特許 6959624 セキュリティアセスメントシステム

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】特許公報(B2)

(11)【特許番号】6959624

(24)【登録日】2021年10月12日

(45)【発行日】2021年11月2日

(54)【発明の名称】セキュリティアセスメントシステム

(51)【国際特許分類】

   G06F 21/57 20130101AFI20211021BHJP

【ＦＩ】

   G06F21/57 370

【請求項の数】10

【全頁数】16

(21)【出願番号】特願2020-547018(P2020-547018)

(86)(22)【出願日】2018年3月14日

(65)【公表番号】特表2021-515942(P2021-515942A)

(43)【公表日】2021年6月24日

(86)【国際出願番号】JP2018010015

(87)【国際公開番号】WO2019176021

(87)【国際公開日】20190919

【審査請求日】2020年9月4日

(73)【特許権者】

【識別番号】000004237

【氏名又は名称】日本電気株式会社

(73)【特許権者】

【識別番号】518286264

【氏名又は名称】ビー．ジー．ネゲブ テクノロジーズ アンド アプリケーションズ リミテッド， アット ベン‐グリオン ユニバーシティー

(74)【代理人】

【識別番号】100077838

【弁理士】

【氏名又は名称】池田 憲保

(74)【代理人】

【識別番号】100129023

【弁理士】

【氏名又は名称】佐々木 敬

(72)【発明者】

【氏名】井ノ口 真樹

(72)【発明者】

【氏名】太田 和伸

(72)【発明者】

【氏名】ビットン，ロン

(72)【発明者】

【氏名】スタン，オルリー

(72)【発明者】

【氏名】シャブタイ，アサフ

(72)【発明者】

【氏名】エロビッチ，ユヴァル

【審査官】 金木 陽一

(56)【参考文献】

【文献】 米国特許出願公開第２０１４／０３３７０００（ＵＳ，Ａ１）

【文献】 米国特許出願公開第２０１４／０１３７２５７（ＵＳ，Ａ１）

【文献】 米国特許出願公開第２００７／０１２９９２６（ＵＳ，Ａ１）

【文献】 米国特許第７９０４９６２（ＵＳ，Ｂ１）

【文献】 LEMAY, A., et al.，An isolated virtual cluster for SCADA network security research，Proceedings of 1st International Symposium for ICS & SCADA Cyber Security Research 2013 (ICS-CSR 2013) [online]，2013年09月16日，Retrived from the Internet: <URL: https://www.scienceopen.com/hosted-document?doi=10.14236/ewic/ICSCSR2013.10> [Retrieved on 2021-08-31]

【文献】 GREEN, B., et al.，Pains, Gains and PLCs: Ten Lessons from Building an Industrial Control Systems Testbed for Security Research，Proceedings of 10th USENIX Workshop on Cyber Security Experimentation and Test (CSET 17) [online]，2017年08月14日，Retrieved from the Internet: <URL: https://www.usenix.org/conference/cset17/workshop-program/presentation/green> [Retrieved on 2021-08-31]

(58)【調査した分野】（Int.Cl.，ＤＢ名）

Ｇ０６Ｆ ２１／５７

(57)【特許請求の範囲】

【請求項1】

複数の物理的コンポーネントを備えるアセスメント対象システムを複製する複製環境を提供するように構成されたセキュリティアセスメントシステムであって、
前記複製環境を設計するためにユーザによって指定された制約条件に基づいて、前記アセスメント対象システムの前記物理的コンポーネントを再現するための、シミュレーションサブモジュール、エミュレーションサブモジュール、および物理的サブモジュールの何れか１つを示す、複製レベルを選択して、複製環境設計を示す設計結果を出力する複製環境設計回路部と、
前記設計結果に基づいて、前記複製レベルの１つによって複製されたコンポーネントを備える、前記複製環境を構築するように構成された複製環境構築回路部と、
を備えるセキュリティアセスメントシステム。

【請求項2】

前記シミュレーションサブモジュールは、前記物理的コンポーネントの仕様と前記物理的コンポーネントの機能の挙動モデルとの少なくとも１つから成り、
前記エミュレーションサブモジュールは、仮想マシンを使用して前記物理的コンポーネントを再現するソフトウェアから成り、
前記物理的サブモジュールは、前記アセスメント対象システムにおける前記物理的コンポーネントと物理的に類似する少なくも１つの物理的マシンから成る、
請求項１に記載のセキュリティアセスメントシステム。

【請求項3】

前記セキュリティアセスメントシステムは、
複数の仕様を示す複数の文書と複数の挙動モデルとを格納する文書／モデルデータベースと、
複数の仮想マシンを格納する仮想マシンプールと、
複数の物理的マシンを格納する物理的マシンプールと、
を更に備え、
前記複製環境構築回路部は、
前記文書／モデルデータベースから前記シミュレーションサブモジュールに、少なくとも１つの文書および／または少なくも１つの挙動モデルを格納し、
前記仮想マシンプールから前記エミュレーションサブモジュールに、少なくとも１つの仮想マシンを構成および格納し、
前記仮想マシンと前記物理的マシンプール内の前記物理的マシンとの間に少なくとも１つのネットワークを構成する、
ように構成されている、請求項２に記載のセキュリティアセスメントシステム。

【請求項4】

前記セキュリティアセスメントシステムは、
前記複製環境において前記仮想マシンおよび／または前記物理的マシンに対してアクティブにスキャンおよび／またはペンテストをして、アクティブスキャン／ペンテストの結果を出力するように構成された、アクティブスキャン／ペンテスト回路部と、
前記アクティブスキャン／ペンテストの結果に基づいて、前記エミュレーションサブモジュールおよび前記物理的サブモジュールにおける各コンポーネントの脆弱性を抽出して、前記抽出した脆弱性を示すリストを生成するように構成された、脆弱性アセスメント回路部と、
前記アクティブスキャン／ペンテストの結果に基づいて、攻撃グラフを生成するように構成された、攻撃グラフ生成回路部と、
を更に備え、
前記複製環境設計回路部は、前記リストと前記攻撃グラフとの少なくとも一方に基づいて、前記複製レベルを選択するように構成されている、
請求項２又は３に記載のセキュリティアセスメントシステム。

【請求項5】

前記セキュリティアセスメントシステムは、
前記制約条件、前記仕様、前記挙動モデル、前記仮想マシン間、前記仮想マシンと前記物理的マシンとの間、および前記物理的マシン間のチャンネル上の任意の信号を入力するように構成された、入力インターフェースと、
前記入力、前記仕様の内容、および前記仮想マシン間、前記仮想マシンと前記物理的マシンとの間、および前記物理的マシンの間の通信情報に応答して、前記挙動モデルの応答を出力するように構成された、出力インターフェースと、
を更に備える請求項２乃至４のいずれか１つに記載のセキュリティアセスメントシステム。

【請求項6】

複数の物理的コンポーネントを備えるアセスメント対象システムを複製する複製環境を提供するために、情報処理装置によって実行される、方法であって、
前記複製環境を設計するためにユーザによって指定された制約条件に基づいて、前記アセスメント対象システムの前記物理的コンポーネントを再現するための、シミュレーションサブモジュール、エミュレーションサブモジュール、および物理的サブモジュールの何れか１つを示す、複製レベルを選択して、複製環境設計を示す設計結果を出力し、
前記設計結果に基づいて、前記複製レベルの１つによって複製されたコンポーネントを備える、前記複製環境を構築する、
方法。

【請求項7】

前記シミュレーションサブモジュールは、前記物理的コンポーネントの仕様と前記物理的コンポーネントの機能の挙動モデルとの少なくとも１つから成り、
前記エミュレーションサブモジュールは、仮想マシンを使用して前記物理的コンポーネントを再現するソフトウェアから成り、
前記物理的サブモジュールは、前記アセスメント対象システムにおける前記物理的コンポーネントと物理的に類似する少なくも１つの物理的マシンから成る、
請求項６に記載の方法。

【請求項8】

前記方法は、更に、
前記複製環境において前記仮想マシンおよび／または前記物理的マシンに対してアクティブにスキャンおよび／またはペンテストをして、アクティブスキャン／ペンテストの結果を出力し、
前記アクティブスキャン／ペンテストの結果に基づいて、前記エミュレーションサブモジュールおよび前記物理的サブモジュールにおける各コンポーネントの脆弱性を抽出して、前記抽出した脆弱性を示すリストを生成し、
前記アクティブスキャン／ペンテストの結果に基づいて、攻撃グラフを生成し、
前記選択することは、前記リストと前記攻撃グラフとに基づいて、前記複製レベルを選択する、
請求項７に記載の方法。

【請求項9】

コンピュータに、複数の物理的コンポーネントを備えるアセスメント対象システムを複製する複製環境を提供するように実行させるセキュリティアセスメントプログラムであって、前記セキュリティアセスメントプログラムは、前記コンピュータに、
前記複製環境を設計するためにユーザによって指定された制約条件に基づいて、前記アセスメント対象システムの前記物理的コンポーネントを再現するための、シミュレーションサブモジュール、エミュレーションサブモジュール、および物理的サブモジュールの何れか１つを示す、複製レベルを選択して、複製環境設計を示す設計結果を出力する工程と、
前記設計結果に基づいて、前記複製レベルの１つによって複製されたコンポーネントを備える、前記複製環境を構築する工程と、
を実行させるセキュリティアセスメントプログラム。

【請求項10】

前記シミュレーションサブモジュールは、前記物理的コンポーネントの仕様と前記物理的コンポーネントの機能の挙動モデルとの少なくとも１つから成り、
前記エミュレーションサブモジュールは、仮想マシンを使用して前記物理的コンポーネントを再現するソフトウェアから成り、
前記物理的サブモジュールは、前記アセスメント対象システムにおける前記物理的コンポーネントと物理的に類似する少なくも１つの物理的マシンから成る、
請求項９に記載のセキュリティアセスメントプログラム。

【発明の詳細な説明】

【技術分野】

【0001】

本発明は、セキュリティアセスメントシステムに関し、特に、ＯＴ（オペレーション・テクノロジー）システムセキュリティ用の要求のような攻撃パスを検出するために必要な、セキュリティアセスメントシステムに関する。

【背景技術】

【0002】

ＯＴは、バルブやポンプなどの物理的な装置の直接監視および／または制御によって物理的な工程の変化を検出したり引き起こしたりするための専用のハードウェアとソフトウェアである。ＯＴは、発電所の制御システムや鉄道システムの制御ネットワークのような、システムの物理的な状態を監視または改造するためのコンピュータの使用法である。

【0003】

セキュリティアセスメント用の関連技術において、実際のシステムに対するアクティブスキャン、ペンテストに基づくアセスメントや、実ハードウェアを使用することによって完全に複製されたシステム上のアセスメントがある。

【0004】

この技術において知られているように、デジタルツインとは、種々の目的のために使用され得る、物理的な資産、プロセス、およびシステムのデジタルレプリカを指す。デジタル表現は、要素と、モノのインターネット装置がどのように動作し、そのライフサイクルにおいてどのように生きているかの動力学と、の両方を提供する。

【0005】

デジタルツインは、人工知能、機械学習、およびデータでのソフトウェア解析を統合して、それらの物理的なよく似たものの変化として更新および変化する、生き写しのデジタルシミュレーションモデルを作成する。デジタルツインは、連続的に多数の源からそれ自身を学習、更新して、そのよく似た実時間の状態、仕事状況および位置を表す。

【0006】

本発明に関連する種々の技術が知られている。

【0007】

特許文献１は、セキュリティ支援・評価装置を開示している。特許文献１において、セキュリティ支援・評価装置を構築するためのセキュリティ評価・構築支援プログラムは、外部記憶装置に格納されている。ＣＰＵが、メモリにロードされたプログラムを実行することにより、施策リスト生成部、セキュリティ評価部、および入出力制御部を、プロセスとして実現する。施策リスト生成部は、操作者が指定した対象システムの構成機器各々に施すべきセキュリティ施策のリストを作成する。セキュリティ評価部は、操作者から受け付けた対象システムの構成機器各々に施すべきセキュリティ施策の実施の有無の情報に基づいて、当該対象システムのセキュリティ状態を評価する。入出力制御部は、入力装置や表示装置を制御して操作者から各種指示を受け付けたり、施策リスト生成部やセキュリティ評価部からの出力を表示する。

【0008】

特許文献２は、予測モデルの予測精度を向上させる予測システムを開示している。特許文献２に開示された予測システムは、センサと、ユーザ端末と、情報提供サーバとを備える。情報提供サーバは、取得部と、情報格納部と、モデル格納部と、モデル決定部と、予測部と備える。モデル決定部は、取得部によって取得された因子の種類に基づいて、現在の予測に用いられるモデルを決定する。モデル決定部は、モデル格納部に格納された各モデルの制約条件と、取得部により取得された情報とを比較して、取得部により取得された情報を用いて利用できる１以上のモデルを抽出してもよい。モデル決定部は、予測精度及び計算時間の少なくとも一方が最も優れているモデルを、予測部において利用されるモデルとして決定する。

【0009】

特許文献３は、利用者の利便性の向上を実現させるシンクライアントシステムを開示している。特許文献３に開示されたシンクライアントシステムは、サーバと、クライアントとを有し、それらはネットワークを介して互いに接続されている。サーバは、ポインタの入力情報が所定条件を満たすか否かを判定する。入力情報が所定条件を満たしている場合、サーバは、クライアントの複製した仮想マシンを作成する。

【0010】

特許文献４は、ＩＣエミュレータを使用して処理能力の向上を図ることにより、そのシミュレーションの範囲を拡大し、ハードウェアの開発に並行してオペレーティング・システムやアプリケーション・プログラムの開発を行うことができるデジタル回路設計支援システムを開示している。特許文献４に開示されたデジタル回路設計支援システムは、また、回路素子が搭載された実際のプリント板をモデリングに加えて、ハードウェアの動作開発、検証、ソフトウェアの開発、デバッグ等を行うことができる。シミュレーション対象となるデジタルシステムにおいて、種々のモデリング手法を用いてシミュレーション／エミュレーションを行うことによってシステム開発を進めることができる。言語で表現された機能モデル、言語で表現された構造モデル、エミュレーション・モデル、あるいは実際のＰＣＢ（プリント回路基板）、実チップ等を開発段階、開発対象等に応じて自在に切り換え、シミュレータあるいはハードウェアで構成されたエミュレータを用いてシミュレーション／エミュレーションを行うことができる。

【先行技術文献】

【特許文献】

【0011】

【特許文献1】特開２００１−１０１１３５号公報（ＵＳ６，９７１，０２６）

【特許文献2】特開２０１６−１４６０３９号公報

【特許文献3】特開２０１３−１７１５４５号公報

【特許文献4】特開平０９−１９３０７７号公報

【発明の概要】

【発明が解決しようとする課題】

【0012】

上述した関連技術には問題がある。

【0013】

アクティブスキャンに基づくアセスメントは、ＯＴシステムに対して適していない。何故なら、それは、システム上に影響を与える可能性があるからである。

【0014】

実際のシステムでのペンテストも、ＯＴシステムに対して適していない。何故なら、それもまた、システム上に影響を与える可能があるからである。

【0015】

実ハードウェアを使用して完全に複製したシステム上のアセスメントは、高価すぎる。何故なら、実際のシステムにおいて使用される実ハードウェアが複製されるからである。

【0016】

要約すると、上記関連技術は、低価格で、ＯＴシステムに影響を与えない、正確なアセスメントを達成ことができない。実際のＯＴシステム上のアクティブスキャンは、禁止される。他方、パッシブスキャン結果は、攻撃パスを正確に決定するには十分でない。加えて、あるコンポーネントは、モデル化され得ない。

【0017】

本発明に関連する上述した種々の技術にも問題がある。

【0018】

特許文献１は、単に、操作者に高度な専門的知識がなくとも、操作者が、システムのセキュリティ状態を評価したり、システムのセキュリティ施策の作成を支援することを可能にする、セキュリティ支援・評価システムを開示しているに過ぎない。特許文献１は、デジタルツインを開示も示唆もしていない。

【0019】

特許文献２は、単に、予測モデルにおける予測精度を向上させる予測システムを開示しているに過ぎない。特許文献２でも、デジタルツインを開示も示唆もしていない。

【0020】

特許文献３は、単に、利用者の利便性を向上せることができるシンクライアントシステムを開示しているに過ぎない。特許文献３において、クライアントの複製した仮想マシンは、単に、利用者の利便性を向上させるために作成される。特許文献３は、決して、正確なアセスメントを達成することを目的としていない。

【0021】

特許文献４は、単に、ＩＣエミュレータを使用して処理能力の向上を図ることにより、そのシミュレーションの範囲を拡大し、ハードウェアの開発に並行してオペレーティング・システムやアプリケーション・プログラムの開発を行うことができるデジタル回路設計支援システムを開示しているに過ぎない。特許文献４は、どのようにしてシミュレータやエミュレータを構成するのかを、開示も示唆もしていない。換言すれば、特許文献４において、シミュレータおよびエミュレータとして、現存するものが使用される。

【0022】

要約すると、本願発明に関連する上述した種々の技術もまた、低価格で、ＯＴシステムに影響を与えない、正確なアセスメントを達成することができない。

【課題を解決するための手段】

【0023】

本発明の一様態として、セキュリティアセスメントシステムは、複数の物理的コンポーネントを備えるアセスメント対象システムを複製する複製環境を提供するように構成される。セキュリティアセスメントシステムは、前記複製環境を設計するためにユーザによって指定された制約条件に基づいて、前記アセスメント対象システムの前記物理的コンポーネントを再現するための、シミュレーションサブモジュール、エミュレーションサブモジュール、および物理的サブモジュールの何れか１つを示す、複製レベルを選択して、複製環境設計を示す設計結果を出力する複製環境設計回路部と、前記設計結果に基づいて、前記複製レベルの１つによって複製されたコンポーネントを備える、前記複製環境を構築するように構成された複製環境構築回路部と、を備える。

【発明の効果】

【0024】

本発明の典型的な効果は、ゼロリスクセキュリティアセスメント用の低価格な複製環境を提供できる。

【図面の簡単な説明】

【0025】

【図1】本発明の第１の実施形態に係るセキュリティアセスメントシステムの構成例を示すブロック図である。

【図2】図１に図示されたセキュリティアセスメントシステムに使用される、複製環境設計モジュールの動作を示すフロー図である。

【図3】図１に図示されたセキュリティアセスメントシステムに使用される、複製環境構築モジュールの動作を示すブロック図である。

【図4】図１に図示されたセキュリティアセスメントシステムに使用される、複製環境の動作を示すブロック図である。

【図5】本発明の第２の実施形態に係るセキュリティアセスメントシステムの構成例を示すブロック図である。

【図6】図５に図示されたセキュリティアセスメントシステムに使用される、複製環境構成モジュールと、文書／モデルＤＢ、仮想マシンプール、および物理的マシンプールとの間の関係を示すブロック図である。

【図7】本発明の第３の実施形態に係るセキュリティアセスメントシステムの構成例を示すブロック図である。

【図8】図７に図示されたセキュリティアセスメントシステムの全体的な動作を示すフロー図である。

【発明を実施するための形態】

【0026】

［第１の実施形態］
次に、本発明の第１の実施形態について説明する。

【0027】

図１は、本発明の第１の実施形態に係るセキュリティアセスメンシステム１０の構成例を示すブロック図である。セキュリティアセスメントシステム１０は、複数の物理的コンポーネントを備えるアセスメント対象システム（図示せず）を複製する、複製環境２００を提供するように構成される。複製環境２００は、上述したデジタルツインとして働く。セキュリティアセスメントシステム１０は、処理ユニット１００と、ユーザインターフェース（ＵＩ）４００とを備える。処理ユニット１００は、複製環境設計モジュール１１０と、複製環境構築モジュール１２０とを備える。ユーザインターフェース４００は、入力インターフェース４１０と、出力インターフェース４２０とを備える。

【0028】

図示の例において、複製環境２００は、シミュレーションサブモジュール２１０と、エミュレーションサブモジュール２２０と、物理的サブモジュール２３０とから成る。シミュレーションサブモジュール２１０は、物理的コンポーネントの仕様３０２または物理的コンポーネントの機能の挙動モデル３０４である。入力インターフェース４１０は、仕様３０２および／または挙動モデル３０４を、処理ユニット１００へ供給する。エミュレーションサブモジュール２２０は、ＶＭ（仮想マシン）を使用して物理的コンポーネントを再現するソフトウェアから成る。物理的サブモジュール２３０は、アセスメント対象システムにおける物理的コンポートと物理的に類似する、物理的マシンから成る。

【0029】

詳述すると、シミュレーションサブモジュール２１０において、物理的コンポーネントの仕様３０２は、ハードウェア／ソフトウェアと物理的コンポーネントが持つ版とのリストから成る。物理的コンポーネントの仕様３０２は、典型的には、例えば、ベンダによって提供される仕様や、情報がＣＰＥ（Common Product Enumeration）に従って統合された仕様であってよい。物理的コンポーネントの仕様３０２は、脆弱性スキャナによって発見された脆弱性情報を持ってもよい。シミュレーションサブモジュール２１０は、ソフトウェアおよびハードウェアの各々の詳細仕様を階層的に持ってもよい。

【0030】

シミュレーションサブモジュール２１０において、挙動モデル３０４は、挙動が決定される通信プロトコル等に関係し、挙動を記述するモジュールや挙動に関連づけられたドキュメントから成る。特に、挙動モデル３０４は、ＲＦＣ（Request for Comments）のような物理的コンポーネントの挙動を定める挙動文書や、上記挙動文書に基づいて記述された入力に対する応答をまとめることによって得られた文書であってよい。挙動モデル３０４は、挙動の数学的なモデルであってもよい。例えば、通信プロトコルは、状態遷移図やペトリネットによって記述することができる。挙動モデル３０４は、入力に対する応答のみを再現するソフトウェアであってもよい。しかしながら、物理的コンポーネントにおける内部状態の挙動を再現するソフトウェアは、次に述べるようなエミュレーションサブモジュール２２０によって扱われる。

【0031】

エミュレーションサブモジュール２２０において、物理的コンポーネントは、ＶＭによって再現される。すなわち、エミュレーションサブモジュール２２０は、物理的コンポーネント内の内部状態の挙動を再現するソフトウェアから成る。エミュレーションサブモジュール２２０は、アセスメント対象システムと同一のソフトウェアを利用する。

【0032】

上述したように、物理的サブモジュール２３０は、アセスメント対象システム内の物理的コンポーネントと物理的に類似する、物理的マシンから成る。すなわち、物理的サブモジュール２３０において、アセスメント対象システム内の同じハードウェアが使用され、アセスメント対象システム内の同じソフトウェアが、その同じ構成で初期的に稼働する。

【0033】

図１に示されるように、複製環境設計モジュール１１０には、ユーザによって指定された拘束条件３１０と、システム情報３２０とが供給される。入力インターフェース４１０は、複製環境設計モジュール１１０に、拘束条件３１０とシステム情報３２０とを供給する。拘束条件３１０は予算のような要件であってよい。複製環境設計モジュール１１０は、拘束条件３１０とシステム情報３２０とに従って、その物理的コンポートをシミュレーションサブモジュール２１０、エミュレーションサブモジュール２２０、または物理的サブモジュール２３０によって診断すべきかを判断し、複製環境設計を示す設計結果３３０を生成する。出力インターフェース４２０は設計結果３３０を出力する。複製環境構築モジュール１２０は、後述するように、設計結果３３０に基づいて複製環境２００を構築する。複製環境２００は、他のソフトウェアやユーザ（セキュリティ専門家、ペンテスタ）のための複製環境を提供する。

【0034】

図２を参照して、複製環境設計モジュール１１０の動作について説明する。複製環境設計モジュール１１０は、少なくともユーザによって指定された拘束条件３１０に基づいて、アセスメント対象システムにおける各物理的コンポーネント用の複製レベルを決定する。上述したように、拘束条件３１０は、例えば、予算の要件であってよい。複製レベルは、シミュレーションサブモジュール２１０、エミュレーションサブモジュール２２０、および物理的サブモジュール２３０の１つを示す。アセスメント対象システムにおける各物理的コンポーネントに、予め、エミュレートされるべきコストが規定されているか、または物理的装置を作成しているとする。

【0035】

複製環境設計モジュール１１０は、次のように、アセスメント対象システムにおける各物理的コンポーネント用の複製レベルを決定する。

【0036】

最初に、複製環境設計モジュール１１０は、予算の最も安いコストの順番に、物理的サブモジュール２３０として物理的コンポーネントを決定する（ステップＳ２０１）。

【0037】

同様に、複製環境設計モジュール１１０は、予算の安い方のコストの順番に、エミュレーションサブモジュール２２０として物理的コンポーネントを決定する（ステップＳ２０２）。

【0038】

最後に、複製環境設計モジュール１１０は、他の物理的コンポーネントを、シミュレーションサブモジュール２１０として決定する（ステップＳ２０３）。

【0039】

次に図３を参照して、複製環境構築モジュール１２０の動作について説明する。複製環境構築モジュール１２０は、ユーザに設計結果３３０を示すための外部インターフェース１２２を持ち、ユーザによって提供された、仕様３０２および／または挙動モデル３０４を格納する。

【0040】

複製環境構築モジュール１２０は、エミュレーション／物理的インターフェース（ＩＦ）２４０を介してエミュレーションサブモジュール（仮想マシン）２２０と物理的サブモジュール（物理的マシン）２３０との間の接続を構成する、複製環境構成サブモジュール１２４を備える。

【0041】

次に図４を参照して、複製環境２００の動作について説明する。上述したように、複製環境２００は、シミュレーションサブモジュール２１０と、エミュレーションサブモジュール２２０と、物理的サブモジュール２３０とから成る。

【0042】

ユーザインターフェース４００は、アクティブスキャンまたはペネトレーションテストを含むセキュリティ診断を実行することができる。入力インターフェース４１０は、複製環境２００におけるＶＭまたはＨＷの１つ以上のインターフェース用の任意の入力を実行する。詳述すると、入力インターフェース４１０は、ＶＭ間、ＶＭと物理的マシンとの間、および物理的マシン間のチャンネル（仮想チャンネルを含む）上に任意の信号を入力してよい。エミュレーションサブモジュール２２０内の仮想マシンＶＭ１およびＶＭ２と物理的サブモジュール２３０内の物理的マシンとは、互いに、仮想的／物理的に、接続されている。複製環境２００は、エミュレーションサブモジュール２２０と物理的サブモジュール２３０と間のエミュレーション／物理的インターフェース２４０を備える。

【0043】

出力インターフェース４２０は、入力に応答して、ＶＭまたはＨＷにおける応答およびステージ変化を出力してよい。出力インターフェース４２０は仕様３０２の内容を出力してよい。出力インターフェース４２０は、ＶＭ間、ＶＭと物理的マシンとの間、および物理的マシン間の通信情報（例えば、パケット捕捉）を出力してよい。複製環境２００は、各サブモジュール２１０、２２０、２３０へのアクセスを提供する、外部インターフェース（ＩＦ）２５０を更に備える。外部インターフェース２５０を介して、ユーザは、エミュレーションサブモジュール２２０内の任意の仮想マシンＶＭ１、ＶＭ２および物理的サブモジュール２３０内の物理的マシンをアクセスすることができ、仮想マシンＶＭ１、ＶＭ２と物理的サブモジュール２３０内の物理的マシンとの間で通信することができる。したがって、ユーザは、各マシンまたは通信の挙動を観察し、悪意のあるファイルを入力し、悪意のあるパケットを送信する、等をする。セキュリティアセスメントシステム１０は、入力インターフェース４１０と出力インターフェース４２０とを結合することによってチャンネル上にパケットを変えるように構成されてよい。例えば、セキュリティアセスメントシステム１０は、出力インターフェース４２０から得られたパケットを編集して、編集したパケットを入力インターフェース４１０へ供給してもよい。

【0044】

本第１の実施形態によれば、ゼロリスクセキュリティアセスメント用の低価格複製環境２００を提供することができる。

【0045】

セキュリティアセスメントシステム１０内の処理ユニット１００の各部は、ハードウェアとソフトウェアとの組み合わせを用いて実現すればよい。ハードウェアとソフトウェアとを組み合わせた形態では、ＲＡＭ（random access memory）にセキュリティアセスメントプログラムが展開され、該セキュリティアセスメントプログラムに基づいて制御部（ＣＰＵ（central processing unit））等のハードウェアを動作させることによって、各部を各種手段として実現する。セキュリティアセスメントプログラムは、記録媒体に記録されて頒布されても良い。当該記録媒体に記録されたセキュリティアセスメントプログラムは、有線、無線、又は記録媒体そのものを介して、メモリに読込まれ、制御部等を動作させる。尚、記録媒体を例示すれば、オプティカルディスクや磁気ディスク、半導体メモリ装置、ハードディスクなどが挙げられる。

【0046】

上記第１の実施形態を別の表現で説明すれば、セキュリティアセスメントシステム１０内の処理ユニット１００を、ＲＡＭに展開されたセキュリティアセスメントプログラムに基づき、複製環境設計モジュール１１０および複製環境構築モジュール１２０として動作するコンピュータとして実現することが可能である。

【0047】

［第２の実施形態］
次に、本発明の第２の実施形態について説明する。

【0048】

図５は、本発明の第２の実施形態に係るセキュリティアセスメントシステム１０Ａの構成例を示すブロック図である。セキュリティアセスメントシステム１０Ａは、上記大１の実施形態における処理ユニット１００およびユーザインターフェース４００に加えて、更に記憶装置５００を備える。記憶装置５００は、文書／モデルデータベース（ＤＢ）５１０と、仮想マシンプール５２０と、物理的マシンプール５３０とを備える。

【0049】

文書／モデルＤＢ５１０は、仕様を示す文書と、複数の挙動モデルとを格納する。仮想マシンプール５２０は、複数の仮想マシンを格納する。物理的マシンプール５３０は、複数の物理的マシンを格納する。

【0050】

図６は、複製環境構築モジュール１２０と、文書／モデルＤＢ５１０、仮想マシンプール５２０、および物理的マシンプール５３０との間の関係を示すブロック図である。

【0051】

複製環境構築モジュール１２０は、設計結果３３０とシステム情報３２０とに基づいて、複製環境２００を設定する。複製環境構築モジュール１２０は、文書／モデルＤＢ５１０からシミュレーションサブモジュール２１０に少なくとも１つの文書および／または少なくとも１つの挙動モデルを格納する。複製環境構築モジュール１２０は、仮想マシンプール５２０からエミュレーションサブモジュール２２０に少なくとも１つの仮想マシンを構成し格納する。複製環境構築モジュール１２０は、仮想マシンと物理的マシンプール５３０内の物理的マシンとの間の仮想ネットワーク（ＮＷ）５３２を構成する。

【0052】

本第２の実施形態によれば、複製環境２００の構築／構成を規定することができる。

【0053】

セキュリティアセスメントシステム１０Ａ内の処理ユニット１００の各部は、ハードウェアとソフトウェアとの組み合わせを用いて実現すればよい。ハードウェアとソフトウェアとを組み合わせた形態では、ＲＡＭ（random access memory）にセキュリティアセスメントプログラムが展開され、該セキュリティアセスメントプログラムに基づいて制御部（ＣＰＵ（central processing unit））等のハードウェアを動作させることによって、各部を各種手段として実現する。セキュリティアセスメントプログラムは、記録媒体に記録されて頒布されても良い。当該記録媒体に記録されたセキュリティアセスメントプログラムは、有線、無線、又は記録媒体そのものを介して、メモリに読込まれ、制御部等を動作させる。尚、記録媒体を例示すれば、オプティカルディスクや磁気ディスク、半導体メモリ装置、ハードディスクなどが挙げられる。

【0054】

上記第２の実施形態を別の表現で説明すれば、セキュリティアセスメントシステム１０Ａ内の処理ユニット１００を、ＲＡＭに展開されたセキュリティアセスメントプログラムに基づき、複製環境設計モジュール１１０および複製環境構築モジュール１２０として動作するコンピュータとして実現することが可能である。

【0055】

［第３の実施形態］
次に、本発明の第３の実施形態について説明する。

【0056】

図７は、本発明の第３の実施形態に係るセキュリティアセスメントシステム１０Ｂの構成例を示すブロック図である。セキュリティアセスメントシステム１０Ｂは、処理ユニットが説明を進めるように記載されるように変形されている点を除いて、上記第１の実施形態におけるセキュリティアセスメントシステム１０と同様の構成を有し動作をする。従って、処理ユニットを１００Ｂで示す。処理ユニット１０Ｂは、上記第１の実施形態における複製環境設計モジュール１１０および複製環境構築モジュール１２０に加えて、脆弱性アセスメントモジュール１７０、攻撃グラフ生成モジュール１８０、およびアクティブスキャン／ペンテストモジュール１９０を更に備える。

【0057】

アクティブスキャン／ペンテストモジュール１９０は、複製環境２００におけるエミュレーションサブモジュール２２０の仮想マシンおよび／または物理的サブモジュール２３０の物理的マシンに対して、アクティブにスキャンおよび／またはペンテストをして、アクティブスキャン／ペンテストの結果を出力する。脆弱性アセスメントモジュール１７０は、アクティブスキャン／ペンテストの結果に基づいて、複製環境２００における各コンポーネントの脆弱性を抽出して、抽出した脆弱性を示すリストを生成する。攻撃グラフ生成モジュール１８０は、アクティブスキャン／ペンテストの結果に基づいて、攻撃に利用される複製環境２００におけるコンポーネントが判別識別な攻撃グラフを生成する。複製環境設計モジュール１１０は、リストと攻撃グラフとに基づいて複製レベルを選択する。セキュリティアセスメントシステム１０Ｂは、上記プロセスを繰り返し実行し、セキュリティアセスメント結果を詳細化する。

【0058】

次に、脆弱性アセスメントモジュール１７０、攻撃グラフ生成モジュール１８０、およびアクティブスキャン／ペンテストモジュール１９０の動作について詳細に説明する。

【0059】

脆弱性アセスメントモジュール１７０は、複製環境２００における各コンポーネントについてどのような脆弱性があるかを調べる。典型的には、そのような調査は、既存の脆弱性情報データベースの情報とパッシブスキャンで取得したシステム情報とを照らし合わせることで実現できる。情報が不正確な場合、脆弱性アセスメントモジュール１７０は、本来は存在する脆弱性を見逃したり、存在しない脆弱性を大量に検出することがある。

【0060】

攻撃グラフ生成モジュール１８０は、攻撃者の攻撃手順をグラフ化した、攻撃グラフを生成する。典型的には、攻撃グラフは、ノードとして、システム状態を示すシステム状態ノードと、攻撃者状態を示す攻撃者状態ノードとを備える。攻撃グラフは、攻撃行動をとるために必要な条件となるシステム状態ノードから、対応する攻撃者状態ノードに、有向辺を備える。また、攻撃グラフは、攻撃者行動状態から、その攻撃者行動によって生み出される状態に、有向辺を備える。攻撃グラフは、どのホストが何通りの攻撃に利用されているかを示す情報や、攻撃にどの脆弱性が利用されるかを示す情報を提示する。

【0061】

アクティブスキャン／ペンテストモジュール１９０は、他のソフトウェアや他のユーザのために、複製環境２００上のエミュレーションサブモジュール２２０および物理的サブモジュール２３０に再現されたコンポーネントに対し、アクティブスキャンやペネトレーションテストを行える、インターフェースを備える。また、アクティブスキャン／ペンテストモジュール１９０は、アクティブスキャンおよびペネトレーションテストの結果を入力させ、その結果を、脆弱性アセスメントモジュール１７０や攻撃グラフ生成モジュール１８０に通知するように構成された、インターフェースを備える。アクティブスキャン／ペンテストモジュール１９０に、アクティブスキャン機能とペネトレーションテスト機能とを持たせて、自動的にアクティブスキャンとペネトレーションテストとを実行させてもよい。例えば、アクティブスキャン／ペンテストモジュール１９０は、既存のアクティブスキャンツールおよび／または既存のペネトレーションテストツールを備えて、予め決められたアクティブスキャンおよび／または予め決められたペネトレーションテストを実行してもよい。既存のアクティブスキャンツールは、例えば、「Open VAS」であってよく、既存のペネトレーションテストツールは、例えば、「metasploit」であってよい。アクティブスキャン／ペンテストモジュール１９０は、公開されている脆弱性攻撃コードを収集して、アセスメント対象コンポーネントに対応する脆弱性攻撃コードを利用してペネトレーションテストを行うようにしてもよい。

【0062】

図８を参照して、セキュリティアセスメントシステム１０Ｂの全体の動作について詳細に説明する。

【0063】

処理ユニット１００Ｂには、入力インターフェース４１０から拘束条件３１０として、ユーザによって予算ｘと繰り返し回数ｎとが供給される（ステップＳ３０１）。

【0064】

引き続いて、複製環境設計モジュール１１０は、予算ｘを繰り返し回数ｎで割って、その割った値（ｘ／ｎ）を当該設計における予算とみなし、上記第１の実施形態と同様に複製環境を設計する（ステップＳ３０２）。上記第１の実施形態とは異なり、複製環境設計モジュール１１０は、脆弱性アセスメントモジュール１７０の結果（上記リスト）と、攻撃グラフ生成モジュール１８０の結果（攻撃グラフ）とを使うことができる。

【0065】

次に、複製環境構築モジュール１２０は、上記第１の実施形態と同様に複製環境２００を構築し、ステップＳ３０１でのユーザとは異なってもよい、ユーザに複製環境２００を提供する（ステップＳ３０３）。

【0066】

ユーザは、アクティブスキャン／ペンテストモジュール１９０を使用して、複製環境２００に対してアクティブスキャンおよび／またはペネトレーションテストを行うことができる（ステップＳ３０４）。

【0067】

処理ユニット１００Ｂは、予算が残っているか否かを判断する（ステップＳ３０５）。もし予算が残っていれば（ステップＳ３０５のＹＥＳ）、処理をステップＳ３０２に戻す。もし予算が残っていなければ（ステップＳ３０５のＮＯ）、処理を終了する。

【0068】

第３の実施形態によれば、アクティブスキャン／ペンテスト、脆弱性アセスメント、および攻撃グラフ生成を繰り返し行うことで、アセスメント結果を向上させることができる。

【0069】

セキュリティアセスメントシステム１０Ｂ内の処理ユニット１００Ｂの各部は、ハードウェアとソフトウェアとの組み合わせを用いて実現すればよい。ハードウェアとソフトウェアとを組み合わせた形態では、ＲＡＭ（random access memory）にセキュリティアセスメントプログラムが展開され、該セキュリティアセスメントプログラムに基づいて制御部（ＣＰＵ（central processing unit））等のハードウェアを動作させることによって、各部を各種手段として実現する。セキュリティアセスメントプログラムは、記録媒体に記録されて頒布されても良い。当該記録媒体に記録されたセキュリティアセスメントプログラムは、有線、無線、又は記録媒体そのものを介して、メモリに読込まれ、制御部等を動作させる。尚、記録媒体を例示すれば、オプティカルディスクや磁気ディスク、半導体メモリ装置、ハードディスクなどが挙げられる。

【0070】

上記第３の実施形態を別の表現で説明すれば、セキュリティアセスメントシステム１０Ｂ内の処理ユニット１００Ｂを、ＲＡＭに展開されたセキュリティアセスメントプログラムに基づき、複製環境設計モジュール１１０、複製環境構築モジュール１２０、脆弱性アセスメントモジュール１７０、攻撃グラフ生成モジュール１８０、およびアクティブスキャン／ペンテストモジュール１９０として動作するコンピュータとして実現することが可能である。

【0071】

実施形態を参照して本発明を説明したが、本発明はその実施形態に限定されるものではない。本発明の構成や詳細には、本発明のスコープ内で当業者が理解し得る様々な変更をすることができる。

【0072】

例えば、複製環境２００におけるシミュレーションサブモジュール２１０、エミュレーションサブモジュール２２０、および物理的サブモジュール２３０は、典型的には、各ホスト（物理的装置）において決定されているが、本発明はこれに限定されない。ホストについて、シミュレーションサブモジュール２１０、エミュレーションサブモジュール２２０、および物理的サブモジュール２３０は、ホスト内のコンポーネントの各々が決定される。例えば、特定のソフトウェアのみがエミュレートされてもよい。この代わりに、ＮＩＣ（Network Interface Card）のみが物理的サブモジュール２３０として構成されてよく、他が、他のハードウェア（ＨＷ）上の仮想マシン（ＶＭ）を動作することで実現されてよい。

【符号の説明】

【0073】

１０，１０Ａ，１０Ｂ セキュリティアセスメントシステム
１００，１００Ｂ 処理ユニット
１１０ 複製環境設計モジュール
１２０ 複製環境構築モジュール
１２２ 外部ＩＦ
１２４ 複製環境構成サブモジュール
１７０ 脆弱性アセスメントモジュール
１８０ 攻撃グラフ生成モジュール
１９０ アクティブスキャン／ペンテストモジュール
２００ 複製環境
２１０ シミュレーションサブモジュール
２２０ エミュレーションサブモジュール（仮想マシン）
２３０ 物理的サブモジュール（物理的マシン）
２４０ エミュレーション／物理的ＩＦ
２５０ 外部ＩＦ
３１０ 拘束条件
３２０ システム情報
３３０ 設計結果
４００ ユーザインターフェース
４１０ 入力インターフェース
４２０ 出力インターフェース
５００ 記憶装置
５１０ 文書／モデルＤＢ
５２０ 仮想マシンプール
５３０ 物理的マシンプール
５３２ 仮想ＮＷ

【図1】

【図2】

【図3】

【図4】

【図5】

【図6】

【図7】

【図8】