JP2016115072A - 被疑ファイル収集装置、マルウェア検知システム、および、マルウェア検知方法 - Google Patents

Abstract

【課題】検査対象装置にマルウェア診断ソフトがインストールされているか否かによらず、検査対象装置がマルウェア診断装置に接続できない状況においても、検査対象装置がマルウェアに感染した可能性を検知できるようにする。
【解決手段】検査対象装置に接続可能な被疑ファイル収集装置２８は、検査対象装置により起動されるプログラムを用いて、検査対象装置が有する記憶部のうちの所定の領域からマルウェアへの感染が疑われる被疑ファイルを収集する収集手段２９と、被疑ファイルを記憶する記憶手段３０と、被疑ファイルを実行した結果を監視する監視装置に対して、記憶手段に蓄積された被疑ファイルを送出する送出手段３１と、を備えている。
【選択図】図１

Description

本発明は、被疑ファイル収集装置、マルウェア検知システム、および、マルウェア検知方法に関し、特に、検査対象装置の記憶部から被疑ファイルを収集する被疑ファイル収集装置、収集した被疑ファイルを監視する監視装置と被疑ファイル収集装置を備えたマルウェア検知システム、および、マルウェアへの感染可能性を検知するマルウェア検知方法に関する。

マルウェア感染が疑われる際の診断として、一般に、次の方法が採用されている。すなわち、マルウェア診断ソフトや駆除ソフトをインストールした検査対象装置のハードディスクドライブ（ＨＤＤ：Hard Disk Drive）等の記憶媒体を完全スキャンして情報収集を行い、予めウイルス対策ソフトウェアメーカが作成したウイルス定義ファイルをもとに検知を実施する。ここで、ＨＤＤとは、パーソナルコンピュータ（ＰＣ：Personal Computer）等のＩＴ（Information Technology）機器の記憶媒体として使用される装置をいう。

関連技術として、特許文献１には、ユーザＰＣ内で発見されたマルウェアである可能性があるファイル（擬陽性ファイル）を検体としてマルウェア解析システムに送信し、マルウェア解析システムで受信した検体を解析する技術が記載されている。

また、特許文献２には、仮想化技術を用いてコンピューティングプラットフォームの残りの部分とは隔離されたサンドボックス仮想マシンを作り出し、疑わしいファイルやアプリケーションプログラムに攻撃コードが含まれている場合にも、攻撃がサンドボックスに内包されるようにする技術が記載されている。

さらに、特許文献３には、計測器のハードディスクの内容をサーバ装置にバックアップデータとして保管しておき、パーソナルコンピュータ上でバックアップデータを用いてウイルス感染の有無を検査することで、計測器が存在しない状況でもウイルスの検査を可能とする技術が記載されている。

特開２０１２−０８３８４９号公報 特許第４５９９４００号公報 特許第４９０４４１４号公報

上記特許文献１ないし３の全開示内容は、本書に引用をもって繰り込み記載されているものとする。以下の分析は、本発明者によってなされたものである。

上述のように、一般に、マルウェア診断ソフトや駆除ソフトをインストールした検査対象装置で、インストールされたマルウェア診断ソフトや駆除ソフトにより、マルウェアに感染しているか否かの診断が行われる。

かかる方法によると、最新のウイルス等のプログラムのパターンファイルをインターネットを介して逐次入手して更新していたとしても、検査対象装置をターゲットにしたような世の中に出回っていないマルウェアの解析や検出には限界があり、マルウェアへの感染を見逃すおそれがある。すなわち、近年のマルウェアは、顧客毎にカスタマイズされて作成されているため、従来型のウイルス対策ソフトウェア（シグネチャマッチング型）によると、検体を確保してシグネチャ（定義ファイル）化されるまで、マルウェアを検出することができないという問題がある。

また、マルウェア診断ソフトや駆除ソフトをインストールした検査対象装置を用いて、検査対象装置に入り込んだ可能性のあるマルウェアを検出した場合、検査対象装置にインストールされているプログラムやＯＳ（Operating System）の動作の影響により、マルウェアの動作を見逃すおそれもある。

従来型のウイルス対策ソフトウェアで検出できないマルウェアの動作および被害状況を確認するには、セキュリティに関する高度な知識を有するエンジニアが検査対象装置（被疑端末）または検査対象装置のハードディスク（ＨＤＤ）イメージを入手し、数週間かけて解析する必要がある。しかし、かかる方法によると、検査対象装置のマルウェアへの感染の可能性を迅速に検知することができないという問題がある。

特許文献１ないし３に記載された技術によると、検査対象装置とは別個に設けられた装置（システム）またはサンドボックス仮想マシンを用いてマルウェア解析を行うことで、検査対象装置の動作の影響を排除するとともに、検査対象装置を危険にさらすことなくマルウェア解析を行うことが可能となる。

しかしながら、特許文献１ないし３に記載された技術によると、予め検査対象装置にマルウェア診断ソフトをインストールするか、または、検査対象装置の記憶装置の内容または被疑ファイルを、検査対象装置にネットワークを介して接続されたマルウェア診断装置に送付して、マルウェア診断装置上でマルウェア診断を行う必要がある。すなわち、これらの技術によると、検査対象装置にマルウェア診断ソフトがインストールされておらず、かつ、検査対象装置が遠隔に設けられたマルウェア診断装置に対してネットワークを介して接続できない場合には、検査対象装置に対するマルウェア感染の検査を実施できないという問題がある。

そこで、検査対象装置にマルウェア診断ソフトがインストールされているか否かによらず、検査対象装置がマルウェア診断装置に接続できない状況においても、検査対象装置がマルウェアに感染した可能性を検知できるようにすることが課題となる。

本発明の目的は、かかる課題解決に寄与する被疑ファイル収集装置、マルウェア検知システム、および、マルウェア検知方法を提供することにある。なお、その他の課題および解決手段は、以下の実施形態の記載において明らかにされる。

本発明の第１の態様によると、検査対象装置に接続可能な被疑ファイル収集装置が提供される。被疑ファイル収集装置は、検査対象装置により起動されるプログラムを用いて、検査対象装置が有する記憶部のうちの所定の領域からマルウェアへの感染が疑われる被疑ファイルを収集する収集手段を備えている。また、被疑ファイル収集装置は、被疑ファイルを記憶する記憶手段を備えている。さらに、被疑ファイル収集装置は、被疑ファイルを実行した結果を監視する監視装置に対して、記憶手段に蓄積された被疑ファイルを送出する送出手段を備えている、

本発明の第２の態様によると、検査対象装置に接続可能な被疑ファイル収集装置と、被疑ファイル収集装置からアクセス可能な監視装置と、を備えたマルウェア検知システムが提供される。被疑ファイル収集装置は、検査対象装置により起動されるプログラムを用いて、検査対象装置が有する記憶部のうちの所定の領域からマルウェアへの感染が疑われる被疑ファイルを収集する収集手段を有する。また、被疑ファイル収集手段は、被疑ファイルを記憶する記憶手段を有する。さらに、被疑ファイル収集手段は、記憶手段に蓄積された被疑ファイルを監視装置に送出する送出手段を有する。また、監視装置は、被疑ファイル収集装置から受信した被疑ファイルを実行した結果を監視する。

本発明の第３の態様によると、検査対象装置に接続可能な被疑ファイル収集装置によるマルウェア検知方法が提供される。マルウェア検知方法は、被疑ファイル収集装置が、検査対象装置により起動されるプログラムを用いて、検査対象装置が有する記憶部のうちの所定の領域からマルウェアへの感染が疑われる被疑ファイルを収集するステップを有する。また、マルウェア検知方法は、被疑ファイル収集装置が、被疑ファイルを記憶手段に記憶するステップを有する。さらに、マルウェア検知方法は、被疑ファイル収集装置が、被疑ファイルを実行した結果を監視する監視装置に対して、記憶手段に蓄積された被疑ファイルを送出するステップを含む。

本発明に係る被疑ファイル収集装置、マルウェア検知システム、および、マルウェア検知方法によると、検査対象装置にマルウェア診断ソフトがインストールされているか否かによらず、検査対象装置がマルウェア診断装置に接続できない状況においても、検査対象装置がマルウェアに感染した可能性を検知することができる。

一実施形態に係る被疑ファイル収集装置の構成を例示するブロック図である。 第１の実施形態に係るマルウェア検知システムの構成を例示するブロック図である。 第１の実施形態に係るマルウェア検知システムの動作を例示するシーケンス図である。 第１の実施形態に係るマルウェア検知システムの動作を例示するシーケンス図である。 第２の実施形態に係るマルウェア検知システムの構成を例示するブロック図である。 第２の実施形態に係るマルウェア検知システムの動作を例示するシーケンス図である。 第２の実施形態に係るマルウェア検知システムの動作を例示するシーケンス図である。

はじめに、一実施形態の概要について説明する。なお、この概要に付記する図面参照符号は、専ら理解を助けるための例示であり、本発明を図示の態様に限定することを意図するものではない。

図１は、一実施形態に係る被疑ファイル収集装置２８の構成を例示するブロック図である。図１を参照すると、被疑ファイル収集装置２８は、検査対象装置に接続可能な装置であって、検査対象装置により起動されるプログラムを用いて、検査対象装置が有する記憶部のうちの所定の領域からマルウェアへの感染が疑われる被疑ファイルを収集する収集手段２９と、被疑ファイルを記憶する記憶手段３０と、被疑ファイルを実行した結果を監視する監視装置に対して、記憶手段３０に蓄積された被疑ファイルを送出する送出手段３１とを備えている。

かかる被疑ファイル収集装置２８によると、検査対象装置にマルウェア診断ソフトがインストールされているか否かによらず、検査対象装置がマルウェア診断装置に接続できない状況においても、検査対象装置がマルウェアに感染した可能性を検知することが可能となる。なぜなら、被疑ファイル収集装置２８は、検査対象装置に接続可能であり、検査対象装置により起動されるプログラムを用いて、検査対象装置の記憶部からマルウェアへの感染が疑われる被疑ファイルを収集し、収集した被疑ファイルを、被疑ファイルを実行した結果を監視する監視装置に対して送出するように構成されるからである。

ここで、収集手段２９が被疑ファイルの収集を行う対象とする所定の領域は、検査対象装置の記憶部のうちのマルウェアの動作に関連する領域としてもよい。また、所定の領域は、マルウェアがアクセスする領域、または、マルウェアが設定を行う領域としてもよい。さらに、収集手段２９は、所定の領域から所定の拡張子を有するファイルを被疑ファイルとして収集してもよい。

かかる被疑ファイル収集装置２８によると、マルウェアの検出精度を劣化させることなく、マルウェアへの感染可能性の検出を迅速に行うことが可能となる。なぜなら、収集手段２８は、被疑ファイルの収集を行う領域をマルウェアの動作に関連する領域に限定し、さらに、被疑ファイルの候補を特定の拡張子を有するファイルに限定することにより、マルウェアへの感染の可能性の高い被疑ファイルを漏らすことなく、被疑ファイルとして収集されるファイルの個数を削減できるからである。

また、監視装置は、実行された被疑ファイルが行う通信を監視してもよい。監視装置は、例えば、実行された被疑ファイルが送出した情報、および／または、実行された被疑ファイルの通信先を示す情報を監視してもよい。

かかる構成によると、マルウェアへの感染可能性の検出を、さらに迅速化することが可能となる。なぜなら、監視装置が、被疑ファイルがマルウェアに感染しているかどうかを診断する代わりに、被疑ファイルを実行したときの被疑ファイルによる通信を監視し、その結果を出力等することで、感染の有無を詳細に診断する場合と比較して迅速な検査が可能となるからである。

次に、一実施形態に係るマルウェア検知システムの概略構成について、図面を参照して説明する。図２は、マルウェア検知システムの構成を例示するブロック図である。図２を参照すると、マルウェア検知システムは、被疑ファイル収集装置２８および監視装置３を備えている。図２には、検査対象装置１の構成も併せて示す。また、被疑ファイル収集装置２８は、記憶装置２を有する。

一実施形態に係るマルウェア検知システムは、例えば、顧客先にて、マルウェア感染が疑われる事象が発生した場合、記憶装置２および監視装置３を客先に携行して、マルウェア感染が疑われる検査対象装置１から、マルウェアの感染が疑われる被疑ファイルを、検査対象装置１外の記憶装置２にコピーし、コピーした被疑ファイルを、監視装置３にて診断を実施し、診断結果をその場で顧客に報告する態様として、利用することができる。

すなわち、一実施形態のマルウェア検知システムは、検査対象装置１にインストールされたマルウェア確認プログラムで検査する代わりに、検査対象装置１の予め決めた領域に含まれるファイルを、検査対象装置１とは別個の監視装置３や仮想化された診断用仮想マシンで検査するものである。

ここで、感染が疑われる事象として、検査対象装置１（例えば、パーソナルコンピュータ（ＰＣ：Personal Computer）、サーバ等）の異常動作や、通常の動作とは異なる動作（すなわち、マルウェアに感染していない状態では起こらない動作。例えば、通常は起こらない通信先への通信、通常は起こらないメッセージが表示される等の事象）が考えられる。また、マルウェアとは、コンピュータウイルス等のコンピュータの動作に障害を与えるソフトウェアを指し、ウイルス、ワーム、スパイウェア、トロイの木馬等のコンピュータの動作に害を与える悪意をもったソフトウェアを含む。さらに、記憶装置２として、例えば、ＵＳＢ（Universal Serial Bus）メモリ、ＳＤ（Secure Disk, Secure Digitalともいう。）カード（登録商標）等のフラッシュメモリ媒体とそのリーダ／ライタ、外付けハードディスク（ＨＤＤ：Hard Disc Drive）、検査対象装置に接続した他のコンピュータのハードディスク等の記憶装置やメモリを使用することができる。

このように、一実施形態のマルウェア検知システムは、市販のコンピュータウイルスチェックソフトウェアを検査対象装置１にインストールして、ウイルスチェックと駆除を行う技術とはまったく異なるものである。すなわち、一実施形態のマルウェア検知システムは、既知のマルウェア、および、解析しなければ分からない未知のマルウェアを、検査対象装置１を動作させる代わりに、マルウェア診断プログラム（公知あるいは市販のウイルスチェックソフトウェアを使用してもよい。動作については、後述の実施形態において説明する。）がインストールされた別の装置、例えば、監視装置３や診断用サーバや仮想化された診断用仮想マシンで簡易的に迅速に調査し、顧客に報告するものである。

なお、詳細については、後段の実施形態において詳述するが、特に、仮想化された診断用仮想マシンを用いて、マルウェアの動作を確認することが好ましい。かかる構成によると、仮想化された診断用仮想マシンは、マルウェアの動作の影響を実マシン（例えば、サーバ装置）に及ぼさないため、マルウェアの動作内容、結果を正しく通知することが可能となる。なお、診断用仮想マシンは、マルウェアの存在を断定しなくてもよく、動作を正確に通知するのに留めてもよい。

図２を参照すると、記憶装置２は、マルウェア感染の疑いのあるファイルを検査対象装置１から収集して監視装置３に送出する。ここで、記憶装置２として、ＵＳＢ（Universal Serial Bus）メモリ等の外部記憶手段を用いることができる。また、監視装置３は、受信した被疑ファイルを実行し、被疑ファイルの挙動を監視する。

被疑ファイル収集ツール８は、検査対象装置１の記憶部７のうちの、予め決めておいた、自動起動するプログラムやアプリケーションが記憶された領域に存在するファイルを、被疑ファイルとして被疑ファイル保存領域９に複製する。また、送出部２７は、複製ファイルを監視装置３に送出する。監視装置３（仮想化された診断仮想マシンでもよい）は、検査対象装置１とは別個に設けられ、検査対象装置をターゲットにした世の中に出回っていないようなマルウェアの解析・検出用マルウェア診断プログラムを有し、かかるプログラムを用いて、被疑ファイルを実行したときの動作を解析および監視する。

ここで、被疑ファイル収集ツール８は、マルウェア感染の疑いのある被疑ファイルとして、検査対象装置１の記憶部７のうちの所定の領域のファイルをコピーしてもよい。また、所定の領域を、マルウェアの挙動から解析した領域としてもよい。さらに、所定の領域を、マルウェアの挙動に基づいて、マルウェアの動作に関係する領域（例えば、マルウェアがアクセスする領域、マルウェアが何らかの設定を行う領域等）としてもよい。

かかる構成を備えたマルウェア検知システムによると、マルウェアの解析、検出精度が向上し、さらに、マルウェアの情報収集、かつ、動作解析に要する時間を短縮し、被害拡大防止に役立つ情報を抽出するまでの時間を短縮することができる。これにより、マルウェアへの感染が疑われる初動段階で、診断結果を素早く顧客に提供することが可能となる。

近年のマルウェアは、インターネット上のサーバから指示を受け取り、動作するものが主流となっており、かかるマルウェアはインターネットに通信を試みる。そこで、監視装置３は、マルウェアを実行し、挙動を確認することで、マルウェアが行う通信の試みを抽出する。ここで、監視装置３は、迅速な情報提供を目的として、マルウェアによる通信の試みが正常であるか否か、または、マルウェアによるものか否かの診断を省略してもよい。このように、監視装置３がマルウェアの動作および被害状況に関する情報のうちの、被害拡大の防止につながる情報（被疑ファイルが通信を試みるインターネット上のサーバに関する情報）のみを提供することで、客先における迅速な初動対応が可能となる。

さらに、一実施形態に係るマルウェア検知システムにおいて、被疑ファイル収集ツール８は、検査対象装置１の記憶部７の所定の領域や所定のフォルダのファイルや、所定の拡張子を持つファイル等を、被疑ファイル保存領域９にコピーしてもよい。また、監視装置３は、被疑ファイル保存領域９に蓄積された所定のファイルの動作を確認し、その動作や動作の結果を出力ないし通知してもよい。ここで、所定のファイルとして、拡張子がｅｘｅ、ｄｌｌ、ｂｉｎ、ｓｃｒ等のいずれかのファイル、または、ブラウザのプラグイン、ＪＡＶＡ（登録商標）のプログラムのいずれかのファイル等としてもよい。

また、被疑ファイル保存領域９として、外部記憶装置、記憶媒体、外部メモリ、ネットワークに接続されたパソコンやサーバ等の記憶装置の共有フォルダ等を用いることができる。さらに、監視装置３は、所定のファイルが通信動作を行った場合、通信の成否に関わらず、通信あるいは接続先や通信内容等、例えば、被疑ファイルが送出した情報、通信を試みたアドレス等を検査してもよい。具体的には、監視装置３は、被疑ファイルが送出したＤＮＳ（Domain Name System）クエリ、通信を試みたＦＱＤＮ（Fully Qualified Domain Name）、ＩＰ（Internet Protocol）アドレス、ＵＲＬ（Uniform Resource Locator）等を検査してもよい。また、監視装置３による出力ないし通知方法として、表示、印刷、所定の記憶部への格納、所定の端末に送信等の方法を用いることができる。

さらに、一実施形態に係るマルウェア検知システムにおいて、以下のような様々な変形が可能である。

一実施形態に係るマルウェア検知システムは、マルウェアの感染が疑われる検査対象装置１において、マルウェアの感染が疑われる被疑ファイルを、検査対象装置１外の記憶装置２にコピーする被疑ファイル収集ツール８を実行する。これにより、Windows（登録商標）等のオペレーティングシステム（ＯＳ：Operating System）下で自動起動するプログラムやアプリケーションが記憶された領域等にあるファイルを複製する。ここで、記憶装置２として、例えば、ＵＳＢ（Universal Serial Bus）メモリ、外付けハードディスク、検査対象装置に接続した他のコンピュータのハードディスク等の記憶装置やメモリ等を用いることができる。また、被疑ファイル収集ツール８とは、所定の領域や指定の領域のファイルを検査対象装置１外の記憶装置２にコピーするソフトウェアである。

ここで、ファイルの複製先として、ＵＳＢメモリ、外付けＨＤＤ（Hard Disk Drive、ハードディスクドライブ）、または、内蔵ＨＤＤもしくは内蔵メモリの所定領域を外部からアクセス可能な共有フォルダにしたサーバ装置もしくは監視装置等のＩＴ（Information Technology）機器の所定領域等を用いることができる。

また、被疑ファイル収集ツール８が収集対象とするファイルを、マルウェア等のプログラムが存在する可能性の高い予め決めた領域、予め決めたファイル、または、予め決めた拡張子を持つファイル等としてもよい。具体的には、ファイルの拡張子がｅｘｅ、ｄｌｌ、ｂｉｎ、ｓｃｒ等のいずれかのファイル、ブラウザのプラグイン、ＪＡＶＡのプログラムのいずれかのファイルとしてもよい。これにより、収集対象とするファイルを一部のファイルに絞ることができ、マルウェアを探索する（スキャン）時間を大幅に削減することが可能となる。さらに、収集対象のファイルを、予め決めた領域、予め決めたファイル、および、予め決めた拡張子を持つファイルのうちの２つ以上の組み合せとしてもよい。以下では、被疑ファイル収集ツール８によって収集して複製されたファイルを、被疑ファイルという。

記憶装置２は、被疑ファイル群（複数の被疑ファイル）を、監視装置３にコピーし、監視装置３にインストールされたマルウェア診断プログラムで、被疑ファイル群のそれぞれの動作を監視する。ここで、監視装置３は、被疑ファイルの動作として、予め設定されたサーバ以外に情報を送信する等の動作を監視してもよい。これ以外に、監視装置３は、予め定めたファイルにアクセスする、もしくは、アクセスを試みる、または、ファイル等の生成、ファイル等の削除、ファイル等の書き換え、ファイル等の移動を監視してもよい。さらに、監視装置３は、生成等されたファイルや、書き換え等の対象になったファイルの属性や内容を確認してもよい。また、監視装置３は、所定のプログラム（Windows等のＯＳ（Operating System）のプログラムや常駐プログラム）が被疑ファイルにアクセスした結果生じる動作も監視の対象としてもよい。

また、監視装置３が用いるマルウェア診断プログラムは、監視装置３や診断用仮想マシン上に、被疑ファイルを複製して実行し、監視装置３や診断用仮想マシン上での、被疑ファイルの動作や、被疑ファイルの動作によって出力された情報（例えば、パケット）を監視する。マルウェア診断プログラムは、収集して複製された被疑ファイルを仮想マシン上で実行し、挙動を観察するサンドボックス（Sandbox）機能を有するプログラムであればよく、市販されているものでもよい。

監視装置３は、予め決めておいた、マルウェアの動作と同様な動作が行われたかどうか検出し、被疑ファイルの動作結果（通信の成否に関わらず、通信あるいは接続先や通信内容）を、出力ないし通知（表示、印刷、所定の端末に送信、内容を保存等）する。ここで、マルウェアと同様な動作として、例えば、予め設定されたサーバ以外に、情報を送信する動作、または、情報を送信しようとする動作としてもよい。監視装置３は、調査結果のうち、被疑ファイルが送出した情報、通信を試みたアドレス等を通知してもよい。具体的には、監視装置３は、被疑ファイルが送出したＤＮＳ（Domain Name System）クエリ、通信を試みたＦＱＤＮ（Fully Qualified Domain Name）、ＩＰ（Internet Protocol）アドレス、ＵＲＬ（Uniform Resource Locator）等を通知等（端末に表示、印刷、所定端末等へ送信、通知内容をファイルに保存等）する。

ここで、用語について補足する。ＤＮＳ（Domain Name System）とは、ＦＱＤＮ（Fully Qualified Domain Name、完全修飾ドメイン名とも言う。）とＩＰ（Internet Protocol）アドレスの紐付け情報を提供するシステムをいう。また、ＦＱＤＮは、通常「ホスト名.ドメイン名」の形式で表記され、ＴＬＤ（Top Level Domain）まで完全に指定されたホスト名をいう。さらに、ＴＬＤとは、「．」で区切られたドメイン名の最後の項目をいう。また、ＵＲＬ（Uniform Resource Locator）とは、スキーム：／／ＦＱＤＮ／パス、で表現されるものをいう。さらに、スキームとは、ＵＲＬ中の接続するために使用するプロトコルを指定する部分をいう。また、パスとは、ＵＲＬで指定されたサーバ内でのコンテンツが保存されているディレクトリやフォルダを指定する項目をいう。

ここで、監視装置３は、被疑ファイルに関する上記の情報や動作に基づいて、被疑ファイルがマルウェアに感染しているか否かの判断を省略してもよい。すなわち、監視装置３は、マルウェア感染が疑われる可能性を通知するに留め、実際にマルウェアに感染しているかどうかについては、別途判断するようにしてもよい。例えば、ユーザが通常の利用状況と照らし合わせて、感染の有無を判断してもよい。このとき、マルウェアへの感染の可能性に関して、迅速に情報提供を行うことが可能となる。なお、感染の可能性の通知は、具体的には、上記の情報や動作のみの通知であってもよい。

かかる構成を備えた一実施形態のマルウェア検知システムによると、次の効果がもたらされる。関連技術によると、マルウェア感染等のセキュリティ事故が発生した場合、顧客のＰＣ（Personal Computer）等を調査会社が預かり、または、ハードディスクやメモリの情報を複製して調査会社に持ち帰り、動作していたプロセスの情報、変更された設定情報、消去されたファイルの情報、送信されたファイルの情報を、典型的な場合には２週間程度かけて調査する。一方、一実施形態のマルウェア検知システムによると、マルウェアが通信を試みた通信先の情報に調査範囲を絞って診断を行う等の方法により、マルウェア感染情報を客先で迅速に提供することが可能となる。

マルウェアへの感染が疑われる場合、顧客の側には、実際には何が起きているのかといった情報や、被害の拡大を防ぐ方法はあるのかといった情報をできるだけ早く取得したいというニーズがある。上記一実施形態のマルウェア検知システムによると、簡易診断ではあるものの、診断の時間を短縮することで、被害の拡大を防ぐメリットも生じる。また、かかるシステムによると、初動時において、被害拡大防止に役立つ情報を迅速に顧客に提供することができる。

なお、情報提供までに要する時間と、ハードディスクドライブ内の検索領域の網羅性にはトレードオフがある。一実施形態に係るマルウェア検知システムでは、ハードディスクドライブ内の検索領域を限定し、複製して調査することにより、被害拡大防止に役立つ情報を提供するのに要する時間を大幅に短縮することが可能となる。また、ハードディスクドライブ内の検索領域を限定することで、被疑ファイルのコピーに要する時間も短縮することができる。したがって、かかるシステムによると、被害拡大を防ぐと同時に、顧客の不安を速やかに解消することが可能となる。

＜実施形態１＞
次に、第１の実施形態に係るマルウェア検知システムについて、図面を参照して説明する。

［構成］
図２は、本実施形態に係るマルウェア検知システムの構成を例示するブロック図である。図２を参照すると、本実施形態のマルウェア検知システムは、被疑ファイル収集装置２８である記憶装置２と、監視装置３とを備えている。図２には、マルウェア検知システムにより検査対象とされる検査対象装置１も併せて示す。検査対象装置１と監視装置３は、被疑ファイル収集装置２８（すなわち、記憶装置２）を介して、データの移動や交換を行う。

検査対象装置１は、接続部４と制御部５と入力部６と記憶部７とを備えている。接続部４には、外部記憶媒体である記憶装置２を接続する。

検査対象装置１は、マルウェアへの感染が疑われる端末（例えば、顧客のパーソナルコンピュータ（ＰＣ：Personal Computer）等）である。

本実施形態に係るマルウェア検知システムのユーザ（例えば、顧客のＰＣの保守を行う技術者）は、検査対象装置１の接続部４に記憶装置２を接続する。また、ユーザは検査対象装置１の入力部６を操作し、被疑ファイル収集ツール８を動作させ、被疑ファイル収集ツール８を実行する。

被疑ファイル収集ツール８が実行されると、検査対象装置１の制御部５は、検査対象装置１の記憶部７から予め定められた設定に従い、単数または複数の予め定めた拡張子等を持つファイル（例えば、拡張子が、ｅｘｅ、ｄｌｌ、ｂｉｎ、ｓｃｒ等のいずれかのファイル、ブラウザのプラグイン、ＪＡＶＡのプログラムのいずれかのファイル等）を記憶装置２の被疑ファイル保存領域９に複製する。

記憶装置２は、被疑ファイル収集ツール（プログラム）８を保持すると共に、被疑ファイル収集ツール８が複製した被疑ファイルを保管する被疑ファイル保存領域９と、被疑ファイル保存領域９に蓄積された被疑ファイルを外部に送出する送出部２７を備えている。被疑ファイル収集ツール８は、検査対象装置１の制御部５により動作させる。

なお、記憶装置２は、ＵＳＢ（Universal Serial Bus）メモリやメモリカード等の可搬媒体でもよいし、書き換え可能ディスクである、ＣＤ−ＲＷ（Compact Disc Rewritable）やＤＶＤ−ＲＷ（Digital Versatile Disc Rewritable）やＤＶＤ−ＲＡＭ（Digital Versatile Disc Random Access Memory）を、検査対象装置１の内蔵ドライブ装置に挿入したものでもよい。さらに、記憶装置２は、書き換え可能ディスクであるＣＤ−ＲＷやＤＶＤ−ＲＷやＤＶＤ−ＲＡＭが挿入されたドライブ装置をＵＳＢ接続したものでもよいし、ネットワークに接続されたファイルサーバ等の共有フォルダ等の記憶領域であってもよい。

監視装置３は、接続部１０（ＵＳＢ端子等のインターフェース）と、仮想環境上で動作する診断ツール仮想マシン１１と、サンドボックス仮想マシン１２と、入力部１３と、出力部１４とを備えている。ここで、サンドボックスとは、保護された領域内でプログラムを動作させることで、その外へ悪影響が及ぶのを防止する技術をいう。

仮想環境は、例えば、VMware社（コンピュータの仮想化用ソフトウェアを製造・販売する企業）の製品等の公知のプログラムでもよい。

診断ツール仮想マシン１１は、仮想化された制御部１５と、仮想化された記憶部１６とを備えている。記憶部１６は、診断ツール（プログラム）１７、および、レポート生成ツール（プログラム）１８がインストールされ、被疑ファイル保存領域１９を備えている。

診断ツール１７は、サンドボックス仮想マシン１２で被疑ファイルを実行させ、サンドボックス仮想マシン１２で被疑ファイルを実行した結果の診断を行う。診断ツール１７がレポート生成機能を有していてもよい。診断ツール１７は、診断結果を出力部１４に出力する。

レポート生成ツール１８は、サンドボックス仮想マシン１２が出力する通信を監視しており、監視結果を診断結果として出力部１４に出力する。

ここで、診断とは、以下の情報入手と入手した情報の通知等をいい、いずれか１つもしくは複数、または、すべての組み合わせでもよい。

・動作したプロセス情報
・ファイルの変更情報
・アクセス権の情報
・レジストリの変更情報
・通信を試みたＩＰ（Internet Protocol）アドレスもしくはＦＱＤＮ（Fully Qualified Domain Name）またはＵＲＬ（Uniform Resource Locator）
・名前解決を試みたＤＮＳ（Domain Name System）クエリ

ここで、用語について補足すると、レジストリとは、例えば、Windowsの設定情報を格納している場所をいう。また、名前解決とは、コンピュータ名やＦＱＤＮからＩＰアドレスを調べる動作をいう。さらに、名前解決とは、コンピュータ名やＦＱＤＮからＩＰアドレスを調べる動作をいう。また、ＤＮＳクエリとは、ＤＮＳサーバに対し名前解決を求める問い合わせのことをいう。さらに、ＩＰアドレスとは、インターネットプロトコルで通信相手を特定する番号をいう。また、ＵＲＬとは、スキーム：／／ＦＱＤＮ／パスで表現されるものをいう。さらに、スキームとは、ＵＲＬ中の接続するために使用するプロトコルを指定する部分のことをいう。

ユーザは、監視装置３の接続部１０（例えば、ＵＳＢ端子等のインターフェース）に記憶装置２を接続する。ユーザが監視装置３の入力部６を操作することにより、診断ツール仮想マシン１１の制御部１５は記憶装置２の被疑ファイル保存領域９に保存された被疑ファイルを診断ツール仮想マシン１１の記憶部１６に複製する。

ユーザが監視装置３の入力部１３を操作することにより、診断ツール仮想マシン１１の制御部１５は診断ツール１７を起動する。なお、診断ツール１７の起動は、診断ツール仮想マシン１１の起動に合わせて、自動で行ってもよい。診断ツール仮想マシン１１の制御部１５は、診断ツール仮想マシン１１の被疑ファイル保存領域１９に、診断対象の被疑ファイルが存在すると、被疑ファイルをサンドボックス仮想マシン１２の記憶部２１に複製する。さらに、制御部１５はサンドボックス仮想マシン１２の制御部２０に指示を出し、サンドボックス仮想マシン１２の記憶部２１に複製された被疑ファイルを実行する。

監視装置３は、診断後、マルウェア感染を防ぐため、クリアインストールすることが望ましい。すなわち、監視装置３のＯＳ（Operating System）や各種アプリケーションを、すべて再インストールするか、または、診断前のバックアップデータから復元することが好ましい。これにより、監視装置３において、すべての生成ファイルは消去され、設定が初期に戻る。

レポート生成ツール１８は、診断ツール１７の結果を、監視装置３の出力部１４に出力する。出力部１４は、ディスプレイに表示であっても、印刷であっても、ＰＤＦ（Portable Document Format）形式のような電子データの出力であってもよい。ここで、ＰＤＦとは、電子文書のためのフォーマットであり、レイアウトソフト等で作成した文書を電子的に配布することができ、相手のコンピュータの機種や環境によらず、オリジナルのイメージをかなりの程度正確に再生することができるものをいう。

［動作］
次に、本実施形態に係るマルウェア検知システムの動作について、図面を参照して詳細に説明する。図３および図４は、本実施形態のマルウェア検知システムの動作を例示するシーケンス図である。

図３を参照すると、記憶装置２には、予め被疑ファイル収集ツール８を保存しておく（ステップＡ１）。なお、保存作業を予め行う代わりに、作業実施時に行ってもよい。

ユーザが顧客から指定を受けた検査対象装置１の入力部６を操作し、検査対象装置１の制御部５はハードディスク（ＨＤＤ：Hard Disk Drive）やリムーバブルメディア等の接続状況を確認する（ステップＡ２）。ここで、リムーバブルメディアとは、取り外し可能な記憶媒体のことをいう。

次に、ユーザは記憶装置２を検査対象装置１の接続部４に接続する（ステップＡ３）。記憶装置２が使用可能であれば、記憶装置２の接続先はいずれであってもよい。ここで、記憶装置２は、ＵＳＢ（Universal Serial Bus）メモリやメモリカード等の可搬媒体、または、ファイルサーバ等の共有フォルダであってもよい。

ユーザが検査対象装置１の入力部６を操作し、検査対象装置１の制御部５は被疑ファイル収集ツール８を実行する（ステップＡ４）。被疑ファイル収集ツール８の実行方法として、アイコンをダブルクリックする方法、コマンドプロンプトから実行する方法、バッチファイルから実行する方法等を用いることができる。なお、被疑ファイル収集ツール８を実行できれば、いずれの方法であってもよい。ここで、コマンドプロンプトとは、例えば、Microsoft社のWindows等に搭載されているＣＵＩ（Character User Interface）である。

検査対象装置１の制御部５は、予め定められた設定に従って検査対象装置１の情報を確認（すなわち、検査対象装置１にインストールされたソフトウェアの設定情報を確認）し、複製する被疑ファイルを決定する（ステップＡ５）。

検査対象装置１の制御部５は、決定した情報から、該当するファイルやフォルダ等を複製し、かつ／または、マルウェアが潜んでいる可能性のある予め決めたフォルダ、および／または、予め決めた拡張子を有するファイルを複製する（ステップＡ６）。複製する被疑ファイルの候補は、マルウェアが潜んでいる可能性があるファイルであればいずれのファイルでもよい。

検査対象装置１の制御部５は、これら被疑フォルダ、および／または、被疑ファイルを、記憶装置２の被疑ファイル保存領域９に保存する（ステップＡ７）。なお、複製したフォルダおよびファイルの保存先は、監視装置３に複製可能な領域であれば、いずれの領域であってもよい。

検査対象装置１の制御部５は、検査対象装置１の出力部（非図示）に実行完了を出力する（ステップＡ８）。

次に、ユーザは検査対象装置１から記憶装置２を取り外す。なお、取り外し作業が不要な記憶装置２であれば、取り外し作業を省略してもよい。

また、検査対象装置１が複数台存在する場合、並行して被疑ファイル収集ツール８を実行してもよい。

次に、ユーザは監視装置３の入力部１３を操作し、仮想環境を起動する（ステップＡ９）。

さらに、ユーザは監視装置３の入力部１３を操作し、診断ツール仮想マシン１１を起動する（ステップＡ１０）。

次に、ユーザは監視装置３の入力部１３を操作し、サンドボックス仮想マシン１２を起動する（ステップＡ１１）。起動するサンドボックスとして、顧客の環境に似たものを起動する必要があるが、予め準備されているすべてのサンドボックスを起動してもよい。

ユーザが監視装置３の入力部１３を操作し、診断ツール仮想マシン１１の制御部１５は診断ツール１７を起動する（ステップＡ１２）。ここで、診断ツール１７として、市販されているもの等の公知のマルウェア検出診断ツールを用いることができる。診断ツール１７は、検査対象装置１内の記憶領域を検査対象装置１内にインストールしたマルウェア検出ツールを用いて探索する代わりに、一旦、外部記録媒体等に、被疑フォルダ、および／または、被疑ファイルを複製し、これらの複製ファイルを探索する。これにより、検査対象装置１に動作異常がある場合でも、マルウェアの可能性が有るファイルを正しく探索して通知したり、マルウェアを動作させてその挙動を確認したりすることが可能となる。

次に、ユーザは、記憶装置２を監視装置３の接続部１０に接続する（ステップＡ１３）。記憶装置２が使用可能であれば、監視装置３の接続部１０はいずれであってもよい。なお、記憶装置２は、ＵＳＢメモリやメモリカード等の可搬媒体、または、ファイルサーバ等における共有フォルダ等であってもよい。

次に、ユーザが監視装置３の入力部１３を操作し、診断ツール仮想マシン１１の制御部１５は記憶装置２の被疑ファイル保存領域９に保存された被疑ファイルを診断ツール仮想マシン１１の被疑ファイル保存領域１９に複製する（ステップＡ１４）。被疑ファイルの複製方法として、バッチファイルから実行する方法等を用いることができる。ただし、被疑ファイルが複製できれば、いずれの方法であってもよい。

診断ツール仮想マシン１１の制御部１５は、定期的に診断ツール仮想マシン１１の被疑ファイル保存領域１９を確認する（ステップＡ１５）。

図４を参照すると、診断ツール仮想マシン１１の制御部１５は、診断ツール仮想マシン１１の被疑ファイル保存領域１９に更新されたファイルを発見すると、被疑ファイルをサンドボックス仮想マシン１２の記憶部２１に複製する（ステップＡ１６）。

診断ツール仮想マシン１１の制御部１５は、サンドボックス仮想マシン１２の制御部２０に指示を出し、サンドボックス仮想マシン１２の制御部２０は被疑ファイルを実行する（ステップＡ１７）。

診断ツール仮想マシン１１の制御部１５は、サンドボックス仮想マシン１２が出力する通信、サンドボックス仮想マシン１２での設定変更を確認する（ステップＡ１８）。

診断ツール仮想マシン１１の制御部１５は、サンドボックス仮想マシン１２の出力の確認結果に基づいてレポートを生成する（ステップＡ１９）。

診断ツール仮想マシン１１の制御部１５は、サンドボックス仮想マシン１２が出力する通信を診断する（ステップＡ２０）。

診断ツール仮想マシン１１の制御部１５は、診断結果を出力部１４に出力する（ステップＡ２１）。制御部１５は、例えば、ＩＰアドレス、ＵＲＬ等を確認し、被害拡大防止に役立つ情報を抽出して出力部１４に出力する。出力部１４による出力方法は、ディスプレイへの表示、印刷、または、ＰＤＦ形式のような電子データの出力であってもよい。

［効果］
次に、本実施形態に係るマルウェア検知システムの効果について説明する。

本実施形態のマルウェア検知システムによると、検査対象装置１にマルウェア診断ソフトがインストールされているか否かによらず、検査対象装置１が監視装置３に接続できない状況においても、検査対象装置がマルウェアに感染した可能性を検知することが可能となる。なぜなら、被疑ファイル収集装置２８（記憶装置２）は、検査対象装置１に接続可能であり、検査対象装置１により起動されるプログラムを用いて、検査対象装置１の記憶部７からマルウェアへの感染が疑われる被疑ファイルを収集し、収集した被疑ファイルを、被疑ファイルを実行した結果を監視する監視装置３に対して送出可能だからである。

ところで、情報提供までに要する時間と、ハードディスクドライブ内の検索領域の網羅性との間にはトレードオフの関係がある。本実施形態では、ハードディスクドライブ内の検索領域、および、対象ファイルを限定した上で、これらを複製して調査する構成を採用した。これにより、本実施形態のマルウェア検知システムによると、マルウェアへの感染の可能性を迅速に調査して顧客に報告することができる。

また、本実施形態のマルウェア検知システムによると、顧客の都合により、検査対象装置１が保持する情報を持ち出せない場合でも、マルウェアへの感染可能性の調査を行うことができる。なぜなら、本実施形態のマルウェア感知システム、すなわち、記憶装置２および監視装置３を、検査対象装置１の設置箇所に持ち込んだ上で、オンサイトで調査を実施できるからである。

（実施形態１の変形例）
図２に示すように、本実施形態では、診断ツール１７、レポート生成ツール１８、および、被疑ファイル保存領域１９を、一例として、監視装置３内の診断ツール仮想マシン１１内のＯＳにインストールする場合について説明した。ただし、かかる構成の変形例として、診断ツール１７、レポート生成ツール１８、および、被疑ファイル保存領域１９を、監視装置３のＯＳにインストールしてもよい。なお、この場合においても、被疑ファイルを動作させたことによる影響が外部に及ぶことを防ぐため、監視装置３において起動したサンドボックス仮想マシン１２内で被疑ファイルを動作させて、その動作を監視することが好ましい。

＜実施形態２＞
次に、第２の実施形態に係るマルウェア検知システムについて、図面を参照して説明する。

図５は、本実施形態に係るマルウェア検知システムの構成を例示するブロック図である。図５を参照すると、本実施形態のマルウェア検知システムは、被疑ファイル収集装置である記憶装置２および通信端末２２と、監視装置３とを備えている。図５には、マルウェア検知システムにより検査対象とされる検査対象装置１も併せて示す。検査対象装置１と監視装置３は、被疑ファイル収集装置２８（すなわち、記憶装置２および通信端末２２）とインターネット２３を介して、データの移動や交換を行う。

なお、通信端末２２は、記憶装置２を含む構成としてもよい。この場合、検査対象装置１と通信端末２２は、ネットワーク等を介して接続する。

検査対象装置１は、接続部４と制御部５と入力部６と記憶部７とを備えている。接続部４には、外部記憶媒体である記憶装置２が接続される。

検査対象装置１は、マルウェアへの感染が疑われる端末（例えば、顧客のパーソナルコンピュータ（ＰＣ：Personal Computer）等）である。ここで、マルウェアとは、悪意のある動作をするようにプログラムされたソフトウェアの総称であり、例えば、コンピュータウイルスやワーム、スパイウェア等である。

本実施形態に係るマルウェア検知システムのユーザ（例えば、顧客のＰＣの保守を行う技術者）は、検査対象装置１の接続部４に記憶装置２を接続する。また、ユーザは検査対象装置１の入力部６を操作し、検査対象装置１の制御部５が被疑ファイル収集ツール８を動作させ、被疑ファイル収集ツール８を実行する。ここで、被疑ファイル収集ツール８とは、予め決めた領域、および／または、予め決めたファイルや予め決めた拡張子を有するファイルをコピーするプログラムである。

通信端末２２が記憶装置２を含む場合、ユーザは検査対象装置１と通信端末２２をネットワークで接続する。

被疑ファイル収集ツール８が実行されると、検査対象装置１の制御部５は、検査対象装置１の記憶部７から予め定められた設定に従い、単数または複数の予め定めた拡張子を有するファイル等（例えば、拡張子が、ｅｘｅ、ｄｌｌ、ｂｉｎ、ｓｃｒ、等いずれか１つ以上のファイル、ブラウザのプラグイン、ＪＡＶＡのプログラムのいずれかのファイル等）を記憶装置２の被疑ファイル保存領域９に複製する。

記憶装置２は、被疑ファイル収集ツール（プログラム）８を保持すると共に、被疑ファイル収集ツール８が複製した被疑ファイルを保管する被疑ファイル保存領域９と、被疑ファイル保存領域９に蓄積された被疑ファイルを外部に送出する送出部２７を備えている。被疑ファイル収集ツール８は、検査対象装置１の制御部５により動作させる。

なお、記憶装置２は、ＵＳＢ（Universal Serial Bus）メモリやメモリカード等の可搬媒体でもよいし、書き換え可能ディスクであるＣＤ−ＲＷ（Compact Disc Rewritable）やＤＶＤ−ＲＷ（Digital Versatile Disc Rewritable）やＤＶＤ−ＲＡＭ（Digital Versatile Disc Random Access Memory）を検査対象装置１の内蔵ドライブ装置に挿入したものでもよい。また、記憶装置２は、書き換え可能ディスクであるＣＤ−ＲＷやＤＶＤ−ＲＷやＤＶＤ−ＲＡＭが挿入されたドライブ装置をＵＳＢ接続したものでもよいし、ネットワークに接続されたファイルサーバ等の共有フォルダ等の記憶領域であってもよい。

通信端末２２は、接続部２４（ＵＳＢ端子等のインターフェースとインターネットに接続可能な通信装置）と入力部２５と制御部２６とを備えている。

ユーザは、通信端末２２の接続部２４（ＵＳＢ端子等のインターフェース）に記憶装置２を接続する。また、ユーザは通信端末２２の入力部２５を操作し、記憶装置２の被疑ファイル保存領域９に保存された被疑ファイルを、インターネット２３を介して診断ツール仮想マシン１１の記憶部１６に複製する。

通信端末２２が記憶装置２を含む場合、ユーザは検査対象装置１と通信端末２２をネットワークで接続する。

監視装置３は、接続部１０（インターネット２３に接続可能な通信装置）と、仮想環境上で動作する診断ツール仮想マシン１１と、サンドボックス仮想マシン１２と、入力部１３と、出力部１４とを備えている。ここで、サンドボックスとは、保護された領域内でプログラムを動作させることで、その外へ悪影響が及ぶのを防止する技術をいう。

仮想環境は、例えば、ＶＭｗａｒｅ社（コンピュータの仮想化用ソフトウェアを製造・販売する企業）の製品等の公知のプログラムでもよい

診断ツール仮想マシン１１は、仮想化された制御部１５と仮想化された記憶部１６を備えている。記憶部１６は、診断ツール１７（プログラム）およびレポート生成ツール１８（プログラム）がインストールされ、被疑ファイル保存領域１９を備えている。

診断ツール１７は、サンドボックス仮想マシン１２で被疑ファイルを実行させ、サンドボックス仮想マシン１２で被疑ファイルを実行した結果の診断を行う。診断ツール１７がレポート生成機能を有していてもよい。診断ツール１７は、診断結果を出力部１４に出力する。

レポート生成ツール１８は、サンドボックス仮想マシン１２が出力する通信を監視しており、監視結果を診断結果として出力部１４に出力する。ここで、レポート生成ツール１８とは、サンドボックス仮想マシン１２で被疑ファイルを動作させ、被疑ファイルが動作して出力するパケットの挙動を検査し、結果を作成するツールである。また、パケットとは、データを分割した小さなデータの集合の単位をいう。

ここで、診断とは、以下の情報入手と入手した情報の通知等をいい、いずれか１つもしくは複数、または、すべての組み合わせでもよい。

・動作したプロセス情報
・ファイルの変更情報
・アクセス権の情報
・レジストリの変更情報
・通信を試みたＩＰ（Internet Protocol）アドレスもしくはＦＱＤＮ（Fully Qualified Domain Name）またはＵＲＬ（Uniform Resource Locator）
・名前解決を試みたＤＮＳ（Domain Name System）クエリ

ここで、用語について補足すると、ＩＰ（Internet Protocol）アドレスとは、インターネットプロトコルで通信相手を特定する番号をいう。また、ＵＲＬ（Uniform Resource Locator）とは、スキーム：／／ＦＱＤＮ／パスで表現されるものをいう。さらに、スキームとは、ＵＲＬ中の接続するために使用するプロトコルを指定する部分のことをいう。また、名前解決とは、コンピュータ名やＦＱＤＮからＩＰアドレスを調べる動作をいう。また、ＤＮＳクエリとは、ＤＮＳサーバに対し名前解決を求める問い合わせのことをいう。

ユーザは、監視装置３（インターネット２３に接続可能な通信装置）の接続部１０に、診断ツール仮想マシン１１の記憶部１６を接続する。ユーザが通信端末２２の入力部２５を操作することにより、診断ツール仮想マシン１１の制御部１５は記憶装置２の被疑ファイル保存領域９に保存された被疑ファイルを、診断ツール仮想マシン１１の被疑ファイル保存領域１９に複製する。

ユーザが監視装置３の入力部１３を操作することにより、診断ツール仮想マシン１１の制御部１５は診断ツール１７を起動する。なお、診断ツール１７は、診断ツール仮想マシン１１の起動に合わせて自動で起動してもよい。診断ツール仮想マシン１１の制御部１５は、診断ツール仮想マシン１１の被疑ファイル保存領域１９に、診断対象の被疑ファイルが存在すると、被疑ファイルをサンドボックス仮想マシン１２の記憶部２１に複製する。さらに、制御部１５はサンドボックス仮想マシン１２の制御部２０に指示を出し、サンドボックス仮想マシン１２の記憶部２１に複製された被疑ファイルを実行する。

監視装置３は、診断後、マルウェア感染を防ぐため、クリアインストールすることが望ましい。すなわち、監視装置３のＯＳ（Operating System）や各種アプリケーションを、再インストールするか、または、診断前のバックアップデータから復元することが好ましい。これにより、監視装置３において、すべての生成ファイルは消去され、設定が初期に戻る。

レポート生成ツール１８は、診断ツール１７の結果を、監視装置３の出力部１４に出力する。出力部１４は、ディスプレイに表示であっても、印刷であっても、ＰＤＦ（Portable Document Format）形式のような電子データの出力であってもよい。

［動作］
次に、本実施形態に係るマルウェア検知システムの動作について、図面を参照して詳細に説明する。図６および図７は、本実施形態のマルウェア検知システムの動作を例示するシーケンス図である。

図６を参照すると、ユーザは監視装置３の入力部１３を操作し、仮想環境を起動する。なお、監視装置３の仮想環境は、予め起動していてもよい（ステップＢ１）。

次に、ユーザは監視装置３の入力部１３を操作し、診断ツール仮想マシン１１を起動する。なお、診断ツール仮想マシン１１は、予め起動しておいてもよい（ステップＢ２）。

次に、ユーザは監視装置３の入力部１３を操作し、サンドボックス仮想マシン１２を起動する。なお、サンドボックス仮想マシン１２は、予め起動しておいてもよい（ステップＢ３）。

次に、ユーザは監視装置３の入力部１３を操作し、診断ツール１７を起動する。なお、診断ツール仮想マシン１１の診断ツール１７は、予め起動していてもよい（ステップＢ４）。ここで、診断ツール１１として、市販されているもの等の公知のマルウェア検出診断ツールを用いることができる。

マルウェア診断プログラムは、監視装置３や診断用仮想マシン上に、被疑ファイルを複製して実行し、監視装置３や診断用仮想マシン上での、被疑ファイルの動作や、被疑ファイルの動作によって出力された情報（例えば、パケット）を監視する。マルウェア診断プログラムは、収集して複製された被疑ファイルを仮想マシン上で実行し、挙動を観察する機能サンドボックス（Sandbox）機能を有するプログラムであればよく、市販されているものでもよい。

診断ツール１７は、検査対象装置１内の記憶領域を、検査対象装置１内にインストールしたマルウェア検出ツールを用いて探索する代わりに、一旦、外部記録媒体等に、被疑フォルダ、および／または、被疑ファイルを複製し、これら複製ファイルを探索する。これにより、検査対象装置１に動作異常がある場合でも、マルウェアの可能性が有るファイルを正しく探索して通知したり、マルウェアを動作させてその挙動を確認したりすることが可能となる。

記憶装置２には、予め被疑ファイル収集ツール８を保存しておく（ステップＢ５）。なお、保存作業を予め行う代わりに、作業実施時に行ってもよい。

ユーザが顧客から指定を受けた検査対象装置１の入力部６を操作し、検査対象装置１の制御部５はＨＤＤやリムーバブルメディア等の接続状況を確認する（ステップＢ６）。ここで、リムーバブルメディアとは、取り外し可能な記憶媒体のことをいう。

次に、ユーザは記憶装置２を検査対象装置１の接続部４に接続する（ステップＢ７）。記憶装置２が使用可能であれば、記憶装置２の接続先はいずれであってもよい。なお、記憶装置２はＵＳＢメモリやメモリカード等の可搬媒体、または、ファイルサーバ等における共有フォルダ等であってもよい。

ユーザが検査対象装置１の入力部６を操作し、検査対象装置１の制御部５は被疑ファイル収集ツール８を実行する（ステップＢ８）。被疑ファイル収集ツール８の実行方法として、アイコンをダブルクリックする方法、コマンドプロンプトから実行する方法、バッチファイルから実行する方法等を用いることができる。なお、被疑ファイル収集ツール８を実行できれば、いずれの方法であってもよい。ここで、コマンドプロンプトとは、例えば、Microsoft社のWindows等に搭載されているＣＵＩ（Character User Interface）である。

検査対象装置１の制御部５は、予め定められた設定に従って検査対象装置１の情報を確認（すなわち、制御部５は、検査対象装置１にインストールされたソフトウェアの設定情報を確認）し、複製する被疑ファイルを決定する（ステップＢ９）。

被疑ファイル収集ツール８は、制御部５が決定した情報から、該当するファイルやフォルダ等を複製し、かつ／または、マルウェアが潜んでいる可能性のある予め決めたフォルダ、および／または、予め決めた拡張子を有するファイルを複製する（ステップＢ１０）。複製する被疑ファイルの候補は、マルウェアが潜んでいる可能性があるファイルであればいずれのファイルであってもよい。

検査対象装置１の制御部５は、これら被疑フォルダ、および／または、被疑ファイルを、記憶装置２の被疑ファイル保存領域９に保存する（ステップＢ１１）。なお、複製したフォルダおよびファイルの保存先は、監視装置３に複製可能な領域であれば、いずれの領域であってもよい。

検査対象装置１の制御部５は、被疑ファイル収集ツール８に実行完了を出力する（ステップＢ１２）。

次に、ユーザは検査対象装置１から記憶装置２を取り外す。なお、取り外し作業が不要な記憶装置２であれば、取り外し作業を省略してもよい。

なお、検査対象装置１が複数台存在する場合、並行して被疑ファイル収集ツール８を実行してもよい。

次に、ユーザは、記憶装置２を通信端末２２の接続部２４に接続する（ステップＢ１３）。記憶装置２が使用可能であれば、接続部２４はいずれであってもよい。なお、記憶装置２は、ＵＳＢメモリやメモリカード等の可搬媒体、または、ファイルサーバ等における共有フォルダ等であってもよい。また、通信端末２２が記憶装置２を含む場合、この作業は省略可能である。

次に、ユーザが通信端末２２の入力部２５を操作し、通信端末２２の制御部２６は通信端末２２の接続部２４と監視装置３の接続部１０を、インターネット２３を介して接続する（ステップＢ１４）。

図７を参照すると、ユーザが通信端末２２の入力部２５を操作し、通信端末２２の制御部２６は記憶装置２の被疑ファイル保存領域９に保存された被疑ファイルを、診断ツール仮想マシン１１の被疑ファイル保存領域１９に複製する（ステップＢ１５）。被疑ファイルの複製方法として、バッチファイルから実行する方法等を用いることができる。ただし、被疑ファイルが複製できれば、いずれの方法であってもよい。

診断ツール仮想マシン１１の制御部１５は、定期的に診断ツール仮想マシン１１の被疑ファイル保存領域１９を確認する（ステップＢ１６）。

診断ツール仮想マシン１１の制御部１５は、診断ツール仮想マシン１１の被疑ファイル保存領域１９に更新されたファイルを発見すると、被疑ファイルをサンドボックス仮想マシン１２の記憶部２１に複製する（ステップＢ１７）。

診断ツール仮想マシン１１の制御部１５は、サンドボックス仮想マシン１２の制御部２０に指示を出し、サンドボックス仮想マシン１２の制御部２０は被疑ファイルを実行する（ステップＢ１８）。

診断ツール仮想マシン１１の制御部１５は、サンドボックス仮想マシン１２が出力する通信、サンドボックス仮想マシンでの設定変更を確認する（ステップＢ１９）。

診断ツール仮想マシン１１の制御部１５は、サンドボックス仮想マシン１２の出力の確認結果に基づいてレポートを生成する（ステップＢ２０）。

診断ツール仮想マシン１１の制御部１５は、サンドボックス仮想マシン１２が出力する通信を診断する（ステップＢ２１）。

レポート生成ツール１８は、検査結果を監視装置３の出力部１３に出力する（ステップＢ２２）。レポート生成ツール１８は、例えば、ＩＰアドレス、ＵＲＬ等を確認し、被害拡大防止に役立つ情報を抽出して出力部１３に出力する。出力部１３による出力方法は、ディスプレイへの表示、印刷、または、ＰＤＦ形式のような電子データの出力であってもよい。ここで、ＰＤＦとは、電子文書のためのフォーマットの１つである。ＰＤＦによると、レイアウトソフトウェア等で作成した文書を、電子文書として電子的に配布することができ、相手のコンピュータの機種や環境によらず、元のイメージ（文書や図面等の、配置や表示、等）をほぼ正確に表示することができる。

次に、本実施形態に係るマルウェア検知システムの効果について説明する。

本実施形態のマルウェア検知システムによると、第１の実施形態に係るマルウェア検知システムと同様の効果がもたらされる。すなわち、検査対象装置１にマルウェア診断ソフトがインストールされているか否かによらず、検査対象装置１が監視装置３に接続できない状況においても、検査対象装置がマルウェアに感染した可能性を検知することが可能となる。また、マルウェアへの感染の可能性を迅速に調査して顧客に報告することができ、顧客の都合により、検査対象装置１が保持する情報を持ち出せない場合でも、マルウェアへの感染可能性の調査を行うことができる。さらに、本実施形態によると、監視装置３を客先に携行できない場合においても、記憶装置２および通信端末２２を客先に携行することで、マルウェアへの感染可能性を検査することが可能となる。

なお、本発明において、下記の形態が可能である。
［形態１］
上記第１の態様に係る被疑ファイル収集装置のとおりである。
［形態２］
前記被疑ファイル収集装置において、前記所定の領域は、マルウェアの動作に関連する領域であってもよい。
［形態３］
前記被疑ファイル収集装置において、前記所定の領域は、マルウェアがアクセスする領域、または、マルウェアが設定を行う領域であってもよい。
［形態４］
前記被疑ファイル収集装置において、前記収集手段は、前記所定の領域から所定の拡張子を有するファイルを前記被疑ファイルとして収集してもよい。
［形態５］
前記被疑ファイル収集装置において、前記監視装置は、前記実行された被疑ファイルが行う通信を監視してもよい。
［形態６］
前記被疑ファイル収集装置において、前記監視装置は、前記実行された被疑ファイルが送出した情報、および／または、前記実行された被疑ファイルの通信先を示す情報を監視してもよい。
［形態７］
上記第２の態様に係るマルウェア検知システムのとおりである。
［形態８］
前記載のマルウェア検知システムにおいて、前記所定の領域は、マルウェアの動作に関連する領域であってもよい。
［形態９］
前記マルウェア検知システムにおいて、前記所定の領域は、マルウェアがアクセスする領域、または、マルウェアが設定を行う領域であってもよい。
［形態１０］
前記マルウェア検知システムにおいて、前記収集手段は、前記所定の領域から所定の拡張子を有するファイルを前記被疑ファイルとして収集してもよい。
［形態１１］
前記マルウェア検知システムにおいて、前記監視装置は、前記実行された被疑ファイルが行う通信を監視してもよい。
［形態１２］
前記マルウェア検知システムにおいて、前記監視装置は、前記実行された被疑ファイルが送出した情報、および／または、前記実行された被疑ファイルの通信先を示す情報を監視してもよい。
［形態１３］
上記第３の態様に係るマルウェア検知方法のとおりである。
［形態１４］
前記マルウェア検知方法において、前記所定の領域は、マルウェアの動作に関連する領域であってもよい。
［形態１５］
前記マルウェア検知方法において、前記所定の領域は、マルウェアがアクセスする領域、または、マルウェアが設定を行う領域であってもよい。
［形態１６］
前記マルウェア検知方法において、前記被疑ファイル収集装置は、前記所定の領域から所定の拡張子を有するファイルを前記被疑ファイルとして収集してもよい。
［形態１７］
前記マルウェア検知方法において、前記監視装置は、前記実行された被疑ファイルが行う通信を監視してもよい。
［形態１８］
前記マルウェア検知方法において、前記監視装置は、前記実行された被疑ファイルが送出した情報、および／または、前記実行された被疑ファイルの通信先を示す情報を監視してもよい。

なお、上記特許文献の全開示内容は、本書に引用をもって繰り込み記載されているものとする。本発明の全開示（請求の範囲を含む）の枠内において、さらにその基本的技術思想に基づいて、実施形態の変更・調整が可能である。また、本発明の全開示の枠内において種々の開示要素（各請求項の各要素、各実施形態の各要素、各図面の各要素等を含む）の多様な組み合わせ、ないし、選択が可能である。すなわち、本発明は、請求の範囲を含む全開示、技術的思想にしたがって当業者であればなし得るであろう各種変形、修正を含むことは勿論である。特に、本書に記載した数値範囲については、当該範囲内に含まれる任意の数値ないし小範囲が、別段の記載のない場合でも具体的に記載されているものと解釈されるべきである。

１ 検査対象装置
２ 記憶装置
３ 監視装置
４ 接続部
５ 制御部
６ 入力部
７ 記憶部
８ 被疑ファイル収集ツール
９ 被疑ファイル保存領域
１０ 接続部
１１ 診断ツール仮想マシン
１２ サンドボックス仮想マシン
１３ 入力部
１４ 出力部
１５ 制御部
１６ 記憶部
１７ 診断ツール
１８ レポート作成ツール
１９ 被疑ファイル保存領域
２０ 制御部
２１ 記憶部
２２ 通信端末
２３ インターネット
２４ 接続部
２５ 入力部
２６ 制御部
２７ 送出部
２８ 被疑ファイル収集装置
２９ 収集手段
３０ 記憶手段
３１ 送出手段

Claims (10)

1. 検査対象装置に接続可能な被疑ファイル収集装置であって、
   前記検査対象装置により起動されるプログラムを用いて、前記検査対象装置が有する記憶部のうちの所定の領域からマルウェアへの感染が疑われる被疑ファイルを収集する収集手段と、
   前記被疑ファイルを記憶する記憶手段と、
   前記被疑ファイルを実行した結果を監視する監視装置に対して、前記記憶手段に蓄積された被疑ファイルを送出する送出手段と、を備える、
   ことを特徴とする被疑ファイル収集装置。
2. 前記所定の領域は、マルウェアの動作に関連する領域である、
   請求項１に記載の被疑ファイル収集装置。
3. 前記所定の領域は、マルウェアがアクセスする領域、または、マルウェアが設定を行う領域である、
   請求項２に記載の被疑ファイル収集装置。
4. 前記収集手段は、前記所定の領域から所定の拡張子を有するファイルを前記被疑ファイルとして収集する、
   請求項２または３に記載の被疑ファイル収集装置。
5. 前記監視装置は、前記実行された被疑ファイルが行う通信を監視する、
   請求項１ないし４のいずれか１項に記載の被疑ファイル収集装置。
6. 前記監視装置は、前記実行された被疑ファイルが送出した情報、および／または、前記実行された被疑ファイルの通信先を示す情報を監視する、
   請求項５に記載の被疑ファイル収集装置。
7. 検査対象装置に接続可能な被疑ファイル収集装置と、
   前記被疑ファイル収集装置からアクセス可能な監視装置と、を備え、
   前記被疑ファイル収集装置は、
   前記検査対象装置により起動されるプログラムを用いて、前記検査対象装置が有する記憶部のうちの所定の領域からマルウェアへの感染が疑われる被疑ファイルを収集する収集手段と、
   前記被疑ファイルを記憶する記憶手段と、
   前記記憶手段に蓄積された被疑ファイルを前記監視装置に送出する送出手段と、を有し、
   前記監視装置は、前記被疑ファイル収集装置から受信した被疑ファイルを実行した結果を監視する、
   ことを特徴とするマルウェア検知システム。
8. 前記所定の領域は、マルウェアの動作に関連する領域である、
   請求項７に記載のマルウェア検知システム。
9. 検査対象装置に接続可能な被疑ファイル収集装置が、前記検査対象装置により起動されるプログラムを用いて、前記検査対象装置が有する記憶部のうちの所定の領域からマルウェアへの感染が疑われる被疑ファイルを収集するステップと、
   前記被疑ファイルを記憶手段に記憶するステップと、
   前記被疑ファイルを実行した結果を監視する監視装置に対して、前記記憶手段に蓄積された被疑ファイルを送出するステップと、を含む、
   ことを特徴とするマルウェア検知方法。
10. 前記所定の領域は、マルウェアの動作に関連する領域である、
    請求項９に記載のマルウェア検知方法。

Images