(57)【要約】【課題】  ウィルス、ワーム、スパイウェアなどのマルウェアの挙動を自動的に解析するシステムの提供に関する。【解決手段】  マルウェア実行端末３とダミーサーバ４とログ解析端末５を備えた隔離された環境の下、マルウェア実行端末３上でマルウェアを実行させ、マルウェアによりＡＰＩ呼び出しがなされたとき、実際の関数ではなく、マルウェア実行端末３がログ収集のために用意した関数を呼び出すように仕向けることでＡＰＩ呼び出しログを収集する。また、マルウェアがサーバへのアクセスを要求したとき、そのリクエストを実際のサーバへではなく、ダミーサーバ４へ送信することでサーバアクセスログを収集する。このように収集されたログは、ログ解析端末５に送信され、ログ定義ファイルを参照して必要なログのみが取り出され、ビヘイビア定義ファイルを参照してビヘイビアが抽出される。【選択図】  図１
2007334536.tif 000002
【特許請求の範囲】
【請求項１】
マルウェアの挙動を自動的に解析するシステムであって、
監視対象のマルウェアを実行させて監視するマルウェア実行端末と、このマルウェア実行端末に接続するダミーサーバと、監視対象マルウェアの挙動に関するログデータを解析するログ解析端末を備え、
前記マルウェア実行端末は、
監視対象のマルウェアによるＡＰＩ呼び出しを記録し、ＡＰＩ呼び出しログを生成するＡＰＩログ収集手段と、
前記マルウェアからのサーバへのリクエストを受け取ったときに実際のサーバへではなく、前記ダミーサーバへ受け取ったリクエストを送信するとともに、前記ダミーサーバからのリスポンスを前記マルウェアに送信する対ダミーサーバＩ／Ｆ手段を備え、
前記ダミーサーバは、
前記マルウェア実行端末から送信されるリクエストに対して、実際のサーバに代わって応答するダミーサーバプログラムと、
サーバアクセスログを作成するサーバアクセスログ収集手段と、
前記ＡＰＩ呼び出しログと前記サーバアクセスログを前記ログ解析端末に送信するログ送信手段を備え、
前記ログ解析端末は、
不要なログをフィルタリングするためのフィルタ定義ファイルと、監視対象マルウェアの挙動パターンを記述したビヘイビア定義ファイルとを記憶する定義ファイル記憶手段と、
前記ＡＰＩ呼び出しログおよび前記サーバアクセスログから前記フィルタ定義ファイルを使用して不要なログをフィルタリングするログフィルタリング手段と、
前記のフィルタリングされなかったログに対し、前記ビヘイビア定義ファイルを使用して前記監視対象のマルウェアの挙動パターンを抽出するビヘイビア抽出手段を備えることを特徴とするマルウェアの挙動解析システム。
【請求項２】
前記マルウェア実行端末は、監視対象マルウェアによるＡＰＩ呼び出しがあったとき、実際のＡＰＩプログラムに代わって実行される擬似ＡＰＩプログラムを備えることを特徴とする請求項１に記載のマルウェアの挙動解析システム。
【請求項３】
前記マルウェア実行端末は、ディスクイメージを保存するバックアップ記憶手段を備えるとともに、監視対象のマルウェアが実行された後、前記バックアップ記憶手段から取り出された前記ディスクイメージによって前記マルウェアの実行前の状態に前記マルウェア実行端末を戻すシステム回復手段を備えることを特徴とする請求項１又は請求項２のいずれかに記載のマルウェアの挙動解析システム。
【請求項４】
前記ダミーサーバは、
前記マルウェア実行端末を介して送信される通信パケットを捕捉し、パケットログを作成するパケットログ収集手段を備え、
前記ログ解析端末は、前記ダミーサーバから前記パケットログを受信すると、監視対象のマルウェアによってアクセスを試みられたサーバに関する情報を作成するネットワークイベント情報作成手段を備えることを特徴とする請求項１〜３のいずれか１に記載のマルウェアの挙動解析システム。
【請求項５】
マルウェアの挙動を記録するログ収集システムであって、
監視対象のマルウェアを実行させて監視するマルウェア実行端末と、このマルウェア実行端末に接続するダミーサーバを備え、
前記マルウェア実行端末は、
監視対象のマルウェアによるＡＰＩ呼び出しを記録し、ＡＰＩ呼び出しログを生成するＡＰＩログ収集手段と、
前記マルウェアからのサーバへのリクエストを受け取ったときに実際のサーバへではなく、前記ダミーサーバへ受け取ったリクエストを送信するとともに、前記ダミーサーバからのリスポンスを前記マルウェアに送信する対ダミーサーバＩ／Ｆ手段を備え、
前記ダミーサーバは、
前記マルウェア実行端末から送信されるリクエストに対して、実際のサーバに代わって応答するダミーサーバプログラムと、
サーバアクセスログを作成するサーバアクセスログ収集手段を備えることを特徴とするログ収集システム。
【請求項６】
前記マルウェア実行端末は、監視対象マルウェアによるＡＰＩ呼び出しがあったとき、実際のＡＰＩプログラムに代わって実行される擬似ＡＰＩプログラムを備えることを特徴とする請求項５に記載のログ収集システム。
【請求項７】
前記マルウェア実行端末は、ディスクイメージを保存するバックアップ記憶手段を備えるとともに、監視対象のマルウェアが実行された後、前記バックアップ記憶手段から取り出された前記ディスクイメージによって前記マルウェアの実行前の状態に前記マルウェア実行端末を戻すシステム回復手段を備えることを特徴とする請求項５又は請求項６のいずれかに記載のログ収集システム。
【請求項８】
マルウェアの挙動を記録した挙動ログを解析するログ解析システムであって、
マルウェアの挙動ログと、ログ解析端末を備え、
前記ログ解析端末は、
前記挙動ログを読み込む入力手段と、
不要なログをフィルタリングするためのフィルタ定義ファイルと、マルウェアの挙動パターンを記述したビヘイビア定義ファイルとを記憶する定義ファイル記憶手段と、
前記挙動ログから前記フィルタ定義ファイルを使用して不要なログをフィルタリングするログフィルタリング手段と、
前記のフィルタリングされなかったログに対し、前記ビヘイビア定義ファイルを使用してマルウェアの挙動パターンを抽出するビヘイビア抽出手段を備えることを特徴とするログ解析システム。
【発明の詳細な説明】
【技術分野】
【０００１】
監視対象とするマルウェアの挙動を自動的に解析するシステムに関する。
【背景技術】
【０００２】
コンピュータウィルス、ワーム、スパイウェアなどの有害なソフトウェア（以下、「マルウェア」という）による被害は一向に沈静化の兆しをみせない。むしろ、ファイル交換用ソフトの普及などにより、被害は拡大する一方である。
【０００３】
ところで、マルウェアは、一般にそのマルウェアに特有の挙動を示すことが多い。
このようなマルウェアの挙動を把握することは、次のようなメリットがある。すなわち、１）感染を未然に防ぐことができる、２）感染してしまった場合の被害を最小限に抑えることができる、３）ネットワークにどのような影響を与え、システムにどのようなダメージを与えるかが把握できるので、あらかじめ何らかの対策を講じることができる。
そのため、現在、アンチウィルスベンダによっては、そのＷｅｂサイトでマルウェアに関する情報を公開するものもあり、かかる情報は誰でも入手可能な状態にある。
【０００４】
【非特許文献１】株式会社シマンテック、“ｓｅｃｕｒｉｔｙ  ｒｅｓｐｏｎｓｅ”、［ｏｎｌｉｎｅ］、［平成１８年６月３日検索］、インターネット＜ＵＲＬ：ｈｔｔｐ：／／ｗｗｗ．ｓｙｍａｎｔｅｃ．ｃｏｍ／ｒｅｇｉｏｎ／ｊｐ／ａｖｃｅｎｔｅｒ／＞
【発明の開示】
【発明が解決しようとする課題】
【０００５】
上記のＷｅｂサイトでは、すべてのマルウェアについて、十分な情報がタイムリに提供されているわけではない。例えば、特定の地域や企業、団体を狙ったマルウェアの場合、被害状況を把握できなかったり、マルウェアのサンプルが入手できなかったりするために狙われた団体等の対応が遅れてしまう。
本発明は、クライアントとサーバからなる擬似インターネット環境を構築し、この隔離された環境において、マルウェアを実行させ、さまざまなログを収集し、それらのログからマルウェアの挙動を自動的に解析するシステムの提供を課題とする。このシステムにより、アンチウィルスベンダからの情報提供を待たなくてもマルウェアの挙動を把握できる。
【課題を解決するための手段】
【０００６】
上記の目的を実現するために、請求項１に記載の発明は、マルウェアの挙動を自動的に解析するシステムであって、監視対象のマルウェアを実行させて監視するマルウェア実行端末と、このマルウェア実行端末に接続するダミーサーバと、監視対象マルウェアの挙動に関するログデータを解析するログ解析端末を備え、前記マルウェア実行端末は、監視対象のマルウェアによるＡＰＩ呼び出しを記録し、ＡＰＩ呼び出しログを生成するＡＰＩログ収集手段と、前記マルウェアからのサーバへのリクエストを受け取ったときに実際のサーバへではなく、前記ダミーサーバへ受け取ったリクエストを送信するとともに、前記ダミーサーバからのリスポンスを前記マルウェアに送信する対ダミーサーバＩ／Ｆ手段を備え、前記ダミーサーバは、前記マルウェア実行端末から送信されるリクエストに対して、実際のサーバに代わって応答するダミーサーバプログラムと、サーバアクセスログを作成するサーバアクセスログ収集手段と、前記ＡＰＩ呼び出しログと前記サーバアクセスログを前記ログ解析端末に送信するログ送信手段を備え、前記ログ解析端末は、不要なログをフィルタリングするためのフィルタ定義ファイルと、監視対象マルウェアの挙動パターンを記述したビヘイビア定義ファイルとを記憶する定義ファイル記憶手段と、前記ＡＰＩ呼び出しログおよび前記サーバアクセスログから前記フィルタ定義ファイルを使用して不要なログをフィルタリングするログフィルタリング手段と、前記のフィルタリングされなかったログに対し、前記ビヘイビア定義ファイルを使用して前記監視対象のマルウェアの挙動パターンを抽出するビヘイビア抽出手段を備えることを特徴とする。
これにより、マルウェア自らが監視対象とされていることを知らずに自由に活動するように仕向け、マルウェアの挙動を解析するために十分なログの収集が期待できる。
【０００７】
また、上記の目的を実現するために、請求項２に記載の発明は、請求項１に記載のマルウェアの挙動解析システムにおいて、前記マルウェア実行端末は、監視対象マルウェアによるＡＰＩ呼び出しがあったとき、実際のＡＰＩプログラムに代わって実行される擬似ＡＰＩプログラムを備えることを特徴とする。
これにより、マルウェアのＡＰＩ呼び出し時の挙動を的確に把握できる。
【０００８】
また、上記の目的を実現するために、請求項３に記載の発明は、請求項１又は請求項２のいずれかに記載のマルウェアの挙動解析システムにおいて、前記マルウェア実行端末は、ディスクイメージを保存するバックアップ記憶手段を備えるとともに、監視対象のマルウェアが実行された後、前記バックアップ記憶手段から取り出された前記ディスクイメージによって前記マルウェアの実行前の状態に前記マルウェア実行端末を戻すシステム回復手段を備えることを特徴とする。
これにより、実マシン環境においてマルウェアの挙動パターンを把握できる。
【０００９】
さらに、上記の目的を実現するために、請求項４に記載の発明は、請求項１〜３のいずれか１に記載のマルウェアの挙動解析システムにおいて、前記ダミーサーバは、前記マルウェア実行端末を介して送信される通信パケットを捕捉し、パケットログを作成するパケットログ収集手段を備え、前記ログ解析端末は、前記ダミーサーバから前記パケットログを受信すると、監視対象のマルウェアによってアクセスを試みられたサーバに関する情報を作成するネットワークイベント情報作成手段を備えることを特徴とする。
これにより、通信パケットデータからも監視対象としているマルウェアの特徴を把握できる。
【００１０】
以上の発明に加え、マルウェア実行端末およびダミーサーバから構成されるマルウェアの挙動を記録するログ収集システム、ならびに、マルウェアの挙動ログを入力データとしてログ解析端末によって実現されるログ解析システムも上記の目的を達成するものである。
【発明の効果】
【００１１】
本発明は、隔離された環境において、しかも、実マシン環境において、マルウェアを実行させることで、さまざまなログを収集できる。また、ビヘイビア定義ファイルを用意することで、人手によらなくても、それらのログからマルウェアの挙動を自動的に解析することができる。しかも、フィルタ定義ファイルを用意することで、必要なログのみをビヘイビア抽出の対象とするので、マルウェアの挙動に関する情報を迅速に得られる。
【発明を実施するための最良の形態】
【００１２】
図１に従い、本実施形態のシステム構成を説明する。
本システムは、ログ収集部１と、ログ収集部１に接続するログ解析部２とから構成される。
【００１３】
ログ収集部１は、マルウェア実行端末３と、ハブなどの中継機器を介してマルウェア実行端末３と接続するダミーサーバ４を備える。ログ収集部１は、クライアント（マルウェア実行端末３が相当）とサーバ（ダミーサーバ４が相当）の２台のマシンを使って構築された擬似インターネット環境であり、この隔離された環境下にて、マルウェアの挙動（以下、「ビヘイビア」ともいう）を解析するためのログが収集される。
【００１４】
一方、ログ解析部２は、ログ収集部１によって収集されたログを自動的に解析する機能を有し、ログ解析端末５を備える。ログ解析端末５は、ハブなどの中継機器を介してダミーサーバ４と接続しているが、マルウェア実行端末３とは直接には接続していない。つまり、マルウェア実行端末３からログ解析端末５にはアクセスできないようになっている。
【００１５】
マルウェア実行端末３の構成を図２に従い、説明する。マルウェア実行端末３は、記憶部６、処理部７を備え、他に図示しないマウスやキーボードなどの入力手段、ディスプレイなどの出力手段も適宜備える。
【００１６】
記憶部６は、マルウェア記憶手段８、擬似ＡＰＩプログラム記憶手段９、ＡＰＩ呼び出しログ記憶手段１０、バックアップ記憶手段１１を備える。
マルウェア記憶手段８には、本発明のシステムとは別のシステムにおいて検出されたマルウェアが格納されている。
擬似ＡＰＩプログラム記憶手段９には、ＡＰＩ（Ａｐｐｌｉｃａｔｉｏｎ  Ｐｒｏｇｒａｍ  Ｉｎｔｅｒｆａｃｅ）の関数、すなわち、ＯＳ（Ｏｐｅｒａｔｉｎｇ  Ｓｙｓｔｅｍ）あるいはミドルウェアに標準的に実装されている関数の代わりに呼び出される関数のライブラリ（以下、「擬似ＡＰＩプログラム」という）が格納されている。
ＡＰＩ呼び出しログ記憶手段１０には、マルウェアによるＡＰＩ呼び出しがなされる都度記録されるＡＰＩ呼び出しログが格納される。このＡＰＩ呼び出しログについては、後で詳しく説明する。
バックアップ記憶手段１１には、マルウェア実行端末３のシステムが、マルウェアの実行によってダメージを受ける前の正常な状態のディスクイメージが格納されている。
【００１７】
処理部７は、ＡＰＩログ収集手段１２、対ダミーサーバＩ／Ｆ手段１３、システム回復手段１４を備える。
ＡＰＩログ収集手段１２は、マルウェア記憶手段８に格納されているマルウェアを実行させ、マルウェアがＡＰＩを呼び出したときの監視とログの収集を行う。このＡＰＩログ収集手段１２については、後で詳しく説明する。
対ダミーサーバＩ／Ｆ手段１３は、マルウェア記憶手段８に格納されているマルウェアがサーバへのアクセスを要求したときに、そのリクエストを実際のサーバへ送るかわりにダミーサーバ４へ送信するとともに、ダミーサーバ４からのリスポンスを受信し、これをマルウェアに送信する。また、対ダミーサーバＩ／Ｆ手段１３は、マルウェアからのパケットデータの送受信のインタフェースとしても機能する。さらに、ＡＰＩ呼び出しログをログ解析端末５に送信する場合、対ダミーサーバＩ／Ｆ手段１３を介してダミーサーバ４へ送信され、ダミーサーバ４からログ解析端末５に送信される。
システム回復手段１４は、マルウェアを実行しログの収集が終了すると、ディスクイメージをバックアップ記憶手段１１から取り出し、このディスクイメージによってマルウェア実行端末３をマルウェア実行前の状態に戻すものである。
【００１８】
次は、ダミーサーバ４の構成を、図３に従い説明する。
ダミーサーバ４は、任意個数のダミーサーバプログラム１５を備える。ダミーサーバプログラム１５Ａ，１５Ｂは、それぞれ設定ファイル１６Ａ、１６Ｂを参照するというように、専用の設定ファイル１６を有する。ダミーサーバプログラム１５については、後で詳しく説明する。
【００１９】
また、ダミーサーバ４は、記憶部１７、処理部１８を備え、他に図示しない入力手段や出力手段も備える。
記憶部１７は、サーバアクセスログ記憶手段１９、パケットログ記憶手段２０を備える。
サーバアクセスログ記憶手段１９は、マルウェアによるサーバへのリクエストを記録するサーバアクセスログを格納する。
パケットログ記憶手段２０は、マルウェアとのパケットの送受信を記録するパケットログを格納する。
【００２０】
処理部１８は、対マルウェア実行端末Ｉ／Ｆ手段２１、サーバアクセスログ収集手段２２、パケットログ収集手段２３、ログ送信手段２４を備える。
対マルウェア実行端末Ｉ／Ｆ手段２１は、マルウェア実行端末３から送信されてくるマルウェアによるサーバへのリクエストあるいはパケットを受信し、ダミーサーバプログラム１５へ中継する。また、ダミーサーバプログラム１５によるリスポンスをマルウェアに送信する。
サーバアクセスログ収集手段２２は、サーバへのリクエストやリスポンスを収集し、ログをサーバアクセスログ記憶手段１９に格納する。
パケットログ収集手段２３は、パケットを収集し、ログをパケットログ記憶手段２０に格納する。
ログ送信手段２４は、各種のログを所定のタイミングでログ解析端末５に送信する。送信されるログには、サーバアクセスログ、パケットログの他、マルウェア実行端末３で収集されたＡＰＩ呼び出しログも含まれる。
【００２１】
続いて、ログ解析端末５の構成を、図４に従い説明する。
ログ解析端末５は、ダミーサーバ４から転送されるログを待ち受け、取得したログを解析する装置であり、記憶部２５、処理部２６、図示しない入力手段、出力手段などを備える。
【００２２】
記憶部２５は、定義ファイル記憶手段２７、フィルタリング結果記憶手段２８、解析結果記憶手段２９を備える。
定義ファイル記憶手段２７は、フィルタ定義ファイル、ビヘイビア定義ファイルを格納する。これらの定義ファイルについては、後で詳しく説明する。
フィルタリング結果記憶手段２８は、ダミーサーバ４から転送されるログから不要なものをフィルタリングした後のログを格納する。
解析結果記憶手段２９は、各種ログに基づき抽出したマルウェアの挙動に関するデータを格納する。
【００２３】
処理部２６は、対ダミーサーバＩ／Ｆ手段３０、ログフィルタリング手段３１、ビヘイビア抽出手段３２、ネットワークイベント情報作成手段３３を備える。
対ダミーサーバＩ／Ｆ手段３０は、ダミーサーバ４から各種ログを受信する手段である。
ログフィルタリング手段３１は、ダミーサーバ４から受信したログをフィルタ定義ファイルを使用してフィルタリングする。
ビヘイビア抽出手段３２は、ビヘイビア定義ファイルを用いて、フィルタリング後のログからビヘイビアを抽出し、その結果をファイル出力する。
ネットワークイベント情報作成手段３３は、マルウェアがアクセスしようとしたサーバに関する情報を、パケットログに基づいて解析し、その結果を作成し出力する。
【００２４】
では、本実施形態のシステムの作用である、ログの収集と、ログの解析とを説明する。
まず、ログ収集部１によるログ収集処理について説明する。
ログ収集部１では、次の３種類のログが収集される。第１に、ＡＰＩ呼び出しログであり、第２は、サーバアクセスログであり、第３は、マルウェア実行端末３とダミーサーバ４との間で送受信されたパケットを記録したパケットログである。
【００２５】
ＡＰＩ呼び出しログは、マルウェア実行端末３のＡＰＩログ収集手段１２により作成されるものであり、マルウェアが呼び出したＡＰＩが記録されている。図５は、ＡＰＩ呼び出しを記録するログのフォーマットを例示したものである。
【００２６】
ＡＰＩログ収集手段１２は、マルウェア記憶手段８に格納されているマルウェアを実行させ、そのマルウェアが呼び出しているＡＰＩの関数をフックすることでＡＰＩ呼び出しログを取得する。
図６を参照しながら、ＡＰＩログ収集手段１２による処理のフローを説明する。
【００２７】
ＡＰＩログ収集手段１２は、監視対象となっているマルウェアのプロセスＩＤを取得する（ステップＳ１）。
続いて、この監視対象プロセスにＡＰＩフックＤＬＬ（Ｄｙｎａｍｉｃ  Ｌｉｎｋ  Ｌｉｂｒａｒｙ）をロードするためのスレッドを生成する（ステップＳ２）。ここで、ＡＰＩフックＤＬＬとは、本物のＡＰＩの関数をフックする関数ライブラリのことをいう。
ステップＳ２で生成されたスレッドが、監視対象プロセスのインポートアドレスを書きかえる（ステップＳ３）。このように関数のアドレスが書き換えられたことで、このプロセスは、実際のＡＰＩの代わりに、ログを収集するために本システムが用意した関数を呼び出すことになる。ＡＰＩログ収集手段１２は、監視対象プロセスによって、当該関数が呼び出されるのを待ち受ける（ステップＳ４）。
【００２８】
監視対象プロセスが、ＡＰＩ呼び出しを行うと（ステップＳ４でＹｅｓ）、本来のＡＰＩの関数による処理ではなく、ＡＰＩフックＤＬＬ内の処理が実行され、このＡＰＩ呼び出しがされた時刻や引数がログに出力される（ステップＳ５）。
あらたにプロセスが起動されると、当該プロセスに対しステップＳ１からＳ５までの処理が実行される（ステップＳ６でＹｅｓ）。また、ステップＳ６で、新たなプロセスが起動されることなく、監視対象プロセスが終了すると、ＡＰＩフック処理を終了させる（ステップＳ７）。つまり、ＡＰＩログ収集手段１２は、ステップＳ３にて書き換えたインポートアドレスを復旧し、監視対象プロセスを元の状態に戻すわけである。これにより、マルウェアは、自分が監視されていることを検知することが難しくなる。
【００２９】
なお、マルウェアの中には、ＡＰＩ呼び出しを隠蔽するために、所定のアドレス取得用関数を用いて実行時にＡＰＩ関数のアドレスを取得し、それを使ってＡＰＩ関数を呼び出すものがある。しかし、本システムでは、アドレス取得用の関数自体を事前にフックしているので、マルウェアが呼び出そうとしている実際のＡＰＩ関数のアドレスではなく、擬似ＡＰＩプログラム記憶手段に格納されている関数のアドレスが返される。マルウェアは、この返されたアドレスを使って関数を呼び出すので、結局本システムは、ＡＰＩ呼び出しの際のマルウェアの挙動を収集できることとなる。
【００３０】
本システムでは、仮想ＰＣ環境ではなく、実マシン環境でマルウェアを実行させる。
その理由は、次のとおりである。確かに、マルウェアを仮想ＰＣ環境にするならば、いちいちディスクイメージを元に戻すといった作業がなくなり、大幅に作業時間の短縮が図れるというメリットはある。しかし、最近のマルウェアの中には、仮想ＰＣ上で実行していることを検知して活動を停止する機能を持つものがあり、有効な解析結果を得られない可能性がある。そのため、実マシン環境でマルウェアを実行させることとした。
【００３１】
しかし、実マシン環境でマルウェアを実行させるので、一度ログ収集を実行するとシステムがダメージを受けてしまう。この問題を解消するために、ログ収集が終わると、システム回復手段１４は、バックアップ記憶手段１１から取り出したディスクイメージによって、マルウェア実行端末３をウィルス実行前の状態に戻す。
このように、マルウェア実行端末３は、ディスクイメージを保存しておき、マルウェアを実行するたびに保存されているイメージを元に戻すことで再度クリーンな状態でログ収集を行うことが可能になる。
【００３２】
次は、第２のログ種類であるサーバアクセスログについて説明する。これは、マルウェアの動作が、サーバへのリクエストである場合に収集されるログである。
本システムでは、マルウェア実行端末３のデフォルトゲートウェイとしてダミーサーバ４を指定する。そのため、マルウェアが、マルウェア実行端末３から送信する全パケットは、対ダミーサーバＩ／Ｆ手段１３を介して、ダミーサーバ４へ送信される。ダミーサーバ４側の対マルウェア実行端末Ｉ／Ｆ手段２１では、すべてのパケットを処理できるように、ＯＳレベルでパケットの宛先を変更する機能を有しているものとする。
【００３３】
ＤＮＳサーバ，ＦＴＰサーバ，ＨＴＴＰサーバなどのサーバへのリクエストは、実際のサーバに代わって、ダミーサーバ４上の各ダミーサーバプログラム１５が受け取り、リスポンスを、対マルウェア実行端末Ｉ／Ｆ手段２１、対ダミーサーバＩ／Ｆ手段１３を介してマルウェアに返す。サーバアクセスログ収集手段２２は、サーバへのアクセスの状況を監視し、ログを作成し、サーバアクセスログ記憶手段１９に格納する。
【００３４】
各ダミーサーバプログラム１５の動作は次のとおりである。ここで、ダミーサーバプログラム１５ごとの設定ファイル１６には、リクエストと応答メッセージ等との対応が記述されており、適宜変更ができる。
【００３５】
ダミーＤＮＳ（ｄｏｍａｉｎ  ｎａｍｅ  ｓｅｒｖｅｒ）サーバ、つまりＤＮＳサーバとして振舞うダミーサーバプログラム１５は、マルウェアからのリクエストクエリに対して偽ＤＮＳレコードを返す。
ダミーＤＮＳサーバが参照する設定ファイル１６には、ドメイン名とＩＰアドレスとの対応を示す変換テーブルが記述されている。
ドメイン名に対応するＩＰアドレスの問合せ、あるいはメールサーバの問合せがあったときは、変換テーブルを参照し、ドメイン名に対応するＩＰアドレスを返す。変換テーブルには存在しないドメイン名の場合は、ランダムに算出したＩＰアドレスを返す。
ドメイン名の問合せがあった場合は、変換テーブルを参照して、指定されたＩＰアドレスに対応するドメイン名を返すが、そのＩＰアドレスが変換テーブルに存在しないときは、予めデフォルト値として定めたドメイン名を返す。
【００３６】
ダミーＦＴＰ（Ｆｉｌｅ  Ｔｒａｎｓｆｅｒ  Ｐｒｏｔｏｃｏｌ）サーバ、つまりＦＴＰサーバとして振舞うダミーサーバプログラム１５は、マルウェアからのＦＴＰセッション要求に対し、ＦＴＰログイン手順を提供する。
ダミーＦＴＰサーバが参照する設定ファイル１６には、コマンドと応答メッセージとの対応が記述されている。例えば、コマンドＰＡＳＳに対して“２３０  Ｌｏｇｉｎ  ｓｕｃｃｅｓｓｆｕｌ．”、コマンドＱＵＩＴに対して“２２１ＯＫ，ｂｙｅ”などのメッセージがある。また、設定ファイルには無いコマンドが送られてきたときには、デフォルトのメッセージ（例えば、“２００  ＯＫ”）を返すようにすればよい。
【００３７】
ダミーＨＴＴＰ（ＨｙｐｅｒＴｅｘｔ  Ｔｒａｎｓｆｅｒ  Ｐｒｏｔｏｃｏｌ）サーバ、つまりＨＴＴＰサーバとして振舞うダミーサーバプログラム１５は、ＨＴＴＰリクエストに対し、偽データを返す。ＧＥＴリクエストとＰＯＳＴリクエストのそれぞれについて、返すべきファイルのファイル名等を設定ファイル１６に記述しておき、ＧＥＴまたはＰＯＳＴリクエストがあれば、この設定ファイルを参照して、指定されたファイルを送信する。なお、設定ファイルに記述のないリクエストには何も返さないものとする。
【００３８】
ダミーＩＲＣ（Ｉｎｔｅｒｎｅｔ  Ｒｅｌａｙ  Ｃｈａｔ）サーバ、つまりＩＲＣサーバとして振舞うダミーサーバプログラム１５は、クライアントからの接続要求を処理する。ダミーＩＲＣサーバは、コマンドと応答メッセージとの対応を記述した設定ファイル１６を有し、クライアントからのコマンドに対し、設定ファイル１６に記述された応答メッセージを返す。
【００３９】
ダミーＳＭＴＰ（Ｓｉｍｐｌｅ  Ｍａｉｌ  Ｔｒａｎｓｆｅｒ  Ｐｒｏｔｏｃｏｌ）サーバ、つまりＳＭＴＰサーバとして振舞うダミーサーバプログラム１５は、メールを送信するまでの一連のコマンド、すなわち、ＨＥＬＯからＤＡＴＡまでのコマンドを処理する。ダミーＳＭＴＰサーバは、各コマンドに対応した応答メッセージを記述した設定ファイル１６を有し、コマンドが送られてきたとき、この設定ファイル１６を参照して応答メッセージを送信する。
【００４０】
ダミーＴＦＴＰ（Ｔｒｉｖｉａｌ  Ｆｉｌｅ  Ｔｒａｎｓｆｅｒ  Ｐｒｏｔｏｃｏｌ）サーバ、つまりＴＦＴＰサーバとして振舞うダミーサーバプログラム１５は、クライアントからのリクエストに応じてファイルを転送する。
ダミーＴＦＴＰサーバは、パケット種別と対応する応答メッセージのほかにパケット種別によってはクライアント側にファイルを送信する必要があるので、このファイルも指定した設定ファイル１６を備える。
【００４１】
以上例示した各ダミーサーバプログラム１５は、あたかも実際のサーバのように振舞う。これにより、マルウェアに本物のサーバと思い込ませ、挙句自由に活動させることで、マルウェアの挙動に関する各種多量の情報を得ることが可能となる。
【００４２】
次は、第３のログ種類である、パケットログについて説明する。このログは、サーバアクセスログと同様にダミーサーバ４によって記録される。
ダミーサーバ４のパケットログ収集手段２３は、マルウェア実行端末３からマルウェアが送信してくる通信パケットをすべて捕捉し、このパケットログをパケットログ記憶手段２０に格納する。マルウェアからのリクエストの中には、ダミーサーバプログラム１５がサポートしていないものも含まれうるが、パケットログ収集手段２３は、これらのログも記録する。
【００４３】
続いて、ログ解析部２の作用について説明する。
ログ解析端末５は、ダミーサーバ４のログ送信手段２４から送信されてくるログファイルを受信し、このログからマルウェアの挙動を抽出し、ファイルに結果を出力する。
しかし、ログ解析端末５は、対ダミーサーバＩ／Ｆ手段３０を介して収集したログのすべてについて、その挙動を抽出するのではない。マルウェアの挙動には一定のパターンがあるが、このパターンを抽出する前に、ログフィルタリング手段３１は、後述するフィルタ定義ファイルを参照して不要なログのフィルタリングを行い、必要なログのみをフィルタリング結果記憶手段２８に格納する。ログの中には、明らかにマルウェアとは無関係なものも含まれうるので、これらを対象とするのではログ解析時間の短縮が図れないからである。被害の未然防止、あるいは発生した被害を最小限にくい止めることを主要目的とする本システムにとって、迅速な対応はきわめて重要である。
【００４４】
フィルタ定義ファイルとは、フィルタリングのルールを定義したシグネチャ（定義情報）が任意個数分、記述されたファイルである。図７の矩形Ｆ１内は、1個のルールを記述したシグネチャのフォーマット例を示すものである。属性Ｉｄには、他のシグネチャＩＤと重複しない数値を、属性ｅｖｅｎｔには、フィルタリングのためのパターンを記述する。
【００４５】
図７の矩形Ｆ２内には、パターンを記述するフォーマットを例示する。
属性ｌｏｇには、フィルタリングのためのパターンを提供するログの名前を記述する。属性ｔｉｍｅに続いて、パターンが複数ある場合の、直前のパターンにマッチしたイベントとの時間差を指定できる。ここで、時間差のチェックが不要の場合は、０を指定しておけばよい。ｔｉｍｅに１秒を指定したときの動作を図８に示す。この図８では、“Ｐａｔｔｅｒｎ２”の直前のパターンが“Ｐａｔｔｅｒｎ１”であって、この２つのパターンにマッチしたイベントの時間差が１秒以上であれば、フィルタリングする。つまり、ビヘイビア抽出の対象外とする。一方、時間差が１秒未満であれば、フィルタリングされない。つまり、ビヘイビア抽出の対象とする。
属性ｃｏｎｔｅｎｔに続いて、フィルタリングを行いたいログの内容を記述する。図９に示すシグネチャの記述例では、ダブルクォーテーションで囲んだ内容をカンマ区切りで記述している。
【００４６】
ビヘイビア抽出手段３２は、フィルタリング結果記憶手段２８からビヘイビア抽出の対象となるログを取り出し、ビヘイビア定義ファイルを参照してビヘイビアの抽出をする。このビヘイビア定義ファイルは、ビヘイビアを定義したシグネチャが任意個数記述されたファイルであって、１つのシグネチャは、図１０の矩形Ｆ３内に示すようなフォーマットで記述される。このフォーマットは、属性名ｍｓｇに続いて出力メッセージが記述されていることを除くと、図７に例示したフィルタ定義のシグネチャと同様である。
【００４７】
ｍｓｇには、図１０の矩形Ｆ４内に例示するように、解析結果レポートに出力するメッセージを記述する。図１０では、ＸＭＬで記述しているが、これに限定しない。
以上のように、ビヘイビア定義ファイルを適用して収集されたデータは、例えばＸＭＬファイルに変換されて出力される。この出力ファイルは、解析結果記憶手段２９に格納される。
以上のように、フィルタ定義ファイルおよびビヘイビア定義ファイルを準備しておけば、ログの解析は人手を介さずにソフトウェアが自動的に行う。また、これらの定義ファイルは、テキストファイルとすることができるので、追加・変更などが容易にできる。
【００４８】
さらに、ダミーサーバ４上で送受信されたパケットデータのログをもとに、ネットワークイベント情報作成手段３３は、図１１に例示するネットワークイベント関連図のような統計情報を生成できる。
図１１のネットワークイベント関連図は、マルウェア実行端末３を介してアクセスされたサーバのＩＰアドレスおよびポート番号を表すとともに、矢印の太さによってパケットデータ量の多寡も表す。この図により、マルウェアは、どのようなサーバにアクセスを試みるのか、どのサーバへ送りつけるデータ量が多いのか、といった挙動の特徴を知ることができる。さらに、マルウェアが自分のＩＰアドレスを偽装していることがわかれば、図１１のように、破線の矢印で示すなどの視覚に訴える工夫をするとよい。
【００４９】
前記の実施形態において、ダミーサーバプログラム１５として列挙したダミーＤＮＳサーバ、ダミーＦＴＰサーバ等は例示であり、これらに限るものではない。
また、前記の実施形態において、ダミーサーバ４とログ解析端末５とはネットワーク接続しているが、ログ解析端末５はオフラインで動作するものであって、ＣＤなどの記憶媒体を用いてログデータが入力されるような構成としてもよい。
【産業上の利用可能性】
【００５０】
アンチウィルスベンダやＩＳＰ（ｉｎｔｅｒｎｅｔ  Ｓｅｒｖｉｃｅ  Ｐｒｏｖｉｄｅｒ）などが、マルウェアの挙動を迅速的確に把握し、自己の顧客などに情報提供するためのシステムとして利用できる。
【図面の簡単な説明】
【００５１】
【図１】本実施形態のシステム構成を示す図である。
【図２】本実施形態のマルウェア実行端末のブロック図である。
【図３】本実施形態のダミーサーバのブロック図である。
【図４】本実施形態のログ解析端末のブロック図である。
【図５】ＡＰＩ呼び出しログのフォーマットを例示する図である。
【図６】ＡＰＩ呼び出しログを収集する処理フローを示す図である。
【図７】フィルタ定義ファイルのフォーマットを例示する図である。
【図８】ログのフィルタリングを説明する図である。
【図９】フィルタ定義ファイルに記述したシグネチャを例示する図である。
【図１０】ビヘイビア定義ファイルのフォーマットを例示する図である。
【図１１】ネットワークイベント関連図を例示する図である。
【符号の説明】
【００５２】
１  ログ収集部
２  ログ解析部
３  マルウェア実行端末
４  ダミーサーバ
５  ログ解析端末
１１  バックアップ記憶手段
１２  ＡＰＩログ収集手段
１３  対ダミーサーバＩ／Ｆ手段
１４  システム回復手段
１５  ダミーサーバプログラム
２２  サーバアクセスログ収集手段
２３  パケットログ収集手段
２４  ログ送信手段
２７  定義ファイル記憶手段
３１  ログフィルタリング手段
３２  ビヘイビア抽出手段
３３  ネットワークイベント情報作成手段
【図１】
2007334536.tif 000003
【図２】
2007334536.tif 000004
【図３】
2007334536.tif 000005
【図４】
2007334536.tif 000006
【図５】
2007334536.tif 000007
【図６】
2007334536.tif 000008
【図７】
2007334536.tif 000009
【図８】
2007334536.tif 000010
【図９】
2007334536.tif 000011
【図１０】
2007334536.tif 000012
【図１１】
2007334536.tif 000013