(57)【要約】  本願発明は、マルウェアを高い精度で検出する。  マルウェア対策装置５０は、ソフトウェア６００を実行する情報処理装置６０の属性を示す値と、ソフトウェア６００の属性を示す値と、情報処理装置６０及びソフトウェア６００の属性に依存する、ソフトウェア６００が情報処理装置６０によって実行されたときの危険度を示す値と、が関連付けされた危険情報５１０が記憶された危険情報記憶部５１と、外部から情報処理装置６０の属性を示す値を収集する主体属性収集部５３と、外部からソフトウェア６００の属性を示す値を収集する客体属性収集部５４と、主体属性収集部５３及び客体属性収集部５４が収集した値を、危険情報５１０と照合することによって得られた危険度を示す値が基準を満たす場合、ソフトウェア６００がマルウェアであると判定する判定部５５と、を備える。
2016121348.tif 000002
【特許請求の範囲】
【請求項１】
ソフトウェアを実行する第一の情報処理装置の属性を示す値と、前記ソフトウェアの属性を示す値と、前記第一の情報処理装置及び前記ソフトウェアの属性に依存する、前記ソフトウェアが前記第一の情報処理装置によって実行されたときの危険度を示す値と、が関連付けされた危険情報が記憶された記憶手段と、
外部から前記第一の情報処理装置の属性を示す値を収集する主体属性収集手段と、
外部から前記ソフトウェアの属性を示す値を収集する客体属性収集手段と、
前記主体属性収集手段及び前記客体属性収集手段が収集した値を、前記危険情報と照合することによって得られた前記危険度を示す値が基準を満たす場合、前記ソフトウェアがマルウェアであると判定する判定手段と、
を備えるマルウェア対策装置。
【請求項２】
前記判定手段が、前記ソフトウェアがマルウェアであると判定した場合、前記ソフトウェアを第二の情報処理装置に移動したのち、前記第二の情報処理装置に前記ソフトウェアを実行させる移動手段
をさらに備える、請求項１に記載のマルウェア対策装置。
【請求項３】
前記移動手段が前記第二の情報処理装置に前記ソフトウェアを移動したのち、前記第二の情報処理装置に前記ソフトウェアを実行させる前に、前記第二の情報処理装置から、内部状態を表す情報を収集する内部状態収集手段
をさらに備える、請求項２に記載のマルウェア対策装置。
【請求項４】
前記移動手段は、前記ソフトウェアを、仮想マシンである前記第二の情報処理装置に移動し、
前記内部状態収集手段は、前記第二の情報処理装置に前記ソフトウェアを実行させる前に、前記第二の情報処理装置のスナップショットを収集する、
請求項３に記載のマルウェア対策装置。
【請求項５】
前記内部状態収集手段は、前記第二の情報処理装置によって実行されている前記ソフトウェアの動作を表す情報を収集し、収集した情報を前記危険情報として、前記記憶手段へ格納する、
請求項３又は４に記載のマルウェア対策装置。
【請求項６】
前記内部状態収集手段は、前記第二の情報処理装置によって実行されている前記ソフトウェアの動作を表す情報として、通信先である装置のＩＰアドレス、通信頻度、システムコールの引数、及び、前記システムコールの頻度の少なくともいずれかを収集する、
請求項５に記載のマルウェア対策装置。
【請求項７】
通信可能に接続された通信ネットワークを介してアクセス可能な外部装置から、前記危険情報を収集し、収集した前記危険情報を前記記憶手段に格納する危険情報収集手段、
をさらに備える、請求項１乃至６のいずれかに記載のマルウェア対策装置。
【請求項８】
前記主体属性収集手段は、前記第一の情報処理装置から、前記第一の情報処理装置に付与されたＩＰアドレスを収集する、
請求項１乃至７のいずれかに記載のマルウェア対策装置。
【請求項９】
前記客体属性収集手段は、前記ソフトウェアのバイナリコードを、ハッシュ関数に入力することによって得られるハッシュ値を収集する、
請求項１乃至８のいずれかに記載のマルウェア対策装置。
【請求項１０】
前記記憶手段は、前記第一の情報処理装置に付与されたＩＰアドレスと、前記第一の情報処理装置を所有あるいは設置する組織を識別可能な識別子と、が関連付けされた前記危険情報を記憶する、
請求項８乃至９のいずれかに記載のマルウェア対策装置。
【請求項１１】
前記記憶手段は、前記ハッシュ値と、前記ソフトウェアを開発した開発元に関する情報と、が関連付けされた前記危険情報を記憶する、
請求項９乃至１０のいずれかに記載のマルウェア対策装置。
【請求項１２】
前記記憶手段は、前記第一の情報処理装置に適用されるセキュリティポリシーの内容と、前記第一の情報処理装置が前記ソフトウェアを実行するときに前記セキュリティポリシーに準拠しない動作を行った場合の前記危険度を示す値と、が関連付けされた前記危険情報を記憶する、
請求項１乃至１１のいずれかに記載のマルウェア対策装置。
【請求項１３】
前記記憶手段は、前記第一の情報処理装置が前記ソフトウェアを実行する場合に発生する事象の内容を示す情報と、前記危険度を示す値と、が関連付けされた前記危険情報を記憶する、
請求項１乃至１２のいずれかに記載のマルウェア対策装置。
【請求項１４】
前記記憶手段は、前記第一の情報処理装置を所有あるいは設置する組織を識別可能な識別子と、前記ソフトウェアを開発した前記開発元に関する情報と、前記危険度を示す値と、が関連付けされた前記危険情報を記憶する、
請求項１０乃至１３のいずれかに記載のマルウェア対策装置。
【請求項１５】
請求項２乃至１４のいずれかに記載のマルウェア対策装置と、
前記第一及び第二の情報処理装置と、
を備えるマルウェア対策システム。
【請求項１６】
記憶手段が、ソフトウェアを実行する第一の情報処理装置の属性を示す値と、前記ソフトウェアの属性を示す値と、前記第一の情報処理装置及び前記ソフトウェアの属性に依存する、前記ソフトウェアが前記第一の情報処理装置によって実行されたときの危険度を示す値と、が関連付けされた危険情報を記憶する場合に、
第三の情報処理装置によって、
外部から前記第一の情報処理装置の属性を示す値を収集し、
外部から前記ソフトウェアの属性を示す値を収集し、
収集した、前記第一の情報処理装置の属性及び前記ソフトウェアの属性を示す値を、前記危険情報と照合することによって得られた前記危険度を示す値が基準を満たす場合、前記ソフトウェアがマルウェアであると判定する、
マルウェア対策方法。
【請求項１７】
前記ソフトウェアがマルウェアであると判定した場合、前記ソフトウェアを第二の情報処理装置に移動したのち、前記第二の情報処理装置に前記ソフトウェアを実行させる、
請求項１６に記載のマルウェア対策方法。
【請求項１８】
前記第二の情報処理装置に前記ソフトウェアを移動したのち、前記第二の情報処理装置に前記ソフトウェアを実行させる前に、前記第二の情報処理装置から、内部状態を表す情報を収集する、
請求項１７に記載のマルウェア対策方法。
【請求項１９】
ソフトウェアを実行する第一の情報処理装置の属性を示す値と、前記ソフトウェアの属性を示す値と、前記第一の情報処理装置及び前記ソフトウェアの属性に依存する、前記ソフトウェアが前記第一の情報処理装置によって実行されたときの危険度を示す値と、が関連付けされた危険情報を記憶している記憶手段にアクセス可能なコンピュータに、
外部から前記第一の情報処理装置の属性を示す値を収集する主体属性収集処理と、
外部から前記ソフトウェアの属性を示す値を収集する客体属性収集処理と、
前記主体属性収集処理及び前記客体属性収集処理によって収集された値を、前記危険情報と照合することによって得られた前記危険度を示す値が基準を満たす場合、前記ソフトウェアがマルウェアであると判定する判定処理と、
を実行させる、マルウェア対策プログラムが格納された記録媒体。
【請求項２０】
前記判定処理が、前記ソフトウェアがマルウェアであると判定した場合、前記ソフトウェアを第二の情報処理装置に移動したのち、前記第二の情報処理装置に前記ソフトウェアを実行させる移動処理
をコンピュータに実行させる、請求項１９に記載のマルウェア対策プログラムが格納された記録媒体。
【請求項２１】
前記移動処理が前記第二の情報処理装置に前記ソフトウェアを移動したのち、前記第二の情報処理装置に前記ソフトウェアを実行させる前に、前記第二の情報処理装置から、内部状態を表す情報を収集する内部状態収集処理
をコンピュータに実行させる、請求項２０に記載のマルウェア対策プログラムが格納された記録媒体。
【発明の詳細な説明】
【技術分野】
【０００１】
本願発明は、マルウェアを検出して、そのマルウェアに対する対策を行うマルウェア対策装置等に関する。
【背景技術】
【０００２】
昨今、コンピュータに不正な指令を与える、悪意のあるソフトウェア（以降、マルウェアと称する）に起因するセキュリティに対する脅威が社会問題となっている。したがって、そのようなセキュリティにおける脅威を排除するために、コンピュータに入り込んだマルウェアを高い精度で検出する技術に対する期待が高まってきている。【０００３】
このような技術に関連する技術の一例として、特許文献１には、ファイアウォールからマルウェア候補サンプルを受信して、当該サンプルがマルウェアであると判定した場合に、シグネチャーコードを自動的に生成するマルウェア解析システムが開示されている。このシステムは、様々なヒューリスティックに基づく手法を用いて、マルウェア候補サンプルがマルウェアであるか否かを判定する。
【先行技術文献】
【特許文献】
【０００４】
【特許文献１】特表2014-519113号公報
【発明の概要】
【発明が解決しようとする課題】
【０００５】
一般的なマルウェアの検出方式では、ソフトウェアを構成するバイナリコードの特徴や振る舞い（例えば、通信手順及び通信先ドメインの特徴等）に基づいて、当該ソフトウェアがマルウェアであると判定する。すなわち、一般的なマルウェアの検出方式は、ソフトウェアの動作を客観的に観測した事象のみに基づいて、マルウェアを検出している。例えば、特許文献１に記載されたマルウェア解析システムは、下記の事象のうちの少なくともいずれかを観測した場合に、当該ソフトウェアがマルウェアであると判定する。
・HTTP(Hyper Text Transfer Protocol)トラフィック用の非標準的なHTTPポートに接続すること、
・架空ドメインにアクセスすること、
・非標準的な実行ファイル拡張子を有する実行ファイルをダウンロードすること、
・ｅメールサーバ用のDNS(Domain Name System)クエリを実行すること、
・一般的な長さよりも短い長さのHTTPヘッダを用いて通信を行うこと、
・HTTPトラフィックにおいて、ポスト法により通信を行うこと、
・IRC(Internet Relay Chat)トラフィック用の非標準的なIRCポートに接続すること、
・侵入防止システム回避手法を用いて通信を行うこと、
・HTTPポートを介して分類されていないトラフィックの通信を行うこと、
・通常のドメイン名の長さよりも長いドメイン名を持つドメインにアクセスすること、
・ダイナミックDNSドメインにアクセスすること、
・ファストフラックスドメインにアクセスすること（DNSラウンドロビンの利用)、
・最近作成されたドメインにアクセスすること。【０００６】
しかしながら、このような事象は、必ずしも悪意によって発生しているわけではなく、ソフトウェアを配布した提供者、あるいは、ソフトウェアを実行する利用者の、悪意のない正当な目的によって、発生している場合もある。すなわち、ソフトウェアがマルウェアであるか否かは、より正確には、ソフトウェアの動作について客観的に観測される事象だけではなく、そのソフトウェアを実行する主体の属性、及び、そのソフトウェアの属性に依存する様々な要因によって決定する。特許文献１に記載されたマルウェア解析システムは、このような様々な要因をふまえた総合的な見地（観点）に基づく情報から、ソフトウェアがマルウェアであるか否かを判定する訳ではない。従って、係るマルウェア解析システムは、この判定を高い精度で行うことができない問題がある。本願発明の主たる目的は、この課題を解決したマルウェア対策装置等を提供することである。
【課題を解決するための手段】
【０００７】
本願発明の一態様に係るマルウェア対策装置は、ソフトウェアを実行する第一の情報処理装置の属性を示す値と、前記ソフトウェアの属性を示す値と、前記第一の情報処理装置及び前記ソフトウェアの属性に依存する、前記ソフトウェアが前記第一の情報処理装置によって実行されたときの危険度を示す値と、が関連付けされた危険情報が記憶された記憶手段と、外部から前記第一の情報処理装置の属性を示す値を収集する主体属性収集手段と、外部から前記ソフトウェアの属性を示す値を収集する客体属性収集手段と、前記主体属性収集手段及び前記客体属性収集手段が収集した値を、前記危険情報と照合することによって得られた前記危険度を示す値が基準を満たす場合、前記ソフトウェアがマルウェアであると判定する判定手段と、を備える。【０００８】
上記目的を達成する他の見地において、本願発明の一態様に係るマルウェア対策方法は、記憶手段が、ソフトウェアを実行する第一の情報処理装置の属性を示す値と、前記ソフトウェアの属性を示す値と、前記第一の情報処理装置及び前記ソフトウェアの属性に依存する、前記ソフトウェアが前記第一の情報処理装置によって実行されたときの危険度を示す値と、が関連付けされた危険情報を記憶する場合に、第三の情報処理装置によって、外部から前記第一の情報処理装置の属性を示す値を収集し、外部から前記ソフトウェアの属性を示す値を収集し、収集した、前記第一の情報処理装置の属性及び前記ソフトウェアの属性を示す値を、前記危険情報と照合することによって得られた前記危険度を示す値が基準を満たす場合、前記ソフトウェアがマルウェアであると判定する。【０００９】
また、上記目的を達成する更なる見地において、本願発明の一態様に係るマルウェア対策プログラムは、ソフトウェアを実行する第一の情報処理装置の属性を示す値と、前記ソフトウェアの属性を示す値と、前記第一の情報処理装置及び前記ソフトウェアの属性に依存する、前記ソフトウェアが前記第一の情報処理装置によって実行されたときの危険度を示す値と、が関連付けされた危険情報を記憶している記憶手段にアクセス可能なコンピュータに、外部から前記第一の情報処理装置の属性を示す値を収集する主体属性収集処理と、外部から前記ソフトウェアの属性を示す値を収集する客体属性収集処理と、前記主体属性収集処理及び前記客体属性収集処理によって収集された値を、前記危険情報と照合することによって得られた前記危険度を示す値が基準を満たす場合、前記ソフトウェアがマルウェアであると判定する判定処理と、を実行させる。【００１０】
更に、本発明は、係るマルウェア対策プログラム（コンピュータプログラム）が格納された、コンピュータ読み取り可能な、不揮発性の記録媒体によっても実現可能である。
【発明の効果】
【００１１】
本願発明は、マルウェアを高い精度で検出することを可能とする。
【図面の簡単な説明】
【００１２】
【図１】本願発明の第１の実施形態に係るマルウェア対策システム１の構成を示すブロック図である。
【図２】本願発明の第１の実施形態に係る主体属性データベース１１０の構成を例示する図である。
【図３】本願発明の第１の実施形態に係る客体属性データベース１１１の構成を例示する図である。
【図４】本願発明の第１の実施形態に係る主観データベース１１２の構成を例示する図である。
【図５Ａ】本願発明の第１の実施形態に係る客観データベース１１３−１の構成を例示する図である。
【図５Ｂ】本願発明の第１の実施形態に係る客観データベース１１３−２の構成を例示する図である。
【図６】本願発明の第１の実施形態に係る情況データベース１１４の構成を例示する図である。
【図７】本願発明の第１の実施形態に係るマルウェア対策システム１の動作を示すフローチャートである。
【図８】本願発明の第２の実施形態に係るマルウェア対策装置５０の構成を示すブロック図である。
【図９】本願発明の各実施形態に係るマルウェア対策装置を実行可能な情報処理装置９００の構成を例示するブロック図である。
【発明を実施するための形態】
【００１３】
以下、本願発明の実施の形態について図面を参照して詳細に説明する。
【００１４】
＜第１の実施形態＞
図１は、本発明の第１の実施の形態のマルウェア対策システム１を概念的に示すブロック図である。本実施形態に係るマルウェア対策システム１は、大別して、マルウェア対策装置１０、端末装置２０、ライブサンドボックスサーバ装置３０、及び、通信ネットワーク４０を備えている。マルウェア対策装置１０、端末装置２０、及び、ライブサンドボックスサーバ装置３０は、通信ネットワーク４０を介して、互いに通信可能に接続されている。尚、本願の図１等のブロック図における矢印の向きは一例であって、ブロック間の信号の向きを限定しない。
【００１５】
端末装置２０は、プロセッサ及び記憶装置（不図示）を備える情報処理装置であり、通信ネットワーク４０を介して外部から入手したソフトウェア２００を実行可能である。端末装置２０は、マルウェア対策装置１０が、ソフトウェア２００がマルウェアでないと判定した場合に、マルウェア対策装置１０からの指示に従い、ソフトウェア２００を実行する。端末装置２０は、ソフトウェア２００の実行結果を、コンソール表示部２１に表示する。端末装置２０は、マルウェア対策装置１０が、ソフトウェア２００がマルウェアであると判定した場合は、ソフトウェア２００を実行しない。この場合、ソフトウェア２００は、マルウェア対策装置１０によって、ソフトウェア２００からライブサンドボックスサーバ装置３０に移動される。
【００１６】
ライブサンドボックスサーバ装置３０は情報処理装置であり、仮想マシン３１を実行している。ライブサンドボックスサーバ装置３０は、複数の仮想マシンを実行してもよい。仮想マシン３１は、端末装置２０から移動したソフトウェア２００を、被疑マルウェア３１０として内部に格納し、マルウェア対策装置１０からの指示に従って、被疑マルウェア３１０の処理を実行する。仮想マシン３１は、被疑マルウェア３１０の実行結果を、端末装置２０におけるコンソール表示部２１に出力する。仮想マシン３１は、被疑マルウェア３１０を実行中に、端末装置２０を介して、ユーザによる入力操作を受け付けることができる。
【００１７】
マルウェア対策装置１０は、端末装置２００が入手したソフトウェア２００がマルウェアであるか否かを判定し、ソフトウェア２００がマルウェアであると判定した場合に、マルウェアに対する対策処理を行う装置である。マルウェア対策装置１０は、危険情報記憶部１１、危険情報収集部１２、主体属性収集部１３、客体属性収集部１４、判定部１５、移動部１６、及び、内部状態収集部１７を備えている。危険情報記憶部１１は、電子メモリあるいは磁気ディスク等の記憶デバイスである。危険情報収集部１２、主体属性収集部１３、客体属性収集部１４、判定部１５、移動部１６、及び、内部状態収集部１７は、電子回路の場合もあれば、コンピュータプログラムとそのコンピュータプログラムに従って動作するプロセッサによって実現される場合もある。
【００１８】
危険情報記憶部１１は、主体属性データベース１１０、客体属性データベース１１１、主観データベース１１２、客観データベース１１３、情況データベース１１４、及び、証跡情報１１５を記憶している。
【００１９】
主体属性データベース１１０は、ソフトウェア２００を実行する端末装置２０の属性を判定する際の基準となる情報である。図２は、主体属性データベース１１０の構成例を示す図である。図２に示す通り、主体属性データベース１１０は、「主体装置ＩＰ（Ｉｎｔｅｒｎｅｔ  Ｐｒｏｔｏｃｏｌ）アドレス」、「所属組織」、及び、「設置国」を表す各情報（データ）が関連付けされたテーブルである。「主体装置ＩＰアドレス」は、マルウェアであるか否かを判定する対象であるソフトウェア（以降、客体ソフトウェアと称する）を実行する装置（以降、主体装置と称する）に付与されたＩＰアドレスを示す。「所属組織」は、主体装置を所有する組織を識別可能な識別子である。「設置国」は、主体装置が設置された国を識別可能な識別子であり、例えば、国の名称あるいは国コード等である。
【００２０】
図２に例示する主体属性データベース１１０は、例えば、「主体装置ＩＰアドレス」として「ＩＰアドレス１０００」を付与された装置は、「組織Ａ」によって所有され、「Ｘ国」に設置されていることを示している。尚、図２に示す主体属性データベース１１０の構成例は一例であり、主体属性データベース１１０の構成は、図２に示す構成例とは異なる構成であってもよい。
【００２１】
図１に示す客体属性データベース１１１は、ソフトウェア２００の属性を判定する際の基準となる情報である。図３は、主体属性データベース１１１の構成例を示す図である。図３に示す通り、客体属性データベース１１１は、「ハッシュ値」、「開発元の国」、及び、「開発元の言語圏」を表す各情報（データ）が関連付けされたテーブルである。「ハッシュ値」は、客体ソフトウェアのバイナリコードを所定のハッシュ関数に入力することによって算出した値を示す。客体属性データベース１１１は、「ハッシュ値」の代わりに、客体ソフトウェアを配布した配布元装置に付与されたＩＰアドレスを含んでもよい。
【００２２】
「開発元の国」は、客体ソフトウェアが開発された国を識別可能な識別子である。「開発元の言語圏」は、客体ソフトウェアが開発された言語圏を識別可能な識別子である。マルウェア対策装置１０は、客体ソフトウェアに関して、「開発元の国」及び「開発元の言語圏」を、バイナリコードが含む文字情報あるいはデジタル署名情報等の内容により値が決定される「ハッシュ値」を基に取得することができる。図３に例示する客体属性データベース１１１は、例えば、「ハッシュ値」が「０００４」である客体ソフトウェアは、「Ｚ国」における「ｚ２語」が使用される言語圏において開発されたことを示している。尚、図３に示す客体属性データベース１１１の構成例は一例であり、客体属性データベース１１１の構成は、図３に示す構成例とは異なる構成であってもよい。
【００２３】
図１に示す主観データベース１１２は、主体装置が客体ソフトウェアを実行した場合における、主体装置の属性に依存する危険度を判定する際の基準となる情報である。図４は、主観データベース１１２の構成例を示す図である。図４に示す通り、主観データベース１１２は、「所属組織」、「設置国」、「セキュリティポリシー」、及び、「ポリシー違反危険指数」を表す各情報（データ）が関連付けされたテーブルである。「所属組織」は、主体装置を所有する組織を識別可能な識別子である。「設置国」は、主体装置が設置された国を識別可能な識別子である。「セキュリティポリシー」は、主体装置に適用されるセキュリティポリシーの内容を示す。図４に示す例では、「セキュリティポリシー」として、便宜上、例えば「セキュリティポリシーＡＸ」と記載しているが、「セキュリティポリシーＡＸ」は、そのポリシーの内容を示すこととする。
【００２４】
「ポリシー違反危険指数」は、主体装置が客体ソフトウェアを実行した際に、セキュリティポリシーに違反する事象が発生した場合の危険度を示す数値である。「ポリシー違反危険指数」は、その値が大きいほど、危険度が高いことを示している。図４に例示する主観データベース１１２は、例えば、「Ｘ国」に設置され「組織Ａ」が所有する主体装置には、「セキュリティポリシーＡＸ」が適用され、「セキュリティポリシーＡＸ」に違反する事象が発生した場合の危険指数が「７０」であることを示している。図４に例示する主観データベース１１２は、同様に、「Ｚ国」に設置され「組織Ｃ」が所有する主体装置には、「セキュリティポリシーＣＺ」が適用され、「セキュリティポリシーＣＺ」に違反する事象が発生した場合の危険指数が「２０」であることを示している。
【００２５】
主体装置に適用されるセキュリティポリシー、及び、当該セキュリティポリシーに違反した場合の危険度は、一般的に、主体装置の属性によって異なる。例えば、社会的に重要性が低い情報処理を行う主体装置には、緩やかなセキュリティポリシーが適用され、当該セキュリティポリシーに違反した場合の危険度は低くなる。これに対して、社会的に重要性が高い情報処理を行う主体装置には、厳しいセキュリティポリシーが適用され、当該セキュリティポリシーに違反した場合の危険度は高くなる。
【００２６】
図１に示す客観データベース１１３は、主体装置が客体ソフトウェアを実行した場合における、客体ソフトウェアの属性に依存する危険度を判定する際の基準となる情報である。客観データベース１１３は、マルウェアの疑いがある客体ソフトウェアを、そのソースコードあるいはバイナリコードに対する静的分析によって得られた情報、及び、客体ソフトウェアの動作に対する動的分析によって得られた情報と、危険度とを関連付けている。客体ソフトウェアに関する静的分析あるいは動的分析によって得られる情報としては、例えば、通信先のＩＰアドレス、通信頻度、システムコールの種類と発生頻度、及び、当該システムコールが使用する引数の種類等がある。
【００２７】
図５Ａ及び５Ｂは、客観データベース１１３の２つの構成例を示す図である。図５Ａに示す客観データベース１１３−１は、通信先のＩＰアドレスに関する客観データベースである。図５Ａに示す通り、客観データベース１１３−１は、「通信先ＩＰアドレス」、「通信頻度」、及び、「事象発生時の危険指数」を表す各情報（データ）が関連付けされたテーブルである。客観データベース１１３−１は、例えば、主体装置が客体ソフトウェアを実行中に、「ＩＰアドレス２０００」が付与された装置に対して、「１〜（から）５」（回／時間）通信を行った場合、「事象発生時の危険指数」が「１０」であることを示している。図５Ｂに示す客観データベース１１３−２は、発生するシステムコールに関する客観データベースである。図５Ｂに示す通り、客観データベース１１３−２は、「システムコール種別」、「発生頻度」、及び、「事象発生時の危険指数」という項目が関連付けされたテーブルである。客観データベース１１３−２は、例えば、主体装置が客体ソフトウェアを実行中に、「システムコールＡ」が、「１〜２」（回／時間）発生した場合、「事象発生時の危険指数」が「２０」であることを示している。
【００２８】
図１に示す情況データベース１１４は、主体装置が客体ソフトウェアを実行した場合における、主体装置及び客体ソフトウェアの属性に依存する危険度を判定する際の基準となる情報である。図６は、情況データベース１１４の構成例を示す図である。図６に示す通り、情況データベース１１４は、「開発元の国」、「開発元の言語圏」、「設置国」、及び、「不正動作危険指数」を表す各情報（データ）が関連付けされたテーブルである。「開発元の国」は、客体ソフトウェアが開発された国を識別可能な識別子である。「開発元の言語圏」は、客体ソフトウェアが開発された言語圏を識別可能な識別子である。「設置国」は、主体装置が設置された国を識別可能な識別子である。
【００２９】
「不正動作危険指数」は、主体装置が客体ソフトウェアを実行した際に、当該客体ソフトウェアがサイバー攻撃等の不正動作を行う可能性の高さを示す数値である。図６に示す情況データベース１１４は、例えば、「Ｚ国」における「ｚ１語」言語圏において開発された客体ソフトウェアを、「Ｖ国」に設置された主体装置が実行する場合、「不正動作危険指数」が３０であることを示している。図６に示す情況データベース１１４は、同様に、「Ｗ国」における「ｗ１語」言語圏において開発された客体ソフトウェアを主体装置が実行する場合、主体装置が設置された国にかかわらず、「不正動作危険指数」が８０であることを示している。一般的に、反社会的な危険性の高い国において開発された客体ソフトウェアは、サイバー攻撃等の不正動作を行う可能性が高い。また、敵対関係にある国家間において、片方の国において開発された客体ソフトウェアを、もう片方の国に設置された主体装置が実行する場合、当該客体ソフトウェアが不正動作を行う可能性が高くなる。情況データベース１１４は、主体装置が客体ソフトウェアを実行した場合の危険度を、国際情勢等の情報に基づいて判定する際の基準となる情報である。
【００３０】
図１に示す証跡情報１１５は、被疑マルウェア３１０を内部に格納した仮想マシン３１のスナップショットを含む情報である。スナップショットとは、ライブサンドボックスサーバ装置３０が備えるメモリに格納された、仮想マシン３１を表す情報（データ）である。
【００３１】
図１に示す危険情報収集部１２は、危険情報記憶部１１が記憶する各データベースに関係する情報を、通信ネットワーク４０を介して外部装置から収集したのち、収集した情報を、危険情報記憶部１１が記憶する各データベースに登録する。危険情報収集部１２は、例えば、「主体装置ＩＰアドレス」と「所属組織」との関連付けを示す情報を管理する企業内管理サーバ装置から当該情報を収集し、当該情報を主体属性データベース１１０に登録する。危険情報収集部１２は、また、組織ごとのセキュリティポリシーを管理する企業内管理サーバ装置から、セキュリティポリシーに関する情報を収集し、当該情報を主観データベース１１２に登録する。主観データベース１１２における「ポリシー違反危険指数」については、危険情報収集部１２が所定の算出基準に基づいて値を設定してもよいし、マルウェア対策システム１を管理するシステム管理者が値を設定してもよい。
【００３２】
危険情報収集部１２は、また、ニュース、ソーシャルメディアにより提供される情報、及び、渡航安全情報等の情報を、所定のキーワードをキーとしてインターネットを介して収集し、情況データベース１１４に登録してもよい。この場合、「不正動作危険指数」については、危険情報収集部１２が所定の算出基準に基づいて値を設定してもよいし、システム管理者が値を設定してもよい。尚、システム管理者が危険情報記憶部１１に記憶される各データベースを登録する場合、マルウェア対策装置１０は、危険情報収集部１２を備えなくてもよい。
【００３３】
主体属性収集部１３は、端末装置２０がソフトウェア２００を入手したときに、端末装置２０から、その属性を示す情報としてＩＰアドレスを収集し、収集したＩＰアドレスを判定部１５へ入力する。端末装置２０の属性を管理する管理サーバ装置がマルウェア対策システム１の中に存在する場合、主体属性収集部１３は、端末装置２０の属性を示すＩＰアドレス等の情報を、当該管理サーバ装置から収集してもよい。
【００３４】
客体属性収集部１４は、端末装置２０がソフトウェア２００を入手したときに、端末装置２０が内部に格納したソフトウェア２００のバイナリコードあるいはソースコードから、ソフトウェア２００の属性を示す情報を収集する。客体属性収集部１４は、例えば、ソフトウェア２００のバイナリコードを所定のハッシュ関数に入力することによって、ハッシュ値を算出する。客体属性収集部１４は、あるいは、ソフトウェア２００を配布した配布元装置のＩＰアドレスを、端末装置２０がソフトウェア２００を入手したときのログ情報などから入手してもよい。客体属性収集部１４は、ソフトウェア２００の属性を示す情報を、判定部１５へ入力する。
【００３５】
判定部１５は、主体属性収集部１３から入力された、端末装置２０の属性を示すＩＰアドレスを、危険情報記憶部１１に記憶された主体属性データベース１１０と照合する。例えば、主体属性収集部１３から入力されたＩＰアドレスが、「ＩＰアドレス１０００」である場合、判定部１５は、端末装置２０が「組織Ａ」によって所有され、「Ｘ国」に設置されている装置であると認定する。
【００３６】
判定部１５は、客体属性収集部１４から入力された、ソフトウェア２００の属性を示すハッシュ値を、危険情報記憶部１１に記憶された客体属性データベース１１１と照合する。例えば、客体属性収集部１４から入力されたハッシュ値が「０００５」である場合、判定部１５は、ソフトウェア２００が「Ｗ国」における言語圏が「ｗ１語」である地域において開発されたソフトウェアであると認定する。
【００３７】
判定部１５は、例えば、端末装置２０が「組織Ａ」によって所有され「Ｘ国」に設置されている装置であると認定した場合、主観データベース１１２を参照することによって、端末装置２０には、「セキュリティポリシーＡＸ」が適用され、「ポリシー違反危険指数」が「７０」であると認定する。判定部１５は、ソフトウェア２００を分析した結果、端末装置２０がソフトウェア２００を実行した際に「セキュリティポリシーＡＸ」に準拠しない事象が発生することが判明した場合、端末装置２０がソフトウェア２００を実行した場合の危険指数を「７０」に設定する。
【００３８】
判定部１５は、ソフトウェア２００を分析した結果を、客観データベース１１３と照合する。判定部１５は、端末装置２０がソフトウェア２００を実行した際に、客観データベース１１３に登録されている事象が発生することが判明した場合、当該事象に関する「事象発生時の危険指数」の値を、端末装置２０がソフトウェア２００を実行した場合の危険指数に加算する。
【００３９】
判定部１５は、端末装置２０及びソフトウェア２００の属性を示す値を、情況データベース１１４と照合する。図６に示す通り、例えば、ソフトウェア２００が「Ｗ国」における言語圏が「ｗ１語」である地域において開発されたソフトウェアである場合、端末装置２０が設置された国にかかわらず、「不正動作危険指数」は「８０」である。この場合、判定部１５は、端末装置２０がソフトウェア２００を実行した場合の危険指数に「８０」を加算する。
【００４０】
判定部１５は、端末装置２０及びソフトウェア２００の属性を示す値を、危険情報記憶部１１に記憶された各データベースと照合することによって算出した、端末装置２０がソフトウェア２００を実行した場合の危険指数が、判定基準１５０を満たすか否かを判定する。判定基準１５０は、判定部１５がソフトウェア２００をマルウェアと判定する際の基準なる情報であり、例えば、主体装置が客体ソフトウェアを実行した場合の危険指数に関する閾値である。判定部１５は、端末装置２０がソフトウェア２００を実行した場合の危険指数が判定基準１５０を満たす場合、ソフトウェア２００をマルウェアと判定し、その判定結果を、移動部１６、及び、内部状態収集部１７に入力する。
【００４１】
移動部１６は、判定部１５がソフトウェア２００をマルウェアと判定した場合、ソフトウェア２００を、ライブサンドボックスサーバ装置３０における仮想マシン３１に移動し、被疑マルウェア３１０として、仮想マシン３１に格納する。
【００４２】
内部状態収集部１７は、仮想マシン３１が被疑マルウェア３１０を格納したのち、被疑マルウェア３１０を実行する前の仮想マシン３１のスナップショットを採取して、採取したスナップショットを証跡情報１１５として、危険情報記憶部１１に格納する。
【００４３】
内部状態収集部１７は、証跡情報１１５から、被疑マルウェア３１０を検体として抽出する。内部状態収集部１７は、その検体に対する静的解析を行い、その解析結果を、客観データベース１１３として、危険情報記憶部１１へ格納する。内部状態収集部１７は、仮想マシン３１が被疑マルウェア３１の実行を開始した後、被疑マルウェア３１０の動作を表す情報を収集して、収集した情報を客観データベース１１３として、危険情報記憶部１１へ格納する。被疑マルウェア３１０の動作を表す情報は、例えば、通信先である装置のＩＰアドレス、通信頻度、システムコールの引数、及び、システムコールの頻度の少なくともいずれかである。客観データベース１１３における「事象発生時の危険指数」については、内部状態収集部１７が所定の算出基準に基づいて値を設定してもよいし、システム管理者が値を設定してもよい。
【００４４】
次に図７のフローチャートを参照して、本実施形態に係るマルウェア対策システム１の動作（処理）について詳細に説明する。
【００４５】
端末装置２０は、通信ネットワーク４０を介して、ソフトウェア２００を入手する（ステップＳ１０１）。主体属性収集部１３は、端末装置２０の属性を示す値を収集し、判定部１５へ入力する（ステップＳ１０２）。客体属性収集部１４は、ソフトウェア２００の属性を示す値を収集し、判定部１５へ入力する（ステップＳ１０３）。判定部１５は、端末装置２０がソフトウェア２００を実行した場合の危険度を示す値を、危険情報記憶部１１から入手する（ステップＳ１０４）。
【００４６】
判定部１５は、入手した危険度を示す値が、判定基準１５０を満たすか否か、判定する（ステップＳ１０５）。危険度を示す値が判定基準１５０を満たさない場合（ステップＳ１０６でＮｏ）、端末装置２０は、ソフトウェア２００の実行を開始して（ステップＳ１０７）、全体の処理は終了する。
【００４７】
危険度を示す値が判定基準１５０を満たす場合（ステップＳ１０６でＹｅｓ）、移動部１６は、ソフトウェア２００を、被疑マルウェア３１０として、仮想マシン３１へ移動する（ステップＳ１０８）。内部状態収集部１７は、仮想マシン３１のスナップショットを、証跡情報１１５として、危険情報記憶部１１へ格納する（ステップＳ１０９）。仮想マシン３１は、被疑マルウェア３１０の実行を開始し（ステップＳ１１０）、全体の処理は終了する。
【００４８】
本実施形態に係るマルウェア対策システム１は、マルウェアを高い精度で検出することができる。その理由は、判定部１５が、主体属性収集部１３によって収集された端末装置２０の属性を示す値、及び、客体属性収集部１４によって収集されたソフトウェア２００の属性を示す値を、危険情報記憶部１１に記憶された各データベースと照合することによって得られた危険度を示す値に基づき、ソフトウェア２００がマルウェアであるか否かを判定するからである。
【００４９】
本実施形態に係るマルウェア対策システム１による効果を、以下により具体的に説明する。一般的なマルウェアの検出方式は、客体ソフトウェアの動作を客観的に観測した事象のみに基づいて、マルウェアを検出している。しかしながら、マルウェアであると判定される事象は、必ずしも悪意によって発生しているわけではなく、客体ソフトウェアを配布した提供者、あるいは、客体ソフトウェアを実行する利用者の、悪意のない正当な目的によって、発生している場合もある。すなわち、客体ソフトウェアがマルウェアであるか否かは、より正確には、客体ソフトウェアの動作について客観的に観測される事象だけではなく、主体装置の属性、及び、客体ソフトウェアの属性に依存する様々な要因によって決定する。したがって、一般的なマルウェアの検出方式では、マルウェアを高い精度で検出することは困難である。
【００５０】
これに対して、本実施形態に係るマルウェア対策装置１０では、危険情報記憶部１１に、主体装置の属性を示す値と、客体ソフトウェアの属性を示す値と、主体装置及び客体ソフトウェアの属性に依存する、客体ソフトウェアが主体装置によって実行されたときの危険度を示す値と、が関連付けされたデータベースが記憶されている。主体属性収集部１３は主体装置の属性を示す値を収集し、客体属性収集部１４は客体ソフトウェアの属性を示す値を収集する。そして、判定部１５は、収集された主体装置及び客体ソフトウェアの属性を示す値を、危険情報記憶部１１に記憶されたデータベースと照合することによって得られた危険度を示す値に基づいて、客体ソフトウェアがマルウェアであるか否かを判定する。したがって、本実施形態に係るマルウェア対策装置１０は、このような総合的な見地（観点）に基づく情報を用いた判定を行うことによって、マルウェアを高い精度で検出することができる。
【００５１】
また、マルウェアである客体ソフトウェアが、主体装置によって実行された場合、客体ソフトウェアがマルウェアであることが検出されるまで、当該客体ソフトウェアの不正動作によって、主体装置から機密情報が漏えいするなどの問題が発生する虞がある。これに対して、本実施形態に係るマルウェア対策装置１０では、判定部１５がソフトウェア２００をマルウェアと判定した場合、移動部１６がソフトウェア２００を、端末装置２０からライブサンドボックスサーバ装置３１における仮想マシン３１に移動し、被疑マルウェア３１０として格納する。移動部１６からの指示に従って、端末装置２０はソフトウェア２００を実行せずに、仮想マシン３１が被疑マルウェア３１０を実行する。すなわち、マルウェア対策装置１０は、マルウェアである疑いがあるソフトウェア２００を、被疑マルウェア３１０として、ライブサンドボックスサーバ装置３１に事前に隔離する。これにより、本実施形態に係るマルウェア対策装置１０は、上述した問題が発生することを防止できる。
【００５２】
また、マルウェアは、不正動作を行うことによって目的を達成したのち、自身を消去することが多い。この場合、マルウェアの動作を再現することによってマルウェアを解析することができなくなる。これに対して、本実施形態に係るマルウェア対策装置１０では、仮想マシン３１が被疑マルウェア３１０を実行する前に、内部状態収集部１７が、仮想マシン３１のスナップショットを採取して、そのスナップショットを証跡情報１１５として、危険情報記憶部１１へ格納する。したがって、マルウェア対策装置１０は、マルウェアが自身を消去したのちも、証跡情報１１５からマルウェアの検体を抽出することによって、マルウェアを解析することができる。
【００５３】
また、本実施形態に係るマルウェア対策装置１０は、危険情報収集部１２を備えるため、危険情報記憶部１１に記憶される各データベースを、効率的に構築することができる。
【００５４】
尚、主体属性収集部１３、客体属性収集部１４、及び、判定部１５は、端末装置２０に内蔵されてもよい。この場合、判定部１５は、通信ネットワーク４０を介して、危険情報記憶部１１へアクセスする。また、移動部１６、及び、内部状態収集部１７は、順に、端末装置２０、及び、ライブサンドボックスサーバ装置３０に内蔵されてもよい。
【００５５】
また、マルウェア対策システム１は、ライブサンドボックスサーバ装置３０の代わりに、実マシン環境で動作するサーバ装置を備えてもよい。この場合、内部状態収集部１７は、仮想マシン３１のスナップショットの代わりに、実マシン環境で動作するサーバ装置のログ情報、及び、当該サーバ装置が備えるメモリやディスク等に記憶された情報等を収集する。
【００５６】
＜第２の実施形態＞
図８は、第２の実施形態に係るマルウェア対策装置５０の構成を概念的に示すブロック図である。
【００５７】
本実施形態に係るマルウェア対策装置５０は、記憶部５１、主体属性収集部５３、客体属性収集部５４、及び、判定部５５を備えている。
【００５８】
記憶部５１には、危険情報５１０が記憶されている。危険情報５１０は、ソフトウェア６００を実行する情報処理装置６０の属性を示す値と、ソフトウェア６００の属性を示す値と、情報処理装置６０及びソフトウェア６００の属性に依存する、ソフトウェア６００が情報処理装置６０によって実行されたときの危険度を示す値と、が関連付けされた情報である。
【００５９】
主体属性収集部５３は、外部から情報処理装置６０の属性を示す値を収集する。
【００６０】
客体属性収集部５４は、外部からソフトウェア６００の属性を示す値を収集する。
【００６１】
判定部５５は、主体属性収集部５３及び客体属性収集部５４が収集した値を、危険情報５１０と照合することによって得られた危険度を示す値が基準を満たす場合、ソフトウェア６００がマルウェアであると判定する。
【００６２】
本実施形態に係るマルウェア対策装置５０は、マルウェアを高い精度で検出することができる。その理由は、判定部５５が、主体属性収集部５３によって収集された情報処理装置６０の属性を示す値、及び、客体属性収集部５４によって収集されたソフトウェア６００の属性を示す値を、記憶部５１に記憶された危険情報５１０と照合することによって得られた危険度を示す値に基づき、ソフトウェア６００がマルウェアであるか否かを判定するからである。
【００６３】
＜ハードウェア構成例＞
上述した各実施形態において図１、及び、図８に示した各部は、専用のＨＷ（ＨａｒｄＷａｒｅ）（電子回路）によって実現することができる。また、少なくとも、主体属性収集部１３及び５３、客体属性収集部１４及び５４、判定部１５及び５５、移動部１６、及び、内部状態収集部１７は、ソフトウェアプログラムの機能（処理）単位（ソフトウェアモジュール）と捉えることができる。但し、これらの図面に示した各部の区分けは、説明の便宜上の構成であり、実装に際しては、様々な構成が想定され得る。この場合のハードウェア環境の一例を、図９を参照して説明する。
【００６４】
図９は、本発明の各実施形態に係るマルウェア対策装置を実行可能な情報処理装置９００（コンピュータ）の構成を例示的に説明する図である。即ち、図９は、図１及び図８、に示したマルウェア対策装置を実現可能なコンピュータ（情報処理装置）の構成であって、上述した実施形態における各機能を実現可能なハードウェア環境を表す。
【００６５】
図９に示した情報処理装置９００は、構成要素として下記を備えている。
・ＣＰＵ（Ｃｅｎｔｒａｌ＿Ｐｒｏｃｅｓｓｉｎｇ＿Ｕｎｉｔ）９０１、
・ＲＯＭ（Ｒｅａｄ＿Ｏｎｌｙ＿Ｍｅｍｏｒｙ）９０２、
・ＲＡＭ（Ｒａｎｄｏｍ＿Ａｃｃｅｓｓ＿Ｍｅｍｏｒｙ）９０３、
・ハードディスク（記憶装置）９０４、
・外部装置との通信インタフェース９０５、
・バス９０６（通信線）、
・ＣＤ−ＲＯＭ（Ｃｏｍｐａｃｔ＿Ｄｉｓｃ＿Ｒｅａｄ＿Ｏｎｌｙ＿Ｍｅｍｏｒｙ）等の記録媒体９０７に格納されたデータを読み書き可能なリーダライタ９０８、
・入出力インタフェース９０９。
【００６６】
情報処理装置９００は、これらの構成がバス９０６を介して接続された一般的なコンピュータである。
【００６７】
そして、上述した実施形態を例に説明した本発明は、図９に示した情報処理装置９００に対して、次の機能を実現可能なコンピュータプログラムを供給する。その機能とは、その実施形態の説明において参照したブロック構成図（図１及び図８）における、主体属性収集部１３及び５３、客体属性収集部１４及び５４、判定部１５及び５５、移動部１６、及び、内部状態収集部１７、或いはフローチャート（図７）の機能である。本発明は、その後、そのコンピュータプログラムを、当該ハードウェアのＣＰＵ９０１に読み出して解釈し実行することによって達成される。また、当該装置内に供給されたコンピュータプログラムは、読み書き可能な揮発性のメモリ（ＲＡＭ９０３）またはハードディスク９０４等の不揮発性の記憶デバイスに格納すれば良い。
【００６８】
また、前記の場合において、当該ハードウェア内へのコンピュータプログラムの供給方法は、現在では一般的な手順を採用することができる。その手順としては、例えば、ＣＤ−ＲＯＭ等の各種記録媒体９０７を介して当該装置内にインストールする方法や、インターネット等の通信回線を介して外部よりダウンロードする方法等がある。そして、このような場合において、本発明は、係るコンピュータプログラムを構成するコード或いは、そのコードが格納された記録媒体９０７によって構成されると捉えることができる。
【００６９】
以上、上述した実施形態を模範的な例として本発明を説明した。しかしながら、本発明は、上述した実施形態には限定されない。即ち、本発明は、本発明のスコープ内において、当業者が理解し得る様々な態様を適用することができる。
【００７０】
この出願は、２０１５年１月２９日に出願された日本出願特願２０１５−０１４８７３を基礎とする優先権を主張し、その開示の全てをここに取り込む。
【符号の説明】
【００７１】
１    マルウェア対策システム
１０    マルウェア対策装置
１１    危険情報記憶部
１１０    主体属性データベース
１１１    客体属性データベース
１１２    主観データベース
１１３    客観データベース
１１４    情況データベース
１１５    証跡情報
１２    危険情報収集部
１３    主体属性収集部
１４    客体属性収集部
１５    判定部
１５０    判定基準
１６    移動部
１７    内部状態収集部
２０    端末装置
２１    コンソール表示部
２００    ソフトウェア
３０    ライブサンドボックスサーバ装置
３１    仮想マシン
３１０    被疑マルウェア
４０    通信ネットワーク
５０    マルウェア対策装置
５１    記憶部
５１０    危険情報
５３    主体属性収集部
５４    客体属性収集部
５５    判定部
９００    情報処理装置
９０１    ＣＰＵ
９０２    ＲＯＭ
９０３    ＲＡＭ
９０４    ハードディスク（記憶装置）
９０５    通信インタフェース
９０６    バス
９０７    記録媒体
９０８    リーダライタ
９０９    入出力インタフェース
【図１】
2016121348.tif 000003
【図２】
2016121348.tif 000004
【図３】
2016121348.tif 000005
【図４】
2016121348.tif 000006
【図５Ａ】
2016121348.tif 000007
【図５Ｂ】
2016121348.tif 000008
【図６】
2016121348.tif 000009
【図７】
2016121348.tif 000010
【図８】
2016121348.tif 000011
【図９】
2016121348.tif 000012
【手続補正書】
【提出日】平成29年7月11日(2017.7.11)
【手続補正１】
【補正対象書類名】特許請求の範囲
【補正対象項目名】全文
【補正方法】変更
【補正の内容】
【特許請求の範囲】
【請求項１】
ソフトウェアを実行する第一の情報処理装置の属性を示す値と、前記ソフトウェアの属性を示す値と、前記第一の情報処理装置及び前記ソフトウェアの属性に依存する、前記ソフトウェアが前記第一の情報処理装置によって実行されたときの危険度を示す値と、が関連付けされた危険情報が記憶された記憶手段と、
外部から前記第一の情報処理装置の属性を示す値を収集する主体属性収集手段と、
外部から前記ソフトウェアの属性を示す値を収集する客体属性収集手段と、
前記主体属性収集手段及び前記客体属性収集手段が収集した値を、前記危険情報と照合することによって得られた前記危険度を示す値が基準を満たす場合、前記ソフトウェアがマルウェアであると判定する判定手段と、
を備えるマルウェア対策装置。
【請求項２】
前記判定手段が、前記ソフトウェアがマルウェアであると判定した場合、前記ソフトウェアを第二の情報処理装置に移動したのち、前記第二の情報処理装置に前記ソフトウェアを実行させる移動手段
をさらに備える、請求項１に記載のマルウェア対策装置。
【請求項３】
前記移動手段が前記第二の情報処理装置に前記ソフトウェアを移動したのち、前記第二の情報処理装置に前記ソフトウェアを実行させる前に、前記第二の情報処理装置から、内部状態を表す情報を収集する内部状態収集手段
をさらに備える、請求項２に記載のマルウェア対策装置。
【請求項４】
前記移動手段は、前記ソフトウェアを、仮想マシンである前記第二の情報処理装置に移動し、
前記内部状態収集手段は、前記第二の情報処理装置に前記ソフトウェアを実行させる前に、前記第二の情報処理装置のスナップショットを収集する、
請求項３に記載のマルウェア対策装置。
【請求項５】
前記内部状態収集手段は、前記第二の情報処理装置によって実行されている前記ソフトウェアの動作を表す情報を収集し、収集した情報を前記危険情報として、前記記憶手段へ格納する、
請求項３又は４に記載のマルウェア対策装置。
【請求項６】
前記内部状態収集手段は、前記第二の情報処理装置によって実行されている前記ソフトウェアの動作を表す情報として、通信先である装置のＩＰアドレス、通信頻度、システムコールの引数、及び、前記システムコールの頻度の少なくともいずれかを収集する、
請求項５に記載のマルウェア対策装置。
【請求項７】
通信可能に接続された通信ネットワークを介してアクセス可能な外部装置から、前記危険情報を収集し、収集した前記危険情報を前記記憶手段に格納する危険情報収集手段、
をさらに備える、請求項１乃至６のいずれかに記載のマルウェア対策装置。
【請求項８】
前記主体属性収集手段は、前記第一の情報処理装置から、前記第一の情報処理装置に付与されたＩＰアドレスを収集する、
請求項１乃至７のいずれかに記載のマルウェア対策装置。
【請求項９】
前記客体属性収集手段は、前記ソフトウェアのバイナリコードを、ハッシュ関数に入力することによって得られるハッシュ値を収集する、
請求項１乃至８のいずれかに記載のマルウェア対策装置。
【請求項１０】
前記記憶手段は、前記第一の情報処理装置に付与されたＩＰアドレスと、前記第一の情報処理装置を所有あるいは設置する組織を識別可能な識別子と、が関連付けされた前記危険情報を記憶する、
請求項８乃至９のいずれかに記載のマルウェア対策装置。
【請求項１１】
前記記憶手段は、前記ハッシュ値と、前記ソフトウェアを開発した開発元に関する情報と、が関連付けされた前記危険情報を記憶する、
請求項９乃至１０のいずれかに記載のマルウェア対策装置。
【請求項１２】
前記記憶手段は、前記第一の情報処理装置に適用されるセキュリティポリシーの内容と、前記第一の情報処理装置が前記ソフトウェアを実行するときに前記セキュリティポリシーに準拠しない動作を行った場合の前記危険度を示す値と、が関連付けされた前記危険情報を記憶する、
請求項１乃至１１のいずれかに記載のマルウェア対策装置。
【請求項１３】
前記記憶手段は、前記第一の情報処理装置が前記ソフトウェアを実行する場合に発生する事象の内容を示す情報と、前記危険度を示す値と、が関連付けされた前記危険情報を記憶する、
請求項１乃至１２のいずれかに記載のマルウェア対策装置。
【請求項１４】
前記記憶手段は、前記第一の情報処理装置を所有あるいは設置する組織を識別可能な識別子と、前記ソフトウェアを開発した前記開発元に関する情報と、前記危険度を示す値と、が関連付けされた前記危険情報を記憶する、
請求項１０乃至１３のいずれかに記載のマルウェア対策装置。
【請求項１５】
請求項２乃至１４のいずれかに記載のマルウェア対策装置と、
前記第一及び第二の情報処理装置と、
を備えるマルウェア対策システム。
【請求項１６】
記憶手段が、ソフトウェアを実行する第一の情報処理装置の属性を示す値と、前記ソフトウェアの属性を示す値と、前記第一の情報処理装置及び前記ソフトウェアの属性に依存する、前記ソフトウェアが前記第一の情報処理装置によって実行されたときの危険度を示す値と、が関連付けされた危険情報を記憶する場合に、
第三の情報処理装置によって、
外部から前記第一の情報処理装置の属性を示す値を収集し、
外部から前記ソフトウェアの属性を示す値を収集し、
収集した、前記第一の情報処理装置の属性及び前記ソフトウェアの属性を示す値を、前記危険情報と照合することによって得られた前記危険度を示す値が基準を満たす場合、前記ソフトウェアがマルウェアであると判定する、
マルウェア対策方法。
【請求項１７】
前記ソフトウェアがマルウェアであると判定した場合、前記ソフトウェアを第二の情報処理装置に移動したのち、前記第二の情報処理装置に前記ソフトウェアを実行させる、
請求項１６に記載のマルウェア対策方法。
【請求項１８】
前記第二の情報処理装置に前記ソフトウェアを移動したのち、前記第二の情報処理装置に前記ソフトウェアを実行させる前に、前記第二の情報処理装置から、内部状態を表す情報を収集する、
請求項１７に記載のマルウェア対策方法。
【請求項１９】
ソフトウェアを実行する第一の情報処理装置の属性を示す値と、前記ソフトウェアの属性を示す値と、前記第一の情報処理装置及び前記ソフトウェアの属性に依存する、前記ソフトウェアが前記第一の情報処理装置によって実行されたときの危険度を示す値と、が関連付けされた危険情報を記憶している記憶手段にアクセス可能なコンピュータに、
外部から前記第一の情報処理装置の属性を示す値を収集する主体属性収集処理と、
外部から前記ソフトウェアの属性を示す値を収集する客体属性収集処理と、
前記主体属性収集処理及び前記客体属性収集処理によって収集された値を、前記危険情報と照合することによって得られた前記危険度を示す値が基準を満たす場合、前記ソフトウェアがマルウェアであると判定する判定処理と、
を実行させる、マルウェア対策プログラム。
【請求項２０】
前記判定処理が、前記ソフトウェアがマルウェアであると判定した場合、前記ソフトウェアを第二の情報処理装置に移動したのち、前記第二の情報処理装置に前記ソフトウェアを実行させる移動処理
をコンピュータに実行させる、請求項１９に記載のマルウェア対策プログラム。
【請求項２１】
前記移動処理が前記第二の情報処理装置に前記ソフトウェアを移動したのち、前記第二の情報処理装置に前記ソフトウェアを実行させる前に、前記第二の情報処理装置から、内部状態を表す情報を収集する内部状態収集処理
をコンピュータに実行させる、請求項２０に記載のマルウェア対策プログラム。
【国際調査報告】
2016121348.tif 000013
2016121348.tif 000014
2016121348.tif 000015