脆弱性情報を用いたセキュリティ保護システム BEYONDの開発

中村 友昭 1) , 竹原 一駿, 大野 真伯, 山下 俊昭, 宗雪 勝也,小野 滋己, 喜田 弘司, 後藤田 中, 最所 圭三
香川大学1) s22g359@kagawa-u.ac.jp

Development of Security Protection System BEYOND
Vulnerability Information

Using

Tomoaki Nakamura, Ichitoshi Takehara, Masanori Ono, Toshiaki Yamashita,
Katsuya Muneyuki, Shigemi Ono, Koji Kida, Naka Gotoda, Keizo Saisho
Kagawa Univ.

概要
近年，脆弱性を利用した攻撃が増加しており，こうした攻撃は標的型攻撃と組み合わせることで被害は甚大なものになる．また，大学や企業において BYOD が増加しておりこうした機器の管理は機器の所有者に一任することが多く脆弱性があるにも関わらず対応していない事が多い．そこで，本研究では，組織内の機器に対していち早く脆弱性への対応を誘導し，脆弱性を用いた攻撃を防ぐことで組織の情報資産を保護するシステム “BEYOND”(BringEnhancement Your Own Non-Vulnerable Device) の開発を行っている．本稿では，“BEYOND” の開発及び“BEYOND” を本学の情報メディアセンターで運用に向けたシステムの有効性の検証を行った．検証の結果，現状のシステムでは BYOD に対して適用することは難しいことがわかった．しかし，検証によって新たに要件を見つけることができたため，それらに対応することで BYOD にも対応できると考えられる．

脆 弱 性 へ の 対 応 を 誘 導 し ，脆 弱 性 を 用 い た 攻 撃 を

1 はじめに防ぐことで組織の情報資産を保護するシステム

近年，脆弱性を利用した攻撃が増加しており，被害が深刻化している．例えば，Windows のファイル“BEYOND”(Bring Enhancement Your Own NonVulnerable Device) の開発している [2]．

共有 (SMB1.0) の脆弱性を利用したランサムウェア

本稿では，“BEYOND” の開発について述べるととWannaCry [1] は，脆弱性を持つ機器に感染し，それもに，香川大学の情報メディアセンター [3] にて運用を起点として機器が接続している LAN 上にある同種中のサービスに本システムを仮導入した上での有効性の脆弱性を持つ機器に感染を繰り返す．このような攻の検証について述べる．

撃による被害を防ぐためには，脆弱性をいち早く検知して無くすことが重要である．
一方，大学や企業などの組織では，個人で所有する機器を持ち込み，組織のネットワークに接続し，業務

2 香川大学における脆弱性対策
2.1

現状と課題

香川大学で用いられている機器の現状について以下に使用する BYOD (Bring Your Own Device) が増加に示す．

しており，個人の機器に成績情報や顧客情報などの情基盤サーバ

報資産を保存することがある．香川大学でも BYOD

情報メディアセンターなどが運用する学生や教職を導入しており，多くの教職員や学生が個人機器を利員向けにサービスを提供するサーバである．学生の個用している．しかし，こうした機器は機器の所有者が人情報や学習管理システム (LMS) などが運用されて手間を理由にソフトウェアの更新を怠っていることやいる．一部の機器は専門の外部業者に運用を委託して脆弱性があることを認識していないなど，管理は不十いる．

分な場合が多い．
そ こ で 我 々 は ，組 織 内 の 機 器 に 対 し て い ち 早 く

197

研究サーバ

2.2.4

利用実態をもとにした脆弱性への方針算出

研究室にて教員 (所有者) の管理下にて運用されて脆弱性の深刻度によるリスクと，機器の利用実態かいるサーバであり，その教員が担当する講義資料の公ら脆弱性対策とその方針を算出し，通知することが必

開や研究に用いられる．所有者は，固定 IP アドレス要である．発見された脆弱性の深刻度が高い場合は即の登録や DNS の登録には OS 情報や利用目的等を情座にサービスを停止し，脆弱性に対応をすることが望報メディアセンターに申請する必要がある．

ましいが，発見された脆弱性の深刻度が低い場合や特個人機器

定の期間中はサービスを停止できない場合はサービス学生や教職員 (所有者) の持ち込み機器であり，ノーの継続を優先する選択も考えられる．特定の期間中にト PC やスマートフォンがある．所有者は，初回持ちサービスが停止できないと場合には，香川大学の場合，込み時に MAC アドレス等を情報メディアセンターに試験期間中の成績処理サーバやオープンキャンパス期申請し，登録されることで学内ネットワークへの接続間中の大学の Web サイトがあげられる. そのため，脆が許可される．学内ネットワークを経由して学外ネッ

弱性の深刻度だけでなくサービスの利用実態に基づいトワークへのアクセスが可能であるが，外部ネットた対策が求められる．

ワークからのアクセスは不可能である．

2.2.5

上述した中で特に基盤サーバに対しては特に脆弱性脆弱性を持つ機器に対してのアクセス制御算出された制御方針として，外部ネットワークとの対策を行う必要があると考えた．

アクセスのみを遮断することが考えられる．例えば，基盤サーバに求められる要件

試験期間中の成績処理サーバが脆弱性をもった場合

2.2

2.2.1 最新の脆弱性情報の収集

は，外部ネットワークを遮断し学内からのみ利用可能

CSIRT は常時最新の脆弱性の深刻度などの情報 (脆にするといった場合が考えられる．脆弱性を持つ機器弱性情報) を収集，管理する必要がある．脆弱性が公をネットワーク上で特定する識別子として MAC アド

開されてからベンダーからのパッチが配布される前でレスや IP アドレスを用いて，脆弱性が修正されるまあったり，公開されていないが SNS 上の噂レベルでで一時的に，機器や動作するサービスのアクセスの制広まっている脆弱性を利用した攻撃を受ける可能性が御が求められる．

ある．また，注意喚起や組織内での公開のために，機器の情報とマッチングしやすい形式に整形して管理する．

以上の要件を BEYOND では解決することを目指す.

3 “BEYOND” の開発

2.2.2 組織にある機器情報の収集
組織内のネットワークを利用する機器について，設BEYOND は脆弱性情報収集部 [4]，IT 資産管理置機器と持ち込み機器の区別なく，機器にインストー部 [5]，影響算出部 [6]，ネットワーク制御部 [7] で構ルされているソフトウェアとバージョン，利用実態成される (図 1)．などを収集し，機器の所有者と紐付けて一元管理する

BEYOND の各機構の役割について述べる．脆弱性必要がある．ソフトウェアは，所有者が利用しながら情報収集部は，脆弱性情報公開サイトから最新の脆弱バージョンを更新することが考えられるため，機器情報を継続的に収集することが求められる．脆弱性を持つ機器をネットワーク上で特定するために，MAC アドレスや IP アドレスが必要である．脆弱性情報と同様にマッチングしやすい形式に整形して管理する．

2.2.3 脆弱性を持つ機器の特定
2.2.1 項，2.2.2 項にて収集した脆弱性情報と機器情報を用いて，利用者にとって重要な注意を喚起するため，脆弱性を持つ機器を特定する必要がある．脆弱性はソフトウェアの特定のバージョンや，特定の OS で動くソフトウェアにのみ存在する事が多い．そこで，脆弱性の検出にはソフトウェア名だけでなくバージョ
図 1 BEYOND の全体構成ンや実行環境を考慮する．

198

性情報を収集し，影響算出部で扱いやすい形に整形し3.1.2

最新の脆弱性情報の収集て DB に登録することで 2.2.1 項を解決する．IT 資

現在，過去の脆弱性情報は年ごとの脆弱性情報をま

産管理部は組織のネットワークを扱う機器の情報を収とめたデータフィードから取得している．しかし，最集し，影響算出部で扱いやすい形に整形して DB に登新の脆弱性情報はデータフィードに掲載されるまで時録する 2.2.2 項を解決する．影響算出部は脆弱性情報間がかかるため日付指定で直近の脆弱性情報を収集し収集部と IT 資産管理部で収集したデータを用いて，ている．新規の脆弱性情報はそのまま登録し，変更の組織内の機器に存在する脆弱性を検知し，対策方針をあった脆弱性情報は登録されている情報の更新を行っ算出し通知することで要件 2.2.3 項，2.2.4 項を解決すている．これらの処理を時間指定で定期的に行うこと

る．ネットワーク制御部は影響算出部の対策方針に基で常に最新の情報を保っている．

づいて脆弱性を持つ機器のアクセス制御を行うことで3.1.3

要件 2.2.5 を解決する．

脆弱性を持つ製品のバージョン情報の範囲はバー

以下に各機構の機能を示す．

3.1

収集した脆弱性情報の整形処理

ジョンの開始位置と終了位置にそれぞれ含む場合と含脆弱性情報収集部まない場合がある．そのため，検知を行う製品のバー

本機構はインターネット上に公開されている脆弱性

ジョンが脆弱性を持つ範囲の境界にある場合これらの情報を収集し，独自に設計した DB に登録して管理す場合分けができないと検知漏れを起こす場合がある．

ることで，脆弱性の検知や対策を取れるようにするこ

そのため，バージョンの開始位置，終了位置の含む場とを目的としている．本機構において前項の 2.2.1 項合と含まない場合の組み合わせをそれぞれパターンを解決するための機能について以下に示す．

分けしておくことで，影響算出部で検知する際の検知3.1.1 脆弱性情報の管理漏れを無くせるようにしている．また，CPE 情報は脆弱性情報を収集するための情報源は主に JVNJVN と NVD で表記方法が異なる．そのため，これら(Japan Vulnerability Notes) [8] と NVD (Nationalの情報は JVN に合わせる形で整形処理を行っている．

Vulnerability Datavase) [9] を用いている．JVN は日

3.2

IT 資産管理部

本で使用されているソフトウェアを対象に脆弱性関

本機構は組織のネットワークを利用する全ての機器

連情報と対策情報を提供し情報セキュリティ対策に質の情報を収集し一元管理することで，必要な情報を迅することを目的とする脆弱性対策ポータルサイトであ速に提供することを目的としている．情報の収集にはり，NVD とは CVE(共通脆弱性識別子) [10] と同期しWeb ブラウザからの入力とソフトウェアエージェンた脆弱性データベースのことである．本機構で収集しトを用いて行う．本機構において前項の 2.2.2 項を解ている脆弱性情報のうち，脆弱性の検出や対策方針の決するための機能について以下に示す．

算出に用いるものを表 1 に示す．このうち，脆弱性の3.2.1

アクセス制御のための情報収集検出には表 1:versions が使われる．脆弱性を持つ製品

機器本体の情報は Web ブラウザからの入力で実現の種別 (ハードウェア，OS，ソフトウェア等) とベンする (表 2:Hardware)．登録する機器には，組織のセダ名，製品名をまとめた CPE やどのバージョン間にキュリティポリシに基づいた重要度をつけ，利用者の脆弱性が存在するかという情報，どの OS 上で動作すユーザ ID と紐付けて管理する．重要度をつけて管理るかという情報をまとめて管理している．ここでソフすることで，その値に沿って保護の優先度を変えるな

トウェア名と脆弱性を持つバージョンの範囲が正確にど，柔軟な対策を取ることが可能になる．脆弱性の中収集できていない場合，検知漏れや誤検知が起きる可には特定の OS のみに存在するものもあるため，OS能性がある．脆弱性の対策には表 1:CVSS が用いられを管理することでそのような脆弱性を正しく検出できる．CVSS [11] は脆弱性の深刻度を表すもので，これるようにする．MAC アドレス，固定 IP アドレスは機はベンダに依存せず，同一の基準のもとで脆弱性を評器を識別したり，ネットワーク制御部でアクセスを制価した値である．0.0∼10.0 までの範囲で表され，値が御する際に用いる．

大きいほど深刻度が高いと判断される．現在，影響算
出部ではこの値に閾値を設定して，対策方針を算出し表1ている．

199

脆弱性情報収集部で管理している情報

管理する情報詳細

versions

脆弱性の識別子，CPE，脆弱性を持つバージョンの範囲，OSCVSSCVSS スコア，深刻度

3.2.2 機器にインストールされているソフトウェア情3.3.1

脆弱性の検知脆弱性情報収集部 DB 及び IT 資産管理 DB から，報の収集
機器にインストールされているソフトウェア情報

それぞれソフトウェア名とバージョン情報を取得すはエージェントを用いて取得することで実現する (表る．取得したソフトウェア名とバージョン情報のパ2:Software)．機器内のソフトウェアは非常に数が多ターンマッチングを行い，脆弱性を含むソフトウェア

く，ユーザがソフトウェアをインストールした際に，を探し出す．脆弱性を含むソフトウェアをインストー

依存関係にあるソフトウェアが自動でインストールさルしている機器を特定して，アクセス制御ポリシーをれる場合もあり，ユーザが自ら全ての情報を登録する決定する．

ことは不可能である．そこで，エージェントを用いて3.3.2

機器の利用実態に基づいたアクセス制御ポリ
シーの決定

自動で情報を取得することで全ての情報を漏れなく登録する．現在エージェントは Windows，Ubuntu 系

脆弱性の深刻度が高いものは重大なインシデントをOS，Debian 系 OS に対応しており，ソフトウェア名引き起こす可能性や，単純な操作で攻撃を行う事がでとバージョン番号はパッケージ管理ソフトウェアかきる可能性が高く，被害が甚大になることが想定されら収集している．パッケージ管理ソフトウェアの形式

る．攻撃による被害を防止するために，早急にアップ等の変化によりソフトウェア名とバージョン番号が収デートしたり，アクセス制御を行うなどして，攻撃のリ集できない場合や想定している方法で管理できない場スクを下げなければならない. しかし，何らかのサー合，検知漏れや誤検知が起きる可能性がある．

ビスを提供しているサーバなどの場合は，一律的なア

3.2.3 機器の利用実態の収集クセス制御を行うことができない．そこで，アクセス機器の利用実態を収集するにあたって，漏れなく情制御ポリシーを決定する指標として，脆弱性の深刻度報を収集するために，機器の所有者に情報登録を強制を表す CVSS スコアと，機器の利用実態を利用する．

させることが重要になる．そこで，サービス提供に利CVSS スコアを用いたアクセス制御ポリシーの決定の用する IP アドレスとポート番号を登録させ，ネットための閾値として 4.0 以上の脆弱性に対して対応を行ワーク制御部と連携して，その IP アドレスとポートう．閾値の決定理由として PCI-DSS [12] では，CVSSでの通信を許可することで，全てのサービス情報の管スコアが 4.0 以上の脆弱性を不合格と判断しているた理を実現する．管理する情報は表 2:Service の通りでめ，これを参考にした．表 3 に考案したアクセス制御ある．サービスの提供範囲は内部限定，外部公開が考ポリシーの一例を示す．表 3:パターン a は，サービスえられ，提供範囲に応じたアクセス制御方針を算出可が外部に公開されている場合の対処法である．これに能にする．機器の停止可能期間はいつでも停止可能なより，外部から攻撃を防ぐことができる．表 3:パター

場合や，時間や曜日を指定して停止可能などが考えら

ン b は，外部からアクセスすることができ，内部に向れる．その情報から，停止できる場合はアクセス制御

けたサービスを提供している場合の対処法であり，内を行ったり，停止可能期間にアップデートを促すなど部ネットワークに接続された機器にすでに攻撃 Bot がの対策が可能になる．

いる可能性や，該当機器がすでに脆弱性を利用した攻影響算出部

撃を受けておりマルウェアなどを保持している可能性

3.3

本機構は脆弱性情報収集部と IT 資産管理部で管理があるときに有効である．表 3:パターン c では，表 3:されている情報を突き合わせることで脆弱性を検知すパターン a と表 3:パターン b の両方を防ぐことがでる．検知した脆弱性の深刻度と機器の利用実態からアきる．

クセス制御ポリシーを算出する，本機構において前項の 2.2.3 項と 2.2.4 項を解決するための機能について以下に示す．

表3パターン
表 2 IT 資産管理部で管理している情報
管理する情報詳細Hardware

MAC アドレス，固定 IP アドレス，OS，重要度

Software

ソフトウェア名，バージョン番号

Service

使用しているソフトウェア，提供範囲，停止可能期間，

IP アドレス，ポート200

アクセス制御ポリシーのパターン

制御ポリシーa

外部との通信を遮断する

b

内部との通信から隔離するc

外部と内部の通信を両方切断する

d

何もしない

3.4

ネットワーク制御部

影響算出部で算出されたアクセス制御ポリシーをもとに該当機器に対してアクセス制御を行う．該当機器について影響算出部からは，制御ポリシーと MAC アドレスを受け取る．ネットワーク内において，該当機器を含む管理対象機器は Firewall，L2 スイッチに接続されている．本機構において前項の 2.2.5 項を解決

9$5 ჾਊਃஓEHEGE૰ଳঝ‫ش‬উ 67$57b
6ZLWFKIGGE5:JHWBSRUWBIGGEBIURPBPDFDGGU9$5  EHEGEb3RUW1XPEHU࣏࣮ࢺ␒ྕࡢྲྀᚓPDLQLVBFRQQHFWBSRUWヱᙜᶵჾࡀ࣏࣮ࢺ࠿ࡽ,QSXWSDVVZRUGSDVVྲྀࡾእࡉࢀࡓࡇ࡜ࢆ᳨▱6ZLWFKVZLWFKORJLQ6ZLWFK*60JHWBPDFDGGUBIURPBSRUW6ZLWFK*60JHWBIGE
6ZLWFKVZLWFKH[HBFRPPDQG
&RPPDQGVKRZVZLWFKIGE VWDWXVჾਊਃஓEHEGEमএ‫ॺش‬पமਢऔोथःऽच॒‫؝‬PDLQJHWBSRUWBIURPBPDFDGGU,QSXWSDVVZRUGSDVV6ZLWFKVZLWFKORJLQ6ZLWFK*60JHWBSRUWBIURPBPDFDGGU6ZLWFK*60JHWBIGE
6ZLWFKVZLWFKH[HBFRPPDQG
᥋⥆ࡋ࡚࠸ࡿ&RPPDQGVKRZVZLWFKIGE VWDWXV6ZLWFKVZLWFKORJRXW࣏࣮ࢺࡢኚ᭦ࢆ᳨ฟ6ZLWFKVZLWFKORJRXWჾਊਃஓEHEGEのポートの変更が検出されました !図3

するための機能について以下に示す．

9$5 
検疫ポートを変更b,QSXWSDVVZRUGSDVV6ZLWFKVZLWFKORJLQ6ZLWFK*60YODQBFKDQJH
6ZLWFKVZLWFKH[HBFRPPDQG
&RPPDQGDGGYODQ QRQHSRUW 6ZLWFKVZLWFKORJRXW6ZLWFKIGGE5:VDYHBIGE
,QSXWSDVVZRUGSDVV6ZLWFKVZLWFKORJLQ6ZLWFK*60YODQBFKDQJH
6ZLWFKVZLWFKH[HBFRPPDQG
&RPPDQGGHOHWHYODQ QRQHSRUW 6ZLWFKVZLWFKH[HBFRPPDQG
&RPPDQGDGGYODQ GHIDXOWSRUW 6ZLWFKVZLWFKORJRXWএ‫ੰ॑ॺش‬ଣ  এ‫ॺش‬を隔離᥋⥆࣏࣮ࢺࡢኚ᭦࡟㏣ᚑ

ポートの監視と追従の実行結果

3.4.1 外部ネットワークからの遮断まず，外部との通信を遮断する制御ポリシー (表 3:パターン a) の実現方法を述べる．これは，Firewall を操作することで実現する．影響算出部から受け取った該当機器の MAC アドレスを用いて，IT 資産管理部よイッチの接続ポートに該当機器を接続し，ネットワーり，固定 IP アドレスを得る．これにより，該当機器クへの再接続を試みる場合がある．そのため，該当機と外部ネットワークとの通信を遮断するルールを生成器が常時隔離され続けている状態を維持することが必し，Firewall に適応することで遮断する．外部ネット要である．該当機器の MAC アドレスが，内部に接続ワークの機器である，“133.92.147.224” と接続でされていないか監視を続け，接続されたら再び隔離すきなくなる様子を図 2 に示す．

る．本論での実装では，同一の L2 スイッチの接続ポー復帰時には，生成したルールを削除する．

トの差し替えにのみ，対応する．FDB を監視するこ

3.4.2 内部ネットワークからの隔離とで，該当機器が接続しているポートの変更を検知す

次に，内部との通信から隔離する制御ポリシー (パる．変更されたことを検出すると，変更前の接続ポーターン b) の実現方法を述べる．L2 スイッチを用いトを内部 VLAN に復帰し，変更後の接続ポートを検て，内部ネットワークから隔離する．該当機器による，

疫 VLAN に接続し直す．これにより，該当機器は常内部ネットワークに存在する他の機器への攻撃を防ぐに検疫ネットワークに隔離される．図 3 にて接続ポーために，L2 スイッチの VLAN の機能を用いて該当機トの変更に追従して，隔離している実行結果を示す．

器を検疫ネットワークへ隔離する．L2 スイッチが保持する FDB (Forwarding DataBase) を用い，MACアドレスより，L2 の接続ポートを取得し，その接続4 評価
4.1

評価目的ポートを検疫 VLAN に所属させることで，該当機器

本稿では “BEYOND” の有効性の確認と 2 章以外を隔離する．復帰時には，該当の接続ポートを検疫の新たな要件の調査を目的とした評価実験を行う．こVLAN から内部 VLAN に戻す．

れは “BEYOND” 全体を結合させ，一つのシステムと以上の手法で該当機器がネットワークから遮断さして動作させたときの評価が行われていないためであれたときに，該当機器の所有者は影響算出部からの通る．評価実験を行う対象として香川大学の学内限定で知に気づいていない可能性がある．所有者は，ネット公開しているサービスを運用しているサーバに対してワークから遮断されたことを異常と考え，他の L2 ス行う．これは，2.1 節で述べた基盤サーバに該当する．

BYOD ではなく基盤サーバを対象とするのは，基盤SLQJF
3,1*    E\WHVRIGDWDE\WHVIURPLFPSBVHT WWO WLPH PVE\WHVIURPLFPSBVHT WWO WLPH PVE\WHVIURPLFPSBVHT WWO WLPH PVE\WHVIURPLFPSBVHT WWO WLPH PVE\WHVIURPLFPSBVHT WWO WLPH PVE\WHVIURPLFPSBVHT WWO WLPH PVE\WHVIURPLFPSBVHT WWO WLPH PVE\WHVIURPLFPSBVHT WWO WLPH PVᅇ┠௨㝆ࡢ㏻ಙࡀ㐽᩿ SLQJVWDWLVWLFVSDFNHWVWUDQVPLWWHGUHFHLYHGSDFNHWORVVWLPHPV
UWW PLQDYJPD[PGHY PV

サーバは BYOD に比べ台数が少なく使用用途が明確であるため BYOD に対して評価を行う前に評価実験を行うべきだと考えたからである．

4.2

評価方法

本評価実験では以下の条件で評価を行った．
脆弱性情報収集部

JVN は 1998 年から 2022 年 10 月 12 日までに収集したもので NVD は 2002 年から 2022 年 10 月 12 日

図 2 外部との通信の切断の様子までに収集したものとする．

201

IT 資産管理部の脆弱性は表 6 と表 7 に示すように DB に登録されてWeb ブラウザとエージェントを用いて機器情報のいた．脆弱性情報 DB でのソフトウェア名と IT 資産収集を行う．エージェントでソフトウェア情報を登録

管理 DB のソフトウェア名が一致しており，IT 資産するために必要な機器情報は予め入力済みとする．香

管理部でソフトウェア名とバージョン番号を正確に取川大学の学内限定で公開しているサービスを運用してれている場合正確に脆弱性を検知できる．

いるサーバ 2 つに対してエージェントを導入しソフトウェア情報 (ソフトウェア名及びそのバージョン番号)表6

脆弱性情報 DBCVE ID

CPE

バージョン開始位置

CVE-2022-31676

cpe:/a:vmware:tools

11.0.012.1.0

ムの空き情報管理システムで 28 件，インストーラー

CVE-2022-31676

cpe:/a:vmware:tools

10.0.010.3.25

CVE-2022-31676

cpe:/a:vmware:tools

10.0.012.1.0のダウンロードシステムで 51 件であった．

CVE-2022-22977

cpe:/a:vmware:tools

10.0.010.3.24を収集する．収集できたソフトウェア情報は PC ルー

バージョン終了位置

以下の流れで評価実験を行う．
表 7 IT 資産管理 DB• 脆弱性情報 DB と IT 資産管理 DB の両方からソフトウェア名とバージョン情報を取得する．このソフトウェア名バージョン番号とき IT 資産管理 DB から取得するソフトウェア

VMware Tools

10.3.5.10430147

情報は本来であればサービスで使用されているソフトウェアのみ取得するが，使用されているソフトウェアが不明瞭なため機器にインストールされ次に検知漏れしたものについて述べる．検知漏れの原因は脆弱性情報収集部での収集ミスと IT 資産管理部でソフトウェア名とバージョン番号が想定通りに取ているソフトウェア全て取得する．

• 取得したソフトウェア名同士が一致するものを探得できていないことであった．検知漏れした脆弱性にし，一致したものがあればバージョン情報を比較“Microsoft ODBC Driver” と “OpenSSL” があった．

してソフトウェアが脆弱性を含むバージョンの範

Microsoft ODBC Driver
検知漏れの原因として収集元の情報の不備が考え囲内であるか確認する．

• 脆弱性を含むソフトウェアが発見された場合，脆弱性の深刻度を脆弱性情報 DB から参照し深刻度られる．本ソフトウェアは JVNDB-2022-002407 [13]によるとの値とサービスの利用形態からアクセス制御ポリ

複数の Microsoft Windows 製品には、Microsoftシーを決定する．

ODBC ドライバに不備があるため、リモートで• 検知された脆弱性情報と手動で調査を行った結果コードを実行される脆弱性が存在します。

を比較し，検知漏れ，誤検知が無いか調べる (表と記述されている．しかし，影響を受けるソフトウェ

4)．

アには ODBC ドライバが無い．また，複数の Mi-

4.3

評価結果

crosoft Windows 製品とあるが，該当する製品は機器

評価結果は表 5 のようになった．

情報に含まれていなかった．

正常検知できた脆弱性について述べる．正常検知でOpenSSLきた脆弱性の一つに “VMware Tools” があった．こ

検知漏れの原因として機器情報の取得ミスが考えられる．IT 資産管理部のエージェントを用いて取得した

表4

時，表 8 に示すように DB に登録されていた．ソフト

脆弱性検知の区分分け

検知可

検知不可

脆弱性有

正常検知

検知漏れ

脆弱性無

誤検知

ウェア名の中にバージョン番号が含まれており，ソフトウェア名とバージョン番号を分けて登録できていなかったため本脆弱性を検知することができなかった．
表 8 の場合ソフトウェア名末尾の “1.1.1d (64-bit)”がバージョン番号として取得できていれば検知できて

表5
対象機器

評価実験の結果インストールされているソフトウェア

いた．
正常検知 検知漏れ 誤検知

最 後 に 誤 検 知 し た も の に つ い て 述 べ る ．誤 検 知PC ルームの管理システム

28 件

2件

2件

5件の原因は影響算出部での検知方法に起因するもの

インストーラーのダウンロードサイト

51 件

3件

3件

8件

であった．誤検知したソフトウェアを表 9 に示す．

202

表8

バージョン番号が取れなかった場合の IT 資産[2] 楠目幹, 喜田弘司, 最所圭三、脆弱性情報を利用

管理 DB

したゼロデイ攻撃対策システムにおける構成情

ソフトウェア名バージョン番号

報収集機能の実装及び脆弱性評価機能の設計、OpenSSL 1.1.1d (64-bit)

NULL

ISEC2019-12、Vol.119、no.140、pp.1-6(2019)．
[3] 香 川 大 学 情 報 メ デ ィ ア セ ン タ ー 、

表9

誤検知したソフトウェア

https://www.itc.kagawa-u.ac.jp/、2022/10/6．

ソフトウェア名バージョン番号SQL Server Management Studio for Reporting Services

15.0.18206.0

SQL Server Management Studio for Analysis Services

15.0.18206.0

連師, 喜田弘司, 最所圭三、脆弱性情報を用いた

SQL Server Management Studio for Analysis Services Localization

15.0.18206.0

セキュリティ保護システムにおける脆弱性情報[4] 中村友昭, 竹原一駿, 西岡大助, 細川洋輪, 岩下

収集部の改善、令和 3 年度電気・電子・情報関
誤検知の原因としてパターンマッチングを行う際係学会四国支部連合大会講演論文集、Vol.2021、“SQL Server Management Studio” の部分が脆弱性

pp.178-178(2021)．

情報 DB に存在するソフトウェア名と部分一致したた[5] 西岡大助, 楠目幹, 竹原一駿, 細川洋輔, 喜田弘司,めだと考えられる．これは，脆弱性情報 DB で収集し最所圭三、脆弱性情報を利用したセキュリティ対ているソフトウェア名と IT 資産管理部で収集してい策支援システムにおけるサービス情報管理のためるソフトウェア名に表記揺れがあるためソフトウェアの IT 資産管理機構の開発、第 83 回情報処理学会

名が完全一致とすると，脆弱性が全く検知できないた

全国大会講演論文集,Vol.3, pp.419-420(2021)．

めである．そのため，脆弱性情報収集部と IT 資産管[6] 細川洋輔, 竹原一駿, 西岡大助, 中村友昭, 岩下蓮

理部で収集している情報の表記ゆれを無くすことで誤師, 喜田弘司, 最所圭三、脆弱性情報を用いたセ検知の数は減らせると考えられる．

キュリティ保護システムにおける機器の利用実態に基づいたアクセス制御ポリシーの考案、令和 3

5 おわりに

年度 電気・電子・情報関係学会 四国支部連合大“BEYOND” は組織内の機器に存在する脆弱性に対会 講演論文集,Vol.2021, pp.177(2021)．

してアクセス制御を行うことで脆弱性を利用した攻[7] 竹原一駿, 楠目幹, 西岡大助, 喜田弘司, 最所圭三、撃から機器を保護することを目的としている．今回脆弱性情報を用いたセキュリティシステムにおけはその前段階として “BEYOND” を用いて，本学のるネットワーク制御機構に関する研究、令和 2 年

情報メディアセンターで使用している機器内に脆弱度電気・電子・情報関係学会四国支部連合大会論性が存在するか評価を行った．評価結果から実際に脆文集,Vol.2020,pp.16-4．

弱性があるソフトウェアの中で半分は正確に検知できていた．また，今回の評価実験で浮き彫りとなった[8] JPCERT/CC and IPA,https://jvn.
jp/,2022/10/6．

“BEYOND” 各機構の課題を解決することで基盤サー[9] National Institute of Standards and Technol-

バにおいては本システムを適用して脆弱性対策が行

ogy,urlhttps://nvd.nist.gov/,2022/10/6．

えると考えられる．しかし，今回はネットワーク制御[10] The MITRE Corporation,https://cve.

部の評価を行う事はできなかったため，“BEYOND”の目標であるアクセス制御を用いて脆弱性対策を行

mitre.org/,2022/10/6．
[11] NationalInstituteofStandards

うということは検証できなかった．さらに，現状の精Technology,https://nvd.nist.gov/vuln-

度では台数が多く，使用用途も多岐に渡る BYOD に

metrics/cvss,2022/10/6．

対して適用することは難しい．今後は検知の精度を高and[12] PCI Security Standards Council,https:

めて，実際にアクセス制御を行い，BYOD に対して//listings.pcisecuritystandards.org/“BEYOND” が有効であるか検討したい．

documents/ASV\_Program\_Guide\_v3.0.
pdf,2022/10/6．

参考文献[13] JPCERT/CC and IPA,https://jvndb.

[1] 倪永茂,“ランサムウェア WannaCry の仕組みとその対策”, 宇都宮大学国際学部研究論集 Vol.46,

pp79-85, 2018．

203

jvn.jp/ja/contents/2022/JVNDB-2022002407.html,2022/10/17．