JP5892840B2 - Program analysis system - Google Patents
Program analysis system Download PDFInfo
- Publication number
- JP5892840B2 JP5892840B2 JP2012086942A JP2012086942A JP5892840B2 JP 5892840 B2 JP5892840 B2 JP 5892840B2 JP 2012086942 A JP2012086942 A JP 2012086942A JP 2012086942 A JP2012086942 A JP 2012086942A JP 5892840 B2 JP5892840 B2 JP 5892840B2
- Authority
- JP
- Japan
- Prior art keywords
- server
- analysis
- client
- record
- program
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Expired - Fee Related
Links
Images
Description
本発明は、コンピュータプログラムの挙動を解析するプログラム解析システムに関する。 The present invention relates to program analysis system for analyzing the behavior of a computer program.
ソースコードを用いずに、コンピュータプログラムの挙動を解析する方法として、静的解析と動的解析の２種類が知られている。静的解析とは、プログラムのファイルに記述されている命令コードを分析することで、挙動を調査するものである。動的解析とは、プログラムを計算機上で実行し、当該実行時のプログラムの振る舞いを観測することで、挙動を調査するものである。 There are two known methods for analyzing the behavior of a computer program without using source code: static analysis and dynamic analysis. In static analysis, behavior is investigated by analyzing an instruction code described in a program file. In dynamic analysis, a program is executed on a computer, and the behavior is examined by observing the behavior of the program at the time of execution.
プログラムによっては、静的解析を阻止するために様々な防御策が講じられているものがある。特に、昨今のマルウェア（malware：コンピュータウイルスやスパイウェアなどの不正プログラム）は、静的解析を阻止するために、ファイルが難読化されている場合や、ファイルが暗号化されている場合が多い。そのため、静的解析による調査には、ファイル構造の解読や復号化に長い時間と熟練した技術者とを必要とする。 Some programs have various defensive measures to prevent static analysis. In particular, recent malware (malware: malicious programs such as computer viruses and spyware) is often obfuscated or encrypted in order to prevent static analysis. For this reason, the investigation by static analysis requires a long time and a skilled engineer for decoding and decoding the file structure.
一方、動的解析は、実行時のプログラムの振る舞いを観測して、挙動を調査するため、ファイルの難読化や暗号化による影響を受けにくく、比較的短時間に解析を完了することができるという効果がある。 On the other hand, dynamic analysis observes the behavior of the program at the time of execution and investigates the behavior, so it is less affected by obfuscation and encryption of the file and can be completed in a relatively short time. effective.
そのため、近年では、特許文献１、特許文献２など、動的解析の処理を自動化して効率的な解析を実現するシステムの研究開発が進んでいる。これらのシステムでは、実行環境でマルウェアを実行し、一定時間内に観測された挙動（たとえば、マルウェアのファイルアクセスやネットワーク通信）を取得して解析する。
Therefore, in recent years, research and development of a system that realizes efficient analysis by automating dynamic analysis processing, such as
しかし、プログラムによっては、自身が実行される環境が特定の処理を行う場合にのみ、活発な活動を行うものがある。例えば、マルウェアの中には、計算機が、銀行のＷＥＢ（World Wide Web）サイトなどにアクセスしたときのみ活動を開始し、ユーザアカウントを窃取し、ユーザの入力内容を改ざんするものがある。このため、特許文献１、特許文献２に示されているプログラム解析システムのように、プログラムを計算機上で実行して、その挙動を解析するのみでは、プログラムの特徴を十分に解析することは難しい。
However, some programs perform active activities only when the environment in which they are executed performs specific processing. For example, some malware starts an activity only when a computer accesses a bank WEB (World Wide Web) site, steals a user account, and alters a user's input content. For this reason, it is difficult to sufficiently analyze the characteristics of a program only by executing the program on a computer and analyzing the behavior thereof, as in the program analysis systems disclosed in
そこで、本発明は、計算機が特定の処理を行った場合に活動を行うプログラムに対する効率的な解析を可能とするシステムを提供することを課題とする。 The present invention, computer and to provide a system that enables efficient analysis of programs for performing activities when performing a specific process.
前記した課題を解決するため、本発明の請求項１に記載の発明では、検体プログラムを動作させて、その挙動を解析する制御装置と、前記制御装置の指令に基づいてブラウザの動作シナリオを実行し、前記検体プログラムの挙動を記録するクライアント装置と、前記制御装置の指令に基づき前記クライアント装置と通信を行って挙動を記録するサーバ装置と、を備え、前記制御装置は、前記クライアント装置の前記ブラウザの前記動作シナリオ、および、前記サーバ装置のサーバ構成情報を組み合わせた情報を格納する解析データベースを備えた記憶部と、前記クライアント装置および前記サーバ装置に命令を送信して解析処理を行う制御部と、前記クライアント装置および前記サーバ装置から受信した記録を基に、前記検体プログラムの属性を解析する検知部と、を備えることを特徴とするプログラム解析システムとした。
その他の手段については、発明を実施するための形態のなかで説明する。
In order to solve the above-described problem, according to the first aspect of the present invention, a control device that operates a sample program and analyzes its behavior, and executes a browser operation scenario based on a command from the control device. And a client device that records the behavior of the sample program and a server device that records the behavior by communicating with the client device based on a command from the control device, and the control device includes the client device A storage unit including an analysis database that stores information obtained by combining the operation scenario of the browser and server configuration information of the server device, and a control unit that transmits an instruction to the client device and the server device to perform analysis processing And the sample program attribute based on the records received from the client device and the server device. A detection unit for analyzing and a program analysis system, characterized in that it comprises a.
Other means will be described in the embodiment for carrying out the invention.
本発明によれば、計算機が特定の処理を行った場合に活動を行うプログラムに対する効率的な解析を可能とするシステムを提供することが可能となる。 According to the present invention, the computer is able to provide a system that enables efficient analysis of programs for performing activities when performing a specific process.
（本実施形態の構成） (Configuration of this embodiment)
図１は、本実施形態に於けるプログラム解析システムを示す概略の構成図である。
プログラム解析システム１は、制御装置１００と、クライアント装置２００と、サーバ装置３００と、通信ネットワーク４００と、通信ネットワーク５００とを備えている。
本実施形態のプログラム解析システム１は、後記する検体１１が、マルウェアであるか否かを解析するものである。ここでマルウェアとは、不正かつ有害な動作を行う意図で作成された悪意のあるソフトウェアであり、例えば、ＷＥＢブラウザに感染して、ユーザが特定のＷＥＢサイトにアクセスした際に、ユーザ入力の窃取や改ざんを行うものである。プログラム解析システム１は、制御装置１００、クライアント装置２００、および、サーバ装置３００が、通信ネットワーク４００を介して連携して、このマルウェアを解析する。
FIG. 1 is a schematic configuration diagram showing a program analysis system in the present embodiment.
The
The
制御装置１００は、例えば、１台以上のコンピュータやワークステーションなどの計算機である。制御装置１００は、プログラム解析システム１に於いて、マルウェアの挙動を解析する処理を行う。制御装置１００は、解析対象となるマルウェア（以後、検体と記載している場合がある）、および、その解析手順を決定し、クライアント装置２００およびサーバ装置３００に指令する。制御装置１００は、通信ネットワーク４００を介して、クライアント装置２００およびサーバ装置３００に接続されている。
制御装置１００の構成は、後記する図２で説明する。
The
The configuration of the
クライアント装置２００は、例えば、１台以上のコンピュータやワークステーションなどの計算機である。クライアント装置２００は、制御装置１００から送信された指令に基づいて、検体１１の実行およびＷＥＢブラウザの動作シナリオの実行（操作）を行い、検体１１の挙動を記録する。クライアント装置２００は、通信ネットワーク５００を介して、サーバ装置３００と通信を行う。クライアント装置２００の構成は、後記する図３で説明する。
The
サーバ装置３００は、例えば、１台以上のコンピュータやワークステーションなどの計算機である。サーバ装置３００は、制御装置１００から送信された指令に基づいてＷＥＢサイトを構築し、通信ネットワーク５００を介して、クライアント装置２００と通信を行って挙動を記録する。サーバ装置３００の構成は、後記する図４で説明する。
The
通信ネットワーク４００は、例えば、ＷＡＮ（World Area Network）、ＬＡＮ（Local Area Network）、携帯電話、ＰＨＳ（Personal Handy-phone System）などの公衆回線網である。制御装置１００と、クライアント装置２００、サーバ装置３００との間の通信は、通信ネットワーク４００を介して行われる。
The
通信ネットワーク５００は、例えば、ＷＡＮ、ＬＡＮ、携帯電話、ＰＨＳなどの公衆回線網である。クライアント装置２００とサーバ装置３００との間の通信は、通信ネットワーク５００を介して行われる。クライアント装置２００は、通信ネットワーク５００を介して、例えばインターネットなどの外部ネットワークに接続された装置と、通信することもできる。
The
ラインＬ１は、制御装置１００からクライアント装置２００への情報の流れを示すものである。ラインＬ２は、制御装置１００からサーバ装置３００への情報の流れを示すものである。ラインＬ３は、クライアント装置２００から制御装置１００への情報の流れを示すものである。ラインＬ４は、サーバ装置３００から制御装置１００への情報の流れを示すものである。ラインＬ１〜Ｌ４は、物理的な情報の伝達手段として、通信ネットワーク４００を用いている。
A line L1 indicates a flow of information from the
ラインＬ１とは、クライアント制御命令１０が、制御装置１００からクライアント装置２００に伝達される情報の流れである。クライアント制御命令１０は、解析対象となる検体１１と、動作シナリオ１２とを含んでいる。本実施形態のプログラム解析システム１は、クライアント装置２００内のＷＥＢブラウザに対して、クライアント制御命令１０の動作シナリオ１２で指定された操作を行った場合の検体１１の挙動に基づいて、マルウェアの検出を行う。
The line L1 is a flow of information in which the
ラインＬ２とは、サーバ制御命令２０が、制御装置１００からサーバ装置３００に伝達される情報の流れである。サーバ制御命令２０は、ＷＥＢサイト構成ファイル２１を含んでいる。サーバ装置３００は、ＷＥＢサイト構成ファイル２１が含んでいる情報に基づき、ＷＥＢサイトを構築する。本実施形態では、構築したＷＥＢサイトがクライアント装置２００から受信する情報に基づき、マルウェアの検出を行う。
The line L2 is a flow of information in which the
ラインＬ３とは、クライアント側実行結果３０が、クライアント装置２００から制御装置１００へ伝達される情報の流れである。クライアント側実行結果３０は、クライアント制御命令１０およびサーバ制御命令２０に基づいて検体１１を解析した際に、クライアント装置２００に於いて取得された解析情報を含んでいる。
The line L3 is a flow of information in which the client
ラインＬ４とは、サーバ側実行結果４０が、サーバ装置３００から制御装置１００へ伝達される情報の流れである。サーバ側実行結果４０は、クライアント制御命令１０およびサーバ制御命令２０に基づいて検体１１を解析した場合に、サーバ装置３００に於いて取得された解析情報を含んでいる。
The line L4 is a flow of information in which the server
ラインＬ５は、クライアント装置２００からサーバ装置３００への情報の流れを示すものである。ラインＬ６は、サーバ装置３００からクライアント装置２００への情報の流れを示すものである。ラインＬ５，Ｌ６は、物理的な情報の伝達手段として、通信ネットワーク５００を用いている。
A line L5 indicates a flow of information from the
ラインＬ５とは、リクエスト５０および操作完了通知７０が、クライアント装置２００からサーバ装置３００へ伝達される情報の流れである。リクエスト５０は、クライアント装置２００内のＷＥＢブラウザが発行した要求文であり、サーバ装置３００内のＷＥＢサイトによって処理される。また、操作完了通知７０は、クライアント装置２００からサーバ装置３００へ、解析に必要な一連の操作を完了したことを伝達するために用いられる。
The line L5 is a flow of information in which the
ラインＬ６とは、レスポンス６０が、サーバ装置３００からクライアント装置２００へ伝達される情報の流れである。レスポンス６０は、リクエスト５０に対する、サーバ装置３００内のＷＥＢサイトの応答文である。
The line L6 is a flow of information in which the
本実施形態のプログラム解析システム１は、制御装置１００と、クライアント装置２００と、サーバ装置３００とを、それぞれ別の処理装置として構成している。しかし、これに限られず、これらを１つの処理装置で実現してもよく、いずれか２つを１つの処理装置で実現してもよい。また、制御装置１００が、複数のクライアント装置２００、および、複数のサーバ装置３００を管理する構成であってもよい。
In the
図２は、本実施形態に於ける制御装置を示す概略の構成図である。
制御装置１００は、装置本体１１０と、入出力装置１９０とを備えている。
装置本体１１０は、ＣＰＵ（Central Processing Unit）１２０と、メモリ１３０と、インタフェース（ＩＦ）１４０と、外部記憶装置１５０と、バス１６０と、検体保存装置１７０と、ＷＥＢサイト保存装置１８０とを備えている。なお、図面などでインタフェースのことを「ＩＦ」と記載している場合がある。
FIG. 2 is a schematic configuration diagram showing the control device in the present embodiment.
The
The apparatus main body 110 includes a CPU (Central Processing Unit) 120, a memory 130, an interface (IF) 140, an
ＣＰＵ１２０は、制御部１２１および検知部１２２を具現化している。ＣＰＵ１２０は、メモリ１３０上のソフトウェアプログラムに基づき、各種演算処理を実行するものである。ＣＰＵ１２０は、バス１６０に接続されている。
メモリ１３０は、制御プログラム１３１および検知プログラム１３２を備えている。メモリ１３０は、ＣＰＵ１２０で実行する命令が記述されたプログラムと、当該プログラムが参照するデータとを含む記憶媒体である。メモリ１３０は、バス１６０に接続されている。
The
The memory 130 includes a
制御部１２１は、ＣＰＵ１２０が制御プログラム１３１を実行することによって具現化される。検知部１２２は、ＣＰＵ１２０が検知プログラム１３２を実行することによって具現化される。制御部１２１は、検体１１の解析状況を管理すると共に、クライアント装置２００に、クライアント制御命令１０を送信して解析方法を指示する。制御部１２１は更に、サーバ装置３００にサーバ制御命令２０を送信し、ＷＥＢサイトの構成方法を指示する。
The
検知部１２２は、マルウェア判定に必要な情報として、クライアント装置２００からクライアント側実行結果３０を受信し、サーバ装置３００からサーバ側実行結果４０を受信する。検知部１２２は、クライアント側実行結果３０とサーバ側実行結果４０とを解析することにより、検体１１がマルウェアであるか否かを判定（検知）する。
The detection unit 122 receives the client-side execution result 30 from the
インタフェース１４０は、例えば、ＬＡＮカードなどの通信機器であり、当該制御装置１００が、通信ネットワーク４００を介して通信するインタフェースである。インタフェース１４０は、バス１６０に接続されている。
The
外部記憶装置１５０は、例えば、ＨＤＤ（Hard Disk Drive）などの記憶媒体であり、解析シナリオＤＢ１５１と、ＷＥＢサイトＤＢ１５２と、活動記録ＤＢ１５３と、検知ルールＤＢ１５４と、再解析ルールＤＢ１５５とを格納するものである。外部記憶装置１５０は、バス１６０に接続されている。
The
バス１６０は、ＣＰＵ１２０と、メモリ１３０と、インタフェース１４０と、外部記憶装置１５０と、検体保存装置１７０と、ＷＥＢサイト保存装置１８０と、入出力装置１９０とを通信可能に接続するものである。
検体保存装置１７０は、例えば、ＨＤＤなどの記憶媒体であり、解析対象である検体１１を保存するものである。検体保存装置１７０は、バス１６０に接続されている。
The
The
ＷＥＢサイト保存装置１８０は、ＨＤＤなどの記憶媒体から構成され、ＨＴＭＬ（Hyper Text Markup Language）ファイルやＣＧＩ（Common Gateway Interface）ファイルなどで構成されたＷＥＢサイト構成ファイル２１を保存する。ＷＥＢサイト保存装置１８０は、バス１６０に接続されている。なお、ＷＥＢサイト保存装置１８０には、複数のＷＥＢサイト構成ファイル２１が保存されていてもよい。
The WEB
入出力装置１９０は、制御装置１００に対するデータの入力、および、制御装置１００内のデータの出力を行うものである。入出力装置１９０は、例えば、キーボード、マウス、ディスプレイなどである。入出力装置１９０は、バス１６０に接続されている。
The input /
図３は、本実施形態に於けるクライアント装置を示す概略の構成図である。
クライアント装置２００は、装置本体２１０と、入出力装置２８０とを備えている。
装置本体２１０は、ＣＰＵ２２０と、メモリ２３０と、インタフェース２４０，２４１と、外部記憶装置２５０と、バス２６０と、イメージ保存装置２７０とを備えている。
FIG. 3 is a schematic configuration diagram showing the client device according to the present embodiment.
The
The apparatus
ＣＰＵ２２０は、クライアント制御部２２１と、ブラウザ操作部２２２と、ブラウザ監視部２２３と、ブラウザ部２２４とを具現化している。ＣＰＵ２２０は、メモリ２３０上のソフトウェアプログラムに基づき、各種演算処理を実行するものである。ＣＰＵ２２０は、バス２６０に接続されている。
メモリ２３０は、クライアント制御プログラム２３１、ブラウザ操作プログラム２３２、ブラウザ監視プログラム２３３、ブラウザプログラム２３４を備えている。メモリ２３０は、ＣＰＵ２２０で実行する命令が記述されたプログラムと、当該プログラムが参照するデータとを含む記憶媒体である。メモリ２３０は、バス２６０に接続されている。
The
The
クライアント制御部２２１は、ＣＰＵ２２０がクライアント制御プログラム２３１を実行することによって具現化される。ブラウザ操作部２２２は、ＣＰＵ２２０がブラウザ操作プログラム２３２を実行することによって具現化される。ブラウザ監視部２２３は、ＣＰＵ２２０がブラウザ監視プログラム２３３を実行することによって具現化される。ブラウザ部２２４は、ＣＰＵ２２０がブラウザプログラム２３４を実行することによって具現化される。
The
クライアント制御部２２１は、当該クライアント装置２００を制御するものである。すなわちクライアント制御部２２１は、制御装置１００から、クライアント制御命令１０を受信し、制御装置１００から受信した検体１１を解析し、解析結果をクライアント側実行結果３０として送信する。
ブラウザ操作部２２２は、制御装置１００より受信した動作シナリオ１２に基づき、ブラウザ部２２４を操作するものである。
ブラウザ監視部２２３は、ブラウザ部２２４の挙動を監視するものである。
ブラウザ部２２４は、ＷＥＢブラウザとして動作し、ブラウザ操作部２２２の指示に基づく動作を行うものである。
The
The
The
The
インタフェース２４０は、クライアント装置２００を通信ネットワーク４００と接続する通信装置である。ＬＡＮカードなどの通信機器がこれに対応する。インタフェース２４０は、図中においてＩＦと記述することがある。同様に、インタフェース２４１は、クライアント装置２００を通信ネットワーク５００と接続するための通信装置である。インタフェース２４０，２４１は、それぞれバス２６０に接続されている。
The
外部記憶装置２５０は、ＨＤＤなどの記憶媒体から構成され、ブラウザ監視ルールＤＢ２５１を記憶する。ブラウザ監視ルールＤＢ２５１には、ブラウザ監視プログラム２３３が、ブラウザプログラム２３４のどのような活動を記録するのかが記述されている。ブラウザ監視ルールＤＢ２５１の具体的内容については後記する。
バス２６０は、ＣＰＵ２２０、メモリ２３０、インタフェース２４０、インタフェース２４１、外部記憶装置２５０、イメージ保存装置２７０、入出力装置２８０を接続する。
The
The
イメージ保存装置２７０は、ＨＤＤなどの記憶媒体から構成され、実行環境イメージ２７１を記憶する。イメージ保存装置２７０は、バス２６０に接続されている。
実行環境イメージ２７１は、一般的なオペレーティングシステムの構成情報を含んでいるファイルであり、ＣＰＵ２２０上で実行されると、検体１１を実行するためのソフトウェア環境を提供する。イメージ保存装置２７０には、検体１１が実行中に作成または変更したファイルやレジストリに関する情報が、一時的に保存される。
The
The
入出力装置２８０は、クライアント装置２００に対して、管理者によるデータの入力、およびクライアント装置２００内のデータの出力を行うための装置である。入出力装置２８０は、例えば、キーボード、マウス、ディスプレイなどである。入出力装置２８０は、バス２６０に接続されている。
The input /
図４は、本実施形態に於けるサーバ装置を示す概略の構成図である。
サーバ装置３００は、装置本体３１０と、入出力装置３８０から構成される。
装置本体３１０は、ＣＰＵ３２０と、メモリ３３０と、インタフェース３４０，３４１と、外部記憶装置３５０と、バス３６０と、ＷＥＢサイト保存装置３７０とを備えている。
FIG. 4 is a schematic configuration diagram showing the server device in the present embodiment.
The
The apparatus
ＣＰＵ３２０は、サーバ制御部３２１と、ＷＥＢサイト監視部３２２と、ＷＥＢサーバ部３２３とを具現化している。ＣＰＵ３２０は、メモリ３３０上のソフトウェアプログラムに基づき、各種演算処理を実行するものである。ＣＰＵ３２０は、バス３６０に接続されている。
The
メモリ３３０は、サーバ制御プログラム３３１と、ＷＥＢサイト監視プログラム３３２と、ＷＥＢサイトプログラム３３３とを備えている。メモリ３３０は、ＣＰＵ３２０で実行する命令が記述されたプログラムと、当該プログラムが参照するデータとを含む記憶媒体である。メモリ３３０は、バス３６０に接続されている。
The
サーバ制御プログラム３３１がＣＰＵ３２０で実行されることによって、制御装置１００と通信を行い、検体１１の解析を行う。ＷＥＢサイト監視プログラム３３２がＣＰＵ３２０で実行されることで、ＷＥＢサイトプログラム３３３の挙動を監視する。ＷＥＢサイトプログラム３３３は、ＣＰＵ３２０上で実行されることにより、ＷＥＢサーバとして動作する。
サーバ制御部３２１は、ＣＰＵ３２０がサーバ制御プログラム３３１を実行することによって具現化される。ＷＥＢサイト監視部３２２は、ＣＰＵ３２０がＷＥＢサイト監視プログラム３３２を実行することによって具現化される。ＷＥＢサーバ部３２３は、ＣＰＵ３２０がＷＥＢサイトプログラム３３３を実行することによって具現化される。
The
The server control unit 321 is realized by the
サーバ制御部３２１は、当該サーバ装置３００を制御し、制御装置１００から、サーバ制御命令２０を受信し、検体１１の解析が終了したならば、その解析結果をサーバ側実行結果４０として送信するものである。
ＷＥＢサイト監視部３２２は、ＷＥＢサーバ部３２３の挙動を監視するものである。
ＷＥＢサーバ部３２３は、ＷＥＢサイト構成ファイル２１を読み込んでＷＥＢサーバとして動作し、クライアント装置２００からのリクエスト５０を受信し、レスポンス６０を返すものである。
The server control unit 321 controls the
The WEB site monitoring unit 322 monitors the behavior of the
The
インタフェース３４０は、サーバ装置３００を通信ネットワーク４００と接続するための通信装置である。ＬＡＮカードなどの通信機器がこれに対応する。インタフェース３４０は、図および明細書に於いて、ＩＦと記載している場合がある。同様に、インタフェース３４１は、サーバ装置３００を通信ネットワーク５００と接続するための通信装置である。インタフェース３４０，３４１は、バス３６０に接続されている。
The
外部記憶装置３５０は、ＨＤＤなどの記憶媒体から構成され、ＷＥＢサイト監視ルールＤＢ３５１を記憶する。ＷＥＢサイト監視ルールＤＢ３５１には、ＷＥＢサイト監視プログラム３３２が、ＷＥＢサイトプログラム３３３のどのような活動を記録するのかが記述されている。ＷＥＢサイト監視ルールＤＢ３５１の具体的内容については後記する。外部記憶装置３５０は、バス３６０に接続されている。
バス３６０は、ＣＰＵ３２０と、メモリ３３０と、インタフェース３４０，３４１と、外部記憶装置３５０と、ＷＥＢサイト保存装置３７０と、入出力装置３８０とを接続する。
ＷＥＢサイト保存装置３７０は、ＨＤＤなどの記憶媒体から構成され、制御装置１００より受信したＷＥＢサイト構成ファイル２１を保存する。ＷＥＢサイト保存装置３７０は、バス３６０に接続されている。
The
The
The WEB
入出力装置３８０は、サーバ装置３００に対して、管理者によるデータの入力、およびサーバ装置３００内のデータの出力を行うための装置である。入出力装置３８０は、例えば、キーボード、マウス、ディスプレイなどである。入出力装置３８０は、バス３６０に接続されている。
The input /
（処理の説明）
図５以降の図に、本システムに含まれるＤＢの構成例および各機能部のフローチャートを示す。
図５以降の図に示す各ＤＢは、以下の手順で検体１１の解析が行われた後の構成である。
(Description of processing)
FIG. 5 and subsequent figures show a configuration example of a DB included in the system and a flowchart of each functional unit.
Each DB shown in the figures after FIG. 5 has a configuration after the
（第１回目の解析：２０１２年１月１日午前０時０分）
２０１２年１月１日午前０時０分に、制御装置１００が、ＩＤが“検体Ａ”である検体１１の解析を開始する。解析ではまず、解析用ＷＥＢサイトとしてサイトＸを選択する。制御装置１００は、第１回目の解析を同日の午前０時１分に完了し、検体Ａを非マルウェアと判定する。
(The first analysis: January 1, 2012, 00:00)
At 0:00 am on January 1, 2012, the
（第２回目の解析：２０１２年１月１日午前０時２分）
２０１２年１月１日午前０時２分に、制御装置１００は、第２回目の解析を開始し、解析用ＷＥＢサイトとして、サイトＹを選択する。制御装置１００は、第２回目の解析を同日の午前０時３分に完了し、検体Ａを非マルウェアと判定する。
(Second analysis: January 1, 2012 at 0:02 am)
At 0:02 am on January 1, 2012, the
（第３回目の解析：２０１２年１月１日午前０時４分）
制御装置１００は、第３回目の解析を開始し、解析用ＷＥＢサイトとしてサイトＺを選択する。制御装置１００は、第３回目の解析を同日午前０時５分に完了し、検体Ａをマルウェアと判定する。これにより、全ての解析処理が完了する。
(Third analysis: January 1, 2012, 0:04 am)
The
（本実施形態の各種テーブル）
図５は、本実施形態に於ける解析シナリオＤＢを示す図である。
解析シナリオＤＢ１５１内の各レコードは、ある検体１１に関する解析を開始した時刻と、当該解析を終了した時刻と、当該解析方法と、当該解析の状況と、当該解析によって検知した結果とを記憶するものである。解析シナリオＤＢ１５１は、各レコードの欄として、解析管理ＩＤ１５１ａと、検体ＩＤ１５１ｂと、サイトＩＤ１５１ｃと、解析開始時刻１５１ｄと、解析終了時刻１５１ｅと、解析状況１５１ｆと、検知結果１５１ｇとを備えている。
(Various tables of this embodiment)
FIG. 5 is a diagram showing an analysis scenario DB in the present embodiment.
Each record in the
解析管理ＩＤ１５１ａは、解析シナリオＤＢ１５１内のレコードを一意に認識するのに用いられる。このため、各解析管理ＩＤ１５１ａの値は、解析シナリオＤＢ１５１内でユニークである。
The
検体ＩＤ１５１ｂは、本システムで解析された各検体１１を一意に識別するための番号である。異なるレコードに同一の検体ＩＤ１５１ｂが設定されている場合、同一の検体１１が異なる条件で複数回、解析されたことを意味する。ここでは、同一の検体Ａが３回解析されている。
The
サイトＩＤ１５１ｃは、当該解析に用いられたＷＥＢサイトを一意に識別する識別子である。サイトＩＤ１５１ｃは、後記するＷＥＢサイトＤＢ１５２内のレコードに紐づいている。
解析開始時刻１５１ｄは、各レコードに係る当該解析の開始時刻を示している。
解析終了時刻１５１ｅは、各レコードに係る当該解析の終了時刻を示している。
解析状況１５１ｆは、検体ＩＤ１５１ｂで指定した検体１１の解析状況を示し、「解析中」または「解析完了」のいずれかの値が格納される。
検知結果１５１ｇは、各レコードで行った検体解析の検知結果を示し、「非マルウェア」、「マルウェアの可能性あり」、「マルウェア」のいずれかの値が格納される。
The
The analysis start
The
The
The
この図５には、３種類の解析シナリオのレコードの例が示されている。
解析管理ＩＤ１５１ａに「１」が格納されているレコードは、第１回目の解析の結果を示すものである。当該レコードの検体ＩＤ１５１ｂには「検体Ａ」が、サイトＩＤ１５１ｃには「サイトＸ」が格納されている。当該レコードの解析開始時刻１５１ｄには「２０１２ ０１／０１ ００：００：００」が格納され、解析終了時刻１５１ｅには「２０１２ ０１／０１ ００：０１：００」が格納されている。当該レコードの解析状況１５１ｆには「解析完了」が格納され、検知結果１５１ｇには「非マルウェア」が格納されている。
FIG. 5 shows examples of records of three types of analysis scenarios.
The record in which “1” is stored in the
解析管理ＩＤ１５１ａに「２」が格納されているレコードは、第２回目の解析の結果を示すものである。当該レコードの検体ＩＤ１５１ｂには「検体Ａ」、サイトＩＤ１５１ｃには「サイトＹ」が格納されている。当該レコードの解析開始時刻１５１ｄには「２０１２ ０１／０１ ００：０２：００」が格納され、解析終了時刻１５１ｅには「２０１２ ０１／０１ ００：０３：００」が格納されている。当該レコードの解析状況１５１ｆには「解析完了」が格納され、検知結果１５１ｇには「非マルウェア」が格納されている。
The record in which “2” is stored in the
解析管理ＩＤ１５１ａに「３」が格納されているレコードは、第３回目の解析の結果を示すものである。当該レコードの検体ＩＤ１５１ｂには「検体Ａ」が格納され、サイトＩＤ１５１ｃには「サイトＺ」が格納されている。当該レコードの解析開始時刻１５１ｄには「２０１２ ０１／０１ ００：０４：００」が格納され、解析終了時刻１５１ｅには「２０１２ ０１／０１ ００：０５：００」が格納されている。当該レコードの解析状況１５１ｆには「解析完了」が格納され、検知結果１５１ｇは「マルウェア」が格納されている。
The record in which “3” is stored in the
これにより、プログラム解析システム１は、ＩＤが「検体Ａ」である検体１１が、サイトＺに対するマルウェアであることを判断することができる。
Thereby, the
図６は、本実施形態に於けるＷＥＢサイトＤＢを示す図である。
ＷＥＢサイトＤＢ１５２内の各レコードは、ＷＥＢサイトの識別子と、当該ＷＥＢサイトに関する攻撃の容易性、当該ＷＥＢサイトを構成するＷＥＢサイト構成ファイル２１、および、当該ＷＥＢサイトにアクセスするブラウザ部２２４の操作の手順を記憶する。ＷＥＢサイトＤＢ１５２は、各レコードの欄として、サイトＩＤ１５２ａと、攻撃容易性１５２ｂと、サイト構成ファイル保存先１５２ｃと、操作手順１５２ｄとを備えている。
解析データベースであるＷＥＢサイトＤＢ１５２は、クライアント装置２００に於けるブラウザ部２２４を動作させる動作シナリオ１２、および、サーバ装置３００を構成するサイト構成ファイル保存先１５２ｃを組み合わせた情報を格納するものである。
FIG. 6 is a diagram showing the WEB site DB in the present embodiment.
Each record in the
The
サイトＩＤ１５２ａは、ＷＥＢサイトＤＢ１５２内のレコードを一意に認識するのに用いられると共に、当該レコードに係る当該ＷＥＢサイトを識別するために用いられる。このため、各サイトＩＤ１５２ａの値は、ＷＥＢサイトＤＢ１５２内でユニークである。
The
攻撃容易性１５２ｂは、マルウェアが、当該レコードに係る当該ＷＥＢサイトを攻撃する可能性を示している。攻撃容易性１５２ｂには、任意の数値が設定され、数値が高いほど、マルウェアが当該ＷＥＢサイトを攻撃する可能性が高いことを示している。
サイト構成ファイル保存先１５２ｃは、当該レコードのＷＥＢサイト構成ファイル２１の、ＷＥＢサイト保存装置１８０に於ける保存場所を示す。
操作手順１５２ｄは、当該ＷＥＢサイトにアクセスしたブラウザ部２２４に対して、ブラウザ操作部２２２が、どのような操作を行うのかを指定する。
The
The site configuration
The
この図６には、３種類のＷＥＢサイトのレコードの例が示されている。サイトＩＤ１５２ａ＝「サイトＸ」のレコードには、攻撃容易性１５２ｂ＝１００、サイト構成ファイル保存先１５２ｃ＝「Ｃ：￥ｓｔｏｒａｇｅ￥サイトＸ」が格納されている。また、操作手順１５２ｄには、以下７段階の操作手順が格納されている。
（１）Ｕｓｅｒフィールドに“ａｌｉｃｅ”，パスワードフィールドに“ｐａｓｓ”を入力
（２）“ログイン”ボタンを実行
（３）“振り込みボタン”を実行
（４）振込先フィールドに“ｂｏｂ”を、振込金額フィールドに“￥１０００”を入力
（５）“手続きボタン”を実行
（６）“確認ボタン”を実行
（７）“手続き実行ボタン”を実行
FIG. 6 shows an example of records of three types of WEB sites. The record of the
(1) Enter “alice” in the User field and “pass” in the password field. (2) Execute the “Login” button. (3) Execute the “Transfer button”. (4) Transfer “bob” in the transfer destination field. Enter “¥ 1000” in the field (5) Execute “Procedure button” (6) Execute “Confirm button” (7) Execute “Procedure button”
サイトＩＤ１５２ａ＝「サイトＹ」のレコードには、攻撃容易性１５２ｂ＝８０、サイト構成ファイル保存先１５２ｃ＝「Ｃ：￥ｓｔｏｒａｇｅ￥サイトＹ」が格納されている。また、操作手順１５２ｄには、以下５段階の操作手順が格納されている。
（１）Ｕｓｅｒフィールドに“ａｌｉｃｅ”，パスワードフィールドに“ｐａｓｓ”を入力
（２）“ｌｏｇｉｎ”ボタンを実行
（３）“Ｔｒａｎｓｆｅｒ”ボタンを実行
（４）振込先フィールドに“ｃｉｎｄｙ”を、振込金額フィールドに“＄１００”を入力、
（５）“ｓｕｂｍｉｔ”ボタンを実行
The record of the
(1) Enter “alice” in the User field and “pass” in the password field. (2) Execute the “login” button. (3) Execute the “Transfer” button. (4) “Cindy” in the transfer destination field. Enter “$ 100” in the field,
(5) Execute “submit” button
サイトＩＤ１５２ａ＝「サイトＺ」のレコードには、攻撃容易性１５２ｂ＝３０、サイト構成ファイル保存先１５２ｃ＝「Ｃ：￥ｓｔｏｒａｇｅ￥サイトＺ」が格納されている。また、操作手順１５２ｄには、以下７段階の操作手順が格納されている。
（１） Ｕｓｅｒフィールドに“ａｌｉｃｅ”，パスワードフィールドに“ｐａｓｓ”を入力
（２）“ログイン”ボタンを実行
（３）“振り込みボタン”を実行
（４）振込先フィールドに“ｄａｖｅ”を、振込金額フィールドに“￥１０００”を入力
（５）“手続きボタン”を実行
（６）“確認ボタン”を実行
（７）“手続き実行ボタン”を実行
The record of
(1) Enter “alice” in the User field and “pass” in the password field. (2) Execute the “Login” button. (3) Execute the “Transfer button”. (4) “Dave” in the transfer destination field. Enter “¥ 1000” in the field (5) Execute “Procedure button” (6) Execute “Confirm button” (7) Execute “Procedure button”
図７は、本実施形態に於ける活動記録ＤＢを示す図である。
活動記録ＤＢ１５３には、クライアント装置２００のブラウザ監視部２２３およびサーバ装置３００のＷＥＢサイト監視部３２２で記録された活動記録が記録される。検知部１２２は、活動記録ＤＢ１５３を参照して、検体１１がマルウェアであるか否かを判定する。
FIG. 7 is a diagram showing an activity record DB in the present embodiment.
Activity records recorded by the
この図７には、１３種類の活動記録ＤＢ１５３のレコード例が示されている。活動記録ＩＤ１５３ａ＝１〜４のレコードには、解析管理ＩＤ１５３ｂ＝１の解析シナリオの実行時に記録された活動記録が格納されている。活動記録ＩＤ１５３ａ＝５〜８のレコードには、解析管理ＩＤ１５３ｂ＝２の解析シナリオの実行時に記録された活動記録が格納されている。活動記録ＩＤ１５３ａ＝９〜１３のレコードには、解析管理ＩＤ１５３ｂ＝３の解析シナリオの実行時に記録された活動記録が格納されている。
FIG. 7 shows record examples of 13 types of
活動記録ＩＤ１５３ａ＝１のレコードには、解析管理ＩＤ１５３ｂ＝１、活動記録時刻１５３ｃ＝「２０１２／０１／０１ ００：００：０５」、記録場所１５３ｄ＝「クライアント」、活動種類１５３ｅ＝「ＣＰＵ使用率上昇率」、活動データ１５３ｆ＝「０．１％」が格納されている。「ＣＰＵ使用率上昇率」は、ブラウザ部２２４が使用するＣＰＵの使用率が、一定時間前（例えば、１０秒前）に比べて、どの程度上昇したかを示している。
活動記録ＩＤ１５３ａ＝２のレコードには、解析管理ＩＤ１５３ｂ＝１、活動記録時刻１５３ｃ＝「２０１２／０１／０１ ００：００：０６」、記録場所１５３ｄ＝「サーバ」、活動種類１５３ｅ＝「クライアント送信内容」、活動データ１５３ｆ＝「user=alice&password=pass」が格納されている。「クライアント送信内容」は、リクエスト５０に含まれるデータを示す。
活動記録ＩＤ１５３ａ＝３〜９は、活動記録ＩＤ１５３ａ＝１，２の場合と同様のレコードである。
活動記録ＩＤ１５３ａ＝１０のレコードには、解析管理ＩＤ１５３ｂ＝３、活動記録時刻１５３ｃ＝「２０１２／０１／０１ ００：０４：０５」、記録場所１５３ｄ＝「クライアント」、活動種類１５３ｅ＝「ソケットオープン」、活動データ１５３ｆ＝「dst=192.168.1.1」が格納されている。「ソケットオープン」は、ブラウザ部２２４が、通信ネットワーク５００を介して、「１９２．１６８．１．１」のＩＰアドレスを持つ端末に対して、通信要求を送信したことを示す情報である。活動記録ＩＤ１５３ａ＝１１〜１３は、活動記録ＩＤ１５３ａ＝１，２の場合と同様のレコードである。
The record of
In the record of
The
The record of the
図８は、本実施形態に於ける検知ルールＤＢを示す図である。
検知部１２２は、検知ルールＤＢ１５４と活動記録ＤＢ１５３を参照して、検体１１のマルウェア判定を行う。
検知ルールＩＤ１５４ａは、検知ルールＤＢ１５４内の各レコードを一意に識別するために用いられる。
FIG. 8 is a diagram showing the detection rule DB in the present embodiment.
The detection unit 122 refers to the
The
検知内容１５４ｂは、検知手順を示している。検知部１２２は、ある解析管理ＩＤ１５３ｂに紐づけられる活動記録ＤＢ１５３レコードと、検知内容１５４ｂを比較し、「マルウェア」、「マルウェアの可能性あり」、「非マルウェア」のいずれかの判定を行う。判定処理では、検知ルールＩＤ１５４ａの値が小さいものから順に適用され、検知内容１５４ｂに適合する活動記録ＤＢ１５３レコードが存在した場合に、判定処理は終了する。
この図８には、４種類の検知ルールＤＢ１５４のレコード例が示されている。
The
FIG. 8 shows record examples of four types of
検知ルールＩＤ１５４ａ＝１のレコードに於いて、検知内容１５４ｂには、「『クライアント送信内容』が操作手順１５２ｄで想定したものと異なる場合、『マルウェア』と判定する」が格納されている。
In the record of the
検知ルールＩＤ１５４ａ＝２のレコードに於いて、検知内容１５４ｂには、「ＷＥＢサイトアクセス時に、『ＣＰＵ使用率上昇率』が30%上昇した場合、『マルウェアの可能性あり』と判定」が格納されている。
In the record of the
検知ルールＩＤ１５４ａ＝３のレコードに於いて、検知内容１５４ｂには、「ＷＥＢサイトアクセス時に、『ソケットオープン』が発生した場合、『マルウェアの可能性あり』と判定」が格納されている。
In the record of the
検知ルールＩＤ１５４ａ＝４のレコードに於いて、検知内容１５４ｂには、「それ以外の場合、『非マルウェア』と判定」が格納されている。すなわち、活動記録ＤＢ１５３レコードの中に、検知ルールＩＤ１５４ａ＝１〜３に当てはまるものが１つもない場合、検体１１は、「非マルウェア」と判定される。
In the record of the
図９は、本実施形態に於ける再解析ルールＤＢを示す図である。
制御部１２１は、検知部１２２の検知結果と再解析ルールＤＢ１５５を参照して、検体１１の再解析を行うかどうかを判断する。
再解析ルールＩＤ１５５ａは、再解析ルールＤＢ１５５内の各レコードを一意に識別するために用いられる。
FIG. 9 is a diagram showing the reanalysis rule DB in the present embodiment.
The
The
判定内容１５５ｂは、判定手順を示している。制御部１２１は、解析シナリオＤＢ１５１の検知結果１５１ｇと判定内容１５５ｂとを参照し、検体１１の再解析を行うべきかどうかを判断する。
この図９には、３種類の再解析ルールＤＢ１５５のレコード例が示されている。
再解析ルールＩＤ１５５ａ＝１のレコードに於いて、判定内容１５５ｂには、「検知結果が『マルウェア』の場合、最終的にマルウェアと判定し、解析を完了」が格納されている。
The
FIG. 9 shows record examples of three types of
In the record of the
再解析ルールＩＤ１５５ａ＝２のレコードに於いて、判定内容１５５ｂには、「『マルウェアの可能性あり』が１回発生した場合、再解析を実行。２回発生した場合は、最終的にマルウェアと判定し、解析を完了」が格納されている。
In the record of the
再解析ルールＩＤ１５５ａ＝３のレコードに於いて、判定内容１５５ｂには、「検知結果が『非マルウェア』が３回発生した場合、最終的に非マルウェアと判定し、解析を完了。それ以外の場合、再解析を実行」が格納されている。
In the record of the
図１０は、本実施形態に於けるブラウザ監視ルールＤＢを示す図である。
ブラウザ監視部２２３は、ブラウザ監視ルールＤＢ２５１を参照して、ブラウザ部２２４の監視を行う。
ブラウザ監視ルールＩＤ２５１ａは、ブラウザ監視ルールＤＢ２５１内の各レコードを一意に識別するために用いられる。
監視内容２５１ｂは、ブラウザ部２２４をどのように監視するのかを規定する。
この図１０には、２種類のブラウザ監視ルールＤＢ２５１のレコード例が示されている。
FIG. 10 is a diagram showing the browser monitoring rule DB in the present embodiment.
The
The browser
The
FIG. 10 shows record examples of two types of browser
ブラウザ監視ルールＩＤ２５１ａ＝１のレコードに於いて、監視内容２５１ｂには、「ＣＰＵ使用率上昇率を定期的に記録する」が格納されている。
ブラウザ監視ルールＩＤ２５１ａ＝２のレコードに於いて、監視内容２５１ｂには、「ソケットオープンを記録する」が格納されている。
In the record of the browser
In the record of the browser
図１１は、本実施形態に於けるＷＥＢサイト監視ＤＢを示す図である。
ＷＥＢサイト監視部３２２は、ＷＥＢサイト監視ルールＤＢ３５１を参照して、ＷＥＢサーバ部３２３の監視を行う。
ＷＥＢサイト監視ルールＩＤ３５１ａは、ＷＥＢサイト監視ルールＤＢ３５１内の各レコードを一意に識別するために用いられる。
監視内容３５１ｂは、ＷＥＢサーバ部３２３をどのように監視するのかを規定する。
この図１１には、１種類のＷＥＢサイト監視ルールＤＢ３５１のレコード例が示されている。
ＷＥＢサイト監視ルールＩＤ３５１ａ＝１のレコードに於いて、監視内容３５１ｂには、「クライアント送信内容を記録する」が格納されている。
FIG. 11 is a diagram showing a WEB site monitoring DB in the present embodiment.
The WEB site monitoring unit 322 refers to the WEB site
The WEB site
The
FIG. 11 shows a record example of one type of WEB site
In the record of WEB site
（本実施形態の動作） (Operation of this embodiment)
図１２は、本実施形態に於けるプログラム解析処理のシーケンス図である。
シーケンスＱ１０に於いて、制御装置１００は、クライアント装置２００に、クライアント制御命令１０を送信する。クライアント制御命令１０には、検体１１と動作シナリオ１２とが含まれている。これにより、クライアント装置２００は、動作シナリオ１２を実行する。
シーケンスＱ１１に於いて、制御装置１００は、サーバ装置３００に、サーバ制御命令２０を送信する。
シーケンスＱ１２に於いて、クライアント装置２００は、サーバ装置３００に、リクエスト「１」を送信する。
シーケンスＱ１３に於いて、クライアント装置２００は、サーバ装置３００から、リクエスト「１」に対するレスポンス「１」を受信する。
シーケンスＱ１４に於いて、クライアント装置２００は、サーバ装置３００に、リクエスト「２」を送信する。
シーケンスＱ１５に於いて、クライアント装置２００は、サーバ装置３００から、リクエスト「２」に対するレスポンス「２」を受信する。以下同様にして、クライアント装置２００とサーバ装置３００とは、検体１１の解析処理を実行する。
FIG. 12 is a sequence diagram of program analysis processing in the present embodiment.
In sequence Q <b> 10, the
In sequence Q11,
In sequence Q12, the
In sequence Q13, the
In sequence Q14, the
In sequence Q15, the
クライアント装置２００は、動作シナリオ１２を全て実行するとシーケンスＱ２０，Ｑ２１の処理を行う。
シーケンスＱ２０に於いて、クライアント装置２００は、サーバ装置３００に、操作完了通知７０を送信する。
シーケンスＱ２１に於いて、クライアント装置２００は、制御装置１００に、クライアント側実行結果３０を送信する。
シーケンスＱ２１に於いて、サーバ装置３００は、制御装置１００に、サーバ側実行結果４０を送信する。これにより、図１２に示すプログラム解析シーケンスは終了する。
When all of the
In sequence Q20, the
In sequence Q <b> 21, the
In sequence Q <b> 21,
図１３は、本実施形態に於ける制御装置の制御部が実行する制御前処理を示すフローチャートである。
フローチャートは、検体１１が投入されてから全ての解析が完了するまでの一連の流れを示している。解析担当者が入出力装置１９０を介して、解析対象となる検体１１を設定することにより、制御装置１００は制御前処理を開始する。
FIG. 13 is a flowchart showing pre-control processing executed by the control unit of the control device according to this embodiment.
The flowchart shows a series of flows from the introduction of the
ステップＳ１０に於いて、制御部１２１は、検体保存装置１７０に保存された検体１１を選択する。制御部１２１は、インタフェース１４０を介して、別の端末から検体１１を選択してもよく、入出力装置１９０を介して検体１１を選択してもよい。
In step S <b> 10, the
ステップＳ１１に於いて、制御部１２１は、解析シナリオＤＢ１５１に新たなレコードを作成する。制御部１２１は、当該新たなレコードの解析開始時刻１５１ｄに、レコード作成時刻を設定する。制御部１２１は更に、解析状況１５１ｆを「解析中」に設定する。制御部１２１は、当該新たなレコードのサイトＩＤ１５１ｃに、攻撃容易性１５２ｂが最も高く、かつ、未だ当該検体１１について解析されていないサイトを設定する。これにより、検体１１がマルウェアであったときには、そのことを短時間で判定することができる。
In step S11, the
ステップＳ１２に於いて、制御部１２１は、ステップＳ１１で作成された解析シナリオＤＢ１５１（図５）のレコードのサイトＩＤ１５１ｃの情報に基づき、ＷＥＢサイトＤＢ１５２（図６）のサイトＩＤ１５２ａを検索して、一致するレコードを選択する。
In step S12, the
ステップＳ１３に於いて、制御部１２１は、クライアント制御命令１０を、クライアント装置２００に送信する。クライアント制御命令１０に含まれる検体１１には、ステップＳ１０で選択した検体１１が設定される。クライアント制御命令１０に含まれる動作シナリオ１２には、ＷＥＢサイトＤＢ１５２（図６）の当該レコードに係る操作手順１５２ｄが設定される。
In step S <b> 13, the
ステップＳ１４に於いて、制御部１２１は、サーバ制御命令２０を、サーバ装置３００に送信する。サーバ制御命令２０に含まれるＷＥＢサイト構成ファイル２１は、ＷＥＢサイトＤＢ１５２の当該レコードに係るサイト構成ファイル保存先１５２ｃで示されるものである。
ステップＳ１５に於いて、制御部１２１は、検知部１２２に検知部処理（図１４）を行わせ、検知結果を導出するまで待機する。
In step S <b> 14, the
In step S15, the
ステップＳ１６に於いて、制御部１２１は、解析シナリオＤＢ１５１（図５）に新たに作成した当該レコードと、再解析ルールＤＢ１５５（図９）の全てのレコードとを参照して、検体１１の再解析を行う必要があるか否かを判定する。制御部１２１は、当該条件が成立した場合、すなわち検体１１の判定が終了した場合には（Ｙｅｓ）、ステップＳ１１の処理に戻って再解析を行い、当該条件が成立しなかった場合、すなわち検体１１の判定が終了しない場合には（Ｎｏ）、ステップＳ１７の処理を行う。
すなわち、制御部１２１は、検知部１２２による検体１１の検知結果が、陽性、または、一定回数以上陰性となるまで、再解析処理を指示する。
In step S16, the
That is, the
ステップＳ１７に於いて、制御部１２１は、解析結果を出力する。制御部１２１は、解析シナリオＤＢ１５１のレコードを出力内容とし、入出力装置１９０を通じて管理者に提示してもよく、通信ネットワーク５００を介して、別の装置に送信して出力してもよい。ステップＳ１７の処理が終了すると、図１３の処理は終了する。
In step S17, the
次に、図１３で行われる処理の具体例を改めて説明する。
ステップＳ１０に於いて、制御部１２１は、検体Ａを選択して、検体保存装置１７０に保存する。
ステップＳ１１に於いて、制御部１２１は、解析シナリオＤＢ１５１（図５）に、新たなレコードを作成し、解析管理ＩＤ１５１ａ＝１を設定する。制御部１２１は、当該新たなレコードに対して、検体ＩＤ１５１ｂに選択した検体Ａを設定し、解析開始時刻１５１ｄに現在の時刻の「２０１２／０１／０１ ００：００：００」を設定し、解析状況１５１ｆに「解析中」を設定する。
ステップＳ１２に於いて、制御部１２１は、ＷＥＢサイトＤＢ１５２（図６）の最初のレコードを選択し、当該レコードに係るサイトＩＤ１５２ａに設定された「サイトＸ」を、解析シナリオＤＢ１５１（図５）に作成した当該レコードのサイトＩＤ１５１ｃに設定する。
Next, a specific example of the process performed in FIG. 13 will be described again.
In step S <b> 10, the
In step S11, the
In step S12, the
ステップＳ１３に於いて、制御部１２１は、クライアント制御命令１０に含まれる検体１１に検体Ａを設定し、クライアント制御命令１０に含まれる動作シナリオ１２に、ＷＥＢサイトＤＢ１５２（図６）の選択したレコードの（サイトＸの）操作手順１５２ｄを設定する。制御部１２１は、当該クライアント制御命令１０を、クライアント装置２００に送信する。
In step S13, the
ステップＳ１４に於いて、制御部１２１は、サーバ制御命令２０に含まれるＷＥＢサイト構成ファイル２１に、サイトＸのサイト構成ファイル保存先１５２ｃが示すファイル群を設定する。制御部１２１は、当該サーバ制御命令２０を、サーバ装置３００に送信する。
ステップＳ１５に於いて、制御部１２１は、検知部１２２が検知結果を導出するまで待機する。
In step S14, the
In step S15, the
ステップＳ１６に於いて、制御部１２１は、解析管理ＩＤ１５１ａ＝１のレコードの検知結果１５１ｇに「非マルウェア」が設定されているため、再解析ルールＤＢ１５５（図９）の再解析ルールＩＤ１５５ａ＝３のレコードを適用し、再解析が必要であり、検体Ａの判定が終了していないと判断する。制御部１２１は、解析管理ＩＤ１５１ａ＝１のレコードの解析終了時刻１５１ｅに「２０１２ ０１／０１ ００：０１：００」を設定し、解析状況１５１ｆに「解析完了」を設定する。更に、制御部１２１は、検体Ａの判定が終了していないため（Ｎｏ）、ステップＳ１１の処理に戻る。
In step S16, since “non-malware” is set in the
ステップＳ１１に戻って、制御部１２１は、解析管理ＩＤ１５１ａ＝２の解析シナリオＤＢ１５１に新たなレコードを作成する。制御部１２１は、当該新たなレコードに対して、検体ＩＤ１５１ｂに検体Ａを設定し、解析開始時刻１５１ｄに「２０１２／０１／０１ ００：０２：００」を設定し、解析状況１５１ｆに「解析中」を設定する。
ステップＳ１２に於いて、制御部１２１は、ＷＥＢサイトＤＢ１５２（図６）の第２番目のレコードを選択し、当該レコードに係るサイトＩＤ１５２ａに設定された「サイトＹ」を、解析シナリオＤＢ１５１（図５）に作成したレコードのサイトＩＤ１５１ｃに設定する。
Returning to step S11, the
In step S12, the
ステップＳ１３に於いて、制御部１２１は、クライアント制御命令１０に含まれる検体１１に検体Ａを設定し、クライアント制御命令１０に含まれる動作シナリオ１２にサイトＹの操作手順１５２ｄを設定する。制御部１２１は、当該クライアント制御命令１０をクライアント装置２００に送信する。
In step S13, the
ステップＳ１４に於いて、制御部１２１は、サーバ制御命令２０に含まれるＷＥＢサイト構成ファイル２１に、サイトＹのサイト構成ファイル保存先１５２ｃが示すファイル群を設定する。制御部１２１は、当該サーバ制御命令２０を、サーバ装置３００に送信する。
ステップＳ１５に於いて、制御部１２１は、検知部１２２が検知結果を導出するまで待機する。
In step S14, the
In step S15, the
ステップＳ１６に於いて、制御部１２１は、解析管理ＩＤ１５１ａ＝２のレコードの検知結果１５１ｇに「非マルウェア」が設定されているため、再解析ルールＤＢ１５５（図９）の再解析ルールＩＤ１５５ａ＝３のレコードを適用し、再解析が必要であり、検体Ａの判定が終了してないと判断する。制御部１２１は、解析管理ＩＤ１５１ａ＝２のレコードの解析終了時刻１５１ｅに「２０１２ ０１／０１ ００：０３：００」を設定し、解析状況１５１ｆに「解析完了」を設定する。更に、制御部１２１は、検体Ａの判定が終了していないため（Ｎｏ）、ステップＳ１１の処理に戻る。
In step S16, since “non-malware” is set in the
ステップＳ１１に戻って、制御部１２１は、解析管理ＩＤ１５１ａ＝３の解析シナリオＤＢ１５１に新たなレコードを作成する。制御部１２１は、当該新たなレコードに対して、検体ＩＤ１５１ｂに検体Ａを設定し、解析開始時刻１５１ｄに「２０１２／０１／０１ ００：０４：００」を設定し、解析状況１５１ｆに「解析中」を設定する。
ステップＳ１２に於いて、制御部１２１は、ＷＥＢサイトＤＢ１５２（図６）の第２番目のレコードを選択し、当該レコードに係るサイトＩＤ１５２ａに設定された「サイトＺ」を、解析シナリオＤＢ１５１（図５）に作成したレコードのサイトＩＤ１５１ｃに設定する。
Returning to step S11, the
In step S12, the
ステップＳ１３に於いて、制御部１２１は、クライアント制御命令１０に含まれる検体１１に検体Ａを設定し、クライアント制御命令１０に含まれる動作シナリオ１２にサイトＺの操作手順１５２ｄを設定する。制御部１２１は、当該クライアント制御命令１０を、クライアント装置２００に送信する。
In step S13, the
ステップＳ１４に於いて、制御部１２１は、サーバ制御命令２０に含まれるＷＥＢサイト構成ファイル２１に、サイトＺのサイト構成ファイル保存先１５２ｃが示すファイル群を設定する。制御部１２１は、当該サーバ制御命令２０を、サーバ装置３００に送信する。
ステップＳ１５に於いて、制御部１２１は、検知部１２２が検知結果を導出するまで待機する。
In step S <b> 14, the
In step S15, the
ステップＳ１６に於いて、制御部１２１は、解析管理ＩＤ１５１ａ＝３のレコードの検知結果１５１ｇに「マルウェア」が設定されているため、再解析ルールＤＢ１５５（図９）の再解析ルールＩＤ１５５ａ＝１のレコードを適用し、再解析は不要と判断し、検体Ａの判定が終了したと判断する。制御部１２１は、解析管理ＩＤ１５１ａ＝３のレコードの解析終了時刻１５１ｅに「２０１２ ０１／０１ ００：０５：００」を設定し、解析状況１５１ｆに「解析完了」を設定する。更に、制御部１２１は、検体Ａの判定が終了したと判断し（Ｙｅｓ）、ステップＳ１７の処理を行う。
ステップＳ１７に於いて、制御部１２１は、「検体Ａがマルウェアである」旨を管理者に通知し、図１３に示す処理を完了する。
In step S16, since “malware” is set in the
In step S17, the
図１４は、本実施形態に於ける検知部処理（図１３のステップＳ１５）を示すフローチャートである。
第１回目の解析に於いて、制御装置１００の制御部１２１がステップＳ１５（図１３）の処理を行うと、制御装置１００の検知部１２２は、検知部処理を行う。
ステップＳ２０に於いて、検知部１２２は、クライアント装置２００からクライアント側実行結果３０を受信し、活動記録ＤＢ１５３（図７）に新たなレコードを作成して保存する。
ステップＳ２１に於いて、検知部１２２は、サーバ装置３００から、サーバ側実行結果４０を受信して、活動記録ＤＢ１５３（図７）に新たなレコードを作成して保存する。
FIG. 14 is a flowchart showing the detection unit processing (step S15 in FIG. 13) in the present embodiment.
In the first analysis, when the
In step S20, the detection unit 122 receives the client side execution result 30 from the
In step S21, the detection unit 122 receives the server-side execution result 40 from the
ステップＳ２２に於いて、検知部１２２は、活動記録ＤＢ１５３（図７）のレコードと検知ルールＤＢ１５４（図８）のレコードとを参照して、検体１１がマルウェアであるか否かを判定する。
ステップＳ２３に於いて、検知部１２２は、その判定結果を、解析シナリオＤＢ１５１（図５）に新たに作成したレコードの検知結果１５１ｇに記録（更新）する。
In step S22, the detection unit 122 refers to the record in the activity record DB 153 (FIG. 7) and the record in the detection rule DB 154 (FIG. 8) to determine whether or not the
In step S23, the detection unit 122 records (updates) the determination result in the
次に、図１４で行われる処理の具体例を改めて説明する。
ステップＳ２０に於いて、検知部１２２は、クライアント側実行結果３０を受信して、活動記録ＤＢ１５３（図７）の活動記録ＩＤ１５３ａ＝１，３のレコードとして保存する。
ステップＳ２１に於いて、検知部１２２は、サーバ側実行結果４０を受信して、活動記録ＤＢ１５３（図７）の活動記録ＩＤ１５３ａ＝２，４のレコードとして保存する。
Next, a specific example of the process performed in FIG. 14 will be described again.
In step S20, the detection unit 122 receives the client-
In step S21, the detection unit 122 receives the server-
ステップＳ２２に於いて、検知部１２２は、活動記録ＤＢ１５３（図７）の活動記録ＩＤ１５３ａ＝１〜４のレコードに、検知ルールＤＢ１５４（図８）の検知ルールＩＤ１５４ａ＝１〜３のレコードに該当するものが有るか否かを判断し、検体１１がマルウェアであるか否かを判定する。
ステップＳ２３において、検知部１２２は、解析シナリオＤＢ１５１（図５）の解析管理ＩＤ１５１ａ＝１のレコードの検知結果１５１ｇに「非マルウェア」を設定（更新）して、図１４の処理を終了する。
In step S22, the detection unit 122 corresponds to the records of the
In step S23, the detection unit 122 sets (updates) “non-malware” in the
第２回目の解析に於いて、制御装置１００の制御部１２１がステップＳ１５（図１３）の処理を行うと、制御装置１００の検知部１２２は、検知部処理を行う。
ステップＳ２０に於いて、検知部１２２は、クライアント側実行結果３０を受信して、活動記録ＤＢ１５３（図７）の活動記録ＩＤ１５３ａ＝５，７のレコードとして保存する。
ステップＳ２１に於いて、検知部１２２は、サーバ側実行結果４０を受信して、活動記録ＤＢ１５３（図７）の活動記録ＩＤ１５３ａ＝６，８のレコードとして保存する。
In the second analysis, when the
In step S20, the detection unit 122 receives the client-
In step S21, the detection unit 122 receives the server-
ステップＳ２２に於いて、検知部１２２は、活動記録ＤＢ１５３（図７）の活動記録ＩＤ１５３ａ＝５〜８のレコード中に、検知ルールＤＢ１５４（図８）の検知ルールＩＤ１５４ａ＝１〜３のレコードに該当するものが有るか否かを判断し、検体１１がマルウェアであるか否かを判定する。
ステップＳ２３に於いて、検知部１２２は、解析シナリオＤＢ１５１（図５）の解析管理ＩＤ１５１ａ＝２のレコードの検知結果１５１ｇに「非マルウェア」を設定して、図１４の処理を終了する。
In step S22, the detection unit 122 corresponds to the record of the
In step S23, the detection unit 122 sets “non-malware” to the
第３回目の解析に於いて、制御装置１００の制御部１２１がステップＳ１５（図１３）の処理を行うと、制御装置１００の検知部１２２は、検知部処理を行う。
ステップＳ２０に於いて、検知部１２２は、クライアント側実行結果３０を受信して、活動記録ＤＢ１５３（図７）の活動記録ＩＤ１５３ａ＝９，１０，１２のレコードとして保存する。
ステップＳ２１に於いて、検知部１２２は、サーバ側実行結果４０を受信して、活動記録ＤＢ１５３（図７）の活動記録ＩＤ１５３ａ＝１１，１３のレコードとして保存する。
In the third analysis, when the
In step S20, the detection unit 122 receives the client-
In step S21, the detection unit 122 receives the server-
ステップＳ２２に於いて、検知部１２２は、活動記録ＤＢ１５３（図７）の活動記録ＩＤ１５３ａ＝９〜１３のレコード中に、検知ルールＤＢ１５４（図８）の検知ルールＩＤ１５４ａ＝１〜３のレコードに該当するものがあるか否かを検索する。すると、活動記録ＩＤ１５３ａ＝１３のレコードの活動データ１５３ｆに「target=evil&money=\1000000」とあり、これは、evilというユーザに\1000000を振り込む通信を示している。しかし、解析管理ＩＤ１５３ｂ＝３の解析シナリオＤＢ１５１レコードで指定したサイトＩＤ１５２ａ＝サイトＺの操作手順（４）には「ユーザｄａｖｅに\1000を振り込む」旨が記録されており、振込先と振込金額とが異なっている。このため、検知部１２２は、検知ルールＩＤ１５４ａ＝１のレコードの検知内容１５４ｂを適用し、当該検体Ａを「マルウェア」と判断する。
ステップＳ２３において、検知部１２２は、解析管理ＩＤ１５１ａ＝３の解析シナリオＤＢ１５１レコードの検知結果１５１ｇに「マルウェア」を設定し、図１４の処理を終了する。
In step S22, the detection unit 122 corresponds to the record of the
In step S23, the detection unit 122 sets “malware” in the
なお、検知ルールＤＢ１５４（図８）検知ルールＩＤ１５４ａ＝２のレコードは、活動記録ＩＤ１５３ａ＝１２の活動記録ＤＢ１５３レコードに適合する。検知ルールＤＢ１５４（図８）の検知ルールＩＤ１５４ａ＝３のレコードは、活動記録ＤＢ１５３（図８）の活動記録ＩＤ１５３ａ＝１０のレコードに適合する。しかし、優先度が高い検知ルールＩＤ１５４ａ＝１のレコードが適用されるため、判定結果は「マルウェア」となる。
The record of the detection rule DB 154 (FIG. 8)
図１５は、本実施形態に於けるクライアント制御部処理を示すフローチャートである。
ステップＳ３０に於いて、クライアント制御部２２１は、制御装置１００からクライアント制御命令１０を受信する。
ステップＳ３１に於いて、クライアント制御部２２１は、ブラウザ監視部２２３を起動し、ブラウザ監視部処理（図１７）を行わせる。
FIG. 15 is a flowchart showing client control unit processing in the present embodiment.
In step S <b> 30, the
In step S31, the
ステップＳ３２に於いて、クライアント制御部２２１は、ブラウザ操作部２２２を起動する。クライアント制御部２２１は更に、クライアント制御命令１０に含まれる検体１１および動作シナリオ１２をブラウザ操作部２２２に渡す。
ステップＳ３３に於いて、クライアント制御部２２１は、ブラウザ操作部２２２の処理が終了するまで待機する。
ステップＳ３４に於いて、クライアント制御部２２１は、サーバ装置３００に操作完了通知７０を送信する。
ステップＳ３５に於いて、クライアント制御部２２１は、ブラウザ監視部２２３の処理が終了するまで待機する。
ステップＳ３６に於いて、クライアント制御部２２１は、ブラウザ監視部２２３からクライアント側実行結果３０を取得する。
ステップＳ３７に於いて、クライアント制御部２２１は、当該クライアント側実行結果３０を、制御装置１００に送信する。
ステップＳ３８に於いて、クライアント制御部２２１は、実行環境イメージ２７１を使用して、クライアント装置２００内の各プログラムを、検体１１の実行前の状態に復旧する。クライアント制御部２２１は、ステップＳ３８の処理が終了すると、図１５の処理を終了する。
In step S <b> 32, the
In step S33, the
In step S <b> 34, the
In step S35, the
In step S 36, the
In step S <b> 37, the
In step S <b> 38, the
図１６は、本実施形態に於けるブラウザ操作部処理を示すフローチャートである。
クライアント制御部２２１が、クライアント制御部処理（図１５）のステップＳ３２の処理を実行すると、図１６のブラウザ操作部処理が起動する。
ステップＳ４０に於いて、ブラウザ操作部２２２は、検体１１を実行する。
ステップＳ４１に於いて、ブラウザ操作部２２２は、ブラウザ部２２４を起動する。
ステップＳ４２〜Ｓ４４に於いて、ブラウザ操作部２２２は、全ての動作シナリオ１２の操作手順について処理を繰り返す。
ステップＳ４３に於いて、ブラウザ操作部２２２は、動作シナリオ１２の当該操作手順に従い、ブラウザ部２２４を操作する。
ステップＳ４４に於いて、ブラウザ操作部２２２は、全ての動作シナリオ１２の操作手順が完了したか否かを判断する。ブラウザ操作部２２２は、当該判断条件が成立していない場合には、ステップＳ４２の処理に戻り、当該判断条件が成立している場合には、図１６の処理を終了する。
FIG. 16 is a flowchart showing browser operation unit processing in the present embodiment.
When the
In step S40, the
In step S41, the
In steps S42 to S44, the
In step S43, the
In step S44, the
図１７は、本実施形態に於けるブラウザ監視部処理を示すフローチャートである。
クライアント制御部２２１が、クライアント制御部処理（図１５）のステップＳ３１の処理を実行すると、図１７のブラウザ監視部処理が起動する。
ステップＳ５０に於いて、ブラウザ監視部２２３は、ブラウザ監視ルールＤＢ２５１を読み取り、監視処理を実行する。
ステップＳ５１に於いて、ブラウザ監視部２２３は、ブラウザ操作部２２２の終了を検知したか否かを判断する。ブラウザ監視部２２３は、当該判断条件が成立しなかったならば（Ｎｏ）、ステップＳ５０の処理に戻り、当該判断条件が成立したならば（Ｙｅｓ）、ステップＳ５２の処理を行う。
ステップＳ５２に於いて、ブラウザ監視部２２３は、これまでに記録された活動記録をクライアント制御部２２１に送信し、図１７の処理を終了する。
FIG. 17 is a flowchart showing browser monitoring processing in the present embodiment.
When the
In step S50, the
In step S51, the
In step S52, the
図１８は、本実施形態に於けるサーバ制御部処理を示すフローチャートである。
サーバ装置３００が起動し、サーバ制御部３２１が受信待ち状態になると、図１８の処理が開始する。
ステップＳ６０に於いて、サーバ制御部３２１は、サーバ制御命令２０を制御装置１００より受信する。サーバ制御部３２１は、サーバ制御命令２０に含まれるＷＥＢサイト構成ファイル２１を、ＷＥＢサイト保存装置３７０に保存する。
ステップＳ６１に於いて、サーバ制御部３２１は、ＷＥＢサイト監視部３２２を起動する。
ステップＳ６２に於いて、サーバ制御部３２１は、ＷＥＢサーバ部３２３を起動する。ＷＥＢサーバ部３２３は、ＷＥＢサイト構成ファイル２１を読み取り、ＷＥＢサイトを立ち上げる。
ステップＳ６３に於いて、サーバ制御部３２１は、クライアント装置２００から操作完了通知７０を受信するまで待機する。
FIG. 18 is a flowchart showing server control unit processing in the present embodiment.
When the
In step S <b> 60, the server control unit 321 receives the
In step S61, the server control unit 321 activates the WEB site monitoring unit 322.
In step S62, the server control unit 321 activates the
In step S <b> 63, the server control unit 321 waits until an
ステップＳ６４に於いて、サーバ制御部３２１は、ＷＥＢサイト監視部３２２に終了信号を通知して停止させる。
ステップＳ６５に於いて、サーバ制御部３２１は、ＷＥＢサイト監視部３２２から活動記録であるサーバ側実行結果４０を取得する。
ステップＳ６６に於いて、サーバ制御部３２１は、サーバ側実行結果４０を制御装置１００に送信し、図１８の処理を終了する。
In step S64, the server control unit 321 notifies the WEB site monitoring unit 322 of an end signal and stops it.
In step S <b> 65, the server control unit 321 acquires the server-
In step S66, the server control unit 321 transmits the server-
図１９は、本実施形態に於けるＷＥＢサイト監視部処理を示すフローチャートである。
サーバ制御部３２１が、サーバ制御部処理（図１８）のステップＳ６１の処理を実行すると、当該ＷＥＢサイト監視部処理が起動する。
ステップＳ７０に於いて、ＷＥＢサイト監視部３２２は、ＷＥＢサイト監視ルールＤＢ３５１を読み取り、監視処理を実行する。
ステップＳ７１に於いて、ＷＥＢサイト監視部３２２は、サーバ制御部３２１から終了信号を検知したか否かを判断する。ブラウザ監視部２２３は、当該判断条件が成立しなかったならば（Ｎｏ）、ステップＳ７０の処理に戻り、当該判断条件が成立したならば（Ｙｅｓ）、ステップＳ７２の処理を行う。
ステップＳ７２に於いて、ＷＥＢサイト監視部３２２は、これまでに記録された活動記録をサーバ制御部３２１に通知し、図１９の処理を終了する。
FIG. 19 is a flowchart showing a WEB site monitoring unit process in the present embodiment.
When the server control unit 321 executes the process of step S61 of the server control unit process (FIG. 18), the WEB site monitoring unit process is activated.
In step S70, the WEB site monitoring unit 322 reads the WEB site
In step S71, the WEB site monitoring unit 322 determines whether an end signal is detected from the server control unit 321. If the determination condition is not satisfied (No), the
In step S72, the WEB site monitoring unit 322 notifies the server control unit 321 of the activity records recorded so far, and ends the process of FIG.
（本実施形態の効果）
以上説明した本実施形態では、次の（Ａ）〜（Ｄ）のような効果がある。
(Effect of this embodiment)
The present embodiment described above has the following effects (A) to (D).
（Ａ） 計算機が特定の処理を行った場合にのみ活動を行うプログラムに対し、効率的な解析が可能となる。 (A) An efficient analysis is possible for a program that is active only when a computer performs a specific process.
（Ｂ） 実際に運用されているシステムのサーバ装置に対する検体１１の挙動ではなく、このプログラム解析システム１内で評価用として稼働しているサーバ装置３００に、実際に運用されているシステムと同一のＷＥＢサイト構成ファイル２１を送信している。これにより、実際に運用されているシステムに対する検体１１の挙動と同一の挙動を取得できると共に、実際に運用されているシステムに対する悪影響を抑止することができる。
(B) The behavior of the
（Ｃ） プログラム解析システム１に於いて、制御装置１００は、クライアント側実行結果３０と、サーバ側実行結果４０とを総合的に解析して、マルウェアであるか否かを判断している。これにより、クライアント側実行結果３０のみを解析するよりも、的確にマルウェアであることを判断することができる。
(C) In the
（Ｄ） プログラム解析システム１に於いて、制御装置１００は、再解析ルールＤＢ１５５に基づいて、繰り返し検体１１のプログラムを解析している。これにより、マルウェアであるか否かの判断の確実性を向上することができる。
(D) In the
（変形例）
本発明は、上記実施形態に限定されることなく、本発明の趣旨を逸脱しない範囲で、変更実施が可能である。この利用形態や変形例としては、例えば、次の（ａ）〜（ｃ）のようなものがある。
(Modification)
The present invention is not limited to the above embodiment, and can be modified without departing from the spirit of the present invention. For example, the following forms (a) to (c) are available as usage forms and modifications.
（ａ） 本実施形態の制御装置１００は、ＷＥＢサイトを１つずつサーバ装置３００に構築し、検体１１を実行して解析を行っている。しかし、これに限られず、制御装置１００は、複数のＷＥＢサイトを同時に構築し、クライアント装置２００から連続してアクセスしてもよい。これにより、複数のＷＥＢサイトを同時にテストでき、解析時間を短縮することができる。
(A) The
（ｂ） ラインＬ１〜Ｌ６は、何れも物理的な情報の伝達手段として通信ネットワーク４００を媒介している。しかし、これに限られず、ラインＬ１〜Ｌ６は、外部記憶装置などを経由して、物理的な情報の伝達が行われるものであってもよい。
(B) Each of the lines L1 to L6 mediates the
（ｃ） プログラム解析システム１に於いて、制御装置１００は、所定の優先度情報に基づいて、検体１１の解析環境の順序を決定してもよい。これにより、解析環境の重要度に応じて、マルウェアであるか否かを判定することができる。
(C) In the
（ｄ） 検体保存装置１７０に保存されている検体１１から任意のものが自動的に選択され、制御部１２１が制御前処理を開始してもよい。
(D) Any one of the
１ プログラム解析システム
１０ クライアント制御命令
１１ 検体 （検体プログラム）
１２ 動作シナリオ
２０ サーバ制御命令
２１ ＷＥＢサイト構成ファイル
３０ クライアント側実行結果
４０ サーバ側実行結果
５０ リクエスト
６０ レスポンス
７０ 操作完了通知
１００ 制御装置
１１０ 装置本体
１２０ ＣＰＵ
１２１ 制御部
１２２ 検知部
１３０ メモリ
１３１ 制御プログラム
１３２ 検知プログラム
１４０ インタフェース
１５０ 外部記憶装置 （記憶部）
１５１ 解析シナリオＤＢ
１５２ ＷＥＢサイトＤＢ
１５３ 活動記録ＤＢ
１５４ 検知ルールＤＢ
１５５ 再解析ルールＤＢ
１６０ バス
１７０ 検体保存装置
１８０ ＷＥＢサイト保存装置
１９０ 入出力装置
２００ クライアント装置
２１０ 装置本体
２２０ ＣＰＵ
２２０ 処理部
２２１ クライアント制御部
２２２ ブラウザ操作部
２２３ ブラウザ監視部
２２４ ブラウザ部 （ブラウザ）
２５０ 外部記憶装置
２５１ ブラウザ監視ルールＤＢ
２７０ イメージ保存装置
２７１ 実行環境イメージ
３００ サーバ装置
３２０ ＣＰＵ
３２１ サーバ制御部
３２２ ＷＥＢサイト監視部
３２３ ＷＥＢサーバ部
３５０ 外部記憶装置
３５１ ＷＥＢサイト監視ルールＤＢ
３７０ ＷＥＢサイト保存装置
４００ 通信ネットワーク
５００ 通信ネットワーク
1
12
121 Control Unit 122 Detection Unit 130
151 Analysis scenario DB
152 WEB site DB
153 Activity record DB
154 Detection rule DB
155 Reanalysis rule DB
220
250
270
321 Server control unit 322 WEB
370 WEB
Claims (11)
前記制御装置の指令に基づいてブラウザの動作シナリオを実行し、前記検体プログラムの挙動を記録するクライアント装置と、
前記制御装置の指令に基づき前記クライアント装置と通信を行って挙動を記録するサーバ装置と、
を備え、
前記制御装置は、
前記クライアント装置の前記ブラウザの前記動作シナリオ、および、前記サーバ装置のサーバ構成情報を組み合わせた情報を格納する解析データベースを備えた記憶部と、
前記クライアント装置および前記サーバ装置に命令を送信して解析処理を行う制御部と、
前記クライアント装置および前記サーバ装置から受信した記録を基に、前記検体プログラムの属性を解析する検知部と、
を備えることを特徴とするプログラム解析システム。 A control device that operates the sample program and analyzes its behavior;
A client device that executes a browser operation scenario based on a command from the control device and records the behavior of the sample program;
A server device that records behavior by communicating with the client device based on a command of the control device;
Equipped with a,
The control device includes:
A storage unit comprising an analysis database for storing information obtained by combining the operation scenario of the browser of the client device and server configuration information of the server device;
A control unit that transmits an instruction to the client device and the server device to perform analysis processing;
Based on the records received from the client device and the server device, a detection unit for analyzing the attribute of the sample program,
A program analysis system comprising:
前記動作シナリオを前記クライアント装置に対して送信し、前記動作シナリオと組み合わせて格納された前記サーバ構成情報を前記サーバ装置に対して送信する、
ことを特徴とする請求項１に記載のプログラム解析システム。 The controller is
Transmitting the operation scenario to the client device and transmitting the server configuration information stored in combination with the operation scenario to the server device;
The program analysis system according to claim 1 .
前記制御装置との通信を行うクライアント制御部と、
前記制御装置から指定された前記動作シナリオに従って前記ブラウザを操作するブラウザ操作部と、
当該クライアント装置を監視して特定の事象をクライアント実行結果として記録するブラウザ監視部と、を備える、
ことを特徴とする請求項２に記載のプログラム解析システム。 The client device is
A client control unit for communicating with the control device;
A browser operation unit for operating the browser according to the operation scenario specified by the control device;
A browser monitoring unit that monitors the client device and records a specific event as a client execution result,
The program analysis system according to claim 2 .
前記制御装置の前記制御部から送信された前記サーバ構成情報に基づき、当該サーバ装置のサーバ機能を構築するサーバ制御部と、
前記クライアント装置のリクエストを監視して、所定事象をサーバ実行結果として記録するＷＥＢサイト監視部と、を備える、
ことを特徴とする請求項２に記載のプログラム解析システム。 The server device
Based on the server configuration information transmitted from the control unit of the control device, a server control unit that constructs a server function of the server device,
A WEB site monitoring unit that monitors a request from the client device and records a predetermined event as a server execution result;
The program analysis system according to claim 2 .
ことを特徴とする請求項４に記載のプログラム解析システム。 The detection unit receives the server execution result from the server device, detects an inconsistency between the operation scenario and the server execution result, and detects an attribute of the sample program;
The program analysis system according to claim 4 .
ことを特徴とする請求項３に記載のプログラム解析システム。 The detection unit receives and analyzes the client execution result from the client device, and detects an attribute of the sample program.
The program analysis system according to claim 3 .
ことを特徴とする、請求項１に記載のプログラム解析システム。 The control unit commands reanalysis processing based on the detection result of the sample program by the detection unit.
The program analysis system according to claim 1 , wherein:
ことを特徴とする請求項７に記載のプログラム解析システム。 The control unit commands reanalysis processing until the detection result of the sample program by the detection unit is positive or negative for a certain number of times.
The program analysis system according to claim 7 .
前記制御部は、前記優先度情報に基づき、前記検体プログラムの挙動の解析に用いる前記動作シナリオおよび前記サーバ構成情報の組み合わせを決定する、
ことを特徴とする請求項２に記載のプログラム解析システム。 The analysis database further stores priority information for each combination of the operation scenario and the server configuration information,
The control unit determines a combination of the operation scenario and the server configuration information used for analyzing the behavior of the sample program based on the priority information.
The program analysis system according to claim 2 .
ことを特徴とする請求項２に記載のプログラム解析システム。 The control unit processes a plurality of analyzes in parallel by transmitting a plurality of combinations of the operation scenario and the server configuration information to each combination of the client device and the server device.
The program analysis system according to claim 2 .
ことを特徴とする請求項３に記載のプログラム解析システム。 The client control unit has a function of restoring the client device to a state before the execution of the sample program after completion of the execution of the operation scenario.
The program analysis system according to claim 3 .
Priority Applications (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP2012086942A JP5892840B2 (en) | 2012-04-06 | 2012-04-06 | Program analysis system |
Applications Claiming Priority (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP2012086942A JP5892840B2 (en) | 2012-04-06 | 2012-04-06 | Program analysis system |
Publications (2)
| Publication Number | Publication Date |
|---|---|
| JP2013218444A JP2013218444A (en) | 2013-10-24 |
| JP5892840B2 true JP5892840B2 (en) | 2016-03-23 |
Family
ID=49590486
Family Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| JP2012086942A Expired - Fee Related JP5892840B2 (en) | 2012-04-06 | 2012-04-06 | Program analysis system |
Country Status (1)
| Country | Link |
|---|---|
| JP (1) | JP5892840B2 (en) |
Families Citing this family (4)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| US20150379268A1 (en) * | 2014-06-27 | 2015-12-31 | Prabhat Singh | System and method for the tracing and detection of malware |
| US10050798B2 (en) | 2015-02-06 | 2018-08-14 | Mitsubishi Electric Corporation | Cryptographic block identification apparatus, cryptographic block identification method, and non-transitory computer readable recording medium storing cryptographic block identification program |
| JP6984114B2 (en) * | 2016-10-14 | 2021-12-17 | 日本電気株式会社 | E-mail monitoring device, terminal device, e-mail monitoring method, and e-mail monitoring program |
| WO2021124528A1 (en) * | 2019-12-19 | 2021-06-24 | 三菱電機株式会社 | Incident response assistant system, incident response assistant method, and incident response assistant program |
Family Cites Families (1)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| JP4755658B2 (en) * | 2008-01-30 | 2011-08-24 | 日本電信電話株式会社 | Analysis system, analysis method and analysis program |
-
2012
- 2012-04-06 JP JP2012086942A patent/JP5892840B2/en not_active Expired - Fee Related
Also Published As
| Publication number | Publication date |
|---|---|
| JP2013218444A (en) | 2013-10-24 |
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| US11868242B1 (en) | Method, apparatus, and computer program product for predictive API test suite selection | |
| US11570185B2 (en) | Insider attack resistant system and method for cloud services integrity checking | |
| US10033748B1 (en) | System and method employing structured intelligence to verify and contain threats at endpoints | |
| KR102641847B1 (en) | Discovery and mapping of cloud-based authentication, authorization, and user management services | |
| US8768964B2 (en) | Security monitoring | |
| US8695027B2 (en) | System and method for application security assessment | |
| TWI575397B (en) | Point-wise protection of application using runtime agent and dynamic security analysis | |
| US10904267B2 (en) | Non-intrusive threat detection in a computer network | |
| US20220210202A1 (en) | Advanced cybersecurity threat mitigation using software supply chain analysis | |
| JP2014115833A (en) | Method for inhibiting continuous unauthorized access | |
| US11533325B2 (en) | Automatic categorization of IDPS signatures from multiple different IDPS systems | |
| US10440050B1 (en) | Identifying sensitive data on computer networks | |
| JP5892840B2 (en) | Program analysis system | |
| US20230065845A1 (en) | Automated runbook operation recommendations | |
| JP2014179025A (en) | Connection destination information extraction device, connection destination information extraction method, and connection destination information extraction program | |
| US20190235984A1 (en) | Systems and methods for providing predictive performance forecasting for component-driven, multi-tenant applications | |
| JP2008015733A (en) | Log management computer | |
| Eberendu et al. | A systematic literature review of software vulnerability detection | |
| US11418570B2 (en) | Robust computing device identification framework | |
| US9398041B2 (en) | Identifying stored vulnerabilities in a web service | |
| JP6084688B2 (en) | Data conversion method and apparatus | |
| JP2016192139A (en) | Malware analyzer and malware analysis method | |
| Ward et al. | Analysis of Identity Access Management Controls in IoT Systems | |
| Elsbroek et al. | Fidius: Intelligent support for vulnerability testing | |
| US9438607B2 (en) | Information processing apparatus and verification control method |
Legal Events
| Date | Code | Title | Description |
|---|---|---|---|
| A621 | Written request for application examination |
Free format text: JAPANESE INTERMEDIATE CODE: A621 Effective date: 20150210 |
|
| A977 | Report on retrieval |
Free format text: JAPANESE INTERMEDIATE CODE: A971007 Effective date: 20151007 |
|
| A131 | Notification of reasons for refusal |
Free format text: JAPANESE INTERMEDIATE CODE: A131 Effective date: 20151124 |
|
| A521 | Written amendment |
Free format text: JAPANESE INTERMEDIATE CODE: A523 Effective date: 20160121 |
|
| TRDD | Decision of grant or rejection written | ||
| A01 | Written decision to grant a patent or to grant a registration (utility model) |
Free format text: JAPANESE INTERMEDIATE CODE: A01 Effective date: 20160209 |
|
| A61 | First payment of annual fees (during grant procedure) |
Free format text: JAPANESE INTERMEDIATE CODE: A61 Effective date: 20160223 |
|
| R150 | Certificate of patent or registration of utility model |
Ref document number: 5892840 Country of ref document: JP Free format text: JAPANESE INTERMEDIATE CODE: R150 |
|
| LAPS | Cancellation because of no payment of annual fees |