性対策待ち合わせフラグ１２１は、脆弱性対策サーバ２００のパッケージ更新チェック処理部２５０が、更新サーバ４００のパッケージ管理処理部４３０からパッケージファイル４４０（第２のパッケージファイル）が更新されている旨の返答を受信したときにセットされる。脆弱性対策待ち合わせフラグ１２１は、パッケージファイル２６０内の脆弱性定義情報２６１、または脆弱性処理ロジック２６２が更新され、且つ記憶部１４０内の脆弱性定義情報１４１と脆弱性処理ロジック１４２が最新に更新されるまで、脆弱性対策実行処理部１２２での脆弱性対策を待ち合わせるためのものである。
【００４４】
図４は、本発明の脆弱性攻撃のタイプと対応する脆弱性定義情報１４１、及び脆弱性処理ロジック１４２の１例を示す図である。
【００４５】
脆弱性攻撃のタイプ１は、ＳＱＬインジェクション攻撃の例である。
【００４６】
クライアント端末３００からの脆弱性対策サーバ２００でのＷｅｂアプリケーション２２０への業務処理要求データ（以下、リクエストデータ）が、Ｓｅｌｅｃｔ命令文（ＳＱＬ命令文の一つで、テーブルからレコードを取得するための命令文）を含んでいる例である。
【００４７】
脆弱性定義情報４４１は、Ｓｅｌｅｃｔ命令文を定義する。脆弱性処理ロジック４４２は、「Ｓｅｌｅｃｔ命令文に有害な文字列（データベースの内容を破壊するようなライトコマンド等）を検出した場合、ＳＱＬインジェクションエラーである」と定義する。
【００４８】
脆弱性攻撃のタイプ２は、クロスサイトリクエスト攻撃の例である。
【００４９】
クライアント端末３００からのリクエストデータが＜ｓｃｒｉｐｔを含んでいる例である。脆弱性定義情報４４１は、“＜”を”＆ｌｔ；”に変換するものであり、脆弱性処理ロジック４４２は、脆弱性定義情報４４１に従って、”＜”を”＆ｌｔ；”に変換し、Ｗｅｂサイトに仕込まれたｓｃｒｉｐｔを無害な文字列にする例について示している。
【００５０】
脆弱性攻撃のタイプ３は、クロスサイトリクエストフォージェリ攻撃の１例である。
【００５１】
脆弱性定義情報４４１は、リクエストに対するレスポンスデータに特殊データを付加するものである。脆弱性処理ロジック４４２は、脆弱性定義情報４４１に従って、レスポンスデータに特殊データを付加し、レスポンスデータに”特殊データ”がついていなければクロスサイトリクエストフォージェリエラーとする。
【００５２】
図５は、本発明の更新された脆弱性定義情報１４１、脆弱性処理ロジック１４２のロード前、更新された脆弱性定義情報１４１、脆弱性処理ロジック１４２のロード後の記憶部１４０の内容の１例を示す図である。
【００５３】
記憶部１４０は、更新された脆弱性定義情報１４１、脆弱性処理ロジック１４２のロード前のタイプ１の脆弱性定義情報１４１、脆弱性処理ロジック１４２を格納している。パッケージファイル２６０は、例えば、タイプ１の脆弱性定義情報１４１、脆弱性処理ロジック１４２の他に、新たにタイプ２の脆弱性定義情報１４１、脆弱性処理ロジック１４２、タイプ３の脆弱性定義情報１４１、脆弱性処理ロジック１４２を格納している。
【００５４】
更新された脆弱性定義情報１４１、脆弱性処理ロジック１４２のロード後の記憶部１４０は、例えば、ロードされた脆弱性定義情報１４１、脆弱性処理ロジック１４２の更新分（タイプ２の脆弱性定義情報１４１、脆弱性処理ロジック１４２、タイプ３の脆弱性定義情報１４１、脆弱性処理ロジック１４２）を格納している。
【００５５】
次に、以上のような構成の脆弱性対策システム８００の動作について説明する。
【００５６】
図６は、本発明の第２の実施の形態である脆弱性対策システム８００の動作を示すフローチャートである。
【００５７】
図６を参照すると、まず、脆弱性対策処理部１２０は、予め脆弱性対策待ち合わせフラグ１２１をリセットする（ステップＳ７２０）。
【００５８】
また、更新サーバ４００のデータ処理部４２０は、外部からの情報により、パッケージファイル４４０内の脆弱性定義情報４４１、脆弱性処理ロジック４４２を更新する（ステップＳ７５０）。
【００５９】
次に、脆弱性対策サーバ２００のパッケージ更新チェック処理部２５０は、パッケージファイル４４０（第２のパッケージファイル）が更新されているか否かの問い合わせを送受信処理部２４０、送受信処理部４１０経由で更新サーバ４００へ出力する（ステップＳ７４０）。
【００６０】
更新サーバ４００内のパッケージ管理処理部４３０は、パッケージファイル４４０（第２のパッケージファイル）が更新されているか否かの問い合わせを受信し、その返答を送受信処理部４１０、送受信処理部２４０経由で脆弱性対策サーバ２００のパッケージ更新チェック処理部２５０へ出力する（ステップＳ７５１）。
【００６１】
パッケージ更新チェック処理部２５０は、返答を参照しパッケージファイル４４０（第２のパッケージファイル）が更新されているか否かを判断する（Ｓ７４１）。
【００６２】
パッケージファイル４４０（第２のパッケージファイル）が更新されている場合（ステップＳ７４１／ＹＥＳ）、パッケージ更新チェック処理部２５０は、更新サーバ４００のパッケージファイル４４０内の脆弱性情報４４１、脆弱性処理ロジック４４２を送受信処理部４１０、送受信処理部２４０経由で受信し、脆弱性対策サーバ２００のパッケージファイル２６０に格納する（ステップＳ７４２）。
【００６３】
また、パッケージ更新チェック処理部２５０は、脆弱性対策待ち合わせフラグ１２１をセットする（ステップＳ７４４）。
【００６４】
一方、パッケージファイル４４０（第２のパッケージファイル）が更新されていない場合（ステップＳ７４１／ＮＯ）、脆弱性対策待ち合わせフラグ１２１をリセットする（ステップＳ７４３）。
【００６５】
その後、クライアント端末３００は、ネットワーク６００を介しリクエストデータをＡＰサーバ２１０へ出力する（ステップＳ７１０）。
【００６６】
次に、ＡＰサーバ２１０は、リクエストデータを受け取ると、Ｗｅｂアプリケーション２２０に渡すリクエストデータを脆弱性対策処理部１２０へ出力する（ステップＳ７１１）。
【００６７】
脆弱性対策処理部１２０は、脆弱性対策待ち合わせフラグ１２１がセットされているか否かを判断する（ステップＳ７２１）。
【００６８】
脆弱性対策待ち合わせフラグ１２１がセットされている場合（ステップＳ７２１／ＹＥＳ）、脆弱性対策サーバ２００のパッケージロード処理部１３０は、パッケージファイル２６０の最新の脆弱性定義情報２６１と脆弱性処理ロジック２６２を読み出して、記憶部１４０にロードする（ステップＳ７３０、図５参照）。
【００６９】
また、パッケージロード処理部１３０は、脆弱性対策待ち合わせフラグ１２１をリセットする（ステップＳ７３０）。
【００７０】
一方、脆弱性対策待ち合わせフラグ１２１がセットされていない場合（ステップＳ７２１／ＮＯ）、脆弱性対策サーバ２００の脆弱性対策実行処理部１２２は、リクエストデータに対して、記憶部１４０内の脆弱性定義情報１４１と脆弱性処理ロジック１４２に基づいて、脆弱性対策を行う（ステップＳ７２２）（図４参照）。
【００７１】
次に、ＡＰサーバ２１０は、Ｗｅｂアプリケーション２２０にリクエストデータを渡し、Ｗｅｂアプリケーション２２０に処理を実行させる（ステップＳ７１２）。
【００７２】
以上のように、本発明の第２の実施の形態である脆弱性対策システム８００は、システムを停止せずに、運用中に脆弱性定義情報１４１、脆弱性処理ロジック１４２の更新を動的に行うことができる。
【００７３】
その理由は、記憶部１４０内の脆弱性定義情報１４１または脆弱性処理ロジック１４２
が最新でないときに、脆弱性対策を待ち合わせる。その後、パッケージファイル４４０内の更新された脆弱性定義情報４４１、及び脆弱性処理ロジック４４２を記憶部１４０にロードするような構成を採用したためである。
【００７４】
次に、本発明の第３の実施の形態について図面を参照して詳細に説明する。
【００７５】
図７は、本発明の第３の実施の形態である脆弱性対策システム９００の構成図である。
【００７６】
本発明の第３の実施の形態である脆弱性対策システム９００と本発明の第２の実施の形態である脆弱性対策システム８００との構成上の違いは、更新サーバ４００の代わりに管理マシン５００がシステムに接続されている点である。
【００７７】
管理マシン５００は、パッケージファイル５４０（第２のパッケージファイル）と送受信処理部５１０とデータ処理部５２０と入出力処理部５５０とパッケージファイル送信処理部５３０とから構成されている。
【００７８】
データ処理部５２０は、中央処理装置（ＣＰＵ）を含み、プログラム処理により管理マシン５００全体の制御を行う。
【００７９】
送受信処理部５１０は、管理マシン５００と脆弱性対策サーバ２００、及びクライアント端末３００との送受信処理を行う。
【００８０】
パッケージファイル５４０（第２のパッケージファイル）の脆弱性定義情報５４１と脆弱性処理ロジック５４２は、入出力処理部５５０で入力された外部からの情報により更新される。
【００８１】
また、入出力処理部５５０は、パッケージファイル５４０（第２のパッケージファイル）が更新され、脆弱性対策サーバ２００内のパッケージファイル２６０を更新する旨の管理者からの指示を受信する。
【００８２】
パッケージファイル送信処理部５３０は、入出力処理部５５０で、パッケージファイル２６０を更新する旨の管理者からの指示を受信した場合に、パッケージファイル５４０（第２のパッケージファイル）の脆弱性定義情報５４１と脆弱性処理ロジック５４２を脆弱性対策サーバ２００のパッケージファイル２６０に送信する。
【００８３】
パッケージファイル送信処理部５３０は、ハードウェアで実現してもよいし、ソフトウェアで実現してもよい。
【００８４】
以上のように、本発明の第３の実施の形態である脆弱性対策システム９００は、システムを停止せずに、管理者からのパッケージの更新指示に基づいて、運用中に脆弱性定義情報１４１、脆弱性処理ロジック１４２の更新を動的に行うことができる。
【００８５】
その理由は、記憶部１４０内の脆弱性定義情報１４１または脆弱性処理ロジック１４２
が最新でないときに、脆弱性対策を待ち合わせる。その後、パッケージファイル５４０（第２のパッケージファイル）内の更新された脆弱性定義情報５４１、及び脆弱性処理ロジック５４２をパッケージファイル２６０に送信し、パッケージファイル２６０から記憶部１４０にロードするような構成を採用したためである。
【図面の簡単な説明】
【００８６】
【図１】本発明の第１の実施の形態である脆弱性対策サーバ１００の構成図である。
【図２】本発明の第２の実施の形態である脆弱性対策システム８００の構成図である。
【図３】本発明の脆弱性対策処理部１２０の構成図である。
【図４】本発明の脆弱性攻撃のタイプの１例を示す図である。
【図５】本発明の更新された脆弱性定義情報１４１、脆弱性処理ロジック１４２のロード前、更新された脆弱性定義情報１４１、脆弱性処理ロジック１４２のロード後の記憶部１４０の内容の１例を示す図である。
【図６】本発明の第２の実施の形態である脆弱性対策システム８００の動作を示すフローチャートである。
【図７】本発明の第３の実施の形態である脆弱性対策システム９００の構成図である。
【符号の説明】
【００８７】
１００    脆弱性対策サーバ
１２０    脆弱性対策処理部
１２１    脆弱性対策待ち合わせフラグ
１２２    脆弱性対策実行処理部
１３０    パッケージロード処理部
１４０    記憶部
１４１    脆弱性定義情報
１４２    脆弱性処理ロジック
１４３    作業領域
１５０    パッケージファイル
２００    脆弱性対策サーバ
２１０    ＡＰサーバ
２２０    Ｗｅｂアプリケーション
２３０    データ処理部
２４０    送受信処理部
２５０    パッケージ更新チェック処理部
２６０    パッケージファイル
２６１    脆弱性定義情報
２６２    脆弱性処理ロジック
３００    クライアント端末
４００    更新サーバ
４１０    送受信処理部
４２０    データ処理部
４３０    パッケージ管理処理部
４４０    パッケージファイル
４４１    脆弱性定義情報
４４２    脆弱性処理ロジック
５００    管理マシン
５１０    送受信処理部
５２０    データ処理部
５３０    パッケージファイル送信処理部
５４０    パッケージファイル
５４１    脆弱性定義情報
５４２    脆弱性処理ロジック
５５０    入出力処理部
６００    ネットワーク
８００    脆弱性対策システム
９００    脆弱性対策システム
【図１】
0005243111.tif 000002
【図２】
0005243111.tif 000003
【図３】
0005243111.tif 000004
【図４】
0005243111.tif 000005
【図５】
0005243111.tif 000006
【図６】
0005243111.tif 000007
【図７】
0005243111.tif 000008