(57)【要約】本発明は、コンテンツファイルアクセス制御を利用したランサムウェア遮断装置に関するもので、ユーザコンピュータで開始が検知されたプロセスのプログラムが信頼できるプログラムか否かを確認し、前記プログラムの親プロセスが信頼できるプログラムか否かを確認して、前記プログラムがコンテンツファイルへのアクセスが許容されるプログラムか否かを判断するアクセス許容プログラム確認部、保護しようとするコンテンツファイル情報を登録したホワイトリスト登録部、および前記プロセスのプログラムが前記アクセス許容プログラム確認部で判断したコンテンツファイルへのアクセスが許容されるプログラムである場合に、前記プロセスが前記ホワイトリスト登録部に登録されている前記コンテンツファイルにアクセスすることを許容し、前記プロセスのプログラムが前記アクセス許容プログラム確認部で判断したコンテンツファイルへのアクセスが許容されるプログラムではない場合に、前記プロセスが前記ホワイトリスト登録部に登録されている前記コンテンツファイルにアクセスすることを遮断する、コンテンツファイルアクセス制御部、を含む。【選択図】図１
2019531519.tif 000002
【特許請求の範囲】
【請求項１】
ユーザコンピュータで開始が検知されたプロセスのプログラムが信頼できるプログラムか否かを確認し、前記プログラムの親プロセスが信頼できるプログラムか否かを確認して、前記プログラムがコンテンツファイルへのアクセスが許容されるプログラムか否かを判断するアクセス許容プログラム確認部、
保護しようとするコンテンツファイルの情報を登録したホワイトリスト登録部、および
前記プロセスのプログラムが前記アクセス許容プログラム確認部で判断したコンテンツファイルへのアクセスが許容されるプログラムである場合に、前記プロセスが前記ホワイトリスト登録部に登録されている前記コンテンツファイルにアクセスすることを許容し、前記プロセスのプログラムが前記アクセス許容プログラム確認部で判断したコンテンツファイルへのアクセスが許容されるプログラムではない場合に、前記プロセスが前記ホワイトリスト登録部に登録されている前記コンテンツファイルにアクセスすることを遮断するコンテンツファイルアクセス制御部、
を含むコンテンツファイルアクセス制御を利用したランサムウェア遮断装置。
【請求項２】
前記アクセス許容プログラム確認部は、プロセス開始検知部、信頼プログラム確認部、プロセスツリー追跡部、およびコンテンツファイルアクセス許容情報格納部を含む、請求項１に記載のコンテンツファイルアクセス制御を利用したランサムウェア遮断装置。
【請求項３】
前記プロセス開始検知部は、コンピュータでプロセスが開始されることを検知する、請求項２に記載のコンテンツファイルアクセス制御を利用したランサムウェア遮断装置。
【請求項４】
前記信頼プログラム確認部は、前記プロセス開始検知部で検知されたプロセスのプログラムが信頼できるプログラムか否かを判断する、請求項２に記載のコンテンツファイルアクセス制御を利用したランサムウェア遮断装置。
【請求項５】
前記信頼できるプログラムは、ユーザがユーザコンピュータにインストールしたプログラムまたはユーザコンピュータに基本的にインストールされているプログラムのいずれかである、請求項４に記載のコンテンツファイルアクセス制御を利用したランサムウェア遮断装置。
【請求項６】
前記プロセスツリー追跡部は、前記プロセスのプログラムに対しての親プロセスのパス情報を得る、請求項２に記載のコンテンツファイルアクセス制御を利用したランサムウェア遮断装置。
【請求項７】
前記コンテンツファイルアクセス許容情報格納部は、前記プロセスのプログラムが信頼できるプログラムである場合に、前記プログラムに対しての親プロセスのパス情報を獲得して、前記親プロセスのプログラムが信頼できるプログラムであれば、前記親プロセスのプログラムがExplorer.exeまたはServices.exeか否かを判断し、前記親プロセスのプログラムがExplorer.exeまたはServices.exeである場合に、前記プロセスのプログラムを前記コンテンツファイルへのアクセスが許容されるプログラムとして格納する、請求項６に記載のコンテンツファイルアクセス制御を利用したランサムウェア遮断装置。
【請求項８】
前記コンテンツファイルアクセス許容情報格納部は、前記プロセスのプログラムが信頼できるプログラムである場合に、前記プログラムに対しての親プロセスのパス情報を獲得して、前記親プロセスのプログラムが信頼できるプログラムであれば、前記親プロセスのプログラムがExplorer.exeまたはServices.exeか否かを判断する段階を繰り返し、最終的な親プロセスのプログラムがExplorer.exeまたはServices.exeである場合に、前記プロセスのプログラムを前記コンテンツファイルへのアクセスが許容されるプログラムとして格納する、請求項７に記載のコンテンツファイルアクセス制御を利用したランサムウェア遮断装置。
【請求項９】
前記コンテンツファイルアクセス制御部は、ファイルアクセス検知部、ホワイトリスト確認部、コンテンツファイルアクセス許容情報確認部、およびプロセス遮断部、を含む、請求項２に記載のコンテンツファイルアクセス制御を利用したランサムウェア遮断装置。
【請求項１０】
前記ファイルアクセス検知部は、前記プロセスが、前記コンテンツファイルにアクセスして修正しようと試みることを検知する、請求項９に記載のコンテンツファイルアクセス制御を利用したランサムウェア遮断装置。
【請求項１１】
前記ホワイトリスト確認部は、前記プロセスが修正しようと試みるコンテンツファイルが前記ホワイトリスト登録部に登録されているファイルか否かを確認する、請求項１０に記載のコンテンツファイルアクセス制御を利用したランサムウェア遮断装置。
【請求項１２】
前記コンテンツファイルアクセス許容情報確認部は、前記プロセスのプログラムが前記コンテンツファイルアクセス許容情報格納部に格納されているコンテンツファイルへのアクセスが許容されるプログラムか否かを確認する、請求項９に記載のコンテンツファイルアクセス制御を利用したランサムウェア遮断装置。
【請求項１３】
前記プロセス遮断部は、前記プロセスのプログラムがコンテンツファイルへのアクセスが許容されていないプログラムの場合に、前記プロセスが前記ホワイトリスト登録部に登録されている前記コンテンツファイルにアクセスすることを遮断する、請求項９に記載のコンテンツファイルアクセス制御を利用したランサムウェア遮断装置。
【請求項１４】
ユーザコンピュータで開始が検知されたプロセスのプログラムがコンテンツファイルへのアクセスが許容されるプログラムか否かを判断する段階、および
前記プロセスのプログラムがコンテンツファイルへのアクセスが許容されるプログラムではない場合に、保護しようとするコンテンツファイル情報を登録したホワイトリスト登録部に登録されている前記コンテンツファイルに前記プロセスがアクセスすることを遮断する段階、を含み、
前記プロセスのプログラムがコンテンツファイルへのアクセスが許容されるプログラムか否かを判断する段階は、
前記プロセスのプログラムが信頼できるプログラムか否かを判断する段階、
前記プロセスのプログラムが信頼できるプログラムである場合に、プロセスツリーを追跡して前記プロセスのプログラムに対しての親プロセス情報を獲得し、獲得した前記親プロセスのプログラムが信頼できるプログラムか否かを判断し、前記親プロセスのプログラムが信頼できるプログラムである場合に、前記親プロセスのプログラムがExplorer.exeまたはServices.exeか否かを判断することを含む親プロセス情報確認段階、および
前記親プロセスのプログラムがExplorer.exeまたはServices.exeである場合に、前記プロセスのプログラムをコンテンツファイルアクセス許容プログラムとして格納する段階、
を含むコンテンツファイルアクセス制御を利用したランサムウェア遮断方法。
【請求項１５】
前記プログラムが信頼できるプログラムか否かを判断する段階は、前記プログラムがユーザがユーザコンピュータにインストールしたプログラムまたはユーザコンピュータに基本的にインストールされているプログラムのいずれかであることを判断する、請求項１４に記載のコンテンツファイルアクセス制御を利用したランサムウェア遮断方法。
【請求項１６】
前記親プロセス情報確認段階は、
前記プロセスのプログラムが信頼できるプログラムである場合に、プロセスツリーを追跡して前記プロセスのプログラムに対しての親プロセス情報を獲得する段階、
獲得した前記親プロセスのプログラムが信頼できるプログラムか否かを判断する段階、および
前記親プロセスのプログラムが信頼できるプログラムである場合に、前記親プロセスのプログラムがExplorer.exeまたはServices.exeか否かを判断する段階、を繰り返して、
最終的な親プロセスのプログラムがExplorer.exeまたはServices.exeか否かを判断する段階、
を含む、請求項１４に記載のコンテンツファイルアクセス制御を利用したランサムウェア遮断方法。
【請求項１７】
前記プロセスのプログラムがコンテンツファイルへのアクセスが許容されるプログラムではない場合に、前記ホワイトリスト登録部に登録されている前記コンテンツファイルに前記プロセスがアクセスすることを遮断する段階は、
前記プロセスが前記コンテンツファイルにアクセスしてコンテンツファイルを修正しようと試みることを検知する段階、
前記コンテンツファイルが前記ホワイトリスト登録部に登録されているコンテンツファイルか否かを確認する段階、
前記コンテンツファイルが前記ホワイトリスト登録部に登録されているコンテンツファイルであると判断されると、前記プロセスのプログラムが、前記コンテンツファイルへのアクセスが許容されるプログラムか否かを確認する段階、および
前記プロセスのプログラムが、前記コンテンツファイルへのアクセスが許容されるプログラムではなければ、前記コンテンツファイルに前記プロセスがアクセスすることを遮断する段階、
を含む、請求項１４に記載のコンテンツファイルアクセス制御を利用したランサムウェア遮断方法。
【請求項１８】
前記プロセスが前記コンテンツファイルにアクセスしてコンテンツファイルを修正しようと試みることを検知する段階は、前記ユーザコンピュータのＯＳにミニフィルタを登録し、ファイルの修正の試みを検知する、請求項１７に記載のコンテンツファイルアクセス制御を利用ランサムウェア遮断方法。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、コンテンツファイルアクセス制御を利用したランサムウェア遮断装置およびその方法に関する。
【背景技術】
【０００２】
ランサムウェアとは、悪性コード（malware）の一種で、ユーザの同意なく、ユーザコンピュータに不法にインストールされ、ユーザのファイルを暗号化して使用不能とし、暗号を解読するためのパスワードを教えてもらうことの対価として金銭などを要求する悪性プログラムを称する。
【０００３】
ランサムウェアが攻撃者の主な収益源になってからは流布の方式とファイルの形式も多様化してきており、ランサムウェア攻撃による被害が徐々に大きくなっている。したがって、これに対する防御技術が必要となっている。
【０００４】
このような問題点を解決するために、シグネチャ（Signature）ベースの検知、行為ベースの検知、デコイベースの検知、ファイルのバックアップベースの防御などのランサムウェアを遮断するためのさまざまな検知装置および方法が用いられている。
【０００５】
既存のセキュリティソリューションが使用する前記のような技術は、ウイルス、トロイの木馬などの悪性プログラムを検知するための技術であり、暗号化そのものを防ぐことはできないという問題点がある。
【発明の概要】
【発明が解決しようとする課題】
【０００６】
本発明の課題は、本発明によるランサムウェア遮断装置と遮断方法により、ユーザのコンテンツファイルへの無断暗号化を検知して遮断することにある。
【０００７】
また、ランサムウェアのみを区別して検知および遮断することなく、範囲をより広げて、コンテンツファイルに対しての修正権限のないプログラムが、このコンテンツファイルにランダムアクセスする時に、制御する装置および方法を提供することにある。
【課題を解決するための手段】
【０００８】
本発明に係るコンテンツファイルアクセス制御を利用したランサムウェア遮断装置は、ユーザコンピュータで開始が検知されたプロセスのプログラムが信頼できるプログラムか否かを確認し、前記プログラムの親プロセスが信頼できるプログラムか否かを確認して、前記プログラムがコンテンツファイルへのアクセスが許容されるプログラムか否かを判断するアクセス許容プログラム確認部、保護しようとするコンテンツファイルの情報を登録したホワイトリスト（white list）登録部、および前記プロセスのプログラムが、前記アクセス許容プログラム確認部で判断したコンテンツファイルへのアクセスが許容されるプログラムである場合に、前記プロセスが前記ホワイトリスト登録部に登録されている前記コンテンツファイルにアクセスすることを許容し、前記プロセスのプログラムが前記アクセス許容プログラム確認部で判断したコンテンツファイルへのアクセスが許容されるプログラムではない場合に、前記プロセスが前記ホワイトリスト登録部に登録されている前記コンテンツファイルにアクセスすることを遮断するコンテンツファイルアクセス制御部、を含む。
【０００９】
前記アクセス許容プログラム確認部は、プロセス開始検知部、信頼プログラム確認部、プロセスツリー追跡部、およびコンテンツファイルアクセス許容情報格納部、を含む。
【００１０】
前記プロセス開始検知部は、ユーザコンピュータにおいてプロセスが開始されることを検知する。
【００１１】
前記信頼プログラム確認部は、前記プロセス開始検知部で検知されたプロセスのプログラムが信頼できるプログラムか否かを判断する。
【００１２】
前記信頼できるプログラムは、ユーザがユーザコンピュータにインストールしたプログラムまたはユーザコンピュータに基本的にインストールされているプログラムのいずれかである。
【００１３】
前記プロセスツリー追跡部は、前記プロセスのプログラムに対しての親プロセスのパス情報を得る。
【００１４】
前記コンテンツファイルアクセス許容情報格納部は、前記プロセスのプログラムが信頼できるプログラムである場合に、前記プログラムに対しての親プロセスのパス情報を獲得し、前記親プロセスのプログラムが信頼できるプログラムであれば、前記親プロセスのプログラムがExplorer.exeまたはServices.exeか否かを判断し、前記親プロセスのプログラムがExplorer.exeまたはServices.exeである場合に、前記プロセスのプログラムを前記コンテンツファイルへのアクセスが許容されるプログラムとして格納する。
【００１５】
前記コンテンツファイルアクセス許容情報格納部は、前記プロセスのプログラムが信頼できるプログラムである場合に、前記プログラムに対しての親プロセスのパス情報を獲得し、前記親プロセスのプログラムが信頼できるプログラムであれば、前記親プロセスのプログラムがExplorer.exeまたはServices.exeか否かを判断する段階を繰り返して、最終的な親プロセスのプログラムがExplorer.exeまたはServices.exeである場合に、前記プロセスのプログラムを前記コンテンツファイルへのアクセスが許容されるプログラムとして格納する。
【００１６】
前記コンテンツファイルアクセス制御部は、ファイルアクセス検知部、ホワイトリスト確認部、コンテンツファイルアクセス許容情報確認部、およびプロセス遮断部、を含む。
【００１７】
前記ファイルアクセス検知部は、前記プロセスが前記コンテンツファイルにアクセスして修正しようと試みることを検知する。
【００１８】
前記ホワイトリスト確認部は、前記プロセスが修正しようと試みるコンテンツファイルが前記ホワイトリスト登録部に登録されているファイルか否かを確認する。
【００１９】
前記コンテンツファイルアクセス許容情報確認部は、前記プロセスのプログラムが前記コンテンツファイルアクセス許容情報格納部に格納されているコンテンツファイルへのアクセスが許容されるプログラムか否かを確認する。
【００２０】
前記プロセス遮断部は、前記プロセスのプログラムがコンテンツファイルへのアクセスが許容されていないプログラムの場合に、前記プロセスが前記ホワイトリスト登録部に登録されている前記コンテンツファイルにアクセスすることを遮断する。
【００２１】
本発明に係るコンテンツファイルアクセス制御を利用したランサムウェア遮断方法は、ユーザコンピュータで開始が検知されたプロセスのプログラムがコンテンツファイルへのアクセスが許容されるプログラムか否かを判断する段階、および前記プロセスのプログラムがコンテンツファイルへのアクセスが許容されるプログラムではない場合に、保護しようとするコンテンツファイルの情報を登録したホワイトリスト登録部に登録されている前記コンテンツファイルに前記プロセスがアクセスすることを遮断する段階、を含み、前記プロセスのプログラムがコンテンツファイルへのアクセスが許容されるプログラムか否かを判断する段階は、前記プロセスのプログラムが信頼できるプログラムか否かを判断する段階、前記プロセスのプログラムが信頼できるプログラムである場合に、プロセスツリーを追跡して前記プロセスのプログラムに対しての親プロセス情報を獲得し、獲得した前記親プロセスのプログラムが信頼できるプログラムか否かを判断し、前記親プロセスのプログラムが信頼できるプログラムである場合に、前記親プロセスのプログラムがExplorer.exeまたはServices.exeか否かを判断することを含む親プロセス情報確認段階、および前記親プロセスのプログラムがExplorer.exeまたはServices.exeである場合に、前記プロセスのプログラムをコンテンツファイルアクセス許容プログラムとして格納する段階、を含む。
【００２２】
前記プログラムが信頼できるプログラムか否かを判断する段階は、前記プログラムがユーザがユーザコンピュータにインストールしたプログラムまたはユーザコンピュータに基本的にインストールされているプログラムのいずれかであるか否かを判断する。
【００２３】
前記親プロセス情報確認段階は、前記プロセスのプログラムが信頼できるプログラムである場合に、プロセスツリーを追跡して前記プロセスのプログラムに対しての親プロセス情報を獲得する段階、獲得した前記親プロセスのプログラムが信頼できるプログラムか否かを判断する段階、および前記親プロセスのプログラムが信頼できるプログラムである場合に、前記親プロセスのプログラムがExplorer.exeまたはServices.exeか否かを判断する段階を繰り返して、最終的な親プロセスのプログラムがExplorer.exeまたはServices.exeか否かを判断する段階、を含む。
【００２４】
前記プロセスのプログラムがコンテンツファイルへのアクセスが許容されるプログラムではない場合に、前記ホワイトリスト登録部に登録されている前記コンテンツファイルに前記プロセスがアクセスすることを遮断する段階は、前記プロセスが前記コンテンツファイルにアクセスしてコンテンツファイルを修正しようと試みることを検知する段階、前記コンテンツファイルが前記ホワイトリスト登録部に登録されているコンテンツファイルか否かを確認する段階、前記コンテンツファイルが前記ホワイトリスト登録部に登録されているコンテンツファイルと判断されると、前記プロセスのプログラムが前記コンテンツファイルへのアクセスが許容されるプログラムか否かを確認する段階、および前記プロセスのプログラムが前記コンテンツファイルへのアクセスが許容されるプログラムではなければ、前記コンテンツファイルに前記プロセスがアクセスすることを遮断する段階、を含む。
【００２５】
前記プロセスが前記コンテンツファイルにアクセスしてコンテンツファイルを修正しようと試みることを検知する段階は、前記コンピュータのＯＳ（Operation System）にミニフィルタを登録し、ファイルの修正の試みを検知する。
【発明の効果】
【００２６】
本発明によれば、ユーザのファイルへの無断暗号化を検知および遮断することができる装置および方法を提供することができ、また、コンテンツファイルの修正権限のないプログラムがこのコンテンツファイルにランダムアクセスする時に、これを制御する装置および方法を提供することができる効果がある。
【００２７】
以下、本発明の実施例が提供した技術方策をより明確に解釈するため、実施例の説明に必要な図面を簡単に紹介する。以下で説明する図面は、本発明のすべての実施例である。
【図面の簡単な説明】
【００２８】
【図１】本発明の一実施例に係るコンテンツファイルアクセス制御を利用したランサムウェア遮断装置の詳細なブロック図である。
【図２ａ】Windows（登録商標）上でユーザがユーザコンピュータにインストールしたプログラムを示す例示図である。
【図２ｂ】ユーザコンピュータに基本的にインストールされているプログラムを示す例示図である。
【図３】プロセスツリーを利用して、親プロセスのパスを獲得する過程を示した図である。
【図４】本発明に係るコンピュータで使用されるプログラムがコンテンツファイルへのアクセスが許容されるプログラムか否かを判断する方法（Ｓ１００）を示すフローチャートである。
【図５】本発明に係るコンピュータで使用されるプログラムがコンテンツファイルにアクセスすることを許容する方法（Ｓ２００）を示すフローチャートである。
【発明を実施するための形態】
【００２９】
本発明の利点および特徴、並びにそれらを達成する方法は、添付される図面と共に詳細に後述されている実施例を参照すると明確になるであろう。しかし、本発明は、以下で開示される実施形態に限定されるものではなく、異なる多様な形態で具現されることができ、単に本実施例は、本発明の開示が完全になるようにして、本発明が属する技術分野で通常の知識を有する者に発明の範囲を完全に知らせるために提供されるものであり、本発明は、請求項の範囲によって定義されるだけである。
【００３０】
本発明の実施例を説明するにあたって、公知の機能あるいは構成についての具体的な説明が本発明の要旨を無駄に曖昧にさせると判断される場合には、その詳細な説明を省略する。そして後述する用語は、本発明の実施例での機能を考慮して定義された用語であって、これらはユーザ、運用者の意図または慣例などによって変わり得る。したがって、その定義は、本明細書の全般にわたった内容を土台に下されるべきである。
【００３１】
まず、本発明において使用される技術用語であるコンテンツファイルに対して定義する。コンテンツファイルとは、ユーザコンピュータにおいてユーザが必要な情報を格納したファイル、例えば、.xls、.doc、.pdf、.jpg、.avi、.rar、.zip、.mp4、.png、.psd、.hwp、.java、.jsなどをいう。前記コンテンツファイルは、ユーザコンピュータに内蔵されたローカル（local）格納スペースに格納されていることもあり、前記ユーザコンピュータに着脱可能な外部メモリカードに格納されていることもある。前記外部メモリカードは、ＳＤ（Secure Digital）カード、マルチメディアカード（Multi Media Card：MMC）、コンパクトフラッシュ（Compact Flash：CF）カード、マイクロドライブ（Micro Drive）、メモリスティック（Memory Stick）、スマートメディア（Smart Media）カード、ｘＤピクチャー（Extreme Digital Picture）カードのいずれかであることができる。また、ＵＳＢ（Universal Serial Bus）メモリ、ＳＳＤ（Soli State Drive）に格納されていることもあり得る。ひいては、前記ユーザコンピュータの外部に形成されるクラウドサービスを利用した外部ストレージに格納されているファイルであることもある。
【００３２】
このようなコンテンツファイルは、ユーザに必要な情報が格納されているので、コンテンツファイルへのランサムウェアのアクセスを遮断する必要がある。
【００３３】
以下、本発明のランサムウェアを遮断するための装置および方法を説明する。
【００３４】
図１は、本発明の一実施例に係るコンテンツファイルアクセス制御を利用したランサムウェア遮断装置の詳細なブロック図である。
【００３５】
図１を参照すると、本発明の一実施例によるコンテンツファイルアクセス制御を利用したランサムウェア遮断装置（１００）は、ユーザコンピュータのコンテンツファイルにランサムウェアがアクセスして修正しようと試みる場合にこれを遮断するための装置で、アクセス許容プログラム確認部（１０）と、ホワイトリスト登録部（２０）と、コンテンツファイルアクセス制御部（３０）と、を含む。ここで、前記コンテンツファイルアクセス制御を利用したランサムウェア遮断装置（１００）は、そのほかの機器との連結のためのインターフェース部または所定のネットワーク通信部をさらに含むことができる。
【００３６】
前記ユーザコンピュータは、デスクトップコンピュータ、スマートフォン、タブレットコンピュータなどを含むことができる。また、前記コンピュータは、ＯＳをベースとして、様々なプログラムを実行することができ、前記ＯＳは、Windows XP、Windows 7、Windows 8、Windows 10などを含む、Microsoft社のＯＳをすべて含むことができる。
【００３７】
まず、前記アクセス許容プログラム確認部（１０）は、ユーザコンピュータで使用されるプログラムがコンテンツファイルへのアクセスが許容されるプログラムか否かを判断して分類する。このような判断と分類のために、アクセス許容プログラム確認部（１０）は、プロセス開始検知部（１１）、信頼プログラム確認部（１２）、プロセスツリー追跡部（１３）、コンテンツファイルアクセス許容情報格納部（１４）、を含む。
【００３８】
前記プロセス開始検知部（１１）は、ユーザコンピュータで特定のプロセスが開始されることを検知する。前記プロセスは、前記ユーザコンピュータでプログラムが実行されるものである。
【００３９】
前記信頼プログラム確認部（１２）は、前記プロセス開始検知部（１１）で検知されたプロセスのプログラムが信頼できるプログラムか否かを判断する。ここで、信頼できるプログラムとは、ユーザがユーザコンピュータにインストールしたプログラムまたはユーザコンピュータに基本的にインストールされているプログラムのいずれかである。
【００４０】
図２ａは、Windows上でユーザがユーザコンピュータにインストールしたプログラムを示す例示図であって、図２ｂは、ユーザコンピュータに基本的にインストールされているプログラムを示す例示図である。
【００４１】
図２ａを参照すると、ユーザがユーザコンピュータにインストールしたプログラムが、Windows//ProgrameFilesの下位リストに開示されている。
【００４２】
また、図２ｂを参照すると、ユーザコンピュータに基本的にインストールされているプログラムとして、Windowsの下位にbfsvc.exe、explorer.exe、HelpPane.exe、hh.exe、IERegBack.exe、ImageSAFERSvc.exe、notepad.exeなど様々なプログラムが開示されている。
【００４３】
前記プロセスツリー追跡部（１３）は、前記プロセスのプログラムが信頼できるプログラムである場合に、前記プログラムに対しての親プロセスのパス情報を得る。前記親プロセスのパス情報は、プロセスツリーを追跡して把握することができる。
【００４４】
前記プロセスツリー追跡部（１３）は、この後、前記親プロセスが信頼できるプログラムである場合に、それが最終的にExplorer.exeまたはServices.exeか否かを判断する。
【００４５】
図３は、プロセスツリーを利用して親プロセスのパスを獲得する過程を示した図である。
【００４６】
図３を参照すると、前記プロセスのプログラムがnotepad.exeである場合に、notepad.exeのプロセスＩＤと親プロセスＩＤを求め（▲１▼）、親プロセスＩＤを追跡して親プロセスを確認する（▲２▼）。図３の実施例では、explorer.exeが親プロセスのプログラムであることが分かる。
【００４７】
前記コンテンツファイルアクセス許容情報格納部（１４）は、前記親プロセスのプログラムが最終的にExplorer.exeまたはServices.exeである場合に、前記プロセスのプログラムを前記コンテンツファイルへのアクセスが許容されるプログラムとして格納する。また、前記プロセスのプログラムが信頼できないプログラムである場合と、前記プロセスのプログラムが信頼できるプログラムである場合であるのに前記プロセスのプログラムに対しての親プロセスが信頼できないプログラムである場合には、前記プロセスのプログラムを前記コンテンツファイルへのアクセス権限のないプログラムとして格納する。
【００４８】
図３の実施例では、前記親プロセスのプログラムが最終的にExplorer.exeであるので、前記notepad.exeを前記コンテンツファイルへのアクセスが許容されるプログラムとして格納する。
【００４９】
前記ホワイトリスト登録部（２０）は、保護しようとするコンテンツファイル情報をホワイトリストに登録する。
【００５０】
前記ホワイトリスト登録部（２０）には、コンテンツファイルの拡張子を登録することができ、かつ個々のファイルを登録することもできる。
【００５１】
前記コンテンツファイルアクセス制御部（３０）は、前記プロセスのプログラムが前記コンテンツファイルへのアクセスが許容されるプログラムである場合には、コンテンツファイルへのアクセスを許容し、前記プロセスのプログラムが前記コンテンツファイルへのアクセスが許容されるプログラムではない場合に、前記プロセスが前記コンテンツファイルにアクセスして修正することを遮断する。前記コンテンツファイルアクセス制御部（３０）は、ファイルアクセス検知部（３１）、ホワイトリスト確認部（３２）、コンテンツファイルアクセス許容情報確認部（３３）、およびプロセス遮断部（３４）、を含む。
【００５２】
前記ファイルアクセス検知部（３１）は、前記プロセスが前記コンテンツファイルにアクセスして前記コンテンツファイルを修正しようと試みることを検知する。具体的に、ＯＳにミニフィルタを登録し、ファイルの修正の試みを検知することができる。
【００５３】
前記ホワイトリスト確認部（３２）は、前記プロセスが修正しようと試みるコンテンツファイルが前記ホワイトリスト登録部（２０）に登録されているファイルか否かを確認する。
【００５４】
この時、前記プロセスが修正しようと試みるコンテンツファイルが前記ホワイトリスト登録部（２０）に登録されていないファイルである場合には、前記プロセスは、前記ユーザコンピュータに格納されているコンテンツファイルにアクセスし、コンテンツファイルを修正することを許容することができる。
【００５５】
前記コンテンツファイルアクセス許容情報確認部（３３）は、前記プロセスが修正しようと試みるコンテンツファイルが前記ホワイトリスト登録部（２０）に登録されているコンテンツファイルである場合に、前記プロセスのプログラムが前記コンテンツファイルアクセス許容情報格納部（１４）に格納されているコンテンツファイルへのアクセスが許容されるプログラムか否かを確認する。
【００５６】
前記プロセス遮断部（３４）は、前記プロセスのプログラムがコンテンツファイルへのアクセスが許容されないプログラムであれば、前記プロセスの前記コンテンツファイルへのアクセスを遮断し前記プロセスを終了し、前記プロセスのプログラムが前記コンテンツファイルにアクセスが許容されるプログラムであれば、前記プロセスの前記コンテンツファイルへのアクセスを許容する。
【００５７】
本発明の一実施例によるコンテンツファイルアクセス制御を利用したランサムウェア遮断装置（１００）は、細部ブロックに区分されているが、一つに統合されたり、さまざまな形で分類され得る。
【００５８】
このような装置によって、コンテンツファイルに対する修正権限のないプロセスがコンテンツファイルにランダムアクセスをする時に、これを遮断すると、ランサムウェアを遮断することができ、よってランサムウェアによる被害を減らすことができる効果がある。
【００５９】
以下、本発明に係るコンテンツファイルアクセス制御を利用したランサムウェア遮断方法を図４および図５を参照して説明する。
【００６０】
まず、ユーザコンピュータで使用されるプログラムがコンテンツファイルへのアクセスが許容されるプログラムか否かを判断する方法について説明する。
【００６１】
図４は、本発明に係るコンピュータで使用されるプログラムがコンテンツファイルへのアクセスが許容されるプログラムか否かを判断する方法（Ｓ１００）を示すフローチャートである。
【００６２】
図４を参照すると、まず、ユーザコンピュータでプロセスが開始されることを検知する（Ｓ１０１）。
【００６３】
この後、開始が検知されたプロセスのプログラムが信頼できるプログラムか否かを判断する（Ｓ１０２）。ここで、信頼できるプログラムとは、ユーザがユーザコンピュータにインストールしたプログラムまたはユーザコンピュータに基本的にインストールされているプログラムのいずれかである。
【００６４】
ここで、開始が検知されたプロセスのプログラムが信頼できるプログラムである場合には、プロセスツリーを追跡して前記プロセスのプログラムに対しての親プロセス情報を獲得する（Ｓ１０３）。
【００６５】
この後、獲得した前記親プロセスのプログラムが信頼できるプログラムか否かを判断する（Ｓ１０４）。
【００６６】
前記親プロセスのプログラムが信頼できるプログラムである場合には、前記親プロセスのプログラムがExplorer.exeまたはServices.exeか否かを判断する（Ｓ１０５）。
【００６７】
前記親プロセスのプログラムがExplorer.exeまたはServices.exeである場合には、前記プロセスのプログラムをコンテンツファイルアクセス許容プログラムとして格納する（Ｓ１０６）。
【００６８】
もし前記親プロセスのプログラムがExplorer.exeまたはServices.exeではない場合には、再度、前記親プロセスのプログラムに対しての上位親プロセスの情報を得る（Ｓ１０３）。この後、再度前記上位親プロセスのプログラムが信頼できるプログラムか否かを判断する（Ｓ１０４）。このような過程は、前記親プロセスの親プロセスがExplorer.exeまたはServices.exeである場合まで繰り返し続ける。
【００６９】
したがって、最終的に、前記親プロセスのプログラムがExplorer.exeまたはServices.exeである場合に、前記プロセスのプログラムをコンテンツファイルアクセス許容プログラムとして情報を格納する（Ｓ１０６）。
【００７０】
もし開始が検知されたプロセスのプログラムが信頼できないプログラムである場合には、コンテンツファイルへのアクセス権限のないものと判断する（Ｓ１０７）。また、前記親プロセスが信頼できないプログラムの場合にも、コンテンツファイルへのアクセス権限のないものと判断する（Ｓ１０７）。
【００７１】
このような段階を経て、ユーザコンピュータで使用されるプログラムが、コンテンツファイルへのアクセスが許容されるプログラムか否かを判断することができる。
【００７２】
図５は、本発明に係るコンピュータで使用されるプログラムが、コンテンツファイルにアクセスすることを許容する方法（Ｓ２００）を示すフローチャートである。
【００７３】
図５を参照すると、特定のプロセスがコンテンツファイルにアクセスして、コンテンツファイルを修正しようと試みることを検知する（Ｓ２０１）。具体的には、ＯＳにミニフィルタを登録し、ファイルの修正の試みを検知することができる。
【００７４】
この後、前記プロセスが修正しようと試みるコンテンツファイルが前記ホワイトリスト登録部に格納されているコンテンツファイルか否かを確認する（Ｓ２０２）。
【００７５】
この時、前記プロセスが修正しようと試みるコンテンツファイルが前記ホワイトリスト登録部に登録されていないコンテンツファイルである場合には、前記プロセスが前記ユーザコンピュータに格納されているコンテンツファイルにアクセスおよびファイルを修正することを許容することができる（Ｓ２０４）。
【００７６】
前記プロセスが修正しようと試みるファイルが前記ホワイトリスト登録部に登録されているコンテンツファイルと判断されると、前記プロセスのプログラムは、コンテンツファイルへのアクセスが許容されるプログラムか否かを判断する方法（Ｓ１００）によって判断されたコンテンツファイルアクセス許容プログラムか否かを確認する（Ｓ２０３）。
【００７７】
この時、前記プロセスのプログラムが前記コンテンツファイルへのアクセスが許容されるプログラムであれば、前記プロセスの前記コンテンツファイルへのアクセスを許容し（Ｓ２０４）、前記プロセスのプログラムが前記コンテンツファイルへのアクセスが許容されるプログラムではなければ、前記プロセスの前記コンテンツファイルへのアクセスを遮断し、プロセスを終了する（Ｓ２０５）。
【００７８】
このような段階を経て、ユーザコンピュータで使用されるプログラムのコンテンツファイルへのアクセスを許容または遮断することができる。
【００７９】
このように、プロセスが開始されると、コンテンツファイルにアクセスしようとするプログラムの情報とその親プロセスの情報を追跡し、把握して前記プロセスのコンテンツファイルへのアクセスを許容および遮断することで、ランサムウェアによるコンテンツファイルの被害を防ぐことができ、さらに、ランサムウェアのみを区別して検知および遮断するのでなく、範囲をより広げて、コンテンツファイルへの修正権限のないプログラムのコンテンツファイルへのランダムアクセスを制御することができる効果がある。
【００８０】
このようなコンテンツファイルアクセス制御技術を使用すると、ユーザが直接に文書ファイルを開いて修正するのか、不法なプログラムがファイルを開いて修正するのかの区別が可能となる。したがって、ランサムウェアがいかなる形で動作しようと、ランサムウェアの流入経路および形態に関わらず、ランサムウェアが修正権限を持ってユーザのコンテンツファイルにアクセスした場合に、ランサムウェアを直に遮断することができ、ユーザコンピュータのセキュリティを飛躍的に高めることができる効果がある。
【００８１】
前記は、単に本発明の好適な実施例であるだけで、本発明を限定するためではない。本発明の精神と原理のカテゴリの内で行われるすべての修正、等価的代替と改善は、すべて本発明の保護範囲に属するべきである。
【符号の説明】
【００８２】
１００  コンテンツファイルアクセス制御を利用したランサムウェア遮断装置
１０  アクセス許容プログラム確認部
２０  ホワイトリスト登録部
３０  コンテンツファイルアクセス制御部
１１  プロセス開始検知部
１２  信頼プログラム確認部
１３  プロセスツリー追跡部
１４  コンテンツファイルアクセス許容情報格納部
３１  ファイルアクセス検知部
３２  ホワイトリスト確認部
３３  コンテンツファイルアクセス許容情報確認部
３４  プロセス遮断部
【図１】
2019531519.tif 000003
【図２ａ】
2019531519.tif 000004
【図２ｂ】
2019531519.tif 000005
【図３】
2019531519.tif 000006
【図４】
2019531519.tif 000007
【図５】
2019531519.tif 000008
【国際調査報告】
2019531519.tif 000009
2019531519.tif 000010
2019531519.tif 000011
2019531519.tif 000012