(57)【要約】【課題】マルウェア感染のリスクがある端末装置の絞り込みに有用な情報を提供すること。【解決手段】第１の端末装置のマルウェア感染リスクを示す通知を取得すると、複数の端末装置による処理の実行履歴１１ａを記憶する記憶部１１を参照して、複数の端末装置のうち、第１の端末装置が保有するいずれかの情報Ａへのアクセスを伴う処理を実行した第２の端末装置を実行履歴１１ａに基づいて特定し、特定した第２の端末装置における実行内容に基づき、第２の端末装置のマルウェア感染の危険度を評価し、評価結果を出力する、処理をコンピュータに実行させる出力プログラムが提供される。【選択図】図１
2018160170.tif 000002
【特許請求の範囲】
【請求項１】
第１の端末装置のマルウェア感染リスクを示す通知を取得すると、複数の端末装置による処理の実行履歴を記憶する記憶部を参照して、前記複数の端末装置のうち、前記第１の端末装置が保有するいずれかの情報へのアクセスを伴う処理を実行した第２の端末装置を前記実行履歴に基づいて特定し、
特定した前記第２の端末装置における実行内容に基づき、前記第２の端末装置のマルウェア感染の危険度を評価し、評価結果を出力する、
処理をコンピュータに実行させることを特徴とする出力プログラム。
【請求項２】
マルウェア感染の危険度と前記実行内容とを対応付ける危険度情報をさらに記憶する前記記憶部を参照し、前記危険度情報を利用して前記実行履歴を特定する、
処理をコンピュータに実行させることを特徴とする請求項１に記載の出力プログラム。
【請求項３】
前記複数の端末装置がアクセス可能な記憶装置に格納された前記いずれかの情報と同名の情報又は前記いずれかの情報と同一の基準を満たす情報のプロパティが更新された場合、前記複数の端末装置のうちの前記更新の処理を実行した端末装置から前記プロパティの情報を受け付け、受け付けた前記プロパティの情報に基づき、該端末装置についての前記実行履歴を生成する、
処理をコンピュータに実行させることを特徴とする請求項１に記載の出力プログラム。
【請求項４】
前記出力プログラムは、
前記複数の端末装置のうち、前記いずれかの情報と同名の情報又は前記いずれかの情報と同一の基準を満たす情報を保有し、かつ前記いずれかの情報の更新時点を含む対象期間に前記同名の情報又は前記同一の基準を満たす情報を前記記憶装置へコピーした端末装置を前記第２の端末装置として特定する、
処理をコンピュータに実行させることを特徴とする請求項３に記載の出力プログラム。
【請求項５】
前記危険度情報は、前記実行内容として、前記記憶装置にある情報へのアクセスを伴う処理か否か、該アクセスがリモートログオンを伴うか否か、該アクセス又は該リモートログオンの失敗回数が閾値以上か否かを含み、
前記実行内容は、前記複数の端末装置から得られるログ情報に基づいて特定される、
ことを特徴とする請求項２に記載の出力プログラム。
【請求項６】
第１の端末装置のマルウェア感染リスクを示す通知を取得すると、複数の端末装置による処理の実行履歴を記憶する記憶部を参照して、前記複数の端末装置のうち、前記第１の端末装置が保有するいずれかの情報へのアクセスを伴う処理を実行した第２の端末装置を前記実行履歴に基づいて特定し、
特定した前記第２の端末装置における実行内容に基づき、前記第２の端末装置のマルウェア感染の危険度を評価し、
評価結果を出力する、演算部を有することを特徴とする情報処理装置。
【請求項７】
コンピュータが、
第１の端末装置のマルウェア感染リスクを示す通知を取得すると、複数の端末装置による処理の実行履歴を記憶する記憶部を参照して、前記複数の端末装置のうち、前記第１の端末装置が保有するいずれかの情報へのアクセスを伴う処理を実行した第２の端末装置を前記実行履歴に基づいて特定し、
特定した前記第２の端末装置における実行内容に基づき、前記第２の端末装置のマルウェア感染の危険度を評価し、
評価結果を出力する、ことを特徴とする出力方法。
【請求項８】
複数の端末装置がアクセス可能な記憶装置に格納されたいずれかのファイルのプロパティを前記複数の端末装置のうちの前記ファイルへの更新処理を実行した端末装置から受け付け、受け付けた前記ファイルのプロパティと、前記ファイルへの更新処理を実行した端末装置の実行履歴とに基づき、前記ファイルへの更新処理を実行した端末装置の実行履歴を生成する、
処理をコンピュータに実行させることを特徴とする生成プログラム。
【請求項９】
コンピュータが、
複数の端末装置がアクセス可能な記憶装置に格納されたいずれかのファイルのプロパティを前記複数の端末装置のうちの前記ファイルへの更新処理を実行した端末装置から受け付け、受け付けた前記ファイルのプロパティと、前記ファイルへの更新処理を実行した端末装置の実行履歴とに基づき、前記ファイルへの更新処理を実行した端末装置の実行履歴を生成する、ことを特徴とする生成方法。
【請求項１０】
複数の端末装置がアクセス可能な記憶装置に格納されたいずれかのファイルのプロパティを前記複数の端末装置のうちの前記ファイルへの更新処理を実行した端末装置から受け付け、受け付けた前記ファイルのプロパティと、前記ファイルへの更新処理を実行した端末装置の実行履歴とに基づき、前記ファイルへの更新処理を実行した端末装置の実行履歴を生成する演算部を有することを特徴とする情報処理装置。
【請求項１１】
第１の端末装置が保有するファイルを特定し、
特定した前記ファイルと同一基準を満たすファイルを有する第２の端末装置を特定し、
特定した前記第２の端末装置の実行履歴に基づき、該第２の端末装置の評価を行い、
評価結果を出力する、
処理をコンピュータに実行させることを特徴とする出力プログラム。
【請求項１２】
コンピュータが、
第１の端末装置が保有するファイルを特定し、
特定した前記ファイルと同一基準を満たすファイルを有する第２の端末装置を特定し、
特定した前記第２の端末装置の実行履歴に基づき、該第２の端末装置の評価を行い、
評価結果を出力する、ことを特徴とする出力方法。
【請求項１３】
第１の端末装置が保有するファイルを特定し、
特定した前記ファイルと同一基準を満たすファイルを有する第２の端末装置を特定し、
特定した前記第２の端末装置の実行履歴に基づき、該第２の端末装置の評価を行い、
評価結果を出力する演算部を有する、ことを特徴とする情報処理装置。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、出力プログラム、情報処理装置、出力方法、生成プログラム、及び生成方法に関する。
【背景技術】
【０００２】
近年、標的型攻撃による被害が深刻化している。例えば、攻撃者は、有害ファイルを添付した電子メールを被攻撃者のコンピュータに送信する。電子メールの本文は通常の業務や依頼に見せかける内容であるため、被攻撃者は、電子メールに添付された有害ファイルを気軽に開いてしまうことがある。被攻撃者が有害ファイルを開くと、被攻撃者のコンピュータは、悪意あるＷｅｂサイトに誘導されてマルウェアに感染する。マルウェアに感染したコンピュータは、例えば、そのコンピュータにある情報を外部に漏洩させる。
【０００３】
上記のように、標的型攻撃では、正当な操作や通信を偽装する方法で攻撃が進行するため、マルウェアの感染被害が発覚するまでに長い時間がかかり、感染被害の拡大が深刻化する。そのため、マルウェアの感染被害が検出された場合、感染被害の範囲を迅速に把握し、その範囲にあるコンピュータに対して感染除去の作業を行うことで、感染被害の拡大リスクを抑圧することができる。
【０００４】
感染被害の範囲を把握する方法としては、例えば、被攻撃者のコンピュータによる現在又は過去のアクセスがある他のコンピュータやネットワーク機器などのログを採取し、ログの分析結果に基づいて感染被害の範囲を絞り込む方法がある。しかし、ログの量が膨大な場合には分析に長い時間がかかる上、企業の機密情報や個人情報を扱うサーバ装置などのログは容易に提供されないことがある。例えば、ファイルサーバにある共有フォルダのファイルに被攻撃者のコンピュータがアクセスしている形跡がある場合でもファイルサーバのログを採取することが困難なことが多い。
【０００５】
なお、マルウェアなどのウィルスや標的型攻撃による拡散活動を精度良く早期に検知するウィルス検知システムが提案されている。このウィルス検知システムでは、端末装置間の通信及び各端末装置の活動を監視し、通信及び活動の情報を拡散活動検知装置に集約する作業が実施される。また、この拡散活動検知装置は、第１のポリシーに基づいて通信及び活動が不審か否かを判断し、第２のポリシーに基づいて端末装置が不審か否かを判断する。さらに、この拡散活動検知装置は、不審な端末装置同士の関連性をグラフで表現し、そのグラフに基づいてウィルスの拡散活動を検知する。
【０００６】
但し、上記の提案技術では、通常の業務で行われる通信及び活動と、不審な通信及び活動とをテンプレートとして学習を実施し、その学習結果に基づいて不審か否かの判定基準（第１・第２のポリシー）を構築する仕組みが採用されている。
【先行技術文献】
【特許文献】
【０００７】
【特許文献１】特開２０１６−６６２８２号公報
【発明の概要】
【発明が解決しようとする課題】
【０００８】
管理上の理由からファイルサーバのログが得られない場合や、被攻撃者がクラウドストレージなどを利用していてアクセス先のサーバ装置からログが得られない場合、迅速に感染被害の範囲を絞り込むことは難しい。ファイルサーバなどのログを利用せずに、通常の業務で行われる端末装置の通信及び活動を偽装する攻撃の被害範囲を把握することができれば、感染被害が拡大するリスクを低減しうる。そのため、まず、ファイルサーバなどのログを利用せずに、各端末装置におけるマルウェア感染のリスクを把握できるようにすることが１つの課題となる。
【０００９】
１つの側面によれば、本発明の目的は、マルウェア感染のリスクがある端末装置の絞り込みに有用な情報を提供できる出力プログラム、情報処理装置、出力方法、生成プログラム、及び生成方法を提供することにある。
【課題を解決するための手段】
【００１０】
一態様によれば、第１の端末装置のマルウェア感染リスクを示す通知を取得すると、複数の端末装置による処理の実行履歴を記憶する記憶部を参照して、複数の端末装置のうち、第１の端末装置が保有するいずれかの情報へのアクセスを伴う処理を実行した第２の端末装置を実行履歴に基づいて特定し、特定した第２の端末装置における実行内容に基づき、第２の端末装置のマルウェア感染の危険度を評価し、評価結果を出力する、処理をコンピュータに実行させる出力プログラムが提供される。
【発明の効果】
【００１１】
マルウェア感染のリスクがある端末装置の絞り込みに有用な情報を提供できる。
【図面の簡単な説明】
【００１２】
【図１】第１実施形態に係る情報処理装置の一例を示した図である。
【図２】第２実施形態に係る情報処理システムの一例を示した図である。
【図３】マルウェア感染の拡大について説明するための図である。
【図４】第２実施形態に係る情報処理装置の機能を実現可能なハードウェアの一例を示したブロック図である。
【図５】第２実施形態に係る情報処理装置が有する機能の一例を示したブロック図である。
【図６】第２実施形態に係る状態判定テーブルの一例を示した第１の図である。
【図７】第２実施形態に係る状態判定テーブルの一例を示した第２の図である。
【図８】第２実施形態に係る判定結果テーブルの一例を示した図である。
【図９】第２実施形態に係るログ情報に含まれるプロパティ更新履歴の一例を示した図である。
【図１０】第２実施形態に係るログ情報に含まれる同名ファイルリストの一例を示した図である。
【図１１】第２実施形態に係るログ情報に含まれるファイルアクセスログのうちＡＰＰアクセスログの一例を示した図である。
【図１２】第２実施形態に係るログ情報に含まれるファイルアクセスログのうちＲＦプロパティログの一例を示した図である。
【図１３】第２実施形態に係るログ情報に含まれるファイルアクセスログのうちＬＦプロパティログの一例を示した図である。
【図１４】第２実施形態に係るログ情報に含まれるイベントログのうちアラート履歴の一例を示した図である。
【図１５】第２実施形態に係るログ情報に含まれるイベントログのうちアクセス履歴の一例を示した図である。
【図１６】第２実施形態に係るログ情報に含まれる解析用ログの一例（ＰＣ＃１用）を示した図である。
【図１７】第２実施形態に係るログ情報に含まれる解析用ログの一例（ＰＣ＃２用）を示した図である。
【図１８】第２実施形態に係るＡＰＰアクセスログの蓄積について説明するための図である。
【図１９】第２実施形態に係るＲＦプロパティログの蓄積について説明するための図である。
【図２０】第２実施形態に係る解析結果（マルウェア感染リスク）の出力について説明するための図である。
【図２１】第２実施形態に係る情報処理システムの動作について説明するためのシーケンス図である。
【図２２】第２実施形態に係るＡＰＰアクセスログの蓄積に関する処理の流れを示したフロー図である。
【図２３】第２実施形態に係るＲＦプロパティログの蓄積に関する処理の流れを示したフロー図である。
【図２４】第２実施形態に係るＬＦプロパティログの蓄積に関する処理の流れを示したフロー図である。
【図２５】第２実施形態に係る解析用ログの生成処理の流れを示したフロー図である。
【図２６】第２実施形態に係る判定処理の流れを示した第１のフロー図である。
【図２７】第２実施形態に係る判定処理の流れを示した第２のフロー図である。
【図２８】第２実施形態に係る判定処理及び判定結果テーブルの更新処理の流れについて説明するための図である。
【図２９】第２実施形態の一変形例に係る非追跡ルールテーブルの一例を示した図である。
【図３０】第２実施形態の一変形例に係る非追跡マシンテーブルの一例を示した図である。
【図３１】第２実施形態の一変形例に係る対象リストへのＰＣの追加処理の流れを示したフロー図である。
【発明を実施するための形態】
【００１３】
以下に添付図面を参照しながら、本発明の実施形態について説明する。なお、本明細書及び図面において実質的に同一の機能を有する要素については、同一の符号を付することにより重複説明を省略する場合がある。
【００１４】
＜１．第１実施形態＞
図１を参照しながら、第１実施形態について説明する。第１実施形態は、端末装置から容易に採取可能な情報を利用して各端末装置における感染リスクの程度（危険度）を評価し、その評価結果を出力する仕組みに関する。図１は、第１実施形態に係る情報処理装置の一例を示した図である。なお、図１に示した情報処理装置１０は、第１実施形態に係る情報処理装置の一例である。
【００１５】
図１に示すように、情報処理装置１０は、記憶部１１及び演算部１２を有する。
記憶部１１は、ＲＡＭ（Random Access Memory）などの揮発性記憶装置、或いは、ＨＤＤ（Hard Disk Drive）やフラッシュメモリなどの不揮発性記憶装置である。演算部１２は、ＣＰＵ（Central Processing Unit）やＤＳＰ（Digital Signal Processor）などのプロセッサである。但し、演算部１２は、ＡＳＩＣ（Application Specific Integrated Circuit）やＦＰＧＡ（Field Programmable Gate Array）などの電子回路であってもよい。演算部１２は、例えば、記憶部１１などのメモリに記憶されたプログラムを実行する。
【００１６】
情報処理装置１０は、ネットワークＮＷを介して端末装置２１、２２、２３、及び記憶装置３０と通信する。ネットワークＮＷは、例えば、ＬＡＮ（Local Area Network）やＷＡＮ（Wide Area Network）、或いは、ＷＬＡＮ（Wireless LAN）や携帯電話回線などの有線及び／又は無線の通信回線網である。
【００１７】
端末装置２１、２２、２３は、例えば、ＰＣ（Personal Computer）、サーバ装置、通信装置（無線基地局、無線中継局、移動体端末、ルータ）などである。
記憶装置３０は、例えば、ＮＡＳ（Network Attached Storage）、ファイルサーバ、クラウドストレージなどのストレージ装置である。記憶装置３０には、例えば、ＨＤＤやＳＳＤ（Solid State Drive）などの記録媒体、或いは、複数の記録媒体を接続して冗長化したＲＡＩＤ（Redundant Arrays of Inexpensive Disks）装置などが搭載される。記憶装置３０は、端末装置２１、２２、２３によるアクセスが許可されている記憶領域である。図１の例では、端末装置２１が保有する情報Ａが記憶装置３０に格納されている。また、端末装置２１は、第１の端末装置の一例である。
【００１８】
記憶部１１は、端末装置２１、２２、２３による処理の実行履歴１１ａを記憶する。実行履歴１１ａは、端末装置２１、２２、２３で過去に実行されたイベント（操作や処理）に関する情報を含む。
【００１９】
図１の実行履歴１１ａには、イベントが実行された時間、イベントの内容、イベントの対象、及びイベントを実行した端末装置の情報が含まれている。実行履歴１１ａに含まれる情報は、例えば、端末装置２１、２２、２３のログ（Log）や、記憶装置３０にある情報のプロパティ（Property）から得られる。なお、このプロパティは、端末装置２１、２２、２３から容易に採取可能な情報である。
【００２０】
図１の例において、実行履歴１１ａは、時間「１０：０５」、イベント「作成」、対象「Ａ＠ＳＶ」、端末装置「２１」を対応付けている。なお、ＳＶは、記憶装置３０を表す。「Ａ＠ＳＶ」は、記憶装置３０にある情報Ａを表す。これらの情報は、時刻１０：０５に、端末装置２１が、記憶装置３０に情報Ａを作成したことを示している。なお、端末装置の欄にある「２２（ｖｉａ  ２３）」は、端末装置２３によるリモート操作で端末装置２２によるイベントが実行されたことを示す。
【００２１】
記憶部１１は、マルウェア感染の危険度に関する危険度情報１１ｂをさらに記憶していてもよい。図１に例示した危険度情報１１ｂは、マルウェア感染の危険度（感染リスクの大きさ）と実行内容とを対応付ける情報である。
【００２２】
危険度情報１１ｂは、例えば、該当情報の保持／不保持、ログオンの種類（ローカル／リモート）、及びログオンに失敗した回数の組み合わせと、危険度とを対応付ける。上記の該当情報は、感染リスクのある端末装置が保有する情報と同名の情報又は同一の基準を満たす情報である。基準としては、例えば、ファイルサイズや更新日時などの属性が同じであるかなどを適用できる。属性は、例えば、情報に付与されるプロパティなどを参照することで取得することができる。
【００２３】
端末装置の感染リスクは、例えば、マルウェア検知製品（端末装置２１、２２、２３、記憶装置３０に搭載されるアンチウィルスソフトウェアや、ネットワークＮＷ上にある感染検知装置（非図示；ハードウェア））により検出されうる。
【００２４】
リモートログオンされている端末装置は、攻撃の踏み台になっている可能性が高い。ログオンの失敗回数が多い端末装置は、攻撃を受けている可能性が高い。また、該当情報を保持している端末装置は、感染リスクのある端末装置が保有する情報へのアクセスを介してマルウェアに感染している可能性が高い。図１に例示した危険度情報１１ｂは、これらの要素を考慮して設定されている。なお、図１に示した危険度情報１１ｂは一例であり、実行内容の項目や危険度の設定を変形してもよい。
【００２５】
演算部１２は、端末装置２１のマルウェア感染リスクを示す通知１２ａを取得すると、端末装置２１、２２、２３のうち、端末装置２１が保有するいずれかの情報Ａへのアクセスを伴う処理を実行した端末装置２２を実行履歴１１ａに基づいて特定する（１２ｂ）。なお、端末装置２２は、第２の端末装置の一例である。
【００２６】
また、演算部１２は、特定した端末装置２２における実行内容に基づいて端末装置２２のマルウェア感染の危険度を評価し、評価結果を出力する（１２ｃ）。
図１の例では、危険度情報１１ｂに基づいて端末装置２２の危険度が「中」と評価され、評価結果として危険度「中」という情報が出力される。例えば、演算部１２は、情報処理装置１０に接続されているディスプレイ装置（非図示）や、ネットワークＮＷを介して情報処理装置１０に接続されている管理端末（非図示）のディスプレイ装置（非図示）に評価結果を表示させる。
【００２７】
上記のように、端末装置２１、２２、２３から容易に採取可能な情報を利用して感染リスクに関する評価結果を出力することで、感染拡大の範囲を把握するために有用な情報が提供される。また、感染リスクの程度が端末装置毎に示されることで、通信断やアクセス制限を実施する箇所を適切に選択することができ、感染拡大の防止に寄与する。
【００２８】
以上、第１実施形態について説明した。
＜２．第２実施形態＞
次に、第２実施形態について説明する。第２実施形態は、ＰＣから容易に採取可能な情報を利用して各ＰＣにおける感染リスクの程度（危険度）を評価し、その評価結果を出力する仕組みに関する。
【００２９】
［２−１．システム］
図２を参照しながら、第２実施形態に係る情報処理システムについて説明する。図２は、第２実施形態に係る情報処理システムの一例を示した図である。なお、図２に例示した情報処理システム（System）１００は、第２実施形態に係る情報処理システムの一例である。
【００３０】
図２に示すように、情報処理システム１００は、情報処理装置１０１、ＰＣ１０２、１０３、ＦＳＶ（File Server）２０１、及びストレージ装置（Storage）２０２を有する。情報処理装置１０１、ＰＣ１０２、１０３、及びＦＳＶ２０１は、ネットワークＮＷを介して接続されている。ネットワークＮＷは、例えば、ＬＡＮやＷＡＮ、或いは、ＷＬＡＮや携帯電話回線などの通信回線網である。
【００３１】
ストレージ装置２０２は、例えば、ＨＤＤやＳＳＤなどの記録媒体、或いは、複数の記録媒体を組み合わせて冗長化したＲＡＩＤ装置などである。ストレージ装置２０２は、ＦＳＶ２０１に接続される。ストレージ装置２０２には、ＬＶ（Logical Volume）などの記憶領域が設定される。また、ストレージ装置２０２の記憶領域には、例えば、ＰＣ１０２、１０３によるアクセスを許可する共有フォルダ（Share）２０２ａが設定される。
【００３２】
なお、図２の例ではＰＣの台数が２台であるが、３台以上のＰＣがネットワークＮＷに接続されうる。また、以下の説明では、説明の都合上、ＰＣ１０２をＰＣ＃１、ＰＣ１０３をＰＣ＃２と表記する場合がある。また、ＰＣ＃ｋ（ｋ＝３、４、…）という表記は、ネットワークＮＷに接続されている非図示のＰＣを意味する場合がある。また、後述する情報処理装置１０１の機能は、ＰＣ１０２、１０３に搭載することも可能である。
【００３３】
以下、図２に示した情報処理システム１００を例に説明を進める。
上記のように、ストレージ装置２０２には共有フォルダ２０２ａが設定され、ＰＣ１０２、１０３によるアクセスが許容される。この場合、ＰＣ１０２がマルウェアに感染し、ＰＣ１０２が保有する共有フォルダ２０２ａ上のファイル（共有ファイル２０２ｂ）が有害ファイルに書き換えられると、共有フォルダ２０２ａへのアクセスにより他のＰＣに感染が拡大するリスクが生じる。
【００３４】
例えば、図３に示すように、ＰＣ＃１にマルウェア感染が生じると、マルウェアにより共有ファイル２０２ｂが有害ファイルに書き換えられることがある。図３は、マルウェア感染の拡大について説明するための図である。有害ファイルに書き換えられた共有ファイル２０２ｂをＰＣ＃２が利用すると、ＰＣ＃２がマルウェアに感染しうる。同様に、ＰＣ＃２が共有フォルダ２０２ａにある他のファイルを書き換えることで、ネットワークＮＷに接続されている他のＰＣに感染が拡大するリスクも生じる。
【００３５】
情報処理システム１００では、各ＰＣが、ログオン／ログオフの監視、ログオンアカウントの監視、ローカルファイルシステムの監視、ハンドル操作の監視などを実施し、各ＰＣが採取可能な情報を利用して情報処理装置１０１が感染リスクを評価する。なお、情報処理システム１００では、ＦＳＶ２０１のログが情報処理装置１０１に提供されないと仮定する。但し、共有ファイル２０２ｂのプロパティなど、特別な権限無く各ＰＣに参照が認められているような情報は情報処理装置１０１により利用されうる。
【００３６】
以上、情報処理システム１００について説明した。
［２−２．ハードウェア］
ここで、図４を参照しながら、情報処理装置１０１のハードウェアについて説明する。図４は、第２実施形態に係る情報処理装置の機能を実現可能なハードウェアの一例を示したブロック図である。
【００３７】
情報処理装置１０１が有する機能は、例えば、図４に示すハードウェア資源を用いて実現することが可能である。つまり、情報処理装置１０１が有する機能は、コンピュータプログラムを用いて図４に示すハードウェアを制御することにより実現される。
【００３８】
図４に示すように、このハードウェアは、主に、ＣＰＵ９０２と、ＲＯＭ（Read Only Memory）９０４と、ＲＡＭ９０６と、ホストバス９０８と、ブリッジ９１０とを有する。さらに、このハードウェアは、外部バス９１２と、インターフェース９１４と、入力部９１６と、出力部９１８と、記憶部９２０と、ドライブ９２２と、接続ポート９２４と、通信部９２６とを有する。
【００３９】
ＣＰＵ９０２は、例えば、演算処理装置又は制御装置として機能し、ＲＯＭ９０４、ＲＡＭ９０６、記憶部９２０、又はリムーバブル記録媒体９２８に記録された各種プログラムに基づいて各構成要素の動作全般又はその一部を制御する。ＲＯＭ９０４は、ＣＰＵ９０２に読み込まれるプログラムや演算に用いるデータなどを格納する記憶装置の一例である。ＲＡＭ９０６には、例えば、ＣＰＵ９０２に読み込まれるプログラムや、そのプログラムを実行する際に変化する各種パラメータなどが一時的又は永続的に格納される。
【００４０】
これらの要素は、例えば、高速なデータ伝送が可能なホストバス９０８を介して相互に接続される。一方、ホストバス９０８は、例えば、ブリッジ９１０を介して比較的データ伝送速度が低速な外部バス９１２に接続される。また、入力部９１６としては、例えば、マウス、キーボード、タッチパネル、タッチパッド、ボタン、スイッチ、及びレバーなどが用いられる。さらに、入力部９１６としては、赤外線やその他の電波を利用して制御信号を送信することが可能なリモートコントローラが用いられることもある。
【００４１】
出力部９１８としては、例えば、ＣＲＴ（Cathode Ray Tube）、ＬＣＤ（Liquid Crystal Display）、ＰＤＰ（Plasma Display Panel）、又はＥＬＤ（Electro-Luminescence Display）などのディスプレイ装置が用いられる。また、出力部９１８として、スピーカやヘッドホンなどのオーディオ出力装置、又はプリンタなどが用いられることもある。つまり、出力部９１８は、情報を視覚的又は聴覚的に出力することが可能な装置である。
【００４２】
記憶部９２０は、各種のデータを格納するための装置である。記憶部９２０としては、例えば、ＨＤＤなどの磁気記憶デバイスが用いられる。また、記憶部９２０として、ＳＳＤやＲＡＭディスクなどの半導体記憶デバイス、光記憶デバイス、又は光磁気記憶デバイスなどが用いられてもよい。
【００４３】
ドライブ９２２は、着脱可能な記録媒体であるリムーバブル記録媒体９２８に記録された情報を読み出し、又はリムーバブル記録媒体９２８に情報を書き込む装置である。リムーバブル記録媒体９２８としては、例えば、磁気ディスク、光ディスク、光磁気ディスク、又は半導体メモリなどが用いられる。
【００４４】
接続ポート９２４は、例えば、ＵＳＢ（Universal Serial Bus）ポート、ＩＥＥＥ１３９４ポート、ＳＣＳＩ（Small Computer System Interface）、ＲＳ−２３２Ｃポート、又は光オーディオ端子など、外部接続機器９３０を接続するためのポートである。外部接続機器９３０としては、例えば、プリンタなどが用いられる。
【００４５】
通信部９２６は、ネットワーク９３２に接続するための通信デバイスである。通信部９２６としては、例えば、有線又は無線ＬＡＮ用の通信回路、ＷＵＳＢ（Wireless USB）用の通信回路、光通信用の通信回路やルータ、ＡＤＳＬ（Asymmetric Digital Subscriber Line）用の通信回路やルータ、携帯電話ネットワーク用の通信回路などが用いられうる。通信部９２６に接続されるネットワーク９３２は、有線又は無線により接続されたネットワークであり、例えば、インターネット、ＬＡＮ、放送網、衛星通信回線などを含む。
【００４６】
以上、情報処理装置１０１のハードウェアについて説明した。
なお、ＰＣ１０２、１０３、ＦＳＶ２０１の機能も図４に示したハードウェアを利用して実現されうる。そのため、ＰＣ１０２、１０３、ＦＳＶ２０１のハードウェアについては詳細な説明を省略する。
【００４７】
［２−３．情報処理装置］
図５を参照しながら、情報処理装置１０１の機能について説明する。図５は、第２実施形態に係る情報処理装置が有する機能の一例を示したブロック図である。
【００４８】
図５に示すように、情報処理装置１０１は、記憶部１１１、アラート監視部１１２、履歴収集部１１３、リスク評価部１１４、及び表示制御部１１５を有する。
なお、アラート監視部１１２、履歴収集部１１３、リスク評価部１１４、及び表示制御部１１５の機能は、上述したＣＰＵ９０２などを用いて実現できる。記憶部１１１の機能は、上述したＲＡＭ９０６や記憶部９２０などを用いて実現できる。
【００４９】
記憶部１１１には、状態判定テーブル（TBL）１１１ａ、判定結果テーブル（TBL）１１１ｂ、及びログ情報１１１ｃが格納される。状態判定テーブル１１１ａは、感染リスクに関する各ＰＣの状態を判定するための判定基準となる条件が登録されるテーブルである。判定結果テーブル１１１ｂは、状態判定テーブル１１１ａに基づく各ＰＣの判定結果が記録されるテーブルである。
【００５０】
ログ情報１１１ｃは、ストレージ装置２０２及び各ＰＣなどから取得されるログに関する情報である。ログ情報１１１ｃには、プロパティ更新履歴Ｌ１、同名ファイルリストＬ２、ファイルアクセスログＬ３、イベントログＬ４、及び解析用ログＬ５が含まれる。
【００５１】
プロパティ更新履歴Ｌ１は、共有フォルダ２０２ａにあるファイルに関するファイルプロパティ（ファイルサイズや更新日時など）の履歴である。同名ファイルリストＬ２は、共有フォルダ２０２ａにあるファイルと同名のファイルを保持しているＰＣに関する情報である。なお、ファイルのプロパティに含まれる属性情報などが同じファイルの情報を記述した同基準ファイルリストが利用されてもよい。ファイルの名称は、属性情報の一例である。また、ファイルのプロパティ以外でも、各ＰＣが容易に取得可能なファイルの属性情報を基準とし、基準が同じファイルの情報を記述した同基準ファイルリストが利用されてもよい。
【００５２】
ファイルアクセスログＬ３は、ＡＰＰアクセスログＬ３ａ、ＲＦプロパティログＬ３ｂ、ＬＦプロパティログＬ３ｃを含む。ＡＰＰアクセスログＬ３ａは、各ＰＣのアプリケーションソフトウェアが蓄積するファイルへのアクセスログである。
【００５３】
ＲＦプロパティログＬ３ｂは、各ＰＣにより蓄積される共有フォルダ２０２ａのファイルに関するファイルプロパティのログである。ＬＦプロパティログＬ３ｃは、各ＰＣにより蓄積されるローカルファイルに関するファイルプロパティのログである。
【００５４】
イベントログＬ４は、アラート履歴Ｌ４ａ、アクセス履歴Ｌ４ｂを含む。アラート履歴Ｌ４ａは、マルウェア検知製品から出力されるアラートの内容を蓄積したログである。なお、マルウェア検知製品は、例えば、各ＰＣやＦＳＶ２０１に搭載されるアンチウィルスソフトウェアや、ネットワークＮＷ上にある感染検知装置（通信機器やネットワーク監視装置など）である。アクセス履歴Ｌ４ｂは、各ＰＣや共有フォルダ２０２ａに対するアクセス（ログオン、ログオフ、アクセス試行など）の履歴である。
【００５５】
解析用ログＬ５は、ファイルアクセスログＬ３やイベントログＬ４などを統合した情報である。各ＰＣの感染リスクを評価する際に解析用ログＬ５が利用される。
以下、状態判定テーブル１１１ａ、判定結果テーブル１１１ｂ、ログ情報１１１ｃについて、さらに説明する。なお、ここでは説明の都合上、ログ情報１１１ｃの内容をＬ１からＬ５に分けて記載しているが、例えば、重複する内容を排除するなどの変形が可能である。また、ＲＤＢＭＳ（Relational Database Management System）などを利用して検索や編集が容易な形式にログ情報１１１ｃを整理してもよい。
【００５６】
（状態判定テーブル・判定結果テーブル）
図６及び図７を参照しながら、状態判定テーブル１１１ａについて、さらに説明する。図６は、第２実施形態に係る状態判定テーブルの一例を示した第１の図である。図７は、第２実施形態に係る状態判定テーブルの一例を示した第２の図である。
【００５７】
図６に示すように、状態判定テーブル１１１ａには、情報源の項目（最上段の行）、及び条件の項目（上から２段目の行）が設けられている。情報源「Ｌ４ａ」は、対応する条件に照合される情報がアラート履歴Ｌ４ａから得られることを意味する。また、情報源「Ｌ４ｂ」は、対応する条件に照合される情報がアクセス履歴Ｌ４ｂから得られることを意味する。
【００５８】
また、情報源「Ｌ３ａ」は、対応する条件に照合される情報がＡＰＰアクセスログＬ３ａから得られることを意味する。また、情報源「Ｌ３ｂ」は、対応する条件に照合される情報がＲＦプロパティログＬ３ｂから得られることを意味する。また、情報源「Ｌ４ｂ、Ｌ３ａ」は、対応する条件に照合される情報がアクセス履歴Ｌ４ｂ、ＡＰＰアクセスログＬ３ａから得られることを意味する。
【００５９】
情報源「Ｌ４ａ」の条件「ＦＩＬＥ」は、対象のＰＣにおける不審なファイルの検知を意味する。例えば、マルウェア検知製品から不審なファイルの存在を内容とするアラートが出力された場合、情報源「Ｌ４ａ」の条件「ＦＩＬＥ」に該当する。条件「動作」は、対象のＰＣにおける不審な動作の検知を意味する。
【００６０】
例えば、マルウェア検知製品から不審な動作を検知した旨のアラートが出力された場合、条件「動作」に該当する。条件「通信」は、対象のＰＣにおける不審な通信の検知を意味する。例えば、マルウェア検知製品から不審な通信を検知した旨のアラートが出力された場合、条件「通信」に該当する。
【００６１】
情報源「Ｌ４ｂ」の条件「ログオン」は、対象のＰＣが対象期間内にログオンされていることを意味する。対象期間は、例えば、あるＰＣでマルウェア感染が検知された時点より前の所定期間（例えば、２時間など）に設定される。対象のＰＣが対象期間内にログオンされているか否かは、対象期間に対応するアクセス履歴Ｌ４ｂに、対象のＰＣのログオンを示すレコードがある場合、条件「ログオン」に該当する。
【００６２】
情報源「Ｌ３ａ」の条件「ＦＩＬＥ」は、ＡＰＰアクセスログＬ３ａから、対象のＰＣが不審なファイル（攻撃に用いられるプログラムなど）を保持していると判断できることを意味する。情報源「Ｌ３ｂ」の条件「ＦＩＬＥ」は、ＲＦプロパティログＬ３ｂから、対象のＰＣが共有フォルダ２０２ａにある不審なファイルと同名のファイルを保持していると判断できることを意味する。なお、情報源「Ｌ３ｂ」の条件「ＦＩＬＥ」に関する判断には、同名ファイルリストＬ２を併せて利用する変形も採用しうる。
【００６３】
情報源「Ｌ４ｂ」の条件「リモート」は、アクセス履歴Ｌ４ｂから、対象のＰＣがリモートログオンされていると判断されることを意味する。情報源「Ｌ３ａ」の条件「アクセス」は、ＡＰＰアクセスログＬ３ａから、対象のＰＣが共有フォルダ２０２ａにある不審な共有ファイル２０２ｂにアクセスしていたと判断されることを意味する。
【００６４】
例えば、上記の条件「ログオン」及び条件「リモート」を参照すると、あるＰＣでマルウェア感染が検知された時点より前の所定期間（対象期間）に、対象のＰＣがリモートログオンされていたか否かが分かる。マルウェア感染の原因となる操作や処理は、悪意者によるリモート操作を介して実行される可能性が高い。そのため、対象期間にリモートログオンされている対象のＰＣは、マルウェア感染の原因となる操作や処理が実行されていないかを調べる調査の対象に含めるのが好適である。このような理由から、上記のように、マルウェア感染の時点を基準として上記の対象期間が設定される。
【００６５】
情報源「Ｌ４ｂ、Ｌ３ａ」の条件「失敗」は、アクセス履歴Ｌ４ｂ及びＡＰＰアクセスログＬ３ａから、対象のＰＣが他のＰＣ又はＦＳＶ２０１へのアクセス又はログオンに所定回数（例えば、５回）以上失敗したと判断されることを意味する。
【００６６】
状態判定テーブル１１１ａの最左欄にある数字は項番である。項番の右側にあるＬｖＸ、Ｌｖ０、Ｌｖ１、Ｌｖ２、Ｌｖ３は、対象のＰＣにアクセスしている他のＰＣ（アクセス元）、又は対象のＰＣがアクセスする他のＰＣ（アクセス先）の状態を表している。一方、状態判定テーブル１１１ａの最右欄にあるＬｖ０、Ｌｖ１、Ｌｖ２、Ｌｖ３は、対象のＰＣにおける危険度（感染リスクの程度）を表している。
【００６７】
Ｌｖ３は、不審な動作又は通信、及び、不審なファイルが確認されたケース（リスク大の状態）を表している。Ｌｖ２は、不審な動作又は通信が確認されたケース（リスク中の状態）を表す。Ｌｖ１は、不審なファイルが確認されたケース（リスク小の状態）を表している。Ｌｖ０は、不審な動作、不審な通信、不審なファイルが確認されないケース（リスク極小の状態）を表している。ＬｖＸは、感染リスクを判定していないケース（リスク未判定の状態）を表している。
【００６８】
状態判定テーブル１１１ａの中で、「○」は条件に該当することを意味し、「×」は条件に非該当であることを意味する。また、「−」は条件に該当するか、非該当であるかを問わないことを意味する。具体的な条件の組み合わせと危険度との関係は、図６及び図７に示した状態判定テーブル１１１ａのようになる。
【００６９】
但し、図６及び図７に例示した条件は一例であり、取得可能なアラートの種類や現実的に判断可能な条件の内容に応じて、条件を追加してもよいし、一部の条件を省略してもよい。このような変形も可能である。
【００７０】
上記の状態判定テーブル１１１ａに基づく判定結果は、図８に示す判定結果テーブル１１１ｂに記録される。図８は、第２実施形態に係る判定結果テーブルの一例を示した図である。判定結果テーブル１１１ｂには、対象ＰＣの状態に関する情報と、対象ＰＣのアクセス元又はアクセス先となるＰＣ（アクセスＰＣ）の状態に関する情報とが記録される。なお、判定結果テーブル１１１ｂに対する情報の記録方法については後述する。
【００７１】
（ログ情報）
次に、図９〜図１５を参照しながら、ログ情報１１１ｃについて、さらに説明する。
まず、図９を参照する。図９は、第２実施形態に係るログ情報に含まれるプロパティ更新履歴の一例を示した図である。
【００７２】
プロパティ更新履歴Ｌ１は、共有フォルダ２０２ａにあるファイル（対象ファイル）に関するプロパティの履歴である。プロパティには、例えば、更新日時、アクセス日時、作成日時、ファイルのサイズ、設定変更の内容、ファイルの所有者、属性（読み取り権限など）などの情報が含まれる。例えば、対象ファイルのプロパティが更新される度に、対象ファイルのプロパティを取得してプロパティ更新履歴Ｌ１に追記すると、図９に示すようなプロパティ更新履歴Ｌ１が得られる。
【００７３】
次に、図１０を参照する。図１０は、第２実施形態に係るログ情報に含まれる同名ファイルリストの一例を示した図である。
同名ファイルリストＬ２は、共有フォルダ２０２ａにあるファイル（対象ファイル）と同名のローカルファイル（同名ファイル）に関する情報である。図１０の例では、同名ファイルリストＬ２に、同名ファイルを保持するＰＣの名称（ＰＣ名）、同名ファイルの更新日時、サイズ、ハッシュ値、所有者、作成日時、場所（ＰＣのローカルフォルダ）が記述されている。ハッシュ値は、同名ファイルをハッシュ関数に入力して得られる値である。ハッシュ値を比較することでファイルの同一性を容易に判定することができる。
【００７４】
次に、図１１を参照する。図１１は、第２実施形態に係るログ情報に含まれるファイルアクセスログのうちＡＰＰアクセスログの一例を示した図である。
ＡＰＰアクセスログＬ３ａは、各ＰＣのアプリケーションソフトウェアが出力するログの集合である。図１１の例では、ＡＰＰアクセスログＬ３ａに、ログの発生日時、ログの発生要因となったイベント、イベントの対象ファイルに至るパス、対象ファイルの所有者、ＰＣ名、ユーザ名、及び情報源が記述されている。
【００７５】
なお、ＡＰＰアクセスログＬ３ａに記述される情報源は、どのアプリケーションソフトウェアのログであるかを示す情報である。ＡＰＰアクセスログＬ３ａを参照することで、アプリケーションソフトウェアが共有フォルダ２０２ａのファイルへアクセスしたか否かを判定することができる。
【００７６】
次に、図１２を参照する。図１２は、第２実施形態に係るログ情報に含まれるファイルアクセスログのうちＲＦプロパティログの一例を示した図である。
ＲＦプロパティログＬ３ｂは、共有フォルダ２０２ａにあるファイルのプロパティ（共有ファイルプロパティ）から得られるログの集合である。図１２の例では、ＲＦプロパティログＬ３ｂに、ログの発生日時、ログの発生要因となったイベント、イベントの対象ファイルに至るパス、対象ファイルのサイズ、設定変更の内容、対象ファイルの所有者、及び情報源（共有ファイルプロパティ）が記述されている。
【００７７】
次に、図１３を参照する。図１３は、第２実施形態に係るログ情報に含まれるファイルアクセスログのうちＬＦプロパティログの一例を示した図である。
ＬＦプロパティログＬ３ｃは、各ＰＣのローカルフォルダにあるファイルのプロパティ（ファイルプロパティ）から得られるログの集合である。図１３の例では、ＬＦプロパティログＬ３ｃに、ログの発生日時、ログの発生要因となったイベント、イベントの対象ファイルに至るパス、対象ファイルのサイズ、対象ファイルの所有者、ＰＣ名、ユーザ名、及び情報源（ファイルプロパティ）が記述されている。
【００７８】
次に、図１４を参照する。図１４は、第２実施形態に係るログ情報に含まれるイベントログのうちアラート履歴の一例を示した図である。図１４に示すように、アラート履歴Ｌ４ａには、アラートの発生日時、アラートの発生要因となったイベント、イベントの対象ファイルに至るパス（対象ファイルがないイベントの場合には「−」）、ＰＣ名、及び情報源（マルウェア検知製品）が記述される。
【００７９】
次に、図１５を参照する。図１５は、第２実施形態に係るログ情報に含まれるイベントログのうちアクセス履歴の一例を示した図である。図１５に示すように、アクセス履歴Ｌ４ｂには、イベント（ログオン、ログオフ、又はアクセス試行）の発生日時、イベントの内容、イベントの対象ファイルに至るパス（対象ファイルがないイベントの場合には「−」）、ＰＣ名、ユーザ名、及びログオンの形態が記述される。
【００８０】
ログオンの形態は、ＰＣに直接ログオンするローカルログオンであるか、或いは、他のＰＣを介して行われるリモートログオンであるかを表している。また、リモートログオンである場合、ログオンに利用されたＰＣの情報がアクセス履歴Ｌ４ｂに記述される。例えば、ログオンの欄にある「ｖｉａ  ＰＣ＃３」は、ＰＣ＃３を介してユーザがリモートログオンするログオンの形態を意味している。
【００８１】
（ログ情報の収集・解析用ログの生成）
ログ情報１１１ｃのうち、解析用ログＬ５は、上記のファイルアクセスログＬ３及びイベントログＬ４を統合することで得られる。図１６は、第２実施形態に係るログ情報に含まれる解析用ログの一例（ＰＣ＃１用）を示した図である。図１７は、第２実施形態に係るログ情報に含まれる解析用ログの一例（ＰＣ＃２用）を示した図である。
【００８２】
解析用ログＬ５は、対象とするＰＣ毎に生成される。例えば、図１１〜図１５に示した各種ログをＰＣ＃１について統合すると、図１６に示すような解析用ログＬ５が得られる。図１６に示すように、解析用ログＬ５には、イベントの発生日時、イベントの内容、イベントの対象ファイルに至るパス（対象ファイルがない場合には「−」）、ＰＣ名、ユーザ名、ログオンの形態、及び情報源が含まれる。
【００８３】
例えば、イベント「ログオン」に関する情報は、イベントログＬ４に含まれるアクセス履歴Ｌ４ｂから得られる。「Ｃ：￥ｅｘｐ．ｄｏｃｘ」（ローカルファイル）を対象ファイルとするイベント「ファイル作成」に関する情報は、ＬＦプロパティログＬ３ｃから得られる。「￥￥ＦＳＶ￥ｅｘｐ．ｄｏｃｘ」（共有ファイル）を対象ファイルとするイベント「ファイル作成」に関する情報は、ＲＦプロパティログＬ３ｂから得られる。
【００８４】
上記のように、ファイルアクセスログＬ３及びイベントログＬ４からＰＣ＃１に関する情報を抽出し、発生日時が古い順に並べることでＰＣ＃１用の解析用ログＬ５が得られる。同様に、ファイルアクセスログＬ３及びイベントログＬ４からＰＣ＃２に関する情報を抽出し、発生日時が古い順に並べることで、図１７に示すようなＰＣ＃２用の解析用ログＬ５が得られる。
【００８５】
（ログの蓄積・危険度判定・判定結果の出力）
再び図５を参照する。
アラート監視部１１２は、マルウェア検知製品が出力するアラートを監視する。マルウェア検知製品からアラートが出力された場合、アラート監視部１１２は、アラートの内容をアラート履歴Ｌ４ａとして記憶部１１１に格納する。なお、アラート監視部１１２は、各ＰＣに通知されるアラートを各ＰＣから取得し、取得したアラートの内容をアラート履歴Ｌ４ａとして記憶部１１１に格納してもよい。
【００８６】
履歴収集部１１３は、各ＰＣのアプリケーションソフトウェアによるログ、各ＰＣが蓄積しているローカルファイルのプロパティログ、及び共有ファイルプロパティログを収集する。そして、履歴収集部１１３は、収集したログをＡＰＰアクセスログＬ３ａ、ＲＦプロパティログＬ３ｂ、ＬＦプロパティログＬ３ｃとして記憶部１１１に格納する。
【００８７】
ＡＰＰアクセスログＬ３ａの蓄積は、例えば、図１８のような手順で実施される。図１８は、第２実施形態に係るＡＰＰアクセスログの蓄積について説明するための図である。
図１８の例では、ＰＣ＃１にインストールされているアプリケーションソフトウェアが共有フォルダ２０２ａにあるファイル（共有ファイル）にアクセスしている。このとき、アプリケーションソフトウェアは、ＡＰＰアクセスログＬ３ａに記述される発生日時などの情報をＰＣ＃１に蓄積する。このようにしてＰＣ＃１に蓄積されている情報が履歴収集部１１３により収集され、ＡＰＰアクセスログＬ３ａとして記憶部１１１に格納される。他のＰＣについても同様である。
【００８８】
また、ＲＦプロパティログＬ３ｂの蓄積は、例えば、図１９のような手順で実施される。図１９は、第２実施形態に係るＲＦプロパティログの蓄積について説明するための図である。
【００８９】
図１９の例では、ＰＣ＃１が共有ファイルプロパティの更新を監視し、更新のタイミングｔ１、ｔ２、ｔ３でＰＣ＃１が共有ファイルプロパティの情報を取得している。このとき、ＰＣ＃１は、ＲＦプロパティログＬ３ｂに記述される発生日時などの情報を蓄積する。このようにしてＰＣ＃１に蓄積されている情報が履歴収集部１１３により収集され、ＲＦプロパティログＬ３ｂとして記憶部１１１に格納される。他のＰＣについても同様である。
【００９０】
リスク評価部１１４は、状態判定テーブル１１１ａに基づいて各ＰＣの危険度を判定する。例えば、ＰＣ＃２のマルウェア感染が通知された場合、リスク評価部１１４は、発生日時が通知より前のファイルアクセスログＬ３及びイベントログＬ４を統合して各ＰＣの解析用ログＬ５を生成し、状態判定テーブル１１１ａに基づいて各ＰＣの危険度を判定する。表示制御部１１５は、リスク評価部１１４による判定結果を出力する。
【００９１】
例えば、表示制御部１１５は、図２０に示すような情報を表示画面２０３に出力する。図２０は、第２実施形態に係る解析結果（マルウェア感染リスク）の出力について説明するための図である。
【００９２】
図２０の例では、表示画面２０３にＦＳＶ、ＰＣ＃１、…、＃６の接続関係が示され、ＦＳＶ、ＰＣ＃１、…、＃６の色により危険度（マルウェア感染リスクの大きさ）が表現されている。このような表現を採用することで、感染範囲の絞り込み、感染経路の推定、切断経路の特定など、対策を迅速かつ適切に行うことが容易になる。
【００９３】
以上、情報処理装置１０１の機能について説明した。
［２−４．処理の流れ］
以下、情報処理システム１００の中で実行される処理の流れについて説明し、情報処理装置１０１、及び各ＰＣの機能について説明を補足する。
【００９４】
なお、以下では、説明の都合上、情報処理システム１００にＰＣ１０２、１０３、…、１０５が含まれる状況を例に説明を進める。また、ＰＣ１０２、１０３、…、１０５をそれぞれＰＣ＃１、ＰＣ＃２、…、ＰＣ＃４と表記する場合がある。
【００９５】
また、ＰＣ１０２、１０３、…、１０５の機能が図４のハードウェアを利用して実現される場合、以下で説明する処理は、ＣＰＵ９０２などを利用して実行されうる。また、ログを蓄積する際、ＰＣ１０２、１０３、…、１０５は、ＲＡＭ９０６、記憶部９２０、リムーバブル記録媒体９２８、或いは、通信部９２６又は接続ポート９２４を介して接続される外部ストレージをログの蓄積に利用する。
【００９６】
（シーケンス：情報処理システム）
まず、図２１を参照しながら、情報処理システム１００で実行される処理の全体的な流れについて説明する。図２１は、第２実施形態に係る情報処理システムの動作について説明するためのシーケンス図である。
【００９７】
（Ｓ１０１）情報処理装置１０１は、アラート監視部１１２により、マルウェア検知製品から出力されるアラートを監視する。マルウェア検知製品からアラートが出力された場合、アラート監視部１１２は、出力されたアラートの内容をイベントログＬ４のアラート履歴Ｌ４ａとして記憶部１１１に格納する。
【００９８】
（Ｓ１０２、Ｓ１０３、Ｓ１０４）ＰＣ１０２は、図１８に示したように、アプリケーションソフトウェアによる共有フォルダ２０２ａへのアクセスを監視し、アプリケーションソフトウェアのアクセスログを蓄積する。ＰＣ１０２と同様に、ＰＣ１０３、…、１０５もアプリケーションソフトウェアのアクセスログを蓄積する。ＰＣ１０２、１０３、…、１０５により蓄積されたアプリケーションソフトウェアのアクセスログは、ＡＰＰアクセスログＬ３ａ（図１１を参照）として利用される。
【００９９】
また、ＰＣ１０２は、図１９に示すように、共有フォルダ２０２ａにあるファイルの共有ファイルプロパティを監視し、共有ファイルプロパティが更新されたタイミングで共有ファイルプロパティの情報を取得する。なお、ＰＣ１０２が監視する共有ファイルプロパティは、ＰＣ１０２が保有するファイルの共有ファイルプロパティだけでよい。
【０１００】
ＰＣ１０２は、取得した共有ファイルプロパティの情報を共有ファイルプロパティログとして蓄積する。ＰＣ１０２と同様に、ＰＣ１０３、…、１０５も共有ファイルプロパティログを蓄積する。ＰＣ１０２、１０３、…、１０５により蓄積された共有ファイルプロパティログは、ＲＦプロパティログＬ３ｂ（図１２を参照）として利用される。
【０１０１】
また、ＰＣ１０２は、ローカルファイルのファイルプロパティを監視し、ファイルプロパティが更新されたタイミングでファイルプロパティの情報をファイルプロパティログとして蓄積する。ＰＣ１０２と同様に、ＰＣ１０３、…、１０５もファイルプロパティログを蓄積する。ＰＣ１０２、１０３、…、１０５により蓄積されたファイルプロパティログは、ＬＦプロパティログＬ３ｃ（図１３を参照）として利用される。
【０１０２】
（Ｓ１０５、Ｓ１０６）情報処理装置１０１は、アラート監視部１１２により、例えば、ＰＣ１０３（ＰＣ＃２）にマルウェア感染の疑いがある旨の通知（感染通知）をマルウェア検知製品から受信する。この場合、情報処理装置１０１は、リスク評価部１１４により、初期状態の判定結果テーブル１１１ｂ（図８を参照）を生成し、起点となるＰＣ（この例ではＰＣ＃２）の情報を判定結果テーブル１１１ｂに記述する。初期状態は、対象ＰＣの「名称」欄及び「ログ」欄に値だけが記述された状態である。
【０１０３】
例えば、リスク評価部１１４は、対象ＰＣの「名称」欄に、ＦＳＶ、ＰＣ＃１、ＰＣ＃２、…、ＰＣ＃４を記述し、ＦＳＶの「ログ」欄に「なし」、ＰＣ＃１、ＰＣ＃２、…、ＰＣ＃４の「ログ」欄に「あり」と記述した判定結果テーブル１１１ｂを生成する。
【０１０４】
また、リスク評価部１１４は、感染通知の対象であるＰＣ＃２の状態（Ｌｖ３）を判定結果テーブル１１１ｂの該当欄（対象ＰＣの名称「ＰＣ＃２」に対応する「状態」欄）に記述する。また、リスク評価部１１４は、対象ＰＣの名称「ＰＣ＃２」に対応するアクセスＰＣの「名称」欄に「［起点］」、「状態」欄に「ＬｖＸ」と記述する。
【０１０５】
なお、ここでは感染通知の対象となったＰＣ＃２を起点に設定しているが、他のＰＣを起点に設定してもよい。
（Ｓ１０７）情報処理装置１０１は、履歴収集部１１３により、ＰＣ１０２、１０３、…、１０５（判定結果テーブル１１１ｂの「ログ」欄が「あり」の対象ＰＣ）に対してログ情報の送信要求を送る。例えば、履歴収集部１１３は、ＰＣ＃２のマルウェア感染が検知された時点又は感染通知を受信した時点（起点時刻）をＰＣ１０２、１０３、…、１０５に通知し、その時点より前の所定期間（例えば、２時間）に発生したイベントに関するログ情報の送信を要求する。
【０１０６】
（Ｓ１０８）ＰＣ１０２、１０３、…、１０５は、情報処理装置１０１からログ情報の送信要求を受信し、その送信要求に応じてログ情報を情報処理装置１０１に送信する。
例えば、ＰＣ１０２、１０３、…、１０５は、それぞれが蓄積しているアプリケーションソフトウェアのアクセスログ、共有ファイルプロパティログ、ローカルファイルのファイルプロパティログを含むログ情報を情報処理装置１０１に送信する。情報処理装置１０１から起点時刻が通知されている場合、ＰＣ１０２、１０３、…、１０５は、イベントの発生日時が起点時刻より前のログ情報を抽出して情報処理装置１０１に送信してもよい。
【０１０７】
（Ｓ１０９）情報処理装置１０１は、リスク評価部１１４により、ＰＣ１０２、１０３、…、１０５から受信したログ情報からＡＰＰアクセスログＬ３ａ、ＲＦプロパティログＬ３ｂ、ＬＦプロパティログＬ３ｃを生成する。また、リスク評価部１１４は、ＡＰＰアクセスログＬ３ａ、ＲＦプロパティログＬ３ｂ、ＬＦプロパティログＬ３ｃに基づいてＰＣ１０２、１０３、…、１０５のそれぞれに対応する解析用ログＬ５（図１６、図１７を参照）を作成する。
【０１０８】
（Ｓ１１０）情報処理装置１０１は、リスク評価部１１４により、解析用ログＬ５と状態判定テーブル１１１ａとを照合し、ＰＣ１０２、ＰＣ１０４、…、１０５の状態を順次判定する。
【０１０９】
例えば、リスク評価部１１４は、ＰＣ＃２用の解析用ログＬ５を参照し、起点となるＰＣ１０３（ＰＣ＃２）がアクセスした形跡のあるＰＣ又はＦＳＶを特定する。そして、リスク評価部１１４は、特定したＰＣ又はＦＳＶの状態を判定し、判定結果を判定結果テーブル１１１ｂに記述する。
【０１１０】
また、リスク評価部１１４は、判定済みのＰＣ又はＦＳＶのアクセス先又はアクセス元となる未判定のＰＣ又はＦＳＶを特定し、特定したＰＣ又はＦＳＶの状態に関する判定結果を判定結果テーブル１１１ｂに記述する。このような手順で、リスク評価部１１４は、ＰＣ及びＦＳＶの状態を順次判定する。
【０１１１】
（Ｓ１１１）情報処理装置１０１は、表示制御部１１５により、状態判定テーブル１１１ａに基づいてＰＣ及びＦＳＶの状態を出力する。例えば、表示制御部１１５は、図２０に示すように、ＰＣ及びＦＳＶの接続関係を表示画面２０３に表示させ、各ＰＣ及びＦＳＶを表す表示オブジェクトに対して状態に応じた色を付す。Ｓ１１１の処理が完了すると、図２１に示した一連の処理は終了する。
【０１１２】
（ＡＰＰアクセスログの蓄積：ＰＣ）
ここで、図２２を参照しながら、アプリケーションソフトウェアのアクセスログ（ＡＰＰアクセスログＬ３ａに対応するログ）を蓄積する処理（Ｓ１０２の一部に相当）の流れについて、さらに説明する。図２２は、第２実施形態に係るＡＰＰアクセスログの蓄積に関する処理の流れを示したフロー図である。なお、ここではＰＣ１０２（ＰＣ＃１）による処理を例に説明するが、ＰＣ１０３、…、１０５についても同様である。
【０１１３】
（Ｓ１２１）ＰＣ１０２は、インストールされているアプリケーションソフトウェアのアクセスログを参照する。
一部のアプリケーションソフトウェアは、例えば、最近アクセスしたファイルのファイルパス、アクセス日時、アクセス内容などの履歴（アクセスログ）を記録する機能を有する。
【０１１４】
例えば、広く利用されているプレゼンテーションソフトウェアは、「最近使ったプレゼンテーション」をそのソフトウェア独自のアクセスログとして記録する。また、このアクセスログは、ショートカットファイルとして保存される。そのため、保存されているショートカットファイルのリンク先からファイルパスの情報が得られ、ショートカットファイルの更新日時からアクセス日時の情報が得られる。
【０１１５】
（Ｓ１２２）ＰＣ１０２は、アプリケーションソフトウェアのアクセスログが更新されているか否かを判定する。アクセスログが更新されている場合、処理はＳ１２３へと進む。一方、アクセスログが更新されていない場合、処理はＳ１２４へと進む。
【０１１６】
（Ｓ１２３）ＰＣ１０２は、Ｓ１２１で参照したアクセスログからファイルアクセスに関する情報（例えば、上記のファイルパス、アクセス日時、アクセス内容）を抽出し、ＡＰＰアクセスログＬ３ａとして利用されるアクセスログとして保持する。
【０１１７】
（Ｓ１２４）ＰＣ１０２は、アクセスログの蓄積を終了するか否かを判定する。例えば、ＰＣ１０２の電源断、アプリケーションソフトウェアの終了、ユーザによる明示的な終了操作などがある場合、ＰＣ１０２は、アクセスログの蓄積を終了すると判定する。アクセスログの蓄積を終了する場合、図２２に示した一連の処理は終了する。一方、アクセスログの蓄積を終了しない場合、処理はＳ１２１へと進む。
【０１１８】
（ＲＦプロパティログの蓄積：ＰＣ）
次に、図２３を参照しながら、共有ファイルプロパティログ（ＲＦプロパティログＬ３ｂに対応するログ）の蓄積に関する処理（Ｓ１０２の一部に相当）の流れについて、さらに説明する。図２３は、第２実施形態に係るＲＦプロパティログの蓄積に関する処理の流れを示したフロー図である。なお、ここではＰＣ１０２（ＰＣ＃１）による処理を例に説明するが、ＰＣ１０３、…、１０５についても同様である。
【０１１９】
（Ｓ１３１）ＰＣ１０２は、共有フォルダ２０２ａにあるファイルのうち過去にアクセスしたことのあるファイルのプロパティ（共有ファイルプロパティ）を参照する。なお、共有ファイルプロパティの参照タイミングは、例えば、「５分おき」や「毎日午前０時」などと設定されている。
【０１２０】
（Ｓ１３２）ＰＣ１０２は、対象となるファイル（参照する共有ファイルプロパティに対応するファイル）があるか否かを判定する。対象となるファイルがある場合、処理はＳ１３３へと進む。一方、対象となるファイルがない場合、処理はＳ１３５へと進む。
【０１２１】
（Ｓ１３３）ＰＣ１０２は、対象となるファイルの共有ファイルプロパティが更新されているか否かを判定する。共有ファイルプロパティが更新されている場合、処理はＳ１３４へと進む。一方、共有ファイルプロパティが更新されていない場合、処理はＳ１３５へと進む。
【０１２２】
（Ｓ１３４）ＰＣ１０２は、参照した共有ファイルプロパティから情報（ファイルの作成日時、パス、サイズ、所有者など）を取得し、ＲＦプロパティログＬ３ｂとして利用される共有ファイルプロパティログとして保持する。
【０１２３】
（Ｓ１３５）ＰＣ１０２は、共有ファイルプロパティログの蓄積を終了するか否かを判定する。例えば、ＰＣ１０２の電源断、ＰＣ１０２とＦＳＶ２０１との間の通信断、ユーザによる明示的な終了操作などがある場合、ＰＣ１０２は、共有ファイルプロパティログの蓄積を終了すると判定する。共有ファイルプロパティログの蓄積を終了する場合、図２３に示した一連の処理は終了する。一方、共有ファイルプロパティログの蓄積を終了しない場合、処理はＳ１３１へと進む。
【０１２４】
（ＬＦプロパティログの蓄積：ＰＣ）
次に、図２４を参照しながら、ファイルプロパティログ（ＬＦプロパティログＬ３ｃに対応するログ）の蓄積に関する処理（Ｓ１０２の一部に相当）の流れについて、さらに説明する。図２４は、第２実施形態に係るＬＦプロパティログの蓄積に関する処理の流れを示したフロー図である。なお、ここではＰＣ１０２（ＰＣ＃１）による処理を例に説明するが、ＰＣ１０３、…、１０５についても同様である。
【０１２５】
（Ｓ１４１）ＰＣ１０２は、共有フォルダ２０２ａにあるファイルと同名のローカルファイルに対する操作を監視する。
例えば、共有フォルダ２０２ａにあるファイルがＰＣ１０２にコピーされた場合、共有フォルダ２０２ａにあるファイルと同名のファイルがＰＣ１０２に作成される操作又は同名のローカルファイルが上書きされる操作が検知される。また、ローカルフォルダにあるファイルで共有フォルダ２０２ａにある同名のファイルを上書きする場合、ローカルフォルダにあるファイルの読み込み操作などが検知される。
【０１２６】
（Ｓ１４２）ＰＣ１０２は、対象となる操作（共有フォルダ２０２ａにあるファイルと同名のローカルファイルに対する操作）が検知されたか否かを判定する。対象となる操作が検知された場合、処理はＳ１４３へと進む。一方、対象となる操作が検知されない場合、処理はＳ１４５へと進む。なお、対象となる操作の監視は、予め設定されたタイミングで実施されてもよいし、ＰＣ１０２の電源が投入されている期間、連続的に実施されてもよい。
【０１２７】
（Ｓ１４３、Ｓ１４４）ＰＣ１０２は、同名のローカルファイルに関する情報を記述する同名ファイルリストを作成し、対象となる操作の情報を同名ファイルリスト（図１０に例示した同名ファイルリストＬ２のうちＰＣ＃１に対応するレコードに相当）に追記する。また、ＰＣ１０２は、同名のローカルファイルに対する操作の内容を、ＬＦプロパティログＬ３ｃとして利用されるファイルプロパティログとして保持する。
【０１２８】
（Ｓ１４５）ＰＣ１０２は、ファイルプロパティログの蓄積を終了するか否かを判定する。例えば、ＰＣ１０２の電源断、ＰＣ１０２とＦＳＶ２０１との間の通信断、ユーザによる明示的な終了操作などがある場合、ＰＣ１０２は、ファイルプロパティログの蓄積を終了すると判定する。ファイルプロパティログの蓄積を終了する場合、図２４に示した一連の処理は終了する。一方、ファイルプロパティログの蓄積を終了しない場合、処理はＳ１４１へと進む。
【０１２９】
なお、名称以外の属性情報についての同基準ファイルリストを利用する場合、上記の処理において、同じ基準のファイルに対して同名のファイルと同様に処理される。
（解析用ログの生成：情報処理装置）
次に、図２５を参照しながら、解析用ログＬ５の生成に関する処理（Ｓ１０９に相当）の流れについて、さらに説明する。図２５は、第２実施形態に係る解析用ログの生成処理の流れを示したフロー図である。なお、ＡＰＰアクセスログＬ３ａ、ＲＦプロパティログＬ３ｂ、ＬＦプロパティログＬ３ｃが記憶部１１１に格納されているとする。
【０１３０】
（Ｓ１５１）リスク評価部１１４は、未選択のＰＣを対象ＰＣとして選択する。
（Ｓ１５２、Ｓ１５３、Ｓ１５４）リスク評価部１１４は、ＡＰＰアクセスログＬ３ａ（図１１を参照）の対象ＰＣに対応するレコードから、発生日時、イベント、パス、ＰＣ名を取得する。また、リスク評価部１１４は、ＲＦプロパティログＬ３ｂ（図１２を参照）の対象ＰＣに対応するレコードから、発生日時、イベント、パス、ＰＣ名、ユーザ名、ログオンの状態を取得する。また、リスク評価部１１４は、ＬＦプロパティログＬ３ｃ（図１３を参照）の対象ＰＣに対応するレコードから、発生日時、イベント、パス、ＰＣ名を取得する。
【０１３１】
（Ｓ１５５、Ｓ１５６）リスク評価部１１４は、アラート履歴Ｌ４ａ（図１４を参照）の対象ＰＣに対応するレコードから、発生日時、イベント、パス、ＰＣ名を取得する。また、リスク評価部１１４は、アクセス履歴Ｌ４ｂ（図１５を参照）の対象ＰＣに対応するレコードから、発生日時、イベント、ＰＣ名、ユーザ名、ログオンの状態を取得する。
【０１３２】
（Ｓ１５７、Ｓ１５８）リスク評価部１１４は、Ｓ１５２〜Ｓ１５４で取得した情報を時系列に並べ、対象ＰＣ用の解析用ログＬ５（図１６、図１７を参照）として記憶部１１１に記録する。対象ＰＣを選択し終えた場合（対象ＰＣとなる未選択のＰＣがない場合）、図２５に示した一連の処理は終了する。一方、対象ＰＣとなる未選択のＰＣがある場合、処理はＳ１５１へと進む。
【０１３３】
（判定処理）
次に、図２６及び図２７を参照しながら、判定処理（Ｓ１１０に相当）の流れについて、さらに説明する。図２６は、第２実施形態に係る判定処理の流れを示した第１のフロー図である。図２７は、第２実施形態に係る判定処理の流れを示した第２のフロー図である。なお、各ＰＣ用の解析用ログＬ５が記憶部１１１に格納されているとする。
【０１３４】
（Ｓ１６１）リスク評価部１１４は、解析対象の期間を設定する。例えば、リスク評価部１１４は、マルウェア検知製品によりマルウェア感染が検知された時点又は感染通知を受信した時点より前の所定期間（例えば、２時間）を解析対象の期間に設定する。但し、リスク評価部１１４は、感染通知後の一定期間を解析対象の期間に含めてもよい。
【０１３５】
（Ｓ１６２、Ｓ１６３）リスク評価部１１４は、判定結果テーブル１１１ｂを生成し、起点となるＰＣの情報を判定結果テーブル１１１ｂに設定する。なお、図２１の例ではＳ１０６のタイミングで判定結果テーブル１１１ｂの初期状態を設定していたが、図２６に示すように、Ｓ１１０のタイミングで初期状態を設定するように変形してもよい。また、リスク評価部１１４は、判定処理の対象となるＰＣ又はＦＳＶ（対象装置）を登録するための対象リストを生成し、対象リストに起点のＰＣを登録する。
【０１３６】
（Ｓ１６４）リスク評価部１１４は、対象リストが空か否かを判定する。対象リストが空の場合、図２６及び図２７に示した一連の処理は終了する。一方、対象リストが空ではない場合、処理はＳ１６５へと進む。
【０１３７】
（Ｓ１６５、Ｓ１６６）リスク評価部１１４は、対象リストから対象装置を１つ選択する。また、リスク評価部１１４は、選択した対象装置がＦＳＶであるか否かを判定する。対象装置がＦＳＶである場合、処理はＳ１６７へと進む。一方、対象装置がＦＳＶでない場合（ＰＣである場合）、処理はＳ１７０へと進む。
【０１３８】
（Ｓ１６７）リスク評価部１１４は、アラート履歴Ｌ４ａを参照してＦＳＶに対するアラートを検出する。また、リスク評価部１１４は、各ＰＣの解析用ログＬ５を参照し、ＦＳＶをアクセス先又はアクセス元とするＰＣ（アクセスＰＣ）を検出する。
【０１３９】
（Ｓ１６８）リスク評価部１１４は、状態判定テーブル１１１ａ（図６、図７を参照）を参照し、アクセスＰＣの状態及びアラートに対応する状態を特定する。また、リスク評価部１１４は、特定した状態を判定結果テーブル１１１ｂに記録する。
【０１４０】
（Ｓ１６９）リスク評価部１１４は、Ｓ１６７で検出されたアクセスＰＣの中から、状態がＬｖＸのＰＣ（未判定のＰＣ）を検出する。また、リスク評価部１１４は、検出されたＰＣを対象リストに追加すると共に、対象リストからＦＳＶを削除する。Ｓ１６９の処理が完了すると、処理は、Ｓ１７２へと進む。
【０１４１】
（Ｓ１７０）リスク評価部１１４は、状態判定テーブル１１１ａを参照し、対象装置（ＰＣ）の解析用ログＬ５に該当する状態を特定する。また、リスク評価部１１４は、特定された状態を判定結果テーブル１１１ｂに記録する。
【０１４２】
（Ｓ１７１）リスク評価部１１４は、各ＰＣの解析用ログＬ５を参照し、対象装置（ＰＣ）をアクセス先又はアクセス元とするＰＣ又はＦＳＶ（アクセスＰＣ）を検出する。また、リスク評価部１１４は、検出されたアクセスＰＣのうち状態がＬｖＸのＰＣ又はＦＳＶ（未判定のＰＣ又はＦＳＶ）を検出する。そして、リスク評価部１１４は、検出されたＰＣ又はＦＳＶを対象リストに追加し、対象リストから対象装置（ＰＣ）を削除する。
【０１４３】
（Ｓ１７２）リスク評価部１１４は、対象リストに追加したＰＣ又はＦＳＶを対象ＰＣとする判定結果テーブル１１１ｂの「アクセスＰＣ」欄に、対象装置の名称及び対象装置の状態を記録する。Ｓ１７２の処理が完了すると、処理はＳ１６４へと進む。
【０１４４】
図２６及び図２７に示した処理が実行されることで、例えば、図８に示すような判定結果テーブル１１１ｂが得られる。
ここで、図２８を参照しながら、上述した判定処理の過程における判定結果テーブル１１１ｂの推移について述べる。図２８は、第２実施形態に係る判定処理及び判定結果テーブルの更新処理の流れについて説明するための図である。なお、図２８の例では、情報処理システム１００に、４台のＰＣ＃１、＃２、＃３、＃４が含まれるとする。
【０１４５】
図２８の（Ａ）は、判定結果テーブル１１１ｂの初期状態を示す例である。
リスク評価部１１４は、判定結果テーブル１１１ｂのうち対象ＰＣの「名称」欄に、ＦＳＶ、ＰＣ＃１、＃２、＃３、＃４を記述する。また、ＦＳＶからアクセスログなどのログ情報が得られないことを踏まえ、リスク評価部１１４は、ＦＳＶに対応する「ログ」欄に「なし」と記述する。一方、ＰＣ＃１、＃２、＃３、＃４からログ情報が得られるため、リスク評価部１１４は、ＰＣ＃１、＃２、＃３、＃４に対応する「ログ」欄に「あり」と記述する。
【０１４６】
例えば、ＰＣ＃２を対象とするマルウェア感染の通知を得た場合、リスク評価部１１４は、ＰＣ＃２の感染リスクが最大であると判定し、ＰＣ＃２に対応する対象ＰＣの「状態」欄に「Ｌｖ３」を記述する。また、リスク評価部１１４は、感染範囲の調査を実行する際の起点となるＰＣを決定する。例えば、リスク評価部１１４は、感染通知の対象とされたＰＣ（この例ではＰＣ＃２）を調査の起点とする。なお、起点となるＰＣは、感染通知の対象とされたＰＣ以外のＰＣに設定されてもよい。
【０１４７】
ＰＣ＃２を起点とした場合、リスク評価部１１４は、ＰＣ＃２に対応するアクセスＰＣの「名称」欄に［起点］、「状態」欄に「ＬｖＸ」と記述する。
なお、ここでは起点となるＰＣを特定するための情報として、起点となるＰＣに対応するアクセスＰＣの「名称」欄及び「状態」欄に所定の情報を記述しているが、起点のＰＣを特定するためのフラグを用いるなど、起点に関する情報の表現について変形してもよい。上記の記述により、初期状態の判定結果テーブル１１１ｂが生成される。このとき、表示制御部１１５が初期状態の判定結果テーブル１１１ｂに対応する状態を表示画面２０３に表示してもよい。
【０１４８】
図２８の（Ｂ）は、起点となるＰＣ＃２のアクセス先又はアクセス元となるＰＣ又はＦＳＶに対する感染調査が進行した状況を示す例である。
図２８の例では、ＦＳＶに対するＰＣ＃２のアクセス、及びＰＣ＃４によるＰＣ＃２へのアクセスがある。つまり、ＰＣ＃２は、ＦＳＶ及びＰＣ＃４のアクセスＰＣとなる。この場合、リスク評価部１１４は、ＦＳＶに対応するアクセスＰＣの「名称」欄に「ＰＣ＃２」、「状態」欄に「Ｌｖ３」（ＰＣ＃２の状態）と記述する。同様に、リスク評価部１１４は、ＰＣ＃４に対応するアクセスＰＣの「名称」欄に「ＰＣ＃２」、「状態」欄に「Ｌｖ３」と記述する。
【０１４９】
また、リスク評価部１１４は、ＰＣ＃２のアクセスＰＣであるＦＳＶに関するアラート履歴Ｌ４ａ及びＰＣ＃２（ＦＳＶのアクセスＰＣ）の状態と状態判定テーブル１１１ａとを照合してＦＳＶの状態を判定する。図２８の例では、ＦＳＶの状態は「Ｌｖ３」に該当する。この場合、リスク評価部１１４は、ＦＳＶに対応する対象ＰＣの「状態」欄に「Ｌｖ３」と記述する。
【０１５０】
また、リスク評価部１１４は、ＰＣ＃２のアクセスＰＣであるＰＣ＃４に関する解析用ログＬ５と状態判定テーブル１１１ａとを照合してＰＣ＃４の状態を判定する。図２８の例では、ＰＣ＃４の状態は「Ｌｖ１」に該当する。この場合、リスク評価部１１４は、ＰＣ＃４に対応する対象ＰＣの「状態」欄に「Ｌｖ１」と記述する。
【０１５１】
表示制御部１１５は、感染調査の途中経過にあたる（Ｂ）の状態で、その状態に対応する判定結果テーブル１１１ｂに基づいて各ＰＣの状態を表示画面２０３に表示してもよい。例えば、表示制御部１１５は、アクセスのあるＰＣ同士及びＰＣとＦＳＶとを線で結び、リスク評価部１１４による判定が済んでいる各ＰＣの状態を色などで表現する。
【０１５２】
図２８の（Ｃ）は、判定結果が得られているＰＣ及びＦＳＶのアクセスＰＣを順次選択して感染調査を実行した状況を示す例である。
図２８の（Ｂ）の状態では、ＰＣ＃２、＃４及びＦＳＶの感染調査が完了している。この場合、リスク評価部１１４は、例えば、ＰＣ＃１、＃３の解析用ログＬ５などを参照し、ＰＣ＃２、＃４及びＦＳＶのいずれかに対するアクセスがあるＰＣ（アクセスＰＣ）を特定する。図２８の例では、ＦＳＶに対するＰＣ＃１のアクセスがある。この場合、リスク評価部１１４は、判定結果テーブル１１１ｂのうち、ＰＣ＃１に対応するアクセスＰＣの「名称」欄に「ＦＳＶ」、「状態」欄に「Ｌｖ３」（ＦＳＶの状態）と記述する。
【０１５３】
また、リスク評価部１１４は、ＰＣ＃１の解析用ログＬ５と状態判定テーブル１１１ａとを照合してＰＣ＃１の状態を判定する。図２８の例では、ＰＣ＃１の状態が「Ｌｖ２」と判定される。この場合、リスク評価部１１４は、ＰＣ＃１に対応する対象ＰＣの「状態」欄に「Ｌｖ２」を記述する。
【０１５４】
また、リスク評価部１１４は、ＰＣ＃３の解析用ログＬ５を参照してＰＣ＃３のアクセスＰＣを探索する。図２８の例では、ＰＣ＃１がＰＣ＃３のアクセスＰＣである。この場合、リスク評価部１１４は、判定結果テーブル１１１ｂのうち、ＰＣ＃３に対応するアクセスＰＣの「名称」欄に「ＰＣ＃１」、「状態」欄に「Ｌｖ２」（ＰＣ＃１の状態）と記述する。また、リスク評価部１１４は、ＰＣ＃３の解析用ログＬ５と状態判定テーブル１１１ａとを照合してＰＣ＃３の状態を判定し、判定結果（この例では「Ｌｖ２」）を対象ＰＣの「状態」欄に記述する。
【０１５５】
上記の処理により、感染調査が完了し、各ＰＣの状態が記述された判定結果テーブル１１１ｂが得られる。表示制御部１１５は、判定結果テーブル１１１ｂに基づいて各ＰＣの状態、及びＰＣ同士やＰＣ−ＦＳＶ間におけるアクセスの有無を表示画面２０３に表示する。上記の方法を適用すれば、ＦＳＶからログ情報が得られない場合でも、起点となるＰＣから順にアクセスがあるＰＣ及びＦＳＶの状態を順次判定することが可能になる。その結果、感染範囲の把握が容易になり、感染拡大の抑止に寄与する。
【０１５６】
［２−５．変形例］
ここで、図２９〜図３１を参照しながら、第２実施形態の一変形例について述べる。図２９は、第２実施形態の一変形例に係る非追跡ルールテーブルの一例を示した図である。図３０は、第２実施形態の一変形例に係る非追跡マシンテーブルの一例を示した図である。図３１は、第２実施形態の一変形例に係る対象リストへのＰＣの追加処理の流れを示したフロー図である。
【０１５７】
これまでは、特定のＰＣを起点としてアクセスがあるＰＣやＦＳＶを順次追跡しながら感染調査を進める方法について説明してきた。この方法を適用することで、漏れなく感染範囲の調査を実施することができる。他方、情報処理システム１００に多数のＰＣやＦＳＶを含む場合、調査時間が長くなることがある。そこで、この変形例では、感染リスクが高いＰＣやＦＳＶを対象に調査を進め、一部のＰＣやＦＳＶを追跡対象から除外することで調査時間を短縮する方法（高速化手法）を提案する。
【０１５８】
高速化手法を採用するにあたり、図２９に示すような非追跡ルールテーブル１１１ｄ、及び図３０に示すような非追跡マシンテーブル１１１ｅを導入する。非追跡ルールテーブル１１１ｄ及び非追跡マシンテーブル１１１ｅは、記憶部１１１に格納される。
【０１５９】
図２９に示すように、非追跡ルールテーブル１１１ｄは、非追跡ネットワークアドレスと強制追跡条件とを対応付ける。非追跡ネットワークアドレスは、感染調査の追跡対象から除外するネットワークアドレスの範囲である。強制追跡条件は、強制的に感染調査の追跡対象に含める条件である。なお、非追跡ネットワークアドレス及び強制追跡条件は、管理者などにより予め設定される。
【０１６０】
例えば、「状態」欄に「Ｌｖ１，Ｌｖ３」とある部分は、非追跡ネットワークアドレスに該当する場合でも状態がＬｖ１又はＬｖ３のＰＣ又はＦＳＶが感染調査の追跡対象に含まれることを意味する。また、「ＰＣ名」欄に「ＰＣ＃１，ＰＣ＃２」とある部分は、非追跡ネットワークアドレスに該当する場合でも、ＰＣ＃１及びＰＣ＃２が感染調査の追跡対象に含まれることを意味する。
【０１６１】
他方、図３０に示すように、非追跡マシンテーブル１１１ｅは、追跡中断ＰＣ、アクセスＰＣ／ＦＳＶ、ネットワークアドレスの項目を有する。非追跡マシンテーブル１１１ｅは、非追跡ルールテーブル１１１ｄに基づいて感染調査の追跡が中断したＰＣやＦＳＶがある場合に、そのＰＣやＦＳＶの情報を格納するためのテーブルである。
【０１６２】
「追跡中断ＰＣ」欄には、非追跡ルールテーブル１１１ｄに該当したＰＣやＦＳＶの情報（ＰＣ名など）が記述される。「アクセスＰＣ／ＦＳＶ」欄には、追跡中断ＰＣのアクセス元又はアクセス先となるＰＣやＦＳＶの情報が記述される。「ネットワークアドレス」欄には、追跡中断の条件となった非追跡ネットワークアドレスが記述される。
【０１６３】
上記の高速化手法を適用する場合、図２６及び図２７に示した判定処理のうち、Ｓ１７１で実行される対象リストへの追加処理が図３１のように変形される。また、履歴収集部１１３により各ＰＣ及びＦＳＶからネットワークアドレスが事前に取得され、記憶部１１１に格納される処理が追加される。以下、図３１の処理について述べる。
【０１６４】
（Ｓ１８１）リスク評価部１１４は、各ＰＣの解析用ログＬ５を参照し、対象装置（ＰＣ）をアクセス先又はアクセス元とするＰＣ又はＦＳＶ（アクセスＰＣ）を検出する。また、リスク評価部１１４は、検出されたアクセスＰＣのうち状態がＬｖＸのＰＣ又はＦＳＶ（未判定のＰＣ又はＦＳＶ）を検出する。
【０１６５】
（Ｓ１８２）リスク評価部１１４は、検出されたＰＣ又はＦＳＶのネットワークアドレスと、非追跡ルールテーブル１１１ｄの非追跡ネットワークアドレスとを照合し、非追跡ネットワークアドレスに所属するＰＣ又はＦＳＶであるか否かを判定する。非追跡ネットワークアドレスに所属するＰＣ又はＦＳＶである場合、処理はＳ１８４へと進む。一方、非追跡ネットワークアドレスに所属しないＰＣ又はＦＳＶである場合、処理はＳ１８３へと進む。
【０１６６】
（Ｓ１８３）リスク評価部１１４は、検出されたＰＣ又はＦＳＶを対象リストに追加し、対象リストから対象装置（ＰＣ）を削除する。Ｓ１８３の処理が完了すると、図３１に示した一連の処理は終了する。
【０１６７】
（Ｓ１８４）リスク評価部１１４は、検出されたＰＣ又はＦＳＶの情報を非追跡マシンテーブル１１１ｅに記録する。このとき、リスク評価部１１４は、検出されたＰＣ又はＦＳＶの名称を「追跡中断ＰＣ」欄に記述し、検出されたＰＣ又はＦＳＶのアクセスＰＣ名を「アクセスＰＣ／ＦＳＶ」欄に記述する。なお、表示制御部１１５は、非追跡マシンテーブル１１１ｅの情報を表示画面２０３に出力する。Ｓ１８４の処理が完了すると、図３１に示した一連の処理は終了する。
【０１６８】
以上、第２実施形態について説明した。
第２実施形態の技術を適用すると、ＦＳＶのログ情報が採取できない状況下においても、ファイルプロパティの更新履歴や各ＰＣが保有するログ情報を利用することで、ＦＳＶへのアクセスを特定でき、システム管理者による感染被害の把握に寄与する。また、ＦＳＶや各ＰＣへのアクセス状況などに基づいてアクセル経路に沿った感染被害の追跡調査ができ、ＦＳＶ及びＰＣを経由して拡大する感染範囲の把握が可能になる。また、アクセス状況及び各ＰＣの状態を把握しやすい表示方法で出力することにより、システム管理者による状況把握を容易にする。
【符号の説明】
【０１６９】
１０  情報処理装置
１１  記憶部
１１ａ  実行履歴
１１ｂ  危険度情報
１２  演算部
１２ａ  通知
１２ｂ  処理
１２ｃ  出力
２１、２２、２３  端末装置
３０  記憶装置
Ａ  対象情報
ＮＷ  ネットワーク
【図１】
2018160170.tif 000003
【図２】
2018160170.tif 000004
【図３】
2018160170.tif 000005
【図４】
2018160170.tif 000006
【図５】
2018160170.tif 000007
【図６】
2018160170.tif 000008
【図７】
2018160170.tif 000009
【図８】
2018160170.tif 000010
【図９】
2018160170.tif 000011
【図１０】
2018160170.tif 000012
【図１１】
2018160170.tif 000013
【図１２】
2018160170.tif 000014
【図１３】
2018160170.tif 000015
【図１４】
2018160170.tif 000016
【図１５】
2018160170.tif 000017
【図１６】
2018160170.tif 000018
【図１７】
2018160170.tif 000019
【図１８】
2018160170.tif 000020
【図１９】
2018160170.tif 000021
【図２０】
2018160170.tif 000022
【図２１】
2018160170.tif 000023
【図２２】
2018160170.tif 000024
【図２３】
2018160170.tif 000025
【図２４】
2018160170.tif 000026
【図２５】
2018160170.tif 000027
【図２６】
2018160170.tif 000028
【図２７】
2018160170.tif 000029
【図２８】
2018160170.tif 000030
【図２９】
2018160170.tif 000031
【図３０】
2018160170.tif 000032
【図３１】
2018160170.tif 000033