WO2023089674A1 - 生成装置、生成方法および生成プログラム - Google Patents

生成装置、生成方法および生成プログラム Download PDF

Info

Publication number
WO2023089674A1
WO2023089674A1 PCT/JP2021/042134 JP2021042134W WO2023089674A1 WO 2023089674 A1 WO2023089674 A1 WO 2023089674A1 JP 2021042134 W JP2021042134 W JP 2021042134W WO 2023089674 A1 WO2023089674 A1 WO 2023089674A1
Authority
WO
WIPO (PCT)
Prior art keywords
malware
information
unit
group
classification
Prior art date
Application number
PCT/JP2021/042134
Other languages
English (en)
French (fr)
Inventor
利宣 碓井
知範 幾世
裕平 川古谷
誠 岩村
Original Assignee
日本電信電話株式会社
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 日本電信電話株式会社 filed Critical 日本電信電話株式会社
Priority to PCT/JP2021/042134 priority Critical patent/WO2023089674A1/ja
Publication of WO2023089674A1 publication Critical patent/WO2023089674A1/ja

Links

Images

Classifications

    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/55—Detecting local intrusion or implementing counter-measures
    • G06F21/56—Computer malware detection or handling, e.g. anti-virus arrangements

Definitions

  • the present invention relates to a generation device, a generation method, and a generation program.
  • malware has become more sophisticated, there has been an increase in malware that is difficult to detect with conventional antivirus software that detects based on signatures.
  • detection by a dynamic analysis sandbox that runs sent and received files in an isolated environment for analysis and detects malware based on the maliciousness of the observed behavior, but there is a gap with the general user environment. It has come to be detected that it is an environment for analysis by the method of looking at the degree, and it has come to be avoided.
  • EDR Endpoint Detection and Response
  • IOC Indicator of Compromise
  • malware whether or not malware can be detected by EDR depends on whether IOCs useful for detecting certain malware are retained. On the other hand, if the IOC matches traces of not only malware activities but also legitimate software activities, there is a problem of false detection. Therefore, it is necessary to selectively extract useful traces for detection and make them into IOCs, instead of blindly increasing the number by making traces of malware into IOCs.
  • IOCs that can be checked by EDR at once
  • IOCs are generated based on activity traces obtained by analyzing malware.
  • IOCs are obtained by collecting traces obtained by executing malware while monitoring its behavior, normalizing it, and selecting a combination suitable for detection. From the above, there is a demand for a technique for selectively and automatically extracting traces of activity that are useful for malware detection.
  • Non-Patent Document 1 proposes a method of extracting patterns of traces repeatedly observed among multiple pieces of malware and using them as IOCs.
  • Non-Patent Document 2 by extracting a set of traces that co-occur between malware of the same family and preventing the complexity of the IOC from increasing by a set optimization method, IOCs that are easy for humans to understand are automatically generated.
  • an execution trace tracks the execution status of a program by sequentially recording behavior from various perspectives during execution.
  • a program equipped with a function of monitoring and recording behavior is called a tracer.
  • a record of executed APIs Application Programming Interface
  • an API tracer a program for realizing it is called an API tracer.
  • script-type malware generally does not have a distinct family unlike executable binary-type malware.
  • a family represents a type of malware, and is a collection of malware having similar characteristics.
  • Non-Patent Document 1 and Non-Patent Document 2 generate IOCs based on traces of activities commonly seen within the same family. Therefore, it is difficult to apply these methods to script-type malware that does not have a clear family and to generate effective IOCs.
  • the present invention has been made in view of the above, and it is an object of the present invention to provide a generation device, generation method, and generation program that enable effective IOC generation even for script-type malware.
  • a generation device includes an acquisition unit that acquires behavior information about behavior of malware and collected information about the date and time when the malware was collected; a first classifier that classifies the malware into a first group based on the information; and a second classifier that further classifies the malware classified into the first group into a second group based on the collected information. a detection unit that detects traces of activity of the malware from the behavior information; and a generation unit that generates trace information of the malware from the traces of activity indicated by the malware classified into the second group. It is characterized by
  • a generation method is a generation method executed by a generation device, comprising: an acquisition step of acquiring behavior information related to behavior of malware and collected information related to the date and time when the malware was collected; A first classification step of classifying the malware into a first group based on the information; and a second classification of further classifying the malware classified into the first group into a second group based on the collected information. a detecting step of detecting activity traces of the malware from the behavior information; and a generating step of generating trace information of the malware from the activity traces indicated by the malware classified into the second group. It is characterized by
  • the generation program includes: an acquisition step of acquiring behavior information about the behavior of malware and collected information about the date and time when the malware was collected; a second classification step of further classifying the malware classified into the first group into a second group based on the collected information; and an activity trace of the malware from the behavior information and a generation step of generating the malware trace information from the activity trace indicated by the malware classified into the second group.
  • the present invention enables IOC generation effectively against script-type malware.
  • FIG. 1 is a diagram showing a configuration example of a trace information generation system according to the first embodiment.
  • FIG. 2 is a block diagram showing a configuration example of the trace information generating device according to the first embodiment.
  • FIG. 3 is a diagram showing an overview of classification processing according to the first embodiment.
  • FIG. 4 is a flowchart showing an example of the overall flow of trace information generation processing according to the first embodiment.
  • FIG. 5 is a flowchart showing an example of the flow of behavior information acquisition processing according to the first embodiment.
  • FIG. 6 is a flowchart showing an example of the flow of activity trace detection processing according to the first embodiment.
  • FIG. 7 is a flowchart illustrating an example of the flow of first classification processing according to the first embodiment.
  • FIG. 1 is a diagram showing a configuration example of a trace information generation system according to the first embodiment.
  • FIG. 2 is a block diagram showing a configuration example of the trace information generating device according to the first embodiment.
  • FIG. 3 is a diagram showing an overview
  • FIG. 8 is a flowchart showing an example of the flow of time window determination processing according to the first embodiment.
  • FIG. 9 is a flowchart showing an example of the flow of second classification processing according to the first embodiment.
  • FIG. 10 is a flowchart illustrating an example of the flow of IOC generation processing according to the first embodiment.
  • FIG. 11 is a diagram showing a computer executing a program.
  • Embodiments of a trace information generating device (generating device as appropriate), a method of generating trace information (method of generating as appropriate), and a program for generating trace information (generating program as appropriate) according to the present invention will be described in detail below with reference to the drawings. do. In addition, this invention is not limited by embodiment described below.
  • FIG. 1 is a diagram showing a configuration example of a trace information generation system according to the first embodiment.
  • This system 100 includes a trace information generation device 10, a malware collection device 20 functioning as a sensor, and security response organizations 30 (30A, 30B, 30C) such as SOC (Security Operation Center) and CSIRT (Computer Security Incident Response Team). and
  • security response organizations 30 such as SOC (Security Operation Center) and CSIRT (Computer Security Incident Response Team).
  • the trace information generation device 10, the malware collection device 20, and the security support organization 30 are communicatively connected by wire or wirelessly via a predetermined communication network (not shown).
  • the trace information generation system 100 shown in FIG. 1 may include multiple trace information generation devices 10 and multiple malware collection devices 20 .
  • the trace information generation device 10 receives input of malware from the malware collection device 20 (step S1).
  • the malware collection device 20 is a device dedicated to collecting information on malware such as research malware sharing services such as VirusTotal, CSIRT in an organization, and honeypots, but is not particularly limited.
  • the malware collection device 20 may be a PC (Personal Computer) owned by a user of a general network, a smartphone, a tablet terminal, or the like.
  • the trace information generation device 10 analyzes the input malware, and obtains behavior information related to the behavior of malware, which is information useful for classifying malware (step S2). At this time, the trace information generation device 10 acquires behavior information including features with high similarity between variants (eg, API trace information, file metadata). Subspecies here refer to malware created by the same attacker and having a high degree of similarity to each other in terms of behavior, for example. Detailed malware behavior information acquisition processing by the trace information generation device 10 will be described later in [Flow of behavior information acquisition processing]. In addition, the trace information generation device 10 acquires collected information regarding the collection date and time of the malware whose input is received.
  • behavior information including features with high similarity between variants (eg, API trace information, file metadata).
  • Subspecies refer to malware created by the same attacker and having a high degree of similarity to each other in terms of behavior, for example.
  • Detailed malware behavior information acquisition processing by the trace information generation device 10 will be described later in [Flow of behavior information acquisition processing].
  • the trace information generation device 10 acquires collected
  • the trace information generating device 10 discovers activity traces of malware from the acquired behavior information (step S3). At this time, the trace information generating device 10 preliminarily lists portions where traces are likely to remain during activities (eg, file and registry operations, process generation and communication), and if they appear in the analysis results, they are regarded as activity traces. To detect. Details of the activity trace detection processing by the trace information generation device 10 will be described later in [Flow of activity trace detection processing].
  • the trace information generation device 10 extracts malware characteristics (suitably, “malware characteristics”) indicating that the attacker is the same attacker from the acquired behavior information, and classifies the malware (step S4). At this time, the trace information generation device 10 performs clustering based on the extracted features of the malware, and creates clusters for each feature of the attacker. Details of the first classification process by the trace information generation device 10 will be described later in [Flow of First Classification Process].
  • features such as API traces and metadata included in the behavior information generally have high similarity between subspecies of malware. Therefore, by clustering based on such characteristics, it can be expected that subspecies of malware will be classified into the same cluster.
  • detection by the same IOC can be expected by first grouping together malware with a high possibility of being made by the same attacker based on the similarity of behavior, that is, the similarity of attack methods.
  • the trace information generation device 10 determines a time window corresponding to the time period of malware attack, for use in the second classification process (step S5).
  • a fixed value may be determined manually by investigating trends in past malware, etc., or it may be dynamically determined by focusing on changes in the trend of character strings in traces of activity. may be determined. In the latter case, the trace information generation device 10 determines the time window from the malware activity trace. At this time, the trace information generating device 10 clusters malware based on the similarity of the character strings of activity traces, and demarcates a time window each time an outlier malware occurs, assuming that a new trend has started. The detailed time window determination processing by the trace information generation device 10 will be described later in [Flow of time window determination processing].
  • the trace information generation device 10 further classifies malware having attacks close to the date and time of attack based on the date and time of collection of malware indicated by the collected information (step S6). At this time, the trace information generating device 10 further classifies clusters of the same attacker using the time window determined in step S5. Details of the second classification process by the trace information generation device 10 will be described later in [Flow of Second Classification Process].
  • the time window is introduced for classification processing because even malware by the same attacker, whose attack dates and times are different, may have significantly different activity traces. In consideration of this, it is expected that a more effective IOC will be generated from the activity traces of the same classified destinations and the dates and times of attacks that are close to each other.
  • the trace information generation device 10 generates an IOC (trace information) of malware from the activity trace and the classification result (step S7). At this time, the trace information generation device 10 virtually regards malware belonging to the same classification destination and time window as the same family, so that the conventional IOC generation technology can be applied and the IOC is generated.
  • the detailed IOC generation processing by the trace information generation device 10 will be described later in [Flow of IOC generation processing].
  • trace information generation device 10 transmits the generated IOC to security response organization 30 (step S8).
  • a terminal or the like to which the trace information generating device 10 transmits the IOC is not particularly limited.
  • malware is analyzed to obtain behavior information useful for classification, and based on the behavior information, malware having similar characteristics are grouped together, Among the malware of the same classification destination, those whose attack date and time are within a specific range are further grouped, a virtual family is created based on these, and an IOC is generated from the activity trace. This enables the system 100 to generate an IOC even for malware that does not have family information, such as script-type malware.
  • the system 100 is useful for generating IOCs for malware that does not have family information, and is suitable for automatically generating IOCs from such malware. Therefore, in this system 100, by generating an IOC to be input to the EDR, it is possible to operate the EDR more effectively and take effective measures against malware with SOC, CSIRT, and the like.
  • FIG. 2 is a block diagram showing a configuration example of the trace information generating device according to the first embodiment.
  • the trace information generation device 10 has an input unit 11 , an output unit 12 , a communication unit 13 , a storage unit 14 and a control unit 15 .
  • the input unit 11 controls input of various information to the trace information generation device 10 .
  • the input unit 11 is, for example, a mouse or a keyboard, and receives input such as setting information to the trace information generation device 10 .
  • the output unit 12 controls output of various information from the trace information generation device 10 .
  • the output unit 12 is, for example, a display or the like, and outputs setting information or the like stored in the trace information generating device 10 .
  • the communication unit 13 manages data communication with other devices. For example, the communication unit 13 performs data communication with each communication device. Further, the communication unit 13 can perform data communication with an operator's terminal (not shown).
  • the storage unit 14 stores various information referred to when the control unit 15 operates and various information acquired when the control unit 15 operates.
  • the storage unit 14 has a behavior information storage unit 14a, a collected information storage unit 14b, and a classification information storage unit 14c.
  • the storage unit 14 is, for example, a RAM (Random Access Memory), a semiconductor memory device such as a flash memory, or a storage device such as a hard disk or an optical disk.
  • the storage unit 14 is installed inside the trace information generation device 10, but it may be installed outside the trace information generation device 10, and a plurality of storage units may be installed. may
  • the behavior information storage unit 14a stores behavior information.
  • the behavior information storage unit 14a stores API traces involved in network communication, file operation, registry operation, or process generation acquired by the acquisition unit 15a of the control unit 15 .
  • the behavior information storage unit 14a may also store a value (metadata) of the header portion of the malware file acquired by the acquisition unit 15a.
  • the behavior information storage unit 14a may store the collected information about the collection date and time of the malware acquired by the acquisition unit 15a in association with the behavior information.
  • the collected information storage unit 14b stores collected information.
  • the collected information storage unit 14b stores, as collected information, the collection date and collection time for each piece of malware collected by the malware collection device 20 .
  • classification information storage unit 14c stores classification information.
  • the classification information storage unit 14c stores, as classification information, classification destination information indicating the classification destination of malware classified by the first classification unit 15c, and malware belonging to the same time window classified by the second classification unit 15e. Store the indicated time window information.
  • the control unit 15 controls the overall trace information generation device 10 .
  • the control unit 15 has an acquisition unit 15a, a detection unit 15b, a first classification unit 15c, a determination unit 15d, a second classification unit 15e, and a generation unit 15f.
  • the control unit 15 is, for example, an electronic circuit such as a CPU (Central Processing Unit) or an MPU (Micro Processing Unit), or an integrated circuit such as an ASIC (Application Specific Integrated Circuit) or an FPGA (Field Programmable Gate Array).
  • the acquisition unit 15a acquires behavior information about the behavior of malware. For example, the acquiring unit 15a acquires, as the behavior information, an API trace related to an API that is invoked by executing malware in an isolated environment. To give a specific example, the acquisition unit 15a executes malware in an isolated environment, and records API traces called APIs together with arguments and return values. Get the API trace involved in the generation. Alternatively, the acquiring unit 15a may acquire metadata obtained by examining values held in the header portion of the malware file. Note that the acquisition unit 15a may use static analysis that does not execute malware instead of dynamic analysis that executes malware. On the other hand, the acquisition unit 15a stores the acquired behavior information in the behavior information storage unit 14a.
  • the acquisition unit 15a acquires collected information about the date and time when malware was collected. For example, the acquiring unit 15a acquires, as the collected information, the collection date and collection time for each piece of malware collected by the malware collection device 20 . On the other hand, the acquiring unit 15a may store the acquired collected information in the collected information storage unit 14b.
  • the detection unit 15b detects traces of malware activity from the behavior information. For example, the detection unit 15b preliminarily lists portions where traces are likely to remain during malware activity, and detects traces appearing in the enumerated portions as activity traces of the malware. To give a specific example, the detection unit 15b detects traces of activity from API traces involved in network communication, file manipulation, registry manipulation, or process generation as portions where traces tend to remain. On the other hand, the detection unit 15 b may store the detected activity trace of malware in the storage unit 14 .
  • the first classification unit 15c classifies malware into a first group based on behavior information. For example, the first classification unit 15c extracts features with high similarity between subspecies from the behavior information, performs clustering based on the extracted features, and classifies malware into a first group. As a specific example, the first classification unit 15c extracts malware features used to classify malware by the same attacker from the behavior information acquired by the acquisition unit 15a, and performs clustering based on the extracted malware features. , into a first group by malware by the same attacker. On the other hand, the first classification unit 15c stores classification destination information regarding the classified first group in the classification information storage unit 14c.
  • a hierarchical method such as Ward's method may be used, or a non-hierarchical method such as K-means may be used.
  • a hierarchical method such as Ward's method
  • a non-hierarchical method such as K-means
  • the method is not limited to these.
  • the determination unit 15d determines a time window indicating a time segment based on collected information in order to capture malware having the same activity trace tendency.
  • a fixed value can be manually determined by investigating past malware trends, or a dynamic value may be determined.
  • the determination unit 15d determines a time window in which the same trend is observed in the activity traces, and inputs the time window to the second classification unit 15e.
  • the second classification unit 15e further classifies the malware classified into the first group into the second group based on the collected information. For example, the second classification unit 15e further classifies malware belonging to the set time window out of the malware classified into the first group into the second group using time windows indicating time divisions based on the collected information. . To give a specific example, the second classification unit 15e sets a time window of a predetermined length from the collected information acquired by the acquisition unit 15a, and selects the first group classified by the first classification unit 15c. By dividing by time windows, malware by the same attacker and collected within the same time window is further classified as a second group. On the other hand, the second classification unit 15e stores the time window information regarding the classified second group in the classification information storage unit 14c.
  • the generation unit 15f generates trace information of malware from traces of activity indicated by malware classified into the second group. For example, the generation unit 15f generates trace information (IOC) of malware from traces of activity indicated by malware by the same attacker and collected within the same time window. At this time, the generation unit 15f replaces character strings other than the common character strings with symbols representing arbitrary character strings in order to detect, for example, file names containing common character strings detected as activity traces. Information is generated, but the method of generating trace information is not particularly limited.
  • FIG. 3 is a diagram showing an overview of classification processing according to the first embodiment.
  • the trace information generation device 10 analyzes the collected malware and clusters them based on the behavioral characteristics of the malware (see (1) in FIG. 3).
  • the trace information generating device 10 classifies 10 samples of malware M1 to M10 into cluster C1 (M1 to M5) and cluster C2 (M6 to M10). Therefore, in the first classification process, by classifying based on the commonality of behavior of malware, for example, malware by the same attacker can be classified.
  • the trace information generation device 10 classifies the clustered malware by time windows indicating that they were collected in the same time zone (see FIG. 3(2)).
  • the trace information generating device 10 classifies M1, M2, and M4 among the malware classified into the cluster C1 into the time window T1, and classifies M3 and M5 into the time window T2.
  • the trace information generation device 10 classifies malware M6 and M8 classified into cluster C2 into time window T3, and classifies malware M7, M9, and M10 into time window T4. Therefore, in the second classification process, by further classifying the malware based on the date and time when the malware was collected, for example, among the same attackers, it is possible to classify malware whose attack dates and times are close to each other.
  • FIG. 4 is a flowchart showing an example of the overall flow of trace information generation processing according to the first embodiment. Note that steps S101 to S109 described below can be performed in a different order. Also, some of steps S101 to S109 below may be omitted.
  • the input unit 11 of the trace information generation device 10 receives, from the malware collection device 20, input of malware for which trace information (IOC) is to be generated, and input of collected information related to the date and time when the malware was collected (step S101). At this time, the input unit 11 may receive input of malware information from a device other than the malware collection device 20 .
  • the acquisition unit 15a executes behavior information acquisition processing (step S102). Details of behavior information acquisition processing by the acquisition unit 15a will be described later in [Flow of behavior information acquisition processing].
  • the acquisition unit 15 a also acquires collected information about malware whose input is received by the input unit 11 .
  • the detection unit 15b executes an activity trace detection process (step S103). Details of the activity trace detection processing by the detection unit 15b will be described later in [Flow of activity trace detection processing].
  • the first classification unit 15c executes a first classification process (step S104).
  • the detailed first classification processing by the first classification unit 15c will be described later in [Flow of first classification processing].
  • the determination unit 15d executes time window determination processing (step S105). The detailed time window determination processing by the determination unit 15d will be described later in [Flow of time window determination processing].
  • the second classification unit 15e executes a second classification process (step S106).
  • the detailed second classification processing by the second classification unit 15e will be described later in [Flow of Second Classification Processing].
  • step S107: Yes if malware of the same classification destination is found within the time window, the second classification unit 15e proceeds to the IOC generation process of step S108. On the other hand, the second classification unit 15e terminates the process when malware of the same classification destination is not found within the time window (step S107: No).
  • the generation unit 15f executes an IOC generation process (step S108).
  • the detailed IOC generation processing by the generation unit 15f will be described later in [Flow of IOC generation processing].
  • the output unit 12 outputs the IOC generated in the process of step S108 (step S109), and ends the process. Also, the communication unit 13 may transmit the generated IOC to the security support organization 30 .
  • FIG. 5 is a flowchart showing an example of the flow of behavior information acquisition processing according to the first embodiment. Note that steps S201 to S204 below may be performed in a different order. Also, some of steps S201 to S204 below may be omitted.
  • the acquisition unit 15a receives input of malware (step S201), executes the malware in the analysis environment (step S202), acquires behavior information from observed behavior (step S203), and stores the behavior information in the storage unit 14. (step S204), and the behavior information acquisition process is repeated.
  • FIG. 6 is a flowchart showing an example of the flow of activity trace detection processing according to the first embodiment. Note that steps S301 to S308 below can be performed in a different order. Also, some of steps S301 to S308 below may be omitted.
  • the detection unit 15b receives behavior information (step S301), receives a list of portions where traces of activity tend to remain (step S302), and extracts arbitrary portions from the list (step S303). At this time, if the portion is included in the behavior information (step S304: Yes), the detection unit 15b processes it as a malware activity trace (step S305). On the other hand, if the part is not included in the behavior information (step S304: No), the detection unit 15b extracts another part from the list (step S306), and proceeds to the process of step S304.
  • step S307 Yes
  • the detection unit 15b outputs a trace of malware activity (step S308), and repeats the trace of activity detection process.
  • step S307 No
  • the detection unit 15b extracts another part from the list (step S306), and proceeds to the process of step S304.
  • FIG. 7 is a flowchart illustrating an example of the flow of first classification processing according to the first embodiment. Note that steps S401 to S406 below may be performed in a different order. Also, some of steps S401 to S406 below may be omitted.
  • the first classification unit 15c receives behavior information (step S401), extracts malware features from the behavior information (step S402), selects only useful features from the malware features (step S403), Perform reduction and normalization processing (step S404), classify malware showing similar behaviors so that they are classified into the same destination (step S405), and store the classification destination information of each piece of malware in the storage unit 14 (step S406), the first classification process is repeated.
  • FIG. 8 is a flowchart showing an example of the flow of time window determination processing according to the first embodiment. Note that steps S501 to S507 below can be performed in a different order. Also, some of steps S501 to S507 below may be omitted.
  • the determining unit 15d receives malware activity traces (step S501), character strings of activity traces into feature vectors (step S502), and clusters malware based on the similarity of activity traces (step S503). At this time, if the malware with the new collection date and time becomes an outlier (step S504: Yes), the determining unit 15d sets a new time window so as to divide the malware that becomes an outlier (step S505), A time window is output (step S507), and the time window determination process is repeated. On the other hand, if the malware with the new collection date and time is not an outlier (step S504: No), the determining unit 15d extends the current time window so as to include the latest malware (step S506), and extends the time window. output (step S507) and repeat the time window determination process.
  • FIG. 9 is a flowchart showing an example of the flow of second classification processing according to the first embodiment. Note that steps S601-S605 below can be performed in a different order. Also, some of steps S601 to S605 below may be omitted.
  • the second classification unit 15e receives the collected information and the classification destination information of the malware (step S601), receives the length of the time window to be set (step S602), extracts the malware of the same classification destination (step S603), Separated by time windows, the malware within the time windows having the same collection date and time is classified (step S604), the time window information of each malware is stored in the storage unit 14 (step S605), and the second classification process is repeated.
  • FIG. 10 is a flowchart illustrating an example of the flow of IOC generation processing according to the first embodiment. Note that steps S701 to S706 below can be performed in a different order. Also, some of steps S701 to S706 below may be omitted.
  • the generation unit 15f receives malware activity traces, classification destination information, and time window information (step S701), determines that malware belonging to the same classification destination and time window belong to the same family (step S702), and determines that malware belongs to the same family (step S702).
  • activity traces with high potentiality are extracted (step S703), the activity traces are normalized (step S704), a combination of activity traces useful for detection is selected (step S705), and the selected combination of activity traces is The IOC is expressed in an appropriate format (step S706), and the IOC generation process is repeated.
  • time windows indicating time divisions based on collected information are used to identify malware belonging to the set time window among malware classified into the first group. Further classify into a second group. For this reason, in this process, by classifying malware into alternative groups for malware families, it is possible to effectively generate IOCs even for script-type malware.
  • malware is clustered based on the similarity of character strings in activity traces, and a time window is determined based on changes in trends of the clustered malware. Therefore, in this process, by continuously classifying alternative groups of malware families, it is possible to effectively generate IOCs even for script-type malware.
  • malware is executed in an isolated environment and an API trace related to the called API is acquired. Therefore, in this process, by acquiring information including the similarity of behavior of malware, it is possible to effectively generate an IOC even for script-type malware.
  • traces of malware activity are detected from API traces involved in network communication, file manipulation, registry manipulation, or process generation.
  • this process by detecting activity traces of malware more efficiently, it is possible to effectively generate an IOC even for script-type malware.
  • each component of each device shown in the drawings according to the above embodiment is functionally conceptual, and does not necessarily need to be physically configured as shown in the drawing.
  • the specific form of distribution and integration of each device is not limited to the one shown in the figure, and all or part of them can be functionally or physically distributed and integrated in arbitrary units according to various loads and usage conditions. Can be integrated and configured.
  • each processing function performed by each device may be implemented in whole or in part by a CPU and a program analyzed and executed by the CPU, or implemented as hardware based on wired logic.
  • ⁇ program ⁇ It is also possible to create a program in which the processing executed by the trace information generation device 10 described in the above embodiment is described in a computer-executable language. In this case, the same effects as those of the above embodiments can be obtained by having the computer execute the program. Further, such a program may be recorded in a computer-readable recording medium, and the program recorded in this recording medium may be read by a computer and executed to realize processing similar to that of the above embodiments.
  • FIG. 11 is a diagram showing a computer that executes a program.
  • computer 1000 includes, for example, memory 1010, CPU 1020, hard disk drive interface 1030, disk drive interface 1040, serial port interface 1050, video adapter 1060, and network interface 1070. , and these units are connected by a bus 1080 .
  • the memory 1010 includes a ROM (Read Only Memory) 1011 and a RAM 1012, as illustrated in FIG.
  • the ROM 1011 stores a boot program such as BIOS (Basic Input Output System).
  • Hard disk drive interface 1030 is connected to hard disk drive 1090 as illustrated in FIG.
  • Disk drive interface 1040 is connected to disk drive 1100 as illustrated in FIG.
  • a removable storage medium such as a magnetic disk or optical disk is inserted into the disk drive 1100 .
  • the serial port interface 1050 is connected to, for example, a mouse 1110 and a keyboard 1120, as illustrated in FIG.
  • Video adapter 1060 is connected to display 1130, for example, as illustrated in FIG.
  • the hard disk drive 1090 stores an OS 1091, application programs 1092, program modules 1093, and program data 1094, for example. That is, the above program is stored in, for example, the hard disk drive 1090 as a program module in which instructions to be executed by the computer 1000 are written.
  • the various data described in the above embodiments are stored as program data in the memory 1010 or the hard disk drive 1090, for example. Then, the CPU 1020 reads the program modules 1093 and program data 1094 stored in the memory 1010 and the hard disk drive 1090 to the RAM 1012 as necessary, and executes various processing procedures.
  • program module 1093 and program data 1094 related to the program are not limited to being stored in the hard disk drive 1090, and may be stored in a removable storage medium, for example, and read out by the CPU 1020 via a disk drive or the like. .
  • the program module 1093 and program data 1094 related to the program are stored in another computer connected via a network (LAN (Local Area Network), WAN (Wide Area Network), etc.), and via the network interface 1070 It may be read by CPU 1020 .
  • LAN Local Area Network
  • WAN Wide Area Network
  • trace information generation device generation device
  • input unit output unit 13 communication unit
  • storage unit 14a behavior information storage unit
  • 14b collected information storage unit
  • classification information storage unit 15 control unit 15a acquisition unit 15b detection unit 15c first classification unit 15d determination unit 15e second classification unit 15f Generation unit
  • Malware collection device 30, 30A, 30B, 30C Security response organization 100 Trace information generation system

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Hardware Design (AREA)
  • General Engineering & Computer Science (AREA)
  • Software Systems (AREA)
  • Theoretical Computer Science (AREA)
  • Health & Medical Sciences (AREA)
  • General Health & Medical Sciences (AREA)
  • Virology (AREA)
  • Physics & Mathematics (AREA)
  • General Physics & Mathematics (AREA)
  • Debugging And Monitoring (AREA)

Abstract

痕跡情報生成装置（１０）は、マルウェアの挙動に関する挙動情報と、マルウェアが収集された日時に関する収集情報とを取得する取得部（１５ａ）と、挙動情報に基づいて、マルウェアを第１のグループに分類する第１分類部（１５ｃ）と、収集情報に基づいて、第１のグループに分類されたマルウェアを第２のグループにさらに分類する第２分類部（１５ｅ）と、挙動情報からマルウェアの活動痕跡を検出する検出部（１５ｂ）と、第２のグループに分類されるマルウェアが示す活動痕跡から、マルウェアの痕跡情報を生成する生成部（１５ｆ）と、を備える。

Description

生成装置、生成方法および生成プログラム
　本発明は、生成装置、生成方法および生成プログラムに関する。
　近年、マルウェアの巧妙化に伴い、シグネチャに基づいて検出する従来型のアンチウイルスソフトウェアでは検出の難しいマルウェアが増加してきている。また、送受信されたファイルを隔離された解析用の環境で動作させ、観測された挙動の悪性度からマルウェアを検出する動的解析サンドボックスによる検出も存在するが、一般的なユーザ環境との乖離度を見る方法等により、解析用の環境であることが感知され、回避されるようになってきた。
　このような背景から、ＥＤＲ（Endpoint　Detection　and　Response）と呼ばれるマルウェア対策技術が用いられるようになってきた。ＥＤＲでは、解析用に用意した環境ではなく、ユーザの端末にインストールされるエージェントを用いて、端末の挙動を継続的に監視する。そして、あらかじめ用意された、マルウェアが活動した際に残す痕跡を検出するためのいわば挙動のシグネチャである痕跡情報（ＩＯＣ：Indicator　of　Compromise）を用いて、マルウェアを検出する。具体的には、ＥＤＲは、端末で観測された挙動とＩＯＣを照合し、一致する場合はマルウェアに感染した疑いがあるとして検出する。
　したがって、ＥＤＲによるマルウェアの検出の可否は、あるマルウェアの検出に有用なＩＯＣが保持されているかに依存する。一方、ＩＯＣがマルウェアのみならず正規のソフトウェアの活動の痕跡にも一致してしまうような場合には、誤検知に繋がるという問題がある。それゆえに、ただ闇雲にマルウェアの痕跡をＩＯＣにして数を増やすのではなく、検出に有用な痕跡を選択的に抽出してＩＯＣにしていく必要がある。
　また、ＥＤＲが一度に照合できるＩＯＣの観点からも、検出に有用な痕跡を選択的に抽出してＩＯＣにしていく必要が生じる。すなわち、ＥＤＲは一般に多くのＩＯＣを持つほど照合に時間がかかるため、より少ない数のＩＯＣでより多くの種類のマルウェアを検出するＩＯＣの組み合わせを持つことが望ましい。その際に、検出に有用でない活動痕跡からＩＯＣを生成してしまうと、無用に照合の時間をかけてしまうことに繋がる。
　現在では、日々新しいマルウェアが生み出されており、それに対応したＩＯＣも変化し続ける。そのため、それらに対して継続的に対応するためには、マルウェアを自動的に解析して活動の痕跡を抽出し、ＩＯＣを生成していく必要がある。ＩＯＣは、マルウェアを解析して得られた活動痕跡に基づいて生成される。一般に、マルウェアの挙動を監視しながら実行して得られた痕跡を収集し、それに正規化を施したり、検知に適した組み合わせ選択したりすることでＩＯＣとする。以上から、マルウェアの検出に有用な活動痕跡を選択的かつ自動的に抽出する技術が希求される。
　例えば、非特許文献１では、複数のマルウェア間で繰り返し観測される痕跡のパターンを抽出し、ＩＯＣとして用いる手法を提案している。また、非特許文献２では、同一ファミリーのマルウェア間で共起する痕跡の集合を抽出し、集合の最適化手法によってＩＯＣの複雑度が高まるのを防ぐことで、人間が理解しやすいＩＯＣを自動で生成する手法を提案している。これらの手法によれば、実行トレースログからマルウェアの検出に貢献し得るＩＯＣを自動的に抽出することが可能である。
　ここで、実行トレースとは、実行時に様々な観点からの挙動を順に記録していくことで、プログラムの実行状況を追跡するものである。また、これを実現するために、挙動を監視して記録する機能を備えたプログラムを、トレーサと呼ぶ。例えば、実行されたＡＰＩ（Application　Programming　Interface）を順に記録したものをＡＰＩトレースと呼び、それを実現するためのプログラムをＡＰＩトレーサと呼ぶ。
Christian　Doll　et　al.　"Automated　Pattern　Inference　Based　on　Repeatedly　Observed　Malware　Artifacts."　Proceedings　of　the　14th　International　Conference　on　Availability,　Reliability　and　Security.　2019. Yuma　Kurogome　et　al.　"EIGER:　Automated　IOC　Generation　for　Accurate　and　Interpretable　Endpoint　Malware　Detection."　Proceedings　of　the　35th　Annual　Computer　Security　Applications　Conference.　2019.
　しかしながら、上述した従来技術では、実行可能バイナリ型のマルウェアへのＩＯＣの生成のみを対象としており、スクリプト型のマルウェアを対象としたＩＯＣの生成を考慮していないという課題があった。ここで、スクリプト型マルウェアは、実行可能バイナリ型のマルウェアと異なり、一般に明確なファミリーを持たない。なお、ファミリーとは、マルウェアの種族を表し、類似した特徴を持ったマルウェア同士をまとめたものである。
　非特許文献１および非特許文献２に記載の手法では、同一ファミリー内で共通的に見られる活動の痕跡に基づいてＩＯＣを生成している。そのため、これらの手法を、明確なファミリーを持たないスクリプト型のマルウェアに対して適用し、効果的なＩＯＣを生成することは難しい。
　特に、スクリプト型のマルウェアにおいては、挙動は類似していても、時間の経過につれて活動の痕跡が大きく変化する場合がある。したがって、従来の実行可能バイナリ型のマルウェアのように挙動の類似性のみに基づいてファミリーを決定したとしても、活動痕跡のばらつきが大きくなり得る。その結果、同一のファミリーに対して共通的に有効なＩＯＣを生成できない場合がある。
　本発明は、上記に鑑みてなされたものであって、スクリプト型マルウェアに対しても効果的にＩＯＣの生成を可能にする生成装置、生成方法及び生成プログラムを提供することを目的とする。
　上述した課題を解決し、目的を達成するために、本発明に係る生成装置は、マルウェアの挙動に関する挙動情報と、前記マルウェアが収集された日時に関する収集情報とを取得する取得部と、前記挙動情報に基づいて、前記マルウェアを第１のグループに分類する第１分類部と、前記収集情報に基づいて、前記第１のグループに分類されたマルウェアを第２のグループにさらに分類する第２分類部と、前記挙動情報から前記マルウェアの活動痕跡を検出する検出部と、前記第２のグループに分類されるマルウェアが示す前記活動痕跡から、前記マルウェアの痕跡情報を生成する生成部と、を備えることを特徴とする。
　また、本発明に係る生成方法は、生成装置によって実行される生成方法であって、マルウェアの挙動に関する挙動情報と、前記マルウェアが収集された日時に関する収集情報とを取得する取得工程と、前記挙動情報に基づいて、前記マルウェアを第１のグループに分類する第１分類工程と、前記収集情報に基づいて、前記第１のグループに分類されたマルウェアを第２のグループにさらに分類する第２分類工程と、前記挙動情報から前記マルウェアの活動痕跡を検出する検出工程と、前記第２のグループに分類されるマルウェアが示す前記活動痕跡から、前記マルウェアの痕跡情報を生成する生成工程と、を含むことを特徴とする。
　また、本発明に係る生成プログラムは、マルウェアの挙動に関する挙動情報と、前記マルウェアが収集された日時に関する収集情報とを取得する取得ステップと、前記挙動情報に基づいて、前記マルウェアを第１のグループに分類する第１分類ステップと、前記収集情報に基づいて、前記第１のグループに分類されたマルウェアを第２のグループにさらに分類する第２分類ステップと、前記挙動情報から前記マルウェアの活動痕跡を検出する検出ステップと、前記第２のグループに分類されるマルウェアが示す前記活動痕跡から、前記マルウェアの痕跡情報を生成する生成ステップと、をコンピュータに実行させることを特徴とする。
　本発明では、スクリプト型マルウェアに対して効果的にＩＯＣの生成を可能にする。
図１は、第１の実施形態に係る痕跡情報生成システムの構成例を示す図である。 図２は、第１の実施形態に係る痕跡情報生成装置の構成例を示すブロック図である。 図３は、第１の実施形態に係る分類処理の概要を示す図である。 図４は、第１の実施形態に係る痕跡情報生成処理全体の流れの一例を示すフローチャートである。 図５は、第１の実施形態に係る挙動情報取得処理の流れの一例を示すフローチャートである。 図６は、第１の実施形態に係る活動痕跡検出処理の流れの一例を示すフローチャートである。 図７は、第１の実施形態に係る第１分類処理の流れの一例を示すフローチャートである。 図８は、第１の実施形態に係る時間窓決定処理の流れの一例を示すフローチャートである。 図９は、第１の実施形態に係る第２分類処理の流れの一例を示すフローチャートである。 図１０は、第１の実施形態に係るＩＯＣ生成処理の流れの一例を示すフローチャートである。 図１１は、プログラムを実行するコンピュータを示す図である。
　以下に、本発明に係る痕跡情報生成装置（適宜、生成装置）、痕跡情報生成方法（適宜、生成方法）および痕跡情報生成プログラム（適宜、生成プログラム）の実施形態を図面に基づいて詳細に説明する。なお、本発明は、以下に説明する実施形態により限定されるものではない。
〔第１の実施形態〕
　以下に、本実施形態に係る痕跡情報生成システムの構成、痕跡情報生成装置の構成、分類処理の概要、痕跡情報生成処理の流れを順に説明し、最後に本実施形態の効果を説明する。
［痕跡情報生成システムの構成］
　図１を用いて、本実施形態に係る痕跡情報生成システム（適宜、本システム）１００の構成を詳細に説明する。図１は、第１の実施形態に係る痕跡情報生成システムの構成例を示す図である。本システム１００は、痕跡情報生成装置１０と、センサとして機能するマルウェア収集装置２０と、ＳＯＣ（Security　Operation　Center）やＣＳＩＲＴ（Computer　Security　Incident　Response　Team）等のセキュリティ対応組織３０（３０Ａ、３０Ｂ、３０Ｃ）とを有する。ここで、痕跡情報生成装置１０とマルウェア収集装置２０とセキュリティ対応組織３０とは、図示しない所定の通信網を介して、有線または無線により通信可能に接続される。なお、図１に示した痕跡情報生成システム１００には、複数台の痕跡情報生成装置１０、複数台のマルウェア収集装置２０が含まれてもよい。
（マルウェア収集処理）
　まず、痕跡情報生成装置１０は、マルウェア収集装置２０からマルウェアの入力を受け付ける（ステップＳ１）。ここで、マルウェア収集装置２０は、VirusTotal等の研究用のマルウェア共有サービス、組織内のＣＳＩＲＴ、ハニーポット等のマルウェアの情報を収集する専用の機器であるが、特に限定されない。マルウェア収集装置２０は、一般的なネットワーク等の利用者が所有するＰＣ（Personal　Computer）、スマートフォン、タブレット端末等であってもよい。
（挙動情報取得処理）
　次に、痕跡情報生成装置１０は、入力を受け付けたマルウェアを解析し、マルウェアの分類に有用な情報であって、マルウェアの挙動に関する挙動情報を取得する（ステップＳ２）。このとき、痕跡情報生成装置１０は、亜種間で類似性の高い特徴（例：ＡＰＩトレースの情報、ファイルのメタデータ）を含む挙動情報を取得する。ここでの亜種とは、同一の攻撃者によって作成され、例えば挙動などの観点からお互いに高い類似性を持つマルウェア同士を指す。なお、痕跡情報生成装置１０による詳細なマルウェアの挙動情報取得処理については、［挙動情報取得処理の流れ］にて後述する。また、痕跡情報生成装置１０は、入力を受け付けたマルウェアの収集日時に関する収集情報を取得する。
（活動痕跡検出処理）
　一方、痕跡情報生成装置１０は、取得した挙動情報からマルウェアの活動痕跡を発見する（ステップＳ３）。このとき、痕跡情報生成装置１０は、活動時に痕跡が残りやすい部分（例：ファイルやレジストリの操作、プロセス生成や通信）をあらかじめ列挙しておき、解析結果の中でそれらが現れたら活動痕跡として検出する。なお、痕跡情報生成装置１０による詳細な活動痕跡検出処理については、［活動痕跡検出処理の流れ］にて後述する。
（第１分類処理）
　続いて、痕跡情報生成装置１０は、取得した挙動情報から、同一の攻撃者であることを示すマルウェアの特徴（適宜、「マルウェア特徴」）を抽出し、マルウェアを分類する（ステップＳ４）。このとき、痕跡情報生成装置１０は、抽出したマルウェアの特徴に基づいてクラスタリングを行い、攻撃者の特徴ごとのクラスタを作成する。なお、痕跡情報生成装置１０による詳細な第１分類処理については、［第１分類処理の流れ］にて後述する。
　ここで、挙動情報に含まれるＡＰＩトレースやメタデータ等の特徴は、一般に亜種のマルウェア間での類似性が高い。そのため、そうした特徴に基づいてクラスタリングすることで、亜種のマルウェア同士が同じクラスタに分類されることが期待できる。また、挙動の類似性、すなわち攻撃の手法の類似性から、同じ攻撃者によるマルウェアの可能性が高いものをまずまとめることによって、同一のＩＯＣでの検知が期待できる。
（時間窓決定処理）
　次に、痕跡情報生成装置１０は、第２分類処理で用いるため、マルウェアの攻撃の時間区間に対応する時間窓を決定する（ステップＳ５）。ここで、時間窓には、過去のマルウェアの傾向を調査するなどして固定の値を人手で決定して用いてもよく、活動痕跡の文字列の傾向の変化に着目して動的に値を決定してもよい。後者の場合、痕跡情報生成装置１０は、マルウェアの活動痕跡から時間窓を決定する。このとき、痕跡情報生成装置１０は、活動痕跡の文字列の類似性に基づいてマルウェアをクラスタリングし、外れ値のマルウェアが発生する度に、新たな傾向が始まったものとして時間窓を区切る。なお、痕跡情報生成装置１０による詳細な時間窓決定処理については、［時間窓決定処理の流れ］にて後述する。
（第２分類処理）
　さらに、痕跡情報生成装置１０は、収集情報が示すマルウェアの収集日時から、攻撃の日時が近いマルウェアをさらに分類する（ステップＳ６）。このとき、痕跡情報生成装置１０は、ステップＳ５の処理で決定した時間窓を用いて同一の攻撃者のクラスタをさらに分類する。なお、痕跡情報生成装置１０による詳細な第２分類処理については、［第２分類処理の流れ］にて後述する。
　ここで、時間窓を導入して分類処理を行うのは、同じ攻撃者によるマルウェアでも、攻撃に用いられた日時が離れているもの同士では、活動痕跡が大きく異なる場合があるからである。このことを考慮して、同一の分類先で、攻撃に用いられた日時が近いもの同士の活動痕跡から、より効果的なＩＯＣを生成することが期待できる。
（ＩＯＣ生成処理）
　そして、痕跡情報生成装置１０は、活動痕跡と分類結果からマルウェアのＩＯＣ（痕跡情報）を生成する（ステップＳ７）。このとき、痕跡情報生成装置１０は、同一の分類先、時間窓に属するマルウェア同士を同じファミリーと仮想的にみなすことで、従来のＩＯＣ生成技術を適用できるようにして、ＩＯＣを生成する。なお、痕跡情報生成装置１０による詳細なＩＯＣ生成処理については、［ＩＯＣ生成処理の流れ］にて後述する。
（ＩＯＣ送信処理）
　最後に、痕跡情報生成装置１０は、生成したＩＯＣをセキュリティ対応組織３０に送信する（ステップＳ８）。痕跡情報生成装置１０がＩＯＣを送信する端末等は、特に限定されない。
　上述してきたように、本実施形態に係る痕跡情報生成システム１００では、マルウェアを解析して分類に有用な挙動情報を取得し、挙動情報に基づいて、類似した特徴を持ったマルウェア同士をまとめ、同じ分類先のマルウェアの中で、攻撃に用いられた日時が特定の範囲内のものをさらにまとめ、これらをもとに仮想的なファミリーを作成し、活動痕跡からＩＯＣを生成する。これによって、本システム１００では、スクリプト型のマルウェアのようにファミリーの情報を持たないマルウェアであっても、ＩＯＣを生成できるようになる。
　また、上述したように、本システム１００では、ファミリーの情報を持たないマルウェアに対するＩＯＣの生成に有用であり、そうしたマルウェアから自動的にＩＯＣを生成する処理に適している。このため、本システム１００では、ＥＤＲに入力するＩＯＣを生成することで、ＥＤＲをより効果的に運用し、ＳＯＣやＣＳＩＲＴ等で有効なマルウェアに対策を講じることが可能である。
［痕跡情報生成装置の構成］
　図２を用いて、本実施形態に係る痕跡情報生成装置１０の構成を詳細に説明する。図２は、第１の実施形態に係る痕跡情報生成装置の構成例を示すブロック図である。痕跡情報生成装置１０は、入力部１１、出力部１２、通信部１３、記憶部１４および制御部１５を有する。
（入力部１１）
　入力部１１は、当該痕跡情報生成装置１０への各種情報の入力を司る。入力部１１は、例えば、マウスやキーボード等であり、当該痕跡情報生成装置１０への設定情報等の入力を受け付ける。
（出力部１２）
　出力部１２は、当該痕跡情報生成装置１０からの各種情報の出力を司る。出力部１２は、例えば、ディスプレイ等であり、当該痕跡情報生成装置１０に記憶された設定情報等を出力する。
（通信部１３）
　通信部１３は、他の装置との間でのデータ通信を司る。例えば、通信部１３は、各通信装置との間でデータ通信を行う。また、通信部１３は、図示しないオペレータの端末との間でデータ通信を行うことができる。
（記憶部１４）
　記憶部１４は、制御部１５が動作する際に参照する各種情報や、制御部１５が動作した際に取得した各種情報を記憶する。記憶部１４は、挙動情報記憶部１４ａ、収集情報記憶部１４ｂおよび分類情報記憶部１４ｃを有する。ここで、記憶部１４は、例えば、ＲＡＭ（Random　Access　Memory）、フラッシュメモリ等の半導体メモリ素子、または、ハードディスク、光ディスク等の記憶装置等である。なお、図２の例では、記憶部１４は、痕跡情報生成装置１０の内部に設置されているが、痕跡情報生成装置１０の外部に設置されてもよいし、複数の記憶部が設置されていてもよい。
（挙動情報記憶部１４ａ）
　挙動情報記憶部１４ａは、挙動情報を記憶する。例えば、挙動情報記憶部１４ａは、制御部１５の取得部１５ａによって取得されたネットワーク通信、ファイル操作、レジストリ操作またはプロセス生成に関与するＡＰＩトレースを記憶する。また、挙動情報記憶部１４ａは、取得部１５ａによって取得されたマルウェアのファイルのヘッダ部分が持つ値（メタデータ）を記憶してもよい。さらに、挙動情報記憶部１４ａは、取得部１５ａによって取得されたマルウェアの収集日時に関する収集情報を挙動情報と紐づけて記憶してもよい。
（収集情報記憶部１４ｂ）
　収集情報記憶部１４ｂは、収集情報を記憶する。例えば、収集情報記憶部１４ｂは、収集情報として、マルウェア収集装置２０が収集したマルウェアごとの収集年月日、収集時刻を記憶する。
（分類情報記憶部１４ｃ）
　分類情報記憶部１４ｃは、分類情報を記憶する。例えば、分類情報記憶部１４ｃは、分類情報として、第１分類部１５ｃによって分類されたマルウェアの分類先を示す分類先情報や、第２分類部１５ｅによって分類された同一の時間窓に属するマルウェアを示す時間窓情報を記憶する。
（制御部１５）
　制御部１５は、当該痕跡情報生成装置１０全体の制御を司る。制御部１５は、取得部１５ａ、検出部１５ｂ、第１分類部１５ｃ、決定部１５ｄ、第２分類部１５ｅおよび生成部１５ｆを有する。ここで、制御部１５は、例えば、ＣＰＵ（Central　Processing　Unit）やＭＰＵ（Micro　Processing　Unit）等の電子回路やＡＳＩＣ（Application　Specific　Integrated　Circuit）やＦＰＧＡ（Field　Programmable　Gate　Array）等の集積回路である。
（取得部１５ａ）
　取得部１５ａは、マルウェアの挙動に関する挙動情報を取得する。例えば、取得部１５ａは、挙動情報として、マルウェアを隔離環境において実行し、呼び出されたＡＰＩに関するＡＰＩトレースを取得する。具体的な例を挙げると、取得部１５ａは、マルウェアを隔離環境で実行し、呼び出されたＡＰＩを引数や返り値とともに記録したＡＰＩトレースであって、特にネットワーク通信、ファイル操作、レジストリ操作またはプロセス生成に関与するＡＰＩトレースを取得する。また、取得部１５ａは、マルウェアのファイルのヘッダ部分が持つ値を調査して得られたメタデータを取得してもよい。なお、取得部１５ａは、マルウェアを実行する動的解析ではなく、マルウェアを実行しない静的解析を用いてもよい。一方、取得部１５ａは、取得した挙動情報を挙動情報記憶部１４ａに格納する。　　　
　取得部１５ａは、マルウェアが収集された日時に関する収集情報を取得する。例えば、取得部１５ａは、収集情報として、マルウェア収集装置２０が収集したマルウェアごとの収集年月日、収集時刻を取得する。一方、取得部１５ａは、取得した収集情報を収集情報記憶部１４ｂに格納してもよい。
（検出部１５ｂ）
　検出部１５ｂは、挙動情報からマルウェアの活動痕跡を検出する。例えば、検出部１５ｂは、マルウェアの活動時に痕跡が残りやすい部分をあらかじめ列挙しておき、列挙した部分に現れた痕跡を当該マルウェアの活動痕跡として検出する。具体的な例を挙げると、検出部１５ｂは、痕跡が残りやすい部分として、ネットワーク通信、ファイル操作、レジストリ操作またはプロセス生成に関与するＡＰＩトレースから活動痕跡を検出する。一方、検出部１５ｂは、検出したマルウェアの活動痕跡を記憶部１４に格納してもよい。
（第１分類部１５ｃ）
　第１分類部１５ｃは、挙動情報に基づいて、マルウェアを第１のグループに分類する。例えば、第１分類部１５ｃは、挙動情報から亜種間で類似性の高い特徴を抽出し、抽出した特徴に基づいてクラスタリングし、マルウェアを第１のグループに分類する。具体的な例を挙げると、第１分類部１５ｃは、取得部１５ａによって取得された挙動情報から同一の攻撃者によるマルウェアの分類に用いるマルウェア特徴を抽出し、抽出したマルウェア特徴に基づいてクラスタリングし、同一の攻撃者によるマルウェアごとの第１のグループに分類する。一方、第１分類部１５ｃは、分類した第１のグループに関する分類先情報を分類情報記憶部１４ｃに格納する。
　なお、クラスタリングには、ウォード法のような階層的手法を用いてもよいし、Ｋ－ｍｅａｎｓのように非階層的手法を用いてもよい。亜種のマルウェアをまとめることができるものであれば、その手法はこれらに限定されない。
（決定部１５ｄ）
　決定部１５ｄは、同一の活動痕跡の傾向を持ったマルウェアを捉えるために、収集情報に基づく時間区分を示す時間窓を決定する。ここで、時間窓の決定に際しては、過去のマルウェアの傾向を調査するなどして固定の値を人手で決定してもよいし、活動痕跡の文字列の傾向の変化に着目して動的に値を決定してもよい。例えば、決定部１５ｄは、活動痕跡に同一の傾向が見られた期間を時間窓として決定し、第２分類部１５ｅに入力する。
（第２分類部１５ｅ）
　第２分類部１５ｅは、収集情報に基づいて、第１のグループに分類されたマルウェアを第２のグループにさらに分類する。例えば、第２分類部１５ｅは、収集情報に基づく時間区分を示す時間窓を用いて、第１のグループに分類されるマルウェアのうち設定した時間窓に属するマルウェアを第２のグループにさらに分類する。具体的な例を挙げると、第２分類部１５ｅは、取得部１５ａによって取得された収集情報から所定の長さの時間窓を設定し、第１分類部１５ｃによって分類された第１のグループを時間窓で区切ることによって、同一の攻撃者によるマルウェアであって収集日時が同一の時間窓内のマルウェアを第２のグループとしてさらに分類する。一方、第２分類部１５ｅは、分類した第２のグループに関する時間窓情報を分類情報記憶部１４ｃに格納する。
（生成部１５ｆ）
　生成部１５ｆは、第２のグループに分類されるマルウェアが示す活動痕跡から、マルウェアの痕跡情報を生成する。例えば、生成部１５ｆは、同一の攻撃者によるマルウェアであって収集日時が同一の時間窓内のマルウェアが示す活動痕跡から、マルウェアの痕跡情報（ＩＯＣ）を生成する。このとき、生成部１５ｆは、例えば、活動痕跡として検出された共通の文字列を含むファイル名を検知するために、共通の文字列以外の文字列を任意の文字列を表わす記号で置き換えた痕跡情報を生成するが、痕跡情報の生成手法は特に限定されない。
［分類処理の概要］
　図３を用いて、本実施形態に係る第１分類処理および第２分類処理の概要を説明する。図３は、第１の実施形態に係る分類処理の概要を示す図である。
（第１分類処理の概要）
　痕跡情報生成装置１０は、収集したマルウェアを解析し、マルウェアの挙動の特徴をもとにクラスタリングする（図３（１）参照）。図３の例では、痕跡情報生成装置１０は、マルウェアＭ１～Ｍ１０の１０検体のマルウェアをクラスタＣ１（Ｍ１～Ｍ５）、およびクラスタＣ２（Ｍ６～Ｍ１０）に分類している。このため、第１分類処理では、マルウェアの挙動の共通性等をもとに分類することによって、例えば同一の攻撃者によるマルウェアを分類することができる。
（第２分類処理の概要）
　痕跡情報生成装置１０は、クラスタリングしたマルウェアを同一時間帯に収集されたことを示す時間窓ごとに分類する（図３（２）参照）。図３の例では、痕跡情報生成装置１０は、クラスタＣ１に分類されたマルウェアのうちＭ１、Ｍ２、Ｍ４は時間窓Ｔ１に分類し、Ｍ３、Ｍ５は時間窓Ｔ２に分類している。また、同様にして、痕跡情報生成装置１０は、クラスタＣ２に分類されたマルウェアのうちＭ６、Ｍ８は時間窓Ｔ３に分類し、Ｍ７、Ｍ９、Ｍ１０は時間窓Ｔ４に分類している。このため、第２分類処理では、マルウェアの収集日時をもとにさらに分類することによって、例えば同一の攻撃者のうち攻撃に用いられた日時が近いマルウェアを分類することができる。
［痕跡情報生成処理全体の流れ］
　図４を用いて、本実施形態に係る痕跡情報生成処理全体の流れを詳細に説明する。図４は、第１の実施形態に係る痕跡情報生成処理全体の流れの一例を示すフローチャートである。なお、下記のステップＳ１０１～Ｓ１０９は、異なる順序で実行することもできる。また、下記のステップＳ１０１～Ｓ１０９のうち、省略される処理があってもよい。
　まず、痕跡情報生成装置１０の入力部１１は、マルウェア収集装置２０から、痕跡情報（ＩＯＣ）を生成する対象となるマルウェアの入力と、マルウェアが収集された日時に関する収集情報の入力とを受け付ける（ステップＳ１０１）。このとき、入力部１１は、マルウェア収集装置２０以外の機器からマルウェアの情報の入力を受け付けてもよい。
（挙動情報取得処理）
　取得部１５ａは、挙動情報取得処理を実行する（ステップＳ１０２）。なお、取得部１５ａによる詳細な挙動情報取得処理については、［挙動情報取得処理の流れ］にて後述する。また、取得部１５ａは、入力部１１によって入力を受け付けたマルウェアの収集情報を取得する。
（活動痕跡検出処理）
　検出部１５ｂは、活動痕跡検出処理を実行する（ステップＳ１０３）。なお、検出部１５ｂによる詳細な活動痕跡検出処理については、［活動痕跡検出処理の流れ］にて後述する。
（第１分類処理）
　第１分類部１５ｃは、第１分類処理を実行する（ステップＳ１０４）。なお、第１分類部１５ｃによる詳細な第１分類処理については、［第１分類処理の流れ］にて後述する。
（時間窓決定処理）
　決定部１５ｄは、時間窓決定処理を実行する（ステップＳ１０５）。なお、決定部１５ｄによる詳細な時間窓決定処理については、［時間窓決定処理の流れ］にて後述する。
（第２分類処理）
　第２分類部１５ｅは、第２分類処理を実行する（ステップＳ１０６）。なお、第２分類部１５ｅによる詳細な第２分類処理については、［第２分類処理の流れ］にて後述する。
　このとき、第２分類部１５ｅは、時間窓内で同じ分類先のマルウェアが見られた場合（ステップＳ１０７：Ｙｅｓ）、ステップＳ１０８のＩＯＣ生成処理へ移行する。一方、第２分類部１５ｅは、時間窓内で同じ分類先のマルウェアが見られなかった場合（ステップＳ１０７：Ｎｏ）、処理を終了する。
（ＩＯＣ生成処理）
　生成部１５ｆは、ＩＯＣ生成処理を実行する（ステップＳ１０８）。なお、生成部１５ｆによる詳細なＩＯＣ生成処理については、［ＩＯＣ生成処理の流れ］にて後述する。
　最後に、出力部１２は、ステップＳ１０８の処理で生成されたＩＯＣを出力し（ステップＳ１０９）、処理を終了する。また、通信部１３は、生成されたＩＯＣをセキュリティ対応組織３０に送信してもよい。
［各処理の流れ］
　図５～図１０を用いて、本実施形態に係る痕跡情報生成処理の各処理の流れを詳細に説明する。以下では、挙動情報取得処理の流れ、活動痕跡検出処理の流れ、第１分類処理の流れ、時間窓決定処理の流れ、第２分類処理の流れ、ＩＯＣ生成処理の流れの順に説明する。
（挙動情報取得処理の流れ）
　図５を用いて、本実施形態に係る挙動情報取得処理の流れを詳細に説明する。図５は、第１の実施形態に係る挙動情報取得処理の流れの一例を示すフローチャートである。なお、下記のステップＳ２０１～Ｓ２０４は、異なる順序で実行することもできる。また、下記のステップＳ２０１～Ｓ２０４のうち、省略される処理があってもよい。
　取得部１５ａは、マルウェアの入力を受け付け（ステップＳ２０１）、解析環境でマルウェアを実行し（ステップＳ２０２）、観測された挙動から挙動情報を取得し（ステップＳ２０３）、挙動情報を記憶部１４に格納し（ステップＳ２０４）、挙動情報取得処理を繰り返す。
（活動痕跡検出処理）
　図６を用いて、本実施形態に係る活動痕跡検出処理の流れを詳細に説明する。図６は、第１の実施形態に係る活動痕跡検出処理の流れの一例を示すフローチャートである。なお、下記のステップＳ３０１～Ｓ３０８は、異なる順序で実行することもできる。また、下記のステップＳ３０１～Ｓ３０８のうち、省略される処理があってもよい。
　検出部１５ｂは、挙動情報を受け付け（ステップＳ３０１）、活動痕跡が残りやすい部分のリストを受け付け（ステップＳ３０２）、リストから任意の部分を取り出す（ステップＳ３０３）。このとき、検出部１５ｂは、挙動情報に当該部分が含まれていた場合（ステップＳ３０４：Ｙｅｓ）、マルウェアの活動痕跡として処理する（ステップＳ３０５）。一方、検出部１５ｂは、挙動情報に当該部分が含まれていなかった場合（ステップＳ３０４：Ｎｏ）、リストから別の部分を取出し（ステップＳ３０６）、ステップＳ３０４の処理に移行する。続いて、検出部１５ｂは、ステップＳ３０５の処理によってリストを全て処理した場合（ステップＳ３０７：Ｙｅｓ）、マルウェアの活動痕跡を出力し（ステップＳ３０８）、活動痕跡検出処理を繰り返す。一方、検出部１５ｂは、ステップＳ３０５の処理によってリストを全て処理していない場合（ステップＳ３０７：Ｎｏ）、リストから別の部分を取出し（ステップＳ３０６）、ステップＳ３０４の処理に移行する。
（第１分類処理の流れ）
　図７を用いて、本実施形態に係る第１分類処理の流れを詳細に説明する。図７は、第１の実施形態に係る第１分類処理の流れの一例を示すフローチャートである。なお、下記のステップＳ４０１～Ｓ４０６は、異なる順序で実行することもできる。また、下記のステップＳ４０１～Ｓ４０６のうち、省略される処理があってもよい。
　第１分類部１５ｃは、挙動情報を受け付け（ステップＳ４０１）、挙動情報からマルウェア特徴を抽出し（ステップＳ４０２）、マルウェア特徴から有用な特徴のみを選択し（ステップＳ４０３）、選択した特徴に次元の削減や正規化処理を実行し（ステップＳ４０４）、類似した挙動を示すマルウェア同士が同じ分類先となるように分類し（ステップＳ４０５）、各マルウェアの分類先情報を記憶部１４に格納し（ステップＳ４０６）、第１分類処理を繰り返す。
（時間窓決定処理の流れ）
　図８を用いて、本実施形態に係る時間窓決定処理の流れを詳細に説明する。図８は、第１の実施形態に係る時間窓決定処理の流れの一例を示すフローチャートである。なお、下記のステップＳ５０１～Ｓ５０７は、異なる順序で実行することもできる。また、下記のステップＳ５０１～Ｓ５０７のうち、省略される処理があってもよい。
　決定部１５ｄは、マルウェアの活動痕跡を受け付け（ステップＳ５０１）、活動痕跡の文字列を特徴ベクトル化し（ステップＳ５０２）、活動痕跡の類似性に基づいてマルウェアをクラスタリングする（ステップＳ５０３）。このとき、決定部１５ｄは、収集日時が新たなマルウェアが外れ値となった場合（ステップＳ５０４：Ｙｅｓ）、外れ値となったマルウェアを区切るように新たな時間窓を設定し（ステップＳ５０５）、時間窓を出力し（ステップＳ５０７）、時間窓決定処理を繰り返す。一方、決定部１５ｄは、収集日時が新たなマルウェアが外れ値となっていない場合（ステップＳ５０４：Ｎｏ）、最新のマルウェアを含むように現在の時間窓を延長し（ステップＳ５０６）、時間窓を出力し（ステップＳ５０７）、時間窓決定処理を繰り返す。
（第２分類処理）
　図９を用いて、本実施形態に係る第２分類処理の流れを詳細に説明する。図９は、第１の実施形態に係る第２分類処理の流れの一例を示すフローチャートである。なお、下記のステップＳ６０１～Ｓ６０５は、異なる順序で実行することもできる。また、下記のステップＳ６０１～Ｓ６０５のうち、省略される処理があってもよい。
　第２分類部１５ｅは、マルウェアの収集情報と分類先情報とを受け付け（ステップＳ６０１）、設定する時間窓の長さを受け付け（ステップＳ６０２）、同一の分類先のマルウェアを取出し（ステップＳ６０３）、時間窓で区切り、収集日時が同一の時間窓内のマルウェアを分類し（ステップＳ６０４）、各マルウェアの時間窓情報を記憶部１４に格納し（ステップＳ６０５）、第２分類処理を繰り返す。
（ＩＯＣ生成処理）
　図１０を用いて、本実施形態に係るＩＯＣ生成処理の流れを詳細に説明する。図１０は、第１の実施形態に係るＩＯＣ生成処理の流れの一例を示すフローチャートである。なお、下記のステップＳ７０１～Ｓ７０６は、異なる順序で実行することもできる。また、下記のステップＳ７０１～Ｓ７０６のうち、省略される処理があってもよい。
　生成部１５ｆは、マルウェアの活動痕跡、分類先情報、時間窓情報を受け付け（ステップＳ７０１）、同一の分類先、時間窓に属するマルウェア同士を同じファミリーと判定し（ステップＳ７０２）、ファミリー内で共通性の高い活動痕跡を抽出し（ステップＳ７０３）、活動痕跡に正規化処理を実行し（ステップＳ７０４）、検知に有用な活動痕跡の組み合わせを選択し（ステップＳ７０５）、選択した活動痕跡の組み合わせをＩＯＣとして適切な形式で表現し（ステップＳ７０６）、ＩＯＣ生成処理を繰り返す。
［第１の実施形態の効果］
　第１に、上述した本実施形態に係る痕跡情報生成処理では、マルウェアの挙動に関する挙動情報と、マルウェアが収集された日時に関する収集情報とを取得し、挙動情報に基づいて、マルウェアを第１のグループに分類し、収集情報に基づいて、第１のグループに分類されたマルウェアを第２のグループにさらに分類し、挙動情報からマルウェアの活動痕跡を検出し、第２のグループに分類されるマルウェアが示す活動痕跡から、マルウェアの痕跡情報を生成する。このため、本処理では、スクリプト型マルウェアに対しても効果的にＩＯＣの生成を可能にする。
　第２に、上述した本実施形態に係る痕跡情報生成処理では、収集情報に基づく時間区分を示す時間窓を用いて、第１のグループに分類されるマルウェアのうち設定した時間窓に属するマルウェアを第２のグループにさらに分類する。このため、本処理では、マルウェアのファミリーの代替となるグループに分類することによって、スクリプト型マルウェアに対しても効果的にＩＯＣの生成を可能にする。
　第３に、上述した本実施形態に係る痕跡情報生成処理では、活動痕跡の文字列の類似性に基づいてマルウェアをクラスタリングし、クラスタリングしたマルウェアの傾向の変化に基づいて時間窓を決定する。このため、本処理では、マルウェアのファミリーの代替となるグループを継続的に分類することによって、スクリプト型マルウェアに対しても効果的にＩＯＣの生成を可能にする。
　第４に、上述した本実施形態に係る痕跡情報生成処理では、挙動情報として、マルウェアを隔離環境において実行し、呼び出されたＡＰＩに関するＡＰＩトレースを取得する。このため、本処理では、マルウェアの挙動の類似性を含む情報を取得することによって、スクリプト型マルウェアに対しても効果的にＩＯＣの生成を可能にする。
　第５に、上述した本実施形態に係る痕跡情報生成処理では、挙動情報から亜種間で類似性の高い特徴を抽出し、当該特徴に基づいてクラスタリングし、マルウェアを第１のグループに分類する。本処理では、より効率的にマルウェアのファミリーの代替となるグループに分類することによって、スクリプト型マルウェアに対しても効果的にＩＯＣの生成を可能にする。
　第６に、上述した本実施形態に係る痕跡情報生成処理では、ネットワーク通信、ファイル操作、レジストリ操作またはプロセス生成に関与するＡＰＩトレースからマルウェアの活動痕跡を検出する。本処理では、より効率的にマルウェアの活動痕跡を検出することによって、スクリプト型マルウェアに対しても効果的にＩＯＣの生成を可能にする。
〔システム構成等〕
　上記実施形態に係る図示した各装置の各構成要素は機能概念的なものであり、必ずしも物理的に図示のごとく構成されていることを要しない。すなわち、各装置の分散・統合の具体的形態は図示のものに限られず、その全部または一部を、各種の負荷や使用状況などに応じて、任意の単位で機能的または物理的に分散・統合して構成することができる。さらに、各装置にて行なわれる各処理機能は、その全部または任意の一部が、ＣＰＵおよび当該ＣＰＵにて解析実行されるプログラムにて実現され、あるいは、ワイヤードロジックによるハードウェアとして実現され得る。
　また、上記実施形態において説明した各処理のうち、自動的に行われるものとして説明した処理の全部または一部を手動的に行うこともでき、あるいは、手動的に行われるものとして説明した処理の全部または一部を公知の方法で自動的に行うこともできる。この他、上記文書中や図面中で示した処理手順、制御手順、具体的名称、各種のデータやパラメータを含む情報については、特記する場合を除いて任意に変更することができる。
〔プログラム〕
　また、上記実施形態において説明した痕跡情報生成装置１０が実行する処理をコンピュータが実行可能な言語で記述したプログラムを作成することもできる。この場合、コンピュータがプログラムを実行することにより、上記実施形態と同様の効果を得ることができる。さらに、かかるプログラムをコンピュータ読み取り可能な記録媒体に記録して、この記録媒体に記録されたプログラムをコンピュータに読み込ませて実行することにより上記実施形態と同様の処理を実現してもよい。
　図１１は、プログラムを実行するコンピュータを示す図である。図１１に例示するように、コンピュータ１０００は、例えば、メモリ１０１０と、ＣＰＵ１０２０と、ハードディスクドライブインタフェース１０３０と、ディスクドライブインタフェース１０４０と、シリアルポートインタフェース１０５０と、ビデオアダプタ１０６０と、ネットワークインタフェース１０７０とを有し、これらの各部はバス１０８０によって接続される。
　メモリ１０１０は、図１１に例示するように、ＲＯＭ（Read　Only　Memory）１０１１及びＲＡＭ１０１２を含む。ＲＯＭ１０１１は、例えば、ＢＩＯＳ（Basic　Input　Output　System）等のブートプログラムを記憶する。ハードディスクドライブインタフェース１０３０は、図１１に例示するように、ハードディスクドライブ１０９０に接続される。ディスクドライブインタフェース１０４０は、図１１に例示するように、ディスクドライブ１１００に接続される。例えば、磁気ディスクや光ディスク等の着脱可能な記憶媒体が、ディスクドライブ１１００に挿入される。シリアルポートインタフェース１０５０は、図１１に例示するように、例えば、マウス１１１０、キーボード１１２０に接続される。ビデオアダプタ１０６０は、図１１に例示するように、例えばディスプレイ１１３０に接続される。
　ここで、図１１に例示するように、ハードディスクドライブ１０９０は、例えば、ＯＳ１０９１、アプリケーションプログラム１０９２、プログラムモジュール１０９３、プログラムデータ１０９４を記憶する。すなわち、上記のプログラムは、コンピュータ１０００によって実行される指令が記述されたプログラムモジュールとして、例えば、ハードディスクドライブ１０９０に記憶される。
　また、上記実施形態で説明した各種データは、プログラムデータとして、例えば、メモリ１０１０やハードディスクドライブ１０９０に記憶される。そして、ＣＰＵ１０２０が、メモリ１０１０やハードディスクドライブ１０９０に記憶されたプログラムモジュール１０９３やプログラムデータ１０９４を必要に応じてＲＡＭ１０１２に読み出し、各種処理手順を実行する。
　なお、プログラムに係るプログラムモジュール１０９３やプログラムデータ１０９４は、ハードディスクドライブ１０９０に記憶される場合に限られず、例えば着脱可能な記憶媒体に記憶され、ディスクドライブ等を介してＣＰＵ１０２０によって読み出されてもよい。あるいは、プログラムに係るプログラムモジュール１０９３やプログラムデータ１０９４は、ネットワーク（ＬＡＮ（Local　Area　Network）、ＷＡＮ（Wide　Area　Network）等）を介して接続された他のコンピュータに記憶され、ネットワークインタフェース１０７０を介してＣＰＵ１０２０によって読み出されてもよい。
　上記の実施形態やその変形は、本願が開示する技術に含まれると同様に、請求の範囲に記載された発明とその均等の範囲に含まれるものである。
　１０　痕跡情報生成装置（生成装置）
　１１　入力部
　１２　出力部
　１３　通信部
　１４　記憶部
　１４ａ　挙動情報記憶部
　１４ｂ　収集情報記憶部
　１４ｃ　分類情報記憶部
　１５　制御部
　１５ａ　取得部
　１５ｂ　検出部
　１５ｃ　第１分類部
　１５ｄ　決定部
　１５ｅ　第２分類部
　１５ｆ　生成部
　２０　マルウェア収集装置
　３０、３０Ａ、３０Ｂ、３０Ｃ　セキュリティ対応組織
　１００　痕跡情報生成システム

Claims (8)

  1. 　マルウェアの挙動に関する挙動情報と、前記マルウェアが収集された日時に関する収集情報とを取得する取得部と、
    　前記挙動情報に基づいて、前記マルウェアを第１のグループに分類する第１分類部と、
    　前記収集情報に基づいて、前記第１のグループに分類されたマルウェアを第２のグループにさらに分類する第２分類部と、
    　前記挙動情報から前記マルウェアの活動痕跡を検出する検出部と、
    　前記第２のグループに分類されるマルウェアが示す前記活動痕跡から、前記マルウェアの痕跡情報を生成する生成部と、
    　を備えることを特徴とする生成装置。
  2. 　前記第２分類部は、前記収集情報に基づく時間区分を示す時間窓を用いて、前記第１のグループに分類されるマルウェアのうち前記時間窓に属するマルウェアを第２のグループにさらに分類する、
    　ことを特徴とする請求項１に記載の生成装置。
  3. 　前記活動痕跡の文字列の類似性に基づいて前記マルウェアをクラスタリングし、クラスタリングした前記マルウェアの傾向の変化に基づいて前記時間窓を決定する決定部、
    　をさらに備えることを特徴とする請求項２に記載の生成装置。
  4. 　前記取得部は、前記挙動情報として、前記マルウェアを隔離環境において実行し、呼び出されたＡＰＩに関するＡＰＩトレースを取得する、
    　ことを特徴とする請求項１から３のいずれか１項に記載の生成装置。
  5. 　前記第１分類部は、前記挙動情報から亜種間で類似性の高い特徴を抽出し、前記特徴に基づいてクラスタリングし、前記マルウェアを第１のグループに分類する、
    　ことを特徴とする請求項１から４のいずれか１項に記載の生成装置。
  6. 　前記検出部は、ネットワーク通信、ファイル操作、レジストリ操作またはプロセス生成に関与するＡＰＩトレースから前記活動痕跡を検出する、
    　ことを特徴とする請求項１から５のいずれか１項に記載の生成装置。
  7. 　生成装置によって実行される生成方法であって、
    　マルウェアの挙動に関する挙動情報と、前記マルウェアが収集された日時に関する収集情報とを取得する取得工程と、
    　前記挙動情報に基づいて、前記マルウェアを第１のグループに分類する第１分類工程と、
    　前記収集情報に基づいて、前記第１のグループに分類されたマルウェアを第２のグループにさらに分類する第２分類工程と、
    　前記挙動情報から前記マルウェアの活動痕跡を検出する検出工程と、
    　前記第２のグループに分類されるマルウェアが示す前記活動痕跡から、前記マルウェアの痕跡情報を生成する生成工程と、
    　を含むことを特徴とする生成方法。
  8. 　マルウェアの挙動に関する挙動情報と、前記マルウェアが収集された日時に関する収集情報とを取得する取得ステップと、
    　前記挙動情報に基づいて、前記マルウェアを第１のグループに分類する第１分類ステップと、
    　前記収集情報に基づいて、前記第１のグループに分類されたマルウェアを第２のグループにさらに分類する第２分類ステップと、
    　前記挙動情報から前記マルウェアの活動痕跡を検出する検出ステップと、
    　前記第２のグループに分類されるマルウェアが示す前記活動痕跡から、前記マルウェアの痕跡情報を生成する生成ステップと、
    　をコンピュータに実行させることを特徴とする生成プログラム。
PCT/JP2021/042134 2021-11-16 2021-11-16 生成装置、生成方法および生成プログラム WO2023089674A1 (ja)

Priority Applications (1)

Application Number Priority Date Filing Date Title
PCT/JP2021/042134 WO2023089674A1 (ja) 2021-11-16 2021-11-16 生成装置、生成方法および生成プログラム

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
PCT/JP2021/042134 WO2023089674A1 (ja) 2021-11-16 2021-11-16 生成装置、生成方法および生成プログラム

Publications (1)

Publication Number Publication Date
WO2023089674A1 true WO2023089674A1 (ja) 2023-05-25

Family

ID=86396378

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/JP2021/042134 WO2023089674A1 (ja) 2021-11-16 2021-11-16 生成装置、生成方法および生成プログラム

Country Status (1)

Country Link
WO (1) WO2023089674A1 (ja)

Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2013529335A (ja) * 2010-04-28 2013-07-18 シマンテック コーポレーション クラスタリングを使用した行動シグネチャの生成
US9747446B1 (en) * 2013-12-26 2017-08-29 Fireeye, Inc. System and method for run-time object classification
US20200092306A1 (en) * 2018-09-14 2020-03-19 Cisco Technology, Inc. Automated creation of lightweight behavioral indicators of compromise (iocs)
WO2021106172A1 (ja) * 2019-11-28 2021-06-03 日本電信電話株式会社 ルール生成装置およびルール生成プログラム

Patent Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2013529335A (ja) * 2010-04-28 2013-07-18 シマンテック コーポレーション クラスタリングを使用した行動シグネチャの生成
US9747446B1 (en) * 2013-12-26 2017-08-29 Fireeye, Inc. System and method for run-time object classification
US20200092306A1 (en) * 2018-09-14 2020-03-19 Cisco Technology, Inc. Automated creation of lightweight behavioral indicators of compromise (iocs)
WO2021106172A1 (ja) * 2019-11-28 2021-06-03 日本電信電話株式会社 ルール生成装置およびルール生成プログラム

Similar Documents

Publication Publication Date Title
Moustafa et al. The evaluation of Network Anomaly Detection Systems: Statistical analysis of the UNSW-NB15 data set and the comparison with the KDD99 data set
Kolosnjaji et al. Empowering convolutional networks for malware classification and analysis
US9998484B1 (en) Classifying potentially malicious and benign software modules through similarity analysis
US11423146B2 (en) Provenance-based threat detection tools and stealthy malware detection
US10721256B2 (en) Anomaly detection based on events composed through unsupervised clustering of log messages
Galal et al. Behavior-based features model for malware detection
US9237161B2 (en) Malware detection and identification
Sharma et al. An optimal intrusion detection system using recursive feature elimination and ensemble of classifiers
Xie et al. Evaluating host-based anomaly detection systems: A preliminary analysis of adfa-ld
US20160219068A1 (en) Method and apparatus for automatically identifying signature of malicious traffic using latent dirichlet allocation
Kumar et al. Machine learning based malware detection in cloud environment using clustering approach
Abirami et al. Building an ensemble learning based algorithm for improving intrusion detection system
Mohammadpour et al. A mean convolutional layer for intrusion detection system
JPWO2017094377A1 (ja) 分類方法、分類装置および分類プログラム
Singh et al. Ransomware detection using process memory
Nagaraja et al. An extensive survey on intrusion detection-past, present, future
JP7207009B2 (ja) 異常検知装置、異常検知方法および異常検知プログラム
Patil et al. Malware analysis using machine learning and deep learning techniques
Masabo et al. Improvement of malware classification using hybrid feature engineering
Čeponis et al. Evaluation of deep learning methods efficiency for malicious and benign system calls classification on the AWSCTD
WO2023089674A1 (ja) 生成装置、生成方法および生成プログラム
Ozkan-Okay et al. A new feature selection approach and classification technique for current intrusion detection system
Chistyakov et al. Semantic embeddings for program behavior patterns
EP3361405B1 (en) Enhancement of intrusion detection systems
JP2019175334A (ja) 情報処理装置、制御方法、及びプログラム

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 21964690

Country of ref document: EP

Kind code of ref document: A1

ENP Entry into the national phase

Ref document number: 2023561965

Country of ref document: JP

Kind code of ref document: A