(57)【要約】【課題】隠匿プロセスを探知及び制御するシステムイベント情報を用いた隠匿プロセス探知システム及び方法を提供する。【解決手段】ルートキット等のコードを用いて実行される隠匿プロセスも、該プロセスを実行するためにシステムのＯＳから資源を割当てられて使う特性があるため、アプリケーション層では隠匿プロセスに関する情報が表れないが、カーネル層ではプロセスを実行するためシステム資源を割当てられて使う過程においてプロセス関連情報が公開される。したがって、本発明は、カーネル層から実時間のシステム資源のアクセス時に提供されるシステムイベント情報を用いてプロセスリストを抽出し、アプリケーション層から使用者に提供されるプロセスリストとの比較を通じてカーネル層のみに提供されるプロセスを隠匿プロセスとして検出して制御し、実時間でシステムに存在する隠匿プロセスを探知することができる。【選択図】図１
2008004064.tif 000002
【特許請求の範囲】
【請求項１】
カーネル層モニタリングによるシステムイベント情報から抽出したプロセスリストとアプリケーション層から使用者に提供されるプロセスリストとを比較して、カーネル層のみに存在するプロセスを隠匿プロセスであると探知することを特徴とするシステムイベント情報を用いた隠匿プロセス探知システム。
【請求項２】
前記カーネル層モニタリングは、前記カーネル層でファイルシステムをモニタリングし、ファイルイベント情報を抽出することを特徴とする請求項１に記載のシステムイベント情報を用いた隠匿プロセス探知システム。
【請求項３】
前記カーネル層モニタリングは、前記カーネル層でアクセスされるレジストリをモニタリングし、レジストリイベント情報を抽出することを特徴とする請求項１に記載のシステムイベント情報を用いた隠匿プロセス探知システム。
【請求項４】
前記カーネル層モニタリングは、ネットワークをモニタリングし、ネットワークイベント情報を抽出することを特徴とする請求項１に記載のシステムイベント情報を用いた隠匿プロセス探知システム。
【請求項５】
前記カーネル層モニタリングは、実時間で行われることを特徴とする請求項２乃至請求項４のうちいずれか一つに記載のシステムイベント情報を用いた隠匿プロセス探知システム。
【請求項６】
前記カーネル層モニタリングは、特定のイベント情報および特定のプロセスを探知しないシステムイベント情報フィルタリングモジュールをさらに含むことを特徴とする請求項１乃至請求項４のうちいずれか一つに記載のシステムイベント情報を用いた隠匿プロセス探知システム。
【請求項７】
カーネル層システムをモニタリングし、システムイベント情報を抽出するカーネル層モニタリングモジュールと、
前記抽出されたシステムイベント情報から、イベントと関連したプロセスを検出するカーネル層プロセスリスト検出モジュールと、
アプリケーション層から使用者に提供されるプロセスリストを検出するアプリケーション層プロセスリスト検出モジュールと、
前記カーネル層プロセスリスト検出モジュールから検出されたプロセスと前記アプリケーション層プロセスリスト検出モジュールから検出されたプロセスとを比較し、前記カーネル層のみに存在するプロセスを隠匿プロセスとして探知する隠匿プロセス探知モジュールを含むことを特徴とするシステムイベント情報を用いた隠匿プロセス探知システム。
【請求項８】
前記カーネル層モニタリングモジュールは、前記カーネル層でファイルシステムをモニタリングし、ファイルイベント情報を抽出するファイルモニタリングモジュールを含むことを特徴とする請求項７に記載のシステムイベント情報を用いた隠匿プロセス探知システム。
【請求項９】
前記カーネル層モニタリングモジュールは、前記カーネル層からアクセスされるレジストリをモニタリングし、レジストリイベント情報を抽出することを特徴とするレジストリモニタリングモジュールを含むことを特徴とする請求項７に記載のシステムイベント情報を用いた隠匿プロセス探知システム。
【請求項１０】
前記カーネル層モニタリングモジュールは、前記カーネル層でネットワークをモニタリングし、ネットワークイベント情報を抽出するネットワークモニタリングモジュールを含むことを特徴とする請求項７に記載のシステムイベント情報を用いた隠匿プロセス探知システム。
【請求項１１】
前記カーネル層モニタリングモジュールは、前記カーネル層でファイルシステムをモニタリングし、ファイルイベント情報を抽出するモニタリングモジュールと、
前記カーネル層でアクセスされるレジストリをモニタリングし、レジストリイベント情報を抽出するレジストリモニタリングモジュールと、
前記カーネル層でネットワークをモニタリングし、ネットワークイベント情報を抽出するネットワークモニタリングモジュールを含むことを特徴とする請求項７に記載のシステムイベント情報を用いた隠匿プロセス探知システム。
【請求項１２】
前記アプリケーション層プロセスリスト検出モジュールは、ＡＰＩを介して前記アプリケーション層から提供されるプロセス情報を検出することを特徴とする請求項１１に記載のシステムイベント情報を用いた隠匿プロセス探知システム。
【請求項１３】
前記隠匿プロセス探知モジュールから探知された隠匿プロセスを除去する隠匿プロセス制御モジュールをさらに含むことを特徴とする請求項７乃至請求項１２のうちいずれか一つに記載のシステムイベント情報を用いた隠匿プロセス探知システム。
【請求項１４】
カーネル層システムをモニタリングしイベント情報を抽出するカーネル層モニタリング段階と、
前記抽出されたシステムイベント情報からイベントと関連するプロセスを検出するカーネル層プロセスリスト検出段階と、
アプリケーション層から使用者に提供されるプロセスリストを検出するアプリケーション層プロセスリスト検出段階と、
前記カーネル層プロセスリスト検出段階で検出されたプロセスと前記アプリケーション層プロセスリスト検出段階で検出されたプロセスとを比較し、前記カーネル層のみに存在するプロセスを隠匿プロセスとして探知する隠匿プロセス探知段階を含むことを特徴とするシステムイベント情報を用いた隠匿プロセス探知方法。
【請求項１５】
前記カーネル層モニタリング段階は、前記カーネル層でファイルシステムをモニタリングし、ファイルイベント情報を抽出するファイルモニタリング段階と、
前記カーネル層でアクセスされるレジストリをモニタリングし、レジストリイベント情報を抽出するレジストリモニタリング段階と、
前記カーネル層でネットワークをモニタリングし、ネットワークイベント情報を抽出するネットワークモニタリング段階を含むことを特徴とする請求項１４に記載のシステムイベント情報を用いた隠匿プロセス探知方法。
【請求項１６】
前記隠匿プロセス探知段階で探知された隠匿プロセスを削除する隠匿プロセス削除段階をさらに含むことを特徴とする請求項１４または請求項１５に記載のシステムイベント情報を用いた隠匿プロセス探知方法。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、隠匿プロセスの探知システム及び方法に関するものであって、さらに詳細には実時間でシステムカーネル層モニタリングにより発生するシステムイベント情報を用いてカーネル層から提供されるプロセスリストを抽出し、アプリケーション層から提供されるプロセスリストと比較し、隠匿プロセスを探知することで、使用者システムを隠匿プロセスから実時間で防御してシステムの保安性を確保するシステムイベント情報を用いた隠匿プロセス探知システム及び方法に関するものである。
【背景技術】
【０００２】
隠匿プロセスは、システム内で実行されることから一般的なプロセスの種類のようなプロセスであると見られる。しかしながら、ルートキットのような悪性コードにより該プロセスが隠匿され、システムのアプリケーション層で何らの情報も表れないので、使用者は、プロセス情報プログラムであるタスクマネージャを介し隠匿プロセスの存在を認識できない。
【０００３】
このように、隠匿プロセスは、アプリケーション層で何らの情報も提供しないが、該プロセスを実行するためシステムカーネル層でシステム資源を割り当てられてこれを使わなければならないので、一般プロセスのようにシステムのカーネル層ではその情報を公開せざるを得ない。
【０００４】
したがって、隠匿プロセスを探知するため、実時間のシステム資源のアクセス時に提供されるシステムイベント情報を用いて、このシステム資源にアクセスするプロセスを感知し、アプリケーション層で表れるプロセスと比較して隠匿プロセスを探知することができる。
【０００５】
従来の隠匿システムを探知するための方法として、ＥＰＲＯＣＥＳＳ構造体に含まれたＡｃｔｉｖｅＰｒｏｃｅｓｓＬｉｎｋｓ構造を用いて探知する方式がある。該隠匿プロセス探知技法は、Ｊｏａｎｎａ  Ｒｕｔｋｏｗｓｋａによって公開（ｈｔｔｐ：／／ｉｎｖｉｓｉｂｌｅｔｈｉｎｇｓ.ｏｒｇ）されたが、該隠匿プロセス探知技法は次のようである。システムのアプリケーション層から該プロセスリスト（ａ）を獲得した後、カーネル層からＥＰＲＯＣＥＳＳ構造体のＡｃｔｉｏｎＰｒｏｃｅｓｓＬｉｎｋｓを介してカーネル層に存在するプロセスリスト（ｂ）を得る。したがって、リスト（ａ）とリスト（ｂ）とを比べて、カーネル内のみに存在するプロセスが検索される場合、該プロセスを隠匿プロセスとして判断する。このような方法は、リストを得る間の時間遅れにより隠匿プロセスであると誤って判断するおそれがある短所があり、又、カーネル層内でプロセスリストをＥＰＲＯＣＥＳＳ構造体のＡｃｔｉｖｅＰｒｏｃｅｓｓ  Ｌｉｎｋｓを介して得るに該ＥＰＲＯＣＥＳＳ構造体自体がＷｉｎｄｏｗｓ（登録商標）オペレーティングシステムを製作したマイクロソフトが公式に発表したシステム内部の構造体ではないので、該構造体の情報の変更時には、隠匿プロセス探知自体が不可能である。
【０００６】
又、ＥＰＲＯＣＥＳＳ構造体のＡｃｔｉｖｅＰｒｏｃｅｓｓＬｉｎｋｓ自体は、該当プロセスに対するシステム内部での、システム資源の割当ての際、該リストに追加されて実行される。したがって、資源の割当てを要求していない状態、つまり、プロセスが周期的なｉｄｌｅ状態の場合、該プロセスはＥＰＲＯＣＥＳＳ構造体にＡｃｔｉｖｅＰｒｏｃｅｓｓＬｉｎｋｓが追加されないので、システム内でｉｄｌｅ状態の隠匿プロセスは探知されないという短所を有するようになる。
【０００７】
又、隠匿プロセスを探知するための製品として、Ｆ−Ｓｅｃｕｒｅ社（ｈｔｔｐ：／／ｗｗｗ.ｆ−ｓｅｃｕｒｅ.ｃｏｍ／ｂｌａｃｋｌｉｇｈｔ）の、ベータバージョンで公開しているＢｌａｃｋＬｉｇｈｔ製品がある。該製品は、Ｗｉｎｄｏｗｓ（登録商標）システム内で現在遂行中のプログラムに対する情報の要求の際に用いられるＯｐｅｎＰｒｏｃｅｓｓ（）関数を用いる。該関数の入力パラメータにＷｉｎｄｏｗｓ（登録商標）システム内で生成できる全てのＰＩＤ値を全部代入させ、リターンされる値により該ＰＩＤプロセスリストの存在有無を判断するようになる。このとき、アプリケーション層において該ＰＩＤプロセスリストの情報がない場合、該ＰＩＤプロセスは、隠匿されたと判断することができる。このような方法は、システムカーネル層で何らの行為もせず、ただシステムのアプリケーション層で用いられるＡＰＩを介して隠匿の可否を検査する方法である。しかし、このような方法も、隠匿プロセスが悪意的に自身のＰＩＤ値に対するＯｐｅｎＰｒｏｃｅｓｓ（）の呼び出しの際、結果値を任意に操作された値を与えると該プロセスがシステム内に存在しないものと判断され、該隠匿プロセスは探知できなくなり、Ｏｐｅｎｐｒｏｃｅｓｓ（）関数を用いた隠匿プロセス探知技法は、実時間探知技法ではないスキャニング技法を用いた隠匿プロセス探知技法であって、隠匿プロセス探知のためスキャニング時に、該隠匿プロセスが開始されないか、既に終了された場合、探知することができないという短所を有するようになる。
【発明の開示】
【発明が解決しようとする課題】
【０００８】
したがって、本発明は前記の従来技術の問題点を解決するためになされたものであって、本発明の目的は、システムのカーネル層で実時間のシステムのモニタリングを介して、発生したシステムイベント情報からカーネル層のプロセスリストを抽出し、アプリケーション層から提供されるプロセスリストとの比較を通じて、隠匿プロセスを探知および制御する、システムイベント情報を用いた隠匿プロセス探知システムおよび方法を提供することにある。
【０００９】
一方、本発明の他の目的は、実時間でシステム内で発生されるファイル、レジストリ、ネットワークイベント情報に基づいて、システム内のアプリケーション層のとカーネル層とのプロセスリストの比較を通じて、隠匿プロセスを探知するので、隠匿プロセスがｉｄｌｅ状態の場合でも、システム内で発生するイベント情報を用いて隠匿プロセスを探知して既存ＡｃｔｉｖｅＰｒｏｃｅｓｓＬｉｎｋｓを用いた探知技法の限界を打開するシステムイベント情報を用いた隠匿プロセス探知システムおよび方法を提供することにある。
【課題を解決するための手段】
【００１０】
前記のような目的を達成するための本発明のシステムイベント情報を用いた隠匿プロセス探知システムは、カーネル層システムをモニタリングし、システムイベント情報を抽出するカーネル層モニタリングモジュール、前記抽出されたシステムイベント情報からイベントと関連したプロセスを検出するカーネル層プロセスリスト検出モジュール、アプリケーション層から使用者に提供されるプロセスリストを検出するアプリケーション層プロセスリスト検出モジュール、前記カーネル層プロセスリストの検出モジュールから検出されたプロセスと前記アプリケーション層のプロセスリスト検出モジュールから検出されたプロセスを比較し、前記カーネル層のみに存在するプロセスを隠匿プロセスとして探知する隠匿プロセス探知モジュールを含むことを特徴とする。
【００１１】
このとき、カーネル層モニタリングモジュールは、前記カーネル層でファイルシステムをモニタリングしてファイルイベント情報を抽出するファイルモニタリングモジュールと、前記カーネル層でアクセスされるレジストリをモニタリングし、レジストリイベント情報を抽出するレジストリモニタリングモジュール、そして前記カーネル層でネットワークをモニタリングし、ネットワークイベント情報を抽出するネットワークモニタリングモジュールを含むことを特徴とする。
【００１２】
一方、本発明のシステムイベント情報を用いた隠匿プロセス探知方法は、カーネル層システムをモニタリングしてシステムイベント情報を抽出するカーネル層モニタリング段階、前記抽出されたシステムイベント情報からイベントと関連したプロセスを検出するカーネル層プロセスリスト検出段階、アプリケーション層から使用者に提供されるプロセスリストを検出するアプリケーション層プロセスリスト検出段階、前記カーネル層プロセスリスト検出段階から検出されたプロセスと前記アプリケーション層プロセスリスト検出段階から検出されたプロセスを比較し、前記カーネル層のみに存在するプロセスを隠匿プロセスとして探知する隠匿プロセス探知段階を含むことを特徴とする。
【００１３】
このとき、カーネル層モニタリング段階は、前記カーネル層でファイルシステムをモニタリングしファイルイベント情報を抽出するファイルモニタリング段階、前記カーネル層でアクセスされるレジストリをモニタリングしてレジストリイベント情報を抽出するレジストリモニタリング段階、前記カーネル層でネットワークをモニタリングしてネットワークイベント情報を抽出するネットワークモニタリング段階を含むことを特徴とする。
【発明の効果】
【００１４】
上述したように、本発明によるシステムイベント情報を用いた隠匿プロセス探知システムは、カーネル層から提供されるシステムイベント情報を用いて実時間で隠匿プロセスを探知することができ、隠匿プロセスで使用者のシステムを攻撃する行為を源泉的に防御することができる効果がある。
【００１５】
又、本発明によるシステムイベント情報を用いた隠匿プロセス探知システムおよび方法は、隠匿プロセスがｉｄｌｅ状態の場合にも、システムで発生するイベント情報を用いて隠匿プロセスを探知及び除去し、実時間でシステム内で発生されたイベント情報を用いて探知するので、実時間で隠匿プロセスの実行とともにこれを探知することができる効果がある。
【発明を実施するための最良の形態】
【００１６】
以下、本発明に係るシステムイベント情報を用いた隠匿プロセス探知システム及び方法について添付された図面を参照し詳細に説明する。
【００１７】
図１は、本発明に係るシステムイベント情報を用いた隠匿プロセス探知システムの構成を示すブロック図である。
【００１８】
本発明に係るシステムイベント情報を用いた隠匿プロセス探知システムは、カーネル層システムをモニタリングして、システムイベント情報を抽出するカーネル層モニタリングモジュール１００、抽出されたシステムイベント情報からイベントと関連するプロセスを検出するカーネル層プロセスリスト検出モジュール２００、アプリケーション層から使用者に提供されるプロセスリストを検出するアプリケーション層プロセスリスト検出モジュール３００、カーネル層プロセスリスト検出モジュール２００から検出されたプロセスとアプリケーション層プロセスリスト検出モジュール３００から検出されたプロセスを比較し、カーネル層のみに存在するプロセスを隠匿プロセスとして探知する隠匿プロセス探知モジュール４００、隠匿プロセス探知モジュール４００から探知された隠匿プロセスを制御する隠匿プロセス制御モジュール５００を含んで構成される。
【００１９】
カーネル層モニタリングモジュール１００は、カーネル層から提供されるシステムイベント情報をモニタリングするため、カーネル層でファイルシステムをモニタリングするファイルモニタリングモジュール１１０、カーネル層でアクセスされるレジストリをモニタリングするレジストリモニタリングモジュール１２０、実時間でネットワークをモニタリングするネットワークモニタリングモジュール１３０を含む。
【００２０】
カーネル層では、プロセスを実行するためシステム情報を割当てるため、隠匿プロセスに関連する情報が表れる。
【００２１】
ファイルモニタリングモジュール１１０は、実時間でカーネル層においてファイルシステムをモニタリングし、ファイルイベント情報を探索するモジュールである。ファイルモニタリングモジュール１１０は、どのようなプロセスがどのようなファイルをどのようなイベント要求事項に対しアクセスするかに関するファイルシステムイベント情報をモニタリングする。ファイルモニタリングモジュール１１０を介して出てくるファイルイベント情報は、ファイルアクセスプロセス（Ｐｒｏｃｅｓｓ  ｎａｍｅ）、ファイルアクセス時間（Ｔｉｍｅ）、ファイル要求（Ｒｅｑｕｅｓｔ）イベント（Ｑｕｅｒｙ  Ｉｎｆｏｒｍａｔｉｏｎ、Ｏｐｅｎ、Ｃｌｏｓｅなど）、アクセスファイル経路（Ｐａｔｈ）、アクセスファイル成功有無（Ｒｅｓｕｌｔ）などの情報を言う。ファイルモニタリングモジュール１１０から出てきたファイルイベント情報は、カーネル層プロセスリスト検出モジュール２００に提供される。
【００２２】
レジストリモニタリングモジュール１２０は、実時間でカーネル層でアクセスされるレジストリをモニタリングするモジュールである。レジストリモニタリングモジュール１２０は、どのようなプロセスが現在どのようなレジストリイベント情報を要求し、その要求された情報が何であるかを感知する。レジストリモニタリングモジュール１２０を介して出てくるレジストリイベント情報は、レジストリアクセスプロセス（Ｐｒｏｃｅｓｓ  ｎａｍｅ）、レジストリアクセス時間（Ｔｉｍｅ），レジストリ要求（Ｒｅｑｕｅｓｔ）イベント（Ｏｐｅｎｋｅｙ、Ｃｌｏｓｅｋｅｙなど）、レジストリアクセス経路（Ｐａｔｈ）、レジストリアクセス成功の有無（Ｒｅｓｕｌｔ）などがある。レジストリモニタリングモジュール１２０を介して出てきたレジストリイベント情報はカーネル層プロセスリストの検出モジュール２００に提供される。
【００２３】
ネットワークモニタリングモジュール１３０は、実時間でネットワークモニタリングを介してネットワークイベント情報を算出するモジュールである。ネットワークモニタリングモジュール１３０は、実時間でネットワークを介し、どのようなプロセスがどのようなポートを介しどちらへどのようなパケットを伝送及び受信するかに対する情報をモニタリングする。ネットワークモニタリングモジュール１３０を介して出てくるネットワークイベント情報とは、ネットワークアクセスプロセス、ネットワークパッケト発生時間、送信側のアドレス、受信側のアドレス、送信側のポート、受信側のポート、パケットの長さ、チェックサム、ＴＴＬ値、Ｆｒａｇｍｅｎｔａｔｉｏｎの可否に関する情報をいう。ネットワークモニタリングモジュール１３０を介して出てきたネットワークイベント情報は、カーネル層プロセスリスト検出モジュール２００に提供される。
【００２４】
カーネル層モニタリングモジュール１００は、システムのカーネル層のシステムイベント情報をモニタリングすることにおいて、システムイベント情報フィルタリングモジュール１４０を含むことができる。
【００２５】
システムイベント情報フィルタリングモジュール１４０は、カーネル層でモニタリングされるシステムイベント情報のうち、特定モニタリングのイベント及び特定プロセスを予めモニタリングの対象から除外する。したがって、システムイベント情報フィルタリングモジュール１４０は、隠匿プロセスを感知するため、モニタリングすべき対象を減らすことで、隠匿プロセス探知システムの性能を向上させる。
【００２６】
カーネル層プロセスリスト検出モジュール２００は、カーネル層モニタリングモジュール１００を介して提供されたシステムイベント情報のうち、イベントにアクセスしたプロセスのリストのみを抽出する。システムイベント情報には、ファイルモニタリングモジュール１１０によるファイルイベント情報、レジストリモニタリングモジュール１２０によるレジストリイベント情報、ネットワークモニタリングモジュール１３０によるネットワークイベント情報がある。カーネル層プロセスリスト検出モジュール２００により抽出されるプロセスリストは、ファイルアクセスプロセス、レジストリアクセスプロセス、ネットワークアクセスプロセス等がある。
【００２７】
アプリケーション層プロセスリスト検出モジュール３００は、アプリケーション層から使用者に提供されるプロセスリストに対する情報を検出する。一般的にＷｉｎ３２ＡＰＩを介してアプリケーション層から提供されるプロセス情報を標準とする。ウィンドウズ（登録商標）システムの場合、タスクマネージャを通じて提供されるプロセスリスト情報を例として挙げられる。
【００２８】
カーネル層プロセスリスト検出モジュール２００から検出されたプロセスリストとアプリケーション層プロセスリスト検出モジュール３００から検出されたプロセスリストは隠匿プロセス探知モジュール４００へ伝達される。
【００２９】
隠匿プロセス探知モジュール４００は、カーネル層プロセスリストとアプリケーション層プロセスリストを比較して、隠匿プロセスであると判断されるプロセスを探し出す。
【００３０】
隠匿プロセスは、アプリケーション層では、隠匿プロセスに対する情報が表れないが、カーネル層では、プロセス実行のため資源を受けるためにその情報が公開される。
【００３１】
したがって、プロセスがカーネル層のみに存在し、アプリケーション層には存在しない場合には、隠匿プロセスであると判断される。
【００３２】
しかしながら、カーネル層プロセスリストとアプリケーション層プロセスリストを比較した結果、同一の場合にはシステムで実行されているプロセスは正常プロセスであると判断される。
【００３３】
隠匿プロセス探知モジュール４００で、隠匿プロセスであると判断されるプロセスが存在する場合には、隠匿プロセス制御モジュール５００により該隠匿プロセスを終了させるか削除する。
【００３４】
隠匿プロセス制御モジュール５００は、隠匿プロセスであると判断されたプロセスに対する処理の如付を使用者の決定に応じて処理する役割をする。 
【００３５】
図２は、本発明に係るシステムイベント情報を用いた隠匿プロセス探知方法を示すフローチャートである。
【００３６】
隠匿プロセス探知は、使用者により隠匿プロセスを探知するためのシステム及びプログラムを開始することで隠匿プロセスの探知が開始されるＳ２１０。
【００３７】
隠匿プロセス探知は、使用者の開始命令によって開始されることもあるが、システムが開始して作動する間には、常に作動することが実時間で隠匿プロセスを探知することから望ましい。
【００３８】
隠匿プロセス探知が開始Ｓ２１０されると、カーネル層モニタリング段階Ｓ２２０とアプリケーション層プロセスリスト検出段階Ｓ２３０が進行される。
【００３９】
カーネル層モニタリング段階Ｓ２２０は、カーネル層のシステムをモニタリングしシステムイベント情報を抽出する。
【００４０】
システムイベント情報を抽出するために、ファイルイベント情報を抽出するファイルモニタリング段階Ｓ２２１と、レジストリイベント情報を抽出するレジストリモニタリング段階Ｓ２２０と、又、ネットワークイベント情報を抽出するネットワークモニタリング段階Ｓ２２３によりカーネル層モニタリング段階Ｓ２２０が進行される。
【００４１】
カーネル層モニタリング段階Ｓ２２０から抽出されたシステムイベント情報は、カーネル層プロセスリスト検出段階Ｓ２４０に提供される。
【００４２】
カーネル層プロセスリスト検出段階Ｓ２４０は、提供されたシステムイベント情報のうち、イベントにアクセスしたプロセスのリストのみを検出する。このように検出されたカーネル層プロセスリストは、隠匿プロセスであるか否かを判断するため、カーネル層とアプリケーション層プロセスリスト比較段階Ｓ２５０に提供される。
【００４３】
アプリケーション層プロセスリスト検出段階Ｓ２３０は、アプリケーション層から使用者に提供されるプロセスリストに対する情報を検出し、カーネル層とアプリケーション層プロセスリスト比較段階Ｓ２５０に提供する。
【００４４】
カーネル層とアプリケーション層プロセスリストの比較段階Ｓ２５０は、カーネル層プロセスリストとアプリケーション層プロセスリストを比較して一致するか否かを判断する。
【００４５】
カーネル層プロセスリストとアプリケーション層プロセスリストが一致する場合には、正常のプロセスであると判断するＳ２６０。
【００４６】
カーネル層プロセスリストとアプリケーション層プロセスリストが不一致の場合、カーネル層プロセスリストのみに存在し、アプリケーション層プロセスリストには存在しない場合には、該プロセスを隠匿プロセスであると判断するＳ２７０。
【００４７】
隠匿プロセスであると判断されたプロセスは、使用者により処理が決定される。使用者が隠匿プロセスを削除する場合、隠匿プロセスはシステムから削除されるＳ２８０。
【００４８】
以上から、いくつの実施の形態をあげ、本発明を一層詳細に説明したが、本発明は必ずしもこのような実施の形態に限らず、本発明の技術思想を外れない範囲内で多様に変更実施することができる。
【図面の簡単な説明】
【００４９】
【図１】本発明に係るシステムイベント情報を用いた隠匿プロセス探知システムの構成を示すブロック図である。
【図２】本発明に係るシステムイベント情報を用いた隠匿プロセス探知方法を示すプローチャートである。
【符号の説明】
【００５０】
１１０：ファイルモニタリングモジュール
１２０：レジストリモニタリングモジュール
１３０：ネットワークモニタリングモジュール
２００：カーネル層プロセスリスト検出モジュール
３００：アプリケーション層プロセスリスト検出モジュール
４００：隠匿プロセス探知モジュール
５００：隠匿プロセス制御モジュール
【図１】
2008004064.tif 000003
【図２】
2008004064.tif 000004