JP2019016212A

JP2019016212A - 付与装置、付与方法および付与プログラム

Info

Publication number: JP2019016212A
Application number: JP2017133795A
Authority: JP
Inventors: 彩子長谷川; Ayako Hasegawa; 和憲神谷; Kazunori Kamiya; 真徳山田; Masanori Yamada; 友貴山中; Tomoki Yamanaka
Original assignee: Nippon Telegraph and Telephone Corp
Current assignee: Nippon Telegraph and Telephone Corp
Priority date: 2017-07-07
Filing date: 2017-07-07
Publication date: 2019-01-31
Anticipated expiration: 2037-07-07
Also published as: JP6740184B2

Abstract

【課題】未検知のマルウェアのラベルを容易に推定して付与する。【解決手段】取得部１５ａが、複数のＡＶＳにより付与されたマルウェアの階層型の検知名を取得し、付与部１５ｂが、取得部１５ａにより取得された検知名のうち、所定のＡＶＳにより検知名が付与されているマルウェアについては、該検知名を用いてマルウェアに階層型のラベルを付与し、該所定のＡＶＳにより検知名が付与されていないマルウェアについては、他のＡＶＳにより同一の検知名が付与されている複数のマルウェアを特定し、特定した複数のマルウェアに対して該所定のＡＶＳが付与した検知名を階層ごとに集計し、集計数が所定数以上の場合に、浅い階層から順に該所定数以上の階層までの検知名を用いて階層型のラベルをマルウェアに付与する。【選択図】図１

Description

本発明は、付与装置、付与方法および付与プログラムに関する。

機械学習によるマルウェアの分類において、アンチウイルスソフト（以下、ＡＶＳと記す）による検知名を用いて教師データへのラベルを付与する場合がある。ＡＶＳの検知名を用いたラベル付与には、情報の入手が容易等の利点がある一方で、未検知のマルウェアの割合が高いという問題もある。未検知のマルウェアについては、これを教師データとして用いないか、あるいは、未検知を意味する「ＮｏｔＤｅｔｅｃｔｅｄ」のラベルを付与して教師データとする。

しかしながら、未検知のマルウェアを教師データとして用いないと、教師データの数が少なくなってしまう。さらには、新種のマルウェアである可能性が高いデータを教師データとして使用できない。一方、「ＮｏｔＤｅｔｅｃｔｅｄ」のラベルが付与された教師データの中には、他のＡＶＳによれば検知され別のラベルが付与されるはずのものが存在する場合がある。その場合に、「ＮｏｔＤｅｔｅｃｔｅｄ」のラベルが付与された教師データのデータ内容がばらばらであるという問題がある。したがって、いずれの場合にも、マルウェア分類の精度の低下につながるおそれがある。

なお、約５０社のＡＶＳによるマルウェアの検知結果が開示されている（非特許文献１参照）。また、マルウェアの通信ログのクラスタリングを行う技術が開示されている（特許文献１参照）。この技術を用いれば、ＡＶＳで未検知のマルウェアに対しても、特徴が類似し同じクラスタに分類されるマルウェアの検知名を参照してラベルを付与することが可能となる。

国際公開第２０１６／０８０２３２号

"virustotal"、[online]、2012年9月、Virus Total、［２０１７年６月１日検索]、インターネット＜URL: https://www.virustotal.com/ja/＞

しかしながら、従来の技術では、未検知のマルウェアにラベルを付与するためには、通信ログを必要とし、分析に時間がかかるという問題があった。

本発明は、上記に鑑みてなされたものであって、未検知のマルウェアのラベルを容易に推定して付与することを目的とする。

上述した課題を解決し、目的を達成するために、本発明に係る付与装置は、複数のアンチウイルスソフトにより付与されたマルウェアの階層型の検知名を取得する取得部と、前記取得部により取得された検知名のうち、所定のアンチウイルスソフトにより検知名が付与されているマルウェアについては、該検知名を用いてマルウェアに階層型のラベルを付与し、該所定のアンチウイルスソフトにより検知名が付与されていないマルウェアについては、他のアンチウイルスソフトにより同一の検知名が付与されている複数のマルウェアを特定し、特定した複数のマルウェアに対して該所定のアンチウイルスソフトが付与した検知名を階層ごとに集計し、集計数が所定数以上の場合に、浅い階層から順に該所定数以上の階層までの検知名を用いて階層型のラベルをマルウェアに付与する付与部と、を備えることを特徴とする。

本発明によれば、未検知のマルウェアのラベルを容易に推定して付与することができる。

図１は、本発明の一実施形態に係る付与装置の概略構成を例示する模式図である。図２は、対応表のデータ構成を例示する図である。図３は、ラベル階層情報のデータ構成を例示する図である。図４は、取得部の処理を説明するための説明図である。図５は、付与部の処理を説明するための説明図である。図６は、付与部の処理を説明するための説明図である。図７は、付与部の処理を説明するための説明図である。図８は、付与部の処理を説明するための説明図である。図９は、付与部の処理を説明するための説明図である。図１０は、ラベル階層情報のデータ構成を例示する図である。図１１は、付与部の処理を説明するための説明図である。図１２は、付与部の処理を説明するための説明図である。図１３は、付与処理手順を示すフローチャートである。図１４は、付与装置の活用例について説明するための説明図である。図１５は、付与プログラムを実行するコンピュータを例示する図である。

以下、図面を参照して、本発明の一実施形態を詳細に説明する。なお、この実施形態により本発明が限定されるものではない。また、図面の記載において、同一部分には同一の符号を付して示している。

［付与装置の構成］
図１は、付与装置の概略構成を例示する模式図である。図１に例示するように、付与装置１０は、パソコン等の汎用コンピュータで実現され、入力部１１、出力部１２、通信制御部１３、記憶部１４、および制御部１５を備える。

入力部１１は、キーボードやマウス等の入力デバイスを用いて実現され、操作者による入力操作に対応して、制御部１５に対して処理開始などの各種指示情報を入力する。出力部１２は、液晶ディスプレイなどの表示装置、プリンター等の印刷装置等によって実現される。

通信制御部１３は、ＮＩＣ（Network Interface Card）等で実現され、ＬＡＮ（Local Area Network）やインターネットなどの電気通信回線を介した外部の装置と制御部１５との通信を制御する。

記憶部１４は、ＲＡＭ（Random Access Memory）、フラッシュメモリ（Flash Memory）等の半導体メモリ素子、または、ハードディスク、光ディスク等の記憶装置によって実現され、後述する付与処理により特定される正常な状態のモデルのパラメータ等が記憶される。なお、記憶部１４は、通信制御部１３を介して制御部１５と通信する構成でもよい。

本実施形態において、記憶部１４には、対応表１４ａ、ラベル階層情報１４ｂ、および付与結果情報１４ｃが格納される。

対応表１４ａは、複数のＡＶＳにより付与されたマルウェアの階層型の検知名を表す情報である。この対応表１４ａは、後述する付与処理において、virustotal等を参照して取得された情報が整形されたものである。

図２は、対応表１４ａのデータ構成を例示する図である。図２に例示するように、対応表１４ａには、マルウェアを識別するハッシュ値と、各社のＡＶＳにより各マルウェアに付与された検知名とが含まれる。図２に示す例では、ＳＨＡ１ＨＡＳＨとは、ハッシュ関数ＳＨＡ−１による各マルウェアのハッシュ値であり、マルウェアを識別するＩＤを意味する。

また、各社の検知名は、階層型で表される。本実施形態では、マルウェアファミリ名を表す浅い階層Ｘと、子番号を表す深い階層Ｙとがドットで連結された「Ｘ．Ｙ」等の２階層で表されている。図２には、例えば、ＩＤ「ａ１ｂ２ｃ３…」で識別されるマルウェアについて、Ａ社のＡＶＳによる検知名は「Ａ．Ｘ」であり、Ｂ社のＡＶＳによる検知名は「Ａ．Ｙ」であり、Ｃ社のＡＶＳによる検知名は「Ｘ．１」であることが示されている。なお、「ＮｏｔＤｅｔｅｃｔｅｄ」は、マルウェアが該当社のＡＶＳにより検知されなかったことすなわち未検知を意味する。

ラベル階層情報１４ｂは、付与装置１０が付与するラベルの階層構造を表す情報である。ラベル階層情報１４ｂは、予め、あるいは後述する付与処理において生成される。ラベル階層情報１４ｂは、付与装置１０により階層型ラベルが付与された教師データを用いた学習を行う際に参照される。

図３は、ラベル階層情報１４ｂのデータ構成を例示する図である。図３には、２階層のラベルについて、階層の浅い粗いラベルとして、ＡまたはＢが例示されている。また、粗いラベルＡに対する階層の深い詳細ラベルとして、１または２が例示されている。

付与結果情報１４ｃは、後述する付与処理の処理結果を表し、各マルウェアに付与された階層型ラベルを示す情報である。付与結果情報１４ｃは、特定のマルウェアに階層型ラベルを付与する際に参照される。

図１の説明に戻る。制御部１５は、ＣＰＵ（Central Processing Unit）等を用いて実現され、メモリに記憶された処理プログラムを実行する。これにより、制御部１５は、図１に例示するように、取得部１５ａおよび付与部１５ｂとして機能する。なお、これらの機能部は、それぞれ、異なるハードウェアに実装されてもよい。

取得部１５ａは、複数のＡＶＳにより付与されたマルウェアの階層型の検知名を取得する。具体的には、取得部１５ａは、virustotal等を参照して、マルウェアについての各社のＡＶＳの検知名を取得する。また、取得部１５ａは、取得した各社の検知名に対し、以下に説明する前処理を行って整形して対応表１４ａを生成する。

ここで、図４を参照して、取得部１５ａの処理について説明する。図４には、virustotal等を参照して取得される各社のＡＶＳの検知名と、取得部１５ａによる前処理により整形された検知名との対応が例示されている。取得部１５ａは、取得した各社の検知名を各社に共通な様式の階層型に整形する前処理を行う。本実施形態において、取得部１５ａは、前処理により、マルウェアファミリ名を表す浅い階層Ｘと、子番号を表す深い階層Ｙとがドットで連結された「Ｘ．Ｙ」等の２階層の検知名に整形する。

図４には、取得部１５ａが、例えば、整形前のある社のＡＶＳの検知名「ＷＩＮ３２／Ｃｏｎｆｉｃｋｅｒ．Ａ」を、マルウェアファミリ名「Ｃｏｎｆｉｃｋｅｒ」と子番号「Ａ」とを用いて「Ｃｏｎｆｉｃｋｅｒ．Ａ」とする整形を行うことが示されている。なお、取得部１５ａが取得した検知名の子番号が不明な場合には、「＊」とする。例えば、取得部１５ａは、取得した検知名「ＷＩＮ３２／Ｃｏｎｆｉｃｋｅｒ」を「Ｃｏｎｆｉｃｋｅｒ．＊」とする整形を行う。

図１の説明に戻る。付与部１５ｂは、取得部１５ａにより取得された検知名のうち、所定のＡＶＳにより検知名が付与されているマルウェアについては、該検知名を用いてマルウェアに階層型のラベルを付与する。また、付与部１５ｂは、該所定のＡＶＳにより検知名が付与されていないマルウェアについては、他のＡＶＳにより同一の検知名が付与されている複数のマルウェアを特定し、特定した複数のマルウェアに対して該所定のＡＶＳが付与した検知名を階層ごとに集計し、集計数が所定数以上の場合に、浅い階層から順に該所定数以上の階層までの検知名を用いて階層型のラベルをマルウェアに付与する。

ここで、図５を参照して、所定のＡＶＳについて説明する。各社のＡＶＳの検知名のマルウェアファミリ名は各社が独自に名付けており、一般的なマルウェアファミリ名と一致するとは限らない。例えば、一般にＤｒｉｄｅｘと呼ばれるマルウェアファミリ名について、図５に例示するように、Ａ社ではＤｒｉｄｅＸ、Ｂ社ではＣｒｉｄｅｘと名付けられている。

そこで、まず、付与部１５ｂが付与するラベルの基準とする所定のＡＶＳが選定される。所定のＡＶＳは、複数のＡＶＳのうち、マルウェアの未検知の割合が最も低いもの、または、マルウェアの検知の精度が最も高いものが選定されればよい。

次に、図６〜図９を参照して、付与部１５ｂの処理について説明する。まず、付与部１５ｂは、所定のＡＶＳにより検知名が付与されているマルウェアについては、付与された検知名を用いてマルウェアに階層型のラベルを付与する。本実施形態では、図６に例示するように、Ａ社を基準として、対応表１４ａのＡ社について整形した階層型の検知名（Ａ．１）をそのまま階層型のラベル（Ａ．１）として各マルウェアに付与する。

また、付与部１５ｂは、所定のＡＶＳであるＡ社のＡＶＳにより未検知のマルウェアについては、他のＡＶＳにより同一の検知名が付与されている複数のマルウェアを特定し、特定した複数のマルウェアに対して該所定のＡＶＳが付与した検知名を階層ごとに集計し、集計数が所定数以上の場合に、浅い階層から順に該所定数以上の階層までの検知名を用いて階層型のラベルをマルウェアに付与する。

具体的には、まず、図７に例示するように、所定数ｓ以上の他のＡＶＳでも未検知であれば、未検知を意味する階層型のラベル「ＮｏｔＤｅｔｅｃｔｅｄ．＊」を付与する。ここで、所定数ｓは、例えば５０％のように、全ＡＶＳ数に対する未検知のＡＶＳ数の割合で表される。

次に、付与部１５ｂは、図８に例示するように、Ａ社のＡＶＳにより未検知かつ「ＮｏｔＤｅｔｅｃｔｅｄ．＊」が付与されていないマルウェアについては、Ａ社以外のＡＶＳで検知名が付与されている場合に、各社でこのＡ社のＡＶＳで未検知のマルウェアと同一の検知名が付与されている他のマルウェアを特定する。これらのマルウェアは、同一のマルウェアである可能性が高く、同一のラベルを付与することができるものと推察される。そこで、付与部１５ｂは、特定した複数のマルウェアにＡ社が付与した検知名を参照して、未検知のマルウェアに付与するラベルを決定する。

図８に示す例では、例えば、Ａ社のＡＶＳで未検知のマルウェア「ａ１ｂ２ｃ３…」について、Ｂ社のＡＶＳが検知名「Ｘ．１」、また、Ｄ社のＡＶＳが検知名「Ｙ．１」を付与している。そこで、Ｂ社のＡＶＳが検知名「Ｘ．１」を付与したマルウェアと、Ｄ社のＡＶＳが検知名「Ｙ．１」を付与したマルウェアとが特定される。そして、付与部１５ｂは、特定したマルウェアにＡ社が付与した検知名のうち、「ＮｏｔＤｅｔｅｃｔｅｄ」を除いた検知名を用いて、Ａ社のＡＶＳにより未検知のマルウェアに付与するラベルを決定する。具体的には、図９に例示するように、付与部１５ｂは、「ＮｏｔＤｅｔｅｃｔｅｄ」以外の検知名のうち、最も多いマルウェアファミリ名Ａを、付与する粗いラベルと決定する。

また、付与部１５ｂは、同一の粗いラベルを付与するマルウェアのうちの所定数ｔ以上のマルウェアに、子番号を含めた同一の検知名が付与されている場合に、Ａ社のＡＶＳにより未検知のマルウェアに確度高くこの検知名を付与できるもの推定する。この場合に、付与部１５ｂは、この子番号を付与する詳細ラベルと決定する。ここで、所定数ｔは、例えば、全数に対する割合で表される。

図９に示す例では、所定数が５０％、抽出されたマルウェアの検知名が{Ａ．１，Ａ．２，ＮｏｔＤｅｔｅｃｔｅｄ，Ａ．１，Ａ．１，Ｂ．１，Ａ．１}であった場合に、浅い階層が同一すなわちマルウェアファミリ名Ａのマルウェアは５つである。そのうち、深い階層である子番号まで含めて同一の検知名（Ａ．１）のマルウェアは４つであり、５０％以上すなわち所定数ｔ以上を満たす。したがって、このＡ社のＡＶＳで未検知のマルウェアに対して、浅い階層から順にこの深い階層までの検知名（Ａ．１）の付与が決定されている。

一方、付与部１５ｂは、同一の粗いラベルを付与するマルウェアのうち、子番号を含めた同一の検知名が付与されているマルウェアが所定数ｔ未満の場合に、子番号までは推定できないものとして、付与する詳細ラベルは不明を意味する「＊」とする。

図９に示す例では、所定数が５０％、抽出されたマルウェアの検知名が{Ａ．１，Ａ．２，ＮｏｔＤｅｔｅｃｔｅｄ，Ａ．１，Ａ．３，Ｂ．１，Ａ．４}であった場合に、浅い階層が同一すなわちマルウェアファミリ名Ａのマルウェアは５つである。そのうち、深い階層である子番号まで含めて同一の検知名（Ａ．１）のマルウェアは２つであり、５０％未満である。したがって、したがって、このＡ社のＡＶＳで未検知のマルウェアに対して、浅い階層までの検知名（Ａ．＊）の付与が決定されている。

このようにして、付与部１５ｂは、所定のＡＶＳにより検知名が付与されていないマルウェアについて、他のＡＶＳにより同一の検知名が付与されている複数のマルウェアに対し、該所定のＡＶＳが付与した検知名を階層ごとに集計し、集計数が所定数以上の場合に、該階層までの検知名を用いて階層型のラベルを付与し、付与結果を付与結果情報１４ｃに格納する。

なお、上記の実施形態では、付与部１５ｂは、ＡＶＳによる検知名のみを用いて階層型のラベルを付与しているが、これに限定されない。例えば、付与部１５ｂは、さらに、マルウェアのマルウェアタイプを用いて階層型のラベルを付与してもよい。この場合には、図１０に例示するラベル階層情報１４ｂのラベルが付与される。すなわち、付与部１５ｂは、図１０に例示するように、マルウェアタイプを粗いラベルとし、マルウェアファミリ名を詳細ラベルとする階層型のラベルをマルウェアに付与する。

ここで、マルウェアタイプは感染による影響のタイプ等を示し、各社が公式ＨＰに開示している情報を用いればよい。検知名より大域的なマルウェアタイプを用いたラベルが付与されることにより、例えば、セキュリティ対策の現場において、知識が乏しいオペレータでも、階層型ラベルで分類されたマルウェアに対する適切な初期対策を迅速に行うことが可能となる。

例えば、図１０に示した例において、分類の結果、ラベル（Ｐｕｓｈｄｏ．１）が付与されたマルウェアについては、Ｐｕｓｈｄｏの挙動を調査する必要があり、対策を打つまでに時間を要する。これに対し、同じマルウェアにラベル（バックドア．Ｐｕｓｈｄｏ．１）が付与されれば、バックドア型のマルウェアの特徴を大まかに把握することにより、即座に初期対策をとり、その後Ｐｕｓｈｄｏを調査して詳細な分析や対策を行うことが可能になる。

そこで、図１１および図１２を参照して、マルウェアタイプを用いて階層型のラベルを付与する場合の付与部１５ｂの処理について説明する。まず、付与部１５ｂは、所定のＡＶＳにより付与された検知名とマルウェアタイプとを用いて、各マルウェアに階層型のラベルを付与する。

図１１に示す例では、付与部１５ｂは、基準とするＡ社について対応表１４ａの整形した階層型の検知名（Ａ．１）のマルウェアファミリ名Ａを詳細ラベルとする。また、付与部１５ｂは、Ａ社ＨＰを参照して取得した検知名に対応するマルウェアタイプ（Ｔｙｐｅ−Ｉ）を粗いラベルとする。これにより、このマルウェアに階層型のラベル（Ｔｙｐｅ−Ｉ．Ａ）が付与される。

また、付与部１５ｂは、Ａ社のＡＶＳにより未検知のマルウェアについて、まず、図７に例示した手順と同様に、所定数ｓ以上の他のＡＶＳでも未検知であれば、未検知を意味する階層型のラベル「ＮｏｔＤｅｔｅｃｔｅｄ．＊」を付与する。

また、付与部１５ｂは、図８に例示した手順と同様に、Ａ社のＡＶＳにより未検知かつ「ＮｏｔＤｅｔｅｃｔｅｄ．＊」が付与されていないマルウェアについて、Ａ社以外のＡＶＳで検知名が付与されている場合に、各社でこれと同一の検知名が付与されている他のマルウェアを抽出する。

次に、付与部１５ｂは、図１２に例示するように、抽出したマルウェアにＡ社が付与した検知名のうち「ＮｏｔＤｅｔｅｃｔｅｄ」以外の検知名について、マルウェアファミリ名を詳細ラベルに、対応するマルウェアタイプを粗いラベルに変換する。また、付与部１５ｂは、そのうち最も多いマルウェアタイプＴｙｐｅ−Ｉを、付与する粗いラベルと決定する。

また、付与部１５ｂは、同一の粗いラベルを付与するマルウェアのうちの所定数以上のマルウェアのマルウェアファミリ名が同一の場合に、Ａ社のＡＶＳにより未検知のマルウェアに確度高くこのマルウェアファミリ名を詳細ラベルとして付与できるもの推定する。図１２に示す例では、所定数ｔが５０％、抽出されたマルウェアの検知名から変換されたラベルが{Ｔｙｐｅ−Ｉ．Ａ，Ｔｙｐｅ−Ｉ．Ａ，Ｔｙｐｅ−Ｉ．Ａ，Ｔｙｐｅ−Ｉ．Ａ，Ｔｙｐｅ−II．Ｂ，Ｔｙｐｅ−Ｉ．Ｃ}であった場合に、（Ｔｙｐｅ−Ｉ．Ａ）の付与が決定されている。

一方、付与部１５ｂは、同一の粗いラベルを付与するマルウェアのうち、マルウェアファミリ名が同一のものが所定数ｔ未満の場合に、マルウェアファミリ名までは推定できないものとして、付与する詳細ラベルは不明を意味する「＊」とする。

また、上記実施形態では、２階層のラベルを付与しているが、３階層のラベルを付与することも可能である。例えば、同様の手順により、マルウェアタイプ、マルウェアファミリ名、子番号で構成される階層型ラベルを付与することも可能である。

［付与処理］
次に、図１３を参照して、本実施形態に係る付与装置１０による付与処理について説明する。図１３は、付与処理手順を示すフローチャートである。図１３のフローチャートは、例えば、付与処理の開始を指示する操作入力があったタイミングで開始される。

まず、取得部１５ａが、複数のＡＶＳにより付与されたマルウェアの階層型の検知名を取得して、マルウェアとＡＶＳの検知名との対応表１４ａを作成する（ステップＳ１）。

次に、付与部１５ｂが、基準となるＡＶＳを選定する（ステップＳ２）。また、付与部１５ｂが、対応表１４ａを参照し、マルウェアのハッシュ値を選択し（ステップＳ３）、基準となるＡＶＳで検知名が付いているか否かを確認する（ステップＳ４）。基準となるＡＶＳで検知名が付いている場合には（ステップＳ４，Ｙｅｓ）、付与部１５ｂは、基準のＡＶＳにより付与された検知名をそのまま用いてマルウェアに階層型のラベルを付与する（ステップＳ５）。また、付与部１５ｂは、ステップＳ１４に処理を進める。

一方、基準となるＡＶＳで検知名が付いていない場合には（ステップＳ４，Ｎｏ）、付与部１５ｂは、ＡＶＳのうち所定のｓ以上の割合で未検知であるか否かを確認する（ステップＳ６）。ｓ以上の割合で未検知の場合には（ステップＳ６，Ｙｅｓ）、付与部１５ｂは、階層型ラベル「ＮｏｔＤｅｔｅｃｔｅｄ．＊」を付与する（ステップＳ７）。また、付与部１５ｂは、ステップＳ１４に処理を進める。

一方、ｓ未満の割合で未検知の場合には（ステップＳ６，Ｎｏ）、付与部１５ｂは、基準のＡＶＳで未検知のマルウェアを検知した他の各ＡＶＳについて、同一の検知名をもつマルウェアの、基準となるＡＶＳにおける検知名を全て列挙する（ステップＳ８）。また、付与部１５ｂは、列挙した検知名の粗いラベルのうち最も多いものを、マルウェアに付与する粗いラベルとする（ステップＳ９）。

次に、付与部１５ｂは、列挙した検知名のうち、付与した粗いラベルと同一の粗いラベルをもつ検知名を抽出する（ステップＳ１０）。また、付与部１５ｂは、抽出した検知名のうち、所定のｔ以上の割合で同一の詳細ラベルをもつか否かを確認する（ステップＳ１１）。

ｔ以上の割合で同一の詳細ラベルをもつ場合には（ステップＳ１１，Ｙｅｓ）、同一の詳細ラベルをマルウェアに付与する詳細ラベルとして（ステップＳ１２）、ステップＳ１４に処理を進める。一方、同一の詳細ラベルをもつ割合がｔ未満の場合には（ステップＳ１１，Ｎｏ）、マルウェアに付与する詳細ラベルを「＊」として（ステップＳ１３）、ステップＳ１４に処理を進める。

ステップＳ１４の処理では、付与部１５ｂは、全てのハッシュ値について調査したか否かを確認する。全てのハッシュ値について調査していない場合には（ステップＳ１４，Ｎｏ）、付与部１５ｂは、次のマルウェアのハッシュ値を選択して（ステップＳ１５）、ステップＳ４に処理を戻す。一方、全てのハッシュ値について調査した場合には（ステップＳ１４，Ｙｅｓ）、付与部１５ｂは、一連の付与処理を終了させる。

以上、説明したように、本実施形態の付与装置１０において、取得部１５ａが、複数のＡＶＳにより付与されたマルウェアの階層型の検知名を取得する。また、付与部１５ｂは、取得部１５ａにより取得された検知名のうち、所定のＡＶＳにより検知名が付与されているマルウェアについては、該検知名を用いてマルウェアに階層型のラベルを付与する。また、付与部１５ｂは、該所定のＡＶＳにより検知名が付与されていないマルウェアについては、他のＡＶＳにより同一の検知名が付与されている複数のマルウェアを特定し、特定した複数のマルウェアに対して該所定のＡＶＳが付与した検知名を階層ごとに集計し、集計数が所定数以上の場合に、浅い階層から順に該所定数以上の階層までの検知名を用いて階層型のラベルをマルウェアに付与する。

これにより、基準のＡＶＳによる検知名を用いてマルウェアに階層型のラベルを付与することができる。また、基準のＡＶＳで未検知のマルウェアに、他のＡＶＳで検知状況に応じた確度を反映した階層型のラベルを付与することができる。このように、本実施形態の付与装置１０によれば、未検知のマルウェアのラベルを容易に推定して付与することが可能となる。

また、図１４を参照して、付与装置１０の活用例について説明する。図１４に示すように、付与装置１０は、virustotal等を参照して、マルウェアについての各社のＡＶＳの階層型の検知名をリスト化して対応表１４ａを生成し、これを用いてマルウェアに付与する階層型のラベルを算出する。また、付与装置１０は、マルウェアと算出した階層型のラベルとの対応表である付与結果情報１４ｃと、付与したラベルの階層構造を示すラベル階層情報１４ｂとを管理する。

そして、付与装置１０は、分類対象のマルウェアのハッシュ値{ＩＤ}が入力された場合に、付与結果情報１４ｃを参照し、当該マルウェアに（Ｘ．Ｙ）または（Ｘ．＊）等の階層型のラベルを付与して出力する。例えば、{ＩＤ，（Ｘ．Ｙ）}または{ＩＤ，（Ｘ．＊）}等の形式で出力される。

ここで付与装置１０が出力したデータは、階層構造の深層学習器に対する教師データとして活用される。例えば、マルウェアのｐｒｏｘｙログ等の通信ログを用いて、マルウェアの通信ログの特徴ベクトルと階層型のラベルとの組み合わせからなる教師データを深層学習器に入力する。階層構造の深層学習器は、階層型ラベルつき教師データの階層の数に応じて深層分類器を生成して結合させる。このような階層構造の深層学習器は、階層型ラベルの学習を行って、最も階層の深い詳細ラベルの分類を行う。これにより、新しく悪性と疑わしい通信が観測された場合に、生成された深層分類器を用いて、通信ログがどのようなマルウェアの特徴をもつかを判定することが可能となる。

［プログラム］
上記実施形態に係る付与装置１０が実行する処理をコンピュータが実行可能な言語で記述したプログラムを作成することもできる。一実施形態として、付与装置１０は、パッケージソフトウェアやオンラインソフトウェアとして上記の付与処理を実行する付与プログラムを所望のコンピュータにインストールさせることによって実装できる。例えば、上記の付与プログラムを情報処理装置に実行させることにより、情報処理装置を付与装置１０として機能させることができる。ここで言う情報処理装置には、デスクトップ型またはノート型のパーソナルコンピュータが含まれる。また、その他にも、情報処理装置にはスマートフォン、携帯電話機やＰＨＳ（Personal Handyphone System）などの移動体通信端末、さらには、ＰＤＡ（Personal Digital Assistants）などのスレート端末などがその範疇に含まれる。

また、付与装置１０は、ユーザが使用する端末装置をクライアントとし、当該クライアントに上記の付与処理に関するサービスを提供するサーバ装置として実装することもできる。例えば、付与装置１０は、マルウェアを入力とし、階層型のラベルを出力する付与処理サービスを提供するサーバ装置として実装される。この場合、付与装置１０は、Ｗｅｂサーバとして実装することとしてもよいし、アウトソーシングによって上記の付与処理に関するサービスを提供するクラウドとして実装することとしてもかまわない。以下に、付与装置１０と同様の機能を実現する付与プログラムを実行するコンピュータの一例を説明する。

図１５は、付与プログラムを実行するコンピュータの一例を示す図である。コンピュータ１０００は、例えば、メモリ１０１０と、ＣＰＵ１０２０と、ハードディスクドライブインタフェース１０３０と、ディスクドライブインタフェース１０４０と、シリアルポートインタフェース１０５０と、ビデオアダプタ１０６０と、ネットワークインタフェース１０７０とを有する。これらの各部は、バス１０８０によって接続される。

メモリ１０１０は、ＲＯＭ（Read Only Memory）１０１１およびＲＡＭ１０１２を含む。ＲＯＭ１０１１は、例えば、ＢＩＯＳ（Basic Input Output System）等のブートプログラムを記憶する。ハードディスクドライブインタフェース１０３０は、ハードディスクドライブ１０３１に接続される。ディスクドライブインタフェース１０４０は、ディスクドライブ１０４１に接続される。ディスクドライブ１０４１には、例えば、磁気ディスクや光ディスク等の着脱可能な記憶媒体が挿入される。シリアルポートインタフェース１０５０には、例えば、マウス１０５１およびキーボード１０５２が接続される。ビデオアダプタ１０６０には、例えば、ディスプレイ１０６１が接続される。

ここで、ハードディスクドライブ１０３１は、例えば、ＯＳ１０９１、アプリケーションプログラム１０９２、プログラムモジュール１０９３およびプログラムデータ１０９４を記憶する。上記実施形態で説明した各テーブルは、例えばハードディスクドライブ１０３１やメモリ１０１０に記憶される。

また、付与プログラムは、例えば、コンピュータ１０００によって実行される指令が記述されたプログラムモジュール１０９３として、ハードディスクドライブ１０３１に記憶される。具体的には、上記実施形態で説明した付与装置１０が実行する各処理が記述されたプログラムモジュール１０９３が、ハードディスクドライブ１０３１に記憶される。

また、付与プログラムによる情報処理に用いられるデータは、プログラムデータ１０９４として、例えば、ハードディスクドライブ１０３１に記憶される。そして、ＣＰＵ１０２０が、ハードディスクドライブ１０３１に記憶されたプログラムモジュール１０９３やプログラムデータ１０９４を必要に応じてＲＡＭ１０１２に読み出して、上述した各手順を実行する。

なお、付与プログラムに係るプログラムモジュール１０９３やプログラムデータ１０９４は、ハードディスクドライブ１０３１に記憶される場合に限られず、例えば、着脱可能な記憶媒体に記憶されて、ディスクドライブ１０４１等を介してＣＰＵ１０２０によって読み出されてもよい。あるいは、付与プログラムに係るプログラムモジュール１０９３やプログラムデータ１０９４は、ＬＡＮやＷＡＮ（Wide Area Network）等のネットワークを介して接続された他のコンピュータに記憶され、ネットワークインタフェース１０７０を介してＣＰＵ１０２０によって読み出されてもよい。

以上、本発明者によってなされた発明を適用した実施形態について説明したが、本実施形態による本発明の開示の一部をなす記述および図面により本発明は限定されることはない。すなわち、本実施形態に基づいて当業者等によりなされる他の実施形態、実施例および運用技術等は全て本発明の範疇に含まれる。

１０付与装置
１１入力部
１２出力部
１３通信制御部
１４記憶部
１４ａ対応表
１４ｂラベル階層情報
１４ｃ付与結果情報
１５制御部
１５ａ取得部
１５ｂ付与部

Claims

複数のアンチウイルスソフトにより付与されたマルウェアの階層型の検知名を取得する取得部と、
前記取得部により取得された検知名のうち、所定のアンチウイルスソフトにより検知名が付与されているマルウェアについては、該検知名を用いてマルウェアに階層型のラベルを付与し、該所定のアンチウイルスソフトにより検知名が付与されていないマルウェアについては、他のアンチウイルスソフトにより同一の検知名が付与されている複数のマルウェアを特定し、特定した複数のマルウェアに対して該所定のアンチウイルスソフトが付与した検知名を階層ごとに集計し、集計数が所定数以上の場合に、浅い階層から順に該所定数以上の階層までの検知名を用いて階層型のラベルをマルウェアに付与する付与部と、
を備えることを特徴とする付与装置。
前記所定のアンチウイルスソフトは、前記複数のアンチウイルスソフトのうち、マルウェアの未検知の割合が最も低いもの、または、マルウェアの検知の精度が最も高いものであることを特徴とする請求項１に記載の付与装置。
前記付与部は、さらに、マルウェアのマルウェアタイプを用いて前記階層型のラベルを付与することを特徴とする請求項１または２に記載の付与装置。
付与装置で実行される付与方法であって、
複数のアンチウイルスソフトにより付与されたマルウェアの階層型の検知名を取得する取得工程と、
前記取得工程において取得された検知名のうち、所定のアンチウイルスソフトにより検知名が付与されているマルウェアについては、該検知名を用いてマルウェアに階層型のラベルを付与し、該所定のアンチウイルスソフトにより検知名が付与されていないマルウェアについては、他のアンチウイルスソフトにより同一の検知名が付与されている複数のマルウェアを特定し、特定した複数のマルウェアに対して該所定のアンチウイルスソフトが付与した検知名を階層ごとに集計し、集計数が所定数以上の場合に、浅い階層から順に該所定数以上の階層までの検知名を用いて階層型のラベルをマルウェアに付与する付与工程と、
を含んだことを特徴とする付与方法。
複数のアンチウイルスソフトにより付与されたマルウェアの階層型の検知名を取得する取得ステップと、
前記取得ステップにおいて取得された検知名のうち、所定のアンチウイルスソフトにより検知名が付与されているマルウェアについては、該検知名を用いてマルウェアに階層型のラベルを付与し、該所定のアンチウイルスソフトにより検知名が付与されていないマルウェアについては、他のアンチウイルスソフトにより同一の検知名が付与されている複数のマルウェアを特定し、特定した複数のマルウェアに対して該所定のアンチウイルスソフトが付与した検知名を階層ごとに集計し、集計数が所定数以上の場合に、浅い階層から順に該所定数以上の階層までの検知名を用いて階層型のラベルをマルウェアに付与する付与ステップと、
をコンピュータに実行させることを特徴とする付与プログラム。