[go: up one dir, main page]

WO2021059471A1 - セキュリティリスク分析支援装置、方法、及びコンピュータ可読媒体 - Google Patents

セキュリティリスク分析支援装置、方法、及びコンピュータ可読媒体 Download PDF

Info

Publication number
WO2021059471A1
WO2021059471A1 PCT/JP2019/038107 JP2019038107W WO2021059471A1 WO 2021059471 A1 WO2021059471 A1 WO 2021059471A1 JP 2019038107 W JP2019038107 W JP 2019038107W WO 2021059471 A1 WO2021059471 A1 WO 2021059471A1
Authority
WO
WIPO (PCT)
Prior art keywords
attack
vulnerability
absence
information
vulnerabilities
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Ceased
Application number
PCT/JP2019/038107
Other languages
English (en)
French (fr)
Inventor
諒 水島
啓文 植田
智彦 柳生
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
NEC Corp
Original Assignee
NEC Corp
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by NEC Corp filed Critical NEC Corp
Priority to JP2021548109A priority Critical patent/JP7384208B2/ja
Priority to PCT/JP2019/038107 priority patent/WO2021059471A1/ja
Priority to US17/762,491 priority patent/US12314399B2/en
Publication of WO2021059471A1 publication Critical patent/WO2021059471A1/ja
Anticipated expiration legal-status Critical
Ceased legal-status Critical Current

Links

Images

Classifications

    • G—PHYSICS
    • G06—COMPUTING OR CALCULATING; COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/57—Certifying or maintaining trusted computer platforms, e.g. secure boots or power-downs, version controls, system software checks, secure updates or assessing vulnerabilities
    • G06F21/577—Assessing vulnerabilities and evaluating computer system security
    • G—PHYSICS
    • G06—COMPUTING OR CALCULATING; COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F2221/00—Indexing scheme relating to security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F2221/03—Indexing scheme relating to G06F21/50, monitoring users, programs or devices to maintain the integrity of platforms
    • G06F2221/034—Test or assess a computer or a system

Definitions

  • This disclosure relates to security risk analysis support devices, methods, and computer-readable media.
  • Patent Document 1 discloses a technique for supporting the planning of security measures in the security design of a large-scale system.
  • System configuration information, network configuration information, risk analysis results, and the like are input to the security measure planning support device described in Patent Document 1.
  • the risk analysis result is data that records the result of analyzing the risk of each threat item.
  • Risk analysis results include threat items, attack vectors, attackers, threat events, attack methods, and risk values.
  • the risk value indicates the degree of damage caused to the system by the attack of the threat item.
  • the security measure planning support device extracts the components included in the attack route from the system configuration information and network configuration information for threat items whose risk value exceeds the threshold value.
  • the security measure planning device records the information of the components included in the extracted attack route as an attack route table for each threat item.
  • the security countermeasure planning device refers to the attack route table, risk analysis results, and threat-countermeasure database, lists possible security countermeasures, and records them as a countermeasure list.
  • Non-Patent Document 1 published by the Security Center of Information-technology Promotion Agency, Japan, the risk value is determined based on the threat level, the vulnerability level, and the business damage level.
  • the threat level if "when attacked by an individual attacker (regardless of skill), the attack is likely to succeed", the evaluation score is "3". Also, if “when attacked by an attacker with a certain skill, the attack may succeed", the evaluation score is "2". If “when attacked by a national-level cyber attacker (military or similar group), the attack may be successful", the rating is "1".
  • Patent Document 1 describes the use of risk analysis results, but does not describe how to carry out risk analysis. For example, when evaluating the risk of unauthorized access from a certain attack source to an attack destination, there is no objective index for determining the evaluation value of the threat level. Therefore, the person who performs the risk analysis may be confused as to whether the evaluation value of the threat level should be set to "3" or "2" for each threat item. Similarly, for Non-Patent Document 1, no objective index for determining the evaluation value of the threat level is presented.
  • the present disclosure aims to provide a security risk analysis support device, a method, and a computer-readable medium capable of presenting an objective index to a user in risk evaluation.
  • the present disclosure is an attack route indicating a route from an entry point included in the system to be analyzed to an attack target, and is an attack step including an attack source, an attack destination, and an attack method.
  • the attack route information including the information of the attack route including one or more, and the vulnerability identification means for identifying the vulnerability used for the attack to the attack destination in the attack step in the attack step, and the above-mentioned
  • the vulnerability information database that stores the vulnerability in association with the presence or absence of the attack verification code for the vulnerability, check whether the attack verification code exists for the identified vulnerability, and check the above.
  • a diagnostic evaluation generation means that generates a risk diagnostic evaluation including the number of identified vulnerabilities and the presence / absence of the attack verification code for an attack step, and the attack step and the risk diagnostic evaluation are output in association with each other.
  • This disclosure is an attack route indicating a route from an entry point included in the system to be analyzed to an attack target, and is information on an attack route including one or more attack steps including an attack source, an attack destination, and an attack method.
  • the attack route information including, the vulnerability used for the attack on the attack destination in the attack step is specified for the attack step, and the vulnerability and the presence / absence of the attack verification code for the vulnerability are present.
  • the vulnerability information database that stores in association with and check whether an attack verification code exists for the identified vulnerability, and for the attack step, check for the identified vulnerability.
  • a security risk analysis support method that generates a risk diagnosis evaluation including the number and the presence / absence of the attack verification code, and outputs the attack step and the risk diagnosis evaluation in association with each other.
  • This disclosure is an attack route indicating a route from an entry point included in the system to be analyzed to an attack target, and is information on an attack route including one or more attack steps including an attack source, an attack destination, and an attack method.
  • the attack route information including, the vulnerability used for the attack on the attack destination in the attack step is specified for the attack step, and the vulnerability and the presence / absence of the attack verification code for the vulnerability are present.
  • the vulnerability information database that stores in association with and check whether an attack verification code exists for the identified vulnerability, and for the attack step, check for the identified vulnerability.
  • a non-temporary computer that stores a program for generating a risk diagnostic evaluation including the number and the presence / absence of the attack verification code, and causing the computer to execute a process of associating and outputting the attack step and the risk diagnostic evaluation.
  • a readable medium Provide a readable medium.
  • the security risk analysis support device, method, and computer-readable medium according to the present disclosure can present an objective index to the user in risk evaluation.
  • a block diagram schematically showing a security risk analysis support device according to the present disclosure.
  • the figure which shows an example of an attack route The figure which shows an example of the table stored in the attack method DB.
  • a flowchart showing the procedure of security risk analysis The figure which shows the display example of a risk diagnosis evaluation.
  • the figure which shows an example of the attack graph The figure which shows the specific example of the risk diagnosis evaluation.
  • FIG. 1 schematically shows a security risk analysis support device according to the present disclosure.
  • the security risk analysis support device 10 includes a vulnerability identification means 11, a diagnostic evaluation generation means 12, and an output means 13.
  • the security risk analysis support device 10 uses the information stored in the attack route information 21 and the vulnerability information database (DB: database) 22 to support the risk evaluation by the user.
  • DB vulnerability information database
  • the attack route information 21 includes information on the attack route indicating the route from the entrance to the attack target included in the system to be analyzed.
  • the attack vector includes one or more attack steps including the attack source, the attack destination, and the attack method.
  • the vulnerability identifying means 11 refers to the attack route information 21 and identifies the vulnerability used for the attack to the attack destination in the attack step for the attack step included in the attack route.
  • Vulnerability information DB 24 stores the vulnerabilities in association with the presence or absence of an attack verification code for the vulnerabilities.
  • the diagnostic evaluation generation means 12 refers to the vulnerability information DB 24, examines whether or not an attack verification code exists for the vulnerability specified by the vulnerability identification means 11, and has been identified for the attack step. Generate a risk diagnostic assessment that includes the number of vulnerabilities and the presence or absence of an attack verification code.
  • the output means 13 outputs the attack step and the risk diagnosis evaluation in association with each other.
  • the vulnerability identification means 11 identifies the vulnerabilities that can be used to attack the attack destination with respect to the attack steps included in the attack vector.
  • the diagnostic evaluation generating means 12 generates a risk diagnostic evaluation including the number of identified vulnerabilities and the presence or absence of an attack verification code for the identified vulnerabilities.
  • the risk diagnostic assessment can be used as an objective indicator to assess how much risk an attack step represents.
  • the attack step and the risk diagnosis evaluation are output in association with each other from the output means 13. By doing so, the present disclosure can present the user with an objective index in risk assessment.
  • FIG. 2 shows a security risk analysis support device according to the first embodiment of the present disclosure.
  • the security risk analysis support device 100 includes an attack route collection unit 101, a vulnerability identification unit 102, a diagnostic evaluation generation unit 103, a result output unit 104, an attack route DB 111, an attack method DB 112, a system information DB 113, a vulnerability information DB 114, and an attack. It has an outline DB 115.
  • attack route DB 111, attack method DB 112, system information DB 113, vulnerability information DB 114, and attack summary DB 115 need only be accessible from the security risk analysis support device 100, and do not necessarily have to be a part thereof.
  • at least a part of these databases may be arranged on the cloud, and the security risk analysis support device 100 may access the database on the cloud via the network.
  • the attack route collection unit 101 collects the attack route of the attack on the system to be analyzed.
  • the attack route indicates the route from the entrance included in the system to the attack target.
  • the attack vector includes the attack source, the attack destination, and the attack method.
  • the attack route collecting unit 101 collects the attack route generated by using, for example, an attack route generator. Alternatively, the attack route collecting unit 101 may collect the attack route created manually.
  • the attack route collecting unit 101 stores the collected attack routes in the attack route DB 111.
  • the attack route stored in the attack route DB 111 corresponds to the attack route information 21 of FIG.
  • FIG. 3 shows an example of an attack route.
  • This attack route indicates an attack route with host A as an entry point and host C as an attack target.
  • Arrows on the attack vector indicate the attack source and attack destination.
  • the symbol attached to the arrow indicates the identifier of the attack method used for the attack from the attack source to the attack destination.
  • FIG. 3 shows that the attack method of "illegal operation 1" is used for an attack with host A as the attack source and host B as the attack destination.
  • Such an attack vector can be automatically generated by using information such as hardware assets and software assets included in the system, their connection relationships, and vulnerabilities possessed by each asset.
  • the attack route DB 111 stores the attack routes corresponding to a plurality of attacks that can be made against the system to be analyzed.
  • the assets of the attack source and the attack destination are devices such as servers and client terminals
  • devices such as servers and client terminals
  • hosts devices
  • the attack source and attack destination are not limited to the host, and may be a network device such as a firewall device.
  • Attack method DB 112 is a database that classifies which attack method each vulnerability can be applied to.
  • the attack method DB 112 stores the attack method and the vulnerability used in the attack method in association with each other.
  • the attack method DB 112 stores, for example, a table in which the identifier of the attack method and the identifier of the vulnerability are associated with each other.
  • CVE Common Vulnerabilities and Exposures
  • FIG. 4 shows an example of a table stored in the attack method DB 112.
  • the attack method DB 112 includes, for example, the attack method "illegal operation 1" and the vulnerabilities "CVE-XXXXX-0111", “CVE-XXXXX-0112", “CVE-XXXX-0150", and "CVE-XXXX-0200". Are associated and stored. Further, the attack method DB 112 stores the attack method "data tampering 1" and the vulnerability "CVE-XXXXX-0111" in association with each other.
  • the system information DB 113 stores the hosts included in the system to be analyzed in association with the vulnerabilities possessed by the hosts.
  • the system information DB 113 stores the vulnerability identifiers of the software of each host for each host included in the system.
  • the system information DB 113 can be constructed by using, for example, a vulnerability scanner. Alternatively, the system information DB 113 can be constructed by referring to a vulnerability database such as NVD (National Vulnerability Database) based on the information of the system to be analyzed.
  • NVD National Vulnerability Database
  • the vulnerability identification unit 102 refers to the attack path DB 111, the attack method DB 112, and the system information DB 113, and makes each attack step included in the attack path a vulnerability that can be used to attack the attack destination in each attack step. Identify.
  • the vulnerability identification unit 102 identifies the vulnerabilities that can be used to attack the attack destination in each attack step for each of the attack routes stored in the attack route DB 111.
  • the vulnerability identification unit 102 corresponds to the vulnerability identification means 11 of FIG.
  • the vulnerability identification unit 102 acquires the attack source, attack destination, and attack method from, for example, the attack path DB 111.
  • the vulnerability identification unit 102 acquires the vulnerabilities stored in response to the acquired attack method from the attack method DB 112.
  • the vulnerability identification unit 102 refers to the system information DB 113, and among the vulnerabilities acquired from the attack method DB 112, the vulnerabilities possessed by the attack destination host or the like can be used to attack the attack destination in the attack step. Identify as gender.
  • the vulnerability identification unit 102 stores the attack source, attack destination, and attack method of the attack step and the identifier of the identified vulnerability in the attack summary DB 115.
  • FIG. 5 shows an example of the information stored in the attack summary DB 115.
  • the vulnerability identification unit 102 stores the attack source, attack destination, and attack method of each attack step acquired from the attack path DB 111 in the “attack source”, “attack destination”, and “attack method” of the attack outline DB 115. ..
  • the vulnerability identification unit 102 stores the vulnerabilities identified as vulnerabilities that can be used in an attack on the attack destination in the "vulnerabilities" of the attack summary DB 115.
  • the vulnerability identification unit 102 refers to the attack method DB 112 (see FIG. 4) for an attack step in which an attack from host A to host B is performed using the vulnerability of “illegal operation 1”, and “illegal operation 1” is used. Acquires "CVE-XXXXX-0111", “CVE-XXXXX-0112", “CVE-XXXX-0150”, and "CVE-XXXX-0200" stored in response to the attack method of "Operation 1".
  • the vulnerability identification unit 102 refers to the system information DB 113, and the host B sets "CVE-XXXXX-0111", “CVE-XXXXX-0112", “CVE-XXXX-0150", and "CVE-XXXX-”. Investigate whether or not it has the "0200" vulnerability. If the host B has the vulnerabilities of, for example, "CVE-XXXXX-0111” and “CVE-XXXXX-0112", the vulnerability identification unit 102 will have "CVE-XXXXX-0111" and "CVE-XXXXX-". 0112 ”is identified as a vulnerability that can be used to attack the attack destination in the attack step.
  • the vulnerability identification unit 102 attacks the identified vulnerabilities "CVE-XXXX-0111” and “CVE-XXXXX-0112” with the attack source "host A", the attack destination "host B", and the attack method "host B". It is stored in the attack summary DB 115 in association with "illegal operation 1". Temporarily, host B is vulnerable to "CVE-XXXX-0111" among "CVE-XXXXX-0111", “CVE-XXXXX-0112", “CVE-XXXX-0150", and "CVE-XXXX-011". Suppose you had only. In that case, the vulnerability identification unit 102 associates the vulnerability "CVE-XXXXX-0111” with the attack source "host A", the attack destination "host B", and the attack method "illegal operation 1" in the attack outline DB 115.
  • the vulnerability identification unit 102 associates the vulnerability "CVE-XXXX-0111" with the attack source "host A", the attack destination "host B", and the attack method
  • Vulnerability information DB 114 is a database that stores information related to vulnerabilities. Vulnerability information DB 114 stores a software vulnerability (identifier thereof) in association with the presence or absence of an attack verification code for the vulnerability.
  • the attack verification code may be the code for confirming the existence of a vulnerability provided by the vendor, the attack module included in the intrusion investigation tool, or the information indicating whether or not the attack method is open to the public.
  • Vulnerability information DB 114 may further store whether or not the vulnerability involves a user and whether or not the software having the vulnerability is installed by default.
  • the diagnostic evaluation generation unit 103 refers to the vulnerability information DB 114 and examines whether or not an attack verification code exists for each of the vulnerabilities stored in the attack summary DB 115.
  • the diagnostic evaluation generation unit 103 generates, for each attack step, the number of vulnerabilities used in each attack step and the presence or absence of an attack verification code as a risk diagnostic evaluation. For example, the diagnostic evaluation generation unit 103 uses three vulnerabilities for a certain attack step, and if an attack verification code exists for two of the vulnerabilities, the number of vulnerabilities is "3". , Generates a risk diagnostic assessment indicating that the attack verification code is "2".
  • the diagnostic evaluation generation unit 103 corresponds to the diagnostic evaluation generation means 12 of FIG.
  • the result output unit 104 outputs the attack step and the risk diagnosis evaluation generated for the attack step in association with each other.
  • the result output unit 104 outputs, for example, the attack source, the attack destination, the attack method, and the risk diagnosis evaluation of the attack step side by side on a display screen such as a display device.
  • the user can know the number of vulnerabilities used in the attack step, the presence or absence of the attack verification code, and the like for each attack step.
  • the user can determine the threat level indicating the likelihood of an attack, depending on the number of vulnerabilities used, the presence or absence of an attack verification code, and the like.
  • the result output unit 104 corresponds to the output means 13 of FIG.
  • FIG. 6 shows the procedure of security risk analysis.
  • the user checks the hosts included in the system to be analyzed and the security status of each host (step S1).
  • the user determines the business damage level of each host (step S2).
  • the user determines the business damage level of each host according to, for example, the guideline of Non-Patent Document 1.
  • the user creates an attack route in the system to be analyzed (step S3).
  • the user may manually create an attack route based on, for example, system information or vulnerability information possessed by each host.
  • the user may create an attack route using an attack route generator that automatically generates an attack route based on system information, vulnerability information possessed by each host, and the like.
  • the attack route collecting unit 101 collects the created attack route generated in step S3, and stores the collected attack route in the attack route DB 111.
  • the vulnerability identification unit 102 refers to the attack path DB 111, the attack method DB 112, and the system information DB 113, and identifies the vulnerability used in the attack to the attack destination in each attack step (step S4).
  • the vulnerability identification unit 102 acquires the attack source, attack destination, and attack method from the attack path DB 111.
  • the vulnerability identification unit 102 acquires the vulnerabilities stored in response to the acquired attack method from the attack method DB 112.
  • the vulnerability identification unit 102 refers to the system information DB 113, and among the vulnerabilities acquired from the attack method DB 112, the vulnerabilities possessed by the attack destination host or the like can be used to attack the attack destination in the attack step. Identify as gender.
  • the vulnerability identification unit 102 stores the identifier of the identified vulnerability in the attack summary DB 115.
  • the diagnostic evaluation generation unit 103 refers to the attack outline DB 115 and the vulnerability information DB 114, and generates a diagnostic evaluation including the number of vulnerabilities used and the presence / absence of the attack verification code for each attack step (step S5). ..
  • the result output unit 104 outputs the attack step and the risk diagnosis evaluation in association with each other (step S6).
  • the user determines the threat level of each attack step with reference to the displayed risk diagnosis evaluation (step S7).
  • the threat level may be determined automatically based on the number of vulnerabilities used and the presence or absence of attack verification code. For example, using a threat level determination unit (not shown), the threat level determination unit may determine the threat level of an attack step in which a vulnerability with an attack verification code is used as level 3. In addition, if there is no attack verification code but the number of vulnerabilities used is 10, the threat level determination unit may determine the threat level of the attack step as level 2. In cases other than the above, the threat level determination unit may determine the threat level of the attack step to 1.
  • the user calculates the risk value based on the threat level determined in step S7 and the business damage level determined in step S2 (step S8).
  • the calculation method described in Non-Patent Document 1 is used.
  • the calculation of the risk value may be performed by the user, or may be automatically performed by the device that calculates the risk value.
  • FIG. 7 shows a display example of the risk diagnosis evaluation.
  • an analysis sheet in which a column for displaying a risk diagnosis evaluation is added to the business damage-based risk analysis sheet described in Non-Patent Document 1 is used.
  • the result output unit 104 describes the content of the risk diagnosis evaluation on such an analysis sheet.
  • the attack step (item 2) when the entrance is a “PC (Personal Computer)”, the attack target is “Host A”, and the final attack is a “DoS (Denial of Service) attack”. 5) is included.
  • the attack step of item number "2" indicates that the attack source is "PC", the attack destination is "host A”, and the attack method is "data tampering 2".
  • the attack step of item number "3" indicates that the attack source is "host A", the attack destination is "host A”, and the attack method is "illegal operation 2".
  • the number of vulnerabilities used in the attack step is "9", and the number of vulnerabilities for which the attack verification code exists is "2", which is the risk analysis. It is displayed on the sheet. Since the vulnerability in which the attack verification code exists can be used in this attack step, the user determines the threat level as "3" and fills in the risk analysis sheet. On the other hand, for the attack step of item number "3", the number of vulnerabilities used in the attack step is "0". In that case, the user determines the threat level as "1” and fills in the risk analysis sheet because the vulnerability is not used in this attack step. In this way, the user can determine the threat level based on the objective indicators included in the risk analysis sheet.
  • the vulnerability identification unit 102 identifies the vulnerability used in the attack on the attack destination in each attack step.
  • the diagnostic evaluation generation unit 103 generates a risk diagnostic evaluation including the number of vulnerabilities used in the attack on the attack destination and the presence / absence of the attack verification code for each attack step.
  • the result output unit 104 outputs the attack step and the risk diagnosis evaluation generated for the attack step in association with each other.
  • the security risk analysis support device 100 can present to the user an objective index for evaluating the attack easiness of the attack step for each attack step. The user can easily determine the threat level and the like by using the risk diagnosis evaluation.
  • the security risk analysis support device 100 may add a column for displaying a risk diagnosis evaluation to the asset-based risk analysis sheet described in Non-Patent Document 1.
  • FIG. 8 shows a security risk analysis support device according to the second embodiment of the present disclosure.
  • the security risk analysis support device 100a according to the present embodiment has a vulnerability list display unit 105 in addition to the components of the security risk analysis support device 100 shown in FIG.
  • the vulnerability list display unit (vulnerable list display means) 105 displays a list of vulnerabilities used in the attack step. Other points may be the same as in the first embodiment.
  • the result output unit 104 displays, for example, a series of attack steps and a risk diagnosis evaluation of each attack step on the screen.
  • the user can select one of the displayed attack steps.
  • the vulnerability list display unit 105 refers to the attack summary DB 115 and identifies the vulnerability used in the selected attack step (the attack method).
  • the vulnerability list display unit 105 displays a list of identified vulnerabilities on the display surface.
  • the list of vulnerabilities is embedded with, for example, a link to individual details of each vulnerability. The user can select a vulnerability from the list and display individual detailed information of the selected vulnerability on the display screen.
  • Figure 9 shows an example of a list of vulnerabilities.
  • the list of vulnerabilities shown in FIG. 9 corresponds to the list of vulnerabilities used in the attack step of item No. “2” included in the risk analysis sheet shown in FIG. 7.
  • the vulnerabilities that can be used in the attack using the attack method "data tampering 2" to the attack destination "host A” are the vulnerabilities "CVE-XXXX-0111", “CVE-XXXX-0222", and " It shall include “CVE-XXXX-0333".
  • the vulnerability list display unit 105 displays "CVE-XXXX-0111", “CVE-XXXXX-022", and Display a list of 9 vulnerabilities including "CVE-XXXXX-0333".
  • the vulnerability list display unit 105 displays a link to individual detailed information for each vulnerability.
  • the vulnerability list display unit 105 may display a plurality of links for one vulnerability. From the displayed links, the user selects, for example, one of the links corresponding to the vulnerability of "CVE-XXXX-0222".
  • the vulnerability list display unit 105 displays the linked site using a browser or the like, and presents the user with individual detailed information of CVE-XXXX-0222. The user can think of countermeasures against the attack step by referring to the contents of the individual detailed information.
  • the vulnerability list display unit 105 displays a list of vulnerabilities used in the attack step. By referring to the displayed list, the user can know which vulnerabilities are used in the attack step. Further, the vulnerability list display unit 105 displays a link to the individual detailed information when the individual detailed information of each vulnerability is available. The user can know the detailed information of the vulnerability by selecting the link. By doing so, the user can easily access the detailed information of the vulnerability used in the attack step.
  • FIG. 10 shows a security risk analysis support device according to a third embodiment of the present disclosure.
  • the security risk analysis support device 100b in the present embodiment is different from the security risk analysis support device 100 according to the first embodiment shown in FIG. 2 in that it does not have the attack method DB 112 and the system information DB 113.
  • the security risk analysis support device according to the present embodiment is different from the security risk analysis support device 100a according to the second embodiment shown in FIG. 8 in that it does not have the attack method DB 112 and the system information DB 113.
  • Other configurations may be the same as those of the first embodiment or the second embodiment.
  • the attack route collecting unit 101 collects an attack route (attack graph) including a vulnerability used in the attack method in addition to the attack source, the attack destination, and the attack method.
  • FIG. 11 shows an example of the attack graphs collected.
  • This attack graph shows an attack route with host A as an entry point and host C as an attack target.
  • the arrows on the attack graph indicate the attack source and attack destination.
  • the symbol attached to the arrow indicates the identifier of the attack method used for the attack from the attack source to the attack destination, and the identifier of the vulnerability used in the attack method.
  • the attack method of "illegal operation 1" is used for an attack with host A as the attack source and host B as the attack destination, and the attack method of the "illegal operation 1" is CVE-XXXXX. It has been shown to use the -0111 vulnerability.
  • the attack method of "data tampering 1" is used for the attack with host B as the attack source and host C as the attack destination, and the attack method of "data tampering 1" is FTP (File). It has been shown to use the Transfer Protocol) vulnerability.
  • FTP Transfer Protocol
  • the above attack graph can be automatically generated using information such as hardware assets, software assets, their connection relationships, and vulnerabilities of each asset included in the system.
  • the attack route collecting unit 101 stores the collected attack graph in the attack route DB 111.
  • the vulnerability identification unit 102 identifies the vulnerability used in each attack step from the attack graph.
  • Vulnerability information DB 114 stores information on protocol vulnerabilities in addition to information on software vulnerabilities described in the first embodiment. Information about protocol vulnerabilities includes at least one of encryption, login required, file transfer, and account information theft.
  • the diagnostic evaluation generation unit 103 may generate a risk diagnostic evaluation related to protocol vulnerabilities in addition to the risk diagnostic evaluation related to software vulnerabilities.
  • FIG. 12 shows a specific example of risk diagnosis evaluation.
  • the risk diagnosis evaluation regarding software includes "number of vulnerabilities” and “attack verification code” as in the example of FIG.
  • Risk diagnostic assessments for the protocol include "encryption,” “login,” “file transfer,” and "account theft.”
  • the diagnostic evaluation generation unit 103 writes "YES” in the "encryption” item, for example, when the information that "there is encryption” is stored in the vulnerability information DB 114 regarding the vulnerability of the protocol.
  • the diagnostic evaluation generation unit 103 writes "NO” in the item of "encryption”.
  • the diagnostic evaluation generation unit 103 writes "YES” or “NO” to "login”, “file transfer”, and "account theft” according to the information stored in the vulnerability information DB 114.
  • the result output unit 104 may display the risk diagnosis result related to the software and the protocol in association with the attack step.
  • an attack graph that further includes information that identifies the vulnerability used in the attack method is used.
  • the vulnerability identification unit 102 can identify the vulnerability used in each attack step without referring to the attack method DB and the system information DB.
  • the diagnostic evaluation generation unit 103 generates a risk diagnostic evaluation regarding the protocol when the vulnerability of the protocol is used for the attack on the attack destination. The user can refer to the risk diagnosis evaluation related to the protocol and determine the threat level of the attack step that uses the vulnerability of the protocol. Other effects are similar to those obtained in the first or second embodiment.
  • the risk diagnosis evaluation includes the number of vulnerabilities used in the attack step and the presence / absence of the attack verification code
  • the risk diagnosis evaluation is as described above.
  • the risk diagnosis evaluation may include at least one of the presence or absence of user involvement and the number of occurrences of attacks using the same attack method against the same attack destination.
  • FIG. 13 shows a specific example of the risk diagnosis evaluation related to the modified example.
  • the risk diagnostic assessment includes "user involvement” and "number of occurrences” in addition to "number of vulnerabilities" and "attack verification code”.
  • Vulnerability information DB 114 stores information indicating whether or not a user is involved in a vulnerability with respect to the vulnerability. For example, when the information indicating that the user is involved in the vulnerability is stored in the vulnerability information DB 114, the diagnostic evaluation generation unit 103 writes “YES” in the item of “user involvement”. When the information indicating that the user is not involved in the vulnerability is stored in the vulnerability information DB 114, the diagnostic evaluation generation unit 103 writes “NO” in the item of “user involvement”.
  • the diagnostic evaluation generation unit 103 counts how many times the pair of the attack destination and the attack method in the attack step appears in the attack path stored in the attack path DB 111.
  • the diagnostic evaluation generation unit 103 records the number of appearances of the pair of the attack destination and the attack method in the “number of appearances of the scenario” of the risk diagnosis evaluation.
  • FIG. 14 shows a configuration example of a computer device that can be used as the security risk analysis support device 100.
  • the computer device 500 includes a control unit (CPU: Central Processing Unit) 510, a storage unit 520, a ROM (Read Only Memory) 530, a RAM (Random Access Memory) 540, a communication interface (IF: Interface) 550, and a user interface 560.
  • CPU Central Processing Unit
  • ROM Read Only Memory
  • RAM Random Access Memory
  • IF Random Access Memory
  • the communication interface 550 is an interface for connecting the computer device 500 and the communication network via a wired communication means, a wireless communication means, or the like.
  • the user interface 560 includes a display unit such as a display.
  • the user interface 560 also includes input units such as a keyboard, a mouse, and a touch panel.
  • the storage unit 520 is an auxiliary storage device that can hold various types of data.
  • the storage unit 520 does not necessarily have to be a part of the computer device 500, and may be an external storage device or a cloud storage connected to the computer device 500 via a network.
  • the storage unit 520 can be used, for example, as at least one of the attack path DB 111, the attack method DB 112, the system information DB 113, the vulnerability information DB 114, and the attack outline DB 115 shown in FIG.
  • ROM530 is a non-volatile storage device.
  • a semiconductor storage device such as a flash memory having a relatively small capacity is used.
  • the program executed by the CPU 510 may be stored in the storage unit 520 or the ROM 530.
  • the storage unit 520 or ROM 530 stores, for example, various programs for realizing the functions of each unit in the security risk analysis support device 100.
  • Non-transient computer-readable media include various types of tangible storage media.
  • Examples of non-temporary computer-readable media include, for example, flexible disks, magnetic tapes, or magnetic recording media such as hard disks, such as optical magnetic recording media such as optical magnetic disks, CDs (compact discs), or DVDs (digital versatile disks). Includes optical disk media such as, and semiconductor memory such as mask ROM, PROM (programmable ROM), EPROM (erasable PROM), flash ROM, or RAM.
  • the program may also be supplied to the computer using various types of temporary computer-readable media. Examples of temporary computer-readable media include electrical, optical, and electromagnetic waves.
  • the temporary computer-readable medium can supply the program to the computer via a wired communication path such as an electric wire and an optical fiber, or a wireless communication path.
  • RAM 540 is a volatile storage device.
  • various semiconductor memory devices such as DRAM (Dynamic Random Access Memory) or SRAM (Static Random Access Memory) are used.
  • the RAM 540 can be used as an internal buffer for temporarily storing data and the like.
  • the CPU 510 expands the program stored in the storage unit 520 or the ROM 530 into the RAM 540 and executes the program. By executing the program by the CPU 510, the functions of each part in the security risk analysis support device 100 can be realized.
  • the CPU 510 may have an internal buffer that can temporarily store data and the like.
  • [Appendix 1] An attack vector that indicates the route from the entry point included in the system to be analyzed to the attack target, and includes information on the attack route that includes one or more attack steps including the attack source, attack destination, and attack method.
  • Vulnerability identification means for identifying the vulnerability used in the attack on the attack destination in the attack step with reference to the information, and Refer to the vulnerability information database that stores the vulnerability in association with the presence or absence of the attack verification code for the vulnerability, and investigate whether or not the attack verification code exists for the identified vulnerability.
  • a diagnostic evaluation generation means for generating a risk diagnostic evaluation including the number of identified vulnerabilities and the presence / absence of the attack verification code for the attack step.
  • a security risk analysis support device including an output means for outputting the attack step and the risk diagnosis evaluation in association with each other.
  • the output means is an analysis sheet in which a column for entering the risk diagnosis evaluation is added to the business damage-based risk analysis sheet, and an analysis sheet in which a column for entering the risk diagnosis evaluation is added to the asset-based risk analysis sheet.
  • the security risk analysis support device according to Appendix 1, which describes and outputs the content of the risk diagnosis evaluation to at least one of the above.
  • Appendix 3 The security risk analysis support device according to Appendix 1 or 2, wherein the diagnostic evaluation generating means includes the number of vulnerabilities in which the attack verification code exists among the identified vulnerabilities in the risk diagnosis evaluation.
  • the vulnerability identification means is the security risk analysis support device according to any one of Supplementary note 1 to 3, which stores the attack step and the identified vulnerability in an attack summary database in association with each other.
  • the vulnerability information database further stores the vulnerability in association with information indicating the presence or absence of user involvement.
  • the diagnostic evaluation generation means acquires information indicating the presence or absence of user involvement stored in response to the identified vulnerability from the vulnerability information database, and further obtains the acquired information indicating the presence or absence of user involvement.
  • the security risk analysis support device according to any one of Appendix 1 to 4, which generates a risk diagnosis evaluation including.
  • the diagnostic evaluation generating means counts how many times the attack destination and the attack method of the attack step appear in the attack route information, and generates a risk diagnostic evaluation including the number of appearances of the attack destination and the attack method.
  • the security risk analysis support device according to any one of Appendix 1 to 5.
  • Appendix 7 The security risk analysis support device according to any one of Appendix 1 to 6, further comprising a vulnerability list display means for displaying a list of vulnerabilities identified by the vulnerability identification means.
  • Appendix 8 The security risk analysis support device according to Appendix 7 displays a list of vulnerabilities specified by the vulnerability identifying means for the selected attack step when the user selects an attack step. ..
  • the vulnerability list display means is the security risk analysis support device according to Appendix 7 or 8, which displays a link to detailed information of the vulnerability in the list of vulnerabilities.
  • the vulnerability identification means includes an attack method database that stores the attack method and vulnerabilities that can be used in the attack method in association with each other, and a system that stores the vulnerabilities of the assets included in the system.
  • the security risk analysis support device according to any one of Appendix 1 to 9, which further refers to an information database and identifies a vulnerability used in an attack on the attack destination in the attack step.
  • the attack route information further includes a vulnerability used for an attack from the attack source to the attack destination, and the vulnerability identifying means is used for an attack on the attack destination in the attack step from the attack route information.
  • the security risk analysis support device according to any one of Supplementary notes 1 to 9 for acquiring the vulnerabilities to be identified.
  • the vulnerability includes a software vulnerability and a protocol vulnerability
  • the vulnerability information database stores the presence or absence of the attack verification code for the software vulnerability
  • the diagnostic evaluation generation means is the above.
  • the identified vulnerability is the vulnerability of the software, it is described in any one of Appendix 1 to 11 that generates a risk diagnosis evaluation including the number of the identified vulnerabilities and the presence / absence of the attack verification code.
  • Security risk analysis support device When the identified vulnerability is the vulnerability of the software, it is described in any one of Appendix 1 to 11 that generates a risk diagnosis evaluation including the number of the identified vulnerabilities and the presence / absence of the attack verification code.
  • the vulnerability information database further stores the vulnerability of the protocol in association with at least one of the presence / absence of encryption, the presence / absence of login, the presence / absence of file transfer, and the presence / absence of account information theft.
  • the diagnostic evaluation generating means for generating the risk diagnostic evaluation including the number of the identified vulnerabilities and the presence / absence of the attack verification code for the attack step, and the diagnostic evaluation generating means are the identified vulnerabilities. If is a vulnerability of the protocol, further generate a risk diagnostic assessment including at least one of encryption, login, file transfer, and account information theft, as described in Appendix 12. Security risk analysis support device.
  • An attack vector that indicates the route from the entry point included in the system to be analyzed to the attack target, and includes information on the attack route that includes one or more attack steps including the attack source, attack destination, and attack method.
  • identify the vulnerability used for the attack on the attack destination in the attack step Refer to the vulnerability information database that stores the vulnerability in association with the presence or absence of the attack verification code for the vulnerability, and investigate whether or not the attack verification code exists for the identified vulnerability.
  • For the attack step generate a risk diagnostic assessment including the number of identified vulnerabilities and the presence or absence of the attack verification code.
  • a security risk analysis support method that outputs the attack step and the risk diagnosis evaluation in association with each other.
  • An attack vector that indicates the route from the entry point included in the system to be analyzed to the attack target, and includes information on the attack route that includes one or more attack steps including the attack source, attack destination, and attack method.
  • identify the vulnerability used for the attack on the attack destination in the attack step. Refer to the vulnerability information database that stores the vulnerability in association with the presence or absence of the attack verification code for the vulnerability, and investigate whether or not the attack verification code exists for the identified vulnerability.
  • For the attack step generate a risk diagnostic assessment including the number of identified vulnerabilities and the presence or absence of the attack verification code.
  • a non-temporary computer-readable medium that stores a program for causing a computer to execute a process of associating the attack step with the risk diagnosis evaluation and outputting the evaluation.
  • Vulnerability identification means 12 Diagnosis evaluation generation means 13: Output means 21: Attack route information 22: Vulnerability information database 100: Security risk analysis support device 101: Attack route collection unit 102: Vulnerability Gender identification unit 103: Diagnosis evaluation generation unit 104: Result output unit 105: Vulnerability list display unit 111: Attack vector database 112: Attack method database 113: System information database 114: Vulnerability information database 115: Attack summary database

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Hardware Design (AREA)
  • Computer Security & Cryptography (AREA)
  • General Engineering & Computer Science (AREA)
  • Software Systems (AREA)
  • Theoretical Computer Science (AREA)
  • Computing Systems (AREA)
  • Physics & Mathematics (AREA)
  • General Physics & Mathematics (AREA)
  • Storage Device Security (AREA)
  • Computer And Data Communications (AREA)

Abstract

リスクの評価において客観的な指標をユーザに提示する。攻撃経路情報（２１）は、攻撃元と攻撃先と攻撃手法とを含む攻撃ステップを１以上含む攻撃経路の情報を含む。脆弱性特定手段（１１）は、攻撃経路情報（２１）を参照し、攻撃ステップにおいて攻撃先への攻撃に使用される脆弱性を特定する。脆弱性情報ＤＢ（２２）は、脆弱性と、その脆弱性に対する攻撃実証コードの有無とを対応付けて記憶する。診断評価生成手段（１２）は、脆弱性情報ＤＢ（２２）を参照し、特定された脆弱性に対して攻撃実証コードが存在するか否かを調べ、攻撃ステップに対して、特定された脆弱性の数、及び攻撃実証コードの有無を含むリスク診断評価を生成する。出力手段（１３）は、攻撃ステップとリスク診断評価とを対応付けて出力する。

Description

セキュリティリスク分析支援装置、方法、及びコンピュータ可読媒体
　本開示は、セキュリティリスク分析支援装置、方法、及びコンピュータ可読媒体に関する。
　近年、サイバー攻撃の脅威は、ＩＣＴ（Information and Communication Technology）分野にとどまらず、制御システムやＩｏＴ（Internet of Things）の分野でも被害事例が発生している。特に、制御システムにおいては、電力システムや工場の停止など、重要インフラの稼働を脅かす事案も起こっている。サイバー攻撃の脅威に対しては、システムが持つセキュリティリスクを明確化し、対策を実施し、リスクを下げることが重要である。
　上記に関連して、特許文献１は、大規模システムのセキュリティ設計におけるセキュリティ対策の立案を支援する技術を開示する。特許文献１に記載のセキュリティ対策立案支援装置には、システム構成情報、ネットワーク構成情報、及びリスク分析結果などが入力される。リスク分析結果は、各脅威項目のリスクを分析した結果を記録したデータである。リスク分析結果は、脅威項目、攻撃経路、攻撃者、脅威事象、攻撃方法、及びリスク値を含む。リスク値は、脅威項目の攻撃がシステムに与える損害の程度を示す。
　セキュリティ対策立案支援装置は、リスク値がしきい値を超えている脅威項目について、システム構成情報及びネットワーク構成情報から攻撃経路に含まれるコンポーネントを抽出する。セキュリティ対策立案装置は、脅威項目ごとに、抽出した攻撃経路に含まれるコンポーネントの情報を攻撃経路表として記録する。セキュリティ対策立案装置は、攻撃経路表、リスク分析結果、及び脅威－対策データベースを参照し、取り得るセキュリティ対策を列挙して対策一覧として記録する。
　ここで、独立行政法人情報処理推進機構セキュリティセンターが公開する非特許文献１では、リスク値は、脅威レベル、脆弱性レベル、及び事業被害レベルに基づいて決定される。脅威レベルついて、「個人の攻撃者（スキルは問わない）によって攻撃された場合、攻撃が成功する可能性が高い」場合、評価点は「３」である。また、「一定のスキルを持った攻撃者によって攻撃された場合、攻撃が成功する可能性がある」場合、評価点は「２」である。「国家レベルのサイバー攻撃者（軍隊及びそれに準ずる団体）によって攻撃された場合、攻撃が成功する可能性がある」場合、評価点は「１」である。
特開２０１８－７７５９７号公報
「制御システムのセキュリティリスク分析ガイド　第２版」、独立行政法人情報処理推進機構セキュリティセンター、https://www.ipa.go.jp/security/controlsystem/riskanalysis.html、２０１８年１０月
　特許文献１では、リスク分析結果の利用は記載されるものの、リスク分析をどのように実行するかは記載されていない。例えば、ある攻撃元から攻撃先に対して不正アクセスが実施される場合のリスクを評価する場合において、脅威レベルの評価値を決定するための客観的な指標はない。従って、リスク分析を行う者は、各脅威項目について、脅威レベルの評価値を「３」にすべきか、或いは「２」にすべきかといった判断に迷うことがある。非特許文献１についても、同様に、脅威レベルの評価値を決定するための客観的な指標は提示されない。
　本開示は、上記事情に鑑み、リスクの評価において客観的な指標をユーザに提示することができるセキュリティリスク分析支援装置、方法、及びコンピュータ可読媒体を提供することを目的とする。
　上記目的を達成するために、本開示は、分析対象のシステムに含まれる侵入口から攻撃ターゲットまでに経由する経路を示す攻撃経路であって、攻撃元と攻撃先と攻撃手法とを含む攻撃ステップを１以上含む攻撃経路の情報を含む攻撃経路情報を参照し、前記攻撃ステップに対して、該攻撃ステップにおいて前記攻撃先への攻撃に使用される脆弱性を特定する脆弱性特定手段と、前記脆弱性と、該脆弱性に対する攻撃実証コードの有無とを対応付けて記憶する脆弱性情報データベースを参照し、前記特定された脆弱性に対して攻撃実証コードが存在するか否かを調べ、前記攻撃ステップに対して、前記特定された脆弱性の数、及び前記攻撃実証コードの有無を含むリスク診断評価を生成する診断評価生成手段と、前記攻撃ステップと前記リスク診断評価とを対応付けて出力する出力手段とを備えるセキュリティリスク分析支援装置を提供する。
　本開示は、分析対象のシステムに含まれる侵入口から攻撃ターゲットまでに経由する経路を示す攻撃経路であって、攻撃元と攻撃先と攻撃手法とを含む攻撃ステップを１以上含む攻撃経路の情報を含む攻撃経路情報を参照し、前記攻撃ステップに対して、該攻撃ステップにおいて前記攻撃先への攻撃に使用される脆弱性を特定し、前記脆弱性と、該脆弱性に対する攻撃実証コードの有無とを対応付けて記憶する脆弱性情報データベースを参照し、前記特定された脆弱性に対して攻撃実証コードが存在するか否かを調べ、前記攻撃ステップに対して、前記特定された脆弱性の数、及び前記攻撃実証コードの有無を含むリスク診断評価を生成し、前記攻撃ステップと前記リスク診断評価とを対応付けて出力するセキュリティリスク分析支援方法を提供する。
　本開示は、分析対象のシステムに含まれる侵入口から攻撃ターゲットまでに経由する経路を示す攻撃経路であって、攻撃元と攻撃先と攻撃手法とを含む攻撃ステップを１以上含む攻撃経路の情報を含む攻撃経路情報を参照し、前記攻撃ステップに対して、該攻撃ステップにおいて前記攻撃先への攻撃に使用される脆弱性を特定し、前記脆弱性と、該脆弱性に対する攻撃実証コードの有無とを対応付けて記憶する脆弱性情報データベースを参照し、前記特定された脆弱性に対して攻撃実証コードが存在するか否かを調べ、前記攻撃ステップに対して、前記特定された脆弱性の数、及び前記攻撃実証コードの有無を含むリスク診断評価を生成し、前記攻撃ステップと前記リスク診断評価とを対応付けて出力する処理をコンピュータに実行させるためのプログラムを記憶する非一時的なコンピュータ可読媒体を提供する。
　本開示に係るセキュリティリスク分析支援装置、方法、及びコンピュータ可読媒体は、リスクの評価において客観的な指標をユーザに提示することができる。
本開示に係るセキュリティリスク分析支援装置を概略的に示すブロック図。 本開示の第１実施形態に係るセキュリティリスク分析支援装置を示すブロック図。 攻撃経路の一例を示す図。 攻撃手法ＤＢに記憶されるテーブルの一例を示す図。 攻撃概要ＤＢに記憶される情報の一例を示す図。 セキュリティリスク分析の手順を示すフローチャート。 リスク診断評価の表示例を示す図。 本開示の第２実施形態に係るセキュリティリスク分析支援装置を示すブロック図。 脆弱性のリストの一例を示す図。 本開示の第３実施形態に係るセキュリティリスク分析支援装置を示すブロック図。 攻撃グラフの一例を示す図。 リスク診断評価の具体例を示す図。 変形例に係るリスク診断評価の具体例を示す図。 コンピュータ装置の構成例を示すブロック図。
　本開示の実施の形態の説明に先立って、本開示の概要を説明する。図１は、本開示に係るセキュリティリスク分析支援装置を概略的に示す。セキュリティリスク分析支援装置１０は、脆弱性特定手段１１、診断評価生成手段１２、及び出力手段１３を有する。セキュリティリスク分析支援装置１０は、攻撃経路情報２１、及び脆弱性情報データベース（ＤＢ：database）２２に記憶される情報を使用し、ユーザによるリスク評価を支援する。
　攻撃経路情報２１は、分析対象のシステムに含まれる侵入口から攻撃ターゲットまでに経由する経路を示す攻撃経路の情報を含む。攻撃経路は、攻撃元と攻撃先と攻撃手法とを含む攻撃ステップを１以上含む。脆弱性特定手段１１は、攻撃経路情報２１を参照し、攻撃経路に含まれる攻撃ステップに対して、その攻撃ステップにおいて攻撃先への攻撃に使用される脆弱性を特定する。
　脆弱性情報ＤＢ２４は、脆弱性と、その脆弱性に対する攻撃実証コードの有無とを対応付けて記憶する。診断評価生成手段１２は、脆弱性情報ＤＢ２４を参照し、脆弱性特定手段１１で特定された脆弱性に対して攻撃実証コードが存在するか否かを調べ、攻撃ステップに対して、特定された脆弱性の数、及び攻撃実証コードの有無を含むリスク診断評価を生成する。出力手段１３は、攻撃ステップとリスク診断評価とを対応付けて出力する。
　本開示では、脆弱性特定手段１１は、攻撃経路に含まれる攻撃ステップについて、攻撃先への攻撃に使用され得る脆弱性を特定する。診断評価生成手段１２は、特定された脆弱性の数、及び特定された脆弱性に対する攻撃実証コードの有無を含むリスク診断評価を生成する。リスク診断評価は、攻撃ステップがどの程度のリスクを示すかを評価するための客観的な指標として使用され得る。本開示では、出力手段１３から、攻撃ステップとリスク診断評価とが対応付けて出力される。このようにすることで、本開示では、リスクの評価において客観的な指標をユーザに提示することができる。
　以下、図面を参照しつつ、本開示の実施の形態を詳細に説明する。図２は、本開示の第１実施形態に係るセキュリティリスク分析支援装置を示す。セキュリティリスク分析支援装置１００は、攻撃経路収集部１０１、脆弱性特定部１０２、診断評価生成部１０３、結果出力部１０４、攻撃経路ＤＢ１１１、攻撃手法ＤＢ１１２、システム情報ＤＢ１１３、脆弱性情報ＤＢ１１４、及び攻撃概要ＤＢ１１５を有する。
　なお、攻撃経路ＤＢ１１１、攻撃手法ＤＢ１１２、システム情報ＤＢ１１３、脆弱性情報ＤＢ１１４、及び攻撃概要ＤＢ１１５は、セキュリティリスク分析支援装置１００からアクセス可能であればよく、必ずしもその一部である必要はない。例えば、これらデータベースの少なくとも一部はクラウド上に配置され、セキュリティリスク分析支援装置１００がネットワークを介してクラウド上のデータベースにアクセスしてもよい。
　攻撃経路収集部１０１は、分析対象のシステムに対する攻撃の攻撃経路を収集する。攻撃経路は、システムに含まれる侵入口から攻撃ターゲットまでに経由する経路を示す。攻撃経路は、攻撃元、攻撃先、及び攻撃手法を含む。攻撃経路収集部１０１は、例えば攻撃経路生成器を用いて生成された攻撃経路を収集する。あるいは、攻撃経路収集部１０１は、人手で作成された攻撃経路を収集してもよい。攻撃経路収集部１０１は、収集した攻撃経路を攻撃経路ＤＢ１１１に記憶する。攻撃経路ＤＢ１１１に記憶される攻撃経路は、図１の攻撃経路情報２１に対応する。
　図３は、攻撃経路の一例を示す。この攻撃経路は、ホストＡを侵入口とし、ホストＣを攻撃ターゲットとする攻撃の経路を示す。攻撃経路上の矢印は、攻撃元と攻撃先とを示す。また、矢印に付された記号は、攻撃元から攻撃先への攻撃に使用される攻撃手法の識別子を示す。例えば、図３には、ホストＡを攻撃元とし、ホストＢを攻撃先とする攻撃に、「不正操作１」の攻撃手法が用いられることが示されている。このような攻撃経路は、システムに含まれるハードウェア資産、ソフトウェア資産、それらの接続関係、及び各資産が有する脆弱性などの情報を用いて自動的に生成することができる。攻撃経路ＤＢ１１１には、分析対象のシステムに対してなされ得る複数の攻撃について、それらに対応した攻撃経路が記憶される。
　なお、以下では、主に、攻撃元及び攻撃先の資産がサーバやクライアント端末などの装置である例が説明される。以下の説明において、サーバやクライアント端末などの装置は、「ホスト」とも呼ばれる。攻撃元及び攻撃先は、ホストには限定されず、例えばファイヤーウォール装置などのネットワーク機器であってもよい。
　攻撃手法ＤＢ１１２は、各脆弱性が、どの攻撃手法に適用可能かを分類したデータベースである。攻撃手法ＤＢ１１２は、攻撃手法と、その攻撃手法で使用される脆弱性とを対応付けて記憶する。攻撃手法ＤＢ１１２は、例えば攻撃手法の識別子と脆弱性の識別子をと対応づけたテーブルを記憶する。脆弱性の識別子には、例えばＣＶＥ（Common Vulnerabilities and Exposures）を用いることができる。
　図４は、攻撃手法ＤＢ１１２に記憶されるテーブルの一例を示す。攻撃手法ＤＢ１１２は、例えば攻撃手法「不正操作１」と、脆弱性「ＣＶＥ－ＸＸＸＸ－０１１１」、「ＣＶＥ－ＸＸＸＸ－０１１２」、「ＣＶＥ－ＸＸＸＸ－０１５０」、及び「ＣＶＥ－ＸＸＸＸ－０２００」とを対応付けて記憶する。また、攻撃手法ＤＢ１１２は、攻撃手法「データ改ざん１」と、脆弱性「ＣＶＥ－ＸＸＸＸ－０１１１」などとを対応付けて記憶する。この場合、攻撃手法ＤＢ１１２を参照することで、「不正操作１」の攻撃手法では、「ＣＶＥ－ＸＸＸＸ－０１１１」、「ＣＶＥ－ＸＸＸＸ－０１１２」、「ＣＶＥ－ＸＸＸＸ－０１５０」、及び「ＣＶＥ－ＸＸＸＸ－０２００」などが使用され得ることがわかる。また、「データ改ざん１」の攻撃手法では、「ＣＶＥ－ＸＸＸＸ－０－１１１」が使用され得ることがわかる。
　システム情報ＤＢ１１３は、分析対象のシステムに含まれるホストと、そのホストが有する脆弱性とを対応付けて記憶する。システム情報ＤＢ１１３は、システムに含まれる各ホストなどについて、各ホストのソフトウェアが有する脆弱性の識別子を記憶する。システム情報ＤＢ１１３は、例えば脆弱性スキャナを用いることで構築できる。あるいは、システム情報ＤＢ１１３は、分析対象のシステムの情報をもとにＮＶＤ（National Vulnerability Database）などの脆弱性データベースを参照することで構築できる。
　脆弱性特定部１０２は、攻撃経路ＤＢ１１１、攻撃手法ＤＢ１１２、及びシステム情報ＤＢ１１３を参照し、攻撃経路に含まれる各攻撃ステップに対し、各攻撃ステップにおいて攻撃先への攻撃に使用され得る脆弱性を特定する。脆弱性特定部１０２は、攻撃経路ＤＢ１１１に記憶される攻撃経路のそれぞれについて、各攻撃ステップにおいて攻撃先への攻撃に使用され得る脆弱性を特定する。脆弱性特定部１０２は、図１の脆弱性特定手段１１に対応する。
　脆弱性特定部１０２は、例えば、攻撃経路ＤＢ１１１から、攻撃元、攻撃先、及び攻撃手法を取得する。脆弱性特定部１０２は、攻撃手法ＤＢ１１２から、取得した攻撃手法に対応して記憶される脆弱性を取得する。脆弱性特定部１０２は、システム情報ＤＢ１１３を参照し、攻撃手法ＤＢ１１２から取得された脆弱性のうち、攻撃先のホストなどが有する脆弱性を、攻撃ステップにおいて攻撃先への攻撃に使用され得る脆弱性として特定する。脆弱性特定部１０２は、攻撃ステップの攻撃元、攻撃先、及び攻撃手法と、特定した脆弱性の識別子とを、攻撃概要ＤＢ１１５に記憶する。
　図５は、攻撃概要ＤＢ１１５に記憶される情報の一例を示す。脆弱性特定部１０２は、攻撃経路ＤＢ１１１から取得した各攻撃ステップの攻撃元、攻撃先、及び攻撃手法を、攻撃概要ＤＢ１１５の「攻撃元」、「攻撃先」、及び「攻撃手法」に記憶する。脆弱性特定部１０２は、攻撃先への攻撃に使用され得る脆弱性として特定した脆弱性を、攻撃概要ＤＢ１１５の「脆弱性」に記憶する。
　脆弱性特定部１０２は、例えば「不正操作１」の脆弱性を使用してホストＡからホストＢへの攻撃が行われる攻撃ステップについて、攻撃手法ＤＢ１１２（図４を参照）を参照し、「不正操作１」の攻撃手法に対応して記憶される「ＣＶＥ－ＸＸＸＸ－０１１１」、「ＣＶＥ－ＸＸＸＸ－０１１２」、「ＣＶＥ－ＸＸＸＸ－０１５０」、及び「ＣＶＥ－ＸＸＸＸ－０２００」を取得する。その後、脆弱性特定部１０２は、システム情報ＤＢ１１３を参照し、ホストＢが、「ＣＶＥ－ＸＸＸＸ－０１１１」、「ＣＶＥ－ＸＸＸＸ－０１１２」、「ＣＶＥ－ＸＸＸＸ－０１５０」、及び「ＣＶＥ－ＸＸＸＸ－０２００」の脆弱性を有しているか否かを調べる。脆弱性特定部１０２は、ホストＢが例えば「ＣＶＥ－ＸＸＸＸ－０１１１」及び「ＣＶＥ－ＸＸＸＸ－０１１２」の脆弱性を有している場合は、「ＣＶＥ－ＸＸＸＸ－０１１１」及び「ＣＶＥ－ＸＸＸＸ－０１１２」を、攻撃ステップにおいて攻撃先への攻撃に使用され得る脆弱性として特定する。
　上記の場合、脆弱性特定部１０２は、特定した脆弱性「ＣＶＥ－ＸＸＸＸ－０１１１」及び「ＣＶＥ－ＸＸＸＸ－０１１２」を、攻撃元「ホストＡ」、攻撃先「ホストＢ」、及び攻撃手法「不正操作１」に対応付けて攻撃概要ＤＢ１１５に記憶する。仮に、ホストＢが「ＣＶＥ－ＸＸＸＸ－０１１１」、「ＣＶＥ－ＸＸＸＸ－０１１２」、「ＣＶＥ－ＸＸＸＸ－０１５０」、及び「ＣＶＥ－ＸＸＸＸ－０２００」のうち、「ＣＶＥ－ＸＸＸＸ－０１１１」の脆弱性のみを有していたとする。その場合、脆弱性特定部１０２は、脆弱性「ＣＶＥ－ＸＸＸＸ－０１１１」を、攻撃元「ホストＡ」、攻撃先「ホストＢ」、及び攻撃手法「不正操作１」に対応付けて攻撃概要ＤＢ１１５に記憶する。
　脆弱性情報ＤＢ１１４は、脆弱性に関する情報を記憶するデータベースである。脆弱性情報ＤＢ１１４は、ソフトウェアの脆弱性（その識別子）と、その脆弱性に対する攻撃実証コードの有無とを対応付けて記憶する。攻撃実証コードは、ベンダーから提供される脆弱性の存在確認用のコード、侵入調査ツールに含まれている攻撃モジュール、又は攻撃方法が公開されているかどうかを表す情報であってもよい。脆弱性情報ＤＢ１１４は、更に、ユーザが関与する脆弱性であるか否か、及び脆弱性を有するソフトウェアがデフォルトでインストールされるソフトウェアであるか否かを記憶してもよい。
　診断評価生成部１０３は、脆弱性情報ＤＢ１１４を参照し、攻撃概要ＤＢ１１５に記憶された脆弱性のそれぞれについて、攻撃実証コードが存在するか否かを調べる。診断評価生成部１０３は、攻撃ステップのそれぞれについて、各攻撃ステップで使用される脆弱性の数、及び攻撃実証コードの有無をリスク診断評価として生成する。例えば、診断評価生成部１０３は、ある攻撃ステップについて、使用される脆弱性の数が３つで、そのうち２つの脆弱性に対して攻撃実証コードが存在する場合は、脆弱性の数が「３」で、攻撃実証コードが「２」であることを示すリスク診断評価を生成する。診断評価生成部１０３は、図１の診断評価生成手段１２に対応する。
　結果出力部１０４は、攻撃ステップと、その攻撃ステップに対して生成されたリスク診断評価とを対応付けて出力する。結果出力部１０４は、例えば攻撃ステップの攻撃元、攻撃先、及び攻撃手法と、リスク診断評価とを並べてディスプレイ装置などの表示画面上に出力する。ユーザは、表示画面を参照することで、各攻撃ステップについて、攻撃ステップに使用される脆弱性の数、及び攻撃実証コードの有無などを知ることができる。ユーザは、攻撃ステップごとに、使用される脆弱性の数、及び攻撃実証コードの有無などに応じて、攻撃の起こりやすさを示す脅威レベルを決定することができる。結果出力部１０４は、図１の出力手段１３に対応する。
　以下、本実施形態に係るセキュリティリスク分析支援装置１０の動作手順（セキュリティリスク分析支援方法）を含むセキュリティリスク分析の手順を説明する。図６は、セキュリティリスク分析の手順を示す。ユーザは、分析対象のシステムに含まれるホストと、各ホストのセキュリティ状態とを調べる（ステップＳ１）。ユーザは、各ホストの事業被害レベルを決定する（ステップＳ２）。ユーザは、ステップＳ２では、例えば非特許文献１のガイドラインに従って、各ホストの事業被害レベルを決定する。
　ユーザは、分析対象のシステムにおける攻撃経路を作成する（ステップＳ３）。ユーザは、ステップＳ３では、例えばシステムの情報や各ホストが有する脆弱性の情報などに基づいて人手で攻撃経路を作成してもよい。あるいは、ユーザは、システムの情報や各ホストが有する脆弱性の情報などに基づいて自動的に攻撃経路を生成する攻撃経路生成器を用いて攻撃経路を作成してもよい。攻撃経路収集部１０１は、ステップＳ３で生成された作成された攻撃経路を収集し、収集した攻撃経路を攻撃経路ＤＢ１１１に記憶する。
　脆弱性特定部１０２は、攻撃経路ＤＢ１１１、攻撃手法ＤＢ１１２、及びシステム情報ＤＢ１１３を参照し、各攻撃ステップで攻撃先への攻撃に使用される脆弱性を特定する（ステップＳ４）。脆弱性特定部１０２は、ステップＳ４では、攻撃経路ＤＢ１１１から、攻撃元、攻撃先、及び攻撃手法を取得する。脆弱性特定部１０２は、攻撃手法ＤＢ１１２から、取得した攻撃手法に対応して記憶される脆弱性を取得する。脆弱性特定部１０２は、システム情報ＤＢ１１３を参照し、攻撃手法ＤＢ１１２から取得された脆弱性のうち、攻撃先のホストなどが有する脆弱性を、攻撃ステップにおいて攻撃先への攻撃に使用され得る脆弱性として特定する。脆弱性特定部１０２は、特定した脆弱性の識別子を攻撃概要ＤＢ１１５に記憶する。
　診断評価生成部１０３は、攻撃概要ＤＢ１１５及び脆弱性情報ＤＢ１１４を参照し、各攻撃ステップについて、使用される脆弱性の数と、攻撃実証コードの有無とを含む診断評価を生成する（ステップＳ５）。結果出力部１０４は、攻撃ステップと、リスク診断評価とを対応付けて出力する（ステップＳ６）。ユーザは、表示されたリスク診断評価を参考に、各攻撃ステップの脅威レベルを決定する（ステップＳ７）。脅威レベルの決定は、使用される脆弱性の数と攻撃実証コードの有無とに基づいて自動的に行ってもよい。例えば、図示しない脅威レベル決定部を用い、脅威レベル決定部が、攻撃実証コードがある脆弱性が使用される攻撃ステップの脅威レベルをレベル３と決定してもよい。また、脅威レベル決定部は、攻撃実証コードはないが使用される脆弱性の数が１０件あった場合は、その攻撃ステップの脅威レベルをレベル２と決定してもよい。脅威レベル決定部は、上記以外の場合は、攻撃ステップの脅威レベルを１と決定してもよい。
　ユーザは、ステップＳ７で決定した脅威レベルと、ステップＳ２で決定した事業被害レベルなどとに基づいて、リスク値を算出する（ステップＳ８）。リスク値の算出には、例えば非特許文献１に記載される算出手法が用いられる。リスク値の算出は、ユーザが行ってもよいし、リスク値の算出を行う装置が自動的に行ってもよい。
　図７は、リスク診断評価の表示例を示す。この表示例では、非特許文献１に記載される事業被害ベースのリスク分析シートに、リスク診断評価を表示する欄が追加された分析シートが用いられる。結果出力部１０４は、このような分析シートに、リスク診断評価の内容を記載する。図７には、侵入口は「ＰＣ（Personal Computer）」であり、攻撃ターゲットは「ホストＡ」であり、最終攻撃は「ＤｏＳ（Denial of Service）攻撃」である場合の攻撃ステップ（項番２から５を参照）が含まれる。例えば、項番「２」の攻撃ステップは、攻撃元が「ＰＣ」であり、攻撃先が「ホストＡ」であり、攻撃手法が「データ改ざん２」であることを示す。また、項番「３」の攻撃ステップは、攻撃元が「ホストＡ」であり、攻撃先が「ホストＡ」であり、攻撃手法が「不正操作２」であることを示す。
　項番「２」の攻撃ステップについて、その攻撃ステップで使用される脆弱性の数は「９」であり、そのうち攻撃実証コードが存在する脆弱性の数は「２」であることが、リスク分析シートに表示されている。ユーザは、この攻撃ステップでは攻撃実証コードが存在する脆弱性が使用され得ることから、脅威レベルを「３」と決定し、リスク分析シートに記入する。一方、項番「３」の攻撃ステップについては、その攻撃ステップで使用される脆弱性の数は「０」である。その場合、ユーザは、この攻撃ステップでは脆弱性が使用されないことから、脅威レベルを「１」と決定し、リスク分析シートに記入する。このように、ユーザは、リスク分析シートに含まれる客観的な指標に基づいて、脅威レベルを決定することができる。
　本実施形態では、脆弱性特定部１０２は、各攻撃ステップにおいて攻撃先への攻撃で使用される脆弱性を特定する。診断評価生成部１０３は、各攻撃ステップについて、攻撃先への攻撃で使用される脆弱性の数、及び攻撃実証コードの有無を含むリスク診断評価を生成する。結果出力部１０４は、攻撃ステップと、その攻撃ステップに対して生成されたリスク診断評価とを対応付けて出力する。このようにすることで、セキュリティリスク分析支援装置１００は、各攻撃ステップについて、攻撃ステップの攻撃容易性などを評価する場合の客観的な指標を、ユーザに提示できる。ユーザは、リスク診断評価を用いて、簡易に脅威レベルなどを決定することができる。
　なお、本実施形態では、事業被害ベースのリスク分析シートにリスク診断評価を表示する欄を追加する例を述べたが、本開示はこれには限定されない。例えば、セキュリティリスク分析支援装置１００は、非特許文献１に記載される資産ベースのリスク分析シートにリスク診断評価を表示する欄を追加してもよい。
　次いで、本開示の第２実施形態を説明する。図８は、本開示の第２実施形態に係るセキュリティリスク分析支援装置を示す。本実施形態に係るセキュリティリスク分析支援装置１００ａは、図２に示されるセキュリティリスク分析支援装置１００の構成要素に加えて、脆弱性リスト表示部１０５を有する。脆弱性リスト表示部（脆弱性リスト表示手段）１０５は、攻撃ステップで使用される脆弱性のリストを表示する。他の点は、第１実施形態と同様でよい。
　本実施形態において、結果出力部１０４は、例えば、一連の攻撃ステップと各攻撃ステップのリスク診断評価とを、画面上に表示する。ユーザは、表示された攻撃ステップの中から１つを選択することができる。脆弱性リスト表示部１０５は、攻撃ステップが選択された場合、攻撃概要ＤＢ１１５を参照し、選択された攻撃ステップ（その攻撃手法）で使用される脆弱性を特定する。脆弱性リスト表示部１０５は、特定した脆弱性のリストを表示面上に表示する。脆弱性のリストには、例えば各脆弱性の個別詳細情報へのリンクが埋め込まれる。ユーザは、リストから脆弱性を選択し、選択した脆弱性の個別詳細情報を表示画面上に表示できる。
　図９は、脆弱性のリストの一例を示す。図９に示される脆弱性のリストは、図７に示されるリスク分析シートに含まれる項番「２」の攻撃ステップで使用される脆弱性のリストに対応する。ここでは、攻撃先「ホストＡ」への攻撃手法「データ改ざん２」を用いた攻撃に使用され得る脆弱性が、脆弱性「ＣＶＥ－ＸＸＸＸ－０１１１」、「ＣＶＥ－ＸＸＸＸ－０２２２」、及び「ＣＶＥ－ＸＸＸＸ－０３３３」を含むものとする。ユーザが、図７に示されるリスク分析シートにおいて項番「２」の攻撃ステップを選択した場合、脆弱性リスト表示部１０５は、「ＣＶＥ－ＸＸＸＸ－０１１１」、「ＣＶＥ－ＸＸＸＸ－０２２２」、及び「ＣＶＥ－ＸＸＸＸ－０３３３」を含む計９件の脆弱性のリストを表示する。
　脆弱性リスト表示部１０５は、各脆弱性に対し、個別詳細情報へのリンクを表示する。脆弱性リスト表示部１０５は、１つの脆弱性に対して複数の個別詳細情報が提供されている場合、１つの脆弱性に対して複数のリンクを表示してもよい。ユーザは、表示されているリンクから、例えば「ＣＶＥ－ＸＸＸＸ－０２２２」の脆弱性に対応したリンクの１つを選択する。ユーザがリンクを選択すると、脆弱性リスト表示部１０５は、ブラウザなどを用いてリンク先のサイトを表示し、ユーザに、ＣＶＥ－ＸＸＸＸ－０２２２の個別詳細情報を提示する。ユーザは、個別詳細情報の内容を参照することで、攻撃ステップに対する対策などを考えることができる。
　本実施形態では、脆弱性リスト表示部１０５は、攻撃ステップで使用される脆弱性のリストを表示する。ユーザは、表示されたリストを参照することで、攻撃ステップにおいてどの脆弱性が使用されるかを知ることができる。また、脆弱性リスト表示部１０５は、各脆弱性の個別詳細情報が利用可能な場合は、個別詳細情報へのリンクを表示する。ユーザは、リンクを選択することで、脆弱性の詳細な情報を知ることができる。このようにすることで、ユーザは、簡単に攻撃ステップで使用される脆弱性の詳細情報にアクセスすることができる。
　続いて、本開示の第３実施形態を説明する。図１０は、本開示の第３実施形態に係るセキュリティリスク分析支援装置を示す。本実施形態におけるセキュリティリスク分析支援装置１００ｂは、攻撃手法ＤＢ１１２及びシステム情報ＤＢ１１３を有していない点で、図２に示される第１実施形態に係るセキュリティリスク分析支援装置１００と相違する。あるいは、本実施形態におけるセキュリティリスク分析支援装置は、攻撃手法ＤＢ１１２及びシステム情報ＤＢ１１３を有していない点で、図８に示される第２実施形態に係るセキュリティリスク分析支援装置１００ａと相違する。他の構成は、第１実施形態又は第２実施形態と同様でよい。
　本実施形態において、攻撃経路収集部１０１は、攻撃元、攻撃先、及び攻撃手法に加えて、攻撃手法で使用される脆弱性を含む攻撃経路（攻撃グラフ）を収集する。図１１は、収集される攻撃グラフの一例を示す。この攻撃グラフは、ホストＡを侵入口とし、ホストＣを攻撃ターゲットとする攻撃の経路を示す。攻撃グラフ上の矢印は、攻撃元と攻撃先とを示す。また、矢印に付された記号は、攻撃元から攻撃先への攻撃に使用される攻撃手法の識別子、及びその攻撃手法で使用される脆弱性の識別子を示す。
　例えば、図１１には、ホストＡを攻撃元とし、ホストＢを攻撃先とする攻撃に、「不正操作１」の攻撃手法が用いられ、かつその「不正操作１」の攻撃手法がＣＶＥ－ＸＸＸＸ－０１１１の脆弱性を使用することが示されている。また、図１１には、ホストＢを攻撃元とし、ホストＣを攻撃先とする攻撃に、「データ改ざん１」の攻撃手法が用いられ、かつその「データ改ざん１」の攻撃手法がＦＴＰ（File Transfer Protocol）の脆弱性を使用することが示されている。ここで、ＦＴＰの脆弱性は、プロトコルに関する脆弱性であるとする。
　上記攻撃グラフは、システムに含まれるハードウェア資産、ソフトウェア資産、それらの接続関係、及び各資産が有する脆弱性などの情報を用いて自動的に生成することができる。攻撃経路収集部１０１は、収集した攻撃グラフを攻撃経路ＤＢ１１１に記憶する。
　本実施形態において、脆弱性特定部１０２は、攻撃グラフから、各攻撃ステップで使用される脆弱性を特定する。脆弱性情報ＤＢ１１４は、第１実施形態で説明したソフトウェアの脆弱性に関する情報に加えて、プロトコルの脆弱性に関する情報を記憶する。プロトコルの脆弱性に関する情報は、暗号化の有無、ログインの必要の有無、及びファイル転送の有無、及びアカウント情報の窃取の有無の少なくとも１つを含む。
　診断評価生成部１０３は、ソフトウェアの脆弱性に関するリスク診断評価に加えて、プロトコルの脆弱性に関するリスク診断評価を生成してもよい。図１２は、リスク診断評価の具体例を示す。ソフトウェアに関するリスク診断評価は、図７の例と同様に、「脆弱性数」と「攻撃実証コード」とを含む。プロトコルに関するリスク診断評価は、「暗号化」、「ログイン」、「ファイル転送」、及び「アカウント窃取」を含む。
　診断評価生成部１０３は、例えば、プロトコルの脆弱性について暗号化が「あり」という情報が脆弱性情報ＤＢ１１４に記憶されていた場合、「暗号化」の項目に「ＹＥＳ」を書き込む。診断評価生成部１０３は、暗号化が「なし」という情報が脆弱性情報ＤＢ１１４に記憶されていた場合、「暗号化」の項目に「ＮＯ」を書き込む。同様に、診断評価生成部１０３は、脆弱性情報ＤＢ１１４に記憶される情報に従って、「ログイン」、「ファイル転送」、及び「アカウント窃取」に「ＹＥＳ」又は「ＮＯ」を書き込む。結果出力部１０４は、ソフトウェア及びプロトコルに関するリスク診断結果を、攻撃ステップに対応付けて表示してもよい。
　本実施形態では、攻撃元、攻撃先、及び攻撃手法に加えて、攻撃手法で使用される脆弱性を識別する情報を更に含む攻撃グラフが用いられる。脆弱性特定部１０２は、攻撃グラフを用いることで、攻撃手法ＤＢ及びシステム情報ＤＢを参照しなくても、各攻撃ステップで使用される脆弱性を特定することができる。また、診断評価生成部１０３は、攻撃先への攻撃にプロトコルの脆弱性が使用される場合、プロトコルに関するリスク診断評価を生成する。ユーザは、プロトコルに関するリスク診断評価を参照し、プロトコルの脆弱性を使用する攻撃ステップの脅威レベルなどを決定することができる。他の効果は、第１実施形態又は第２実施形態で得られる効果と同様である。
　なお、上記各実施形態では、ソフトウェアに関して、リスク診断評価が、攻撃ステップにおいて使用される脆弱性の数と、攻撃実証コードの有無とを含む例を説明したが、リスク診断評価は、上記したものには限定されない。例えば、リスク診断評価は、ユーザ関与の有無、及び同じ攻撃先に対する同じ攻撃手法を用いた攻撃の出現回数の少なくとも一方を含んでいてもよい。
　図１３は、変形例に係るリスク診断評価の具体例を示す。この例では、リスク診断評価は、「脆弱性数」及び「攻撃実証コード」に加えて、「ユーザ関与」及び「出現回数」を含む。脆弱性情報ＤＢ１１４は、脆弱性に対して、その脆弱性にユーザが関与するか否かを示す情報を記憶している。診断評価生成部１０３は、例えば、脆弱性にユーザが関与することを示す情報が脆弱性情報ＤＢ１１４に記憶されていた場合、「ユーザ関与」の項目に「ＹＥＳ」を書き込む。診断評価生成部１０３は、脆弱性にユーザが関与しないことを示す情報が脆弱性情報ＤＢ１１４に記憶されていた場合、「ユーザ関与」の項目に「ＮＯ」を書き込む。
　診断評価生成部１０３は、攻撃ステップにおける攻撃先と攻撃手法との組が、攻撃経路ＤＢ１１１に記憶される攻撃経路において、何回出現するかをカウントする。診断評価生成部１０３は、攻撃先と攻撃手法との組の出現回数を、リスク診断評価の「シナリオ出現回数」に記録する。シナリオ出現回数が多い攻撃ステップに対してセキュリティ対策を実行した場合、より多くの攻撃ステップに対してセキュリティ対策がなされたことになる。従って、シナリオ出現回数は、時間や費用などの制約のもと、どの攻撃ステップに対して優先的にセキュリティ対策を実施すればよいかを判断するための指標として用いることができる。
　続いて、セキュリティリスク分析支援装置の物理構成を説明する。図１４は、セキュリティリスク分析支援装置１００として用いられ得るコンピュータ装置の構成例を示す。コンピュータ装置５００は、制御部（ＣＰＵ：Central Processing Unit）５１０、記憶部５２０、ＲＯＭ（Read Only Memory）５３０、ＲＡＭ（Random Access Memory）５４０、通信インタフェース（ＩＦ：Interface）５５０、及びユーザインタフェース５６０を有する。
　通信インタフェース５５０は、有線通信手段又は無線通信手段などを介して、コンピュータ装置５００と通信ネットワークとを接続するためのインタフェースである。ユーザインタフェース５６０は、例えばディスプレイなどの表示部を含む。また、ユーザインタフェース５６０は、キーボード、マウス、及びタッチパネルなどの入力部を含む。
　記憶部５２０は、各種のデータを保持できる補助記憶装置である。記憶部５２０は、必ずしもコンピュータ装置５００の一部である必要はなく、外部記憶装置であってもよいし、ネットワークを介してコンピュータ装置５００に接続されたクラウドストレージであってもよい。記憶部５２０は、例えば図２に示される攻撃経路ＤＢ１１１、攻撃手法ＤＢ１１２、システム情報ＤＢ１１３、脆弱性情報ＤＢ１１４、及び攻撃概要ＤＢ１１５の少なくとも１つとして用いられ得る。
　ＲＯＭ５３０は、不揮発性の記憶装置である。ＲＯＭ５３０には、例えば比較的容量が少ないフラッシュメモリなどの半導体記憶装置が用いられる。ＣＰＵ５１０が実行するプログラムは、記憶部５２０又はＲＯＭ５３０に格納され得る。記憶部５２０又はＲＯＭ５３０は、例えばセキュリティリスク分析支援装置１００内の各部の機能を実現するための各種プログラムを記憶する。
　上記プログラムは、様々なタイプの非一時的なコンピュータ可読媒体を用いて格納され、コンピュータ装置５００に供給することができる。非一時的なコンピュータ可読媒体は、様々なタイプの実体のある記憶媒体を含む。非一時的なコンピュータ可読媒体の例は、例えばフレキシブルディスク、磁気テープ、又はハードディスクなどの磁気記録媒体、例えば光磁気ディスクなどの光磁気記録媒体、ＣＤ（compact disc）、又はＤＶＤ（digital versatile disk）などの光ディスク媒体、及び、マスクＲＯＭ、ＰＲＯＭ（programmable ROM）、ＥＰＲＯＭ（erasable PROM）、フラッシュＲＯＭ、又はＲＡＭなどの半導体メモリを含む。また、プログラムは、様々なタイプの一時的なコンピュータ可読媒体を用いてコンピュータに供給されてもよい。一時的なコンピュータ可読媒体の例は、電気信号、光信号、及び電磁波を含む。一時的なコンピュータ可読媒体は、電線及び光ファイバなどの有線通信路、又は無線通信路を介して、プログラムをコンピュータに供給できる。
　ＲＡＭ５４０は、揮発性の記憶装置である。ＲＡＭ５４０には、ＤＲＡＭ（Dynamic Random Access Memory）又はＳＲＡＭ（Static Random Access Memory）などの各種半導体メモリデバイスが用いられる。ＲＡＭ５４０は、データなどを一時的に格納する内部バッファとして用いられ得る。ＣＰＵ５１０は、記憶部５２０又はＲＯＭ５３０に格納されたプログラムをＲＡＭ５４０に展開し、実行する。ＣＰＵ５１０がプログラムを実行することで、セキュリティリスク分析支援装置１００内の各部の機能が実現され得る。ＣＰＵ５１０は、データなどを一時的に格納できる内部バッファを有してもよい。
　以上、本開示の実施形態を詳細に説明したが、本開示は、上記した実施形態に限定されるものではなく、本開示の趣旨を逸脱しない範囲で上記実施形態に対して変更や修正を加えたものも、本開示に含まれる。
　例えば、上記の実施形態の一部又は全部は、以下の付記のようにも記載され得るが、以下には限られない。
　［付記１］
　分析対象のシステムに含まれる侵入口から攻撃ターゲットまでに経由する経路を示す攻撃経路であって、攻撃元と攻撃先と攻撃手法とを含む攻撃ステップを１以上含む攻撃経路の情報を含む攻撃経路情報を参照し、前記攻撃ステップに対して、該攻撃ステップにおいて前記攻撃先への攻撃に使用される脆弱性を特定する脆弱性特定手段と、
　前記脆弱性と、該脆弱性に対する攻撃実証コードの有無とを対応付けて記憶する脆弱性情報データベースを参照し、前記特定された脆弱性に対して攻撃実証コードが存在するか否かを調べ、前記攻撃ステップに対して、前記特定された脆弱性の数、及び前記攻撃実証コードの有無を含むリスク診断評価を生成する診断評価生成手段と、
　前記攻撃ステップと前記リスク診断評価とを対応付けて出力する出力手段とを備えるセキュリティリスク分析支援装置。
　［付記２］
　前記出力手段は、事業被害ベースのリスク分析シートに前記リスク診断評価を記入する欄が追加された分析シート、及びに資産ベースのリスク分析シート前記リスク診断評価を記入する欄が追加された分析シートの少なくとも一方に、前記リスク診断評価の内容を記載して出力する付記１に記載のセキュリティリスク分析支援装置。
　［付記３］
　前記診断評価生成手段は、前記特定された脆弱性のうち、前記攻撃実証コードが存在する脆弱性の数を、前記リスク診断評価に含める付記１又は２に記載のセキュリティリスク分析支援装置。
　［付記４］
　前記脆弱性特定手段は、前記攻撃ステップと、前記特定した脆弱性とを対応付けて攻撃概要データベースに記憶する付記１から３何れか１つに記載のセキュリティリスク分析支援装置。
　［付記５］
　前記脆弱性情報データベースは、前記脆弱性と、ユーザ関与の有無を示す情報とを対応付けて更に記憶しており、
　前記診断評価生成手段は、前記脆弱性情報データベースから、前記特定された脆弱性に対応して記憶されるユーザ関与の有無を示す情報を取得し、該取得したユーザ関与の有無を示す情報を更に含むリスク診断評価を生成する付記１から４何れか１つに記載のセキュリティリスク分析支援装置。
　［付記６］
　前記診断評価生成手段は、前記攻撃ステップの攻撃先及び攻撃手法が前記攻撃経路情報に何回出現するかをカウントし、前記攻撃先及び前記攻撃手法の出現回数を更に含むリスク診断評価を生成する付記１から５何れか１つに記載のセキュリティリスク分析支援装置。
　［付記７］
　前記脆弱性特定手段が特定した脆弱性のリストを表示する脆弱性リスト表示手段を更に有する付記１から６何れか１つに記載のセキュリティリスク分析支援装置。
　［付記８］
　前記脆弱性リスト表示手段は、ユーザが攻撃ステップを選択した場合、該選択した攻撃ステップに対して前記脆弱性特定手段が特定した脆弱性のリストを表示する付記７に記載のセキュリティリスク分析支援装置。
　［付記９］
　前記脆弱性リスト表示手段は、前記脆弱性の詳細情報へのリンクを前記脆弱性のリストに表示する付記７又は８に記載のセキュリティリスク分析支援装置。
　［付記１０］
　前記脆弱性特定手段は、前記攻撃手法と該攻撃手法で使用され得る脆弱性とを対応付けて記憶する攻撃手法データベースと、前記システムに含まれる資産について、該資産が有する脆弱性を記憶するシステム情報データベースと更に参照し、前記攻撃ステップにおいて前記攻撃先への攻撃に使用される脆弱性を特定する付記１から９何れか１つに記載のセキュリティリスク分析支援装置。
　［付記１１］
　前記攻撃経路情報が、前記攻撃元から前記攻撃先への攻撃に使用される脆弱性を更に含み、前記脆弱性特定手段は、前記攻撃経路情報から前記攻撃ステップにおいて前記攻撃先への攻撃に使用される脆弱性を取得する付記１から９何れか１つに記載のセキュリティリスク分析支援装置。
　［付記１２］
　前記脆弱性はソフトウェアの脆弱性とプロトコルの脆弱性とを含み、前記脆弱性情報データベースは、前記ソフトウェアの脆弱性に対して前記攻撃実証コードの有無を記憶し、前記診断評価生成手段は、前記特定された脆弱性が前記ソフトウェアの脆弱性である場合、前記特定された脆弱性の数、及び前記攻撃実証コードの有無を含むリスク診断評価を生成する付記１から１１何れか１つに記載のセキュリティリスク分析支援装置。
　［付記１３］
　前記脆弱性情報データベースは、更に、前記プロトコルの脆弱性と、暗号化の有無、ログインの有無、及びファイル転送の有無、及びアカウント情報の窃取の有無の少なくとも１つとを対応付けて記憶し、
　前記脆弱性と、該脆弱性に対する攻撃実証コードの有無とを対応付けて記憶する脆弱性情報データベースを参照し、前記特定された脆弱性に対して攻撃実証コードが存在するか否かを調べ、前記攻撃ステップに対して、前記特定された脆弱性の数、及び前記攻撃実証コードの有無を含むリスク診断評価を生成する診断評価生成手段と、前記診断評価生成手段は、前記特定された脆弱性が前記プロトコルの脆弱性である場合、暗号化の有無、ログインの有無、及びファイル転送の有無、及びアカウント情報の窃取の有無の少なくとも１つを含むリスク診断評価を更に生成する付記１２に記載のセキュリティリスク分析支援装置。
　［付記１４］
　分析対象のシステムに含まれる侵入口から攻撃ターゲットまでに経由する経路を示す攻撃経路であって、攻撃元と攻撃先と攻撃手法とを含む攻撃ステップを１以上含む攻撃経路の情報を含む攻撃経路情報を参照し、前記攻撃ステップに対して、該攻撃ステップにおいて前記攻撃先への攻撃に使用される脆弱性を特定し、
　前記脆弱性と、該脆弱性に対する攻撃実証コードの有無とを対応付けて記憶する脆弱性情報データベースを参照し、前記特定された脆弱性に対して攻撃実証コードが存在するか否かを調べ、前記攻撃ステップに対して、前記特定された脆弱性の数、及び前記攻撃実証コードの有無を含むリスク診断評価を生成し、
　前記攻撃ステップと前記リスク診断評価とを対応付けて出力するセキュリティリスク分析支援方法。
　［付記１５］
　分析対象のシステムに含まれる侵入口から攻撃ターゲットまでに経由する経路を示す攻撃経路であって、攻撃元と攻撃先と攻撃手法とを含む攻撃ステップを１以上含む攻撃経路の情報を含む攻撃経路情報を参照し、前記攻撃ステップに対して、該攻撃ステップにおいて前記攻撃先への攻撃に使用される脆弱性を特定し、
　前記脆弱性と、該脆弱性に対する攻撃実証コードの有無とを対応付けて記憶する脆弱性情報データベースを参照し、前記特定された脆弱性に対して攻撃実証コードが存在するか否かを調べ、前記攻撃ステップに対して、前記特定された脆弱性の数、及び前記攻撃実証コードの有無を含むリスク診断評価を生成し、
　前記攻撃ステップと前記リスク診断評価とを対応付けて出力する処理をコンピュータに実行させるためのプログラムを記憶する非一時的なコンピュータ可読媒体。
１０：セキュリティリスク分析支援装置
１１：脆弱性特定手段
１２：診断評価生成手段
１３：出力手段
２１：攻撃経路情報
２２：脆弱性情報データベース
１００：セキュリティリスク分析支援装置
１０１：攻撃経路収集部
１０２：脆弱性特定部
１０３：診断評価生成部
１０４：結果出力部
１０５：脆弱性リスト表示部
１１１：攻撃経路データベース
１１２：攻撃手法データベース
１１３：システム情報データベース
１１４：脆弱性情報データベース
１１５：攻撃概要データベース

Claims (15)

  1. 　分析対象のシステムに含まれる侵入口から攻撃ターゲットまでに経由する経路を示す攻撃経路であって、攻撃元と攻撃先と攻撃手法とを含む攻撃ステップを１以上含む攻撃経路の情報を含む攻撃経路情報を参照し、前記攻撃ステップに対して、該攻撃ステップにおいて前記攻撃先への攻撃に使用される脆弱性を特定する脆弱性特定手段と、
    　前記脆弱性と、該脆弱性に対する攻撃実証コードの有無とを対応付けて記憶する脆弱性情報データベースを参照し、前記特定された脆弱性に対して攻撃実証コードが存在するか否かを調べ、前記攻撃ステップに対して、前記特定された脆弱性の数、及び前記攻撃実証コードの有無を含むリスク診断評価を生成する診断評価生成手段と、
    　前記攻撃ステップと前記リスク診断評価とを対応付けて出力する出力手段とを備えるセキュリティリスク分析支援装置。
  2. 　前記出力手段は、事業被害ベースのリスク分析シートに前記リスク診断評価を記入する欄が追加された分析シート、及びに資産ベースのリスク分析シート前記リスク診断評価を記入する欄が追加された分析シートの少なくとも一方に、前記リスク診断評価の内容を記載して出力する請求項１に記載のセキュリティリスク分析支援装置。
  3. 　前記診断評価生成手段は、前記特定された脆弱性のうち、前記攻撃実証コードが存在する脆弱性の数を、前記リスク診断評価に含める請求項１又は２に記載のセキュリティリスク分析支援装置。
  4. 　前記脆弱性特定手段は、前記攻撃ステップと、前記特定した脆弱性とを対応付けて攻撃概要データベースに記憶する請求項１から３何れか１項に記載のセキュリティリスク分析支援装置。
  5. 　前記脆弱性情報データベースは、前記脆弱性と、ユーザ関与の有無を示す情報とを対応付けて更に記憶しており、
    　前記診断評価生成手段は、前記脆弱性情報データベースから、前記特定された脆弱性に対応して記憶されるユーザ関与の有無を示す情報を取得し、該取得したユーザ関与の有無を示す情報を更に含むリスク診断評価を生成する請求項１から４何れか１項に記載のセキュリティリスク分析支援装置。
  6. 　前記診断評価生成手段は、前記攻撃ステップの攻撃先及び攻撃手法が前記攻撃経路情報に何回出現するかをカウントし、前記攻撃先及び前記攻撃手法の出現回数を更に含むリスク診断評価を生成する請求項１から５何れか１項に記載のセキュリティリスク分析支援装置。
  7. 　前記脆弱性特定手段が特定した脆弱性のリストを表示する脆弱性リスト表示手段を更に有する請求項１から６何れか１項に記載のセキュリティリスク分析支援装置。
  8. 　前記脆弱性リスト表示手段は、ユーザが攻撃ステップを選択した場合、該選択した攻撃ステップに対して前記脆弱性特定手段が特定した脆弱性のリストを表示する請求項７に記載のセキュリティリスク分析支援装置。
  9. 　前記脆弱性リスト表示手段は、前記脆弱性の詳細情報へのリンクを前記脆弱性のリストに表示する請求項７又は８に記載のセキュリティリスク分析支援装置。
  10. 　前記脆弱性特定手段は、前記攻撃手法と該攻撃手法で使用され得る脆弱性とを対応付けて記憶する攻撃手法データベースと、前記システムに含まれる資産について、該資産が有する脆弱性を記憶するシステム情報データベースと更に参照し、前記攻撃ステップにおいて前記攻撃先への攻撃に使用される脆弱性を特定する請求項１から９何れか１項に記載のセキュリティリスク分析支援装置。
  11. 　前記攻撃経路情報が、前記攻撃元から前記攻撃先への攻撃に使用される脆弱性を更に含み、前記脆弱性特定手段は、前記攻撃経路情報から前記攻撃ステップにおいて前記攻撃先への攻撃に使用される脆弱性を取得する請求項１から９何れか１項に記載のセキュリティリスク分析支援装置。
  12. 　前記脆弱性はソフトウェアの脆弱性とプロトコルの脆弱性とを含み、前記脆弱性情報データベースは、前記ソフトウェアの脆弱性に対して前記攻撃実証コードの有無を記憶し、前記診断評価生成手段は、前記特定された脆弱性が前記ソフトウェアの脆弱性である場合、前記特定された脆弱性の数、及び前記攻撃実証コードの有無を含むリスク診断評価を生成する請求項１から１１何れか１項に記載のセキュリティリスク分析支援装置。
  13. 　前記脆弱性情報データベースは、更に、前記プロトコルの脆弱性と、暗号化の有無、ログインの有無、及びファイル転送の有無、及びアカウント情報の窃取の有無の少なくとも１つとを対応付けて記憶し、
    　前記脆弱性と、該脆弱性に対する攻撃実証コードの有無とを対応付けて記憶する脆弱性情報データベースを参照し、前記特定された脆弱性に対して攻撃実証コードが存在するか否かを調べ、前記攻撃ステップに対して、前記特定された脆弱性の数、及び前記攻撃実証コードの有無を含むリスク診断評価を生成する診断評価生成手段と、前記診断評価生成手段は、前記特定された脆弱性が前記プロトコルの脆弱性である場合、暗号化の有無、ログインの有無、及びファイル転送の有無、及びアカウント情報の窃取の有無の少なくとも１つを含むリスク診断評価を更に生成する請求項１２に記載のセキュリティリスク分析支援装置。
  14. 　分析対象のシステムに含まれる侵入口から攻撃ターゲットまでに経由する経路を示す攻撃経路であって、攻撃元と攻撃先と攻撃手法とを含む攻撃ステップを１以上含む攻撃経路の情報を含む攻撃経路情報を参照し、前記攻撃ステップに対して、該攻撃ステップにおいて前記攻撃先への攻撃に使用される脆弱性を特定し、
    　前記脆弱性と、該脆弱性に対する攻撃実証コードの有無とを対応付けて記憶する脆弱性情報データベースを参照し、前記特定された脆弱性に対して攻撃実証コードが存在するか否かを調べ、前記攻撃ステップに対して、前記特定された脆弱性の数、及び前記攻撃実証コードの有無を含むリスク診断評価を生成し、
    　前記攻撃ステップと前記リスク診断評価とを対応付けて出力するセキュリティリスク分析支援方法。
  15. 　分析対象のシステムに含まれる侵入口から攻撃ターゲットまでに経由する経路を示す攻撃経路であって、攻撃元と攻撃先と攻撃手法とを含む攻撃ステップを１以上含む攻撃経路の情報を含む攻撃経路情報を参照し、前記攻撃ステップに対して、該攻撃ステップにおいて前記攻撃先への攻撃に使用される脆弱性を特定し、
    　前記脆弱性と、該脆弱性に対する攻撃実証コードの有無とを対応付けて記憶する脆弱性情報データベースを参照し、前記特定された脆弱性に対して攻撃実証コードが存在するか否かを調べ、前記攻撃ステップに対して、前記特定された脆弱性の数、及び前記攻撃実証コードの有無を含むリスク診断評価を生成し、
    　前記攻撃ステップと前記リスク診断評価とを対応付けて出力する処理をコンピュータに実行させるためのプログラムを記憶する非一時的なコンピュータ可読媒体。


     
PCT/JP2019/038107 2019-09-27 2019-09-27 セキュリティリスク分析支援装置、方法、及びコンピュータ可読媒体 Ceased WO2021059471A1 (ja)

Priority Applications (3)

Application Number Priority Date Filing Date Title
JP2021548109A JP7384208B2 (ja) 2019-09-27 2019-09-27 セキュリティリスク分析支援装置、方法、及びプログラム
PCT/JP2019/038107 WO2021059471A1 (ja) 2019-09-27 2019-09-27 セキュリティリスク分析支援装置、方法、及びコンピュータ可読媒体
US17/762,491 US12314399B2 (en) 2019-09-27 2019-09-27 Security risk analysis assistance device, method, and computer-readable medium

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
PCT/JP2019/038107 WO2021059471A1 (ja) 2019-09-27 2019-09-27 セキュリティリスク分析支援装置、方法、及びコンピュータ可読媒体

Publications (1)

Publication Number Publication Date
WO2021059471A1 true WO2021059471A1 (ja) 2021-04-01

Family

ID=75164852

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/JP2019/038107 Ceased WO2021059471A1 (ja) 2019-09-27 2019-09-27 セキュリティリスク分析支援装置、方法、及びコンピュータ可読媒体

Country Status (3)

Country Link
US (1) US12314399B2 (ja)
JP (1) JP7384208B2 (ja)
WO (1) WO2021059471A1 (ja)

Cited By (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP7195384B1 (ja) 2021-07-14 2022-12-23 三菱電機株式会社 導入支援装置、導入支援方法及び導入支援プログラム
US20230163971A1 (en) * 2020-05-22 2023-05-25 Nec Corporation Presence proof system, presence proof method, and non-transitory computer readable medium
WO2024166288A1 (ja) * 2023-02-09 2024-08-15 日本電気株式会社 情報処理装置、リスク可視化方法、及びコンピュータ可読媒体

Families Citing this family (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20240256657A1 (en) * 2023-01-26 2024-08-01 Dell Products L.P. System and method for intrusion detection in modular systems
CN118656834B (zh) * 2024-07-02 2025-02-14 清科万道(北京)信息技术有限公司 一种漏洞检测的方法、电子设备及存储介质

Citations (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN102170431A (zh) * 2011-03-25 2011-08-31 中国电子科技集团公司第三十研究所 一种主机风险评估方法和装置
JP2016192176A (ja) * 2015-03-31 2016-11-10 株式会社日立製作所 セキュリティ対策支援装置およびセキュリティ対策支援方法

Family Cites Families (8)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
AU2002244083A1 (en) * 2001-01-31 2002-08-12 Timothy David Dodd Method and system for calculating risk in association with a security audit of a computer network
US6952779B1 (en) * 2002-10-01 2005-10-04 Gideon Cohen System and method for risk detection and analysis in a computer network
US8359650B2 (en) * 2002-10-01 2013-01-22 Skybox Secutiry Inc. System, method and computer readable medium for evaluating potential attacks of worms
EP2174252A1 (en) * 2007-07-31 2010-04-14 Sony Corporation Automatically protecting computer systems from attacks that exploit security vulnerabilities
JP5407637B2 (ja) 2009-07-28 2014-02-05 日本電気株式会社 対策候補生成システム、対策候補生成方法およびプログラム
US20110191854A1 (en) * 2010-01-29 2011-08-04 Anastasios Giakouminakis Methods and systems for testing and analyzing vulnerabilities of computing systems based on exploits of the vulnerabilities
JP6676480B2 (ja) 2016-06-13 2020-04-08 株式会社日立製作所 脆弱性リスク評価システム
JP6677623B2 (ja) 2016-11-08 2020-04-08 株式会社日立製作所 セキュリティ対策立案支援システムおよび方法

Patent Citations (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN102170431A (zh) * 2011-03-25 2011-08-31 中国电子科技集团公司第三十研究所 一种主机风险评估方法和装置
JP2016192176A (ja) * 2015-03-31 2016-11-10 株式会社日立製作所 セキュリティ対策支援装置およびセキュリティ対策支援方法

Non-Patent Citations (2)

* Cited by examiner, † Cited by third party
Title
5 November 2018 (2018-11-05), Retrieved from the Internet <URL:https://jpn.nec.com/rd/technologies/201804/index.html> [retrieved on 20191129] *
HARADA,TOSHIKI ET AL.,: "Provision of vulnerability information. Development of Web API 'AVIP'", T", HE 2009 SYMPOSIUM ON CRYPTOGRAPHY AND INFORMATION SECURITY (SCIS 2009), 20 January 2009 (2009-01-20), pages 1 - 6 *

Cited By (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20230163971A1 (en) * 2020-05-22 2023-05-25 Nec Corporation Presence proof system, presence proof method, and non-transitory computer readable medium
JP7195384B1 (ja) 2021-07-14 2022-12-23 三菱電機株式会社 導入支援装置、導入支援方法及び導入支援プログラム
JP2023012617A (ja) * 2021-07-14 2023-01-26 三菱電機株式会社 導入支援装置、導入支援方法及び導入支援プログラム
WO2024166288A1 (ja) * 2023-02-09 2024-08-15 日本電気株式会社 情報処理装置、リスク可視化方法、及びコンピュータ可読媒体

Also Published As

Publication number Publication date
US20220342999A1 (en) 2022-10-27
JPWO2021059471A1 (ja) 2021-04-01
JP7384208B2 (ja) 2023-11-21
US12314399B2 (en) 2025-05-27

Similar Documents

Publication Publication Date Title
US12500938B2 (en) Dynamic cybersecurity scoring and operational risk reduction assessment
US12250327B2 (en) Systems and methods for digital certificate security
US12301627B2 (en) Correlating network event anomalies using active and passive external reconnaissance to identify attack information
US11750659B2 (en) Cybersecurity profiling and rating using active and passive external reconnaissance
US12058177B2 (en) Cybersecurity risk analysis and anomaly detection using active and passive external reconnaissance
US20220210202A1 (en) Advanced cybersecurity threat mitigation using software supply chain analysis
US20220232040A1 (en) Advanced cybersecurity threat mitigation using software supply chain analysis
JP7384208B2 (ja) セキュリティリスク分析支援装置、方法、及びプログラム
US11477245B2 (en) Advanced detection of identity-based attacks to assure identity fidelity in information technology environments
US20230018096A1 (en) Analysis apparatus, analysis method, and non-transitory computer readable medium storing analysis program
JP2019519018A (ja) ネットワーク化コンピュータシステムアーキテクチャにおけるセキュリティリスクを低減させるための方法および装置
US20230113332A1 (en) Advanced detection of identity-based attacks to assure identity fidelity in information technology environments
JP7005936B2 (ja) 評価プログラム、評価方法および情報処理装置
JP7355118B2 (ja) リスク分析結果表示装置、方法、及びプログラム
He et al. Healthcare Security Incident Response Strategy‐A Proactive Incident Response (IR) Procedure
JP7586187B2 (ja) 攻撃シナリオ生成装置、リスク分析装置、方法、及びプログラム
JP7078562B2 (ja) 計算機システム、インシデントによる業務システムへの影響の分析方法、及び分析装置
JP2021114155A (ja) セキュリティ対策支援装置およびセキュリティ対策支援方法
WO2023175953A1 (ja) 情報処理装置、情報処理方法、及びコンピュータ読み取り可能な記録媒体
WO2021154460A1 (en) Cybersecurity profiling and rating using active and passive external reconnaissance
Mazareanu Advantages of using a dynamic risk management approach

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 19946862

Country of ref document: EP

Kind code of ref document: A1

ENP Entry into the national phase

Ref document number: 2021548109

Country of ref document: JP

Kind code of ref document: A

NENP Non-entry into the national phase

Ref country code: DE

122 Ep: pct application non-entry in european phase

Ref document number: 19946862

Country of ref document: EP

Kind code of ref document: A1

WWG Wipo information: grant in national office

Ref document number: 17762491

Country of ref document: US