JP7104574B2 - Computer asset management system and computer asset management method - Google Patents
Computer asset management system and computer asset management method Download PDFInfo
- Publication number
- JP7104574B2 JP7104574B2 JP2018123623A JP2018123623A JP7104574B2 JP 7104574 B2 JP7104574 B2 JP 7104574B2 JP 2018123623 A JP2018123623 A JP 2018123623A JP 2018123623 A JP2018123623 A JP 2018123623A JP 7104574 B2 JP7104574 B2 JP 7104574B2
- Authority
- JP
- Japan
- Prior art keywords
- asset
- information
- computer
- asset information
- agent
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Active
Links
Images
Landscapes
- Stored Programmes (AREA)
Description
本発明はコンピュータ資産管理システムおよびコンピュータ資産管理方法に関し、例えばコンピュータの資産情報を管理するコンピュータ資産管理システムに適用して好適なものである。 The present invention relates to a computer asset management system and a computer asset management method, and is suitable for application to, for example, a computer asset management system that manages computer asset information.
近年、産業制御システム、産業制御システムに関連するＩｏＴ（Internet of Things）システム等（以下、産業関連システムと称する。）に対するサイバーセキュリティ（以下、セキュリティと称する。）の脅威が深刻となっている。産業関連システムでは、セキュリティの侵害を受けた後の被害が現実世界に直接影響を与えるケースもあり、セキュリティの脅威が大きな脅威の１つとなっている。例えば、ＩｏＴシステムでは、膨大な数の機器がインターネットに接続され、当該機器がサイバー攻撃によって乗っ取られた場合（ボット化された場合）、当該機器が大規模なサイバー攻撃に悪用されるリスクもある。そのため、産業関連システムのセキュリティ対策が喫緊の課題となっている。 In recent years, the threat of cyber security (hereinafter referred to as security) to industrial control systems, IoT (Internet of Things) systems related to industrial control systems (hereinafter referred to as industrial related systems), etc. has become serious. In industry-related systems, there are cases where damage after a security breach has a direct impact on the real world, and security threats are one of the major threats. For example, in an IoT system, if a huge number of devices are connected to the Internet and the devices are hijacked (botted) by a cyber attack, there is a risk that the devices will be misused in a large-scale cyber attack. .. Therefore, security measures for industry-related systems have become an urgent issue.
サイバー攻撃は、産業関連システムの制御装置、産業関連システムを構成するＩｏＴ機器など（以下、機器と称する。）の仕様、不十分な設定情報（脆弱性）等を突いて成立するものである。よって、最も効果的な対策は、対象機器がどのような構成となっているか、対象機器にインストールされたプログラムがどのようなものであるかを把握することである。そのため、産業関連システムでは、対象機器にインストールされているプログラム、アプリケーション等の設定情報を監視し、脆弱性を含むアプリケーション、設定情報、システムの構成情報（コンピュータの資産情報）を管理することが求められる。 A cyber attack is established by exploiting the specifications of the control device of an industry-related system, the IoT device constituting the industry-related system (hereinafter referred to as a device), insufficient setting information (vulnerability), and the like. Therefore, the most effective countermeasure is to understand what kind of configuration the target device is and what kind of program is installed in the target device. Therefore, in industry-related systems, it is required to monitor the setting information of programs, applications, etc. installed in the target device, and manage the applications including vulnerabilities, setting information, and system configuration information (computer asset information). Be done.
コンピュータの資産情報を把握する手段として、様々な方式が提案されている。 Various methods have been proposed as a means for grasping computer asset information.
特許文献１に記載の方法は、コンピュータの資産情報を収集する１つの方法である。特許文献１に記載の方法は、コンピュータネットワークに接続された各コンポーネントの資産情報を自動で発見して収集し、収集した情報を元にシステム内部の資産情報をマッピングするものである。特許文献１に記載のシステムは、各種コンピュータネットワークにインストールされた資産情報収集プログラム（資産管理クライアント）から資産情報をリモートで実行することができる。
The method described in
特許文献２に記載の方法は、コンピュータの資産管理の方法としてコンピュータの資産情報を管理する識別情報として暗号学的ハッシュ関数により生成した値（以下、ハッシュと称する。）を用いて資産情報を管理する方法である。特許文献２に記載のコンピュータは、ハッシュを検証することで、コンピュータの資産情報が確実に意図したものであるかを検証することができる。
The method described in
産業関連システムの各機器では、計算資源が限られていることが多い。また、ネットワークに接続された機器数が膨大になる場合、無線通信などで通信帯域が限られることがある。よって、産業関連システムにとって非機能要件であることが多い（本来の処理でない）コンピュータの資産情報の管理にかかる処理は、最低限にすることが望ましい。 Computational resources are often limited in each device of industry-related systems. In addition, when the number of devices connected to the network becomes enormous, the communication band may be limited by wireless communication or the like. Therefore, it is desirable to minimize the processing related to the management of computer asset information (which is not the original processing), which is often a non-functional requirement for industry-related systems.
特許文献１に記載のシステムでは、コンピュータの処理リソースが大きい環境を対象としているので、処理リソースが限られた機器では、必要な処理量が多すぎて処理しきれない可能性がある。また、特許文献２に記載のコンピュータでは、ハッシュを用いてコンピュータの資産情報を管理することで、資産情報の識別処理を効率化できるものの、資産情報を更新したタイミングを把握する手段がなく、定期的な更新有無の問い合わせが必要となる。つまり、更新の有無を問い合わせる処理についても通信帯域、処理リソースを圧迫する要素となり得るため、本来必要とする処理が阻害されるおそれがある。
Since the system described in
本発明は以上の点を考慮してなされたもので、資産情報を適切に管理することができるコンピュータ資産管理システムを提案しようとするものである。 The present invention has been made in consideration of the above points, and an object of the present invention is to propose a computer asset management system capable of appropriately managing asset information.
かかる課題を解決するため本発明においては、コンピュータの資産情報を管理するコンピュータ資産管理システムであって、マスタとエージェントとを備え、前記エージェントは、監視対象とするコンピュータで発生する所定のイベントを監視し、発生したイベントによって追加または変更された可能性がある資産情報を識別可能な識別情報を前記マスタに送信するようにした。 In order to solve such a problem, the present invention is a computer asset management system that manages computer asset information, which includes a master and an agent, and the agent monitors a predetermined event that occurs in a computer to be monitored. Then, the identification information that can identify the asset information that may have been added or changed by the event that occurred is transmitted to the master.
上記構成では、例えば、エージェントは、資産情報が追加または変更されたか否かを確認する処理を行うことなく、追加または変更された可能性がある資産情報を識別可能な識別情報を送信するので、エージェントの処理リソースの負荷を低減することができる。また、例えば、エージェントは、イベントが発生したときに、追加または変更された可能性がある資産情報を識別可能な識別情報を送信するので、ネットワークリソースにかかる負荷を低減することができる。 In the above configuration, for example, the agent sends identification information that can identify the asset information that may have been added or changed without performing a process of confirming whether or not the asset information has been added or changed. The load on the processing resources of the agent can be reduced. In addition, for example, when an event occurs, the agent sends identification information that can identify asset information that may have been added or changed, so that the load on the network resource can be reduced.
本発明によれば、資産情報を適切に管理することができる。 According to the present invention, asset information can be appropriately managed.
以下図面について、本発明の一実施の形態を詳述する。 Hereinafter, one embodiment of the present invention will be described in detail with reference to the drawings.
本実施の形態では、産業関連システムの各機器は、用途が限定的であり、かつ、資産情報の更新頻度が限定的であることに着目し、機器での計算処理および機器から転送するデータ量を最小にしつつ資産情報を管理する構成について主に説明する。 In the present embodiment, each device of the industry-related system has a limited use and a limited frequency of updating asset information, and the calculation processing in the device and the amount of data transferred from the device are used. The configuration for managing asset information while minimizing the above will be mainly explained.
（１）第１の実施の形態
図１において、１００は全体として第１の実施の形態によるコンピュータ資産管理システムを示す。コンピュータ資産管理システム１００は、エージェント１１０とマスタ１２０とを含んで構成される。
(1) First Embodiment In FIG. 1, 100 indicates a computer asset management system according to the first embodiment as a whole. The computer
エージェント１１０は、産業関連システムの制御装置、産業関連システムを構成するＩｏＴ機器などの機器である。エージェント１１０は、図示は省略するＣＰＵ（Central Processing Unit）、ＲＡＭ（Random Access Memory）、ＲＯＭ（Read Only Memory）、ＨＤＤ（Hard Disk Drive）、通信部などを含んで構成される。
The
エージェント１１０は、各種の情報（イベント資産対応データ１１１、管理対象資産データ１１２など）をＲＡＭ、ＨＤＤなどの記憶部に記憶する。
The
エージェント１１０の機能（ＯＳ（Operating System）１１３、プロセス１１４、イベント監視部１１５、ハッシュ計算部１１６、通信処理部１１７など）は、例えば、ＣＰＵがＲＯＭに格納されたプログラムをＲＡＭに読み出して実行すること（ソフトウェア）により実現されてもよいし、専用の回路などのハードウェアにより実現されてもよいし、ソフトウェアとハードウェアとが組み合わされて実現されてもよい。また、エージェント１１０の機能の一部は、エージェント１１０と通信可能な他のコンピュータにより実現されてもよい。
The functions of the agent 110 (OS (Operating System) 113,
イベント資産対応データ１１１には、イベントと資産情報との対応関係を示すデータが含まれる。なお、イベント資産対応データ１１１の具体例については、図２を用いて後述する。
The event
イベントは、ＯＳ１１３で処理可能なイベント、ＯＳ１１３からメモリ領域などの割り当てを受けて処理を実行するプロセス１１４で処理可能なイベント、ＯＳ１１３に依存しないイベント（例えば、特定の入出力ポートのデータ通信の生成有無など）等である。イベントは、任意のタイミングで発生する。例えば、イベントは、スケジューリングされたタイミングで発生する。また、例えば、イベントは、例外的なタイミングで発生する。
Events are events that can be processed by
資産（資産情報）は、管理対象の各種のデータ（所定のソフトウェア、所定のファイル、特定アドレスのデータ、特定領域のデータなど）である。資産情報は、メモリ上にマップされるもの（例えば、ＲＡＭ上にロードされているプログラム）であってもよいし、ディスク上にあるもの（例えば、ＨＤＤに格納されているファイル）であってもよい。なお、資産情報は、データ単位で管理される。 Assets (asset information) are various types of data to be managed (predetermined software, predetermined files, specific address data, specific area data, etc.). The asset information may be the one that is mapped in the memory (for example, the program loaded in the RAM) or the one that is on the disk (for example, the file stored in the HDD). good. Asset information is managed in data units.
例えば、資産情報がソフトウェアである場合、当該ソフトウェア（資産情報）は、当該ソフトウェアのバージョン情報、ファイル名、特定アドレスのデータといった単位で管理される。より具体的には、管理対象の資産情報がソフトウェアである場合、資産情報は、ソフトウェアのバージョン（バージョン情報）を判別可能なパッケージ管理ソフトウェア（例えば、ＯＳ１１３で、各種のソフトウェアの導入、削除、ソフトウェア同士の依存関係、ソフトウェアとライブラリとの依存関係を管理するソフトウェア）のデータ、ソフトウェア内の特定バイナリ領域（ソフトウェアを実行するオブジェクトファイルの一部領域）のデータなどが該当する。 For example, when the asset information is software, the software (asset information) is managed in units such as version information of the software, a file name, and data of a specific address. More specifically, when the asset information to be managed is software, the asset information is package management software that can determine the software version (version information) (for example, OS113, installation, deletion, software of various software). This includes data on dependencies between software, software that manages dependencies between software and libraries), and data on a specific binary area (a part of the object file that executes software) in the software.
また、管理対象の資産情報がファイルである場合、資産情報は、例えば、ファイル全体またはファイルの一部（ファイルのヘッダ領域、ファイル内の特定領域）のデータ（バイナリデータ）である。 When the asset information to be managed is a file, the asset information is, for example, data (binary data) of the entire file or a part of the file (header area of the file, specific area in the file).
また、管理対象の資産情報が特定アドレスである場合、資産情報は、例えば、特定アドレスを指すデータ、特定アドレスに格納されているアドレス情報（ポインタ）が差すデータ、特定アドレスを先頭アドレスとするデータ領域のデータ、特定アドレスを一部として含むデータ領域のデータである。 When the asset information to be managed is a specific address, the asset information is, for example, data pointing to a specific address, data pointed to by address information (pointer) stored in the specific address, or data having the specific address as the start address. Area data, data area data that includes a specific address as part.
管理対象資産データ１１２には、管理対象の各種のデータである資産情報（実データ）が含まれる。
The managed
イベント監視部１１５は、イベント資産対応データ１１１に規定されているイベントを監視し、イベントの発生を検知する。
The
ハッシュ計算部１１６は、イベント監視部１１５によりイベントが検知された場合、イベント資産対応データ１１１に基づいて、当該イベントに対応する資産情報を特定する。続いて、ハッシュ計算部１１６は、特定した資産情報を管理対象資産データ１１２から取得する。続いて、ハッシュ計算部１１６は、取得した資産情報のハッシュ（ハッシュ値）を計算（算出）し、計算したハッシュを通信処理部１１７に通知する。このように、ハッシュ計算部１１６が資産情報のハッシュを計算することで、通信処理部１１７がマスタ１２０に送信するデータ量を削減することができる。
When an event is detected by the
通信処理部１１７は、ハッシュ計算部１１６により通知されたハッシュをマスタ１２０に送信する。
The
上述したように、エージェント１１０は、ＯＳ１１３等が生成するイベントを通じて管理対象の資産情報の更新の可能性を監視し、所定のイベントが発生した場合、更新された可能性のある資産情報のハッシュをマスタ１２０に送信する。
As described above, the
マスタ１２０は、エージェント１１０が管理する資産情報を一元管理する。マスタ１２０は、１以上のエージェント１１０の資産情報を管理するマシンである。マスタ１２０は、コンピュータなどの物理的なマシンであってもよいし、ＶＭ（Virtual Machine）のような仮想化されたソフトウェアで構成されたマシンであってもよい。以下では、説明の便宜上、マスタ１２０がコンピュータである場合を例に挙げて説明する。
The
マスタ１２０は、図示は省略するＣＰＵ、ＲＡＭ、ＲＯＭ、ＨＤＤ、通信部などを含んで構成される。マスタ１２０は、各種の情報（管理対象資産データ１２１など）をＲＡＭ、ＨＤＤなどの記憶部に記憶する。
The
管理対象資産データ１２１には、資産情報の資産名と、当該資産情報が更新されたことを識別可能な識別情報との対応関係を示すデータが含まれる。なお、管理対象資産データ１１２の具体例については、図３を用いて後述する。
The managed
識別情報は、何らかの処理によって資産情報が変化することが明確であるものとする。識別情報は、資産情報の全体または一部のハッシュ、資産情報の全体、資産情報の一部（資産情報における特定領域のデータパターン）、資産情報の名称などのエイリアス情報、資産情報を特定可能な情報が含まれるヘッダ情報の全体または一部などである。エージェント１１０は、識別情報として、上述した情報（資産情報が更新されたことを識別可能な情報）を用いることができる。
As for the identification information, it is clear that the asset information is changed by some processing. The identification information can identify the entire or partial hash of the asset information, the entire asset information, a part of the asset information (data pattern of a specific area in the asset information), alias information such as the name of the asset information, and the asset information. All or part of the header information that contains the information. The
本実施の形態では、管理対象資産データ１２１には、エージェント１１０の管理対象となる資産情報のハッシュが事前に格納される。資産情報のハッシュは、図３に示すような資産リストとして機器単位で保持される。なお、図１～図５では、識別情報として主にハッシュを例に挙げて説明するが、識別情報は、ハッシュに限定されるものではない。識別情報は、上述したように、資産情報が更新されたことを識別可能な情報を適宜に採用できる。なお、ハッシュを計算しない場合、ハッシュの計算にかかる処理リソースの負荷が低減される。
In the present embodiment, the managed
マスタ１２０の機能（通信処理部１２２、ハッシュ比較部１２３、更新データ取得部１２４など）は、例えば、ＣＰＵがＲＯＭに格納されたプログラムをＲＡＭに読み出して実行すること（ソフトウェア）により実現されてもよいし、専用の回路などのハードウェアにより実現されてもよいし、ソフトウェアとハードウェアとが組み合わされて実現されてもよい。また、マスタ１２０の機能の一部は、マスタ１２０と通信可能な他のコンピュータにより実現されてもよい。
Even if the functions of the master 120 (
通信処理部１２２は、通信処理部１１７により送信されたハッシュを受信し、受信したハッシュをハッシュ比較部１２３に通知する。
The
ハッシュ比較部１２３は、通信処理部１２２により送信されたハッシュと、管理対象資産データ１２１のハッシュとを比較し、資産情報の更新の有無を検知する。ハッシュ比較部１２３は、両者が不一致であると判定した場合（資産情報が更新されたと判定した場合）、ハッシュが不一致である旨を更新データ取得部１２４に通知する。このように、ハッシュ比較部１２３が比較することで、ユーザが比較する場合と比べて、より迅速かつ正確に資産情報の更新の有無が検知される。
The
更新データ取得部１２４は、ハッシュ比較部１２３からハッシュが不一致である旨の通知を受け取ると、管理対象資産データ１２１を更新するためのデータを取得し、取得したデータに基づいて管理対象資産データ１２１を更新する。
When the update
図２は、イベント資産対応データ１１１の一例（イベント資産対応テーブル２００）を示す図である。イベント資産対応テーブル２００には、イベントと資産との情報が対応付けられて格納されている。イベント資産対応テーブル２００では、特定の実行ファイル（例えば、Launch update.bin）がロードされた場合、更新され得る資産情報（例えば、update.list）の関係が示されている。 FIG. 2 is a diagram showing an example of event asset correspondence data 111 (event asset correspondence table 200). In the event asset correspondence table 200, information on events and assets is stored in association with each other. The event asset correspondence table 200 shows the relationship of asset information (for example, update.list) that can be updated when a specific executable file (for example, Launch update.bin) is loaded.
図３は、管理対象資産データ１２１の一例（管理対象資産テーブル３００）を示す図である。管理対象資産テーブル３００には、資産名とハッシュとが対応付けられて格納されている。管理対象資産テーブル３００では、「機器Ａ」における管理対象の資産情報のハッシュのリストが示されている。 FIG. 3 is a diagram showing an example of managed asset data 121 (managed asset table 300). In the managed asset table 300, the asset name and the hash are stored in association with each other. The managed asset table 300 shows a list of hashes of managed asset information in "device A".
次に、コンピュータ資産管理システム１００における処理について説明する。
Next, the processing in the computer
図４は、エージェント１１０が実行する資産監視処理に係るフローチャートの一例を示す図である。
FIG. 4 is a diagram showing an example of a flowchart relating to the asset monitoring process executed by the
ＯＳ１１３等によるスケジューリング処理、または、例外処理によってイベント監視部１１５が起動される。イベント監視部１１５は、起動後、イベント資産対応データ１１１に登録されたイベントに関連する情報を収集し、登録されたイベントの発生有無を監視する（ステップＳ４００）。
The
イベント監視部１１５は、イベント資産対応データ１１１に登録された何らかのイベント（特定イベント）の発生を検知したか否かを判定する（ステップＳ４１０）。イベント監視部１１５は、検知したと判定した場合、ステップＳ４２０に処理を移し、検知していないと判定した場合、資産監視処理を終了する。
The
イベントの監視方法（イベントの検知）については、限定されない。例えば、イベント監視部１１５は、ＯＳ１１３が生成するコマンドログ、処理結果のログなどの各種のログをチェックしてイベントの発生を検知してもよい。また、例えば、イベント監視部１１５は、割り込み処理をチェックしてイベントの発生を検知してもよい。また、例えば、イベント監視部１１５は、ファイルのタイムスタンプをチェックしてイベントの発生を検知してもよい。また、例えば、イベント監視部１１５は、エージェント１１０が外部と行う通信をチェックし、イベントの発生を検知してもよい。
The event monitoring method (event detection) is not limited. For example, the
また、例えば、イベント監視部１１５は、資産情報（バイナリファイル）の変更をチェックしてイベントの発生を検知してもよいし、資産情報に間接的に関係がある情報（例えば、資産情報を記載したリストファイル）の変更をチェックしてイベントの発生を検知してもよい。この場合、イベント監視部１１５は、例えば、ファイル（バイナリファイルおよび／またはリストファイル）のヘッダ情報の一部または全て、ファイルのハッシュ、ファイルのデータの一部または全てをチェックしてイベントの発生を検知してもよい。
Further, for example, the
ステップＳ４２０では、イベント監視部１１５は、イベント資産対応データ１１１を参照し、検知したイベント（検知イベント）に対応する資産情報を取得する。
In step S420, the
続いて、イベント監視部１１５は、検知したイベントに対応する資産情報の更新有無を判定する（ステップＳ４３０）。イベント監視部１１５は、更新があると判定した場合、ステップＳ４４０に処理を移し、更新がないと判定した場合、資産監視処理を終了する。なお、イベント監視部１１５は、資産情報が実際に変更されたか否かの確認は行わない。
Subsequently, the
ステップＳ４４０では、ハッシュ計算部１１６は、資産情報のハッシュを計算（生成）する。なお、前述の通り、ハッシュ計算部１１６は、識別情報として、資産情報の全体または一部のハッシュ、資産情報（バイナリデータ）の全部または一部などを生成してもよい。
In step S440, the
なお、ハッシュ計算部１１６は、ハッシュの生成時に、マスタ１２０側の照合処理の理由で送信するデータを正規化する処理（例えば、管理対象資産テーブル３００に記載の資産の順にハッシュを整列する処理）を実行することもある。付言するならば、エージェント１１０側とマスタ１２０側との双方で、更新された資産情報をハッシュによって識別できる手段であれば、具体的な内容は問わない。
The
ステップＳ４５０では、通信処理部１１７は、生成されたハッシュをマスタ１２０に送信し、資産監視処理を終了する。
In step S450, the
かかる処理では、エージェント１１０は、資産情報が追加または変更されたか否かを確認する処理を行うことなく、追加または変更された可能性がある資産情報のハッシュを送信するので、エージェント１１０の処理リソースの負荷を低減することができる。また、エージェント１１０は、イベントが発生したときに、追加または変更された可能性がある資産情報のハッシュを送信するので、ネットワークリソースにかかる負荷を低減することができる。
In such a process, the
ここで、通信処理部１１７は、マスタ１２０にハッシュを送信する場合、１つの通信フレームに対して１つ以上のハッシュを付与して送信する。なお、本実施の形態では、レイヤー２の通信で使用される通信フレームを例に挙げて説明するが、これに限られるものではない。フォーマットは、レイヤー３の通信で使用される通信パケットであってもよいし、レイヤー４の通信で使用される通信セグメントであってもよい。このように、通信処理部１１７が１つの通信フレームで複数のハッシュを付与して送信し得るので、送信回数が削減され、送信に係る処理リソースの負荷を低減することができる。
Here, when transmitting a hash to the
図５は、通信フレームのフォーマットの一例（フォーマット５００）を示す図である。フォーマット５００には、通信のヘッダ、エージェント１１０を識別可能なエージェント識別情報、１つ以上のハッシュ、およびＦＣＳ（Frame Check Sequence）が含まれる。なお、ＦＣＳは、ＭＡＣ（Message Authentication Code）の場合もある。
FIG. 5 is a diagram showing an example of a communication frame format (format 500). The
通信処理部１１７は、エージェント１１０のエージェント識別情報をヘッダの後段の領域に格納し、続けて１つ以上のハッシュをエージェント識別情報の後段の領域に格納する。
The
マスタ１２０へのハッシュの送信タイミングとしては、イベントの発生のタイミング、一定周期、ハッシュの数が所定の数を超える場合などのタイミングが挙げられる。また、送信タイミングは、システム構成、エージェント１１０の機能を実現する機器の特徴、スペックなどを考慮したうえで選択される。何れが選択された場合であっても、特定のイベントが発生した場合、資産情報の更新有無の確認処理が実行され、マスタ１２０に送信されるハッシュは、特定のイベントと関連付けされたハッシュに限定される。
Examples of the hash transmission timing to the
ここで、管理対象の機器の多くは、用途が限定されており、管理対象となる資産情報についても限定的であり、かつ、資産情報の更新の頻度も多くない。故に、イベントが発生したタイミングに限定して必要な識別情報を送信することで、資産情報の更新有無を確認するために必要な処理量を大幅に削減可能となる。その結果、機器にとって効果的な資産情報の管理が可能となる。 Here, most of the devices to be managed have limited uses, the asset information to be managed is also limited, and the frequency of updating the asset information is not high. Therefore, by transmitting the necessary identification information only at the timing when the event occurs, it is possible to significantly reduce the amount of processing required to confirm whether or not the asset information has been updated. As a result, it becomes possible to manage asset information effectively for the device.
なお、エージェント１１０のハッシュを取得して管理対象資産データ１２１に格納するタイミングは、管理対象の機器のシステム導入前でも導入後でもよい。例えば、機器の開発プロセスにおいて資産情報のハッシュが取得されてもよいし、システム導入の直前または直後に専用のプログラムによって資産情報のハッシュが取得されてもよい。
The timing of acquiring the hash of the
以上、単一の資産情報の管理を例に挙げて説明したが、管理は、単一の資産情報に限定されるものではない。コンピュータ資産管理システム１００は、複数の資産情報をグループとして管理することができる。例えば、コンピュータ資産管理システム１００は、複数の資産情報を管理する管理グループ、スナップショット（あるタイミングにおける資産情報一覧表）などを１つの単位とする資産グループデータを用いて資産情報を管理することも可能である。
Although the management of a single asset information has been described above as an example, the management is not limited to a single asset information. The computer
図６は、資産グループデータの一例（資産グループテーブル６００）を示す図である。 FIG. 6 is a diagram showing an example of asset group data (asset group table 600).
資産グループテーブル６００には、資産グループと資産との情報が対応付けられて格納されている。例えば、「アプリＡ設定情報」という資産グループの定義によれば、エージェント１１０は、当該アプリＡに該当する設定ファイル「ａｐｐ１．ｃｏｎｆ、ａｐｐ２．ｃｏｎｆ」を一纏めにして管理可能である。エージェント１１０は、このように定義された資産グループについては、イベント資産対応データ１１１において資産グループ単位のイベントとして紐付けることが可能となる。例えば、資産グループを単位として資産グループとイベントとが紐付けされている場合、エージェント１１０は、あるイベントが発生したとき、当該イベントに紐づけられている資産グループに属している全ての資産情報を更新対象とすることができる。
In the asset group table 600, information on the asset group and the asset is stored in association with each other. For example, according to the definition of the asset group "application A setting information", the
また、コンピュータ資産管理システム１００は、資産グループに対して、資産グループ単位で識別情報を用いてもよい。この場合、エージェント１１０（通信処理部１１７）は、資産グループの識別情報をマスタ１２０に送信する。
Further, the computer
図７は、資産グループの識別情報の一例を示す図である。図７では、資産情報の全体または一部のハッシュ、資産情報の全体、資産情報の一部を用いて資産グループの識別情報をエージェント１１０が生成する例を示すが、これに限られるものではない。例えば、エージェント１１０は、資産情報の名称などのエイリアス情報、資産情報を特定可能な情報が含まれるヘッダ情報の全体または一部などを用いて資産グループの識別情報を生成してもよい。
FIG. 7 is a diagram showing an example of the identification information of the asset group. FIG. 7 shows an example in which the
図７には、複数の資産グループを一意に識別する資産グループの識別情報の例が示されている。例えば、図７（Ａ）に示すように、ハッシュ計算部１１６は、所定の資産グループ７００に属する資産情報７１０（全部の資産情報または一部の資産情報の組み合わせ）のハッシュ７２０を識別情報７３０として計算してもよい。
FIG. 7 shows an example of identification information of an asset group that uniquely identifies a plurality of asset groups. For example, as shown in FIG. 7A, the
また、例えば、図７（Ｂ）に示すように、ハッシュ計算部１１６は、所定の資産グループ７４０に属する資産情報（全部の資産情報または一部の資産情報）の一部の組み合わせ７５０を識別情報７６０として用いてもよい。
Further, for example, as shown in FIG. 7B, the
このように、コンピュータ資産管理システム１００は、資産グループ単位で識別情報を生成することで、資産グループ単位で資産情報を管理できるようになる。
In this way, the computer
ここで、機器を構成するソフトウェア資産は、情報システムと比べると多様性が少なく、内部の構成においては、共通なものとして扱われるものも多い（例えば、ＯＳ１１３、標準アプリケーションの構成においては共通のものを使い、センシング、アクチュエーションのパラメタ情報を変更して扱うなど）。そのため、コンピュータ資産管理システム１００は、複数の資産情報を纏めて１つの単位として管理することで、効率的な資産情報の管理を実現することができる。
Here, the software assets that make up the device are less diverse than the information system, and many are treated as common in the internal configuration (for example, OS113 and common in the standard application configuration). Use to change and handle sensing and actuation parameter information, etc.). Therefore, the computer
以上に示した方法により、マスタ１２０は、エージェント１１０から受信した識別情報と、事前に共有された識別情報とを比較し、変更がある場合、資産情報の更新有りとして検知する。また、マスタ１２０は、更新データ取得部１２４にて管理対象資産データ１２１の更新内容（例えば、差分情報）を取得し、管理対象資産データ１２１を更新する。
By the method shown above, the
以下、更新内容の取得方法について説明する。 The method of acquiring the updated contents will be described below.
更新内容を取得する方法は、次の３つに大別される。
（方法１）ネットワークを経由して機器（エージェント１１０）から更新内容をマスタ１２０が取得する方法
（方法２）ユーザが、更新された機器に直接アクセスし、内容を検証し、更新内容を取得する方法
（方法３）コンピュータ資産管理システム１００で事前に管理する識別情報と資産情報とのマッピング情報をマスタ１２０が活用し、更新内容を取得する方法
The method of acquiring the updated contents is roughly classified into the following three.
(Method 1) A method in which the
（方法１）
（方法１）は、ネットワークリソースおよび機器のコンピュータリソースに余裕がある場合に適用可能な手法である。これは、更新された識別情報を直接ネットワーク経由で更新する方法である。この方法は、更新された識別情報を事前に共有する必要がないまま管理が可能となる方法である。なお、この方法は、ネットワークリソースおよび機器のコンピュータリソースが限られた環境下では、不十分であることが多い。特に、この方法は、管理対象の資産情報のデータ量が大きくなる場合、問題が顕著に表れ、限られたリソース下においては、不十分なケースもある。
(Method 1)
(Method 1) is a method applicable when the network resources and the computer resources of the device are available. This is a method of updating the updated identification information directly via the network. This method is a method that enables management without the need to share the updated identification information in advance. Note that this method is often inadequate in an environment where network resources and computer resources of equipment are limited. In particular, this method causes a remarkable problem when the amount of data of the asset information to be managed becomes large, and there are cases where it is insufficient under limited resources.
（方法２）
（方法２）は、ユーザが機器に直接アクセスして更新内容をネットワークを介さずに機器から取得する手法である。この方法は、資産情報の管理のニーズに合わせて選択可能な１つの手段である。例えば、資産情報の更新頻度が限定的である場合、資産情報の更新有無を検知するだけで十分なケースがあり、この場合、ユーザは、本方法を選択することができる。また、機器の仕様上の制限によってネットワーク経由で送信可能な資産情報が制限されている場合、ユーザは、本方法を選択することができる。
(Method 2)
(Method 2) is a method in which a user directly accesses a device and acquires updated contents from the device without going through a network. This method is one method that can be selected according to the needs for managing asset information. For example, when the update frequency of the asset information is limited, there are cases where it is sufficient to detect whether or not the asset information is updated. In this case, the user can select this method. In addition, when the asset information that can be transmitted via the network is restricted by the limitation of the specifications of the device, the user can select this method.
（方法３）
（方法３）は、マスタ１２０が、識別情報の受信は行うが、機器への直接アクセスを行うことなく、資産情報を同定し、同定した資産情報の更新内容を取得する方法である。この方法では、識別情報を用いてマスタ１２０側でどの資産情報に相当（対応）するかの解決を図ること（同定）が求められる。
(Method 3)
(Method 3) is a method in which the
図８は、上記（方法３）を実現する構成の一例を示す。（方法３）では、マスタ１２０は、内部またはネットワークを介して、識別情報と資産情報との対応関係を示すデータを格納するデータベース（例えば、資産情報解決ＤＢ８００）と情報をやり取りする仕組みを有する。資産情報解決ＤＢ８００は、マスタ１２０に設けられていてもよいし、マスタ１２０とは異なるコンピュータに設けられていてもよい。
FIG. 8 shows an example of a configuration for realizing the above (method 3). In (method 3), the
資産情報解決ＤＢ８００は、識別情報がどの資産情報に相当かを解決するために必要な情報を有する。マスタ１２０は、資産情報解決ＤＢ８００を用いて、識別情報から資産名を逆引きすることで資産名を同定する。
The asset
資産情報解決ＤＢ８００は、ＤＢ生成部８１０により生成（更新）される。ＤＢ生成部８１０は、マスタ１２０に設けられていてもよいし、マスタ１２０とは異なるコンピュータに設けられていてもよい。
The asset
図９は、資産情報解決ＤＢ８００のデータのデータ構造の一例（データ構造９００）を示す図である。データ構造９００は、１つの資産名９１０に対して複数の識別情報（識別情報Ａ９２０、識別情報Ｂ９３０、識別情報Ｃ９３０等）が付与された形式であり、ある識別情報から資産名が一意に識別できるような構造を有する。例えば、マスタ１２０がエージェント１１０から受信した識別情報が識別情報Ｂ９３０と同値である場合、マスタ１２０は、識別情報Ｂ９３０に対応する資産名９１０の資産情報を有すると結論付ける。
FIG. 9 is a diagram showing an example (data structure 900) of the data structure of the asset
ある資産に対応する識別情報の数は、識別情報をどのように計算または取得するかによって決定される。例えば、識別情報にハッシュを使う場合、１つの資産情報に対応する識別情報は、ハッシュの衝突が発生した場合を除くと単一となる。一方、識別情報に限られた領域のバイナリ情報を用いると、領域のサイズにも依存するが、ハッシュの場合と比較しても資産情報あたりの識別情報が多くなる傾向がある。この場合、ある識別情報が複数の資産情報に対応する場合、該当する資産情報を解決できない問題が生じる。 The number of identification information corresponding to an asset is determined by how the identification information is calculated or obtained. For example, when a hash is used for the identification information, the identification information corresponding to one asset information is single except when a hash collision occurs. On the other hand, when the binary information of the area limited to the identification information is used, the identification information per asset information tends to be larger than that of the hash, although it depends on the size of the area. In this case, when a certain identification information corresponds to a plurality of asset information, there arises a problem that the corresponding asset information cannot be solved.
ここで、エージェント１１０は、例えば、複数の識別情報を生成してマスタ１２０に送信することで、重複問題を解決することもできる。ただし、かかる構成では、エージェント１１０にかかる処理負荷が増えることになるので、マスタ１２０側で解決する方法が求められる。
Here, the
この点、識別情報の重複問題を解決するための１つの方法として、他の資産情報の有無を踏まえて識別情報に対応する複数の資産情報のうち、どれが正しいかを判別する方法が挙げられる。例えば、複数の資産情報が必ず同じ環境に存在する場合、マスタ１２０は、複数の識別情報に対応する資産情報のうち、同じ環境に存在する資産情報を当該資産情報と識別する。
In this regard, as one method for solving the problem of duplication of identification information, there is a method of determining which of a plurality of asset information corresponding to the identification information is correct based on the presence or absence of other asset information. .. For example, when a plurality of asset information always exists in the same environment, the
図１０は、複数の識別情報に対応する資産情報が存在するケースの一例（ケース１０００）を示す図である。ケース１０００では、識別情報Ｘ１０１０が資産Ａ１０２０と資産Ｂ１０３０との何れにも対応する場合、マスタ１２０は、資産Ａ１０２０と同じ環境に資産Ｙが存在するときは、資産Ａ１０２０であると判定し、資産Ｂ１０３０と同じ環境に資産Ｙが存在しないときは、資産Ｂ１０３０であると判定する。この方法は、１つの識別情報が複数の資産情報に対応する場合であっても、資産情報を識別する精度を向上することができる。付言するならば、マスタ１２０は、どの資産情報とどの資産情報とが関係しているかを示す資産関係情報と、どのエージェント１１０がどの資産情報を監視しているかを示す構成情報とを有している。つまり、マスタ１２０は、同定した資産情報が複数である場合、資産関係情報と構成情報とを用いて関係する他の資産情報の存在有無を判定し、判定した結果に基づいて資産情報を同定する。
FIG. 10 is a diagram showing an example (case 1000) of a case in which asset information corresponding to a plurality of identification information exists. In
なお、受信した識別情報が資産情報解決ＤＢ８００に該当（存在）しない場合、マスタ１２０は、不明資産として検出する。マスタ１２０は、不明資産を検出した場合、セキュリティに問題があると見なして、問題があることを外部に出力する。この場合、ユーザは、資産情報解決ＤＢ８００の内容を更新または拡充するために、該当不明資産に対応する資産が存在するか、どの資産が更新されたか等を機器に直接アクセスして情報を取得（検証）する。
If the received identification information does not correspond to (exist) in the asset
資産情報解決ＤＢ８００の更新（生成）は、必ずしもエージェント１１０、管理対象の資産情報を介して取得する必要はない。例えば、ＤＢ生成部８１０は、ベンダ、Ｗｅｂ等から提供されるソフトウェア情報、機器の仕様書、機器のマニュアルなどに基づいて資産情報（識別情報）を生成し、生成した情報で資産情報解決ＤＢ８００を更新してもよい。
The update (generation) of the asset
また、手動で変更されるパターンが多い資産情報である場合、ＤＢ生成部８１０は、想定される変更パターンを記憶（網羅）し、それぞれの変更パターンから資産情報および識別情報を生成してもよい。機器の用途が限られていることから、許容されるパターンは、限定的であることが多い。その場合、ＤＢ生成部８１０は、許容されるパターンを事前に把握し、該当する識別情報を生成して資産情報と結びつけることで、許容された（識別可能な）資産情報であるか、そうでないかを判定してもよい。
Further, in the case of asset information having many patterns that are manually changed, the
また、識別情報の定義方法によっては、コンピュータ資産管理システム１００は、識別情報を用いて、資産情報の改ざん、マルウェアの汚染など（不正プログラムによる脅威）を検知することができる。
Further, depending on the method of defining the identification information, the computer
図１１は、不正プログラムによる脅威を検知する脅威検出部１１０１を備えるマスタ１１００に係る構成の一例を示す図である。なお、マスタ１１００は、マスタ１２０と同様の構成であるので、マスタ１２０と異なる構成について主に説明する。
FIG. 11 is a diagram showing an example of a configuration related to the
ここでは、資産情報の識別情報が、例えば、不正プログラムによる脅威が存在することを示す痕跡（本例では、ＩＯＣ（Indicator of Compromise））の情報をベースとして定義されている。ユーザは、識別情報１１０２を定義する場合、ＩＯＣファイル１１１１の項目と一致させることで、マスタ１１００は、識別情報１１０２とＩＯＣファイル１１１１との比較ができるようになる。
Here, the identification information of the asset information is defined based on, for example, the trace (in this example, IOC (Indicator of Compromise)) indicating that a threat by a malicious program exists. When the user defines the
例えば、エージェント１１０は、ＩＯＣファイル１１１１の項目の情報を資産情報の識別情報としてマスタ１２０に送信する。脅威検出部１１０１は、ＩＯＣＤＢ１１１０に記憶されているＩＯＣファイル１１１１とエージェント１１０から取得した識別情報１１０２とを照合し、ＩＯＣファイル１１１１に定義された条件の項目の情報と識別情報１１０２とが一致するかどうかを検証する。なお、ＩＯＣファイル１１１１は、マルウェアの感染有無について細分化された１つ以上の項目と、それらの成立条件（ＡＮＤ、ＯＲなどの論理演算子）とを含んで構成される。
For example, the
かかる構成によれば、マスタ１１００は、マルウェア等への感染有無を機器にアクセスすることなく、検知および検証することができる。
According to such a configuration, the
（２）他の実施の形態
なお上述の実施の形態においては、本発明をコンピュータ資産管理システム１００に適用するようにした場合について述べたが、本発明はこれに限らず、この他種々のコンピュータ資産管理システム、コンピュータ資産管理方法、コンピュータ資産管理装置などに広く適用することができる。
(2) Other Embodiments In the above-described embodiment, the case where the present invention is applied to the computer
また上述の実施の形態においては、図１において、エージェント１１０が１つ設けられ例を示したが、本発明はこれに限らず、エージェント１１０は、複数設けられていてもよい。
Further, in the above-described embodiment, an example is shown in which one
また上述の実施の形態においては、エージェント１１０は、産業関連システムの機器（ハードウェア）である場合について述べたが、本発明はこれに限らず、エージェント１１０は、イベント監視部１１５、ハッシュ計算部１１６、通信処理部１１７などを実現するためのプログラム（ソフトウェア）であってもよい。この場合、エージェント１１０は、産業関連システムの機器に、１つ設けられてもよいし、複数設けられてもよい。
Further, in the above-described embodiment, the case where the
また上述の実施の形態においては、エージェント１１０は、産業関連システムの機器ごとに設けられる場合について述べたが、本発明はこれに限らず、エージェント１１０は、産業関連システムの複数の機器に対して設けられるようにしてもよい（複数の機器を監視するようにしてもよい）。
Further, in the above-described embodiment, the case where the
また上述の実施の形態においては、エージェント１１０がステップＳ４３０を実行する場合について述べたが、本発明はこれに限らず、エージェント１１０がステップＳ４３０を実行することなく、ステップＳ４４０の処理を行うようにしてもよい。かかる構成は、例えば、機器のコンピュータリソースに余裕がなく、ネットワークリソースに余裕があるシステムにおいて好適となる。
Further, in the above-described embodiment, the case where the
また上述の実施の形態においては、説明の便宜上、ＸＸテーブル、ＸＸファイルを用いて各種のデータを説明したが、データ構造は限定されるものではなく、ＸＸ情報などと表現してもよい。 Further, in the above-described embodiment, various data have been described using the XX table and the XX file for convenience of explanation, but the data structure is not limited and may be expressed as XX information or the like.
また、上記の説明において各機能を実現するプログラム、テーブル、ファイル等の情報は、メモリや、ハードディスク、ＳＳＤ（Solid State Drive）等の記憶装置、または、ＩＣカード、ＳＤカード、ＤＶＤ等の記録媒体に置くことができる。 In addition, the information such as programs, tables, and files that realize each function in the above description is a memory, a hard disk, a storage device such as an SSD (Solid State Drive), or a recording medium such as an IC card, an SD card, or a DVD. Can be placed in.
また上述した構成については、本発明の要旨を超えない範囲において、適宜に、変更したり、組み替えたり、組み合わせたり、省略したりしてもよい。 Further, the above-described configuration may be appropriately changed, rearranged, combined, or omitted as long as it does not exceed the gist of the present invention.
以上の通り、上述した実施の形態のコンピュータ資産管理システム（例えば、コンピュータ資産管理システム１００）は、コンピュータ（例えば、産業関連システムの制御装置、産業関連システムを構成するＩｏＴ機器などの機器）の資産情報を管理するコンピュータ資産管理システムであって、マスタ（例えば、マスタ１２０）とエージェント（例えば、エージェント１１０）とを備え、上記エージェントは、監視対象とするコンピュータで発生する所定のイベント（例えば、イベント資産対応データ１１１に示されるイベント、イベント資産対応テーブル２００に登録されたイベント）を監視し、発生したイベントによって追加または変更された可能性がある資産情報（例えば、管理対象資産データ１１２）を識別可能な識別情報（例えば、資産情報が更新されたことを識別可能な情報、資産情報の全体または一部のハッシュ、資産情報の全体、資産情報の一部、資産情報の名称などのエイリアス情報、資産情報を特定可能な情報が含まれるヘッダ情報の全体または一部）を上記マスタに送信することを特徴とする。
As described above, the computer asset management system (for example, the computer asset management system 100) of the above-described embodiment is the asset of the computer (for example, the control device of the industry-related system, the device such as the IoT device constituting the industry-related system). A computer asset management system that manages information, including a master (for example, master 120) and an agent (for example, agent 110), and the agent is a predetermined event (for example, an event) that occurs in a computer to be monitored. Monitors the event shown in the
また、上記エージェントは、イベントと資産情報とが対応付けられたイベント資産対応データ（例えば、イベント資産対応データ１１１、イベント資産対応テーブル２００）に基づいて、上記イベント資産対応データに示されるイベントの発生を検知した場合、検知したイベントに対応する資産情報を取得し、取得した資産情報に基づいて上記資産情報の識別情報を生成し、生成した識別情報を上記マスタに送信する（例えば、ステップＳ４１０～ステップＳ４５０の処理を行う）ことが望ましい。
Further, the agent generates an event shown in the event asset correspondence data based on the event asset correspondence data (for example, event
また、上記エージェント（例えば、ハッシュ計算部１１６）は、上記資産情報の識別情報として、上記資産情報に基づいてハッシュを算出することが望ましい。 Further, it is desirable that the agent (for example, the hash calculation unit 116) calculates the hash based on the asset information as the identification information of the asset information.
また、上記エージェントは、上記資産情報の識別情報として、上記資産情報の全体、上記資産情報の一部、上記資産情報を規定したファイルのヘッダ情報の全体、または上記ファイルのヘッダ情報の一部を用いることが望ましい。 In addition, the agent may use the entire asset information, a part of the asset information, the whole header information of the file defining the asset information, or a part of the header information of the file as the identification information of the asset information. It is desirable to use it.
また、上記エージェントは、発生したイベントによって追加または変更された可能性がある資産情報の識別情報を一回の通信（例えば、１つの通信フレーム、１つの通信パケット、１つの通信セグメント）で１ユニット以上（例えば、ハッシュを１つ以上）送信することが望ましい。 In addition, the agent uses one unit of identification information of asset information that may have been added or changed due to an event that has occurred in one communication (for example, one communication frame, one communication packet, one communication segment). It is desirable to transmit the above (for example, one or more hashes).
また、上記コンピュータの資産情報の識別情報（例えば、管理対象資産データ１２１）を記憶する記憶部（例えば、ＨＤＤ）を備え、上記マスタ（例えば、ハッシュ比較部１２３）は、上記エージェントから送信された資産情報の識別情報と、上記記憶部に記憶された識別情報とを比較し、上記資産情報の更新の有無を検知することが望ましい。 Further, a storage unit (for example, HDD) for storing identification information (for example, managed asset data 121) of the asset information of the computer is provided, and the master (for example, hash comparison unit 123) is transmitted from the agent. It is desirable to compare the identification information of the asset information with the identification information stored in the storage unit to detect whether or not the asset information has been updated.
また、上記エージェントは、複数の資産情報と、上記複数の資産情報が属するグループとを対応付けた資産グループデータ（例えば、資産グループデータ、資産グループテーブル６００）に基づいて、発生したイベントによって追加または変更された可能性がある資産情報が対応付けられるグループを特定し、特定したグループに属する全ての資産情報を上記イベントによって追加または変更された可能性があると判断することが望ましい。 Further, the agent is added or added by an event that occurs based on the asset group data (for example, asset group data, asset group table 600) in which the plurality of asset information is associated with the group to which the plurality of asset information belongs. It is desirable to identify the group to which the asset information that may have been changed is associated, and to determine that all the asset information belonging to the specified group may have been added or changed by the above event.
また、上記エージェント（例えば、通信処理部１１７）は、上記グループを識別可能な識別情報（例えば、資産グループの識別情報）を上記マスタに送信することが望ましい。 Further, it is desirable that the agent (for example, the communication processing unit 117) transmits the identification information that can identify the group (for example, the identification information of the asset group) to the master.
また、上記エージェント（例えば、ハッシュ計算部１１６）は、上記グループの識別情報として、上記全ての資産情報のうちの一部の資産情報を組み合わせてハッシュを算出することが望ましい。 Further, it is desirable that the agent (for example, the hash calculation unit 116) calculates the hash by combining some of the asset information among all the asset information as the identification information of the group.
また、上記エージェント（例えば、ハッシュ計算部１１６）は、上記グループの識別情報として、上記全ての資産情報を組み合わせてハッシュを算出することが望ましい。 Further, it is desirable that the agent (for example, the hash calculation unit 116) calculates the hash by combining all the asset information described above as the identification information of the group.
また、上記エージェント（例えば、ハッシュ計算部１１６）は、上記グループの識別情報として、上記全ての資産情報の全体、または上記全ての資産情報のうちの一部を用いることが望ましい。 Further, it is desirable that the agent (for example, the hash calculation unit 116) uses the whole of all the asset information or a part of all the asset information as the identification information of the group.
また、上記マスタ（更新データ取得部１２４）は、上記コンピュータの資産情報の更新を検知した場合、上記エージェントから送信された資産情報の識別情報を用いて上記識別情報に対応する資産情報を同定し、上記記憶部に記憶された同定した資産情報の識別情報を更新することが望ましい。 Further, when the master (update data acquisition unit 124) detects the update of the asset information of the computer, the master (update data acquisition unit 124) identifies the asset information corresponding to the identification information by using the identification information of the asset information transmitted from the agent. , It is desirable to update the identification information of the identified asset information stored in the storage unit.
また、上記コンピュータの資産情報の識別情報と上記資産情報とが対応付けられたデータを格納するデータベース（例えば、資産情報解決ＤＢ８００）を備えることが望ましい。 Further, it is desirable to provide a database (for example, asset information resolution DB 800) that stores data in which the identification information of the asset information of the computer and the asset information are associated with each other.
また、上記マスタは、同定した資産情報が複数である場合、資産情報間の関係を規定した情報（例えば、資産関係情報、構成情報）を用いて関係する他の資産情報の存在有無を判定し、判定した結果に基づいて資産情報を同定することが望ましい。 In addition, when there are a plurality of identified asset information, the master determines the existence or nonexistence of other related asset information using information that defines the relationship between the asset information (for example, asset relationship information, configuration information). , It is desirable to identify the asset information based on the judgment result.
また、上記エージェントとの通信処理を発生させない処理によって取得した情報（例えば、ベンダ、Ｗｅｂ等から提供されるソフトウェア情報、機器の仕様書、機器のマニュアル）に基づいて上記データベースを生成するデータベース生成部（例えば、ＤＢ生成部８１０）を備えることが望ましい。 In addition, a database generator that generates the database based on information acquired by processing that does not generate communication processing with the agent (for example, software information provided by a vendor, the Web, etc., device specifications, device manuals). (For example, it is desirable to include a DB generation unit 810).
また、上記エージェントは、不正プログラムによる脅威が存在することが示される項目（例えば、ＩＯＣファイル１１１１の項目）の情報を資産情報の識別情報として上記マスタに送信し、上記マスタ（例えば、脅威検出部１１０１）は、不正プログラムによる脅威が存在することを示す痕跡情報（例えば、ＩＯＣファイル１１１１に定義された条件の項目の情報）と、上記エージェントから送信された資産情報の識別情報とを比較して、不正プログラムによる脅威を検出することが望ましい。 Further, the agent transmits information of an item (for example, an item of IOC file 1111) indicating that a threat due to a malicious program exists to the master as identification information of asset information, and the master (for example, a threat detection unit). 1101) compares the trace information indicating the existence of a threat by a malicious program (for example, the information of the condition item defined in the IOC file 1111) with the identification information of the asset information transmitted from the agent. , It is desirable to detect threats caused by malicious programs.
上述した構成によれば、資産情報を適切に管理することができる。 According to the above-described configuration, asset information can be appropriately managed.
１００……コンピュータ資産管理システム、１１０……エージェント、１２０……マスタ。 100 ... Computer asset management system, 110 ... Agent, 120 ... Master.
Claims (16)
マスタとエージェントとを備え、
前記エージェントは、
監視対象とするコンピュータで発生する所定のイベントを監視し、発生したイベントによって追加または変更された可能性がある資産情報を識別可能な識別情報を前記マスタに送信し、
複数の資産情報と、前記複数の資産情報が属するグループとを対応付けた資産グループデータに基づいて、発生したイベントによって追加または変更された可能性がある資産情報が対応付けられるグループを特定し、特定したグループに属する全ての資産情報を前記イベントによって追加または変更された可能性があると判断する、
ことを特徴とするコンピュータ資産管理システム。 A computer asset management system that manages computer asset information.
Equipped with a master and an agent
The agent
It monitors a predetermined event that occurs on the computer to be monitored, and sends identification information that can identify asset information that may have been added or changed by the event to the master.
Based on the asset group data that associates a plurality of asset information with the group to which the plurality of asset information belongs, a group to which the asset information that may have been added or changed by the event that occurred is associated is identified. Judge that all asset information belonging to the specified group may have been added or changed by the event.
A computer asset management system that features.
ことを特徴とする請求項１に記載のコンピュータ資産管理システム。 When the agent detects the occurrence of the event shown in the event asset correspondence data based on the event asset correspondence data in which the event and the asset information are associated with each other, the agent acquires the asset information corresponding to the detected event. The identification information of the asset information is generated based on the acquired asset information, and the generated identification information is transmitted to the master.
The computer asset management system according to claim 1.
ことを特徴とする請求項２に記載のコンピュータ資産管理システム。 The agent calculates a hash based on the asset information as identification information of the asset information.
The computer asset management system according to claim 2.
ことを特徴とする請求項２に記載のコンピュータ資産管理システム。 The agent uses the entire asset information, a part of the asset information, the whole header information of the file defining the asset information, or a part of the header information of the file as the identification information of the asset information.
The computer asset management system according to claim 2.
ことを特徴とする請求項１に記載のコンピュータ資産管理システム。 The agent transmits one or more units of identification information of asset information that may have been added or changed due to an event that has occurred in one communication.
The computer asset management system according to claim 1.
前記マスタは、前記エージェントから送信された資産情報の識別情報と、前記記憶部に記憶された識別情報とを比較し、前記資産情報の更新の有無を検知する、
ことを特徴とする請求項１に記載のコンピュータ資産管理システム。 A storage unit for storing identification information of the asset information of the computer is provided.
The master compares the identification information of the asset information transmitted from the agent with the identification information stored in the storage unit, and detects whether or not the asset information is updated.
The computer asset management system according to claim 1.
ことを特徴とする請求項１に記載のコンピュータ資産管理システム。 The agent sends identification information that can identify the group to the master.
The computer asset management system according to claim 1 .
ことを特徴とする請求項７に記載のコンピュータ資産管理システム。 The agent calculates a hash by combining a part of the asset information among all the asset information as the identification information of the group.
The computer asset management system according to claim 7 .
ことを特徴とする、請求項７に記載のコンピュータ資産管理システム。 The agent calculates a hash by combining all the asset information as the identification information of the group.
The computer asset management system according to claim 7 , wherein the computer asset management system is characterized in that.
ことを特徴とする請求項７に記載のコンピュータ資産管理システム。 The agent uses the whole of all the asset information or a part of all the asset information as the identification information of the group.
The computer asset management system according to claim 7 .
ことを特徴とする請求項６に記載のコンピュータ資産管理システム。 When the master detects an update of the asset information of the computer, the master identifies the asset information corresponding to the identification information by using the identification information of the asset information transmitted from the agent, and the identification stored in the storage unit. Update the identification information of the asset information
The computer asset management system according to claim 6.
ことを特徴とする請求項１１に記載のコンピュータ資産管理システム。 A database for storing data in which the identification information of the asset information of the computer and the asset information are associated with each other is provided.
The computer asset management system according to claim 11 .
ことを特徴とする請求項１２に記載のコンピュータ資産管理システム。 When the identified asset information is plural, the master determines the existence or nonexistence of other related asset information using the information defining the relationship between the asset information, and identifies the asset information based on the determination result. ,
The computer asset management system according to claim 12 .
ことを特徴とする請求項１２に記載のコンピュータ資産管理システム。 It is provided with a database generation unit that generates the database based on the information acquired by the process that does not generate the communication process with the agent.
The computer asset management system according to claim 12 .
前記マスタは、不正プログラムによる脅威が存在することを示す痕跡情報と、前記エージェントから送信された資産情報の識別情報とを比較して、不正プログラムによる脅威を検出する、
ことを特徴とする請求項１に記載のコンピュータ資産管理システム。 The agent sends information on an item indicating that a threat due to a malicious program exists to the master as identification information of asset information.
The master detects the threat by the malicious program by comparing the trace information indicating the existence of the threat by the malicious program with the identification information of the asset information transmitted from the agent.
The computer asset management system according to claim 1.
エージェントが、監視対象とするコンピュータで発生する所定のイベントを監視する第１のステップと、
前記エージェントが、発生したイベントによって追加または変更された可能性がある資産情報を識別可能な識別情報をマスタに送信する第２のステップと、
前記エージェントが、複数の資産情報と、前記複数の資産情報が属するグループとを対応付けた資産グループデータに基づいて、発生したイベントによって追加または変更された可能性がある資産情報が対応付けられるグループを特定し、特定したグループに属する全ての資産情報を前記イベントによって追加または変更された可能性があると判断する第３のステップと、
を備えることを特徴とするコンピュータ資産管理方法。 A computer asset management method that manages computer asset information.
The first step in which the agent monitors a predetermined event that occurs on the computer to be monitored, and
A second step in which the agent sends identifiable identification information to the master that can identify asset information that may have been added or modified by the event that occurred.
A group to which asset information that may have been added or changed by an event that has occurred is associated with the agent based on the asset group data that associates the plurality of asset information with the group to which the plurality of asset information belongs. And the third step to determine that all asset information belonging to the identified group may have been added or changed by the event.
A computer asset management method characterized by providing.
Priority Applications (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP2018123623A JP7104574B2 (en) | 2018-06-28 | 2018-06-28 | Computer asset management system and computer asset management method |
Applications Claiming Priority (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP2018123623A JP7104574B2 (en) | 2018-06-28 | 2018-06-28 | Computer asset management system and computer asset management method |
Publications (2)
| Publication Number | Publication Date |
|---|---|
| JP2020004127A JP2020004127A (en) | 2020-01-09 |
| JP7104574B2 true JP7104574B2 (en) | 2022-07-21 |
Family
ID=69100019
Family Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| JP2018123623A Active JP7104574B2 (en) | 2018-06-28 | 2018-06-28 | Computer asset management system and computer asset management method |
Country Status (1)
| Country | Link |
|---|---|
| JP (1) | JP7104574B2 (en) |
Families Citing this family (2)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| JP7274438B2 (en) * | 2020-03-13 | 2023-05-16 | 株式会社日立製作所 | ASSET INFORMATION MANAGEMENT SYSTEM AND ASSET INFORMATION MANAGEMENT METHOD |
| CN113326269A (en) * | 2021-06-29 | 2021-08-31 | 深信服科技股份有限公司 | Asset identification method, equipment, device and computer readable storage medium |
Citations (4)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| JP2009123097A (en) | 2007-11-16 | 2009-06-04 | Nec Corp | Property management system, portable terminal, server, and program |
| JP2015531508A (en) | 2012-09-06 | 2015-11-02 | トライアムファント， インコーポレイテッド | System and method for automated memory and thread execution anomaly detection in computer networks |
| US20160224329A1 (en) | 2015-01-30 | 2016-08-04 | AppDynamics Inc. | Automated software configuration management |
| JP2017016650A (en) | 2015-06-23 | 2017-01-19 | アボブ セキュリティー インコーポレイテッドＡｂｏｖｅ Ｓｅｃｕｒｉｔｙ Ｉｎｃ． | Method and system for detecting and identifying resource on computer network |
-
2018
- 2018-06-28 JP JP2018123623A patent/JP7104574B2/en active Active
Patent Citations (4)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| JP2009123097A (en) | 2007-11-16 | 2009-06-04 | Nec Corp | Property management system, portable terminal, server, and program |
| JP2015531508A (en) | 2012-09-06 | 2015-11-02 | トライアムファント， インコーポレイテッド | System and method for automated memory and thread execution anomaly detection in computer networks |
| US20160224329A1 (en) | 2015-01-30 | 2016-08-04 | AppDynamics Inc. | Automated software configuration management |
| JP2017016650A (en) | 2015-06-23 | 2017-01-19 | アボブ セキュリティー インコーポレイテッドＡｂｏｖｅ Ｓｅｃｕｒｉｔｙ Ｉｎｃ． | Method and system for detecting and identifying resource on computer network |
Also Published As
| Publication number | Publication date |
|---|---|
| JP2020004127A (en) | 2020-01-09 |
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| US20210165876A1 (en) | System for securing software containers with embedded agent | |
| JP6224173B2 (en) | Method and apparatus for dealing with malware | |
| CN106687971B (en) | Automatic code locking to reduce attack surface of software | |
| JP5972401B2 (en) | Attack analysis system, linkage device, attack analysis linkage method, and program | |
| EP2860657B1 (en) | Determining a security status of potentially malicious files | |
| WO2014145805A1 (en) | System and method employing structured intelligence to verify and contain threats at endpoints | |
| EP2862119B1 (en) | Network based management of protected data sets | |
| CN105760787A (en) | System and method used for detecting malicious code of random access memory | |
| US20130024944A1 (en) | Confidential information leakage prevention system, confidential information leakage prevention method and confidential information leakage prevention program | |
| JP7104574B2 (en) | Computer asset management system and computer asset management method | |
| KR20160099159A (en) | Electronic system and method for detecting malicious code | |
| KR101994664B1 (en) | Vulnerability checking system based on cloud service | |
| US12010139B2 (en) | Detecting malware infection path in a cloud computing environment utilizing a security graph | |
| US20230208862A1 (en) | Detecting malware infection path in a cloud computing environment utilizing a security graph | |
| KR101320680B1 (en) | Method and apparatus for integrity check of software | |
| US20230376591A1 (en) | Method and apparatus for processing security events in container virtualization environment | |
| CN110677483B (en) | Information processing system and trusted security management system | |
| KR101218694B1 (en) | Security management system and securuty management method for compute | |
| CN112395617A (en) | Method and device for protecting docker escape vulnerability, storage medium and computer equipment | |
| JP6010672B2 (en) | Security setting system, security setting method and program | |
| CN114697057B (en) | Method, device and storage medium for acquiring layout script information | |
| US20230229600A1 (en) | Information processing system | |
| JP5814138B2 (en) | Security setting system, security setting method and program | |
| US20220198012A1 (en) | Method and System for Security Management on a Mobile Storage Device | |
| CN117113334A (en) | Method, device and system for intercepting operation command and computer storage medium |
Legal Events
| Date | Code | Title | Description |
|---|---|---|---|
| A621 | Written request for application examination |
Free format text: JAPANESE INTERMEDIATE CODE: A621 Effective date: 20210319 |
|
| A977 | Report on retrieval |
Free format text: JAPANESE INTERMEDIATE CODE: A971007 Effective date: 20220328 |
|
| A131 | Notification of reasons for refusal |
Free format text: JAPANESE INTERMEDIATE CODE: A131 Effective date: 20220405 |
|
| A521 | Request for written amendment filed |
Free format text: JAPANESE INTERMEDIATE CODE: A523 Effective date: 20220510 |
|
| TRDD | Decision of grant or rejection written | ||
| A01 | Written decision to grant a patent or to grant a registration (utility model) |
Free format text: JAPANESE INTERMEDIATE CODE: A01 Effective date: 20220705 |
|
| A61 | First payment of annual fees (during grant procedure) |
Free format text: JAPANESE INTERMEDIATE CODE: A61 Effective date: 20220708 |
|
| R150 | Certificate of patent or registration of utility model |
Ref document number: 7104574 Country of ref document: JP Free format text: JAPANESE INTERMEDIATE CODE: R150 |