特許 5725529 Ｗｅｂ脆弱性補修システム、Ｗｅｂ脆弱性補修方法、及びプログラム

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】特許公報(B2)

(11)【特許番号】5725529

(24)【登録日】2015年4月10日

(45)【発行日】2015年5月27日

(54)【発明の名称】Ｗｅｂ脆弱性補修システム、Ｗｅｂ脆弱性補修方法、及びプログラム

(51)【国際特許分類】

   G06F 21/55 20130101AFI20150507BHJP

   G06F 21/56 20130101ALI20150507BHJP

【ＦＩ】

   G06F21/55

   G06F21/56

【請求項の数】10

【全頁数】14

(21)【出願番号】特願2010-164304(P2010-164304)

(22)【出願日】2010年7月21日

(65)【公開番号】特開2012-27618(P2012-27618A)

(43)【公開日】2012年2月9日

【審査請求日】2013年6月7日

(73)【特許権者】

【識別番号】000004237

【氏名又は名称】日本電気株式会社

(73)【特許権者】

【識別番号】000232092

【氏名又は名称】ＮＥＣソリューションイノベータ株式会社

(74)【代理人】

【識別番号】100110928

【弁理士】

【氏名又は名称】速水 進治

(72)【発明者】

【氏名】川白 弘人

(72)【発明者】

【氏名】浅野 雅博

【審査官】 平井 誠

(56)【参考文献】

【文献】 特開２００２−３２８８９６（ＪＰ，Ａ）

【文献】 特開２００７−２４１９０６（ＪＰ，Ａ）

【文献】 特開２００７−０４７８８４（ＪＰ，Ａ）

【文献】 特開２００２−１５７２２１（ＪＰ，Ａ）

【文献】 特開２００４−２５８７７７（ＪＰ，Ａ）

【文献】 特開２００２−３４２２７９（ＪＰ，Ａ）

【文献】 米国特許出願公開第２００５／０１９８５２７（ＵＳ，Ａ１）

(58)【調査した分野】（Int.Cl.，ＤＢ名）

Ｇ０６Ｆ ２１

(57)【特許請求の範囲】

【請求項1】

Ｗｅｂアプリケーションの脆弱性情報に基づいて補修プログラムを取得する補修プログラム取得手段と、
取得した前記補修プログラムを用いて前記Ｗｅｂアプリケーションから送信される電文の内容を修正することで、前記Ｗｅｂアプリケーションの脆弱性を補修する補修手段と、
を備えるＷｅｂ脆弱性補修システム。

【請求項2】

Ｗｅｂアプリケーションの脆弱性情報を取得する脆弱性情報取得手段を備え、
前記補修プログラム取得手段は、前記脆弱性情報と、当該脆弱性情報により示される脆弱性を補修するための補修プログラムと、を互いに対応付けて記憶する補修プログラム記憶手段から、前記脆弱性情報取得手段が取得した前記脆弱性情報に対応する前記補修プログラムを取得する、
請求項１に記載のＷｅｂ脆弱性補修システム。

【請求項3】

Ｗｅｂアプリケーションを提供するサービス提供手段を備える請求項１又は２に記載のＷｅｂ脆弱性補修システム。

【請求項4】

前記補修手段は、前記Ｗｅｂアプリケーションを有する情報処理装置に前記補修プログラムをインストールすることにより、前記Ｗｅｂアプリケーションの脆弱性を補修する請求項１乃至３いずれか一項に記載のＷｅｂ脆弱性補修システム。

【請求項5】

前記脆弱性情報と、当該脆弱性情報により示される脆弱性を補修するための補修プログラムと、を互いに対応付けて記憶する補修プログラム記憶手段を備える請求項２乃至４いずれか一項に記載のＷｅｂ脆弱性補修システム。

【請求項6】

Ｗｅｂアプリケーションの脆弱性情報を取得する脆弱性情報取得手段を備え、
前記脆弱性情報取得手段は、前記脆弱性情報に対応付けて、前記ＷｅｂアプリケーションのＵＲＬと、前記Ｗｅｂアプリケーションの脆弱性箇所を特定する情報とを含む箇所特定情報を取得し、
前記補修手段は、前記箇所特定情報を用いて、前記Ｗｅｂアプリケーションの脆弱性を補修する、
請求項２乃至５いずれか一項に記載のＷｅｂ脆弱性補修システム。

【請求項7】

前記Ｗｅｂアプリケーションを解析することにより、前記Ｗｅｂアプリケーションの脆弱性の有無、及び当該脆弱性の種類を判断して前記脆弱性情報を生成する診断手段を備える請求項２乃至６いずれか一項に記載のＷｅｂ脆弱性補修システム。

【請求項8】

前記補修手段は、ＤＮＳサーバが管理している前記Ｗｅｂアプリケーションに関するデータを修正することにより、外部端末が前記Ｗｅｂ脆弱性補修システムを介して前記Ｗｅｂアプリケーションに接続するようにする請求項１乃至７のいずれか一項に記載のＷｅｂ脆弱性補修システム。

【請求項9】

コンピュータによって実行されるＷｅｂ脆弱性補修方法であって、
Ｗｅｂアプリケーションの脆弱性情報に基づいて補修プログラムを取得し、
取得した前記補修プログラムを用いて前記Ｗｅｂアプリケーションから送信される電文の内容を修正することで、前記Ｗｅｂアプリケーションの脆弱性を補修する、
Ｗｅｂ脆弱性補修方法。

【請求項10】

Ｗｅｂアプリケーションの脆弱性情報に基づいて補修プログラムを取得する取得処理と、
取得した前記補修プログラムを用いて前記Ｗｅｂアプリケーションから送信される電文の内容を修正することで、前記Ｗｅｂアプリケーションの脆弱性を補修する補修処理と、
をコンピュータに実行させるＷｅｂ脆弱性補修プログラム。

【発明の詳細な説明】

【技術分野】

【0001】

本発明は、Ｗｅｂアプリケーションの脆弱性を補修するＷｅｂ脆弱性補修装置、Ｗｅｂサーバ、Ｗｅｂ脆弱性補修方法、及びプログラムに関する。

【背景技術】

【0002】

Ｗｅｂアプリケーションのセキュリティを向上させるために、そのＷｅｂアプリケーションの脆弱な部分を予め診断する技術がある。例えば特許文献１には、検査対象となるパラメータと検査項目との対応を示す設定ファイルを用いて、パラメータが指定された場合に、指定されたパラメータに対応する検査項目を特定して脆弱性の検査処理を行うことが記載されている。

【先行技術文献】

【特許文献】

【0003】

【特許文献1】特開２００５−１３４９９５号公報

【発明の概要】

【発明が解決しようとする課題】

【0004】

Ｗｅｂアプリケーションに脆弱な部分が発見された場合、それを補修してセキュリティを向上させる必要がある。Ｗｅｂアプリケーションをきちんと補修するためには人手で補修を行う必要がある。このため、今までは脆弱な部分が発見されてから補修が完了するまでに一定の時間が必要であったため、その間はセキュリティを向上させることはできなかった。

【0005】

本発明の目的は、Ｗｅｂアプリケーションに脆弱な部分が発見されてから人手で補修を行うまでの間のセキュリティを向上させることができるＷｅｂ脆弱性補修装置、Ｗｅｂサーバ、Ｗｅｂ脆弱性補修方法、及びプログラムを提供することにある。

【課題を解決するための手段】

【0006】

本発明によれば、Ｗｅｂアプリケーションの脆弱性情報に基づいて補修プログラムを取得する補修プログラム取得手段と、
取得した前記補修プログラムを用いて前記Ｗｅｂアプリケーションから送信される電文の内容を修正することで、前記Ｗｅｂアプリケーションの脆弱性を補修する補修手段と、
を備えるＷｅｂ脆弱性補修システムが提供される。

【0009】

本発明によれば、コンピュータによって実行されるＷｅｂ脆弱性補修方法であって、
Ｗｅｂアプリケーションの脆弱性情報に基づいて補修プログラムを取得し、
取得した前記補修プログラムを用いて前記Ｗｅｂアプリケーションから送信される電文の内容を修正することで、前記Ｗｅｂアプリケーションの脆弱性を補修する、
Ｗｅｂ脆弱性補修方法が提供される。

【0012】

本発明によれば、Ｗｅｂアプリケーションの脆弱性情報に基づいて補修プログラムを取得する取得処理と、
取得した前記補修プログラムを用いて前記Ｗｅｂアプリケーションから送信される電文の内容を修正することで、前記Ｗｅｂアプリケーションの脆弱性を補修する補修処理と、
をコンピュータに実行させるＷｅｂ脆弱性補修プログラムが提供される。

【発明の効果】

【0015】

本発明によれば、Ｗｅｂアプリケーションに脆弱な部分が発見されてから人手で補修を行うまでの間のセキュリティを向上させることができる。

【図面の簡単な説明】

【0016】

【図1】第１の実施形態に係るＷｅｂ脆弱性補修装置の使用環境を説明するための図である。

【図2】Ｗｅｂ脆弱性補修装置の機能構成を示すブロック図である。

【図3】診断装置によるＷｅｂアプリケーションの診断結果の一例を説明する図である。

【図4】対策情報記憶部が記憶しているデータの一例を説明するための図である。

【図5】図１に示したＷｅｂ脆弱性補修装置の動作を示すフローチャートである。

【図6】第２の実施形態に係るＷｅｂ脆弱性補修装置の使用環境を説明するための図である。

【図7】図６に示したＷｅｂ脆弱性補修装置の機能構成を示すブロック図である。

【図8】図７に示したＷｅｂ脆弱性補修装置の動作を示すフローチャートである。

【図9】第３の実施形態に係るＷｅｂ脆弱性補修装置の機能構成を示すブロック図である。

【図10】第４の実施形態に係るＷｅｂ脆弱性補修装置の機能構成を示すブロック図である。

【発明を実施するための形態】

【0017】

以下、本発明の実施の形態について、図面を用いて説明する。尚、すべての図面において、同様な構成要素には同様の符号を付し、適宜説明を省略する。

【0018】

（第１の実施形態）
図１は、第１の実施形態に係るＷｅｂ脆弱性補修装置５０の使用環境を説明するための図である。Ｗｅｂ脆弱性補修装置５０は、Ｗｅｂサーバ３０がユーザ端末２０に提供するＷｅｂアプリケーションの脆弱性を補修する装置である。Ｗｅｂ脆弱性補修装置５０は、Ｗｅｂサーバ３０のＷｅｂアプリケーションの脆弱性の有無及びその種類を検出する。Ｗｅｂ脆弱性補修装置５０は、脆弱性の種類別に、その脆弱性を補修するための対策情報を取得することができる。そしてＷｅｂ脆弱性補修装置５０は、上記した対策情報を用いて、Ｗｅｂサーバ３０のＷｅｂアプリケーションの脆弱性を補修する。この補修により、Ｗｅｂアプリケーションに脆弱な部分が発見されてから人手で補修を行うまでの間のセキュリティが向上する。

【0019】

本実施形態において、Ｗｅｂ脆弱性補修装置５０は、診断装置１００、対策情報生成装置３００、及び補修部３２によって構成されている。補修部３２は脆弱性を補修するプログラムであり、Ｗｅｂサーバ３０にインストールされている。補修部３２となるプログラムは、例えばＷｅｂサーバ３０に常駐している。また診断装置１００及び対策情報生成装置３００は、グローバルネットワーク１０を介してＷｅｂサーバ３０に接続している。

【0020】

図２は、Ｗｅｂ脆弱性補修装置５０の機能構成を示すブロック図である。Ｗｅｂ脆弱性補修装置５０は、上記したように診断装置１００、補修部３２、及び対策情報生成装置３００を備えている。

【0021】

診断装置１００は、Ｗｅｂサーバ３０のＷｅｂアプリケーションを解析することにより、そのＷｅｂアプリケーションの脆弱性の有無及び当該脆弱性の種類を判断し、脆弱性ＩＤ（脆弱性特定情報）を生成する。脆弱性ＩＤは、Ｗｅｂサーバ３０のＷｅｂアプリケーションの脆弱性の種類を特定する情報である。診断装置１００は、例えば入力パラメータを用いてＷｅｂアプリケーションに擬似的な攻撃を加えることにより、そのＷｅｂアプリケーションの中で脆弱性を有する箇所の有無及びその種類を判断する。なお診断装置１００の解析手法はこれに限定されるものではない。

【0022】

対策情報生成装置３００は、脆弱性情報取得部３１０及び補修情報生成部３３０を備えている。脆弱性情報取得部３１０は、診断装置１００から脆弱性ＩＤを取得する。補修情報生成部３３０は対策情報記憶部３２０に接続する。対策情報記憶部３２０は、Ｗｅｂアプリケーションの脆弱性の種類別に、脆弱性ＩＤと、当該脆弱性ＩＤにより示される脆弱性を補修する方法を示す対策情報と、を互いに対応付けて記憶している。本実施形態では、対策情報記憶部３２０は、対策情報生成装置３００の一部として構成されている。そして補修情報生成部３３０は、脆弱性情報取得部３１０が取得した脆弱性ＩＤに対応する対策情報を対策情報記憶部３２０から取得する。そして補修情報生成部３３０は取得した対策情報を、Ｗｅｂサーバ３０の補修部３２に送信する。

【0023】

そしてＷｅｂサーバ３０の補修部３２は、補修情報生成部３３０から送信されてきた対策情報を読み込むことにより、Ｗｅｂアプリケーションの脆弱性を補修する。

【0024】

なお、図２示したＷｅｂ脆弱性補修装置５０の各構成要素は、ハードウエア単位の構成ではなく、機能単位のブロックを示している。Ｗｅｂ脆弱性補修装置５０の各構成要素は、任意のコンピュータのＣＰＵ、メモリ、メモリにロードされた本図の構成要素を実現するプログラム、そのプログラムを格納するハードディスクなどの記憶ユニット、ネットワーク接続用インタフェースを中心にハードウエアとソフトウエアの任意の組合せによって実現される。そして、その実現方法、装置には様々な変形例がある。

【0025】

図３は、診断装置１００によるＷｅｂアプリケーションの診断結果の一例を説明する図である。診断装置１００は、Ｗｅｂアプリケーションの脆弱性箇所を特定する情報と、その脆弱性の種類を示す脆弱性ＩＤを出力する。脆弱性箇所を特定する情報は、例えばＵＲＬと、そのＷｅｂアプリケーションで用いられているパラメータのうち脆弱性の原因となっているパラメータを特定する情報との組み合わせである。

【0026】

図４は、対策情報記憶部３２０が記憶しているデータの一例を説明するための図である。本図に示すデータのうち、脆弱性の種類は対策情報記憶部３２０に記憶される必要のないものであるが、ここでは説明の都合上、脆弱性の種類もあわせて示している。

【0027】

上記したように対策情報記憶部３２０は、脆弱性ＩＤに対応付けて対策情報を記憶している。例えばＸＳＳ（クロスサイトスクリプティング）に関する脆弱性に対応する対策情報は、投入したスクリプトが有効となるような記号類の有無やタグ・命令文法に相当する表現の有無をチェックし、該当する場合には通信を遮断する処理を行うことを示している。ＳＱＬインジェクションに関する脆弱性に対応する対策情報は、ＳＱＬ文の改ざんが成功するような記号類・命令文法に相当する表現の有無をチェックし、該当する場合には通信を遮断する処理を行うことを示している。コマンド類の実行に起因した脆弱性に対応する対策情報は、コマンドの実行が成功するような記号類・命令文法に相当する表現の有無をチェックし、該当する場合には通信を遮断する処理を行うことを示している。バッファオーバーフローに起因した脆弱性に対応する対策情報は、投入されたデータのサイズを基準値と比較し、危険と判断される場合には通信を遮断する処理を行うことを示している。アプリケーションエラーに起因した脆弱性に対応する対策情報は、アプリケーション異常によってサーバの情報漏えいや仕様開示を引き起こすデータの有無をチェックし、該当する場合には通信を遮断する処理を行うことを示している。Ｃｏｏｋｉｅの漏洩に対応する対策情報は、Ｃｏｏｋｉｅ情報が暗号化されて端末に保存されないよう、電文返却内容を修正する処理を行うことを示している。電文の分割に対応する対策情報は、不正に電文を分割する文字コードの有無をチェックし、該当する場合には通信を遮断する処理を行うことを示している。ファイルパラメータ改ざんに対応する対策情報は、想定外のファイルにアクセスされるような表現をチェックし、該当する場合には通信を遮断する処理を行うことを示している。ここでチェックされる表現は、例えば診断装置１００による解析によって定められる。暗号化ページの漏洩に対応する対策情報は、ページ内容が端末に保存されないよう、電文返却内容を修正する処理を行うことを示している。不適切な有効期限が検出された場合に対応する対策情報は、不適切な有効期限管理が行われないよう、有効期限表記を修正する処理を行うことを示している。

【0028】

なお、上記した脆弱性の種類及び対策情報は一例である。

【0029】

図５は、図２に示したＷｅｂ脆弱性補修装置５０の動作を示すフローチャートである。まずＷｅｂ脆弱性補修装置５０の診断装置１００は、検査対象となるＷｅｂアプリケーションのＵＲＬを取得する。そして診断装置１００は、取得したＵＲＬが示すＷｅｂアプリケーションに接続し、擬似的な攻撃を加えることにより、そのＷｅｂアプリケーションの脆弱性の種類及び脆弱性の箇所を認識する（ステップＳ１０）。そして認識した脆弱性の種類に対応する脆弱性ＩＤを生成し（ステップＳ２０）、生成した脆弱性ＩＤを、認識した脆弱性の箇所を示す箇所特定情報（例えばＵＲＬとパラメータの組み合わせ）に対応付けて、対策情報生成装置３００に出力する（ステップＳ３０）。

【0030】

対策情報生成装置３００の補修情報生成部３３０は、脆弱性情報取得部３１０が脆弱性ＩＤ及び箇所特定情報を互いに対応付けて受信すると、受信した脆弱性ＩＤに対応する対策情報を対策情報記憶部３２０から読み出す（ステップＳ４０）。そして補修情報生成部３３０は、脆弱性情報取得部３１０が取得した箇所特定情報を用いて送信先となる補修部３２を特定し、ステップＳ４０において読み出した対策情報を補修部３２に送信する（ステップＳ５０）。このとき補修情報生成部３３０は、箇所情報のうち少なくとも脆弱性の元となっているパラメータを特定する情報も送信する。

【0031】

補修部３２は、対策情報生成装置３００から送信されてきた対策情報（パラメータを特定する情報を含む）を読み込み（ステップＳ６０）、処理を行う。具体的には、補修部３２は、ユーザ端末２０が、Ｗｅｂ脆弱性補修装置の補修部３２を介してＷｅｂサーバ３０のＷｅｂアプリケーションに接続するようにする。補修部３２は、この接続を行うとき、対策情報に従った処理を行う。

【0032】

なお上記した例では、対策情報生成装置３００で設定された対策情報は、グローバルネットワーク１０などの通信網を介して補修部３２に送信されているが、この対策情報は、リムーバブルな記憶素子（例えばＵＳＢメモリ）を介して補修部３２に伝達されてもよい。

【0033】

また上記した例では、補修部３２は、Ｗｅｂサーバ３０の中で動いているが、Ｗｅｂサーバ３０とグローバルネットワーク１０の間に位置するファイヤウォール装置（図示せず）で動作していてもよい。

【0034】

次に、本実施形態の作用及び効果について説明する。本実施形態によれば、診断装置１００がＷｅｂアプリケーションの脆弱性を診断し、その脆弱性の種類を判断する。そして対策情報生成装置３００は、判断された種類に対応する対策情報を対策情報記憶部３２０から読み出し、読み出した対策情報を出力する。出力された対策情報は、通信網又は記憶素子を介してＷｅｂサーバ３０の補修部３２に読み込まれる。補修部３２は、読み込んだ対策情報を用いてＷｅｂアプリケーションの脆弱性を補修する。従って、Ｗｅｂアプリケーションに脆弱な部分が発見されてから人手で補修を行うまでの間のセキュリティを向上させることができる。

【0035】

また、診断装置１００及び対策情報生成装置３００を、補修部３２とは別の場所に設置している。従って、例えば診断装置１００及び対策情報生成装置３００を、対策情報を作成する要員がいる場所に設置することにより、対策情報生成装置３００が記憶している対策情報を、迅速に最新の情報に更新することができる。また対策情報を更新するとき、Ｗｅｂサーバ３０を修正する必要はないため、Ｗｅｂサーバ３０の管理者に与える負荷を少なくすることができる。

【0036】

（第２の実施形態）
図６は、第２の実施形態に係るＷｅｂ脆弱性補修装置５０の使用環境を説明するための図である。本実施形態においてＷｅｂ脆弱性補修装置５０は、Ｗｅｂサーバ３０のＷｅｂアプリケーションの脆弱性の有無及びその種類を検出する。Ｗｅｂ脆弱性補修装置５０は、脆弱性の種類別に、その脆弱性を補修する補修プログラムを取得することができる。そしてＷｅｂ脆弱性補修装置５０は、上記した補修プログラムを用いて、Ｗｅｂサーバ３０のＷｅｂアプリケーションの脆弱性を補修する。この補修により、Ｗｅｂアプリケーションに脆弱な部分が発見されてから人手で補修を行うまでの間のセキュリティが向上する。

【0037】

Ｗｅｂサーバ３０及びＷｅｂ脆弱性補修装置５０は、グローバルネットワーク１０に接続している。ただしＷｅｂサーバ３０は、ローカルネットワーク（図示せず）を介してグローバルネットワーク１０に接続していてもよい。このローカルネットワークには、Ｗｅｂ脆弱性補修装置５０が属していてもよいし、属していなくてもよい。またＷｅｂサーバ３０及びＷｅｂ脆弱性補修装置５０は、同一のＤＮＳサーバ４０により管理されている。ＤＮＳサーバ４０は、グローバルネットワーク１０に接続可能な環境に配置されている。

【0038】

図７は、Ｗｅｂ脆弱性補修装置５０の機能構成を示すブロック図である。Ｗｅｂ脆弱性補修装置５０は、診断装置１００及び補修装置２００を備えている。診断装置１００の構成は、第１の実施形態と同様である。

【0039】

補修装置２００は、脆弱性情報取得部２１０、補修プログラム取得部２２０、及び補修部２４０を備えている。脆弱性情報取得部２１０は、診断装置１００から脆弱性ＩＤを取得する。補修プログラム取得部２２０は、補修プログラム記憶部２３０に接続する。補修プログラム記憶部２３０は、Ｗｅｂアプリケーションの脆弱性の種類別に、脆弱性ＩＤと、当該脆弱性ＩＤにより示される脆弱性を補修するための補修プログラムと、を互いに対応付けて記憶している。本実施形態では、補修プログラム記憶部２３０は、補修装置２００の一部として構成されている。そして補修プログラム取得部２２０は、脆弱性情報取得部２１０が取得した脆弱性ＩＤに対応する補修プログラムを、補修プログラム取得部２２０から取得する。補修部２４０は、補修プログラム取得部２２０が取得した補修プログラムを用いて、Ｗｅｂアプリケーションの脆弱性を補修する。

【0040】

なお、図７に示したＷｅｂ脆弱性補修装置５０の各構成要素は、ハードウエア単位の構成ではなく、機能単位のブロックを示している。Ｗｅｂ脆弱性補修装置５０の各構成要素は、任意のコンピュータのＣＰＵ、メモリ、メモリにロードされた本図の構成要素を実現するプログラム、そのプログラムを格納するハードディスクなどの記憶ユニット、ネットワーク接続用インタフェースを中心にハードウエアとソフトウエアの任意の組合せによって実現される。そして、その実現方法、装置には様々な変形例がある。

【0041】

なお、補修プログラム記憶部２３０が記憶している補修プログラムは、第１の実施形態における対策情報に示された対策を個々に行うプログラムである。

【0042】

図８は、図７に示したＷｅｂ脆弱性補修装置の動作を示すフローチャートである。まずＷｅｂ脆弱性補修装置５０の診断装置１００は、検査対象となるＷｅｂアプリケーションのＵＲＬを取得する。そして診断装置１００は、取得したＵＲＬが示すＷｅｂアプリケーションに接続し、擬似的な攻撃を加えることにより、そのＷｅｂアプリケーションの脆弱性の種類及び脆弱性の箇所を認識する（ステップＳ１１０）。そして認識した脆弱性の種類に対応する脆弱性ＩＤを、認識した脆弱性の箇所を示す箇所特定情報（例えばＵＲＬとパラメータの組み合わせ）に対応付けて、補修装置２００に出力する（ステップＳ１２０）。

【0043】

補修装置２００の補修プログラム取得部２２０は、脆弱性情報取得部２１０が脆弱性ＩＤ及び箇所特定情報を互いに対応付けて受信すると、受信した脆弱性ＩＤに対応する補修プログラムを補修プログラム記憶部２３０から読み出し、補修部２４０に出力する。これとは別に補修部２４０は、脆弱性情報取得部２１０から箇所特定情報を取得する。そして補修部２４０は、取得した箇所特定情報及び補修プログラムを用いて補修処理を行う。

【0044】

具体的には、補修部２４０は、補修部２４０で補修プログラムが駆動するように設定する（ステップＳ１３０）。また補修部２４０は、ユーザ端末２０が、Ｗｅｂ脆弱性補修装置の補修部２４０を介してＷｅｂサーバ３０のＷｅｂアプリケーションに接続するようにする。例えば補修部２４０は、ＤＮＳサーバ４０が管理しているデータ（ＵＲＬとＩＰアドレスの組み合わせ）を修正することにより、ユーザ端末２０が補修部２４０を介してＷｅｂアプリケーションに接続するようにする（ステップＳ１４０）。なお、ステップＳ１４０に示した処理の代わりに、補修部２４０のＩＰアドレスを、Ｗｅｂサーバ３０のＩＰアドレスとして使われていたＩＰアドレスに書き換え、Ｗｅｂサーバ３０に他のＩＰアドレスを割り当てることにより、ユーザ端末２０が補修部２４０を介してＷｅｂアプリケーションに接続するようにしてもよい。

【0045】

本実施形態によっても、Ｗｅｂアプリケーションに対して人手で補修を加えなくても、Ｗｅｂアプリケーションのセキュリティを向上させることができる。従って、Ｗｅｂアプリケーションに脆弱な部分が発見されてから人手で補修を行うまでの間のセキュリティを向上させることができる。

【0046】

（第３の実施形態）
図９は、第３の実施形態に係るＷｅｂ脆弱性補修装置５０の機能構成を示すブロック図である。本実施形態に係るＷｅｂ脆弱性補修装置５０は、補修プログラム記憶部２３０を備えていない点を除いて、第２の実施形態に係るＷｅｂ脆弱性補修装置５０と同様の構成である。

【0047】

本実施形態において補修プログラム記憶部２３０は、Ｗｅｂ脆弱性補修装置５０の外部のサーバが有している。そして補修プログラム取得部２２０は、外部にある補修プログラム記憶部２３０に接続することにより、補修プログラムを取得する。

【0048】

本実施形態によっても、第２の実施形態と同様の効果を得ることができる。

【0049】

（第４の実施形態）
図１０は、第４の実施形態に係るＷｅｂ脆弱性補修装置５０の機能構成を示すブロック図である。本実施形態に係るＷｅｂ脆弱性補修装置５０は、補修部２４０の機能を除いて第２又は第３の実施形態に係るＷｅｂ脆弱性補修装置５０と同様の構成である。本図に示す例では、第２の実施形態と同様の場合を示している。

【0050】

本実施形態において補修部２４０は、Ｗｅｂアプリケーションを有するＷｅｂサーバ３０に補修プログラムをインストールすることにより、Ｗｅｂアプリケーションの脆弱性を補修する。
本実施形態によっても、第２の実施形態と同様の効果を得ることができる。

【0051】

以上、図面を参照して本発明の実施形態について述べたが、これらは本発明の例示であり、上記以外の様々な構成を採用することもできる。
以下、参考形態の例を付記する。
１． Ｗｅｂアプリケーションの脆弱性の種類別に、脆弱性特定情報と、当該脆弱性特定情報により示される脆弱性を補修する方法を示す対策情報と、を互いに対応付けて記憶する対策情報記憶手段に接続する接続手段と、
対象Ｗｅｂアプリケーションの脆弱性の種類を特定する前記脆弱性特定情報を取得する脆弱性情報取得手段と、
前記接続手段を介して前記対策情報記憶手段に接続し、前記脆弱性情報取得手段が取得した前記脆弱性特定情報に対応する前記対策情報を取得し、取得した前記対策情報を出力する出力手段と、
を備えるＷｅｂ脆弱性補修装置。
２． １．に記載のＷｅｂ脆弱性補修装置において、
前記脆弱性情報取得手段は、前記脆弱性特定情報に対応付けて、前記対象ＷｅｂアプリケーションのＵＲＬと、前記対象Ｗｅｂアプリケーションの脆弱性箇所を特定する情報とを含む箇所特定情報を取得し、
前記出力手段は、前記箇所特定情報を用いて、前記対象Ｗｅｂアプリケーションを有するＷｅｂサーバを特定するＷｅｂ脆弱性補修装置。
３． １．又は２．に記載のＷｅｂ脆弱性補修装置において、
前記脆弱性特定情報は、ＸＳＳ（クロスサイトスクリプティング）に関する脆弱性を示しており、
前記対策情報は、投入したスクリプトが有効となるような記号類の有無やタグ・命令文法に相当する表現の有無をチェックし、該当する場合には通信を遮断する処理を行うことを示しているＷｅｂ脆弱性補修装置。
４． Ｗｅｂアプリケーションを提供するサービス提供手段と、
前記Ｗｅｂアプリケーションの脆弱性を補修するためのプログラムを動作させておき、かつ前記脆弱性を補修する方法を示す対策情報を外部から取得して前記プログラムに読み込ませることにより、前記対象Ｗｅｂアプリケーションの脆弱性を補修する補修手段と、
を備えるＷｅｂサーバ。
５． Ｗｅｂアプリケーションの脆弱性の種類別に、脆弱性特定情報と、当該脆弱性特定情報により示される脆弱性を補修するための補修プログラムと、を互いに対応付けて記憶する補修プログラム記憶手段に接続する接続手段と、
対象Ｗｅｂアプリケーションの脆弱性の種類を特定する前記脆弱性特定情報を取得する脆弱性情報取得手段と、
前記接続手段を介して前記補修プログラム記憶手段に接続し、前記脆弱性情報取得手段が取得した前記脆弱性特定情報に対応する前記補修プログラムを取得し、取得した前記補修プログラムを用いて前記対象Ｗｅｂアプリケーションの脆弱性を補修する補修手段と、
を備えるＷｅｂ脆弱性補修装置。
６． ５．に記載のＷｅｂ脆弱性補修装置において、
前記補修手段は、外部端末に、前記Ｗｅｂ脆弱性補修装置を介して前記Ｗｅｂアプリケーションに接続させ、
前記Ｗｅｂ脆弱性補修装置内で前記補修プログラムを駆動させることにより、前記対象Ｗｅｂアプリケーションの脆弱性を補修するＷｅｂ脆弱性補修装置。
７． ５．に記載のＷｅｂ脆弱性補修装置において、
前記補修手段は、前記対象ＷｅｂアプリケーションのＤＮＳサーバが管理しているデータを修正することにより、外部端末が前記Ｗｅｂ脆弱性補修装置を介して前記対象Ｗｅｂアプリケーションに接続するようにするＷｅｂ脆弱性補修装置。
８． ５．に記載のＷｅｂ脆弱性補修装置において、
前記補修手段は、前記対象Ｗｅｂアプリケーションを有する情報処理装置に前記補修プログラムをインストールすることにより、前記対象Ｗｅｂアプリケーションの脆弱性を補修するＷｅｂ脆弱性補修装置。
９． ５．〜８．のいずれか一つに記載のＷｅｂ脆弱性補修装置において、
前記補修プログラム記憶手段をさらに備えるＷｅｂ脆弱性補修装置。
１０． ５．〜９．のいずれかに記載のＷｅｂ脆弱性補修装置において、
前記脆弱性情報取得手段は、前記脆弱性特定情報に対応付けて、前記対象ＷｅｂアプリケーションのＵＲＬと、前記対象Ｗｅｂアプリケーションの脆弱性箇所を特定する情報とを含む箇所特定情報を取得し、
前記補修手段は、前記箇所特定情報を用いて、前記対象Ｗｅｂアプリケーションの脆弱性を補修するＷｅｂ脆弱性補修装置。
１１． １．又は５．に記載のＷｅｂ脆弱性補修装置において、
前記対象Ｗｅｂアプリケーションを解析することにより、前記対象Ｗｅｂアプリケーションの脆弱性の有無、及び当該脆弱性の種類を判断して前記脆弱性特定情報を生成する診断手段をさらに備えるＷｅｂ脆弱性補修装置。
１２． コンピュータが、Ｗｅｂアプリケーションの脆弱性の種類別に、脆弱性特定情報と、当該脆弱性特定情報により示される脆弱性を補修する方法を示す対策情報と、を互いに対応付けて記憶する対策情報記憶手段に接続し、
前記コンピュータが、対象Ｗｅｂアプリケーションの脆弱性の種類を特定する前記脆弱性特定情報を取得し、
前記コンピュータが、前記接続手段を介して前記対策情報記憶手段に接続し、前記脆弱性情報取得手段が取得した前記脆弱性特定情報に対応する前記対策情報を取得し、取得した前記対策情報を、前記Ｗｅｂアプリケーションを提供するＷｅｂサーバに送信するＷｅｂ脆弱性補修方法。
１３． コンピュータが、Ｗｅｂアプリケーションを提供し、
前記コンピュータが、前記Ｗｅｂアプリケーションの脆弱性を補修するためのプログラムを動作させておき、かつ前記脆弱性を補修する方法を示す対策情報を外部から取得して前記プログラムに読み込ませることにより、前記対象Ｗｅｂアプリケーションの脆弱性を補修するＷｅｂ脆弱性補修方法。
１４． コンピュータが、Ｗｅｂアプリケーションの脆弱性の種類別に、脆弱性特定情報と、当該脆弱性特定情報により示される脆弱性を補修するための補修プログラムと、を互いに対応付けて記憶する補修プログラム記憶手段に接続し、
前記コンピュータが、対象Ｗｅｂアプリケーションの脆弱性の種類を特定する前記脆弱性特定情報を取得し、
前記コンピュータが、取得した前記脆弱性特定情報に対応する前記補修プログラムを前記補修プログラム記憶手段から取得し、取得した前記補修プログラムを用いて前記対象Ｗｅｂアプリケーションの脆弱性を補修するＷｅｂ脆弱性補修方法。
１５． コンピュータをＷｅｂ脆弱性補修装置として機能させるためのプログラムであって、
コンピュータに、
Ｗｅｂアプリケーションの脆弱性の種類別に、脆弱性特定情報と、当該脆弱性特定情報により示される脆弱性を補修する方法を示す対策情報と、を互いに対応付けて記憶する対策情報記憶手段に接続する機能と、
対象Ｗｅｂアプリケーションの脆弱性の種類を特定する前記脆弱性特定情報を取得する機能と、
取得した前記脆弱性特定情報に対応する前記対策情報を前記対策情報記憶手段から取得し、取得した前記対策情報を、前記対象Ｗｅｂアプリケーションを提供するＷｅｂサーバに送信する機能と、
を実現させるプログラム。
１６． Ｗｅｂサーバに、Ｗｅｂアプリケーションの脆弱性を補修する機能を持たせるプログラムであって、
前記Ｗｅｂサーバに常駐しており、前記Ｗｅｂサーバに、前記脆弱性を補修する方法を示す対策情報を外部から取得し、取得した対策情報を用いて前記対象Ｗｅｂアプリケーションの脆弱性を補修する機能を実現させるプログラム。
１７． コンピュータをＷｅｂ脆弱性補修装置として機能させるためのプログラムであって、
コンピュータに、
Ｗｅｂアプリケーションの脆弱性の種類別に、脆弱性特定情報と、当該脆弱性特定情報により示される脆弱性を補修するための補修プログラムと、を互いに対応付けて記憶する補修プログラム記憶手段に接続する機能と、
対象Ｗｅｂアプリケーションの脆弱性の種類を特定する前記脆弱性特定情報を取得する機能と、
取得した前記脆弱性特定情報に対応する前記補修プログラムを前記補修プログラム記憶手段から取得し、取得した前記補修プログラムを用いて前記対象Ｗｅｂアプリケーションの脆弱性を補修する機能と、
を実現させるプログラム。

【符号の説明】

【0052】

１０ グローバルネットワーク
２０ ユーザ端末
３０ Ｗｅｂサーバ
３２ 補修部
４０ ＤＮＳサーバ
５０ Ｗｅｂ脆弱性補修装置
１００ 診断装置
２００ 補修装置
２１０ 脆弱性情報取得部
２２０ 補修プログラム取得部
２３０ 補修プログラム記憶部
２４０ 補修部
３００ 対策情報生成装置
３１０ 脆弱性情報取得部
３２０ 対策情報記憶部
３３０ 補修情報生成部

【図1】

【図2】

【図3】

【図4】

【図5】

【図6】

【図7】

【図8】

【図9】

【図10】