WO2022195739A1 - 活動痕跡抽出装置、活動痕跡抽出方法および活動痕跡抽出プログラム - Google Patents

Abstract

活動痕跡抽出装置（１００）は、マルウェアの挙動に関する情報を取得する取得部（１５１）と、取得部（１５１）によって取得されたマルウェアの挙動に関する情報に基づいて、マルウェアの活動痕跡を検出する検出部（１５２）と、マルウェアに対してテイント解析を実行し、マルウェアが所定のＡＰＩ（Application　Programming　Interface）を呼び出す場合には、ＡＰＩの出力値にテイント解析に基づくテイントタグを付与する付与部（１５３）と、付与部（１５３）によって付与されたテイントタグに基づいて、活動痕跡の依存性の有無を判定する判定部（１５４）と、判定部（１５４）によって活動痕跡の依存性がないと判定された場合には、活動痕跡をマルウェアを検知するために有効な活動痕跡として抽出する抽出部（１５５）とを備える。

Description

活動痕跡抽出装置、活動痕跡抽出方法および活動痕跡抽出プログラム

　本発明は、活動痕跡抽出装置、活動痕跡抽出方法および活動痕跡抽出プログラムに関する。

　近年、マルウェアの巧妙化に伴い、シグネチャに基づいて検出する従来型のアンチウイルスソフトウェアでは検出の難しいマルウェアが増加してきている。また、送受信されたファイルを隔離された解析用の環境で動作させ、観測された挙動の悪性度からマルウェアを検出する動的解析サンドボックスによる検出も存在するが、一般的なユーザ環境との乖離度を見る方法等により、解析用の環境であることが感知され、回避されるようになってきた。

　このような背景から、ＥＤＲ（Endpoint　Detection　and　Response）と呼ばれるマルウェア対策技術が用いられるようになってきた。ＥＤＲでは、解析用に用意した環境ではなく、ユーザの端末にインストールされるエージェントを用いて、端末の挙動を継続的に監視する。そして、あらかじめ用意された、マルウェアが活動した際に残す痕跡を検出するためのいわば挙動のシグネチャである痕跡情報（ＩＯＣ：Indicator　of　Compromise）を用いて、マルウェアを検出する。具体的には、ＥＤＲは、端末で観測された挙動とＩＯＣを照合し、一致する場合はマルウェアに感染した疑いがあるとして検出する。

　したがって、ＥＤＲによるマルウェアの検出の可否は、あるマルウェアの検出に有用なＩＯＣが保持されているかに依存する。一方、ＩＯＣがマルウェアのみならず正規のソフトウェアの活動の痕跡にも一致してしまうような場合には、誤検知に繋がるという問題がある。それゆえに、ただ闇雲にマルウェアの痕跡をＩＯＣにして数を増やすのではなく、検出に有用な痕跡を選択的に抽出してＩＯＣにしていく必要がある。

　また、ＥＤＲが一度に照合できるＩＯＣの観点からも、検出に有用な痕跡を選択的に抽出してＩＯＣにしていく必要が生じる。すなわち、ＥＤＲは一般に多くのＩＯＣを持つほど照合に時間がかかるため、より少ない数のＩＯＣでより多くの種類のマルウェアを検出するＩＯＣの組み合わせを持つことが望ましい。その際に、検出に有用でない活動痕跡からＩＯＣを生成してしまうと、無用に照合の時間をかけてしまうことに繋がる。

　現在では、日々新しいマルウェアが生み出されており、それに対応したＩＯＣも変化し続ける。そのため、それらに対して継続的に対応するためには、マルウェアを自動的に解析して活動の痕跡を抽出し、ＩＯＣを生成していく必要がある。ＩＯＣは、マルウェアを解析して得られた活動痕跡に基づいて生成される。一般に、マルウェアの挙動を監視しながら実行して得られた痕跡を収集し、それに正規化を施したり、検知に適した組み合わせ選択したりすることで、ＩＯＣとする。以上から、マルウェアの検出に有用な活動痕跡を、選択的かつ自動的に抽出する技術が希求される。

　例えば、非特許文献１では、複数のマルウェア間で繰り返し観測される痕跡のパターンを抽出し、ＩＯＣとして用いる手法を提案している。また、非特許文献２では、同一ファミリーのマルウェア間で共起する痕跡の集合を抽出し、集合の最適化手法によってＩＯＣの複雑度が高まるのを防ぐことで、人間が理解しやすいＩＯＣを自動で生成する手法を提案している。これらの手法によれば、実行トレースログからマルウェアの検出に貢献し得るＩＯＣを自動的に抽出することが可能である。

　ここで、実行トレースとは、実行時に様々な観点からの挙動を順に記録していくことで、プログラムの実行状況を追跡するものである。また、これを実現するために、挙動を監視して記録する機能を備えたプログラムを、トレーサと呼ぶ。たとえば、実行されたＡＰＩ（Application　Programming　Interface）を順に記録したものをＡＰＩトレースと呼び、それを実現するためのプログラムをＡＰＩトレーサと呼ぶ。

Christian　Doll　et　al.　"Automated　Pattern　Inference　Based　on　Repeatedly　Observed　Malware　Artifacts."　Proceedings　of　the　14th　International　Conference　on　Availability,　Reliability　and　Security.　2019. Yuma　Kurogome　et　al.　"EIGER:　Automated　IOC　Generation　for　Accurate　and　Interpretable　Endpoint　Malware　Detection."　Proceedings　of　the　35th　Annual　Computer　Security　Applications　Conference.　2019.

　しかしながら、上述した従来技術では、マルウェアの活動痕跡の時間依存性や環境依存性を考慮しておらず、マルウェアの検出に有効でない活動痕跡もＩＯＣにしてしまい得るという問題があった。

　ここで、活動痕跡の時間依存性とは、マルウェアの実行時の時間的情報に依存して活動痕跡が変化する特性である。時間的情報には、時刻や起動時からの経過時間等がある。時間依存性のある活動痕跡は、収集した解析環境と実際に攻撃を受けた環境での時間的情報が一般に異なることにより、ＩＯＣとして利用できない。

　また、活動痕跡の環境依存性とは、マルウェアの実行時の環境的情報に依存して活動痕跡が変化する特性である。環境的情報には、システムやデバイスの持つ様々な設定情報が含まれる。例えば、システムディスクのＵＵＩＤ（Universally　Unique　Identifier：汎用一意識別子）に基づいて活動痕跡を変化させる場合等が考えられる。環境依存性のある活動痕跡も、収集した解析環境と実際に攻撃を受けた環境での環境的情報の差異から、ＩＯＣとして利用できない。

　以上から、収集されたマルウェアの活動痕跡に時間依存性や環境依存性があるか否かを判定することは、マルウェアの検出に有効な活動痕跡を選択的に抽出してＩＯＣを生成する上で重要である。

　上述した課題を解決し、目的を達成するために、本発明に係る活動痕跡抽出装置は、マルウェアの挙動に関する情報を取得する取得部と、前記取得部によって取得された前記情報に基づいて、前記マルウェアの活動痕跡を検出する検出部と、前記マルウェアに対してテイント解析を実行し、前記マルウェアが所定のＡＰＩを呼び出す場合には、該ＡＰＩの出力値に該テイント解析に基づくテイントタグを付与する付与部と、前記付与部によって付与された前記テイントタグに基づいて、前記活動痕跡の依存性の有無を判定する判定部と、前記判定部によって前記依存性がないと判定された場合には、前記活動痕跡を前記マルウェアを検知するために有効な活動痕跡として抽出する抽出部とを備えることを特徴とする。

　また、本発明に係る活動痕跡抽出方法は、活動痕跡抽出装置によって実行される活動痕跡抽出方法であって、マルウェアの挙動に関する情報を取得する取得工程と、前記取得工程によって取得された前記情報に基づいて、前記マルウェアの活動痕跡を検出する検出工程と、前記マルウェアに対してテイント解析を実行し、前記マルウェアが所定のＡＰＩを呼び出す場合には、該ＡＰＩの出力値に該テイント解析に基づくテイントタグを付与する付与工程と、前記付与工程によって付与された前記テイントタグに基づいて、前記活動痕跡の依存性の有無を判定する判定工程と、前記判定工程によって前記依存性がないと判定された場合には、前記活動痕跡を前記マルウェアを検知するために有効な活動痕跡として抽出する抽出工程とを含むことを特徴とする。

　また、本発明に係る活動痕跡抽出プログラムは、マルウェアの挙動に関する情報を取得する取得ステップと、前記取得ステップによって取得された前記情報に基づいて、前記マルウェアの活動痕跡を検出する検出ステップと、前記マルウェアに対してテイント解析を実行し、前記マルウェアが所定のＡＰＩを呼び出す場合には、該ＡＰＩの出力値に該テイント解析に基づくテイントタグを付与する付与ステップと、前記付与ステップによって付与された前記テイントタグに基づいて、前記活動痕跡の依存性の有無を判定する判定ステップと、前記判定ステップによって前記依存性がないと判定された場合には、前記活動痕跡を前記マルウェアを検知するために有効な活動痕跡として抽出する抽出ステップとをコンピュータに実行させることを特徴とする。

　本発明では、マルウェアのデータフローの追跡に基づいて活動痕跡の依存性の有無を精緻に検出し、依存性がなくマルウェアの検知に有効な活動痕跡を選択的に抽出できる。

図１は、第１の実施形態に係る活動痕跡抽出システムの構成例を示す図である。 図２は、第１の実施形態に係る活動痕跡抽出装置の構成例を示すブロック図である。 図３は、第１の実施形態に係るＡＰＩトレースと活動痕跡の一例を示す図である。 図４は、第１の実施形態に係る時間依存性のある活動痕跡の一例を示す図である。 図５は、第１の実施形態に係る環境依存性のある活動痕跡の一例を示す図である。 図６は、第１の実施形態に係るテイントタグによる依存性のある活動痕跡の検出の一例を示す図である。 図７は、第１の実施形態に係る処理全体の流れの一例を示すフローチャートである。 図８は、第１の実施形態に係るテイント解析処理の流れの一例を示すフローチャートである。 図９は、第１の実施形態に係る依存性判定処理の流れの一例を示すフローチャートである。 図１０は、第１の実施形態に係る活動痕跡抽出処理の流れの一例を示すフローチャートである。 図１１は、プログラムを実行するコンピュータを示す図である。

　以下に、本発明に係る活動痕跡抽出装置、活動痕跡抽出方法および活動痕跡抽出プログラムの実施形態を図面に基づいて詳細に説明する。なお、本発明は、以下に説明する実施形態により限定されるものではない。

〔第１の実施形態〕
　以下に、本実施形態に係る活動痕跡抽出システムの構成、活動痕跡抽出装置の構成、各種情報の具体例、処理全体の流れ、テイント解析処理の流れ、依存性判定処理の流れ、活動痕跡抽出処理の流れを順に説明し、最後に本実施形態の効果を説明する。

［活動痕跡抽出システムの構成］
　図１を用いて、本実施形態に係る活動痕跡抽出システム（適宜、本システム）１の構成を詳細に説明する。図１は、第１の実施形態に係る活動痕跡抽出システムの構成例を示す図である。本システム１は、活動痕跡抽出装置１００、各種端末等のユーザ端末２０（２０Ａ、２０Ｂ、２０Ｃ）、ＳＯＣ（Security　Operation　Center）やＣＳＩＲＴ（Computer　Security　Incident　Response　Team）等のセキュリティ対策組織３０（３０Ａ、３０Ｂ、３０Ｃ）およびＡＰＩリストデータベース４０を有する。ここで、活動痕跡抽出装置１００とユーザ端末２０とセキュリティ対策組織３０とＡＰＩリストデータベース４０とは、図示しない所定の通信網を介して、有線または無線により通信可能に接続される。なお、図１に示した活動痕跡抽出システム１には、複数台の活動痕跡抽出装置１００や、複数台のＡＰＩリストデータベース４０が含まれてもよい。

　まず、活動痕跡抽出装置１００は、ユーザ端末２０からマルウェアの入力を受け付ける（ステップＳ１）。ここで、ユーザ端末２０は、一般的なネットワーク等の利用者が所有するＰＣ（Personal　Computer）、スマートフォン、タブレット端末等であるが、特に限定されない。ユーザ端末２０は、マルウェアの情報を収集する専用の機器であってもよい。

　次に、活動痕跡抽出装置１００は、入力を受け付けたマルウェアを実行し、マルウェアの挙動を解析する（ステップＳ２）。このとき、活動痕跡抽出装置１００は、当該マルウェアの活動痕跡を得るための情報源を取得する。具体的には、活動痕跡抽出装置１００は、当該マルウェアの挙動に関する情報（適宜、「挙動情報」）を取得する。活動痕跡抽出装置１００による詳細な挙動情報取得処理については、［処理全体の流れ］にて後述する。

　続いて、活動痕跡抽出装置１００は、得られた挙動情報からマルウェアの活動痕跡を発見する（ステップＳ３）。このとき、活動痕跡抽出装置１００は、マルウェアの活動痕跡の依存性の有無を考慮しない活動痕跡を得る。活動痕跡抽出装置１００による詳細な活動痕跡発見処理（適宜、「活動痕跡検出処理」）については、［処理全体の流れ］にて後述する。

　一方、活動痕跡抽出装置１００は、ＡＰＩリストデータベース４０からＡＰＩリストを受け取る（ステップＳ４）。ここで、活動痕跡抽出装置１００が受け取るＡＰＩリストに記載されたＡＰＩは、システム情報や時刻情報、デバイス情報等を取得するＡＰＩであるが、特に限定されず、アプリケーションに固有の情報を取得するＡＰＩであってもよい。

　また、活動痕跡抽出装置１００は、入力を受け付けたマルウェアを実行し、テイント解析を行う（ステップＳ５）。このとき、活動痕跡抽出装置１００は、上記のＡＰＩリストに記載のＡＰＩの出力値にテイントタグを付与するようにテイント解析エンジンを設定し、当該テイント解析エンジン上で上記マルウェアを実行し、データフローにあわせて、テイントタグを伝播させていく。活動痕跡抽出装置１００による詳細なテイント解析処理については、［テイント解析処理の流れ］にて後述する。

　さらに、活動痕跡抽出装置１００は、上記のテイントタグの有無から、マルウェアの活動痕跡の依存性の有無を判定する（ステップＳ６）。このとき、活動痕跡抽出装置１００は、上述した活動痕跡検出処理で検出した活動痕跡を取得し、当該活動痕跡に対応する、テイント解析処理で得られた活動痕跡にテイントタグが付与されているか否かを確認する。そして、活動痕跡抽出装置１００は、上記のテイントタグが付与されている活動痕跡は依存性があると判定し、上記のテイントタグが付与されていない活動痕跡は依存性がないと判定する。活動痕跡抽出装置１００による詳細な依存性判定処理については、［依存性判定処理の流れ］にて後述する。

　最後に、活動痕跡抽出装置１００は、依存性のない活動痕跡から痕跡情報（ＩＯＣ）を生成し、生成したＩＯＣをセキュリティ対策組織３０に送信する。活動痕跡抽出装置１００がＩＯＣを送信する端末等は、特に限定されない。

　本実施形態に係る活動痕跡抽出システム１では、マルウェアを解析して挙動情報を取得して、取得した挙動情報からマルウェアの活動痕跡を発見し、テイントタグの付与と伝播によってデータフローを追跡し、活動痕跡とそのテイントタグに基づいて活動痕跡の依存性を判定し、依存性のない活動痕跡のみを選択的に抽出する。このため、本システム１では、データフローの追跡に基づいて活動痕跡の依存性の有無を精緻に検出し、依存性がなくマルウェアの検知に有効な活動痕跡を選択的に抽出できる。また、本システム１では、有効なＩＯＣの生成に貢献できる。

［活動痕跡抽出装置の構成］
　図２を用いて、本実施形態に係る活動痕跡抽出装置１００の構成を詳細に説明する。図２は、本実施形態に係る活動痕跡抽出装置の構成例を示すブロック図である。活動痕跡抽出装置１００は、入力部１１０、入力部１２０、通信部１３０、記憶部１４０および制御部１５０を有する。

　入力部１１０は、当該活動痕跡抽出装置１００への各種情報の入力を司る。入力部１１０は、例えば、マウスやキーボード等であり、当該活動痕跡抽出装置１００への設定情報等の入力を受け付ける。また、出力部１２０は、当該活動痕跡抽出装置１００からの各種情報の出力を司る。出力部１２０は、例えば、ディスプレイ等であり、当該活動痕跡抽出装置１００に記憶された設定情報等を出力する。

　通信部１３０は、他の装置との間でのデータ通信を司る。例えば、通信部１３０は、各通信装置との間でデータ通信を行う。また、通信部１３０は、図示しないオペレータの端末との間でデータ通信を行うことができる。

　記憶部１４０は、制御部１５０が動作する際に参照する各種情報や、制御部１５０が動作した際に取得した各種情報を記憶する。記憶部１４０は、活動痕跡記憶部１４１およびタグマップ記憶部１４２を有する。ここで、記憶部１４０は、例えば、ＲＡＭ（Random　Access　Memory）、フラッシュメモリ等の半導体メモリ素子、または、ハードディスク、光ディスク等の記憶装置等である。なお、図２の例では、記憶部１４０は、活動痕跡抽出装置１００の内部に設置されているが、活動痕跡抽出装置１００の外部に設置されてもよいし、複数の記憶部が設置されていてもよい。

　活動痕跡記憶部１４１は、制御部１５０の検出部１５２が検出したマルウェアの活動痕跡を記憶する。例えば、活動痕跡記憶部１４１は、ファイルやレジストリの操作、プロセス生成や通信を通じて生成されたマルウェア由来の特定のファイル等を記憶する。また、タグマップ記憶部１４２は、制御部１５０の付与部１５３の処理によって生成されたタグマップを記憶する。例えば、タグマップ記憶部１４２は、テイント解析によってテイントタグを付与されたファイルやメモリ、関連するマルウェアやＡＰＩの情報等を記憶する。

　制御部１５０は、当該活動痕跡抽出装置１００全体の制御を司る。制御部１５０は、取得部１５１、検出部１５２、付与部１５３、判定部１５４、抽出部１５５および生成部１５６を有する。ここで、制御部１５０は、例えば、ＣＰＵ（Central　Processing　Unit）やＭＰＵ（Micro　Processing　Unit）等の電子回路やＡＳＩＣ（Application　Specific　Integrated　Circuit）やＦＰＧＡ（Field　Programmable　Gate　Array）等の集積回路である。

　取得部１５１は、マルウェアの挙動に関する情報を取得する。例えば、取得部１５１は、ネットワーク通信、ファイル操作、レジストリ操作またはプロセス生成に関与するＡＰＩトレースを取得する。また、取得部１５１は、隔離環境でＡＰＩトレーサを用いてマルウェアを実行し、ＡＰＩトレースを取得する動的解析を行ってもよい。取得部１５１がマルウェアの挙動に関する情報を取得するための処理は、特に限定されない。取得部１５１は、マルウェアを実行する動的解析ではなく、マルウェアを実行しない静的解析を用いてもよい。一方、取得部１５１は、取得したマルウェアの挙動に関する情報を記憶部１４０に格納してもよい。

　検出部１５２は、取得部１５１によって取得されたマルウェアの挙動に関する情報に基づいて、マルウェアの活動痕跡を検出する。例えば、検出部１５２は、マルウェアの活動時に痕跡が残りやすい部分をあらかじめ列挙しておき、列挙した部分に現れた痕跡を当該マルウェアの活動痕跡として検出する。また、検出部１５２は、痕跡が残りやすい部分として、ネットワーク通信、ファイル操作、レジストリ操作またはプロセス生成に関与するＡＰＩトレースから、マルウェアの活動痕跡を検出する。一方、検出部１５２は、検出したマルウェアの活動痕跡を活動痕跡記憶部１４１に格納する。

　付与部１５３は、マルウェアに対してテイント解析を実行し、マルウェアが所定のＡＰＩを呼び出す場合には、付与部１５３によって実行されたテイント解析に基づく、所定のＡＰＩの出力値にテイントタグを付与する。例えば、付与部１５３は、マルウェアがシステム情報、時刻情報、デバイス情報、またはアプリケーションに固有の情報を取得するＡＰＩ（適宜、「システム情報取得ＡＰＩ」）を呼び出す場合には、ＡＰＩの出力値にテイントタグを付与する。また、付与部１５３は、テイント解析エンジン上でマルウェアを実行し、ＡＰＩリストに記載されたＡＰＩの出力値にテイントタグを付与し、テイント解析エンジンによってデータフローにあわせてテイントタグを伝播させ、伝播によってテイントタグが付与された箇所を記録したタグマップを生成する。

　一方、付与部１５３は、タグマップをタグマップ記憶部１４２に格納する。なお、付与部１５３による詳細なテイント解析処理については、［テイント解析処理の流れ］にて後述する。

　判定部１５４は、付与部１５３によって付与されたテイントタグに基づいて、検出部１５２によって検出された活動痕跡の依存性の有無を判定する。例えば、判定部１５４は、検出部１５２によって検出された活動痕跡の時間依存性または環境依存性の有無を判定する。また、判定部１５４は、検出部１５２によって検出された活動痕跡に対応するＡＰＩの引数にテイントタグが付与されている場合には、活動痕跡は依存性があると判定する。一方、判定部１５４は、タグマップ記憶部１４２からテイントタグを付与した活動痕跡を含むタグマップを取得する。また、判定部１５４は、活動痕跡記憶部１４１から活動痕跡を取得してもよい。なお、判定部１５４による詳細な依存性判定処理については、［依存性判定処理の流れ］にて後述する。

　抽出部１５５は、判定部１５４によって活動痕跡の依存性がないと判定された場合には、活動痕跡をマルウェアを検知するために有効な活動痕跡として抽出する。例えば、抽出部１５５は、判定部１５４によって依存性があると判定された活動痕跡を除外し、依存性がないと判定された活動痕跡のみを有効な活動痕跡として抽出する。一方、抽出部１５５は、活動痕跡記憶部１４１から活動痕跡を取得する。なお、抽出部１５５による詳細な活動痕跡抽出処理については、［活動痕跡抽出処理の流れ］にて後述する。

　生成部１５６は、抽出部１５５によって抽出されたマルウェアを検知するために有効な活動痕跡から、マルウェアの痕跡情報を生成する。例えば、生成部１５６は、活動痕跡として検出された共通の文字列を含むファイル名を検知するために、共通の文字列以外の文字列を任意の文字列を表わす記号で置き換えた痕跡情報を生成する。

［各種情報の具体例］
　図３～図６を用いて、本実施形態に係る各種情報の具体例を詳細に説明する。図３は、第１の実施形態に係るＡＰＩトレースと活動痕跡の一例を示す図である。図４は、第１の実施形態に係る時間依存性のある活動痕跡の一例を示す図である。図５は、第１の実施形態に係る環境依存性のある活動痕跡の一例を示す図である。図６は、第１の実施形態に係るテイントタグによる依存性のある活動痕跡の検出の一例を示す図である。

　図３を用いて、ＡＰＩトレースと活動痕跡の一例を説明する。図３において、領域１０ａに含まれる「prev」は、ＡＰＩの実行前を示し、「post」は、ＡＰＩの実行後を示す。領域１０ｂに含まれる「ＩＮ」は、入力を示し、「ＯＵＴ」は、出力を示す。領域１０ｃに含まれる文字列は、ＤＬＬ名を示す。領域１０ｄに含まれる文字列は、ＡＰＩ名を示す。領域１０ｅに含まれる文字列は、型を示す。領域１０ｆに含まれる文字列は、変数名に対応する。領域１０ｇに含まれる文字列、数値は、引数に対応する。領域１０ｈに含まれる「val」は、ポインタをディリファレンスした値を記録していることを示す。領域１０ｉには、活動痕跡が含まれる。図３に示す例では、CreateProcessのlpCommandLine引数が、このマルウェアにおける、プロセスに関する活動痕跡であることが示される。

　図４を用いて、時間依存性のある活動痕跡の一例を説明する。図４において、「GetLocalTime」は、時間情報（時刻情報）を取得するシステムＡＰＩであり、システム時刻の時間情報である。「GetLocalTime」の出力値である、システム時刻を格納した「lpSystemTime」とプロセス名の活動痕跡との間にデータの依存関係がある場合を想定している。すなわち、「lpSystemTime」の値をもとにして、プロセス名を決定しているものとする。例えば、ＡＰＩトレース１１ａのシステム時刻と、ＡＰＩトレース１１ｂのシステム時刻との差異がある場合、それに合わせて活動痕跡も異なる。これが、時間依存性である。

　図５を用いて、環境依存性のある活動痕跡の一例を説明する。図５において、「GetVolumeInformationA」は、システムＡＰＩであり、ボリュームに関する環境情報を取得している。「GetVolumeInformationA」の出力値である、ボリュームのシリアル番号を格納したlpVolumeSerialNumberと、プロセス名の活動痕跡との間にデータの依存関係がある場合を想定している。すなわち、ボリュームのシリアル番号の値をもとにして、プロセス名を決定しているものとする。例えば、ＡＰＩトレース１２ａのシリアル番号と、ＡＰＩトレース１２ｂのシリアル番号との差異がある場合、それに合わせて活動痕跡も異なる。これが、環境依存性である。

　図６を用いて、テイントタグによる依存性のある活動痕跡の検出の一例を説明する。図６において、活動痕跡抽出装置１００は、時刻情報やシステム情報などを取得するＡＰＩの出力値に、テイントタグを付与する。次に、活動痕跡抽出装置１００は、テイント解析を実行し、データフローにあわせてテイントタグを伝播させていく。ここで、前述のＡＰＩの出力値と活動痕跡との間にデータの依存関係があれば、１３ｂのように、テイントタグが活動痕跡まで伝播していく。一方、データの依存関係がなければ、１３ａのように、テイントタグは活動痕跡までは伝播しない。そして、活動痕跡抽出装置１００は、活動痕跡に対応した箇所をタグマップを参照して確認し、テイントタグが付いていれば依存性があると判定し、テイントタグが付いていなければ依存性なしと判定する。

［処理全体の流れ］
　図７を用いて、本実施形態に係る処理全体の流れを詳細に説明する。図７は、第１の実施形態に係る処理全体の流れの一例を示すフローチャートである。

　まず、活動痕跡抽出装置１００の取得部１５１は、ユーザ端末２０から、痕跡情報（ＩＯＣ）を生成する対象となるマルウェアの入力を受け付ける（ステップＳ１０１）。このとき、取得部１５１は、ユーザ端末２０以外の機器からマルウェアの情報を取得してもよい。また、取得部１５１は、入力部１１０を介して直接入力されたマルウェアの情報を取得してもよい。

（挙動情報取得処理）
　取得部１５１は、マルウェアの挙動を解析し、活動痕跡を得るための情報源である挙動情報を取得する（ステップＳ１０２）。このとき、取得部１５１は、マルウェアを隔離環境で監視しながら実行することで、挙動を解析する。例えば、取得部１５１は、マルウェアのＡＰＩ呼び出しを監視して、ＡＰＩトレースを取得する。また、取得部１５１は、ファイルやレジストリ、通信等を監視する。すなわち、取得部１５１は、ＡＰＩ呼び出しの監視、もしくはファイルやレジストリ、通信等の監視のいずれかの監視により、マルウェアの挙動情報を取得する。なお、取得部１５１がマルウェアの挙動情報を取得するための処理は、特に限定されない。また、取得部１５１が取得するマルウェアの挙動情報は、ＡＰＩトレースでもよいし、ファイルやレジストリ、通信等の監視によって得られた情報であってもよく、特に限定されない。

（活動痕跡検出処理）
　検出部１５２は、取得部１５１からマルウェアの挙動情報を取得する。このとき、検出部１５２は、取得部１５１以外の機器からマルウェアの挙動情報を取得してもよい。また、検出部１５２は、入力部１１０を介して直接入力されたマルウェアの挙動情報を取得してもよい。

　また、検出部１５２は、取得したマルウェアの挙動情報から、マルウェアの活動痕跡を検出する（ステップＳ１０３）。例えば、検出部１５２は、マルウェアの活動時に痕跡が残りやすい部分（例：ネットワーク通信、ファイル操作、レジストリ操作またはプロセス生成に関与するＡＰＩ呼び出しの引数）をあらかじめ列挙しておき、列挙した部分に現れた痕跡を当該マルウェアの活動痕跡として検出する。なお、検出部１５２がマルウェアの活動痕跡を検出するための処理は、特に限定されない。

（テイント解析処理）
　付与部１５３は、マルウェアに対してテイント解析を実行する（ステップＳ１０４）。ここで、テイント解析とは、属性情報を表わすテイントタグの付与と伝播によってデータフローを追跡する手法である。例えば、付与部１５３は、テイント解析エンジン上でマルウェアを実行する。このとき、付与部１５３は、システム情報等を取得するＡＰＩの出力値にテイントタグを付与する。具体的には、システム情報等を取得するＡＰＩとその出力箇所はあらかじめ列挙しておき、ＡＰＩリストとして受け取る。テイント解析実行中、付与されたテイントタグは、テイント解析エンジンの処理によってデータフローにあわせて伝播していく。

　一方、付与部１５３は、伝播によってテイントタグが付与された箇所を記録したタグマップをタグマップ記憶部１４２に格納する。格納されたタグマップは、後述の依存性判定処理において、活動痕跡がシステム情報等に依存しているかを判定するために用いられる。なお、付与部１５３による詳細なテイント解析処理については、［テイント解析処理の流れ］にて後述する。

　このとき、付与部１５３は、テイントタグの付与、伝播が見られた場合（ステップＳ１０５：Ｙｅｓ）、ステップＳ１０６の依存性判定処理へ移行する。一方、付与部１５３は、テイントタグの付与、伝播が見られない場合（ステップＳ１０５：Ｎｏ）、ステップＳ１０８へ移行する。

（依存性判定処理）
　判定部１５４は、ステップＳ１０３で検出された活動痕跡と、ステップＳ１０４で付与されたテイントタグとに基づいて、マルウェアの活動痕跡の依存性の有無を判定する（ステップＳ１０６）。なお、判定部１５４による詳細な依存性判定処理については、［依存性判定処理の流れ］にて後述する。

（活動痕跡抽出処理）
　抽出部１５５は、ステップＳ１０６で判定された活動痕跡の依存性の有無に基づいて、ステップＳ１０３で検出された活動痕跡から、依存性のない活動痕跡のみを選択的に抽出する（ステップＳ１０７）。なお、抽出部１５５による詳細な活動痕跡抽出処理については、［活動痕跡抽出処理の流れ］にて後述する。

　最後に、生成部１５６は、ステップＳ１０７で抽出された活動痕跡から、マルウェア検知に有効なＩＯＣを生成し（ステップＳ１０８）、処理を終了する。このとき、生成部１５６は、出力部１２０を介して生成したＩＯＣを出力してもよい。また、生成部１５６は、通信部１３０を介して生成したＩＯＣをセキュリティ対策組織３０に送信してもよい。

［テイント解析処理の流れ］
　図８を用いて、本実施形態に係るテイント解析処理の流れを詳細に説明する。図８は、第１の実施形態に係るテイント解析処理の流れの一例を示すフローチャートである。まず、活動痕跡抽出装置１００の取得部１５１は、痕跡情報（ＩＯＣ）を生成する対象のマルウェアの入力を受け付ける（ステップＳ２０１）。

　次に、付与部１５３は、ＡＰＩリストデータベース４０から、システム情報取得ＡＰＩのＡＰＩリストを取得する（ステップＳ２０２）。このとき、付与部１５３は、ＡＰＩリストデータベース４０以外からＡＰＩリストを取得してもよい。また、付与部１５３は、入力部１１０を介して直接入力されたＡＰＩリストを取得してもよい。

　また、付与部１５３は、ＡＰＩリストに記載のＡＰＩの出力値にテイントタグを付与するようにテイント解析エンジンを設定する（ステップＳ２０３）。そして、付与部１５３は、ステップＳ２０１で入力を受け付けたマルウェアを、ステップＳ２０３で設定したテイント解析エンジン上で実行する（ステップＳ２０４）。このとき、付与部１５３は、ＡＰＩリストに記載のＡＰＩの出力値にはテイントタグを付与し、またデータフローにあわせて伝播させていく。

　最後に、付与部１５３は、テイントタグの伝播が見られた場合（ステップＳ２０５：Ｙｅｓ）、その伝播先を含むタグマップをタグマップ記憶部１４２に格納する（ステップＳ２０６）。一方、付与部１５３は、テイントタグの伝播が見られなかった場合（ステップＳ２０５：Ｎｏ）、すなわち、ＡＰＩの出力値からのデータフローが存在しなかった場合、処理を終了する。上述の処理により、システム情報等を取得するＡＰＩの出力値にテイントタグを付与することによって、当該出力値からのデータの流れを追跡し、当該タグが付与された活動痕跡は依存性があるものと判断することができる。

［依存性判定処理の流れ］
　図９を用いて、本実施形態に係る依存性判定処理の流れを詳細に説明する。図９は、第１の実施形態に係る依存性判定処理の流れの一例を示すフローチャートである。まず、活動痕跡抽出装置１００の判定部１５４は、タグマップ記憶部１４２からタグマップを取得する（ステップＳ３０１）。また、判定部１５４は、検出部１５２によって検出されたマルウェアの活動痕跡を１つ取得する（ステップＳ３０２）。なお、ステップＳ３０１とステップＳ３０２の処理は同時に行われてもよい。また、ステップＳ３０２の処理がステップＳ３０１の処理より先に行われてもよい。

　次に、判定部１５４は、ステップＳ３０２で取得したタグマップ上で、ステップＳ３０１で取得した活動痕跡に対応する部分のテイントタグを確認する（ステップＳ３０３）。このとき、判定部１５４は、当該対応する部分、すなわち対応する活動痕跡にテイントタグが付いていた場合（ステップＳ３０４：Ｙｅｓ）、活動痕跡の依存性があると判定し（ステップＳ３０５）、処理を終了する。一方、判定部１５４は、テイントタグが付いていなかった場合（ステップＳ３０４：Ｎｏ）、活動痕跡の依存性がないと判定し（ステップＳ３０６）、処理を終了する。なお、判定部１５４は、検出部１５２によって検出された全てのマルウェアの活動痕跡の処理を終了するまで、上記ステップＳ３０１～Ｓ３０６を繰り返し行ってもよい。

［活動痕跡抽出処理の流れ］
　図１０を用いて、本実施形態に係る活動痕跡抽出処理の流れを詳細に説明する。図１０は、第１の実施形態に係る活動痕跡抽出処理の流れの一例を示すフローチャートである。まず、活動痕跡抽出装置１００の抽出部１５５は、活動痕跡記憶部１４１から活動痕跡を１つ取得する（ステップＳ４０１）。また、抽出部１５５は、判定部１５４によって判定された、当該活動痕跡に対応する判定結果を取得する（ステップＳ４０２）。なお、ステップＳ４０１とステップＳ４０２の処理は同時に行われてもよい。

　次に、抽出部１５５は、当該活動痕跡が依存性なしと判定された場合（ステップＳ４０３：Ｙｅｓ）、当該活動痕跡は依存性がなく、当該活動痕跡を生成するマルウェアの検知に有効な活動痕跡として出力する（ステップＳ４０４）。一方、抽出部１５５は、当該活動痕跡が依存性なしと判定されなかった場合（ステップＳ４０３：Ｎｏ）、ステップＳ４０５に移行する。

　そして、抽出部１５５は、検出部１５２によって検出された全てのマルウェアの活動痕跡の処理が終了した場合（ステップＳ４０５：Ｙｅｓ）、処理を終了する。一方、抽出部１５５は、全てのマルウェアの活動痕跡の処理が終了していない場合（ステップＳ４０５：Ｎｏ）、ステップＳ４０１に戻り処理を繰り返す。

［第１の実施形態の効果］
　第１に、上述した本実施形態に係る活動痕跡抽出処理では、マルウェアの挙動に関する情報を取得し、取得したマルウェアの挙動に関する情報に基づいて、マルウェアの活動痕跡を検出し、マルウェアに対してテイント解析を実行し、マルウェアが所定のＡＰＩを呼び出す場合には、ＡＰＩの出力値にテイント解析に基づくテイントタグを付与し、付与したテイントタグに基づいて、活動痕跡の依存性の有無を判定し、依存性がないと判定した場合には、活動痕跡をマルウェアを検知するために有効な活動痕跡として抽出する。このため、本処理では、マルウェアのデータフローの追跡に基づいて活動痕跡の依存性の有無を精緻に検出し、依存性がなくマルウェアの検知に有効な活動痕跡を選択的に抽出できる。

　第２に、上述した本実施形態に係る活動痕跡抽出処理では、マルウェアがシステム情報等を取得するＡＰＩを呼び出す場合には、ＡＰＩの出力値にテイント解析に基づくテイントタグを付与し、活動痕跡の時間依存性または環境依存性の有無を判定する。このため、本処理では、マルウェアのデータフローの追跡に基づいて活動痕跡の依存性の有無を精緻に検出し、依存性がなくマルウェアの検知に有効な活動痕跡をより効果的に、かつ選択的に抽出できる。

　第３に、上述した本実施形態に係る活動痕跡抽出処理では、ネットワーク通信、ファイル操作、レジストリ操作またはプロセス生成に関与するＡＰＩトレースを取得する。このため、本処理では、より効率的に抽出対象の活動痕跡を取得し、マルウェアのデータフローの追跡に基づいて活動痕跡の依存性の有無を精緻に検出し、依存性がなくマルウェアの検知に有効な活動痕跡を選択的に抽出できる。

　第４に、上述した本実施形態に係る活動痕跡抽出処理では、活動痕跡に対応するＡＰＩの引数にテイント解析に基づくテイントタグが付与されている場合には、前記活動痕跡は前記依存性があると判定し、抽出したマルウェアを検知するために有効な活動痕跡から、マルウェアの痕跡情報を生成する。このため、本処理では、マルウェアのデータフローの追跡に基づいて活動痕跡の依存性の有無を精緻に検出し、依存性がなくマルウェアの検知に有効な活動痕跡を選択的に抽出し、有効な痕跡情報の生成することができる。

〔システム構成等〕
　上記実施形態に係る図示した各装置の各構成要素は機能概念的なものであり、必ずしも物理的に図示のごとく構成されていることを要しない。すなわち、各装置の分散・統合の具体的形態は図示のものに限られず、その全部または一部を、各種の負荷や使用状況などに応じて、任意の単位で機能的または物理的に分散・統合して構成することができる。さらに、各装置にて行なわれる各処理機能は、その全部または任意の一部が、ＣＰＵおよび当該ＣＰＵにて解析実行されるプログラムにて実現され、あるいは、ワイヤードロジックによるハードウェアとして実現され得る。

　また、上記実施形態において説明した各処理のうち、自動的に行われるものとして説明した処理の全部または一部を手動的に行うこともでき、あるいは、手動的に行われるものとして説明した処理の全部または一部を公知の方法で自動的に行うこともできる。この他、上記文書中や図面中で示した処理手順、制御手順、具体的名称、各種のデータやパラメータを含む情報については、特記する場合を除いて任意に変更することができる。

〔プログラム〕
　また、上記実施形態において説明した活動痕跡抽出装置１００が実行する処理をコンピュータが実行可能な言語で記述したプログラムを作成することもできる。この場合、コンピュータがプログラムを実行することにより、上記実施形態と同様の効果を得ることができる。さらに、かかるプログラムをコンピュータ読み取り可能な記録媒体に記録して、この記録媒体に記録されたプログラムをコンピュータに読み込ませて実行することにより上記実施形態と同様の処理を実現してもよい。

　図１１は、プログラムを実行するコンピュータを示す図である。図１１に例示するように、コンピュータ１０００は、例えば、メモリ１０１０と、ＣＰＵ１０２０と、ハードディスクドライブインタフェース１０３０と、ディスクドライブインタフェース１０４０と、シリアルポートインタフェース１０５０と、ビデオアダプタ１０６０と、ネットワークインタフェース１０７０とを有し、これらの各部はバス１０８０によって接続される。

　メモリ１０１０は、図１１に例示するように、ＲＯＭ（Read　Only　Memory）１０１１及びＲＡＭ１０１２を含む。ＲＯＭ１０１１は、例えば、ＢＩＯＳ（Basic　Input　Output　System）等のブートプログラムを記憶する。ハードディスクドライブインタフェース１０３０は、図１１に例示するように、ハードディスクドライブ１０９０に接続される。ディスクドライブインタフェース１０４０は、図１１に例示するように、ディスクドライブ１１００に接続される。例えば、磁気ディスクや光ディスク等の着脱可能な記憶媒体が、ディスクドライブ１１００に挿入される。シリアルポートインタフェース１０５０は、図１１に例示するように、例えば、マウス１１１０、キーボード１１２０に接続される。ビデオアダプタ１０６０は、図１１に例示するように、例えばディスプレイ１１３０に接続される。

　ここで、図１１に例示するように、ハードディスクドライブ１０９０は、例えば、ＯＳ１０９１、アプリケーションプログラム１０９２、プログラムモジュール１０９３、プログラムデータ１０９４を記憶する。すなわち、上記のプログラムは、コンピュータ１０００によって実行される指令が記述されたプログラムモジュールとして、例えば、ハードディスクドライブ１０９０に記憶される。

　また、上記実施形態で説明した各種データは、プログラムデータとして、例えば、メモリ１０１０やハードディスクドライブ１０９０に記憶される。そして、ＣＰＵ１０２０が、メモリ１０１０やハードディスクドライブ１０９０に記憶されたプログラムモジュール１０９３やプログラムデータ１０９４を必要に応じてＲＡＭ１０１２に読み出し、各種処理手順を実行する。

　なお、プログラムに係るプログラムモジュール１０９３やプログラムデータ１０９４は、ハードディスクドライブ１０９０に記憶される場合に限られず、例えば着脱可能な記憶媒体に記憶され、ディスクドライブ等を介してＣＰＵ１０２０によって読み出されてもよい。あるいは、プログラムに係るプログラムモジュール１０９３やプログラムデータ１０９４は、ネットワーク（ＬＡＮ（Local　Area　Network）、ＷＡＮ（Wide　Area　Network）等）を介して接続された他のコンピュータに記憶され、ネットワークインタフェース１０７０を介してＣＰＵ１０２０によって読み出されてもよい。

　上記の実施形態やその変形は、本願が開示する技術に含まれると同様に、請求の範囲に記載された発明とその均等の範囲に含まれるものである。

　１　活動痕跡抽出システム
　１００　活動痕跡抽出装置
　１１０　入力部
　１２０　出力部
　１３０　通信部
　１４０　記憶部
　１４１　活動痕跡記憶部
　１４２　タグマップ記憶部
　１５０　制御部
　１５１　取得部
　１５２　検出部
　１５３　付与部
　１５４　判定部
　１５５　抽出部
　１５６　生成部
　２０、２０Ａ、２０Ｂ、２０Ｃ　ユーザ端末
　３０、３０Ａ、３０Ｂ、３０Ｃ　セキュリティ対応組織
　４０　ＡＰＩリストデータベース

Claims (6)

1. 　マルウェアの挙動に関する情報を取得する取得部と、
   　前記取得部によって取得された前記情報に基づいて、前記マルウェアの活動痕跡を検出する検出部と、
   　前記マルウェアに対してテイント解析を実行し、前記マルウェアが所定のＡＰＩ（Application　Programming　Interface）を呼び出す場合には、該ＡＰＩの出力値に該テイント解析に基づくテイントタグを付与する付与部と、
   　前記付与部によって付与された前記テイントタグに基づいて、前記活動痕跡の依存性の有無を判定する判定部と、
   　前記判定部によって前記依存性がないと判定された場合には、前記活動痕跡を前記マルウェアを検知するために有効な活動痕跡として抽出する抽出部と
   　を備えることを特徴とする活動痕跡抽出装置。
2. 　前記付与部は、前記マルウェアがシステム情報、時刻情報、デバイス情報、またはアプリケーションに固有の情報を取得する前記ＡＰＩを呼び出す場合には、前記出力値に前記テイントタグを付与し、
   　前記判定部は、前記活動痕跡の時間依存性または環境依存性の有無を判定することを特徴とする請求項１に記載の活動痕跡抽出装置。
3. 　前記取得部は、ネットワーク通信、ファイル操作、レジストリ操作またはプロセス生成に関与するＡＰＩ呼び出しの引数を取得することを特徴とする請求項２に記載の活動痕跡抽出装置。
4. 　前記判定部は、前記活動痕跡に対応する前記ＡＰＩの引数に前記テイントタグが付与されている場合には、前記活動痕跡は前記依存性があると判定し、
   　前記抽出部によって抽出された前記有効な活動痕跡から、前記マルウェアの痕跡情報を生成する生成部をさらに備えることを特徴とする請求項１から３のいずれか１項に記載の活動痕跡抽出装置。
5. 　活動痕跡抽出装置によって実行される活動痕跡抽出方法であって、
   　マルウェアの挙動に関する情報を取得する取得工程と、
   　前記取得工程によって取得された前記情報に基づいて、前記マルウェアの活動痕跡を検出する検出工程と、
   　前記マルウェアに対してテイント解析を実行し、前記マルウェアが所定のＡＰＩを呼び出す場合には、該ＡＰＩの出力値に該テイント解析に基づくテイントタグを付与する付与工程と、
   　前記付与工程によって付与された前記テイントタグに基づいて、前記活動痕跡の依存性の有無を判定する判定工程と、
   　前記判定工程によって前記依存性がないと判定された場合には、前記活動痕跡を前記マルウェアを検知するために有効な活動痕跡として抽出する抽出工程と
   　を含むことを特徴とする活動痕跡抽出方法。
6. 　マルウェアの挙動に関する情報を取得する取得ステップと、
   　前記取得ステップによって取得された前記情報に基づいて、前記マルウェアの活動痕跡を検出する検出ステップと、
   　前記マルウェアに対してテイント解析を実行し、前記マルウェアが所定のＡＰＩを呼び出す場合には、該ＡＰＩの出力値に該テイント解析に基づくテイントタグを付与する付与ステップと、
   　前記付与ステップによって付与された前記テイントタグに基づいて、前記活動痕跡の依存性の有無を判定する判定ステップと、
   　前記判定ステップによって前記依存性がないと判定された場合には、前記活動痕跡を前記マルウェアを検知するために有効な活動痕跡として抽出する抽出ステップと
   　をコンピュータに実行させることを特徴とする活動痕跡抽出プログラム。

Images