特開 2023-62394 処理装置及び処理方法

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】公開特許公報(A)

(11)【公開番号】P2023062394

(43)【公開日】2023-05-08

(54)【発明の名称】処理装置及び処理方法

(51)【国際特許分類】

   G06F 21/57 20130101AFI20230426BHJP

   G06F 21/50 20130101ALI20230426BHJP

【ＦＩ】

G06F21/57 370

G06F21/50

【審査請求】有

【請求項の数】5

【出願形態】ＯＬ

(21)【出願番号】P 2021172344

(22)【出願日】2021-10-21

(11)【特許番号】

(45)【特許公報発行日】2022-06-17

(71)【出願人】

【識別番号】521541734

【氏名又は名称】株式会社アシュアード

(74)【代理人】

【識別番号】110002815

【氏名又は名称】ＩＰＴｅｃｈ弁理士法人

(72)【発明者】

【氏名】張 沈宇

(72)【発明者】

【氏名】鈴木 康弘

(57)【要約】

【課題】 コンテナイメージに含まれるプログラムの脆弱性に対する対策を適切に実行する支援を可能とする処理装置及び処理方法を提供する。
【解決手段】 処理装置は、コンテナイメージの実行によって構築されるコンテナをスキャンすることによって、前記コンテナで実行される実行プログラムを特定する制御部を備え、前記制御部は、前記実行プログラムの脆弱性を特定し、特定された脆弱性に基づいて、前記コンテナイメージに含まれるプログラムの脆弱性について対策すべき優先順位を設定するトリアージ処理を実行する。
【選択図】 図４

【特許請求の範囲】

【請求項1】

コンテナイメージの実行によって構築されるコンテナをスキャンすることによって、前記コンテナで実行される実行プログラムを特定する制御部を備え、
前記制御部は、前記実行プログラムの脆弱性を特定し、特定された脆弱性に基づいて、前記コンテナイメージに含まれるプログラムの脆弱性について対策すべき優先順位を設定するトリアージ処理を実行する、処理装置。

【請求項2】

前記制御部は、前記実行プログラム以外の非実行プログラムの前記優先順位よりも前記実行プログラムの前記優先順位が高くなるように前記トリアージ処理を実行する、請求項１に記載の処理装置。

【請求項3】

前記制御部は、前記実行プログラムを含むパッケージに関するパッケージ情報が登録されている場合に、前記パッケージ情報に基づいて前記実行プログラムの脆弱性を特定する、請求項１又は請求項２に記載の処理装置。

【請求項4】

前記制御部は、前記実行プログラムを含むパッケージに関するパッケージ情報が登録されていない場合に、前記実行プログラムに関するプログラム情報に基づいて前記実行プログラムの脆弱性を特定する、請求項１乃至請求項３のいずれか１項に記載の処理装置。

【請求項5】

コンテナイメージの実行によって構築されるコンテナをスキャンすることによって、前記コンテナで実行される実行プログラムを特定するステップAと、
前記実行プログラムの脆弱性を特定し、特定された脆弱性に基づいて、前記コンテナイメージに含まれるプログラムの脆弱性について対策すべき優先順位を設定するトリアージ処理を実行するステップBと、を備える、処理方法。

【発明の詳細な説明】

【技術分野】

【0001】

本発明は、処理装置及び処理方法に関する。

【背景技術】

【0002】

従来、物理サーバのホストOS（Operation System）上において、仮想化のためのレイヤ（例えば、ハイパーバイザ）を設けることによって、ハイパーバイザ上で2以上のゲストOSを動作させる仮想化技術が知られている。

【0003】

さらに、ハイパーバイザに代えてコンテナエンジンを設けることによって、ゲストOSを設けずにホストOSを共通化するコンテナ技術が注目を集めている。コンテナ技術では、コンテナイメージの実行によって構築されるコンテナによって仮想化が実現される。

【0004】

このような背景下において、コンテナイメージを静的にスキャンすることによって、コンテナイメージに含まれる全てのプログラムの脆弱性を判定する技術が提案されている（例えば、特許文献１）。

【先行技術文献】

【特許文献】

【0005】

【特許文献1】米国特許出願公開第２０１８／００４１５３９号明細書

【発明の概要】

【発明が解決しようとする課題】

【0006】

発明者等は、鋭意検討の結果、コンテナを用いてアプリケーションを実行する場合に、コンテナイメージに含まれるプログラムの全てが実行される訳ではないことに着目した。このような新たな着目に基づいて、脆弱性について対策すべき優先順位の設定（以下、トリアージ）を想定した場合に、コンテナイメージに含まれる全てのプログラムの脆弱性を判定すると、プログラムの脆弱性を開発者が確認する作業が極めて煩雑である。

【0007】

そこで、本発明は、上述した課題を解決するためになされたものであり、コンテナイメージに含まれるプログラムの脆弱性に対する対策を適切に実行する支援を可能とする処理装置及び処理方法を提供することを目的とする。

【課題を解決するための手段】

【0008】

開示に係る処理装置は、コンテナイメージの実行によって構築されるコンテナをスキャンすることによって、前記コンテナで実行される実行プログラムを特定する制御部を備え、前記制御部は、前記実行プログラムの脆弱性を特定し、特定された脆弱性に基づいて、前記コンテナイメージに含まれるプログラムの脆弱性について対策すべき優先順位を設定するトリアージ処理を実行する。

【0009】

開示に係る処理方法は、コンテナイメージの実行によって構築されるコンテナをスキャンすることによって、前記コンテナで実行される実行プログラムを特定するステップAと、前記実行プログラムの脆弱性を特定し、特定された脆弱性に基づいて、前記コンテナイメージに含まれるプログラムの脆弱性について対策すべき優先順位を設定するトリアージ処理を実行するステップBと、を備える。

【発明の効果】

【0010】

本発明によれば、コンテナイメージに含まれるプログラムの脆弱性に対する対策を適切に実行する支援を可能とする処理装置及び処理方法を提供することができる。

【図面の簡単な説明】

【0011】

【図1】図１は、実施形態に係る処理システム１００を示す図である。

【図2】図２は、実施形態に係るコンテナ技術を説明するための図である。

【図3】図３は、実施形態に係るコンテナ技術を説明するための図である。

【図4】図４は、実施形態に係る処理装置１０を示す図である。

【図5】図５は、実施形態にトリアージ処理の一例を示す図である。

【図6】図６は、実施形態に係る処理方法を示す図である。

【発明を実施するための形態】

【0012】

以下において、実施形態について図面を参照しながら説明する。なお、以下の図面の記載において、同一又は類似の部分には、同一又は類似の符号を付している。

【0013】

但し、図面は模式的なものであり、各寸法の比率などは現実のものとは異なる場合があることに留意すべきである。従って、具体的な寸法などは以下の説明を参酌して判断すべきである。また、図面相互間においても互いの寸法の関係又は比率が異なる部分が含まれている場合があることは勿論である。

【0014】

［開示の概要］
開示の概要に係る処理装置は、コンテナイメージの実行によって構築されるコンテナをスキャンすることによって、前記コンテナで実行される実行プログラムを特定する制御部を備え、前記制御部は、前記実行プログラムの脆弱性を特定し、特定された脆弱性に基づいて、前記コンテナイメージに含まれるプログラムの脆弱性について対策すべき優先順位を設定するトリアージ処理を実行する。

【0015】

開示の概要に係る処理方法は、コンテナイメージの実行によって構築されるコンテナをスキャンすることによって、前記コンテナで実行される実行プログラムを特定するステップAと、前記実行プログラムの脆弱性を特定し、特定された脆弱性に基づいて、前記コンテナイメージに含まれるプログラムの脆弱性について対策すべき優先順位を設定するトリアージ処理を実行するステップBと、を備える。

【0016】

開示の概要では、処理装置は、コンテナイメージの実行によって構築されるコンテナをスキャンすることによって、コンテナで実行される実行プログラムを特定し、実行プログラムの脆弱性に基づいて、コンテナイメージに含まれるプログラムの脆弱性について対策すべき優先順位を設定するトリアージ処理を実行する。このような構成によれば、アプリケーションの利用シーンを想定して、コンテナイメージに含まれる全てのプログラムの脆弱性ではなく、実行プログラムを対象とした脆弱性に注目してトリアージ処理が実行されるため、コンテナイメージに含まれるプログラムの脆弱性を確認する作業の煩雑さを低減し、脆弱性に対する対策を適切に実行する支援を行うことができる。

【0017】

ここで、プログラムは、コンテナによって共用されるOS（Operation System）のカーネルに対するプロセス群（命令群）である。プログラムは、ソフトウェア及びミドルウェアを含む概念として用いられてもよい。ソフトウェアは、ソフトウェアのソースコードが公開されたOSS（Open Source Software）を含んでもよい。

【0018】

［実施形態］
（処理システム）
以下において、実施形態に係る処理システムについて説明する。図１は、実施形態に係る処理システム100を示す図である。

【0019】

図１に示すように、処理システム100は、処理装置10と、ユーザ端末20と、提供装置30と、外部装置40と、を有する。処理装置10、ユーザ端末20、提供装置30及び外部装置40は、ネットワーク200によって通信可能に接続される。特に限定されるものではないが、ネットワーク200は、インターネットを含んでもよく、ローカルエリアネットワークを含んでもよく、移動体通信網を含んでもよい。ネットワーク200は、VPN（Virtual Private Network）を含んでもよい。

【0020】

処理装置10は、提供装置30によって提供されるアプリケーションに含まれるプログラムの脆弱性について対策すべき優先順位を設定する。処理装置10は、2以上のサーバによって構成されてもよく、処理装置10の少なくとも一部は、クラウドコンピューティングサービスによって実現されてもよい。処理装置10の詳細については後述する（図２を参照）。

【0021】

ユーザ端末20は、ディスプレイ21を有しており、処理装置10によって設定された優先順位を表示する。ユーザ端末20は、プロジェクトの開発者によって利用される装置であってもよい。例えば、ユーザ端末20は、パーソナルコンピュータであってもよく、スマートフォンであってもよく、タブレット端末であってもよい。例えば、ディスプレイ21は、液晶パネルであってもよく、有機ＥＬパネルであってもよい。

【0022】

提供装置30は、2以上のプログラムによって実現されるアプリケーションを提供する。アプリケーションは、コンテナ技術と称される仮想化技術によって提供される。提供装置30は、2以上のサーバによって構成されてもよく、提供装置30の少なくとも一部は、クラウドコンピューティングサービスによって実現されてもよい。

【0023】

外部装置40は、プログラムの脆弱性に関する情報を管理する。外部装置40は、プログラムそのものの脆弱性に関する脆弱性スコアを管理してもよい。脆弱性スコアとしては、第三者機関によって提供されるCVSS（Common Vulnerability Scoring System）が用いられてもよい。外部装置40は、プログラムによって実行されるプロセスの脆弱性の内容を管理してもよい。脆弱性の内容は、2以上のプログラム群を含むパッケージに関するパッケージ情報（例えば、パッケージの名称）と対応付けられてもよい。パッケージ情報と対応付けられた脆弱性の内容としては、第三者機関によって提供されるCVE（Common Vulnerabilities and Exposures）が用いられてもよい。脆弱性の内容は、プログラムに関するプログラム情報（例えば、ソフトウェアの名称）と対応付けられてもよい。プログラム情報と対応付けられた脆弱性の内容としては、第三者機関によって提供されるNVD（National Vulnerability Database）をベースにして生成された情報が用いられてもよい。外部装置40は、2以上のサーバによって構成されてもよく、外部装置40の少なくとも一部は、クラウドコンピューティングサービスによって実現されてもよい。

【0024】

ここで、パッケージ情報と対応付けられた脆弱性の内容（例えば、CVE）は、第三者機関によって構築された第1装置で管理されてもよい。パッケージ情報と対応付けられた脆弱性の内容は、ネットワーク200において外部に公開された情報であってもよい。

【0025】

一方で、プログラム情報と対応付けられた脆弱性の内容（例えば、NVDベースの内容）は、トリアージ処理を提供するエンティティによって構築された第2装置で管理されてもよい。パッケージ情報と対応付けられた脆弱性の内容は、ネットワーク200において外部に公開されていない情報であってもよい。

【0026】

（コンテナ技術）
以下において、実施形態に係るコンテナ技術について説明する。図２及び図３は、実施形態に係るコンテナ技術を説明するための図である。

【0027】

図２に示すように、物理サーバ上にOSが設けられ、OS上にコンテナエンジンが設けられる前提下において、2以上のコンテナ（図２では、コンテナ#１及びコンテナ#2）が仮想化される。例えば、各コンテナは、ミドルウェア（MW）と、ミドルウェア上に設けられるアプリケーション（App）を含む。

【0028】

図３に示すように、コンテナファイルの構築（Build）によってコンテナイメージが生成され、コンテナイメージの実行（Run）によってコンテナが生成される。

【0029】

コンテナファイルは、コンテナイメージの設計書に該当し、テキストベースの定義ファイルである。コンテナイメージは、アプリケーションの構成に該当する。コンテナは、コンテナイメージの実行環境に該当する。コンテナの実行によってアプリケーションが実行される。

【0030】

（処理装置）
以下において、実施形態に係る処理装置について説明する。図４は、実施形態に係る処理装置10を示す図である。

【0031】

図４に示すように、処理装置10は、通信部11と、管理部12と、制御部13と、を有する。

【0032】

通信部11は、通信モジュールによって構成される。通信モジュールは、IEEE802.11a/b/g/n/ac/ax、LTE、5G、6Gなどの規格に準拠する無線通信モジュールであってもよく、IEEE802.3などの規格に準拠する有線通信モジュールであってもよい。

【0033】

実施形態では、通信部11は、コンテナイメージを取得する。例えば、通信部11は、コンテナイメージをユーザ端末20から取得してもよく、コンテナイメージを提供装置30から取得してもよい。通信部11は、第三者が提供するストレージサービス（例えば、Docker Hub、AWS ECR(Elastic Container Registry)など）からコンテナイメージを取得してもよい。

【0034】

管理部12は、SSD（Solid State Drive）、HDD（Hard Disk Drive）などの記憶媒体によって構成されており、様々な情報を格納する。

【0035】

実施形態では、管理部12は、ユーザ端末20又は提供装置30から取得するコンテナイメージを管理する。

【0036】

制御部13は、少なくとも１つのプロセッサを含んでもよい。少なくとも１つのプロセッサは、CPU（Central Processing Unit）、MPU（Micro Processing Unit）、GPU（Graphics Processing Unit）、１以上のIntegrated Circuit、１以上のDiscrete Circuit、及び、これらの組合せによって構成されてもよい。

【0037】

実施形態では、制御部13は、コンテナイメージの実行によって構築されるコンテナをスキャンすることによって、コンテナで実行される実行プログラムを特定する制御部を構成する。制御部13は、実行プログラムの脆弱性を特定し、特定された脆弱性に基づいて、コンテナイメージに含まれるプログラムの脆弱性について対策すべき優先順位を設定するトリアージ処理を実行する。具体的には、制御部13は、以下に示す動作を実行してもよい。

【0038】

第1に、制御部13は、コンテナイメージの実行によって構築されるコンテナをスキャンすることによって、コンテナで実行される実行プロセスを特定する。制御部13は、実行プロセスに基づいて実行プログラムを特定する。例えば、制御部13は、外部装置40に格納された情報を用いて、実行プロセスに対応する実行プログラムを特定してもよい。

【0039】

第2に、制御部13は、実行プログラムを含むパッケージに関するパッケージ情報が外部装置40（例えば、第1装置）に登録されているか否かを判定する。

【0040】

制御部13は、パッケージ情報が登録されている場合には、パッケージ情報に基づいて第1装置を参照し、パッケージ情報と対応付けられた脆弱性の内容を特定し、特定された脆弱性の内容に基づいて、実行プロセスの危険度を特定する。制御部13は、実行プログラムの脆弱性スコア及び実行プロセスの危険度に基づいて、実行プログラムの脆弱性を特定する。すなわち、制御部13は、パッケージ情報が登録されている場合には、パッケージ情報に基づいて、実行プログラムの脆弱性を特定する。

【0041】

制御部13は、パッケージ情報が登録されていない場合には、実行プログラムに関するプログラム情報に基づいて第2装置を参照し、プログラム情報と対応付けられた脆弱性の内容を特定し、特定された脆弱性の内容に基づいて、実行プロセスの危険度を特定する。制御部13は、実行プログラムの脆弱性スコア及び実行プロセスの危険度に基づいて、実行プログラムの脆弱性を特定する。すなわち、制御部13は、パッケージ情報が登録されていない場合には、プログラム情報に基づいて、実行プログラムの脆弱性を特定する。

【0042】

特に限定されるものではないが、制御部13は、実行プロセスの危険度を以下のように特定してもよい。例えば、制御部13は、脆弱性の内容がポートの開放を伴うものである場合に、実行プロセスがポートの開放を伴わない場合に、実行プロセスの危険度が低いと特定してもよい。なお、制御部13は、脆弱性の内容がポートの開放を伴うものである場合に、実行プロセスがポートの開放を伴う場合に、実行プロセスの危険度が高いと特定してもよい。

【0043】

第3に、制御部13は、実行プログラムの脆弱性に基づいて、コンテナイメージに含まれるプログラムの脆弱性について対策すべき優先順位を設定するトリアージ処理を実行する。例えば、制御部13は、実行プログラム以外の非実行プログラムの優先順位よりも実行プログラムの優先順位が高くなるようにトリアージ処理を実行する。

【0044】

（トリアージ処理）
以下において、実施形態に係るトリアージ処理の一例について説明する。図５は、実施形態に係るトリアージ処理の一例を示す図である。ここでは、プロセスの危険度が2段階（高、低）で表され、プログラムの脆弱性スコアが3段階（高、中、低）で表されるケースについて例示する。

【0045】

図５に示すように、処理装置10は、非実行プログラムの優先順位よりも実行プログラムの優先順位が高くなるようにトリアージ処理を実行してもよい。

【0046】

処理装置10は、実行プログラムについては、危険度が低いプロセスを実行する実行プログラムよりも危険度が高いプロセスを実行する実行プログラムの優先順位が高くなるようにトリアージ処理を実行してもよい。処理装置10は、実行プログラムについては、脆弱性スコアが低い実行プログラムの優先順位よりも脆弱性スコアが高い実行プログラムの優先順位が高くなるようにトリアージ処理を実行してもよい。

【0047】

特に限定されるものではないが、処理装置10は、非実行プログラムについては、脆弱性スコアが低い非実行プログラムの優先順位よりも脆弱性スコアが高い非実行プログラムの優先順位が高くなるようにトリアージ処理を実行してもよい。但し、処理装置10は、非実行プログラムについて区別せずにトリアージ処理を実行してもよい。

【0048】

（処理方法）
以下において、実施形態に係る処理方法について説明する。図６は、実施形態に係る処理方法を示す図である。

【0049】

図６に示すように、ステップS10において、処理装置10は、コンテナイメージをユーザ端末20から取得する。処理装置10は、コンテナイメージを提供装置30から取得してもよい。処理装置10は、第三者が提供するストレージサービス（例えば、Docker Hub、AWS ECRなど）からコンテナイメージを取得してもよい。

【0050】

ステップS12において、処理装置10は、コンテナイメージを実行する。

【0051】

ステップS14において、処理装置10は、コンテナイメージの実行によって構築されるコンテナをスキャンすることによって、コンテナで実行される実行プロセスを特定する。

【0052】

ステップS16において、処理装置10は、実行プロセスに基づいて実行プログラムを特定する。例えば、処理装置10は、外部装置40に格納された情報を用いて、実行プロセスに対応する実行プログラムを特定してもよい。

【0053】

ステップS18において、処理装置10は、実行プログラムを含むパッケージに関するパッケージ情報を外部装置40に送信する。

【0054】

ステップS20において、処理装置10は、パッケージ情報と対応付けられた脆弱性情報を受信する。脆弱性情報は、脆弱性の内容（例えば、CVE）を含んでもよい。脆弱性情報は、実行プログラムの脆弱性スコアを含んでもよい。なお、パッケージ情報が登録されていない場合には、処理装置10は、パッケージ情報が登録されていない旨のメッセージを受信する。

【0055】

ステップS22において、処理装置10は、パッケージ情報が登録されていない場合に、実行プログラムに関するプログラム情報を外部装置40に送信する。なお、パッケージ情報が登録されている場合に歯、処理装置10は、ステップS22の処理を省略する。

【0056】

ステップS24において、処理装置10は、プログラム情報と対応付けられた脆弱性情報を受信する。脆弱性情報は、脆弱性の内容（例えば、NVDベースの内容）を含んでもよい。脆弱性情報は、実行プログラムの脆弱性スコアを含んでもよい。

【0057】

ステップS26において、処理装置10は、トリアージ処理を実行する。処理装置10は、図５に示す手順でトリアージ処理を実行してもよい。

【0058】

ステップS28において、処理装置10は、トリアージ結果をユーザ端末20に送信する。ユーザ端末20は、トリアージ結果を表示する。

【0059】

（作用及び効果）
実施形態では、処理装置10は、コンテナイメージの実行によって構築されるコンテナをスキャンすることによって、コンテナで実行される実行プログラムを特定し、実行プログラムの脆弱性に基づいて、コンテナイメージに含まれるプログラムの脆弱性について対策すべき優先順位を設定するトリアージ処理を実行する。このような構成によれば、アプリケーションの利用シーンを想定して、コンテナイメージに含まれる全てのプログラムの脆弱性ではなく、実行プログラムを対象とした脆弱性に注目してトリアージ処理が実行されるため、コンテナイメージに含まれるプログラムの脆弱性を確認する作業の煩雑さを低減し、脆弱性に対する対策を適切に実行する支援を行うことができる。

【0060】

［変更例１］
以下において、実施形態の変更例１について説明する。以下においては、上述した実施形態に対する差異について主として説明する。

【0061】

実施形態では、脆弱性スコアとしては、第三者機関によって提供されるCVSSが用いられる。これに対して、変更例１では、脆弱性スコアとして、CVSSに加えて、以下に示す情報が用いられてもよい。

【0062】

具体的には、処理装置10は、プログラムに対して外部からアクセス可能であるか否かを示す情報（以下、第1情報）、プログラムが有する脆弱性に対する攻撃コード（PoC）が流通しているか否かを示す情報（以下、第2情報）に基づいて、プログラムの脆弱性スコアを特定してもよい。

【0063】

例えば、処理装置10は、外部からアクセス可能であるプログラムの脆弱性スコアが外部からアクセス可能でないプログラムの脆弱性スコアよりも高くなるように、プログラムの脆弱性スコアを特定してもよい。処理装置10は、攻撃コードの流通しているプログラムの脆弱性スコアが攻撃コードの流通していないプログラムの脆弱性スコアよりも高くなるように、プログラムの脆弱性スコアを特定してもよい。

【0064】

処理装置10は、第1情報及び第2情報の双方に基づいて、プログラムの脆弱性スコアを特定してもよい。このようなケースにおいて、処理装置10は、第1情報よりも第2情報が優先されるように、プログラムの脆弱性スコアを特定してもよく、第2情報よりも第1情報が優先されるように、プログラムの脆弱性スコアを特定してもよい。

【0065】

なお、処理装置10は、CVSSよりも第1情報が優先されるように、プログラムの脆弱性スコアを特定してもよく、CVSSよりも第2情報が優先されるように、プログラムの脆弱性スコアを特定してもよい。

【0066】

［その他の実施形態］
本発明は上述した実施形態によって説明したが、この開示の一部をなす論述及び図面は、この発明を限定するものであると理解すべきではない。この開示から当業者には様々な代替実施形態、実施例及び運用技術が明らかとなろう。

【0067】

上述した開示では、脆弱性の内容がCVE及びNVDに基づいて特定されるケースを例示した。しかしながら、上述した開示はこれに限定されるものではない。脆弱性の内容は、ICAT（IPA Cyber security Alert Service） Metabase、JVN（Japan Vulnerability Notes）、JVN iPedia、OSVDB（Open Source Vulnerability Database）などに基づいて特定されてもよい。

【0068】

上述した開示では特に触れていないが、優先順位は、トリアージレベルと称されてもよい。

【0069】

実施形態では、処理装置10が１つの装置であるケースを例示した。しかしながら、実施形態はこれに限定されるものではない。処理装置10が有する機能は、2以上のエンティティによって実現されてもよい。2以上のエンティティは、クラウドコンピューティングサービスを提供するエンティティを含んでもよい。また、管理部12は、処理装置10とは別に設けられるクラウド上のデータベースであってもよい。

【0070】

実施形態では特に触れていないが、処理装置10が行う各処理をコンピュータに実行させるプログラムが提供されてもよい。また、プログラムは、コンピュータ読取り可能媒体に記録されていてもよい。コンピュータ読取り可能媒体を用いれば、コンピュータにプログラムをインストールすることが可能である。ここで、プログラムが記録されたコンピュータ読取り可能媒体は、非一過性の記録媒体であってもよい。非一過性の記録媒体は、特に限定されるものではないが、例えば、CD-ROMやDVD-ROM等の記録媒体であってもよい。

【0071】

或いは、処理装置10が行う各処理を実行するためのプログラムを記憶するメモリ及びメモリに記憶されたプログラムを実行するプロセッサによって構成されるチップが提供されてもよい。

【符号の説明】

【0072】

10…処理装置、11…通信部、12…管理部、13…制御部、20…ユーザ端末、21…ディスプレイ、30…提供装置、100…処理システム

【図1】

【図2】

【図3】

【図4】

【図5】

【図6】

【手続補正書】

【提出日】2022-03-01

【手続補正1】

【補正対象書類名】特許請求の範囲

【補正対象項目名】全文

【補正方法】変更

【補正の内容】

【特許請求の範囲】

【請求項1】

コンテナイメージの実行によって構築されるコンテナをスキャンすることによって、前記コンテナイメージに含まれるプログラムのうち、前記コンテナで実際に実行されることがある実行プログラムを特定する制御部を備え、
前記制御部は、前記実行プログラムの脆弱性を特定し、特定された脆弱性に基づいて、前記コンテナイメージに含まれるプログラムの脆弱性について対策すべき優先順位を設定するトリアージ処理を実行する、処理装置。

【請求項2】

前記制御部は、前記実行プログラム以外の非実行プログラムの脆弱性について対策すべき優先順位よりも、前記実行プログラムの脆弱性について対策すべき優先順位が高くなるように前記トリアージ処理を実行し、
前記非実行プログラムは、前記コンテナイメージに含まれるプログラムのうち、前記コンテナで実際に実行されることがないプログラムである、請求項１に記載の処理装置。

【請求項3】

前記制御部は、前記実行プログラムを含むパッケージに関するパッケージ情報が登録されている場合に、前記パッケージ情報に基づいて前記実行プログラムの脆弱性を特定する、請求項１又は請求項２に記載の処理装置。

【請求項4】

前記制御部は、前記実行プログラムを含むパッケージに関するパッケージ情報が登録されていない場合に、プログラム情報と脆弱性の内容とを対応付ける外部装置を参照することによって、前記実行プログラムに関するプログラム情報に基づいて前記実行プログラムの脆弱性を特定する、請求項１乃至請求項３のいずれか１項に記載の処理装置。

【請求項5】

処理装置が、コンテナイメージの実行によって構築されるコンテナをスキャンすることによって、前記コンテナで実行される実行プログラムを特定するステップAと、
前記処理装置が、前記実行プログラムの脆弱性を特定し、特定された脆弱性に基づいて、前記コンテナイメージに含まれるプログラムの脆弱性について対策すべき優先順位を設定するトリアージ処理を実行するステップBと、を備える、処理方法。

【手続補正書】

【提出日】2022-05-19

【手続補正1】

【補正対象書類名】特許請求の範囲

【補正対象項目名】全文

【補正方法】変更

【補正の内容】

【特許請求の範囲】

【請求項1】

コンテナイメージの実行によって構築されるコンテナをスキャンすることによって、前記コンテナイメージに含まれるプログラムのうち、前記コンテナで実際に実行されることがある実行プログラムを特定する制御部を備え、
前記制御部は、前記実行プログラムの脆弱性を特定し、特定された脆弱性に基づいて、前記コンテナイメージに含まれるプログラムの脆弱性について対策すべき優先順位を設定するトリアージ処理を実行する、処理装置。

【請求項2】

前記制御部は、前記実行プログラム以外の非実行プログラムの脆弱性について対策すべき優先順位よりも、前記実行プログラムの脆弱性について対策すべき優先順位が高くなるように前記トリアージ処理を実行し、
前記非実行プログラムは、前記コンテナイメージに含まれるプログラムのうち、前記コンテナで実際に実行されることがないプログラムである、請求項１に記載の処理装置。

【請求項3】

前記制御部は、前記実行プログラムを含むパッケージに関するパッケージ情報が登録されている場合に、前記パッケージ情報に基づいて前記実行プログラムの脆弱性を特定する、請求項１又は請求項２に記載の処理装置。

【請求項4】

前記制御部は、前記実行プログラムを含むパッケージに関するパッケージ情報が登録されていない場合に、プログラム情報と脆弱性の内容とを対応付ける外部装置を参照することによって、前記実行プログラムに関するプログラム情報に基づいて前記実行プログラムの脆弱性を特定する、請求項１乃至請求項３のいずれか１項に記載の処理装置。

【請求項5】

処理装置が、コンテナイメージの実行によって構築されるコンテナをスキャンすることによって、前記コンテナイメージに含まれるプログラムのうち、前記コンテナで実際に実行されることがある実行プログラムを特定するステップAと、
前記処理装置が、前記実行プログラムの脆弱性を特定し、特定された脆弱性に基づいて、前記コンテナイメージに含まれるプログラムの脆弱性について対策すべき優先順位を設定するトリアージ処理を実行するステップBと、を備える、処理方法。