JP2016181074A - コンピュータ端末及びそのプログラム、コンピュータシステム - Google Patents

Abstract

【課題】コンピュータ端末が異常となる前にウィルス感染の可能性を検出して対策を講じるコンピュータ端末及びそのプログラム、コンピュータシステムを提供する。
【解決手段】コンピュータ端末１０は、インストールされているプログラムファイルについて、発生するプロセスのプロセス名と、プロセスに対応する実行ファイル名とを少なくとも含むホワイトリスト６１３が記憶される記憶手段１１１と、プロセスが発生すると、発生したプロセス名と実行ファイル名を取得する取得手段６１と、取得手段６１により取得されたプロセス名と実行ファイル名がホワイトリスト６１３に存在するか否か検出する検出手段６２と、検出手段６２の検出結果が「否」となると、発生したプロセスの起動を停止する起動停止手段６３とを具備する。
【選択図】図６

Description

この発明は、ＰＯＳ（Point Of Sales）端末、医療機器、計測機器、加工製造機器、プリンタなどの、コンピュータ端末、また更に、このコンピュータ端末のプログラム、更に上記コンピュータ端末を含んで構成されるコンピュータシステムに関するものであり、特に、ウィルス対策に関するものである。

従来のＰＯＳ端末にあっては、異常監視を行う構成を備え、異常が検出されたときに当該ＰＯＳ端末をネットワークから切り離すものが知られている（特許文献１参照）。また、特許文献２には、異常監視を行う構成を備え、異常が検出されたときに現用ネットワークから予備用ネットワークへ切り換えを行うものが開示されている。

ところで、異常検出はウィルス検出により行われるものであり、この場合、従来において最も広く行われている手法は、ウィルスの種類をブラックリスト（パターンファイル）により定義し、このブラックリストにマッチするものが検出されると、ウィルスと判断して除去を行うものである。ここで、いつも適切にウィルス除去を行うためには、ブラックリストの内容を常に最新のものへ更新することが必須である。

しかしながら、ＰＯＳ端末においては、一般的に、店などの所定の設置場所に設置した以降は、新たなソフトのインストールや頻繁にインターネットへ接続する環境にはないため、ブラックリストの内容を常に最新のものへ更新する処理がシステムに負担をかけて業務に支障を来す虞がある。

上記に対し、特許文献３には、適正なソフトウエア及び設定に関する情報であるホワイトリストを生成して蓄積しておき、異常検出がされたときに、装置に蓄積されているソフトウエア及び設定に関する情報から新たにホワイトリストを生成し、この新たなホワイトリストと上記蓄積しておいたホワイトリストを比較してウィルス感染の有無を調べるものが開示されている。

更に、特許文献４には、ＵＳＢストレージが接続される前に所定領域のファイルのハッシュ値を生成して蓄積しておき、ＵＳＢストレージが接続されたときに上記所定領域のファイルのハッシュ値を再度生成して、既に蓄積されているハッシュ値と比較し、ウィルス感染の有無を調べるものが開示されている。

特開２０１２−９４０４５号公報 特開２０１２−１９４９２４号公報 特開２０１２−１４３２０号公報 特開２０１１−１３８５０号公報

上記特許文献３のものは、異常が検出された後にウィルス感染の有無を調べており、対策が後手に回る可能性を排除できない。また、上記特許文献４のものは、ＵＳＢストレージが接続される装置を前提としており、適用範囲が狭いという問題がある。

本発明は上記のようなコンピュータ端末のウィルス対策に関する現状に鑑みてなされたもので、その目的は、適用範囲が広く、ほとんどのコンピュータ端末に適用することができ、また、コンピュータ端末が異常となる前にウィルス感染の可能性を検出して対策を講じることが可能なコンピュータ端末を提供することである。また、本発明は、そのようなコンピュータ端末を実現するプログラムを提供することを目的とし、更に、上記コンピュータ端末を用いて構成したコンピュータシステムを提供することを目的とする。

本発明に係るコンピュータ端末は、インストールされているプログラムファイルについて、発生するプロセスのプロセス名と、プロセスに対応する実行ファイル名とを少なくとも含むホワイトリストが記憶される記憶手段と、プロセスが発生すると、発生したプロセス名と実行ファイル名を取得する取得手段と、前記取得手段により取得されたプロセス名と実行ファイル名が前記ホワイトリストに存在するか否か検出する検出手段と、前記検出手段の検出結果が「否」となると、前記発生したプロセスの起動を停止する起動停止手段とを具備することを特徴とする。

本発明に係るコンピュータ端末では、ホワイトリストには、実行ファイルのハッシュ値が含まれており、プロセスが発生すると、発生したプロセスの実行ファイルからハッシュ値を算出する算出手段と、算出されたハッシュ値と、ホワイトリストの対応するハッシュ値とを比較する比較手段と、を具備し、前記起動停止手段は、比較結果が不一致となった場合に、前記発生したプロセスの起動を停止することを特徴とする。

本発明に係るコンピュータ端末では、警報を発生する警報発生手段を備え、起動停止手段は、起動停止するときに警報発生手段を駆動して警報を発生することを特徴とする。

本発明に係るプログラムは、インストールされているプログラムファイルについて、発生するプロセスのプロセス名と、プロセスに対応する実行ファイル名とを少なくとも含むホワイトリストが記憶される記憶手段を備えるコンピュータ端末のコンピュータを、プロセスが発生すると、発生したプロセス名と実行ファイル名を取得する取得手段、前記取得手段により取得されたプロセス名と実行ファイル名が前記ホワイトリストに存在するか否か検出する検出手段、前記検出手段の検出結果が「否」となると、前記発生したプロセスの起動を停止する起動停止手段として機能させることを特徴とする。

本発明に係るプログラムでは、ホワイトリストには、実行ファイルのハッシュ値が含まれており、コンピュータを更に、プロセスが発生すると、発生したプロセスの実行ファイルからハッシュ値を算出する算出手段、算出されたハッシュ値と、ホワイトリストの対応するハッシュ値とを比較する比較手段として機能させることを特徴とする。

本発明に係るコンピュータシステムは、請求項１ないし３のいずれか１項に記載のコンピュータ端末と、セットされたホワイトリストを前記サーバに配信するサーバと、前記コンピュータ端末にインストールするプログラムファイルについて、発生するプロセスのプロセス名と、プロセスに対応する実行ファイル名とを少なくとも含むホワイトリストを作成するホワイトリスト作成手段と、作成したホワイトリストを前記サーバにセットする送信手段とを備えたホワイトリスト作成用のコンピュータと、を具備することを特徴とする。

本発明に係るコンピュータシステムでは、ホワイトリスト作成手段は、コンピュータ端末にインストールするプログラムファイルについて、発生するプロセスに対応する実行ファイルのハッシュ値を生成し、対応するプロセス名に対応付けてホワイトリストを作成することを特徴とする。

本発明に係るコンピュータシステムでは、ホワイトリスト作成手段は、コンピュータ端末にインストールする更新プログラムファイルを受け、更新された部分のプログラムファイルについて、発生するプロセスに対応する実行ファイルのハッシュ値を生成し、対応するプロセス名に対応付けてホワイトリストを作成することを特徴とする。

本発明に係るコンピュータシステムでは、前記コンピュータ端末には、プロセス発生から前記起動停止手段による処理までの処理内容のログを生成し、前記サーバへ送信するログ生成手段が具備されていることを特徴とする。

本発明によれば、プロセスの発生によって不正プログラムの検出を行うので、適用範囲が広く、ほとんどのコンピュータ端末に適用することができる。また本発明では、比較結果が不一致となった場合に、発生したプロセスの起動を停止するので、コンピュータ端末が異常となる前にウィルス感染の可能性を検出して対策を講じることが可能である。

本発明に係るコンピュータシステムの実施形態の構成を示す図。 本発明に係るコンピュータ端末の実施形態の構成を示すブロック図。 本発明に係るコンピュータシステムの実施形態の要部構成を示す図。 本発明に係るコンピュータ端末の実施形態において用いられるホワイトリストの内容の一例を示す図。 本発明に係るコンピュータシステムの実施形態の要部構成を示す図。 本発明に係るコンピュータ端末の実施形態の要部構成を示す図。 本発明に係るコンピュータシステムの実施形態の動作を示すフローチャート。 本発明に係るコンピュータシステムの実施形態の動作を示すフローチャート。

以下添付図面を参照して本発明に係るコンピュータ端末及びそのプログラム、コンピュータシステムの実施形態を説明する。各図において、同一構成要素には同一の符号を付して重複する説明を省略する。図１には、本発明に係るコンピュータ端末を用いたコンピュータシステムの実施形態の構成図が示されている。このコンピュータシステムは、店舗などに設置される複数のコンピュータ端末（ＰＯＳ端末）１０−１〜１０−ｎと、このコンピュータ端末１０−１〜１０−ｎにネットワークなどを介して接続されているサーバ２０と、サーバ２０に少なくとも必要時に専用回線などを介して接続されるコンピュータ３０とを有する。コンピュータ３０は、コンピュータ端末１０−１〜１０−ｎと同じ構成のＰＯＳ端末とすることができる。

図２に、コンピュータ端末１０−１〜１０−ｎの構成を示す。このコンピュータ端末１０は、ＣＰＵ４０が主メモリ１２内のプログラムやデータに基づき各部を制御する構成となっている。ＣＰＵ４０には、バス１１を介して、外部記憶コントローラ１３、操作部コントローラ１４、ディスプレイコントローラ１５、プリンタコントローラ１６、スキャナコントローラ１７、Ｉ／Ｏインタフェース１８、ネットワークインタフェース１９、タイマ１１０が接続されている。

外部記憶コントローラ１３には、プログラムやデータが記憶されたＨＤＤやＵＳＢメモリなどの記憶装置１１１が接続される。操作部コントローラ１４には、キーボードやタッチパネルなどデータやコマンドを入力するための操作部１１２が接続される。ディスプレイコントローラ１５には、文字や画像を表示するためのＬＥＤなどにより構成されるディスプレイ装置１１３が接続される。なお、ディスプレイコントローラ１５は、スピーカコントローラの機能を有し、図示しないスピーカが接続され、音声による出力を可能としている。

プリンタコントローラ１６には、印字のためのプリンタ１１４が接続される。スキャナコントローラ１７には、バーコードや二次元コードなどを読み取るためのスキャナ１１５が接続される。Ｉ／Ｏインタフェース１８は、周辺機器を接続するインタフェースであり、ここでは、現金などを収納するドロワ１１６とＰＯＳ端末のモードを切り換えるスイッチ１１７が接続される。ネットワークインタフェース１９は、ネットワークに接続され、ネットワークとの接続に必要なプロトコルを実現してこのコンピュータ３０を通信可能とする。タイマ１１０は、ＣＰＵ４０が時刻と時間を取得するために用いられるものである。

コンピュータ３０は、上記図２のコンピュータ端末１０と同様の構成を有するものとする。コンピュータ３０の記憶装置１１１には、図３に示すように、ＣＰＵ４０にホワイトリスト作成手段５１を実現するプログラム５１１が記憶されている。

プログラム５１１によって実現されるホワイトリスト作成手段５１は、コンピュータ端末１０−１〜１０−ｎにインストールするプログラムファイルについて、発生するプロセスのプロセス名と、プロセスに対応する実行ファイル名とを少なくとも含むホワイトリストを作成する。ここでは、ホワイトリスト作成手段５１は、コンピュータ端末１０−１〜１０−ｎにインストールするプログラムファイルについて、発生するプロセスに対応する実行ファイルのハッシュ値を生成し、対応するプロセス名に対応付けてホワイトリストを作成する。

ホワイトリスト作成手段５１は、具体的には、インストールされているファイルを検索し、拡張子（例えば、bin,exeなど）等から実行されて良いファイル名の一覧を作成する。また、実際にコンピュータ３０を基準の状態で動作させて、タスクマネージャにより動作しているプロセスの一覧を取得し、プロセス名から実行ファイル名を呼び出して実行ファイル名を得る。プロセス名から実行ファイル名を呼び出す手法（プログラム）は公知のものを用いるものとする。

上記において、実行ファイル名は、例えば、「C\WINDOWS\system32\notepad.exe」のようなもので、プロセス情報などと称されることもある。また、プロセス名は、実行ファイル名中のパス部分と拡張子を除いた部分である。上記の例では、パス部分が「C\WINDOWS\system32\」であり、拡張子は「exe」であり、プロセス名は「notepad」である。

以上のようにして得られた全ての実行ファイル名の実行ファイルについてそれぞれハッシュ値を例えばＭＤ５（Message Digest 5）を用いて得て、リスト化し、ホワイトリストとする。作成されたホワイトリストの一例を、図４に示す。本実施形態のホワイトリストは、プロセス名に、実行ファイル名、ハッシュ値が対応付けられたものである。

また、ホワイトリスト作成手段５１は、コンピュータ端末１０−１〜１０−ｎにインストールするプログラムファイルを受け、更新された部分のプログラムファイルについて、発生するプロセスに対応する実行ファイルのハッシュ値を生成し、対応するプロセス名に対応付けてホワイトリストを作成する。即ち、更新された部分のプログラムファイルにおいて、新たなプロセス名と実行ファイ名を検出し、ハッシュ値を計算して図４のようなホワイトリスト（更新部分にのみ対応するもの）を作成する。

コンピュータ３０のＣＰＵ４０には、送信手段５２がプログラム５１１に基づき生成され、上記のホワイトリストが作成されると、送信手段５２は、作成されたホワイトリストをサーバ２０にセットする。

図５には、サーバ２０の構成が示されている。サーバ２０は、ＣＰＵ２１と、プログラム用メモリ２２と、記憶装置２３と、インタフェース２４がバス２５により接続された構成を有する。プログラム用メモリ２２には、ホワイトリスト受付プログラム２２１と、ホワイトリスト配信プログラム２２２、ログ管理プログラム２２３が備えられている。

記憶装置２３には、ホワイトリスト受付プログラム２２１により受け付けられ、ホワイトリスト配信プログラム２２２により配信されるべきホワイトリストが記憶される。また、ログ管理プログラム２２３がコンピュータ端末１０−１〜１０−ｎから受け取った当該コンピュータ端末における処理内容のログ２２４が記憶される。

図６には、コンピュータ端末１０−１〜１０−ｎにおいて保持されているプログラム及びそのプログラムにより実現される手段が示されている。即ち、記憶装置１１１にウィルス対策プログラム６１１とログ生成プログラム６１２が記憶されている。また、記憶装置１１１には、サーバ２０により配信されたホワイトリスト６１３が記憶される。

ウィルス対策プログラム６１１によって、ＣＰＵ１１には、取得手段６１、検出手段６２、起動停止手段６３、算出手段６４、比較手段６５が生成される。取得手段６１は、プロセスが発生すると、発生したプロセス名と実行ファイル名を取得するものである。検出手段６２は、取得手段６１により取得されたプロセス名と実行ファイル名が上記ホワイトリスト６１３に存在するか否か検出するものである。

起動停止手段６３は、検出手段６２の検出結果が「否」となると、上記発生したプロセスの起動を停止するものである。算出手段６４は、プロセスが発生すると、発生したプロセスの実行ファイルからハッシュ値を算出するものである。比較手段６５は、上記算出手段６４により算出されたハッシュ値と、ホワイトリスト６１３の対応するハッシュ値とを比較するものである。比較手段６５が動作した場合に、起動停止手段６３は、比較結果が不一致となった場合に、前記発生したプロセスの起動を停止するように機能する。

ログ生成プログラム６１２によって、ＣＰＵ１１には、ログ生成手段６６が生成される。ログ生成手段６６は、プロセス発生から起動停止手段６３による処理までの当該コンピュータ端末１０−１〜１０−ｎにおける処理内容のログを生成し、上記サーバ２０へ送信するものである。

以上説明したコンピュータシステムの実現のためには、図７のフローチャートに示す手順により作業が行われる。コンピュータ３０に、ＰＯＳ端末として基本的動作を行うためのＰＯＳ用ソフトとホワイトリスト作成ソフトをインストールする（Ｓ１１）。ウイルス駆除ツールを用いてコンピュータ３０をクリーン環境とすることが望ましい（Ｓ１２）。クリーン環境のコンピュータ３０においてホワイトリストを作成する（Ｓ１３）。

コンピュータ３０のＣＰＵ１１に生成された送信手段５２により、ホワイトリストをサーバ２０へセットする（Ｓ１４）。ＰＯＳ端末として基本的動作を行うためのＰＯＳ用ソフトとウィルス対策プログラム６１１とログ生成プログラム６１２がインストールされたコンピュータ端末１０−１〜１０−ｎを所定の場所へ設置する（Ｓ１５）。このステップＳ１５は、これ以前であれば、何時でも行うことができる。

サーバ２０からコンピュータ端末１０−１〜１０−ｎへホワイトリストを配信し、コンピュータ端末１０−１〜１０−ｎがウィルス対策プログラム６１１によって動作可能とする（Ｓ１６）。

なお、上記では、最初に作成されるホワイトリストについて動作を示したが、コンピュータ端末１０−１〜１０−ｎにインストールするプログラムファイルが更新された場合には、前述の通り、ホワイトリスト（更新部分にのみ対応するもの）がコンピュータ３０において作成される。このホワイトリストについてもステップＳ１１からステップＳ１６の手順でコンピュータ端末１０−１〜１０−ｎへ配信される。コンピュータ端末１０−１〜１０−ｎは、更新された部分のホワイトリストを既存のホワイトリストと一体として用いる。

コンピュータ端末１０−１〜１０−ｎが運用されると、ウィルス対策プログラム６１１によって図８に示されるフローチャートによる処理が行われる。ＣＰＵ１１は、プロセスの発生を監視し（Ｓ２１）、プロセスが発生すると、プロセス名とその実行ファイル名を取得する（Ｓ２２）。取得したプロセス名とその実行ファイル名がホワイトリストにあるかを検出する（Ｓ２３）。

ステップＳ２３において、ＮＯとなると、当該プロセスの起動を停止し、音声やディスプレイにおいて警報を発生する（Ｓ２４）。更に、ログを生成してエンドとなる（Ｓ２５）。

一方、ステップＳ２３においてＹＥＳとなると、発生したプロセスの実行ファイルに基づきハッシュ値を生成し（Ｓ２６）、ホワイトリストの同じプロセス名に対応するハッシュ値と比較して（Ｓ２７）、一致するか否かを検出する（Ｓ２８）。

ステップＳ２８において一致しなければ、当該プロセスの起動を停止し、音声やディスプレイにおいて警報を発生する（Ｓ２４）。更に、ログを生成してエンドとなる（Ｓ２５）。

ステップＳ２８において一致すると、ログを生成してステップＳ２１へ戻って処理が続けられる。このようにして、比較結果が不一致となった場合に、発生したプロセスの起動を停止するので、コンピュータ端末が異常となる前にウィルス感染の可能性を検出して対策を講じることが可能である。また、ログがサーバ２０に残るので、ウィルスの感染経路などを特定する場合に好適である。

なお、上記においては、ハッシュ値を用いたが、これを用いなくとも良い。また、本実施形態ではＰＯＳシステムを例としたが、医療機器、計測機器、加工製造機器、プリンタなどに適用可能である。

１０ コンピュータ端末 １２ 主メモリ
１３ 外部記憶コントローラ １４ 操作部コントローラ
１５ ディスプレイコントローラ １６ プリンタコントローラ
１７ スキャナコントローラ １８ インタフェース
１９ ネットワークインタフェース ２０ サーバ
２２ プログラム用メモリ ２３ 記憶装置
２４ インタフェース ２５ バス
３０ コンピュータ ５１ ホワイトリスト作成手段
５２ 送信手段 ６１ 取得手段
６２ 検出手段 ６３ 起動停止手段
６４ 算出手段 ６５ 比較手段
６６ ログ生成手段 １１０ タイマ
１１１ 記憶装置 １１２ 操作部
１１３ ディスプレイ装置 １１４ プリンタ
１１５ スキャナ １１６ ドロワ
１１７ スイッチ ２２１ ホワイトリスト受付プログラム
２２２ ホワイトリスト配信プログラム ２２３ ログ管理プログラム
２２４ ログ ５１１ プログラム
６１１ ウィルス対策プログラム ６１２ ログ生成プログラム
６１３ ホワイトリスト

Claims (9)

1. インストールされているプログラムファイルについて、発生するプロセスのプロセス名と、プロセスに対応する実行ファイル名とを少なくとも含むホワイトリストが記憶される記憶手段と、
   プロセスが発生すると、発生したプロセス名と実行ファイル名を取得する取得手段と、
   前記取得手段により取得されたプロセス名と実行ファイル名が前記ホワイトリストに存在するか否か検出する検出手段と、
   前記検出手段の検出結果が「否」となると、前記発生したプロセスの起動を停止する起動停止手段と
   を具備することを特徴とするコンピュータ端末。
2. ホワイトリストには、実行ファイルのハッシュ値が含まれており、
   プロセスが発生すると、発生したプロセスの実行ファイルからハッシュ値を算出する算出手段と、
   算出されたハッシュ値と、ホワイトリストの対応するハッシュ値とを比較する比較手段と、
   を具備し、
   前記起動停止手段は、比較結果が不一致となった場合に、前記発生したプロセスの起動を停止することを特徴とする請求項１に記載のコンピュータ端末。
3. 警報を発生する警報発生手段を備え、
   起動停止手段は、起動停止するときに警報発生手段を駆動して警報を発生することを特徴とする請求項１に記載のコンピュータ端末。
4. インストールされているプログラムファイルについて、発生するプロセスのプロセス名と、プロセスに対応する実行ファイル名とを少なくとも含むホワイトリストが記憶される記憶手段を備えるコンピュータ端末のコンピュータを、
   プロセスが発生すると、発生したプロセス名と実行ファイル名を取得する取得手段、
   前記取得手段により取得されたプロセス名と実行ファイル名が前記ホワイトリストに存在するか否か検出する検出手段、
   前記検出手段の検出結果が「否」となると、前記発生したプロセスの起動を停止する起動停止手段
   として機能させるプログラム。
5. ホワイトリストには、実行ファイルのハッシュ値が含まれており、
   コンピュータを更に、
   プロセスが発生すると、発生したプロセスの実行ファイルからハッシュ値を算出する算出手段、
   算出されたハッシュ値と、ホワイトリストの対応するハッシュ値とを比較する比較手段
   として機能させる請求項４に記載のプログラム。
6. 請求項１ないし３のいずれか１項に記載のコンピュータ端末と、
   セットされたホワイトリストを前記サーバに配信するサーバと、
   前記コンピュータ端末にインストールするプログラムファイルについて、発生するプロセスのプロセス名と、プロセスに対応する実行ファイル名とを少なくとも含むホワイトリストを作成するホワイトリスト作成手段と、
   作成したホワイトリストを前記サーバにセットする送信手段と
   を備えたホワイトリスト作成用のコンピュータと、
   を具備することを特徴とするコンピュータシステム。
7. ホワイトリスト作成手段は、コンピュータ端末にインストールするプログラムファイルについて、発生するプロセスに対応する実行ファイルのハッシュ値を生成し、対応するプロセス名に対応付けてホワイトリストを作成することを特徴とする請求項６に記載のコンピュータシステム。
8. ホワイトリスト作成手段は、コンピュータ端末にインストールする更新プログラムファイルを受け、更新された部分のプログラムファイルについて、発生するプロセスに対応する実行ファイルのハッシュ値を生成し、対応するプロセス名に対応付けてホワイトリストを作成することを特徴とする請求項７に記載のコンピュータシステム。
9. 前記コンピュータ端末には、
   プロセス発生から前記起動停止手段による処理までの当該コンピュータ端末における処理内容のログを生成し、前記サーバへ送信するログ生成手段が具備されていることを特徴とする請求項６ないし８のいずれか１項に記載のコンピュータシステム。
   
   

Images