JPH09288577A - コンピュータウイルス感染監視方法および装置 - Google Patents

Abstract

(57)【要約】 【課題】 ウイルスの感染を早期に発見してウイルスの
侵入と蔓延を防止し、また、ウイルスのパターンを既存
ウイルス情報に登録し、これを基としてウイルスに感染
しているか否かを比較確認することにより、実行形式フ
ァイルの管理情報のための大容量の記憶装置と管理情報
の更新のための時間を不必要とする。 【解決手段】 読出し専用メモリ内の書き換え可能なブ
ートブロック機能外領域にウイルス感染監視プログラム
と既存ウイルス情報を格納しておき、記憶保持メモリに
立ち上げ時間および立ち上げ回数およびウイルス感染フ
ラグを格納しておき、コンピュータシステムの立ち上げ
時に、記憶保持メモリの立ち上げ時間および立ち上げ回
数およびウイルス感染フラグを参照してＨＤＤ内のファ
イルのウイルスの感染状態をチェックし、更に既存ウイ
ルス情報を基にファイルのウイルスの感染をチェックし
て正常か異常かを表示装置を介して利用者に知らせる。

Description

【発明の詳細な説明】

【０００１】

【発明の属する技術分野】本発明はコンピュータシステ
ムに対して不法に侵入してくるコンピュータウイルスを
監視してその感染を防止するためのコンピュータウイル
ス感染監視方法および装置に関する。

【０００２】

【従来の技術】近年、コンピュータシステムに対して不
法に侵入してきてそのプログラム等を破壊するいわゆる
コンピュータウイルス（ウイルス）は、社会的問題にま
で発展してきており、このため、コンピュータウイルス
の感染を監視するための種々の手段が発表されている。

【０００３】例えば、特開平３−２３３６２９号公報に
開示されている実行形式ファイルの被破壊チェック方式
は、コンピュータウイルスの感染の性質に着目して統一
的かつ網羅的にチェックを行うことにより、被疑ファイ
ルの特定を容易にしてコンピュータウイルスによるコン
ピュータシステムの発病を防止するのを目的として、フ
ァイル取り出し機構がファイルシステムから取り出した
実行形式ファイルのファイル名がファイルチェックデー
タベースから読出したデータ中に存在するか否かをファ
イル存在チェック機構によって調べ、実行形式ファイル
の実際のファイル長がファイルチェックデータベースに
登録されている同じファイルのファイル長と一致するか
否かをファイル長チェック機構によって調べ、取り出し
た実行形式ファイルの実際のバイト列のチェックサムが
ファイルチェックデータベースに登録されている同じフ
ァイルのバイト列のチェックサムと一致するか否かをフ
ァイルチェックサムチェック機構によって調べ、それぞ
れの場合に警告メッセージを画面表示装置に出力するこ
とにより、コンピュータウイルスの感染を容易にチェッ
クできるようにしたものである。

【０００４】また、特開平５−１０８４８７号公報に開
示されているコンピュータウイルス侵入防止装置および
侵入防止方式は、コンピュータウイルスの侵入を事前に
チェックし、その侵入や増殖を防止するのを目的とし
て、アプリケーションプログラムからオペレーションプ
ログラムへの要求を取り込み、取り込まれた要求が正常
な要求かまたはコンピュータウイルスによる要求かを判
別し、その判別結果に基づいて該要求がコンピュータウ
イルスによる要求の場合に少なくともその要求を禁止す
るようにしたものである。

【０００５】

【発明が解決しようとする課題】上述したような従来の
コンピュータウイルスの感染監視方式は、前者の場合
は、実行形式ファイルの管理情報が必要であり、管理情
報がない場合はウイルスに感染したファイルであると判
断されるため、新規のインストールやファイルの追加を
行うときは、必らずファイルの管理情報の更新を行わな
ければならず、従って新規のインストールやファイルの
追加を行うとき、ファイルの管理情報の更新のために時
間がかかるという問題点を有している。また、ウイルス
の感染を確認するための手段としてのファイルの管理情
報のデータが膨大な量となるため、管理情報のデータを
記憶しておくための大容量の記憶装置が必要であるとい
う問題点も有している。

【０００６】後者の場合は、ウイルスの感染を確認する
ための手段として、アプリケーションプログラムから各
デバイスへの要求を取り込み、ウイルスからの要求であ
るか否かをチィェックすることによって確認している
が、これは、ウイルスからの要求がくることを前提とし
ているため、ウイルスの増殖は防止できるが、既に感染
はしているがまだ発病していないウイルスがあっても、
それを発見することができないという欠点を有してい
る。

【０００７】

【課題を解決するための手段】本発明のコンピュータウ
イルス感染監視方法は、コンピュータシステムの立ち上
げのとき、読出し専用メモリ内の書き換え不可能なブー
トブロック機能領域のプログラムから書き換え可能なブ
ートブロック機能外領域のウイルス感染監視プログラム
に制御を移し、前記ウイルス感染監視プログラムによっ
て、記憶保持メモリにウイルス感染フラグが立っている
か否かを調べ、前記ウイルス感染フラグが立っていない
ときは起動時から現在まで時間の計測結果を前回の処理
のときに前記記憶保持メモリに格納してある立ち上げ時
間と比較して一定時間以上余計に経過しているか否かを
調べ、一定時間以上余計に経過していないときは前記記
憶保持メモリに格納してある立ち上げ回数が一定回数以
上であるか否かを調べ、一定時間以上余計に経過してい
るときまたは立ち上げ回数が一定回数以上であるときま
たは前記ウイルス感染フラグが立っているときは前記読
出し専用メモリ内の前記ブートブロック機能外領域に格
納してある既存ウイルス情報を基にハードディスク装置
内のファイルがウイルスに感染しているか否かを調べ、
その結果を利用者に通知することを含むものである。

【０００８】本発明のコンピュータウイルス感染監視装
置は、書き換え可能なブートブロック機能外領域にウイ
ルス感染監視プログラムと既存ウイルス情報とを格納し
ている読出し専用メモリと、立ち上げ時間および立ち上
げ回数およびウイルス感染フラグを格納している記憶保
持メモリとを備え、前記ウイルス感染監視プログラム
が、コンピュータシステムの立ち上げのとき、前記記憶
保持メモリの前記ウイルス感染フラグの有無を調べ、前
記ウイルス感染フラグが無いときは起動時から現在まで
時間の計測結果を前回の処理のときに前記記憶保持メモ
リに格納してある前記立ち上げ時間と比較して一定時間
以上余計に経過しているか否かを調べ、一定時間以上余
計に経過していないときは前記記憶保持メモリに格納し
てある前記立ち上げ回数が一定回数以上であるか否かを
調べ、一定時間以上余計に経過しているときまたは立ち
上げ回数が一定回数以上であるときまたは前記ウイルス
感染フラグが有るときは前記読出し専用メモリ内の前記
ブートブロック機能外領域に格納してある前記既存ウイ
ルス情報を基にハードディスク装置内のファイルがウイ
ルスに感染しているか否かを調べ、その結果を表示装置
に表示する機能を有するものである。

【０００９】

【発明の実施の形態】次に、本発明の実施の形態につい
て図面を参照して説明する。

【００１０】図１は本発明のコンピュータウイルス感染
監視装置の一実施形態を示すブロック図、図２は図１の
実施形態の動作を示すフローチャートである。

【００１１】図１のコンピュータウイルス感染監視装置
の実施形態は、読出し専用メモリ（フラッシュＲＯＭ）
１と、記憶保持メモリ（ＢＵＭ）１１とを備えており、
表示装置１５とハードディスク装置（ＨＤＤ）１６を接
続している。

【００１２】フラッシュＲＯＭ１は、書き換え不可能な
領域であるブートブロック機能領域２と、書き換え可能
な領域であるブートブロック機能外領域３とに分かれて
いる。ブートブロック機能領域２には、コンピュータシ
ステムを動作させるためのプログラムが格納してあり、
ブートブロック機能外領域３には、ウイルス感染監視プ
ログラム４と既存ウイルス情報１０とを格納している。

【００１３】ウイルス感染監視プログラム４は、時間計
測処理機能５と、立ち上げ監視処理機能６と、ウイルス
情報比較処理機能７と、比較結果通知処理機能８と、記
録データ更新処理機能９との五つの処理機能を有してい
る。

【００１４】時間計測処理機能５は、コンピュータシス
テム内に搭載しているタイマを用いて起動時から現在ま
での時間を計測する処理機能である。

【００１５】立ち上げ監視処理機能６は、前回の処理の
とき、ＢＵＭ１１内に記憶したウイルス感染フラグ１４
の状態を確認し、また時間計測処理機能５による起動時
から現在まで時間の計測結果を読取り、前回の処理のと
きにＢＵＭ１１内に記憶した立ち上げ時間１２が一定時
間以上であるか否か、または一定時間以上ではないが前
回の処理のときににＢＵＭ１１内に記憶した立ち上げ回
数１３が一定回数以上であるか否かを確認する処理機能
である。なお、上記の一定時間および一定回数は、コン
ピュータシステムの管理者が任意の値にその設定値を変
更することができる。

【００１６】ウイルス情報比較処理機能７は、既存ウイ
ルス情報１０を基に、ＨＤＤ１６内に格納しているプロ
グラム等のファイルが、ウイルスに感染しているか否か
を比較確認する処理機能である。

【００１７】比較結果通知処理機能８は、ウイルス情報
比較処理機能７によって確認した結果を表示装置１５に
送って、「正常」または「警告」メッセージを表示させ
る処理機能である。

【００１８】記録データ更新処理機能９は、次回の処理
のときの立ち上げのために、ＢＵＭ１１内に記憶してあ
る立ち上げ時間１２および立ち上げ回数１３およびウイ
ルス感染フラグ１４を更新する処理機能である。

【００１９】既存ウイルス情報１０は、これまでに発見
されたウイルスに関する情報（ウイルスのパターン）が
登録されているデータベースであり、新たなウイルスが
発見されると、その都度登録内容が更新される。

【００２０】記憶保持メモリ（ＢＵＭ）１１は、記憶内
容を保持しているメモリであり、立ち上げ時間１２およ
び立ち上げ回数１３およびウイルス感染フラグ１４の三
つのデータを格納している。

【００２１】立ち上げ時間１２は、ウイルス感染監視プ
ログラム４が実行された時間である。

【００２２】立ち上げ回数１３は、コンピュータシステ
ムの管理者が定めた一定時間内に、ウイルス感染監視プ
ログラム４を立ち上げた回数である。

【００２３】ウイルス感染フラグ１４は、ウイルス感染
監視プログラム４によって確認したウイルス感染の状態
（正常か異常か）を示すフラグである。

【００２４】次に、図２を参照して上記のコンピュータ
ウイルス感染監視装置の動作について説明する。

【００２５】コンピュータシステムの動作が開始される
と、まずフラッシュＲＯＭ１内のブートブロック機能領
域２のプログラムが実行され、ブートブロック機能領域
２のプログラムからウイルス感染監視プログラム４に制
御が移行する（ステップ２１）。ウイルス感染監視プロ
グラム４は、立ち上げ監視処理機能６を実行し、前回の
処理のときにＢＵＭ１１内に記憶したウイルス感染フラ
グ１４の状態を確認する（ステップ２２）。

【００２６】この確認の結果が異常であった（ウイルス
に感染していると判断した）ときは、直接ステップ２４
に移行する。上記の確認の結果が正常であった（ウイル
スに感染していないと判断した）ときは、ステップ２３
に移行し、時間計測処理機能５によって起動時から現在
まで時間の計測結果を読取り、前回の処理のときにＢＵ
Ｍ１１内に記憶した立ち上げ時間１２と比べて一定時間
以上余計に経過しているか否か、または一定時間以上余
計に経過していないが前回の処理のときににＢＵＭ１１
内に記憶した立ち上げ回数１３が一定回数以上であるか
否かを確認する。

【００２７】上記の確認結果が一定時間余計に経過して
おらず、また一定回数以上でもないときは、ステップ３
０に移行し、記録データ更新処理機能９によってＢＵＭ
１１内に記憶してある立ち上げ回数１３のみを更新し、
立ち上げ時間１２は更新せずに処理を終了する。この場
合は、通常のＯＳロード処理に移行する。

【００２８】上記の確認結果が一定時間余計に経過して
いるか、または一定回数以上であるときは、ＨＤＤ１６
内に格納しているすべてのファイルについて、これまで
に発見されているウイルスのパターンが登録されている
既存ウイルス情報１０を基に、ウイルス情報比較処理機
能７によってウイルスに感染しているか否かを比較確認
する（ステップ２４）。この結果ウイルスに感染してい
ると判断した場合は（ステップ２５）、ステップ２６に
移行し、比較結果通知処理機能８によってその結果を表
示装置１５に送り、「警告」メッセージを表示させてウ
イルスに感染していることを利用者に知らせる。続いて
記録データ更新処理機能９によってＢＵＭ１１内に記憶
してあるウイルス感染フラグ１４を立て（ステップ２
８）、更に、記録データ更新処理機能９によってＢＵＭ
１１内に記憶してある立ち上げ時間１２および立ち上げ
回数１３を更新して（ステップ３０）処理を終了する。
この場合は、通常のＯＳロード処理には移行せず、その
後の処理は利用者の判断に委ねる。

【００２９】ステップ２４における比較確認の結果ウイ
ルスに感染していないと判断した場合は（ステップ２
５）、ステップ２７に移行し、比較結果通知処理機能８
によってその結果を表示装置１５に送り、「正常」メッ
セージを表示させてウイルスに感染していないことを利
用者に知らせる。続いて記録データ更新処理機能９によ
ってＢＵＭ１１内に記憶してあるウイルス感染フラグ１
４をクリアし（ステップ２９）、更に、ステップ３０に
移行して処理を終了する。この場合は、通常のＯＳロー
ド処理に移行する。

【００３０】このように、コンピュータシステムの立ち
上げ時にＨＤＤ１６内のファイルがウイルスに感染して
いるか否かをチェックするため、ウイルスの感染を早期
に発見してそれ以降のウイルスの侵入および蔓延を防止
できる。また、ウイルスのパターンをこれまでに発見さ
れたウイルスに関する情報として既存ウイルス情報に登
録し、これを基としてウイルスに感染しているか否かを
比較確認するため、実行形式ファイルの管理情報を必要
とせず、従ってファイルの管理情報の更新のための時間
もかからず、また、管理情報のデータを記憶しておくた
めの大容量の記憶装置も必要としない。

【００３１】

【発明の効果】以上説明したように、本発明のコンピュ
ータウイルス感染監視方法および装置は、読出し専用メ
モリ内の書き換え可能なブートブロック機能外領域にウ
イルス感染監視プログラムおよび既存ウイルス情報を格
納しておき、記憶保持メモリに立ち上げ時間および立ち
上げ回数およびウイルス感染フラグを格納しておき、コ
ンピュータシステムの立ち上げ時に、記憶保持メモリの
立ち上げ時間および立ち上げ回数およびウイルス感染フ
ラグを参照してＨＤＤ内のファイルのウイルスの感染状
態をチェックし、更に既存ウイルス情報を基にファイル
のウイルスの感染をチェックして正常か異常かを表示装
置を介して利用者に知らせることにより、ウイルスの感
染を早期に発見してそれ以降のウイルスの侵入および蔓
延を防止できるという効果がある。また、ウイルスのパ
ターンをこれまでに発見されたウイルスに関する情報と
して既存ウイルス情報に登録し、これを基としてウイル
スに感染しているか否かを比較確認するため、実行形式
ファイルの管理情報を必要とせず、従ってファイルの管
理情報の更新のための時間もかからず、また、管理情報
のデータを記憶しておくための大容量の記憶装置も必要
としないという効果もある。

【図面の簡単な説明】

【図１】本発明のコンピュータウイルス感染監視装置の
一実施形態を示すブロック図である。

【図２】図１の実施形態の動作を示すフローチャートで
ある。

【符号の説明】

１ 読出し専用メモリ（フラッシュＲＯＭ） ２ ブートブロック機能領域 ３ ブートブロック機能外領域 ４ ウイルス感染監視プログラム ５ 時間計測処理機能 ６ 立ち上げ監視処理機能 ７ ウイルス情報比較処理機能 ８ 比較結果通知処理機能 ９ 記録データ更新処理機能 １０ 既存ウイルス情報 １１ 記憶保持メモリ（ＢＵＭ） １２ 立ち上げ時間 １３ 立ち上げ回数 １４ ウイルス感染フラグ １５ 表示装置 １６ ハードディスク装置（ＨＤＤ） ２１〜３０ ステップ

Claims (2)

【特許請求の範囲】
1. 【請求項１】 コンピュータシステムの立ち上げのと
   き、読出し専用メモリ内の書き換え不可能なブートブロ
   ック機能領域のプログラムから書き換え可能なブートブ
   ロック機能外領域のウイルス感染監視プログラムに制御
   を移し、前記ウイルス感染監視プログラムによって、記
   憶保持メモリにウイルス感染フラグが立っているか否か
   を調べ、前記ウイルス感染フラグが立っていないときは
   起動時から現在まで時間の計測結果を前回の処理のとき
   に前記記憶保持メモリに格納してある立ち上げ時間と比
   較して一定時間以上余計に経過しているか否かを調べ、
   一定時間以上余計に経過していないときは前記記憶保持
   メモリに格納してある立ち上げ回数が一定回数以上であ
   るか否かを調べ、一定時間以上余計に経過しているとき
   または立ち上げ回数が一定回数以上であるときまたは前
   記ウイルス感染フラグが立っているときは前記読出し専
   用メモリ内の前記ブートブロック機能外領域に格納して
   ある既存ウイルス情報を基にハードディスク装置内のフ
   ァイルがウイルスに感染しているか否かを調べ、その結
   果を利用者に通知することを含むことを特徴とするコン
   ピュータウイルス感染監視方法。
2. 【請求項２】 書き換え可能なブートブロック機能外領
   域にウイルス感染監視プログラムと既存ウイルス情報と
   を格納している読出し専用メモリと、立ち上げ時間およ
   び立ち上げ回数およびウイルス感染フラグを格納してい
   る記憶保持メモリとを備え、前記ウイルス感染監視プロ
   グラムが、コンピュータシステムの立ち上げのとき、前
   記記憶保持メモリの前記ウイルス感染フラグの有無を調
   べ、前記ウイルス感染フラグが無いときは起動時から現
   在まで時間の計測結果を前回の処理のときに前記記憶保
   持メモリに格納してある前記立ち上げ時間と比較して一
   定時間以上余計に経過しているか否かを調べ、一定時間
   以上余計に経過していないときは前記記憶保持メモリに
   格納してある前記立ち上げ回数が一定回数以上であるか
   否かを調べ、一定時間以上余計に経過しているときまた
   は立ち上げ回数が一定回数以上であるときまたは前記ウ
   イルス感染フラグが有るときは前記読出し専用メモリ内
   の前記ブートブロック機能外領域に格納してある前記既
   存ウイルス情報を基にハードディスク装置内のファイル
   がウイルスに感染しているか否かを調べ、その結果を表
   示装置に表示する機能を有することを特徴とするコンピ
   ュータウイルス感染監視装置。