JP7235126B2 - バックドア検査装置、バックドア検査方法、及びプログラム - Google Patents

Description

本開示は、バックドア検査装置、バックドア検査方法、及び非一時的なコンピュータ可読媒体に関する。

インフラや企業システムは、複雑化している。このため、インフラや企業システムは、単一の企業のデバイスだけで構成されるのではなく、様々な企業のデバイスを外部から調達しそれらを組み合わせて、構築されている。

しかしながら、近年、これらのデバイスにおいてソフトウェア（ファームウェア）およびハードウェアの両面で、ユーザが認知していない隠された機能又はユーザが予期していない機能が発見される、インシデントが多数報告されている。すなわち、「バックドア」に関連する多数のインシデントが報告されている。「バックドア」とは、例えば、複数の機能を含むソフトウェアに対して該ソフトウェアの一部として組み込まれた、ユーザに知らされていない且つ望まれていない機能として定義できる。

種々の種類のバックドアが存在する。特定の種類のバックドアを検知する方法が、例えば、非特許文献１に開示されている。

F. Schuster and T. Holz, "Towards reducing the attack surface of software backdoors," In Proceedings of the 2013 ACM SIGSAC conference on Computer & communicationssecurity (CCS), 2013.

特表２０１０－５４１０８４号公報 特開２００１－１４２７２０号公報

本発明者らは、複数種類のバックドアのそれぞれに対して提案されている複数の検知方法のすべてを、検査対象のソフトウェアに対して単純に適用した場合には、無駄な検査処理が発生して処理効率が悪く、更には検査精度が悪くなる、可能性があることを見出した。

また、本発明者は、検査対象のソフトウェアの全体を常に検査する場合、検査のために長い時間を要する可能性があることを見出した。

本開示の目的は、バックドアについての検査効率を向上させることができる、バックドア検査装置、バックドア検査方法、及び非一時的なコンピュータ可読媒体を提供することにある。

第１の態様にかかるバックドア検査装置は、検査対象であるソフトウェアに含まれる複数の機能にそれぞれ対応する複数の機能ブロックを特定する特定手段と、
それぞれ異なるタイプのバックドアについての検査処理を、入力された機能ブロックに対して実行する複数の検査手段と、
特定された各機能ブロックに対応する機能に応じて、前記特定された各機能ブロックを前記複数の検査手段のうちの少なくとも一部に入力する振分手段と、
を具備する。

第２の態様にかかるバックドア検査方法は、バックドア検査装置によって実行されるバックドア検査方法であって、
検査対象であるソフトウェアに含まれる複数の機能にそれぞれ対応する複数の機能ブロックを特定し、
特定された各機能ブロックに対応する機能に応じて、前記特定された各機能ブロックを前記バックドア検査装置の複数の検査手段のうちの少なくとも一部に入力し、
前記複数の検査手段が、入力された機能ブロックに対して、それぞれ異なるタイプのバックドアについての検査処理を実行する。

第３の態様にかかる非一時的なコンピュータ可読媒体は、バックドア検査装置に、
検査対象であるソフトウェアに含まれる複数の機能にそれぞれ対応する複数の機能ブロックを特定し、
特定された各機能ブロックに対応する機能に応じて、前記特定された各機能ブロックを前記バックドア検査装置の複数の検査手段のうちの少なくとも一部に入力し、
前記複数の検査手段が、入力された機能ブロックに対して、それぞれ異なるタイプのバックドアについての検査処理を実行する、
処理を、実行させるプログラムが格納している。

本開示により、バックドアについての検査効率を向上させることができる、バックドア検査装置、バックドア検査方法、及び非一時的なコンピュータ可読媒体を提供することができる。

第１実施形態におけるバックドア検査装置の一例を示すブロック図である。 第２実施形態におけるバックドア検査装置の特定部の一例を示す図である。 コントロールフローグラフの説明に供する図である。 不正パスの説明に供する図である。 隠しコマンドの説明に供する図である。 第３実施形態におけるバックドア検査装置の一例を示す図である。 第４実施形態におけるバックドア検査装置の一例を示す図である。 検査結果表示の一例を示す図である。 検査結果表示の一例を示す図である。 検査結果表示の一例を示す図である。 検査結果表示の一例を示す図である。 第５実施形態におけるバックドア検査装置の一例を示す図である。 第６実施形態におけるバックドア検査装置の一例を示す図である。 第７実施形態におけるバックドア検査装置の一例を示す図である。 第７実施形態におけるバックドア検査装置の処理動作の一例を示すフローチャートである。 他の実施形態＜１＞におけるバックドア検査装置の一例を示すブロック図である。 他の実施形態＜２＞におけるバックドア検査装置の一例を示すブロック図である。 他の実施形態＜３＞におけるバックドア検査装置の一例を示すブロック図である。 他の実施形態＜４＞におけるバックドア検査装置の一例を示すブロック図である。 他の実施形態＜５＞におけるバックドア検査装置の利用方法の一例を示すブロック図である。 バックドア検査装置のハードウェア構成例を示す図である。

以下、図面を参照しつつ、実施形態について説明する。なお、実施形態において、同一又は同等の要素には、同一の符号を付し、重複する説明は省略される。

＜第１実施形態＞
図１は、第１実施形態におけるバックドア検査装置の一例を示すブロック図である。図１においてバックドア検査装置１０は、特定部１１と、振分部１２と、検査部１３－１～１３－Ｎ（Ｎは２以上の自然数）とを有している。以下では、検査部１３－１～１３－Ｎを区別しない場合、検査部１３－１～１３－Ｎを纏めて単に検査部１３と呼ぶことがある。

特定部１１は、検査対象であるソフトウェア（以下では、単に「対象ソフトウェア」と呼ぶことがある）を入力とする。対象ソフトウェアは、コンパイル前のソースコードであってもよいし、コンパイル後のバイナリコードであってもよい。以下では、主に、入力されるソフトウェアがバイナリコードであるものとして説明する。

特定部１１は、対象ソフトウェアに含まれる複数の機能にそれぞれ対応する複数の機能ブロック（つまり、コードブロック）を特定する。対象ソフトウェアに含まれる複数の機能は、例えば、認証機能、許可機能、コマンドパーサ機能、及び通信機能などを含んでいてもよい。

振分部１２は、特定部１１にて特定された各機能ブロックに対応する機能に応じて、特定部１１にて特定された各機能ブロックを、検査部１３－１～１３－Ｎのうちの少なくとも一部に入力する。振分部１２は、例えば、対象ソフトウェアに含まれる複数の機能と各機能に対応する振分先の１つ又は複数の検査部１３とを対応付けた「振分ルールテーブル」を用いて、特定部１１にて特定された各機能ブロックを振り分けてもよい。

検査部１３－１～１３－Ｎは、それぞれ異なるタイプのバックドアについての検査処理を実行する。すなわち、各検査部１３は、各検査部１３に対応する検査方法を用いて、振分部１２から受け取った機能ブロックに対して検査処理を実行する。バックドアのタイプには、例えば、「隠しアカウント」、「認証回避」、「不正な機能（情報漏洩機能及びキルスイッチ等）」等がある。

以上のように第１実施形態によれば、バックドア検査装置１０にて特定部１１は、対象ソフトウェアに含まれる複数の機能にそれぞれ対応する複数の機能ブロックを特定する。検査部１３－１～１３－Ｎは、それぞれ異なるタイプのバックドアについての検査処理を実行する。振分部１２は、特定部１１にて特定された各機能ブロックに対応する機能に応じて、特定部１１にて特定された各機能ブロックを、検査部１３－１～１３－Ｎのうちの少なくとも一部に入力する。

このバックドア検査装置１０の構成により、バックドアについての検査効率を向上させることができる。すなわち、対象ソフトウェアに含まれる機能の種別と該機能に埋め込まれるバックドアのタイプとの間には相関があると考えられる。そのため、振分部１２は、特定部１１にて特定された各機能ブロックを、その機能ブロックに対応する機能と相関の高いバックドアタイプについての検査処理を実行する検査部１３に入力する。一方で、振分部１２は、特定部１１にて特定された各機能ブロックを、その機能ブロックに対応する機能と相関の低いバックドアタイプについての検査処理を実行する検査部１３には入力しない。これにより、無駄な検査処理が実行されることを回避することができるので、バックドアについての検査効率を向上させることができる。また、検査部１３－１～１３－Ｎの全てが特定部１１を共有しているので、各検査処理に対して個別に特定処理を行うのに比べて、処理効率を向上させることができる。

以上の説明では、検査部１３は振分部１２から受け取った機能ブロックに対して検査処理を実行したが、検査部１３はソフトウェア全体もしくは複数の機能ブロックに対して検査を行ってもよい。この際、振分部１２は、ソフトウェア全体もしくはその一部の機能ブロックの情報を検査部１３に渡し、検査部１３は機能ブロックの情報に基づいてソフトウェア全体もしくは複数の機能ブロックに対して検査を行ってもよい。

＜第２実施形態＞
第２実施形態は、上記の特定部の構成例に関する。

図２は、第２実施形態におけるバックドア検査装置の特定部の一例を示す図である。なお、第２実施形態におけるバックドア検査装置の基本構成は、第１実施形態におけるバックドア検査装置１０と同じなので、図１を参照して説明する。

第２実施形態におけるバックドア検査装置１０は、特定部１１と、振分部１２と、検査部１３－１～１３－Ｎ（Ｎは２以上の自然数）とを有している。

特定部１１は、図２に示すように、特定処理部１１Ａと、構造解析部１１Ｂとを有している。

特定処理部１１Ａは、対象ソフトウェアにおいて、「予め定められた所定機能」に対応する「所定機能ブロック」を特定する。「予め定められた所定機能」は、例えば、「インタフェース機能」、「認証機能（認証ルーチン）」、及び「コマンドパーサ機能（パーサルーチン）」等である。すなわち、「予め定められた所定機能」は、それの後に種々の機能が続く機能である。つまり、「予め定められた所定機能」は、対象ソフトウェアについてのコントロールフローグラフにおいて起点となる機能ブロックに対応する。

特定処理部１１Ａは、例えば、複数の所定機能と各所定機能に対応する所定機能ブロックの特徴とを対応付けた「特定ルールテーブル（「第１特定テーブル」）」を用いて、所定機能ブロックを特定してもよい。この場合、特定処理部１１Ａは、特定ルールテーブルに保持されている各所定機能ブロックの特徴にマッチする、対象ソフトウェアの部分を、所定機能ブロックとして特定する。また、特定処理部１１Ａは、テーブルの代わりに、所定機能を特定するための１つもしくは複数のアルゴリズムやモジュールを実行し、所定機能ブロックを特定してもよい。

構造解析部１１Ｂは、特定処理部１１Ａにて特定された所定機能ブロックを起点としてコントロールフローを辿ることによって、対象ソフトウェアの構造を解析すると共に、所定機能以外の機能に対応する機能ブロックを特定する。例えば、構造解析部１１Ｂは、特定処理部１１Ａによって特定された認証機能の機能ブロックを起点としてコントロールフローを辿ることによって、図３に示すようなコントロールフローグラフを作成する。そして、構造解析部１１Ｂは、「特定ルールテーブル（「第２特定テーブル」）」を用いて、所定機能以外の機能に対応する機能ブロックを特定する。「第２特定テーブル」は、起点となる機能ブロックの種別と、該種別に応じて特定すべき特定対象機能ブロックの特徴とを対応付けている。例えば、「第２特定テーブル」において、起点となるコードブロックである「認証機能の機能ブロック」に対しては、「特定対象機能ブロックの特徴」として、「コントロールフローグラフにおいて認証ルーチンを通った後に存在する機能ブロック」が対応付けられている。また、例えば、「第２特定テーブル」において、起点となる機能ブロックである「コマンドパーサ機能の機能ブロック」に対しては、「特定対象機能ブロックの特徴」として、「パーサによってディスパッチされるコマンド又は関数を含む機能ブロック」が対応付けられている。なお、図３に示すコントロールフローグラフにおいて、「認証機能の機能ブロック」及び「（図３にて丸で示されている）特定対象機能ブロック」は、それぞれ「ノード」と呼ぶこともできる。また、図３に示すコントロールフローグラフにおいて、矢印は、コントロールフローに対応する。

検査部１３－１～１３－Ｎには、例えば、「認証回避」のバックドアについての検査処理を実行する検査部１３が含まれる。ここで、検査部１３－１が「認証回避」のバックドアについての検査処理を実行するものとする。この場合、検査部１３－１は、図４に示すように、構造解析部１１Ｂによって作成されたコントロールフローグラフにおいて、認証機能ブロックＢ１１を通らずに、構造解析部１１Ｂにて特定された機能ブロックＢ２１（つまり、認証が必要な実行部分）に至る「パス（不正パス）Ｐ１」を検出する。

また、検査部１３－１～１３－Ｎには、例えば、「隠しコマンド」のバックドアについての検査処理を実行する検査部１３が含まれる。ここで、検査部１３－２が「隠しコマンド」のバックドアについての検査処理を実行するものとする。この場合、検査部１３－１は、図５に示すように、構造解析部１１Ｂによって作成されたコントロールフローグラフにおいて、仕様書に記載が無いコマンド（又は関数）を含む機能ブロックを検出する。図５の例では、機能ブロック「ｃｍｄｘ（）」に対応するコマンドが仕様書に記載されていないため、機能ブロック「ｃｍｄｘ（）」が検出されている。

この例では、振分部１２は、特定部１１によって特定された、「認証機能の機能ブロック」を起点とする機能ブロック群（及びコントロールフローグラフ）を、少なくとも検査部１３－１に振り分ける。また、振分部１２は、特定部１１によって特定された、「コマンドパーサ機能の機能ブロック」を起点とする機能ブロック群（及びコントロールフローグラフ）を、少なくとも検査部１３－２に振り分ける。

＜第３実施形態＞
第３実施形態は、セキュリティ対策の有無についてのチェック、及び、検査結果レポートの生成に関する。

図６は、第３実施形態におけるバックドア検査装置の一例を示す図である。図６においてバックドア検査装置２０は、特定部１１と、振分部１２と、検査部１３－１～１３－Ｎ（Ｎは２以上の自然数）と、対策チェック部２１と、レポート生成部２２とを有している。

対策チェック部２１は、特定部１１にて特定された機能ブロック（つまり、検査対象ブロック）に対する「セキュリティ対策」の有無をチェック（判定）する。例えば、対策チェック部２１は、セキュリティ対策についての「チェックポイント」を規定する「チェックルールテーブル」を用いて、検査対象ブロックに対する「セキュリティ対策」の有無をチェック（判定）する。例えば、「チェックルールテーブル」には、チェックポイントとして、「スタックカナリアの有無」、及び、「脆弱性の原因となる可能性の高い関数が使用されているか否か」等が規定されている。スタックカナリアは、スタックのオーバーフローを検知するための対策である。また、脆弱性の原因となる可能性の高い関数としては、例えば、「strcpy」等がある。

対策チェック部２１は、検査対象ブロックの識別情報と、セキュリティ対策の有無に応じた「危険度指標」とを対応付けて、レポート生成部２２へ出力する。「危険度指標」は、危険度を表すスコア（危険度が高いほど高いスコア）であってもよいし、危険度が高いことを示すフラグ（ビット）であってもよい。

レポート生成部２２は、「検査結果レポート」を生成する。例えば、「検査結果レポート」は、検査部１３－１～１３－Ｎにて検査された各機能ブロックの識別情報と、各機能ブロックについての検査結果（バックドアの有無等）と、各機能ブロックについての危険度指標とを対応付けた状態で、含んでいる。

＜第４実施形態＞
第４実施形態は、検査結果の表示制御に関する。

図７は、第４実施形態におけるバックドア検査装置の一例を示す図である。図７においてバックドア検査装置３０は、特定部１１と、振分部１２と、検査部１３－１～１３－Ｎ（Ｎは２以上の自然数）と、表示制御部３１とを有している。

表示制御部３１は、例えば、図８に示すように、特定部１１によるソフトウェアの構造の解析によって得られたコントロールフローグラフを、検査部１３－１～１３－Ｎによる検査処理によって検出されたバックドアに対応する機能ブロックを強調した状態で、表示装置（不図示）に表示させる制御を実行してもよい。図８は、検査結果表示の一例を示す図である。図８において、太線の枠で強調されたコードブロックが、バックドアに対応する機能ブロックである。

また、表示制御部３１は、例えば、図９に示すように、特定部１１によるソフトウェアの構造の解析によって得られたコントロールフローグラフを、検査部１３－１～１３－Ｎによる検査処理によって検出されたバックドアに対応する制御フローを強調した状態で、表示装置（不図示）に表示させる制御を実行してもよい。図９は、検査結果表示の一例を示す図である。図９において、太線矢印が、バックドアに対応する制御フローである。

なお、コントロールフローグラフを表示する際に、表示制御部３１は、図１０に示すように、コードブロック群を機能毎にグルーピングし、枠又は色によってグループを強調した状態で、コントロールフローグラフを表示してもよい。図１０は、検査結果表示の一例を示す図である。図１０では、枠によってグループが強調されている。

また、表示制御部３１は、例えば、図１１に示すように、バックドアに対応する関数名と、アドレスと、バックドアタイプとを対応づけたテーブルの形式で、検査結果を表示してもよい。図１１は、検査結果表示の一例を示す図である。

＜第５実施形態＞
第５実施形態は、故意度についての判定、及び、検査結果レポートの生成に関する。具体的には、バックドアには故意に埋め込まれたものと、開発者のミスで埋め込まれたものとが存在するため、どれだけ前者のバックドアの可能性があるかを示す故意度を判定する。

図１２は、第５実施形態におけるバックドア検査装置の一例を示す図である。図１２においてバックドア検査装置４０は、特定部１１と、振分部１２と、検査部１３－１～１３－Ｎ（Ｎは２以上の自然数）と、故意度判定部４１と、レポート生成部４２とを有している。

故意度判定部４１は、検査部１３－１～１３－Ｎにおいて検出されたバックドアの「故意度」を判定する。例えば、故意度判定部４１は、バックドアの故意性が高いケースを規定する「故意性判定テーブル」を用いて、検査部１３－１～１３－Ｎにおいて検出されたバックドアの「故意度」を判定する。ここで、バックドアを隠蔽している痕跡が見つけられる場合、該バックドアの故意性は高いと推測される。バックドアの隠蔽の例としては、実行コードの難読化やバックドアが実行されるトリガの複雑化を挙げることができる。また、バグベースのバックドアであっても簡単に発見できるバグをトリガとしているバックドアは、故意性が高いと推測される。このため、「故意性判定テーブル」は、バックドアの故意性が高いケースとして、「実行コードの難読化しているケース」、「バックドアが実行されるトリガの複雑化しているケース」、「簡単に発見できるバグをトリガとしているケース」を規定していてもよい。

故意度判定部４１は、故意度についての判定対象機能ブロックの識別情報と、該判定対象機能ブロックについて判定した故意度の指標（故意度指標）とを対応づけて、レポート生成部４２へ出力する。

レポート生成部４２は、「検査結果レポート」を生成する。例えば、「検査結果レポート」は、検査部１３－１～１３－Ｎにて検査された各機能ブロックの識別情報と、各機能ブロックについての検査結果（バックドアの有無等）とを対応付けた状態で、含んでいる。さらに、「検査結果レポート」において、バックドアであると判定された機能ブロックの識別情報には故意度指標が対応付けられている。故意度指標は、故意度を表すスコア（故意度が高いほど高いスコア）であってもよいし、故意度が高いことを示すフラグ（ビット）であってもよい。

＜第６実施形態＞
ところで、対象ソフトウェアの全体を検査する場合、検査のために長い時間を要する可能性がある。そこで、第６実施形態及び第７実施形態では、信頼性の高いソフトウェアの全体又は一部に対する検査を省略（スキップ）することによって、検査に掛かる時間を削減する。

図１３は、第６実施形態におけるバックドア検査装置の一例を示す図である。図１３においてバックドア検査装置１００は、検査制御部１０１と、検査部１０２とを有している。

検査制御部１０１は、入力制御の対象である機能ブロック（以下では、「対象機能ブロック」と呼ぶことがある）の「信頼度」に応じて、対象機能ブロックを検査部１０２へ入力させるか否かを制御する。「対象機能ブロック」は、検査対象であるソフトウェア（以下では、「対象ソフトウェア」と呼ぶことがある）に含まれる機能に対応する機能ブロックである。具体的には、検査制御部１０１は、対象機能ブロックの信頼度が高ければ、対象機能ブロックを検査部１０２へ入力させない一方で、対象機能ブロックの信頼度が低ければ、対象機能ブロックを検査部１０２へ入力させる。これにより、検査対象であるソフトウェアの一部の検査を省略することができるので、検査に掛かる時間を削減することができる。

検査部１０２は、入力された対象機能ブロックに対して、バックドアについての検査処理を実行する。なお、検査部１０２は、第１実施形態から第５実施形態で説明した振分部１２及び検査部１３－１～１３－Ｎ（Ｎは２以上の自然数）を含む構成を有していてもよい。

以上のように第６実施形態によれば、バックドア検査装置１００にて検査制御部１０１は、対象機能ブロックの信頼度に応じて、対象機能ブロックを検査部１０２へ入力させるか否かを制御する。

このバックドア検査装置１００の構成により、検査対象であるソフトウェアの一部の検査を省略することができるので、検査に掛かる時間を削減することができる。

＜第７実施形態＞
図１４は、第７実施形態におけるバックドア検査装置の一例を示す図である。図１４においてバックドア検査装置１１０は、検査制御部１１１と、特定部１１２と、データ管理部１１３と、記憶部１１４と、取得部１１５と、検査部１０２とを有している。

検査制御部１１１は、記憶部１１４に記憶されたデータベース１１４Ａに基づいて、対象ソフトウェアを特定部１１２へ入力させるか否かを制御する。データベース１１４Ａは、ソフトウェアの署名を保持しているテーブルを含んでいる。例えば、検査制御部１１１は、対象ソフトウェアの署名と一致する署名がデータベース１１４Ａに保持されていない場合、検査対象のソフトウェアを特定部１１２に入力する。一方、検査制御部１１１は、対象ソフトウェアの署名と一致する署名がデータベース１１４Ａに保持されている場合、対象ソフトウェアを特定部１１２に入力しない。すなわち、検査制御部１１１は、信頼性の低い対象ソフトウェアを特定部１１２に入力する一方で、信頼性の高い対象ソフトウェアを特定部１１２に入力しない。これにより、信頼性の高い対象ソフトウェアの検査を省略することができる。

データベース１１４Ａは、検査部１０２による過去の検査によってバックドアが検出されなかったソフトウェアの全体のハッシュ値を保持するテーブルを含んでいてもよい。この場合、検査制御部１１１は、対象ソフトウェアの全体のハッシュ値を算出する。そして、検査制御部１１１は、算出された対象ソフトウェアの全体のハッシュ値と一致するハッシュ値がデータベース１１４Ａに存在しない場合、対象ソフトウェアを特定部１１２へ入力する。一方、算出された対象ソフトウェアの全体のハッシュ値と一致するハッシュ値がデータベース１１４Ａに存在する場合、検査制御部１１１は、対象ソフトウェアを特定部１１２へ入力しない。すなわち、検査制御部１１１は、信頼性の低い対象ソフトウェアを特定部１１２に入力する一方で、信頼性の高い対象ソフトウェアを特定部１１２に入力しない。これにより、信頼性の高い対象ソフトウェアの検査を省略することができる。

特定部１１２は、第１実施形態から第５実施形態で説明した特定部１１と同様に、対象ソフトウェアに含まれる複数の機能にそれぞれ対応する複数の機能ブロック（つまり、コードブロック）を特定する。

検査制御部１１１は、特定部１１２にて特定された各機能ブロック（以下では、「対象機能ブロック」と呼ぶことがある）検査済みの機能ブロックであるか否かを判定する。検査制御部１１１は、対象機能ブロックが検査済みでない場合、対象機能ブロックを検査部１０２へ入力させる。一方、対象機能ブロックが検査済みである場合、検査制御部１１１は、対象機能ブロックを検査部１０２へ入力させない。例えば、データベース１１４Ａは、検査部１０２による過去の検査によってバックドアが検出されなかった機能ブロックについてのハッシュ値を保持するテーブルを含んでいる。そして、検査制御部１１１は、特定部１１２にて特定された各機能ブロック（以下では、「対象機能ブロック」と呼ぶことがある）のハッシュ値を算出する。そして、検査制御部１１１は、算出されたハッシュ値と一致するハッシュ値がデータベース１１４Ａに存在しない場合、対象機能ブロックが検査済みでないと判定する。一方、算出されたハッシュ値と一致するハッシュ値がデータベース１１４Ａに存在する場合、検査制御部１１１は、対象機能ブロックが検査済みであると判定する。すなわち、検査制御部１１１は、対象機能ブロックの信頼度が高ければ、対象機能ブロックを検査部１０２へ入力させない一方で、対象機能ブロックの信頼度が低ければ、対象機能ブロックを検査部１０２へ入力させる。これにより、検査対象であるソフトウェアの一部の検査を省略することができるので、検査に掛かる時間を削減することができる。

また、データベース１１４Ａは、機能ブロックの署名を保持するテーブルを含んでいてもよい。この場合、検査制御部１１１は、対象機能ブロックの署名と一致する署名がデータベース１１４Ａに保持されてない場合、対象機能ブロックを検査部１０２へ入力させる。一方、対象機能ブロックの署名と一致する署名がデータベース１１４Ａに保持されている場合、検査制御部１１１は、対象機能ブロックを検査部１０２へ入力させない。すなわち、検査制御部１１１は、対象機能ブロックの信頼度が高ければ、対象機能ブロックを検査部１０２へ入力させない一方で、対象機能ブロックの信頼度が低ければ、対象機能ブロックを検査部１０２へ入力させる。これにより、検査対象であるソフトウェアの一部の検査を省略することができるので、検査に掛かる時間を削減することができる。また、複数の製品（ソフトウェア）において用いられているコードブロックは、１つのソフトウェアについての検査時に１回だけ検査されることになるので、検査に掛かる時間を削減することができる。また、バージョンアップされたソフトウェアを検査する際には、バージョンアップ前のソフトウェアとの差分に対応する機能ブロックについてだけ検査されることになるので、検査に掛かる時間を削減することができる。

データ管理部１１３は、記憶部１１４に記憶されているデータベース１１４Ａを管理する。例えば、データ管理部１１３は、取得部１１５によってバックドア検査装置１１０の外部から取得された、ソフトウェアの署名をデータベース１１４Ａに登録する。また、データ管理部１１３は、検査部１０２による検査によってバックドアが検出されなかったソフトウェアの全体のハッシュ値を算出し、算出したハッシュ値をデータベース１１４Ａに登録する。また、データ管理部１１３は、検査部１０２による検査によってバックドアが検出されなかった機能ブロックについてのハッシュ値を算出し、算出したハッシュ値をデータベース１１４Ａに登録する。また、データ管理部１１３は、取得部１１５によってバックドア検査装置１１０の外部から取得された、機能ブロックの署名をデータベース１１４Ａに登録する。

また、データ管理部１１３は、特定部１１２にて特定された各機能ブロックに関する情報をデータベース１１４Ａに登録してもよい。また、データ管理部１１３は、特定部１１２にて作成されたコントロールフローグラフをデータベース１１４Ａに登録してもよい。これらの各機能ブロックに関する情報及びコントロールフローグラフは、対象ソフトウェアについての解析の中間データである。

データ管理部１１３は、ソフトウェア又はコードブロックの作成者に関する情報をメタデータとしてデータベース１１４Ａに登録してもよい。この情報に基づいて、検査制御部１１１は、対象ソフトウェア及び対象機能ブロックの信頼性を判定してもよい。

また、データ管理部１１３は、権限を必要とする、命令やＡＰＩ呼出に関する情報をメタデータとしてデータベース１１４Ａに登録してもよい。

また、データ管理部１１３は、取得部１１５によってバックドア検査装置１１０の外部から取得された、バックドアであるコードブロックに関する情報を含むブラックリストをメタデータとしてデータベース１１４Ａに登録してもよい。この情報に基づいて、検査制御部１１１は、対象機能ブロックの信頼性を判定してもよい。

また、データ管理部１１３は、同じ意味を持つ関数（例えば、文字列比較）に関する情報を含むリストをメタデータとしてデータベース１１４Ａに登録してもよい。この情報を、特定部１１２は、機能ブロックの特定に用いてもよい。

なお、以上の説明では、データ管理部１１３、記憶部１１４、及び、取得部１１５が、バックドア検査装置１１０に含まれるものとして説明を行ったが、本実施形態は、これに限定されるものではない。例えば、データ管理部１１３、記憶部１１４、及び、取得部１１５は、バックドア検査装置１１０と別体で且つ通信可能なサーバ（不図示）に設けられてもよい。

以上の構成を有するバックドア検査装置１１０の処理動作の一例について説明する。図１５は、第７実施形態におけるバックドア検査装置の処理動作の一例を示すフローチャートである。ここでは、特に、検査制御部１１１による入力制御を説明する。このフローチャートは、例えば、検査制御部１１１に対象ソフトウェアが入力されたときにスタートする。

検査制御部１１１は、対象ソフトウェアの署名と一致する署名がデータベース１１４Ａに保持されているか否かを判定する（ステップＳ１０１）。

対象ソフトウェアの署名と一致する署名がデータベース１１４Ａに保持されている場合（ステップＳ１０１ＹＥＳ）、検査制御部１１１は対象ソフトウェアを特定部１１２に入力せず、処理フローは終了する。

対象ソフトウェアの署名と一致する署名がデータベース１１４Ａに保持されていない場合（ステップＳ１０１ＮＯ）、検査制御部１１１は、対象ソフトウェアの全体のハッシュ値を算出する（ステップＳ１０２）。

検査制御部１１１は、算出された対象ソフトウェアの全体のハッシュ値と一致するハッシュ値がデータベース１１４Ａに存在するか否かを判定する（ステップＳ１０３）。

算出された対象ソフトウェアの全体のハッシュ値と一致するハッシュ値がデータベース１１４Ａに存在する場合（ステップＳ１０３ＹＥＳ）、検査制御部１１１は対象ソフトウェアを特定部１１２へ入力せず、処理フローは終了する。なお、このとき、検査制御部１１１は、バックドア検査装置１１０に第３実施形態のようなレポート生成部２２に含まれる場合には、データベース１１４Ａに保持されている対象ソフトウェアの過去の検査結果を含む検査結果レポートを生成させる制御を行ってもよい。

算出された対象ソフトウェアの全体のハッシュ値と一致するハッシュ値がデータベース１１４Ａに存在しない場合（ステップＳ１０３ＮＯ）、検査制御部１１１は、対象ソフトウェアを特定部１１２へ入力する（ステップＳ１０４）。これにより、特定部１１２は、入力された対象ソフトウェアに含まれる複数の機能にそれぞれ対応する複数の機能ブロックを特定する。

検査制御部１１１は、特定部１１２にて特定された各機能ブロック（対象機能ブロック）のハッシュ値を算出する（ステップＳ１０５）。

検査制御部１１１は、各対象機能ブロックについて算出されたハッシュ値と一致するハッシュ値がデータベース１１４Ａに存在するか否かを判定する（ステップＳ１０６）。

検査制御部１１１は、算出されたハッシュ値と一致するハッシュ値がデータベース１１４Ａに存在しない対象機能ブロックを検査部１０２へ入力させる（ステップＳ１０７）。

＜他の実施形態＞
＜１＞ソフトウェアは、しばしば難読化されていることがある。難読化に対応するために、第１実施形態から第５実施形態のバックドア検査装置に、難読化解除部を設けてもよい。図１６は、他の実施形態＜１＞におけるバックドア検査装置の一例を示すブロック図である。図１６は、第１実施形態のバックドア検査装置に難読化解除部を設けた場合のバックドア検査装置の構成が示されている。

図１６に示すバックドア検査装置１０において難読化解除部１４は、対象ソフトウェアの難読化を解除する処理を実行し、難読化解除後の対象ソフトウェアを特定部１１へ出力する。

＜２＞対象ソフトウェアが機器のファームウェアである場合、ファームウェアからプログラムを抽出する必要がある。このため、ファームウェアからプログラムを抽出する抽出部を、第１実施形態から第５実施形態のバックドア検査装置に設けてもよい。図１７は、他の実施形態＜２＞におけるバックドア検査装置の一例を示すブロック図である。図１７は、第１実施形態のバックドア検査装置に抽出部を設けた場合のバックドア検査装置の構成が示されている。

図１７に示すバックドア検査装置１０において抽出部１５は、対象ソフトウェアであるファームウェアからプログラムを抽出し、抽出したプログラムを特定部１１へ出力する。特定部１１は、このプログラムに対して処理を行う。例えば、抽出部１５は、binwalk、foremostなどのツールを用いて、ファームウェアからプログラムを抽出してもよい。

＜３＞第１実施形態から第５実施形態のバックドア検査装置に、検出されたバックドアに対する対処処理を実行する対処処理実行部を設けてもよい。図１８は、他の実施形態＜３＞におけるバックドア検査装置の一例を示すブロック図である。図１８は、第１実施形態のバックドア検査装置に対処処理実行部を設けた場合のバックドア検査装置の構成が示されている。

対処処理実行部１６は、検査部１３－１～１３－Ｎにて検出されたバックドアを、対象ソフトウェアから取り除く処理を行ってもよい。又は、対処処理実行部１６は、検査部１３－１～１３－Ｎにてバックドアが検出されることをトリガとして、アラートを挙げる処理を行ってもよい。

＜４＞バグベースのバックドアへの対策のために、第１実施形態から第５実施形態のバックドア検査装置に、脆弱性発見部を設けてもよい。図１９は、他の実施形態＜４＞におけるバックドア検査装置の一例を示すブロック図である。図１９は、第１実施形態のバックドア検査装置に脆弱性発見部を設けた場合のバックドア検査装置の構成が示されている。

脆弱性発見部１７は、既存の脆弱性発見方法を用いて、特定部１１によって特定された各機能ブロックにおける脆弱な部分を探す。脆弱性発見部１７によって発見された脆弱な部分に関する情報は、上記の検査結果レポートに含められてもよい。

＜５＞第１実施形態から第５実施形態のバックドア検査装置は、バイナリ解析装置のプラグインとして用いられてもよい。図２０は、他の実施形態＜５＞におけるバックドア検査装置の利用方法の一例を示すブロック図である。図２０は、一例として、第１実施形態のバックドア検査装置がプラグインとして用いられるケースを示している。

バイナリ解析装置２００は、例えばIDA ProやGhidraなどのバイナリ解析ツールを用いて、入力されたソフトウェアを解析する。例えば、バイナリ解析装置２００は、入力されたソフトウェアを逆アセンブル（又はデコンパイル）し、逆アセンブルされた（又はデコンパイルされた）バイナリ又はコードブロックを、バックドア検査装置１０へ出力する。また、バイナリ解析装置２００は、認証ルーチン又はパーサ等に関する情報を、バックドア検査装置１０へ出力してもよい。

バックドア検査装置１０は、バックドアを含むと判定されたコードブロックに関する情報、又は、認証の回避に対応するコントロールフローに関する情報を、バイナリ解析装置２００へ出力する。

＜６＞図２１は、バックドア検査装置のハードウェア構成例を示す図である。図２１においてバックドア検査装置３００は、プロセッサ３０１と、メモリ３０２とを有している。プロセッサ３０１は、例えば、マイクロプロセッサ、MPU（Micro Processing Unit）、又はCPU（Central Processing Unit）であってもよい。プロセッサ３０１は、複数のプロセッサを含んでもよい。メモリ３０２は、揮発性メモリ及び不揮発性メモリの組み合わせによって構成される。メモリ３０２は、プロセッサ３０１から離れて配置されたストレージを含んでもよい。この場合、プロセッサ３０１は、図示されていないI/Oインタフェースを介してメモリ３０２にアクセスしてもよい。

第１実施形態から第７実施形態及び他の実施形態＜１＞から他の実施形態＜５＞のバックドア検査装置１０，２０，３０，４０，１００，１１０は、それぞれ、図２１に示したハードウェア構成を有することができる第１実施形態から第７実施形態及び他の実施形態＜１＞から他の実施形態＜５＞のバックドア検査装置１０，２０，３０，４０，１００，１１０の特定部１１，１１２と、振分部１２と、検査部１３，１０２と、難読化解除部１４と、抽出部１５と、対処処理実行部１６と、脆弱性発見部１７と、対策チェック部２１と、レポート生成部２２，４２と、表示制御部３１と、故意度判定部４１と、検査制御部１０１，１１１と、データ管理部１１３と、取得部１１５とは、は、プロセッサ３０１がメモリ３０２に記憶されたプログラムを読み込んで実行することにより実現されてもよい。記憶部１１４は、メモリ３０２によって実現されてもよい。プログラムは、様々なタイプの非一時的なコンピュータ可読媒体（non-transitory computer readable medium）を用いて格納され、バックドア検査装置１０，２０，３０，４０，１００，１１０に供給することができる。非一時的なコンピュータ可読媒体の例は、磁気記録媒体（例えばフレキシブルディスク、磁気テープ、ハードディスクドライブ）、光磁気記録媒体（例えば光磁気ディスク）を含む。さらに、非一時的なコンピュータ可読媒体の例は、ＣＤ－ＲＯＭ（Read Only Memory）、ＣＤ－Ｒ、ＣＤ－Ｒ／Ｗを含む。さらに、非一時的なコンピュータ可読媒体の例は、半導体メモリを含む。半導体メモリは、例えば、マスクＲＯＭ、ＰＲＯＭ（Programmable ROM）、ＥＰＲＯＭ（Erasable PROM）、フラッシュＲＯＭ、ＲＡＭ（Random Access Memory）を含む。また、プログラムは、様々なタイプの一時的なコンピュータ可読媒体（transitory computer readable medium）によってバックドア検査装置１０，２０，３０，４０，１００，１１０に供給されてもよい。一時的なコンピュータ可読媒体の例は、電気信号、光信号、及び電磁波を含む。一時的なコンピュータ可読媒体は、電線及び光ファイバ等の有線通信路、又は無線通信路を介して、プログラムをバックドア検査装置１０，２０，３０，４０，１００，１１０に供給できる。

以上、実施の形態を参照して本願発明を説明したが、本願発明は上記によって限定されるものではない。本願発明の構成や詳細には、発明のスコープ内で当業者が理解し得る様々な変更をすることができる。

１０ バックドア検査装置
１１ 特定部
１１Ａ 特定処理部
１１Ｂ 構造解析部
１２ 振分部
１３ 検査部
１４ 難読化解除部
１５ 抽出部
１６ 対処処理実行部
１７ 脆弱性発見部
２０ バックドア検査装置
２１ 対策チェック部
２２ レポート生成部
３０ バックドア検査装置
３１ 表示制御部
４０ バックドア検査装置
４１ 故意度判定部
４２ レポート生成部
１００ バックドア検査装置
１０１ 検査制御部
１０２ 検査部
１１０ バックドア検査装置
１１１ 検査制御部
１１２ 特定部
１１３ データ管理部
１１４ 記憶部
１１４Ａ データベース
１１５ 取得部

Claims (9)

1. 検査対象であるソフトウェアに含まれる複数の機能にそれぞれ対応する複数の機能ブロックを特定する特定手段と、
   それぞれ異なるタイプのバックドアについての検査処理を、入力された機能ブロックに対して実行する複数の検査手段と、
   特定された各機能ブロックに対応する機能に応じて、前記特定された各機能ブロックを前記複数の検査手段のうちの少なくとも一部に入力する振分手段と、
   を具備するバックドア検査装置。
2. 前記特定手段は、
   前記ソフトウェアにおいて、予め定められた所定機能に対応する所定機能ブロックを特定する特定処理手段と、
   前記特定された所定機能ブロックを起点としてコントロールフローを辿ることによって、前記ソフトウェアの構造を解析すると共に、前記所定機能以外の機能に対応する機能ブロックを特定する構造解析手段と、
   を具備する、請求項１記載のバックドア検査装置。
3. 前記特定処理手段は、複数の前記所定機能と各所定機能に対応する所定機能ブロックの特徴とを対応付けた特定ルールテーブルを用いて、前記所定機能ブロックを特定する、
   請求項２記載のバックドア検査装置。
4. 前記振分手段は、前記複数の機能と各機能に対応する振分先の１つ又は複数の検査手段とを対応付けた振分ルールテーブルを用いて、前記特定された各機能ブロックを振り分ける、
   請求項１から３のいずれか１項に記載のバックドア検査装置。
5. 検査対象の機能ブロックに対する前記検査処理の結果を含むレポートを生成するレポート生成手段をさらに具備する、
   請求項１から４のいずれか１項に記載のバックドア検査装置。
6. セキュリティ対策についてのチェックポイントを規定するチェックルールテーブルを用いて、前記検査対象の機能ブロックに対するセキュリティ対策の有無を判定する判定手段をさらに具備し、
   前記レポート生成手段は、前記検査対象の機能ブロックに対するセキュリティ対策の有無に応じた危険度指標を前記検査処理の結果に対応付けて、前記レポートに含める、
   請求項５記載のバックドア検査装置。
7. 前記ソフトウェアの構造の解析によって得られたコントロールフローグラフを、前記複数の検査手段による検査処理によって検出された、バックドアに対応する機能ブロック又はバックドアに対応する制御フローを強調した状態で、表示手段に表示させる制御を実行する表示制御手段をさらに具備する、
   請求項２記載のバックドア検査装置。
8. バックドア検査装置によって実行されるバックドア検査方法であって、
   検査対象であるソフトウェアに含まれる複数の機能にそれぞれ対応する複数の機能ブロックを特定し、
   特定された各機能ブロックに対応する機能に応じて、前記特定された各機能ブロックを前記バックドア検査装置の複数の検査手段のうちの少なくとも一部に入力し、
   前記複数の検査手段が、入力された機能ブロックに対して、それぞれ異なるタイプのバックドアについての検査処理を実行する、
   バックドア検査方法。
9. バックドア検査装置に、
   検査対象であるソフトウェアに含まれる複数の機能にそれぞれ対応する複数の機能ブロックを特定し、
   特定された各機能ブロックに対応する機能に応じて、前記特定された各機能ブロックを前記バックドア検査装置の複数の検査手段のうちの少なくとも一部に入力し、
   前記複数の検査手段が、入力された機能ブロックに対して、それぞれ異なるタイプのバックドアについての検査処理を実行する、
   処理を、実行させるプログラム。

Images