研究課題
昨年度，開発した脆弱性を分析するためのモデリングツールと，モデル上での脆弱性を発見するための検査ツールを統合し，対策コストとダメージの予測を行うツールを構築した．モデル上の情報の流れを本研究ではアセットフローと呼ぶ．複数の異なるアセットフローがある脆弱性が発生する原因となる場合があり，それぞれのアセットフローの長さや複雑さは異なる．この原因となるアセットフロー群の長さの違い，フロー途中の要素の違いに着目し，対策コストの優先度付けを行った．単にフロー長の比較を行うだけでは，どの原因が重大かを判断し難い．そこで，複数のフローを可視化する機能をモデリングツールに付与した．昨年度までのモデリングツールはアセットフローの始点と終点のみが可視化されていた．今年度の研究によって，フローのパス全体の可視化と，異なるフローを比較して可視化することが可能となった．計画時点では初年度に完成予定であったオントロジに基づく用語統一を行うツールも完成することができた．OWASP等のセキュリティデータベースに用いられている技術用語と仕様書に用いられる対象業務寄りの用語には大きなギャップが存在する．例えば，仕様書では「顧客名簿を登録し検索可能とする」等の業務寄りの表現が当然用いられる．一方，OWASPでは「SQLのクエリについて・・・」等の技術用語で構成された文書がほとんどである．これらのギャップを埋めるため，技術用語-一般用語対応表を収集し，想定するアーキテクチャ毎に対応表を洗練する手法とツールを開発した．本研究で開発した手法とツールを，大学における在学生，卒業生の個人情報管理のためのウエブアプリケーションにおけるセキュリティ要求分析に適用し，セキュリティ専門家が発見する脅威を非専門家でも発見できることを確認した．
すべて 2014 2013 2012
すべて 雑誌論文 (6件) (うち査読あり 6件) 学会発表 (4件)
電子情報通信学会論文誌
巻: J97-D, 3 ページ: 414-426
巻: J96-D, 11 ページ: 2646-2656
International Journal of Secure Software Engineering (IJSSE), IGI Global
巻: Vol.4, Issue3 ページ: 42-63
10.4018/jsse.2013070103
SpringerPlus
巻: Vol.2, Issue1, No.310 ページ: 1-14
10.1186/2193-1801-2-310
International Journal of Software Engineering and Knowledge Engineering (IJSEKE). World Scientific Publishing
巻: Vol.23, No.05 ページ: 695-720
10.1142/S0218194013500174
IEICE Transactions on Information and Systems
巻: Vol.E95-D, No.4 ページ: 1031-1043
10.1587/transinf.E95.D.1012
