JP4327698B2 - ネットワーク型ウィルス活動検出プログラム、処理方法およびシステム - Google Patents
ネットワーク型ウィルス活動検出プログラム、処理方法およびシステム Download PDFInfo
- Publication number
- JP4327698B2 JP4327698B2 JP2004304711A JP2004304711A JP4327698B2 JP 4327698 B2 JP4327698 B2 JP 4327698B2 JP 2004304711 A JP2004304711 A JP 2004304711A JP 2004304711 A JP2004304711 A JP 2004304711A JP 4327698 B2 JP4327698 B2 JP 4327698B2
- Authority
- JP
- Japan
- Prior art keywords
- network
- communication
- network communication
- virus activity
- activity detection
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Expired - Fee Related
Links
Images
Classifications
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L63/00—Network architectures or network communication protocols for network security
- H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
- H04L63/1441—Countermeasures against malicious traffic
- H04L63/145—Countermeasures against malicious traffic the attack involving the propagation of malware through the network, e.g. viruses, trojans or worms
-
- G—PHYSICS
- G06—COMPUTING; CALCULATING OR COUNTING
- G06F—ELECTRIC DIGITAL DATA PROCESSING
- G06F11/00—Error detection; Error correction; Monitoring
- G06F11/30—Monitoring
- G06F11/3003—Monitoring arrangements specially adapted to the computing system or computing system component being monitored
- G06F11/3006—Monitoring arrangements specially adapted to the computing system or computing system component being monitored where the computing system is distributed, e.g. networked systems, clusters, multiprocessor systems
-
- G—PHYSICS
- G06—COMPUTING; CALCULATING OR COUNTING
- G06F—ELECTRIC DIGITAL DATA PROCESSING
- G06F11/00—Error detection; Error correction; Monitoring
- G06F11/30—Monitoring
- G06F11/3003—Monitoring arrangements specially adapted to the computing system or computing system component being monitored
- G06F11/3041—Monitoring arrangements specially adapted to the computing system or computing system component being monitored where the computing system component is an input/output interface
-
- G—PHYSICS
- G06—COMPUTING; CALCULATING OR COUNTING
- G06F—ELECTRIC DIGITAL DATA PROCESSING
- G06F11/00—Error detection; Error correction; Monitoring
- G06F11/30—Monitoring
- G06F11/3055—Monitoring arrangements for monitoring the status of the computing system or of the computing system component, e.g. monitoring if the computing system is on, off, available, not available
-
- G—PHYSICS
- G06—COMPUTING; CALCULATING OR COUNTING
- G06F—ELECTRIC DIGITAL DATA PROCESSING
- G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
- G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
- G06F21/55—Detecting local intrusion or implementing counter-measures
- G06F21/56—Computer malware detection or handling, e.g. anti-virus arrangements
- G06F21/566—Dynamic detection, i.e. detection performed at run-time, e.g. emulation, suspicious activities
-
- G—PHYSICS
- G06—COMPUTING; CALCULATING OR COUNTING
- G06F—ELECTRIC DIGITAL DATA PROCESSING
- G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
- G06F21/70—Protecting specific internal or peripheral components, in which the protection of a component leads to protection of the entire computer
- G06F21/82—Protecting input, output or interconnection devices
- G06F21/85—Protecting input, output or interconnection devices interconnection devices, e.g. bus-connected or in-line devices
Landscapes
- Engineering & Computer Science (AREA)
- Theoretical Computer Science (AREA)
- Computer Security & Cryptography (AREA)
- Physics & Mathematics (AREA)
- General Engineering & Computer Science (AREA)
- Computing Systems (AREA)
- General Physics & Mathematics (AREA)
- Computer Hardware Design (AREA)
- Software Systems (AREA)
- Quality & Reliability (AREA)
- Health & Medical Sciences (AREA)
- Virology (AREA)
- General Health & Medical Sciences (AREA)
- Mathematical Physics (AREA)
- Computer Networks & Wireless Communication (AREA)
- Signal Processing (AREA)
- Computer And Data Communications (AREA)
- Data Exchanges In Wide-Area Networks (AREA)
Description
本発明は、ネットワーク型ウィルスによるゼロデイアタックを受けたクライアントＰＣ（コンピュータ）がネットワークに対して感染活動を行った場合に、当該感染活動を検出・停止する処理をコンピュータに実行させるためのネットワーク型ウィルス活動検出プログラム、処理方法およびシステムに関する。
より詳しくは、ネットワーク型ウィルスによるゼロデイアタックと呼ばれる、ベンダが脆弱性情報やパッチプログラムを公開する前にその脆弱性を悪用して行われる攻撃を受けたクライアントＰＣがネットワークに対して感染活動とみなされるプロセスを実行している場合に、例えばシグネチャのようなウィルスを特定するための情報を使用せずに当該プロセスが不正なものであるか否かを自動的に判別し、停止するネットワーク型ウィルス活動検出プログラム、処理方法およびシステムに関する。
従来のネットワーク型ウィルス活動検出システムに関する技術として、以下のようなものが存在する。
（１）従来技術１
ジュピターテクノロジー株式会社の「ウィルス・ワーム除去ツール」は、ウィルスごとのユニークな一連の文字や数値などの情報であるシグネチャを利用してＰＣのＯＳ（オペレーティングシステム）のメモリをスキャンし、ウィルスを検出すると当該プロセスを停止して、ウィルスの感染拡大を防止、または、当該プロセスを停止できない場合はその通信を停止するものである（非特許文献１参照）。
（２）従来技術２
シマンテック社の「Ｓｙｍａｎｔｅｃ Ｃｌｉｅｎｔ Ｓｅｃｕｒｉｔｙ ２．０ （ＳＣＳ ２．０）」は、アンチウィルスソフト、パーソナルファイアウォール、侵入検知を備えるクライアントＰＣ向けの統合セキュリティ対策ソフトであり、シグネチャを利用してウィルスを検出し、新しい通信を発生させたプロセスの存在をユーザに通知する。
ジュピターテクノロジー株式会社、"ウィルス・ワーム除去ツール"、［online］、［平成１６年９月３０日検索］、インターネット＜URL:http://www.jtc-i.co.jp/avast/avast50-cleaner.htm＞
（１）従来技術１
ジュピターテクノロジー株式会社の「ウィルス・ワーム除去ツール」は、ウィルスごとのユニークな一連の文字や数値などの情報であるシグネチャを利用してＰＣのＯＳ（オペレーティングシステム）のメモリをスキャンし、ウィルスを検出すると当該プロセスを停止して、ウィルスの感染拡大を防止、または、当該プロセスを停止できない場合はその通信を停止するものである（非特許文献１参照）。
（２）従来技術２
シマンテック社の「Ｓｙｍａｎｔｅｃ Ｃｌｉｅｎｔ Ｓｅｃｕｒｉｔｙ ２．０ （ＳＣＳ ２．０）」は、アンチウィルスソフト、パーソナルファイアウォール、侵入検知を備えるクライアントＰＣ向けの統合セキュリティ対策ソフトであり、シグネチャを利用してウィルスを検出し、新しい通信を発生させたプロセスの存在をユーザに通知する。
ジュピターテクノロジー株式会社、"ウィルス・ワーム除去ツール"、［online］、［平成１６年９月３０日検索］、インターネット＜URL:http://www.jtc-i.co.jp/avast/avast50-cleaner.htm＞
しかし、従来技術１は、シグネチャを利用してウィルスを検出するものであるため、ゼロデイアタックによるウィルスの活動を検出したり停止したりすることができない。また、ウィルス検出処理においてウィルスごとのシグネチャを使用するために処理が重くなるという問題がある。
一方、従来技術２では、プロセスが新たな通信を発生させた場合に、当該プロセスが不正なものであるか否かを自動的に判別することができない。そのため、プロセスの正当性の判断をユーザ任せにせざるを得ない。
本発明は、かかる問題点に鑑みてなされたものであり、その目的は、未知のウィルスによる攻撃を受けたクライアントＰＣがネットワークに対して感染活動とみなされるプロセスを実行している場合に、ウィルスごとのシグネチャを使用せずに当該通信を行っているプロセスの正当性を自動的に判別し、不正なプロセスを停止して、ウィルス感染の拡大防止を図るシステム、処理方法およびプログラムを提供することである。
本発明は、ネットワークに接続されたコンピュータ内でのネットワーク型ウィルスの活動を検出するネットワーク型ウィルス活動検出処理方法を、プロセスのネットワーク通信に係る挙動であるプロセス通信挙動と、当該プロセスの上位プロセスのネットワーク通信に係る挙動である上位プロセス通信挙動とを対応づけて不正プロセスの定義として記録した不正プロセス判定テーブルを記憶部に格納したコンピュータに実行させるためのプログラムであって、プロセスがネットワーク通信を発生させた際、当該ネットワーク通信を発生させたプロセスのネットワーク通信の挙動をプロセスログとして記憶部に記録するログ取得ステップと、前記コンピュータ内で動作中のプロセスを管理するプロセス管理情報をオペレーティングシステムから取得し、当該プロセス管理情報に基づき、前記ネットワーク通信を発生させたプロセスの上位プロセスを特定する上位プロセス特定ステップと、前記プロセスログを参照して、前記特定した上位プロセスのネットワーク通信の挙動を特定するログ参照ステップと、前記プロセスが発生させたネットワーク通信の挙動と、前記特定した上位プロセスのネットワーク通信の挙動とが、前記不正プロセス判定テーブルにおいて対応づけられて格納されているプロセス通信挙動と上位プロセス通信挙動の組のいずれかに該当する場合に、前記判定対象プロセスが不正プロセスであると判定する判定ステップとを、前記コンピュータに実行させるためのものである。
本発明では、コンピュータ内で動作中のプロセスがウィルス活動による不正プロセスであるかを判定するために、不正プロセスに共通する挙動を特定するために、プロセスのネットワーク通信に係る挙動であるプロセス通信挙動と、当該プロセスの上位プロセスのネットワーク通信に係る挙動である上位プロセス通信挙動とを対応づけて不正プロセスの定義として記録した不正プロセス判定テーブル記憶しておく。そして、プロセスがネットワーク通信を発生させた際、当該ネットワーク通信を発生させたプロセスのネットワーク通信の挙動をプロセスログとして記憶部に記録する。コンピュータのオペレーティングシステムから取得したプロセス管理情報をもとに、前記ネットワーク通信を発生させたプロセスの一または複数の上位プロセス（親プロセス、親プロセスと爺プロセスなど）を特定する。そして、プロセスログを参照して、特定した上位プロセスのネットワーク通信の挙動を特定し、プロセスが発生させたネットワーク通信の挙動と、前記特定した上位プロセスのネットワーク通信の挙動とが、前記不正プロセス判定テーブルにおいて対応づけられて格納されているプロセス通信挙動と上位プロセス通信挙動の組のいずれかに該当する場合に、その判定対象プロセスを不正プロセスであると判定する。
これにより、ウィルスごとのシグネチャ情報を用いることなく、動作中のプロセスがウィルスの活動による不正プロセスであるか否かを判定することができる。
また、本発明は、上記の構成をとる場合に、さらに、前記判定ステップにより不正プロセスと判定された前記プロセスを停止する停止ステップを、前記コンピュータに実行させるためのものである。
これにより、ウィルスの活動による不正プロセスを直ちに停止できるため、ウィルス感染の拡大を防止することができる。また、不正プロセスによるコンピュータのＣＰＵパワーの消費を抑制することができる。
さらに、本発明は、前記判定ステップにより不正プロセスと判定された前記プロセスが行うネットワーク通信の遮断要求を出力する通信遮断要求ステップを、前記コンピュータに実行させるためのものである。
これにより、コンピュータ内に備えられたパーソナルファイアウォールプログラムや外部のルータなどのネットワーク接続機器と連携して、ウィルスの活動による不正なネットワーク通信を遮断することができ、ウィルス感染の拡大を防止することができる。
さらに、本発明は、前記判定ステップにより不正プロセスと判定された前記プロセスの停止をユーザに通知する通知ステップを、前記コンピュータに実行させるためのものである。
これにより、ユーザは、使用するコンピュータのウィルス感染を直ちに認知して、必要な対策をとることができる。
さらに、本発明は、前記ログ取得ステップにおいて、プロセスがアウトバウンドのネットワーク通信を発生させた際に、プロセスログを記録し、前記上位プロセス特定ステップにおいて、アウトバウンドのネットワーク通信を新たに生成したプロセスの上位プロセスを特定するものである。
また、本発明は、プロセスが発生させたポートのステータスを監視するポート監視ステップを、前記コンピュータに実行させると共に、前記上位プロセス特定ステップでは、ポートがリッスン状態であるプロセスの上位プロセスを特定するものである。
これにより、感染拡大や内部情報漏洩などのネットワーク通信を悪用するウィルスの活動を、通信に関係するプロセスを絞り込むことにより効率的に検出することができる。
さらに、本発明は、上記の処理ステップを実現する処理方法である。また、前記処理ステップを実行する処理手段を備えるシステムである。
本発明は、ウィルスに共通の振舞いを不正プロセス判定ルールとして規定し利用するため、ウィルスごとのシグネチャを使用することなく、新たなプロセスによる通信がウィルスによるものかどうかを自動的に判断してプロセス停止を行うことができる。また、新たなプロセスによるポートの開放設定（リスン）がウィルスによるものかどうかを自動的に判断してプロセス停止を行うことができる。したがって、ネットワーク型ウィルスによるゼロディアタックの不正プロセスを自動的に判定および停止することができ、感染拡大を防止することができる。
また、不正プロセスの通信のみを停止する場合には、不正プロセスによるＣＰＵパワーの消費を抑えることができないが、本発明によれば、不正なプロセス自体を停止するため、不正プロセスによるＣＰＵパワーの消費を抑制することができる。
また、ウィルスごとにシグネチャを持つ場合には、発生した１つの通信に対して全てのシグネチャと照合する必要がある。しかし、本発明によれば、ウィルスごとにシグネチャを用意する必要がなく、ウィルス共通の挙動を示す情報を不正ルールファイルとして持ち、ルール数を少数に抑制できるため、システムの処理動作を軽くすることができる。
図１は、本発明の原理を説明するための図である。
本発明は、ネットワーク型ウィルスによるゼロデイアタックを受けたクライアントＰＣ（コンピュータ）１内で動作中のプロセス２がネットワーク型ウィルスの活動による不審なプロセスであるか否かを判定するための判定ルール情報として、ウィルスに共通する挙動を示すいくつかのパターンを、プロセス間の階層関係によって示す判定ルール情報を設定しておく。例えば、不正ルールＲ１として、“プロセス２Ｘを呼び出した直近上位プロセス（親プロセス）がプロセス２Ｓ、さらにその上位プロセス（爺プロセス）がプロセス２Ｔである場合”を規定しておく。
そして、監視処理において、例えばネットワークインターフェースにおける外部への通信（アウトバウンド通信）を監視し、当該通信を生成したプロセスを判定対象とし、判定処理において、クライアントＰＣ１のオペレーティングシステム（ＯＳ）で管理されるプロセスの管理情報などを用いて、判定対象をプロセス２Ｘと特定する。さらに、プロセス２Ｘ、その上位プロセス２Ａ、プロセス２Ｂ、…とを特定したプロセスツリー情報を生成し、所定の判定ルール情報を参照して、プロセス２Ｘのプロセスツリー情報から、プロセス２Ｘが不正プロセスか否かを判定する。
ここで、プロセス２Ｘの上位プロセス（親プロセス）がプロセス２Ｓ、さらにその上位プロセス（爺プロセス）がプロセス２Ｔであれば、プロセス２Ｘは不正なプロセスと判定する。また、プロセス２Ｘの親プロセスがプロセス２Ａ、爺プロセスがプロセス２Ｂであれば正当なプロセスと判定する。
さらに、判定処理において不正と判定されたプロセス２Ｘの動作を停止し、プロセス２Ｘの停止をユーザなどに通知するようにしてもよい。
図２は、本発明の実施の形態における構成例を示す図である。
ネットワーク型ウィルス活動検出システム１０は、クライアントＰＣ（コンピュータ）１に実装され、クライアントＰＣ１で動作するプロセス２の中から、感染したネットワーク型ウィルスの活動によると考えられる不審なプロセスを検出し、その動作を停止する処理システムである。
ネットワーク型ウィルス活動検出システム１０は、監視部１１、プロセス特定部１２、プロセスツリー取得部１３、判定部１４、プロセス停止部１５、通知部１６、通信遮断要求部１７、不正ルールファイル１８、およびプロセスログ１９を備える。各処理手段は、プログラムとして構成される。
監視部１１は、ネットワークインターフェース３の通信を監視し、プロセス２が発生させた所定の通信、例えばクライアントＰＣ１から外部へのアウトバウンド通信を検出し、検出結果である通信情報を出力する処理手段である。通信情報は、通信時刻、送信ポート番号、宛先ポート番号、プロトコル情報などを含む情報である。
また、監視部１１は、ポートのステータスを監視し、プロセス２が所定のステータスを設定したポート、例えば、リスン（（ｌｉｓｔｅｎ）内部へのインバウンド通信のためにポートを開けた状態）されたポートを検出する。
プロセス特定部１２は、監視部１１から取得した通信情報をもとに、検出された通信またはポートのステータスを発生させたプロセス（判定対象プロセス２Ｘ）を、例えばクライアントＰＣ１内で動作中のプロセス２を管理するプロセス管理情報をもとに特定し、判定対象プロセス２Ｘを示すプロセス情報を出力する処理手段である。プロセス情報は、判定対象プロセス２Ｘを特定するプロセス名、プロセス番号などの情報である。
プロセスツリー取得部１３は、例えばプロセス管理情報をもとに、判定対象プロセス２Ｘの一または複数の上位プロセス（親プロセス、爺プロセス、…）２Ａ、２Ｂ、２Ｃ、…を特定し、判定対象プロセス２Ｘと上位プロセス２Ａ、２Ｂ、２Ｃ、…との階層関係を示すプロセスツリー情報を出力する処理手段である。
判定部１４は、プロセスツリー情報および不正ルールファイル１８を使用して、判定対象プロセス２Ｘが不正プロセスであるか否かを判定する処理手段である。
不正ルールファイル１８は、動作中のプロセス２がネットワーク型ウィルスの活動による不審なプロセスであるか否かを判定するための判定ルール情報であって、ウィルスに共通する挙動を示すいくつかのパターンを、プロセス間の階層関係によって示す情報である。
不正ルールファイル１８は、ウィルスに共通する振る舞いを規定したものであるため、ウィルスごとに用意する必要がない。
不正ルールファイル１８は、ウィルスに共通する振る舞いを規定したものであるため、ウィルスごとに用意する必要がない。
また、判定部１４は、不正ルールファイル１８が、プロセス間の階層関係を、判定対象プロセスと上位プロセスの宛先ポート番号との組み合わせによって定義している場合に、プロセスログ１９をもとに上位プロセスの宛先ポート番号を特定し、判定対象プロセス２Ｘおよびその上位プロセスの宛先ポート番号の関係にもとづいて判定対象プロセス２Ｘが不正プロセスであるか否かを判定する。また、判定部１４は、正当と判定したプロセス２に関する情報をプロセスログ１９に格納する。
プロセスログ１９は、クライアントＰＣ１で過去に行われたすべての正当なプロセス２が行った通信について、少なくとも通信方向、宛先ポート番号および当該プロセス２の上位プロセス名を記録するログ情報を蓄積する記憶手段である。
判定部１４は、判定対象プロセス２Ｘの親プロセスがどのようなサービスを行うプログラムであるかを特定するために、プロセスログ１９を利用する。通常、宛先ポート番号と利用したサービスは対応するものであるため、特に、どのポート番号に対して通信を行ったかをチェックすることによって、親プロセスが何を行っているプログラムであるかを特定することができる。
プロセス停止部１５は、判定部１４によってプロセス２Ｘが不正プロセスと判定された場合に限り、判定対象プロセス２Ｘのプロセス情報をもとに、起動中のプロセス２Ｘを停止する処理手段である。
通知部１６は、判定部１４によって判定対象プロセス２Ｘが不正プロセスと判定されて停止された場合に限り、停止された判定対象プロセス２Ｘのプロセス情報および停止通知をクライアントＰＣ１の表示画面に表示する処理手段である。
通信遮断要求部１７は、判定部１４によって不正プロセスと判定されたプロセス２Ｘが行う通信の遮断要求を、ネットワークインターフェース３またはクライアントＰＣ１外部のネットワーク接続装置などに送出する処理手段である。
以下、本発明について、アウトバウンド通信を発生させたプロセスを判定対象とする場合の処理を説明する。
ネットワーク型ウィルス活動検出システム１０の判定部１４は、予め所定の不正ルールファイル１８を備え、また、正当なプロセスによる通信に関するログ情報をプロセスログ１９に蓄積しておく。
図３は、不正ルールファイル１８の例を示す図である。不正ルールファイル１８には、ルールごとに、ルール番号、監視対象宛先ポート番号、親プロセスの使用宛先ポート番号、および爺プロセス名が設定される。監視対象宛先ポート番号は、判定対象プロセス２Ｘが発生させる通信において設定される宛先ポート番号を示す。親プロセスの使用宛先ポート番号は、判定対象プロセス２Ｘを呼び出した直近上位プロセス（親プロセス）が発生させる通信において設定される宛先ポート番号を示す。爺プロセス名は、判定対象プロセスの親プロセスを呼び出した直近上位プロセス（爺プロセス）を特定する情報を示す。
例えば、ルール番号１は、通信を発生させた判定対象のプロセスが２５番ポートに対して通信（メール送信）を行い、このプロセスの親プロセスが過去に１１０番ポートに対して通信を行っており（親プロセスはメール受信プログラムであると特定する）、さらに爺プロセスがアプリケーションを動作させるｅｘｐｌｏｒｅｒ．ｅｘｅというプロセス名である場合に限り、当該プロセスを不正プロセスとみなすルールである。
ルール番号１は、親プロセス（メール受信プログラム）が受信したメールの添付ファイルをユーザがダブルクリックなどによって実行することによって、当該プロセス（メール送信プロセス）が生成されて、メール送信を行っているという動作状況を意味する。
また、ルール番号２およびルール番号３は、いずれも、通信を発生させた判定対象プロセスが１３９番ポートに対して通信（ファイル共有サーバへのアクセス）を行い、この親プロセスが過去に８０番ポートまたは８０８０番ポートに対して通信を行っており（親プロセスはＷｅｂブラウジングプログラムであると特定する）、さらに爺プロセスがアプリケーションを動作させるｅｘｐｌｏｒｅｒ．ｅｘｅというプロセス名である場合に限り、当該プロセスを不正プロセスとみなすルールである。
ルール番号２およびルール番号３のどちらも、親プロセス（Ｗｅｂブラウジングプログラム）がＷｅｂページをブラウジングしている場合に、親プロセスがどこかのＷｅｂページから実行プログラムをダウンロードかつ実行することによって当該プロセスが生成され、さらに当該プロセスが、例えば社内のファイル共有サーバへアクセスしたことを意味する。
図４は、プロセスログ１９の例を示す図である。プロセスログ１９には、正当なプロセスによる通信ごとに、プロセス名、最新時刻、親プロセス名、宛先ポート番号、および通信方向が記録される。プロセス名は、クライアントＰＣ１で通信を発生させたプロセス名を示す。最新時刻は、発生した通信において、プロセス名、親プロセス名、宛先ポート番号、および通信方向が同一の通信が行われた最新時刻を示す。親プロセス名は、通信を発生させたプロセスの直近上位プロセスを示す。宛先ポート番号は、通信の宛先となったポート番号を示す。通信方向は、“ｏｕｔ”＝通信がアウトバウンド通信（外部への通信）、“ｉｎ”＝インバウンド（内部への通信）の区別を示す。
図４のプロセスログ１９において、通信方向が“ｏｕｔ”である宛先ポート番号は、以下のようなサービスを示すとする。
「２５：メール送信、
１１０：メール受信、
８０：Ｗｅｂブラウジング、
８０８０：プロキシを用いたＷｅｂブラウジング、
４４３：ＳＳＬによる暗号化されたＷｅｂブラウジング、
２１：ＦＴＰ、
５１５：印刷などプリンタへのアクセス、など。」
通信方向が“ｉｎ”の通信は、ポートを監視して不正プロセスを検出する場合に利用する。通信方向が“ｉｎ”の通信での宛先ポート番号は、クライアントＰＣ１自身で宛先となるポート番号、すなわちリスンされたポート番号を示す。
「２５：メール送信、
１１０：メール受信、
８０：Ｗｅｂブラウジング、
８０８０：プロキシを用いたＷｅｂブラウジング、
４４３：ＳＳＬによる暗号化されたＷｅｂブラウジング、
２１：ＦＴＰ、
５１５：印刷などプリンタへのアクセス、など。」
通信方向が“ｉｎ”の通信は、ポートを監視して不正プロセスを検出する場合に利用する。通信方向が“ｉｎ”の通信での宛先ポート番号は、クライアントＰＣ１自身で宛先となるポート番号、すなわちリスンされたポート番号を示す。
監視部１１は、クライアントＰＣ１のネットワークインターフェース３において、クライアントＰＣ１から出て行く通信の開始パケットを監視し、図５に示すような、通信時刻、送信元ポート番号、宛先ポート番号、プロトコル情報（プロトコル名）を含む監視結果を記憶する。そして、監視部１１は、プロセス特定部１２およびプロセスツリー取得部１３に対して、当該通信開始パケットに関する通信情報を渡す。
プロセス特定部１２は、監視部１１の通信情報をもとに、クライアントＰＣ１のＯＳによって管理されるプロセス管理情報から当該通信を発生させたプロセス２Ｘを特定し、判定部１４に対して、通信情報と共に、特定したプロセス２Ｘに関するプロセス情報（プロセス名、プロセス番号）を渡す。
プロセスツリー取得部１３は、プロセス情報をもとに、プロセス管理情報から、判定対象プロセス２Ｘの上位プロセス（親プロセス、爺プロセス）を特定してプロセスツリー情報を取得し、判定部１４に対して、発生した通信情報とそのプロセスツリー情報を渡す。
判定部１４は、通信情報およびプロセスツリー情報をもとに、図６に示すような、各通信を発生させたプロセスのプロセス特定結果（通信時刻、送信元ポート番号、宛先ポート番号、プロトコル名、判定対象のプロセス名およびプロセス番号、親プロセス名、爺プロセス名）を保持する。そして、プロセスログ１９と照らし合わせることによって、判定対象プロセス２Ｘの親プロセスの内容を特定し、不正ルールファイル１８に従って、親プロセスおよび爺プロセスのサービスの下で、判定対象プロセス２Ｘのプロセスが不正プロセスであるかどうかを判定する。
図７は、図６のプロセス特定結果に示すプロセスに対する判定結果を示す図である。
時刻１０：１６：４４に発生した通信のプロセス“ｍａｉｌ２３３１２．ｅｘｅ”を判定対象プロセス２Ｘとすると、判定部１４は、プロセスログ１９から、このプロセス“ｍａｉｌ２３３１２．ｅｘｅ”の親プロセス“ｅｄｍａｘ．ｅｘｅ”の過去の通信における宛先ポート番号（２５番、１１０番）を取得する。そして、図３の不正ルールファイル１８を参照して、プロセス“ｍａｉｌ２３３１２．ｅｘｅ”の宛先ポート番号（２５番）、親プロセスの宛先ポート番号（２５番、１１０番）、爺プロセス名（ｅｘｐｌｏｒｅｒ．ｅｘｅ）の組み合わせが不正ルールのいずれかに合致するかどうかを検索する。検索の結果、この組み合わせは、ルール番号１に合致するので、プロセス“ｍａｉｌ２３３１２．ｅｘｅ”を不正プロセスと判定する。
判定部１４は、図７のプロセス判定結果において判定対象プロセス２Ｘを不正プロセスと判定したので、判定対象プロセス２Ｘ（ｍａｉｌ２３３１２．ｅｘｅ）についての判定情報（時刻１０：１６：４４に発生した通信の通信情報およびプロセス“ｍａｉｌ２３３１２．ｅｘｅ”のプロセス情報）をプロセス停止部１５、通信遮断要求部１７に渡す。
プロセス停止部１５は、判定情報（プロセス情報）をもとに、プロセス２Ｘ“ｍａｉｌ２３３１２．ｅｘｅ”を直ちに停止し、停止したプロセス２Ｘの判定情報（時刻１０：１６：４４に発生した通信の通信情報およびプロセス“ｍａｉｌ２３３１２．ｅｘｅ”のプロセス情報）を通知部１６に渡す。
通知部１６は、プロセス２Ｘの判定情報から、図８に示すような検出結果をクライアントＰＣ１の表示画面に表示して、ユーザに、プロセス“ｍａｉｌ２３３１２．ｅｘｅ”を不正プロセス（メールウィルス）として停止したことを通知する。
図９は、図６のプロセス特定結果の別プロセスに対する判定結果を示す図である。
時刻１４：４１：０１に発生した通信のプロセス“ｃｏｏｌ．ｅｘｅ”を判定対象プロセス２Ｘとすると、判定部１４は、プロセスログ１９から、このプロセス“ｃｏｏｌ．ｅｘｅ”の親プロセス“ｉｅｘｐｌｏｒｅ．ｅｘｅ”の過去の通信における宛先ポート番号（８０番、８０８０番、４４３番）を取得する。そして、図３の不正ルールファイル１８を参照して、プロセス“ｃｏｏｌ．ｅｘｅ”の宛先ポート番号（１３９番）、親プロセスの宛先ポート番号（８０番、８０８０番、４４３番）、爺プロセス名（ｅｘｐｌｏｒｅｒ．ｅｘｅ）の組み合わせが不正ルールのいずれかに合致するかどうかを検索すると、この組み合わせは、ルール番号２およびルール番号３に合致するので、プロセス“ｃｏｏｌ．ｅｘｅ”を不正プロセスと判定する。
判定部１４は、図９のプロセス判定結果において判定対象プロセス２Ｘを不正プロセスと判定したので、同様に、判定対象プロセス２Ｘ（ｃｏｏｌ．ｅｘｅ）の判定情報をプロセス停止部１５に渡す。
また、判定部１４は、判定対象のプロセス２を不正プロセスでないと判定した場合は、そのプロセス２に関する通信情報およびプロセスツリー情報から所定のログ情報（プロセス名、通信時刻の最新時刻、親プロセス名、宛先ポート番号、通信方向）をプロセスログ１９に蓄積する。なお、プロセスログ１９に、プロセス名、親プロセス名、宛先ポート番号、および通信方向が同一のログ情報が既に蓄積されている場合は、そのログ情報の最新時刻を、プロセス２Ｘの通信情報の通信時刻に更新する。
そして、プロセス停止部１５は、判定情報（プロセス情報）をもとに、プロセス２Ｘ“ｃｏｏｌ．ｅｘｅ”を直ちに停止し、停止したプロセス２Ｘの判定情報を通知部１６に渡す。さらに、通知部１６は、プロセス２Ｘのプロセス判定結果から、図１０に示すような検出結果をクライアントＰＣ１の表示画面に表示して、ユーザに、プロセス“ｃｏｏｌ．ｅｘｅ”を不正プロセス（共有ファイルサーバへのアクセス）として停止したことを通知する。
さらに、通信遮断要求部１７は、プロセス２Ｘの判定情報（時刻１０：１６：４４に発生した通信の通信情報およびプロセス“ｍａｉｌ２３３１２．ｅｘｅ”のプロセス情報）から、プロセス“ｍａｉｌ２３３１２．ｅｘｅ”が発生させるアウトバウンド通信を遮断するために、図１１に示すように、クライアントＰＣ１内に備えられたパーソナルファイアウォールシステム５に対し、通信遮断要求を示す通知内容ａ（宛先ポート番号２５、通信方向：ｏｕｔ（アウトバウンド））を渡す。パーソナルファイアウォールシステム５は、通信遮断要求部１７からの通知内容ａに従って、宛先ポート番号２５へのアウトバウンド通信を遮断する。
また、通信遮断要求部１７は、クライアントＰＣ１と接続するルータ６に対し、ネットワークインターフェース３を介して、通信遮断要求を示す通知内容ｂ（クライアントＰＣ１のＩＰアドレス（１９２．１６８．１．１）、宛先ポート番号２５、通信方向：ｏｕｔ（アウトバウンド））を送信する。ルータ６は、通信遮断要求部１７からの通知内容ａに従って、ＩＰアドレス（１９２．１６８．１．１）から宛先ポート番号２５へのアウトバウンド通信を遮断する。
図１２は、アウトバウンド通信を発生させたプロセスを判定対象とする場合の処理の流れを示す図である。
ネットワーク型ウィルス活動検出システム１０の監視部１１は、ネットワークインターフェース３の通信情報を取得する（ステップＳ１）。プロセス特定部１２は、プロセス管理情報を参照し、通信情報から、その通信を発生させたプロセス２Ｘを特定し、プロセス２Ｘに関するプロセス情報を出力する（ステップＳ２）。プロセスツリー取得部１３は、プロセス情報から、そのプロセス２Ｘの上位プロセス（親プロセス、爺プロセス）を特定し、プロセスツリー情報を出力する（ステップＳ３）。
そして、判定部１４は、不正ルールファイル１８を参照し、通信情報、プロセス情報、プロセスツリー情報から、プロセス２Ｘが不正プロセスであるか否かを判定する（ステップＳ４）。プロセス２Ｘが不正プロセスであれば（ステップＳ５のＹＥＳ）、プロセス停止部１５は、プロセス２Ｘを停止し（ステップＳ６）、通知部１６は、プロセス２Ｘの停止を通知する（ステップＳ７）。一方、プロセス２Ｘが不正プロセスでなければ（ステップＳ５のＮＯ）、判定部１４は、プロセス２Ｘのログ情報でプロセスログ１９を更新する（ステップＳ８）。
次に、本発明について、リスンポートを発生させたプロセスを判定対象とする場合の処理を説明する。
ネットワーク型ウィルス活動検出システム１０の判定部１４は、図１３に示すような不正ルールファイル１８を設定しておく。
図１３に示す不正ルールファイル１８のルール番号１１は、あるプロセスがあるポート（何番でもよい）をリスンさせてオープン状態にし、このプロセスの親プロセスが過去に１１０番ポートに対して通信を行っており（親プロセスはメール受信プログラムであると特定する）、さらに爺プロセスがアプリケーションを動作させるｅｘｐｌｏｒｅｒ．ｅｘｅというプロセス名である場合に限り、当該プロセスを不正プロセスとみなすルールである。
ルール番号１１は、親プロセス（メール受信プログラム）が受信した添付ファイルをユーザがダブルクリックなどによって実行することによって当該プロセスが生成され、あるポートをリスンさせていることを意味し、かかる動作状況を不正として規定している。
また、ルール番号１２およびルール番号１３は、いずれも、あるプロセスがあるポートをリスンさせて、当該プロセスの親プロセスが過去に８０番または８０８０番ポートに対して通信を行っており（親プロセスはＷｅｂブラウジングプログラムであると特定する）、さらに爺プロセスがアプリケーションを動作させるｅｘｐｌｏｒｅｒ．ｅｘｅというプロセス名である場合に限り、当該プロセスを不正プロセスとみなすルールである。
ルール番号１２およびルール番号１３のどちらも、親プロセスがどこかのＷｅｂページから実行プログラムをダウンロードかつ実行することによって当該プロセスが生成され、さらに当該プロセスがあるポートをリスンさせたことを意味し、かかる動作状況を不正として規定している。
ネットワーク型ウィルス活動検出システム１０の監視部１１は、クライアントＰＣ１において新たに開かれた（リスンされた）ポートを監視し、リスンが設定された時刻、リスンされたポート番号、プロトコル情報（プロトコル名）を含むポート監視結果を記憶する。そして、監視部１１は、プロセス特定部１２およびプロセスツリー取得部１３に対して、当該ポート監視結果を渡す。
プロセス特定部１２は、監視部１１のポート監視結果をもとに、クライアントＰＣ１のＯＳによって管理されるプロセス管理情報から当該ポートをリスンさせたプロセス２Ｙを特定し、判定部１４に対して、ポート監視結果と共に、特定したプロセス２Ｙに関するプロセス情報（プロセス名、プロセス番号）を渡す。
プロセスツリー取得部１３は、プロセス情報をもとに、プロセス管理情報から、判定対象プロセス２Ｙの上位プロセス（親プロセス、爺プロセス）を特定してプロセスツリー情報（判定対象プロセスとの関係、各上位プロセスのプロセス名など）を取得し、判定部１４に対して、ポート監視結果とそのプロセスツリー情報を渡す。
判定部１４は、ポート監視結果およびプロセスツリー情報をもとに、ポートをリスンさせたプロセスのプロセス特定結果（設定時刻、ポート番号（宛先ポート番号）、プロトコル名、判定対象のプロセス名、親プロセス名、爺プロセス名）を保持する。そして、プロセスログ１９の通信方向が“ｉｎ”であるログ情報と照らし合わせることによって、判定対象プロセス２Ｙの親プロセスの内容を特定し、不正ルールファイル１８に従って、親プロセスおよび爺プロセスのサービスの下で判定対象プロセス２Ｙのプロセスが不正プロセスであるかどうかを判定する。
そして、判定対象プロセス２Ｙが不正プロセスであると判定した場合に、判定対象プロセス２Ｙの判定情報をプロセス停止部１５に渡す。そして、プロセス停止部１５は、判定情報（プロセス情報）をもとに、プロセス２Ｙを直ちに停止し、停止したプロセス２Ｙの判定情報を通知部１６に渡す。また、通知部１６は、プロセス２Ｙのプロセス判定結果から、プロセス２Ｙがポートリスンを行った不正なプロセスである旨の検出結果をクライアントＰＣ１の表示画面に表示し、ユーザに、プロセス２Ｙを停止したことを通知する。
図１４は、リスンポートを発生させたプロセスを判定対象とする場合の処理の流れを示す図である。
ネットワーク型ウィルス活動検出システム１０の監視部１１は、クライアントＰＣ１のポートを監視し（ステップＳ１１）、プロセス特定部１２は、新たにポートを開いた（リスンした）プロセス２Ｙを特定し、プロセス２Ｘに関するプロセス情報を出力する（ステップＳ１２）。プロセスツリー取得部１３は、プロセス情報から、そのプロセス２Ｙの上位プロセス（親プロセス、爺プロセス）を特定し、プロセスツリー情報を出力する（ステップＳ１３）。
そして、判定部１４は、不正ルールファイル１８を参照して、通信情報、プロセス情報、プロセスツリー情報から、プロセス２Ｙが不正プロセスであるか否かを判定する（ステップＳ１４）。プロセス２Ｙが不正プロセスであれば（ステップＳ１５のＹＥＳ）、プロセス停止部１５は、プロセス２Ｙを停止し（ステップＳ１６）、通知部１６は、プロセス２Ｙの停止を通知する（ステップＳ１７）。一方、プロセス２Ｙが不正プロセスでなければ（ステップＳ１５のＮＯ）、判定部１４は、プロセス２Ｙのログ情報でプロセスログ１９を更新する（ステップＳ１８）。
以上、本発明をその実施の形態により説明したが、本発明はその主旨の範囲において種々の変形が可能であることは当然である。
また、本発明を構成する要素、処理手段などは、コンピュータにより読み取られ実行されるプログラムとして実施するものとして説明したが、本発明を実現するプログラムは、コンピュータが読み取り可能な、可搬媒体メモリ、半導体メモリ、ハードディスクなどの適当な記録媒体に格納することができ、これらの記録媒体に記録して提供され、または通信インタフェースを介して種々のネットワーク通信により提供されるものである。
本発明の形態および実施例の特徴を列記すると以下のとおりである。
（付記１） ネットワークに接続されたコンピュータ内でのネットワーク型ウィルスの活動を検出するネットワーク型ウィルス活動検出処理方法を、コンピュータに実行させるためのプログラムであって、
コンピュータ内で動作中のプロセスを管理する管理情報をもとに、判定対象のプロセスを特定し、前記判定対象プロセスの上位プロセスを特定したプロセスツリー情報を出力するプロセス特定過程と、
ウィルス活動による不正プロセスに共通する挙動をプロセス間の階層関係によって定義した判定ルール情報および前記プロセスツリー情報を使用して、前記判定対象プロセスが不正プロセスであるか否かを判定する判定過程とを、
前記コンピュータに実行させるためのネットワーク型ウィルス活動検出プログラム。
コンピュータ内で動作中のプロセスを管理する管理情報をもとに、判定対象のプロセスを特定し、前記判定対象プロセスの上位プロセスを特定したプロセスツリー情報を出力するプロセス特定過程と、
ウィルス活動による不正プロセスに共通する挙動をプロセス間の階層関係によって定義した判定ルール情報および前記プロセスツリー情報を使用して、前記判定対象プロセスが不正プロセスであるか否かを判定する判定過程とを、
前記コンピュータに実行させるためのネットワーク型ウィルス活動検出プログラム。
（付記２） 前記付記１記載のネットワーク型ウィルス活動検出プログラムにおいて、
前記判定過程により不正プロセスと判定された前記判定対象プロセスを停止する停止過程を、
前記コンピュータに実行させるためのネットワーク型ウィルス活動検出プログラム。
前記判定過程により不正プロセスと判定された前記判定対象プロセスを停止する停止過程を、
前記コンピュータに実行させるためのネットワーク型ウィルス活動検出プログラム。
（付記３） 前記付記１記載のネットワーク型ウィルス活動検出プログラムにおいて、
前記判定過程により不正プロセスと判定された前記判定対象プロセスが行う通信の遮断要求を出力する通信遮断要求過程を、
前記コンピュータに実行させるためのネットワーク型ウィルス活動検出プログラム。
前記判定過程により不正プロセスと判定された前記判定対象プロセスが行う通信の遮断要求を出力する通信遮断要求過程を、
前記コンピュータに実行させるためのネットワーク型ウィルス活動検出プログラム。
（付記４） 前記付記２記載のネットワーク型ウィルス活動検出プログラムにおいて、
前記判定過程により不正プロセスと判定された前記判定対象プロセスの停止をユーザに通知する通知過程を、
前記コンピュータに実行させるためのネットワーク型ウィルス活動検出プログラム。
前記判定過程により不正プロセスと判定された前記判定対象プロセスの停止をユーザに通知する通知過程を、
前記コンピュータに実行させるためのネットワーク型ウィルス活動検出プログラム。
（付記５） 前記付記１記載のネットワーク型ウィルス活動検出プログラムにおいて、
前記コンピュータのアウトバウンド通信を監視する通信監視過程を、前記コンピュータに実行させると共に、
前記判定過程では、前記アウトバウンド通信において新たな通信を生成したプロセスを判定対象プロセスとする
ことを特徴とするネットワーク型ウィルス活動検出プログラム。
前記コンピュータのアウトバウンド通信を監視する通信監視過程を、前記コンピュータに実行させると共に、
前記判定過程では、前記アウトバウンド通信において新たな通信を生成したプロセスを判定対象プロセスとする
ことを特徴とするネットワーク型ウィルス活動検出プログラム。
（付記６） 前記付記１記載のネットワーク型ウィルス活動検出プログラムにおいて、
前記プロセスが発生させたポートのステータスを監視するポート監視過程を、前記コンピュータに実行させると共に、
前記判定過程では、前記ポートに所定のステータスを設定したプロセスを判定対象プロセスとする
ことを特徴とするネットワーク型ウィルス活動検出プログラム。
前記プロセスが発生させたポートのステータスを監視するポート監視過程を、前記コンピュータに実行させると共に、
前記判定過程では、前記ポートに所定のステータスを設定したプロセスを判定対象プロセスとする
ことを特徴とするネットワーク型ウィルス活動検出プログラム。
（付記７） 前記付記５または付記６のいずれかに記載のネットワーク型ウィルス活動検出プログラムにおいて、
正当なプロセスが行った通信について、少なくとも、通信方向、宛先ポート番号および当該プロセスの上位プロセスを記録するログ情報を蓄積するログ取得過程を、前記コンピュータに実行させると共に、
前記判定過程では、前記判定ルール情報が、判定対象プロセスおよび上位プロセスの宛先ポート番号の組み合わせによって不正プロセスを定義したものである場合に、前記ログ情報をもとに前記上位プロセスの宛先ポート番号を特定し、前記前判定対象プロセスおよび前記上位プロセスの宛先ポート番号の関係によって前記判定対象プロセスが不正プロセスであるか否かを判定する
ことを特徴とするネットワーク型ウィルス活動検出プログラム。
正当なプロセスが行った通信について、少なくとも、通信方向、宛先ポート番号および当該プロセスの上位プロセスを記録するログ情報を蓄積するログ取得過程を、前記コンピュータに実行させると共に、
前記判定過程では、前記判定ルール情報が、判定対象プロセスおよび上位プロセスの宛先ポート番号の組み合わせによって不正プロセスを定義したものである場合に、前記ログ情報をもとに前記上位プロセスの宛先ポート番号を特定し、前記前判定対象プロセスおよび前記上位プロセスの宛先ポート番号の関係によって前記判定対象プロセスが不正プロセスであるか否かを判定する
ことを特徴とするネットワーク型ウィルス活動検出プログラム。
（付記８） ネットワークに接続されたコンピュータ内でのネットワーク型ウィルスの活動を検出するネットワーク型ウィルス活動検出処理方法であって、
コンピュータ内で動作中のプロセスを管理する管理情報をもとに、判定対象のプロセスを特定し、前記判定対象プロセスの上位プロセスを特定したプロセスツリー情報を出力するプロセス特定過程と、
ウィルス活動による不正プロセスに共通する挙動をプロセス間の階層関係によって定義した判定ルール情報および前記プロセスツリー情報を使用して、前記判定対象プロセスが不正プロセスであるか否かを判定する判定過程とを備える
ことを特徴とするネットワーク型ウィルス活動検出処理方法。
コンピュータ内で動作中のプロセスを管理する管理情報をもとに、判定対象のプロセスを特定し、前記判定対象プロセスの上位プロセスを特定したプロセスツリー情報を出力するプロセス特定過程と、
ウィルス活動による不正プロセスに共通する挙動をプロセス間の階層関係によって定義した判定ルール情報および前記プロセスツリー情報を使用して、前記判定対象プロセスが不正プロセスであるか否かを判定する判定過程とを備える
ことを特徴とするネットワーク型ウィルス活動検出処理方法。
（付記９） 前記付記８記載のネットワーク型ウィルス活動検出処理方法において、
前記判定過程により不正プロセスと判定された前記判定対象プロセスを停止する停止過程を備える
ことを特徴とするネットワーク型ウィルス活動検出処理方法。
前記判定過程により不正プロセスと判定された前記判定対象プロセスを停止する停止過程を備える
ことを特徴とするネットワーク型ウィルス活動検出処理方法。
（付記１０） ネットワークに接続されたコンピュータ内でのネットワーク型ウィルスの活動を検出するネットワーク型ウィルス活動検出システムであって、
ウィルス活動による不正プロセスに共通する挙動をプロセス間の階層関係によって定義した判定ルール情報を記憶する判定ルール記憶手段と、
コンピュータ内で動作中のプロセスを管理する管理情報をもとに、判定対象であるプロセスと前記判定対象プロセスの一または複数の上位プロセスとを特定し、前記判定対象プロセスおよび上位プロセスの関係を示すツリー情報を出力するプロセス特定手段と、
前記プロセスツリー情報および前記判定ルール情報を使用して前記判定対象プロセスが不正プロセスであるか否かを判定する判定手段を備える
ことを特徴とするネットワーク型ウィルス活動検出システム。
ウィルス活動による不正プロセスに共通する挙動をプロセス間の階層関係によって定義した判定ルール情報を記憶する判定ルール記憶手段と、
コンピュータ内で動作中のプロセスを管理する管理情報をもとに、判定対象であるプロセスと前記判定対象プロセスの一または複数の上位プロセスとを特定し、前記判定対象プロセスおよび上位プロセスの関係を示すツリー情報を出力するプロセス特定手段と、
前記プロセスツリー情報および前記判定ルール情報を使用して前記判定対象プロセスが不正プロセスであるか否かを判定する判定手段を備える
ことを特徴とするネットワーク型ウィルス活動検出システム。
（付記１１） 前記付記１０記載のネットワーク型ウィルス活動検出システムにおいて、
前記判定手段により不正プロセスと判定された前記判定対象プロセスを停止する停止手段を備える
ことを特徴とするネットワーク型ウィルス活動検出システム。
前記判定手段により不正プロセスと判定された前記判定対象プロセスを停止する停止手段を備える
ことを特徴とするネットワーク型ウィルス活動検出システム。
（付記１２） 前記付記１０記載のネットワーク型ウィルス活動検出システムにおいて、
前記判定手段により不正プロセスと判定された前記判定対象プロセスが行う通信の遮断要求を出力する通信遮断要求手段を備える
ことを特徴とするネットワーク型ウィルス活動検出システム。
前記判定手段により不正プロセスと判定された前記判定対象プロセスが行う通信の遮断要求を出力する通信遮断要求手段を備える
ことを特徴とするネットワーク型ウィルス活動検出システム。
（付記１３） 前記付記１１記載のネットワーク型ウィルス活動検出システムにおいて、
前記判定手段により不正プロセスと判定された前記判定対象プロセスの停止をユーザに通知する通知手段を備える
ことを特徴とするネットワーク型ウィルス活動検出システム。
前記判定手段により不正プロセスと判定された前記判定対象プロセスの停止をユーザに通知する通知手段を備える
ことを特徴とするネットワーク型ウィルス活動検出システム。
（付記１４） 前記付記１０記載のネットワーク型ウィルス活動検出システムにおいて、
前記コンピュータのアウトバウンド通信を監視する通信監視手段を備え、
前記判定手段は、前記アウトバウンド通信において新たな通信を生成したプロセスを判定対象プロセスとする
ことを特徴とするネットワーク型ウィルス活動検出システム。
前記コンピュータのアウトバウンド通信を監視する通信監視手段を備え、
前記判定手段は、前記アウトバウンド通信において新たな通信を生成したプロセスを判定対象プロセスとする
ことを特徴とするネットワーク型ウィルス活動検出システム。
（付記１５） 前記付記１０記載のネットワーク型ウィルス活動検出システムにおいて、
前記プロセスが発生させたポートのステータスを監視するポート監視手段を備え、
前記判定手段は、前記ポートに所定のステータスを設定したプロセスを判定対象プロセスとする
ことを特徴とするネットワーク型ウィルス活動検出システム。
前記プロセスが発生させたポートのステータスを監視するポート監視手段を備え、
前記判定手段は、前記ポートに所定のステータスを設定したプロセスを判定対象プロセスとする
ことを特徴とするネットワーク型ウィルス活動検出システム。
（付記１６） 前記付記１４または付記１５のいずれかに記載のネットワーク型ウィルス活動検出システムにおいて、
正当なプロセスが行った通信について、少なくとも、通信方向、宛先ポート番号および当該プロセスの上位プロセスを記録するログ情報を蓄積するログ取得手段を備え、
前記判定手段は、前記判定ルール情報が、判定対象プロセスおよび上位プロセスの宛先ポート番号の組み合わせによって不正プロセスを定義したものである場合に、前記ログ情報をもとに前記上位プロセスの宛先ポート番号を特定し、前記前判定対象プロセスおよび前記上位プロセスの宛先ポート番号の関係によって前記判定対象プロセスが不正プロセスであるか否かを判定する
ことを特徴とするネットワーク型ウィルス活動検出システム。
正当なプロセスが行った通信について、少なくとも、通信方向、宛先ポート番号および当該プロセスの上位プロセスを記録するログ情報を蓄積するログ取得手段を備え、
前記判定手段は、前記判定ルール情報が、判定対象プロセスおよび上位プロセスの宛先ポート番号の組み合わせによって不正プロセスを定義したものである場合に、前記ログ情報をもとに前記上位プロセスの宛先ポート番号を特定し、前記前判定対象プロセスおよび前記上位プロセスの宛先ポート番号の関係によって前記判定対象プロセスが不正プロセスであるか否かを判定する
ことを特徴とするネットワーク型ウィルス活動検出システム。
１ クライアントＰＣ（クライアントコンピュータ）
２ プロセス
３ ネットワークインターフェース
１０ ネットワーク型ウィルス活動検出システム
１１ 監視部
１２ プロセス特定部
１３ プロセスツリー取得部
１４ 判定部
１５ プロセス停止部
１６ 通知部
１７ 通信遮断要求部
１８ 不正ルールファイル
１９ プロセスログ
２ プロセス
３ ネットワークインターフェース
１０ ネットワーク型ウィルス活動検出システム
１１ 監視部
１２ プロセス特定部
１３ プロセスツリー取得部
１４ 判定部
１５ プロセス停止部
１６ 通知部
１７ 通信遮断要求部
１８ 不正ルールファイル
１９ プロセスログ
Claims (10)
- ネットワークに接続されたコンピュータ内でのネットワーク型ウィルスの活動を検出するネットワーク型ウィルス活動検出処理方法を、コンピュータに実行させるためのプログラムであって、
プロセスのネットワーク通信に係る挙動であるプロセス通信挙動と、当該プロセスの上位プロセスのネットワーク通信に係る挙動である上位プロセス通信挙動とを対応づけて不正プロセスの定義として記録した不正プロセス判定テーブルを記憶部に格納したコンピュータに、
プロセスがネットワーク通信を発生させた際、当該ネットワーク通信を発生させたプロセスのネットワーク通信の挙動をプロセスログとして記憶部に記録するログ取得ステップと、
前記コンピュータ内で動作中のプロセスを管理するプロセス管理情報をオペレーティングシステムから取得し、当該プロセス管理情報に基づき、前記ネットワーク通信を発生させたプロセスの上位プロセスを特定する上位プロセス特定ステップと、
前記プロセスログを参照して、前記特定した上位プロセスのネットワーク通信の挙動を特定するログ参照ステップと、
前記プロセスが発生させたネットワーク通信の挙動と、前記特定した上位プロセスのネットワーク通信の挙動とが、前記不正プロセス判定テーブルにおいて対応づけられて格納されているプロセス通信挙動と上位プロセス通信挙動の組のいずれかに該当する場合に、前記判定対象プロセスが不正プロセスであると判定する判定ステップとを、
実行させるためのネットワーク型ウィルス活動検出プログラム。 - 請求項１記載のネットワーク型ウィルス活動検出プログラムにおいて、
前記判定ステップにより不正プロセスと判定された前記プロセスを停止する停止ステップを、
前記コンピュータに実行させるためのネットワーク型ウィルス活動検出プログラム。 - 請求項１記載のネットワーク型ウィルス活動検出プログラムにおいて、
前記判定ステップにより不正プロセスと判定された前記プロセスが行うネットワーク通信の遮断要求を出力する通信遮断要求ステップを、
前記コンピュータに実行させるためのネットワーク型ウィルス活動検出プログラム。 - 請求項２記載のネットワーク型ウィルス活動検出プログラムにおいて、
前記判定ステップにより不正プロセスと判定された前記プロセスの停止をユーザに通知する通知ステップを、
前記コンピュータに実行させるためのネットワーク型ウィルス活動検出プログラム。 - 請求項１記載のネットワーク型ウィルス活動検出プログラムにおいて、
前記ログ取得ステップは、プロセスがアウトバウンドのネットワーク通信を発生させた際に、プロセスログを記録し、
前記上位プロセス特定ステップは、アウトバウンドのネットワーク通信を新たに生成したプロセスの上位プロセスを特定する
ことを特徴とするネットワーク型ウィルス活動検出プログラム。 - 請求項１記載のネットワーク型ウィルス活動検出プログラムにおいて、
プロセスが発生させたポートのステータスを監視するポート監視ステップを、前記コンピュータに実行させると共に、
前記上位プロセス特定ステップは、ポートがリッスン状態であるプロセスの上位プロセスを特定する
ことを特徴とするネットワーク型ウィルス活動検出プログラム。 - 請求項１記載のネットワーク型ウィルス活動検出プログラムにおいて、
前記不正プロセス判定テーブルにおける前記プロセス通信挙動は、プロセスのネットワーク通信の宛先ポート番号を含み、前記上位プロセス通信挙動は上位プロセスのネットワーク通信の宛先ポート番号を含み、
前記ログ取得ステップがプロセスログとして記録するプロセスのネットワーク通信の挙動は、ネットワーク通信の宛先ポート番号を含み、
前記判定ステップは、前記プロセスが発生させたネットワーク通信の宛先ポート番号と、前記特定した上位プロセスのネットワーク通信の宛先ポート番号とが、前記不正プロセス判定テーブルにおいて対応づけられて格納されているプロセス通信挙動に含まれる宛先ポート番号と上位プロセス通信挙動に含まれる宛先ポート番号との組のいずれかに該当する場合に、前記判定対象プロセスが不正プロセスであると判定する
ことを特徴とするネットワーク型ウィルス活動検出プログラム。 - ネットワークに接続されたコンピュータ内でのネットワーク型ウィルスの活動を検出するネットワーク型ウィルス活動検出処理方法であって、
プロセスのネットワーク通信に係る挙動であるプロセス通信挙動と、当該プロセスの上位プロセスのネットワーク通信に係る挙動である上位プロセス通信挙動とを対応づけて不正プロセスの定義として記録した不正プロセス判定テーブルを記憶部に格納したコンピュータが実行する、
プロセスがネットワーク通信を発生させた際、当該ネットワーク通信を発生させたプロセスのネットワーク通信の挙動をプロセスログとして記憶部に記録するログ取得ステップと、
前記コンピュータ内で動作中のプロセスを管理するプロセス管理情報をオペレーティングシステムから取得し、当該プロセス管理情報に基づき、前記ネットワーク通信を発生させたプロセスの上位プロセスを特定する上位プロセス特定ステップと、
前記プロセスログを参照して、前記特定した上位プロセスのネットワーク通信の挙動を特定するログ参照ステップと、
前記プロセスが発生させたネットワーク通信の挙動と、前記特定した上位プロセスのネットワーク通信の挙動とが、前記不正プロセス判定テーブルにおいて対応づけられて格納されているプロセス通信挙動と上位プロセス通信挙動の組のいずれかに該当する場合に、前記判定対象プロセスが不正プロセスであると判定する判定ステップとを備える
ことを特徴とするネットワーク型ウィルス活動検出処理方法。 - 請求項８記載のネットワーク型ウィルス活動検出処理方法において、
前記判定ステップにより不正プロセスと判定された前記プロセスを停止する停止ステップを備える
ことを特徴とするネットワーク型ウィルス活動検出処理方法。 - ネットワークに接続されたコンピュータ内でのネットワーク型ウィルスの活動を検出するネットワーク型ウィルス活動検出システムであって、
プロセスのネットワーク通信に係る挙動であるプロセス通信挙動と、当該プロセスの上位プロセスのネットワーク通信に係る挙動である上位プロセス通信挙動とを対応づけて不正プロセスの定義として記録した不正プロセス判定テーブルを記憶する記憶手段と、
プロセスがネットワーク通信を発生させた際、当該ネットワーク通信を発生させたプロセスのネットワーク通信の挙動をプロセスログとして記憶部に記録するログ取得手段と、
前記コンピュータ内で動作中のプロセスを管理するプロセス管理情報をオペレーティングシステムから取得し、当該プロセス管理情報に基づき、前記ネットワーク通信を発生させたプロセスの上位プロセスを特定する上位プロセス特定手段と、
前記プロセスログを参照して、前記特定した上位プロセスのネットワーク通信の挙動を特定するログ参照手段と、
前記プロセスが発生させたネットワーク通信の挙動と、前記特定した上位プロセスのネットワーク通信の挙動とが、前記不正プロセス判定テーブルにおいて対応づけられて格納されているプロセス通信挙動と上位プロセス通信挙動の組のいずれかに該当する場合に、前記判定対象プロセスが不正プロセスであると判定する判定手段とを備える
ことを特徴とするネットワーク型ウィルス活動検出システム。
Priority Applications (2)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP2004304711A JP4327698B2 (ja) | 2004-10-19 | 2004-10-19 | ネットワーク型ウィルス活動検出プログラム、処理方法およびシステム |
| US11/041,434 US7752668B2 (en) | 2004-10-19 | 2005-01-25 | Network virus activity detecting system, method, and program, and storage medium storing said program |
Applications Claiming Priority (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP2004304711A JP4327698B2 (ja) | 2004-10-19 | 2004-10-19 | ネットワーク型ウィルス活動検出プログラム、処理方法およびシステム |
Publications (2)
| Publication Number | Publication Date |
|---|---|
| JP2006119754A JP2006119754A (ja) | 2006-05-11 |
| JP4327698B2 true JP4327698B2 (ja) | 2009-09-09 |
Family
ID=36182333
Family Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| JP2004304711A Expired - Fee Related JP4327698B2 (ja) | 2004-10-19 | 2004-10-19 | ネットワーク型ウィルス活動検出プログラム、処理方法およびシステム |
Country Status (2)
| Country | Link |
|---|---|
| US (1) | US7752668B2 (ja) |
| JP (1) | JP4327698B2 (ja) |
Cited By (1)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| WO2012046406A1 (ja) | 2010-10-04 | 2012-04-12 | パナソニック株式会社 | 情報処理装置およびアプリケーション不正連携防止方法 |
Families Citing this family (33)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| US7260845B2 (en) * | 2001-01-09 | 2007-08-21 | Gabriel Kedma | Sensor for detecting and eliminating inter-process memory breaches in multitasking operating systems |
| GB0513375D0 (en) | 2005-06-30 | 2005-08-03 | Retento Ltd | Computer security |
| JP4509904B2 (ja) * | 2005-09-29 | 2010-07-21 | 富士通株式会社 | ネットワークセキュリティ装置 |
| US9055093B2 (en) * | 2005-10-21 | 2015-06-09 | Kevin R. Borders | Method, system and computer program product for detecting at least one of security threats and undesirable computer files |
| US7870612B2 (en) * | 2006-09-11 | 2011-01-11 | Fujian Eastern Micropoint Info-Tech Co., Ltd | Antivirus protection system and method for computers |
| US8959639B2 (en) * | 2007-06-18 | 2015-02-17 | Symantec Corporation | Method of detecting and blocking malicious activity |
| US20090049547A1 (en) * | 2007-08-13 | 2009-02-19 | Yuan Fan | System for real-time intrusion detection of SQL injection web attacks |
| CN101350052B (zh) * | 2007-10-15 | 2010-11-03 | 北京瑞星信息技术有限公司 | 发现计算机程序的恶意行为的方法和装置 |
| JP5029701B2 (ja) * | 2008-01-09 | 2012-09-19 | 富士通株式会社 | 仮想マシン実行プログラム、ユーザ認証プログラムおよび情報処理装置 |
| US8074281B2 (en) * | 2008-01-14 | 2011-12-06 | Microsoft Corporation | Malware detection with taint tracking |
| JP5144488B2 (ja) * | 2008-12-22 | 2013-02-13 | Ｋｄｄｉ株式会社 | 情報処理システムおよびプログラム |
| JP2011053893A (ja) * | 2009-09-01 | 2011-03-17 | Hitachi Ltd | 不正プロセス検知方法および不正プロセス検知システム |
| US8578345B1 (en) * | 2010-04-15 | 2013-11-05 | Symantec Corporation | Malware detection efficacy by identifying installation and uninstallation scenarios |
| EP2413257B1 (en) * | 2010-07-26 | 2017-04-26 | Sony DADC Austria AG | Method for replacing an illegitimate copy of a software program with legitimate copy and corresponding system |
| US9413721B2 (en) | 2011-02-15 | 2016-08-09 | Webroot Inc. | Methods and apparatus for dealing with malware |
| JP5944655B2 (ja) * | 2011-02-17 | 2016-07-05 | キヤノン電子株式会社 | 情報処理装置及びその制御方法、コンピュータプログラム |
| JP2012215994A (ja) * | 2011-03-31 | 2012-11-08 | Hitachi Ltd | セキュリティレベル可視化装置 |
| US20130185795A1 (en) * | 2012-01-12 | 2013-07-18 | Arxceo Corporation | Methods and systems for providing network protection by progressive degradation of service |
| US9439077B2 (en) * | 2012-04-10 | 2016-09-06 | Qualcomm Incorporated | Method for malicious activity detection in a mobile station |
| US9396082B2 (en) | 2013-07-12 | 2016-07-19 | The Boeing Company | Systems and methods of analyzing a software component |
| US9852290B1 (en) | 2013-07-12 | 2017-12-26 | The Boeing Company | Systems and methods of analyzing a software component |
| US20150222646A1 (en) * | 2014-01-31 | 2015-08-06 | Crowdstrike, Inc. | Tagging Security-Relevant System Objects |
| EP2942728B1 (en) * | 2014-04-30 | 2019-09-11 | The Boeing Company | Systems and methods of analyzing a software component |
| JP6282217B2 (ja) * | 2014-11-25 | 2018-02-21 | 株式会社日立システムズ | 不正プログラム対策システムおよび不正プログラム対策方法 |
| JP6614980B2 (ja) * | 2016-01-20 | 2019-12-04 | キヤノン株式会社 | 情報処理装置及びその制御方法、プログラム |
| GB2563530B (en) * | 2016-04-04 | 2019-12-18 | Mitsubishi Electric Corp | Process search apparatus and process search program |
| JP6731789B2 (ja) * | 2016-06-03 | 2020-07-29 | キヤノン株式会社 | ネットワークデバイス及びその制御方法、プログラム |
| KR101883713B1 (ko) * | 2016-09-22 | 2018-07-31 | 주식회사 위드네트웍스 | 콘텐츠 파일 접근 제어를 이용한 랜섬웨어 차단 장치 및 차단 방법 |
| KR102569734B1 (ko) * | 2016-10-05 | 2023-08-25 | 삼성전자주식회사 | 전자장치 및 그 제어방법 |
| JP2018200641A (ja) * | 2017-05-29 | 2018-12-20 | 富士通株式会社 | 異常検知プログラム、異常検知方法および情報処理装置 |
| JP2020530624A (ja) * | 2017-08-10 | 2020-10-22 | アーガス サイバー セキュリティ リミテッド | 車載ネットワークに接続された構成要素の悪用を検出するシステムおよび方法 |
| JP7206980B2 (ja) * | 2019-02-07 | 2023-01-18 | 日本電気株式会社 | 通信制御装置、通信制御方法及び通信制御プログラム |
| JP7039632B2 (ja) * | 2020-01-24 | 2022-03-22 | 株式会社Kokusai Electric | 基板処理装置、基板処理方法およびプログラム |
Family Cites Families (20)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| US5655013A (en) * | 1994-04-19 | 1997-08-05 | Gainsboro; Jay L. | Computer-based method and apparatus for controlling, monitoring, recording and reporting telephone access |
| US5867647A (en) * | 1996-02-09 | 1999-02-02 | Secure Computing Corporation | System and method for securing compiled program code |
| US5822517A (en) * | 1996-04-15 | 1998-10-13 | Dotan; Eyal | Method for detecting infection of software programs by memory resident software viruses |
| US6338141B1 (en) * | 1998-09-30 | 2002-01-08 | Cybersoft, Inc. | Method and apparatus for computer virus detection, analysis, and removal in real time |
| US6499109B1 (en) * | 1998-12-08 | 2002-12-24 | Networks Associates Technology, Inc. | Method and apparatus for securing software distributed over a network |
| US6405318B1 (en) * | 1999-03-12 | 2002-06-11 | Psionic Software, Inc. | Intrusion detection system |
| US6775783B1 (en) * | 1999-08-13 | 2004-08-10 | Cisco Technology, Inc. | Client security for networked applications |
| WO2001090838A2 (en) * | 2000-05-24 | 2001-11-29 | Voltaire Advanced Data Security Ltd. | Filtered application-to-application communication |
| US6973577B1 (en) * | 2000-05-26 | 2005-12-06 | Mcafee, Inc. | System and method for dynamically detecting computer viruses through associative behavioral analysis of runtime state |
| US7024694B1 (en) * | 2000-06-13 | 2006-04-04 | Mcafee, Inc. | Method and apparatus for content-based instrusion detection using an agile kernel-based auditor |
| US7350204B2 (en) * | 2000-07-24 | 2008-03-25 | Microsoft Corporation | Policies for secure software execution |
| US20020069370A1 (en) * | 2000-08-31 | 2002-06-06 | Infoseer, Inc. | System and method for tracking and preventing illegal distribution of proprietary material over computer networks |
| GB0102518D0 (en) * | 2001-01-31 | 2001-03-21 | Hewlett Packard Co | Trusted operating system |
| US7281267B2 (en) * | 2001-02-20 | 2007-10-09 | Mcafee, Inc. | Software audit system |
| CN1147795C (zh) * | 2001-04-29 | 2004-04-28 | 北京瑞星科技股份有限公司 | 检测和清除已知及未知计算机病毒的方法、系统 |
| US6850943B2 (en) * | 2002-10-18 | 2005-02-01 | Check Point Software Technologies, Inc. | Security system and methodology for providing indirect access control |
| FI20030104A0 (fi) * | 2003-01-23 | 2003-01-23 | Stonesoft Oyj | Ilkivaltaisten yhteyksien ilmaisu ja estäminen |
| US20070107052A1 (en) * | 2003-12-17 | 2007-05-10 | Gianluca Cangini | Method and apparatus for monitoring operation of processing systems, related network and computer program product therefor |
| US7555777B2 (en) * | 2004-01-13 | 2009-06-30 | International Business Machines Corporation | Preventing attacks in a data processing system |
| US20050182958A1 (en) * | 2004-02-17 | 2005-08-18 | Duc Pham | Secure, real-time application execution control system and methods |
-
2004
- 2004-10-19 JP JP2004304711A patent/JP4327698B2/ja not_active Expired - Fee Related
-
2005
- 2005-01-25 US US11/041,434 patent/US7752668B2/en not_active Expired - Fee Related
Cited By (2)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| WO2012046406A1 (ja) | 2010-10-04 | 2012-04-12 | パナソニック株式会社 | 情報処理装置およびアプリケーション不正連携防止方法 |
| US8566937B2 (en) | 2010-10-04 | 2013-10-22 | Panasonic Corporation | Information processing apparatus and method for preventing unauthorized cooperation of applications |
Also Published As
| Publication number | Publication date |
|---|---|
| US20060085857A1 (en) | 2006-04-20 |
| US7752668B2 (en) | 2010-07-06 |
| JP2006119754A (ja) | 2006-05-11 |
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| JP4327698B2 (ja) | ネットワーク型ウィルス活動検出プログラム、処理方法およびシステム | |
| EP3127301B1 (en) | Using trust profiles for network breach detection | |
| US11775622B2 (en) | Account monitoring | |
| JP6894003B2 (ja) | Ａｐｔ攻撃に対する防御 | |
| US8516573B1 (en) | Method and apparatus for port scan detection in a network | |
| US7197762B2 (en) | Method, computer readable medium, and node for a three-layered intrusion prevention system for detecting network exploits | |
| US8869268B1 (en) | Method and apparatus for disrupting the command and control infrastructure of hostile programs | |
| US8302198B2 (en) | System and method for enabling remote registry service security audits | |
| US10581880B2 (en) | System and method for generating rules for attack detection feedback system | |
| KR102580898B1 (ko) | Dns 메시지를 사용하여 컴퓨터 포렌식 데이터를 선택적으로 수집하는 시스템 및 방법 | |
| WO2014129587A1 (ja) | ネットワーク監視装置、ネットワーク監視方法およびネットワーク監視プログラム | |
| US20030084326A1 (en) | Method, node and computer readable medium for identifying data in a network exploit | |
| US20030097557A1 (en) | Method, node and computer readable medium for performing multiple signature matching in an intrusion prevention system | |
| US20120005743A1 (en) | Internal network management system, internal network management method, and program | |
| US11856008B2 (en) | Facilitating identification of compromised devices by network access control (NAC) or unified threat management (UTM) security services by leveraging context from an endpoint detection and response (EDR) agent | |
| EP3509001B1 (en) | Method and apparatus for detecting zombie feature | |
| WO2015001969A1 (ja) | 不正アクセス検知システム及び不正アクセス検知方法 | |
| JP2014086821A (ja) | 不正コネクション検出方法、ネットワーク監視装置及びプログラム | |
| JP2022037896A (ja) | 脅威対応自動化方法 | |
| CN110581850A (zh) | 一种基于网络流量基因检测方法 | |
| US20030084330A1 (en) | Node, method and computer readable medium for optimizing performance of signature rule matching in a network | |
| US20030084344A1 (en) | Method and computer readable medium for suppressing execution of signature file directives during a network exploit | |
| JP7161021B2 (ja) | サイバーセキュリティ保護システムおよび関連する事前対応型の不審ドメイン警告システム | |
| US8234503B2 (en) | Method and systems for computer security | |
| JP7172104B2 (ja) | ネットワーク監視装置，ネットワーク監視プログラム及びネットワーク監視方法 |
Legal Events
| Date | Code | Title | Description |
|---|---|---|---|
| A621 | Written request for application examination |
Free format text: JAPANESE INTERMEDIATE CODE: A621 Effective date: 20060126 |
|
| A131 | Notification of reasons for refusal |
Free format text: JAPANESE INTERMEDIATE CODE: A131 Effective date: 20090310 |
|
| A521 | Request for written amendment filed |
Free format text: JAPANESE INTERMEDIATE CODE: A523 Effective date: 20090511 |
|
| RD03 | Notification of appointment of power of attorney |
Free format text: JAPANESE INTERMEDIATE CODE: A7423 Effective date: 20090511 |
|
| RD04 | Notification of resignation of power of attorney |
Free format text: JAPANESE INTERMEDIATE CODE: A7424 Effective date: 20090511 |
|
| TRDD | Decision of grant or rejection written | ||
| A01 | Written decision to grant a patent or to grant a registration (utility model) |
Free format text: JAPANESE INTERMEDIATE CODE: A01 Effective date: 20090609 |
|
| A01 | Written decision to grant a patent or to grant a registration (utility model) |
Free format text: JAPANESE INTERMEDIATE CODE: A01 |
|
| A61 | First payment of annual fees (during grant procedure) |
Free format text: JAPANESE INTERMEDIATE CODE: A61 Effective date: 20090611 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20120619 Year of fee payment: 3 |
|
| R150 | Certificate of patent or registration of utility model |
Free format text: JAPANESE INTERMEDIATE CODE: R150 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20120619 Year of fee payment: 3 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20130619 Year of fee payment: 4 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20130619 Year of fee payment: 4 |
|
| LAPS | Cancellation because of no payment of annual fees |