JP6717206B2 - マルウェア対策装置、マルウェア対策システム、マルウェア対策方法、及び、マルウェア対策プログラム - Google Patents

マルウェア対策装置、マルウェア対策システム、マルウェア対策方法、及び、マルウェア対策プログラム Download PDF

Info

Publication number
JP6717206B2
JP6717206B2 JP2016571850A JP2016571850A JP6717206B2 JP 6717206 B2 JP6717206 B2 JP 6717206B2 JP 2016571850 A JP2016571850 A JP 2016571850A JP 2016571850 A JP2016571850 A JP 2016571850A JP 6717206 B2 JP6717206 B2 JP 6717206B2
Authority
JP
Japan
Prior art keywords
software
malware
information processing
information
attribute
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Active
Application number
JP2016571850A
Other languages
English (en)
Other versions
JPWO2016121348A1 (ja
Inventor
将 川北
将 川北
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
NEC Corp
Original Assignee
NEC Corp
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by NEC Corp filed Critical NEC Corp
Publication of JPWO2016121348A1 publication Critical patent/JPWO2016121348A1/ja
Application granted granted Critical
Publication of JP6717206B2 publication Critical patent/JP6717206B2/ja
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Images

Classifications

    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/52—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems during program execution, e.g. stack integrity ; Preventing unwanted data erasure; Buffer overflow
    • G06F21/53—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems during program execution, e.g. stack integrity ; Preventing unwanted data erasure; Buffer overflow by executing in a restricted environment, e.g. sandbox or secure virtual machine
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/55—Detecting local intrusion or implementing counter-measures
    • G06F21/56—Computer malware detection or handling, e.g. anti-virus arrangements
    • G06F21/562—Static detection
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/55—Detecting local intrusion or implementing counter-measures
    • G06F21/56—Computer malware detection or handling, e.g. anti-virus arrangements
    • G06F21/562—Static detection
    • G06F21/565—Static detection by checking file integrity
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/55—Detecting local intrusion or implementing counter-measures
    • G06F21/56—Computer malware detection or handling, e.g. anti-virus arrangements
    • G06F21/566—Dynamic detection, i.e. detection performed at run-time, e.g. emulation, suspicious activities
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/57—Certifying or maintaining trusted computer platforms, e.g. secure boots or power-downs, version controls, system software checks, secure updates or assessing vulnerabilities
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1433—Vulnerability analysis
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/55—Detecting local intrusion or implementing counter-measures
    • G06F21/554—Detecting local intrusion or implementing counter-measures involving event detection and direct action
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/55—Detecting local intrusion or implementing counter-measures
    • G06F21/56—Computer malware detection or handling, e.g. anti-virus arrangements
    • G06F21/562—Static detection
    • G06F21/563—Static detection by source code analysis
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1441—Countermeasures against malicious traffic
    • H04L63/1491—Countermeasures against malicious traffic using deception as countermeasure, e.g. honeypots, honeynets, decoys or entrapment

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Software Systems (AREA)
  • Computer Hardware Design (AREA)
  • General Engineering & Computer Science (AREA)
  • Theoretical Computer Science (AREA)
  • General Physics & Mathematics (AREA)
  • Physics & Mathematics (AREA)
  • Virology (AREA)
  • Health & Medical Sciences (AREA)
  • General Health & Medical Sciences (AREA)
  • Computing Systems (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Management, Administration, Business Operations System, And Electronic Commerce (AREA)

Description

本願発明は、マルウェアを検出して、そのマルウェアに対する対策を行うマルウェア対策装置等に関する。
昨今、コンピュータに不正な指令を与える、悪意のあるソフトウェア（以降、マルウェアと称する）に起因するセキュリティに対する脅威が社会問題となっている。したがって、そのようなセキュリティにおける脅威を排除するために、コンピュータに入り込んだマルウェアを高い精度で検出する技術に対する期待が高まってきている。
このような技術に関連する技術の一例として、特許文献１には、ファイアウォールからマルウェア候補サンプルを受信して、当該サンプルがマルウェアであると判定した場合に、シグネチャーコードを自動的に生成するマルウェア解析システムが開示されている。このシステムは、様々なヒューリスティックに基づく手法を用いて、マルウェア候補サンプルがマルウェアであるか否かを判定する。
特表2014-519113号公報
一般的なマルウェアの検出方式では、ソフトウェアを構成するバイナリコードの特徴や振る舞い（例えば、通信手順及び通信先ドメインの特徴等）に基づいて、当該ソフトウェアがマルウェアであると判定する。すなわち、一般的なマルウェアの検出方式は、ソフトウェアの動作を客観的に観測した事象のみに基づいて、マルウェアを検出している。例えば、特許文献１に記載されたマルウェア解析システムは、下記の事象のうちの少なくともいずれかを観測した場合に、当該ソフトウェアがマルウェアであると判定する。
・HTTP(Hyper Text Transfer Protocol)トラフィック用の非標準的なHTTPポートに接続すること、
・架空ドメインにアクセスすること、
・非標準的な実行ファイル拡張子を有する実行ファイルをダウンロードすること、
・ｅメールサーバ用のDNS(Domain Name System)クエリを実行すること、
・一般的な長さよりも短い長さのHTTPヘッダを用いて通信を行うこと、
・HTTPトラフィックにおいて、ポスト法により通信を行うこと、
・IRC(Internet Relay Chat)トラフィック用の非標準的なIRCポートに接続すること、
・侵入防止システム回避手法を用いて通信を行うこと、
・HTTPポートを介して分類されていないトラフィックの通信を行うこと、
・通常のドメイン名の長さよりも長いドメイン名を持つドメインにアクセスすること、
・ダイナミックDNSドメインにアクセスすること、
・ファストフラックスドメインにアクセスすること（DNSラウンドロビンの利用)、
・最近作成されたドメインにアクセスすること。
しかしながら、このような事象は、必ずしも悪意によって発生しているわけではなく、ソフトウェアを配布した提供者、あるいは、ソフトウェアを実行する利用者の、悪意のない正当な目的によって、発生している場合もある。すなわち、ソフトウェアがマルウェアであるか否かは、より正確には、ソフトウェアの動作について客観的に観測される事象だけではなく、そのソフトウェアを実行する主体の属性、及び、そのソフトウェアの属性に依存する様々な要因によって決定する。特許文献１に記載されたマルウェア解析システムは、このような様々な要因をふまえた総合的な見地（観点）に基づく情報から、ソフトウェアがマルウェアであるか否かを判定する訳ではない。従って、係るマルウェア解析システムは、この判定を高い精度で行うことができない問題がある。本願発明の主たる目的は、この課題を解決したマルウェア対策装置等を提供することである。
本願発明の一態様に係るマルウェア対策装置は、ソフトウェアを実行する第一の情報処理装置の属性を示す値と、前記ソフトウェアの属性を示す値と、前記第一の情報処理装置及び前記ソフトウェアの属性に依存する、前記ソフトウェアが前記第一の情報処理装置によって実行されたときの危険度を示す値と、が関連付けされた危険情報が記憶された記憶手段と、外部から前記第一の情報処理装置の属性を示す値を収集する主体属性収集手段と、外部から前記ソフトウェアの属性を示す値を収集する客体属性収集手段と、前記主体属性収集手段及び前記客体属性収集手段が収集した値を、前記危険情報と照合することによって得られた前記危険度を示す値が基準を満たす場合、前記ソフトウェアがマルウェアであると判定する判定手段と、を備える。
上記目的を達成する他の見地において、本願発明の一態様に係るマルウェア対策方法は、記憶手段が、ソフトウェアを実行する第一の情報処理装置の属性を示す値と、前記ソフトウェアの属性を示す値と、前記第一の情報処理装置及び前記ソフトウェアの属性に依存する、前記ソフトウェアが前記第一の情報処理装置によって実行されたときの危険度を示す値と、が関連付けされた危険情報を記憶する場合に、第三の情報処理装置によって、外部から前記第一の情報処理装置の属性を示す値を収集し、外部から前記ソフトウェアの属性を示す値を収集し、収集した、前記第一の情報処理装置の属性及び前記ソフトウェアの属性を示す値を、前記危険情報と照合することによって得られた前記危険度を示す値が基準を満たす場合、前記ソフトウェアがマルウェアであると判定する。
また、上記目的を達成する更なる見地において、本願発明の一態様に係るマルウェア対策プログラムは、ソフトウェアを実行する第一の情報処理装置の属性を示す値と、前記ソフトウェアの属性を示す値と、前記第一の情報処理装置及び前記ソフトウェアの属性に依存する、前記ソフトウェアが前記第一の情報処理装置によって実行されたときの危険度を示す値と、が関連付けされた危険情報を記憶している記憶手段にアクセス可能なコンピュータに、外部から前記第一の情報処理装置の属性を示す値を収集する主体属性収集処理と、外部から前記ソフトウェアの属性を示す値を収集する客体属性収集処理と、前記主体属性収集処理及び前記客体属性収集処理によって収集された値を、前記危険情報と照合することによって得られた前記危険度を示す値が基準を満たす場合、前記ソフトウェアがマルウェアであると判定する判定処理と、を実行させる。
更に、本発明は、係るマルウェア対策プログラム（コンピュータプログラム）が格納された、コンピュータ読み取り可能な、不揮発性の記録媒体によっても実現可能である。
本願発明は、マルウェアを高い精度で検出することを可能とする。
本願発明の第１の実施形態に係るマルウェア対策システム１の構成を示すブロック図である。 本願発明の第１の実施形態に係る主体属性データベース１１０の構成を例示する図である。 本願発明の第１の実施形態に係る客体属性データベース１１１の構成を例示する図である。 本願発明の第１の実施形態に係る主観データベース１１２の構成を例示する図である。 本願発明の第１の実施形態に係る客観データベース１１３−１の構成を例示する図である。 本願発明の第１の実施形態に係る客観データベース１１３−２の構成を例示する図である。 本願発明の第１の実施形態に係る情況データベース１１４の構成を例示する図である。 本願発明の第１の実施形態に係るマルウェア対策システム１の動作を示すフローチャートである。 本願発明の第２の実施形態に係るマルウェア対策装置５０の構成を示すブロック図である。 本願発明の各実施形態に係るマルウェア対策装置を実行可能な情報処理装置９００の構成を例示するブロック図である。
以下、本願発明の実施の形態について図面を参照して詳細に説明する。
＜第１の実施形態＞
図１は、本発明の第１の実施の形態のマルウェア対策システム１を概念的に示すブロック図である。本実施形態に係るマルウェア対策システム１は、大別して、マルウェア対策装置１０、端末装置２０、ライブサンドボックスサーバ装置３０、及び、通信ネットワーク４０を備えている。マルウェア対策装置１０、端末装置２０、及び、ライブサンドボックスサーバ装置３０は、通信ネットワーク４０を介して、互いに通信可能に接続されている。尚、本願の図１等のブロック図における矢印の向きは一例であって、ブロック間の信号の向きを限定しない。
端末装置２０は、プロセッサ及び記憶装置（不図示）を備える情報処理装置であり、通信ネットワーク４０を介して外部から入手したソフトウェア２００を実行可能である。端末装置２０は、マルウェア対策装置１０が、ソフトウェア２００がマルウェアでないと判定した場合に、マルウェア対策装置１０からの指示に従い、ソフトウェア２００を実行する。端末装置２０は、ソフトウェア２００の実行結果を、コンソール表示部２１に表示する。端末装置２０は、マルウェア対策装置１０が、ソフトウェア２００がマルウェアであると判定した場合は、ソフトウェア２００を実行しない。この場合、ソフトウェア２００は、マルウェア対策装置１０によって、ソフトウェア２００からライブサンドボックスサーバ装置３０に移動される。
ライブサンドボックスサーバ装置３０は情報処理装置であり、仮想マシン３１を実行している。ライブサンドボックスサーバ装置３０は、複数の仮想マシンを実行してもよい。仮想マシン３１は、端末装置２０から移動したソフトウェア２００を、被疑マルウェア３１０として内部に格納し、マルウェア対策装置１０からの指示に従って、被疑マルウェア３１０の処理を実行する。仮想マシン３１は、被疑マルウェア３１０の実行結果を、端末装置２０におけるコンソール表示部２１に出力する。仮想マシン３１は、被疑マルウェア３１０を実行中に、端末装置２０を介して、ユーザによる入力操作を受け付けることができる。
マルウェア対策装置１０は、端末装置２００が入手したソフトウェア２００がマルウェアであるか否かを判定し、ソフトウェア２００がマルウェアであると判定した場合に、マルウェアに対する対策処理を行う装置である。マルウェア対策装置１０は、危険情報記憶部１１、危険情報収集部１２、主体属性収集部１３、客体属性収集部１４、判定部１５、移動部１６、及び、内部状態収集部１７を備えている。危険情報記憶部１１は、電子メモリあるいは磁気ディスク等の記憶デバイスである。危険情報収集部１２、主体属性収集部１３、客体属性収集部１４、判定部１５、移動部１６、及び、内部状態収集部１７は、電子回路の場合もあれば、コンピュータプログラムとそのコンピュータプログラムに従って動作するプロセッサによって実現される場合もある。
危険情報記憶部１１は、主体属性データベース１１０、客体属性データベース１１１、主観データベース１１２、客観データベース１１３、情況データベース１１４、及び、証跡情報１１５を記憶している。
主体属性データベース１１０は、ソフトウェア２００を実行する端末装置２０の属性を判定する際の基準となる情報である。図２は、主体属性データベース１１０の構成例を示す図である。図２に示す通り、主体属性データベース１１０は、「主体装置ＩＰ（Ｉｎｔｅｒｎｅｔ Ｐｒｏｔｏｃｏｌ）アドレス」、「所属組織」、及び、「設置国」を表す各情報（データ）が関連付けされたテーブルである。「主体装置ＩＰアドレス」は、マルウェアであるか否かを判定する対象であるソフトウェア（以降、客体ソフトウェアと称する）を実行する装置（以降、主体装置と称する）に付与されたＩＰアドレスを示す。「所属組織」は、主体装置を所有する組織を識別可能な識別子である。「設置国」は、主体装置が設置された国を識別可能な識別子であり、例えば、国の名称あるいは国コード等である。
図２に例示する主体属性データベース１１０は、例えば、「主体装置ＩＰアドレス」として「ＩＰアドレス１０００」を付与された装置は、「組織Ａ」によって所有され、「Ｘ国」に設置されていることを示している。尚、図２に示す主体属性データベース１１０の構成例は一例であり、主体属性データベース１１０の構成は、図２に示す構成例とは異なる構成であってもよい。
図１に示す客体属性データベース１１１は、ソフトウェア２００の属性を判定する際の基準となる情報である。図３は、主体属性データベース１１１の構成例を示す図である。図３に示す通り、客体属性データベース１１１は、「ハッシュ値」、「開発元の国」、及び、「開発元の言語圏」を表す各情報（データ）が関連付けされたテーブルである。「ハッシュ値」は、客体ソフトウェアのバイナリコードを所定のハッシュ関数に入力することによって算出した値を示す。客体属性データベース１１１は、「ハッシュ値」の代わりに、客体ソフトウェアを配布した配布元装置に付与されたＩＰアドレスを含んでもよい。
「開発元の国」は、客体ソフトウェアが開発された国を識別可能な識別子である。「開発元の言語圏」は、客体ソフトウェアが開発された言語圏を識別可能な識別子である。マルウェア対策装置１０は、客体ソフトウェアに関して、「開発元の国」及び「開発元の言語圏」を、バイナリコードが含む文字情報あるいはデジタル署名情報等の内容により値が決定される「ハッシュ値」を基に取得することができる。図３に例示する客体属性データベース１１１は、例えば、「ハッシュ値」が「０００４」である客体ソフトウェアは、「Ｚ国」における「ｚ２語」が使用される言語圏において開発されたことを示している。尚、図３に示す客体属性データベース１１１の構成例は一例であり、客体属性データベース１１１の構成は、図３に示す構成例とは異なる構成であってもよい。
図１に示す主観データベース１１２は、主体装置が客体ソフトウェアを実行した場合における、主体装置の属性に依存する危険度を判定する際の基準となる情報である。図４は、主観データベース１１２の構成例を示す図である。図４に示す通り、主観データベース１１２は、「所属組織」、「設置国」、「セキュリティポリシー」、及び、「ポリシー違反危険指数」を表す各情報（データ）が関連付けされたテーブルである。「所属組織」は、主体装置を所有する組織を識別可能な識別子である。「設置国」は、主体装置が設置された国を識別可能な識別子である。「セキュリティポリシー」は、主体装置に適用されるセキュリティポリシーの内容を示す。図４に示す例では、「セキュリティポリシー」として、便宜上、例えば「セキュリティポリシーＡＸ」と記載しているが、「セキュリティポリシーＡＸ」は、そのポリシーの内容を示すこととする。
「ポリシー違反危険指数」は、主体装置が客体ソフトウェアを実行した際に、セキュリティポリシーに違反する事象が発生した場合の危険度を示す数値である。「ポリシー違反危険指数」は、その値が大きいほど、危険度が高いことを示している。図４に例示する主観データベース１１２は、例えば、「Ｘ国」に設置され「組織Ａ」が所有する主体装置には、「セキュリティポリシーＡＸ」が適用され、「セキュリティポリシーＡＸ」に違反する事象が発生した場合の危険指数が「７０」であることを示している。図４に例示する主観データベース１１２は、同様に、「Ｚ国」に設置され「組織Ｃ」が所有する主体装置には、「セキュリティポリシーＣＺ」が適用され、「セキュリティポリシーＣＺ」に違反する事象が発生した場合の危険指数が「２０」であることを示している。
主体装置に適用されるセキュリティポリシー、及び、当該セキュリティポリシーに違反した場合の危険度は、一般的に、主体装置の属性によって異なる。例えば、社会的に重要性が低い情報処理を行う主体装置には、緩やかなセキュリティポリシーが適用され、当該セキュリティポリシーに違反した場合の危険度は低くなる。これに対して、社会的に重要性が高い情報処理を行う主体装置には、厳しいセキュリティポリシーが適用され、当該セキュリティポリシーに違反した場合の危険度は高くなる。
図１に示す客観データベース１１３は、主体装置が客体ソフトウェアを実行した場合における、客体ソフトウェアの属性に依存する危険度を判定する際の基準となる情報である。客観データベース１１３は、マルウェアの疑いがある客体ソフトウェアを、そのソースコードあるいはバイナリコードに対する静的分析によって得られた情報、及び、客体ソフトウェアの動作に対する動的分析によって得られた情報と、危険度とを関連付けている。客体ソフトウェアに関する静的分析あるいは動的分析によって得られる情報としては、例えば、通信先のＩＰアドレス、通信頻度、システムコールの種類と発生頻度、及び、当該システムコールが使用する引数の種類等がある。
図５Ａ及び５Ｂは、客観データベース１１３の２つの構成例を示す図である。図５Ａに示す客観データベース１１３−１は、通信先のＩＰアドレスに関する客観データベースである。図５Ａに示す通り、客観データベース１１３−１は、「通信先ＩＰアドレス」、「通信頻度」、及び、「事象発生時の危険指数」を表す各情報（データ）が関連付けされたテーブルである。客観データベース１１３−１は、例えば、主体装置が客体ソフトウェアを実行中に、「ＩＰアドレス２０００」が付与された装置に対して、「１〜（から）５」（回／時間）通信を行った場合、「事象発生時の危険指数」が「１０」であることを示している。図５Ｂに示す客観データベース１１３−２は、発生するシステムコールに関する客観データベースである。図５Ｂに示す通り、客観データベース１１３−２は、「システムコール種別」、「発生頻度」、及び、「事象発生時の危険指数」という項目が関連付けされたテーブルである。客観データベース１１３−２は、例えば、主体装置が客体ソフトウェアを実行中に、「システムコールＡ」が、「１〜２」（回／時間）発生した場合、「事象発生時の危険指数」が「２０」であることを示している。
図１に示す情況データベース１１４は、主体装置が客体ソフトウェアを実行した場合における、主体装置及び客体ソフトウェアの属性に依存する危険度を判定する際の基準となる情報である。図６は、情況データベース１１４の構成例を示す図である。図６に示す通り、情況データベース１１４は、「開発元の国」、「開発元の言語圏」、「設置国」、及び、「不正動作危険指数」を表す各情報（データ）が関連付けされたテーブルである。「開発元の国」は、客体ソフトウェアが開発された国を識別可能な識別子である。「開発元の言語圏」は、客体ソフトウェアが開発された言語圏を識別可能な識別子である。「設置国」は、主体装置が設置された国を識別可能な識別子である。
「不正動作危険指数」は、主体装置が客体ソフトウェアを実行した際に、当該客体ソフトウェアがサイバー攻撃等の不正動作を行う可能性の高さを示す数値である。図６に示す情況データベース１１４は、例えば、「Ｚ国」における「ｚ１語」言語圏において開発された客体ソフトウェアを、「Ｖ国」に設置された主体装置が実行する場合、「不正動作危険指数」が３０であることを示している。図６に示す情況データベース１１４は、同様に、「Ｗ国」における「ｗ１語」言語圏において開発された客体ソフトウェアを主体装置が実行する場合、主体装置が設置された国にかかわらず、「不正動作危険指数」が８０であることを示している。一般的に、反社会的な危険性の高い国において開発された客体ソフトウェアは、サイバー攻撃等の不正動作を行う可能性が高い。また、敵対関係にある国家間において、片方の国において開発された客体ソフトウェアを、もう片方の国に設置された主体装置が実行する場合、当該客体ソフトウェアが不正動作を行う可能性が高くなる。情況データベース１１４は、主体装置が客体ソフトウェアを実行した場合の危険度を、国際情勢等の情報に基づいて判定する際の基準となる情報である。
図１に示す証跡情報１１５は、被疑マルウェア３１０を内部に格納した仮想マシン３１のスナップショットを含む情報である。スナップショットとは、ライブサンドボックスサーバ装置３０が備えるメモリに格納された、仮想マシン３１を表す情報（データ）である。
図１に示す危険情報収集部１２は、危険情報記憶部１１が記憶する各データベースに関係する情報を、通信ネットワーク４０を介して外部装置から収集したのち、収集した情報を、危険情報記憶部１１が記憶する各データベースに登録する。危険情報収集部１２は、例えば、「主体装置ＩＰアドレス」と「所属組織」との関連付けを示す情報を管理する企業内管理サーバ装置から当該情報を収集し、当該情報を主体属性データベース１１０に登録する。危険情報収集部１２は、また、組織ごとのセキュリティポリシーを管理する企業内管理サーバ装置から、セキュリティポリシーに関する情報を収集し、当該情報を主観データベース１１２に登録する。主観データベース１１２における「ポリシー違反危険指数」については、危険情報収集部１２が所定の算出基準に基づいて値を設定してもよいし、マルウェア対策システム１を管理するシステム管理者が値を設定してもよい。
危険情報収集部１２は、また、ニュース、ソーシャルメディアにより提供される情報、及び、渡航安全情報等の情報を、所定のキーワードをキーとしてインターネットを介して収集し、情況データベース１１４に登録してもよい。この場合、「不正動作危険指数」については、危険情報収集部１２が所定の算出基準に基づいて値を設定してもよいし、システム管理者が値を設定してもよい。尚、システム管理者が危険情報記憶部１１に記憶される各データベースを登録する場合、マルウェア対策装置１０は、危険情報収集部１２を備えなくてもよい。
主体属性収集部１３は、端末装置２０がソフトウェア２００を入手したときに、端末装置２０から、その属性を示す情報としてＩＰアドレスを収集し、収集したＩＰアドレスを判定部１５へ入力する。端末装置２０の属性を管理する管理サーバ装置がマルウェア対策システム１の中に存在する場合、主体属性収集部１３は、端末装置２０の属性を示すＩＰアドレス等の情報を、当該管理サーバ装置から収集してもよい。
客体属性収集部１４は、端末装置２０がソフトウェア２００を入手したときに、端末装置２０が内部に格納したソフトウェア２００のバイナリコードあるいはソースコードから、ソフトウェア２００の属性を示す情報を収集する。客体属性収集部１４は、例えば、ソフトウェア２００のバイナリコードを所定のハッシュ関数に入力することによって、ハッシュ値を算出する。客体属性収集部１４は、あるいは、ソフトウェア２００を配布した配布元装置のＩＰアドレスを、端末装置２０がソフトウェア２００を入手したときのログ情報などから入手してもよい。客体属性収集部１４は、ソフトウェア２００の属性を示す情報を、判定部１５へ入力する。
判定部１５は、主体属性収集部１３から入力された、端末装置２０の属性を示すＩＰアドレスを、危険情報記憶部１１に記憶された主体属性データベース１１０と照合する。例えば、主体属性収集部１３から入力されたＩＰアドレスが、「ＩＰアドレス１０００」である場合、判定部１５は、端末装置２０が「組織Ａ」によって所有され、「Ｘ国」に設置されている装置であると認定する。
判定部１５は、客体属性収集部１４から入力された、ソフトウェア２００の属性を示すハッシュ値を、危険情報記憶部１１に記憶された客体属性データベース１１１と照合する。例えば、客体属性収集部１４から入力されたハッシュ値が「０００５」である場合、判定部１５は、ソフトウェア２００が「Ｗ国」における言語圏が「ｗ１語」である地域において開発されたソフトウェアであると認定する。
判定部１５は、例えば、端末装置２０が「組織Ａ」によって所有され「Ｘ国」に設置されている装置であると認定した場合、主観データベース１１２を参照することによって、端末装置２０には、「セキュリティポリシーＡＸ」が適用され、「ポリシー違反危険指数」が「７０」であると認定する。判定部１５は、ソフトウェア２００を分析した結果、端末装置２０がソフトウェア２００を実行した際に「セキュリティポリシーＡＸ」に準拠しない事象が発生することが判明した場合、端末装置２０がソフトウェア２００を実行した場合の危険指数を「７０」に設定する。
判定部１５は、ソフトウェア２００を分析した結果を、客観データベース１１３と照合する。判定部１５は、端末装置２０がソフトウェア２００を実行した際に、客観データベース１１３に登録されている事象が発生することが判明した場合、当該事象に関する「事象発生時の危険指数」の値を、端末装置２０がソフトウェア２００を実行した場合の危険指数に加算する。
判定部１５は、端末装置２０及びソフトウェア２００の属性を示す値を、情況データベース１１４と照合する。図６に示す通り、例えば、ソフトウェア２００が「Ｗ国」における言語圏が「ｗ１語」である地域において開発されたソフトウェアである場合、端末装置２０が設置された国にかかわらず、「不正動作危険指数」は「８０」である。この場合、判定部１５は、端末装置２０がソフトウェア２００を実行した場合の危険指数に「８０」を加算する。
判定部１５は、端末装置２０及びソフトウェア２００の属性を示す値を、危険情報記憶部１１に記憶された各データベースと照合することによって算出した、端末装置２０がソフトウェア２００を実行した場合の危険指数が、判定基準１５０を満たすか否かを判定する。判定基準１５０は、判定部１５がソフトウェア２００をマルウェアと判定する際の基準なる情報であり、例えば、主体装置が客体ソフトウェアを実行した場合の危険指数に関する閾値である。判定部１５は、端末装置２０がソフトウェア２００を実行した場合の危険指数が判定基準１５０を満たす場合、ソフトウェア２００をマルウェアと判定し、その判定結果を、移動部１６、及び、内部状態収集部１７に入力する。
移動部１６は、判定部１５がソフトウェア２００をマルウェアと判定した場合、ソフトウェア２００を、ライブサンドボックスサーバ装置３０における仮想マシン３１に移動し、被疑マルウェア３１０として、仮想マシン３１に格納する。
内部状態収集部１７は、仮想マシン３１が被疑マルウェア３１０を格納したのち、被疑マルウェア３１０を実行する前の仮想マシン３１のスナップショットを採取して、採取したスナップショットを証跡情報１１５として、危険情報記憶部１１に格納する。
内部状態収集部１７は、証跡情報１１５から、被疑マルウェア３１０を検体として抽出する。内部状態収集部１７は、その検体に対する静的解析を行い、その解析結果を、客観データベース１１３として、危険情報記憶部１１へ格納する。内部状態収集部１７は、仮想マシン３１が被疑マルウェア３１の実行を開始した後、被疑マルウェア３１０の動作を表す情報を収集して、収集した情報を客観データベース１１３として、危険情報記憶部１１へ格納する。被疑マルウェア３１０の動作を表す情報は、例えば、通信先である装置のＩＰアドレス、通信頻度、システムコールの引数、及び、システムコールの頻度の少なくともいずれかである。客観データベース１１３における「事象発生時の危険指数」については、内部状態収集部１７が所定の算出基準に基づいて値を設定してもよいし、システム管理者が値を設定してもよい。
次に図７のフローチャートを参照して、本実施形態に係るマルウェア対策システム１の動作（処理）について詳細に説明する。
端末装置２０は、通信ネットワーク４０を介して、ソフトウェア２００を入手する（ステップＳ１０１）。主体属性収集部１３は、端末装置２０の属性を示す値を収集し、判定部１５へ入力する（ステップＳ１０２）。客体属性収集部１４は、ソフトウェア２００の属性を示す値を収集し、判定部１５へ入力する（ステップＳ１０３）。判定部１５は、端末装置２０がソフトウェア２００を実行した場合の危険度を示す値を、危険情報記憶部１１から入手する（ステップＳ１０４）。
判定部１５は、入手した危険度を示す値が、判定基準１５０を満たすか否か、判定する（ステップＳ１０５）。危険度を示す値が判定基準１５０を満たさない場合（ステップＳ１０６でＮｏ）、端末装置２０は、ソフトウェア２００の実行を開始して（ステップＳ１０７）、全体の処理は終了する。
危険度を示す値が判定基準１５０を満たす場合（ステップＳ１０６でＹｅｓ）、移動部１６は、ソフトウェア２００を、被疑マルウェア３１０として、仮想マシン３１へ移動する（ステップＳ１０８）。内部状態収集部１７は、仮想マシン３１のスナップショットを、証跡情報１１５として、危険情報記憶部１１へ格納する（ステップＳ１０９）。仮想マシン３１は、被疑マルウェア３１０の実行を開始し（ステップＳ１１０）、全体の処理は終了する。
本実施形態に係るマルウェア対策システム１は、マルウェアを高い精度で検出することができる。その理由は、判定部１５が、主体属性収集部１３によって収集された端末装置２０の属性を示す値、及び、客体属性収集部１４によって収集されたソフトウェア２００の属性を示す値を、危険情報記憶部１１に記憶された各データベースと照合することによって得られた危険度を示す値に基づき、ソフトウェア２００がマルウェアであるか否かを判定するからである。
本実施形態に係るマルウェア対策システム１による効果を、以下により具体的に説明する。一般的なマルウェアの検出方式は、客体ソフトウェアの動作を客観的に観測した事象のみに基づいて、マルウェアを検出している。しかしながら、マルウェアであると判定される事象は、必ずしも悪意によって発生しているわけではなく、客体ソフトウェアを配布した提供者、あるいは、客体ソフトウェアを実行する利用者の、悪意のない正当な目的によって、発生している場合もある。すなわち、客体ソフトウェアがマルウェアであるか否かは、より正確には、客体ソフトウェアの動作について客観的に観測される事象だけではなく、主体装置の属性、及び、客体ソフトウェアの属性に依存する様々な要因によって決定する。したがって、一般的なマルウェアの検出方式では、マルウェアを高い精度で検出することは困難である。
これに対して、本実施形態に係るマルウェア対策装置１０では、危険情報記憶部１１に、主体装置の属性を示す値と、客体ソフトウェアの属性を示す値と、主体装置及び客体ソフトウェアの属性に依存する、客体ソフトウェアが主体装置によって実行されたときの危険度を示す値と、が関連付けされたデータベースが記憶されている。主体属性収集部１３は主体装置の属性を示す値を収集し、客体属性収集部１４は客体ソフトウェアの属性を示す値を収集する。そして、判定部１５は、収集された主体装置及び客体ソフトウェアの属性を示す値を、危険情報記憶部１１に記憶されたデータベースと照合することによって得られた危険度を示す値に基づいて、客体ソフトウェアがマルウェアであるか否かを判定する。したがって、本実施形態に係るマルウェア対策装置１０は、このような総合的な見地（観点）に基づく情報を用いた判定を行うことによって、マルウェアを高い精度で検出することができる。
また、マルウェアである客体ソフトウェアが、主体装置によって実行された場合、客体ソフトウェアがマルウェアであることが検出されるまで、当該客体ソフトウェアの不正動作によって、主体装置から機密情報が漏えいするなどの問題が発生する虞がある。これに対して、本実施形態に係るマルウェア対策装置１０では、判定部１５がソフトウェア２００をマルウェアと判定した場合、移動部１６がソフトウェア２００を、端末装置２０からライブサンドボックスサーバ装置３１における仮想マシン３１に移動し、被疑マルウェア３１０として格納する。移動部１６からの指示に従って、端末装置２０はソフトウェア２００を実行せずに、仮想マシン３１が被疑マルウェア３１０を実行する。すなわち、マルウェア対策装置１０は、マルウェアである疑いがあるソフトウェア２００を、被疑マルウェア３１０として、ライブサンドボックスサーバ装置３１に事前に隔離する。これにより、本実施形態に係るマルウェア対策装置１０は、上述した問題が発生することを防止できる。
また、マルウェアは、不正動作を行うことによって目的を達成したのち、自身を消去することが多い。この場合、マルウェアの動作を再現することによってマルウェアを解析することができなくなる。これに対して、本実施形態に係るマルウェア対策装置１０では、仮想マシン３１が被疑マルウェア３１０を実行する前に、内部状態収集部１７が、仮想マシン３１のスナップショットを採取して、そのスナップショットを証跡情報１１５として、危険情報記憶部１１へ格納する。したがって、マルウェア対策装置１０は、マルウェアが自身を消去したのちも、証跡情報１１５からマルウェアの検体を抽出することによって、マルウェアを解析することができる。
また、本実施形態に係るマルウェア対策装置１０は、危険情報収集部１２を備えるため、危険情報記憶部１１に記憶される各データベースを、効率的に構築することができる。
尚、主体属性収集部１３、客体属性収集部１４、及び、判定部１５は、端末装置２０に内蔵されてもよい。この場合、判定部１５は、通信ネットワーク４０を介して、危険情報記憶部１１へアクセスする。また、移動部１６、及び、内部状態収集部１７は、順に、端末装置２０、及び、ライブサンドボックスサーバ装置３０に内蔵されてもよい。
また、マルウェア対策システム１は、ライブサンドボックスサーバ装置３０の代わりに、実マシン環境で動作するサーバ装置を備えてもよい。この場合、内部状態収集部１７は、仮想マシン３１のスナップショットの代わりに、実マシン環境で動作するサーバ装置のログ情報、及び、当該サーバ装置が備えるメモリやディスク等に記憶された情報等を収集する。
＜第２の実施形態＞
図８は、第２の実施形態に係るマルウェア対策装置５０の構成を概念的に示すブロック図である。
本実施形態に係るマルウェア対策装置５０は、記憶部５１、主体属性収集部５３、客体属性収集部５４、及び、判定部５５を備えている。
記憶部５１には、危険情報５１０が記憶されている。危険情報５１０は、ソフトウェア６００を実行する情報処理装置６０の属性を示す値と、ソフトウェア６００の属性を示す値と、情報処理装置６０及びソフトウェア６００の属性に依存する、ソフトウェア６００が情報処理装置６０によって実行されたときの危険度を示す値と、が関連付けされた情報である。
主体属性収集部５３は、外部から情報処理装置６０の属性を示す値を収集する。
客体属性収集部５４は、外部からソフトウェア６００の属性を示す値を収集する。
判定部５５は、主体属性収集部５３及び客体属性収集部５４が収集した値を、危険情報５１０と照合することによって得られた危険度を示す値が基準を満たす場合、ソフトウェア６００がマルウェアであると判定する。
本実施形態に係るマルウェア対策装置５０は、マルウェアを高い精度で検出することができる。その理由は、判定部５５が、主体属性収集部５３によって収集された情報処理装置６０の属性を示す値、及び、客体属性収集部５４によって収集されたソフトウェア６００の属性を示す値を、記憶部５１に記憶された危険情報５１０と照合することによって得られた危険度を示す値に基づき、ソフトウェア６００がマルウェアであるか否かを判定するからである。
＜ハードウェア構成例＞
上述した各実施形態において図１、及び、図８に示した各部は、専用のＨＷ（ＨａｒｄＷａｒｅ）（電子回路）によって実現することができる。また、少なくとも、主体属性収集部１３及び５３、客体属性収集部１４及び５４、判定部１５及び５５、移動部１６、及び、内部状態収集部１７は、ソフトウェアプログラムの機能（処理）単位（ソフトウェアモジュール）と捉えることができる。但し、これらの図面に示した各部の区分けは、説明の便宜上の構成であり、実装に際しては、様々な構成が想定され得る。この場合のハードウェア環境の一例を、図９を参照して説明する。
図９は、本発明の各実施形態に係るマルウェア対策装置を実行可能な情報処理装置９００（コンピュータ）の構成を例示的に説明する図である。即ち、図９は、図１及び図８、に示したマルウェア対策装置を実現可能なコンピュータ（情報処理装置）の構成であって、上述した実施形態における各機能を実現可能なハードウェア環境を表す。
図９に示した情報処理装置９００は、構成要素として下記を備えている。
・ＣＰＵ（Ｃｅｎｔｒａｌ＿Ｐｒｏｃｅｓｓｉｎｇ＿Ｕｎｉｔ）９０１、
・ＲＯＭ（Ｒｅａｄ＿Ｏｎｌｙ＿Ｍｅｍｏｒｙ）９０２、
・ＲＡＭ（Ｒａｎｄｏｍ＿Ａｃｃｅｓｓ＿Ｍｅｍｏｒｙ）９０３、
・ハードディスク（記憶装置）９０４、
・外部装置との通信インタフェース９０５、
・バス９０６（通信線）、
・ＣＤ−ＲＯＭ（Ｃｏｍｐａｃｔ＿Ｄｉｓｃ＿Ｒｅａｄ＿Ｏｎｌｙ＿Ｍｅｍｏｒｙ）等の記録媒体９０７に格納されたデータを読み書き可能なリーダライタ９０８、
・入出力インタフェース９０９。
情報処理装置９００は、これらの構成がバス９０６を介して接続された一般的なコンピュータである。
そして、上述した実施形態を例に説明した本発明は、図９に示した情報処理装置９００に対して、次の機能を実現可能なコンピュータプログラムを供給する。その機能とは、その実施形態の説明において参照したブロック構成図（図１及び図８）における、主体属性収集部１３及び５３、客体属性収集部１４及び５４、判定部１５及び５５、移動部１６、及び、内部状態収集部１７、或いはフローチャート（図７）の機能である。本発明は、その後、そのコンピュータプログラムを、当該ハードウェアのＣＰＵ９０１に読み出して解釈し実行することによって達成される。また、当該装置内に供給されたコンピュータプログラムは、読み書き可能な揮発性のメモリ（ＲＡＭ９０３）またはハードディスク９０４等の不揮発性の記憶デバイスに格納すれば良い。
また、前記の場合において、当該ハードウェア内へのコンピュータプログラムの供給方法は、現在では一般的な手順を採用することができる。その手順としては、例えば、ＣＤ−ＲＯＭ等の各種記録媒体９０７を介して当該装置内にインストールする方法や、インターネット等の通信回線を介して外部よりダウンロードする方法等がある。そして、このような場合において、本発明は、係るコンピュータプログラムを構成するコード或いは、そのコードが格納された記録媒体９０７によって構成されると捉えることができる。
以上、上述した実施形態を模範的な例として本発明を説明した。しかしながら、本発明は、上述した実施形態には限定されない。即ち、本発明は、本発明のスコープ内において、当業者が理解し得る様々な態様を適用することができる。
この出願は、２０１５年１月２９日に出願された日本出願特願２０１５−０１４８７３を基礎とする優先権を主張し、その開示の全てをここに取り込む。
１ マルウェア対策システム
１０ マルウェア対策装置
１１ 危険情報記憶部
１１０ 主体属性データベース
１１１ 客体属性データベース
１１２ 主観データベース
１１３ 客観データベース
１１４ 情況データベース
１１５ 証跡情報
１２ 危険情報収集部
１３ 主体属性収集部
１４ 客体属性収集部
１５ 判定部
１５０ 判定基準
１６ 移動部
１７ 内部状態収集部
２０ 端末装置
２１ コンソール表示部
２００ ソフトウェア
３０ ライブサンドボックスサーバ装置
３１ 仮想マシン
３１０ 被疑マルウェア
４０ 通信ネットワーク
５０ マルウェア対策装置
５１ 記憶部
５１０ 危険情報
５３ 主体属性収集部
５４ 客体属性収集部
５５ 判定部
９００ 情報処理装置
９０１ ＣＰＵ
９０２ ＲＯＭ
９０３ ＲＡＭ
９０４ ハードディスク（記憶装置）
９０５ 通信インタフェース
９０６ バス
９０７ 記録媒体
９０８ リーダライタ
９０９ 入出力インタフェース

Claims (21)

  1. ソフトウェアを実行する第一の情報処理装置の属性を示す値と、前記ソフトウェアの属性を示す値と、前記第一の情報処理装置及び前記ソフトウェアの属性に依存する、前記ソフトウェアが前記第一の情報処理装置によって実行されたときの危険度を示す値と、が関連付けされた危険情報が記憶された記憶手段と、
    外部から前記第一の情報処理装置の属性を示す値を収集する主体属性収集手段と、
    外部から前記ソフトウェアの属性を示す値を収集する客体属性収集手段と、
    前記主体属性収集手段及び前記客体属性収集手段が収集した値を、前記危険情報と照合することによって得られた前記危険度を示す値が基準を満たす場合、前記ソフトウェアがマルウェアであると判定する判定手段と、
    を備えるマルウェア対策装置。
  2. 前記判定手段が、前記ソフトウェアがマルウェアであると判定した場合、前記ソフトウェアを第二の情報処理装置に移動したのち、前記第二の情報処理装置に前記ソフトウェアを実行させる移動手段
    をさらに備える、請求項１に記載のマルウェア対策装置。
  3. 前記移動手段が前記第二の情報処理装置に前記ソフトウェアを移動したのち、前記第二の情報処理装置に前記ソフトウェアを実行させる前に、前記第二の情報処理装置から、内部状態を表す情報を収集する内部状態収集手段
    をさらに備える、請求項２に記載のマルウェア対策装置。
  4. 前記移動手段は、前記ソフトウェアを、仮想マシンである前記第二の情報処理装置に移動し、
    前記内部状態収集手段は、前記第二の情報処理装置に前記ソフトウェアを実行させる前に、前記第二の情報処理装置のスナップショットを収集する、
    請求項３に記載のマルウェア対策装置。
  5. 前記内部状態収集手段は、前記第二の情報処理装置によって実行されている前記ソフトウェアの動作を表す情報を収集し、収集した情報を前記危険情報として、前記記憶手段へ格納する、
    請求項３又は４に記載のマルウェア対策装置。
  6. 前記内部状態収集手段は、前記第二の情報処理装置によって実行されている前記ソフトウェアの動作を表す情報として、通信先である装置のＩＰアドレス、通信頻度、システムコールの引数、及び、前記システムコールの頻度の少なくともいずれかを収集する、
    請求項５に記載のマルウェア対策装置。
  7. 通信可能に接続された通信ネットワークを介してアクセス可能な外部装置から、前記危険情報を収集し、収集した前記危険情報を前記記憶手段に格納する危険情報収集手段、
    をさらに備える、請求項１乃至６のいずれかに記載のマルウェア対策装置。
  8. 前記主体属性収集手段は、前記第一の情報処理装置から、前記第一の情報処理装置に付
    与されたＩＰアドレスを収集する、
    請求項１乃至７のいずれかに記載のマルウェア対策装置。
  9. 前記客体属性収集手段は、前記ソフトウェアのバイナリコードを、ハッシュ関数に入力することによって得られるハッシュ値を収集する、
    請求項１乃至８のいずれかに記載のマルウェア対策装置。
  10. 前記記憶手段は、前記第一の情報処理装置に付与されたＩＰアドレスと、前記第一の情報処理装置を所有あるいは設置する組織を識別可能な識別子と、が関連付けされた前記危険情報を記憶する、
    請求項８乃至９のいずれかに記載のマルウェア対策装置。
  11. 前記記憶手段は、前記ハッシュ値と、前記ソフトウェアを開発した開発元に関する情報と、が関連付けされた前記危険情報を記憶する、
    請求項９に記載のマルウェア対策装置。
  12. 前記記憶手段は、前記第一の情報処理装置に適用されるセキュリティポリシーの内容と、前記第一の情報処理装置が前記ソフトウェアを実行するときに前記セキュリティポリシーに準拠しない動作を行った場合の前記危険度を示す値と、が関連付けされた前記危険情報を記憶する、
    請求項１乃至１１のいずれかに記載のマルウェア対策装置。
  13. 前記記憶手段は、前記第一の情報処理装置が前記ソフトウェアを実行する場合に発生する事象の内容を示す情報と、前記危険度を示す値と、が関連付けされた前記危険情報を記憶する、
    請求項１乃至１２のいずれかに記載のマルウェア対策装置。
  14. 前記記憶手段は、前記第一の情報処理装置を所有あるいは設置する組織を識別可能な識別子と、前記ソフトウェアを開発した開発元に関する情報と、前記危険度を示す値と、が関連付けされた前記危険情報を記憶する、
    請求項１０乃至１３のいずれかに記載のマルウェア対策装置。
  15. 請求項２乃至６のいずれかに記載のマルウェア対策装置と、
    前記第一及び第二の情報処理装置と、
    を備えるマルウェア対策システム。
  16. 記憶手段が、ソフトウェアを実行する第一の情報処理装置の属性を示す値と、前記ソフトウェアの属性を示す値と、前記第一の情報処理装置及び前記ソフトウェアの属性に依存する、前記ソフトウェアが前記第一の情報処理装置によって実行されたときの危険度を示す値と、が関連付けされた危険情報を記憶する場合に、
    第三の情報処理装置によって、
    外部から前記第一の情報処理装置の属性を示す値を収集し、
    外部から前記ソフトウェアの属性を示す値を収集し、
    収集した、前記第一の情報処理装置の属性及び前記ソフトウェアの属性を示す値を、前記危険情報と照合することによって得られた前記危険度を示す値が基準を満たす場合、前記ソフトウェアがマルウェアであると判定する、
    マルウェア対策方法。
  17. 前記ソフトウェアがマルウェアであると判定した場合、前記ソフトウェアを第二の情報処理装置に移動したのち、前記第二の情報処理装置に前記ソフトウェアを実行させる、
    請求項１６に記載のマルウェア対策方法。
  18. 前記第二の情報処理装置に前記ソフトウェアを移動したのち、前記第二の情報処理装置に前記ソフトウェアを実行させる前に、前記第二の情報処理装置から、内部状態を表す情報を収集する、
    請求項１７に記載のマルウェア対策方法。
  19. ソフトウェアを実行する第一の情報処理装置の属性を示す値と、前記ソフトウェアの属性を示す値と、前記第一の情報処理装置及び前記ソフトウェアの属性に依存する、前記ソフトウェアが前記第一の情報処理装置によって実行されたときの危険度を示す値と、が関連付けされた危険情報を記憶している記憶手段にアクセス可能なコンピュータに、
    外部から前記第一の情報処理装置の属性を示す値を収集する主体属性収集処理と、
    外部から前記ソフトウェアの属性を示す値を収集する客体属性収集処理と、
    前記主体属性収集処理及び前記客体属性収集処理によって収集された値を、前記危険情報と照合することによって得られた前記危険度を示す値が基準を満たす場合、前記ソフトウェアがマルウェアであると判定する判定処理と、
    を実行させる、マルウェア対策プログラム。
  20. 前記判定処理が、前記ソフトウェアがマルウェアであると判定した場合、前記ソフトウェアを第二の情報処理装置に移動したのち、前記第二の情報処理装置に前記ソフトウェアを実行させる移動処理
    をコンピュータに実行させる、請求項１９に記載のマルウェア対策プログラム。
  21. 前記移動処理が前記第二の情報処理装置に前記ソフトウェアを移動したのち、前記第二の情報処理装置に前記ソフトウェアを実行させる前に、前記第二の情報処理装置から、内部状態を表す情報を収集する内部状態収集処理
    をコンピュータに実行させる、請求項２０に記載のマルウェア対策プログラム。
JP2016571850A 2015-01-29 2016-01-21 マルウェア対策装置、マルウェア対策システム、マルウェア対策方法、及び、マルウェア対策プログラム Active JP6717206B2 (ja)

Applications Claiming Priority (3)

Application Number Priority Date Filing Date Title
JP2015014873 2015-01-29
JP2015014873 2015-01-29
PCT/JP2016/000293 WO2016121348A1 (ja) 2015-01-29 2016-01-21 マルウェア対策装置、マルウェア対策システム、マルウェア対策方法、及び、マルウェア対策プログラムが格納された記録媒体

Publications (2)

Publication Number Publication Date
JPWO2016121348A1 JPWO2016121348A1 (ja) 2017-11-24
JP6717206B2 true JP6717206B2 (ja) 2020-07-01

Family

ID=56542972

Family Applications (1)

Application Number Title Priority Date Filing Date
JP2016571850A Active JP6717206B2 (ja) 2015-01-29 2016-01-21 マルウェア対策装置、マルウェア対策システム、マルウェア対策方法、及び、マルウェア対策プログラム

Country Status (3)

Country Link
US (1) US10482240B2 (ja)
JP (1) JP6717206B2 (ja)
WO (1) WO2016121348A1 (ja)

Families Citing this family (8)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP6687844B2 (ja) * 2016-04-13 2020-04-28 富士通株式会社 マルウエア解析装置、マルウエア解析方法及びマルウエア解析プログラム
US10715533B2 (en) * 2016-07-26 2020-07-14 Microsoft Technology Licensing, Llc. Remediation for ransomware attacks on cloud drive folders
US10628585B2 (en) 2017-01-23 2020-04-21 Microsoft Technology Licensing, Llc Ransomware resilient databases
US10803177B2 (en) * 2017-07-19 2020-10-13 International Business Machines Corporation Compliance-aware runtime generation based on application patterns and risk assessment
JP7102780B2 (ja) * 2018-02-28 2022-07-20 沖電気工業株式会社 不正通信対処システム及び方法
US12067116B2 (en) 2019-02-26 2024-08-20 Nec Corporation Information processing apparatus, information processing method, and computer readable medium
JP6976365B2 (ja) * 2020-01-24 2021-12-08 三菱電機株式会社 車載制御装置
US20220237026A1 (en) * 2021-01-28 2022-07-28 Microsoft Technology Licensing, Llc Volatile memory acquisition

Family Cites Families (16)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2008043109A2 (en) * 2006-10-06 2008-04-10 Smobile Systems, Inc. System and method of reporting and visualizing malware on mobile networks
US8959624B2 (en) * 2007-10-31 2015-02-17 Bank Of America Corporation Executable download tracking system
US8418251B1 (en) * 2009-04-27 2013-04-09 Symantec Corporation Detecting malware using cost characteristics
US8479286B2 (en) 2009-12-15 2013-07-02 Mcafee, Inc. Systems and methods for behavioral sandboxing
US8627463B1 (en) * 2010-09-13 2014-01-07 Symantec Corporation Systems and methods for using reputation information to evaluate the trustworthiness of files obtained via torrent transactions
JP5651065B2 (ja) * 2011-04-08 2015-01-07 Kddi株式会社 アプリケーション評価装置およびプログラム
US9047441B2 (en) 2011-05-24 2015-06-02 Palo Alto Networks, Inc. Malware analysis system
US8819772B2 (en) * 2012-06-25 2014-08-26 Appthority, Inc. In-line filtering of insecure or unwanted mobile device software components or communications
KR101402057B1 (ko) * 2012-09-19 2014-06-03 주식회사 이스트시큐리티 위험도 계산을 통한 리패키지 애플리케이션의 분석시스템 및 분석방법
US9430640B2 (en) * 2012-09-28 2016-08-30 Intel Corporation Cloud-assisted method and service for application security verification
US9305162B2 (en) * 2013-07-31 2016-04-05 Good Technology Corporation Centralized selective application approval for mobile devices
US20150101050A1 (en) * 2013-10-07 2015-04-09 Bank Of America Corporation Detecting and measuring malware threats
US10432658B2 (en) * 2014-01-17 2019-10-01 Watchguard Technologies, Inc. Systems and methods for identifying and performing an action in response to identified malicious network traffic
US9462011B2 (en) * 2014-05-30 2016-10-04 Ca, Inc. Determining trustworthiness of API requests based on source computer applications' responses to attack messages
KR101609124B1 (ko) * 2014-07-07 2016-04-20 주식회사 윈스 모바일 네트워크 환경에서 행위기반 분석 서비스 제공 방법 및 장치
US9584536B2 (en) * 2014-12-12 2017-02-28 Fortinet, Inc. Presentation of threat history associated with network activity

Also Published As

Publication number Publication date
JPWO2016121348A1 (ja) 2017-11-24
WO2016121348A1 (ja) 2016-08-04
US20180004939A1 (en) 2018-01-04
US10482240B2 (en) 2019-11-19

Similar Documents

Publication Publication Date Title
JP6717206B2 (ja) マルウェア対策装置、マルウェア対策システム、マルウェア対策方法、及び、マルウェア対策プログラム
CN107659583B (zh) 一种检测事中攻击的方法及系统
US9300682B2 (en) Composite analysis of executable content across enterprise network
EP3337106B1 (en) Identification system, identification device and identification method
US10142343B2 (en) Unauthorized access detecting system and unauthorized access detecting method
WO2014103115A1 (ja) 不正侵入検知装置、不正侵入検知方法、不正侵入検知プログラム及び記録媒体
JP6711000B2 (ja) 情報処理装置、ウィルス検出方法及びプログラム
CN108369541B (zh) 用于安全威胁的威胁风险评分的系统和方法
JP6039826B2 (ja) 不正アクセスの検知方法および検知システム
JP5739034B1 (ja) 攻撃検知システム、攻撃検知装置、攻撃検知方法および攻撃検知プログラム
JP2016146114A (ja) ブラックリストの管理方法
CN110868403B (zh) 一种识别高级持续性攻击apt的方法及设备
EP3144845B1 (en) Detection device, detection method, and detection program
EP3172692A1 (en) Remedial action for release of threat data
CN109815702B (zh) 软件行为的安全检测方法、装置及设备
JP5656266B2 (ja) ブラックリスト抽出装置、抽出方法および抽出プログラム
CN111183620A (zh) 入侵调查
KR101847277B1 (ko) 효율적인 침해사고 대응을 위한 침해지표 자동 생성 방법 및 시스템
CN114285639A (zh) 一种网站安全防护方法及装置
Krumnow et al. How gullible are web measurement tools? a case study analysing and strengthening OpenWPM's reliability
RU2514137C1 (ru) Способ автоматической настройки средства безопасности
KR20150133370A (ko) 웹서비스 접속제어 시스템 및 방법
US20220245249A1 (en) Specific file detection baked into machine learning pipelines
KR101712462B1 (ko) Ip 위험군 탐지 시스템
KR101880689B1 (ko) 악성코드 진단장치 및 방법

Legal Events

Date Code Title Description
A521 Request for written amendment filed

Free format text: JAPANESE INTERMEDIATE CODE: A523

Effective date: 20170711

A621 Written request for application examination

Free format text: JAPANESE INTERMEDIATE CODE: A621

Effective date: 20181214

A131 Notification of reasons for refusal

Free format text: JAPANESE INTERMEDIATE CODE: A131

Effective date: 20200204

A521 Request for written amendment filed

Free format text: JAPANESE INTERMEDIATE CODE: A523

Effective date: 20200403

TRDD Decision of grant or rejection written
A01 Written decision to grant a patent or to grant a registration (utility model)

Free format text: JAPANESE INTERMEDIATE CODE: A01

Effective date: 20200512

A61 First payment of annual fees (during grant procedure)

Free format text: JAPANESE INTERMEDIATE CODE: A61

Effective date: 20200525

R150 Certificate of patent or registration of utility model

Ref document number: 6717206

Country of ref document: JP

Free format text: JAPANESE INTERMEDIATE CODE: R150