JP7235109B2 - 評価装置、システム、制御方法、及びプログラム - Google Patents

Description

本発明はアプリケーションの評価に関する。

アプリケーションの評価を行うシステムが開発されている。例えば特許文献１には、観察対象ソフトウエアが正常な動作をしているときの正常動作モデルを学習しておき、観察対象ソフトウエアの動作をそのモデルと比較することにより、監視対象ソフトウエアの異常を検知するシステムを開示している。

特開２００８－１２９７１４号公報 米国特許出願公開第２０１９／００５０５７１号明細書

特許文献１のようにアプリケーションの動作に基づいて異常検知を行うシステムでは、検知漏れ（フォールスネガティブ）の発生を恐れて、異常検知が過剰気味になる傾向にある。例えば、異常かどうかが定かではない振る舞いについては、異常な振る舞いとして扱うようにセッティングされる。そのため、実際には異常でない振る舞いが、異常なものとして検知されてしまう。

本発明は、上述の課題に鑑みてなされたものであり、その目的の一つは、アプリケーションの評価をより高い精度で行う技術を提供することである。

本発明の評価装置は、１）アプリケーションの異常を検知する処理が行われたアプリケーションについて、そのアプリケーションの導入に関する導入関連情報を取得する取得部と、２）取得した導入関連情報を用いて、アプリケーションの評価を行う評価部と、を有する。

本発明のシステムは、異常検知装置と評価装置を含むシステムである。
異常検知装置は、アプリケーションの異常を検知する処理を行う。
評価装置は、１）異常検知装置によって異常検知の処理が行われたアプリケーションについて、そのアプリケーションの導入に関する導入関連情報を取得する取得部と、２）取得した導入関連情報を用いて、アプリケーションの評価を行う評価部と、を有する。

本発明の制御方法はコンピュータによって実行される。制御方法は、１）アプリケーションの異常を検知する処理が行われたアプリケーションについて、そのアプリケーションの導入に関する導入関連情報を取得する取得ステップと、２）取得した導入関連情報を用いて、アプリケーションの評価を行う評価ステップと、を有する。

本発明によれば、アプリケーションの評価をより高い精度で行う技術が提供される。

上述した目的、およびその他の目的、特徴および利点は、以下に述べる好適な実施の形態、およびそれに付随する以下の図面によってさらに明らかになる。
本実施形態の評価装置の動作の概要を例示する図である。 実施形態１の評価装置の構成を例示する図である。 評価装置を実現するための計算機を例示する図である。 実施形態１の評価装置によって実行される処理の流れを例示するフローチャートである。 実施形態１の評価装置の利用環境を例示する図である。 導入関連情報をテーブル形式で例示する図である。 基準情報をテーブル形式で例示する図である。 出力部を有する評価装置の構成を例示するブロック図である。 基準情報を管理する構成を例示する図である。 評価結果画面を例示する図である。 実施形態２の評価装置の機能構成を例示するブロック図である。 実施形態２の評価装置によって実行される処理の流れを例示するフローチャートである。

以下、本発明の実施の形態について、図面を用いて説明する。尚、すべての図面において、同様な構成要素には同様の符号を付し、適宜説明を省略する。また、特に説明する場合を除き、各ブロック図において、各ブロックは、ハードウエア単位の構成ではなく、機能単位の構成を表している。

＜概要＞
図１は、本実施形態の評価装置２０００の動作の概要を例示する図である。図１は、評価装置２０００の動作についての理解を容易にするための概念的な説明を表す図であり、評価装置２０００の動作を具体的に限定するものではない。

評価装置２０００は、異常が検知されたアプリケーション１０についての評価を行う。アプリケーション１０の異常は、例えば、アプリケーション１０の振る舞いに基づいてその異常を検知する異常検知システムによって検知される。なお、このようにアプリケーションの振る舞いに基づいてその異常を検知する手法は、EDR（Endpoint Detection and Response）などと呼ばれる。ただし、アプリケーション１０の異常を検知する方法は、評価装置２０００による評価とは異なる方法であればよく、必ずしも EDR には限定されない。

評価装置２０００は、異常が検知されたアプリケーション１０について、導入関連情報３０を取得する。導入関連情報３０は、アプリケーション１０が動作している実行環境（OS やミドルウエアなど）に対するアプリケーション１０の導入に関連する情報である。例えば、導入関連情報３０は、アプリケーション１０の導入経路などを示す。

評価装置２０００は、導入関連情報３０を用いて、異常が検知されたアプリケーション１０についての評価を行う。アプリケーション１０の評価は、例えば、アプリケーション１０が異常なアプリケーションであるか否かの評価である。すなわち、振る舞い等の何らかの基準で異常が検知されたアプリケーション１０について、さらにその導入に関する情報を利用して、異常か否かが判断される。その他にも例えば、アプリケーション１０の評価は、アプリケーション１０の異常度合いの評価であってもよい。すなわち、振る舞い等の基準で異常と判断されたアプリケーション１０について、その異常の度合いが、その導入に関する情報に基づいて算出される。

＜作用効果の一例＞
EDR などといった既存の異常検知手法で実現される異常検知システムでは、検知漏れの発生を恐れて、異常検知が過剰気味になる傾向にある。例えば、異常検知システムは、異常かどうかが定かではない振る舞いについては、異常な振る舞いとして扱うようにセッティングされる。そのため、実際には異常でない振る舞いが、異常なものとして検知されてしまう。これにより、例えば、異常検知の結果を解析する IT 管理者の作業負担が大きいといった問題がある。

この点、本実施形態の評価装置２０００によれば、その振る舞いなどに基づいて異常が検知されたアプリケーション１０について、導入経路などといったアプリケーション１０の導入に関連する情報に基づいた評価が行われる。このようにすることで、アプリケーション１０の評価をより高い精度で行うことができる。

例えば評価装置２０００は、異常が検知されたアプリケーション１０について、それが本当に異常であるかどうかやその異常度合いを評価する。これにより、例えば、評価装置２０００による評価で異常であると判定されたアプリケーション１０のみを IT 管理者によるチェックの対象とすることで、IT 管理者等の作業負担を大きく軽減することができる。

以下、本実施形態の評価装置２０００についてさらに詳細に説明する。

＜評価装置２０００の機能構成の例＞
図２は、実施形態１の評価装置２０００の構成を例示する図である。評価装置２０００は、取得部２０２０及び評価部２０４０を有する。取得部２０２０は、異常が検知されたアプリケーション１０について導入関連情報３０を取得する。評価部２０４０は、導入関連情報３０を用いて、異常が検知されたアプリケーション１０の評価を行う。

＜評価装置２０００のハードウエア構成＞
評価装置２０００の各機能構成部は、各機能構成部を実現するハードウエア（例：ハードワイヤードされた電子回路など）で実現されてもよいし、ハードウエアとソフトウエアとの組み合わせ（例：電子回路とそれを制御するプログラムの組み合わせなど）で実現されてもよい。以下、評価装置２０００の各機能構成部がハードウエアとソフトウエアとの組み合わせで実現される場合について、さらに説明する。

図３は、評価装置２０００を実現するための計算機１０００を例示する図である。計算機１０００は任意の計算機である。例えば計算機１０００は、Personal Computer（PC）、サーバマシン、タブレット端末、又はスマートフォンなどである。計算機１０００は、評価装置２０００を実現するために設計された専用の計算機であってもよいし、汎用の計算機であってもよい。

計算機１０００は、バス１０２０、プロセッサ１０４０、メモリ１０６０、ストレージデバイス１０８０、入出力インタフェース１１００、及びネットワークインタフェース１１２０を有する。バス１０２０は、プロセッサ１０４０、メモリ１０６０、ストレージデバイス１０８０、入出力インタフェース１１００、及びネットワークインタフェース１１２０が、相互にデータを送受信するためのデータ伝送路である。ただし、プロセッサ１０４０などを互いに接続する方法は、バス接続に限定されない。プロセッサ１０４０は、CPU（Central Processing Unit）、GPU（Graphics Processing Unit）、又は FPGA（Field-Programmable Gate Array）などのプロセッサである。メモリ１０６０は、RAM（Random Access Memory）などを用いて実現される主記憶装置である。ストレージデバイス１０８０は、ハードディスクドライブ、SSD（Solid State Drive）、メモリカード、又は ROM（Read Only Memory）などを用いて実現される補助記憶装置である。ただし、ストレージデバイス１０８０は、RAM など、主記憶装置を構成するハードウエアと同様のハードウエアで構成されてもよい。

入出力インタフェース１１００は、計算機１０００と入出力デバイスとを接続するためのインタフェースである。ネットワークインタフェース１１２０は、計算機１０００を通信網に接続するためのインタフェースである。この通信網は、例えば LAN（Local Area Network）や WAN（Wide Area Network）である。ネットワークインタフェース１１２０が通信網に接続する方法は、無線接続であってもよいし、有線接続であってもよい。

ストレージデバイス１０８０は、評価装置２０００の機能構成部を実現するプログラムモジュールを記憶している。プロセッサ１０４０は、これら各プログラムモジュールをメモリ１０６０に読み出して実行することで、各プログラムモジュールに対応する機能を実現する。

＜処理の流れ＞
図４は、実施形態１の評価装置２０００によって実行される処理の流れを例示するフローチャートである。取得部２０２０は、異常が検知されたアプリケーション１０について、導入関連情報３０を取得する（Ｓ１０２）。評価部２０４０は、導入関連情報３０を用いて、アプリケーション１０の評価を行う（Ｓ１０４）。

＜利用環境の例＞
図５は、実施形態１の評価装置２０００の利用環境を例示する図である。図５において、対象システム２０は、１つ以上の端末４０を含むコンピュータシステムである。端末４０には、アプリケーション１０が導入されている。なお、評価装置２０００による評価の対象となりうるアプリケーションであるアプリケーション１０は、対象システム２０に導入されている全てのアプリケーションであってもよいし、一部のアプリケーションであってもよい。

異常検知装置６０は、アプリケーション１０の異常を検知する。図５の例において、異常検知装置６０は、アプリケーション１０の振る舞いに基づいて、アプリケーション１０の異常を検知する。異常として扱われるアプリケーション１０の振る舞いは、例えば、セキュリティの観点から見た危険な振る舞いである。ただし、異常検知装置６０において異常として扱われる振る舞いは、セキュリティ上の観点から見た異常には限定されず、種々の異常を扱うことができる。

振る舞いに基づく異常検知を実現するために、異常検知装置６０は、端末４０から、その端末４０で動作している各アプリケーション１０の振る舞いを表すイベントの履歴を収集する。例えばイベントは、システムコール単位で記録される。すなわち、アプリケーション１０の振る舞いは、アプリケーション１０の実行主体であるプロセスが主体又は客体となっているシステムコールの履歴によって表される。ここで、端末においてアプリケーションの振る舞いを表すイベントを記録する方法、及び記録されたイベントの履歴を収集する方法には、既存の技術を利用することができる。

異常検知装置６０は、イベント履歴を利用して、各アプリケーション１０について異常検知を行う。そして、いずれかのアプリケーション１０について異常が検知されたら、そのアプリケーション１０の識別情報を評価装置２０００へ送信する。アプリケーション１０の識別情報は、例えば、「アプリケーション１０が導入されている端末４０の識別情報（IP アドレスなど）、アプリケーション１０の名称」という組み合わせで表される。なお、アプリケーション１０の名称の代わりに、アプリケーション１０の実行ファイルの名称や、アプリケーション１０の実行ファイルのパスなどを用いてもよい。

アプリケーション１０についての異常検知は、例えば、各アプリケーション１０について収集されたイベント履歴によって表されるイベントの列（イベント列）が、異常なイベント列を表しているか否かを判定することで実現できる。この判定のために、例えば、アプリケーション１０ごとに、正常なイベント列を定義したモデルを予め生成しておく。異常検知装置６０は、アプリケーション１０ごとに、そのアプリケーション１０について収集されたイベント履歴によって表されるイベント列が、上記モデルから逸脱しているか否かを判定する。異常検知装置６０は、収集されたイベント列がモデルから逸脱しているアプリケーション１０を、異常なアプリケーション１０として検知する。なお、正常なイベント列のモデルを生成する技術や、正常なイベント列のモデルから逸脱したイベント列を異常なイベント列として検知する技術には、既存の技術を利用することができる。

本例に示すように、異常検知装置６０の後段に評価装置２０００を設けることには、種々の利点がある。例えば、評価装置２０００が、アプリケーション１０が異常であるかどうかを評価するとする。この場合、評価装置２０００による評価でも異常と判断されたアプリケーション１０についてのみ人手のチェックを行うといったシステム構成にすることで、IT 管理者等の作業負担を大きく軽減することができる。

その他にも例えば、評価装置２０００が、アプリケーション１０の導入に関する種々の情報それぞれについて評価を行うとする。具体的には、アプリケーション１０の導入元（例えば Web サイト）に関する評価、アプリケーション１０のダウンロードに利用されたダウンローダに関する評価、及びアプリケーション１０の導入に利用されたインストーラに関する評価などがそれぞれ行われ、その結果が出力されるとする。IT 管理者は、これらの評価結果を用いることで、アプリケーション１０が異常であるかどうか等の判断を正確に行うことができる。また、異常検知装置６０によって異常が検知されたアプリケーション１０に限定して評価が行われるため、その評価結果を参照する IT 管理者の負担が軽減される。

なお、異常検知装置６０は、評価装置２０００を実現するコンピュータとは別のコンピュータで実現されてもよいし、評価装置２０００と同一のコンピュータで実現されてもよい。図５では、異常検知装置６０と評価装置２０００が別々に設けられている。異常検知装置６０と評価装置２０００とが別々に設けられる場合、異常検知装置６０は、評価装置２０００と同様に、種々の計算機によって実現される。その計算機のハードウエア構成は、例えば評価装置２０００を実現する計算機１０００のハードウエア構成と同様に、図３で表される。

＜導入関連情報３０について＞
導入関連情報３０は、アプリケーション１０が動作している端末４０に対して行われた、アプリケーション１０の導入に関する情報である。ここでいう「端末４０に対するアプリケーション１０の導入」とは、アプリケーション１０を端末４０で実行可能な状態にすることである。ここで、アプリケーション１０が端末４０の外部にある場合、端末４０の導入には、アプリケーション１０を取得する処理も含まれる。そのため、例えば端末４０に対するアプリケーション１０の導入は、１）アプリケーション１０を入手する処理、２）入手したアプリケーション１０をファイルシステム上に配置する処理、及び３）アプリケーション１０に関する設定を行う処理などを含む。

アプリケーション１０の入手は、例えば、アプリケーション１０が提供されているサーバからアプリケーション１０をダウンロードしたり、アプリケーション１０が記憶されている記憶装置からアプリケーション１０を読み出したりする処理である。アプリケーション１０をファイルシステム上に配置する処理は、例えば、アプリケーション１０の実行ファイルや設定ファイルを、所定のディレクトリに格納する処理である。アプリケーション１０に関する設定を行う処理は、例えば、レジストリや設定ファイルなどに対し、アプリケーション１０の実行に必要な設定データを書き込む処理である。

なお、アプリケーション１０の実行ファイルを所定のディレクトリに配置する処理や、アプリケーション１０に関する設定を行う処理は、アプリケーション１０のインストーラを実行することで自動で行われる場合もあれば、アプリケーション１０の導入作業を行うユーザによって手動で行われる場合もある。また、アプリケーション１０を入手する処理も自動で行われうる。例えば、或るアプリケーションＸが別のアプリケーションＹを必要としている場合に、アプリケーションＸのインストーラがアプリケーションＹの入手を自動で行うようなケースがある。

導入関連情報３０は、アプリケーション１０の識別情報に対応づけて、そのアプリケーション１０の導入に関する情報を示す。例えば前述したように、アプリケーション１０の識別情報は、「アプリケーション１０が導入されている端末４０の識別情報、アプリケーション１０の名称など」という組み合わせなどで表すことができる。

導入関連情報３０に含まれるアプリケーション１０の導入に関する情報としては、様々なものを採用できる。例えば導入関連情報３０は、以下の情報を含みうる。
１）経路情報：アプリケーション１０の導入経路に関する情報
２）配置情報：アプリケーション１０が配置された場所に関する情報
３）設定情報：アプリケーション１０の導入に伴う設定に関する情報

以下、上述した種々の情報について、その詳細な内容及びそれらの情報を得る方法について説明する。

＜＜１）経路情報について＞＞
経路情報は、アプリケーション１０の導入に関わるソフトウエア、ハードウエア、及びサービスなどに関する情報を含む。アプリケーション１０の導入に関わるソフトウエアは、例えば、アプリケーション１０をダウンロードするために利用されるダウンローダや、アプリケーション１０のインストールに利用されるインストーラである。また、アプリケーション１０のインストーラ等が圧縮されたファイルを入手する場合、その圧縮ファイルの解凍に利用される解凍ソフトウエアも、アプリケーション１０の導入に関わるソフトウエアといえる。アプリケーション１０の導入に関わるハードウエアは、例えば、アプリケーション１０のインストーラや実行ファイルなどが格納されている記憶装置などである。アプリケーション１０の導入に関わるサービスは、例えば、アプリケーション１０のインストーラなどを提供する Web サイトや、アプリケーション１０の提供元と端末４０との間に配置されるプロキシなどである。

例えば、アプリケーションＸのインストーラＩの圧縮ファイルであるファイルＦがサーバＳで提供されているとする。そして、ダウンローダＤを用いてサーバＳからファイルＦをダウンロードし、ファイルＦを解凍ソフトウエアＢで解凍し、この解凍によって得られたアプリケーションＸのインストーラＩを実行することで、端末４０にアプリケーションＸが導入されたとする。この場合、例えばアプリケーションＸについての経路情報は、「サーバＳ、ダウンローダＤ、解凍ソフトウエアＢ、インストーラＩ」という情報を示す。

経路情報の生成は、例えば、アプリケーション１０の導入に関連しうる種々のイベントの履歴（イベントの主体、客体、及び内容を表す情報）を利用することで実現できる。アプリケーション１０の導入に関連しうるイベントは、例えば、ファイルのダウンロード、圧縮ファイルの解凍、及びインストーラの実行などである。ここで、これらのイベントの履歴は、記憶装置に記憶させておく。なお、イベントの履歴を記録する技術には既存の技術を利用することができる。また、ここでいうイベントの履歴は、異常検知装置６０が利用するイベントの履歴と同じであってもよいし、異なっていてもよい。

経路情報の生成は、例えば、端末４０に常駐させておくエージェントソフトウエアによって行われる。例えば、エージェントソフトウエアは、アプリケーション１０の導入に伴って発生しうる特定のイベント（以下、キーイベント）の発生を検知する。例えばキーイベントは、インストーラの実行である。さらにエージェントソフトウエアは、キーイベントの検知に応じて、そのキーイベントに関連する他のイベントを特定していく。例えばキーイベントがインストーラの実行である場合、エージェントソフトウエアは、イベントの履歴の中から、そのインストーラが含まれていた圧縮ファイルの解凍というイベントや、その圧縮ファイルのダウンロードというイベントを抽出する。

上述したイベントの抽出により、「インストーラが含まれる圧縮ファイルのダウンロード->圧縮ファイルの解凍->インストーラの実行」という、アプリケーション１０の導入に関連するイベント列を抽出できる。導入経路の情報は、このイベント列から生成することができる。例えば、圧縮ファイルのダウンロードイベントに基づいて、アプリケーション１０のインストーラの提供元（ウェブサイトなど）の特定、及びダウンロードに利用されたダウンローダの特定が行える。また、インストーラが含まれる圧縮ファイル解凍というイベントに基づいて、解凍に利用された解凍ソフトウエアを特定することができる。さらに、インストーラの実行というイベントに基づいて、アプリケーション１０のインストールに利用されたインストーラを特定することができる。経路情報は、これら特定された種々の情報で構成される。

なお、キーイベントには、所定の条件に当てはまるイベントを利用できる。例えば、アプリケーションが配置される標準的なディレクトリは OS やミドルウエアごとに予め決まっており、このようなディレクトリに対するファイルの書き込みは、アプリケーション１０の導入に関連する蓋然性が高いイベントであると考えられる。そこで例えば、エージェントソフトウエアは、アプリケーションが配置されるべき標準的なディレクトリに対してファイルを書き込むイベントを、キーイベントとして検知する。

その他にも例えば、アプリケーションの導入は、レジストリや所定の設定ファイル（環境変数が格納されているファイルなど）の更新を伴うことが多い。そこで例えば、エージェントソフトウエアは、レジストリや所定の設定ファイルに対する書き込みのイベントをキーイベントとして検知する。

その他にも例えば、アプリケーションの導入は、既知のインストーラ（例えば、OS に標準で用意されているインストーラ）を利用して行われることが多い。そこで例えば、エージェントソフトウエアは、このような既知のインストーラの実行を表すイベント（所定のプログラムの実行を表すイベント）をキーイベントとして検知する。

なお、キーイベントの検出に用いる所定の条件は、エージェントソフトウエアからアクセス可能な記憶装置に予め記憶させておく。

＜＜２）配置情報について＞＞
配置情報は、アプリケーション１０に関連するファイル（実行ファイルや設定ファイルなど）が書き込まれた場所（ディレクトリなど）に関する情報などを示す。

例えば配置情報の生成は、以下のようにして行われる。まず、前提として、ファイルの書き込みイベントの履歴を記録しておく。そして、前述したエージェントソフトウエアが、このイベントの履歴を利用して、配置情報を生成する。例えばエージェントソフトウエアは、まず、インストーラの実行のイベントを検知する。さらにエージェントソフトウエアは、そのインストーラによって行われたファイルの書き込みイベントを特定する。そして、エージェントソフトウエアは、特定した各イベントにおいてファイルが書き込まれた場所を示す配置情報を生成する。

＜＜３）設定情報について＞＞
アプリケーション１０によっては、そのインストールに伴い、レジストリや既存の設定ファイルに対して変更が加えられる。設定情報は、このようにアプリケーション１０の導入に伴って加えられる設定の変更を表す。

例えば設定情報は、配置情報と同様に、ファイルの書き込みイベントの履歴を利用して生成される。例えばエージェントソフトウエアは、まず、インストーラの実行のイベントを検知する。さらにエージェントソフトウエアは、そのインストーラによって行われた、レジストリや所定の設定ファイルに対する書き込みイベントを特定する。そして、エージェントソフトウエアは、特定した各イベントについて「イベントにおいて書き込みが行われたファイルの識別情報（パスなど）、そのファイルに対して書き込まれたデータの内容」という組み合わせを示す設定情報を生成する。

図６は、導入関連情報３０をテーブル形式で例示する図である。図６のテーブルを、テーブル２００と呼ぶ。テーブル２００は、識別情報２０２、属性名２０４、及び属性値２０６という３つの列を有する。識別情報２０２は、アプリケーション１０の識別情報を表す。属性名２０４は、提供元、ダウンローダ、解凍ソフトウエア、インストーラ、配置情報、及び設定情報などといった情報の種類を表す。属性値２０６は、属性名２０２が示す種類の情報について、その内容を表す。例えば、「識別情報２０２：端末ＸのアプリケーションＡ、属性名２０４：ダウンローダ、属性値２０６：ブラウザＸ」という組みを示すレコードは、端末Ｘで実行されているアプリケーションＡを導入する際、ダウンローダとしてブラウザＸが利用されたことを表す。

なお、導入関連情報３０の生成は、必ずしも前述したエージェントソフトウエアによって行われる必要はない。例えば導入関連情報３０の生成は、評価装置２０００によって行われてもよい。具体的には、評価装置２０００は、異常が検知されたアプリケーション１０の識別情報を取得したら、その識別情報を用いて、アプリケーション１０が実行されている端末４０について記録されたイベントの履歴から、アプリケーション１０の導入に関連するイベントの履歴を抽出する。そして、評価装置２０００は、抽出したイベントの履歴を用いて、導入関連情報３０を生成する。

＜導入関連情報３０の取得：Ｓ１０２＞
取得部２０２０は、異常が検知されたアプリケーション１０についての導入関連情報３０を取得する（Ｓ１０２）。そのために、取得部２０２０は、アプリケーション１０の異常を検知した装置（前述した異常検知装置６０など）から、異常が検知されたアプリケーション１０の識別情報を取得する。そして、取得部２０２０は、取得した識別情報を示す導入関連情報３０を取得する。

取得部２０２０が導入関連情報３０を取得する具体的な方法は任意である。例えば取得部２０２０は、異常が検知されたアプリケーション１０の識別情報を用いて、そのアプリケーション１０が導入されている端末４０を特定する。そして、取得部２０２０は、特定した端末４０で動作しているエージェントソフトウエアと通信することで、異常が検知されたアプリケーション１０の導入関連情報３０を取得する。例えば取得部２０２０は、エージェントソフトウエアに対し、導入関連情報３０の取得のリクエストを送信する。このリクエストには、異常が検知されたアプリケーション１０の識別情報を含める。このリクエストを受信したエージェントソフトウエアは、リクエストに識別情報が示されているアプリケーション１０についての導入関連情報３０を、取得部２０２０へ送信する。

ここで、エージェントソフトウエアは、取得部２０２０からリクエストを受信したことに応じて導入関連情報３０を生成してもよいし、予め各アプリケーション１０について導入関連情報３０を生成していてもよい。

前述した様に、導入関連情報３０は、評価装置２０００によって生成されてもよい。この場合、取得部２０２０は、評価装置２０００によって生成された導入関連情報３０を任意の方法で取得する。

なお、予め導入関連情報３０が生成されている場合、導入関連情報３０を評価装置２０００からアクセス可能な記憶装置に記憶させておいてもよい。この場合、取得部２０２０は、この記憶装置にアクセスすることで、異常が検知されたアプリケーション１０についての導入関連情報３０を取得する。

＜アプリケーション１０の評価：Ｓ１０４＞
評価部２０４０は、異常が検知されたアプリケーション１０について、導入関連情報３０を用いて評価を行う。例えば評価部２０４０は、異常が検知されたアプリケーション１０について取得した導入関連情報３０を、アプリケーションの導入についての基準となる情報（以下、基準情報）と比較することで、アプリケーション１０の評価を行う。基準情報は、ルールやポリシーなどとも呼ぶことができる。

＜＜基準情報について＞＞
例えば基準情報は、正常なアプリケーションについての導入経路などを定めた情報である。このような基準情報を利用すると、例えば、導入関連情報３０と基準情報との一致度合いが高い場合に、アプリケーション１０の正常度が高いと判断することができる。このような基準情報を、正常基準情報と呼ぶ。

例えば正常基準情報には、以下の情報が含まれる。
１）正常経路情報：アプリケーション１０の正常な導入経路
２）正常配置情報：アプリケーション１０の正常な配置場所
３）正常設定情報：アプリケーション１０のインストールに伴う正常な設定

正常経路情報は、アプリケーション１０の導入に関連する正常なソフトウエア、正常なハードウエア、及び正常なサービスなどの情報を表す。例えば、正常経路情報は、アプリケーション１０の提供元となる正常なサービスやハードウエア（ウェブサイトや記憶装置など）を表す。さらに例えば、正常経路情報は、正常なインストーラ、正常な解凍ソフトウエア、及び正常なダウンローダなど、アプリケーションの導入に利用されうる正常なソフトウエアを示す。正常経路情報は、例えば、アプリケーションごとに定められる。その他にも例えば、正常経路情報は、OS 等の実行環境ごとに定められていてもよい。

また、正常経路情報は、正常な提供元やソフトウエアのセットを表してもよい。例えばこの情報は、「サーバＳ１、ダウンローダＤ１、インストーラＩ１」などといった情報である。

正常配置情報は、アプリケーションがインストールされるべき正常な場所（ディレクトリなど）を示す。なお、アプリケーションがインストールされるべき場所は、アプリケーションごとや、OS などの実行環境ごとに定められていてもよい。

正常設定情報は、アプリケーションの導入に伴って行われる正常な設定を表す。正常設定情報は、例えば、アプリケーションごとに定められる。例えば、アプリケーションＸが導入された場合にレジストリに所定のレコードＲが追加されることが分かっているとする。この場合、アプリケーションＸについての正常設定情報は、「レジストリに対するレコードＲの追加」を示す。

基準情報は、異常なアプリケーションについての導入経路などを定めた情報であってもよい。このような基準情報を利用すると、例えば、導入関連情報３０と基準情報との一致度合いが高い場合に、アプリケーション１０の異常度が高い（正常度が低い）と判断することができる。このような基準情報を、異常基準情報と呼ぶ。

異常基準情報には、例えば、以下の情報が含まれうる。
１）異常経路情報：アプリケーションの異常な導入経路
２）異常配置情報：アプリケーションの異常な配置場所
３）異常設定情報：アプリケーションのインストールに伴う異常な設定

異常基準情報の詳細は、基本的に、正常基準情報の説明において「正常」と「異常」を入れ替えることで把握することができる。例えば、正常経路情報がアプリケーションの導入に利用されうる正常なソフトウエアなどを示す一方で、異常経路情報はアプリケーションの導入に利用されうる異常なソフトウエアなどを示す。例えば、マルウエアを拡散させていることで知られている既知の悪意あるウェブサイトがある場合、異常経路情報には、異常なソフトウエアの提供元として、そのウェブサイトの URL などを含めることができる。

ここで、基準情報を正常と異常に二分する代わりに、基準情報において、各属性値にその属性値の正常度（又は異常度）を対応づけて示してもよい。例えば、「属性名：インストーラ、属性値：インストーラＩ１、正常度合い：c1」などのような情報を、基準情報として利用することができる。

図７は、基準情報をテーブル形式で例示する図である。このテーブルをテーブル３００と呼ぶ。テーブル３００は、識別情報３０２、属性名３０４、属性値３０６、及び正常度３０８という４つの列を含む。識別情報３０２、属性名３０４、及び属性値３０６については、テーブル２００の識別情報２０２、属性名２０４、及び属性値２０６と同様である。ただし、識別情報３０２にデータが示されていないレコードは、アプリケーションや実行環境に依存しないことを表す。正常度３０８は、対応する属性値の正常度を表す。

＜＜評価の方法＞＞
評価部２０４０は、導入関連情報３０と基準情報とを比較することで、アプリケーション１０の評価を行う。例えば評価部２０４０は、導入関連情報３０と基準情報とを比較することで、アプリケーション１０の正常度又は異常度を表す評価値を算出する。具体的には、評価部２０４０は、導入関連情報３０と基準情報との一致度合いに基づいて評価値を算出する。ここで、ルールやポリシー（本発明における基準情報）と実際の状況（本発明における導入関連情報３０）との一致度合いを算出する技術自体には、種々の既存の技術を利用することができる。

例えば、導入関連情報３０と基準情報との一致度合いは、以下の式（１）などを用いて算出することができる。

ここで、v は評価値を表す。E は、導入関連情報３０に示されている属性値の集合であり、|E| はその集合の要素数を表す。また、S は、導入関連情報３０と基準情報とで互いに一致する属性値の集合であり、|S| はその集合の要素数を表す。

導入関連情報３０と正常基準情報とを比較する場合、これらの一致度合いは、アプリケーション１０の正常度合いを表す。一方、導入関連情報３０と異常基準情報とを比較する場合、これらの一致度合いは、アプリケーション１０の異常度合いを表す。

また、基準情報が各属性についてその正常度を示すとする。この場合、導入関連情報３０と正常基準情報との間で一致する属性値の正常度の積算値や統計値（平均値、中央値、最頻値、最大値、及び最小値など）を、アプリケーション１０の正常度を表す評価値として利用することができる。例えば、以下の数式（２）などを用いて評価値を算出することができる。

ここで、wi は属性値 i に付されている正常度である。

一方、基準情報が各属性についてその異常度を示すとする。この場合、導入関連情報３０と異常基準情報との間で一致する属性値の異常度の積算値や統計値を、アプリケーション１０の異常度を表す評価値として利用することができる。その算出方法は、正常度を表す評価値と同様である。

なお、評価部２０４０は、導入関連情報３０と基準情報との不一致の度合いを評価に利用してもよい。例えば評価部２０４０は、導入関連情報３０と正常基準情報との一致度合いを表す評価値から、導入関連情報３０と正常基準情報との不一致度合いを表す評価値を引くことで、アプリケーション１０の正常度を表す評価値を算出する。同様に、例えば評価部２０４０は、導入関連情報３０と異常基準情報との一致度合いを表す評価値から、導入関連情報３０と異常基準情報との不一致度合いを表す評価値を引くことで、アプリケーション１０の異常度を表す評価値を算出してもよい。

評価部２０４０は、基準情報と導入関連情報３０との比較によって算出された評価値そのものをアプリケーション１０の評価結果として扱ってもよいし、評価値に基づいて所定の判定を行い、その判定結果をアプリケーション１０の評価結果としてもよい。後者の場合において、評価値がアプリケーション１０の正常度を表すとする。この場合、例えば評価部２０４０は、評価値が所定の閾値以上であれば「アプリケーション１０は正常である」と判定し、評価値が所定の閾値未満であれば「アプリケーション１０は正常で無い」と判定する。一方、評価値がアプリケーション１０の異常度を表すとする。この場合、評価値が所定の閾値以上であれば「アプリケーション１０は異常である」と判定し、評価値が所定の閾値未満であれば「アプリケーション１０は異常で無い」と判定する。

アプリケーション１０の評価は、評価値を利用するものに限定されない。例えば評価部２０４０は、導入関連情報３０を基準情報と比較することによってアプリケーション１０の特徴を特定し、その特徴を評価結果としてもよい。例えばアプリケーション１０の特徴は、導入関連情報３０が示す各属性値が正常であるか否かの判定結果である。例えば、導入関連情報３０が経路情報を示している場合、「提供元：正常、ダウンローダ：正常、解凍ソフトウエア：正常、インストーラ：正常でない」などのように、アプリケーション１０の導入に関連する提供元やソフトウエアについて、正常であるか否かの判定が行われる。

各属性値が正常であるか否かの判定は、導入関連情報３０と基準情報との比較によって行われる。例えば、導入関連情報３０が示す属性値が正常であると判定されるのは、その属性値と正常基準情報が示す属性値が一致する場合、その属性値と異常基準情報が示す属性値が一致しない場合、その属性値について基準情報が示す正常度が所定の閾値以上である場合、又はその属性値について基準情報が示す異常度が所定の閾値未満である場合などである。一方、導入関連情報３０が示す属性値が正常でないと判定されるのは、その属性値と正常基準情報が示す属性値が一致しない場合、その属性値と異常基準情報が示す属性値が一致する場合、その属性値について基準情報が示す正常度が所定の閾値未満である場合、又はその属性値について基準情報が示す異常度が所定の閾値異常である場合などである。

また、正常度や異常度を示す基準情報を利用する場合、評価部２０４０は、導入関連情報３０を基準情報と比較することで、導入関連情報３０の各属性値の正常度や異常度を特定してもよい。例えば、導入関連情報３０が経路情報を示している場合、「提供元の正常度：c1、ダウンローダの正常度：c2、解凍ソフトウエアの正常度：c3、インストーラの正常度：c4」などのように、アプリケーション１０の導入に関連する提供元やソフトウエアについての正常度が特定される。導入関連情報３０が示す属性値の正常度としては、基準情報がその属性値について示す正常度を用いることができる。異常度についても同様である。

なお、特許文献２には、インストーラの情報等に基づいてアプリケーションの安全性を評価する技術が開示されている。しかしながら、特許文献２には、少なくとも、EDR 等の他の異常検知手法によって異常が検知されたアプリケーションを対象として評価を行うことは開示されていない。

＜基準情報の生成方法＞
前述した基準情報を生成する方法は様々である。例えば基準情報は、評価装置２０００を運用する組織の IT 管理者などによって手動で生成される。その他にも例えば、基準情報は、評価装置２０００又は他の装置によって自動で生成されてもよい。説明を容易にするため、以下の説明では、評価装置２０００が基準情報を生成するものとする。

例えば評価装置２０００は、対象システム２０におけるアプリケーション１０の導入の実績に基づいて基準情報を生成する。概念的には、対象システム２０に含まれる端末４０におけるこれまでのアプリケーションの導入において、より多く利用された導入経路、配置場所、及び設定ほど、それぞれ、正常度が高い導入経路、配置場所、及び設定として扱われる。例えば、各アプリケーション１０について、アプリケーション１０が導入されたタイミングなどで、導入関連情報３０を生成しておく。そして、評価装置２０００は、これまでに生成された導入関連情報３０を統計処理することで、基準情報を生成する。

例えば、各属性値の正常度は、これまでに生成された導入関連情報３０のうち、その属性値を示すものの個数と正の相関を持つように定められる。例えば、正常度は、上記個数を所定の非単調減少関数に入力することで得られる値として定められる。ただし、導入関連情報３０の個数ではなく、端末４０の個数をカウントするようにしてもよい。すなわち、属性値の正常度を、その属性値を示す導入関連情報３０が生成された端末４０の個数と正の相関を持つように定める。

正常度を示す基準情報を生成する場合、例えば評価装置２０００は、前述した方法で正常度が算出された属性値について、その属性値と正常度との組み合わせを含む基準情報を生成する。正常基準情報を生成する場合、例えば評価装置２０００は、前述した方法で算出された正常度が所定の閾値以上である属性値を含む正常基準情報を生成する。異常基準情報を生成する場合、例えば評価装置２０００は、前述した方法で算出された正常度が所定の閾値以下である属性値を含む異常基準情報を生成する。なお、正常基準情報の生成に利用する閾値と、異常基準情報の生成に利用する閾値は、同じであってもよいし、異なっていてもよい。

また、評価装置２０００は、対象システム２０が運用されているグループや外部組織などにおける評判（reputation）に基づいて、各属性値の正常度等を決定してもよい。対象システム２０が運用されているグループにおける評判は、例えば、グループのメンバーに対して行ったアンケートを集計したり、グループ内で運用されている SNS（Social Networking Service）に投稿された情報を収集したりすることで得ることができる。また、外部組織における評判は、例えば、マルウエアなどの悪意あるソフトウエアや悪意あるウェブサイトなどに関する情報を公開しているサイトにアクセスしたりすることで収集することができる。評価装置２０００は、これらの方法により、基準情報に含めうる種々の属性値（アプリケーションの提供元となるサービスやハードウエア、導入に利用されるソフトウエア、アプリケーションの配置場所、アプリケーションの導入によって行われる設定など）について、その評判の情報を収集する。そして、評価装置２０００は、収集した評判の情報に基づいて、各属性値の正常度や異常度を算出する処理や、各属性値が正常と異常のどちらであるかを判定する処理を行う。そして、評価装置２０００は、これらの処理結果に基づいて、基準情報を生成する。

また、アプリケーション１０が信頼度の高い有名なアプリケーションである場合、そのアプリケーションの導入経路や配置場所、及びそのアプリケーションの導入に伴って行われる設定についての情報が、信頼できるウェブサイトなど（例えばアプリケーション１０の提供元のウェブサイト）などで公開されていることがある。そこで評価装置２０００は、アプリケーション１０の導入について信頼度の高い情報を提供していると考えられるウェブサイト等にアクセスして情報を得ることで、基準情報を生成してもよい。

評価部２０４０が基準情報を取得する方法は様々である。例えば評価部２０４０は、基準情報が記憶されている記憶装置から基準情報を取得する。その他にも例えば、評価部２０４０は、基準情報を生成した装置から基準情報を取得してもよい。

その他にも例えば、評価部２０４０は、以下で説明する方法で基準情報を取得してもよい。図９は、基準情報を管理する構成を例示する図である。まず、基準情報が格納されうる記憶装置として、評価部２０４０からのアクセスに要する時間が比較的短い第１記憶装置７０と、評価部２０４０からのアクセスに要する時間が比較的長い第２記憶装置８０が設けられているとする。例えば第１記憶装置７０は、評価装置２０００の内部に設けられている記憶装置や、評価装置２０００と LAN で接続されている記憶装置である。一方、第２記憶装置８０は、評価装置２０００と WAN で接続されている記憶装置（例えば、クラウドストレージ）である。

基準情報は、第１記憶装置７０と第２記憶装置８０の双方に格納されうる。以下、第１記憶装置７０に格納される基準情報を第１基準情報と呼び、第２記憶装置８０に格納される基準情報を第２基準情報と呼ぶ。評価装置２０００の運用開始時における第１基準情報は、例えば、IT 管理者によって手動で生成されたものである。また、評価装置２０００は、対象システム２０におけるアプリケーション１０の導入の実績に基づいて、第１基準情報を更新してもよい。第２基準情報は、サーバ９０がインターネット上の情報を収集することによって随時更新されていく。

評価部２０４０は、取得した導入関連情報３０との比較に利用する基準情報を取得する際、まずは第１記憶装置７０にアクセスして、第１基準情報の取得を試みる。第１基準情報の中に、導入関連情報３０に示されている属性値と一致する属性値が含まれていれば、評価部２０４０は、第１基準情報を利用する。一方、導入関連情報３０に示されている属性値の中に、一致する属性値が第１基準情報には存在しないものがあれば、評価部２０４０はサーバ９０にアクセスする。

具体的には、評価部２０４０は、属性値を示すリクエストをサーバ９０へ送信する。サーバ９０は、第２記憶装置８０にアクセスし、リクエストに示される属性値が第２基準情報に含まれるか否かを判定する。リクエストに示される属性値が第２基準情報に含まれている場合、サーバ９０は、その属性値を示す第２基準情報のレコードが含まれるレスポンスを、評価部２０４０へ送信する。評価部２０４０は、受信したレコードに含まれる情報をアプリケーション１０の評価に利用する。また、評価部２０４０は、このようにして取得したレコードを、第１基準情報に追加する。こうすることで、次回以降の評価では、同じ情報を第２記憶装置８０ではなく第１記憶装置７０から取得することができるため、情報の取得をより早く行える。一方、リクエストに示される属性値が第２基準情報に含まれていない場合、サーバ９０は、所望の情報が第２基準情報に含まれない旨を示すレスポンスを評価部２０４０へ送信する。この場合に評価部２０４０が行う評価の方法は様々である。

＜導入関連情報３０以外の情報をさらに利用した評価＞
アプリケーション１０の評価には、導入関連情報３０以外の情報がさらに利用されてもよい。導入関連情報３０以外の情報としては、例えば、以下の情報を利用することができる。
１）アプリケーション１０の作成者に関する情報
２）アプリケーション１０のシグニチャ（バイナリのハッシュ値など）
３）アプリケーション１０自体に関する評判

アプリケーション１０の作成者が有名な人物や組織である場合、アプリケーション１０の正常度は高いと考えられる。また、アプリケーション１０のシグニチャが、信頼性が担保されている（例えば、正当な認証局によって認証済みである）アプリケーションについて公開されているシグニチャと一致する場合、アプリケーション１０の正常度は高いと考えられる。同様に、端末４０に導入されたアプリケーション１０のシグニチャが、既知にマルウエアのシグニチャと一致する場合、アプリケーション１０の正常度は低いと考えられる。さらに、対象システム２０が運用されているグループや外部組織など（例えばインターネット上）におけるアプリケーション１０の評判が高ければ、アプリケーション１０の正常度は高いと考えられる。

このように、アプリケーション１０の導入に関する以外の種々の情報も、アプリケーション１０の評価を行う上で有用なものになりうる。そこで評価装置２０００は、これら種々の情報をさらに利用して、アプリケーション１０の評価を行いうる。この場合、例えば前述した基準情報に、アプリケーション１０の導入に関する基準に加え、アプリケーション１０の作成者、シグニチャ、及び評判などに関する基準も加える。例えば、「属性名：作成者、属性値：xyz.inc」などと基準である。また、取得部２０２０は、異常が検知されたアプリケーション１０について、導入関連情報３０に加え、アプリケーション１０の作成者、シグニチャ、及び評判などに関する情報も取得する。そして、評価部２０４０は、取得した各種の情報を基準情報と比較することで、アプリケーション１０の評価を行う。

ここで、異常が検知されたアプリケーション１０について取得した作成者、シグニチャ、及び評判などに関する情報と、基準情報に含まれるこれらの情報とを比較する方法は、導入関連情報３０と基準情報とを比較する方法と同様である。例えば評価部２０４０は、前述した式（１）や（２）に示した評価値の算出式に、アプリケーション１０の導入に関連する情報の一致度合いだけでなく、作成者、シグニチャ、及び評判などの一致度合いも含めるようにする。

＜評価結果の出力＞
例えば評価装置２０００は、評価部２０４０による評価結果を表す出力情報を生成し、生成した出力情報の出力を行う。出力情報の生成及び出力を行う機能構成部を、出力部２０６０と呼ぶ。図８は、出力部２０６０を有する評価装置２０００の構成を例示するブロック図である。

出力部２０６０は、評価部２０４０による評価結果に基づいて、出力情報を生成する。例えば出力情報は、評価結果を表す画面（以下、評価結果画面）を含む。評価結果画面は、例えば、評価装置２０００による評価が行われた（すなわち、異常検知装置６０などによって異常が検知された）各アプリケーション１０の識別情報と、そのアプリケーション１０についての評価結果とを対応付けた情報を含む。

図１０は、評価結果画面を例示する図である。図１０において、評価結果画面１００は、各アプリケーション１０について、アプリケーション１０が導入されている端末４０の識別情報、アプリケーション１０の名称、及びアプリケーション１０についての総合的な評価結果を示している。総合的な評価結果は、アプリケーション１０が正常であるか否かを示している。また、各アプリケーション１０について、「詳細表示」というボタンが設けられている。このボタンが押されると、出力部２０６０は、そのボタンに対応するアプリケーション１０について、そのアプリケーション１０の評価に利用された属性値とその評価についての情報を示す詳細画面１１０をさらに出力する。

なお、出力情報は画面に限定されない。例えば出力情報は、異常が検知された各アプリケーション１０についての評価結果が記録されたファイルであってもよい。この場合、出力部２０６０は、各アプリケーション１０についての評価は、１つのファイルに記録されてもよいし、個々のファイルに記録されてもよい。なお、上記ファイルは、評価装置２０００からアクセス可能な記憶装置に格納されてもよいし、他の装置（例えば、各 IT 管理者が利用する端末）へ送信されてもよい。

また、評価部２０４０による評価結果の利用方法は、その結果を表す情報の出力に限定されない。例えば以下の実施形態２で説明するように、評価部２０４０による評価結果は、評価されたアプリケーション１０の制御などに利用されてもよい。

出力部２０６０は、異常が検知されたアプリケーション１０のユーザ（そのアプリケーション１０が動作している端末４０のユーザ）に対して情報の出力を行ってもよい。例えば出力部２０６０は、アプリケーション１０について異常が検知されたことを異常検知装置６０から通知されたら、そのアプリケーション１０について評価部２０４０による評価を開始すると共に、そのアプリケーション１０について異常が検知されたことや、そのアプリケーション１０についての評価を行っていることを表す通知を、そのアプリケーション１０が動作している端末４０に対して送信する。この通知は、例えば、端末４０に接続されているディスプレイ装置に表示される。この通知を閲覧することにより、アプリケーション１０のユーザは、そのアプリケーション１０について異常が検知されたことや、そのアプリケーション１０について評価が行われていることを把握することができる。これにより、例えばユーザが、アプリケーション１０についての評価が終わるまでそのアプリケーション１０の利用を控えるなどといった対処を行うことができる。

また、出力部２０６０は、上述した通知に代えて、又は上述した通知に加えて、アプリケーション１０についての評価結果を表す通知を、アプリケーション１０が動作している端末４０に対して送信してもよい。この通知は、例えば、端末４０に接続されているディスプレイ装置に表示される。この通知を閲覧することにより、アプリケーション１０のユーザは、アプリケーション１０についての評価結果を把握することができる。

＜変形例＞
評価装置２０００は、異常が検知されたアプリケーション１０についての評価を行う代わりに、異常が検知されなかったアプリケーション１０について、前述した種々の評価を行ってもよい。例えば異常検知装置６０において、フォールスネガティブが発生しにくい異常検知を行う代わりに、フォールスポジティブが発生しにくい検知を行うようにする。このようにすると、異常検知装置６０において異常であると判定されたアプリケーション１０は確実に異常であると考えられる一方で、異常検知装置６０において正常であると判定されたアプリケーション１０については異常である可能性もある。

そこでこのような場合、異常検知装置６０において正常であるとは判定された（異常が検知されなかった）アプリケーション１０について評価装置２０００による評価を行うことで、アプリケーション１０が本当に正常であるかどうかやアプリケーション１０の正常度合などを把握できるようになる。すなわち、アプリケーション１０の正常又は異常について、より精度の高い評価を実現できる。

［実施形態２］
図１１は、実施形態２の評価装置２０００の機能構成を例示するブロック図である。以下で説明する点を除き、実施形態２の評価装置２０００は、実施形態１の評価装置２０００と同様の機能を有する。

実施形態２の評価装置２０００は制御部２０８０を有する。制御部２０８０は、評価部２０４０による評価の結果に基づいて、アプリケーション１０の制御を行う。例えば制御部２０８０は、異常であると評価されたアプリケーション１０の実行を停止する。その他にも例えば、制御部２０８０は、異常であると評価されたアプリケーション１０が他のオブジェクト（プロセス、ファイル、及びソケットなど）へアクセスできないようにする。なお、アクセスを制限するオブジェクトは、一部のオブジェクトのみであってもよい。その他にも例えば、制御部２０８０は、異常であると評価されたアプリケーション１０から外部に送信されたメッセージを遮断してもよい。

例えば制御部２０８０は、前述したエージェントアプリケーションに対して所定のリクエストを送信することで、アプリケーション１０を制御する。エージェントアプリケーションは、OS やミドルウエアに対し、指定したアプリケーションの実行を停止する指示を出力したり、指定したアプリケーションによる他のオブジェクトへのアクセスを制限する指示を出力できるように構成される。制御部２０８０は、「アプリケーション１０の識別情報、制御内容」という組み合わせを示すリクエストをエージェントアプリケーションへ送信する。エージェントアプリケーションは、リクエストで指定されたアプリケーション１０について、リクエストに示される制御内容を実現するように、OS 等に対して指示を送る。こうすることで、制御部２０８０による指示に従って、アプリケーション１０の動作が制御される。

ここで、アプリケーション１０の制御の内容は、アプリケーション１０の正常度や異常度に基づいて決められてもよい。例えば、評価部２０４０によって算出される評価値の複数の数値範囲に対し、それぞれ異なる制御の内容を対応づけておく。こうすることで、アプリケーション１０の異常度の高さに応じて、アプリケーション１０に対して適用する制御の内容を変えることができる。

例えば、異常度の定義域を、異常度が非常に高いことを表す第１の範囲（異常度>=Th1）、異常度が中程度であることを表す第２の範囲（Th1>異常度>=Th2）、及び異常度が低いことを表す第３の範囲（異常度<Th2）という３つの範囲に分けておく。ここで、Th1 と Th2 は、Th1>Th2 を満たす実数である。そして、第１の範囲に対しては「アプリケーションの停止」という制御を対応付けておき、第２の範囲には「他のオブジェクトに対するアクセスの遮断」という制御を対応づけておき、第３の範囲には「制御無し」を対応づけておく。こうすることにより、制御部２０８０は、異常度が第１の範囲に含まれるアプリケーション１０（すなわち、異常度が非常に高いアプリケーション１０）についてはその実行を停止し、異常度が第２の範囲に含まれるアプリケーション１０（すなわち、異常度が中程度であるアプリケーション１０）についてはその実行を停止せずに他のオブジェクトに対するアクセスを遮断し、異常度が第３の範囲に含まれるアプリケーション１０（すなわち、異常度が低いアプリケーション１０）についてはその動作を制限しないという制御を実現することができる。すなわち、異常度の高さに応じてアプリケーション１０の動作を柔軟に制御することができる。

制御部２０８０による制御が行われた場合、出力部２０６０は、アプリケーション１０について行われた制御に関する通知を、そのアプリケーション１０が動作している端末４０に対して通知してもよい。例えば制御部２０８０がアプリケーション１０の実行を停止したとする。この場合、出力部２０６０は、評価装置２０００による評価の結果に基づいてアプリケーション１０の実行が停止されたことを表す通知を出力する。この通知は、例えば、端末４０に接続されているディスプレイ装置に表示される。この通知を閲覧することにより、アプリケーション１０のユーザは、端末４０の不具合等の予期せぬ事態によってアプリケーション１０が停止したわけではなく、評価装置２０００による制御の結果としてアプリケーション１０が停止したということを把握することができる。よって、アプリケーション１０を停止させたことによってユーザが混乱してしまうことを防ぐことができる。

その他にも例えば、制御部２０８０がアプリケーション１０の動作を制限したとする。この場合、出力部２０６０は、評価装置２０００による評価の結果に基づいてアプリケーション１０の動作が制限されたこと、及びその制限の内容を表す通知を出力する。この通知は、例えば、端末４０に接続されているディスプレイ装置に表示される。この通知を閲覧することにより、アプリケーション１０のユーザは、端末４０の不具合等の予期せぬ事態によってアプリケーション１０が正常に動作しなくなったわけではなく、評価装置２０００による制御の結果としてアプリケーション１０の動作が制限されているということを把握することができる。よって、アプリケーション１０の動作を制限したことによってユーザが混乱してしまうことを防ぐことができる。

＜ハードウエア構成の例＞
実施形態２の評価装置２０００のハードウエア構成は、例えば、実施形態１の評価装置２０００のハードウエア構成と同様に、図３で表される。ただし、実施形態２の評価装置２０００のストレージデバイス１０８０には、実施形態２の評価装置２０００の機能を実現するプログラムモジュールが記憶される。

＜処理の流れ＞
図１２は、実施形態２の評価装置２０００によって実行される処理の流れを例示するフローチャートである。Ｓ１０２からＳ１０４を実行した後、制御部２０８０は、評価結果に基づいてアプリケーション１０の制御を行う（Ｓ２０２）。

＜変形例＞
上述したアプリケーション１０の制御は、評価装置２０００によって自動で行われる代わりに、評価装置２０００を利用して対象システム２０の監視等を行う IT 管理者など（以下、IT 管理者等）による入力操作に応じて行われてもよい。この場合、出力部２０６０により、評価結果を表す出力情報（例えば図１０の評価結果画面）が出力される。

IT 管理者等は、出力情報を参照して、動作を制御したいアプリケーション１０、及びそのアプリケーション１０に対して行う制御の内容を選択する。評価装置２０００は、「ユーザによって選択されたアプリケーション１０の識別情報、及びアプリケーション１０によって選択された制御の内容」という組み合わせを示すリクエストをエージェントソフトウエアに送信する。そして、エージェントソフトウエアが、受け付けたリクエストに応じてアプリケーション１０を制御する。

また、評価装置２０００は、評価結果に基づく自動制御と、IT 管理者等による手動制御との双方を行えるように構成されてもよい。例えば、異常度が十分に高い場合や異常度が十分に低い場合には評価装置２０００による自動制御を実行し、異常度が中程度である場合にはIT 管理者等による手動制御を行うようにする。より具体的には、前述の例における異常度の第１の範囲、第２の範囲、及び第３の範囲にそれぞれに対し、「アプリケーションの停止」、「ユーザによる制御の選択」、「制御なし」を対応づけておく。このようにすることで、アプリケーション１０の異常度が高い場合や低い場合にはアプリケーション１０の制御を自動で行うことができる一方、アプリケーション１０の異常度が高いとも低いとも言えない微妙な状況では、IT 管理者等にアプリケーション１０の制御方法の決定を委譲することができる。よって、ユーザの作業負担を減らしつつ、アプリケーション１０の正確な制御を実現することができる。

以上、図面を参照して本発明の実施形態について述べたが、これらは本発明の例示であり、上記以外の様々な構成を採用することもできる。

上記の実施形態の一部又は全部は、以下の付記のようにも記載されうるが、以下には限られない。
１． アプリケーションの異常を検知する処理が行われたアプリケーションについて、そのアプリケーションの導入に関する導入関連情報を取得する取得部と、
前記取得した導入関連情報を用いて、前記アプリケーションの評価を行う評価部と、を有する評価装置。
２． 前記アプリケーションの異常は、そのアプリケーションの振る舞いに基づいて検知される、１．に記載の評価装置。
３． 前記導入関連情報は、前記アプリケーションの導入経路に関する導入経路情報、前記アプリケーションが配置された場所に関する配置情報、及び前記アプリケーションの導入に伴う設定に関する設定情報のいずれか１つ以上を含む、１．又は２．に記載の評価装置。
４． 前記導入経路情報は、前記アプリケーションの提供元の情報、前記アプリケーションのダウンロードに用いられたダウンローダの情報、及び前記アプリケーションのインストールに用いられたインストーラの情報の少なくとも１つを含む、３．に記載の評価装置。
５． 前記評価部は、前記アプリケーションの導入に関する基準を示す基準情報を取得し、前記導入関連情報と前記基準情報との比較に基づいて、前記アプリケーションの評価を行う、１．乃至４．いずれか一つに記載の評価装置。
６． 前記評価部は、前記導入関連情報と前記基準情報との一致度合いに基づいて、前記アプリケーションの正常度又は異常度を表す評価値を算出する、５．に記載の評価装置。
７． 前記評価部による評価の結果に基づいて、前記アプリケーションの制御を行う制御部を有する、１．乃至６．いずれか一つに記載の評価装置。
８． 前記制御部は、
前記アプリケーションの異常度が第１閾値以上である場合に、そのアプリケーションに対して所定の制御を行い、
前記アプリケーションの異常度が第１閾値未満である場合に、そのアプリケーションに対する制御の内容の選択をユーザから受け付け、そのアプリケーションに対して前記ユーザによって選択された内容の制御を行う、７．に記載の評価装置。
９． 異常検知装置と評価装置を含むシステムであり、
前記異常検知装置は、アプリケーションの異常を検知する処理を行い、
前記評価装置は、
前記異常検知装置によって異常検知の処理が行われたアプリケーションについて、そのアプリケーションの導入に関する導入関連情報を取得する取得部と、
前記取得した導入関連情報を用いて、前記アプリケーションの評価を行う評価部と、を有する、システム。
１０． 前記アプリケーションの異常は、そのアプリケーションの振る舞いに基づいて検知される、９．に記載のシステム。
１１． 前記導入関連情報は、前記アプリケーションの導入経路に関する導入経路情報、前記アプリケーションが配置された場所に関する配置情報、及び前記アプリケーションの導入に伴う設定に関する設定情報のいずれか１つ以上を含む、９．又は１０．に記載のシステム。
１２． 前記導入経路情報は、前記アプリケーションの提供元の情報、前記アプリケーションのダウンロードに用いられたダウンローダの情報、及び前記アプリケーションのインストールに用いられたインストーラの情報の少なくとも１つを含む、１１．に記載のシステム。
１３． 前記評価部は、前記アプリケーションの導入に関する基準を示す基準情報を取得し、前記導入関連情報と前記基準情報との比較に基づいて、前記アプリケーションの評価を行う、９．乃至１２．いずれか一つに記載のシステム。
１４． 前記評価部は、前記導入関連情報と前記基準情報との一致度合いに基づいて、前記アプリケーションの正常度又は異常度を表す評価値を算出する、１３．に記載のシステム。
１５． 前記評価部による評価の結果に基づいて、前記アプリケーションの制御を行う制御部を有する、９．乃至１４．いずれか一つに記載のシステム。
１６． 前記制御部は、
前記アプリケーションの異常度が第１閾値以上である場合に、そのアプリケーションに対して所定の制御を行い、
前記アプリケーションの異常度が第１閾値未満である場合に、そのアプリケーションに対する制御の内容の選択をユーザから受け付け、そのアプリケーションに対して前記ユーザによって選択された内容の制御を行う、１５．に記載のシステム。
１７． コンピュータによって実行される制御方法であって、
アプリケーションの異常を検知する処理が行われたアプリケーションについて、そのアプリケーションの導入に関する導入関連情報を取得する取得ステップと、
前記取得した導入関連情報を用いて、前記アプリケーションの評価を行う評価ステップと、を有する制御方法。
１８． 前記アプリケーションの異常は、そのアプリケーションの振る舞いに基づいて検知される、１７．に記載の制御方法。
１９． 前記導入関連情報は、前記アプリケーションの導入経路に関する導入経路情報、前記アプリケーションが配置された場所に関する配置情報、及び前記アプリケーションの導入に伴う設定に関する設定情報のいずれか１つ以上を含む、１７．又は１８．に記載の制御方法。
２０． 前記導入経路情報は、前記アプリケーションの提供元の情報、前記アプリケーションのダウンロードに用いられたダウンローダの情報、及び前記アプリケーションのインストールに用いられたインストーラの情報の少なくとも１つを含む、１９．に記載の制御方法。
２１． 前記評価ステップにおいて、前記アプリケーションの導入に関する基準を示す基準情報を取得し、前記導入関連情報と前記基準情報との比較に基づいて、前記アプリケーションの評価を行う、１７．乃至２０．いずれか一つに記載の制御方法。
２２． 前記評価ステップにおいて、前記導入関連情報と前記基準情報との一致度合いに基づいて、前記アプリケーションの正常度又は異常度を表す評価値を算出する、２１．に記載の制御方法。
２３． 前記評価ステップによる評価の結果に基づいて、前記アプリケーションの制御を行う制御ステップを有する、１７．乃至２２．いずれか一つに記載の制御方法。
２４． 前記制御ステップにおいて、
前記アプリケーションの異常度が第１閾値以上である場合に、そのアプリケーションに対して所定の制御を行い、
前記アプリケーションの異常度が第１閾値未満である場合に、そのアプリケーションに対する制御の内容の選択をユーザから受け付け、そのアプリケーションに対して前記ユーザによって選択された内容の制御を行う、２３．に記載の制御方法。
２５． １７．乃至２４．いずれか一つに記載の制御方法の各ステップをコンピュータに実行させるプログラム。

Claims (25)

1. アプリケーションの異常を検知する処理が行われたアプリケーションについて、そのアプリケーションの導入に関する導入関連情報を取得する取得部と、
   前記取得した導入関連情報を用いて、前記アプリケーションの評価を行う評価部と、を有する評価装置。
2. 前記アプリケーションの異常は、そのアプリケーションの振る舞いに基づいて検知される、請求項１に記載の評価装置。
3. 前記導入関連情報は、前記アプリケーションの導入経路に関する導入経路情報、前記アプリケーションが配置された場所に関する配置情報、及び前記アプリケーションの導入に伴う設定に関する設定情報のいずれか１つ以上を含む、請求項１又は２に記載の評価装置。
4. 前記導入経路情報は、前記アプリケーションの提供元の情報、前記アプリケーションのダウンロードに用いられたダウンローダの情報、及び前記アプリケーションのインストールに用いられたインストーラの情報の少なくとも１つを含む、請求項３に記載の評価装置。
5. 前記評価部は、前記アプリケーションの導入に関する基準を示す基準情報を取得し、前記導入関連情報と前記基準情報との比較に基づいて、前記アプリケーションの評価を行う、請求項１乃至４いずれか一項に記載の評価装置。
6. 前記評価部は、前記導入関連情報と前記基準情報との一致度合いに基づいて、前記アプリケーションの正常度又は異常度を表す評価値を算出する、請求項５に記載の評価装置。
7. 前記評価部による評価の結果に基づいて、前記アプリケーションの制御を行う制御部を有する、請求項１乃至６いずれか一項に記載の評価装置。
8. 前記制御部は、
   前記アプリケーションの異常度が第１閾値以上である場合に、そのアプリケーションに対して所定の制御を行い、
   前記アプリケーションの異常度が第１閾値未満である場合に、そのアプリケーションに対する制御の内容を選択する入力を受け付け、そのアプリケーションに対して前記選択された内容の制御を行う、請求項７に記載の評価装置。
9. 異常検知装置と評価装置を含むシステムであり、
   前記異常検知装置は、アプリケーションの異常を検知する処理を行い、
   前記評価装置は、
   前記異常検知装置によって異常検知の処理が行われたアプリケーションについて、そのアプリケーションの導入に関する導入関連情報を取得する取得部と、
   前記取得した導入関連情報を用いて、前記アプリケーションの評価を行う評価部と、を有する、システム。
10. 前記アプリケーションの異常は、そのアプリケーションの振る舞いに基づいて検知される、請求項９に記載のシステム。
11. 前記導入関連情報は、前記アプリケーションの導入経路に関する導入経路情報、前記アプリケーションが配置された場所に関する配置情報、及び前記アプリケーションの導入に伴う設定に関する設定情報のいずれか１つ以上を含む、請求項９又は１０に記載のシステム。
12. 前記導入経路情報は、前記アプリケーションの提供元の情報、前記アプリケーションのダウンロードに用いられたダウンローダの情報、及び前記アプリケーションのインストールに用いられたインストーラの情報の少なくとも１つを含む、請求項１１に記載のシステム。
13. 前記評価部は、前記アプリケーションの導入に関する基準を示す基準情報を取得し、前記導入関連情報と前記基準情報との比較に基づいて、前記アプリケーションの評価を行う、請求項９乃至１２いずれか一項に記載のシステム。
14. 前記評価部は、前記導入関連情報と前記基準情報との一致度合いに基づいて、前記アプリケーションの正常度又は異常度を表す評価値を算出する、請求項１３に記載のシステム。
15. 前記評価部による評価の結果に基づいて、前記アプリケーションの制御を行う制御部を有する、請求項９乃至１４いずれか一項に記載のシステム。
16. 前記制御部は、
    前記アプリケーションの異常度が第１閾値以上である場合に、そのアプリケーションに対して所定の制御を行い、
    前記アプリケーションの異常度が第１閾値未満である場合に、そのアプリケーションに対する制御の内容を選択する入力を受け付け、そのアプリケーションに対して前記選択された内容の制御を行う、請求項１５に記載のシステム。
17. コンピュータによって実行される制御方法であって、
    アプリケーションの異常を検知する処理が行われたアプリケーションについて、そのアプリケーションの導入に関する導入関連情報を取得する取得ステップと、
    前記取得した導入関連情報を用いて、前記アプリケーションの評価を行う評価ステップと、を有する制御方法。
18. 前記アプリケーションの異常は、そのアプリケーションの振る舞いに基づいて検知される、請求項１７に記載の制御方法。
19. 前記導入関連情報は、前記アプリケーションの導入経路に関する導入経路情報、前記アプリケーションが配置された場所に関する配置情報、及び前記アプリケーションの導入に伴う設定に関する設定情報のいずれか１つ以上を含む、請求項１７又は１８に記載の制御方法。
20. 前記導入経路情報は、前記アプリケーションの提供元の情報、前記アプリケーションのダウンロードに用いられたダウンローダの情報、及び前記アプリケーションのインストールに用いられたインストーラの情報の少なくとも１つを含む、請求項１９に記載の制御方法。
21. 前記評価ステップにおいて、前記アプリケーションの導入に関する基準を示す基準情報を取得し、前記導入関連情報と前記基準情報との比較に基づいて、前記アプリケーションの評価を行う、請求項１７乃至２０いずれか一項に記載の制御方法。
22. 前記評価ステップにおいて、前記導入関連情報と前記基準情報との一致度合いに基づいて、前記アプリケーションの正常度又は異常度を表す評価値を算出する、請求項２１に記載の制御方法。
23. 前記評価ステップによる評価の結果に基づいて、前記アプリケーションの制御を行う制御ステップを有する、請求項１７乃至２２いずれか一項に記載の制御方法。
24. 前記制御ステップにおいて、
    前記アプリケーションの異常度が第１閾値以上である場合に、そのアプリケーションに対して所定の制御を行い、
    前記アプリケーションの異常度が第１閾値未満である場合に、そのアプリケーションに対する制御の内容を選択する入力を受け付け、そのアプリケーションに対して前記選択された内容の制御を行う、請求項２３に記載の制御方法。
25. 請求項１７乃至２４いずれか一項に記載の制御方法の各ステップをコンピュータに実行させるプログラム。

Images