JP2016009308A

JP2016009308A - マルウェア検出方法、システム、装置、ユーザｐｃ及びプログラム

Info

Publication number: JP2016009308A
Application number: JP2014129173A
Authority: JP
Inventors: 隆宏松村; Takahiro Matsumura; 一彦大久保; Kazuhiko Okubo; 和憲神谷; Kazunori Kamiya; 充弘畑田; Mitsuhiro Hatada; 恭弘奥村; Kiyohiro Okumura
Original assignee: Nippon Telegraph and Telephone Corp; NTT Communications Corp
Current assignee: Nippon Telegraph and Telephone Corp; NTT Communications Corp
Priority date: 2014-06-24
Filing date: 2014-06-24
Publication date: 2016-01-18

Abstract

【課題】タイムボムなど、トリガーメカニズム下で起動するマルウェアを効率的に検知する。
【解決手段】マルウェアに対する実行環境を仮想的に提供するユーザＰＣと、ユーザＰＣに接続してユーザＰＣにおける仮想環境を制御するマルウェア検出装置とを設ける。マルウェア検出装置において、マルウェアである可能性を有する擬陽性ファイルを選択し、マルウェアがトリガーされることが想定される仮想環境を設定登録する。ユーザＰＣは、マルウェア検出装置の指示に基づき、擬陽性ファイルをそのユーザＰＣ内に格納し、指定された仮想環境をそのユーザＰＣに設定して、異常が発生しないか異常を検出する。
【選択図】図６

Description

本発明は、パーソナルコンピュータ（ＰＣ：personal computer）などのコンピュータにおけるマルウェア(malware)検知技術に関し、特に、標的型攻撃タイプなどのマルウェアを予防的に検知する技術に関する。

マルウェアは、コンピュータプログラムの一種であり、コンピュータ内で実行されると、情報を盗み出したり削除したりといったユーザにとって有害な活動を行うものである。マルウェアの中でも特定のコンピュータあるいはユーザを対象とする標的型攻撃のものは、深刻な被害をもたらすことが多く、大きなセキュリティリスクとなっている。

標的攻撃型マルウェアなどのセキュリティリスクを検知し分析する技術として、非特許文献１には、標的型攻撃等のセキュリティリスクの検知・分析機能を強化したセキュリティ情報・イベント管理エンジンが示されている。このエンジンは、高度な自己相関分析によるセキュリティリスクの検知や脅威レベルの自動評価機能を備えており、ログでの長時間の変化から攻撃を検知したり、悪性サイトを効率的に発見することができる。

（報道発表資料）標的型攻撃など未知のセキュリティリスクも対応可能なセキュリティ運用基盤の構築および総合リスクマネジメントサービスのグローバル展開について，ＮＴＴコミュニケーションズ株式会社、Integralis AG、Secode AB、日本電信電話株式会社、２０１３年２月７日、［Online］［2014年4月11日検索］、インターネット〈ＵＲＬ：http://www.ntt.com/release/monthNEWS/detail/pdf/20130207.pdf〉

標的型攻撃マルウェアには種々の形態のものがあるが、これらの中には、一定の日時に至ることで起動される時限爆弾式マルウェア（タイムボム(time bomb)）や、一定の操作が実行されたり一定の条件が満たされることで起動されるタイプのマルウェアが存在する。こうした一定の条件、すなわちトリガーメカニズム下でのみ起動されるタイプのマルウェアを検出することは、非特許文献１に記載された方法でも困難な場合がある。このタイプのマルウェアは、ウイルスコードの特徴を比較することによるウイルス検査プログラムからの発見は非常に難しい。

そこで本発明の目的は、タイムボムなど、トリガーメカニズム下で起動するマルウェア（いわゆるロジックボム(logic bomb)；論理爆弾）を効率的に検知することができるマルウェア検出方法及びシステムと、このシステムで用いられるマルウェア検出装置及びユーザＰＣと、を提供することにある。

本発明のマルウェア検出方法は、マルウェアに対する実行環境を仮想的に提供するユーザＰＣに接続してユーザＰＣにおける仮想環境を制御するマルウェア検出装置が、マルウェアである可能性を有する擬陽性ファイルを選択して、ユーザＰＣに対し、そのユーザＰＣ内に擬陽性ファイルを保存させることと、ユーザＰＣが、マルウェア検出装置から受け取った擬陽性ファイルをそのユーザＰＣ内に保存することと、マルウェア検出装置が、マルウェアがトリガーされることが想定される仮想環境を設定登録し、ユーザＰＣに対しそのユーザＰＣにおいて仮想環境を設定するように指示することと、ユーザＰＣが、マルウェア検出装置から指示された仮想環境をそのユーザＰＣに設定することと、ユーザＰＣにおいて異常が発生しないか異常を検出することと、を含む。

本発明のマルウェア検出システムは、マルウェアに対する実行環境を仮想的に提供するユーザＰＣと、ユーザＰＣに接続してそのユーザＰＣにおける仮想環境を制御するマルウェア検出装置と、を備え、マルウェア検出装置は、マルウェアである可能性を有する擬陽性ファイルを選択して、ユーザＰＣに対しそのユーザＰＣ内に擬陽性ファイルを保存させる擬陽性ファイル選択部と、マルウェアがトリガーされることが想定される仮想環境を設定登録し、ユーザＰＣに対しそのユーザＰＣにおいて仮想環境を設定するように指示する仮想環境設定部と、を含み、ユーザＰＣは、マルウェア検出装置から擬陽性ファイルを受け取ってそのユーザＰＣ内に保存する擬陽性ファイル受信部と、マルウェア検出装置から指示された仮想環境をそのユーザＰＣに設定する仮想環境設定部と、そのユーザＰＣにおいて異常が発生しないか異常を検出する異常検出部と、を含む。

本発明のマルウェア検出装置は、マルウェアに対する実行環境を仮想的に提供するユーザＰＣに接続してユーザＰＣでの仮想環境を制御するマルウェア検出装置であって、マルウェアである可能性を有する擬陽性ファイルを選択して、ユーザＰＣに対しそのユーザＰＣ内に擬陽性ファイルを保存させる擬陽性ファイル選択部と、マルウェアがトリガーされることが想定される仮想環境を設定登録し、ユーザＰＣに対しそのユーザＰＣにおいて仮想環境を設定するように指示する仮想環境設定部と、を有する。

本発明のユーザＰＣは、マルウェア検出装置に接続してマルウェアに対する実行環境を仮想的に提供するユーザＰＣであって、マルウェア検出装置から、マルウェアである可能性を有する擬陽性ファイルを受け取って、ユーザＰＣ内に保存する擬陽性ファイル受信部と、マルウェア検出装置から指示された仮想環境をユーザＰＣに設定する仮想環境設定部と、異常が発生しないか異常を検出する異常検出部と、を有する。

本発明は、マルウェア検出装置において仮想的な設定の組み合わせを自動的に大量に作成してユーザＰＣに設定し、ユーザＰＣにおいて各組み合わせごとにマルウェアの検出を行うことで、ロジックボム等のマルウェアを効率的に検出することができるようになるという効果を有する。

マルウェア検出システムの全体の構成を示す図である。ユーザＰＣの構成を示すブロック図である。マルウェア検出装置の構成を示すブロック図である。仮想環境の設定例を示す図である。マルウェア検出装置でのレポートの作成例を示す図である。マルウェアを検出するための処理手順を示すフローチャートである。

次に、本発明の好ましい実施の形態について、図面を参照して説明する。図１は、本発明の実施の一形態のマルウェア検出システムの全体の構成を示している。

このシステムは、マルウェアが標的とするであろうＰＣ（以下、攻撃対象ＰＣと呼ぶ）と同様のＰＣであるユーザＰＣ１１を用意し、マルウェアの疑いがあるファイルすなわち擬陽性ファイルをユーザＰＣ１１に読み込ませ、ユーザＰＣ１１の挙動を監視することで、擬陽性ファイルがマルウェアかどうかを判定するものである。ユーザＰＣ１１は、ハードウェア条件やオペレーティングシステム（ＯＳ；operating system）が攻撃対象ＰＣと同様のものにされているが、攻撃対象ＰＣそのものではないため、マルウェアが想定しているトリガーがそのままではユーザＰＣ１１において発生しないと考えられる。そこで、本実施形態では、攻撃対象ＰＣの挙動をシミュレートしてマルウェアがトリガーされるようにユーザＰＣ１１の環境を仮想的に設定し、仮想的に環境が設定されたユーザＰＣ１１でマルウェアがトリガーされたことを検出するようにする。そのためこのマルウェア検出システムでは、仮想的な環境でこの擬陽性ファイルを試す１または複数のユーザＰＣ１１がネットワーク１０に接続しており、このネットワーク１０には、ユーザＰＣ１１での仮想的な環境全体を制御するマルウェア検出装置１２も接続している。異なる多くの仮想的な環境で擬陽性ファイルを同時に試みるようにすることがマルウェアの早期発見につながるから、ユーザＰＣ１１を多数設けることが好ましい。

ネットワーク１０は、擬陽性ファイルの仮想的な実行環境となるユーザＰＣ１１と、仮想的な環境全体を制御するマルウェア検出装置１２とを分離するためのものであるから、物理的な実体としてのネットワークであっても、仮想的なネットワークであってもよい。したがって、論理的にユーザＰＣ１１とマルウェア検出装置１２とを分離できるのであれば、同一のハードウェア装置上にユーザＰＣ１１とマルウェア検出装置１２とを実装することも可能である。

マルウェア検出装置１２は、擬陽性ファイルをユーザＰＣ１１に配布するとともに、ユーザＰＣ１１において一定の条件を満たしたとき（つまりイベント発生時）にマルウェアのトリガーが引かれてそのマルウェアが活動を開始した場合にそのマルウェアを検出できるようにしたものである。より具体的にはマルウェア検出装置１２は、ユーザＰＣ１１においてその一定の条件（イベント）を仮想的に発生させることによってトリガーメカニズム下でマルウェア（ロジックボム）を起動させ、システム障害などの異常な挙動が起きるか否かを検証する。マルウェア検出装置１２は、一定の条件のもとでシステム障害などの異常な挙動が発生したときに、その一定の条件に基づいてシステム障害等の原因分析を行う。

ユーザＰＣ１１においてマルウェアのトリガーが引かれるための一定の条件を仮想的に構成する方法として、ユーザＰＣ１１に内蔵するクロックの時刻を仮想的に一定周期で変動させたり、ユーザＰＣ１１に対してＩＰ（internet protocol：インターネットプロトコル）アドレスを仮想的に設定したり、メールアドレスを仮想的に設定したり、仮想的なメールアドレスからのメール送信を行ったり、仮想的なメールアドレスへのメール送信を行ったり、仮想的なアカウントへのログインを行ったり、いつ・どこで・誰が・誰に・何を、というイベントのパラメータの組み合わせを仮想的に構成したりすることが挙げられる。本実施形態では、その仮想的なイベントごとに、ロジックボム型のマルウェアによるシステム障害や異常な処理等を検出し、その原因を分析する。つまり本実施形態では、ロジックボム型等のマルウェアの起動を引き起こすイベントをユーザＰＣ１１において仮想的に構成することでマルウェアを検出する。

具体的な仮想的なイベントの構成方法としては、内蔵クロックの時刻については、例えば、一定周期または象徴的な日時や時刻で未来の時刻を設定すればよい。ネットワークを構成するさまざまなノードのアドレス（ＩＰアドレスやプロキシーのアドレス等）については、例えば、実環境のネットワークノードのアドレスに基づいて、ネットワークアドレスを仮想的に設定すればよい。「誰かの」または「誰かから」に関する情報（メールアドレスやアカウント等）については、例えば、実際に存在するメールアドレスやアカウント等に基づいて仮想的な環境で設定することができる。「誰に対して」という情報については、例えば、実際に存在するメールアドレスに基づいて、メールの送信先に設定すればよい。「何を」に関する情報としては、例えば、実在する特定のファイルであったり、いかにも実在しそうな名称のファイルに基づいて、仮想的にファイルを名称を設定すればよい。

また、ロジックボム型のマルウェアが起動される契機として、「メール送受信」のイベントが発生することや「ウェブ(web)ブラウザ閲覧履歴」の内容が一定の条件を満たす場合があることから、仮想的な環境設定として、メール送受信のイベントの発生を設定したり、指定したサイトをウェブブラウザでユーザが閲覧したかのように仮想的にウェブブラウザ閲覧履歴を設定するようにしてもよい。

なお、仮想的に環境を設定するだけでなく、実際に存在するＩＴ（情報テクノロジー；information technology）環境すなわち実在のコンピュータ環境やネットワーク環境、システム環境をそのまま利用して日時や時刻のみを変動させることによって、マルウェアを検出してもよい。

本実施形態では、このような仮想的な設定の組み合わせを自動的に大量に作成し、各組み合わせごとにマルウェアの検出を行うことで、ロジックボム等のマルウェアを効率的に検出することができる。以下の説明において、仮想的な設定の組み合わせの一つ一つを仮想環境パターンと呼ぶ。

図２は、ユーザＰＣ１１の構成を示している。ユーザＰＣ１１は、典型的には一般的なＰＣであって、攻撃対象ＰＣと同じハードウェア条件及びＯＳ環境を有するものであり、ＣＰＵ（中央処理ユニット；central processing unit）２１とネットワーク１０との接続のための通信インタフェース２２とファイル等を格納するための記憶部２３とを備えている。さらにこのユーザＰＣ１１は、マルウェアの検出のために、マルウェア検出制御部２５を備えている。マルウェア検出制御部２５は、マルウェア検出装置１２からロジックボム型等のマルウェアである可能性を有する擬陽性ファイルを受け取って記憶部２３内の指定されたフォルダ（あるいはディレクトリ）に保存する擬陽性ファイル受信部２６と、マルウェア検出装置１２からの指示に従ってユーザＰＣ１１のＩＴ環境を仮想的な環境に設定する仮想環境設定部２７と、仮想的な時刻から一定時間にわたり異常が発生しないか、ユーザＰＣ１１での異常を検出する異常検出部２８と、異常を検出した場合はその異常な状況をレポートにしてマルウェア検出装置１２に送信するレポート作成送信部１９と、からなっている。

ユーザＰＣ１１においてマルウェア検出制御部２５は、例えばソフトウェアによって実現することができる。したがって、マルウェア検出制御部２５の機能を実現するプログラムを一般的なＰＣに読み込ませて実行させることにより、そのＰＣを上述したユーザＰＣ１１として構成できることになる。マルウェア検出制御部２５の機能を実現するためのプログラムは、何らかの記録媒体を用いてＰＣに読み込ませてもよいし、ネットワーク１０を介してマルウェア検出装置１２から読み込まれるようにしてもよい。

図３は、マルウェア検出装置１２の構成を示している。マルウェア検出装置１２は、ハードウェアとしてはネットワーク１０に接続する一般的なサーバーコンピュータとして構成されるものであって、ＣＰＵ３１とネットワーク１０との接続のための通信インタフェース３２とを備えている。さらにマルウェア検出装置１２は、ユーザＰＣ１１での仮想的な環境全体を制御しマルウェアを検出するために、マルウェア検出システム制御部３５を備えている。マルウェア検出システム制御部３５は、擬陽性ファイルを選択し各ユーザＰＣ１１の指定したフォルダ（あるいはディレクトリ）に保存するように各ユーザＰＣ１１に指示する擬陽性ファイル選択部３６と、タイムボムやロジックボムが起動しそうな仮想環境を設定登録し、各ユーザＰＣ１１にその仮想環境を設定するように指示する仮想環境設定部３７と、各ユーザＰＣ１１からの異常等に関するレポートを受信してまとめるレポート受信部３８と、レポート受信部３８でまとめたレポートから異常の原因を分析する異常分析部３９と、からなっている。

マルウェア検出装置１２においてマルウェア検出システム制御部３５は、マルウェア検出装置１２を構成するサーバーコンピュータにおいて例えばソフトウェアによって実現することができる。したがってマルウェア検出システム制御部３５を実現するプログラムを一般的なサーバー用のコンピュータに読み込ませて実行させることにより、そのコンピュータをマルウェア検出装置１２として構成できることになる。マルウェア検出システム制御部３５を実現するプログラムは、例えば、何らかの記録媒体を介してあるいはネットワーク経由で、サーバー用のコンピュータに読み込まれる。

図４は、仮想環境設定部３７が設定する情報の例を示している。上述したように仮想的な設定の組み合わせの一つ一つを仮想環境パターンと呼ぶが、仮想環境設定部３７は、１または複数の仮想環境パターンを生成する。各仮想環境パターンには相互に区別するために番号が振られており、また各ユーザＰＣ１１にも番号が振られている。図４は１番目の仮想環境パターンを示しており、ここでは各ユーザＰＣ１１の時刻情報は共通に"2014/1/1/0:00"とするが、ＩＰアドレス、アカウント情報、パスワード情報及びメールアカウントについては、ユーザＰＣ１１ごとに異ならせて仮想的に設定することが示されている。ファイルについては、２番目と３番目のユーザＰＣ１１において同じにしている。

図５は、レポート受信部３８によってまとめられるレポートの例を示している。ここに示した例のうち１番目のレポート（レポートＩＤ（識別番号）が１のレポート）では、１番目のユーザＰＣ１１において、仮想的な時刻が"2015/8/15/0:00"であってＩＰアドレスが"203.0.113.1"であるときに、ユーザＰＣ１１のＯＳ環境での実行形式ファイルに感染があったことが示されている。

次に、本実施形態における処理手順について、図６を参照して説明する。

ステップ５１において、マルウェア検出装置１２のマルウェア検出システム制御部３５での処理を開始する。まずステップ５２において、擬陽性ファイル選択部３６が、マルウェアの疑いがあるファイルである擬陽性ファイルを選択し、ステップ５３において、仮想環境設定指示部３７が仮想環境パターンを登録設定する。次にステップ５４において、擬陽性ファイル選択部３６が、各ユーザＰＣ１１に対し、選択された擬陽性ファイルをそのユーザＰＣ１１の指定されたフォルダあるいはディレクトリに保存するように指示する。このとき擬陽性ファイルは、ネットワーク１０を介してマルウェア検出装置１２から各ユーザＰＣ１１に送られ、ユーザＰＣ１１の擬陽性ファイル受信部２２で受け取られる。擬陽性ファイル受信部２２は、受け取った擬陽性ファイルをそのユーザＰＣ１１の指定されたフォルダあるいはディレクトリに格納する。ステップ５５において、仮想環境設定指示部３７が、登録された仮想環境パターンに基づき、各ユーザＰＣ１１に対し、当該ユーザＰＣにおいてその割り当てられた仮想環境の設定の指示を出す。このとき、仮想環境パターンは、ネットワーク１０を介してマルウェア検出装置１２から各ユーザＰＣ１１に送られて各ユーザＰＣ１１の仮想環境設定部２７で受け取られる。

次にステップ５６において、各ユーザＰＣ１１の仮想環境設定部２７が、受け取った仮想環境パターンに基づいて、各々の仮想環境を設定する。これにより、各ユーザＰＣ１１は、擬陽性ファイルに実際にマルウェアが含まれているものとしてそのマルウェアがトリガーされることを待ち受けることになる。そしてステップ５７において、各ユーザＰＣ１１の異常検出部２８が、障害発生などの異常の有無をチェックし、レポート作成送信部２９が、異常が検出された場合にレポートを作成してマルウェア検出装置１２に送信する。

マルウェア検出装置１２では、ステップ５８において、レポート受信部３８が各ユーザＰＣ１１からのレポートを受信し、異常分析部３９が、報告された異常を分析し、レポートにまとめ直し、設定した仮想環境のパターンでの異常検出処理を終了する。その後、ステップ５９において、次の仮想環境パターンがあるかどうかを判定し、次の仮想環境パターンが存在する場合には、ステップ６０においてマルウェア検出システム制御部３５で次の仮想環境パターンを設定して、ステップ５４に戻り、ステップ５４からステップ５８までの処理を繰り返す。

一方、ステップ５９において次の仮想環境パターンが存在しない場合には、ステップ６１において、別の擬陽性ファイルがあるかどうかを判定し、ない場合にはそのまま処理全体を終了し、別の擬陽性ファイルが存在する場合には、ステップ６２において別の擬陽性ファイルを選択した上でステップ５３に戻り、ステップ５３からステップ６０までの処理を繰り返す。

１０ネットワーク
１１ユーザＰＣ
１２マルウェア検出装置
２１，３１ＣＰＵ
２２，３２通信インタフェース
２３記憶部
２５マルウェア検出制御部
２６擬陽性ファイル受信部
２７仮想環境設定部
２８異常検出部
２９レポート作成送信部
３５マルウェア検出システム制御部
３６擬陽性ファイル選択部
３７仮想環境設定指示部
３８レポート受信部
３９異常分析部

Claims

マルウェアを検出するマルウェア検出方法であって、
マルウェアに対する実行環境を仮想的に提供するユーザＰＣに接続して該ユーザＰＣにおける仮想環境を制御するマルウェア検出装置が、マルウェアである可能性を有する擬陽性ファイルを選択して、前記ユーザＰＣに対し、当該ユーザＰＣ内に前記擬陽性ファイルを保存させることと、
前記ユーザＰＣが、前記マルウェア検出装置から受け取った擬陽性ファイルを当該ユーザＰＣ内に保存することと、
前記マルウェア検出装置が、前記マルウェアがトリガーされることが想定される仮想環境を設定登録し、前記ユーザＰＣに対し当該ユーザＰＣにおいて前記仮想環境を設定するように指示することと、
前記ユーザＰＣが、前記マルウェア検出装置から指示された仮想環境を当該ユーザＰＣに設定することと、
前記ユーザＰＣにおいて異常が発生しないか異常を検出することと、
を含む、マルウェア検出方法。
前記仮想環境が、日時・時刻、ネットワークアドレス、アカウント情報、メールアドレス、ファイル情報、メール送受信のイベントの発生の設定、及び、仮想的なウェブブラウザ閲覧履歴の設定、の少なくとも一つを含む、請求項１に記載のマルウェア検出方法。
マルウェアを検出するマルウェア検出システムであって、
マルウェアに対する実行環境を仮想的に提供するユーザＰＣと、
前記ユーザＰＣに接続して当該ユーザＰＣにおける仮想環境を制御するマルウェア検出装置と、
を備え、
前記マルウェア検出装置は、
マルウェアである可能性を有する擬陽性ファイルを選択して、前記ユーザＰＣに対し当該ユーザＰＣ内に前記擬陽性ファイルを保存させる擬陽性ファイル選択部と、
前記マルウェアがトリガーされることが想定される仮想環境を設定登録し、前記ユーザＰＣに対し当該ユーザＰＣにおいて前記仮想環境を設定するように指示する仮想環境設定部と、
を含み、
前記ユーザＰＣは、
前記マルウェア検出装置から擬陽性ファイルを受け取って当該ユーザＰＣ内に保存する擬陽性ファイル受信部と、
前記マルウェア検出装置から指示された仮想環境を当該ユーザＰＣに設定する仮想環境設定部と、
当該ユーザＰＣにおいて異常が発生しないか異常を検出する異常検出部と、
を含む、マルウェア検出システム。
前記仮想環境が、日時・時刻、ネットワークアドレス、アカウント情報、メールアドレス、ファイル情報、メール送受信のイベントの発生の設定、及び、仮想的なウェブブラウザ閲覧履歴の設定、の少なくとも一つを含む、請求項３に記載のマルウェア検出システム。
マルウェアに対する実行環境を仮想的に提供するユーザＰＣに接続して該ユーザＰＣでの仮想環境を制御するマルウェア検出装置であって、
マルウェアである可能性を有する擬陽性ファイルを選択して、前記ユーザＰＣに対し当該ユーザＰＣ内に前記擬陽性ファイルを保存させる擬陽性ファイル選択部と、
前記マルウェアがトリガーされることが想定される仮想環境を設定登録し、前記ユーザＰＣに対し当該ユーザＰＣにおいて前記仮想環境を設定するように指示する仮想環境設定部と、
を有するマルウェア検出装置。
マルウェア検出装置に接続してマルウェアに対する実行環境を仮想的に提供するユーザＰＣであって、
前記マルウェア検出装置から、マルウェアである可能性を有する擬陽性ファイルを受け取って、前記ユーザＰＣ内に保存する擬陽性ファイル受信部と、
マルウェア検出装置から指示された仮想環境を前記ユーザＰＣに設定する仮想環境設定部と、
異常が発生しないか異常を検出する異常検出部と、
を有するユーザＰＣ。
マルウェアに対する実行環境を仮想的に提供するユーザＰＣに接続して該ユーザＰＣでの仮想環境を制御するコンピュータを、
マルウェアである可能性を有する擬陽性ファイルを選択して、前記ユーザＰＣに対し当該ユーザＰＣ内に前記擬陽性ファイルを保存させる擬陽性ファイル選択手段、
前記マルウェアがトリガーされることが想定される仮想環境を設定登録し、前記ユーザＰＣに対し当該ユーザＰＣにおいて前記仮想環境を設定するように指示する仮想環境設定手段、
として機能させるプログラム。
マルウェア検出装置に接続してマルウェアに対する実行環境を仮想的に提供するコンピュータを
前記マルウェア検出装置から、マルウェアである可能性を有する擬陽性ファイルを受け取って、前記コンピュータ内に保存する擬陽性ファイル受信手段、
マルウェア検出装置から指示された仮想環境を前記コンピュータに設定する仮想環境設定手段、
異常が発生しないか異常を検出する異常検出手段、
として機能させるプログラム。