特許ウォッチ

公開番号2025177300
公報種別公開特許公報(A)
公開日2025-12-05
出願番号2024083977
出願日2024-05-23
発明の名称脆弱性対策管理システム、及び脆弱性対策管理方法
出願人株式会社日立製作所
代理人弁理士法人一色国際特許事務所
主分類G06F 21/57 20130101AFI20251128BHJP(計算;計数)
要約【課題】ソフトウェアの依存関係や個々の構成要素の脆弱性に対する対応状況を考慮しつつ、ソフトウェアの脆弱性に対する対策を効率よく適切に管理する。
【解決手段】脆弱性対策管理システムは、プロセッサと記憶装置を有する一つ以上の情報処理装置を用いて構成され、ソフトウェアの実行環境に適用されているソフトウェアの構成情報と、ソフトウェアの構成要素の脆弱性に関する情報である脆弱性情報と、を随時取得し、脆弱性情報に基づき構成要素の脆弱性を検出し、ソフトウェアの構成要素の間の依存関係を示す情報を取得し、構成要素の一つである第1構成要素の脆弱性に対する対策を、第1構成要素と依存関係を有する他の構成要素である第2構成要素の脆弱性に対する対策の状況に応じて決定し、決定した対策を示す情報を生成する。
【選択図】図2
特許請求の範囲【請求項１】
ソフトウェアの脆弱性に対する対策を管理する情報処理システムであり、
プロセッサと記憶装置を有する一つ以上の情報処理装置を用いて構成され、
ソフトウェアの実行環境に適用されているソフトウェアの構成情報と、
前記ソフトウェアの構成要素の脆弱性に関する情報である脆弱性情報と、
を随時取得し、
前記脆弱性情報に基づき前記構成要素の脆弱性を検出し、
前記ソフトウェアの構成要素の間の依存関係を示す情報を取得し、
前記構成要素の一つである第１構成要素の脆弱性に対する対策を、前記第１構成要素と依存関係を有する他の前記構成要素である第２構成要素の前記脆弱性に対する対策の状況に応じて決定し、
決定した前記対策を示す情報を生成する、
脆弱性対策管理システム。
続きを表示（約 2,100 文字）【請求項２】
請求項１に記載の脆弱性対策管理システムであって、
前記第２構成要素について前記脆弱性に対する対策が決定されていない場合に、前記第１構成要素の対策として、前記脆弱性に対する前記第２構成要素についての対策が決定されるまで待機することを決定する、
脆弱性対策管理システム。
【請求項３】
請求項１に記載の脆弱性対策管理システムであって、
前記第２構成要素について前記脆弱性に対する対策が決定されている場合に、前記第２構成要素について前記脆弱性について対策するための更新要否を示す情報を取得し、
前記情報が更新要である場合、
前記第２構成要素について前記脆弱性について対策するためのソフトウェアを入手可能であれば、前記第１構成要素の前記対策として、前記第２構成要素を当該ソフトウェアにより更新することを決定し
前記第２構成要素について前記脆弱性について対策するための前記ソフトウェアを入手可能でなければ、前記第１構成要素の前記対策として、前記第１構成要素について前記脆弱性について対策するためのソフトウェアの提供を待機することを決定する、
脆弱性対策管理システム。
【請求項４】
請求項３に記載の脆弱性対策管理システムであって、
前記第２構成要素について前記脆弱性について対策するための更新要否を示す前記情報が更新不要である場合、
前記第１構成要素の前記脆弱性について対策するためのソフトウェアの入手状況に応じて、前記第１構成要素の前記脆弱性に対する対策を決定する、
脆弱性対策管理システム。
【請求項５】
請求項４に記載の脆弱性対策管理システムであって、
前記第１構成要素について前記脆弱性について対策するためのソフトウェアを入手可能であれば、前記第１構成要素の前記対策として、前記第１構成要素を前記ソフトウェアにより更新することを決定し、
前記第１構成要素について前記脆弱性について対策するためのソフトウェアを入手可能でなければ、前記第１構成要素の前記対策として、前記ソフトウェアの提供を待機することを決定する、
脆弱性対策管理システム。
【請求項６】
請求項１に記載の脆弱性対策管理システムであって、
前記構成要素の前記脆弱性について対策するためのソフトウェアの入手可否又は入手可能性を示す情報を取得し、
前記構成要素が他の前記構成要素との間に依存関係を有しない場合、前記ソフトウェアの入手可否又は前記入手可能性に応じて、前記第１構成要素の前記対策を決定する、
脆弱性対策管理システム。
【請求項７】
請求項６に記載の脆弱性対策管理システムであって、
前記第１構成要素の前記脆弱性について対策するためのソフトウェアを入手可能であれば、前記第１構成要素の前記対策として、前記第１構成要素を前記ソフトウェアにより更新することを決定し、
前記第１構成要素の前記脆弱性について対策するためのソフトウェアを入手可能でなければ、前記第１構成要素の前記対策として、前記第１構成要素の他のソフトウェアへの代替を検討することを決定する、
脆弱性対策管理システム。
【請求項８】
請求項１に記載の脆弱性対策管理システムであって、
過去に検出した前記構成要素の脆弱性を示す情報、及び、前記構成要素の前記依存関係を示す情報を記憶し、
最新に取得した前記脆弱性情報に基づき検出した前記構成要素の脆弱性が既出であった場合、過去に検出した前記第１構成要素と前記第２構成要素の依存関係に基づき前記第１構成要素の脆弱性に対する対策を決定する、
脆弱性対策管理システム。
【請求項９】
請求項１に記載の脆弱性対策管理システムであって、
前記対策ごとにユーザに通知するメッセージを記憶し、
決定した前記対策に対応する前記メッセージをユーザインタフェースを介してユーザに通知する、
脆弱性対策管理システム。
【請求項１０】
脆弱性対策管理方法であって、
プロセッサと記憶装置を有する一つ以上の情報処理装置が、
ソフトウェアの実行環境に適用されているソフトウェアの構成情報と、
前記ソフトウェアの構成要素の脆弱性に関する情報である脆弱性情報と、
を随時取得するステップ、
前記脆弱性情報に基づき前記構成要素の脆弱性を検出するステップ、
前記ソフトウェアの構成要素の間の依存関係を示す情報を取得するステップ、
前記構成要素の一つである第１構成要素の脆弱性に対する対策を、前記第１構成要素と依存関係を有する他の前記構成要素である第２構成要素の前記脆弱性に対する対策の状況に応じて決定するステップ、及び、
決定した前記対策を示す情報を生成するステップ、
を実行する、脆弱性対策管理方法。
（【請求項１１】以降は省略されています）
発明の詳細な説明【技術分野】
【０００１】
本発明は、脆弱性対策管理システム、及び脆弱性対策管理方法に関する。
続きを表示（約 1,800 文字）【背景技術】
【０００２】
ソフトウェアを活用した製品やサービスの安全や安心を担保するには、ソフトウェアの脆弱性の管理が必須である。ソフトウェアの脆弱性の管理に関し、例えば、特許文献１には、数の異なる製品に実装されるソフトウェアの脆弱性について迅速かつ的確に対応すること等を目的として構成された脆弱性管理システムについて記載されている。脆弱性管理システムは、対象製品の所定の構成情報を収集して構成情報として記憶し、公開又は発見された所定の脆弱性情報を収集して記憶し、構成情報及び脆弱性情報に基づき脆弱性の影響調査を行うべき対象製品を抽出し、抽出した対象製品に実装されているソフトウェアの脆弱性についての影響調査を実行し、影響調査の結果を示すレポート情報を生成し、所定のタイミングで所定の送信先に送信する。
【先行技術文献】
【特許文献】
【０００３】
特開２０２０－２１３０９号公報
【発明の概要】
【発明が解決しようとする課題】
【０００４】
近年、ソフトウェアサプライチェーンの複雑化、オープンソースソフトウェア（ＯＳＳ（Open Source Software））の利用の一般化等に伴い、脆弱性が検出された場合にソフトウェアの構成要素のいずれの範囲に影響が及ぶのかを判断することが困難になってきている。
【０００５】
また、ソフトウェアの異なる構成要素が依存関係（包含関係、階層構造等）を有する場合、包含する側（又は上位）のソフトウェア（以下、「プライマリ」と称する。）の脆弱性については脆弱性の管理や対策がなされているが、包含される側（又は下位）のソフトウェア（以下、「セカンダリ」と称する。）については脆弱性の管理や対策が適切になされていないことがある。
【０００６】
また、ソフトウェアの脆弱性に関する情報は日々更新されるが、重大な影響が生じるものから影響の少ないものまで、脆弱性ごとにその影響の度合いは様々である。このため、ソフトウェアの運用現場では、対策の必要性の判断や、対策の緊急性の判断に膨大なコストを要している。
【０００７】
また、ソフトウェアの構成要素のうち、ＯＳＳのように他者から提供されるソフトウェアについては、提供元（サプライヤ）による脆弱性に対する対策（バージョンアップ等）の状況を随時把握し、脆弱性について対策するためのソフトウェア（以下、「対策版」と称する。）の提供を待機するか、又は対策版の取得を断念して脆弱性について対策することが可能な他のソフトウェアへの代替の検討を行うかといった様々な対応方法を迅速に検討する必要があり、ソフトウェアの運用現場においては、そのための情報収集や判断のために多くの負担が生じている。
【０００８】
ここで特許文献１では、脆弱性管理システムが影響調査の結果を示すレポート情報を用いて開発担当者が脆弱性に対する対応要否（対応有無）を判断するようにしている。しかし同文献には、ソフトウェアの依存関係や随時更新される脆弱性に対する対策の状況等を考慮しつつ、脆弱性に対する対応方法の検討を支援する仕組みについては記載されていない。
【０００９】
本発明は、このような背景に鑑みてなされたもので、ソフトウェアの依存関係や個々の構成要素の脆弱性に対する対応状況を考慮しつつ、ソフトウェアの脆弱性に対する対策を効率よく適切に管理することが可能な、脆弱性対策管理システム、及び脆弱性対策管理方法を提供することを目的とする。
【課題を解決するための手段】
【００１０】
上記目的を達成するための本発明の一つは、ソフトウェアの脆弱性に対する対策を管理する情報処理システムであり、プロセッサと記憶装置を有する一つ以上の情報処理装置を用いて構成され、ソフトウェアの実行環境に適用されているソフトウェアの構成情報と、前記ソフトウェアの構成要素の脆弱性に関する情報である脆弱性情報と、を随時取得し、前記脆弱性情報に基づき前記構成要素の脆弱性を検出し、前記ソフトウェアの構成要素の間の依存関係を示す情報を取得し、前記構成要素の一つである第１構成要素の脆弱性に対する対策を、前記第１構成要素と依存関係を有する他の前記構成要素である第２構成要素の前記脆弱性に対する対策の状況に応じて決定し、決定した前記対策を示す情報を生成する。
（【００１１】以降は省略されています）

関連特許