JPH10501354A - コンピュータ・ウィルス・トラップ装置 - Google Patents

Abstract

(57)【要約】 コンピュータ・ウィルス・トラッピング装置（１０）は、コンピュータ・ウィルスがコンピュータ・システムへ進入してファイルや周辺機器等を台なしにする前に、該ウィルスを検出して除去するものである。該トラッピング装置（１０）は、ウィルスが感染させようとするホスト・コンピュータ・システム（２８）をシミュレートする仮想世界を創造する。該環境は、出来る限り友好的に形成され、ウィルスを欺いて目的とするシステムであるホスト（２８）に居るかの如く思わせる。この仮想世界内において、ウィルスは鼓舞されてその意図した活動を行う。本発明は、この偽装のホスト・コンピュータ・システム内で起きるいかなる破壊的挙動をも、検出することが可能である。本発明は、更に、ウィルスがホスト（２８）に搬送される前に、該ウィルスをデータ・ストリームから取り出し（５２）そして、ユーザー（３８）により以前に命令されている任意の行動を取ることが可能である。

Description

【発明の詳細な説明】 コンピュータ・ウィルス・トラップ装置 発明の背景 今日存在するコンピュータ・ウィルスの問題は１９８０年代後半に始まってい る。その当時では、ウィルスは珍しいものであり、主にＤＯＳやマッキントッシ ュのコンピュータが被害にあっていた。今日では、フォーチュン（Ｆｏｒｔｕｎ ｅ）５００社に上げられた会社の殆どがコンピュータ・ウィルスの経験をもって おり、現在では、ウィルス事件の発生率は約２〜３カ月に１件の割合である。 コンピュータ・ウィルスなる言葉は、一般的且つ法律的用法では、デジタル・ コンピュータ環境において一定の機能を果たすソフトウェア、コード、コード・ ブロック、コード要素、及びコード・セグメントに適用されている。コードは、 コンピュータが応答するデジタル・インストラクションを意味している。有益な 目的を果たすために被害をもたらさない、すなわち正当なソフトウェア、コード 、コード・ブロック、コード要素、及びコード・セグメントは、ウィルスとは考 えられない。 コンピュータ・ウィルスは、データを消去及び破壊する上に、ハードウェアに 物理的損害を与えるものとして知られている。まれではあるが、ディスク・ドラ イブ・ヘッドをコールして、実際に媒体に記憶を行うウィルスも存在しており、 またモニタの走査速度を上げて故障を生じさせるウィルスが見つかっている。し かしながら、大抵のウィルスは、明らかな物理的損害を意図的に発生するもので はなく、トリガされる前にデータやファイルに損害を与えるものであることが分 かっている。しかしながら、ウィルスの発見後でなければ、ウィルスの検出及び 排除に関連してウィルスの実際の損害が明らかとならない。これにより、平均的 なコンピュータでは、１,０００台のＰＣ及び３５,０００枚のディスケットを探 索する必要が生じてしまう。ソフトウェア・エンジニアがたった１例でもウィル スを見過ごした場合には、その他のコンピュータも再感染してしまい、クリーン ・アップ検索を再度全面的に行わねばならなくなる。 一般的に、良性ウィルスと悪性ウィルスとがあるとの意見があるが、それは間 違っている。ある幾つかのウィルスは、悪意のあるトリガ・イベントを持たず、 且つ、意図的な損害を与えることができないことから、あたり障りのないウィル スであるとされている。しかしながら、このような意見は、コンピュータ・ウィ ルスのもたらす問題が主にトリガ・イベントによるものであるという点を、見過 ごしている。コンピュータ・ウィルスが複製されることは、事実である。これは 、コンピュータの設置時に、ウィルスのすべての事例（インスタンス）を検索し てクリーンアップする必要があることから、それ自体有害である。 ウィルスによる損害は、ファイルまたはデータの消去による損害程は大きくな いが、検出、除去及びそれに付随する作業者の生産性の低下を余儀なくされ、非 常に大きくなる。コンピュータ・ウィルスをクリーン・アップするために平均的 なコンピュータ・サイトで費やされる金額は、約２５０,０００ドル程度にもな る。コンピュータ・ウィルスは、１９９４年だけで米国のコンピュータ・ユーザ ーに１０億ドル以上を支出させることになる。 コンピュータ・ウィルスの問題は、情報スーパー・ハイウェイの出現により級 数的に大きくなる。個人、会社及び政府間の連結性が増大することで、コンピュ ータ・ウィルスが大混乱を巻き起こす可能性が大きくなっている。金融、電気通 信、ラジオ、情報データベース、ライブラリ、及びクレジット等における、今日 当たり前と考えられる様々なコンピュータ機能を果す、現在において分離されて いるコンピュータシステムは、将来一体になる可能性がある。従って、未チェッ クのコンピュータ・ウィルスが、我々の社会の手足をもぎ取る可能性も出てきて いる。 ウィルスは、システムに入り込んで活動する位置を見つけた時にのみ、問題を 発生させる。一般的には、ウィルスは、意図した機能、すなわちユーザーまたは オペレータが意図、期待、補償または別段保護をしなかった機能を、実行するも のである。悪意に満ちたウィルス行動の幾つかの例として、ファイルの名前を変 えてユーザーの該ファイルへのアクセスを難しくすること、ファイルを新たな位 置へ移動すること、ファイルの消去、作動プログラムへの干渉（即ち、スクリー ン上の全てのワードをスクリーン底部に落とすこと）、ウィルス自体を複製して システムを目詰まりさせ該システムを機能させなくすること、もしくは所定の時 間またはブーツ、アクセス、カーソル移動、マウス・クリック等の、所定の数の トグル操作を終えるまで待たないと一定の行動ができないようにすること、等が 挙げられる。 もっと重罪的なタイプのウィルスは、妨害行為、諜報活動、金銭的利得または 競合する事業体に損害を与えることを目的として、システムを破壊または損傷さ せるために放たれたものである。例としては、諜報活動等の目的で非許可ユーザ ーがアクセスするのを可能にするトラップ・ドアの創造、ファイルのダンピング または消去、システム内へのルートを見いだすナビゲーション・プログラム、パ スワード潰しプログラム、適正なプログラムの実行可能なセグメントを変更する こと、及び自身を一定のコード・ブロックに取り付けて別のサイトへ移動するこ とが含まれる。 ウィルスに感染し易い従来のＰＣやネットワークに加えて、産業上のプロセス 制御設定に使用される埋込制御システムもまた、ウィルスに感染し易い。これら のシステムは、機械装置、モーター、産業ロボット、及びセンサからのプロセス ・データを制御する。埋込制御システムは、ＰＣと同様にウィルスに感染し易い ことから、感染すると潜在的には相当の損害を被ることになる。工場または組立 ラインの円滑な流れが、ウィルスの制御不可能な挙動により、徹底的に破壊され る可能性がある。 ウィルスがコンピュータシステムに作用する方法は多数考えられる。全てのコ ンピュータがブーツ手順をたどり、該ブーツ手順において、基本入出力システム （ＢＩＯＳ：Ｂａｓｉｃ Ｉｎｐｕｔ Ｏｕｔｐｕｔ Ｓｙｓｔｅｍ）及び／ま たはその他の常駐システム・ツールが、ドライブの検出、メモリ及びシステムの テスト、システム・ファイルの初期化、ＤＯＳまたはその他のオペレーティング ・システム（ＯＳ）のローディング、及び初期スタートアップ・プログラムの立 ち上げ等の、様々なスタートアップ・タスクを行う。システムは、他の機能間で のウィルス・リンク（連結）を確立する等の、所定のハウスキーピング・タスク を行う。任意の実用性を有するコンピュータ・システムは非常に複雑であるから 、ウィルスを書き込もうとする者にとっては、システムに無数のトラブルを生じ さ せたりシステムの正常な操作を妨害したりする機会及び可能性が生じることにな る。 ウィルス問題に対する最も一般的な解決法は、ウィルスを走査、検出してコン ピュータシステムから排除するアンチ・ウィルス・ソフトウェアを使用すること である。これらのプログラムは、ハード・ディスク・ドライブまたはフロッピー ・ディスク等の記憶媒体を、公知の様々なウィルス・パターンについて検索する ことにより、作動する。しかしながら、このウィルス除去方法に関係して多数の 問題が生じてしまう。アンチ・ウィルス・ソフトウェアは、反復ストリング・サ ーチにより検出できる認識可能なパターンを有する公知のウィルスについてのみ 、走査することが可能である。新たなウィルスに対抗して保護を行うためには、 しばしばグレード・アップを行わなければならない。更に、プログラムによりウ ィルスを検出するためには、ウィルスがその時点でコンピュータを汚染していな ければ検出できない。したがって、その時点では、ウィルスにより何らかの損害 が生じているか、またはウィルスが既に複製を済ませて検出される前に拡散して しまっていることもある。また、特に、プログラムやデータがディスケットを介 して頻繁にコンピュータ間で伝達されるシステムでは、ウィルスに対する効果的 な保護を行うためには、アンチ・ウィルス・プログラムを度々実行することが必 要となる。 また、現在のアンチ・ウィルス・ソフトウェアを用いた解決策には、別の障害 、落とし穴及び限界が存在する。このソフトウェアは、３つのカテゴリに分類さ れている。即ち、スキャナ、モニタ及びＣＲＣである。前記した如く、スキャナ は公知のストリングのデータベースを片付ける。これらのデータベースは、常時 更新が必要である。モニタは、不審な挙動についてコンピュータを監視するメモ リ常駐プログラムである。モニタは偽陽（ｆａｌｓｅ ｐｏｓｉｔｉｖｅ）によ る損害を被る確率が高く、ＰＣの汎用メモリの大部分を占める。ＣＲＣは、保護 する各ファイルに２バイト数の形態をした独特の「シグネチャ（記号）」を発生 するエラー・チェック・プログラムである。ＣＲＣプログラムは、該当するファ イル自体または別のファイルに「シグネチャ」を配置する。ＣＲＣプログラムは 、それ自体認識し易く、従って汚染されたファイル用に「シグネチャ」を再度生 成 することが容易である、といった問題がある。更に、スキャナ、モニタ及びＣＲ Ｃプログラムは、当該ＰＣで実行されなければならない。これらにより、該プロ グラムの実行は、しばしば時間のかかる仕事となる。これらのプログラムは通常 、ＰＣを完全に制御して操作する必要があり、スキャナの終了を待たないと通常 の作業が開始できないことから、ユーザーは更に不便を感じることなる。もう一 つの重大な問題は、アンチ・ウィルス・ソフトウェアは当該ＰＣで実行しなけれ ばならないと言うことである。このことは、操作システムを制限し且つ障害とな り、知らずに汚染されたＰＣで該ソウトウェアを既に実行していると言うことに もなり兼ねない。本発明は、その論理機能をＰＣ外で実行することによる独特の 方法を取り、本発明のハードウェアでは、クリーンな汚染されていないスタート が保証され、したがって、ユーザーに不便をかけることがなく、且つより効果的 である。 別の可能な解決法は、ウィルスがシステムに侵入できなくなるまでにコンピュ ータの安全保護を高めることである。ログイン／パスワード制御及び暗号化は、 コンピュータ・ウィルスには効果がない。暗号化すれば、ウィルスは良好なデー タと一緒に暗号化されてしまい、複製を試みる時にのみ解読されることから、ウ ィルスの検出及び除去が一層困難になる。このような暗号化を実施することは、 非常に困難であり、またコストもかかることは明らかである。 別の可能な解決法は、コンピュサーブ（Ｃｏｍｐｕｓｅｒｖｅ）、プロディジ ィ（Ｐｒｏｄｉｇｙ）、インターネット（Ｉｎｔｅｒｎｅｔ）及びユースネット （Ｕｓｅｎｅｔ）等の市販タイプ、並びに個人用でローカルな小型のタイプのコ ンピュータ掲示板を使用しないことである。しかしながら、大抵のウィルスは、 情報データベースまたはコンピュータ掲示板からダウンロードされたソウトウェ アまたはデータから生じるものでないから、この方法ではウィルスの拡散を防止 することにはならない。市販のオンライン・サービス及び個人的な掲示板の双方 のオペレータは、自身のシステムにウィルスが侵入してこないようにするために 、非常に慎重となる。システムにアップロードするものはすべて、加入者に使用 させる前に常に検索及び走査を行う。更に、ブーツ・トラック・タイプの大抵の コンピュータ・ウィルスは、ダウンロードされたデータやソフトウェアを介して は 拡散せず、大部分のウィルスがディスケットを介して拡散する。ウィルスが、デ ィスケット製造業者により、故意でなく空状態のディスケットに拡散されてしま った例も知られている。どのようなディスケットがウィルスに汚染されないかに 関するルールは存在しない。 従って、ユーザーが知ることなく、システムに侵入する前に、ウィルスを走査 、検出し、且つ除去することができ、そして、今日存在する全てのウィルスに効 果的である装置が必要であると、長年考えられてきたが、未だに実現されるには 至っていなかった。 発明の概要 ほとんど全てのウィルスに当てはまる特徴の１つは、ウィルス自身では１つの コピュータＯＳから別のＯＳへ移動できないことである。これは、今日使用され ているコンピュータ・システムは、システムが異なれば内部命令または指令もま た異なるからである。１つのＯＳに完全に受け入れられ且つ了解される言語は、 別な言語と相関関係を有していない。人間に例えれば、相互に通じない異なる言 語を２人の人が話すようなものである。双方の言語には似た語が存在する場合も あるが、誤って解釈された又はクロス・オーバー・ストリングされた語または１ 組のコンピュータ命令（即ち、ウィルス）が、著しい量の情報を伝達すること、 または一連の命令を効果的に実行することは、統計的にほとんどあり得ない。誤 って解釈された又はクロス・オーバー・ストリングされた語または１組のコンピ ュータ命令が、１つの言語またはシステムから、別の言語またはシステムへ、有 益な情報を伝達することまたは一連の指令を実行することは、更にあり得ない。 本発明は、ウィルスのこの特性を利用して、ウィルスが逃げることのできない 侵入不可能なバリアを創造する。本発明では、外部のオペレーティング・システ ムを使用することで、高度の安全性及び不侵入性が保証される。本発明者は、本 発明が外部オペレーティング・システムを使用することなく確立することが可能 であると認識しつつも、斯かる外部オペレーティング・システムを用いない場合 には、信頼できる程度の安全性が確保できないと考える。更に、外部オペレーテ ィング・システムを使用しない場合には、発明自体が汚染される危険性もある。 保護されるべきコンピュータ・システムとは異なる外部オペレーティング・シス テムが、該保護されるべきコンピュータ・システムへデータが到達する前に、デ ータの流れの中に挿入される。例示すると、ＤＯＳ用に書かれたプログラムがマ ッキントッシュのコンピュータ上で作動しない場合には、ウィルスも行動できな い。外部オペレーティング・システムは、その動作を完結するためには、目標と するコンピュータ・オペレーティング・システム（ディスク・ドライバ、メモリ 構造、ポート等）のエミュレーション（ｅｍｕｌａｔｉｏｎ）を提供しなければ ならない。そのためには、ウィルスを欺いて、該ウィルスが汚染しようとしてい た目標とするコンピュータシステムに常駐していると思わせることである。ウィ ルスは、エミュレートされた目標のオペレーティング・システム内に存在する間 、ファイルを汚染し、データを破壊して台なしにするように、鼓舞される。本発 明が他の全てのウィルス検出及び防止戦略から相違している点が、この点である 。他の全ての戦略は、防御的性質を備えており、ファイルをマークして不当な変 更を検出し、意図しない挙動を走査してウィルスが損害を与えるのを防止してい る。本発明においては、ウィルスを鼓舞して汚染且つファイルを破壊するように することで、攻撃的な戦略を取っている。 コンピュータ・ユーザーが防止すべきウィルスの最も重要な挙動は、その複製 する能力である。ウィルスがファイルを消去し、ハード・ドライブが作動不能に なって初めて、ウィルスが検出される。一般に、ウィルスが悪意のあると考えら れることをした後で初めて、ウィルスが検出される。この時点において初めて、 アンチ・ウィルス・ソフトウェア及びハードウェアが起動され実行されて、ウィ ルスが検出され、そしてファイルをクリーンにする。ウィルスは、悪事を働く前 には複製を行うことがない。複製がなされなければ、成長して存続することがで きない。ウィルスが複製する能力を有していれば、ＰＣからフロッピーへ、フロ ッピーからＰＣへ、そしてＰＣからネットワークへと、移動可能となる。本発明 がねらいとするのは、このウィルスの複製しようとする挙動である。ウィルスを 鼓舞して、このクロス・プラットフォームを生じたエミュレーション内で行動す るようにさせ、検出を行う。保護されるシステムが損害を受ける前に、ウィルス の任意のレベルでの検出を可能にすることが、このクロス・プラットフォーム技 術であり、かつ攻撃的戦略である。本発明によりウィルスを検出できるのは、エ ミュレーション内であり、ウィルスを安全に保持できるのは、トランス（変換） ・プラットフォーム論理／環境の使用によるものである。ウィルスがＤＯＳまた はＭＡＣスキャナ、オペレーティング・システム、またはＢＩＯＳに広まること ができる場合には、外部のオペレーティング・システムに侵入して汚染すること はできない。 外部のオペレーティング・システムは、エミュレーション（ファイル、ＢＩＳ Ｏ情報の偽造、偽周辺装置の創造）の監視警戒能力に基づき、そして、エミュレ ーション内の要素の操作能力、並びにシーア（ｓｈｅｅｒ）速度及び計算能力に 関連して、選択される。 本発明者は、本発明をトランス・プラットフォームなしで達成することが可能 なことを認識しているものであるが、トランス・プラットフォームなしでは速度 が遅くなり、且つ確実な安全性を得ることはできない。外部オペレーティング・ システムの利用は、リード（鉛）壁及びガラス壁の利用、並びに研究所内で放射 性物質を操作する人により使用される機械アームの利用をリンクさせることが可 能である。素手で放射性物質を取り上げることも確かに可能ではあるが、これは 全く推薦できるものではなく、且つ安全ではない。本発明は外部オペレーティン グ・システムを使用せずに達成することが可能であるが、これは推薦することが できるものではなく、且つ安全でもない。 本発明の主たる目的は、ウィルスを欺くことにより、該ウィルスがホスト環境 内に存在すると考えさせて、破壊挙動を可能にする仮想世界を創造することで、 ホスト環境を偽装することにより、最も基本的レベルでウィルスを検出して除去 し、ホストに損害を与えることなく、ウィルスを破壊するウィルス検出システム を提供することである。 本発明の別の目的は、メモリまたはファイルのストリング検索を行ってウィル スを検出する以外の方法を使用して、任意のレベルにおいてもウィルスの検出及 びトラップを可能にするウィルス検出システムを提供することである。 本発明の更に別の目的は、未知のウィルスを検出することができるウィルス検 出システムであって、検出装置の状態を保持するためにソフトウェアを更新する 必要性をなくしたウィルス検出システムを提供することである。 本発明の更に別の目的は、ウィルスを検出する時のホスロ・コンピュータ・シ ステムの非動作時間を最小限にすることである。 本発明の更に別の目的は、ユーザーの自由裁量により、ウィルスを別の媒体に 記録してウィルス分析グループへ移行されることができるようにすることである 。該目的においては、ウィルスを内部分析にかけて、トラップドアまたはファイ ルの変更、若しくは、産業スパイまたは妨害行為コード等の公知の以前に企てら れた試みと比較する。 本発明の更に別の目的は、ディジボード（ｄｉｇｉｂｏａｒｄ）・チャネルで あるモデム、インターネット、コンピュサーブ、ＬＡＮステーション／ユーザー リッド（Ｕｓｅｒｉｄ）、ＷＡＮライン等の、ウィルス侵入源からウィルスを記 録することである。 別の目的は、攻撃についてシステム管理に警告を発することである。 図面の簡単な説明 以下は、本発明の実施例を例示した図面である。 図１は、本発明の好適な実施例の高レベル機能のブロック図である。 図２は、本発明の好適な実施例の機能ブロック図である。 図３は、地域ネットワーク環境における本発明の応用を示した機能ブロック図 である。 図４は、電気通信ネットワーク環境に本発明を応用した時の機能ブロック図で ある。 図５は、本発明の動作段階を示した高レベルのソウフトウェア論理図である。 図６Ａ〜図６Ｃは、一体として、本発明の動作段階の高レベルのフローチャー トである。 発明の詳細な説明 本発明を完全に理解し且つその効果を理解するために、典型的な環境における 本発明の好適な実施例を、以下に説明する。 ウィルスが複数のオペレーティング・システムを横断できないという原理に立 って、本発明では、潜在的なウィルスに対して仮想世界を創造する。保護すべき システムをエミュレートするＯＳは、ウィルスにとって友好的で見慣れた環境を 提供する。ウィルスは鼓舞されて、該ウィルス用に創造されたこの仮想世界で行 動する。ウィルスが破壊行為をした結果が検出され、その結果、ウィルスに標識 が立てられて除去または記憶され、更に分析される。この方法は、ほとんど全て のウィルスが本質的には実行可能であり、ユーザの誰も破壊的なウィルスを別の ものに意図的に連絡しないだろうと言う仮説、及び命令が多分実行されない環境 において、該実行可能な命令を識別することが可能であると言う仮説に基づいて いる。 図１及び図２には、ウィルス・トラッピング装置１０の機能ブロック図が示さ れている。中央処理装置（ＣＰＵ）１２は、任意の計算装置（インテル（Ｉｎｔ ｅｌ）、モトローラ（Ｍｏｔｏｒｏｌａ）、パラミド（Ｐａｒａｍｉｄ）、ナシ ョナル・セミコンダクタ（Ｎａｔｉｏｎａｌ Ｓｅｍｉｃｏｎｄｕｃｔｏｒ）ま たはテキサス・インストルメント（Ｔｅｘａｓ Ｉｎｓｔｒｕｍｅｎｔｓ）マイ クロプロセッサ、マルチチップセットＣＰＵ、ボードレベルＣＰＵ等）で良い。 トランスピュータ（Ｔｒａｎｓｐｕｔｅｒ）が特に適しており、それは、今日使 用されているほとんど全てのＰＣがトランスピュータ以外のＣＰＵを使用してい ることからである。トランスピュータのアプリケーション及びプログラムの案内 は、マーク・ホプキンス（Ｍａｒｋ Ｈｏｐｋｉｎｓ）によるＩＮＭＯＳ社が１ ９８９年の版権を所有するトランスピュータ・ハンドブック、及びマーク・ホプ キンスによるイタリアのＩＮＭＯＳ社が１９９２年の第３版の版権を所有するト ランスピュータ・データブックに掲載されている。典型的なマイクロプロセッサ ・デザインとして、ＥＰＲＯＭ１４は、ＣＰＵ１２用のオペレーティング・ソフ トウェアを備えている。ＲＡＭ１６は、ＣＰＵ１２に一時的な記憶機能を提供し 、それによりウィルス検出ソフトウェアを実行する。リンク・アダプタ２０は、 ウィルス・トラッピング装置１０と外部世界とをインターフェースするための物 理的な接続をする。ウィルス・トラップ装置１０に接続されるリンク・アダプタ の数は、２つに限定されるものではなく、任意の数のリンク・アダプタを用いて 多 数の入力データ・ストリームを処理することが可能である。該装置１０は、１以 上の外部ソースからの入力データ・ストリームを読み込む。コミュニケーション ・リンク２４の一例は、ローカル・エリア・ネットワーク（ＬＡＮ）（即ち、Ｎ ｏｖｅｌｌ）、ワイド・エリア・ネットワーク（ＷＡＮ）（即ち、ネットワーク されたＬＡＮ）、電話通信ネットワーク（即ち、モデム）、無線周波数（ＲＦ） タイプセルラー・ネットワーク、またはある種のデータ記憶装置（即ち、フロッ ピディスク、ハードディスク、テープ、光磁気ＣＤ−ＲＯＭ等）である。コミュ ニケーション・リンク２４は、装置１０を動作させる入力データ・ストリームを 、該装置に提供する。ディスケットは一般に、データ及びプログラムを１つのコ ンピュータから別のコンピュータへ伝達するのに使用され、従って、ウィルスの システムへの一般的な侵入点となる。入出力（Ｉ／Ｏ）インターフェース１８は 、ウィルス・トラッピング装置１０が保護中のコンピュータ・システム２８と連 絡する手段を提供する。 典型的なオペレーティング環境でのウィルス・トラッピング装置１０のアプリ ケーションが図３に示されている。ファイル・サーバ４２が、保護されるコンピ ュータ・システムである。ウィルス・トラッピング装置１０は、ファイル・サー バ４２を他のワークステーション３８に接続するデータ・ストリーム中に挿入さ れる。ハブ４０は、ワークステーション３８をＬＡＮに接続する機能を果たし、 且つ、モデム３６は、遠隔地のワークステーション３８をファイル・サーバ４２ に接続する機能を果たす。このシナリオにおいては、ファイル・サーバ４２への 及び該ファイル・サーバからの全てのトラヒック（データ移行）が、ウィルス・ トラップ装置１０によりウィルスに関連して監視される。 ウィルス・トラッピング装置１０の別のアプリケーションが図４に示されてい る。このシナリオにおいては、電気通信ネットワーク３４を通過するデータ・ト ラヒックが、ウィルスから保護される。ユーザーが遠隔地に電話ネットワーク３ ４に接続されたメインフレームファイルサーバ３０を有している場合がある。電 話会社の中央オフィスに配置されたノード３２が、利用者のデータ・トラヒック のアクセスやクロス・コネクト機能を実行する。ネットワークを介してウィルス が拡散するのを防止するために、各ノード３２の前面にウィルス・トラッピング 装置１０を配置する。モデム３６を介して電話ネットワーク３４に接続されたワ ークステーション３８とメインフレーム・ファイル・サーバ３０との間のデータ トラヒックは、該トラヒックがウィルス・トラッピング装置１０を通過しなけれ ばならないことから、ウィルスが常時チェックされる。 ウィルス・トラッピング装置１０の動作は下記の通りである。ウィルス・トラ ッピング装置１０は、コミュニケーション・リンク２４等の外部世界から進入し て来るデータ・ストリームを監視する。全てのデータは、実際のデータ（即ち、 データファイル）であろうが、命令（即ち、実行可能な）であろうが、リンク２ ４上を通過する際にはデータとして処理される。この点においては、実際の命令 は実行されず、伝達処理されて実行される。この状態での伝達では、ＣＰＵ１２ に制御されるエミュレーション手段４８が、潜在的なウィルスに友好的な環境を 提供する。データはエミュレーション・ボックス（室）４８に入力され、ウィル スは、該ボックスにおいて欺かれて、あたかも実際にホスト・システムに存在す るかの如く行動する。複製、別のプログラムへの攻撃、またはデータ破壊等、ウ ィルスが示すことのできるいずれかの破壊的挙動がエミュレーション・ボックス ４８内で起きることが望ましい。この仮想世界においては、ウィルスはその環境 へ完全にアクセスすることができる。ＣＰＵ１２により制御される分析／検出手 段５０が、自己複製行動をしているウィルスを捕捉して、ホスト・システムを感 染させるのを防止するのは、まさにこの時点である。ウィルスは、エミュレーシ ョンボックス４８が重要なファイル、キーボード、スクリーン等へのアクセスの ない外部オペレーティング環境内に存在することから、該エミュレーション・ボ ックスから逃げることができない。実際の世界へのアクセスは、完全に遮断され ている。 ウィルス・トラッピング装置１０が起動すると同時に、エミュレーション・ソ フトウェアがＥＰＲＯＭ１４から読み込まれて実行される。ユーザーがワークス テーション３８のスイッチを入れると、ワークステーション３８とファイル・サ ーバ３０（または４２）との間の接続が確立される。接続セッションはＣＰＵ１ ２のＲＡＭ１６内に創造される。同様にして、ユーザー毎にセッションが作られ る。 １つのワークステーション３８のユーザーがコマンド（指令）を実行してファ イルを動かすと、データが最後にはファイル・サーバ３０に書き込まれ、且つ該 ファイル・サーバ３０から読み出される。ウィルス・トラッピング装置１０は、 データを２つのパス（経路）に分割する。一方のパスは、修正されずに直接保護 されたコンピュータシステムへ接続される。他方のパスのデータは、エミュレー ション・ボックスすなわちユーザー毎に創造された仮想世界に書き込まれる。デ ータの書き込みは、ファイル・サーバ３０、保護されるコンピュータ２８または ワークステーション３８に実行されると同様に、このボックスに書き込まれる。 データ及び時間の変更は、時間感応ウィルスをトリガするようシミュレートされ 、次いで実際のデータ及び時間について偽装が行われる。環境が変化すれば、チ ェックが行われて、単純にデータが書き込まれたか、または実行可能なコードが 書き込まれたかが決定される。 実行可能な命令がエミュレーション・ボックスに一旦入ると、巡回冗長検査（ ＣＲＣ）が割り込み要求テーブル（ＩＲＱ）から取り出される。また、ＣＲＣは 、エミュレーション・ボックス内に配置された全てのファイルに創造される。Ｃ ＲＣは、コンピュータ及びエンジニアリング界で広く使用されているエラー検出 矯正コードである。セーブされた全ての情報は、エミュレーション・ボックスの 外部に記憶されて、ウィルスによる変更は不可能となる。実行可能命令の強制実 行がなされる。 全く何も起きない場合には、ウィルスの自己複製が存在しないと言うことであ る。環境の中で何か（即ち、ファイル・サイズ、エミュレーション・ボックスに 他の実行可能な命令を書き込もうとする突然の試み等）が変化すると、ウィルス が存在して自己複製を試みていると決定される。 第１のステップは、ＩＲＱテーブルが修正されたか否かを判定することである 。第２のステップは、別のプログラムが書き込まれたか否かを判定することであ る。多くのプログラムには、ＩＲＱ（即ち、ネットワーク・シェル・プログラム 、マウス・ドライブ、プリント・ドライブ、コミュニケーション及びファックス ・ドライブ）が付加されている。しかしながら、これらのプログラムのどれも、 他の実行可能な命令を書き込もうとするものではない。適正なプログラムはどれ も、 ファイル・アロケーション・テーブル（ＦＡＴ）またはその他の内部ＯＳディス ク領域を、直接的に変更しようとはしない。適正なプログラムでは、変更（また は書き込み）を標準の正しい挙動のＤＯＳ割り込み（ＩＮＴ）（即ち、ＩＮＴ２ １）を通すのが典型的である。または、例えば、時々ＦＡＴに直接書き込みを行 うファイル修理プログラム（即ち、ノートン・ユーティリティズ（Ｎｏｒｔｏｎ Ｕｔｉｌｉｔｉｅｓ）の場合には、適正なプログラムはＩＲＱを捕捉すること はない。ウィルスの行動は、１つ以上のＩＲＱの捕捉、及びＦＡＴまたは実行可 能な命令を変更しようとする試みの組み合わせによって、検出可能となる。 例えば、ＩＢＭのＰＣのアーキテクチャにおいては、ＩＲＱに優先権が与えら れ、且つＩＲＱが異なる専用の目的を持っている。ＩＲＱ０はシステム・クロッ クであり、ＩＲＱ１はキーボードである。ほとんどのプログラムは、最優先権を 有したＩＲＱ０を捕捉する必要はない。ウィルスは、優先権の低いＩＲＱを有し た場合に従来のアンチ・ウィルス・プログラムがより優先権の高い所に入ってウ ィルスの検出をし易くすることから、最高の優先権を有したＩＲＱを捕捉しなけ ればならない。多くのウィルスがいくつかのＩＲＱを捕捉してその「シグネチャ 」による検出を可能にする。更に、ウィルスを除いた大抵のプログラムは、待避 命令の出入り時の実行に使用したメモリの約９５パーセント以上をＤＯＳへ返送 する。従って、エミュレーション・ボックス内に創造された仮想環境において監 視される、以下に説明する挙動を利用して、ウィルスを検出することが可能であ る。すなわち、ＩＲＱへの付加、どのＩＲＱが付加されたか、多数のＩＲＱが付 加されたか否か、ＦＡＴの変更、実行可能な命令の変更、環境の変更、メモリの 変更及び待避指令が発せられて、プログラムが終了すべきであったにもかかわら ず終了しなかった後の何らかの終了及び常駐（ＴＳＲ）活動が、ウィルスの検出 に利用される。 更に、次いで別の一連のチェックを開始することができる。「ハード・ドライ ブ」をチェックして、以前は良好であったが「悪い」とマークをつけられている か、またはその逆の追加のセクターまたはブロックを探す。プログラムが該プロ グラム自体を内部クロックに付加したか、且つ、内部クロックを増分させている か？エラー・チェック・アルゴリズムの結果のいずれかのものが変更されたか？ 分析／検出手段５０によりウィルスを検出すると同時に、応答／警報手段５２ がシステム管理者にメッセージを送るかまたはビープ音で知らせるか、ファイル またはプログラムの送り手及び受け手に知らせるか、ファイルを削除するか、特 別に準備されたフロッピー・ドライブへの書き込みを行うか、ウィルス・メッセ ージでページャ呼び出しをするか、またはネットワーク・セグメントをシャット ・ダウンするか等の、ユーザーが規定できる任意のオプション指令を実行するこ とができる。ウィルス・トラッピング装置１０が実行する動作ステップを示した 論理フローチャートが図６Ａ〜図６Ｃに示されている。 ソフトウェアの高レベルの論理図を図５に示している。入力データ・ストリー ムは、コミュニケーション・リンク２４により発生される。リンク・アダプタ２ ０は、特定のコミュニケーション・リンク（即ち、Ｘ.２５、ノヴェルＩＰＸ／ ＳＰＸ，マイクロソフト・ネットＢＥＵＩ（ＮｅｔＢＥＵＩ）等）に特定したハ ードウェア及びソフトウェア・プロトコルから、ＣＰＵ１２に理解可能な一般的 なプロトコルにデータ入力ストリームを変換する。プロトコルの変換後、データ ・パケットがＣＰＵ１２が理解できる一般的なデータ・フォーマットを有したデ ータ・ストリームに分解される。次いで、データは、ウィルス活動の有無に関し て分析処理される。この処理に次いで、データ・パケットは再構築されて、保護 されるコンピュータ・システム２８へ出力される前に、Ｉ／Ｏインターフェース １８により元のハードウェア及びソフトウェア・プロトコルへ変換される。 トラップ装置１０は、ホスト・システムへデータを直接転送すると同時に、該 データの処理を行う。これにより、大量のデータ・ファイルをホスト・システム へ送り、ホスト・システムが該データを受信する前にトラップ装置１０でそれを 処理させるのに関係した処理の遅れを低減できる。最終の書き込み指令またはフ ァイル終了指令を除いた大量のファイルの全内容がホストへ伝達される。ウィル スが検出されなければ、書き込みまたはファイル終了指令が発せられる。ウィル スが検出されると、書き込みまたは終了指令は決して発せられず、応答／警報手 段５２が適切な動作をとる。 上記の好適な実施例の説明は、以下の特許請求の範囲により画定される本発明 の範囲を一切限定するものでないことは明らかなことである。

Claims (1)

1. 【特許請求の範囲】 １． コンピュータ・ウィルス・トラッピング装置において、 外部のプロトコルを該トラッピング装置の理解できるデータ・フォーマットに 変換するための、データ入力ソースに接続されたリンク・アダプタ手段と、 前記リンク・アダプタ手段に接続され、該リンク・アダプタ手段から前記デー タ・ストリームを受け取るエミュレーション手段であって、保護されるコンピュ ータ・システムのアーキテクチャをシミュレートするための、該保護されるコン ピュータから隔離された環境を提供して、コンピュータ・ウィルスにその意図す る行動を行わせるようにするエミュレーション手段と、 前記エミュレーション手段を監視して、前記コンピュータ・ウィルスがその意 図した行動を完了したか又は実行しつつあるかを決定する検出手段と を備えたことを特徴とするコンピュータ・ウィルス・トラッピング装置。 ２． 請求項１記載の装置において、前記エミュレーション手段が、前記保護さ れるシステムをシミュレートするための前記コンピュータ・ウィルス用の仮想世 界を創造するように、適切にプログラムされた処理手段を備えていることを特徴 とする装置。 ３． 請求項２記載の装置において、前記処理手段が、マイクロコンピュータ回 路と、一時的及び永久的データ記憶装置と、Ｉ／Ｏインターフェースとを備えて いることを特徴とする装置。 ４． コンピュータ・ウィルス・トラッピング装置において、 外部のプロトコルを該トラッピング装置の理解できるデータ・フォーマットに 変換するための、データ入力ソースに接続されたリンク・アダプタ手段と、 前記リンク・アダプタ手段に接続され、該リンク・アダプタ手段から前記デー タ・ストリームを受けとるエミュレーション手段であって、保護されるコンピュ ータ・システムのアーキテクチャをシミュレートするための、該保護されるコン ピュータから隔離された環境を提供して、コンピュータ・ウィルスにその意図す る行動を行わせるようにするエミュレーション手段と、 前記エミュレーション手段を監視して、前記コンピュータ・ウィルスがその意 図した行動を完了したか又は実行しつつあるかを決定する検出手段と、 前記検出手段に応答して、該検出手段が前記コンピュータ・ウィルスの存在を 決定したときに、予め設定されたユーザー命令に従った行動をとる応答手段と を備えていることを特徴とするコンピュータ・ウィルス・トラッピング装置。 ５． コンピュータ・ウィルス・トラッピング装置において、 外部のプロトコルを該トラッピング装置の理解できるデータ・フォーマットに 変換するための、データ入力ソースに接続されたリンク・アダプタ手段と、 前記リンク・アダプタ手段に接続され、該リンク・アダプタ手段から前記デー タ・ストリームを受け取るエミュレーション手段であって、保護されるコンピュ ータ・システムのアーキテクチャをシミュレートする、該保護されるコンピュー タから隔離された環境を提供して、コンピュータ・ウィルスにその意図する行動 を行わせるようにするエミュレーション手段と、 前記エミュレーション手段を監視して、前記コンピュータ・ウィルスがその意 図した行動を完了したか又は実行しつつあるかを決定する検出手段と、 前記検出手段に応答して、前記検出手段が前記コンピュータ・ウィルスの存在 を検出したときに、予め設定されたユーザー命令に従った行動を実行する応答手 段と、 前記変換されたデータを前記外部データ・ストリームのプロトコルへ再構築し て、前記データ・ストリームを前記保護されるコンピュータ・システムへ転送す るＩ／Ｏバッファ手段と を備えていることを特徴とするコンピュータ・ウィルス・トラッピング装置。 ６． 請求項５記載の装置において、前記エミュレーション手段が、前記保護さ れるコンピュータ・システムの環境をシミュレートするようにプログラムされた マイクロプロセッサ手段を備えていることを特徴とする装置。