(57)【要約】【課題】実行形式を監視することができる情報端末を提供する。【解決手段】オープン対象ファイル群の各ファイル拡張子と、各適用可能実行形式の各名称と、各適用可能実行形式の特徴量を含む各特徴量パラメタを、各ファイル拡張子ごとに記憶する特徴量データ記憶部と、何れかの実行形式が、オープン対象ファイル群の何れかをオープン、またはアクセスしようとする場合に、当該オープン、またはアクセスしようとした実行形式の特徴量を計算する特徴量計算部と、オープン、またはアクセス対象となったオープン対象ファイルのファイル拡張子に対応する適用可能実行形式の特徴量を特徴量データ記憶部から読み出して、計算された特徴量と読み出された特徴量の類似度を評価する評価部を含む。【選択図】図１
2015138331.tif 000002
【特許請求の範囲】
【請求項１】
任意の実行形式によるファイルオープンの対象となるファイル群であるオープン対象ファイル群の各ファイル拡張子と、前記各ファイル拡張子に適用可能な実行形式である各適用可能実行形式の各名称と、前記各適用可能実行形式の特徴量を含む各特徴量パラメタを、前記各ファイル拡張子ごとに記憶する特徴量データ記憶部と、
何れかの実行形式が、前記オープン対象ファイル群の何れかをオープンしようとする場合、または前記オープン対象ファイル群の何れかにアクセスしようとする場合に、当該オープン、またはアクセスしようとした実行形式の特徴量を計算する特徴量計算部と、
前記オープン、またはアクセス対象となった前記オープン対象ファイルの前記ファイル拡張子に対応する前記適用可能実行形式の特徴量を前記特徴量データ記憶部から読み出して、前記計算された特徴量と前記読み出された特徴量の類似度を評価する評価部と、
を含む情報端末。
【請求項２】
請求項１に記載の情報端末であって、
前記特徴量がハッシュ値、アプリケーション全体のエントロピー値、アプリケーションの区分エントロピー値の何れかに関係する値である
情報端末。
【請求項３】
請求項１又は２に記載の情報端末であって、
前記評価部が、前記評価した類似度に基づいて、前記何れかの実行形式の前記オープン、またはアクセス対象となった前記オープン対象ファイルへのオープンまたはアクセスの許否を決定する
情報端末。
【請求項４】
請求項１から３の何れかに記載の情報端末であって、
前記特徴量データ記憶部は、各ファイル拡張子に対応する属性拡張子を記憶するものとし、
前記評価部は、前記オープン対象となった前記オープン対象ファイルの前記属性拡張子を抽出して、前記抽出された属性拡張子に基づいて定まるファイル拡張子に対応する前記適用可能実行形式の特徴量を前記特徴量データ記憶部から読み出して、前記計算された特徴量と前記読み出された特徴量の類似度を評価する
情報端末。
【請求項５】
請求項１から４の何れかに記載の情報端末であって、
前記適用可能実行形式として安全性が保障された実行形式であるホワイト実行形式と、不正な疑いのある実行形式であるブラック実行形式とを含み、
前記特徴量データ記憶部は、前記ファイル拡張子と前記ホワイト実行形式の名称と前記特徴量パラメタの、前記ファイル拡張子ごとの組からなるリストをホワイトリストとして記憶し、前記ファイル拡張子と前記ブラック実行形式の名称と前記特徴量パラメタの、前記ファイル拡張子ごとの組からなるリストをブラックリストとして記憶し、
前記評価部は、前記オープン、またはアクセス対象となった前記オープン対象ファイルの前記ファイル拡張子に対応する前記ホワイト実行形式、およびブラック実行形式の特徴量を前記特徴量データ記憶部から読み出して、前記計算された特徴量と前記読み出された特徴量の類似度を評価する
情報端末。
【請求項６】
任意の実行形式によるファイルオープンの対象となるファイル群であるオープン対象ファイル群の各ファイル拡張子と、前記各ファイル拡張子に適用可能な実行形式である各適用可能実行形式の各名称と、前記各適用可能実行形式の特徴量を含む各特徴量パラメタを、前記各ファイル拡張子ごとに所定の記憶部に記憶する登録ステップと、
何れかの実行形式が、前記オープン対象ファイル群の何れかをオープンしようとする場合、または前記オープン対象ファイル群の何れかにアクセスしようとする場合に、当該オープン、またはアクセスしようとした実行形式の特徴量を計算する特徴量計算ステップと、
前記オープン、またはアクセス対象となった前記オープン対象ファイルの前記ファイル拡張子に対応する前記適用可能実行形式の特徴量を所定の記憶部から読み出して、前記計算された特徴量と前記読み出された特徴量の類似度を評価する評価ステップと、
を含む実行形式監視方法。
【請求項７】
請求項６に記載の実行形式監視方法を実行すべき指令をコンピュータに対してするプログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、情報セキュリティに関する技術であり、実行形式（アプリケーション）を監視するための情報端末、実行形式監視方法、プログラムに関する。
【背景技術】
【０００２】
従来、任意の実行形式によりファイルオープンされるファイル（以下、オープン対象ファイルという）と実行形式（以下、実行形式ファイル、アプリケーションともいう）とを、ユーザが手動で静的に対応付ける方法がある（非特許文献１参照）。非特許文献１の方法に限らず、オープン対象ファイルとそれをオープンする実行形式との対応関係は様々な方法で容易に変更可能である。例えば、ある不正な実行形式は、ユーザが保有するオープン対象ファイルの一部と自身とを対応付けすることにより、ユーザが保有するオープン対象ファイルから情報を詐取することができる場合がある。このように、不正な実行形式が正規の実行形式になりすまして情報を詐取することを、いわゆるアプリケーションスプーフィングという。アプリケーションスプーフィングは、今後増加するものと考えられる。
【先行技術文献】
【非特許文献】
【０００３】
【非特許文献１】“ファイルを開いたときに起動するプログラムを変更する”、［online］、［平成 26年 1月 16日検索］、インターネット〈 URL：http://office.microsoft.com/ja-jp/excel-help/HA010174909.aspx〉
【発明の概要】
【発明が解決しようとする課題】
【０００４】
従来は実行形式の監視が行われておらず、悪意ある実行形式によって簡単にファイル内の情報を詐取することが可能であったため、情報セキュリティの観点から問題があった。そこで本発明では、実行形式を監視することができる情報端末を提供することを目的とする。
【課題を解決するための手段】
【０００５】
本発明の情報端末は、特徴量データ記憶部と、特徴量計算部と、評価部を含む。
【０００６】
特徴量データ記憶部は、任意の実行形式によるファイルオープンの対象となるファイル群であるオープン対象ファイル群の各ファイル拡張子と、各ファイル拡張子に適用可能な実行形式である各適用可能実行形式の各名称と、各適用可能実行形式の特徴量を含む各特徴量パラメタを、各ファイル拡張子ごとに記憶する。特徴量計算部は、何れかの実行形式が、オープン対象ファイル群の何れかをオープンしようとする場合、またはオープン対象ファイル群の何れかにアクセスしようとする場合に、当該オープン、またはアクセスしようとした実行形式の特徴量を計算する。評価部は、オープン、またはアクセス対象となったオープン対象ファイルのファイル拡張子に対応する適用可能実行形式の特徴量を特徴量データ記憶部から読み出して、計算された特徴量と読み出された特徴量の類似度を評価する。
【発明の効果】
【０００７】
本発明の情報端末によれば、実行形式を監視することができる。
【図面の簡単な説明】
【０００８】
【図１】本発明の実施例１の情報端末の構成を示すブロック図。
【図２】本発明の実施例１の情報端末の動作を示すフローチャート。
【図３】本発明の実施例１の特徴量データ記憶部に記憶されるデータを例示する図。
【図４】実行形式ファイル群の拡張子について例示する図。
【図５】記憶済み特徴量と計算された特徴量が類似する場合の各特徴量を例示する図。
【図６】記憶済み特徴量と計算された特徴量が類似しない場合の各特徴量を例示する図。
【図７】本発明の実施例２の情報端末の構成を示すブロック図。
【図８】本発明の実施例２の情報端末の登録動作を示すフローチャート。
【図９】本発明の実施例２で用いられる属性拡張子について説明する図。
【図１０】本発明の実施例２の特徴量データ記憶部に記憶されるデータを例示する図。
【図１１】本発明の実施例２の情報端末の評価動作を示すフローチャート。
【図１２】本発明の実施例３の情報端末の構成を示すブロック図。
【図１３】本発明の実施例３の特徴量データ記憶部に記憶されるデータを例示する図。
【図１４】本発明の実施例３の情報端末の登録動作を示すフローチャート。
【図１５】本発明の実施例３の情報端末の評価動作を示すフローチャート。
【図１６】本発明の実施例４の実行形式制御システムの構成を示すブロック図。
【図１７】本発明の実施例４の情報端末の登録動作を示すフローチャート。
【図１８】本発明の実施例４の情報端末の評価動作を示すフローチャート。
【発明を実施するための形態】
【０００９】
以下、本発明の実施の形態について、詳細に説明する。なお、同じ機能を有する構成部には同じ番号を付し、重複説明を省略する。
【実施例１】
【００１０】
以下、図１、図２を参照して本発明の実施例１の情報端末について説明する。図１は、本実施例の情報端末１の構成を示すブロック図である。図２は、本実施例の情報端末１の動作を示すフローチャートである。なお本明細書において情報端末とは、データを記憶する記憶領域と、データを演算して記憶領域に読み書きする演算子を備えた機器全般を指し示すものとする。図１に示すように、本実施例の情報端末１は少なくとも、特徴量計算部１２と、評価部１３と、特徴量データ記憶部１５を含む構成である。本実施例の情報端末１はこれに加え、ファイル登録部１１を含んでもよい。また、情報端末１の外部にオープン対象ファイル群記憶部１４、実行形式ファイル群記憶部１６が存在するものとする。これらの記憶部（１４、１６）は、本実施例のように情報端末１の外部に独立した記憶媒体、記憶装置として存在していてもよいし、情報端末内部に記憶領域として存在していてもよい。本実施例および後述する実施例４では、これらの記憶部（１４、１６）は情報端末１の外部に独立した記憶媒体、記憶装置として存在しているものとしたが、後述する実施例２、３においては、これらの記憶部（１４、１６）は、情報端末内部に記憶領域として存在するものとした。なお、オープン対象ファイル群記憶部１４には、任意の実行形式によるファイルオープンの対象となるファイル群（オープン対象ファイル群）が記憶されている。実行形式ファイル群記憶部１６には、実行形式群が記憶されている。
【００１１】
図２に示すように、ファイル登録部１１は、任意の実行形式によるファイルオープンの対象となるファイル群であるオープン対象ファイル群の各ファイル拡張子と、各ファイル拡張子に適用可能な実行形式である各適用可能実行形式の各名称と、各適用可能実行形式の特徴量を含む各特徴量パラメタを、各ファイル拡張子ごとに特徴量データ記憶部１５に記憶する（Ｓ１１）。なお、ステップＳ１１で記憶すべきデータが特徴量データ記憶部１５に予め記憶されている場合、ステップＳ１１の登録動作および、ファイル登録部１１を省略することが可能である。本発明において実行形式の特徴量として用いることができるものとして例えば、ハッシュ値、アプリケーション全体のエントロピー値、アプリケーションの区分エントロピー値などがある。順序性を考慮しない場合、実行形式のハッシュ値Hは、例えば以下の式で計算することができる。
【００１２】
【数１】
2015138331.tif 000003
【００１３】
なお、Piとは、対象となる実行形式ファイル中で、値iが出現する確率を表す。順序性を考慮する場合は、実行形式のハッシュ値H（以下、M1エントロピーと呼ぶ）は、例えば以下の式で計算することができる。
【００１４】
【数２】
2015138331.tif 000004
【００１５】
また、ファイル全体のエントロピー値を用いて、二つのファイルの類似度を測定する場合は、例えば以下のように計算できる。
【００１６】
【数３】
2015138331.tif 000005
【００１７】
ただし、E1は比較元ファイルのエントロピー、E2は比較先ファイルのエントロピー、S1は比較元ファイルのファイルサイズ、S2は比較先ファイルのファイルサイズである。ただし、ファイル全体のエントロピー値を用いて、式(3)により類似度を計算した場合、全く別のアプリケーション同士が偶然に類似のエントロピー値をとる場合がまれに発生する。こうした偶然の一致を防ぐためには区分エントロピー計算を行い、区分エントロピーの差分値から類似度を計算するのがよい。区分エントロピー値を用いて、二つのファイルの類似度を測定する場合は、例えば以下のように計算できる。
【００１８】
【数４】
2015138331.tif 000006
【００１９】
ただし、式(4)の類似度は、区間i=1,2,…,nとし、H1iは、区間iでの比較元ファイルのエントロピー、H2iは、区間iでの比較先ファイルのエントロピーである。分母のnは合計n個の区間の平均をとることを意味する。上述の特徴量計算方法（式(1)〜(4)）によれば、エグザクトマッチングよりも冗長性をもたせた成りすましの判定が可能となる。特徴量計算方法に冗長性を持たせることにより、管理コストを低くすることが可能である。
【００２０】
以下、図３を参照して特徴量データ記憶部１５に記憶されるデータの例について説明する。図３は、本実施例の特徴量データ記憶部１５に記憶されるデータを例示する図であって、図３Ａは、特徴量をハッシュ値とした場合のデータ構成例、図３Ｂは、特徴量を全体エントロピー値とした場合のデータ構成例、図３Ｃは、特徴量を区分エントロピー値とした場合のデータ構成例である。図３に示すように、特徴量データ記憶部１５には、ファイル拡張子ごとに、適用可能実行形式の名称、特徴量パラメタが組にして記憶される。例えば、特徴量がハッシュ値である場合、図３Ａに示すように、例えばファイル拡張子「.doc」に対して、適用可能実行形式名「EXE1.exe」、この実行形式EXE1.exeのハッシュ値であるH1が組にして記憶されている。同様に、例えばファイル拡張子「.xls」に対して、適用可能実行形式名「EXE2.exe」、この実行形式EXE2.exeのハッシュ値であるH2が組にして記憶されており、以下同様である。また、例えば特徴量が全体エントロピー値である場合、図３Ｂに示すように、特徴量パラメタとしては、特徴量そのものに加え、類似度に対して用いる閾値が記憶される。例えば図３Ｂでは、ファイル拡張子「.doc」に対して、適用可能実行形式名「EXE1.exe」、この実行形式EXE1.exeの全体エントロピー値A1、当該全体エントロピー値A1と比較対象のファイルの全体エントロピー値の類似度を式(3)により算出した際、二つのファイルが同一であるか否かを判断するときに、類似度に対して用いられる閾値「95%」が記憶される。この場合、式(3)で計算される類似度が95%以上（または超過）である場合に、二つのファイルが同一であると判断することができる。図３Ｂについては、以下同様である。同様に、例えば特徴量が区分エントロピー値である場合、図３Ｃに示すように、特徴量パラメタとしては、特徴量そのものに加え、類似度に対して用いる閾値が記憶される。例えば図３Ｃでは、ファイル拡張子「.doc」に対して、適用可能実行形式名「EXE1.exe」、この実行形式EXE1.exeの区分エントロピー値S1、当該区分エントロピー値S1と比較対象のファイルの区分エントロピー値の類似度を式(4)により算出した際、二つのファイルが同一であるか否かを判断するときに、類似度に対して用いられる閾値「0.20」が記憶される。この場合、式(4)で計算される類似度が0.20以下（または未満）である場合に、二つのファイルが同一であると判断することができる。図３Ｃについては、以下同様である。
【００２１】
以下、図４を参照して実行形式ファイルの拡張子の例について補足説明する。図４は、実行形式ファイル群の拡張子について例示する図である。図３の例において実行形式の拡張子は、全て「.exe」であったが、本発明の監視対象となる実行形式はこれに限らず、「.com」「.dll」「.sys」「.bat」「.cmd」などであってもよい。例えば図４に示すように、実行形式ファイル１６４（EXE4.com）、実行形式ファイル１６５（EXE5.dll）などであってもよい。
【００２２】
再び図２を参照して説明を続ける。ステップＳ１２以下は評価動作である。特徴量計算部１２は、何れかの実行形式が、オープン対象ファイル群の何れかをオープン、またはオープン対象ファイル群の何れかにアクセスしようとする場合に、当該オープン、またはアクセスしようとした実行形式の特徴量を計算する（Ｓ１２）。評価部１３は、オープン、またはアクセス対象となったオープン対象ファイルのファイル拡張子に対応する適用可能実行形式の特徴量を特徴量データ記憶部１５から読み出して、計算された特徴量と読み出した特徴量の類似度を評価する（Ｓ１３）。以下、図５、図６を参照して実際に類似度を計算した事例について説明する。図５は、記憶済み特徴量と計算された特徴量が類似する場合の各特徴量を例示する図である。図６は、記憶済み特徴量と計算された特徴量が類似しない場合の各特徴量を例示する図である。図５、図６ともに縦軸を特徴量（区分エントロピー値）、横軸をファイル区分（10KB単位）としてプロットしたグラフであり、白菱形の記号は、特徴量データ記憶部１５に記憶済みの適応可能実行形式の特徴量を表す。一方、黒四角の記号は、比較対象となる新たに計算された特徴量であって、オープン、またはアクセスしようとした実行形式の特徴量を表す。図５は、特徴量がよく一致する場合であって、式(4)で計算される差の平均（類似度）は0.021となる。この値は、設定されている閾値以下となるため、評価部１３は、二つのファイルが同一であると判断する。図５のように二つのファイルが同一であると判断された場合、評価部１３はオープン、またはアクセスしようとした実行形式に対して、例えばファイルオープンの許可を通知することができる。一方、図６は、特徴量が類似しない場合であって、式(4)で計算される差の平均（類似度）は0.69となる。この値は、設定されている閾値を超えているため、評価部１３は、二つのファイルが同一でないと判断する。従って、評価部１３はオープン、またはアクセスしようとした実行形式が不正な実行形式であると判断して、当該実行形式に対して、例えばファイルオープンの拒否（リジェクト）を通知することができる。
【００２３】
このように、本実施例の情報端末１によれば、特徴量データ記憶部１５に予め定めた適用可能実行形式の特徴量を記憶しておき、特徴量計算部１２が、ファイルアクセス／オープンを実行しようとする実行形式の特徴量を新たに計算し、評価部１３が記憶済みの特徴量と計算された特徴量を比較することで、その類似度を評価するため、実行形式のファイルへのアクセス／オープンを常に監視することができる。
【実施例２】
【００２４】
以下、特徴量データ記憶部に記憶するデータに属性拡張子を付与して管理することにより、ファイルオープン時をトリガとして、実行形式の監視を実行する実装とした実施例２の情報端末２について説明する。まず図７、図８を参照して登録動作について説明する。図７は、本実施例の情報端末２の構成を示すブロック図である。図８は、本実施例の情報端末２の登録動作を示すフローチャートである。図７に示すように、本実施例の情報端末２は、ファイル登録部２１と、特徴量計算部２２と、評価部２３と、オープン対象ファイル群記憶部１４と、特徴量データ記憶部２５と、実行形式ファイル群記憶部１６を含む構成である。なお、オープン対象ファイル群記憶部１４、実行形式ファイル群記憶部１６は情報端末２の外部に独立した記憶媒体、記憶装置として存在してもよい。本実施例の情報端末２と実施例１の情報端末１の違いは、ファイル登録部２１と、特徴量計算部２２と、評価部２３の動作と、特徴量データ記憶部２５に記憶されるデータである。
【００２５】
図８に示すように、特徴量計算部２２は、各適応可能実行形式の特徴量を計算する（Ｓ２２Ａ）。ファイル登録部２１は、各ファイル拡張子に対応する各属性拡張子と、各ファイル拡張子と、各ファイル拡張子の各適用可能実行形式の各名称と、各適用可能実行形式の各特徴量パラメタを、各ファイル拡張子ごとに特徴量データ記憶部２５に記憶する（Ｓ２１）。以上が登録動作である。上述のように、本実施例では、属性拡張子が追加される実装となっている。図９、図１０を参照して属性拡張子について説明する。図９は、本実施例で用いられる属性拡張子について説明する図である。図１０は、本実施例の特徴量データ記憶部２５に記憶されるデータを例示する図である。図９に示すように、属性拡張子は、共通するファイル拡張子を有するオープン対象ファイルのグループに対して、一つ付与されるものである。属性拡張子は、例えばコンテナ拡張子などで実現可能である。図９の例では、例えばファイル拡張子「.doc」に対して属性拡張子「XXX」が付与される。ファイル拡張子「.doc」に対して、適用可能実行形式EXE1.exeが対応付けられる。同様に、ファイル拡張子「.xls」に対して属性拡張子「YYY」が付与され、ファイル拡張子「.xls」に対して適用可能実行形式EXE2.exeが対応付けられる。以下同様である。図１０に示すように、本実施例の特徴量データ記憶部２５では、実施例１のデータセットに加えて、各ファイル拡張子に属性拡張子が付与されて記憶される。このように、オープン対象ファイルが属性拡張子で管理されることにより、評価部２３は、何れかの実行形式がオープン対象ファイルの何れかをオープンしようとした場合に、当該オープン対象ファイルの属性拡張子を読み出して評価を実行するため、実行形式のファイルオープン動作をトリガ（契機）として、評価を行うことができる。
【００２６】
図１１を参照して評価動作の詳細について述べる。図１１は、本実施例の情報端末２の評価動作を示すフローチャートである。図１１に示すように、特徴量計算部２２は、何れかの実行形式が、オープン対象ファイル群の何れかをオープンしようとする場合に、当該オープンしようとした実行形式の特徴量を計算する（Ｓ２２Ｂ）。評価部２３は、オープン対象となったオープン対象ファイルの属性拡張子を抽出して、抽出された属性拡張子に基づいて定まるファイル拡張子に対応する適用可能実行形式の特徴量を特徴量データ記憶部２５から読み出して、計算された特徴量と読み出された特徴量の類似度を評価し、当該類似度に基づいて、何れかの実行形式のオープンの許否を決定する（Ｓ２３）。
【００２７】
このように、本実施例の情報端末２によれば、特徴量データ記憶部２５に記憶するデータに属性拡張子を追加したことにより、実施例１の効果に加え、評価部２３が実行形式のファイルオープン動作をトリガ（契機）として、評価を行う実装とすることができる。
【実施例３】
【００２８】
以下、図１２、図１３を参照して、適用可能実行形式として安全性が保障された実行形式であるホワイト実行形式と、不正な疑いのある実行形式であるブラック実行形式とを含んで実装される実施例３の情報端末について説明する。図１２は、本実施例の情報端末３の構成を示すブロック図である。図１３は、本実施例の特徴量データ記憶部３５に記憶されるデータを例示する図である。
【００２９】
図１２に示すように、本実施例の情報端末３は、ファイル登録部３１と、特徴量計算部３２と、評価部３３と、オープン対象ファイル群記憶部１４と、特徴量データ記憶部３５と、実行形式ファイル群記憶部１６を含む構成である。なお、オープン対象ファイル群記憶部１４、実行形式ファイル群記憶部１６は情報端末３の外部に独立した記憶媒体、記憶装置として存在してもよい。本実施例の情報端末３と実施例１の情報端末１の違いは、ファイル登録部３１と、特徴量計算部３２と、評価部３３の動作と、特徴量データ記憶部３５に記憶されるデータである。
【００３０】
本実施例では、適用可能実行形式として安全性が保障されたホワイト実行形式、不正な疑いのあるブラック実行形式のそれぞれについて、実施例１におけるファイル拡張子−適用可能実行形式の名称−特徴量パラメタからなるデータセットを用いる。ホワイト実行形式に対応するデータセットをホワイトリスト、ブラック実行形式に対応するデータセットをブラックリストと呼ぶ。以下、図１３を参照して本実施例の特徴量データ記憶部３５に記憶されるデータについて説明する。図１３は、本実施例の特徴量データ記憶部３５に記憶されるデータを例示する図であって、図１３Ａはホワイトリスト、図１３Ｂはブラックリストを例示する図（特徴量をハッシュ値とした例）である。図１３Ａ，Ｂに示すように、本実施例ではホワイト実行形式とブラック実行形式のそれぞれに対してデータセットが生成される。具体的には、例えばファイル拡張子「.doc」に対して、安全な挙動が保障された実行形式（ホワイト実行形式）としてEXE1.exeが挙げられ、その特徴量（特徴量パラメタ）としてハッシュ値H1が、対応付けられて記憶されている。一方、ファイル拡張子「.doc」に対して、不正な動作を実行する疑いのある実行形式（ブラック実行形式）としてEXE91.exeが挙げられ、その特徴量としてハッシュ値H91が、対応付けられて記憶されている。本実施例では、評価部３３が、評価対象の実行形式をホワイト実行形式、ブラック実行形式の双方と比較してホワイト実行形式との類似度、ブラック実行形式との類似度をそれぞれ評価する。以下、図１４、図１５を参照して本実施例の情報端末３の登録動作、評価動作について説明する。図１４は、本実施例の情報端末３の登録動作を示すフローチャートである。図１５は、本実施例の情報端末３の評価動作を示すフローチャートである。
【００３１】
図１４に示すように、特徴量計算部３２は、各ホワイト／ブラック実行形式の特徴量を計算する（Ｓ３２Ａ）。ファイル登録部３１は、ファイル拡張子とホワイト実行形式の名称と特徴量パラメタの、ファイル拡張子ごとの組からなるリストをホワイトリストとして記憶し、ファイル拡張子とブラック実行形式の名称と特徴量パラメタの、ファイル拡張子ごとの組からなるリストをブラックリストとして記憶する（Ｓ３１Ａ）。以上が登録動作である。
【００３２】
図１５に示すように、評価部３３は、制御対象の実行形式の名称がホワイト／ブラックリストに登録済みの何れかの実行形式の名称と一致するか否かを判定し、一致する場合には（Ｓ３３ＡＹ）、次のステップＳ３２Ｂに進む。一致しない場合には（Ｓ３３ＡＮ）、処理を終了する（Ｆ５エンド）。ステップＳ３３Ａは適宜省略することもできるが、ステップＳ３３Ａの実行により、ホワイト／ブラック実行形式の何れとも名称が異なる実行形式を、評価対象から外すことができるため、評価にかかる処理コストを低減することができる。次に、特徴量計算部３２は、何れかの実行形式が、オープン対象ファイル群の何れかをオープン、またはオープン対象ファイル群の何れかにアクセスしようとする場合に、当該オープン、またはアクセスしようとした実行形式の特徴量を計算する（Ｓ３２Ｂ）。評価部３３は、オープン、またはアクセス対象となったオープン対象ファイルのファイル拡張子に対応するホワイト／ブラック実行形式の特徴量を特徴量データ記憶部３５から読み出して、計算された特徴量と読み出された特徴量の類似度を評価し、当該類似度から、制御対象の実行形式がホワイト実行形式であるか、ブラック実行形式であるか、あるいは何れでもないかを判定し、当該判定結果に応じて予め定めたそれぞれの動作を実行する（Ｓ３３Ｂ）。例えば評価部３３は、オープン、またはアクセスしようとした実行形式がホワイト実行形式と判定された場合には、ファイルへのアクセス／オープン動作を許可し、反対にブラック実行形式と判定された場合には、ファイルへのアクセス／オープン動作を拒否（リジェクト）することができる。
【００３３】
このように、本実施例の情報端末３によれば、適用可能実行形式としてホワイト実行形式、ブラック実行形式などを含むものとし、これらの特徴量を特徴量データ記憶部３５でホワイトリスト、ブラックリストとして管理することとし、評価部３３が、制御対象の実行形式がホワイトであるか、ブラックであるか、あるいは何れでもないかに応じて、予め定めたそれぞれの動作を実行するため、ホワイト／ブラックリストに従ったきめ細やかな実行形式の監視を実現することができる。
【実施例４】
【００３４】
以下、図１６を参照して、オープン対象ファイルがファイルシステムを経由して取得できる場合に、当該オープン対象ファイルの情報端末へのＩ／Ｏをトリガ（契機）として、評価が行われる実装とした実施例４の実行形式制御システムについて説明する。図１６は、本実施例の実行形式制御システム４００の構成を示すブロック図である。図１６に示すように、本実施例の実行形式制御システム４００は、情報端末４と、ファイルシステム４７と、オープン対象ファイル群記憶部１４と、実行形式ファイル群記憶部１６とを含む構成である。本実施例では、オープン対象ファイル群記憶部１４と、実行形式ファイル群記憶部１６は、情報端末４の外部にあって、独立した記憶媒体、記憶装置などで実現されるものとする。情報端末４は、ファイルシステム４７を介してオープン対象ファイル群記憶部１４からオープン対象ファイルを入出力することができる。また、情報端末４は、ファイル登録部４１と、特徴量計算部４２と、評価部４３と、特徴量データ記憶部４５を含む。
【００３５】
以下、図１７、図１８を参照して本実施例の情報端末４の登録動作、評価動作について説明する。図１７は、本実施例の情報端末４の登録動作を示すフローチャートである。図１８は、本実施例の情報端末４の評価動作を示すフローチャートである。
【００３６】
図１７に示すように、特徴量計算部４２は、各適応可能実行形式の特徴量を計算する（Ｓ４２Ａ）。ファイル登録部４１は、各ファイル拡張子と、各ファイル拡張子の各適用可能実行形式の各名称と、各適用可能実行形式の各特徴量パラメタを、各ファイル拡張子ごとに特徴量データ記憶部４５に記憶する（Ｓ４１）。以上が登録動作である。
【００３７】
図１８に示すように、特徴量計算部４２は、何れかの実行形式が、オープン対象ファイル群の何れかにアクセスしようとする場合に、当該アクセスしようとした実行形式の特徴量を計算する（Ｓ４２Ｂ）。評価部４３は、アクセス対象となったオープン対象ファイルのファイル拡張子に対応する適用可能実行形式の特徴量を特徴量データ記憶部４５から読み出して、計算された特徴量と読み出した特徴量の類似度を評価し、当該類似度に基づいて、何れかの実行形式のアクセスの許否を決定する（Ｓ４３）。以上が評価動作である。
【００３８】
このように、本実施例の実行形式制御システム４００、情報端末４によれば、実施例１の効果に加え、オープン対象ファイルの情報端末へのＩ／Ｏをトリガ（契機）として、評価を実行することができる。
【００３９】
上述の各種の処理は、記載に従って時系列に実行されるのみならず、処理を実行する装置の処理能力あるいは必要に応じて並列的にあるいは個別に実行されてもよい。その他、本発明の趣旨を逸脱しない範囲で適宜変更が可能であることはいうまでもない。
【００４０】
また、上述の構成をコンピュータによって実現する場合、各装置が有すべき機能の処理内容はプログラムによって記述される。そして、このプログラムをコンピュータで実行することにより、上記処理機能がコンピュータ上で実現される。
【００４１】
この処理内容を記述したプログラムは、コンピュータで読み取り可能な記録媒体に記録しておくことができる。コンピュータで読み取り可能な記録媒体としては、例えば、磁気記録装置、光ディスク、光磁気記録媒体、半導体メモリ等どのようなものでもよい。
【００４２】
また、このプログラムの流通は、例えば、そのプログラムを記録したＤＶＤ、ＣＤ−ＲＯＭ等の可搬型記録媒体を販売、譲渡、貸与等することによって行う。さらに、このプログラムをサーバコンピュータの記憶装置に格納しておき、ネットワークを介して、サーバコンピュータから他のコンピュータにそのプログラムを転送することにより、このプログラムを流通させる構成としてもよい。
【００４３】
このようなプログラムを実行するコンピュータは、例えば、まず、可搬型記録媒体に記録されたプログラムもしくはサーバコンピュータから転送されたプログラムを、一旦、自己の記憶装置に格納する。そして、処理の実行時、このコンピュータは、自己の記録媒体に格納されたプログラムを読み取り、読み取ったプログラムに従った処理を実行する。また、このプログラムの別の実行形態として、コンピュータが可搬型記録媒体から直接プログラムを読み取り、そのプログラムに従った処理を実行することとしてもよく、さらに、このコンピュータにサーバコンピュータからプログラムが転送されるたびに、逐次、受け取ったプログラムに従った処理を実行することとしてもよい。また、サーバコンピュータから、このコンピュータへのプログラムの転送は行わず、その実行指示と結果取得のみによって処理機能を実現する、いわゆるＡＳＰ（Application Service Provider）型のサービスによって、上述の処理を実行する構成としてもよい。なお、本形態におけるプログラムには、電子計算機による処理の用に供する情報であってプログラムに準ずるもの（コンピュータに対する直接の指令ではないがコンピュータの処理を規定する性質を有するデータ等）を含むものとする。
【００４４】
また、この形態では、コンピュータ上で所定のプログラムを実行させることにより、本装置を構成することとしたが、これらの処理内容の少なくとも一部をハードウェア的に実現することとしてもよい。
【図１】
2015138331.tif 000007
【図２】
2015138331.tif 000008
【図３】
2015138331.tif 000009
【図４】
2015138331.tif 000010
【図５】
2015138331.tif 000011
【図６】
2015138331.tif 000012
【図７】
2015138331.tif 000013
【図８】
2015138331.tif 000014
【図９】
2015138331.tif 000015
【図１０】
2015138331.tif 000016
【図１１】
2015138331.tif 000017
【図１２】
2015138331.tif 000018
【図１３】
2015138331.tif 000019
【図１４】
2015138331.tif 000020
【図１５】
2015138331.tif 000021
【図１６】
2015138331.tif 000022
【図１７】
2015138331.tif 000023
【図１８】
2015138331.tif 000024