特許 7396371 分析装置、分析方法及び分析プログラム

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】特許公報(B2)

(11)【特許番号】

(24)【登録日】2023-12-04

(45)【発行日】2023-12-12

(54)【発明の名称】分析装置、分析方法及び分析プログラム

(51)【国際特許分類】

   G06F 21/57 20130101AFI20231205BHJP

【ＦＩ】

G06F21/57 370

【請求項の数】 22

(21)【出願番号】P 2021566634

(86)(22)【出願日】2019-12-25

(86)【国際出願番号】 JP2019050821

(87)【国際公開番号】W WO2021130897

(87)【国際公開日】2021-07-01

【審査請求日】2022-06-10

(73)【特許権者】

【識別番号】000004237

【氏名又は名称】日本電気株式会社

(74)【代理人】

【識別番号】100103894

【弁理士】

【氏名又は名称】家入 健

(72)【発明者】

【氏名】植田 啓文

(72)【発明者】

【氏名】水島 諒

(72)【発明者】

【氏名】柳生 智彦

【審査官】金沢 史明

(56)【参考文献】

【文献】国際公開第２０１５／１１４７９１（ＷＯ，Ａ１）

【文献】米国特許出願公開第２０１４／０２１５６２９（ＵＳ，Ａ１）

【文献】杉本 暁彦, 他，サイバー攻撃の侵入経路を考慮したセキュリティリスク評価技術，情報処理学会論文誌，日本，情報処理学会，2016年09月15日，Vol. 57, No. 9，pp. 2077-2087

(58)【調査した分野】(Int.Cl.，ＤＢ名)

Ｇ０６Ｆ ２１／５７

(57)【特許請求の範囲】

【請求項1】

分析対象の脆弱性を適用した情報システムから抽出される攻撃経路に基づいて、前記情報システムにおける前記脆弱性に対するＣＶＳＳ（Common Vulnerability Scoring System）の環境評価基準を評価する環境評価手段と、
取得される前記脆弱性のＣＶＳＳ基本値情報と前記情報システムの所定の基本値対応判断条件に基づいて、前記情報システムにおける前記脆弱性に対するＣＶＳＳの基本評価基準を評価する基本評価手段と、
前記環境評価基準の評価結果と前記基本評価基準の評価結果に基づいて、前記情報システムにおける前記脆弱性の対応要否を判断する判断手段と、
を備え、
前記環境評価手段は、前記環境評価基準の評価として、前記情報システムにおける前記脆弱性の対応要否を判断し、
前記環境評価手段は、前記情報システムにおける前記脆弱性を有する重要資産の有無と、前記重要資産の外部接続の有無とに応じて、前記攻撃経路を抽出する、
分析装置。

【請求項2】

前記環境評価手段は、前記脆弱性を適用した情報システムに基づいた攻撃グラフを生成し、前記生成した攻撃グラフから前記攻撃経路を抽出する、
請求項１に記載の分析装置。

【請求項3】

前記環境評価手段は、前記攻撃グラフから前記攻撃経路を抽出できた場合、前記脆弱性の対応要と判断する、
請求項２に記載の分析装置。

【請求項4】

前記環境評価手段は、前記情報システムにおいて前記脆弱性を有する重要資産が無い場合、または、前記重要資産に外部接続が無い場合、前記攻撃経路を抽出する、
請求項１乃至３のいずれか一項に記載の分析装置。

【請求項5】

前記環境評価手段は、前記情報システムにおいて前記脆弱性を有する重要資産が有り、かつ、前記重要資産に外部接続が有る場合、前記脆弱性の対応要と判断する、
請求項１乃至４のいずれか一項に記載の分析装置。

【請求項6】

分析対象の脆弱性を適用した情報システムから抽出される攻撃経路に基づいて、前記情報システムにおける前記脆弱性に対するＣＶＳＳ（Common Vulnerability Scoring System）の環境評価基準を評価する環境評価手段と、
取得される前記脆弱性のＣＶＳＳ基本値情報と前記情報システムの所定の基本値対応判断条件に基づいて、前記情報システムにおける前記脆弱性に対するＣＶＳＳの基本評価基準を評価する基本評価手段と、
取得される前記脆弱性のＣＶＳＳ現状値情報と前記情報システムの所定の現状値対応判断条件に基づいて、前記情報システムにおける前記脆弱性に対するＣＶＳＳの現状評価基準を評価する現状評価手段と、
前記環境評価基準の評価結果と前記基本評価基準の評価結果と前記現状評価基準に基づいて、前記情報システムにおける前記脆弱性の対応要否を判断する判断手段と、
を備え、
前記現状評価手段は、前記現状評価基準の評価として、前記情報システムにおける前記脆弱性の対応要否を判断し、
前記現状値対応判断条件は、前記ＣＶＳＳ現状値情報の現状値算出要素と前記情報システムにおける前記脆弱性の対応要否とを関連付けた条件である、
分析装置。

【請求項7】

前記現状値算出要素は、攻撃方法の有無、攻撃事例の有無、または緩和策の有無を含む、
請求項６に記載の分析装置。

【請求項8】

前記現状評価手段は、前記ＣＶＳＳ現状値情報の前記攻撃事例が有り、かつ、前記ＣＶＳＳ現状値情報の前記緩和策が有りの場合、前記脆弱性の対応要と判断する、
請求項７に記載の分析装置。

【請求項9】

分析対象の脆弱性を適用した情報システムから抽出される攻撃経路に基づいて、前記情報システムにおける前記脆弱性に対するＣＶＳＳ（Common Vulnerability Scoring System）の環境評価基準を評価する環境評価手段と、
取得される前記脆弱性のＣＶＳＳ基本値情報と前記情報システムの所定の基本値対応判断条件に基づいて、前記情報システムにおける前記脆弱性に対するＣＶＳＳの基本評価基準を評価する基本評価手段と、
前記環境評価基準の評価結果と前記基本評価基準の評価結果に基づいて、前記情報システムにおける前記脆弱性の対応要否を判断する判断手段と、
を備え、
前記基本評価手段は、前記基本評価基準の評価として、前記情報システムにおける前記脆弱性の対応要否を判断し、
前記基本値対応判断条件は、前記ＣＶＳＳ基本値情報の基本値算出要素ごとに前記情報システムにおけるシステム特性を関連付けた条件である、
分析装置。

【請求項10】

前記基本評価手段は、前記ＣＶＳＳ基本値情報の基本値算出要素の情報と、前記基本値対応判断条件の前記システム特性とが対応している場合、前記脆弱性の対応要と判断する、
請求項９に記載の分析装置。

【請求項11】

前記基本値算出要素は、攻撃条件の複雑さ、特権レベル、または利用者の関与を含む、
請求項９または１０に記載の分析装置。

【請求項12】

前記基本値対応判断条件は、さらに、対策情報の有無、攻撃検知方法の有無を含む、
請求項９乃至１１のいずれか一項に記載の分析装置。

【請求項13】

前記脆弱性の対応要否の判断結果に応じて、前記環境評価基準の評価結果と前記基本評価基準の評価結果を出力する出力手段をさらに備える、
請求項１乃至１２のいずれか一項に記載の分析装置。

【請求項14】

前記出力手段は、前記環境評価基準の評価結果として、前記抽出された攻撃経路を出力する、
請求項１３に記載の分析装置。

【請求項15】

前記出力手段は、前記基本評価基準の評価結果として、前記基本値対応判断条件との対応が示された前記脆弱性のＣＶＳＳ基本値情報を出力する、
請求項１３または１４に記載の分析装置。

【請求項16】

前記出力手段は、前記基本評価基準の評価結果として、前記情報システムにおいて前記脆弱性の確認事項を示すチェックリストを出力する、
請求項１５に記載の分析装置。

【請求項17】

分析装置によって実行される分析方法であって、
分析対象の脆弱性を適用した情報システムから抽出される攻撃経路に基づいて、前記情報システムにおける前記脆弱性に対するＣＶＳＳの環境評価基準を評価し、
取得される前記脆弱性のＣＶＳＳ基本値情報と前記情報システムの所定の基本値対応判断条件に基づいて、前記情報システムにおける前記脆弱性に対するＣＶＳＳの基本評価基準を評価し、
前記環境評価基準の評価結果と前記基本評価基準の評価結果に基づいて、前記情報システムにおける前記脆弱性の対応要否を判断し、
前記環境評価基準の評価として、前記情報システムにおける前記脆弱性の対応要否を判断し、
前記情報システムにおける前記脆弱性を有する重要資産の有無と、前記重要資産の外部接続の有無とに応じて、前記攻撃経路を抽出する、
分析方法。

【請求項18】

分析装置によって実行される分析方法であって、
分析対象の脆弱性を適用した情報システムから抽出される攻撃経路に基づいて、前記情報システムにおける前記脆弱性に対するＣＶＳＳ（Common Vulnerability Scoring System）の環境評価基準を評価し、
取得される前記脆弱性のＣＶＳＳ基本値情報と前記情報システムの所定の基本値対応判断条件に基づいて、前記情報システムにおける前記脆弱性に対するＣＶＳＳの基本評価基準を評価し、
取得される前記脆弱性のＣＶＳＳ現状値情報と前記情報システムの所定の現状値対応判断条件に基づいて、前記情報システムにおける前記脆弱性に対するＣＶＳＳの現状評価基準を評価し、
前記環境評価基準の評価結果と前記基本評価基準の評価結果と前記現状評価基準に基づいて、前記情報システムにおける前記脆弱性の対応要否を判断し、
前記現状評価基準の評価として、前記情報システムにおける前記脆弱性の対応要否を判断し、
前記現状値対応判断条件は、前記ＣＶＳＳ現状値情報の現状値算出要素と前記情報システムにおける前記脆弱性の対応要否とを関連付けた条件である、
分析方法。

【請求項19】

分析装置によって実行される分析方法であって、
分析対象の脆弱性を適用した情報システムから抽出される攻撃経路に基づいて、前記情報システムにおける前記脆弱性に対するＣＶＳＳ（Common Vulnerability Scoring System）の環境評価基準を評価し、
取得される前記脆弱性のＣＶＳＳ基本値情報と前記情報システムの所定の基本値対応判断条件に基づいて、前記情報システムにおける前記脆弱性に対するＣＶＳＳの基本評価基準を評価し、
前記環境評価基準の評価結果と前記基本評価基準の評価結果に基づいて、前記情報システムにおける前記脆弱性の対応要否を判断し、
前記基本評価基準の評価として、前記情報システムにおける前記脆弱性の対応要否を判断し、
前記基本値対応判断条件は、前記ＣＶＳＳ基本値情報の基本値算出要素ごとに前記情報システムにおけるシステム特性を関連付けた条件である、
分析方法。

【請求項20】

分析対象の脆弱性を適用した情報システムから抽出される攻撃経路に基づいて、前記情報システムにおける前記脆弱性に対するＣＶＳＳの環境評価基準を評価し、
取得される前記脆弱性のＣＶＳＳ基本値情報と前記情報システムの所定の基本値対応判断条件に基づいて、前記情報システムにおける前記脆弱性に対するＣＶＳＳの基本評価基準を評価し、
前記環境評価基準の評価結果と前記基本評価基準の評価結果に基づいて、前記情報システムにおける前記脆弱性の対応要否を判断し、
前記環境評価基準の評価として、前記情報システムにおける前記脆弱性の対応要否を判断し、
前記情報システムにおける前記脆弱性を有する重要資産の有無と、前記重要資産の外部接続の有無とに応じて、前記攻撃経路を抽出する、
処理をコンピュータに実行させるための分析プログラム。

【請求項21】

分析対象の脆弱性を適用した情報システムから抽出される攻撃経路に基づいて、前記情報システムにおける前記脆弱性に対するＣＶＳＳ（Common Vulnerability Scoring System）の環境評価基準を評価し、
取得される前記脆弱性のＣＶＳＳ基本値情報と前記情報システムの所定の基本値対応判断条件に基づいて、前記情報システムにおける前記脆弱性に対するＣＶＳＳの基本評価基準を評価し、
取得される前記脆弱性のＣＶＳＳ現状値情報と前記情報システムの所定の現状値対応判断条件に基づいて、前記情報システムにおける前記脆弱性に対するＣＶＳＳの現状評価基準を評価し、
前記環境評価基準の評価結果と前記基本評価基準の評価結果と前記現状評価基準に基づいて、前記情報システムにおける前記脆弱性の対応要否を判断し、
前記現状評価基準の評価として、前記情報システムにおける前記脆弱性の対応要否を判断し、
前記現状値対応判断条件は、前記ＣＶＳＳ現状値情報の現状値算出要素と前記情報システムにおける前記脆弱性の対応要否とを関連付けた条件である、
処理をコンピュータに実行させるための分析プログラム。

【請求項22】

分析対象の脆弱性を適用した情報システムから抽出される攻撃経路に基づいて、前記情報システムにおける前記脆弱性に対するＣＶＳＳ（Common Vulnerability Scoring System）の環境評価基準を評価し、
取得される前記脆弱性のＣＶＳＳ基本値情報と前記情報システムの所定の基本値対応判断条件に基づいて、前記情報システムにおける前記脆弱性に対するＣＶＳＳの基本評価基準を評価し、
前記環境評価基準の評価結果と前記基本評価基準の評価結果に基づいて、前記情報システムにおける前記脆弱性の対応要否を判断し、
前記基本評価基準の評価として、前記情報システムにおける前記脆弱性の対応要否を判断し、
前記基本値対応判断条件は、前記ＣＶＳＳ基本値情報の基本値算出要素ごとに前記情報システムにおけるシステム特性を関連付けた条件である、
処理をコンピュータに実行させるための分析プログラム。

【発明の詳細な説明】

【技術分野】

【0001】

本発明は、分析装置、分析方法及び分析プログラムが格納された非一時的なコンピュータ可読媒体に関する。

【背景技術】

【0002】

近年、情報システムの脆弱性を攻撃するサイバー攻撃が著しく増加しており、サイバーセキュリティへの脅威が高まっている。そのため、制御システムやＩｏＴ（Internet of Things）など含む情報システムの多様化、複雑化が進む中で、脆弱性の適切な評価や対応が大きな課題となっている。

【0003】

脆弱性の評価手法としてＣＶＳＳ（Common Vulnerability Scoring System：共通脆弱性評価システム）が利用されている。関連する技術として、例えば、特許文献１や２が知られている。特許文献１には、脆弱性分析装置において、脆弱性の影響度としてＣＶＳＳの基本値を取得し、取得した基本値に応じた画面表示を行うことが記載されている。特許文献２には、情報システムの攻撃グラフを生成し、攻撃の影響を評価することが記載されている。

【先行技術文献】

【特許文献】

【0004】

【文献】特開２０１４－１３０５０２号公報

【文献】特表２０１３－５２５９２７号公報

【発明の概要】

【発明が解決しようとする課題】

【0005】

しかしながら、特許文献１や２などの関連する技術では、ＣＶＳＳの基本値や攻撃グラフを利用しているものの、脆弱性への対応要否を判断することが困難であるという問題がある。

【0006】

本開示は、このような課題に鑑み、脆弱性への対応要否を判断することが可能な分析装置、分析方法及び分析プログラムが格納された非一時的なコンピュータ可読媒体を提供することを目的とする。

【課題を解決するための手段】

【0007】

本開示に係る分析装置は、分析対象の脆弱性を適用した情報システムから抽出される攻撃経路に基づいて、前記情報システムにおける前記脆弱性に対するＣＶＳＳ（Common Vulnerability Scoring System）の環境評価基準を評価する環境評価手段と、取得される前記脆弱性のＣＶＳＳ基本値情報と前記情報システムの所定の基本値対応判断条件に基づいて、前記情報システムにおける前記脆弱性に対するＣＶＳＳの基本評価基準を評価する基本評価手段と、前記環境評価基準の評価結果と前記基本評価基準の評価結果に基づいて、前記情報システムにおける前記脆弱性の対応要否を判断する判断手段と、を備えるものである。

【0008】

本開示に係る分析方法は、分析対象の脆弱性を適用した情報システムから抽出される攻撃経路に基づいて、前記情報システムにおける前記脆弱性に対するＣＶＳＳの環境評価基準を評価し、取得される前記脆弱性のＣＶＳＳ基本値情報と前記情報システムの所定の基本値対応判断条件に基づいて、前記情報システムにおける前記脆弱性に対するＣＶＳＳの基本評価基準を評価し、前記環境評価基準の評価結果と前記基本評価基準の評価結果に基づいて、前記情報システムにおける前記脆弱性の対応要否を判断するものである。

【0009】

本開示に係る分析プログラムが格納された非一時的なコンピュータ可読媒体は、分析対象の脆弱性を適用した情報システムから抽出される攻撃経路に基づいて、前記情報システムにおける前記脆弱性に対するＣＶＳＳの環境評価基準を評価し、取得される前記脆弱性のＣＶＳＳ基本値情報と前記情報システムの所定の基本値対応判断条件に基づいて、前記情報システムにおける前記脆弱性に対するＣＶＳＳの基本評価基準を評価し、前記環境評価基準の評価結果と前記基本評価基準の評価結果に基づいて、前記情報システムにおける前記脆弱性の対応要否を判断する、処理をコンピュータに実行させるための分析プログラムが格納された非一時的なコンピュータ可読媒体である。

【発明の効果】

【0010】

本開示によれば、脆弱性への対応要否を判断することが可能な分析装置、分析方法及び分析プログラムが格納された非一時的なコンピュータ可読媒体を提供することができる。

【図面の簡単な説明】

【0011】

【図1】関連する脆弱性管理方法を示すフローチャートである。

【図2】実施の形態に係る分析装置の概要を示す構成図である。

【図3】実施の形態に係る分析装置の概要を示す構成図である。

【図4】実施の形態に係る分析装置の概要を示す構成図である。

【図5】実施の形態１に係る分析システムの構成例を示す構成図である。

【図6】実施の形態１に係る現状値判断部の構成例を示す構成図である。

【図7】実施の形態１に係る対応判断表の例を示す図である。

【図8】実施の形態１に係る環境値判断部の構成例を示す構成図である。

【図9】実施の形態１に係る基本値判断部の構成例を示す構成図である。

【図10】実施の形態１に係るポリシー判定表の例を示す図である。

【図11】実施の形態１に係るポリシー判定表の例を示す図である。

【図12】実施の形態１に係る分析システムの動作例を示すフローチャートである。

【図13】実施の形態１に係る脆弱性情報収集処理を示すフローチャートである。

【図14】実施の形態１に係る現状値判断処理を示すフローチャートである。

【図15】実施の形態１に係る環境値判断処理を示すフローチャートである。

【図16】実施の形態１に係る基本値判断処理を示すフローチャートである。

【図17】実施の形態１に係る判断結果出力処理を示すフローチャートである。

【図18】実施の形態１に係る分析システムが分析する情報システムの構成例を示す図である。

【図19】実施の形態１に係る攻撃経路の分析要素の例を示す図である。

【図20】実施の形態１に係る環境値判断処理を説明するための図である。

【図21】実施の形態１に係る環境値判断処理を説明するための図である。

【図22】実施の形態１に係る基本値情報の例を示す図である。

【図23】実施の形態１に係るインテリジェンス情報の例を示す図である。

【図24】実施の形態１に係る判断結果の出力例を示す図である。

【図25】実施の形態１に係る判断結果の出力例を示す図である。

【図26】実施の形態１に係る判断結果の出力例を示す図である。

【図27】実施の形態に係るコンピュータのハードウェアの概要を示す構成図である。

【発明を実施するための形態】

【0012】

以下、図面を参照して実施の形態について説明する。各図面においては、同一の要素には同一の符号が付されており、必要に応じて重複説明は省略される。

【0013】

（実施の形態に至る検討）
まず、情報システムにおける脆弱性の管理について検討する。図１は、関連する脆弱性管理方法を示している。この方法は、主に管理者により実施される。

【0014】

図１に示すように、関連する脆弱性管理方法では、まず、対象となる情報システムの脆弱性を認定し（Ｓ１１０）、認定した脆弱性への対応を実施する（Ｓ１２０）。

【0015】

脆弱性の認定（Ｓ１１０）では、情報システムの構成を把握する（Ｓ１０１）。情報システムの詳細設計書を参照したり、情報システムのシステム構成情報を取得することで、情報システムに含まれるソフトウェア及びハードウェアを把握する。

【0016】

続いて、情報システムの脆弱性情報を収集する（Ｓ１０２）。把握されたソフトウェア及びハードウェアの脆弱性情報を、ＩＰＡ（Information-technology Promotion Agency：情報処理推進機構）によるアラート情報、ＣＶＥ（Common Vulnerabilities and Exposures）やＮＶＤ（National Vulnerability Database）など脆弱性情報の公開データベース等から収集する。

【0017】

続いて、脆弱性に対する対応要否を判断する（Ｓ１０３）。収集された脆弱性情報に基づいて、そのソフトウェア及びハードウェアの脆弱性が、情報システムにおいて対処すべきものか否か判断する。

【0018】

対応が必要であると判断された場合、脆弱性への対応（Ｓ１２０）として、脆弱性を悪用した攻撃の検知および分析を行う（Ｓ１０４）。情報システムのログを参照等することで、対応する脆弱性を悪用した攻撃による痕跡の有無を確認する。脆弱性を悪用した攻撃の検知結果や脆弱性の内容に応じて、予防（緩和策）（Ｓ１０５）、封じ込め／根絶／復旧（Ｓ１０６）、予防（恒久策）（Ｓ１０７）など必要な対応を実施する。予防（緩和策）（Ｓ１０５）では、情報システムにＩＰ（Internet Protocol）アドレスやＵＲＬ（Uniform Resource Locator）のフィルタリング等を設定する。封じ込め／根絶／復旧（Ｓ１０６）では、インシデントハンドリングを行う。予防（恒久策）（Ｓ１０７）では、情報システムにパッチの適用等を行う。

【0019】

このような管理方法により、例えば新たな脆弱性が発見された際、情報システムに対する影響を評価し、管理者が脆弱性の対応要否を判断する。新たに発見される脆弱性へ対処することで、情報システムの安全性を維持することが可能となる。

【0020】

しかしながら、脆弱性に対する対応要否の判断が困難であるという問題がある。すなわち、脆弱性を評価する手法としてＣＶＳＳが提案されているものの、ＣＶＳＳのそれぞれの評価値を適切に判断することが困難となっている。

【0021】

具体的には、ＣＶＳＳでは、基本評価基準、現状評価基準、環境評価基準により脆弱性を評価する。基本評価基準は、脆弱性そのものの特性を評価する基準であり、機密性、完全性、可用性への影響等の観点から基本値が算出される。基本値は固定であり、脆弱性情報の公開データベースやベンダー等から公開されている。

【0022】

現状評価基準は、脆弱性の現在の深刻度を評価する基準であり、攻撃される可能性や対策の利用可能性等の観点から、現状値が算出される。現状値は、状況に応じて変化し、脆弱性情報の公開データベースやベンダー等から公開されている。

【0023】

環境評価基準は、製品利用者の利用環境を含めた最終的な脆弱性の深刻度を評価する基準であり、二次的被害の可能性や影響を受けるシステム範囲等の観点から環境値が算出される。環境値は、製品利用者ごとに変化するため、製品利用者が算出する。

【0024】

脆弱性への対応要否について、ＣＶＳＳではこれらの３つの評価基準により判断する必要がある。しかし、ＣＶＳＳでは、基本値、現状値及び環境値の数値により定量化されてしまうため、リスクの具体性に欠け、対応要否の判断が困難である。例えば、ＣＶＳＳを使わずに、熟練者が、その都度総合的に判断する場合もある。また、実際には、算出の複雑さ等から現状値及び環境値を使用せずに、基本値のみで判断されることが多い。しかし、基本値のみでは、現状と乖離するため適切に評価することはできない。

【0025】

そこで、以下の実施の形態では、脆弱性への対応要否を情報システムに合わせて自動的に判断することを可能とする。

【0026】

（実施の形態の概要）
図２は、実施の形態に係る分析装置の概要を示している。図２に示すように、実施の形態に係る分析装置１０は、環境評価部１１、基本評価部１２、判断部１３を備えている。

【0027】

環境評価部１１は、分析対象の脆弱性を適用した情報システムから攻撃グラフ生成技術等を用いて抽出される攻撃経路に基づいて、情報システムにおける脆弱性に対するＣＶＳＳの環境評価基準を評価する。基本評価部１２は、取得される脆弱性のＣＶＳＳ基本値情報と情報システムの所定の基本値対応判断条件（基本値対応ポリシー）に基づいて、情報システムにおける脆弱性に対するＣＶＳＳの基本評価基準を評価する。判断部１３は、環境評価部１１による環境評価基準の評価結果と基本評価部１２による基本評価基準の評価結果に基づいて、情報システムにおける脆弱性への対応要否を判断する。

【0028】

なお、分析装置１０は、少なくとも図３または図４に示す構成でもよい。例えば、図３のように、分析装置１０は、環境評価部１１と判断部１３とを備え、判断部１３が、環境評価部１１の評価結果に基づいて、情報システムにおける脆弱性への対応要否を判断してもよい。また、図４のように、分析装置１０は、基本評価部１２と判断部１３とを備え、判断部１３が、基本評価部１２による基本評価基準の評価結果に基づいて、情報システムにおける脆弱性への対応要否を判断してもよい。また、さらに、取得される脆弱性のＣＶＳＳ現状値情報と情報システムの所定の現状値対応判断条件（対応判断表）に基づいて、情報システムにおける脆弱性に対するＣＶＳＳの現状評価基準を評価する現状評価部を備えていてもよい。

【0029】

このように、攻撃グラフ生成技術等を用いることで脆弱性を適用した情報システムから攻撃経路を抽出し、抽出される攻撃経路に基づくことで、情報システムにおける環境評価基準を適切に評価することができ、また、例えば公開されている脆弱性のＣＶＳＳ基本値情報を取得し、取得されるＣＶＳＳ基本値情報と情報システムの基本値に対する対応を定義した対応ポリシーとに基づくことで、情報システムにおける基本評価基準を適切に評価することができる。さらに、これらの評価結果を用いることで、脆弱性への対応要否を情報システムに合わせて自動的に判断することができる。

【0030】

（実施の形態１）
以下、図面を参照して実施の形態１について説明する。

【0031】

＜システムの構成＞
図５は、本実施の形態に係る分析システム１の構成例を示している。本実施の形態に係る分析システム１は、新たに発見された脆弱性を分析し、情報システムにおける対応要否を判断するシステムである。

【0032】

図５に示すように分析システム（分析装置）１は、判断装置１００、システム構成情報ＤＢ（データベース）２００、脆弱性情報ＤＢ３００を備えている。システム構成情報ＤＢ２００及び脆弱性情報ＤＢ３００は、判断装置１００とインターネット等のネットワークを介して接続されていてもよいし、直接接続されていてもよい。また、システム構成情報ＤＢ２００及び脆弱性情報ＤＢ３００は、判断装置１００に内蔵された記憶装置としてもよい。

【0033】

システム構成情報ＤＢ２００は、脆弱性の対応要否を判断する情報システムのシステム構成情報を予め記憶するデータベースである。システム構成情報は、情報システムを構成するノード装置（端末）のハードウェア情報、ソフトウェア情報、ネットワーク情報、各種設定情報等である。また、必要に応じて、どのノード装置が重要資産であるかを示す情報等を有する。

【0034】

脆弱性情報ＤＢ３００は、発見（公開）されている脆弱性情報を記憶するデータベースである。脆弱性情報は、例えば、脆弱性ごとに対象製品や脆弱性内容、ＣＶＳＳの基本値情報及び現状値情報等が含まれている。脆弱性情報ＤＢ３００は、その他、脆弱性に関するインテリジェンス情報（対策情報等）を記憶してもよい。脆弱性情報ＤＢ３００は、ＩＰＡやＣＶＥやＮＶＤ、ＪＶＮ（Japan Vulnerability Notes）のように公の組織が公開する脆弱性情報等の他、セキュリティベンダーやその他のベンダー等が公開する脆弱性情報等を記憶してもよい。また、公開されている脆弱性情報等が取得できればよいため、データベースに限らず任意の構成でよく、例えばブログ等でもよい。

【0035】

判断装置１００は、セキュリティ情報収集部１１０、現状値判断部１２０、環境値判断部１３０、基本値判断部１４０、出力部１５０を備える。なお、後述の動作が可能であれば、その他の構成でもよい。

【0036】

セキュリティ情報収集部１１０は、脆弱性やシステムに関連するセキュリティ情報を収集する。例えば、セキュリティ情報収集部１１０は、システム構成情報ＤＢ２００から情報システムのシステム情報を取得し、また、脆弱性情報ＤＢ３００から脆弱性情報を取得する。

【0037】

現状値判断部１２０は、情報システムにおける脆弱性の現状評価基準を評価する現状評価部であり、現状評価基準の評価として、公開されている脆弱性の現状値情報に基づいて、情報システムにおける脆弱性の対応要否を判断する。現状値判断部１２０は、公開されている脆弱性の現状値情報と情報システムの対応判断表とに基づいて、脆弱性の対応要否を判断する。

【0038】

図６は、現状値判断部１２０の構成例を示している。図６に示すように、現状値判断部１２０は、対応判断表記憶部１２１、現状値取得部１２２、現状値対応判断部１２３を備えている。

【0039】

対応判断表記憶部１２１は、現状値情報と情報システムにおける対応要否を関連付ける対応判断表（現状値対応判断条件を示す現状値対応判断表）を予め記憶する。対応判断表は、情報システムごとの表としてもよいし、全ての情報システムに共通の表としてもよい。
図７は、記憶される対応判断表の具体例を示している。図７の例では、対応判断表（現状値対応判断条件）は、現状値情報に含まれる「攻撃方法の有無」、「攻撃事例の有無」及び「緩和策の有無」と、情報システムの対応要否（Ｙｅｓ／Ｎｏ）とを関連付けている。「攻撃方法の有無」、「攻撃事例の有無」及び「緩和策の有無」は、現状値の算出要素の一例であり、その他の要素を含んでいてもよい。なお、対応判断表と同様の関連付け（現状値対応判断条件）により対応要否が判断できれば、対応判断表の形式に限られない。

【0040】

現状値取得部１２２は、脆弱性情報ＤＢ３００等から分析対象の脆弱性の現状値情報を取得する。現状値取得部１２２は、脆弱性情報ＤＢ３００やベンダー等の脆弱性情報やインテリジェンス情報から、脆弱性の現状値情報に含まれる「攻撃方法の有無」、「攻撃事例の有無」及び「緩和策の有無」を取得する。
現状値対応判断部１２３は、取得された「攻撃方法の有無」、「攻撃事例の有無」及び「緩和策の有無」に基づき、対応判断表を参照して、情報システムの対応要否を判断する。例えば、現状値対応判断部１２３は、現状値情報の攻撃事例が有り、かつ、現状値情報の緩和策が有りの場合、脆弱性の対応要と判断する。

【0041】

環境値判断部１３０は、情報システムにおける脆弱性の環境評価基準を評価する環境評価部であり、環境評価基準の評価として、脆弱性を適用した情報システムの攻撃経路に基づいて、情報システムにおける脆弱性の対応要否を判断する。環境値判断部１３０は、脆弱性を適用した情報システムの攻撃グラフから抽出される攻撃経路に基づいて、脆弱性の対応要否を判断する。

【0042】

図８は、環境値判断部１３０の構成例を示している。図８に示すように、環境値判断部１３０は、分析要素設定部１３１、攻撃経路分析部１３２、攻撃経路抽出部１３３、環境値対応判断部１３４を備えている。

【0043】

分析要素設定部１３１は、攻撃グラフを生成するため、情報システムにおける攻撃経路の侵入口及び攻撃目標などの分析要素を設定する。例えば、分析要素は予め設定されていてもよいし、ユーザの操作等により設定されてもよい。攻撃経路分析部１３２は、設定された侵入口及び攻撃目標などの分析要素に基づき攻撃経路（攻撃パス）を分析する。

【0044】

攻撃経路抽出部１３３は、分析結果に基づき、攻撃グラフ生成技術（攻撃グラフ生成ツール）を用いて攻撃グラフを生成し、生成した攻撃グラスから分析対象の脆弱性を含む攻撃経路を抽出する。攻撃グラフは、分析対象の脆弱性が適用された情報システムに対して想定される攻撃ステップを表すグラフであり、侵入口から攻撃目標まで攻撃ステップの順に経由されるノードが結ばれている。攻撃グラフにおける侵入口から攻撃目標までのノードの接続経路が攻撃経路となる。例えば、攻撃経路の分析は、事前に侵入口及び攻撃対象（重要資産等）を設定しておき、新たな脆弱性が発見された場合など、脆弱性情報が更新される度に実施する。

【0045】

環境値対応判断部１３４は、脆弱性が適用された情報システムにおいて、侵入口から攻撃目標までの攻撃経路が抽出されたか否かに応じて、情報システムの対応要否を判断する。すなわち、本実施の形態では、環境値の評価は、ＣＶＳＳで定められた数値算出の代わりに、攻撃グラフ分析等を用いて攻撃経路を導出し、侵入口から重要資産（目標）に至る攻撃経路が存在するか否かにより行う。例えば、環境値対応判断部１３４は、攻撃グラフから攻撃経路を抽出できた場合、脆弱性の対応要と判断する。

【0046】

基本値判断部１４０は、情報システムにおける脆弱性の基本評価基準を評価する基本評価部であり、基本評価基準の評価として、公開されている脆弱性の基本値情報に基づいて、情報システムにおける脆弱性の対応要否を判断する。基本値判断部１４０は、公開されている脆弱性の基本値情報と情報システムのポリシー判定表とに基づいて、脆弱性の対応要否を判断する。

【0047】

図９は、基本値判断部１４０の構成例を示している。図９に示すように、基本値判断部１４０は、ポリシー判定表記憶部１４１、基本値取得部１４２、基本値対応判断部１４３を備えている。

【0048】

ポリシー判定表記憶部１４１は、基本値情報と情報システムにおける対応要否を関連付けるポリシー判定表（基本値対応判断条件を示す基本値対応判断表）を予め記憶する。ポリシー判定表には、脆弱性の詳細情報と情報システムの特性とが記載されている。ポリシー判定表は、情報システムごとの表としてもよいし、重要資産ごとの表としてもよい。

【0049】

図１０及び図１１は、記憶されるポリシー判定表の具体例を示している。図１０の例では、ポリシー判定表（基本値対応判断条件）は、重要資産（資産名）ごとに、基本値情報に含まれる「攻撃条件の複雑さ」、「特権レベル」及び「利用者の関与」ごとに対応条件（システム特性）が設定されている。「攻撃条件の複雑さ」、「特権レベル」及び「利用者の関与」は、基本値の算出要素の一例であり、その他の要素を含んでいてもよい。
また、図１１の例では、ポリシー判定表は、重要資産（資産名）ごとに、「攻撃条件の複雑さ」、「特権レベル」及び「ユーザの関与」の対応条件に加えて、「対策」情報の有無が設定されている。図１１のように、ＣＶＳＳの基本値情報に含まれないが、インテリジェンス情報に含まれている対策情報や攻撃検知方法等をポリシー判定表に入れても良い。なお、ポリシー判定表と同様の関連付け（基本値対応判断条件）により対応要否が判断できれば、ポリシー判定表の形式に限られない。

【0050】

基本値取得部１４２は、脆弱性情報ＤＢ３００等から分析対象の脆弱性の基本値情報を取得する。基本値取得部１４２は、脆弱性情報ＤＢ３００やベンダー等の脆弱性情報やインテリジェンス情報から、脆弱性の基本値情報に含まれる「攻撃条件の複雑さ」、「特権レベル」及び「ユーザの関与」や、その他「対策」等の情報を取得する。
基本値対応判断部１４３は、取得された「攻撃条件の複雑さ」、「特権レベル」及び「ユーザの関与」や、その他「対策」等の情報に基づき、ポリシー判定表を参照して、情報システムの対応要否を判断する。ポリシー判定表に設定された基本値に関する判断内容に基づき、脆弱性情報に合わせて、対応要否を判別する。例えば、基本値対応判断部１４３は、基本値情報の「攻撃条件の複雑さ」等の情報と、ポリシー判定表の「攻撃条件の複雑さ」等とが対応している場合、脆弱性の対応要と判断する。

【0051】

出力部１５０は、現状値判断部１２０、環境値判断部１３０及び基本値判断部１４０の判断結果に基づき、情報システムにおける脆弱性の対応要否を出力する。出力部１５０は、現状値判断部１２０、環境値判断部１３０及び基本値判断部１４０のそれぞれの判断結果を出力する。出力部１５０は、現状値判断部１２０、環境値判断部１３０及び基本値判断部１４０の判断結果に基づき、脆弱性の対応要否を判断する判断部でもある。出力部１５０は、例えば、現状値判断部１２０、環境値判断部１３０及び基本値判断部１４０の全ての判断結果が対応要の場合に全ての結果を出力するが、いずれかの判断結果が対応要の場合に対応要とした結果のみを出力してもよい。出力方法は限定されず、表示部（表示装置）にＧＵＩ（Graphical User Interface）により判断結果を表示してもよいし、判断結果示す任意の形式のデータをユーザに通知してもよい。

【0052】

＜システムの動作＞
図１２は、本実施の形態に係る分析システム１の動作例（分析方法）を示している。図１３は、図１２における脆弱性情報収集処理（Ｓ２０１）の流れを示し、図１４は、図１２における現状値判断処理（Ｓ２０２）の流れを示し、図１５は、図１２における環境値判断処理（Ｓ２０３）の流れを示し、図１６は、図１２における基本値判断処理（Ｓ２０４）の流れを示し、図１７は、図１２における判断結果出力処理（Ｓ２０５）の流れを示している。なお、ここでは、現状値判断処理、環境値判断処理、基本値判断処理の順番に処理を行うが、これに限らず、任意の順番に処理を行ってもよい。

【0053】

図１２に示すように、判断装置１００は、脆弱性情報収集処理を行う（Ｓ２０１）。図１３に示すように、脆弱性情報収集処理では、セキュリティ情報収集部１１０は、公開データベース等の脆弱性情報ＤＢ３００から脆弱性情報を取得し（Ｓ２１１）、新たな脆弱性が発見されたか否か判定する（Ｓ２１２）。セキュリティ情報収集部１１０は、定期的に脆弱性情報ＤＢ３００を参照してもよいし、ＩＰＡ等から新たな脆弱性情報のアラート通知を取得してもよい

【0054】

セキュリティ情報収集部１１０は、新たな脆弱性が発見されると、ユーザの情報システムにおける新たな脆弱性の対応要否を分析するため、システム構成情報ＤＢ２００のシステム構成情報を取得する（Ｓ２１３）。また、セキュリティ情報収集部１１０は、その他、脆弱性情報ＤＢ３００やベンダー等から脆弱性に関するインテリジェンス情報等を取得する。

【0055】

続いて、判断装置１００は、現状値判断処理を行う（Ｓ２０２）。図１４に示すように、現状値判断処理では、現状値取得部１２２は、分析対象の脆弱性の現状値（現状値情報）を取得する（Ｓ２２１）。例えば、セキュリティ情報収集処理で取得された脆弱性情報の中から現状値情報（「攻撃方法の有無」、「攻撃事例の有無」及び「緩和策の有無」等）を抽出する。

【0056】

次に、現状値対応判断部１２３は、取得した現状値に基づいた対応要否を判断する（Ｓ２２２）。現状値対応判断部１２３は、図７に示したような対応判断表を参照し、取得した現状値情報に基づいて対応要否を判断する。例えば、対応判断表を参照し、取得した脆弱性の現状値情報に含まれる攻撃事例が「有」かつ緩和策が「有」の場合、すぐに対策が必要であるため、現状値の観点から対応要であると判断する。その他の場合、現状値の観点からは対応不要であると判断する。さらに、現状値対応判断部１２３は、以降の処理で参照可能とするため、判断装置１００の記憶部等に、判断した現状値に基づく対応要否を設定する（Ｓ２２３）。

【0057】

続いて、判断装置１００は、環境値判断処理を行う（Ｓ２０３）。図１５に示すように、環境値判断処理では、現状値に基づく対応要否に応じて（Ｓ２３１）、攻撃グラフを分析する。

【0058】

現状値に基づいて対応不要と判断された場合、すなわち、攻撃事例が「無」または緩和策が「無」の場合、定期メンテナンス対応とするか否か判断するため、攻撃グラフを分析する（Ｓ２３２）。例えば、分析要素設定部１３１は、攻撃経路の侵入口及び攻撃目標などの分析要素を設定し、攻撃経路分析部１３２は、設定された分析要素に基づき攻撃経路を分析する。

【0059】

例えば、図１８のような情報システム４００のシステム構成において、予め侵入口及び攻撃目標などの分析要素を設定する。または、ユーザがノードを選択して侵入口及び攻撃目標などの分析要素を設定してもよい。図１８の例では、情報システム４００は、情報ネットワーク４１０、制御ネットワーク４２０、フィールドネットワーク４３０を備えた生産管理システムである。情報ネットワーク４１０は、ファイヤーウォールＦＷ１を介してインターネット４０１に接続され、ＯＡ端末４１１を有する。制御ネットワーク４２０は、ファイヤーウォールＦＷ２を介して情報ネットワーク４１０に接続され、ログサーバ４２１、保守サーバ４２２、監視制御サーバ４２３、ＨＭＩ（Human Machine Interface）４２４を有する。フィールドネットワーク４３０は、プログラマブルロジックコントローラＰＬＣ１及びＰＬＣ２を介して制御ネットワーク４２０に接続され、ＩｏＴ機器４３１及びＦＡ（Factory Automation）機器４３２等を有する。例えば、情報システム４００において、インターネット４０１を攻撃の侵入口に設定し、監視制御サーバ４２３とＨＭＩ４２４とを攻撃目標に設定する。

【0060】

攻撃経路分析部１３２は、設定された侵入口及び攻撃目標から攻撃経路を分析してもよいし、任意に指定された攻撃経路を分析しても良い。例えば、分析要素として、図１９に示すように、侵入口や攻撃目標のほか、最終攻撃（攻撃結果）、ノード間の想定攻撃パス（攻撃経路）等を設定し、攻撃経路を分析する。

【0061】

さらに、攻撃経路抽出部１３３は、攻撃経路を抽出する（Ｓ２３３）。攻撃経路抽出部１３３は、設定及び分析された情報をもとに、攻撃グラフ生成技術を用いて攻撃グラフを生成し、分析対象の脆弱性を含む情報システムの攻撃経路を抽出する。すなわち、攻撃グラフ生成技術に、既存の脆弱性に加え新たに発見された分析対象の脆弱性を適用したシステム構成情報と、侵入口及び攻撃目標等とを入力することで、各ノードの脆弱性を介した、侵入口から攻撃目標までの攻撃グラフを生成する。

【0062】

そうすると、環境値対応判断部１３４は、Ｓ２３３において攻撃グラフから攻撃経路が抽出されたか否か判定し（Ｓ２３４）、攻撃経路が抽出された場合（重要資産に関係なく対策が急務である場合）、環境値の観点から対応不要、かつ、対策情報に注視が必要であると判断し、判断した環境値に基づく対応要否を設定する（Ｓ２３５）。また、環境値対応判断部１３４は、攻撃経路が抽出されない場合（脆弱性の緩和策もリスクもない場合）、現状値及び環境値の観点から対応不要、かつ、定期メンテナンスで対応と判断し、判断した環境値に基づく対応要否を設定する（Ｓ２３６）。

【0063】

一方、現状値に基づいて対応要と判断された場合、すなわち、攻撃事例が「有」かつ緩和策が「有」の場合、情報システムに重要資産及び外部接続の有無に応じて（Ｓ２３７）、攻撃グラフを分析する。

【0064】

システム構成情報を参照し、情報システムに脆弱性を有する重要資産が無い、または重要資産に外部接続が無い場合、環境値に基づいた対応要否を判断するため、攻撃グラフを分析する（Ｓ２３８）。Ｓ２３２及びＳ２３３と同様、分析要素設定部１３１は、分析要素を設定し、攻撃経路分析部１３２は、設定された分析要素に基づき攻撃経路を分析する。さらに、攻撃経路抽出部１３３は、設定及び分析された情報をもとに、分析対象の脆弱性を含む情報システムの攻撃経路を抽出する（Ｓ２３９）。

【0065】

そうすると、環境値対応判断部１３４は、Ｓ２３９において攻撃経路が抽出されたか否か判定し（Ｓ２４０）、攻撃経路が抽出された場合（脆弱性のリスクがある場合）、環境値（及び現状値）の観点から対応要であると判断し、判断した環境値に基づく対応要否を設定する（Ｓ２４２）。また、環境値対応判断部１３４は、攻撃経路が抽出されない場合（脆弱性のリスクがない場合）、環境値の観点から対応不要、かつ、定期メンテナンスで対応と判断し、判断した環境値に基づく対応要否を設定する（Ｓ２４１）。

【0066】

また、情報システムに脆弱性を有する重要資産が有り、かつ、重要資産に外部接続が有る場合も、環境値対応判断部１３４は、環境値（及び現状値）の観点から対応要であると判断し、判断した環境値に基づく対応要否を設定する（Ｓ２４２）。

【0067】

図２０及び図２１は、攻撃経路を用いた環境値評価の具体例を示している。例えば、図２０に示すように、情報システム４００において、保守サーバ４２２、監視制御サーバ４２３、ＨＭＩ４２４が重要資産である場合に、監視制御サーバ４２３に脆弱性が存在するとする。監視制御サーバ４２３は、重要資産であるものの、ＦＷ２によりＯＡ端末４１１から直接アクセス不可であり、外部接続されていない。そうすると、攻撃グラフを分析し、インターネット４０１から監視制御サーバ４２３までの攻撃経路が抽出されないため、脆弱性の対応は不要と判断する（Ｓ２４１）。すなわち、この場合、監視制御サーバ４２３は、ＦＷ２により隔離されているため対応を保留する。

【0068】

一方、図２１に示すように、その後新たに脆弱性が発見され、非重要資産のログサーバ４２１に脆弱性が存在することになったとする。そうすると、攻撃グラフを分析し、インターネット４０１から監視制御サーバ４２３までの攻撃経路が抽出されるため、脆弱性の対応要と判断する（Ｓ２４２）。すなわち、非重要資産のログサーバ４２１に脆弱性が発見されたことにより、重要資産である監視制御サーバ４２３に至る攻撃経路が検出され、ログサーバ４２１への一次被害に加えて、重要資産へ二次被害があると判断する。

【0069】

続いて、判断装置１００は、基本値判断処理を行う（Ｓ２０４）。図１６に示すように、基本値判断処理では、環境値（及び現状値）に基づく対応要否に応じて（Ｓ２５１）、基本値情報を分析する。

【0070】

環境値に基づいて対応要と判断された場合、基本値取得部１４２は、分析対象の脆弱性の基本値（基本値情報）等を取得する（Ｓ２５２）。例えば、セキュリティ情報収集処理で取得された脆弱性情報の中から基本値情報を抽出し、また、インテリジェンス情報から必要な情報を抽出する。図２２は、取得する脆弱性の基本値情報の具体例を示している。図２２の例では、脆弱性情報（CVE-ID）ごとに、脆弱性の「説明」、「攻撃区分」、「攻撃条件の複雑さ」、「特権レベル」、「利用者の関与」、「機密性への影響」、「完全性への影響」、「可用性への影響」が含まれている。図２３は、取得する脆弱性のインテリジェンス情報の具体例を示している。図２３の例では、脆弱性情報（CVE-ID）ごとに、「影響を受けるシステム」、「攻撃コードの有無」、「対策」が含まれている。

【0071】

次に、基本値対応判断部１４３は、取得した基本値等に基づいた対応要否を判断する（Ｓ２５２～Ｓ２５７）。基本値対応判断部１４３は、図１０及び図１１に示したようなポリシー判定表を参照し、取得した基本値情報等に基づいて対応要否を判断する。図１６では、一例として、特権レベル（Ｓ２５３）、利用者の関与（Ｓ２５４）、攻撃条件の複雑さ（Ｓ２５５）、セキュリティ対策状況（Ｓ２５６）、攻撃検知方法（Ｓ２５７）に基づいて判断する。なお、これらの処理の順番は特に限定されず、任意の順番で処理を行ってもよいし、平行して複数の処理を行ってもよい。また、取得された基本値情報等に含まれるその他の情報を含めて判断してもよい。例えば、基本値情報に含まれる「機密性への影響」、「完全性への影響」、「可用性への影響」等を用いてもよい。

【0072】

特権レベルの判断では（Ｓ２５３）、脆弱性の基本値情報の「特権レベル」とポリシー判定表の「特権レベル」の一致／不一致（ポリシーに含まれるか否か）により対応要否を判断する。特権レベルの判断により、脆弱性の基本値と情報システムのポリシーとの間で、認証や管理者権限（秘密情報へのアクセスが必要等）の要否が一致するか否か（ポリシーに含まれるか否か）確認する。例えば、情報システムのポリシーでは、脆弱性の攻撃に必要となる特権レベルが得られない状況であれば、即時対応は不要と判断する。例えば、特権レベルには、不要、低、中、高のように複数のレベルが含まれる。図２２の脆弱性情報では、特権レベルが「不要」であり、図１０のポリシー判定表では、ログサーバ及び制御管理サーバの特権レベルが「低以下」で「不要」含むため、対応不要と判断する。

【0073】

利用者の関与の判断では（Ｓ２５４）、脆弱性の基本値情報の「利用者の関与」とポリシー対応表の「利用者の関与」の一致／不一致により対応要否を判断する。利用者の関与の判断により、脆弱性の基本値と情報システムのポリシーとの間で、リンクのクリック、ファイル閲覧、設定の変更などユーザ動作の要否が一致するか否か確認する。例えば、脆弱性の基本値で利用者の操作が必要とされ、情報システムのポリシーで利用者の操作が可能である場合、リスクを伝えるため対応要とする。脆弱性の基本値で利用者の操作が必要とされ、情報システムのポリシーで利用者の操作が不可の場合、即時対応は不要と判断する。図２２の脆弱性情報では、利用者の関与が「必要」であり、図１０のポリシー判定表では、ログサーバの利用者の関与が「不要」、制御管理サーバの利用者の関与が「すべて」（要、不要どちらも含む）であるため、管理制御サーバについて対応要と判断する。

【0074】

攻撃条件の複雑さの判断では（Ｓ２５５）、脆弱性の基本値情報の「攻撃条件の複雑さ」とポリシー対応表の「攻撃条件の複雑さ」の一致／不一致（ポリシーに含まれるか否か）により対応要否を判断する。攻撃条件の複雑さの判断により、脆弱性の基本値と情報システムのポリシーとの間で、攻撃を成功させるために必要な情報（設定情報、シーケンス番号、共有鍵等）が一致するか否か（ポリシーに含まれるか否か）確認する。例えば、脆弱性の基本値で攻撃成功に必要な情報の入手が困難であり、情報システムのポリシーで攻撃成功に必要な情報が要求される場合、即時対応は不要と判断する。例えば、攻撃条件の複雑さには、無、低、中、高のように複数の段階が含まれる。図２２の脆弱性情報では、攻撃条件の複雑さが「高」であり、図１０のポリシー判定表では、ログサーバ及び制御管理サーバの攻撃条件の複雑さが「低以下」であるため、対応不要と判断する。

【0075】

セキュリティ対策状況の判断では（Ｓ２５６）、脆弱性のインテリジェンス情報の「対策」とポリシー対応表の「対策」の一致／不一致により対応要否を判断する。セキュリティ対策状況の判断により、脆弱性のインテリジェンス情報と情報システムのポリシーとの間で、仮想パッチなどの対策の要否が一致するか否か確認する。例えば、脆弱性のインテリジェンス情報で攻撃に悪用される脆弱性に対する対策（IDS/IPS、仮想パッチ）が存在し、情報システムのポリシーで対策が要求されていない場合、即時対応は不要であると判断する。図２３の脆弱性情報では、対策が「公開」されており、図１１のポリシー判定表では、ログサーバ及び制御管理サーバの攻撃条件の対策が「無」であるため、対応不要と判断する。

【0076】

攻撃検知方法の判断では（Ｓ２５７）、脆弱性のインテリジェンス情報の「攻撃コードの有無」とポリシー対応表の「攻撃コードの有無」の一致／不一致により対応要否を判断する。攻撃検知方法の判断により、脆弱性のインテリジェンス情報と情報システムのポリシーとの間で、脆弱性悪用時に発生する攻撃コードのログなどの攻撃の検知方法の要否が一致するか否か確認する。例えば、脆弱性のインテリジェンス情報でログが有りとされ、情報システムのポリシーで該当ログを収集ありとされている場合、ログを監視として暫定対処する（対応要と判断する）。

【0077】

基本値の各情報に基づいて対応要否を判断すると、基本値対応判断部１４３は、判断した基本値に基づく対応要否を設定する（Ｓ２５８）。例えば、Ｓ２５３～Ｓ２５７のそれぞれの判断結果を設定する。なお。環境値に基づいて対応不要と判断された場合、基本値の対応も不要であると判断する。

【0078】

続いて、判断装置１００は、判断結果出力処理を行う（Ｓ２０５）。図１７に示すように、判断結果出力処理では、基本値（現状値及び環境値）に基づく対応要否に応じて（Ｓ２６１）、判断結果を出力する。

【0079】

基本値に基づいて対応要と判断された場合（基準値のいずれかの情報で判断された場合）、すなわち、現状値判断処理、環境値判断処理及び基本値判断処理の全てで対応要と判断された場合、出力部１５０は、全ての判断結果を出力する。この例では、現状値の判断結果（Ｓ２６２）、環境値の判断結果（Ｓ２６３）、基本値の判断結果（Ｓ２６４）に加えて、脆弱性のチェックリスト（Ｓ２６５）を出力する。なお、出力する順番は、これに限らず、任意の順番に出力してもよいし、複数の情報をまとめて出力してもよい。

【0080】

チェックリストは、脆弱性について確認すべき項目のチェックリストである。例えば、確認項目には、ＩＤＳ（Intrusion Detection System）／ＩＰＳ（Intrusion Prevention System）、仮想パッチ等のシグネチャ、該当要否確認の詳細条件（サービス起動の有無等、確実に該当しているか判断に必要な情報）等が含まれる。

【0081】

図２４は、環境値及び現状値の判断結果の出力例である。出力部１５０は、例えば、図２４に示すように、表示画面５０１に環境値及び現状値の判断結果を表示する。なお、表示画面５０１のイメージを示すレポートを通知してもよい。図２４の例では、表示画面５０１は、システム情報表示領域５０１ａ、攻撃経路情報表示領域５０１ｂ、参考情報表示領域５０１ｃを有する。システム情報表示領域５０１ａ及び攻撃経路情報表示領域５０１ｂに、環境値の情報（抽出した攻撃経路）を表示し、参考情報表示領域５０１ｃに、現状値の情報（現状の対策情報等）を表示する。

【0082】

システム情報表示領域５０１ａには、脆弱性を分析した情報システム４００のシステム構成を表示し、設定された侵入口と攻撃目標を表示し、抽出した侵入口から攻撃目標までの攻撃経路を表示する。すなわち、システム情報表示領域５０１ａには、環境値により対応要と判断した攻撃経路を表示する。また、分析した攻撃経路の攻撃ステップ（攻撃手順）を表示する。例えば、攻撃ステップＡ１では、ＯＡ端末４１１がメールで感染すること、攻撃ステップＡ２では、ログサーバ４２１に侵入される恐れがあること、攻撃ステップＡ３では、監視制御サーバ４２３で脆弱性の悪用の恐れがあることを表示する。

【0083】

攻撃経路情報表示領域５０１ｂには、システム情報表示領域５０１ａに表示した攻撃経路に対する詳細情報（危険性等）を表示する。システム情報表示領域５０１ａに表示した攻撃経路の攻撃ステップに対応して表示する。例えば、攻撃ステップＡ１の表示では、ＯＡ端末４１１が攻撃される危険性があることを説明する。また、攻撃ステップＡ２の表示では、ログサーバ４２１に侵入される危険性があることを説明する。攻撃ステップＡ３の表示では、攻撃ステップＡ２の後、攻撃目標と設定した監視制御サーバ４２３に侵入される危険性があることを説明する。

【0084】

参考情報表示領域５０１ｃには、攻撃経路情報表示領域５０１ｂに表示した攻撃経路の詳細情報に対する参考情報を表示する。攻撃経路情報表示領域５０１ｂと同様、攻撃経路の攻撃ステップに対応して表示する。すなわち、参考情報表示領域５０１ｃには、現状値及び環境値により対応要と判断した脆弱性の現状値情報を表示する。例えば、現状値の情報として、その脆弱性を公開しているＷｅｂサイトのリンク情報（情報源）、攻撃方法、攻撃事例、緩和策等を表示する。例えば、攻撃ステップＡ１の表示では、ＯＡ端末４１１への攻撃のために悪用される可能性のある脆弱性の情報を表示し、攻撃ステップＡ２の表示では、ログサーバ４２１への侵入のために悪用される可能性のある脆弱性の情報を表示し、攻撃ステップＡ３の表示では、監視制御サーバ４２３への侵入のために悪用される可能性のある脆弱性の情報を表示する。

【0085】

図２５は、基本値の判断結果の出力例である。出力部１５０は、例えば、図２５に示すように、基本値の判断結果として、対応要と判断した脆弱性の基本値情報を任意の形式で出力する。出力する基本値情報は、図２２に示した基本値情報と同様であり、例えば、ポリシー判定表に該当する部分を区別して（例えば太文字や赤字等）表示する。

【0086】

図２６は、チェックリストの出力例である。出力部１５０は、例えば、図２６に示すように、基本値の判断として収集した脆弱性の基本値情報やインテリジェンス情報を任意の形式で出力する。図２６の例では、チェックリストには、脆弱性ごとに「内容」、「攻撃コード」、「確認事項」が含まれる。「内容」は、基本値情報の「説明」の情報である。「攻撃コード」は、インテリジェンス情報の「攻撃コードの有無」の情報である。「確認事項」は、インテリジェンス情報の「影響を受けるシステム」に対応した情報である。

【0087】

＜効果＞
以上のように、本実施の形態では、ＣＶＳＳの評価基準を用いた脆弱性の対応要否の判断において、環境値については、攻撃グラフ技術を用いて攻撃経路を抽出することで評価を行って、対応要否を判断する。また、現状値及び基本値については、現状値及び基本値と情報システムの対応を定めた対応判断表及びポリシー判定表を用いることで評価を行って、対応要否を判断する。さらに、環境値、現状値及び基本値の判断結果に基づいて、例えば対応要の場合に、その判断結果を出力し、可視化可能とした。

【0088】

これにより、日々新たに発見される脆弱性の対応要否を自動的に判断することができる。環境値、現状値及び基本値の数値ではなく、対応要否を判断し、その結果を出力することで、ユーザは対応が必要な脆弱性を具体的に把握することができる。例えば、環境値については、攻撃経路の有無により対応要否を決め、その攻撃経路を出力するため、攻撃による被害度合いを可視化することができ、ユーザは影響のある範囲や対応が必要となる根拠を明確に把握することができる。

【0089】

また、情報システムの対応を定めた対応判断表やポリシー判定表を用いることで、情報システムに合わせて基本値や現状値を評価することができる。対応が必要な脆弱性の情報として、現状値の参考情報や基本値情報を出力することで、ユーザは必要な情報をまとめて取得することができる。さらに、脆弱性のチェックリストを出力することで、ユーザが確認すべき項目を把握することができる。

【0090】

例えば、基本値のみで評価すると、現状の情報システムに合った評価をすることは困難であるが、基本値の評価に加えて、環境値や現状値を評価することで、適切に対応要否を判断することができる。基本値、環境値及び現状値の判断結果を組み合わせることで、不要な脆弱性の情報が出力されることを抑え、必要な脆弱性の情報のみを出力することができる。

【0091】

なお、上述の実施形態における各構成は、ハードウェア又はソフトウェア、もしくはその両方によって構成され、１つのハードウェア又はソフトウェアから構成してもよいし、複数のハードウェア又はソフトウェアから構成してもよい。各装置及び各機能（処理）を、図２７に示すような、ＣＰＵ（Central Processing Unit）等のプロセッサ２１及び記憶装置であるメモリ２２を有するコンピュータ２０により実現してもよい。例えば、メモリ２２に実施形態における方法を行うためのプログラム（分析プログラム）を格納し、各機能を、メモリ２２に格納されたプログラムをプロセッサ２１で実行することにより実現してもよい。

【0092】

これらのプログラムは、様々なタイプの非一時的なコンピュータ可読媒体（non-transitory computer readable medium）を用いて格納され、コンピュータに供給することができる。非一時的なコンピュータ可読媒体は、様々なタイプの実体のある記録媒体（tangible storage medium）を含む。非一時的なコンピュータ可読媒体の例は、磁気記録媒体（例えばフレキシブルディスク、磁気テープ、ハードディスクドライブ）、光磁気記録媒体（例えば光磁気ディスク）、ＣＤ－ＲＯＭ（Read Only Memory）、ＣＤ－Ｒ、ＣＤ－Ｒ／Ｗ、半導体メモリ（例えば、マスクＲＯＭ、ＰＲＯＭ（Programmable ROM）、ＥＰＲＯＭ（Erasable PROM）、フラッシュＲＯＭ、ＲＡＭ（random access memory））を含む。また、プログラムは、様々なタイプの一時的なコンピュータ可読媒体（transitory computer readable medium）によってコンピュータに供給されてもよい。一時的なコンピュータ可読媒体の例は、電気信号、光信号、及び電磁波を含む。一時的なコンピュータ可読媒体は、電線及び光ファイバ等の有線通信路、又は無線通信路を介して、プログラムをコンピュータに供給できる。

【0093】

また、本開示は上記実施の形態に限られたものではなく、趣旨を逸脱しない範囲で適宜変更することが可能である。

【0094】

以上、実施の形態を参照して本開示を説明したが、本開示は上記実施の形態に限定されるものではない。本開示の構成や詳細には、本開示のスコープ内で当業者が理解し得る様々な変更をすることができる。

【0095】

上記の実施形態の一部又は全部は、以下の付記のようにも記載されうるが、以下には限られない。
（付記１）
分析対象の脆弱性を適用した情報システムから抽出される攻撃経路に基づいて、前記情報システムにおける前記脆弱性に対するＣＶＳＳ（Common Vulnerability Scoring System）の環境評価基準を評価する環境評価手段と、
取得される前記脆弱性のＣＶＳＳ基本値情報と前記情報システムの所定の基本値対応判断条件に基づいて、前記情報システムにおける前記脆弱性に対するＣＶＳＳの基本評価基準を評価する基本評価手段と、
前記環境評価基準の評価結果と前記基本評価基準の評価結果に基づいて、前記情報システムにおける前記脆弱性の対応要否を判断する判断手段と、
を備える分析装置。
（付記２）
前記環境評価手段は、前記環境評価基準の評価として、前記情報システムにおける前記脆弱性の対応要否を判断する、
付記１に記載の分析装置。
（付記３）
前記環境評価手段は、前記脆弱性を適用した情報システムに基づいた攻撃グラフを生成し、前記生成した攻撃グラフから前記攻撃経路を抽出する、
付記２に記載の分析装置。
（付記４）
前記環境評価手段は、前記攻撃グラフから前記攻撃経路を抽出できた場合、前記脆弱性の対応要と判断する、
付記３に記載の分析装置。
（付記５）
前記環境評価手段は、前記情報システムにおける前記脆弱性を有する重要資産の有無と、前記重要資産の外部接続の有無とに応じて、前記攻撃経路を抽出する、
付記２乃至４のいずれかに記載の分析装置。
（付記６）
前記環境評価手段は、前記情報システムにおいて前記脆弱性を有する重要資産が無い場合、または、前記重要資産に外部接続が無い場合、前記攻撃経路を抽出する、
付記５に記載の分析装置。
（付記７）
前記環境評価手段は、前記情報システムにおいて前記脆弱性を有する重要資産が有り、かつ、前記重要資産に外部接続が有る場合、前記脆弱性の対応要と判断する、
付記５又は６に記載の分析装置。
（付記８）
取得される前記脆弱性のＣＶＳＳ現状値情報と前記情報システムの所定の現状値対応判断条件に基づいて、前記情報システムにおける前記脆弱性に対するＣＶＳＳの現状評価基準を評価する現状評価手段を、さらに備え、
前記判断手段は、前記環境評価基準の評価結果と前記基本評価基準の評価結果と前記現状評価基準に基づいて、前記情報システムにおける前記脆弱性の対応要否を判断する、
付記１乃至７のいずれかに記載の分析装置。
（付記９）
前記現状評価手段は、前記現状評価基準の評価として、前記情報システムにおける前記脆弱性の対応要否を判断する、
付記８に記載の分析装置。
（付記１０）
前記現状値対応判断条件は、前記ＣＶＳＳ現状値情報の現状値算出要素と前記情報システムにおける前記脆弱性の対応要否とを関連付けた条件である、
付記９に記載の分析装置。
（付記１１）
前記現状値算出要素は、攻撃方法の有無、攻撃事例の有無、または緩和策の有無を含む、
付記１０に記載の分析装置。
（付記１２）
前記現状評価手段は、前記ＣＶＳＳ現状値情報の前記攻撃事例が有り、かつ、前記ＣＶＳＳ現状値情報の前記緩和策が有りの場合、前記脆弱性の対応要と判断する、
付記１１に記載の分析装置。
（付記１３）
前記基本評価手段は、前記基本評価基準の評価として、前記情報システムにおける前記脆弱性の対応要否を判断する、
付記１乃至１２のいずれかに記載の分析装置。
（付記１４）
前記基本値対応判断条件は、前記ＣＶＳＳ基本値情報の基本値算出要素ごとに前記情報システムにおけるシステム特性を関連付けた条件である、
付記１３に記載の分析装置。
（付記１５）
前記基本評価手段は、前記ＣＶＳＳ基本値情報の基本値算出要素の情報と、前記基本値対応判断条件の前記システム特性とが対応している場合、前記脆弱性の対応要と判断する、
付記１４に記載の分析装置。
（付記１６）
前記基本値算出要素は、攻撃条件の複雑さ、特権レベル、または利用者の関与を含む、
付記１４または１５に記載の分析装置。
（付記１７）
前記基本値対応判断条件は、さらに、対策情報の有無、攻撃検知方法の有無を含む、
付記１４乃至１５のいずれかに記載の分析装置。
（付記１８）
前記脆弱性の対応要否の判断結果に応じて、前記環境評価基準の評価結果と前記基本評価基準の評価結果を出力する出力手段をさらに備える、
付記１乃至１７のいずれかに記載の分析装置。
（付記１９）
前記出力手段は、前記環境評価基準の評価結果として、前記抽出された攻撃経路を出力する、
付記１８に記載の分析装置。
（付記２０）
前記出力手段は、前記基本評価基準の評価結果として、前記基本値対応判断条件との対応が示された前記脆弱性のＣＶＳＳ基本値情報を出力する、
付記１８または１９に記載の分析装置。
（付記２１）
前記出力手段は、前記基本評価基準の評価結果として、前記情報システムにおいて前記脆弱性の確認事項を示すチェックリストを出力する、
付記２０に記載の分析装置。
（付記２２）
分析対象の脆弱性を適用した情報システムから抽出される攻撃経路に基づいて、前記情報システムにおける前記脆弱性に対するＣＶＳＳの環境評価基準を評価し、
取得される前記脆弱性のＣＶＳＳ基本値情報と前記情報システムの所定の基本値対応判断条件に基づいて、前記情報システムにおける前記脆弱性に対するＣＶＳＳの基本評価基準を評価し、
前記環境評価基準の評価結果と前記基本評価基準の評価結果に基づいて、前記情報システムにおける前記脆弱性の対応要否を判断する、
分析方法。
（付記２３）
前記環境評価基準の評価として、前記情報システムにおける前記脆弱性の対応要否を判断する、
付記２２に記載の分析方法。
（付記２４）
分析対象の脆弱性を適用した情報システムから抽出される攻撃経路に基づいて、前記情報システムにおける前記脆弱性に対するＣＶＳＳの環境評価基準を評価し、
取得される前記脆弱性のＣＶＳＳ基本値情報と前記情報システムの所定の基本値対応判断条件に基づいて、前記情報システムにおける前記脆弱性に対するＣＶＳＳの基本評価基準を評価し、
前記環境評価基準の評価結果と前記基本評価基準の評価結果に基づいて、前記情報システムにおける前記脆弱性の対応要否を判断する、
処理をコンピュータに実行させるための分析プログラム。
（付記２５）
前記環境評価基準の評価として、前記情報システムにおける前記脆弱性の対応要否を判断する、
付記２４に記載の分析プログラム。

【符号の説明】

【0096】

１ 分析システム
１０ 分析装置
１１ 環境評価部
１２ 基本評価部
１３ 判断部
２０ コンピュータ
２１ プロセッサ
２２ メモリ
１００ 判断装置
１１０ セキュリティ情報収集部
１２０ 現状値判断部
１２１ 対応判断表記憶部
１２２ 現状値取得部
１２３ 現状値対応判断部
１３０ 環境値判断部
１３１ 分析要素設定部
１３２ 攻撃経路分析部
１３３ 攻撃経路抽出部
１３４ 環境値対応判断部
１４０ 基本値判断部
１４１ ポリシー判定表記憶部
１４２ 基本値取得部
１４３ 基本値対応判断部
１５０ 出力部
２００ システム構成情報ＤＢ
３００ 脆弱性情報ＤＢ
４００ 情報システム
４０１ インターネット
４１０ 情報ネットワーク
４１１ ＯＡ端末
４２０ 制御ネットワーク
４２１ ログサーバ
４２２ 保守サーバ
４２３ 監視制御サーバ
４２４ ＨＭＩ
４３０ フィールドネットワーク
４３１ ＩｏＴ機器
４３２ ＦＡ機器
５０１ 表示画面
５０１ａ システム情報表示領域
５０１ｂ 攻撃経路情報表示領域
５０１ｃ 参考情報表示領域
ＦＷ１、ＦＷ２ ファイヤーウォール
ＰＬＣ１、ＰＬＣ２ プログラマブルロジックコントローラ

【図1】

【図2】

【図3】

【図4】

【図5】

【図6】

【図7】

【図8】

【図9】

【図10】

【図11】

【図12】

【図13】

【図14】

【図15】

【図16】

【図17】

【図18】

【図19】

【図20】

【図21】

【図22】

【図23】

【図24】

【図25】

【図26】

【図27】