WO2019181979A1 - 脆弱性調査システム、配信サーバ、脆弱性調査方法及びプログラム - Google Patents

脆弱性調査システム、配信サーバ、脆弱性調査方法及びプログラム Download PDF

Info

Publication number
WO2019181979A1
WO2019181979A1 PCT/JP2019/011584 JP2019011584W WO2019181979A1 WO 2019181979 A1 WO2019181979 A1 WO 2019181979A1 JP 2019011584 W JP2019011584 W JP 2019011584W WO 2019181979 A1 WO2019181979 A1 WO 2019181979A1
Authority
WO
WIPO (PCT)
Prior art keywords
vulnerability
information
software
investigation
terminal
Prior art date
Application number
PCT/JP2019/011584
Other languages
English (en)
French (fr)
Inventor
山本　和也
Original Assignee
日本電気株式会社
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 日本電気株式会社 filed Critical 日本電気株式会社
Priority to JP2020507855A priority Critical patent/JP7004063B2/ja
Priority to US16/980,163 priority patent/US20210012014A1/en
Publication of WO2019181979A1 publication Critical patent/WO2019181979A1/ja

Links

Images

Classifications

    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/57—Certifying or maintaining trusted computer platforms, e.g. secure boots or power-downs, version controls, system software checks, secure updates or assessing vulnerabilities
    • G06F21/577—Assessing vulnerabilities and evaluating computer system security
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/55—Detecting local intrusion or implementing counter-measures
    • G06F21/552—Detecting local intrusion or implementing counter-measures involving long-term monitoring or reporting
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F2221/00—Indexing scheme relating to security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F2221/03—Indexing scheme relating to G06F21/50, monitoring users, programs or devices to maintain the integrity of platforms
    • G06F2221/033—Test or assess software

Definitions

  • the present invention is based on the priority claim of Japanese patent application: Japanese Patent Application No. 2018-052787 (filed on Mar. 20, 2018), the entire description of which is incorporated herein by reference. Shall.
  • the present invention relates to a vulnerability investigation system, a distribution server, a vulnerability investigation method, and a program.
  • IT Information Technology
  • Attackers aiming at confidential information of an organization often adopt an approach of searching for vulnerabilities in software installed in each IT resource and attacking the vulnerabilities. In order to protect IT resources from such an attack, it is necessary to quickly obtain vulnerability information possessed by software and immediately identify a terminal having the vulnerability before the attack arrives. If a terminal having vulnerability is identified, it is possible to take measures to eliminate the vulnerability.
  • vulnerability management software there is software that manages vulnerabilities by centrally managing asset information (for example, terminal name, installed software name, software version, etc.) of terminals in the organization.
  • asset information for example, terminal name, installed software name, software version, etc.
  • this software is referred to as “vulnerability management software”.
  • Vulnerability management software refers to vulnerability information when vulnerabilities are disclosed on a vendor's Web site, etc., so that software providers can identify terminals that have vulnerabilities Create a script. Further, the vulnerability management software distributes the created investigation script to the terminals, and executes the investigation (executes the investigation) at each terminal. After that, when it is found that there is a vulnerability, the administrator of the terminal of the organization completes the countermeasure by taking appropriate measures such as patch application and software update.
  • the vulnerability management software provider waits for information disclosure from a reliable public organization, and if the investigation script is not included even after the information disclosure, create the investigation script according to the vulnerability. There is a need to do.
  • a method of obtaining information in advance from a public organization under a confidentiality agreement before releasing information on a press or the like can be considered.
  • the software included in the terminal is diverse, and it is not realistic to make an individual contract for all the software and obtain information in advance.
  • vulnerability information is abruptly generated, and it is not certain how deeply information (detailed information) can be obtained in advance, even if a contract is made.
  • gateway devices such as IDS (Intrusion Detection System) or IPS (Intrusion Protection System) on the communication path
  • IDS Intrusion Detection System
  • IPS Intrusion Protection System
  • the information on what kind of communication is to be blocked is an essential problem in that it is necessary to register a signature for each attack, and there is an interval between the disclosure of vulnerability information and the initial action for problem handling. Is not solved.
  • Vulnerability investigations usually involve investigations such as whether the software version meets certain conditions or whether a function is valid, and periodically collects all parameters that may be investigated. It can be considered to keep it.
  • the number of survey targets is expressed in the form of multiplication of the number of software and survey items, and it is not realistic from the viewpoint of processing capacity and disk capacity to keep collecting all information regularly.
  • Patent Document 1 discloses a technique for extracting vulnerability information collected from a Web page and providing useful information to a security administrator.
  • Patent Document 1 discloses a technique for extracting information related to vulnerability and providing information to an administrator.
  • the main point in Patent Document 1 is a technique for searching for and delivering useful information in order to respond quickly after the occurrence of a cyber attack. Therefore, the technique disclosed in Patent Document 1 cannot be applied to start investigation by predicting danger in advance for daily vulnerability occurrence.
  • the main object of the present invention is to provide a vulnerability investigation system, a distribution server, a vulnerability investigation method, and a program that contribute to speeding up the acquisition of vulnerability information and being able to start vulnerability investigation at an early stage.
  • the terminal, a management server that manages software installed in the terminal, and information related to software that is estimated to have vulnerability are managed as new vulnerability information.
  • a survey system is provided.
  • a collection unit that collects descriptions related to software vulnerabilities from information disclosed on a network, and analyzes the collected descriptions, and detects vulnerabilities within a predetermined period. Analysis that calculates the number of descriptions related to the vulnerability of the software subject to the vulnerability survey as the degree of success, and generates new vulnerability information that is information about the software that is estimated to be vulnerable according to the calculated success degree
  • a distribution server that distributes the new vulnerability information to a management server that manages software installed in the terminal.
  • a distribution server that distributes information about software that is estimated to be vulnerable to new management information to a management server that manages software installed in a terminal. , Collecting information on software vulnerabilities from information published on the network, analyzing the collected descriptions, and increasing the number of descriptions of software vulnerabilities for vulnerability investigation within a predetermined period And a step of generating new vulnerability information, which is information related to software that is estimated to have a vulnerability according to the calculated success level, is provided. .
  • a distribution server that distributes information about software that is estimated to be vulnerable as new vulnerability information to a management server that manages software installed in a terminal.
  • a process that collects descriptions about software vulnerabilities from information published on the network on the installed computer, analyzes the collected descriptions, and relates to vulnerabilities of software subject to vulnerability investigation within a predetermined period
  • a program that executes processing for calculating the number of descriptions as a degree of success, and processing for generating new vulnerability information that is information related to software that is estimated to be vulnerable according to the calculated degree of success Is done.
  • This program can be recorded on a computer-readable storage medium.
  • the storage medium can be non-transient such as a semiconductor memory, a hard disk, a magnetic recording medium, an optical recording medium, or the like.
  • the present invention can also be embodied as a computer program product.
  • a vulnerability investigation system a distribution server, a vulnerability investigation method, and a program that contribute to speeding up the acquisition of vulnerability information and being able to start vulnerability investigation at an early stage. Is done.
  • connection lines between the blocks in each drawing include both bidirectional and unidirectional directions.
  • the unidirectional arrow schematically shows the main signal (data) flow and does not exclude bidirectionality.
  • an input port and an output port exist at each of an input end and an output end of each connection line, although they are not explicitly shown. The same applies to the input / output interface.
  • the vulnerability research system includes a terminal 101, a management server 102, and a distribution server 103 (see FIG. 1).
  • the management server 102 manages software installed on the terminal 101.
  • the distribution server 103 distributes information about software that is estimated to have a vulnerability to the management server 102 as new vulnerability information.
  • the distribution server 103 includes a collection unit 111 and an analysis unit 112.
  • the collection unit 111 collects descriptions relating to software vulnerabilities from information disclosed to the network.
  • the analysis unit 112 analyzes the collected descriptions, calculates the number of descriptions relating to the vulnerability of the software subject to vulnerability investigation within a predetermined period as the popularity, and creates new vulnerability information according to the calculated popularity Is generated.
  • the information is shared through the medium.
  • a network such as the Internet.
  • information exchanged on the Web public information
  • the distribution server 103 estimates what vulnerability information about which software is likely to be exchanged.
  • the distribution server 103 can automatically start a search for a terminal that may be vulnerable based on the estimated information.
  • the above vulnerability research system automatically collects and analyzes public information on the network, and depending on the success of information exchange related to vulnerability information, before the vulnerability information is released, Propose a mechanism to start the survey for the survey items.
  • the above vulnerability research system actively utilizes the fact that vulnerability information is exchanged in the community such as the dark web before the vulnerability information is officially released from the vendor.
  • vulnerability information may already be recognized and some information exchange may occur before the vendor discloses the vulnerability information.
  • investigation of vulnerability information is started in advance by utilizing the property of such vulnerability information (information exchange occurs before being disclosed by the vendor). That is, vulnerability information exchanged in advance can be quickly obtained.
  • by acquiring vulnerability information in advance it is possible to start an investigation as to whether or not software corresponding to the vulnerability information is installed in the terminal 101 at an early stage.
  • FIG. 2 is a diagram illustrating an example of a schematic configuration of the vulnerability research system according to the first embodiment.
  • the vulnerability research system includes a distribution server 10, a management server 20, and a terminal 30.
  • the distribution server 10 is a device that manages vulnerability information and public information and distributes them to the management server 20. More specifically, the distribution server 10 is a device that distributes information regarding software that is estimated to have vulnerability to the management server 20 as “new vulnerability information”.
  • the distribution server 10 includes a vulnerability information database (DB) 11, a public information database 12, a vulnerability information management unit 13, a public information collection unit 14, and a public information analysis unit 15.
  • DB vulnerability information database
  • the distribution server 10 includes a vulnerability information database (DB) 11, a public information database 12, a vulnerability information management unit 13, a public information collection unit 14, and a public information analysis unit 15.
  • the vulnerability information database 11 includes the name of the software having the vulnerability, the conditions (for example, version / specific function validity / invalidity, parameters), CVE (Common Vulnerabilities and Exposures) number, release date, etc.
  • the database to store.
  • the vulnerability information management unit 13 is a means for managing the vulnerability information database 11. When the vulnerability information management unit 13 acquires the vulnerability information from a system administrator or the like, the vulnerability information management unit 13 stores the information in the vulnerability information database 11.
  • the public information collection unit 14 is a means for collecting descriptions related to software vulnerabilities from information published on the network.
  • the description collected by the public information collection unit 14 is stored in the public information database 12. That is, the public information database 12 is a database that stores information processed from the Web public information 40 by the public information collection unit 14.
  • the public information collection unit 14 can use a sentence written on the site as a unit of information collection. For example, one remark of a specific user is a unit of information collection by the public information collection unit 14. Alternatively, when collecting information from a site such as a bulletin board, one thread may be used as a unit for collecting information. That is, the public information collection unit 14 can collect public information in arbitrary units.
  • the public information analysis unit 15 is a means for analyzing the description collected by the public information collection unit 14. More specifically, the public information analysis unit 15 calculates the number of descriptions related to the vulnerability of the vulnerability investigation target software within a predetermined period among the collected descriptions as the degree of success. Generate new vulnerability information according to
  • the public information analysis unit 15 analyzes the information stored in the public information database 12, and estimates vulnerable software based on the result. When there is a high possibility that a new vulnerability exists in the software, the public information analysis unit 15 sets the detailed information (for example, software name and version) of the software estimated to have the new vulnerability as a new vulnerability. To the management server 20 as sex information.
  • the public information analysis unit 15 performs the above estimation based on the “prosperity degree” related to the vulnerability of the software subject to vulnerability investigation.
  • the independence can also be regarded as the number and frequency of the user referring to the vulnerability of the software within a predetermined period. Specifically, if vulnerability information related to specific software is frequently generated in one day, the citizenship regarding the vulnerability is “high”. On the other hand, if there is almost no vulnerability information related to a specific software in a day, the independence regarding the vulnerability is “low”.
  • the management server 20 is a device that is installed in an organization such as a company where the terminal 30 to be managed is used and manages software installed in the terminal 30. More specifically, the management server 20 is a device that manages vulnerability information of the terminal 30. The management server 20 instructs the terminal 30 to investigate the situation at the terminal 30 of the software identified from the new vulnerability information. That is, the management server 20 investigates whether or not the software that the distribution server 10 has determined to have a new vulnerability is installed in the terminal 30.
  • the management server 20 includes a vulnerability information database 21, a terminal information database 22, a vulnerability information management unit 23, a terminal information management unit 24, and a management screen providing unit 25.
  • the vulnerability information database 21 stores information distributed from the distribution server 10.
  • the vulnerability information management unit 23 has a function to receive information distributed from the distribution server 10, a function to store the information in the vulnerability information database 21, and a script to the terminal 30 that is the target of vulnerability investigation / countermeasure. With the function to deliver.
  • the vulnerability information management unit 23 acquires new vulnerability information from the distribution server 10
  • the vulnerability information management unit 23 transmits the information to the terminal 30.
  • the vulnerability information management unit 23 inquires whether there is software corresponding to the new vulnerability information in the terminal 30 by transmitting the new vulnerability information to the terminal 30.
  • the terminal information database 22 is a database that holds software installed in each terminal 30 to be managed and its version.
  • the terminal information management unit 24 is a means for managing information collected from the terminal 30. Specifically, the terminal information management unit 24 registers the software configuration and the like of each terminal 30 in the terminal information database 22.
  • the management screen providing unit 25 is a means for generating a management screen based on information in two databases and generating a screen for providing information to an organization administrator (for example, a security administrator). The administrator can check the terminal information and vulnerability information of the own organization using the screen provided by the management screen providing unit 25.
  • FIG. 2 shows only one terminal 30, the management server 20 actually manages a plurality of terminals 30.
  • the terminal 30 is an IT resource such as a personal computer or a server.
  • the terminal 30 is a management target by the management server 20. That is, the management server 20 and the terminal 30 have a relationship in which vulnerability information and terminal information are managed and managed.
  • the terminal 30 includes a terminal information database 31, an investigation countermeasure execution unit 32, and an investigation countermeasure result return unit 33.
  • the investigation countermeasure execution unit 32 has a function of executing a predetermined script in its own device using the script received from the management server 20.
  • the investigation countermeasure result return unit 33 transmits the execution result of the script to the management server 20.
  • the terminal information database 31 is a database that holds software installed in its own device and its version.
  • the investigation countermeasure execution unit 32 accesses the terminal information database 31 and confirms whether or not software corresponding to the new vulnerability information exists in the own device. The confirmation result is transmitted to the management server 20 via the investigation countermeasure result return unit 33.
  • FIG. 3 is a block diagram illustrating an example of a hardware configuration of the distribution server 10 according to the first embodiment.
  • the distribution server 10 can be configured by an information processing device (computer) and has a configuration illustrated in FIG.
  • the distribution server 10 includes a CPU (Central Processing Unit) 51, a memory 52, an input / output interface 53, a NIC (Network Interface Card) 54 that is a communication unit, and the like that are connected to each other via an internal bus.
  • a CPU Central Processing Unit
  • memory 52 a memory
  • input / output interface 53 a NIC (Network Interface Card) 54 that is a communication unit, and the like that are connected to each other via an internal bus.
  • NIC Network Interface Card
  • the configuration shown in FIG. 3 is not intended to limit the hardware configuration of the distribution server 10.
  • the distribution server 10 may include hardware (not shown), and may not include the input / output interface 53 as necessary.
  • the number of CPUs and the like included in the distribution server 10 is not limited to the example illustrated in FIG. 3.
  • a plurality of CPUs 51 may be included in the distribution server 10.
  • the memory 52 is a RAM (Random Access Memory), a ROM (Read Only Memory), or an auxiliary storage device (such as a hard disk).
  • RAM Random Access Memory
  • ROM Read Only Memory
  • auxiliary storage device such as a hard disk
  • the input / output interface 53 is a means to be an interface of a display device and an input device (not shown).
  • the display device is, for example, a liquid crystal display.
  • the input device is a device that accepts user operations such as a keyboard and a mouse, for example.
  • the function of the distribution server 10 is realized by the processing module described above.
  • the processing module is realized by the CPU 51 executing a program stored in the memory 52, for example.
  • the program can be downloaded through a network or updated using a storage medium storing the program.
  • the processing module may be realized by a semiconductor chip. That is, it is sufficient if there is a means for executing the function performed by the processing module with some hardware and / or software.
  • management server 20 and the terminal 30 can also be configured by an information processing device in the same manner as the distribution server 10, and the basic hardware configuration is not different from the distribution server 10, so description thereof is omitted.
  • the vulnerability information included in the Web public information 40 has the following properties. Specifically, a timeline flow as shown in FIG. 4 is assumed while vulnerability information of specific software is discovered by a vendor and disclosure and countermeasures for the vulnerability information are processed.
  • FIG. 4 is a graph in which the horizontal axis represents time, and the vertical axis represents success. As shown in FIG. 4, the peak of the success is after the vendor discloses the vulnerability information. Thereafter, the success rate gradually settles with the implementation of countermeasures against the vulnerability (the success rate decreases).
  • some information may be exchanged in a community in which vulnerability information is already recognized before the vulnerability information is disclosed by the vendor. Specifically, as shown in FIG. 4, there is a time (period) during which the degree of success is high at times other than the peak time (before the peak time).
  • the investigation of vulnerability information is started in advance by using the property of such prosperity of vulnerability information. Specifically, in the first embodiment, before the vendor officially announces the vulnerability, it is investigated whether or not the software whose vulnerability has been discussed in the community or the like is installed in the terminal 30. To begin.
  • public information is classified into two types: information that is uniquely used for each software and information that is commonly used for the concept of vulnerability.
  • SW SoftWare
  • SW information is information such as software name, version information, and setting value.
  • SW information one software is managed as one unit.
  • ⁇ Vulnerability information is further classified into two types of information.
  • the first information is a term related to the vulnerability.
  • the second information is a term used when exchanging information about known vulnerabilities rather than new vulnerabilities.
  • the first information is expressed as “vulnerability term”
  • the second information is expressed as “non-new vulnerability term”.
  • Examples of vulnerability terms include “vulnerability”, “vulnerability”, “security hole”, “root”, “auth”, and the like.
  • Examples of non-new vulnerability terms include “seminar”, “study session”, “once”, and the like.
  • Information such as what terms and information correspond to the SW information, vulnerability terms, and non-new vulnerability terms is registered in advance in a database or table accessible to each processing module of the distribution server 10. deep.
  • FIG. 5 is a flowchart showing an example of an operation of collecting public information by the distribution server 10.
  • the system administrator performs settings related to the public information collection operation in the distribution server 10. Specifically, the administrator sets “URL of the site to be visited (Uniform Resource Locator)”, “Circuit method”, “Circuit condition”, “Importance of the site to be visited”, and the like in the distribution server 10.
  • URL of the site to be visited Uniform Resource Locator
  • the administrator sets the distribution server 10 to circulate the URL and the link in the URL (circulation method), extract information on a specific tag (circulation condition), and the like.
  • the importance level of the site to be visited is an item representing the reliability as the information source of the site to be visited. For example, if the site can be updated by a large number of users, the importance level is set low, and if it is an official information disclosure site operated by a vendor, the importance level is set high (for example, maximum).
  • the distribution server 10 may take a countermeasure such as preferentially patroling a site with high importance by using the importance.
  • the distribution server 10 circulates each site based on the set contents (circulation conditions) (step S101). At that time, the distribution server 10 circulates each site at a constant cycle, and sequentially executes the registered circulation methods. As described above, the distribution server 10 collects descriptions about software vulnerabilities based on setting information (information set by the administrator) related to sites to be accessed in order to collect descriptions about software vulnerabilities.
  • the public information collection unit 14 of the distribution server 10 acquires information from the visited site, it determines whether the acquired information includes vulnerability information (step S102). Specifically, the public information collection unit 14 determines whether or not the acquired information includes at least one of the SW information, vulnerability terms, and non-new vulnerability terms.
  • the distribution server 10 ends the process.
  • step S102 If vulnerability information is included (step S102, Yes branch), the public information collection unit 14 assigns an attribute corresponding to the term and wording included in the acquired information to the acquired information and registers it in the public information database 12 ( Step S103).
  • the public information collection unit 14 when the public information collection unit 14 acquires the information “Software A version 01 is vulnerable”, the public information collection unit 14 organizes the acquired information based on the SW information of the information, The attribute “Yes” is assigned and registered in the public information database 12.
  • the public information collection unit 14 obtains information such as “Report on vulnerability of software A version 01” at the study session, the information includes “vulnerability term”, “non-new vulnerability” The attribute “with term” is assigned and registered in the public information database 12.
  • the public information collection unit 14 registers the acquired information in the public information database 12 together with an ID (Identifier) for identifying the acquired information, an acquisition date and time of the information, and the like.
  • ID Identifier
  • the public information database 12 as shown in FIG. 6 is constructed by the operation of the public information collection unit 14. Referring to FIG. 6, for example, for each piece of software information (software A version 01, software B version 02), it is managed whether each acquired information includes a vulnerability term or a non-new vulnerability term. .
  • the distribution server 10 determines whether the collected information relates to any of the above three categories, and adds related information to the public information database 12 if there is a match.
  • the information stored in the public information database 12 is not simply an enumeration of words but related information depending on the analysis technique to be used.
  • FIG. 7 is a flowchart showing an example of the operation of inputting vulnerability investigation information of the distribution server 10.
  • the administrator inputs information related to the vulnerability investigation target to the distribution server 10 at an arbitrary timing.
  • the administrator inputs information on the vulnerability investigation target recognized before starting the operation of the system.
  • the administrator designates the name of the software and its version and inputs them to the distribution server 10 as “vulnerability investigation target”.
  • the administrator can input the vulnerability investigation target based on the public information that is referenced after the system starts operating.
  • the public information analysis unit 15 of the distribution server 10 acquires vulnerability investigation information for specifying the vulnerability investigation target software from the administrator (step S201). Specifically, the public information analysis unit 15 acquires a vulnerability investigation target having one record of a software name to be subjected to vulnerability investigation, a keyword (for example, version) expressing a setting item, and the like.
  • the administrator inputs these information to the distribution server 10 when a specific investigation script or command can be prepared for the vulnerability investigation.
  • FIG. 8 is a flowchart showing an example of an operation for generating new vulnerability information by the distribution server 10.
  • the distribution server 10 calculates the degree of success of the software (SW information) that is the subject of vulnerability investigation according to the flowchart of FIG. 8, and determines whether or not the subject of investigation has vulnerability according to the calculated degree of success ( Alternatively, it is determined whether or not there is a high possibility that a vulnerability exists. In other words, the distribution server 10 determines whether or not it is necessary to perform an investigation as to whether or not an investigation target exists in the terminal 30. Specifically, the distribution server 10 performs the following analysis using the public information database 12 configured based on the collected public information.
  • the public information analysis unit 15 extracts, from the public information database 12, an entry corresponding to the investigation target specified from the vulnerability investigation information acquired previously (step S301). At that time, the public information analysis unit 15 refers to the acquisition date / time field of the public information database 12 and extracts an entry having SW information corresponding to the vulnerability investigation target from entries within a predetermined period.
  • the public information analysis unit 15 identifies an entry related to a new vulnerability from the extracted entries (step S302). Specifically, the public information analysis unit 15 calculates a difference between a set of entries having non-new vulnerability terms from a set of entries having vulnerability terms, and identifies an entry related to a new vulnerability.
  • the public information analysis unit 15 uses SW information to estimate which software is being exchanged for each entry (information exchange) (step S303).
  • the information exchange entries regarding the version 01 of the software A are ID1, ID3, ID4, and ID7. Also, the information exchange entries relating to version 02 of software B are ID5 and ID9.
  • the public information analysis unit 15 ranks each SW information based on the estimated entry (step S304). Specifically, the public information analysis unit 15 counts the number of entries for which information exchange has been performed for each SW information, and calculates the degree of success.
  • the public information analysis unit 15 calculates a success rate (evaluation score) by excluding a description including a non-new vulnerability term from the collected descriptions.
  • the public information analysis unit 15 ranks the SW information by arranging the calculated prosperity.
  • SW information related to version 01 of software A is ranked higher than SW information related to version 02 of software B.
  • the public information analysis unit 15 sets N (N is an arbitrary positive integer, the same hereinafter) SW information from the top of the created rank as “new vulnerability information” to the vulnerability information management unit 23 of the management server 20. Transmit (inspection instruction from higher rank; step S305). For example, in the above example, SW information related to version 01 of software A is transmitted to the management server 20 as new vulnerability information.
  • the public information analysis unit 15 generates new vulnerability information from the top N generated ranks. However, the public information analysis unit 15 generates new vulnerability information from SW information having a degree of success that is equal to or higher than a predetermined threshold. Also good. That is, the public information analysis unit 15 transmits information specifying the vulnerability investigation target software corresponding to the degree of success matching the predetermined condition to the management server 20 as “new vulnerability information”.
  • FIG. 9 is a sequence diagram illustrating an example of operations of the management server 20 and the terminal 30.
  • the vulnerability information management unit 23 of the management server 20 refers to the terminal information database 22 and determines whether or not a new vulnerability information investigation instruction is necessary for the terminal 30 (step S401). Specifically, the vulnerability information management unit 23 performs the determination according to whether or not the new vulnerability information is included in the terminal information database 22.
  • step S401 If the investigation instruction is unnecessary (step S401, No branch), the process is completed.
  • the vulnerability information management unit 23 transmits the investigation instruction to the terminal 30 (step S402). Specifically, the vulnerability information management unit 23 transmits new vulnerability information to the terminal 30, and instructs the terminal 30 to check whether software corresponding to the information is included in the terminal 30.
  • the investigation countermeasure execution unit 32 Upon receiving the investigation instruction, the investigation countermeasure execution unit 32 conducts an investigation on the terminal 30 (step S501). Thereafter, the investigation countermeasure result return unit 33 of the terminal 30 returns the investigation result to the management server 20 (step S502).
  • the terminal information management unit 24 of the management server 20 registers the investigation result in the terminal information database 22 (step S403).
  • the management server 20 also provides estimated information (new vulnerability information) on the setting items of certain software that the administrator may need to investigate by sending a management screen or e-mail to the administrator. Notification is desirable.
  • the administrator who contacts the notification can add information according to the registration flow of the investigation method as necessary.
  • FIG. 10 is a flowchart illustrating an example of the vulnerability confirmation operation by the administrator.
  • the administrator accesses the management screen provided by the management server 20 and confirms the currently disclosed vulnerability information (steps S601 and S602).
  • step S603 If it is an item for which a survey has been started in advance (if a preliminary survey has been completed at the terminal 30), the administrator confirms the survey status at each terminal 30 (step S603, Yes branch; step S604).
  • the administrator waits for distribution of the investigation script by the software provider unless the investigation has been started in advance (step S603, No branch; step S605).
  • the distribution server 10 is not only from a site provided by a vendor, but also so-called dark information including pre-registered SW information, vulnerability terms, and non-new vulnerability terms. It is also obtained from a site called the web. In communities formed on the dark web, etc., vulnerability information may be exchanged before official vulnerability information is released from a vendor.
  • the distribution server 10 also actively collects information from such sites, and estimates the possibility that there is a vulnerability in the software before the information about the vulnerability is officially announced by the vendor. Specifically, the distribution server 10 estimates that there are some vulnerabilities in the specific software and version if the discussion on the vulnerability regarding the specific software and the specific version is popular on the site.
  • the management server 20 conducts a preliminary and quick investigation on whether or not a version of the suspected vulnerabilities is installed in the terminal 30 to be managed. Can be executed.
  • the investigation can be started immediately on the terminals in the organization without waiting for the distribution of the investigation script from the software provider. Can be shortened. In other words, it is possible to perform a plurality of investigations in advance by estimation from the prosperity even before disclosure of vulnerability information. As a result, when the vulnerability information is disclosed, the investigation can be started and the time until the investigation is completed can be shortened.
  • the registration of vulnerability investigation information in the distribution server 10 in addition to manually registering the investigation script, it may be combined with a technique for analyzing the keyword and automatically generating the investigation script.
  • new vulnerability information is generated based on the degree of success, but importance of each site may be taken into account when generating the information. For example, a high score may be given to the success degree generated from the description acquired from the site with high importance.
  • [Form 1] This is the same as the vulnerability research system according to the first viewpoint described above.
  • the collector is Gather a description containing at least one of software information that uniquely identifies the software, vulnerability terms related to software vulnerabilities, and non-new vulnerability terms used when exchanging information about known vulnerabilities, preferably Form 1 vulnerability research system.
  • the analysis unit The vulnerability investigation system according to the second aspect, preferably calculating the success level by excluding a description including the non-new vulnerability term from the collected descriptions.
  • the analysis unit The vulnerability investigation system according to any one of aspects 1 to 3, preferably acquiring vulnerability investigation information for specifying the vulnerability investigation target software.
  • the collector is 5.
  • the vulnerability research system according to any one of modes 1 to 4, preferably collecting descriptions about software vulnerabilities based on information about sites accessed to collect descriptions about software vulnerabilities.
  • the analysis unit Information identifying the vulnerability investigation target software corresponding to the prosperity that matches a predetermined condition is transmitted to the management server as the new vulnerability information, preferably according to any one of embodiments 1 to 5 Vulnerability research system.
  • the management server instructs the terminal to investigate the status of the software identified from the new vulnerability information at the terminal, preferably the vulnerability research system according to mode 6.
  • the distribution server according to the second viewpoint described above.
  • [Form 9] This is the same as the vulnerability research method according to the third viewpoint described above.
  • Mode 10 It is as the program which concerns on the above-mentioned 4th viewpoint. Forms 8 to 10 can be developed like forms 2 to 7, like form 1.

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Hardware Design (AREA)
  • General Engineering & Computer Science (AREA)
  • Software Systems (AREA)
  • Theoretical Computer Science (AREA)
  • Physics & Mathematics (AREA)
  • General Physics & Mathematics (AREA)
  • Computing Systems (AREA)
  • Management, Administration, Business Operations System, And Electronic Commerce (AREA)

Abstract

本発明は、脆弱性情報の入手の迅速化と、早期に脆弱性調査を開始できる脆弱性調査システムを提供する。脆弱性調査システムは、端末と、管理サーバと、配信サーバと、を含む。管理サーバは、端末にインストールされているソフトウェアを管理する。配信サーバは、脆弱性が存在すると推定されるソフトウェアに関する情報を新規脆弱性情報として管理サーバに配信する。配信サーバは、収集部と、解析部と、を含む。収集部は、ネットワークに公開された情報から、ソフトウェアの脆弱性に関する記載を収集する。解析部は、収集された記載を解析し、所定の期間内における脆弱性調査対象のソフトウェアの脆弱性に関する記載の数を盛況度として算出し、算出された盛況度に応じて新規脆弱性情報を生成する。

Description

脆弱性調査システム、配信サーバ、脆弱性調査方法及びプログラム
　（関連出願についての記載）
　本発明は、日本国特許出願：特願２０１８－０５２７８７号（２０１８年３月２０日出願）の優先権主張に基づくものであり、同出願の全記載内容は引用をもって本書に組み込み記載されているものとする。
　本発明は、脆弱性調査システム、配信サーバ、脆弱性調査方法及びプログラムに関する。
　パーソナルコンピュータやサーバを含め、企業等の組織で利用されているＩＴ（Information Technology）資産には、多くのソフトウェアが搭載されている。
　組織の機密情報を狙う攻撃者は、それぞれのＩＴ資産に搭載されているソフトウェアの脆弱性を探し、当該脆弱性を攻撃するというアプローチを採用することが多い。このような攻撃からＩＴ資産を守るためには、攻撃が到達する前に、ソフトウェアが有している脆弱性情報を素早く入手し、直ちに脆弱性を保有する端末を特定する必要がある。脆弱性を有する端末が特定されれば、当該脆弱性を解消する対処が可能となる。
　ここで、組織内にある端末の資産情報（例えば、端末名、インストールされているソフトウェア名、ソフトウェアのバージョンなど）を一元管理し、脆弱性の管理を行うソフトウェアが存在する。以下、当該ソフトウェアを「脆弱性管理ソフトウェア」と表記する。
　脆弱性管理ソフトウェアは、ベンダのＷｅｂ（ウェブ）サイトなどで脆弱性が公開されると、脆弱性情報を参照し、ソフトウェアの提供元が、脆弱性を有している端末を特定するための調査スクリプトを作成する。さらに、当該脆弱性管理ソフトウェアは、作成した調査スクリプトを端末に配布し、各端末で調査を実行する（調査を実行させる）。その後、脆弱性を有していることがわかると、組織の端末の管理者は、パッチの適用やソフトウェアのアップデートなどの適切な施策を行うことによって、対処を完了する。
　このように脆弱性管理ソフトウェアを用いることで攻撃者からの攻撃を防ぐことができる。しかしながら、脆弱性管理ソフトウェアの提供元は、信頼できる公的組織からの情報公開を待つと共に、情報公開後も、調査スクリプトが同梱されていない場合は、脆弱性に沿った調査スクリプトの作成を行う必要がある。
　このような作業には、早くて１日、場合によっては数日を要することがある。この間、脆弱性管理ソフトウェアを導入している企業は、攻撃者からの攻撃を防ぐ防御手段がなく、他に対策を施さない場合には、該当の脆弱性を突かれた攻撃が成立する可能性がある。
　このような問題に対する解決手段としては、公的組織から、プレス等での情報公開前に、秘密保持契約の下で前もって情報を入手しておく方法が考えられる。しかし、端末に含まれるソフトウェアは多種多様であり、すべてのソフトウェアについて個別に契約を行い、事前に情報を入手していくことは、現実的ではない。
　また、脆弱性情報は突発的に発生するものであり、どこまでの深さで事前に情報（詳細な情報）を入手できるかは、たとえ契約を結んでいたとしても定かではない。
　さらに、攻撃に対する間接的な防御手段として、通信路のＩＤＳ（Intrusion Detection System）、ＩＰＳ（Intrusion Protection System）などのゲートウェイ装置にて該当の脆弱性を攻撃する通信が発見されれば、遮断やログの取得を行うなどの対策も考えられる。しかしながら、どのような通信を遮断するかの情報は、各攻撃に対するシグネチャの登録が必要であり、脆弱性情報の公開から問題対処の初動までの間にインターバルがあるという点では、本質的な問題は解決していない。
　脆弱性の調査では、ソフトウェアのバージョンがある条件に合致するか、ある機能が有効であるかどうか等の調査が通常行われ、調査をする可能性のあるパラメータを、定期的にすべて収集しておくという対応も考えられる。しかしながら、調査対象の数はソフトウェアの数と調査項目が乗算の形で表現され、定期的に情報をすべて収集し続けることは、処理能力の観点でも、ディスク容量の観点でも現実的ではない。
　特許文献１には、Ｗｅｂページから収集した脆弱性情報を抽出し、セキュリティ管理者に有用な情報を提供するための技術が開示されている。
国際公開第２０１７／２２１８５８号
　なお、上記先行技術文献の開示を、本書に引用をもって繰り込むものとする。以下の分析は、本発明者らによってなされたものである。
　上述のように、特許文献１には、脆弱性に関する情報を抽出し、管理者に情報提供するための技術が開示されている。しかしながら、特許文献１における主眼はサイバー攻撃の発生後、迅速に対応するために有益な情報を検索して渡すための技術である。従って、特許文献１に開示された技術を、日常的な脆弱性発生について、事前に危険を予測して調査を始めることに適用できない。
　本発明は、脆弱性情報の入手の迅速化と、早期に脆弱性調査を開始できることに寄与する、脆弱性調査システム、配信サーバ、脆弱性調査方法及びプログラムを提供することを主たる目的とする。
　本発明乃至開示の第１の視点によれば、端末と、前記端末にインストールされているソフトウェアを管理する管理サーバと、脆弱性が存在すると推定されるソフトウェアに関する情報を新規脆弱性情報として前記管理サーバに配信する、配信サーバと、を含み、前記配信サーバは、ネットワークに公開された情報から、ソフトウェアの脆弱性に関する記載を収集する、収集部と、前記収集された記載を解析し、所定の期間内における脆弱性調査対象のソフトウェアの脆弱性に関する記載の数を盛況度として算出し、前記算出された盛況度に応じて前記新規脆弱性情報を生成する、解析部と、を備える、脆弱性調査システムが提供される。
　本発明乃至開示の第２の視点によれば、ネットワークに公開された情報から、ソフトウェアの脆弱性に関する記載を収集する、収集部と、前記収集された記載を解析し、所定の期間内における脆弱性調査対象のソフトウェアの脆弱性に関する記載の数を盛況度として算出し、前記算出された盛況度に応じて脆弱性が存在すると推定されるソフトウェアに関する情報である新規脆弱性情報を生成する、解析部と、を備え、前記新規脆弱性情報を、端末にインストールされているソフトウェアを管理する管理サーバに配信する、配信サーバが提供される。
　本発明乃至開示の第３の視点によれば、端末にインストールされているソフトウェアを管理する管理サーバに、脆弱性が存在すると推定されるソフトウェアに関する情報を新規脆弱性情報として配信する、配信サーバにおいて、ネットワークに公開された情報から、ソフトウェアの脆弱性に関する記載を収集するステップと、前記収集された記載を解析し、所定の期間内における脆弱性調査対象のソフトウェアの脆弱性に関する記載の数を盛況度として算出するステップと、前記算出された盛況度に応じて脆弱性が存在すると推定されるソフトウェアに関する情報である新規脆弱性情報を生成するステップと、を含む、脆弱性調査方法が提供される。
　本発明乃至開示の第４の視点によれば、端末にインストールされているソフトウェアを管理する管理サーバに、脆弱性が存在すると推定されるソフトウェアに関する情報を新規脆弱性情報として配信する、配信サーバに搭載されたコンピュータに、ネットワークに公開された情報から、ソフトウェアの脆弱性に関する記載を収集する処理と、前記収集された記載を解析し、所定の期間内における脆弱性調査対象のソフトウェアの脆弱性に関する記載の数を盛況度として算出する処理と、前記算出された盛況度に応じて脆弱性が存在すると推定されるソフトウェアに関する情報である新規脆弱性情報を生成する処理と、を実行させるプログラムが提供される。
　なお、このプログラムは、コンピュータが読み取り可能な記憶媒体に記録することができる。記憶媒体は、半導体メモリ、ハードディスク、磁気記録媒体、光記録媒体等の非トランジェント（non-transient）なものとすることができる。本発明は、コンピュータプログラム製品として具現することも可能である。
　本発明乃至開示の各視点によれば、脆弱性情報の入手の迅速化と、早期に脆弱性調査を開始できることに寄与する、脆弱性調査システム、配信サーバ、脆弱性調査方法及びプログラムが、提供される。
一実施形態の概要を説明するための図である。 第１の実施形態に係る脆弱性調査システムの概略構成の一例を示す図である。 第１の実施形態に係る配信サーバのハードウェア構成の一例を示すブロック図である。 Ｗｅｂ公開情報に含まれる脆弱性情報を説明するための図である。 配信サーバによる公開情報の収集動作の一例を示すフローチャートである。 公開情報データベースの登録内容の一例を示す図である。 配信サーバの脆弱性調査情報の入力動作の一例を示すフローチャートである。 配信サーバによる新規脆弱性情報の生成動作の一例を示すフローチャートである。 管理サーバ及び端末の動作の一例を示すシーケンス図である。 管理者による脆弱性の確認動作の一例を示すフローチャートである。
　初めに、一実施形態の概要について説明する。なお、この概要に付記した図面参照符号は、理解を助けるための一例として各要素に便宜上付記したものであり、この概要の記載はなんらの限定を意図するものではない。また、各図におけるブロック間の接続線は、双方向及び単方向の双方を含む。一方向矢印については、主たる信号（データ）の流れを模式的に示すものであり、双方向性を排除するものではない。さらに、本願開示に示す回路図、ブロック図、内部構成図、接続図などにおいて、明示は省略するが、入力ポート及び出力ポートが各接続線の入力端及び出力端のそれぞれに存在する。入出力インターフェイスも同様である。
　一実施形態に係る脆弱性調査システムは、端末１０１と、管理サーバ１０２と、配信サーバ１０３と、を含む（図１参照）。管理サーバ１０２は、端末１０１にインストールされているソフトウェアを管理する。配信サーバ１０３は、脆弱性が存在すると推定されるソフトウェアに関する情報を新規脆弱性情報として管理サーバ１０２に配信する。配信サーバ１０３は、収集部１１１と、解析部１１２と、を含む。収集部１１１は、ネットワークに公開された情報から、ソフトウェアの脆弱性に関する記載を収集する。解析部１１２は、収集された記載を解析し、所定の期間内における脆弱性調査対象のソフトウェアの脆弱性に関する記載の数を盛況度として算出し、算出された盛況度に応じて新規脆弱性情報を生成する。
　パーソナルコンピュータやサーバ等の情報端末に含まれているソフトウェアの脆弱性が何者かによって発見された場合、当該情報は媒体を通じて共有される。本願開示では、インターネットのようなネットワーク（媒体）で上記情報が共有される場合を想定している。一実施形態に係る脆弱性調査システムでは、インターネット上のホームページ等、Ｗｅｂ上でやり取りされる情報（公開情報）を解析する。より具体的には、配信サーバ１０３は、どのソフトウェアに関するどのような脆弱性情報のやり取りが行われている可能性が高いかを推定する。さらに、配信サーバ１０３は、当該推定した情報を元に、脆弱性を有する可能性のある端末の調査を自動的に開始できる。即ち、上記脆弱性調査システムは、ネットワークにおける公開情報の自動収集、自動解析を行い、脆弱性情報に関する情報交換の盛況度に応じて、脆弱性情報の公開前に、事前に設定したいくつかの調査項目に対して調査を開始するための仕組みを提案する。
　また、上記脆弱性調査システムは、脆弱性情報がベンダから正式に公開される前に、ダークウェブ等のコミュニティにて脆弱性情報がやり取りされることを積極的に活用する。具体的には、上記のようなコミュニティでは、ベンダによる脆弱性情報の公開前にも、脆弱性情報がすでに認知され、何らかの情報のやり取りが発生することがある。上記脆弱性調査システムでは、このような脆弱性情報の特性（ベンダによる公開前に情報交換が発生）が有する性質を利用して、事前に脆弱性情報の調査を始める。即ち、事前にやり取りされる脆弱性情報を迅速に入手できる。また、脆弱性情報を事前に入手することで、端末１０１に当該脆弱性情報に該当するソフトウェアがインストールされているか否かといった調査を早期に開始できる。
　以下に具体的な実施の形態について、図面を参照してさらに詳しく説明する。なお、各実施形態において同一構成要素には同一の符号を付し、その説明を省略する。
［第１の実施形態］
　第１の実施形態について、図面を用いてより詳細に説明する。
［構成の説明］
　図２は、第１の実施形態に係る脆弱性調査システムの概略構成の一例を示す図である。図２を参照すると、脆弱性調査システムには、配信サーバ１０と、管理サーバ２０と、端末３０と、が含まれる。
　配信サーバ１０は、脆弱性情報及び公開情報を管理し、管理サーバ２０に配信する装置である。より具体的には、配信サーバ１０は、脆弱性が存在すると推定されるソフトウェアに関する情報を「新規脆弱性情報」として管理サーバ２０に配信する装置である。
　配信サーバ１０は、脆弱性情報データベース（ＤＢ；Database）１１と、公開情報データベース１２と、脆弱性情報管理部１３と、公開情報収集部１４と、公開情報解析部１５と、を含んで構成される。
　脆弱性情報データベース１１は、脆弱性を有するソフトウェアの名称、脆弱性が顕在化する条件（例えば、バージョンや特定機能の有効／無効、パラメータ）、ＣＶＥ（Common Vulnerabilities and Exposures）番号、公開日等を格納するデータベースである。
　脆弱性情報管理部１３は、脆弱性情報データベース１１を管理する手段である。脆弱性情報管理部１３は、システムの管理者等から脆弱性情報を取得すると、当該情報を脆弱性情報データベース１１に格納する。
　公開情報収集部１４は、ネットワークに公開された情報からソフトウェアの脆弱性に関する記載を収集する手段である。公開情報収集部１４により収集された記載は、公開情報データベース１２に格納される。つまり、公開情報データベース１２は、公開情報収集部１４によりＷｅｂ公開情報４０から加工された情報を格納するデータベースである。
　なお、公開情報収集部１４は、サイトに書き込まれた文章の一文を情報収集の単位とすることができる。例えば、特定のユーザの１回の発言が公開情報収集部１４による情報収集の単位となる。あるいは、掲示板等のサイトから情報収集する場合には、１つのスレッドを情報収集の単位としてもよい。つまり、公開情報収集部１４は、任意の単位で公開情報を収集することができる。
 公開情報解析部１５は、公開情報収集部１４により収集された記載を解析する手段である。より具体的には、公開情報解析部１５は、収集された記載のうち、所定の期間内における脆弱性調査対象のソフトウェアの脆弱性に関する記載の数を盛況度として算出し、算出された盛況度に応じて新規脆弱性情報を生成する。
　公開情報解析部１５は、公開情報データベース１２に格納された情報を解析し、その結果に基づいて脆弱性を有するソフトウェアを推定する。公開情報解析部１５は、ソフトウェアに新規な脆弱性が存在する可能性が高い場合には、当該新規な脆弱性を有すると推定されるソフトウェアの詳細情報（例えば、ソフトウェア名称、バージョン）を新規脆弱性情報として管理サーバ２０に送信する。
　上述のように、公開情報解析部１５は、脆弱性調査対象のソフトウェアの脆弱性に関する「盛況度」に基づいて上記推定を行う。なお、盛況度とは、ソフトウェアの脆弱性に関して所定の期間内にユーザが言及した回数、頻度と捉えることも可能である。具体的には、特定のソフトウェアに関する脆弱性情報が一日のなかで頻繁に発生していれば、当該脆弱性に関する盛況度は「高い」ものとなる。対して、特定のソフトウェアに関する脆弱性情報が一日のなかでほとんど発生していなければ、当該脆弱性に関する盛況度は「低い」ものとなる。
　管理サーバ２０は、管理対象となる端末３０が使用されている企業等の組織に対して設置され、端末３０にインストールされているソフトウェアを管理する装置である。より具体的には、管理サーバ２０は、端末３０の脆弱性情報を管理する装置である。管理サーバ２０は、新規脆弱性情報から特定されるソフトウェアの端末３０における状況を調査するように、端末３０に指示する。つまり、管理サーバ２０は、配信サーバ１０が新規な脆弱性を有すると判断したソフトウェアが端末３０にインストールされているか否かを調査する。
　管理サーバ２０は、脆弱性情報データベース２１と、端末情報データベース２２と、脆弱性情報管理部２３と、端末情報管理部２４と、管理画面提供部２５と、を含んで構成される。
　脆弱性情報データベース２１に含まれる項目（内容、情報）は、脆弱性情報データベース１１と同じである。脆弱性情報データベース２１は、配信サーバ１０から配布された情報を格納する。
　脆弱性情報管理部２３は、配信サーバ１０から配布された情報を受け取る機能と、脆弱性情報データベース２１に当該情報を格納する機能と、脆弱性の調査・対策の対象とする端末３０にスクリプトを配信する機能と、備える。
　また、脆弱性情報管理部２３は、配信サーバ１０から新規脆弱性情報を取得すると、当該情報を端末３０に送信する。脆弱性情報管理部２３は、新規脆弱性情報を端末３０に送信することで、端末３０に新規脆弱性情報に該当するソフトウェアが存在するか否かを問い合わせる。
　端末情報データベース２２は、管理対象である各端末３０にインストールされているソフトウェアやそのバージョンを保持するデータベースである。端末情報管理部２４は、端末３０から収集した情報を管理するための手段である。具体的には、端末情報管理部２４は、各端末３０のソフトウェア構成等を端末情報データベース２２に登録する。
　管理画面提供部２５は、２つのデータベースの情報を元に管理画面の生成を行い、組織の管理者（例えば、セキュリティ管理者）に情報提供を行うための画面を生成する手段である。管理者は、管理画面提供部２５により提供される画面を用いて自組織の端末情報や脆弱性情報を確認することができる。
　なお、図２には１台の端末３０に限り図示しているが、実際には、管理サーバ２０は、複数の端末３０を管理の対象とする。
　端末３０は、例えば、パーソナルコンピュータやサーバ等のＩＴ資産である。端末３０は、管理サーバ２０による管理対象である。つまり、管理サーバ２０と端末３０は、脆弱性情報や端末情報を管理し、管理される関係にある。
　端末３０は、端末情報データベース３１と、調査対策実行部３２と、調査対策結果返送部３３と、を含んで構成される。
　調査対策実行部３２は、管理サーバ２０から受信したスクリプトを用いて、自装置内で所定のスクリプトを実行する機能を有する。
　調査対策結果返送部３３が、当該スクリプトの実行結果を管理サーバ２０に送信する。
　端末情報データベース３１は、自装置にインストールされているソフトウェアやそのバージョンを保持するデータベースである。
　調査対策実行部３２は、端末情報データベース３１にアクセスし、新規脆弱性情報に該当するソフトウェアが自装置に存在するか否かを確認する。確認結果は、調査対策結果返送部３３を介して管理サーバ２０に送信される。
［ハードウェア構成］
　続いて、図面を参照しつつ、各装置のハードウェア構成を説明する。
　図３は、第１の実施形態に係る配信サーバ１０のハードウェア構成の一例を示すブロック図である。
　配信サーバ１０は、情報処理装置（コンピュータ）により構成可能であり、図３に例示する構成を備える。例えば、配信サーバ１０は、内部バスにより相互に接続される、ＣＰＵ（Central Processing Unit）５１、メモリ５２、入出力インターフェイス５３及び通信手段であるＮＩＣ（Network Interface Card）５４等を備える。
　但し、図３に示す構成は、配信サーバ１０のハードウェア構成を限定する趣旨ではない。配信サーバ１０は、図示しないハードウェアを含んでもよいし、必要に応じて入出力インターフェイス５３を備えていなくともよい。また、配信サーバ１０に含まれるＣＰＵ等の数も図３の例示に限定する趣旨ではなく、例えば、複数のＣＰＵ５１が配信サーバ１０に含まれていてもよい。
　メモリ５２は、ＲＡＭ（Random Access Memory）、ＲＯＭ（Read Only Memory）、補助記憶装置（ハードディスク等）である。
　入出力インターフェイス５３は、図示しない表示装置や入力装置のインターフェイスとなる手段である。表示装置は、例えば、液晶ディスプレイ等である。入力装置は、例えば、キーボードやマウス等のユーザ操作を受け付ける装置である。
　配信サーバ１０の機能は、上述の処理モジュールにより実現される。当該処理モジュールは、例えば、メモリ５２に格納されたプログラムをＣＰＵ５１が実行することで実現される。また、そのプログラムは、ネットワークを介してダウンロードするか、あるいは、プログラムを記憶した記憶媒体を用いて、更新することができる。さらに、上記処理モジュールは、半導体チップにより実現されてもよい。即ち、上記処理モジュールが行う機能を何らかのハードウェア、及び／又は、ソフトウェアで実行する手段があればよい。
　なお、管理サーバ２０や端末３０も配信サーバ１０と同様に情報処理装置により構成可能であり、その基本的なハードウェア構成は配信サーバ１０と相違する点は無いので説明を省略する。
　第１の実施形態に係る脆弱性調査システムの動作に関する説明に先立ち、Ｗｅｂ公開情報４０の性質について説明する。
　Ｗｅｂ公開情報４０に含まれる脆弱性情報は、下記の性質を有すると想定する。具体的には、特定のソフトウェアの脆弱性情報がベンダによって発見され、当該脆弱性情報の公開及び対策が処される間に、図４に示すようなタイムラインの流れが想定される。
　図４は、横軸を時間、縦軸を盛況度とするグラフである。図４に示すように、盛況度がピークを迎えるのは、ベンダが脆弱性情報を公開した後である。その後、盛況度は、脆弱性に対する対策の実行と共に次第に落ち着く（盛況度が下がる）。
　しかしながら、ベンダによる脆弱性情報の公開前にも、脆弱性情報がすでに認知されているコミュニティでは、何らかの情報のやり取りが発生することがある。具体的には、図４に示すように、ピーク時以外（ピーク時以前）にも、盛況度が高くなる時間（期間）が存在する。
　第１の実施形態に係る脆弱性調査システムでは、このような脆弱性情報の盛況度が有する性質を利用して、事前に脆弱性情報の調査を始める。具体的には、第１の実施形態では、上記コミュニティ等で脆弱性が話題となっているソフトウェアが端末３０にインストールされているか否か等の調査を、ベンダが脆弱性を正式に発表する前に開始する。
　次に、公開情報の取り扱いについて説明する。
　本願開示では、公開情報に関して、ソフトウェアごとに固有で使用される情報と、脆弱性という考え方について共通で使用される情報と、２種類の分類を行う。
　具体的には、公開情報は、ソフトウェアを一意に特定するための情報と、脆弱性に関連する情報と、に分類される。以下の説明では、ソフトウェアを一意に特定するための情報を、ソフトウェア（ＳＷ；Soft Ware）情報と表記する。
　ＳＷ情報は、ソフトウェア名、バージョン情報、設定値などの情報である。ＳＷ情報については、１つのソフトウェアを１単位として管理する。
　脆弱性に関する情報は、さらに２種類の情報に分類される。
　第１の情報は、脆弱性と関連する用語である。
　第２の情報は、新規の脆弱性ではなく既知の脆弱性に関する情報交換がなされる際に用いられる用語である。
　以下の説明では、第１の情報を「脆弱性用語」と表記し、第２の情報を「非新規脆弱性用語」と表記する。
　脆弱性用語の例としては、「脆弱性」、「ｖｕｌｎｅｒａｂｉｌｉｔｙ」、「セキュリティホール」、「ｒｏｏｔ」、「ａｕｔｈ」等がある。非新規脆弱性用語の例としては、「セミナー」、「勉強会」、「かつて」等がある。
　なお、どのような用語や情報が、上記ＳＷ情報、脆弱性用語、非新規脆弱性用語に該当するかといった情報は、配信サーバ１０の各処理モジュールがアクセス可能なデータベースやテーブルに予め登録しておく。
［動作の説明］
　続いて、図面を参照しつつ、各装置の動作のついて説明する。
　図５は、配信サーバ１０による公開情報の収集動作の一例を示すフローチャートである。初めに、システムの管理者は、配信サーバ１０に公開情報の収集動作に関する設定を行う。具体的には、管理者は、「巡回するサイトのＵＲＬ（Uniform Resource Locator）」、「巡回方法」、「巡回条件」、「巡回するサイトの重要度」等を配信サーバ１０に設定する。
　例えば、管理者は、ＵＲＬと、ＵＲＬ内のリンクを巡回すること（巡回方法）、特定のタグの情報を抜き出すこと（巡回条件）等を配信サーバ１０に設定する。
　なお、巡回するサイトの重要度とは、巡回先となるサイトの情報源としての信頼度を表す項目である。例えば、多数の利用者が更新可能なサイトであれば重要度は低く設定され、ベンダが運営する正式な情報公開サイトであれば重要度は高く（例えば、最大に）設定される。配信サーバ１０は、当該重要度を利用して、重要度が高いサイトを優先して巡回する等の対応を行ってもよい。
　配信サーバ１０は、設定された内容（巡回条件）に基づき、各サイトを巡回する（ステップＳ１０１）。その際、配信サーバ１０は、一定周期で各サイトを巡回し、登録された巡回方法を順に実行する。このように、配信サーバ１０は、ソフトウェアの脆弱性に関する記載を収集するためにアクセスするサイトに関する設定情報（管理者が設定する情報）に基づき、ソフトウェアの脆弱性に関する記載を収集する。
　配信サーバ１０の公開情報収集部１４は、巡回先のサイトから情報を取得すると、当該取得した情報に、脆弱性情報が含まれる否かを判断する（ステップＳ１０２）。具体的には、公開情報収集部１４は、取得した情報に、上記ＳＷ情報、脆弱性用語及び非新規脆弱性用語のうち少なくとも１つが含まれるか否かを判定する。
　取得した情報（記載）のなかに、ＳＷ情報、脆弱性用語、非新規脆弱性用語が含まれなければ（ステップＳ１０２、Ｎｏ分岐）、配信サーバ１０は処理を終了する。
　脆弱性情報が含まれれば（ステップＳ１０２、Ｙｅｓ分岐）、公開情報収集部１４は、取得した情報に含まれる用語、文言に応じた属性を取得情報に付与し、公開情報データベース１２に登録する（ステップＳ１０３）。
　例えば、公開情報収集部１４は、「ソフトウェアＡのバージョン０１に脆弱性あり」という情報を取得した場合には、当該情報のＳＷ情報に基づき取得情報を整理すると共に、当該情報に「脆弱性用語あり」の属性を付与して公開情報データベース１２に登録する。あるいは、公開情報収集部１４は、「勉強会で、ソフトウェアＡのバージョン０１に脆弱性ありの報告」という情報を取得した場合には、当該情報に「脆弱性用語あり」、「非新規脆弱性用語あり」の属性を付与して公開情報データベース１２に登録する。
　公開情報収集部１４は、取得した情報を識別するＩＤ（Identifier）、情報の取得日時等も合わせて公開情報データベース１２に登録する。
　公開情報収集部１４の動作により、図６に示すような公開情報データベース１２が構築される。図６を参照すると、例えば、ソフトウェア情報（ソフトウェアＡのバージョン０１、ソフトウェアＢのバージョン０２）ごとに、各取得情報に脆弱性用語、非新規脆弱性用語が含まれていたか否かが管理される。
　このように、配信サーバ１０は、収集した情報が上述の３つに分類したいずれかに関係するかの判定を行い、合致するものがあれば、公開情報データベース１２に関連情報を追加する。公開情報データベース１２に格納する情報は、単に単語の羅列ではなく、使用する解析技術に依存した関連情報を指定される。
　図７は、配信サーバ１０の脆弱性調査情報の入力動作の一例を示すフローチャートである。
　管理者は、任意のタイミングで脆弱性の調査対象に関する情報を配信サーバ１０に入力する。例えば、管理者は、システムの運用開始前に認識している脆弱性調査対象の情報を入力する。例えば、管理者は、ソフトウェアの名称及びそのバージョンを指定して「脆弱性調査対象」として配信サーバ１０に入力する。あるいは、管理者は、システムの運用開始後に参考にした公開情報を元にして、脆弱性調査対象を入力することができる。
　配信サーバ１０の公開情報解析部１５は、管理者から、脆弱性調査対象のソフトウェアを特定するための脆弱性調査情報を取得する（ステップＳ２０１）。具体的には、公開情報解析部１５は、脆弱性調査の対象となるソフトウェア名、設定項目を表現するキーワード（例えば、バージョン）等を１レコードとする脆弱性調査対象を取得する。
　また、管理者は、脆弱性調査にあたり、具体的な調査スクリプトやコマンド等が用意できる場合には、これらの情報も配信サーバ１０に入力する。
　続いて、配信サーバ１０による新規脆弱性情報の生成について説明する。図８は、配信サーバ１０による新規脆弱性情報の生成動作の一例を示すフローチャートである。
　配信サーバ１０は、図８のフローチャートに従って、脆弱性調査対象となっているソフトウェア（ＳＷ情報）の盛況度を算出し、当該算出した盛況度に応じて調査対象に脆弱性があるいか否か（あるいは、脆弱性が存在する可能性が高いか否か）を判定する。換言すれば、配信サーバ１０は、端末３０に調査対象が存在するか否かの調査を実行する必要があるか否かを判定する。具体的には、配信サーバ１０は、収集された公開情報に基づいて構成された公開情報データベース１２を用いて以下の解析を実施する。
　初めに、公開情報解析部１５は、先に取得した脆弱性調査情報から特定される調査対象に該当するエントリを公開情報データベース１２から抽出する（ステップＳ３０１）。その際、公開情報解析部１５は、公開情報データベース１２の取得日時フィールドを参照し、所定期間内のエントリのうち脆弱性調査対象に該当するＳＷ情報を有するエントリを抽出する。
　図６の例では、ソフトウェアＡのバージョン０１（ＳＷ＿Ａ；Ｖ０１）とソフトウェアＢのバージョン０２（ＳＷ＿Ｂ；Ｖ０２）が脆弱性調査対象であれば、取得情報ＩＤがＩＤ１～ＩＤ９であるエントリが抽出される。
　次に、公開情報解析部１５は、抽出したエントリのうち新規の脆弱性に関するエントリを特定する（ステップＳ３０２）。具体的には、公開情報解析部１５は、脆弱性用語を有するエントリの集合から非新規脆弱性用語を有するエントリの集合の差分を演算し、新規の脆弱性に関するエントリを特定する。
　図６の例では、ＩＤ２、ＩＤ６、ＩＤ８のエントリは、非新規脆弱性用語が含まれるので、これらを除外したエントリの集合である｛ＩＤ１、ＩＤ３、ＩＤ４、ＩＤ５、ＩＤ７、ＩＤ９｝が特定される。
　その後、公開情報解析部１５は、それぞれのエントリ（情報交換）に関して、ＳＷ情報を用いて、どのソフトウェアに関しての情報交換がなされているかの推定を行う（ステップＳ３０３）。
　図６の例では、ソフトウェアＡのバージョン０１に関する情報交換のエントリは、ＩＤ１、ＩＤ３、ＩＤ４、ＩＤ７である。また、ソフトウェアＢのバージョン０２に関する情報交換のエントリは、ＩＤ５、ＩＤ９である。
　次に、公開情報解析部１５は、推定したエントリに基づいて各ＳＷ情報ごとのランク付けを行う（ステップＳ３０４）。具体的には、公開情報解析部１５は、各ＳＷ情報ごとに情報交換がなされたエントリの数を計数し、盛況度を算出する。
　上述の例では、ソフトウェアＡのバージョン０１に関しては４つのエントリが存在するので、盛況度は「４」となる。また、ソフトウェアＢのバージョン０２に関しては２つのエントリが存在するので、盛況度は「２」となる。このように、公開情報解析部１５は、収集された記載のうち、非新規脆弱性用語を含む記載を除外して、盛況度（評価スコア）を算出する。
　公開情報解析部１５は、算出した盛況度を並べてＳＷ情報をランク付けする。上記の例では、ソフトウェアＡのバージョン０１に関するＳＷ情報がソフトウェアＢのバージョン０２に関するＳＷ情報よりも上位にランク付けされる。
　公開情報解析部１５は、作成したランクの上位からＮ（Ｎは任意な正の整数、以下同じ）件のＳＷ情報を「新規脆弱性情報」として、管理サーバ２０の脆弱性情報管理部２３に送信する（ランク上位からの調査指示；ステップＳ３０５）。例えば、上記の例では、ソフトウェアＡのバージョン０１に係るＳＷ情報が新規脆弱性情報として管理サーバ２０に送信される。
　上記説明では、公開情報解析部１５は、生成したランクの上位Ｎ件から新規脆弱性情報を生成しているが、所定の閾値以上の盛況度を有するＳＷ情報から新規脆弱性情報を生成しても良い。つまり、公開情報解析部１５は、予め定めた条件に合致する盛況度に対応する脆弱性調査対象のソフトウェアを特定する情報を「新規脆弱性情報」として管理サーバ２０に送信する。
　続いて、管理サーバ２０の管理動作について説明する。図９は、管理サーバ２０及び端末３０の動作の一例を示すシーケンス図である。
　管理サーバ２０の脆弱性情報管理部２３は、端末情報データベース２２を参照し、端末３０に対して、新規脆弱性情報の調査指示が必要か否かを判定する（ステップＳ４０１）。具体的には、脆弱性情報管理部２３は、端末情報データベース２２に上記新規脆弱性情報が含まれているか否かに応じて、上記判定を行う。
　つまり、端末情報データベース２２に新規脆弱性情報が登録されていれば、端末３０に当該新規脆弱性情報に該当するソフトウェアがインストールされていることを意味するので、脆弱性情報管理部２３は、新たな調査指示は不要と判定する。
　端末情報データベース２２に新規脆弱性情報が登録されていなければ、端末３０に当該新規脆弱性情報に該当するソフトウェアがインストールされているか否かが不明であるため、脆弱性情報管理部２３は、調査指示は必要と判定する。
　調査指示が不要であれば（ステップＳ４０１、Ｎｏ分岐）、処理は修了する。
　調査指示が必要であれば（ステップＳ４０１、Ｙｅｓ分岐）、脆弱性情報管理部２３は、調査指示を端末３０に送信する（ステップＳ４０２）。具体的には、脆弱性情報管理部２３は、新規脆弱性情報を端末３０に向けて送信し、当該情報に該当するソフトウェアが端末３０に含まれるか否かの調査を指示する。
　調査指示を受け取った端末３０は、調査対策実行部３２が調査を実施する（ステップＳ５０１）。その後、端末３０の調査対策結果返送部３３は、調査結果を管理サーバ２０に返送する（ステップＳ５０２）。
　管理サーバ２０の端末情報管理部２４は、調査結果を端末情報データベース２２に登録する（ステップＳ４０３）。
　なお、上記調査に並行して、管理サーバ２０は、管理者にも管理画面もしくはメール等の送信などにより、調査が必要と思われるあるソフトウェアの設定項目に関しての推定情報（新規脆弱性情報）の通知を行うのが望ましい。当該通知に接した管理者は、必要に応じて、調査方法の登録フローに従って情報の追加を行うことができる。
　次に、管理者による脆弱性の確認動作について説明する。図１０は、管理者による脆弱性の確認動作の一例を示すフローチャートである。
　管理者は、管理サーバ２０により提供される管理画面にアクセスし、現在公開されている脆弱性情報を確認する（ステップＳ６０１、Ｓ６０２）。
　管理者は、事前に調査が開始されている項目であれば（端末３０における事前調査が完了していれば）、各端末３０における調査状況を確認する（ステップＳ６０３、Ｙｅｓ分岐；ステップＳ６０４）。
　管理者は、事前に調査が開始されている項目でなければ、ソフトウェアの提供元による調査スクリプトの配布を待つ（ステップＳ６０３、Ｎｏ分岐；ステップＳ６０５）。
　以上のように、第１の実施形態に係る配信サーバ１０は、事前に登録したＳＷ情報、脆弱性用語、非新規脆弱性用語を含む記載をベンダが提供するサイトからだけでなく、所謂、ダークウェブと称されるサイトからも取得する。ダークウェブ等に形成されるコミュニティでは、ベンダからの正式な脆弱性情報の公表前に脆弱性情報がやり取りされることがある。配信サーバ１０は、このようなサイトからも積極的に情報を収集し、ベンダから脆弱性に関する情報が正式発表される前にソフトウェアに脆弱性が存在する可能性を推定する。具体的には、配信サーバ１０は、上記サイトにて特定のソフトウェア及び特定のバージョンに関して脆弱性に関する議論が盛んであれば、上記特定のソフトウェア及びバージョンには何らかの脆弱性が存在すると推定する。その結果、管理サーバ２０は、ベンダから脆弱性が公表される前に、管理対象となっている端末３０に脆弱性が疑われるバージョンのソフトウェアがインストールされているか否かといった調査を事前且つ迅速に実行することができる。
　即ち、脆弱性情報がベンダーサイトなどから公開された場合、ソフトウェア提供元からの調査スクリプトの配布を待たずに、組織内の端末に対して、ただちに調査を開始することができ、公開までの時間が短縮できる。換言すれば、脆弱性情報の公開前でも盛況度からの推定で、複数の調査を事前に実施しておくことができる。その結果、仮に当該脆弱性情報が公開されたときに、すでに調査が開始している状態にすることができ、調査完了までの時間が短縮できる。
［変形例］
　上記実施形態にて説明したシステムの構成や動作は例示であって、システムの構成や動作を限定する趣旨ではない。例えば、管理サーバ２０の機能が配信サーバ１０に組み込まれていてもよい。
　また、脆弱性調査情報を配信サーバ１０に登録することに関しては、手動で調査スクリプトを登録することに加え、キーワードを解析して調査スクリプトを自動生成する技術と組み合わせても良い。
　上記実施形態では、盛況度に基づいて新規脆弱性情報を生成しているが、当該情報の生成の際にサイト毎の重要度を加味しても良い。例えば、重要度の高いサイトから取得した記載から生成された盛況度には高いスコアを与える等の対応をしてもよい。
　また、上述の説明で用いた複数のフローチャートでは、複数の工程（処理）が順番に記載されているが、各実施形態で実行される工程の実行順序は、その記載の順番に制限されない。各実施形態では、例えば各処理を並行して実行する等、図示される工程の順番を内容的に支障のない範囲で変更することができる。また、上述の各実施形態は、内容が相反しない範囲で組み合わせることができる。
　上記の実施形態の一部又は全部は、以下の形態のようにも記載され得るが、以下には限られない。
［形態１］
　上述の第１の視点に係る脆弱性調査システムのとおりである。
［形態２］
　前記収集部は、
　ソフトウェアを一意に特定するソフトウェア情報、ソフトウェアの脆弱性に関する脆弱性用語及び既知の脆弱性に関する情報交換がなされる際に用いられる非新規脆弱性用語の少なくとも１つを含む記載を収集する、好ましくは形態１の脆弱性調査システム。
［形態３］
　前記解析部は、
　前記収集された記載のうち、前記非新規脆弱性用語を含む記載を除外して、前記盛況度を算出する、好ましくは形態２の脆弱性調査システム。
［形態４］
　前記解析部は、
　前記脆弱性調査対象のソフトウェアを特定するための脆弱性調査情報を取得する、好ましくは形態１乃至３のいずれか一に記載の脆弱性調査システム。
［形態５］
　前記収集部は、
　ソフトウェアの脆弱性に関する記載を収集するためにアクセスするサイトに関する情報に基づき、ソフトウェアの脆弱性に関する記載を収集する、好ましくは形態１乃至４のいずれか一に記載の脆弱性調査システム。
［形態６］
　前記解析部は、
　予め定めた条件に合致する前記盛況度に対応する前記脆弱性調査対象のソフトウェアを特定する情報を前記新規脆弱性情報として前記管理サーバに送信する、好ましくは形態１乃至５のいずれか一に記載の脆弱性調査システム。
［形態７］
　前記管理サーバは、前記新規脆弱性情報から特定されるソフトウェアの前記端末における状況を調査するように、前記端末に指示する、好ましくは形態６の脆弱性調査システム。
［形態８］
　上述の第２の視点に係る配信サーバのとおりである。
［形態９］
　上述の第３の視点に係る脆弱性調査方法のとおりである。
［形態１０］
　上述の第４の視点に係るプログラムのとおりである。
　なお、形態８～１０は、形態１と同様に、形態２～形態７のように展開することが可能である。
　なお、引用した上記の特許文献の開示は、本書に引用をもって繰り込むものとする。本発明の全開示（請求の範囲を含む）の枠内において、さらにその基本的技術思想に基づいて、実施形態ないし実施例の変更・調整が可能である。また、本発明の全開示の枠内において種々の開示要素（各請求項の各要素、各実施形態ないし実施例の各要素、各図面の各要素等を含む）の多様な組み合わせ、ないし、選択が可能である。すなわち、本発明は、請求の範囲を含む全開示、技術的思想にしたがって当業者であればなし得るであろう各種変形、修正を含むことは勿論である。特に、本書に記載した数値範囲については、当該範囲内に含まれる任意の数値ないし小範囲が、別段の記載のない場合でも具体的に記載されているものと解釈されるべきである。
１０、１０３　配信サーバ
１１、２１　脆弱性情報データベース（ＤＢ）
１２　公開情報データベース（ＤＢ）
１３、２３　脆弱性情報管理部
１４　公開情報収集部
１５　公開情報解析部
２０、１０２　管理サーバ
２２、３１　端末情報データベース（ＤＢ）
２４　端末情報管理部
２５　管理画面提供部
３０、１０１　端末
３２　調査対策実行部
３３　調査対策結果返送部
４０　Ｗｅｂ公開情報
５１　ＣＰＵ（Central Processing Unit）
５２　メモリ
５３　入出力インターフェイス
５４　ＮＩＣ（Network Interface Card）
１１１　収集部
１１２　解析部

Claims (10)

  1. 　端末と、
    　前記端末にインストールされているソフトウェアを管理する管理サーバと、
    　脆弱性が存在すると推定されるソフトウェアに関する情報を新規脆弱性情報として前記管理サーバに配信する、配信サーバと、
    　を含み、
    　前記配信サーバは、
    　ネットワークに公開された情報から、ソフトウェアの脆弱性に関する記載を収集する、収集部と、
    　前記収集された記載を解析し、所定の期間内における脆弱性調査対象のソフトウェアの脆弱性に関する記載の数を盛況度として算出し、前記算出された盛況度に応じて前記新規脆弱性情報を生成する、解析部と、
    　を備える、脆弱性調査システム。
  2. 　前記収集部は、
    　ソフトウェアを一意に特定するソフトウェア情報、ソフトウェアの脆弱性に関する脆弱性用語及び既知の脆弱性に関する情報交換がなされる際に用いられる非新規脆弱性用語の少なくとも１つを含む記載を収集する、請求項１の脆弱性調査システム。
  3. 　前記解析部は、
    　前記収集された記載のうち、前記非新規脆弱性用語を含む記載を除外して、前記盛況度を算出する、請求項２の脆弱性調査システム。
  4. 　前記解析部は、
    　前記脆弱性調査対象のソフトウェアを特定するための脆弱性調査情報を取得する、請求項１乃至３のいずれか一項に記載の脆弱性調査システム。
  5. 　前記収集部は、
    　ソフトウェアの脆弱性に関する記載を収集するためにアクセスするサイトに関する情報に基づき、ソフトウェアの脆弱性に関する記載を収集する、請求項１乃至４のいずれか一項に記載の脆弱性調査システム。
  6. 　前記解析部は、
    　予め定めた条件に合致する前記盛況度に対応する前記脆弱性調査対象のソフトウェアを特定する情報を前記新規脆弱性情報として前記管理サーバに送信する、請求項１乃至５のいずれか一項に記載の脆弱性調査システム。
  7. 　前記管理サーバは、前記新規脆弱性情報から特定されるソフトウェアの前記端末における状況を調査するように、前記端末に指示する、請求項６の脆弱性調査システム。
  8. 　ネットワークに公開された情報から、ソフトウェアの脆弱性に関する記載を収集する、収集部と、
    　前記収集された記載を解析し、所定の期間内における脆弱性調査対象のソフトウェアの脆弱性に関する記載の数を盛況度として算出し、前記算出された盛況度に応じて脆弱性が存在すると推定されるソフトウェアに関する情報である新規脆弱性情報を生成する、解析部と、
    　を備え、
    　前記新規脆弱性情報を、端末にインストールされているソフトウェアを管理する管理サーバに配信する、配信サーバ。
  9. 　端末にインストールされているソフトウェアを管理する管理サーバに、脆弱性が存在すると推定されるソフトウェアに関する情報を新規脆弱性情報として配信する、配信サーバにおいて、
    　ネットワークに公開された情報から、ソフトウェアの脆弱性に関する記載を収集するステップと、
    　前記収集された記載を解析し、所定の期間内における脆弱性調査対象のソフトウェアの脆弱性に関する記載の数を盛況度として算出するステップと、
    　前記算出された盛況度に応じて脆弱性が存在すると推定されるソフトウェアに関する情報である新規脆弱性情報を生成するステップと、
    　を含む、脆弱性調査方法。
  10. 　端末にインストールされているソフトウェアを管理する管理サーバに、脆弱性が存在すると推定されるソフトウェアに関する情報を新規脆弱性情報として配信する、配信サーバに搭載されたコンピュータに、
    　ネットワークに公開された情報から、ソフトウェアの脆弱性に関する記載を収集する処理と、
    　前記収集された記載を解析し、所定の期間内における脆弱性調査対象のソフトウェアの脆弱性に関する記載の数を盛況度として算出する処理と、
    　前記算出された盛況度に応じて脆弱性が存在すると推定されるソフトウェアに関する情報である新規脆弱性情報を生成する処理と、
    　を実行させるプログラム。
PCT/JP2019/011584 2018-03-20 2019-03-19 脆弱性調査システム、配信サーバ、脆弱性調査方法及びプログラム WO2019181979A1 (ja)

Priority Applications (2)

Application Number Priority Date Filing Date Title
JP2020507855A JP7004063B2 (ja) 2018-03-20 2019-03-19 脆弱性調査システム、配信サーバ、脆弱性調査方法及びプログラム
US16/980,163 US20210012014A1 (en) 2018-03-20 2019-03-19 Vulnerability checking system, distribution server, vulnerability checking method and program

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
JP2018-052787 2018-03-20
JP2018052787 2018-03-20

Publications (1)

Publication Number Publication Date
WO2019181979A1 true WO2019181979A1 (ja) 2019-09-26

Family

ID=67987691

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/JP2019/011584 WO2019181979A1 (ja) 2018-03-20 2019-03-19 脆弱性調査システム、配信サーバ、脆弱性調査方法及びプログラム

Country Status (4)

Country Link
US (1) US20210012014A1 (ja)
JP (1) JP7004063B2 (ja)
TW (1) TW201941094A (ja)
WO (1) WO2019181979A1 (ja)

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN111382446A (zh) * 2020-03-15 2020-07-07 黎明职业大学 一种计算机软件常见漏洞的探测方法

Families Citing this family (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US11438361B2 (en) * 2019-03-22 2022-09-06 Hitachi, Ltd. Method and system for predicting an attack path in a computer network
US20220179908A1 (en) * 2020-12-03 2022-06-09 Institute For Information Industry Information security device and method thereof

Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2015035061A (ja) * 2013-08-08 2015-02-19 富士通株式会社 仮想マシン管理方法、仮想マシン管理プログラム及び仮想マシン管理装置
JP2017224053A (ja) * 2016-06-13 2017-12-21 株式会社日立製作所 脆弱性リスク評価システムおよび脆弱性リスク評価方法
JP2017224150A (ja) * 2016-06-15 2017-12-21 日本電信電話株式会社 解析装置、解析方法および解析プログラム

Patent Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2015035061A (ja) * 2013-08-08 2015-02-19 富士通株式会社 仮想マシン管理方法、仮想マシン管理プログラム及び仮想マシン管理装置
JP2017224053A (ja) * 2016-06-13 2017-12-21 株式会社日立製作所 脆弱性リスク評価システムおよび脆弱性リスク評価方法
JP2017224150A (ja) * 2016-06-15 2017-12-21 日本電信電話株式会社 解析装置、解析方法および解析プログラム

Non-Patent Citations (1)

* Cited by examiner, † Cited by third party
Title
KAWAKITA ET AL: "approach of solution", IEICE, vol. 115, 25 February 2016 (2016-02-25), pages 59 - 64 *

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN111382446A (zh) * 2020-03-15 2020-07-07 黎明职业大学 一种计算机软件常见漏洞的探测方法

Also Published As

Publication number Publication date
JP7004063B2 (ja) 2022-01-21
US20210012014A1 (en) 2021-01-14
JPWO2019181979A1 (ja) 2021-02-25
TW201941094A (zh) 2019-10-16

Similar Documents

Publication Publication Date Title
US11870802B1 (en) Identifying automated responses to security threats based on communication interactions content
AU2019219712B2 (en) System and methods for identifying compromised personally identifiable information on the internet
CN107465651B (zh) 网络攻击检测方法及装置
CN108780485B (zh) 基于模式匹配的数据集提取
EP3713191B1 (en) Identifying legitimate websites to remove false positives from domain discovery analysis
WO2019181979A1 (ja) 脆弱性調査システム、配信サーバ、脆弱性調査方法及びプログラム
CN111786966A (zh) 浏览网页的方法和装置
US20130179421A1 (en) System and Method for Collecting URL Information Using Retrieval Service of Social Network Service
CN111079138A (zh) 异常访问检测方法、装置、电子设备及可读存储介质
JP2018196054A (ja) 評価プログラム、評価方法および情報処理装置
US10560473B2 (en) Method of network monitoring and device
JP6623128B2 (ja) ログ分析システム、ログ分析方法及びログ分析装置
KR100655492B1 (ko) 검색엔진을 이용한 웹서버 취약점 점검 시스템 및 방법
CN109560960B (zh) Waf暴力破解防护的参数配置方法及装置、waf***
CN116074280A (zh) 应用入侵防御***识别方法、装置、设备和存储介质
KR102022984B1 (ko) 웹 기반의 sso 서비스 방법
US12034731B2 (en) Evaluating access requests using assigned common actor identifiers
US20220247750A1 (en) Evaluating access requests using assigned common actor identifiers
Xia et al. Old Wine in A New Bottle: A Homogeneous Fraud Sites Discovery Framework
GENGE et al. Identifying chains of software vulnerabilities: a passive non-intrusive methodology
JP2017049881A (ja) サーバ装置、サーバ装置の制御方法、及びプログラム

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 19770822

Country of ref document: EP

Kind code of ref document: A1

ENP Entry into the national phase

Ref document number: 2020507855

Country of ref document: JP

Kind code of ref document: A

NENP Non-entry into the national phase

Ref country code: DE

122 Ep: pct application non-entry in european phase

Ref document number: 19770822

Country of ref document: EP

Kind code of ref document: A1