JP6314036B2 - マルウェア特徴抽出装置、マルウェア特徴抽出システム、マルウェア特徴方法及び対策指示装置 - Google Patents

Description

本発明は、マルウェア特徴抽出装置、マルウェア特徴抽出システム、マルウェア特徴方法及び対策指示装置に関する。

近年、標的型攻撃等の新たなサイバー攻撃が増加しており、その攻撃に使われるマルウェアも益々高度化・巧妙化している。従来からマルウェアの挙動を解析するにはリバースエンジニアリングによる静的解析や、実際にマルウェアを実行して挙動を観測する動的解析などが行われてきた。静的解析はマルウェアを逆アセンブルしたコードを１つ１つ読み解く必要があり、非常にコストのかかる作業であった。一方、動的解析はマルウェアを実際に実行させて得られたログを解析することによって静的解析のような作業量を節減することができる。マルウェアを動作させその挙動を観測する技術、そして予め正常なファイルを標準状態として保持しておき、マルウェア動作後に変化させることによってマルウェア感染を検知する技術が特許文献１に開示されている。

特開２００４−３８２７３号公報

しかしながら、近年では解析環境のＯＳや導入アプリケーションの複雑化によってマルウェア以外の挙動が増え、ログの量も増加傾向にあり、マルウェア本来の挙動がその中に埋もれてしまう問題があった。

本発明の目的は、マルウェアを動的解析して得られたログから、マルウェア本来の挙動を効果的に抽出することができるマルウェア特徴抽出装置、マルウェア特徴抽出システム、マルウェア特徴方法及び対策指示装置を提供することにある。

上記課題を解決するための本発明の主たる発明は、マルウェア特徴抽出システムであって、マルウェアの入力を受け付けるマルウェア受付部と、前記マルウェアでないファイルである正規ファイルを実行し、または前記正規ファイルに関係づけられたプログラムを実行することにより得られるログである正規ファイル解析ログを記憶する正規ファイル解析ログ記憶部と、前記マルウェアを実行し、または前記マルウェアに関係づけられたプログラムを実行する実行環境と、前記実行環境より得られるマルウェア解析ログを取得するログ取得部と、前記マルウェア解析ログ及び正規ファイル解析ログを比較し、前記マルウェア解析ログのうち前記正規ファイル解析ログに含まれないものを前記マルウェアに関するブラックログして抽出するブラックログ抽出部と、を備えることとする。

その他本願が開示する課題やその解決方法については、発明の実施形態の欄及び図面により明らかにされる。

マルウェアを動的解析して得られたログから、マルウェア本来の挙動を効果的に抽出することができる。

マルウェア特徴抽出システムの一構成例を示す図である。 検体投入装置の構成の一例を示す図である。 上段は検体受付ＤＢの一例を示す図である。中段は正規ファイル管理ＤＢの一例を示す図であり、（ａ）は正規ファイル管理ＤＢに格納されたファイル種別特徴情報の一例を示す図であり、（ｂ）は正規ファイル管理ＤＢに格納された正規ファイルストアの一例を示す図である。下段は解析要求ＤＢの一例を示す図である。 動的解析装置の構成の一例を示す図である。 ログ管理ＤＢの一例を示す図であり、（ａ）はログ管理ＤＢに格納された解析環境の一例を示す図であり、（ｂ）はログ管理ＤＢに格納された解析ログの一例を示す図である。 上段はログ管理ＤＢに格納された、検体を動的解析することによって得られた解析ログ情報の一例を示す図である。下段はログ管理ＤＢに格納された、正規ファイルを動的解析することによって得られた解析ログ情報の一例を示す図である。 マルウェア特徴抽出装置の構成の一例を示す図である。 比較用ＤＢの一例を示す図であり、（ａ）は比較用ＤＢに格納されたアクション同一視ルールの一例を示す図であり、（ｂ）は比較用ＤＢに格納されたデータ同一視ルールの一例を示す図であり、（ｃ）は比較用ＤＢに格納された比較時の誤差許容ルールの一例を示す図である。 上段はブラックログＤＢの一例を示す図である。下段はホワイトログＤＢの一例を示す図である。 対策指示装置の構成の一例を示す図である。 上段は対策ポリシＤＢの一例を示す図である。中段は対策ルールＤＢの一例を示す図である。下段は対策装置管理ＤＢの一例を示す図である。 検体投入プログラム、及び正規ファイル生成プログラムにおける処理の流れを示す図である。 ログ収集プログラム、及びログ比較プログラムにおける処理の流れを示す図である。 対策ルール生成プログラム、及び対策指示プログラムにおける処理の流れを示す図である。 本実施形態のマルウェア特徴抽出システム、対策指示装置、対策システムの動作の一例を示す図である。

本発明を実施するための最良の形態（以降、「実施形態」という）に係るマルウェア特徴抽出システムについて、適宜図面を用いながら詳細に説明する。以下では、便宜上、各アプリケーションプログラムを実行主体として説明する。すなわち、アプリケーションプログラムがある処理を行うと説明した場合には、そのアプリケーションプログラムをコンピュータ（後述する検体投入装置１１、動的解析装置１２及び１３、マルウェア特徴抽出装置１４、対策指示装置２１、対策装置３１、ならびに検知装置３２などが該当する。）が実行することにより実現される機能としてその処理が行われることをいうものとする。

マルウェアとは、悪意を持って作成された不正な活動を行うための脅威の総称である。マルウェアが単独で実行可能な不正プログラムをワームといい、他の実行プログラムを利用して不正な活動を行う不正プログラムをウイルスという。なお、マルウェアはワームおよびウイルス以外にもスパイウェアやアドウェアなど様々な呼称を有する。

本実施形態のマルウェア特徴抽出システム１０は、マルウェアの検体を解析した結果得られたログから検体の特徴を抽出しようとするものである。図１は、マルウェア特徴抽出
システム１０の一構成例を示す図である。マルウェア特徴抽出システム１０は、マルウェアの特徴から対策を指示する対策指示装置２１と通信可能に接続され、対策指示装置２１は、対策指示を受けて対策を実施するマルウェア対策システム３０と通信可能に接続される。

図１において、マルウェア特徴抽出システム１０は、検体投入装置１１、動的解析装置１２及び１３、ならびにマルウェア特徴抽出装置１４を含んで構成される。また、マルウェア対策システム３０は、対策装置３１及び検知装置３２を含んで構成される。なお、動的解析装置１２及び１３は、図１には２つしか記載していないが、３つ以上あっても構わない。また、動的解析装置１２及び１３は同じ構成であり、以降の実施形態の中で入れ替えて構成しても構わない。

検体投入装置１１は、動的解析装置１２及び１３とそれぞれ接続され、マルウェアである検体を動的解析装置１２に投入して実行させ、マルウェアでないファイル（以下、正規ファイルという。）を動的解析装置１３に投入して実行させる装置である。検体投入装置得１１は、検体投入プログラム１１１及び正規ファイル生成プログラム１１２を保有する。検体投入プログラム１１１は、解析したい検体（マルウェア）を動的解析装置１２に送信する。正規ファイル生成プログラム１１２は、投入された検体と同じ種別の正規ファイルを生成して動的解析装置１３に送信する。検体投入装置１１は、検体や検体の入手状況に関する検体受付情報と、正規ファイルを生成、保管する正規ファイル管理情報と、解析の解析要求状況に関する解析要求情報とを保有する。

動的解析装置１２は、プログラムの実行環境を提供する装置である。動的解析装置１２は、検体投入装置１１と、マルウェア特徴抽出装置１４とにそれぞれ接続され、検体投入装置１１から投入された検体を実行してログを取り、このログをマルウェア特徴抽出装置１４に送る。以下の説明において、「検体を実行する」とは、プログラムである検体を実行することに加え、ファイルである検体をそのファイルの種類に関連付けられているプログラムに実行させることも含む。動的解析装置１２は、検体実行プログラム１２１及びログ取得プログラム１２２を保有する。検体実行プログラム１２１は、検体投入装置１１から検体を受信し、検体を実行する。ログ取得プログラム１２２は、検体の挙動を観測し、観測結果を解析ログとして取得する。

動的解析装置１３は、プログラムの実行環境を提供する装置である。動的解析装置１３は、検体投入装置１１と、マルウェア特徴抽出装置１４とにそれぞれ接続され、検体投入装置１１から投入された正規ファイルを実行してログを取り、このログをマルウェア特徴抽出装置１４に送る装置である。以下の説明において、「正規ファイルを実行する」とは、プログラムである正規ファイルを実行することに加え、ファイルである正規ファイルをそのファイルの種類に関連付けられているプログラムに実行させることも含む。動的解析装置１３は、検体実行プログラム１３１及びログ取得プログラム１３２を保有する。検体実行プログラム１３１は、検体投入装置１１から正規ファイルを受信し、正規ファイルを実行する。ログ取得プログラム１３２は、正規ファイルの挙動を観測し、観測結果を解析ログとして取得する。

マルウェア特徴抽出装置１４は、動的解析装置１２及び１３と対策指示装置２１とにそれぞれ接続され、マルウェアに関するログを特定して対策指示装置２１に提供する装置である。マルウェア特徴抽出装置１４は、ログ収集プログラム１４１及びログ比較プログラム１４２を保有する。ログ収集プログラム１４１は、動的解析装置１２及び１３のそれぞれが取得した解析ログを収集する。ログ比較プログラム１４２は、動的解析装置１２の解析ログと、動的解析装置１３の解析ログとを比較し共通するログを、マルウェアとは関係しないログ（以下、ホワイトログという。）として保存し、動的解析装置１２の解析ログ
にのみに記録された点をマルウェアに関するログ（以下、ブラックログという。）として保存する。さらに、マルウェア特徴抽出装置１４は対策指示装置２１と接続され、ブラックログを対策指示装置２１に渡す。マルウェア特徴抽出装置１４は、２つ以上の解析ログを比較するための比較条件を定義した比較用情報、ブラックログ及びホワイトログ等を保有する。

対策指示装置２１は、マルウェア特徴抽出システム１０のマルウェア特徴抽出装置１４と対策装置３１及び検知装置３２とにそれぞれ接続され、脅威に対する対策ルールを生成し、対策装置３１及び検知装置３２に指示を行う装置である。対策指示装置２１は、対策ルール生成プログラム２１１及び対策指示プログラム２１２を保有する。対策ルール生成プログラム２１１は、マルウェア特徴抽出装置１４の保有するブラックログを取得して予め設定された対策ポリシ情報及び対策装置管理情報に基づいて対策ルールを生成する。対策指示プログラム２１２は、対策装置３１及び検知装置３２に対策ルールを適用するための対策指示を送信する。

対策装置３１は、ＷｅｂＰｒｏｘｙやＦＷ（ファイアウォール）、ＩＤＰ（不正侵入予防システム）等のセキュリティ対策を行う装置である。対策装置３１は、対策指示装置２１の対策指示を受けて通信の制限（遮断、帯域制限、経路変更、認証追加）等を行う。なお、対策装置３１によるセキュリティ対策には公知の技術を用いることができる。

検知装置３２は、ＩＤＳ（不正侵入検知装置）やＩＤＰ（不正侵入予防システム）、ウイルス検知装置等のセキュリティ対策を行う装置である。検知装置３２は、対策指示装置２１の対策指示を受けて異常の検知や、アラートの発信を行う。なお、検知装置３２によるセキュリティ対策には公知の技術を用いることができる。

なお、図１において、各ブロック（１１〜３２）間を結ぶ実線は、検体の投入、ログの取得、マルウェアの特徴の取得、または対策指示に関わる通信パケットの伝達経路を示している。

次に、検体投入装置１１の構成について図２を用いて説明する。図２は検体投入装置の構成の一例を示す図である。

検体投入装置１１は、演算部１１０１、メモリ１１０２、入力部１１０３、表示部１１０４、通信部１１０５、及び記憶部１１０６を含むコンピュータ上に実現することができる。

演算部１１０１は、検体投入装置１１の各部（１１０２〜１１０６）の制御、及び各部（１１０２〜１１０６）間の情報の伝達を司る。演算部１１０１は、例えば、演算処理を実行するＣＰＵ（Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）である。そして、このＣＰＵが主記憶装置であるメモリ１１０２に、以下に説明するアプリケーションプログラムを展開して、それを実行することにより、以下に説明する処理を具現化する。メモリ１１０２は、ＲＡＭ（Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）により実現される。なお、アプリケーションプログラムは、記憶部１１０６に格納されている。

各アプリケーションプログラムは、予め記憶部１１０６に格納されていても良いし、必要なときに、図示しない外部インタフェースや通信部１１０５と、当該検体投入装置１１が利用可能な媒体を介して、他の装置から記憶部１１０６に導入されてもよい。媒体とは、たとえば、外部インタフェースに着脱可能な記憶媒体、または通信媒体（すなわち有線、無線、光などのネットワーク、または当該ネットワークを伝搬する搬送波やディジタル信号）を指す。

入力部１１０３は、キーボードやマウスなどであり、検体投入装置１１を操作する操作者などによる情報入力などを受け付ける。

表示部１１０４は、ＣＲＴ（Ｃａｔｈｏｄｅ Ｒａｙ Ｔｕｂｅ）やＬＣＤ（Ｌｉｑｕｉｄ Ｃｒｙｓｔａｌ Ｄｉｓｐｌａｙ）などであり、入力を促す画面や、演算結果を確認する画面などを表示する。

通信部１１０５は、マルウェア特徴抽出システム１０内の各部（１２、１３、１４）（図１参照）との間で情報を送受信する。

記憶部１１０６は、検体投入プログラム１１１、正規ファイル生成プログラム１１２、検体受付ＤＢ１１３、正規ファイル管理ＤＢ１１４、及び解析要求ＤＢ１１５を記憶している。なお、検体投入プログラム１１１、及び正規ファイル生成プログラム１１２は、アプリケーションプログラムとして、メモリ１１０２に展開されて、演算部１１０１によって実行される。

検体投入プログラム１１１は、検体であるマルウェアを図示しない利用者や、他のマルウェア提供装置から受け付けて、検体受付ＤＢ１１３に検体受付情報として格納する。また、後述の正規ファイル生成プログラム１１２から提供される正規ファイルと、検体とを、動的解析装置１２、１３にそれぞれ解析要求情報として送信し、要求結果を解析要求ＤＢ１１５に格納する。

正規ファイル生成プログラム１１２は、検体受付ＤＢ１１３に格納された検体ファイルと同じ種別の正規ファイルを生成する。同じ種別の正規ファイルとは、検体と同じファイルタイプ（ＰｏｗｅｒＰｏｉｎｔファイル、ＰＤＦファイル、ＥＸＥファイル等）でマルウェアでないファイルをいう。正規ファイル生成プログラム１１２は、後述する正規ファイル管理ＤＢ１１４から読み出したデータに基づいて正規ファイルを生成する。

検体受付ＤＢ１１３は、検体に関する検体受付情報を格納する。図３を用いて検体受付情報の一例について説明する。検体受付ＤＢ１１３に格納される検体受付情報は、検体ＩＤ１１３１、検体ファイル１１３２、ハッシュ値１１３３、入手元１１３４、入手者１１３５、入手日時１１３６、及び入手手段１１３７が含まれる。

検体ＩＤ１１３１は、動的解析装置１２に投入する検体を一意に識別するための情報である。検体ファイル１１３２は、検体の実体であるファイルを示す情報（例えばファイル名）である。ハッシュ値１１３３は、検体ファイル１１３２が示すファイルのハッシュ値である。入手元１１３４は、検体ファイル１１３２を入手した場所を指し、例えばＷｅｂ経由で入手した場合はＷｅｂサイトのＵＲＬ、メールに添付されて来たファイルはメールの送信元である。入手者１１３５は、検体ファイル１１３２が示すファイルを入手した者を指し、例えばＷｅｂ経由で入手した場合はＷｅｂサイトへのアクセス者、メールに添付されて来たファイルはメールの受信者である。入手日時１１３６は、検体ファイル１１３２が示すファイルを入手した日時である。入手手段１１３７は、検体ファイル１１３２が示すファイルを入手した手段を指し、例えばＷｅｂ経由で入手した場合は「Ｗｅｂ」で、メールに添付されて来た場合は「メール」である。

正規ファイル管理ＤＢ１１４には、正規ファイルを生成するために検体のファイル種別を判定するためのルールが定義された（ａ）ファイル種別特徴情報と、ファイル種別毎に正規ファイルに関する情報が格納された（ｂ）正規ファイルストアとが格納されている。図３を用いてファイル種別特徴情報、及び正規ファイルストアの一例について説明する。

（ａ）ファイル種別特徴情報にあるファイル識別ＩＤ１１４１１は、ファイル種別を識別するための情報である。パターン特徴１１４１２は、ファイル種別を検体ファイルの内容から識別するためのルールを定義した情報である。拡張子特徴１１４１３は、ファイル種別を検体ファイルの拡張子から識別するためのルールを定義した情報である。説明１１４１４は、ファイル種別の説明を記載した情報である。

（ｂ）正規ファイルストアにある正規ファイルＩＤ１１４２１は、正規ファイルの種別を識別するための情報である。ファイル１１４２２は、正規ファイルの実体であるファイルを示す情報（例えばファイル名）である。正規ファイル生成プログラム１１２は、正規ファイルＩＤ１１４２１が示す形式（例えば、ＭＳＰＰＴ形式、ＰＤＦ形式など）で、最小限の内容から構成されたファイル（例えば、ヘッダ情報と空の本文データとを含むファイル）を予め生成して正規ファイルストアに登録しておくものとする。

解析要求ＤＢ１１５は、解析要求情報を記憶する。解析要求情報は、動的解析装置１２及び１３に対して送信した要求（解析要求）に関する情報である。図３を用いて、解析要求情報の一例について説明する。解析要求情報には、解析ＩＤ１１５１、検体ＩＤ１１５２、検体投入先解析環境ＩＤ１１５３、正規ファイル投入先解析環境ＩＤ１１５４、及び解析日時１１５５が含まれる。

解析ＩＤ１１５１は、同一検体の解析において、解析要求を一意に識別する情報である。検体ＩＤ１１５２は、検体受付ＤＢ１１３の検体ＩＤ１１３１と対応する識別子である。検体投入先解析環境ＩＤ１１５３は、検体を解析する動的解析装置１２及び１３の識別子である。正規ファイル投入先解析環境ＩＤ１１５４は、正規ファイルを解析する動的解析装置１２及び１３の識別子である。解析日時１１５５は、検体を解析し始めた時間である。

次に、動的解析装置１２及び１３の構成について、図４を用いて説明する。図４は動的解析装置の構成の一例である。

動的解析装置１２及び１３は、演算部１２０１及び１３０１、メモリ１２０２及び１３０２、入力部１２０３及び１３０３、表示部１２０４及び１３０４、通信部１２０５及び１３０５、ならびに記憶部１２０６及び１３０６を含むコンピュータ上に実現することができる。

各部（１２０１〜１２０６、１３０１〜１３０６）は、検体投入装置１１の各部（１１０１〜１１０６）と同じように構成されていて、以下では、差異のある部分のみ説明する。

通信部１２０５及び１３０５は、マルウェア特徴抽出システム１０内の各部（１１、１４）（図１参照）との間で情報を送受信する。

記憶部１２０６及び１３０６は、検体実行プログラム１２１及び１３１、ログ取得プログラム１２２及び１３２、ならびにログ管理ＤＢ１２３及び１３３を記憶している。なお、検体実行プログラム１２１及び１３１、ならびにログ取得プログラム１２２及び１３２は、アプリケーションプログラムとして、メモリ１２０２及び１３０２に展開されて、演算部１２０１及び１３０１によって実行される。

検体実行プログラム１２１及び１３１は、検体投入装置１１から解析要求情報として検体と正規ファイルとをそれぞれ受け取ってそれぞれの動的解析装置１２及び１３上の解析
環境で実行する。検体あるいは正規ファイルが文書ファイルなどの実行形式のファイルではないファイルであった場合も、関連付けられたアプリケーションによって開かれることをもって実行とする。

ログ取得プログラム１２２及び１３２は、検体実行プログラム１２１及び１３１が実行した検体あるいは正規ファイルに関する挙動を監視し、解析ログとしてログ管理ＤＢ１２３及び１３３に格納する。なお、ログ取得プログラム１２２及び１３２による監視処理及びログの収集処理については公知の手法を用いるものとしてここでは説明を省略する。

なお、動的解析装置１２及び１３は、ハードウェアの構成もソフトウェアの構成も完全に同一の構成であることが好ましいが、差異があってもよい。

ログ管理ＤＢ１２３及び１３３には、（ａ）予め設定してある動的解析装置１２及び１３のスペックや設定内容が保存された解析環境情報と、（ｂ）動的解析装置１２及び１３で検体や正規ファイルを実行して得られた観測情報としての解析ログとが格納されている。図５を用いて、解析環境情報及び解析ログ情報の一例について説明する。

（ａ）解析環境情報にある解析環境ＩＤ１２３１１及び１３３１１は、解析装置１２及び１３の解析環境を一意に識別するための情報である。ＯＳ１２３１２及び１３３１２は、動的解析装置１２及び１３の検体実行プログラム１２１及び１３１が検体あるいは正規ファイルを実行する解析環境のＯＳ（Ｏｐｅｒａｔｉｎｇ Ｓｙｓｔｅｍ）の種類に関する情報で「Ｗｉｎｄｏｗｓ７（登録商標）」や「Ａｎｄｒｏｉｄ（登録商標）」などの製品名にバージョン情報などを含めた形で指定される。表記方法としてＣＰＥ（Ｃｏｍｍｏｎ Ｐｌａｔｆｏｒｍ Ｅｎｕｍｅｒａｔｉｏｎ）のような標準化された名称基準を利用してもよい。アーキテクチャ１２３１３及び１３３１３は、ＯＳのアーキテクチャの情報で、「３２ｂｉｔ」や「６４ｂｉｔ」、「ＡＲＭ」等が指定される。アプリケーション１２３１４及び１３３１４には、ＯＳにインストールされたアプリケーションの識別子が１乃至複数指定される。ＣＰＵ１２３１５及び１３３１５は、ＯＳがインストールされたハードウェアに搭載されているＣＰＵに関する情報である。メモリ１２３１６及び１３３１６は、ハードウェアに搭載されたメモリに関する情報である。ネットワーク１２３１７及び１３３１７はＯＳに設定されたネットワーク設定に関する情報で、ＩＰアドレスやサブネットマスク、デフォルトゲートウェイ、ＤＮＳサーバアドレス指定などが１乃至複数指定される。エンジン１２３１８及び１３３１８は、検体実行プログラム１２１及び１３１の種類やバージョンを表す情報である。ＢＩＯＳ１２３１９及び１３３１９は、ハードウェアに搭載されたＢＩＯＳ（ＢＡＳＩＣ Ｉｎｐｕｔ／Ｏｕｔｐｕｔ Ｓｙｓｔｅｍ）の種類やバージョンを表す情報である。

（ｂ）解析ログにある解析ＩＤ１２３２１及び１３３２１は、動的解析装置１２及び１３のそれぞれの中で解析ログを一意に識別するための情報である。

ファイル操作１２３２２及び１３３２２は、１乃至複数格納でき、動的解析装置１２及び１３の検体実行プログラム１２１及び１３１が検体あるいは正規ファイルを実行して、ログ取得プログラム１２２及び１３２が検体あるいは正規ファイルによるファイル操作に関する挙動を観測して取得した情報である。ファイル操作１２３２２及び１３３２２は、ファイル操作が観測された日時、ファイルに対するアクション（例えばファイル生成、削除等）、当該アクションに関するデータ（例えばファイル名、アドレス等）を格納する。

レジストリ操作１２３２３及び１３３２３は、１乃至複数格納でき、ログ取得プログラム１２２及び１３２が検体あるいは正規ファイルによりシステム設定ファイル（本実施形態ではレジストリを想定している。）に対する操作に関する挙動を観測して取得した情報
である。レジストリ操作１２３２３及び１３３２３は、レジストリへの操作が観測された日時、レジストリに対するアクション（例えばレジストリ生成、削除等）、当該アクションに関するデータ（例えばレジストリキー名、バリュー等）を格納する。

プロセス操作１２３２４及び１３３２４は、１乃至複数格納でき、ログ取得プログラム１２２及び１３２が検体あるいは正規ファイルにより行われたプロセスに関する挙動を観測して取得した情報である。プロセス操作１２３２４及び１３３２４は、プロセス（スレッドを含む）に関する挙動が観測された日時、プロセスに関するアクション（例えばプロセス生成、停止等）、当該アクションに関するデータ（例えばプロセス名、親プロセス等）を格納する。

ネットワーク通信１２３２５及び１３３２５は、１乃至複数格納でき、ログ取得プログラム１２２、１３２が検体あるいは正規ファイルによるネットワーク通信に関する挙動を観測して取得した情報である。ネットワーク通信１２３２５及び１３３２５は、ネットワーク通信が観測された日時、ネットワーク通信に係るアクション（例えばＤＮＳクエリ、ＨＴＴＰリクエスト、ＮＴＰリクエスト、パケット送信、受信等）、当該アクションに関するデータ（例えばホスト名、ＵＲＬ、通信先ＩＰアドレス、通信先ポート番号、プロトコル等）を格納する。

システム操作１２３２６及び１３３２６は、１乃至複数格納でき、ログ取得プログラム１２２及び１３２が当該検体あるいは当該正規ファイルによるＯＳの機能（ファイル及びプロセスに関するものを除く）を呼び出すシステム操作に関する挙動を観測して取得した情報である。システム操作１２３２６及び１３３２６は、システム操作が観測された日時、システム操作に関するアクション（例えばＭＵＴＥＸ生成、ＭＵＴＥＸ参照等）、当該アクションに関するデータ（例えばＭＵＴＥＸ名等）を格納する。

サービス操作１２３２７及び１３３２７は、１乃至複数格納でき、ログ取得プログラム１２２及び１３２が検体あるいは正規ファイルによるサービスに関する挙動を観測して取得した情報である。サービスとはバックグラウンドプロセスとして動作するプログラムであり、デーモンなどとも呼ばれる。サービス操作１２３２７及び１３３２７は、サービスに関する挙動が観測された日時、サービスに関するアクション（例えばサービス登録、サービス起動等）、当該アクションに関するデータ（例えばサービス名、引数等）を格納する。

ＡＰＩ操作１２３２８及び１３３２８は、１乃至複数格納でき、ログ取得プログラム１２２及び１３２が検体あるいは正規ファイルにより呼び出された所定のＡＰＩに関する挙動を観測して取得した情報で、ＡＰＩに関する挙動が観測された日時、ＡＰＩに関するアクション（例えばＡＰＩ呼び出し等）、当該アクションに関するデータ（例えば呼び出しＡＰＩ名、引数等）を格納する。

次に、図６を用いて、ログ管理ＤＢ１２３及び１３３に格納される解析ログの具体例について説明する。

解析ログには、検体解析ログ（マルウェア解析ログ）情報と正規ファイル解析ログ情報とが含まれる。検体解析ログ情報は、動的解析装置１２において検体実行プログラム１２１が検体を実行し、ログ取得プログラム１２２が当該検体の挙動を監視して取得した解析ログである。検体解析ログ情報は、ログ管理ＤＢ１２３に記憶されることになる。一方、正規ファイル解析ログは、動的解析装置１３において検体実行プログラム１３１が正規ファイルを実行し、ログ取得プログラム１３２が当該正規ファイルの挙動を監視して取得した解析ログである。正規ファイル解析ログはログ管理ＤＢ１３３に記憶されることになる
。

検体解析ログ情報に含まれる解析ＩＤ１２３３１は、動的解析装置１２の中で解析ログを一意に識別するための情報で、動的解析装置１２が備えるログ管理ＤＢ１２３の解析ＩＤ１２３１１と対応する。解析ログに含まれている検体の個々の挙動をイベント（１２３３２〜１２３４１）という。イベントは時刻、項目（イベントの種類）、アクション、及びデータの情報から構成される。各情報は前述した各種操作（１２３２２〜１２３２８）の定義に従って格納される。例えばイベント１２３３２は、「ｍａｌｗａｒｅ．ｐｄｆというファイルが時刻００：００に実行された」ことを意味する。

正規ファイル解析ログ情報に含まれる解析ＩＤ１３３３１は、動的解析装置１３の中で解析ログを一意に識別するための情報で、動的解析装置１３が備えるログ管理ＤＢ１３３の解析ＩＤ１３３１１と対応する。解析ログに含まれている正規ファイルの個々の挙動をイベント（１３３３２〜１３３３６）といい、イベントは時刻、項目（イベントの種類）、アクション、及びデータの情報から構成される。各情報は前述した各種操作（１３３２２〜１３３２８）の定義に従って格納される。例えばイベント１３３３２は、「ｓａｍｐｌｅ．ｐｄｆというファイルが時刻００：００に実行された」ことを意味する。

次に、マルウェア特徴抽出装置１４の構成について、図７を用いて説明する。図７はマルウェア特徴抽出装置の一例を示す図である。

マルウェア特徴抽出装置１４は、演算部１４０１、メモリ１４０２、入力部１４０３、表示部１４０４、通信部１４０５、及び記憶部１４０６を含むコンピュータ上に実現することができる。各部（１４０１〜１４０６）は、検体投入装置１１の各部（１１０１〜１１０６）と同じように構成されていて、以下では、差異のある部分のみ説明する。

通信部１４０５は、マルウェア特徴システム１０内の各部（１１〜１３）（図１参照）、対策指示装置２１との間で情報を送受信する。

記憶部１４０６は、ログ収集プログラム１４１、ログ比較プログラム１４２、比較用ＤＢ１４３、ブラックログＤＢ１４４、及びホワイトログＤＢ１４５を記憶している。なお、ログ収集プログラム１４１、及びログ比較プログラム１４２は、アプリケーションプログラムとして、メモリ１４０２に展開されて、演算部１４０１によって実行される。

ログ収集プログラム１４１は、動的解析装置１２から解析ログを検体解析ログとして収集するとともに、動的解析装置１３から解析ログを正規ファイル解析ログとして収集する。

ログ比較プログラム１４２は、ログ収集プログラム１４１が収集した検体解析ログと正規ファイル解析ログとを、比較用ＤＢ１４３（図８参照）に格納された比較ルール情報を利用して比較する。ログ比較プログラム１４２は、その比較結果に基づき、ブラックログとホワイトログとを生成し、それぞれブラックログＤＢ１４４及びホワイトログＤＢ１４５に格納する（図７参照）。

比較用ＤＢ１４３は、ログの同一性を判定するための情報を記憶する。比較用ＤＢ１４３には、予め設定してあるアクションに関する表現揺れを考慮した比較を実現するアクション同一視ルール情報と、データに関する表現揺れを考慮した比較を実現するデータ同一視ルール情報と、曖昧比較を実現する誤差許容ルール情報とが格納される。図８を用いて、アクション同一視ルール情報、データ同一視ルール情報、誤差許容ルール情報の一例について説明する。

（ａ）アクション同一視ルールにあるＯＳ言語の取得（１４４１１〜１４４１３）は、マルウェアが自身の実行ＯＳの言語環境が日本語であるか否かを取得する手段において、インストールされたＩＭＥのバージョンを参照して「日本語ＩＭＥ」であることを確認する手段（１４４１１）と、キーボードレイアウトが「１０６日本語キー」であることを確認する手段（１４４１２）と、ＯＳのバージョンを確認して「日本語版Ｗｉｎｄｏｗｓ」であることを確認する手段（１４４１３）は、全て手段としては異なるが、言語環境を調べるという意味では同じアクションであることから、これらの異なるアクション同士の比較結果を一致とするルールである。なお、言語環境を調べるときの対象として日本語に限定するものではない。ファイルの書き込み（１４４１４、１４４１５）は、マルウェアがファイルを書き込む手段において、ｗｒｉｔｅ関数を呼ぶ手段（１４４１４）と、ｆｐｕｔ関数を呼ぶ手段（１４４１５）は、手段としては異なるが、ファイルを書き込むという意味では同じアクションであることから、これらのアクション同士の比較結果を一致とするルールである。一定時間待機（１４４１６、１４４１７）は、マルウェアが一定時間活動せずに待機する手段において、ｓｌｅｅｐ関数を呼ぶ手段（１４４１６）と、ｇｅｔＴｉｃｋＣｏｕｎｔ関数を呼ぶ手段（１４４１７）は、手段としては異なるが、一定時間待機するという意味では同じアクションであることから、これらのアクション同士の比較結果を一致とするルールである。

（ｂ）データ同一視ルールにあるループバックアドレス１４４２１は、データとしてＩＰアドレス「１２７．０．０．１」と「１２７．１０．１０．１０」が比較された場合、値は異なるが、両方ともループバックアドレスを意味することから、これらのデータ同士の比較結果を一致とするルールである。時間１４４２２は、データとして「３６００ｓｅｃ」と「１ｈｏｕｒ」が比較された場合、値は異なるが、両方とも１時間を意味することから、これらのデータ同士の比較結果を一致とするルールである。完全修飾ドメイン名１４４２３は、データとして完全修飾ドメイン名「ｗｗｗ１．ａｂｃ．ｃｏｍ」と「ｗｗｗ２．ａｂｃ．ｃｏｍ」とが両方とも同じＩＰアドレスを持つ場合、値は異なるが、両完全修飾ドメイン名と、当該完全修飾ドメイン名に関連付けられるＩＰアドレスは全て同じノードを意味することから、これらのデータ同士の比較結果を一致とするルールである。

（ｃ）誤差許容ルールにある数値１４４３１は、数値を比較する際に設定された許容誤差の範囲内であれば比較結果を一致とするルールである。文字列１４４３２は、文字列を比較するときに設定された比較方式により前方一致、後方一致、部分一致の条件で一致したのであれば比較結果を一致とするルールである。イベント時刻１４４３３は、前記検体解析ログと前記正規ファイル解析ログ間のイベントを比較するときに、設定された許容時間内であれば２つのログに記録されたイベントは比較すべき組合せであると判断するルールである。

ブラックログＤＢ１４４にはブラックログが記憶され、ホワイトログＤＢ１４５にはホワイトログが記憶される。図９を用いて、ブラックログＤＢ１４５及びホワイトログＤＢ１４５の一構成例について説明する。

ブラックログＤＢ１４４は、解析要求ＤＢ１１５の解析ＩＤ１１５１（図３参照）に対応する解析ＩＤ１４５１と、検体解析ログ情報（１２３３２〜１２３４１）にあって正規ファイル解析ログ（１３３３２〜１３３３６）にはないイベント（１４５２〜１４５７）とを組としたブラックログを１乃至複数格納する。

ホワイトログＤＢ１４５は、解析要求ＤＢ１１５の解析ＩＤ１１５１に対応する解析ＩＤ１４６１と、検体解析ログ（１２３３２〜１２３４１）と正規ファイル解析ログ（１３３３２〜１３３３６）の両方に存在するイベント（１４６２〜１４５５）を組としたホワ
イトログを１乃至複数格納する。

次に、対策指示装置２１の構成について、図１０を用いて説明する。図１０は対策指示装置の構成の一例である。

対策指示装置２１は、演算部２１０１、メモリ２１０２、入力部２１０３、表示部２１０４、通信部２１０５、及び記憶部２１０６を含むコンピュータ上に実現することができる。各部（２１０１〜２１０６）は、検体投入装置１１の各部（１１０１〜１１０６）と同じように構成されていて、以下では、差異のある部分のみ説明する。

通信部２１０５は、マルウェア特徴システム１０のマルウェア特徴抽出装置１４（図１参照）、マルウェア対策システム３０内の対策装置３１、検知装置３２との間で情報を送受信する。

記憶部２１０６は、対策ルール生成プログラム２１１、対策指示プログラム２１２、対策ポリシＤＢ２１３、対策ルールＤＢ２１４、及び対策装置管理ＤＢ２１５を記憶している。なお、対策ルール生成プログラム２１１及び対策指示プログラム２１２は、アプリケーションプログラムとして、メモリ２１０２に展開されて、演算部２１０１によって実行される。

対策ルール生成プログラム２１１は、マルウェア特徴抽出装置１４のブラックログＤＢ１４５（図９参照）からブラックログを取得し、取得したブラックログと、後述する対策ポリシＤＢ２１３に格納された対策ポリシ情報と、を参照してマルウェアに対する対策の実施を指示する対策ルールを作成し、対策ルールＤＢ２１４に対策ルールを格納する。

対策指示プログラム２１２は、対策ルールＤＢ２１４に格納された対策ルールを対策装置３１もしくは検知装置３２、またはその両方に送信する。

次に、対策ポリシＤＢ２１３、対策ルールＤＢ２１４、及び対策装置管理ＤＢ２１５については、図１１を用いて、対策ポリシ情報、対策ルール情報、対策装置管理情報の一例について説明する。

対策ポリシＤＢ２１３には、対策ルールを作成するための情報である対策ポリシ情報が記憶される。対策ポリシ情報には、ポリシＩＤ２１３１、項目２１３２、アクション２１３３、対策場所２１３４、及び対策２１３５が含まれる。

ポリシＩＤ２１３１は、対策ポリシを一意に識別するための情報である。項目２１３２は、ブラックログＤＢ１４４（図９参照）に格納されたイベントの項目に対応し、当該イベントに対して対策ポリシを適用するか否かを判断するために利用される。アクション２１３３は、ブラックログＤＢ１４４に格納されたイベントのアクションに対応し、当該イベントに対して対策ポリシを適用するか否かを判断するために利用する。対策場所２１３４は、後述する対策装置管理ＤＢ２１５の対策場所２１５２に対応し、対策場所に応じて対策ポリシを適用するか否かを判断するために利用される。対策２１３５は、項目２１３２、アクション２１３３、及び対策場所２１３４の全ての条件が成立した場合に実施する対策を指す。

対策ルールＤＢ２１４には、対策ルールが記憶される。対策ルールには、対策ＩＤ２１４１、対策装置ＩＤ２１４２、及び対策内容２１４３が含まれる。

対策ＩＤ２１４１は、対策装置３１（図１参照）、検知装置３２、あるいは図示されて
いない装置に指示する対策ルールを一意に識別するための情報である。対策装置ＩＤ２１４２は、ブラックログＤＢ１４４（図９参照）に格納されたイベントに対しどの対策措置で対策を実行するかを、対策装置管理ＤＢ２１５の情報を基に決定した情報である。対策内容２１４３は、ブラックログＤＢ１４４に格納されたイベントに対しどのような対策を実行するかを、対策ポリシＤＢ２１３と対策装置管理ＤＢ２１５とを参照して決定した情報である。

対策装置管理ＤＢ２１５には、対策装置管理情報が記憶される。対策装置管理情報には、対策装置ＩＤ２１５１及び対策場所２１５２が含まれる。

対策装置ＩＤ２１５１は、対策が実施可能な装置（対策装置３１、検知装置３２、あるいは図示されていない２つの端末）を識別するための情報である。対策場所２１５２は、各対策装置が対策を実施可能な場所を示す情報である。

対策装置３１、及び検知装置３２の構成については、図示を省略するが、各々が、アプリケーションプログラムによって種々の演算処理やキー情報の送受信を司る演算部、情報入力のための入力部、演算結果や指示を画面表示する表示部、他の装置との通信を制御する通信部、及びアプリケーションプログラム、演算に必要な情報や演算結果などを記憶する記憶部を含んでいる。

対策システム３０内の対策装置３１の対策プログラム３１１は、対策指示装置２１の対策ルールを受信し、対策ルールの内容に従って脅威に対する対策を実施する。

対策システム３０内の検知装置３２の検知プログラム３２１は、対策指示装置２１の対策ルールを受信し、対策ルールの内容に従って脅威の検知を実施する。

ここで、マルウェア特徴抽出システム２０内の検体投入装置１１の検体投入プログラム１１１と、正規ファイル生成プログラム１１２における処理の流れについて、図１２を用いて説明する。

図１２に示すように、検体投入プログラム１１１（図２参照）が開始されると、図示しない利用者や他のマルウェア提供装置から検体となるマルウェアを受け付けて、検体受付ＤＢ１１３に検体受付情報として格納する（ステップＳ１１０１）。例えば、図３に示す内容を含む（すなわち検体ファイル１１３２が「ｍａｌｗａｒｅ．ｐｄｆ」である）検体受付情報が格納される。検体投入プログラム１１１は、受け付けた検体を、正規ファイルＤＢ１１４に格納されている（ａ）ファイル種別特徴情報（図３参照）のパターン特徴１１４１１とマッチさせてファイルの種別を判定する（ステップＳ１１０２）。例えば、ｍａｌｗａｒｅ．ｐｄｆのファイルの先頭が「％ＰＤＦ」という文字列であった場合には、この文字列にマッチするパターン特徴１１４１２に対応するファイル種別ＩＤ１１４１１である「ＰＤＦ」と判定する。次に検体投入プログラム１１１は、ファイル種別が絞り込めたか否かを判定する（ステップＳ１１０３）。例えば、ステップＳ１１０２によってファイル種別ＩＤを「ＰＤＦ」として絞り込めたが、仮にファイルの先頭が（ａ）ファイル種別特徴情報に記載のどのパターン特徴１１４１２にも当てはまらなかった場合は、ファイル種別が絞り込めなかったことになる。ファイル種別が絞り込めなかった場合には（ステップＳ１１０３：Ｎｏ）、拡張子特徴からファイル種別を判定する処理に移る。具体的には、検体投入プログラム１１１は、検体のファイル名の拡張子部と、ａ）ファイル種別特徴情報の拡張子特徴１１４１３とが対応するファイルの種別ＩＤ１１４１１を判定する（ステップＳ１１０４）。例えば、検体のファイル名が「ｍａｌｗａｒｅ．ｐｄｆ」である場合、拡張子が「ｐｄｆ」であることから、ファイル種別ＩＤとして「ＰＤＦ」と判定される。これらの処理によって解析する検体のファイル種別ＩＤが決定される（ステップ
Ｓ１１０５）。上述した例では、ファイル種別ＩＤは「ＰＤＦ」と決定される。

次に、正規ファイル生成プログラム１１２が、決定されたファイル種別ＩＤと同じ値の正規ファイルＩＤに対応するファイル１１４２２を正規ファイル管理ＤＢ１１４の（ｂ）正規ファイルストア（図３参照）から取得し、取得したファイル１１４２２が示す正規ファイルを取得する（ステップＳ１１０６）。例えば、解析すべき検体のファイル種別ＩＤが「ＰＤＦ」である場合、（ｂ）正規ファイルストアの正規ファイルＩＤ１１４２１が「ＰＤＦ」となるレコードのファイル１１４２２が示す「ｓａｍｐｌｅ．ｐｄｆ」が読み込まれる。また、解析すべき検体ファイルの拡張子と、正規ファイルの拡張子とが異なる場合は、正規ファイルの拡張子を解析すべき検体ファイルの拡張子に合わせて変更する。当該正規ファイルは、正規ファイル生成プログラム１１２が、最小限の内容から構成される正規ファイルをその場で生成しても構わない。検体と正規ファイルが揃ったら、検体投入プログラム１１１は、検体を動的解析装置１２に送信し、正規ファイルを動的解析装置１３に送信して、解析を依頼する（ステップＳ１１０７）。なお、動的解析装置を３つ以上用意し、検体を１乃至複数の動的解析装置に、正規ファイルを１乃至複数の動的解析装置に送信しても構わない。さらに動的解析装置１２及び１３に検体及び正規ファイルを送信するタイミング（あるいは動的解析装置１２及び１３が検体及び正規ファイルを実行するタイミング）は同時であることが望ましいが、実施形態によっては１つの動的解析装置１２のみを準備し、１つの動的解析装置１２において２回に分けて検体と正規ファイルを解析（ログの収集）しても構わない。最後に検体投入プログラム１１１は、動的解析装置１２及び１３に送信した結果を解析要求ＤＢ１１５に格納する（ステップＳ１１０８）。ここでは、図３に示す内容を含む解析要求情報（解析ＩＤ１１５１が「ＲＥＱ０００１」である解析要求情報）が格納される。

次に、マルウェア特徴抽出システム１０内のマルウェア特徴抽出装置１４のログ収集プログラム１４１と、ログ比較プログラム１４２による処理の流れについて、図１３を用いて説明する。

図１３に示すように、ログ収集プログラム１４１（図７参照）が開始されると、動的解析装置１２から検体の解析結果に関する解析ログを収集し、動的解析装置１３から正規ファイル解析結果に関する解析ログをそれぞれ収集する（ステップＳ１４０１）。例えば図６の例では、上段に示す検体解析ログ（解析ＩＤ１２３３１が「ＲＥＱ０００１」の検体解析ログ）と、下段に示す正規ファイル解析ログ（解析ＩＤ１３３３１が「ＲＥＱ０００１」の正規ファイル解析ログ）とが収集されている。動的解析装置が３以上ある場合は、それぞれから解析ログを得るようにしてもよい。

次に、ログ比較プログラム１４２が、検体解析ログ及び正規ファイル解析ログに記録された同時刻に発生した双方のイベントを、比較用ＤＢ１４３（図８参照）に定義された各ルールに則って比較を行う（ステップＳ１４０２）。例えば、図６の例では、解析ＩＤ１２３３１が「ＲＥＱ０００１」である検知解析ログの１つめのイベント「時刻＝００：００、項目＝プロセス操作、アクション＝実行、データ＝ｍａｌｗａｒｅ．ｐｄｆ」と、当該イベントと同時刻に発生したイベント、つまり解析ＩＤ１３３３１が「ＲＥＱ０００１」である正規ファイル解析ログの１つめのイベント「時刻＝００：００、項目＝プロセス操作、アクション＝実行、データ＝ｍａｌｗａｒｅ．ｐｄｆ」とが比較されることになる。ここで、検体解析ログの時刻と、正規ファイル解析ログの時刻の比較においては、図８に示す比較用ＤＢ１４３の（ｃ）誤差許容ルールに定義されたイベント時刻１４４３３の値「＋−３ｓｅｃ」に従い、「００：００」との前後３秒を同時刻とみなすことになる。

ログ比較プログラム１４２は、検体解析ログと正規ファイル解析ログとが一致するか否かを判定する（ステップＳ１４０３）。上記の例では、データ「ｍａｌｗａｒｅ．ｐｄｆ
」と「ｓａｍｐｌｅ．ｐｄｆ」は、比較用ＤＢ１４３に定義されたどの各種ルールに則って比較しても一致とならないことから、両イベントの比較結果は不一致という結果となる。一致した場合（ステップＳ１４０３：Ｙｅｓ）、ログ比較プログラム１４２は、当該検体解析ログのイベントをホワイトログＤＢ１４６（図９参照）に追加する（ステップＳ１４０４）。不一致の場合（ステップＳ１４０３：Ｎｏ）、ログ比較プログラム１４２は、当該検体解析ログのイベントをブラックログＤＢ１４５に追加する（ステップＳ１４０５）。上記の例では、検体解析ログの１イベント目は、不一致であったため当該検体解析ログのイベント（「時刻＝００：００、項目＝プロセス操作、アクション＝実行、データ＝ｍａｌｗａｒｅ．ｐｄｆ」）はブラックログＤＢ１４５に追加される。検体解析ログの全てのイベントを比較完了したかを判定し（ステップＳ１４０６）、まだ比較していないイベントがあれば（ステップＳ１４０６：Ｎｏ）ステップＳ１４０２に戻る。

例えば図６の例において、検体解析ログのイベント１２３３２について処理を行ったところでは、まだ検体解析ログに比較していないイベントが残っているため、ステップＳ１４０２に戻り、検知解析ログの２つめのイベント１２３３３「時刻＝００：１５、項目＝プロセス操作、アクション＝実行、データ＝Ａｃｒｏｂａｔ Ｒｅａｄｅｒ」と、正規ファイル解析ログの同時間帯のイベント１３３３３「時刻＝００：１５、項目＝プロセス操作、アクション＝実行、データ＝Ａｃｒｏｂａｔ Ｒｅａｄｅｒ」とを比較することになる。この場合、全ての項目で一致するためステップＳ１４０３において一致判定となり、ステップＳ１４０４において図９に示すホワイトログＤＢ１４６のホワイトログ情報１４６２に追加される。以上の処理を繰り返すことにより、ブラックログＤＢ１４５のブラックログ情報には、「項目＝ネットワーク通信、アクション＝ＨＴＴＰリクエスト、データ＝ｗｗｗ．ａｂｃ．ｃｏｍ」や、「項目＝ファイル操作、アクション＝作成、データ＝ＡＢＣ．ｂａｔ」、「項目＝ファイル操作、アクション＝操作、データ＝ｍａｌｗａｒｅ．ｐｄｆ」などが追加される。

以上のようにして、本実施形態のマルウェア特徴抽出システム１０によれば、マルウェアを実行することにより得られたログ（検体解析ログ情報に含まれるイベント）のうち、正規ファイルを実行することにより得られたログ（正規ファイル解析ログ情報に含まれるイベント）に含まれていないものをブラックログとして抽出することができる。正規ファイルはマルウェアでないファイルであり、これを実行することにより得られるログ（イベント）は、マルウェアに特徴的なものではないことから、正規ファイル解析ログ情報に含まれないログ（イベント）のみを抽出することにより、マルウェアに特徴的なログを精度良く抽出することができる。また、例えばアプリケーションの起動時に設定ファイルを読み込んだり、最新のアップデータを入手したりする挙動は正規ファイルであっても行われるものであり、このような挙動についてもログは取得されることからログは膨大な量となるところ、本実施形態のマルウェア特徴抽出システム１０によれば、膨大な量の解析ログから、本来得たいマルウェアの挙動の特徴を精度高く抽出することができる。したがって、解析コストを低減し、解析結果を用いた対策の迅速化を図ることが可能となり、被害予防や被害最小化を実現することができる。

また、本実施形態のマルウェア特徴抽出システム１０によれば、動作解析装置１２及び１３においてマルウェアと正規ファイルとを同時に実行することができる。例えば、ある種別のソフトウェアのアップデートが１日に１回１２：００に行われるように設定されていた場合、１２：００に実行されるかどうかによりソフトウェアのアップデータに係るログが得られるか否かが決定することになり、例えば正規ファイルを１１：４５〜１１：５５に実行し、マルウェアを１１：５５〜１２：０５に実行したようなときには、ソフトウェアのアップデータに関するログが検体解析ログ情報にのみ含まれるようになるが、これは正規ファイルを１２：００に実行していた場合には得られるログである。そこで、本実施形態のマルウェア特徴抽出システム１０のように、マルウェアと正規ファイルとを同時
に実行することにより、時刻に応じた挙動に係るログについても、正規ファイルを実行した場合に得られるものを排除して、マルウェアの挙動に特徴的なログのみを精度良く抽出することができる。

また、本実施形態のマルウェア特徴抽出システム１０によれば、比較用ＤＢ１４３に記憶されているルールに従って検体解析ログ情報のイベントと、正規ファイル解析ログ情報のイベントとの同一性を判定するようにしている。例えば、図８に示すように「インストールＩＭＥのバージョン取得」と「キーボードレイアウトの取得」とは異なるアクションではあるものの実質的には同種のことを行っており、アクション同一視ルール情報に基づいてイベントを比較することにより、異なるアクションであっても同一視することのできるアクションについては同一と判定し、これをブラックログから排除することができる。また、例えば図８に示すように、「１７２．１０．１０．１０」をループバックアドレスとして使用している場合には、「１２７．０．０．１」と「１７２．１０．１０．１０」とは同一のアドレスと評価することが可能であり、データ同一視ルール情報に基づいてイベントを比較することにより、異なるデータであっても同じデータとみなすことのできるデータを同一と判定し、これをブラックログから排除することができる。また、例えば図８に示すように、ある数値について±３０％の誤差を許容するように設定しておくことにより、マルウェアが行った数値を設定する処理と、誠意ファイルが行った数値を設定する処理とについて、誤差を許容しながらイベントを比較し、誤差の範囲内においてイベントを同一と判定し、これをブラックログから排除することができる。

なお、検体解析ログが複数ある場合には、検体解析ログ同士を上記処理の流れと同じように比較して全ての解析ログに一致する部分のみ抽出して解析ログとしてもよい。同様に正規ファイル解析ログが複数ある場合には、正規ファイル解析ログ同士を上記処理の流れと同じように比較して全ての解析ログに一致する部分のみ抽出して正規ファイル解析ログとしてもよい。これによって、新たに抽出した検体解析ログ、及び正規ファイル解析ログのノイズが除去され、ホワイトログ、ブラックログの精度が高まる。
また、例えば解析環境ＩＤ＝「ＳＷＳＭ０００１」及びファイル種別ＩＤ＝「ＰＤＦ」を条件としたホワイトログとして保管しておくことにより、次に同じ条件（解析環境ＩＤ＝「ＳＷＳＭ０００１」及びファイル種別ＩＤ＝「ＰＤＦ」）で検体を解析する際に、当該条件のホワイトログを読み込んで検体解析ログと比較することで、検体の解析の度に正規ファイルを生成（ステップＳ１１０６）したり、正規ファイルの解析（ステップＳ１１０７の正規ファイルの一部）を実施したりする処理を省略することもできる。

次に、対策指示装置２１の対策ルール生成プログラム２１１と、対策指示プログラム２１２における処理の流れについて、図１４を用いて説明する。

図１４に示すように、対策ルール生成プログラム２１１（図１０参照）は、マルウェア特徴抽出装置１４のブラックログＤＢ１４４（図９参照）よりブラックログを取得する（ステップＳ２１０１）。ここでは、図９に示すブラックログＤＢ１４４の解析ＩＤ１４５１が「ＲＥＱ０００１」のイベントの中から一例としてイベント１４５４の「項目＝ネットワーク通信、アクション＝ＨＴＴＰリクエスト、データ＝ｗｗｗ．ａｂｃ．ｃｏｍ／ＡＢＣ．ｂａｔ」を取得したとする。

対策ルール生成プログラム２１１は、取得したブラックログのイベント１４５４の項目及びアクションと、対策ポリシＤＢ２１３に記憶されている対策ポリシ情報の項目２１３２及びアクション２１３３とを照合して、一致する対策ポリシ情報の対策場所２１３４及び対策２１３５を得る（ステップＳ２１０２）。ここでは、「項目＝ネットワーク通信、アクション＝ＨＴＴＰリクエスト」に対応する対策ポリシ情報を対策ポリシＤＢ２１３から検索して得た結果として「ポリシＩＤ＝ＰＬ０００２、項目＝ネットワーク通信、アク
ション＝ＨＴＴＰリクエスト、対策＝アラート」を得る。

対策ルール生成プログラム２１１は、得られた対策ポリシ情報とブラックログ情報のイベントに基づいて対策ルール情報を生成し、対策ルールＤＢ２１４に格納する（ステップＳ２１０３）。例えば、対策ルール生成プログラム２１１は、新たな対策ルールＩＤ２１４１を割り当てる。対策ルール生成プログラム２１１は、対策ポリシ情報の対策場所２１３４と一致する対策場所２１５２を有する対策装置管理情報の対策装置ＩＤ２１５１を対策装置管理ＤＢ２１５から取得して対策装置ＩＤ２１４２とする。対策ルール生成プログラム２１１は、ブラックログのイベントのデータ及び対策ポリシ情報の対策２１３５に応じて対策内容２１４３を作成する。ここでは、イベント１４５４「項目＝ネットワーク通信、アクション＝ＨＴＴＰリクエスト、データ＝ｗｗｗ．ａｂｃ．ｃｏｍ／ＡＢＣ．ｂａｔ」と、対策ポリシ情報「ポリシＩＤ＝ＰＬ０００２、項目＝ネットワーク通信、アクション＝ＨＴＴＰリクエスト、対策場所＝検知装置、対策＝アラート」と、対策装置管理情報「対策装置ＩＤ＝ＡＰ００２、対策場所＝検知装置」から、「対策ＩＤ＝ＡＣＴ００２、対策装置＝ＡＰ００２、対策内容＝ｗｗｗ．ａｂｃ．ｃｏｍ／ＡＢＣ．ｂａｔへのＨＴＴＰリクエスト時にアラート」という対策ルール情報を得て対策ルールＤＢ２１４に格納することができる。

次に、対策指示プログラム２１２は、対策装置３１向けの対策ルール情報を対策ルールＤＢ２１４から取得し、対策ルール情報に基づいて対策装置３１に対策を指示する（ステップＳ２１０４）。すなわち、対策指示プログラム２１２は、対策場所２１５２が「対策装置」である対策装置管理情報を対策装置管理ＤＢ２１５から取得し、取得した対策装置管理情報の対策装置ＩＤ２１５１に対応する対策ルール情報を対策ルールＤＢ２１４から取得し、対策装置管理情報の対策装置ＩＤ２１５１が示す対策装置３１に対して、対策ルール情報の対策内容２１４３を指示する。ここでは、対策ルールＤＢ２１４から、対策装置ＩＤ２１４２＝ＡＰ００１の対策ルール情報である対策ＩＤ２１４１＝ＡＣＴ００１の対策ルール情報を抽出し、対策装置ＩＤ２１４２＝ＡＰ００１が示す対策装置３１に対して、対策内容２１４３「ｗｗｗ．ａｂｃ．ｃｏｍのＤＮＳクエリを通信遮断」を指示する。

また、対策指示プログラム２１２は、検知装置３２向けの対策ルール情報を対策ルールＤＢ２１４から取得し、対策ルール情報に基づいて検知装置３２に検知を指示する（ステップＳ２１０５）。すなわち、対策指示プログラム２１２は、対策場所２１５２が「検知装置」である対策装置管理情報を対策装置管理ＤＢ２１５から取得し、取得した対策装置管理情報の対策装置ＩＤ２１５１に対応する対策ルール情報を対策ルールＤＢ２１４から取得し、対策装置管理情報の対策装置ＩＤ２１５１が示す検知装置３２に対して、対策ルール情報の対策内容２１４３を指示する。ここでは、対策ルールＤＢ２１４から、対策装置ＩＤ２１４２＝ＡＰ００２の対策ルール情報である対策ＩＤ２１４１＝ＡＣＴ００２の対策ルール情報を抽出し、対策装置ＩＤ＝ＡＰ００２が示す検知装置３２に対して、対策内容２１４３「ｗｗｗ．ａｂｃ．ｃｏｍ／ＡＢＣ．ｂａｔへのＨＴＴＰリクエスト時にアラート」を指示する。

さらに図示していない端末についても、対策指示プログラム２１２は、端末向けの対策ルール情報を対策ルールＤＢ２１４から取得し、対策ルールに基づいて端末へ指示する（ステップＳ２１０６）。すなわち、対策指示プログラム２１２は、対策場所２１５２が「端末」である対策装置管理情報を対策装置管理ＤＢ２１５から取得し、取得した対策装置管理情報の対策装置ＩＤ２１５１に対応する対策ルール情報を対策ルールＤＢ２１４から取得し、対策装置管理情報の対策装置ＩＤ２１５１が示す端末に対して、対策ルール情報の対策内容２１４３を指示する。ここでは、対策ルールＤＢから対策装置ＩＤ＝ＡＰ００３又はＡＰ００４に対応する対策ルール情報を抽出し、対策装置ＩＤ＝ＡＰ００３又はＡ
Ｐ００４が示す端末に対して、「ＡＢＣ．ｂａｔの削除」「ＡＢＣ．ｂａｔの実行禁止」「ＡＢＣ．ｂａｔ実行時にアラート」を指示する。

次に、本実施形態のマルウェア特徴抽出システム１０、対策指示装置２１及びマルウェア対策システム３０の動作を、図１５を用いて説明する。図１５は、本実施形態のマルウェア特徴抽出システム１０、対策指示装置２１及びマルウェア対策システム３０の動作の一例を示す図である。

図１５では、マルウェアを発見した場合の対策事例について説明する。なお、図１５において、検体投入装置１１、動的解析装置１２、動的解析装置１３、マルウェア特徴抽出装置１４、対策指示装置２１、対策装置３１、検知装置３２は、図１に示したものと同様であるので、説明を省略する。

まず、管理者５１が検体投入装置１１を操作して、あるいは検体提供装置５２から検体投入装置１１に対してマルウェアである検体の解析を依頼する（ステップＳ００１）。

検体投入装置１１は、依頼された検体から、同じファイル種別（実行ファイル、ＰＤＦファイルなど）のマルウェアではない正規ファイルを生成（本実施形態では予め準備された正規ファイルを正規ファイルストアから取得）する（ステップＳ００２）。検体投入装置１１は検体を動的解析装置１２に送信して検体の実行を依頼する（ステップＳ００３）。またステップＳ００３と同時刻に検体投入装置１１は動的解析装置１３に正規ファイルを送信して正規ファイルの実行を依頼する（ステップＳ００４）。

動的解析装置１２は検体が投入されると検体を実行し（ステップＳ００５）、その挙動を観測して検体解析ログを取得する（ステップＳ００６）。また、動的解析装置１３は正規ファイルが投入されると正規ファイルを実行し（ステップＳ００７）、その挙動を観測して正規ファイル解析ログを取得する（ステップＳ００８）。

マルウェア特徴抽出装置１４は、動的解析装置１２から検体解析ログを、動的解析装置１３から正規ファイル解析ログをそれぞれ収集する（ステップＳ００９）。マルウェア特徴抽出装置１４は、検体解析ログと正規ファイル解析ログのイベント同士を予め定義しておいた比較ルールに則って比較して（ステップＳ０１０）、一致する部分をホワイトログ、検体解析ログにのみ現れる部分をブラックログとして抽出する（ステップＳ０１１）。ブラックログはマルウェアの特徴を示す情報となる。

対策指示装置２１は、マルウェア特徴抽出装置１４からブラックログを取得し（ステップＳ０１２）、予め定義しておいた対策ポリシ情報に基づいて対策ルールを生成し（ステップＳ０１３）、対策装置３１、検知装置３２及び端末５３のそれぞれに適した対策ルールを展開する（ステップＳ０１４）。これにより、ステップＳ００１で提供したマルウェアに固有の特徴に基づいてマルウェアに対する防御対策を施すことが可能となり、ユーザ５２の利用する端末５３がマルウェアに感染したとしても（ステップＳ０１５）、端末５３上で直ちにマルウェアを削除したり（ステップＳ０１６）、マルウェアによってインターネット５４にマルウェア通信をしようとした時には（ステップＳ０１７）、検知装置３２でその通信を検知して管理者５１に対してアラートを出したり（ステップＳ０１８）、対策装置３１でその通信を検知して通信の遮断を行ったり（ステップＳ０１９）することができる。

以上のように、本実施形態の本実施形態のシステムによれば、上述のようにマルウェアに関する特徴を精度の高く表しているブラックログに基づいてマルウェアへの対策を講じることができる。したがって、マルウェアでないファイルについてまで遮断してしまうよ
うな不具合を防止することができる。

以上、本実施形態について説明したが、上記実施形態は本発明の理解を容易にするためのものであり、本発明を限定して解釈するためのものではない。本発明は、その趣旨を逸脱することなく、変更、改良され得ると共に、本発明にはその等価物も含まれる。

例えば、本実施形態では、検体投入装置１１、動的解析装置１２及び１３ならびにマルウェア特徴抽出装置１４は、それぞれ別体のコンピュータであるものとしたが、マルウェア特徴抽出システム１０を１台のコンピュータ又は複数台のハードウェアから構成される仮想的な１台のコンピュータとして実現し、検体投入装置１１、動的解析装置１２及び１３ならびにマルウェア特徴抽出装置１４の少なくともいずれかを、マルウェア特徴抽出システム１０上で実行される仮想的なコンピュータとして実現するようにしてもよい。例えば動的解析装置１２が備える演算部１２０１、メモリ１２０２、通信部１２０５、記憶部１２０６などをマルウェア特徴抽出システム１０がエミュレートするようにすることができる。

１０ マルウェア特徴抽出システム
１１ 検体投入装置
１２、１３ 動的解析装置
１４ マルウェア特徴抽出装置
２１ 対策指示装置
３０ マルウェア対策システム
３１ 対策装置
３２ 検知装置
５０ インターネット
５１ 管理者
５２ ユーザ
５３ 端末
５４ インターネット
１１１ 検体投入プログラム
１１２ 正規ファイル生成プログラム
１１３ 検体受付ＤＢ
１１４ 正規ファイル管理ＤＢ
１１５ 解析要求ＤＢ
１２１、１３１ 検体実行プログラム
１２２、１３２ ログ取得プログラム
１２３、１３３ ログ管理ＤＢ
１４１ ログ収集プログラム
１４２ ログ比較プログラム
１４３ 比較用ＤＢ
１４４ ホワイトログＤＢ
１４５ ブラックログＤＢ
２１１ 対策ルール生成プログラム
２１２ 対策指示プログラム
２１３ 対策ポリシＤＢ
２１４ 対策ルールＤＢ
２１５ 対策装置管理ＤＢ
３１１ 対策プログラム
３２１ 検知プログラム
１１０１、１２０１、１３０１、１４０１、２１０１ 演算部
１１０２、１２０２、１３０２、１４０２、２１０２ メモリ
１１０３、１２０３、１３０３、１４０３、２１０３ 入力部
１１０４、１２０４、１３０４、１４０４、２１０４ 表示部
１１０５、１２０５、１３０５、１４０５、２１０５ 通信部
１１０６、１２０６、１３０６、１４０６、２１０６ 記憶部

Claims (10)

1. マルウェアの入力を受け付けるマルウェア受付部と、
   所定のプログラムを正常に動作させるために最小限必要な構成を有する、前記マルウェアでないファイルである正規ファイルを実行し、または前記正規ファイルに関連づけられた前記所定のプログラムを実行することにより得られる、前記正規ファイルまたは前記所定のプログラムの挙動に関するログである正規ファイル解析ログを記憶する正規ファイル解析ログ記憶部と、
   前記マルウェアを実行し、または前記マルウェアに関連づけられた前記所定のプログラムを実行する実行環境と、
   前記実行環境より得られる、前記マルウェアまたは前記所定のプログラムの挙動に関するログであるマルウェア解析ログを取得するログ取得部と、
   前記マルウェア解析ログ及び正規ファイル解析ログを比較し、前記マルウェア解析ログのうち前記正規ファイル解析ログに含まれないものを前記マルウェアに関するブラックログとして抽出するブラックログ抽出部と、
   を備えることを特徴とするマルウェア特徴抽出システム。
2. 請求項１に記載のマルウェア特徴抽出システムであって、
   前記実行環境である第１の実行環境に加えて、前記正規ファイルを実行し、または前記正規ファイルに関連づけられた前記所定のプログラムを実行する第２の実行環境を備え、
   前記第１及び第２の実行環境は同時に動作し、
   前記ログ取得部は、前記第１及び第２の実行環境から前記マルウェア解析ログ及び前記正規ファイル解析ログを取得すること、
   を特徴とするマルウェア特徴抽出システム。
3. 請求項１に記載のマルウェア特徴抽出システムであって、
   前記実行環境である第１の実行環境に加えて、前記正規ファイルを実行し、または前記正規ファイルに関連づけられた前記所定のプログラムを実行する第２の実行環境を備え、
   前記第２の実行環境において複数回、前記正規ファイルを実行し、または前記正規ファイルに関連づけられた前記所定のプログラムを実行し、
   前記ログ取得部は、前記第２の実行環境から複数回分のログを取得し、取得した複数回分のログに共通するログを抽出して前記正規ファイル解析ログとして前記正規ファイル解析ログ記憶部に記憶すること、
   を特徴とするマルウェア特徴抽出システム。
4. 請求項１に記載のマルウェア特徴抽出システムであって、
   ログの同一性を判定するためのルールを記憶するルール記憶部をさらに備え、
   前記ログ抽出部は、前記ルールに従って前記マルウェア解析ログと前記正規ファイル解析ログとの同一性を判定すること、
   を特徴とするマルウェア特徴抽出システム。
5. 請求項１に記載のマルウェア特徴抽出システムであって、
   前記マルウェアを対象とした対策を行う装置と通信可能に接続され、
   前記ブラックログに基づいて前記マルウェアに対する対策ルールを生成する対策ルール生成部と、
   前記対策ルールに従って前記マルウェアを対象とした対策を行う装置に対して指示を行う対策指示部とを備える対策指示装置と通信可能に接続されていること、
   を特徴とするマルウェア特徴抽出システム。
6. コンピュータが、
   マルウェアの入力を受け付けるステップと、
   所定のプログラムを正常に動作させるために最小限必要な構成を有する、前記マルウェアでないファイルである正規ファイルを実行し、または前記正規ファイルに関連づけられた前記所定のプログラムを実行することにより得られる、前記正規ファイルまたは前記所定のプログラムの挙動に関するログである正規ファイル解析ログを記憶するステップと、
   前記マルウェアを実行し、または前記マルウェアに関連づけられた前記所定のプログラムを実行するステップと、
   前記マルウェアの実行または前記マルウェアに関連づけられた前記所定のプログラムの実行により得られる、前記マルウェアまたは前記所定のプログラムの挙動に関するログであるマルウェア解析ログを取得するステップと、
   前記マルウェア解析ログ及び正規ファイル解析ログを比較し、前記マルウェア解析ログのうち前記正規ファイル解析ログに含まれないものを前記マルウェアに関するブラックログして抽出するステップと、
   を実行することを特徴とするマルウェア特徴抽出方法。
7. 請求項６に記載のマルウェア特徴抽出方法であって、
   前記コンピュータは、
   前記マルウェアを実行し、または前記マルウェアに関連づけられた前記所定のプログラムを実行するステップと同時に、前記正規ファイルを実行し、または前記正規ファイルに関連づけられた前記所定のプログラムを実行するステップと、
   前記マルウェア解析ログを取得するとともに、前記正規ファイルの実行または前記正規ファイルに関連づけられた前記所定のプログラムの実行により得られるログを前記正規ファイル解析ログとして取得するステップと、
   をさらに実行することを特徴とするマルウェア特徴抽出方法。
8. 請求項６に記載のマルウェア特徴抽出方法であって、
   前記コンピュータは、
   前記正規ファイルを実行し、または前記正規ファイルに関連づけられた前記所定のプログラムを実行するステップを複数回行うステップと、
   前記正規ファイルの実行または前記正規ファイルに関連づけられた前記所定のプログラムの実行により得られる複数回のログを取得するステップと、
   取得した前記複数回のログで共通するログを抽出して前記正規ファイル解析ログとして記憶するステップと、
   をさらに実行することを特徴とするマルウェア特徴抽出方法。
9. 請求項６に記載のマルウェア特徴抽出方法であって、
   前記コンピュータは、ログの同一性を判定するためのルールを記憶するステップをさらに実行し、
   前記コンピュータは、前記マルウェア解析ログ及び正規ファイル解析ログを比較するステップにおいて、前記ルールに従って前記マルウェア解析ログと前記正規ファイル解析ログとの同一性を判定すること、
   を特徴とするマルウェア特徴抽出方法。
10. 請求項６に記載のマルウェア特徴抽出方法であって、
    前記コンピュータ、及び、前記マルウェアを対象とした対策を行う装置と通信可能に接続された対策指示装置が、
    前記ブラックログに基づいて前記マルウェアに対する対策ルールを生成するステップと、
    前記対策ルールに従って前記マルウェアを対象とした対策を行う装置に対して指示を行うステップと、
    をさらに実行することを特徴とするマルウェア特徴抽出方法。

Images