(57)【要約】【課題】タイムラインによって不正ファイルを検出する際の負荷を軽減する。【解決手段】検査対象のファイルを記憶するファイル記憶部１１と、この検査対象のファイルのタイムスタンプ(作成日時、更新日時、アクセス日時を含む)を抽出し、ファイル特定情報とタイムスタンプとを対応付けたファイル情報を作成するファイル情報作成部１２と、このファイル情報を記憶するファイル情報記憶部１３と、タイムスタンプにおける作成日時、更新日時、アクセス日時の時間順序のパターンとそのパターンを表すシグネチャとを対応付けた定義情報を記憶する定義情報記憶部１４と、ファイル情報に対して作成日時、更新日時、アクセス日時の時間順序のパターンに応じたシグネチャを付加するシグネチャ付加部１５と、特定のシグネチャが付加されたファイル情報を抽出して表示するファイル情報出力部１６とを備える。【選択図】図２
2008065673.tif 000002
【特許請求の範囲】
【請求項１】
所定の記憶装置に記憶された複数のファイルの中から、不正アクセスによって記憶された不正ファイルを検出するための不正ファイル検出装置であって、
前記複数のファイルの各ファイルが有し、かつ、各ファイルが前記所定の記憶装置に記憶された日時を示す作成日時情報と、各ファイルがいずれかの記憶装置上で更新された日時を示す更新日時情報とを含むタイムスタンプを取得する取得手段と、
前記作成日時情報が示す日時よりも前の日時を示す前記更新日時情報を含むタイムスタンプを有するファイルの情報を、前記不正ファイルである可能性のあるファイルの情報として出力する出力手段と
を備えたことを特徴とする不正ファイル検出装置。
【請求項２】
前記取得手段は、各ファイルがいずれかの記憶装置上でアクセスされた日時を示すアクセス日時情報を更に含む前記タイムスタンプを取得し、
前記出力手段は、前記作成日時情報が示す日時よりも後の日時を示す前記アクセス日時情報を含むタイムスタンプを有するファイルの情報と、前記作成日時情報が示す日時よりも前の日時を示す前記アクセス日時情報を含むタイムスタンプを有するファイルの情報とを、区別して出力することを特徴とする請求項１記載の不正ファイル検出装置。
【請求項３】
前記出力手段は、前記作成日時情報が示す日時と前記更新日時情報が示す日時と前記アクセス日時情報が示す日時の時間順序のパターンごとに予め定められた標識を付加して出力することを特徴とする請求項２記載の不正ファイル検出装置。
【請求項４】
所定の記憶装置に記憶されたファイルのタイムスタンプであって、当該ファイルが当該所定の記憶装置に記憶された日時を示す作成日時情報と、当該ファイルがいずれかの記憶装置上で更新された日時を示す更新日時情報とを含むタイムスタンプを取得するステップと、
取得された前記タイムスタンプにおいて、前記作成日時情報が示す日時よりも前記更新日時情報が示す日時が前である場合に、当該ファイルを、前記所定の記憶装置に不正アクセスによって記憶された不正ファイルの可能性があると判定するステップと
を含むことを特徴とする不正ファイル判定方法。
【請求項５】
コンピュータに、
所定の記憶装置に記憶された複数のファイルの各ファイルのタイムスタンプであって、各ファイルが前記所定の記憶装置に記憶された日時を示す作成日時情報と、各ファイルがいずれかの記憶装置上で更新された日時を示す更新日時情報とを含むタイムスタンプを取得する機能と、
前記作成日時情報が示す日時よりも前の日時を示す前記更新日時情報を含むタイムスタンプを有するファイルの情報を、不正アクセスによって記憶された不正ファイルである可能性のあるファイルの情報として出力する機能と
を実現させるためのプログラム。
【請求項６】
前記取得する機能では、各ファイルがいずれかの記憶装置上でアクセスされた日時を示すアクセス日時情報を更に含む前記タイムスタンプを取得し、
前記出力する機能では、前記作成日時情報が示す日時よりも後の日時を示す前記アクセス日時情報を含むタイムスタンプを有するファイルの情報と、前記作成日時情報が示す日時よりも前の日時を示す前記アクセス日時情報を含むタイムスタンプを有するファイルの情報とを、区別して出力することを特徴とする請求項５記載のプログラム。
【請求項７】
前記出力する機能では、前記作成日時情報が示す日時と前記更新日時情報が示す日時と前記アクセス日時情報が示す日時の時間順序のパターンごとに予め定められた標識を付加して出力することを特徴とする請求項６記載のプログラム。
【請求項８】
前記出力する機能では、１つのファイルの情報を、前記作成日時情報、前記更新日時情報、前記アクセス日時情報のいずれかと、前記標識とを含む１行の情報として出力することを特徴とする請求項７記載のプログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、不正なファイルを検出するための不正ファイル検出装置等に関する。
【背景技術】
【０００２】
近年、インターネットが爆発的に普及し、我々の生活を便利にしている。しかし、その反面、インターネットに潜む脅威も無視することはできない。例えば、ワームによる攻撃、サーバへの不正侵入等(以下、これらを「不正アクセス」という)である。そこで、インターネットに接続されたコンピュータに対しては、不正アクセスが行われていないかどうかの調査(インシデント調査)を行う必要がある。
【０００３】
ところで、このようなインシデント調査の一方法に、コンピュータの記憶装置に記憶されたファイルのタイムラインを生成する方法がある。この方法によれば、タイムラインを閲覧することで、ファイルの作成状況等を確認できるので、不正アクセスによって記憶されたファイル(以下、「不正ファイル」という)を発見することが可能となる。ここで、タイムラインとは、現状のＯＳ(Operating System)で一般に各ファイルが保有しているタイムスタンプ(時間情報)を時系列に並べたものである。尚、タイムスタンプは、通常、Ｍｏｄｉｆｙタイム(最終更新時刻)と、Ａｃｃｅｓｓタイム(最終アクセス時刻)と、Ｃｒｅａｔｅタイム(作成時刻)とを含むことから、これらの頭文字をとって「ＭＡＣタイム」と呼ばれることもある。
【０００４】
ここで、公報記載の技術として、ファイルの作成時刻と最終更新時刻と最終アクセス時刻とを用いて複数のファイルの順序付けを行い、効率的なファイル検索を実現するものがある(例えば、特許文献１参照)。
具体的には、ファイル作成時刻、最終更新時刻、最終アクセス時刻を含むファイル情報を所定のタイミングで取得し、最新のファイル情報と前回のファイル情報とに基づいて、各ファイルの状態の変化としての新規作成、更新、削除のいずれかを検知する。そして、状態の変化が検知されたファイルに対して状態の変化に応じた所定のルールに基づいて特定の時刻を設定し、その特定の時刻に基づいて複数のファイルの順序付けを行っている。
【０００５】
【特許文献１】特開２００６−１４６８７７号公報
【発明の開示】
【発明が解決しようとする課題】
【０００６】
上述したタイムラインを用いたインシデント調査では、タイムラインを目視で確認することにより、不正ファイルを探している。ここで、タイムラインは、通常、数十万行からなる。従って、不正ファイルを効率よく探すには知識と経験が不可欠であり、ある程度経験を積んだ技術者でなければ、不正ファイルを発見するための解析は困難である。
【０００７】
また、特許文献１の技術は、効率的なファイル検索を実現するためにファイルの作成時刻や最終更新時刻等を用いているだけであり、不正ファイルを検出するための有効な手段を提供するものではない。
【０００８】
本発明は、以上のような技術的課題を解決するためになされたものであって、その目的は、タイムラインによって不正ファイルを検出する際の負荷を軽減することにある。
【課題を解決するための手段】
【０００９】
かかる目的のもと、本発明は、不正ファイルのタイムスタンプにおける作成日時と更新日時の時間順序に着目し、ファイル情報を抽出するようにした。即ち、本発明の不正ファイル検出装置は、所定の記憶装置に記憶された複数のファイルの中から、不正アクセスによって記憶された不正ファイルを検出するためのものであって、複数のファイルの各ファイルが有し、かつ、各ファイルが所定の記憶装置に記憶された日時を示す作成日時情報と、各ファイルがいずれかの記憶装置上で更新された日時を示す更新日時情報とを含むタイムスタンプを取得する取得手段と、作成日時情報が示す日時よりも前の日時を示す更新日時情報を含むタイムスタンプを有するファイルの情報を、不正ファイルである可能性のあるファイルの情報として出力する出力手段とを備えている。
【００１０】
ここで、取得手段は、各ファイルがいずれかの記憶装置上でアクセスされた日時を示すアクセス日時情報を更に含むタイムスタンプを取得し、出力手段は、作成日時情報が示す日時よりも後の日時を示すアクセス日時情報を含むタイムスタンプを有するファイルの情報と、作成日時情報が示す日時よりも前の日時を示すアクセス日時情報を含むタイムスタンプを有するファイルの情報とを、区別して出力するようにしてもよい。
【００１１】
また、本発明では、作成日時、更新日時、アクセス日時を１つ１つ追うのではなく、その特徴によってパターン化することで、解析における負荷を軽減することが可能となる。即ち、本発明の不正ファイル検出装置において、出力手段は、作成日時情報が示す日時と更新日時情報が示す日時とアクセス日時情報が示す日時の時間順序のパターンごとに予め定められた標識を付加して出力するようにしてもよい。
【００１２】
更に、本発明は、あるファイルが不正ファイルかどうかを判定する不正ファイル判定方法として捉えることもできる。その場合、本発明の不正ファイル判定方法は、所定の記憶装置に記憶されたファイルのタイムスタンプであって、そのファイルがその所定の記憶装置に記憶された日時を示す作成日時情報と、そのファイルがいずれかの記憶装置上で更新された日時を示す更新日時情報とを含むタイムスタンプを取得するステップと、取得されたタイムスタンプにおいて、作成日時情報が示す日時よりも更新日時情報が示す日時が前である場合に、そのファイルを、所定の記憶装置に不正アクセスによって記憶された不正ファイルの可能性があると判定するステップとを含んでいる。
【００１３】
更にまた、本発明は、不正ファイルを検出する処理をコンピュータに実行させるプログラムとして捉えることもできる。その場合、本発明のプログラムは、コンピュータに、所定の記憶装置に記憶された複数のファイルの各ファイルのタイムスタンプであって、各ファイルが所定の記憶装置に記憶された日時を示す作成日時情報と、各ファイルがいずれかの記憶装置上で更新された日時を示す更新日時情報とを含むタイムスタンプを取得する機能と、作成日時情報が示す日時よりも前の日時を示す更新日時情報を含むタイムスタンプを有するファイルの情報を、不正アクセスによって記憶された不正ファイルである可能性のあるファイルの情報として出力する機能とを実現させるためのものである。
【発明の効果】
【００１４】
本発明によれば、タイムラインによって不正ファイルを検出する際の負荷を軽減することが可能になる。
【発明を実施するための最良の形態】
【００１５】
以下、添付図面を参照して、本発明を実施するための最良の形態(以下、「実施の形態」という)について詳細に説明する。
まず、本実施の形態における不正ファイル検出装置１０として用いるのに好適なコンピュータのハードウェア構成について説明する。
図１は、このようなコンピュータのハードウェア構成の一例を示した図である。
図示するように、コンピュータは、演算手段であるＣＰＵ(Central Processing Unit)１０ａと、Ｍ/Ｂ(マザーボード)チップセット１０ｂを介してＣＰＵ１０ａに接続されたメインメモリ１０ｃと、同じくＭ/Ｂチップセット１０ｂを介してＣＰＵ１０ａに接続された表示機構１０ｄとを備える。また、Ｍ/Ｂチップセット１０ｂには、ブリッジ回路１０ｅを介して、ネットワークインターフェイス１０ｆと、磁気ディスク装置(ＨＤＤ)１０ｇと、音声機構１０ｈと、キーボード/マウス１０ｉと、フレキシブルディスクドライブ１０ｊとが接続されている。
【００１６】
尚、図１において、各構成要素は、バスを介して接続される。例えば、ＣＰＵ１０ａとＭ/Ｂチップセット１０ｂの間や、Ｍ/Ｂチップセット１０ｂとメインメモリ１０ｃの間は、ＣＰＵバスを介して接続される。また、Ｍ/Ｂチップセット１０ｂと表示機構１０ｄとの間は、ＡＧＰ(Accelerated Graphics Port)を介して接続されてもよいが、表示機構１０ｄがＰＣＩ Ｅｘｐｒｅｓｓ対応のビデオカードを含む場合、Ｍ/Ｂチップセット１０ｂとこのビデオカードの間は、ＰＣＩ Ｅｘｐｒｅｓｓ(ＰＣＩｅ)バスを介して接続される。また、ブリッジ回路１０ｅと接続する場合、ネットワークインターフェイス１０ｆについては、例えば、ＰＣＩ Ｅｘｐｒｅｓｓを用いることができる。また、磁気ディスク装置１０ｇについては、例えば、シリアルＡＴＡ(AT Attachment)、パラレル転送のＡＴＡ、ＰＣＩ(Peripheral Components Interconnect)を用いることができる。更に、キーボード/マウス１０ｉ、及び、フレキシブルディスクドライブ１０ｊについては、ＵＳＢ(Universal Serial Bus)を用いることができる。
【００１７】
次に、本実施の形態における不正ファイル検出装置１０の機能構成について説明する。
図２は、不正ファイル検出装置１０の機能構成の一例を示したブロック図である。
図示するように、不正ファイル検出装置１０は、ファイル記憶部１１と、ファイル情報作成部１２と、ファイル情報記憶部１３と、定義情報記憶部１４と、シグネチャ付加部１５と、ファイル情報出力部１６とを備えている。
【００１８】
ファイル記憶部１１は、検査対象のファイルを記憶する。
ファイル情報作成部１２は、ファイル記憶部１１に記憶されたファイルのタイムスタンプを抽出し、ファイル情報を作成する。本実施の形態において、ファイルのタイムスタンプは、作成日時情報と、更新日時情報と、アクセス日時情報とを含むものとする。尚、これらの情報の詳細については後述する。そして、ファイル情報は、ファイルを特定する情報とこのタイムスタンプとを対応付けることにより作成される。
ファイル情報記憶部１３は、ファイル情報作成部１２が作成したファイル情報を記憶する。
【００１９】
定義情報記憶部１４は、タイムスタンプに含まれる作成日時情報、更新日時情報、アクセス日時情報がそれぞれ示す日時の時間順序のパターンと、そのパターンを表すシグネチャとを対応付けた定義情報を記憶する。
シグネチャ付加部１５は、ファイル情報記憶部１３に記憶されたファイル情報に対し、そのファイル情報内の作成日時情報、更新日時情報、アクセス日時情報がそれぞれ示す日時の時間順序のパターンに応じて、対応するシグネチャを付加する。
ファイル情報出力部１６は、ファイル情報記憶部１３に記憶されたファイル情報から、特定のシグネチャが付加されたファイル情報を抽出して表示する。
【００２０】
尚、これらの各機能は、ソフトウェアとハードウェア資源とが協働することにより実現される。具体的には、ＣＰＵ１０ａ(図１参照)が、ファイル情報作成部１２、シグネチャ付加部１５、ファイル情報出力部１６の各機能を実現するプログラムを、例えば磁気ディスク装置１０ｇ(図１参照)からメインメモリ１０ｃ(図１参照)に読み込んで処理を行う。また、ファイル記憶部１１、ファイル情報記憶部１３、定義情報記憶部１４は、例えば磁気ディスク装置１０ｇ(図１参照)によって実現される。
【００２１】
ここで、ファイル情報記憶部１３及び定義情報記憶部１４の記憶内容を、図３を参照して説明する。
図３(ａ)は、ファイル情報記憶部１３に記憶されるファイル情報を示したものである。図示するように、ファイル情報は、ファイルを特定する情報を記憶するための項目「ファイル」と、ファイルのタイムスタンプにおける更新日時を記録するための項目「Ｍ」と、ファイルのタイムスタンプにおけるアクセス日時を記録するための項目「Ａ」と、ファイルのタイムスタンプにおける作成日時を記録するための項目「Ｃ」とによって、管理されている。また、このファイル情報には、作成日時、更新日時、アクセス日時の時間順序のパターンに応じたシグネチャを記録するための項目「シグネチャ」も含まれている。但し、ファイル情報作成部１２によってファイル情報が作成される前は、図示するように、各項目に値は格納されていない。
尚、ここではファイル情報をテーブル形式で管理する例を示したが、これはあくまで説明の便宜上であり、ファイルを特定する情報と、作成日時と、更新日時と、アクセス日時と、シグネチャとを対応付けて管理できるものであれば、どのような形式で管理してもよい。
【００２２】
図３(ｂ)は、定義情報記憶部１４に記憶された定義情報を示したものである。図示するように、定義情報は、ファイルのタイムスタンプにおける作成日時、更新日時、アクセス日時の時間順序のパターンを記憶するための項目「パターン」と、パターンを表すシグネチャを記憶するための項目「シグネチャ」によって、管理されている。尚、以下では、Ｘ、Ｙが日時である場合において、ＸよりもＹのほうが時間的に後であることを「Ｘ＜Ｙ」と表記し、ＸとＹが同じ日時であることを「Ｘ＝Ｙ」と表記するものとする。
【００２３】
作成日時、更新日時、アクセス日時の時間順序のパターンには、１０数種類のものがあるが、まず、次の２種類のパターンを考える。
１つは、「Ｃ＝Ｍ＝Ａ」というパターンである。このパターンは、ファイルが作成されただけで、その後、変更も加えられず、アクセスもされていないことを示す。
もう１つは、「Ｃ＜Ｍ＜Ａ」というパターンである。このパターンは、ファイルが作成された後、変更が加えられ、最後にアクセスされたことを示す。
これらはいずれも、ファイル記憶部１１で作成されたファイルが有するタイムスタンプのパターンである。即ち、外部からダウンロードされることなく、最初からファイル記憶部１１に存在しているファイルの場合、作成日時が最も古く、更新日時とアクセス日時とがこれと同じか、又は、これよりも新しい日時となっている。
【００２４】
一方で、不正アクセスが行われた多くの場合、攻撃者は、外部からファイルをダウンロードし、ファイル記憶部１１に記憶する。ファイル記憶部１１に外部からコピーされたファイルの場合、作成日時はコピーされた日時となるが、更新日時はコピー元における情報を引き継いだものとなる。つまり、作成日時は、ファイル記憶部１１に記憶された日時であるのに対し、更新日時は、ファイル記憶部１１に記憶される前にいずれかの記憶装置で更新された日時となり、更新日時が作成日時よりも前になるといった現象が発生する。従って、本実施の形態では、この際に起こる作成日時と更新日時の逆転に着目し、このような逆転が生じたタイムスタンプを有するファイルを不正ファイルの可能性があるものとして抽出している。こうすることで、不正アクセスの痕跡をより簡単に発見できるようにしているのである。
【００２５】
このように作成日時と更新日時の逆転が生じた場合、これにアクセス日時を加えて考えると、ファイルは、「Ｍ≦Ａ＜Ｃ」又は「Ｍ＜Ｃ≦Ａ」といったタイムスタンプを持つこととなる。そこで、本実施の形態では、図３(ｂ)に示すように、パターンとシグネチャとの対応付けを行っている。
このうち、「Ｍ＜Ｃ≦Ａ」は、作成日時が更新日時よりも後であり、アクセス日時が作成日時よりも後又は作成日時と同じであるパターンである。そして、このようなパターンを表すシグネチャとして「Ｓｉｇ１」を記憶している。
また、「Ｍ≦Ａ＜Ｃ」は、アクセス日時が更新日時よりも後又は更新日時と同じであり、作成日時がアクセス日時よりも後であるパターンである。そして、このようなパターンを表すシグネチャとして「Ｓｉｇ２」を記憶している。
【００２６】
尚、図では、シグネチャを便宜上「Ｓｉｇ１」、「Ｓｉｇ２」といった文字列で表したが、パターンの違いを表現可能ないかなる標識をシグネチャとして採用してもよい。例えば、特定の記号や絵等をシグネチャとして用いてもよい。
また、ここでは定義情報をテーブル形式で管理する例を示したが、これはあくまで説明の便宜上であり、パターンとシグネチャとを対応付けて管理できるものであれば、どのような形式で管理してもよい。
【００２７】
次いで、かかる機能構成を有する不正ファイル検出装置１０の動作について説明する。
図４は、不正ファイル検出装置１０の動作を示したフローチャートである。
不正ファイル検出装置１０の動作が開始すると、まず、ファイル情報作成部１２が、ファイル記憶部１１に記憶されたファイルのタイムスタンプを抽出する(ステップ１０１)。そして、ファイル毎に、ファイルを特定する情報とファイルのタイムスタンプとを対応付けたファイル情報を作成し、ファイル情報記憶部１３に記憶する。
【００２８】
ここで、ファイル情報記憶部１３に記憶されるファイル情報の例を説明する。
図５(ａ)は、この時点におけるファイル情報の一例を示した図である。
このファイル情報の１行目には、「/usr/lib/Book1.xls」で特定されるファイルについて、更新日時及びアクセス日時が２００６年６月１２日１３時５５分８秒であり、作成日時が２００６年６月１３日１０時５４分４秒であることが記録されている。また、２行目には、「/usr/lib/rootme.tar」で特定されるファイルについて、更新日時が２００４年１０月１６日２２時２８分２４秒であり、アクセス日時が２００６年５月９日２０時１０分３９秒であり、作成日時が２００６年４月１３日１時３分１４秒であることが記録されている。更に、３行目には、「/usr/lib/text01.txt」で特定されるファイルについて、更新日時及びアクセス日時が２００６年６月１３日１１時２分１３秒であり、作成日時が２００６年６月１３日１０時５４分４秒であることが記録されている。
【００２９】
ファイル情報記憶部１３にファイル情報が記録されると、不正ファイル検出装置１０は、ファイル情報にシグネチャを付加する処理を行う。
この場合、まず、シグネチャ付加部１５が、ファイル情報記憶部１３に記憶されたファイル情報の１つのレコードに着目する(ステップ１０２)。
そして、着目しているレコードに含まれるＭ(更新日時)、Ａ(アクセス日時)、Ｃ(作成日時)の時間順序のパターンを特定し、そのパターンに対応するシグネチャを取得する(ステップ１０３)。
そして、シグネチャ付加部１５は、着目しているレコードにおける項目「シグネチャ」に、その取得したシグネチャをセットする(ステップ１０４)。
【００３０】
例えば、図５(ａ)のファイル情報の１行目のファイルの場合、Ｍ、Ａ、Ｃを時間順に並べると、「Ｍ＝Ａ＜Ｃ」である。従って、図３(ｂ)の定義情報におけるパターン「Ｍ≦Ａ＜Ｃ」に該当すると判断し、シグネチャ「Ｓｉｇ２」を取得する。
また、図５(ａ)のファイル情報の２行目のファイルの場合、Ｍ、Ａ、Ｃを時間順に並べると、「Ｍ＜Ｃ＜Ａ」である。従って、図３(ｂ)の定義情報におけるパターン「Ｍ＜Ｃ≦Ａ」に該当すると判断し、シグネチャ「Ｓｉｇ１」を取得する。
一方、図５(ａ)のファイル情報の３行目のファイルの場合、Ｍ、Ａ、Ｃを時間順に並べると、「Ｃ＜Ｍ＝Ａ」である。従って、図３(ｂ)の定義情報におけるいずれのパターンにも該当しないと判断し、シグネチャは取得しない。
これにより、シグネチャを付加した後のファイル情報は、図５(ｂ)に示すようなものとなる。
【００３１】
その後、シグネチャ付加部１５は、未処理のレコードが他にあるかどうか判定する(ステップ１０５)。その結果、未処理のレコードが他にあれば、ステップ１０２に戻り、その未処理のレコードに対して同様の処理を行う。一方、未処理のレコードが他になければ、シグネチャが付加されたファイル情報を出力する動作に移る。
即ち、ファイル情報出力部１６が、ファイル情報記憶部１３に記憶されたファイル情報に含まれる複数のレコードのうち、特定のシグネチャが付加されたレコードを抽出する(ステップ１０６)。そして、抽出されたレコードを作成日時順に並べ替える(ステップ１０７)。最後に、その並べ替えた結果を出力する(ステップ１０８)。
【００３２】
ここで、本実施の形態による出力結果について図６を参照して説明する。
図６(ａ)は、本実施の形態による出力例を示した図である。
この出力例は、作成日時と、シグネチャと、ファイルを特定する情報とを含んでいる。ファイルのタイムスタンプには、作成日時、更新日時、アクセス日時が含まれるが、ここでは、ソートキーである作成日時のみを出力している。また、作成日時、更新日時、アクセス日時の時間順序のパターンが、「Ｓｉｇ１」又は「Ｓｉｇ２」で表されている。具体的には、図５(ｂ)において、「/usr/lib/Book1.xls」で特定されるファイルには「Ｓｉｇ２」が対応付けられているので、出力例においても、このファイルのタイムスタンプのパターンとして「Ｓｉｇ２」が出力されている。また、「/usr/lib/rootme.tar」で特定されるファイルには「Ｓｉｇ１」が対応付けられているので、出力例においても、このファイルのタイムスタンプのパターンとして「Ｓｉｇ１」が出力されている。このことは、ステップ１０６における「特定のシグネチャ」として、「外部からファイルを持ってきた」際に現れる特徴である「Ｍ＜Ｃ」に対応するシグネチャである「Ｓｉｇ１」及び「Ｓｉｇ２」を採用したことを意味している。
【００３３】
これに対し、従来のように、作成日時、更新日時、アクセス日時の時間順序のパターンに着目せずにファイル情報を出力した場合について説明する。
図６(ｂ)は、この場合の出力例を示した図である。
この出力例は、日時と、作成、更新、アクセスの区別と、ファイルを特定する情報とを含んでいる。ここで、日時とは、作成日時、更新日時、アクセス日時のいずれかであり、日時が作成日時、更新日時、アクセス日時のいずれかであるかを、区分によって示している。例えば、「/usr/lib/rootme.tar」で特定されるファイルについて、更新日時が２００４年１０月１６日２２時２８分２４秒であり、作成日時が２００６年４月１３日１時３分１４秒であり、アクセス日時が２００６年５月９日２０時１０分３９秒であることを示している。また、「/usr/lib/Book1.xls」で特定されるファイルについて、更新日時及びアクセス日時が２００６年６月１２日１３時５５分８秒であり、作成日時が２００６年６月１３日１０時５４分４秒であることを示している。
【００３４】
このように、図６(ａ)の出力例では、１つのファイルの情報を１行に集約して出力しているため、１つのファイルにつき最大３行出力する図６(ｂ)の出力例に比べて、不正ファイルを見つけるための解析が容易になる。
【００３５】
以上、本実施の形態について詳細に述べてきた。
尚、本実施の形態では、タイムスタンプのパターンに応じたシグネチャをファイル情報に付加し、特定のシグネチャが付加されたファイル情報を抽出するようにした。しかしながら、タイムスタンプのパターンにおいて作成日時と更新日時が逆転しているファイルについて、シグネチャを付加することなく、ファイル情報を抽出するようにしてもよい。
また、本実施の形態では、作成日時、更新日時、アクセス日時の３つの時刻情報を考慮したが、作成日時と更新日時の逆転に着目しているので、アクセス日時については必ず考慮しなければならないというものではない。
【００３６】
このように、本実施の形態では、作成日時よりも前の更新日時を含むタイムスタンプを有するファイルの情報をタイムラインから抽出するようにした。これにより、タイムラインによって不正ファイルを検出する際の負荷を軽減することが可能となった。
また、１つのファイルに対して１行の情報を出力し、その１行に作成日時、更新日時、アクセス日時の時間順序のパターンを示す情報を集約するようにした。これにより、不正ファイルの特徴のみを追うことで、不正な痕跡を見つけることが容易になり、作業の簡略化が図れることとなった。
【図面の簡単な説明】
【００３７】
【図１】本実施の形態が適用されるコンピュータのハードウェア構成図である。
【図２】本実施の形態における不正ファイル検出装置の機能構成を示したブロック図である。
【図３】本実施の形態の不正ファイル検出装置における記憶内容の例を示した図である。
【図４】本実施の形態における不正ファイル検出装置の動作を示したフローチャートである。
【図５】本実施の形態の不正ファイル検出装置における記憶内容の例を示した図である。
【図６】本実施の形態の不正ファイル検出装置による出力例と、他の出力例を対比して示した図である。
【符号の説明】
【００３８】
１０…不正ファイル検出装置、１１…ファイル記憶部、１２…ファイル情報作成部、１３…ファイル情報記憶部、１４…定義情報記憶部、１５…シグネチャ付加部、１６…ファイル情報出力部
【図１】
2008065673.tif 000003
【図２】
2008065673.tif 000004
【図３】
2008065673.tif 000005
【図４】
2008065673.tif 000006
【図５】
2008065673.tif 000007
【図６】
2008065673.tif 000008