JP2018200641A - 異常検知プログラム、異常検知方法および情報処理装置 - Google Patents

Abstract

【課題】未知のマルウェアによる異常を検出する。
【解決手段】実施形態の異常検知プログラムは、格納する処理と、取得する処理と、比較する処理と、出力する処理とをコンピュータに実行させる。格納する処理は、プロセスごとの情報を記憶するプロセス記憶部にプロセス間の親子関係を示す情報を格納する。取得する処理は、プロセス記憶部より所定のプロセスの親プロセスのプロセス名と、プロセスの親プロセスの親プロセスのプロセス名とを取得する。比較する処理は、親プロセスのプロセス名と、親プロセスの親プロセスのプロセス名とを比較する。出力する処理は、比較の結果、プロセス名同士がともに所定の名称である場合に異常を出力する。
【選択図】図１

Description

本発明の実施形態は、異常検知プログラム、異常検知方法および情報処理装置に関する。

従来、ネットワークにおいて、不正に機器に感染するコンピュータウィルス、ワーム、スパイウェアなどのマルウェアによる異常を検出する方法が存在する。この異常検出では、ウイルス定義データベースを使用したパターンマッチングによるウイルス対策ソフトが知られている。また、プロセスが実行されて特定の関数が呼び出された場合にフッキングしてプロセスの実行を一時中断させ、コールスタックリターンアドレス情報を分析することにより悪性行為を探知する技術が知られている。

特開２０１５−１４１７１８号公報

しかしながら、上記の従来技術では、未知のマルウェアによる異常を検出することが困難であるという問題がある。

例えば、マルウェアなどを秘密裏にダウンロードさせ、ダウンロードしたマルウェアを実行させる攻撃手法の一つにＤｒｉｖｅ ｂｙ Ｄｏｗｎｌｏａｄがある。このＤｒｉｖｅ ｂｙ Ｄｏｗｎｌｏａｄでは、Ｗｉｎｄｏｗｓ（登録商標）などのＯＳ（Ｏｐｅｒａｔｉｎｇ Ｓｙｓｔｅｍ）における標準ブラウザや、そのブラウザのプラグインの脆弱性を突いて秘密裏にマルウェアがダウンロードされ、実行される。このため、ダウンロードされるマルウェアには、多種多様にわたり派生する亜種もあり、ウイルス定義データベースに含まれていない未知のマルウェアが含まれることがある。

１つの側面では、未知のマルウェアによる異常を検知できる異常検知プログラム、異常検知方法および情報処理装置を提供することを目的とする。

第１の案では、異常検知プログラムは、格納する処理と、取得する処理と、比較する処理と、出力する処理とをコンピュータに実行させる。格納する処理は、プロセスごとの情報を記憶するプロセス記憶部にプロセス間の親子関係を示す情報を格納する。取得する処理は、プロセス記憶部より所定のプロセスの親プロセスのプロセス名と、プロセスの親プロセスの親プロセスのプロセス名とを取得する。比較する処理は、親プロセスのプロセス名と、親プロセスの親プロセスのプロセス名とを比較する。出力する処理は、比較の結果、プロセス名同士がともに所定の名称である場合に異常を出力する。

本発明の１実施態様によれば、未知のマルウェアによる異常を検知できる。

図１は、実施形態にかかる情報処理装置の機能構成例を示すブロック図である。 図２は、プロセスツリーを例示する説明図である。 図３は、プロセスデータベースの一例を説明する説明図である。 図４は、実施形態にかかる情報処理装置の動作例を示すフローチャートである。 図５は、実施形態にかかる情報処理装置のハードウエア構成例を示すブロック図である。

以下、図面を参照して、実施形態にかかる異常検知プログラム、異常検知方法および情報処理装置を説明する。実施形態において同一の機能を有する構成には同一の符号を付し、重複する説明は省略する。なお、以下の実施形態で説明する異常検知プログラム、異常検知方法および情報処理装置は、一例を示すに過ぎず、実施形態を限定するものではない。また、以下の各実施形態は、矛盾しない範囲内で適宜組みあわせてもよい。

図１は、実施形態にかかる情報処理装置の機能構成例を示すブロック図である。実施形態にかかる情報処理装置１は、例えば、ＰＣ（パーソナルコンピュータ）、タブレット端末などのコンピュータである。図１に示すように、情報処理装置１は、ＯＳ１０、異常検知処理部２０、プロセスデータベース３０および表示部４０を有する。

情報処理装置１は、ＯＳ１０の実行環境のもと、異常検知プログラムを実行することで、異常検知処理部２０としての機能を実現する。異常検知処理部２０は、不正に機器に感染するコンピュータウィルス、ワーム、スパイウェアなどの脅威となるマルウェアによる異常を検知してアラートを出力する異常検知処理を行う。

具体的には、異常検知処理部２０は、ウイルス定義データベースなどを活用するパターンマッチング型のマルウェア検出ではなく、アプリケーションプログラムなどによるプロセスを監視し、マルウェアが動作することで起こる様々な異常事象を検知してマルウェアの検出を行う。

Ｗｉｎｄｏｗｓ（登録商標）などのＯＳ１０は、プログラムの実行に伴うプロセスについて、プロセスを識別するプロセスＩＤを付与して各プロセスの生成・実行・消滅を管理する。ＯＳ１０で管理される各プロセスには、生成元のプロセス（親プロセス）から新たに生成されるプロセスのように、プロセス間に親子関係を有するものがある。例えば、複数のタブを用いて１つのウィンドウ内で複数のウェブページを表示するブラウザなどについては、ブラウザのプロセスを親プロセスとして各タブにかかるプロセスが親子関係を有するものとして管理される。

マルウェアなどを秘密裏にダウンロードさせ、ダウンロードしたマルウェアを実行させる攻撃手法の一つであるＤｒｉｖｅ ｂｙ Ｄｏｗｎｌｏａｄは、ＯＳ１０の標準ブラウザやそのプラグインの脆弱性を突いて攻撃されることが非常に多い。このように、ブラウザやそのプラグインの脆弱性を突く攻撃では、攻撃によって生成されるプロセスがブラウザのプロセスと親子関係を有する。そして、プロセスの親子関係を示すプロセスツリーにおいては、複数のタブを用いるブラウザにおける通常のプロセスツリーとは異なる、特徴的な事象を示す場合がある。

図２は、プロセスツリーを例示する説明図である。図２に示すように、Ｗｉｎｄｏｗｓ（登録商標）の標準ブラウザであるＩｎｔｅｒｎｅｔ Ｅｘｐｌｏｒｅｒ（登録商標）が起動している場合は、ケースＣ１のようなプロセスツリーとなる。具体的には、アプリケーションＡ１に対応する１つのプロセスＰ１（親プロセス）に対し、タブを開いた分のプロセスＰ２が生成される。また、プロセスＰ１、Ｐ２におけるプロセス名はともに「ｉｅｘｐｌｏｒ．ｅｘｅ」となる。

また、Ｉｎｔｅｒｎｅｔ ＥｘｐｌｏｒｅｒにおいてＷｅｂサイトにあるファイルをダウンロードして実行した場合には、ケースＣ２のようなプロセスツリーとなる。具体的には、アプリケーションＡ１に対応する１つのプロセスＰ１（親プロセス）に対し、タブと同列にダウンロードのプロセスＰ２が生成される。なお、プロセスＰ２におけるダウンロードのプロセス名は、例えば「ｐｒｏｃｅｓｓ．ｅｘｅ」などのように「ｉｅｘｐｌｏｒ．ｅｘｅ」とは別の名称となる。

これに対し、Ｉｎｔｅｒｎｅｔ Ｅｘｐｌｏｒｅｒにマルウェアがダウンロードされて攻撃者の支配下となり、そのマルウェアから新たなプロセスが起動された場合には、ケースＣ３のようなプロセスツリーとなる。具体的には、アプリケーションＡ１に対応するプロセスＰ１よりタブに応じて生成されたプロセスＰ２を親プロセスとして、マルウェアのプロセスＰ３が生成される。すなわち、マルウェアのプロセスＰ３に対する親プロセスはプロセスＰ２であり、プロセスＰ３に対する親プロセスの親プロセスがプロセスＰ１となる。よって、マルウェアのプロセスＰ３に対する親プロセスのプロセス名と、プロセスＰ３に対する親プロセスの親プロセスのプロセス名とは、ともにブラウザに対応する「ｉｅｘｐｌｏｒ．ｅｘｅ」となる。

このように、マルウェアから新たなプロセスＰ３が起動された場合のプロセスツリーは、ケースＣ１、Ｃ２のプロセスツリーとは異なる、特徴的な事象を示す。なお、上記の例ではブラウザがＩｎｔｅｒｎｅｔ Ｅｘｐｌｏｒｅｒの場合を例示したが、ｃｈｒｏｍｅ（登録商標）などの場合も同様である。例えば、ｃｈｒｏｍｅにマルウェアがダウンロードされて攻撃者の支配下となった場合は、マルウェアのプロセスＰ３に対する親プロセスのプロセス名と、プロセスＰ３に対する親プロセスの親プロセスのプロセス名とは、ともにブラウザに対応する「ｃｈｒｏｍｅ．ｅｘｅ」となる。

したがって、異常検知処理部２０は、マルウェアから新たなプロセスＰ３が起動された場合のプロセスツリーにおける特徴的な事象（異常）を検知することで、マルウェアの検出を行う。具体的には、異常検知処理部２０は、所定のプロセスの親プロセスのプロセス名と、そのプロセスの親プロセスの親プロセスのプロセス名とが、ともに「ｉｅｘｐｌｏｒ．ｅｘｅ」などの所定の名称である場合に異常を出力する。このようなマルウェア検知により、情報処理装置１は、ウイルス定義データベースなどに未登録である、未知のマルウェアであっても検出することができる。

異常検知処理部２０は、格納部２１、取得部２２、比較部２３および出力部２４を有する。格納部２１は、ＯＳ１０より各プロセスの情報を取得し、プロセスごとの情報を記憶するプロセスデータベース３０にプロセス間の親子関係を示す情報を格納する。具体的には、格納部２１は、ＯＳ１０にかかるＡＰＩ（Application Programming Interface）を使用することで、各プロセスの情報を取得する。そして、格納部２１は、取得した情報をプロセスデータベース３０に格納する。

プロセスデータベース３０は、プロセスごとの情報を管理するデータベースである。すなわち、プロセスデータベース３０は、プロセス記憶部の一例である。

図３は、プロセスデータベース３０の一例を説明する説明図である。図３に示すように、プロセスデータベース３０は、各プロセスについて、プロセスおよびプロセスにおける親プロセスを識別する識別情報（プロセスＩＤおよび親プロセスＩＤ）とともに、プロセス名などのプロセスにかかる情報を格納する。

図３の例では、プロセスＩＤが「５３８０」のプロセスについては、親プロセスのプロセスＩＤが「５５２４」であり、プロセス名の「ｉｅｘｐｌｏｒ．ｅｘｅ」がパス付きで示されている。同様に、プロセスＩＤが「５５２４」の親プロセスについては、親プロセスの親プロセスのプロセスＩＤが「２０８４」であり、プロセス名の「ｉｅｘｐｌｏｒ．ｅｘｅ」がパス付きで示されている。このように、プロセスデータベース３０には、プロセス間の親子関係を示す情報が格納される。

取得部２２は、プロセス間の親子関係を示す情報をもとに、プロセスデータベース３０より所定のプロセスの親プロセスのプロセス名と、そのプロセスの親プロセスの親プロセスのプロセス名とを取得する。具体的には、取得部２２は、プロセスデータベース３０より各プロセスにおける親プロセスのプロセスＩＤを辿っていくことで、プロセスの親プロセスのプロセス名と、そのプロセスの親プロセスの親プロセスのプロセス名とを取得する。

比較部２３は、取得部２２が取得した親プロセスのプロセス名と、親プロセスの親プロセスのプロセス名とを比較する。比較部２３は、比較の結果を出力部２４に出力する。

出力部２４は、比較部２３による比較の結果、親プロセスのプロセス名と、親プロセスの親プロセスのプロセス名とのプロセス名同士がともに「ｉｅｘｐｌｏｒ．ｅｘｅ」などの所定の名称である場合に異常であることを示すアラートを出力する。具体的には、出力部２４は、プロセスツリーにおける特徴的な事象（異常）を検知したことから、マルウェアによる攻撃が疑われるなどとするアラート（警告）を出力する。

出力部２４におけるアラートの出力は、例えば、表示部４０におけるポップアップメッセージ、バルーン表示などがある。また、出力部２４は、通信部（図示しない）を介した所定のアドレス宛へのメール送信によりアラートを出力してもよい。また、比較部２３は、ログファイル（図示しない）への記録としてアラートを出力してもよい。ユーザは、これらの出力を確認することで、マルウェアの攻撃を認識できる。

表示部４０は、ディスプレイなどへの表示出力を行う。例えば、表示部４０は、プロセスデータベース３０より出力されたアラートをディスプレイなどへ表示する。これにより、ユーザは、アラートの内容を確認することができる。

図４は、実施形態にかかる情報処理装置１の動作例を示すフローチャートである。図４に示すように、処理が開始されると、格納部２１は、ＡＰＩを介してＯＳ１０におけるプロセス生成イベントの有無を監視し、プロセスが生成されたか否かを判定する（Ｓ１）。プロセス生成イベントが発生しておらず、プロセスの生成がない場合（Ｓ１：ＮＯ）、格納部２１は処理を待機する。

プロセスの生成がある場合（Ｓ１：ＹＥＳ）、格納部２１は、ＡＰＩを介してＯＳ１０よりプロセスにかかる情報を取得し、生成されたプロセスの親子関係の情報をプロセスデータベース３０に格納する（Ｓ２）。次いで、取得部２２は、生成されたプロセスの親プロセスの情報をプロセスデータベース３０より取得する（Ｓ３）。具体的には、取得部２２は、生成されたプロセスの親プロセスを示すプロセスＩＤより親プロセスのプロセス名を取得する。

次いで、比較部２３は、Ｓ３において取得した親プロセスのプロセス名がＩＥ（ｉｅｘｐｌｏｒ．ｅｘｅ）であるか否かを判定する（Ｓ４）。ＩＥでない場合（Ｓ４：ＮＯ）、比較部２３は処理を終了する。

ＩＥである場合（Ｓ４：ＹＥＳ）、取得部２２は、生成されたプロセスの親プロセスの親プロセスの情報をプロセスデータベース３０より取得する（Ｓ５）。具体的には、取得部２２は、生成されたプロセスの親プロセスを示すプロセスＩＤより親プロセスの親プロセスのプロセスＩＤを取得する。次いで、取得部２２は、取得したプロセスＩＤより親プロセスの親プロセスのプロセス名を取得する。

次いで、比較部２３は、Ｓ５において取得した親プロセスの親プロセスのプロセス名がＩＥ（ｉｅｘｐｌｏｒ．ｅｘｅ）であるか否かを判定する（Ｓ６）。ＩＥでない場合（Ｓ６：ＮＯ）、比較部２３は処理を終了する。

ＩＥである場合（Ｓ６：ＹＥＳ）、出力部２４は、マルウェアによる攻撃が疑われるなどとするアラート（警告）を表示部４０による表示などによりユーザに出力する（Ｓ７）。

以上のように、情報処理装置１の格納部２１は、プロセスごとの情報を記憶するプロセスデータベース３０にプロセス間の親子関係を示す情報を格納する。情報処理装置１の取得部２２は、プロセスデータベース３０より所定のプロセスの親プロセスのプロセス名と、そのプロセスの親プロセスの親プロセスのプロセス名とを取得する。情報処理装置１の比較部２３は、取得部２２が取得した親プロセスのプロセス名と、親プロセスの親プロセスのプロセス名とを比較する。情報処理装置１の出力部２４は、比較部２３による比較の結果、プロセス名同士がともに所定の名称である場合にマルウェアによる攻撃を示す異常を出力する。これにより、情報処理装置１は、例えば、Ｄｒｉｖｅ ｂｙ Ｄｏｗｎｌｏａｄなどの攻撃手法によりウイルス定義データベースなどに未登録である、未知のマルウェアがダウンロードされて実行される場合であっても、異常を検出することができる。

なお、図示した各装置の各構成要素は、必ずしも物理的に図示の如く構成されていることを要しない。すなわち、各装置の分散・統合の具体的形態は図示のものに限られず、その全部または一部を、各種の負荷や使用状況などに応じて、任意の単位で機能的または物理的に分散・統合して構成することができる。

また、情報処理装置１で行われる各種処理機能は、ＣＰＵ（またはＭＰＵ、ＭＣＵ（Ｍｉｃｒｏ Ｃｏｎｔｒｏｌｌｅｒ Ｕｎｉｔ）等のマイクロ・コンピュータ）上で、その全部または任意の一部を実行するようにしてもよい。また、各種処理機能は、ＣＰＵ（またはＭＰＵ、ＭＣＵ等のマイクロ・コンピュータ）で解析実行されるプログラム上、またはワイヤードロジックによるハードウエア上で、その全部または任意の一部を実行するようにしてもよいことは言うまでもない。また、情報処理装置１で行われる各種処理機能は、クラウドコンピューティングにより、複数のコンピュータが協働して実行してもよい。

ところで、上記の実施形態で説明した各種の処理は、予め用意されたプログラムをコンピュータで実行することで実現できる。そこで、以下では、上記の実施形態と同様の機能を有するプログラムを実行するコンピュータ（ハードウエア）の一例を説明する。図５は、実施形態にかかる情報処理装置１のハードウエア構成例を示すブロック図である。

図５に示すように、情報処理装置１は、各種演算処理を実行するＣＰＵ１０１と、データ入力を受け付ける入力装置１０２と、モニタ１０３と、スピーカ１０４とを有する。また、情報処理装置１は、記憶媒体からプログラム等を読み取る媒体読取装置１０５と、各種装置と接続するためのインタフェース装置１０６と、有線または無線により外部機器と通信接続するための通信装置１０７とを有する。また、情報処理装置１は、各種情報を一時記憶するＲＡＭ１０８と、ハードディスク装置１０９とを有する。また、情報処理装置１内の各部（１０１〜１０９）は、バス１１０に接続される。

ハードディスク装置１０９には、上記の実施形態で説明した異常検知処理部２０における格納部２１、取得部２２、比較部２３および出力部２４などで各種の処理を実行するためのプログラム１１１が記憶される。また、ハードディスク装置１０９には、プログラム１１１が参照する各種データ１１２が記憶される。入力装置１０２は、例えば、情報処理装置１の操作者から操作情報の入力を受け付ける。モニタ１０３は、例えば、操作者が操作する各種画面を表示する。インタフェース装置１０６は、例えば印刷装置等が接続される。通信装置１０７は、ＬＡＮ（Ｌｏｃａｌ Ａｒｅａ Ｎｅｔｗｏｒｋ）等の通信ネットワークと接続され、通信ネットワークを介した外部機器との間で各種情報をやりとりする。

ＣＰＵ１０１は、ハードディスク装置１０９に記憶されたプログラム１１１を読み出して、ＲＡＭ１０８に展開して実行することで、各種の処理を行う。なお、プログラム１１１は、ハードディスク装置１０９に記憶されていなくてもよい。例えば、情報処理装置１が読み取り可能な記憶媒体に記憶されたプログラム１１１を読み出して実行するようにしてもよい。情報処理装置１が読み取り可能な記憶媒体は、例えば、ＣＤ−ＲＯＭやＤＶＤディスク、ＵＳＢ（Ｕｎｉｖｅｒｓａｌ Ｓｅｒｉａｌ Ｂｕｓ）メモリ等の可搬型記録媒体、フラッシュメモリ等の半導体メモリ、ハードディスクドライブ等が対応する。また、公衆回線、インターネット、ＬＡＮ等に接続された装置にこのプログラム１１１を記憶させておき、情報処理装置１がこれらからプログラム１１１を読み出して実行するようにしてもよい。

以上の実施形態に関し、さらに以下の付記を開示する。

（付記１）プロセスごとの情報を記憶するプロセス記憶部にプロセス間の親子関係を示す情報を格納し、
前記プロセス記憶部より所定のプロセスの親プロセスのプロセス名と、前記プロセスの親プロセスの親プロセスのプロセス名とを取得し、
前記親プロセスのプロセス名と、前記親プロセスの親プロセスのプロセス名とを比較し、
前記比較の結果、プロセス名同士がともに所定の名称である場合に異常を出力する、
処理をコンピュータに実行させることを特徴とする異常検知プログラム。

（付記２）前記出力する処理は、前記比較の結果において、前記親プロセスのプロセス名と、前記親プロセスの親プロセスのプロセス名とがともにｉｅｘｐｌｏｒ．ｅｘｅである場合に異常を出力する、
ことを特徴とする付記１に記載の異常検知プログラム。

（付記３）プロセスごとの情報を記憶するプロセス記憶部にプロセス間の親子関係を示す情報を格納し、
前記プロセス記憶部より所定のプロセスの親プロセスのプロセス名と、前記プロセスの親プロセスの親プロセスのプロセス名とを取得し、
前記親プロセスのプロセス名と、前記親プロセスの親プロセスのプロセス名とを比較し、
前記比較の結果、プロセス名同士がともに所定の名称である場合に異常を出力する、
処理をコンピュータが実行することを特徴とする異常検知方法。

（付記４）前記出力する処理は、前記比較の結果において、前記親プロセスのプロセス名と、前記親プロセスの親プロセスのプロセス名とがともにｉｅｘｐｌｏｒ．ｅｘｅである場合に異常を出力する、
ことを特徴とする付記３に記載の異常検知方法。

（付記５）プロセスごとの情報を記憶するプロセス記憶部にプロセス間の親子関係を示す情報を格納する格納部と、
前記プロセス記憶部より所定のプロセスの親プロセスのプロセス名と、前記プロセスの親プロセスの親プロセスのプロセス名とを取得する取得部と、
前記親プロセスのプロセス名と、前記親プロセスの親プロセスのプロセス名とを比較する比較部と、
前記比較の結果、プロセス名同士がともに所定の名称である場合に異常を出力する出力部と、
を有することを特徴とする情報処理装置。

（付記６）前記出力部は、前記比較の結果において、前記親プロセスのプロセス名と、前記親プロセスの親プロセスのプロセス名とがともにｉｅｘｐｌｏｒ．ｅｘｅである場合に異常を出力する、
ことを特徴とする付記５に記載の情報処理装置。

１…情報処理装置
１０…ＯＳ
２０…異常検知処理部
２１…格納部
２２…取得部
２３…比較部
２４…出力部
３０…プロセスデータベース
４０…表示部
１０１…ＣＰＵ
１０２…入力装置
１０３…モニタ
１０４…スピーカ
１０５…媒体読取装置
１０６…インタフェース装置
１０７…通信装置
１０８…ＲＡＭ
１０９…ハードディスク装置
１１０…バス
１１１…プログラム
１１２…各種データ
Ａ１…アプリケーション
Ｃ１〜Ｃ３…ケース
Ｐ１〜Ｐ４…プロセス

Claims (4)

1. プロセスごとの情報を記憶するプロセス記憶部にプロセス間の親子関係を示す情報を格納し、
   前記プロセス記憶部より所定のプロセスの親プロセスのプロセス名と、前記プロセスの親プロセスの親プロセスのプロセス名とを取得し、
   前記親プロセスのプロセス名と、前記親プロセスの親プロセスのプロセス名とを比較し、
   前記比較の結果、プロセス名同士がともに所定の名称である場合に異常を出力する、
   処理をコンピュータに実行させることを特徴とする異常検知プログラム。
2. 前記出力する処理は、前記比較の結果において、前記親プロセスのプロセス名と、前記親プロセスの親プロセスのプロセス名とがともにｉｅｘｐｌｏｒ．ｅｘｅである場合に異常を出力する、
   ことを特徴とする請求項１に記載の異常検知プログラム。
3. プロセスごとの情報を記憶するプロセス記憶部にプロセス間の親子関係を示す情報を格納し、
   前記プロセス記憶部より所定のプロセスの親プロセスのプロセス名と、前記プロセスの親プロセスの親プロセスのプロセス名とを取得し、
   前記親プロセスのプロセス名と、前記親プロセスの親プロセスのプロセス名とを比較し、
   前記比較の結果、プロセス名同士がともに所定の名称である場合に異常を出力する、
   処理をコンピュータが実行することを特徴とする異常検知方法。
4. プロセスごとの情報を記憶するプロセス記憶部にプロセス間の親子関係を示す情報を格納する格納部と、
   前記プロセス記憶部より所定のプロセスの親プロセスのプロセス名と、前記プロセスの親プロセスの親プロセスのプロセス名とを取得する取得部と、
   前記親プロセスのプロセス名と、前記親プロセスの親プロセスのプロセス名とを比較する比較部と、
   前記比較の結果、プロセス名同士がともに所定の名称である場合に異常を出力する出力部と、
   を有することを特徴とする情報処理装置。

Images