JP2023050380A - 脆弱性診断装置 - Google Patents

Abstract

【課題】ファイルの脆弱性を診断する。【解決手段】ファイルを処理するためのアプリケーションと、少なくともファイルを識別する情報及びファイルを処理するために当該ファイルにアクセスした時刻を記憶するファイル情報記憶部と、ファイルを処理する際に不正な命令の実行を中止させる不正命令実行中止部と、不正な命令の実行を中止させた時刻を記録する不正命令実行記録部と、ファイルにアクセスした時刻及びファイルを処理する際に不正な命令の実行を中止させた時刻に基づいて、ファイルの脆弱性を診断する脆弱性診断部と、を備え、アプリケーションの実行によりプロセスを生成するとともに、当該生成されたプロセスから必要に応じて子プロセスを生成し、アプリケーションを実行したユーザーの権限を子プロセスに継承し、継承された権限に基づいて子プロセスによる不正な命令の生成を監視し、当該不正な命令の実行を実行前に中止させる。【選択図】図６

Description

本発明は、ファイル処理時の脆弱性を診断する技術に関する。

近年、インターネットを利用して情報を送受信するのが一般的となっているが、悪意を持ったユーザによって情報を格納したファイルにマルウェア等の悪意のある不正プログラムが含まれている場合がある。この不正プログラムが実行されることにより、外部への情報漏えいやシステムダウンを引き起こすおそれがある。このような不正プログラムの対策として、ファイルのパターンを検知する技術が知られており、既知の不正プログラムを検出し、除去するなどして被害が発生することを防止していた。

一方、ファイルのパターンを検知する技術は、未知の不正プログラムを検出することは困難であるため、不正な動作が実行されても外部に影響を及ぼさない隔離された環境（サンドボックス）を構築し、当該環境下で実際に不正プログラムの可能性があるファイルを実行させることにより不正プログラムを安全に検出する技術が提案されている（例えば、特許文献１及び特許文献２参照）。

特開２０１９－１５２９１２号公報 特開２０１９－１６９１２１号公報

しかし、特許文献１及び特許文献２に開示された技術では、不正プログラムを安全に検出できる一方、不正な動作を所定期間実行せずにやり過ごすことなどにより、実際に不正な動作を実行するタイミングを遅らせることなどにより、不正プログラムの検知が避けられてしまう可能性があった。

そこで、本発明の目的は、未知の不正プログラムを含むファイルの脆弱性を診断可能とする技術を提供することである。

本発明の代表的な実施形態では、ファイルの脆弱性を診断する脆弱性診断装置において、前記ファイルを処理するためのアプリケーションと、少なくとも前記ファイルを識別する情報及び当該ファイルを処理するために当該ファイルにアクセスした時刻を記憶するファイル情報記憶部と、前記ファイルを処理する際に前記アプリケーションにより不正な命令が実行されることを中止させる不正命令実行中止部と、前記不正な命令の実行を中止させた時刻を記録する不正命令実行記録部と、前記ファイルにアクセスした時刻、及び、当該ファイルを処理する際に前記不正な命令の実行を中止させた時刻に基づいて、前記ファイルの脆弱性を診断する脆弱性診断部と、を備え、前記アプリケーションの実行によりプロセスを生成するとともに、当該生成されたプロセスから必要に応じて子プロセスを生成し、前記アプリケーションを実行したユーザーの権限を前記子プロセスに継承し、前記継承された権限に基づいて、前記子プロセスによる前記不正な命令の生成を監視し、当該不正な命令の実行を実行前に中止させる。

本発明の一形態によれば、未知の不正プログラムの実行を阻止し、ファイルの脆弱性を診断することができる。

本発明の第１実施形態におけるＷｅｂサイトの脆弱性を診断する脆弱性診断装置の構成の一例を示す図である。 本発明の第１実施形態のサイト情報記憶部（サイト情報テーブル）の構成の一例を示す図である。 本発明の第１実施形態のシステムログの構成の一例を示す図である。 本発明の第１実施形態のアプリケーションログの構成の一例を示す図である。 本発明の第１実施形態の診断結果記憶部の構成の一例を示す図である。 本発明の第１実施形態の指定されたＷｅｂサイトの脆弱性を脆弱性診断装置によって診断する手順を説明する図である。 本発明の第１実施形態の脆弱性診断装置によってＷｅｂサイトの脆弱性を診断した結果の出力例を示す図である。 本発明の第２実施形態におけるファイルの脆弱性を診断する脆弱性診断装置（プロキシサーバー）の構成の一例を示す図である。 本発明の第２実施の脆弱性診断装置（プロキシサーバー）によってキャッシュされたファイルの脆弱性を診断する手順を説明する図である。 本発明の第３実施形態におけるメールに添付されたファイルの脆弱性を診断する脆弱性診断装置（メールサーバー）の構成の一例を示す図である。 本発明の第３実施形態の脆弱性診断装置（メールサーバー）によってメールに添付されたファイルの脆弱性を診断する手順を説明する図である。 本発明の第３実施形態の脆弱性診断装置（メールサーバー）によって脆弱性が診断されたファイルが添付されたメールの一例を示す図である。 本発明の第３実施形態の脆弱性診断装置（メールサーバー）によって脆弱性が診断されたファイルが添付されたメールに追加されるヘッダ情報の一例を示す図である。 本発明の第３実施形態の脆弱性診断装置（メールサーバー）によって脆弱性が診断されたメールから診断結果を通知する機能の一例を示す図である。

本実施形態では、判定対象のファイルに含まれた悪意のあるプログラム等（マルウェア）による不正な命令の生成を検知する機能によって脆弱性を診断する装置（システム）について説明する。脆弱性診断装置１０は、プロセッサ１１がプログラムを処理する際に実行される命令を監視する機能を有している。この機能は、アプリケーションによってファイルを処理する際に生成・実行される命令を監視し、不正な命令が生成されたことを検出し、実行前にその不正命令の実行を中止させることによって悪意のあるプログラム等（マルウェア）の実行を阻止する。このとき、プログラムの実行タイミングと不正命令を検知したタイミングとを比較することによって悪意のあるプログラム等（マルウェア）を含むファイルを特定する。以下、図面を参照しながら本願発明の具体的な内容について説明する。

（第１実施形態）
本実施形態では、Ｗｅｂサイトの脆弱性を診断する脆弱性診断装置１０について説明する。脆弱性診断装置１０は、指定されたＷｅｂサイトから参照される各ファイルに悪意のあるプログラム等（マルウェア）が含まれているか否かを判定し、当該Ｗｅｂサイトの脆弱性を診断する装置である。

まず、Ｗｅｂサイトの脆弱性を診断する手順の概要について説明する。脆弱性診断装置１０は、管理端末２０から脆弱性を診断するＷｅｂサイトの指定を受け付けると、インターネットを介して指定されたサイトを構成するファイルを取得する。脆弱性診断装置１０では取得したファイルをアプリケーションによって処理する。このとき、ファイルを処理するための各種命令の生成及び実行を命令実行監視部１４０によって監視し、不正な命令が生成された場合には実行前にその実行を中止させ、処理したファイルに悪意のあるプログラム等（マルウェア）が含まれていると判定する。診断結果は診断結果記憶部２４０に記憶し、診断結果出力部１６０によって出力される。

次に、脆弱性診断装置１０のハードウェア構成について説明する。図１は、本発明の第１実施形態におけるＷｅｂサイトの脆弱性を判定する脆弱性診断装置１０の構成の一例を示す図である。脆弱性診断装置１０は、各種演算を行うプロセッサ１１、ネットワークに接続するネットワークインターフェース１２、プログラムやデータを一時的に記憶するメモリ１３、及び、プログラムやデータを記憶する不揮発性記憶媒体である記憶装置１４を備える。脆弱性診断装置１０は、一般的な計算機であってもよく、必ずしも専用の装置である必要はない。

脆弱性診断装置１０は、記憶装置１４などに記憶されたプログラムをメモリ１３に読み出し、プロセッサ１１によって当該プログラムを実行する。プロセッサ１１は、プログラム実行時にメモリ１３に記憶されたデータを処理し、処理（演算）結果をメモリ１３に書き出す。プロセッサ１１は、メモリ１３に記憶されているデータを必要に応じて記憶装置１４に読み書きする。

ネットワークインターフェース１２は、ネットワークに接続し、ルーター等を介してインターネットに接続する。本実施形態では、ネットワークを介して管理端末２０が脆弱性診断装置１０に接続される。管理端末２０は、脆弱性診断装置１０に診断対象のＷｅｂサイトのＵＲＬを指定したり、診断を実行するために必要な設定を行ったりする。なお、管理端末２０から設定等を行うのではなく、脆弱性診断装置１０に備えられた入力装置から直接情報の入力や各種設定を行うようにしてもよい。

次に、本実施形態の脆弱性診断装置１０によりＷｅｂサイトの脆弱性を診断するためのソフトウェア（プログラム）やデータについて説明する。脆弱性診断装置１０のメモリ１３は、Ｗｅｂサイトの脆弱性を診断するためのソフトウェア（プログラム）として、サイト情報取得部１３０、命令実行監視部１４０、脆弱性診断部１５０、及び、診断結果出力部１６０を備える。また、記憶装置１４は、各種データを記憶する記憶領域として、サイト情報記憶部（サイト情報テーブル）２１０、システムログ２２０、アプリケーションログ２３０及び診断結果記憶部（診断結果テーブル）２４０を提供する。

オペレーティングシステム１１０は、脆弱性診断装置１０を管理及び制御するためのソフトウェアである。オペレーティングシステム１１０は、例えば、Ｗｉｎｄｏｗｓ（登録商標）である。アプリケーション１２０は、オペレーティングシステム１１０を介してハードウェアにアクセスし、各種機能を提供する。アプリケーション１２０は、脆弱性の診断対象となるＷｅｂサイトから提供されるファイルを処理するためのプログラムである。ファイルと当該ファイルを処理するためのアプリケーション１２０は、オペレーティングシステム１１０であらかじめ設定されている。

サイト情報取得部１３０は、指定されたＷｅｂサイトの情報や提供されるファイルを取得する。サイト情報取得部１３０は、サイト構成情報取得部１３１及びファイル取得部１３２を含む。サイト構成情報取得部１３１は、指定されたＷｅｂサイトの構成（サイトマップ）及びＷｅｂページやファイルの更新日時などの情報を取得し、各種情報をサイト情報記憶部２１０に格納する。ファイル取得部１３２は、指定されたＷｅｂサイトを構成するＷｅｂページから参照可能なファイルを取得する。

命令実行監視部１４０は、ファイル取得部１３２によって取得されたファイルをアプリケーション１２０によって処理し、不正な命令の生成を検出するとともに当該不正命令の実行を実行前に中止させ、ログ情報をシステムログ２２０やアプリケーションログ２３０に記録する。命令実行監視部１４０は、不正命令実行中止部１４１及び不正命令実行記録部１４２を含む。

不正命令実行中止部１４１は、システムに害を与えるなどの不正な動作が行われる際に実行される命令（不正命令）の生成を検出し、当該命令の実行を実行前に中止させる。不正な動作は、例えば、システム領域に配置された設定ファイルを書き換える動作、権限のない領域に格納されたデータを読み書きする動作、実行中の他のアプリケーションのメモリ領域を書き換える動作などである。また、不正な動作であるか否かの判定は命令の種類だけでなく、当該命令を実行するアプリケーションにより実行の可否が決定される。不正命令は、単一の命令であってもよいし、複数の命令のセットであってもよい。命令実行監視部１４０は、脆弱性診断時に実行するようにしてもよいし、脆弱性診断装置１０の起動時からメモリ内に常駐させてもよい。

ここで、「不正命令」の実行を中止させる手段について説明する。前述のように、「不正命令」とは、オペレーティングシステム１１０がユーザー（管理者を含まない）に与えた権限を逸脱した命令のことである。メールソフトや文書作成ソフトなどの汎用アプリケーションでは、本来このような命令を実行することはユーザーには許可されていない（管理者としての実行権限がない）が、アプリケーションにより生成されたプロセスから間接的に不正な命令が実行される可能性がある。

具体的に説明すると、アプリケーションが実行されると、まず、当該アプリケーションに対応するプロセスを生成し、さらに、生成されたプロセスから必要に応じて子プロセス及び孫プロセスを生成する。そして、各プロセス（タスク）が対応する処理を実行することによりアプリケーションで指定された処理を完結させる。このとき、子プロセスや孫プロセスにおける処理でマルウェアをメモリやレジストリに潜ませ、スクリプトやバッチファイルからコマンドラインインターフェイスによって不正な命令が実行されてしまうおそれがある。

汎用アプリケーションの実行には、実行したユーザーの権限又はアプリケーションの権限などから、システム領域への書き込みやレジストリに対するアクセス及び操作などを行うことが制限されている。しかしながら、アプリケーションの実行により生成された子プロセスや孫プロセスでは実行したユーザーの権限が適用されないといった脆弱性が発生する場合がある。また、コマンドラインインターフェイスから実行されるプログラムでは、システムの設定等を可能とする必要があることから、システム領域へのアクセスやレジストリ操作などを許可する（管理者権限を利用して実行権限を制限しない）必要がある。そのため、子プロセスや孫プロセスでコマンドラインインターフェイスからプログラムが実行されると、正当なスクリプトと不正なスクリプトを区別できず、不正な命令が実行されるおそれがある。例えば、文書ファイルに内在させたマクロを子（孫）プロセスで実行することによりコマンドラインインターフェイスから不正な命令を含むプログラムを実行し、マルウェアに感染させたり、マルウェアを実行させたりする可能性がある。

そこで、本実施形態の脆弱性診断装置１０は、アプリケーション実行時に生成された子プロセス及び孫プロセスにアプリケーションの実行権限の継承を監視する。これにより、実行されたアプリケーションに対する権限が各プロセスに対して適切な実行権限であるか否かを監視することが可能となり、アプリケーションからコマンドラインインターフェイスを起動させる命令をユーザ権限から管理者権限への不正継承と判断してその実行を制限することができる。そして、継承させた実行権限に基づく命令の生成をカーネルレベルで監視することにより、マルウェアの実行や感染を阻止する。

不正命令実行記録部１４２は、生成された命令を不正命令として検出した場合（不正命令の実行を中止させた場合）に検出した時刻等をシステムログ２２０に記録する。システムログ２２０は、脆弱性診断専用のテーブル（データベース）であってもよいし、オペレーティングシステム１１０によって管理されるイベントログと兼用であってもよい。アプリケーションログ２３０への記録は、システムログ２２０を更新したタイミングで行ってもよいし、脆弱性診断部１５０を実行する際にシステムログ２２０の内容を反映させるようにしてもよい。

脆弱性診断部１５０は、アプリケーションログ２３０に記憶されたアプリケーション１２０による不正命令の実行情報に基づいて、診断対象のファイルの脆弱性を診断する。さらに、脆弱性の診断結果を診断結果記憶部２４０に記憶する、

また、脆弱性診断部１５０には、ファイル比較部１５１が含まれている。ファイル比較部１５１は、指定されたＷｅｂサイトを構成するＷｅｂページや当該Ｗｅｂページから提供されるファイルに関する情報を前回診断時にファイルが取得された際の情報と比較する。これにより、Ｗｅｂサイトを構成するページや提供されるファイルが更新されたか否か判定することが可能となる。更新されていないページやファイルについては診断を省略して脆弱性診断に要する時間を短縮するようにしてもよい。ファイル比較部１５１は、サイト情報取得部１３０によりＷｅｂサイトの構成情報や診断対象のファイルの情報が取得される際に実行される。

診断結果出力部１６０は、診断結果記憶部２４０から脆弱性を診断した結果を取得し、出力する。診断結果は表示装置（図示せず）に表示してもよいし、メールなどによって管理者に送信するようにしてもよい。

続いて、本実施形態の脆弱性診断装置１０によって脆弱性を診断するために使用されるデータ及び診断結果を格納するテーブル（データベース）について説明する。これらのデータは記憶装置１４に格納される。

記憶装置１４は、前述のように、各種データを記憶する記憶領域としてとして、サイト情報記憶部２１０、システムログ２２０、アプリケーションログ２３０及び診断結果記憶部２４０を提供する。以下、各情報について説明する。

サイト情報記憶部２１０は、脆弱性の診断対象のＷｅｂサイトに関する情報（サイト情報）が記憶される。サイト情報は、サイト情報取得部１３０によって収集される。サイト情報には、Ｗｅｂサイトの構成を示すサイトマップとＷｅｂページのサイズ及び更新日時などが含まれる。なお、Ｗｅｂページそのものを保持せずにＵＲＬを記憶する。さらに、各Ｗｅｂページから参照（提供）されるファイルのＵＲＬやサイズ、更新日時を保持する。以下、サイト情報記憶部２１０の一例を図２に示す。

図２は、本発明の第１実施形態のサイト情報記憶部（サイト情報テーブル）２１０の構成の一例を示す図である。サイト情報記憶部２１０は、前述のように、指定されたＷｅｂサイトの構成情報（サイトマップ）とページ（ファイル）の情報を格納する。各レコードは、脆弱性を診断する対象となるファイルに対応する。これらのファイルは、不正プログラムを実行可能なファイル（例えば、画像ファイルや文書ファイルなど）に限定してもよいし、スクリプトなどの含まれていないテキストファイルを含めるようにしてよい。テキストファイルのような不正プログラムを実行される可能性の少ないファイルについても改ざん等の可能性を判定することでＷｅｂサイトに対する不正なアクセスを判定する要素の一つとなりうる。

サイト情報記憶部２１０は、ＵＲＬ２１１、Ｐａｇｅ２１２、ＦｉｌｅＮａｍｅ２１３、ＦｉｌｅＴｙｐｅ２１４ａ、Ｓｉｚｅ２１４ｂ、Ｕｐｄａｔｅ２１４ｃ、Ｔｅｘｔ２１５、Ｓｅｒｖｅｒ２１６、ＡｃｃｅｓｓＴｉｍｅ１（２１７）、ＡｃｃｅｓｓＴｉｍｅ２（２１８）、Ｓｔａｔｕｓ２１９を含む。

ＵＲＬ２１１は、診断対象のファイル（ページ）のＵＲＬである。Ｐａｇｅ２１２は、診断対象のファイル（ページ）の名称である。ＦｉｌｅＮａｍｅ２１３は、診断対象のファイルのファイル名である。ＦｉｌｅＴｙｐｅ２１４ａは、診断対象のファイルの種類である。例えば、画像ファイルの種類（“ｇｉｆ”、“ｊｐｇ”等）や文書ファイルの種類（“ｐｄｆ”、“ｄｏｃ”等）が格納される。Ｓｉｚｅ２１４ｂは、診断対象のファイルのファイルサイズである。Ｕｐｄａｔｅ２１４ｃは、診断対象のファイルの更新日時である。Ｓｉｚｅ２１４ｂ及びＵｐｄａｔｅ２１４ｃを比較することによりファイルが改ざんされた可能性を判定することができる。

Ｔｅｘｔ２１５は、診断対象のファイル（ページ）のテキストコンテンツの内容である。Ｓｅｒｖｅｒ２１６は、診断対象のファイル（ページ、コンテンツ）が保存されているサーバーのＩＰアドレスである。診断対象のファイルが外部サーバーに格納されている場合には外部サーバーのＩＰアドレスが格納される。

ＡｃｃｅｓｓＴｉｍｅ１（２１７）は、診断対象のファイル（ページ、コンテンツ）にアクセスした日付及び時刻であり、診断時の日時が格納される。ＡｃｃｅｓｓＴｉｍｅ２（２１８）は、診断対象のファイル（ページ、コンテンツ）にアクセスした日付及び時刻であり、前回診断時の日時が格納される。なお、本実施形態では、前回診断時のアクセス日時のみを保持しているが、前々回診断時のアクセス日時をさらに保持するようにしてもよいし、別テーブルに履歴情報として保持するようにしてもよい。

Ｓｔａｔｕｓ２１９は、診断対象のｗｅｂサイトのファイル（コンテンツ）の脆弱性診断結果を示す。設定される値は、診断結果に問題がない場合には“ＯＫ”、不正プログラムが実行される可能性が疑われる場合には“ＮＧ”となる。なお、前回診断時とファイルのサイズや更新日時が異なっており、改ざんの可能性があると判定される場合にはその他の値を設定するようにしてもよい。また、実際に格納される値は“ＯＫ”の場合は“１”、“ＮＧ”の場合は“０”、その他の場合には“２”とするようにしてもよい。

なお、サイト情報記憶部２１０に格納されるレコードは、指定されたＷｅｂサイトに保存されているファイルであるが、Ｗｅｂサイトを構成する各ページ（ファイル）から直接参照される画像ファイルや文書ファイルなどの不正プログラムを実行可能なファイルを含めてもよい。

また、本実施形態の脆弱性診断装置１０は、同時に診断可能なＷｅｂサイトは単一となるが、連続して複数のＷｅｂサイトの脆弱性を診断することができる。そのため、サイト情報記憶部２１０には、複数Ｗｅｂサイトのサイト情報が格納されるため、上記した項目の他に脆弱性診断時に指定されたＷｅｂサイトのＵＲＬを保持するようにしてもよい。これにより、診断対象のＷｅｂサイトから参照されるファイルの特定を容易にし、脆弱性診断や診断結果の集計を効率化することができる。

システムログ２２０は、脆弱性診断装置１０でプログラム（アプリケーション）が実行された際にオペレーティングシステム１１０によって自動的に記録される。また、システムログ２２０は、プログラムが正常に実行された場合以外にも、プログラムが正常に実行されなかった場合に警告情報やエラー情報なども記録される。本実施形態では、命令実行監視部１４０により不正な命令の生成を検知し、当該不正な命令の実行が実行前に中止された場合には、エラー情報としてシステムログ２２０に記録される。以下、システムログ２２０の一例を図３に示す。

図３は、本発明の第１実施形態のシステムログ２２０の構成の一例を示す図である。本実施形態のシステムログ２２０の各レコードは、図３に示すように、ＸＭＬ形式で記録され、テーブル形式に変換される。上段はＸＭＬ形式で示した１レコード分のデータであり、下段はテーブル形式で示すものである。

システムログ２２０は、Ｌｅｖｅｌ２２１、Ｔｉｍｅ２２２、Ｓｏｕｒｃｅ２２３、ＥｖｅｎｔＩＤ２２４、ＥｖｅｎｔＤａｔａ１～ＥｖｅｎｔＤａｔａ５（２２５～２２９）を含む。

Ｌｅｖｅｌ２２１は、プログラムの実行情報を示し、本実施形態では“１”～“４”の値が設定される。Ｌｅｖｅｌ２２１の値が“１”の場合には、正常に実行されたことを示す。一方、エラーが発生した場合には“３”が設定される。その他、プログラムの実行によりオペレーティングシステム１１０が停止する可能性がある場合などには“４”、エラーとは判断できないが正常ではない可能性がある場合などに“２”が設定される。

Ｔｉｍｅ２２２は、当該レコードが記録された日時である。Ｓｏｕｒｃｅ２２３は、当該レコードが記録される元となったプログラム等である。ＥｖｅｎｔＩＤ２２４は、プログラムの実行によるイベントを識別する情報である。例えば、オペレーティングシステム１１０の起動や停止、エラーの発生などが対応する。

ＥｖｅｎｔＤａｔａ１～ＥｖｅｎｔＤａｔａ５（２２５～２２９）は、当該レコードが記録される元となったプログラムに関連するデータである。具体的には、関連して実行されたプログラムの識別情報やパラメータ、参照されたデータなどである。

本実施形態の命令実行監視部１４０は、プログラム“ＳｙｓＰｒｏｔｅｃｔ”に対応しており、不正な命令が生成され、実行が中止された場合には、ＥｖｅｎｔＩＤ２２４は“１８”が設定される。

アプリケーションログ２３０は、システムログ２２０に記憶されたログ情報のうち脆弱性の診断に必要な情報を抽出したものである。具体的には、不正な命令が生成され、中止させられたことを記録するプログラム“ＳｙｓＰｒｏｔｅｃｔ”がＳｏｕｒｃｅ２２３に設定されているレコードを抽出する。アプリケーションログ２３０の具体例については図４にて説明する。

図４は、本発明の第１実施形態のアプリケーションログ２３０の構成の一例を示す図である。アプリケーションログ２３０は、ＳｙｓｔｅｍＴｉｍｅ２３１、Ｌｅｖｅｌ２３２、Ｓｏｕｒｃｅ２３３、ＥｖｅｎｔＩＤ２３４、ＥｖｅｎｔＤａｔａ１～ＥｖｅｎｔＤａｔａ５（２３５～２３９）を含む。アプリケーションログ２３０のＳｙｓｔｅｍＴｉｍｅ２３１、Ｌｅｖｅｌ２３２、Ｓｏｕｒｃｅ２３３、ＥｖｅｎｔＩＤ２３４、ＥｖｅｎｔＤａｔａ１～ＥｖｅｎｔＤａｔａ５（２３５～２３９）は、システムログ２２０のＴｉｍｅ２２２、Ｌｅｖｅｌ２２１、Ｓｏｕｒｃｅ２２３、ＥｖｅｎｔＩＤ２２４、ＥｖｅｎｔＤａｔａ１～ＥｖｅｎｔＤａｔａ５（２２５～２２９）に対応する。各項目の内容については、システムログ２２０の各項目と同様である。

アプリケーションの実行により生成されたプロセスにより各種命令を実行する場合、コンピュータの基本原理として、「命令の生成」「命令の実行準備」「命令の実行」といった手順に従い、その後「命令の消滅」を経て命令の実行が完了する。命令（タスク）を実行しようとすると当該プロセスの実行権限に基づいて「実行すべき命令」と「不正な命令として実行を阻止すべき命令」に判別し、「不正な命令として実行を阻止すべき命令」であった場合には、「命令の実行」の前、すなわち、「命令の実行準備」の段階で不正な命令の実行を中止させる。このとき、プログラム“ＳｙｓＰｒｏｔｅｃｔ”は、不正な命令の実行が中止させられたこと（不正な命令を生成したこと、不正な命令を実行しようとしたこと）をシステムログ２２０（アプリケーションログ２３０）に記録する。

また、オペレーティングシステム１１０は、アプリケーション（親プロセス）から継承された実行権限（アプリケーションを実行するユーザー（利用者）の権限）に基づいて、不正命令の実行のみを阻止する。このとき、プログラム“ＳｙｓＰｒｏｔｅｃｔ”は、不正な命令を実行しようとしたプロセスを記録する。これにより、システムを保護し、安全性を確保することを可能としているが、親プロセスが使用したファイルを特定できないため、不正な命令を実行させる要因となったファイルを特定するための情報が必要となる。そこで、脆弱性診断装置１０は、アプリケーションログ２３０のＥｖｅｎｔＤａｔａ１～ＥｖｅｎｔＤａｔａ５（２３５～２３９）やサイト情報記憶部２１０、システムログ２２０、その他オペレーティングシステム１１０が保持する情報を参照することによって、不正な命令を実行させる要因となったファイル（親プロセス）、すなわち、マルウェア等を含むファイルや当該ファイルを特定する。なお、具体的な特定方法については、図６にて後述する。

診断結果記憶部２４０は、サイト情報記憶部２１０及びアプリケーションログ２３０から抽出されたデータと、脆弱性の診断結果とを含む情報を格納する。診断結果記憶部２４０に格納されたデータは、診断結果出力部１６０により、加工したデータを管理端末２０の画面に表示したり、当該データに基づいてレポートを作成して電子メール等により管理者に送信したりする。

図５は、本発明の第１実施形態の診断結果記憶部２４０の構成の一例を示す図である。診断結果記憶部２４０は、Ｐｒｏｂｅ２４１、Ｉｄｘ２４２、Ｄｏｍａｉｎ２４３、Ｃｏｍｐｏｎｅｎｔ２４４、Ｓｅｒｖｅｒ２４５、Ｓｔａｔｕｓ２４６、Ｔｉｍｅ１（２４７）、Ｔｉｍｅ２（２４８）を含む。

Ｐｒｏｂｅ２４１は、診断対象を特定するための情報であり、例えば、診断対象のＷｅｂサイトの各ページに対応する。また、サイト情報記憶部２１０のＵＲＬ２１１と対応させてもよい。診断結果記憶部２４０に複数のＷｅｂサイトの診断結果を格納する場合には、ページ名が別のＷｅｂサイトと重複する可能性があるため、ＵＲＬとページ名を組み合わせるなどして識別用の名称を設定してもよい。

Ｉｄｘ２４２は、各レコード（診断結果）を識別するための情報である。Ｉｄｘ２４２は、診断結果記憶部２４０全体で一意としてもよいし、Ｐｒｏｂｅ２４１との組み合わせることで一意となるようにしてもよい。また、診断対象のＷｅｂサイト内で一意となるようにしてもよい。また、Ｉｄｘ２４２は、診断結果を表示する際の表示順序を示すようにしてもよい。

Ｄｏｍａｉｎ２４３は、各レコードに対応するファイル（コンポーネント）を格納している場所を示し、当該コンポーネントを含むｗｅｂページの親となるＩＰアドレス（インターネット上のドメイン名を示すＩＰアドレス）が格納される。なお、ファイル（コンポーネント）の格納場所を特定できる情報であれば別の形式であってもよい。Ｃｏｍｐｏｎｅｎｔ２４４は、コンポーネント（ファイル）の情報が格納されている場所（ＵＲＬ）を示しており、ファイル名を直接示すＵＲＬとなる場合もある。Ｓｅｒｖｅｒ２４５は、ファイル（コンポーネント）が実際に格納されているサーバーのＩＰアドレスが格納される。

Ｓｔａｔｕｓ２４６は、ファイル（コンポーネント）ごとの脆弱性の診断結果が格納される。Ｓｔａｔｕｓ２４６は、サイト情報記憶部２１０のＳｔａｔｕｓ２１９の値が格納される。Ｔｉｍｅ１（２４７）は、ファイル（コンポーネント）にアクセスした最新の時間が格納される。Ｔｉｍｅ２（２４８）は、前回ファイル（コンポーネント）にアクセスした時間が格納される。Ｔｉｍｅ１（２４７）及びＴｉｍｅ２（２４７）は、サイト情報記憶部２１０のＡｃｃｅｓｓＴｉｍｅ１（２１７）及びＡｃｃｅｓｓＴｉｍｅ２（２１８）に対応する。

以上、本実施形態の脆弱性診断装置１０によって脆弱性を診断するために使用されるデータ及び診断結果を格納するテーブル（データベース）について説明した。続いて、本実施形態の脆弱性診断装置１０によるＷｅｂサイトの脆弱性を診断する手順について説明する。

図６は、本発明の第１実施形態の指定されたＷｅｂサイトの脆弱性を脆弱性診断装置１０によって診断する手順を説明する図である。

まず、脆弱性診断装置１０は、脆弱性を診断するＷｅｂサイトの指定を受け付ける。図６に示す例では、管理端末２０からＵＲＬを入力することによってＷｅｂサイトを指定する。なお、脆弱性診断装置１０にあらかじめ脆弱性を診断するＷｅｂサイトの一覧を用意し、タイマ起動などによって定期的に実行するようにしてもよい。

脆弱性診断装置１０は、脆弱性を診断するＷｅｂサイトの指定（ＵＲＬ）を受け付けると、ネットワークインターフェース１２からインターネットを介して指定されたＷｅｂサイトにアクセスし、サイト情報取得部１３０のサイト構成情報取得部１３１により、Ｗｅｂサイトの構成情報（サイトマップ）を取得する。このとき、Ｗｅｂサイトを構成するファイルに関する情報も併せて取得する。

次に、脆弱性診断装置１０は、脆弱性診断部１５０に含まれるファイル比較部１５１によってＷｅｂサイトを構成するファイルが更新されたか否かを判定する。サイト構成情報取得部１３１は、Ｗｅｂサイトの構成情報の他、ファイルサイズや更新日時を取得しており、サイト情報記憶部２１０（図２）に登録された情報と比較することによってファイルの更新を判定することができる。ファイルが更新されておらず、前回の診断結果が格納されたＳｔａｔｕｓ２１９が“ＯＫ”の場合には、命令実行監視部１４０による脆弱性の診断を省略してもよい。

脆弱性診断装置１０は、ファイル比較部１５１によってファイルを比較し、必要に応じてサイト情報記憶部２１０の対応するレコードを更新する。このとき、新たにＷｅｂサイトを構成するページやファイルが追加・削除された場合には対応するレコードを追加したり、削除したりする。また、指定されたＷｅｂサイトを初めて診断する場合には、サイト情報記憶部２１０に登録済みのデータが存在しないため、新たにレコードを作成する。

次に、脆弱性診断装置１０は、ファイル取得部１３２によってＷｅｂサイトを構成するファイルを取得する。さらに、取得したファイルに対応するアプリケーション１２０を実行する。例えば、画像ファイルであれば、ペイントソフトや表示ソフトによってファイルを表示する。また、文書ファイルであれば当該ファイルを編集可能なアプリケーションによってファイルを開く。

アプリケーション１２０の実行により生成されたプロセスで不正な命令が生成されると、命令実行監視部１４０によりプロセス生成時に継承された実行権限に基づいて当該不正な命令が実行前に中止される。これにより、オペレーティングシステム１１０に対する想定外の影響を受けること防止することができる。このとき、不正命令実行記録部１４２により不正な命令の実行情報をシステムログ２２０（図３）に記録する。システムログ２２０には不正な命令が生成された場合以外の情報も記録されるため、システムログ２２０に記録された情報のうち不正な命令に関する情報を抽出し、アプリケーションログ２３０（図４）に記録する。具体的には、不正命令実行中止部１４１に対応するアプリケーション（“ＳｙｓＰｒｏｔｅｃｔ”）がＳｏｕｒｃｅ２２３に設定されているレコードを抽出する。このとき、不正な命令を生成したプロセスとアプリケーション１２０とを関連づける情報を付加してもよい。

本実施形態のシステムログ２２０は、前述したように、オペレーティングシステム１１０によって提供された機能であるため、アプリケーションの実行時刻（ＳｙｓｔｅｍＴｉｍｅ２３１）などはシステムログ２２０にデータを登録する際に自動的に付加される。なお、オペレーティングシステム１１０によって提供された機能を使用しない場合には、アプリケーションログ２３０にデータを直接登録するようにしてもよい。

続いて、脆弱性診断装置１０は、脆弱性診断部１５０によりＷｅｂサイトを構成する各ファイルの脆弱性を診断する。脆弱性の診断は、サイト情報記憶部２１０に記録されたファイルのアクセスした日時（ＡｃｃｅｓｓＴｉｍｅ１（２１７））と、アプリケーションログ２３０のＳｙｓｔｅｍＴｉｍｅ２３１とを比較することによって特定する。また、ファイルとアプリケーションとはオペレーティングシステム１１０などによりあらかじめ関連付けられており、ＥｖｅｎｔＤａｔａ１～５（２３５～２３９）に実行されたアプリケーションやファイルに関連する情報が格納されることからサイト情報記憶部２１０のレコードとアプリケーションログ２３０のレコードとの対応を特定することができる。サイト情報記憶部２１０のレコードとアプリケーションログ２３０のレコードとの対応が特定されると、これらのレコードに含まれるデータに基づいて診断結果を作成し、診断結果記憶部２４０（図５）に格納（登録）する。また、サイト情報記憶部２１０のＳｔａｔｕｓ２１９にも診断結果を登録する。

最後に、脆弱性診断装置１０は、診断結果出力部１６０により診断結果を出力する。診断結果の出力は、管理端末２０の表示装置に出力してもよいし、レポート形式に整形して文書ファイルやグラフを作成し、メールに添付して管理者に送信するようにしてもよい。また、管理端末２０等の表示装置に診断結果を出力する場合には、管理者が必要に応じて参照できるようになっている。図７に表示装置への出力例を示す。

図７は、本発明の第１実施形態の脆弱性診断装置１０によってＷｅｂサイトの脆弱性を診断した結果の出力例を示す図である。図７に示す画面は、管理端末２０などの表示装置に出力される。図７に示す例では、最初に、Ｗｅｂサイトを選択する画面が表示される。この画面では、診断対象のサイトと脆弱性が診断された日時を示すチャートが表示される。管理者は、診断結果を参照するＷｅｂサイトと診断日時を画面から選択する。

Ｗｅｂサイト及び診断日時が選択されると、サイトマップが表示され、ページごとのエラー件数が表示される。さらに、ページを選択すると、選択されたページに含まれるファイル（コンポーネント）ごとの詳細な脆弱性の診断結果が表示される。

以上のように、本発明の第１実施形態によれば、あらかじめ定義された情報（パターン）と比較してマルウェアなどの不正プログラムを検知するのではなく、アプリケーションやファイルの内容にかかわらず、アプリケーションを実行したユーザーの権限（オペレーティングシステム１１０がユーザーに与えた権限）を逸脱した命令をシステムに害を与える可能性の高い不正な命令とし、その生成を検知することによってファイル（コンポーネント）の脆弱性を診断する。これにより、未知のマルウェアが含まれるファイルを検出することが可能となり、脆弱性診断装置の定期的なメンテナンスを削減することが可能となるため、運用コストを削減することができる。

（第２実施形態）
第１実施形態では、本願発明におけるファイル（コンポーネント）の脆弱性を診断する技術をＷｅｂサイトに対する診断に適用したが、プロキシサーバーに対して適用することも可能である。具体的には、プロキシサーバーにキャッシュされているＷｅｂサイトのコンポーネントに含まれるファイルの脆弱性を診断することにより、ネットワークの安全性を高めることができる。以下、第２実施形態として、本願発明におけるファイル（コンポーネント）の脆弱性を診断する技術をプロキシサーバーに適用した例について説明する。

図８は、本発明の第２実施形態におけるファイルの脆弱性を診断する脆弱性診断装置（プロキシサーバー）１０１０の構成の一例を示す図である。本実施形態の脆弱性診断装置１０１０は、プロキシサーバーに脆弱性を診断する機能を付加したものであるが、第１実施形態の脆弱性診断装置１０と共通の構成については説明を省略して同じ符号を付与し、相違する構成について説明する。

第１実施形態の脆弱性診断装置１０と相違する構成としては、サイト情報取得部１３０の代わりにプロキシサーバー１７０を備える点である。また、診断対象のファイルを含むＷｅｂサイトのコンポーネント（コンテンツ）を格納するコンテンツキャッシュ部（コンテンツ記憶部）２５０を備えている。本実施形態では、クライアント３０からインターネットを介してＷｅｂサイトにアクセスする場合に、脆弱性診断装置（プロキシサーバー）１０１０を経由する。脆弱性診断装置１０１０のプロキシサーバーとしての機能については一般的な機能と相違はないが、Ｗｅｂサイトのアクセス時にコンテンツキャッシュ部２５０に格納されたファイルの脆弱性を診断し、脆弱性が発見された場合にはアクセスを遮断する点で相違する。

プロキシサーバー１７０には、コンテンツ取得部１７１及びコンテンツ配信部１７２を備える。コンテンツ取得部１７１はクライアント３０から指定されたＷｅｂサイトのＵＲＬを受け付け、インターネットを介して指定されたＷｅｂサイトからコンテンツを取得し、コンテンツキャッシュ部２５０に格納する。コンテンツ配信部１７２は、脆弱性が発見されなかったコンテンツをコンテンツキャッシュ部２５０から取得し、クライアント３０に配信する。

記憶装置１４は、記憶領域としてコンテンツキャッシュ部２５０を提供する。記憶装置１４は、脆弱性診断装置１０１０に備えられるものでなくてもよく、外部のストレージ装置としてもよい。なお、本実施形態では、キャッシュされたコンテンツを管理する情報に脆弱性の診断結果を記録する項目を追加する。脆弱性が発見されたファイルそのものは保持しなくてもよいし、別の記憶領域に隔離して保持するようにしてもよい。

続いて、本実施形態の脆弱性診断装置１０１０によりキャッシュされたファイルの脆弱性を診断する手順について説明する。図９は本発明の第２実施の脆弱性診断装置（プロキシサーバー）によってキャッシュされたファイルの脆弱性を診断する手順を説明する図である。

まず、脆弱性診断装置（プロキシサーバー）１０１０は、クライアント３０からアクセスするＷｅｂサイトの指定を受け付ける。コンテンツ取得部１７１は、指定されたＷｅｂサイトのコンテンツがコンテンツキャッシュ部２５０にキャッシュされているか否かを確認し、キャッシュされていればキャッシュされたコンテンツをクライアント３０に配信する。一方、Ｗｅｂサイトのコンテンツがコンテンツキャッシュ部２５０にキャッシュされていなければ、Ｗｅｂサイトのコンテンツを取得し、コンテンツキャッシュ部２５０に格納する。

次に、脆弱性診断装置１０１０は、クライアント３０に配信するコンテンツに含まれるファイルの脆弱性を診断する。脆弱性を診断する機能は、第１実施形態の脆弱性診断装置１０と同様である。

脆弱性の診断が終了すると、脆弱性診断装置１０１０は、診断済みのファイルを含む指定されたＷｅｂサイトのコンテンツをコンテンツ配信部１７２によってクライアント３０に配信する。脆弱性が発見されたファイルについては配信せずに警告メッセージ等を配信する。なお、明確な脆弱性が含まれていないが安全性に懸念があるファイルについては警告メッセージとともにファイルのダウンロード（表示）を確認するメッセージを送信するようにしてもよい。

脆弱性診断装置１０は、診断結果出力部１６０により診断結果を出力する。診断結果については、脆弱性が発見された場合に管理者に随時通知するようにしてもよいし、管理者が管理端末２０から適宜（定期的に）確認するようにしてもよい。

以上のように、本発明の第２実施形態の脆弱性診断装置１０１０では、指定されたＷｅｂサイトのコンテンツに含まれる脆弱性をリアルタイムに診断することによって、Ｗｅｂアクセスの遅延を抑制しながらセキュリティリスクを削減することができる。また、ファイル処理時に実行される不正な命令の生成を検知して脆弱性を診断するため、第１実施形態と同様に、未知のファイルの脆弱性を診断するため、定期的なメンテナンスを必要とせず、システムの運用効率を高めることができる。

（第３実施形態）
以上、第２実施形態として本願発明におけるファイル（コンポーネント）の脆弱性を診断する技術をプロキシサーバーに適用した例について説明したが、ここではメールサーバーに適用する例について説明する。具体的には、メールに添付されたファイルに対して脆弱性を診断することによって安全にファイルを送受信することを可能とする。以下、第３実施形態として、本願発明におけるファイル（コンポーネント）の脆弱性を診断する技術をメールサーバーに適用した例について説明する。

図１０は、本発明の第３実施形態におけるメールに添付されたファイルの脆弱性を診断する脆弱性診断装置（メールサーバー）２０１０の構成の一例を示す図である。本実施形態の脆弱性診断装置２０１０は、メールサーバーに脆弱性を診断する機能を付加したものであるが、第１実施形態の脆弱性診断装置１０と共通の構成については説明を省略して同じ符号を付与し、相違する構成について説明する。

第１実施形態の脆弱性診断装置１０と相違する構成としては、サイト情報取得部１３０の代わりにメールサーバー１８０を備える点である。また、メールに添付されたファイルを格納する添付ファイル格納部２６０を備えている。本実施形態では、クライアント３０に送信するメールを脆弱性診断装置（メールサーバー）２０１０が中継する。脆弱性診断装置２０１０のメールサーバーとしての機能については一般的な機能と相違はなく、メールに添付されたファイルの脆弱性を診断し、脆弱性が発見された場合にはファイルを削除して警告メッセージとともに送信する点で相違する。

メールサーバー１８０には、メール受信部１８１及びメール送信部１８２を備える。メール受信部１８１は、通常のメール受信機能に加え、受信したメールから添付ファイルを分離し、添付ファイル格納部２６に格納する。メール送信部１８２は、脆弱性診断後のメールをクライアント３０に送信する。添付ファイル格納部２６０は、記憶装置１４によって提供された記憶領域であり、受信したメールから分離された添付ファイルを格納する。

続いて、本実施形態の脆弱性診断装置２０１０により受信したメールに添付されたファイルの脆弱性を診断する手順について説明する。図１１は、本発明の第３実施形態の脆弱性診断装置（メールサーバー）によってメールに添付されたファイルの脆弱性を診断する手順を説明する図である。

脆弱性診断装置（メールサーバー）２０１０は、メール受信部１８１がメールを受信すると、受信したメールから添付ファイルを分離し、添付ファイル格納部２６０に格納する。

次に、脆弱性診断装置１０１０は、受信したメールから分離された添付ファイルの脆弱性を診断する。なお、脆弱性を診断する機能は、第１実施形態の脆弱性診断装置１０と同様である。メールにファイルが添付されていない場合には脆弱性の診断をせずにそのままメール送信部１８２によってクライアント３０に送信するようにしてもよい。

脆弱性の診断が終了すると、脆弱性診断装置１０１０は、脆弱性を診断したファイルが添付されていたメールをメール送信部１８２によって送信する。このとき、メール送信部１８２は、送信するメールのヘッダ情報に脆弱性を診断したことを示す情報と、脆弱性の診断結果を示す情報を追加し、脆弱性診断結果追加部として機能する。詳細については、図１２から図１４にて後述する。なお、添付ファイルに脆弱性が発見されなかった場合には、メールにファイルを再添付してもよいし、クライアント３０がメールを受信した後にメールサーバー１８０からダウンロードするようにしてもよい。

第２実施形態と同様に、脆弱性診断装置１０は、診断結果出力部１６０により診断結果を出力する。診断結果については、脆弱性が発見された場合に通知するようにしてもよいし、管理者が管理端末２０から適宜確認するようにしてもよい。

続いて、添付ファイルの脆弱性が診断されたメールを受信した利用者が診断結果を確認するための構成について説明する。メールのヘッダ情報に追加する脆弱性の診断に関する情報について図１２及び図１３にて説明する。また、脆弱性の診断に関する情報がヘッダ情報に追加されたメールを受信した場合の確認手段の例について図１４にて説明する。

図１２は、本発明の第３実施形態の脆弱性診断装置（メールサーバー）によって脆弱性が診断されたファイルが添付されたメールの一例を示す図である。図１３は、本発明の第３実施形態の脆弱性診断装置（メールサーバー）によって脆弱性が診断されたファイルが添付されたメールに追加されるヘッダ情報の一例を示す図である。

図１２及び図１３に示すように、本実施形態の脆弱性診断装置（メールサーバー）２０１０では、脆弱性を診断した場合にはヘッダ情報に“Ｘ－ＳｙｓＰｒｏｔｅｃｔ－Ｃｈｅｃｋ：Ｄｏｎｅ”を追加する。ヘッダ情報“Ｘ－ＳｙｓＰｒｏｔｅｃｔ－Ｃｈｅｃｋ：Ｄｏｎｅ”は、本実施形態の脆弱性診断装置２０１０による脆弱性の診断が実行されたか否かを判定するための識別子となる。ヘッダ情報“Ｘ－ＳｙｓＰｒｏｔｅｃｔ－Ｃｈｅｃｋ：Ｄｏｎｅ”が含まれている場合には後述する診断結果を示すヘッダ情報（“Ｘ－ＳｙｓＰｒｏｔｅｃｔ：ＯＫ”又は“Ｘ－ＳｙｓＰｒｏｔｅｃｔ：ＮＧ”）に基づいて安全性を確認することができる。一方、ヘッダ情報“Ｘ－ＳｙｓＰｒｏｔｅｃｔ－Ｃｈｅｃｋ：Ｄｏｎｅ”が含まれていない場合には脆弱性が診断されていないため、個別に安全性を確認する必要があることを認識することができる。

脆弱性診断装置（メールサーバー）２０１０は、添付ファイルの脆弱性を診断した場合には、診断結果を示すヘッダ情報をさらに追加する。例えば、脆弱性が発見されなかった場合には“Ｘ－ＳｙｓＰｒｏｔｅｃｔ：ＯＫ”、脆弱性が発見され、異常を検出した場合には“Ｘ－ＳｙｓＰｒｏｔｅｃｔ：ＮＧ”とする。

このように、メールのヘッダ情報に脆弱性の診断結果を追加することにより、クライアント３０でメールを受信した際に添付されたファイルの安全性を確認することができる。例えば、ヘッダ情報に基づいて診断結果を提示する機能をメールを受信するソフトウェアに追加すればよい。機能の追加はソフトウェアのプラグイン機能などで実現するとよい。

図１４は、本発明の第３実施形態の脆弱性診断装置（メールサーバー）によって脆弱性が診断されたメールから診断結果を通知する機能の一例を示す図である。（Ａ）はメールを受信するソフトウェアの画面３００、（Ｂ）～（Ｄ）は、画面下部に設けられた表示部３０１である。表示部３０１には、添付ファイルの数（サイズ）と診断結果が表示される。また、表示部３０１に含まれる操作部を操作することによって添付ファイルをメールサーバーから取得し、保存することができる。

（Ｂ）はメールのヘッダ情報には“Ｘ－ＳｙｓＰｒｏｔｅｃｔ－Ｃｈｅｃｋ：Ｄｏｎｅ”が含まれておらず、脆弱性の診断を行っていない場合の表示であり、診断結果を示す情報は表示されていない（通常表示）。

（Ｃ）はメールのヘッダ情報には“Ｘ－ＳｙｓＰｒｏｔｅｃｔ－Ｃｈｅｃｋ：Ｄｏｎｅ”が含まれており、さらに診断結果として“Ｘ－ＳｙｓＰｒｏｔｅｃｔ：ＯＫ”が含まれている場合である。本実施形態では、診断結果が正常であることを示すマーク（“◎”）が表示される。

（Ｄ）はメールのヘッダ情報には“Ｘ－ＳｙｓＰｒｏｔｅｃｔ－Ｃｈｅｃｋ：Ｄｏｎｅ”が含まれており、さらに診断結果として“Ｘ－ＳｙｓＰｒｏｔｅｃｔ：ＮＧ”が含まれている場合である。本実施形態では、診断結果が以上であることを示すマーク（“×”）が表示される。このとき、添付ファイルを保存する操作部を無効にしてもよく、利用者が脆弱性を含むファイルを誤って保存することを防止することができる。

以上のように、本発明の第３実施形態の脆弱性診断装置１０１０では、受信したメールに添付されたファイルの脆弱性を診断してからクライアント３０に送信するため、安全にメールの送受信を行うことができる。また、脆弱性が診断されたメールのヘッダ情報に診断結果を示す情報を追加するため、メールを受信するソフトウェアにプラグインなどによって診断結果を通知する機能を追加することによって受信者がメールの安全性を確認することができる。

以上、本発明の実施形態について説明したが、上記実施形態は本発明の適用例の一部を示したに過ぎず、本発明の技術的範囲を上記実施形態の具体的構成に限定する趣旨ではない。

例えば、脆弱性を診断する機能を有する計算機と脆弱性を診断する対象となるファイルを格納するストレージ装置を備える計算機システムを構築することによって、一般的なプロキシサーバーにキャッシュされたファイルやメールサーバーに受信されたメールの添付ファイルをストレージ装置に格納することによって脆弱性を診断する機能を独立させることができる。

１０，１０１０，２０１０ 脆弱性診断装置
１１ プロセッサ
１２ ネットワークインターフェース
１３ メモリ
１４ 記憶装置
２０ 管理端末
１１０ オペレーティングシステム
１２０ アプリケーション
１３０ サイト情報取得部
１３１ サイト構成情報取得部
１３２ ファイル取得部
１４０ 命令実行監視部
１４１ 不正命令実行中止部
１４２ 不正命令実行記録部
１５０ 脆弱性診断部
１５１ ファイル比較部
１６０ 診断結果出力部
１７０ プロキシサーバー
１７１ コンテンツ取得部
１７２ コンテンツ配信部
１８０ メールサーバー
１８１ メール受信部
１８２ メール送信部
２１０ サイト情報記憶部（サイト情報テーブル）
２２０ システムログ
２３０ アプリケーションログ
２４０ 診断結果記憶部（診断結果テーブル）
２５０ コンテンツキャッシュ部（コンテンツ記憶部）
２６０ 添付ファイル格納部（脆弱性診断結果追加部）

Claims (7)

1. ファイルの脆弱性を診断する脆弱性診断装置において、
   前記ファイルを処理するためのアプリケーションと、
   少なくとも前記ファイルを識別する情報及び当該ファイルを処理するために当該ファイルにアクセスした時刻を記憶するファイル情報記憶部と、
   前記ファイルを処理する際に前記アプリケーションにより不正な命令が実行されることを中止させる不正命令実行中止部と、
   前記不正な命令の実行を中止させた時刻を記録する不正命令実行記録部と、
   前記ファイルにアクセスした時刻、及び、当該ファイルを処理する際に前記不正な命令の実行を中止させた時刻に基づいて、前記ファイルの脆弱性を診断する脆弱性診断部と、を備え、
   前記アプリケーションの実行によりプロセスを生成するとともに、当該生成されたプロセスから必要に応じて子プロセスを生成し、
   前記アプリケーションを実行したユーザーの権限を前記子プロセスに継承し、
   前記継承された権限に基づいて、前記子プロセスによる前記不正な命令の生成を監視し、当該不正な命令の実行を実行前に中止させることを特徴とする脆弱性診断装置。
2. 請求項１の脆弱性診断装置において、
   ウェブサイトの指定を受け付けるサイト指定部と、
   前記指定されたウェブサイトから参照されるファイルを取得するファイル取得部と、をさらに備え、
   前記ファイル情報記憶部は、前記サイト指定部によって受け付けられたウェブサイトから参照されるファイルの情報を記憶し、
   前記脆弱性診断部は、前記ファイル取得部によって取得されたファイルの脆弱性を診断することを特徴とする脆弱性診断装置。
3. 請求項２の脆弱性診断装置において、
   前回診断時に前記ファイル情報記憶部に記憶されたファイルの情報と、前記ファイル取得部によって取得されたファイルの情報とを比較するファイル比較部と、をさらに備えることを特徴とする脆弱性診断装置。
4. 請求項１の脆弱性診断装置において、
   電子メールを受信する電子メール受信部と、
   前記電子メール受信部によって受信したメールに添付されたファイルを取得する添付ファイル取得部と、をさらに備え、
   前記脆弱性診断部は、前記添付ファイル取得部によって取得されたファイルの脆弱性を診断することを特徴とする脆弱性診断装置。
5. 請求項４の脆弱性診断装置において、
   前記添付されたファイルの脆弱性が診断された電子メールのヘッダ情報に、脆弱性が診断されたか否かを示す情報及び当該診断の結果を示す情報を追加する脆弱性診断結果追加部をさらに備えることを特徴とする脆弱性診断装置。
6. 請求項１の脆弱性診断装置において、
   クライアントからウェブサイトの指定を受け付けるサイト指定部と、
   前記ウェブサイトから参照されるファイルを取得するファイル取得部と、
   前記取得されたファイルを記憶するコンテンツ記憶部と、
   前記取得されたファイルをクライアントに送信するファイル送信部と、をさらに備え、
   前記コンテンツ記憶部に記憶されたファイルの脆弱性を診断することを特徴とする脆弱性診断装置。
7. 請求項１の脆弱性診断装置において、
   前記ファイルの脆弱性の診断結果を出力する診断結果出力部をさらに備え、
   前記ファイルの脆弱性の診断が要求されると、前記アプリケーションによる当該ファイルの処理を開始し、前記脆弱性診断部による診断が終了すると、前記診断結果出力部により当該ファイルの脆弱性の診断結果を出力することを特徴とする脆弱性診断装置。
   

Images