JP2024008280A - 誤検知対応システム、誤検知対応方法及び誤検知対応プログラム - Google Patents

Abstract

【課題】ヒューリスティック検知手法による検知結果が誤検知であるか否かを容易に判定することが可能な誤検知対応システムを提供する。【解決手段】演算装置及び記憶装置を有する情報処理装置を用いて構成され、複数の正常ファイルが所定の特徴量に基づいて分類された複数のクラスタの夫々の特徴量空間における代表点と、複数のクラスタの夫々の範囲を定めるべく代表点からの距離を示す閾値と、を含むホワイトリストを記憶し、ヒューリスティック検知手法によって異常であると検知された検知ファイルの特徴量を抽出し、特徴量空間において、検知ファイルの特徴量を示す点から、複数のクラスタの夫々の代表点までの距離と、複数のクラスタの夫々の閾値とに基づいて、ヒューリスティック検知手法によって異常であると検知された検知ファイルが正常であるか否か判定する処理を実行する誤検知対応システム。【選択図】図１７

Description

本発明は、誤検知対応システム、誤検知対応方法及び誤検知対応プログラムに関する。

マルウェアを検知する手法として、ヒューリスティック検知手法が知られている。ヒューリスティック検知手法によれば、マルウェアの亜種等も検知することが可能であるが、マルウェアでないものをマルウェアと誤検知する場合がある。

このような誤検知に対処するための技術として、例えば、特許文献１には、ヒューリスティック検知手法を用いた検知の後に、ホワイトリスト手法を用いてヒューリスティック検知手法の検知結果が誤検知であるか否かを判定する技術が開示されている。

特許文献１のホワイトリスト手法においては、診断対象ファイルと、正常ファイルとの完全一致性や類似性に基づいて、誤検知であるか否かの判定を行う。なお、ここで、正常ファイルとは、過去にマルウェアであると誤検知され、ホワイトリストに登録されたファイルである。

特開２０１７－０３７５５５号公報

しかしながら、特許文献１に開示された技術では、診断対象ファイルと、例えば、正常ファイルとの完全一致制や類似性を判定するために正常ファイルごとに閾値等のパラメータを割り当てる等、判定に用いるパラメータの数が膨大になりやすい。そのため、誤検知であるか否かの判定やホワイトリストの最適化のために多大なコストを要するおそれがある。

本発明はこれらのような課題を鑑みてなされたものであり、ヒューリスティック検知手法による検知結果が誤検知であるか否かを容易に判定することが可能な情報処理装置を提供することを目的とする。

上記目的を達成するための一の発明は、演算装置及び記憶装置を有する情報処理装置を用いて構成され、複数の正常ファイルが所定の特徴量に基づいて分類された複数のクラスタの夫々の特徴量空間における代表点と、複数のクラスタの夫々の範囲を定めるべく代表点からの距離を示す閾値と、を含むホワイトリストを記憶し、ヒューリスティック検知手法によって異常であると検知された検知ファイルの特徴量を抽出し、特徴量空間において、検知ファイルの特徴量を示す点から、複数のクラスタの夫々の代表点までの距離と、複数のクラスタの夫々の閾値とに基づいて、ヒューリスティック検知手法によって異常であると検知された検知ファイルが正常であるか否か判定する処理を実行する誤検知対応システムである。本発明の他の特徴については、本明細書の記載により明らかにする。

本発明によれば、ヒューリスティック検知手法による検知結果が誤検知であるか否かを容易に判定することが可能となる。

一実施形態に係る誤検知対応システムの構成図である。 一実施形態に係る監視対象端末の機能構成図である。 一実施形態に係る統合管理サーバの機能構成図である。 一実施形態に係るマルウェア情報配信サーバの機能構成図である。 一実施形態に係るクライアントの機能構成図である。 一実施形態に係る誤検知対応システムの各装置を構成するコンピュータのハードウェア構成図である。 一実施形態に係るデータベースに格納されるデータテーブルを示す図である。 一実施形態に係る検知ファイル情報テーブルの構成を説明する図である。 一実施形態に係るホワイトリスト情報テーブルの構成を説明する図である。 一実施形態に係る正常ファイル情報テーブルの構成を説明する図である。 一実施形態に係るマルウェア情報テーブルの構成を説明する図である。 一実施形態に係る対処コスト情報テーブルの構成を説明する図である。 一実施形態に係るマルウェア検知処理のフローチャート図である。 一実施形態に係るホワイトリスト判定処理のフローチャート図である。 一実施形態に係るホワイトリストクラスタの例である。 一実施形態に係る誤検知対処処理のフローチャート図である。 一実施形態に係るホワイトリストクラスタの例である。 一実施形態に係るホワイトリストクラスタ補正処理のフローチャート図である。 一実施形態に係るホワイトリストクラスタの例である。 一実施形態に係る運用者によるマルウェア対処処理のフローチャート図である。 一実施形態に係るマルウェア対処画面の表示例である。 一実施形態に係るマルウェア情報収集処理のフローチャート図である。 一実施形態に係る正常ファイル収集処理のフローチャート図である。

＝＝実施形態＝＝
実施形態について、図面を参照して説明する。なお、以下に説明する実施形態は特許請求の範囲に係る発明を限定するものではなく、また実施形態の中で説明されている諸要素及びその組み合わせの全てが発明の解決手段に必須であるとは限らない。

以下の説明では、「記憶部」は、１以上のメモリを含む。少なくとも１つのメモリは、揮発性メモリであってもよいし不揮発性メモリであってもよい。記憶部は、主に、処理部による処理の際に使用される。

また、以下の説明では、「処理部」は、１以上のプロセッサを含む。少なくとも１つのプロセッサは、典型的には、ＣＰＵ（Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）のようなマイクロプロセッサである。１以上のプロセッサの各々は、シングルコアでもよいしマルチコアでもよい。プロセッサは、処理の一部または全部を行うハードウェア回路を含んでもよい。

＜＜誤検知対応システム１０１＞＞
誤検知対応システム１０１は、ソフトウェアやコードがヒューリスティック検知手法によってマルウェアであると検知された後の対処処理を実行するシステムである。誤検知対応システム１０１は、また、対処処理を実行する際に用いるホワイトリスト（後述）を作
成したり更新したりするシステムである。

なお、本明細書において、「マルウェア」とは、不正かつ有害な動作を行う意図で作成された悪意のあるソフトウェアや悪質なコードの総称を意味する。以下の説明において、マルウェアを「異常ファイル」と称する場合がある。また、マルウェアではないソフトウェアやコードを「正常ファイル」と称する。また、ソフトウェアやコードをまとめて、「ファイル」と称する。

図１は、誤検知対応システム１０１の構成図である。誤検知対応システム１０１は、監視対象端末１０２と、統合管理サーバ１０３と、マルウェア情報配信サーバ１０４と、クライアント端末１０５と、データベース１０６と、ネットワーク１０７ａ及び１０７ｂとを備える。

本実施形態では、監視対象端末１０２と、統合管理サーバ１０３と、クライアント端末１０５と、データベース１０６とは、ネットワーク１０７ａ（例えば、イントラネットワーク）を介して接続されている。また、統合管理サーバ１０３と、マルウェア情報配信サーバ１０４とは、ネットワーク１０７ｂ（例えば、インターネットワーク）を介して接続されている。

なお、誤検知対応システム１０１は、少なくとも統合管理サーバ１０３により構成されてもよいし、統合管理サーバ１０３以外の１以上の装置を適宜含んで構成されてもよい。

また、本実施形態では、ネットワーク１０７ａ及び１０７ｂは異なるネットワークとして例示したが、同一のネットワークであってもよい。また、図１において符号を付した構成要素は、必要に応じて複数としてもよい。

（機能構成）
本実施形態の誤検知対応システム１０１が備える機能の概要について説明する。誤検知対応システム１０１が備える機能の更なる詳細な説明については、後述するフローチャートを用いた処理の説明において行う。

ここでは、誤検知対応システム１０１の各構成要素が、その主記憶装置６０３及び補助記憶装置６０４（後述する図６参照）にて記憶する適宜なプログラムを実行することで実現される機能について説明する。

＜監視対象端末１０２＞
監視対象端末１０２は、マルウェアの検知を実行する装置である。監視対象端末１０２は、セキュリティ保護対象とする装置であり、例えば、業務用のクライアントＰＣである。

図２は、本実施形態の監視対象端末１０２の機能構成図である。監視対象端末１０２は、送受信部２０１と、演算装置２０２とを備える。

送受信部２０１は、ネットワーク１０７ａを介し、統合管理サーバ１０３と、データベース１０６との間で情報の送受信を行う。

演算装置２０２は、マルウェア検知部２０３と、特徴量抽出部２０４と、ホワイトリスト判定部２０５と、誤検知対処要求部２０６と、マルウェア対処要求部２０７と、正常ファイル出力部２０８とを備える。

マルウェア検知部２０３は、監視対象端末１０２に内在する複数のファイルについて、ヒューリスティック検知手法によってマルウェアであるか否かを検知する。

なお、以下の説明において、「マルウェアであると検知する」とは、「異常であると検知する」と同義である。また、「マルウェアでないと検知する」とは、「正常であると検知する」と同義である。

また、以下の説明において、マルウェア検知部２０３による検知が実行されたファイルを、検知結果に依らずに「検知ファイル」と称する。つまり、検知ファイルは、マルウェア（異常ファイル）でもあり得るし、正常ファイルでもあり得る。

特徴量抽出部２０４は、マルウェア検知部２０３によってマルウェアであると検知された検知ファイルの特徴量を抽出する（後述）。

ホワイトリスト判定部２０５は、マルウェア検知部２０３によってマルウェアであると検知された検知ファイルが正常であるか否かを判定する判定する。このとき、ホワイトリスト判定部２０５は、詳細は後述するホワイトリストに基づいて判定を行う。

つまり、ホワイトリスト判定部２０５が、検知ファイルを正常であると判定した場合、マルウェア検知部２０３による検知結果は誤り（誤検知）であることを意味する。また、ホワイトリスト判定部２０５が、検知ファイルを異常であると判定した場合、マルウェア検知部２０３による検知結果は正しいことを意味する。

誤検知対処要求部２０６は、ホワイトリスト判定部２０５が検知ファイルを正常と判定した場合、統合管理サーバ１０３に誤検知対処を要求する（詳細は後述）。

マルウェア対処要求部２０７は、ホワイトリスト判定部２０５が検知ファイルを異常と判定した場合、統合管理サーバ１０３にマルウェア対処を要求する（詳細は後述）。

正常ファイル出力部２０８は、監視対象端末１０２に内在する正常ファイルのリストを統合管理サーバ１０３に送信する。

ここでの監視対象端末１０２に内在する正常ファイルとは、マルウェア検知部２０３によって正常であると検知されたファイルと、マルウェア検知部２０３によって異常であると検知されたが、ホワイトリスト判定部２０５によって正常と判定されたファイルとを含む。

＜統合管理サーバ１０３＞
統合管理サーバ１０３は、データベース１０６上の情報に基づき、本実施形態に係る誤検知対処処理における各種処理を主として実行するサーバ装置である。

図３は、一実施形態に係る統合管理サーバ１０３の機能構成図である。統合管理サーバ１０３は、送受信部３０１と、演算装置３０２とを備える。

送受信部３０１は、ネットワーク１０７ａを介し、監視対象端末１０２と、クライアント端末１０５と、データベース１０６との間で情報の送受信を行い、ネットワーク１０７ｂを介し、マルウェア情報配信サーバ１０４との間で情報の送受信を行う。

演算装置３０２は、誤検知対処要求受信部３０３と、マルウェア対処要求受信部３０４と、ホワイトリストクラスタ特定部３０５と、クラスタパラメータ算定部３０６と、クラ
スタパラメータ補正部３０７と、マルウェア対処画面生成部３０８と、マルウェア情報収集部３０９と、正常ファイル情報受信部３１０とを備える。

誤検知対処要求受信部３０３は、監視対象端末１０２から、前述の誤検知対処要求を受信する。

マルウェア対処要求受信部３０４は、監視対象端末１０２から、前述のマルウェア対処要求を受信する。

ホワイトリストクラスタ特定部３０５は、ホワイトリスト判定部２０５が正常と判定した検知ファイル（つまり、マルウェア検知部２０３が異常であると誤検知した検知ファイル）が所属するホワイトリストクラスタを特定する。

詳細は後述するが、ホワイトリスト判定部２０５が処理に用いるホワイトリストには、複数の正常ファイルが所定の特徴量に基づいて複数のクラスタに分類された場合の、複数のクラスタの夫々の情報が格納されている。

ホワイトリストクラスタとは、ホワイトリストに情報が格納された複数のクラスタである。なお、以下の説明において、ホワイトリストクラスタを、単に「クラスタ」と称する場合がある。

クラスタパラメータ算定部３０６は、ホワイトリスト判定部２０５が正常と判定した検知ファイルの情報から、ホワイトリストクラスタのクラスタの代表点と閾値とを算定する。

詳細は後述するが、クラスタの代表点とは、ホワイトリストに情報が格納された複数のクラスタの夫々に対して設定される、特徴量空間における所定の点である。

また、詳細は後述するが、クラスタの閾値とは、特徴量空間における複数のクラスタの夫々の範囲を定めるべく設定される、代表点からの距離を示す値である。

クラスタパラメータ補正部３０７は、マルウェア情報や誤検知対処コスト情報に基づいて、ホワイトリストクラスタのクラスタの代表点と閾値とをより適切な値に補正する。

マルウェア対処画面生成部３０８は、誤検知対処処理及び、マルウェア対処処理の結果を表示するための画面を生成する。

マルウェア情報収集部３０９は、マルウェア情報配信サーバ１０４からマルウェア情報のリストを受信し、データベース１０６に登録する。

正常ファイル情報受信部３１０は、監視対象端末１０２から正常ファイルのリストを受信し、データベース１０６に登録する。

＜マルウェア情報配信サーバ１０４＞
マルウェア情報配信サーバ１０４は、外部機関のマルウェアに関する分析レポート等の情報を配信する装置であり、例えば、公的なセキュリティリポジトリである。

図４は、一実施形態に係るマルウェア情報配信サーバ１０４の機能構成図である。マルウェア情報配信サーバ１０４は、送受信部４０１と、演算装置４０２とを備える。

送受信部４０１は、ネットワーク１０７ｂを介し、統合管理サーバ１０３との間で情報の送受信を行う。

演算装置４０２は、マルウェア情報配信部４０３を備える。マルウェア情報配信部４０３は、既知のマルウェアに関する情報のリストを統合管理サーバ１０３に配信する。

＜クライアント端末１０５＞
クライアント端末１０５は、セキュリティ運用者が直接操作する一般的なコンピュータ端末であり、統合管理サーバ１０３による処理結果、すなわち誤検知対応処理結果の主たる出力先となる装置である。

図５は、一実施形態に係るクライアント端末１０５の機能構成図である。クライアント端末１０５は、送受信部５０１と、入出力部５０２と、演算装置５０３とを備える。

送受信部５０１は、ネットワーク１０７ａを介し、統合管理サーバ１０３との間で情報の送受信を行う。

入出力部５０２は、キーボードなどのインタフェース機器を介してセキュリティ運用者からの入力を実行し、また、モニタなどのインタフェース機器を介してセキュリティ運用者向けの画面出力処理を実行する。

演算装置５０３は、マルウェア対処入出力処理部５０４を備える。マルウェア対処入出力処理部５０４は、セキュリティ運用者に対して、統合管理サーバ１０３が実行した誤検知対処処理及び、マルウェア対処処理の結果を画面に表示し、マルウェア検知部２０３が検知した検知ファイルに対する対処結果の入力を受け付ける。

＜データベース１０６＞
データベース１０６は、監視対象端末１０２でマルウェアと判定された検知ファイルに関する各情報と、統合管理サーバ１０３の誤検知対応処理により生成されたホワイトリストに関する各情報と、監視対象端末１０２から取得した正常ファイルに関する各情報と、マルウェア情報配信サーバ１０４から取得したマルウェアに関する各情報と、運用者によるマルウェア対処処理の過程で算定された対処コストに関する各情報とを格納する記憶装置である。

本実施形態では、データベース１０６は、ネットワーク１０７ａを介して統合管理サーバ１０３と通信可能に接続されている。データベース１０６は、統合管理サーバ１０３の補助記憶装置６０４（図６参照）に構築してもよい。

。
（ハードウェア構成）
続いて、本実施形態に係る誤検知対応システム１０１を構成する装置のハードウェア構成について説明する。

図６は、本実施形態に係る誤検知対応システム１０１の各装置を構成するコンピュータのハードウェア構成図である。誤検知対応システム１０１を構成する監視対象端末１０２と、統合管理サーバ１０３と、マルウェア情報配信サーバ１０４と、クライアント端末１０５と、データベース１０６とは、例えば、それぞれがコンピュータ装置６０１により構成される。

コンピュータ装置６０１は、プロセッサ６０２、主記憶装置６０３、補助記憶装置６０
４、送受信装置６０５、出力装置６０６、及び入力装置６０７を備える。

プロセッサ６０２は、例えば、ＣＰＵ（Central Processing Unit）、ＭＰＵ（Micro Processing Unit）、ＧＰＵ（Graphics Processing Unit）、ＦＰＧＡ（Field Programmable Gate Array）、ＡＳＩＣ（Application Specific Integrated Circuit）、ＡＩ（Artificial Intelligence）チップ等を用いて構成されている。

主記憶装置６０３は、プロセッサ６０２がプログラムを実行する際に利用する装置であり、例えば、ＲＯＭ（Read Only Memory）、ＲＡＭ（Random Access Memory）、不揮発性メモリ（ＮＶＲＡＭ（Non Volatile RAM））等である。誤検知対応システム１０１において実現される各種の機能は、夫々のプロセッサ６０２が、補助記憶装置６０４に格納（記憶）されているプログラムやデータを主記憶装置６０３に読み出して実行することにより実現される。

補助記憶装置６０４は、プログラムやデータを記憶する装置であり、例えば、ＳＳＤ（Solid State Drive）、ハードディスクドライブ、光学式記憶装置（ＣＤ（Compact Disc
）、ＤＶＤ（Digital Versatile Disc）等）、ストレージシステム、ＩＣカード、ＳＤカードや光学式記録媒体等の非一時的な記録媒体の読取／書込装置、クラウドサーバの非一時的な記憶領域等で構成することができる。補助記憶装置６０４には、記録媒体の読取装置や送受信装置６０５を介して、非一時的な記録媒体や非一時的な記憶装置を備えた他の情報処理装置からプログラムやデータを読み込むことができる。補助記憶装置６０４に格納（記憶）されているプログラムやデータは主記憶装置６０３に随時読み込まれる。

送受信装置６０５は、他の装置との間の通信を実現する装置である。送受信装置６０５は、ネットワークを介して他の装置との間の通信を実現する、有線方式又は無線方式の通信インタフェースであり、例えば、ＮＩＣ（Network Interface Card）、無線通信モジュール、ＵＳＢモジュール等である。

出力装置６０６と入力装置６０７は、ユーザとの間での対話処理（情報の受け付け、情報の提供等）を実現するユーザインタフェースを構成する。

出力装置６０６及び入力装置６０７については、監視対象端末１０２と、統合管理サーバ１０３と、マルウェア情報配信サーバ１０４と、データベース１０６とのいずれも備えなくてもよい。

図２～図５に示す各装置の演算装置２０２、３０２、４０２、及び５０３は、プロセッサ６０２が補助記憶装置６０４に記憶された適宜なプログラムを主記憶装置６０３にロードして実行することで実現される。

また、図２～図５に示す各装置の送受信部２０１、３０１、４０１、及び５０１は、送受信装置６０５により構成される。

また、図５に示すクライアント端末１０５の入出力部５０２は、出力装置６０６及び入力装置６０７により構成される。

（データ構成）
一実施形態に係る誤検知対応システム１０１において利用するデータについて説明する。誤検知対応システム１０１において利用するデータは、データベース１０６に格納されている。

図７は、一実施形態に係るデータベース１０６に格納されるデータテーブルを示す図である。データベース１０６は、検知ファイル情報テーブル７０１と、ホワイトリスト情報テーブル７０２と、正常ファイル情報テーブル７０３と、マルウェア情報テーブル７０４と、対処コスト情報テーブル７０５とを格納する。

図８は、一実施形態に係る検知ファイル情報テーブル７０１の構成を説明する図である。検知ファイル情報テーブル７０１は、監視対象端末１０２で検知された検知ファイル毎に１つのレコードを格納する。

検知ファイル情報テーブル７０１のレコードは、検知ファイルＩＤ８０１と、ファイル属性情報８０２と、特徴量８０３と、クラスタＩＤ８０４と、検知日時８０５と、ステータス８０６と、その他情報８０７とをデータ項目として有する。

検知ファイルＩＤ８０１には、監視対象端末１０２のマルウェア検知部２０３による検知処理が実行されたファイルの識別子が格納される。

ファイル属性情報８０２には、検知ファイルのファイル名やファイルパス、付属する電子照明書等のファイル属性情報が格納される。

特徴量８０３には、検知ファイルから抽出された特徴量が格納される。

クラスタＩＤ８０４には、ホワイトリストに格納された複数のクラスタのうち、検知ファイルが所属するクラスタの識別子が格納される。

検知日時８０５には、検知ファイルの、監視対象端末１０２のマルウェア検知部２０３による検知処理が実行された日時が格納される。

ステータス８０６には、検知ファイルに対する誤検知対応の対処状況（「未対処／誤検知／対処済」の３値）が格納される。

その他情報８０７には、後述するマルウェア対処画面の表示に必要な検知ファイルに関係する各情報が格納される。

図９は、一実施形態に係るホワイトリスト情報テーブル７０２の構成を説明する図である。ホワイトリスト情報テーブル７０２は、「ホワイトリスト」に相当し、以下の説明においても、単に「ホワイトリスト」と称する場合がある。

詳細は後述するが、ホワイトリストは、診断の対象となるファイルが、ヒューリスティック検知手法によって異常であると検知された後の対処処理を実行する際に用いるリストである。

ホワイトリスト情報テーブル７０２は、ホワイトリスト判定に用いるホワイトリストクラスタ毎に１つのレコードを格納する。ホワイトリスト情報テーブル７０２のレコードは、クラスタＩＤ９０１と、クラスタの代表点９０２と、クラスタの閾値９０３とをデータ項目として有する。

クラスタＩＤ９０１には、複数のホワイトリストクラスタを識別するための識別子が格納される。

クラスタの代表点９０２には、ホワイトリスト判定を行う際に用いる代表点の値が格納
される。

クラスタの閾値９０３には、ホワイトリスト判定を行う際に用いる閾値が格納される。

図１０は、一実施形態に係る正常ファイル情報テーブル７０３の構成を説明する図である。正常ファイル情報テーブル７０３は、監視対象端末１０２から取得した正常ファイル毎に１つのレコードを格納する。

正常ファイル情報テーブル７０３のレコードは、正常ファイルＩＤ１００１と、ファイル属性情報１００２と、特徴量１００３と、クラスタＩＤ１００４と、更新日時１００５とをデータ項目として有する。

正常ファイルＩＤ１００１には、正常ファイルの識別子が格納される。ファイル属性情報１００２には、ファイル名やファイルパス、付属する電子照明書等のファイル属性情報が格納される。特徴量１００３には、正常ファイルから抽出された特徴量が格納される。クラスタＩＤ１００４には、正常ファイルが所属するクラスタの識別子が格納される。更新日時１００５には、正常ファイルが監視対象端末１０２で更新された日時が格納される。

なお、正常ファイル情報テーブル７０３にレコードが格納される正常ファイルは、監視対象端末１０２のマルウェア検知部２０３が、正常であると検知したファイルである。

図１１は、一実施形態に係るマルウェア情報テーブル７０４の構成を説明する図である。マルウェア情報テーブル７０４は、マルウェア情報配信サーバ１０４から取得したマルウェア情報毎に１つのレコードを格納する。マルウェア情報テーブル７０４のレコードは、マルウェアＩＤ１１０１と、特徴量１１０２とをデータ項目として有する。

マルウェアＩＤ１１０１には、公知なマルウェアの識別子が格納される。特徴量１１０２には、マルウェアから抽出された特徴量が格納される。

図１２は、一実施形態に係る対処コスト情報テーブル７０５の構成を説明する図である。対処コスト情報テーブル７０５は、運用者が誤検知対処を実施した検知ファイル毎に１つのレコードを格納する。対処コスト情報テーブル７０５のレコードは、検知ファイルＩＤ１２０１と、対処時間１２０２とをデータ項目として有する。

検知ファイルＩＤ１２０１には、運用者が誤検知対処を実施した検知ファイルの識別子が格納される。対処時間１２０２には、運用者が検知ファイルの対処に要した時間が格納される。

なお、本実施形態においては、検知ファイル情報テーブル７０１と、ホワイトリスト情報テーブル７０２と、正常ファイル情報テーブル７０３と、マルウェア情報テーブル７０４と、対処コスト情報テーブル７０５とをデータベース１０６上に構築しているが、これらテーブルを監視対象端末１０２と、統合管理サーバ１０３との補助記憶装置６０４に格納するようにしてもよい。

また、各テーブルの少なくともいずれか複数を結合して１つのテーブルとしてもよく、より正規化されたテーブルとしてもよい。

＜マルウェア検知処理＞
本実施形態における誤検知対処方法の処理動作について、図１３を用いて説明する。図
１３は、一実施形態に係るマルウェア検知処理のフローチャート図である。

以下で説明する誤検知対処処理における各種動作は、誤検知対応システム１０１の構成要素、例えば統合管理サーバ１０３がプログラムを主記憶装置６０３などに読み出してプロセッサ６０２が実行することによって実現される。このプログラムは、以下に説明される各種の動作を行うためのコードから構成されている。

先ず、ステップ１３０１において、監視対象端末１０２のマルウェア検知部２０３は、監視対象端末１０２に内在する複数のファイルについて、ヒューリスティック検知手法により正常であるか異常であるかを検知する。

ヒューリスティック検知手法とは、既知のマルウェアのバイナリデータを機械学習し、マルウェアの特徴を表すバイナリパターンを生成し、パターンマッチする手法が考えられる。なお、本実施形態では、定期的にプログラムを実行しているが、ユーザが手動で実行してもよいし、ファイルシステムへの読み書きを監視し、ファイル書き込み時に実行してもよい。マルウェア検知部２０３は、定期的にプログラムを実行し、ステップ１３０１の処理を実行する。

次いで、ステップ１３０２において、監視対象端末１０２の特徴量抽出部２０４は、ステップ１３０１において異常であると検知された検知ファイルの特徴量を抽出する。

特徴量とは、例えばハッシュ値である。ハッシュ値を得る手法としては、ファジーハッシュアルゴリズムを用いる手法や局所性鋭敏型ハッシュを用いる手法を用いることができる。なお、本実施例では、１つの特徴量抽出手法を用いるが、複数の特徴量抽出手法により抽出した複数の特徴量を組み合わせて用いてもよい。

次いで、ステップ１３０３において、監視対象端末１０２のホワイトリスト判定部２０５は、ステップ１３０１において異常であると検知された検知ファイルが正常であるか否かを判定する。

つまり、ホワイトリスト判定部２０５は、ステップ１３０１における検知結果が、誤検知であるか否かを判定する。なお、ステップ１３０３の処理の詳細は、図１４のフローチャート図を用いて後に詳細に説明する。

ステップ１３０３において検知ファイルが正常と判定された場合（つまり、ステップ１３０１の検知結果が誤検知であると判定された場合）、ステップ１３０４に進み、監視対象端末１０２の誤検知対処要求部２０６は、統合管理サーバ１０３に誤検知対処処理の実行を要求する。

ステップ１３０４において、誤検知対処要求部２０６は、ここでの要求に際し、検知ファイルの情報を統合管理サーバ１０３に送信する。ここでの検知ファイルの情報とは、検知ファイルの識別子と、ファイルの属性情報と、ファイルから抽出した特徴量と、マルウェア検知部２０３が異常であると検知した日時と、ホワイトリスト判定の結果と、ファイル名と、その他情報とを含む情報である。

次いで、ステップ１３０５において、統合管理サーバ１０３の誤検知対処要求受信部３０３は、誤検知対処処理の要求を受け付け、統合管理サーバ１０３は、誤検知対処処理を実行する。なお、ステップ１３０５の処理の詳細は、図１６のフローチャート図を用いて後に詳細に説明する。

一方、ステップ１３０３において、検知ファイルが異常と判定された場合（つまり、ステップ１３０１の検知結果が正しいと判定された場合）、ステップ１３０６に進み、監視対象端末１０２のマルウェア対処要求部２０７は、統合管理サーバ１０３にマルウェア対処処理の実行を要求する。

ステップ１３０４において、マルウェア対処要求部２０７は、ここでの要求に際し、検知ファイルの情報を統合管理サーバ１０３に送信する。ここでの検知ファイルの情報とは、検知ファイルの識別子と、検知ファイルの属性情報と、検知ファイルから抽出した特徴量と、マルウェア検知部２０３が異常であると検知した日時と、ホワイトリスト判定の結果と、ファイル名と、その他情報とを含む情報である。

次いで、ステップ１３０７において、統合管理サーバ１０３のマルウェア対処要求受信部３０４がマルウェア対処処理リクエストを受け付け、統合管理サーバ１０３は、検知ファイルに関する情報を検知ファイル情報テーブル７０１（図８）に格納する。

ここで、検知ファイルＩＤ８０１と、ファイル属性情報８０２と、特徴量８０３と、検知日時８０５と、その他情報８０７と各項目に該当する情報は、マルウェア対処処理の要求（ステップ１３０６）に含まれている。

なお、この段階では、検知ファイルをいずれかのホワイトリストクラスタに分類する処理は実行されていないため、検知ファイルがいずれのホワイトリストクラスタに分類されるかは未確定である。

この場合、図８に示したクラスタＩＤ８０４は、どのクラスタにも含まれていないことを意味する「ＮＵＬＬ」記号とすればよい。また、ステータス８０６は、マルウェア対処が完了していないこと意味する「未対処」とすればよい。

＜ホワイトリスト判定処理＞
図１３のステップ１３０３（ホワイトリスト判定）の詳細について、図１４を用いて説明する。図１４は、一実施形態に係るホワイトリスト判定処理のフローチャート図である。

まず、ステップ１４０１において、監視対象端末１０２は、データベース１０６上のホワイトリスト情報テーブル７０２（図９）からホワイトリストクラスタのリストと各クラスタに関連する情報を取得する。

次いで、ステップ１４０２～１４０３において、監視対象端末１０２のホワイトリスト判定部２０５は、取得したホワイトリストクラスタに対して、反復的に閾値判定処理を実施する。

ホワイトリスト判定部２０５は、ステップ１４０３において、特徴量空間において一の検知ファイルの特徴量を示す点から、複数のクラスタの夫々の代表点までの距離と、複数のクラスタの夫々の閾値とに基づいて、検知ファイルが正常であるか否かを判定する。

具体的には、ホワイトリスト判定部２０５は、複数のクラスタのうちいずれか一のクラスタの代表点と、検知ファイルの特徴量を示す点との特徴量空間における距離が、いずれか一のクラスタの閾値より小さい場合に、検知ファイルは正常であると判定する。

ここで、ホワイトリスト判定部２０５が、検知ファイルが正常であるか否かを判定する処理を、図１５に示す例を用いて説明する。図１５の例では、２次元投影した特徴量空間
に、２つのクラスタ（クラスタ１及びクラスタ２）が存在する。

クラスタ１には、正常ファイルであるファイル１－１～ファイル１－３が所属している。クラスタ２には、正常ファイルであるファイル２－１～ファイル２－３が所属している。

ファイル１－１～ファイル１－３及びファイル２－１～ファイル２－３の夫々の特徴量を示す点が黒丸印で示されている。誤検知であるか否かの判定の対象となる検知ファイルの特徴量を示す点が、三角印で示されている。

この例では、２つのクラスタのうちクラスタ１の代表点（代表点１）と、検知ファイルの特徴量を示す点との特徴量空間における距離が、クラスタ１の閾値（閾値１）より大きい。一方、２つのクラスタのうちクラスタ２の代表点（代表点２）と、検知ファイルの特徴量を示す点との特徴量空間における距離が、クラスタ２の閾値（閾値２）より小さい。

そのため、この例では、ホワイトリスト判定部２０５は、検知ファイルは正常であると判定する。

特徴量空間における距離の測定手法としては、特徴量が数値ベクトルである場合は、ユークリッド距離等を利用することができ、特徴量が文字列の場合はレーベンシュタイン編集距離等を利用することができる。

なお、検知ファイルの特徴量は、ステップ１３０２の特徴量抽出処理において抽出されている。

本実施形態では、ステップ１４０３において、検知ファイルの特徴量を示す点と、クラスタの代表点との間の距離がクラスタの閾値よりも小さい場合、ホワイトリスト判定部２０５は、検知ファイルは正常と判定し、反復処理を打ち切る。

一方、検知ファイルの特徴量を示す点と、クラスタの代表点との間の距離がクラスタの閾値よりも大きい場合は反復処理を続ける。ステップ１４０３の反復処理の結果、全てのクラスタについて、検知ファイルの特徴量を示す点と、クラスタの代表点との間の距離がクラスタの閾値よりも大きい場合、ホワイトリスト判定部２０５は、検知ファイルは異常であると判定する。

＜誤検知対処処理＞
図１３のステップ１３０５（誤検知対処）の詳細について、図１６を用いて説明する。図１６は、一実施形態に係る誤検知対処処理のフローチャート図である。

先ず、ステップ１５０１において、統合管理サーバ１０３は、データベース１０６上の検知ファイル情報テーブル７０１（図８）から検知ファイルのリストと各検知ファイルのレコードを取得する。

次いで、ステップ１５０２～ステップ１５０３において、統合管理サーバ１０３のホワイトリストクラスタ特定部３０５は、取得した検知ファイルに対して、ホワイトリストクラスタ特定処理を実施する。

ホワイトリストクラスタ特定処理では、ホワイトリストクラスタ特定部３０５は、ステップ１３０１（図１３）において誤って異常であると検知された検知ファイルが所属すべきホワイトリストクラスタを特定する。

具体的には、ホワイトリストクラスタ特定部３０５は、一のホワイトリストクラスタを抽出し、検知ファイルが、抽出されたホワイトリストクラスタに所属するか否かを判定する（ステップ１５０３）。ホワイトリストクラスタ特定部３０５は、この処理を他のホワイトリストクラスタについても反復する（ステップ１５０２）。

検知ファイルが、抽出されたホワイトリストクラスタに所属するか否かを判定する方法としては、いくつかの方法が挙げられる。例えば、ファイル属性情報８０２（図８）に基づき、ファイルパスやファイル作成者名、ファイルに内在する電子証明書の発行者名等の一致度から評価する方法が挙げられる。

なお、本実施形態では、ホワイトリストクラスタを特定する手法として、ファイル属性情報８０２を用いた方法としているが、ホワイトリスト判定処理の閾値判定処理（図１４のステップ１４０３）と同様の方法を用い、検知ファイルの特徴量を示す点とクラスタの代表点との距離が最も小さいクラスタを所属すべきクラスタとして特定してもよい。

ステップ１５０３において、所属すべきクラスタが特定できなかった場合、ステップ１５０４に進み、ホワイトリストクラスタ特定部３０５は、新規クラスタを生成する。新規クラスタには、既存のクラスタの識別子と重複しない新規クラスタＩＤを発行し、クラスタの代表点を当該誤検知ファイルの特徴量の値とし、クラスタの閾値を事前に規定した初期値とする。

一方、ステップ１５０３において、所属すべきクラスタが特定された場合、ステップ１５０５に進み、ホワイトリストクラスタ特定部３０５は、検知ファイル情報テーブル７０１から、特定されたクラスタに所属する検知ファイルの各情報を取得する。

次いで、ステップ１５０６において、統合管理サーバ１０３のクラスタパラメータ算定部３０６は、クラスタの代表点とクラスタの閾値からなるクラスタパラメータを算定する。

ここでクラスタパラメータ算定部３０６が実行する処理を、図１７に示す例を用いて説明する。図１７の例では、２次元投影した特徴量空間に、２つのクラスタ（クラスタ１及びクラスタ２）が存在する。

クラスタ１には、正常ファイルであるファイル１－１～ファイル１－３が所属している。図示のように、ファイル１－１、ファイル１－２及びファイル１－３が、ステップ１３０１（図１３）においてマルウェア検知部２０３によって異常であると検知された日時はそれぞれ、２０２２年３月３日、２０２２年３月４日及び２０２２年３月５日である。クラスタ２には、正常ファイルであるファイル２－１～ファイル２－３が所属している。

クラスタパラメータ算定部３０６は、クラスタに所属する複数の検知ファイル（複数の正常ファイル）のうち、ステップ１３０１（図１３）において異常であると検知された日時が最新のファイルの特徴量を示す点に基づいて、クラスタの代表点を定める。

図１７の例では、クラスタパラメータ算定部３０６は、同一のクラスタ（クラスタ１）に所属するファイル１－１～ファイル１－３のうち、最も検知日時が新しいファイル１－３の特徴量を示す点をクラスタ１の代表点としている。

また、クラスタパラメータ算定部３０６は、クラスタに所属するいずれか一の正常ファイルの特徴量を示す点と、この正常ファイルに続いて異常であると検知された正常ファイ
ルの特徴量を示す点と、の特徴量空間における距離に基づいて、閾値を定める。

なお、ここでの２つの正常ファイルのうち、先に異常であると検知された正常ファイルは、「第１ファイル」に相当する。第１ファイルの特徴量を示す点は、「第１の点」に相当する。また、後に異常であると検知された正常ファイルは、「第２ファイル」に相当する。第２ファイルの特徴量を示す点は、「第２の点」に相当する。

図１７の例では、第２ファイルは、クラスタ１に所属する正常ファイルのうち、検知された日時が最新であるファイル１－３（検知された日時は２０２２年３月６日）に相当する。第１ファイルは、クラスタ１に所属する正常ファイルのうち、検知された日時が２番目に新しいファイル１－２（検知された日時は２０２２年３月５日）に相当する。

本実施形態では、クラスタパラメータ算定部３０６は、ステップ１３０１（図１３）において複数の検知ファイルが異常であると検知された日時に基き、クラスタに所属する検知ファイルを時系列順に並べ、特徴量を示す点の時系列的な変化量を算定し、変化量の加重平均をクラスタの閾値とする。

図１７の例では、クラスタパラメータ算定部３０６は、ファイル１－１の特徴量を示す点とファイル１－２の特徴量を示す点との間の変化量Ｌ１－１と、ファイル１－２の特徴量を示す点とファイル１－３の特徴量を示す点との間の変化量Ｌ１－２との加重平均により、クラスタ１の閾値を算定する。

次いで、ステップ１５０７において、統合管理サーバ１０３のクラスタパラメータ補正部３０７は、ステップ１５０４、またはステップ１５０６の後に、クラスタパラメータの補正を行う。クラスタパラメータの補正処理の詳細は、図１８のフローチャート図を用いて後に説明する。

なお、ステップ１５０７のクラスタパラメータの補正処理は必須ではなく、ステップ１５０６のクラスタパラメータの算定処理で算定したクラスタパラメータをそのまま利用することとしてもよい。

次いで、ステップ１５０８において、統合管理サーバ１０３は、ステップ１３０３（図１３）において正常と判定された（つまり、誤検知であると判定された）検知ファイルに関する情報を検知ファイル情報テーブル７０１（図８）に格納する。

図８に示した検知ファイルＩＤ８０１と、ファイル属性情報８０２と、特徴量８０３と、検知日時８０５と、その他情報８０７との各項目に該当する情報は、監視対象端末１０２から受信したマルウェア対処処理の要求（図１３のステップ１３０６）に含まれている。

クラスタＩＤ８０４は、ステップ１５０３のホワイトリストクラスタ特定処理により特定されているか、ステップ１５０４の新規クラスタ生成処理により新規生成されている。ステータス８０６（図８）は、誤検知であること意味する「誤検知」とすればよい。

次いで、ステップ１５０９において、統合管理サーバ１０３は、上記の処理で確定したホワイトリストクラスタに関する情報をホワイトリスト情報テーブル７０２（図９）の所定の項目に格納することにより、ホワイトリスト情報テーブル７０２を更新する。

ここで、確定したホワイトリストクラスタに関する情報とは、図９に示すクラスタＩＤ９０１と、クラスタの代表点９０２と、クラスタの閾値９０３とである。

クラスタＩＤ９０１は、ステップ１５０３のホワイトリストクラスタ特定処理により特定されているか、１５０４の新規クラスタ生成処理により新規生成されている。

クラスタの代表点９０２と、クラスタの閾値９０３とは、ステップ１５０６のクラスタパラメータの算定処理、及びステップ１５０７のクラスタパラメータの補正処理により算定されている。

＜クラスタパラメータ補正処理の詳細＞
ステップ１５０７（図１６）のクラスタパラメータ補正処理の詳細について図１８及び図１９を用いて説明する。図１８は、一実施形態に係るクラスタパラメータ補正処理のフローチャート図である

先ず、ステップ１７０１において、統合管理サーバ１０３は、マルウェア情報テーブル７０４（図１１）からクラスタの代表点に近いマルウェアの情報を取得する。なお、前述のように、マルウェアを「異常ファイル」とも称する。

ここで、統合管理サーバ１０３は、与えられたホワイトリストクラスタのクラスタの代表点とマルウェアの特徴量を示す点との間の距離に基づいて、クラスタの代表点に近いマルウェアの情報を取得する。なお、ここで取得されるマルウェアの情報の数は事前に定めた任意の値でよい。

ここで、マルウェアの情報の数とは、例えばホワイトリストクラスタ毎に１（つまり、合計するとホワイトリストクラスタの数）であってもよい。この場合、統合管理サーバ１０３は、特徴量空間において、複数のホワイトリストクラスタの夫々の代表点について、特徴量を示す点が最も近いマルウェアの情報を取得すればよい。

或いは、マルウェアの情報の数とは、例えばホワイトリストクラスタ毎に１限られず、複数であってもよい。この場合、統合管理サーバ１０３は、特徴量空間において、複数のホワイトリストクラスタの夫々の代表点について、特徴量を示す点が近い順に所定の数のマルウェアの情報を取得すればよい。

図１９の例では、２次元投影した特徴量空間に、２つのクラスタ（クラスタ１及びクラスタ２）が存在する。

クラスタ１には、正常ファイルであり、最新のファイル１が示されている。クラスタ２には、正常ファイルであり、最新のファイル２が示されている。なお、２つのクラスタの夫々について、最新のファイル以外のファイルの図示を省略している。

ファイル１及びファイル２の夫々の特徴量を示す点が黒丸印で示されている。更に、マルウェアの特徴量を示す点が、白丸印で示されている。

この例では、クラスタ１に対して３個のマルウェア情報が取得され、クラスタ２に対しては１個のマルウェア情報が取得されたことを示している。

次いで、ステップ１７０２において、統合管理サーバ１０３のクラスタパラメータ補正部３０７は、マルウェアの特徴量を抽出し、閾値を、特徴量空間においてマルウェアの特徴量を示す点と、クラスタの代表点との距離に基づいて補正する。

具体的には、クラスタパラメータ補正部３０７は、クラスタの代表点と近傍のマルウェ
アの特徴量を示す点との距離から定まる補正値を、クラスタの閾値から減算する。補正値としては、例えばクラスタの代表点と近傍のマルウェアの特徴量との間の特徴量間距離の平均の逆数と事前に定めた定数を乗算した値が考えられる。

即ち、補正値は、クラスタの代表点と近傍のマルウェアの特徴量との間の特徴量間距離が小さい程、大きくなる値としてもよい。

なお、閾値を補正する方法は、これに限られない。例えば、特徴量空間においてマルウェアの特徴量を示す点と、クラスタの代表点との距離よりも小さくなるよう、閾値を補正してもよい。

図１９の例では、クラスタの閾値の補正前は、クラスタ１の代表点１から閾値１の範囲内には、３個のマルウェア（マルウェア１～３）の特徴量を示す点が存在している。また、クラスタ２の代表点２から閾値２の範囲内には、１個のマルウェア（マルウェア４）の特徴量を示す点が存在している。

これに対し、クラスタの閾値に上記の補正により、クラスタ１の閾値１については補正値１が減算され、クラスタ２の閾値２については補正値２が減算される。これにより、いずれのクラスタについても、閾値の補正後は、クラスタの代表点から閾値の範囲内には、マルウェアの特徴量を示す点が存在しなくなる。

次いで、ステップ１７０３において、統合管理サーバ１０３は、対処コスト情報テーブル７０５から検知ファイルに対する対処時間１２０２のリストを取得し、平均対処時間を算定する。

次いで、ステップ１７０４において、統合管理サーバ１０３は、検知ファイル情報テーブル７０１から当該クラスタに所属する検知ファイルの検知日時８０５のリストを取得し、誤検知頻度を算定する。

次いで、ステップ１７０５において、統合管理サーバ１０３のクラスタパラメータ補正部３０７は、ステップ１３０３（図１３）において正常であると判定されたファイルをホワイトリストに登録する際の処理時間が長いほど、正常であると判定されたファイルが所属するクラスタの閾値を大きく補正する。

また、ステップ１７０５において、クラスタパラメータ補正部３０７は、所定期間において、ヒューリスティック検知手法によって異常であると検知されたファイルが分類される頻度に基づいて、クラスタの閾値を補正する。

本実施形態では、クラスタパラメータ補正部３０７は、平均対処時間と誤検知頻度から定まる補正値をクラスタの閾値に加算する。補正値としては、例えば平均対処時間と誤検知頻度と事前に定めた定数を乗算した値が考えられる。即ち、補正値は、平均対処時間が長い程、大きくなる値であり、検知頻度が高い程、大きくなる値であればよい。

（運用者によるマルウェア対処処理）
図２０は、一実施形態に係る運用者によるマルウェア対処処理のフローチャート図である。図２１に運用者に提示されるマルウェア対処画面１９０１の例である。

先ず、ステップ１８０１において、運用者がクライアント端末１０５を介して、マルウェア対処画面１９０１にアクセスする。なお、本実施形態では、運用者の意思決定に基づいた任意のタイミングで開始とするが、例えばメール等の通知システム等を介して運用者
にマルウェア対処処理を促してもよい。

なお、図２１に示すマルウェア対処画面１９０１は、検知ファイル一覧１９０２と、検知ファイル詳細情報リンク１９０３と、検知ファイル詳細情報１９０４と、ホワイトリスト判定結果１９０５と、対処結果報告ボタン１９０６とを備えている。

検知ファイル一覧１９０２は、検知ファイル情報テーブル７０１に格納された検知ファイルに関する各情報を表示したものである。

検知ファイル詳細情報リンク１９０３は、運用者が選択した検知ファイルに関する詳細情報を表示させるためのボタンである。本実施形態では、検知ファイル一覧１９０２の検知ファイル名をハイパーリンクとすることで、検知ファイルの選択を可能としている。

検知ファイル詳細情報１９０４は、運用者が選択した検知ファイルの詳細情報を表示したものである。本実施形態では、運用者が検知ファイル詳細情報リンク１９０３を押すことで、動的に表示している。

ホワイトリスト判定結果１９０５は、運用者が選択した検知ファイルの判定結果を表示したものである。本実施形態では、ホワイトリスト判定による正常又は異常の２値の判定結果だけでなく、検知ファイルの特徴量や検知ファイルに最も近いホワイトリストクラスタの情報を２次元の特徴空間に投影することでグラフとしている。

対処結果報告ボタン１９０６は、運用者が選択した検知ファイルに対して実施した対処結果を報告するボタンである。本実施形態では、誤検知であることを報告する誤検知ボタンと対処済であることを報告する対処済ボタンを設置している。

次いで、ステップ１８０２において、運用者はクライアント端末１０５を介して、マルウェア対処画面１９０１から検知ファイルを選択する。

次いで、ステップ１８０３において、運用者は選択した検知ファイルに対して、適切なインシデント対処を実施し、マルウェア対処画面１９０１から対処結果を報告する。インシデント対処としては、発生したインシデントの調査やセキュリティ部門への報告、検知ファイルの解析、対策立案等が含まれる。なお、インシデント対処の結果、当該検知ファイルが誤検知された正常ファイルであると判明する場合もあるし、マルウェアとして処理される場合もある。

ステップ１８０３のインシデント対処処理において、検知ファイルが対処済と報告された場合、統合管理サーバ１０３は、検知ファイル情報テーブル７０１（図８）の検知ファイルに関するステータス８０６を「対処済」に更新する。

一方、ステップ１８０３のインシデント対処処理において、検知ファイルが誤検知と報告された場合、統合管理サーバ１０３は、検知ファイルの対処に要した時間を対処コスト情報テーブル７０５（図１２）に登録する。

対処に要した時間は、運用者がマルウェア対処画面１９０１で検知ファイル詳細情報リンク１９０３を押してから、対処結果報告ボタン１９０６を押すまでの時間をクライアント端末１０５上で計測すればよい。

次いで、ステップ１８０７において、統合管理サーバ１０３は、検知ファイルに対して、誤検知対処処理を実施する。誤検知対処処理は、前述の誤検知対処処理（図１６）と同
様である。

次いで、ステップ１８０８において、統合管理サーバ１０３は、検知ファイル情報テーブル７０１（図８）の検知ファイルに関するステータス８０６を、「未対応」から「誤検知」に更新する。

＜マルウェア情報収集処理＞
図２２は、一実施形態に係るマルウェア情報収集処理のフローチャート図である。

先ず、ステップ２００１において、統合管理サーバ１０３は、マルウェア情報配信サーバ１０４からマルウェア情報を取得する。統合管理サーバ１０３は、ステップ２００１を定期的に実行する。

次いで、ステップ２００２において、統合管理サーバ１０３は、取得したマルウェア情報をマルウェア情報テーブル７０４（図１１）に格納する。ここで、マルウェアＩＤ１１０１と、特徴量１１０２とは、マルウェア情報配信サーバ１０４が配信するマルウェア情報に含まれている。

次いで、ステップ２００３において、統合管理サーバ１０３は、ホワイトリスト情報テーブル７０２（図９）からホワイトリストクラスタのリストを取得する。

次いで、ステップ２００４～ステップ２００５において、統合管理サーバ１０３のクラスタパラメータ補正部３０７は、全てのクラスタに対してクラスタパラメータの補正処理を実施する。この処理は、前述のクラスタパラメータの補正処理（図１８）と同様である。

次いで、ステップ２００６において、統合管理サーバ１０３は、ホワイトリスト情報テーブル７０２のクラスタ情報を更新する。クラスタの閾値９０３は、ステップ２００５のクラスタパラメータの補正処理により更新されている。

なお、マルウェア情報収集処理は、ステップ２００５のクラスタパラメータの補正処理で利用されるマルウェア情報を収集するためのものである。クラスタパラメータの補正処理を実施しないのであれば、マルウェア情報収集処理も実施しなくてよい。

＜正常ファイル収集処理＞
図２３は、一実施形態に係る正常ファイル収集処理のフローチャート図である。

先ず、ステップ２１０１において、監視対象端末１０２は、統合管理サーバ１０３に正常ファイルのリストを送信する。監視対象端末１０２は、ステップ２１０１の処理を定期的に実行する。

次いで、ステップ２１０２において、統合管理サーバ１０３は、取得した正常ファイル情報を正常ファイル情報テーブル７０３（図１０）に格納し、正常ファイル情報テーブル７０３の正常ファイル情報を全件取得する。

図１０に示す正常ファイルＩＤ１００１と、ファイル属性情報１００２と、特徴量１００３と、更新日時１００５とは、監視対象端末１０２から送信される正常ファイル情報に含まれている。なお、クラスタＩＤ１００４は、後に更新されるため、この段階では「ＮＵＬＬ」記号とすればよい。

次いで、ステップ２１０３において、統合管理サーバ１０３は、正常ファイルを正常ファイルの属性情報のクラスタに分類する。クラスタに分類する方法としては、前述の誤検知対応処理（図１６）のステップ１５０３（ホワイトリストクラスタ特定処理）と同様の方法を利用すればよい。

次いで、ステップ２１０４において、統合管理サーバ１０３は、正常ファイル情報テーブル７０３（図１０）のクラスタＩＤ１００４を更新する。クラスタＩＤ１００４は、ステップ２１０３のクラスタ分類処理により決定されている。

次いで、ステップ２１０４～ステップ２１０６において、統合管理サーバ１０３は、反復的に全てのクラスタに対して、クラスタパラメータの算定処理（ステップ２１０５）とクラスタパラメータの補正処理（ステップ２１０６）を実施する。

ステップ２１０５のクラスタパラメータの算定処理では、前述の誤検知対応処理（図１６）のクラスタパラメータ算定処理（ステップ１５０６）と同様の処理をすればよい。

クラスタパラメータの補正処理では、前述のクラスタパラメータ補正処理（図１８）と同様の処理をすればよい。

次いで、ステップ２１０７において、統合管理サーバ１０３は、ホワイトリスト情報テーブル７０２のクラスタ情報を格納する。クラスタＩＤ１００４は、ステップ２１０３のクラスタ分類処理により決定されている。

クラスタの代表点９０２と、クラスタの閾値９０３とは、ステップ２１０５のクラスタパラメータの算定処理と、ステップ２１０６のクラスタパラメータの補正処理とにより決定されている。

この正常ファイル収集処理により、セキュリティ運用開始直後等、ホワイトリスト情報が十分に獲得出来ていない場合でもホワイトリスト判定を実施可能になる。例えばセキュリティ運用前に正常ファイルの観測期間を設けることで、セキュリティ運用開始時からホワイトリスト判定を適切に実施することが出来る。

なお、本発明は、上述の実施形態に限定されるものではなく、本発明の趣旨を逸脱しない範囲で、適宜変形して実施することが可能である。例えば、上記した実施形態は本発明を分かりやすく説明するために詳細に説明したものであり、必ずしも説明した全ての構成を備えるものに限定されるものではない。

また、上記の各構成、機能、処理部、処理手段などは、それらの一部又は全部を、例えば集積回路で設計するなどによりハードウェアで実現してもよい。また、上記の各構成、機能などは、プロセッサがそれぞれの機能を実現するプログラムを解釈し、実行することによりソフトウェアで実現してもよい。各機能を実現するプログラム、テーブル、ファイルなどの情報は、メモリや、ハードディスク、ＳＳＤ（Ｓｏｌｉｄ Ｓｔａｔｅ Ｄｒｉｖｅ）などの記録装置、または、ＩＣカード、ＳＤカード、ＤＶＤなどの記録媒体に置くことができる。
また、制御線や情報線は説明上必要と考えられるものを示しており、製品上必ずしも全ての制御線や情報線を示しているとは限らない。実際には殆ど全ての構成が相互に接続されていると考えてもよい。

＝＝まとめ＝＝
以上、実施形態の誤検知対応システム１０１は、演算装置及び記憶装置を有する情報処
理装置を用いて構成され、複数の正常ファイルが所定の特徴量に基づいて分類された複数のクラスタの夫々の特徴量空間における代表点と、複数のクラスタの夫々の範囲を定めるべく代表点からの距離を示す閾値と、を含むホワイトリストを記憶し、ヒューリスティック検知手法によって異常であると検知された検知ファイルの特徴量を抽出し、特徴量空間において、検知ファイルの特徴量を示す点から、複数のクラスタの夫々の代表点までの距離と、複数のクラスタの夫々の閾値とに基づいて、ヒューリスティック検知手法によって異常であると検知された検知ファイルが正常であるか否かを判定する処理を実行する。

このような構成によれば、複数のクラスタの夫々の情報を判定に用いるため、複数の正常ファイルの夫々の情報を用いる場合に比べて必要な情報量は少ない。従って、ヒューリスティック検知手法による検知結果が誤検知であるか否かを容易に判定することが可能となる。

実施形態の誤検知対応システム１０１において、複数のクラスタのうちいずれか一のクラスタの代表点と、検知ファイルの特徴量を示す点との特徴量空間における距離が、いずれか一のクラスタの閾値より小さい場合に、検知ファイルは正常であると判定する。このような構成によれば、誤検知であるか否かの判定の精度が向上する。

実施形態の誤検知対応システム１０１において、正常ファイルは、ヒューリスティック検知手法によって異常であると検知された後に正常であると判定されたファイルであり、クラスタに所属する複数の正常ファイルのうち、異常であると検知された日時が最新のファイルの特徴量を示す点に基づいて、代表点を定める。このような構成によれば、マルウェアの進化に合わせて、最適な代表点を算定することができる。

実施形態の誤検知対応システム１０１において、クラスタに所属する複数の正常ファイルのうち、第１ファイルの特徴量を示す第１の点と、第１ファイルに続いて異常であると検知された第２ファイルの特徴量を示す第２の点と、の特徴量空間における距離に基づいて、閾値を定める。このような構成によれば、マルウェアの進化に合わせて、最適な閾値を算定することができる。

実施形態の誤検知対応システム１０１において、異常ファイルの特徴量を抽出する処理と、特徴量空間において異常ファイルの特徴量を示す点と、クラスタの代表点との距離に基づいて、閾値を補正する。このような構成によれば、特徴量空間においてクラスタの近傍にマルウェアの特徴量を示す点が多く存在するような場合、クラスタの閾値を小さくすることができる。即ち、ホワイトリスト判定において、クラスタの近傍に存在するマルウェアの亜種を誤って正常と判定してしまうリスクを低減することが可能になる。

実施形態の誤検知対応システム１０１において、正常であると判定されたファイルをホワイトリストに登録する際の処理時間が長いほど、正常であると判定されたファイルが所属するクラスタの閾値を大きくする。このような構成によれば、運用者によるマルウェアへの対処処理の作業工数が大きい場合に、ホワイトリストへの信頼度を高め、運用者によるマルウェアへの対処コストを低減することが可能になる。

実施形態の誤検知対応システム１０１において、所定期間において、ヒューリスティック検知手法によって異常であると検知されたファイルが分類される頻度に基づいて、クラスタの閾値を補正する。このような構成によれば、誤検知頻度が高い場合に、ホワイトリストへの信頼度を高め、運用者によるマルウェアへの対処コストを低減することが可能になる。

実施形態の誤検知対応方法は、演算装置及び記憶装置を有する情報処理装置が、複数の
正常ファイルが所定の特徴量に基づいて分類された複数のクラスタの夫々の特徴量空間における代表点と、複数のクラスタの夫々の範囲を定めるべく代表点からの距離を示す閾値と、を含むホワイトリストを記憶するステップと、ヒューリスティック検知手法によって異常であると検知された検知ファイルの特徴量を抽出するステップと、特徴量空間において、検知ファイルの特徴量を示す点から、複数のクラスタの夫々の代表点までの距離と、複数のクラスタの夫々の閾値とに基づいて、ヒューリスティック検知手法によって異常であると検知された検知ファイルが正常であるか否か判定するステップと、を実行する。

このような方法によれば、複数のクラスタの夫々の情報を判定に用いるため、複数の正常ファイルの夫々の情報を用いる場合に比べて必要な情報量は少ない。従って、ヒューリスティック検知手法による検知結果が誤検知であるか否かを容易に判定することが可能となる。

実施形態のプログラムは、演算装置及び記憶装置を有する情報処理装置に、複数の正常ファイルが所定の特徴量に基づいて分類された複数のクラスタの夫々の特徴量空間における代表点と、複数のクラスタの夫々の範囲を定めるべく代表点からの距離を示す閾値と、を含むホワイトリストを記憶する機能と、ヒューリスティック検知手法によって異常であると検知された検知ファイルの特徴量を抽出する機能と、特徴量空間において、検知ファイルの特徴量を示す点から、複数のクラスタの夫々の代表点までの距離と、複数のクラスタの夫々の閾値とに基づいて、ヒューリスティック検知手法によって異常であると検知された検知ファイルが正常であるか否か判定する機能と、を実現させる。

このようなプログラムによれば、複数のクラスタの夫々の情報を判定に用いるため、複数の正常ファイルの夫々の情報を用いる場合に比べて必要な情報量は少ない。従って、ヒューリスティック検知手法による検知結果が誤検知であるか否かを容易に判定することが可能となる。

１０１：誤検知対応システム
１０２：監視対象端末
１０３：統合管理サーバ
１０４：マルウェア情報配信サーバ
１０５：クライアント端末
１０６：データベース
１０７ａ：ネットワーク
１０７ｂ：ネットワーク
２０１：送受信部
２０２：演算装置
２０３：マルウェア検知部
２０４：特徴量抽出部
２０５：ホワイトリスト判定部
２０６：誤検知対処要求部
２０７：マルウェア対処要求部
２０８：正常ファイル出力部
３０１：送受信部
３０２：演算装置
３０３：誤検知対処要求受信部
３０４：マルウェア対処要求受信部
３０５：ホワイトリストクラスタ特定部
３０６：クラスタパラメータ算定部
３０７：クラスタパラメータ補正部
３０８：マルウェア対処画面生成部
３０９：マルウェア情報収集部
３１０：正常ファイル情報受信部
４０１：送受信部
４０２：演算装置
４０３：マルウェア情報配信部
５０１：送受信部
５０２：入出力部
５０３：演算装置
６０１：コンピュータ装置
６０２：プロセッサ
６０３：主記憶装置
６０４：補助記憶装置
６０５：送受信装置
６０６：出力装置
６０７：入力装置
７０１：検知ファイル情報テーブル
７０２：ホワイトリスト情報テーブル
７０３：正常ファイル情報テーブル
７０４：マルウェア情報テーブル
７０５：対処コスト情報テーブル
８０１：検知ファイルＩＤ
８０２：ファイル属性情報
８０３：特徴量
８０４：クラスタＩＤ
８０５：検知日時
８０６：ステータス
８０７：その他情報
９０１：クラスタＩＤ
９０２：クラスタの代表点
９０３：クラスタの閾値
１００１：正常ファイルＩＤ
１００２：ファイル属性情報
１００３：特徴量
１００４：クラスタＩＤ
１００５：更新日時
１１０１：マルウェアＩＤ
１１０２：特徴量
１２０１：検知ファイルＩＤ
１２０２：対処時間
１９０１：マルウェア対処画面
１９０２：検知ファイル一覧
１９０３：検知ファイル詳細情報リンク
１９０４：検知ファイル詳細情報
１９０５：ホワイトリスト判定結果
１９０６：対処結果報告ボタン

Claims (9)

1. 演算装置及び記憶装置を有する情報処理装置を用いて構成され、
   複数の正常ファイルが所定の特徴量に基づいて分類された複数のクラスタの夫々の特徴量空間における代表点と、前記複数のクラスタの夫々の範囲を定めるべく前記代表点からの距離を示す閾値と、を含むホワイトリストを記憶し、
   ヒューリスティック検知手法によって異常であると検知された検知ファイルの前記特徴量を抽出し、
   特徴量空間において、前記検知ファイルの前記特徴量を示す点から、前記複数のクラスタの夫々の代表点までの距離と、前記複数のクラスタの夫々の閾値とに基づいて、ヒューリスティック検知手法によって異常であると検知された前記検知ファイルが正常であるか否かを判定する処理
   を実行する誤検知対応システム。
2. 請求項１に記載の誤検知対応システムであって、
   前記複数のクラスタのうちいずれか一のクラスタの代表点と、前記検知ファイルの特徴量を示す点との前記特徴量空間における距離が、前記いずれか一のクラスタの閾値より小さい場合に、前記検知ファイルは正常であると判定する、
   誤検知対応システム。
3. 請求項２に記載の誤検知対応システムであって、
   前記正常ファイルは、ヒューリスティック検知手法によって異常であると検知された後に正常であると判定されたファイルであり、
   クラスタに所属する前記複数の正常ファイルのうち、異常であると検知された日時が最新のファイルの前記特徴量を示す点に基づいて、前記代表点を定める、
   誤検知対応システム。
4. 請求項３に記載の誤検知対応システムであって、
   クラスタに所属する前記複数の正常ファイルのうち、第１ファイルの前記特徴量を示す第１の点と、前記第１ファイルに続いて異常であると検知された第２ファイルの前記特徴量を示す第２の点と、の前記特徴量空間における距離に基づいて、前記閾値を定める、
   誤検知対応システム。
5. 請求項１～４のいずれか一に記載の誤検知対応システムであって、
   異常ファイルの前記特徴量を抽出する処理と、
   前記特徴量空間において前記異常ファイルの特徴量を示す点と、クラスタの前記代表点との距離に基づいて、前記閾値を補正する、
   誤検知対応システム。
6. 請求項１～４のいずれか一に記載の誤検知対応システムであって、
   正常であると判定されたファイルを前記ホワイトリストに登録する際の処理時間が長いほど、前記正常であると判定されたファイルが所属するクラスタの閾値を大きくする、
   誤検知対応システム。
7. 請求項１～４のいずれか一に記載の誤検知対応システムであって、
   所定期間において、ヒューリスティック検知手法によって異常であると検知されたファイルが分類される頻度に基づいて、クラスタの前記閾値を補正する、
   誤検知対応システム。
8. 演算装置及び記憶装置を有する情報処理装置が、
   複数の正常ファイルが所定の特徴量に基づいて分類された複数のクラスタの夫々の特徴量空間における代表点と、前記複数のクラスタの夫々の範囲を定めるべく前記代表点からの距離を示す閾値と、を含むホワイトリストを記憶するステップと、
   ヒューリスティック検知手法によって異常であると検知された検知ファイルの前記特徴量を抽出するステップと、
   特徴量空間において、前記検知ファイルの前記特徴量を示す点から、前記複数のクラスタの夫々の代表点までの距離と、前記複数のクラスタの夫々の閾値とに基づいて、ヒューリスティック検知手法によって異常であると検知された前記検知ファイルが正常であるか否か判定するステップと、
   を実行する誤検知対応方法。
9. 演算装置及び記憶装置を有する情報処理装置に、
   複数の正常ファイルが所定の特徴量に基づいて分類された複数のクラスタの夫々の特徴量空間における代表点と、前記複数のクラスタの夫々の範囲を定めるべく前記代表点からの距離を示す閾値と、を含むホワイトリストを記憶する機能と、
   ヒューリスティック検知手法によって異常であると検知された検知ファイルの前記特徴量を抽出する機能と、
   特徴量空間において、前記検知ファイルの前記特徴量を示す点から、前記複数のクラスタの夫々の代表点までの距離と、前記複数のクラスタの夫々の閾値とに基づいて、ヒューリスティック検知手法によって異常であると検知された前記検知ファイルが正常であるか否か判定する機能と、
   を実現させるためのプログラム。
   

Images