JP6286314B2 - マルウェア通信制御装置 - Google Patents

Description

本発明は、マルウェア通信制御装置に関する。

近年、民間企業や、防衛関連企業、衆参両院を狙ったサイバー攻撃が顕在化しており、個人、企業、国家の利益や安全性を損なうリスクが高まっている。また、攻撃手法も益々巧妙化しており、標的型攻撃、特にＡＰＴ（Ａｄｖａｎｃｅｄ Ｐｅｒｓｉｓｔｅｎｔ Ｔｈｒｅａｔ）攻撃は、秘密裏に、そして執拗に長期間攻撃を続ける点で従来の脅威とは性質が異なっている。この脅威に対抗するためには、マルウェアを安全に実行できる解析実行装置において、マルウェアを実際に実行し、その挙動を観測することで、マルウェアの活動内容を明らかにすることが重要となる。

しかし、マルウェアによっては、外部サイトへの疎通確認ができなければ、動きを止めてしまうものや、実行する環境によって挙動を変えるもの等が存在する。さらに、ＡＰＴ攻撃においては、ある特定のＩＰ（Ｉｎｔｅｒｎｅｔ Ｐｒｏｔｏｃｏｌ）アドレス範囲からの通信に限定して攻撃を行うものもある。このようなマルウェアを受信した企業が、マルウェアの解析をセキュリティベンダに依頼した場合、セキュリティベンダ内でマルウェアを稼働させたとしても、攻撃者に届いたマルウェアの通信は、攻撃者が意図した企業の物でなく、セキュリティベンダのIPアドレスからの通信であるため、攻撃者はそのマルウェアの通信に対して応答をしない。このため、セキュリティベンダでのマルウェア解析ができなくなってしまう。以上のような背景から、マルウェアの挙動全貌を明らかにするために、マルウェアが稼働する条件を特定する技術が求められている。

例えば、特許文献１には、外部の実ネットワークに接続する実ネットワーク接続手段と、不正プログラムが関与する通信の一部を実ネットワークに接続する接続制御手段を備えた解析システムが開示されている。

特開２０１１−１５４７２７号公報

特許文献１の技術は、マルウェアが関与する通信の一部を実ネットワークに接続することで、インターネット接続を行うマルウェアの解析を行っている。しかし、マルウェアの通信をそのままインターネットへ向けて行っているため、特定のＩＰアドレス範囲からの通信に応答をするようなマルウェアの解析を行うことができない。

本発明は、上記事情に鑑みてなされたものであり、マルウェアの挙動を解析する解析実行装置において、マルウェアの通信を制御しながら、マルウェアを実行することで、マルウェアの稼働条件を特定するマルウェア通信制御装置を提供することを目的とする。

本発明の代表的な一例は、以下の通りである。すなわち、本発明は、マルウェアが実行された解析実行装置から、送信元、送信先、内容の情報を含むマルウェアの通信情報を受信する受信部と、受信されたマルウェアの通信情報に基づいて、マルウェアの活性度を判定する活性度判定部と、制御ポリシ基づいて、マルウェアの通信情報または、通信タイミングを制御し送信する制御部とを備える。。

本発明によれば、複数の解析実行装置において、マルウェアが稼働する条件を特定することができる。

本発明の実施例１に係るマルウェア通信制御装置の構成例を示す図である。 本発明の実施例１に係る制御ポリシデータの一例を示す図である。 本発明の実施例１に係る解析実行装置データの一例を示す図である。 本発明の実施例１に係る制御ルールデータの一例を示す図である。 本発明の実施例１に係る通信リストデータの一例を示す図ある。 本発明の実施例１に係る制御処理を示すフローチャートである。 本発明の実施例１に係る活性度判定処理を示すフローチャートである。 本発明の実施例１に係る通信制御処理を示すフローチャートである。 本発明の実施例１に係る稼働条件表示画面の一例である。 本発明の実施例２に係るマルウェア通信制御装置の構成例を示す図である。 本発明の実施例２に係る抑制ポリシデータの一例を示す図である。 本発明の実施例２に係る抑制ルールデータの一例を示す図である。 本発明の実施例２に係るホストリストデータの一例を示す図である。 本発明の実施例２に係る抑制制御処理を示すフローチャートである。

マルウェアの挙動を解析するためには、マルウェアを解析実行装置上で稼働させ、どのような通信をおこなうのか、また、解析実行装置の内部資源にどのような影響を与えるのかを記録する。マルウェアによっては、インターネットへの接続が確認できないと、稼働を停止してしまうものもあり、このようなマルウェアの解析を行う場合には、解析実行装置をインターネットと接続させてマルウェア解析を行うこともある。

しかし、インターネットと接続をさせていても、攻撃者が特定のＩＰアドレス範囲からの通信にしか応答しない場合や、２回目以降の通信に応答しない場合には、マルウェアの解析を進めることができない。

そこで、本実施形態では、複数の解析実行装置において、様々な通信制御を行いながら、マルウェアを同時に実行させ、マルウェアが稼働する条件を特定する。実施例１では、この点に着目し、マルウェアの通信制御処理及び、活性度判定処理について説明する。

一方、インターネットと接続してマルウェア解析を行う場合、インターネット上の端末に対して、ＤｏＳ（Ｄｅｎｉａｌ ｏｆ Ｓｅｒｖｉｃｅ）攻撃や、掲示板への犯罪予告等を行なってしまう可能性もある。実施例２では、この外部への影響を最小限に抑えるための抑制制御処理について説明する。

図１は、本発明の実施例１に係るマルウェア通信制御装置の構成例を示す図である。実施例１に係るマルウェア通信制御装置は、マルウェアを実行する複数の解析実行装置１１８から構成される解析実行装置群１１４と、ダミーサーバ１１５と、インターネット１１６と、をネットワーク１１７を介して接続される。

解析実行装置１１８は、ＣＰＵ（Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）と、ＣＰＵが処理を実行するために必要なデータを格納するためのメインメモリと、大量のデータを記憶する容量を持つハードディスクやフラッシュメモリなどの記憶装置と、他装置と通信を行うためのＩＦ（インタフェース）と、キーボード、ディスプレイなどの入出力を行うための入出力装置と、これらの各装置を接続する通信路（バス）と、を備えたコンピュータである。さらに、解析実行装置１１８には、ＯＳ（Ｏｐｅｒａｔｉｎｇ Ｓｙｓｔｅｍ）や、文書閲覧ソフトや、ブラウザなどのソフトウェアがインストールされている。マルウェアによっては、特定のＯＳや、特定のソフトウェアがインストールされていないと稼働しないものも存在するため、ＯＳや、ソフトウェアのバリエーションは複数用意してある。なお、解析実行装置１１８がどのようなＯＳやソフトウェアで構成されているかは、後述する解析実行装置データ１１１で管理する。解析実行装置１１８で実行されたマルウェアは、ネットワーク１１７を介して通信を行う。

ダミーサーバ１１５は、ＣＰＵと、ＣＰＵが処理を実行するために必要なデータを格納するためのメインメモリと、大量のデータを記録する容量を持つハードディスクやフラッシュメモリなどの記憶装置と、他装置と通信を行うためのＩＦと、キーボード、ディスプレイなどの入出力を行うための入出力装置と、これらの各装置を接続する通信路と、を備えたコンピュータである。さらに、メインメモリには、ある特定のプロトコル（例えば、ＨＴＴＰ（Ｈｙｐｅｒｔｅｘｔ Ｔｒａｎｓｆｅｒ Ｐｒｏｔｏｃｏｌ）、ＤＮＳ（Ｄｏｍａｉｎ Ｎａｍｅ Ｓｙｓｔｅｍ）、ＦＴＰ（Ｆｉｌｅ Ｔｒａｎｓｆｅｒ Ｐｒｏｔｏｃｏｌ）、ＩＭＡＰ（Ｉｎｔｅｒｎｅｔ Ｍｅｓｓａｇｅ Ａｃｃｅｓｓ Ｐｒｏｔｏｃｏｌ）、ＩＲＣ（Ｉｎｔｅｒｎｅｔ Ｒｅｌａｙ Ｃｈａｔ）、ＳＭＴＰ（Ｓｉｍｐｌｅ Ｍａｉｌ Ｔｒａｎｓｆｅｒ Ｐｒｏｔｏｃｏｌ）、Ｔｅｌｎｅｔ、ＳＳＨ（Ｓｅｃｕｒｅ Ｓｈｅｌｌ）、ＰＯＰ（Ｐｏｓｔ Ｏｆｆｉｃｅ Ｐｔｏｒｏｃｏｌ）、ＬＤＡＰ（Ｌｉｇｈｔｗｅｉｇｈｔ Ｄｉｒｅｃｔｏｒｙ Ａｃｃｅｓｓ Ｐｒｏｔｏｃｏｌ）、ＣＩＦＳ（Ｃｏｍｍｏｎ Ｉｎｔｅｒｎｅｔ Ｆｉｌｅ Ｓｙｓｔｅｍ）など）に対して疑似的な応答を返すダミーサーバプログラムが格納されている。例えば、解析実行装置１１８からのＨＴＴＰ通信要求が行われた場合、ダミーサーバ１１５は、当該要求に対する応答を返す。

マルウェア通信制御装置１０１は、ＣＰＵ１０３と、ＣＰＵ１０３が処理を実行するために必要なデータを格納するためのメインメモリ１０４と、大量のデータを記憶する容量を持つハードディスクやフラッシュメモリなどの記憶装置１０５と、他装置と通信を行なうためのＩＦ１０２と、キーボード、ディスプレイなどの入出力を行うための入出力装置１０６と、これらの各装置を接続する通信路１０７と、を備えたコンピュータである。なお、通信路１０７は、例えば、バスやケーブルなどの情報伝達媒体である。

ＣＰＵ１０３は、メインメモリ１０４に格納された制御プログラム１０８を実行することにより、マルウェアの通信制御を行う。また、ＣＰＵ１０３は、活性度判定プログラム１０９を実行することにより、マルウェアの活動状態の判定を行う。なお、活性度とは、マルウェアがどの程度活発に活動したかを表す指標である。

記憶装置１０５には、マルウェア通信制御のためのポリシである制御ポリシデータ１１０、解析実行装置１１８の構成を示す解析実行装置データ１１１、マルウェア通信制御のルールを示す通信制御ルールデータ１１２、マルウェア通信の通信先を表す通信リストデータ１１３が格納されている。

上記の各プログラムやデータは、あらかじめメモリ１０４または記憶装置１０５に格納されていても良いし、必要な時に、入出力装置１０６からまたは、ＩＦ１０２を介して他の装置から、インストール（ロード）されても良い。

図２は、制御ポリシデータ１１０の一例を示す図である。図２に示すように、制御ポリシデータ１１０は、ポリシＩＤ２０１と、制御対象２０２と、制御方法２０３と、稼働条件２０４と、を含んで構成される。

ポリシＩＤ２０１は、制御ポリシを一意に識別できる情報（識別子）を表す。

制御対象２０２は、マルウェアの通信データのうち、制御する対象を表している。例えば、制御対象２０２が、「送信元」であれば、マルウェアの通信を送信する際に、送信元の情報を制御することを表し、制御対象２０２が「送信先」であれば、送信先の情報を、制御対象２０２が「内容」であれば、マルウェアの通信内容を、制御対象２０２が「タイミング」であれば、通信するタイミングを制御することを表す。

制御方法２０３は、マルウェアの通信にどのような制御をするかを表す。例えば、制御方法２０３が、「送信元の企業ＡのＩＰアドレスを割り当てる」であれば、マルウェアが通信する際に、送信元の情報を企業ＡのＩＰアドレスに変更して通信を行う。これは、特定のＩＰアドレス（例えば企業Ａ）にしか攻撃を行わない攻撃者に対して、攻撃をおこなわさせることが可能となり、マルウェアの解析を継続して行うことができる。また、制御方法２０３が「２回目以降の同一ホストへの送信先をダミーサーバに変更する」であれば、新規の接続の場合は、インターネットへ接続されるように制御し、同一ホストに対して、再び接続しようとした時に、以降の通信をダミーサーバへ接続させるために、送信先の情報をダミーサーバへ変更して通信を行う。これは、同じＩＰアドレスからの接続を拒否する攻撃者に対して有効な制御ポリシである。さらに、「プロトコルがＳＭＴＰの場合に、送信先をダミーサーバに変更する」の制御方法２０３は、Ｍａｉｌサーバが存在しない場合は稼働を停止してしまうマルウェアに対して有効な制御ポリシである。また、「ＵｓｅｒＡｇｅｎｔをブラウザＡに変更する」の制御方法２０３は、ブラウザＡからの通信にしか攻撃を行わない攻撃者に対して有効な制御ポリシである。また、「同じ情報を再送する」の制御方法２０３は、例えば、１回目に接続があった場合には、接続先の端末がシャットダウンしていて繋がらなかった場合に有効な制御ポリシである。このように、制御方法には、マルウェアを活発に稼働させるために必要と思われる制御方法を格納しておく。

稼働条件２０４は、どのような条件であればマルウェアが稼働するのかを表す。

図２を用いて具体的に説明する。例えば、ポリシＩＤ２０１が「１」、制御対象２０２が「送信元」、制御応報２０３が「送信元の企業ＡのＩＰアドレス（１０．０．０．１）」、稼働条件２０４が「企業ＡのＩＰアドレスで通信する」の制御ポリシデータは、マルウェアの通信が行われた際に、送信元の情報を企業ＡのＩＰアドレスに変更することを表し、当該制御によってマルウェアが活動したとすると、このマルウェアの稼働条件は、企業ＡのＩＰアドレスで稼働させること、であることを表す。

なお、制御ポリシデータ１１０の各情報は、管理者が必要に応じて、入力または更新しても良い。

制御ポリシデータ１１０は、ＣＰＵ１０３により実行される制御プログラム１０８が、マルウェアの通信を制御する際に利用される。制御プログラム１０８の具体的な処理については、図６を用いて後述する。

図３は、解析実行装置データ１１１の一例を示す図である。図３に示すように、解析実行装置データ１１１は、解析実行装置ＩＤ３０１と、環境３０２と、ＯＳ３０３と、ＣＰＵ３０４と、ソフト３０５と、を含んで構成される。

解析実行装置ＩＤ３０１は、解析実行装置を一意に識別できる情報を表す。なお、解析実行装置ＩＤ３０１は、解析実行装置１１８を識別できる情報も表している。

環境３０２は、解析実行装置の環境を表す。例えば、環境３０２が「ＶＭ（Ｖｉｒｔｕａｌ Ｍａｃｈｉｎｅ）」の場合は、解析実行装置が、仮想マシンで構築されていることを、環境が「物理」の場合は、解析実行装置が、物理端末上に構築されていることを表す。

ＯＳ３０３は、解析実行装置にインストールされているＯＳを表し、ＣＰＵ３０４は、解析実行装置のＣＰＵアーキテクチャを表す。

ソフト３０５は、解析実行装置にインストールされているソフトウェアを表す。本実施例では、一つのソフトウェアしか記載していないが、文書作成ソフトや、ブラウザ等、解析実行装置にインストールされている複数のソフトウェアを格納しても良い。

図３を用いて具体的に説明する。例えば、解析実行装置ＩＤ３０１が「解析実行装置Ａ１」、環境３０２が「ＶＭ」、ＯＳ３０３が「ＯＳＡ」、ＣＰＵ３０４が「３２ｂｉｔ」、ソフト３０５が「文書閲覧ソフトｖｅｒ１０」の解析実行装置データは、解析実行装置Ａ１が、仮想マシン上に構築されており、そのＯＳは、ＯＳＡ、ＣＰＵアーキテクチャは３２ｂｉｔで、さらに、文書閲覧ソフトｖｅｒ１０がインストールされていることを表す。

なお、解析実行装置データ１１１は、解析実行装置１１８の構成を表しており、解析実行装置データ１１１に対応する解析実行装置１１８を構築しても良いし、解析実行装置１１８から解析実行装置データ１１１を構築しても良い。

解析実行装置によってはマルウェアが稼働しないものも存在するため、解析実行装置１１８には、環境３０２、ＯＳ３０３、ＣＰＵ３０４、ソフト３０５が異なる様々なバリエーションを用意する。さらに、様々な通信制御方法を用いて解析を行うため、環境３０２、ＯＳ３０３、ＣＰＵ３０４、ソフト３０５が同じ解析実行装置も複数用意しても良い。

図４は、制御ルールデータ１１２の一例を示す図である。図４に示すように、制御ルールデータ１１２は、解析実行装置ＩＤ４０１と、送信元ポリシＩＤ４０２と、送信先ポリシＩＤ４０３と、内容ポリシＩＤ４０４と、タイミングポリシＩＤ４０５と、を含んで構成される。

解析実行装置ＩＤ４０１は、解析実行装置を一意に識別できる情報を表す。なお、解析実行装置ＩＤ４０１は、解析実行装置１１８を識別できる情報も表している。

送信元ポリシＩＤ４０２は、解析実行装置ＩＤ４０１に該当する解析実行装置からのマルウェア通信の送信元を制御する制御ポリシを表す。なお、ポリシの詳細については、制御ポリシデータ１１０に格納されている。また、送信元ポリシＩＤ４０２に「−」（ｄｏｎｔ ｃａｒｅを表す記号）が格納されている場合には、送信元の制御を行わないことを表す。

送信先ポリシＩＤ４０３は、解析実行装置ＩＤ４０１に該当する解析実行装置からのマルウェア通信の送信先を制御する制御ポリシを表す。なお、ポリシの詳細については、制御ポリシデータ１１０に格納されている。また、送信先ポリシＩＤ４０３に「−」が格納されている場合には、送信先の制御を行わないことを表す。

内容ポリシＩＤ４０４は、解析実行装置ＩＤ４０１に該当する解析実行装置からのマルウェア通信の内容を制御する制御ポリシを表す。なお、ポリシの詳細については、制御ポリシデータ１１０に格納されている。また、内容ポリシＩＤ４０４に「−」が格納されている場合には、内容の制御を行わないことを表す。

タイミングポリシＩＤ４０５は、解析実行装置ＩＤ４０１に該当する解析実行装置からのマルウェア通信のタイミングを制御する制御ポリシを表す。なお、ポリシの詳細については、制御ポリシデータ１１０に格納されている。また、タイミングポリシＩＤ４０５に「−」が格納されている場合には、タイミングの制御を行わないことを表す。

図４を用いて具体的に説明する。例えば、解析実行装置ＩＤ４０１が「解析実行装置Ａ１」、送信元ＩＤ４０２が「−」、送信先ＩＤ４０３が「−」、内容ポリシＩＤ４０４が「−」、タイミングポリシ４０５が「−」の制御ルールデータは、解析実行装置Ａ１から送信されるマルウェア通信の、送信元、送信先、内容、タイミングを制御せずに送信することを表す。また、解析実行装置ＩＤ４０１が「解析実行装置Ａ２」、送信元ＩＤ４０２が「１」、送信先ＩＤ４０３が「−」、内容ポリシＩＤ４０４が「−」、タイミングポリシ４０５が「−」の制御ルールデータは、解析実行装置Ａ１から送信されるマルウェア通信の、送信元を、企業ＡのＩＰアドレス（１０．０．０．１）に制御し、送信先、内容、タイミングは制御せずに送信することを表す。

なお、制御方法によってはマルウェアが活動しないものも存在するため、制御ルールデータ１１２には、送信元ポリシＩＤ４０２、送信先ポリシＩＤ４０３、内容ポリシＩＤ４０４、タイミングポリシＩＤ４０５が異なる様々なバリエーションを用意する。

また、制御ルールデータ１１２の各情報は、管理者が必要に応じて、入力または更新しても良い。

制御ルールデータ１１２は、ＣＰＵ１０３により実行される制御プログラム１０８が、マルウェアの通信を制御する際に利用される。制御プログラム１０８の具体的な処理については、図６を用いて後述する。

図５は、通信リストデータ１１３の一例を示す図である。図５に示すように、通信リストデータ１１３は、ホスト名５０１と、プロトコル５０２と、パス５０３と、通信日時５０４と、データ５０５と、を含んで構成される。

ホスト名５０１は、マルウェア通信が接続した、接続先のホスト名を表す。

プロトコル５０２、はホスト名５０１に接続した際のプロトコルを表す。なお、プロトコルが不明な場合には、送信先のポート番号を格納しても良い。

パス５０３は、マルウェアが通信した際のパスを表す。なお、パスが存在しない場合には、「−」を格納しても良い。

通信日時５０４は、マルウェアが通信した際の通信時刻を表す。

データ５０５は、マルウェアが通信した際に、通信先からダウンロードしてきたデータを表す。マルウェアが、通信先からファイルをダウンロードしてきた場合は、当該ファイルの内容も併せて記録しておく。

図５を用いて具体的に説明する。例えば、ホスト名５０１が「ｗｗｗ．ａａａ．ｃｏｍ」、プロトコル５０２が「ＨＴＴＰ」、パス５０３が「／ｃｇｉ−ｂｉｎ／ｉｄ＝ｘｘｘｘｘ」、通信日時５０４が「２０１３／１１／２５ １２：００」、データ５０５が「ａ．ｅｘｅ」の通信リストデータは、２０１３／１１／２５ １２：００に、ｈｔｔｐ：／／ｗｗｗ．ａａａ．ｃｏｍ／ｃｇｉ−ｂｉｎ／ｉｄ＝ｘｘｘｘｘに通信を行い、ａ．ｅｘｅファイルをダウンロードしてきたことを表す。

通信リストデータ１１３は、ＣＰＵ１０３により実行される制御プログラム１０８が、マルウェアの通信状況を監視し、更新する。制御プログラム１０８の具体的な処理については、図６を用いて後述する。

続いて、マルウェア通信制御装置１０１の制御プログラム１０８が、解析実行装置１１８から送信されたマルウェアの通信を、制御ポリシデータ１１０に基づき制御し、活性度判定プログラム１０９が、解析実行装置１１８でのマルウェアの活性状態を判定する処理について説明する。

図６は、マルウェア通信制御装置１０１の制御プログラム１０８の処理を示すフローチャートである。図６に示すように、マルウェアの通信制御を行なう制御プログラム１０８は、ＣＰＵ１０３により実行され、解析実行装置１１８で実行されたマルウェアが送信する通信を、ＩＦ１０２aを介してネットワーク１１７ａから受信する（ステップ６０１）。すなわち、マルウェア通信制御装置１０１の受信部（制御プログラム１０８）は、マルウェアが実行された解析実行装置から、送信元、送信先、内容の情報を含むをマルウェアの通信情報を受信する。

制御プログラム１０８は、活性度判定プログラム１０９を起動し、解析実行装置１１８のマルウェア活性度を判定する（ステップ６０２）。すなわち、マルウェア通信制御装置１０１の活性度判定部（活性度判定プログラム１０９）は、受信されたマルウェアの通信情報に基づいて、マルウェアの活性度を判定する。活性度判定部は、解析実行装置において実行したマルウェアが稼働したか否かを判定することによってマルウェアの活性度を判定しても良い。なお、マルウェア通信制御装置１０１は、表示部を更に備え、表示部は、活性度判定部がマルウェアが稼働したと判定した場合に、マルウェアが稼働した稼働条件を表示しても良い。
この時、制御プログラム１０８は、ステップ６０１で受信したマルウェアの通信を活性度判定プログラム１０９に送信する。なお、マルウェアの活性状態を判定する活性度判定プログラム１０９の処理については、図７を用いて後述する。

制御プログラム１０８は、制御ポリシデータ１１０と、制御ルールデータ１１２と、に基づき、マルウェアの通信制御を行なう（ステップ６０３）。すなわち、マルウェア通信制御装置１０１の制御部（制御プログラム１０８）は、制御ポリシに基づいて、マルウェアの通信情報または通信タイミングを制御し送信する。
なお、マルウェアの通信制御処理については、図８を用いて後述する。

制御プログラム１０８は、ステップ６０３で制御したマルウェアの通信を監視し、インターネットへの接続があった場合はステップ６０５に進み、インターネットへの接続がなかった場合には、処理を終了する（ステップ６０４）。

制御プログラム１０８は、マルウェアの通信を監視し、通信リストデータ１１３を更新する（ステップ６０５）。この時、通信リストデータ１１３の、ホスト名５０１、プロトコル５０２、パス５０３、通信日時５０４の更新を行う。

制御プログラム１０８は、マルウェアの通信を監視し、インターネットから取得したデータ（情報）がある場合には、その内容を通信リストデータ１１３のデータ５０５に格納してステップ６０７に進み、インターネットから取得したデータがない場合には処理を終了する（ステップ６０６）。なお、取得したデータのサイズが大きい場合には、その内容をファイルとして、記憶装置１０５に格納し、そのファイル名をデータ５０５に格納しても良い。

制御プログラム１０８は、ステップ６０５で取得したデータ５０５を、ダミーサーバ１１５に配置し、処理を終了する（ステップ６０７）。これにより、ダミーサーバ１１５は、通信リストデータ１１３のホスト名５０１、パス５０３に対して、プロトコル５０２で通信してきた場合、データ５０５のデータを応答するようになる。

図７は、解析実行装置１１８で実行されたマルウェアの活性状態を判定する、活性度判定プログラム１０９の処理を示すフローチャートである。図７に示すように、活性度判定プログラム１０９は、ＣＰＵ１０３により実行され、マルウェアの通信内容を制御プログラム１０８より受信し、受信したマルウェアの通信先が、解析実行装置１１８のマルウェアが以前通信したホストの接続先リストに含まれていない場合（新たなホストへの接続の場合）には、ステップ７０３に進み、含まれている場合にはステップ７０２に進む（ステップ７０１）。なお、新しいホストへの接続の場合には、解析実行装置１１８の接続先リストを更新し、通信の接続先と、通信内容をメモリ１０４或いは、記憶装置１０５に記憶する。接続先リストは、解析実行装置１１８ごとに管理し、新しいマルウェアを解析する際には、接続先リストの情報を削除して新しく生成する。なお、長期間マルウェア解析する場合等には、ある一定の時間が経過した後に接続先リストの情報を更新しても良いし、管理者が必要に応じて更新しても良い。その際に、接続先リストのある特定の接続先だけを更新しても良い。

活性度判定プログラム１０９は、マルウェアの通信に含まれるデータの内容が、接続先リストに格納されている、マルウェアの通信先に対応する通信内容と異なる場合には、ステップ７０３に進み、一致する場合にはステップ７０４に進む（ステップ７０２）。

活性度判定プログラム１０９は、解析実行装置１１８で実行されたマルウェアの活性度を＋１する（ステップ７０３）。なお、活性度は、解析実行装置１１８ごとに管理し、新しいマルウェアを解析する際には、活性度を０に更新する。なお、長期間マルウェアを解析する場合等には、ある一定の時間が経過する毎に活性度の値を減らしても良い。これにより、しばらく動きのないマルウェアを判断することが可能となる。

活性度判定プログラム１０９は、マルウェアの活動条件を入出力装置１０６に出力して処理を終了する（ステップ７０４）。なお、ステップ７０４で出力されるマルウェアの活動条件表示画面については、図９を用いて後述する。

すなわち、マルウェア通信制御装置１０１は、解析実行装置から受信したマルウェアの通信をインターネットに送信し、インターネットからマルウェアの通信に対する応答があった際に、応答をダミーサーバに格納する通信制御をしても良い。

また、マルウェア通信制御装置１０１の受信部（制御プログラム１０８）は、複数の解析実行装置から夫々の解析実行装置で実行されたマルウェアの通信を受信し、活性度判定部は、解析実行装置ごとに活性度の判定を行い、制御部（制御プログラム１０８）は、それぞれの解析実行装置ごとに、マルウェアの通信を制御しても良い。

また、受信部（制御プログラム１０８）は、複数の解析実行装置から、解析実行装置で実行されたマルウェアの通信を受信し、活性度判定部（活性度判定プログラム１０９）は、解析実行装置ごとにマルウェアが稼働したかどうかを、マルウェアの前記通信から判定しても良い。

また、受信部（制御プログラム１０８）は、解析実行装置と、構成の異なる複数の解析実行装置で実行されたマルウェアの通信を受信し、制御部（制御プログラム１０８）は、解析実行装置毎に異なる通信制御を行い、活性度判定部（活性度判定プログラム１０９）は、解析実行装置毎に前記マルウェアが稼働したかどうかを、マルウェアの通信から判断し、表示部は、マルウェアの活動条件を、解析実行装置の構成と、解析実行装置の通信制御方法と併せて表示しても良い。

図８は、制御ルールデータ１１２に基づいたマルウェア通信の制御処理を示すフローチャートである。図８に示すように、制御プログラム１０８は、ＣＰＵ１０３により実行され、ステップ６０１で受信した、マルウェアの通信を送信した解析実行装置１１８と、制御ルールデータ１１２の解析実行装置ＩＤ４０１とを比較し、該当する制御ルールが存在すれば、ステップ８０２に進み、存在しなければ処理を終了する（ステップ８０１）。

制御プログラム１０８は、ステップ８０１で該当した制御ルールデータ１１２の送信元ポリシＩＤ４０２を取得し、取得した送信元ポリシＩＤ４０２と、制御ポリシデータ１１０のポリシＩＤ２０１とを比較し、該当する制御ポリシデータ１１０の制御方法２０３に基づき、マルウェアの通信制御を行なう（ステップ８０２）。

制御プログラム１０８は、ステップ８０１で該当した制御ルールデータ１１２の送信先ポリシＩＤ４０３を取得し、取得した送信先ポリシＩＤ４０３と、制御ポリシデータ１１０のポリシＩＤ２０１とを比較し、該当する制御ポリシデータ１１０の制御方法２０３に基づき、マルウェアの通信制御を行なう（ステップ８０３）。

制御プログラム１０８は、ステップ８０１で該当した制御ルールデータ１１２の内容ポリシＩＤ４０４を取得し、取得した内容ポリシＩＤ４０４と、制御ポリシデータ１１０のポリシＩＤ２０１とを比較し、該当する制御ポリシデータ１１０の制御方法２０３に基づき、マルウェアの通信制御を行なう（ステップ８０４）。

制御プログラム１０８は、ステップ８０１で該当した制御ルールデータ１１２のタイミングポリシＩＤ４０５を取得し、取得したタイミングポリシＩＤ４０５と、制御ポリシデータ１１０のポリシＩＤ２０１とを比較し、該当する制御ポリシデータ１１０の制御方法２０３に基づき、マルウェアの通信制御を行ない、処理を終了する（ステップ８０５）。

図９は、マルウェアの活動条件を表す表示画面の一例である。図９に示すように、マルウェアの活動条件表示画面は、マルウェアの活性度（図中９０１）と、当該活性度を示したマルウェアが稼動している解析実行装置１１８の情報（図中９０２）と、当該活性度を示したマルウェアの稼動条件の情報（図中９０３）の内容を含んで構成される。

解析実行装置１１８の情報は、解析実行装置データ１１１より取得し、表示する。稼動条件の情報は、制御ポリシデータ１１０の稼動条件２０４より取得し、表示する。

なお、活動条件表示画面には、活性度の高い、解析実行装置及び活動条件から表示する。この際、活性度がある閾値より高いものだけを表示しても良い。

ステップ７０１からステップ７０４及び、ステップ８０１からステップ８０５を含めたステップ６０１からステップ６０７までの処理の流れを、具体例を用いて説明する。例えば、「解析実行装置Ａ３」で実行した「マルウェアＡ」が、「２０１３／１１／２５ １２：００」に「ｈｔｔｐ：／／ｗｗｗ．ａａａ．ｃｏｍ／ｃｇｉ−ｂｉｎ／ｉｄ＝ｘｘｘｘｘ」へ接続したとする。

なお、本来であれば、解析実行装置郡１１４に含まれるすべての解析実行装置１１８で、同時にマルウェアを実行して、マルウェアの通信制御を行ないながら、マルウェアの活性度判定を行い、マルウェアが稼動する条件の特定を行なうが、ここでは、説明を簡単にするため、一つの解析実行装置（解析実行装置Ａ３１１８ｃ）に関して説明する。

制御プログラム１０８は、「解析実行装置Ａ３」で実行されたマルウェアが送信する通信を、ＩＦ１０２aを介してネットワーク１１７ａから受信する（ステップ６０１）。具体的には、「２０１３／１１／２５ １２：００」に、マルウェアの通信「ｈｔｔｐ：／／ｗｗｗ．ａａａ．ｃｏｍ／ｃｇｉ−ｂｉｎ／ｉｄ＝ｘｘｘｘｘ」を受信する。

制御プログラム１０８は、マルウェアの通信が発生した解析実行装置「解析実行装置Ａ３」の情報と、通信内容「ｈｔｔｐ：／／ｗｗｗ．ａａａ．ｃｏｍ／ｃｇｉ−ｂｉｎ／ｉｄ＝ｘｘｘｘｘ」の情報とを、活性度判定プログラム１０９に通知し、活性度判定処理を行なう。（ステップ６０２）。

活性度判定プログラム１０９は、通信内容「ｈｔｔｐ：／／ｗｗｗ．ａａａ．ｃｏｍ／ｃｇｉ−ｂｉｎ／ｉｄ＝ｘｘｘｘｘ」に含まれている接続先「ｗｗｗ．ａａａ．ｃｏｍ」が、新しい接続先かどうか判断する（ステップ７０１）。この時、「ｗｗｗ．ａａａ．ｃｏｍ」は新しい接続先であるため、ステップ７０３に進む。なお、「解析実行装置Ａ３」の接続先リストに、接続先「ｗｗｗ．ａａａ．ｃｏｍ」、通信内容「／ｃｇｉ−ｂｉｎ／ｉｄ＝ｘｘｘｘｘ」を格納する。

活性度判定プログラム１０９は、「解析実行装置Ａ３」で実行された「マルウェアＡ］の活性度を＋１する（ステップ７０３）。この時、「解析実行装置Ａ３」における「マルウェアＡ」の活性度は「１」となる。

活性度判定プログラム１０９は、マルウェアの活動条件を入出力装置１０６に出力して処理を終了する（ステップ７０４）。具体的には、活性度「１」を、「解析実行装置Ａ３」に該当する解析実行装置の情報を、解析実行装置データ１１１から取得し、取得した解析実行装置「ＶＭ、ＯＳＡ（３２bit）、文書閲覧ソフトｖｅｒ１０」を、「解析実行装置Ａ３」に該当する制御ルールを、制御ルールデータ１１２から取得し、取得した制御ルールに含まれる送信元ポリシＩＤ４０２、送信先ポリシＩＤ４０３、内容ポリシＩＤ４０４、タイミングポリシＩＤ４０５に該当する稼動条件を、制御ポリシデータ１１０より取得し、取得した稼動条件「企業ＡのＩＰアドレスで通信する、同じＩＰアドレスで同一ホストに通信しない」を、出力する。

制御プログラム１０８は、制御ポリシデータ１１０と、制御ルールデータ１１２と、に基づき、マルウェアの通信制御を行なう（ステップ６０３）。

具体的には、制御ルールデータ１１２から、解析実行装置ＩＤ４０１が「解析実行装置Ａ３」に該当する、送信元ポリシＩＤ４０２「１」、送信先ポリシＩＤ４０３「４」、内容ポリシＩＤ４０４「−」、タイミングポリシＩＤ４０５「−」を取得する。続いて、制御ポリシデータ１１０から、ポリシＩＤ２０１が「１」に該当する、制御方法２０３「送信元に企業ＡのＩＰアドレス（１０．０．０．１）を割り当てる」と、ポリシＩＤ２０１が「４」に該当する、制御方法２０３「２回目以降の同一ホストへの送信先をダミーサーバに変更する」との制御ポリシに従った通信制御を行なう（ステップ８０１〜８０５）。なお、この時、制御ルールデータ１１２から取得した内容ポリシＩＤ４０４及びタイミングポリシＩＤ４０５は、「−」であるため、内容と、タイミングの制御は行なわない。また、「２回目以降の同一ホストへの送信先をダミーサーバに変更する」の制御ポリシにある、２回目以降かどうかを判断するには、通信リストデータの通信情報を確認する。例では、ホスト「ｗｗｗ．ａａａ．ｃｏｍ」、パス「／ｃｇｉ−ｂｉｎ／ｉｄ＝ｘｘｘｘｘ」への通信は新規（１回目）の通信であるため、マルウェアの通信は、送信元ＩＰアドレスだけを変更して、「ｗｗｗ．ａａａ．ｃｏｍ」に送信されることになる。

制御プログラム１０８は、マルウェアの通信を監視し、インターネットへの接続があった場合はステップ６０５に進み、インターネットへの接続がなかった場合には、処理を終了する（ステップ６０４）。具体的には、「ｗｗｗ．ａａａ．ｃｏｍ」への接続があったため、ステップ６０５に進む。

制御プログラム１０８は、マルウェアの通信を監視し、通信リストデータ１１３を更新する（ステップ６０５）。具体的には、通信リストデータ１１３の、ホスト名５０１に「ｗｗｗ．ａａａ．ｃｏｍ」を、プロトコル５０２に「ＨＴＴＰ」を、パス５０３に「／ｃｇｉ−ｂｉｎ／ｉｄ＝ｘｘｘｘｘ」を、通信日時５０４に「２０１３／１１／２５ １２：００」を格納する。

制御プログラム１０８は、マルウェアの通信を監視し、インターネットから取得したデータ（情報）がある場合には、その内容を通信リストデータ１１３のデータ５０５に格納してステップ６０７に進み、インターネットから取得したデータがない場合には処理を終了する（ステップ６０６）。この時、「ａ．ｅｘｅ」の情報を取得してきたとすると、制御プログラム１０８は、取得した「ａ．ｅｘｅ」のデータを記憶装置１０５に格納し、そのファイル名を「ａ．ｅｘｅ」をデータ５０５に格納する。

制御プログラム１０８は、ステップ６０５で取得したデータ５０５「ａ．ｅｘｅ」を、ダミーサーバ１１５に配置し、処理を終了する（ステップ６０７）。これにより、ダミーサーバ１１５は、「ｈｔｔｐ：／／ｗｗｗ．ａａａ．ｃｏｍ／ｃｇｉ−ｂｉｎ／ｉｄ＝ｘｘｘｘｘ」に対する接続があった場合には、「ａ．ｅｘｅ」のデータを応答するようになる。

引き続き「解析実行装置Ａ３」の「マルウェアＡ」が、「２０１３／１１／２５ １２：１０」に「ｈｔｔｐ：／／ｗｗｗ．ａａａ．ｃｏｍ／ｃｇｉ−ｂｉｎ／ｆｉｌｅ＝ｘｘｘｘｘ」へ接続したとする。なお、この時、別の解析実行装置１１８が、「２０１３／１１／２５ １２：０５」に「ｈｔｔｐ：／／ｗｗｗ．ａａａ．ｃｏｍ／ｃｇｉ−ｂｉｎ／ｆｉｌｅ＝ｘｘｘｘｘ」へ接続していたとする。

制御プログラム１０８は、「解析実行装置Ａ３」で実行されたマルウェアが送信する通信を、ＩＦ１０２aを介してネットワーク１１７ａから受信する（ステップ６０１）。具体的には、「２０１３／１１／２５ １２：１０」に、マルウェアの通信「ｈｔｔｐ：／／ｗｗｗ．ａａａ．ｃｏｍ／ｃｇｉ−ｂｉｎ／ｆｉｌｅ＝ｘｘｘｘｘ」を受信する。

制御プログラム１０８は、マルウェアの通信が発生した解析実行装置「解析実行装置Ａ３」の情報と、通信内容「ｈｔｔｐ：／／ｗｗｗ．ａａａ．ｃｏｍ／ｃｇｉ−ｂｉｎ／ｆｉｌｅ＝ｘｘｘｘｘ」の情報とを、活性度判定プログラム１０９に通知し、活性度判定処理を行なう。（ステップ６０２）。

活性度判定プログラム１０９は、通信内容「ｈｔｔｐ：／／ｗｗｗ．ａａａ．ｃｏｍ／ｃｇｉ−ｂｉｎ／ｆｉｌｅ＝ｘｘｘｘｘ」に含まれている接続先「ｗｗｗ．ａａａ．ｃｏｍ」が、新しい接続先かどうか判断する（ステップ７０１）。この時、「ｗｗｗ．ａａａ．ｃｏｍ」は新しい接続先ではないため、ステップ７０２に進む。

活性度判定プログラム１０９は、データの内容が変化したかどうかの判断を行なう（ステップ７０２）。この時、通信内容「ｈｔｔｐ：／／ｗｗｗ．ａａａ．ｃｏｍ／ｃｇｉ−ｂｉｎ／ｆｉｌｅ＝ｘｘｘｘｘ」に含まれている「／ｃｇｉ−ｂｉｎ／ｆｉｌｅ＝ｘｘｘｘｘ」は、以前のデータ内容「／ｃｇｉ−ｂｉｎ／ｉｄ＝ｘｘｘｘｘ」と異なっているため、ステップ７０３に進む。

活性度判定プログラム１０９は、「解析実行装置Ａ３」で実行された「マルウェアＡ］の活性度を＋１する（ステップ７０３）。この時、「解析実行装置Ａ３」における「マルウェアＡ」の活性度は「２」となる。

活性度判定プログラム１０９は、マルウェアの活動条件を入出力装置１０６に出力して処理を終了する（ステップ７０４）。具体的には、活性度「２」を、解析実行装置「ＶＭ、ＯＳＡ（３２bit）、文書閲覧ソフトｖｅｒ１０」を、稼動条件「企業ＡのＩＰアドレスで通信する、同じＩＰアドレスで同一ホストに通信しない」を、出力する。

制御プログラム１０８は、制御ポリシデータ１１０と、制御ルールデータ１１２と、に基づき、マルウェアの通信制御を行なう（ステップ６０３）。

具体的には、制御ルールデータ１１２から、解析実行装置ＩＤ４０１が「解析実行装置Ａ３」に該当する、送信元ポリシＩＤ４０２「１」、送信先ポリシＩＤ４０３「４」、内容ポリシＩＤ４０４「−」、タイミングポリシＩＤ４０５「−」を取得する。続いて、制御ポリシデータ１１０から、ポリシＩＤ２０１が「１」に該当する、制御方法２０３「送信元に企業ＡのＩＰアドレス（１０．０．０．１）を割り当てる」と、ポリシＩＤ２０１が「４」に該当する、制御方法２０３「２回目以降の同一ホストへの送信先をダミーサーバに変更する」との制御ポリシに従った通信制御を行なう（ステップ８０１〜８０５）。

この時、通信リストデータ１１３の通信情報には、ホスト「ｗｗｗ．ａａａ．ｃｏｍ」、パス「／ｃｇｉ−ｂｉｎ／ｆｉｌｅ＝ｘｘｘｘｘ」への通信がすでに記録されているため、、マルウェアの通信は、送信元ＩＰアドレスの変更及び、送信先をダミーサーバ１１５に変更して送信されることになる。ダミーサーバ１１５では、マルウェア通信制御装置１０１から送信された「ｈｔｔｐ：／／ｗｗｗ．ａａａ．ｃｏｍ／ｃｇｉ−ｂｉｎ／ｆｉｌｅ＝ｘｘｘｘｘ」の通信を受信すると、ダミーサーバに格納された「ｘｘｘ．ｅｘｅ」のファイル情報を、「解析実行装置Ａ３」に応答する。

制御プログラム１０８は、マルウェアの通信を監視し、インターネットへの接続があった場合はステップ６０５に進み、インターネットへの接続がなかった場合には、処理を終了する（ステップ６０４）。具体的には、ダミーサーバ１１５への接続であったため、処理を終了する。

このように、本実施例では、同じマルウェアに対して、解析実行装置郡１１４に存在する、複数の解析実行装置１１８を用いて、同時並行的にマルウェアを実行し、制御ルールデータ１１２及び制御ポリシデータ１１０に基づいたマルウェアの通信制御を行い、解析実行装置１１８毎にマルウェアの活性度を判定する。これによって、マルウェアがどのような条件で稼働するか特定することが可能となる。

なお、本実施例の一部を変更して、次のように実施しても良い。マルウェア通信制御装置と、ダミーサーバを一つの装置で実現しても良い。これにより、ハードウェアを複数用意する必要がなくなり、設置面積を節約することが可能となる。

また、本実施例では、活性度として、新規のホストに接続した場合、或いは、データの内容が変化した場合に活性度を＋１したが、ポート番号の変化や、通信パターン（通信の間隔等）が変化した場合に活性度を＋１しても良い。さらに、活性度を重み付けしても良い。これにより、柔軟なマルウェア活性度の判定が可能となる。

また、解析実行装置に、内部資源の変化（レジストリ操作や、メモリ操作、ファイル操作等）を監視するセンサを導入し、内部資源の変化の大きさに応じて活性度を＋１しても良い。これにより、通信が発生しないマルウェアに関しても、どの解析実行装置で活発に活動したかを判定することが可能となる。

また、活性度が低い場合の稼動条件を表示しても良い。これにより、マルウェアが活動しない場合の稼動条件を特定することが可能となる。

また、本実施例では、複数の解析実行装置を同時に実行し、マルウェアの稼動条件を特定する方法を説明したが、ある一つの解析実行装置でマルウェアの実行を行い、マルウェアが活性化した（活性度がある閾値を超えた）場合に、マルウェアの実行を終了し、解析実行装置及び、制御方法を変更して、再度解析を行っても良い。これにより、少ない解析実行装置でもマルウェアの稼動条件を特定することが可能となる。

また、同一マルウェアを複数回解析しても良い。これにより、解析のタイミングによって挙動が異なるマルウェアの稼動条件を特定することが可能となる。

本実施例は、実施例１に係るマルウェア通信制御装置１０１を含み、さらに外部への攻撃を最小限に抑えるための抑制制御を行なうマルウェア通信制御装置である。

実施例１では、マルウェアが活発に活動するようにするため、マルウェアの通信を制御しながら、インターネット接続を行なった。しかし、例えば、マルウェアの通信がインターネット上のサーバに対して攻撃を行なってしまうと、不正アクセスを行なってしまい、社会的信用の失墜や、刑事処罰されてしまう恐れもある。そこで、実施例２では、外部への攻撃を抑制する、抑制制御処理を備えたマルウェア通信制御装置を説明する。これにより、外部への攻撃を抑制しながらも、マルウェアが活発に活動する条件を特定することが可能となる。

図１０は、本実施例におけるマルウェア通信制御装置のハードウェア構成の例である。実施例１と同一の構成要素には同一の符号を付すことによってその説明を省略し、以下では、実施例１と異なる点を中心に説明する。

図１０に示すように、実施例２に係るマルウェア通信制御装置１００１は、既に説明した実施例１のマルウェア通信制御装置１０１に、制御プログラム１００２と、抑制ポリシデータ１００３と、抑制ルールデータ１００４と、ホストリストデータ１００５と、を含んで構成される。なお、実施例１においても制御プログラム１０８が存在するが、実施例２での制御プログラム１００２とは一部処理が異なるため、ここでは新たな符号を付した。

ＣＰＵ１０３は、メインメモリ１０４に格納された制御プログラム１００２を実行することにより、外部への攻撃を抑制した制御処理を行う。記憶装置１０５には、外部への攻撃を抑制するポリシを示す抑制ポリシデータ１００３と、解析実行装置１１８ごとの抑制ルールを示す抑制ルールデータ１００４と、ホストのグルーピングを示すホストリストデータ１００５と、が格納されている。

上記の各プログラムやデータは、あらかじめメインメモリ１０４または記憶装置１０５に格納されていても良いし、必要な時に、入出力装置１０６からまたは、ＩＦ１０２を介して他の装置から、インストール（ロード）されても良い。

図１１は、抑制ポリシデータ１００３の一例を示す図である。図１１に示すように、抑制ポリシデータ１００３は、ポリシＩＤ１１０１と、抑制ポリシ１１０２と、制御方法１１０３と、を含んで構成される。

抑制ポリシＩＤ１１０１は、抑制ポリシを一意に識別できる情報（識別子）を表す。

抑制ポリシ１１０２は、どのようなポリシでマルウェアの通信を抑制するかを表す。

制御方法１１０３は、抑制ポリシ１１０２を実現するための制御方法を表す。

図１１を用いて具体的に説明する。例えば、抑制ポリシＩＤ１１０１が「１」、抑制ポリシ１１０２が「外部への通信を禁止」、制御方法１１０３が「通信をダミーサーバに転送」の抑制ポリシは、「外部への通信を禁止」するために、「通信をダミーサーバへ転送」という制御を行なうことを表す。これにより、インターネット向けの通信はすべてダミーサーバへ転送されるようになるため、外部への通信はなくなり、攻撃を抑制することができる。

なお、抑制ポリシデータ１００３の各情報は、管理者が必要に応じて、入力または更新しても良い。

抑制ポリシデータ１００３は、ＣＰＵ１０３により実行される制御プログラム１００２が、マルウェアの通信を抑制する際に利用される。制御プログラム１００２の具体的な処理については、図１４を用いて後述する。

図１２は、抑制ルールデータ１００４の一例を示す図である。図１２に示すように、抑制ルールデータ１００４は、制御ＩＤ１２０１と、解析実行装置ＩＤ１２０２と、送信先１２０３と、プロトコル１２０４と、抑制ＩＤ１２０５と、を含んで構成される。

制御ＩＤ１２０１は、制御ルールを一意に識別できる情報（識別子）を表す。

解析実行装置ＩＤ１２０２は、マルウェアの通信が、どの解析実行装置１１８から送信されてきたのかを表す。なお、解析実行装置ＩＤ１２０２が「ＡＮＹ」の場合は、すべての解析実行装置１１８が該当する。

送信先１２０３は、マルウェアの通信が、どのホストに向けて送信されたのかを表す。なお、送信先１２０３が「ＡＮＹ」の場合は、すべてのホストに該当する。なお、送信先１２０３には、図１３を用いて後述する、ホストリストデータ１００５のリスト名１３０１を格納しても良い。

プロトコル１２０４は、マルウェアの通信のプロトコルを表す。

抑制ＩＤ１２０５は、どの抑制ポリシに基づき制御するのかを表す。抑制ＩＤ１２０５は、抑制ポリシデータ１００３の抑制ＩＤ１１０１の情報が格納される。なお、抑制ＩＤが「−」の場合は、抑制を行わないことを表す。

図１２を用いて具体的に説明する。例えば、制御ポリシＩＤ１２０１が「２」、解析ＩＤ１２０２が「解析実行装置Ａ１」、送信先１２０３が「ＡＮＹ」、プロトコル１２０４が「ＨＴＴＰ」、抑制ＩＤ１２０５が「１」の抑制ルールは、マルウェア通信の送信元が「解析実行装置Ａ１」、送信先が「ＡＮＹ」、プロトコルが「ＨＴＴＰ」の通信は、「外部への通信が禁止」の抑制ポリシであり、「通信をダミーサーバへ転送」という制御を行なうことを表す。

抑制ルールデータ１００４と、抑制ポリシデータ１００３を用いることで、解析実行装置１１８のマルウェア通信を抑制することが可能となる。

例えば、抑制ルールデータ１００４の制御ＩＤ１２０１が「１、２、３」の抑制ルールを用いれば、「解析実行装置Ａ１」から送信されるマルェアの通信に関して、ＤＮＳ通信は制御を行わず、ＨＴＴＰ通信はダミーサーバへ転送し、それ以外の通信は許可しない（遮断する）、という抑制制御を行うことが可能となる。

また、抑制ルールデータ１００４の制御ＩＤ１２０１が「１１、１２、１３」の抑制ルールを用いれば、「解析実行装置Ａ２」から送信されるマルウェアの通信に関して、宛先ホストが「ホワイトリスト＿Ｂ」に一致した場合は許可し、宛先ホストが「ブラックリスト＿Ｂ」に一致した場合は遮断し、それ以外の通信は許可しない、という抑制制御を行うことが可能となる。

さらに、抑制ルールデータ１００４の制御ＩＤ１２０１が「２１、２２」の抑制ルールを用いれば、「解析実行装置Ａ３」から送信されるマルェアの通信に関して、ＨＴＴＰ通信の場合は、ＰＯＳＴ制限と、帯域制限を実施したうえで許可し、それ以外の通信はダミーサーバに転送する、という抑制制御を行うことが可能となる。

なお、抑制ルールデータ１００４の各情報は、管理者が必要に応じて、入力または更新しても良い。

抑制ルールデータ１００４は、ＣＰＵ１０３により実行される制御プログラム１００２が、マルウェアの通信を抑制する際に利用される。制御プログラム１００２の具体的な処理については、図１４を用いて後述する。

図１３は、ホストリストデータ１００５の一例を示す図である。図１３に示すように、ホストリストデータ１００５は、リスト名１３０１と、ホスト１３０２と、を含んで構成される。

リスト名１３０１は、ホストリストを識別できる情報（識別子）を表し、ホスト１３０２は、リスト名１３０１に含まれるホストを表す。

図１３を用いて具体的に説明する。例えば、リスト名１３０１が「ホワイトリスト＿Ｂ」に含まれるホスト１３０２は、「ｗｗｗ．ａａａ．ｃｏｍ」と「ｗｗｗ．ｂｂｂ．ｖｏｍ」であり、リスト名１３０１が「ブラックリスト＿Ｂ」に含まれるホスト名１３０２は、「ｗｗｗ．ｍａｌｗａｒｅ．ｃｏｍ」と、「ｗｗｗ．ｓｐｙｗａｒｅ．ｃｏｍ」である。

なお、ホストリストデータ１００５の各情報は、管理者が必要に応じて、入力または更新しても良い。

ホストリストデータ１００５は、ＣＰＵ１０３により実行される制御プログラム１００２が、マルウェアの通信を抑制する際に利用される。制御プログラム１００２の具体的な処理については、図１４を用いて後述する。

続いて、マルウェア通信制御装置１００１の制御プログラム１００２が、抑制制御を行う処理について説明する。なお、本実施例の抑制制御処理は、実施例１における制御処理（ステップ６０３）と、インターネットアクセス判定処理（ステップ６０４）の間で行われる処理である。以下では、抑制制御処理を中心に説明する。

図１４は、制御プログラム１００２の抑制制御を示すフローチャートである。図１４に示すように、制御プログラム１００２は、解析実行装置１１８から送信されたマルウェア通信データから、マルウェア通信の「送信元」と、マルウェア通信の「送信先」と、マルウェア通信の「プロトコル」と、を取得し、抑制ルールデータ１００４の、解析実行装置ＩＤ１２０２と、送信先１２０３と、プロトコル１２０４とを、比較し、該当する抑制ルールが存在すると、ステップ１４０２を繰り返し、処理を終了する（ステップ１４０１）。

制御プログラム１００２は、ステップ１４０１で該当した、抑制ルールデータ１００４の抑制ＩＤ１２０５と、抑制ポリシデータ１００３の抑制ＩＤ１１０１とを比較し、該当する抑制ポリシが存在すれば、当該抑制ポリシの制御方法１１０３に基づき、抑制制御処理を行う（ステップ１４０２）。

ステップ１４０１からステップ１４０３までの処理の流れを、具体例を用いて説明する。例えば、「解析実行装置Ａ１」で「マルウェアＡ」を実行し、インターネット上に存在するＤＮＳサーバ「１００．０．０．１」にＤＮＳ通信が、インターネット上に存在するＨＴＴＰサーバ「１００．０．０．２」にＨＴＴＰ通信が、が発生したとする。

まず、ＤＮＳ通信をマルウェア通信制御装置１００１が受信した場合、制御プログラム１００２は、マルウェア通信から、送信元「解析実行装置Ａ１」、送信先「１００．０．０．１」、プロトコル「ＤＮＳ」の情報を取得し、抑制ルールデータ１００４と比較する。この時、抑制ルールデータ１００４の制御ＩＤ１２０１が「１」、解析実行装置ＩＤ１２０２が「解析実行装置Ａ１」、送信先１２０３が「ＡＮＹ」、プロトコル１２０４が「ＤＮＳ」、抑制ＩＤ１２０５が「−」の抑制ルールが該当するため、ステップ１４０２に進む（ステップ１４０１）。

制御プログラム１００２は、ステップ１４０１で該当した抑制ルールの制御ＩＤ１２０５のデータを取得し、制御処理を行う（ステップ１４０２）。この時、該当する制御ＩＤ１２０５は「−」であるため、制御処理を行わずに処理を終了する。

次に、ＨＴＴＰ通信をマルウェア通信制御装置１００１が受信した場合、制御プログラム１００２は、マルウェア通信から、送信元「解析実行装置Ａ１」、送信先「１００．０．０．２」、プロトコル「ＨＴＴＰ」の情報を取得し、抑制ルールデータ１００４と比較する。この時、抑制ルールデータ１００４の制御ＩＤ１２０１が「２」、解析実行装置ＩＤ１２０２が「解析実行装置Ａ１」、送信先１２０３が「ＡＮＹ」、プロトコル１２０４が「ＨＴＴＰ」、抑制ＩＤ１２０５が「１」の抑制ルールが該当するため、ステップ１４０２に進む（ステップ１４０１）。

制御プログラム１００２は、ステップ１４０１で該当した抑制ルールの制御ＩＤ１２０５のデータを取得し、制御処理を行う（ステップ１４０２）。この時、該当する制御ＩＤ１２０５「１」と、抑制ポリシデータ１００３の抑制ＩＤ１１０１と、を比較し、該当する抑制ポリシの制御方法１１０３を実行する。具体的には、抑制ＩＤ１１０１が「１」、抑制ポリシ１１０２が「外部への通信を禁止」、制御方法１１０３が、「通信をダミーサーバへ転送」に該当するため、「通信をダミーサーバへ転送」する抑制制御処理を行う。

このように、制御プログラム１００２が、抑制ルールデータ１００４と、抑制ポリシデータ１００３に基づいて、マルウェア通信の抑制制御を行うことで、外部への攻撃を抑制しつつ、マルウェアが稼働する条件を特定することが可能となる。

なお、本実施例の一部を変更して、次のように実施しても良い。ＦＷ（ＦｉｒｅＷａｌｌ）や認証付プロキシ等の外部のセキュリティ対策装置と組み合わせて利用しても良い。これにより、マルウェア通信制御装置の負荷を分散することが可能となる。

また、マルウェアの通信以外の通信に関しても、抑制制御処理しても良い。これにより、マルウェアの通信以外の通信に関しても、抑制ポリシに基づいた制御処理を行うことが可能となる。

また、複数の抑制ポリシを纏めて、抑制ポリシテンプレートとして保持しておいても良い。これにより、抑制ポリシテンプレートの中から、選択するだけで、抑制ポリシに従った抑制制御処理を行うことが可能となり、管理者の負担が軽減される。

また、活性度に応じて制御ルールデータや抑制ルールデータを変更し、解析を行っても良い。例えば、一度目の解析では、通信先をダミーサーバに転送し解析を行う。この時の活性度がある閾値以上であれば、抑制ルールデータのホワイトリストに当該通信先を追加し、再度解析を行う。これにより、インターネットから新たな検体をダウンロードして実行するマルウェアの解析を行うことが可能となる。

また、本発明は、上記実施形態そのままに限定されるものではなく、実施段階ではその要旨を逸脱しない範囲で構成要素を変形して具体化することができる。また、上記実施形態に開示されている複数の構成要素の適宜な組み合わせにより、種々の発明を形成することができる。例えば、実施形態に示される全構成要素からいくつかの構成要素を削除しても良い。さらに、異なる実施形態にわたる構成要素を適宜組み合わせても良い。

１０１：マルウェア通信制御装置
１０８：制御プログラム
１０９：活性度判定プログラム
１１０：制御ポリシデータ
１１１：解析実行装置データ
１１２：制御ルールデータ
１１３：通信リストデータ
１１５：ダミーサーバ
１１６：インターネット
１１８：解析実行装置
１００３：抑制ポリシデータ
１００４：抑制ルールデータ
１００５：ホストリストデータ

Claims (14)

1. マルウェアが実行された解析実行装置から、送信元、送信先、内容の情報を含む前記マ
   ルウェアの通信情報を受信する受信部と、
   受信された前記マルウェアの通信情報に基づいて、前記マルウェアの活性度を判定する
   活性度判定部と、
   制御ポリシに基づいて、前記マルウェアの通信情報または、通信タイミングを制御する
   制御部と、を備える
   ことを特徴とするマルウェア通信制御装置。
2. 請求項１に記載のマルウェア通信制御装置であって、
   前記活性度判定部は、前記解析実行装置において実行した前記マルウェアが稼働したか
   否かを判定することによって前記マルウェアの前記活性度を判定する
   ことを特徴とするマルウェア通信制御装置。
3. 請求項２に記載のマルウェア通信制御装置であって、
   更に表示部を備え、
   前記表示部が、前記活性度判定部が前記マルウェアが稼働したと判定した場合に、前記
   マルウェアが稼働した稼働条件を表示する
   ことを特徴とするマルウェア通信制御装置。
4. 請求項３に記載のマルウェア通信制御装置であって、
   前記解析実行装置から受信した前記マルウェアの通信をインターネットに送信し、
   前記インターネットから前記マルウェアの通信に対する応答があった際に、
   前記応答をダミーサーバに格納する通信制御を行う、
   ことを特徴とするマルウェア通信制御装置。
5. 請求項４に記載のマルウェア通信制御装置であって、
   前記受信部は、複数の解析実行装置から夫々の解析実行装置で実行された前記マルウェ
   アの通信を受信し、
   前記活性度判定部は、前記解析実行装置ごとに活性度の判定を行い、
   前記制御部は、それぞれの前記解析実行装置ごとに、前記マルウェアの通信情報を制御
   する
   ことを特徴とするマルウェア通信制御装置。
6. 請求項５に記載のマルウェア通信制御装置であって、
   前記受信部は、複数の解析実行装置から、解析実行装置で実行された前記マルウェアの
   通信を受信し、
   前記活性度判定部は、前記解析実行装置ごとに前記マルウェアが稼働したかどうかを、
   前記マルウェアの前記通信から判定する、
   ことを特徴とするマルウェア通信制御装置。
7. 請求項６に記載のマルウェア通信制御装置であって、
   前記受信部は、前記解析実行装置と、構成の異なる複数の解析実行装置で実行された前
   記マルウェアの通信を受信し、
   前記制御部は、前記解析実行装置毎に異なる通信制御を行い、
   前記活性度判定部は、前記解析実行装置毎に前記マルウェアが稼働したかどうかを、前
   記マルウェアの前記通信から判断し、
   前記表示部は、前記マルウェアの活動条件を、前記解析実行装置の前記構成と、前記制
   御部により前記解析実行装置毎に行われた通信制御の方法と併せて表示する
   ことを特徴とするマルウェア通信制御装置。
8. マルウェア通信制御装置が実行するマルウェア通信制御方法であって、
   受信部が、マルウェアが実行された解析実行装置から、送信元、送信先、内容の情報を
   含む前記マルウェアの通信情報を受信し、
   活性度判定部が、受信された前記マルウェアの通信情報に基づいて、前記マルウェアの
   活性度を判定し、
   制御部が、制御ポリシに基づいて、前記マルウェアの通信情報または、通信タイミング
   を制御する
   ことを特徴とするマルウェア通信制御方法。
9. 請求項８に記載のマルウェア通信制御方法であって、
   前記活性度判定部は、前記解析実行装置において実行した前記マルウェアが稼働したか
   否かを判定することによって前記マルウェアの前記活性度を判定する
   ことを特徴とするマルウェア通信制御方法。
10. 請求項９に記載のマルウェア通信制御方法であって、
    表示部が、前記活性度判定部が前記マルウェアが稼働したと判定した場合に、前記マル
    ウェアが稼働した稼働条件を表示する
    ことを特徴とするマルウェア通信制御方法。
11. 請求項１０に記載のマルウェア通信制御方法であって、
    前記解析実行装置から受信した前記マルウェアの通信をインターネットに送信し、
    前記インターネットから前記マルウェアの通信に対する応答があった際に、
    前記応答をダミーサーバに格納する通信制御を行う、
    ことを特徴とするマルウェア通信制御方法。
12. 請求項１１に記載のマルウェア通信制御方法であって、
    前記受信部は、複数の解析実行装置から夫々の解析実行装置で実行された前記マルウェ
    アの通信を受信し、
    前記活性度判定部は、前記解析実行装置ごとに活性度の判定を行い、
    前記制御部は、それぞれの前記解析実行装置ごとに、前記マルウェアの通信情報を制御
    する
    ことを特徴とするマルウェア通信制御方法。
13. 請求項１２に記載のマルウェア通信制御方法であって、
    前記受信部は、複数の解析実行装置から、解析実行装置で実行された前記マルウェアの
    通信を受信し、
    前記活性度判定部は、前記解析実行装置ごとに前記マルウェアが稼働したかどうかを、
    前記マルウェアの前記通信から判定する、
    ことを特徴とするマルウェア通信制御方法。
14. 請求項１３に記載のマルウェア通信制御方法であって、
    前記受信部は、前記解析実行装置と、構成の異なる複数の解析実行装置で実行された前
    記マルウェアの通信を受信し、
    前記制御部は、前記解析実行装置毎に異なる通信制御を行い、
    前記活性度判定部は、前記解析実行装置毎に前記マルウェアが稼働したかどうかを、前
    記マルウェアの前記通信から判断し、
    前記表示部は、前記マルウェアの活動条件を、前記解析実行装置の前記構成と、前記制
    御部により前記解析実行装置毎に行われた通信制御の方法と併せて表示する
    ことを特徴とするマルウェア通信制御方法。

Images