安全信息管理系统及安全信息管理方法
【技术领域】
[0001]本发明涉及安全信息管理系统及安全信息管理方法。
【背景技术】
[0002]以往，在具有信息系统资产的组织中，为了使稳定的组织活动持续进行，信息系统资产的管理员(以下记述为系统管理员)收集并掌握与所属组织和管理对象的信息系统资产的关联性较高的安全信息，以便在发现重大的威胁时能够迅速应对。
[0003]关于这样的安全信息，由安全研究机构和安全运营商等通过因特网上的信息提供服务器等不断地公开新的信息。关于在因特网上公开的安全信息，例如公知有构成信息系统的软件和硬件的安全方面的缺陷、有关其对策方法的信息等。
[0004]例如作为收集/提供安全信息的方法，例如公知有关于安全信息中的脆弱性信息收集在因特网上的信息提供服务器中公开的脆弱性信息的方法(参照专利文献1)。在该方法中，通过进行基于所收集的多个脆弱性信息的参照关系等关系性的汇集、所汇集的脆弱性信息与系统管理员管理的信息系统资产的关联性的判定，系统管理员汇集并提供应该优先浏览的脆弱性信息。
[0005]【现有技术文献】
[0006]【专利文献】
[0007]【专利文献1】日本专利第4935399号公报
【发明内容】
[0008]发明要解决的问题
[0009]但是，在上述的收集/提供安全信息的方法中，对于脆弱性信息以外的安全信息不能判定关联性并提供给系统管理员。因此，存在如下问题:系统管理员有时不能容易地收集与作为参照基准的参照源安全信息之间的关联性较高的安全信息。
[0010]例如，在将某个安全信息作为参照源安全信息、并以该参照源安全信息中包含的关键词为线索使用在因特网上提供的检索引擎等进行收集的情况下，在系统管理员不具备有关安全的知识时，将不能选择恰当的关键词，不能收集关联性较高的安全信息。
[0011]另外，在以该参照源安全信息中包含的关键词为线索使用在因特网上提供的检索引擎等进行收集时，即使是系统管理员具备有关安全的知识的情况下，根据输入到检索引擎的关键词，也会以混合存在许多关联性较低的安全信息和安全信息以外的一般信息的状态，提示检索结果，判别关联性较高的安全信息需要许多功夫。
[0012]因此，本发明的目的在于，容易地收集与参照源安全信息之间的关联性较高的安全信息。
[0013]用于解决问题的手段
[0014]为了解决上述问题并达到目的，本发明的安全信息管理系统的特征在于具有:收集部，其收集有关安全的信息即安全信息；计算部，其参照按照每个属性存储有关所述安全的关键词的安全辞典，从作为比较与所述安全信息之间的关联性的基准的参照源安全信息中提取关键词，将该提取的关键词和由所述收集部收集的安全信息中包含的关键词进行比较，来计算所述参照源安全信息和所述安全信息之间的关联度；以及输出部，由所述计算部计算出的关联度越高的安全信息，越由该输出部优先输出。
[0015]另外，安全信息管理方法由安全信息管理装置执行，该安全信息管理方法的特征在于包括:收集步骤，收集有关安全的信息即安全信息；计算步骤，参照按照每个属性存储有关所述安全的关键词的安全辞典，从作为比较与所述安全信息之间的关联性的基准的参照源安全信息中提取关键词，将该提取的关键词和通过所述收集步骤收集的安全信息中包含的关键词进行比较，来计算所述参照源安全信息和所述安全信息之间的关联度；以及输出步骤，通过所述计算步骤计算出的关联度越高的安全信息，在该输出步骤中越优先输出。
[0016]发明效果
[0017]本发明公开的安全信息管理系统和安全信息管理方法能够容易收集与参照源安全信息之间的关联性较高的安全信息。
【附图说明】
[0018]图1是示出第一实施方式的安全信息管理系统的结构的一例的图。
[0019]图2是示出通过第一实施方式的安全辞典存储部的安全辞典而提取的信息的一例的图。
[0020]图3是示出通过第一实施方式的安全信息蓄积部存储的信息的一例的图。
[0021]图4是说明安全信息关联性计算部的脆弱性分数计算处理的一例的图。
[0022]图5是用于说明第一实施方式的安全信息管理装置的安全信息提供处理的流程的流程图。
[0023]图6是示出执行安全信息管理程序的计算机的图。
【具体实施方式】
[0024]下面，参照附图详细说明本发明的安全信息管理系统及安全信息管理方法的实施方式。另外，本发明不受该实施方式限定。
[0025][第一实施方式]
[0026]在以下的实施方式中顺序地说明第一实施方式的安全信息管理系统及安全信息管理方法的处理的流程，最后说明第一实施方式的效果。
[0027][系统的结构]
[0028]首先，说明应用第一实施方式的安全信息管理装置的安全信息管理系统100的结构的一例。图1是示出第一实施方式的安全信息管理系统的结构的一例的图。如图1所示，应用第一实施方式的安全信息管理装置10的安全信息管理系统100具有安全信息管理装置10、安全信息提供服务器20、和客户端终端30。并且，在安全信息管理系统100中，安全信息管理装置10和安全信息提供服务器20通过因特网40相连接。安全信息管理装置10通过输入输出接口部15与客户端终端30连接。
[0029]安全信息提供服务器20是公开安全信息的服务器。例如，安全信息提供服务器20公开构成信息系统的软件和硬件的安全方面的缺陷(例如，有时表述为“脆弱性”、“安全漏洞”等)、和有关其对策方法的文本信息(以下称为脆弱性信息)，作为安全信息。
[0030]另外，例如作为安全信息，安全信息提供服务器20公开上述的安全方面的缺陷的恶意使用技术(有时表述为“PoC(Pr00f of Cone印t:为观点提供证据)”、“利用(Exploit) ”等)、和有关其对策方法的文本信息。
[0031]此外，例如作为安全信息，安全信息提供服务器20公开使用上述的恶意使用技术生成的、以对第三者的信息系统产生危害为目的的恶性程序(有时表述为“(计算机)病毒”、“恶意软件”等)、和有关其对策方法的文本信息。
[0032]此外，例如作为安全信息，安全信息提供服务器20公开使用上述的恶性程序执行的、对其它组织的信息系统的攻击(有时表述为“标的型攻击”、“APT(Advanced PersistentThreat:尚持续性威胁)攻击”、“网站攻击”等)的新闻和事例相关的文本?目息。
[0033]客户端终端30是便于系统管理员使用安全信息管理系统100而使用的、搭载了标准的Web浏览器的PC等信息处理装置。另外，客户端终端30从安全信息管理装置10接收与参照源的安全信息的关联性较高的安全信息，并显示该安全信息。
[0034][安全信息管理装置的结构]
[0035]下面，说明图1所示的安全信息管理装置10的结构。如图1所示，安全信息管理装置10具有安全信息收集部11、安全信息蓄积部12、安全辞典存储部13、安全辞典管理部14、输入输出接口部15、和安全信息关联性计算部16。
[0036]安全信息收集部11收集有关安全的信息即安全信息。具体而言，安全信息收集部11以规定的时间间隔定期访问安全信息提供服务器20并取得安全信息。这些安全信息是作为HTML和PDF等一般的文档文件取得的。并且，安全信息收集部11将所取得的文件加工成规定的格式，赋予追加信息，存储在安全信息蓄积部12中。另外，安全信息收集部11在将所取得的文件加工成规定的格式时，参照安全辞典存储部13。
[0037]例如，安全信息收集部11提取文档文件的题目和正文，参照在安全辞典存储部13中存储的安全辞典，提取该题目和正文中包含的关键词。安全信息收集部11设定作为收集对象的安全信息提供服务器20的“URL列表”、系统管理员从每个安全信息提供服务器20以不同格式提供的安全信息中提取需要的“题目”和“正文”用的“剪切位置信息”、表示对安全信息提供服务器20进行收集的定时的“表示时刻和间隔的信息”，作为设定信息。安全信息收集部11根据这些设定信息进行动作。其中，“剪切位置信息”是按每个URL列表定义的信息。
[0038]例如，安全信息收集部11在利用设定信息指定的时刻，从利用URL列表指定的安全信息提供服务器20，取得记载了安全信息的HTML文件和PDF等文档文件。并且，安全信息收集部11根据“剪切位置