(57)【要約】      （修正有）【課題】マルウェアの判定の精度を向上する。【解決手段】通信監視装置２０は、通信部２２０と、通信部２２０により受信される通信データに基づき、マルウェアの振る舞いを検知する振る舞い検知部２６０と、通信部２２０により行われる通信の通信量を監視する通信監視部２５０と、振る舞い検知部２６０による検知の結果、および通信監視部２５０による監視の結果に基づき、前記通信データを破棄するか否かを判定する判定部２７０と、を備える。【選択図】図２
2018142197.tif 000002
【特許請求の範囲】
【請求項１】
通信部と、
前記通信部により受信される通信データに基づき、マルウェアの振る舞いを検知する振る舞い検知部と、
前記通信部により行われる通信の通信量を監視する通信監視部と、
前記振る舞い検知部による検知の結果、および前記通信監視部による監視の結果に基づき、前記通信データを破棄するか否かを判定する判定部と、
を備える、情報処理装置。
【請求項２】
前記通信監視部は、
前記通信量をプロトコルごとにカウントする複数のカウンタと、
前記プロトコルごとの通信量と、前記プロトコルごとに設定された閾値とを比較する比較部と、
を有する、請求項１に記載の情報処理装置。
【請求項３】
前記比較部は、各プロトコルについて、複数の閾値からいずれかの閾値を選択し、選択した閾値と通信量とを比較する、請求項２に記載の情報処理装置。
【請求項４】
前記比較部は、前記複数の閾値から、現在時刻に基づいて閾値を選択する、請求項３に記載の情報処理装置。
【請求項５】
前記通信監視部は、時間長が異なる複数の単位時間当たりの通信量をカウントし、
前記比較部は、複数の単位時間当たりの通信量の各々と、複数の単位時間の各々に設定された閾値とを比較する、請求項２〜４のいずれか一項に記載の情報処理装置。
【請求項６】
前記判定部が前記通信データを破棄すると判断する条件は、前記振る舞い検知部によりマルウェアの振る舞いが検知された単位時間当たりの回数が所定数を超えたことをさらに含む、請求項１〜５のいずれか一項に記載の情報処理装置。
【請求項７】
通信部により受信される通信データに基づき、マルウェアの振る舞いを検知することと、
前記通信部により行われる通信の通信量を監視することと、
前記振る舞いの検知の結果、および前記通信量の監視の結果に基づき、前記通信データを破棄するか否かを判定することと、
を含む、コンピュータにより実行される方法。
【請求項８】
コンピュータを、
通信部と、
前記通信部により受信される通信データに基づき、マルウェアの振る舞いを検知する振る舞い検知部と、
前記通信部により行われる通信の通信量を監視する通信監視部と、
前記振る舞い検知部による検知の結果、および前記通信監視部による監視の結果に基づき、前記通信データを破棄するか否かを判定する判定部と、
として機能させるための、プログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、情報処理装置、方法およびプログラムに関する。
【背景技術】
【０００２】
近日、情報セキュリティの分野において、マルウェアへの対策が盛んに研究されている。マルウェアは、不正または有害な動作を行うプログラムの総称であり、マルウェアとしては、例えば、ウイルス、トロイの木馬、スパイウェアおよびワームなどが挙げられる。
【０００３】
マルウェアは、例えば電子メールに添付されたファイルとして送信される。ファイルがマルウェアであるか否かを検知するためにシグネチャを比較する手法が知られている。シグネチャの比較では、既知のマルウェアを検知することができるが、未知のマルウェアを検知することが困難である。
【０００４】
また、マルウェアを検知するための他の手段として、振る舞い検知と呼ばれる手法も存在する。振る舞い検知には、正常な通信では発生し難いビヘイビアを登録しておき、通信データのビヘイビアを監視し、登録されたビヘイビアを検知発見すると、不審と判断して通信データを破棄する手法などがある。なお、マルウェア検知の方法は、例えば特許文献１にも開示されている。
【先行技術文献】
【特許文献】
【０００５】
【特許文献１】特許第０５２６５０６１号公報
【発明の概要】
【発明が解決しようとする課題】
【０００６】
しかし、正常なプログラムが登録されていないビヘイビアをすることもある。このため、振る舞い検知では、正常な通信データをマルウェアとして誤検知してしまう場合があった。誤検知によって通信データが破棄され、業務が停止してしまうことを避けるために、振る舞い検知機能が有効化されなかったり、マルウェアの振る舞いが検知されても通信データが破棄されない設定が用いられたりしている。
【０００７】
そこで、本発明は、上記問題に鑑みてなされたものであり、本発明の目的とするところは、マルウェアの判定の精度を向上することが可能な、新規かつ改良された情報処理装置、方法およびプログラムを提供することにある。
【課題を解決するための手段】
【０００８】
上記課題を解決するために、本発明のある観点によれば、通信部と、前記通信部により受信される通信データに基づき、マルウェアの振る舞いを検知する振る舞い検知部と、前記通信部により行われる通信の通信量を監視する通信監視部と、前記振る舞い検知部による検知の結果、および前記通信監視部による監視の結果に基づき、前記通信データを破棄するか否かを判定する判定部と、を備える、情報処理装置が提供される。
【０００９】
前記通信監視部は、前記通信量をプロトコルごとにカウントする複数のカウンタと、前記プロトコルごとの通信量と、前記プロトコルごとに設定された閾値とを比較する比較部と、を有してもよい。
【００１０】
前記比較部は、各プロトコルについて、複数の閾値からいずれかの閾値を選択し、選択した閾値と通信量とを比較してもよい。
【００１１】
前記比較部は、前記複数の閾値から、現在時刻に基づいて閾値を選択してもよい。
【００１２】
前記通信監視部は、時間長が異なる複数の単位時間当たりの通信量をカウントし、前記比較部は、複数の単位時間当たりの通信量の各々と、複数の単位時間の各々に設定された閾値とを比較してもよい。
【００１３】
前記判定部が前記通信データを破棄すると判断する条件は、前記振る舞い検知部によりマルウェアの振る舞いが検知された単位時間当たりの回数が所定数を超えたことをさらに含んでもよい。
【００１４】
また、上記課題を解決するために、本発明の別の観点によれば、通信部により受信される通信データに基づき、マルウェアの振る舞いを検知することと、前記通信部により行われる通信の通信量を監視することと、前記振る舞いの検知の結果、および前記通信量の監視の結果に基づき、前記通信データを破棄するか否かを判定することと、を含む、コンピュータにより実行される方法が提供される。
【００１５】
また、上記課題を解決するために、本発明の別の観点によれば、コンピュータを、通信部と、前記通信部により受信される通信データに基づき、マルウェアの振る舞いを検知する振る舞い検知部と、前記通信部により行われる通信の通信量を監視する通信監視部と、前記振る舞い検知部による検知の結果、および前記通信監視部による監視の結果に基づき、前記通信データを破棄するか否かを判定する判定部と、として機能させるための、プログラムが提供される。
【発明の効果】
【００１６】
以上説明したように本発明によれば、マルウェアの判定の精度を向上することが可能である。
【図面の簡単な説明】
【００１７】
【図１】本発明の実施形態による情報処理システムの構成例を示す説明図である。
【図２】本発明の実施形態による通信監視装置の構成を示す説明図である。
【図３】トラフィックカウンタ群の構成を示す説明図である。
【図４】記憶部に記憶される複数の閾値テーブルの具体例を示す説明図である。
【図５】テーブル選択スケジュールの具体例を示す説明図である。
【図６】通信監視装置による処理の具体例を示す説明図である。
【図７】本発明の実施形態による通信監視装置の動作を示すフローチャートである。
【図８】通信監視装置のハードウェア構成を示したブロック図である。
【発明を実施するための形態】
【００１８】
以下に添付図面を参照しながら、本発明の実施の形態について詳細に説明する。なお、本明細書及び図面において、実質的に同一の機能構成を有する構成要素については、同一の符号を付することにより重複説明を省略する。
【００１９】
また、本明細書及び図面において、実質的に同一の機能構成を有する複数の構成要素を、同一の符号の後に異なるアルファベットを付して区別する場合もある。ただし、実質的に同一の機能構成を有する複数の構成要素の各々を特に区別する必要がない場合、複数の構成要素の各々に同一符号のみを付する。
【００２０】
＜１．情報処理システムの概要＞
本発明の実施形態は、マルウェアによるサイバー攻撃に対応するための情報処理システムに関する。まず、図１を参照し、本発明の実施形態による情報処理システムの概要を説明する。
【００２１】
図１は、本発明の実施形態による情報処理システムの構成例を示す説明図である。図１に示したように、本発明の実施形態による情報処理システムは、社内ネットワーク１０、および社内ネットワーク１０と外部ネットワーク１２を介して接続される外部装置４０を含む。外部ネットワーク１２は、例えば、インターネット、電話回線網、衛星通信網などの公衆回線網またはＩＰ−ＶＰＮ（Ｉｎｔｅｒｎｅｔ  Ｐｒｏｔｏｃｏｌ−Ｖｉｒｔｕａｌ  Ｐｒｉｖａｔｅ  Ｎｅｔｗｏｒｋ）のような専用回線網を含んでもよい。
【００２２】
社内ネットワーク１０は、図１に示したように、ファイアウォール１６、サーバ１８、通信監視装置２０および複数のＰＣ（Ｐｅｒｓｏｎａｌ  Ｃｏｍｐｕｔｅｒ）３０を含む。
【００２３】
ファイアウォール１６は、社内ネットワーク１０と外部ネットワーク１２との境界に設けられ、外部ネットワーク１２から社内ネットワーク１０への不正なアクセスを拒否するための構成である。ファイアウォール１６の機能は、ルータのような通信機器に実装されてもよいし、専用のハードウェアに実装されてもよい。
【００２４】
サーバ１８は、社内ネットワーク１０に接続されたＰＣ３０に多様な機能を提供する。例えば、サーバ１８は、メールサーバ、Ｗｅｂサーバ、ファイルサーバまたはシステムサーバなどであってもよい。
【００２５】
ＰＣ３０は、各ユーザが利用する情報処理装置の一例である。各ユーザは、ＰＣ３０を利用して業務を遂行する。
【００２６】
通信監視装置２０は、外部ネットワーク１２から社内ネットワーク１０へ送信された通信データ、および社内ネットワーク１０から外部ネットワーク１２へ送信された通信データを監視する情報処理装置の一例である。通信監視装置２０は、通信データにマルウェアが含まれる、または通信データがマルウェアの動作により送信されたと判定した場合、当該通信データを破棄する。例えば、通信監視装置２０は、外部装置４０から受信したメールに添付されたファイルがマルウェアであると判定した場合、当該ファイルを破棄する。また、通信監視装置２０は、ＰＣ３０から受信した通信データがＰＣ３０に侵入したマルウェアの動作により送信されたと判定した場合、当該通信データを破棄する。
【００２７】
＜２．通信監視装置の構成＞
以上、本発明の実施形態による情報処理システムの概要を説明した。続いて、図２を参照して、通信監視装置２０の構成をより具体的に説明する。
【００２８】
図２は、本発明の実施形態による通信監視装置２０の構成を示す説明図である。図２に示したように、本発明の実施形態による通信監視装置２０は、通信部２２０と、トラフィックカウンタ群２３０と、記憶部２４０と、比較部２５０と、振る舞い検知部２６０と、通信制御部２７０と、を備える。
【００２９】
（通信部）
通信部２２０は、外部装置４０から送信された通信データを外部ネットワーク１２およびファイアウォール１６を介して受信し、当該受信した通信データを例えばＰＣ３０に送信する。また、通信部２２０は、ＰＣ３０から送信された通信データを受信し、当該受信した通信データを外部ネットワーク１２に向けて送信する。
【００３０】
（トラフィックカウンタ群）
トラフィックカウンタ群２３０は、通信監視装置２０を介する通信のトラフィック量をカウントする。本実施形態によるトラフィックカウンタ群２３０は、図３に示すように、複数のトラフィックカウンタ（トラフィックカウンタ＃１〜トラフィックカウンタ＃Ｎ）を有する。各トラフィックカウンタには１つのプロトコルが対応し、各トラフィックカウンタは、社内ネットワーク１０への通信、または社内ネットワーク１０からの通信について、対応するプロトコルでの単位時間当たりのトラフィック量をカウントする。
【００３１】
例えば、トラフィックカウンタ＃１にはＦＴＰ（Ｆｉｌｅ  Ｔｒａｎｓｆｅｒ  Ｐｒｏｔｏｃｏｌ）が対応し、トラフィックカウンタ＃１は社内ネットワーク１０へのＦＴＰでの単位時間当たりのトラフィック量をカウントする。また、トラフィックカウンタ＃２にもＦＴＰ（Ｆｉｌｅ  Ｔｒａｎｓｆｅｒ  Ｐｒｏｔｏｃｏｌ）が対応し、トラフィックカウンタ＃２は社内ネットワーク１０からのＦＴＰでの単位時間当たりのトラフィック量をカウントする。また、トラフィックカウンタ＃３にはＨＴＴＰ（ＨｙｐｅｒＴｅｘｔ  Ｔｒａｎｓｆｅｒ  Ｐｒｏｔｏｃｏｌ）が対応し、トラフィックカウンタ＃３は社内ネットワーク１０へのＨＴＴＰでの単位時間当たりのトラフィック量をカウントする。
【００３２】
なお、上記ではプロトコルの一例としてＦＴＰおよびＨＴＴＰなどのアプリケーション層のプロトコルを挙げているが、各トラフィックカウンタは、トランスポート層のプロトコル、またはネットワーク層のプロトコルなどでのトラフィック量をカウントしてもよい。
【００３３】
（記憶部）
記憶部２４０は、通信監視装置２０の動作に用いられる多様な情報を記憶する。特に、本実施形態による記憶部２４０は、複数の閾値テーブルを記憶する。以下、図４を参照し、記憶部２４０に記憶される複数の閾値テーブルについて説明する。
【００３４】
図４は、記憶部２４０に記憶される複数の閾値テーブルの具体例を示す説明図である。図４に示したように、記憶部２４０は、複数の閾値テーブルＡ〜閾値テーブルＭを記憶する。各閾値テーブルは、複数の閾値＃１〜＃Ｎを含む。各閾値には、１つのプロトコル、および、１方向の通信（社内ネットワーク１０への通信または社内ネットワーク１０からの通信）が対応する。例えば、閾値テーブルＡに含まれる閾値＃１−ＡはＦＴＰおよび社内ネットワーク１０への通信に対応し、閾値＃２−ＡはＦＴＰおよび社内ネットワーク１０からの通信に対応し、閾値＃３−ＡはＨＴＴＰおよび社内ネットワーク１０への通信に対応する。
【００３５】
異なる閾値テーブルには、同一のプロトコルおよび通信方向に対応する閾値が含まれるが、異なる閾値テーブルに含まれる同一のプロトコルおよび通信方向に対応する閾値には異なる値が設定される。例えば、閾値テーブルＢに含まれる閾値＃１−ＢにもＦＴＰおよび社内ネットワーク１０への通信が対応し得るが、閾値＃１−Ｂには閾値＃１−Ａと異なる値が設定されてもよい。
【００３６】
また、記憶部２４０は、テーブル選択スケジュールを記憶する。テーブル選択スケジュールにおいては、時間帯と、閾値テーブルが関連付けられる。
【００３７】
図５は、テーブル選択スケジュールの具体例を示す説明図である。図５に示したように、例えば、平日の８：００−２０：００には閾値テーブルＡが関連付けられ、平日の２０：００−８：００には閾値テーブルＢが関連付けられ、休日の８：００−２０：００には閾値テーブルＣが関連付けられる。
【００３８】
（比較部）
比較部２５０は、トラフィックカウンタ群２３０と協働して、通信部２２０により行われる通信のトラフィック量（通信量）を監視する通信監視部として機能する。具体的には、比較部２５０は、記憶部２４０に記憶されたテーブル選択スケジュールを参照し、現在時刻に基づいていずれかの閾値テーブルを選択する。そして、比較部２５０は、選択した閾値テーブルに含まれる各閾値と、トラフィックカウンタ群２３０を構成する各トラフィックカウンタによりカウントされたトラッフィック量とを比較する。ここで、比較部２５０は、ある閾値と、当該閾値と同一のプロトコルおよび通信方向に対応するトラフィックカウンタによりカウントされたトラッフィック量とを比較する。例えば、閾値テーブルＡが選択された場合、比較部２５０は、閾値＃１−Ａとトラフィックカウンタ＃１によりカウントされたトラッフィック量とを比較し、閾値＃２−Ａとトラフィックカウンタ＃２によりカウントされたトラッフィック量とを比較する。
【００３９】
比較部２５０は、上述した閾値とトラフィック量との比較の結果を、通信制御部２７０に出力する。
【００４０】
（振る舞い検知部）
振る舞い検知部２６０は、通信部２２０により受信される通信データに基づき、マルウェアの振る舞いを検知する。振る舞い検知部２６０は、例えば通信データに含まれるプログラムを実行してマルウェアの振る舞いを検知してもよいし、蓄積された通信データの解析によりマルウェアの振る舞い（マルウェアの動作により通信データが送信されたこと）を検知してもよい。
【００４１】
（通信制御部）
通信制御部２７０は、通信部２２０による通信全般を制御する。特に、本実施形態による通信制御部２７０は、振る舞い検知部２６０による振る舞い検知の結果、および比較部２５０による比較の結果に基づき、通信部２２０により受信された通信データを破棄するか否かを判定する判定部としての機能を有する。
【００４２】
具体的には、通信制御部２７０は、振る舞い検知部２６０によりマルウェアの振る舞いが検知され、かつ、比較部２５０による比較の結果が所定の基準を満たす場合に、通信部２２０により受信された通信データを破棄すると判定してもよい。以下、当該判定の意義について説明する。
【００４３】
振る舞い検知では、正常な通信データについてもマルウェアの振る舞いが誤検知されてしまう場合がある。誤検知によって通信データが破棄され、業務が停止してしまうことを避けるために、振る舞い検知機能が有効化されなかったり、マルウェアの振る舞いが検知されても通信データが破棄されない設定が用いられたりしている。
【００４４】
ところで、マルウェアによるサイバー攻撃は、定められたターゲットに対して単発にでは無く継続的に行われることが想定される。このため、マルウェアによるサイバー攻撃が行われていると、いずれかのプロトコルでトラフィック異常が生じ得る。すなわち、トラフィック異常が生じている期間では、マルウェアによるサイバー攻撃が行われている可能性があるので、そのような期間でマルウェアの振る舞いが検知された場合、当該振る舞い検知の信頼性は高いと言える。
【００４５】
そこで、本実施形態による通信制御部２７０は、上述したように、振る舞い検知部２６０によりマルウェアの振る舞いが検知され、かつ、比較部２５０による比較の結果が所定の基準を満たす場合に、通信部２２０により受信された通信データを破棄すると判定してもよい。
【００４６】
所定の基準は、少なくともいずれかのトラフィックカウンタによりカウントされたトラフィック量が閾値を上回ることであってもよいし、所定数のトラフィックカウンタによりカウントされたトラフィック量が閾値を上回ることであってもよい。または、各トラフィックカウンタに重みが設定されており、所定の基準は、閾値を上回ったトラフィック量をカウントしたトラフィックカウンタの重みの総和が所定値を上回ることであってもよい。
【００４７】
ここで、図６を参照して、通信制御部２７０による判定の具体例を説明する。図６においては、比較部２５０による比較の結果が所定の基準を満たしていた期間を警戒期間としてハッチで示している。また、図６には、タイミングｔ１〜ｔ５において、通信データ＃１〜＃５についてマルウェアの振る舞いが各々検知されたことを示している。
【００４８】
図６に示した例において、通信データ＃１および＃３についてマルウェアの振る舞いが検知されたタイミングｔ１およびｔ３は、警戒期間外であるので、通信制御部２７０は、通信データ＃１および＃３を破棄しない。一方、通信データ＃２、＃４および＃５についてマルウェアの振る舞いが検知されたタイミングｔ２、ｔ４およびｔ５は、警戒期間内であるので、通信制御部２７０は、通信データ＃２、＃４および＃５を破棄する。
【００４９】
かかる構成によれば、マルウェアの判定精度を向上し、マルウェアに関する通信データであることがより確からしい通信データを選択的に破棄することが可能となる。すなわち、本実施形態によれば、正常な通信データが誤って破棄されてしまうことを抑制することが可能である。
【００５０】
また、本実施形態によれば、図５を参照して説明したテーブル選択スケジュールに従い、現在時刻に応じて使用する閾値テーブルを切替えることが可能である。曜日や時間帯によって通常のトラフィック量が異なるので、例えば社内ネットワーク１０の管理者が、各曜日の各時間帯における通常のトラフィック量との関係で各曜日の各時間帯の閾値を設定しておくことで、より正確な動作を実現することが可能である。
【００５１】
また、社内ネットワーク１０の管理者は、誤検知により通信データが誤って破棄されるリスクと、マルウェアへの対応が遅れるリスクとのトレードオフを考慮して、閾値テーブルを適宜調整してもよい。例えば、社内ネットワーク１０の管理者は、休日や夜間帯には、他の時間帯よりも閾値を低く設定してもよい。かかる構成によれば、正常な通信データが破棄されるリスクよりも、情報漏洩リスクを重視した動作を実現することが可能である。
【００５２】
＜３．通信監視装置の動作＞
以上、本発明の実施形態による通信監視装置２０の構成を説明した。続いて、図７を参照し、本発明の実施形態による通信監視装置２０の動作を整理する。
【００５３】
図７は、本発明の実施形態による通信監視装置２０の動作を示すフローチャートである。図７に示したように、まず、通信監視装置２０の比較部２５０が、記憶部２４０に記憶されたテーブル選択スケジュールを参照し、現在時刻に基づいて閾値テーブルを選択する（Ｓ３０４）。そして、振る舞い検知部２６０が振る舞い検知を開始し（Ｓ３０８）、トラフィックカウンタ群２３０がプロトコルごとのトラフィック量のカウントを開始し（Ｓ３１２）、比較部２５０が閾値とトラフィック量との比較を開始する（Ｓ３１６）。
【００５４】
その後、通信部２２０により受信された通信データについて、振る舞い検知部２６０によりマルウェアの振る舞いが検知された場合（Ｓ３２０／Ｙｅｓ）、通信制御部２７０は、比較部２５０による比較の結果が所定の基準を満たすか否かを判断する（Ｓ３２４）。ここで、比較部２５０による比較の結果が所定の基準を満たす場合（Ｓ３２４／Ｙｅｓ）、通信制御部２７０は通信部２２０により受信された通信データを破棄する（Ｓ３２８）。一方、比較部２５０による比較の結果が所定の基準を満たさない場合（Ｓ３２４／Ｎｏ）、通信制御部２７０は、通信部２２０により受信された通信データを破棄せず、当該通信データの中継を制御する。
【００５５】
そして、比較部２５０は、記憶部２４０に記憶されたテーブル選択スケジュールを参照し、閾値テーブルの変更タイミングが到来した場合には（Ｓ３３２／Ｙｅｓ）、閾値テーブルを変更する（Ｓ３３６）。その後、Ｓ３２０からの処理が繰り返される。
【００５６】
＜４．変形例＞
以上、本発明の実施形態を説明した。以下では、本発明の実施形態の幾つかの変形例を説明する。なお、以下に説明する各変形例は、単独で本発明の実施形態に適用されてもよいし、組み合わせで本発明の実施形態に適用されてもよい。また、各変形例は、本発明の実施形態で説明した構成に代えて適用されてもよいし、本発明の実施形態で説明した構成に対して追加的に適用されてもよい。
【００５７】
（第１の変形例）
例えば、トラフィックカウンタ群２３０は、時間長が異なる単位時間に対応する複数種類のトラフィックカウンタセットを含み、各トラフィックカウンタセットに含まれるトラフィックカウンタは、対応する単位時間当たりのトラフィック量をカウントしてもよい。単位時間の時間長としては、１日、１時間および１分などが挙げられる。また、閾値テーブルは、複数の単位時間の各々に対応する閾値を含んでもよい。
【００５８】
この場合、比較部２５０は、複数の単位時間の各々についてカウントされたトラフィック量と、複数の単位時間の各々に設定された閾値とを比較し、比較結果を通信制御部２７０に出力する。通信制御部２７０は、振る舞い検知部２６０によりマルウェアの振る舞いが検知され、かつ、比較部２５０による比較の結果が所定の基準を満たす場合に、通信部２２０により受信された通信データを破棄する。
【００５９】
かかる構成によれば、各単位時間当たりのトラフィック量を用いてよりきめ細かな条件でトラフィック異常を検知できるので、マルウェアの判定精度がさらに向上することが期待される。
【００６０】
（第２の変形例）
また、通信監視装置２０は、単位時間当たりの振る舞い検知回数をカウントし、当該カウントの回数が所定回数以上であることを、通信データを破棄する条件に加えてもよい。かかる構成によれば、マルウェアの誤検知リスクを軽減することが可能である。
【００６１】
なお、単位時間当たりの振る舞い検知回数が所定回数以上であることは、直前の単位時間での振る舞い検知回数が所定回数以上であることであってもよいし、進行中の単位時間での振る舞い検知回数が所定回数以上であることであってもよい。
【００６２】
＜５．ハードウェア構成＞
以上、本発明の実施形態を説明した。上述したトラフィック量と閾値との比較、および通信データの破棄などの情報処理は、ソフトウェアと、以下に説明する通信監視装置２０のハードウェアとの協働により実現される。
【００６３】
図８は、通信監視装置２０のハードウェア構成を示したブロック図である。通信監視装置２０は、ＣＰＵ（Ｃｅｎｔｒａｌ  Ｐｒｏｃｅｓｓｉｎｇ  Ｕｎｉｔ）２０１と、ＲＯＭ（Ｒｅａｄ  Ｏｎｌｙ  Ｍｅｍｏｒｙ）２０２と、ＲＡＭ（Ｒａｎｄｏｍ  Ａｃｃｅｓｓ  Ｍｅｍｏｒｙ）２０３と、ホストバス２０４と、を備える。また、通信監視装置２０は、ブリッジ２０５と、外部バス２０６と、インタフェース２０７と、入力装置２０８と、表示装置２０９と、音声出力装置２１０と、ストレージ装置（ＨＤＤ）２１１と、ドライブ２１２と、ネットワークインタフェース２１５とを備える。
【００６４】
ＣＰＵ２０１は、演算処理装置および制御装置として機能し、各種プログラムに従って通信監視装置２０内の動作全般を制御する。また、ＣＰＵ２０１は、マイクロプロセッサであってもよい。ＲＯＭ２０２は、ＣＰＵ２０１が使用するプログラムや演算パラメータ等を記憶する。ＲＡＭ２０３は、ＣＰＵ２０１の実行において使用するプログラムや、その実行において適宜変化するパラメータ等を一時記憶する。これらはＣＰＵバスなどから構成されるホストバス２０４により相互に接続されている。ＣＰＵ２０１、ＲＯＭ２０２およびＲＡＭ２０３とソフトウェアとの協働により、図２を参照して説明した比較部２５０、振る舞い検知部２６０および通信制御部２７０などの機能が実現され得る。
【００６５】
ホストバス２０４は、ブリッジ２０５を介して、ＰＣＩ（Ｐｅｒｉｐｈｅｒａｌ  Ｃｏｍｐｏｎｅｎｔ  Ｉｎｔｅｒｃｏｎｎｅｃｔ／Ｉｎｔｅｒｆａｃｅ）バスなどの外部バス２０６に接続されている。なお、必ずしもホストバス２０４、ブリッジ２０５および外部バス２０６を分離構成する必要はなく、１つのバスにこれらの機能を実装してもよい。
【００６６】
入力装置２０８は、マウス、キーボード、タッチパネル、ボタン、マイクロフォン、センサー、スイッチおよびレバーなどユーザが情報を入力するための入力手段と、ユーザによる入力に基づいて入力信号を生成し、ＣＰＵ２０１に出力する入力制御回路などから構成されている。通信監視装置２０のユーザは、該入力装置２０８を操作することにより、通信監視装置２０に対して各種のデータを入力したり処理動作を指示したりすることができる。
【００６７】
表示装置２０９は、例えば、ＣＲＴ（Ｃａｔｈｏｄｅ  Ｒａｙ  Ｔｕｂｅ）ディスプレイ装置、液晶ディスプレイ（ＬＣＤ）装置、プロジェクター装置、ＯＬＥＤ（Ｏｒｇａｎｉｃ  Ｌｉｇｈｔ  Ｅｍｉｔｔｉｎｇ  Ｄｉｏｄｅ）装置およびランプなどの表示装置を含む。また、音声出力装置２１０は、スピーカおよびヘッドホンなどの音声出力装置を含む。
【００６８】
ストレージ装置２１１は、本実施形態にかかる通信監視装置２０の記憶部の一例として構成されたデータ格納用の装置である。ストレージ装置２１１は、記憶媒体、記憶媒体にデータを記録する記録装置、記憶媒体からデータを読み出す読出し装置および記憶媒体に記録されたデータを削除する削除装置などを含んでもよい。ストレージ装置２１１は、例えば、ＨＤＤ（Ｈａｒｄ  Ｄｉｓｋ  Ｄｒｉｖｅ）またはＳＳＤ（Ｓｏｌｉｄ  Ｓｔｒａｇｅ  Ｄｒｉｖｅ）、あるいは同等の機能を有するメモリ等で構成される。このストレージ装置２１１は、ストレージを駆動し、ＣＰＵ２０１が実行するプログラムや各種データを格納する。
【００６９】
ドライブ２１２は、記憶媒体用リーダライタであり、通信監視装置２０に内蔵、あるいは外付けされる。ドライブ２１２は、装着されている磁気ディスク、光ディスク、光磁気ディスク、または半導体メモリ等のリムーバブル記憶媒体２４に記録されている情報を読み出して、ＲＡＭ２０３またはストレージ装置２１１に出力する。また、ドライブ２１２は、リムーバブル記憶媒体２４に情報を書き込むこともできる。
【００７０】
ネットワークインタフェース２１５は、例えば、社内ネットワーク１０に接続するための通信デバイス等で構成された通信インタフェースである。また、ネットワークインタフェース２１５は、無線ＬＡＮ（Ｌｏｃａｌ  Ａｒｅａ  Ｎｅｔｗｏｒｋ）対応通信装置であっても、有線による通信を行うワイヤー通信装置であってもよい。
【００７１】
＜６．むすび＞
以上説明したように、本発明の実施形態によれば、マルウェアの判定精度を向上し、マルウェアに関する通信データであることがより確からしい通信データを選択的に破棄することが可能となる。すなわち、正常な通信データが誤って破棄されてしまうことを抑制することが可能である。
【００７２】
また、本実施形態によれば、図５を参照して説明したテーブル選択スケジュールに従い、現在時刻に応じて使用する閾値テーブルを切替えることが可能である。曜日や時間帯によって通常のトラフィック量が異なるので、例えば社内ネットワーク１０の管理者が、各曜日の各時間帯における通常のトラフィック量との関係で各曜日の各時間帯の閾値を設定しておくことで、より正確な動作を実現することが可能である。
【００７３】
なお、添付図面を参照しながら本発明の好適な実施形態について詳細に説明したが、本発明はかかる例に限定されない。本発明の属する技術の分野における通常の知識を有する者であれば、特許請求の範囲に記載された技術的思想の範疇内において、各種の変更例または修正例に想到し得ることは明らかであり、これらについても、当然に本発明の技術的範囲に属するものと了解される。
【００７４】
例えば、上記では通信監視装置２０がＩＰＳ（Ｉｎｔｒｕｓｉｏｎ  Ｐｒｅｖｅｎｔｉｏｎ  Ｓｙｓｔｅｍ）の形態で社内ネットワーク１０に実装される例を説明したが、上述した通信監視装置２０の機能は各ＰＣ３０に実装されてもよい。
【００７５】
また、上記では通信監視装置２０が振る舞い検知部２６０および通信監視部（トラフィックカウンタ群２３０および比較部２５０）の双方を備える例を説明したが、振る舞い検知部２６０の機能、および通信監視部の機能は、異なる装置に実装されてもよい。他の機能についても同様に、社内ネットワーク１０上で適宜分散的に実装されてもよい。
【００７６】
また、本明細書の通信監視装置２０の処理における各ステップは、必ずしもシーケンス図またはフローチャートとして記載された順序に沿って時系列に処理する必要はない。例えば、通信監視装置２０の処理における各ステップは、フローチャートとして記載した順序と異なる順序で処理されても、並列的に処理されてもよい。
【００７７】
また、通信監視装置２０に内蔵されるＣＰＵ２０１、ＲＯＭ２０２およびＲＡＭ２０３などのハードウェアに、上述した通信監視装置２０の各構成と同等の機能を発揮させるためのコンピュータプログラムも作成可能である。また、該コンピュータプログラムを記憶させた記憶媒体も提供される。
【符号の説明】
【００７８】
１０  社内ネットワーク
１２  外部ネットワーク
１６  ファイアウォール
１８  サーバ
２０  通信監視装置
３０  ＰＣ（Ｐｅｒｓｏｎａｌ  Ｃｏｍｐｕｔｅｒ）
４０  外部装置
２２０  通信部
２３０  トラフィックカウンタ群
２４０  記憶部
２５０  比較部
２６０  検知部
２７０  通信制御部
【図１】
2018142197.tif 000003
【図２】
2018142197.tif 000004
【図３】
2018142197.tif 000005
【図４】
2018142197.tif 000006
【図５】
2018142197.tif 000007
【図６】
2018142197.tif 000008
【図７】
2018142197.tif 000009
【図８】
2018142197.tif 000010