WO2009048158A1 - ファイルチェック装置、ファイルチェックプログラムおよびファイルチェック方法 - Google Patents

ファイルチェック装置、ファイルチェックプログラムおよびファイルチェック方法 Download PDF

Info

Publication number
WO2009048158A1
WO2009048158A1 PCT/JP2008/068689 JP2008068689W WO2009048158A1 WO 2009048158 A1 WO2009048158 A1 WO 2009048158A1 JP 2008068689 W JP2008068689 W JP 2008068689W WO 2009048158 A1 WO2009048158 A1 WO 2009048158A1
Authority
WO
WIPO (PCT)
Prior art keywords
file
check
access control
write
checking
Prior art date
Application number
PCT/JP2008/068689
Other languages
English (en)
French (fr)
Inventor
Norihisa Iga
Original Assignee
Nec Corporation
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Nec Corporation filed Critical Nec Corporation
Priority to JP2009537052A priority Critical patent/JP5392494B2/ja
Publication of WO2009048158A1 publication Critical patent/WO2009048158A1/ja

Links

Classifications

    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/52—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems during program execution, e.g. stack integrity ; Preventing unwanted data erasure; Buffer overflow

Definitions

  • the present invention relates to a file or malicious code infected with a computer virus.
  • a file check device that works with access control for the purpose of detecting files that have been altered to Re-.
  • the file check method is related to the file check method, the file check method, and the file check method.
  • the damage caused by is increasing.
  • the hash value of a file can be calculated in advance using the number of one-way Hahatsshu function.
  • you want to make a tamper check recalculate the hash value and recalculate the previous value.
  • There are well-known methods such as judging whether or not the value is the same as the hash value. . In this method, it is necessary to always calculate the hash value at the time of check. .
  • SSEELLiinnuuxx Toru Gaigaido ((Yuichi Nakanakamura, Tomohiro Mizukami, Hirohiro Ueno, Ueno) Shushu-author, Nikkei BB PP Co., Ltd., 22 00 00 March, 44, pp pp .. 22 44 to 44 11, pp pp .. 88 77, 88 88) ).
  • the method described in the bibliography here is called SSEELLiinnuuxx ((SSeeccuurriittyy EEnnhhaanncceedd LLiinnuuxx)) and is attracting attention. The .
  • SELinux When SELinux is installed in an information processing device such as a PC (personal computer), the rSELinux module ”is incorporated into the Linux kernel, and a configuration file called“ security policy 'file ”and an“ SELinux extended command ”are added. The Whenever a process accesses a resource, it must go through the rSELinux module and follow the procedure described below.
  • the process issues a resource access request to the kernel.
  • the kernel first checks the permissions. The procedure so far is the same as normal Linux operation.
  • a request to access a resource is passed to the “SELinux module”.
  • the “rSELinux module” refers to the “security 'policy' file” and checks whether the access is valid. At that time, SELinux original access control is performed.
  • the process accesses the resource if access is legitimate.
  • a virus definition file also called virus check data
  • virus definition files require constant updates, updates and enhancements to check for computer viruses.
  • the pattern data in the Winores definition file is growing. Under these circumstances, there are cases where relatively weak (low processing power) computers such as mobile phones have been infected with computer viruses, and it is necessary to check all computers for computer viruses. It has become. However, checking all the computer virus patterns contained in the enlarged virus definition file is a heavy burden.
  • Japanese Patent Application Laid-Open No. 2007-65810 Another example of a related file check is described in Japanese Patent Application Laid-Open No. 2007-65810.
  • a server connected to a user terminal holds an inspection definition file and updates the file when a threat occurs.
  • the first check is performed on the data.
  • the server sends data to the user terminal the file has been updated after the first inspection, and the estimated occurrence date and time of the threat updated in the file is later than the date and time when the data was registered in the server
  • an inspection unit is provided that performs a second inspection on the data using a file.
  • Still another example of the related file check is described in Japanese Patent Laid-Open No. 2003-216445.
  • a flag that has been checked is attached to the data of a file that has been checked for viruses the first time.
  • the second round only the file data without the above flag is checked for viruses.
  • Still another example of the related file check is described in Japanese Patent Application Laid-Open No. 2 0 0 3-1 96 1 11.
  • a virus check result file and a virus check signature are created.
  • Tamper check and virus check are used to detect malicious files.
  • access control limits the scope of action of the process and the access range to various resources, minimizing damage. It is used for the purpose of holding down. Therefore, using a combination of these related technologies in an information processing device eliminates various threats and ensures security.
  • the present invention reduces load related to checking by linking with access control, omitting redundant processing associated with checking files related to vulnerabilities, tampering or computer virus infection, and performing only the minimum necessary checks.
  • File check device, file check program and file check It aims to provide a method. Means for solving the problem
  • a file check device is a file check device that detects an illegal code contained in a file, and includes access control means for controlling access to a file from a process, and access control by the access control means.
  • the file selecting means for selecting a file that is permitted to be written and the file checking means for performing a file check for determining whether or not there is an illegal code in the file selected by the file selecting means.
  • a file check program is a file check program for detecting an illegal code included in a file, and controls an access control process for controlling access to a file from a process to a computer, and an access control. Executes file selection processing that selects files that are allowed to be written by access control by processing, and file check processing that performs file checking to determine whether there is an illegal code in the file selected in the file selection processing. It is characterized by making it.
  • the file check method is a file check method for detecting an illegal code contained in a file.
  • the file check method includes an access control step for controlling access to a file from a process, and access control by an access control means.
  • a file selection step for selecting a file that is permitted to be included, and a file check step for performing a file check for determining whether or not there is an illegal code in the file selected in the file selection step.
  • the redundant processing involved in checking files related to vulnerabilities, tampering, or computer virus infection is eliminated, and only the minimum necessary checks are performed to reduce the load related to checking. The effect is that it can be reduced.
  • FIG. 1 is a block diagram showing a configuration example of the file check apparatus according to the first embodiment.
  • Fig. 2 is an explanatory diagram showing an example of registering a table created to select a file to be checked.
  • Fig. 3 is a flowchart showing an example of the process for creating the table shown in Fig. 2 when the information processing device is operating for the first time.
  • Fig. 4 is a flowchart showing an example of processing for determining whether or not to perform a file check.
  • FIG. 5 is an explanatory diagram showing an example of registering a table for selecting a file to be checked.
  • FIG. 6 is a block diagram illustrating a configuration example of the file checking apparatus according to the second embodiment.
  • FIG. 7 is a flowchart showing an example of a new process in the second embodiment.
  • FIG. 8 is an explanatory diagram showing a registration example of a table for selecting a file to be checked.
  • FIG. 9 is an explanatory diagram showing a registration example of a table for selecting a file to be checked.
  • FIG. 10 is a block diagram showing a configuration example of the file check apparatus according to the third embodiment.
  • FIG. 11 is a flowchart showing an example of processing in the third embodiment.
  • FIG. 12 is a block diagram showing a configuration example of the file checking apparatus according to the fourth embodiment.
  • FIG. 13 is a flowchart showing an example of processing in the fourth embodiment.
  • FIG. 14 is a functional block diagram showing a minimum configuration example of the file checking apparatus according to the present invention. Best Mode for Carrying Out the Invention:
  • FIG. 1 is a block diagram showing a configuration example of the file check apparatus (information processing apparatus 1) according to the first embodiment.
  • the information processing device 1 shown in FIG. 1 is a block diagram showing a configuration example of the file check apparatus (information processing apparatus 1) according to the first embodiment.
  • ⁇ 1 includes a CPU 1 0 1, a RAM I 0 2, a ROM 1 0 3, an HDD (hard disk device) 1 0 4, an external memory 1 0 5, and an output device 1 0, communication device 1 0 7, input device 1 0 8, OS processing means 1 0 9, file 1 1 0, access control means 1 1 1, access control information acquisition means 1 1 2 , File check means 1 1 3, file selection means 1 1 4, and file addition notification means 1 1 5.
  • C P U 1 0 1 is a central processing unit 1 that controls execution of programs and calculation processing.
  • RAM I 0 2 is a random access memory and a readable / writable storage device. It becomes a temporary storage area when reading and writing data used when executing each means and program. In some cases, the execution code itself is temporarily stored.
  • ROM OM 103 is a read-only memory and a storage device that can only be read. Stores each means, program execution code, data, etc. Even if the information processing apparatus 1 is turned off, the execution code and data stored in the ROM 10 3 are not deleted.
  • HD D 104 is a hard disk drive and a readable / writable storage device. Although the read and write processing speed is slower than that of RAM I 0 2, it is large-capacity and even if the information processing device 1 is turned off, the execution code stored in HD D 1 0 4 And data will not disappear.
  • the external memory 10 5 is a readable / writable storage device that is detachable from the information processing apparatus 1. Execution code and data are added to the information processing apparatus 1 by storing the file 1 1 0 such as execution code and data in the external memory 1 0 5 and attaching it to the information processing apparatus 1.
  • the output device 10 6 displays the processing result executed by the information processing device 1 on a display or outputs the sound.
  • the communication device 1 07 communicates the execution code and data such as the file 1 1 0 to the information processing device 1 by communicating with the outside.
  • the input device 10 8 captures information into the information processing device 1 by a key (button) operation for requesting execution of a new process by a user, voice input, or the like.
  • the OS processing means 1 0 9 executes processing performed by OS (operating system).
  • the OS processing means 1 0 9 processes a system call called by a process generated from the file 1 1 0 including the execution code.
  • the OS processing means 1 0 9 manages resources such as the file 1 1 3.
  • the file 1 1 0 is a data file including an execution code, a library, and user data that are application programs.
  • the file 1 1 0 is specifically stored in the HD 1 0 4.
  • the access control means 1 1 1 is accessed when a process generated from the file 1 1 0 including the execution code accesses other files 1 1 0 in the information processing device 1 and resources such as various functions. Make restrictions. Access control means 1 1 1 1 Access control performed by [1] 1 [The wholesale method may be DAC (discretionary access control), MAC (mandatory access control) or other methods. Access control means 1 1 1 controls access to a file from a process based on access information indicating whether or not the file can be accessed. In addition, the access control means 1 1 1 may hold an access control policy indicating, for example, what resource access control is performed as access information.
  • the access control information acquisition means 1 1 2 acquires information on the access control policy held by the access control means 1 1 1 and provides the information to other means. In some cases, the access control information acquisition means 1 1 2 acquires security information contained in the information managed by the OS and the file 1 1 0 instead of the access control policy, and sends it to other means. Provide information.
  • the file checking means 1 1 3 checks whether the file 1 1 0 is virus-infected, tampered with, or vulnerable.
  • the file selection means 1 1 4 creates a table (see Fig. 2) indicating which file 1 1 0 should be checked from among the multiple files 1 1 0, and selects the check target from that table.
  • the file 1 1 ⁇ is selected and information indicating the selected file 1 1 0 is transmitted to the file check means 1 1 3.
  • FIG. 2 is an explanatory diagram showing an example of registration of a table created by the file selection means 1 14 to create a file to be checked.
  • information indicating whether or not a file is write-protected and information indicating whether or not a file has been checked are registered in association with information that can identify the file.
  • the table shown in FIG. 2 is stored in a storage device such as RAM I 0 2 or HDD 1 0 4, for example.
  • File addition notification means 1 1 5 notifies file selection means 1 1 4 when file 1 1 0 is newly created or file 1 1 0 is brought in from outside information processing device 1 To do.
  • the file check device (information processing device 1) can be realized by a computer, and each component constituting the file check device, that is, OS processing means 1 0 9, access control means 1 1 1, acquisition of access control information Means 1 1 2, File check means 1 1 3, File selection means 1 1 4 and File addition notification means 1 1 5 are programs for realizing the above-described functions in the computer processing device (CPU 1 0 1). It is feasible.
  • the fact that each component constituting the file checking device can be realized by a computer and that it can be realized as a program is not limited to the first embodiment, but is the same in other embodiments.
  • FIG. 3 is a flowchart showing an example of processing for creating the table shown in FIG. 2 when the information processing apparatus 1 is operated for the first time.
  • the file selection means 1 1 4 confirms whether or not the table shown in FIG. 2 exists (step S 1 1). If the table exists (Y es), the process is terminated, and if the table does not exist (N o), the process proceeds to step S12. If the table shown in FIG. 2 does not exist in step S 1 1 (No), the file selection means 1 1 4 checks whether the file 1 1 0 exists to create the table shown in FIG.
  • Step S 1 2 If the file 1 1 0 exists (Y es), the process proceeds to step S 1 3, and if the file 1 1 0 does not exist (N o), the process ends.
  • File selection means 1 1 4 obtains file information from OS processing means 1 0 9
  • Step S1 3 the file selection means 1 1 4 acquires information that can uniquely identify the file 1 1 0.
  • the file selection means 1 1 4 is the location (path) of the file 1 1 0 or UNIX such as Linux (registered trademark).
  • Inode information in the system OS is input from OS processing means 1 09.
  • the file selection means 1 1 4 queries the access control information acquisition means 1 1 2 to check whether writing to the file 1 1 0 is prohibited based on the file information acquired in step S 1 3.
  • the access information indicated is acquired (step S 1 4).
  • the file selection means 1 1 4 is shown in FIG. 2 based on the information of the file 1 1 0 acquired in step S 1 3 and the access information of the file 1 1 0 acquired in step S 1 4. Add data to the table (step S 1 5).
  • the file addition notification means 1 1 5 monitors the system call of the OS processing means 1 0 9 issued from the process.
  • File addition notification means 1 1 5 To monitor system calls, hook the system call table, use Linux using LSM (Linux Security Module) I / F, etc. A method of adding a custom hook in a system call is known.
  • LSM Linux
  • the file addition notification means 1 1 5 notifies the file selection means 1 1 4 to that effect.
  • the file selection means 1 1 4 performs the processing from step S 1 3 to step S 1 5 already described, and adds information about the newly generated file 1 1 0 to the table shown in FIG. .
  • FIG. 4 is a flowchart showing an example of processing for determining whether or not to perform a file check.
  • Fig. 4 shows a flowchart for processing virus infection, falsification, or vulnerability check for one file 1 1 0.
  • the processing shown in FIG. 4 is performed for each file 1 1 0.
  • the file selection means 1 1 4 refers to the table shown in FIG. 2 to check whether or not the file 1 1 0 has already been checked by the file check means 1 1 3 (step S 2 1). If it is already checked (Y e s), there is no need to check again, and the process ends. If not checked (N o), go to step S 22.
  • the file selection means 1 1 4 refers to the table shown in FIG. 2 and confirms whether or not the write control is permitted for the file 1 1 0 by the access control means 1 1 1 (step S 2 2). If Write is permitted (Y e s), it may be overwritten, so it is determined that a check is necessary, and the process proceeds to Step S 23. If Write is not permitted (N o), the contents of the file 1 1 0 are not rewritten, and the process ends. That is, the file selection means 1 1 4 selects a file 1 1 0 that has not been checked for a file and that is write-protected from the table shown in FIG. 2 in steps S 2 1 and S 2 2. Note that “Write permitted” is one of the access controls for file 1 1 0, and for example, file 1 1 0 can be updated.
  • file check means 1 1 3 performs a file check for determining whether there is an illegal code in the file 1 1 0 selected by the file selection means 1 1 4.
  • file checking means 1 1 3 checks file 1 1 0 for virus infection, tampering or vulnerability.
  • virus infection check method it is known to perform pattern matching with the contents of file 110 based on a virus definition file.
  • a tampering check method a hash value of file 1 1 0 is created and stored, and the hash value is calculated again by this check. Judgment such as not It is known to do.
  • a vulnerability check method there is a method such as a pin check to determine whether or not an execution code that causes a buffer overflow or a stack overflow is included by analyzing the execution code.
  • These checks may be one of virus check, tamper check, vulnerability check, binary check, a combination of two or more, or all checks.
  • the file checking means 1 1 3 adds information indicating that the check has been completed to the table shown in FIG. 2 (step S 2 3).
  • FIG. 5 is an explanatory diagram showing an example of registering a table for selecting a file to be checked.
  • the file check means 1 1 3 checks the files A and files that are allowed to be written.
  • File B and File D which are only B and not allowed to be written, are not checked.
  • the information processing apparatus 1 may perform the processing from step S 2 1 to step S 23 on all the files 1 1 0 or a certain number of files 1 1 0 at regular intervals. 1 1 0 may be executed when accessed by system console such as open and close.
  • the check targets in the table shown in Figure 2 are “all files included in folder A” and are processed in the same way as above. For example, if writing is not permitted for “all files included in folder A”, the file check of “all files included in folder A” can be skipped (omitted).
  • each means in the block diagram shown in Fig. 1 is that the access control means 1 1 1 is O It can be configured to operate inside s, otherwise it can operate outside OS, etc.Access control means 1 1 Any one other than 1 can operate inside OS, and other can operate outside OS But all means may work outside o S.
  • the effect of the first embodiment will be described.
  • security can be ensured while reducing the load of file checking for detecting computer virus infection, falsification, and vulnerability. This is because it is determined whether or not the file check should be performed depending on whether or not the file has been checked and whether or not writing is prohibited. For example, it is possible to skip the file check if the file has already been checked or if Write is prohibited.
  • the executed file 1 1 0 is a file containing an execution code, and on the assumption that the file containing the execution code will not be written thereafter, the write is forcibly prohibited and the file is filed. The check process is skipped. However, writing to a file 110 that is write-protected from a specific process such as a privileged process may be described in the access control policy so that it is permitted.
  • FIG. 6 is a block diagram showing a configuration example of the file check apparatus (information processing apparatus 1) of the second embodiment. Compared to FIG. 1 showing the configuration example of the first embodiment, in the configuration example shown in FIG. 6, policy update means 1 16 and execution detection means 1 1 7 are added.
  • the means existing in the configuration example of the first embodiment have the same function in the second embodiment, and the description thereof is omitted.
  • the policy update means 1 1 6 and the execution detection means 1 1 7 added will be described.
  • the policy update means 1 1 6 can rewrite the contents of the access control policy held by the access control means 1 1 1.
  • the execution detection means 1 1 7 monitors that the file 1 1 0 is started as a process with an execution code. When the file 1 1 0 is started as a process, the execution detection means 1 1 7 notifies the file selection means 1 1 4 to that effect.
  • the operation of the second embodiment will be described with reference to the drawings. The processing in the first embodiment is also performed in the second embodiment. However, in the second embodiment, a new operation is added.
  • FIG. 7 is a flowchart showing an example of a new process in the second embodiment.
  • the execution detection means 1 1 7 monitors the system call of the OS processing means 1 0 9 issued from the process.
  • Execution detection means 1 1 7 can monitor system calls by hooking the system call table, using Linux using LSM (Linux Security Module) I / F, etc.
  • LSM Linux Security Module
  • the execution detection means 1 17 detects the behavior of the file 110 such as the file 110 being about to be executed (step S 3 1).
  • the execution detection means 1 1 7 detects the file type based on the detected behavior. For example, the execution detection means 1 1 7 obtains information that can uniquely identify the file 1 1 0 indicating which file 1 1 0 was started as a process from the argument of the system call, LSMIZF, or the original hook. (Step S 3 2) Information that can be uniquely identified includes, for example, an i-node number and a file path managed in the OS of the file 110. The execution detection means 1 1 7 determines that the file 1 1 0 is write-protected based on the detection result.
  • the policy update means 1 1 6 rewrites the access control policy so as to mean that write is prohibited for the executed file 1 1 0 ( Step S 3 3). That is, the policy update unit 1 1 6 registers the access information for prohibiting writing to the file 1 1 0 determined by the execution detecting unit 1 1 7 to be write-protected. If the file 1 1 0 is about to be written in the future due to the update of the access control policy, the access control means 1 1 1 returns an error to the write process.
  • the file selection means 1 1 4 updates the table (see Fig. 2) held by the file selection means 1 1 4 that indicates which files should be checked during file checking.
  • Start a new operation (step S 3 4).
  • the file selection means 1 1 4 uses information that can uniquely identify the file obtained in step S 3 2 as the target file information. If there is no such information, the process of step S 1 3 (see FIG. 3) in the first embodiment is performed to obtain file information. Then, in the table held by the file selection means 114, the information corresponding to the executed file 110 is updated to information that means write prohibition.
  • FIG. 8 is an explanatory diagram showing a registration example of a table for selecting a file to be checked. In other words, for file B, the status changes from Write permission to Write prohibition.
  • FIG. 8 is updated as shown in FIG.
  • FIG. 9 is an explanatory diagram showing a registration example of a table for selecting a file to be checked.
  • the file 110 was described as an executable file serving as a process, but it may be a library or a device driver.
  • file 1 1 0 is a library or device driver
  • the behavior of file 1 1 0, such as being executed or loaded (memory read) is detected and writing is prohibited, just like when it is an executable file.
  • file check processing can be skipped (omitted) in the same way.
  • the library is loaded when a process is started.
  • a library can be detected by embedding a unique hook in this timing or by using LSM I Z F.
  • the device driver can be detected using the same detection method as above when the device driver is loaded into the kernel using the insmod command.
  • the normal The load of the check is automatically skipped for files containing executable code that are not considered to be updated or written by the user, so that computer virus infection, tampering, or vulnerability detection is automatically skipped. Can be reduced.
  • FIG. 10 is a block diagram illustrating a configuration example of a file check apparatus (information processing apparatus 1) according to the third embodiment. Compared to FIG. 6 showing the configuration example of the second embodiment, in the configuration example shown in FIG. 10, the execution detection means 1 1 7 is eliminated, and the write prohibition request means 1 1 8 is added.
  • the means existing in the configuration example of the second embodiment have the same function in the third embodiment, and the description thereof is omitted.
  • the added Write prohibition request means 1 1 8 will be described below.
  • the write prohibition request means 1 1 8 provides an API for prohibiting writing of the file 1 1 0 from the process to the OS processing means 1 0 9. That is, the process writes the final 1 1 0 to the write prohibition request means 1 1 8 by executing the API. You can request to ban.
  • the write prohibition request means 1 1 8 determines that the file 1 1 0 is write-protected when a process requests that the file 1 1 0 be write-protected.
  • Write prohibition request means 1 1 8 designates the file 1 1 0 that is determined to be write-protected to policy update means 1 1 6, and the access control policy held by the access control means 1 1 1 The contents can be rewritten.
  • FIG. 11 is a flowchart illustrating an example of processing in the third embodiment.
  • the process calls A P I which can request write prohibition, and issues a request to prohibit write for file 1 1 0. This request is notified to the write prohibition request means 1 1 8 via the OS processing means 1 0 9.
  • Write prohibition request means 1 1 8 checks whether the calling process is a privileged process or whether the specified file 1 1 0 is generated by the calling process (step S 4 1) . That is, the write prohibition request unit 1 1 8 determines whether or not the file 1 1 0 can be write prohibition in step S 4 1. For example, if the calling process is a privileged process, or if the specified file 1 1 0 is generated by the calling process, the Write prohibition request means 1 1 8 sets the file 1 1 0 to Judge that writing can be prohibited.
  • step S 4 if the calling process is a privileged process, or if the specified file 1 1 0 is created by the calling process (Y es), go to step S 4 2, Otherwise (N o), the process is terminated.
  • steps S 4 2 to S 4 4 for the file 1 1 0 specified in the process are the same as those in the second embodiment shown in FIG. 7 from step S 3 2 to step S 3 4. This is the same as the processing performed on the file 1 1 0 executed in step 1, so the explanation is omitted here.
  • File selection means 1 1 4 The table held by 4 is as shown in Fig. 2, and the file B shown in that table is write-protected by the API, and step S 4 1 2 to step S44, the table shown in FIG. 2 is updated to the table shown in FIG. In other words, for File B, the status changes from Write permission to Write Prohibition.
  • step S 21 to step S 23 3 in the first embodiment is executed
  • the table shown in FIG. 8 is updated as shown in FIG.
  • file B is excluded from the file check processing target.
  • a process can request that a file be write-protected.
  • the file 110 when the file 110 is a file for backup purposes or the like, it is used as a write-prohibited file, and the file 110 is a skip target of the file check process. Operations other than write prohibition, such as deletion of file 1 1 0, are limited to the process that generated file 1 1 0, another process generated from the execution code that is the source of that process, or a process that has been granted privileges An access control policy may be described to allow it.
  • FIG. 12 is a block diagram showing a configuration example of a file apparatus (information processing apparatus 1) according to the fourth embodiment. Compared to FIG. 6 showing an example of the formation of the second embodiment, in the configuration example shown in FIG. 12, the execution detection means 1 1 7 is eliminated, and a new file detection means 1 1 9 is added.
  • the means existing in the configuration example of the second embodiment have the same function in the fourth embodiment, and the description thereof is omitted.
  • the added new file detection means 1 1 9 will be described below.
  • New file detection means 1 1 9 detects that a process creates a new file. In particular, it detects the generation of files for backup purposes, such as files that combine multiple files or compressed files. That is, the new file detection means 1 19 detects the file type based on the content of the file. When the generation of the file to be backed up 1 1 is detected, a new file The detection means 1 1 9 determines that the file 1 1 0 is write-protected based on the detection result. The new file detection means 1 1 9 designates the file 1 1 0 determined to be write-protected to the policy update means 1 1 6 and enters the contents of the access control policy held by the access control means 1 1 1 It can be changed.
  • the fourth embodiment it is possible to skip file checking for detecting computer virus infection, falsification, and vulnerability for files that can only be written once, and to reduce the load of that check.
  • This provides the process with an API that can request that the process that creates the file write-protect the file, update the access control policy for the file specified in the API, and check the file. This is because the file is updated with information indicating that writing is prohibited in the table indicating whether or not to execute.
  • FIG. 13 is a flowchart illustrating an example of processing in the fourth embodiment.
  • the process creates a new file for backup purposes.
  • the creation of a new file is realized by the system calls open, write and close.
  • the new file detection 1 1 9 is notified via the S processing means 1 0 9.
  • the new file detection means 1 1 9 determines whether the file is a compressed file or a compressed file by using the contents of the generated file 1 1 0 or the extension (eg tar, zip). S 5 1). That is, the new file detection means 1 19 determines whether or not the file 1 1 0 can be write-protected in step S 51. For example, when the file 1 1 0 is a file in which a plurality of files are combined or a compressed file, the new file detection means 1 1 9 determines that the file 1 1 0 can be prohibited from being written.
  • step S51 if the generated file 1 1 0 is a file or a compressed file (Y es), go to step S 52, otherwise (N o), The process ends.
  • step S 5 2 to S 5 4 for the generated file 1 1 0 are processed from step S 3 2 to step S 3 4 of the second embodiment shown in FIG. This is the same as the process performed on the file 1 1 0 executed in the above process, so the explanation is omitted here.
  • File selection means 1 1 The table held by 4 is shown in Fig. 2, and file B shown in that table (initially file B may not be listed in Fig. 2) is newly created However, when the processing related to step S 51 to step S 54 is performed, the table shown in FIG. 2 is updated as the table shown in FIG. In other words, for File B, it becomes a state where Write is prohibited.
  • step S 21 to step S 23 in the first embodiment
  • the table shown in FIG. 8 is updated as shown in FIG.
  • file B is excluded from the file check processing target.
  • file checks that automatically detect computer virus infection, falsification, and vulnerabilities are automatically skipped for files that are not expected to be used for a long period of time. Can be reduced.
  • FIG. 14 is a functional block diagram showing a minimum configuration example of the file checking device (information processing device 10) according to the present invention.
  • the information processing apparatus 10 illustrated in FIG. 14 includes an access control means 1 1, a file selection means 14, and a file check means 13.
  • Access control means 1 1 controls access to files from processes.
  • the file selection means 14 selects a file that is permitted to be written by the access control by the access control means.
  • the file check means 1 3 performs a file check to determine whether there is an illegal code in the file selected by the file selection means 1 4.
  • the file check means 1 3 performs a file check on the file selected by the file selection means 1 4.
  • the file checking means 13 does not check the files that are not selected by the file selecting means 14. Therefore, it is possible to reduce the load on file checking.
  • the file that is not selected by the file selection means 14 is a file for which writing is not permitted, and access control is performed by the access control means 11 1, so that the risk of falsification is low.
  • each embodiment of the present invention can achieve the object of the present invention by including the following configuration.
  • the first file check device of the present invention includes a file check means, an access control means for forcibly controlling the file as write-prohibited, a file that is write-protected by the access control means, and a write-prohibited file. It consists of file selection means that selects files that are not checked by the file check means.
  • the second file checking apparatus of the present invention recognizes that an executable file includes an execution code by means for detecting the execution behavior of the executable file, and the access control means makes the writing prohibition.
  • Policy update means that rewrites the access control policy so that the file is forcibly prohibited from being written by the policy update means, and a file that decides to skip the file check process if Write is prohibited and the file is checked. Consists of selection means.
  • the third file checking device of the present invention provides an API that can designate a file as write-prohibited, and includes policy update means for rewriting the access control policy so that the specified file is write-prohibited by the access control means. If the file check is prohibited and the file is checked, the file selection means decides to skip the file check process. By adopting such a configuration, a file that can skip the final check is automatically searched, and the file is treated as a skip target, so that only a minimum necessary check is performed on a relatively weak computer. But you can achieve the goal of completing the file check at high speed.
  • the fourth file checking apparatus of the present invention monitors the generation of a new file and forcibly writes it by using a new file detection means for discriminating the file type and the type IJ of the generated file.
  • the policy update means rewrites the access control policy so that it is prohibited, and the file selection means that decides to skip the file check process if write is prohibited and the file check is performed.
  • a file check device for detecting illegal codes contained in a file, and an access control means for controlling access from the process to the file (for example, realized by the access control means 1 1 1)
  • a file selection means for example, realized by the file selection means 1 1 4) that selects a file that is permitted to be written by the access control by the access control means, and a file in the file selected by the file selection means.
  • a file check device comprising a file check means (for example, realized by file check means 1 1 3) for performing a file check for determining whether or not there is an illegal code.
  • the file checking device includes a virus checking device, a falsification checking device, a vulnerability checking device, a binary checking device, a combination of two or more, or all of them.
  • the file check apparatus configured as described above can execute one or more of file check among virus check, falsification check, vulnerability check, and binary check.
  • a file checking device that selects only files that are permitted to be written and are not checked by the file checking means.
  • the file check apparatus configured as described above can omit checking of files that have already been file checked, and can further reduce the load on the file check.
  • Judgment means for judging that a file is write-protected (for example, realized by execution detection means 1 1 7 and new file detection means 1 1 9) and write-protection of the file in the access information held by the access control means
  • an access information updating means for example, realized by policy updating means 1 1 6.
  • the file check device configured as such can detect the type of the file based on the behavior of the file and prohibit the writing of the file, thereby further reducing the load on the file check.
  • the detection means is a file check device that detects the type of file by detecting the start of a file containing executable code or reading into the memory of a library or device driver as the behavior of a file.
  • the detection means (for example, realized by the new file detection means 1 1 9) is a file check device that detects the file type based on the contents of the file.
  • the file check apparatus configured as described above can further reduce the load on the file check by detecting the type of the file based on the contents of the file and prohibiting the file from being written.
  • the file checking device detects the file type by determining whether the detection means is a file or a compressed file in which multiple files are combined.
  • a file check device provided with a prohibition request means (for example, realized by Write prohibition request means 1 1 8) that enables a process to request that a file be write-protected.
  • a file check device so configured can request that the process write-protect the file.
  • the present invention has been described according to the embodiment, but the present invention is not limited to this, and can be freely changed without departing from the gist of the invention.

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Software Systems (AREA)
  • Theoretical Computer Science (AREA)
  • Computer Hardware Design (AREA)
  • Physics & Mathematics (AREA)
  • General Engineering & Computer Science (AREA)
  • General Physics & Mathematics (AREA)
  • Storage Device Security (AREA)

Abstract

　ファイル内に含まれた不正コードを検出するファイルチェック装置であって、プロセスからファイルへのアクセスを制御するアクセス制御手段と、アクセス制御手段によるアクセス制御によって書込み許可されているファイルを選択するファイル選択手段と、ファイル選択手段が選択したファイル内の不正コードの有無を判定するファイルチェックを行うファイルチェック手段とを備える。

Description

ファイルチェック装置、 ファイルチェックプログラム
およびファイルチェック方法 技術分野：
本発明は、 コンピュータウィルスに感染したファイルあるいは悪意あるコード
Re- に改竄されたファイルを検知することを目的とした、 アクセス制御と連動するフ アイルチェック装置、 ファイルチエツ
Figure imgf000003_0001
田 ユック方法 にに関関しし、、 フファァイイルルチチェェッックク装装置置、、 フファァイイルルチチェェッッククププロロ
Figure imgf000003_0002
エエッックク方方法法にに関関すするる。。 背背景景技技術術：：
悪悪意意ああるる利利用用者者おおよよびびププロロググララムムななどどフファァイイルルのの改改竄竄、、 そそししてて、、 ココンンピピュューータタ ウウィィルルスス感感染染にによよるる被被害害はは增增加加ししてていいるる。。 改改竄竄検検知知のの方方法法ととししててはは、、 一一方方向向ハハツツ シシュュ関関数数をを用用いいててフファァィィルルののハハッッシシュュ値値をを予予めめ計計算算ししてて記記憶憶ししてておおきき、、 改改竄竄チチェェ ッッククししたたいいととききにに再再びびハハッッシシュュ値値をを計計算算しし、、 以以前前ののハハッッシシュュ値値とと同同じじででああるるかかどど ううかかをを判判断断すするる等等のの方方法法ががよよくく知知らられれてていいるる。。 ここのの方方法法でではは、、 チチェェッックク時時にに常常にに ハハッッシシュュ値値をを計計算算すするる必必要要おおああるる。。
ままたた、、 フファァイイルルのの改改竄竄ななどどののよよううななフファァイイルルにに対対すするる不不正正ななアアククセセススをを防防止止すす るる技技術術ととししてて、、 アアププリリケケーーシショョ??シシププロロググララムムががアアククセセスス可可能能ななフファァイイルルななどどののリリ ソソーーススおおよよびび機機能能へへののァァククセセススをを制制御御すするる方方法法ががああるる。。 例例ええばば、、 アアププリリケケーーシショョ ンンププロロググララムム毎毎にに利利用用ででききるる機機能能をを規規定定ししたたセセキキュュリリテティィポポリリシシデデーータタベベーーススをを 持持ちち、、 そそののアアププリリケケーーシショョンンププロロググララムムがが利利用用ででききるるリリソソーーススをを限限定定すするる方方法法がが ああるる。。
ここののアアククセセスス制制御御方方法法のの一一例例がが、、 「「SSEELLiinnuuxx 徹徹底底ガガイイドド」」 （（中中村村雄雄一一、、水水上上友友宏宏、、 上上野野修修ーー著著、、 日日経経 BB PP社社、、 22 00 00 44年年 33月月、、 pp pp .. 22 44〜〜44 11、、 pp pp .. 88 77，， 88 88 )) にに記記載載さされれてていいるる。。 ここのの文文献献にに記記載載さされれてていいるる方方法法はは、、 SSEELLiinnuuxx ((SSeeccuurriittyy EEnnhhaanncceedd LLiinnuuxx)) とと呼呼ばばれれ、、 注注目目さされれてていいるる。。 P C (パーソナルコンピュータ）等の情報処理装置に SELinux が導入されると、 rSELinux モジュール」 が Linux カーネルに組み込まれ、 「セキュリティ ·ポリ シ 'ファイル」という設定ファイルと、 「SELinux拡張コマンド」とが追加される。 プロセスがリソースにアクセスする際には、 必ず rSELinux モジュール」 を経 由し、 以下に述べるような手続きをとる。
第 1に、 プロセスは、 カーネルに対してリソースへのアクセス要求を出す。 第 2に、 カーネルはまず、 パーミツションのチェックを行う。 ここまでの手続きは 通常の Linuxの動作と同じである。第 3に、リソースへのアクセス要求が「SELinux モジュール」 に渡される。 rSELinuxモジユーノレ」 は 「セキュリティ 'ポリシ ' フ アイル」を参照し、アクセスが正当であるか否かをチェックする。その際、 SELinux 独自のアクセス制御が行われる。 第 4に、 アクセスが正当である場合、 プロセス はリソースにアクセスする。
また、 コンピュータウィルスに感染したファイルのチェック方法として、 コン ピュータウィルスとなる不正コードまたは不正データのパターンを集めたウィル ス定義ファイル （ウィルスチェックデータとも呼ばれる） と、 不正コードのチェ ック対象となる実行プログラムまたはデータとのパターンマッチングを行って、 コンピュータウィルスを含んでいるか否かを判断する方法がある。
コンピュータウィルスの数と種類は増え続けているため、 ウィルス定義フアイ ルはコンピュータウィルスのチェックのために絶え間なレ、更新と増強を必要とし ている。 ウィルス定義ファイルの增強に伴ってウイノレス定義フアイノレ内のパター ンデータが肥大化している。 このような状況の中、 携帯電話機のような比較的非 力な （処理能力が低い） コンピュータもコンピュータウィルスに感染した例があ り、 すべてのコンピュータでコンピュータウィルスに関してのチェックをするこ とが必要となっている。 しかし、 肥大化したウィルス定義ファイルに含まれるす ベてのコンピュータウィルスのパターンについてチェックすることは負荷が大き い。
このようなチェックによる負荷を軽減する方法がいくつか存在している。 関連 するファイルチェックの一例が、 特開 2 0 0 7— 3 4 6 2 3号公報に記載されて いる。 特開 2007— 34623号公報に記載されている方式では、 ウィルスチエツ クデータを更新する際、 更新前ウィルスチェックデータと追加ウィルスチェック データとを区別して記憶し、 更新後チェック済データに対しては、 ウィルスチェ ックを実行しなレ、。 また、 更新前チェック済データに対しては、 追加ウィルスチ エックデータのみを使用してウィルスチェックを実行し、 未チエックデータに対 しては、 更新前ウィルスチェックデータおよび追カ卩ウィルスチェックデータを使 用してウィルスチェックを実行する。
関連するファイルチヱックの他の例が、 特開 2007— 65810号公報に記 載されている。 特開 2007-65810号公報に記載されている方式では、 ュ 一ザ端末と接続されるサーバは、 検査定義ファイルを保持し、 脅威の発生に応じ てファイルを更新する。 そして、 データをサーバに登録する際に、 データに対す る第 1の検査を実行する。 サーバは、 データをユーザ端末に送信する際、 第 1の 検査より後にフアイルが更新されており、 フアイルにおいて更新されている脅威 の発生推定日時が、 データがサーバに登録された日時よりも遅い場合に、 フアイ ルを用いてデータに対する第 2の検査を実行する検査部を備える。 このような構 成を有することにより、 検查定義ファイルが更新されても、 全てのデータを再検 査する必要がない。
関連するファイルチェックのさらに他の例が、 特開 2004— 199213号 公報に記載されている。 特開 2004— 19921 3号公報に記載されている方 式では、 ホスト計算機上の CPUが管理するファイルシステムに最終スキャン日 時と最終更新者の各情報を暗号ィヒして付加し、 その情報に応じてホストとスキヤ ンサーバが連携して動作する。 最終スキャン日時よりも古いファイルのスキャン を省略することでファイルアクセスを高速化する。
関連するファイルチェックのさらに他の例が、 特開 2003— 216445号 公報に記載されている。 特開 2003— 216445号公報に記載されている方 式では、 FATに格納されたデータリス トを用いて、 1回目にウィルスチェック が済んだファイルのデータにチェック済みのフラグを付けておき、 2回目は前述 のフラグが付いていないフアイルのデ一タのみについてウイルスチェックを行う ようにする。 関連するファイルチヱックのさらに他の例が、 特開 2 0 0 3— 1 9 6 1 1 1号 公報に記載されている。 特開 2 0 0 3— 1 9 6 1 1 1号公報に記載されている方 式では、 ウィルスチェックを実施した際、 ウィルスチェック結果ファイル及びゥ ィルスチェック署名を作成し、 次回のウィルスチェックでは、 これらの情報を参 照することにより、 最適なウィルスチェック処理を行うことを可能とする。 発明の開示：
発明が解決しようとする課題
フアイルの改竄およびウィルスチェックにおける関連する技術は、 どれか 1つ 使用すればファイルに関するセキュリティを確保可能となるものではない。 改竄 チェックやウィルスチェックは、 不正なファイルの検知のために使用される。 ま た、 アクセス制御は、 アプリケーションプログラムから生成されるプロセスが悪 意ある利用者に乗っ取られた場合に、 そのプロセスの行動範囲やさまざまなリソ ースへのアクセス範囲を制限し、 被害を最小限におさえることを目的として使用 される。 よって、 情報処理装置において、 これらの関連する技術を複数組み合わ せて使用することで、様々な脅威を排除し、セキュリティを確保することになる。
しかし、 それぞれの技術に対して、 改竄チェック対象ファイル、 ウィルスチェ ック対象フアイルおよびアクセス制御対象フアイルが存在することになるが、 そ れらがすべて同じファイルである場合、 それぞれの技術を用いて同じファイルを チェックすることになり冗長である。
また、 チェック対象のファイルの中には、 アクセス制御により書き込みを禁止 とされ、 改竄されない、 ウィルス感染が不可能なファイルもある。 このようなフ アイルでさえ、 ウィルスチェックによるパターンマッチング処理や、 改竄チェッ クによるハッシュ値計算が行われ、 無駄なオーバーへッドと無駄な電力とを消費 することになる。
そこで、 本発明は、 アクセス制御と連携し、 脆弱性、 改竄またはコンピュータ ウィルス感染に関するファイルのチェックに伴う冗長な処理を省き、 必要最低限 のチェックのみを実施することでチェックに関係する負荷を軽減することができ るフアイルチェック装置、 フアイルチェックプログラムおよびフアイルチェック 方法を提供することを目的とする。 課題を解決するための手段
本発明によるファイルチェック装置は、 ファイル内に含まれた不正コードを検 出するファイルチェック装置であって、 プロセスからファイルへのアクセスを制 御するアクセス制御手段と、 アクセス制御手段によるアクセス制御によつて書込 み許可されているフアイルを選択するフアイル選択手段と、 フアイル選択手段が 選択したファイル内の不正コードの有無を判定するファイルチェックを行うファ ィルチェック手段とを備えたことを特徴とする。
本発明によるフアイルチエックプログラムは、 ファイル内に含まれた不正コ一 ドを検出するためのファイルチェックプログラムであって、 コンピュータに、 プ ロセスからフアイルへのアクセスを制御するァクセス制御処理と、 ァクセス制御 処理によるアクセス制御によって書込み許可されているファイルを選択するファ ィル選択処理と、 ファイル選択処理で選択したファイル内の不正コードの有無を 判定するファイルチェックを行うファイルチ -ック処理とを実行させることを特 徴とする。
本発明によるファイルチェック方法は、 ファイル内に含まれた不正コードを検 出するファイルチェック方法であって、 プロセスからファイルへのアクセスを制 御するアクセス制御ステップと、 アクセス制御手段によるアクセス制御によって 睿込み許可されているフアイルを選択するフアイル選択ステツプと、 ファイル選 択ステップで選択したフアイル内の不正コ一ドの有無を判定するフアイルチェッ クを行うファイルチェックステップとを含むことを特徴とする。 発明の効果：
本発明によれば、 アクセス制御と連携し、 脆弱性、 改竄またはコンピュータゥ ィルス感染に関するフアイルのチェックに伴う冗長な処理を省き、 必要最低限の チェックのみを実施することでチェックに関係する負荷を軽減することができる という効果がある。
言い換えると、 本発明によれば、 比較的非力なコンピュータでも負荷をかけず にファイルチェックを高速に行うことができる 図面の簡単な説明：
図 1は第 1の実施形態のファイルチェック装置の構成例を示すプロック図であ る。
図 2はチェック対象のフアイルを選択するために作成する表の登録例を示す説 明図である。
図 3は情報処理装置が初めて稼動する場合の、 図 2に示す表を作成する処理の 例を示すフローチヤ一トである。
図 4はファイルチェックを行うか否かを判断する処理の例を示すフローチヤ一 トである。
図 5はチェック対象のファイルを選択するための表の登録例を示す説明図であ る。
図 6は第 2の実施形態のファイルチェック装置の構成例を示すプロック図であ る。
図 7は第 2の実施形態における新たな処理の例を示すフローチャートである。 図 8はチェック対象のフアイルを選択するための表の登録例を示す説明図であ る。
図 9はチェック対象のファ.ィル.を選択するための表の登録例を示す説明図であ る。 、
図 1 0は第 3の実施形態のファイルチェック装置の構成例を示すプロック図で ある。
図 1 1は第 3の実施形態における処理の例を示すフローチヤ一トである。 図 1 2は第 4の実施形態のファイルチェック装置の構成例を示すプロック図で ある。
図 1 3は第 4の実施形態における処理の例を示すフローチャートである。 図 1 4は本発明によるファイルチェック装置の最小の構成例を示す機能プ口ッ ク図である。 発明を実施するための最良の形態：
(実施形態 1 )
以下、 本発明の第 1の実施形態を図面を参照して説明する。 本発明は、 特に、 必要最低限のチエックのみを行うことで比較的非力なコンピュータ上でも髙速に チェックを完了することができるアクセス制御と連動するファイルチェック装置 に関する。 図 1は、 第 1の実施形態のファイルチェック装置 （情報処理装置 1 ) の構成例を示すプロック図である。 図 1に示す情報処理装置 1は、 C P U 1 0 1 と、 R AM I 0 2と、 R OM 1 0 3と、 H D D (ハードディスク装置） 1 0 4と、 外部メモリ 1 0 5と、出力装置 1 0 6と、通信装置 1 0 7と、入力装置 1 0 8と、 O S処理手段 1 0 9と、 ファイル 1 1 0と、 アクセス制御手段 1 1 1と、 ァクセ ス制御情報獲得手段 1 1 2と、 フアイルチェック手段 1 1 3と、 フアイル選択手 段 1 1 4と、 ファイル追加通知手段 1 1 5とを含む。
C P U 1 0 1は、 セントラル ·プロセッシング ·ュニッ 1、であり、 各手段ゃプ ログラムの実行制御および計算処理を行う。
R AM I 0 2は、 ランダム ·アクセス · メモリであり、 読書き可能な記憶装置 である。 各手段やプログラムの実行時に使用されるデータを読書きする場合に、 一時的な記憶領域となる。 実行コードそのものを一時的に記憶する場合もある。
R OM 1 0 3は、 リード ·オンリー ·メモリであり、 読込みのみ可能な記憶装 置である。 各手段やプログラムの実行コード、 データなどを記憶する。 情報処理 装置 1の電源をオフにしても、 R OM 1 0 3に記憶されている実行コードおよび データは消えない。
HD D 1 0 4は、 ハード ·ディスク · ドライブであり、 読書き可能な記憶装置 である。 R AM I 0 2と比べて読み込みおよび書き込み処理速度は遅いが、 大容 量であり、 情報処理装置 1の電源をオフにしても、 HD D 1 0 4に記憶されてい る実行コ一ドぉよびデータは消えない。
外部メモリ 1 0 5は、 情報処理装置 1に脱着可能な読書き可能な記憶装置であ る。 実行コードやデータなどのファイル 1 1 0を外部メモリ 1 0 5に記憶させ、 情報処理装置 1に装着することで情報処理装置 1に実行コードゃデータを追加す る。 出力装置 1 0 6は、 情報処理装置 1で実行された処理結果をディスプレイ表示 したり、 音声出力する。
通信装置 1 0 7は、 ファイル 1 1 0などの実行コードやデータを外部と通信し て情報処理装置 1に取り込む。
入力装置 1 0 8は、ユーザ等による新たな処理の実行を依頼するためのキー（ボ タン） 操作や、 音声入力などにより、 情報を情報処理装置 1に取り込む。
O S処理手段 1 0 9は、 O S (オペレーティングシステム） が行う処理を実行 する。 O S処理手段 1 0 9は、 実行コードを含むファイル 1 1 0から生成される プロセスが呼び出すシステムコールの処理を行う。また、 O S処理手段 1 0 9は、 ファイル 1 1 3などの資源を管理している。
ファイル 1 1 0は、 アプリケーションプログラムである実行コード、 ライブラ リ、 ユーザデータなどを含むデータファイルである。 なお、 ファイル 1 1 0は、 具体的には、 H D D 1 0 4に記憶される。
アクセス制御手段 1 1 1は、 実行コードを含むファイル 1 1 0から生成される プロセスが、 情報処理装置 1内の他のファイル 1 1 0や様々な機能等の資源にァ クセスする際に、 アクセス制限を行う。 アクセス制御手段 1 1 1が行うアクセス 制 = [卸の方式は、 D A C (任意アクセス制 P： Discretionary Access Control) 、 MA C (強制アクセス制御： Mandatory Access Control) またはその他の方式で あってもよい。 アクセス制御手段 1 1 1は、 ファイルへのアクセス可否を示すァ クセス情報に基づいて、 プロセスからファイルへのアクセスを制御する。 また、 アクセス制御手段 1 1 1は、 アクセス情報として、 例えば、 どんな資源について アクセス制御するのかを示すアクセス制御ポリシを保持していてもよい。
アクセス制御情報獲得手段 1 1 2は、 アクセス制御手段 1 1 1が保持している アクセス制御ポリシの情報を獲得し、 他の手段にその情報を提供する。 アクセス 制御情報獲得手段 1 1 2は、 場合によっては、 アクセス制御ポリシではなく、 O Sが管理しているプロセスや、 ファイル 1 1 0の情報に含まれるセキュリティの 情報を獲得し、 他の手段にその情報を提供する。
ファイルチェック手段 1 1 3は、ファイル 1 1 0がウィルス感染していないか、 改竄されていないか、 脆弱性はないか等のチェックを行う。 ファイル選択手段 1 1 4は、 複数存在するファイル 1 1 0の中から、 どのファ ィル 1 1 0をチェックすべきかを示す表 (図 2参照) を作成し、 その表からチェ ック対象となるファイル 1 1◦を選択し、 選択したファイル 1 1 0を示す情報を ファイルチェック手段 1 1 3に伝える。 図 2は、 ファイル選択手段 1 1 4がチェ ック対象のフアイルを選択するために作成する表の登録例を示す説明図である。 図 2に示す表には、 例えば、 ファイルを識別可能な情報に対応付けて、 ファイル が Write禁止か否かを示す情報と、 ファイルチェック済みか否かを示す情報とが 登録されている。 図 2に示す表は、 例えば、 R AM I 0 2や H D D 1 0 4等の記 憶装置に記憶される。
ファイル追加通知手段 1 1 5は、 ファイル 1 1 0が新たに生成されたり、 情報 処理装置 1の外からファイル 1 1 0が持ち込まれた場合に、 その旨をファイル選 択手段 1 1 4に通知する。
なお、 ファイルチェック装置 （情報処理装置 1 ) は、 コンピュータで実現可能 であり、 ファイルチェック装置を構成する各構成要素、 すなわち、 O S処理手段 1 0 9、 ァクセス制御手段 1 1 1、 ァクセス制御情報獲得手段 1 1 2、 ファイル チェック手段 1 1 3、 ファイル選択手段 1 1 4およびファイル追加通知手段 1 1 5は、 コンピュータの処理装置 ( C P U 1 0 1 ) に上述した機能を実現させるた めのプログラムとして実現可能である。 ファイルチェック装置を構成する各構成 要素がコンピュータで実現可能であること、 およびプログラムとして実現可能で あることは、 第 1の実施の形態に限らず、 他の実施の形態でも同様である。
次に、図面を参照して第 1の実施形態の動作について説明する。前処理として、 ファイル選択手段 1 1 4が作成および参照する図 2に示す表を作成する手順を説 明する。 図 2に示す表を作成する手順には、 情報処理装置 1が初めて稼動する場 合とファイル 1 1 0が新たに生成された場合の 2つの場合がある。
まず、 情報処理装置 1が初めて稼動する場合に、 ファイル選択手段 1 1 4が図 2に示す表を作成する処理について説明する。 図 3は、 情報処理装置 1が初めて 稼動する場合の、図 2に示す表を作成する処理の例を示すフローチャートである。 まず、 情報処理装 * 1が起動すると、 ファイル選択手段 1 1 4は、 図 2に示す 表が存在するか否かを確認する （ステップ S 1 1 ) 。 もし、 表が存在すれば （Y e s ) , 処理を終了し、 表が存在しなければ （N o ) 、 ステップ S 1 2に進む。 ステップ S 1 1において図 2に示す表が存在しない場合 (N o ) 、 ファイル選 択手段 1 1 4は、 図 2に示す表を作成するために、 ファイル 1 1 0が存在するか 確認する (ステップ S 1 2 ) 。 ファイル 1 1 0が存在すれば (Y e s ) 、 ステツ プ S 1 3に進み、 ファイル 1 1 0が存在しなければ （N o ) 、 処理を終了する。 フアイル選択手段 1 1 4は、 O S処理手段 1 0 9からフアイル情報を獲得する
(ステップ S 1 3 ) 。 ステップ S 1 3において、 フアイル選択手段 1 1 4は、 フ アイル 1 1 0を一意に識別可能な情報を獲得する。 例えば、 ファイル選択手段 1 1 4は、 ファイル 1 1 0の配置場所 （パス） や、 Linux (登録商標） などの UNIX
(登録商標） 系 O Sにおける iノード情報などを O S処理手段 1 0 9から入力す る。
次に、 ファイル選択手段 1 1 4は、 アクセス制御情報獲得手段 1 1 2に問い合 わせ、 ステップ S 1 3で獲得したフアイル情報を元に、 ファイル 1 1 0について 書込みが禁止されているか等を示すアクセス情報を獲得する（ステップ S 1 4 )。 最後に、 ファイル選択手段 1 1 4は、 ステップ S 1 3で獲得したファイル 1 1 0の情報と、 ステップ S 1 4で獲得したファイル 1 1 0のアクセス情報とに基づ いて、 図 2に示す表にデータを追加する (ステップ S 1 5 ) 。
次に、 新しくファイル 1 1 0が生成された場合に、 ファイル選択手段 1 1 4が 図 2に示す表を作成する処理について説明する。
ファイル追加通知手段 1 1 5は、 プロセスから発行される O S処理手段 1 0 9 のシステムコールを監視している。 ファイル追加通知手段 1 1 5がシステムコ一 ルを監視する方法として、 システムコールテーブルをフックする方法や、 Linux であれば L S M (Linux Security Module ) I / Fなどを利用した方法や、 さら に、 システムコール内に独自フックを追加する方法が知られている。 . 新たなファイル 1 1 0が openシステムコ一ノレおょぴ closeシステムコールによ り作成されると、 ファイル追加通知手段 1 1 5は、 その旨をファイル選択手段 1 1 4に通知する。 その後、 ファイル選択手段 1 1 4は、 すでに説明したステップ S 1 3からステップ S 1 5の処理を実施し、 新しく生成されたファイル 1 1 0に ついての情報を、 図 2に示す表に追加する。 次に、 ウィルス感染チェック、 改竄チエックまたは脆弱性チエック等のフアイ ルチェックを行うか否かを判断する処理について説明する。 図 4は、 ファイルチ エックを行うか否かを判断する処理の例を示すフローチヤ一トである。図 4には、 1つのファイル 1 1 0について、 ウィルス感染、 改竄または脆弱性のチェックを 処理するフローチャートを示している。複数のファイル 1 1 0を処理する場合は、 図 4に示す処理をそれぞれのファィル 1 1 0について実施することになる。
まず、 ファイル選択手段 1 1 4は、 図 2に示す表を参照して、 ファイル 1 1 0 についてすでにファイルチェック手段 1 1 3によってチェック済みであるかどう かを確認する (ステップ S 2 1 ) 。 チェック済みであれば (Y e s ) 、 新たにチ ヱックする必要はないので処理を終了する。 チェックしていなければ （N o ) 、 ステップ S 2 2に進む。
次に、 フアイル選択手段 1 1 4は、 図 2に示す表を参照して、 ファイル 1 1 0 についてアクセス制御手段 1 1 1によって Write 許可されているかどうかを確認 する （ステップ S 2 2 ) 。 Write許可されていれば （Y e s ) 、 書き換わってい るかもしれないのでチェックが必要と判断し、 ステップ S 2 3に進む。 Write 許 可されていなければ （N o ) 、 そのファイル 1 1 0の内容は書き換わらないので 処理を終了する。 すなわち、 ファイル選択手段 1 1 4は、 ステップ S 2 1， S 2 2において、 図 2に示す表から、 ファイルチェック済みでなく、 かつ Write 許可 されているファイル 1 1 0を選択する。 なお、 Write 許可されているとは、 ファ ィル 1 1 0に対するアクセス制御の 1つであって、 例えば、 ファイル 1 1 0を更 新可能であることを意味する。
最後に、 ファイルチェック手段 1 1 3は、 ファイル選択手段 1 1 4が選択した ファイル 1 1 0内の不正コードの有無を判定するファイルチェックを行う。 例え ば、 ファイルチェック手段 1 1 3は、 ファイル 1 1 0についてウィルス感染、 改 竄あるいは脆弱性をチェックする。 ウィルス感染チェック方法の一例として、 ゥ ィルス定義ファイルをもとに、 ファイル 1 1 0の内容とのパターンマッチングを 実施することが知られている。 また、 改竄チェックの方法の一例として、 フアイ ル 1 1 0のハッシュ値を作成して保存しておき、 このチェックで再度ハッシュ値 を計算し、 保存しておいたハッシュ値と等しければ改竄されていない等の判定を することが知られている。 また、 脆弱性チェックの方法として、 バッファオーバ 一フロー、 スタックオーバーフローなどが発生する実行コードを含んでいないか を実行コードを解析することで判断するパイナリチェック等の方法などがあげら れる。 これらのチェックでは、 ウィルスチェック、 改竄チェック、 脆弱性チエツ ク、 バイナリチェックのうちの 1つや、 2つ以上の組み合わせ、 あるいはすべて のチェックを実施してもよい。 チェックが完了すると、 ファイルチェック手段 1 1 3は、 図 2に示す表にチヱック済みを意味する情報を追加する （ステップ S 2 3 ) 。
図 2に示す表をもとに、 すべてのファイル 1 1 0についてステップ S 2 1から ステップ S 2 3までの処理を実施した場合、 図 2に示されるファイル Aからファ ィノレ Dまでの 4つのフアイノレは、 すべてフアイル'チェック手段 1 1 3によってチ エックされる。 その結果、 図 2に示す表は、 図 5に示す表のように書き換えられ る。 図 5は、 チェック対象のファイルを選択するための表の登録例を示す説明図 である。 また、 図 5に示す表をもとにステップ S 2 1からステップ S 2 3までの 処理を実施した場合、ファイルチェック手段 1 1 3によってチェックされるのは、 Write 許可されているファイル Aとファイル Bのみであり、 Write 許可されてい ないファイル Cとファイル Dについては、 チェック処理されなレ、。
情報処理装置 1は、 ステップ S 2 1からステップ S 2 3までの処理を、 すべて のファイル 1 1 0や、 あるまとまった数のファイル 1 1 0について一定間隔で実 施してもよいし、 あるフアイノレ 1 1 0に open、 closeなどのシステムコ一ノレでァ クセスされた場合に実施してもよい。
また、図 2に示す表では、チェック対象として、ファイルを対象としている力 S、 あるフォルダに含まれるすべてのファイルに対して、 Write 禁止等の設定がァク セス制御ポリシに指定可能な場合、 図 2に示す表のチェック対象は、 「フォルダ Aに含まれるすべてのファイル」 が対象となり、 上記と同様に処理される。 例え ば、 「フォルダ Aに含まれるすべてのファイル」 について Write 許可されていな い場合には、 「フォルダ Aに含まれるすべてのファイル」 のファイルチェックを スキップ （省略） 可能となる。
図 1に示すプロック図における各手段の構成は、 アクセス制御手段 1 1 1が O s内で動作し、 それ以外は o s外で動作する等の構成でもよいし、 アクセス制御 手段 1 1 1以外のいずれか 1つが O S内で動作し、 それ以外は O S外で動作する 等の構成でもよいし、 すべての手段が o S外で動作してもよい。
次に、 第 1の実施形態の効果について説明する。 第 1の実施形態では、 コンビ ユータウィルス感染、 改竄、 脆弱性を検知するためのファイルチェックの負荷を 軽減しながらセキュリティを確保することができる。 これは、 ファイルチェック を実施すべきか否かを、 フアイルがチェック済みであるか否か、 および Write 禁 止となっているか否かに応じて判断するためである。 例えば、 そのファイルがす でにチェックされていたり、 Write 禁止となっていればファイルチェックをスキ ップ可能とするからである。
(実施形態 2 )
次に、 本発明の第 2の実施形態について図面を参照して説明する。 第 2の実施 形態では、 実行されたファイル 1 1 0は、 実行コードを含むファイルであって、 以後、実行コードを含むファイルは書き込みがされないということを前提として、 強制的に Write 禁止とし、フアイルチェック処理のスキップ対象とする。ただし、 特権を持つプロセスなど特定のプロセスから Write禁止されたファイル 1 1 0へ の書き込みは、 許可されるようにアクセス制御ポリシに記述されていてもよい。 図 6は、 第 2の実施形態のファイルチェック装置 （情報処理装置 1 ) の構成例 を示すプロック図である。 第 1の実施形態の構成例を示す図 1と比べると、 図 6 に示す構成例では、 ポリシ更新手段 1 1 6と、 実行検知手段 1 1 7とが追加され ている。
第 1の実施形態の構成例に存在する手段は、 第 2の実施形態でも同様の機能を もっているとして説明を省略する。 以下、 追加されているポリシ更新手段 1 1 6 と実行検知手段 1 1 7について説明する。
ポリシ更新手段 1 1 6は、 アクセス制御手段 1 1 1が保持するアクセス制御ポ リシの内容を書き換えることができる。
実行検知手段 1 1 7は、 ファイル 1 1 0が実行コードでプロセスとして起動す ることを監視する。 ファイル 1 1 0がプロセスとして起動した場合、 実行検知手 段 1 1 7は、 その旨をファイル選択手段 1 1 4に通知する。 次に、 図面を参照して第 2の実施形態の動作について説明する。 第 1の実施形 態における処理は、 第 2の実施形態でも実施される。 し力 し、 第 2の実施形態で は、 新たな動作が追カ卩されている。 図 7は、 第 2の実施形態における新たな処理 の例を示すフローチヤ一トである。
実行検知手段 1 1 7は、 プロセスから発行される O S処理手段 1 0 9のシステ ムコールを監視している。 実行検知手段 1 1 7がシステムコールを監視する方法 として、 システムコールテーブルをフックする方法や、 Linux であれば L S M (L inux Security Module ) I / Fなどを利用した方法や、 さらに、 システムコ一ノレ 内に独自フックを追加する方法が知られている。 これらの方法により、 execなど のプロセス起動に関するシステムコール、 L S M I / F、 または独自フックが 呼び出されたことを検知する。 このような方法により、 実行検知手段 1 1 7は、 ファイル 1 1 0が実行されようとしている等のファイル 1 1 0の振る舞いを検出 する (ステップ S 3 1 ) 。
実行検知手段 1 1 7は、 検出した振る舞いに基づいて、 ファイルの種別を検知 する。 例えば、 実行検知手段 1 1 7は、 どのファイル 1 1 0がプロセスとして起 動されたのかを示すファイル 1 1 0を一意に識別可能な情報を、システムコール、 L S M I Z F、 または独自フックの引数から獲得する (ステップ S 3 2 ) 一 意に識別可能な情報として、 例えば、 ファイル 1 1 0の O S内で管理されている iノード番号やファイルパス等がある。 実行検知手段 1 1 7は、 検知した結果に 基づいて、 ファイル 1 1 0は書込み禁止であると判断する。
その後、 実行されたファイル 1 1 0を一意に識別可能な情報に基づいて、 ポリ シ更新手段 1 1 6は、 実行されたファイル 1 1 0について Write禁止を意味する ようにアクセス制御ポリシを書き換える （ステップ S 3 3 ) 。 すなわち、 ポリシ 更新手段 1 1 6は、 実行検知手段 1 1 7が書込み禁止と判断したファイル 1 1 0 を書込み禁止とするアクセス情報を登録する。アクセス制御ポリシの更新により、 今後、 ファイル 1 1 0に対して書込みが行われそうになった場合、 アクセス制御 手段 1 1 1は、 書込み処理に対してエラーを返す。
最後に、 ファイル選択手段 1 1 4は、 フアイルチエック時にどのファイルをチ エックすべきかを示す、 ファイル選択手段 1 1 4が保持する表 （図 2参照） の更 新を行う (ステップ S 3 4 ) 。 ファイル選択手段 1 1 4は、 対象となるファイル 情報として、 ステップ S 3 2で得られたファイルを一意に識別可能な情報を使用 する。 その情報がない場合、 第 1の実施形態におけるステップ S 1 3 (図 3参照） の処理を行い、 ファイル情報を獲得する。 そして、 ファイル選択手段 1 1 4が保 持する表において、 実行されたファイル 1 1 0に対応する情報を Write禁止を意 味する情報に更新する。
ファイル選択手段 1 1 4が保持する表が図 2に示すものであって、 かつ、 その 表に示されるフアイル Bが実行され、 上記のステップ S 3 1からステップ S 3 4 に関する処理を実施した場合、 図 2に示す表は、 図 8に示す表のように更新され る。 図 8は、 チェック対象のファイルを選択するための表の登録例を示す説明図 である。 つまり、 ファイル Bに関して、 Write 許可から Write 禁止といった状態 になる。
さらに、第 1の実施形態におけるステップ S 2 1からステップ S 2 3の処理（図 4参照） を実行すると、 図 8に示す表は、 図 9に示すように更新される。 図 9は、 チェック対象のフアイルを選択するための表の登録例を示す説明図である。 その 後、 ステップ S 2 1からステップ S 2 3の処理 (図 4参照) を実行すると、 ファ ィル Bはファイルチェック処理の対象外となる。
第 2の実施形態では、 ファイル 1 1 0はプロセスとなる実行ファイルであると して説明したが、 ライブラリまたはデバイスドライバであってもよい。 ファイル 1 1 0がライブラリやデバイスドライバである場合も、 実行ファイルである場合 と同様に、 実行またはロード (メモリ読み込み) される等のファイル 1 1 0の振 る舞いを検知し、 Write 禁止を意味するアクセス制御ポリシを記述することで、 同様にファイルチェック処理をスキップ （省略） することが可能となる。
Linux であれば、 あるプロセス起動時にライブラリがロードされる。 このタイ ミングに独自フックを埋め込んでおくか、 L S M I Z Fを利用することで、 ラ ィブラリを検知可能である。 また、 Linux の場合、 insmodコマンドによりカーネ ル内にデバイスドライバをロードするタイミングにおいて、 上記と同様の検知方 法により、 デバイスドライバを検知可能となる。
次に、 第 2の実施形態の効果について説明する。 第 2の実施形態では、 通常の 使レ、方では更新およぴ書込みがされないと考えられる実行コードを含むファイル に対して、 自動的にコンピュータウィルス感染、 改竄あるいは脆弱性を検知する ためのファイルチェックをスキップするため、 チェックの負荷を軽減することが できる。 これは、 ファイルがプロセスとして起動され、 プロセスとして振る舞う ことを監視する実行検知手段を備え、 起動されたファイルを強制的に Write 禁止 となるようにアクセス制御のアクセス制御ポリシを更新し、 さらに、 ファイルチ エックを実施すべきかどうかを示す表を、 そのファイルを Write 禁止であるとい う情報に更新するからである。 つまり、 アクセス制御ポリシが変更されたら、 そ れに追従してファイルチェックをすべきかどうかを判断する表を更新するため、 ファイルチェック不可を軽減することができる。
(実施形態 3 )
次に、 本発明の第 3の実施形態について図面を参照して説明する。 第 3の実施 形態では、 ファイル 1 1 0を Write 禁止ファイルとして极ぅためにプロセスが W rite 禁止と指定可能な A P Iを用意し、ファイル 1 1 0をファイルチェック処理 のスキップ対象とする。 A P Iを利用可能なプロセスとして、 ファイル 1 1 0を 生成したプロセス、 そのプロセスの元となる実行コードから生成された別プ口セ ス、 または特権を与えられたプロセスなどの特定のプロセスに対してのみ A P I 利用を許可するようにアクセス制御ポリシが記述されていてもよい。 また、 A P Iが指定可能なアクセス制御として、 Write 禁止、 Write 許可などが考えられる。 図 1 0は、 第 3の実施形態のファイルチェック装置 （情報処理装置 1 ) の構成 例を示すブロック図である。 第 2の実施形態の構成例を示す図 6と比べると、 図 1 0に示す構成例では、 実行検知手段 1 1 7がなくなり、 Write 禁止要求手段 1 1 8が追加されている。
第 2の実施形態の構成例に存在する手段は、 第 3の実施形態でも同様の機能を もっているとして説明を省略する。 以下、 追加されている Write 禁止要求手段 1 1 8について説明する。
Write 禁止要求手段 1 1 8は、 プロセスから O S処理手段 1 0 9にフアイノレ 1 1 0を Write禁止とする A P Iを提供する。 すなわち、 プロセスは、 A P Iを実 行することにより、 Write 禁止要求手段 1 1 8に対し、 フアイノレ 1 1 0を Write 禁止にするよう要求することができる。 Write 禁止要求手段 1 1 8は、 プロセス からファイル 1 1 0を Write 禁止とする旨の要求があった場合に、 ファイル 1 1 0は書込み禁止であると判断する。 Write 禁止要求手段 1 1 8は、 ポリシ更新手 段 1 1 6に対し、 書込み禁止であると判断したファイル 1 1 0を指定して、 ァク セス制御手段 1 1 1が保持するアクセス制御ポリシの内容を書き換えさせること ができる。
次に、 図面を参照して第 3の実施形態の動作について説明する。 図 1 1は、 第 3の実施形態における処理の例を示すフローチャートである。
まず、 プロセスは、 Write 禁止を要求可能な A P Iを呼び出し、 ファイル 1 1 0について Write禁止とする要求を出す。 この要求は、 O S処理手段 1 0 9を経 由して Write 禁止要求手段 1 1 8に通知される。
Write 禁止要求手段 1 1 8は、呼び出し元のプロセスが特権プロセスであるか、 または、 指定されているファイル 1 1 0が呼び出し元プロセスが生成したもので あるかを確認する （ステップ S 4 1 )。すなわち、 Write 禁止要求手段 1 1 8は、 ステップ S 4 1において、 ファイル 1 1 0を Write禁止とすることができるか否 かを判断する。 例えば、 呼び出し元のプロセスが特権プロセスである場合や、 指 定されているファイル 1 1 0が呼び出し元プロセスが生成したものである場合に、 Write 禁止要求手段 1 1 8は、 ファイル 1 1 0を Write 禁止とすることができる と判断する。
ステップ S 4 1において、 呼び出し元のプロセスが特権プロセスである場合、 または、 指定されているファイル 1 1 0が呼び出し元プロセスが生成したもので ある場合 （Y e s ) 、 ステップ S 4 2に進み、 そうでなければ （N o ) 、 処理を 終了する。
プロセスに指定されたファイル 1 1 0についての以降のステップ S 4 2からス テツプ S 4 4の処理は、 図 7に示す第 2の実施形態のステップ S 3 2からステツ プ S 3 4までの処理で実行されたファイル 1 1 0に施した処理と同じであるので、 ここでは説明を省略する。
ファイル選択手段 1 1 4が保持する表が図 2に示すものであって、 かつ、 その 表に示されるファイル Bについて A P Iにより Write 禁止とし、 ステップ S 4 1 からステップ S 4 4に関する処理を実施した場合、 図 2に示す表は、 図 8に示す 表のように更新される。 つまり、 ファイル Bに関して、 Write許可から Write禁 止といった状態になる。
さらに、第 1の実施形態におけるステップ S 2 1からステップ S 2 3の処理（図 4参照) を実行すると、図 8に示す表は、図 9に示すように更新される。その後、 ステップ S 2 1からステップ S 2 3の処理 (図 4参照) を実行すると、 ファイル Bはファイルチェック処理の対象外となる。
次に、 第 3の実施形態の効果について説明する。 第 3の実施形態では、 プロセ スがファイルを書込み禁止とするよう要求することができる。
(実施形態 4 )
次に、 本発明の第 4の実施形態について図面を参照して説明する。 第 4の実施 形態では、 ファイル 1 1 0がバックアップ目的などのフアイルの場合に Write禁 止フアイノレとして极ぃ、 ファイル 1 1 0をファイルチェック処理のスキップ対象 とする。 ファイル 1 1 0の削除など、 Write 禁止以外の動作を、 ファイル 1 1 0 を生成したプロセス、 そのプロセスの元となる実行コードから生成された別プロ セス、 または特権を与えられたプロセスに限って許可するようにアクセス制御ポ リシが記述されていてもよい。
図 1 2は、 第 4の実施形態のファィルチ ック装置 （情報処理装置 1 ) の構成 例を示すブロック図である。 第 2の実施形態の搆成例を示す図 6と比べると、 図 1 2に示す構成例では、 実行検知手段 1 1 7がなくなり、 新規ファイル検知手段 1 1 9が追加されている。
第 2の実施形態の構成例に存在する手段は、 第 4の実施形態でも同様の機能を もっているとして説明を省略する。 以下、 追加されている新規ファイル検知手段 1 1 9について説明する。
新規ファイル検知手段 1 1 9は、 プロセスが新規にフアイルを生成することを 検知する。 特に、 複数のファイルを 1つにまとめたファイルまたは圧縮フアイノレ など、バックアップを目的としたフアイルを生成することを検知する。すなわち、 新規ファイル検知手段 1 1 9は、 ファイルの内容に基づいてファイルの種別を検 知する。 バックアップされるファイル 1 1 ◦の生成を検知すると、 新規ファイル 検知手段 1 1 9は、 検知した結果に基づいて、 ファイル 1 1 0は書込み禁止であ ると判断する。 新規ファイル検知手段 1 1 9は、 ポリシ更新手段 1 1 6に対し、 書込み禁止であると判断したファイル 1 1 0を指定して、 アクセス制御手段 1 1 1が保持するアクセス制御ポリシの内容を耆き換えさせることができる。
第 4の実施形態では、 書き込みが 1度だけ許されるようなファイルに対して、 コンピュータウィルス感染、 改竄、 脆弱性を検知するためのファイルチェックを スキップし、 そのチェックの負荷を軽減することができる。 これは、 ファイルを 生成するプロセスがそのファイルを Write 禁止とするよう要求可能な A P Iをプ 口セスに提供し、 A P Iで指定されたファイルに対してアクセス制御ポリシを更 新し、 さらに、 ファイルチェックを実施すべきかどうかを示す表において、 ファ ィルを Write 禁止であるという情報に更新するからである。
次に、 図面を参照して第 4の実施形態の動作について説明する。 図 1 3は、 第 4の実施形態における処理の例を示すフローチャートである。
まず、 プロセスがバックアップ目的に新規のファイルを生成する。 新規フアイ ルの生成は、 システムコール open, Write および closeなどで実現される。 新規 ファイルの生成については、 〇S処理手段 1 0 9を経由して新規ファイル検知 1 1 9に通知される。
新規ファイル検知手段 1 1 9は、 生成されたファイル 1 1 0の中身または拡張 子 （たとえば、 tar、 zip) など力 ら、 複数ファイルをまとめたファイルまたは圧 縮ファイルであるかどうか判断する (ステップ S 5 1 ) 。 すなわち、 新規フアイ ル検知手段 1 1 9は、 ステップ S 5 1において、 フアイノレ 1 1 0を Write 禁止と することができるか否かを判断する。 例えば、 ファイル 1 1 0が複数ファイルを まとめたファイルや圧縮ファイルである場合に、 新規ファイル検知手段 1 1 9は ファイル 1 1 0を Write 禁止とすることができると判断する。
ステップ S 5 1において、 生成されているファイル 1 1 0が複数ファイルをま とめたファイルまたは圧縮ファイルである場合 （Y e s ) 、 ステップ S 5 2に進 み、 そうでなければ （N o ) 、 処理を終了する。
生成されたファイル 1 1 0についての以降のステップ S 5 2からステップ S 5 4の処理は、 図 7に示す第 2の実施形態のステツプ S 3 2からステップ S 3 4ま での処理で実行されたファイル 1 1 0に施した処理と同じであるので、 ここでは 説明を省略する。
ファイル選択手段 1 1 4が保持する表が図 2に示すものであって、 かつ、 その 表に示されるファイル B (最初は図 2にはファイル Bが記載されていないかもし れない） について新規生成し、 ステップ S 5 1からステップ S 5 4に関する処理 を実施した場合、 図 2に示す表は、 図 8に示す表のように更新される。 つまり、 ファイル Bに関して、 Write禁止といった状態になる。
さらに、第 1の実施形態におけるステップ S 2 1からステップ S 2 3の処理（図 4参照） を実行すると、図 8に示す表は、図 9に示すように更新される。その後、 ステップ S 2 1からステップ S 2 3の処理 (図 4参照) を実行すると、 ファイル Bはファイルチェック処理の対象外となる。
次に、第 4の実施形態の効果について説明する。第 4の実施形態では、長期間、 使用されないと予想されるフアイルに対して、 自動的にコンピュータウィルス感 染、 改竄、 脆弱性を検知するためのファィルチェックをスキップし、 そのチェッ クの負荷を軽減することができる。 これは、 新規ファイルの生成を監視し、 ファ ィルの種類を判別する新規ファィル検知手段を備え、 生成されたフアイルを強制 的に Write禁止となるようにアクセス制御ポリシを更新し、 さらに、 ファイルチ エックを実施すべきかどうかを示す表を、 そのファイルを Write禁止であるとい う情報に更新するからである。 つまり、 ファイルの内容、 属性によって、 フアイ ルチェックをすべきかどうかを判断する表を更新するため、 ファイルチェック不 可を軽減することができる。
(実施形態 5 )
次に、 本発明の第 5の実施形態を図面を参照して説明する。 図 1 4は、 本発明 によるファイルチェック装置 （情報処理装置 1 0 ) の最小の構成例を示す機能ブ ロック図である。 図 1 4に例示する情報処理装置 1 0は、 アクセス制御手段 1 1 と、 ファイル選択手段 1 4と、 ファイルチェック手段 1 3とを備える。
アクセス制御手段 1 1は、 プロセスからファイルへのアクセスを制御する。 フアイル選択手段 1 4は、 アクセス制御手段によるアクセス制御によって書込 み許可されているファイルを選択する。 ファイルチェック手段 1 3は、 ファイル選択手段 1 4が選択したファイル内の 不正コードの有無を判定するファイルチェックを行う。
ファイルチェック手段 1 3は、 フアイル選択手段 1 4が選択したフアイルを対 象としてファイルチェックを行う。 すなわち、 ファイルチェック手段 1 3は、 フ ァィル選択手段 1 4が選択しなかったファイルのチェックを行わない。そのため、 ファイルチェックにかかる負荷を軽減することができる。
また、 ファイル選択手段 1 4が選択しなかったファイルは、 書込み許可がされ ていないファイルであり、 アクセス制御手段 1 1によってアクセス制御されてい るため、 例えば改竄される危険性が低い。 このように、 本発明によれば、 フアイ ル選択手段 1 4が選択しなかったファイルのセキュリティも確保することができ る。
なお、 本発明の各実施形態は、 以下に示す構成を備えることにより、 本発明の 目的を達成することができる。
本発明の第 1のフアイルチェック装置は、 フアイルチェック手段とフアイルを Write 禁止と強制的に制御するアクセス制御手段と、 そのァクセス制御手段で Wr ite 許可となっているファイルと、 Write 禁止になっているがファイルチェック 手段によりファイルチェックされていないファイルを選び出すファイル選択手段 により構成される。 このような構成を採用し、 必要最低限のチェックのみを行う ことで比較的非力なコンピュータ上でも高速にファイルチェックを完了するとレ、 う目的を達成できる。
また、 本発明の第 2のファイルチェック装置は、 実行可能なファイルに関して は実行したという振る舞いを検知する手段により実行コードを含むファイルであ ると認識し、 アクセス制御手段が Write 禁止として极うようにポリシ更新手段に よりそのファイルを強制的に Write 禁止となるようにァクセス制御ポリシを書き 換えるポリシ更新手段と、 Write 禁止かつファイルチェックされていれば、 ファ ィルチェック処理をスキップすることを決定するフアイル選択手段により構成さ れる。 このような構成を採用し、 ファイルチェックをスキップ可能なファイルを 自動的に探し出し、 そのファイルをスキップ対象として扱うことにより、 必要最 低限のチエックのみを行うことで比較的非力なコンピュータ上でも高速にフアイ ルチェックを完了するという目的を達成できる。
また、 本発明の第 3のファイルチェック装置は、 ファイルを Write 禁止に指定 可能な APIを提供し、 指定されたファイルをアクセス制御手段により Write 禁止 となるようにアクセス制御ポリシを書き換えるポリシ更新手段と、 Write 禁止か つファイルチェックされていれば、 ファイルチェック処理をスキップすることを 決定するファイル選択手段により構成される。 このような構成を採用し、 フアイ ノレチェックをスキップ可能なファイルを自動的に探し出し、 そのファイルをスキ ップ対象として扱うことにより、 必要最低限のチェックのみを行うことで比較的 非力なコンピュータ上でも高速にファイルチェックを完了するという目的を達成 できる。
また、本発明の第 4のファイルチェック装置は、新規ファィルの生成を監視し、 フアイルの種類を判別する新規フ了ィル検知手段とその生成されたファィルの種 另 IJにより、 強制的に Write 禁止となるようにアクセス制御ポリシを書き換えるポ リシ更新手段と、 Write 禁止かつファイルチェックされていれば、 ファイルチェ ック処理をスキップすることを決定するフアイル選択手段により構成される。 こ のような構成を採用し、 フアイルチエックをスキップ可能なファイルを自動的に 探し出し、 そのファイルをスキップ対象として扱うことにより、 必要最低限のチ エックのみを行うことで比較的非力なコンピュータ上でも高速にフアイルチェッ クを完了するという目的を達成できる。
なお、 上記に示した実施形態では、 以下の （1 ) 〜 （8 ) に示すような特徴的 構成を備えたファイルチェック装置が示されている。
( 1 ) フアイル内に含まれた不正コ一ドを検出するファイルチェック装置であ つて、プロセスからフアイルへのァクセスを制御する了クセス制御手段 (例えば、 アクセス制御手段 1 1 1で実現される) と、 アクセス制御手段によるアクセス制 御によつて書込み許可されているフアイルを選択するフアイル選択手段（例えば、 ファイル選択手段 1 1 4で実現される） と、 ファイル選択手段が選択したフアイ ノレ内の不正コードの有無を判定するファイルチェックを行うファイルチェック手 段 （例えば、 ファイルチェック手段 1 1 3で実現される） とを備えたことを特徴 とするファイルチヱック装置。 ( 2 ) ファイルチェック手段は、 ウィルスチェック手段、 改竄チェック手段、 脆弱性チェック手段、 バイナリチェック手段のいずれか 1つ、 2つ以上の組み合 わせ、 またはすベてを含むファイルチェック装置。 そのように構成されたフアイ ルチェック装置は、 ウィルスチェック、 改竄チェック、 脆弱性チェック、 パイナ リチェックのうちのいずれか 1つ以上のファイルチェックを実行することができ る。
( 3 ) ファイル選択手段は、 書込み許可されていて、 かつ、 ファイルチェック 手段によってファイルチェックされていないファイルのみを選択するファイルチ エック装置。 そのように構成されたファイルチェック装置は、 ファイルチェック 済みのファイルのチェックを省くことができ、 ファイルチェックにかかる負荷を より軽減することができる。
( 4 ) ファイルの振る舞いを検知し、 検知した振る舞いに基づいてファイルの 種別を検知する検知手段 （例えば、 実行検知手段 1 1 7で実現される） と、 検知 手段が検知した結果に基づいて、 ファイルを書込み禁止と判断する判断手段 （例 えば、 実行検知手段 1 1 7、 新規ファイル検知手段 1 1 9で実現される） と、 ァ クセス制御手段が保持しているアクセス情報においてフアイルを書込み禁止に更 新するアクセス情報更新手段 （例えば、 ポリシ更新手段 1 1 6で実現される） と を備えたファイルチェック装置。そのように構成されたファイルチェック装置は、 ファイルの振る舞いに基づいてファイルの種別を検知し、 ファイルを書き込み禁 止とすることにより、 ファイルチェックにかかる負荷をより軽減することができ る。
( 5 ) 検知手段は、 ファイルの振る舞いとして、 実行可能なコードを含むファ ィルの起動、 またはライプラリもしくはデバイスドライバのメモリへの読み込み を検知して、 フアイルの種別を検知するフアイルチェック装置。
( 6 ) 検知手段 （例えば、 新規ファイル検知手段 1 1 9で実現される） は、 フ アイルの内容に基づいてファイルの種別を検知するファイルチェック装置。 その ように構成されたファイルチェック装置は、 ファイルの内容に基づいてファイル の種別を検知し、 ファイルを書き込み禁止とすることにより、 ファイルチェック にかかる負荷をより軽減することができる。 ( 7 ) 検知手段は、 ファイルの内容として、 複数ファイルをまとめたファイル または圧縮フアイルであることを判断して、 フアイルの種別を検知するフアイル チェック装置。
( 8 ) プロセスがファイルを書込み禁止とするよう要求可能にする禁止要求手 段 （例えば、 Write禁止要求手段 1 1 8で実現される） を備えたファイルチエツ ク装置。 そのように構成されたファイルチェック装置は、 プロセスがファイルを 書込み禁止とするよう要求することができる。
以上、 実施の形態に即して本発明について説明したが、 本発明はこれに限定さ れるものではなく、 発明の趣旨を逸脱しない範囲内において自由に変更すること が可能である。
この出願は、 2 0 0 7年 1 0月 9日に出願された日本出願特願第 2 0 0 7 - 2 6 3 0 5 5号を基礎とする優先権を主張し、その開示のすべてをここに取り込む。

Claims

請 求 の 範 囲
1 . ファイル内に含まれた不正コードを検出するファイルチェック装置であつ て、
プロセスからフアイルへのァクセスを制御する了クセス制御手段と、 前記アクセス制御手段によるアクセス制御によつて書込み許可されているファ ィルを選択するフアイル選択手段と、
前記ファイル選択手段が選択したファイル内の不正コードの有無を判定するフ アイルチェックを行うファイルチェック手段と
を備えたことを特徴とするファイルチェック装置。
2 . ファイルチェック手段は、 ウィルスチェック手段、 改竄チェック手段、 脆 弱性チェック手段、 バイナリチェック手段のいずれか 1つ、 2つ以上の組み合わ せ、 またはすベてを含む請求項 1に記載のファイルチェック装置。
3 . ファイル選択手段は、 書込み許可されていて、 かつ、 ファイルチェック手 段によってファイルチェックされていないファイルのみを選択する
請求項 1または請求項 2記載のファイルチェック装置。
4 . ファイルの振る舞いを検知し、 検知した振る舞いに基づいてファイルの種 別を検知する検知手段と、
前記検知手段が検知した結果に基づいて、 フアイルを書込み禁止と判断する判 断手段と、
アクセス制御手段が保持しているアクセス情報においてフアイルを書込み禁止 に更新するアクセス情報更新手段と
を備えた請求項 1から請求項 3のうちのいずれか 1項に記載のファイルチエツ ク装置。
5 . 検知手段は、 ファイルの振る舞いとして、 実行可能なコードを含むフアイ ルの起動、 またはライブラリもしくはデパイスドライバのメモリへの読み込みを 検知して、 フアイルの種別を検知する請求項 4記載のファイルチェック装置。
6 . 検知手段は、 ファイルの内容に基づいてファイルの種別を検知する請求項 4または請求項 5記載のフアイルチェック装置。
7 . 検知手段は、 ファイルの内容として、 複数ファイルをまとめたファイルま たは圧縮ファィルであることを判断して、 フアイルの種別を検知する請求項 6記 载のファイルチェック装置。
8 . プロセスがファイルを書込み禁止とするよう要求可能にする禁止要求手段 を備えた請求項 4から請求項 7のうちのいずれか 1項に記載のファイルチェック 装置。
9 . ファイル内に含まれた不正コードを検出するためのファイルチェックプロ グラムであって、
コンピュータに、
プロセスからファイルへのアクセスを制御するアクセス制御処理と、 前記アクセス制御処理によるアクセス制御によつて書込み許可されているファ ィルを選択するフアイノレ選択処理と、
前記ファィル選択処理で選択したフアイル内の不正コ一ドの有無を判定するフ 了ィルチェックを行ぅフアイルチェック処理と
を実行させるためのファイルチェックプログラム。
1 0 . コンピュータに、
ファイルチェック処理で、 ウィルスチェック処理、 改竄チェック処理、 脆弱性 チェック処理、 バイナリチェック処理のいずれか 1つ、 2つ以上の組み合わせ、 またはすベてを含む処理を実行させるための
請求項 9に記載のフアイルチエックプログラム。
1 1 . コンピュータに、
ファイル選択処理で、 書込み許可されていて、 かつ、 ファイルチェック処理に よってファイルチェックされていないファイルのみを選択する処理を実行させる ための
請求項 9または請求項 1 0記載のファイルチェックプログラム。
1 2 . コンピュータに、
ファイルの振る舞いを検知し、 検知した振る舞いに基づいてファイルの種別を 検知する検知処理と、
前記検知処理で検知した結果に基づいて、 フアイルを書込み禁止と判断する判 断処理と、
アクセス制御手段が保持しているアクセス情報においてファイルを書込み禁止 に更新するアクセス情報更新処理と
を実行させるための請求項 9から請求項 1 1のうちのいずれか 1項に記载のフ アイノレチェックプログラム。
1 3 . コンピュータに、
検知処理で、 ファイルの振る舞いとして、 実行可能なコードを含むファイルの 起動、 またはライブラリもしくはデバイスドライバのメモリへの読み込みを検知 して、 ファイルの種別を検知する処理を実行させるための
請求項 1 2記載のフアイルチェックプログラム。
1 4 . コンピュータに、
検知処理で、 ファイルの内容に基づいてファイルの種別を検知する処理を実行 させるための
請求項 1 2または請求項 1 3記載のファイルチェックプログラム。
1 5 . コンピュータに、 検知処理で、 ファイルの内容として、 複数ファイルをまとめたファイルまたは 圧縮ファイルであることを判断して、 ファイルの種別を検知する処理を実行させ るための
請求項 1 4記載のファイルチェックプログラム。
1 6 . コンピュータに、
プロセスがフアイルを書込み禁止とするよう要求可能にする禁止要求処理を実 行させるための
請求項 1 2から請求項 1 5のうちのいずれか 1項に記載のファイルチェックプ 口クラム。
1 7 . ファイル内に含まれた不正コードを検出するファイルチェック方法であ つて、
プロセスからフアイノレへのァクセスを制御する了クセス制御ステップと、 前記ァクセス制御手段によるァクセス制御によつて書込み許可されているファ ィルを選択するフアイル選択ステツプと、
前記ファィル選択ステツプで選択したフアイル内の不正コ一ドの有無を判定す るファイルチェックを行うファイルチェックステップと
を含むことを特徴とするファイルチェック方法。
1 8 . フアイノレチェックステツプで、 ウイノレスチェック、 改竄チェック、 脆弱 性チェック、 バイナリチェックのいずれか 1つ、 2つ以上の組み合わせ、 または すべてを用いる請求項 1 7に記載のフアイルチヱック方法。
1 9 . ファイル選択ステップで、 書込み許可されていて、 かつ、 ファイルチェ ックステップでフアイノレチェックされていないファイルのみを選択する
請求項 1 7または請求項 1 8記載のファイルチェック方法。
2 0 . ファイルの振る舞いを検知し、 検知した捩る舞いに基づいてファイルの 種別を検知する検知ステップと、
前記検知ステツプで検知した結果に基づいて、 フアイルを書込み禁止と判断す る判断ステップと、
アクセス制御手段が保持しているアクセス情報においてフアイルを書込み禁止 に更新するアクセス情報更新ステツプと
を備えた請求項 1 7から請求項 1 9のうちのいずれか 1項に記載のファイルチ エック方法。
2 1 . 検知ステップで、 ファイルの振る舞いとして、 実行可能なコードを含む ファイルの起動、 またはライブラリもしくはデバイスドライバのメモリへの読み 込みを検知して、 ファイルの種別を検知する請求項 2 0記載のファイルチェック 方法。
2 2 . 検知ステップで、 ファイルの内容に基づいてファイルの種別を検知する 請求項 2 0から請求項 2 1のうちのいずれか 1項に記載のフアイルチェック方法。
2 3 . 検知ステップで、 ファイルの内容として、 複数ファイルをまとめたファ ィルまたは圧縮ファイルであることを判断して、 ファイルの種別を検知する請求 項 2 2記載のフアイルチヱック方法。
2 4 . プロセスがファイルを書込み禁止とするよう要求可能にする禁止要求ス テツプを含む請求項 2 0から請求項 2 3のうちのいずれか 1項に記載のファイル チェック方法。
PCT/JP2008/068689 2007-10-09 2008-10-08 ファイルチェック装置、ファイルチェックプログラムおよびファイルチェック方法 WO2009048158A1 (ja)

Priority Applications (1)

Application Number Priority Date Filing Date Title
JP2009537052A JP5392494B2 (ja) 2007-10-09 2008-10-08 ファイルチェック装置、ファイルチェックプログラムおよびファイルチェック方法

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
JP2007263055 2007-10-09
JP2007-263055 2007-10-09

Publications (1)

Publication Number Publication Date
WO2009048158A1 true WO2009048158A1 (ja) 2009-04-16

Family

ID=40549301

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/JP2008/068689 WO2009048158A1 (ja) 2007-10-09 2008-10-08 ファイルチェック装置、ファイルチェックプログラムおよびファイルチェック方法

Country Status (2)

Country Link
JP (1) JP5392494B2 (ja)
WO (1) WO2009048158A1 (ja)

Cited By (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2012526313A (ja) * 2009-05-26 2012-10-25 ジェムアルト エスアー 携帯型電子デバイスに組み込まれたアプリケーションを実行する方法
JP2013531316A (ja) * 2010-07-16 2013-08-01 ファスドットコム カンパニー リミテッド Ｄｒｍ環境における悪質コードのリアルタイム検査装置及びその方法をコンピュータで行わせるためのプログラムを記録した記録媒体

Citations (6)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2003052595A1 (en) * 2001-12-14 2003-06-26 Networks Associates Technology, Inc. Method and system for delayed write scanning for detecting computer malwares
US6952776B1 (en) * 1999-09-22 2005-10-04 International Business Machines Corporation Method and apparatus for increasing virus detection speed using a database
US6973578B1 (en) * 2000-05-31 2005-12-06 Networks Associates Technology, Inc. System, method and computer program product for process-based selection of virus detection actions
WO2006008199A2 (en) * 2004-07-20 2006-01-26 International Business Machines Corporation Secure storage tracking for anti-virus speed-up
JP2007034623A (ja) * 2005-07-26 2007-02-08 Sharp Corp コンピュータウイルスの検出方法、プログラム、プログラムが記憶された記録媒体およびコンピュータウイルスの検出装置
JP2007065810A (ja) * 2005-08-30 2007-03-15 Hitachi Ltd セキュリティ検査システム

Family Cites Families (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2007226277A (ja) * 2004-04-02 2007-09-06 Matsushita Electric Ind Co Ltd 仮想マシン改ざん検査方法、および仮想マシン改ざん検査装置
JP2006285404A (ja) * 2005-03-31 2006-10-19 Toshiba Corp 情報処理装置および記憶媒体の制御方法
JP4593455B2 (ja) * 2005-12-20 2010-12-08 日立オムロンターミナルソリューションズ株式会社 情報処理装置

Patent Citations (6)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US6952776B1 (en) * 1999-09-22 2005-10-04 International Business Machines Corporation Method and apparatus for increasing virus detection speed using a database
US6973578B1 (en) * 2000-05-31 2005-12-06 Networks Associates Technology, Inc. System, method and computer program product for process-based selection of virus detection actions
WO2003052595A1 (en) * 2001-12-14 2003-06-26 Networks Associates Technology, Inc. Method and system for delayed write scanning for detecting computer malwares
WO2006008199A2 (en) * 2004-07-20 2006-01-26 International Business Machines Corporation Secure storage tracking for anti-virus speed-up
JP2007034623A (ja) * 2005-07-26 2007-02-08 Sharp Corp コンピュータウイルスの検出方法、プログラム、プログラムが記憶された記録媒体およびコンピュータウイルスの検出装置
JP2007065810A (ja) * 2005-08-30 2007-03-15 Hitachi Ltd セキュリティ検査システム

Non-Patent Citations (2)

* Cited by examiner, † Cited by third party
Title
OHASHI G.: "Kido ga Osoi nowa Virus Taisaku no sei?", PASOKON SOFUT OMOSA NO KENKYU: VIRUS TAISAKU, KANSEN O FUSEGU TAMENI NIJU NO CHECK, NIKKEI PC21, vol. 10, no. 17, 1 September 2005 (2005-09-01), pages 67 - 69 *
SAWAMURA T.: "Net ni Setsuzoku dekinai Kyofu no Retsuaku Kankyo kara Dasshutsu seyo!", VIRUS KINKYU TAISAKU TECHNIC:, PCFAN, vol. 9, no. 25, 15 September 2002 (2002-09-15), pages 60 - 71 *

Cited By (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2012526313A (ja) * 2009-05-26 2012-10-25 ジェムアルト エスアー 携帯型電子デバイスに組み込まれたアプリケーションを実行する方法
JP2013531316A (ja) * 2010-07-16 2013-08-01 ファスドットコム カンパニー リミテッド Ｄｒｍ環境における悪質コードのリアルタイム検査装置及びその方法をコンピュータで行わせるためのプログラムを記録した記録媒体

Also Published As

Publication number Publication date
JP5392494B2 (ja) 2014-01-22
JPWO2009048158A1 (ja) 2011-02-24

Similar Documents

Publication Publication Date Title
US8650578B1 (en) System and method for intercepting process creation events
JP6370747B2 (ja) バーチャルマシーンモニタベースのアンチマルウェアセキュリティのためのシステム及び方法
EP3123311B1 (en) Malicious code protection for computer systems based on process modification
US10977381B2 (en) Protection system and method against unauthorized data alteration
US6934857B1 (en) Security system and method for handheld computers
US7647636B2 (en) Generic RootKit detector
US11782790B2 (en) Methods and systems for recognizing unintended file system changes
US7669059B2 (en) Method and apparatus for detection of hostile software
JP2005129066A (ja) オペレーティングシステムリソース保護
US20100306851A1 (en) Method and apparatus for preventing a vulnerability of a web browser from being exploited
US8413253B2 (en) Protecting persistent secondary platform storage against attack from malicious or unauthorized programs
US9396329B2 (en) Methods and apparatus for a safe and secure software update solution against attacks from malicious or unauthorized programs to update protected secondary storage
US20060053492A1 (en) Software tracking protection system
US9898603B2 (en) Offline extraction of configuration data
JP2009238153A (ja) マルウェア対処システム、方法及びプログラム
CN101414329B (zh) 删除正在运行中的病毒的方法
US7523319B2 (en) System and method for tracking changed LBAs on disk drive
US9390275B1 (en) System and method for controlling hard drive data change
US8201253B1 (en) Performing security functions when a process is created
US8065730B1 (en) Anti-malware scanning in a virtualized file system environment
Nagy et al. Rootkit detection on embedded IoT devices
KR20220085786A (ko) 랜섬웨어 방지
US8572742B1 (en) Detecting and repairing master boot record infections
JP5392494B2 (ja) ファイルチェック装置、ファイルチェックプログラムおよびファイルチェック方法
WO2011095484A1 (en) Method of countermeasure against the installation-by-tearing of viruses onto a secure portable mass storage device

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 08837362

Country of ref document: EP

Kind code of ref document: A1

WWE Wipo information: entry into national phase

Ref document number: 2009537052

Country of ref document: JP

NENP Non-entry into the national phase

Ref country code: DE

122 Ep: pct application non-entry in european phase

Ref document number: 08837362

Country of ref document: EP

Kind code of ref document: A1