WO2020050355A1 - 脆弱性情報管理装置、脆弱性情報管理方法、およびプログラム - Google Patents

脆弱性情報管理装置、脆弱性情報管理方法、およびプログラム Download PDF

Info

Publication number
WO2020050355A1
WO2020050355A1 PCT/JP2019/034930 JP2019034930W WO2020050355A1 WO 2020050355 A1 WO2020050355 A1 WO 2020050355A1 JP 2019034930 W JP2019034930 W JP 2019034930W WO 2020050355 A1 WO2020050355 A1 WO 2020050355A1
Authority
WO
WIPO (PCT)
Prior art keywords
information
vulnerability
product
component
user
Prior art date
Application number
PCT/JP2019/034930
Other languages
English (en)
French (fr)
Inventor
史博 水野
和義 杉山
順一 中貝
正一 村上
亘 小柳
谷川　智彦
Original Assignee
Ｎｅｃソリューションイノベータ株式会社
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Ｎｅｃソリューションイノベータ株式会社 filed Critical Ｎｅｃソリューションイノベータ株式会社
Priority to JP2020541293A priority Critical patent/JP7173619B2/ja
Publication of WO2020050355A1 publication Critical patent/WO2020050355A1/ja

Links

Images

Classifications

    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/57—Certifying or maintaining trusted computer platforms, e.g. secure boots or power-downs, version controls, system software checks, secure updates or assessing vulnerabilities

Definitions

  • the present invention relates to a technology for managing vulnerabilities in products.
  • Patent Documents 1 to 5 Examples of techniques for managing vulnerabilities are disclosed in Patent Documents 1 to 5 below.
  • Japanese Patent Application Laid-Open No. H11-163873 obtains software installed in a target device and configuration information including the version of the software and the application status of a service pack, and based on the configuration information, obtains a vulnerability.
  • JP 2014-130502 A WO 2013/035181 JP 2010-067216 A JP 2017-174378 A JP 2015-114833 A
  • One product is basically configured by combining various elements (hardware parts and software parts). If any of the components (hereinafter, also referred to as “components”) constituting one product has vulnerability, the product is affected by the vulnerability. There is a need to know what vulnerabilities exist in which parts of products handled by users.
  • the present invention has been made in view of the above problems.
  • One of the objects of the present invention is to provide a technique for easily grasping what kind of vulnerability exists in which part of a product handled by a user.
  • the vulnerability information management device of the present invention includes: User identification information acquisition means for acquiring user identification information; Product identification means for identifying one or more products associated with the acquired user identification information; For each of the specified one or more products, product configuration information obtaining means for obtaining product configuration information indicating a component of the product; Referring to the vulnerability information storage unit that stores vulnerability information of each element that can be a component of the product for each element, among the components corresponding to the obtained product configuration information, Vulnerability identification means to identify, Output means for outputting information indicating the component having the vulnerability to a user terminal in association with information indicating a product including the component, Is provided.
  • the vulnerability information management method of the present invention includes: Computer Get user identification information, Identifying one or more products associated with the obtained user identification information; For each of the specified one or more products, obtain product configuration information indicating a component of the product; Referring to the vulnerability information storage unit that stores vulnerability information of each element that can be a component of the product for each element, among the components corresponding to the obtained product configuration information, Identify The information indicating the component having the vulnerability is output to the user terminal in association with the information indicating the product including the component, Including.
  • the program of the present invention causes a computer to execute the above-described vulnerability information management method.
  • FIG. 2 is a block diagram illustrating a hardware configuration of a vulnerability information management device according to the present invention. It is a flowchart which illustrates the flow of the process performed by the vulnerability information management device of 1st Embodiment.
  • FIG. 4 is a diagram illustrating information stored in a product configuration information storage unit according to the first embodiment.
  • FIG. 4 is a diagram illustrating a flow of registering information in a product configuration information storage unit according to the first embodiment.
  • FIG. 4 is a figure showing an example of vulnerability information stored in a vulnerability information storage part in a 1st embodiment.
  • FIG. 5 is a diagram illustrating an example of an output by an output unit according to the first embodiment.
  • FIG. 5 is a diagram illustrating another example of the output by the output unit according to the first embodiment.
  • FIG. 5 is a diagram illustrating another example of the output by the output unit according to the first embodiment.
  • FIG. 5 is a diagram illustrating another example of the output by the output unit according to the first embodiment.
  • FIG. 5 is a diagram illustrating another example of the output by the output unit according to the first embodiment.
  • It is a figure which illustrates the functional composition of the vulnerability information management device in 2nd Embodiment. It is a flowchart which illustrates the flow of the process performed by the vulnerability information management device of 2nd Embodiment.
  • FIG. 14 is a diagram illustrating an example of information stored in a group identification information storage unit according to a fourth embodiment. It is a figure which illustrates the information memorize
  • each block diagram represents a configuration of a functional unit, not a configuration of a hardware unit.
  • the vulnerability information management apparatus 10 provides a user with a service that supports work for managing vulnerability of a product.
  • FIG. 1 is a diagram conceptually showing processing performed by the vulnerability information management device 10 according to the present invention.
  • the vulnerability information management device 10 acquires information (user identification information) for uniquely identifying a user of a service provided by the vulnerability information management device 10. For example, as shown in FIG. 1, the vulnerability information management device 10 can communicate with the user terminal 30 and acquire the user identification information input to the user terminal 30. Further, the vulnerability information management apparatus 10 may read user identification information stored in advance in a storage area (not shown) such as a memory or a storage device of the vulnerability information management apparatus 10 according to a preset processing execution schedule. Good.
  • the vulnerability information management device 10 outputs, from the product configuration information (information indicating product components for each product) stored in the product configuration information storage unit 22, the product configuration information associated with the acquired user identification information.
  • the product configuration information stored in the product configuration information storage unit 22 is registered by the user.
  • the user inputs information on components (hardware and software) included in the product to be managed to the vulnerability information management device 10 via the user terminal 30.
  • the vulnerability information management device 10 stores the information on the components of the product (product configuration information) input by the user in the product configuration information storage unit 22 in association with the user identification information for identifying the user.
  • the vulnerability information management device 10 uses the product configuration information acquired from the product configuration information storage unit 22 and the known vulnerability information stored in the vulnerability information storage unit 20 to generate a configuration having a vulnerability.
  • Detect elements vulnerability detection processing
  • the vulnerability information stored in the vulnerability information storage unit 20 is imported from the vulnerability information collection device 40.
  • the vulnerability information collecting apparatus 40 collects information on vulnerabilities of elements (hardware components, software programs, etc.) that can be constituent elements of a product from an information source 50 on a network, and a database (vulnerability information storage unit 410). ) Has accumulated.
  • the information source 50 is any node on the network that has information on the vulnerability.
  • the information source 50 is operated by, for example, a public organization or a vendor.
  • the information source 50 includes JVN (Japan Vulnerability Notes), NVD (National Vulnerability Database), and OSVDB (Open Source Vulnerability Database).
  • the information source 50 may include a node that discloses information on PoC (Proof of Concept) and exploit code related to the discovered vulnerability.
  • the vulnerability information management apparatus 10 outputs to the user terminal 30 the result of the vulnerability detection processing (information indicating the component having the vulnerability and information indicating the product including the component).
  • FIG. 2 is a diagram illustrating a functional configuration of the vulnerability information management device 10 according to the first embodiment.
  • the vulnerability information management device 10 of the present embodiment includes a user identification information acquisition unit 110, a product identification unit 120, a product configuration information acquisition unit 130, a vulnerability identification unit 140, and an output unit 150.
  • a user identification information acquisition unit 110 the vulnerability information management device 10 of the present embodiment includes a user identification information acquisition unit 110, a product identification unit 120, a product configuration information acquisition unit 130, a vulnerability identification unit 140, and an output unit 150.
  • the user identification information acquisition unit 110 acquires user identification information.
  • the user identification information is assigned to each user who uses the service provided by the vulnerability information management device 10 of the present embodiment.
  • the user identification information is, for example, an ID (Identifier) obtained by combining arbitrary numbers and characters.
  • the product identification unit 120 identifies one or more products associated with the user identification information acquired by the user identification information acquisition unit 110.
  • the user identification information and the information on the product are associated in advance by, for example, an input from the user.
  • the product configuration information acquisition unit 130 acquires product configuration information for each of one or more products specified by the product specification unit 120.
  • the product configuration information is information indicating components (hardware and software) included in the product.
  • the vulnerability identifying unit 140 refers to the vulnerability information storage unit 20 and identifies a vulnerable component from components corresponding to the product configuration information acquired by the product configuration information acquiring unit 130. As described above, the vulnerability information storage unit 20 collects vulnerability information of each element (hardware and software) that can be a component of the product from the information source 50 on the network and stores the information for each element.
  • the output unit 150 outputs the information indicating the component having the vulnerability specified by the vulnerability specifying unit 140 to the user terminal 30 in association with the information indicating the product including the component.
  • Each functional component of the vulnerability information management device 10 may be implemented by hardware (eg, a hard-wired electronic circuit or the like) that implements each functional component, or a combination of hardware and software ( Example: a combination of an electronic circuit and a program for controlling the electronic circuit).
  • hardware eg, a hard-wired electronic circuit or the like
  • FIG. 3 is a block diagram illustrating a hardware configuration of the vulnerability information management device 10.
  • the vulnerability information management device 10 includes a bus 1010, a processor 1020, a memory 1030, a storage device 1040, an input / output interface 1050, and a network interface 1060.
  • the bus 1010 is a data transmission path through which the processor 1020, the memory 1030, the storage device 1040, the input / output interface 1050, and the network interface 1060 mutually transmit and receive data.
  • a method of connecting the processors 1020 and the like to each other is not limited to a bus connection.
  • the processor 1020 is a processor realized by a CPU (Central Processing Unit), a GPU (Graphics Processing Unit), or the like.
  • the memory 1030 is a main storage device realized by a RAM (Random Access Memory) or the like.
  • the storage device 1040 is an auxiliary storage device realized by a hard disk drive (HDD), a solid state drive (SSD), a memory card, or a read only memory (ROM).
  • the storage device 1040 is a program module that implements each function of the vulnerability information management apparatus 10 (user identification information acquisition unit 110, product identification unit 120, product configuration information acquisition unit 130, vulnerability identification unit 140, output unit 150, and the like). I remember.
  • the processor 1020 reads each of these program modules into the memory 1030 and executes them to realize each function corresponding to each program module.
  • the input / output interface 1050 is an interface for connecting the vulnerability information management device 10 and various input / output devices.
  • the input / output interface 1050 may be connected to input devices such as a keyboard and a mouse, and output devices such as a speaker and a display.
  • the network interface 1060 is an interface for connecting the vulnerability information management device 10 to a network.
  • This network is, for example, a LAN (Local Area Network) or a WAN (Wide Area Network).
  • the method by which the network interface 1060 connects to the network may be a wireless connection or a wired connection.
  • the vulnerability information management device 10 can communicate with external devices on the network, such as the user terminal 30 and the vulnerability information collection device 40, via the network interface 1060.
  • FIG. 3 is merely an example, and the hardware configuration of the vulnerability information management device 10 is not limited to the configuration illustrated in FIG.
  • the vulnerability information management device 10 may further include a function of the vulnerability information collection device 40 (a function of collecting vulnerability information from the information source 50).
  • FIG. 4 is a flowchart illustrating a flow of processing executed by the vulnerability information management device 10 of the first embodiment.
  • the flow of processing executed by the vulnerability information management device 10 of the first embodiment will be described with reference to the flowchart of FIG.
  • the user identification information acquisition unit 110 acquires user identification information (S102).
  • the vulnerability information management device 10 can communicate with the user terminal 30 and acquire the user identification information input to the user terminal 30. Further, the vulnerability information management device 10 may read out user identification information stored in advance in a storage area such as the memory 1030 or the storage device 1040 of the vulnerability information management device 10 according to a preset processing execution schedule.
  • the product specifying unit 120 specifies one or more products based on the user identification information acquired in the processing of S102 (S104).
  • the product specifying unit 120 can specify one or more products with reference to information (eg, FIG. 5) stored in the product configuration information storage unit 22, for example.
  • FIG. 5 is a diagram illustrating information stored in the product configuration information storage unit 22.
  • the product configuration information storage unit 22 stores information on products including product configuration information in association with user identification information.
  • each record is configured to include three columns of “user ID”, “product ID”, and “product configuration information”.
  • “User ID” is information (user identification information) for uniquely identifying a user of a service provided by the vulnerability information management device 10.
  • “Product ID” is information for identifying a product. The “product ID” is automatically assigned by the vulnerability information management device 10 when, for example, product configuration information is registered.
  • “Product configuration information” is information on components of a product generated based on an input from a user. The product configuration information of each product is stored in association with the user ID.
  • the column of “product configuration information” includes “element ID”, “element name”, and “hierarchical structure information”.
  • “Element ID” is information for identifying a component included in a product. The “element ID” is automatically assigned by the vulnerability information management device 10 when, for example, product configuration information is registered.
  • “Element name” is information indicating the name of a component (a component that constitutes a final product such as a hardware component or software).
  • “Version information” is information indicating the version of the component.
  • the “hierarchical structure information” is information indicating the hierarchical structure of the components included in the product. In the hierarchical structure information illustrated in FIG.
  • the hierarchical structure includes “/ (slash)” with each product as a top node. Is expressed using For example, the hierarchical structure information of the element ID “E001” is “/ E001”. This indicates that the component "part A1" is located in the first hierarchy immediately below the top node. For example, the hierarchical structure information of the element ID “E005” is “/ E001 / E003 / E005”.
  • the component “part A1” is located in the first hierarchy immediately below the top node, the component “electronic component 1” is located in the second hierarchy as a lower node of the component “component A1”, and the component “XXX” # 1 ”is located in the third hierarchy as a lower node of the component“ electronic component 1 ”.
  • the hierarchical structure information of the element ID “E008” is “// E008”. This indicates that the component “XXX # 4” is located on the third layer, omitting the first and second layers.
  • FIG. 6 is a diagram illustrating a flow of registering information in the product configuration information storage unit 22.
  • the user logs in to the service provided by the vulnerability information management device 10 using the user terminal 30 ((1) in the figure).
  • information such as a user ID for uniquely identifying the user input to the user terminal 30 is acquired as the above-described user identification information.
  • the user uses the user terminal 30 to input information on the product he or she wants to manage and the components included in the product ((2) in the figure).
  • the user may further input information indicating the hierarchical structure of the components included in the product.
  • the vulnerability information management device 10 registers information input by the user as product configuration information in the product configuration information storage unit 22 in association with the previously acquired user identification information ((3) in the figure).
  • the product identification unit 120 identifies a record having the same user identification information as the acquired user identification information, using the user identification information acquired in the process of S102. be able to.
  • the product specifying unit 120 has specified one or more products.
  • the product configuration information acquisition unit 130 acquires product configuration information for each of the one or more products specified in the process of S104 (S106).
  • the product configuration information acquisition unit 130 outputs information (element ID, element name, and hierarchy) stored in the column of “product configuration information” from the records specified by the product specification unit 120. Structural information, etc.).
  • the vulnerability identification unit 140 executes a vulnerability detection process (S108). Specifically, the vulnerability identifying unit 140 uses the component information for each product acquired in the process of S106 and the vulnerability information (eg, FIG. 7) stored in the vulnerability information storage unit 20. , And vulnerable products and components actually having the vulnerabilities can be identified.
  • S108 a vulnerability detection process
  • FIG. 7 is a diagram illustrating an example of vulnerability information stored in the vulnerability information storage unit 20.
  • the vulnerability information storage unit 20 stores, for each element, information on the vulnerability of an element that can be a component of the product.
  • each record is configured to include three columns of “vulnerability information ID”, “vulnerability information”, and “affected element”.
  • the “vulnerability information ID” is information for uniquely identifying information on a vulnerability.
  • the “vulnerability information” is information indicating the details of the vulnerability, such as, for example, the risk level of the vulnerability, a confirmation method and a countermeasure.
  • the “affected element” is information indicating an element affected by the vulnerability defined in the same record. In the example of FIG.
  • the column of “affected elements” includes “element name” and “version information”.
  • the vulnerability identifying unit 140 searches the vulnerability information storage unit 20 using the “element name” and “version information” of the product configuration information storage unit 22 to search for each item stored in the product configuration information storage unit 22. Information on vulnerabilities existing in the components can be specified.
  • the vulnerability identifying unit 140 searches for vulnerability information stored in the vulnerability information storage unit 20 using the “element name” and “version information” of the product configuration information acquired in the process of S106 as search keys. .
  • the vulnerability specifying unit 140 can specify the component corresponding to the search key as a “component having vulnerability”. Further, the vulnerability specifying unit 140 can specify a product having a component specified as a “vulnerable component” as a “vulnerable product”.
  • the vulnerability identifying unit 140 determines whether a vulnerable component has been detected in the vulnerability detection processing in S108 for one or more products identified in the processing in S104 (S110). If a vulnerable component is detected in the vulnerability detection processing (S110: YES), the output unit 150 is notified of information indicating the vulnerable component and information indicating a product including the component. The output unit 150 outputs information indicating the vulnerable component to the user terminal 30 based on the notification from the vulnerability identification unit 140 in association with information indicating a product including the component (S112).
  • FIG. 8 is a diagram illustrating an example of an output by the output unit 150.
  • FIG. 8 illustrates a screen including information i1 indicating the hierarchical structure of components included in the product in a tree format.
  • the output unit 150 can output a screen that displays a vulnerable component so as to be distinguishable from other components. For example, the output unit 150 may highlight a vulnerable component, as indicated by reference numeral h in FIG. By checking the screen illustrated in FIG.
  • the user can grasp at a glance the vulnerable components of a product including a plurality of components.
  • a large number of components configuring one product are generalized toward the top of the tree.
  • an object having vulnerability information can be easily grasped by looking at the top of the tree.
  • the screen illustrated in FIG. 8 is merely an example, and the output by the output unit 150 is not limited to the example in FIG.
  • the output unit 150 may output a screen as shown in FIG. 9 or FIG. 9 and 10 are diagrams illustrating another example of the output by the output unit 150.
  • the output unit 150 displays information i2 in a list format as information indicating the hierarchical structure of the components included in the product.
  • the output unit 150 displays information i3 indicating the hierarchical structure of the components included in the product in another tree format as information indicating the hierarchical structure of the components included in the product. . 9 and 10, the user can grasp at a glance the vulnerable components of a product including a plurality of components.
  • the vulnerability identifying unit 140 identifies another component (hereinafter, referred to as “upper component”) located at a higher layer than the vulnerable component in the hierarchical structure, and the output unit 150 identifies Information indicating the performed higher-level component may be further output to the user terminal 30 (for example, FIG. 11).
  • FIG. 11 is a diagram illustrating another example of the output by the output unit 150.
  • the vulnerability identifying unit 140 identifies the component “electronic component 2” and the component “component A2” as higher-level components of the component “XXX # 2” having vulnerability.
  • the vulnerability identification unit 140 determines the element ID “E002” and the element ID “E002” based on the hierarchical structure information “E002 / E004 / E006” of the component “XXX # 2” as illustrated in FIG.
  • the component having the ID “E004”, that is, the component “part A2” and the component “electronic component 2” can be specified as the upper components of the component “XXX # 2”.
  • the output unit 150 can display information i4 indicating the higher-level component identified by the vulnerability identifying unit 140. By doing so, the user can grasp at a glance the range (component group) affected by the vulnerability.
  • the output unit 150 When the output unit 150 outputs information indicating a component having a vulnerability, the output unit 150 may further output information on the vulnerability of the component to the user terminal 30 (for example, FIG. 12).
  • FIG. 12 is a diagram illustrating another example of the output by the output unit 150. In the example of FIG. 12, the output unit 150 outputs information i5 regarding the vulnerability of the component.
  • the output unit 150 When outputting the information i5 regarding the vulnerability of the component, the output unit 150 receives an input for selecting any one of the components in the information i1 indicating the hierarchical structure of the component included in the product, for example. As a specific example, the output unit 150 may perform an operation of superimposing the pointer P on an area related to the vulnerable component or a predetermined button of a mouse or keyboard after superimposing the pointer P on the area related to the vulnerable element. Is accepted as a user input operation. Then, the output unit 150 outputs the information i5 regarding the vulnerability of the component selected by the received input to the user terminal 30. By doing so, the user can easily confirm what vulnerabilities the components included in the product have.
  • FIG. 13 is a diagram illustrating a functional configuration of the vulnerability information management device 10 according to the second embodiment.
  • the vulnerability information management device 10 of the present embodiment includes a user identification information acquisition unit 110, a product identification unit 120, a product configuration information acquisition unit 130, a vulnerability identification unit 140, an output unit 150, , An input receiving unit 160.
  • the input receiving unit 160 receives an input specifying a vulnerability.
  • the input receiving unit 160 receives, via the user terminal 30, an input specifying a specific vulnerability from among a plurality of vulnerabilities.
  • the vulnerability identifying unit 140 of the present embodiment determines the component having the vulnerability specified by the input by the product configuration information Identify from the components corresponding to the information.
  • the output unit 150 further outputs, to the user terminal 30, information indicating a component specified as a component having a vulnerability designated by the input received by the input receiving unit 160.
  • FIG. 14 is a flowchart illustrating a flow of processing executed by the vulnerability information management device 10 of the second embodiment.
  • the flow of processing executed by the vulnerability information management device 10 of the second embodiment will be described with reference to the flowchart of FIG.
  • the input receiving unit 160 receives an input for designating a vulnerability (S202).
  • the input receiving unit 160 can receive, for example, an input specifying a vulnerability via a screen as illustrated in FIG.
  • FIG. 15 is a diagram exemplifying a top screen of a service provided by the vulnerability information management device 10.
  • the vulnerability identifying unit 140 acquires the product configuration information regarding the user from the product configuration information storage unit 22 according to the login operation of a certain user, as described in the first embodiment. Then, the vulnerability identification unit 140 identifies the vulnerability related to the user's product by matching the acquired product configuration information with the vulnerability information stored in the vulnerability information storage unit 20.
  • the vulnerability identifying unit 140 can store information indicating the correspondence between the identified vulnerability and the component having the vulnerability in the memory 1030 or the like.
  • the output unit 150 can output, to the user terminal 30, a screen including information i6 indicating a vulnerability related to the product of the user.
  • the user can specify the vulnerability on a screen as illustrated in FIG. Further, the user may perform an input operation for designating a vulnerability via a screen for searching for a vulnerability (FIG. 16).
  • FIG. 16 is a diagram illustrating an example of a screen for searching for vulnerabilities.
  • the vulnerability specifying unit 140 specifies a component having the vulnerability specified by the input (S204).
  • the vulnerability identification unit 140 stores information indicating the correspondence between a vulnerability related to the user's product and a component having the vulnerability, which is stored in the memory 1030 or the like at the time of the user's login operation.
  • the component having the vulnerability designated by the input of S202 can be specified.
  • the output unit 150 outputs information indicating the components specified in the process of S204 to the user terminal 30 (S206). For example, as illustrated in FIGS. 8 to 10, the output unit 150 can output such that a component having a designated vulnerability is highlighted.
  • the present embodiment in response to a user input designating a vulnerability, information indicating a component having the vulnerability is output to the user terminal 30.
  • the user can easily confirm in which component of the product related to the user the specified vulnerability exists.
  • FIG. 17 is a diagram illustrating a functional configuration of the vulnerability information management device 10 according to the third embodiment.
  • the vulnerability information management device 10 of the present embodiment further includes a coping plan information acquisition unit 170 and a notification unit 180.
  • the coping plan information acquisition unit 170 acquires information (coping plan information) indicating a coping plan for a vulnerability found for a product (a component included in the product).
  • the “response plan” includes the scheduled completion date and progress status of the response that can be taken with respect to the vulnerability (“unconfirmed”, “under investigation”, “treated”, “not applicable”, etc.).
  • the user confirms information on the vulnerability of the product related to the user on a screen as exemplified in FIGS. 8 to 10, and then takes a response schedule for the vulnerability and a response plan indicating the progress of the response. Information can be input via the user terminal 30.
  • the coping plan information acquisition unit 170 stores the coping plan information acquired in response to the user's input in a storage area such as the memory 1030 or the storage device 1040 in association with information for identifying the user (for example, FIG. 18).
  • FIG. 18 is a diagram illustrating an example of the coping plan information stored for each user.
  • FIG. 18 exemplifies a table for storing the coping plan information in association with the user identification information for uniquely identifying each user.
  • the notification unit 180 notifies the user of remind information on the handling of the vulnerability based on the handling plan information acquired by the handling plan information acquiring unit 170.
  • the notification unit 180 can notify the user terminal 30 of information indicating the number of cases according to the progress status in the coping plan. Specifically, the notification unit 180 refers to the information as shown in FIG. 18 and acquires the coping plan information for each user. Then, the notifying unit 180 specifies records for each progress status based on the progress status value of the coping plan information, and transmits the number of records or information indicating the content registered in each record to the user terminal 30. As another example, the notification unit 180 can notify the user terminal 30 of information indicating the number of vulnerabilities for which the measures have not been completed even after the scheduled completion date of the measure plan information. Specifically, the notification unit 180 refers to the information as shown in FIG. 18 and acquires the coping plan information for each user.
  • the notification unit 180 based on the value of the scheduled completion date and the value of the progress status of the handling plan information, the notification unit 180 identifies records of vulnerabilities for which the handling has not been completed even after the scheduled completion date, and the number of records or the number of vulnerabilities.
  • the information indicating the contents registered in the record is transmitted to the user terminal 30.
  • the notification unit 180 can perform the notification as exemplified above using the address information of the user terminal 30 acquired based on the user ID.
  • the reminder information is output to the user terminal 30 based on the vulnerability handling information input by the user.
  • the remind information can prompt the user to deal with the vulnerability.
  • FIG. 19 is a diagram illustrating a functional configuration of the vulnerability information management device 10 according to the fourth embodiment.
  • the product identification unit 120 of the present embodiment acquires the group identification information linked to the user identification information acquired by the user identification information acquisition unit 110.
  • the group identification information is information indicating a group (for example, a project) to which the product belongs.
  • the group identification information is stored in the group identification information storage unit 24 (example: FIG. 20).
  • FIG. 20 is a diagram illustrating an example of information stored in the group identification information storage unit 24. As illustrated in FIG. 20, the group identification information storage unit 24 stores group identification information (group ID) in association with user identification information (user ID) of each user.
  • the product specifying unit 120 of the present embodiment specifies one or more products using the acquired group identification information.
  • the product configuration information storage unit 22 stores information as illustrated in FIG.
  • FIG. 21 is a diagram illustrating information stored in the product configuration information storage unit 22 according to the fourth embodiment.
  • the product configuration information storage unit 22 of the present embodiment stores product information in association with a group ID instead of a user ID.
  • the product identification unit 120 can identify one or more products using the group identification information acquired based on the user identification information, as in the first embodiment. Except for the process specified by one or more products, it is the same as the above-described embodiments.
  • the user identification information and the product configuration information are linked via the group identification information indicating a group (for example, a project) to which each product belongs.
  • the group identification information indicating a group (for example, a project) to which each product belongs.
  • User identification information acquisition means for acquiring user identification information;
  • Product identification means for identifying one or more products associated with the acquired user identification information;
  • product configuration information obtaining means for obtaining product configuration information indicating a component of the product
  • Vulnerability identification means to identify,
  • Output means for outputting information indicating the component having the vulnerability to a user terminal in association with information indicating a product including the component,
  • Vulnerability information management device comprising: 2.
  • the output unit further outputs, to the user terminal, vulnerability information related to a component identified as the component having the vulnerability.
  • Vulnerability information management device described in 1. 3.
  • the product configuration information further includes information indicating a hierarchical structure of components included in the product, The output unit, based on the obtained product configuration information, further outputs information indicating a hierarchical structure of components included in the product to the user terminal, 1. Or 2.
  • the vulnerability identifying means further identifies, in the hierarchical structure, a higher-order component positioned above the component having the vulnerability, The output unit further outputs information indicating the higher-order component to the user terminal. 3.
  • the output means Receiving an input for selecting any of the components in the information indicating the hierarchical structure, Vulnerability information on the component selected by the input is further output to the user terminal, 3. Or 4. Vulnerability information management device described in 1. 6. Further comprising an input receiving means for receiving an input specifying the vulnerability, The vulnerability identification unit refers to the vulnerability information storage unit, from among the components corresponding to the obtained product configuration information, identifies a component having the vulnerability specified by the input, The output unit outputs information indicating a component having the vulnerability designated by the input to the user terminal. 1. To 5. The vulnerability information management device according to any one of the above. 7.
  • Response plan information acquisition means for acquiring response plan information indicating a response plan for a vulnerability found in a product; Notifying means for notifying a user of remind information on coping with the vulnerability based on the coping plan indicated by the coping plan information, 1. From 6.
  • the vulnerability information management device according to any one of the above.
  • the product specifying means The group identification information indicating the group to which the product belongs is stored in association with the user identification information of each user, and the group identification information associated with the acquired user identification information is acquired by referring to the group identification information storage unit. , Referring to a product information storage unit that stores product information in association with each group identification information, and specifies one or more products associated with the obtained group identification information; 1. To 7.
  • the vulnerability information management device according to any one of the above. 9.
  • Computer Get user identification information Identifying one or more products associated with the obtained user identification information; For each of the specified one or more products, obtain product configuration information indicating a component of the product; With reference to the vulnerability information storage unit that stores vulnerability information of each element that can be a component of the product for each element, among the components corresponding to the obtained product configuration information, a component having a vulnerability is extracted. Identify The information indicating the component having the vulnerability is output to the user terminal in association with the information indicating the product including the component, Vulnerability information management method including: 10. The computer further outputs vulnerability information on the component identified as the component having the vulnerability to the user terminal, 9. Including Vulnerability information management method described in. 11.
  • the product configuration information further includes information indicating a hierarchical structure of components included in the product,
  • the computer further outputs, to the user terminal, information indicating a hierarchical structure of components included in the product, based on the obtained product configuration information. 9. Including Or 10.
  • Said computer In the hierarchical structure, further specify an upper-level component positioned above the vulnerable component, Information indicating the higher-order component, further output to the user terminal, 11. Including Vulnerability information management method described in. 13.
  • Said computer Receiving an input for selecting any of the components in the information indicating the hierarchical structure, Vulnerability information on the component selected by the input is further output to the user terminal, 11. Including Or 12. Vulnerability information management method described in.
  • Said computer Accepts input specifying a vulnerability, With reference to the vulnerability information storage unit, from among the components corresponding to the obtained product configuration information, specify a component having the vulnerability specified by the input, Outputting information indicating the component having the vulnerability specified by the input to the user terminal; 9. Including To 13.
  • the vulnerability information management method according to any one of the above.
  • Said computer Obtain response plan information that describes the response plan for vulnerabilities found in the product, Based on the coping plan indicated by the coping plan information, notify the user of remind information on coping with the vulnerability, And 9. From 14.
  • the vulnerability information management method according to any one of the above. 16.
  • the group identification information indicating the group to which the product belongs is stored in association with the user identification information of each user, and the group identification information associated with the acquired user identification information is acquired by referring to the group identification information storage unit.
  • the vulnerability information management method according to any one of the above.

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Hardware Design (AREA)
  • General Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Software Systems (AREA)
  • Theoretical Computer Science (AREA)
  • Physics & Mathematics (AREA)
  • General Physics & Mathematics (AREA)
  • Management, Administration, Business Operations System, And Electronic Commerce (AREA)

Abstract

脆弱性情報管理装置（１０）は、ユーザ識別情報を取得するユーザ識別情報取得部（１１０）と、取得されたユーザ識別情報に関連付けられた、１以上の製品を特定する製品特定部（１２０）と、特定された１以上の製品それぞれについて、製品の構成要素を示す製品構成情報を取得する製品構成情報取得部（１３０）と、製品の構成要素となり得る要素それぞれの脆弱性情報を要素別に記憶する脆弱性情報記憶手段を参照して、取得された製品構成情報に対応する構成要素の中から、脆弱性を有する構成要素を特定する脆弱性特定部（１４０）と、脆弱性を有する構成要素を示す情報を、当該構成要素を含む製品を示す情報と関連付けてユーザ端末に出力する出力部（１５０）と、を備える。

Description

脆弱性情報管理装置、脆弱性情報管理方法、およびプログラム
　本発明は、製品に潜む脆弱性を管理する技術に関する。
　世の中で流通している製品について、その製品の製造者が意図しない脆弱性が後に発見され、悪用されることがある。ある製品に脆弱性が見つかった場合、その製品の製造者やユーザは、適切な対処を行う必要がある。
　脆弱性を管理する技術の一例が、下記特許文献１乃至５に開示されている。特に、下記特許文献１には、対象とする装置にインストールされているソフトウエアと、そのソフトウエアのバージョンやサービスパックの適用状況等を含む構成情報を取得し、その構成情報を基に脆弱性を検索し、脆弱性が見つかった場合には適切な対策を実行する技術が開示されている。
特開２０１４－１３０５０２号公報 国際公開第２０１３／０３５１８１号 特開２０１０－０６７２１６号公報 特開２０１７－１７４３７８号公報 特開２０１５－１１４８３３号公報
　１つの製品は、基本的に、様々な要素（ハードウエア部品やソフトウエア部品）を組み合わせて構成されている。１つの製品を構成する各要素（以下、「構成要素」とも表記）のいずれかが脆弱性を有している場合、製品として脆弱性の影響を受けることになる。ユーザが扱う製品のどの部分にどのような脆弱性が存在しているかを知りたいというニーズがある。
　本発明は、上記の課題に鑑みてなされたものである。本発明の目的の一つは、ユーザが扱う製品のどの部分にどのような脆弱性があるかを容易に把握する技術を提供することである。
　本発明の脆弱性情報管理装置は、
　ユーザ識別情報を取得するユーザ識別情報取得手段と、
　取得された前記ユーザ識別情報に関連付けられた、１以上の製品を特定する製品特定手段と、
　特定された前記１以上の製品それぞれについて、製品の構成要素を示す製品構成情報を取得する製品構成情報取得手段と、
　製品の構成要素となり得る要素それぞれの脆弱性情報を要素別に記憶する脆弱性情報記憶手段を参照して、取得された前記製品構成情報に対応する構成要素の中から、脆弱性を有する構成要素を特定する脆弱性特定手段と、
　前記脆弱性を有する構成要素を示す情報を、当該構成要素を含む製品を示す情報と関連付けてユーザ端末に出力する出力手段と、
　を備える。
　本発明の脆弱性情報管理方法は、
　コンピュータが、
　ユーザ識別情報を取得し、
　取得された前記ユーザ識別情報に関連付けられた、１以上の製品を特定し、
　特定された前記１以上の製品それぞれについて、製品の構成要素を示す製品構成情報を取得し、
　製品の構成要素となり得る要素それぞれの脆弱性情報を要素別に記憶する脆弱性情報記憶手段を参照して、取得された前記製品構成情報に対応する構成要素の中から、脆弱性を有する構成要素を特定し、
　前記脆弱性を有する構成要素を示す情報を、当該構成要素を含む製品を示す情報と関連付けてユーザ端末に出力する、
　ことを含む。
　本発明のプログラムは、コンピュータに、上述の脆弱性情報管理方法を実行させる。
　本発明によれば、ユーザが扱う製品のどの部分にどのような脆弱性があるかを容易に確認または検索することができる。
　上述した目的、およびその他の目的、特徴および利点は、以下に述べる好適な実施の形態、およびそれに付随する以下の図面によってさらに明らかになる。
本発明に係る脆弱性情報管理装置が行う処理を概念的に示す図である。 第１実施形態における脆弱性情報管理装置の機能構成を例示する図である。 本発明に係る脆弱性情報管理装置のハードウエア構成を例示するブロック図である。 第１実施形態の脆弱性情報管理装置により実行される処理の流れを例示するフローチャートである。 第１実施形態における製品構成情報記憶部に記憶される情報を例示する図である。 第１実施形態における製品構成情報記憶部に情報を登録する流れを例示する図である。 第１実施形態における脆弱性情報記憶部に記憶される脆弱性情報の一例を示す図である。 第１実施形態における出力部による出力の一例を示す図である。 第１実施形態における出力部による出力の他の一例を示す図である。 第１実施形態における出力部による出力の他の一例を示す図である。 第１実施形態における出力部による出力の他の一例を示す図である。 第１実施形態における出力部による出力の他の一例を示す図である。 第２実施形態における脆弱性情報管理装置の機能構成を例示する図である。 第２実施形態の脆弱性情報管理装置により実行される処理の流れを例示するフローチャートである。 第２実施形態における脆弱性情報管理装置により提供されるサービスのトップ画面を例示する図である。 第２実施形態において脆弱性を検索するための画面の一例を示す図である。 第３実施形態における脆弱性情報管理装置の機能構成を例示する図である。 第３実施形態においてユーザ毎に保管される対処計画情報の一例を示す図である。 第４実施形態における脆弱性情報管理装置の機能構成を例示する図である。 第４実施形態におけるグループ識別情報記憶部に記憶される情報の一例を示す図である。 第４実施形態における製品構成情報記憶部に記憶される情報を例示する図である。
　以下、本発明の実施形態について、図面を用いて説明する。尚、すべての図面において、同様な構成要素には同様の符号を付し、適宜説明を省略する。また、特に説明する場合を除き、各ブロック図において、各ブロックは、ハードウエア単位の構成ではなく、機能単位の構成を表している。
　［概要］
　本発明に係る脆弱性情報管理装置１０は、製品の脆弱性を管理する作業を支援するサービスをユーザに提供する。以下、図１を用いて、本発明に係る脆弱性情報管理装置１０が行う処理の概要について説明する。図１は、本発明に係る脆弱性情報管理装置１０が行う処理を概念的に示す図である。
　まず、脆弱性情報管理装置１０は、脆弱性情報管理装置１０により提供されるサービスのユーザを一意に識別する情報（ユーザ識別情報）を取得する。脆弱性情報管理装置１０は、例えば図１に示されるように、ユーザ端末３０と通信して、ユーザ端末３０に入力されたユーザ識別情報を取得することができる。また、脆弱性情報管理装置１０は、予め設定された処理実行スケジュールに従って、脆弱性情報管理装置１０のメモリやストレージデバイスといった記憶領域（図示せず）に予め記憶されたユーザ識別情報を読み出してもよい。
　そして、脆弱性情報管理装置１０は、製品構成情報記憶部２２に記憶されている製品構成情報（製品の構成要素を製品別に示す情報）の中から、取得したユーザ識別情報に紐付く製品構成情報を取得する。ここで、製品構成情報記憶部２２に記憶される製品構成情報は、ユーザにより登録される。例えば、ユーザは、管理対象の製品に含まれる構成要素（ハードウエアやソフトウエア）の情報を、ユーザ端末３０を介して、脆弱性情報管理装置１０に入力する。この場合、脆弱性情報管理装置１０は、ユーザにより入力された製品の構成要素に関する情報（製品構成情報）を、そのユーザを識別するユーザ識別情報と関連づけて製品構成情報記憶部２２に記憶する。
　そして、脆弱性情報管理装置１０は、製品構成情報記憶部２２から取得した製品構成情報と、脆弱性情報記憶部２０に記憶されている既知の脆弱性情報とを用いて、脆弱性を有する構成要素を検出する（脆弱性検出処理）。ここで、脆弱性情報記憶部２０に記憶される脆弱性情報は、脆弱性情報収集装置４０からインポートされる。脆弱性情報収集装置４０は、製品の構成要素となり得る要素（ハードウエア部品やソフトウエアプログラム等）の脆弱性に関する情報を、ネットワーク上の情報源５０から収集し、データベース（脆弱性情報記憶部４１０）に蓄積している。情報源５０は、脆弱性に関する情報を有するネットワーク上の任意のノードである。情報源５０は、例えば公的機関やベンダなどにより運営される。情報源５０の具体例としては、ＪＶＮ（Japan Vulnerability Notes）、ＮＶＤ（National Vulnerability Database）、ＯＳＶＤＢ（Open Source Vulnerability Database）などが挙げられる。また、情報源５０としては、発見された脆弱性に関連する、ＰｏＣ（Proof of Concept）やエクスプロイト・コードの情報を公開するノードが含まれ得る。
　そして、脆弱性情報管理装置１０は、脆弱性検出処理の結果（脆弱性を有する構成要素を示す情報およびその構成要素を含む製品を示す情報）を、ユーザ端末３０に出力する。
　＜作用・効果＞
　上述した脆弱性情報管理装置１０の動作により、脆弱性を有する構成要素を示す情報およびその構成要素を含む製品を示す情報がユーザ端末３０に出力される。ユーザは、脆弱性情報管理装置１０から出力された情報をユーザ端末３０上で確認することにより、どの製品のどの部分にどのような脆弱性があるかを容易に把握することができる。
　＜機能構成例＞
　図２は、第１実施形態における脆弱性情報管理装置１０の機能構成を例示する図である。図２に示されるように、本実施形態の脆弱性情報管理装置１０は、ユーザ識別情報取得部１１０、製品特定部１２０、製品構成情報取得部１３０、脆弱性特定部１４０、および出力部１５０を有する。
　ユーザ識別情報取得部１１０は、ユーザ識別情報を取得する。ユーザ識別情報は、本実施形態の脆弱性情報管理装置１０によって提供されるサービスを利用するユーザ毎に割り当てられる。ユーザ識別情報は、例えば、任意の数字や文字を組み合わせたＩＤ（Identifier）などである。
　製品特定部１２０は、ユーザ識別情報取得部１１０により取得されたユーザ識別情報に関連付けられた、１以上の製品を特定する。ユーザ識別情報と製品に関する情報とは、例えば、予めユーザからの入力により関連付けられている。
　製品構成情報取得部１３０は、製品特定部１２０により特定された１以上の製品それぞれについて、製品構成情報を取得する。製品構成情報は、製品に含まれる構成要素（ハードウエアやソフトウエア）を示す情報である。
　脆弱性特定部１４０は、脆弱性情報記憶部２０を参照して、製品構成情報取得部１３０により取得された製品構成情報に対応する構成要素の中から、脆弱性を有する構成要素を特定する。上述したように、脆弱性情報記憶部２０は、製品の構成要素となり得る要素（ハードウエアやソフトウエア）それぞれの脆弱性情報をネットワーク上の情報源５０から収集し、要素別に記憶している。
　出力部１５０は、脆弱性特定部１４０により特定された脆弱性を有する構成要素を示す情報を、当該構成要素を含む製品を示す情報と関連付けてユーザ端末３０に出力する。
　〔ハードウエア構成例〕
　脆弱性情報管理装置１０の各機能構成部は、各機能構成部を実現するハードウエア（例：ハードワイヤードされた電子回路など）で実現されてもよいし、ハードウエアとソフトウエアとの組み合わせ（例：電子回路とそれを制御するプログラムの組み合わせなど）で実現されてもよい。以下、脆弱性情報管理装置１０の各機能構成部がハードウエアとソフトウエアとの組み合わせで実現される場合について、さらに説明する。
　図３は、脆弱性情報管理装置１０のハードウエア構成を例示するブロック図である。脆弱性情報管理装置１０は、バス１０１０、プロセッサ１０２０、メモリ１０３０、ストレージデバイス１０４０、入出力インタフェース１０５０、及びネットワークインタフェース１０６０を有する。
　バス１０１０は、プロセッサ１０２０、メモリ１０３０、ストレージデバイス１０４０、入出力インタフェース１０５０、及びネットワークインタフェース１０６０が、相互にデータを送受信するためのデータ伝送路である。ただし、プロセッサ１０２０などを互いに接続する方法は、バス接続に限定されない。
　プロセッサ１０２０は、ＣＰＵ（Central Processing Unit） やＧＰＵ（Graphics Processing Unit）などで実現されるプロセッサである。
　メモリ１０３０は、ＲＡＭ（Random Access Memory）などで実現される主記憶装置である。
　ストレージデバイス１０４０は、ＨＤＤ（Hard Disk Drive）、ＳＳＤ（Solid State Drive）、メモリカード、又はＲＯＭ（Read Only Memory）などで実現される補助記憶装置である。ストレージデバイス１０４０は、脆弱性情報管理装置１０の各機能（ユーザ識別情報取得部１１０、製品特定部１２０、製品構成情報取得部１３０、脆弱性特定部１４０、出力部１５０など）を実現するプログラムモジュールを記憶している。プロセッサ１０２０がこれら各プログラムモジュールをメモリ１０３０上に読み込んで実行することで、各プログラムモジュールに対応する各機能が実現される。
　入出力インタフェース１０５０は、脆弱性情報管理装置１０と各種入出力デバイスとを接続するためのインタフェースである。入出力インタフェース１０５０には、キーボードやマウスといった入力装置、スピーカーやディスプレイといった出力装置などが接続され得る。
　ネットワークインタフェース１０６０は、脆弱性情報管理装置１０をネットワークに接続するためのインタフェースである。このネットワークは、例えばＬＡＮ（Local Area Network）やＷＡＮ（Wide Area Network）である。ネットワークインタフェース１０６０がネットワークに接続する方法は、無線接続であってもよいし、有線接続であってもよい。脆弱性情報管理装置１０は、ネットワークインタフェース１０６０を介して、ユーザ端末３０や脆弱性情報収集装置４０といった、ネットワーク上の外部装置と通信することができる。
　なお、図３はあくまで例示であり、脆弱性情報管理装置１０のハードウエア構成は図３に例示される構成に限定されない。例えば、脆弱性情報管理装置１０は、脆弱性情報収集装置４０の機能（情報源５０から脆弱性情報を収集する機能）を更に備えていてもよい。
　＜処理の流れ＞
　図４は、第１実施形態の脆弱性情報管理装置１０により実行される処理の流れを例示するフローチャートである。以下、図４のフローチャートに沿って、第１実施形態の脆弱性情報管理装置１０により実行される処理の流れを説明する。
　まず、ユーザ識別情報取得部１１０は、ユーザ識別情報を取得する（Ｓ１０２）。例えば、脆弱性情報管理装置１０は、ユーザ端末３０と通信して、ユーザ端末３０に入力されたユーザ識別情報を取得することができる。また、脆弱性情報管理装置１０は、予め設定された処理実行スケジュールに従って、脆弱性情報管理装置１０のメモリ１０３０やストレージデバイス１０４０といった記憶領域に予め記憶されたユーザ識別情報を読み出してもよい。
　そして、製品特定部１２０は、Ｓ１０２の処理で取得されたユーザ識別情報に基づいて、１以上の製品を特定する（Ｓ１０４）。製品特定部１２０は、例えば、製品構成情報記憶部２２に記憶されている情報（例：図５）を参照して、１以上の製品を特定することができる。
　図５は、製品構成情報記憶部２２に記憶される情報を例示する図である。製品構成情報記憶部２２は、製品構成情報を含む製品に関する情報をユーザ識別情報と関連付けて記憶している。図５の例において、各レコードは、「ユーザＩＤ」、「製品ＩＤ」、および「製品構成情報」という３つのカラムを含んで構成されている。「ユーザＩＤ」は、脆弱性情報管理装置１０が提供するサービスのユーザを一意に識別するための情報（ユーザ識別情報）である。「製品ＩＤ」は製品を識別するための情報である。「製品ＩＤ」は、例えば、製品構成情報が登録される際に、脆弱性情報管理装置１０によって自動的に割り当てられる。「製品構成情報」は、ユーザからの入力を基に生成される、製品の構成要素に関する情報である。各製品の製品構成情報は、ユーザＩＤと関連付けて記憶されている。
　図５の例において、「製品構成情報」のカラムは、「要素ＩＤ」、「要素名」、および「階層構造情報」を含んでいる。「要素ＩＤ」は、製品に含まれる構成要素を識別するための情報である。「要素ＩＤ」は、例えば、製品構成情報が登録される際に、脆弱性情報管理装置１０によって自動的に割り当てられる。「要素名」は、構成要素（ハードウエア部品やソフトウエアといった最終製品を構成する部品）の名称を示す情報である。「バージョン情報」は、当該構成要素のバージョンを示す情報である。「階層構造情報」は、製品に含まれる構成要素の階層構造を示す情報である、図５に例示される階層構造情報において、階層構造は、各製品をトップノードとして、「／（スラッシュ）」を使って表現されている。例えば、要素ＩＤ「Ｅ００１」の階層構造情報は「／Ｅ００１」である。これは、構成要素「部品Ａ１」がトップノード直下の第１階層に位置することを示している。また例えば、要素ＩＤ「Ｅ００５」の階層構造情報は「／Ｅ００１／Ｅ００３／Ｅ００５」である。これは、構成要素「部品Ａ１」がトップノード直下の第１階層に位置し、構成要素「電子部品１」が構成要素「部品Ａ１」の下位ノードとして第２階層に位置し、構成要素「ＸＸＸ＃１」が構成要素「電子部品１」の下位ノードとして第３階層に位置することを示している。また例えば、要素ＩＤ「Ｅ００８」の階層構造情報は「／／／Ｅ００８」である。これは、構成要素「ＸＸＸ＃４」が、第１および第２階層を省略して、第３階層に位置することを示している。
　なお、図５に例示されるような情報は、例えば、図６に示すように登録される。図６は、製品構成情報記憶部２２に情報を登録する流れを例示する図である。まず、ユーザは、ユーザ端末３０を使って、脆弱性情報管理装置１０が提供するサービスにログインする（図中（１））。このログイン時に、ユーザ端末３０に入力されたユーザを一意に識別するためのユーザＩＤといった情報が、上述のユーザ識別情報として取得される。そして、ユーザは、ユーザ端末３０を使って、自身が管理したい製品と、その製品に含まれる構成要素に関する情報を入力する（図中（２））。ここで、ユーザは、製品に含まれる構成要素の階層構造を示す情報を更に入力してもよい。脆弱性情報管理装置１０は、ユーザにより入力された情報を製品構成情報として、先に取得したユーザ識別情報に紐付けて製品構成情報記憶部２２に登録する（図中（３））。
　図５に例示される情報を用いる場合、製品特定部１２０は、Ｓ１０２の処理で取得されたユーザ識別情報を用いて、当該取得されたユーザ識別情報と同一のユーザ識別情報を有するレコードを特定することができる。レコードが特定できた時点で、製品特定部１２０は、１以上の製品を特定できたことになる。
　図４に戻り、製品構成情報取得部１３０は、Ｓ１０４の処理で特定された１以上の製品それぞれについて、製品構成情報を取得する（Ｓ１０６）。上述の具体例で言えば、製品構成情報取得部１３０は、製品特定部１２０により特定されたレコードの中から、「製品構成情報」のカラムに格納されている情報（要素ＩＤ、要素名、階層構造情報など）を取得することができる。
　そして、脆弱性特定部１４０は、脆弱性検出処理を実行する（Ｓ１０８）。具体的には、脆弱性特定部１４０は、Ｓ１０６の処理で取得された製品別の構成要素情報と、脆弱性情報記憶部２０に記憶された脆弱性情報（例：図７）とを用いて、脆弱性を有する製品およびその脆弱性を実際に有する構成要素を特定することができる。
　図７は、脆弱性情報記憶部２０に記憶される脆弱性情報の一例を示す図である。脆弱性情報記憶部２０は、製品の構成要素となり得る要素の脆弱性に関する情報を要素毎に記憶している。図７の例において、各レコードは、「脆弱性情報ＩＤ」、「脆弱性情報」、および「影響を受ける要素」という３つのカラムを含んで構成されている。「脆弱性情報ＩＤ」は、脆弱性に関する情報を一意に識別するための情報である。「脆弱性情報」は、例えば脆弱性の危険度、確認方法や対処方法などの、脆弱性の詳細を示す情報である。「影響を受ける要素」は、同じレコードの中で定義されている脆弱性の影響を受ける要素を示す情報である。図７の例において、「影響を受ける要素」のカラムは、「要素名」および「バージョン情報」を含んでいる。脆弱性特定部１４０は、製品構成情報記憶部２２の「要素名」および「バージョン情報」を使って脆弱性情報記憶部２０を検索することにより、製品構成情報記憶部２２に記憶されている各構成要素に存在する脆弱性に関する情報を特定することができる。
　脆弱性特定部１４０は、Ｓ１０６の処理で取得した製品構成情報の「要素名」および「バージョン情報」を検索キーとして用いて、脆弱性情報記憶部２０に記憶されている脆弱性情報を検索する。検索キーに対応する脆弱性情報が見つかった場合、脆弱性特定部１４０は、その検索キーに対応する構成要素を「脆弱性を有する構成要素」と特定することができる。また、脆弱性特定部１４０は、「脆弱性を有する構成要素」として特定された構成要素を有する製品を「脆弱性を有する製品」として特定することができる。
　そして、脆弱性特定部１４０は、Ｓ１０４の処理で特定された１以上の製品について、Ｓ１０８の脆弱性検出処理で脆弱性を有する構成要素が検出された否かを判定する（Ｓ１１０）。脆弱性検出処理で脆弱性を有する構成要素が検出された場合（Ｓ１１０：ＹＥＳ）、脆弱性を有する構成要素を示す情報およびその構成要素を含む製品を示す情報を出力部１５０に通知する。出力部１５０は、脆弱性特定部１４０からの通知に基づいて、脆弱性を有する構成要素を示す情報を、その構成要素を含む製品を示す情報と関連付けてユーザ端末３０に出力する（Ｓ１１２）。
　Ｓ１０６の処理で取得した製品構成情報が、製品に含まれる構成要素の階層構造を示す情報を有している場合、出力部１５０は、その製品構成情報（階層構造を示す情報）に基づいて、図８に例示されるような画面をユーザ端末３０に出力することができる。図８は、出力部１５０による出力の一例を示す図である。図８には、製品に含まれる構成要素の階層構造をツリー形式で示す情報ｉ１を含む画面が例示されている。また、出力部１５０は、脆弱性を有する構成要素を、その他の構成要素と区別可能に表示する画面を出力することができる。例えば、出力部１５０は、図８の符号ｈで示すように、脆弱性を有する構成要素を強調表示してもよい。ユーザは、図８に例示される画面を確認することによって、複数の構成要素からなる製品について、脆弱性を有する構成要素を一目で把握することができる。また、図８に例示されるような画面において、１つの製品を構成する多数の構成要素が、ツリーの上位に行くほど汎化される。その結果、ツリーの上位を見ることによって、脆弱性情報を保有する対象物を容易に把握することが可能となる。
　なお、図８に例示される画面はあくまで一例であり、出力部１５０による出力は図８の例に限定されない。例えば、出力部１５０は、図９または図１０に示されるような画面を出力してもよい。図９および図１０は、出力部１５０による出力の他の一例を示す図である。図９の例では、出力部１５０は、製品に含まれる構成要素の階層構造を示す情報として、リスト形式の情報ｉ２を表示している。また、図１０の例では、出力部１５０は、製品に含まれる構成要素の階層構造を示す情報として、製品に含まれる構成要素の階層構造を別のツリー形式で示す情報ｉ３を表示している。図９および図１０に例示されるような画面によっても、ユーザは、複数の構成要素からなる製品について、脆弱性を有する構成要素を一目で把握することができる。
　また、ある構成要素の下位の階層に位置する別の構成要素に脆弱性が存在する場合、上位の階層の構成要素もその脆弱性の影響を受けることになる。そこで、脆弱性特定部１４０は、階層構造において、脆弱性を有する構成要素の上位階層に位置する他の構成要素（以下、「上位構成要素」と表記）を特定し、出力部１５０は、特定された上位構成要素を示す情報を、ユーザ端末３０に更に出力してもよい（例：図１１）。図１１は、出力部１５０による出力の他の一例を示す図である。図１１の例では、脆弱性特定部１４０は、構成要素「電子部品２」および構成要素「部品Ａ２」を、脆弱性を有する構成要素「ＸＸＸ＃２」の上位構成要素として特定している。具体的には、脆弱性特定部１４０は、図５に例示されるような、構成要素「ＸＸＸ＃２」の階層構造情報「Ｅ００２／Ｅ００４／Ｅ００６」に基づいて、要素ＩＤ「Ｅ００２」および要素ＩＤ「Ｅ００４」の構成要素、すなわち、構成要素「部品Ａ２」および構成要素「電子部品２」を、構成要素「ＸＸＸ＃２」の上位構成要素として特定することができる。そして、出力部１５０は、脆弱性特定部１４０により特定された上位構成要素を示す情報ｉ４を表示することができる。このようにすることで、ユーザは、脆弱性の影響を受ける範囲（構成要素群）を一目で把握することができる。
　また、出力部１５０は、脆弱性を有する構成要素を示す情報を出力する際、その構成要素が有する脆弱性に関する情報を、ユーザ端末３０に更に出力してもよい（例：図１２）。図１２は、出力部１５０による出力の他の一例を示す図である。図１２の例では、出力部１５０は、構成要素の脆弱性に関する情報ｉ５を出力している。
　出力部１５０は、構成要素の脆弱性に関する情報ｉ５を出力する際、例えば、製品に含まれる構成要素の階層構造を示す情報ｉ１において、構成要素のいずれかを選択する入力を受け付ける。具体的な例として、出力部１５０は、脆弱性を有する構成要素に関する領域にポインタＰを重ねる操作や、脆弱性を有する構成要素に関する領域にポインタＰを重ねた上でマウスやキーボードの所定のボタンを押下する操作を、ユーザの入力操作として受け付ける。そして、出力部１５０は、受け付けた入力により選択された構成要素の脆弱性に関する情報ｉ５を、ユーザ端末３０に出力する。このようにすることで、ユーザは、製品に含まれる構成要素がどのような脆弱性を有しているかを容易に確認することができる。
　［第２実施形態］
　本実施形態は、以下の点において、上述の第１実施形態と異なる。
　＜機能構成例＞
　図１３は、第２実施形態における脆弱性情報管理装置１０の機能構成を例示する図である。図１３に示されるように、本実施形態の脆弱性情報管理装置１０は、ユーザ識別情報取得部１１０、製品特定部１２０、製品構成情報取得部１３０、脆弱性特定部１４０、出力部１５０、および、入力受付部１６０を少なくとも有する。
　本実施形態において、入力受付部１６０は、脆弱性を指定する入力を受け付ける。例えば、入力受付部１６０は、ユーザ端末３０を介して、複数の脆弱性の中から特定の脆弱性を指定する入力を受け付ける。また、本実施形態の脆弱性特定部１４０は、入力受付部１６０が受け付けた入力に基づいて、その入力よって指定される脆弱性を有する構成要素を、製品構成情報取得部１３０が取得した製品構成情報に対応する構成要素の中から特定する。また、出力部１５０は、入力受付部１６０が受け付けた入力により指定される脆弱性を有する構成要素として特定された構成要素を示す情報を、ユーザ端末３０に更に出力する。
　＜処理の流れ＞
　図１４は、第２実施形態の脆弱性情報管理装置１０により実行される処理の流れを例示するフローチャートである。以下、図１４のフローチャートに沿って、第２実施形態の脆弱性情報管理装置１０により実行される処理の流れを説明する。
　入力受付部１６０は、脆弱性を指定する入力を受け付ける（Ｓ２０２）。入力受付部１６０は、例えば、図１５に例示されるような画面を介して、脆弱性を指定する入力を受け付けることができる。
　図１５は、脆弱性情報管理装置１０により提供されるサービスのトップ画面を例示する図である。例えば、脆弱性情報管理装置１０により提供されるサービスを利用するためにユーザがログイン動作を行った場合、図１５に例示されるような画面がユーザ端末３０に出力される。具体的には、脆弱性特定部１４０は、あるユーザのログイン動作に応じて、第１実施形態で説明したように、製品構成情報記憶部２２の中からそのユーザに関する製品構成情報を取得する。そして、脆弱性特定部１４０は、取得した製品構成情報と脆弱性情報記憶部２０に記憶されている脆弱性情報とを突き合わせることによって、そのユーザの製品に関係のある脆弱性を特定する。ここで、脆弱性特定部１４０は、特定した脆弱性と、その脆弱性を有する構成要素との対応関係を示す情報をメモリ１０３０などに記憶することができる。そして、出力部１５０は、ユーザの製品に関係のある脆弱性を示す情報ｉ６を含む画面を、ユーザ端末３０に出力することができる。ユーザは、ユーザ端末３０の入力装置を使って、図１５に例示されるような画面上で、脆弱性を指定することができる。また、ユーザは、脆弱性を検索する画面（図１６）を介して、脆弱性を指定する入力操作を行ってもよい。図１６は、脆弱性を検索するための画面の一例を示す図である。
　図１４に戻り、Ｓ２０２の処理で入力受付部１６０が脆弱性を指定する入力を受け付けると、脆弱性特定部１４０は、当該入力によって指定される脆弱性を有する構成要素を特定する（Ｓ２０４）。例えば、脆弱性特定部１４０は、ユーザのログイン動作時にメモリ１０３０などに記憶しておいた、そのユーザの製品に関係のある脆弱性と、その脆弱性を有する構成要素との対応関係を示す情報を用いて、Ｓ２０２の入力で指定された脆弱性を有する構成要素を特定できる。
　そして、出力部１５０は、Ｓ２０４の処理で特定された構成要素を示す情報を、ユーザ端末３０に出力する（Ｓ２０６）。例えば、出力部１５０は、図８乃至図１０に例示されるように、指定された脆弱性を有する構成要素を強調表示するような出力を行うことができる。
　以上、本実施形態では、脆弱性を指定するユーザ入力に応じて、当該脆弱性を有する構成要素を示す情報がユーザ端末３０に出力される。本実施形態の構成により、ユーザは、指定した脆弱性がそのユーザに関係のある製品のどの構成要素に存在しているかを容易に確認することができる。
　［第３実施形態］
　本実施形態は、以下の点において、上述の第１実施形態と異なる。
　＜機能構成例＞
　図１７は、第３実施形態における脆弱性情報管理装置１０の機能構成を例示する図である。図１７に示されるように、本実施形態の脆弱性情報管理装置１０は、対処計画情報取得部１７０および通知部１８０を更に有する。
　対処計画情報取得部１７０は、製品（製品に含まれる構成要素）に関して見つかった脆弱性への対処計画を示す情報（対処計画情報）を取得する。ここで「対処計画」は、脆弱性に対して取り得る対処の完了予定日や進捗状態（「未確認」、「調査中」、「対処済み」、「該当なし」等）を含む。ユーザは、例えば、図８乃至図１０に例示されるような画面において、そのユーザに関係する製品の脆弱性の情報を確認した後、その脆弱性に対する対処スケジュールや対処の進捗状態を示す対処計画情報を、ユーザ端末３０を介して入力することができる。対処計画情報取得部１７０は、ユーザの入力に応じて取得された対処計画情報を、そのユーザを識別する情報と対応付けて、メモリ１０３０やストレージデバイス１０４０などの記憶領域に記憶する（例：図１８）。図１８は、ユーザ毎に保管される対処計画情報の一例を示す図である。図１８では、各ユーザを一意に識別するユーザ識別情報と対応付けて、対処計画情報を記憶するテーブルが例示されている。
　通知部１８０は、対処計画情報取得部１７０により取得された対処計画情報に基づいて、脆弱性への対処についてのリマインド情報をユーザに通知する。
　一例として、通知部１８０は、対処計画における進捗状態別の件数を示す情報を、ユーザ端末３０に通知することができる。具体的には、通知部１８０は、図１８に示すような情報を参照して、ユーザ毎の対処計画情報を取得する。そして、通知部１８０は、対処計画情報の進捗状態の値に基づいて、進捗状態別のレコードを特定し、その件数または各レコードに登録された内容を示す情報等をユーザ端末３０に送信する。他の一例として、通知部１８０は、対処計画情報の完了予定日を過ぎても対処が完了していない脆弱性の件数を示す情報を、ユーザ端末３０に通知することができる。具体的には、通知部１８０は、図１８に示すような情報を参照して、ユーザ毎の対処計画情報を取得する。そして、通知部１８０は、対処計画情報の完了予定日の値および進捗状態の値に基づいて、完了予定日を過ぎても対処が完了していない脆弱性のレコードを特定し、その件数または各レコードに登録された内容を示す情報等をユーザ端末３０に送信する。
　なお、図示しないが、ユーザ識別情報（ユーザＩＤ）とユーザ端末３０のアドレス情報との対応関係を示す情報が、例えばストレージデバイス１０４０に予め登録されている。通知部１８０は、ユーザＩＤを基に取得されるユーザ端末３０のアドレス情報を用いて、先に例示したような通知を行うことができる。
　以上、本実施形態では、ユーザが入力した脆弱性対処情報に基づいて、ユーザ端末３０にリマインド情報が出力される。そして、このリマインド情報によって、ユーザに脆弱性への対処を促すことができる。
　［第４実施形態］
　本実施形態は、以下の点において、上述の第１実施形態と異なる。
　＜機能構成例＞
　図１９は、第４実施形態における脆弱性情報管理装置１０の機能構成を例示する図である。本実施形態の製品特定部１２０は、ユーザ識別情報取得部１１０により取得されたユーザ識別情報に紐付けられたグループ識別情報を取得する。ここで、グループ識別情報は、製品が属するグループ（例えば、プロジェクト）を示す情報である。グループ識別情報は、グループ識別情報記憶部２４に記憶されている（例：図２０）。図２０は、グループ識別情報記憶部２４に記憶される情報の一例を示す図である。図２０に例示されるように、グループ識別情報記憶部２４は、各ユーザのユーザ識別情報（ユーザＩＤ）と紐付けて、グループ識別情報（グループＩＤ）を記憶している。更に、本実施形態の製品特定部１２０は、取得されたグループ識別情報を用いて、１以上の製品を特定する。例えば、本実施形態において、製品構成情報記憶部２２は、図２１に例示されるような情報を記憶している。図２１は、第４実施形態の製品構成情報記憶部２２に記憶される情報を例示する図である。本実施形態の製品構成情報記憶部２２は、ユーザＩＤの代わりに、グループＩＤに関連づけて、製品の情報を記憶している。製品特定部１２０は、ユーザ識別情報を基に取得したグループ識別情報を使い、第１実施形態と同様に、１以上の製品を特定することができる。１以上の製品が特定する処理以外については、上述の各実施形態と同様である。
　以上、本実施形態では、ユーザ識別情報と製品構成情報（１以上の製品の情報）とが、各製品が属するグループ（例えば、プロジェクト）を示すグループ識別情報を介して紐付けられている。本実施形態の構成により、製品構成情報をユーザ毎に記憶する必要がなくなるため、システムで保持する情報の更新および管理が容易になる。また、システム全体のハードウエア資源を節約する効果も見込める。
　以上、図面を参照して本発明の実施形態について述べたが、これらは本発明の例示であり、上記以外の様々な構成を採用することもできる。
　また、上述の説明で用いた複数のフローチャートでは、複数の工程（処理）が順番に記載されているが、各実施形態で実行される工程の実行順序は、その記載の順番に制限されない。各実施形態では、図示される工程の順番を内容的に支障のない範囲で変更することができる。また、上述の各実施形態は、内容が相反しない範囲で組み合わせることができる。
　上記の実施形態の一部または全部は、以下の付記のようにも記載されうるが、以下に限られない。
１．
　ユーザ識別情報を取得するユーザ識別情報取得手段と、
　取得された前記ユーザ識別情報に関連付けられた、１以上の製品を特定する製品特定手段と、
　特定された前記１以上の製品それぞれについて、製品の構成要素を示す製品構成情報を取得する製品構成情報取得手段と、
　製品の構成要素となり得る要素それぞれの脆弱性情報を要素別に記憶する脆弱性情報記憶手段を参照して、取得された前記製品構成情報に対応する構成要素の中から、脆弱性を有する構成要素を特定する脆弱性特定手段と、
　前記脆弱性を有する構成要素を示す情報を、当該構成要素を含む製品を示す情報と関連付けてユーザ端末に出力する出力手段と、
　を備える脆弱性情報管理装置。
２．
　前記出力手段は、前記脆弱性を有する構成要素として特定された構成要素に関する脆弱性情報を、前記ユーザ端末に更に出力する、
　１．に記載の脆弱性情報管理装置。
３．
　前記製品構成情報は、製品に含まれる構成要素の階層構造を示す情報を更に有しており、
　前記出力手段は、前記取得された製品構成情報に基づいて、製品に含まれる構成要素の階層構造を示す情報を、前記ユーザ端末に更に出力する、
　１．または２．に記載の脆弱性情報管理装置。
４．
　前記脆弱性特定手段は、前記階層構造において、前記脆弱性を有する構成要素の上位に位置する上位構成要素を更に特定し、
　前記出力手段は、前記上位構成要素を示す情報を、前記ユーザ端末に更に出力する、
　３．に記載の脆弱性情報管理装置。
５．
　前記出力手段は、
　　前記階層構造を示す情報において構成要素のいずれかを選択する入力を受け付け、
　　前記入力により選択された構成要素に関する脆弱性情報を、前記ユーザ端末に更に出力する、
　３．または４．に記載の脆弱性情報管理装置。
６．
　脆弱性を指定する入力を受け付ける入力受付手段を更に備え、
　前記脆弱性特定手段は、前記脆弱性情報記憶手段を参照して、前記取得された製品構成情報に対応する構成要素の中から、前記入力により指定された脆弱性を有する構成要素を特定し、
　前記出力手段は、前記入力により指定された脆弱性を有する構成要素を示す情報を、前記ユーザ端末に出力する、
　１．から５．のいずれか１つに記載の脆弱性情報管理装置。
７．
　製品に関して見つかった脆弱性への対処計画を示す対処計画情報を取得する対処計画情報取得手段と、
　前記対処計画情報が示す対処計画に基づいて、脆弱性への対処についてのリマインド情報をユーザに通知する通知手段と、を更に備える、
　１．から６．のいずれか１つに記載の脆弱性情報管理装置。
８．
　前記製品特定手段は、
　　製品が属するグループを示すグループ識別情報を各ユーザのユーザ識別情報と紐付けて記憶するグループ識別情報記憶手段を参照して、前記取得されたユーザ識別情報に紐付けられたグループ識別情報を取得し、
　　製品の情報をグループ識別情報別に対応付けて記憶する製品情報記憶手段を参照して、取得された前記グループ識別情報に紐付けられた１以上の製品を特定する、
　１．から７．のいずれか１つに記載の脆弱性情報管理装置。
９．
　コンピュータが、
　ユーザ識別情報を取得し、
　取得された前記ユーザ識別情報に関連付けられた、１以上の製品を特定し、
　特定された前記１以上の製品それぞれについて、製品の構成要素を示す製品構成情報を取得し、
　製品の構成要素となり得る要素それぞれの脆弱性情報を要素別に記憶する脆弱性情報記憶手段を参照して、取得された前記製品構成情報に対応する構成要素の中から、脆弱性を有する構成要素を特定し、
　前記脆弱性を有する構成要素を示す情報を、当該構成要素を含む製品を示す情報と関連付けてユーザ端末に出力する、
　ことを含む脆弱性情報管理方法。
１０．
　前記コンピュータが、前記脆弱性を有する構成要素として特定された構成要素に関する脆弱性情報を、前記ユーザ端末に更に出力する、
　ことを含む９．に記載の脆弱性情報管理方法。
１１．
　前記製品構成情報は、製品に含まれる構成要素の階層構造を示す情報を更に有しており、
　前記コンピュータが、前記取得された製品構成情報に基づいて、製品に含まれる構成要素の階層構造を示す情報を、前記ユーザ端末に更に出力する、
　ことを含む９．または１０．に記載の脆弱性情報管理方法。
１２．
　前記コンピュータが、
　　前記階層構造において、前記脆弱性を有する構成要素の上位に位置する上位構成要素を更に特定し、
　　前記上位構成要素を示す情報を、前記ユーザ端末に更に出力する、
　ことを含む１１．に記載の脆弱性情報管理方法。
１３．
　前記コンピュータが、
　　前記階層構造を示す情報において構成要素のいずれかを選択する入力を受け付け、
　　前記入力により選択された構成要素に関する脆弱性情報を、前記ユーザ端末に更に出力する、
　ことを含む１１．または１２．に記載の脆弱性情報管理方法。
１４．
　前記コンピュータが、
　　脆弱性を指定する入力を受け付け、
　　前記脆弱性情報記憶手段を参照して、前記取得された製品構成情報に対応する構成要素の中から、前記入力により指定された脆弱性を有する構成要素を特定し、
　　前記入力により指定された脆弱性を有する構成要素を示す情報を、前記ユーザ端末に出力する、
　ことを含む９．から１３．のいずれか１つに記載の脆弱性情報管理方法。
１５．
　前記コンピュータが、
　　製品に関して見つかった脆弱性への対処計画を示す対処計画情報を取得し、
　　前記対処計画情報が示す対処計画に基づいて、脆弱性への対処についてのリマインド情報をユーザに通知する、
　ことを更に含む９．から１４．のいずれか１つに記載の脆弱性情報管理方法。
１６．
　前記コンピュータが、
　　製品が属するグループを示すグループ識別情報を各ユーザのユーザ識別情報と紐付けて記憶するグループ識別情報記憶手段を参照して、前記取得されたユーザ識別情報に紐付けられたグループ識別情報を取得し、
　　製品の情報をグループ識別情報別に対応付けて記憶する製品情報記憶手段を参照して、取得された前記グループ識別情報に紐付けられた１以上の製品を特定する、
　ことを含む９．から１５．のいずれか１つに記載の脆弱性情報管理方法。
１７．
　コンピュータに、９．から１６．のいずれか１つに記載の脆弱性情報管理方法を実行させるプログラム。
　この出願は、２０１８年９月５日に出願された日本出願特願２０１８－１６６０７６号を基礎とする優先権を主張し、その開示の全てをここに取り込む。

Claims (17)

  1. 　ユーザ識別情報を取得するユーザ識別情報取得手段と、
    　取得された前記ユーザ識別情報に関連付けられた、１以上の製品を特定する製品特定手段と、
    　特定された前記１以上の製品それぞれについて、製品の構成要素を示す製品構成情報を取得する製品構成情報取得手段と、
    　製品の構成要素となり得る要素それぞれの脆弱性情報を要素別に記憶する脆弱性情報記憶手段を参照して、取得された前記製品構成情報に対応する構成要素の中から、脆弱性を有する構成要素を特定する脆弱性特定手段と、
    　前記脆弱性を有する構成要素を示す情報を、当該構成要素を含む製品を示す情報と関連付けてユーザ端末に出力する出力手段と、
    　を備える脆弱性情報管理装置。
  2. 　前記出力手段は、前記脆弱性を有する構成要素として特定された構成要素に関する脆弱性情報を、前記ユーザ端末に更に出力する、
    　請求項１に記載の脆弱性情報管理装置。
  3. 　前記製品構成情報は、製品に含まれる構成要素の階層構造を示す情報を更に有しており、
    　前記出力手段は、前記取得された製品構成情報に基づいて、製品に含まれる構成要素の階層構造を示す情報を、前記ユーザ端末に更に出力する、
    　請求項１または２に記載の脆弱性情報管理装置。
  4. 　前記脆弱性特定手段は、前記階層構造において、前記脆弱性を有する構成要素の上位に位置する上位構成要素を更に特定し、
    　前記出力手段は、前記上位構成要素を示す情報を、前記ユーザ端末に更に出力する、
    　請求項３に記載の脆弱性情報管理装置。
  5. 　前記出力手段は、
    　　前記階層構造を示す情報において構成要素のいずれかを選択する入力を受け付け、
    　　前記入力により選択された構成要素に関する脆弱性情報を、前記ユーザ端末に更に出力する、
    　請求項３または４に記載の脆弱性情報管理装置。
  6. 　脆弱性を指定する入力を受け付ける入力受付手段を更に備え、
    　前記脆弱性特定手段は、前記脆弱性情報記憶手段を参照して、前記取得された製品構成情報に対応する構成要素の中から、前記入力により指定された脆弱性を有する構成要素を特定し、
    　前記出力手段は、前記入力により指定された脆弱性を有する構成要素を示す情報を、前記ユーザ端末に出力する、
    　請求項１から５のいずれか１項に記載の脆弱性情報管理装置。
  7. 　製品に関して見つかった脆弱性への対処計画を示す対処計画情報を取得する対処計画情報取得手段と、
    　前記対処計画情報が示す対処計画に基づいて、脆弱性への対処についてのリマインド情報をユーザに通知する通知手段と、を更に備える、
    　請求項１から６のいずれか１項に記載の脆弱性情報管理装置。
  8. 　前記製品特定手段は、
    　　製品が属するグループを示すグループ識別情報を各ユーザのユーザ識別情報と紐付けて記憶するグループ識別情報記憶手段を参照して、前記取得されたユーザ識別情報に紐付けられたグループ識別情報を取得し、
    　　製品の情報をグループ識別情報別に対応付けて記憶する製品情報記憶手段を参照して、取得された前記グループ識別情報に紐付けられた１以上の製品を特定する、
    　請求項１から７のいずれか１項に記載の脆弱性情報管理装置。
  9. 　コンピュータが、
    　ユーザ識別情報を取得し、
    　取得された前記ユーザ識別情報に関連付けられた、１以上の製品を特定し、
    　特定された前記１以上の製品それぞれについて、製品の構成要素を示す製品構成情報を取得し、
    　製品の構成要素となり得る要素それぞれの脆弱性情報を要素別に記憶する脆弱性情報記憶手段を参照して、取得された前記製品構成情報に対応する構成要素の中から、脆弱性を有する構成要素を特定し、
    　前記脆弱性を有する構成要素を示す情報を、当該構成要素を含む製品を示す情報と関連付けてユーザ端末に出力する、
    　ことを含む脆弱性情報管理方法。
  10. 　前記コンピュータが、前記脆弱性を有する構成要素として特定された構成要素に関する脆弱性情報を、前記ユーザ端末に更に出力する、
    　ことを含む請求項９に記載の脆弱性情報管理方法。
  11. 　前記製品構成情報は、製品に含まれる構成要素の階層構造を示す情報を更に有しており、
    　前記コンピュータが、前記取得された製品構成情報に基づいて、製品に含まれる構成要素の階層構造を示す情報を、前記ユーザ端末に更に出力する、
    　ことを含む請求項９または１０に記載の脆弱性情報管理方法。
  12. 　前記コンピュータが、
    　　前記階層構造において、前記脆弱性を有する構成要素の上位に位置する上位構成要素を更に特定し、
    　　前記上位構成要素を示す情報を、前記ユーザ端末に更に出力する、
    　ことを含む請求項１１に記載の脆弱性情報管理方法。
  13. 　前記コンピュータが、
    　　前記階層構造を示す情報において構成要素のいずれかを選択する入力を受け付け、
    　　前記入力により選択された構成要素に関する脆弱性情報を、前記ユーザ端末に更に出力する、
    　ことを含む請求項１１または１２に記載の脆弱性情報管理方法。
  14. 　前記コンピュータが、
    　　脆弱性を指定する入力を受け付け、
    　　前記脆弱性情報記憶手段を参照して、前記取得された製品構成情報に対応する構成要素の中から、前記入力により指定された脆弱性を有する構成要素を特定し、
    　　前記入力により指定された脆弱性を有する構成要素を示す情報を、前記ユーザ端末に出力する、
    　ことを含む請求項９から１３のいずれか１項に記載の脆弱性情報管理方法。
  15. 　前記コンピュータが、
    　　製品に関して見つかった脆弱性への対処計画を示す対処計画情報を取得し、
    　　前記対処計画情報が示す対処計画に基づいて、脆弱性への対処についてのリマインド情報をユーザに通知する、
    　ことを更に含む請求項９から１４のいずれか１項に記載の脆弱性情報管理方法。
  16. 　前記コンピュータが、
    　　製品が属するグループを示すグループ識別情報を各ユーザのユーザ識別情報と紐付けて記憶するグループ識別情報記憶手段を参照して、前記取得されたユーザ識別情報に紐付けられたグループ識別情報を取得し、
    　　製品の情報をグループ識別情報別に対応付けて記憶する製品情報記憶手段を参照して、取得された前記グループ識別情報に紐付けられた１以上の製品を特定する、
    　ことを含む請求項９から１５のいずれか１項に記載の脆弱性情報管理方法。
  17. 　コンピュータに、請求項９から１６のいずれか１項に記載の脆弱性情報管理方法を実行させるプログラム。
PCT/JP2019/034930 2018-09-05 2019-09-05 脆弱性情報管理装置、脆弱性情報管理方法、およびプログラム WO2020050355A1 (ja)

Priority Applications (1)

Application Number Priority Date Filing Date Title
JP2020541293A JP7173619B2 (ja) 2018-09-05 2019-09-05 脆弱性情報管理装置、脆弱性情報管理方法、およびプログラム

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
JP2018-166076 2018-09-05
JP2018166076 2018-09-05

Publications (1)

Publication Number Publication Date
WO2020050355A1 true WO2020050355A1 (ja) 2020-03-12

Family

ID=69722402

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/JP2019/034930 WO2020050355A1 (ja) 2018-09-05 2019-09-05 脆弱性情報管理装置、脆弱性情報管理方法、およびプログラム

Country Status (2)

Country Link
JP (1) JP7173619B2 (ja)
WO (1) WO2020050355A1 (ja)

Cited By (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2023073946A1 (ja) * 2021-10-29 2023-05-04 日本電気株式会社 データ処理装置、データ処理方法、および記録媒体
JP7491424B2 (ja) 2022-03-10 2024-05-28 株式会社デンソー ソフトウェアパッケージ構成情報の保護

Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2003108521A (ja) * 2001-09-29 2003-04-11 Toshiba Corp 脆弱性評価プログラム、方法及びシステム
JP2007058514A (ja) * 2005-08-24 2007-03-08 Mitsubishi Electric Corp 情報処理装置及び情報処理方法及びプログラム
JP2008197877A (ja) * 2007-02-13 2008-08-28 Nec Corp セキュリティ運用管理システム、方法およびプログラム
JP2009015570A (ja) * 2007-07-04 2009-01-22 Nippon Telegr & Teleph Corp <Ntt> 脆弱性情報流通システムおよび方法
JP2016091402A (ja) * 2014-11-07 2016-05-23 株式会社日立製作所 リスク評価システムおよびリスク評価方法

Family Cites Families (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP6023121B2 (ja) * 2014-05-15 2016-11-09 ゲヒルン株式会社 脆弱性可視化サーバ、脆弱性可視化方法、脆弱性可視化サーバ用プログラム

Patent Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2003108521A (ja) * 2001-09-29 2003-04-11 Toshiba Corp 脆弱性評価プログラム、方法及びシステム
JP2007058514A (ja) * 2005-08-24 2007-03-08 Mitsubishi Electric Corp 情報処理装置及び情報処理方法及びプログラム
JP2008197877A (ja) * 2007-02-13 2008-08-28 Nec Corp セキュリティ運用管理システム、方法およびプログラム
JP2009015570A (ja) * 2007-07-04 2009-01-22 Nippon Telegr & Teleph Corp <Ntt> 脆弱性情報流通システムおよび方法
JP2016091402A (ja) * 2014-11-07 2016-05-23 株式会社日立製作所 リスク評価システムおよびリスク評価方法

Cited By (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2023073946A1 (ja) * 2021-10-29 2023-05-04 日本電気株式会社 データ処理装置、データ処理方法、および記録媒体
JP7491424B2 (ja) 2022-03-10 2024-05-28 株式会社デンソー ソフトウェアパッケージ構成情報の保護

Also Published As

Publication number Publication date
JPWO2020050355A1 (ja) 2021-08-30
JP7173619B2 (ja) 2022-11-16

Similar Documents

Publication Publication Date Title
US9245057B1 (en) Presenting a graphical visualization along a time-based graph lane using key performance indicators derived from machine data
JP7079310B2 (ja) 診断分析装置関連情報の集約方法および集約システム
US8612372B2 (en) Detection rule-generating facility
CN109359949A (zh) 流程展示方法和装置
JP7255636B2 (ja) 端末管理装置、端末管理方法、およびプログラム
WO2020050355A1 (ja) 脆弱性情報管理装置、脆弱性情報管理方法、およびプログラム
CN102415052B (zh) 用于管理设备的配置的***和方法
JP6648511B2 (ja) 支援装置、支援方法およびプログラム
JP2011154496A (ja) アクセス権設定プログラム、アクセス権設定装置及びアクセス権管理システム
US20170236181A1 (en) Electronic device, system, and method
JP2008243033A (ja) 検索システム、検索方法、プログラムおよび記憶媒体
JP2011198103A (ja) 操作支援プログラム、操作支援方法、及び操作支援装置
CN115965188A (zh) 一种对象巡查方法、装置、设备及介质
JP5116123B2 (ja) 通信システム、ポータルサーバ、サービスサーバ、通信方法及びプログラム
JP2016040652A (ja) 帳票出力装置及び帳票出力方法
CN113094088A (zh) 数据库配置信息采集方法、装置、计算机设备及存储介质
US11405276B2 (en) Device configuration management apparatus, system, and program
JP2009134535A (ja) ソフトウェア開発支援装置、ソフトウェア開発支援方法及びソフトウェア開発支援プログラム
JP2008052592A (ja) 事例管理装置、事例管理システム、コンピュータプログラム
JP2007233567A (ja) プラント監視システム
JP7176434B2 (ja) 情報処理システム、情報処理装置及びデータ記憶プログラム
JP2006277179A (ja) データベースチューニング装置及びデータベースチューニング方法並びにプログラム
US20220413469A1 (en) Device management system and device management device
CN110535701B (zh) 一种问题定位方法及装置
JP2008009966A (ja) 業務プロセス設定装置及び業務プロセス設定方法

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 19857296

Country of ref document: EP

Kind code of ref document: A1

ENP Entry into the national phase

Ref document number: 2020541293

Country of ref document: JP

Kind code of ref document: A

NENP Non-entry into the national phase

Ref country code: DE

122 Ep: pct application non-entry in european phase

Ref document number: 19857296

Country of ref document: EP

Kind code of ref document: A1