l‖‖‖‖‖‖‖‖‖‖‖‖‖‖‖‖‖＝‖‖‖‖‖‖‖‖‖‖‖‖‖‖‖‖＝‖‖‖‖‖‖‖‖＝‖‖‖‖‖‖＝‖‖‖‖‖‖‖‖‖‖‖＝‖‖‖‖‖‖‖‖‖‖＝‖‖‖‖‖‖‖‖‖‖‖‖‖‖‖‖‖‖‖‖‖‖‖‖‖‖‖‖‖‖‖‖‖‖‖＝‖‖‖‖‖‖‖‖‖‖‖‖‖‖‖‖‖‖‖‖‖‖‖‖‖‖‖＝‖‖‖＝‖‖‖‖‖‖‖州

ネットワークシステムにおける脆弱性管理−その仕組みと手法一郷間 佳市郎インターネットの発展にともない，セキュりティ問題が社会の注目を集めている．セキュリティ問題の原因の多くは，システムに存在する脆弱性の問題である．脆弱性をいかにして管理し解決するかが，セキュりティ問題を解決するための鍵であるといえる．本稿では，近年大きな発展があった効率的な脆弱性の検知手法を紹介するとともに，検知された脆弱性の危険度をいかにして管理するかといった手法について，数値化の手法などを中心に最新の取組みを紹介する．

キーワード：インターネット，セキュリティ，脆弱性…………lll‖‖‖‖‖‖‖‖‖‖‖‖＝‖‖‖‖‖‖‖‖‖‖‖‖‖＝‖‖‖‖‖‖‖‖‖‖＝‖‖＝‖‖‖‖‖‖‖‖‖＝‖＝‖‖‖‖‖‖‖‖＝‖‖‖‖‖‖‖‖‖‖‖＝‖‖‖‖‖‖‖‖‖‖‖＝‖‖‖‖‖‖‖‖＝‖‖‖‖‖‖‖‖‖‖‖‖‖‖‖‖‖‖‖‖‖＝‖‖‖‖‖‖‖‖‖‖‖‖‖‖‖‖‖‖‖‖＝‖‖‖‖州う場合がある．このような，設計者の意図しない操作

1．はじめにがコンピュータシステムに対して行われてしまう可能

コンピュータ同士をつなぐネットワークは，もはや性のある欠陥を総称して「脆弱性」と呼ばれている．

日常生活の中にまで入り込んできている．何気なく使ワームやウィルスは，このようなシステム上の欠陥をっている日常生活のインフラが，ネットワークにつな悪用して，コンピュータに対して不正な行為，例えば，がっていたりする状況になってきており，生活のイン勝手にコンピュータ内の文章を電子メールで送ったり，フラとして重要度が以前に増して高まっている．

コンピュータ内の文章を破壊して利用不可能にしたりしかし，生活の一部となりつつあるネットワークではあるが，その安全性についての問題がある．例えば，コンピュータウィルスやワームなどである．

といった行動をするわけである．
つまり，ウイルスやワームによる被害を抑えたいと考えた場合，その対策として有効なのは脆弱性を解決

かつて，ウイルスやワームが，フロッピーディスクすることである．もし，脆弱性が解決されていれば，のような外部記憶媒体を通して伝播していた頃には，ウィルスやワームといったものによって攻撃をされてその感染力はたいしたものではなかった．しかし，イも，コンビュ【タが不正な動きをすることはない．

ンターネットの普及により，世界中のコンピュータ間脆弱性と攻撃，そしてそれによって発生する被害のをネットワークというリアルタイムのパイプラインを間には次のような関係が成立つ．

通してデータが行き来するようになって，様相が一変①脆弱性＋攻撃＝被害の発生した．世界中に瞬時でつながるという仕組みが成立し攻撃が発生しても，その原因となる脆弱性が存在したことによって，世界のある地域で発生したウイルスなければ，被害は発生しない．

やワームが，あっという間に世界中に拡散するといっ②脆弱性の情報公開日≦攻撃の発生日たことが，実際に発生するようになってきている．

攻撃が発生する前に，その原因となる脆弱性の情報は，すでに公開されている．

2．脆弱性管理の必要性

つまり，脆弱性というものを管理できれば，攻撃にこのような，いわゆる「セキュリティ問題」の原因

対して耐性のあるシステムを構築することは可能であは，システムに存在する脆弱性の問題が，その多くのることを，上記の関係は示している．実際にそのよう部分を占めている．脆弱性とは，システムの欠陥のこな取組みを全社レベルで行っていたため，世界的なワとを言う．本来は許されない行為が，プログラムの設ームの流行から被害を免れた企業は多い．そのような計やシステム設定上のミスにより，可能となってしま企業ではどのような取組みを行っているのであろうか．

きょうま けいいちろう
京セラコミュニケーションシステム㈱〒108−8605港区高輪2−18−10324（26）

その一つの例が，「脆弱性管理」と呼ばれるものである．コンピュータウィルスやワームといったものは，．健全なコンピュータには基本的には感染しない．常に，© 日本オペレーションズ・リサーチ学会. 無断複写・複製・転載を禁ず.

オペレーションズ・リサーチ

社内のコンピュータシステムを，脆弱性という観点でわれてきた脆弱性の診断が，COntinuous（継続的）に管理することにより，被害発生の危険の原因を事前に行えるものとなったことによって，診断結果は，「点解決していたわけである．の情報」から「線の情報」に変化してきた．つまり，

3．システムの安全度は，放置すれば必ず劣化する

これまで，「脆弱性診断」と単に呼ばれていたものから，「脆弱性管理」といった，継続的な情報収集と管理を意味する考え方が生まれてきたわけである．

コンピュータシステムが複雑化した現在，脆弱性というものがなくなることは，現在のところ考えられない．常に新しい脆弱性が発見され，それに対する解決

4．どのようにして診断対象に対する負荷を抑えているのか策が発信され続けている．したがって，システムの安継続的な診断を実現し，脆弱性の管理を可能とする

全度は，放置されれば必ず劣化する．これに対する解ためには，診断対象に対する負荷を抑えた脆弱性検査

決策としては，脆弱性の検査をできるだけ短いタームの方法が必要となる．これによって，常時診断を行うで行い，安全度（セキュりティレベル）をキープし続ことが可能となり，診断結果を継続的な管理情報としけることが必要である（図1）．て扱えるようになる．では，実際にはどのような技術

しかし，実際のシステムの現場では，このような脆が，常時診断を可能としているのであろうか．その代

弱性の検査は，システムの構築時にだけ行われ，その表的な方式が，プロファイリングによる方法である．

後は放置される場合が多い．また，検査を行っている場合でも，その間隔は1年，あるいは半年に1回といった場合が多いのが現状である．原因は，検査を人手5．プロファイリングによる診断対象の絞込みで行った場合，そのための費用が多くかかってしまっ

脆弱性診断によって診断対象に過度の負荷がかかっていたことや，診断時にコンピュータに過度の負荷をてしまったり，最悪の場合には停止してしまうことの与えてしまうような検査が行われ，システムが停止し第一の原因は，診断対象に送信される大量の診断パケてしまうことがあったからである．

ットの多さにある．脆弱性診断を行う専用のソフトウ

しかし，最近では，このような検査を専用のソフト

ェアやアプライアンスは，診断ルールというものをもウェアやアプライアンス（専用の機器）によって自動っている．ちょうど，潜水艦がソナーによって敵を見的に行われることが一般化してきている．また，後述

つけるのと同じように，このルールーつごとに，いくするが，診断対象に過度の負荷を与えない検査方式がつかの通信パケットを診断対象に送信し，それに対し実用化され，システムを停止させることなく検査を行て返ってきた通信パケットの情報力、ら，脆弱性情報をえるようになってきている．

診断をするわけである．この診断ルールの数であるが，これによって，これまではperiodic（断続的）に行製品によっても異なるが，多いものでは1，000種類近図1安全度（セキュりティレベル）をキープし続けることが必要

2005年5月号© 日本オペレーションズ・リサーチ学会. 無断複写・複製・転載を禁ず.

（27）325くのルールを持っている．これらすべての診断を1台・対点となるコンピュータを探す行為の診断対象に対して行った場合，大変な量の通信パケットを診断対象に発信することとなり，大きな負荷を与えてしまう．

実は，個々の診断ル【ルは，一つ以上の特定のOSやアプリケーションと紐づいている．例えば，あるルールはWindowsNT4．OSP2以前のバ，ジョンのためのものであったり，またはCiscoIOSだけのものだったりする（すなわち，NimdaやBlasterの脆弱性に関する診断はUNIXマシンに対しては意味がないからである）．このようなことから，診断対象が何であるかをあらかじめ見極められれば，そこに存在するはずのない脆弱性の診断ルールを，ルールセットの中

図2−1アドレススキャン
対たとなるサーバの「入口」を探る
どういう入口があり、どういうやりとりでi憎が行われているかを叫べますから削っていけば良い．言い方を変えれば，そこに存在することが予想されるものだけを診断すれば良いと̲̲I 11いうわけである．
このような，診断対象をはっきりさせ，対象を絞り※80書ポートでもFTPが動いているかも→プロトコルスキャンで判別込むことを「プロファイリング」という．この技術の進歩が，過度な負荷をかけない脆弱性診断を可能にし

図2−2 ポートスキャンとプロトコルスキャンている．診断対象が何であるかを絞り込み，必要のない診断ルールを自動的に削り，本当に必要な診断のみ・対たとなるサーバの中身を探るを行うということによって，診断時の通信パケットは中身で何が動いているかを臍べます

大幅に軽減されるわけである．

6．様々な「スキャン」を組み合せた，最新の脆弱性診断※OSやアプリのバージョン

では，どのようにして，プロファイリングを行って→脆弱性を推瀾できるいるのであろうか．実は，いくつかのスキャンを組み合わせ，それぞれのスキャンの結果情報を組み合わせ

図2−3 0Sスキャンとア70リケーションスキャン

ることによって，判別を行っている．脆弱性の診断もスキャンの一つであるが，これに先立って，様々なス・脆弱性の確認を行うキャンを行い，診断を行うルールを絞り込んでいく．
製品によっても異なるが，次のようなスキャンを組み合わせることによって，プロファイリングが行われ￣￣一＝；ている．
①アドレススキャン
診断対象の存在を確認するのが，このスキャンである．存在しないIPアドレスに対して，この後のプロファイリングを行っても非効率的であり時間の無駄で

図2−4 脆弱性診断ある．最も簡単な方法としてpingに対する応答があるかどうかによって判断を行う例がある（図2−1）．

るためのスキャンが行われる．これがポートスキャン②ポートスキャンとプロトコルスキャンとプロトコルスキャンである．ポートがわかれば，ど診断対象の存在がはっきりしたならば，次に，そののようなアプリケーションが稼動しているのかを予想対象のネットワークへの入口がどうなっているかを探できる．そしてさらに，そのポートが応答するプロト

326（28）© 日本オペレーションズ・リサーチ学会. 無断複写・複製・転載を禁ず.

オペレーションズ・リサーチ

コルを判別することによって，さらに確定的な情報を功させるためのスキルセット」の，三つの要素を用い収集する（図2−2）．てし、る．次は，その内容である．

③OSスキャンとアプリケー①脆弱性の情報が公開されてからの日数

ションスキャン

診断対象入日の状況を把握できたならば，その中で発見されたばかりの脆弱性の危険度は高くないが，稼動しているOSやアプリケーションの判別を行う．

その後は急激に危険度は上昇する．しかし，その危険これがOSスキャンとアプリケーションスキャンであ度は，どこまでも急激に高くなるというものではなく，る．これによって，診断を行うべき対象がかなりはっある一定の段階でその高まりは純化し，落ち着く．こきりする．存在することのない診断ルールを動的に削のような変化は，〟＝、庁という曲線で表され，この除することが可能になるのである（図2−3）．

数値を算出する仕組みになっている．

以上のような，いくつかのスキャンを行った結果か②脆弱性自体の脅威

ら，実際の脆弱性のスキャンが行われる（図2−4）．

リモート（つまり遠隔操作）からアクセスでき，かこの時までには，行うべき脆弱性の検査ルールはかな

つ管理者権限が奪取されてしまうような脆弱性は，非り絞り込まれている状態となるわけである．

常に危険度が高いと．これに対して，ローカルでアクセスしなければ（すなわち，サーバそのものに入り込7．脆弱性の危険度を数値化する試みんでからでないと）攻撃が成功しないような脆弱性のこれまで述べてきたように，脆弱性を管理するため危険度は，低い．このように，リモートから管理者権に継続的な診断はできるようになってきたが，その結限が奪取されてしまう脆弱性ほど危険度が極端に高く果を統計的に処理するためには，数値化といったアプなるような，〝＝J！という式でこの数値を算出するローチが必要である．従来，脆弱性の危険度は，高仕組みになっている．

（High），中（Middle），低（Low）といった，かな③攻撃を成功させるためのスキルセット

り大雑把な区分けで，その危険度が管理されてきたとマウスをクリックするだけで，攻撃が成功してしま言える．これに対して，最近，このような危険度をうようなツールが出回っているものは，スキルがない「数値化」し，定量化して管理しようという動きがあ人（例えば中学生）でも攻撃ができてしまい，危険度る．

が非常に高い．これに対して，実行に専門的なスキル

図3は，米国のnCircle Network Security社が採（例えば，C言語やマシン語でのプログラム）が必要用している，脆弱性の「数値化」の数式であるなものは，危険度は低い．このように，専門的なスキ（www．ncircle．com）．nCircle Network Security社

ルが必要なものであれば，急激に危険度が下がる〝＝

は，数値化のために，「脆弱性の情報が公開されてかりr2という曲線で表わし，この数値を算出する．

らの日数」，「脆弱性自体の脅威」，そして「攻撃を成これらの数値を，図3に示される数式により処理す①脆弱性の情報が公帥さ九てからの日数③攻暮を成功させるためのスキルセット

図3 脆弱性の数値化
2005年5‖り・© 日本オペレーションズ・リサーチ学会. 無断複写・複製・転載を禁ず.
（29）32丁図4 事前予防型へのシフト

ることにより，脆弱性の危険度（Ⅴ）を算出している．

かにして事前予防的に対応する割合を増やすかが，セ数値化の試みはまだ始まったばかりであり，定量化

キュリティ対策というものを，本来の通常業務のなかの手法にも普遍的なものはない．しかし，このようなに組み込むことにつながる．そして，結果としてシス数値化の仕組みが整えば，それをもとにコンピュータテムの堅牢性を増すこととなり，また，経費の削減にウィルスやワームといったものの危険度を数値化し，もつながってくる．

定量的な指標で危険性を管理できるようになる．数値化されれば「しきい値管理」や「統計分析」が可能となり，それを基にして自動的に問題を発見・解決する

9．今後の課題
脆弱性管理に関する取組みは，まだ始まったばかり「自動管理」が実現する．「自動管理」は，セキュリテで課題も多い．特に危険度の数値化の部分についてはィの運用を画期的に変革する可能性を秘めている．

試行錯誤の段階であると言える．

8．継続的な脆弱性の情報収集は，復旧コストを抑える効果もある

言うまでもなく，脆弱性の危険度の数値化は，最終的には「リスク」の算定のために用いることを考えた取組みである．リスクについては，例えばGMITS継続的な脆弱性管理は，「事前予防」型のセキュリティ運用を実現する．すなわち，ウィルスやワームによる被害が発生してから対策に着手するのではなく，それらの攻撃が起きる前（つまり脆弱性が検知された時点）に，対策に着手することが可能になる．

（GuidelinesfortheManagementofITSecurity）では，次の式が紹介されている．
リスク＝資産価値×脅威×脆弱性

本稿で述べた脆弱性危険度の数値化の例では，この「脅威」と「脆弱性」の分離があし−まいであると言え事前予防型によるセキュリティ対策の場合には，まる．本来は「脅威」として述べられるべきものが「脆だ被害が発生しているわけではないので，現場のシス弱性」の数値化のパラメータとして用いられているか

テム管理者が問題点を発見した後に，それを，経営層らである．に報告・相談するプロセスを経ることが可能である．

しかし，これには理由がある．一般の利用者が「脆その結果，方針決定に従った，「マネージメント」さ弱性」の危険度といったものを判断する場合，そこにれた対処が可能となる（図4）．

は「脅威」の要素が入っている．学術的な分野ではこ

これに対して，「事後対処」的なアプローチの場合れを明確に分離しようとしているが，製品を提供してには，緊急対処的な例外処理となってしまい，経営層いるベンダが，あえて両者をあいまいにして取り扱っへの報告が事後承認のかたちとなってしまう．これは，ているのは，一般の利用者にとっては，その方が分か本来，経営層が望む「マネージメント」化された業務りやすいからである．とは異なる．もちろん，すべてのセキュリティ対策が事前予防のかたちでできるわけではない．しかし，い328（30）

このような遊離をどのように解決するかが，今後の課題となると考えられる．

© 日本オペレーションズ・リサーチ学会. 無断複写・複製・転載を禁ず.

オペレーションズ・リサーチ