JP7509242B2 - 改竄検知装置、改竄検知方法および改竄検知プログラム - Google Patents

Description

本発明は、改竄検知装置、改竄検知方法および改竄検知プログラムに関する。

ソフトウェア改竄検知技術とは、監視対象ファイルが正常とみなせるある時点でのファイルのダイジェスト（ハッシュ値等）を取得しておき、定期的にその取得しておいたダイジェストと、現時点での監視対象ファイルのダイジェストとを比較することで、対象ファイルが不正に改竄されていないかをチェックする技術である。一般に、この改竄検知技術は、ある機器にインストールされ、機器内の監視対象ファイル全体を定期的にスキャンすることで、機器の真正性を担保する目的で用いられる。このスキャンの方式として、従来は、以下の３つの方式が用いられてきた。

１つ目の方式は、巡回スキャン方式である。この方式では、監視対象ファイル全体を、例えば、パス名の昇順やノード番号順等、ある規則に基づいた固定的な順序でスキャンを行う。

２つ目の方式は、ランダムスキャン方式である。この方式では、次にスキャンするファイルを、全ての監視対象ファイルから一様ランダムに選択し、そのファイルのスキャンを行う。

３つ目の方式は、オンアクセススキャン方式である。この方式では、fanotify等のＯＳ（Operating System）の機能を活用し、ファイルへのアクセスを検知およびフックし、スキャンを行い、改竄が行われていなければファイルアクセスを許可する。

特開２０１９－００８３７６号公報 特開２０１９－００８７３２号公報 特開２０１９－２０７６６１号公報

しかしながら、従来の技術では、監視対象機器内での使用リソースを抑えながら、正規のプログラムが不正に改竄されたファイルを実行してしまう可能性を低減することができなかった。なぜならば、上述した３つのスキャン方式には、それぞれ以下のような課題が存在しているからである。

１つ目の巡回スキャン方式では、一度スキャンされたファイルは、他の全ファイルのスキャンが一巡されるまで再度スキャンされない。このため、利用可能なＣＰＵ（Central Processing Unit）やメモリ等のリソースが限られる中では、全ファイルのスキャンが一巡されるまでの時間は長くなることが多い。したがって、改竄が行われたとしてもその改竄をすぐに発見することが難しく、正規のプログラムが不正に改竄されたファイルをその改竄に気づかずに実行してしまう可能性がある。

２つ目のランダムスキャン方式では、スキャンするファイルを完全にランダムに選択するため、あるファイルがスキャンされてから次にスキャンされるまでに膨大な時間を要してしまう可能性がある。

３つ目のオンアクセススキャン方式では、不正に改竄されたファイルを正規のプログラムが気づかずに実行してしまう可能性をほぼ完璧に０にすることができるが、ＯＳでの監視やファイルアクセスのフックに、かなりのメモリやＣＰＵリソースを消費する上、Ｉ／Ｏ（Input／Output）のレスポンスの低下を招くため、機器の動作にかなりの影響を及ぼす。

上述した課題を解決し、目的を達成するために、本発明に係る改竄検知装置は、監視対象ファイルのアクセス頻度を取得する取得部と、前記取得部によって取得された前記アクセス頻度に基づいて、前記監視対象ファイルごとに、スキャンパターンにおけるスキャン回数を計算する計算部と、前記計算部によって計算された前記スキャン回数に基づいて、前記スキャンパターンを決定する決定部とを備えることを特徴とする。

また、本発明に係る改竄検知方法は、改竄検知装置によって実行される改竄検知方法であって、監視対象ファイルのアクセス頻度を取得する取得工程と、前記取得工程によって取得された前記アクセス頻度に基づいて、前記監視対象ファイルごとに、スキャンパターンにおけるスキャン回数を計算する計算工程と、前記計算工程によって計算された前記スキャン回数に基づいて、前記スキャンパターンを決定する決定工程とを含むことを特徴とする。

また、本発明に係る改竄検知プログラムは、監視対象ファイルのアクセス頻度を取得する取得ステップと、前記取得ステップによって取得された前記アクセス頻度に基づいて、前記監視対象ファイルごとに、スキャンパターンにおけるスキャン回数を計算する計算ステップと、前記計算ステップによって計算された前記スキャン回数に基づいて、前記スキャンパターンを決定する決定ステップとをコンピュータに実行させることを特徴とする。

本発明は、監視対象機器内での使用リソースを抑えながら、正規のプログラムが不正に改竄されたファイルを実行してしまう可能性を低減することができる。

図１は、第１の実施形態に係る改竄検知システムの構成例を示す図である。 図２は、第１の実施形態に係る改竄検知装置の構成例を示すブロック図である。 図３は、第１の実施形態に係る監視対象機器の構成例を示すブロック図である。 図４は、第１の実施形態に係る各定数の定義を説明するための図である。 図５は、第１の実施形態に係るスキャンパターンの評価指標を説明するための図である。 図６は、第１の実施形態に係る改竄検知処理の流れの一例を示すフローチャートである。 図７は、第１の実施形態に係るスキャンパターンの決定処理の流れの一例を示すフローチャートである。 図８は、プログラムを実行するコンピュータを示す図である。

以下に、本発明に係る改竄検知装置、改竄検知方法および改竄検知プログラムの実施形態を図面に基づいて詳細に説明する。なお、本発明は、以下に説明する実施形態により限定されるものではない。

〔第１の実施形態〕
以下に、本実施形態に係る改竄検知システムの構成、改竄検知装置の構成、監視対象機器の構成、各定数の定義、スキャンパターンの評価指標、改竄検知処理の流れ、スキャンパターンの決定処理の流れを順に説明し、最後に本実施形態の効果を説明する。

［改竄検知システムの構成］
図１を用いて、本実施形態に係る改竄検知システム（適宜、本システム）１００の構成を詳細に説明する。図１は、第１の実施形態に係る改竄検知システムの構成例を示す図である。改竄検知システム１００は、サーバ等の改竄検知装置１０、各種端末等の監視対象機器２０を有する。ここで、改竄検知装置１０と監視対象機器２０とは、図示しない所定の通信網を介して、有線または無線により通信可能に接続される。なお、図１に示した改竄検知システム１００には、複数台の改竄検知装置１０や、複数台の監視対象機器２０が含まれてもよい。

まず、監視対象機器２０は、スキャンパターンを決定するための情報として、監視対象ファイルのアクセス頻度やファイルサイズ等を改竄検知装置１０に送信する（ステップＳ１）。ここで、スキャンパターンを決定するための情報とは、監視対象機器に関する情報（適宜、「監視対象機器情報」）、監視対象ファイルに関する情報（適宜、「ファイル情報」）等である。

監視対象機器情報とは、監視対象機器のリソースに関する情報等であり、例えば、ＣＰＵの処理速度や使用量、メモリ容量、ストレージ容量、ハッシュ計算に関わる情報、通信に関わる情報等であるが、特に限定されない。また、監視対象機器情報は、監視対象機器に記憶されている監視対象ファイルの基本的な情報等であり、例えば、ファイル名、ファイルの種類、ファイルのデータの大きさを表わすファイルサイズやそれらの一覧、監視対象機器に記憶されているファイル数等であるが、特に限定されない。

ファイル情報とは、監視対象機器に記憶されている監視対象ファイルのアクセスに関する情報等であり、例えば、アクセスログに含まれるファイルごとのアクセス回数やアクセス頻度、アクセス元等の情報の他、改竄検知装置１０が取得または計算した情報も含まれるが、特に限定されない。

次に、改竄検知装置１０は、取得したアクセス頻度等をもとにスキャンパターンを決定する（ステップＳ２）。ここで、スキャンパターンとは、監視対象機器２０に記憶されている監視対象ファイルに対して、監視対象機器２０が各ファイルのダイジェスト（適宜、「ファイルダイジェスト」）を生成する処理（スキャン処理）の１周期分の順序を示したものであるが、特に限定されない。スキャンパターンは、各スキャン処理を行う時刻や間隔等を示したものであってもよい。

なお、監視対象機器２０が生成するファイルのダイジェストは、ハッシュ計算等を用いて生成したデータ等であるが、特に限定されない。また、改竄検知装置１０は、静的または動的な設定により、特定のファイルを含まないスキャンパターンを決定することもできる。改竄検知装置１０による詳細なスキャンパターンの決定処理については、［スキャンパターンの決定処理の流れ］にて後述する。

続いて、改竄検知装置１０は、決定したスキャンパターンを監視対象機器２０に送信する（ステップＳ３）。そして、監視対象機器２０は、取得したスキャンパターンにしたがって、ファイルのダイジェストを生成する（ステップＳ４）。さらに、監視対象機器２０は、生成したファイルのダイジェストを改竄検知装置１０に送信する（ステップＳ５）。

最後に、改竄検知装置１０は、取得したファイルのダイジェストをもとにファイルの改竄の有無を検証する（ステップＳ６）。このとき、改竄検知装置１０は、改竄検知装置１０に記憶された正しいファイルのダイジェストと、取得したファイルのダイジェストとを比較し、ダイジェストが異なっている場合は当該ファイルの改竄があったと判定する。

本実施形態に係る改竄検知システム１００では、監視対象機器からファイルアクセスログおよび監視対象ファイルのファイルサイズを取得し、これらの情報に基づき、ファイルサイズから対象ファイルのスキャン（＝ダイジェスト取得）に要する時間を算出し、ファイルごとのスキャンに要する時間と、対象ファイルへのアクセス頻度を考慮したスキャンパターンを生成する。このため、機器内での使用リソースを抑えながら、正規のプログラムが不正に改竄されたファイルを実行してしまう可能性を低減することができる。

［改竄検知装置の構成］
図２を用いて、本実施形態に係る改竄検知装置１０の構成を詳細に説明する。図２は、本実施形態に係る改竄検知装置の構成例を示すブロック図である。改竄検知装置１０は、入力部１１、出力部１２、通信部１３、制御部１４および記憶部１５を有する。

入力部１１は、当該改竄検知装置１０への各種情報の入力を司る。入力部１１は、例えば、マウスやキーボード等であり、当該改竄検知装置１０への設定情報等の入力を受け付ける。また、出力部１２は、当該改竄検知装置１０からの各種情報の出力を司る。出力部１２は、例えば、ディスプレイ等であり、当該改竄検知装置１０に記憶された設定情報等を出力する。

通信部１３は、他の装置との間でのデータ通信を司る。例えば、通信部１３は、各通信装置との間でデータ通信を行う。また、通信部１３は、図示しないオペレータの端末との間でデータ通信を行うことができる。

記憶部１５は、制御部１４が動作する際に参照する各種情報や、制御部１４が動作した際に取得した各種情報を記憶する。記憶部１５は、監視対象機器情報記憶部１５ａ、ファイル情報記憶部１５ｂおよびファイルダイジェスト記憶部１５ｃを有する。ここで、記憶部１５は、例えば、ＲＡＭ（Random Access Memory）、フラッシュメモリ等の半導体メモリ素子、または、ハードディスク、光ディスク等の記憶装置等である。なお、図２の例では、記憶部１５は、改竄検知装置１０の内部に設置されているが、改竄検知装置１０の外部に設置されてもよいし、複数の記憶部が設置されていてもよい。

監視対象機器情報記憶部１５ａは、制御部１４の取得部１４ａが取得した監視対象機器のリソースに関する情報や監視対象ファイルの基本的な情報等の監視対象機器情報を記憶する。監視対象機器情報記憶部１５ａは、例えば、監視対象機器のリソースに関する情報として、ＣＰＵの処理速度やメモリ容量、ストレージ容量、ハッシュ計算に関わる情報等を記憶し、監視対象ファイルの基本的な情報として、当該ファイルのファイル名、ファイルの種類、ファイルのデータの大きさを表わすファイルサイズやそれらの一覧、監視対象機器に記憶されているファイル数等を記憶する。

ファイル情報記憶部１５ｂは、ファイル情報として、制御部１４の取得部１４ａによって取得されたアクセスログに含まれる情報を記憶する。例えば、ファイル情報記憶部１５ｂは、上記のアクセスログに含まれる情報として、ファイルごとのアクセス回数やアクセス頻度、アクセス元等の情報を記憶する。さらに、ファイル情報記憶部１５ｂは、取得部１４ａによって取得されたスキャン処理１周期分の時間（適宜、「スキャンパターンの設定時間」）τ_allを記憶してもよい。

また、ファイル情報記憶部１５ｂは、ファイル情報として、制御部１４の計算部１４ｂによって計算された情報を記憶する。例えば、ファイル情報記憶部１５ｂは、上記の計算部１４ｂによって計算された情報として、ファイルｉのハッシュ値の計算に要する時間（適宜、「ハッシュ計算に要する時間」）τ_ｉや、後述の評価指標Ｅ［τ_attack］を最小化する監視対象ファイルごとのスキャンパターンにおけるスキャン回数ｋ_ｉを記憶する。さらに、ファイル情報記憶部１５ｂは、決定部１４ｃが決定したスキャンパターンを記憶してもよい。

ファイルダイジェスト記憶部１５ｃは、制御部１４の取得部１４ａによって取得された改竄を検証するための正しい監視対象ファイルに関する情報を記憶する。例えば、ファイルダイジェスト記憶部１５ｃは、改竄を検証するための正しい監視対象ファイルに関する情報として、監視対象機器に記憶されるファイルからハッシュ計算を用いて生成されたファイルダイジェストを記憶する。

制御部１４は、当該改竄検知装置１０全体の制御を司る。制御部１４は、取得部１４ａ、計算部１４ｂ、決定部１４ｃ、送信部１４ｄおよび検証部１４ｅを有する。ここで、制御部１４は、例えば、ＣＰＵやＭＰＵ（Micro Processing Unit）等の電子回路やＡＳＩＣ（Application Specific Integrated Circuit）やＦＰＧＡ（Field Programmable Gate Array）等の集積回路である。

取得部１４ａは、監視対象ファイルのアクセス頻度を取得する。例えば、取得部１４ａは、監視対象ファイルを記憶する監視対象機器２０からアクセス頻度を取得する。また、取得部１４ａは、監視対象機器２０の監視対象ファイルのアクセスログに含まれるアクセス頻度を取得する。また、取得部１４ａは、監視対象ファイルのファイルサイズおよびスキャンパターンの設定時間を取得する。また、取得部１４ａは、取得したファイルサイズから、ファイルごとのハッシュ計算に要する時間を算出し、取得する。さらに、取得部１４ａは、監視対象機器２０によって生成されたファイルのダイジェストを取得する。

一方、取得部１４ａは、取得した監視対象機器２０のリソース等の監視対象機器情報を監視対象機器情報記憶部１５ａに格納する。また、取得部１４ａは、取得したアクセス頻度等のファイル情報をファイル情報記憶部１５ｂに格納する。さらに、取得部１４ａは、取得したファイルのダイジェストを検証部１５ｅに送信する。

計算部１４ｂは、取得部１４ａによって取得されたアクセス頻度に基づいて、監視対象ファイルごとに、スキャンパターンにおけるスキャン回数を計算する。例えば、計算部１４ｂは、取得部１４ａによって取得されたアクセス頻度、ファイルサイズおよびスキャンパターンの設定時間に基づいて、監視対象ファイルごとに、スキャンパターンにおけるスキャン回数を計算する。また、計算部１４ｂは、監視対象ファイルごとに、監視対象ファイルのスキャンから直近のアクセスまでの平均時間を最小化するスキャンパターンにおけるスキャン回数を計算する。一方、計算部１４ｂは、計算したスキャン回数等のファイル情報をファイル情報記憶部１５ｂに格納する。なお、改竄検知装置１０による取得した情報の詳細な計算処理については、［スキャンパターンの決定処理の流れ］にて後述する。

決定部１４ｃは、計算部１４ｂによって計算されたスキャン回数に基づいて、スキャンパターンを決定する。また、決定部１４ｃは、監視対象ファイルの全てのファイルが少なくとも１回含まれるスキャンパターンを、計算部１４ｂによって計算されたスキャン回数に基づいてランダムに決定する。このとき、決定部１４ｃは、監視対象機器情報記憶部１５ａに記憶された監視対象機器情報を参照する。また、決定部１４ｃは、ファイル情報記憶部１５ｂに記憶されたファイル情報を参照する。なお、改竄検知装置１０による詳細なスキャンパターンの決定処理については、［スキャンパターンの決定処理の流れ］にて後述する。

送信部１４ｄは、決定部１４ｃによって決定されたスキャンパターンを監視対象機器２０に送信する。また、送信部１４ｄは、検証部１４ｅによって検証されたファイルの改竄の有無を、監視対象機器２０やその他の端末に送信してもよい。

検証部１４ｅは、監視対象機器２０によってスキャンパターンに基づいて生成されたファイルのダイジェストを用いて、ファイルの改竄の有無を検証する。このとき、検証部１４ｅは、ファイルダイジェスト記憶部１５ｃに記憶された、正しい監視対象ファイルのファイルダイジェストを参照する。

［監視対象機器の構成］
図３を用いて、本実施形態に係る監視対象機器２０の構成を詳細に説明する。図３は、本実施形態に係る監視対象機器の構成例を示すブロック図である。監視対象機器２０は、入力部２１、出力部２２、通信部２３、制御部２４および記憶部２５を有する。

入力部２１は、当該監視対象機器２０への各種情報の入力を司る。入力部２１は、例えば、マウスやキーボード等であり、当該監視対象機器２０への設定情報等の入力を受け付ける。また、出力部２２は、当該監視対象機器２０からの各種情報の出力を司る。出力部２２は、例えば、ディスプレイ等であり、当該監視対象機器２０に記憶された設定情報等を出力する。

通信部２３は、他の装置との間でのデータ通信を司る。例えば、通信部２３は、各通信装置との間でデータ通信を行う。また、通信部２３は、図示しないオペレータの端末との間でデータ通信を行うことができる。

記憶部２５は、制御部２４が動作する際に参照する各種情報や、制御部２４が動作した際に取得した各種情報を記憶する。記憶部２５は、例えば、監視対象ファイル記憶部２５ａを有する。ここで、記憶部２５は、例えば、ＲＡＭ、フラッシュメモリ等の半導体メモリ素子、または、ハードディスク、光ディスク等の記憶装置等である。なお、図３の例では、記憶部２５は、監視対象機器２０の内部に設置されているが、監視対象機器２０の外部に設置されてもよいし、複数の記憶部が設置されていてもよい。監視対象ファイル記憶部２５ａは、外部からアクセスされ、また改竄される可能性がある監視対象ファイルを記憶する。

制御部２４は、当該監視対象機器２０全体の制御を司る。制御部２４は、取得部２４ａ、生成部２４ｂおよび送信部２４ｃを有する。ここで、制御部２４は、例えば、ＣＰＵやＭＰＵ等の電子回路やＡＳＩＣやＦＰＧＡ等の集積回路である。

取得部２４ａは、改竄検知装置１０からファイルのスキャンパターンを取得する。また、取得部２４ａは、改竄検知装置１０からファイルの改竄の有無に関する情報を取得してもよい。

生成部２４ｂは、取得部２４ａによって取得されたファイルのスキャンパターンにしたがって、ファイルのダイジェストを生成する。また、生成部２４ｂは、生成したファイルのダイジェストを記憶部２５に格納してもよい。

送信部２４ｃは、生成部２４ｂによって生成されたファイルのダイジェストを改竄検知装置１０に送信する。また、送信部２４ｃは、ファイルのダイジェストを改竄検知装置１０以外の端末に送信してもよい。

［各定数の定義］
図４を用いて、本実施形態に係る各定数の定義を詳細に説明する。図４は、第１の実施形態に係る各定数の定義を説明するための図である。

監視対象機器２０には、監視対象ファイル群｛１，２，・・・，Ｎ｝のＮ個のファイルが存在するとし、ｉ番目のファイルをファイルｉと表わす。また、記号ｉは、「ｉ＝ｆｉｌｅＡ」等のように、適宜、任意のファイルのファイル名を表わす記号としても用いる。

「τ_ｉ」は、ファイルｉのハッシュ計算に要する時間を表わし、その数値は、（１）式で求められる。ここで、ハッシュ計算方法によって定まる定数とは、ハッシュアルゴリズムに依存するファイル１バイトごとの計算量である。

なお、図４では、「ファイルＡ」「ファイルＢ」「ファイルＣ」のハッシュ計算に要する時間を、それぞれ示している。

「τ_av」は、ファイルのハッシュ計算に要する平均時間を表わし、その数値は、（２）式で求められる。

（３）式は、ファイルｉに対するスキャンパターンを表わす。ここで、「ｓ_ｉ ^ｊ」は、ファイルｉに対するｊ回目のスキャン開始時刻を表わし、「ｋ_ｉ」は、ファイルｉに対するスキャンパターンにおけるスキャン回数、つまりスキャン処理１周期当たりのスキャン回数を表わす。

なお、図４では、「ファイルＡ」の１周期目および２周期目の１回目のスキャン開始時刻、「ファイルＢ」の１周期目の１～３回目のスキャン開始時刻、「ファイルＣ」の１周期目の１、２回目のスキャン開始時刻を、それぞれ示している。

「τ_all」は、スキャンパターンの実行に要する時間、つまりスキャン処理１周期分の時間を表わし、（４）式になる。

なお、図４では、「ファイルＡ」の１回目のスキャン開始時刻から、「ファイルＢ」の３回目のスキャン終了時刻までの時間が「τ_all」に相当する。

「ｎｅｘｔ_ｉ（ｔ）」は、ある時刻ｔ以降にはじめてファイルｉのスキャンが始まる時刻であり、スキャンパターンによって定まる。なお、図４では、ある時刻ｔ以降の「ファイルＡ」「ファイルＢ」のスキャンについて、それぞれ「ｎｅｘｔ_ｉ（ｔ）」を示している。

「ｐｒｅｖ_ｉ（ｔ）」は、ある時刻ｔの直前にファイルｉのスキャンを開始した時刻であり、スキャンパターンによって定まる。なお、図４では、ある時刻ｔの直前の「ファイルＢ」「ファイルＣ」のスキャンについて、それぞれ「ｐｒｅｖ_ｉ（ｔ）」を示している。

［スキャンパターンの評価指標］
図５を用いて、本実施形態に係るスキャンパターンの評価指標を詳細に説明する。図５は、第１の実施形態に係るスキャンパターンの評価指標を説明するための図である。本実施形態では、「正規プログラムが不正に改竄されたファイルを気づかずに実行してしまう可能性」を定式化するために、スキャンパターンの良し悪しを図る評価指標として、Ｅ［τ_attack］を導入する。以下では、評価指標Ｅ［τ_attack］の定義および最適化について説明する。

（評価指標Ｅ［τ_attack］の定義）
まず、評価指標Ｅ［τ_attack］の定義について説明する。「τ_attack」は、ファイルｉがスキャン後、他プロセスがファイルｉを使うまでの時間、つまりスキャンから直近のアクセスまでの時間を表わし、その数値は、（５）式で求められる。ここで、「ｔ_access」は、ファイルｉが他プロセスに読み込まれた時刻、つまりアクセスされた時刻であり、全てのアクセスは瞬間的に発生するものとし、時間幅を持たないものとして扱う。

なお、図５では、「ファイルＡ」には時刻ｔ_１にアクセスが発生しており、「ファイルＡ」のスキャン後、アクセスされるまでの時間τ_attackが示されている。また、「ファイルＢ」には時刻ｔ_２にアクセスが発生しており、「ファイルＢ」のスキャン後、アクセスされるまでの時間τ_attackが示されている。

また、「ｑ_ｉ（ｔ）」は、ある時刻ｔでファイルｉに対してアクセスが発生する確率を表わす。

以上より、評価指標Ｅ［τ_attack］は、スキャン後、他プロセスが監視対象ファイルを読み込むまでの平均時間、つまり監視対象ファイルにおけるスキャンから直近のアクセスまでの平均時間を表わし、（６）式になる。なお、評価指標Ｅ［τ_attack］は、「監視対象ファイルにおける無防備な時間」または「監視対象ファイルにおける改竄可能時間」として定義することもできる。

評価指標Ｅ［τ_attack］を小さくすると、改竄が起きても、そのファイルが使用される前にスキャンが行われるようになる。なお、オンアクセススキャン方式では、この指標が０となる。

（評価指標Ｅ［τ_attack］の最適化）
次に、本実施形態に係る評価指標Ｅ［τ_attack］の最適化について説明する。まず、改竄検知に際して、評価指標Ｅ［τ_attack］を小さくするようなスキャンパターンを生成したい。しかし、一般に、ある時刻ｔでファイルｉに対して正規プログラムからのアクセスが発生する確率ｑ_ｉ（ｔ）は未知である。したがって、上記（６）式において、ｑ_ｉ（ｔ）をどう扱うかによって、さまざまな最適化の手法が考えられる。以下では、ｑ_ｉ（ｔ）が時刻ｔに依存せず一定とし、各ファイルへのアクセス頻度のみを考慮する最適化の手法について説明する。

上記（６）式において、ｑ_ｉ（ｔ）が時刻ｔに依存せず一定であり「ｑ_ｉ」とすると、（７）式のように表わすことができる。

また、上記（７）式において、時刻ｔに関わる「ｆ_ｉ（ｔ）」（積分計算部分）を（８）式のように表わす。

ここで、監視対象ファイルに対してランダムにスキャンを行うと仮定すると、ｆ_ｉ（ｔ）は、「スキャン処理１周期でファイルｉにアクセスする回数の逆数（１／ｋ_ｉ）に比例する」と近似することができる。したがって、Ｅ［τ_attack］は、（９）式のように表わすことができる。

上記（９）式のＥ［τ_attack］を最小化するｋ_ｉを、下記（１０）式、（１１）式で表わされる制約条件の下で求める。

ファイルによらず、ハッシュ計算に要する時間τ_ｉが一定であると仮定すると、（１２）式が解となる。

以上のように、本実施形態に係る評価指標Ｅ［τ_attack］の最適化は、ｋ_ｉはファイルｉに対するスキャン頻度に比例するので、「ファイルサイズに応じたスキャンに要する時間を考慮しつつも、ファイルのアクセス頻度が高いものほど頻繁にスキャンを行うようなランダムスキャンパターンを生成する」という手法である。

［改竄検知処理の流れ］
図６を用いて、本実施形態に係る改竄検知処理の流れを詳細に説明する。図６は、第１の実施形態に係る改竄検知処理の流れの一例を示すフローチャートである。まず、改竄検知装置１０の取得部１４ａは、監視対象ファイルのアクセス頻度、ファイルサイズ等の情報を監視対象機器２０から情報を取得する（ステップＳ１０１）。このとき、取得部１４ａは、監視対象機器２０以外の機器から情報を取得してもよい。また、取得部１４ａは、入力部１１を介して直接入力された情報を取得してもよい。

次に、決定部１４ｃは、監視対象機器２０から取得したアクセス頻度等の情報をもとに、最適なスキャンパターンを決定する（ステップＳ１０２）。このとき、計算部１４ｂは、決定部１４ｃがスキャンパターンを決定するために必要な情報の計算処理をしてもよい。また、決定部１４ｃは、事前に作成されたスキャンパターンが存在する場合は、当該スキャンパターンを採用することもできる。さらに、決定部１４ｃは、複数のスキャンパターンが決定可能な場合は、当該スキャンパターンから１つを採用することもできるし、複数を採用することもできる。

続いて、送信部１４ｄは、監視対象機器２０にスキャンパターンを送信する（ステップＳ１０３）。このとき、送信部１４ｄは、スキャンパターンをバルク（まとまり）で送信してもよいし、１つずつ送信してもよい。また、送信部１４ｄは、複数のスキャンパターンを送信してもよい。

そして、取得部１４ａは、監視対象機器２０の生成部２４ｂによって生成され、送信部２４ｃによって送信されたファイルのダイジェストを取得する（ステップＳ１０４）。最後に、検証部１４ｅは、取得部１４ａによって取得されたファイルのダイジェストをもとに、当該ファイルの改竄の有無を検証し（ステップＳ１０５）、改竄検知処理が終了する。なお、送信部１４ｄは、検証部１４ｅによって検証されたファイルの改竄の有無を、監視対象機器２０やその他の端末に送信してもよい。

［スキャンパターンの決定処理の流れ］
図７を用いて、本実施形態に係るスキャンパターンの決定処理の流れを詳細に説明する。図７は、第１の実施形態に係るスキャンパターンの決定処理の流れの一例を示すフローチャートである。

まず、改竄検知装置１０の取得部１４ａは、監視対象機器２０から、監視対象機器２０における監視対象ファイルの一定期間のアクセスログを取得し（ステップＳ２０１）、上記のアクセスログから、監視対象ファイルごとのアクセス頻度を取得する（ステップＳ２０２）。

このとき、取得部１４ａは、監視対象機器２０以外の機器からアクセスログを取得してもよい。また、取得部１４ａは、入力部１１を介して直接入力されたアクセスログを取得してもよい。なお、アクセスログの取得に関わる一定期間において、監視対象機器２０は、任意の方式でスキャン処理を行ってもよいし、スキャン処理を行わなくともよい。

次に、改竄検知装置１０の取得部１４ａは、監視対象機器２０から、監視対象ファイルのファイルサイズを取得する（ステップＳ２０３）。このとき、取得部１４ａは、監視対象機器２０以外の機器からファイルサイズを取得してもよい。また、取得部１４ａは、入力部１１を介して直接入力されたファイルサイズを取得してもよい。

そして、取得部１４ａは、上記のファイルサイズ等から、ファイルごとのハッシュ計算に要する時間τ_ｉを算出し、取得する（ステップＳ２０４）。なお、取得部１４ａは、上記のτ_ｉの算出に際し、上述の（１）式を用いる。また、取得部１４ａは、上述の（２）式で表わされるファイルのハッシュ計算に要する平均時間τ_avを算出し、取得してもよい。

続いて、取得部１４ａは、スキャン処理１周期の設定時間τ_allを取得する（ステップＳ２０５）。ここで、τ_allは外部から設定値として与えられる数値であるが、特に限定されない。取得部１４ａは、監視対象機器２０やその他の端末からτ_allを取得してもよいし、入力部１１を介して直接入力されたτ_allを取得してもよい。

なお、ステップＳ２０１～Ｓ２０５の処理の順序は一例であり、取得部１４ａは、異なる順序で処理を行うこともできる。また、取得部１４ａは、ステップＳ２０１～Ｓ２０５の一部の処理を省略することもできる。

その後、計算部１４ｂは、取得したτ_ｉとτ_allを用いて評価指標Ｅ［τ_attack］を最小化するような１周期のスキャン回数ｋ_ｉを計算する（ステップＳ２０６）。このとき、計算部１４ｂは、１周期で少なくとも１回は全てのファイルに対してスキャンを行うようにスキャンパターンを生成したい場合には、任意のファイルに対するｋ_ｉの最小値を１に設定する（ステップＳ２０７）。最後に、決定部１４ｃは、ｋ_ｉを満たすスキャンパターンをランダムに決定し（ステップＳ２０８）、処理が終了する。

［第１の実施形態の効果］
第１に、上述した本実施形態に係る改竄検知処理では、監視対象ファイルのアクセス頻度を取得し、取得したアクセス頻度に基づいて、監視対象ファイルごとに、スキャンパターンにおけるスキャン回数を計算し、計算したスキャン回数に基づいて、スキャンパターンを決定する。このため、本処理では、監視対象機器内での使用リソースを抑えながら、正規のプログラムが不正に改竄されたファイルを実行してしまう可能性を低減することができる。

第２に、上述した本実施形態に係る改竄検知処理では、監視対象ファイルのファイルサイズおよび前記スキャンパターンの設定時間をさらに取得し、アクセス頻度、ファイルサイズおよび設定時間に基づいて、スキャン回数を計算する。このため、本処理では、監視対象機器内での使用リソースを抑えながら、正規のプログラムが不正に改竄されたファイルを実行してしまう可能性を、より効率的に低減することができる。

第３に、上述した本実施形態に係る改竄検知処理では、監視対象ファイルのスキャンから直近のアクセスまでの平均時間を最小化するスキャン回数を計算する。このため、本処理では、監視対象機器内での使用リソースを抑えながら、正規のプログラムが不正に改竄されたファイルを実行してしまう可能性を、より効果的に低減することができる。

第４に、上述した本実施形態に係る改竄検知処理では、監視対象ファイルの全てのファイルが少なくとも１回含まれるスキャンパターンを、スキャン回数に基づいてランダムに決定する。このため、本処理では、監視対象機器内での使用リソースを抑えながら、正規のプログラムが不正に改竄されたファイルを実行してしまう可能性を、より網羅的に低減することができる。

第５に、上述した本実施形態に係る改竄検知処理では、監視対象ファイルを記憶する監視対象機器からアクセス頻度を取得し、スキャンパターンを前記監視対象機器に送信し、監視対象機器によってスキャンパターンに基づいて生成されたファイルのダイジェストを用いて、ファイルの改竄の有無を検証する。このため、本処理では、ソフトウェアの改竄検知において、全てのファイルを最適かつ網羅的に監視することができ、監視対象機器内での使用リソースを抑えながら、正規のプログラムが不正に改竄されたファイルを実行してしまう可能性を低減することができる。

〔システム構成等〕
上記実施形態に係る図示した各装置の各構成要素は機能概念的なものであり、必ずしも物理的に図示のごとく構成されていることを要しない。すなわち、各装置の分散・統合の具体的形態は図示のものに限られず、その全部または一部を、各種の負荷や使用状況などに応じて、任意の単位で機能的または物理的に分散・統合して構成することができる。さらに、各装置にて行なわれる各処理機能は、その全部または任意の一部が、ＣＰＵおよび当該ＣＰＵにて解析実行されるプログラムにて実現され、あるいは、ワイヤードロジックによるハードウェアとして実現され得る。

また、上記実施形態において説明した各処理のうち、自動的に行われるものとして説明した処理の全部または一部を手動的に行うこともでき、あるいは、手動的に行われるものとして説明した処理の全部または一部を公知の方法で自動的に行うこともできる。この他、上記文書中や図面中で示した処理手順、制御手順、具体的名称、各種のデータやパラメータを含む情報については、特記する場合を除いて任意に変更することができる。

〔プログラム〕
また、上記実施形態において説明した改竄検知装置１０が実行する処理をコンピュータが実行可能な言語で記述したプログラムを作成することもできる。この場合、コンピュータがプログラムを実行することにより、上記実施形態と同様の効果を得ることができる。さらに、かかるプログラムをコンピュータ読み取り可能な記録媒体に記録して、この記録媒体に記録されたプログラムをコンピュータに読み込ませて実行することにより上記実施形態と同様の処理を実現してもよい。

図８は、プログラムを実行するコンピュータを示す図である。図８に例示するように、コンピュータ１０００は、例えば、メモリ１０１０と、ＣＰＵ１０２０と、ハードディスクドライブインタフェース１０３０と、ディスクドライブインタフェース１０４０と、シリアルポートインタフェース１０５０と、ビデオアダプタ１０６０と、ネットワークインタフェース１０７０とを有し、これらの各部はバス１０８０によって接続される。

メモリ１０１０は、図８に例示するように、ＲＯＭ（Read Only Memory）１０１１及びＲＡＭ１０１２を含む。ＲＯＭ１０１１は、例えば、ＢＩＯＳ（Basic Input Output System）等のブートプログラムを記憶する。ハードディスクドライブインタフェース１０３０は、図８に例示するように、ハードディスクドライブ１０９０に接続される。ディスクドライブインタフェース１０４０は、図８に例示するように、ディスクドライブ１１００に接続される。例えば、磁気ディスクや光ディスク等の着脱可能な記憶媒体が、ディスクドライブ１１００に挿入される。シリアルポートインタフェース１０５０は、図８に例示するように、例えば、マウス１１１０、キーボード１１２０に接続される。ビデオアダプタ１０６０は、図８に例示するように、例えばディスプレイ１１３０に接続される。

ここで、図８に例示するように、ハードディスクドライブ１０９０は、例えば、ＯＳ１０９１、アプリケーションプログラム１０９２、プログラムモジュール１０９３、プログラムデータ１０９４を記憶する。すなわち、上記のプログラムは、コンピュータ１０００によって実行される指令が記述されたプログラムモジュールとして、例えば、ハードディスクドライブ１０９０に記憶される。

また、上記実施形態で説明した各種データは、プログラムデータとして、例えば、メモリ１０１０やハードディスクドライブ１０９０に記憶される。そして、ＣＰＵ１０２０が、メモリ１０１０やハードディスクドライブ１０９０に記憶されたプログラムモジュール１０９３やプログラムデータ１０９４を必要に応じてＲＡＭ１０１２に読み出し、各種処理手順を実行する。

なお、プログラムに係るプログラムモジュール１０９３やプログラムデータ１０９４は、ハードディスクドライブ１０９０に記憶される場合に限られず、例えば着脱可能な記憶媒体に記憶され、ディスクドライブ等を介してＣＰＵ１０２０によって読み出されてもよい。あるいは、プログラムに係るプログラムモジュール１０９３やプログラムデータ１０９４は、ネットワーク（ＬＡＮ（Local Area Network）、ＷＡＮ（Wide Area Network）等）を介して接続された他のコンピュータに記憶され、ネットワークインタフェース１０７０を介してＣＰＵ１０２０によって読み出されてもよい。

上記の実施形態やその変形は、本願が開示する技術に含まれると同様に、請求の範囲に記載された発明とその均等の範囲に含まれるものである。

１０ 改竄検知装置
１１ 入力部
１２ 出力部
１３ 通信部
１４ 制御部
１４ａ 取得部
１４ｂ 計算部
１４ｃ 決定部
１４ｄ 送信部
１４ｅ 検証部
１５ 記憶部
１５ａ 監視対象機器情報記憶部
１５ｂ ファイル情報記憶部
１５ｃ ファイルダイジェスト記憶部
２０ 監視対象機器
２１ 入力部
２２ 出力部
２３ 通信部
２４ 制御部
２４ａ 取得部
２４ｂ 生成部
２４ｃ 送信部
２５ 記憶部
２５ａ 監視対象ファイル記憶部
１００ 改竄検知システム

Claims (6)

1. 監視対象機器のリソースに関する情報、該監視対象機器が有する監視対象ファイルのアクセス頻度およびファイルサイズ、ならびにスキャンパターンの設定時間を取得する取得部と、
   前記取得部によって取得された前記リソースに関する情報および前記ファイルサイズを用いてハッシュ計算に要する時間を計算し、前記ハッシュ計算に要する時間および前記アクセス頻度に基づいて、前記監視対象ファイルごとに、スキャンパターンにおけるスキャン回数を計算する計算部と、
   前記計算部によって計算された前記スキャン回数に基づいて、前記スキャンパターンを決定する決定部と
   を備えることを特徴とする改竄検知装置。
2. 前記計算部は、前記監視対象ファイルのスキャンから直近のアクセスまでの平均時間を最小化する前記スキャン回数を計算することを特徴とする請求項１に記載の改竄検知装置。
3. 前記決定部は、前記監視対象ファイルの全てのファイルが少なくとも１回含まれるスキャンパターンを、前記スキャン回数に基づいてランダムに決定することを特徴とする請求項１または２に記載の改竄検知装置。
4. 前記取得部は、前記監視対象ファイルを記憶する監視対象機器から前記アクセス頻度を取得し、
   前記スキャンパターンを前記監視対象機器に送信する送信部と、
   前記監視対象機器によって前記スキャンパターンに基づいて生成されたファイルのダイジェストを用いて、該ファイルの改竄の有無を検証する検証部と
   をさらに備えることを特徴とする請求項１から３のいずれか１項に記載の改竄検知装置。
5. 改竄検知装置によって実行される改竄検知方法であって、
   監視対象機器のリソースに関する情報、該監視対象機器が有する監視対象ファイルのアクセス頻度およびファイルサイズ、ならびにスキャンパターンの設定時間を取得する取得工程と、
   前記取得工程によって取得された前記リソースに関する情報および前記ファイルサイズを用いてハッシュ計算に要する時間を計算し、前記ハッシュ計算に要する時間および前記アクセス頻度に基づいて、前記監視対象ファイルごとに、スキャンパターンにおけるスキャン回数を計算する計算工程と、
   前記計算工程によって計算された前記スキャン回数に基づいて、前記スキャンパターンを決定する決定工程と
   を含むことを特徴とする改竄検知方法。
6. 監視対象機器のリソースに関する情報、該監視対象機器が有する監視対象ファイルのアクセス頻度およびファイルサイズ、ならびにスキャンパターンの設定時間を取得する取得ステップと、
   前記取得ステップによって取得された前記リソースに関する情報および前記ファイルサイズを用いてハッシュ計算に要する時間を計算し、前記ハッシュ計算に要する時間および前記アクセス頻度に基づいて、前記監視対象ファイルごとに、スキャンパターンにおけるスキャン回数を計算する計算ステップと、
   前記計算ステップによって計算された前記スキャン回数に基づいて、前記スキャンパターンを決定する決定ステップと
   をコンピュータに実行させることを特徴とする改竄検知プログラム。

Images