JP2006146600A - 動作監視サーバ、端末装置及び動作監視システム - Google Patents

Abstract

【課題】ソフトウェアのソースプログラムの流用を防ぎ、動作監視サーバ主導で端末装置におけるソフトウェアの動作を監視可能とする。
【解決手段】動作監視サーバ１０は、端末装置６０におけるソフトウェアの実行履歴を端末装置６０に要求する実行履歴要求部４１と、ソフトウェアの正常動作を表した動作モデルを用いて、端末装置６０から取得した実行履歴を解析し、端末装置６０の動作が正常動作と乖離しているか否かの判定を行う実行履歴解析部４２とを備える。
【選択図】図１

Description

本発明は、端末装置におけるソフトウェアの動作を監視する動作監視サーバ、その動作監視サーバによる監視を受ける端末装置及び動作監視システムに関する。

パーソナルコンピュータやワークステーション、サーバ、ルータ、携帯電話、携帯情報端末（ＰＤＡ）等、様々な端末装置は、装置外部や装置内部からの攻撃にさらされている。代表的な攻撃に、端末装置上で実行されるソフトウェアの脆弱性を踏み台にしたものがある。具体的には、攻撃者はソフトウェアの脆弱性を利用した悪意のあるプログラムコードを端末装置に送信し、実行中のソフトウェアウェアの制御を奪い、そのソフトウェアに与えられた権限を利用して不正操作を行う。

ソフトウェアの脆弱性を踏み台にした攻撃に対する対策として、実行中のソフトウェアの異常を検知する技術が提案されている（例えば、非特許文献１、非特許文献２参照）。非特許文献１には、端末装置自身が、ソフトウェアのソースプログラムを取得し、静的解析を行い、ソフトウェアの正常な動作を表すモデルを予め作成しておくことにより、異常動作を検知する技術が提案されている。非特許文献２には、端末装置自身が、攻撃から隔離された環境下でソフトウェアを動作させ、モデルを学習する技術が提案されている。

又、ネットワークサービスを提供するサーバ上で動作するソフトウェアが生成するログ情報を、管理用ホストが遠隔監視する方法も提案されている（例えば、特許文献１参照）。具体的には、サーバ自身がログを常に監視して変化を検出し、変化分を管理用ホストに送信する。管理用ホストは、ネットワークサービス管理者により事前に与えられたログ解析ポリシーからログ解析用プログラムを生成し、ログ情報を解析する。これによれば、ネットワークサービスの管理者はプログラムを生成する必要がなく、ログ情報を常に監視する必要がないため、管理負担が軽減されるメリットが得られる。
Wagner, Dean, "Intrusion Detection via Static Analysis", IEEE Symposium on Security and Privacy, 2001 H.Feng, et al. "A sense of self for Unix（登録商標） processes", IEEE Symposium on Security and Privacy, 1996 特開2000−47912号公報

しかしながら、非特許文献１に記載された技術では、端末装置がソフトウェアのソースプログラムを予め取得し、モデルを生成しておく必要があった。よって、ソフトウェア提供者がソースプログラムを多数の端末装置に開示する必要があり、ソフトウェアの不正な流用を引き起こしてしまう場合があった。又、ソフトウェア提供者自身がソースプログラムからモデルを生成し、多数の端末装置に提供することによっても、ソフトウェアの不正な流用を引き起こしてしまう場合があった。又、このような不正流用を防ぐためにソフトウェア提供者がソースプログラムやソースプログラムから生成したモデルの開示を拒否した場合にはこの技術を使用することはできなかった。

又、非特許文献２に記載された技術では、攻撃から隔離された環境下でモデルを学習することが重要であるが、各端末装置が攻撃から隔離された環境を保証すること自体が困難であった。

更に、特許文献１に記載された技術では、サーバが常にログを監視しなければならず、サーバの処理負荷が増大するおそれがあった。又、サーバ主導で変化分が管理用ホストに送信されるため、多数のサーバから情報が管理用ホストに送信されると、管理用ホストの処理が追いつかなくなったり、サービス妨害攻撃（DoS攻撃）を受けてしまったりするおそれがあった。

そこで、本発明は、ソフトウェアのソースプログラムの流用を防ぎ、動作監視サーバ主導で端末装置におけるソフトウェアの動作を監視可能とすることを目的とする。

本発明に係る動作監視サーバは、端末装置におけるソフトウェアの実行履歴を端末装置に要求する実行履歴要求部と、ソフトウェアの正常動作を表した動作モデルを用いて、端末装置から取得した実行履歴を解析し、端末装置の動作が正常動作と乖離しているか否かの判定を行う実行履歴解析部とを備えることを特徴とする。

このような動作監視サーバによれば、動作監視サーバが主導となって、端末装置に実行履歴を要求し、それに応じて端末装置から実行履歴を取得できる。又、動作監視サーバが、動作モデルを用いて実行履歴を解析し、正常動作からの乖離の有無を判定できる。そのため、多数の端末装置にソースプログラムやソースプログラムから生成した動作モデルを開示する必要がない。よって、動作監視サーバは、ソフトウェアのソースプログラムの流用を防ぐことができる。

更に、動作監視サーバは、ソフトウェアを実行するソフトウェア実行部と、ソフトウェア実行部による実行履歴に基づいて動作モデルを生成する動作モデル生成部を備え、実行履歴解析部は、動作モデル生成部により生成された動作モデルを用いて判定を行うことが好ましい。動作監視サーバは、自らソフトウェアを実行することにより得られた実行履歴に基づいて動作モデルを生成できる。そのため、ソフトウェア提供者は動作監視サーバに対してもソースプログラムやソースプログラムから生成した動作モデルを開示する必要がなく、ソフトウェアのソースプログラムの流用をより確実に防止できる。しかも、少なくとも動作監視サーバについてだけ安全な環境を保証できれば、動作モデルを適切に生成できる。よって、動作監視サーバは、信頼性の高い監視を実現できる。

動作モデル生成部は、端末装置の動作環境又は処理能力の少なくとも１つに基づいて動作モデルを生成することが好ましい。これによれば、動作監視サーバは、ソフトウェアを実行する各端末装置の動作環境や処理能力を考慮して、各端末装置に適した動作モデルを生成できる。そのため、動作監視サーバは、判定精度を向上でき、信頼性の高い監視を実現できる。

動作モデル生成部は、実行履歴解析部による判定結果に基づいて動作モデルを生成することが好ましい。これによれば、動作監視サーバは、各端末装置の判定結果に対応して、各端末装置に適した動作モデルを動的に生成できる。そのため、動作監視サーバは、各端末装置のその時の状況に応じて精度の高い判定を行うことができ、信頼性の高い監視を実現できる。

又、実行履歴要求部は、監視対象の実行履歴を要求し、実行履歴解析部は、監視対象の実行履歴を解析し、判定を行うことが好ましい。これによれば、必要な実行履歴だけが端末装置から動作監視サーバに送信され、必要な実行履歴についてだけ解析を行うことができる。そのため、不必要な情報が送受信されることによる情報漏洩の危険を低減でき、不必要な実行履歴の解析を防止して動作監視サーバの監視処理の負荷を低減でき、端末装置から送信される実行履歴のデータ量を抑え、ネットワーク負荷を低減できる。

監視対象の実行履歴は、データへのアクセスの履歴であることが好ましい。これによれば、動作監視サーバは、重要なデータへのアクセスに関する解析を行うことができ、必要最低限の安全性を確保した低負荷の動作監視ができる。

更に、実行履歴解析部は、判定結果に基づいて、端末装置におけるソフトウェアに関連する動作を制御する指示を生成し、端末装置に提供することが好ましい。これによれば、動作監視サーバは、動作の監視だけでなく、異常動作が検出された場合に、異常な動作が継続されることを防止できる。

本発明に係る端末装置は、ソフトウェアの実行履歴が蓄積される実行履歴蓄積部と、実行履歴蓄積部に実行履歴を記録する実行履歴記録部と、端末装置におけるソフトウェアの動作を監視する動作監視サーバからの要求に従って、実行履歴蓄積部から実行履歴を抽出し、動作監視サーバに提供する実行履歴提供部とを備えることを特徴とする。

このような端末装置によれば、動作監視サーバからの要求に応じて、端末装置におけるソフトウェアの実行履歴を動作監視サーバに提供できる。よって、端末装置は、自身で動作監視を行う必要がなく、要求がない間は実行履歴の提供を行わないようにできる。よって、ソフトウェアのソースプログラムの流用を防ぎ、動作監視サーバ主導で端末装置におけるソフトウェアの動作を監視することができる。

実行履歴提供部は、実行履歴と共に端末装置の動作環境又は処理能力の少なくとも１つを動作監視サーバに提供することが好ましい。これによれば、端末装置は、動作監視サーバにソフトウェアを実行する動作環境や端末装置の処理能力を考慮した判定を行ってもらうことができ、信頼性の高い監視を受けることができる。

本発明に係る動作監視システムは、端末装置におけるソフトウェアの実行履歴を端末装置に要求し、ソフトウェアの正常動作を表した動作モデルを用いて端末装置から取得した実行履歴を解析し、端末装置の動作が正常動作と乖離しているか否かの判定を行う動作監視サーバと、動作監視サーバからの要求に従って、実行履歴を動作監視サーバに提供する端末装置とを備えることを特徴とする。

以上説明したように、本発明によれば、ソフトウェアのソースプログラムの流用を防ぐことができ、動作監視サーバ主導で端末装置におけるソフトウェアの動作を監視することができる。

（動作監視システム）
図１に示すように、動作監視システム１は、動作監視サーバ１０と、複数の端末装置６０と、ソフトウェア提供サーバ９０と、ネットワーク２とを備える。動作監視サーバ１０は、複数の端末装置６０におけるソフトウェアの動作を監視する。図１では、動作監視サーバ１０は、端末装置６０における監視対象ソフトウェア１００の動作を監視する。

ソフトウェア提供サーバ９０は、端末装置６０にインストールされ、利用され、動作監視サーバ１０によって動作が監視される監視対象ソフトウェア１００を生成し、端末装置６０と動作監視サーバ１０に提供する。ソフトウェア提供サーバ９０は、動作監視サーバ１０や端末装置６０にネットワーク２を介して、監視対象ソフトウェア１００を提供する。

動作監視サーバ１０と、複数の端末装置６０と、ソフトウェア提供サーバ９０とは、ネットワーク２を介して接続されている。又、動作監視サーバ１０と端末装置６０とは、ＮＴＰ（Network Time Protocol）等の時刻同期をとるプロトコルを用いて同期をとることができる。

（動作監視サーバ）
動作監視サーバ１０は、動作モデル生成処理部２０と、動作監視処理部４０と、動作モデル蓄積部５０と、複数の端末エミュレータ３０とを備える。

端末エミュレータ３０は、端末装置６０の動作環境や処理能力と同様の動作環境や処理能力を備える。即ち、端末エミュレータ３０は、端末装置６０と同様にしてソフトウェアを実行できる。例えば、端末エミュレータ３０は、端末装置６０が持つオペレーティングシステム（ＯＳ）や監視対象ソフトウェア１００以外のソフトウェア（動作環境）や、端末装置６０と同一のＣＰＵや同容量の記憶領域（処理能力）等を備える。

このように端末エミュレータ３０は、端末装置６０の動作環境や処理能力を模倣したものであり、端末装置６０と同様の動作環境や処理能力でソフトウェアを実行できる。端末エミュレータ３０は、端末装置６０の種類に応じて複数用意されており、該当する端末装置６０を識別する端末装置６０の端末識別子が付与されている。

動作モデル蓄積部５０は、動作モデルが蓄積される。動作モデルは、監視対象ソフトウェア１００の正常動作を表したものである。

動作モデル生成処理部２０は、動作モデルの生成に関する処理を行う。動作モデル生成処理部２０は、ソフトウェア実行部２１と、動作モデル生成部２２とを備える。

ソフトウェア実行部２１は、監視対象ソフトウェア１００を実行する。ソフトウェア実行部２１は、端末エミュレータ３０を用いて監視対象ソフトウェア１００を実行する。これにより、ソフトウェア実行部２１は、監視対象ソフトウェア１００を端末装置６０上で動作させた場合と等しい実行履歴を得ることができる。即ち、ソフトウェア実行部２１は、端末エミュレータ３０を用いて、模擬的に端末装置６０と同様の処理能力で監視対象ソフトウェア１００を実行する。以下、ソフトウェア実行部２１による監視対象ソフトウェア１００の実行履歴を「実行試験履歴」という。

ソフトウェア実行部２１は、端末装置６０からネットワーク２を介して監視要求１４０を受信する。又、ソフトウェア実行部２１は、ネットワーク２を介してソフトウェア提供サーバ９０から監視対象ソフトウェア１００を受信する。監視要求１４０には、監視対象ソフトウェア１００を識別するソフトウェア識別子と、端末識別子が含まれている。そのため、ソフトウェア実行部２１は、監視要求１４０で指定されたソフトウェア識別子の監視対象ソフトウェア１００の実行を、監視要求１４０で指定された端末識別子の端末装置６０に対応する端末エミュレータ３０に実行させる。

ソフトウェア実行部２１は、得られた実行試験履歴を動作モデル生成部２２に入力する。このとき、ソフトウェア実行部２１は、端末エミュレータ３０に付与されている端末識別子と対応付けて実行試験履歴を入力する。

図２に実行試験履歴の一例を示す。図２には、オペレーティングシステム（ＯＳ）としてＵＮＩＸ（登録商標）を用いた場合のstrace出力を示す。straceを用いた場合、実行環境下で発生したシステムコールと引数が、発生した順序で出力される。

動作モデル生成部２２は、ソフトウェア実行部２１による実行履歴、即ち、実行試験履歴に基づいて動作モデルを生成する。動作モデル生成部２２は、ソフトウェア実行部２１から実行試験履歴を取得する。動作モデル生成部２２は、取得した実行試験履歴に基づいて、監視対象ソフトウェア１００の正常動作を示す動作モデルを生成する。

例えば、図２に示す実行試験履歴を取得した場合、動作モデル生成部２２は、実行試験履歴からシステムコールとそのシステムコールの引数の発生状態を抽出する。そして、動作モデル生成部２２は、システムコール毎に発生した引数を全て列挙した動作モデルを生成できる。

更に、動作モデル生成部２２は、実行試験履歴を統計的に分析して動作モデルを生成してもよい。即ち、動作モデル生成部２２は、実行試験履歴に関する統計をとり、動作モデルを生成してもよい。具体的には、動作モデル生成部２２は、実行試験履歴に対して主成分分析等の統計分析を行い、実行試験履歴の中から動作監視に適した情報のみを抽出して動作モデルを生成することができる。例えば、動作モデル生成部２２は、実行試験履歴から各システムコールとその引数の発生パターンを統計的に分析する。そして、動作モデル生成部２２は、システムコール毎に呼ばれる頻度の高い引数を列挙し、動作モデルとすることができる。又、動作モデル生成部２２は、あるシステムコールにおいて、どの引数も予め定めた閾値を超えない場合には、相関性がないシステムコールであると判断し、動作モデルには加えないといった制限を行うこともできる。

又、動作モデル生成部２２は、監視対象の実行履歴に関する動作モデルだけを生成してもよい。例えば、動作モデル生成部２２は、監視対象履歴と監視対象外履歴とを識別する対象履歴識別情報１１０に基づいて、生成すべき動作モデルを決定できる。この場合、動作モデル生成部２２は、ソフトウェア実行部２１から取得した実行試験履歴の中から、対象履歴識別情報１１０に基づいて、監視対象の実行履歴に対応するものだけを抽出し、動作モデルを生成できる。

監視対象の実行履歴としては、データへのアクセスの履歴等を設定できる。データへのアクセスは、データそのものへのアクセスや、データが格納されている記憶領域へのアクセス等がある。これによれば、動作監視サーバ１０は、重要なデータへのアクセスに関する解析を行うことができ、必要最低限の安全性を確保した低負荷の動作監視ができる。

尚、データへのアクセスの履歴には、例えば、システムコールの履歴等があり、データへのシステムコールそのものだけでなく、その引数と強い相関関係を持つシステムコールも監視対象とできる。これによれば、監視対象ソフトウェア１００からオペレーティングシステムに対してシステムコールを生成する際の実行履歴を解析することができるため、動作監視サーバ１０における監視動作におけるオーバーヘッドを低減できる。又、監視対象を引数と強い相関関係を持つシステムコールに限定した場合には、監視動作におけるオーバーヘッドを更に低減できる。しかも、動作監視サーバ１０は、システムコールの引数も合わせて解析することができるため、システムコールの引数を巧みに用いて無動作（ヌルオペレーション）化する擬似アタックを困難にすることが可能となる。

監視対象の実行履歴は、監視対象ソフトウェア１００の特徴等に応じて設定できる。例えば、パスワードファイルや個人情報等、重要なデータへアクセスするソフトウェアの場合には、より詳細な監視をするために、重要なデータやそのデータを記憶している記憶領域へのシステムコールや、そのシステムコールを中心とした前後のシステムコール等を監視対象に設定できる。又、監視対象の実行履歴として、書き込みに関する処理、読み込みに関する処理等を設定してもよい。

よって、例えば、動作モデル生成部２２は、対象履歴識別情報１１０に基づいて、実行試験履歴から、重要なデータへのアクセス及びその前後のシステムコールの列を抽出し、これらを主成分とする動作モデルを生成できる。動作モデル生成部２２は、例えば、システムコールの識別子や、データや記憶領域の識別子、読み込みや書き込み等の処理内容の識別子等を用いて記述した動作モデルを生成できる。

又、動作モデル生成部２２は、動作モデルの詳細レベルを定めたモデル化ポリシーに基づいて動作モデルを生成できる。具体的には、詳細レベルとして、動作を詳細に規定した動作モデルを生成するのか、動作を粗く規定した動作モデルを生成するかを設定したモデル化ポリシーを定めておくことができる。

監視対象の実行履歴やモデル化ポリシーは、例えば、ソフトウェア提供サーバ９０を運営するソフトウェア提供者や、動作監視サーバ１０を運営するソフトウェア動作監視者等によって監視対象ソフトウェア１００に基づいて予め決定しておくことができる。そして、監視対象の実行履歴を示す対象履歴識別情報１１０を、動作監視サーバ１０に予め設定しておいたり、外部から入力したりできる。

動作モデル生成部２２は、ソフトウェア実行部２１から複数の端末エミュレータ３０からの実行試験結果を取得する。動作モデル生成部２２は、各端末エミュレータ３０の実行試験結果に基づいて、端末装置６０毎の動作モデルを生成する。各端末エミュレータ３０の実行試験結果は、端末装置６０の動作環境や処理能力を反映させたものとなっている。そのため、動作モデル生成部２２は、各端末エミュレータ３０の実行試験結果に基づいて動作モデルを生成することにより、各端末装置の動作環境や処理能力に基づいて動作モデルを生成できる。

尚、端末エミュレータ３０として単独の端末装置６０に対応したものを用意し、その実行試験結果と、端末装置６０から取得した動作環境や処理能力に基づいて、動作モデルを生成しても構わない。動作モデル生成部２２は、生成した動作モデルを、端末識別子と対応付けて動作モデル蓄積部５０に格納する。これによれば、動作監視サーバ１０は、ソフトウェアを実行する各端末装置６０の動作環境や処理能力を考慮して、各端末装置６０に適した動作モデルを生成できる。そのため、動作監視サーバ１０は、判定精度を向上でき、信頼性の高い監視を実現できる。

動作監視処理部４０は、端末装置６０における監視対象ソフトウェアの動作監視に関する処理を行う。動作監視処理部４０は、実行履歴要求部４１と、実行履歴解析部４２とを備える。

実行履歴要求部４１は、端末装置６０における監視対象ソフトウェア１００の実行履歴を要求する。実行履歴要求部４１は、実行履歴を要求する実行履歴情報要求１２０を生成し、ネットワーク２を介して端末装置６０に送信することにより、端末装置６０に実行履歴を要求できる。実行履歴要求部４１は、必要な実行履歴を指定した実行履歴情報要求１２０を生成してもよく、単に実行履歴を要求する実行履歴情報要求１２０を生成ししてもよい。

実行履歴要求部４１は、例えば、対象履歴識別情報１１０に基づいて、必要な実行履歴を指定した実行履歴情報要求１２０を生成できる。又、実行履歴要求部４１は、自ら要求する実行履歴を決定してもよい。例えば、実行履歴要求部４１は、動作モデル蓄積部５０を参照して動作モデルに基づいて監視対象ソフトウェア１００の動作を監視する上で必要となる実行履歴を決定することができる。そして、実行履歴要求部４１は、決定した実行履歴を指定した実行履歴情報要求１２０を生成できる。

実行履歴要求部４１は、監視対象の実行履歴を自ら決定する場合、監視対象ソフトウェア１００の特徴に応じて決定できる。例えば、パスワードファイルや個人情報など重要なデータへアクセスするソフトウェアの場合には、より詳細な監視をするために、重要なデータやそのデータを記憶している記憶領域へのシステムコールや、そのシステムコールを中心とした前後のシステムコール等を監視対象に決定できる。又、監視対象の実行履歴として、書き込みに関する処理、読み込みに関する処理等を決定してもよい。あるいは、実行履歴要求部４１は、監視要求１４０で指定された端末識別子に基づいて、端末装置６０毎に適した監視対象の実行履歴を決定するようにしてもよい。

実行履歴要求部４１は、例えば、動作モデルに記述されているシステムコールの識別子、重要なデータの識別子、重要なデータへアクセスするシステムコールを中心としたシステムコール列の長さ等を記述することにより、実行履歴情報要求１２０を生成できる。あるいは、実行履歴要求部４１は、書き込みのシステムコール全てといった指定を記述して実行履歴情報要求１２０を生成できる。これにより、実行履歴要求部４１は、端末装置６０における実行履歴のうち、実行履歴情報要求１２０に記述されたシステムコールに関する実行履歴等を、監視対象の実行履歴として要求できる。

又、実行履歴要求部４１は、実行履歴と共に端末装置６０の動作環境や処理能力を要求してもよい。この場合、実行履歴要求部４１は、必要な動作環境や処理能力に関する情報の指定を含む実行履歴情報要求１２０を生成すればよい。

実行履歴解析部４２は、監視対象ソフトウェア１００の正常動作を表した動作モデルを用いて、端末装置６０から取得した実行履歴を解析し、端末装置６０の動作が正常動作と乖離しているか否かの判定（以下「乖離判定」という）を行う。

実行履歴解析部４２は、実行履歴情報要求１２０に応じて端末装置６０から送信された実行履歴情報１３０を、ネットワーク２を介して受信する。実行履歴解析部４２は、受信した実行履歴情報１３０から実行履歴と端末識別子を取得する。又、実行履歴解析部４２は、実行履歴情報１３０に端末装置６０の動作環境や処理能力が含まれる場合、動作環境や処理能力も取得できる。

実行履歴解析部４２は、動作モデル蓄積部５０から、実行履歴情報１３０を受信した端末装置６０の端末識別子と対応付けられている動作モデルを取得する。これにより、実行履歴解析部４２は、動作モデル生成部２２により生成された動作モデルを用いて乖離判定を行うことができる。

まず、実行履歴解析部４２は、取得した実行履歴を統計的に解析し、動作モデルと比較を行う。即ち、実行履歴解析部４２は、実行履歴に関する統計をとり、動作モデルと比較して解析を行う。例えば、実行履歴解析部４２は、システムコール毎にその引数を統計的に解析する。実行履歴解析部４２は、引数の頻度が動作モデルに比較して高いか否か、即ち、システムコールに呼ばれる引数が動作モデルに比べて頻出しているか否かを判定することで、乖離判定を行うことができる。又、実行履歴解析部４２は、例えば、実際の実行履歴に含まれる重要なデータへアクセスするシステムコールの前後のシステムコールの列が、動作モデルに存在しているか否かを判定することで、乖離判定を行うことができる。

実行履歴解析部４２は、監視対象の実行履歴だけを解析し、乖離判定を行うことができる。実行履歴解析部４２は、実行履歴要求部４１が監視対象の実行履歴だけを要求した場合には、実行履歴情報１３０には監視対象の実行履歴のみが含まれるため、それを用いて乖離判定を行うことができる。実行履歴解析部４２は、全ての実行履歴を取得し、その中から監視対象の実行履歴だけを抽出するようにしてもよい。

更に、実行履歴解析部４２は、実行履歴情報１３０に含まれる端末装置６０の動作環境（例えば、オペレーティングシステムや起動している他のソフトウェア等）、処理能力（ＣＰＵ能力、記憶容量等）も用いて乖離判定を行うことができる。実行履歴解析部４２は、端末装置６０の動作環境や処理能力が実行履歴に与える影響を考慮して、実行履歴の解析、動作モデルとの比較を行うことができる。尚、実行履歴解析部４２は、例えば、オペレーティングシステムの識別子や端末装置６０の処理能力を示す型番を取得した場合には、その識別子や型番等から、実際の動作環境や処理能力を求め、乖離判定に利用する。

又、実行履歴解析部４２は、実行履歴情報１３０に含まれるタイムスタンプ等により、取得した実行履歴が最新情報であるか否かを判断して、乖離判断に用いるようにしてもよい。更に、実行履歴解析部４２は、実行履歴情報１３０に端末装置６０の秘密鍵で生成された署名が付与されている場合には、その署名を検証し、取得した実行履歴情報１３０が確かに端末装置６０から送信されたものであることを確認できた場合にだけ、乖離判断に用いるようにしてもよい。

実行履歴解析部４２は、端末装置６０の動作が正常動作から乖離していると判定した場合、判定結果は「異常検出」となる。一方、実行履歴解析部４２は、端末装置６０の動作が正常動作から乖離していないと判定した場合、判定結果は「正常」となる。実行履歴解析部４２は、乖離判定の判定結果を含む監視結果１５０を、端末装置６０やソフトウェア提供サーバ９０に、ネットワーク２を介して送信することができる。実行履歴解析部４２は、判定結果をディスプレイやスピーカ等の出力装置に出力してもよい。

更に、実行履歴解析部４２は、乖離判定の判定結果に基づいて、端末装置６０における監視対象ソフトウェア１００に関連する動作を制御する指示（以下「管理ポリシー」という）を生成し、判定結果とともに監視結果１５０に含めて端末装置６０に提供してもよい。これによれば、動作監視サーバ１０は、動作の監視だけでなく、異常動作が検出された場合に、端末装置６０において異常な動作が継続されることを防止できる。

実行履歴解析部４２は、例えば、監視対象ソフトウェア１００の実行を中止する、監視対象ソフトウェア１００による重要なデータへのアクセス権限を剥奪する、監視対象ソフトウェア１００による動作権限を低いものに変更する等の管理ポリシーを生成できる。

又、実行履歴解析部４２は、動作環境や処理能力に基づいて、他に乖離判定を行うべき実行履歴が存在するか否かを判定してもよい。実行履歴解析部４２は、追加で必要な監視対象の実行履歴（以下「追加対象」という）があると判定した場合には、追加対象を実行履歴要求部４１に入力する。この場合、実行履歴要求部４１は、通知された追加対象に基づいて実行履歴情報要求１２０を新たに生成し、端末装置６０に送信する。そして、実行履歴解析部４２は、新たに端末装置６０から通知される実行履歴情報１３０に基づいて、追加の乖離判定を行うことができる。これによれば、動作監視サーバ１０は、監視対象ソフトウェア１００の実際の動作環境や処理能力に応じた乖離判定ができる。

又、実行履歴解析部４２は、判定結果を動作モデル生成部２２や実行履歴要求部４１に入力できる。この場合、実行履歴要求部４１は、判定結果に基づいて対象履歴識別情報１１０を更新し、今後の監視対象の実行履歴を変更できる。例えば、実行履歴要求部４１は、判定結果が「異常検出」の場合、監視対象の実行履歴の範囲を拡張することができる。又、実行履歴要求部４１は、追加対象の通知を受けた場合も、対象履歴識別情報１１０を更新できる。実行履歴要求部４１は、対象履歴識別情報１１０を更新した場合には、新たな対象履歴識別情報１１０を動作モデル生成部２２に入力する。

動作モデル生成部２２は、判定結果を取得した場合には、判定結果に基づいて動作モデルを生成できる。例えば、動作モデル生成部２２は、判定結果が「異常検出」の場合、現在よりも詳細な動作モデルや、監視対象の実行履歴の範囲を拡張した動作モデルを生成できる。これによれば、以降、現在よりも詳細な解析や、より広範囲な実行履歴を用いた解析を行うことができ、乖離判定に誤りが発生することを防止できる。

一方、動作モデル生成部２２は、判定結果が「正常」の場合、現在よりもより粗い動作モデルを生成できる。これによれば、以降、現在よりも粗い解析を行うようにでき、実行履歴の解析時間を低減できる。動作モデル生成部２２は、判定結果に基づいてモデル化ポリシーを更新することにより、生成する動作モデルの詳細レベルを変更できる。又、動作モデル生成部２２は、新たな対象履歴識別情報１１０を取得した場合にも、新たな動作モデルを生成する。

動作モデル生成部２２は、新たに生成した動作モデルを動作モデル蓄積部５０に格納して、動作モデル蓄積部５０に蓄積される動作モデルを更新する。尚、動作モデル生成部２２は、「異常検出」という判定結果を取得した時に、動作モデル蓄積部５０の動作モデルを更新し、所定時間経過後に動作モデル蓄積部５０の動作モデルを通常の（更新前の）動作モデルに戻してもよい。あるいは、動作モデル生成部２２は、「異常検出」という判定結果を一度でも受けた動作に関連する動作モデルについては、即ち、「異常検出」という判定を受けた経緯がある動作モデルについては、動作モデル蓄積部５０に蓄積される動作モデルを更新したままにしておいてもよい。

これによれば、動作監視サーバ１０は、各端末装置６０の乖離判定の判定結果に対応して、各端末装置６０に適した動作モデルを動的に生成できる。そのため、動作監視サーバ１０は、各端末装置６０のその時の状況に応じて精度の高い判定を行うことができ、信頼性の高い監視を実現できる。

（端末装置）
図１に示すように、端末装置６０は、動作被監視処理部７０と、ソフトウェア実行部８０とを備える。ソフトウェア実行部８０は、監視対象ソフトウェア１００を実行する。尚、動作監視サーバ１０の端末エミュレータ３０は、ソフトウェア実行部８０の動作環境や処理能力を模倣して構成される。ソフトウェア実行部８０は、監視対象ソフトウェア１００の実行結果を、逐次、動作被監視処理部７０に入力する。

ソフトウェア実行部８０は、ソフトウェア提供サーバ９０からネットワーク２を介して監視対象ソフトウェア１００を受信する。ソフトウェア実行部８０は、監視対象ソフトウェア１００を受信すると、監視要求１４０を生成してネットワーク２を介して動作監視サーバ１０に送信する。ソフトウェア実行部８０は、端末装置６０の端末識別子及び監視対象ソフトウェア１００のソフトウェア識別子を含む監視要求１４０を生成する。

動作被監視処理部７０は、端末装置６０が動作監視サーバ１０による監視を受けるための処理を行う。動作被監視処理部７０は、実行履歴記録部７１と、実行履歴蓄積部７２と、実行履歴提供部７３とを備える。

実行履歴蓄積部７２には、ソフトウェア実行部８０による監視対象ソフトウェア１００の実行履歴が蓄積される。実行履歴記録部７１は、実行履歴蓄積部７２に実行履歴を記録する。実行履歴記録部７１は、ソフトウェア実行部８０から、監視対象ソフトウェア１００の実行中に、逐次、実行結果を取得し、それらを実行履歴として実行履歴蓄積部７２に格納する。実行履歴記録部７１は、取得した実行履歴全てを実行履歴蓄積部７２に格納してもよく、監視対象の実行履歴だけを対象履歴識別情報１１０に基づいて選択し、格納してもよい。あるいは、実行履歴記録部７１は、対象履歴識別情報１１０以外の格納基準に基づいて格納すべき実行履歴を選択し、格納してもよい。

実行履歴記録部７１は、監視対象ソフトウェア１００の実行開始時、実行終了時を含めた実行中に、実行結果を取得する。そして、実行履歴記録部７１は、実行開始時刻、ファイルへのアクセスやシステムコール等のデータへのアクセス、システムコールの引数、関数呼び出し、プログラムスタックの状況、実行終了時刻等を、実行履歴として実行履歴蓄積部７２に格納する。例えば、実行履歴記録部７１は、UNIX（登録商標）におけるstrace命令等を用いて、システムコールやその引数等を取得できる。実行履歴記録部７１は、例えば、図２に示したような実行試験履歴と同様の実行履歴を取得し、実行履歴蓄積部７２に格納できる。

実行履歴提供部７３は、動作監視サーバ１０からの要求に従って、実行履歴蓄積部７２から実行履歴を抽出し、動作監視サーバ１０に提供する。実行履歴提供部７３は、動作監視サーバ１０から実行履歴情報要求１２０をネットワーク２を介して受信する。

実行履歴提供部７３は、実行履歴情報要求１２０に実行履歴の指定が含まれている場合には、指定されている実行履歴に基づいて、実行履歴蓄積部７２を検索し、必要な実行履歴を抽出できる。実行履歴提供部７３は、実行履歴情報要求１２０に実行履歴の指定が含まれていない場合には、提供ポリシーに基づいて実行履歴蓄積部７２を検索し、必要な実行履歴を抽出できる。提供ポリシーは、対象履歴識別情報１１０等を含む。提供ポリシーは、予め端末装置６０に設定しておくことができる。

実行履歴提供部７３は、抽出した情報に基づいて実行履歴情報１３０を生成する。実行履歴提供部７３は、実行履歴情報要求１２０に、端末装置６０の動作環境や処理能力の要求も含まれている場合には、それらを含む実行履歴情報１３０を生成する。例えば、実行履歴提供部７３は、動作環境や処理能力の具体的な数値等を含めてもよく、オペレーティングシステムの識別子や端末装置６０の型番等を実行履歴情報１３０に含めてもよい。尚、実行履歴提供部７３は、ユーザのプライバシーに関わる情報を加えないように実行履歴情報１３０を生成できる。

更に、実行履歴提供部７３は、最新の実行履歴であるか否かを、動作監視サーバ１０において判断できるようにするために、タイムスタンプを含む実行履歴情報１３０を生成できる。これによれば、端末装置６０は、動作監視サーバ１０に最新の実行履歴に基づく監視を行ってもらうことができ、リプレイアタック等も防止できる。実行履歴提供部７３は、生成した実行履歴情報１３０をネットワーク２を介して動作監視サーバ１０に送信する。

実行履歴記録部７１、実行履歴蓄積部７２、実行履歴提供部７３には、実行履歴の信頼性を保証するための様々な措置をとっておくことが好ましい。即ち、実行履歴記録部７１は、安全に実行結果を取得し、実行履歴蓄積部７２に格納できるようにする。実行履歴蓄積部７２は、実行履歴を安全に保持できるようにする。実行履歴提供部７３は、実行履歴蓄積部７２から安全に実行履歴を取得し、実行履歴情報１３０を安全に動作監視サーバ１０に送信できるようにする。

例えば、実行履歴蓄積部７２は、端末装置６０のユーザによる操作ではアクセスできないようにし、端末装置６０における上位の権限が与えられた実行履歴記録部７１のみがアクセスできるように実装できる。又、実行履歴記録部７１、実行履歴提供部７３は、端末装置６０のユーザによる操作では動作しないようにし、端末装置６０における上位の権限が与えられた機能からの指示によって、動作するように実装できる。

又、実行履歴記録部７１、実行履歴蓄積部７２、実行履歴提供部７３を、耐タンパ機能を有するハードウェア上に実装してもよい。更に、実行履歴記録部７１が、実行履歴蓄積部７２に実行履歴を格納する際に、実行履歴に電子署名を付与し、実行履歴提供部７３が、実行履歴蓄積部７２から取得した実行履歴に付与されている電子署名を検証し、実行履歴の改竄の有無を判断するようにしてもよい。これにより、実行履歴が改竄されていないことが保証される。

更に、実行履歴記録部７１は、ソフトウェア実行部８０から真の実行結果を安全に取得できるようにし、外部から詐称して送り込まれる実行結果を取得しないようにできる。例えば、実行履歴記録部７１を、オペレーティングシステム（ＯＳ）等の基本ソフトウェアのカーネルに組み込み、SELinux等で実現されているユーザが取得できない上位権限（root以上の権限等）を用いてソフトウェア実行部８０から、監視対象ソフトウェア１００の実行結果を取得するようにできる。これによれば、実行履歴記録部７１は、オペレーティングシステムの制御を奪われない限り、安全である。そのため、実行履歴記録部７１は、取得した実行結果を信頼できる。

又、実行履歴提供部７３は、実行履歴情報１３０が確かに端末装置６０の実行履歴提供部７３から送信されたことを保証するために、実行履歴提供部７３の秘密鍵で生成した署名を実行履歴情報１３０に付与することができる。

これらによれば、実行履歴情報１３０の信頼性を保証することができる。そのため、動作監視サーバ１０による遠隔監視であっても、その信頼性を向上できる。又、実行履歴記録部７１は、オペレーティングシステムそのものの制御を攻撃者に奪われない限り安全とできる。尚、端末装置６０としては、パーソナルコンピュータ、ワークステーション、サーバ、ルータ、携帯電話、携帯情報端末（ＰＤＡ）等を用いることができる。

（動作監視手順）
図１に示した動作監視システム１における動作監視手順を図３を用いて説明する。ソフトウェア提供サーバ９０は、動作監視サーバ１０と、端末装置６０に監視対象ソフトウェア１００をダウンロードして提供する（Ｓ１０１，Ｓ１０２）。端末装置６０は、監視対象ソフトウェア１００を受信し、インストールする。更に、端末装置６０は、動作監視サーバ１０に対して監視要求１４０を送信して監視を要求する（Ｓ１０３）。端末装置６０は、監視対象ソフトウェア１００の実行、実行履歴の記録を開始し、実行履歴を実行履歴蓄積部７２に蓄積する（Ｓ１０４）。

監視要求１４０を受信した動作監視サーバ１０は、監視対象ソフトウェア１００のソフトウェア識別子と、端末識別子に基づいて、監視対象ソフトウェアを実行し、実行試験履歴を生成する。そして、動作監視サーバ１０は、動作モデルを生成する（Ｓ１０５）。動作監視サーバ１０は、監視対象の実行履歴等を指定した実行履歴情報要求１２０を生成し、ネットワーク２を介して端末装置６０に送信する（Ｓ１０６）。

実行履歴情報要求１２０を受信した端末装置６０は、実行履歴蓄積部７２に蓄積された実行履歴から、実行履歴情報要求１２０に従って実行履歴を抽出し、実行履歴情報１３０を生成する（Ｓ１０７）。例えば、実行履歴情報要求１２０において、書き込みのシステムコール（write）が指定されている場合には、端末装置６０は、実行履歴蓄積部７２から書き込みのシステムコール（write）に関する実行履歴を抽出する。端末装置６０は、抽出した実行履歴と、必要に応じて端末装置６０の動作環境や処理能力を含む実行履歴情報１３０を生成できる。そして、端末装置６０は、生成した実行履歴情報１３０をネットワーク２を介して動作監視サーバ１０に送信する（Ｓ１０８）。

実行履歴情報１３０を受信した動作監視サーバ１０は、生成した動作モデルを用いて実行履歴を解析し、端末装置６０の動作が正常動作と乖離しているか否かを判定する（Ｓ１０９）。動作監視サーバ１０は、判定結果や、必要に応じて管理ポリシー等を含む監視結果１５０を生成する。動作監視サーバ１０は、生成した監視結果１５０をネットワーク２を介して端末装置６０に送信する（Ｓ１１０）。又、動作監視サーバ１０は、判定結果を含む監視結果１５０を生成し、ネットワーク２を介してソフトウェア提供サーバ９０に送信する（Ｓ１１１）。

尚、動作モデルの生成（Ｓ１０５）から監視結果１５０の送信（Ｓ１１０）までは、１回行ってもよく、複数回行ってもよい。例えば、動作監視サーバ１０は、乖離判定を行った結果、異常を検出した場合には、誤った判定を防止するために、生成する動作モデルや監視対象の実行履歴を変更することができる。この場合、ステップ（Ｓ１０５）に戻り、新たな動作モデルの生成（Ｓ１０５）、新たな実行履歴情報要求の送信（Ｓ１０６）を行うことができる。又、端末装置６０は、ステップ（Ｓ１０６）における実行履歴情報要求１２０を受信した後に、実行履歴の蓄積（Ｓ１０５）を開始するようにしてもよい。

（効果）
このような動作監視システム１、動作監視サーバ１０、端末装置６０によれば、以下のような効果を得ることができる。動作監視サーバ１０が主導となって、端末装置６０に実行履歴を要求し、それに応じて端末装置６０から実行履歴を取得できる。又、動作監視サーバ１０が、動作モデルを用いて実行履歴を解析し、正常動作からの乖離の有無を判定できる。そのため、多数の端末装置６０にソースプログラムやソースプログラムから生成した動作モデルを開示する必要がない。よって、動作監視サーバ１０は、ソフトウェアのソースプログラムの流用を防ぐことができる。

しかも、動作監視サーバ１０は、ソフトウェア実行部２１と、動作モデル生成部２２を備え、実行履歴解析部４２は、動作モデル生成部２２により生成された動作モデルを用いて判定を行うことができる。そのため、動作監視サーバ１０は、自らソフトウェアを実行することにより得られた実行履歴に基づいて動作モデルを生成できる。よって、ソフトウェア提供者は動作監視サーバ１０に対してもソースプログラムやソースプログラムから生成した動作モデルを開示する必要がなく、ソフトウェアのソースプログラムの流用をより確実に防止できる。しかも、少なくとも動作監視サーバ１０についてだけ安全な環境を保証できれば、動作モデルを適切に生成できる。よって、動作監視サーバ１０は、信頼性の高い監視を実現できる。

更に、動作監視サーバ１０は、監視対象の実行履歴を要求し、監視対象の実行履歴を解析して、開始判定を行う。そのため、必要な実行履歴だけが端末装置６０から動作監視サーバ１０に送信され、必要な実行履歴についてだけ解析を行うことができる。そのため、不必要な情報が送受信されることによる情報漏洩の危険を低減でき、不必要な実行履歴の解析を防止して動作監視サーバ１０の監視処理の負荷を低減でき、端末装置６０から送信される実行履歴のデータ量を抑え、ネットワーク２の負荷を低減できる。

更に、端末装置６０によれば、動作監視サーバ１０からの要求に応じて、端末装置６０におけるソフトウェアの実行履歴を動作監視サーバ１０に提供できる。よって、端末装置６０は、自身で動作監視を行う必要がなく、要求がない間は実行履歴の提供を行わないようにできる。よって、ソフトウェアのソースプログラムの流用を防ぎ、動作監視サーバ１０主導で端末装置６０におけるソフトウェアの動作を監視することができる。

以上説明したように、動作監視システム１を構成することによって、動作モデルを有さない端末装置６０上で動作する監視対象ソフトウェア１００の動作を遠隔から監視することができる。しかも、動作モデルを端末装置に開示されない環境において、端末装置におけるソフトウェアの動作を監視でき、スケーラブルな監視をすることができる。

よって、不特定多数の端末装置から監視に関する情報が送信されることによる、動作監視サーバ１０に過大な処理負荷がかかることや、サービス妨害攻撃を防止できる。しかも、端末装置６０上で生成した実行履歴情報１３０を動作監視サーバ１０に安全に送信でき、動作監視サーバは、端末装置から安全に送信された実行履歴を解析することで、端末装置６０上で動作する監視対象ソフトウェア１００の動作を安全に監視することができる。よって、従来のようにサーバから送信されたログ情報の安全性が保証されていないため、取得したログ情報を解析したとしても、信頼性のある監視がされたか否かが不明であるといった事態を回避できる。

（変更例）
尚、本発明は、上記実施形態に限定されるものではなく、種々の変更が可能である。例えば、動作監視サーバ１０は、動作モデル生成処理部２０を省略することができる。この場合、ソフトウェア提供サーバ９０等が予め監視対象ソフトウェア１００の動作モデルを生成し、動作監視サーバ１０に送信することができる。動作監視サーバ１０は、受信した動作モデルを動作モデル蓄積部５０に格納しておくことができる。又、ソフトウェア動作監視者が動作監視サーバ１０に監視対象ソフトウェア１００の動作モデルを入力し、動作モデル蓄積部５０に格納しておいてもよい。

又、上記実施形態では、ソフトウェア提供サーバ９０から端末装置６０に監視対象ソフトウェア１００が提供される場合を説明した、端末装置６０が監視対象ソフトウェア１００を生成してもよい。この場合、端末装置６０は、生成した監視対象ソフトウェア１００を動作監視サーバ１０に送信し、アップロードしておく必要がある。

更に、上記実施形態では、実行履歴情報１３０に、端末装置６０の動作環境や処理能力等の情報を含めているが、これらの情報を監視要求１４０に含めてもよい。更に、図３では、監視要求１４０が契機となって、動作監視処理が開始されているが、ソフトウェア動作監視者からの入力によって、動作モデル生成（Ｓ１０５）や実行履歴情報要求の送信（Ｓ１０６）等の動作監視処理が開始されてもよい。

本発明の実施形態に係る動作監視システムの構成を示すブロック図である。 本発明の実施形態に係る実行試験履歴の一例を示す図である。 本発明の実施形態に係る動作監視システムにおける動作手順を示すシーケンス図である。

符号の説明

１…動作監視システム
２…ネットワーク
１０…動作監視サーバ
２０…動作モデル生成処理部
２１…ソフトウェア実行部
２２…動作モデル生成部
３０…端末エミュレータ
４０…動作監視処理部
４１…実行履歴要求部
４２…実行履歴解析部
５０…動作モデル蓄積部
６０…端末装置
７０…動作被監視処理部
７１…実行履歴記録部
７２…実行履歴蓄積部
７３…実行履歴提供部
８０…ソフトウェア実行部
９０…ソフトウェア提供サーバ

Claims (10)

1. 端末装置におけるソフトウェアの実行履歴を前記端末装置に要求する実行履歴要求部と、
   前記ソフトウェアの正常動作を表した動作モデルを用いて、前記端末装置から取得した実行履歴を解析し、前記端末装置の動作が前記正常動作と乖離しているか否かの判定を行う実行履歴解析部と
   を備えることを特徴とする動作監視サーバ。
2. 前記ソフトウェアを実行するソフトウェア実行部と、
   該ソフトウェア実行部による実行履歴に基づいて前記動作モデルを生成する動作モデル生成部を備え、
   前記実行履歴解析部は、前記動作モデル生成部により生成された動作モデルを用いて前記判定を行うことを特徴とする請求項１に記載の動作監視サーバ。
3. 前記動作モデル生成部は、前記端末装置の動作環境又は処理能力の少なくとも１つに基づいて前記動作モデルを生成することを特徴とする請求項２に記載の動作監視サーバ。
4. 前記動作モデル生成部は、前記実行履歴解析部による判定結果に基づいて前記動作モデルを生成することを特徴とする請求項２又は３に記載の動作監視サーバ。
5. 前記実行履歴要求部は、監視対象の実行履歴を要求し、
   前記実行履歴解析部は、前記監視対象の実行履歴を解析し、前記判定を行うことを特徴とする請求項１乃至４のいずれか１項に記載の動作監視サーバ。
6. 前記監視対象の実行履歴が、データへのアクセスの履歴であることを特徴とする請求項５に記載の動作監視サーバ。
7. 前記実行履歴解析部は、前記判定結果に基づいて、前記端末装置における前記ソフトウェアに関連する動作を制御する指示を生成し、前記端末装置に提供することを特徴とする請求項１乃至６のいずれか１項に記載の動作監視サーバ。
8. ソフトウェアの実行履歴が蓄積される実行履歴蓄積部と、
   該実行履歴蓄積部に前記実行履歴を記録する実行履歴記録部と、
   端末装置における前記ソフトウェアの動作を監視する動作監視サーバからの要求に従って、前記実行履歴蓄積部から実行履歴を抽出し、前記動作監視サーバに提供する実行履歴提供部と
   を備えることを特徴とする端末装置。
9. 前記実行履歴提供部は、前記実行履歴と共に端末装置の動作環境又は処理能力の少なくとも１つを前記動作監視サーバに提供することを特徴とする請求項８に記載の端末装置。
10. 端末装置におけるソフトウェアの実行履歴を前記端末装置に要求し、前記ソフトウェアの正常動作を表した動作モデルを用いて前記端末装置から取得した実行履歴を解析し、前記端末装置の動作が前記正常動作と乖離しているか否かの判定を行う動作監視サーバと、
    該動作監視サーバからの要求に従って、前記実行履歴を前記動作監視サーバに提供する端末装置と
    を備えることを特徴とする動作監視システム。
    

Images