JP7283552B2

JP7283552B2 - 情報処理装置、情報処理方法、及び、プログラム

Info

Publication number: JP7283552B2
Application number: JP2021548114A
Authority: JP
Inventors: 貴之佐々木
Original assignee: NEC Corp
Current assignee: NEC Corp
Priority date: 2019-09-27
Filing date: 2019-09-27
Publication date: 2023-05-30
Anticipated expiration: 2039-09-27
Also published as: WO2021059478A1; JPWO2021059478A1; US20220374510A1

Description

本開示は、情報処理装置、情報処理方法、及び、プログラムが記録された非一時的なコンピュータ可読媒体に関する。

ＩｏＴ（ＩｎｔｅｒｎｅｔｏｆＴｈｉｎｇｓ）機器には、改ざん検知機能等のセキュリティチェック機能の導入が望まれている。また、ＩｏＴ機器に搭載された情報処理装置において実行されるプログラムが改ざんされた場合には、改ざんされたプログラムを速やかに特定して、改ざんの原因を特定するとともに改ざん箇所の脆弱性を修正することが望まれている。例えば、特許文献１には、プログラムの改ざんを検知するシステムが開示されている。

その他、セキュリティチェックに関する記載は、特許文献２にも開示されている。

特開２０１４－２２９２３９号公報特開２０１０－２５０７９１号公報

しかしながら、関連技術では、プログラムのどの部分がいつ改ざんされたのかを特定することができない。そのため、関連技術では、プログラムの改ざんが行われた場合、プログラム全体の情報を収集する必要があるとともに、プログラムの長期間の実行ログを保存する必要があり、その結果、改ざんに関して収集される情報の量が増大してしまう、という課題があった。

本開示の目的は、このような課題を解決するためになされたものである。即ち、改ざんされたプログラムに関するスナップショットの軽量化が可能な情報処理装置、情報処理方法、及び、プログラムが記録された非一時的なコンピュータ可読媒体を提供することにある。

本開示にかかる情報処理装置は、プログラムが格納されるメモリと、前記プログラムの各部分に対応する第１検証データがリストアップされたホワイトリスト、が格納されたホワイトリスト格納手段と、前記プログラムを実行する演算処理手段と、前記ホワイトリストにリストアップされた前記第１検証データと、前記プログラムの各部分の実行に際して新たに算出される第２検証データと、を比較することにより、前記プログラムの各部分の改ざんの有無を検証する検証手段と、前記検証手段によって前記プログラムの何れかの部分が改ざんされていると判断された場合、前記改ざんされていると判断されたプログラムの部分に関するスナップショットを取得する情報取得手段と、を備える。

また、本開示にかかる情報処理方法は、ホワイトリストにリストアップされた、プログラムの各部分に対応する第１検証データと、前記プログラムの各部分の実行に際して新たに算出される第２検証データと、を比較することにより、前記プログラムの各部分の改ざんの有無を検証する検証ステップと、前記検証ステップにおいて前記プログラムの何れかの部分が改ざんされていると判断された場合、前記改ざんされていると判断されたプログラムに関するスナップショットを取得する情報取得ステップと、を備える。

また、本開示にかかる非一時的なコンピュータ可読媒体は、ホワイトリストにリストアップされた、プログラムの各部分に対応する第１検証データと、前記プログラムの各部分の実行に際して新たに算出される第２検証データと、を比較することにより、前記プログラムの各部分の改ざんの有無を検証する検証処理と、前記検証ステップにおいて前記プログラムの何れかの部分が改ざんされていると判断された場合、前記改ざんされていると判断されたプログラムに関するスナップショットを取得する情報取得処理と、コンピュータに実行させるプログラムが記録される。

本開示によれば、改ざんされたプログラムに関するスナップショットの軽量化が可能な情報処理装置、情報処理方法、及び、プログラムが記録された非一時的なコンピュータ可読媒体を提供することができる。

実施の形態１にかかる情報処理装置の構成例を示すブロック図である。ホワイトリストの一例を示す図である。図１に示す情報処理装置の動作を示すフローチャートである。図１に示す情報処理装置を含む情報処理システムの一例を示す図である。コントロールフローグラフの一例を示す図である。図１に示す情報処理装置によるコントロールフローグラフの改ざん検知方法を説明するための図である。

以下、図面を参照しつつ、実施の形態について説明する。なお、図面は簡略的なものであるから、この図面の記載を根拠として実施の形態の技術的範囲を狭く解釈してはならない。また、同一の要素には、同一の符号を付し、重複する説明は省略する。

以下の実施の形態においては便宜上その必要があるときは、複数のセクションまたは実施の形態に分割して説明する。ただし、特に明示した場合を除き、それらはお互いに無関係なものではなく、一方は他方の一部または全部の変形例、応用例、詳細説明、補足説明等の関係にある。また、以下の実施の形態において、要素の数等（個数、数値、量、範囲等を含む）に言及する場合、特に明示した場合および原理的に明らかに特定の数に限定される場合等を除き、その特定の数に限定されるものではなく、特定の数以上でも以下でもよい。

さらに、以下の実施の形態において、その構成要素（動作ステップ等も含む）は、特に明示した場合および原理的に明らかに必須であると考えられる場合等を除き、必ずしも必須のものではない。同様に、以下の実施の形態において、構成要素等の形状、位置関係等に言及するときは、特に明示した場合および原理的に明らかにそうでないと考えられる場合等を除き、実質的にその形状等に近似または類似するもの等を含むものとする。このことは、上記数等（個数、数値、量、範囲等を含む）についても同様である。

＜実施の形態１＞
図１は、実施の形態１にかかる情報処理装置１の構成例を示すブロック図である。
図１に示すように、情報処理装置１は、例えばＩｏＴ機器に搭載され、メモリ１１と、演算処理手段１２と、ホワイトリスト格納手段（ＷＬ格納手段）１３と、検証手段１４と、情報取得手段１５と、を備える。メモリ１１には、プログラム１００が格納されている。

演算処理手段１２は、メモリ１１に格納されたプログラム１００を実行する。ホワイトリスト格納手段１３には、プログラム１００のホワイトリスト１０１（不図示）が格納されている。

ホワイトリスト１０１には、プログラム１００の改ざんチェックに用いられる検証データ（期待値）がリストアップされている。ここで、検証データとは、例えばプログラム１００の各部分が格納されるメモリ１１の記憶領域を指定するアドレス値、及び、そのハッシュ値、の組み合わせのことである。

図２は、ホワイトリスト１０１の一例を示す図である。図２の例では、プログラム１００の部分であるプログラムＰ１～Ｐ３の格納先のアドレス値、及び、それらのハッシュ値、の組み合わせがリストアップされている。

具体的には、プログラムＰ１の開始アドレス値が“０ｘ００００”、終了アドレス値が“０ｘ０８００”、プログラムＰ１のハッシュ値が“０ｘ１２３４”となっている。また、プログラムＰ１に続くプログラムＰ２の開始アドレス値が“０ｘ１０００”、終了アドレス値が“０ｘ２０００”、プログラムＰ２のハッシュ値が“０ｘａａｂｂ”となっている。さらに、プログラムＰ１，Ｐ２に続くプログラムＰ３の開始アドレス値が“０ｘ３０００”、終了アドレス値が“０ｘ４０００”、プログラムＰ３のハッシュ値が“０ｘｃｃｄｄ”となっている。

検証手段１４は、メモリ１１に格納されたプログラム１００が演算処理手段１２によって実行される前に、当該プログラム１００の改ざんの有無を検証する。まず、検証手段１４は、メモリ１１に格納されたプログラム１００の各部分のハッシュ値を新たに算出する。その後、検証手段１４は、算出されたプログラム１００の各部分のハッシュ値と、ホワイトリスト１０１にリストアップされたプログラム１００のハッシュ値（期待値）と、を比較することにより、プログラム１００の改ざんの有無を検証する。

例えば、メモリ１１に格納されたプログラム１００の一部であるプログラムＰ１に対応するハッシュ値が期待するハッシュ値“０ｘ１２３４”と異なる場合、検証手段１４は、プログラムＰ１が改ざんされていると判断する。ここで、本実施の形態では、プログラム１００の各部分にハッシュ値が割り当てられているため、検証領域を限定することができ、かつ、検証処理に要する時間を短縮することができる。情報処理装置がＩｏＴ機器に搭載されている場合、ＣＰＵ速度やメモリサイズなどが限定されるため、検証領域の限定、及び、検証処理に要する時間の短縮は特に有効である。

情報取得手段１５は、検証手段１４によってプログラム１００の何れかの部分が改ざんされていると判断された場合、その改ざんされていると判断された部分のプログラムに関するスナップショットを取得する。換言すると、情報取得手段１５は、改ざんされていると判断された部分のプログラムが記憶されているメモリの記憶領域のスナップショットを取得する。

ここで、情報取得手段１５は、プログラム１００の全体のスナップショットを取得するのではなく、プログラム１００のうち改ざんされた部分のプログラムに限定してスナップショットを取得している。また、情報取得手段１５は、検証手段１４によってプログラム１００の何れかの部分が改ざんされていると判断されたタイミングにおける、改ざんされたプログラムのスナップショットを取得している。そのため、情報取得手段１５は、スナップショット（改ざんされた部分のプログラムの情報、及び、当該改ざんされた部分のプログラムの実行状態を記したログ、を含む）を軽量化することができる。

情報取得手段１５によって取得されたスナップショットは、例えば、外部に設けられたセキュリティ監視サーバ（不図示）に送信される。

このように、本実施の形態にかかる情報処理装置１は、プログラムの部分の何れかが改ざんされていると判断された場合にのみ、その改ざんされていると判断された部分のプログラムに限定してスナップショットを取得する。それにより、本実施の形態にかかる情報処理装置１は、改ざんされたプログラムに関するスナップショットを軽量化することができる。

なお、プログラム１００の何れも改ざんされていない場合には、スナップショットとして取得される対象の一つであるアプリケーションおよびＯＳ（ＯｐｅｒａｔｉｎｇＳｙｓｔｅｍ）のログはクリア（消去）されてもよい。以下、図３を用いて、簡単に説明する。

図３は、情報処理装置１の動作の一例を示すフローチャートである。
図３に示すように、情報処理装置１では、まず、一定期間待機、又は、情報処理装置１が搭載されたＩｏＴ機器の負荷が下がるまで待機する（ステップＳ１０１）。その後、メモリ１１に格納されたプログラム１００全体の改ざんの有無を検証する（ステップＳ１０２）。プログラム１００の何れかの部分が改ざんされていると判断された場合（ステップＳ１０３のＹＥＳ）、アプリケーションおよびＯＳのログを取得し、セキュリティ監視サーバ等に送付する（ステップＳ１０４）。それに対し、プログラム１００の何れも改ざんされていないと判断された場合（ステップＳ１０３のＮＯ）、アプリケーションおよびＯＳのログはクリア（消去）されてもよい（ステップＳ１０５）。それにより、情報処理装置１に保存されるログのファイルサイズが軽減される。

また、セキュリティ監視サーバに送付されるのは、情報処理装置１に設けられた情報取得手段１５により取得されたスナップショットに限られない。以下、図４を用いて簡単に説明する。

図４は、情報処理装置１を含む情報処理システムの構成例を示す図である。
図４に示すように、セキュリティ監視サーバ２には、情報処理装置１に設けられた情報取得手段１５により取得されたスナップショットに加えて、ＨＴＴＰＰｒｏｘｙ３０１やＩＤＳ３０２等の外部機器から得られる改ざんに関する情報が送信されてもよい。なお、ＨＴＴＰＰｒｏｘｙは、ＨｙｐｅｒＴｅｘｔＴｒａｎｓｆｅｒＰｒｏｔｏｃｏｌＰｒｏｘｙの略である。また、ＩＤＳは、ＩｎｔｒｕｓｉｏｎＤｅｔｅｃｔｉｏｎＳｙｓｔｅｍの略である。それにより、情報処理装置１のプログラム１００の改ざんの原因の特定が容易になる。また、情報取得手段１５により取得すべき改ざんに関する情報を低減させることができる。

＜その他の実施の形態＞
なお、実施の形態１では、ホワイトリスト１０１に、プログラム１００の各部分が格納されるメモリ１１の記憶領域を指定するアドレス値、及び、そのハッシュ値、の組み合わせがリストアップされた場合を例に説明したが、それに限られない。

例えば、ハッシュ値の代わりに、プログラム１００の各部分の実体から算出でき、かつ、改ざんの有無を確認できるような指標値（例えば誤り訂正符号の値）が用いられてもよい。

或いは、ホワイトリスト１０１には、プログラム１００を実行する際に取り得る複数のコードの実行順序を表すコントロールフローグラフ（ＣＦＧ；ＣｏｎｔｒｏｌＦｌｏｗＧｒａｐｈ）がリストアップされていてもよい（図５参照）。

この場合、検証手段１４は、演算処理手段１２によるプログラム１００の実行中（或いは実行後）に新たに算出されたコントロールフローグラフＧ２と、ホワイトリスト１０１に格納されたコントロールフローグラフＧ１と、を比較する。それにより、プログラム１００の改ざんの有無が検証される（図６参照）。なお、このときのプログラムの改ざんは、プログラム自体の改ざんに加えて、プログラムの実行順序の改ざんを含む。具体的には、コントロールフローグラフＧ１には記録されていないフローがコントロールフローグラフＧ２に記録されているとき、この状態をプログラムの実行順序の改ざんとして検知する。換言すると、コントロールフローグラフＧ２が、コントロールフローグラフＧ１の部分ブラフではないとき、この状態をプログラムの実行順序の改ざんとして検知する。

情報取得手段１５は、検証手段１４によってプログラム１００が改ざんされていると判断された場合、コントロールフローＧ１，Ｇ２間で異なっている箇所を特定する。具体的には、コントロールフローグラフＧ１に記録されておらず、かつ、コントロールフローグラフＧ２のみに記録されているコントロールフローを、実行順序に違反したコントロールフローとして特定する。そして、実行順序に違反したコントロールフローが発生した時（実行順序の違反時）、もしくは、実行順序の違反を検出した時の、プログラムの実行状態を記したログをスナップショットして取得する。ここで、実行状態とは、コントロールフローグラフＧ２、プログラムのメモリ（スタックやヒープ）、ＣＰＵのレジスタの状態である。コントロールフローグラフＧ２については、コントロールフローグラフＧ１に含まれない部分（実行順序に違反したコントロールフロー）のみを取得してもよいし、コントロールフローグラフＧ２全体を取得してもよい。加えて、スタック上に関数の戻り先のアドレス（リターンアドレス）が記録されている場合は、これらのアドレスが示す先のメモリをスナップショットに加えてもよい。さらに、情報取得手段１５は、改ざんを引き起こした外部からの入力、例えば、外部から受信したコマンドやデータのログもスナップショットとして取得する。

なお、ホワイトリスト１０１には、プログラム１００の各部分が格納されるメモリ１１の記憶領域を指定するアドレス値、及び、そのハッシュ値、の組み合わせと、コントロールフローグラフと、が共にリストアップされていてもよい。それにより、より高精度にプログラムの改ざんの有無を検証することが可能になる。

情報取得手段１５によって取得されたスナップショットは、例えば、外部に設けられたセキュリティ監視サーバ（不図示）に送信される。また、スナップショットは、内部のストレージに保存してもよい。この際、スナップショットの改ざんを防止するために、書き換え不可能なストレージ（ＷｒｉｔｅＯｎｃｅＲｅａｄＭａｎｙメディア）や、情報取得手段１５のみから読み書き可能なストレージに、スナップショットを保存してもよい。また、スナップショットを外部に送信する前や、内部のストレージに保存する際に、情報取得手段１５は、改ざんを防止するための電子署名をスナップショットに付与してもよい。

以上、図面を参照して、本開示の実施の形態について詳しく説明してきたが、具体的な構成は上述のものに限られることはなく、本開示の要旨を逸脱しない範囲内において様々な設計変更等が可能である。たとえば、ホワイトリスト生成装置の動作を実現する機能を、ネットワークで接続された複数の装置で構成しかつ動作するようにしてもよい。

上述の実施の形態では、本開示をハードウェアの構成として説明したが、本開示は、これに限定されるものではない。本開示は、ホワイトリスト生成装置の全部又は一部の処理を、ＣＰＵ（ＣｅｎｔｒａｌＰｒｏｃｅｓｓｉｎｇＵｎｉｔ）にコンピュータプログラムを実行させることにより実現することも可能である。

上述の実施の形態では、ホワイトリスト格納手段１３、検証手段１４、情報取得手段１５は、ハードウェアやＣＰＵのプログラム１００と同じ領域で実行される構成を示したが、プログラム１００から隔離された領域で実行されるように構成してもよい。この構成により、攻撃されたプログラム１００を通じて、ホワイトリスト格納手段１３、検証手段１４、情報取得手段１５が攻撃されることを防ぐことができる。具体的には、ホワイトリスト格納手段１３、検証手段１４、情報取得手段１５を、プログラム１００が動作するＣＰＵやメモリとは別のＣＰＵやメモリで動作させる構成や、ＣＰＵが提供するＴＥＥの中で動作させる構成としてもよい。なお、ＴＥＥは、ＴｒｕｓｔｅｄＥｘｅｃｕｔｉｏｎＥｎｖｉｒｏｎｍｅｎｔの略である。ＴＥＥの具体例としてＡＲＭのＴｒｕｓｔＺｏｎｅが提供するＳｅｃｕｒｅＷｏｒｌｄが挙げられる。

また、上述したプログラムは、様々なタイプの非一時的なコンピュータ可読媒体（ｎｏｎ－ｔｒａｎｓｉｔｏｒｙｃｏｍｐｕｔｅｒｒｅａｄａｂｌｅｍｅｄｉｕｍ）を用いて格納され、コンピュータに供給することができる。非一時的なコンピュータ可読媒体は、様々なタイプの実体のある記録媒体（ｔａｎｇｉｂｌｅｓｔｏｒａｇｅｍｅｄｉｕｍ）を含む。非一時的なコンピュータ可読媒体は、例えば、磁気記録媒体、光磁気記録媒体、ＣＤ－ＲＯＭ（ＲｅａｄＯｎｌｙＭｅｍｏｒｙ）、ＣＤ－Ｒ、ＣＤ－Ｒ／Ｗ、半導体メモリを含む。磁気記録媒体は、例えば、フレキシブルディスク、磁気テープ、ハードディスクドライブなどである。光磁気記録媒体は、例えば光り磁気ディスクなどである。半導体メモリは、例えば、マスクＲＯＭ、ＰＲＯＭ（ＰｒｏｇｒａｍｍａｂｌｅＲＯＭ）、ＥＰＲＯＭ（ＥｒａｓａｂｌｅＰＲＯＭ）、フラッシュＲＯＭ、ＲＡＭ（ＲａｎｄｏｍＡｃｃｅｓｓＭｅｍｏｒｙ）などである。また、プログラムは、様々なタイプの一時的なコンピュータ可読媒体（ｔｒａｎｓｉｔｏｒｙｃｏｍｐｕｔｅｒｒｅａｄａｂｌｅｍｅｄｉｕｍ）によってコンピュータに供給されてもよい。一時的なコンピュータ可読媒体の例は、電気信号、光信号、及び電磁波を含む。一時的なコンピュータ可読媒体は、電線及び光ファイバ等の有線通信路、又は無線通信路を介して、プログラムをコンピュータに供給できる。

以上、実施の形態を参照して本願発明を説明したが、本願発明は上記によって限定されるものではない。本願発明の構成や詳細には、発明のスコープ内で当業者が理解し得る様々な変更をすることができる。

１情報処理装置
２セキュリティ監視サーバ
１１メモリ
１２演算処理手段
１３ホワイトリスト格納手段
１４検証手段
１５情報取得手段
１００プログラム
１０１ホワイトリスト
３０１ＨＴＴＰＰｒｏｘｙ
３０２ＩＤＳ
Ｇ１，Ｇ２コントロールフローグラフ
Ｐ１～Ｐ３プログラム

Claims

プログラムが格納されるメモリと、
前記プログラムの各部分に対応する第１検証データがリストアップされたホワイトリスト、が格納されたホワイトリスト格納手段と、
前記プログラムを実行する演算処理手段と、
前記ホワイトリストにリストアップされた前記第１検証データと、前記プログラムの各部分の実行に際して新たに算出される第２検証データと、を比較することにより、前記プログラムの各部分の改ざんの有無を検証する検証手段と、
前記検証手段によって前記プログラムの何れかの部分が改ざんされていると判断された場合、前記改ざんされていると判断されたプログラムの部分に関するスナップショットを取得する情報取得手段と、
を備えた、情報処理装置であって、
前記第１検証データは、前記プログラムの実行の際に取り得る複数のコードの実行順序を表すコントロールフローグラフであって、
前記第２検証データは、前記プログラムの実行に際して新たに算出される前記第１検証データに対応するデータであって、
前記検証手段は、前記第１検証データによって表されるコントロールフローグラフと、前記第２検証データによって表されるコントロールフローグラフと、が異なる場合に、前記プログラムの何れかの部分が改ざんされたと判断するように構成され、
前記情報取得手段は、前記検証手段によって前記プログラムの何れかの部分が改ざんされていると判断された場合、前記第２検証データによって表されるコントロールフローグラフのうち、前記第１検証データによって表されるコントロールフローグラフと異なっている箇所のプログラムの実行状態を記したログ、及び、改ざんを引き起こした外部からのコマンドのログ、の少なくとも何れかを前記スナップショットとして取得するように構成されている、
情報処理装置。
前記検証手段によって前記プログラムが改ざんされていない判断された場合、前記演算処理手段による前記プログラムの実行状態を記した実行ログは消去される、
請求項１に記載の情報処理装置。
情報処理装置が、
ホワイトリストにリストアップされた、プログラムの各部分に対応する第１検証データと、前記プログラムの各部分の実行に際して新たに算出される第２検証データと、を比較することにより、前記プログラムの各部分の改ざんの有無を検証する検証ステップと、
前記検証ステップにおいて前記プログラムの何れかの部分が改ざんされていると判断された場合、前記改ざんされていると判断されたプログラムに関するスナップショットを取得する情報取得ステップと、
を備えた、情報処理方法であって、
前記第１検証データは、前記プログラムの実行の際に取り得る複数のコードの実行順序を表すコントロールフローグラフであって、
前記第２検証データは、前記プログラムの実行に際して新たに算出される前記第１検証データに対応するデータであって、
前記情報処理装置が、
前記検証ステップでは、前記第１検証データによって表されるコントロールフローグラフと、前記第２検証データによって表されるコントロールフローグラフと、が異なる場合に、前記プログラムの何れかの部分が改ざんされたと判断し、
前記情報取得ステップでは、前記検証ステップにおいて前記プログラムの何れかの部分が改ざんされていると判断された場合、前記第２検証データによって表されるコントロールフローグラフのうち、前記第１検証データによって表されるコントロールフローグラフと異なっている箇所のプログラムの実行状態を記したログ、及び、改ざんを引き起こした外部からのコマンドのログ、の少なくとも何れかを前記スナップショットとして取得する、
情報処理方法。
ホワイトリストにリストアップされた、プログラムの各部分に対応する第１検証データと、前記プログラムの各部分の実行に際して新たに算出される第２検証データと、を比較することにより、前記プログラムの各部分の改ざんの有無を検証する検証処理と、
前記検証処理において前記プログラムの何れかの部分が改ざんされていると判断された場合、前記改ざんされていると判断されたプログラムに関するスナップショットを取得する情報取得処理と、
をコンピュータに実行させるプログラムであって、
前記第１検証データは、前記プログラムの実行の際に取り得る複数のコードの実行順序を表すコントロールフローグラフであって、
前記第２検証データは、前記プログラムの実行に際して新たに算出される前記第１検証データに対応するデータであって、
前記検証処理では、前記第１検証データによって表されるコントロールフローグラフと、前記第２検証データによって表されるコントロールフローグラフと、が異なる場合に、前記プログラムの何れかの部分が改ざんされたと判断する処理をコンピュータに実行させ、
前記情報取得処理では、前記検証処理によって前記プログラムの何れかの部分が改ざんされていると判断された場合、前記第２検証データによって表されるコントロールフローグラフのうち、前記第１検証データによって表されるコントロールフローグラフと異なっている箇所のプログラムの実行状態を記したログ、及び、改ざんを引き起こした外部からのコマンドのログ、の少なくとも何れかを前記スナップショットとして取得する処理をコンピュータに実行させる、
プログラム。