JP2018055238A - セキュリティ対策プログラム、ファイル追跡方法、情報処理装置、配信装置、及び管理装置 - Google Patents

Abstract

【課題】情報処理装置にインストールされている既存のソフトウェア資源を有効に活用して、ネットワークに流出した電子ファイルを追跡する。
【解決手段】収集付与部１４１は、情報処理装置１０内のファイルを検査する際、各ファイル毎に属性情報を収集するとともに、属性情報が付与されていないファイルに属性情報を付与する。受信部１４３は、パターンファイルを配信する配信装置から、追跡対象のファイルの属性情報を受信する。検索部１４５は、受信した追跡対象のファイルの属性情報に紐付けられたファイルを検索する。送信／処置部は、属性情報に紐付けられたファイルの情報が存在する場合、追跡対象のファイルの属性情報に紐付けられたファイルに関する情報を配信装置に送信する、及び／又は当該ファイルを処置する。
【選択図】図２

Description

本発明は、コンピュータウイルス等の脅威からコンピュータを保護するセキュリティ対策プログラム、ファイル追跡方法、情報処理装置、配信装置、及び管理装置に関する。

近年、メール、ＳＮＳメッセージ、画像ファイル、機密文書ファイル等のインターネットへの流出が問題になっている。インターネットへの流出は、本人が誤って公開、他人による不正操作、ハッキング等により発生する。電子ファイルが一度、インターネット上に流出してしまうと、不特定多数に拡散していくため、その全ての拡散ルートを特定し、削除することは現状困難である。

インターネットに接続された世界中の情報処理装置（ＰＣ、サーバ、スマートフォン、タブレット等）に、共通のファイル追跡アプリケーションがインストールされていれば、流出した電子ファイルを追跡することができるが、世界中の情報処理装置に専用のソフトウェアをインストールさせることは難しい。

以下の特許文献１は、送信済みの電子メールの本文を、宛先のユーザが閲覧することを抑制するシステムを提案しているが、電子メールに限った手法であり、また電子メールの本文を中継装置に保存・蓄積する必要があるため、大容量のストレージが必要となる。

特開２０１１−１００９３号公報

本発明はこうした状況に鑑みなされたものであり、その目的は、情報処理装置にインストールされている既存のソフトウェア資源を有効に活用して、ネットワークに流出した電子ファイルを追跡する技術を提供することにある。

上記課題を解決するために、本発明のある態様のセキュリティ対策プログラムは、コンピュータ内のファイルを検査する際、各ファイル毎に属性情報を収集するとともに、属性情報が付与されていないファイルに属性情報を付与する収集付与処理と、前記コンピュータ内の脅威を検出するためのパターンファイルを配信する配信元コンピュータから、追跡対象のファイルの属性情報を受信する受信処理と、受信した属性情報に紐付けられたファイルを検索する検索処理と、前記属性情報に紐付けられたファイルの情報が存在する場合、当該ファイルに関する情報を配信元コンピュータに送信する、及び／又は当該ファイルを処置する送信／処置処理とを、前記コンピュータに実行させる。

本発明の別の態様は、ファイル追跡方法である。この方法は、セキュリティ対策プログラムが、コンピュータ内のファイルを検査する際、各ファイル毎に属性情報を収集するとともに、属性情報が付与されていないファイルに属性情報を付与する収集付与ステップと、追跡対象のファイルの追跡依頼を、パターンファイルを配信する配信元コンピュータに送信する第１送信ステップと、前記配信元コンピュータが、受信した追跡対象のファイルから属性情報を抽出する抽出ステップと、抽出した属性情報を、前記セキュリティ対策プログラムをインストールしているコンピュータに送信する第２送信ステップと、前記コンピュータのセキュリティ対策プログラムが、前記追跡対象のファイルの属性情報を受信する第１受信ステップと、前記セキュリティ対策プログラムが、受信した属性情報に紐付けられたファイルを検索する検索ステップと、を有する。

本発明のさらに別の態様もまた、ファイル追跡方法である。この方法は、セキュリティ対策プログラムが、コンピュータ内のファイルを検査する際、各ファイル毎に属性情報を収集するとともに、属性情報が付与されていないファイルに属性情報を付与する収集付与ステップと、追跡対象のファイルの追跡依頼を、管理コンピュータに送信する第１送信ステップと、前記管理コンピュータが、パターンファイルを配信する少なくとも１つの配信元コンピュータに、前記追跡対象のファイルの追跡依頼を送信する第２送信ステップと、前記少なくとも１つの配信元コンピュータが、受信した追跡対象のファイルから属性情報を抽出する抽出ステップと、前記少なくとも１つの配信元コンピュータが、抽出した属性情報を、セキュリティ対策プログラムをインストールしているコンピュータに送信する第３送信ステップと、各コンピュータが、前記追跡対象のファイルの属性情報を受信する第１受信ステップと、各コンピュータのセキュリティ対策プログラムが、受信したファイルの属性情報に紐付けられたファイルを検索する検索ステップと、を有する。

本発明のさらに別の態様は、情報処理装置である。この装置は、本情報処理装置内のファイルを検査する際、各ファイル毎に属性情報を収集するとともに、属性情報が付与されていないファイルに属性情報を付与する収集付与部と、情報処理装置内の脅威を検出するためのパターンファイルを配信する配信装置から、追跡対象のファイルの属性情報を受信する受信部と、受信した属性情報に紐付けられたファイルを検索する検索部と、前記属性情報に紐付けられたファイルの情報が存在する場合、当該属性情報に紐付けられたファイルに関する情報を配信元の配信装置に送信する、及び／又は当該ファイルを処置する送信／処置部とを、備える。

本発明のさらに別の態様は、配信装置である。この装置は、上述の情報処理装置に、パターンファイルを配信する配信装置であって、追跡対象のファイルの追跡依頼を受け付ける受付部と、受け付けた追跡対象のファイルから属性情報を抽出する抽出部と、抽出した属性情報を、上述の情報処理装置に送信する送信部と、を備える。

本発明のさらに別の態様は、管理装置である。この装置は、追跡対象のファイルの追跡依頼を受け付ける受付部と、少なくとも１つの配信元の上述の配信装置に、前記追跡対象のファイルの追跡依頼を送信する送信部と、を備える。

なお、以上の構成要素の任意の組み合わせ、本発明の表現を方法、装置、システム、記録媒体、コンピュータプログラムなどの間で変換したものもまた、本発明の態様として有効である。

本発明によれば、情報処理装置にインストールされている既存のソフトウェア資源を有効に活用して、ネットワークに流出した電子ファイルを追跡することができる。

本発明の実施の形態に係るファイル追跡方法を説明するためのシステム構成図である。 図１の情報処理装置の構成を示すブロック図である。 図１の配信装置の構成を示すブロック図である。 図１の管理装置の構成を示すブロック図である。 情報処理装置の基本動作を説明するためのフローチャートである。 情報処理装置の検査実行時の動作を説明するためのフローチャートである。 図７（ａ）、（ｂ）は、紐付け情報の一例と、コンピュータ情報の一例を示す図である。 ファイル追跡方法の基本的な流れを示すフローチャートである。 配信装置によるファイル追跡処理の詳細を説明するためのフローチャートである。 ファイルの追跡結果の表示画面の一例を示す図である。

図１は、本発明の実施の形態に係るファイル追跡方法を説明するためのシステム構成図である。インターネット１には、多数の情報処理装置１０Ａ−１０Ｅが接続されている。本実施の形態において情報処理装置１０とは、セキュリティ対策プログラムがインストールされており、インターネット１に接続されており、ファイルを蓄積する記録媒体を備える装置が全て対象となる。主にＰＣ、サーバ、スマートフォン、タブレットが該当する。なお上記条件を満たしていれば、ＴＶ、セットトップボックス、家庭用ゲーム機、ヘッドマウントディスプレイ、デジタルカメラ、各種家電機器、固定電話機、ＦＡＸ、インターフォン、カーナビゲーション装置、携帯型音楽プレーヤ、携帯型ゲーム機、フィーチャーフォン等も対象となる。なおインターネット１は、複数のネットワークが相互接続して構成されるが、図１では単純化したモデルで描いている。

インターネット１上には、多くのマルウェアが存在している。マルウェアにはウイルス、ワーム、バックドア、トロイの木馬、スパイウェアが含まれる。このようなインターネット１上の脅威からコンピュータを保護するインターネットセキュリティスイートが、多くのセキュリティ企業から販売されている。インターネットセキュリティスイートは、アンチウイルスソフトウェアを中核とし、アンチスパイウェア、ファイアウォール等を含む。

アンチウイルスソフトウェア等のセキュリティ対策プログラムは、主としてパターンマッチング法を用いて、ウイルス等の脅威を検出する。パターンマッチング法では、ウイルスなどの特徴を記録したパターンファイル（定義ファイルともいう）と、情報処理装置１０内のファイルをマッチングして脅威を検出する。セキュリティ会社は、自社のセキュリティ対策プログラムのパターンファイルを最新なものに維持すべく、パターンファイル又はその更新ファイルを、自社のセキュリティ対策プログラムがインストールされた情報処理装置１０に配信する。

図１では、セキュリティ会社Ａ２ａの配信装置Ａ２０ａ、セキュリティ会社Ｂ２ｂの配信装置Ｂ２０ｂ、及びセキュリティ会社Ｃ２ｃの配信装置Ｃ２０ｃからそれぞれ、パターンファイルが各社のセキュリティ対策プログラムがインストールされた情報処理装置１０に配信される。

本実施の形態では、各情報処理装置１０にインストールされたセキュリティ対策プログラムを利用して、情報処理装置１０から流出した、又は流出した可能性があるファイルを追跡する。ファイル追跡サービス機関３は、ファイル追跡サービスを提供する機関であり、その主体は民間企業でもよいし、公的機関であってもよい。ファイル追跡サービス機関３は管理装置３０を備える。管理装置３０の詳細は後述する。

図２は、図１の情報処理装置１０の構成を示すブロック図である。情報処理装置１０は処理部１１、記録部１５、コンソール部１６及び通信部１７を備える。処理部１１は、ハードウェア資源とソフトウェア資源の協働により実現される。ハードウェア資源として、各種プロセッサ、ＲＯＭ、ＲＡＭ、その他のＬＳＩを利用できる。ソフトウェア資源として、オペレーティングシステム１２、アプリケーションプログラム１３ａ、アプリケーションプログラム１３ｂ、・・・、セキュリティ対策プログラム１４を利用する。

アプリケーションプログラム１３は、セキュリティ対策プログラム１４を除くアプリケーションプログラムであり、ブラウザ、電子メール、文書作成、表計算、等の各種プログラムが該当する。

セキュリティ対策プログラム１４は、収集付与部１４１、紐付け部１４２、受付部１４３、捜索依頼受付部１４４、検索部１４５、及び通知部１４６を含む。これらの機能ブロックの詳細な動作は後述する。

記録部１５は、ＨＤＤ、ＳＳＤ等の不揮発性の記録媒体を含む。また、光ディスクやＵＳＢメモリ等のリムーバブル記録媒体も、ドライブに装着されている状態では記録部１５の一部を構成する。記録部１５は、データ保持部１５１、パターンファイル保持部１５２及び紐付け情報保持部１５３を含む。

データ保持部１５１は、オペレーティングシステム１２、アプリケーションプログラム１３等の各種プログラム、及び各種プログラムが利用するデータを保持する。パターンファイル保持部１５２は、セキュリティ対策プログラム１４が検査実行時に参照するパターンファイルを保持する。紐付け情報保持部１５３は、セキュリティ対策プログラム１４により生成される紐付け情報を保持する。

コンソール部１６は、表示部および操作部を含むユーザインタフェースである。通信部１７は、インターネット１に接続するための所定の通信処理を実行する。

図３は、図１の配信装置２０の構成を示すブロック図である。配信装置２０は、複数台のサーバで構成される。なお複数の場所に設置されたサーバをクラウド接続して配信システムを構成してもよい。

配信装置２０は処理部２１、記録部２５、コンソール部２６及び通信部２７を備える。処理部２１は、ハードウェア資源とソフトウェア資源の協働により実現される。ソフトウェア資源として、オペレーティングシステム２２、配信プログラム２３を利用する。なお図３では、配信プログラム２３以外のアプリケーションプログラムは省略して描いている。

配信プログラム２３は、配信部２３１、追跡依頼受付部２３２、抽出部２３３、捜索結果取得部２３４、追跡結果生成部２３５、及び追跡結果通知部２３６を含む。これらの機能ブロックの詳細な動作は後述する。

記録部２５は、パターンファイル保持部２５１を含む。パターンファイル保持部２５１に保持されるパターンファイルは、自社のセキュリティ対策プログラム１４がインストールされている情報処理装置１０のパターンファイル保持部１５２に保持されるパターンファイルのマスタファイルとなる。

図４は、図１の管理装置３０の構成を示すブロック図である。管理装置３０も、複数台のサーバで構成される。なお複数の場所に設置されたサーバをクラウド接続して管理システムを形成してもよい。

管理装置３０は処理部３１、記録部３５、コンソール部３６及び通信部３７を備える。処理部３１は、ハードウェア資源とソフトウェア資源の協働により実現される。ソフトウェア資源として、オペレーティングシステム３２、管理プログラム３３を利用する。なお図４では、管理プログラム３３以外のアプリケーションプログラムは省略して描いている。

管理プログラム３３は、追跡依頼受付部３３１、追跡依頼通知部３３２、追跡結果取得部３３３、追跡結果集計部３３４、及び追跡結果提供部３３５を含む。これらの機能ブロックの詳細な動作は後述する。

図５は、情報処理装置１０の基本動作を説明するためのフローチャートである。情報処理装置１０のセキュリティ対策プログラム１４は、パターンファイルの受信時刻が到来すると（Ｓ１０のＹ）、配信装置２０から配信されたパターンファイル又はその更新ファイルを受信する（Ｓ１１）。セキュリティ対策プログラム１４は、受信したパターンファイル又はその更新ファイルをもとに、パターンファイル保持部１５２内のパターンファイルを最新のものに更新する（Ｓ１２）。

通常、パターンファイルは１日に１回、設定された時刻に更新される。なお、緊急性が高いウイルス等が発見された場合は、定時の受信時刻に関わらず、そのパターンデータが配信される。

セキュリティ対策プログラム１４による定期検査の日時が到来すると（Ｓ１３のＹ）、セキュリティ対策プログラム１４は定期検査を実行する（Ｓ１４）。定期検査は例えば、１日に１回、又は１週間に１回の頻度で実行される。定期検査を実行する日時は、ユーザにより設定可能である。定期検査では原則的に、記録部１５に記録されているファイルの全てが検査の対象となる。なおユーザにより検査範囲が指定されている場合は、その範囲のファイルが検査の対象となる。

セキュリティ対策プログラム１４は、メモリ内に常駐してリアルタイム監視を実行する。例えば、新規のファイルが情報処理装置１０内にダウンロードされるとき、又はファイルが複写されるとき（Ｓ１５のＹ）、セキュリティ対策プログラム１４は、当該ファイルの検査を実行する（Ｓ１６）。以上に説明したステップＳ１０〜Ｓ１６の処理が、情報処理装置１０の電源がオンの間（Ｓ１７のＮ）、繰り返し実行される。

なお上述の定期検査とリアルタイム検査は、少なくとも一方が実行されればよく、両方が実行されることは必須ではない。また図５には示していないが、ファイルの検査は、ユーザの操作に起因して実行されてもよい。

図６は、情報処理装置１０の検査実行時の動作を説明するためのフローチャートである。セキュリティ対策プログラム１４は検査実行時、検査対象ファイルを読み込む（Ｓ２０）。セキュリティ対策プログラム１４は、検査対象ファイルに、パターンファイルに登録されているウイルス等のシグネチャコードが含まれていないか、パターンマッチングにより検査する（Ｓ２１）。検査対象ファイルからウイルス等の脅威が検出された場合（Ｓ２２のＹ）、セキュリティ対策プログラム１４は対象コードの駆除、隔離等の処置を実行する（Ｓ２３）。検査対象ファイルからウイルス等の脅威が検出されない場合（Ｓ２２のＮ）、ステップＳ２３の処理はスキップされる。

セキュリティ対策プログラム１４の収集付与部１４１は検査対象ファイルに、当該ファイルを一意に特定するための追加属性情報が付与されているか否か判定する（Ｓ２４）。追加属性情報は、ファイルのコンテンツ部分の情報以外の属性情報の内、基本属性情報と別に事後的に追加される属性情報である。基本属性情報は、ファイル名、ファイルの種類、サイズ、作成日時などのファイルの作成、更新時などに付与される属性情報である。追加属性情報は、セキュリティ対策プログラム１４により事後的に付与される属性情報である。追加属性情報には、例えば、識別子、特徴情報、環境情報を使用することができる。識別子が使用される場合、ファイルに付与される識別子は例えば、XX:XX:XX:XX:XX:XX:XX:XX:XX:XX:XX:XX（Xは16進数）等の識別番号で規定することができる。例えば、最初のXXがセキュリティ会社のＩＤ、次のXXが各セキュリティ会社のセキュリティソフトウェア種別のＩＤ、次のXX:XXが各セキュリティソフトウェアのシリアルＩＤをそれぞれ示す。最後のXX:XX:XX:XX:XX:XX:XX:XXが、各セキュリティソフトウェアに割り当てられた、ファイルに付与可能なシリアルＩＤを示す。なお、当該識別番号の規則は一例であり、これに限定されるものではない。

特徴情報は、例えばファイルのＭＤ５ハッシュ値や、ファイルのランダムの何ビット目から何ビット目までのデータなど、ファイルを特定するための情報である。ファイルに識別子が付与されている場合は識別子を使用できるが、識別子が付与されていないファイルの場合、上記のような特徴情報を使用できる。

環境情報は、当該ファイルが何時から何時までどのドメインのＰＣのどのフォルダに存在している／いたか、そのＰＣの所有者やＩＰアドレス、そのファイルの作成者または修正者などの情報であり、特に、ファイル追跡時に有効に活用できる情報である。

検査対象ファイルに紐付け情報が付与されていない場合（Ｓ２４のＮ）、収集付与部１４１は検査対象ファイルに追加属性情報を付与する（Ｓ２７）。収集付与部１４１は例えば、追加属性情報として検査対象ファイルに電子透かしを埋め込む。電子透かしは、静止画ファイル、動画ファイル、音声ファイルに、人間に知覚されない情報を埋め込む手法である。電子透かしの埋め込み方法には例えば、置換法、周波数領域変換法、拡散法、統計的方法、ベクトル量子化法がある。電子透かしは基本的に、アルゴリズムは非公開である。

収集付与部１４１は文書ファイルに対しては、文書の余白に追加属性情報を埋め込む。その際、ユーザにより編集されない位置に埋め込むことが望ましい。また余白の複数の箇所に分散させて追加属性情報を埋め込んでもよい。なお収集付与部１４１による属性情報の付与方法は、電子透かしに限定するものではない。例えば、ファイルのヘッダ領域またはフッタ領域に、追加属性情報を埋め込む領域を設定し、当該領域に追加属性情報を埋め込んでもよい。紐付け部１４２は、追加属性情報が付与された検査対象ファイルの基本属性情報と、当該追加属性情報を紐付けて、その紐付け情報を紐付け情報保持部１５３に登録する（Ｓ２６）。

検査対象ファイルに追加属性情報が既に付与されている場合（Ｓ２４のＹ）、紐付け部１４２は、検査対象ファイルの基本属性情報と追加属性情報が既に紐付けられているか否か確認する（Ｓ２５）。紐付けされていない場合（Ｓ２５のＮ）、紐付け部１４２は、検査対象ファイルの基本属性情報と、当該追加属性情報を紐付けて、その紐付け情報を紐付け情報保持部１５３に登録する（Ｓ２６）。例えば、他の情報処理装置１０から、追加属性情報が付与されているファイルをダウンロードした際にステップＳ２６の処理が実行される。検査対象ファイルの基本属性情報と追加属性情報が既に紐付けされている場合（Ｓ２５のＹ）、ステップＳ２６の処理はスキップされる。

以上に説明したステップＳ２０〜Ｓ２７の処理が、検査が終了するまで（Ｓ２８のＮ）、繰り返し実行される。定期検査の場合、全ての検査対象ファイルの検査が終了するまで、繰り返し実行される。

図７（ａ）、（ｂ）は、紐付け情報の一例と、コンピュータ情報の一例を示す図である。図７（ａ）に示す紐付け情報は、識別子とファイルの基本属性情報を紐付けてリスト化した例を示している。図７（ａ）に示す例では識別子情報は、識別子と識別子付与日時を含む。本情報処理装置１０の収集付与部１４１が識別子を付与した場合は、その付与日時を登録する。他の情報処理装置１０で付与された識別子の付与日時は、ファイルに付与日時が埋め込まれている場合はその付与日時を登録し、埋め込まれていない場合は空欄とする。

図７（ａ）に示す例ではファイルの基本属性情報は、ファイル名、作成日時、受信日時、コンピュータ内の場所（フォルダのパス）、サイズを含む。なお図示しないが、ファイルの基本属性情報には、更新日時、最終アクセス日時、等の他の情報がさらに含まれてもよい。

図７（ｂ）に示す例ではコンピュータ情報は、コンピュータ種別、コンピュータ名、ＩＰアドレス、ドメインを含む。コンピュータ情報は、識別子情報とファイルの基本属性情報が配信装置２０に通知される際、付帯情報として付加される。この処理の詳細は後述する。

図８は、ファイル追跡方法の基本的な流れを示すフローチャートである。ある情報処理装置１０は、自己の情報処理装置１０から流出した、又は流出した可能性があるファイルの追跡依頼をインターネット１を介して、管理装置３０に送信する（Ｓ３０）。例えば、情報処理装置１０のユーザはコンソール部１６を操作して、追跡依頼するファイルを選択し、情報処理装置１０は選択されたファイルを管理装置３０に送信する。なお追跡依頼するファイルには、追加属性情報が付与されていることを前提とする。また、ファイルが流出した情報処理装置１０と、追跡依頼を送信する情報処理装置１０は別であってもよい。

管理装置３０の追跡依頼受付部３３１は、情報処理装置１０から送信された対象ファイルの追跡依頼を受信する（Ｓ３１）。追跡依頼通知部３３２はインターネット１を介して、複数のセキュリティ会社２Ａ−２Ｃの配信装置２０ａ−２０ｃに、対象ファイルの追跡依頼を同報送信する（Ｓ３２）。

各配信装置２０ａ−２０ｃの追跡依頼受付部２３２は、管理装置３０から送信された対象ファイルの追跡依頼を受信する（Ｓ３３Ａ−Ｃ）。各配信装置２０ａ−２０ｃは、受け付けた対象ファイルの追跡処理を実行する（Ｓ３４Ａ−Ｃ）。追跡処理の詳細は後述する。各配信装置２０ａ−２０ｃの追跡結果通知部２３６はインターネット１を介して、対象ファイルの追跡処理の結果を管理装置３０に送信する（Ｓ３５Ａ−Ｃ）。

管理装置３０の追跡結果取得部３３３は、複数の配信装置２０ａ−２０ｃから送信された対象ファイルの追跡結果を受信する（Ｓ３６）。管理装置３０の追跡結果集計部３３４は、複数の配信装置２０ａ−２０ｃから送信された対象ファイルの追跡結果を集計する（Ｓ３７）。管理装置３０の追跡結果提供部３３５はインターネット１を介して、対象ファイルの追跡結果の集計結果を、依頼元の情報処理装置１０に送信する（Ｓ３８）。依頼元の情報処理装置１０は、集計結果を受信する（Ｓ３９）。

図９は、配信装置２０によるファイル追跡処理の詳細を説明するためのフローチャートである。配信装置２０の抽出部２３３は、管理装置３０から受け付けた対象ファイルの追加属性情報を抽出する（Ｓ４０）。配信装置２０の配信部２３１はインターネット１を介して、抽出された追加属性情報を含む対象ファイルの捜索依頼を、自社のセキュリティ対策プログラムをインストールしている複数の情報処理装置１０にそれぞれ送信する（Ｓ４１）。

配信部２３１は当該捜索依頼を、定期的なパターンファイルの配信と同じ経路で配信する。当該捜索依頼は、パターンファイルの定期配信のタイミングで配信してもよいし、パターンファイルの定期配信と別のタイミングで配信してもよい。例えば配信部２３１は、緊急性の高い捜索依頼を、管理装置３０から追跡依頼を受けてから即時に配信し、緊急性の低い捜索依頼を、パターンファイルの定期配信の際に配信する。

情報処理装置１０の捜索依頼受付部１４４は、配信装置２０から追跡対象ファイルの捜索依頼を受信する（Ｓ４２Ａ、Ｂ）。情報処理装置１０の検索部１４５は、受信した追跡対象のファイルの追加属性情報に紐付けられたファイルの基本属性情報を検索する（Ｓ４３Ａ、Ｂ）。なお、通知部１４６は、ファイル名、作成日時等のファイルの属性情報を送信する代わりに、追跡対象のファイルが存在することのみを示す情報を送信してもよい。この場合、通信負荷を最も軽くすることができる。追加属性情報がヒットした場合（Ｓ４４Ａ、ＢのＹ）、情報処理装置１０の通知部１４６はインターネット１を介して、ヒットした追加属性情報に紐付けられているファイルの基本属性情報と、コンピュータ情報を配信装置２０に送信する（Ｓ４５Ａ、Ｂ）。追加属性情報がヒットしない場合（Ｓ４４Ａ、ＢのＮ）、ステップＳ４５Ａ、Ｂの処理はスキップされる。

配信装置２０の捜索結果取得部２３４は、自社のセキュリティ対策プログラムをインストールしている情報処理装置１０から、追跡対象のファイルの追加属性情報に紐付いたファイルの基本属性情報と、コンピュータ情報を受信する（Ｓ４６）。配信装置２０の追跡結果生成部２３５は、受信されたファイルの基本属性情報とコンピュータ情報を集計して、対象ファイルの追跡結果を生成する（Ｓ４７）。

以上、図８、図９をもとにファイル追跡処理の基本動作を説明した。以下、応用例を説明する。例えば、ファイル追跡依頼元の情報処理装置１０から管理装置３０に追跡依頼を送信する際、ファイルの捜索範囲を指定することができる。例えば、地域、団体、組織、ＩＰアドレス、ドメイン名、コンピュータの種別（ＰＣ、サーバ、スマートフォン等）の少なくとも１つを指定することができる。配信装置２０の配信部２３１は、指定された範囲の、自社のセキュリティ対策プログラム１４がインストールされている情報処理装置１０にファイルの捜索依頼を送信する。その際、配信部２３１は、セキュリティ対策プログラム１４のライセンス番号または登録情報に紐付いている情報処理装置１０の情報をもとに、捜索依頼を配信する情報処理装置１０を決定することができる。

また、ファイル追跡依頼元の情報処理装置１０から管理装置３０に追跡依頼を送信する際、対象ファイルが検出された場合の処置を指定することができる。例えば、対象ファイルの削除、隔離、複製転送禁止、またはアクセス禁止等の処置を指定することができる。なお、流出しているか否かを確認するだけの依頼の場合は、処置を指定する必要はない。また、指定した範囲のみ対象ファイルを削除、指定した範囲のみ対象ファイルを削除しない等、範囲ごとに処置を指定することもできる。

図１０は、ファイルの追跡結果の表示画面１６ａの一例を示す図である。図１０に示す追跡結果では、東京の情報処理装置１０から流出したファイルが、ロスアンゼルスの情報処理装置１０に転送され、ロスアンゼルスの情報処理装置１０からニューヨーク、ロンドンの情報処理装置１０に拡散し、ニューヨークの情報処理装置１０からリオデジャネイロの情報処理装置１０に転送されたことが示されている。

また、ファイル追跡依頼元の情報処理装置１０は、ファイルの追跡結果の表示範囲を指定することができる。例えば、指定期間内の対象ファイルの挙動のみを表示させることができる。また指定地域内の対象ファイルの挙動のみを表示させることもできる。また特定の時刻、場所または組織を指定してスポット確認することもできる。また対象ファイルの挙動をリアルタイムに監視することもできる。ただし、リアルタイム監視の対象となるファイルは、セキュリティ対策プログラム１４がメモリ内に常駐してリアルタイム監視を行っている情報処理装置１０の対象ファイルのみである。

以上説明したように本実施の形態によれば、情報処理装置１０にインストールされたセキュリティ対策プログラム１４を利用することにより、インターネット１に流出した電子ファイルを追跡することができる。また、削除等の処置を行うこともできる。多くのＰＣ、サーバにはセキュリティ対策プログラムがインストールされており、各セキュリティ会社は、自社のセキュリティ対策プログラムに定期的にパターンファイルを配信している。本実施の形態では、この既存のインフラを有効に活用して、追跡依頼を受けたファイルを捜索する。従って、本実施の形態に係るファイル追跡方法は、少ない追加コストで実現することができる。

また管理装置３０を設置することにより、複数のセキュリティ会社にファイル追跡依頼を送信する煩雑な操作を、１つの操作に簡素化することができる。また複数のセキュリティ会社から個別に追跡結果が返信され、自己で追跡結果を集計する作業を省略することができる。

以上、本発明をいくつかの実施の形態をもとに説明した。これらの実施の形態は例示であり、それらの各構成要素や各処理プロセスの組合せにいろいろな変形例が可能なこと、またそうした変形例も本発明の範囲にあることは当業者に理解されるところである。

また上述の実施の形態では、管理装置３０を設ける例を説明したが、管理装置３０は必須ではなく省略可能である。その場合、ファイル追跡依頼元の情報処理装置１０は、複数のセキュリティ会社２の配信装置２０にそれぞれファイル追跡依頼を送信する。

また上述の実施の形態では、ファイル追跡依頼に対して、対象ファイルを検出した情報処理装置１０は、依頼元に対する追跡結果の送信を必須としたが、追跡結果の送信をせずに、対象ファイルの削除等の処置のみを行ってもよい。

１ インターネット、 ２ セキュリティ会社、 ３ ファイル追跡サービス機関、 １０ 情報処理装置、 １１ 処理部、 １２ オペレーティングシステム、 １３ａ，１３ｂ アプリケーションプログラム、 １４ セキュリティ対策プログラム、 １４１ 収集付与部、 １４２ 紐付け部、 １４３ 受付部、 １４４ 捜索依頼受付部、 １４５ 検索部、 １４６ 通知部、 １５ 記録部、 １５１ データ保持部、 １５２ パターンファイル保持部、 １５３ 紐付け情報保持部、 １６ コンソール部、 １７ 通信部、 ２０ 配信装置、 ２１ 処理部、 ２２ オペレーティングシステム、 ２３ 配信プログラム、 ２３１ 配信部、 ２３２ 追跡依頼受付部、 ２３３ 抽出部、 ２３４ 捜索結果取得部、 ２３５ 追跡結果生成部、 ２３６ 追跡結果通知部、 ２５ 記録部、 ２５１ パターンファイル保持部、 ２６ コンソール部、 ２７ 通信部、 ３０ 管理装置、 ３１ 処理部、 ３２ オペレーティングシステム、 ３３ 管理プログラム、 ３３１ 追跡依頼受付部、 ３３２ 追跡依頼通知部、 ３３３ 追跡結果取得部、 ３３４ 追跡結果集計部、 ３３５ 追跡結果提供部、 ３５ 記録部、 ３６ コンソール部、 ３７ 通信部。

Claims (14)

1. コンピュータ内のファイルを検査する際、各ファイル毎に属性情報を収集するとともに、属性情報が付与されていないファイルに属性情報を付与する収集付与処理と、
   前記コンピュータ内の脅威を検出するためのパターンファイルを配信する配信元コンピュータから、追跡対象のファイルの属性情報を受信する受信処理と、
   受信した属性情報に紐付けられたファイルを検索する検索処理と、
   前記属性情報に紐付けられたファイルの情報が存在する場合、当該ファイルに関する情報を配信元コンピュータに送信する、及び／又は当該ファイルを処置する送信／処置処理とを、
   前記コンピュータに実行させることを特徴とするセキュリティ対策プログラム。
2. 前記収集付与処理は、前記ファイルに前記属性情報として電子透かしを埋め込むことを特徴とする請求項１に記載のセキュリティ対策プログラム。
3. セキュリティ対策プログラムが、コンピュータ内のファイルを検査する際、各ファイル毎に属性情報を収集するとともに、属性情報が付与されていないファイルに属性情報を付与する収集付与ステップと、
   追跡対象のファイルの追跡依頼を、パターンファイルを配信する配信元コンピュータに送信する第１送信ステップと、
   前記配信元コンピュータが、受信した追跡対象のファイルから属性情報を抽出する抽出ステップと、
   抽出した属性情報を、前記セキュリティ対策プログラムをインストールしているコンピュータに送信する第２送信ステップと、
   前記コンピュータのセキュリティ対策プログラムが、前記追跡対象のファイルの属性情報を受信する第１受信ステップと、
   前記セキュリティ対策プログラムが、受信した属性情報に紐付けられたファイルを検索する検索ステップと、
   を有することを特徴とするファイル追跡方法。
4. 前記属性情報に紐付けられたファイルの情報が存在する場合、当該ファイルに関する情報を、前記配信元コンピュータに送信する第３送信ステップと、
   前記配信元コンピュータが、前記セキュリティ対策プログラムをインストールしているコンピュータからの情報をもとに、前記追跡対象のファイルの追跡結果を生成する第２生成ステップと、
   をさらに有することを特徴とする請求項３に記載のファイル追跡方法。
5. 前記第１送信ステップは、捜索するコンピュータの範囲を含む追跡依頼を、前記配信元コンピュータに送信し、
   前記第２送信ステップは、前記追跡依頼に含まれる指定範囲のコンピュータに、前記追跡対象のファイルから抽出した属性情報を送信することを特徴とする請求項３または４に記載のファイル追跡方法。
6. セキュリティ対策プログラムが、コンピュータ内のファイルを検査する際、各ファイル毎に属性情報を収集するとともに、属性情報が付与されていないファイルに属性情報を付与する収集付与ステップと、
   追跡対象のファイルの追跡依頼を、管理コンピュータに送信する第１送信ステップと、
   前記管理コンピュータが、パターンファイルを配信する少なくとも１つの配信元コンピュータに、前記追跡対象のファイルの追跡依頼を送信する第２送信ステップと、
   前記少なくとも１つの配信元コンピュータが、受信した追跡対象のファイルから属性情報を抽出する抽出ステップと、
   前記少なくとも１つの配信元コンピュータが、抽出した属性情報を、セキュリティ対策プログラムをインストールしているコンピュータに送信する第３送信ステップと、
   各コンピュータが、前記追跡対象のファイルの属性情報を受信する第１受信ステップと、
   各コンピュータのセキュリティ対策プログラムが、受信した属性情報に紐付けられたファイルを検索する検索ステップと、
   を有することを特徴とするファイル追跡方法。
7. 前記属性情報に紐付けられたファイルの情報が存在する場合、当該ファイルに関する情報を、前記属性情報の送信元のコンピュータに送信する第４送信ステップと、
   各配信元コンピュータが、セキュリティ対策プログラムをインストールしているコンピュータからの情報をもとに、前記追跡対象のファイルの追跡結果を生成する生成ステップと、
   各配信元コンピュータが、前記追跡対象のファイルの追跡結果を前記管理コンピュータに送信する第５送信ステップと、
   前記管理コンピュータが、前記少なくとも１つの配信元コンピュータから受信した追跡結果を集計する収集ステップと、
   をさらに有することを特徴とする請求項６に記載のファイル追跡方法。
8. 前記第１送信ステップは、捜索するコンピュータの範囲を含む追跡依頼を、前記管理コンピュータに送信し、
   前記第３送信ステップは、前記追跡依頼に含まれる指定範囲のコンピュータに、前記追跡対象のファイルから抽出した属性情報を送信することを特徴とする請求項６または７に記載のファイル追跡方法。
9. 前記属性情報に紐付けられたファイルの情報が存在する場合、前記セキュリティ対策プログラムが、コンピュータ内の当該ファイルを削除、隔離、複製転送禁止、またはアクセス禁止にする処置ステップをさらに有することを特徴とする請求項３から８のいずれかに記載のファイル追跡方法。
10. 本情報処理装置内のファイルを検査する際、各ファイル毎に属性情報を収集するとともに、属性情報が付与されていないファイルに属性情報を付与する収集付与部と、
    情報処理装置内の脅威を検出するためのパターンファイルを配信する配信装置から、追跡対象のファイルの属性情報を受信する受信部と、
    受信した属性情報に紐付けられたファイルを検索する検索部と、
    前記属性情報に紐付けられたファイルの情報が存在する場合、当該属性情報に紐付けられたファイルに関する情報を配信元の配信装置に送信する、及び／又は当該ファイルを処置する送信／処置部とを、
    備えることを特徴とする情報処理装置。
11. 請求項１０に記載の情報処理装置に、パターンファイルを配信する配信装置であって、
    追跡対象のファイルの追跡依頼を受け付ける受付部と、
    受け付けた追跡対象のファイルから属性情報を抽出する抽出部と、
    抽出した属性情報を、請求項１０に記載の情報処理装置に送信する送信部と、
    を備えることを特徴とする配信装置。
12. 請求項１０に記載の情報処理装置から前記追跡対象のファイルに関する情報を受信する受信部と、
    受信したファイルに関する情報をもとに、前記追跡対象のファイルの追跡結果を生成する生成部と、
    をさらに備えることを特徴とする請求項１１に記載の配信装置。
13. 追跡対象のファイルの追跡依頼を受け付ける受付部と、
    少なくとも１つの配信元の請求項１１または１２に記載の配信装置に、前記追跡対象のファイルの追跡依頼を送信する送信部と、
    を備えることを特徴とする管理装置。
14. 前記少なくとも１つの配信元の請求項１１または１２に記載の配信装置から、前記追跡対象のファイルの追跡結果を受信する受信部と、
    前記少なくとも１つの配信元の請求項１１または１２に記載の配信装置から受信した追跡結果を集計する収集部と、
    をさらに備えることを特徴とする請求項１３に記載の管理装置。

Images