特開 2024-43 検査装置、検査プログラム、及び検査方法

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】公開特許公報(A)

(11)【公開番号】P2024000043

(43)【公開日】2024-01-05

(54)【発明の名称】検査装置、検査プログラム、及び検査方法

(51)【国際特許分類】

   G06F 21/57 20130101AFI20231225BHJP

【ＦＩ】

G06F21/57 370

【審査請求】未請求

【請求項の数】9

【出願形態】ＯＬ

(21)【出願番号】P 2022098561

(22)【出願日】2022-06-20

(71)【出願人】

【識別番号】000000295

【氏名又は名称】沖電気工業株式会社

(74)【代理人】

【識別番号】100180275

【弁理士】

【氏名又は名称】吉田 倫太郎

(74)【代理人】

【識別番号】100161861

【弁理士】

【氏名又は名称】若林 裕介

(72)【発明者】

【氏名】松永 聡彦

(57)【要約】

【課題】 端末が資産管理ソフトにより管理されているか否かに関らず、脆弱性のおそれがある又は不正のある端末のネットワークへの接続を検知できる。
【解決手段】 本発明は、ネットワークを介して接続される１又は２以上の検査対象機器の脆弱性及び又は不正を所定のタイミングで検査する検査装置であって、検査対象機器の検査に必要な情報として少なくともＯＳの検査内容を含む情報を収集する収集手段と、収集した情報を用いて、検査対象機器のＯＳを判定するＯＳ判定手段と、ＯＳ判定手段で判定した検査対象機器のＯＳの情報を含む脆弱性判定結果を格納する脆弱性判定結果格納手段と、ＯＳ判定手段で今回判定した各検査対象機器のＯＳの情報と、脆弱性判定結果格納手段に格納された過去の検査対象機器のＯＳの情報とを用いて、検査対象機器の脆弱性の判定を行う脆弱性判定手段とを有する。
【選択図】 図１

【特許請求の範囲】

【請求項1】

ネットワークを介して接続される１又は２以上の検査対象機器の脆弱性及び又は不正を所定のタイミングで検査する検査装置であって、
前記検査対象機器の検査に必要な情報として少なくともオペレーティングシステムの検査内容を含む情報を収集する関連情報収集手段と、
前記関連情報収集手段が収集した情報を用いて、前記検査対象機器のオペレーティングシステムを判定するオペレーティングシステム判定手段と、
前記オペレーティングシステム判定手段で判定した前記検査対象機器のオペレーティングシステムの情報を含む脆弱性判定結果を格納する脆弱性判定結果格納手段と、
前記オペレーティングシステム判定手段で今回判定した前記各検査対象機器のオペレーティングシステムの情報と、前記脆弱性判定結果格納手段に格納された過去の前記検査対象機器のオペレーティングシステムの情報とを用いて、前記検査対象機器の脆弱性の判定を行う脆弱性判定手段と
を有することを特徴とする検査装置。

【請求項2】

前記脆弱性判定手段は、前記オペレーティングシステム判定手段で今回判定した前記検査対象機器のオペレーティングシステムと同一のオペレーティングシステムの情報が、前記脆弱性判定結果格納手段に格納されているか否かで、前記検査対象機器の脆弱性を判定することを特徴とする請求項１に記載の検査装置。

【請求項3】

前記脆弱性判定手段は、ＩＴ資産管理情報も加味して前記検査対象機器の脆弱性を判定することを特徴とする請求項１に記載の検査装置。

【請求項4】

オペレーティングシステム毎に、少なくとも前記ネットワークへの接続を許可するか否かの情報を含むネットワーク接続許可情報を保持し、
前記脆弱性判定手段は、前記ネットワーク接続許可情報も加味して前記検査対象機器の脆弱性の判定を行う
ことを特徴とする請求項１に記載の検査装置。

【請求項5】

前記脆弱性判定手段は、さらに、前記検査対象機器の脆弱性判定結果と、トラフィック情報とを用いて前記検査対象機器の通信異常判定を行う
ことを特徴とする請求項１に記載の検査装置。

【請求項6】

前記所定のタイミングは、前記ネットワーク上に前記検査対象機器が新規に接続されたタイミングであることを特徴とする請求項１に記載の検査装置。

【請求項7】

前記脆弱性判定手段が行った脆弱性判定結果に基づき検査結果を生成し出力する検査結果出力手段をさらに有することを特徴とする請求項１～６のいずれかに記載の検査装置。

【請求項8】

ネットワークを介して接続される１又は２以上の検査対象機器の脆弱性及び又は不正を所定のタイミングで検査する検査装置に搭載されるコンピュータを、
前記検査対象機器の検査に必要な情報として少なくともオペレーティングシステムの検査内容を含む情報を収集する関連情報収集手段と、
前記関連情報収集手段が収集した情報を用いて、前記検査対象機器のオペレーティングシステムを判定するオペレーティングシステム判定手段と、
前記オペレーティングシステム判定手段で判定した前記検査対象機器のオペレーティングシステムの情報を含む脆弱性判定結果を格納する脆弱性判定結果格納手段と、
前記オペレーティングシステム判定手段で今回判定した前記各検査対象機器のオペレーティングシステムの情報と、前記脆弱性判定結果格納手段に格納された過去の前記検査対象機器のオペレーティングシステムの情報とを用いて、前記検査対象機器の脆弱性の判定を行う脆弱性判定手段と
して機能させることを特徴とする検査プログラム。

【請求項9】

ネットワークを介して接続される１又は２以上の検査対象機器の脆弱性及び又は不正を所定のタイミングで検査する検査装置に使用する検査方法であって、
関連情報収集手段は、前記検査対象機器の検査に必要な情報として少なくともオペレーティングシステムの検査内容を含む情報を収集し、
オペレーティングシステム判定手段は、前記関連情報収集手段が収集した情報を用いて、前記検査対象機器のオペレーティングシステムを判定し、
脆弱性判定結果格納手段は、前記オペレーティングシステム判定手段で判定した前記検査対象機器のオペレーティングシステムの情報を含む脆弱性判定結果を格納し、
脆弱性判定手段は、前記オペレーティングシステム判定手段で今回判定した前記各検査対象機器のオペレーティングシステムの情報と、前記脆弱性判定結果格納手段に格納された過去の前記検査対象機器のオペレーティングシステムの情報とを用いて、前記検査対象機器の脆弱性の判定を行う
ことを特徴とする検査方法。

【発明の詳細な説明】

【技術分野】

【0001】

本発明は、検査装置、検査プログラム、及び検査方法に関し、例えば、ネットワークに接続された機器を遠隔で監視及び管理を行う装置（脆弱性のある機器のネットワーク接続検知を行う装置等）に適用し得る。

【背景技術】

【0002】

コンピュータのＯＳ（Ｏｐｅｒａｔｉｎｇ Ｓｙｓｔｅｍ）やソフトウェアには、プログラムの不具合や設計上のミスが原因となって発生し得る情報セキュリティ上の欠陥である脆弱性問題が存在する。脆弱性が放置された状態でコンピュータを利用し続けると、不正アクセスに利用されたり、ウイルスに感染したりする危険性がある。

【0003】

このように脆弱性は、ネットワーク（インターネット等）に接続しているコンピュータにおける情報セキュリティ上の大きな問題のひとつになっている。

【0004】

ところで、企業・団体内にどのような機器が接続許可されているかを知るソフトウェアとしてＩＴ（Ｉｎｆｏｒｍａｔｉｏｎ Ｔｅｃｈｎｏｌｏｇｙ）資産管理が存在する。ＩＴ資産管理とは、ＰＣ（Ｐｅｒｓｏｎａｌ Ｃｏｍｐｕｔｅｒ）、サーバ、その他プリンタ等の企業・団体内のネットワークに接続する機器の情報を収集し、データベースで管理することである。ＩＴ資産管理は、例えば、接続する機器のＩＰ（Ｉｎｔｅｒｎｅｔ Ｐｒｏｔｏｃｏｌ）アドレス、ＭＡＣ（Ｍｅｄｉａ Ａｃｃｅｓｓ Ｃｏｎｔｒｏｌ）アドレス、コンピュータ名、ＯＳインストールソフトウェア、オープンポート番号、利用者等の情報を管理する。

【0005】

各機器の情報は、資産管理ソフトウェアで直接記述したり、端末に専用ソフトウェアをインストールし、ＯＳ等の端末情報をＩＴ資産管理装置に送信するという方法がある。

【0006】

ＩＴ資産管理の活用方法として、例えば許可されていない機器がネットワークに接続されていないか、機器に不正であったり、脆弱性のあるＯＳやソフトウェアがインストールされていないかを管理することができる。

【0007】

機器の脆弱性を発見するソフトウェアとして、例えば、非特許文献１～３に開示されているような脆弱性検査ツールが存在する。脆弱性検査ツールを利用して脆弱性を発見、除去することでウイルス感染等のリスクを抑えることができる。また、脆弱性検査手段として、例えば以下のような検査（ＯＳスキャン）が存在する。

【0008】

ＯＳスキャンは、ネットワークに接続されている検査対象端末に対しポーリングを行い、応答内容を調べる。そして検査対象端末が使用しているＯＳを調べることができる。

【先行技術文献】

【非特許文献】

【0009】

【非特許文献1】“Ｎｍａｐ Ｃｈａｎｇｅｌｏｇ”［２０２２年６月１日検索］，［Ｏｎｌｉｎｅ］、ＩＮＴＥＲＮＥＴ、<URL: https://nmap.org/changelog.html>

【非特許文献2】“ＮＥＳＳＵＳ”［２０２２年６月１日検索］，［Ｏｎｌｉｎｅ］、ＩＮＴＥＲＮＥＴ、<URL: https://www.tenable.com/products/nessus>

【非特許文献3】“ＯＷＡＳＰ ＺＡＰ（Ｚｅｄ Ａｔｔａｃｋ Ｐｒｏｘｙ）”［２０２２年６月１日検索］，［Ｏｎｌｉｎｅ］、ＩＮＴＥＲＮＥＴ、<URL: https://owasp.org/www-project-zap/>

【発明の概要】

【発明が解決しようとする課題】

【0010】

ところで、情報セキュリティ上、企業等は脆弱性のあるＯＳがインストールがされた端末がネットワークに接続されたならば、即座にネットワークからこれら端末を遮断したい。また、ＩＴ資産管理ソフトウェアといった許可端末、又は禁止端末のリストを使用しなくても、脆弱性のおそれがある、又は不正のある端末を即座に検知したい。

【0011】

各機器（端末）に資産管理ソフトをインストールする手段では、インストールされていない不正端末に対しては端末情報を収集できないという問題がある。

【0012】

そのため、端末が資産管理ソフトにより管理されているか否かに関らず、脆弱性のおそれがある又は不正のある端末のネットワークへの接続を検知できる検査装置、検査プログラム、及び検査方法が望まれている。

【課題を解決するための手段】

【0013】

第１の本発明は、ネットワークを介して接続される１又は２以上の検査対象機器の脆弱性及び又は不正を所定のタイミングで検査する検査装置であって、（１）前記検査対象機器の検査に必要な情報として少なくともオペレーティングシステムの検査内容を含む情報を収集する関連情報収集手段と、（２）前記関連情報収集手段が収集した情報を用いて、前記検査対象機器のオペレーティングシステムを判定するオペレーティングシステム判定手段と、（３）前記オペレーティングシステム判定手段で判定した前記検査対象機器のオペレーティングシステムの情報を含む脆弱性判定結果を格納する脆弱性判定結果格納手段と、（４）前記オペレーティングシステム判定手段で今回判定した前記各検査対象機器のオペレーティングシステムの情報と、前記脆弱性判定結果格納手段に格納された過去の前記検査対象機器のオペレーティングシステムの情報とを用いて、前記検査対象機器の脆弱性の判定を行う脆弱性判定手段とを有することを特徴とする。

【0014】

第２の本発明の検査プログラムは、ネットワークを介して接続される１又は２以上の検査対象機器の脆弱性及び又は不正を所定のタイミングで検査する検査装置に搭載されるコンピュータを、（１）前記検査対象機器の検査に必要な情報として少なくともオペレーティングシステムの検査内容を含む情報を収集する関連情報収集手段と、（２）前記関連情報収集手段が収集した情報を用いて、前記検査対象機器のオペレーティングシステムを判定するオペレーティングシステム判定手段と、（３）前記オペレーティングシステム判定手段で判定した前記検査対象機器のオペレーティングシステムの情報を含む脆弱性判定結果を格納する脆弱性判定結果格納手段と、（４）前記オペレーティングシステム判定手段で今回判定した前記各検査対象機器のオペレーティングシステムの情報と、前記脆弱性判定結果格納手段に格納された過去の前記検査対象機器のオペレーティングシステムの情報とを用いて、前記検査対象機器の脆弱性の判定を行う脆弱性判定手段として機能させることを特徴とする。

【0015】

第３の本発明は、ネットワークを介して接続される１又は２以上の検査対象機器の脆弱性及び又は不正を所定のタイミングで検査する検査装置に使用する検査方法であって、（１）関連情報収集手段は、前記検査対象機器の検査に必要な情報として少なくともオペレーティングシステムの検査内容を含む情報を収集し、（２）オペレーティングシステム判定手段は、前記関連情報収集手段が収集した情報を用いて、前記検査対象機器のオペレーティングシステムを判定し、（３）脆弱性判定結果格納手段は、前記オペレーティングシステム判定手段で判定した前記検査対象機器のオペレーティングシステムの情報を含む脆弱性判定結果を格納し、（４）脆弱性判定手段は、前記オペレーティングシステム判定手段で今回判定した前記各検査対象機器のオペレーティングシステムの情報と、前記脆弱性判定結果格納手段に格納された過去の前記検査対象機器のオペレーティングシステムの情報とを用いて、前記検査対象機器の脆弱性の判定を行うことを特徴とする。

【発明の効果】

【0016】

本発明によれば、端末が資産管理ソフトにより管理されているか否かに関らず、脆弱性のおそれがある又は不正のある端末のネットワークへの接続を検知できる。

【図面の簡単な説明】

【0017】

【図1】第１の実施形態に係る脆弱性検知装置の内部構成を示すブロック図である。

【図2】第１の実施形態に係る脆弱性検査システムの全体構成を示す全体構成図である。

【図3】第１の実施形態に係るＩＴ資産情報格納部の一例を示す説明図である。

【図4】第１の実施形態に係るＯＳ情報格納部の一例を示す説明図である。

【図5】第１の実施形態に係る判定結果格納部の一例を示す説明図である。

【図6】第１の実施形態に係る脆弱性検査システム（主に脆弱性検知装置）における脆弱性検査を示すフローチャートである。

【図7】第２の実施形態に係る脆弱性検査システムの全体構成を示す全体構成図である。

【図8】第２の実施形態に係る機器トラフィック管理情報の一例を示す説明図である

【図9】第２の実施形態に係る脆弱性検査システム（主に脆弱性検知装置）における脆弱性検査を示すフローチャートである。

【発明を実施するための形態】

【0018】

（Ａ）第１の実施形態
以下では、本発明に係る検査装置、検査プログラム、及び検査方法の第１の実施形態を、図面を参照しながら詳細に説明する。

【0019】

（Ａ－１）第１の実施形態の構成
（Ａ－１－１）全体構成
図２は、第１の実施形態に係る脆弱性検査システムの全体構成を示す全体構成図である。

【0020】

図２において、脆弱性検査システム１００は、脆弱性機器検知装置１と、ＩＴ資産管理装置２と、監視結果出力装置３と、複数の検査対象端末４（４－１～４－ｎ）とを有し、各装置（端末）はネットワークＮを介して接続されている。

【0021】

ネットワークＮは、各装置が接続可能な通信ネットワークであれば良く、その種類は限定されるものではない。また、各装置間に介在するネットワークが複数種類あり、ネットワークＮが複数種類のネットワーク（イーサーネット、インターネット等）で構成されていても良い。この実施形態では、ネットワークＮは、企業・団体内が管理、利用することができるイントラネットワークとも呼ばれるネットワークを主に対象とする。

【0022】

脆弱性機器検知装置１は、検査対象の端末である検査対象端末４内に脆弱性を含んでいるか否かを検査する機能を保持する。

【0023】

ＩＴ資産管理装置２は、ネットワークＮに接続する機器（検査対象端末４等）のネットワーク関連情報を収集し、管理する装置である。変形例として、当該ＩＴ資産管理装置２（ＩＴ資産情報格納部１７）は、脆弱性検査システム１００から除外しても良い。

【0024】

また、ＩＴ資産管理装置２は、検査対象端末４から収集した情報を格納するＩＴ資産情報格納部１７を有する。ＩＴ資産情報格納部１７の詳細は、後述すする脆弱性機器検知装置１の詳細構成で述べるものとする。

【0025】

監視結果出力装置３は、ネットワーク接続機器の監視及び管理に関わる装置であり、脆弱性検査の結果を出力表示する機能を保持する。例えば、監視結果出力装置３は、装置内にＷＥＢブラウザを所持し、当該ブラウザを用いて脆弱性機器検知装置１から送信された情報（脆弱性検査の結果）を画面表示したり、表示された画面に対して情報を入力することで脆弱性機器検知装置１に入力情報を送信することができる。

【0026】

検査対象端末４は、ＩＰアドレスやＭＡＣアドレスが付与されネットワークＮに接続可能な通信端末である。例えば、検査対象端末４は、ＰＣ、タブレット、スマートフォン等の通信機能が存在する情報処理端末である。

【0027】

（Ａ－１－２）脆弱性機器検知装置１の詳細構成
図１は、第１の実施形態に係る脆弱性検知装置の内部構成を示すブロック図である。図１において、脆弱性機器検知装置１は、データ受信部１１と、制御部１２と、関連情報収集部１３と、脆弱性検知部１４と、検査結果生成部１５と、検査情報格納部１６と、判定結果格納部１８と、ＯＳ情報格納部１９とを有する。

【0028】

脆弱性機器検知装置１は、すべてハードウェア的に構成（例えば、専用の半導体チップを用いて構成）するようにしても良いし、一部または全部についてソフトウェア的に構成するようにしても良い。

【0029】

データ受信部１１は、ネットワークＮへの機器（検査対象端末４等）の接続を新規に検知した新規機器検知データを入力する機能を保持する。また、脆弱性機器検知装置１自体がネットワークＮ上のパケット監視機能を保持し、新規機器検知を自身で行うようにしても良い。

【0030】

制御部１２は、脆弱性検査開始タイミングを決め、脆弱性検査開始タイミングになれば関連情報収集部１３に、検査実行要求を出す機能を保持する。

【0031】

関連情報収集部１３は、検査対象端末４について、後述する検査情報格納部１６、後述するＩＴ資産情報格納部１７、後述する判定結果格納部１８から脆弱性検査に必要な情報を抽出し、脆弱性検知部１４に提供する機能を保持する。

【0032】

脆弱性検知部１４は、関連情報収集部１３から入力されたデータを用い、脆弱性検査を行う機能を保持する。検査結果は判定結果格納部１８に格納される。また、脆弱性検知部１４は、検査結果生成部１５に検査結果を与える。

【0033】

検査結果生成部１５は、脆弱性検知部１４からのデータを用い、管理者が確認できるように検査結果を生成する機能を保持する。

【0034】

ＩＴ資産情報格納部１７は、ＩＴ資産管理装置２が、検査対象端末４から収集した情報を保持する機能を有する。脆弱性機器検知装置１が、ＩＴ資産情報格納部１７から情報を取得する場合には、ネットワークＮを介して情報を取得することになる。

【0035】

図３は、第１の実施形態に係るＩＴ資産情報格納部の一例を示す説明図である。図３に示すように、ＩＴ資産情報格納部１７は、ネットワークＮに接続された端末（検査対象端末４）を識別する「ＩＤ」と、各端末のＩＰアドレスを示す「ＩＰアドレス」と、各端末のＭＡＣアドレスを示す「ＭＡＣアドレス」と、各端末の名称を示す「コンピュータ名」と、各端末にインストールされたＯＳを示す「ＯＳ」と、各端末を利用する利用者を識別する「利用者ＩＤ」と、当該ＩＴ資産情報格納部１７に格納される各レコード（データ）が更新された時刻を示す「更新時刻」と、各端末が最後に利用された時刻を示す「最終利用時刻」の項目を有する。なお、図３は一例であって、ＩＴ資産情報格納部１７の構成は、種々様々な構成を適用することができる。

【0036】

検査情報格納部１６は、検査種別を指定すると検査内容を取得できるようになっている。この実施形態では検査種別はＯＳスキャンの場合のみである。検査情報格納部１６の構成は特に限定されるものでは無い。

【0037】

ＯＳ情報格納部１９は、ＯＳに関する情報を保持する機能部である。なお、ＯＳ情報格納部１９は、脆弱性機器検知装置１の内部に保持しても良いし、外部装置で保持しても良い。

【0038】

図４は、第１の実施形態に係るＯＳ情報格納部の一例を示す説明図である。図４に示すように、ＯＳ情報格納部１９は、各ＯＳを識別する「ＩＤ」と、各ＯＳの名称を示す「ＯＳ名」と、各ＯＳのネットワーク接続許可を示す「許可ＩＤ」の項目を有する。なお、図４は一例であって、ＯＳ情報格納部１９の構成は、種々様々な構成を適用することができる。

【0039】

上述の許可ＩＤには、例えば、「０」～「２」の値が記載される。「０」はネットワークへの接続許可を示し、「１」は、ネットワークへの接続は要注意とする。そして、「２」は、ネットワークへの接続を禁止とする。

【0040】

判定結果格納部１８は、脆弱性検知部１４で行った検査結果を格納する機能部である。

【0041】

図５は、第１の実施形態に係る判定結果格納部の一例を示す説明図である。

【0042】

図５に示すように、判定結果格納部１８は、ネットワークＮに接続された端末（検査対象端末４）を識別する「ＩＤ」と、各端末のＩＰアドレスを示す「ＩＰアドレス」と、各端末のＭＡＣアドレスを示す「ＭＡＣアドレス」と、各端末にインストールされたＯＳを示す「ＯＳ」と、判定した時刻を示す「タイムスタンプ」と、各端末のネットワーク接続の判定結果（許可又は禁止）を示す「許可」の項目を有する。判定結果格納部１８は、ＩＴ資産情報格納部１７と同一テーブルで管理するようにしても良い。

【0043】

図５の「ＩＤ」と図３の「ＩＤ」とは同一である。ただし、ＩＴ資産情報格納部１７に登録されておらず、新規にネットワーク接続された端末についてはＩＤ１０１以降を付与するものとする。端末識別子（ＩＰアドレス、ＭＡＣアドレス）はＩＴ資産情報格納部１７にあるため省略可能であるが、ＩＴ資産情報格納部１７に登録されていない端末もあるため記述する。また、図５のＯＳには、ＯＳのＩＤ又はＯＳ名のいずれかを登録するようにしても良い。

【0044】

（Ａ－２）第１の実施形態の動作
次に、第１の実施形態に係る脆弱性検査システム１００における特徴動作を、図面を参照しながら詳細に説明する。

【0045】

図６は、第１の実施形態に係る脆弱性検査システム（主に脆弱性検知装置）における脆弱性検査を示すフローチャートである。

【0046】

＜Ｓ１０１＞新規検知
制御部１２は、データ受信部１１を介して、新規にネットワークＮに検査対象端末４が接続された、との検知情報が入力されると脆弱性検査処理を開始する。当該検知情報には、機器識別子（ＩＰアドレス又はＭＡＣアドレス）が含まれる。

【0047】

＜Ｓ１０２＞機器許可リストの参照
関連情報収集部１３は、入力された機器識別子をキーとして、ＩＴ資産情報格納部１７を検索する。

【0048】

＜Ｓ１０３＞ＯＳ検査済みか否かの判定
関連情報収集部１３は、上述のステップＳ１０２で参照したＩＴ資産情報格納部１７の情報を基に、検査対象端末４のＯＳ検査を行うか否かを判定する。具体的に、関連情報収集部１３は、ヒットしたデータのＯＳ列にＯＳ情報が記述されていれば、ＯＳ検査を省略して、後述するステップＳ１０６に移行する。一方、関連情報収集部１３は、ヒットしたデータのＯＳ列にＯＳ情報が記述されていなければ、次のステップＳ１０４に移行する。例えば、図３の例では、ＩＤ１のデータはＯＳが登録されているのでＯＳ検査は行わないが、ＩＤ５のデータはＯＳが登録されていないのでＯＳ検査を行う。なお、変形例としてＩＴ資産管理装置２が存在しない場合（ＩＴ資産情報格納部１７が無い場合）、当該ステップＳ１０３を省略してステップＳ１０２からステップＳ１０４に移行するようにしても良い。

【0049】

＜Ｓ１０４＞許可済みか否かの判定
関連情報収集部１３は、入力された機器識別子をキーとして、判定結果格納部１８を検索してＯＳが許可済みか否か判定する。関連情報収集部１３は、ヒットしたデータの許可列に「ＯＫ」が記されていれば、許可済みであるので、ステップＳ１０６へ移行する。一方、関連情報収集部１３は、ヒットしたデータの許可列に「ＮＧ」が記されていれば、許可済みで無いので、ステップＳ１０５へ移行する（ＯＳ検査を行う）。なお、関連情報収集部１３は、検査を定期的に行う場合、ヒットしたデータの更新時刻列を参照し、更新時刻から所定時間以上経過しているならばステップＳ１０５へ移行するようにしても良い。

【0050】

例えば、図５の例では、ＩＰアドレスが「１９２．１６８．１００．１０」の時（ＩＤ１で登録）は、許可済みであるのでステップＳ１０６へ移行する。一方、ＩＰアドレスが「１９２．１６８．１００．３５」の時（ＩＤ１０２で登録）は、許可されていないのでステップＳ１０５へ移行する。また、「１９２．１６８．１００．３６」のように登録もされていない場合についてもステップＳ１０５へ移行する。

【0051】

＜Ｓ１０５＞ＯＳ検査
脆弱性検知部１４は、検査情報格納部１６からＯＳ検査内容を取得し、対象の検査対象端末４に対してＯＳ検査を実行する。ＯＳ検査としては、特に限定されないが、例えば、非特許文献１に記載のｎｍａｐを用いて行う。ｎｍａｐで対象の検査対象端末４に対してパケットを送信し、応答内容を取得し、取得した応答内容を用いて（ＯＳ情報格納部１９が存在すれば、該格納部のＯＳ情報も用いて）ＯＳを判定する。

【0052】

＜Ｓ１０６＞判定結果の参照
脆弱性検知部１４は、上述のステップＳ１０５で検査した結果のＯＳが、判定結果格納部１８中のＯＳに存在するか否か調査する。

【0053】

＜Ｓ１０７＞脆弱性判定
脆弱性検知部１４は、上述のステップＳ１０６の処理で、判定結果格納部１８中の過去の検査結果に既にＯＳが存在すれば、ＯＳ許可は「ＯＫ」、新規に現れたＯＳであれば「ＮＧ」とする。また、変形例として、許可ＯＳデータベース（ＯＳ情報格納部１９等）を参照して、許可ＯＳ又は禁止ＯＳを判定しても良い。

【0054】

例えば、図５の例では、新規にステップＳ１０５でＯＳがＷｉｎｄｏｗｓ１０（登録商標）であると判定されたならば、既にＩＤ１、ＩＤ２、ＩＤ５にデータが存在するため脆弱性判定は「ＯＫ」とみなす。また、新規にステップＳ１０５でＯＳがＷｉｎｄｏｗｓＸＰ（登録商標）であると判定されたならば、判定結果格納部１８には存在しないため「ＮＧ」とみなす。このように特異なＯＳ（例えば、公式サポートの期限が経過したＯＳ等）は、企業・団体組織内で使われておらず、脆弱性があったり、不正接続したものとみなしてＮＧと判定する。

【0055】

＜Ｓ１０８＞判定情報の記述
脆弱性検知部１４は、ＯＳの脆弱性判定結果を判定結果格納部１８に記述する。

【0056】

＜Ｓ１０９＞判定結果出力
検査結果生成部１５は、ＯＳの脆弱性判定結果を、管理者に提供するために、電子メールやＨＴＭＬ（Ｈｙｐｅｒ ｔｅｘｔ ｍａｒｋｕｐ ｌａｎｇｕａｇｅ）形式の結果を生成して、監視結果出力装置３に送信する。監視結果出力装置３に送信すると、管理者が脆弱性判定結果を閲覧することができる。

【0057】

（Ａ－３）第１の実施形態の効果
第１の実施形態によれば、ＯＳ検査結果情報内の検査対象ネットワークの情報を用いて特異なＯＳか否かを判定し、ＯＳの脆弱性判定を行うようにしたので、ＩＴ資産管理リストにない、またはＩＴ資産管理ソフトウェアを使わなくても脆弱性のおそれがある又は不正のある端末をすぐに検知することができる。

【0058】

（Ｂ）第２の実施形態
以下、本発明に係る検査装置、検査プログラム、及び検査方法の第２の実施形態を、図面を参照しながら詳細に説明する。

【0059】

（Ｂ－１）第２の実施形態の構成
図７は、第２の実施形態に係る脆弱性検査システムの全体構成を示す全体構成図である。

【0060】

図７において、脆弱性検査システム２００は、脆弱性機器検知装置１と、ＩＴ資産管理装置２と、監視結果出力装置３と、複数の検査対象端末４（４－１～４－ｎ）と、トラフィック監視装置５とを有し、各装置（端末）はネットワークＮを介して接続されている。第２の実施形態の脆弱性検査システム２００は、第１の実施形態の脆弱性検査システム１００の構成にトラフィック監視装置５を追加した構成である。

【0061】

トラフィック監視装置５は、ネットワークＮ上のパケットを収集し、検査対象端末４の通信状況を推定するものである。また、トラフィック監視装置５は、機器トラフィック情報管理部５１を保持する。

【0062】

機器トラフィック情報管理部５１は、トラフィック監視装置５による検査結果を、機器トラフィック管理情報５２に記述して管理するものである。図８は、第２の実施形態に係る機器トラフィック管理情報の一例を示す説明図である。

【0063】

図８において、機器トラフィック管理情報５２は、通信パケットの送信元のＩＰアドレスを示す「送信元アドレス」と、通信パケットの宛先のＩＰアドレスを示す「宛先アドレス」と、通信パケットの大きさを示す「パケットサイズ」と、通信パケットを検査した時刻を示す「タイムスタンプ」の項目を有する。なお、図８は一例であって、機器トラフィック管理情報５２の構成は、種々様々な構成を適用することができる。例えば、上述のパケットのサイズの代わりに通信量を適用しても良いし、その他、送信元ポート番号、送信先ポート番号、ＴＣＰ／ＩＰサービス名といったパケットから取得できる情報を記述しても良い。

【0064】

第２の実施形態の脆弱性機器検知装置１（脆弱性検知部１４）の処理については、第１の実施形態と一部異なるが、この異なる点は動作の項で述べる。

【0065】

（Ｂ－２）第２の実施形態の動作
次に、第２の実施形態に係る脆弱性検査システム２００における特徴動作を、図面を参照しながら詳細に説明する。

【0066】

図９は、第２の実施形態に係る脆弱性検査システム（主に脆弱性検知装置）における脆弱性検査を示すフローチャートである。上述の図６のステップＳ１０７で脆弱性判定を行い、脆弱性「有」と判定されると以下の処理が開始される。

【0067】

＜Ｓ２０１＞トラフィック情報の取得
トラフィック監視装置５は、常時、検査対象端末４（検査対象のＩＰアドレス）のネットワークＮに流れるパケットを監視している。そして、機器トラフィック情報管理部５１は、パケットから送信元アドレス、宛先アドレス、パケットサイズ等を取得し機器トラフィック管理情報５２に保存する。

【0068】

また、機器トラフィック情報管理部５１は、パケット監視状況及び機器トラフィック管理情報５２から不正な通信の可能性があるかであるかを意味するトラフィックリスク値を計算している。トラフィックリスク値の計算方法については特に限定されず、種々様々な方式を適用することができる。

【0069】

例えば、機器トラフィック情報管理部５１は、リスクがないと判定すれば「０」、リスクが最も高いと判定すれば「１０」とする。トラフィックリスク値を計算するごとに、トラフィックリスク値を含むトラフィック情報が脆弱性機器検知装置１に送信され、データ受信部１１で取得され一時保存される。脆弱性機器検知装置１では、トラフィックリスク値の取得を契機として以下の処理を実行する。

【0070】

＜Ｓ２０２＞脆弱性対策リスク計算
脆弱性検知部１４は、脆弱性リスク値、及びトラフィックリスク値を用いて、脆弱性対策の必要性を意味するリスク値を計算する。ＯＳスキャンのみによる脆弱性リスク値の場合には、例えば図４（ＯＳ情報格納部１９）の許可ＩＤの３段階の値を利用する。

【0071】

なお、新規にリスク値（脆弱性対策の必要性を示すリスク値）を求めるのではなく、リスト化しておくようにしも良い。即ち、リスト化した値（脆弱性リスク値、トラフィックリスク値）から脆弱性対策の必要性を判定しても良い。

【0072】

例）
［端末識別子（ＩＰアドレス）、脆弱性リスク値、トラフィックリスク値］＝［１９２．１６８．１００．１３，１，５０］
＜Ｓ２０３＞対策判定
脆弱性検知部１４は、上述のリスク値を用いて対策をすべきか否か判定する。脆弱性検知部１４は、対策毎にリスク値が所定のリスク値を上回れば対策をするものとする。

【0073】

脆弱性リスク値が高いほど、即座に対策が必要である。また、トラフィックリスク値が高くても対策が必要となってくる。脆弱性リスク値、トラフィックリスク値が共にスコアが高い場合は、古いＯＳを使用したためウイルスに感染し異常な通信が発生したり、企業・団体組織内で許可されていない端末を接続し不正な行動をしている、といったことが考えられるため至急対策を取るべきである。

【0074】

脆弱性機器検知装置１は、例えば、以下のようにして対策を行う。脆弱性リスク値が２、トラフィック異常リスク値が５０以上ならば該当端末の通信を強制遮断する。また、脆弱性リスク値が１、トラフィックリスク値が３０以上ならば緊急な対策は必要とないと判定し管理者に対して電子メールで通知するのみとする。脆弱性リスク値が１、トラフィックリスク値が１０の場合は対策不要とする。

【0075】

＜Ｓ２０４、Ｓ２０５＞対策実行
脆弱性検知部１４は、上述のステップＳ２０３でリスク有で対策要と判定されれば、決定された対策を実行する。

【0076】

（Ｂ－３）第２の実施形態の効果
第２の実施形態によれば、第１の実施形態の効果に加えて以下の効果を奏する。

【0077】

脆弱性機器検知装置１が、ＯＳの脆弱性判定結果と、実際の異常なトラフィックの情報を用いた判定を行うことにより、脆弱性や異常通信の判定の精度が向上し、第１の実施形態よりさらに異常時の対策が取りやすくなるという効果が得られる。

【0078】

（Ｃ）他の実施形態
上述した第１、第２の実施形態においても種々の変形実施形態を言及したが、本発明は、以下の変形実施形態にも適用できる。

【0079】

上述の第１の実施形態の脆弱性検査システム１００、第２の実施形態の脆弱性検査システム２００では、脆弱性機器検知装置１、ＩＴ資産管理装置２、及びトラフィック監視装置５は別装置の構成例で示しているが、同一ハードウェア内に構成するようにしても良い。

【符号の説明】

【0080】

１…脆弱性機器検知装置、２…ＩＴ資産管理装置、３…監視結果出力装置、４…検査対象端末、５…トラフィック監視装置、１１…データ受信部、１２…制御部、１３…関連情報収集部、１４…脆弱性検知部、１５…検査結果生成部、１６…検査情報格納部、１７…ＩＴ資産情報格納部、１８…判定結果格納部、１９…ＯＳ情報格納部、５１…機器トラフィック情報管理部、５２…機器トラフィック管理情報、１００…脆弱性検査システム、２００…脆弱性検査システム、Ｎ…ネットワーク。

【図1】

【図2】

【図3】

【図4】

【図5】

【図6】

【図7】

【図8】

【図9】