JP5851311B2

JP5851311B2 - アプリケーション検査装置

Info

Publication number: JP5851311B2
Application number: JP2012081426A
Authority: JP
Inventors: 弘樹葛野
Original assignee: Secom Co Ltd
Current assignee: Secom Co Ltd
Priority date: 2012-03-30
Filing date: 2012-03-30
Publication date: 2016-02-03
Anticipated expiration: 2032-03-30
Also published as: JP2013210891A

Description

本発明は、携帯端末上で動作するアプリケーションを検査するアプリケーション検査装置に関する。

スマートフォンや携帯情報端末、携帯電話等の携帯端末には、利用者の電話番号やメールアドレス等の情報をはじめ、位置情報、アドレス帳、スケジュールなど、さまざまな個人情報が記憶されている。一方、これらの携帯端末には、さまざまなベンダーが開発したメールソフト、ゲームソフト、便利ツール等の携帯端末用のアプリケーションプログラム（以下、単にアプリケーションと称する）が利用者によって自由にインストールされ、使用される。

ところで、アプリケーションによっては、利用者に許可を求めることなく、その携帯端末に記憶された個人情報を外部に送信してしまうものが存在する。これは、アプリケーションの利用者が意図した目的に関する情報送信ばかりでなく、利用者の意図する目的とは無関係に、情報収集業者がマーケット情報を収集することを目的とした送信が含まれているからである。このように、アプリケーションによっては、利用者の意図とは関係なく、個人情報が送信されてしまうなどの潜在的なリスクがある。
しかしながら、利用者は、利用者の意図と関係なく個人情報等が外部に送信されるなどの潜在的なリスクに注意を払うことが少ない。また、利用者が意図した情報送信であるのか、利用者の意図と関係のない潜在リスクとしての情報送信なのかの判断は、利用者にとって非常に困難である。このため、利用者は、このような潜在リスクの存在を意識せず、又は意識しても対応できずに、アプリケーションをインストールして利用している。

ところで、利用者の意図とは無関係に情報を収集することを目的としたアプリケーションとして、マルウェアやスパイウェアとよばれる悪性プログラムがある。ただし、マルウェア等は、アプリケーションの本来目的が悪質なもので、利用者はマルウェア等と知りながらインストールすることは基本的にあり得ない。しかし、誤ってマルウェア等をインストールされないように、またはインストールされた後に、アプリケーションがマルウェア等でないかを検査する検査システムが提案されている。

例えば、特許文献１に記載のプログラム分析装置は、悪性プログラムが持つファイル属性および悪性プログラムの動作した際に生じることがある事象を加算条件として、プログラムを分類する。つまり、プログラム分析装置は、仮想オペレーティングシステム上にてプログラムを実行させて、その動作履歴を取得する。取得した動作履歴及びファイル属性が、加算用条件に合致するとポイント加算することにより、「マクロウィルス」「ボット」「Ｐ２Ｐワーム」「スパイウェア」「トロイの木馬」「非悪性プログラム」として分類している。

特開２００８−１２９７０７号公報

アプリケーションには、利用者にとって有用な機能をもって動作することに留まらず、利用者が意図していない動作をする機能が含まれているものがある。本明細書では、かかるアプリケーションをグレーウェアと呼ぶ。従来の方法では、起動している仮想OSにて、検査対象となるアプリケーションを起動させる。その後の生存期間内にアプリケーションの動作があるとその動作履歴を記憶し、かかる動作履歴およびファイル属性に基づきアプリケーションを分類している。

そこで、本発明は、このようなグレーウェアについて、潜在的なリスクがどの程度あるのか、セキュリティの観点でどのような影響を受ける可能性があるかを検査する検査装置の実現を目的とする。

かかる課題を解決するために、本発明は、アプリケーションの潜在リスクを検査するアプリケーション検査装置であって、一通りの動作中における前記アプリケーションの処理ごとに少なくとも処理種別とその発生時刻を含むレコードを動作ログとして記憶している記憶部と、前記動作ログから前記処理種別が操作であるレコードと一体的な所定関係を有していないレコードを評価対象レコードとして抽出する非意図処理抽出手段と、前記評価対象レコードに基づいて潜在リスクの指標であるインパクト度を求めるリスク評価手段を有し、前記リスク評価手段の求めたインパクト度を検査結果とするアプリケーション検査装置を提供する。利用者の意図を示す操作の処理に対して行われた処理の間には一体的な所定関係ができるが、利用者の意図しない処理にはこの一体的な所定関係を有する操作の処理が存在しない。これにより、利用者の意図しない処理をアプリケーションの潜在リスクとしてインパクト度という指標で評価することができ、利用者はアプリケーションによって影響を受ける可能性を判断することができる。

かかるアプリケーション検査装置において、前記記憶部は、前記処理種別と対応して既に判明しているリスク情報である既知リスクを更に記憶しており、前記非意図処理抽出手段は、前記既知リスクの処理種別のレコードから評価対象レコードを抽出することが好ましい。これにより、既知のリスクの情報を併用して、利用者の意図しない処理を抽出することができる。

また、かかるアプリケーション検査装置において、前記記憶部は、一通りの動作中における通信処理とその発生時刻を含むレコードを通信ログとして記憶しており、前記非意図処理抽出手段は、前記通信ログの前記処理種別が送信であるレコードから前記処理種別が操作であるレコードと一体的な所定関係を有していないレコードを評価対象レコードとして抽出することが好ましい。これにより、利用者が意図しない送信により情報漏えいが発生する潜在リスクを評価することができる。

また、かかるアプリケーション検査装置において、前記非意図処理抽出手段は、前記所定関係として各レコードの発生時刻と操作の発生時刻の関係が所定時間以内の関係とすることが好ましい。これにより、利用者の意図した処理が利用者の操作を受けて速やかに行われる性質を利用して、利用者の意図しない処理を抽出することができる。

また、かかるアプリケーション検査装置において、前記リスク評価手段は、前記評価対象レコードが既知リスクに該当しているとインパクト度を高めることが好ましい。これにより、利用者の意図しない処理が既知のリスクのときには、利用者に対し、アプリケーションによって影響を受ける度合いを大きく示すことができる。

本発明によれば、グレーウェアについても、利用者が端末でアプリケーションを動作させるとセキュリティの観点でどのような影響を受ける可能性があるかの潜在リスクを示すことができる。

本発明を適用したアプリケーション検査装置を含むアプリケーション検査システムの全体構成を説明する図である。通信ログの例を示す図である。動作ログの例を示す図である。既知リスクの例を示す図である。検査結果の例を示す図である。検査処理の動作を示すフローチャートである。

以下、本発明に係るアプリケーション検査システムの実施の形態について、図を参照しつつ説明する。図１は、アプリケーション検査システムの全体構成図である。図１に示すアプリケーション検査システム１は、アプリケーション検査装置２と外部サーバ４がネットワーク３を介して接続されて構成される。

アプリケーション検査装置２は、通信機能を有する携帯端末にインストールされた状態で機能するアプリケーションであって、検査対象のアプリケーションに潜在リスクが潜んでいるかを検査する装置である。ここで、検査アプリケーションの潜在リスクの程度を示す指標をインパクト度と定義する。なお、インパクト度は、本実施の形態のように多値にて表現してもよいが、潜在リスクが存在するか否かの二値で表現してもよい。本実施の形態では、アプリケーション検査装置２を携帯端末にインストールしたものとして説明するが、検査対象のアプリケーションをインストールして動作可能なものであればよく、インストール先としてはノートパソコン、携帯端末をエミュレートしてアプリケーションを実行するパーソナルコンピュータやサーバであってもよい。アプリケーション検査装置２は、記憶部２１と、制御部２２と、通信部２３と、表示操作部２４を有している。

記憶部２１は、ＲＯＭ、ＲＡＭ、磁気ハードディスク等の記憶装置であり、各種プログラムや各種データを記憶し、検査対象のアプリケーションである検査アプリケーション２１１、携帯端末の固有情報２１２、ネットワークを介して外部と通信した際の通信履歴である通信ログ２１３、と動作ログ２１４と既知リスク２１５と検査結果２１６を記憶する記憶領域を持つ。

固有情報２１２は、携帯端末を識別するために付与される端末固有番号や各種端末識別情報、緯度経度による現在位置を示す位置情報、アドレス帳、メール情報、スケジュール情報等である。

通信ログ２１３は、検査アプリケーション２１１がネットワーク３を介して外部と情報の送受信をした外部通信の履歴である。通信ログの例を図２に示す。通信ログ２１３は、１回の通信が発生するごとに、発生日時２１３２、処理種別２１３３、送信先又は受信先２１３４、送信内容又は受信内容２１３５を１レコードとして記憶したものである。
例えば、最上段に記載したレコードでは、レコード識別子２１３１が＃１、処理種別として「送信」、発生日時として「2012/01/10 18:30:02」、送信先として「X」、送信内容として「位置情報（緯度a,経度b）,利用者ID,端末識別情報,Start」となっている。これらの内容は、通信が行われる都度順次記録されている。

動作ログ２１４は、検査者が携帯端末を操作した記録である操作履歴、表示操作部２４に表示した内容の履歴である画面表示履歴、固有情報２１２にアクセスした履歴である情報取得履歴、アプリケーションが生成又はダウンロードしたファイルの保存処理をした履歴であるファイル保存履歴等が含まれている。動作ログ２１４の例を図３に示す。動作ログ２１４は、動作が実行される都度、発生日時２１４２、処理種別２１４３、処理内容２１４４を１レコードとして記憶したものである。
例えば、上から５段目に記載したレコードでは、レコード識別子２１４１が＃５、発生日時２１４２として「2012/01/10 18:35:00」、処理種別２１４３として「画面表示」、処理内容として「地図情報を取得しますか？はいor終了」が記憶されている。
ここで、処理種別２１４３としては、起動、画面表示、操作、情報取得、ファイル保存がある。なお、この他の種々の処理を処理種別とできることは言うまでもない。

既知リスク２１５は、既に知られているリスク情報である。通信ログ２１３及び動作ログ２１４が、既知リスク２１５に該当するか否かを判定するのに使用する。既知リスク２１５の例を図４に示す。既知リスク２１５は、リスク識別番号２１５１とリスク情報２１５２およびリスク係数２１５３から成っている。リスク識別番号２１５１は、リスク情報２１５２が設定されると自動的に付与される。リスク情報２１５２は、通信ログ２１３の処理種別２１３３若しくは動作ログ２１４の処理種別２１４３と、通信ログ２１３の送信先／送信元２１３４若しくは送信内容／受信内容２１３５、または動作ログ２１４の処理内容２１４４から構成されており、既にリスクが高いことが判明している情報が登録されている。

図４には、送信先Xは、過去に情報を不当に収集していたということが分かっているので、リスク識別番号２１５１が＃１は、Xを送信先とした送信処理を登録し、後述するインパクト度を算出するリスク係数として「0.2」としている。
同様に、送信先Yは、過去に情報を不当に収集していたということが分かっているので、リスク識別番号＃２は、Yを送信先とした送信処理を登録し、後述するインパクト度を算出するリスク係数として「0.2」としている。
同様に、送信先Zは、過去に情報を不当に収集していたということが分かっているので、リスク識別番号＃３は、Zを送信先とした送信処理を登録し、後述するインパクト度を算出するリスク係数として「0.2」としている。
また、送信された内容に位置情報、利用者ID及び端末識別情報の全てを含んでいることはリスクであるので、リスク識別番号＃４は、送信内容が位置情報、利用者ID及び端末識別情報の送信処理を登録し、後述するインパクト度を算出するリスク係数として「0.2」としている。
また、端末識別情報に利用者への確認もなくアクセスをしたこと（情報取得）はリスクであるので、リスク識別番号＃５は、処理種別が情報取得と処理内容に端末識別情報を登録し、後述するインパクト度を算出するリスク係数として「0.1」としている。
また、ファイル保存をする際に暗号化をしないことは情報漏えいの観点からリスクであるので、リスク識別番号＃６は、処理種別がファイル保存と処理内容に暗号化を登録し、後述するインパクト度を算出するリスク係数として「0.1」としている。
また、ファイル保存をする際に保存先が検査アプリケーション２１１のアプリIDに基づき自動設定されるパーミッションにより、他のアプリケーションからのアクセス制限がされたフォルダ（フォルダF）でないことは、他のアプリケーションを介して情報漏えいする可能性がありリスクとなるので、リスク識別番号＃７は、処理種別がファイル保存と処理内容にフォルダFを登録し、後述するインパクト度を算出するリスク係数として「0.1」としている。
本実施の形態では、図４に示す既存リスク２１５を説明のために用いているが、これに限られるものではなく、既にリスクと判明している処理等が適宜登録される。

検査結果２１６は、アプリケーション検査装置２にて検査アプリケーション２１１を評価した結果であり、検査アプリケーション２１１のインパクト度などである。
ここで、インパクト度について説明する。検査対象のアプリケーションが潜在的に持っているリスクの程度を示す指標をインパクト度として定義する。インパクト度は、アプリケーションの利用者が意図しないのに行なわれる各種処理の存在を潜在リスクとし、検査対象のアプリケーションの検査結果とする。
図５に、検査結果２１６の例を示している。本実施形態では、評価項目２１６１、結果２１６２を検査結果として記憶している。ここで、評価項目には、非意図送信の有無、非意図送信の送信先数、非意図送信の回数、評価対象レコード数、およびインパクト度がある。

制御部２２は、ＣＰＵやＭＰＵ等から構成され、アプリケーション検査装置２の制御全般についてプログラムに従って処理を行い、通信ログ取得手段２２１、動作ログ取得手段２２２、非意図処理抽出手段２２３、リスク評価手段２２４を有する。

通信ログ取得手段２２１は、検査アプリケーション２１１の起動から終了までに、ネットワーク３を介して外部サーバ４と各種データの送信又は受信した際の通信ログを取得し、記憶部２１の通信ログ２１３に記憶させる。

動作ログ取得手段２２２は、検査アプリケーション２１１の起動から終了までに処理の履歴を取得する手段であって、検査アプリケーション２１１の「起動」、検査者が行った「操作」、「情報取得」、「画面表示」、「ファイル保存」などの処理種別を処理内容、処理日時とともに記憶部２１の動作ログ２１４に記憶させる。

非意図処理抽出手段２２３は、通信ログ２１３と動作ログ２１４から利用者の意図しない処理に関するレコードを抽出する。以下、「利用者の意図しない処理」を「非意図処理」と称する。非意図処理の抽出方法については、図６を参照して後述する。

リスク評価手段２２４は、非意図処理抽出手段２２３にて抽出されたレコードについて、そのレコード数や既知リスク２１５に該当するかなどから潜在リスクの評価を行う。そして、評価した検査結果を記憶部１３の検査結果２１６として記憶させるとともに、表示操作部２４に表示させる。

通信部２３は、ネットワーク３を介して外部サーバ４との通信を行なうインタフェースであり、接続するネットワークに対応している。

表示操作部２４は、タッチパネル付き液晶ディスプレイなどで構成された入出力インタフェースであり、アプリケーション実行時の画面表示や確認操作の受付を行う。なお、表示操作部２４は、表示機能だけもつ表示用デバイスと、操作ボタン等の入力デバイスを別々に設けた構成としてもよい。

ネットワーク３は、アプリケーション検査装置２及び外部サーバ４に接続され、インターネット等の広域通信網あるいは閉域通信網などのネットワークである。一般電話回線網であってもよい。

外部サーバ４は、ネットワーク３を介してアプリケーションが主目的として提供する機能・サービスを提供する際のサーバやアプリケーションが端末内の個人情報を勝手に外部へ送信する際の情報収集を行うサーバである。

図６を参照し、アプリケーション検査装置２が検査アプリケーション２１１を検査する際の処理フローを説明する。なお、以下に説明する処理フローは、制御部２２で実行されるプログラムによって制御される。

本実施の形態では、検査アプリケーション２１１を携帯端末２の現在位置を示す地図情報を外部サーバ４の一つである送信先Ａから取得し、表示することを目的としたアプリケーションとして説明する。
検査を始めるに当たって、先ず検査者は、初期設定状態の検査アプリケーション２１１の機能を一通り動作させて、図２に示す通信ログ２１３と図３に示す動作ログ２１４を記憶部２１に記憶させる。
すなわち、検査者が、検査対象のアプリケーションを起動させると、「地図情報を取得しますか？はいor終了」と表示操作部２４に表示される。検査者は、この表示操作部２４の画面表示にしたがって「はい」をタッチする。携帯端末２の現在位置をマークが付いた地図情報、および、「地図情報を取得しますか？はいor終了」が表示操作部２４に表示される。次に、検査者は、表示操作部２４にて「終了」をタッチし、検査アプリケーション２１１の一通りの動作が終了する。
かかる一連の動作中の処理が、通信ログ取得手段２２１が動作して図２に示す通信ログ２１３、および、動作ログ取得手段２２２が動作して図３に示す動作ログ２１４として記憶部２１に記憶されているのものとする。
そして、検査アプリケーション２１１の検査を開始する指示を受けると図６の処理を開始する。記憶部２１から通信ログ２１３と動作ログ２１４を取得する（ステップＳ１）。

図２は、ステップＳ１にて取得した通信ログ２１３を示している。図２に示すように、通信ログ２１３は、＃1〜＃6のレコードが記録されている。すなわち、＃1は、2012年01月10日の18:30:02に、Ｘを送信先として、送信内容{位置情報(緯度a,経度b),利用者ID,端末識別情報,Start}を送信したことを示すレコードである。＃2は、2012年01月10日の18:30:03に、Ｙを送信先として、送信内容{位置情報(緯度a,経度b),端末識別情報}を送信したことを示すレコードである。＃3は、2012年01月10日の18:30:04に、Ｚを送信先として、送信内容{位置情報(緯度a,経度b),利用者ID}を送信したことを示すレコードである。＃4は、2012年01月10日の18:35:06に、Ａを送信先として、送信内容{位置情報(緯度a,経度b)}を送信している。＃5は、2012年01月10日の18:35:07に、Ａを送信元として、受信内容{地図情報(緯度a,経度bに現在位置マークを表示)}を受信したことを示すレコードである。そして、＃6は、2012年01月10日の18:38:30に、Ｘを送信先として、送信内容{位置情報(緯度a,経度b),利用者ID,端末識別情報,Finish}を送信したことを示すレコードである。

図３は、ステップＳ１にて取得した動作ログ２１４を示している。図３に示すように、動作ログ２１４は、＃1〜＃12のレコードが記録されている。すなわち、＃1は、2012年01月10日の18:30:00に、検査アプリケーション２１１が起動されたことを示すレコードである。＃2は、2012年01月10日の18:30:01に、ＧＰＳから現在の自己位置を示す位置情報を取得したことを示すレコードである。＃3は、2012年01月10日の18:30:01に、記憶部２１の固有情報２１２から利用者IDを取得したことを示すレコードである。＃4は、2012年01月10日の18:30:01に、記憶部２１の固有情報２１２から端末識別情報を取得したことを示すレコードである。＃5は、2012年01月10日の18:35:00に、表示操作部２４に「地図情報を取得しますか？はいor終了」を表示させたことを示すレコードである。＃6は、2012年01月10日の18:35:05に、表示操作部２４が「はい」操作をされたことを示すレコードである。＃7は、2012年01月10日の18:35:07に、ＧＰＳから現在の自己位置を示す位置情報を取得したことを示すレコードである。＃8は、2012年01月10日の18:35:16に、表示操作部２４に「地図情報の緯度a,経度bに現在位置マーク」を表示させ、更に「地図情報を取得しますか？はいor終了」も合わせて表示させたことを示すレコードである。＃9は、2012年01月10日の18:38:05に、表示操作部２４が「終了」操作をされたことを示すレコードである。＃10は、2012年01月10日の18:38:09に、ＧＰＳから現在の自己位置を示す位置情報を取得したことを示すレコードである。＃11は、2012年01月10日の18:40:00に、フォルダＦに201201011830.logを暗号化して保存したことを示すレコードである。＃12は、2012年01月10日の18:45:30に、検査アプリケーション２１１が終了されたことを示すレコードである。

図６にもどって、ステップＳ１にて取得した通信ログ２１３および動作ログ２１４の各レコードに対して、ステップＳ２では、非意図処理抽出手段２２３が、既知リスク２１５においてリスク情報とされている処理種別である「送信」「情報取得」「ファイル保存」を処理種別に持つレコードを抽出する。
そして、抽出された各レコードに対し、ステップＳ３〜ステップＳ６の処理を行なう。
具体的には、ステップＳ３にて、動作ログ２１４の各レコードにおける処理種別２１４３が「操作」となっているレコードと、評価対象のレコードと関連付くことができるか比較する。具体的には、「操作」となっているレコードの発生日時２１４２と注目しているレコードの発生日時２１３２または２１４２が関連すると考えられる程度に近接していれば関連する処理とする。関連する処理は、操作に基づいて行われた処理として、操作の処理のレコードと注目している処理のレコードが一体的であるといえる関係を有している。本実施例では、操作後の2秒以内であれば関連する処理としている。この時間は、任意に決定すればよく、また処理種別ごとに異ならせてもよい。なお、本実施の形態では、非意図処理抽出手段２２３は、操作処理後の発生時刻を用いて非意図処理であるレコードを抽出したが、これに限られるものではなく、処理種別が操作であるレコードの処理内容と関連性が低いレコードを非意図処理のレコードとしてもよい。例えば、図３の動作ログ２１４のレコード＃９にある操作「終了」とは、「送信」「情報取得」の処理とは関連性が低い。これらの操作と関連性が低いレコードを予め定めて、非意図処理のレコードの抽出を行なってもよい。
そして、ステップＳ４にて、関連付けの成否を判定し、関連付けに成功しなかったレコードは、その数をカウントするとともに（ステップＳ５）、評価対象とする（ステップＳ６）。

図２の通信ログ２１３では、レコード＃4が関連付けに成功し、レコード＃1＃2＃3＃6が関連付けに成功していない。図３の動作ログ２１４では、レコード＃7が関連付けに成功し、レコード＃2＃3＃4＃10＃11が関連付けに成功しない。したがって、評価対象のレコード数は、「９」となる。また、評価対象のレコードは、通信ログ２１３のレコードでは＃1＃2＃3＃6、動作ログ２１４のレコードでは＃2＃3＃4＃10＃11である。
ここで、評価対象となったレコードは、利用者が意図しないで、検査アプリケーション２１１が処理をした結果のレコードである。このレコードの数と潜在リスクの大きさには相関がある。

次に、ステップＳ７では、リスク評価手段２２４が、インパクト度の算出処理を行なう。すなわち、インパクト度＝評価対象レコード数／既知リスク処理レコード数として、インパクト度を算出する。本実施の形態では、インパクト度＝９／１１＝０．８となる。なお、インパクト度は、潜在リスクの大きさを示す指標なので、単に評価対象レコード数をインパクト度としてもよい。

次に、リスク評価手段２２４は、評価対象レコードに対して、ステップＳ８〜ステップＳ１２の処理を繰り返し行なう。この処理は、ステップＳ７にて算出したインパクト度を既に判明しているリスク情報にて精度を高めるために行なう。

まず、ステップＳ８では、各評価対象レコードを、図４に示す既知リスク２１５のリスク情報と照合する処理である。具体的には、評価対象レコードが、通信ログ２１３のレコードであれば、リスク情報２１５２にある送信先が、Ｘ，Ｙ，Ｚの何れかに合致するレコードか（既知リスク＃１、＃２、＃３）と、送信内容が「位置情報、利用者ID、端末識別情報」であるレコードか（既知リスク＃４）を照合する。また、評価対象レコードが動作ログ２１４であれば、端末識別情報を取得した処理のレコードか（既知リスク＃５）、ファイルを保存したときに当該ファイルを暗号化したレコードか（既知リスク＃６）、あるいはファイルの保存先がフォルダＦであるレコードか(既知リスク＃７)を照合する。
そして、既知リスク＃１〜＃４に該当する場合（ステップＳ９：一致）は、ステップＳ１０に進み、ステップＳ７で求めて基準とするインパクト度に対応するリスク係数「０．２」を加える。他方、既知リスク＃１〜＃４に該当しない場合（ステップＳ９:不一致）は、ステップＳ１１に進む。ステップＳ１１にて、既知リスク＃５〜＃７に一致していればステップＳ１２にて基準のインパクト度に対応するリスク係数「０．１」を加える。ステップＳ１１にて、既知リスク＃５〜＃７に一致しなければ、既知リスクとしてインパクト度を上げるほどのレコードではないという判断となり、リスク係数を加えることはない。

本実施の形態では、通信ログ２１３の評価対象レコードのうち、＃１、＃２、＃３、＃６は、既知リスクとして認識されているので、それぞれリスク係数「０．２」をステップＳ７にて求めた基準のインパクト度に加える。また動作ログ２１４の評価対象レコードのうち、＃２、＃３、＃１０、＃１１は、既知リスクとしてのインパクト度を上げるほどのレコードではないとされ、基準のインパクト度にリスク係数を加えることはない。その他、動作ログ２１４の評価対象レコードの＃４は、ステップＳ１１にて一致と判定されて、それぞれリスク係数「０．１」をステップＳ７にて求めたインパクト度に加える。なお、動作ログ２１４の評価対象レコードの＃１１は、「ファイル保存」において暗号化されフォルダFに保存されており、記述と逆の状態の場合がリスクであるリスク情報で登録記述される既知リスク＃６〜＃７と照合しても、ステップＳ１１で不一致と判定されている。
本実施例では、インパクト度＝０．８（ステップＳ７）＋０．８（ステップＳ９にて一致したレコード）＋０．１（ステップＳ１１にて一致したレコード）＝１．７が算出される。

このようにして、算出されたインパクト度を図５に示す検査結果２１６として、記憶部２１に記憶させるとともに、表示操作部２４に表示させる。ここで、図５に記載している結果を出す方法について説明する。
評価項目の「非意図送信の有無：結果（有）」は、ステップＳ２にて、評価対象レコードに通信ログ２１３のレコードが含まれていれば「有」となり、含まれていなければ「無」となる。この評価項目は、非意図送信があったということは、それだけでも潜在リスクが存在している可能性を示す結果となる。
評価項目の「非意図送信の送信先数」は、ステップＳ２にて、評価対象レコードのうち通信ログ２１３のレコードの送信先２１３４を参照し、送信先とされた数である。この数は、多いほどいろいろな送信先に情報を送信していることとなり、潜在リスクが高い可能性を示す結果である。
評価項目の「非意図送信の回数」は、ステップＳ２にて評価対象レコードのうち通信ログ２１３のレコードをカウントした数となる。非意図送信の回数が多いほど、潜在リスクが高い可能性を示す結果である。
評価項目の「評価対象レコード数」は、ステップＳ２にて評価対象レコードをカウントした数となる。評価対象となったレコードの数が多いほど、潜在リスクが高い可能性を示す結果である。
評価項目の「インパクト度」は、既知リスクを考慮した指標となっており、数字が大きいほど潜在リスクが高い可能性を示す結果である。なお、図５に示す他の評価項目のような潜在リスクと関係が深い情報をインパクト度としてもよい。評価項目は、その他にも、例えば、「非意図送信のうち送信を避けるべき送信先数」や「非意図送信のうち送信を避けるべき送信回数」のように、既知リスク＃１〜＃４に一致した評価対象レコードについてカウントした数にし、ある特定の送信先への非意図送信に着目してもよい。また、送信内容に着目して、送信内容の中の情報種別を特定し、いろいろな情報を送信しているほど潜在リスクが高い可能性を示す「非意図送信の送信内容の種別数」という評価項目を設けてもよい。また、評価対象レコードのうち処理種別「ファイル保存」の頻度に着目して、例えば、クレデンシャル情報が含まれているにもかかわらず暗号化されていないときの回数、容易にアクセスできるところに保存しているときの回数を計数する評価項目を設けてもよい。また、評価対象レコードのうち処理種別「情報取得」の頻度に着目し、例えば、情報取得する回数、情報取得する種類の数とその内訳を計数する評価項目を設けてもよい。

これにより、利用者は、アプリケーションのインパクト度の評価結果を参照し、アプリケーションの利用可否をアプリケーション実行前に検討可能とすることができ、グレーウェアによるセキュリティリスクを軽減して、アプリケーションによる利用者の意図しない端末上の利用者に関する情報の送信の未然防止や、利用者のクレデンシャル情報・プライバシー情報を不適切に管理するアプリケーションの利用を防止することが可能である。

本発明は、上記実施の形態に限定されるものではなく、幾多の変更及び変形が可能である。例えば、図６において、リスク評価手段２２４が評価対象レコードに対して、ステップＳ８〜ステップＳ１２の処理を繰り返し行なう場合を説明したが、この処理は、ステップＳ７にて算出したインパクト度を既に判明しているリスク情報にて精度を高めるために行なうため、インパクト度の精度が求められないときは省略して、検査結果を出力してもよい。

１・・・アプリケーション検査システム
２・・・アプリケーション検査装置
２１・・・記憶部
２１１・・・検査アプリケーション
２１２・・・固有情報
２１３・・・通信ログ
２１４・・・動作ログ
２１５・・・既知リスク
２１６・・・検査結果
２２・・・制御部
２２１・・・通信ログ取得手段
２２２・・・動作ログ取得手段
２２３・・・非意図処理抽出手段
２２４・・・リスク評価手段
２３・・・通信部
２４・・・表示操作部
３・・・ネットワーク
４・・・外部サーバ

Claims

アプリケーションの潜在リスクを検査するアプリケーション検査装置であって、
一通りの動作中における前記アプリケーションの処理ごとに少なくとも処理種別とその発生時刻を含むレコードを示す動作ログと、前記処理種別と当該処理種別に対して既に判明しているリスクの大きさに応じたリスク係数とを対応付けた既知リスクと、を記憶している記憶部と、
前記動作ログから前記処理種別が操作であるレコードと一体的な所定関係を有していないレコードを評価対象レコードとして抽出する非意図処理抽出手段と、
抽出された前記評価対象レコードの数に応じて潜在リスクの指標であるインパクト度を求め、当該インパクト度に前記評価対象レコードの処理種別に対応する前記リスク係数を加算するリスク評価手段を有し、
前記リスク評価手段の求めたインパクト度を検査結果とすることを特徴としたアプリケーション検査装置。
前記非意図処理抽出手段は、前記既知リスクの処理種別と一致する処理種別を持つレコードから前記評価対象レコードを抽出することを特徴とする請求項１に記載のアプリケーション検査装置。
前記記憶部は、一通りの動作中における通信処理とその発生時刻を含むレコードを通信ログとして記憶しており、
前記非意図処理抽出手段は、前記通信ログの前記処理種別が送信であるレコードから前記処理種別が操作であるレコードと一体的な所定関係を有していないレコードを評価対象レコードとして抽出することを特徴とする請求項１または請求項２に記載のアプリケーション検査装置。
前記非意図処理抽出手段は、前記所定関係として各レコードの発生時刻と操作の発生時刻の関係が所定時間以内の関係としたことを特徴とする請求項１〜請求項３の何れか一項に記載のアプリケーション検査装置。