JP2011118737A

JP2011118737A - ハードウェアのデータを監視する監視方法及び監視装置

Info

Publication number: JP2011118737A
Application number: JP2009276424A
Authority: JP
Inventors: Chin-Wei Tien; 田謹維; Yao-Ting Chung; 鍾耀霆; Chih-Hung Lin; 林志鴻; Jain-Shing Wu; 呉建興
Original assignee: Institute for Information Industry
Current assignee: Institute for Information Industry
Priority date: 2009-12-04
Filing date: 2009-12-04
Publication date: 2011-06-16

Abstract

【課題】ハードウェアのデータを監視するための監視方法及び監視装置を提供する。
【解決手段】該データは個人情報と、識別情報と、少なくとも１つの第１ネットワーク送信アドレスとを含む。本監視装置は記憶部と処理部とを備える。該データは該識別情報に従って該記憶部に記憶される。該処理部は該データの該識別情報と該少なくとも１つの第１ネットワーク送信アドレスとをマーク情報テーブルに格納するよう構成されている。送信システムコールに応答して、該データの該個人情報を該少なくとも１つの第１ネットワーク送信アドレスと異なる第２ネットワーク送信アドレスへ送信するよう手配する場合、該処理部は信号を出力し、この送信を止める。
【選択図】図１Ａ

Description

本発明は、ハードウェアのデータを監視するための監視方法及び監視装置、特に、個人情報を含むデータの不適正な送信を防ぐことができる監視方法及び監視装置に関する。

ＩＴ産業の発展と伴に、コンピュータ及びネットワークは日常生活において不可欠なものとなった。例えば、コンピュータによりネットワークを介して様々なデータを処理すること、異なる種類の情報を探すこと、及びデータを買ったり交換したりすることが人々にとって日常のことになっている。また、ネットワークサービス、例えばＥクレジットカードでアカウントを設定すること、インターネットを介して注文すること、及びウェブＡＴＭからお金を引き出すことも頻繁に利用されている。

上記のネットワークサービスを使用する時、通常、ユーザは自身の個人情報を含むデータをネットワークを介してネットワークサービスプロバイダーに送信しなければならない。この個人情報はアカウント／パスワード情報、ＩＤカード番号、又はオンライン取引記録等を含んでよい。通常、ユーザの個人情報を含むデータはブラウザーインターフェイスを介して送信される。このため、多くのハッカーは、ブラウザーインターフェイスに存在するバグを利用してネットワークサービスプロバイダーに送信されたデータを盗み、これにより個人情報侵害事件を引き起こす。

例えば、ユーザがアカウント／パスワードをネットワークサービスプロバイダー（例えばヤフー）のウェブページにおいて入力し、会員ページにログインした後、ユーザによって入力されたヤフーアカウント／パスワードに関連するデータは、ユーザのコンピュータ内に記憶パス及びデータ名を使用して記憶される。その後、ユーザがヤフーウェブページに再びログインしようとする時、コンピュータが該記憶パス及びデータ名を使用してヤフーアカウント／パスワードに関連する該データにアクセスすることで、ユーザは会員ページに直接ログインすることができる。この過程において、ハッカーは符号化スクリプト言語を介して悪意ウェアを実行させ、ヤフーアカウント／パスワードを含むデータをブラウザーを介してハッカーが予め指定したネットワークアドレスへ送信させるためにブラウザーのバグを利用することがある。

この問題を解決するために、従来技術は悪意ウェアを検出するためのソフトウェアを提供する。このソフトウェアは様々な悪意ウェアを解析し、これらの悪意ウェアの特徴（signature）のデータベースを構築する。従って、悪意ウェアを悪意ウェアの特徴に基づいて検出することができ、該ソフトウェアは悪意ウェアが実行され、ユーザの個人情報を含むデータがハッカーが予め指定したネットワークアドレスへ送信されるのを防止する。

しかし、スクリプト言語の特性により、従来の悪意ウェア検出ソフトウェアがスクリプト言語によって実行される悪意ウェアを検出することは困難であり、更に、全ての悪意ウェアの一般的特徴を含むデータベースを構築することは不可能である。言換えると、悪意ウェアのスクリプト言語が他の符号化モードで処理される場合、従来の悪意ウェア検出ソフトウェアは悪意ウェアを検出し解析することができないであろう。

従って、ネットワークサービスが高度化し、一方、悪意ウェアが氾濫しているので、個人情報が悪意ウェアによって不適正に送信されるのを防ぐことができる解決法を当業者が提供することが重要である。

本発明の目的は、ハードウェアのデータを監視するための監視装置を提供することである。該データは個人情報と、識別情報と、少なくとも１つの第１ネットワーク送信アドレスとを含む。本監視装置は記憶部と処理部とを備える。該記憶部はマーク情報テーブルを記憶し、該データを該識別情報に従って記憶するよう構成されている。該処理部は該データの該識別情報と該少なくとも１つの第１ネットワーク送信アドレスとを該マーク情報テーブルに格納するよう構成されている。該処理部はアクセスシステムコールに応答して該識別情報に従って該データにアクセスし、送信システムコールに応答して、該データの該個人情報の送信を手配する。該アクセスシステムコールは該識別情報に関連し、該送信システムコールは第２ネットワーク送信アドレスを有し、該処理部は該マーク情報テーブルに記憶された該データの該識別情報と該少なくとも１つの第１ネットワーク送信アドレスとに基づいて、該少なくとも１つの第１ネットワーク送信アドレスが該第２ネットワーク送信アドレスと同じか否かを判定する。該少なくとも１つの第１ネットワーク送信アドレスが該第２ネットワーク送信アドレスと同じでない場合、該処理部は信号を出力する。

本発明の別の目的は、ハードウェアのデータを監視するための監視方法を提供することである。該データは個人情報と、識別情報と、少なくとも１つの第１ネットワーク送信アドレスとを含む。該データは該識別情報に従って記憶部に記憶される。本監視方法は、処理部が該データの該識別情報と該少なくとも１つの第１ネットワーク送信アドレスとを該記憶部に記憶されたマーク情報テーブルに格納するのを可能にするステップと、該識別情報に関連するアクセスシステムコールに応答して、該処理部が該識別情報に従って該データにアクセスするのを可能にするステップと、第２ネットワーク送信アドレスを有する送信システムコールに応答して、該処理部が該データの該個人情報の送信を手配するのを可能にするステップと、該マーク情報テーブルに記憶された該データの該識別情報と該少なくとも１つの第１ネットワーク送信アドレスとに基づいて、該少なくとも１つの第１ネットワーク送信アドレスが該第２ネットワーク送信アドレスと同じか否かを該処理部が判定するのを可能にするステップと、該少なくとも１つの第１ネットワーク送信アドレスが該第２ネットワーク送信アドレスと同じでない場合、該処理部が信号を出力するのを可能にするステップとを含む。

また、上記の目的を達成するために、本発明は、ハードウェアのデータを監視するための上記監視方法を実行する実行可能コードを有する有形の機械読取り可能媒体からなるコンピュータプログラム記憶製品を更に提供する。該実行可能コードがコンピュータを介して監視装置にロードされ実行された時、上記監視方法が実施される。

要約すると、本発明において開示される監視方法及び監視装置は、マーク情報テーブルに個人情報を含むデータの識別情報と、該データの送信先であるネットワーク送信アドレスとを記憶する。また、該個人情報を含む該データが送信されるよう手配された時、システムコールとマーク情報テーブルに記憶された該識別情報とに従って、本発明はマーク情報テーブルに記憶された該ネットワーク送信アドレスと該手配された送信のネットワーク送信アドレスとを比較する。このようにして、本発明は悪意ウェアによる個人情報の不適正な送信を防止することができる。

本発明の詳細な技術と好適な実施形態を下記において添付の図面を参照しながら当業者が本発明の特徴をよく理解できるように説明する。

本発明の第１の実施形態に係る監視装置の概略図である。本発明の第１の実施形態に係るマーク情報テーブルの概略図である。本発明の第２の実施形態に係る監視方法のフローチャートである。

下記の説明において、本発明を実施形態を参照しながら説明する。本発明はハードウェアのデータを監視するための監視方法及び監視装置に関する。本発明は個人情報を含むデータが悪意ウェアによって指定されたネットワーク送信アドレスへ送信されるのを防止することができる利点がある。下記の実施形態及び添付の図面において、本発明に関連のない構成要素の説明は省略されており、添付の図面内の個別の構成要素間の寸法関係は、理解の容易さのためだけに例示され、実際の大きさを限定するためではない。

図１Ａに示すように、本発明の第１の実施形態は、ハードウェア１のデータを監視するための監視装置１１である。ハードウェア１はメモリー１３と表示ユニット１５とを備える。ユーザは、オペレーションシステム（不図示）を介してハードウェア１の個々の部品を制御することができる。このオペレーションシステムは様々な商業上入手可能なオペレーションシステム、例えばWindows（登録商標）オペレーションシステム、Macintoshオペレーションシステム、Linuxオペレーションシステム、又はUnix（登録商標）オペレーションシステムの１つである。第１の実施形態において、オペレーションシステムはWindowsオペレーションシステムである。ハードウェア１はパーソナルコンピュータ（ＰＣ）、又はアップルコンピュータ社のMacintosh（ＭＡＣ）であり、第１の実施形態では、ハードウェア１はＰＣである。本発明はオペレーションシステム１５及びハードウェア１の種類を限定するものではないことは理解されるべきである。当業者は本発明を他の種類のオペレーションシステム、ハードウェア、及びこれらの組合せを使用して実施する可能性があるが、これについては更なる説明を省略する。

監視装置１１は記憶部１１１と処理部１１３とを備える。監視装置１１はメモリー１３と表示ユニット１５とに電気的に接続されている。記憶部１１１はマーク情報テーブル１０を記憶するよう構成されている。ユーザが個人情報を含むデータ２をブラウザー（不図示）及びハードウェア１を介して第１ネットワーク送信アドレス２０へ送信しようとする時、処理部１１３は記憶部１１１及び／又はメモリー１３にデータ２を記憶パス及びデータ名に従って格納する。この記憶パス及びデータ名はデータ２の識別情報２２である。また、処理部１１３はデータ２の識別情報２２と第１ネットワーク送信アドレス２０とをマーク情報テーブル１０に格納する。

例えば、ユーザが個人情報、即ちアカウント／パスワードを含むデータ２をブラウザー及びハードウェア１を介してネットワークサービスプロバイダー（例えばヤフー）サーバーの第１ネットワーク送信アドレス２０（例えば209.191.93.53）に送信しようとする時、処理部１１３は記憶部１１１及び／又はメモリー１３にデータ２を記憶パス（例えばC:\Documents and Settings\user\Local Settings\Cookies\cookie:user@yahoo.com）及びデータ名（例えばcookie:user@yahoo.com）に従って格納する。また、処理部１１３は記憶パス“C:\Documents and Settings\user\Local Settings\Cookies\cookie:user@yahoo.com”、データ名“cookie:user@yahoo.com”、及び第１ネットワーク送信アドレス“209.191.93.53”をマーク情報テーブル１０に格納する。

なお、本発明においては、マーク情報テーブル１０に記憶される第１ネットワーク送信アドレス２０の数に制限はない。言換えると、ユーザは同じ識別情報２２を含むデータ２を複数の第１ネットワーク送信アドレス２０にブラウザー及びハードウェア１を介して送信してもよい。当業者は他の第１ネットワーク送信アドレス２０を更に記憶させてもよい。これについては更なる詳細の説明を省略する。

個人情報は、ユーザの秘密情報、例えばアカウント／パスワード情報、クッキー（cookie）情報、及びブラウザー自動補完データ情報である。本発明においては、個人情報の種類に制限はない。当業者は個人情報の種類と量を任意に設定することができる。これについては更なる説明を省略する。

処理部１１３がアクセスシステムコール１２に応答して識別情報２２に従ってデータ２にアクセスする時、処理部１１３は一連の手続きを実行する。このアクセスシステムコール１２は識別情報２２に関連している。例えば、アクセスシステムコール１２はデータオープンシステムコール、データリードシステムコール、データコピーシステムコール、データ移動システムコール、データクローズシステムコール、又はメモリークリアシステムコールである。

本実施形態では、データオープンシステムコールに応答して、処理部１１３が識別情報２２に従ってデータ２を開く。ここで、データオープンシステムコールはパス・パラメータを有し、このパス・パラメータは識別情報２２に対応している。より詳細には、処理部１１３は下記のプログラムコードからデータ２を開くことを決定する。

HANDLE WINAPI OpenFile(
_in LPCSTR cookie:user@yahoo.com,
_out LPOFSTRUCT
lpReOpenBuff,
_in UNIT uStyle)

ここで、“OpenFile”はデータオープンシステムコールを表し、“cookie:user@yahoo.com”はデータ２のデータ名を表し、“HANDLE”は識別情報２２に対応するパス・パラメータである。言換えると、識別情報２２に関連するパス・パラメータ“HANDLE”を有する他のシステムコールがあると、それらシステムコールは全てデータ２をアクセスするためのものであることを示す。処理部１１３はマーク情報テーブル１０の識別情報２２に従ってデータ２を開くことを決定すると、全ての関係するシステムコールの監視と記録を開始する。

次に、データリードシステムコールに応答して、処理部１１３は第１メモリーアドレス１３１にデータ２の個人情報を格納する。ここで、データリードシステムコールは上記パス・パラメータを有し、このパス・パラメータは第１メモリーアドレス１３１に対応している。また、処理部１１３は下記のプログラムコードからデータ２をリードすることを決定する。

BOOL WINAPI ReadFileEx(
_in HANDLE cookie:user@yahoo.com,
_out_opt LPVOID lpBuffer,
_in DWORD
nNumberOfBytesToRead,
_inout LPOVERLAPPED
lpOverlapped,)

ここで、“ReadFileEx”はデータリードシステムコールを表す。処理部１１３はパス・パラメータ“HANDLE”が識別情報２２に関連しているので、データ２をリードすることを決定する。また、パラメータ“lpBuffer”はメモリー１３の第１メモリーアドレス１３１（例えば0x04e463b9）を表す。データ２は第１メモリーアドレス１３１に記憶される。次に、処理部１１３は、データ２の個人情報が記憶されたメモリーアドレス（即ち、第１メモリーアドレス１３１）を記憶部１１１に記録する。

本実施形態では、データコピーシステムコール及び／又はデータ移動システムコールに応答して、処理部１１３はデータ２の個人情報をメモリー１３の第１メモリーアドレス１３１から第２メモリーアドレス１３３にコピー及び／又は移動する。データ２の個人情報をコピー及び／又は移動した後、処理部１１３はデータ２の個人情報が現在記憶されているメモリーアドレスを記憶部１１１に記録及び／又は更新する。データコピーシステムコール及びデータ移動システムコールについて下記にそれぞれ説明する。

詳細には、下記のプログラムコードから、処理部１１３は、データ２の個人情報を第１メモリーアドレス１３１から第２メモリーアドレス１３３にコピーすることを決定する。

void *memcpy(
void *dest,
const void *src,)

ここで、“memcpy”はデータコピーシステムコールを表し、パラメータ“*dest”は第２メモリーアドレス１３３（例えば0x00123456）を表し、パラメータ“*src”は第１メモリーアドレス１３１（例えば0x04e463b9）を表す。一方、処理部１１３は下記のプログラムコードからデータ２を第１メモリーアドレス１３１から第２メモリーアドレス１３３へ移動することを決定する。

mov eax[ebx]

“mov”はデータ移動システムコールを表し、パラメータ“eax”は第２メモリーアドレス１３３（例えば0x00123456）を表し、パラメータ“ebx”は第１メモリーアドレス１３１（例えば0x04e463b9）を表す。

なお、データクローズシステムコール、又はメモリークリアシステムコールに応答して、処理部１１３がデータ２を閉じるか又はクリアすると、処理部１１３はマーク情報テーブル１０に基づいて個人情報を含むデータがどれかアクセスされていないか監視を続ける。他の実施形態では、処理部１１３は下記のプログラムコードからデータ２を閉じるか又はクリアすることを決定する。

int FileClose(
Handle cookie:user@yahoo.com
);
free(
*ptr
);
xor [eax][eax]
[eax]=[eax]^[eax]

ここで、“FileClose”及び“free”はそれぞれ、データクローズシステムコール及びメモリークリアシステムコールを表す。パス・パラメータ“Handle”が識別情報２２に関連しているので、処理部１１３はデータ２を閉じることを決定する。また、パラメータ“*ptr”は閉じる対象のデータに対応するメモリーアドレスを表し、パラメータ“eax”はクリアする対象のデータに対応するメモリーアドレスを表す。処理部１１３はパラメータ“*ptr”又は“eax”を現在記憶されているデータ２の個人情報に対応するメモリーアドレス（即ち、第２メモリーアドレス１３３）と比較し、両者が同じか否かを調べる。同じである場合、このことはデータ２を閉じるかクリアすることを意味する。

従って、本発明は、データベースと比較することで悪意ウェアを検出する従来の方法と異なる。本発明の監視装置１１は、データ２の個人情報をアクセスするためのシステムコールがあるかを各システムコールのパス・パラメータから判断する。また、監視装置１１は、パス・パラメータに対応するメモリーアドレスに従って記憶されているデータ２の個人情報に対応するメモリーアドレスを記録及び／又は更新することで、監視装置１１は下記の監視を行うことができる。

引き続き、送信システムコール１４に応答して、処理部１１３はデータ２の個人情報の送信を手配する。より詳細には、送信システムコール１４は送信データメモリーアドレスと第２ネットワーク送信アドレス（不図示）とを有する。本実施形態では、この第２ネットワーク送信アドレスは、悪意ウェアによって設定されたネットワーク送信アドレス（例えば129.342.33.22）である。処理部１１３は、下記のプログラムコードに従ってデータ２の個人情報の該第２ネットワーク送信アドレスへの送信を手配する。

int connect(
_in SOCKET s,
_in const struct
sockaddr *name,
_in int namelen);
int send(
_in SOCKET s,
_in const char
*buf,
_in int len,
_in int flags)

ここで、“connect”は遠隔接続を確立するためのシステムコールを表し、“send”は確立された接続を介してデータ２の個人情報を送信するためのシステムコールを表し、パラメータ“*name”は該第２ネットワーク送信アドレス（例えば129.342.33.22）を表し、パラメータ“*buf”は送信データメモリーアドレスを表す。処理部１１３は送信データメモリーアドレス（即ち、パラメータ“*buf”の値）を読み出し、この送信データメモリーアドレスが、現在記憶されているデータ２の個人情報に対応するメモリーアドレス（即ち、第１メモリーアドレス１３１及び／又は第２メモリーアドレス１３３）と同じか否かを判定する。

処理部１１３が送信データメモリーアドレス（即ち、パラメータ“*buf”の値）が第１メモリーアドレス１３１（例えば0x04e463b9）及び／又は第２メモリーアドレス１３３（例えば0x00123456）と同じと判定した場合、このことはデータ２の個人情報を悪意ウェアによって指定されたネットワーク送信アドレスへ送信することを意味する。次に、処理部１１３は第２ネットワーク送信アドレスが第１ネットワーク送信アドレス２０と同じか否かをマーク情報テーブル１０に記憶されたデータ２の識別情報２２と第１ネットワーク送信アドレス２０とに基づいて判定する。本実施形態では、第２ネットワーク送信アドレス（例えば129.342.33.22）は第１ネットワーク送信アドレス２０（例えば209.191.93.53）と同じでない。このことはデータ２の個人情報を悪意ウェアによって指定されたネットワーク送信アドレスへ送信することを意味する。従って、処理部１１３は信号１００を表示ユニット１５へ出力する。

次に、表示ユニット１５は信号１００に従って警報メッセージを表示し、処理部１１３は信号１００に従ってデータ２の個人情報の送信を止める。一方、第２ネットワーク送信アドレスが第１ネットワーク送信アドレス２０と同じである場合、処理部１１３はデータ２の個人情報を第２ネットワーク送信アドレスへ送信する。

他の実施形態では、処理部１１３が送信データメモリーアドレス（即ち、パラメータ“*buf”の値）が第１メモリーアドレス１３１及び／又は第２メモリーアドレス１３３と同じでないと判定した場合、このことは送信対象のデータは個人情報を含まないことを意味する。処理部１１３は該データの送信を処理し、処理部１１３はネットワーク送信アドレスを比較するステップを実行しない。

次に、処理部１１３はシステムコールがデータ２の個人情報の送信を連続的に実行しているかを監視し続ける。同時に、処理部１１３はマーク情報テーブル１０に基づいて個人情報を含む他のデータがアクセスされているかを監視し続ける。

図２は、ハードウェアのデータを監視するための監視方法である本発明の第２の実施形態を示す。本発明の監視方法は第１の実施形態で説明した監視装置１１等の監視装置において使用することができる。監視装置は記憶部と処理部とを備える。該データは個人情報、識別情報、及び少なくとも１つの第１ネットワーク送信アドレスを含む。該データは該識別情報に従って該記憶部に記憶される。該個人情報はアカウント／パスワード情報、クッキー（cookie）情報、及びブラウザー自動補完データ情報のうちの１つであってもよい。

特に、第２の実施形態の監視方法は、有形の機械読取り可能媒体からなるコンピュータプログラム記憶製品によって実現されてもよい。有形の機械読取り可能媒体に記憶された複数の実行可能コードがコンピュータを介して監視装置にロードされた後、該実行可能コードが実行され本発明の監視方法が実施される。これらの実行可能コードは有形の機械読取り可能媒体、例えば読出し専用メモリー（ＲＯＭ）、フラッシュメモリー、フロッピー（登録商標）ディスク、ハードディスク、コンパクトディスク、携帯ディスク、磁気テープ、ネットワークに接続されたデータベース、又は同じ機能を有し当業者に周知の他の任意の記憶媒体に記憶されてよい。

第２の実施形態の監視方法は下記のステップを含む。先ず、ステップ２０１が実行され、処理部が該データの該識別情報と、該少なくとも１つの第１ネットワーク送信アドレスとをマーク情報テーブルに格納するのを可能にする。該マーク情報テーブルは該記憶部に記憶される。該識別情報は記憶パスとデータ名とを含み、該データは該記憶部に該記憶パスとデータ名に従って記憶される。

次に、ステップ２０２において、該識別情報に関連するアクセスシステムコールに応答して、該処理部は該識別情報に従って該データにアクセスする。

例えば、データオープンシステムコールに応答して、該処理部はステップ２０２において、該識別情報に従って該データを開く。該データオープンシステムコールは該識別情報に対応するパス・パラメータを有する。引き続き、データリードシステムコールに応答して、該処理部は該データの該個人情報を第１メモリーアドレスにも格納する。該データリードシステムコールは該第１メモリーアドレスに対応する該パス・パラメータを有する。

１つの実施形態では、データコピーシステムコールに応答して、該処理部は該データの該個人情報を該第１メモリーアドレスから第２メモリーアドレスにコピーする。或いは、別の実施形態では、データ移動システムコールに応答して、該処理部は該データの該個人情報を該第１メモリーアドレスから第２メモリーアドレスへ移動する。最後に、該処理部は記憶されている該データの該個人情報に対応するメモリーアドレス（即ち、第１メモリーアドレス及び／又は第２メモリーアドレス）を該記憶部に記録／更新する。ステップ２０２の詳細は第１の実施形態において説明した。従って、更なる説明を省略する。

ステップ２０３において、送信システムコールに応答して、該処理部は該データの該個人情報の送信を手配する。該送信システムコールは送信データメモリーアドレスと第２ネットワーク送信アドレスとを有する。次に、ステップ２０４において、該処理部は該送信システムコールの送信データメモリーアドレスを読み出し、この送信データメモリーアドレスが、記憶されている該データの個人情報に対応するメモリーアドレス（即ち、第１メモリーアドレス及び／又は第２メモリーアドレス）と同じか否かを判定する。同じである場合は、ステップ２０５において、該処理部はマーク情報テーブルに記憶された該データの識別情報と少なくとも１つの第１ネットワーク送信アドレスとに基づいて該少なくとも１つの第１ネットワーク送信アドレスが該第２ネットワーク送信アドレスと同じか否かを判定する。

ステップ２０５において、該処理部が第２ネットワーク送信アドレスは該少なくとも１つの第１ネットワーク送信アドレスと同じであると判定すると、ステップ２０６において、該データの該個人情報が該第２ネットワーク送信アドレスへ送信される。本監視方法はステップ２０２に戻り、他のアクセスシステムコールが他のデータをアクセスするのを待つ。ステップ２０５において、該処理部が第２ネットワーク送信アドレスは該少なくとも１つの第１ネットワーク送信アドレスと同じでないと判定すると、ステップ２０７が実行され該処理部は信号を出力する。次に、ステップ２０８において、表示ユニットがこの信号に従って警報メッセージを表示する。最後に、ステップ２０９が実行され該処理部はこの信号に従って該データの該個人情報の送信を止める。次に、本監視方法はステップ２０２に戻り、他のアクセスシステムコールが他のデータをアクセスするのを待つ。

該処理部が該送信データメモリーアドレスは該第１メモリーアドレス及び／又は第２メモリーアドレスと同じでないと判定すると、このことは該データの送信対象の情報が該個人情報でないことを意味する。本監視方法は次にステップ２０６を実行し、該データの該情報を該第２ネットワーク送信アドレスへ送信し、次に、ステップ２０２に戻り、他のアクセスシステムコールが他のデータをアクセスするのを待つ。

上記ステップに加えて、本発明の監視方法は第１の実施形態で述べた動作及び機能の全てを実行することもできる。当業者は、第１の実施形態の説明に基づいて本発明の監視方法がこれらの動作及び機能を実行する仕方を容易に理解するであろう。従って、更なる説明を省略する。

要約すると、本発明において開示した監視方法及び監視装置は、マーク情報テーブルにデータの識別情報と、該データの送信先であるネットワーク送信アドレスとを記憶することができる。本発明は個人情報を含む該データを各システムコールに応じて監視し、送信システムコールが個人情報を含む該データをマーク情報テーブルに記憶されたいずれのネットワーク送信アドレスとも一致しないネットワーク送信アドレスへ送信しようとしている場合、該データの個人情報の送信を止める。従って、本発明は悪意ウェアによる個人情報の不適正な送信を防止することができる。

上記において、詳細な技術的内容と独創的な特徴を開示した。当業者は、本発明の開示及び示唆に基づいて本発明の範囲を逸脱することなく様々な変更及び置換えを想到する可能性がある。そのような変更及び置換えは、上記説明において完全には開示されていないが、添付の請求項にほぼ記載されている。

１ハードウェア
２データ
１０マーク情報テーブル
１１監視装置
１２アクセスシステムコール
１３メモリー
１４送信システムコール
１５表示ユニット
２０第１ネットワーク送信アドレス
２２識別情報
１１１記憶部
１１３処理部

Claims

個人情報と、識別情報と、少なくとも１つの第１ネットワーク送信アドレスとを含むハードウェアのデータであって、該識別情報に従って記憶部に記憶された該データを監視するための監視方法であって、
処理部が該データの該識別情報と該少なくとも１つの第１ネットワーク送信アドレスとを該記憶部に記憶されたマーク情報テーブルに格納するのを可能にするステップと、
該識別情報に関連するアクセスシステムコールに応答して、該処理部が該識別情報に従って該データにアクセスするのを可能にするステップと、
第２ネットワーク送信アドレスを有する送信システムコールに応答して、該処理部が該データの該個人情報の送信を手配するのを可能にするステップと、
該マーク情報テーブルに記憶された該データの該識別情報と該少なくとも１つの第１ネットワーク送信アドレスとに基づいて、該少なくとも１つの第１ネットワーク送信アドレスが該第２ネットワーク送信アドレスと同じか否かを該処理部が判定するのを可能にするステップと、
該少なくとも１つの第１ネットワーク送信アドレスが該第２ネットワーク送信アドレスと同じでない場合、該処理部が信号を出力するのを可能にするステップと
を含む監視方法。
前記識別情報は記憶パスとデータ名とを含み、前記データは該記憶パスと該データ名とに従って前記記憶部に記憶され、前記個人情報はアカウント／パスワード情報、クッキー情報、及びブラウザー自動補完データ情報のうちの１つである請求項１に記載の監視方法。
前記データにアクセスする前記ステップは、
パス・パラメータを有するデータオープンシステムコールに応答して、前記処理部が前記識別情報に従って該データを開くのを可能にするステップと、
該パス・パラメータを有するデータリードシステムコールに応答して、該処理部が該データの前記個人情報を第１メモリーアドレスに格納するのを可能にするステップと
を含み、
該パス・パラメータは該識別情報と該第１メモリーアドレスとに対応している請求項１に記載の監視方法。
前記送信システムコールは送信データメモリーアドレスを有し、前記データの前記個人情報の送信を手配する前記ステップは、
前記処理部が該送信システムコールの該送信データメモリーアドレスを読み出すのを可能にするステップと、
該処理部が、該送信データメモリーアドレスが前記第１メモリーアドレスと同じか否かを判定するのを可能にするステップと
を含み、
該送信データメモリーアドレスが該第１メモリーアドレスと同じ場合、該処理部は該データの該個人情報の送信を手配する請求項３に記載の監視方法。
前記ハードウェアは表示ユニットを備え、
該表示ユニットが前記信号に従って警報メッセージを表示するのを可能にするステップを更に含む請求項１に記載の監視方法。
個人情報と、識別情報と、少なくとも１つの第１ネットワーク送信アドレスとを含むハードウェアのデータを監視するための監視装置であって、
マーク情報テーブルを記憶し、該データを該識別情報に従って記憶するよう構成された記憶部と、
該データの該識別情報と該少なくとも１つの第１ネットワーク送信アドレスとを該マーク情報テーブルに格納し、アクセスシステムコールに応答して該識別情報に従って該データにアクセスし、送信システムコールに応答して、該データの該個人情報の送信を手配するよう構成された処理部と
を備え、
該アクセスシステムコールは該識別情報に関連し、該送信システムコールは第２ネットワーク送信アドレスを有し、該処理部は該マーク情報テーブルに記憶された該データの該識別情報と該少なくとも１つの第１ネットワーク送信アドレスとに基づいて、該少なくとも１つの第１ネットワーク送信アドレスが該第２ネットワーク送信アドレスと同じか否かを判定するよう更に構成され、該少なくとも１つの第１ネットワーク送信アドレスが該第２ネットワーク送信アドレスと同じでない場合、該処理部は信号を出力する監視装置。
前記識別情報は記憶パスとデータ名とを含み、前記処理部は前記データを該記憶パスと該データ名とに従って前記記憶部に格納し、前記個人情報はアカウント／パスワード情報、クッキー情報、及びブラウザー自動補完データ情報のうちの１つである請求項６に記載の監視装置。
前記アクセスシステムコールはデータオープンシステムコールとデータリードシステムコールとを含み、該データオープンシステムコールは前記識別情報に対応するパス・パラメータを有し、該データリードシステムコールは第１メモリーアドレスに対応するパス・パラメータを有し、前記処理部は該データオープンシステムコールに応答して該識別情報に従って前記データを開き、該データリードシステムコールに応答して該データの前記個人情報を該第１メモリーアドレスに格納するよう更に構成されている請求項６に記載の監視装置。
前記送信システムコールは送信データメモリーアドレスを有し、前記処理部が該送信システムコールの該送信データメモリーアドレスを読み出し、該送信データメモリーアドレスが前記第１メモリーアドレスと同じか否かを判定し、該送信データメモリーアドレスが該第１メモリーアドレスと同じ場合、前記データの前記個人情報の送信を手配する請求項８に記載の監視装置。
前記ハードウェアは、前記信号に従って警報メッセージを表示するよう構成された表示ユニットを備える請求項９に記載の監視装置。