WO2020050355A1 - 脆弱性情報管理装置、脆弱性情報管理方法、およびプログラム - Google Patents
脆弱性情報管理装置、脆弱性情報管理方法、およびプログラム Download PDFInfo
- Publication number
- WO2020050355A1 WO2020050355A1 PCT/JP2019/034930 JP2019034930W WO2020050355A1 WO 2020050355 A1 WO2020050355 A1 WO 2020050355A1 JP 2019034930 W JP2019034930 W JP 2019034930W WO 2020050355 A1 WO2020050355 A1 WO 2020050355A1
- Authority
- WO
- WIPO (PCT)
- Prior art keywords
- information
- vulnerability
- product
- component
- user
- Prior art date
Links
Images
Classifications
-
- G—PHYSICS
- G06—COMPUTING; CALCULATING OR COUNTING
- G06F—ELECTRIC DIGITAL DATA PROCESSING
- G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
- G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
- G06F21/57—Certifying or maintaining trusted computer platforms, e.g. secure boots or power-downs, version controls, system software checks, secure updates or assessing vulnerabilities
Definitions
- the present invention relates to a technology for managing vulnerabilities in products.
- Patent Documents 1 to 5 Examples of techniques for managing vulnerabilities are disclosed in Patent Documents 1 to 5 below.
- Japanese Patent Application Laid-Open No. H11-163873 obtains software installed in a target device and configuration information including the version of the software and the application status of a service pack, and based on the configuration information, obtains a vulnerability.
- JP 2014-130502 A WO 2013/035181 JP 2010-067216 A JP 2017-174378 A JP 2015-114833 A
- One product is basically configured by combining various elements (hardware parts and software parts). If any of the components (hereinafter, also referred to as “components”) constituting one product has vulnerability, the product is affected by the vulnerability. There is a need to know what vulnerabilities exist in which parts of products handled by users.
- the present invention has been made in view of the above problems.
- One of the objects of the present invention is to provide a technique for easily grasping what kind of vulnerability exists in which part of a product handled by a user.
- the vulnerability information management device of the present invention includes: User identification information acquisition means for acquiring user identification information; Product identification means for identifying one or more products associated with the acquired user identification information; For each of the specified one or more products, product configuration information obtaining means for obtaining product configuration information indicating a component of the product; Referring to the vulnerability information storage unit that stores vulnerability information of each element that can be a component of the product for each element, among the components corresponding to the obtained product configuration information, Vulnerability identification means to identify, Output means for outputting information indicating the component having the vulnerability to a user terminal in association with information indicating a product including the component, Is provided.
- the vulnerability information management method of the present invention includes: Computer Get user identification information, Identifying one or more products associated with the obtained user identification information; For each of the specified one or more products, obtain product configuration information indicating a component of the product; Referring to the vulnerability information storage unit that stores vulnerability information of each element that can be a component of the product for each element, among the components corresponding to the obtained product configuration information, Identify The information indicating the component having the vulnerability is output to the user terminal in association with the information indicating the product including the component, Including.
- the program of the present invention causes a computer to execute the above-described vulnerability information management method.
- FIG. 2 is a block diagram illustrating a hardware configuration of a vulnerability information management device according to the present invention. It is a flowchart which illustrates the flow of the process performed by the vulnerability information management device of 1st Embodiment.
- FIG. 4 is a diagram illustrating information stored in a product configuration information storage unit according to the first embodiment.
- FIG. 4 is a diagram illustrating a flow of registering information in a product configuration information storage unit according to the first embodiment.
- FIG. 4 is a figure showing an example of vulnerability information stored in a vulnerability information storage part in a 1st embodiment.
- FIG. 5 is a diagram illustrating an example of an output by an output unit according to the first embodiment.
- FIG. 5 is a diagram illustrating another example of the output by the output unit according to the first embodiment.
- FIG. 5 is a diagram illustrating another example of the output by the output unit according to the first embodiment.
- FIG. 5 is a diagram illustrating another example of the output by the output unit according to the first embodiment.
- FIG. 5 is a diagram illustrating another example of the output by the output unit according to the first embodiment.
- It is a figure which illustrates the functional composition of the vulnerability information management device in 2nd Embodiment. It is a flowchart which illustrates the flow of the process performed by the vulnerability information management device of 2nd Embodiment.
- FIG. 14 is a diagram illustrating an example of information stored in a group identification information storage unit according to a fourth embodiment. It is a figure which illustrates the information memorize
- each block diagram represents a configuration of a functional unit, not a configuration of a hardware unit.
- the vulnerability information management apparatus 10 provides a user with a service that supports work for managing vulnerability of a product.
- FIG. 1 is a diagram conceptually showing processing performed by the vulnerability information management device 10 according to the present invention.
- the vulnerability information management device 10 acquires information (user identification information) for uniquely identifying a user of a service provided by the vulnerability information management device 10. For example, as shown in FIG. 1, the vulnerability information management device 10 can communicate with the user terminal 30 and acquire the user identification information input to the user terminal 30. Further, the vulnerability information management apparatus 10 may read user identification information stored in advance in a storage area (not shown) such as a memory or a storage device of the vulnerability information management apparatus 10 according to a preset processing execution schedule. Good.
- the vulnerability information management device 10 outputs, from the product configuration information (information indicating product components for each product) stored in the product configuration information storage unit 22, the product configuration information associated with the acquired user identification information.
- the product configuration information stored in the product configuration information storage unit 22 is registered by the user.
- the user inputs information on components (hardware and software) included in the product to be managed to the vulnerability information management device 10 via the user terminal 30.
- the vulnerability information management device 10 stores the information on the components of the product (product configuration information) input by the user in the product configuration information storage unit 22 in association with the user identification information for identifying the user.
- the vulnerability information management device 10 uses the product configuration information acquired from the product configuration information storage unit 22 and the known vulnerability information stored in the vulnerability information storage unit 20 to generate a configuration having a vulnerability.
- Detect elements vulnerability detection processing
- the vulnerability information stored in the vulnerability information storage unit 20 is imported from the vulnerability information collection device 40.
- the vulnerability information collecting apparatus 40 collects information on vulnerabilities of elements (hardware components, software programs, etc.) that can be constituent elements of a product from an information source 50 on a network, and a database (vulnerability information storage unit 410). ) Has accumulated.
- the information source 50 is any node on the network that has information on the vulnerability.
- the information source 50 is operated by, for example, a public organization or a vendor.
- the information source 50 includes JVN (Japan Vulnerability Notes), NVD (National Vulnerability Database), and OSVDB (Open Source Vulnerability Database).
- the information source 50 may include a node that discloses information on PoC (Proof of Concept) and exploit code related to the discovered vulnerability.
- the vulnerability information management apparatus 10 outputs to the user terminal 30 the result of the vulnerability detection processing (information indicating the component having the vulnerability and information indicating the product including the component).
- FIG. 2 is a diagram illustrating a functional configuration of the vulnerability information management device 10 according to the first embodiment.
- the vulnerability information management device 10 of the present embodiment includes a user identification information acquisition unit 110, a product identification unit 120, a product configuration information acquisition unit 130, a vulnerability identification unit 140, and an output unit 150.
- a user identification information acquisition unit 110 the vulnerability information management device 10 of the present embodiment includes a user identification information acquisition unit 110, a product identification unit 120, a product configuration information acquisition unit 130, a vulnerability identification unit 140, and an output unit 150.
- the user identification information acquisition unit 110 acquires user identification information.
- the user identification information is assigned to each user who uses the service provided by the vulnerability information management device 10 of the present embodiment.
- the user identification information is, for example, an ID (Identifier) obtained by combining arbitrary numbers and characters.
- the product identification unit 120 identifies one or more products associated with the user identification information acquired by the user identification information acquisition unit 110.
- the user identification information and the information on the product are associated in advance by, for example, an input from the user.
- the product configuration information acquisition unit 130 acquires product configuration information for each of one or more products specified by the product specification unit 120.
- the product configuration information is information indicating components (hardware and software) included in the product.
- the vulnerability identifying unit 140 refers to the vulnerability information storage unit 20 and identifies a vulnerable component from components corresponding to the product configuration information acquired by the product configuration information acquiring unit 130. As described above, the vulnerability information storage unit 20 collects vulnerability information of each element (hardware and software) that can be a component of the product from the information source 50 on the network and stores the information for each element.
- the output unit 150 outputs the information indicating the component having the vulnerability specified by the vulnerability specifying unit 140 to the user terminal 30 in association with the information indicating the product including the component.
- Each functional component of the vulnerability information management device 10 may be implemented by hardware (eg, a hard-wired electronic circuit or the like) that implements each functional component, or a combination of hardware and software ( Example: a combination of an electronic circuit and a program for controlling the electronic circuit).
- hardware eg, a hard-wired electronic circuit or the like
- FIG. 3 is a block diagram illustrating a hardware configuration of the vulnerability information management device 10.
- the vulnerability information management device 10 includes a bus 1010, a processor 1020, a memory 1030, a storage device 1040, an input / output interface 1050, and a network interface 1060.
- the bus 1010 is a data transmission path through which the processor 1020, the memory 1030, the storage device 1040, the input / output interface 1050, and the network interface 1060 mutually transmit and receive data.
- a method of connecting the processors 1020 and the like to each other is not limited to a bus connection.
- the processor 1020 is a processor realized by a CPU (Central Processing Unit), a GPU (Graphics Processing Unit), or the like.
- the memory 1030 is a main storage device realized by a RAM (Random Access Memory) or the like.
- the storage device 1040 is an auxiliary storage device realized by a hard disk drive (HDD), a solid state drive (SSD), a memory card, or a read only memory (ROM).
- the storage device 1040 is a program module that implements each function of the vulnerability information management apparatus 10 (user identification information acquisition unit 110, product identification unit 120, product configuration information acquisition unit 130, vulnerability identification unit 140, output unit 150, and the like). I remember.
- the processor 1020 reads each of these program modules into the memory 1030 and executes them to realize each function corresponding to each program module.
- the input / output interface 1050 is an interface for connecting the vulnerability information management device 10 and various input / output devices.
- the input / output interface 1050 may be connected to input devices such as a keyboard and a mouse, and output devices such as a speaker and a display.
- the network interface 1060 is an interface for connecting the vulnerability information management device 10 to a network.
- This network is, for example, a LAN (Local Area Network) or a WAN (Wide Area Network).
- the method by which the network interface 1060 connects to the network may be a wireless connection or a wired connection.
- the vulnerability information management device 10 can communicate with external devices on the network, such as the user terminal 30 and the vulnerability information collection device 40, via the network interface 1060.
- FIG. 3 is merely an example, and the hardware configuration of the vulnerability information management device 10 is not limited to the configuration illustrated in FIG.
- the vulnerability information management device 10 may further include a function of the vulnerability information collection device 40 (a function of collecting vulnerability information from the information source 50).
- FIG. 4 is a flowchart illustrating a flow of processing executed by the vulnerability information management device 10 of the first embodiment.
- the flow of processing executed by the vulnerability information management device 10 of the first embodiment will be described with reference to the flowchart of FIG.
- the user identification information acquisition unit 110 acquires user identification information (S102).
- the vulnerability information management device 10 can communicate with the user terminal 30 and acquire the user identification information input to the user terminal 30. Further, the vulnerability information management device 10 may read out user identification information stored in advance in a storage area such as the memory 1030 or the storage device 1040 of the vulnerability information management device 10 according to a preset processing execution schedule.
- the product specifying unit 120 specifies one or more products based on the user identification information acquired in the processing of S102 (S104).
- the product specifying unit 120 can specify one or more products with reference to information (eg, FIG. 5) stored in the product configuration information storage unit 22, for example.
- FIG. 5 is a diagram illustrating information stored in the product configuration information storage unit 22.
- the product configuration information storage unit 22 stores information on products including product configuration information in association with user identification information.
- each record is configured to include three columns of “user ID”, “product ID”, and “product configuration information”.
- “User ID” is information (user identification information) for uniquely identifying a user of a service provided by the vulnerability information management device 10.
- “Product ID” is information for identifying a product. The “product ID” is automatically assigned by the vulnerability information management device 10 when, for example, product configuration information is registered.
- “Product configuration information” is information on components of a product generated based on an input from a user. The product configuration information of each product is stored in association with the user ID.
- the column of “product configuration information” includes “element ID”, “element name”, and “hierarchical structure information”.
- “Element ID” is information for identifying a component included in a product. The “element ID” is automatically assigned by the vulnerability information management device 10 when, for example, product configuration information is registered.
- “Element name” is information indicating the name of a component (a component that constitutes a final product such as a hardware component or software).
- “Version information” is information indicating the version of the component.
- the “hierarchical structure information” is information indicating the hierarchical structure of the components included in the product. In the hierarchical structure information illustrated in FIG.
- the hierarchical structure includes “/ (slash)” with each product as a top node. Is expressed using For example, the hierarchical structure information of the element ID “E001” is “/ E001”. This indicates that the component "part A1" is located in the first hierarchy immediately below the top node. For example, the hierarchical structure information of the element ID “E005” is “/ E001 / E003 / E005”.
- the component “part A1” is located in the first hierarchy immediately below the top node, the component “electronic component 1” is located in the second hierarchy as a lower node of the component “component A1”, and the component “XXX” # 1 ”is located in the third hierarchy as a lower node of the component“ electronic component 1 ”.
- the hierarchical structure information of the element ID “E008” is “// E008”. This indicates that the component “XXX # 4” is located on the third layer, omitting the first and second layers.
- FIG. 6 is a diagram illustrating a flow of registering information in the product configuration information storage unit 22.
- the user logs in to the service provided by the vulnerability information management device 10 using the user terminal 30 ((1) in the figure).
- information such as a user ID for uniquely identifying the user input to the user terminal 30 is acquired as the above-described user identification information.
- the user uses the user terminal 30 to input information on the product he or she wants to manage and the components included in the product ((2) in the figure).
- the user may further input information indicating the hierarchical structure of the components included in the product.
- the vulnerability information management device 10 registers information input by the user as product configuration information in the product configuration information storage unit 22 in association with the previously acquired user identification information ((3) in the figure).
- the product identification unit 120 identifies a record having the same user identification information as the acquired user identification information, using the user identification information acquired in the process of S102. be able to.
- the product specifying unit 120 has specified one or more products.
- the product configuration information acquisition unit 130 acquires product configuration information for each of the one or more products specified in the process of S104 (S106).
- the product configuration information acquisition unit 130 outputs information (element ID, element name, and hierarchy) stored in the column of “product configuration information” from the records specified by the product specification unit 120. Structural information, etc.).
- the vulnerability identification unit 140 executes a vulnerability detection process (S108). Specifically, the vulnerability identifying unit 140 uses the component information for each product acquired in the process of S106 and the vulnerability information (eg, FIG. 7) stored in the vulnerability information storage unit 20. , And vulnerable products and components actually having the vulnerabilities can be identified.
- S108 a vulnerability detection process
- FIG. 7 is a diagram illustrating an example of vulnerability information stored in the vulnerability information storage unit 20.
- the vulnerability information storage unit 20 stores, for each element, information on the vulnerability of an element that can be a component of the product.
- each record is configured to include three columns of “vulnerability information ID”, “vulnerability information”, and “affected element”.
- the “vulnerability information ID” is information for uniquely identifying information on a vulnerability.
- the “vulnerability information” is information indicating the details of the vulnerability, such as, for example, the risk level of the vulnerability, a confirmation method and a countermeasure.
- the “affected element” is information indicating an element affected by the vulnerability defined in the same record. In the example of FIG.
- the column of “affected elements” includes “element name” and “version information”.
- the vulnerability identifying unit 140 searches the vulnerability information storage unit 20 using the “element name” and “version information” of the product configuration information storage unit 22 to search for each item stored in the product configuration information storage unit 22. Information on vulnerabilities existing in the components can be specified.
- the vulnerability identifying unit 140 searches for vulnerability information stored in the vulnerability information storage unit 20 using the “element name” and “version information” of the product configuration information acquired in the process of S106 as search keys. .
- the vulnerability specifying unit 140 can specify the component corresponding to the search key as a “component having vulnerability”. Further, the vulnerability specifying unit 140 can specify a product having a component specified as a “vulnerable component” as a “vulnerable product”.
- the vulnerability identifying unit 140 determines whether a vulnerable component has been detected in the vulnerability detection processing in S108 for one or more products identified in the processing in S104 (S110). If a vulnerable component is detected in the vulnerability detection processing (S110: YES), the output unit 150 is notified of information indicating the vulnerable component and information indicating a product including the component. The output unit 150 outputs information indicating the vulnerable component to the user terminal 30 based on the notification from the vulnerability identification unit 140 in association with information indicating a product including the component (S112).
- FIG. 8 is a diagram illustrating an example of an output by the output unit 150.
- FIG. 8 illustrates a screen including information i1 indicating the hierarchical structure of components included in the product in a tree format.
- the output unit 150 can output a screen that displays a vulnerable component so as to be distinguishable from other components. For example, the output unit 150 may highlight a vulnerable component, as indicated by reference numeral h in FIG. By checking the screen illustrated in FIG.
- the user can grasp at a glance the vulnerable components of a product including a plurality of components.
- a large number of components configuring one product are generalized toward the top of the tree.
- an object having vulnerability information can be easily grasped by looking at the top of the tree.
- the screen illustrated in FIG. 8 is merely an example, and the output by the output unit 150 is not limited to the example in FIG.
- the output unit 150 may output a screen as shown in FIG. 9 or FIG. 9 and 10 are diagrams illustrating another example of the output by the output unit 150.
- the output unit 150 displays information i2 in a list format as information indicating the hierarchical structure of the components included in the product.
- the output unit 150 displays information i3 indicating the hierarchical structure of the components included in the product in another tree format as information indicating the hierarchical structure of the components included in the product. . 9 and 10, the user can grasp at a glance the vulnerable components of a product including a plurality of components.
- the vulnerability identifying unit 140 identifies another component (hereinafter, referred to as “upper component”) located at a higher layer than the vulnerable component in the hierarchical structure, and the output unit 150 identifies Information indicating the performed higher-level component may be further output to the user terminal 30 (for example, FIG. 11).
- FIG. 11 is a diagram illustrating another example of the output by the output unit 150.
- the vulnerability identifying unit 140 identifies the component “electronic component 2” and the component “component A2” as higher-level components of the component “XXX # 2” having vulnerability.
- the vulnerability identification unit 140 determines the element ID “E002” and the element ID “E002” based on the hierarchical structure information “E002 / E004 / E006” of the component “XXX # 2” as illustrated in FIG.
- the component having the ID “E004”, that is, the component “part A2” and the component “electronic component 2” can be specified as the upper components of the component “XXX # 2”.
- the output unit 150 can display information i4 indicating the higher-level component identified by the vulnerability identifying unit 140. By doing so, the user can grasp at a glance the range (component group) affected by the vulnerability.
- the output unit 150 When the output unit 150 outputs information indicating a component having a vulnerability, the output unit 150 may further output information on the vulnerability of the component to the user terminal 30 (for example, FIG. 12).
- FIG. 12 is a diagram illustrating another example of the output by the output unit 150. In the example of FIG. 12, the output unit 150 outputs information i5 regarding the vulnerability of the component.
- the output unit 150 When outputting the information i5 regarding the vulnerability of the component, the output unit 150 receives an input for selecting any one of the components in the information i1 indicating the hierarchical structure of the component included in the product, for example. As a specific example, the output unit 150 may perform an operation of superimposing the pointer P on an area related to the vulnerable component or a predetermined button of a mouse or keyboard after superimposing the pointer P on the area related to the vulnerable element. Is accepted as a user input operation. Then, the output unit 150 outputs the information i5 regarding the vulnerability of the component selected by the received input to the user terminal 30. By doing so, the user can easily confirm what vulnerabilities the components included in the product have.
- FIG. 13 is a diagram illustrating a functional configuration of the vulnerability information management device 10 according to the second embodiment.
- the vulnerability information management device 10 of the present embodiment includes a user identification information acquisition unit 110, a product identification unit 120, a product configuration information acquisition unit 130, a vulnerability identification unit 140, an output unit 150, , An input receiving unit 160.
- the input receiving unit 160 receives an input specifying a vulnerability.
- the input receiving unit 160 receives, via the user terminal 30, an input specifying a specific vulnerability from among a plurality of vulnerabilities.
- the vulnerability identifying unit 140 of the present embodiment determines the component having the vulnerability specified by the input by the product configuration information Identify from the components corresponding to the information.
- the output unit 150 further outputs, to the user terminal 30, information indicating a component specified as a component having a vulnerability designated by the input received by the input receiving unit 160.
- FIG. 14 is a flowchart illustrating a flow of processing executed by the vulnerability information management device 10 of the second embodiment.
- the flow of processing executed by the vulnerability information management device 10 of the second embodiment will be described with reference to the flowchart of FIG.
- the input receiving unit 160 receives an input for designating a vulnerability (S202).
- the input receiving unit 160 can receive, for example, an input specifying a vulnerability via a screen as illustrated in FIG.
- FIG. 15 is a diagram exemplifying a top screen of a service provided by the vulnerability information management device 10.
- the vulnerability identifying unit 140 acquires the product configuration information regarding the user from the product configuration information storage unit 22 according to the login operation of a certain user, as described in the first embodiment. Then, the vulnerability identification unit 140 identifies the vulnerability related to the user's product by matching the acquired product configuration information with the vulnerability information stored in the vulnerability information storage unit 20.
- the vulnerability identifying unit 140 can store information indicating the correspondence between the identified vulnerability and the component having the vulnerability in the memory 1030 or the like.
- the output unit 150 can output, to the user terminal 30, a screen including information i6 indicating a vulnerability related to the product of the user.
- the user can specify the vulnerability on a screen as illustrated in FIG. Further, the user may perform an input operation for designating a vulnerability via a screen for searching for a vulnerability (FIG. 16).
- FIG. 16 is a diagram illustrating an example of a screen for searching for vulnerabilities.
- the vulnerability specifying unit 140 specifies a component having the vulnerability specified by the input (S204).
- the vulnerability identification unit 140 stores information indicating the correspondence between a vulnerability related to the user's product and a component having the vulnerability, which is stored in the memory 1030 or the like at the time of the user's login operation.
- the component having the vulnerability designated by the input of S202 can be specified.
- the output unit 150 outputs information indicating the components specified in the process of S204 to the user terminal 30 (S206). For example, as illustrated in FIGS. 8 to 10, the output unit 150 can output such that a component having a designated vulnerability is highlighted.
- the present embodiment in response to a user input designating a vulnerability, information indicating a component having the vulnerability is output to the user terminal 30.
- the user can easily confirm in which component of the product related to the user the specified vulnerability exists.
- FIG. 17 is a diagram illustrating a functional configuration of the vulnerability information management device 10 according to the third embodiment.
- the vulnerability information management device 10 of the present embodiment further includes a coping plan information acquisition unit 170 and a notification unit 180.
- the coping plan information acquisition unit 170 acquires information (coping plan information) indicating a coping plan for a vulnerability found for a product (a component included in the product).
- the “response plan” includes the scheduled completion date and progress status of the response that can be taken with respect to the vulnerability (“unconfirmed”, “under investigation”, “treated”, “not applicable”, etc.).
- the user confirms information on the vulnerability of the product related to the user on a screen as exemplified in FIGS. 8 to 10, and then takes a response schedule for the vulnerability and a response plan indicating the progress of the response. Information can be input via the user terminal 30.
- the coping plan information acquisition unit 170 stores the coping plan information acquired in response to the user's input in a storage area such as the memory 1030 or the storage device 1040 in association with information for identifying the user (for example, FIG. 18).
- FIG. 18 is a diagram illustrating an example of the coping plan information stored for each user.
- FIG. 18 exemplifies a table for storing the coping plan information in association with the user identification information for uniquely identifying each user.
- the notification unit 180 notifies the user of remind information on the handling of the vulnerability based on the handling plan information acquired by the handling plan information acquiring unit 170.
- the notification unit 180 can notify the user terminal 30 of information indicating the number of cases according to the progress status in the coping plan. Specifically, the notification unit 180 refers to the information as shown in FIG. 18 and acquires the coping plan information for each user. Then, the notifying unit 180 specifies records for each progress status based on the progress status value of the coping plan information, and transmits the number of records or information indicating the content registered in each record to the user terminal 30. As another example, the notification unit 180 can notify the user terminal 30 of information indicating the number of vulnerabilities for which the measures have not been completed even after the scheduled completion date of the measure plan information. Specifically, the notification unit 180 refers to the information as shown in FIG. 18 and acquires the coping plan information for each user.
- the notification unit 180 based on the value of the scheduled completion date and the value of the progress status of the handling plan information, the notification unit 180 identifies records of vulnerabilities for which the handling has not been completed even after the scheduled completion date, and the number of records or the number of vulnerabilities.
- the information indicating the contents registered in the record is transmitted to the user terminal 30.
- the notification unit 180 can perform the notification as exemplified above using the address information of the user terminal 30 acquired based on the user ID.
- the reminder information is output to the user terminal 30 based on the vulnerability handling information input by the user.
- the remind information can prompt the user to deal with the vulnerability.
- FIG. 19 is a diagram illustrating a functional configuration of the vulnerability information management device 10 according to the fourth embodiment.
- the product identification unit 120 of the present embodiment acquires the group identification information linked to the user identification information acquired by the user identification information acquisition unit 110.
- the group identification information is information indicating a group (for example, a project) to which the product belongs.
- the group identification information is stored in the group identification information storage unit 24 (example: FIG. 20).
- FIG. 20 is a diagram illustrating an example of information stored in the group identification information storage unit 24. As illustrated in FIG. 20, the group identification information storage unit 24 stores group identification information (group ID) in association with user identification information (user ID) of each user.
- the product specifying unit 120 of the present embodiment specifies one or more products using the acquired group identification information.
- the product configuration information storage unit 22 stores information as illustrated in FIG.
- FIG. 21 is a diagram illustrating information stored in the product configuration information storage unit 22 according to the fourth embodiment.
- the product configuration information storage unit 22 of the present embodiment stores product information in association with a group ID instead of a user ID.
- the product identification unit 120 can identify one or more products using the group identification information acquired based on the user identification information, as in the first embodiment. Except for the process specified by one or more products, it is the same as the above-described embodiments.
- the user identification information and the product configuration information are linked via the group identification information indicating a group (for example, a project) to which each product belongs.
- the group identification information indicating a group (for example, a project) to which each product belongs.
- User identification information acquisition means for acquiring user identification information;
- Product identification means for identifying one or more products associated with the acquired user identification information;
- product configuration information obtaining means for obtaining product configuration information indicating a component of the product
- Vulnerability identification means to identify,
- Output means for outputting information indicating the component having the vulnerability to a user terminal in association with information indicating a product including the component,
- Vulnerability information management device comprising: 2.
- the output unit further outputs, to the user terminal, vulnerability information related to a component identified as the component having the vulnerability.
- Vulnerability information management device described in 1. 3.
- the product configuration information further includes information indicating a hierarchical structure of components included in the product, The output unit, based on the obtained product configuration information, further outputs information indicating a hierarchical structure of components included in the product to the user terminal, 1. Or 2.
- the vulnerability identifying means further identifies, in the hierarchical structure, a higher-order component positioned above the component having the vulnerability, The output unit further outputs information indicating the higher-order component to the user terminal. 3.
- the output means Receiving an input for selecting any of the components in the information indicating the hierarchical structure, Vulnerability information on the component selected by the input is further output to the user terminal, 3. Or 4. Vulnerability information management device described in 1. 6. Further comprising an input receiving means for receiving an input specifying the vulnerability, The vulnerability identification unit refers to the vulnerability information storage unit, from among the components corresponding to the obtained product configuration information, identifies a component having the vulnerability specified by the input, The output unit outputs information indicating a component having the vulnerability designated by the input to the user terminal. 1. To 5. The vulnerability information management device according to any one of the above. 7.
- Response plan information acquisition means for acquiring response plan information indicating a response plan for a vulnerability found in a product; Notifying means for notifying a user of remind information on coping with the vulnerability based on the coping plan indicated by the coping plan information, 1. From 6.
- the vulnerability information management device according to any one of the above.
- the product specifying means The group identification information indicating the group to which the product belongs is stored in association with the user identification information of each user, and the group identification information associated with the acquired user identification information is acquired by referring to the group identification information storage unit. , Referring to a product information storage unit that stores product information in association with each group identification information, and specifies one or more products associated with the obtained group identification information; 1. To 7.
- the vulnerability information management device according to any one of the above. 9.
- Computer Get user identification information Identifying one or more products associated with the obtained user identification information; For each of the specified one or more products, obtain product configuration information indicating a component of the product; With reference to the vulnerability information storage unit that stores vulnerability information of each element that can be a component of the product for each element, among the components corresponding to the obtained product configuration information, a component having a vulnerability is extracted. Identify The information indicating the component having the vulnerability is output to the user terminal in association with the information indicating the product including the component, Vulnerability information management method including: 10. The computer further outputs vulnerability information on the component identified as the component having the vulnerability to the user terminal, 9. Including Vulnerability information management method described in. 11.
- the product configuration information further includes information indicating a hierarchical structure of components included in the product,
- the computer further outputs, to the user terminal, information indicating a hierarchical structure of components included in the product, based on the obtained product configuration information. 9. Including Or 10.
- Said computer In the hierarchical structure, further specify an upper-level component positioned above the vulnerable component, Information indicating the higher-order component, further output to the user terminal, 11. Including Vulnerability information management method described in. 13.
- Said computer Receiving an input for selecting any of the components in the information indicating the hierarchical structure, Vulnerability information on the component selected by the input is further output to the user terminal, 11. Including Or 12. Vulnerability information management method described in.
- Said computer Accepts input specifying a vulnerability, With reference to the vulnerability information storage unit, from among the components corresponding to the obtained product configuration information, specify a component having the vulnerability specified by the input, Outputting information indicating the component having the vulnerability specified by the input to the user terminal; 9. Including To 13.
- the vulnerability information management method according to any one of the above.
- Said computer Obtain response plan information that describes the response plan for vulnerabilities found in the product, Based on the coping plan indicated by the coping plan information, notify the user of remind information on coping with the vulnerability, And 9. From 14.
- the vulnerability information management method according to any one of the above. 16.
- the group identification information indicating the group to which the product belongs is stored in association with the user identification information of each user, and the group identification information associated with the acquired user identification information is acquired by referring to the group identification information storage unit.
- the vulnerability information management method according to any one of the above.
Landscapes
- Engineering & Computer Science (AREA)
- Computer Hardware Design (AREA)
- General Engineering & Computer Science (AREA)
- Computer Security & Cryptography (AREA)
- Software Systems (AREA)
- Theoretical Computer Science (AREA)
- Physics & Mathematics (AREA)
- General Physics & Mathematics (AREA)
- Management, Administration, Business Operations System, And Electronic Commerce (AREA)
Abstract
脆弱性情報管理装置(10)は、ユーザ識別情報を取得するユーザ識別情報取得部(110)と、取得されたユーザ識別情報に関連付けられた、1以上の製品を特定する製品特定部(120)と、特定された1以上の製品それぞれについて、製品の構成要素を示す製品構成情報を取得する製品構成情報取得部(130)と、製品の構成要素となり得る要素それぞれの脆弱性情報を要素別に記憶する脆弱性情報記憶手段を参照して、取得された製品構成情報に対応する構成要素の中から、脆弱性を有する構成要素を特定する脆弱性特定部(140)と、脆弱性を有する構成要素を示す情報を、当該構成要素を含む製品を示す情報と関連付けてユーザ端末に出力する出力部(150)と、を備える。
Description
本発明は、製品に潜む脆弱性を管理する技術に関する。
世の中で流通している製品について、その製品の製造者が意図しない脆弱性が後に発見され、悪用されることがある。ある製品に脆弱性が見つかった場合、その製品の製造者やユーザは、適切な対処を行う必要がある。
脆弱性を管理する技術の一例が、下記特許文献1乃至5に開示されている。特に、下記特許文献1には、対象とする装置にインストールされているソフトウエアと、そのソフトウエアのバージョンやサービスパックの適用状況等を含む構成情報を取得し、その構成情報を基に脆弱性を検索し、脆弱性が見つかった場合には適切な対策を実行する技術が開示されている。
1つの製品は、基本的に、様々な要素(ハードウエア部品やソフトウエア部品)を組み合わせて構成されている。1つの製品を構成する各要素(以下、「構成要素」とも表記)のいずれかが脆弱性を有している場合、製品として脆弱性の影響を受けることになる。ユーザが扱う製品のどの部分にどのような脆弱性が存在しているかを知りたいというニーズがある。
本発明は、上記の課題に鑑みてなされたものである。本発明の目的の一つは、ユーザが扱う製品のどの部分にどのような脆弱性があるかを容易に把握する技術を提供することである。
本発明の脆弱性情報管理装置は、
ユーザ識別情報を取得するユーザ識別情報取得手段と、
取得された前記ユーザ識別情報に関連付けられた、1以上の製品を特定する製品特定手段と、
特定された前記1以上の製品それぞれについて、製品の構成要素を示す製品構成情報を取得する製品構成情報取得手段と、
製品の構成要素となり得る要素それぞれの脆弱性情報を要素別に記憶する脆弱性情報記憶手段を参照して、取得された前記製品構成情報に対応する構成要素の中から、脆弱性を有する構成要素を特定する脆弱性特定手段と、
前記脆弱性を有する構成要素を示す情報を、当該構成要素を含む製品を示す情報と関連付けてユーザ端末に出力する出力手段と、
を備える。
ユーザ識別情報を取得するユーザ識別情報取得手段と、
取得された前記ユーザ識別情報に関連付けられた、1以上の製品を特定する製品特定手段と、
特定された前記1以上の製品それぞれについて、製品の構成要素を示す製品構成情報を取得する製品構成情報取得手段と、
製品の構成要素となり得る要素それぞれの脆弱性情報を要素別に記憶する脆弱性情報記憶手段を参照して、取得された前記製品構成情報に対応する構成要素の中から、脆弱性を有する構成要素を特定する脆弱性特定手段と、
前記脆弱性を有する構成要素を示す情報を、当該構成要素を含む製品を示す情報と関連付けてユーザ端末に出力する出力手段と、
を備える。
本発明の脆弱性情報管理方法は、
コンピュータが、
ユーザ識別情報を取得し、
取得された前記ユーザ識別情報に関連付けられた、1以上の製品を特定し、
特定された前記1以上の製品それぞれについて、製品の構成要素を示す製品構成情報を取得し、
製品の構成要素となり得る要素それぞれの脆弱性情報を要素別に記憶する脆弱性情報記憶手段を参照して、取得された前記製品構成情報に対応する構成要素の中から、脆弱性を有する構成要素を特定し、
前記脆弱性を有する構成要素を示す情報を、当該構成要素を含む製品を示す情報と関連付けてユーザ端末に出力する、
ことを含む。
コンピュータが、
ユーザ識別情報を取得し、
取得された前記ユーザ識別情報に関連付けられた、1以上の製品を特定し、
特定された前記1以上の製品それぞれについて、製品の構成要素を示す製品構成情報を取得し、
製品の構成要素となり得る要素それぞれの脆弱性情報を要素別に記憶する脆弱性情報記憶手段を参照して、取得された前記製品構成情報に対応する構成要素の中から、脆弱性を有する構成要素を特定し、
前記脆弱性を有する構成要素を示す情報を、当該構成要素を含む製品を示す情報と関連付けてユーザ端末に出力する、
ことを含む。
本発明のプログラムは、コンピュータに、上述の脆弱性情報管理方法を実行させる。
本発明によれば、ユーザが扱う製品のどの部分にどのような脆弱性があるかを容易に確認または検索することができる。
上述した目的、およびその他の目的、特徴および利点は、以下に述べる好適な実施の形態、およびそれに付随する以下の図面によってさらに明らかになる。
以下、本発明の実施形態について、図面を用いて説明する。尚、すべての図面において、同様な構成要素には同様の符号を付し、適宜説明を省略する。また、特に説明する場合を除き、各ブロック図において、各ブロックは、ハードウエア単位の構成ではなく、機能単位の構成を表している。
[概要]
本発明に係る脆弱性情報管理装置10は、製品の脆弱性を管理する作業を支援するサービスをユーザに提供する。以下、図1を用いて、本発明に係る脆弱性情報管理装置10が行う処理の概要について説明する。図1は、本発明に係る脆弱性情報管理装置10が行う処理を概念的に示す図である。
本発明に係る脆弱性情報管理装置10は、製品の脆弱性を管理する作業を支援するサービスをユーザに提供する。以下、図1を用いて、本発明に係る脆弱性情報管理装置10が行う処理の概要について説明する。図1は、本発明に係る脆弱性情報管理装置10が行う処理を概念的に示す図である。
まず、脆弱性情報管理装置10は、脆弱性情報管理装置10により提供されるサービスのユーザを一意に識別する情報(ユーザ識別情報)を取得する。脆弱性情報管理装置10は、例えば図1に示されるように、ユーザ端末30と通信して、ユーザ端末30に入力されたユーザ識別情報を取得することができる。また、脆弱性情報管理装置10は、予め設定された処理実行スケジュールに従って、脆弱性情報管理装置10のメモリやストレージデバイスといった記憶領域(図示せず)に予め記憶されたユーザ識別情報を読み出してもよい。
そして、脆弱性情報管理装置10は、製品構成情報記憶部22に記憶されている製品構成情報(製品の構成要素を製品別に示す情報)の中から、取得したユーザ識別情報に紐付く製品構成情報を取得する。ここで、製品構成情報記憶部22に記憶される製品構成情報は、ユーザにより登録される。例えば、ユーザは、管理対象の製品に含まれる構成要素(ハードウエアやソフトウエア)の情報を、ユーザ端末30を介して、脆弱性情報管理装置10に入力する。この場合、脆弱性情報管理装置10は、ユーザにより入力された製品の構成要素に関する情報(製品構成情報)を、そのユーザを識別するユーザ識別情報と関連づけて製品構成情報記憶部22に記憶する。
そして、脆弱性情報管理装置10は、製品構成情報記憶部22から取得した製品構成情報と、脆弱性情報記憶部20に記憶されている既知の脆弱性情報とを用いて、脆弱性を有する構成要素を検出する(脆弱性検出処理)。ここで、脆弱性情報記憶部20に記憶される脆弱性情報は、脆弱性情報収集装置40からインポートされる。脆弱性情報収集装置40は、製品の構成要素となり得る要素(ハードウエア部品やソフトウエアプログラム等)の脆弱性に関する情報を、ネットワーク上の情報源50から収集し、データベース(脆弱性情報記憶部410)に蓄積している。情報源50は、脆弱性に関する情報を有するネットワーク上の任意のノードである。情報源50は、例えば公的機関やベンダなどにより運営される。情報源50の具体例としては、JVN(Japan Vulnerability Notes)、NVD(National Vulnerability Database)、OSVDB(Open Source Vulnerability Database)などが挙げられる。また、情報源50としては、発見された脆弱性に関連する、PoC(Proof of Concept)やエクスプロイト・コードの情報を公開するノードが含まれ得る。
そして、脆弱性情報管理装置10は、脆弱性検出処理の結果(脆弱性を有する構成要素を示す情報およびその構成要素を含む製品を示す情報)を、ユーザ端末30に出力する。
<作用・効果>
上述した脆弱性情報管理装置10の動作により、脆弱性を有する構成要素を示す情報およびその構成要素を含む製品を示す情報がユーザ端末30に出力される。ユーザは、脆弱性情報管理装置10から出力された情報をユーザ端末30上で確認することにより、どの製品のどの部分にどのような脆弱性があるかを容易に把握することができる。
上述した脆弱性情報管理装置10の動作により、脆弱性を有する構成要素を示す情報およびその構成要素を含む製品を示す情報がユーザ端末30に出力される。ユーザは、脆弱性情報管理装置10から出力された情報をユーザ端末30上で確認することにより、どの製品のどの部分にどのような脆弱性があるかを容易に把握することができる。
<機能構成例>
図2は、第1実施形態における脆弱性情報管理装置10の機能構成を例示する図である。図2に示されるように、本実施形態の脆弱性情報管理装置10は、ユーザ識別情報取得部110、製品特定部120、製品構成情報取得部130、脆弱性特定部140、および出力部150を有する。
図2は、第1実施形態における脆弱性情報管理装置10の機能構成を例示する図である。図2に示されるように、本実施形態の脆弱性情報管理装置10は、ユーザ識別情報取得部110、製品特定部120、製品構成情報取得部130、脆弱性特定部140、および出力部150を有する。
ユーザ識別情報取得部110は、ユーザ識別情報を取得する。ユーザ識別情報は、本実施形態の脆弱性情報管理装置10によって提供されるサービスを利用するユーザ毎に割り当てられる。ユーザ識別情報は、例えば、任意の数字や文字を組み合わせたID(Identifier)などである。
製品特定部120は、ユーザ識別情報取得部110により取得されたユーザ識別情報に関連付けられた、1以上の製品を特定する。ユーザ識別情報と製品に関する情報とは、例えば、予めユーザからの入力により関連付けられている。
製品構成情報取得部130は、製品特定部120により特定された1以上の製品それぞれについて、製品構成情報を取得する。製品構成情報は、製品に含まれる構成要素(ハードウエアやソフトウエア)を示す情報である。
脆弱性特定部140は、脆弱性情報記憶部20を参照して、製品構成情報取得部130により取得された製品構成情報に対応する構成要素の中から、脆弱性を有する構成要素を特定する。上述したように、脆弱性情報記憶部20は、製品の構成要素となり得る要素(ハードウエアやソフトウエア)それぞれの脆弱性情報をネットワーク上の情報源50から収集し、要素別に記憶している。
出力部150は、脆弱性特定部140により特定された脆弱性を有する構成要素を示す情報を、当該構成要素を含む製品を示す情報と関連付けてユーザ端末30に出力する。
〔ハードウエア構成例〕
脆弱性情報管理装置10の各機能構成部は、各機能構成部を実現するハードウエア(例:ハードワイヤードされた電子回路など)で実現されてもよいし、ハードウエアとソフトウエアとの組み合わせ(例:電子回路とそれを制御するプログラムの組み合わせなど)で実現されてもよい。以下、脆弱性情報管理装置10の各機能構成部がハードウエアとソフトウエアとの組み合わせで実現される場合について、さらに説明する。
脆弱性情報管理装置10の各機能構成部は、各機能構成部を実現するハードウエア(例:ハードワイヤードされた電子回路など)で実現されてもよいし、ハードウエアとソフトウエアとの組み合わせ(例:電子回路とそれを制御するプログラムの組み合わせなど)で実現されてもよい。以下、脆弱性情報管理装置10の各機能構成部がハードウエアとソフトウエアとの組み合わせで実現される場合について、さらに説明する。
図3は、脆弱性情報管理装置10のハードウエア構成を例示するブロック図である。脆弱性情報管理装置10は、バス1010、プロセッサ1020、メモリ1030、ストレージデバイス1040、入出力インタフェース1050、及びネットワークインタフェース1060を有する。
バス1010は、プロセッサ1020、メモリ1030、ストレージデバイス1040、入出力インタフェース1050、及びネットワークインタフェース1060が、相互にデータを送受信するためのデータ伝送路である。ただし、プロセッサ1020などを互いに接続する方法は、バス接続に限定されない。
プロセッサ1020は、CPU(Central Processing Unit) やGPU(Graphics Processing Unit)などで実現されるプロセッサである。
メモリ1030は、RAM(Random Access Memory)などで実現される主記憶装置である。
ストレージデバイス1040は、HDD(Hard Disk Drive)、SSD(Solid State Drive)、メモリカード、又はROM(Read Only Memory)などで実現される補助記憶装置である。ストレージデバイス1040は、脆弱性情報管理装置10の各機能(ユーザ識別情報取得部110、製品特定部120、製品構成情報取得部130、脆弱性特定部140、出力部150など)を実現するプログラムモジュールを記憶している。プロセッサ1020がこれら各プログラムモジュールをメモリ1030上に読み込んで実行することで、各プログラムモジュールに対応する各機能が実現される。
入出力インタフェース1050は、脆弱性情報管理装置10と各種入出力デバイスとを接続するためのインタフェースである。入出力インタフェース1050には、キーボードやマウスといった入力装置、スピーカーやディスプレイといった出力装置などが接続され得る。
ネットワークインタフェース1060は、脆弱性情報管理装置10をネットワークに接続するためのインタフェースである。このネットワークは、例えばLAN(Local Area Network)やWAN(Wide Area Network)である。ネットワークインタフェース1060がネットワークに接続する方法は、無線接続であってもよいし、有線接続であってもよい。脆弱性情報管理装置10は、ネットワークインタフェース1060を介して、ユーザ端末30や脆弱性情報収集装置40といった、ネットワーク上の外部装置と通信することができる。
なお、図3はあくまで例示であり、脆弱性情報管理装置10のハードウエア構成は図3に例示される構成に限定されない。例えば、脆弱性情報管理装置10は、脆弱性情報収集装置40の機能(情報源50から脆弱性情報を収集する機能)を更に備えていてもよい。
<処理の流れ>
図4は、第1実施形態の脆弱性情報管理装置10により実行される処理の流れを例示するフローチャートである。以下、図4のフローチャートに沿って、第1実施形態の脆弱性情報管理装置10により実行される処理の流れを説明する。
図4は、第1実施形態の脆弱性情報管理装置10により実行される処理の流れを例示するフローチャートである。以下、図4のフローチャートに沿って、第1実施形態の脆弱性情報管理装置10により実行される処理の流れを説明する。
まず、ユーザ識別情報取得部110は、ユーザ識別情報を取得する(S102)。例えば、脆弱性情報管理装置10は、ユーザ端末30と通信して、ユーザ端末30に入力されたユーザ識別情報を取得することができる。また、脆弱性情報管理装置10は、予め設定された処理実行スケジュールに従って、脆弱性情報管理装置10のメモリ1030やストレージデバイス1040といった記憶領域に予め記憶されたユーザ識別情報を読み出してもよい。
そして、製品特定部120は、S102の処理で取得されたユーザ識別情報に基づいて、1以上の製品を特定する(S104)。製品特定部120は、例えば、製品構成情報記憶部22に記憶されている情報(例:図5)を参照して、1以上の製品を特定することができる。
図5は、製品構成情報記憶部22に記憶される情報を例示する図である。製品構成情報記憶部22は、製品構成情報を含む製品に関する情報をユーザ識別情報と関連付けて記憶している。図5の例において、各レコードは、「ユーザID」、「製品ID」、および「製品構成情報」という3つのカラムを含んで構成されている。「ユーザID」は、脆弱性情報管理装置10が提供するサービスのユーザを一意に識別するための情報(ユーザ識別情報)である。「製品ID」は製品を識別するための情報である。「製品ID」は、例えば、製品構成情報が登録される際に、脆弱性情報管理装置10によって自動的に割り当てられる。「製品構成情報」は、ユーザからの入力を基に生成される、製品の構成要素に関する情報である。各製品の製品構成情報は、ユーザIDと関連付けて記憶されている。
図5の例において、「製品構成情報」のカラムは、「要素ID」、「要素名」、および「階層構造情報」を含んでいる。「要素ID」は、製品に含まれる構成要素を識別するための情報である。「要素ID」は、例えば、製品構成情報が登録される際に、脆弱性情報管理装置10によって自動的に割り当てられる。「要素名」は、構成要素(ハードウエア部品やソフトウエアといった最終製品を構成する部品)の名称を示す情報である。「バージョン情報」は、当該構成要素のバージョンを示す情報である。「階層構造情報」は、製品に含まれる構成要素の階層構造を示す情報である、図5に例示される階層構造情報において、階層構造は、各製品をトップノードとして、「/(スラッシュ)」を使って表現されている。例えば、要素ID「E001」の階層構造情報は「/E001」である。これは、構成要素「部品A1」がトップノード直下の第1階層に位置することを示している。また例えば、要素ID「E005」の階層構造情報は「/E001/E003/E005」である。これは、構成要素「部品A1」がトップノード直下の第1階層に位置し、構成要素「電子部品1」が構成要素「部品A1」の下位ノードとして第2階層に位置し、構成要素「XXX#1」が構成要素「電子部品1」の下位ノードとして第3階層に位置することを示している。また例えば、要素ID「E008」の階層構造情報は「///E008」である。これは、構成要素「XXX#4」が、第1および第2階層を省略して、第3階層に位置することを示している。
なお、図5に例示されるような情報は、例えば、図6に示すように登録される。図6は、製品構成情報記憶部22に情報を登録する流れを例示する図である。まず、ユーザは、ユーザ端末30を使って、脆弱性情報管理装置10が提供するサービスにログインする(図中(1))。このログイン時に、ユーザ端末30に入力されたユーザを一意に識別するためのユーザIDといった情報が、上述のユーザ識別情報として取得される。そして、ユーザは、ユーザ端末30を使って、自身が管理したい製品と、その製品に含まれる構成要素に関する情報を入力する(図中(2))。ここで、ユーザは、製品に含まれる構成要素の階層構造を示す情報を更に入力してもよい。脆弱性情報管理装置10は、ユーザにより入力された情報を製品構成情報として、先に取得したユーザ識別情報に紐付けて製品構成情報記憶部22に登録する(図中(3))。
図5に例示される情報を用いる場合、製品特定部120は、S102の処理で取得されたユーザ識別情報を用いて、当該取得されたユーザ識別情報と同一のユーザ識別情報を有するレコードを特定することができる。レコードが特定できた時点で、製品特定部120は、1以上の製品を特定できたことになる。
図4に戻り、製品構成情報取得部130は、S104の処理で特定された1以上の製品それぞれについて、製品構成情報を取得する(S106)。上述の具体例で言えば、製品構成情報取得部130は、製品特定部120により特定されたレコードの中から、「製品構成情報」のカラムに格納されている情報(要素ID、要素名、階層構造情報など)を取得することができる。
そして、脆弱性特定部140は、脆弱性検出処理を実行する(S108)。具体的には、脆弱性特定部140は、S106の処理で取得された製品別の構成要素情報と、脆弱性情報記憶部20に記憶された脆弱性情報(例:図7)とを用いて、脆弱性を有する製品およびその脆弱性を実際に有する構成要素を特定することができる。
図7は、脆弱性情報記憶部20に記憶される脆弱性情報の一例を示す図である。脆弱性情報記憶部20は、製品の構成要素となり得る要素の脆弱性に関する情報を要素毎に記憶している。図7の例において、各レコードは、「脆弱性情報ID」、「脆弱性情報」、および「影響を受ける要素」という3つのカラムを含んで構成されている。「脆弱性情報ID」は、脆弱性に関する情報を一意に識別するための情報である。「脆弱性情報」は、例えば脆弱性の危険度、確認方法や対処方法などの、脆弱性の詳細を示す情報である。「影響を受ける要素」は、同じレコードの中で定義されている脆弱性の影響を受ける要素を示す情報である。図7の例において、「影響を受ける要素」のカラムは、「要素名」および「バージョン情報」を含んでいる。脆弱性特定部140は、製品構成情報記憶部22の「要素名」および「バージョン情報」を使って脆弱性情報記憶部20を検索することにより、製品構成情報記憶部22に記憶されている各構成要素に存在する脆弱性に関する情報を特定することができる。
脆弱性特定部140は、S106の処理で取得した製品構成情報の「要素名」および「バージョン情報」を検索キーとして用いて、脆弱性情報記憶部20に記憶されている脆弱性情報を検索する。検索キーに対応する脆弱性情報が見つかった場合、脆弱性特定部140は、その検索キーに対応する構成要素を「脆弱性を有する構成要素」と特定することができる。また、脆弱性特定部140は、「脆弱性を有する構成要素」として特定された構成要素を有する製品を「脆弱性を有する製品」として特定することができる。
そして、脆弱性特定部140は、S104の処理で特定された1以上の製品について、S108の脆弱性検出処理で脆弱性を有する構成要素が検出された否かを判定する(S110)。脆弱性検出処理で脆弱性を有する構成要素が検出された場合(S110:YES)、脆弱性を有する構成要素を示す情報およびその構成要素を含む製品を示す情報を出力部150に通知する。出力部150は、脆弱性特定部140からの通知に基づいて、脆弱性を有する構成要素を示す情報を、その構成要素を含む製品を示す情報と関連付けてユーザ端末30に出力する(S112)。
S106の処理で取得した製品構成情報が、製品に含まれる構成要素の階層構造を示す情報を有している場合、出力部150は、その製品構成情報(階層構造を示す情報)に基づいて、図8に例示されるような画面をユーザ端末30に出力することができる。図8は、出力部150による出力の一例を示す図である。図8には、製品に含まれる構成要素の階層構造をツリー形式で示す情報i1を含む画面が例示されている。また、出力部150は、脆弱性を有する構成要素を、その他の構成要素と区別可能に表示する画面を出力することができる。例えば、出力部150は、図8の符号hで示すように、脆弱性を有する構成要素を強調表示してもよい。ユーザは、図8に例示される画面を確認することによって、複数の構成要素からなる製品について、脆弱性を有する構成要素を一目で把握することができる。また、図8に例示されるような画面において、1つの製品を構成する多数の構成要素が、ツリーの上位に行くほど汎化される。その結果、ツリーの上位を見ることによって、脆弱性情報を保有する対象物を容易に把握することが可能となる。
なお、図8に例示される画面はあくまで一例であり、出力部150による出力は図8の例に限定されない。例えば、出力部150は、図9または図10に示されるような画面を出力してもよい。図9および図10は、出力部150による出力の他の一例を示す図である。図9の例では、出力部150は、製品に含まれる構成要素の階層構造を示す情報として、リスト形式の情報i2を表示している。また、図10の例では、出力部150は、製品に含まれる構成要素の階層構造を示す情報として、製品に含まれる構成要素の階層構造を別のツリー形式で示す情報i3を表示している。図9および図10に例示されるような画面によっても、ユーザは、複数の構成要素からなる製品について、脆弱性を有する構成要素を一目で把握することができる。
また、ある構成要素の下位の階層に位置する別の構成要素に脆弱性が存在する場合、上位の階層の構成要素もその脆弱性の影響を受けることになる。そこで、脆弱性特定部140は、階層構造において、脆弱性を有する構成要素の上位階層に位置する他の構成要素(以下、「上位構成要素」と表記)を特定し、出力部150は、特定された上位構成要素を示す情報を、ユーザ端末30に更に出力してもよい(例:図11)。図11は、出力部150による出力の他の一例を示す図である。図11の例では、脆弱性特定部140は、構成要素「電子部品2」および構成要素「部品A2」を、脆弱性を有する構成要素「XXX#2」の上位構成要素として特定している。具体的には、脆弱性特定部140は、図5に例示されるような、構成要素「XXX#2」の階層構造情報「E002/E004/E006」に基づいて、要素ID「E002」および要素ID「E004」の構成要素、すなわち、構成要素「部品A2」および構成要素「電子部品2」を、構成要素「XXX#2」の上位構成要素として特定することができる。そして、出力部150は、脆弱性特定部140により特定された上位構成要素を示す情報i4を表示することができる。このようにすることで、ユーザは、脆弱性の影響を受ける範囲(構成要素群)を一目で把握することができる。
また、出力部150は、脆弱性を有する構成要素を示す情報を出力する際、その構成要素が有する脆弱性に関する情報を、ユーザ端末30に更に出力してもよい(例:図12)。図12は、出力部150による出力の他の一例を示す図である。図12の例では、出力部150は、構成要素の脆弱性に関する情報i5を出力している。
出力部150は、構成要素の脆弱性に関する情報i5を出力する際、例えば、製品に含まれる構成要素の階層構造を示す情報i1において、構成要素のいずれかを選択する入力を受け付ける。具体的な例として、出力部150は、脆弱性を有する構成要素に関する領域にポインタPを重ねる操作や、脆弱性を有する構成要素に関する領域にポインタPを重ねた上でマウスやキーボードの所定のボタンを押下する操作を、ユーザの入力操作として受け付ける。そして、出力部150は、受け付けた入力により選択された構成要素の脆弱性に関する情報i5を、ユーザ端末30に出力する。このようにすることで、ユーザは、製品に含まれる構成要素がどのような脆弱性を有しているかを容易に確認することができる。
[第2実施形態]
本実施形態は、以下の点において、上述の第1実施形態と異なる。
本実施形態は、以下の点において、上述の第1実施形態と異なる。
<機能構成例>
図13は、第2実施形態における脆弱性情報管理装置10の機能構成を例示する図である。図13に示されるように、本実施形態の脆弱性情報管理装置10は、ユーザ識別情報取得部110、製品特定部120、製品構成情報取得部130、脆弱性特定部140、出力部150、および、入力受付部160を少なくとも有する。
図13は、第2実施形態における脆弱性情報管理装置10の機能構成を例示する図である。図13に示されるように、本実施形態の脆弱性情報管理装置10は、ユーザ識別情報取得部110、製品特定部120、製品構成情報取得部130、脆弱性特定部140、出力部150、および、入力受付部160を少なくとも有する。
本実施形態において、入力受付部160は、脆弱性を指定する入力を受け付ける。例えば、入力受付部160は、ユーザ端末30を介して、複数の脆弱性の中から特定の脆弱性を指定する入力を受け付ける。また、本実施形態の脆弱性特定部140は、入力受付部160が受け付けた入力に基づいて、その入力よって指定される脆弱性を有する構成要素を、製品構成情報取得部130が取得した製品構成情報に対応する構成要素の中から特定する。また、出力部150は、入力受付部160が受け付けた入力により指定される脆弱性を有する構成要素として特定された構成要素を示す情報を、ユーザ端末30に更に出力する。
<処理の流れ>
図14は、第2実施形態の脆弱性情報管理装置10により実行される処理の流れを例示するフローチャートである。以下、図14のフローチャートに沿って、第2実施形態の脆弱性情報管理装置10により実行される処理の流れを説明する。
図14は、第2実施形態の脆弱性情報管理装置10により実行される処理の流れを例示するフローチャートである。以下、図14のフローチャートに沿って、第2実施形態の脆弱性情報管理装置10により実行される処理の流れを説明する。
入力受付部160は、脆弱性を指定する入力を受け付ける(S202)。入力受付部160は、例えば、図15に例示されるような画面を介して、脆弱性を指定する入力を受け付けることができる。
図15は、脆弱性情報管理装置10により提供されるサービスのトップ画面を例示する図である。例えば、脆弱性情報管理装置10により提供されるサービスを利用するためにユーザがログイン動作を行った場合、図15に例示されるような画面がユーザ端末30に出力される。具体的には、脆弱性特定部140は、あるユーザのログイン動作に応じて、第1実施形態で説明したように、製品構成情報記憶部22の中からそのユーザに関する製品構成情報を取得する。そして、脆弱性特定部140は、取得した製品構成情報と脆弱性情報記憶部20に記憶されている脆弱性情報とを突き合わせることによって、そのユーザの製品に関係のある脆弱性を特定する。ここで、脆弱性特定部140は、特定した脆弱性と、その脆弱性を有する構成要素との対応関係を示す情報をメモリ1030などに記憶することができる。そして、出力部150は、ユーザの製品に関係のある脆弱性を示す情報i6を含む画面を、ユーザ端末30に出力することができる。ユーザは、ユーザ端末30の入力装置を使って、図15に例示されるような画面上で、脆弱性を指定することができる。また、ユーザは、脆弱性を検索する画面(図16)を介して、脆弱性を指定する入力操作を行ってもよい。図16は、脆弱性を検索するための画面の一例を示す図である。
図14に戻り、S202の処理で入力受付部160が脆弱性を指定する入力を受け付けると、脆弱性特定部140は、当該入力によって指定される脆弱性を有する構成要素を特定する(S204)。例えば、脆弱性特定部140は、ユーザのログイン動作時にメモリ1030などに記憶しておいた、そのユーザの製品に関係のある脆弱性と、その脆弱性を有する構成要素との対応関係を示す情報を用いて、S202の入力で指定された脆弱性を有する構成要素を特定できる。
そして、出力部150は、S204の処理で特定された構成要素を示す情報を、ユーザ端末30に出力する(S206)。例えば、出力部150は、図8乃至図10に例示されるように、指定された脆弱性を有する構成要素を強調表示するような出力を行うことができる。
以上、本実施形態では、脆弱性を指定するユーザ入力に応じて、当該脆弱性を有する構成要素を示す情報がユーザ端末30に出力される。本実施形態の構成により、ユーザは、指定した脆弱性がそのユーザに関係のある製品のどの構成要素に存在しているかを容易に確認することができる。
[第3実施形態]
本実施形態は、以下の点において、上述の第1実施形態と異なる。
本実施形態は、以下の点において、上述の第1実施形態と異なる。
<機能構成例>
図17は、第3実施形態における脆弱性情報管理装置10の機能構成を例示する図である。図17に示されるように、本実施形態の脆弱性情報管理装置10は、対処計画情報取得部170および通知部180を更に有する。
図17は、第3実施形態における脆弱性情報管理装置10の機能構成を例示する図である。図17に示されるように、本実施形態の脆弱性情報管理装置10は、対処計画情報取得部170および通知部180を更に有する。
対処計画情報取得部170は、製品(製品に含まれる構成要素)に関して見つかった脆弱性への対処計画を示す情報(対処計画情報)を取得する。ここで「対処計画」は、脆弱性に対して取り得る対処の完了予定日や進捗状態(「未確認」、「調査中」、「対処済み」、「該当なし」等)を含む。ユーザは、例えば、図8乃至図10に例示されるような画面において、そのユーザに関係する製品の脆弱性の情報を確認した後、その脆弱性に対する対処スケジュールや対処の進捗状態を示す対処計画情報を、ユーザ端末30を介して入力することができる。対処計画情報取得部170は、ユーザの入力に応じて取得された対処計画情報を、そのユーザを識別する情報と対応付けて、メモリ1030やストレージデバイス1040などの記憶領域に記憶する(例:図18)。図18は、ユーザ毎に保管される対処計画情報の一例を示す図である。図18では、各ユーザを一意に識別するユーザ識別情報と対応付けて、対処計画情報を記憶するテーブルが例示されている。
通知部180は、対処計画情報取得部170により取得された対処計画情報に基づいて、脆弱性への対処についてのリマインド情報をユーザに通知する。
一例として、通知部180は、対処計画における進捗状態別の件数を示す情報を、ユーザ端末30に通知することができる。具体的には、通知部180は、図18に示すような情報を参照して、ユーザ毎の対処計画情報を取得する。そして、通知部180は、対処計画情報の進捗状態の値に基づいて、進捗状態別のレコードを特定し、その件数または各レコードに登録された内容を示す情報等をユーザ端末30に送信する。他の一例として、通知部180は、対処計画情報の完了予定日を過ぎても対処が完了していない脆弱性の件数を示す情報を、ユーザ端末30に通知することができる。具体的には、通知部180は、図18に示すような情報を参照して、ユーザ毎の対処計画情報を取得する。そして、通知部180は、対処計画情報の完了予定日の値および進捗状態の値に基づいて、完了予定日を過ぎても対処が完了していない脆弱性のレコードを特定し、その件数または各レコードに登録された内容を示す情報等をユーザ端末30に送信する。
なお、図示しないが、ユーザ識別情報(ユーザID)とユーザ端末30のアドレス情報との対応関係を示す情報が、例えばストレージデバイス1040に予め登録されている。通知部180は、ユーザIDを基に取得されるユーザ端末30のアドレス情報を用いて、先に例示したような通知を行うことができる。
以上、本実施形態では、ユーザが入力した脆弱性対処情報に基づいて、ユーザ端末30にリマインド情報が出力される。そして、このリマインド情報によって、ユーザに脆弱性への対処を促すことができる。
[第4実施形態]
本実施形態は、以下の点において、上述の第1実施形態と異なる。
本実施形態は、以下の点において、上述の第1実施形態と異なる。
<機能構成例>
図19は、第4実施形態における脆弱性情報管理装置10の機能構成を例示する図である。本実施形態の製品特定部120は、ユーザ識別情報取得部110により取得されたユーザ識別情報に紐付けられたグループ識別情報を取得する。ここで、グループ識別情報は、製品が属するグループ(例えば、プロジェクト)を示す情報である。グループ識別情報は、グループ識別情報記憶部24に記憶されている(例:図20)。図20は、グループ識別情報記憶部24に記憶される情報の一例を示す図である。図20に例示されるように、グループ識別情報記憶部24は、各ユーザのユーザ識別情報(ユーザID)と紐付けて、グループ識別情報(グループID)を記憶している。更に、本実施形態の製品特定部120は、取得されたグループ識別情報を用いて、1以上の製品を特定する。例えば、本実施形態において、製品構成情報記憶部22は、図21に例示されるような情報を記憶している。図21は、第4実施形態の製品構成情報記憶部22に記憶される情報を例示する図である。本実施形態の製品構成情報記憶部22は、ユーザIDの代わりに、グループIDに関連づけて、製品の情報を記憶している。製品特定部120は、ユーザ識別情報を基に取得したグループ識別情報を使い、第1実施形態と同様に、1以上の製品を特定することができる。1以上の製品が特定する処理以外については、上述の各実施形態と同様である。
図19は、第4実施形態における脆弱性情報管理装置10の機能構成を例示する図である。本実施形態の製品特定部120は、ユーザ識別情報取得部110により取得されたユーザ識別情報に紐付けられたグループ識別情報を取得する。ここで、グループ識別情報は、製品が属するグループ(例えば、プロジェクト)を示す情報である。グループ識別情報は、グループ識別情報記憶部24に記憶されている(例:図20)。図20は、グループ識別情報記憶部24に記憶される情報の一例を示す図である。図20に例示されるように、グループ識別情報記憶部24は、各ユーザのユーザ識別情報(ユーザID)と紐付けて、グループ識別情報(グループID)を記憶している。更に、本実施形態の製品特定部120は、取得されたグループ識別情報を用いて、1以上の製品を特定する。例えば、本実施形態において、製品構成情報記憶部22は、図21に例示されるような情報を記憶している。図21は、第4実施形態の製品構成情報記憶部22に記憶される情報を例示する図である。本実施形態の製品構成情報記憶部22は、ユーザIDの代わりに、グループIDに関連づけて、製品の情報を記憶している。製品特定部120は、ユーザ識別情報を基に取得したグループ識別情報を使い、第1実施形態と同様に、1以上の製品を特定することができる。1以上の製品が特定する処理以外については、上述の各実施形態と同様である。
以上、本実施形態では、ユーザ識別情報と製品構成情報(1以上の製品の情報)とが、各製品が属するグループ(例えば、プロジェクト)を示すグループ識別情報を介して紐付けられている。本実施形態の構成により、製品構成情報をユーザ毎に記憶する必要がなくなるため、システムで保持する情報の更新および管理が容易になる。また、システム全体のハードウエア資源を節約する効果も見込める。
以上、図面を参照して本発明の実施形態について述べたが、これらは本発明の例示であり、上記以外の様々な構成を採用することもできる。
また、上述の説明で用いた複数のフローチャートでは、複数の工程(処理)が順番に記載されているが、各実施形態で実行される工程の実行順序は、その記載の順番に制限されない。各実施形態では、図示される工程の順番を内容的に支障のない範囲で変更することができる。また、上述の各実施形態は、内容が相反しない範囲で組み合わせることができる。
上記の実施形態の一部または全部は、以下の付記のようにも記載されうるが、以下に限られない。
1.
ユーザ識別情報を取得するユーザ識別情報取得手段と、
取得された前記ユーザ識別情報に関連付けられた、1以上の製品を特定する製品特定手段と、
特定された前記1以上の製品それぞれについて、製品の構成要素を示す製品構成情報を取得する製品構成情報取得手段と、
製品の構成要素となり得る要素それぞれの脆弱性情報を要素別に記憶する脆弱性情報記憶手段を参照して、取得された前記製品構成情報に対応する構成要素の中から、脆弱性を有する構成要素を特定する脆弱性特定手段と、
前記脆弱性を有する構成要素を示す情報を、当該構成要素を含む製品を示す情報と関連付けてユーザ端末に出力する出力手段と、
を備える脆弱性情報管理装置。
2.
前記出力手段は、前記脆弱性を有する構成要素として特定された構成要素に関する脆弱性情報を、前記ユーザ端末に更に出力する、
1.に記載の脆弱性情報管理装置。
3.
前記製品構成情報は、製品に含まれる構成要素の階層構造を示す情報を更に有しており、
前記出力手段は、前記取得された製品構成情報に基づいて、製品に含まれる構成要素の階層構造を示す情報を、前記ユーザ端末に更に出力する、
1.または2.に記載の脆弱性情報管理装置。
4.
前記脆弱性特定手段は、前記階層構造において、前記脆弱性を有する構成要素の上位に位置する上位構成要素を更に特定し、
前記出力手段は、前記上位構成要素を示す情報を、前記ユーザ端末に更に出力する、
3.に記載の脆弱性情報管理装置。
5.
前記出力手段は、
前記階層構造を示す情報において構成要素のいずれかを選択する入力を受け付け、
前記入力により選択された構成要素に関する脆弱性情報を、前記ユーザ端末に更に出力する、
3.または4.に記載の脆弱性情報管理装置。
6.
脆弱性を指定する入力を受け付ける入力受付手段を更に備え、
前記脆弱性特定手段は、前記脆弱性情報記憶手段を参照して、前記取得された製品構成情報に対応する構成要素の中から、前記入力により指定された脆弱性を有する構成要素を特定し、
前記出力手段は、前記入力により指定された脆弱性を有する構成要素を示す情報を、前記ユーザ端末に出力する、
1.から5.のいずれか1つに記載の脆弱性情報管理装置。
7.
製品に関して見つかった脆弱性への対処計画を示す対処計画情報を取得する対処計画情報取得手段と、
前記対処計画情報が示す対処計画に基づいて、脆弱性への対処についてのリマインド情報をユーザに通知する通知手段と、を更に備える、
1.から6.のいずれか1つに記載の脆弱性情報管理装置。
8.
前記製品特定手段は、
製品が属するグループを示すグループ識別情報を各ユーザのユーザ識別情報と紐付けて記憶するグループ識別情報記憶手段を参照して、前記取得されたユーザ識別情報に紐付けられたグループ識別情報を取得し、
製品の情報をグループ識別情報別に対応付けて記憶する製品情報記憶手段を参照して、取得された前記グループ識別情報に紐付けられた1以上の製品を特定する、
1.から7.のいずれか1つに記載の脆弱性情報管理装置。
9.
コンピュータが、
ユーザ識別情報を取得し、
取得された前記ユーザ識別情報に関連付けられた、1以上の製品を特定し、
特定された前記1以上の製品それぞれについて、製品の構成要素を示す製品構成情報を取得し、
製品の構成要素となり得る要素それぞれの脆弱性情報を要素別に記憶する脆弱性情報記憶手段を参照して、取得された前記製品構成情報に対応する構成要素の中から、脆弱性を有する構成要素を特定し、
前記脆弱性を有する構成要素を示す情報を、当該構成要素を含む製品を示す情報と関連付けてユーザ端末に出力する、
ことを含む脆弱性情報管理方法。
10.
前記コンピュータが、前記脆弱性を有する構成要素として特定された構成要素に関する脆弱性情報を、前記ユーザ端末に更に出力する、
ことを含む9.に記載の脆弱性情報管理方法。
11.
前記製品構成情報は、製品に含まれる構成要素の階層構造を示す情報を更に有しており、
前記コンピュータが、前記取得された製品構成情報に基づいて、製品に含まれる構成要素の階層構造を示す情報を、前記ユーザ端末に更に出力する、
ことを含む9.または10.に記載の脆弱性情報管理方法。
12.
前記コンピュータが、
前記階層構造において、前記脆弱性を有する構成要素の上位に位置する上位構成要素を更に特定し、
前記上位構成要素を示す情報を、前記ユーザ端末に更に出力する、
ことを含む11.に記載の脆弱性情報管理方法。
13.
前記コンピュータが、
前記階層構造を示す情報において構成要素のいずれかを選択する入力を受け付け、
前記入力により選択された構成要素に関する脆弱性情報を、前記ユーザ端末に更に出力する、
ことを含む11.または12.に記載の脆弱性情報管理方法。
14.
前記コンピュータが、
脆弱性を指定する入力を受け付け、
前記脆弱性情報記憶手段を参照して、前記取得された製品構成情報に対応する構成要素の中から、前記入力により指定された脆弱性を有する構成要素を特定し、
前記入力により指定された脆弱性を有する構成要素を示す情報を、前記ユーザ端末に出力する、
ことを含む9.から13.のいずれか1つに記載の脆弱性情報管理方法。
15.
前記コンピュータが、
製品に関して見つかった脆弱性への対処計画を示す対処計画情報を取得し、
前記対処計画情報が示す対処計画に基づいて、脆弱性への対処についてのリマインド情報をユーザに通知する、
ことを更に含む9.から14.のいずれか1つに記載の脆弱性情報管理方法。
16.
前記コンピュータが、
製品が属するグループを示すグループ識別情報を各ユーザのユーザ識別情報と紐付けて記憶するグループ識別情報記憶手段を参照して、前記取得されたユーザ識別情報に紐付けられたグループ識別情報を取得し、
製品の情報をグループ識別情報別に対応付けて記憶する製品情報記憶手段を参照して、取得された前記グループ識別情報に紐付けられた1以上の製品を特定する、
ことを含む9.から15.のいずれか1つに記載の脆弱性情報管理方法。
17.
コンピュータに、9.から16.のいずれか1つに記載の脆弱性情報管理方法を実行させるプログラム。
1.
ユーザ識別情報を取得するユーザ識別情報取得手段と、
取得された前記ユーザ識別情報に関連付けられた、1以上の製品を特定する製品特定手段と、
特定された前記1以上の製品それぞれについて、製品の構成要素を示す製品構成情報を取得する製品構成情報取得手段と、
製品の構成要素となり得る要素それぞれの脆弱性情報を要素別に記憶する脆弱性情報記憶手段を参照して、取得された前記製品構成情報に対応する構成要素の中から、脆弱性を有する構成要素を特定する脆弱性特定手段と、
前記脆弱性を有する構成要素を示す情報を、当該構成要素を含む製品を示す情報と関連付けてユーザ端末に出力する出力手段と、
を備える脆弱性情報管理装置。
2.
前記出力手段は、前記脆弱性を有する構成要素として特定された構成要素に関する脆弱性情報を、前記ユーザ端末に更に出力する、
1.に記載の脆弱性情報管理装置。
3.
前記製品構成情報は、製品に含まれる構成要素の階層構造を示す情報を更に有しており、
前記出力手段は、前記取得された製品構成情報に基づいて、製品に含まれる構成要素の階層構造を示す情報を、前記ユーザ端末に更に出力する、
1.または2.に記載の脆弱性情報管理装置。
4.
前記脆弱性特定手段は、前記階層構造において、前記脆弱性を有する構成要素の上位に位置する上位構成要素を更に特定し、
前記出力手段は、前記上位構成要素を示す情報を、前記ユーザ端末に更に出力する、
3.に記載の脆弱性情報管理装置。
5.
前記出力手段は、
前記階層構造を示す情報において構成要素のいずれかを選択する入力を受け付け、
前記入力により選択された構成要素に関する脆弱性情報を、前記ユーザ端末に更に出力する、
3.または4.に記載の脆弱性情報管理装置。
6.
脆弱性を指定する入力を受け付ける入力受付手段を更に備え、
前記脆弱性特定手段は、前記脆弱性情報記憶手段を参照して、前記取得された製品構成情報に対応する構成要素の中から、前記入力により指定された脆弱性を有する構成要素を特定し、
前記出力手段は、前記入力により指定された脆弱性を有する構成要素を示す情報を、前記ユーザ端末に出力する、
1.から5.のいずれか1つに記載の脆弱性情報管理装置。
7.
製品に関して見つかった脆弱性への対処計画を示す対処計画情報を取得する対処計画情報取得手段と、
前記対処計画情報が示す対処計画に基づいて、脆弱性への対処についてのリマインド情報をユーザに通知する通知手段と、を更に備える、
1.から6.のいずれか1つに記載の脆弱性情報管理装置。
8.
前記製品特定手段は、
製品が属するグループを示すグループ識別情報を各ユーザのユーザ識別情報と紐付けて記憶するグループ識別情報記憶手段を参照して、前記取得されたユーザ識別情報に紐付けられたグループ識別情報を取得し、
製品の情報をグループ識別情報別に対応付けて記憶する製品情報記憶手段を参照して、取得された前記グループ識別情報に紐付けられた1以上の製品を特定する、
1.から7.のいずれか1つに記載の脆弱性情報管理装置。
9.
コンピュータが、
ユーザ識別情報を取得し、
取得された前記ユーザ識別情報に関連付けられた、1以上の製品を特定し、
特定された前記1以上の製品それぞれについて、製品の構成要素を示す製品構成情報を取得し、
製品の構成要素となり得る要素それぞれの脆弱性情報を要素別に記憶する脆弱性情報記憶手段を参照して、取得された前記製品構成情報に対応する構成要素の中から、脆弱性を有する構成要素を特定し、
前記脆弱性を有する構成要素を示す情報を、当該構成要素を含む製品を示す情報と関連付けてユーザ端末に出力する、
ことを含む脆弱性情報管理方法。
10.
前記コンピュータが、前記脆弱性を有する構成要素として特定された構成要素に関する脆弱性情報を、前記ユーザ端末に更に出力する、
ことを含む9.に記載の脆弱性情報管理方法。
11.
前記製品構成情報は、製品に含まれる構成要素の階層構造を示す情報を更に有しており、
前記コンピュータが、前記取得された製品構成情報に基づいて、製品に含まれる構成要素の階層構造を示す情報を、前記ユーザ端末に更に出力する、
ことを含む9.または10.に記載の脆弱性情報管理方法。
12.
前記コンピュータが、
前記階層構造において、前記脆弱性を有する構成要素の上位に位置する上位構成要素を更に特定し、
前記上位構成要素を示す情報を、前記ユーザ端末に更に出力する、
ことを含む11.に記載の脆弱性情報管理方法。
13.
前記コンピュータが、
前記階層構造を示す情報において構成要素のいずれかを選択する入力を受け付け、
前記入力により選択された構成要素に関する脆弱性情報を、前記ユーザ端末に更に出力する、
ことを含む11.または12.に記載の脆弱性情報管理方法。
14.
前記コンピュータが、
脆弱性を指定する入力を受け付け、
前記脆弱性情報記憶手段を参照して、前記取得された製品構成情報に対応する構成要素の中から、前記入力により指定された脆弱性を有する構成要素を特定し、
前記入力により指定された脆弱性を有する構成要素を示す情報を、前記ユーザ端末に出力する、
ことを含む9.から13.のいずれか1つに記載の脆弱性情報管理方法。
15.
前記コンピュータが、
製品に関して見つかった脆弱性への対処計画を示す対処計画情報を取得し、
前記対処計画情報が示す対処計画に基づいて、脆弱性への対処についてのリマインド情報をユーザに通知する、
ことを更に含む9.から14.のいずれか1つに記載の脆弱性情報管理方法。
16.
前記コンピュータが、
製品が属するグループを示すグループ識別情報を各ユーザのユーザ識別情報と紐付けて記憶するグループ識別情報記憶手段を参照して、前記取得されたユーザ識別情報に紐付けられたグループ識別情報を取得し、
製品の情報をグループ識別情報別に対応付けて記憶する製品情報記憶手段を参照して、取得された前記グループ識別情報に紐付けられた1以上の製品を特定する、
ことを含む9.から15.のいずれか1つに記載の脆弱性情報管理方法。
17.
コンピュータに、9.から16.のいずれか1つに記載の脆弱性情報管理方法を実行させるプログラム。
この出願は、2018年9月5日に出願された日本出願特願2018-166076号を基礎とする優先権を主張し、その開示の全てをここに取り込む。
Claims (17)
- ユーザ識別情報を取得するユーザ識別情報取得手段と、
取得された前記ユーザ識別情報に関連付けられた、1以上の製品を特定する製品特定手段と、
特定された前記1以上の製品それぞれについて、製品の構成要素を示す製品構成情報を取得する製品構成情報取得手段と、
製品の構成要素となり得る要素それぞれの脆弱性情報を要素別に記憶する脆弱性情報記憶手段を参照して、取得された前記製品構成情報に対応する構成要素の中から、脆弱性を有する構成要素を特定する脆弱性特定手段と、
前記脆弱性を有する構成要素を示す情報を、当該構成要素を含む製品を示す情報と関連付けてユーザ端末に出力する出力手段と、
を備える脆弱性情報管理装置。 - 前記出力手段は、前記脆弱性を有する構成要素として特定された構成要素に関する脆弱性情報を、前記ユーザ端末に更に出力する、
請求項1に記載の脆弱性情報管理装置。 - 前記製品構成情報は、製品に含まれる構成要素の階層構造を示す情報を更に有しており、
前記出力手段は、前記取得された製品構成情報に基づいて、製品に含まれる構成要素の階層構造を示す情報を、前記ユーザ端末に更に出力する、
請求項1または2に記載の脆弱性情報管理装置。 - 前記脆弱性特定手段は、前記階層構造において、前記脆弱性を有する構成要素の上位に位置する上位構成要素を更に特定し、
前記出力手段は、前記上位構成要素を示す情報を、前記ユーザ端末に更に出力する、
請求項3に記載の脆弱性情報管理装置。 - 前記出力手段は、
前記階層構造を示す情報において構成要素のいずれかを選択する入力を受け付け、
前記入力により選択された構成要素に関する脆弱性情報を、前記ユーザ端末に更に出力する、
請求項3または4に記載の脆弱性情報管理装置。 - 脆弱性を指定する入力を受け付ける入力受付手段を更に備え、
前記脆弱性特定手段は、前記脆弱性情報記憶手段を参照して、前記取得された製品構成情報に対応する構成要素の中から、前記入力により指定された脆弱性を有する構成要素を特定し、
前記出力手段は、前記入力により指定された脆弱性を有する構成要素を示す情報を、前記ユーザ端末に出力する、
請求項1から5のいずれか1項に記載の脆弱性情報管理装置。 - 製品に関して見つかった脆弱性への対処計画を示す対処計画情報を取得する対処計画情報取得手段と、
前記対処計画情報が示す対処計画に基づいて、脆弱性への対処についてのリマインド情報をユーザに通知する通知手段と、を更に備える、
請求項1から6のいずれか1項に記載の脆弱性情報管理装置。 - 前記製品特定手段は、
製品が属するグループを示すグループ識別情報を各ユーザのユーザ識別情報と紐付けて記憶するグループ識別情報記憶手段を参照して、前記取得されたユーザ識別情報に紐付けられたグループ識別情報を取得し、
製品の情報をグループ識別情報別に対応付けて記憶する製品情報記憶手段を参照して、取得された前記グループ識別情報に紐付けられた1以上の製品を特定する、
請求項1から7のいずれか1項に記載の脆弱性情報管理装置。 - コンピュータが、
ユーザ識別情報を取得し、
取得された前記ユーザ識別情報に関連付けられた、1以上の製品を特定し、
特定された前記1以上の製品それぞれについて、製品の構成要素を示す製品構成情報を取得し、
製品の構成要素となり得る要素それぞれの脆弱性情報を要素別に記憶する脆弱性情報記憶手段を参照して、取得された前記製品構成情報に対応する構成要素の中から、脆弱性を有する構成要素を特定し、
前記脆弱性を有する構成要素を示す情報を、当該構成要素を含む製品を示す情報と関連付けてユーザ端末に出力する、
ことを含む脆弱性情報管理方法。 - 前記コンピュータが、前記脆弱性を有する構成要素として特定された構成要素に関する脆弱性情報を、前記ユーザ端末に更に出力する、
ことを含む請求項9に記載の脆弱性情報管理方法。 - 前記製品構成情報は、製品に含まれる構成要素の階層構造を示す情報を更に有しており、
前記コンピュータが、前記取得された製品構成情報に基づいて、製品に含まれる構成要素の階層構造を示す情報を、前記ユーザ端末に更に出力する、
ことを含む請求項9または10に記載の脆弱性情報管理方法。 - 前記コンピュータが、
前記階層構造において、前記脆弱性を有する構成要素の上位に位置する上位構成要素を更に特定し、
前記上位構成要素を示す情報を、前記ユーザ端末に更に出力する、
ことを含む請求項11に記載の脆弱性情報管理方法。 - 前記コンピュータが、
前記階層構造を示す情報において構成要素のいずれかを選択する入力を受け付け、
前記入力により選択された構成要素に関する脆弱性情報を、前記ユーザ端末に更に出力する、
ことを含む請求項11または12に記載の脆弱性情報管理方法。 - 前記コンピュータが、
脆弱性を指定する入力を受け付け、
前記脆弱性情報記憶手段を参照して、前記取得された製品構成情報に対応する構成要素の中から、前記入力により指定された脆弱性を有する構成要素を特定し、
前記入力により指定された脆弱性を有する構成要素を示す情報を、前記ユーザ端末に出力する、
ことを含む請求項9から13のいずれか1項に記載の脆弱性情報管理方法。 - 前記コンピュータが、
製品に関して見つかった脆弱性への対処計画を示す対処計画情報を取得し、
前記対処計画情報が示す対処計画に基づいて、脆弱性への対処についてのリマインド情報をユーザに通知する、
ことを更に含む請求項9から14のいずれか1項に記載の脆弱性情報管理方法。 - 前記コンピュータが、
製品が属するグループを示すグループ識別情報を各ユーザのユーザ識別情報と紐付けて記憶するグループ識別情報記憶手段を参照して、前記取得されたユーザ識別情報に紐付けられたグループ識別情報を取得し、
製品の情報をグループ識別情報別に対応付けて記憶する製品情報記憶手段を参照して、取得された前記グループ識別情報に紐付けられた1以上の製品を特定する、
ことを含む請求項9から15のいずれか1項に記載の脆弱性情報管理方法。 - コンピュータに、請求項9から16のいずれか1項に記載の脆弱性情報管理方法を実行させるプログラム。
Priority Applications (1)
Application Number | Priority Date | Filing Date | Title |
---|---|---|---|
JP2020541293A JP7173619B2 (ja) | 2018-09-05 | 2019-09-05 | 脆弱性情報管理装置、脆弱性情報管理方法、およびプログラム |
Applications Claiming Priority (2)
Application Number | Priority Date | Filing Date | Title |
---|---|---|---|
JP2018-166076 | 2018-09-05 | ||
JP2018166076 | 2018-09-05 |
Publications (1)
Publication Number | Publication Date |
---|---|
WO2020050355A1 true WO2020050355A1 (ja) | 2020-03-12 |
Family
ID=69722402
Family Applications (1)
Application Number | Title | Priority Date | Filing Date |
---|---|---|---|
PCT/JP2019/034930 WO2020050355A1 (ja) | 2018-09-05 | 2019-09-05 | 脆弱性情報管理装置、脆弱性情報管理方法、およびプログラム |
Country Status (2)
Country | Link |
---|---|
JP (1) | JP7173619B2 (ja) |
WO (1) | WO2020050355A1 (ja) |
Cited By (2)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
WO2023073946A1 (ja) * | 2021-10-29 | 2023-05-04 | 日本電気株式会社 | データ処理装置、データ処理方法、および記録媒体 |
JP7491424B2 (ja) | 2022-03-10 | 2024-05-28 | 株式会社デンソー | ソフトウェアパッケージ構成情報の保護 |
Citations (5)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
JP2003108521A (ja) * | 2001-09-29 | 2003-04-11 | Toshiba Corp | 脆弱性評価プログラム、方法及びシステム |
JP2007058514A (ja) * | 2005-08-24 | 2007-03-08 | Mitsubishi Electric Corp | 情報処理装置及び情報処理方法及びプログラム |
JP2008197877A (ja) * | 2007-02-13 | 2008-08-28 | Nec Corp | セキュリティ運用管理システム、方法およびプログラム |
JP2009015570A (ja) * | 2007-07-04 | 2009-01-22 | Nippon Telegr & Teleph Corp <Ntt> | 脆弱性情報流通システムおよび方法 |
JP2016091402A (ja) * | 2014-11-07 | 2016-05-23 | 株式会社日立製作所 | リスク評価システムおよびリスク評価方法 |
Family Cites Families (1)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
JP6023121B2 (ja) * | 2014-05-15 | 2016-11-09 | ゲヒルン株式会社 | 脆弱性可視化サーバ、脆弱性可視化方法、脆弱性可視化サーバ用プログラム |
-
2019
- 2019-09-05 JP JP2020541293A patent/JP7173619B2/ja active Active
- 2019-09-05 WO PCT/JP2019/034930 patent/WO2020050355A1/ja active Application Filing
Patent Citations (5)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
JP2003108521A (ja) * | 2001-09-29 | 2003-04-11 | Toshiba Corp | 脆弱性評価プログラム、方法及びシステム |
JP2007058514A (ja) * | 2005-08-24 | 2007-03-08 | Mitsubishi Electric Corp | 情報処理装置及び情報処理方法及びプログラム |
JP2008197877A (ja) * | 2007-02-13 | 2008-08-28 | Nec Corp | セキュリティ運用管理システム、方法およびプログラム |
JP2009015570A (ja) * | 2007-07-04 | 2009-01-22 | Nippon Telegr & Teleph Corp <Ntt> | 脆弱性情報流通システムおよび方法 |
JP2016091402A (ja) * | 2014-11-07 | 2016-05-23 | 株式会社日立製作所 | リスク評価システムおよびリスク評価方法 |
Cited By (2)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
WO2023073946A1 (ja) * | 2021-10-29 | 2023-05-04 | 日本電気株式会社 | データ処理装置、データ処理方法、および記録媒体 |
JP7491424B2 (ja) | 2022-03-10 | 2024-05-28 | 株式会社デンソー | ソフトウェアパッケージ構成情報の保護 |
Also Published As
Publication number | Publication date |
---|---|
JPWO2020050355A1 (ja) | 2021-08-30 |
JP7173619B2 (ja) | 2022-11-16 |
Similar Documents
Publication | Publication Date | Title |
---|---|---|
US9245057B1 (en) | Presenting a graphical visualization along a time-based graph lane using key performance indicators derived from machine data | |
JP7079310B2 (ja) | 診断分析装置関連情報の集約方法および集約システム | |
US8612372B2 (en) | Detection rule-generating facility | |
CN109359949A (zh) | 流程展示方法和装置 | |
JP7255636B2 (ja) | 端末管理装置、端末管理方法、およびプログラム | |
WO2020050355A1 (ja) | 脆弱性情報管理装置、脆弱性情報管理方法、およびプログラム | |
CN102415052B (zh) | 用于管理设备的配置的***和方法 | |
JP6648511B2 (ja) | 支援装置、支援方法およびプログラム | |
JP2011154496A (ja) | アクセス権設定プログラム、アクセス権設定装置及びアクセス権管理システム | |
US20170236181A1 (en) | Electronic device, system, and method | |
JP2008243033A (ja) | 検索システム、検索方法、プログラムおよび記憶媒体 | |
JP2011198103A (ja) | 操作支援プログラム、操作支援方法、及び操作支援装置 | |
CN115965188A (zh) | 一种对象巡查方法、装置、设备及介质 | |
JP5116123B2 (ja) | 通信システム、ポータルサーバ、サービスサーバ、通信方法及びプログラム | |
JP2016040652A (ja) | 帳票出力装置及び帳票出力方法 | |
CN113094088A (zh) | 数据库配置信息采集方法、装置、计算机设备及存储介质 | |
US11405276B2 (en) | Device configuration management apparatus, system, and program | |
JP2009134535A (ja) | ソフトウェア開発支援装置、ソフトウェア開発支援方法及びソフトウェア開発支援プログラム | |
JP2008052592A (ja) | 事例管理装置、事例管理システム、コンピュータプログラム | |
JP2007233567A (ja) | プラント監視システム | |
JP7176434B2 (ja) | 情報処理システム、情報処理装置及びデータ記憶プログラム | |
JP2006277179A (ja) | データベースチューニング装置及びデータベースチューニング方法並びにプログラム | |
US20220413469A1 (en) | Device management system and device management device | |
CN110535701B (zh) | 一种问题定位方法及装置 | |
JP2008009966A (ja) | 業務プロセス設定装置及び業務プロセス設定方法 |
Legal Events
Date | Code | Title | Description |
---|---|---|---|
121 | Ep: the epo has been informed by wipo that ep was designated in this application |
Ref document number: 19857296 Country of ref document: EP Kind code of ref document: A1 |
|
ENP | Entry into the national phase |
Ref document number: 2020541293 Country of ref document: JP Kind code of ref document: A |
|
NENP | Non-entry into the national phase |
Ref country code: DE |
|
122 | Ep: pct application non-entry in european phase |
Ref document number: 19857296 Country of ref document: EP Kind code of ref document: A1 |