(57)【要約】【課題】携帯端末においてマルウェアによる攻撃を効率的及び効果的に防止することを課題とする。【解決手段】情報処理装置は、仮想携帯端末におけるＯＳの動作に関する被制御ＯＳ情報を保持し、該被制御ＯＳ情報に基づいて仮想携帯端末で実行されるマルウェアのＯＳカーネルの読み込み専用領域への書き込み要求が行なわれることを捕捉し、該書き込み要求に対する禁止命令を発行する。加えて、情報処理装置は、仮想携帯端末で実行されるアプリケーションのセキュリティポリシをさらに保持し、被制御ＯＳ情報に基づいて仮想携帯端末で実行されるマルウェアのＯＳカーネルのＣＰＵへの間接操作命令が発行されることを捕捉し、セキュリティポリシに基づいて遷移先となる実行アドレスを制御する。【選択図】図２
2012022466.tif 000002
【特許請求の範囲】
【請求項１】
外部装置によって遠隔操作される該外部装置に対応する仮想外部装置と通信可能な情報処理装置であって、
前記仮想外部装置における基本ソフトの動作に関する基本ソフト情報を保持する保持部と、
前記基本ソフト情報に基づいて、前記仮想外部装置で実行される所定アプリケーションによって読み込み専用領域への書き込み要求が行なわれることを捕捉した場合に、該書き込み要求に対する禁止命令を発行する禁止命令発行部と
を有することを特徴とする情報処理装置。
【請求項２】
前記保持部は、前記仮想外部装置によって実行されるアプリケーションのセキュリティポリシに関するセキュリティポリシ情報をさらに保持し、
前記基本ソフト情報に基づいて、前記仮想外部装置で実行される所定アプリケーションによって中央処理装置への間接操作命令が発行されることを捕捉した場合に、前記セキュリティポリシ情報に基づいて、遷移先となる実行アドレスを制御する実行アドレス制御部をさらに有することを特徴とする請求項１に記載の情報処理装置。
【請求項３】
仮想アドレス空間における前記間接操作命令を含むカーネル領域が、物理アドレス空間での前記アプリケーションの用途と前記所定アプリケーションの用途とに多重化され、前記仮想アドレス空間に対応する仮想アドレスを前記物理アドレス空間に対応する物理アドレスに変換するアドレス変換部をさらに有し、
前記実行アドレス制御部は、前記アドレス変換部によって変換された物理アドレスで前記所定アプリケーションによる中央処理装置への間接操作命令が発行されることを捕捉した場合に、前記セキュリティポリシ情報に基づいて、遷移先となる実行アドレスを制御することを特徴とする請求項２に記載の情報処理装置。
【請求項４】
外部装置によって遠隔操作される該外部装置に対応する仮想外部装置と通信可能な情報処理装置としてのマルウェア対策方法であって、
前記仮想外部装置における基本ソフトの動作に関する基本ソフト情報に基づいて、前記仮想外部装置で実行される所定アプリケーションによって読み込み専用領域への書き込み要求が行なわれることを捕捉する書き込み要求捕捉ステップと、
前記書き込み要求捕捉ステップによって書き込み要求を捕捉した場合に、該書き込み要求に対する禁止命令を発行する禁止命令発行ステップと、
前記基本ソフト情報に基づいて、前記仮想外部装置で実行される所定アプリケーションによって中央処理装置への間接操作命令が発行されることを捕捉する間接操作命令発行捕捉ステップと、
前記間接操作命令発行捕捉ステップによって間接操作命令が発行されることが捕捉された場合に、前記仮想外部装置によって実行されるアプリケーションのセキュリティポリシに関するセキュリティポリシ情報に基づいて、遷移先となる実行アドレスを制御する実行アドレス制御ステップと
を含んだことを特徴とするマルウェア対策方法。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、情報処理装置及びマルウェア対策方法に関する。
【背景技術】
【０００２】
近年、スマートフォン等に代表される携帯端末が急速に普及しており、スマートフォンは、ノート型のＰＣ（Personal  Computer）等の代用になりつつある。かかる携帯端末においては、Ａｎｄｒｏｉｄ  ＯＳ（Operating  System）をはじめとするプラットフォームのオープン化によって、アプリケーションの利用や開発の自由度が高くなってきている。
【０００３】
ところが、携帯端末においては、自由度が高くなった反面、利用者の安心や安全については自己責任となるため、今後はＰＣと同様にマルウェアの脅威の顕在化が懸念されている。マルウェアから携帯端末を防御するものとしては、例えば、携帯端末向けのアンチウィルスソフトがある。
【０００４】
図５は、従来技術に係るマルウェアから携帯端末を防御する例を説明する図である。例えば、図５に示すように、携帯端末向けのアンチウィルスソフトは、該携帯端末にインストールされる。インストールされたアンチウィルスソフトは、携帯端末によってプログラムの配付元のサーバ装置等からダウンロードされ、インストールされたプログラムがマルウェアである場合に、該マルウェアを検知及び駆除する。このとき、携帯端末向けのアンチウィルスソフトは、携帯端末の処理リソースを利用してマルウェアを検知及び駆除する。
【先行技術文献】
【非特許文献】
【０００５】
【非特許文献１】nikkeiBPnet，“シマンテックが携帯電話機向けウイルス対策ソフト”，［online］，［平成２２年５月１８日検索］，インターネット＜http://bizboard.nikkeibp.co.jp/biztech/news/manu08q3/577122/?bzb_pt=0＞
【非特許文献２】ITpro，“F‐SecureとSonyEricsson，モバイルUI「UIQ」向けセキュリティで提携”，［online］，［平成２２年５月１８日検索］，インターネット＜http://bizboard.nikkeibp.co.jp/itpro/article/NEWS/20080124/291858/?bzb_pt=0＞
【発明の概要】
【発明が解決しようとする課題】
【０００６】
しかしながら、上述した従来技術では、携帯端末においてマルウェアによる攻撃を効率的及び効果的に防止することができないという課題がある。具体的には、携帯端末は、ＰＣ等と比較して計算速度、記憶容量及び電力等の面で大きく劣るため、マルウェア対策として携帯端末の本体にアンチウィルスソフトをインストールすることは現実的ではない。すなわち、従来技術では、マルウェア対策に伴う携帯端末への負荷が増大するためマルウェアによる攻撃を効率的に防止することができないとともに、マルウェアからの攻撃の防止において利用者の利便性が損なわれる可能性があるためマルウェアによる攻撃を効果的に防止することができない。
【０００７】
そこで、本願に開示する技術は、上記に鑑みてなされたものであって、携帯端末においてマルウェアによる攻撃を効率的及び効果的に防止することが可能である情報処理装置及びマルウェア対策方法を提供することを目的とする。
【課題を解決するための手段】
【０００８】
上述した課題を解決し、目的を達成するため、本願に開示する情報処理装置は、外部装置によって遠隔操作される該外部装置に対応する仮想外部装置と通信可能な情報処理装置であって、前記仮想外部装置における基本ソフトの動作に関する基本ソフト情報を保持する保持部と、前記基本ソフト情報に基づいて、前記仮想外部装置で実行される所定アプリケーションによって読み込み専用領域への書き込み要求が行なわれることを捕捉した場合に、該書き込み要求に対する禁止命令を発行する禁止命令発行部とを有する。
【０００９】
また、本願に開示するマルウェア対策方法は、外部装置によって遠隔操作される該外部装置に対応する仮想外部装置と通信可能な情報処理装置としてのマルウェア対策方法であって、前記仮想外部装置における基本ソフトの動作に関する基本ソフト情報に基づいて、前記仮想外部装置で実行される所定アプリケーションによって読み込み専用領域への書き込み要求が行なわれることを捕捉する書き込み要求捕捉ステップと、前記書き込み要求捕捉ステップによって書き込み要求を捕捉した場合に、該書き込み要求に対する禁止命令を発行する禁止命令発行ステップと、前記基本ソフト情報に基づいて、前記仮想外部装置で実行される所定アプリケーションによって中央処理装置への間接操作命令が発行されることを捕捉する間接操作命令発行捕捉ステップと、前記間接操作命令発行捕捉ステップによって間接操作命令が発行されることが捕捉された場合に、前記仮想外部装置によって実行されるアプリケーションのセキュリティポリシに関するセキュリティポリシ情報に基づいて、遷移先となる実行アドレスを制御する実行アドレス制御ステップとを含む。
【発明の効果】
【００１０】
本願に開示する情報処理装置及びマルウェア対策方法の一つの様態によれば、携帯端末においてマルウェアによる攻撃を効率的及び効果的に防止することができるという効果を奏する。
【図面の簡単な説明】
【００１１】
【図１】図１は、本実施例に係るシステム全体構成を説明する図である。
【図２】図２は、本実施例に係るデータセンターの構成例を示す図である。
【図３】図３は、本実施例に係るカーネル領域の多重化を説明する図である。
【図４】図４は、本実施例に係る全体処理の例を示す処理シーケンス図である。
【図５】図５は、従来技術に係るマルウェアから携帯端末を防御する例を説明する図である。
【発明を実施するための形態】
【００１２】
以下に添付図面を参照して、本願に開示する情報処理装置及びマルウェア対策方法の実施例を説明する。なお、以下の実施例により本発明が限定されるものではない。
【実施例】
【００１３】
［システム全体構成］
最初に、図１を用いて、本実施例に係るシステム全体構成を説明する。図１は、本実施例に係るシステム全体構成を説明する図である。
【００１４】
例えば、図１に示すように、本実施例に係るシステム全体構成では、携帯端末と、データセンターと、プログラムの配付元とを有する。このうち、携帯端末は、例えば、Virtual  Smartphone  over  IP技術（参考文献）等を利用し、該携帯端末の利用者、携帯端末のネットワークサービス提供者、或いは、外部の第三者等によって提供されるＰＣ、サーバ装置又はデータセンター等に仮想携帯端末を生成する。また、携帯端末は、遠隔操作ソフトを用いて、生成した仮想携帯端末を遠隔操作することで、プログラムの配付元からダウンロードしたプログラムを実行する。なお、参考文献については、“「Virtual  Smartphone  over  IP技術」，NTT技術ジャーナル，Vol．22，No．3，pp．45‐48，2010．”を参照すること。
【００１５】
データセンターでは、マルウェアによる攻撃から仮想携帯端末を保護するために、マルウェアの対策セキュリティシステムが実行される。かかるマルウェアの対策セキュリティシステムでは、仮想マシンモニタ（VMM：Virtual  Machine  Monitor）等が利用され、該ＶＭＭによって仮想携帯端末で実行されるマルウェアを制御する。
【００１６】
また、マルウェアの対策セキュリティシステムは、仮想携帯端末上で動作するＯＳを保護する仕組みを備え、仮想携帯端末上で実行されるプログラムのＯＳカーネルレベルの動作を制御する。具体的には、マルウェアの対策セキュリティシステムは、仮想携帯端末上で実行されるプログラムのＯＳカーネルのコード領域等の読み込み専用領域への書き込みを禁止する。加えて、マルウェアの対策セキュリティシステムは、仮想携帯端末上で実行されるプログラムのＯＳカーネルがＣＰＵ（Central  Processing  Unit）の間接操作命令を発行した場合に、セキュリティポリシに基づいて遷移先の実行アドレスを制御する。なお、セキュリティポリシは、例えば、携帯端末の利用者、若しくは仮想携帯端末の提供者等から与えられるものである。
【００１７】
このように、マルウェアの対策セキュリティシステムは、仮想携帯端末上で実行されるプログラムの制御フローにおける安全性を保持し、マルウェアがＯＳカーネルを弄って予想外の動作や悪意の行為を実行することを防止する。もちろん、本実施例に係るシステムでは、仮想携帯端末上でプログラムが実行されるので、マルウェアが実行された場合であっても携帯端末本体に被害が及ぶことはない。また、マルウェアは、該マルウェアが動作する仮想携帯端末の外部からマルウェアの対策セキュリティシステムによって制御されるため、上述した制御を回避することはできない。
【００１８】
［データセンターの構成］
次に、図２を用いて、本実施例に係るデータセンターの構成を説明する。図２は、本実施例に係るデータセンターの構成例を示す図である。なお、図２では、データセンター内に仮想携帯端末が構成され、該仮想携帯端末で実行されるプログラムを制御する場合を説明する。
【００１９】
例えば、図２に示すように、データセンター１００は、仮想携帯端末を示す仮想携帯ネットワーク端末Ａ１１１と、仮想携帯ネットワーク端末Ｂ１１２と、ＶＭＭ１２１と、制御仮想携帯ネットワーク端末１３１とを有する。また、データセンター１００は、携帯端末と通信可能なサーバ装置等の情報処理装置である。
【００２０】
上記構成において、携帯端末は、例えば、データセンター１００における仮想携帯ネットワーク端末Ａ１１１或いは仮想携帯ネットワーク端末Ｂ１１２等でアプリケーションソフトウェアを実行するために、該データセンター１００と通信を行なうスマートフォンである。また、携帯端末は、シンクライアントのクライアントプログラムと、携帯端末用のＯＳであるモバイルＯＳを有する。かかる通信には、例えば、ＶＮＣ（Virtual  Network  Computing）等のプロトコルを利用し、シンクライアントのクライアントプログラムを実行する。なお、図２では、携帯端末の仮想携帯端末が仮想携帯ネットワーク端末Ｂ１１２である場合を示している。
【００２１】
仮想携帯ネットワーク端末Ａ１１１は、例えば、携帯端末からの要求に基づき、携帯端末用のアプリケーションソフトウェアを実行する。図２において、仮想携帯ネットワーク端末Ａ１１１は、アプリケーションＡと、シンクライアントのサーバプログラムと、モバイルＯＳとを有する。マルウェア等を含むアプリケーションＡの動作は、ＶＭＭ１２１によって制御される。
【００２２】
同様に、仮想携帯ネットワーク端末Ｂ１１２は、例えば、携帯端末からの要求に基づき、携帯端末用のアプリケーションソフトウェアを実行する。図２において、仮想携帯ネットワーク端末Ｂ１１２は、アプリケーションＢと、シンクライアントのサーバプログラムと、モバイルＯＳとを有する。加えて、マルウェア等を含むアプリケーションＢの動作は、ＶＭＭ１２１によって制御される。
【００２３】
ＶＭＭ１２１は、例えば、仮想携帯端末で実行されるアプリケーションの動作を制御し、総合制御部１２１ａを有する。また、ＶＭＭ１２１は、仮想携帯端末である仮想携帯ネットワーク端末Ａ１１１や仮想携帯ネットワーク端末Ｂ１１２等におけるＯＳの動作に関する情報である被制御ＯＳ情報を保持している。被制御ＯＳ情報は、例えば、仮想携帯端末でのアプリケーション実行時におけるＯＳカーネルにおけるプロセス、システムコール及び間接操作命令に関する情報を含む。また、ＶＭＭ１２１は、仮想携帯端末で実行されるアプリケーションのセキュリティポリシに関する情報であるセキュリティポリシ情報を保持している。
【００２４】
総合制御部１２１ａは、例えば、被制御ＯＳ情報に基づいて、仮想携帯端末で実行されるアプリケーションのＯＳカーネルのコード領域等の読み込み専用領域への書き込み要求が行なわれることを捕捉する。そして、総合制御部１２１ａは、書き込み要求に対する禁止命令を発行する。
【００２５】
また、総合制御部１２１ａは、被制御ＯＳ情報に基づいて、仮想携帯端末で実行されるアプリケーションのＯＳカーネルがＣＰＵへの間接操作命令を発行することを捕捉する。間接操作命令については、例えば、間接呼び出しと間接ジャンプとが挙げられる。そして、総合制御部１２１ａは、セキュリティポリシ情報に基づいて、遷移先となる実行アドレスを制御する。すなわち、総合制御部１２１ａは、被制御ＯＳ情報に基づいて、アプリケーションＡやアプリケーションＢ等のアプリケーション単位でＯＳカーネルの動作を制御することになる。
【００２６】
制御仮想携帯ネットワーク端末１３１は、例えば、仮想携帯端末に対する各種制御を実行し、制御コマンドユーティリティ１３１ａと、制御デーモン１３１ｂとを有する。制御コマンドユーティリティ１３１ａは、例えば、被制御ＯＳ情報の登録や制御の開始を総合制御部１２１ａに通知するためのコマンドを提供する。また、かかるコマンドには、セキュリティポリシの雛形を生成するためのコマンド等も含まれる。
【００２７】
制御デーモン１３１ｂは、例えば、アプリケーションＡやアプリケーションＢ等のアプリケーションごとに対応するアプリケーションＡの制御プログラムやアプリケーションＢの制御プログラム等の制御アプリケーションを生成する。かかる制御アプリケーションは、アプリケーションＡやアプリケーションＢ等のアプリケーションの開始から終了時まで、実行ログを生成する等して総合制御部１２１ａの補助処理を行なう。
【００２８】
上記のように、データセンター１００では、アプリケーションＡやアプリケーションＢ等のアプリケーションごとに生成されたセキュリティポリシに基づいて、モバイルＯＳのカーネルによって発行された間接操作命令等を制御する。この間接操作命令を制御するため、本願では、例えば、２つの操作モードを提供する。２つの操作モードは、例えば、プロファイリングモードと制御モードとである。
【００２９】
利用者による操作により携帯端末は、プロファイリングモードで仮想携帯端末のアプリケーションを実行させる。これを受けて、データセンター１００では、総合制御部１２１ａとアプリケーションの制御プログラムとが連携し、間接操作命令に関する実行ログを記録する。そして、携帯端末の利用者は、生成された実行ログを利用してセキュリティポリシを生成する。すなわち、本実施例では、プロファイリングモードで収集された実行ログからセキュリティポリシの雛形を生成するコマンドを提供しているため、セキュリティポリシの記述の手間も軽減可能である。一方、制御モードでは、生成されたセキュリティポリシに基づいて、仮想携帯端末のモバイルＯＳのカーネルが発行した間接操作命令を制御する。
【００３０】
また、上述したように、ＯＳカーネルの動作を制御するために、データセンター１００では、メモリ上の読み込み専用領域の保護と間接操作命令の実行時制御とが行われる。この結果、データセンター１００は、コード領域やシステムコールテーブル等の読み込み専用データの改竄を防止できる。
【００３１】
読み込み専用領域が保護された上でも、ＯＳカーネルの動作を改竄する攻撃手法の１つに、機械語レベルの間接操作命令を改竄するものがある。但し、データセンター１００が制御対象とする間接操作命令は、間接呼び出し命令と間接ジャンプ命令とであり、プログラミング言語レベルの関数ポインタ経由の関数呼び出し等に対応する。間接操作命令は、レジスタ又はメモリ経由で次の命令の遷移先が決定されるので、攻撃者は、遷移先が保存されているレジスタ又はメモリ上のデータを改竄することで、攻撃用コードにリダイレクトさせる攻撃を実現している。すなわち、データセンター１００では、このような攻撃を無効化するために、ＯＳカーネルが間接操作命令を発行したときに遷移先を制御していることになる。
【００３２】
［カーネル領域の多重化］
次に、図３を用いて、本実施例に係るカーネル領域の多重化を説明する。図３は、本実施例に係るカーネル領域の多重化を説明する図である。本願では、仮想携帯端末のアプリケーションの動作によりＯＳカーネルが発行した間接操作命令を制御するために、該間接操作命令を含むカーネル領域を多重化する。
【００３３】
例えば、図３に示すように、本実施例に係るカーネル領域は、仮想携帯端末のＯＳによって操作される仮想アドレス（ｇＶＡ）に対応する物理メモリ上のアドレス（ｈＰＡ）に多重化されている。ＶＭＭ１２１は、仮想携帯端末のメモリ操作を管理しているため、仮想アドレスに対応する物理メモリ上のアドレスへの変換を制御できる。
【００３４】
要するに、カーネル領域を多重化することは、仮想携帯端末における被制御アプリケーションと、その他のアプリケーションで同一のＯＳカーネルの間接操作命令を実行しても、異なる物理頁が参照されることになる。換言すると、ＶＭＭ１２１は、被制御アプリケーションが間接操作命令を実行したときにのみ捕捉して実行時制御を行ない、他のアプリケーションが間接操作命令を実行したときには捕捉せずに実行時制御を行なわない。これらの結果、本実施例では、被制御アプリケーション以外のアプリケーション実行時の性能の低下を軽減することができる。
【００３５】
［処理シーケンス］
次に、図４を用いて、本実施例に係る全体処理を説明する。図４は、本実施例に係る全体処理の例を示す処理シーケンス図である。なお、図４では、携帯端末と、該携帯端末の仮想携帯端末と、仮想モニタ（ＶＭＭ）と、プログラムの配付元とを示している。
【００３６】
例えば、図４に示すように、携帯端末は、仮想携帯端末を遠隔操作可能であり、仮想モニタは、仮想携帯端末で実行されるアプリケーションの動作を監視及び制御している。この状態において、仮想携帯端末は、携帯端末による遠隔操作により、配付元からプログラムをダウンロードする（ステップＳ１０１）。
【００３７】
そして、仮想携帯端末は、ダウンロードしたプログラムをインストールする（ステップＳ１０２）。続いて、仮想携帯端末は、マルウェアからの読み込み専用領域への書き込み要求を行なう（ステップＳ１０３）。このとき、仮想モニタは、マルウェアからの読み込み専用領域への書き込み要求を捕捉し、該書き込みの禁止命令を発行する（ステップＳ１０４）。
【００３８】
また、仮想携帯端末は、マルウェアからのＣＰＵへの間接操作命令を発行する（ステップＳ１０５）。このとき、仮想モニタは、マルウェアからのＣＰＵへの間接操作命令が発行されたことを捕捉し、セキュリティポリシに基づいて遷移先となる実行アドレスを制御する（ステップＳ１０６）。
【００３９】
［実施例による効果］
上述したように、データセンター１００は、仮想携帯端末で実行されるマルウェアのＯＳカーネルの読み込み専用領域への書き込み要求や、ＣＰＵへの間接操作命令の発行等を捕捉し、書き込み要求を禁止したり遷移先のアドレスを制御したりする。この結果、データセンター１００は、携帯端末においてマルウェアによる攻撃を効率的及び効果的に防止することができる。
【００４０】
なお、上記文書中や図面中などで示した処理手順、制御手順、具体的名称、各種のデータやパラメータなどを含む情報（例えば、仮想携帯端末における書き込み要求と間接操作命令との実行順序等）については、特記する場合を除いて任意に変更することができる。
【００４１】
また、図示した各装置の各構成要素は、機能概念的なものであり、必ずしも物理的に図示の如く構成されていることを要しない。すなわち、各装置の分散・統合の具体的形態は、図示のものに限られず、その全部または一部を各種の負担や使用状況などに応じて、任意の単位で機能的または物理的に分散・統合することができる。さらに、各装置にて行われる各処理機能は、その全部または任意の一部が、ＣＰＵおよび当該ＣＰＵにて解析実行されるプログラムにて実現され、或いは、ワイヤードロジックによるハードウェアとして実現され得る。
【産業上の利用可能性】
【００４２】
以上のように、本発明に係る情報処理装置及びマルウェア対策方法は、外部装置によって遠隔操作される該外部装置に対応する仮想外部装置を監視する場合に有用であり、特に、マルウェアによる攻撃を効率的及び効果的に防止することに適する。
【符号の説明】
【００４３】
１００  データセンター
１１１  仮想携帯ネットワーク端末Ａ
１１２  仮想携帯ネットワーク端末Ｂ
１２１  ＶＭＭ
１２１ａ  総合制御部
１３１  制御仮想携帯ネットワーク端末
１３１ａ  制御コマンドユーティリティ
１３１ｂ  制御デーモン
【図１】
2012022466.tif 000003
【図２】
2012022466.tif 000004
【図３】
2012022466.tif 000005
【図４】
2012022466.tif 000006
【図５】
2012022466.tif 000007