JP2018198000A - 監視プログラム、監視方法および情報処理装置 - Google Patents

Abstract

【課題】権限昇格にかかる未知のマルウェアを検知する。
【解決手段】実施形態の監視プログラムは、オペレーションシステムから第１のプロセスの現在の整合性レベル及び／又は該第１のプロセスの親プロセスの現在の整合性レベルを取得するとともに記憶部に格納する処理をコンピュータに実行させる。また、監視プログラムは、記憶部から前回格納した第１のプロセスの前回の整合性レベル及び／又は第１のプロセスの親プロセスの前回の整合性レベルを取得し、取得した第１のプロセスの現在の整合性レベルが第１のプロセスの前回の整合性レベルに対して上がっていることの検出、または、取得した第１のプロセスの親プロセスの現在の整合性レベルが第１のプロセスの親プロセスの前回の整合性レベルに対して上がっていることの検出に応じて、アラートを出力する処理をコンピュータに実行させる。
【選択図】図１

Description

本発明の実施形態は、監視プログラム、監視方法および情報処理装置に関する。

従来、ネットワークにおいて、不正に機器に感染するコンピュータウィルス、ワーム、スパイウェアなどの脅威となるマルウェアを検出してアラートを出力する監視技術がある。例えば、監視対象となるマルウェアにおける攻撃には、本来与えられたものよりも高い権限のプロセス等を実行するために自身の権限を昇格させる権限昇格がある。この権限昇格には、ある特定の機能について使用権限のないユーザがログインしている状態において臨時的にそのユーザがその特定の機能を使用できるように機能を拡張するものが知られている。このような権限昇格にかかるマルウェアの監視では、ウイルス定義データベースを使用したパターンマッチングによるウイルス対策ソフトが知られている。

特開２０１０−２１８０８９号公報

しかしながら、上記の従来技術では、権限昇格にかかる未知のマルウェアによる異常を検出することが困難であるという問題がある。例えば、権限昇格などのマルウェアには、多種多様にわたり派生する亜種もあり、ウイルス定義データベースに含まれていない未知のマルウェアが含まれることがある。

１つの側面では、権限昇格にかかる未知のマルウェアを検知できる監視プログラム、監視方法および情報処理装置を提供することを目的とする。

第１の案では、監視プログラムは、格納する処理と、取得する処理と、出力する処理とをコンピュータに実行させる。格納する処理は、オペレーションシステムから第１のプロセスの現在の整合性レベル及び／又は該第１のプロセスの親プロセスの現在の整合性レベルを取得するとともに記憶部に格納する。取得する処理は、記憶部から前回格納した第１のプロセスの前回の整合性レベル及び／又は第１のプロセスの親プロセスの前回の整合性レベルを取得する。出力する処理は、取得した第１のプロセスの現在の整合性レベルが第１のプロセスの前回の整合性レベルに対して上がっていることの検出、または、取得した第１のプロセスの親プロセスの現在の整合性レベルが第１のプロセスの親プロセスの前回の整合性レベルに対して上がっていることの検出に応じて、アラートを出力する。

本発明の１実施態様によれば、権限昇格にかかる未知のマルウェアを検知できる。

図１は、実施形態にかかる情報処理装置の機能構成例を示すブロック図である。 図２は、プロセスデータベースの一例を説明する説明図である。 図３は、実施形態にかかる情報処理装置の動作例を示すフローチャートである。 図４は、実施形態にかかる情報処理装置のハードウエア構成例を示すブロック図である。

以下、図面を参照して、実施形態にかかる監視プログラム、監視方法および情報処理装置を説明する。実施形態において同一の機能を有する構成には同一の符号を付し、重複する説明は省略する。なお、以下の実施形態で説明する監視プログラム、監視方法および情報処理装置は、一例を示すに過ぎず、実施形態を限定するものではない。また、以下の各実施形態は、矛盾しない範囲内で適宜組みあわせてもよい。

図１は、実施形態にかかる情報処理装置の機能構成例を示すブロック図である。実施形態にかかる情報処理装置１は、例えば、ＰＣ（パーソナルコンピュータ）、タブレット端末などのコンピュータである。図１に示すように、情報処理装置１は、ＯＳ１０、監視処理部２０、プロセスデータベース３０および表示部４０を有する。

情報処理装置１は、ＯＳ１０の実行環境のもと、監視プログラムを実行することで、監視処理部２０としての機能を実現する。監視処理部２０は、不正に機器に感染するコンピュータウィルス、ワーム、スパイウェアなどの脅威となるマルウェアを検出してアラートを出力する監視処理を行う。

具体的には、監視処理部２０は、ウイルス定義データベースなどを活用するパターンマッチング型のマルウェア検出ではなく、アプリケーションプログラムなどによるプロセスを監視し、マルウェアが動作することで起こる様々な事象を把握してマルウェアの検出を行う。

Ｗｉｎｄｏｗｓ（登録商標）などのＯＳ１０は、プログラムの実行に伴うプロセスの生成・実行・消滅を管理する。また、ＯＳ１０は、オブジェクト（ファイル、レジストリ、プロセス等）にアクセスするための制御として、「アクセス許可によるアクセス制御」と、「整合性レベルによるアクセス制御」の２つのアクセス制御を有する。「アクセス許可によるアクセス制御」は、ユーザ（グループ）毎に設定されるアクセス制御である。「整合性レベルによるアクセス制御」は、生成されたプロセス毎に設定されるアクセス制御である。

プロセス毎の整合性レベルは、プロセス生成時に決定され、途中でレベルが変更されることはない。また、生成元の親プロセスより整合性レベルが高くなることは、一部の例外を除いて基本的にない。

しかしながら、権限昇格にかかるマルウェアの攻撃があった場合は、プロセスの整合性レベルが低い状態から高い状態になる異常事象が生じる。したがって、監視処理部２０は、プロセスの整合性レベルが低い状態から高い状態になる異常事象を検知することで、マルウェアの検出を行う。

具体的には、監視処理部２０は、検出対象を次のような（対象１）、（対象２）とし、［第１のケース］、［第２のケース］および［第３のケース］において整合性レベルが（対象１）＞（対象２）となることの検出に応じて、マルウェアによる攻撃を示すアラートを出力する。

［第１のケース］
（対象１）：プロセスの現在の整合性レベル
（対象２）：プロセスの前回取得時の整合性レベル
［第２のケース］
（対象１）：プロセスの親プロセスの現在の整合性レベル
（対象２）：プロセスの親プロセスの前回取得時の整合性レベル
［第３のケース］
（対象１）：プロセスの現在の整合性レベル
（対象２）：プロセスの親プロセスの現在の整合性レベル

このように異常事象を検知することで、情報処理装置１は、ウイルス定義データベースなどに未登録である、権限昇格にかかる未知のマルウェアであっても検出することができる。

監視処理部２０は、格納部２１、取得部２２および出力部２３を有する。格納部２１は、ＯＳ１０から各プロセスの現在の整合性レベルを取得するとともに、取得した各プロセスの現在の整合性レベルをプロセスデータベース３０に格納する。

プロセスデータベース３０は、プロセスごとの情報を管理するデータベースである。プロセスデータベース３０は、各プロセスについて、プロセスおよびプロセスにおける親プロセスを識別する識別情報（プロセスＩＤおよび親プロセスＩＤ）とともに、プロセスの整合性レベルなどのプロセスにかかる情報を格納する。すなわち、プロセスデータベース３０は、記憶部の一例である。

具体的には、格納部２１は、ＯＳ１０にかかるＡＰＩ（Ａｐｐｌｉｃａｔｉｏｎ Ｐｒｏｇｒａｍｍｉｎｇ Ｉｎｔｅｒｆａｃｅ）を使用することで、あるプロセス及び／又はそのプロセスの親プロセスの整合性レベルを取得する。そして、格納部２１は、整合性レベルを取得したプロセスについて、自身のプロセスおよび親プロセスを識別する識別情報（プロセスＩＤおよび親プロセスＩＤ）とともに、取得した整合性レベルをプロセスデータベース３０に格納する。

図２は、プロセスデータベース３０の一例を説明する説明図である。図２に示すように、プロセスデータベース３０は、各プロセスについて、プロセスを識別するプロセスＩＤと、プロセスの親プロセスを示す親プロセスＩＤと、プロセスの整合性レベルとを格納する。図示例では、プロセスＩＤ「１０５６」のプロセスについては、親プロセスのプロセスＩＤが「４」である。よって、プロセスデータベース３０よりプロセスＩＤ「４」のデータを参照することで、親プロセスの整合例レベルを確認できる。

整合例レベルについては、一例として、「Ｄｅｓｃｒｉｐｔｉｏｎ」、「シンボル」などが定義された「０ｘ００００」〜「０ｘ４０００」の５段階のいずれかの値（Ｖａｌｕｅ）が格納される。なお、整合性レベルの高さについては、「０ｘ００００」から段階的にレベルがあがり、「０ｘ４０００」が最上位であるものとする。

図示例では、プロセスＩＤ「１０５６」のプロセスについては、「０ｘ２０００」の値に対応する下から３段目の整合性レベルが設定されている。具体的には、「Ｄｅｓｃｒｉｐｔｉｏｎ」が「Ｍｅｄｉｕｍ ｉｎｔｅｇｒｉｔｙ ｌｅｖｅｌ」、「シンボル」が「ＳＥＣＵＲＩＴＹ＿ＭＡＮＤＡＴＯＲＹ＿ＭＥＤＩＵＭ＿ＲＩＤ」の整合性レベルが設定されている。

取得部２２は、プロセスデータベース３０から前回格納したプロセスの前回の整合性レベル及び／又はプロセスの親プロセスの前回の整合性レベルを取得する。具体的には、取得部２２は、格納部２１がプロセスの整合性レベルを取得し、取得した整合性レベルをプロセスデータベース３０格納するのに先立って、プロセスデータベース３０よりプロセスの整合性レベルおよびプロセスの親プロセスの整合性レベルを取得する。

出力部２３は、格納部２１が取得したプロセスの現在の整合性レベルおよびプロセスの親プロセスの現在の整合性レベルと、取得部２２が取得したプロセスの前回取得時の整合性レベルおよびプロセスの親プロセスの前回取得時の整合性レベルとをもとに、プロセスの整合性レベルが低い状態から高い状態になる異常事象を検出する。そして、出力部２３は、異常事象の検出に応じて、マルウェアによる攻撃を示すアラートを出力する。

具体的には、出力部２３は、あるプロセス（第１のプロセス）の現在の整合性レベルがそのプロセスの前回の整合性レベルに対して上がっていることの検出（［第１のケース］における（対象１）＞（対象２））に応じて、アラートを出力する。また、出力部２３は、あるプロセス（第１のプロセス）の親プロセスの現在の整合性レベルがそのプロセスの親プロセスの前回の整合性レベルに対して上がっていることの検出（［第２のケース］における（対象１）＞（対象２））に応じて、アラートを出力する。また、出力部２３は、あるプロセス（第１のプロセス）の現在の整合性レベルがそのプロセスの親プロセスの現在の整合性レベルに対して上がっていることの検出（［第３のケース］における（対象１）＞（対象２））に応じて、アラートを出力する。

出力部２３におけるアラートの出力は、例えば、表示部４０におけるポップアップメッセージ、バルーン表示などがある。また、出力部２３は、通信部（図示しない）を介した所定のアドレス宛へのメール送信によりアラートを出力してもよい。また、出力部２３は、ログファイル（図示しない）への記録としてアラートを出力してもよい。ユーザは、これらの出力を確認することで、マルウェアの攻撃を認識できる。

なお、アラートの出力は、上記の［第１のケース］、［第２のケース］、［第３のケース］での異常事象ごとに、それぞれに対応する内容を示すものであってもよい。例えば、［第１のケース］における（対象１）＞（対象２）の異常事象については、「所定のプロセスの現在の整合性レベルがそのプロセスの前回の整合性レベルに対して上がっていることから、マルウェアによる攻撃が疑われる」などとするアラートを出力する。これにより、ユーザは、［第１のケース］、［第２のケース］または［第３のケース］における異常事象でのマルウェアの攻撃を認識できる。

表示部４０は、ディスプレイなどへの表示出力を行う。例えば、表示部４０は、プロセスデータベース３０より出力されたアラートをディスプレイなどへ表示する。これにより、ユーザは、アラートの内容を確認することができる。

図３は、実施形態にかかる情報処理装置１の動作例を示すフローチャートである。図３に示すように、処理が開始されると、格納部２１は、ＯＳ１０におけるイベントを監視して所定のイベントが発生したか否かを判定し（Ｓ１）、イベントが発生しない場合（Ｓ１：ＮＯ）は処理を待機する。判定対象とするイベントについては、プロセス生成、ＤＬＬロード、ファイルアクセス、ＴＣＰ／ＩＰ通信などのいずれのイベントであってもよい。このようなイベントの監視により、格納部２１は、プロセスが様々な処理を行うために動作するタイミング（イベントの発生）を検知して処理を開始する。

イベントが発生した場合（Ｓ１：ＹＥＳ）、格納部２１は、プロセスの現在の整合性レベルと、親プロセスの現在の整合性レベルをＡＰＩを介してＯＳ１０より取得する（Ｓ２）。なお、ＡＰＩを介して整合性レベルを取得するプロセスについては、ＯＳ１０が管理する全プロセスであってもよいし、Ｓ１において発生したイベントに関連するものに限定してもよい。

次いで、取得部２２は、プロセスデータベース３０に格納されている各プロセスの整合性レベル、すなわち、前回格納したプロセスの前回の整合性レベルと、親プロセスの前回の整合性レベルを取得する（Ｓ３）。次いで、格納部２１は、Ｓ２において取得した整合性レベル、すなわち、プロセスの現在の整合性レベルと、親プロセスの現在の整合性レベルをプロセスデータベース３０に格納する（Ｓ４）。

次いで、出力部２３は、プロセスＩＤが同じプロセスの現在の整合性レベルと、前回の整合性レベルとを比較し、プロセスの整合性レベルが上がっていないかを判定する（Ｓ５）。すなわち、出力部２３は、［第１のケース］における（対象１）＞（対象２）の事象の有無を判定する。

上がっている場合（Ｓ５：ＹＥＳ）、出力部２３は、マルウェアによる攻撃を示すアラート（警告）を出力する（Ｓ６）。具体的には、出力部２３は、「所定のプロセスの現在の整合性レベルがそのプロセスの前回の整合性レベルに対して上がっていることから、マルウェアによる攻撃が疑われる」などとするアラートを出力する。

上がっていない場合（Ｓ５：ＮＯ）、出力部２３は、プロセスＩＤが同じ親プロセスの現在の整合性レベルと、前回の整合性レベルとを比較し、親プロセスの整合性レベルが上がっていないかを判定する（Ｓ７）。すなわち、出力部２３は、［第２のケース］における（対象１）＞（対象２）の事象の有無を判定する。

上がっている場合（Ｓ７：ＹＥＳ）、出力部２３は、マルウェアによる攻撃を示すアラート（警告）を出力する（Ｓ８）。具体的には、出力部２３は、「所定のプロセスの親プロセスの現在の整合性レベルがその親プロセスの前回の整合性レベルに対して上がっていることから、マルウェアによる攻撃が疑われる」などとするアラートを出力する。

上がっていない場合（Ｓ７：ＮＯ）、出力部２３は、プロセスＩＤ、親プロセスＩＤより親子関係にあるプロセスの整合性レベルを比較し、プロセスの整合性レベルが親プロセスの整合性レベルに対して上がっていないかを判定する（Ｓ９）。すなわち、出力部２３は、［第３のケース］における（対象１）＞（対象２）の事象の有無を判定する。

上がっている場合（Ｓ９：ＹＥＳ）、出力部２３は、マルウェアによる攻撃を示すアラート（警告）を出力する（Ｓ１０）。具体的には、出力部２３は、「所定のプロセスの整合性レベルがそのプロセスの親プロセスの整合性レベルに対して上がっていることから、マルウェアによる攻撃が疑われる」などとするアラートを出力する。

以上のように、情報処理装置１の格納部２１は、ＯＳ１０からあるプロセス（第１のプロセス）の現在の整合性レベル及び／又は第１のプロセスの親プロセスの現在の整合性レベルを取得するとともにプロセスデータベース３０に格納する。情報処理装置１の取得部２２は、プロセスデータベース３０から前回格納した第１のプロセスの前回の整合性レベル及び／又は第１のプロセスの親プロセスの前回の整合性レベルを取得する。情報処理装置１の出力部２３は、取得した第１のプロセスの現在の整合性レベルが第１のプロセスの前回の整合性レベルに対して上がっていることの検出に応じて、マルウェアによる攻撃を示すアラートを出力する。または、出力部２３は、取得した第１のプロセスの親プロセスの現在の整合性レベルが第１のプロセスの親プロセスの前回の整合性レベルに対して上がっていることの検出に応じて、マルウェアによる攻撃を示すアラートを出力する。これにより、情報処理装置１は、例えば、ウイルス定義データベースなどに未登録である、権限昇格にかかる未知のマルウェアであっても検出することができる。

また、格納部２１は、プロセス生成、ＤＬＬロード、ファイルアクセス、ＴＣＰ／ＩＰ通信などの所定のイベントを検知すると、所定のイベントに関連するプロセスの現在の整合性レベル及び／又はプロセスの親プロセスの現在の整合性レベルを取得する。これにより、情報処理装置１は、所定のイベントに関連するプロセスの整合性レベルが低い状態から高い状態になる異常事象を検知することができる。

また、出力部２３は、取得した第１のプロセスの現在の整合性レベルが取得した第１のプロセスの親プロセスの現在の整合性レベルに対して上がっていることの検出に応じて、マルウェアによる攻撃を示すアラートを出力する。これにより、情報処理装置１は、［第３のケース］における異常事象に応じたマルウェア攻撃を検出することができる。

なお、図示した各装置の各構成要素は、必ずしも物理的に図示の如く構成されていることを要しない。すなわち、各装置の分散・統合の具体的形態は図示のものに限られず、その全部または一部を、各種の負荷や使用状況などに応じて、任意の単位で機能的または物理的に分散・統合して構成することができる。

また、情報処理装置１で行われる各種処理機能は、ＣＰＵ（またはＭＰＵ、ＭＣＵ（Ｍｉｃｒｏ Ｃｏｎｔｒｏｌｌｅｒ Ｕｎｉｔ）等のマイクロ・コンピュータ）上で、その全部または任意の一部を実行するようにしてもよい。また、各種処理機能は、ＣＰＵ（またはＭＰＵ、ＭＣＵ等のマイクロ・コンピュータ）で解析実行されるプログラム上、またはワイヤードロジックによるハードウエア上で、その全部または任意の一部を実行するようにしてもよいことは言うまでもない。また、情報処理装置１で行われる各種処理機能は、クラウドコンピューティングにより、複数のコンピュータが協働して実行してもよい。

ところで、上記の実施形態で説明した各種の処理は、予め用意されたプログラムをコンピュータで実行することで実現できる。そこで、以下では、上記の実施形態と同様の機能を有するプログラムを実行するコンピュータ（ハードウエア）の一例を説明する。図４は、実施形態にかかる情報処理装置１のハードウエア構成例を示すブロック図である。

図４に示すように、情報処理装置１は、各種演算処理を実行するＣＰＵ１０１と、データ入力を受け付ける入力装置１０２と、モニタ１０３と、スピーカ１０４とを有する。また、情報処理装置１は、記憶媒体からプログラム等を読み取る媒体読取装置１０５と、各種装置と接続するためのインタフェース装置１０６と、有線または無線により外部機器と通信接続するための通信装置１０７とを有する。また、情報処理装置１は、各種情報を一時記憶するＲＡＭ１０８と、ハードディスク装置１０９とを有する。また、情報処理装置１内の各部（１０１〜１０９）は、バス１１０に接続される。

ハードディスク装置１０９には、上記の実施形態で説明した監視処理部２０における格納部２１、取得部２２および出力部２３などで各種の処理を実行するためのプログラム１１１が記憶される。また、ハードディスク装置１０９には、プログラム１１１が参照する各種データ１１２が記憶される。入力装置１０２は、例えば、情報処理装置１の操作者から操作情報の入力を受け付ける。モニタ１０３は、例えば、操作者が操作する各種画面を表示する。インタフェース装置１０６は、例えば印刷装置等が接続される。通信装置１０７は、ＬＡＮ（Local Area Network）等の通信ネットワークと接続され、通信ネットワークを介した外部機器との間で各種情報をやりとりする。

ＣＰＵ１０１は、ハードディスク装置１０９に記憶されたプログラム１１１を読み出して、ＲＡＭ１０８に展開して実行することで、各種の処理を行う。なお、プログラム１１１は、ハードディスク装置１０９に記憶されていなくてもよい。例えば、情報処理装置１が読み取り可能な記憶媒体に記憶されたプログラム１１１を読み出して実行するようにしてもよい。情報処理装置１が読み取り可能な記憶媒体は、例えば、ＣＤ−ＲＯＭやＤＶＤディスク、ＵＳＢ（Ｕｎｉｖｅｒｓａｌ Ｓｅｒｉａｌ Ｂｕｓ）メモリ等の可搬型記録媒体、フラッシュメモリ等の半導体メモリ、ハードディスクドライブ等が対応する。また、公衆回線、インターネット、ＬＡＮ等に接続された装置にこのプログラム１１１を記憶させておき、情報処理装置１がこれらからプログラム１１１を読み出して実行するようにしてもよい。

以上の実施形態に関し、さらに以下の付記を開示する。

（付記１）オペレーションシステムから第１のプロセスの現在の整合性レベル及び／又は該第１のプロセスの親プロセスの現在の整合性レベルを取得するとともに記憶部に格納し、
前記記憶部から前回格納した前記第１のプロセスの前回の整合性レベル及び／又は前記第１のプロセスの親プロセスの前回の整合性レベルを取得し、
取得した前記第１のプロセスの現在の整合性レベルが前記第１のプロセスの前回の整合性レベルに対して上がっていることの検出、または、取得した前記第１のプロセスの親プロセスの現在の整合性レベルが前記第１のプロセスの親プロセスの前回の整合性レベルに対して上がっていることの検出に応じて、アラートを出力する、
処理をコンピュータに実行させることを特徴とする監視プログラム。

（付記２）前記格納する処理は、所定のイベントを検知すると、前記オペレーションシステムから前記所定のイベントに関連するプロセスの現在の整合性レベル及び／又は該プロセスの親プロセスの現在の整合性レベルを取得する、
ことを特徴とする付記１に記載の監視プログラム。

（付記３）前記出力する処理は、取得した前記第１のプロセスの現在の整合性レベルが取得した前記第１のプロセスの親プロセスの現在の整合性レベルに対して上がっていることの検出に応じて、アラートを出力する、
ことを特徴とする付記１または２に記載の監視プログラム。

（付記４）オペレーションシステムから第１のプロセスの現在の整合性レベル及び／又は該第１のプロセスの親プロセスの現在の整合性レベルを取得するとともに記憶部に格納し、
前記記憶部から前回格納した前記第１のプロセスの前回の整合性レベル及び／又は前記第１のプロセスの親プロセスの前回の整合性レベルを取得し、
取得した前記第１のプロセスの現在の整合性レベルが前記第１のプロセスの前回の整合性レベルに対して上がっていることの検出、または、取得した前記第１のプロセスの親プロセスの現在の整合性レベルが前記第１のプロセスの親プロセスの前回の整合性レベルに対して上がっていることの検出に応じて、アラートを出力する、
処理をコンピュータが実行することを特徴とする監視方法。

（付記５）前記格納する処理は、所定のイベントを検知すると、前記オペレーションシステムから前記所定のイベントに関連するプロセスの現在の整合性レベル及び／又は該プロセスの親プロセスの現在の整合性レベルを取得する、
ことを特徴とする付記４に記載の監視方法。

（付記６）前記出力する処理は、取得した前記第１のプロセスの現在の整合性レベルが取得した前記第１のプロセスの親プロセスの現在の整合性レベルに対して上がっていることの検出に応じて、アラートを出力する、
ことを特徴とする付記４または５に記載の監視方法。

（付記７）オペレーションシステムから第１のプロセスの現在の整合性レベル及び／又は該第１のプロセスの親プロセスの現在の整合性レベルを取得するとともに記憶部に格納する格納部と、
前記記憶部から前回格納した前記第１のプロセスの前回の整合性レベル及び／又は前記第１のプロセスの親プロセスの前回の整合性レベルを取得する取得部と、
取得した前記第１のプロセスの現在の整合性レベルが前記第１のプロセスの前回の整合性レベルに対して上がっていることの検出、または、取得した前記第１のプロセスの親プロセスの現在の整合性レベルが前記第１のプロセスの親プロセスの前回の整合性レベルに対して上がっていることの検出に応じて、アラートを出力する出力部と、
を有することを特徴とする情報処理装置。

（付記８）前記格納部は、所定のイベントを検知すると、前記オペレーションシステムから前記所定のイベントに関連するプロセスの現在の整合性レベル及び／又は該プロセスの親プロセスの現在の整合性レベルを取得する、
ことを特徴とする付記７に記載の情報処理装置。

（付記９）前記出力部は、取得した前記第１のプロセスの現在の整合性レベルが取得した前記第１のプロセスの親プロセスの現在の整合性レベルに対して上がっていることの検出に応じて、アラートを出力する、
ことを特徴とする付記７または８に記載の情報処理装置。

１…情報処理装置
１０…ＯＳ
２０…監視処理部
２１…格納部
２２…取得部
２３…出力部
３０…プロセスデータベース
４０…表示部
１０１…ＣＰＵ
１０２…入力装置
１０３…モニタ
１０４…スピーカ
１０５…媒体読取装置
１０６…インタフェース装置
１０７…通信装置
１０８…ＲＡＭ
１０９…ハードディスク装置
１１０…バス
１１１…プログラム
１１２…各種データ

Claims (5)

1. オペレーションシステムから第１のプロセスの現在の整合性レベル及び／又は該第１のプロセスの親プロセスの現在の整合性レベルを取得するとともに記憶部に格納し、
   前記記憶部から前回格納した前記第１のプロセスの前回の整合性レベル及び／又は前記第１のプロセスの親プロセスの前回の整合性レベルを取得し、
   取得した前記第１のプロセスの現在の整合性レベルが前記第１のプロセスの前回の整合性レベルに対して上がっていることの検出、または、取得した前記第１のプロセスの親プロセスの現在の整合性レベルが前記第１のプロセスの親プロセスの前回の整合性レベルに対して上がっていることの検出に応じて、アラートを出力する、
   処理をコンピュータに実行させることを特徴とする監視プログラム。
2. 前記格納する処理は、所定のイベントを検知すると、前記オペレーションシステムから前記所定のイベントに関連するプロセスの現在の整合性レベル及び／又は該プロセスの親プロセスの現在の整合性レベルを取得する、
   ことを特徴とする請求項１に記載の監視プログラム。
3. 前記出力する処理は、取得した前記第１のプロセスの現在の整合性レベルが取得した前記第１のプロセスの親プロセスの現在の整合性レベルに対して上がっていることの検出に応じて、アラートを出力する、
   ことを特徴とする請求項１または２に記載の監視プログラム。
4. オペレーションシステムから第１のプロセスの現在の整合性レベル及び／又は該第１のプロセスの親プロセスの現在の整合性レベルを取得するとともに記憶部に格納し、
   前記記憶部から前回格納した前記第１のプロセスの前回の整合性レベル及び／又は前記第１のプロセスの親プロセスの前回の整合性レベルを取得し、
   取得した前記第１のプロセスの現在の整合性レベルが前記第１のプロセスの前回の整合性レベルに対して上がっていることの検出、または、取得した前記第１のプロセスの親プロセスの現在の整合性レベルが前記第１のプロセスの親プロセスの前回の整合性レベルに対して上がっていることの検出に応じて、アラートを出力する、
   処理をコンピュータが実行することを特徴とする監視方法。
5. オペレーションシステムから第１のプロセスの現在の整合性レベル及び／又は該第１のプロセスの親プロセスの現在の整合性レベルを取得するとともに記憶部に格納する格納部と、
   前記記憶部から前回格納した前記第１のプロセスの前回の整合性レベル及び／又は前記第１のプロセスの親プロセスの前回の整合性レベルを取得する取得部と、
   取得した前記第１のプロセスの現在の整合性レベルが前記第１のプロセスの前回の整合性レベルに対して上がっていることの検出、または、取得した前記第１のプロセスの親プロセスの現在の整合性レベルが前記第１のプロセスの親プロセスの前回の整合性レベルに対して上がっていることの検出に応じて、アラートを出力する出力部と、
   を有することを特徴とする情報処理装置。

Images