特許 7438919 情報処理装置、情報処理方法およびプログラム

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】特許公報(B2)

(11)【特許番号】

(24)【登録日】2024-02-16

(45)【発行日】2024-02-27

(54)【発明の名称】情報処理装置、情報処理方法およびプログラム

(51)【国際特許分類】

   G06F 21/57 20130101AFI20240219BHJP

【ＦＩ】

G06F21/57 370

【請求項の数】 7

(21)【出願番号】P 2020191822

(22)【出願日】2020-11-18

(65)【公開番号】P2022080635

(43)【公開日】2022-05-30

【審査請求日】2023-02-06

(73)【特許権者】

【識別番号】000003078

【氏名又は名称】株式会社東芝

(74)【代理人】

【識別番号】110002147

【氏名又は名称】弁理士法人酒井国際特許事務所

(72)【発明者】

【氏名】小椋 直樹

(72)【発明者】

【氏名】青木 慧

(72)【発明者】

【氏名】花谷 嘉一

(72)【発明者】

【氏名】春木 洋美

【審査官】上島 拓也

(56)【参考文献】

【文献】特開２０２０－１６０６１１（ＪＰ，Ａ）

【文献】国際公開第２０２０／１０５１５６（ＷＯ，Ａ１）

【文献】特開２０２０－１６０６４２（ＪＰ，Ａ）

(58)【調査した分野】(Int.Cl.，ＤＢ名)

Ｇ０６Ｆ ２１／５７

(57)【特許請求の範囲】

【請求項1】

ペネトレーションテストを実行するプログラムに含まれるモジュールの１以上の設定情報を取得する設定取得部と、
取得された前記設定情報を解析し、前記ペネトレーションテストの対象に対する攻撃の種類を判定する解析部と、
判定された前記種類に応じて、前記攻撃の条件および手順を定めた攻撃ステップ情報を生成する生成部と、を備え、
前記設定情報は、前記モジュールに渡される引数を表す引数情報であり、
前記引数情報は、前記モジュールの実行に必要とされるパラメータであるオプションと、前記モジュールの実行によって侵入に成功したときに実行されるコードであるペイロードと、を含む、
情報処理装置。

【請求項2】

前記解析部は、１以上の前記設定情報の組み合わせに応じて定められた前記種類を判定する、
請求項１に記載の情報処理装置。

【請求項3】

前記攻撃ステップ情報は、前記攻撃の実行前に必要な事前条件と、前記モジュールの動作を示す情報と、前記攻撃の実行後に満たされる事後条件と、を含む、
請求項１に記載の情報処理装置。

【請求項4】

前記解析部は、リモートホストのサービスの脆弱性を突く攻撃、ブラウザの脆弱性を突く攻撃、不正なファイルが開かれることにより侵入する攻撃、および、侵入済みの対象に対する権限を管理者権限に昇格させる攻撃のいずれかを示す前記種類を判定する、
請求項１に記載の情報処理装置。

【請求項5】

前記設定情報を記憶する記憶部をさらに備え、
前記設定取得部は、指定された前記モジュールの識別情報に対応する前記設定情報を前記記憶部から取得する、
請求項１に記載の情報処理装置。

【請求項6】

情報処理装置が実行する情報処理方法であって、
ペネトレーションテストを実行するプログラムに含まれるモジュールの１以上の設定情報を取得する設定取得ステップと、
取得された前記設定情報を解析し、前記ペネトレーションテストの対象に対する攻撃の種類を判定する解析ステップと、
判定された前記種類に応じて、前記攻撃の条件および手順を定めた攻撃ステップ情報を生成する生成ステップと、を含み、
前記設定情報は、前記モジュールに渡される引数を表す引数情報であり、
前記引数情報は、前記モジュールの実行に必要とされるパラメータであるオプションと、前記モジュールの実行によって侵入に成功したときに実行されるコードであるペイロードと、を含む、
情報処理方法。

【請求項7】

コンピュータに、
ペネトレーションテストを実行するプログラムに含まれるモジュールの１以上の設定情報を取得する設定取得ステップと、
取得された前記設定情報を解析し、前記ペネトレーションテストの対象に対する攻撃の種類を判定する解析ステップと、
判定された前記種類に応じて、前記攻撃の条件および手順を定めた攻撃ステップ情報を生成する生成ステップと、を実行させ、
前記設定情報は、前記モジュールに渡される引数を表す引数情報であり、
前記引数情報は、前記モジュールの実行に必要とされるパラメータであるオプションと、前記モジュールの実行によって侵入に成功したときに実行されるコードであるペイロードと、を含む、
プログラム。

【発明の詳細な説明】

【技術分野】

【0001】

本発明の実施形態は、情報処理装置、情報処理方法およびプログラムに関する。

【背景技術】

【0002】

近年、工場および発電所等の産業制御システムに対するサイバー攻撃が増加し、事業的にも人的にも重大な損害が生じている。システムのセキュリティ状態を判定するために、ペネトレーションテストを行うことが有効とされている。ペネトレーションテストを行うことで、セキュリティ上の欠陥を発見し、サイバー攻撃に耐えられるシステムに修復することが可能になる。

【0003】

制御システムに対するサイバー攻撃においては、攻撃者は、複数の装置および複数の脆弱性を利用して最終目的となる不正操作、情報漏洩、および、破壊などを実現する。攻撃者が最終目的を達成するために使用する複数の装置および複数の脆弱性を定めた情報は、攻撃シナリオと呼ばれる。ペネトレーションテストでは、サイバー攻撃のシミュレーションを行うために、攻撃シナリオが作成される。

【先行技術文献】

【特許文献】

【0004】

【文献】米国特許出願公開第２０１７／００１９４２１号明細書

【文献】米国特許出願公開第２０１１／００３５８０３号明細書

【文献】米国特許出願公開第２００５／０２４１０００号明細書

【文献】米国特許第７，９０４，９６２号明細書

【発明の概要】

【発明が解決しようとする課題】

【0005】

攻撃シナリオの作成には、個々の装置の脆弱性を突くために必要な攻撃条件（事前条件）および脆弱性を突いた際の影響（事後条件）を含む情報（攻撃ステップ情報）が記述されたデータベース（攻撃データベース）が必要とされる。しかしながら、従来技術では、攻撃データベースを生成する手法は開示されておらず、例えば攻撃ノウハウを持つ技術者が手作業で生成する必要があった。

【0006】

本発明が解決しようとする課題は、ペネトレーションテストに用いられる情報をより効率的に生成することができる情報処理装置、情報処理方法およびプログラムを提供することである。

【課題を解決するための手段】

【0007】

実施形態の情報処理装置は、設定取得部と、解析部と、生成部と、を備える。設定取得部は、ペネトレーションテストの対象に対する攻撃に使用されるモジュールの１以上の設定情報を取得する。解析部は、取得された設定情報を解析し、攻撃の種類を判定する。生成部は、判定された種類に応じて、攻撃の条件および手順を定めた攻撃ステップ情報を生成する。

【図面の簡単な説明】

【0008】

【図1】本実施形態にかかる情報処理装置のブロック図。

【図2】ペネトレーションテストのフローチャート。

【図3】攻撃ステップ情報の例を説明するための模式図。

【図4】ｂｌｕｅｋｅｅｐに対する攻撃ステップ情報の例を示す図。

【図5】引数情報の一例を示す模式図。

【図6】オプションの一例を示す模式図。

【図7】ペイロードの一例を示す模式図。

【図8】解析部による解析処理のフローチャート。

【図9】生成処理のフローチャート。

【図10】生成処理のフローチャート。

【図11】生成処理のフローチャート。

【図12】生成処理のフローチャート。

【図13】情報処理装置のハードウェア構成図。

【発明を実施するための形態】

【0009】

以下に添付図面を参照して、この発明にかかる情報処理装置の好適な実施形態を詳細に説明する。

【0010】

図１は、本実施形態にかかる情報処理装置１００の構成の一例を示すブロック図である。図１に示すように、情報処理装置１００は、記憶部１２１と、識別情報取得部１０１と、設定取得部１０２と、解析部１０３と、生成部１０４と、出力制御部１０５と、を備えている。

【0011】

記憶部１２１は、情報処理装置１００による各種処理で用いられる各種情報を記憶する。例えば記憶部１２１は、エクスプロイトに関する情報を記憶する。エクスプロイトは、ペネトレーションテストの対象に対する攻撃に使用されるモジュールであり、例えば、Ｍｅｔａｓｐｌｏｉｔのモジュール、および、ＰｏＣ（Proof of Concept）コードなどである。Ｍｅｔａｓｐｌｏｉｔは、ペネトレーションテスト等を実現するためのオープンソースのプロジェクトである。例えば記憶部１２１は、Ｍｅｔａｓｐｌｏｉｔのモジュール一式を含むＭｅｔａｓｐｌｏｉｔのパッケージを記憶する。

【0012】

記憶部１２１は、フラッシュメモリ、メモリカード、ＲＡＭ（Random Access Memory）、ＨＤＤ（Hard Disk Drive）、および、光ディスクなどの一般的に利用されているあらゆる記憶媒体により構成することができる。

【0013】

識別情報取得部１０１は、ペネトレーションテストに用いられる攻撃ステップ情報の作成対象とするエクスプロイトの識別情報を取得する。エクスプロイトの識別情報は、例えば、共通脆弱性識別子ＣＶＥ（Common Vulnerability and Exposures）番号、脆弱性の一般呼称（具体例として、ｂｌｕｅｋｅｅｐなど）、および、Ｍｅｔａｓｐｌｏｉｔのモジュール名などである。例えば識別情報取得部１０１は、情報処理装置１００のユーザからエクスプロイトの識別情報を取得する。

【0014】

設定取得部１０２は、エクスプロイトの識別情報に対応するエクスプロイトの１以上の設定情報を取得する。例えば設定取得部１０２は、識別情報取得部１０１により取得された識別情報に対応する設定情報を、記憶部１２１から取得する。

【0015】

設定情報は、実行するエクスプロイトに対する設定を示す情報であり、例えば、エクスプロイトのモジュールに渡される引数を表す情報（引数情報、入力引数）を含む。以下では、引数情報を設定情報として用いる例を主に説明する。設定情報（引数情報）の詳細は後述する。

【0016】

例えばＭｅｔａｓｐｌｏｉｔなどのエクスプロイトのパッケージは、指定された識別情報に対応する引数情報を返す機能を備える場合がある。設定取得部１０２は、このような機能を用いて識別情報に対応する引数情報を取得する。引数情報の取得方法はこれに限られるものではなく、識別情報に対応する引数情報を取得できる方法であればどのような方法であってもよい。例えば、記憶部１２１がエクスプロイトの識別情報と、エクスプロイトの引数を示す引数情報と、を対応づけて記憶するように構成し、設定取得部１０２が、指定された識別情報に対応する引数情報を記憶部１２１から検索して取得するように構成してもよい。

【0017】

解析部１０３は、取得された設定情報を解析し、攻撃の種類（エクスプロイトの種類）を判定する。例えば解析部１０３は、１以上の設定情報の組み合わせに応じて定められた種類を判定する。エクスプロイトの種類は、例えば、ＲＣＥ（Remote Code Execution）、Ｂｒｏｗｓｅｒ ＲＣＥ、Ｆｉｌｅ Ｏｐｅｎ ＲＣＥ、および、ＰＥ（Privilege Escalation）などである。なお、これらの種類は一例であり、他の種類が判定されてもよい。

【0018】

ＲＣＥは、リモートホストのサービスの脆弱性を突く攻撃である。Ｂｒｏｗｓｅｒ ＲＣＥは、ブラウザの脆弱性を突く攻撃である。例えばＢｒｏｗｓｅｒ ＲＣＥは、ユーザがブラウザを開いて攻撃者が用意したｗｅｂサイトを閲覧することによって攻撃ステップが実行される。Ｆｉｌｅ Ｏｐｅｎ ＲＣＥは、不正なファイルをユーザが開くことによって攻撃者が侵入する攻撃である。ＰＥは、侵入済みのホストにおいて、管理者権限に権限を昇格させる攻撃である。

【0019】

生成部１０４は、判定されたエクスプロイトの種類に応じて攻撃ステップ情報を生成する。攻撃ステップ情報は、攻撃の条件および手順を定めた情報である。例えば攻撃ステップ情報は、攻撃の実行前に必要な事前条件と、モジュールの動作を示す情報と、攻撃の実行後に満たされる事後条件と、を含む。攻撃ステップ情報の詳細は後述する。

【0020】

出力制御部１０５は、各種情報の出力を制御する。例えば出力制御部１０５は、生成された攻撃ステップ情報をユーザに対して出力する。攻撃ステップ情報の出力形態はどのような形態であってもよい。例えば、ユーザがアクセス可能なデータベースへの格納、ファイルへの出力、および、ディスプレイなどの表示装置への表示、などの出力形態とすることができる。

【0021】

上記各部（識別情報取得部１０１、設定取得部１０２、解析部１０３、生成部１０４、および、出力制御部１０５）は、例えば、１または複数のプロセッサにより実現される。例えば上記各部は、ＣＰＵ（Central Processing Unit）などのプロセッサにプログラムを実行させること、すなわちソフトウェアにより実現してもよい。上記各部は、専用のＩＣ（Integrated Circuit）などのプロセッサ、すなわちハードウェアにより実現してもよい。上記各部は、ソフトウェアおよびハードウェアを併用して実現してもよい。複数のプロセッサを用いる場合、各プロセッサは、各部のうち１つを実現してもよいし、各部のうち２以上を実現してもよい。

【0022】

次に、攻撃データベースを活用したペネトレーションテストの一例を説明する。図２は、ペネトレーションテストの処理の一部の流れの例を示すフローチャートである。

【0023】

ペネトレーションテストを実行する情報処理装置１００は、現在の攻撃者の状態を確認する（ステップＳ１１）。現在の攻撃者の状態は、例えば、ペネトレーションテストを行う過程で得られる以下のような情報を含む。
・発見されたホストの情報
・侵入に成功したホストの情報
・取得したクレデンシャル等の情報

【0024】

情報処理装置１００は、現在の攻撃者の状態に基づいて、事前条件が満たされる１以上の攻撃ステップを攻撃データベースから検索する（ステップＳ１２）。

【0025】

情報処理装置１００は、検索された攻撃ステップの中から、１つの攻撃ステップを選択する（ステップＳ１３）。情報処理装置１００は、選択された攻撃ステップを実行する（ステップＳ１４）。

【0026】

情報処理装置１００は、実行した攻撃ステップが成功したか否かを判定する（ステップＳ１５）。攻撃ステップが成功した場合（ステップＳ１５：Ｙｅｓ）、情報処理装置１００は、攻撃ステップの事後条件に基づいて攻撃者の状態を更新する（ステップＳ１６）。攻撃ステップが失敗した場合（ステップＳ１５：Ｎｏ）、および、状態を更新後、ペネトレーションテストは終了する。

【0027】

以上のように、ペネトレーションテストは、それぞれの攻撃ステップの事前条件、実行する動作（以下、アクションという）、および、事後条件の組を示す攻撃ステップ情報が記述された攻撃データベースを必要とする。

【0028】

なお、上記では、攻撃データベースを必要とする情報処理装置１００の例として、攻撃ステップを実際に実行する装置について記載した。攻撃データベースを必要とする装置はこれに限られるものではない。例えば、攻撃者の初期条件と攻撃のゴールを与え、攻撃者が行うと考えられる動作を模擬するサイバー攻撃シミュレータ装置は、攻撃データベースを必要とする。

【0029】

次に、攻撃ステップ情報について説明する。図３は攻撃ステップ情報の例を説明するための模式図である。攻撃ステップ情報３０は、事前条件３１－ａ、３１－ｂ、３１－ｃと、アクション３２と、事後条件３３－ａ、３３－ｂ、３３－ｃと、を含む。

【0030】

事前条件３１－ａ、３１－ｂ、３１－ｃは、攻撃ステップの実行を成功させるために、事前に満たすべき条件である。図３では、３個の事前条件３１－ａ、３１－ｂ、３１－ｃが定められる例が示されている。事前条件の個数はこれに限られず、１個、２個、または、４個以上であってもよい。以下では、区別する必要がない場合は単に事前条件３１という場合がある。

【0031】

事前条件３１としては、例えば以下のような条件を用いることができる。
・現在のホストのシェルアクセス権限を持つ
・対象ホスト上で特定のＯＳ（オペレーティングシステム）が動作している
・対象ホストの特定のポートが開いている
・対象ホストを使用するユーザがブラウザを使用してｗｅｂサイトにアクセスする
・対象ホストを使用するユーザがファイルを開く

【0032】

アクション３２は、例えば、攻撃ステップを実行する際に実行されるプログラムの指定、および、プログラムの引数に関する情報である。図３では、１個のアクション３２が定められる例が示されている。アクションの個数はこれに限られず、２個以上であってもよい。

【0033】

アクションは、攻撃ステップの実行で想定される手順に依存する。例えば、攻撃ステップがＭｅｔａｓｐｌｏｉｔのモジュールを実行することを想定する場合、Ｍｅｔａｓｐｌｏｉｔのモジュール名、入力が必要なオプション、および、入力が必要なペイロードが、アクションに記載される。例えば攻撃ステップが、Ｃ、Ｊａｖａ（登録商標）、Ｐｙｔｈｏｎ、Ｒｕｂｙ、および、ＰＨＰ等のプログラミング言語で書かれているプログラムをコマンドラインで実行することを想定する場合、プログラムファイル名および引数情報がアクションに記載される。

【0034】

事後条件３３－ａ、３３－ｂ、３３－ｃは、攻撃者が攻撃ステップの実行に成功した際、新たに満たされる攻撃者の状態である。図３では、３個の事後条件３３－ａ、３３－ｂ、３３－ｃが定められる例が示されている。事後条件の個数はこれに限られず、１個、２個、または、４個以上であってもよい。以下では、区別する必要がない場合は単に事後条件３３という場合がある。

【0035】

事後条件３３としては、例えば以下のような条件を用いることができる。
・対象ホストのシェルアクセス権限を持つ
・対象ホストの管理者権限でのシェルアクセスを持つ

【0036】

次に、攻撃ステップ情報の具体例について説明する。図４は、ｂｌｕｅｋｅｅｐと呼ばれる脆弱性を突いた攻撃ステップの攻撃ステップ情報の例を示す図である。

【0037】

図４の攻撃ステップ情報４０は、３個の事前条件、１個のアクション、および、１個の事後条件を含む。図４の事前条件では、現在のホストにシェルアクセスを持ち、現在のホストからアクセス可能な対象ホストのＯＳがＷｉｎｄｏｗｓ（登録商標）であり、対象ホストのＴＣＰポート３３８９番が開いていることが、ｂｌｕｅｋｅｅｐ脆弱性を突いた攻撃を成立させるための前提条件であることが示されている。

【0038】

図４のアクションでは、ｂｌｕｅｋｅｅｐのＰｏＣコードを実行することが示されている。図４の事後条件では、ｂｌｕｅｋｅｅｐ脆弱性を突いた攻撃を実行して成功した場合、対象ホストのシェルアクセス権限を取得できることが示されている。

【0039】

なお、図４では、事前条件、アクション、および、事後条件が自然言語で記述されているが、他の形態で記述されてもよい。例えば事前条件、アクション、および、事後条件は、ＸＭＬ（eXtensible Markup Language）、ＪＳＯＮ（JavaScript（登録商標） Object Notation）、ＹＡＭＬ（YAML Ain’t Markup Language）、および、ＰＤＤＬ（Planning Domain Definition Language）などを利用して記述されてもよい。また、現在のホストおよび対象ホストなど、攻撃シナリオの生成時に値が確定する項目を示すために、変数を表す文字列（例えば、$current_hostなど）が用いられてもよい。

【0040】

次に、引数情報について説明する。図５は、引数情報５０の一例を示す模式図である。引数情報５０は、オプション５１と、ペイロード５２と、を含む。

【0041】

オプション５１は、エクスプロイトの実行に必要とされるパラメータであり、エクスプロイトの実行時に入力される。図５では、ＯＰ－Ａ、ＯＰ－Ｂ、および、ＯＰ－Ｃの３個のオプションが記載されている。オプションの個数は３個に限られず、１個、２個、または、４個以上であってもよい。

【0042】

ペイロード５２は、エクスプロイトの実行によって侵入に成功したときに実行されるコードであり、エクスプロイトの実行時に入力される。図５では、ＰＬ－Ａ、ＰＬ－Ｂ、および、ＰＬ－Ｃの３個のペイロードが記載されている。ペイロードの個数は３個に限られず、１個、２個、または、４個以上であってもよい。

【0043】

次に、オプションの詳細について説明する。図６は、オプションの一例を示す模式図である。

【0044】

ＲＨＯＳＴＳ６１は、対象ホストを特定するためのオプションである。例えば、ＩＰアドレスおよびドメイン名などが用いられる。

【0045】

ＲＰＯＲＴ６２は、対象ホストが起動しているサービスを特定するためのオプションである。例えば、ＴＣＰポート番号、ＵＤＰポート番号、および、サービス名（ＳＳＨ、ＲＤＰなど）などが用いられる。

【0046】

ＳＲＶＨＯＳＴ６３は、現在ホストが攻撃ステップの実行時に対象ホストに対してサービスを提供する場合に、現在ホストを特定するためのオプションである。例えば、ＩＰアドレスおよびドメイン名などが用いられる。

【0047】

ＳＲＶＰＯＲＴ６４は、現在ホストが攻撃ステップの実行時に対象ホストに対してサービスを提供する場合に、現在ホストが起動するサービスを特定するためのオプションである。例えば、ＴＣＰポート番号、ＵＤＰポート番号、および、サービス名（ＳＳＨ、ＲＤＰなど）などが用いられる。

【0048】

ＦＩＬＥＮＡＭＥ６５は、不正なファイルを作成する場合に、出力に用いられるファイル名である。

【0049】

ＳＥＳＳＩＯＮ６６は、侵入済みのホストと確立した通信路（セッション）を特定するためのオプションである。例えば、セッションごとに付けられた識別子が用いられる。

【0050】

個々の攻撃ステップの実行に必要なオプションは、図６で説明されたオプションのうち一部または全部を含む。また、図６で説明されたオプションは一例であり、他のオプションが含まれてもよい。例えば、対象ホストが起動しているサービスを使用するためのユーザ名および認証情報（パスワードなど）を特定するオプションが含まれていてもよい。例えば、対象ホストが起動しているサービスを用いてアクセスするリソースの識別子（ＵＲＩ：Uniform Resource Identifierなど）が含まれてもよい。

【0051】

次に、ペイロードの詳細について説明する。図７は、ペイロード７０の一例を示す模式図である。ペイロード７０は、図７に示すものに限られない。

【0052】

Ｗｉｎｄｏｗｓ向けペイロード７１は、Ｗｉｎｄｏｗｓ ＯＳを対象とするペイロードである。

【0053】

Ｌｉｎｕｘ（登録商標）向けペイロード７２は、Ｌｉｎｕｘ ＯＳを対象とするペイロードである。

【0054】

ＯＳＸ（登録商標）向けペイロード７３は、Ｍａｃ ＯＳＸ（登録商標）を対象とするペイロードである。

【0055】

Ａｎｄｒｏｉｄ（登録商標）向けペイロード７４は、Ａｎｄｒｏｉｄ ＯＳを対象とするペイロードである。

【0056】

ｉＯＳ（登録商標）向けペイロード７５は、ｉＯＳを対象とするペイロードである。

【0057】

Ｊａｖａ環境向けペイロード７６は、Ｊａｖａプラットフォーム上で動作するペイロードである。

【0058】

ＰＨＰ環境向けペイロード７７は、ＰＨＰ環境上で動作するペイロードである。

【0059】

Ｐｙｔｈｏｎ環境向けペイロード７８は、Ｐｙｔｈｏｎ環境上で動作するペイロードである。

【0060】

汎用ペイロード７９は、特定のＯＳまたは環境を前提としないペイロードである。

【0061】

図７では、特定のＯＳまたは環境を元にペイロードが分類される例を示したが、他の観点でペイロードがさらに分類されてもよい。例えば、特定のＣＰＵアーキテクチャ（ｘ８６、ｘ６４など）を対象とするか否かという観点でペイロードが分類されてもよい。

【0062】

次に、解析部１０３の処理について説明する。図８は、解析部１０３による解析処理の一例を示すフローチャートである。

【0063】

解析部１０３は、対象のエクスプロイトのオプションにＲＨＯＳＴＳおよびＲＰＯＲＴが含まれているか否かを判定する（ステップＳ１０１）。オプションにＲＨＯＳＴＳとＲＰＯＲＴが含まれている場合は（ステップＳ１０１：Ｙｅｓ）、解析部１０３は、オプションにＳＥＳＳＩＯＮが含まれているか否かを判定する（ステップＳ１０２）。

【0064】

ＳＥＳＳＩＯＮが含まれている場合は（ステップＳ１０２：Ｙｅｓ）、解析部１０３は、エクスプロイトの種類は“不明”であることを出力して終了する（ステップＳ１０３）。オプションは、ＲＨＯＳＴＳおよびＲＰＯＲＴとともに、ＳＥＳＳＩＯＮを含むことはないためである。ＳＥＳＳＩＯＮが含まれていない場合は（ステップＳ１０２：Ｎｏ）、解析部１０３は、エクスプロイトの種類は“ＲＣＥ”であることを出力して終了する（ステップＳ１０４）。

【0065】

ステップＳ１０１でオプションにＲＨＯＳＴＳとＲＰＯＲＴが含まれていないと判定された場合（ステップＳ１０１：Ｎｏ）、解析部１０３は、オプションにＳＥＳＳＩＯＮが含まれているか否かを判定する（ステップＳ１０５）。オプションにＳＥＳＳＩＯＮが含まれている場合は（ステップＳ１０５：Ｙｅｓ）、解析部１０３は、エクスプロイトの種類は“ＰＥ”であることを出力して終了する（ステップＳ１０６）。

【0066】

オプションにＳＥＳＳＩＯＮが含まれていない場合は（ステップＳ１０５：Ｎｏ）、解析部１０３は、オプションにＳＲＶＨＯＳＴとＳＲＶＰＯＲＴが含まれているか否かを判定する（ステップＳ１０７）。オプションにＳＲＶＨＯＳＴとＳＲＶＰＯＲＴが含まれている場合は（ステップＳ１０７：Ｙｅｓ）、解析部１０３は、エクスプロイトの種類は“Ｂｒｏｗｓｅｒ ＲＣＥ”であることを出力して終了する（ステップＳ１０８）。

【0067】

オプションにＳＲＶＨＯＳＴとＳＲＶＰＯＲＴが含まれていない場合は（ステップＳ１０７：Ｎｏ）、解析部１０３は、オプションにＦＩＬＥＮＡＭＥが含まれているか否かを判定する（ステップＳ１０９）。オプションにＦＩＬＥＮＡＭＥが含まれている場合は（ステップＳ１０９：Ｙｅｓ）、解析部１０３は、エクスプロイトの種類は“Ｆｉｌｅ Ｏｐｅｎ ＲＣＥ”であることを出力して終了する（ステップＳ１１０）。オプションにＦＩＬＥＮＡＭＥが含まれていない場合は（ステップＳ１０９：Ｎｏ）、解析部１０３は、エクスプロイトの種類は“不明”であることを出力して終了する（ステップＳ１０３）。

【0068】

以上のように、解析部１０３は、エクスプロイトに含まれるオプションによって、エクスプロイトの種類を分類することができる。これにより、生成部１０４は、それぞれの種類に応じた攻撃ステップ情報を生成することができる。

【0069】

なお図８では、引数情報（設定情報）に含まれるオプションに応じてエクスプロイトの種類を判定する例を示したが、オプション以外の情報を用いて種類が判定されてもよい。すなわち、上記のように、解析部１０３は、１以上の設定情報（例えば、引数情報に含まれるオプションおよびペイロード）の組み合わせに応じて定められた種類を判定すればよい。例えば解析部１０３は、特定のペイロードが含まれているか否かに応じてエクスプロイトの種類を判定してもよい。

【0070】

次に、生成部１０４による攻撃ステップ情報の生成処理について説明する。図９～図１２は、それぞれエクスプロイトの種類がＲＣＥ、ＰＥ、Ｂｒｏｗｓｅｒ ＲＣＥ、および、Ｆｉｌｅ Ｏｐｅｎ ＲＣＥであると判定された場合の生成処理の一例を示すフローチャートである。種類に応じた攻撃ステップ情報を生成することができれば、図９～図１２以外の生成処理が用いられてもよい。

【0071】

図９を用いて、エクスプロイトの種類がＲＣＥであると判定された場合の生成処理の例について説明する。

【0072】

生成部１０４は、現在ホストに関する事前条件を攻撃ステップ情報に追加する（ステップＳ２０１）。例えば生成部１０４は、「現在のホストのシェルアクセス権限を持つ」という事前条件を追加する。

【0073】

生成部１０４は、対象ホストの開放ポートに関する事前条件を攻撃ステップ情報に追加する（ステップＳ２０２）。例えば生成部１０４は、ＲＰＯＲＴオプションのデフォルト値としてＴＣＰ／３３８９番が設定されている場合、「対象ホストのＴＣＰ／３３８９番ポートが開いている」という事前条件を追加する。

【0074】

生成部１０４は、対象ホストの動作ＯＳに関する事前条件を攻撃ステップ情報に追加する（ステップＳ２０３）。例えば生成部１０４は、ペイロードにＷｉｎｄｏｗｓ向けペイロードが含まれている場合、「対象ホスト上でＷｉｎｄｏｗｓ ＯＳが動作している」という事前条件を追加する。

【0075】

生成部１０４は、エクスプロイトに対応するアクションを攻撃ステップ情報に追加する（ステップＳ２０４）。

【0076】

生成部１０４は、対象ホストのシェルアクセスに関する事後条件を攻撃ステップ情報に追加する（ステップＳ２０５）。例えば、「対象ホストのシェルアクセス権限を持つ」という事後条件を追加する。

【0077】

図１０を用いて、エクスプロイトの種類がＰＥであると判定された場合の生成処理の例について説明する。

【0078】

生成部１０４は、現在ホスト（対象ホスト）に関する事前条件を攻撃ステップ情報に追加する（ステップＳ３０１）。例えば生成部１０４は、「対象ホストのシェルアクセス権限を持つ」という事前条件を追加する。

【0079】

生成部１０４は、現在ホスト（対象ホスト）の動作ＯＳに関する事前条件を攻撃ステップ情報に追加する（ステップＳ３０２）。例えば生成部１０４は、ペイロードにＷｉｎｄｏｗｓ向けペイロードが含まれている場合、「対象ホスト上でＷｉｎｄｏｗｓ ＯＳが動作している」という事前条件を追加する。

【0080】

生成部１０４は、エクスプロイトに対応するアクションを攻撃ステップ情報に追加する（ステップＳ３０３）。

【0081】

生成部１０４は、対象ホストの管理者権限でのシェルアクセスに関する事後条件を攻撃ステップ情報に追加する（ステップＳ３０４）。例えば生成部１０４は、「対象ホストの管理者権限でのシェルアクセス権限を持つ」という事後条件を追加する。

【0082】

図１１を用いて、エクスプロイトの種類がＢｒｏｗｓｅｒ ＲＣＥであると判定された場合の生成処理の例について説明する。

【0083】

生成部１０４は、現在ホストに関する事前条件を攻撃ステップ情報に追加する（ステップＳ４０１）。例えば生成部１０４は、「現在のホストのシェルアクセス権限を持つ」という事前条件を追加する。

【0084】

生成部１０４は、対象ホストのユーザによるブラウザ使用に関する事前条件を攻撃ステップ情報に追加する（ステップＳ４０２）。例えば生成部１０４は、「対象ホストを使用するユーザがブラウザを使用してｗｅｂサイトにアクセスする」という事前条件を追加する。

【0085】

生成部１０４は、エクスプロイトに対応するアクションを攻撃ステップ情報に追加する（ステップＳ４０３）。

【0086】

生成部１０４は、対象ホストのシェルアクセスに関する事後条件を攻撃ステップ情報に追加する（ステップＳ４０４）。例えば生成部１０４は、「対象ホストのシェルアクセス権限を持つ」という事後条件を追加する。

【0087】

図１２を用いて、エクスプロイトの種類がＦｉｌｅ Ｏｐｅｎ ＲＣＥであると判定された場合の生成処理の例について説明する。

【0088】

生成部１０４は、現在ホストに関する事前条件を攻撃ステップ情報に追加する（ステップＳ５０１）。例えば生成部１０４は、「現在のホストのシェルアクセス権限を持つ」という事前条件を追加する。

【0089】

生成部１０４は、対象ホストのユーザによるファイルオープンに関する事前条件を攻撃ステップ情報に追加する（ステップＳ５０２）。例えば生成部１０４は、「対象ホストを使用するユーザがファイルを開く」という事前条件を追加する。

【0090】

生成部１０４は、エクスプロイトに対応するアクションを攻撃ステップ情報に追加する（ステップＳ５０３）。

【0091】

生成部１０４は、対象ホストのシェルアクセスに関する事後条件を攻撃ステップ情報に追加する（ステップＳ５０４）。例えば生成部１０４は、「対象ホストのシェルアクセス権限を持つ」という事後条件を追加する。

【0092】

このように、本実施形態では、ペネトレーションテストに用いられる情報（攻撃ステップ情報）をより効率的に生成することが可能となる。

【0093】

次に、本実施形態にかかる情報処理装置１００のハードウェア構成について図１３を用いて説明する。図１３は、本実施形態にかかる情報処理装置１００のハードウェア構成例を示す説明図である。

【0094】

本実施形態にかかる情報処理装置１００は、ＣＰＵ１５１などの制御装置と、ＲＯＭ（Read Only Memory）１５２やＲＡＭ１５３などの記憶装置と、ネットワークに接続して通信を行う通信Ｉ／Ｆ１５４と、各部を接続するバス１６１を備えている。

【0095】

情報処理装置１００は、物理的に１つのハードウェアにより構成されてもよいし、１以上のサーバ装置等を含むクラウド環境上の論理的な装置として構成されてもよい。

【0096】

本実施形態にかかる情報処理装置１００で実行されるプログラムは、ＲＯＭ１５２等に予め組み込まれて提供される。

【0097】

本実施形態にかかる情報処理装置１００で実行されるプログラムは、インストール可能な形式または実行可能な形式のファイルでＣＤ－ＲＯＭ（Compact Disk Read Only Memory）、フレキシブルディスク（ＦＤ）、ＣＤ－Ｒ（Compact Disk Recordable）、ＤＶＤ（Digital Versatile Disk）等のコンピュータで読み取り可能な記録媒体に記録してコンピュータプログラムプロダクトとして提供されるように構成してもよい。

【0098】

さらに、本実施形態にかかる情報処理装置１００で実行されるプログラムを、インターネット等のネットワークに接続されたコンピュータ上に格納し、ネットワーク経由でダウンロードさせることにより提供するように構成してもよい。また、本実施形態にかかる情報処理装置１００で実行されるプログラムをインターネット等のネットワーク経由で提供または配布するように構成してもよい。

【0099】

本実施形態にかかる情報処理装置１００で実行されるプログラムは、コンピュータを上述した情報処理装置１００の各部として機能させうる。このコンピュータは、ＣＰＵ１５１がコンピュータ読取可能な記憶媒体からプログラムを主記憶装置上に読み出して実行することができる。

【0100】

本発明のいくつかの実施形態を説明したが、これらの実施形態は、例として提示したものであり、発明の範囲を限定することは意図していない。これら新規な実施形態は、その他の様々な形態で実施されることが可能であり、発明の要旨を逸脱しない範囲で、種々の省略、置き換え、変更を行うことができる。これら実施形態やその変形は、発明の範囲や要旨に含まれるとともに、特許請求の範囲に記載された発明とその均等の範囲に含まれる。

【符号の説明】

【0101】

１００ 情報処理装置
１０１ 識別情報取得部
１０２ 設定取得部
１０３ 解析部
１０４ 生成部
１０５ 出力制御部
１２１ 記憶部

【図1】

【図2】

【図3】

【図4】

【図5】

【図6】

【図7】

【図8】

【図9】

【図10】

【図11】

【図12】

【図13】