(57)【要約】      （修正有）【課題】マルウェア解析検知システムにおいて、最適なホワイトリストの管理手法に関する仕組みを提供する。【解決手段】クライアント端末上のユーザから送信された擬陽性ファイルを基に、前記クライアント端末に含まれる確度が高いホワイトリスト一覧を作成・返信する、ホワイトリスト配布装置１１０は、既知の非マルウェアファイルが登録された既知非マルウェアＤＢ２４１を有し、既知非マルウェアＤＢ２４１を基にホワイトリスト一覧を作成することによって、クライアント端末の種別や、パッケージ間の相関性などの関連ＤＢ２４２を利用して、各クライアント端末に配付するホワイトリストを最適化する。【選択図】図２
2013109553.tif 000002
【特許請求の範囲】
【請求項１】
クライアント端末上のユーザから送信された擬陽性ファイルを基に、前記クライアント端末に含まれる確度が高いホワイトリスト一覧を作成・返信する、ホワイトリスト配布装置は、
既知の非マルウェアファイルが登録された既知非マルウェアＤＢと、
前記既知非マルウェアＤＢを基に前記ホワイトリスト一覧を作成するホワイトリスト構築手段とを有することを特徴とするホワイトリスト配信装置。
【請求項２】
前記既知非マルウェアＤＢに、前記既知の非マルウェアファイルのパッケージが登録されており、前記ホワイトリスト構築手段が、パッケージを基に前記ホワイトリストを作成することを特徴とする請求項１に記載のホワイトリスト配信装置。
【請求項３】
前記ホワイトリスト構築手段は、前記擬陽性ファイルと同一のパッケージに含まれるファイルを前記ホワイトリストに含めることを特徴とする請求項２に記載のホワイトリスト配信装置。
【請求項４】
２種類のパッケージ間において、一方のパッケージが前記クライアント端末に存在する場合に、もう一方のパッケージが前記クライアント端末に存在する可能性を、相関値として保持するパッケージ相関性ＤＢを持ち、かつ、前記ホワイトリスト構築手段が、前記パッケージ相関性ＤＢを基に前記ホワイトリストを作成することを特徴とする請求項３に記載のホワイトリスト配信装置。
【請求項５】
前記ホワイトリスト構築手段は、前記擬陽性ファイルが含まれるパッケージとの相関値が一定値以上であるパッケージに含まれるファイルを、前記ホワイトリストに含めることを特徴とする請求項４に記載のホワイトリスト配信装置。
【請求項６】
前記既知非マルウェアＤＢに、前記の既知の非マルウェアファイルがインストールされる端末の種別が登録されており、前記ホワイトリスト構築手段が、前記種別を基に、前記ホワイトリストを構築することを特徴とする請求項５に記載のホワイトリスト配信装置。
【請求項７】
前記ホワイトリスト構築手段は、種別が、前記擬陽性ファイルを送信した前記クライアント端末の種別と同一であるファイルを、前記ホワイトリストに含むことを特徴とする請求項６に記載のホワイトリスト配信装置。
【請求項８】
前記ホワイトリスト構築手段は、前記擬陽性ファイルが含まれるパッケージ及び当該パッケージとの相関値が一定値以上であるパッケージの一覧と、前記ユーザの対応付けを、ユーザ管理ＤＢに登録することを特徴とする請求項７に記載のホワイトリスト配信装置。
【請求項９】
前記クライアント端末からのホワイトリスト配信要求を受けて、前記クライアント端末に対応する前記ホワイトリストを作成・配信する、ホワイトリスト配信手段を持つことを特徴とする請求項８に記載のホワイトリスト配信装置。
【請求項１０】
前記ホワイトリスト配信手段は、前記ホワイトリスト配信要求に含まれる前記ユーザが持つパッケージを前記ユーザ管理ＤＢから取得し、前記既知非マルウェアＤＢ内に含まれる、当該パッケージ内のファイルのうち、前記ホワイトリスト配信要求に含まれる種別と同じ種別をもつファイルを、前記ホワイトリストとして配信することを特徴とする請求項９に記載のホワイトリスト配信装置。
【請求項１１】
情報処理装置を用いて、クライアント端末上のユーザから送信された擬陽性ファイルを基に、前記クライアント端末に含まれる確度が高いホワイトリスト一覧を作成・返信するホワイトリスト配布方法は、
既知の非マルウェアファイルのパッケージが登録された既知非マルウェアＤＢを保持し、
前記既知非マルウェアＤＢの前記パッケージを基に、前記擬陽性ファイルと同一のパッケージに含まれるファイルを前記ホワイトリストに含めることによって、前記ホワイトリスト一覧を作成するホワイトリスト構築手段とを有することを特徴とするホワイトリスト配信方法。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、マルウェア感染の対策として、特に、ホワイトリストを用いて既知の非マルウェアをフィルタリングする技術に関する。
【背景技術】
【０００２】
マルウェア(malware)は、コンピュータプログラムの一種であり、コンピュータ端末内で実行されるとファイルの削除や情報漏洩といった、ユーザにとって有害な活動を行うものである。マルウェアが実行されている端末のことを、一般にマルウェア感染端末と呼ぶ。今日では、日々数千から数万の新種のマルウェアが出現しており、マルウェア対策手段の確立が、大きな社会問題となっている。
【０００３】
マルウェア感染の対策として、各クライアント端末において、パターンファイルマッチングによるブラックリスト方式が一般的であり、現在市場に多くのアンチウィルスソフトが流通している。
【０００４】
ただし、アンチウィルスソフトの多くはブラックリスト方式を採用しており、新種のマルウェアの検知が困難である。新種マルウェアに対する対策として、特許文献１のように専用の計算機環境を用いてプログラムの挙動を詳細に解析して、マルウェアであるかどうかを判定するマルウェア解析サーバがある。
【０００５】
マルウェア解析サーバの解析には時間がかかるため、クライアント端末内の全てのファイルを解析するのは非効率的である。このため、クライアント端末内は、既知の非マルウェアの一覧であるホワイトリストを保持し、ホワイトリストに載っていないプログラムのみ、マルウェア解析サーバで解析を行う。
【０００６】
ホワイトリストのフィルタリングにおける課題として、クライアント端末で、大規模なホワイトリストを保持するのは、検索時間・保存容量の点で、非効率的である。このため、特許文献２では、クライアント端末内で、解析対象となるファイルが発見された場合、大規模なホワイトリストを保持するホワイトリスト配信サーバに、ファイル照合の問い合わせを行い、ホワイトリスト配信サーバが保持していないファイルのみを、マルウェア解析サーバで解析する。ファイルがサーバに保持されていた場合は、クライアント端末側のホワイトリストに登録され、再度の問合せは発生しなくなる。
【先行技術文献】
【特許文献】
【０００７】
【特許文献１】特開２００９−３７５４５号公報
【特許文献２】特開２０１０−１９８０５４号公報
【発明の概要】
【発明が解決しようとする課題】
【０００８】
しかし、この方法では、新しいファイルが発見されるたびに、ホワイトリスト配信サーバとの通信が発生するため、クライアント端末・ホワイトリスト配信サーバの処理負荷が高くなるという問題点がある。また、ユーザが、複数種類のクライアント端末を利用する場合、ユーザが各端末で同じアプリケーションやプログラムパッケージを使用している場合でも、クライアント端末ごとに照合問合せが行われ、非効率である。
【０００９】
本発明の目的は、既知の非マルウェアの効率的なフィルタリングが可能となり、マルウェア解析システムの効率的な運用が可能となるプログラムのホワイトリスト配信装置及び方法を提供することにある。
【課題を解決するための手段】
【００１０】
クライアント端末から要求を受けると、ホワイトリスト配信サーバは、クライアント端末の種別（ＰＣ、モバイル端末）や、パッケージ間の相関性（どのアプリケーションとどのアプリケーションが、同じに利用されることが多いか）などの情報を基に、問合せ元のクライアント端末に存在する可能性が高いファイル一覧を作成し、ホワイトリストとして、各クライアント端末に配信する。
【発明の効果】
【００１１】
本発明によれば、既知の非マルウェアの効率的なフィルタリングが可能となり、マルウェア解析システムの効率的な運用が可能となる。
【図面の簡単な説明】
【００１２】
【図１】本実施形態にかかるホワイトリスト最適化システムの構成を示す図である。
【図２】ホワイトリスト配信サーバの主要な物理構成を示す図である。
【図３】ホワイトリスト配信サーバの機能的な構成、および物理的な各装置との関係を示す図である。
【図４】固定端末、およびモバイル端末の主要な物理構成を示す図である。
【図５】固定端末、およびモバイル端末の機能的な構成、および物理的な各装置との関係を示す図である。
【図６】非マルウェアファイルＤＢ内のレコードの例を示す図である。
【図７】パッケージ相関性ＤＢ内のレコードの例を示す図である。
【図８】ユーザ管理ＤＢ内のレコードの例を示す図である。
【図９】ローカルホワイトリストＤＢ内のレコードの例を示す図である。
【図１０】ホワイトリスト構築部における処理のフローチャートである。
【図１１】ホワイトリスト配信部における処理のフローチャートである。
【図１２】擬陽性ファイル送信部における処理のフローチャートである。
【図１３】ホワイトリスト要求部における処理のフローチャートである。
【発明を実施するための形態】
【００１３】
以下に添付図面を参照して、実施形態を詳細に説明する。説明では、情報処理装置、ホスト、端末を同義の用語として用いる。
【００１４】
図１は、本実施形態にかかるホワイトリスト最適化システム１０の構成を示す図である。図１に示すように、ホワイトリスト最適化システム１０は、ホワイトリスト配信サーバ１１０、固定端末１２０、モバイル端末１３０、ネットワーク１００を含んで構成されている。ネットワーク１００は、ＬＡＮ（Local Area Network）など、企業や教育機関などの組織単位で管理される比較的小規模のネットワークに加えて、ＷＡＮ（Wide Area Network）やインターネットなどが含まれる。
【００１５】
固定端末１２０は、企業や教育機関などのオフィスや自宅で利用するデスクトップ型、ノートＰＣ型の端末などを含み、モバイル端末１３０は、固定端末以外のタブレットＰＣやスマートフォン、携帯端末などが含まれる。
【００１６】
図２は、ホワイトリスト配信サーバ１１０の主要な物理構成を示す図である。図２に示すように、ホワイトリスト配信サーバ１１０は、物理的には、本体装置１１０と入出力装置２３０とを含んで構成されている。入出力装置２３０は、ディスプレイ等の表示装置とキーボード等の入力装置を含んで構成され、利用者の指示、あるいは後述する本体装置１１０のＣＰＵ(Central Processing Unit)２１０が処理を行った結果等を表示する。
【００１７】
なお、入出力装置２３０の入力装置と出力装置とは、実際には別個の場合もあるが、これらの各装置が行う処理は主要な部分ではないため、これらをまとめて入出力装置２３０として示している。また、以下の説明では、ＣＰＵ２１０が処理を行った結果等を入出力装置２３０に表示する前提で説明しているが、例えばネットワーク１００により接続された他の装置等に表示させることとしてもよい。
【００１８】
本体装置１１０は、ＣＰＵ２１０とメモリ２２０と記憶装置２４０とインタフェース２５０とバス２６０とを含んで構成されている。
【００１９】
ＣＰＵ２１０は、プロセッサ等の演算装置から構成され、ホワイトリストを配信するホワイトリスト配信プログラム２２１の実行や、本体装置１１０に含まれる各装置の動作を制御する。なおＣＰＵ２１０は、時計を掲示するクロックを内部に備えている。
【００２０】
メモリ２２０は、ＲＡＭ(Random Access Memory)およびＲＯＭ(Read Only Memory)等の記憶媒体から構成されている。ＲＯＭには、ホワイトリスト配信プログラム２２１があらかじめ記憶されている。そして、このプログラム２２１がＣＰＵ２１０によって実行されることによって、ホワイトリストを配信する。ＣＰＵ２１０が実行する具体的な機能については後述する。
【００２１】
記憶装置２４０は、ＨＤＤ（Hard Disk Drive）等から構成され、非マルウェアファイルＤＢ２４１とパッケージ相関性ＤＢ２４２とユーザ管理ＤＢ２４３とを記憶する。非マルウェアファイルＤＢ２４１には、マルウェアでは無いことが確認されている、所謂非マルウェアのファイル名やハッシュ値、ファイルが含まれるパッケージに関する情報が格納されている。パッケージ相関性ＤＢ２４２には、ある２つのパッケージについて、１つのパッケージがクライアント端末にインストールされている場合に、もう一方のパッケージがインストールされている割合を示す。ユーザ管理ＤＢ２４３は、各ユーザが保持しているクライアント端末内にインストールされているパッケージを記憶する。これらのＤＢの具体的な内容については後述する。
【００２２】
インタフェース２５０は、ＮＩＣ(Network Interface Card)等から構成され、固定端末１２０、モバイル端末１３０から本体装置１１０への通信を媒介する。
【００２３】
バス２６０は、本体装置１１０に含まれる各装置を接続し、これらの装置間における種々のデータの受け渡しを行う。
【００２４】
図３は、図２に示した本体装置１１０の機能的な構成、および物理的な各装置との関係を示す図である。図３に示すように、ＣＰＵ２１０は、ホワイトリスト構築部３１０とホワイトリスト配信部３２０とを含んで構成されている。これらの各部の機能は、ＣＰＵ２１０によるホワイトリスト配信プログラム２２１の実行によって具現化される。
【００２５】
ホワイトリスト構築部３１０は、固定端末１２０、またはモバイル端末１３０から擬陽性ファイル（マルウェアである可能性がある、不審ファイル）を取得し、非マルウェアファイルＤＢ２４１に登録済みか確認する。登録済の場合は、ファイルが含まれるパッケージ情報を、ユーザ管理ＤＢ２４３に登録する。さらに、ユーザから取得されたファイルを含むパッケージ内のファイル、及び、パッケージ相関ＤＢ２４２を参照し、当該パッケージが格納されたクライアント端末内に存在する可能性が高いパッケージに含まれるファイルを、ホワイトリスト追加メッセージとして、配信する。
【００２６】
ホワイトリスト配信部３２０は、固定端末１２０、またはモバイル端末１３０からホワイトリスト配信要求を受信し、ユーザ管理ＤＢ２４３から配信するパッケージを取得し、非マルウェアファイルＤＢ２４１からパッケージに含まれるファイルを含む、ホワイトリスト追加メッセージを配信する。
【００２７】
図４は、固定端末１２０、およびモバイル端末１３０の主要な物理構成を示す図である。図４に示すように、固定端末１２０、およびモバイル端末１３０は、物理的には、本体装置１２０、１３０と入出力装置４３０とを含んで構成されている。入出力装置４３０は、ディスプレイ等の表示装置とキーボード等の入力装置を含んで構成され、利用者の指示、あるいは後述する本体装置１２０、１３０のＣＰＵ(Central Processing Unit)４１０が処理を行った結果等を表示する。
【００２８】
なお、入出力装置４３０の入力装置と出力装置とは、実際には別個の場合もあるが、これらの各装置が行う処理は主要な部分ではないため、これらをまとめて入出力装置４３０としてしめしている。また、以下の説明では、ＣＰＵ４１０が処理を行った結果等を入出力装置４３０に表示する前提で説明しているが、例えばネットワーク１００により接続された他の装置等に表示させることとしてもよい。
【００２９】
本体装置１２０、１３０は、ＣＰＵ４１０とメモリ４２０と記憶装置４４０とインタフェース４５０とバス４６０とを含んで構成されている。
【００３０】
ＣＰＵ４１０は、プロセッサ等の演算装置から構成され、擬陽性ファイルを送信する擬陽性ファイル送信プログラム４２１の実行や、本体装置１２０、１３０に含まれる各装置の動作を制御する。なおＣＰＵ４１０は、時計を掲示するクロックを内部に備えている。
【００３１】
メモリ４２０は、ＲＡＭ(Random Access Memory)およびＲＯＭ(Read Only Memory)等の記憶媒体から構成されている。ＲＯＭには、擬陽性ファイル送信プログラム４２１があらかじめ記憶されている。そして、このプログラム４２１がＣＰＵ４１０によって実行されることによって、擬陽性ファイルを送信する。ＣＰＵ４１０が実行する具体的な機能については後述する。
【００３２】
記憶装置４４０は、ＨＤＤ（Hard Disk Drive）等から構成され、ローカルホワイトリストＤＢ４４１を記憶する。このＤＢの具体的な内容については後述する。
【００３３】
インタフェース４５０は、ＮＩＣ(Network Interface Card)等から構成され、ホワイトリスト配信サーバ１１０から、固定端末１２０、モバイル端末１３０への通信を媒介する。
【００３４】
バス４６０は、本体装置１２０、１３０に含まれる各装置を接続し、これらの装置間における種々のデータの受け渡しを行う。
【００３５】
図５は、固定端末１２０、およびモバイル端末１３０の機能的な構成、および物理的な各装置との関係を示す図である。図５に示すように、ＣＰＵ４１０は、擬陽性ファイル送信部５１０とホワイトリスト要求部５２０とを含んで構成されている。これらの各部の機能は、ＣＰＵ４１０による擬陽性ファイル送信プログラム２２１の実行によって具現化される。擬陽性ファイル送信部５１０は、本体端末１２０、１３０における検知結果から検知した擬陽性ファイルが、ローカルホワイトリストＤＢ４４１に登録済みか確認し、未登録の場合は、ホワイトリスト配信サーバ１１０へ擬陽性ファイルを送信する。ホワイトリスト要求部５２０は、ホワイトリスト配信サーバ１１０から受信したホワイトリスト追加メッセージからローカルホワイトリストＤＢ４４１へ追加する。
【００３６】
図６は、非マルウェアファイルＤＢ２４１内のレコードの例を示す図である。各レコードは、ある１つの既知の非マルウェアに関する情報を記録している。ファイル名６０１は、ファイル名を、パッケージ６０２は、ファイル含むパッケージを、種別６０３は、ファイルがインストールされている端末の種別（図６では、固定端末、モバイル端末の何れか）を示す。ハッシュ値６０４は、ファイルデータのハッシュ値を示す。
【００３７】
一般に、各パッケージ６０２は、使用される端末の種類に応じて、異なったファイル構成をとる。このため、固定端末とモバイル端末が、同一のパッケージ６０２を使用している場合でも、各端末にインストールされるファイルは異なる。図６の例では、File−A、File−B、File−Cは、同じパッケージ、Pack−Xに属している。このうち、File−AとFile−Bは、Pack−Xが固定端末内で使用される場合に、インストールされる。一方、File−Cは、Pack−Xが、モバイル端末内で使用される場合に、インストールされる。
【００３８】
非マルウェアファイルＤＢ２４１へレコードを登録する際は、セキュリティベンダなどの外部組織が提供する、マルウェアではないことが確定的であるファイルの情報を用いる。
【００３９】
図７は、パッケージ相関性ＤＢ２４２内のレコードの例を示す図である。パッケージ（１）７０１とパッケージ（２）７０２は、相関関係にあるパッケージを、相関値７０３は各パッケージ（１）７０１、パッケージ（２）７０２間の相関性を示す。相関値７０３が高いほど、パッケージ（１）７０１がインストールされているパッケージに、パッケージ（２）７０２がインストールされている可能性が高くなる。相関値７０３の値は、0.0から1.0までの範囲を取る。
【００４０】
図７の例では、パッケージ（１）７０１がPack−XとPack−Yであり、パッケージ（２）７０２がPack−YとPack−Zであり、相関値７０３が0.9と0.5と0.3である。
【００４１】
パッケージ（１）７０１とパッケージ（２）７０２に記載されるパッケージ名が入れ替わっている場合、相関値７０３の値は、同じでもよいし、異なっていてもよい。例えば、図7の例では、パッケージ（１）７０１の値がPack−X、パッケージ（２）７０２の値がPack−Yの時、相関値７０３は０．９となるが、パッケージ（１）７０１の値がPack−Y、パッケージ（２）７０２の値がPack−Xの場合、相関値７０３は０．１となる。
【００４２】
相関値７０３の登録は、ホワイトリスト配信サーバ１１０の管理者が行う。
【００４３】
図８は、ユーザ管理ＤＢ２４３内のレコードの例を示す図である。ユーザ８０１は、ユーザは一意に識別するための名称を、パッケージ８０２は、利用者が利用しているパッケージの一覧を示す。図８の例では、ユーザ８０１：Ｓとユーザ８０１：Ｔは、Pack−XとPack−Yを利用している。ユーザ８０１：Ｕは、Pack−Zを利用している。
【００４４】
図９は、ローカルホワイトリストＤＢ４４１内のレコードの例を示す図である。ファイルパス９０１は、クライアント端末内での非マルウェアファイルの保管先を示すファイルパスを、ハッシュ値９０２は、ファイルデータのハッシュ値を示す。図９の例では、ファイルパス９０１がC:\Program\a.exeで、ハッシュ値９０２がxxxxであるレコードと、ファイルパス９０１がC:\temp\b.exeで、ハッシュ値９０２がyyyyであるレコードがある。ファイルパス９０１とハッシュ値９０２は、ホワイトリスト配信サーバ１１０からのホワイトリスト追加メッセージを基に登録される。
【００４５】
図１０は、ホワイトリスト構築部３１０における処理のフローチャートである。ホワイトリスト構築部３１０は、固定端末１２０、モバイル端末１３０から、ユーザ名、端末の種別、擬陽性ファイルを受信する（ステップ３１００１）。ここでは、ユーザ名としてS、端末の種類として固定端末擬陽性ファイルとしてFile−Aを、受信したとする。
【００４６】
次に、受信したファイル、即ち、取得した擬陽性ファイルが、非マルウェアファイルＤＢ２４１に登録されているか否かを確認する（ステップ３１００２）。擬陽性ファイルが非マルウェアファイルＤＢ２４１に登録済されていない場合は、処理を終了する（ステップ３１００２：ＮＯ）。一方、擬陽性ファイルが非マルウェアファイルＤＢ２４１に登録されている場合は、処理を継続する（ステップ３１００３：ＹＥＳ）。File−Aは、図６非マルウェアファイルＤＢに登録されているので、処理は継続する。
【００４７】
次に、非マルウェアファイルＤＢ２４１から擬陽性ファイルを含むパッケージを取得する（ステップ３１００３）。ここではFile−Aを含むパッケージとして、Pack−Xを取得したとする。次に、非マルウェアファイルＤＢ２４１から、ステップ３１００３で取得したパッケージに含まれ、かつ、種別が、受信した種別情報と同じであるファイルを取得する（ステップ３１００４）。ここではPack−Xに含まれ、かつ種別が固定端末である、File−Bを取得する。
【００４８】
次に、パッケージ相関性ＤＢ２４２から、ステップ３１０００３で取得したパッケージとの相関が閾値以上であるパッケージを取得する（ステップ３１００５）。閾値は、管理者が任意に設定するものとする。ここでは、閾値を０．８として、Pack−Xと相関が高いパッケージとして、Pack−Yを取得したとする。次に、ステップ３１００５で取得したパッケージに含まれ、かつ、種別が受信した種別情報と同じであるファイルを取得する（ステップ３１００６）。ここではPack−Yに含まれ、種別が固定端末であるFile−Dを取得する。
【００４９】
次に、ユーザ登録ＤＢ２４３へ利用者毎のパッケージを設定する（ステップ３１００７）。ここではユーザSのパッケージとして、Pack−XとPack−Yを設定する。
【００５０】
最後に、受信したファイル、及びステップ３１００４・ステップ３１００６で取得したファイル名及びハッシュ値を、ホワイトリスト追加メッセージとして、クライアント端末に返信する（ステップ３１００８）。ここでは、File−A、File−B、File−Dのファイル名、ハッシュ値を、ホワイトリスト追加メッセージとして返信する。
【００５１】
図１１は、ホワイトリスト配信部３２０における処理のフローチャートである。ホワイトリスト配信部３２０は、固定端末１２０、モバイル端末１３０からホワイトリスト配信要求を受信する（ステップ３２００１）。ここではユーザＳが、種別がモバイル端末であるの配信要求を受信したとする。
【００５２】
次に、ユーザ登録ＤＢ２４３から、配信のあったユーザのパッケージを取得する（ステップ３２００２）。ここではユーザＳのパッケージ、Pack−X、Pack−Yを取得したとする。
【００５３】
次に、非マルウェアファイルＤＢからステップ３２００２で取得したパッケージに含まれ、かつ種別が配信要求と一致するファイルを取得する（ステップ３２００３）。ここではPack−XまたはPack−Yに含まれ、さらに種別がモバイル端末であるファイルとして、File−Cを取得したとする。
【００５４】
最後に、ステップ３２００３で取得したファイルのファイル名とハッシュ値を含むホワイトリスト通知メッセージを要求元のクライアント端末に送信し、処理を終了する（ステップ３２００４）。ここではFile−Cのファイル名及びハッシュ値を含むホワイトリスト追加メッセージを、ユーザＳのモバイル端末に送信する。
【００５５】
図１２は、クライアント端末における、擬陽性ファイル送信部５１０における処理のフローチャートである。擬陽性ファイル送信部５１０は、クライアント端末１３０内を検索し、擬陽性ファイルを検出する（ステップ５１００１）。
【００５６】
次に、ローカルホワイトリストＤＢ４４１に擬陽性ファイルが登録されているかを確認する（ステップ５１００２）。擬陽性ファイルがローカルホワイトリストＤＢ４４１に登録済みの場合は、処理を終了する（ステップ５１００２：ＹＥＳ）。一方、擬陽性ファイルがローカルホワイトリストＤＢ４４１に未登録の場合は、処理を継続する（ステップ５１００２：ＮＯ）。
【００５７】
次に、擬陽性ファイルのファイルパス、ハッシュ値、種別をホワイトリスト配信サーバ１１０へ送信する（ステップ５１００３）。
【００５８】
次に、ホワイトリスト配信サーバ１１０からホワイトリスト追加メッセージを受信する（ステップ５１００４）。最後に、ステップ５１００４で受信したホワイトリスト追加メッセージ内のファイル名、ハッシュ値をローカルホワイトリストＤＢ４４１へ追加し、処理を終了する（ステップ５１００５）。
【００５９】
図１３は、ホワイトリスト要求部５２０における処理のフローチャートである。ホワイトリスト要求部５２０は、ホワイトリスト配信サーバ１１０に、ホワイトリスト配信要求を行う（ステップ５２００１）。
【００６０】
次に、ホワイトリスト配信サーバ１１０からホワイトリスト追加メッセージを受信する（ステップ５２００２）。最後に、ステップ５２００２で受信したホワイトリスト追加メッセージをもとにローカルホワイトリストＤＢ４４１へホワイトリストを追加し、処理を終了する（ステップ５２００３）。
【符号の説明】
【００６１】
１０：ホワイトリスト最適化システム、１１０：ホワイトリストは尾新サーバ、１２０：固定端末、１３０：モバイル端末、１００：ネットワーク
【図１】
2013109553.tif 000003
【図２】
2013109553.tif 000004
【図３】
2013109553.tif 000005
【図４】
2013109553.tif 000006
【図５】
2013109553.tif 000007
【図６】
2013109553.tif 000008
【図７】
2013109553.tif 000009
【図８】
2013109553.tif 000010
【図９】
2013109553.tif 000011
【図１０】
2013109553.tif 000012
【図１１】
2013109553.tif 000013
【図１２】
2013109553.tif 000014
【図１３】
2013109553.tif 000015