(57)【要約】【課題】本発明は、コンピュータにおける悪意プログラム自動保護方法及び装置を提供するものである。【解決手段】本発明に係る方法は、所定の資源アクセス規則に基づき、オブジェクトプログラムのコンピュータシステムにおける一部の資源へのアクセスを制限するステップと、前記オブジェクトプログラムがアクセスしたコンピュータ資源に対して資源走査を行うことにより、前記アクセスされたコンピュータ資源が前記オブジェクトプログラムにより感染したか否かを判定するステップと、前記オブジェクトプログラムの行為の特徴に基づき、前記オブジェクトプログラムが悪意あるプログラムであるか否かを判定するように、悪意行為分析を行うステップと、を含む。【選択図】図１
2011501278.tif 000002
【特許請求の範囲】
【請求項１】
所定の資源アクセス規則に基づき、オブジェクトプログラムのコンピュータシステムにおける一部の資源へのアクセスを制限するステップと、
前記オブジェクトプログラムがアクセスしたコンピュータ資源に対して資源走査を行うことにより、前記アクセスされたコンピュータ資源が前記オブジェクトプログラムにより感染したか否かを判定するステップと、
前記オブジェクトプログラムの行為の特徴に基づき、前記オブジェクトプログラムが悪意あるプログラムであるか否かを判定するように、悪意行為分析を行うステップと、
を含むことを特徴とするコンピュータ自動保護方法。
【請求項２】
前記資源走査ステップ及び／又は前記悪意行為分析ステップの判定結果に基づき、新しい資源アクセス規則を作成するステップと、
作成された新しい資源アクセス規則を自動的に前記所定の資源アクセス規則に追加するステップと、
をさらに含むことを特徴とする請求項１記載の方法。
【請求項３】
前記新しい資源アクセス規則を作成するステップでは、
前記資源走査ステップで前記アクセスされたコンピュータ資源が感染されたと判定した場合に、作成された新しい資源アクセス規則は、どんなプログラムでも前記感染されたコンピュータ資源をアクセスできないことを含む、ことを特徴とする請求項２記載の方法。
【請求項４】
前記新しい資源アクセス規則を作成するステップでは、
前記悪意行為分析ステップで前記オブジェクトプログラムが悪意あるプログラムであると判定した場合に、作成された新しい資源アクセス規則は、どんなプログラムでも前記悪意あるオブジェクトプログラムに関するプログラムファイルを起動できないことを含む、ことを特徴とする請求項２記載の方法。
【請求項５】
前記悪意あるオブジェクトプログラムに関するプログラムファイルは、直接実行可能なプログラムファイルである、ことを特徴とする請求項４記載の方法。
【請求項６】
前記コンピュータシステムに存在しているウイルスファイルとウイルス感染したファイルを走査し消去するように、ユーザにより手動走査を起動するステップをさらに含み、
前記新しい資源アクセス規則を作成するステップは、さらに、前記手動走査の結果に基づき、前記新しい資源アクセス規則を作成するステップを含む、ことを特徴とする請求項２〜５の何れかに記載の方法。
【請求項７】
作成された新しい資源アクセス規則は、どんなプログラムでも前記手動走査して得たウイルスファイル又はウイルス感染したファイルをアクセスできないことを含む、ことを特徴とする請求項６記載の方法。
【請求項８】
前記悪意行為分析ステップは、
前記悪意行為分析ステップで前記オブジェクトプログラムが悪意あるプログラムであると判定した場合は、ウイルス「ＤＮＡ」識別技術で前記オブジェクトプログラムを再度判定するステップを含み、
前記悪意行為分析と前記ウイルス「ＤＮＡ」識別技術で何れも前記オブジェクトプログラムが悪意あるプログラムであると判定した場合にのみ、前記オブジェクトプログラムは悪意あるプログラムであると判定される、ことを特徴とする請求項１記載の方法。
【請求項９】
前記所定の資源アクセス規則は、ファイルアクセス規則、プロセス起動制御、レジストリアクセス規則、及びシステム動作規則の少なくとも一つを含むことを特徴とする請求項１記載の方法。
【請求項１０】
前記資源アクセス制限ステップは、さらに、
前記オブジェクトプログラムが前記資源アクセス規則でアクセス禁止と確定された資源をアクセスしたと判定したとき、前記オブジェクトプログラムのアクセスを阻止するか否かをユーザに提示するステップと、
ユーザの要求に応じて前記オブジェクトプログラムを阻止した後、前記悪意行為分析ステップを引き続き行うステップと、を含むことを特徴とする請求項９記載の方法。
【請求項１１】
ユーザが前記オブジェクトプログラムを阻止しないと確定すれば、前記資源走査ステップを引き続き行うステップを含むことを特徴とする請求項１０記載の方法。
【請求項１２】
所定の資源アクセス規則に基づき、オブジェクトプログラムのコンピュータシステムにおける一部の資源へのアクセスを制限する資源アクセス規則制御モジュールと、
前記オブジェクトプログラムがアクセスしたコンピュータ資源に対して資源走査を行うことにより、前記アクセスされたコンピュータ資源が前記オブジェクトプログラムにより感染したか否かを判定する資源アクセス走査モジュールと、
前記オブジェクトプログラムの行為の特徴に基づき、前記オブジェクトプログラムが悪意あるプログラムであるか否かを判定するように悪意行為分析を行う悪意行為分析モジュールと、
を含むことを特徴とするコンピュータ悪意プログラム自動保護装置。
【請求項１３】
前記資源アクセス走査モジュール及び／又は前記悪意行為分析モジュールの判定結果に基づき、新しい資源アクセス規則を作成する自動更新モジュールをさらに含み、
作成された新しい資源アクセス規則を自動的に前記所定の資源アクセス規則に追加することを特徴とする請求項１２記載のコンピュータ悪意プログラム自動保護装置。
【請求項１４】
前記資源アクセス走査モジュールが前記アクセスされたコンピュータ資源が感染されたと判定した場合に、前記自動更新モジュールで作成された新しい資源アクセス規則は、どんなプログラムでも前記感染されたコンピュータ資源をアクセスできないことを含み、
前記悪意行為分析モジュールが前記オブジェクトプログラムが悪意あるプログラムであると判定したとき、前記自動更新モジュールで作成された新しい資源アクセス規則は、どんなプログラムでも前記悪意あるオブジェクトプログラムに関するプログラムファイルを起動できないことを含むことを特徴とする請求項１３記載のコンピュータ悪意プログラム自動保護装置。
【請求項１５】
前記悪意行為分析モジュールは、
前記悪意行為分析モジュールで前記オブジェクトプログラムが悪意あるプログラムであると判定した後、ウイルス「ＤＮＡ」識別技術で前記オブジェクトプログラムを再度判定するウイルス「ＤＮＡ」識別モジュールを含み、
前記悪意行為分析モジュールと前記ウイルス「ＤＮＡ」識別モジュールによる判定の結果、何れも悪意あるプログラムであると判定された場合にのみ、前記オブジェクトプログラムは悪意あるプログラムであると判定されることを特徴とする請求項１２〜１４の何れかに記載のコンピュータ悪意プログラム自動保護装置。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、コンピュータにおける悪意プログラム自動保護方法及び装置に関し、特に資源アクセス規則の制御、資源アクセス走査及び悪意行為分析などの機能を含む、コンピュータにおける悪意プログラム自動保護方法及び装置に関するものである。
【背景技術】
【０００２】
コンピュータ及びネットワーク技術の急速で猛烈な発展により、情報の交流が極めて促進されている。しかし、技術の発展につれて、コンピュータウイルスも絶えず進化し更新され、人々がコンピュータを正常に使用することを酷く脅かしている。よって、コンピュータウイルスの攻撃をどのように防止するかは、現在、人々が注目するポイントになっている。コンピュータウイルスの攻撃を防止する重要なステップは、ウイルスが実行する前にウイルス付きファイルを識別することにより（即ち、通常、ウイルススキャンと呼ぶ）、相応の措置を採取してコンピュータシステムへの侵害を阻止することである。
【０００３】
従来のアンチウイルスソフトウェアに一般的に使用されているウイルススキャン方法は、シグニチャーマッチング方法（signature matching method）である。当該方法は、ウイルスサンプルから抽出されたシグニチャー（通常、一又は複数セクションの特定の二進法コードストリーム）を用いて、スキャンされるファイル中にマッチング捜索を行う。
【先行技術文献】
【特許文献】
【０００４】
【特許文献１】ＣＮ１５８１０８８Ａ
【特許文献２】ＵＳ２００７２０９０７６Ａ１
【発明の概要】
【発明が解決しようとする課題】
【０００５】
上記方法で使用されるシグニチャーは、発生した又は検出されたウイルスサンプルから抽出されるものであるので、固定のシグニチャーであり、ウイルスに対して通常後れを取るものである。よって、それらのシグニチャーが変化し易いウイルス（つまり変異し易いウイルス）、又は新種のウイルス（つまりそのシグニチャーが抽出されていないウイルス）に対して、当該方法は、リアルタイムで監視し保護する役割を果たすことができない。特に、近年、ウイルス数がますます増加していることと、アンチアンチウイルス（anti-anti-virus）技術の出現と発展につれて、従来の「シグニチャーウイルススキャン」の遅れという欠点は、ますます酷くなるので、多くのウイルスがリアルタイムで検出されない。一旦これらのリアルタイムで検出されないウイルスが実行されたら、コンピュータ資源は、完全にコンピュータウイルスの手前に露呈され、任意にコンピュータウイルスに読取され破壊される。また、従来の「シグニチャーウイルススキャン」中のウイルスサンプルは、通常、適時で自動的に添加されるのではなく、人工に更新する必要があるので、従来の「シグニチャーウイルススキャン」の遅れという問題はより酷くなる。
【０００６】
よって、上述の「シグニチャーウイルススキャン」の遅れという問題を解決すると共に、コンピュータウイルスが実行して敏感な資源を改ざん又は破壊することをリアルタイムで阻止するために、新しいコンピュータの悪意プログラム自動保護方法及び装置が求められている。
本発明は、未知のウイルスを適時、正確、かつ自発的に識別し消去することができると共に、ユーザが参加しなくても制限規則を更新することによりコンピュータのセキュリティをリアルタイムで自発的に保護することができるコンピュータ自動保護方法を提供することを目的とする。
【課題を解決するための手段】
【０００７】
上記目的を実現するために、本発明に係る方法は、所定の資源アクセス規則に基づき、オブジェクトプログラムのコンピュータシステムにおける一部の資源へのアクセスを制限するステップと、前記オブジェクトプログラムがアクセスしたコンピュータ資源に対して資源走査を行うことにより、前記アクセスされたコンピュータ資源が前記オブジェクトプログラムにより感染したか否かを判定するステップと、前記オブジェクトプログラムの行為の特徴に基づき、前記オブジェクトプログラムが悪意あるプログラムであるか否かを判定するように、悪意行為分析を行うステップと、を含むコンピュータ自動保護方法とした。
【０００８】
ここで、前記資源走査ステップ及び／又は前記悪意行為分析ステップの判定結果に基づき、新しい資源アクセス規則を作成するステップと、作成された新しい資源アクセス規則を自動的に前記所定の資源アクセス規則に追加するステップとをさらに含むこともできる。
また、前記新しい資源アクセス規則を作成するステップでは、前記資源走査ステップで前記アクセスされたコンピュータ資源が感染されたと判定した場合に、作成された新しい資源アクセス規則は、どんなプログラムでも前記感染されたコンピュータ資源をアクセスできないことを含むこともできる。
【０００９】
また、前記新しい資源アクセス規則を作成するステップでは、前記悪意行為分析ステップで前記オブジェクトプログラムが悪意あるプログラムであると判定した場合に、作成された新しい資源アクセス規則は、どんなプログラムでも前記悪意あるオブジェクトプログラムに関するプログラムファイルを起動できないことを含むこともできる。
さらに、前記悪意あるオブジェクトプログラムに関するプログラムファイルは、直接実行可能なプログラムファイルとすることもできる。
【００１０】
また、前記コンピュータシステムに存在しているウイルスファイルとウイルス感染したファイルを走査し消去するように、ユーザにより手動走査を起動するステップをさらに含み、前記新しい資源アクセス規則を作成するステップは、さらに、前記手動走査の結果に基づき、前記新しい資源アクセス規則を作成するステップを含むこともできる。
また、作成された新しい資源アクセス規則は、どんなプログラムでも前記手動走査して得たウイルスファイル又はウイルス感染したファイルをアクセスできないことを含むこともできる。
【００１１】
また、前記悪意行為分析ステップは、前記悪意行為分析ステップで前記オブジェクトプログラムが悪意あるプログラムであると判定した場合は、ウイルス「ＤＮＡ」識別技術で前記オブジェクトプログラムを再度判定するステップを含み、前記悪意行為分析と前記ウイルス「ＤＮＡ」識別技術で何れも前記オブジェクトプログラムが悪意あるプログラムであると判定した場合にのみ、前記オブジェクトプログラムは悪意あるプログラムであると判定されることもできる。
【００１２】
また、前記所定の資源アクセス規則は、ファイルアクセス規則、プロセス起動制御、レジストリアクセス規則、及びシステム動作規則の少なくとも一つを含むこともできる。
また、前記資源アクセス制限ステップは、さらに、前記オブジェクトプログラムが前記資源アクセス規則でアクセス禁止と確定された資源をアクセスしたと判定したとき、前記オブジェクトプログラムのアクセスを阻止するか否かをユーザに提示するステップと、ユーザの要求に応じて前記オブジェクトプログラムを阻止した後、前記悪意行為分析ステップを引き続き行うステップと、を含むこともできる。
【００１３】
また、ユーザが前記オブジェクトプログラムを阻止しないと確定すれば、前記資源走査ステップを引き続き行うステップを含むこともできる。
また、本発明に係る上記方法を実現するためのコンピュータ自動保護装置は、所定の資源アクセス規則に基づき、オブジェクトプログラムのコンピュータシステムにおける一部の資源へのアクセスを制限する資源アクセス規則制御モジュールと、前記オブジェクトプログラムがアクセスしたコンピュータ資源に対して資源走査を行うことにより、前記アクセスされたコンピュータ資源が前記オブジェクトプログラムにより感染したか否かを判定する資源アクセス走査モジュールと、前記オブジェクトプログラムの行為の特徴に基づき、前記オブジェクトプログラムが悪意あるプログラムであるか否かを判定するように悪意行為分析を行う悪意行為分析モジュールと、を含むものとした。
【００１４】
ここで、所定の資源アクセス規則に基づき、オブジェクトプログラムのコンピュータシステムにおける一部の資源へのアクセスを制限する資源アクセス規則制御モジュールと、前記オブジェクトプログラムがアクセスしたコンピュータ資源に対して資源走査を行うことにより、前記アクセスされたコンピュータ資源が前記オブジェクトプログラムにより感染したか否かを判定する資源アクセス走査モジュールと、前記オブジェクトプログラムの行為の特徴に基づき、前記オブジェクトプログラムが悪意あるプログラムであるか否かを判定するように悪意行為分析を行う悪意行為分析モジュールと、を含むこともできる。
【００１５】
また、前記資源アクセス走査モジュール及び／又は前記悪意行為分析モジュールの判定結果に基づき、新しい資源アクセス規則を作成する自動更新モジュールをさらに含み、作成された新しい資源アクセス規則を自動的に前記所定の資源アクセス規則に追加することもできる。
また、前記資源アクセス走査モジュールが前記アクセスされたコンピュータ資源が感染されたと判定した場合に、前記自動更新モジュールで作成された新しい資源アクセス規則は、どんなプログラムでも前記感染されたコンピュータ資源をアクセスできないことを含み、前記悪意行為分析モジュールが前記オブジェクトプログラムが悪意あるプログラムであると判定したとき、前記自動更新モジュールで作成された新しい資源アクセス規則は、どんなプログラムでも前記悪意あるオブジェクトプログラムに関するプログラムファイルを起動できないことを含むこともできる。
【００１６】
また、前記悪意行為分析モジュールは、前記悪意行為分析モジュールで前記オブジェクトプログラムが悪意あるプログラムであると判定した後、ウイルス「ＤＮＡ」識別技術で前記オブジェクトプログラムを再度判定するウイルス「ＤＮＡ」識別モジュールを含み、前記悪意行為分析モジュールと前記ウイルス「ＤＮＡ」識別モジュールによる判定の結果、何れも悪意あるプログラムであると判定された場合にのみ、前記オブジェクトプログラムは悪意あるプログラムであると判定されることもできる。
【発明の効果】
【００１７】
本発明に係るコンピュータにおける悪意プログラム自動保護方法及び装置は、資源アクセス制御と資源アクセス走査と悪意行為分析との三層の構造を用い、資源アクセス制御と資源アクセス走査と悪意行為分析とを組合わせてコンピュータの悪意あるプログラムに対する自動保護を行う。このため、資源アクセス規則制御層の制限優先性と、資源アクセス走査のリアルタイム性及び正確性と、悪意行為分析の曖昧判定性とを十分に利用することで、既存の「シグニチャーウイルススキャン」技術に存在している「遅れ」の問題を解決できる。
【００１８】
また同時に、本発明に係るコンピュータにおける悪意プログラム自動保護方法及び装置は、資源アクセス規則自動更新機能をさらに有して、人間の参加を必要とせず資源アクセス規則の自動添加を実現することができる。従って、資源アクセス規則制御層の使用難度を低下し、コンピュータの悪意あるプログラムに対する自動保護能力を向上させることが可能である。
【図面の簡単な説明】
【００１９】
【図１】本発明に係るコンピュータ自動保護方法のアーキテクチャを示す図である。
【図２】オブジェクトプログラムがファイルへのアクセスを試みる際の本発明の一つの実施例に係るコンピュータ自動保護方法を示す図である。
【図３】オブジェクトプログラムがプロセス起動を試みる際の本発明の一つの実施例に係るコンピュータ自動保護方法を示す図である。
【図４】オブジェクトプログラムがレジストリへのアクセスを行うことを試みる際の本発明の一つの実施例に係るコンピュータ自動保護方法を示す図である。
【図５】オブジェクトプログラムがシステムのキーポイントＡＰＩ関数を呼び出すことを試みる際の本発明の一つの実施例に係るコンピュータ自動保護方法を示す図である。
【図６】精確でない判定結果に基づく資源アクセス規則の自動更新プロセスを示す図である。
【図７】精確な判定結果に基づく資源アクセス規則の自動更新プロセスを示す図である。
【図８】本発明の一つの実施例に係るコンピュータ悪意プログラム自動保護装置を示す構造流れ図である。
【発明を実施するための形態】
【００２０】
以下、図面を参照しながら本発明の実施例を詳しく説明する。
図１は、本発明に係るコンピュータ自動保護方法のアーキテクチャを示す図である。図１に示すように、本発明に係るコンピュータ自動保護方法は、上から下まで三層の構造を含む。第１層は資源アクセス規則制御処理、第２層は資源アクセス走査処理、第３層は悪意行為分析処理である。この三層のアーキテクチャは、悪意行為分析及び資源アクセス制御と従来のウイルス走査方法とを組合わせて、悪意あるプログラムをより精確でかつ高速度に発見し、その実行を適時に阻止することができる。
【００２１】
以下、上記三層の構造の具体的な機能と組成をそれぞれ述する。
（資源アクセス規則制御処理）
資源アクセス規則制御処理は、第１層の構造であり、本発明に係るコンピュータ保護方法の最も基本的な部分である。これは、プログラムの実行は、往々資源へのアクセスから始まり、例えば、オブジェクトプログラムがオブジェクトファイルをアクセスことでオブジェクトファイルに対応するプロセスを起動する必要があるからである。
【００２２】
悪意あるプログラムがシステム資源の使用、例えばファイル又はレジストリへのアクセス、或いは特定のシステムＡＰＩ関数の呼び出しなどにより、攻撃又はウイルス伝送を行うことを防止するために、第１層の構造に予め幾つかの資源アクセス規則が設定されている。これらの予め設定された資源アクセス規則は、システム中の一部の重要な資源への不正アクセスを防止するためのものである。これらの予め設定された資源アクセス規則は、大量のウイルス感染されたユーザのケースを分析することで、まとめ及び概括により得られたものであってもよく、ファイルアクセス規則制御、プロセス起動制御、レジストリアクセス規則制御、及びシステム動作規則制御などを含むことができる。
【００２３】
具体的には、資源アクセス規則制御処理は、実行中に、まず、オブジェクトプログラムのシステム資源へのアクセス要求を傍受する。次に、上記所定の資源アクセス規則に基づき、当該オブジェクトプログラムが、当該所定の資源アクセス規則でアクセス確認が必要であると確定された資源をアクセスしようとするか否かを判定する。判定の結果が肯定であれば、現在のオブジェクトプログラムが資源アクセス規則に違反したことを表す。それは例えばトロイの木馬、ウイルスなどの悪意あるプログラムである可能性があるため、問合わせにより今度の資源へのアクセスの正当性を確認する必要がある。
【００２４】
上記資源アクセス規則制御処理は、あるプログラムが悪意あるプログラムをアクセス又は実行する前にそれを制限してもよいし、悪意あるプログラムを実行し始めた後、敏感な資源をアクセスする時にそれを制限してもよい。よって、このような資源アクセス規則制御処理は、悪意あるプログラムが侵害を施行する初期にそれを阻止することにより、未知のウイルスの衝撃を防止する目的を達することができる。
【００２５】
（資源アクセス走査処理）
資源アクセス規則制御処理を基に、さらに、第２層の構造である資源アクセス走査処理を実行する。資源アクセス走査処理は、従来のウイルス走査識別技術に依存するリアルタイムの監視であり、主にオブジェクトプログラムによりアクセスされる資源、例えばファイル、ブート領域、メール、スクリプトなどを監視する。例えば、資源アクセス走査処理は、傍受されたオブジェクトプログラムによりアクセスされたコンテキスト（例えば、ファイルコンテンツ、ブート領域のコンテンツなど）に対してウイルス走査識別を行うことにより、オブジェクトプログラムによりアクセスされたコンテンツが当該オブジェクトプログラムによりウイルス感染されたか否かを判定することで、当該オブジェクトプログラムが悪意あるプログラムであるか否かを判定する。
【００２６】
第２層の構造は精確なウイルス走査識別方法を用いるので、得られた判定結果は信頼できるものである。なお、ある特殊な場合には、資源アクセス走査処理は、省略されてもよい。例えば、オブジェクトプログラムが、システムを攻撃する、ある動作だけを行う場合には、ファイルへ影響を及ぼさない可能性があるので、上記資源アクセス走査処理を省略することができる。
【００２７】
（悪意行為分析処理）
悪意行為分析処理は、第３層の構造であって、上記二つの層を基に、さらに、オブジェクトプログラムで行われる動作を監視して、その行為の表現（つまり行為の特徴）によってオブジェクトプログラムが悪意あるプログラムであるか否かを判定する。例えば、当該オブジェクトプログラムが自己複製を施行しglobal hookを設定する場合は、それが悪意あるプログラムであると判定することができる。悪意行為分析は、行為の特徴に基づき判定を行うものであるので、幾つかの未知のウイルスを識別することができる。しかし、このような分析判定は、ある不正確性を有する。
【００２８】
好ましくは、悪意行為分析を誤判することを避けるために、第３層の構造としては、悪意行為分析技術とウイルス「ＤＮＡ」識別技術とを組合せることができる。上記ウイルス「ＤＮＡ」識別技術は、特定の特徴発見方法により未知のウイルスの特徴シーケンスを抽出し、次に、既知のウイルスの特徴と照合し、最後に、相似さが最も大きくかつ特定の閾値より大きい特徴シーケンスを見つける技術である。見つかった特徴シーケンスに対応するファイルは、悪意あるファイルとして確定される。具体的には、第３層の構造では、必要に応じて、悪意行為分析を行った後、悪意行為分析により判定された悪意あるプログラムをウイルス「ＤＮＡ」識別技術により再確認してもよい。悪意行為分析での判定結果と上記ウイルス「ＤＮＡ」識別技術での判定結果が何れも悪意あるプログラムである場合にのみ、上記オブジェクトプログラムは、悪意あるプログラムであると判定される。このように、悪意行為分析により未知のウイルスを見つけるだけでなく、ウイルス「ＤＮＡ」識別技術により誤報の発生を防止することにより、誤報率を低下することができる。
【００２９】
以上、図１を参照しながら本発明に係るコンピュータ保護方法の三層のアーキテクチャを紹介した。なお、上記三層の構造を基に、本発明は、第２層及び／又は第３層の構造の判定結果に基づき、資源アクセス規則を自動的に更新する過程を含んでもよい。当該自動更新過程において、資源アクセス走査処理及び／又は悪意行為分析処理での判定結果に基づき、新しい資源アクセス規則を作成して、それを資源アクセス制御層に自動的に更新する。
【００３０】
次に、資源アクセス規則の自動更新の具体的な過程について、図面を参照しながら後述するように詳しく記載する。
一般的には、本発明に係るコンピュータ自動保護方法は、システムにおいて自動的に実行され、プログラムの実行を自動的に監視することになる。しかし、ユーザは、手動で走査プログラムを起動することにより非リアルタイムでウイルス走査を行ってもよい。ユーザによる手動走査により、コンピュータで利用禁止されているが適時に消去されていないウイルスファイル又はウイルス感染されたファイルを見つけて、これらのファイルを適時に消去する可能性がある。この場合、手動走査で見つけたウイルスファイルは、適時に消去されていないのでアクセスされる可能性がある。従って本発明では、さらに、手動走査の判定結果に基づき新しい資源アクセス規則を作成して、当該新しい資源アクセス規則も資源アクセス制御層に自動的に更新されることを提案している。
【００３１】
以上、本発明に係るコンピュータ自動保護方法の構造と一部の機能を全体的に記載した。以下、具体的な実施例を参照しながら本発明の各面をそれぞれ記載する。
図２はオブジェクトプログラムがファイルへのアクセスを試みる際の本発明の一つの実施例に係る、コンピュータ自動保護方法を示す図である。
図２に示すように、オブジェクトプログラムによるファイルへのアクセス（例えば、システムファイルへのアクセスを試みる）を傍受した後、ステップＳ２１では、第１層の資源アクセス規則処理は、当該ファイルへのアクセスが資源アクセス規則におけるファイルアクセス規則にトリガしたか否かを判定する。これにより、例えば、システムの重要なデータファイル（例えば、hostファイル）への書込みアクセスが禁止される。当該ファイルへのアクセスがファイルアクセス規則に違反する場合は、ステップＳ２２に進み、そうでない場合は、ステップＳ２３に進む。
【００３２】
ステップＳ２２では、今度のファイルへのアクセスを阻止する必要があるか否かをユーザに提示することにより、当該オブジェクトプログラムがそのアクセスされるファイルをさらに侵害することを防止する。ユーザが今度のファイルへのアクセスを阻止しない場合には、ステップＳ２３に進む。ユーザが今度のファイルへのアクセスを阻止する場合には、ステップＳ２４に進み、今度のファイルへのアクセスを阻止する。次に、ステップＳ２６に進み、次の悪意行為分析を行う。
【００３３】
ステップＳ２１でファイルアクセス規則に違反していないと判定する場合、又は、ステップＳ２２で現在のオブジェクトプログラムによるアクセスを阻止する必要がないと確定する場合、オブジェクトプログラムによる例えば当該システムファイルへのアクセスを許可する。
次に、ステップＳ２３では、第２層の資源アクセス走査処理は、上記オブジェクトプログラムのアクセス対象に対して資源走査を行うことにより、当該アクセスされた対象がオブジェクトプログラムによりウイルス感染されたか否かを判定する。判定の結果、当該アクセスされた対象がウイルス感染されたことを表す場合、ステップＳ２５に進み、従来の監視処理を行ってから、ステップＳ２６に進む。判定の結果、当該アクセスされた対象がウイルス感染されていないことを表す場合、直接ステップＳ２６に進み、次の悪意行為分析を行う。
【００３４】
ステップＳ２６では、悪意行為分析処理は、今度のファイルへのアクセスに対して悪意行為分析を行って、上記オブジェクトプログラムが悪意あるプログラムである可能性があるか否かを判定する。その中、ステップＳ２６では、誤判を避けるために、必要に応じて、オブジェクトプログラムが悪意行為分析により悪意あるプログラムであると判定された場合に、さらに、ウイルス「ＤＮＡ」識別技術により走査判定を再度行う。これにより、上記オブジェクトプログラムが悪意あるプログラムであるか否かを確認する。二回の判定の結果が何れも肯定である場合にのみ、上記オブジェクトプログラムは悪意あるプログラムであると判定される。
【００３５】
ステップＳ２６での判定の結果が否定である場合、流れは終了する。判定の結果が否定でない場合は、引き続いて上記オブジェクトプログラムを終止して隔離する必要があるか否かを判定し（ステップＳ２７）、必要な場合に上記オブジェクトプログラムを終止して隔離する（ステップＳ２８）。その後、流れは終了する。
図３は、オブジェクトプログラムがプロセス起動を試みる際の本発明の一つの実施例に係る、コンピュータ自動保護方法を示す図である。
【００３６】
図３に示すように、オブジェクトプログラムによるプロセス起動動作を傍受した後、ステップＳ３１では、第１層の資源アクセス制御処理は、当該プロセス起動が資源アクセス規則におけるプロセス起動規則にトリガしたか否かを判定する。これにより、例えば、ブラウザプロセスで未知のプロセスを起動することは禁止される。当該プロセス起動がプロセス起動規則に違反する場合は、ステップＳ３２に進み、今度のプロセス作成を阻止するか否かをさらに判定する（ステップＳ３４）。違反しない場合は、ステップＳ３３に進み、次の悪意行為分析を行う。
【００３７】
ステップＳ３２では、今度のプロセス起動を阻止する必要があるか否かをユーザに提示することにより、起動されたプロセスが侵害行為をさらに実行することを防止する。ユーザがそれを阻止する場合にはステップＳ３４に進み、プロセス起動は阻止される。なお、ユーザが当該プロセス起動を阻止するか否かにかかわらず、ステップＳ３３に進み、次の悪意行為分析を行う。
【００３８】
ステップＳ３３では、第３層の悪意行為分析処理は、今度のプロセス起動に対して悪意行為分析を行うことで、上記オブジェクトプログラムが悪意あるプログラムである可能性があるか否かを判定する。その中、ステップＳ３３では、誤判を避けるために、必要に応じて、同じくウイルス「ＤＮＡ」識別技術により走査判定を再度行うことにより、上記オブジェクトプログラムが悪意あるプログラムであるか否かを確認する。二回の判定の結果が何れも肯定である場合にのみ、上記オブジェクトプログラムは悪意あるプログラムであると判定される。
【００３９】
ステップＳ３３での判定の結果が否定である場合、流れは終了する。判定の結果が肯定である場合は、引き続いて上記オブジェクトプログラムを終止して隔離する必要があるか否かを判定し（ステップＳ３５）、必要な場合に上記オブジェクトプログラムを終止して隔離する（ステップＳ３６）。その後、流れは終了する。
図４及び図５のそれぞれは、オブジェクトプログラムがレジストリへのアクセスを行うことと、システムのキーポイントＡＰＩ関数を呼び出すことを試みる時の本発明の一つの実施例に係るコンピュータ自動保護方法を示す図である。図面を参照すると、図４及び図５の処理過程は、図３と類似しているが、それらの相違点は、それらがそれぞれ異なる資源アクセス制御、例えばレジストリアクセス規則またはシステムのキーポイントＡＰＩ関数呼び出し規則をトリガして起動を試みる操作に対し、異なる阻止、例えばレジストリへのアクセスの阻止又はＡＰＩの呼び出しの阻止を実施する点だけである。図４及び図５には、図３と同じ部分について、図３に関する具体的な記述を参照できるので、ここで再度記載しない。
【００４０】
上述の過程において、悪意行為分析の判定、資源アクセス走査又は手動走査を行った後、多種の判定結果が得られる。判定結果の精確性によって、判定結果を、（１）悪意行為分析の判定からの判定結果を含む精確でない判定結果、（２）資源アクセス走査と手動走査からの判定結果を含む精確な判定結果との二種類に分けることができる。この異なる判定結果に応じて、異なる資源アクセス規則を生成することができる。例えば、精確でない判定結果について、当該悪意あるプログラムファイルの起動を制限する資源アクセス規則を生成し、精確な判定結果について、ウイルスファイルへのアクセスを制限する資源アクセス規則を生成することができる。必要に応じて、精確な判定結果について、当該プログラムファイルの起動を制限する資源アクセス規則を生成してもよい。
【００４１】
以下、上記二種類の異なる判定結果について、本発明に係るコンピュータ自動保護方法に基づく資源アクセス規則の自動更新過程を具体的に記述する。-
（精確でない判定結果の場合）
図６は精確でない判定結果に基づく資源アクセス規則の自動更新過程を示す図である。
図６に示すように、ステップＳ６１では、上記オブジェクトプログラムに対して悪意行為分析の判定を行った後、判定結果を得ることで、判定結果の集合が得られる。この例では精確でない判定結果を得ている。判定結果が得られた時に、悪意あるプログラムと判定された一部のファイル自身、又は悪意あるプログラムから放出されたファイルは、上述の資源走査又は悪意行為分析処理で消去された可能性がある。存在していないファイルについて、相応の規則を作成する必要がない。よって、次のステップでは、当該結果の集合に悪意あるファイルの記録が存在しているか否かを判定する（ステップＳ６２）。前記記録が存在しない場合には、流れを直接に終了し、どんな規則も添加しない。
【００４２】
一般的には、一回の判定結果で確定された悪意あるプログラムは、一つのプログラムファイルではなく、プロセスの集合に含まれる複数のファイルに係わる可能性が大きい。これらのファイルは、悪意あるプログラムで作成された一つ又は複数のプロセスに対応するファイルである可能性もあって、プロセスから放出されたファイルである可能性もある。そこで本実施例では、誤判を減少するために、判定結果の集合に存在している直接に実行可能なファイルであるＥＸＥファイルに対してのみ、対応の新しい資源アクセス規則を作成する。よって、ステップＳ６２で当該結果の集合に悪意あるファイルの記録が含まれていると判定した場合、悪意あるファイルの記録から悪意あるファイルの情報、例えばファイル名を取得し（ステップＳ６３）、次に、当該ファイルがＥＸＥファイルであるか否かを判定する（ステップＳ６４）。判定の結果が肯定であれば、ステップＳ６５に進み、新しい規則を作成する。判定の結果が否定であれば、ステップＳ６２に戻って、引き続き、判定結果の集合におけるその他の悪意あるファイルを取得する。
【００４３】
ステップＳ６５では、抽出された悪意あるＥＸＥファイルの情報に基づき、例えば「どんなプログラムでも当該プログラムファイルを起動してはいけない」という規則の内容など、相関する資源アクセス規則を作成し、かつ、当該新たに作成された規則を既存の資源アクセス規則に添加して生かせる（ステップＳ６６）。
最後に、既存の資源アクセス規則を自動的に更新した後、ステップＳ６２に戻って、判定結果の集合における全ての悪意あるファイルに対して相応の資源アクセス規則を作成するまで、実行を続ける。
【００４４】
（精確な判定結果の場合）
図７は精確な判定結果である資源走査と手動走査での判定結果に基づく資源アクセス規則の自動更新過程を示す図である。
図７に示す過程は、図６と類似しているが、それらの相違点は、走査後の判定結果が正確であるので、規則を作成する際に判定結果で確定された全てのウイルスファイルへのアクセスを禁止する必要があることである。それゆえ、図７に示す自動更新過程では、図６において悪意あるファイルがＥＸＥファイルであるか否かを判定するステップを省略し、直接的に各ウイルスファイル毎に（ステップＳ７２）相応の資源アクセス規則を作成する（ステップＳ７４）。図７に示す例では、ウイルスファイルに対して作成された資源アクセス規則は、「どんなプログラムでも当該プログラムファイルをアクセスしてはいけない」ということである。これにより、確定されたウイルスファイルをアクセスしようとする、いかなるプログラムに対してもウイルス感染されることを防止できる。図７において、図６に類似するステップＳ７１、Ｓ７３、Ｓ７５の具体的な操作は、図６を参照することができるので、ここでは再度記載しない。
【００４５】
以上、図面を参照しながら本発明に係るコンピュータ自動保護方法を詳しく説明した。当該方法は、コンピュータソフトウェアで実現されても、コンピュータハードウェアで実現されても、コンピュータソフトウェアとハードウェアとを組合わせる方式で実現されてもよい。
図８は本発明の一つの実施例に係るコンピュータ自動保護装置１００を示す構成図である。
【００４６】
図８に示すように、コンピュータ自動保護装置１００は、所定の資源アクセス規則に基づき、オブジェクトプログラムのコンピュータシステムにおける一部の資源へのアクセスを制限する資源アクセス規則制御モジュール１０１と、前記オブジェクトプログラムがアクセスしたコンピュータ資源に対して資源走査を行うことにより、前記アクセスされたコンピュータ資源が前記オブジェクトプログラムにより感染したか否かを判定する資源アクセス走査モジュール１０３と、前記オブジェクトプログラムの行為の特徴に基づき、悪意行為分析を行うことにより、前記オブジェクトプログラムが悪意あるプログラムであるか否かを判定する悪意行為分析モジュール１０５と、前記資源アクセス走査、前記悪意行為分析での判定結果に基づき、新しい資源アクセス規則を作成し、新しい資源アクセス規則を既存の資源アクセス制御層に追加して、自動更新を実現する自動更新モジュール１０９と、を含む。そのうち、当該悪意行為分析モジュール１０５は、前記悪意行為分析モジュール１０５で前記オブジェクトプログラムが悪意あるプログラムであると判定した後、ウイルス「ＤＮＡ」識別技術で前記オブジェクトプログラムを再度判定するウイルス「ＤＮＡ」識別モジュール１０５１を含んでもよい。前記悪意行為分析モジュール１０５とウイルス「ＤＮＡ」識別モジュール１０５１による判定の結果、何れも悪意あるプログラムである場合にのみ、前記オブジェクトプログラムは悪意あるプログラムであると判定される。
（有益な効果）
【００４７】
以上、本発明に係るコンピュータにおける悪意プログラム自動保護方法及び装置は、資源アクセス制御と資源アクセス走査と悪意行為分析との三層の構造を用い、資源アクセス制御と資源アクセス走査と悪意行為分析とを組合わせてコンピュータの悪意あるプログラムに対する自動保護を行うので、資源アクセス規則制御層の制限優先性と、資源アクセス走査のリアルタイム性及び正確性と、悪意行為分析の曖昧判定性とを十分に利用して、既存の「シグニチャーウイルススキャン」技術に存在している「遅れ」の問題を解決できる。
【００４８】
同時に、本発明に係るコンピュータにおける悪意プログラム自動保護方法及び装置は、資源アクセス規則自動更新機能をさらに有して、人間の参加を必要とせず資源アクセス規則の自動添加を実現することができるので、資源アクセス規則制御層の使用難度を低下し、コンピュータの悪意あるプログラムに対する自動保護能力を向上している。
また、悪意行為分析時にさらにウイルス「ＤＮＡ」識別技術と組合せ、可能な悪意ある行為の出現時にウイルス「ＤＮＡ」識別技術でさらに確認するので、悪意行為分析で未知のウイルスを見つけると共に、ウイルス「ＤＮＡ」識別技術で誤報の発生をよく防止し、誤報率を低下することができる。
【００４９】
当業者であれば、本発明に係るコンピュータにおける悪意プログラム自動保護方法及び装置は、本発明の主旨から離脱しない限り、様々な変更をすることができる。よって、本発明の保護範囲は、添付される特許請求の範囲の内容に基づき確定されるはずである。
【図１】
2011501278.tif 000003
【図２】
2011501278.tif 000004
【図３】
2011501278.tif 000005
【図４】
2011501278.tif 000006
【図５】
2011501278.tif 000007
【図６】
2011501278.tif 000008
【図７】
2011501278.tif 000009
【図８】
2011501278.tif 000010
【国際調査報告】
2011501278.tif 000011
2011501278.tif 000012
2011501278.tif 000013
2011501278.tif 000014