(57)【要約】【課題】検体や、この検体に係る端末の不審度に基づいて、解析を優先するべき検体を提示する。【解決手段】検体を解析するプログラム解析システム１は、端末５、メールサーバ６、ＷＥＢサーバ７などが検知した不審プログラムである検体の情報およびこの検体に係わる端末５の情報を受信し、解析推奨条件と解析推奨度との組合せを含んだ解析推奨情報ＤＢに基づいて、この検体の解析順序リスト２９を決定し、解析順序リスト２９の順番で、検体が不正プログラムであるか否かを解析し、この検体が所定の適用条件に合致していたならば、所定の解析推奨ルールに基づいて検体解析装置解析推奨情報４９を生成し、検体解析装置解析推奨情報４９で解析推奨情報ＤＢを更新する。【選択図】図２
2014089609.tif 000002
【特許請求の範囲】
【請求項１】
検体を解析するプログラム解析システムは、
解析推奨条件と解析推奨度との組合せを含んだ解析推奨情報データベースが記憶される記憶部と、
クライアント装置が検知した不審プログラムを解析する処理部と、を備え、
前記処理部は、
前記不審プログラムである前記検体の情報および当該検体に係わるターゲット装置の情報を受信するステップと、
前記解析推奨情報データベースに基づいて、前記検体の解析順序リストを決定するステップと、
前記解析順序リストの順番で、前記検体が不正プログラムであるか否かを解析するステップと、
前記検体が所定の適用条件に合致していたならば、所定の解析推奨ルールに基づいて第１の解析推奨情報を生成するステップと、
前記第１の解析推奨情報で、前記解析推奨情報データベースを更新するステップと、
を実行することを特徴とするプログラム解析方法。
【請求項２】
前記解析推奨度は、数値または加算可能な記号であり、
前記プログラム解析システムは、前記解析推奨度を合計した解析優先度の順番を、前記解析順序リストとする、
ことを特徴とする請求項１に記載のプログラム解析方法。
【請求項３】
前記第１の解析推奨情報は、前記検体に係わる前記ターゲット装置の情報が所定値であるか否かである解析推奨条件と、前記解析推奨度との組合せである、
ことを特徴とする請求項２に記載のプログラム解析方法。
【請求項４】
前記第１の解析推奨情報は、前記検体の情報が所定値であるか否かである解析推奨条件と、前記解析推奨度との組合せである、
ことを特徴とする請求項２に記載のプログラム解析方法。
【請求項５】
（図１５：効果Ｅ）
前記所定の適用条件は、前記検体が不正プログラムであると判定されたことである、
ことを特徴とする請求項２に記載のプログラム解析方法。
【請求項６】
前記クライアント装置は更に、
前記不審プログラムであるファイルを検知するステップと、
前記不審プログラムであると検知した前記ファイルを前記検体として前記プログラム解析システムに送信するステップと、
を実行し、
前記プログラム解析システムの前記処理部は、
前記不審プログラムである前記検体の情報および前記クライアント装置の情報を前記ターゲット装置の情報として受信するステップ、
を実行することを特徴とする請求項２に記載のプログラム解析方法。
【請求項７】
前記クライアント装置は更に、
前記不審プログラムであるファイルを検知するステップと、
前記不審プログラムであると検知した前記ファイルを前記検体として、当該検体に係わる前記ターゲット装置を判断するステップと、
前記検体と前記ターゲット装置の情報の組合せを前記プログラム解析システムに送信するステップと、
を実行し、
前記プログラム解析システムの前記処理部は、
前記検体の情報および前記ターゲット装置の情報の組合せを受信するステップ、
を実行することを特徴とする請求項２に記載のプログラム解析方法。
【請求項８】
前記ファイルは、前記クライアント装置のファイルシステムに格納されているものである、
ことを特徴とする請求項７に記載のプログラム解析方法。
【請求項９】
前記クライアント装置は、メールサーバであり、
前記不審プログラムであると検知した前記ファイルは、当該メールサーバが中継する電子メールの添付ファイルであり、
前記ターゲット装置は、当該電子メールの送信元端末および宛先端末である、
ことを特徴とする請求項７に記載のプログラム解析方法。
【請求項１０】
前記クライアント装置は、ＷＥＢサーバであり、
前記不審プログラムであると検知した前記ファイルは、当該ＷＥＢサーバにアップロードされたものであり、
前記ターゲット装置は、前記ファイルをアップロードしたアップロード端末である、
ことを特徴とする請求項７に記載のプログラム解析方法。
【請求項１１】
前記クライアント装置は更に、
各端末の動作を評価して、前記各端末に対する前記解析推奨度を更新するステップと、
前記各端末の情報が所定値であるか否かである解析推奨条件と前記解析推奨度との組合せを含んだ第２の解析推奨情報を生成するステップと、
前記第２の解析推奨情報を前記プログラム解析システムに送信するステップと、
を実行し、
前記プログラム解析システムの前記処理部は、
前記第２の解析推奨情報を受信するステップ、
を実行することを特徴とする請求項２に記載のプログラム解析方法。
【請求項１２】
前記クライアント装置は、ＷＥＢサーバであり、
前記ＷＥＢサーバが評価する前記各端末の動作は、前記各端末のログインの失敗である、
ことを特徴とする請求項１１に記載のプログラム解析方法。
【請求項１３】
前記クライアント装置は、ＩＤＳ（Intrusion Detection System）であり、
前記ＩＤＳが評価する前記各端末の動作は、前記各端末の不審なネットワーク上のアクセスである、
ことを特徴とする請求項１１に記載のプログラム解析方法。
【請求項１４】
解析推奨条件と解析推奨度との組合せを含んだ解析推奨情報データベースが記憶される記憶部と、
クライアント装置が検知した不審プログラムである検体の情報および当該検体に係わるターゲット装置の情報を受信する検体受付手段と、
前記解析推奨情報データベースに基づいて、前記検体の解析順序リストを決定する解析順序決定手段と、
前記解析順序リストの順番で、前記検体が不正プログラムであるか否かを解析する検体解析手段と、
前記検体が所定の適用条件に合致していたならば、所定の解析推奨ルールに基づいて新たな解析推奨情報を生成する解析推奨手段と、
前記新たな解析推奨情報で、前記解析推奨情報データベースを更新する解析推奨情報受付手段と、
を備えることを特徴とするプログラム解析システム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、ファイルが、ユーザの意図に反した動作を行う不正プログラムであるか否かを解析するプログラム解析方法およびプログラム解析システムに関する。
【背景技術】
【０００２】
近年、情報漏えいや不正アクセスなどの脅威をもたらすコンピュータウイルスやスパイウェア、ボットプログラムといった悪意ある不正プログラム（マルウェア）が社会問題となっている。
【０００３】
マルウェアの出現数は年々増加傾向にある。これに伴い、従来のシグニチャ型のアンチウイルスソフトでは新種マルウェアに対して十分に対抗することが難しくなりつつある。この問題を解決する手段として、プログラムをサンドボックス内で実行して挙動を分析することで、マルウェアを検知する動的解析技術が注目されている。ここでサンドボックスとは、プログラムを動作させるための限定された保護領域のことをいう。この技術では、シグニチャを用いずに検知を行うため、シグニチャ型が対応できない新種マルウェアに対応することが可能となる。
【０００４】
特許文献１の課題には、「検査対象のコンピュータ上における不正プログラムを高速かつ低負荷で検出すると共に、未知の不正プログラムであっても高精度に解析可能な技術を提供すること。」と記載され、解決手段には、「対象コンピュータ２上の不正プログラムを検査サーバ１により検査する。検査サーバ装置１に、対象コンピュータ上で実行し不正プログラムを探索する探索プログラムを格納しておき、それを対象コンピュータ２に送付する。対象コンピュータ２では探索プログラムを実行処理し、その実行結果としてマルウェアの実行コードを検査サーバ１に送信する。解析システム４では、不正プログラム解析手段が結果を解析して解析結果を出力し、検査サーバ１から対象コンピュータ２に解析結果を送信する。さらに駆除ツール生成システム５を備えて、駆除ツールを自動的に生成し、対象コンピュータに提供することもできる。」と記載されている。
【先行技術文献】
【特許文献】
【０００５】
【特許文献１】特開２０１０−１９８０５４号公報
【発明の概要】
【発明が解決しようとする課題】
【０００６】
しかし、特許文献１の技術には、サーバが多数の検体を受信して解析待ちが発生している場合に、どの検体を優先して解析すべきであるかの基準が示されていない。このため、解析を優先すべき検体が後回しになり、よって、コンピュータやネットワークに大きな被害が発生する虞がある。例えば、重要な業務に用いられているコンピュータからの検体は、優先度が低いコンピュータからの検体に比べて優先的に解析されるべきである。同様にして、例えば、不審なネットワーク活動を行っているコンピュータから送信された検体は、優先的に解析されるべきである。
【０００７】
そこで、本発明は、解析対象である複数の検体に対する解析順序を決定し、当該解析順序で各検体の解析を行うプログラム解析方法およびプログラム解析システムを提供することを目的とする。
【課題を解決するための手段】
【０００８】
前記した課題を解決するため、請求項１に記載の発明では、検体を解析するプログラム解析システムは、解析推奨条件と解析推奨度との組合せを含んだ解析推奨情報データベースが記憶される記憶部と、クライアント装置が検知した不審プログラムを解析する処理部と、を備え、前記処理部は、前記不審プログラムである前記検体の情報および当該検体に係わるターゲット装置の情報を受信するステップと、前記解析推奨情報データベースに基づいて、前記検体の解析順序リストを決定するステップと、前記解析順序リストの順番で、前記検体が不正プログラムであるか否かを解析するステップと、前記検体が所定の適用条件に合致していたならば、所定の解析推奨ルールに基づいて第１の解析推奨情報を生成するステップと、前記第１の解析推奨情報で、前記解析推奨情報データベースを更新するステップと、を実行することを特徴とするプログラム解析方法とした。
その他の手段については、発明を実施するための形態のなかで説明する。
【発明の効果】
【０００９】
本発明によれば、解析対象である複数の検体に対する解析順序を決定し、当該解析順序で各検体の解析を行うことができる。
【図面の簡単な説明】
【００１０】
【図１】第１の実施形態に於けるプログラム解析システムを示す概略の構成図である。
【図２】第１の実施形態に於けるプログラム解析システムのデータの流れを示す図である。
【図３】第１の実施形態に於ける端末を示す概略の構成図である。
【図４】第１の実施形態に於けるメールサーバを示す概略の構成図である。
【図５】第１の実施形態に於けるＷＥＢサーバを示す概略の構成図である。
【図６】第１の実施形態に於けるＩＤＳを示す概略の構成図である。
【図７】第１の実施形態に於ける検体受付装置を示す概略の構成図である。
【図８】第１の実施形態に於ける解析順序決定装置を示す概略の構成図である。
【図９】第１の実施形態に於ける検体解析装置を示す概略の構成図である。
【図１０】第１の実施形態に於けるメールサーバの各ＤＢを示す図である。
【図１１】第１の実施形態に於けるＷＥＢサーバの各ＤＢを示す図である。
【図１２】第１の実施形態に於けるＩＤＳの各ＤＢを示す図である。
【図１３】第１の実施形態に於ける検体受付装置の検体受付ＤＢを示す図である。
【図１４】第１の実施形態に於ける解析順序決定装置の解析推奨情報ＤＢを示す図である。
【図１５】第１の実施形態に於ける検体解析装置の各ＤＢを示す図である。
【図１６】第１の実施形態に於ける端末の検体送信部の処理を示すフローチャートである。
【図１７】第１の実施形態に於けるメールサーバのメール転送部の処理を示すフローチャートである。
【図１８】第１の実施形態に於けるメールサーバの検体送信部の処理を示すフローチャートである。
【図１９】第１の実施形態に於けるメールサーバの解析推奨部の処理を示すフローチャートである。
【図２０】第１の実施形態に於けるＷＥＢサーバのＷＥＢサーバ部の処理を示すフローチャートである。
【図２１】第１の実施形態に於けるＷＥＢサーバの検体送信部の処理を示すフローチャートである。
【図２２】第１の実施形態に於けるＷＥＢサーバの解析推奨部の処理を示すフローチャートである。
【図２３】第１の実施形態に於けるＩＤＳの解析推奨部の処理を示すフローチャートである。
【図２４】第１の実施形態に於ける検体受付装置の処理を示すフローチャートである。
【図２５】第１の実施形態に於ける検体受付装置の解析順序問合せ部の処理を示すフローチャートである。
【図２６】第１の実施形態に於ける解析順序決定装置の解析推奨情報受付部の処理を示すフローチャートである。
【図２７】第１の実施形態に於ける解析順序決定装置の解析順序決定部の処理を示すフローチャートである。
【図２８】第１の実施形態に於ける検体解析装置の検体解析部の処理を示すフローチャートである。
【図２９】第１の実施形態に於ける検体解析装置の解析推奨部の処理を示すフローチャートである。
【発明を実施するための形態】
【００１１】
以降、本発明を実施するための形態を、各図を参照して詳細に説明する。
【００１２】
（第１の実施形態の構成）
【００１３】
図１は、第１の実施形態に於けるプログラム解析システムを示す概略の構成図である。
本実施形態のプログラム解析システム１は、解析順序決定装置２と、検体受付装置３と、検体解析装置４とを備え、通信ネットワーク９によって相互に通信可能に接続されている。本実施形態のプログラム解析システム１は更に、通信ネットワーク９によって、各クライアント装置である端末５と、メールサーバ６と、ＷＥＢサーバ７と、ＩＤＳ（Intrusion Detection System）８とに接続されている。プログラム解析システム１は、ファイルやプログラムなどである検体が、マルウェアであるか否かを解析するものである。
【００１４】
検体受付装置３は、コンピュータやワークステーションなどの計算機によって構成されており、図示しない処理手段に検体受付部３１と、解析順序問合せ部３２とを備え、記憶手段である外部記憶装置３ｄ（図７）に検体受付ＤＢ（DataBase）３３を備えている。検体受付装置３は、クライアント装置が検知した不審プログラムである検体の情報、および、この検体に係わるターゲット端末５（ターゲット装置）の情報を受信するものである。
検体受付部３１（検体受付手段）は、各クライアント装置から解析対象検体を受信して検体受付ＤＢ３３に格納するものである。
解析順序問合せ部３２は、当該解析対象検体を解析順序決定装置２に送信して解析順序を問い合わせ、この解析順序で、当該解析対象検体を検体解析装置４に送信して、マルウェアであるか否かを解析させるものである。解析順序問合せ部３２は、後記する検体解析部４１と組み合わせて検体解析手段を具現化する。
検体受付ＤＢ３３は、後記する図１３で詳細に説明する。
【００１５】
解析順序決定装置２は、コンピュータやワークステーションなどの計算機によって構成されており、図示しない処理手段に解析順序決定部２０と、解析推奨情報受付部２１とを備え、記憶手段である外部記憶装置２ｄ（図８）に解析推奨情報ＤＢ２５を備えている。解析順序決定装置２は、解析対象検体の解析順序を決定するものである。
解析順序決定部２０（解析順序決定手段）は、解析推奨条件と解析推奨度との組合せを含んだ解析推奨情報ＤＢ２５に基づいて、検体受付装置３の解析対象検体の解析順序の問い合わせに対して、どのような順序で解析対象検体を検体解析装置４に送信すべきかを決定して、検体受付装置３に通知するものである。
解析推奨情報受付部２１（解析推奨情報受付手段）は、メールサーバ６、ＷＥＢサーバ７、ＩＤＳ８などである各クライアント装置および検体解析装置４から解析推奨情報を受信し、解析推奨情報ＤＢ２５に格納するものである。
解析推奨情報ＤＢ２５は、後記する図１４で詳細に説明する。
【００１６】
検体解析装置４は、一般的なマルウェア動的解析システムであり、コンピュータやワークステーションなどの計算機によって構成されており、図示しない処理手段に、検体解析部４１と、解析推奨部４２とを備え、記憶手段である外部記憶装置４ｄ（図９）に、解析結果ＤＢ４３と、解析推奨ルールＤＢ４４とを備えている。検体解析装置４は、検体受付装置３から受信した解析対象検体を解析し、マルウェアか否かを判定するものである。
検体解析部４１は、送信された解析対象検体を解析して、その解析結果を解析結果ＤＢ４３に格納するものである。検体解析部４１は、前記した解析順序問合せ部３２と組み合わせて、検体解析手段を具現化する。
解析推奨部４２（解析推奨手段）は、解析推奨ルールＤＢ４４に基づき、解析結果ＤＢ４３に格納された解析結果から、どの検体から先に解析するべきかを提示する解析推奨情報を生成し、解析順序決定装置２に送信するものである。
解析結果ＤＢ４３と、解析推奨ルールＤＢ４４とは、後記する図１５で詳細に説明する。
【００１７】
通信ネットワーク９は、ＬＡＮ（Local Area Network）である。しかし、これに限られず、通信ネットワーク９は、ＷＡＮ（Wide Area Network）、または、携帯電話、ＰＨＳ（Personal Handyphone System）などの公衆回線網でもよい。
【００１８】
端末５は、コンピュータやワークステーションなどの計算機によって構成されており、図示しない処理手段に、検体送信部５１を備え、記憶手段である外部記憶装置５ｄ（図３）にファイルシステム５３を備えている。端末５は、例えばネットワークに接続されたパーソナルコンピュータである。
検体送信部５１は、ファイルシステム５３に格納されているファイルが擬陽性ファイルであるか否かを判断して検知し、検知された擬陽性ファイルを検体として検体受付装置３に送信するものである。ここで擬陽性ファイルとは、当該ファイルがマルウェアである可能性が僅かでもあるファイルのことをいう。
ファイルシステム５３は、例えばＨＤＤ(Hard Disk Drive)などの大容量記憶媒体上に構成されて、記憶している多数のファイルを管理するものである。
【００１９】
メールサーバ６は、コンピュータやワークステーションなどの計算機により構成されており、図示しない処理手段に、メール転送部６０と、検体送信部６１と、解析推奨部６２とを備え、記憶手段である外部記憶装置６ｄ（図４）にメール添付検体ＤＢ６３と、解析推奨ルールＤＢ６５とを備えている。メールサーバ６は、電子メールを転送するサーバである。
メール転送部６０は、電子メールを転送する機能を有しているものである。
検体送信部６１は、メールの添付ファイルが擬陽性ファイルであるか否かを判断し、検知された擬陽性ファイルを検体として検体受付装置３に送信するものである。
解析推奨部６２は、どの検体から先に解析するべきかを提示する解析推奨情報を、解析順序決定装置２に送信するものである。
メール添付検体ＤＢ６３と、解析推奨ルールＤＢ６５とは、後記する図１０で詳細に説明する。
【００２０】
ＷＥＢサーバ７は、コンピュータやワークステーションなどの計算機により構成されており、図示しない処理手段に、ＷＥＢサーバ部７０と、検体送信部７１と、解析推奨部７２とを備え、記憶手段である外部記憶装置７ｄ（図５）にＷＥＢ添付検体ＤＢ７３と、ログインＤＢ７４と、解析推奨ルールＤＢ７５とを備えている。ＷＥＢサーバ７は、例えばＨＴＴＰ（Hypertext Transfer Protocol）サーバやＦＴＰ（File Transfer Protocol）サーバなどであり、アップロードされたファイルを格納するものである。
ＷＥＢサーバ部７０は、例えばＨＴＴＰやＦＴＰなどのプロトコルによってファイルのアップロードを受け付けて記憶手段に蓄積し、当該記憶手段にアップロードされている当該ファイルのダウンロード要求を受け付けて、ダウンロード要求元の装置にダウンロードするものである。
検体送信部７１は、アップロードされたファイルが擬陽性ファイルであるか否かを判断し、検知された擬陽性ファイルを検体として検体受付装置３に送信するものである。
解析推奨部７２は、どの検体から先に解析するべきかを提示する解析推奨情報を、解析順序決定装置２に送信するものである。
ＷＥＢ添付検体ＤＢ７３と、ログインＤＢ７４と、解析推奨ルールＤＢ７５とは、後記する図１１で詳細に説明する。
【００２１】
ＩＤＳ８は、コンピュータやワークステーションなどの計算機により構成された侵入検知システムであり、図示しない処理手段に、侵入検知部８０と、解析推奨部８２とを備え、記憶手段である外部記憶装置８ｄ（図６）に侵入検知ＤＢ８４と、解析推奨ルールＤＢ８５とを備えている。ＩＤＳ８は、ネットワークの不正なアクセスの兆候を検知するものである。
侵入検知部８０は、通信ネットワーク９内で発生する不審なネットワークイベントを監視して、侵入検知ＤＢ８４に記録するものである。
解析推奨部８２は、解析推奨ルールＤＢ８５に基づき、侵入検知ＤＢ８４に記録された監視結果から、どの検体から先に解析すべきかを提示する解析推奨情報を生成し、解析順序決定装置２に送信するものである。
侵入検知ＤＢ８４と、解析推奨ルールＤＢ８５とは、後記する図１２で詳細に説明する。
【００２２】
図２は、第１の実施形態に於けるプログラム解析システムのデータの流れを示す図である。
端末５は、解析対象検体５８ａと、この端末５に関する端末情報５８ｂとを含む端末解析命令５８を検体受付装置３に送信する。
メールサーバ６は、解析対象検体６７ａと当該電子メールの送信元端末情報６７ｂとを含むメールサーバ解析命令６７と、解析対象検体６８ａと当該電子メールの宛先端末情報６８ｂとを含むメールサーバ解析命令６８とを検体受付装置３に送信する。メールサーバ６は更に、どの検体から先に解析するべきかを提示する解析推奨情報を含むメールサーバ解析推奨情報６９を解析順序決定装置２に送信する。
【００２３】
ＷＥＢサーバ７は、解析対象検体７８ａと、解析対象検体７８ａをアップロードしたアップロード端末情報７８ｂとを含むＷＥＢサーバ解析命令７８を、検体受付装置３に送信する。ＷＥＢサーバ７は、どの検体から先に解析するべきかを提示する解析推奨情報を含むＷＥＢサーバ解析推奨情報７９を解析順序決定装置２に送信する。
ＩＤＳ８は、どの検体から先に解析するべきかを提示する解析推奨情報を含むＩＤＳ解析推奨情報８９を解析順序決定装置２に送信する。
【００２４】
検体受付装置３は、受信した検体の解析順序の問合せを含む解析順序決定依頼３９を解析順序決定装置２に送信する。解析順序決定装置２は、どの順序で検体を解析するべきかを示す解析順序リスト２９を検体受付装置３に送信する。検体受付装置３は、解析順序リスト２９の順番で、解析対象検体３８ａと端末情報３８ｂを含む検体解析依頼３８を検体解析装置４に送信する。
検体解析装置４は、解析順序リスト２９の順番で、解析対象の検体を解析する。更に検体解析装置４は、検体の解析結果を伴う検体解析結果４８を検体受付装置３に送信し、どの検体から先に解析するべきかを提示する解析推奨情報を含む検体解析装置解析推奨情報４９を解析順序決定装置２に送信する。
解析順序決定装置２は、検体解析装置解析推奨情報４９で、解析推奨情報ＤＢ２５を更新する。
【００２５】
図３は、第１の実施形態に於ける端末を示す概略の構成図である。
端末５は、ＣＰＵ（Central Processing Unit）５ａと、メモリ５ｂと、インタフェース５ｃと、外部記憶装置５ｄと、バス５ｆとを備え、入出力装置５ｅに接続されている。
ＣＰＵ５ａは、処理を実行する演算装置である。
メモリ５ｂは、ＣＰＵ５ａで実行する命令セットが記述されたプログラムなどを記憶する記憶媒体である。メモリ５ｂは、検体送信プログラム５１ｐを記憶している。ＣＰＵ５ａは、この検体送信プログラム５１ｐを実行することによって、検体送信部５１（図１）を具現化する。
【００２６】
インタフェース５ｃは、端末５を通信ネットワーク９と接続する通信装置であり、ＬＡＮカードなどの通信機器がこれに対応する。
外部記憶装置５ｄは、ＨＤＤやフラッシュメモリなどの記憶媒体から構成されており、端末５のファイルシステム５３を記憶している。
入出力装置５ｅは、端末５に対して、管理者によるデータの入力と、端末５内のデータの出力とを行う装置である。入出力装置５ｅは、例えばキーボード、マウス、ディスプレイなどである。
バス５ｆは、ＣＰＵ５ａと、メモリ５ｂと、インタフェース５ｃと、外部記憶装置５ｄと、入出力装置５ｅを接続する通信路である。
【００２７】
図４は、第１の実施形態に於けるメールサーバを示す概略の構成図である。
メールサーバ６は、ＣＰＵ６ａと、メモリ６ｂと、インタフェース６ｃと、外部記憶装置６ｄと、バス６ｆとを備え、入出力装置６ｅに接続されている。
ＣＰＵ６ａは、処理を実行する演算装置である。
メモリ６ｂは、ＣＰＵ６ａで実行する命令セットが記述されたプログラムなどを記憶する記憶媒体である。メモリ６ｂは、メール転送プログラム６０ｐと、検体送信プログラム６１ｐと、解析推奨プログラム６２ｐとを記憶している。ＣＰＵ６ａがメール転送プログラム６０ｐを実行することによって、メール転送部６０（図１）が具現化される。ＣＰＵ６ａが検体送信プログラム６１ｐを実行することによって、検体送信部６１（図１）が具現化される。ＣＰＵ６ａが解析推奨プログラム６２ｐを実行することによって、解析推奨部６２（図１）が具現化される。
【００２８】
インタフェース６ｃは、メールサーバ６を通信ネットワーク９と接続する通信装置であり、ＬＡＮカードなどの通信機器がこれに対応する。
外部記憶装置６ｄは、ＨＤＤやフラッシュメモリなどの記憶媒体から構成されており、メール添付検体ＤＢ６３と、解析推奨ルールＤＢ６５とを記憶する。メール添付検体ＤＢ６３と、解析推奨ルールＤＢ６５との具体的内容については後述する。
入出力装置６ｅは、メールサーバ６に対して、管理者によるデータの入力と、メールサーバ６内のデータの出力とを行うための装置である。入出力装置６ｅは、例えばキーボード、マウス、ディスプレイなどである。
バス６ｆは、ＣＰＵ６ａ、メモリ６ｂ、インタフェース６ｃ、外部記憶装置６ｄ、入出力装置６ｅを接続する通信路である。
【００２９】
図５は、第１の実施形態に於けるＷＥＢサーバを示す概略の構成図である。
ＷＥＢサーバ７は、ＣＰＵ７ａと、メモリ７ｂと、インタフェース７ｃと、外部記憶装置７ｄと、入出力装置７ｅと、バス７ｆとを備えている。
ＣＰＵ７ａは、処理を実行するための演算装置である。
メモリ７ｂは、ＣＰＵ７ａで実行する命令のセットがプログラムとして記述されたデータを含む記憶媒体である。メモリ７ｂは、ＷＥＢサーバプログラム７０ｐと、検体送信プログラム７１ｐと、解析推奨プログラム７２ｐとを記憶している。ＣＰＵ７ａは、ＷＥＢサーバプログラム７０ｐを実行することによって、一般的なＷＥＢサーバ機能であるＷＥＢサーバ部７０（図１）を具現化する。ＣＰＵ７ａは、検体送信プログラム７１ｐを実行することによって、検体送信部７１（図１）を具現化する。ＣＰＵ７ａは、解析推奨プログラム７２ｐを実行することによって、解析推奨部７２（図１）を具現化する。
【００３０】
インタフェース７ｃは、ＷＥＢサーバ７を通信ネットワーク９と接続する通信装置であり、ＬＡＮカードなどの通信機器がこれに対応する。
外部記憶装置７ｄは、ＨＤＤやフラッシュメモリなどの記憶媒体から構成されており、ＷＥＢ添付検体ＤＢ７３と、ログインＤＢ７４と、解析推奨ルールＤＢ７５とを記憶している。
【００３１】
入出力装置７ｅは、ＷＥＢサーバ７に対して、管理者によるデータの入力と、ＷＥＢサーバ７内のデータの出力とを行う装置である。入出力装置７ｅは、例えばキーボード、マウス、ディスプレイなどである。
バス７ｆは、ＣＰＵ７ａと、メモリ７ｂと、インタフェース７ｃと、外部記憶装置７ｄと、入出力装置７ｅとを接続する通信路である。
【００３２】
図６は、第１の実施形態に於けるＩＤＳを示す概略の構成図である。
ＩＤＳ８は、ＣＰＵ８ａと、メモリ８ｂと、インタフェース８ｃと、外部記憶装置８ｄと、バス８ｆとを備え、入出力装置８ｅに接続されている。
ＣＰＵ８ａは、処理を実行するための演算装置である。
メモリ８ｂは、ＣＰＵ８ａで実行する命令セットがプログラムとして記述された情報を記憶する記憶媒体である。メモリ８ｂは、侵入検知プログラム８０ｐと、解析推奨プログラム８２ｐとを記憶している。ＣＰＵ８ａは、侵入検知プログラム８０ｐを実行することによって、一般的な侵入検知システムとしての侵入検知部８０（図１）を具現化する。ＣＰＵ８ａは、解析推奨プログラム８２ｐを実行することによって、解析推奨部８２（図１）を具現化し、ＩＤＳ解析推奨情報８９を解析順序決定装置２に送信する。
【００３３】
インタフェース８ｃは、ＩＤＳ８を通信ネットワーク９と接続する通信装置であり、ＬＡＮカードなどの通信機器がこれに対応する。
外部記憶装置８ｄは、ＨＤＤやフラッシュメモリなどの記憶媒体から構成され、侵入検知ＤＢ８４と、解析推奨ルールＤＢ８５とを記憶する。侵入検知ＤＢ８４と、解析推奨ルールＤＢ８５の具体的内容については後述する。
【００３４】
入出力装置８ｅは、ＩＤＳ８に対して、管理者によるデータの入力と、ＩＤＳ８内のデータの出力とを行うための装置である。入出力装置８ｅは、例えば、キーボード、マウス、ディスプレイなどである。
バス８ｆは、ＣＰＵ８ａ、メモリ８ｂ、インタフェース８ｃ、外部記憶装置８ｄ、入出力装置８ｅを接続する通信路である。
【００３５】
図７は、第１の実施形態に於ける検体受付装置を示す概略の構成図である。
検体受付装置３は、ＣＰＵ３ａと、メモリ３ｂと、インタフェース３ｃと、外部記憶装置３ｄと、バス３ｆとを備え、入出力装置３ｅに接続されている。
【００３６】
ＣＰＵ３ａは、処理を実行するための演算装置である。
メモリ３ｂは、ＣＰＵ３ａで実行する命令セットが記述されたプログラムなどを記憶する記憶媒体である。メモリ３ｂは、検体受付プログラム３１ｐと、解析順序問合せプログラム３２ｐとを記憶している。ＣＰＵ３ａは、検体受付プログラム３１ｐを実行することによって、検体受付部３１（図１）を具現化して、端末５，メールサーバ６、ＷＥＢサーバ７、ＩＤＳ８などから検体を受信する。ＣＰＵ３ａは、解析順序問合せプログラム３２ｐを実行することによって、解析順序問合せ部３２（図１）を具現化して、解析順序決定依頼３９を解析順序決定装置２に送信する。
【００３７】
インタフェース３ｃは、検体受付装置３を通信ネットワーク９と接続する通信装置であり、ＬＡＮカードなどの通信機器がこれに対応する。
外部記憶装置３ｄは、ＨＤＤ(Hard Disk Drive)やフラッシュメモリなどの記憶媒体から構成され、検体受付ＤＢ３３を記憶する。検体受付ＤＢ３３の具体的内容については後述する。
【００３８】
入出力装置３ｅは検体受付装置３に対して、管理者によるデータの入力と、検体受付装置３内のデータの出力とを行う装置である。入出力装置３ｅは、例えば、キーボード、マウス、ディスプレイなどである。
バス３ｆは、ＣＰＵ３ａと、メモリ３ｂと、インタフェース３ｃと、外部記憶装置３ｄと、入出力装置３ｅとを接続する通信路である。
【００３９】
図８は、第１の実施形態に於ける解析順序決定装置を示す概略の構成図である。
解析順序決定装置２は、ＣＰＵ２ａと、メモリ２ｂと、インタフェース２ｃと、外部記憶装置２ｄと、バス２ｆとを備え、入出力装置２ｅに接続されている。
【００４０】
ＣＰＵ２ａは、処理を実行するための演算装置である。
メモリ２ｂは、ＣＰＵ２ａで実行する命令セットが記述されたプログラムなどを記憶する記憶媒体である。メモリ２ｂは、解析順序決定プログラム２０ｐと、解析推奨情報受付プログラム２１ｐとを記憶している。ＣＰＵ２ａは、解析順序決定プログラム２０ｐを実行することによって、解析順序決定部２０（図１）を具現化して、解析順序リスト２９を検体受付装置３に送信する。ＣＰＵ２ａは、解析推奨情報受付プログラム２１ｐを実行することによって、解析推奨情報受付部２１（図１）を具現化して、メールサーバ６、ＷＥＢサーバ７、ＩＤＳ８、検体解析装置４などから解析推奨情報を受信する。
【００４１】
インタフェース２ｃは、解析順序決定装置２を通信ネットワーク９と接続する通信装置であり、ＬＡＮカードなどの通信機器がこれに対応する。
外部記憶装置２ｄは、ＨＤＤやフラッシュメモリなどの記憶媒体から構成されており、解析推奨情報ＤＢ２５を記憶する。解析推奨情報ＤＢ２５の具体的内容については後述する。
入出力装置２ｅは、解析順序決定装置２に対して、管理者によるデータの入力と、検体受付装置３内のデータの出力とを行うための装置である。入出力装置２ｅは、例えばキーボード、マウス、ディスプレイなどである。
バス２ｆは、ＣＰＵ２ａと、メモリ２ｂと、インタフェース２ｃと、外部記憶装置２ｄと、入出力装置２ｅとを接続する通信路である。
【００４２】
図９は、第１の実施形態に於ける検体解析装置を示す概略の構成図である。
検体解析装置４は、ＣＰＵ４ａと、メモリ４ｂと、インタフェース４ｃと、外部記憶装置４ｄと、バス４ｆとを備え、入出力装置４ｅに接続されている。
ＣＰＵ４ａは、処理を実行するための演算装置である。
メモリ４ｂは、ＣＰＵ４ａで実行する命令セットが記述されたプログラムなどを記憶する記憶媒体である。メモリ４ｂは、検体解析プログラム４１ｐと、解析推奨プログラム４２ｐとを記憶している。ＣＰＵ４ａは、検体解析プログラム４１ｐを実行することによって、検体解析部４１（図１）を具現化して、検体の解析を実行する。ＣＰＵ４ａは、解析推奨プログラム４２ｐを実行することによって、解析推奨部４２（図１）を具現化して、検体解析装置解析推奨情報４９を解析順序決定装置２に送信する。
【００４３】
インタフェース４ｃは、検体解析装置４を通信ネットワーク９と接続する通信装置であり、ＬＡＮカードなどの通信機器がこれに対応する。
外部記憶装置４ｄは、ＨＤＤやフラッシュメモリなどの記憶媒体から構成されており、解析結果ＤＢ４３と、解析推奨ルールＤＢ４４とを記憶している。解析結果ＤＢ４３と、解析推奨ルールＤＢ４４との具体的内容については後述する。
【００４４】
入出力装置４ｅは、検体解析装置４に対して、管理者によるデータの入力、検体受付装置３内のデータの出力を行うための装置である。入出力装置４ｅは、例えば、キーボード、マウス、ディスプレイなどである。
バス４ｆは、ＣＰＵ４ａと、メモリ４ｂと、インタフェース４ｃと、外部記憶装置４ｄと、入出力装置４ｅとを接続する通信路である。
【００４５】
（各装置に格納されているデータベースの構成）
【００４６】
図１０（ａ），（ｂ）は、第１の実施形態に於けるメールサーバの各ＤＢを示す図である。
図１０（ａ）は、メールサーバ６のメール添付検体ＤＢ６３を示す図である。
メール添付検体ＤＢ６３内の各レコードには、メールサーバ６が転送したメールの添付ファイルに関する転送時間と、送信元の端末５の識別情報と、送信先の端末５の識別情報と、データ内容とが格納されている。メール添付検体ＤＢ６３内のレコードは、メール転送部６０がメールを転送する際に記録される。
【００４７】
メール添付検体ＤＢ６３は、ＩＤ欄６３ａと、メール転送時間欄６３ｂと、送信元端末欄６３ｃと、送信先端末欄６３ｄと、検体データ欄６３ｅの各欄を備えている。
ＩＤ欄６３ａには、メール添付検体ＤＢ６３の各レコードを一意に認識するための値が格納されている。このため、各ＩＤ欄６３ａの値は、メール添付検体ＤＢ６３内でユニークである。
メール転送時間欄６３ｂには、メールサーバ６がメールを受信した時間が格納されている。
送信元端末欄６３ｃには、メールの送信元の端末５の識別情報が格納されている。ここで端末５の識別情報とは、例えばＩＰ（Internet Protocol）アドレスまたはＭＡＣ（Media Access Control）アドレスなどである。
送信先端末欄６３ｄには、メールの宛先の端末５の識別情報が格納されている。
検体データ欄６３ｅには、添付ファイルのデータ内容がバイナリで格納されている。
【００４８】
図１０（ａ）には、３種類のメール添付検体のレコードが示されている。
ＩＤ欄６３ａが１のレコードは、メール転送時間欄６３ｂが「２０１２／０１／０１  １２：００：００」であり、送信元端末欄６３ｃが「端末Ａ」、送信先端末欄６３ｄが「端末Ｂ」である。
ＩＤ欄６３ａが２のレコードは、メール転送時間欄６３ｂが「２０１２／０１／０１  １２：００：１０」であり、送信元端末欄６３ｃが「端末Ａ」、送信先端末欄６３ｄが「端末Ｂ」である。
ＩＤ欄６３ａが３のレコードは、メール転送時間欄６３ｂが「２０１２／０１／０１  １２：０１：１０」であり、送信元端末欄６３ｃが「端末Ａ」、送信先端末欄６３ｄが「端末Ｂ」である。
【００４９】
図１０（ｂ）は、メールサーバ６の解析推奨ルールＤＢ６５を示す図である。
解析推奨ルールＤＢ６５内の各レコードは、メールサーバ６が優先的な検体の解析を推奨する端末５を示している。解析推奨ルールＤＢ６５の更新は、メールサーバ６の管理者が、入出力装置６ｅを介して行う。解析推奨ルールＤＢ６５は、ＩＤ欄６５ａと、送信先端末欄６５ｂと、解析推奨度欄６５ｃの各欄を備えている。
ＩＤ欄６５ａには、解析推奨ルールＤＢ６５の各レコードを一意に識別する情報が格納されている。このため、各ＩＤ欄６５ａの値は、解析推奨ルールＤＢ６５内でユニークである。
送信先端末欄６５ｂには、各レコードが優先的な解析を推奨する端末５の識別情報が格納されている。
解析推奨度欄６５ｃには、送信先端末欄６５ｂに関係する検体の解析を優先する度合を示す数値（解析推奨度）が格納されている。本実施形態のプログラム解析システム１は、解析推奨度を合計して解析優先度を算出する。解析順序リスト２９（図２）は、各検体の解析優先度の順番である。
【００５０】
図１０（ｂ）には、３種類の解析推奨ルールのレコードが示されている。
ＩＤ欄６５ａが１のレコードは、送信先端末欄６５ｂが「端末Ｃ」であり、解析推奨度欄６５ｃが「５」である。
ＩＤ欄６５ａが２のレコードは、送信先端末欄６５ｂが「端末Ｂ」であり、解析推奨度欄６５ｃが「３」である。
ＩＤ欄６５ａが３のレコードは、送信先端末欄６５ｂが「端末Ａ」であり、解析推奨度欄６５ｃが「１」である。
【００５１】
図１１（ａ）〜（ｃ）は、第１の実施形態に於けるＷＥＢサーバの各ＤＢを示す図である。
【００５２】
図１１（ａ）は、ＷＥＢサーバ７のＷＥＢ添付検体ＤＢ７３を示す図である。
ＷＥＢ添付検体ＤＢ７３内の各レコードは、ＷＥＢサーバ７にアップロードされた添付ファイルに関するアップロード時間と、アップロードした端末５と、アップロードされたデータ内容とを示している。ＷＥＢ添付検体ＤＢ７３内のレコードは、ＷＥＢサーバ部７０が、ファイルを端末５から受信した際に記録される。
【００５３】
ＷＥＢ添付検体ＤＢ７３は、ＩＤ欄７３ａと、アップロード時間欄７３ｂと、アップロード端末欄７３ｃと、検体データ欄７３ｄの各欄を備えている。
ＩＤ欄７３ａには、ＷＥＢ添付検体ＤＢ７３の各レコードを一意に識別するための値が格納されている。このため、各ＩＤ欄７３ａの値は、ＷＥＢ添付検体ＤＢ７３内でユニークである。
アップロード時間欄７３ｂには、ＷＥＢサーバ７がファイルを受信した時間が格納されている。
アップロード端末欄７３ｃには、ファイルをアップロードした端末５の識別情報が格納されている。
検体データ欄７３ｄには、ファイルのデータ内容が格納されている。
【００５４】
図１１（ａ）には、３種類の、ＷＥＢ添付検体ＤＢ７３のレコードが示されている。
ＩＤ欄７３ａが１のレコードは、アップロード時間欄７３ｂが「２０１２／０１／０１  １１：５５：００」であり、アップロード端末欄７３ｃが「端末Ａ」である。
ＩＤ欄７３ａが２のレコードは、アップロード時間欄７３ｂが「２０１２／０１／０１  １１：５５：１０」であり、アップロード端末欄７３ｃが「端末Ｂ」である。
ＩＤ欄７３ａが３のレコードは、アップロード時間欄７３ｂが「２０１２／０１／０１  １１：５５：１０」であり、アップロード端末欄７３ｃが「端末Ｃ」である。
【００５５】
図１１（ｂ）は、ＷＥＢサーバ７のログインＤＢ７４を示す図である。
ログインＤＢ７４内の各レコードはＷＥＢサーバ７へのログイン時間、ログイン元の端末５、ログインの可否を示している。ログインＤＢ７４内のレコードは、ＷＥＢサーバ部７０が他の端末５からのログイン要求を扱う際に記録される。
【００５６】
ログインＤＢ７４は、ＩＤ欄７４ａと、ログイン時間欄７４ｂと、ログイン端末欄７４ｃと、ログイン可否欄７４ｄの各欄を備えている。
ＩＤ欄７４ａには、ログインＤＢ７４の各レコードを一意に識別するための値が格納されている。このため、各ＩＤ欄７４ａの値は、ログインＤＢ７４内でユニークである。
ログイン時間欄７４ｂには、端末５がＷＥＢサーバ７にログインを試行した時間が格納されている。
ログイン端末欄７４ｃには、ログインを試行した端末５の識別情報が格納されている。
ログイン可否欄７４ｄには、ログインの可否を示す「失敗」または「成功」が格納されている。
【００５７】
図１１（ｂ）には、7種類の、ログインＤＢ７４のレコードが示されている。
ＩＤ欄７４ａが１のレコードは、ログイン時間欄７４ｂが「２０１２／０１／０１  １１：５５：００」であり、ログイン端末欄７４ｃが「端末Ａ」であり、ログイン可否欄７４ｄが「失敗」である。
ＩＤ欄７４ａが２のレコードは、ログイン時間欄７４ｂが「２０１２／０１／０１  １１：５５：００」であり、ログイン端末欄７４ｃが「端末Ａ」であり、ログイン可否欄７４ｄが「失敗」である。
ＩＤ欄７４ａが３のレコードは、ログイン時間欄７４ｂが「２０１２／０１／０１  １１：５５：００」であり、ログイン端末欄７４ｃが「端末Ａ」であり、ログイン可否欄７４ｄが「失敗」である。
ＩＤ欄７４ａが４のレコードは、ログイン時間欄７４ｂが「２０１２／０１／０１  １１：５５：００」であり、ログイン端末欄７４ｃが「端末Ａ」であり、ログイン可否欄７４ｄが「失敗」である。
ＩＤ欄７４ａが５のレコードは、ログイン時間欄７４ｂが「２０１２／０１／０１  １１：５５：００」であり、ログイン端末欄７４ｃが「端末Ａ」であり、ログイン可否欄７４ｄが「成功」である。
ＩＤ欄７４ａが６のレコードは、ログイン時間欄７４ｂが「２０１２／０１／０１  １１：５５：１０」であり、ログイン端末欄７４ｃが「端末Ｂ」であり、ログイン可否欄７４ｄが「成功」である。
ＩＤ欄７４ａが７のレコードは、ログイン時間欄７４ｂが「２０１２／０１／０１  １１：５５：１０」であり、ログイン端末欄７４ｃが「端末Ｃ」であり、ログイン可否欄７４ｄが「成功」である。
【００５８】
図１１（ｃ）は、ＷＥＢサーバ７の解析推奨ルールＤＢ７５を示す図である。
解析推奨ルールＤＢ７５内の各レコードは、ログイン失敗回数に基づく、各端末５の解析推奨度を規定している。解析推奨ルールＤＢ７５内の各レコードは、ＷＥＢサーバ７の管理者が入出力装置７ｅを介して設定するものである。
【００５９】
解析推奨ルールＤＢ７５は、ＩＤ欄７５ａと、ログイン失敗回数欄７５ｂと、解析推奨度欄７５ｃの各欄を備えている。
ＩＤ欄７５ａには、解析推奨ルールＤＢ７５の各レコードを一意に識別するための値が格納されている。このため、各ＩＤ欄７５ａの値は解析推奨ルールＤＢ７５内でユニークである。
ログイン失敗回数欄７５ｂには、解析推奨度を決定するのに必要な条件が格納されている。
解析推奨度欄７５ｃには、ログイン失敗回数欄７５ｂの条件を満たした端末５に対する解析推奨度が格納されている。
【００６０】
図１１（ｃ）には、３種類の解析推奨ルールＤＢ７５のレコードが示されている。
ＩＤ欄７５ａが１のレコードは、ログイン失敗回数欄７５ｂが「＞＝４」であり、解析推奨度欄７５ｃが「５」である。このレコードは、ログイン失敗回数が４回以上の端末５への解析推奨度を、５とすることを意味している。
ＩＤ欄７５ａが２のレコードは、ログイン失敗回数欄７５ｂが「＞＝３」であり、解析推奨度欄７５ｃが「３」である。このレコードは、ログイン失敗回数が３回以上の端末５への解析推奨度を、３とすることを意味している。
ＩＤ欄７５ａが３のレコードは、ログイン失敗回数欄７５ｂが「＜３」であり、解析推奨度欄７５ｃが「１」である。このレコードは、ログイン失敗回数が３回未満の端末５への解析推奨度を１とすることを意味している。
ＩＤ欄７５ａのレコードは、番号順に判断に用いられる。よって、端末５は、ログイン失敗回数が４回以上のとき、解析推奨度は５となり、ログイン失敗回数が３，４回のとき、解析推奨度は３となり、ログイン失敗回数が０〜２回のとき、解析推奨度は１となる。
【００６１】
図１２（ａ），（ｂ）は、第１の実施形態に於けるＩＤＳの各ＤＢを示す図である。
【００６２】
図１２（ａ）は、ＩＤＳ８の侵入検知ＤＢ８４を示す図である。
侵入検知ＤＢ８４内の各レコードは、侵入検知部８０が検知した、ネットワーク内の端末５の不審な活動を記録している。
侵入検知ＤＢ８４は、ＩＤ欄８４ａと、検知時間欄８４ｂと、端末欄８４ｃと、不審活動欄８４ｄの各欄を備えている。
ＩＤ欄８４ａには、侵入検知ＤＢ８４の各レコードを一意に識別するための値が格納されている。このため、各ＩＤ欄８４ａの値は侵入検知ＤＢ８４内でユニークである。
検知時間欄８４ｂには、当該端末５による不審な活動が記録された時間が格納されている。
端末欄８４ｃには、不審な活動を行う当該端末５の識別情報が格納されている。
不審活動欄８４ｄには、端末５の不審な活動内容が格納されている。
【００６３】
図１２（ａ）には、６種類の侵入検知ＤＢ８４のレコードが示されている。
ＩＤ欄８４ａが１のレコードは、検知時間欄８４ｂが「２０１２／０１／０１  １１：５５：００」であり、端末欄８４ｃが「端末Ａ」であり、不審活動欄８４ｄが「アドレススキャン」である。
ＩＤ欄８４ａが２のレコードは、検知時間欄８４ｂが「２０１２／０１／０１  １１：５５：１０」であり、端末欄８４ｃが「端末Ａ」であり、不審活動欄８４ｄが「アドレススキャン」である。
ＩＤ欄８４ａが３のレコードは、検知時間欄８４ｂが「２０１２／０１／０１  １１：５５：１０」であり、端末欄８４ｃが「端末Ａ」であり、不審活動欄８４ｄが「脆弱性攻撃」である。
ＩＤ欄８４ａが４のレコードは、検知時間欄８４ｂが「２０１２／０１／０１  １１：５５：２０」であり、端末欄８４ｃが「端末Ｅ」であり、不審活動欄８４ｄが「未知の端末」である。
ＩＤ欄８４ａが５のレコードは、検知時間欄８４ｂが「２０１２／０１／０１  １１：５５：５０」であり、端末欄８４ｃが「端末Ａ」であり、不審活動欄８４ｄが「マルウェア送信」である。
ＩＤ欄８４ａが６のレコードは、検知時間欄８４ｂが「２０１２／０１／０１  １１：５６：１５」であり、端末欄８４ｃが「端末Ａ」であり、不審活動欄８４ｄが「マルウェア受信」である。
【００６４】
図１２（ｂ）は、ＩＤＳ８の解析推奨ルールＤＢ８５を示す図である。
ＩＤＳ８は、解析推奨ルールＤＢ８５が示す不審活動を行う端末５に、指定の解析推奨度を設定する。解析推奨ルールＤＢ８５内の各レコードは、ＩＤＳ８の管理者により、入出力装置８ｅを介して設定される。
【００６５】
解析推奨ルールＤＢ８５は、ＩＤ欄８５ａと、不審活動欄８５ｂと、解析推奨度欄８５ｃの各欄を備えている。
ＩＤ欄８５ａには、解析推奨ルールＤＢ８５の各レコードを一意に識別するための値が格納されている。このため、各ＩＤ欄８５ａの値は解析推奨ルールＤＢ８５内でユニークである。
不審活動欄８５ｂには、解析推奨度の設定対象となる不審活動が格納されている。
解析推奨度欄８５ｃには、不審活動欄８５ｂに該当する不審活動を行った端末５に設定する解析推奨度が格納されている。
【００６６】
図１２（ｂ）には、６種類の解析推奨ルールＤＢ８５のレコードが示されている。
ＩＤ欄８５ａが１のレコードは、不審活動欄８５ｂが「脆弱性攻撃」であり、解析推奨度欄８５ｃが「５」である。
ＩＤ欄８５ａが２のレコードは、不審活動欄８５ｂが「アドレススキャン」であり、解析推奨度欄８５ｃが「３」である。
ＩＤ欄８５ａが３のレコードは、不審活動欄８５ｂが「ポートスキャン」であり、解析推奨度欄８５ｃが「１」である。
ＩＤ欄８５ａが４のレコードは、不審活動欄８５ｂが「未知の端末」であり、解析推奨度欄８５ｃが「１」である。
ＩＤ欄８５ａが５のレコードは、不審活動欄８５ｂが「マルウェア送信」であり、解析推奨度欄８５ｃが「５」である。
ＩＤ欄８５ａが６のレコードは、不審活動欄８５ｂが「マルウェア受信」であり、解析推奨度欄８５ｃが「５」である。
【００６７】
図１３は、第１の実施形態に於ける検体受付装置の検体受付ＤＢを示す図である。
検体受付ＤＢ３３には、検体受付装置３が受信した検体に関する情報が記録されている。
検体受付ＤＢ３３は、ＩＤ欄３３ａと、受付時間欄３３ｂと、ターゲット欄３３ｃと、検体送信元欄３３ｄと、検体データ欄３３ｅと、検体ファイルサイズ欄３３ｆと、ステータス欄３３ｇの各欄を備えている。
ＩＤ欄３３ａには、検体受付ＤＢ３３の各レコードを一意に識別するための値が格納されている。このため、各ＩＤ欄３３ａの値は、検体受付ＤＢ３３内でユニークである。
受付時間欄３３ｂには、検体受付装置３が検体を受信した時間が格納されている。
ターゲット欄３３ｃには、検体に係るサーバ装置や端末５（ターゲット装置）の識別情報が格納されている。
検体送信元欄３３ｄには、検体の送信元のサーバ装置や端末５の識別情報が格納されている。
検体データ欄３３ｅには、検体のデータ内容が格納されている。
検体ファイルサイズ欄３３ｆは、検体のファイルサイズが格納されている。
ステータス欄３３ｇは、検体の解析状況が格納されている。
【００６８】
図１３には、６種類の検体受付ＤＢ３３のレコードが示されている。
ＩＤ欄３３ａが１のレコードは、受付時間欄３３ｂが「２０１２／０１／０１  １１：０１：００」であり、ターゲット欄３３ｃが「端末Ｄ」であり、検体送信元欄３３ｄが「端末Ｄ」であり、検体データ欄３３ｅが検体のデータ内容であり、検体ファイルサイズ欄３３ｆが「１００」であり、ステータス欄３３ｇが「解析済（マルウェア）」である。
ＩＤ欄３３ａが２のレコードは、受付時間欄３３ｂが「２０１２／０１／０１  １１：０１：００」であり、ターゲット欄３３ｃが「端末Ｂ」であり、検体送信元欄３３ｄが「端末Ｂ」であり、検体データ欄３３ｅが検体のデータ内容であり、検体ファイルサイズ欄３３ｆが「３０」であり、ステータス欄３３ｇが「解析済（マルウェア）」である。
ＩＤ欄３３ａが３のレコードは、受付時間欄３３ｂが「２０１２／０１／０１  １１：０１：００」であり、ターゲット欄３３ｃが「端末Ｃ」であり、検体送信元欄３３ｄが「端末Ｃ」であり、検体データ欄３３ｅが検体のデータ内容であり、検体ファイルサイズ欄３３ｆが「２０」であり、ステータス欄３３ｇが「解析済（非マルウェア）」である。
ＩＤ欄３３ａが４のレコードは、受付時間欄３３ｂが「２０１２／０１／０１  １３：０１：００」であり、ターゲット欄３３ｃが「端末Ｂ」であり、検体送信元欄３３ｄが「メールサーバ」であり、検体データ欄３３ｅが検体のデータ内容であり、検体ファイルサイズ欄３３ｆが「１００」であり、ステータス欄３３ｇが「未解析」である。
ＩＤ欄３３ａが５のレコードは、受付時間欄３３ｂが「２０１２／０１／０１  １３：０１：１０」であり、ターゲット欄３３ｃが「端末Ｃ」であり、検体送信元欄３３ｄが「端末Ｃ」であり、検体データ欄３３ｅが検体のデータ内容であり、検体ファイルサイズ欄３３ｆが「５０」であり、ステータス欄３３ｇが「未解析」である。
ＩＤ欄３３ａが６のレコードは、受付時間欄３３ｂが「２０１２／０１／０１  １３：０１：２０」であり、ターゲット欄３３ｃが「端末Ａ」であり、検体送信元欄３３ｄが「端末Ａ」であり、検体データ欄３３ｅが検体のデータ内容であり、検体ファイルサイズ欄３３ｆが「２００」であり、ステータス欄３３ｇが「未解析」である。
【００６９】
図１４は、第１の実施形態に於ける解析順序決定装置の解析推奨情報ＤＢを示す図である。
解析推奨情報ＤＢ２５には、メールサーバ６、ＷＥＢサーバ７、ＩＤＳ８から解析順序決定装置２が受信した解析推奨情報が蓄積されている。
【００７０】
解析推奨情報ＤＢ２５は、ＩＤ欄２５ａと、解析推奨条件欄２５ｂと、解析推奨度欄２５ｃと、推奨元欄２５ｄの各欄を備えている。
ＩＤ欄２５ａには、解析推奨情報ＤＢ２５の各レコードを一意に識別するのに用いられる。このため、各ＩＤ欄２５ａの値は、解析推奨情報ＤＢ２５内でユニークである。
解析推奨条件欄２５ｂには、解析推奨度が適用される端末５の条件と検体の情報の条件とが格納されている。
解析推奨度欄２５ｃには、適用される解析推奨度が格納されている。
推奨元欄２５ｄには、解析推奨情報の送信元サーバまたは端末５の識別情報が格納されている。
【００７１】
図１４には、１４種類の解析推奨情報ＤＢ２５のレコードが示されている。
ＩＤ欄２５ａが１のレコードは、解析推奨条件欄２５ｂが「ターゲット＝端末Ａ」であり、解析推奨度欄２５ｃが「１」であり、推奨元欄２５ｄが「デフォルト」である。推奨元欄２５ｄが「デフォルト」であるとは、このレコードは、解析推奨情報ＤＢ２５に予め設定されていることを意味する。
ＩＤ欄２５ａが２のレコードは、解析推奨条件欄２５ｂが「ターゲット＝端末Ｂ」であり、解析推奨度欄２５ｃが「５」であり、推奨元欄２５ｄが「デフォルト」である。
ＩＤ欄２５ａが３のレコードは、解析推奨条件欄２５ｂが「ターゲット＝端末Ｃ」であり、解析推奨度欄２５ｃが「４」であり、推奨元欄２５ｄが「デフォルト」である。
ＩＤ欄２５ａが４のレコードは、解析推奨条件欄２５ｂが「ターゲット＝端末Ａ」であり、解析推奨度欄２５ｃが「１」であり、推奨元欄２５ｄが「メールサーバ」である。
ＩＤ欄２５ａが５のレコードは、解析推奨条件欄２５ｂが「ターゲット＝端末Ｂ」であり、解析推奨度欄２５ｃが「３」であり、推奨元欄２５ｄが「メールサーバ」である。
ＩＤ欄２５ａが６のレコードは、解析推奨条件欄２５ｂが「ターゲット＝端末Ｃ」であり、解析推奨度欄２５ｃが「５」であり、推奨元欄２５ｄが「メールサーバ」である。
ＩＤ欄２５ａが７のレコードは、解析推奨条件欄２５ｂが「ターゲット＝端末Ａ」であり、解析推奨度欄２５ｃが「５」であり、推奨元欄２５ｄが「ＷＥＢサーバ」である。
ＩＤ欄２５ａが８のレコードは、解析推奨条件欄２５ｂが「ターゲット＝端末Ｂ」であり、解析推奨度欄２５ｃが「１」であり、推奨元欄２５ｄが「ＷＥＢサーバ」である。
ＩＤ欄２５ａが９のレコードは、解析推奨条件欄２５ｂが「ターゲット＝端末Ｃ」であり、解析推奨度欄２５ｃが「１」であり、推奨元欄２５ｄが「ＷＥＢサーバ」である。
ＩＤ欄２５ａが１０のレコードは、解析推奨条件欄２５ｂが「ターゲット＝端末Ａ」であり、解析推奨度欄２５ｃが「５」であり、推奨元欄２５ｄが「ＩＤＳ」である。
ＩＤ欄２５ａが１１のレコードは、解析推奨条件欄２５ｂが「ターゲット＝端末Ａ」であり、解析推奨度欄２５ｃが「３」であり、推奨元欄２５ｄが「ＩＤＳ」である。
ＩＤ欄２５ａが１２のレコードは、解析推奨条件欄２５ｂが「ターゲット＝端末Ａ」であり、解析推奨度欄２５ｃが「３」であり、推奨元欄２５ｄが「ＩＤＳ」である。
ＩＤ欄２５ａが１３のレコードは、解析推奨条件欄２５ｂが「ファイルサイズ＝１００」であり、解析推奨度欄２５ｃが「２」であり、推奨元欄２５ｄが「検体解析装置」である。このレコードは、ファイルサイズが１００である検体に適用される。
ＩＤ欄２５ａが１４のレコードは、解析推奨条件欄２５ｂが「ターゲット＝端末Ｄ」であり、解析推奨度欄２５ｃが「１０」であり、推奨元欄２５ｄが「検体解析装置」である。
【００７２】
図１５（ａ），（ｂ）は、第１の実施形態に於ける検体解析装置の各ＤＢを示す図である。
【００７３】
図１５（ａ）は、検体解析装置４の解析結果ＤＢ４３を示す図である。
解析結果ＤＢ４３は、検体の解析状況を記録するＤＢであり、検体解析部４１によりレコードが追加または更新される。
解析結果ＤＢ４３は、ＩＤ欄４３ａと、解析受付時間欄４３ｂと、ターゲット欄４３ｃと、検体データ欄４３ｄと、検体ファイルサイズ欄４３ｅと、解析結果欄４３ｆの各欄を備えている。
ＩＤ欄４３ａには、解析結果ＤＢ４３の各レコードを一意に識別するための値が格納されている。このため、各ＩＤ欄４３ａの値は、解析結果ＤＢ４３内でユニークである。
解析受付時間欄４３ｂには、検体を受け付けた時間が格納されている。
ターゲット欄４３ｃには、検体に関連の深い端末５の識別情報が格納されている。
検体データ欄４３ｄには、検体のデータ内容が格納されている。
検体ファイルサイズ欄４３ｅには、検体のファイルサイズが格納されている。
解析結果欄４３ｆには、検体の解析結果を示す「マルウェア」または「非マルウェア」の２値のいずれかが格納されている。
【００７４】
図１５（ａ）の例では、３種類の解析結果ＤＢ４３のレコードが示されている。
ＩＤ欄４３ａが１のレコードは、解析受付時間欄４３ｂが「２０１２／０１／０１  １１：０１：００」であり、ターゲット欄４３ｃが「端末Ｄ」であり、検体データ欄４３ｄが検体のデータ内容であり、検体ファイルサイズ欄４３ｅが「１００」であり、解析結果欄４３ｆが「マルウェア」である。
ＩＤ欄４３ａが２のレコードは、解析受付時間欄４３ｂが「２０１２／０１／０１  １１：０１：１０」であり、ターゲット欄４３ｃが「端末Ｂ」であり、検体データ欄４３ｄが検体のデータ内容であり、検体ファイルサイズ欄４３ｅが「３０」であり、解析結果欄４３ｆが「非マルウェア」である。
ＩＤ欄４３ａが３のレコードは、解析受付時間欄４３ｂが「２０１２／０１／０１  １１：０１：１０」であり、ターゲット欄４３ｃが「端末Ｃ」であり、検体データ欄４３ｄが検体のデータ内容であり、検体ファイルサイズ欄４３ｅが「２０」であり、解析結果欄４３ｆが「非マルウェア」である。
【００７５】
図１５（ｂ）は、検体解析装置４の解析推奨ルールＤＢ４４を示す図である。
解析推奨部４２は、解析推奨ルールＤＢ４４に基づいて、検体解析装置解析推奨情報４９を生成し、解析順序決定装置２に送信する。解析推奨ルールＤＢ４４内のレコードは、検体解析装置４の管理者が入出力装置４ｅを介して設定する。
【００７６】
解析推奨ルールＤＢ４４は、ＩＤ欄４４ａと、適用条件欄４４ｂと、解析推奨ルール欄４４ｃと、解析推奨度欄４４ｄの各欄を備えている。
ＩＤ欄４４ａには、解析推奨ルールＤＢ４４の各レコードを一意に識別するための値が格納されている。このため、各ＩＤ欄４４ａの値は、解析推奨ルールＤＢ４４内でユニークである。
適用条件欄４４ｂには、解析推奨情報を生成する際の、解析結果ＤＢ４３のレコードの適用条件が格納されている。ここでは、検体が不正プログラムであると判定されたことを示す「解析結果がマルウェア」が格納されている。
解析推奨ルール欄４４ｃには、適用条件欄４４ｂに合致した解析結果ＤＢ４３のレコードから、検体解析装置解析推奨情報４９を生成するためのルールが格納されている。
解析推奨度欄４４ｄには、解析推奨ルール欄４４ｃの条件を満たす検体への解析推奨度を格納されている。
【００７７】
図１５（ｂ）の例では、２種類の解析推奨ルールＤＢ４４のレコードが示されている。
ＩＤ欄４４ａが１のレコードは、適用条件欄４４ｂが「解析結果がマルウェア」であり、解析推奨ルール欄４４ｃが「ターゲットが同一」であり、解析推奨度欄４４ｄが「１０」である。
図１５（ａ）の例では、解析結果ＤＢ４３のＩＤ欄４３ａが１のレコードに於いて、解析結果欄４３ｆにマルウェア」が格納されているので、ＩＤ欄４４ａが１のレコードの適用条件欄４４ｂ「解析結果がマルウェア」を満たしている。これにより、解析推奨ルール欄４４ｃ「ターゲットが同一」が適用されるので、ターゲット欄４３ｃ「端末Ｄ」と同一の端末Ｄをターゲットとする検体に対して、解析推奨度＝１０が適用されるように、検体解析装置解析推奨情報４９が生成される。すなわち、検体解析装置解析推奨情報４９は、検体に係わるターゲット端末５の情報がターゲット欄４３ｃに格納されている所定値であるか否かである解析推奨条件と、解析推奨度欄４４ｄに格納されている解析推奨度との組合せを含んでいる。
更にＩＤ欄４４ａが２のレコードの適用条件欄４４ｂ「解析結果がマルウェア」を満たしている。これにより、解析推奨ルール欄４４ｃ「ファイルサイズが同一」が適用されるので、検体ファイルサイズ欄４３ｅ「１００」と同一のファイルサイズである検体に対して、解析推奨度＝２が適用されるように、検体解析装置解析推奨情報４９が生成される。すなわち、検体解析装置解析推奨情報４９は、検体のファイルサイズが検体ファイルサイズ欄４３ｅに格納されている所定値であるか否かである解析推奨条件と、解析推奨度欄４４ｄに格納されている解析推奨度との組合せを含んでいる。
【００７８】
（第１の実施形態の動作）
【００７９】
図１６は、第１の実施形態に於ける端末の検体送信部の処理を示すフローチャートである。
このフローチャートは、検体送信部５１が、端末５内から擬陽性ファイルを検知し、端末解析命令５８を検体受付装置３に送信する処理を示している。ここで擬陽性ファイルとは、当該ファイルがマルウェアである可能性が僅かでもあるファイルのことをいう。この処理は、所定期間（例えば２４時間）ごとに、または、所定契機（端末５の起動、新規プロセスの立ち上げ）に実行される。
ステップＳ１０〜Ｓ１５に於いて、検体送信部５１は、ファイルシステム５３に含まれる各ファイルを処理する。
ステップＳ１１に於いて、検体送信部５１は、当該ファイルを検査する。
ステップＳ１２に於いて、検体送信部５１は、当該ファイルが擬陽性ファイルであるか否かを判断する。検体送信部５１は、当該ファイルに正規の電子署名が施されているか否かを判断し、正規の電子署名が施されていなかったならば、擬陽性ファイルと判断する。検体送信部５１は、当該判断条件が成立したならば（Ｙｅｓ）、ステップＳ１３の処理を行い、当該判断条件が成立しなかったならば（Ｎｏ）、ステップＳ１５の処理を行う。
【００８０】
ステップＳ１３に於いて、検体送信部５１は、当該ファイルが擬陽性ファイルであると検知したので、当該ファイルを解析対象検体５８ａとして含む端末解析命令５８を生成する。
ステップＳ１４に於いて、検体送信部５１は、生成した端末解析命令５８を、検体受付装置３に送信する。送信した端末解析命令５８には更に、当該端末５を識別する端末情報５８ｂも含まれている。
ステップＳ１５に於いて、検体送信部５１は、ファイルシステム５３に含まれる各ファイルを全て処理したか否かを判断する。検体送信部５１は、当該判断条件が成立しなかったならば、ステップＳ１０の処理に戻り、当該判断条件が成立したならば、図１６の処理を終了する。
【００８１】
この処理により、検体送信部５１は、自らのファイルシステム５３に含まれる各ファイルを検査して、擬陽性ファイルであると検知したファイルを検体として検体受付装置３に送信し、当該ファイルがマルウェアであるか否かを判断することができる。
【００８２】
図１７は、第１の実施形態に於けるメールサーバのメール転送部の処理を示すフローチャートである。
このフローチャートは、メール転送部６０が、中継したメールから添付ファイルを発見し、検体送信部６１を呼び出して処理すると共に当該メールを転送する処理を示している。この処理は、メールサーバ６の起動と共に実行される。
ステップＳ２０に於いて、メール転送部６０は、新たなメールを送信元の端末５から受信する。
ステップＳ２１に於いて、メール転送部６０は、当該メールに添付された検体が有るか否かを判断する。メール転送部６０は、当該判断条件が成立したならば（Ｙｅｓ）、ステップＳ２２の処理を行い、当該判断条件が成立しなかったならば（Ｎｏ）、ステップＳ２４の処理を行う。
【００８３】
ステップＳ２２に於いて、検体送信部６１は、送信元の端末５と宛先の端末５と検体データとをメール添付検体ＤＢ６３に記録する。
ステップＳ２３に於いて、検体送信部６１は、検体送信部６１の処理（図１８）を呼びだして、当該検体データを処理する。
ステップＳ２４に於いて、検体送信部６１は、当該メールを送信先の端末５に転送し、ステップＳ２０の処理に戻る。
【００８４】
図１８は、第１の実施形態に於けるメールサーバの検体送信部の処理を示すフローチャートである。
このフローチャートは、検体送信部６１が、メールサーバ６が中継したメールに添付検体（添付ファイル）を発見した際に、この添付検体が擬陽性ファイルならば、メールサーバ解析命令６７を検体受付装置３に送信する処理を示している。ここで擬陽性ファイルとは、当該ファイルがマルウェアである可能性が僅かでもあるファイルのことをいう。この処理は、所定契機（例えば、添付ファイルを含んだ新規メールの受信ごと）に実行され、図１７のステップＳ２３に於いて、検体送信部６１から呼び出されて実行される。
ステップＳ３０に於いて、検体送信部６１は、当該検体が擬陽性ファイルであるか否かを判断する。検体送信部６１は、当該判断条件が成立したならば（Ｙｅｓ）、ステップＳ３１の処理を行い、当該判断条件が成立しなかったならば（Ｎｏ）、図１８の処理を終了する。
【００８５】
ステップＳ３１に於いて、検体送信部６１は、添付検体と、その送信元の端末５の情報とを含んだメールサーバ解析命令６７を生成する。
ステップＳ３２に於いて、検体送信部６１は、メールサーバ解析命令６７を検体受付装置３に送信する。メールサーバ解析命令６７は、解析対象検体６７ａと、当該電子メールの送信元端末情報６７ｂを含んでいる。
ステップＳ３３に於いて、検体送信部６１は、添付検体と、その宛先の端末５の情報とを含んだメールサーバ解析命令６８を生成する。
ステップＳ３４に於いて、検体送信部６１は、メールサーバ解析命令６８を検体受付装置３に送信し、図１８の処理を終了する。メールサーバ解析命令６８は、解析対象検体６８ａと、当該電子メールの宛先端末情報６８ｂを有している。
【００８６】
この処理により、検体送信部６１は、中継したメールの添付ファイルが擬陽性ファイルであることを検知して検体受付装置３に送信し、当該ファイルがマルウェアであるか否かを判断することができる。
【００８７】
図１９は、第１の実施形態に於けるメールサーバの解析推奨部の処理を示すフローチャートである。
このフローチャートは、解析推奨部６２が、解析推奨ルールＤＢ６５からメールサーバ解析推奨情報６９を取得し、解析順序決定装置２に送信する処理を示している。この処理は、所定期間（例えば２４時間）ごとに、または、所定契機（例えば、新規メールの受信ごと）に実行される。
ステップＳ４０に於いて、解析推奨部６２は、解析推奨ルールＤＢ６５の全てのレコードにアクセスし、メールサーバ解析推奨情報６９を取得する。
ステップＳ４１に於いて、解析推奨部６２は、メールサーバ解析推奨情報６９を、解析順序決定装置２に送信し、図１９の処理を終了する。
【００８８】
図２０は、第１の実施形態に於けるＷＥＢサーバのＷＥＢサーバ部の処理を示すフローチャートである。
このフローチャートは、ＷＥＢサーバ部７０が、各端末５からのリクエストに応答する処理を示している。この処理は、ＷＥＢサーバ７の起動と共に実行される。
ステップＳ５０に於いて、ＷＥＢサーバ部７０は、各端末５からりクエストを受信する。
ステップＳ５１に於いて、ＷＥＢサーバ部７０は、当該リクエストを実行する。
ステップＳ５２に於いて、ＷＥＢサーバ部７０は、当該リクエストに対するレスポンスを当該端末５に返信する。
【００８９】
ステップＳ５３に於いて、ＷＥＢサーバ部７０は、当該リクエストによってアップロードファイルを受信したか否かを判断する。ＷＥＢサーバ部７０は、当該判断条件が成立したならば（Ｙｅｓ）、ステップＳ５４の処理を行い、当該判断条件が成立しなかったならば（Ｎｏ）、ステップＳ５０の処理に戻る。
ステップＳ５４に於いて、ＷＥＢサーバ部７０は、検体送信部７１の処理（図２１）を呼び出して、当該アップロードファイルを処理する。
ステップＳ５５に於いて、ＷＥＢサーバ部７０は、アップロードされたファイルに対する保存処理を実行し、ステップＳ５０の処理に戻る。
【００９０】
図２１は、第１の実施形態に於けるＷＥＢサーバの検体送信部の処理を示すフローチャートである。
このフローチャートは、検体送信部７１が、ＷＥＢサーバ７が受信したアップロードファイルから擬陽性ファイルを検知し、ＷＥＢサーバ解析命令７８を検体受付装置３に送信する処理を示している。ここで擬陽性ファイルとは、当該ファイルがマルウェアである可能性が僅かでもあるファイルのことをいう。この処理は、新たなアップロードファイルを受信した契機に実行され、図２０のステップＳ５４に於いて、ＷＥＢサーバ部７０から呼び出されて実行さえる。
ステップＳ６０に於いて、検体送信部７１は、新たにアップロードされた当該ファイル（検体）を走査する。
ステップＳ６１に於いて、検体送信部７１は、当該ファイルが擬陽性ファイルであるか否かを判断する。検体送信部７１は、当該判断条件が成立したならば（Ｙｅｓ）、ステップＳ６２の処理を行い、当該判断条件が成立しなかったならば（Ｎｏ）、図２１の処理を終了する。
ステップＳ６２に於いて、検体送信部７１は、当該ファイルと、当該ファイルをアップロードした端末５の識別情報とを含んだＷＥＢサーバ解析命令７８を生成する。
ステップＳ６３に於いて、検体送信部７１は、生成したＷＥＢサーバ解析命令７８を検体受付装置３に送信する。ＷＥＢサーバ解析命令７８は、当該ファイルである解析対象検体７８ａと、当該ファイルをアップロードした端末５の情報であるアップロード端末情報７８ｂとを含んでいる。
【００９１】
図２２は、第１の実施形態に於けるＷＥＢサーバの解析推奨部の処理を示すフローチャートである。
このフローチャートは、解析推奨部７２が、ログインＤＢ７４および解析推奨ルールＤＢ７５に基づいて決定した解析推奨情報を、ＷＥＢサーバ解析推奨情報７９として、解析順序決定装置２に送信するまでの処理を示している。この処理は、所定時間（例えば２４時間）ごとに、または、所定契機（例えば、新規ファイルの受信ごと）に実行される。
処理を開始すると、ステップＳ７０に於いて、解析推奨部７２は、ログインＤＢ７４に基づき、ログインした全ての端末５を取得する。
ステップＳ７１〜Ｓ７４に於いて、解析推奨部７２は、ＷＥＢサーバ７にログインを試みた全ての端末５について処理を繰り返す。
【００９２】
ステップＳ７２に於いて、解析推奨部７２は、当該端末５のログイン失敗回数をカウントする。
ステップＳ７３に於いて、解析推奨部７２は、解析推奨ルールＤＢ７５に基づいて、当該端末５のログイン失敗回数から解析推奨度を決定する。
ステップＳ７４に於いて、解析推奨部７２は、ログインした全ての端末５を処理したか否かを判断する。解析推奨部７２は、当該判断条件が成立しなかったならば、ステップＳ７１の処理に戻り、当該判断条件が成立したならば、ステップＳ７５の処理を行う。
ステップＳ７５に於いて、解析推奨部７２は、端末情報とログイン失敗回数からＷＥＢサーバ解析推奨情報７９を生成する。
ステップＳ７６に於いて、解析推奨部７２は、ＷＥＢサーバ解析推奨情報７９を解析順序決定装置２に送信し、図２２の処理を終了する。
図１１の例に於いて、端末Ａは、ログイン失敗回数が４回のため、解析推奨度＝５が適用される。端末Ｂと端末Ｃは、ログイン失敗回数がそれぞれ１回のため解析推奨度＝１が適用される。
【００９３】
図２３は、第１の実施形態に於けるＩＤＳの解析推奨部の処理を示すフローチャートである。
このフローチャートは、解析推奨部８２が、侵入検知ＤＢ８４と解析推奨ルールＤＢ８５とに基づいてＩＤＳ解析推奨情報８９を決定し、解析順序決定装置２に送信する処理を示している。この処理は、所定時間（例えば２４時間）ごとに、または、所定契機（例えば、ファイルの受信トラヒックの発生ごと）に実行される。
ステップＳ８０〜Ｓ８２に於いて、解析推奨部８２は、侵入検知ＤＢ８４の全てのレコードについて処理を繰り返す。
ステップＳ８１に於いて、解析推奨部８２は、解析推奨ルールＤＢ８５に基づき、当該レコードの不審活動欄８４ｄに係る解析推奨度を決定する。
【００９４】
ステップＳ８２に於いて、解析推奨部８２は、侵入検知ＤＢ８４の全てのレコードについて処理を繰り返したか否かを判断する。解析推奨部８２は、当該判断条件が成立しなかったならば、ステップＳ８０の処理に戻り、当該判断条件が成立したならば、ステップＳ８３の処理を行う。
ステップＳ８３に於いて、解析推奨部８２は、各レコードの端末欄８４ｃの情報、および、各レコードに係る解析推奨度からＩＤＳ解析推奨情報８９を生成する。
ステップＳ８４に於いて、解析推奨部８２は、ＩＤＳ解析推奨情報８９を解析順序決定装置２に送信し、図２３の処理を終了する。
図１２の例に於いて、解析推奨部８２は、「端末Ａ」と、侵入検知ＤＢ８４のＩＤ欄８４ａが１のレコードの端末欄８４ｃとが合致すると判断して、不審活動欄８４ｄの「アドレススキャン」を取得する。解析推奨部８２は、取得した「アドレススキャン」と、解析推奨ルールＤＢ８５の各レコードの不審活動欄８５ｂに格納された値とを比較して、合致するレコードの解析推奨度欄８５ｃを取得する。解析推奨部８２が取得した値は、解析推奨度＝１である。
次に解析推奨部８２は、「端末Ａ」と、侵入検知ＤＢ８４のＩＤ欄８４ａが２のレコードの端末欄８４ｃとが合致すると判断して、不審活動欄８４ｄの「アドレススキャン」を取得する。解析推奨部８２は、取得した「アドレススキャン」と、解析推奨ルールＤＢ８５の各レコードの不審活動欄８５ｂに格納された値とを比較して、合致するレコードの解析推奨度欄８５ｃを取得する。解析推奨部８２が取得した値は、解析推奨度＝１である。
次に解析推奨部８２は、「端末Ａ」と、侵入検知ＤＢ８４のＩＤ欄８４ａが３のレコードの端末欄８４ｃとが合致すると判断して、不審活動欄８４ｄの「脆弱性攻撃」を取得する。解析推奨部８２は、取得した「脆弱性攻撃」と、解析推奨ルールＤＢ８５の各レコードの不審活動欄８５ｂに格納された値とを比較して、合致するレコードの解析推奨度欄８５ｃを取得する。解析推奨部８２が取得した値は、解析推奨度＝５である。
次に解析推奨部８２は、「端末Ａ」と、侵入検知ＤＢ８４のＩＤ欄８４ａが５のレコードの端末欄８４ｃとが合致すると判断して、不審活動欄８４ｄの「マルウェア送信」を取得する。解析推奨部８２は、取得した「マルウェア送信」と、解析推奨ルールＤＢ８５の各レコードの不審活動欄８５ｂに格納された値とを比較して、合致するレコードの解析推奨度欄８５ｃを取得する。解析推奨部８２が取得した値は、解析推奨度＝５である。
次に解析推奨部８２は、「端末Ａ」と、侵入検知ＤＢ８４のＩＤ欄８４ａ＝６のレコードの端末欄８４ｃとが合致すると判断して、不審活動欄８４ｄの「マルウェア受信」を取得する。解析推奨部８２は、取得した「マルウェア受信」と、解析推奨ルールＤＢ８５の各レコードの不審活動欄８５ｂに格納された値とを比較して、合致するレコードの解析推奨度欄８５ｃを取得する。解析推奨部８２が取得した値は、解析推奨度＝５である。
【００９５】
図２４は、第１の実施形態に於ける検体受付装置の処理を示すフローチャートである。
このフローチャートは、検体受付部３１が、端末５の端末解析命令５８、メールサーバ６のメールサーバ解析命令６７，６８、ＷＥＢサーバ７のＷＥＢサーバ解析命令７８のいずれかを受信し、検体受付ＤＢ３３に登録する処理を示している。この処理は、検体受付装置３の起動と共に実行される。
ステップＳ９０に於いて、検体受付部３１は、端末解析命令５８、メールサーバ解析命令６７，６８、ＷＥＢサーバ解析命令７８のいずれかを受信する。
【００９６】
ステップＳ９１に於いて、検体受付部３１は、受信した解析命令の種類を判断する。検体受付部３１は、端末解析命令５８を受信したと判断したならば、ステップＳ９２の処理を行い、メールサーバ解析命令６７，６８を受信したと判断したならば、ステップＳ９４の処理を行い、ＷＥＢサーバ解析命令７８を受信したと判断したならば、ステップＳ９６の処理を行う。
ステップＳ９２に於いて、検体受付部３１は、受信した端末解析命令５８の解析対象検体５８ａを、検体受付ＤＢ３３の検体データ欄３３ｅに登録する。
ステップＳ９３に於いて、検体受付部３１は、端末解析命令５８の端末情報５８ｂを、検体受付ＤＢ３３のターゲット欄３３ｃに登録し、ステップＳ９８の処理を行う。
ステップＳ９４に於いて、検体受付部３１は、受信したメールサーバ解析命令６７の解析対象検体６７ａまたはメールサーバ解析命令６８の解析対象検体６８ａを、検体受付ＤＢ３３の検体データ欄３３ｅに登録する。
【００９７】
ステップＳ９５に於いて、検体受付部３１は、メールサーバ解析命令６７の送信元端末情報６７ｂまたはメールサーバ解析命令６８の宛先端末情報６８ｂを、検体受付ＤＢ３３のターゲット欄３３ｃに登録し、ステップＳ９８の処理を行う。
ステップＳ９６に於いて、検体受付部３１は、受信したＷＥＢサーバ解析命令７８の解析対象検体７８ａを、検体受付ＤＢ３３の検体データ欄３３ｅに登録する。
ステップＳ９７に於いて、検体受付部３１は、ＷＥＢサーバ解析命令７８のアップロード端末情報７８ｂを、検体受付ＤＢ３３のターゲット欄３３ｃに登録し、ステップＳ９８の処理を行う。
【００９８】
ステップＳ９８に於いて、検体受付部３１は、当該解析命令の送信元の装置を、検体受付ＤＢ３３の検体送信元欄３３ｄに登録する。
ステップＳ９９に於いて、検体受付部３１は、当該検体データ欄３３ｅに格納された検体のファイルサイズを、検体受付ＤＢ３３の検体ファイルサイズ欄３３ｆに登録し、ステップＳ９０の処理に戻る。
【００９９】
ステップＳ９０〜Ｓ９９の処理により、各レコードのステータス欄３３ｇは、全て初期値である「未解析」となる。
検体受付部３１が端末解析命令５８を受信した場合、ターゲット欄３３ｃには、端末情報５８ｂが格納され、検体送信元欄３３ｄには、端末５の識別情報が格納される。この端末情報５８ｂには、端末５の識別情報が格納されている。
検体受付部３１がメールサーバ解析命令６７を受信した場合、ターゲット欄３３ｃには、送信元端末情報６７ｂが格納され、検体送信元欄３３ｄには、メールサーバ６を示す「メールサーバ」が格納される。
検体受付部３１がメールサーバ解析命令６８を受信した場合、ターゲット欄３３ｃには、宛先端末情報６８ｂが格納され、検体送信元欄３３ｄには、メールサーバ６を示す「メールサーバ」が格納される。
検体受付部３１がＷＥＢサーバ解析命令７８を受信した場合、ターゲット欄３３ｃには、アップロード端末情報７８ｂが格納され、検体送信元欄３３ｄには、ＷＥＢサーバ７を示す「ＷＥＢサーバ」が格納される。
【０１００】
図２５は、第１の実施形態に於ける検体受付装置の解析順序問合せ部の処理を示すフローチャートである。
このフローチャートは、解析順序問合せ部３２が、検体解析装置４からの検体解析結果４８を受信し、解析順序決定装置２への検体の解析順序リスト２９を問合せて、検体解析装置４に検体解析依頼３８を送信する処理を示している。この処理は、検体受付装置３の起動と共に実行される。
ステップＳ１００に於いて、解析順序問合せ部３２は、解析順序決定依頼３９を解析順序決定装置２に送信する。解析順序決定依頼３９には、検体受付ＤＢ３３のステータス欄３３ｇが「未解析」であるレコードが含まれている。図１３の例ではＩＤ欄３３ａが４〜６であるレコードが送信される。
ステップＳ１０１に於いて、解析順序問合せ部３２は、解析順序リスト２９を解析順序決定装置２から受信する。解析順序リスト２９には、解析順序決定依頼３９に含まれるＩＤ欄３３ａが、解析優先度が高い順序で並んでいる。
ステップＳ１０２〜Ｓ１０６に於いて、解析順序問合せ部３２は、解析順序リスト２９の順に各検体を処理する。
【０１０１】
ステップＳ１０３に於いて、解析順序問合せ部３２は、当該検体に係る検体解析依頼３８を、検体解析装置４に送信する。
ステップＳ１０４に於いて、解析順序問合せ部３２は、当該検体解析依頼３８に係る検体解析結果４８を検体解析装置４から受信する。
ステップＳ１０５に於いて、解析順序問合せ部３２は、検体解析結果４８を検体受付ＤＢ３３のステータス欄３３ｇに反映させ「解析済（マルウェア）」または「解析済（非マルウェア）」のいずれかに変更する。
ステップＳ１０６に於いて、解析順序問合せ部３２は、解析順序リスト２９の順に全て検体を処理したか否かを判断する。解析順序問合せ部３２は、当該判断条件が成立しなかったならば、ステップＳ１０２の処理に戻り、当該判断条件が成立したならば、ステップＳ１００の処理に戻る。
【０１０２】
図２６は、第１の実施形態に於ける解析順序決定装置の解析推奨情報受付部の処理を示すフローチャートである。
このフローチャートは、解析推奨情報受付部２１が、メールサーバ６のメールサーバ解析推奨情報６９、ＷＥＢサーバ７のＷＥＢサーバ解析推奨情報７９、ＩＤＳ８のＩＤＳ解析推奨情報８９、検体解析装置４の検体解析装置解析推奨情報４９を受信し、解析推奨情報ＤＢ２５に保管する処理を示している。この処理は、解析順序決定装置２の起動と共に実行される。
【０１０３】
ステップＳ１１０に於いて、解析推奨情報受付部２１は、メールサーバ解析推奨情報６９、ＷＥＢサーバ解析推奨情報７９、ＩＤＳ解析推奨情報８９、検体解析装置解析推奨情報４９のいずれかを受信する。
ステップＳ１１１に於いて、解析推奨情報受付部２１は、受信した解析推奨情報の種類を判断する。解析推奨情報受付部２１は、メールサーバ解析推奨情報６９を受信したと判断したならば、ステップＳ１１２の処理を行い、ＷＥＢサーバ解析推奨情報７９を受信したと判断したならば、ステップＳ１１３の処理を行い、ＩＤＳ解析推奨情報８９を受信したと判断したならば、ステップＳ１１４の処理を行い、検体解析装置解析推奨情報４９を受信したと判断したならば、ステップＳ１１５の処理を行う。
ステップＳ１１２に於いて、解析推奨情報受付部２１は、解析推奨情報ＤＢ２５から、推奨元欄２５ｄが「メールサーバ」であるレコードを全て削除し、ステップＳ１１６の処理を行う。これにより、メールサーバ６が過去に送信したメールサーバ解析推奨情報６９に係るレコードを削除し、常に最新の情報に基づいて解析順序を決定することができる。
【０１０４】
ステップＳ１１３に於いて、解析推奨情報受付部２１は、解析推奨情報ＤＢ２５から、推奨元欄２５ｄが「ＷＥＢサーバ」であるレコードを全て削除し、ステップＳ１１６の処理を行う。これにより、ＷＥＢサーバ７が過去に送信したＷＥＢサーバ解析推奨情報７９に係るレコードを削除し、常に最新の情報に基づいて解析順序を決定することができる。
ステップＳ１１４に於いて、解析推奨情報受付部２１は、解析推奨情報ＤＢ２５から、推奨元欄２５ｄが「ＩＤＳ」であるレコードを全て削除し、ステップＳ１１６の処理を行う。これにより、ＩＤＳ８が過去に送信したＩＤＳ解析推奨情報８９に係るレコードを削除し、常に最新の情報に基づいて解析順序を決定することができる。
ステップＳ１１５に於いて、解析推奨情報受付部２１は、解析推奨情報ＤＢ２５から、推奨元欄２５ｄが「検体解析装置」であるレコードを全て削除し、ステップＳ１１６の処理を行う。これにより、検体解析装置４が過去に送信した検体解析装置解析推奨情報４９に係るレコードを削除し、常に最新の情報に基づいて解析順序を決定することができる。
ステップＳ１１５に於いて、解析推奨情報受付部２１は、受信した当該解析推奨情報を、解析推奨情報ＤＢ２５に登録し、ステップＳ１１０の処理に戻る。
【０１０５】
図２７は、第１の実施形態に於ける解析順序決定装置の解析順序決定部の処理を示すフローチャートである。
このフローチャートは、解析順序決定部２０が、検体受付装置３から受信した解析順序決定依頼３９に対する解析順序リスト２９を作成し、検体受付装置３に送信する処理を示している。この処理は、解析順序決定装置２の起動と共に実行される。
【０１０６】
ステップＳ１２０に於いて、解析順序決定部２０は、検体受付装置３から解析順序決定依頼３９を受信する。解析順序決定依頼３９には、解析順序を決定する対象となる検体受付ＤＢ３３の各レコードが含まれる。
ステップＳ１２１〜Ｓ１２６に於いて、解析順序決定部２０は、解析順序決定依頼３９の全項目を繰り返し処理する。
ステップＳ１２２〜Ｓ１２５に於いて、解析順序決定部２０は、解析推奨情報ＤＢ２５の全レコードを繰り返し処理する。
ステップＳ１２３に於いて、解析順序決定部２０は、解析順序決定依頼３９の当該項目は、解析推奨情報ＤＢ２５の当該レコードの解析推奨条件欄２５ｂの条件が成立するか否かを判断する。解析順序決定部２０は、当該判断条件が成立しなかったならば（Ｎｏ）、ステップＳ１２５の処理を行い、当該判断条件が成立したならば（Ｙｅｓ）、ステップＳ１２４の処理を行う。
ステップＳ１２４に於いて、解析順序決定部２０は、解析推奨情報ＤＢ２５の当該レコードの解析推奨度欄２５ｃの値を、解析順序決定依頼３９の当該項目の解析推奨度に加算する。
【０１０７】
ステップＳ１２５に於いて、解析順序決定部２０は、解析推奨情報ＤＢ２５の全てのレコードを処理したか否かを判断する。解析順序決定部２０は、当該判断条件が成立しなかったならば、ステップＳ１２２の処理に戻り、当該判断条件が成立したならば、ステップＳ１２６の処理を行う。
ステップＳ１２６に於いて、解析順序決定部２０は、解析順序決定依頼３９の全項目を処理したか否かを判断する。解析順序決定部２０は、当該判断条件が成立しなかったならば、ステップＳ１２１の処理に戻り、当該判断条件が成立したならば、ステップＳ１２７の処理を行う。ステップＳ１２１〜Ｓ１２６の処理により、解析順序決定依頼３９の各項目の解析推奨度は、解析推奨情報ＤＢ２５の解析推奨条件欄２５ｂが一致するレコードの解析推奨度欄２５ｃの合計値となる。
ステップＳ１２７に於いて、解析順序決定部２０は、解析順序決定依頼３９の各項目を解析推奨度が高い順に並べ替えて、解析順序リスト２９を生成する。
ステップＳ１２８に於いて、解析順序決定部２０は、生成した解析順序リスト２９を検体受付装置３に送信し、図２７の処理を終了する。
【０１０８】
図１３、図１４の例では、解析順序決定部２０は、検体受付ＤＢ３３のＩＤ欄３３ａが４のレコードに対応する解析順序決定依頼３９の項目を、検体受付装置３から受信する。このとき、解析順序決定依頼３９は、「ターゲット＝端末Ｂ」と「ファイルサイズ＝１００」の情報とを含んでいる。解析順序決定部２０は、解析推奨情報ＤＢ２５の解析推奨条件欄２５ｂが「ターゲット＝端末Ｂ」に該当するＩＤ欄３３ａが２，５，８のレコードと、解析推奨条件欄２５ｂが「ファイルサイズ＝１００」に該当するＩＤ欄３３ａが１３のレコードとを取得する。ＩＤ欄３３ａが２，５，８，１３の解析推奨度欄２５ｃの合計値である１２が、当該項目に対する解析推奨度となる。
次に解析順序決定部２０は、検体受付ＤＢ３３のＩＤ欄３３ａが５のレコードに対応する解析順序決定依頼３９の項目を、検体受付装置３から受信する。このとき、解析順序決定依頼３９は、「ターゲット＝端末Ｃ」の情報と、「ファイルサイズ＝３０」の情報とを含んでいる。解析順序決定部２０は、解析推奨情報ＤＢ２５の解析推奨条件欄２５ｂが「ターゲット＝端末Ｃ」に該当するＩＤ欄３３ａが３，６，９のレコードを取得する。ＩＤ欄３３ａが３，６，９の解析推奨度欄２５ｃの合計値である１０が、当該項目に対する解析推奨度となる。
次に解析順序決定部２０は、検体受付ＤＢ３３のＩＤ欄３３ａが６のレコードに対応する解析順序決定依頼３９の項目を、検体受付装置３から受信する。このとき、解析順序決定依頼３９は、「ターゲット＝端末Ａ」の情報と、「ファイルサイズ＝２００」の情報とを含んでいる。解析順序決定部２０は、解析推奨情報ＤＢ２５の解析推奨条件欄２５ｂが「ターゲット＝端末Ａ」に該当するＩＤ欄３３ａが１，４，７，１０，１１，１２のレコードを取得する。ＩＤ欄３３ａが１，４，７，１０，１１，１２の解析推奨度欄２５ｃの合計値である１８が、当該項目に対する解析推奨度となる。
【０１０９】
図２８は、第１の実施形態に於ける検体解析装置の検体解析部の処理を示すフローチャートである。
このフローチャートは、検体解析部４１が検体解析依頼３８を受信し、検体解析を実施し、検体解析結果４８を送信する処理を示している。この処理は、検体解析装置４の起動と共に実行される。
ステップＳ１３０に於いて、検体解析部４１は、検体受付装置３から検体解析依頼３８を受信する。検体解析依頼３８は、解析対象検体３８ａと、端末情報３８ｂとを含んでいる。
ステップＳ１３１に於いて、検体解析部４１は、解析結果ＤＢ４３に新しいレコードを追加し、検体解析依頼３８を記録する。検体解析部４１は、ＩＤ欄４３ａに追番を記録し、解析受付時間欄４３ｂに現在の時刻を記録し、ターゲット欄４３ｃに端末情報３８ｂを記録し、解析対象検体３８ａを検体データ欄４３ｄに記録し、検体ファイルサイズ欄４３ｅに解析対象検体３８ａのファイルサイズを記録し、解析結果欄４３ｆは空白とする。
【０１１０】
ステップＳ１３２に於いて、検体解析部４１は、解析対象検体３８ａに対する検体解析を実施して、検体解析結果４８を取得する。検体解析結果４８は、解析受付時間の情報と、ターゲットの端末情報と、当該検体のデータと、当該検体のサイズと、判定結果とを含んでいる。
ステップＳ１３３に於いて、検体解析部４１は、検体解析結果４８を、解析結果ＤＢ４３の当該レコードに記録する。検体解析部４１は、解析結果欄４３ｆに「マルウェア」または「非マルウェア」の値を設定する。
ステップＳ１３４に於いて、検体解析部４１は、検体解析結果４８を、検体受付装置３に送信する。検体解析結果４８には、ＩＤ欄４３ａおよび解析結果欄４３ｆが含まれる。
ステップＳ１３５に於いて、検体解析部４１は、解析推奨部４２による処理（図２９）を行い、ステップＳ１３０の処理に戻る。
【０１１１】
図２９は、第１の実施形態に於ける検体解析装置の解析推奨部の処理を示すフローチャートである。
このフローチャートは、解析推奨部４２が解析推奨ルールＤＢ４４に基づいて解析結果ＤＢ４３から検体解析装置解析推奨情報４９を生成し、解析順序決定装置２に送信する処理を示している。この処理は、図２８のステップＳ１３４に於いて、検体解析部４１から呼び出されて実行される。
ステップＳ１４０〜Ｓ１４６に於いて、解析推奨部４２は、解析結果ＤＢ４３の全ての新規登録レコードを処理する。
ステップＳ１４１〜Ｓ１４５に於いて、解析推奨部４２は、解析推奨ルールＤＢ４４の全レコードを処理する。
【０１１２】
ステップＳ１４２に於いて、解析推奨部４２は、解析結果ＤＢ４３の当該レコードが、解析推奨ルールＤＢ４４の適用条件欄４４ｂを満たすか否かを判断する。解析推奨部４２は、当該判断条件が成立したならば（Ｙｅｓ）、ステップＳ１４３の処理を行い、当該判断条件が成立しなかったならば（Ｎｏ）、ステップＳ１４５の処理を行う。
ステップＳ１４３に於いて、解析推奨部４２は、解析推奨ルールＤＢ４４の当該レコードに於ける解析推奨ルール欄４４ｃから、解析推奨条件を生成する。
ステップＳ１４４に於いて、解析推奨部４２は、検体解析装置解析推奨情報４９に、当該解析推奨条件と解析推奨度との組合せを追加する。
ステップＳ１４５に於いて、解析推奨部４２は、解析推奨ルールＤＢ４４の全レコードを処理したか否かを判断する。
ステップＳ１４６に於いて、解析推奨部４２は、解析結果ＤＢ４３の全ての新規登録レコードを処理したか否かを判断する。
ステップＳ１４７に於いて、解析推奨部４２は、検体解析装置解析推奨情報４９を解析順序決定装置２に送信し、図２９の処理を終了する。
【０１１３】
図１５の例では、解析結果ＤＢ４３のＩＤ欄４３ａが１のレコードは、解析結果欄４３ｆに「マルウェア」が格納されている。図２９の処理に於いて、解析推奨部４２は、解析推奨ルールＤＢ４４のＩＤ欄４４ａが１のレコードに於ける、適用条件欄４４ｂ「解析結果がマルウェア」を適用する。解析推奨部４２は、解析推奨ルール欄４４ｃ「ターゲットが同一」に基づき、解析推奨条件「ターゲット＝端末Ｄ」を生成し、検体解析装置解析推奨情報４９に、解析推奨条件と解析推奨度欄４４ｄ「１０」との組合せを追加する。
更に、解析推奨部４２は、解析推奨ルールＤＢ４４のＩＤ欄４４ａが２のレコードに於ける、適用条件欄４４ｂ「解析結果がマルウェア」を適用する。解析推奨部４２は、解析推奨ルール欄４４ｃ「ファイルサイズが同一」に基づき、解析推奨条件「ファイルサイズ＝１００」を生成し、検体解析装置解析推奨情報４９に、解析推奨条件と解析推奨度欄４４ｄ「２」との組合せを追加する。
【０１１４】
（第１の実施形態の効果）
以上説明した第１の実施形態では、次の（Ａ）〜（Ｍ）のような効果がある。
【０１１５】
（Ａ）  プログラム解析システム１は、解析対象である複数の検体に対する解析順序を決定し、当該解析順序で各検体の解析を行っている。これにより、解析を優先すべき検体から順に解析することができるので、新たなマルウェアによる攻撃に対して迅速に対処することができる。
【０１１６】
（Ｂ）  プログラム解析システム１は、解析対象検体５８ａ，６７ａ，６８ａ、７８ａの情報、または、これらに係るターゲット端末５の識別情報が、解析推奨条件を満たすか否かを判断して、解析推奨条件を満たす場合の解析推奨度を合計している。複数の異なる装置から受信した解析推奨情報に係る解析推奨度を合計しているので、偏りのない客観的な解析推奨度を算出して、妥当性の高い解析順序で解析対象検体５８ａ，６７ａ，６８ａ、７８ａを解析することができる。
【０１１７】
（Ｃ）  プログラム解析システム１は、解析対象検体５８ａ，６７ａ，６８ａ、７８ａに係るターゲット端末５の識別情報が所定値であるか否かを判断して、解析優先度を決定している。これにより、プログラム解析システム１は、マルウェアに感染している虞を有している端末５に係る解析対象検体５８ａ，６７ａ，６８ａ，７８ａの解析優先度を上げて、早期に解析を行うことができる。
【０１１８】
（Ｄ）  プログラム解析システム１は、解析対象検体５８ａ，６７ａ，６８ａ，７８ａのファイルサイズが所定値であるか否かを判断して、解析優先度を決定している。これにより、プログラム解析システム１は、マルウェアに感染している虞を有している解析対象検体５８ａ，６７ａ，６８ａ，７８ａの解析優先度を上げて、早い順番で解析を行うことができる。
【０１１９】
（Ｅ）  検体解析装置４は、解析対象検体５８ａ，６７ａ，６８ａ，７８ａがマルウェアであったとき、解析推奨ルール欄４４ｃに基づいて、検体解析装置解析推奨情報４９を生成している。これにより、検体解析装置４は、マルウェアの可能性が高い検体に係る特徴情報や、この検体に係るターゲット端末５の特徴情報を抽出して、これらの特徴情報に合致する検体の解析優先度を上げて、早い順番で解析を行うことができる。
【０１２０】
（Ｆ）  端末５は、ファイルが不審プログラムであるか否かを判断し、不審プログラムと判断されたファイルを端末解析命令５８の解析対象検体５８ａとして、検体受付装置３に送信している。これにより、端末５は、予めスクリーニングした不審ファイルのみを解析対象検体５８ａとしているので、解析負荷を低減させることができる。
【０１２１】
（Ｇ）  端末５、メールサーバ６、ＷＥＢサーバ７は、ファイルが不審プログラムであるか否かを判断し、不審プログラムと判断されたファイルを検体としており、この検体およびこの検体に係る端末５の識別情報を検体受付装置３に送信している。これにより、プログラム解析システム１は、この検体の情報に加えて、この検体に係る端末５の識別情報によって、解析優先度を決定することができるので、既にマルウェアに感染している端末５に係る検体の解析優先度を上げて、早い順番で解析を行うことができる。
【０１２２】
（Ｈ）  端末５は、ファイルシステム５３に格納されているファイルを検査している。これにより、端末５は、自身の環境に侵入したマルウェアを検知することが可能となる。
【０１２３】
（Ｉ）  メールサーバ６は、中継している電子ファイルの添付ファイルを検査している。これにより、メールサーバ６は、電子メールの添付ファイルを介して侵入するマルウェアを検知することが可能となる。
【０１２４】
（Ｊ）  ＷＥＢサーバ７は、アップロードされたファイルを検査している。これにより、ＷＥＢサーバ７は、アップロードされたファイルに含まれるマルウェアを検知することが可能となる。
【０１２５】
（Ｋ）  メールサーバ６、ＷＥＢサーバ７、ＩＤＳ８は、各端末５の動作を記憶手段に記憶し、記憶された各端末５の動作を評価することにより、各端末５に対する解析推奨度を更新し、端末５の情報が所定値であるか否かである解析推奨条件と、それに対する解析推奨度との組合せを含んだ解析推奨情報（第２の解析推奨情報）を検体受付装置３に送信している。これにより、プログラム解析システム１は、マルウェアに侵入された端末５をいち早く察知して、この端末５をターゲットとする検体の解析優先度を上げて、早い順番で解析を行うことができる。
【０１２６】
（Ｌ）  メールサーバ６は、各端末５のログインの成功と失敗とを記憶手段に記憶し、ログインの失敗回数が閾値を超えたか否かを評価して、各端末５に対する前記解析推奨度を更新している。メールサーバ６は、端末５に侵入したマルウェアが自動アクセスでログインを試みたことを検知して、この端末５の解析推奨度を上げる。これにより、プログラム解析システム１は、この端末５をターゲットとする検体の解析優先度を上げて、早い順番で解析を行うことができる。
【０１２７】
（Ｍ）  ＩＤＳ８は、各端末５のネットワーク活動を評価して記憶手段に記憶し、各端末５に係る解析推奨条件に対する前記解析推奨度を更新している。ＩＤＳ８は、不審なネットワーク活動を行っている端末５の解析推奨度を上げる。これにより、プログラム解析システム１は、この端末５をターゲットとする検体の解析優先度を上げて、早い順番で解析を行うことができる。
【０１２８】
（変形例）
本発明は、上記実施形態に限定されることなく、本発明の趣旨を逸脱しない範囲で、変更実施が可能であり、例えば、次の（ａ）〜（ｈ）のようなものがある。
【０１２９】
（ａ）  第１の実施形態のプログラム解析システム１は、検体情報と端末情報とを含んだ解析命令を受信している。しかし、これに限られず、プログラム解析システム１は、検体情報のみを受信するようにしてもよい。これにより、プログラム解析システム１は、送受信する情報量を削減して、ネットワーク負荷を低減することができる。
【０１３０】
（ｂ）  第１の実施形態のプログラム解析システム１は、解析順序決定装置２と、検体受付装置３と、検体解析装置４とを備えている。しかし、これに限られず、プログラム解析システム１のサーバ構成は任意のものでもよく、例えば、単一のサーバ装置の図示しない処理手段に、検体受付部３１と、解析順序問合せ部３２と、解析順序決定部２０と、解析推奨情報受付部２１と、検体解析部４１と、解析推奨部４２とを備え、このサーバ装置の図示しない記憶手段に、検体受付ＤＢ３３と、解析推奨情報ＤＢ２５と、解析結果ＤＢ４３と、解析推奨ルールＤＢ４４とを備えていてもよい。これにより、３台のサーバ装置の構成を、１台のサーバ装置で実現することができると共に、ネットワークトラヒックを低減して、ネットワーク負荷を減らすことができる。
【０１３１】
（ｃ）  第１の実施形態のプログラム解析システム１は、検体情報と端末情報とを含んだ解析命令を受信している。しかし、これに限られず、プログラム解析システム１は、検体情報と検体のメタ情報と端末情報とを受信するようにしてもよい。検体のメタ情報とは、例えば検体のファイル名、拡張子、ファイルのプロパティ情報、検体を発見した日時情報などである。これにより、プログラム解析システム１は、マルウェアと同一のファイル名や、マルウェアと同一のプロパティ情報を有する検体の解析推奨度を上げることができる。
【０１３２】
（ｄ）  第１の実施形態のプログラム解析システム１は、検体情報と端末情報とを含んだ解析命令を受信している。しかし、これに限られず、プログラム解析システム１は、検体情報と端末情報と端末５のメタ情報とを受信するようにしてもよい。端末５のメタ情報とは、例えば端末５の地域情報、端末５にインストールされているＯＳ（Operating System）の種類やバージョン、端末５が属するネットワークの情報などである。これにより、プログラム解析システム１は、マルウェアが存在する端末５と同一の地域やネットワークに属する端末５の解析推奨度を上げて、この端末５に係る検体の解析優先度を上げることができる。
【０１３３】
（ｅ）  第１の実施形態の各クライアント装置は、各ファイルに正規の電子署名が施されているか否かを判断し、正規の電子署名が施されていなかったならば、擬陽性ファイルと判断している。しかし、これに限られず、各クライアント装置は、例えば、未知のファイルを擬陽性ファイルと判定してもよく、または、簡易なマルウェア・データベースによって、簡易な検体解析を行うことにより、擬陽性ファイルであるか否かを判定してもよい。
【０１３４】
（ｆ）  本発明の各クライアント装置は、例えばルータ、スイッチなどに代表されるネットワーク装置であってもよい。
【０１３５】
（ｇ）  本発明のメールサーバ６，ＷＥＢサーバ７，ＩＤＳ８は、端末５と同様に、自らのファイルシステムに含まれるファイルを検査して、検出した擬陽性ファイルをプログラム解析システム１に送信してもよい。
【０１３６】
（ｈ）  本発明の解析順序決定装置２は、記憶手段に各クライアント装置の重要度に応じた重み付けＤＢを備え、各クライアント装置に係る検体の解析推奨度を算出したときに、この重み付けＤＢに記録された重み付け係数を、この解析推奨度に乗算してもよい。これにより、解析順序決定装置２は、各クライアント装置の重要度に応じた解析推奨度とすることにより、重要度の高いクライアント装置に係る検体の解析優先度を上げることができる。
【符号の説明】
【０１３７】
１  プログラム解析システム
２  解析順序決定装置
２０  解析順序決定部  （解析順序決定手段）
２１  解析推奨情報受付部  （検体解析手段）
２５  解析推奨情報ＤＢ
２５ｂ  条件欄  （解析推奨条件）
２５ｃ  解析推奨度欄  （解析推奨度）
２９  解析順序リスト
３  検体受付装置
３１  検体受付部  （検体受付手段）
３２  解析順序問合せ部
３３  検体受付ＤＢ
３８  検体解析依頼
３９  解析順序決定依頼
４  検体解析装置
４１  検体解析部  （検体解析手段）
４２  解析推奨部  （解析推奨手段）
４３  解析結果ＤＢ
４４  解析推奨ルールＤＢ
４４ｂ  適用条件欄  （所定の適用条件）
４４ｃ  解析推奨ルール欄  （所定の解析推奨ルール）
４８  検体解析結果
４９  検体解析装置解析推奨情報  （第１の解析推奨情報）
５  端末  （クライアント装置の一例）
５１  検体送信部
５３  ファイルシステム
５８  端末解析命令
６  メールサーバ  （クライアント装置の一例）
６０  メール転送部
６１  検体送信部
６２  解析推奨部
６３  メール添付検体ＤＢ
６５  解析推奨ルールＤＢ
６７  メールサーバ解析命令
６８  メールサーバ解析命令
６９  メールサーバ解析推奨情報
７  ＷＥＢサーバ  （クライアント装置の一例）
７０  ＷＥＢサーバ部
７１  検体送信部
７２  解析推奨部
７３  ＷＥＢ添付検体ＤＢ
７４  ログインＤＢ
７５  解析推奨ルールＤＢ
７８  ＷＥＢサーバ解析命令
７９  ＷＥＢサーバ解析推奨情報  （第２の解析推奨情報）
８  ＩＤＳ  （クライアント装置の一例）
８０  侵入検知部
８２  解析推奨部
８４  侵入検知ＤＢ
８５  解析推奨ルールＤＢ
８９  ＩＤＳ解析推奨情報  （第２の解析推奨情報）
９  通信ネットワーク
【図１】
2014089609.tif 000003
【図２】
2014089609.tif 000004
【図３】
2014089609.tif 000005
【図４】
2014089609.tif 000006
【図５】
2014089609.tif 000007
【図６】
2014089609.tif 000008
【図７】
2014089609.tif 000009
【図８】
2014089609.tif 000010
【図９】
2014089609.tif 000011
【図１０】
2014089609.tif 000012
【図１１】
2014089609.tif 000013
【図１２】
2014089609.tif 000014
【図１３】
2014089609.tif 000015
【図１４】
2014089609.tif 000016
【図１５】
2014089609.tif 000017
【図１６】
2014089609.tif 000018
【図１７】
2014089609.tif 000019
【図１８】
2014089609.tif 000020
【図１９】
2014089609.tif 000021
【図２０】
2014089609.tif 000022
【図２１】
2014089609.tif 000023
【図２２】
2014089609.tif 000024
【図２３】
2014089609.tif 000025
【図２４】
2014089609.tif 000026
【図２５】
2014089609.tif 000027
【図２６】
2014089609.tif 000028
【図２７】
2014089609.tif 000029
【図２８】
2014089609.tif 000030
【図２９】
2014089609.tif 000031