JP2008287722A - リスクレベル分析装置およびリスクレベル分析方法 - Google Patents

Abstract

【課題】現在のシステムの執行プロセスを直接観察し、リスクレベルを判断可能な、リスクレベル分析装置およびリスクレベル分析方法を提供する。
【解決手段】現在の執行プロセスについての情報を獲得する情報獲得モジュール１と、操作システムの核心の執行プロセスの情報と、既知の危険なプログラムの執行プロセスの情報とを保存する情報保存モジュール２と、情報獲得モジュール１が獲得した執行プロセスの情報と、情報保存モジュール２が保存した執行プロセスの情報とを比較する類似度比較モジュール３と、類似度比較モジュール３によって得た比較結果に基づいて色で執行プロセスのリスクレベルを区別するリスクレベル表示モジュール４とを備える。このような装置によると、ウイルス駆除ソフトウェアを必要とせず、システムの現在の稼動環境を検査し判定が可能となる。
【選択図】図１

Description

本発明は、コンピューター情報のセキュリティーに関し、特に執行プロセスのリスクレベルを自動的に分析するリスクレベル分析装置およびリスクレベル分析方法に関する。

現今、システムの執行プロセスを検査する方法は次の通り二つある。一つはシステムに内蔵した執行プロセス検査機能によって執行プロセスの名前、ＣＰＵおよびその内部の使用率などの情報を確認することである。もう一つはサードパーティ製ソフトウェアから提供された執行プロセス検査方法を採用することである。この方法は前者の方法のうちの基本情報を確認するほかに執行プロセスの中のモジュールが稼動した目録、モジュール提供業者などの情報を確認することにより前者の機能増強を図ることができる。

しかしながら、これら二つの方法は次のような問題点を有する。
第１に、これら二つの方法では執行プロセスの関連情報のみを提供し、執行プロセスのセキュリティーを確保するか、または執行プロセスの情報の信憑性を確認することができない。そのため、ユーザーは提供された情報のみによって人為的かつ簡単に判断することしかできない。従って、システム中の危険性がある偽りの執行プロセスを見逃す可能性がある。

第２に、これら二つの方法ではユーザーは一定の判断が把握できても、システムのうちの新たに起動したか変化が発生した執行プロセスなどを確実かつ即時に監視し制御することはできない。ユーザーは上述した変化および危険性のある執行プロセスを確実に即時に発見できなければ、ユーザー側のシステムに危害を及ばしてしまう。
第３に、これら二つの方法ではシステムのうち危険性のある執行プロセスを全面的に判断する方法および、互いに対応する交互情報によって現在のシステムの執行プロセスに対しリスクを直接判断する方法はユーザーに提供できないため、ユーザーは自分自身の判断に頼るしかない。

本発明の主な目的は、現在のシステムの執行プロセスを直接観察し、リスクレベルを判断可能なリスクレベル分析装置を提供することにある。
本発明のもう一つの目的は、前記装置による執行プロセスのリスクレベルを自動的に分析するリスクレベル分析方法を提供することにある。

上述の目的を達成するために、本発明によるリスクレベル分析装置は、現在の執行プロセスについての情報獲得モジュール、既知の執行プロセスについての情報保存モジュール、類似度比較モジュールおよびリスクレベル表示モジュールを備える。

現在の執行プロセスについての情報獲得モジュールは、現在のシステムのあらゆる執行プロセスの相関的な情報を獲得する。
既知の執行プロセスについての情報保存モジュールは、操作システムの核心の執行プロセスの情報と、既知の危険なプログラムの執行プロセスの情報とを保存する。
類似度比較モジュールは、現在の執行プロセスについての情報獲得モジュールが獲得した執行プロセスの情報と、既知の執行プロセスについての情報保存モジュールが保存した執行プロセスの情報とを比較する。

リスクレベル表示モジュールは、類似度比較モジュールによって得た比較結果に基づいて色で執行プロセスのリスクレベルを区別する。
またリスクレベル分析装置は、リスクレベルが比較的高い執行プロセスを処理することをユーザーに通知し指導し、かつユーザーの需要に応じてリスクレベルに対する色表記および通知タイミングを設定するため、情報交互モジュールを備える。

また本発明によるリスクレベル分析方法は、次のステップを含む。
既知の執行プロセスの情報を読み取るステップは、既知の執行プロセスについての情報保存モジュールから既知の執行プロセスの情報を読み取る。
現在の執行プロセスの情報を獲得するステップは、現在の執行プロセスについての情報獲得モジュールによって現在のシステムのあらゆる執行プロセスの相関的な情報を獲得する。

類似度を比較するステップは、現在の執行プロセスについての情報獲得モジュールが獲得した執行プロセスの情報と、既知の執行プロセスについての情報保存モジュールが保存した執行プロセスの情報とを比較する。
リスクレベルを表示するステップは、類似度を比較するステップによって得た比較結果に基づいて色で執行プロセスのリスクレベルを区別する。

またリスクレベル分析方法は、リスクレベルが比較的高い執行プロセスを処理することをユーザーに通知・指導し、かつユーザーの需要に応じてリスクレベルに対する色表記および通知タイミングを設定するため、情報を交互に維持するステップを含む。

（発明の効果）
これにより、本発明の効果は次の通りである。
第１に、本発明は、ウイルス駆除ソフトウェアとサードパーティから提供されるソフトウェアを必要とせず、システムの現在の稼動環境を検査し判定することを可能にする簡易型の方法を採用するため、結果を比較的簡単に獲得することが可能となる。

第２に、ソフトウェア提供業者は本発明により比較規則データベースを確実に即時に更新し、新しいトロイの木馬型のウイルスまたは悪質なソフトウェアが発見された時、それらの執行プロセスの名前を確実に即時に獲得し、ユーザーに早期予防および注意を通知することが可能である。
第３に、本発明は現在のシステムにおいて不審な執行プロセスが稼動することを発見するとユーザーに通知するため、ユーザーはソフトウェアによる通知およびアドバスに基づいて不審な執行プロセスに対処することが可能である。

以下、本発明の実施形態を図面に基づいて説明する。
（第１実施形態）
図１に示すように、本発明によるリスクレベル分析装置は、下記のものを備える。
現在の執行プロセスについての情報獲得モジュール１は、現在のシステムのあらゆる執行プロセスの相関的な情報を獲得する。執行プロセスは執行プロセスの名前、径路、ＣＰＵおよびその内部の使用率などの基本の情報のほかに、執行プロセスにおいて稼動するモジュール目録、モジュール提供業者およびバージョンなどの情報を含む。

既知の執行プロセスについての情報保存モジュール２は、操作システムの核心の執行プロセスの情報と、既知の危険プログラムの執行プロセスの情報とを保存する。このモジュールは二つの作用を有する。
第一作用は操作システムの核心の執行プロセスの情報と、ソフトウェアが発表される前の既知の危険なプログラムの執行プロセスの情報とを、既知の執行プロセスについての情報保存モジュールに保存する。このステップは通常ソフトウェア提供業者がソフトウェアを発表する前に完成する。
第二作用は既知の執行プロセスの情報を即時に更新するため、起動または稼動過程ごとに新たに危険なプログラムの執行プロセスの相関的な情報を発見すると更新し保存を行うことができる。

操作システムの核心の執行プロセスの相関的な情報は、名前、径路、モジュールの名前（全角また半角の区別）、モジュール提供業者、バージョンの特徴などを含み、基本的に現在の執行プロセスの情報内容に相当する。既知の危険なプログラムは、トロイの木馬型のウイルス、スパイ行為を働くソフトウェアまたはコンピューターのセキュリティーに比較的大きい危害を及ばす悪質なプログラムなどを含む。それらの執行プロセスの情報は、一般的に執行プロセスの名前とよく知られている径路などを含む。

類似度比較モジュール３は、現在の執行プロセスについての情報獲得モジュールが獲得した執行プロセスの情報と、既知の執行プロセスについての情報保存モジュールが保存した執行プロセスの情報とを比較する。比較過程は認められた順に進めることも、ユーザーの設定によって進めることもできる。
本実施形態においては次の順に進む。

１）操作システムの核心の執行プロセスに対し、径路、ファイル名及びバージョンの特徴などを確認する。特にアルファベット、例えば“ｌ”（半角英数Ｌ）と、“１”（数字１）などによってシステムの執行プロセスを混乱させる不審な執行プロセスの場合、ユーザーには視覚で判断することが難しい。プログラムには比較し区別を行うか、操作システムの核心の執行プロセスと同名にすることが可能であるが、これは操作システムが指定した目録のうちの不審な執行プロセスに含まれていない。

２）ほかの執行プロセスに対し特徴を比較し、よく知られているトロイの木馬型の執行プロセスが存在しているか否かを確認する。
３）あらゆる執行プロセス所属のモジュールに対し、基本的な情報走査を行い、欠陥のある情報を発信したモジュールと相関的な執行プロセスとを見付ける。

リスクレベル表示モジュール４は、類似度比較モジュールによって得た比較結果に基づいて色で執行プロセスのリスクレベルを区別する。リスクレベルの判定はコンピューターシステムに対する危険程度によって行われるか、或いはまたユーザー側において個別的設定を行う。例えば危険程度によって不審な執行プロセスを“非常に危険”、“危険”、“比較的危険”、“危険の疑い”などの四種類に分類すると同時に異なる色で表示し、かつリスクレベルが高ければ高いほど、刺激性が強くなる色を使用することによって行うこともできる。

またリスクレベル分析装置は、リスクレベルが比較的高い執行プロセスを処理することをユーザーに通知し指導し、かつユーザーの需要に応じてリスクレベルに対する色表記および通知タイミングを設定するため、情報交互モジュール５を備える。これにより、リスクレベルが比較的高い執行プロセスを発見すると、メッセージ画面を表示することによってユーザーに通知し、かつ対応できる操作を提示することができる。

通知タイミング、即ちリスクレベルによるメッセージ画面の表示タイミングは、ユーザーの設定または認められた設定によって決めることができる。またリスクレベルの分類と色表記などの個別的設定を行うこと、新たに獲得した危険プログラムの執行プロセスに対する情報保存および既知の情報特徴データベースに対する更新をユーザーに通知することは、情報交互モジュール５によって実現することができる。

（第２実施形態）
図２に示すように、前記装置によって現在のシステムの執行プロセスに対し、リスクレベルを自動的に分析する本発明によるリスクレベル分析方法は、“起動”と“閉じる”を除いて次のステップを含む。

既知の執行プロセスの情報を読み取るステップＳ１は、既知の執行プロセスについての情報保存モジュールから既知の執行プロセスの情報を読み取る。既知の執行プロセスの情報は、操作システムの核心の執行プロセスの名前、径路、モジュールの名前（全角また半角の区別）、モジュール提供業者、バージョンの特徴および既知の危険プログラムの執行プロセスの名前、径路などを含む。

現在の執行プロセスの情報を獲得するステップＳ２は、現在の執行プロセスについての情報獲得モジュールによって現在のシステムのあらゆる執行プロセスの相関的な情報を獲得する。現在のシステムのあらゆる執行プロセスの相関的な情報は、操作システムの核心の執行プロセスの名前、径路、モジュールの名前（全角また半角の区別）、モジュール提供業者、バージョンの特徴および既知の危険プログラムの執行プロセスの名前、径路などを含む。

類似度を比較するステップＳ３は、現在の執行プロセスについての情報獲得モジュールが獲得した執行プロセスの情報と、既知の執行プロセスについての情報保存モジュールが保存した執行プロセスの情報とを比較する。つまりシステムの核心の執行プロセスが損壊または混乱しているか否か、よく知られているトロイの木馬型または悪質なプログラムの執行プロセスが存在しているか否か、及び欠陥のある情報を発信した執行プロセスのモジュールがあるか否かを検査する。このステップのうちの比較の順は調整することができる。

リスクレベルを表示するステップＳ４は、類似度を比較するステップによって得た比較結果に基づいて色で執行プロセスのリスクレベルを区別する。システムが認めた設定またはユーザーの設定に基づいたリスクレベルの分類と色によって、相関的な執行プロセスに標示を行い、執行プロセスのリスト明細に相関的な執行プロセスを異なる色で表示することができる。

リスクレベル分析方法は、さらに情報を交互に維持するステップＳ５を含む。情報を交互に維持するステップＳ５は、リスクレベルが比較的高い執行プロセスを処理することをユーザーに通知し指導し、かつユーザーの需要に応じてリスクレベルに対する色表記および通知タイミングを設定する。ユーザーが設定した通知タイミングまたはシステムが認めた通知タイミングに基づいてリスクレベルが比較的高い執行プロセスを発見すると、メッセージ画面を表示することによってユーザーに通知し、かつ対応できる操作を提示することができる。

またリスクレベルの分類と色表記などの個別的設定を行うこと、新たに獲得した危険プログラムの執行プロセルに対する情報保存および既知の情報特徴データベースに対する更新をユーザーに通知することも可能できる。
上述したステップでは、既知の執行プロセスの情報を読み取るステップと、現在の執行プロセスの情報を獲得するステップとを互換しても機能に影響を与えることがない。

以上掲示された実施例は説明のための一例に過ぎず、本発明の請求範囲を制限することができないため、この技術分野を熟知している技術者は本発明の精神に基づいて効果が同等な変更を行うことが本発明の請求範囲に属するべきである。

本発明の第１実施形態によるリスクレベル分析装置の構成を示す模式図。 本発明の第２実施形態によるリスクレベル分析方法のフローチャート。

符号の説明

１：情報獲得モジュール、２：情報保存モジュール、３：類似度比較モジュール、４：リスクレベル表示モジュール、５：情報交互モジュール

Claims (8)

1. 現在のシステムのあらゆる執行プロセスの相関的な情報を獲得するための現在の執行プロセスについての情報獲得モジュールと、
   操作システムの核心の執行プロセスの情報と、既知の危険なプログラムの執行プロセスの情報とを保存するための既知の執行プロセスについての情報保存モジュールと、
   現在の執行プロセスについての情報獲得モジュールが獲得した執行プロセスの情報と、既知の執行プロセスについての情報保存モジュールが保存した執行プロセスの情報とを比較するための類似度比較モジュールと、
   類似度比較モジュールによって得た比較結果に基づいて色で執行プロセスのリスクレベルを区別するためのリスクレベル表示モジュールと、
   を備えることを特徴とするリスクレベル分析装置。
2. リスクレベルが比較的高い執行プロセスを処理することをユーザーに通知し指導し、かつユーザーの需要に応じてリスクレベルに対する色表記および通知タイミングを設定するための情報交互モジュールをさらに備えることを特徴とする請求項１に記載のリスクレベル分析装置。
3. 情報交互モジュールは、新たに獲得した危険プログラムの執行プロセルの情報を保存し、既知の執行プロセスについての情報保存モジュールに保存された情報を更新することを、ユーザーに通知することを特徴とする請求項２に記載のリスクレベル分析装置。
4. 類似度比較モジュールは、システムの核心の執行プロセスの情報を比較することによりシステムの核心の執行プロセスが損壊または混乱しているか否かを判断すること、核心の執行プロセス以外の執行プロセスの情報を比較することにより悪質なプログラムの執行プロセスが存在しているか否かを判断すること、及びあらゆる執行プロセス所属のモジュールの基本的な情報を走査することにより欠陥のある情報を発信した執行プロセスのモジュールがあるか否かを判断することを行うことを特徴とする請求項１または請求項２または請求項３に記載のリスクレベル分析装置。
5. 既知の執行プロセスについての情報保存モジュールから既知の執行プロセスの情報を読み取る、即ち既知の執行プロセスの情報を読み取るステップと、
   現在の執行プロセスについての情報獲得モジュールによって現在のシステムのあらゆる執行プロセスの相関的な情報を獲得する、即ち現在の執行プロセスの情報を獲得するステップと、
   現在の執行プロセスについての情報獲得モジュールが獲得した執行プロセスの情報と、既知の執行プロセスについての情報保存モジュールが保存した執行プロセスの情報とを比較する、即ち類似度を比較するステップと、
   類似度を比較するステップによって得た比較結果に基づいて色で執行プロセスのリスクレベルを区別する、即ちリスクレベルを表示するステップと、
   を含むことを特徴とするリスクレベル分析方法。
6. リスクレベルが比較的高い執行プロセスを処理することをユーザーに通知し指導し、かつユーザーの需要に応じてリスクレベルに対する色表記および通知タイミングを設定し、情報を交互に維持するステップをさらに含むことを特徴とする請求項５に記載のリスクレベル分析方法。
7. 情報を交互に維持するステップは、新たに獲得した危険プログラムの執行プロセスの情報を保存し、既知の執行プロセスについての情報保存モジュールに保存された情報を更新することを、ユーザーに通知することを特徴とする請求項６に記載のリスクレベル分析方法。
8. 類似度を比較するステップは、システムの核心の執行プロセスの情報を比較することによりシステムの核心の執行プロセスが損壊または混乱しているか否かを判断すること、核心の執行プロセス以外の執行プロセスの情報を比較することにより悪質なプログラムの執行プロセスが存在しているか否かを判断すること、及びあらゆる執行プロセス所属のモジュールの基本的な情報を走査することにより欠陥のある情報を発信した執行プロセスのモジュールがあるか否かを判断することを含むことを特徴とする請求項５または請求項６または請求項７に記載のリスクレベル分析方法。

Images