特開 2022-135137 検査装置、検査システム及び検査方法

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】公開特許公報(A)

(11)【公開番号】P2022135137

(43)【公開日】2022-09-15

(54)【発明の名称】検査装置、検査システム及び検査方法

(51)【国際特許分類】

   G06F 21/57 20130101AFI20220908BHJP

【ＦＩ】

G06F21/57 370

【審査請求】未請求

【請求項の数】9

【出願形態】ＯＬ

(21)【出願番号】P 2021034749

(22)【出願日】2021-03-04

(71)【出願人】

【識別番号】000000295

【氏名又は名称】沖電気工業株式会社

(74)【代理人】

【識別番号】100180275

【弁理士】

【氏名又は名称】吉田 倫太郎

(74)【代理人】

【識別番号】100161861

【弁理士】

【氏名又は名称】若林 裕介

(72)【発明者】

【氏名】松永 聡彦

(72)【発明者】

【氏名】八百 健嗣

(72)【発明者】

【氏名】中村 信之

(72)【発明者】

【氏名】土江 康太

(57)【要約】

【課題】検査対象端末の検知後、すぐに脆弱性検査を行い、また端末に負荷をかけずに、緊急度の高い脆弱性を検知できるようにする。
【解決手段】本発明は、ネットワーク上の端末の脆弱性を検査する検査装置において、機器情報と脆弱性検査内容とを対応付けた検査内容情報を格納する検査内容情報格納手段と、検査対象端末の機器情報を含む情報を受信する受信手段と、検査対象端末の機器情報に基づいて脆弱性検査内容を決定して脆弱性検査を行なう脆弱性検査手段と、脆弱性検査手段による脆弱性検査結果を検査出力手段の出力形式に変換して出力させる検査結果生成手段とを備えることを特徴とする。
【選択図】 図１

【特許請求の範囲】

【請求項1】

ネットワーク上の端末の脆弱性を検査する検査装置において、
機器情報と脆弱性検査内容とを対応付けた検査内容情報を格納する検査内容情報格納手段と、
検査対象端末の機器情報を含む情報を受信する受信手段と、
前記検査対象端末の前記機器情報に基づいて前記脆弱性検査内容を決定して脆弱性検査を行なう脆弱性検査手段と、
前記脆弱性検査手段による脆弱性検査結果を検査出力手段の出力形式に変換して出力させる検査結果生成手段と
を備えることを特徴とする検査装置。

【請求項2】

前記脆弱性検査手段が、前記機器情報としての機器種別に基づいて、前記脆弱性検査内容を決定することを特徴とする請求項１に記載の検査装置。

【請求項3】

前記検査内容情報格納手段が、機器の性能に応じた前記脆弱性検査内容を機器種別に対応付けて格納し、
前記脆弱性検査手段が、前記検査内容情報格納手段から、前記検査対象端末の機器種別に対応する１又は複数の前記脆弱性検査内容を検索して決定する
ことを特徴とする請求項１又は２に記載の検査装置。

【請求項4】

前記脆弱性検査内容は、機器種別及び又は検査種別に応じて優先順位が設定されており、
前記脆弱性検査手段が、前記優先順位に従って脆弱性検査を行なうことを特徴とする請求項１～３のいずれかに記載の検査装置。

【請求項5】

前記脆弱性検査手段が、前記脆弱性検査結果に基づいて、次に実施する前記脆弱性検査内容を決定することを特徴とする請求項１～４のいずれかに記載の検査装置。

【請求項6】

検査対象端末の機器種別と異常スコア情報とを対応付けた機器情報格納手段を備え、
前記脆弱性検査手段が、前記異常スコア情報に応じて、脆弱性検査を行なうことを特徴とする請求項１～５のいずれかに記載の検査装置。

【請求項7】

前記脆弱性検査手段が、前記検査対象端末との接続可否判定を行なうことを特徴とする請求項６に記載の検査装置。

【請求項8】

ネットワーク上の端末の脆弱性を検査する検査システムにおいて、
機器情報と脆弱性検査内容とを対応付けた検査内容情報を格納する検査内容情報格納手段と、
検査対象端末の機器情報を含む情報を受信する受信手段と、
前記検査対象端末の前記機器情報に基づいて前記脆弱性検査内容を決定して脆弱性検査を行なう脆弱性検査手段と、
前記脆弱性検査手段による脆弱性検査結果を検査出力手段の出力形式に変換して出力させる検査結果生成手段と
を備えることを特徴とする検査システム。

【請求項9】

ネットワーク上の端末の脆弱性を検査する検査方法において、
検査内容情報格納手段が、機器情報と脆弱性検査内容とを対応付けた検査内容情報を格納し、
受信手段が、検査対象端末の機器情報を含む情報を受信し、
脆弱性検査手段が、前記検査対象端末の前記機器情報に基づいて前記脆弱性検査内容を決定して脆弱性検査を行ない、
検査結果生成手段が、前記脆弱性検査手段による脆弱性検査結果を検査出力手段の出力形式に変換して出力させる
ことを特徴とする検査方法。

【発明の詳細な説明】

【技術分野】

【0001】

本発明は、検査装置、検査システム及び検査方法に関するものであり、例えば、ネットワーク上の端末を遠隔監視して脆弱性を検査するに適用し得るものである。

【背景技術】

【0002】

コンピュータのＯＳやソフトウェアには、プログラムの不具合や設計上のミスが原因で情報セキュリティ上の欠陥である脆弱性問題が発生する場合がある。脆弱性が残された状態でコンピュータを利用していると、不正アクセスに利用されたり、ウィルスに感染したりする危険性がある。

【0003】

このように脆弱性は、インターネットに接続しているコンピュータにおける情報セキュリティ上の大きな問題のひとつになっている。

【0004】

脆弱性を発見するソフトウェアとして、非特許文献１～３に記述しているような脆弱性検査ツールがある。脆弱性検査ツールを利用して脆弱性を発見、除去することでウィルス感染等のリスクを抑えることができる。

【先行技術文献】

【非特許文献】

【0005】

【非特許文献1】Ｎｍａｐ．ｏｒｇウェブページ,Ｎｍａｐリファレンスガイド，https://nmap.org/，２０２１年２月１２日検索

【非特許文献2】Ｔｅｎａｂｌｅ Ｈｏｌｄｉｎｇｓ Ｉｎｃ．製品ウェブページ，Ｎｅｓｓｕｓ製品ページ，http://www.tenable.com/products/nessus-vulnerability-scanner，２０２１年２月１２日検索

【非特許文献3】ＯＷＡＳＰ（オープンＷｅｂアプリケーションセキュリティプロジェクト）ＺＡＰインデックスページ，https://owasp.org/，２０２１年２月１２日検索

【発明の概要】

【発明が解決しようとする課題】

【0006】

しかしながら、上述したような脆弱性検査ツールは、検査対象端末と検査内容を決めてから検査を行うため、端末がネットワークに接続後、検査するまでに時間が経過することがある。そのため、検査完了するまでに、端末が攻撃を受けてしまう可能性があるという問題がある。

【0007】

また、脆弱性検査ツールは、検査対象端末に対しスキャンするため、検査対象端末に負荷がかかり、本来の端末の処理に影響を及ぼす可能性がある。

【0008】

そのため、検査対象端末の検知後、すぐに脆弱性検査を行ない、脆弱性のある端末発見までの時間を短縮することができ、機器情報に基づいて、脆弱性検査の内容範囲を絞ったり、検査順、検査タイミングを決めることで、端末に負荷をかけずに緊急度の高い脆弱性を検知できる検査装置、検査システム及び検査方法が求められている。

【課題を解決するための手段】

【0009】

かかる課題を解決するために、第１の本発明は、ネットワーク上の端末の脆弱性を検査する検査装置において、機器情報と脆弱性検査内容とを対応付けた検査内容情報を格納する検査内容情報格納手段と、検査対象端末の機器情報を含む情報を受信する受信手段と、検査対象端末の機器情報に基づいて脆弱性検査内容を決定して脆弱性検査を行なう脆弱性検査手段と、脆弱性検査手段による脆弱性検査結果を検査出力手段の出力形式に変換して出力させる検査結果生成手段とを備えることを特徴とする。

【0010】

第２の本発明は、ネットワーク上の端末の脆弱性を検査する検査システムにおいて、機器情報と脆弱性検査内容とを対応付けた検査内容情報を格納する検査内容情報格納手段と、検査対象端末の機器情報を含む情報を受信する受信手段と、検査対象端末の機器情報に基づいて脆弱性検査内容を決定して脆弱性検査を行なう脆弱性検査手段と、脆弱性検査手段による脆弱性検査結果を検査出力手段の出力形式に変換して出力させる検査結果生成手段とを備えることを特徴とする。

【0011】

第３の本発明は、ネットワーク上の端末の脆弱性を検査する検査方法において、検査内容情報格納手段が、機器情報と脆弱性検査内容とを対応付けた検査内容情報を格納し、受信手段が、検査対象端末の機器情報を含む情報を受信し、脆弱性検査手段が、検査対象端末の機器情報に基づいて脆弱性検査内容を決定して脆弱性検査を行ない、検査結果生成手段が、脆弱性検査手段による脆弱性検査結果を検査出力手段の出力形式に変換して出力させることを特徴とする。

【発明の効果】

【0012】

本発明によれば、検査対象端末の検知後、すぐに脆弱性検査を行ない、脆弱性のある端末発見までの時間を短縮することができ、機器情報に基づいて、脆弱性検査の内容範囲を絞ったり、検査順、検査タイミングを決めることで、端末に負荷をかけずに緊急度の高い脆弱性を検知できる。

【図面の簡単な説明】

【0013】

【図1】第１の実施形態に係る検査システムの構成を示す構成図である。

【図2】第１の実施形態に係る検査装置の内部構成を示す内部構成図である。

【図3】第１の実施形態に係る機器情報の構成例を示す構成図である。

【図4】第１の実施形態に係る脆弱性検査に関する判定情報及び脆弱性検査の検査順位を示す図である。

【図5】第１の実施形態に係る脆弱性判定結果の構成例を示す構成図である。

【図6】第１の実施形態に係る脆弱性検査方法の処理動作を示すフローチャートである。

【図7】第１の実施形態に係る脆弱性検査結果の出力例を示す画面図である。

【図8】第２の実施形態に係る検査装置の内部構成を示す内部構成図である。

【図9】第２の実施形態に係る機器情報の構成例を示す構成図である。

【図10】第２の実施形態に係る脆弱性検査方法の処理動作を示すフローチャートである。

【発明を実施するための形態】

【0014】

（Ａ）第１の実施形態
以下では、本発明に係る検査装置、検査システム及び検査方法の第１の実施形態を、図面を参照しながら詳細に説明する。

【0015】

（Ａ－１）第１の実施形態の構成
図１は、第１の実施形態に係る検査システムの構成を示す構成図である。

【0016】

図１において、第１の実施形態に係る検査システム５は、検査装置１、新規端末検知装置２、検査結果出力装置３を有する。

【0017】

なお、図１では、検査装置１、新規端末検知装置２、検査結果出力装置３が、それぞれ別構成であり、ネットワークＮＴを介して接続可能な場合を例示しているが、物理的に１個の装置が、検査装置１、新規端末検知装置２、検査結果出力装置３の機能を有するものであってもよい。

【0018】

検査システム５は、例えばインターネットやイーサネット等のネットワークＮＴに接続可能な端末４（４－１～４－ｎ；ｎは正の整数）を検査対象とする。

【0019】

検査装置１は、検査対象とする端末４内に脆弱性を含んでいるか否かを検査する機能を有する。つまり、検査装置１は、端末４に搭載のＯＳ（Ｏｐｅｒａｔｉｎｇ Ｓｙｓｔｅｍ）やアプリケーションソフトウェア等に存在する脆弱性の有無を検査する。

【0020】

なお、検査装置１は、例えば汎用コンピュータを用いることができ、コンピュータが実行可能な処理プログラム（例えば検査プログラム等）をインストールすることにより、各種機能を実現するようにしてもよい。

【0021】

新規端末検知装置２は、端末４がネットワークＮＴ上に接続されると、脆弱性検査の対象と判断した端末４であれば、新規接続情報を検査装置１に通知する。また、新規端末検知装置２は、端末４の機器種別を同定する機器同定機能を有する。ここで、機器同定とは、端末４のネットワークＮＴ上でのトラフィックのふるまいを分析・解析して、端末４の機器種別を判定する機能である。機器同定は、静的に判定するので、端末４に負荷をかけることはない。新規端末検知装置２は、例えばゲートウェイ等のネットワークＮＴ内の端末４の接続を管理できる装置内の機能とするようにしてもよい。

【0022】

なお、新規端末検知装置２は、例えば汎用コンピュータを用いることができ、コンピュータが実行可能な処理プログラム（例えば検査プログラム等）をインストールすることにより、各種機能を実現するようにしてもよい。

【0023】

検査結果出力装置３は、検査装置１が行なった脆弱性検査の結果を出力する。例えば、検査結果出力装置３は、ブラウザを有し、ブラウザを介して、脆弱性検査結果を表示したり、オペレータの操作により脆弱性検査結果表示に必要な入力を受け付ける。

【0024】

端末４（４－１～４－ｎ）は、ＩＰ（Ｉｎｔｅｒｎｅｔ Ｐｒｏｔｏｃｏｌ）アドレスやＭＡＣ（Ｍｅｄｉａ Ａｃｃｅｓｓ Ｃｏｎｔｒｏｌ）アドレスが付与された端末であり、ネットワークＮＴに接続可能な端末である。端末４は検査対象端末である。

【0025】

図２は、第１の実施形態に係る検査装置１の内部構成を示す内部構成図である。

【0026】

図２において、検査装置１は、データ受信部１１、脆弱性検査部１２、スキャンデータ生成部１３、検査結果生成部１４、制御部１５、機器情報格納部１６、判定情報格納部１７、脆弱性検査結果格納部１８を有する。

【0027】

データ受信部１１は、端末４の新規接続情報を新規端末検知装置２から受信する。また、データ受信部１１は、検査装置１が端末４に対して行ったスキャン結果を受信する。

【0028】

脆弱性検査部１２は、データ受信部１１から端末４の新規端末接続データを取得すると、検査対象の端末４に対してスキャンを行うための脆弱性検査内容を決定し、その脆弱性検査内容をスキャンデータ生成部１３に与える。ここで、脆弱性検査部１２は、新規端末検知装置２から受信した新規接続データと、機器情報格納部１６、判定情報格納部１７、脆弱性検査結果格納部１８内の情報とを用いて、脆弱性検査内容を決定する。また、脆弱性検査部１２が端末４に対して行うスキャンの種類は、例えば、ポートスキャン、パスワードスキャンがある。

【0029】

また、脆弱性検査部１２は、データ受信部１１からスキャンを行なった端末４のスキャン結果を取得し、端末４のスキャン結果に基づく脆弱性検査結果を検査結果生成部１４に与える。

【0030】

スキャンデータ生成部１３は、脆弱性検査部１２が決定した脆弱性検査内容について、判定情報格納部１７内のデータを用いてスキャンデータを生成し、検査対象の端末４に対して送信する。

【0031】

検査結果生成部１４は、脆弱性検査部１２から取得した脆弱性検査結果を変換して、検査結果出力装置３で表示できる形式の結果を生成し、検査結果出力装置３に送信する機能を持つ。

【0032】

機器情報格納部１６は、ネットワークＮＴに接続される脆弱性検査対象となる端末４の機器情報を格納する。

【0033】

図３は、第１の実施形態に係る機器情報の構成例を示す構成図である。図３に例示するように、機器情報格納部１６が格納する機器情報は、例えば、ＩＰアドレス、ＭＡＣアドレス、機器種別などを項目として有する情報である。機器種別は、脆弱性検査内容を決定するために用いる情報である。機器種別は、あらかじめ脆弱性検査の対象とする機器毎に設定するが、脆弱性検査結果後に、自動的に、脆弱性検査を行った端末の機器種別を追加設定するようにしてもよい。

【0034】

判定情報格納部１７は、脆弱性検査の検査内容を判定するための判定情報を格納すると共に、検査順位等を格納する。脆弱性検査の検査内容の判定方法は、例えば、パスワードスキャンならばパスワードリスト、ポートスキャンならば検査対象ポート等のように、スキャン方法（検査方法）種類に応じた方法を決めるようにしてもよい。

【0035】

図４（Ａ）は、第１の実施形態に係る脆弱性検査内容の判定情報の構成図であり、図４（Ｂ）は、脆弱性検査の検査順位を示す図である。

【0036】

図４（Ａ）に示すように、脆弱性検査内容の判定情報は、脆弱性検査の検査内容を識別するための「検査ＩＤ」、「機器種別」、「検査種別」、「検査コマンド」、「検査ファイル名」、「正規結果出力ファイル」を項目とする。換言すると、脆弱性検査内容の判定情報は、機器情報と脆弱性検査内容とを対応付けた情報である。機器情報と、脆弱性検査内容とは、事前に対応付けたものとしてもよいが、脆弱性検査を繰り返し行うことで、適宜、変更するようにしてもよい。

【0037】

例えば、検査対象とする機器種別が指定されると、該当する「検査ＩＤ」の全てを返信する。また、返信した検査ＩＤの中から、「検査ＩＤ」が指定されると、「検査種別」から何を検査するかを知ることができ、さらに「検査コマンド」、「検査ファイル名」から検査の実行形式を取得することができる。また、脆弱性検査結果と正規結果出力ファイルとを比較し、脆弱性判断の参考にできる。

【0038】

また、図４（Ａ）における「検査ＩＤ：２」は全端末共通の検査内容（「機器種別：ＡＬＬ」）である。「検査ＩＤ：３」と「検査ＩＤ：５」はＰＣ向け検査内容、「検査ＩＤ：６」はスマートタップ向け検査内容である。このように、機器種別毎に使用ポート番号が異なった検査を行ったり、ＰＣ向けはスマートタップより詳細な検査を行うなどといったことができる。「検査ファイル名」は、ポートスキャンを実施するならばスキャン対象ポート番号、パスワードスキャンならばパスワードリストを記述したファイルをあらかじめ作成しておき検査ファイル名として指定する。

【0039】

図４（Ｂ）は、あらかじめ設定した検査順位である。例えば、複数の検査を行なう必要がある場合、どの順で検査を行うかを知ることができる。「優先順：１」が優先順位が高いものとする。優先順位が低い場合は優先順位が高い検査の検査結果により省略するようにしてもよい。

【0040】

脆弱性検査結果格納部１８は、脆弱性検査部１２により検査された脆弱性検査結果を格納する。

【0041】

図５は、第１の実施形態に係る脆弱性判定結果の構成例を示す構成図である。図５において、脆弱性判定結果は、「検査ＩＤ」、例えばＩＰアドレス又はＭＡＣアドレス等を示す「端末ＩＤ」、「検査時刻」、ポートスキャン結果を示す「ポート」、パスワードスキャン結果を示す「パスワード」、「ログファイル名」等の項目を、脆弱性判定毎に格納する。例えば、同一端末ＩＤの端末４に対して新たに脆弱性検査をしたならば、以前（過去）の脆弱性結果に対し、新たな脆弱性結果を上書きし、又は、新たな検査ＩＤを割り当てて追記する。

【0042】

制御部１５は、脆弱性検査を行う検査装置１の各種機能を司るものである。制御部１５は、脆弱性検査調査開始タイミングを決め、脆弱性検査開始タイミングになれば、脆弱性検査部１２に、検査実行要求を出す機能を持つ。また、制御部１５は、端末４のＣＰＵ使用率や負荷を取得し、閾値を用いてＣＰＵの負荷が高いと判断する場合、その端末４の脆弱性開始タイミングを遅らせるようにしてもよい。

【0043】

（Ａ－２）第１の実施形態の動作
次に、第１の実施形態に係る検査システム５による脆弱性検査方法の処理の動作を、図面を参照しながら詳細に説明する。

【0044】

図６は、第１の実施形態に係る脆弱性検査方法の処理動作を示すフローチャートである。

【0045】

［Ｓ１０１］
新規端末検知装置２は、ネットワークＮＴのトラフィック状況を監視し、新規に接続された端末４を検知する（Ｓ１０１）。そして、新規端末検知装置２が新規接続の端末４を検知すると、新規端末検知装置２は新規接続情報を検査装置１に送信する。ここで、新規接続時とは、該当端末４が起動してネットワークＮＴに接続したことを新規端末検知装置２が判定した時を言う。

【0046】

新規接続時以外に、新規端末検知装置２が機器同定できれば、新規端末検知装置２は機器同定情報を検査装置１に送信する。さらに、新規接続時以外に、前回新接続情報の送信から所定時間経過したときにも、新規端末検知装置２は端末４の端末情報を送信するようにしてもよい。

【0047】

［Ｓ１０２］
検査装置１において、データ受信部１１が、新規端末検知装置２からの新規接続情報を受信すると、データ受信部１１は、新規接続情報に含まれている、ＩＰアドレス又はＭＡＣアドレスなど機器種別に関する情報を抽出する（Ｓ１０２）。

【0048】

［Ｓ１０３］
データ受信部１１は、新規接続情報から抽出したＩＰアドレス又はＭＡＣアドレスを用いて、機器情報格納部１６から、ＩＰアドレス又はＭＡＣアドレスに対応する機器情報を検索する（Ｓ１０３）。例えば、データ受信部１１が新規接続情報から抽出したＩＰアドレスが「１．１．１．１」であるとする。その場合、図３に例示する機器情報格納部１６から、ＩＰアドレス「１．１．１．１」に対応する「ＩＤ：１」の機器情報を検索する。

【0049】

［Ｓ１０４］
脆弱性検査部１２は、データ受信部１１からの新規接続情報と、機器情報格納部１６内のデータと脆弱性検査結果格納部１８内のデータとを用いて、当該端末４が、脆弱性検査が必要であるか否かを判定する（Ｓ１０４）。

【0050】

例えば、脆弱性検査部１２は、新規接続情報に含まれているＩＰアドレス又はＭＡＣアドレスを用いて、図５の脆弱性検査結果格納部１８から、脆弱性検査結果があるか否かを判定する。脆弱性検査結果がない場合、当該端末４について脆弱性検査が行なわれていないので、脆弱性検査部１２は脆弱性検査が必要であると判定する。例えば、新規接続情報のＩＰアドレスが「５．５．５．５」とする。その場合、脆弱性検査部１２は、図５の脆弱性検査結果格納部１８を参照して、ＩＰアドレス「５．５．５．５」の脆弱性検査結果が存在していないので、ＩＰアドレス「５．５．５．５」は脆弱性検査が必要と判定する。

【0051】

また例えば、前回の脆弱性検査を行なってから所定時間以上経過しているならば、脆弱性検査部１２は、脆弱性検査が必要と判定してもよい。例えば、現在時刻が「２０２０／９／２１ ００：００：００」であり、前回の検査時刻から２４時間以上経過していれば、脆弱性検査が必要であるとする。その場合、脆弱性検査部１２は、図５の脆弱性検査結果格納部１８を参照して、ＩＰアドレス「４．４．４．４」は前回の脆弱性検査から２４時間以上経過しているので、ＩＰアドレス「４．４．４．４」は脆弱性検査が必要と判定する。

【0052】

さらに別の方法として、機器同定結果が機器情報格納内容と異なるといった場合、脆弱性検査部１２は脆弱性検査が必要と判定してもよい。

【0053】

なお、脆弱性検査部１２は、上述した３つの判定方法の全て又はいずれかの方法を組み合わせても、脆弱性検査が必要か否かを判定してもよい。例えば、上述した３つの判定方法を全て用いる場合、脆弱性検査部１２は、前回の検査から２４時間以上経過しているＩＰアドレス「４．４．４．４」と、脆弱性検査結果が存在していないＩＰアドレス「５．５．５．５」の２台を脆弱性検査対象とする。

【0054】

なお、図５の例で、脆弱性検査結果が既にＮＧである場合に、脆弱性検査対象の判断を変更するようにしてもよい。換言すると、脆弱性検査部１２が実施した脆弱性検査の結果に基づいて、検査すべき脆弱性の検査内容を決定して、その脆弱性検査を行ってもよい。例えば、不正なポートが開いている場合は、そのポートに関わる検査を追加実施することもできる。

【0055】

［Ｓ１０５］
脆弱性検査が必要である場合（Ｓ１０４／ＹＥＳ）、脆弱性検査部１２は、判定情報格納部１７の判定情報を参照し、脆弱性検査内容のリストを取得し、脆弱性検査内容を決定する（Ｓ１０５）。

【0056】

例えば、ＩＰアドレス「１．１．１．１」の端末４が脆弱性検査対象となったものとする。脆弱性検査部１２は、図３の機器情報格納部１６を参照して、当該端末の機器種別が「機器種別：ＰＣ」であると検索する。その場合、脆弱性検査部１２は、図４の判定情報格納部１７に対して「機器種別：ＰＣ」を指定して検索すると、「機器種別：ＰＣ」に該当する「検査ＩＤ：２」、「検査ＩＤ：３」、「検査ＩＤ：５」を含む脆弱性検査内容リストとして取得し、この中から対象とする検査を決定する。

【0057】

［Ｓ１０６］
次に、脆弱性検査部１２は、判定情報格納部１７の検査順位を参照して、対象とする検査の順序を抽出し、検査開始タイミングを決定する（Ｓ１０６）。

【0058】

例えば、Ｓ１０５の例で、「検査ＩＤ：２」、「検査ＩＤ：３」、「検査ＩＤ：５」の脆弱性検査内容リストを取得する。この場合、脆弱性検査部１２は、図４（Ｂ）の検査順位を参照して、優先順位の高い「検査ＩＤ：５」の検査を選択する。なお、選択されなかった検査ＩＤがある場合、次回の脆弱性検査の処理でＳ１０４に戻ったときに、脆弱性検査が必要（Ｓ１０４／ＹＥＳ）と判定し、選択されたなかった検査ＩＤ、優先順に選択する。つまり、第１巡目で「検査ＩＤ：５」を選択したら、２巡目で次に優先順位が高い「検査ＩＤ：２」を選択し、３巡目で「検査ＩＤ：３」を選択する。

【0059】

［Ｓ１０７］
脆弱性検査部１２は、Ｓ１０５で決定した脆弱性検査内容、Ｓ１０６で決定した検査開始タイミングで、脆弱性検査を行なう（Ｓ１０７）。脆弱性検査部１２は脆弱性検査要求を端末４に出し、端末４から脆弱性検査の応答を受信して、脆弱性を検査する。

【0060】

例えば、脆弱性検査部１２が「ＩＰアドレス：１．１．１．１」の端末４について「検査ＩＤ：５」の脆弱性検査を実施する場合は、脆弱性検査部１２が、図４（Ａ）の判定情報格納部１７の検査情報から、「検査ファイル名：Ｐｏｒｔ０２」を用い、「検査コマンド：ｂｂｂ」を実行する。例えば、脆弱性検査要求が端末４に送信される。端末４からの応答は、受信部経由で検査コマンドに入力され、脆弱性の有無が判断される。脆弱性検査結果は、脆弱性検査結果格納部１８に書き込まれる。

【0061】

［Ｓ１０８］
脆弱性検査が終了すると、検査結果生成部１４は、脆弱性検査部１２からの検査結果に基づいて、検査結果出力装置３向けの脆弱性検査結果を生成する（Ｓ１０８）。

【0062】

例えば、検査結果生成部１４は、検査結果出力装置３に検査結果を表示できるようＨＴＭＬ（ＨｙｐｅｒＴｅｘｔ Ｍａｒｋｕｐ Ｌａｎｇｕａｇｅ）等の形式に変換する。

【0063】

例えば、検査結果生成部１４は、脆弱性有無の結果を、コマンドの出力から該当部を表示する。または、正規結果出力ファイルの内容と比較し脆弱性有無結果を生成する。

【0064】

［Ｓ１０９］
検査結果生成部１４が脆弱性検査結果を生成すると、検査結果生成部１４は、脆弱性検査結果を検査結果出力装置３に送信する。そして、検査結果出力装置３は、脆弱性検査結果を出力する（Ｓ１０９）。

【0065】

なお、検査結果生成部１４は、脆弱性検査結果をログファイルとして記録する。また、検査結果生成部１４は、検査結果によっては、端末４を制御するようにしてもよい。

【0066】

図７は、脆弱性検査結果の出力例を示す画面図である。図７（Ａ）は正常時の結果を示す画面図であり、図７（Ｂ）は異常時の結果を示す画面である。図７（Ａ）及び図７（Ｂ）に示すように、検査対象端末のＩＰアドレスを示す「ＩＰ」、ポートスキャン結果を示す「ｐｏｒｔ」、パスワードスキャン結果を示す「ｐａｓｓｗｏｒｄ」、ログファイル名を示す「ｌｏｇ」、検査時刻を示す「時刻」を表示する。ポートスキャン結果、パスワードスキャン結果は検査が省略された場合は表示しないようにしてもよい。ログファイル名をクリックするとログファイルが表示される。

【0067】

検査結果出力装置３で脆弱性検査結果が表示され、引き続き脆弱性検査を行なう場合、Ｓ１０４に戻り、処理が繰り返される。

【0068】

［Ｓ１１０］
脆弱性検査の必要がなく、全ての脆弱性検査が終了した場合（Ｓ１０４／ＮＯ）、検査装置１は、全ての脆弱性検査が終了したことを、検査結果出力装置３に送信して、脆弱性検査終了結果を表示する（Ｓ１１０）。

【0069】

（Ａ－３）第１の実施形態の効果
以上のように、第１の実施形態によれば、新規端末検知後、すぐに脆弱性検査を行なうようにしたので、端末がネットワークに新規接続された時、従来技術より脆弱性のある端末発見までの時間を短縮することができるという効果が得られる。

【0070】

また、第１の実施形態によれば、静的な処理である新規端末検知や機器同定の結果を用い、脆弱性検査の内容範囲を絞ったり、検査順、検査タイミングを決めるようにしたので、端末に負荷をかけずに緊急度の高い脆弱性をすぐに発見できるという効果が得られる。

【0071】

（Ｂ）第２の実施形態
次に、本発明に係る検査装置、検査システム及び検査方法の第２の実施形態を、図面を参照しながら詳細に説明する。

【0072】

（Ｂ－１）第２の実施形態の構成
図８は、第２の実施形態に係る検査装置１Ａの内部構成を示す内部構成図である。

【0073】

図８において、検査装置１Ａは、データ受信部２１、不正端末検査部２２、検査結果生成部２４、制御部２５、機器情報格納部２６、判定情報格納部２７、脆弱性検査結果格納部２８を有する。

【0074】

図８において、第２の実施形態の検査装置１Ａは、図２の脆弱性検査部１２に代えて、不正端末検査部２２を設ける。

【0075】

不正端末検査部２２は、ネットワークＮＴに接続された端末４が、許可されていない端末、許可されていないユーザアカウントが追加されている、及び又は、許可されていないソフトウェアをインストールされている等の不正接続された端末を検査する機能を持つ。

【0076】

機器情報格納部２６は、第１の実施形態と同様に機器情報を格納するものであるが、機器情報の項目に、機器異常スコアの項目を追加したものを格納する。

【0077】

図９は、第２の実施形態に係る機器情報の構成例を示す構成図である。図９に例示するように、第２の実施形態の機器情報は、図３の項目に加えて、「機器異常スコア」の項目を追加している。

【0078】

機器異常スコアは、例えば、「１」～「１０」の１０段階で評価したスコア値で表し、スコアの値が大きいほど、不正端末の確率が高いものとする。機器異常スコアは新規端末検知装置２又は不正端末検査部２２で生成する。

【0079】

また、機器情報格納部２６、判定情報格納部２７、脆弱性検査結果格納部２８は、新規端末検知装置２からも参照可能であるものとする。

【0080】

（Ｂ－２）第２の実施形態の動作
次に、第２の実施形態に係る検査システム５による脆弱性検査方法の処理の動作を、図面を参照しながら詳細に説明する。

【0081】

図１０は、第２の実施形態に係る脆弱性検査方法の処理動作を示すフローチャートである。

【0082】

ここでは、後述するように、検査装置１Ａは、新規接続情報を受信したタイミングで処理を開始する。しかし、検査装置１Ａは、新規接続情報の受信タイミングだけでなく、検査装置１が独自に、前回の脆弱性検査結果から所定時間経過しているか否かを監視して、不正端末検査の必要性を判断するようにしてもよい。

【0083】

［Ｓ２０１］
新規端末検知装置２は、第１の実施形態と同様に、ネットワークＮＴのトラフィック状況を監視し、新規に接続された端末４を検知し（Ｓ２０１）、新規接続情報を検査装置１Ａに送信する。また、新規端末検知装置２は、新規接続した端末４の機器同定ができれば、その機器同定情報も検査装置１Ａに送信する。

【0084】

第２の実施形態では、新規端末検知装置２は、メッセージ中に、機器の異常スコアの値も含めて検査装置１Ａに送信する。

【0085】

ここで、新規端末検知装置２による異常スコアの評価方法を例示する。新規端末検知装置２は、検査装置１Ａの機器情報格納部１６を参照することができる。また、新規端末検知装置２は、新規接続した端末４の機器種別を同定できる。そのため、例えば、新規端末検知装置２が、機器情報格納部２６内の情報を見て、新規接続された端末４の機器が、機器情報格納部２６に格納されていない機器であれば、異常スコアの値を高くする。機器機種が新規のときの異常スコアの値は事前に決めておいてよい。

【0086】

また、別の方法として、新規端末検知装置２は、検査装置１Ａの脆弱性検査結果格納部２８を参照できるので、過去の脆弱性検査で脆弱性と判定されたネットワークＮＴと、同一ネットワークＮＴ内に異常発生したときには、異常スコアの値を高くするようにしてもよい。

【0087】

なお、新規端末検知装置２は、機器情報格納部２６、判定情報格納部２７、脆弱性検査結果格納部２８を参照できる。したがって、新規端末検知装置２が、前回不正端末検査から所定時間が経過している場合も、新規接続情報を、検査装置１に送信するようにしてもよい。これにより、検査装置１Ａに対して不正端末検査の必要性を判断させることができる。

【0088】

また、上述したように、検査装置１Ａも独自に、前回の脆弱性検査結果から所定時間経過しているか否かを監視して、不正端末検査の必要性を判断することもできる。

【0089】

［Ｓ２０２］
検査装置１は、データ受信部２１が、新規接続情報の受信待機を行ない、新規接続情報を受信すると、新規接続した端末４のＩＰアドレス又はＭＡＣアドレスを抽出する（Ｓ２０２）。

【0090】

［Ｓ２０３］
データ受信部２１は、新規接続情報から抽出したＩＰアドレス又はＭＡＣアドレスを用いて、機器情報格納部２６から、ＩＰアドレス又はＭＡＣアドレスに対応する機器情報を検索する（Ｓ２０３）。

【0091】

［Ｓ２０４］
不正端末検査部２２は、受信した新規接続情報から異常スコアを抽出し、異常スコアの値に基づいて、不正端末検査が必要か否かを判定する（Ｓ２０４）。不正端末検査が必要と判定されると、処理はＳ２０５に移行し、不要と判定されると、処理はＳ２０６に移行する。

【0092】

例えば、１０段階評価の異常スコアの値が「６」以上であれば、不正端末検査部２２は、不正端末検査が必要であると判定するようにしてもよい。つまり、異常スコアの値が閾値以上のときに、不正端末検査が必要であると判定してよい。

【0093】

［Ｓ２０５］
不正端末検査が必要であると判定すると（Ｓ２０４／ＹＥＳ）、不正端末検査部２２は、新規接続された端末４について脆弱性検査を行なう（Ｓ２０５）。

【0094】

ここで、第２の実施形態では、脆弱性検査を実施することで、端末４が不正端末であるか否かを判断するものとする。

【0095】

第１の実施形態では、脆弱性検査内容と検査タイミングとを決定した後、脆弱性検査を実施したが、第２の実施形態では、不正端末検査は検査優先順位が最も高いものとみなし、Ｓ２０４で不正端末検査が必要であると判定すると、すぐに、不正端末検査部２２は脆弱性検査を実施する。

【0096】

ここで、不正端末検査部２２による不正端末の判定方法を例示する。不正端末の判定では、例えば、許可されていない端末、ポートスキャンにより、許可されていないＯＳや、許可されていないソフトウェアが使用するポートが開いていることを検出したり、パスワードスキャン等により、許可されていないユーザといったことが発見されれば不正端末とみなす。

【0097】

また例えば、脆弱性検査の結果が、既にネットワーク内に存在している他の端末の結果とは異なっていることにより不正端末とみなしても良い。

【0098】

例えば、ＯＳがＷｉｎｄｏｗｓ（登録商標）やＬｉｎｕｘ（登録商標）の端末の接続しか許可されていない拠点において、ＯＳスキャンの結果が既存の端末のスキャン結果と類似していないことでもって不正端末とみなしても良い。例えば、既存ツールを使ったＯＳスキャンの結果、厳密なＯＳのバージョン情報までは取得できない場合に、スキャン結果の文字列から、既にネットワーク内に存在している他の端末のＯＳとは明らかに異なると推定される端末を不正端末とみなしても良い。不正の度合いにより異常スコアを決定する。

【0099】

不正端末検査部２２は、脆弱性検査を行い、端末４が不正端末か否かを判定する。そして、端末４が不正端末の疑いがあれば、不正端末検査部２２は、図９（Ａ）の機器情報における「異常スコア」に高いスコア値を記述し、不正端末でない可能性が高ければ低いスコア値を記述し、機器情報格納部２６内の情報を更新する。

【0100】

また、不正端末検査部２２は、脆弱性検査後、脆弱性検査結果格納部２８内の情報も更新する。

【0101】

［Ｓ２０６］
脆弱性検査が終了すると、検査結果生成部２４は、不正端末検査部２２からの検査結果に基づいて、検査結果出力装置３向けの不正端末判定結果を生成する。また、Ｓ２０４で不正端末検査が不要と判定されたとき（Ｓ２０４／ＮＯ）、検査結果生成部２４は、その旨を含む不正端末判定結果を生成する（Ｓ２０６）。

【0102】

［Ｓ２０７］
検査結果生成部２４が脆弱性検査結果を生成すると、検査結果生成部２４は、脆弱性検査結果を検査結果出力装置３に送信する。そして、検査結果出力装置３は、脆弱性検査結果を出力する（Ｓ２０７）。第２実施形態では、検査結果出力装置３は、機器についての異常スコアの値、不正内容等も表示する。

【0103】

（Ｂ－３）第２の実施形態の効果
以上のように、第２の実施形態によれば、第１の実施形態の効果に加えて、次の効果を奏する。

【0104】

第２の実施形態によれば、機器異常スコアや機器同定結果により、不正端末検査の緊急度を調べ、脆弱性検査を行うようにした。不正な端末が接続後、すぐにどのような挙動を起こすかを予測することができるという効果が得られる。

【0105】

（Ｃ）他の実施形態
以上のように、上述した第１及び第２の実施形態においても種々の変形実施形態を言及したが、本発明は、以下の変形実施形態にも適用できる。

【0106】

（Ｃ－１）上述した第１の実施形態及び第２の実施形態ではそれぞれ単独で動作するように説明した、検査装置１と検査装置１Ａの両機能を備えるものとしてもよい。つまり、検査装置が、図２の検査装置１の各種機能と、図８の検査装置１Ａの各種機能とを備えるものとしてもよい。

【0107】

（Ｃ－２）図３又は図９に例示する機器情報、図４に例示する判定情報及び検査順の情報、図５に例示する脆弱性検査結果の情報の項目は、これらに限定されるものではない。これらの項目に加えて他の項目を追加してもよいし、これ他の項目の一部のみとしてもよい。上述した実施形態では、機器種別に基づいて、検査する範囲、検査順を決定したが、例えば、制御部１５が、端末のＣＰＵ使用率等の負荷情報に基づいて、検査する範囲、検査順、検査に係る負荷を決定するようにしてもよい。例えば、制御部１５は、端末のＣＰＵ使用率が高く負荷がかかっているときには、検査順を遅らせたり、また例えば、制御部１５は、ＣＰＵ性能が低いスマートタップに対しては、検査負荷を下げるようにしてもよい。

【符号の説明】

【0108】

１及び１Ａ…検査装置、２…新規端末検知装置、３…検査結果出力装置、４…端末、５…検査システム、
１１及び２１…データ受信部、１２…脆弱性検査部、２２…不正端末検査部、１３…スキャンデータ生成部、１４及び２４…検査結果生成部、１５及び２５…制御部、１６及び２６…機器情報格納部、１７及び２７…判定情報格納部、１８及び２８…脆弱性検査結果格納部。

【図1】

【図2】

【図3】

【図4】

【図5】

【図6】

【図7】

【図8】

【図9】

【図10】