(57)【特許請求の範囲】
【請求項１】
マルウェアに感染する可能性のある端末装置に対する検査を行う感染検査システムであって、
前記端末装置にインストールが許可される適正ソフトウェアまたは設定が許可される正常設定が示される情報である検査基準情報を記憶する検査基準情報管理部と、
前記端末装置を監視し、前記端末装置における異常の発生を検出する異常検出部と、
前記異常検出部により前記端末装置における異常の発生が検出されると、前記端末装置内に存在するソフトウェアを検出し、検出した前記端末装置内のソフトウェアが、前記検査基準情報管理部で記憶されている検査基準情報に示されている適正ソフトウェアと一致するか否かを検査する検査実行部とを有することを特徴とする感染検査システム。
【請求項２】
前記検査基準情報管理部は、
適正ソフトウェアが正常に動作する設定が正常設定として示される検査基準情報を記憶し、
前記検査実行部は、
前記端末装置内に存在するソフトウェアと前記端末装置における設定を検出し、検出した前記端末装置内のソフトウェアが検査基準情報に示されている適正ソフトウェアと一致するか否かを検査するとともに、検出した設定が検査基準情報に示されている正常設定と一致するか否かを検査することを特徴とする請求項１に記載の感染検査システム。
【請求項３】
前記感染検査システムは、
各々がマルウェアに感染する可能性があり、インストールが許可される複数のソフトウェアのうちの１つ以上のソフトウェアが各々にインストールされている複数の端末装置に対する検査を行う感染検査システムであり、
前記検査基準情報管理部は、
前記複数のソフトウェアを複数の適正ソフトウェアとし、適正ソフトウェアごとに正常設定が示される検査基準情報を記憶し、
前記異常検出部は、
前記複数の端末装置を監視し、いずれかの端末装置における異常の発生を検出し、異常が発生した端末装置を、前記検査実行部による検査の対象となる検査対象端末装置に指定し、
前記検査基準情報管理部は、
前記異常検出部により指定された検査対象端末装置にインストールが許可される１つ以上の適正ソフトウェアに対応する１つ以上の検査基準情報を複数の検査基準情報の中から選択し、
前記検査実行部は、
前記検査対象端末装置内に存在するソフトウェアと前記検査対象端末装置における設定を検出し、検出した前記端末装置内のソフトウェアが前記検査基準情報管理部により選択された検査基準情報に示されている適正ソフトウェアと一致するか否かを検査するとともに、検出した設定が前記検査基準情報管理部により選択された検査基準情報に示されている正常設定と一致するか否かを検査することを特徴とする請求項２に記載の感染検査システム。
【請求項４】
前記感染検査システムは、
各々がマルウェアに感染する可能性があり、各々が複数のカテゴリーのうちのいずれかのカテゴリーに属する複数の端末装置に対する検査を行う感染検査システムであり、
前記検査基準情報管理部は、
前記複数の端末装置にインストールが許可される複数のソフトウェアを複数の適正ソフトウェアとし、適正ソフトウェアごとに正常設定が示される検査基準情報を記憶し、
適正ソフトウェアの属性に基づいて適正ソフトウェアをグループ化し、同じグループに分類された適正ソフトウェアの検査基準情報をグループ化し、検査基準情報のグループをいずれかのカテゴリーに対応付けて管理し、
前記異常検出部は、
前記複数の端末装置を監視し、いずれかの端末装置における異常の発生を検出し、異常が発生した端末装置を、前記検査実行部による検査の対象となる検査対象端末装置に指定し、
前記検査基準情報管理部は、
前記異常検出部により指定された検査対象端末装置が属するカテゴリーに対応付けられているグループの検査基準情報を複数の検査基準情報の中から選択し、
前記検査実行部は、
前記検査対象端末装置内に存在するソフトウェアと前記検査対象端末装置における設定を検出し、検出した前記端末装置内のソフトウェアが前記検査基準情報管理部により選択された検査基準情報に示されている適正ソフトウェアと一致するか否かを検査するとともに、検出した設定が前記検査基準情報管理部により選択された検査基準情報に示されている正常設定と一致するか否かを検査することを特徴とする請求項２に記載の感染検査システム。
【請求項５】
前記感染検査システムは、
各々がマルウェアに感染する可能性があり、インストールが許可される複数のソフトウェアのうちの１つ以上のソフトウェアが各々にインストールされている複数の端末装置に対する検査を行う感染検査システムであり、
前記検査基準情報管理部は、
前記複数のソフトウェアを複数の適正ソフトウェアとし、前記複数の適正ソフトウェアの各々が示され、前記複数の適正ソフトウェアの各々に対する正常設定が示される検査基準情報を記憶し、
前記異常検出部は、
前記複数の端末装置を監視し、いずれかの端末装置における異常の発生を検出し、異常が発生した端末装置を、前記検査実行部による検査の対象となる検査対象端末装置に指定し、
前記検査実行部は、
前記異常検出部により指定された検査対象端末装置内に存在するソフトウェアと前記検査対象端末装置における設定を検出し、検出した前記端末装置内のソフトウェアが前記検査基準情報管理部により選択された検査基準情報に示されている適正ソフトウェアと一致するか否かを検査するとともに、検出した設定が前記検査基準情報管理部により選択された検査基準情報に示されている正常設定と一致するか否かを検査することを特徴とする請求項２に記載の感染検査システム。
【請求項６】
前記感染検査システムは、更に、
マルウェアに感染されないように処置され、端末装置にインストールが許可され、前記端末装置にインストールされているソフトウェアが適正ソフトウェアとしてインストールされ、適正ソフトウェアが正常に動作する設定を正常設定として保持する正常設定保持部を有し、
前記検査基準情報管理部は、
前記正常設定保持部にインストールされている適正ソフトウェアと、前記正常設定保持部で保持されている正常設定とが示される検査基準情報を記憶することを特徴とする請求項２に記載の感染検査システム。
【請求項７】
マルウェアに感染する可能性のある端末装置に対する検査を行う感染検査方法であって、
第１のコンピュータが、前記端末装置にインストールが許可される適正ソフトウェアまたは設定が許可される正常設定が示される情報である検査基準情報を記憶し、
第２のコンピュータが、前記端末装置を監視し、前記端末装置における異常の発生を検出し、前記端末装置における異常の発生を検出すると、前記端末装置内に存在するソフトウェアを検出し、検出した前記端末装置内のソフトウェアが、前記第１のコンピュータで記憶されている検査基準情報に示されている適正ソフトウェアと一致するか否かを検査することを特徴とする感染検査方法。
【請求項８】
マルウェアに感染する可能性のある端末装置にインストールが許可される適正ソフトウェアまたは設定が許可される正常設定が示される情報である検査基準情報と、
前記端末装置を監視し、前記端末装置における異常の発生を検出し、前記端末装置における異常の発生を検出すると、前記端末装置内に存在するソフトウェアを検出し、検出した前記端末装置内のソフトウェアが、前記検査基準情報に示されている適正ソフトウェアと一致するか否かを検査するプログラムとが記憶されていることを特徴とするコンピュータにより読み取り可能な記録媒体。
【請求項９】
マルウェアに感染する可能性のある端末装置にインストールが許可される適正ソフトウェアまたは設定が許可される正常設定が示される情報である検査基準情報を入力し、
前記端末装置を監視し、前記端末装置における異常の発生を検出し、前記端末装置における異常の発生を検出すると、前記端末装置内に存在するソフトウェアを検出し、検出した前記端末装置内のソフトウェアが、入力した検査基準情報に示されている適正ソフトウェアと一致するか否かを検査する処理をコンピュータに実行させることを特徴とするプログラム。
【請求項１０】
前記異常検出部は、
前記端末装置におけるトラフィックを監視し、前記端末装置におけるトラッフィク異常の発生を検出し、
前記検査実行部は、
前記異常検出部により前記端末装置におけるトラッフィク異常の発生が検出されると、前記端末装置内に存在するソフトウェアを検出することを特徴とする請求項１に記載の感染検査システム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、端末装置からマルウェアを迅速に駆除するための技術に関する。
マルウェアとは、コンピュータウイルス、ワーム、バックドア、キーロガー、スパイウェア、トロイの木馬など、不正かつ有害な動作を行う意図で作成された悪意のある不正ソフトウェアや悪質な不正コードの総称である。
【背景技術】
【０００２】
従来より、不正プログラムであるマルウェアへの対策技術としては、マルウェアによって悪用される可能性がある、オペレーティングシステムやソフトウェアの脆弱性に対する修正パッチ（プログラムの不具合を修正するためのモジュール）の自動適用技術や、アンチウイルス対策ソフトウェアが一般的に導入されている。
例えば、特許文献１のように、ネットワークに接続された端末装置がマルウェアに対して高い耐性を持つよう、ソフトウェアやアンチウイルス対策ソフトウェアを最新の状態に維持するためのシステム（一般に検疫システムと呼ばれる）が考案されている。
【０００３】
また、ユーザ端末装置に接続されインターネット網への接続点（回線局舎）に設置されたゲートウェイ装置が、ユーザ端末装置がマルウェアに感染しているか否かを検出し、感染を検出したときにユーザ端末装置をインターネット網から切断して、ユーザ端末装置を復旧支援装置（回線局舎内に設置）にＶＰＮ（Ｖｉｒｔｕａｌ  Ｐｒｉｖａｔｅ  Ｎｅｔｗｏｒｋ）接続させ、ユーザ端末装置の検疫処理を行う方式が考案されている（例えば、特許文献２）。
特許文献２によれば、ユーザ端末装置上に、アンチウイルス対策ソフトウェア等の監視手段を備えていない場合であっても、ユーザ端末装置から発信される通信のパターンによって、端末装置のマルウェアへの感染を検出し、検疫処理によってマルウェアを駆除する。
加えて、ＩＰ（Ｉｎｔｅｒｎｅｔ  Ｐｒｏｔｏｃｏｌ）電話機による復旧支援音声サービスを受けることができるため、端末装置のユーザにマルウェアに関する特別な知識がない場合であっても、マルウェアに感染した端末装置からインターネット上へ有害な通信（マルウェアの感染通信やサービス拒否攻撃通信）が流れることを防止するとともに、ユーザ端末装置からマルウェアを駆除できる。
【先行技術文献】
【特許文献】
【０００４】
【特許文献１】特開２００７−２９９３４２号公報
【特許文献２】特開２００７−１０２６９７号公報
【発明の概要】
【発明が解決しようとする課題】
【０００５】
従来の検疫システム（特許文献１、特許文献２）では、ネットワークに接続された端末装置等の機器のセキュリティ対策を最新の状態に保つことによって、マルウェア感染への耐性を高めるとともに、マルウェアに感染した端末装置を検知した場合にはマルウェア駆除を行うものであるが、ゼロデイ攻撃（十分な対策手段が確立していない攻撃）や未知のマルウェアについては対抗できないという課題がある。
【０００６】
この発明は上記の課題を解決することを主な目的としており、端末装置がマルウェアに感染している可能性が高い場合に、端末装置からマルウェアを駆除するための解析を迅速に行える構成を実現することを主な目的とする。
【課題を解決するための手段】
【０００７】
本発明に係る感染検査システムは、
マルウェアに感染する可能性のある端末装置に対する検査を行う感染検査システムであって、
前記端末装置に適正にインストールされているソフトウェアが適正ソフトウェアとして示される検査基準情報を記憶する検査基準情報管理部と、
前記端末装置内に存在するソフトウェアを検出し、検出した前記端末装置内のソフトウェアが、前記検査基準情報管理部で記憶されている検査基準情報に示されている適正ソフトウェアと一致するか否かを検査する検査実行部とを有することを特徴とする。
【発明の効果】
【０００８】
本発明では、端末装置に適正にインストールされている適正ソフトウェアと、端末装置から検出されたソフトウェアが一致するか否かを検査する。
このため、マルウェアに感染されている端末装置からは適正ソフトウェアと一致しないソフトウェアが抽出され、抽出されたソフトウェアはマルウェアに関連する可能性が高く、抽出されたソフトウェアに対して解析を行うことでマルウェアを迅速に特定することができる。
【図面の簡単な説明】
【０００９】
【図１】実施の形態１に係るシステム構成例を示す図。
【図２】実施の形態１に係る端末ホワイトリスト生成装置の構成例を示す図。
【図３】実施の形態１に係るホワイトリストの生成過程を説明する図。
【図４】実施の形態１に係るホワイトリスト情報の生成フローを示すフローチャート図。
【図５】実施の形態１に係る基準端末装置の構成例を示す図。
【図６】実施の形態１に係るホワイトリストの例を示す図。
【図７】実施の形態１に係るシステムにおける動作例を示すフローチャート図。
【図８】実施の形態１に係るシステムにおける動作例を示すフローチャート図。
【図９】実施の形態２に係るホワイトリストの生成過程を説明する図。
【図１０】実施の形態３に係るホワイトリストの生成過程を説明する図。
【図１１】実施の形態１に係る検体抽出構成の例を示す図。
【図１２】実施の形態１に係る検体抽出構成の例を示す図。
【図１３】実施の形態１に係る検体抽出構成の例を示す図。
【図１４】実施の形態１〜４に係る端末ホワイトリスト生成装置等のハードウェア構成例を示す図。
【発明を実施するための形態】
【００１０】
実施の形態１．
実施の形態１〜４では、マルウェアの本体プログラムを端末装置から駆除する際の解析を迅速に行える感染検査システムを説明する。
より具体的には、当該感染検査システムでは、端末装置に適正にインストールされているソフトウェアや正常にソフトウェアが動作する設定を検査基準情報として保持し、企業内部でトラフィック異常が発生した際に、異常なトラフィックを発生させた端末装置に存在するソフトウェアを検出し、検出したソフトウェアと検査基準情報の内容とを照合する。また、異常なトラフィックを発生させた端末装置における設定を検出し、検出した設定と検査基準情報の内容とを照合する。
そして、照合の結果、検査基準情報には含まれていないソフトウェア、設定が見つかった場合には、当該ソフトウェア、設定はマルウェアに関連する可能性が高いので、当該ソフトウェア、設定に焦点をあてて解析を進めることでマルウェアの駆除を迅速に行うことができる。
なお、実施の形態１〜４では、企業の内部ネットワークを例にして説明を進めるが、官公庁の内部ネットワークや所定の団体の内部ネットワークにも本実施の形態に係るシステムを適用可能である。
【００１１】
図１は、本実施の形態に係るシステム構成例を示す。
図１において、企業内部ネットワーク１０１は、企業内に配置されているネットワークであり、ＬＡＮ（Ｌｏｃａｌ  Ａｒｅａ  Ｎｅｔｗｏｒｋ）、イントラネットと呼ばれるネットワークが含まれる。
【００１２】
企業内部ネットワーク１０１では、ルータ装置１２１、スイッチ装置１２２〜１２４と、それらを繋げる通信ケーブルが含まれる。
ルータ装置１２１、スイッチ装置１２２〜１２４は、周期的にトラフィック情報を生成する。
トラフィック情報については後述する。
【００１３】
各スイッチ装置１２２〜１２４には、企業内ユーザが業務で使用する端末装置１４１〜１４６が接続されており、ルータ装置１２１、スイッチ装置１２２〜１２４を介して他の端末装置や外部のネットワーク（インターネット、拠点間接続網など）へアクセスする。
なお、端末装置１４１〜１４６は、企業内部ネットワーク１０１のシステム管理者によってベースとなる構成が管理されていることを想定する。
ユーザは、業務内容に応じて必要なソフトウェアを別途端末装置１４１〜１４６へインストールして使用する。
なお、シンクライアント環境においても上記と同様の想定が成立する。
また、企業内部ネットワーク１０１のシステム管理者が必要と判断した修正パッチ（プログラムの不具合を修正するためのモジュール）が、端末装置１４１〜１４６にインストールされるよう、図１に図示していないパッチ管理手段（更新管理システム）によって修正パッチが管理されているものとする。
また、端末装置１４１〜１４６は、マルウェアに感染する可能性がある。
【００１４】
異常検出装置１３１は、企業内部ネットワーク１０１を流れるトラフィックの振舞いを監視し、異常なトラフィックの発生を検知する。
異常検出装置１３１は、感染検査システムにおける異常検出部の例である。
トラフィックの振舞いとは、企業内部ネットワーク１０１を構成する機器（ルータ装置、スイッチ装置）から収集するトラフィック情報を集計して得られた値の時系列的な特徴の変化である。
トラフィック情報の集計の方法としては、条件を指定せずに単位時間当たりの発生数やデータ転送量を集計することが考えられる。
もしくは、発信元ＩＰアドレス、宛先ＩＰアドレス、発信元ポート番号、宛先ポート番号の、ひとつあるいは、複数を条件に指定して単位時間当たりの発生数やデータ転送量を集計することが考えられる。
トラフィックの振舞いは、このような集計の結果得られた値の時系列的な特徴の変化である。
異常検出装置１３１は、トラフィック情報を集計して得られた特徴における変化量が所定レベルを超えた場合に、トラフィック異常が発生したと判断する。
例えば、異常検出装置１３１は、単位時間当たりのデータ転送量が特定の単位時間において急激に増加した場合にトラフィック異常が発生したと判断する。
【００１５】
ここで、トラフィック情報とは、端末装置から送信されたパケットごとのパケットダンプデータや、フロー統計情報を指している。
パケットダンプデータとは、ネットワーク上のある観測地点において流れたパケットをそのままデータとして記録したものである。
また、フロー統計情報とは、端末装置におけるデータのやりとりをフローという概念で定義し、端末装置で行われた通信を、フロー単位にパケット送信数、パケット受信数、データ送信バイト量、データ受信バイト量などの統計情報を記録したものである。
フロー統計情報の一般的な例としては、ＮｅｔＦｌｏｗ、ｓＦｌｏｗなどが挙げられる。
パケットダンプデータおよびフロー統計情報のいずれの場合も、観測時刻情報、発信元ＩＰアドレス、宛先ＩＰアドレス、発信元ポート番号、宛先ポート番号の情報が含まれている。
【００１６】
なお、企業内部ネットワーク１０１に含まれるルータ装置１２１、スイッチ装置１２２〜１２４がトラフィック情報を生成する機能を持たない場合は、トラフィック情報を生成する専用のセンサを企業内部ネットワーク１０１上に配置してトラフィック情報を収集するようにしてもよい。
【００１７】
資産管理台帳データベース装置１３２は、企業内部ネットワーク１０１に接続された端末装置１４１〜１４６ごとに、オペレーティングシステムを含め、インストールされているソフトウェアを管理する。
管理されている情報は、端末装置ＩＤ（ホスト名、ＭＡＣアドレス）、使用ユーザＩＤ（ユーザ名、ユーザ固有番号、電話番号、メールアドレス）、オペレーティングシステムを含め、端末装置にインストールされているソフトウェアの種類とバージョンを少なくとも含む。
【００１８】
基準端末装置１３４は、マルウェアに感染されないように処置されている端末装置である。
例えば、基準端末装置１３４は、マルウェアに感染されないための処置として、スイッチ装置１２２〜１２４、端末装置１４１〜１４６から物理的又は論理的に切り離しておく。
また、基準端末装置１３４には、企業内部ネットワーク１０１に接続されている端末装置１４１〜１４６に適正にインストールされている全てのソフトウェア（オペレーティングシステム、ミドルウェア、アプリケーション、修正パッチ等）がインストールされ、また、各ソフトウェアを正常に動作させるための設定がなされている。
以降、基準端末装置１３４にインストールされているソフトウェアを適正ソフトウェアとも表記する。
また、基準端末装置１３４に施されている設定を正常設定とも表記する。
なお、基準端末装置１３４の正常設定には、ハッシュ値、変数、値、パラメータ等、各端末装置にインストールされているソフトウェアが正常に動作するための各種設定が含まれる。
基準端末装置１３４の正常設定は、システム管理者により定義される。
このように、基準端末装置１３４は、適正ソフトウェアがインストールされ、また、正常設定を保持しており、感染検査システムにおける正常設定保持部の例である。
なお、端末装置１４１〜１４６は、マルウェアに感染していない通常の状態では、基準端末装置１３４にインストールされている適正ソフトウェアのいずれかがインストールされ、また、基準端末装置１３４の正常設定と同じ設定がなされている。
【００１９】
端末ホワイトリスト生成装置１３３では、マルウェアの感染が疑われる端末装置に関して、資産管理台帳データベース装置１３２の情報を基に、マルウェアの感染が疑われる端末装置へインストールが許可されているソフトウェアおよび設定に関する情報のリスト（ホワイトリスト）を作成する。
ホワイトリストの元となる端末装置１４１〜１４６にインストールが許可されているソフトウェアおよび設定に関する情報（ホワイトリスト情報）は、端末ホワイトリスト生成装置１３３が、基準端末装置１３４を参照することによって生成し、蓄積しておく。
ホワイトリスト情報は、基準端末装置１３４にインストールされている適正ソフトウェアごとに、適正ソフトウェアを正常に動作させるための設定（正常設定）が示される情報である。
このように、端末ホワイトリスト生成装置１３３が保持するホワイトリスト情報は、基準端末装置１３４の適正ソフトウェアと正常設定とが示される情報であり、検査基準情報の例である。
また、端末ホワイトリスト生成装置１３３は、マルウェアの感染が疑われる端末装置へインストールが許可されているソフトウェアに対応するホワイトリスト情報を選択し、選択したホワイトリスト情報を組み合わせてホワイトリストを生成する。
このように、ホワイトリストは、選択されたホワイトリスト情報の集合であり、ホワイトリストは、選択された検査基準情報の集合である。
また、端末ホワイトリスト生成装置１３３は、感染検査システムにおける検査基準情報管理部の例である。
また、端末ホワイトリスト生成装置１３３は、感染検査方法における第１のコンピュータの例である。
【００２０】
なお、図１は、本実施の形態の内容を簡潔に説明するために必要な構成のみを記載しているものであり、本実施の形態を適用するためのネットワークを実際に構成する際のネットワーク構成を制限するものではない。
【００２１】
また、本実施の形態は、異常検出装置１３１でのトラフィック異常の検知を起点としたマルウェア対策処理に主眼を置いたものであるため、本実施の形態における異常検出装置１３１の実現方式については特に制限しない。
しかしながら、異常検出装置１３１は、少なくとも、トラフィックの異常を検知する機能、ならびに、異常トラフィックの発生元の端末装置のＩＰアドレスを特定する機能を備えているものとする。
異常トラフィックを発生させた端末装置は、マルウェアの感染のおそれがある端末装置であり、ホワイトリストを用いた検査の対象となる。
以下では、異常トラフィックを発生させた端末装置、つまり、マルウェアの感染のおそれがある端末装置を、マルウェア感染端末ともいう。
また、マルウェア感染端末は、ホワイトリストを用いた検査の対象となり、検査対象端末装置の例である。
【００２２】
また、異常検出装置１３１は、上記の機能に加えて、特定したＩＰアドレスから端末装置のＭＡＣ（Ｍｅｄｉａ  Ａｃｃｅｓｓ  Ｃｏｎｔｒｏｌ  Ａｄｄｒｅｓｓ）アドレスを特定する機能や、ＩＰアドレスとＭＡＣアドレスを基に、マルウェア感染端末を企業内部ネットワーク１０１から隔離（ルータ装置やスイッチ装置等、企業内部ネットワークを構成する機器を用いた特定通信のフィルタリングや接続ポートのリンクダウン、端末上のパーソナルファイアウォールでのフィルタリングなど）を行う機能を、ひとつ以上有していてもよい。
【００２３】
次に、端末ホワイトリスト生成装置１３３について詳細を説明する。
図２に端末ホワイトリスト生成装置１３３の構成例を示す。
【００２４】
図２において、ホワイトリスト情報生成部２０１は、基準端末装置１３４を元に、各ソフトウェア、ファイル、ならびに、特定の各設定情報に関するホワイトリスト情報を生成する機能である。
前述したように、ホワイトリスト情報は、基準端末装置１３４の適正ソフトウェアごとに生成される。
【００２５】
ホワイトリスト情報管理部２０２は、ホワイトリスト情報生成部２０１によって生成されたホワイトリスト情報を管理する機能である。
ホワイトリスト情報管理部２０２は、例えば、ホワイトリスト情報生成部２０１によって生成されたホワイトリスト情報を後述する情報記憶部２０５に格納し、また、後述のホワイトリスト合成部２０３において合成の対象となるホワイトリスト情報を情報記憶部２０５から読み出す。
【００２６】
ホワイトリスト合成部２０３は、マルウェア感染端末からマルウェアの本体ならびに不審な設定変更を抽出するために用いるホワイトリストをホワイトリスト情報から合成する機能である。
【００２７】
通信部２０４は、物理インタフェースの管理、伝送制御手順の管理、ネットワーク接続手順の管理等を行いながら、異常検出装置１３１、資産管理台帳データベース装置１３２、基準端末装置１３４等と通信を行う。
【００２８】
情報記憶部２０５は、ホワイトリスト情報生成部２０１によって生成されたホワイトリスト情報２０６を記憶する。
また、情報記憶部２０５は、検体抽出プログラム２０７を記憶する。
検体抽出プログラム２０７は、ホワイトリストを用いてマルウェア感染端末の検査を行う。
検体抽出プログラム２０７は、ホワイトリスト合成部２０３により合成されたホワイトリストとともに所定の記録媒体に格納され、当該記録媒体がマルウェア感染端末に装着された際に、マルウェア感染端末上のメモリにロードされる。
そして、検体抽出プログラム２０７はマルウェア感染端末上のＣＰＵにより起動され、マルウェア感染端末においてマルウェア感染端末に存在するソフトウェアを検出し、検出したマルウェア感染端末のソフトウェアがホワイトリストに示されている適正ソフトウェアと一致するか否かを検査する。また、マルウェア感染端末における設定を検出し、検出したマルウェア感染端末の設定が、ホワイトリストに示されている正常設定と一致するか否かを検査する。
検体抽出プログラム２０７の動作の詳細は、後述する。
【００２９】
媒体Ｉ／Ｆ（Ｉｎｔｅｒｆａｃｅ）２０８は、検体抽出プログラム２０７及びホワイトリストが格納される記録媒体のインタフェースとなる。
【００３０】
次に、図３を用いて、端末ホワイトリスト生成装置１３３の入出力データおよび内部の処理について説明する。
【００３１】
図３において、更新管理システム３０１は、企業内部ネットワーク１０１のシステム管理者６００が必要と判断したパッチプログラムが端末装置１４１〜１４６にインストールされるよう管理しているシステムである。
３１１〜３１５はホワイトリスト情報、３２１はホワイトリストを表している。
【００３２】
図３に示すように、端末ホワイトリスト生成装置１３３では、システム管理者６００からのホワイトリスト情報生成指示に基づき、ホワイトリスト情報生成部２０１が通信部２０４を介して基準端末装置１３４にインストールされている適正ソフトウェア、正常設定の情報を基準端末装置１３４から入力し、適正ソフトウェアごとにホワイトリスト情報３１１を生成する。
そして、ホワイトリスト情報管理部２０２が、ホワイトリスト情報生成部２０１で生成された各ホワイトリスト情報３１２〜３１４を取得し、情報記憶部２０５に格納する。
また、異常検出装置１３１によりトラフィック異常が検知され、トラフィック異常の発生元のマルウェア感染端末が特定された場合に、ホワイトリスト合成部２０３が通信部２０４を介して、異常検出装置１３１からマルウェア感染端末のＩＰアドレス（もしくはＭＡＣアドレス）の通知を受け、通信部２０４を介して当該ＩＰアドレス（もしくはＭＡＣアドレス）を資産管理台帳データベース装置１３２に通知する。
そして、ホワイトリスト合成部２０３は、通信部２０４を介して資産管理台帳データベース装置１３２から、マルウェア感染端末にインストールが許可されているソフトウェアの一覧を取得する。
そして、ホワイトリスト合成部２０３は、取得したソフトウェア一覧に示されるソフトウェアに対応するホワイトリスト情報の読み出しをホワイトリスト情報管理部２０２に要求し、ホワイトリスト情報管理部２０２は情報記憶部２０５から対応するホワイトリスト情報３１５を読み出し、ホワイトリスト合成部２０３に渡す。
ホワイトリスト合成部２０３では、ホワイトリスト情報管理部２０２から入力したホワイトリスト情報３１５を組み合わせてホワイトリスト３２１を生成する。
そして、ホワイトリスト合成部２０３は、検体抽出プログラム２０７とホワイトリスト３２１を記録媒体に格納する。
検体抽出プログラム２０７とホワイトリスト３２１が格納されている記録媒体はシステム管理者６００がマルウェア感染端末に装着する。
【００３３】
図１１は、端末ホワイトリスト生成装置１３３、記録媒体１５０、端末装置１４０の関係を示す。
図１１において、記録媒体１５０には、検体抽出プログラム２０７とホワイトリスト３２１が格納されている。
端末装置１４０は、検査対象のマルウェア感染端末である。
端末装置１４０は、端末装置１４１〜１４６のうちのいずれかである。
端末装置１４０は、検査対象端末装置の例であり、また、検体抽出プログラム２０７を実行する装置であり、検体抽出プログラム２０７とともに感染検査システムにおける検査実行部の例となる。
また、端末装置１４０は、感染検査方法における第２のコンピュータの例である。
【００３４】
端末装置１４０は、ＣＰＵ（Ｃｅｎｔｒａｌ  Ｐｒｏｃｅｓｓｉｎｇ  Ｕｎｉｔ）１４０１、メモリ１４０２、ＨＤＤ（Ｈａｒｄ  Ｄｉｓｋ  Ｄｒｉｖｅ）１４０３、媒体Ｉ／Ｆ１４０４、通信部１４０５を備える。
端末ホワイトリスト生成装置１３３により検体抽出プログラム２０７とホワイトリスト３２１が格納された記録媒体１５０は、システム管理者６００により端末装置１４０の媒体Ｉ／Ｆ１４０４に装着され、媒体Ｉ／Ｆ１４０４を通じて端末装置１４０内のメモリ１４０２にロードされ、ＣＰＵ１４０１が検体抽出プログラム２０７を実行する。
検体抽出プログラム２０７は、端末装置１４０において、端末装置１４０に存在するソフトウェアを検出し、検出した端末装置１４０のソフトウェアがホワイトリスト３２１に示されている適正ソフトウェアと一致するか否かを検査する。また、端末装置１４０における設定を検出し、検出した端末装置１４０の設定が、ホワイトリスト３２１に示されている正常設定と一致するか否かを検査する。
検体抽出プログラム２０７は、端末装置１４０においてホワイトリスト３２１の内容と一致しないソフトウェア又は設定が存在する場合には、一致しないソフトウェア又は設定のリストを記録媒体１５０内に格納する。
そして、検査の終了後に、システム管理者６００が記録媒体１５０を媒体Ｉ／Ｆ１４０４から抜き取り、検体抽出プログラム２０７により抽出された記録媒体１５０内のリストを例えば、アンチウイルスベンダに送付して、端末装置１４０が感染しているマルウェアの解析を依頼する。
【００３５】
次に、ホワイトリスト情報生成部２０１における、ホワイトリスト情報の生成フローを図４に示す。
【００３６】
ホワイトリスト情報生成部２０１は、通信部２０４を介して基準端末装置１３４から適正ソフトウェア（ファイル名、バージョン）及び正常設定（ハッシュ値、インストールのパスや特定設定のパス、変数、値）が示される情報を入力する。
そして、基準端末装置１３４からの情報に基づいて、オペレーティングシステムを含め、端末装置１４１〜１４６内にインストールされている可能性があるソフトウェアならびに設定についてホワイトリスト情報３１１を生成し（Ｓ４０１）、生成したホワイトリスト情報３１１をホワイトリスト情報管理部２０２に渡す。
【００３７】
ホワイトリスト情報は、例えば、ファイル名、バージョン、ハッシュ値、インストールのパスや特定設定のパス、変数、値が項目として含まれる。
バージョンは、オペレーティングシステムで管理されているアプリケーションのインストール情報からアプリケーション名を基に特定する。
ハッシュ値は、ファイルデータを入力として、一方向性衝突関数（ＭＤ５：Ｍｅｓｓａｇｅ  Ｄｉｇｅｓｔ  Ａｌｇｏｒｉｔｈｍ  ５、ＳＨＡ：Ｓｅｃｕｒｅ  Ｈａｓｈ  Ａｌｇｏｒｉｔｈｍなど）によって処理されて出力される固定長のデータ列である。
ホワイトリスト情報は、基準端末装置１３４上で、通常起動されている実行ファイル、ハードディスク上の実行可能ファイル、ライブラリ（ＤＬＬ：Ｄｙｎａｍｉｃ  Ｌｉｎｋ
Ｌｉｂｌａｒｙ、デバイスドライバ）、ドキュメントファイル、特定パス下に保存されているファイル一覧、特定の設定パスを対象として生成する。
ホワイトリスト情報は、図４のＳ４０２、Ｓ４０３に示されるように、端末装置１４１〜１４６に対してソフトウェアの更新が適用された場合、新しくインストールされたソフトウェアがある場合、使用されなくなったソフトウェアがある場合に生成（更新）される。
また、ホワイトリスト情報は、図４のＳ４０４〜Ｓ４０６に示されるように、端末装置１４１〜１４６に対して設定の変更があった場合にも生成（更新）される。
【００３８】
ここで、基準端末装置１３４の構成例を図５に示す。
【００３９】
企業内部ネットワーク１０１に接続されている端末装置１４１〜１４６と同様に、企業内部ネットワーク１０１のシステム管理者６００が必要と判断したパッチ（プログラムの不具合を修正するためのモジュール）が基準端末装置１３４にインストールされるよう、更新管理システム３０１（図３）によって管理されている。
また、前述したように、基準端末装置１３４には、企業内部ネットワーク１０１に接続されている端末装置１４１〜１４６に適切にインストールされている全てのソフトウェアがインストールされ（各種アプリケーション５０１、オペレーティングシステム５０２）、各ソフトウェアが正常に動作するように設定されている（情報記憶部５０３内の各種設定情報）。
なお、基準端末装置１３４は、複数設置することも可能であり、同一端末装置上にはインストールできないソフトウェア（オペレーティングシステム、端末装置上の使用リソースが競合するソフトウェアなど）に関しては、基準端末装置１３４を分けてインストールするといった運用を行う。
基準端末装置１３４は、端末装置１４１〜１４６と同等の物理的な装置として設置してもよいし、仮想化技術によって実現される仮想マシンとして実現されていてもよい。
また、基準端末装置１３４は、マルウェアに感染していないことを保証するための手段として、企業内部ネットワーク１０１から物理的に切り離しておき、端末ホワイトリスト生成装置１３３と直接接続するように構成してもよい。
この場合、基準端末装置１３４の更新や設定変更はシステム管理者６００が手動で行う。
また、企業内部ネットワーク１０１から物理的に切り離さずとも、別途、Ｆｉｒｅｗａｌｌやアクセス許可ＩＰアドレス、管理者ユーザ権限に基づくアクセス制御対策を行うことで、論理的に企業内部ネットワーク１０１から切り離しておくようにしてもよい。
この場合、端末装置１４１〜１４６と同様に、基準端末装置１３４のソフトウェアや設定の更新が行われるよう、必要最低限の通信のみ許可するように通信のアクセス制御を施しておく。
【００４０】
異常検出装置１３１において、ホワイトリスト情報管理部２０２は、ホワイトリスト情報生成部２０１によって生成されたホワイトリスト情報がソフトウェアのバージョン、ホワイトリスト情報生成時期によって異なる場合には、ｎ世代（ｎは自然数）分を管理しており、ｎ世代を過ぎたホワイトリスト情報は情報記憶部２０５から削除する。
【００４１】
ホワイトリスト合成部２０３は、異常検出装置１３１からのマルウェア感染端末のＩＰアドレス情報を受け取り、マルウェア感染端末のＩＰアドレスを資産管理台帳データベース装置１３２に通知し、資産管理台帳データベース装置１３２からのマルウェア感染端末のソフトウェア一覧の情報を取得する。
そして、ホワイトリスト合成部２０３は、資産管理台帳データベース装置１３２からのソフトウェア一覧に示されるソフトウェア（マルウェア感染端末へインストールが許可されているソフトウェア）に対応するホワイトリスト情報をホワイトリストの生成対象として選択する。
そして、選択したホワイトリスト情報の読み出しをホワイトリスト情報管理部２０２に要求し、ホワイトリスト情報管理部２０２からホワイトリスト情報を取得してホワイトリストを合成する。
ホワイトリスト合成部２０３で合成されたホワイトリスト６０１の一例を図６に示す。
【００４２】
ホワイトリスト６０１の項目に含まれる種別は、ホワイトリスト情報の生成対象（通常起動されている実行ファイル、ハードディスク上の実行可能ファイル、ライブラリ、ドキュメントファイル、特定パス下に保存されているファイル一覧、特定の設定パス）を区別するために用いる。
また、ホワイトリスト６０１の項目に含まれるバージョンにおいては、ソフトウェア、ライブラリのように明にバージョンが与えられていないもの（ドキュメントファイル、設定）については、ホワイトリスト情報管理部２０２で管理している世代をバージョンの代わりに用いてもよい。
図６おいて、種別列の記号において、ｒａｐｐは通常起動されている実行ファイル、ａｐｐはハードディスク上の実行可能ファイル、ｌｉｂはライブラリ（ＤＬＬ、デバイスドライバ）、ｄｏｃはドキュメントファイル、ｓｅｔは特定の設定を表している。
また、ファイル名及びバージョンが適正ソフトウェアを示し、ハッシュ値、パス、変数名、値が各適正ソフトウェアを正常に動作させるための正常設定を示す。
【００４３】
ここまで、本実施の形態を構成する各装置についての詳細を説明した。
次に、各装置が全体のシステムとして動作する際の一連の流れについて説明する。
図７及び図８は、本実施の形態に係るシステムの動作例を表したフロー図である。
【００４４】
本実施の形態で実現するマルウェア対策処理の開始条件となるのが、異常検出装置１３１によるトラフィックの異常な振舞いの検知である。
異常検出装置１３１は、トラフィックの異常な振舞いを検知した際（Ｓ７０１）に、異常なトラフィックを生成している端末装置（マルウェア感染端末）のＩＰアドレスを特定する。
また、異常検出装置１３１は、マルウェア感染端末のＩＰアドレスに対応するＭＡＣアドレスを特定する。
そして、異常検出装置１３１は、マルウェア感染端末を企業内部ネットワーク１０１から隔離する処理を行う（Ｓ７０２）とともに、端末ホワイトリスト生成装置１３３へマルウェア感染端末のＩＰアドレスもしくはＭＡＣアドレスを通知する。
【００４５】
端末ホワイトリスト生成装置１３３では、通信部２０４が、マルウェア感染端末のＩＰアドレスもしくはＭＡＣアドレスを受信し（Ｓ７０３）、ホワイトリスト合成部２０３にマルウェア感染端末のＩＰアドレスもしくはＭＡＣアドレスを渡す。
次に、端末ホワイトリスト生成装置１３３では、ホワイトリスト合成部２０３が、通信部２０４を介して、異常検出装置１３１から受信したＩＰアドレスもしくはＭＡＣアドレスを資産管理台帳データベース装置１３２に通知し、資産管理台帳データベース装置１３２からマルウェア感染端末上にインストールされているソフトウェアの一覧を得る（Ｓ７０４）。
次に、ホワイトリスト合成部２０３は、得られたソフトウェアの一覧に対応するホワイトリスト情報の読み出しをホワイトリスト情報管理部２０２に要求し、ホワイトリスト情報管理部２０２が対応するホワイトリスト情報を情報記憶部２０５から読み出し（Ｓ７０５）、読み出したホワイトリスト情報をホワイトリスト合成部２０３に渡す。
ホワイトリスト合成部２０３は、ホワイトリスト情報管理部２０２から取得したホワイトリスト情報（マルウェア感染端末にインストールされているソフトウェアの一覧に該当するホワイトリスト情報）を組み合わせて、ホワイトリストを合成する。
また、ホワイトリスト合成部２０３は、合成したホワイトリストを、検体抽出プログラム２０７と一緒に、記録媒体１５０（追記不可の媒体が望ましい）へ格納する。
検体抽出プログラム２０７は、前述したように、マルウェア感染端末内に存在するファイルや設定がホワイトリストの内容と一致しているかどうかを検査し、一致していないものを特定する処理を行うプログラムである。
ホワイトリスト情報管理部２０２から渡されたホワイトリスト情報は、マルウェア感染端末にインストールが許可されているソフトウェアに対応しており、これらホワイトリスト情報から生成されたホワイトリストは、マルウェア感染端末にインストールが許可されているソフトウェアにおける設定が示される。
このため、検体抽出プログラム２０７による検査の結果、マルウェア感染端末にホワイトリストに記述されているソフトウェア及び設定に一致しない要素が含まれている場合は、当該要素がマルウェアに関連する可能性が高い。
なお、検体抽出プログラム２０７は、ルートキット（マルウェアのファイルを隠蔽するためのプログラム）を検出、駆除する機能を備えていれば、マルウェアの検体抽出精度がより向上する。
【００４６】
システム管理者６００は、記録媒体１５０をマルウェア感染端末（図１１の端末装置１４０）に接続し、検体抽出プログラム２０７を実行することによって、マルウェア本体、ならびに、不審な設定変更を抽出する。
システム管理者６００は、抽出結果を別途、記録媒体（書き込み可能）に取り込み、それをベンダへ送付して解析を依頼する。
【００４７】
検体抽出プログラム２０７が端末装置１４０（マルウェア感染端末）のＣＰＵ１４０１で実行される際の動作例は図８に示す通りである。
【００４８】
つまり、検体抽出プログラム２０７は、記録媒体１５０内のホワイトリスト３２１を読み出して端末装置１４０内のメモリ１４０２にロードした後、端末装置１４０内に存在するソフトウェアを検索し（Ｓ８０１）、検出したソフトウェアがホワイトリスト３２１に含まれている適正ソフトウェアと一致するか否かを判断する（Ｓ８０２、Ｓ８０３）。
なお、Ｓ８０１の処理では、端末装置１４０上において、検査対象となる通常起動されている実行ファイル、ハードディスク上の実行可能ファイル、ライブラリ（ＤＬＬ、デバイスドライバ）、ドキュメントファイル、特定パス下に保存されているファイルを、端末装置１４０内でソフトウェアがインストールされているメモリやハードディスクから、ファイルの属性（実行ファイル、ライブラリ、ドキュメントファイルなど）を元に検索する。
そして、一致しない場合（Ｓ８０２でＮＯ又はＳ８０３でＹＥＳ）は、検体抽出プログラム２０７は、Ｓ８０１で検出したソフトウェアを検体一覧に追加する（Ｓ８０４）。
検体一覧は、端末装置１４０のメモリ１４０２内の所定の記憶領域で一時的に記憶される。
また、検体抽出プログラム２０７は、端末装置１４０内のすべてのソフトウェアに対する検査が終了した場合（Ｓ８０５でＹＥＳ）は、端末装置１４０における設定（図５の情報記憶部５０３内の設定情報）を読み込み（Ｓ８０６）、読み込んだ設定がホワイトリスト３２１に含まれている正常設定と一致するか否かを判断する（Ｓ８０７、Ｓ８０８）。
なお、Ｓ８０５において、すべてのソフトウェアに対する検査が終了したか否かの判断は、端末装置内の全てのファイルに対して、Ｓ８０１の処理が完了したか否かで行う。
そして、一致しない場合（Ｓ８０７でＮＯ又はＳ８０８でＹＥＳ）は、検体抽出プログラム２０７は、Ｓ８０６で読み込んだ設定を抽出設定一覧に追加する（Ｓ８０９）。
なお、Ｓ８０６では、ホワイトリストに含まれる特定設定パスを元に端末装置１４０上の設定パスを参照して、設定されている変数と値を読み込む。
抽出設定一覧は、端末装置１４０のメモリ１４０２内の所定の記憶領域で一時的に記憶される。
そして、検体抽出プログラム２０７は、端末装置１４０内のすべての設定に対する検査が終了した際（Ｓ８１０でＹＥＳ）に、端末装置１４０のメモリ１４０２内の検体一覧と抽出設定一覧を記録媒体１５０に出力する。
なお、Ｓ８１０において、すべての設定に対する検査が終了したか否かの判断は、ホワイトリストに含まれるすべての特定設定パスに対する変数、値を検査し終わったか否かで行う。
以上にて、端末装置１４０に対する検体抽出プログラム２０７の検査は終了であり、システム管理者６００は、記録媒体１５０を端末装置１４０から抜き取り、前述のように、記録媒体１５０内の検体一覧と抽出設定一覧をベンダに提供して、マルウェアの検出を依頼する。
【００４９】
なお、ここでは、システム管理者６００の手によりマルウェア感染端末から抽出した結果を記録媒体１５０に取り込んで、ベンダへ送付しているが、マルウェア感染端末を隔離する際に、マルウェア感染端末が検体抽出プログラム２０７からの通信のみ透過できるよう設定しておくことにより、抽出した結果を自動または手動で端末ホワイトリスト生成装置１３３へ送付することもできる。
【００５０】
つまり、端末ホワイトリスト生成装置１３３が検体抽出プログラム２０７をホワイトリスト３２１とともに記録媒体１５０に格納するのではなく、端末ホワイトリスト生成装置１３３のＣＰＵが情報記憶部２０５内の検体抽出プログラム２０７を起動し、端末ホワイトリスト生成装置１３３の通信部２０４と端末装置１４０（マルウェア感染端末）の通信部１４０５との通信により、図８に示す処理を行って、端末ホワイトリスト生成装置１３３内の検体抽出プログラム２０７がホワイトリスト３２１に含まれていない端末装置１４０内のソフトウェアを抽出して検体一覧に格納し、また、ホワイトリスト３２１に含まれていない端末装置１４０内の設定を抽出して抽出設定一覧に格納する。
その後、検体一覧及び抽出設定一覧は、端末ホワイトリスト生成装置１３３から自動もしくは手動でアンチウイルスベンダへ検体として送付される。
なお、この場合は、端末ホワイトリスト生成装置１３３が感染検査システムにおける検査実行部の例となる。
また、この場合では、端末ホワイトリスト生成装置１３３は、感染検査方法における第２のコンピュータの例でもある。
【００５１】
また、図１１の例では、検体抽出プログラム２０７も、システム管理者６００の手により記録媒体１５０を介してマルウェア感染端末上で動作させるようにしているが、検体抽出プログラム２０７と同等の機能を持つエージェントプログラムを端末装置上に予めインストールしておき、マルウェア感染端末を隔離する際に、端末ホワイトリスト生成装置１３３とエージェント間の通信のみ透過するように設定しておくことによって、端末ホワイトリスト生成装置１３３で合成したホワイトリスト３２１を、通信を介してエージェントプログラムに送付できるようにしてもよい。
【００５２】
この場合は、図１２のような構成になる。
つまり、端末装置１４０のＨＤＤ１４０３には、検体抽出プログラム２０７が予めインストールされており、マルウェア感染端末として隔離された際に、ＣＰＵ１４０１が検体抽出プログラム２０７を起動し、また、端末ホワイトリスト生成装置１３３の通信部２０４（図１２では不図示）から端末装置１４０の通信部１４０５にホワイトリスト３２１を送信する。
そして、端末装置１４０内の検体抽出プログラム２０７が図８に示す処理を行って、ホワイトリスト３２１に含まれていない端末装置１４０内のソフトウェアを検体一覧に格納し、ホワイトリスト３２１に含まれていない端末装置１４０内の設定を抽出設定一覧に格納する。
その後、端末装置１４０内の検体抽出プログラム２０７が通信部１４０５から検体一覧及び抽出設定一覧を端末ホワイトリスト生成装置１３３の通信部２０４に送信する。
また、検体一覧及び抽出設定一覧は、端末ホワイトリスト生成装置１３３から自動もしくは手動でアンチウイルスベンダへ検体として送付される。
なお、図１２の例では、端末装置１４０が感染検査システムにおける検査実行部の例となる。
また、図１２の例では、端末装置１４０は、感染検査方法における第２のコンピュータの例でもある。
【００５３】
また、図１３に示す構成でもよい。
図１３では、検体抽出装置１６０を設ける。
検体抽出装置１６０は、例えば、持ち運び可能なコンピュータであり、マルウェア感染端末である端末装置１４０の近傍に持ち運んで、端末装置１４０と近距離無線通信（例えば、ＩＳＯ／ＩＥＣ  １８０９２）を行うことができる。
検体抽出装置１６０は、ＣＰＵ１６１、メモリ１６２、ＨＤＤ１６３、通信部１６４を備える。
通信部１６４は、上述のように、近距離無線通信が可能である。
ＨＤＤ１６３には、検体抽出プログラム２０７が予めインストールされており、端末装置１４０がマルウェア感染端末として隔離された際に、ＣＰＵ１６１が検体抽出プログラム２０７を起動し、通信部１６４は、端末ホワイトリスト生成装置１３３の通信部２０４（図１では不図示）からホワイトリスト３２１を受信する。
そして、検体抽出装置１６０が端末装置１４０の近傍に配置された際に、通信部１６４が端末装置１４０の通信部１４０５と通信を行って、端末装置１４０内のソフトウェア、設定を読み出す。
検体抽出プログラム２０７は、図８に示す処理を行って、端末装置１４０のソフトウェアがホワイトリスト３２１に示されている適正ソフトウェアと一致するか否かを検査し、更に、端末装置１４０の設定がホワイトリスト３２１に示されている正常設定と一致するか否かを検査し、ホワイトリスト３２１に含まれていない端末装置１４０内のソフトウェアを検体一覧に格納し、ホワイトリスト３２１に含まれていない端末装置１４０内の設定を抽出設定一覧に格納する。
その後、検体抽出装置１６０内の検体抽出プログラム２０７が通信部１６４から検体一覧及び抽出設定一覧を端末ホワイトリスト生成装置１３３の通信部２０４に送信する。
また、検体一覧及び抽出設定一覧は、端末ホワイトリスト生成装置１３３から自動もしくは手動でアンチウイルスベンダへ検体として送付される。
なお、図１３の例では、検体抽出装置１６０が感染検査システムにおける検査実行部の例となる。
また、図１３の例では、検体抽出装置１６０は、感染検査方法における第３のコンピュータの例でもある。
【００５４】
また、検体抽出プログラム２０７が検査を行う順序（ソフトウェア間における検査順序、設定間における検査順序）をホワイトリスト情報に設けるようにしてもよい。
順位付けは、端末装置間におけるソフトウェアや設定の共通性（オペレーティングシステム、使用頻度）に着目して行うことが考えられる。
このようにすれば、共通性の高いソフトウェアや設定を優先的に検査することによって、マルウェア検体抽出の効率化を図ることもできる。
なお、優先順位付けについては、共通性の他に、重要性に着目し、導入ソフトウェアやオペレーティングシステムといった端末装置の動作上重要なソフトウェアおよび設定は優先度を高くし、ＤＬＬやドキュメントファイルといった、端末装置動作に影響が少ないものは優先度を低く設定することでも、効率化を図ることができる。
【００５５】
以上のように、本実施の形態によれば、異常検出装置で検知された結果を基に、マルウェア感染端末の隔離を行うことに加え、マルウェアに感染していない端末装置（基準端末装置）の情報に基づいてホワイトリストを作成して、マルウェア感染端末から自動でマルウェア本体の特定を行うようにしているので、マルウェア本体の解析を迅速に行えるようになる。
このため、新たなマルウェアに対する対策を早期に実現することができ、マルウェアに対する対策が存在しない無防備な期間を短縮できる。
【００５６】
また、端末ホワイトリスト生成装置では、オペレーティングシステムを含め、各ソフトウェアのホワイトリスト情報を事前に生成、保管管理しておき、マルウェア感染端末検出時に、資産管理台帳データベース装置の情報を用いている。
よって、マルウェアに感染した信頼できない端末装置から、情報を得ることなしにホワイトリストを合成するため、信頼性が高く、かつ、必要最低限の情報によって構成されたホワイトリストを得ることができる。
これにより、高精度、かつ、高速なマルウェア検体抽出処理が実現される。
【００５７】
さらに、本実施の形態によれば、端末装置には本来インストールが許可されていないプログラムもマルウェアと同様に抽出可能であるため、ソフトウェアの不正使用に関しても検出できる。
【００５８】
実施の形態２．
以上の実施の形態１では、端末ホワイトリスト生成装置１３３のホワイトリスト情報管理部２０２において、オペレーティングシステムを含む、個々のソフトウェア別に、ホワイトリスト情報を管理している。
次に、本実施の形態では、端末装置１４１〜１４６へインストールが許可されるソフトウェアが、端末装置の用途別に分類できるような場合に、ホワイトリスト合成部２０３においてホワイトリストの合成処理を効率化する方式を説明する。
【００５９】
より具体的には、本実施の形態では、各端末装置１４１〜１４６は複数のカテゴリーのうちのいずれかのカテゴリーに属している。
そして、端末ホワイトリスト生成装置１３３では、適正ソフトウェアの属性に基づいて適正ソフトウェアをグループ化し、同じグループに分類された適正ソフトウェアのホワイトリスト情報（検査基準情報）をグループ化し、ホワイトリスト情報のグループをいずれかのカテゴリーに対応付けて管理している。
そして、端末ホワイトリスト生成装置１３３では、異常検出装置１３１によりマルウェア感染端末が検出された際に、マルウェア感染端末が属するカテゴリーに対応するグループのホワイトリスト情報を選択し、選択したホワイトリスト情報からホワイトリストを生成する。
【００６０】
図９に、実施の形態２を実現するための端末ホワイトリスト生成装置１３３を示す。
図９は、実施の形態１で示した図３に対応する。
【００６１】
図９において、ソフトウェア用途振分部８０１はホワイトリスト情報生成部２０１によって生成されたホワイトリスト情報を、ソフトウェアの用途別に振り分けてグループ化する機能である。
用途別ホワイトリスト情報８１１〜８１５は、同一の用途に分類されたソフトウェアのホワイトリスト情報によって構成される。
そして、用途別ホワイトリスト情報８１１〜８１５は、端末装置１４１〜１４６のカテゴリーに対応付けられて管理される。
図９の例では、端末装置１４１〜１４６は、開発、一般事務、会計等のカテゴリーに分類され、例えば、開発用８１２としてグループ化されたホワイトリスト情報は、端末装置のカテゴリー「開発」と対応付けられて管理される。
なお、図９の例では、共通８１１にグループ化されたホワイトリスト情報は端末装置のいずれのカテゴリーに対しても共通に対応付けられる。
そして、開発用途端末向けホワイトリスト８２１は、カテゴリー「開発」に分類される端末装置がマルウェア感染端末となった場合に、共通８１１としてグループ化されたホワイトリスト情報と開発用８１２としてグループ化されたホワイトリスト情報が合成されたホワイトリストである。
ホワイトリスト合成部２０３は、資産管理台帳データベース装置１３２に問い合わせることにより、マルウェア感染端末が属するカテゴリーを知ることができ、マルウェア感染端末が属するカテゴリーに対応するホワイトリスト情報を合成して端末用途別ホワイトリストを生成することができる。
なお、図８では、ホワイトリスト情報生成部２０１に関する入力は、図３と同じであるため省略している。
つまり、図３で示した更新管理システム３０１、基準端末装置１３４やホワイトリスト情報の生成にかかわる矢印等は図示を省略している。
【００６２】
次に、図９を用いて、実施の形態２における端末ホワイトリスト生成装置１３３の動作について説明する。
【００６３】
ホワイトリスト情報生成部２０１は、実施の形態１と同様の動作によって、ホワイトリスト情報を生成して、ホワイトリスト情報管理部３０２へ渡す。
ホワイトリスト情報管理部３０２では、実施の形態２において新たに追加されたソフトウェア用途振分部８０１によって、ホワイトリスト情報生成部２０１から渡されたホワイトリスト情報が、どの用途に用いられるソフトウェアのホワイトリスト情報であるかを判定して、用途別ホワイトリスト情報８１１〜８１５として振り分けて管理する。
【００６４】
また、端末装置用途の代わりに、ユーザの所属情報に基づいてホワイトリスト情報を振り分けて管理しておいてもよい。
これは、ユーザの所属する部署によって、端末装置の利用形態が類似する傾向にあるため、端末装置用途別に振り分けた場合と同様の効果が期待できるためである。
さらには、端末装置用途とユーザの所属情報の両方を振り分けの条件としてもよい。
【００６５】
なお、実施の形態２のホワイトリスト情報管理部３０２においても、ホワイトリスト情報の世代管理は行うものとする。
また、ソフトウェア用途振分部８０１には、渡されたホワイトリスト情報がどのような用途で用いられるのかについて規定したリスト情報が予めデータとして設定されて、システム管理者６００によって適切に管理されているものとする。
【００６６】
ホワイトリスト合成部２０３は、異常検出装置１３１からマルウェア感染端末のＩＰアドレスもしくはＭＡＣアドレスが通知された際に、異常検出装置１３１から受信したＩＰアドレスもしくはＭＡＣアドレスを資産管理台帳データベース装置１３２に通知し、資産管理台帳データベース装置１３２からマルウェア感染端末に関する資産情報を受信し、マルウェア感染端末の用途を判断して、必要な用途別ホワイトリスト情報を抽出してホワイトリストを合成する。
ここで、資産管理台帳データベース装置１３２には、実施の形態１で記載の情報に加え、端末装置用途や端末装置ユーザの所属の情報が含まれている。
資産管理台帳データベース装置１３２の端末装置用途や端末装置ユーザの所属の情報には、ホワイトリスト合成部２０３がマルウェア感染端末の用途やマルウェア感染端末のユーザの所属部署を判別できる情報が含まれている。
【００６７】
以降は、実施の形態１と同様であり、図１１〜図１３に示す構成において、ホワイトリスト合成部２０３で合成されたホワイトリストを基に、検体抽出プログラム２０７がマルウェア感染端末からマルウェア本体、ならびに、不審な設定変更を抽出する。
このとき、実施の形態１と同様に、検体抽出プログラム２０７が検査を行う順序（ソフトウェア間における検査順序、設定間における検査順序）をホワイトリスト情報に設けるようにしてもよい。
本実施の形態では、順位付けは、端末装置間におけるソフトウェアや設定の共通性（オペレーティングシステム、用途、所属部署）に着目して行うことが考えられる。
なお、実施の形態１と同様、ソフトウェアの重要性に着目して、順位付けを決定してもよい。
【００６８】
以上のように、本実施の形態では、ホワイトリスト情報を用途別ホワイトリスト情報として管理しておくことにより、異常検出装置からマルウェア感染端末のＩＰアドレスもしくはＭＡＣアドレスが通知されたのち、マルウェア感染端末の用途を特定し、用途別ホワイトリスト情報を用いてホワイトリストを合成することによって、ホワイトリストを合成するためにかかる時間を削減できる。
【００６９】
実施の形態３．
以上の実施の形態１、ならびに、実施の形態２では、異常検出装置１３１からマルウェア感染端末のＩＰアドレス（又はＭＡＣアドレス）が通知されてから、ホワイトリスト合成部２０３によってホワイトリストを合成するものである。
次に、本実施の形態では、事前にホワイトリストを合成しておくことによって、異常検知時にホワイトリスト合成処理を行わないようにした方式を示す。
【００７０】
実施の形態１では、例えば、端末装置１４１、１４２に共通して適正にインストールされているソフトウェアがＳＷ１、ＳＷ２であり、端末装置１４３、１４４に共通して適正にインストールされているソフトウェアがＳＷ３、ＳＷ４であり、端末装置１４５、１４６に共通して適正にインストールされているソフトウェアがＳＷ５、ＳＷ６である場合に、端末装置１４１がマルウェア感染端末となった場合は、端末ホワイトリスト生成装置１３３においてＳＷ１のホワイトリスト情報とＳＷ２のホワイトリスト情報を合成して端末装置１４１向けのホワイトリストを生成している。
本実施の形態では、マルウェア感染端末が検出される前に、予め、ＳＷ１〜ＳＷ６に対する６つのホワイトリスト情報を合成して、全ての端末装置に共通に用いられる１つのホワイトリストを生成しておく。
そして、マルウェア感染端末が検出された際には、全ての端末装置に共通に用いられる１つのホワイトリストを用いて、マルウェア感染端末上のソフトウェア及び設定に対する検査を行う。
【００７１】
図１０に、実施の形態３を実現するための端末ホワイトリスト生成装置１３３を示す。
図１０は、実施の形態１で示した図３に対応する。
【００７２】
図１０において、ホワイトリスト管理部９０１は、ホワイトリスト情報生成部２０１から渡されたホワイトリスト情報を全端末装置共通ホワイトリスト９１１として合成して管理する機能である。
全端末装置共通ホワイトリスト９１１は、企業内部ネットワーク１０１上に接続された全端末装置１４１〜１４６のいずれかにインストールされているソフトウェアのホワイトリスト情報を集約したものである。
なお、全端末装置１４１〜１４６のいずれかにインストールされているソフトウェアに関する情報は、資産管理台帳データベース装置１３２からインストールソフトウェアの種類に関する情報を抽出することで得る。
なお、図１０では、ホワイトリスト情報生成部２０１に関する入力は、図３と同じであるため省略している。
つまり、図３で示した更新管理システム３０１、基準端末装置１３４やホワイトリスト情報の生成にかかわる矢印等は図示を省略している。
また、実施の形態３のホワイトリスト管理部９０１においても、全端末装置共通ホワイトリスト９１１内に含まれるホワイトリスト情報の世代管理は行うものとする。
【００７３】
本実施の形態では、図１１〜図１３に示す構成において、異常検出装置１３１によりマルウェア感染端末が検出された場合は、全端末装置共通ホワイトリスト９１１を基に、実施の形態１と同様に、検体抽出プログラム２０７がマルウェア感染端末からマルウェア本体、ならびに、不審な設定変更を抽出する。
このとき、実施の形態１や実施の形態２と同様、ホワイトリストに含まれるホワイトリスト情報に関して優先順位をつけておき、共通性の高いソフトウェアや設定を優先的に検査することによって、マルウェア検体抽出の効率化を図ることもできる。
【００７４】
以上のように、本実施の形態では、新たにホワイトリスト情報が生成されるたびに、全端末装置共通ホワイトリストに集約して、管理保存しておくことにより、異常検出装置でマルウェア感染端末が検知された場合に、既に合成済みのホワイトリストを出力することによって、マルウェアの検体抽出処理に至るまでの時間を削減できる。
【００７５】
実施の形態４．
以上の実施の形態１、実施の形態２、ならびに実施の形態３では、端末ホワイトリスト生成装置１３３は、異常検出装置１３１からのマルウェア感染端末のＩＰアドレス（又はＭＡＣアドレス）の通知を受けて、ホワイトリストを用意し、マルウェアの検体抽出処理を行っている。
次に、本実施の形態では、異常検出装置１３１による異常検出がない状態で、端末ホワイトリスト生成装置１３３を日常的なマルウェアの予防対策に利用する方式を説明する。
【００７６】
実施の形態４のシステム構成図は図１と同じであるが、異常検出装置１３１については、マルウェア感染端末を隔離する機能を利用するのみであるため、必ずしも異常を検出する機能が備わっていなくてもよい。
【００７７】
次に、実施の形態４について説明する。
実施の形態４では、端末ホワイトリスト生成装置１３３によって合成されたホワイトリストに基づいた検体抽出プログラム２０７によるマルウェア検体抽出処理を、企業内部ネットワーク１０１に接続された端末装置について、端末装置起動時や予め定められた一定間隔で行う。
つまり、本実施の形態では、異常検出装置１３１で異常が検出された端末装置を検査対象とするのではなく、起動された端末装置や検査の順序が回ってきた端末装置が検査対象となる。
このとき、実施の形態１、実施の形態２、実施の形態３で説明したような、優先度に基づいて、マルウェア検体抽出で用いるホワイトリストを決定してもよい。
例えば、起動時に実行するマルウェア検体抽出では、優先度が高いホワイトリスト情報を元に合成されたホワイトリストを用いるようにして効率化を図ることもできる。
【００７８】
実施の形態４において、マルウェアの検体が抽出された場合には、抽出された検体一覧、ならびに抽出設定一覧は、端末装置から端末ホワイトリスト生成装置１３３に送られ、端末ホワイトリスト生成装置１３３から、システム管理者による手動、もしくは自動でベンダへ送付する。
システム管理者により手動で送付する場合、システム管理者は抽出された一覧に企業機密等の情報が含まれていないか確認することができる。
【００７９】
また、マルウェアの検体が抽出された端末装置を、企業内部ネットワーク１０１から隔離するよう端末ホワイトリスト生成装置１３３から異常検出装置１３１へ指示するようにしてもよい。
【００８０】
以上のように、マルウェア検体抽出を日常的に予防目的で行うことによって、異常検出装置でトラフィックの異常を検出していない場合であっても、端末装置からマルウェアや不正な設定変更を抽出することができるため、マルウェアが活動を開始する前にマルウェアの検体を抽出できる。
【００８１】
以上の実施の形態１〜４では、以下の動作を行うシステムを説明した。
１）社内端末装置の基準となる端末装置（基準端末装置）からホワイトリストを構成するホワイトリスト情報を生成する。
２）生成したホワイトリスト情報を予め定められたソフトウェアのグループで管理する。
３）生成したホワイトリスト情報の世代を管理する。
４）資産管理台帳データベース装置から感染端末装置の情報を取得し、管理しているホワイトリスト情報を元に、感染端末装置からマルウェアの抽出を行うために参照するホワイトリストを合成する。
５）合成したホワイトリストを基に、感染端末装置からマルウェアの抽出を行う
【００８２】
また、ホワイトリスト情報を管理するグループとして、ソフトウェア別にホワイトリスト情報を管理することを説明した。
【００８３】
また、ホワイトリスト情報を管理するグループとして、端末装置の用途別にグループ化して、同じ用途のソフトウェアのホワイトリスト情報を同一グループに分類して管理することを説明した。
【００８４】
また、使用が許可されている全ソフトウェアを一元的に管理して、全ソフトウェアを集約したホワイトリストを合成することを説明した。
【００８５】
また、トラフィック異常の検知を起点として端末ホワイトリスト生成装置が自動生成するホワイトリストに基づいて、感染端末装置からマルウェアの抽出を行うことを説明した。
【００８６】
最後に、実施の形態１〜４に示した端末ホワイトリスト生成装置１３３、基準端末装置１３４、端末装置１４０、検体抽出装置１６０（以下、端末ホワイトリスト生成装置１３３等と表記する）のハードウェア構成例について説明する。
図１４は、実施の形態１〜４に示す端末ホワイトリスト生成装置１３３等のハードウェア資源の一例を示す図である。
なお、図１４の構成は、あくまでも端末ホワイトリスト生成装置１３３等のハードウェア構成の一例を示すものであり、端末ホワイトリスト生成装置１３３等のハードウェア構成は図１４に記載の構成に限らず、他の構成であってもよい。
【００８７】
図１４において、端末ホワイトリスト生成装置１３３等は、プログラムを実行するＣＰＵ１９１１（Ｃｅｎｔｒａｌ  Ｐｒｏｃｅｓｓｉｎｇ  Ｕｎｉｔ、中央処理装置、処理装置、演算装置、マイクロプロセッサ、マイクロコンピュータ、プロセッサともいう）を備えている。
ＣＰＵ１９１１は、バス１９１２を介して、例えば、ＲＯＭ（Ｒｅａｄ  Ｏｎｌｙ  Ｍｅｍｏｒｙ）１９１３、ＲＡＭ（Ｒａｎｄｏｍ  Ａｃｃｅｓｓ  Ｍｅｍｏｒｙ）１９１４、通信ボード１９１５、表示装置１９０１、キーボード１９０２、マウス１９０３、磁気ディスク装置１９２０と接続され、これらのハードウェアデバイスを制御する。
更に、ＣＰＵ１９１１は、ＦＤＤ１９０４（Ｆｌｅｘｉｂｌｅ  Ｄｉｓｋ  Ｄｒｉｖｅ）、コンパクトディスク装置１９０５（ＣＤＤ）、プリンタ装置１９０６、スキャナ装置１９０７と接続していてもよい。また、磁気ディスク装置１９２０の代わりに、ＳＳＤ（Ｓｏｌｉｄ  Ｓｔａｔｅ  Ｄｒｉｖｅ）、光ディスク装置、メモリカード（登録商標）読み書き装置などの記憶装置でもよい。
ＲＡＭ１９１４は、揮発性メモリの一例である。ＲＯＭ１９１３、ＦＤＤ１９０４、ＣＤＤ１９０５、磁気ディスク装置１９２０の記憶媒体は、不揮発性メモリの一例である。これらは、記憶装置の一例である。
実施の形態１〜４で説明した「情報記憶部」は、ＲＡＭ１９１４、磁気ディスク装置１９２０等により実現される。
通信ボード１９１５、キーボード１９０２、マウス１９０３、スキャナ装置１９０７、ＦＤＤ１９０４などは、入力装置の一例である。
また、通信ボード１９１５、表示装置１９０１、プリンタ装置１９０６などは、出力装置の一例である。
【００８８】
通信ボード１９１５は、図１に示すように、企業内部ネットワークに接続されている。
【００８９】
磁気ディスク装置１９２０には、オペレーティングシステム１９２１（ＯＳ）、ウィンドウシステム１９２２、プログラム群１９２３、ファイル群１９２４が記憶されている。
プログラム群１９２３のプログラムは、ＣＰＵ１９１１がオペレーティングシステム１９２１、ウィンドウシステム１９２２を利用しながら実行する。
【００９０】
また、ＲＡＭ１９１４には、ＣＰＵ１９１１に実行させるオペレーティングシステム１９２１のプログラムやアプリケーションプログラムの少なくとも一部が一時的に格納される。
また、ＲＡＭ１９１４には、ＣＰＵ１９１１による処理に必要な各種データが格納される。
【００９１】
また、ＲＯＭ１９１３には、ＢＩＯＳ（Ｂａｓｉｃ  Ｉｎｐｕｔ  Ｏｕｔｐｕｔ  Ｓｙｓｔｅｍ）プログラムが格納され、磁気ディスク装置１９２０にはブートプログラムが格納されている。
端末ホワイトリスト生成装置１３３等の起動時には、ＲＯＭ１９１３のＢＩＯＳプログラム及び磁気ディスク装置１９２０のブートプログラムが実行され、ＢＩＯＳプログラム及びブートプログラムによりオペレーティングシステム１９２１が起動される。
【００９２】
上記プログラム群１９２３には、実施の形態１〜４の説明において「〜部」（「情報記憶部」以外、以下同様）として説明している機能を実行するプログラムが記憶されている。プログラムは、ＣＰＵ１９１１により読み出され実行される。
【００９３】
ファイル群１９２４には、実施の形態１〜４の説明において、「〜の判断」、「〜の計算」、「〜の比較」、「〜の照合」、「〜の合成」、「〜の生成」、「〜の確認」、「〜の指定」、「〜の特定」、「〜の指示」、「〜の抽出」、「〜の検出」、「〜の更新」、「〜の設定」、「〜の登録」、「〜の選択」等として説明している処理の結果を示す情報やデータや信号値や変数値やパラメータが、「〜ファイル」や「〜データベース」の各項目として記憶されている。
「〜ファイル」や「〜データベース」は、ディスクやメモリなどの記録媒体に記憶される。
ディスクやメモリなどの記憶媒体に記憶された情報やデータや信号値や変数値やパラメータは、読み書き回路を介してＣＰＵ１９１１によりメインメモリやキャッシュメモリに読み出される。
そして、読み出された情報やデータや信号値や変数値やパラメータは、抽出・検索・参照・比較・演算・計算・処理・編集・出力・印刷・表示などのＣＰＵの動作に用いられる。
抽出・検索・参照・比較・演算・計算・処理・編集・出力・印刷・表示のＣＰＵの動作の間、情報やデータや信号値や変数値やパラメータは、メインメモリ、レジスタ、キャッシュメモリ、バッファメモリ等に一時的に記憶される。
また、実施の形態１〜４で説明しているフローチャートの矢印の部分は主としてデータや信号の入出力を示す。
データや信号値は、ＲＡＭ１９１４のメモリ、ＦＤＤ１９０４のフレキシブルディスク、ＣＤＤ１９０５のコンパクトディスク、磁気ディスク装置１９２０の磁気ディスク、その他光ディスク、ミニディスク、ＤＶＤ等の記録媒体に記録される。
また、データや信号は、バス１９１２や信号線やケーブルその他の伝送媒体によりオンライン伝送される。
【００９４】
また、実施の形態１〜４の説明において「〜部」として説明しているものは、「〜回路」、「〜装置」、「〜機器」であってもよく、また、「〜ステップ」、「〜手順」、「〜処理」であってもよい。
すなわち、実施の形態１〜４で説明したフローチャートに示すステップ、手順、処理により、本発明に係る感染検査方法を実現することができる。
また、「〜部」として説明しているものは、ＲＯＭ１９１３に記憶されたファームウェアで実現されていても構わない。
或いは、ソフトウェアのみ、或いは、素子・デバイス・基板・配線などのハードウェアのみ、或いは、ソフトウェアとハードウェアとの組み合わせ、さらには、ファームウェアとの組み合わせで実施されても構わない。
ファームウェアとソフトウェアは、プログラムとして、磁気ディスク、フレキシブルディスク、光ディスク、コンパクトディスク、ミニディスク、ＤＶＤ等の記録媒体に記憶される。
プログラムはＣＰＵ１９１１により読み出され、ＣＰＵ１９１１により実行される。
すなわち、プログラムは、実施の形態１〜４の「〜部」としてコンピュータを機能させるものである。あるいは、実施の形態１〜４の「〜部」の手順や方法をコンピュータに実行させるものである。
【００９５】
このように、実施の形態１〜４に示す端末ホワイトリスト生成装置１３３等は、処理装置たるＣＰＵ、記憶装置たるメモリ、磁気ディスク等、入力装置たるキーボード、マウス、通信ボード等、出力装置たる表示装置、通信ボード等を備えるコンピュータである。
そして、上記したように「〜部」として示された機能をこれら処理装置、記憶装置、入力装置、出力装置を用いて実現するものである。
【符号の説明】
【００９６】
１０１  企業内部ネットワーク、１２１  ルータ装置、１２２  スイッチ装置、１２３  スイッチ装置、１２４  スイッチ装置、１３１  異常検出装置、１３２  資産管理台帳データベース装置、１３３  端末ホワイトリスト生成装置、１３４  基準端末装置、１４０  端末装置、１４１  端末装置、１４２  端末装置、１４３  端末装置、１４４  端末装置、１４５  端末装置、１４６  端末装置、１６０  検体抽出装置、２０１  ホワイトリスト情報生成部、２０２  ホワイトリスト情報管理部、２０３  ホワイトリスト合成部、２０４  通信部、２０５  情報記憶部、２０６  ホワイトリスト情報、２０７  検体抽出プログラム、２０８  媒体Ｉ／Ｆ、３０１  更新管理システム、３２１  ホワイトリスト、５０１  各種アプリケーション、５０２  オペレーティングシステム、５０３  情報記憶部、６００  システム管理者、８０１  ソフトウェア用途振分部、９０１  ホワイトリスト管理部。
【図１】
0005557623.tif 000002
【図２】
0005557623.tif 000003
【図３】
0005557623.tif 000004
【図４】
0005557623.tif 000005
【図５】
0005557623.tif 000006
【図６】
0005557623.tif 000007
【図７】
0005557623.tif 000008
【図８】
0005557623.tif 000009
【図９】
0005557623.tif 000010
【図１０】
0005557623.tif 000011
【図１１】
0005557623.tif 000012
【図１２】
0005557623.tif 000013
【図１３】
0005557623.tif 000014
【図１４】
0005557623.tif 000015