JP5440973B2

JP5440973B2 - コンピュータ検査システム、コンピュータ検査方法

Info

Publication number: JP5440973B2
Application number: JP2009038741A
Authority: JP
Inventors: 康二中尾; 大介井上; 将史衛藤; 元昭山村; 裕二星澤
Original assignee: National Institute of Information and Communications Technology; Securebrain Corp
Current assignee: National Institute of Information and Communications Technology; Securebrain Corp
Priority date: 2009-02-23
Filing date: 2009-02-23
Publication date: 2014-03-12
Anticipated expiration: 2029-02-23
Also published as: JP2010198054A

Description

本発明は、対象コンピュータ上の不正プログラムを検査サーバ装置により検査するコンピュータ検査システムに関し、特に対象コンピュータにおける不正プログラムの探索方法と、その解析方法に特徴を有する。

近年、マルウェア（不正プログラム）に関して、実行コード（ここではスクリプトまたはプログラムのソースコードを指す。）を意図的に読みにくくする「難読化」や、実行コードが意図的に動的に変更される「自己変貌化」等の手法の開発が進んできている。これにより、機能が似通ったウイルスの亜種が大量発生し、しかもそれぞれのウイルスは解析が困難であるという状況が引き起こされている。このような既知のものではないマルウェアに対しては、シグネチャ（マルウェア検査パターン）等の既存技術による検出や駆除だけで対応することには自ずと限界がある。

こうしたマルウェアに関しては、駆除ツールを生成するために、感染行動等の挙動を把握することが重要となる。しかしながら、感染しても正規の実行コードを装い、それに気付かせないようにするものや、外部の指令サーバからの攻撃命令を待ち受けるなど、挙動を示すまでに一定の時間を要するものが存在する。
このため、ユーザのパソコン内で稼動・常駐しているプログラムがマルウェアであるかどうかを判別するためには、当該プログラムの実行コードを詳細に解析することが現時点で最も有用である。

しかしながら、ユーザのパソコン内で稼動・常駐している多種多様なプログラムのうち、大多数は正規の実行コードであることから、そのようなプログラムの中からマルウェアの疑いのある怪しい実行コードのみを的確に選別することは難しい状況である。
また、ユーザのパソコン上で、実行コードを詳細に解析することは、安全性の観点から非常に困難である。

他方、アンチウイルスソフトを提供するセキュリティベンダーにおいても、このような新しいマルウェアが現出するたびに、詳細な解析を行い、パターンファイルの更新や提供を行ってきているが、新規のマルウェアの出現頻度に解析が追いつかず、ユーザが必要なときに、必要なものをタイムリーに提供するところまでには至っていない。

一方、関連する要素技術としては様々な方法が提案されている。
まず、マルウェアを検出するための技術としては周知のアンチウイルスソフトウェアがある。アンチウイルスソフトウェアは、現在のウイルス対策の主流であるが、上述したようにシグネチャベースの手法では未知のマルウェアに対して限界がある。
未知のウイルス等に対応するために、例えばキヤノンITソリューションズ株式会社「ＮＯＤ３２アンチウイルス」（非特許文献１参照）にはヒューリスティック（発見的手法）機能と呼ばれるウイルス的挙動の監視機能を備えている。この機能は、検査対象となるファイル・電子メールに対して解析したコードを理解し、不審な挙動を検出し、入手できたすべての情報を総合して、ウイルス的な挙動を行うかどうかの判断を行う。挙動が不審と思われると判断された場合は、ウイルス警告を発して、ユーザに注意を促す機能である。
その他、ウイルス検出に関連する特許文献としては、特許文献１〜３を挙げることができる。

しかし、これらのマルウェアを検出する技術の問題点としては、典型的な挙動やすぐに顕在化する挙動であれば検出できても、新たな挙動や特定の条件が整った場合だけ作用するマルウェアなどの場合には検出を逃れる恐れが大きかった。
また、マルウェアを見逃さないために、少しでも不審な挙動があればユーザに通知するようにすると、誤った通知が増加して信頼性が低下する上、ユーザの作業の障害にもなる。

この他、ネットワークインシデントの研究分野では、スペクトラム解析アルゴリズムや時系列解析アルゴリズムといったアルゴリズムを用いた、さまざまなトラフィック解析手法が提案されている。
非特許文献２に開示される研究では定点観測網から得られるパケット数の変動に着目した解析を行っている。これは、送信元および送信先のＩＰアドレスとポート番号といったパラメータ毎のパケット数の変動データに対してウェーブレット解析を施し、そこで得られる時間周波数成分の変化に基づいて脅威を検知する手法である。

また、非特許文献３に開示される研究では、非特許文献２の技術と同様、パケット数の変動に着目した解析を行っている。ここでは系列データ（単位時間あたりのパケット数）に対してSDAR（Sequential Discounting AR estimating）と呼ばれる時系列解析アルゴリズムを用いることで軽快な処理を実現し、リアルタイムでの異常検知を可能としている。

このようなマルウェアの検出技術とは別に、あるプログラムがマルウェアであるかどうかを解析する技術も開発されている。
例えば、本件出願人によるnicter（Network Incident analysis Center for Tactical
Emergency Response）（非特許文献４）がある。nicterでは、ネットワークモニタリングによるスキャン等の振る舞いの把握を目的とする「マクロ解析システム」、収集されたマルウェア等の検体の静的・動的解析を目的とする「ミクロ解析システム」、相互の結果を突合し、関連性を導き出すことを目的とする「マクロ−ミクロ相関分析システム」の３つを主要な分析コンポーネントとしている。

マルウェアの解析技術は、特許文献４及び５にも開示されるように、不正なパケットの通信などを検出するセンサ手段を備えたり、ハニーポットを用意してマルウェアの挙動を観測する場合もあり、ユーザが使用中のコンピュータでは解析が難しい問題がある。特に、感染したコンピュータ上ではそもそも解析自体が妨害されていることが多い。

マルウェアを駆除する技術においては、マルウェアの検出・解析と連動して、解析結果に基づいて必要となる駆除ツールを生成し、それを感染に該当するユーザに対して迅速に提供していくための仕組みと必要機能を開発することが重要である。
マルウェアの駆除ツールの生成・提供機能については、多種多様なユーザや多種多様なマルウェアに対応しなければならない点や、ユーザにとって駆除が必要なときに、タイムリーに駆除ツールが提供されなければならない点等について対応することが重要であることを勘案すると、自動化かつ高速化を図ることが必要となる。

従来の技術では、駆除ツールについても上記アンチウイルスソフトウェアに搭載された機能を利用するのが一般的であり、既知のウイルスについては駆除できることが多いが、未知のウイルスにはほとんど対応できない問題がある。

このほか、端末装置がマルウェアに感染したことを検出して、対策を講じるための技術として、特許文献６が挙げられる。本特許文献では、監視装置によりネットワークに接続された端末装置のソフトウェアの状態を監視するシステムを提供する。
監視装置は、脆弱性の原因となるファイルやマルウェア感染時に生成されるファイルの特徴情報などを含んで定義されたソフトウェアの特徴情報を格納する第１データベースを有し、端末装置は自ら有するファイルの特徴情報を逐次取得して保持する第２データベースを有する。監視装置は、ネットワークを介して検証要求と共に、上記第１データベースに格納された特徴情報を端末装置へ送信する。端末装置では、第２データベースを検索して上記特徴情報に関連するファイルの有無を検証し、検証結果を監視装置へ送信する。
監視装置では受信した検証結果に基づいて、端末装置の脆弱性又はマルウェア感染状況を判断し、アクセス制御を実施し、被害の拡大を防止する。

本技術は、上記シグネチャベースの検出方法を、監視装置と端末装置との分担により実行する方法であるが、この方法では少なくとも監視装置において既知のマルウェアでなければ検出することができず、上記問題の解決にはつながらない。

特開２００６−２６８６８７号公報特開２００８−０２２４９８号公報特開２００３−１６２４２３号公報特開２００８−１７６７５２号公報特開２００８−１７６７５３号公報特開２００６−０４０１９６号公報

インターネットＵＲＬ http://canon-its.jp/product/nd/product_5.html2009年2月10日検索石黒正揮、鈴木裕信、村瀬一郎著「ウェーブレット解析を用いた周波数成分変化に基づくインターネット脅威検出法」電子情報通信学会（2006年暗号と情報セキュリティシンポジウム(SCIS2006)）２００６年１月竹内純一、佐藤靖士、力武健次、中尾康二著「変化点検出エンジンを利用したインシデント検知システムの構築」電子情報通信学会（2006年暗号と情報セキュリティシンポジウム(SCIS2006)）２００６年１月中尾康二、吉岡克成、衛藤将史、井上大介、力武健次著「nicter: An Incident Analysis System using Correlation betweenNetwork Monitoring and Malware Analysis」Proceedings of The1st Joint Workshop on Information Security,JWIS2006,Page363-377, 2006年９月 Bailey, M., Cooke, E., Jahanian, F., Nazario, J., Watson, D.: Theinternet motion sensor: a distributed blackhole monitoring system, The 12th AnnualNetwork and Distributed System Security Symposium (NDSS05), 2005年 Moore, D.: Network telescopes:tracking Denial-of-Service attacks and internet worms around the globe, 17thLarge Installation Systems Administration Conference (LISA’03), USENIX, 2003年 Yegneswaran, V., Barford, P.,Plonka, D.: On the design and use of Internet sinks for network abuse monitoring.Recent Advances in Intrusion Detection (RAID 2004), LNCS 3224, pp 146 - 165,2004年 Honeypot project, http://www.leurrecom.org/ Internet Motion Sensor, http://ims.eecs.umich.edu/ IT Security Center,Information-Technology Promotion Agency, Japan, https://www.ipa.go.jp/security/index-e.html Japan Computer Emergency ResponseTeam Coordination Center, http://jpcert.jp/isdas/index-en.html National Cyber Security Center,Korea, http://www.ncsc.go.kr/eng/ REN-ISAC: Research and Education Networking Information Sharing andAnalysis Center, http://www.ren-isac.net/ SANS Internet Storm Center,http://isc.sans.org/ Telecom Information Sharing and Analysis Center, Japan,https://www.telecom-isac.jp/ @police, http://www.cyberpolice.go.jp/english/obs_e.html Bailey, M., Cooke, E.,Jahanian, F., Myrick, A., Sinha, S.: Practical darknet measurement, 2006Conference on Information Sciences and Systems (CISS '06), pp. 1496 - 1501,2006年 Alata, E., Nicomette, V., Kaaniche,M., Dacier, M.: Lessons learned from the deployment of a high-interaction honeypot,6th European Dependable Computing Conference (EDCC-6), pp. 39 - 44, 2006年 Leita, C., Dacier, M.,Massicotte, F.: Automatic handling of protocol dependencies and reaction to 0-dayattacks with ScriptGen based honeypots, 9th International Symposium on RecentAdvances in Intrusion Detection (RAID2006), pp. 185 - 205, 2006年 Provos, N.: Honeyd A virtual honeypotdaemon. 10th DFN-CERT Workshop, 2003年 Provos, N.: A virtual honeypot framework.13th USENIX Security Symposium, pp 1 - 14, 2004年 Nakao, K., Matsumoto, F.,Inoue, D., Baba, S., Suzuki, K., Eto, M., Yoshioka, K., Rikitake, K., Hori, Y.:Visualization technologies of nicter incident analysis system, IEICE Technical Report,vol.106, no.ISEC-176 pp.83 - 89, 2006年 Isawa, R., Ichikawa, S.,Shiraishi, Y., Mohri, M, Morii, M.: A virus analysis supporting system; forautomatic grasping virus behavior by code-analysis result, The Computer SecuritySymposium 2005 (CSS2005), vol. 1, pp. 169 - 174, 2006年 Hoshizawa, Y., Morii, M.,Nakao, K.: A proposal of automated malware behavior analysis system,Information and Communication System Security, IEICE, ICSS2006-07, pp. 41 - 46,2006年 C. Willems, T. Holz, and F.Freiling, "Toward Automated Dynamic Malware Analysis Using CWSandbox"Security & Privacy Magazine, IEEE, Volume 5, Issue 2, pp. 32 - 39, 2007年 Nakao, K., Matsumoto, F.,Inoue, D., Baba, S., Suzuki, K., Eto, M., Yoshioka, K., Rikitake, K., Hori, Y.:Visualization technologies of nicter incident analysis system, IEICE Technical Report, vol.106, no.ISEC-176 pp.83 - 89,2006年

本発明は、上記従来技術の有する問題点に鑑みて創出されたものであり、検査対象のコンピュータ上における不正と疑われる挙動を示すプログラムを高速かつ低負荷で検出すると共に、未知の不正プログラムであっても高精度に解析可能な技術を提供することを目的とする。

上記課題を解決するため、本発明は次のようなコンピュータ検査システムを提供する。
すなわち、対象コンピュータ上の不正プログラムを検査サーバ装置により検査するコンピュータ検査システムであって、対象コンピュータと検査サーバ装置とが通信ネットワークで接続される。本発明における不正プログラムには、不正と疑われる挙動を示す（不審なプログラム）や、所定の方法で不正であると判定されたものを含む。
本発明の検査サーバ装置には、対象コンピュータ上で実行し不正プログラムを探索する探索プログラムを格納する探索プログラム記録手段、探索プログラムを対象コンピュータに送信する探索プログラム送信手段、探索プログラムの実行結果を受信する探索結果受信手段、探索結果を解析して解析結果を出力する不正プログラム解析手段、解析結果を対象コンピュータに送信する解析結果送信手段、の各手段を少なくとも備える。

また、対象コンピュータには、探索プログラムを受信する探索プログラム受信手段、探索プログラムを実行処理する探索プログラム実行手段、探索プログラムの実行結果を検査サーバ装置に送信する探索結果送信手段、解析結果を受信する解析結果受信手段、の各手段を少なくとも備える。

上記コンピュータ検査システムにおいて、探索プログラムが探索プログラム実行手段に対して、対象コンピュータにおける不正な挙動を検出し、その挙動を起こすソースコード又はオブジェクトコードの少なくともいずれかのコードを抽出し、実行結果としてコードを送信する処理を行わせる構成でもよい。

不正プログラム解析手段が、探索結果受信手段が受信したコードを試行してその動作を解析する動的解析を行うこともできる。また、不正プログラム解析手段が、探索結果受信手段が受信したコードの内容を解析する静的解析を行うこともできる。本発明では、上記動的解析及び静的解析のいずれか一方、または両方を組み合わせて行うことができる。

本発明のコンピュータ検査システムでは、不正プログラム解析手段を、上記のように検査サーバ装置に設けず、通信ネットワークで接続される外部サーバ装置に配置することもできる。あるいは、不正プログラム解析手段の一部を検査サーバ装置に備え、残部を外部サーバ装置に設けてもよい。

上記構成に加え、不正プログラム解析手段の解析結果に基づいて、その不正プログラムを無効化する駆除プログラムを生成する駆除プログラム生成手段と、駆除プログラムを対象コンピュータに送信する駆除プログラム送信手段を備えてもよい。これらの各手段は、上記検査サーバ装置や、上記不正プログラム解析手段を備えた外部サーバ装置、又はいずれとも異なる外部サーバ装置に設けることができる。
そして、対象コンピュータに、駆除プログラム受信手段と、駆除プログラムを実行処理する駆除プログラム実行手段とを備える。

本発明は、対象コンピュータ上の不正プログラムを検査サーバ装置により検査するコンピュータ検査方法として提供することもできる。コンピュータの処理方法として提供する本発明の方法は次の各ステップを有する。
（Ｓ１０）検査サーバ装置に、対象コンピュータ上で実行し不正プログラムを探索する探索プログラムを格納し、検査サーバ装置から対象コンピュータに通信ネットワークを介して探索プログラムを送信する探索プログラム送信ステップ
（Ｓ１１）対象コンピュータの探索プログラム実行手段が、探索プログラムを実行処理する探索プログラム実行ステップ
（Ｓ１２）対象コンピュータから検査サーバ装置に通信ネットワークを介して探索プログラムの実行結果を送信する探索結果送信ステップ
（Ｓ１３）不正プログラム解析手段が、探索結果を解析して解析結果を出力する不正プログラム解析ステップ
（Ｓ１４）検査サーバ装置から対象コンピュータに通信ネットワークを介して解析結果を送信する解析結果送信ステップ

上記の探索プログラム実行ステップ（Ｓ１１）において、探索プログラムが探索プログラム実行手段に対して、対象コンピュータにおける不正と疑われる挙動を検出し、その挙動を起こすソースコード又はオブジェクトコードの少なくともいずれかのコードを抽出し、実行結果としてコードを送信する処理を行わせる構成でもよい。

不正プログラム解析ステップ（Ｓ１３）において、探索結果受信手段が受信したコードを試行してその動作を解析する動的解析を行う構成、あるいは探索結果受信手段が受信したコードの内容を解析する静的解析を行う構成、の少なくともいずれかでもよい。

上記不正プログラム解析ステップの解析結果に基づいて、解析結果送信ステップ（Ｓ１４）の後に次の各ステップを有してもよい。
（Ｓ２０）駆除プログラム生成手段が、不正プログラムを無効化する駆除プログラムを生成する駆除プログラム生成ステップ
（Ｓ２１）駆除プログラム生成手段から対象コンピュータに通信ネットワークを介して駆除プログラムを送信する駆除プログラム送信ステップ
（Ｓ２２）対象コンピュータの駆除プログラム実行手段が、駆除プログラムを実行処理する駆除プログラム実行ステップ

本発明は上記コンピュータ検査システムにおける検査サーバ装置のみを提供してもよい。
また、対象コンピュータ上の不正プログラムを探索する探索プログラムを提供してもよい。

本発明は、以上の構成を備えることにより、次の効果を奏する。
すなわち、検査サーバ装置には、常に最新の探索プログラムを備えて、対象コンピュータに提供することにより、新しいソフトウェアに対応し、効率的な不正プログラムの探索を行わせることができる。
また、対象コンピュータ上で詳細な解析を行わず、不審と疑われる挙動を示すプログラムのみを探索し、検査サーバ装置に送ることで、網羅的にプログラムを探索できると共に、対象コンピュータにおける負荷を最低限に抑制することができる。

一方、検査サーバ装置では、高度な解析処理を行うことができる。例えば、対象コンピュータからソースコードやオブジェクトコードを受信して、それを試験的に実行処理する動的解析により、不正な挙動を検出することができる。
また、コードの静的解析においても、対象コンピュータの負荷を低減し、大規模なデータベースに基づく解析処理を行うことができる。

駆除プログラム生成手段を設けることで、対象コンピュータに対して感染したマルウェアを駆除する駆除プログラムを提供することができる。特に、不正プログラム解析手段による解析結果に基づいて駆除プログラムを生成することで、未知のマルウェアにも有効な駆除プログラムを高速に作成することができる。
このように迅速に駆除プログラムが提供されることで、ネットワークにおけるマルウェアの感染拡大も防ぐことができる。

本発明のコンピュータ検査システムの全体構成図である。本発明の実施例１に係る検査サーバの構成図である。本発明の実施例１に係るユーザＰＣの構成図である。本発明の実施例１における処理のフローチャートである。本発明の実施例２に係る検査サーバの構成図である。本発明の実施例２に係るユーザＰＣの構成図である。本発明の実施例２における処理のフローチャートである。本発明システムの別実施例である。 nicterの概要を示す説明図である。

以下、本発明の実施形態を、図面に示す実施例を基に説明する。なお、実施形態は下記に限定されるものではない。
最初に、図１に示すコンピュータ検査システムの全体構成図を用いて、本発明の概要を説明する。本システムを構成する要素として、検査サーバ（１）、検査対象コンピュータであるユーザＰＣ（２）、マルウェアの解析システム（４）、駆除ツールの生成システム（５）がある。各システムは、公知のパーソナルコンピュータやワークステーション等で構成することが簡便であり、各要素間は例えばインターネットなどの通信ネットワークで接続する。通信ネットワークはＷＡＮ（ワイドエリアネットワーク）や、ＬＡＮ（ローカルエリアネットワーク）、携帯電話、ＰＨＳ等の公衆回線網でもよい。

検査サーバ（１）から、ユーザＰＣ（２）に対して探索プログラムの送付（１ａ）を行う。ユーザＰＣ（２）上で探索プログラムを起動し、稼働させる（２ａ）ことで、不正な挙動が行うマルウェアがないかどうか探索する。
その結果、不正な挙動が発見された場合には、その実行コードを検出し、検査サーバ（１）に送出（２ｂ）する。

検査サーバ（１）では、実行コードを受信するとすぐに解析を開始（１ｂ）する。本発明では、この解析にマルウェアの解析システム（４）を用いる。解析システム（４）に実行コードを送り、そのコードを静的解析（４ａ）、動的解析（４ｂ）する。このような解析はミクロ解析として様々な技術が提案されており、それらを任意に用いることができる。
静的解析とは、マルウェアのコードを分析し、どのような不正処理を行うかを分析する手法であり、具体的には実行コードを逆アセンブリして処理内容を取得する方法がある。
動的解析とは、マルウェアを実際に動作させて、例えば不正パケットの送出や、ファイル操作処理など、不正処理の詳細を把握する方法である。
これらの解析結果（１ｃ）は検査サーバ（１）に返される。解析結果（１ｃ）はユーザＰＣ（２）の探索プログラム（２ａ）に通知して、探索プログラムから表示するようにしてもよい。

また、解析結果（１ｃ）に基づいて、駆除ツール生成システム（５）で駆除ツール生成（５ａ）を行うことができる。
本発明では、マルウェアに応じて駆除ツールを生成することができるが、簡便な方法としては、上記静的解析（４ａ）によって発見された不正なコードの削除や、動的解析（４ｂ）によって検出された不正な処理を中止させる新たな処理の追加などが含まれる。
生成された駆除ツール（１ｄ）は検査サーバ（１）を経てユーザＰＣ（２）の探索プログラム（２ａ）に送られ、駆除（２ｃ）が実行される。

（実施例１）
次に、本発明の具体的実施例を示す。実施例１としては、本発明システムを検査サーバ（１）とユーザＰＣ（２）、両者を接続するインターネット（３）で構成し、駆除ツールの生成を含まない構成を説明する。
図２は、検査サーバ（１）の構成図、図３はユーザＰＣ（２）の構成図、図４は本実施例のフローチャートである。

検査サーバ（１）は、インターネット上に配置されるサーバ装置として構成されているが、本発明に必須な要素として、ＣＰＵ（１０）、イーサネット（登録商標）カードや無線ＬＡＮ通信カードなどの通信アダプタ（１１）、ハードディスク等の記憶装置（１２）を備える。この他、公知のように、ＣＰＵ（１０）と協働するメモリや、管理者からの入力を受け付けるキーボード、モニタ等を備えることもできるが、ここでは省略する。

記憶装置（１２）には、ユーザＰＣ（２）で実行する探索プログラム（１２０）を格納し、これは常に最新版に改訂されることが望ましい。
ＣＰＵ（１０）には、探索プログラム送信部（１００）、探索結果受信部（１０１）、不正プログラム解析部（１０２）、解析結果送信部（１０３）を備える。

一方、ユーザＰＣ（２）は、インターネット上に配置される端末装置として構成され、一般的なパーソナルコンピュータの他、ＰＤＡ（Personal Digital Assistants）や携帯電話、ＰＨＳなどでもよい。
ユーザＰＣ（２）には、ＣＰＵ（２０）、画面表示を行うモニタ（２１）、記憶装置（２２）、通信アダプタ（２３）を備える。他に付属する機器については省略する。

ＣＰＵ（２０）には、探索プログラム受信部（２００）、探索プログラム実行部（２０１）、探索結果送信部（２０２）、解析結果受信部（２０３）を備える。

以上の構成により、図４に示す処理を行う。
まず、探索プログラム送信部（１００）が、記憶装置（１２）の探索プログラム（１２０）を読み出し、インターネット（３）を介して探索プログラム受信部（２００）に探索プログラムを送信する（Ｓ１０）。
本ステップ（Ｓ１０）は、公知のアンチウイルスソフトと同様に、最初はパッケージ等で販売してＣＤロム等のメディアからユーザＰＣ（２）にインストールしてもよいが、最新版を実行するために、検査サーバ（１）から最新版にアップデートできるようにする。本発明で送信する探索プログラム（１２０）はプログラム全体の他、すでにインストール済みの差分も含む。
なお、本実施例では探索プログラム（１２０）の記憶手段と探索プログラム送信手段を検査サーバ（１）内に設けているが、これらを外部のサーバ装置に備えて探索プログラムの提供をユーザＰＣ（２）に直接行うこともできる。

ユーザＰＣ（２）では受信した探索プログラムを探索プログラム実行部（２０１）が実行処理（Ｓ１１）する。探索プログラム（１２０）はユーザＰＣ（２）の起動と共に常駐することが好ましく、常にユーザＰＣ（２）における不審な挙動を監視する。このような動作態様も公知のアンチウイルスソフトと同様に構成することができる。

探索プログラム（１２０）は、ユーザＰＣ（２）内で稼働、常駐しているプログラムの中からマルウェアの疑いのある怪しいオブジェクトコード（実行コード）を探索して収集する。
本発明ではマルウェアかどうかの解析を検査サーバ（１）で行うことができるため、ユーザＰＣ（２）の負荷や、ユーザへの誤った通知の恐れを考慮する必要がない。そこで、探索プログラム（１２０）はフォールスポジティブを許容する（不正でない対象を、不正と誤判定することを許す状態）という考え方に基づいて、不審なプログラムはすべて抽出することが望ましい。

単純な方法としては、未知のプログラムをすべて抽出することが挙げられる。探索プログラムに検査サーバで検査済みのプログラムの情報を備えておき、そのプログラムリストにないプログラムを抽出する方法がある。
この場合、単純にファイル名だけでなく、ファイル容量やハッシュ値などの比較などを組み合わせて同一性を判定することができる。なお、ファイルバックアップソフトウェア等において、ファイルの同一性の判定技術、差分の抽出技術については公知であり、それらを用いてもよい。

より高度な方法としては、探索プログラムがプログラムの挙動を監視する方法がある。例えば、不正なポート番号へのパケットの送出や、ファイルの削除、移動等のファイル管理処理が行われるかどうかを監視し、所定の処理を行った場合には不審な挙動を行うプログラムを抽出する。
このような方法においても、抽出漏れがないように少しでも不審な挙動がある場合には抽出することが望ましい。

本発明では、抽出量を減らすための有効な方法として、検査済みのプログラムについてホワイトリスト情報を備えることもできる。ホワイトリスト情報は、探索プログラム（１２０）に格納し、不審な挙動と判断される場合でもホワイトリスト情報にあるプログラムについては抽出しない。
このとき、特定のポート番号へのパケットの送出など、特定の挙動についてもホワイトリスト情報に格納し、プログラム毎に問題のない挙動を登録しておくこともできる。

探索結果として抽出する対象は、稼働中のプロセスから特定されるオブジェクトコードの他、記憶装置に格納されているソースコードでもよい。UNIX（登録商標）等においては、ソースコードとインストールのパッケージが共に配布されていることが多く、稼働中のオブジェクトコードとソースコードが関連付けられる場合には、両者を送信することで後段の解析処理の高精度化に寄与することができる。

探索されたコードは、探索結果送信部（２０２）からインターネット（３）を介して探索結果受信部（１０１）に向けて送信（Ｓ１２）される。このとき、必要に応じて送信に適切な形式に変換することもできる。

探索結果は不正プログラム解析部（１０２）において解析処理（Ｓ１３）される。不正プログラム解析部にホワイトリスト情報を格納し、検索プログラムから受信したプログラムのうちホワイトリスト情報のあるプログラムについては解析をスキップすることもできる。
解析処理については本件出願人によるnicter（非特許文献４）の技術や、周知の解析技術を用いることができる。

ここで、nicterについて簡単に説明する。
nicterは、広域のネットワークモニタリングによって収集したイベントを解析し、その中からインシデントを検出するマクロ解析システムと、マルウェアの検体を収集・解析して、それらの挙動を抽出するミクロ解析システムという２つのサブシステム経由の解析パスを持つ（図９参照）。

これら２つサブシステムにおける解析結果は、相関分析システムにおいてその相関関係が分析され、インシデントの「現象」と「原因」を対応付けることが可能となる。換言すると、マクロ解析システムではネットワーク上で発生しているインシデントの現象を捉えることができ、一方、ミクロ解析システムではインシデントの原因と考えられるマルウェアの挙動を把握できるため、双方の解析結果を照合することで、発生中のインシデントの原因特定が可能となり、さらに、特定されたマルウェアに応じた対策導出も可能となる。その結果、ネットワークモニタリングによって観測された統計データ等の提示に留まらず、インシデントの原因とその対策にまでを出力することができる。

マクロ解析システムは、複数の観測地点におけるネットワークモニタリングで得られたトラフィックを入力として受ける。nicterは現状、日本国内の12万を超える未使用IPアドレスを観測している。未使用IPアドレスには本来、外部からのパケットは到着しないはずであるが、実際には相当数のパケットが到着する。これらのパケットの多くは、マルウェアの感染行為の第一段階であるスキャンや、DoS攻撃、送信元IPアドレスが詐称されたDoS攻撃への返信であるBackscatterなどが含まれる。

このように、未使用IPアドレスに到着するトラフィックを収集・分析することで、広域ネットワークにおける攻撃活動の傾向を把握することが可能になる。
マクロ解析システムに備える振舞分析エンジンは、nicterが観測したトラフィックを送信元ホストごとにスライスし、各ホストの短時間（30秒間）の振舞を自動分析するエンジンである。以下のパラメータを用いて振舞を自動分類し、DBに逐次蓄積する。

送信元/宛先ポート番号
宛先IPアドレス
プロトコル種別
スキャンタイプ（Sequential/Random）

この自動分類によって、ある送信元ホストの振舞が既知の攻撃パターンであるのか、あるいは新規の攻撃パターンであるのかを瞬時に判定することが可能となる。
さらに、長期振舞分析エンジンでは、nicterに蓄積された数年に渡るトラフィック情報を長期的なスパンで分析するため、スロースキャン等にも対応可能である。

マクロ解析システムに備える変化点分析エンジンは、特定ポートへの単位時間あたりパケット数や、送信元のユニークホスト数などを時系列データと見なし、その急激な変化を迅速に検出するため、nicterでは２段階の学習アルゴリズムによって高速計算を実現している。

マクロ解析システムに備える自己組織化マップ分析エンジンは、送信元ホストの攻撃パターンの多角的な属性を特徴ベクトルとして自己組織化マップに入力し、同種の挙動を持つ（つまり同種のマルウェアに感染している可能性の高い）ホストをクラスタリングし、クラスタの増減や、発生・消滅などを検出・分析する。これにより、ボットネットの動作の迅速な把握も可能となる。

nicterには、上記マクロ解析システムと共にミクロ解析システムを備えている。
ミクロ解析システムは、ハニーポット等で捕獲した大量のマルウェアの検体を、１検体あたり５〜１０分で自動解析し、その性質や挙動を抽出し、マルウェア情報プールに蓄積することを目的とする。以下、ミクロ解析システムの主要なエンジンについての概要を述べる。

・静的解析エンジン
マルウェアの典型的解析法として、マルウェアの実行コードを逆アセンブルして、その特徴を抽出する静的解析がある。しかしながら、マルウェアの実行コードには、逆アセンブルを阻害するコード難読化（code obfuscation）がなされているものがあり、静的解析をより困難なものとしている。そこで、nicterの静的解析エンジンでは、コード難読化されたマルウェアを一旦計算機上で実行し、メモリ上に展開（自己復号）されたコードを取得して逆アセンブルすることで、難読化の効果を無効化可能とする技術が用いられている。

・動的解析エンジン
マルウェアのもう１つの典型的解析法に、マルウェアを実行状態に置き、その際にマルウェアが使用するＡＰＩやサーバアクセスなどの挙動を解析する動的解析がある。しかしながら、近年のマルウェアは、自己の周囲のネットワーク環境などを監視して、異常を察知すると沈黙状態となるなど、動的解析を困難にする機能を持つものが多い。そこで、nicterの動的解析エンジンでは、マルウェアを実行する箱庭環境に、ＤＮＳやＩＲＣをはじめ多数のダミーサーバを用意することで実インターネット環境を模倣し、スキャンを含むマルウェアの挙動を抽出する。

さらに、上記マクロ解析システムとミクロ解析システムとを相関分析する相関分析システムを備えている。相関分析システムでは、マクロ解析システムにおいて検出された攻撃パターンを各種の属性に沿ってプロファイル化し、ミクロ解析システムにおいて解析済みであるマルウェアのプロファイルとの照合を行い、インシデントの原因と考えられるマルウェアの候補を探し出す。

本発明では、このようなnicterの主にミクロ分析システムで用いられる技術を使って、不正プログラム解析部（１０２）の処理とする他、相関分析システムの分析結果を用いて当該マルウェアの挙動の詳細な分析を行ってもよい。

このほか、マルウェアの解析手法としては、多様な商業的なプロジェクト、学問的なプロジェクト、または政府支援によるプロジェクトが研究を進めている。（非特許文献４〜１６参照）。
従前のステップとして、これらのプロジェクトの多くは、ネットワーク・イベント監視に基づいて、特定のポート番号でのアクセスの急激な増加等、統計的なデータの提供に集中している。これらの活動の過程で、世界的に公表されている未使用のＩＰアドレス（非特許文献５、６、１７参照）の集合であるダークアドレス空間を監視することが一般的な手法である。

これらのアドレス空間では、多様なマルウェアをひき付けるためにハニーポットを設置したり、あるいはマルウェアが感染先を探索するために行う走査、ＤＤｏＳ攻撃のバックスキャタ等を含む入信パケットを監視する（ブラックホール監視）センサを用意する（非特許文献１８〜２１参照）。

他方、実際のマルウェア実行ファイルを分析することには別の課題がある。マルウェアの構造を解析する際、マルウェア実行ファイルを逆アセンブルするためにリバース・エンジニアリング技法が適用される（非特許文献２２、２３参照）。
また、マルウェア・コードが実際には閉じられた（アクセスが制御された）実験環境で実行されるサンドボックス分析はその挙動を観察することができる（非特許文献２２、２４〜２６参照）。

不正プログラム解析部（１０２）ではこれらの文献をはじめとする公知の解析処理によって、探索結果のコードがマルウェアであるかどうかを解析する。
そして、解析結果を解析結果送信部（１０３）からインターネット（３）を介して解析結果受信部（２０３）に送信（Ｓ１４）する。

ここで、解析結果送信ステップは、マルウェアと判定された場合にのみ送信する構成でもよいし、マルウェアでない場合にも送信してもよい。後者の場合は、上記ホワイトリスト情報として記録することもできる。

探索プログラムには、解析結果受信部（２０３）で受信した解析結果をモニタ（２１）から表示する機能をもたせてもよい。すなわち、解析結果を出力（Ｓ１５）処理は、ユーザにマルウェアが稼働していることを通知する重要な処理であり、通常はこの処理を行うことが望ましい。
もっとも、ユーザが操作する手段を持たない専用端末等の特殊な対象コンピュータの場合には、出力する意味がないため、必ずしも出力ステップ（Ｓ１５）を行わなくてもよい。

本発明の実施例１は、以上のような構成により、探索プログラム（１２０）を検査サーバ（１）からユーザＰＣ（２）に送信して、探索プログラム（１２０）による網羅的なマルウェアの探索を実現することができる。解析は検査サーバ（１）が行うため、ユーザＰＣ（２）に大きな負荷がかからず、かつ高精度な解析を行うことが出来る点に最大の特徴がある。

（実施例２）
本発明の第２の実施例として、駆除プログラムを生成する機能を備えた構成について説明する。
図５は実施例２に係る検査サーバ（１）の構成図、図６は同ユーザＰＣ（２）の構成図、図７は実施例２の処理のフローチャートである。各図において、実施例１と同様の構成については同符号で示し、説明を省略する。

検査サーバ（１）のＣＰＵ（１０）には、新たに駆除プログラム生成部（１０４）と、駆除プログラム送信部（１０５）とを備える。必要に応じて、記憶装置（１２）に駆除パターン（１２１）のデータベースを格納してもよい。
ユーザＰＣ（２）のＣＰＵ（２０）には、新たに駆除プログラム受信部（２０４）と駆除プログラム実行部（２０５）とを備える。

図７に示すように、探索プログラム送信ステップ（Ｓ１０）、探索プログラム実行ステップ（Ｓ１１）によりユーザＰＣ（２）における不審な挙動を起こすプログラムを探索し、発見された場合に検査サーバ（１）で不正プログラム解析ステップ（Ｓ１３）、解析結果送信ステップ（Ｓ１４）を行うことは上記と同様である。

加えて、本実施例２では、駆除プログラム生成部（１０４）が、不正プログラム解析部（１０２）の解析結果を用いて、マルウェアを駆除するプログラムを生成（Ｓ２０）する。駆除プログラムは、オブジェクトコード又はスクリプトのいずれでもよい。

駆除プログラム生成部（１０４）の処理についても、公知の駆除技術を用いることができる。例えば、プログラム毎にマルウェアに感染する前のコードを駆除パターン（１２１）として格納しておき、探索結果のコードを、感染前のコードに復元する差分ファイルを駆除プログラムとして生成することもできる。

不正プログラム解析部（１０２）の静的解析結果から、コード中の不正な処理を行う箇所について、当該箇所を削除する駆除プログラムを生成してもよい。
動的解析結果から、当該プログラムが実際に行う挙動に従って、当該挙動を無効化する処理を行ってもよい。無効化処理としては、例えば、マルウェアによって行われた処理を復元する処理や、行われようとする処理を中止させる処理がある。前者の例としてはレジストリの書き換え処理が行われた後に元に戻す処理、後者の例としては、パケットの送信処理が行われようとしたときに、その送信動作をスキップする処理などがある。

マルウェアの挙動は、パターン化されていることが多いため、駆除パターン（１２１）に各パターンに対する駆除プログラムの要素を格納しておくこともできる。そして、探索結果のマルウェアの挙動に従って、駆除パターン（１２１）中の要素を組み合わせて駆除プログラムを生成することもできる。

生成された駆除プログラムは駆除プログラム送信部（１０５）からインターネット（３）を介して駆除プログラム受信部（２０４）に送信（Ｓ２１）される。
そして、駆除プログラム実行部（２０５）で実行処理（Ｓ２２）されてマルウェアが駆除される。
本発明では、探索プログラム（１２０）に、駆除プログラムの受信（Ｓ２１）と実行（Ｓ２２）の処理を自動的に行わせることで、ユーザの操作を要さずに探索から駆除までを一貫して行うことができる。

以上の実施例２の構成によれば、探索プログラムの探索結果に従い、最適な駆除プログラムを生成し、ユーザに提供することができる。本発明の検査サーバ（１）を複数のユーザで共有することにより、ユーザＰＣ（２）のいずれかで探索され、駆除プログラムが生成されたマルウェアについては、それを他のユーザＰＣ（２）の探索・駆除時に利用することで高速な対応にも寄与する。

（別実施例）
最後に、本発明の各要素を複数の外部サーバ装置に分散配置する例を説明する。
図８は不正プログラム解析部（１０２）と、駆除プログラム生成部（１０４）をそれぞれ、解析システム（４）と駆除ツール生成システム（５）に設けた場合の構成図である。
各システム（４）（５）も、パーソナルコンピュータやワークステーション等によって実現可能であり、ＣＰＵ（４０）（５０）と共に、インターネット（３）に接続する通信アダプタ（４１）（５１）を備える。駆除ツール生成システム（５）には、記憶手段（５２）を備えて、駆除パターン（１２１）を格納してもよい。

本実施例でも処理は上記実施例１、２と同様の処理を行うが、各処理部間で情報を伝達する際に、ネットワークを介する点が異なる。
すなわち、探索結果受信部（１０１）で受信した探索結果は、インターネット（３）を通して不正プログラム解析部（１０２）に至り、その解析結果が、再び解析結果送信部（１０３）に戻されてからユーザＰＣ（２）に送られる。なお、解析結果送信部（１０３）も解析システム（４）に設けて、直接ユーザＰＣ（２）に送信する構成でもよい。

また、不正プログラム解析部（１０２）の解析結果も、インターネット（３）を通して駆除プログラム生成部（１０４）に送られ、生成された駆除プログラムは駆除プログラム送信部（１０５）に届いてからユーザＰＣ（２）に送信される。
上記同様、駆除プログラム送信部（１０５）を駆除ツール生成システム（５）に設けてもよい。

このように解析処理や駆除プログラム生成処理を、異なる外部サーバに分散することにより、既存のシステムを利用したり、装置毎の負荷の低減を図ることができる。
本実施例の配置は一例であり、不正プログラム解析部と駆除プログラム生成部を１つのサーバに設ける構成など組み合わせは任意に変更することができる。

１検査サーバ
１ａ探索プログラム送付
１ｂ実行コード解析開始
１ｃ該当実行コード基礎解析結果
１ｄ駆除ツール
２ユーザＰＣ
２ａ探索プログラム起動・稼働
２ｂ実行コード検出・送出
２ｃ駆除
３インターネット
４解析システム
４ａマルウェア静的解析
４ｂマルウェア動的解析
５駆除ツール生成システム
５ａ駆除ツール生成

Claims

対象コンピュータ上の不正又は不審なプログラム（以下、不正プログラム）を検査サーバ装置により検査するコンピュータ検査システムであって、該対象コンピュータと該検査サーバ装置とが通信ネットワークで接続される構成において、
該検査サーバ装置には、
該対象コンピュータ上で実行し、該検査サーバ装置における未知の不正プログラムを探索する探索プログラムを格納する探索プログラム記録手段と、
該探索プログラムを該対象コンピュータに送信する探索プログラム送信手段と、
該探索プログラムの実行結果を受信する探索結果受信手段と、
該探索結果を解析して解析結果を出力する不正プログラム解析手段と、
該解析結果を該対象コンピュータに送信する解析結果送信手段と
を備えると共に、
該対象コンピュータには、
該探索プログラムを受信する探索プログラム受信手段と、
該探索プログラムを実行処理する探索プログラム実行手段と、
該探索プログラムの実行結果であるソースコード又はオブジェクトコードの少なくともいずれかのコードを該検査サーバ装置に送信する探索結果送信手段と、
該解析結果を受信する解析結果受信手段と
を備える
ことを特徴とするコンピュータ検査システム。
前記探索プログラムが前記探索プログラム実行手段に対して、
前記対象コンピュータにおける不正な挙動を検出し、その挙動を起こすソースコード又はオブジェクトコードの少なくともいずれかのコードを抽出し、前記実行結果として該コードを送信する処理を行わせる
請求項１に記載のコンピュータ検査システム。
前記不正プログラム解析手段が、
前記探索結果受信手段が受信した前記コードを試行してその動作を解析する動的解析を行う
請求項２に記載のコンピュータ検査システム。
前記不正プログラム解析手段が、
前記探索結果受信手段が受信した前記コードの内容を解析する静的解析を行う
請求項２又は３に記載のコンピュータ検査システム。
前記コンピュータ検査システムにおいて、
前記不正プログラム解析手段を、前記検査サーバ装置と通信ネットワークで接続される外部サーバ装置に配置する
請求項１ないし４のいずれかに記載のコンピュータ検査システム。
前記コンピュータ検査システムにおいて、
前記不正プログラム解析手段の解析結果に基づいて、その不正プログラムを無効化する駆除プログラムを生成する駆除プログラム生成手段と、該駆除プログラムを前記対象コンピュータに送信する駆除プログラム送信手段とを、それぞれ前記検査サーバ装置又は該検査サーバ装置と通信ネットワークで接続される外部サーバ装置に設け、
該対象コンピュータに、該駆除プログラム受信手段と、該駆除プログラムを実行処理する駆除プログラム実行手段とを備えた
請求項１ないし５のいずれかに記載のコンピュータ検査システム。
対象コンピュータ上の不正又は不審なプログラム（以下、不正プログラム）を検査サーバ装置により検査するコンピュータ検査方法であって、
該対象コンピュータ上で実行し、該検査サーバ装置における未知の不正プログラムを探索する探索プログラムを該検査サーバ装置に予め格納して用いる構成において、
該検査サーバ装置から該対象コンピュータに通信ネットワークを介して該探索プログラムを送信する探索プログラム送信ステップ、
該対象コンピュータの探索プログラム実行手段が、該探索プログラムを実行処理する探索プログラム実行ステップ、
該対象コンピュータから該検査サーバ装置に通信ネットワークを介して該探索プログラムの実行結果であるソースコード又はオブジェクトコードの少なくともいずれかのコードを送信する探索結果送信ステップ、
該検査サーバ装置の不正プログラム解析手段が、該探索結果を解析して解析結果を出力する不正プログラム解析ステップ、
該検査サーバ装置から該対象コンピュータに通信ネットワークを介して該解析結果を送信する解析結果送信ステップ
を有する
ことを特徴とするコンピュータ検査方法。
前記探索プログラム実行ステップにおいて、
前記探索プログラムが前記探索プログラム実行手段に対して、
前記対象コンピュータにおける不正な挙動を検出し、その挙動を起こすソースコード又はオブジェクトコードの少なくともいずれかのコードを抽出し、前記実行結果として該コードを送信する処理を行わせる
請求項７に記載のコンピュータ検査方法。
前記不正プログラム解析ステップにおいて、
前記探索結果受信手段が受信した前記コードを試行してその動作を解析する動的解析を行う
請求項８に記載のコンピュータ検査方法。
前記不正プログラム解析ステップにおいて、
前記探索結果受信手段が受信した前記コードの内容を解析する静的解析を行う
請求項８又は９に記載のコンピュータ検査方法。
前記コンピュータ検査方法において、
前記不正プログラム解析ステップの解析結果に基づいて、
駆除プログラム生成手段が、不正プログラムを無効化する駆除プログラムを生成する駆除プログラム生成ステップ、
該駆除プログラム生成手段から該対象コンピュータに通信ネットワークを介して該駆除プログラムを送信する駆除プログラム送信ステップ、
該対象コンピュータの駆除プログラム実行手段が、該駆除プログラムを実行処理する駆除プログラム実行ステップ
を有する
請求項７ないし１０のいずれかに記載のコンピュータ検査方法。
対象コンピュータ上の不正又は不審なプログラム（以下、不正プログラム）を検査する検査サーバ装置であって、
該対象コンピュータ上で実行し、該検査サーバ装置における未知の不正プログラムを探索する探索プログラムを格納する探索プログラム記録手段と、
該探索プログラムを該対象コンピュータに通信ネットワークを介して送信する探索プログラム送信手段と、
該探索プログラムの実行結果であるソースコード又はオブジェクトコードの少なくともいずれかのコードを受信する探索結果受信手段と、
該探索結果を解析して解析結果を出力する不正プログラム解析手段と、
該解析結果を該対象コンピュータに送信する解析結果送信手段と
を備える
ことを特徴とする検査サーバ装置。
前記検査サーバ装置において、
前記不正プログラム解析手段の解析結果に基づいて、その不正プログラムを無効化する駆除プログラムを生成する駆除プログラム生成手段と、
該駆除プログラムを前記対象コンピュータに送信する駆除プログラム送信手段と
を備える
請求項１２に記載の検査サーバ装置。
前記請求項１ないし６のいずれかに記載のコンピュータ検査システムにおいて用いられ、前記検査サーバ装置から前記対象コンピュータに送信される探索プログラムであって、
該対象コンピュータの探索プログラム実行手段に対して、
該対象コンピュータにおける不正な挙動を検出し、その挙動を起こすソースコード又はオブジェクトコードの少なくともいずれかのコードを抽出させると共に、
該対象コンピュータの探索結果送信手段に対して、
検査サーバ装置に通信ネットワークを介して実行結果である該コードを送信させる
ことを特徴とする探索プログラム。