JP2006011552A - コンピュータウィルス情報収集装置、コンピュータウィルス情報収集方法、及びプログラム - Google Patents

Abstract

【課題】 ホストＯＳに影響を与えることなく、ゲストＯＳを囮としてコンピュータウィルスを捕捉しその情報を収集することにある。
【解決手段】 ホストＯＳ１１上で、ホストＯＳ１１とは論理的に遮断された環境であるゲストＯＳ１２が動作するコンピュータにより実現される。ゲストＯＳ１２による制御の下、ゲストＯＳ１２がコンピュータウィルスに感染したことを検知する検知部１３と、感染が検知されたコンピュータウィルスに関する情報(コンピュータウィルスの実行ファイルのハッシュ値や本体データ)をホストＯＳ１１に通知する通知部１４とが動作する。一方、ホストＯＳ１１による制御の下、ゲストＯＳ１２から通知されたコンピュータウィルスに関する情報を用いて所定の処理を行う処理部１５と、この処理の完了後にゲストＯＳ１２を感染前の状態に復旧する復旧部１６とが動作する。
【選択図】 図２

Description

本発明は、コンピュータウィルスに関する情報を収集するコンピュータウィルス情報収集装置等に関する。尚、本明細書において、コンピュータウィルスとは、平成１２年１２月２８日の通商産業省告示第９５２号「コンピュータウィルス対策基準」における定義に倣い、「第三者のプログラムやデータベースに対して意図的に何らかの被害を及ぼすように作られたプログラムであり、自己伝染機能、潜伏機能、発病機能の一つ以上有するもの」をいうものとする。

近年のインターネットの爆発的な普及に伴い、ネットワーク上に存在する脅威は無視できないものとなっている。そのようなネットワーク上の脅威として、コンピュータウィルスが挙げられる。コンピュータウィルスは、悪意のプログラマによって開発され、例えば、既知又は未知のソフトウェア上の欠陥を悪用することで他のコンピュータへと感染を拡大していくものである。現在、ソフトウェア上の欠陥が発見されてからコンピュータウィルスが開発されるまでの期間は短くなってきており、コンピュータウィルスの脅威は増大している。

かかる事情に鑑み、今日、コンピュータウィルスを検査する装置が多く提案されている(例えば、特許文献１参照。)。特許文献１では、ウィルス検査サーバで仮想ホストを実現し、実ホスト上で実現される検査処理部が、入力された被検査ファイルを仮想ホストで実行させ、その動作結果を監視し、この監視結果に基づいて被検査ファイルがウィルスに感染しているかどうかを判断している。

特開２００４−０３８２７３号公報(第５−８頁、第１−４図)

しかしながら、特許文献１のような検査方法には、次のような問題点があった。
第一に、特許文献１では、仮想ホストを、コンピュータウィルスの挙動を安全に監視するための環境として捉え、実ホスト上で実現される検査処理部が、そのような仮想ホストで被検査ファイルを実行しているに過ぎないので、実ホストから隔離された仮想ホストを囮としてコンピュータウィルスを捕捉しその情報を収集することはできないという問題点である。
第二に、特許文献１では、実ホスト上で実現される検査処理部が、仮想ホストの動作結果を監視しているので、監視対象に制限が出て来てしまうという問題点である。即ち、ダイナミックヒューリスティック検査として可能なのは、(１)メール送信の監視によりウィルスを検知する方法、(２)ファイルの改ざんの監視によりウィルスを検知する方法等であり、実ホストから把握できない、仮想ホスト上のファイルの作成、設定の変更等については、検査することができない。

本発明は、以上のような技術的課題を解決するためになされたものであって、その目的は、実オペレーティングシステム(実ホスト)に影響を与えることなく、仮想オペレーティングシステム(仮想ホスト)を囮としてコンピュータウィルスを捕捉しその情報を収集することにある。
また、本発明の他の目的は、仮想オペレーティングシステム上で実オペレーティングシステムからは把握できない変化を生じさせるコンピュータウィルスについても検知できるようにすることにある。

かかる目的のもと、本発明は、実オペレーティングシステムから論理的に遮断された環境である仮想オペレーティングシステムを囮としてコンピュータウィルスを捕捉しその情報を収集するようにしている。即ち、本発明のコンピュータウィルス情報収集装置は、実オペレーティングシステム上に仮想オペレーティングシステムが構築されたコンピュータにおいて、仮想オペレーティングシステム上で動作し、仮想オペレーティングシステムがコンピュータウィルスに感染したことを検知する検知部と、仮想オペレーティングシステム上で動作し、検知部により感染が検知されたコンピュータウィルスに関する情報を実オペレーティングシステムに通知する通知部と、実オペレーティングシステム上で動作し、通知部により通知されたコンピュータウィルスに関する情報を用いて所定の処理を行う処理部とを備えている。

また、本発明は、仮想オペレーティングシステム上で実オペレーティングシステムからは把握できない変化を生じさせるコンピュータウィルスについても検知できるような構成としている。即ち、検知部は、仮想オペレーティングシステム上でのファイルの追加、又は、仮想オペレーティングシステム上での設定の変更を検出することにより、仮想オペレーティングシステムがコンピュータウィルスに感染したことを検知することとしている。

更に、本発明は、コンピュータウィルスに関する情報を収集する方法として捉えることもできる。その場合、本発明のコンピュータウィルス情報収集方法は、実オペレーティングシステム上に、実オペレーティングシステムとは論理的に遮断された環境である仮想オペレーティングシステムが構築されたコンピュータを用いて、仮想オペレーティングシステムが感染したコンピュータウィルスに関する情報を収集する方法であって、仮想オペレーティングシステムによる制御の下で、コンピュータウィルスの実行ファイルのハッシュ値を算出するステップと、算出したハッシュ値を、仮想オペレーティングシステムから実オペレーティングシステムへ通知するステップと、実オペレーティングシステムによる制御の下で、通知されたハッシュ値が、予めデータベースに登録された複数のコンピュータウィルスの実行ファイルのハッシュ値の中に存在するかどうかを判定するステップと、通知されたハッシュ値がデータベースに登録されたハッシュ値の中に存在しない場合に、仮想オペレーティングシステムが感染したコンピュータウィルスの実行ファイルの本体データを、仮想オペレーティングシステムから実オペレーティングシステムへ送付するステップとを含んでいる。

一方、本発明は、仮想オペレーティングシステム上での所定の機能をコンピュータに実現させるためのコンピュータプログラムとして捉えることもできる。その場合、プログラムが実行されるコンピュータは、実オペレーティングシステム上に、実オペレーティングシステムとは論理的に遮断された環境である仮想オペレーティングシステムが構築されたコンピュータであり、また、実行されるプログラムは、仮想オペレーティングシステム上の機能であって、仮想オペレーティングシステムがコンピュータウィルスに感染したことを検知する機能と、仮想オペレーティングシステム上の機能であって、感染が検知されたコンピュータウィルスの実行ファイルのハッシュ値を実オペレーティングシステムに通知する機能と、仮想オペレーティングシステム上の機能であって、感染が検知されたコンピュータウィルスの実行ファイルの本体データを、実オペレーティングシステムから要求があった場合に実オペレーティングシステムに送付する機能とをコンピュータに実現させるものである。

また、本発明は、実オペレーティングシステム上での所定の機能をコンピュータに実現させるためのコンピュータプログラムとして捉えることもできる。その場合、プログラムが実行されるコンピュータは、実オペレーティングシステム上に、実オペレーティングシステムとは論理的に遮断された環境である仮想オペレーティングシステムが構築されたコンピュータであり、また、実行されるプログラムは、実オペレーティングシステム上の機能であって、仮想オペレーティングシステムから通知されたコンピュータウィルスの実行ファイルのハッシュ値が、予めデータベースに登録された複数のコンピュータウィルスの実行ファイルのハッシュ値の中に存在するかどうかを判定する機能と、実オペレーティングシステム上の機能であって、通知されたハッシュ値がデータベースに登録されたハッシュ値の中に存在しない場合に、仮想オペレーティングシステムが感染したコンピュータウィルスの実行ファイルの本体データの送付を、仮想オペレーティングシステムに要求する機能と、実オペレーティングシステム上の機能であって、仮想オペレーティングシステムから送付されたコンピュータウィルスの実行ファイルの本体データを保存する機能とをコンピュータに実現させるものである。

本発明によれば、実オペレーティングシステムに影響を与えることなく、仮想オペレーティングシステムを囮としてコンピュータウィルスを捕捉しその情報を収集することが可能になる。

以下、添付図面を参照して、本発明を実施するための最良の形態(以下、「実施の形態」という)について詳細に説明する。
図１は、本実施の形態が適用されるコンピュータシステムの構成を示した図である。このコンピュータシステムは、本発明のコンピュータウィルス情報収集装置１０と、利用者端末２１〜２ｎとが、コンピュータネットワーク３０を介して接続することにより構成されている。

コンピュータウィルス情報収集装置１０は、コンピュータネットワーク３０に接続されたコンピュータに対し、本発明のコンピュータウィルス情報収集機能を設けたものである。具体的なハードウェア構成は、通常のコンピュータと同様であり、中央処理装置(ＣＰＵ)、主記憶装置、外部記憶装置(例えば、磁気ディスク装置)、通信制御装置等を有している。

利用者端末２１〜２ｎは、コンピュータウィルス情報収集装置１０との間でコンピュータネットワーク３０を介して通信可能な端末である。例えば、パーソナルコンピュータ、ＰＤＡ(Personal Digital Assistance)、携帯電話等の情報端末機器によって実現される。具体的なハードウェア構成は、通常の情報端末機器と同様であり、中央処理装置(ＣＰＵ)、主記憶装置、外部記憶装置(例えば、磁気ディスク装置)、通信制御装置等を有している。
尚、利用者端末２１〜２ｎのいずれかが、コンピュータウィルスに感染することも考えられ、その感染した利用者端末からコンピュータウィルス情報収集装置１０へコンピュータウィルスが送り込まれることにより、本実施の形態の動作が開始することもある。
一方、コンピュータネットワーク３０は、例えば、インターネットである。

次に、本実施の形態におけるコンピュータウィルス情報収集装置１０のソフトウェア構成について説明する。
本実施の形態では、図２に示すように、コンピュータウィルス情報収集装置１０において、実オペレーティングシステム(以下、「ホストＯＳ」という)１１上で、仮想オペレーティングシステム(以下、「ゲストＯＳ」という)１２を動作させる。即ち、コンピュータウィルスの感染対象となる囮サーバをゲストＯＳ１２上に構築し、ゲストＯＳ１２上で動作するコンピュータウィルスの情報をホストＯＳ１１に記録する。尚、このようなゲストＯＳ１２上のサーバの構築は、例えば、ＶＭｗａｒｅ(登録商標)等の既存ソフトウェアを用いることにより実現可能である。このように構築されたゲストＯＳ１２はホストＯＳ１１からは論理的に遮断された環境であるため、ゲストＯＳ１２が感染したコンピュータウィルスによってホストＯＳ１１が影響を受けることはない。

ところで、コンピュータウィルスは、サーバコンピュータ(商用のサーバコンピュータ等)に感染する場合と、クライアントコンピュータ(一般ユーザのＰＣ等)に感染する場合とがある。従って、本実施の形態では、ゲストＯＳ１２を、サーバコンピュータを模倣した囮として構成する場合と、クライアントコンピュータを模倣した囮として構成する場合とがあるものとする。また、囮として模倣する環境は、広く用いられているプログラムであって、ある程度の脆弱性があるためにコンピュータウィルスに狙われ易いプログラムを稼動させておくものとする。

また、本実施の形態では、ゲストＯＳ１２上で、検知部１３と、通知部１４とが機能し、ホストＯＳ１１上で、処理部１５と、復旧部１６とが機能する。
検知部１３は、ゲストＯＳ１２がコンピュータウィルスに感染したことを検知する機能であり、通知部１４は、感染が検知されたコンピュータウィルスに関する情報をホストＯＳ１１に通知する機能である。一方、処理部１５は、ゲストＯＳ１２から通知されたコンピュータウィルスに関する情報を用いて所定の処理を行う機能である。ここで、所定の処理には、後述するように、ゲストＯＳ１２で検知されたコンピュータウィルスの実行ファイルのハッシュ値とハッシュ値データベース(以下、「ハッシュ値ＤＢ」という)に登録された既知のコンピュータウィルスの実行ファイルのハッシュ値との比較処理、コンピュータウィルスの感染状況を管理する管理情報の更新処理、コンピュータウィルスの感染を所定の報知先に報知する報知処理等がある。また、復旧部１６は、処理部１５による処理の完了後にゲストＯＳ１２を感染前の状態に復旧する機能である。

尚、本来的には、検知部１３及び通知部１４は、ゲストＯＳ１２による制御の下で動作するプログラムであり、処理部１５及び復旧部１６は、ホストＯＳ１１による制御の下で動作するプログラムである。プログラムは、コンピュータウィルス情報収集装置１０の図示しない外部記憶装置に対し、出荷時に記憶されたものでもよいし、出荷後に記録媒体からロードされ、又は、ネットワークからダウンロードされ記憶されたものであってもよい。そして、コンピュータウィルス情報収集装置１０の図示しないＣＰＵがこれらのプログラムを主記憶装置に読み込んで実行する。但し、このような実行状態においては、これらの各部は、プログラムとしてではなく、コンピュータウィルス情報収集装置１０の所定の機能として捉えることができる。

ここで、処理部１５にて用いられるハッシュ値ＤＢについて説明しておく。
図３に、ハッシュ値ＤＢの記憶内容の一例を示す。ここでは、コンピュータウィルス「Ａ」、「Ｂ」、「Ｃ」について、ハッシュ値が記憶されている。これらのコンピュータウィルスは、既知のコンピュータウィルスであり、そのバイナリデータを既に解析済みのものであるとする。尚、ここでいうハッシュ値とは、コンピュータウィルスの実行ファイルのバイナリデータにハッシュ関数を施して得られる値のことである。ハッシュ関数の代表的なものには、「ＳＨＡ−１」、「ＭＤ５」等がある。このうち、前者は、２の６４乗ビット以下のデータから１６０ビットのハッシュ値を生成するアルゴリズムであり、後者は、任意のビット長のデータから１２８ビットのハッシュ値を生成するアルゴリズムである。

次に、かかる構成を有するコンピュータウィルス情報収集装置１０の動作について詳細に説明する。
図４は、ゲストＯＳ１２上で動作する検知部１３及び通知部１４の動作を示すフローチャートであり、図５は、ホストＯＳ１１上で動作する処理部１５及び復旧部１６の動作を示すフローチャートである。
まず、図４に示すように、ゲストＯＳ１２がコンピュータウィルスに感染したことを検知部１３が検知する(ステップ１０１)。

尚、ここでのコンピュータウィルスに感染したことの検知は、例えば、ゲストＯＳ１２上のファイルの作成や設定の変更等を検出することによって行われる。
具体的には、コンピュータウィルスに感染した場合に起こり得ることが経験的に判明しているファイルの作成や設定の変更のパターンを定義しておき、ファイルが作成された場合や設定が変更された場合に、この定義されたパターンと照合することにより、コンピュータウィルスに感染したのかどうかを判断することができる。尚、ファイルの作成のパターンは、例えば、作成されるファイルのパス、ファイル名、サイズ等によって定義され、設定の変更のパターンは、例えば、設定項目、設定値等によって定義される。
但し、かかる検知方法は、コンピュータウィルスの実行ファイルが電子メールに添付されて届けられる場合を想定していない。コンピュータウィルスの実行ファイルが電子メールに添付されて届けられた場合の検知も可能とするためには、電子メールの添付ファイルをゲストＯＳ１２上で自動実行するよう設定しておき、その自動実行後のゲストＯＳ１２上の変更を監視する等の処理が必要になる。

次に、通知部１４が、コンピュータウィルスの実行ファイルのハッシュ値を算出し(ステップ１０２)、そのハッシュ値をホストＯＳ１１に伝える(ステップ１０３)。
尚、ここでのコンピュータウィルスの実行ファイルの特定は、次のように行うことができる。即ち、ファイルが新たに作成された場合であれば、その新たに作成されたファイルがコンピュータウィルスの実行ファイルであると考えることができる。また、システムの設定が変更された場合であれば、そのシステムの設定において新たに指定されたファイルがコンピュータウィルスの実行ファイルであると考えることができる。例えば、システムが起動される度にあるプログラムが自動実行されるような設定になっているのであれば、その自動実行されるプログラムがコンピュータウィルスの実行ファイルである。

これにより、ホストＯＳ１１上では、図５に示す動作が開始される。
即ち、まず、処理部１５が、コンピュータウィルスの実行ファイルのハッシュ値をゲストＯＳ１２から取得し(ステップ２０１)、ハッシュ値ＤＢに記憶されたハッシュ値と比較する(ステップ２０２)。その結果、ハッシュ値ＤＢに記憶されたハッシュ値の中に、ゲストＯＳ１２から取得したハッシュ値と一致するものがあれば(ステップ２０３でＹｅｓ)、そのハッシュ値に対応するコンピュータウィルスの種類を特定する(ステップ２０４)。一方、ハッシュ値ＤＢに記憶されたハッシュ値の中に、ゲストＯＳ１２から取得したハッシュ値と一致するものがなければ(ステップ２０３でＮｏ)、コンピュータウィルスの実行ファイルの本体データ(バイナリデータ)を送付するよう、ゲストＯＳ１２に要求する(ステップ２０５)。

これに対するゲストＯＳ１２上の動作を再び図４に戻って説明すると、通知部１４は、コンピュータウィルスの実行ファイルの本体データの送付が要求されたかどうか判定し(ステップ１０４)、本体データの送付が要求されなければ、そのまま処理は終了するが、ここでは、本体データの送付が要求されたので、本体データをホストＯＳ１１に送付する(ステップ１０５)。
これにより、ホストＯＳ１１上では、処理部１５が、コンピュータウィルスの実行ファイルの本体データ(バイナリデータ)を取得し(ステップ２０６)、所定の記憶領域に保存する(ステップ２０７)。

尚、コンピュータウィルスによる被害の拡大を最小限に抑えるためには、コンピュータウィルスがインターネット上に出回り始めた初期の段階でその検体を収集し、解析することが望まれる。これによりコンピュータウィルスへの対策、復旧手段を明らかにすることができ、更には、ＩＤＳ(侵入検知システム)のための検知用シグネチャの作成も可能となるからである。そこで、本実施の形態では、ハッシュ値ＤＢにハッシュ値が登録されていないコンピュータウィルス、つまり、未知のコンピュータウィルスについては、その検体を収集することとしているのである。

さて、その後、ホストＯＳ１１では、図５に示すような処理が行われる。
即ち、処理部１５は、コンピュータウィルスの感染状況を管理する管理情報を更新する(ステップ２０８)。この場合、例えば、ステップ２０４で特定されたコンピュータウィルスの種類に対する管理情報を、又は、ステップ２０３でＮｏと判定された場合であれば、未知のコンピュータウィルスに対する管理情報を更新することができる。かかる管理情報の例を、図６−１(ａ)に示す。図６−１(ａ)では、時期ごと、コンピュータウィルスの種類ごとに感染数を計測している。ここでは、ハッシュ値ＤＢに登録されていたコンピュータウィルス「Ａ」、「Ｂ」、「Ｃ」と、未登録であったコンピュータウィルス(未知のコンピュータウィルス)とについて、その感染数を計測している。
尚、この管理情報は、ある時点において、例えば、図６−１(ｂ)や図６−２(ｃ)に示すようなグラフとして出力することも可能である。

また、ゲストＯＳ１２がコンピュータウィルスに感染したことを、処理部１５は、所定の電子メールアドレス、ポケットベル、システムに接続された外部デバイス等に報知する(ステップ２０９)。
そして、これらのコンピュータウィルスの解析に必要な処理が完了すると、復旧部１６は、ゲストＯＳ１２の再起動を行う(ステップ２１０)。例えば、ゲストＯＳ１２を実現するファイルを感染前の状態に戻す処理を行う。ゲストＯＳ１２は、ソフトウェアによって構築された仮想的な環境であるため、容易にコンピュータウィルス感染前の状態へと復旧することが可能である。

以上述べてきたように、本実施の形態では、ゲストＯＳ１２がコンピュータウィルスに感染した場合におけるコンピュータウィルスに関する情報のホストＯＳ１１への通知を、ゲストＯＳ１２上で動作するプログラムにより行う構成を採用した。かかる構成により、ホストＯＳ１１にはコンピュータウィルスの影響を与えることなく、ゲストＯＳ１２を囮としてコンピュータウィルスを捕捉しその情報を収集できるようになっている。
また、ゲストＯＳ１２がコンピュータウィルスに感染したことの検知を、ゲストＯＳ１２上で動作するプログラムにより行う構成を採用した。かかる構成により、ホストＯＳ１１が把握できないゲストＯＳ１２上の変更に基づく感染の検知も行えるようになっている。

更に、ゲストＯＳ１２が未知のコンピュータウィルスに感染した場合は解析のためにその検体を収集することになるが、最初はコンピュータウィルスの実行ファイルのハッシュ値を通知し、その後、そのコンピュータウィルスが未知のものであることが判明してから実行ファイルの本体データを送付するようにした。これにより、ゲストＯＳ１２とホストＯＳ１１との間で無駄な情報の交換を行うことなく、効率的にコンピュータウィルスに関する情報の収集を行うことができるようになっている。

本実施の形態が適用されるコンピュータシステムの全体構成を示したブロック図である。 本実施の形態のコンピュータウィルス情報収集装置のソフトウェア構成を示した図である。 本実施の形態におけるハッシュ値ＤＢの記憶内容の一例を示した図である。 本実施の形態におけるゲストＯＳ上のプログラムの動作を示したフローチャートである。 本実施の形態におけるホストＯＳ上のプログラムの動作を示したフローチャートである。 本実施の形態における管理情報及びそのグラフを示した図である。 本実施の形態における管理情報のグラフを示した図である。

符号の説明

１０…コンピュータウィルス情報収集装置、１１…ホストＯＳ、１２…ゲストＯＳ、１３…検知部、１４…通知部、１５…処理部、１６…復旧部

Claims (10)

1. 実オペレーティングシステム上に、当該実オペレーティングシステムとは論理的に遮断された環境である仮想オペレーティングシステムが構築されたコンピュータにおいて、
   前記仮想オペレーティングシステム上で動作し、当該仮想オペレーティングシステムがコンピュータウィルスに感染したことを検知する検知部と、
   前記仮想オペレーティングシステム上で動作し、前記検知部により感染が検知された前記コンピュータウィルスに関する情報を前記実オペレーティングシステムに通知する通知部と、
   前記実オペレーティングシステム上で動作し、前記通知部により通知された前記コンピュータウィルスに関する情報を用いて所定の処理を行う処理部と
   を備えたことを特徴とするコンピュータウィルス情報収集装置。
2. 前記検知部は、前記仮想オペレーティングシステム上でのファイルの追加、又は、当該仮想オペレーティングシステム上での設定の変更を検出することにより、当該仮想オペレーティングシステムが前記コンピュータウィルスに感染したことを検知することを特徴とする請求項１記載のコンピュータウィルス情報収集装置。
3. 前記通知部は、前記コンピュータウィルスに関する情報として、当該コンピュータウィルスの実行ファイルのハッシュ値を通知し、
   前記処理部は、前記通知部により通知された前記ハッシュ値を、既知のコンピュータウィルスの実行ファイルのハッシュ値と比較することにより、感染が検知された前記コンピュータウィルスが前記既知のコンピュータウィルスであるかどうかを判定することを特徴とする請求項１記載のコンピュータウィルス情報収集装置。
4. 前記通知部は、前記コンピュータウィルスに関する情報として、当該コンピュータウィルスの実行ファイルの本体データを通知し、
   前記処理部は、前記通知部により通知された前記本体データを保存することを特徴とする請求項１記載のコンピュータウィルス情報収集装置。
5. 前記通知部は、前記コンピュータウィルスに関する情報として、当該コンピュータウィルスの実行ファイルのハッシュ値を通知し、その後、前記処理部から要求された場合に、当該コンピュータウィルスの実行ファイルの本体データを通知し、
   前記処理部は、前記通知部により通知された前記ハッシュ値が、予め登録された複数のコンピュータウィルスの実行ファイルのハッシュ値の中に存在しない場合に、当該通知部に対し、感染が検知された前記コンピュータウィルスの実行ファイルの本体データの通知を要求することを特徴とする請求項１記載のコンピュータウィルス情報収集装置。
6. 前記処理部は、前記コンピュータウィルスの感染状況を管理する管理情報を更新し、又は、当該コンピュータウィルスの感染を所定の報知先に報知することを特徴とする請求項１記載のコンピュータウィルス情報収集装置。
7. 前記処理部による処理の完了後、前記仮想オペレーティングシステムを、前記コンピュータウィルスに感染する前の状態に復旧する復旧部を更に備えたことを特徴とする請求項１記載のコンピュータウィルス情報収集装置。
8. 実オペレーティングシステム上に、当該実オペレーティングシステムとは論理的に遮断された環境である仮想オペレーティングシステムが構築されたコンピュータを用いて、当該仮想オペレーティングシステムが感染したコンピュータウィルスに関する情報を収集するコンピュータウィルス情報収集方法であって、
   前記仮想オペレーティングシステムによる制御の下で、前記コンピュータウィルスの実行ファイルのハッシュ値を算出するステップと、
   算出したハッシュ値を、前記仮想オペレーティングシステムから前記実オペレーティングシステムへ通知するステップと、
   前記実オペレーティングシステムによる制御の下で、通知された前記ハッシュ値が、予めデータベースに登録された複数のコンピュータウィルスの実行ファイルのハッシュ値の中に存在するかどうかを判定するステップと、
   前記通知されたハッシュ値が前記データベースに登録されたハッシュ値の中に存在しない場合に、前記仮想オペレーティングシステムが感染した前記コンピュータウィルスの実行ファイルの本体データを、当該仮想オペレーティングシステムから前記実オペレーティングシステムへ送付するステップと
   を含むことを特徴とするコンピュータウィルス情報収集方法。
9. 実オペレーティングシステム上に、当該実オペレーティングシステムとは論理的に遮断された環境である仮想オペレーティングシステムが構築されたコンピュータに、
   前記仮想オペレーティングシステム上の機能であって、当該仮想オペレーティングシステムがコンピュータウィルスに感染したことを検知する機能と、
   前記仮想オペレーティングシステム上の機能であって、感染が検知された前記コンピュータウィルスの実行ファイルのハッシュ値を前記実オペレーティングシステムに通知する機能と、
   前記仮想オペレーティングシステム上の機能であって、感染が検知された前記コンピュータウィルスの実行ファイルの本体データを、前記実オペレーティングシステムから要求があった場合に当該実オペレーティングシステムに送付する機能と
   を実現させるためのプログラム。
10. 実オペレーティングシステム上に、当該実オペレーティングシステムとは論理的に遮断された環境である仮想オペレーティングシステムが構築されたコンピュータに、
    前記実オペレーティングシステム上の機能であって、前記仮想オペレーティングシステムから通知されたコンピュータウィルスの実行ファイルのハッシュ値が、予めデータベースに登録された複数のコンピュータウィルスの実行ファイルのハッシュ値の中に存在するかどうかを判定する機能と、
    前記実オペレーティングシステム上の機能であって、前記通知されたハッシュ値が前記データベースに登録されたハッシュ値の中に存在しない場合に、前記仮想オペレーティングシステムが感染した前記コンピュータウィルスの実行ファイルの本体データの送付を、当該仮想オペレーティングシステムに要求する機能と、
    前記実オペレーティングシステム上の機能であって、前記仮想オペレーティングシステムから送付された前記コンピュータウィルスの実行ファイルの本体データを保存する機能と
    を実現させるためのプログラム。

Images