(57)【要約】【課題】未知のマルウェアを脅威として検出する。【解決手段】実施形態の脅威検出プログラムは、アプリケーションの起動に応じて、ファイルのパス情報を第１の記憶部に記憶し、アプリケーションの起動後のファイルへのアクセスイベントの検出に応じて、アクセス先のファイルのパス情報が第１の記憶部に記憶されているか否か判定し、アクセス先のファイルのパスが第１の記憶部に記憶されていない場合、アクセス先のファイルのパスを第２の記憶部に記憶する処理をコンピュータに実行させる。また、脅威検出プログラムは、アプリケーションの起動後のプロセスの生成イベントに応じて、プロセスの親プロセスの脅威情報を取得し、取得した親プロセスの脅威情報と、プロセスの生成元のファイルが第２の記憶部に記憶されているかの判定結果に基づいて、プロセスの脅威レベルを判定する処理をコンピュータに実行させる。【選択図】図４
2018200642.tif 000002
【特許請求の範囲】
【請求項１】
アプリケーションの起動に応じて、ファイルのパス情報を第１の記憶部に記憶し、
前記アプリケーションの起動後のファイルへのアクセスイベントの検出に応じて、アクセス先のファイルのパス情報が前記第１の記憶部に記憶されているか否か判定し、
判定により、前記アクセス先のファイルのパスが前記第１の記憶部に記憶されていない場合、前記アクセス先のファイルのパスを第２の記憶部に記憶し、
前記アプリケーションの起動後のプロセスの生成イベントに応じて、プロセスの脅威情報を記憶する第３の記憶部を参照して、該プロセスの親プロセスの脅威情報を取得し、
取得した前記親プロセスの脅威情報と、前記プロセスの生成元のファイルが前記第２の記憶部に記憶されているかの判定結果に基づいて、前記プロセスの脅威レベルを判定し、
判定した脅威レベルを前記プロセスに対応づけて前記第３の記憶部に記憶させるとともに、判定した該脅威レベルに応じた出力を行う、
処理をコンピュータに実行させることを特徴とする脅威検出プログラム。
【請求項２】
前記プロセスの脅威レベルを判定する処理は、前記親プロセスの脅威情報に脅威が示されている、および、前記プロセスの生成元のファイルが前記第２の記憶部に記憶されているとする２つの条件のうちの一方が満たされている場合には第１の脅威レベルと判定し、前記２つの条件の両方が満たされている場合には前記第１の脅威レベルよりも高いレベルの第２の脅威レベルと判定する、
ことを特徴とする請求項１に記載の脅威検出プログラム。
【請求項３】
アプリケーションの起動に応じて、ファイルのパス情報を第１の記憶部に記憶し、
前記アプリケーションの起動後のファイルへのアクセスイベントの検出に応じて、アクセス先のファイルのパス情報が前記第１の記憶部に記憶されているか否か判定し、
判定により、前記アクセス先のファイルのパスが前記第１の記憶部に記憶されていない場合、前記アクセス先のファイルのパスを第２の記憶部に記憶し、
前記アプリケーションの起動後のプロセスの生成イベントに応じて、プロセスの脅威情報を記憶する第３の記憶部を参照して、該プロセスの親プロセスの脅威情報を取得し、
取得した前記親プロセスの脅威情報と、前記プロセスの生成元のファイルが前記第２の記憶部に記憶されているかの判定結果に基づいて、前記プロセスの脅威レベルを判定し、
判定した脅威レベルを前記プロセスに対応づけて前記第３の記憶部に記憶させるとともに、判定した該脅威レベルに応じた出力を行う、
処理をコンピュータが実行することを特徴とする脅威検出方法。
【請求項４】
アプリケーションの起動に応じて、ファイルのパス情報を第１の記憶部に記憶する格納部と、
前記アプリケーションの起動後のファイルへのアクセスイベントの検出に応じて、アクセス先のファイルのパス情報が前記第１の記憶部に記憶されているか否か判定し、該判定により、前記アクセス先のファイルのパスが前記第１の記憶部に記憶されていない場合、前記アクセス先のファイルのパスを第２の記憶部に記憶するアクセスイベント処理部と、
前記アプリケーションの起動後のプロセスの生成イベントに応じて、プロセスの脅威情報を記憶する第３の記憶部を参照して、該プロセスの親プロセスの脅威情報を取得し、取得した前記親プロセスの脅威情報と、前記プロセスの生成元のファイルが前記第２の記憶部に記憶されているかの判定結果に基づいて、前記プロセスの脅威レベルを判定する生成イベント処理部と、
判定した脅威レベルを前記プロセスに対応づけて前記第３の記憶部に記憶させるとともに、判定した該脅威レベルに応じた出力を行う出力部と、
を有することを特徴とする情報処理装置。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明の実施形態は、脅威検出プログラム、脅威検出方法および情報処理装置に関する。
【背景技術】
【０００２】
従来、ネットワークにおいて、不正に機器に感染するコンピュータウィルス、ワーム、スパイウェアなどの脅威となるマルウェアを検出する方法が存在する。この脅威となるマルウェア検出では、ウイルス定義データベースを使用したパターンマッチングによるウイルス対策ソフトが知られている。例えば、サーバから取得した文書構成ファイルのハッシュ値と、記憶手段に蓄積している文書構成ファイルのハッシュ値とを比較して文書構成ファイルの適否を検証する技術が知られている。
【先行技術文献】
【特許文献】
【０００３】
【特許文献１】特開２００７−２９３４３３号公報
【発明の概要】
【発明が解決しようとする課題】
【０００４】
しかしながら、上記の従来技術では、未知のマルウェアを脅威として検出することが困難な場合があるという問題がある。
【０００５】
例えば、マルウェアの中には、「ダウンローダー」および「ドロッパー」といったものがある。この「ダウンローダー」および「ドロッパー」は、単にファイルをダウンロードして実行させる機能を有していることから、メール添付などで送られてきたときにはマルウェアと判断されない。しかしながら、メール添付などで送られてきた「ダウンローダー」および「ドロッパー」をユーザーが実行すると、「ダウンローダー」および「ドロッパー」は、マルウェアの本体をダウンロードして実行する。ダウンロードされるマルウェアの本体は、多種多様にわたり派生する亜種もあり、ウイルス定義データベースに含まれていない未知のマルウェアが含まれることがある。
【０００６】
１つの側面では、未知のマルウェアを脅威として検出することができる脅威検出プログラム、脅威検出方法および情報処理装置を提供することを目的とする。
【課題を解決するための手段】
【０００７】
第１の案では、脅威検出プログラムは、次の処理をコンピュータに実行させる。脅威検出プログラムは、アプリケーションの起動に応じて、ファイルのパス情報を第１の記憶部に記憶する処理をコンピュータに実行させる。また、脅威検出プログラムは、アプリケーションの起動後のファイルへのアクセスイベントの検出に応じて、アクセス先のファイルのパス情報が第１の記憶部に記憶されているか否か判定する処理をコンピュータに実行させる。また、脅威検出プログラムは、判定により、アクセス先のファイルのパスが第１の記憶部に記憶されていない場合、アクセス先のファイルのパスを第２の記憶部に記憶する処理をコンピュータに実行させる。また、脅威検出プログラムは、アプリケーションの起動後のプロセスの生成イベントに応じて、プロセスの脅威情報を記憶する第３の記憶部を参照して、該プロセスの親プロセスの脅威情報を取得する処理をコンピュータに実行させる。また、脅威検出プログラムは、取得した親プロセスの脅威情報と、プロセスの生成元のファイルが第２の記憶部に記憶されているかの判定結果に基づいて、プロセスの脅威レベルを判定する処理をコンピュータに実行させる。また、脅威検出プログラムは、判定した脅威レベルをプロセスに対応づけて第３の記憶部に記憶させるとともに、判定した脅威レベルに応じた出力を行う処理をコンピュータに実行させる。
【発明の効果】
【０００８】
本発明の１実施態様によれば、未知のマルウェアを脅威として検出することができる。
【図面の簡単な説明】
【０００９】
【図１】図１は、実施形態にかかる情報処理装置の機能構成例を示すブロック図である。
【図２】図２は、脅威レベルの設定を説明する説明図である。
【図３】図３は、プロセスデータベース、ファイルデータベース、不審ファイルデータベースを説明する説明図である。
【図４】図４は、実施形態にかかる情報処理装置の動作例を示すフローチャートである。
【図５】図５は、実施形態にかかる情報処理装置のハードウエア構成例を示すブロック図である。
【発明を実施するための形態】
【００１０】
以下、図面を参照して、実施形態にかかる脅威検出プログラム、脅威検出方法および情報処理装置を説明する。実施形態において同一の機能を有する構成には同一の符号を付し、重複する説明は省略する。なお、以下の実施形態で説明する脅威検出プログラム、脅威検出方法および情報処理装置は、一例を示すに過ぎず、実施形態を限定するものではない。また、以下の各実施形態は、矛盾しない範囲内で適宜組みあわせてもよい。
【００１１】
図１は、実施形態にかかる情報処理装置の機能構成例を示すブロック図である。実施形態にかかる情報処理装置１は、例えば、ＰＣ（パーソナルコンピュータ）、タブレット端末などのコンピュータである。図１に示すように、情報処理装置１は、ＯＳ１０、脅威検出処理部２０、プロセスデータベース３０、ファイルデータベース３１、不審ファイルデータベース３２および表示部４０を有する。
【００１２】
情報処理装置１は、ＯＳ１０の実行環境のもと、脅威検出プログラムを実行することで、脅威検出処理部２０としての機能を実現する。
【００１３】
Ｗｉｎｄｏｗｓ（登録商標）などのＯＳ１０は、プログラムの実行に伴うプロセスについて、プロセスを識別するプロセスＩＤを付与して各プロセスの生成・実行・消滅を管理する。また、ＯＳ１０は、ファイルシステムにおけるファイルアクセスを管理する。
【００１４】
脅威検出処理部２０は、不正に機器に感染するコンピュータウィルス、ワーム、スパイウェアなどの脅威となるマルウェアを検出してアラートを出力する脅威検出処理を行う。
【００１５】
具体的には、脅威検出処理部２０は、ウイルス定義データベースなどを活用するパターンマッチング型のマルウェア検出ではなく、アプリケーションプログラムなどによるプロセスを監視し、マルウェアが動作することで起こる様々な事象を把握してマルウェアの検出を行う。
【００１６】
「ダウンローダー」および「ドロッパー」などのマルウェアは、メールに添付されて送られたときにはマルウェアと判断されず、ユーザーが実行すると、マルウェアの本体をダウンロードして実行する。したがって、メールに添付されたファイルが実行された際に作成されるファイルに関して、知らないファイルの実行はマルウェアにかかる怪しい事象であるという考え方をもとに、マルウェアを検出することができる。すなわち、メールなどのアプリケーションの起動後に新しく作られたファイルにマルウェアとしての疑わしさの度合いを示す脅威レベルを設定し、そのファイルが実行されて生成されたプロセスも同様に脅威レベルを設定する。そして、プロセスの脅威レベルが所定値以上である場合に、マルウェアの検出を出力する。
【００１７】
より具体的には、脅威検出処理部２０は、ＯＳ１０におけるアプリケーション起動、ファイルアクセス、プロセス生成などのイベントをもとに、メールなどのアプリケーションの起動後に新しく作られたファイルおよびプロセスにマルウェアにかかる脅威レベルを設定する。また、脅威検出処理部２０は、プロセスの親プロセスの脅威レベルと、プロセスの生成元のファイルがアプリケーションの起動後に新しく作られたファイルであるか否かの判定結果とをもとに、プロセスの脅威レベルを判定する。
【００１８】
図２は、脅威レベルの設定を説明する説明図である。図２のケースＣ１〜Ｃ４のように、本実施形態では、プロセスの親プロセスの脅威レベルと、プロセスの生成元のファイルの脅威レベル（アプリケーションの起動後に新しく作られたファイルであるか否かの判定結果）とをもとに、プロセスの脅威レベルを判定する。
【００１９】
例えば、ケースＣ１では、プロセスの親プロセスの脅威レベルが０である。また、プロセスの生成元のファイルは、アプリケーションの起動後に新しく作られたファイルではなく、脅威レベルが０である。このようなプロセスについては、マルウェアにかかる怪しい事象ではないことから、プロセスの脅威レベルは０と判定される。
【００２０】
また、ケースＣ２、Ｃ３では、プロセスの親プロセスの脅威レベルおよびプロセスの生成元のファイルの脅威レベルの一方が１である。すなわち、プロセスの親プロセスの脅威レベルが１と判定されている、または、プロセスの生成元のファイルがアプリケーションの起動後に新しく作られたファイルである。このようなプロセスについては、アプリケーションの起動後に新しく作られたファイルの実行などの、マルウェアにかかる怪しい事象に一部当てはまることから、プロセスの脅威レベルは０よりも１段階高い１と判定される。
【００２１】
また、ケースＣ４では、プロセスの親プロセスの脅威レベルおよびプロセスの生成元のファイルの脅威レベルの両方が１である。このようなプロセスについては、アプリケーションの起動後に新しく作られたファイルの実行などの、マルウェアにかかる怪しい事象に当てはまることから、プロセスの脅威レベルは１よりも更に１段階高い２と判定される。
【００２２】
次いで、脅威検出処理部２０は、判定した脅威レベルに応じて、マルウェアにかかる警告を出力する。このようなマルウェア検知により、情報処理装置１は、例えば、「ダウンローダー」および「ドロッパー」などの攻撃手法によりウイルス定義データベースなどに未登録である、未知のマルウェアが実行される場合であっても、脅威として検出することができる。
【００２３】
脅威検出処理部２０は、格納部２１、アクセスイベント処理部２２、生成イベント処理部２３および出力部２４を有する。格納部２１は、ＯＳ１０におけるアプリケーション起動のイベントに応じて、各ファイルのパス情報をＯＳ１０より所得し、ファイルデータベース３１に記憶する。具体的には、格納部２１は、ＯＳ１０にかかるＡＰＩ（Ａｐｐｌｉｃａｔｉｏｎ  Ｐｒｏｇｒａｍｍｉｎｇ  Ｉｎｔｅｒｆａｃｅ）を使用することで、アプリケーションの起動に応じて各ファイルのパス情報をＯＳ１０より所得し、取得したパス情報をファイルデータベース３１に記憶する。
【００２４】
図３は、プロセスデータベース３０、プロセスデータベース３０、不審ファイルデータベース３２を説明する説明図である。図３に示すように、ファイルデータベース３１は、ファイルパスなどのファイルごとの情報を格納するデータベースであり、第１の記憶部の一例である。
【００２５】
なお、アプリケーション起動のイベントについては、標準ブラウザ、電子メールなどの任意のアプリケーションの起動イベントであり、特にアプリケーションの種別などは限定しない。
【００２６】
アクセスイベント処理部２２は、ＯＳ１０にかかるＡＰＩを介し、アプリケーションの起動後のファイルへのアクセスイベントを検出する。次いで、アクセスイベント処理部２２は、アクセスイベントの検出に応じてファイルデータベース３１を参照し、アクセスイベントにおけるアクセス先のファイルのパス情報がファイルデータベース３１に記憶されているか否かを判定する。この判定により、アクセス先のファイルのパスがファイルデータベース３１に記憶されていない場合、アクセスイベント処理部２２は、アクセス先のファイルのパス情報を不審ファイルデータベース３２に記憶する。
【００２７】
図３に示すように、不審ファイルデータベース３２は、アプリケーションの起動後に新たに作成されたファイル（不審ファイル）の情報（ファイルパスなどの）を管理するデータベースであり、第２の記憶部の一例である。
【００２８】
生成イベント処理部２３は、ＯＳ１０にかかるＡＰＩを介し、アプリケーションの起動後のプロセスの生成イベントを検出する。次いで、生成イベント処理部２３は、プロセスの生成イベントの検出に応じてプロセスごとの情報を管理するプロセスデータベース３０を参照し、生成されたプロセスの親プロセスの脅威情報（脅威レベル）を取得する。
【００２９】
図３に示すように、プロセスデータベース３０は、各プロセスについて、プロセスおよびプロセスにおける親プロセスを識別する識別情報（プロセスＩＤおよび親プロセスＩＤ）とともに、プロセスに設定された脅威レベルなどのプロセスにかかる情報を格納するデータベースである。すなわち、プロセスデータベース３０は、第３の記憶部の一例である。
【００３０】
また、生成イベント処理部２３は、プロセスの生成イベントの検出に応じて不審ファイルデータベース３２を参照し、プロセスの生成元のファイルが不審ファイルデータベース３２に記憶されているか否かを判定する。次いで、生成イベント処理部２３は、取得した親プロセスの脅威情報と、プロセスの生成元のファイルが不審ファイルデータベース３２に記憶されているか否かの判定結果に基づいて、生成されたプロセスの脅威レベルを判定する。次いで、生成イベント処理部２３は、生成されたプロセスについて判定した結果を出力部２４に出力する。
【００３１】
例えば、生成イベント処理部２３は、図２のケースＣ１のような場合、生成されたプロセスの脅威レベルを０と判定する。また、生成イベント処理部２３は、図２のケースＣ２、Ｃ３のような場合、生成されたプロセスの脅威レベルを１と判定する。また、生成イベント処理部２３は、図２のケースＣ４のような場合、生成されたプロセスの脅威レベルを２と判定する。
【００３２】
このように、生成イベント処理部２３は、マルウェアにかかる怪しい事象（条件）が当てはまる数に応じてプロセスの脅威レベルを判定してもよい。例えば、プロセスの親プロセスの脅威レベルが１と判定されている、または、プロセスの生成元のファイルがアプリケーションの起動後に新しく作られたファイルである場合は、脅威レベルを１とする。また、上記の条件の両方が当てはまる場合は、脅威レベルを２とする。このように、脅威レベルを判定することで、マルウェアにかかる怪しい事象の観測数に応じてマルウェアの脅威を評価できる。
【００３３】
出力部２４は、生成イベント処理部２３が判定した脅威レベルを生成されたプロセスの識別情報（プロセスＩＤ）に対応付けてプロセスデータベース３０に記憶させるとともに、判定した脅威レベルに応じてマルウェアにかかるプロセスの存在を示す警告を出力する。
【００３４】
なお、出力部２４が出力する警告は、脅威レベルが所定の閾値以上である場合に行ってもよいし、脅威レベルの段階ごとに行ってもよい。例えば、脅威レベルが１である場合は「マルウェアの実行が疑われるプロセスがある」などの、マルウェアの脅威が疑われる程度の警告を出力する。また、脅威レベルが２である場合は「マルウェアの実行に対応するプロセスがある」などの、マルウェアの脅威が確定的であることの警告を出力する。
【００３５】
また、出力部２４における警告の出力は、例えば、表示部４０におけるポップアップメッセージ、バルーン表示などがある。また、出力部２４は、通信部（図示しない）を介した所定のアドレス宛へのメール送信により警告を出力してもよい。また、生成イベント処理部２３は、ログファイル（図示しない）への記録として警告を出力してもよい。ユーザーは、これらの出力を確認することで、マルウェアの攻撃（マルウェアにかかるプロセスの存在）を認識できる。
【００３６】
表示部４０は、ディスプレイなどへの表示出力を行う。例えば、表示部４０は、プロセスデータベース３０より出力されたアラートをディスプレイなどへ表示する。これにより、ユーザーは、アラートの内容を確認することができる。
【００３７】
図４は、実施形態にかかる情報処理装置１の動作例を示すフローチャートである。図４に示すように、処理が開始されると、格納部２１は、ＯＳ１０よりＡＰＩを介して得られた情報をもとに、アプリケーションの起動（アプリ起動）の有無を判定する（Ｓ１）。アプリ起動がない場合（Ｓ１：ＮＯ）、格納部２１は処理を待機する。
【００３８】
アプリ起動がある場合（Ｓ１：ＹＥＳ）、格納部２１は、全てのファイルのパス情報をＯＳ１０より所得し、取得した各ファイルのパス情報をファイルデータベース３１に格納する（Ｓ２）。
【００３９】
次いで、アクセスイベント処理部２２は、ＯＳ１０よりＡＰＩを介して得られた情報をもとに、ファイルへのアクセスイベント（ファイルアクセスイベント）の有無を判定する（Ｓ３）。ファイルアクセスイベントが発生していない場合（Ｓ３：ＮＯ）、アクセスイベント処理部２２は、Ｓ７へ処理を進める。
【００４０】
ファイルアクセスイベントが発生した場合（Ｓ３：ＹＥＳ）、アクセスイベント処理部２２は、アクセスイベントの対象となったファイルのパス情報をファイルデータベース３１から取得し（Ｓ４）、パス情報が取得できたか否かを判定する（Ｓ５）。
【００４１】
パス情報が取得できた場合（Ｓ５：ＹＥＳ）、アプリ起動後に新規に作成されたファイルでないことから、アクセスイベント処理部２２は、アクセスイベントのファイルのパス情報を不審ファイルデータベース３２に格納する（Ｓ６）。
【００４２】
パス情報が取得できなかった場合（Ｓ５：ＮＯ）、アプリ起動後に新規に作成されたファイルであることから、アクセスイベント処理部２２は、アクセスイベントのファイルのパス情報を不審ファイルデータベース３２に格納することなく、Ｓ７へ処理を進める。
【００４３】
次いで、生成イベント処理部２３は、ＯＳ１０よりＡＰＩを介して得られた情報をもとに、プロセスの生成イベント（プロセス生成イベント）の有無を判定する（Ｓ７）。プロセス生成イベントが発生していない場合（Ｓ７：ＮＯ）、生成イベント処理部２３は、処理をリターンする。
【００４４】
プロセス生成イベントが発生した場合（Ｓ７：ＹＥＳ）、生成イベント処理部２３は、生成されたプロセスの親プロセスの脅威レベルをプロセスデータベース３０から取得する（Ｓ８）。次いで、生成イベント処理部２３は、生成されたプロセスの生成元であるファイルのパス情報を不審ファイルデータベース３２から取得する（Ｓ９）。
【００４５】
次いで、生成イベント処理部２３は、Ｓ８で取得した親プロセスの脅威レベルと、Ｓ９において不審ファイルデータベース３２からパス情報が取得できたか否か、すなわち生成されたプロセスの生成元のファイルが不審ファイルデータベース３２に有るか否かをもとに、プロセスの脅威レベルを判定する（Ｓ１０）。具体的には、生成イベント処理部２３は、図２におけるケースＣ１〜Ｃ４のように、プロセスの脅威レベルを判定する。
【００４６】
次いで、出力部２４は、Ｓ１０の判定結果をもとに、プロセスデータベース３０にプロセスの脅威レベルを格納する（Ｓ１１）。次いで、出力部２４は、判定した脅威レベルに応じてマルウェアにかかるプロセスの存在を示す警告を出力する（Ｓ１２）。
【００４７】
以上のように、情報処理装置１の格納部２１は、アプリケーションの起動に応じて、ファイルのパス情報をファイルデータベース３１に記憶する。また、情報処理装置１のアクセスイベント処理部２２は、アプリケーションの起動後のファイルへのアクセスイベントの検出に応じて、アクセス先のファイルのパス情報がファイルデータベース３１に記憶されているか否か判定する。この判定により、アクセス先のファイルのパスがファイルデータベース３１に記憶されていない場合、アクセスイベント処理部２２は、アクセス先のファイルのパスを不審ファイルデータベース３２に記憶する。情報処理装置１の生成イベント処理部２３は、アプリケーションの起動後のプロセスの生成イベントに応じて、プロセスの脅威情報（脅威レベル）を記憶するプロセスデータベース３０を参照して、プロセスの親プロセスの脅威情報を取得する。また、生成イベント処理部２３は、取得した親プロセスの脅威情報と、プロセスの生成元のファイルが不審ファイルデータベース３２に記憶されているかの判定結果に基づいて、プロセスの脅威レベルを判定する。情報処理装置１の出力部２４は、生成イベント処理部２３が判定した脅威レベルをプロセスに対応づけてプロセスデータベース３０に記憶させるとともに、判定した脅威レベルに応じた警告の出力を行う。
【００４８】
これにより、情報処理装置１は、例えば、「ダウンローダー」および「ドロッパー」などの攻撃手法によりウイルス定義データベースなどに未登録である、未知のマルウェアが実行される場合であっても、脅威として検出することができる。
【００４９】
なお、図示した各装置の各構成要素は、必ずしも物理的に図示の如く構成されていることを要しない。すなわち、各装置の分散・統合の具体的形態は図示のものに限られず、その全部または一部を、各種の負荷や使用状況などに応じて、任意の単位で機能的または物理的に分散・統合して構成することができる。
【００５０】
また、情報処理装置１で行われる各種処理機能は、ＣＰＵ（またはＭＰＵ、ＭＣＵ（Ｍｉｃｒｏ  Ｃｏｎｔｒｏｌｌｅｒ  Ｕｎｉｔ）等のマイクロ・コンピュータ）上で、その全部または任意の一部を実行するようにしてもよい。また、各種処理機能は、ＣＰＵ（またはＭＰＵ、ＭＣＵ等のマイクロ・コンピュータ）で解析実行されるプログラム上、またはワイヤードロジックによるハードウエア上で、その全部または任意の一部を実行するようにしてもよいことは言うまでもない。また、情報処理装置１で行われる各種処理機能は、クラウドコンピューティングにより、複数のコンピュータが協働して実行してもよい。
【００５１】
ところで、上記の実施形態で説明した各種の処理は、予め用意されたプログラムをコンピュータで実行することで実現できる。そこで、以下では、上記の実施形態と同様の機能を有するプログラムを実行するコンピュータ（ハードウエア）の一例を説明する。図５は、実施形態にかかる情報処理装置１のハードウエア構成例を示すブロック図である。
【００５２】
図５に示すように、情報処理装置１は、各種演算処理を実行するＣＰＵ１０１と、データ入力を受け付ける入力装置１０２と、モニタ１０３と、スピーカ１０４とを有する。また、情報処理装置１は、記憶媒体からプログラム等を読み取る媒体読取装置１０５と、各種装置と接続するためのインタフェース装置１０６と、有線または無線により外部機器と通信接続するための通信装置１０７とを有する。また、情報処理装置１は、各種情報を一時記憶するＲＡＭ１０８と、ハードディスク装置１０９とを有する。また、情報処理装置１内の各部（１０１〜１０９）は、バス１１０に接続される。
【００５３】
ハードディスク装置１０９には、上記の実施形態で説明した脅威検出処理部２０における格納部２１、アクセスイベント処理部２２、生成イベント処理部２３および出力部２４などで各種の処理を実行するためのプログラム１１１が記憶される。また、ハードディスク装置１０９には、プログラム１１１が参照する各種データ１１２が記憶される。入力装置１０２は、例えば、情報処理装置１の操作者から操作情報の入力を受け付ける。モニタ１０３は、例えば、操作者が操作する各種画面を表示する。インタフェース装置１０６は、例えば印刷装置等が接続される。通信装置１０７は、ＬＡＮ（Ｌｏｃａｌ  Ａｒｅａ  Ｎｅｔｗｏｒｋ）等の通信ネットワークと接続され、通信ネットワークを介した外部機器との間で各種情報をやりとりする。
【００５４】
ＣＰＵ１０１は、ハードディスク装置１０９に記憶されたプログラム１１１を読み出して、ＲＡＭ１０８に展開して実行することで、各種の処理を行う。なお、プログラム１１１は、ハードディスク装置１０９に記憶されていなくてもよい。例えば、情報処理装置１が読み取り可能な記憶媒体に記憶されたプログラム１１１を読み出して実行するようにしてもよい。情報処理装置１が読み取り可能な記憶媒体は、例えば、ＣＤ−ＲＯＭやＤＶＤディスク、ＵＳＢ（Ｕｎｉｖｅｒｓａｌ  Ｓｅｒｉａｌ  Ｂｕｓ）メモリ等の可搬型記録媒体、フラッシュメモリ等の半導体メモリ、ハードディスクドライブ等が対応する。また、公衆回線、インターネット、ＬＡＮ等に接続された装置にこのプログラム１１１を記憶させておき、情報処理装置１がこれらからプログラム１１１を読み出して実行するようにしてもよい。
【００５５】
以上の実施形態に関し、さらに以下の付記を開示する。
【００５６】
（付記１）アプリケーションの起動に応じて、ファイルのパス情報を第１の記憶部に記憶し、
前記アプリケーションの起動後のファイルへのアクセスイベントの検出に応じて、アクセス先のファイルのパス情報が前記第１の記憶部に記憶されているか否か判定し、
判定により、前記アクセス先のファイルのパスが前記第１の記憶部に記憶されていない場合、前記アクセス先のファイルのパスを第２の記憶部に記憶し、
前記アプリケーションの起動後のプロセスの生成イベントに応じて、プロセスの脅威情報を記憶する第３の記憶部を参照して、該プロセスの親プロセスの脅威情報を取得し、
取得した前記親プロセスの脅威情報と、前記プロセスの生成元のファイルが前記第２の記憶部に記憶されているかの判定結果に基づいて、前記プロセスの脅威レベルを判定し、
判定した脅威レベルを前記プロセスに対応づけて前記第３の記憶部に記憶させるとともに、判定した該脅威レベルに応じた出力を行う、
処理をコンピュータに実行させることを特徴とする脅威検出プログラム。
【００５７】
（付記２）前記プロセスの脅威レベルを判定する処理は、前記親プロセスの脅威情報に脅威が示されている、および、前記プロセスの生成元のファイルが前記第２の記憶部に記憶されているとする２つの条件のうちの一方が満たされている場合には第１の脅威レベルと判定し、前記２つの条件の両方が満たされている場合には前記第１の脅威レベルよりも高いレベルの第２の脅威レベルと判定する、
ことを特徴とする付記１に記載の脅威検出プログラム。
【００５８】
（付記３）アプリケーションの起動に応じて、ファイルのパス情報を第１の記憶部に記憶し、
前記アプリケーションの起動後のファイルへのアクセスイベントの検出に応じて、アクセス先のファイルのパス情報が前記第１の記憶部に記憶されているか否か判定し、
判定により、前記アクセス先のファイルのパスが前記第１の記憶部に記憶されていない場合、前記アクセス先のファイルのパスを第２の記憶部に記憶し、
前記アプリケーションの起動後のプロセスの生成イベントに応じて、プロセスの脅威情報を記憶する第３の記憶部を参照して、該プロセスの親プロセスの脅威情報を取得し、
取得した前記親プロセスの脅威情報と、前記プロセスの生成元のファイルが前記第２の記憶部に記憶されているかの判定結果に基づいて、前記プロセスの脅威レベルを判定し、
判定した脅威レベルを前記プロセスに対応づけて前記第３の記憶部に記憶させるとともに、判定した該脅威レベルに応じた出力を行う、
処理をコンピュータが実行することを特徴とする脅威検出方法。
【００５９】
（付記４）前記プロセスの脅威レベルを判定する処理は、前記親プロセスの脅威情報に脅威が示されている、および、前記プロセスの生成元のファイルが前記第２の記憶部に記憶されているとする２つの条件のうちの一方が満たされている場合には第１の脅威レベルと判定し、前記２つの条件の両方が満たされている場合には前記第１の脅威レベルよりも高いレベルの第２の脅威レベルと判定する、
ことを特徴とする付記３に記載の脅威検出方法。
【００６０】
（付記５）アプリケーションの起動に応じて、ファイルのパス情報を第１の記憶部に記憶する格納部と、
前記アプリケーションの起動後のファイルへのアクセスイベントの検出に応じて、アクセス先のファイルのパス情報が前記第１の記憶部に記憶されているか否か判定し、該判定により、前記アクセス先のファイルのパスが前記第１の記憶部に記憶されていない場合、前記アクセス先のファイルのパスを第２の記憶部に記憶するアクセスイベント処理部と、
前記アプリケーションの起動後のプロセスの生成イベントに応じて、プロセスの脅威情報を記憶する第３の記憶部を参照して、該プロセスの親プロセスの脅威情報を取得し、取得した前記親プロセスの脅威情報と、前記プロセスの生成元のファイルが前記第２の記憶部に記憶されているかの判定結果に基づいて、前記プロセスの脅威レベルを判定する生成イベント処理部と、
判定した脅威レベルを前記プロセスに対応づけて前記第３の記憶部に記憶させるとともに、判定した該脅威レベルに応じた出力を行う出力部と、
を有することを特徴とする情報処理装置。
【００６１】
（付記６）前記生成イベント判定部は、前記親プロセスの脅威情報に脅威が示されている、および、前記プロセスの生成元のファイルが前記第２の記憶部に記憶されているとする２つの条件のうちの一方が満たされている場合には第１の脅威レベルと判定し、前記２つの条件の両方が満たされている場合には前記第１の脅威レベルよりも高いレベルの第２の脅威レベルと判定する、
ことを特徴とする付記５に記載の情報処理装置。
【符号の説明】
【００６２】
１…情報処理装置
１０…ＯＳ
２０…脅威検出処理部
２１…格納部
２２…アクセスイベント処理部
２３…生成イベント処理部
２４…出力部
３０…プロセスデータベース
３１…ファイルデータベース
３２…不審ファイルデータベース
４０…表示部
１０１…ＣＰＵ
１０２…入力装置
１０３…モニタ
１０４…スピーカ
１０５…媒体読取装置
１０６…インタフェース装置
１０７…通信装置
１０８…ＲＡＭ
１０９…ハードディスク装置
１１０…バス
１１１…プログラム
１１２…各種データ
Ｃ１〜Ｃ４…ケース
【図１】
2018200642.tif 000003
【図２】
2018200642.tif 000004
【図３】
2018200642.tif 000005
【図４】
2018200642.tif 000006
【図５】
2018200642.tif 000007