JP4414865B2 - セキュリティ管理方法、セキュリティ管理装置およびセキュリティ管理プログラム - Google Patents

Description

本発明は、セキュリティ管理サーバ、セキュリティ管理方法およびセキュリティ管理プログラムに関する。

近年、インターネット技術やネットワーク技術を用いた情報システムも増加している。それに伴い、情報システムの脆弱性を狙ったウィルスの感染の脅威が増加している。
情報システムに関する脆弱性は、日々インターネットに公開され、その脆弱性を防ぐためのパッチの提供が行われている。近年のウィルス発生の増加に伴い脆弱性の公開の頻度も増加し、脆弱性が公開されてから、その脆弱性を突いたクラッカーによる不正アクセスやウィルスの発生までの時間の短縮化の傾向が強まっている。
このような情報システムの脆弱性を狙った攻撃に対し、システム管理者やユーザはインターネットを介し、ベンダー等の発するセキュリティ情報を逐次チェックし、公開された情報システムの脆弱性に対し早期にパッチ適用を行う必要がある。

現在、インターネットを介し複数のサイトからセキュリティ情報を取得し、情報の信頼度という観点でクライアントの使用ユーザに対し、必要なセキュリティ情報を提供し、パッチ適用を促す方法（特許文献１参照）や、管理対象の情報システムの環境情報と、監視対象の情報システムに対する脆弱性修正作業ログを管理することにより、システム全体の脆弱性に関する情報を、システム管理者および業務管理者に提供する方法（特許文献２参照）がある。
特開２００３−２１６５７６号公報 特開２００３−２５６３７０号公報

しかし、前記した方法はいずれも、システム管理者またはクライアントの使用ユーザに適切なパッチ情報を提供して、パッチ適用を促したり、パッチ適用状況を確認したりするものに過ぎない。
よって、これらの方法は、情報システムの環境の違いや、使用するクライアントのユーザの作業等の要因により、パッチ情報が公開されてからすべてのクライアントに対しパッチ適用が完了するまで、タイムラグが生じてしまい、ウィルスや不正アクセス侵入のおそれがあるという問題がある。

本発明は、前記したような脆弱性公開から早期に発生する傾向のあるウィルスや不正アクセスに対し、セキュリティ強化を行うことを課題とする。また、システム管理者や使用ユーザが日々インターネットを介しセキュリティ情報をチェックする負担を軽減し、ネットワークに対する影響を少なく、迅速に安全な情報システムの運用管理を行うセキュリティ管理装置等を提供することを課題とする。

前記した課題を解決するため、本発明のセキュリティ管理装置（セキュリティ管理サーバ）を、ネットワーク経由で取得した最新のセキュリティ情報に基づき、脆弱性への攻撃経路となるルータ（ネットワーク接続機器）の特定のＴＣＰ／ＩＰ（Transmission Control Protocol/Internet Protocol）ポートを遮断する構成とした。つまり、ネットワーク経由で取得した最新のパッチ情報であるセキュリティ情報に基づき、クライアントに接続されるルータのＴＣＰ／ＩＰポート開閉制御を行い、セキュリティ管理を行うセキュリティ管理装置であって、前記各クライアントにインストールされているソフトウェア名および適用されているパッチ名を含むインベントリ情報、前記セキュリティ情報および前記ルータの識別情報を格納するデータベースと、所定のキーワードおよびこのキーワードにより示されるアプリケーションに関連するＴＣＰ／ＩＰポートを示すセキュリティキーワードリストとを格納する記憶部と、前記各クライアントから、前記各クライアントのインベントリ情報を取得し、前記データベースに格納するインベントリ情報管理部と、前記ネットワーク経由で、前記最新のセキュリティ情報を取得するとともに、前回取得したセキュリティ情報のページと、今回取得したセキュリティ情報のページとの差分情報から、前記今回取得したセキュリティ情報のページにおいて新たに追加されたセキュリティ情報を抽出することで、前記今回取得したセキュリティ情報を解析し、この解析したセキュリティ情報に前記セキュリティキーワードリストに示されたキーワードが有るとき、この解析したセキュリティ情報を前記データベースに格納するページ取得解析部と、前記データベースに格納された各クライアントの前記インベントリ情報および前記解析したセキュリティ情報を参照して、前記解析したセキュリティ情報に示される影響ソフトウェアがインストールされたクライアントであって、前記影響ソフトウェアのパッチが未適用のクライアントを、前記セキュリティ情報に基づくセキュリティ対策が必要なクライアントと判定するポート開閉判定部と、前記セキュリティ対策が必要なクライアントが有ったとき、前記データベースに格納される前記クライアントのＩＰアドレスおよびルータのＩＰアドレスを参照して特定した前記セキュリティ対策が必要なクライアントに接続するルータに対し、前記解析したセキュリティ情報に含まれているパッチに関連するＴＣＰ／ＩＰポートを閉鎖する制御信号を出力するポート開閉制御部とを備える構成とした。その他の構成については、後記する実施の形態で述べる。

本発明によれば、脆弱性公開から早期に発生するウィルスや不正アクセスに対し、ネットワーク機器（ルータ）の設定を変更することによりクライアントにセキュリティ対策を行うことができる。また、パッチ情報ページ（セキュリティ情報ページ）の内容について解析を行い、脆弱と判定されたウィルスや不正アクセスの進入経路と成り得るおそれのあるＴＣＰ／ＩＰポートを閉鎖するため、クライアントが行う通信への影響を最小限にとどめることができる。

さらに、セキュリティ管理サーバは、システム管理者がセキュリティキーワードテーブルに設定した内容（セキュリティポリシ）に基づきセキュリティ対策を行うため、より柔軟に必要な箇所のセキュリティ対策を行うことが可能となる。また、システム管理者の負担軽減にもなる。
さらに、システム管理者の技術力によるクライアントごとのセキュリティ強度の違いを無くし、安全な情報システムの構築が可能となる。

以下、本発明を実施するための最良の形態（以下、実施の形態とする）について、図面を参照して詳細に説明する。

《第１の実施の形態》
まず、本発明の第１の実施の形態を、図１を用いて説明する。図１は、本発明の第１の実施の形態のセキュリティ管理サーバ（セキュリティ管理装置）を含むシステムの構成を示すブロック図である。

本実施の形態のシステムは、インターネット１１０経由でセキュリティ情報一覧ページ１０２、パッチ情報ページ１０３等を公開するＷｅｂサーバ１０１と、インターネット１１０経由で各種情報の送受信を行うクライアント１１５と、パッチ情報のダウンロード、パッチ情報の概要の解析およびルータ１１３のＴＣＰ／ＩＰポート（以下、単にポートと略す）の開閉状態を制御するセキュリティ管理サーバ１０４と、クライアント１１５およびセキュリティ管理サーバ１０４をインターネット（ネットワーク）１１０に接続するためのルータ１１３と、クライアント１１５およびルータ１１３の管理情報や、前記セキュリティ情報等の管理情報を記憶するデータベース１１４とを含む。
なお、このデータベース１１４は、例えばハードディスク等の記憶装置により実現される。クライアント１１５およびセキュリティ管理サーバ１０４は、ＣＰＵ、記憶部および入出力手段を備えるコンピュータにより実現される。データベース１１４のデータは、セキュリティ管理サーバ１０４の記憶部に格納するようにしてもよい。
また、Ｗｅｂサーバ１０１、クライアント１１５およびルータ１１３の数は、図１に示す数に限定されない。

セキュリティ管理サーバ１０４は、インターネット１１０経由でパッチ情報（セキュリティ情報）をダウンロードし、このパッチ情報の解析を行うページ取得解析部１０５と、パッチ情報および各クライアント１１５にインストールされているソフトウェアおよび適用されているパッチの情報を参照して、セキュリティ対策が必要なクライアント１１５が有るか否か（どのクライアント１１５にセキュリティ対策を行えばよいか）を判定するポート開閉判定部１０９と、前記セキュリティ対策が必要なクライアント１１５に接続されるルータ１１３のポート開閉制御を行うポート開閉制御部１１１と、クライアント１１５にインストールされたソフトウェアおよび適用されているパッチの情報を管理するインベントリ情報管理部１１２と、記憶部１００とを含んで構成される。

前記したページ取得解析部１０５、ポート開閉判定部１０９、ポート開閉制御部１１１およびインベントリ情報管理部１１２は、セキュリティ管理サーバ１０４のＣＰＵ（図示せず）が、記憶部１００に格納されたセキュリティ管理プログラムを実行することにより実現される。

各クライアント１１５には、クライアント１１５のＯＳ（Operating System）、インストールされているソフトウェア、パッチ等のインベントリ情報をセキュリティ管理サーバ１０４へアップロード（送信）するためのインベントリ収集エージェント１１６が存在する。このインベントリ収集エージェント１１６は、クライアント１１５に格納された所定プログラムの実行処理によって実現される。

Ｗｅｂサーバ１０１は、ＯＳやソフトウェアのパッチ情報ページ１０３と、このパッチ情報ページ１０３へアクセスするためのＵＲＬ（Uniform Resource Locator）の一覧を示すセキュリティ情報一覧ページ１０２とを格納し、これらのページをインターネット１１０経由で公開している。セキュリティ管理サーバ１０４は、インターネット１１０経由でセキュリティ情報一覧ページ１０２およびパッチ情報ページ１０３からパッチ情報を取得する。

システム管理者は、セキュリティ管理サーバ１０４が参照すべきセキュリティ情報ページＵＲＬ１０６と、セキュリティキーワードリスト１０７と、公開された脆弱性の深刻度レベルに応じた対策の要否を記載した深刻度レベル対策設定リスト１０８とを、入力手段（図示せず）等を用いて記憶部１００に登録しておく。
前記したページ取得解析部１０５は、この記憶部１００に登録（記憶）された情報に基づいて、Ｗｅｂサーバ１０１からセキュリティ情報（パッチ情報）をダウンロードし、このパッチ情報の解析を行う。

なお、セキュリティキーワードリスト１０７は、システムの機能やソフトウェアの名称あるいはセキュリティに関するキーワードについて、そのキーワードにより示されるアプリケーション（ソフトウェア）に関連するポート番号を示したリストである。
例えば、キーワードに示されるアプリケーションがhttp（HyperText Transfer Protocol）を用いたアプリケーションであれば、httpで使用するポート番号「８０」が記載される。

図２は、図１の各構成要素の動作を説明する図である。図１を参照しつつ、図２を用いて図１の各構成要素の動作を説明する。

まず、セキュリティ管理サーバ１０４のインベントリ情報管理部１１２は、クライアント１１５に対しインベントリ情報の収集要求を行う（ステップＳ２０１）。
なお、このインベントリ情報の収集要求先であるクライアント１１５は、データベース１１４に格納される管理対象クライアントテーブル２１０（後記）を参照して特定するものとする。

クライアント１１５のインベントリ収集エージェント１１６は、セキュリティ管理サーバ１０４からインベントリ収集要求を受け取ると、クライアント１１５のインベントリ情報をセキュリティ管理サーバ１０４にアップロードする。つまり、クライアント１１５は、セキュリティ管理サーバ１０４に対しインベントリ情報の通知を行う（ステップＳ２０２）。そして、インベントリ情報管理部１１２は、このインベントリ情報をデータベース１１４に格納する。

また、セキュリティ管理サーバ１０４のページ取得解析部１０５は、インターネット１１０（図１参照）経由で、Ｗｅｂサーバ１０１のセキュリティ情報一覧ページ１０２が更新されているか否かの確認を行う（ステップＳ２０３）。ここで、セキュリティ情報一覧ページ１０２が更新されている場合には、Ｗｅｂサーバ１０１にパッチ情報ページ１０３を要求し（ステップＳ２０４）、Ｗｅｂサーバ１０１はセキュリティ管理サーバ１０４に対してパッチ情報ページ１０３の情報を通知する（ステップＳ２０５）。
そして、ページ取得解析部１０５は、Ｗｅｂサーバ１０１から通知されたパッチ情報ページ１０３の情報をデータベース１１４に格納する。

次に、セキュリティ管理サーバ１０４のページ取得解析部１０５は、ステップＳ２０５でＷｅｂサーバ１０１から取得したパッチ情報ページ１０３の解析を行う。そして、この解析結果をポート開閉判定部１０９に受け渡す。
なお、このときのページ取得解析部１０５の動作の詳細については後記する。

ポート開閉判定部１０９は、パッチ情報ページ１０３の解析結果およびデータベース１１４から読み出したクライアント１１５のインベントリ情報から、クライアント１１５に接続されるルータ１１３のポート開閉判定を行う。そして、ポート開閉制御部１１１は、ポート開閉判定部１０９から受け取った判定結果に基づき、ルータ１１３に対しポートの開閉制御を行う（ステップＳ２０６）。

次に、データベース１１４に格納されるテーブルについて説明する。
データベース１１４には、クライアント１１５の管理情報を格納した管理対象クライアントテーブル２１０と、クライアント１１５にインストールされたソフトウェアおよびパッチの情報を格納したインストールソフトウェア情報テーブル２１１と、クライアント１１５におけるパッチの適用状態（パッチ未適用か、パッチ適用済みか、パッチ適用の対象外か）を示した適用済みパッチリストテーブル２１２とを格納する。また、管理対象のルータ１１３の管理情報（例えば、ＩＰアドレス）を格納した管理対象ルータテーブル２０７と、ルータ１１３のポートの開閉状態を格納したポート状態管理テーブル２０８と、Ｗｅｂサーバ１０１から取得したパッチ情報を格納する管理対象パッチリストテーブル２０９とから構成される。

なお、管理対象クライアントテーブル２１０、インストールソフトウェア情報テーブル２１１および適用済みパッチリストテーブル２１２は別個のものとして説明するが、これらをまとめて１つのテーブルとしてもよい。
これらのテーブルの作成手順およびこれらのテーブルを参照した各構成要素の処理手順については、後記する。

図３は、図１のＷｅｂサーバで公開されたパッチ情報ページの取得方法を説明する図である。適宜図１および図２を参照しつつ、図３を用いて、ページ取得解析部１０５のパッチ情報ページの取得方法を説明する。
図３の符号３０１は、Ｗｅｂサーバ１０１における更新前のセキュリティ情報一覧ページを例示したものであり、符号３０３は、Ｗｅｂサーバ１０１における更新後のセキュリティ情報一覧ページを例示したものである。
セキュリティ情報一覧ページ３０１（３０３）には、現在までに公開されているパッチ情報ページへのリンク（ＵＲＬ）のリスト３０２（３０４）が示されている。

例えば、符号３０２のリストは、「ＸＸＸの脆弱性（１１１１１１）」に関するパッチ情報のＵＲＬと、「ＹＹＹセキュリティ更新プログラム（２２２２２２）」に関するパッチ情報のＵＲＬとを示している。ここでは、各パッチ情報のタイトルのみが表示されているが、タイトル部分に各パッチ情報を提供するサイトのＵＲＬが埋め込まれているものとする、つまりタイトル部分に前記各パッチ情報ページへのハイパーリンクが設定されているものとする。また、図３に例示するように、セキュリティ情報一覧ページ３０１（３０３）に、各パッチ情報の更新日（更新日時）の情報を含めるようにしてもよい。
このようにすることで、新たに追加されたパッチ情報や、最新のパッチ情報を特定しやすくなる。

図１のセキュリティ管理サーバ１０４のページ取得解析部１０５は、まず、Ｗｅｂサーバ１０１からセキュリティ情報一覧ページ１０２（図３の符号３０１）を取得し、この取得したページを記憶部１００に格納しておく。次に、所定時間経過後、Ｗｅｂサーバ１０１から更新後のセキュリティ情報一覧ページ１０２（図３の符号３０３）を取得し、取得済みのセキュリティ情報一覧ページ１０２との内容の比較および比較した差分情報に含まれるＵＲＬの検索を行う。

図３の例の場合、セキュリティ情報一覧ページ３０１とセキュリティ情報一覧ページ３０３との内容の比較をすると、セキュリティ情報一覧ページ３０３には、符号３０５の「ＺＺＺの脆弱性により・・・（３３３３３３）」に関するパッチ情報が追加されている。つまり、この符号３０５の情報が差分情報となる。ページ取得解析部１０５は、この差分情報３０５から、新たに公開されたパッチ情報ページのＵＲＬを取得する。ここでは、例えばＵＲＬ「http://aa.bb.cc」を取得し、このＵＲＬが示すパッチ情報ページ１０３にアクセスする。そして、パッチ情報ページ１０３の情報を取得する。

図４は、図３で取得したパッチ情報ページの解析方法を説明する図である。パッチ情報ページ１０３は、パッチごとにユニークな番号が付加されたパッチ名４０１、公開された脆弱性に関する情報４０５、その脆弱性により影響を受けるソフトウェア名を示す影響ソフトウェア４０３、その脆弱性が与えるシステムへの影響度の度合いを示す深刻度４０２等の情報により構成される。

図１のページ取得解析部１０５は、このパッチ情報ページ１０３と、記憶部１００の深刻度レベル対策設定リスト１０８と、セキュリティキーワードリスト１０７のセキュリティポリシとに従い、その脆弱性に対しセキュリティ強化（セキュリティ対策）を行うか否かを判定する。判定の結果、セキュリティ強化を行うべきと判定した場合には、パッチ情報ページ１０３に含まれる情報をデータベース１１４の管理対象パッチリストテーブル２０９に追加する。

なお、この深刻度レベル対策設定リスト１０８およびセキュリティキーワードリスト１０７の情報は、予めシステム管理者等が設定入力しておくものとする。

深刻度レベル対策設定リスト１０８は、パッチ情報ページ１０３の深刻度のレベルごとに、セキュリティ対策の要もしくは不要のフラグを設定した情報である。
例えば、図４の深刻度レベル対策設定リスト１０８では、パッチ情報ページ１０３の深刻度４０２が「緊急」であったときには、セキュリティ対策は「要」であることを示している。

セキュリティキーワードリスト１０７には、システムの機能やソフトウェアの名称、あるいはセキュリティに関するキーワードごとに、そのキーワードの機能やソフトウェアが使用するＴＣＰ／ＩＰのポート番号、通信プロトコルおよびそのキーワードが検出された場合のセキュリティ対策の要もしくは不要のフラグが設定してある。
例えば、図４のセキュリティキーワードリスト１０７では、公開されたパッチ情報ページ１０３の脆弱性に関する情報４０５に「ＡＡＡサービス」というキーワードが含まれていたときには、ポート番号「１３５」、プロトコル「ＴＣＰ」についてのセキュリティ対策は「要」であることを示している。

すなわち、図４に例示するパッチ情報ページ１０３をページ取得解析部１０５が解析するとき、深刻度４０２の情報「緊急」をキーとして深刻度レベル対策設定リスト１０８を検索して、セキュリティ対策の「要」という結果を得る。また、パッチ情報ページ１０３の公開された脆弱性に関する情報４０５の「ＡＡＡサービス」というキーワードから、ポート番号「１３５」、プロトコル「ＴＣＰ」についてのセキュリティ対策は「要」という結果を得る。

ここで、深刻度レベル対策設定リスト１０８およびセキュリティキーワードリスト１０７の双方でセキュリティ対策が「要」なので、ページ取得解析部１０５は、このパッチ情報ページ１０３に基づくセキュリティ対策を行うと判定し、パッチ情報ページ１０３の情報を管理対象パッチリストテーブル２０９に追加する。
つまり、ページ取得解析部１０５は、パッチ情報ページ１０３から抽出したパッチ名４０１「３３３３３３」、影響ソフトウェア４０３「ａａａＸＰ」、深刻度４０２「緊急」および公開された脆弱性に関する情報４０５に含まれるキーワード「ＡＡＡサービス」を、管理対象パッチリストテーブル２０９に記録する。
なお、図４の管理対象パッチリストテーブル２０９の「サービスパック」の項目のように、影響ソフトウェア４０３のサービスパック名（またはバージョン名）に関する項目を設けてもよい。
このように、ページ取得解析部１０５は、パッチ情報ページ１０３のうち、セキュリティ管理サーバ１０４で管理するパッチ情報について、その概要情報を作成し、管理対象パッチリストテーブル２０９に登録する。

図５は、図２の管理対象クライアントテーブル、インストールソフトウェア情報テーブルおよび適用済みパッチテーブルを例示した図である。
管理対象クライアントテーブル２１０は、管理対象となるクライアント１１５ごとに、クライアント１１５のホスト名およびＩＰアドレス、クライアント１１５にインストールされたＯＳ、そのＯＳのサービスパック名等、クライアント１１５に関する各種情報が記憶されている。

例えば、図５の管理対象クライアントテーブル２１０には、ホスト名「ホストＡ」、ＩＰアドレス「１９２．１６８.０．２」のクライアント１１５には、ＯＳ「ａａａ２０００」の「ＳＰ（サービスパック）４」がインストールされていることを示している。
この管理対象クライアントテーブル２１０は、図１のセキュリティ管理サーバ１０４のインベントリ情報管理部１１２が、クライアント１１５のインベントリ収集エージェント１１６からアップロードされたインベントリ情報に基づき更新する。
なお、この管理対象クライアントテーブル２１０は、図５に例示するように各情報の更新日時に関する情報を含んでいてもよい。

インストールソフトウェア情報テーブル２１１は、管理対象クライアントテーブル２１０のホスト名５０１をキーに、クライアント１１５にインストールされているソフトウェア名、バージョン、サービスパック名、更新日時等の情報が格納される。このインストールソフトウェア情報テーブル２１１の情報は、セキュリティ管理サーバ１０４のインベントリ情報管理部１１２が、インベントリ収集エージェント１１６からアップロードされたインベントリ情報に基づき更新する。
なお、インベントリ情報管理部１１２によるクライアント１１５のインベントリ情報の取得は、所定期間ごと定期的に行うようにしてもよいし、不定期に行うようにしてもよい。

例えば、図５のインストールソフトウェア情報テーブル２１１は、「ホストＡ」のクライアント１１５には、「ソフトウェアＡ」のバージョン「９．０」の「ＳＰ４」および「ソフトウェアＢ」のバージョン「６．１」の「ＳＰ１」がインストールされていることを示している。

ポート開閉判定部１０９は、クライアント１１５にパッチ情報ページ１０３に基づくセキュリティ対策が必要か否かをクライアント１１５にインストールされているソフトウェアの情報により判定する。
適用済みパッチリストテーブル２１２は、管理対象クライアントテーブル２１０のホスト名５０１ごとに、このクライアント１１５のパッチ適用状態を示すテーブルである。
この適用済みパッチリストテーブル２１２は、インベントリ収集エージェント１１６がアップロードしたインベントリ情報に基づき、インベントリ情報管理部１１２が更新する。

例えば、図５の適用済みパッチリストテーブル２１２は、「ホストＡ」のクライアント１１５には、パッチ名「１１１１１１」のパッチは適用済み（インストール済み）であり、「２２２２２２」のパッチは未適用（未インストール）であり、「３３３３３３」のパッチは適用対象外であるという情報が格納されている。

なお、クライアント１１５にとって当該パッチが適用対象外であるか否かは、インベントリ情報管理部１１２が、管理対象クライアントテーブル２１０およびインストールソフトウェア情報テーブル２１１（クライアント１１５のＯＳやインストールされているソフトウェア）と、管理対象パッチリストテーブル２０９（パッチ情報）とに基づき判断する。
例えば、インベントリ情報管理部１１２において、ホストＡのＯＳ（ａａａ２０００のＳＰ４）およびインストールされているソフトウェア（ソフトウェアＡのバージョン９．０のＳＰ４）が、パッチ（３３３３３３）の適用対象のＯＳやソフトウェアでなければ、適用済みパッチリストテーブル２１２に「対象外」の情報を書き込む。
一方、ホストＡにパッチの適用対象のＯＳやソフトウェアがインストールされているにもかかわらず、そのパッチが未だインストールされていない場合には、適用済みパッチリストテーブル２１２に「未インストール」の情報を書き込む。

図６は、図２の管理対象ルータテーブルおよびポート状態管理テーブルを例示した図である。
管理対象ルータテーブル２０７は、図１のセキュリティ管理サーバ１０４の管理対象となるルータ１１３ごとのネットワーク情報が格納される。この管理対象ルータテーブル２０７は、例えば図６に示すように、ルータ１１３の名称（符号６０１）ごとに、このルータ１１３のＩＰアドレス（符号２０７）を示したものである。図６の管理対象ルータテーブル２０７は、「ルータＡ」のＩＰアドレスは「１９２．１６８．０．１」であることを示している。

ポート状態管理テーブル２０８は、セキュリティ管理サーバ１０４（ポート開閉制御部１１１）が制御しているルータ１１３ごとにポート遮断状態（閉鎖状態）が格納される。ポート状態管理テーブル２０８は、例えば図６に示すように、ルータ１１３の名称ごとに、このルータ１１３のＩＰアドレス、通信ポート番号、プロトコル、ポート遮断の引き金となったパッチ名および該当ポートの遮断状態が格納される。

図６において管理対象である「ルータＡ」のＩＰアドレスは「１９２．１６８．０．１」であり、パッチ名「１１１１１１」により、通信ポート番号「１４３３」、プロトコル「ＴＣＰ」のポートが「遮断（閉鎖）」された状態であることを示している。
このポート状態管理テーブル２０８は、ポート開閉制御部１１１がルータ１１３のポート開閉制御を行ったときに書き換える。
なお、このポート状態管理テーブル２０８には、閉鎖されたポートに関する情報のほかに、開放したポートに関する情報も併せて記録するようにしてもよい。

図７〜図９は、図１のページ取得解析部のパッチ情報ページの取得、解析手順（セキュリティ管理プログラムの実行手順）を示すフローチャートである。適宜図１〜図６を参照しつつ、図７〜図９を用いてセキュリティ管理サーバ１０４のページ取得解析部１０５の処理手順を説明する。

まず、図１のセキュリティ管理サーバ１０４のページ取得解析部１０５は、システム管理者により予め登録されたセキュリティ情報一覧ページＵＲＬ１０６を元に、インターネット１１０経由でＷｅｂサーバ１０１に接続する（ステップＳ７０１）。そして、ページ取得解析部１０５は、このＷｅｂサーバ１０１からセキュリティ情報一覧ページ１０２をダウンロードし、記憶部１００（またはデータベース１１４）に格納する（ステップＳ７０２）。
その後、所定時間待機し（ステップＳ７０３）、再度Ｗｅｂサーバ１０１からセキュリティ情報一覧ページ１０２をダウンロードする（ステップＳ７０４）。この所定時間は、セキュリティ管理サーバ１０４の管理者が定義設定可能である。

次に、ステップＳ７０２で格納しておいたセキュリティ情報一覧ページ１０２とステップＳ７０４でダウンロードしたセキュリティ情報一覧ページ１０２との差分をチェックする（ステップ７０５）。ここで、ステップＳ７０４でダウンロードしたセキュリティ情報一覧ページ１０２に差分がない場合（ステップＳ７０６のＮｏ）、つまり、セキュリティ情報一覧ページ１０２が更新されていない場合には、ステップＳ７０３へ戻り、所定時間待機した後に、再度Ｗｅｂサーバ１０１からセキュリティ情報一覧ページ１０２をダウンロードする。そして、セキュリティ情報一覧ページ１０２の差分を確認する。

一方、セキュリティ情報一覧ページ１０２に差分がある場合（ステップＳ７０６のＹｅｓ）には、その差分情報の解析を行う（ステップＳ７０７）。具体的には、ページ取得解析部１０５は、セキュリティ情報一覧ページ１０２の差分情報を抽出し、その差分情報についてＨＴＭＬ（HyperText Markup Language）のタグ解析を行う。そして、その解析結果から新たに追加された分のパッチ情報のタイトルおよびパッチ情報ページ１０３へのハイパーリンク（リンクされたＵＲＬ）を取得する（ステップＳ７０８）。例えば、前記した図３の差分情報３０５でリンクされたパッチ情報ページ１０３のＵＲＬ「http：//aa.bb.cc」を取得する。そして、ステップＳ７０８で取得したＵＲＬから、パッチ情報ページ１０３をダウンロードする（ステップＳ７０９）。次に、ステップＳ７０８へ進む。

図８のステップＳ７１０では、ページ取得解析部１０５は、図７のステップＳ７０９でダウンロードしたパッチ情報ページ１０３の解析を行い、パッチ名、深刻度レベルおよび影響ソフトウェアの情報を取得する。このときのパッチ情報ページ１０３の解析は、例えば、今まで公開されたパッチ情報ページ１０３を元に、パッチ名、深刻度レベルおよび影響ソフトウェア等の抽出すべき項目を表すキーワードやパッチ情報ページ１０３の標準的なフォーマット（書式）等を記憶部１００に記憶しておき、これらの情報を参照して解析する。

そして、ページ取得解析部１０５は、深刻度レベル対策設定リスト１０８から、取得したパッチ情報ページ１０３に示された深刻度レベルに対応する対策フラグを取得し（ステップＳ７１１）、この対策フラグが「要」であるか否かを判定する（ステップＳ７１２）。ここで、対策フラグが「要」である場合には（ステップＳ７１２のＹｅｓ）、パッチ情報ページ１０３からセキュリティキーワードリスト１０７に登録されているキーワード、例えば、図４のセキュリティキーワードリスト１０７に記載される「ＡＡＡサービス」等を検索する（ステップＳ７１３）。
次に、パッチ情報ページ１０３にセキュリティキーワードリスト１０７に登録されているキーワード（「ＡＡＡサービス」）が有った場合、つまり検索に成功した場合（ステップＳ７１４のＹｅｓ）、セキュリティキーワードリスト１０７から、そのキーワード（「ＡＡＡサービス」）に対する対策フラグを取得する。そして、取得した対策フラグが「要」であるか否かを判断し（ステップＳ７１５）、対策フラグが「要」の場合（ステップＳ７１５のＹｅｓ）には、このパッチ情報ページ１０３の内容をセキュリティ管理サーバ１０４の管理対象とすべきと判断する。続いて、管理対象パッチリストテーブル２０９にパッチ情報ページ１０３におけるパッチ名、影響ソフトウェア、影響を受けるソフトウェアのサービスパック、深刻度レベルおよびステップＳ７１３で検索に成功したキーワード（「ＡＡＡサービス」）を追加する（ステップＳ７１６）。

以上のような処理を、セキュリティキーワードリスト１０７の各キーワードについて行う。そして、該当のパッチ情報ページ１０３を検索し、当該キーワードの検索に成功した場合（パッチ情報ページ１０３にそのキーワードが含まれていた場合）には、キーワードの対策フラグを判断し、管理対象パッチリストテーブル２０９に登録する。
セキュリティキーワードリスト１０７のすべてのキーワードについて、検索が終了した場合には（ステップＳ７１７のＹｅｓ）、図９のステップＳ７１８へ進む。ステップＳ７１８では、パッチ情報が複数追加された場合等を想定し、セキュリティ情報一覧ページ３０３の差分情報を再度検索し、解析していないパッチ情報のＵＲＬが存在するか否かを判断する。ここで、解析していないＵＲＬが存在する場合には（ステップＳ７１８のＹｅｓ）、図７のステップＳ７０９へ戻り、新たにパッチ情報ページ１０３をダウンロードし、パッチ情報ページ１０３の解析処理を行う。そして、すべてのパッチ情報ページ１０３について解析が完了した場合（図９のステップＳ７１８のＮｏ）、処理を終了する。

続いて、適宜図１〜図９を参照しつつ、図１０および図１１を用いてセキュリティ管理サーバ１０４のポート開閉判定部１０９およびポート開閉制御部１１１の処理手順を説明する。図１０は、図１のルータのポート閉鎖の流れを示すフローチャートであり、図１１は、図１のルータのポートの開放の流れを示すフローチャートである。

まず、図１０を用いて、ルータ１１３のポート閉鎖の流れを説明する。
図１のセキュリティ管理サーバ１０４のポート開閉判定部１０９は、管理対象パッチリストテーブル２０９に追加されたパッチ名、例えば、図３の符号３０５に示される「ＺＺＺの脆弱性により・・・・（３３３３３３）」を取得し（ステップＳ８０１）、このパッチの影響ソフトウェア名（例えば「ａａａＸＰ Ｓｅｒｖｉｃｅ Ｐａｃｋ １」）を取得する（ステップＳ８０２）。そして、ポート開閉判定部１０９は、ステップＳ８０２で取得した影響ソフトウェアがインストールされているクライアント１１５を、インストールソフトウェア情報テーブル２１１から検索し（ステップＳ８０３）、影響ソフトウェアをインストール済みのクライアント１１５が有るか否かを判断する（ステップＳ８０４）。ここで、影響ソフトウェアをインストール済みのクライアント１１５が無かった場合（ステップＳ８０４のＮｏ）、該当パッチに関して脆弱性のあるクライアント１１５は存在しないと判断し、処理を終了する。

一方、影響ソフトウェアをインストール済みのクライアント１１５が有った場合（ステップＳ８０４のＹｅｓ）、該当パッチの脆弱性が存在する可能性がある。そのため、ポート開閉判定部１０９は、ステップＳ８０３で検索した影響ソフトウェアがインストールされているクライアント１１５の名称（ホスト名）およびステップＳ８０１で取得したパッチ名をキーとして、適用済みパッチリストテーブル２１２を検索する（ステップＳ８０５）。

ここで、適用済みパッチリストテーブル２１２において、該当パッチをインストールしていないクライアント１１５が有った場合、つまり該当パッチが各クライアント１１５にインストールされていなかった場合（ステップＳ８０６のＮｏ）、ステップＳ８０７へ進む。一方、該当パッチを未インストールのクライアント１１５が無かった場合（ステップＳ８０６のＹｅｓ）、そのまま処理を終了する。

ステップＳ８０７では、ポート開閉判定部１０９がクライアント１１５について脆弱性ありと判定し、これを受けてポート開閉制御部１１１が、このクライアント１１５の接続するルータ１１３のポート閉鎖制御処理を行う。具体的には、まずポート開閉判定部１０９がポート開閉制御部１１１にポートの閉鎖を指示する信号を出力する。そして、セキュリティ管理サーバ１０４のポート開閉制御部１１１は、この信号を受けて、管理対象パッチリストテーブル２０９およびセキュリティキーワードリスト１０７から、該当パッチのＴＣＰ／ＩＰポートおよびプロトコルに関する情報を取得する。例えば、パッチ「３３３３３３」のＴＣＰ／ＩＰポート「１３５」番、プロトコル「ＴＣＰ」という情報を取得する。
なお、このポートの閉鎖を指示する信号には未インストールのパッチ名、このパッチがインストールされていなかったクライアント１１５のホスト名およびＩＰアドレス等が含まれるものとする。

また、ポート開閉制御部１１１は、管理対象ルータテーブル２０７からセキュリティ強化（ポート閉鎖）を行うルータ１１３を特定する。ここでのルータ１１３の特定は、例えば、クライアント１１５のＩＰアドレスと、ルータ１１３のＩＰアドレスとに基づいて推測するものとする。そして、ポート開閉制御部１１１は、前記取得したＴＣＰ／ＩＰポートおよびプロトロルの通信を遮断するよう、ルータ１１３に対してポート閉鎖制御処理を行う。例えば、ルータ１１３のフィルタリングテーブルを変更する制御信号を出力する。

また、ポート開閉制御部１１１は、ルータ１１３のポート閉鎖制御処理に伴い、ポート開閉状態を管理するポート状態管理テーブル２０８に、ポートを閉鎖したルータ１１３の情報を追加する（ステップＳ８０８）。例えば、閉鎖制御処理を実施したルータ名、閉鎖したＴＣＰ／ＩＰポート、プロトコル、パッチ名、ポートの状態等を追加する。

セキュリティ管理サーバ１０４がこのような処理を行うことで、パッチ情報ページ１０３が新たに公開されたときに、ルータ１１３において対策が必要なポートを迅速に閉鎖できるので、クライアント１１５のセキュリティ強化を迅速に行うことができる。また、システム管理者のセキュリティ対策の手間を軽減することができる。

ポート開閉判定部１０９およびポート開閉制御部１１１が以上のようなポート閉鎖処理を行った後、ポート閉鎖の必要がなくなったポートについては、ポート開放をするようにしてもよい。図１１を用いて、ルータ１１３のポート開放の流れを説明する。

まず、図１のセキュリティ管理サーバ１０４のポート開閉判定部１０９は、ポート状態管理テーブル２０８のレコードから、パッチ名を抽出する（ステップＳ９０１）。次に、ポート開閉判定部１０９は、ステップＳ９０１で抽出したパッチ名をキーとして、適用済みパッチリストテーブル２１２から、該当パッチが未インストールとなっているクライアント１１５を検索する（ステップＳ９０２）。ここで、該当パッチを未インストールのクライアント１１５が有る場合には（ステップＳ９０３のＮｏ）、該当パッチの脆弱性は存在すると判定し、該当パッチに関連するポートの閉鎖は維持し、ステップＳ９０６へ進む。

一方、該当パッチを未インストールのクライアント１１５が無い場合には（ステップＳ９０３のＹｅｓ）、ポート開閉判定部１０９はシステム全体に脆弱性はないと判定し、ポート開閉制御部１１１に、ポート開閉制御部１１１にポートの開放を指示する信号を出力する。これを受けたポート開閉制御部１１１は、ポート状態管理テーブル２０８より該当パッチによりポートが閉鎖となっているルータ１１３の情報（ルータ１１３のＩＰアドレス等）を取得し、このルータ１１３のポート開放制御処理を行う（ステップＳ９０４）。つまり、ルータ１１３のフィルタリングテーブルの書き換えを行う。

このルータ１１３のポート開放制御に伴い、ポート開閉判定部１０９は、ポート状態管理テーブル２０８を更新する（ステップＳ９０５）。具体的には、ポート状態管理テーブル２０８のレコードのうち、該当パッチのポートの開閉状態の欄の記述を、遮断から開放に書き換える。そして、ポート状態管理テーブル２０８に記載されたすべてのパッチ名について検索が完了したとき（ステップＳ９０６のＹｅｓ）、そのまま処理を終了する。未だポート状態管理テーブル２０８に検索が完了していないパッチがあれば（ステップＳ９０６のＮｏ）、ステップＳ９０１に戻る。

以上のように、セキュリティ管理サーバ１０４が、ポート閉鎖の必要がなくなったポートについてはポート開放するので、クライアント１１５が行う通信への影響を最小限にとどめつつウィルス対策や不正アクセスへの対策をすることができる。

図１２は、図１のインベントリ情報管理部の動作を示すフローチャートである。適宜図１〜図１１を参照しつつ、図１２を用いてインベントリ情報管理部１１２によるクライアント１１５のインベントリ情報収集の流れを説明する。

まず、図１のセキュリティ管理サーバ１０４のインベントリ情報管理部１１２は、管理対象クライアントテーブル２１０に存在するクライアント１１５各々のインベントリ収集エージェント１１６に対し、インベントリ情報の取得実行を通知する（ステップＳ１００１）。

この通知を受けた各クライアント１１５のインベントリ収集エージェント１１６では、自身にインストールされているクライアント１１５のインベントリ情報の収集を行い、セキュリティ管理サーバ１０４に対し、取得したインベントリ情報をアップロード（送信）する。
ここでアップロードされるインベントリ情報は、例えば、クライアント１１５のホスト名、ＩＰアドレス、インストールされているＯＳ、ソフトウェア、適用されているパッチ名等である。このＯＳ、ソフトウェアの情報には、サービスパック名やバージョン等の情報を含めるようにしてもよい。

インベントリ情報管理部１１２は、各インベントリ収集エージェント１１６からアップロードされた、インベントリ情報を受信し（ステップＳ１００２）、受信した情報に基づき、管理対象クライアントテーブル２１０、インストールソフトウェア情報テーブル２１１および適用済みパッチリストテーブル２１２を更新する（ステップＳ１００３）。

テーブルの更新後、インベントリ情報管理部１１２は、適用済みパッチリストテーブル２１２においてパッチを未インストールのクライアント１１５が有るか否かを判断する（ステップＳ１００４）。ここで、パッチを未インストールのクライアント１１５が無かった場合は、そのまま処理を終了する。
一方、パッチを未インストールのクライアント１１５が有った場合（ステップＳ１００４のＹｅｓ）、インベントリ情報管理部１１２は、適用済みパッチリストテーブル２１２からクライアント１１５のホスト名およびパッチ名を取得する。また、取得したパッチ名から、管理対象パッチリストテーブル２０９を参照し、このパッチの影響ソフトウェアを取得する。そして、インストールソフトウェア情報テーブル２１１から、取得した影響ソフトウェア名とクライアント１１５のホスト名を元に、該当のクライアント１１５に影響ソフトウェアがインストールされているか否かの判断を行う（ステップＳ１００５）。
つまり、パッチを未インストールのクライアント１１５について、このパッチはクライアント１１５にとって必要にもかかわらずインストールされていないのか、それとも、このパッチは不要なのでインストールされていないのかを判断する。

ここで、該当のクライアント１１５に影響ソフトウェアがインストールされていない場合には（ステップＳ１００５のＮｏ）、脆弱性の影響を受けないので、インベントリ情報管理部１１２は、適用済みパッチリストテーブル２１２の該当クライアント１１５の該当パッチのレコードを「未インストール」から「対象外」に変更する（ステップＳ１００６）。この後、ステップＳ１００４に戻り、適用済みパッチリストテーブル２１２においてパッチが未インストールとなっているクライアント１１５ごとにステップＳ１００５以降の処理を繰り返す。

このようにすることで、セキュリティ管理サーバ１０４は、各クライアント１１５におけるパッチの適用状態を最新のものに書き換えることができる。

前記した実施の形態によれば、Ｗｅｂサーバ１０１で新たなセキュリティ情報が公開されたとき、セキュリティ管理サーバ１０４が速やかにルータ１１３のポート開閉制御をするので、クライアント１１５のセキュリティ対策を迅速にすることができる。また、システム管理者や使用ユーザが日々インターネットを介しセキュリティ情報をチェックする負担を軽減することができる。さらに、セキュリティ管理サーバ１０４は、公開されたセキュリティ情報（パッチ情報）の内容を解析し、クライアント１１５にとって脆弱となるポートを開閉制御するので、クライアント１１５が行う通信への影響を最小限にとどめつつ、ウィルスや不正アクセスの防御が可能となる。

また、システム管理者は、深刻度レベル対策設定リスト１０８およびセキュリティキーワードリスト１０７（図４参照）に、公開されたセキュリティ情報において深刻度がどのレベルならセキュリティ対策を行うか、また、どのキーワードが含まれていたらセキュリティ対策を行うかを設定できるので、柔軟なセキュリティポリシを設定可能である。

本実施の形態に係るセキュリティ管理サーバ１０４は、前記したような処理を実行させるセキュリティ管理用プログラムによって実現することができ、そのプログラムをコンピュータによる読み取り可能な記憶媒体（ＣＤ−ＲＯＭ等）に記憶して提供することが可能である。また、そのプログラムを、ネットワークを通して提供することも可能である。

本発明の第１の実施の形態のセキュリティ管理サーバを含むシステムの構成を示すブロック図である。 図１の各構成要素の動作を説明する図である。 図１のＷｅｂサーバで公開されたパッチ情報ページの取得方法を説明する図である。 図３で取得したパッチ情報ページの解析方法を説明する図である。 図２の管理対象クライアントテーブル、インストールソフトウェア情報テーブルおよび適用済みパッチテーブルを例示した図である。 図２の管理対象ルータテーブルおよびポート状態管理テーブルを例示した図である。 図１のページ取得解析部のパッチ情報ページの取得、解析手順を示すフローチャートである。 図１のページ取得解析部のパッチ情報ページの取得、解析手順を示すフローチャートである。 図１のページ取得解析部のパッチ情報ページの取得、解析手順を示すフローチャートである。 図１のルータのポート閉鎖の流れを示すフローチャートである。 図１のルータのポート開放の流れを示すフローチャートである。 図１のインベントリ情報管理部の動作を示すフローチャートである。

符号の説明

１００ 記憶部
１０１ Ｗｅｂサーバ
１０３ パッチ情報ページ（セキュリティ情報）
１０４ セキュリティ管理サーバ（セキュリティ管理装置）
１０５ ページ取得解析部
１０７ セキュリティキーワードリスト
１０９ ポート開閉判定部
１１０ インターネット（ネットワーク）
１１１ ポート開閉制御部
１１２ インベントリ情報管理部
１１３ ルータ
１１４ データベース
１１５ クライアント

Claims (3)

1. ネットワーク経由で取得した最新のパッチ情報であるセキュリティ情報に基づき、クライアントに接続されるルータのＴＣＰ／ＩＰポート開閉制御を行い、セキュリティ管理を行うセキュリティ管理装置を用いたセキュリティ管理方法であって、
   前記セキュリティ管理装置が、
   前記各クライアントから、前記各クライアントにインストールされたソフトウェアおよび適用されているパッチ名を含むインベントリ情報を取得し、データベースに格納するステップと、
   前記ネットワーク経由で、前記セキュリティ情報を公開するＷｅｂ装置から最新のセキュリティ情報のページを取得するステップと、
   前回取得したセキュリティ情報のページと、今回取得したセキュリティ情報のページとの差分情報から、前記今回取得したセキュリティ情報のページにおいて新たに追加されたセキュリティ情報を抽出することで、前記今回取得したセキュリティ情報を解析するステップと、
   所定のキーワードおよびこのキーワードにより示されるアプリケーションに関連するＴＣＰ／ＩＰポートを示すセキュリティキーワードリストを参照して、このセキュリティキーワードリストに示されたキーワードが前記解析したセキュリティ情報に含まれているか否かを判定するステップと、
   このセキュリティキーワードリストに示されたキーワードが前記解析したセキュリティ情報に含まれていると判断したとき、前記解析したセキュリティ情報を前記データベースに格納するステップと、
   前記データベースに格納された各クライアントの前記インベントリ情報および前記解析したセキュリティ情報を参照して、前記解析したセキュリティ情報に示される影響ソフトウェアがインストールされたクライアントであって、前記影響ソフトウェアのパッチが未適用のクライアントを、前記セキュリティ情報に基づくセキュリティ対策が必要なクライアントと判定するステップと、
   前記セキュリティ対策が必要なクライアントが有ったとき、前記データベースに格納される前記クライアントのＩＰアドレスおよびルータのＩＰアドレスを参照して、前記セキュリティ対策が必要なクライアントに接続するルータを特定するステップと、
   前記特定したルータに対し、前記解析したセキュリティ情報に含まれているパッチに関連するＴＣＰ／ＩＰポートを閉鎖する制御信号を出力するステップと、
   を実行することを特徴とするセキュリティ管理方法。
2. ネットワーク経由で取得した最新のパッチ情報であるセキュリティ情報に基づき、クライアントに接続されるルータのＴＣＰ／ＩＰポート開閉制御を行い、セキュリティ管理を行うセキュリティ管理装置であって、
   前記各クライアントにインストールされているソフトウェア名および適用されているパッチ名を含むインベントリ情報、前記セキュリティ情報および前記ルータの識別情報を格納するデータベースと、所定のキーワードおよびこのキーワードにより示されるアプリケーションに関連するＴＣＰ／ＩＰポートを示すセキュリティキーワードリストとを格納する記憶部と、
   前記各クライアントから、前記各クライアントのインベントリ情報を取得し、前記データベースに格納するインベントリ情報管理部と、
   前記ネットワーク経由で、前記最新のセキュリティ情報を取得するとともに、前回取得したセキュリティ情報のページと、今回取得したセキュリティ情報のページとの差分情報から、前記今回取得したセキュリティ情報のページにおいて新たに追加されたセキュリティ情報を抽出することで、前記今回取得したセキュリティ情報を解析し、この解析したセキュリティ情報に前記セキュリティキーワードリストに示されたキーワードが有るとき、この解析したセキュリティ情報を前記データベースに格納するページ取得解析部と、
   前記データベースに格納された各クライアントの前記インベントリ情報および前記解析したセキュリティ情報を参照して、前記解析したセキュリティ情報に示される影響ソフトウェアがインストールされたクライアントであって、前記影響ソフトウェアのパッチが未適用のクライアントを、前記セキュリティ情報に基づくセキュリティ対策が必要なクライアントと判定するポート開閉判定部と、
   前記セキュリティ対策が必要なクライアントが有ったとき、前記データベースに格納される前記クライアントのＩＰアドレスおよびルータのＩＰアドレスを参照して特定した前記セキュリティ対策が必要なクライアントに接続するルータに対し、前記解析したセキュリティ情報に含まれているパッチに関連するＴＣＰ／ＩＰポートを閉鎖する制御信号を出力するポート開閉制御部と、
   を備えることを特徴とするセキュリティ管理装置。
3. 請求項１に記載のセキュリティ管理方法をコンピュータに実行させるためのセキュリティ管理プログラム。

Images