JP2006268687A - コンピュータウィルス監視プログラム及びこれを用いたコンピュータ端末装置 - Google Patents

Abstract

【課題】 ウィルスやワームの特徴を記したパタンファイルに依存せずに、「未知」のウィルスやワームを検知するコンピュータウィルス監視プログラムを得る。
【解決手段】 コンピュータウィルス監視プログラムにおいて、コンピュータ端末装置の入出力マネージャからコンピュータ端末装置のファイルシステムドライバに対して要求されるファイルアクセス要求の不正性を監視し、ファイルアクセス要求の不正性を検知したときは、不正性のファイルアクセス要求をファイルシステムドライバに通知しないようにした。
【選択図】図１

Description

この発明は、ネットワークを介して侵入するコンピュータウィルスを監視するコンピュータウィルス監視プログラム、及びこれを用いたコンピュータ端末装置に関するものである。

従来のコンピュータのウィルス検知方法は、特許文献１のように、既知のウィルスやワームの特徴を記したパタンファイルと呼ばれる特徴データベースと照合することにより、ウィルスやワームを検知する。しかしながら、この場合、パタンファイルの対応していない未知のウィルスは、検知不可能である。

特開平１０−３０７７７６号公報（第３〜４頁、図３）

上述のような従来のパタンファイル方式では、昨今行われるオペレーティングシステムやサーバーソフトの脆弱性情報の公表と、時を同じくして発生してくる脆弱性を狙ったウィルスやワームに対しては、そのウィルスやワームが「未知」のパタンであるため、検知、被害拡大を阻止することができないという問題がある。
また、ウィルスやワームが端末に感染した場合、その感染、発病、拡散に関する動きを端末に被害を与えずに記録することは、従来のウィルス検知ソフトでは不可能であり、そこから、ウィルスやワームの感染の動きを分析することも不可能であった。そのため、新たな「未知」ウィルスやワームが感染しても、その動きを捉えることができず、端末の情報から、広く対策検討を行うことができないという問題があった。

この発明は、上述のような課題を解決するためになされたものであり、ウィルスやワームの特徴を記したパタンファイルに依存せずに、「未知」のウィルスやワームを検知し、被害拡大を阻止し、ウィルスやワームの感染行動を遮断するコンピュータウィルス監視プログラム及びこれを用いたコンピュータ端末装置を得ることを目的にしている。

この発明に係わるコンピュータウィルス監視プログラムにおいては、コンピュータ端末装置の入出力マネージャからコンピュータ端末装置のファイルシステムドライバに対して要求されるファイルアクセス要求の不正性を監視し、ファイルアクセス要求の不正性を検知したときは、不正性のファイルアクセス要求をファイルシステムドライバに通知しないようにしたものである。

この発明は、以上説明したように、コンピュータ端末装置の入出力マネージャからコンピュータ端末装置のファイルシステムドライバに対して要求されるファイルアクセス要求の不正性を監視し、ファイルアクセス要求の不正性を検知したときは、不正性のファイルアクセス要求をファイルシステムドライバに通知しないようにしたので、ウィルスやワームの特徴を記したパタンファイルに依存せずに、未知のウィルスやワームを検知し、被害拡大を阻止し、ウィルスやワームの感染行動を遮断することができる。

実施の形態１．
以下、本発明の実施の形態１について図を参照して説明する。
図１は、この発明の実施の形態１によるコンピュータ端末装置のウィルス監視対処方式を示すシステム構成図である。
図１において、パーソナルコンピュータなどのコンピュータ端末装置ＴＭは、ネットワークＮＴＷに接続されている。コンピュータ端末装置ＴＭは、一般的に、ネットワークＮＴＷからのパケットを処理するプロトコルスタックＰＲＳと、Ｗｅｂサービスやメールサービスを提供するアプリケーションＡＰＰと、アプリケーションＡＰＰからの入出力要求を処理するＩ／ＯマネージャＩＯＭ（入出力マネージャ）と、Ｉ／ＯマネージャＩＯＭからのファイルアクセス要求を受けて、論理的なファイルシステム処理を行うファイルシステムドライバＦＡＤと、このファイルシステムドライバＦＡＤからのディスクアクセス指示を受けて、実際のディスクデバイスＤＤＶへのファイルアクセスを行うデバイスドライバＤＤＲとにより構成される。
なお、プロトコルスタックＰＲＳとＩ／ＯマネージャＩＯＭとファイルシステムドライバＦＡＤとデバイスドライバＤＤＲとは、オペレーティングシステムの一部である。オペレーティングシステムは、この他、パケット組立て機能や、ＴＣＰ／ＩＰ通信を行うためのプログラムモジュールであるＳｏｃｋｅｔ通信機能を持っている。
図１では、Ｉ／ＯマネージャＩＯＭとファイルシステムドライバＦＡＤの間に、Ｉ／ＯマネージャＩＯＭからファイルシステムドライバＦＡＤへのファイルアクセス要求を監視するコンピュータウィルス監視プログラムを有するファイルシステムアクセス監視フィルタＦＡＦを設けている。
図２は、この発明の実施の形態１によるコンピュータ端末装置のファイルシステムアクセス監視フィルタのコンピュータウィルス監視プログラムの処理ステップを示すフローチャートである。

次に動作について説明する。
コンピュータ端末装置ＴＭにおいて、アプリケーションＡＰＰやオペレーティングシステムがその固有の脆弱性を突かれて、ネットワークＮＴＷからウィルスやワームの感染攻撃を受けた場合、通常、ファイルシステムドライバＦＡＤに対して、不正性のファイルアクセスが発生する。また、感染したコンピュータ端末装置ＴＭから他のコンピュータ端末装置へネットワークＮＴＷ経由でウィルスやワームが拡散する場合も、通常、ファイルシステムドライバＦＡＤに対して、不正プログラムの起動等の不正性ファイルアクセスが発生する。
これに対処するために、実施の形態１では、Ｉ／ＯマネージャＩＯＭとファイルシステムドライバＦＡＤの間にファイルシステムアクセス監視フィルタＦＡＦを設置し、Ｉ／ＯマネージャＩＯＭからファイルシステムドライバＦＡＤへのファイルアクセス要求をフックし、その要求内容を監視するようにした。

ファイルシステムアクセス監視フィルタＦＡＦは、上述のように、Ｉ／ＯマネージャＩＯＭからファイルシステムドライバＦＡＤへのファイルアクセス要求をフックし、主にウィルスやワームの感染、拡散行動に特有のファイルアクセス要求か否かの監視を行う。
この特有のファイルアクセス要求か否かの監視は、次の（１）〜（４）の事項について行う。
（１）レジストリ（Ｗｉｎｄｏｗｓ（登録商標）レジストリ）ファイルの変更指示要求。
（２）新規プロセスファイルの起動指示要求。
（ａ）コマンド実行可能プロセス（ｃｍｄ．ｃｏｍ等）ファイル（コマンド実行可能プログラム）の起動指示要求。
（ｂ）ファイル転送可能プロセス（ｔｆｔｐ．ｅｘｅ等）ファイル（ファイル転送プログラム）の起動指示要求。
（ｃ）登録実行ファイル（実行許可登録プログラム）以外の実行ファイルの起動指示要求。
（３）リモートファイルダウンロードによるファイル書込み指示要求。
（４）ＤＬＬ（Ｗｉｎｄｏｗｓ（登録商標）ＤｙｎａｍｉｃＬｉｎｋＬｉｂｒａｒｙ）ファイルの起動指示要求。
（ａ）コマンド実行可能ＤＬＬファイルの起動指示要求。
（ｂ）登録ＤＬＬファイル（実行許可登録ＤＬＬ）以外のＤＬＬファイルの起動指示要求。
がそれである。
ファイルシステムアクセス監視フィルタＦＡＦは、上記（１）〜（４）のファイルアクセス要求を、Ｉ／ＯマネージャＩＯＭから受けた場合には、不正性のファイルアクセス要求と検知（判断）し、ファイルシステムアクセス監視フィルタＦＡＦで、そのファイルアクセス要求をファイルシステムドライバＦＡＤへ通知せずに、破棄する。

次に、このファイルシステムアクセス監視フィルタＦＡＦのコンピュータウィルス監視プログラムの処理ステップを図２により説明する。
まず、レジストリファイルの変更指示であるかどうかをチェックする（ステップＳ１）。そうであれば、不正性ファイルアクセスを検知（判断）し（ステップＳ８）、この指示を破棄する（ステップＳ９）。
ステップＳ１で、レジストリファイルの変更指示でなければ、コマンド実行可能プログラム、ファイル転送プログラムなどの新規プロセスファイルの起動指示であるかどうかをチェックし、そうであれば、不正性ファイルアクセスを検知（判断）し（ステップＳ８）、この指示を破棄し（ステップＳ９）、そうでなければ、実行許可登録プログラムの起動指示かどうかを、予め設定された実行許可プログラムテーブルを参照してチェックする（ステップＳ３）。
この結果、実行許可登録プログラム以外のプログラムの起動指示の場合には、不正性ファイルアクセスを検知（判断）し（ステップＳ８）、この指示を破棄する（ステップＳ９）。また、実行許可登録プログラムの起動指示であれば、次のステップを実行する。
ステップＳ４では、リモートファイルダウンロードによるファイル書込み指示かどうかをチェックし、そうであれば、不正性ファイルアクセスを検知（判断）し（ステップＳ８）、この指示を破棄し（ステップＳ９）、そうでなければ、ＤＬＬファイルの起動指示かどうかを、予め設定された実行許可ＤＬＬテーブルを参照してチェックする（ステップＳ５）。このチェックで、実行許可登録ＤＬＬでなければ、不正性ファイルアクセスを検知（判断）し（ステップＳ８）、この指示を破棄する（ステップＳ９）。実行許可登録ＤＬＬであれば、不正性ファイルアクセスでないと判断し（ステップＳ６）、当該指示をファイルシステムドライバＦＡＤへ通知する（ステップＳ７）。
これにより、ウィルスやワームのコンピュータ端末装置ＴＭに対する感染行動やコンピュータ端末装置ＴＭから他のコンピュータ端末装置へのネットワーク経由の拡散行動を阻止することが可能となる。

実施の形態１によれば、ウィルスやワームの特徴を記したパタンファイルに依存せずに、「未知」のウィルスやワームを検知し、被害拡大を阻止するため、ウィルスやワームの感染行動を遮断することができ、０−ＤａｙＡｔｔａｃｋウィルスや公にウィルスと認知されないマイナーなウィルス等から、情報システムが被害を受けることを阻止することが可能となる。

実施の形態２．
図３は、この発明の実施の形態２によるコンピュータ端末装置のウィルス監視対処方式を示すシステム構成図である。
図３において、ＴＭ、ＡＰＰ、ＰＲＳ、ＩＯＭ、ＦＡＦ、ＦＡＤ、ＤＤＲ、ＤＤＶは図１におけるものと同一のものである。図３では、図１のコンピュータ端末装置ＴＭの構成に、不正性のファイルアクセス要求を検知した場合に、そのファイルアクセス要求を誘導する、仮想ファイルシステムドライバＶＦＡＤ、仮想デバイスドライバＶＤＤＲ、囮ディスクデバイスＶＤＤＶを設けると共に、仮想ファイルシステムドライバＶＦＡＤの指示により、不正性のファイルアクセス要求及びその動作内容を記録するファイルシステムアクセス記録手段ＶＦＡＤＬを付加している。

次に、動作について説明する。
囮ディスクデバイスＶＤＤＶは、ディスクデバイスＤＤＶのディスク内容を一方向ミラーリングし、ディスクデバイスＤＤＶと同一ディスク環境（オペレーティングシステムファイルやＷｅｂアプリケーション等のアプリケーションファイルの環境）を構築する。
実施の形態１で述べた、ウィルスやワームの感染拡散行動に特有のファイルアクセス要求を検知した場合に、実施の形態２では、そのファイルアクセス要求を破棄せず、仮想ファイルシステムドライバＶＦＡＤへそのファイルアクセス要求を通知する。
仮想ファイルシステムドライバＶＦＡＤでは、以降の仮想デバイスドライバＶＤＤＲへディスクアクセスの指示を行い、囮ディスクデバイスＶＤＤＶを対象に実際のファイルアクセスを行わせる。

この時、仮想ファイルシステムドライバＶＦＡＤでは、次の（１）〜（３）を行う。
すなわち、（１）ファイルシステムアクセス監視フィルタＦＡＦからの囮ディスクデバイスＶＤＤＶに対するファイル変更、書込み指示を許可する。（２）囮ディスクデバイスＶＤＤＶからの実行ファイル（ディスクデバイスＤＤＶ）起動の禁止。（３）ファイルシステムアクセス監視フィルタＦＡＦからのファイルアクセス要求の記録指示を行い、ファイルシステムアクセス記録手段ＶＦＡＤＬにより記録する。
これにより、ウィルスやワームの感染や拡散に関する不正性のファイルアクセス要求や、その囮ディスクデバイスＶＤＤＶでの動作内容などの動作履歴を記録することが可能となる。同時に、囮ディスクデバイスＶＤＤＶからの実行ファイルの起動禁止により、誤って仮想ファイルシステムドライバＶＦＡＤからウィルスやワームが拡散しないようにしている。

また、ファイルシステムアクセス記録手段ＶＦＡＤＬにより記録されたアクセス履歴は、日時、要求プロセス名、アクセス対象ファイル、アクセス要求指示内容等の項目で分類整理し、感染行動や拡散行動におけるファイルアクセス要求の時系列履歴を抽出可能とする。
これにより、ウィルスやワームの感染、拡散時の特徴的なアクセスファイル名やその変更、追加、削除等の特徴的動作を早期に明確化することができ、未知ウィルスやワームに感染したか否かを各端末で、検査確認するポイント情報も早期に提供することが可能となる。

実施の形態２によれば、全ての端末が実施の形態１の監視対処方式を導入すれば、未知のウィルスやワームのネットワーク上ので感染被害拡大の阻止は可能であるが、現実的に全ての端末がこの監視対処方式を導入しているとは限らない場合が想定され、その場合の対応として、未知のウィルスやワームの感染行動を即時に安全に記録し、その特徴を分析し、より効果的に対処へつなげるための特徴情報を抽出することが可能となる。
このため、各端末のパーソナルファイアウォールなどに対しては、遮断ポート情報を提供することが可能となり、さらには、未知ウィルスやワームに感染したか否かを各端末で、検査確認するポイント情報も提供することが可能となり、ネットワークシステム全体として早期に未知ウィルスやワームに対して対処を行い、被害拡大を阻止することが可能となる。
また、パタンファイル監視方式に対しては、新規パタンファイルを生成する材料となる、感染行動情報を提供することが可能となる。

この発明の実施の形態１によるコンピュータ端末装置のウィルス監視対処方式を示すシステム構成図である。 この発明の実施の形態１によるコンピュータ端末装置のファイルシステムアクセス監視フィルタのコンピュータウィルス監視プログラムの処理ステップを示すフローチャートである。 この発明の実施の形態２によるコンピュータ端末装置のウィルス監視対処方式を示すシステム構成図である。

符号の説明

ＡＰＰ アプリケーション
ＤＤＲ デバイスドライバ
ＤＤＶ ディスクデバイス
ＦＡＤ ファイルシステムドライバ
ＦＡＦ ファイルシステムアクセス監視フィルタ
ＩＯＭ Ｉ／Ｏマネージャ
ＮＴＷ ネットワーク
ＰＲＳ プロトコルスタック
ＴＭ コンピュータ端末装置
ＶＤＤＲ 仮想デバイスドライバ
ＶＤＤＶ 囮ディスクデバイス
ＶＦＡＤ 仮想ファイルシステムドライバ
ＶＦＡＤＬ ファイルシステムアクセス記録手段

Claims (4)

1. コンピュータ端末装置の入出力マネージャから上記コンピュータ端末装置のファイルシステムドライバに対して要求されるファイルアクセス要求の不正性を監視し、上記ファイルアクセス要求の不正性を検知したときは、上記不正性のファイルアクセス要求を上記ファイルシステムドライバに通知しないようにしたことを特徴とするコンピュータウィルス監視プログラム。
2. 上記入出力マネージャから上記ファイルシステムドライバに対して要求されるファイルアクセス要求について、上記ファイルアクセス要求がレジストリファイルの変更指示かどうかをチェックするステップ、上記ファイルアクセス要求が新規プロセスファイルの起動指示かどうかをチェックするステップ、上記ファイルアクセス要求がリモートファイルダウンロードによるファイル書込み指示かどうかをチェックするステップ、及び上記ファイルアクセス要求がＤＬＬファイルの起動指示かどうかをチェックするステップを含み、上記各ステップにより上記ファイルアクセス要求の不正性を監視することを特徴とする請求項１記載のコンピュータウィルス監視プログラム。
3. 利用者にサービスを提供するアプリケーションと、このアプリケーションからの入出力要求を処理する入出力マネージャと、この入出力マネージャからのファイルアクセス要求を受けてファイルアクセス処理を行うファイルシステムドライバと、ファイルを格納したディスクデバイスと、上記ファイルシステムドライバからのディスクアクセス指示により上記ディスクデバイスに対して実際のファイルアクセスを行うデバイスドライバとを有するコンピュータ端末装置において、上記入出力マネージャと上記ファイルシステムドライバの間に配置された請求項１または請求項２記載のコンピュータウィルス監視プログラムを有するファイルシステムアクセス監視フィルタを備えたことを特徴とするコンピュータ端末装置。
4. 上記ディスクデバイスと同じディスク環境を有する囮ディスクデバイス、この囮ディスクデバイスへの実際のファイルアクセスを行う仮想デバイスドライバ、ファイルアクセス要求を受けてファイルアクセス処理を行い、上記仮想デバイスドライバに上記囮ディスクデバイスへのディスクアクセス指示を行う仮想ファイルシステムドライバ、及びこの仮想ファイルシステムドライバの指示により、上記不正性のファイルアクセス要求を記録するファイルシステムアクセス記録手段を備え、上記コンピュータウィルス監視プログラムは、上記不正性のファイルアクセス要求を検知したときは、上記仮想ファイルシステムドライバへ上記不正性のファイルアクセス要求を通知し、上記仮想ファイルシステムドライバは、上記不正性のファイルアクセス要求を受けて上記仮想デバイスドライバに上記囮ディスクデバイスへのディスクアクセス指示を行い、上記ファイルシステムアクセス記録手段は、上記不正性のファイルアクセス要求及びこの不正性のファイルアクセス要求に基づく上記囮ディスクデバイスでの動作内容を記録することを特徴とする請求項３記載のコンピュータ端末装置。

Images