特許 6985765 セキュリティアセスメントシステム

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】特許公報(B2)

(11)【特許番号】6985765

(24)【登録日】2021年11月30日

(45)【発行日】2021年12月22日

(54)【発明の名称】セキュリティアセスメントシステム

(51)【国際特許分類】

   G06F 21/57 20130101AFI20211213BHJP

【ＦＩ】

   G06F21/57 370

【請求項の数】10

【全頁数】17

(21)【出願番号】特願2020-547022(P2020-547022)

(86)(22)【出願日】2018年3月14日

(65)【公表番号】特表2021-515943(P2021-515943A)

(43)【公表日】2021年6月24日

(86)【国際出願番号】JP2018010017

(87)【国際公開番号】WO2019176022

(87)【国際公開日】20190919

【審査請求日】2020年9月4日

(73)【特許権者】

【識別番号】000004237

【氏名又は名称】日本電気株式会社

(73)【特許権者】

【識別番号】518286264

【氏名又は名称】ビー．ジー．ネゲブ テクノロジーズ アンド アプリケーションズ リミテッド， アット ベン‐グリオン ユニバーシティー

(74)【代理人】

【識別番号】100077838

【弁理士】

【氏名又は名称】池田 憲保

(74)【代理人】

【識別番号】100129023

【弁理士】

【氏名又は名称】佐々木 敬

(72)【発明者】

【氏名】井ノ口 真樹

(72)【発明者】

【氏名】太田 和伸

(72)【発明者】

【氏名】ビットン，ロン

(72)【発明者】

【氏名】スタン，オルリー

(72)【発明者】

【氏名】グラック，トマー

(72)【発明者】

【氏名】シャブタイ，アサフ

(72)【発明者】

【氏名】エロビッチ，ユヴァル

【審査官】 金木 陽一

(56)【参考文献】

【文献】 米国特許出願公開第２０１４／０３３７０００（ＵＳ，Ａ１）

【文献】 米国特許出願公開第２０１４／０１３７２５７（ＵＳ，Ａ１）

【文献】 米国特許出願公開第２００７／０１２９９２６（ＵＳ，Ａ１）

【文献】 米国特許第０７９０４９６２（ＵＳ，Ｂ１）

【文献】 LEMAY, A., et al.，An isolated virtual cluster for SCADA network security research，Proceedings of 1st International Symposium for ICS & SCADA Cyber Security Research 2013 (ICS-CSR 2013) [online]，2013年09月16日，Retrived from the Internet: <URL: https://www.scienceopen.com/hosted-document?doi=10.14236/ewic/ICSCSR2013.10> [Retrieved on 2021-08-31]

【文献】 GREEN, B., et al.，Pains, Gains and PLCs: Ten Lessons from Building an Industrial Control Systems Testbed for Security Research，Proceedings of 10th USENIX Workshop on Cyber Security Experimentation and Test (CSET 17) [online]，2017年08月14日，Retrieved from the Internet: <URL: https://www.usenix.org/conference/cset17/workshop-program/presentation/green> [Retrieved on 2021-08-31]

(58)【調査した分野】（Int.Cl.，ＤＢ名）

Ｇ０６Ｆ ２１／５７

(57)【特許請求の範囲】

【請求項1】

複数の物理的コンポーネントを備えるアセスメント対象システムを複製する複製環境を提供するように構成されたセキュリティアセスメントシステムであって、
前記複製環境を設計するためにユーザによって指定された制約条件と前記物理的コンポーネントに関連付けられた効果とに基づいて、前記アセスメント対象システムの前記物理的コンポーネントを再現するための、シミュレーションサブモジュール、エミュレーションサブモジュール、および物理的サブモジュールの何れか１つを示す、各物理的コンポーネントの複製レベルを選択して、複製環境設計を示す設計結果を出力する複製環境設計回路部と、
前記設計結果に基づいて、前記複製レベルの１つによって複製されたコンポーネントを備える、前記複製環境を構築するように構成された複製環境構築回路部と、
を備えるセキュリティアセスメントシステム。

【請求項2】

前記制約条件は、予算と許容時間とから成るグループから選択された少なくとも１つから成り、
前記複製環境設計回路部は、要求コストが前記予算を超えないかまたは要求時間が前記許容時間を超えない条件を満足するように、前記効果として、各物理的コンポーネントの重要度、セキュリティ診断を詳細にする可能性、及び各物理的コンポーネントのモデル化困難性から成るグループから選択された少なくとも１つに基づいて決定された、各物理的コンポーネントの複製優先度に基づき、各物理的コンポーネントの前記複製レベルを選択するように構成されている、
請求項１に記載のセキュリティアセスメントシステム。

【請求項3】

前記予算と前記許容時間とから成るグループから選択された少なくとも１つを入力するように構成された、入力インターフェースと、
前記設計結果を出力するように構成された、出力インターフェースと、
を更に備える、請求項２に記載のセキュリティアセスメントシステム。

【請求項4】

前記複製環境上で、アクティブスキャンとペネトレーションテストとから成るグループから選択された少なくとも１つを含むセキュリティ診断を行うように構成された、診断インターフェースを更に備える、請求項３に記載のセキュリティアセスメントシステム。

【請求項5】

前記診断インターフェースは、
前記複製環境上の前記エミュレーションサブモジュールおよび前記物理的サブモジュールに再現されたコンポーネントに対してアクティブにスキャンおよび／またはペンテストをして、アクティブスキャン／ペンテストの結果を出力するように構成された、アクティブスキャン／ペンテスト回路部と、
前記アクティブスキャン／ペンテストの結果に基づいて、前記エミュレーションサブモジュールおよび前記物理的サブモジュールにおける各コンポーネントの脆弱性を抽出して、前記抽出した脆弱性を示すリストを生成するように構成された、脆弱性アセスメント回路部と、
前記アクティブスキャン／ペンテストの結果に基づいて、攻撃グラフを生成するように構成された、攻撃グラフ生成回路部と、
を更に備え、
前記複製環境設計回路部は、前記リストと前記攻撃グラフとから成るグループから選択された少なくとも１つに基づいて、前記複製レベルを選択するように構成されている、
請求項４に記載のセキュリティアセスメントシステム。

【請求項6】

前記複製環境設計回路部は、
前記制約条件に基づいて条件を規定して、前記条件を示す第１の規定結果を生成するように構成された、条件規定サブモジュールと、
前記効果に基づいて前記物理的コンポーネント用の有効性を規定して、前記有効性を示す第２の規定結果を生成するように構成された、有効性規定サブモジュールと、
前記第１および第２の規定結果に基づいて、前記複製レベルを決定するように構成された、複製レベル決定サブモジュールと、
を備える請求項５に記載のセキュリティアセスメントシステム。

【請求項7】

前記有効性規定サブモジュールは、
前記抽出した脆弱性、前記攻撃グラフ、およびパッシブスキャンによって得らえた情報から成るグループから選択された少なくとも１つに基づいて、セキュリティ診断を詳細にする前記可能性を計算して、セキュリティ診断を詳細にする前記可能性を示す詳細化可能性を生成するように構成された、詳細化可能性計算サブモジュールと、
各物理的コンポーネントの前記重要度、前記詳細化可能性、および各物理的コンポーネントの前記モデル化困難性から成るグループから選択された少なくとも１つに基づいて、各物理的コンポーネントの前記複製優先度を計算して、前記第２の規定結果として、各物理的コンポーネントの前記複製優先度を生成するように構成された、複製優先度計算サブモジュールと、
を備える請求項６に記載のセキュリティアセスメントシステム。

【請求項8】

前記入力インターフェースは、各物理的コンポーネントの前記重要度と、各物理的コンポーネントの前記モデル化困難性と、各物理的コンポーネントの前記重要度用、セキュリティ診断を詳細にする前記可能性用、および各物理的コンポーネントの前記モデル化困難性用の重み係数と、を更に入力するように構成されている、請求項７に記載のセキュリティアセスメントシステム。

【請求項9】

複数の物理的コンポーネントを備えるアセスメント対象システムを複製する複製環境を提供するために、情報処理装置によって実行される、方法であって、
前記複製環境を設計するためにユーザによって指定された制約条件と前記物理的コンポーネントに関連付けられた効果とに基づいて、前記アセスメント対象システムの前記物理的コンポーネントを再現するための、シミュレーションサブモジュール、エミュレーションサブモジュール、および物理的サブモジュールの何れか１つを示す、複製レベルを選択して、複製環境設計を示す設計結果を出力し、
前記設計結果に基づいて、前記複製レベルの１つによって複製されたコンポーネントを備える、前記複製環境を構築する、
方法。

【請求項10】

コンピュータに、複数の物理的コンポーネントを備えるアセスメント対象システムを複製する複製環境を提供するように実行させるセキュリティアセスメントプログラムであって、前記セキュリティアセスメントプログラムは、前記コンピュータに、
前記複製環境を設計するためにユーザによって指定された制約条件と前記物理的コンポーネントに関連付けられた効果とに基づいて、前記アセスメント対象システムの前記物理的コンポーネントを再現するための、シミュレーションサブモジュール、エミュレーションサブモジュール、および物理的サブモジュールの何れか１つを示す、複製レベルを選択して、複製環境設計を示す設計結果を出力する工程と、
前記設計結果に基づいて、前記複製レベルの１つによって複製されたコンポーネントを備える、前記複製環境を構築する工程と、
を実行させるセキュリティアセスメントプログラム。

【発明の詳細な説明】

【技術分野】

【0001】

本発明は、セキュリティアセスメントシステムに関し、特に、ＯＴ（オペレーション・テクノロジー）システムセキュリティ用の要求のような攻撃パスを検出するために必要な、セキュリティアセスメントシステムに関する。

【背景技術】

【0002】

ＯＴは、バルブやポンプなどの物理的な装置の直接監視および／または制御によって物理的な工程の変化を検出したり引き起こしたりするための専用のハードウェアとソフトウェアである。ＯＴは、発電所の制御システムや鉄道システムの制御ネットワークのような、システムの物理的な状態を監視または改造するためのコンピュータの使用法である。

【0003】

セキュリティアセスメント用の関連技術において、実際のシステムに対するアクティブスキャン、ペンテストに基づくアセスメントや、実ハードウェアを使用することによって完全に複製されたシステム上のアセスメントがある。

【0004】

この技術において知られているように、デジタルツインとは、種々の目的のために使用され得る、物理的な資産、プロセス、およびシステムのデジタルレプリカを指す。デジタル表現は、要素と、モノのインターネット装置がどのように動作し、そのライフサイクルにおいてどのように生きているかの動力学と、の両方を提供する。

【0005】

デジタルツインは、人工知能、機械学習、およびデータでのソフトウェア解析を統合して、それらの物理的なよく似たものの変化として更新および変化する、生き写しのデジタルシミュレーションモデルを作成する。デジタルツインは、連続的に多数の源からそれ自身を学習、更新して、そのよく似た実時間の状態、仕事状況および位置を表す。

【発明の概要】

【発明が解決しようとする課題】

【0006】

上述した関連技術には問題がある。

【0007】

アクティブスキャンに基づくアセスメントは、ＯＴシステムに対して適していない。何故なら、それは、システム上に影響を与える可能性があるからである。

【0008】

実際のシステムでのペンテストも、ＯＴシステムに対して適していない。何故なら、それもまた、システム上に影響を与える可能があるからである。

【0009】

実ハードウェアを使用して完全に複製したシステム上のアセスメントは、高価すぎる。何故なら、実際のシステムにおいて使用される実ハードウェアが複製されるからである。

【0010】

要約すると、上記関連技術は、低価格で、ＯＴシステムに影響を与えない、正確なアセスメントを達成ことができない。実際のＯＴシステム上のアクティブスキャンは、禁止される。他方、パッシブスキャン結果は、攻撃パスを正確に決定するには十分でない。加えて、あるコンポーネントは、モデル化されない。

【課題を解決するための手段】

【0011】

本発明の一様態として、セキュリティアセスメントシステムは、複数の物理的コンポーネントを備えるアセスメント対象システムを複製する複製環境を提供するように構成される。セキュリティアセスメントシステムは、前記複製環境を設計するために、ユーザによって指定された制約条件と物理的コンポーネントに関連付けられた効果とに基づいて、前記アセスメント対象システムの前記物理的コンポーネントを再現するための、シミュレーションサブモジュール、エミュレーションサブモジュール、および物理的サブモジュールの何れか１つを示す、複製レベルを選択して、複製環境設計を示す設計結果を出力する複製環境設計回路部と、前記設計結果に基づいて、前記複製レベルの１つによって複製されたコンポーネントを備える、前記複製環境を構築するように構成された複製環境構築回路部と、を備える。

【発明の効果】

【0012】

本発明の典型的な効果は、アセスメント対象システムにおける各物理的コンポーネント用の複製レベルを効率的に決定できる。

【図面の簡単な説明】

【0013】

【図1】本発明の実施形態に係るセキュリティアセスメントシステムの構成例を示すブロック図である。

【図2】図１に図示されたセキュリティアセスメントシステムに使用される、複製環境設計モジュールの構成例を示すブロック図である。

【図3】図２に図示された複製環境設計モジュールに使用される、有効性規定サブモジュールの構成例を示すブロック図である。

【図4】攻撃グラフの例において仮定されるシステム構成の構造例を示すブロック図である。

【発明を実施するための形態】

【0014】

次に、本発明の実施形態について説明する。

【0015】

図１は、本発明の実施形態に係るセキュリティアセスメンシステム１０の構成例を示すブロック図である。セキュリティアセスメントシステム１０は、複数の物理的コンポーネントを備えるアセスメント対象システム（図示せず）を複製する、複製環境２００を提供するように構成される。複製環境２００は、上述したデジタルツインとして働く。デジタルツインは、一方では、要求されるセキュリティ／ペンテストを実行するのを可能とし、他方では、デジタルツイン上でテストを実行することから得られる結果の全てが、もしそれらが実環境上に実行されるなら、テストの期待される結果を反映する、ことに注意されたい。セキュリティアセスメントシステム１０は、処理ユニット１００と、ユーザインターフェース４００とを備える。処理ユニット１００は、複製環境設計モジュール１１０と、複製環境構築モジュール１２０と、脆弱性アセスメントモジュール１７０と、攻撃グラフ生成モジュール１８０と、アクティブスキャン／ペンテストモジュール１９０とを備える。ユーザインターフェース４００は、入力インターフェース４１０と、出力インターフェース４２０とを備える。

【0016】

図示の例において、複製環境２００は、シミュレーションサブモジュール２１０と、エミュレーションサブモジュール２２０と、物理的サブモジュール２３０とから成る。シミュレーションサブモジュール２１０は、物理的コンポーネントの仕様３０２または物理的コンポーネントの機能の挙動モデル３０４である。エミュレーションサブモジュール２２０は、ＶＭ（仮想マシン）を使用して物理的コンポーネントを再現するソフトウェアから成る。物理的サブモジュール２３０は、アセスメント対象システムにおける物理的コンポートと物理的に類似する、コンポーネントから成る。

【0017】

詳述すると、シミュレーションサブモジュール２１０において、物理的コンポーネントの仕様３０２は、ハードウェア／ソフトウェアと物理的コンポーネントが持つ版とのリストから成る。物理的コンポーネントの仕様３０２は、典型的には、例えば、ベンダによって提供される仕様や、情報がＣＰＥ（Common Product Enumeration）に従って統合された仕様であってよい。物理的コンポーネントの仕様３０２は、脆弱性スキャナによって発見された脆弱性情報を持ってもよい。シミュレーションサブモジュール２１０は、ソフトウェアおよびハードウェアの各々の詳細仕様を階層的に持ってもよい。

【0018】

シミュレーションサブモジュール２１０において、挙動モデル３０４は、挙動が決定される通信プロトコル等に関係し、挙動を記述するモジュールや挙動に関連づけられたドキュメントから成る。特に、挙動モデル３０４は、ＲＦＣ（Request for Comments）のような物理的コンポーネントの挙動を定める文書や、上記文書に基づいて記述された入力に対する応答をまとめることによって得られた文書であってよい。挙動モデル３０４は、挙動の数学的なモデルであってもよい。例えば、通信プロトコルは、状態遷移図やペトリネットによって記述することができる。挙動モデル３０４は、入力に対する応答のみを再現するソフトウェアであってもよい。しかしながら、物理的コンポーネントにおける内部状態の挙動を再現するソフトウェアは、次に述べるようなエミュレーションサブモジュール２２０によって扱われる。

【0019】

エミュレーションサブモジュール２２０において、物理的コンポーネントは、ＶＭによって再現される。すなわち、エミュレーションサブモジュール２２０は、物理的コンポーネント内の内部状態の挙動を再現するソフトウェアから成る。ソフトウェアに関して、エミュレーションサブモジュール２２０は、アセスメント対象システムと同一のソフトウェアを利用する。

【0020】

上述したように、物理的サブモジュール２３０は、アセスメント対象システム内の物理的コンポーネントと物理的に類似するコンポーネントから成る。すなわち、物理的サブモジュール２３０において、アセスメント対象システム内の同じハードウェアが使用され、アセスメント対象システム内の同じソフトウェアが、その同じ構成で初期的に稼働する。

【0021】

図１に示されるように、複製環境設計モジュール１１０には、ユーザによって指定された拘束条件３１０と、システム情報３２０と、各物理的コンポーネントの重要度３４０と、各物理的コンポーネントのモデル化困難性３５０と、（説明が進むにつれて明らかになるだろう）セキュリティ診断を詳細にする可能性と、重み係数３６０と、が供給される。入力インターフェース４１０は、複製環境設計モジュール１１０に、拘束条件３１０と、システム情報３２０と、重要度３４０と、モデル化困難性３５０と、重み係数３６０とを供給する。拘束条件３１０は、要件であってよい。図示の例において、拘束条件３１０は、予算または待ち時間（許容時間）から成る。他の拘束条件は、デジタルツインを配置するための物理的空間またはデジタルツイン内の同じ要素の多重使用であってよい。拘束条件３１０は、エミュレーションサブモジュール２２０または物理的サブモジュール２３０を作成するための各複製レベル用の要求コスト及び要求時間を更に有する。複製環境設計モジュール１１０は、各物理的コンポーネントに対して、要求コストの合計または要求時間の最大値を計算する。複製環境設計モジュール１１０は、要求コストの合計が予算を超えないようにまたは要求時間の最大値が許容時間を超えないように、各物理的コンポーネント用の複製レベルを決定する。

【0022】

各物理的コンポーネントの重要度３４０、各物理的コンポーネントのモデル化困難性３５０、セキュリティ診断を詳細にする可能性、および重み係数３６０については、後で詳述する。

【0023】

複製環境設計モジュール１１０には、また、説明が進むにつれて明らかになるだろう、物理的コンポーネントに関連付けられた効果が供給される。図示の例において、効果は、各物理的コンポーネントの複製優先度からなり、その複製優先度は、後で説明するように、各物理的コンポーネントの重要度３４０と、セキュリティ診断を詳細にする可能性と、各物理的コンポーネントのモデル化困難性３５０とに基づいて決定される。各物理的コンポーネントの複製優先度は、本実施形態では、各物理的コンポーネントの重要度３４０、セキュリティ診断を詳細にする可能性、および各物理的コンポーネントのモデル化困難性３５０の全てに基づいて決定されるが、各物理的コンポーネントの複製優先度は、本発明では、各物理的コンポーネントの重要度３４０、セキュリティ診断を詳細にする可能性、および各物理的コンポーネントのモデル化困難性３５０から選択された少なくとも１つに基づいて決定されてよい。

【0024】

次に、アセスメント対象システムの複数の物理的コンポーネントにおける有効コンポーネントについて説明する。有効コンポーネントは、以下に説明するように、本実施形態においては、第１乃至第３のグループに分類される。

【0025】

第１のグループの有効コンポーネントは、正確にアクセスするのが高く要求される、１つ以上のコンポーネントから成る。そのようなコンポーネントは、例えば、アセスメント対象システムを維持するために重要な財産や重要な役割を持つ。

【0026】

第２のグループの有効コンポーネントは、正確なアセスメントによるセキュリティアセスメントの結果を効果的に詳細化できる１つ以上のコンポーネントから成る。そのようなコンポーネントは、例えば、潜在的な脆弱性を検出されるノードおよび／または攻撃グラフ上の多くの攻撃が使用されるノードから成る。

【0027】

第３のグループの有効コンポーネントは、エミュレーションサブモジュール２２０や物理的サブモジュール２３０無しでアクセスすることが困難な１つ以上のコンポーネントから成る。そのようなコンポーネントは、例えば、その行動（セキュリティソフトウェア）をモデル化することが困難なノードや、（ウェブアプリケーションのような）アクティブスキャンによって検出することが困難な脆弱性を持つ傾向があるノードから成る。

【0028】

複製環境設計モジュール１１０は、拘束条件３１０とシステム情報３２０と上記効果とに従って、アセスメント対象システム内のどの物理的コンポートが、シミュレーションサブモジュール２１０、エミュレーションサブモジュール２２０、または物理的サブモジュール２３０によって診断されるべきかを判断し、複製環境設計を示す設計結果３３０を生成する。規定された拘束条件で、最大化されるのが望まれる目的関数が、規定されてよい。この関数は、選択されたデジタルツインから利益を表す。利益は、デジタルツイン上に実行され得る、セキュリティテストの値である。換言すれば、複製環境設計モジュール１１０は、拘束条件３１０と、複製環境を設計するために物理的コンポーネントと関連付けられた上記効果とに基づいて、各物理的コンポーネント用の複製レベルを選択して、複製環境設計を表す設計結果３３０を生成する。出力インターフェース４２０は設計結果３３０を出力するように構成される。複製レベルは、複製環境２００の物理的コンポーネントを再現するための、シミュレーションサブモジュール２１０、エミュレーションサブモジュール２２０、および物理的サブモジュール２３０のいずれか１つを表す。

【0029】

詳述すると、上述したように、拘束条件３１０は、予算と許容時間との少なくとも１つから成る。複製環境構築モジュール１１０は、上記効果として、後述するような各物理的コンポーネントの上記複製優先度に基づいて、要求コストが予算を超えないまたは要求時間が許容時間を超えない条件を満足するように、各物理的コンポーネント用の複製レベルを選択するように構成される。

【0030】

本実施形態において、複製環境２００のコストは、アセスメント対象システムウエイの各装置をエミュレートするまたは物理化するために必要なコストばかりでなく、セキュリティ診断が当該装置をエミュレートするまたは物理化する際に実行される場合に要求されるセキュリティ診断コストから成ってよい。セキュリティ診断コストは、診断者の人事経費を含む。何故なら、実際の装置を使用して当該装置の効果的な診断を行うことででき、当該装置が低いコストを持つけれども、それ自身診断のために莫大なコストがかかるため、予算を超える場合に当該装置を物理化することに意味がないからである。この場合、入力インターフェース４１０は、後述するセキュリティ診断動作の分類に応じる、セキュリティ診断コストを入力する。

【0031】

複製環境構築モジュール１２０は、設計結果３３０に基づいて複製環境２００を構築する。複製環境２００は、他のソフトウェアやユーザ（セキュリティ専門家、ペンテスタ）のための複製環境を提供する。

【0032】

脆弱性アセスメントモジュール１７０は、複製環境２００内の各コンポーネントの脆弱性を抽出して、抽出した脆弱性のリストを生成する。攻撃グラフ生成モジュール１８０は、攻撃において使用される複製環境２００におけるどのコンポーネントが識別され得るかの攻撃グラフを生成する。複製環境設計モジュール１１０は、リストと攻撃グラフの少なくとも一方に基づいて、複製環境２００を設計する。換言すれば、複製環境設計モジュール１２０は、リストと攻撃グラフの少なくとも一方に基づいて、複製レベルを選択するように構成される。アクティブスキャン／ペンテストモジュール１９０は、複製環境２００内のエミュレーションサブモジュール２２０の仮想マシンまたは物理的サブモジュール２３０の物理的マシンに対して、アクティブにスキャンをし、またはペンテストをする。セキュリティアセスメントシステム１０内の処理ユニット１００は、上記プロセスを繰り返し実行し、セキュリティアセスメントの結果を詳細化する。

【0033】

次に、脆弱性アセスメントモジュール１７０、攻撃グラフ生成モジュール１８０、およびアクティブスキャン／ペンテストモジュール１９０の動作について詳細に説明する。

【0034】

脆弱性アセスメントモジュール１７０は、複製環境２００における各コンポーネントについてどのような脆弱性があるかを調べる。典型的には、そのような調査は、既存の脆弱性情報データベース（図示せず）内の情報とパッシブスキャンで取得したシステム情報とを照らし合わせることで実現できる。情報が不正確な場合、脆弱性アセスメントモジュール１７０は、本来は存在する脆弱性を見逃したり、存在しない脆弱性を大量に検出することがある。

【0035】

攻撃グラフ生成モジュール１８０は、攻撃者の攻撃手順をグラフ化した、攻撃グラフを生成する。典型的には、攻撃グラフは、ノードとして、システム状態を示すシステム状態ノードと、攻撃者状態を示す攻撃者状態ノードとを備える。攻撃グラフは、攻撃行動をとるために必要な条件となるシステム状態ノードから、対応する攻撃者状態ノードに、有向辺を備える。また、攻撃グラフは、攻撃者行動状態から、その攻撃者行動によって生み出される状態に、有向辺を備える。攻撃グラフは、どのホストが何通りの攻撃に利用されているか示す情報や、攻撃にどの脆弱性が利用されるかを示す情報を提示する。

【0036】

アクティブスキャン／ペンテストモジュール１９０は、他のソフトウェアおよび他のユーザのために、複製環境２００において再現されたコンポーネントに対し、アクティブスキャンやペネトレーションテストを行える、インターフェースを備える。また、アクティブスキャン／ペンテストモジュール１９０は、アクティブスキャンおよびペネトレーションテストの結果を入力させ、その結果を、脆弱性アセスメントモジュール１７０や攻撃グラフ生成モジュール１８０へ通知するように構成された、インターフェースを備えてもよい。アクティブスキャン／ペンテストモジュール１９０に、アクティブスキャン機能とペネトレーションテスト機能とを持たせて、自動的字にアクティブスキャンおよびペネトレーションテストを実行させてもよい。例えば、アクティブスキャン／ペンテストモジュール１９０は、既存のアクティブスキャンツールおよび／または既存のペネトレーションテストツールを備えて、予め決められたアクティブスキャンおよび／または予め決められたペネトレーションテストを実行してもよい。既存のアクティブスキャンツールは、例えば、「Open VAS」であってよく、既存のペネトレーションテストツールは、例えば、「metasploit」であってよい。アクティブスキャン／ペンテストモジュール１９０は、公開されている脆弱性攻撃コードを収集して、アセスメント対象コンポーネントに対応する脆弱性攻撃コードを利用してペネトレーションテストを行うようにしてもよい。

【0037】

アクティブスキャン／ペンテストモジュール１９０、脆弱性アセスメントモジュール１７０、および攻撃グラフ生成モジュール１８０の組み合わせは、複製環境２００上で、アクティブスキャンおよびペネトレーションテストの少なくとも一方を含むセキュリティ診断を行うように構成された、診断インターフェースとして働く。

【0038】

図２を参照して、複製環境設計モジュール１１０の構成について詳細に説明する。複製環境設計モジュール１１０は、条件規定サブモジュール５１０と、有効性規定サブモジュール５２０と、複製レベル決定サブモジュール５３０とを備える。

【0039】

条件規定サブモジュール５１０は、制約条件３１０に基づいて条件を規定して、その条件を示す第１の規定結果を生成するように構成されている。図示の例において、第１の規定結果は、要求コストが予算を超えていないまたは要求時間が許容時間を超えていない条件を満たしているか否かを示す。

【0040】

有効性規定サブモジュール５２０は、上記効果に基づいてアセスメント対象システムにおける物理的コンポーネントのための有効性を規定して、その有効性を示す第２の規定結果を生成するように構成されている。図示の例において、第２の規定結果は、各物理的コンポーネントの上記複製優先度を示す。

【0041】

複製レベル決定サブモジュール５３０は、第１および第２の規定結果に基づいて、複製レベルを決定するように構成されている。複製レベルは、複製環境構築モジュール１２０に供給される。

【0042】

図３を参照して、有効性規定サブモジュール５２０の構成について詳細に説明する。有効性規定サブモジュール５２０は、詳細化可能性計算サブモジュール５２２と複製優先度計算サブモジュール５２４とから成る。

【0043】

詳細化可能性計算サブモジュール５２２は、脆弱性アセスメントモジュール１７０と、攻撃グラフ生成モジュール１８０と、パッシブスキャンを行うパッシブスキャナ（図示せず）とに接続される。詳細化可能性計算モジュール５２２には、脆弱性アセスメントモジュール１７０から上記リストが供給される。詳細化可能性計算モジュール５２２には、攻撃グラフ生成モジュール１８０から上記攻撃グラフが供給される。詳細化可能性計算モジュール５２２には、パッシブスキャナによって得られた情報が供給される。すぐに述べるように、詳細化可能性計算モジュール５２２は、抽出した脆弱性のリストと攻撃グラフとパッシブスキャンによって得られた情報とから成るグループから選択された少なくとも１つに基づいて、上記詳細化可能性を計算して、セキュリティ診断を詳細にする可能性を示す詳細化可能性Ｐｒを生成する。

【0044】

最初に、抽出した脆弱性のリストに基づいてセキュリティ診断を詳細にする可能性を計算する場合について説明する。詳細化可能性計算モジュール５２２は、脆弱性アセスメントモジュール１７０によって得られた脆弱性数Ｎｖまたは各脆弱性に対して決定されたスコアに基づいて、詳細化可能性Ｐｒを計算する。

【0045】

詳述すると、脆弱性アセスメントモジュール１７０において、各物理的コンポーネントが持つ脆弱性数Ｎｖとなる。アセスメント対象システムが、物理的コンポーネントとして、４つのホストプロセッサ、すなわち、ホストＡ、ホストＢ、ホストＣ、およびホストＤを備え、それらが、それぞれ、２０、５５、５、および３０の脆弱性数Ｎｖを持つと仮定する。詳細化可能性計算モジュール５２２は、脆弱性数Ｎｖ用の下限Ｌｌと上限Ｌｕとを予め規定する。下限Ｌｌおよび上限Ｌｕが、それぞれ、１０および５０に等しいと仮定する。

【0046】

詳細化可能性計算モジュール５２２は、脆弱性数Ｎｖを、例えば、０と１０との間の予め定められた範囲に縮尺する。詳細化可能性計算モジュール５２２は、脆弱性数Ｎｖが下限Ｌｌ以下であれば、詳細化可能性Ｐｒを０とし、脆弱性数Ｎｖが上限Ｌｕ以上でれば、詳細化可能性Ｐｒを１０とする。脆弱数Ｎｖが下限Ｌｌより大きくかつ上限Ｌｕより小さいとき、詳細化可能性計算モジュール５２２は、次の式に従って、詳細化可能性Ｐｒを計算する。
Ｐｒ＝１０ｘ｛（Ｎｖ−Ｌｌ）／（Ｌｕ−Ｌｌ）｝

【0047】

図示の例において、詳細化可能性計算モジュール５２２は、ホストＡ、Ｂ、Ｃ、およびＤ用の詳細化可能性Ｐｒとして、それぞれ、２．５、１０、０、および５を計算する。

【0048】

第１の例における効果について説明する。脆弱性アセスメントモジュール１７０は、本来、存在しない脆弱性を誤って検出するかもしれない。このような状況において、物理的サブモジュール２３０やエミュレーションサブモジュール２２０を使用することによって多数の脆弱性を持つ物理的コンポーネントを詳細に評価することによって、誤って検出された脆弱性を取り除くことができ、それによって、セキュリティ診断をより正確に行うことができる。

【0049】

詳細化可能性計算モジュール５２２は、脆弱性数Ｎｖの代わりに、各脆弱性に対して決定されたスコア（たとえば、ＣＶＳＳ（Common Vulnerability Scoring System）等）の総計の値を使用してもよい。

【0050】

第２に、攻撃グラフに基づいてセキュリティ診断を詳細にする可能性を計算する場合における、第２の例について説明する。

【0051】

上述したように、典型的には、攻撃グラフは、ノードとして、システム状態を示すシステム状態ノードと、攻撃者状態を示す攻撃者状態ノードとを備える。攻撃グラフは、攻撃行動をとるために必要な条件となるシステム状態ノードから、対応する攻撃者状態ノードに、有向辺を備える。また、攻撃グラフは、攻撃者行動状態から、その攻撃者行動によって生み出される状態に、有向辺を備える。

【0052】

ユーザは、入力インターフェース４１０を使用して、複製環境設計モジュール１１０に、攻撃の開始点（攻撃者の初期状態）と攻撃者の目標（攻撃者の最終状態）とを供給する。ユーザは、複数の開始点と複数の目標とを設定してもよい。

【0053】

図４は、攻撃グラフの一例として仮定される、システム構成の構造例を示すブロック図である。図４に示されるように、アセスメント対象システムは、物理的コンポーネントとして、ホストＡ、ホストＢ、ホストＣ、およびファイアウォールＸを備えていると仮定する。ファイアウォールＸは、ホストＡと、ホストＢと、ホストＣとの間に配置されている。すなわち、ファイアウォールＸは、ホストＡと、ホストＢと、ホストＣとに接続されている。また、ホストＡ、Ｂ、およびＣが、それぞれ、ｘｘｘｘ、ｙｙｙｙ、およびｚｚｚｚの脆弱性をもつと仮定する。

【0054】

このような状況において、攻撃グラフは、初期状態Ｓinと、最終状態Ｓfnと、初期状態Ｓinと最終状態Ｓfnとの間の、第１乃至第３の中間状態Ｓm1、Ｓm2、およびＳm3とを持つ。初期状態Ｓinは、例えば、悪意のあるコードがホストＡにおいて実行された状態である。初期状態Ｓinに第１の中間Ｓm1が続き、それは、例えば、ホストＡにおいて特権エスカレーションの脆弱性（ＩＤ ｘｘｘｘ）を攻撃することによって、ホストＡ上に管理特権を持つ任意のコードを実行できる状態である。第１の中間Ｓm1に第２の中間状態Ｓm2が続き、それは、例えば、ホストＡからアクセスされ得るホストＢ上のサービスにおいてｙｙｙｙの脆弱性を攻撃することによって、ホストＢ上に管理特権を持つ任意のコードを実行できる状態である。第２の中間状態Ｓm2に第３の中間状態Ｓm3が続き、それは、例えば、ホストＢによって管理されるファイアウォールＸのフィルタリングルールが、ホストＡトホストＣとの間で通信できるように書き換えられる状態である。第３の中間状態Ｓm3に最終状態Ｓfnが続き、それは、例えば、ホストＡからアクセスされ得るホストＣ上のサービスにおいてｚｚｚｚの脆弱性を攻撃することによって、ホストＣ上に管理特権を持つ任意のコードを実行できる状態である。最終状態Ｓfnに、また、第１の中間Ｓm1が続く。

【0055】

上記攻撃グラフは、攻撃に使用されるホスト、脆弱性、および攻撃の手順を明らかにする。攻撃グラフに関する説明から明らかなように、一般に、初期状態Ｓinから最終状態Ｓfnに到達する、複数の経路がある。

【0056】

詳細化可能性計算サブモジュール５２２は、多くの経路によって使用される物理的コンポーネントが高い詳細化可能性を持つように、ホストＡ、Ｂ、およびＣ用の詳細化可能性Ｐｒを計算する。具体的に言えば、詳細化可能性計算サブモジュール５２２は、先ず、各物理的コンポーネントに対して、初期状態Ｓinと最終状態Ｓfnとの間の経路に現れるコストを計算し、計算されたコストを予め規定された下限値と予め規定された上限値とに基づいて予め定められた範囲（たとえば、０から１０）に縮尺し、そして、ホストＡ、Ｂ、およびＣに対する詳細化可能性Ｐｒを計算する。

【0057】

第２の例における効果について説明する。物理的サブモジュール２３０またはエミュレーションサブモジュール２２０を使用することによって物理的コンポーネントを詳細に評価することによって、物理的コンポーネントが実際に攻撃するために使用されるか否かを正しく決定することができ、それによって、元々攻撃できない任意の経路を取り除くことができる。

【0058】

上記第２の例では、詳細化可能性計算サブモジュール５２２が、すべての攻撃経路に現れるホストの計数に基づいて、ホストＡ、Ｂ、およびＣ用の詳細化可能性Ｐｒを計算しているが、詳細化可能性計算サブモジュール５２２は、特定のホストを使用する攻撃経路の計数に基づいて、特定のホスト用の詳細化可能性Ｐｒを計算するように変形されてもよい。上記例においては、詳細化可能性計算サブモジュール５２２は、同じホストが特殊な攻撃経路に多数回現れる場合において、独立に、各ホストの数を計数している。これに対して、変形した例では、詳細化可能性計算サブモジュール５２２は、特定のホストが同じ攻撃経路に多数回現れるけれども、特定のホストの数を１度だけ計数する。この構成によれば、詳細化可能性計算サブモジュール５２２が、特殊な攻撃経路が特定のホストを多数回使用する状況において、特定のホストに対して過度の値を計算するのを防止することができる。

【0059】

最後に、パッシブスキャンによって得られる情報に基づいて、セキュリティ診断を詳細にする可能性を計算する場合における、第３の例について説明する。この技術分野において知られているように、パッシブスキャンは、通信チャンネルを介して流れる任意の信号を観察することによって情報を収集する。アクティブスキャンとは異なり、パッシブスキャンにおいては、情報を修正するための信号は送出されない。従って、パッシブスキャンは、アセスメント対象システム上に影響を及ぼさない。詳細化可能性計算サブシステム５２２は、パッシブスキャンによる情報が少なければすくない程、アセスメント対象システムにおける各物理的コンポーネントに対するセキュリティ診断を詳細にする可能性が高いと、決定する。

【0060】

詳述すると、詳細化可能性計算サブモジュール５２２は、予め、アセスメントのための情報を必要とする項目のリストを準備する。項目は、例えば、自由ポート、ハードウェア明細（たとえば、メモリ、ＣＰＵ（中央処理装置）、およびハードディスクなどの共通生産エミュレーション）から成ってよい。

【0061】

詳細化可能性計算サブモジュール５２２は、パッシブスキャンによって得られた情報のレートＲｐｓが、アセスメントのための情報を必要とする項目において小さいとき、セキュリティ診断を詳細にする可能性を高くするように設定する。詳述すると、詳細化可能性計算サブモジュール５２２は、先ず、１からパッシブスキャンによって得られた情報のレートＲｐｓを減じて、減算結果（１−Ｒｐｓ）を生成し、減算結果（１−Ｒｐｓ）を、予め規定された下限値と予め規定された上限値とに基づいて、予め定められた範囲（たとえば、０から１０）に縮尺し、アセスメント対象システムにおける各物理的コンポーネント用の詳細化可能性Ｐｒを計算する。

【0062】

第３の例における効果について説明する。情報を得ることができない物理的コンポーネントに対して多くの情報を得ることができる。何故なら、当該物理的コンポーネントが、複製環境２００において物理的サブモジュール２３０またはエミュレーションサブモジュール２２０として優先的に複製されるからである。

【0063】

詳細化可能性サブモジュール５２２は、複製環境２００またはその効果の合計に対して実行されてもよい、セキュリティ診断行動の上記分類に基づいて、上記詳細化可能性を計算してもよい。

【0064】

この場合、セキュリティアセスメントシステム１０は、装置の分類毎に、実際の装置が当該装置として使用される場合、または、仮想マシンが当該装置として使用される場合に、実行されるセキュリティ診断行動を示す情報を格納するためのデータベースを、更に備えている。その代わりに、入力インターフェース４１０が、ユーザによって実行され得る、セキュリティ診断行動を示す情報を入力してもよい。

【0065】

同様に、セキュリティアセスメントシステム１０は、セキュリティ診断行動毎に、予め設定された効果の程度を示す情報を格納するための他のデータベースを、更に備える。そのような情報は、特定の範囲における数値を含む。その代わりに、入力インターフェース４１０が、ユーザによって当該情報を入力してもよい。

【0066】

図３に戻って、複製優先度計算サブモジュール５２４の動作について説明する。複製優先度計算サブモジュール５２４は、詳細化可能性計算サブモジュール５２２とユーザインターフェース４００（図１）とに接続されている。複製優先度サブモジュール５２４には、詳細化可能性計算モジュール５２２から、セキュリティ診断を詳細にする可能性（詳細化可能性）が供給される。複製優先度サブモジュール５２４には、ユーザインターフェース４００の入力インターフェース４１０から、各物理的コンポーネントの重要度３４０と、モデル化困難性３５０と、重み係数３６０とが供給される。複製優先度計算サブモジュール５２４は、各物理的コンポーネントの重要度３４０、詳細化可能性、各物理的コンポーネントのモデル化困難性３５０、および重み係数３６０に基づいて、後述するように、各物理的コンポーネントの複製優先度を計算する。本実施形態では、複製優先度計算サブモジュール５２４は、各物理的コンポーネントの重要度３４０、詳細化可能性、各物理的コンポーネントのモデル化困難性３６０の全てを使用しているが、本発明では、複製優先度計算サブモジュール５２４は、各物理的コンポーネントの重要度３４０、詳細化可能性、各物理的コンポーネントのモデル化困難性３５０から成るグループから選択された少なくとも１つを使用してもよい。

【0067】

入力インターフェース４１０から供給される各物理的コンポーネントの重要度３４０について説明する。各物理的コンポーネントの重要度３４０は、ユーザによって入力インターフェース４１０を介して入力される値であってよい。この代わりに、各物理的コンポーネントの重要度３４０は、入力された値を適当な範囲に縮尺することによって得られたものであってよい。

【0068】

各物理的コンポーネントの重要度３４０は、物理的コンポーネントの各種類に対して予め決定されてよい。具体的に述べると、システム管理者が、各物理的コンポーネントの重要度３４０として、次の様な値のいずれかを予め設定する。図示の例において、物理的コンポーネントの種類は、ＰＬＣ（Programmable Logic Controller）、ＥＷＳ（Engineering Work Station）、Historian、ＨＭＩ（Human Machin Interface）、およびＩＴ分野のＩＴ（information technology）装置から成るグループから選択された少なくとも１つから成る。

【0069】

システム管理者は、ＰＬＣの重要度３４０として、「９」の値を設定する。その理由は、ＰＬＣは、制御装置の挙動に直接影響を与えるからである。システム管理者は、ＥＷＳの重要度３４０として、「８」の値を設定する。その理由は、ＥＷＳからのＰＬＣの挙動を決定するためのロジックが、ＰＬＣにおいて書き込まれているからである。しかしながら、ＥＷＳは、ＰＬＣよりも低い重要度３４０を持つ。何故なら、ＰＬＣのロジックを書き込むための処理が、制御装置において影響を及ぼすことが要求されるからである。システム管理者は、Historianの重要度３４０として、「５」の値を設定する。その理由は、Historianはログを取ることが主な目的であり、Historianは、攻撃に対して比較的小さい影響を及ぼすからである。システム管理者は、ＨＭＩの重要度３４０として、ＰＬＣやＥＷＳよりも低い、「７」の値を設定する。その理由は、ＨＭＩは、ユーザと制御装置との間のインターフェースとして働くコンポーネントを備え、大きな有効性を持つけれども、ＨＭＩは、攻撃に容易に気づき、制御に対してのみ間接的に影響を与えることができるからである。ＩＴ装置は、任意の産業制御装置以外の装置から成り、産業制御装置に直接的に接続される装置から成る。システム管理者は、ＩＴ装置の重要度３４０として「４」の値を設定する。その理由は、ＩＴ装置は、制御システムに対して小さな影響を及ぼすだけだからである。

【0070】

一般に、ＰＬＣ、ＨＭＬのようなＯＴ装置（産業制御装置）は、オフィスシステム（ＩＴ領域）のネットワークから異なるゾーンに区分される。ＯＴ装置は、ＩＴ装置よりも高い有効性を持つ。

【0071】

入力インターフェース４１０から供給される、各物理的コンポーネントのモデル化困難性３５０について説明する。各物理的コンポーネントのモデル化困難性３５０は、ユーザによって入力インターフェース４１０から入力される値であってよい。この代わりに、各物理的コンポーネントのモデル化困難性３５０は、入力された値を適当な範囲に縮尺することによって得られたものであってよい。

【0072】

各物理的コンポーネントのモデル化困難性３５０は、物理的コンポーネントの各種類に対して予め決定されてよい。具体的に述べると、システム管理者は、各物理的コンポーネントのモデル化困難性３５０として、次の値の何れかを予め設定する。図示の例において、物理的コンポーネントの種類は、セキュリティ対策ソフトウェア、Ｗｅｂアプリケーション、および一般的なソフトウェアから成るグループから選択された少なくも１つから成る。

【0073】

システム管理者は、セキュリティ対策ソフトウェアのモデル化困難性３５０として、「１０」の値を設定する。何故なら、セキュリティ対策ソフトウェアの挙動が攻撃行動にもたらせる効果は、モデル化することが困難であり、従って、エミュレーションサブモジュール２２０において実際のセキュリティ対策ソフトウェアを動作することが望ましいからである。システム管理者は、Ｗｅｂアプリケーションのモデル化困難性３５０として、「１０」の値を設定する。何故なら、Ｗｅｂアプリケーションは、ＳＱＬ（Structured Query Language）インジェクションなどのようなパッシブスキャンによって得られる情報のみを使用することによって検出するのは困難な、多数の脆弱性を持つからである。システム管理者は、一般的なソフトウェアのモデル化困難性３５０として「５」の値を設定する。何故なら、汎用ソフトウェアは、脆弱性情報を使用してアクセスすることができ、挙動を再現する必要性が低いからである。

【0074】

上述したように、図示の例において、複製優先度計算サブモジュール５２４は、各物理的コンポーネントの重要度３４０と、詳細化可能性と、各物理的コンポーネントのモデル化困難性３５０と、重み係数３６０とに基づいて、各物理的コンポーネントの複製優先度を計算する。換言すれば、各物理的コンポーネントの複製優先度は、３つの要素、すなわち、各物理的コンポーネントの重要度３４０、詳細化可能性、および各物理的コンポーネントのモデル化困難性３５０に基づいて決定される。

【0075】

詳述すると、複製優先度計算サブモジュール５２４は、まもなく説明するように、各物理的コンポーネントの複製優先度Ｐｄを計算する。上述したように、各要素の値は、各物理的コンポーネントの複製優先度が高い値を持つとき、各要素が、予め定められた範囲（０と１０の間）の高い値を持つように、独立に決定される。複製優先度計算サブモジュール５２４には、入力インターフェース４１０から重み係数３６０として第１乃至第３の重み係数ａ１、ａ２、およびａ３が供給される。各物理的コンポーネントの重要度３４０、詳細化困難性、および各物理的コンポーネントのモデル化困難性３５０が、それぞれ、Ｉｐ、Ｐｒ、およびＤｍによって表されるとする。この場合、複製優先度計算サブモジュール５２４は、次の方程式に従って、各物理的コンポーネントの複製優先度Ｐｄを計算する。
Ｐｄ＝（ａ１×Ｉｐ）＋（ａ２×Ｐｒ）＋（ａ３×Ｄｍ）

【0076】

各物理的コンポーネントの複製優先度Ｐｄを使用する方法の一例について説明する。最初に、複製環境設計モジュール１１０は、予算内に、複製優先度Ｐｄの降順に、第１のグループの物理的コンポーネントを、物理的サブモジュール２３０として設計する。もし、当該物理的コンポーネント内の特定の１つが、ソフトウェアであって、ハードウェアとして使用されないなら、複製環境設計モジュール１１０は、その特定の物理的コンポーネントを、エミュレーションサブモジュール２２０として設計する。引き続いて、複製環境設計モジュール１１０は、残りの予算内に、複製優先度Ｐｄの降順に、第２のグループの残りの物理的コンポーネントを、エミュレーションサブモジュール２２０として設計する。最後に、複製環境設計モジュール１１０は、残りの物理的コンポーネントの全てを、シミュレーションサブモジュール２１０として設計する。

【0077】

上記実施形態によれば、アセスメント対象システム内の各物理的コンポーネントの複製レベルを、効果的に決定することができる。

【0078】

セキュリティアセスメントシステム１０内の処理ユニット１００の各部は、ハードウェアとソフトウェアとの組み合わせを用いて実現すればよい。ハードウェアとソフトウェアとを組み合わせた形態では、ＲＡＭ（random access memory）にセキュリティアセスメントプログラムが展開され、該セキュリティアセスメントプログラムに基づいて制御部（ＣＰＵ（central processing unit））等のハードウェアを動作させることによって、各部を各種手段として実現する。セキュリティアセスメントプログラムは、記録媒体に記録されて頒布されても良い。当該記録媒体に記録されたセキュリティアセスメントプログラムは、有線、無線、又は記録媒体そのものを介して、メモリに読込まれ、制御部等を動作させる。尚、記録媒体を例示すれば、オプティカルディスクや磁気ディスク、半導体メモリ装置、ハードディスクなどが挙げられる。

【0079】

上記実施形態を別の表現で説明すれば、セキュリティアセスメントシステム１０の処理ユニット１００を、ＲＡＭに展開されたセキュリティアセスメントプログラムに基づき、複製環境設計モジュール１１０、複製環境構築モジュール１２０、脆弱性アセスメントモジュール１７０、攻撃グラフ生成モジュール１８０、およびアクティブスキャン／ペンテストモジュール１９０として動作するコンピュータとして実現することが可能である。

【0080】

実施形態を参照して本発明を説明したが、本発明はその実施形態に限定されるものではない。本発明の構成や詳細には、本発明のスコープ内で当業者が理解し得る様々な変更をすることができる。

【0081】

例えば、複製環境２００におけるシミュレーションサブモジュール２１０、エミュレーションサブモジュール２２０、および物理的サブモジュール２３０は、典型的には、各ホスト（物理的装置）において決定されているが、本発明はこれに限定されない。ホストについて、シミュレーションサブモジュール２１０、エミュレーションサブモジュール２２０、および物理的サブモジュール２３０を、ホスト内のコンポーネントの各々が決定する。例えば、特定のソフトウェアのみがエミュレートされてもよい。この代わりに、ＮＩＣ（Network Interface Card）のみが物理的サブモジュール２３０として構成されてよく、他が、他のハードウェア（ＨＷ）上の仮想マシン（ＶＭ）を動作することで実現されてよい。

【符号の説明】

【0082】

１０ セキュリティアセスメントシステム
１００ 処理ユニット
１１０ 複製環境設計モジュール
１２０ 複製環境構築モジュール
１７０ 脆弱性アセスメントモジュール
１８０ 攻撃グラフ生成モジュール
１９０ アクティブスキャン／ペンテストモジュール
２００ 複製環境
２１０ シミュレーションサブモジュール
２２０ エミュレーションサブモジュール（仮想マシン）
２３０ 物理的サブモジュール（物理的マシン）
３１０ 拘束条件
３２０ システム情報
３３０ 設計結果
３４０ 重要度
３５０ モデル化困難性
３６０ 重み係数
４００ ユーザインターフェース
４１０ 入力インターフェース
４２０ 出力インターフェース
５１０ 条件規定サブモジュール
５２０ 有効性規定サブモジュール
５２２ 詳細化可能性計算サブモジュール
５２４ 複製優先度計算サブモジュール
５３０ 複製レベル決定サブモジュール

【図1】

【図2】

【図3】

【図4】