(57)【特許請求の範囲】
【請求項１】
コンピュータウィルスの検出に用いられるコンピュータウィルス固有情報を抽出するコンピュータウィルス固有情報抽出装置であって、
コンピュータウィルスであると特定された実行ファイルを取得する取得手段と、
実行ファイルにおいて固有であるとみなし得る情報の格納領域であると予め決められた特定領域に含まれる情報を、前記取得手段により取得された実行ファイルからコンピュータウィルス固有情報として抽出する抽出手段とを有し、
前記特定領域が前記実行ファイルのヘッダ領域におけるヘッダ項目Ｉｍｐｏｒｔ  Ｔａｂｌｅであることを特徴とするコンピュータウィルス固有情報抽出装置。
【請求項２】
前記抽出手段は、前記実行ファイルが前記特定領域より前にオフセット領域を含む場合に、前記オフセット領域のオフセット値に基づいて、前記実行ファイルにおける特定領域の先頭位置を特定することを特徴とする請求項１記載のコンピュータウィルス固有情報抽出装置。
【請求項３】
前記取得手段は、電子メールで転送されるエンコード形式の実行ファイルを取得するとともに、前記抽出手段は、前記取得手段により取得されたエンコード形式の実行ファイルにおける特定領域の情報をコンピュータウィルス固有情報として抽出することを特徴とする請求項１または２に記載のコンピュータウィルス固有情報抽出装置。
【請求項４】
前記取得手段及び前記抽出手段は、ｂａｓｅ６４のエンコード形式でエンコードされた実行ファイルを扱うことを特徴とする請求項３に記載のコンピュータウィルス固有情報抽出装置。
【請求項５】
前記抽出手段は、前記エンコード形式の実行ファイルに対応したエンコード前の実行ファイルにおいて固有であるとみなし得る情報の格納領域の先頭位置がｎ＋１バイト目であり、大きさがｍバイトである場合に、前記エンコード形式の実行ファイルの先頭からｎ／３×４の小数点以下切り捨て値に１を加えた値の位置の第１のキャラクタから（ｎ＋ｍ）／３×４の小数点以下切り捨て値に１を加えた値の位置の第２のキャラクタまでの領域を前記特定領域とし、前記第１のキャラクタから前記第２のキャラクタまでのキャラクタ列をコンピュータウィルス固有情報として抽出することを特徴とする請求項４に記載のコンピュータウィルス固有情報抽出装置。
【請求項６】
前記抽出手段は、抽出したコンピュータウィルス固有情報を複数組み合わせて、新たなコンピュータウィルス固有情報とすることを特徴とする請求項１乃至５のいずれかに記載のコンピュータウィルス固有情報抽出装置。
【請求項７】
前記実行ファイルは、所定の実行可能圧縮形式で圧縮された実行ファイルであることを特徴とする請求項１乃至６のいずれかに記載のコンピュータウィルス固有情報抽出装置。
【請求項８】
前記実行ファイルは、ＰＥ形式であることを特徴とする請求項７に記載のコンピュータウィルス固有情報抽出装置。
【請求項９】
コンピュータウィルスの検出に用いられるコンピュータウィルス固有情報を抽出するコンピュータウィルス固有情報抽出装置におけるコンピュータウィルス固有情報抽出方法であって、
コンピュータウィルスであると特定された実行ファイルを取得する取得ステップと、
実行ファイルにおいて固有であるとみなし得る情報の格納領域であると予め決められた特定領域に含まれる情報を、前記取得手段により取得された実行ファイルからコンピュータウィルス固有情報として抽出する抽出ステップとを有し、
前記特定領域が前記実行ファイルのヘッダ領域におけるヘッダ項目Ｉｍｐｏｒｔ  Ｔａｂｌｅであることを特徴とするコンピュータウィルス固有情報抽出方法。
【請求項１０】
前記抽出ステップは、前記実行ファイルが前記特定領域より前にオフセット領域を含む場合に、前記オフセット領域のオフセット値に基づいて、前記実行ファイルにおける特定領域の先頭位置を特定することを特徴とする請求項９記載のコンピュータウィルス固有情報抽出方法。
【請求項１１】
前記取得ステップは、電子メールで転送されるエンコード形式の実行ファイルを取得するとともに、前記抽出ステップは、前記取得ステップにより取得されたエンコード形式の実行ファイルにおける特定領域の情報をコンピュータウィルス固有情報として抽出することを特徴とする請求項９または１０記載のコンピュータウィルス固有情報抽出方法。
【請求項１２】
前記取得ステップ及び前記抽出ステップは、ｂａｓｅ６４のエンコード形式でエンコードされた実行ファイルを扱うことを特徴とする請求項１１に記載のコンピュータウィルス固有情報抽出方法。
【請求項１３】
前記抽出ステップは、前記エンコード形式の実行ファイルに対応したエンコード前の実行ファイルにおいて固有であるとみなし得る情報の格納領域の先頭位置がｎ＋１バイト目であり、大きさがｍバイトである場合に、前記エンコード形式の実行ファイルの先頭からｎ／３×４の小数点以下切り捨て値に１を加えた値の位置の第１のキャラクタから（ｎ＋ｍ）／３×４の小数点以下切り捨て値に１を加えた値の位置の第２のキャラクタまでの領域を前記特定領域とし、前記第１のキャラクタから前記第２のキャラクタまでのキャラクタ列をコンピュータウィルス固有情報として抽出することを特徴とする請求項１２に記載のコンピュータウィルス固有情報抽出方法。
【請求項１４】
前記抽出ステップは、抽出したコンピュータウィルス固有情報を複数組み合わせて、新たなコンピュータウィルス固有情報とすることを特徴とする請求項９乃至１３のいずれかに記載のコンピュータウィルス固有情報抽出方法。
【請求項１５】
前記実行ファイルは、所定の実行可能圧縮形式で圧縮された実行ファイルであることを特徴とする請求項９乃至１４に記載のコンピュータウィルス固有情報抽出方法。
【請求項１６】
前記実行ファイルは、ＰＥ形式であることを特徴とする請求項１５に記載のコンピュータウィルス固有情報抽出方法。
【請求項１７】
コンピュータウィルスの検出に用いられるコンピュータウィルス固有情報を抽出するコンピュータウィルス固有情報抽出装置において実行されるコンピュータウィルス固有情報抽出プログラムであって、
コンピュータウィルスであると特定された実行ファイルを取得する取得ステップと、
実行ファイルにおいて固有であるとみなし得る情報の格納領域であると予め決められた特定領域に含まれる情報を、前記取得手段により取得された実行ファイルからコンピュータウィルス固有情報として抽出する抽出ステップとを有し、
前記特定領域が前記実行ファイルのヘッダ領域におけるヘッダ項目Ｉｍｐｏｒｔ  Ｔａｂｌｅであることを特徴とするコンピュータウィルス固有情報抽出プログラム。
【請求項１８】
前記抽出ステップは、前記実行ファイルが前記特定領域より前にオフセット領域を含む場合に、前記オフセット領域のオフセット値に基づいて、前記実行ファイルにおける特定領域の先頭位置を特定することを特徴とする請求項１７記載のコンピュータウィルス固有情報抽出プログラム。
【請求項１９】
前記取得ステップは、電子メールで転送されるエンコード形式の実行ファイルを取得するとともに、前記抽出ステップは、前記取得ステップにより取得されたエンコード形式の実行ファイルにおける特定領域の情報をコンピュータウィルス固有情報として抽出することを特徴とする請求項１７または１８に記載のコンピュータウィルス固有情報抽出プログラム。
【請求項２０】
前記取得ステップ及び前記抽出ステップは、ｂａｓｅ６４のエンコード形式でエンコードされた実行ファイルを扱うことを特徴とする請求項１９に記載のコンピュータウィルス固有情報抽出プログラム。
【請求項２１】
前記抽出ステップは、前記エンコード形式の実行ファイルに対応したエンコード前の実行ファイルにおいて固有であるとみなし得る情報の格納領域の先頭位置がｎ＋１バイト目であり、大きさがｍバイトである場合に、前記エンコード形式の実行ファイルの先頭からｎ／３×４の小数点以下切り捨て値に１を加えた値の位置の第１のキャラクタから（ｎ＋ｍ）／３×４の小数点以下切り捨て値に１を加えた値の位置の第２のキャラクタまでの領域を前記特定領域とし、前記第１のキャラクタから前記第２のキャラクタまでのキャラクタ列をコンピュータウィルス固有情報として抽出することを特徴とする請求項２０に記載のコンピュータウィルス固有情報抽出プログラム。
【請求項２２】
前記抽出ステップは、抽出したコンピュータウィルス固有情報を複数組み合わせて、新たなコンピュータウィルス固有情報とすることを特徴とする請求項１７乃至２１のいずれかに記載のコンピュータウィルス固有情報抽出プログラム。
【請求項２３】
前記実行ファイルは、所定の実行可能圧縮形式で圧縮された実行ファイルであることを特徴とする請求項１７乃至２２に記載のコンピュータウィルス固有情報抽出プログラム。
【請求項２４】
前記実行ファイルは、ＰＥ形式であることを特徴とする請求項２３に記載のコンピュータウィルス固有情報抽出プログラム。
【発明の詳細な説明】
【技術分野】
【０００１】  本発明は、コンピュータウィルスの検出に用いられるコンピュータウィルス固有情報を抽出するコンピュータウィルス固有情報抽出装置、コンピュータウィルス固有情報抽出装置におけるコンピュータウィルス固有情報抽出方法、及び、コンピュータウィルス固有情報抽出装置におけるコンピュータウィルス固有情報抽出プログラムに関する。
【背景技術】
【０００２】  近年のインターネットをはじめとするネットワークの急速な発展に伴い、コンピュータウィルスによる被害は年々深刻なものとなってきている。このコンピュータウィルスによる被害は、時間経過に伴い不特定多数に対し加速度的に被害を与える点や、本来は被害者であるユーザが気づかないうちに加害者となる点などで、深刻の度合いが大きい。【０００３】  コンピュータウィルスは、経済産業省の定義によれば、第三者のプログラムやデータベースに対して意図的に何らかの被害を及ぼすように作られたプログラムであって、自己伝染機能、潜伏機能及び発病機能の少なくとも１つの機能を有するものであるとされている。従来、このようなコンピュータウィルスを検出する様々なシステムが提案されている（例えば、特許文献１参照）。【０００４】  前述したような従来のコンピュータウィルス検出システムは、一般に、シグネチャと称されるコンピュータウィルス固有情報を用いて、検査対象の実行ファイルとのパターンマッチングを行い、実行ファイル内にシグネチャと同一の情報が含まれる場合には、その実行ファイルがコンピュータウィルスであると判断する。
【特許文献１】特開２００４−３８２７３号公報
【発明の開示】
【発明が解決しようとする課題】
【０００５】  しかしながら、従来のコンピュータウィルス検出システムでは、シグネチャの抽出において、専門知識を有する者がコンピュータウィルスを解析し、そのコンピュータウィルスの固有情報を探し出す必要があり、時間がかかる。このようにシグネチャの抽出に時間がかかることは、近年の電子メールを媒介として拡散するコンピュータウィルスのように拡散速度が速いコンピュータウィルスの検出には十分ではなく、被害の広がりを防止することができない恐れがある。【０００６】  本発明は従来の問題を解決するためになされたもので、コンピュータウィルス自体の情報ではなく実行ファイルのヘッダ領域等の情報からコンピュータウィルス固有情報の抽出を迅速に行うことが可能なコンピュータウィルス固有情報抽出装置、コンピュータウィルス固有情報抽出方法及びコンピュータウィルス固有情報抽出プログラムを提供することにある。
【課題を解決するための手段】
【０００７】
本発明のコンピュータウィルス固有情報抽出装置は、コンピュータウィルスの検出に用いられるコンピュータウィルス固有情報を抽出するコンピュータウィルス固有情報抽出装置であって、コンピュータウィルスであると特定された実行ファイルを取得する取得手段と、実行ファイルにおいて固有であるとみなし得る情報の格納領域であると予め決められた特定領域に含まれる情報を、前記取得手段により取得された実行ファイルからコンピュータウィルス固有情報として抽出する抽出手段とを有し、前記特定領域が前記実行ファイルのヘッダ領域におけるヘッダ項目Ｉｍｐｏｒｔ  Ｔａｂｌｅである構成となる。
【０００８】
この構成により、実行ファイルにおいて固有であるとみなし得る情報の格納領域であると予め定められた特定領域としてのヘッダ領域におけるヘッダ項目Ｉｍｐｏｒｔ  Ｔａｂｌｅに含まれる情報が、コンピュータウィルスであると特定された実行ファイルからコンピュータ固有情報として抽出される。
【００１１】  また、本発明のコンピュータウィルス固有情報抽出装置は、前記抽出手段において、前記実行ファイルが前記特定領域より前にオフセット領域を含む場合に、前記オフセット領域のオフセット値に基づいて、前記実行ファイルにおける特定領域の先頭位置を特定する構成となる。【００１２】  この構成により、実行ファイルにおける特定領域の位置が可変である場合においても、その特定領域を確実に特定することが可能となる。【００１４】  また、本発明のコンピュータウィルス固有情報抽出装置は、前記取得手段が、電子メールで転送されるエンコード形式の実行ファイルを取得するとともに、前記抽出手段は、前記取得手段により取得されたエンコード形式の実行ファイルにおける特定領域の情報をコンピュータウィルス固有情報として抽出する構成となる。【００１５】  この構成により、実行ファイルが電子メールでエンコードされて送られてくるような場合においても、そのエンコードされた実行ファイルに応じたコンピュータウィルス固有情報の抽出が可能となる。【００１６】  また、本発明のコンピュータウィルス固有情報抽出装置は、前記取得手段及び前記抽出手段が、ｂａｓｅ６４のエンコード形式でエンコードされた実行ファイルを扱う構成となる。【００１７】  電子メールに添付されて送られてくる実行ファイルは一般にｂａｓｅ６４形式のエンコード処理がなされているため、この構成により、電子メールに添付されて送られてくる実行ファイルに応じたコンピュータウィルス固有情報の抽出が可能となる。【００１８】  また、本発明のコンピュータウィルス固有情報抽出装置は、前記抽出手段が、前記エンコード形式の実行ファイルに対応したエンコード前の実行ファイルにおいて固有であるとみなし得る情報の格納領域の先頭位置がｎ＋１バイト目であり、大きさがｍバイトである場合に、前記エンコード形式の実行ファイルの先頭からｎ／３×４の小数点以下切り捨て値に１を加えた値の位置の第１のキャラクタから（ｎ＋ｍ）／３×４の小数点以下切り捨て値に１を加えた値の位置の第２のキャラクタまでの領域を前記特定領域とし、前記第１のキャラクタから前記第２のキャラクタまでのキャラクタ列をコンピュータウィルス固有情報として抽出する構成となる。【００１９】  また、本発明のコンピュータウィルス固有情報抽出装置は、前記抽出手段が、抽出したコンピュータウィルス固有情報を複数組み合わせて、新たなコンピュータウィルス固有情報とする構成となる。【００２０】  この構成により、コンピュータウィルス固有情報抽出装置で抽出されたコンピュータウィルス固有情報を複数組み合わせて、新たなコンピュータウィルス固有情報とすることで、コンピュータウィルス固有情報が異なる実行ファイル間で一致することを極力避け、シグネチャを用いたコンピュータウィルス検出における誤検出を極力抑制することができる。【００２１】  また、本発明のコンピュータウィルス固有情報抽出装置は、前記実行ファイルが、所定の実行可能圧縮形式で圧縮された実行ファイルである構成となる。また、本発明のコンピュータウィルス固有情報抽出装置は、前記実行ファイルが、マイクロソフトのＷｉｎｄｏｗｓ（登録商標）向けとして一般的な実行ファイル形式であるＰＥ（Ｐｏｒｔａｂｌｅ  Ｅｘｅｃｕｔａｂｌｅ）形式である構成となる。【００２２】  実行ファイル形式がＰＥ形式である場合の所定の圧縮形式で圧縮された実行ファイル、すなわち、所定の実行可能圧縮形式で圧縮された実行ファイルにおいて、固有であるとみなし得る情報の格納領域であると予め決められた特定領域が存在する場合には、この構成により、その特定領域に含まれる情報が、コンピュータウィルスであると特定された実行ファイルからコンピュータウィルス固有情報として自動抽出されるため、コンピュータウィルス固有情報の抽出を迅速に行うことが可能となる。なお、実行ファイル形式はＰＥ形式に限定されるものではない。【００２３】
また、本発明のコンピュータウィルス固有情報抽出方法は、コンピュータウィルスの検出に用いられるコンピュータウィルス固有情報を抽出するコンピュータウィルス固有情報抽出装置におけるコンピュータウィルス固有情報抽出方法であって、コンピュータウィルスであると特定された実行ファイルを取得する取得ステップと、実行ファイルにおいて固有であるとみなし得る情報の格納領域であると予め決められた特定領域に含まれる情報を、前記取得手段により取得された実行ファイルからコンピュータウィルス固有情報として抽出する抽出ステップとを有し、前記特定領域が前記実行ファイルのヘッダ領域におけるヘッダ項目Ｉｍｐｏｒｔ  Ｔａｂｌｅである構成となる。
【００２５】  また、本発明のコンピュータウィルス固有情報抽出方法は、前記抽出ステップにおいて、前記実行ファイルが前記特定領域より前にオフセット領域を含む場合に、前記オフセット領域のオフセット値に基づいて、前記実行ファイルにおける特定領域の先頭位置を特定する構成となる。【００２７】  また、本発明のコンピュータウィルス固有情報抽出方法は、前記取得ステップが、電子メールで転送されるエンコード形式の実行ファイルを取得するとともに、前記抽出ステップは、前記取得ステップにより取得されたエンコード形式の実行ファイルにおける特定領域の情報をコンピュータウィルス固有情報として抽出する構成となる。【００２８】  また、本発明のコンピュータウィルス固有情報抽出方法は、前記取得ステップ及び前記抽出ステップが、ｂａｓｅ６４のエンコード形式でエンコードされた実行ファイルを扱う構成となる。【００２９】  また、本発明のコンピュータウィルス固有情報抽出方法は、前記抽出ステップが、前記エンコード形式の実行ファイルに対応したエンコード前の実行ファイルにおいて固有であるとみなし得る情報の格納領域の先頭位置がｎ＋１バイト目であり、大きさがｍバイトである場合に、前記エンコード形式の実行ファイルの先頭からｎ／３×４の小数点以下切り捨て値に１を加えた値の位置の第１のキャラクタから（ｎ＋ｍ）／３×４の小数点以下切り捨て値に１を加えた値の位置の第２のキャラクタまでの領域を前記特定領域とし、前記第１のキャラクタから前記第２のキャラクタまでのキャラクタ列をコンピュータウィルス固有情報として抽出する構成となる。【００３０】  また、本発明のコンピュータウィルス固有情報抽出方法は、前記抽出ステップが、抽出したコンピュータウィルス固有情報を複数組み合わせて、新たなコンピュータウィルス固有情報とする構成となる。【００３１】  また、本発明のコンピュータウィルス固有情報抽出方法は、前記実行ファイルが、所定の実行可能圧縮形式で圧縮された実行ファイルである構成となる。また、本発明のコンピュータウィルス固有情報抽出方法は、前記実行ファイルが、ＰＥ形式である構成となる。【００３２】
また、本発明のコンピュータウィルス固有情報抽出プログラムは、コンピュータウィルスの検出に用いられるコンピュータウィルス固有情報を抽出するコンピュータウィルス固有情報抽出装置において実行されるコンピュータウィルス固有情報抽出プログラムであって、コンピュータウィルスであると特定された実行ファイルを取得する取得ステップと、実行ファイルにおいて固有であるとみなし得る情報の格納領域であると予め決められた特定領域に含まれる情報を、前記取得手段により取得された実行ファイルからコンピュータウィルス固有情報として抽出する抽出ステップとを有し、前記特定領域が前記実行ファイルのヘッダ領域におけるヘッダ項目Ｉｍｐｏｒｔ  Ｔａｂｌｅである構成となる。
【００３４】  また、本発明のコンピュータウィルス固有情報抽出プログラムは、前記抽出ステップにおいて、前記実行ファイルが前記特定領域より前にオフセット領域を含む場合に、前記オフセット領域のオフセット値に基づいて、前記実行ファイルにおける特定領域の先頭位置を特定する構成となる。【００３６】  また、本発明のコンピュータウィルス固有情報抽出プログラムは、前記取得ステップが、電子メールで転送されるエンコード形式の実行ファイルを取得するとともに、前記抽出ステップは、前記取得ステップにより取得されたエンコード形式の実行ファイルにおける特定領域の情報をコンピュータウィルス固有情報として抽出する構成となる。【００３７】  また、本発明のコンピュータウィルス固有情報抽出プログラムは、前記取得ステップ及び前記抽出ステップが、ｂａｓｅ６４のエンコード形式でエンコードされた実行ファイルを扱う構成となる。【００３８】  また、本発明のコンピュータウィルス固有情報抽出プログラムは、前記抽出ステップが、前記エンコード形式の実行ファイルに対応したエンコード前の実行ファイルにおいて固有であるとみなし得る情報格納領域の先頭位置がｎ＋１バイト目であり、大きさがｍバイトである場合に、前記エンコード形式の実行ファイルの先頭からｎ／３×４の小数点以下切り捨て値に１を加えた値の位置の第１のキャラクタから（ｎ＋ｍ）／３×４の小数点以下切り捨て値に１を加えた値の位置の第２のキャラクタまでの領域を前記特定領域とし、前記第１のキャラクタから前記第２のキャラクタまでのキャラクタ列をコンピュータウィルス固有情報として抽出する構成となる。【００３９】  また、本発明のコンピュータウィルス固有情報抽出プログラムは、前記抽出ステップが、抽出したコンピュータウィルス固有情報を複数組み合わせて、新たなコンピュータウィルス固有情報とする構成となる。【００４０】  また、本発明のコンピュータウィルス固有情報抽出プログラムは、前記実行ファイルが、所定の実行可能圧縮形式で圧縮された実行ファイルである構成となる。また、本発明のコンピュータウィルス固有情報抽出プログラムは、前記実行ファイルが、ＰＥ形式である構成となる。
【発明の効果】
【００４１】
本発明は、実行ファイルにおいて固有であるとみなし得る情報の格納領域であると予め決められた特定領域としてのヘッダ領域におけるヘッダ項目Ｉｍｐｏｒｔ  Ｔａｂｌｅに含まれる情報を、コンピュータウィルスであると特定された実行ファイルからコンピュータウィルス固有情報として抽出するため、コンピュータウィルス固有情報の抽出を迅速に行うことが可能となる。
【図面の簡単な説明】
【００４２】
【図１】コンピュータシステムの構成例を示す図である。
【図２】実行ファイルのヘッダ構成を示す図である。
【図３】ヘッダ項目の一致率を示す図である。
【図４】サーバによるシグネチャ抽出時の動作のフローチャートである。
【図５】シグネチャ項目とシグネチャとの対応関係を示す図である。
【図６】コンピュータウィルスの検出実験の結果を示す図である。
【図７】実行可能圧縮が施されたコンピュータウィルスの検出実験の結果を示す図である。
【符号の説明】
【００４３】  １００  サーバ
２００  シグネチャＤＢ
２４０  危険実行ファイルＤＢ
２８０  ウィルス培養装置
３００−１〜３００−ｋ、３１０−１〜３１０−ｊ  パソコン
４００  構内ネットワーク
５００  インターネット
【発明を実施するための最良の形態】
【００４４】  コンピュータウィルス固有情報抽出装置は、実行ファイルにおいて固有であるとみなし得る情報の格納領域であると予め決められた特定領域に含まれる情報を、コンピュータウィルスであると特定された実行ファイルからコンピュータウィルス固有情報として自動抽出することにより、迅速なコンピュータウィルス固有情報の抽出を実現した。
【実施例１】
【００４５】  以下、本発明を実施するための最良の形態について、図面に基づいて説明する、【００４６】  本発明の実施の形態におけるコンピュータシステムの構成例を図１に示す。図１に示すコンピュータシステムは、ゲートウェイやメールサーバ等として機能するものであり、構内ネットワーク（ＬＡＮ：Ｌｏｃａｌ  Ａｒｅａ  Ｎｅｔｗｏｒｋ）４００とインターネット５００との間の通信を中継するサーバ１００と、コンピュータウィルスの固有情報であるシグネチャを記憶するシグネチャデータベース（ＤＢ）２００と、ウィルスに感染する可能性のある危険な実行ファイルを蓄えておく危険実行ファイルデータベース２４０と、電子メールの添付ファイルからウィルスを高速で培養するウィルス培養装置２８０と、構内ネットワーク４００に接続されるパーソナルコンピュータ（パソコン）３００−１乃至３００−ｋ（以下、これらパソコン３００−１乃至３００−ｋをまとめて「パソコン３００」と称する）と、インターネット５００に接続されるパソコン３１０−１乃至３１０−ｊ（以下、これらパソコン３１０−１乃至３１０−ｊをまとめて「パソコン３１０」と称する）とにより構成される。このコンピュータシステムは、オペレーティングシステムとしてマイクロソフトのＷｉｎｄｏｗｓ（登録商標）を実装して動作する。【００４７】  本発明は、コンピュータウィルスであると特定された実行ファイルを取得した後の処理に関するものであるが、参考として取得例を以下に示す。【００４８】  実行ファイルがコンピュータウィルスであるか否かの判定は、例えば、以下のような手順で行われる。すなわち、サーバ１００は、インターネット５００からの電子メールに添付されたファイルを受信すると、このファイルの拡張子を特定する。Ｗｉｎｄｏｗｓ（登録商標）において、コンピュータウィルスの可能性のある実行ファイルの拡張子は、「ｅｘｅ」、「ｃｏｍ」、「ｂａｔ」、「ｓｃｒ」、「ｌｎｋ」、「ｐｉｆ」のいずれかである。このため、サーバ１００は、特定した拡張子がこれら「ｅｘｅ」、「ｃｏｍ」、「ｂａｔ」、「ｓｃｒ」、「ｌｎｋ」、「ｐｉｆ」のいずれかである場合、その拡張子を有する実行ファイルに対して識別情報であるＩＤを付加し、危険な実行ファイルとしてその実行ファイルを複製してウィルス培養装置２８０に実行ファイルを渡す。次に、サーバ１００は、ＩＤと共に元の実行ファイルを危険な実行ファイルとして、危険実行ファイルＤＢ２４０に蓄積する。更に、サーバ１００は、監視機能により、ウィルス培養装置２８０を監視状態に置く。【００４９】  ウィルス培養装置２８０は、ｂａｓｅ６４形式の実行ファイルをバイナリ形式の実行ファイルに変換して実行する。そして、ウィルス培養装置２８０には、Ｗｉｎｄｏｗｓ（登録商標）環境においてシステムのレジストリやファイルを改竄しないか、ウィルスメールを発行しないか等を監視する機能が装備されており、その実行の結果と実行ファイルに付加されたＩＤがサーバ１００に戻される。【００５０】  サーバ１００は、この実行結果を解析して、ウィルス培養装置２８０によって実行された実行ファイルがコンピュータウィルスであるか否かを判定する。【００５１】  前述ではサーバ１００が、インターネット５００から受信した電子メールを処理する場合を想定したが、ＬＡＮ４００から受信した電子を処理する場合にも、本発明は適用可能である。また、上記のサーバ１００は、ウィルス培養装置２８０によって実行された実行ファイルがコンピュータウィルスであるか否かを見極めた後に、受信した電子メールを処理していた。この場合には、ウィルス培養装置２８０の判定に時間が掛かり、電子メールの処理性能に影響を及ぼす可能性もある。この対策としてサーバ１００は、ウィルス培養装置２８０の判定が出る前に、受信した電子メールを宛先のパソコンに転送することも可能である。サーバ１００は、後に実行ファイルがコンピュータウィルスであると判明した時点で、シグネチャを抽出する。以上がコンピュータウィルスであると特定された実行ファイルを取得する処理例である。【００５２】  次にサーバ１００は、コンピュータウィルスであると特定された実行ファイルのヘッダにおける特定領域の情報に基づいてシグネチャを自動抽出する。【００５３】  実行ファイルのヘッダ構成を図２に示す。Ｗｉｎｄｏｗｓ（登録商標）における実行ファイルは、ＰＥ（Ｐｏｒｔａｂｌｅ  Ｅｘｅｃｕｔａｂｌｅ）形式のフォーマットにより構成され、そのヘッダは、図２に示すように、「ＭＳ−ＤＯＳ（登録商標）Ｃｏｍｐａｔｉｂｌｅ  Ｈｅａｄｅｒ」（ＭＳ−ＤＯＳ（登録商標）互換ヘッダ）、「ＭＳ−ＤＯＳ（登録商標）Ｓｔｕｂ」（ＭＳ−ＤＯＳ（登録商標）スタブ）、「ＣＯＦＦ（Ｃｏｍｍｏｎ  Ｏｂｊｅｃｔ  Ｆｉｌｅ  Ｆｏｒｍａｔ）Ｈｅａｄｅｒ」（ＣＯＦＦヘッダ）及び「Ｏｐｔｉｏｎａｌ  Ｈｅａｄｅｒ」（オプションヘッダ）の各ヘッダ領域により構成される。【００５４】  これらのヘッダ領域のうち、ＭＳ−ＤＯＳ（登録商標）互換ヘッダ及びＭＳ−ＤＯＳ（登録商標）スタブは、下位互換のためのものであり、実行ファイルによっては存在しない場合がある。従って、オフセット領域としてのＭＳ−ＤＯＳ（登録商標）互換ヘッダ及びＭＳ−ＤＯＳ（登録商標）スタブ内のヘッダ項目の情報はシグネチャの抽出には適さない。なお、ＭＳ−ＤＯＳ（登録商標）互換ヘッダ及びＭＳ−ＤＯＳ（登録商標）スタブが存在する場合、これらＭＳ−ＤＯＳ（登録商標）互換ヘッダ及びＭＳ−ＤＯＳ（登録商標）スタブの領域の大きさは可変であり、その大きさ（バイト数）の合計はＭＳ−ＤＯＳ（登録商標）互換ヘッダの最後の「Ｏｆｆｓｅｔ  ｍａｉｎ  ｐａｒｔ」に設定される。【００５５】  一方、ＣＯＦＦヘッダ及びオプションヘッダは、全てのＷｉｎｄｏｗｓ（登録商標）における実行ファイルに存在する。このため、本実施形態では、サーバ１００は、ＣＯＦＦヘッダ及びオプションヘッダに含まれるヘッダ項目の情報をシグネチャの抽出に用いる。【００５６】  本発明者は、互いに異なるＷｉｎｄｏｗｓ（登録商標）における実行ファイルを１０００個用意し、これらの実行ファイルの中から任意の２個を抽出した場合に、ＣＯＦＦヘッダ及びオプションヘッダ内の各ヘッダ項目が一致する確率を調査した。【００５７】  この調査によるヘッダ項目の一致率を図３に示す。図３では、ヘッダ項目と、そのヘッダ項目が属するヘッダ領域と、そのヘッダ項目についての実行ファ��ル間での一致率が示されている。また、図３では、一致率の低い、換言すれば、実行ファイル間で異なる確率の高い上位１０個のヘッダ項目が示されている。【００５８】  シグネチャを用いたコンピュータウィルスの検出において誤検出を抑制するためには、サーバ１００は、シグネチャの抽出において、実行ファイル間で一致率が所定値（例えば、０．５％）以下であるヘッダ項目を用いることが望ましい。図３では、一致率の最も低いヘッダ項目は「Ｉｍｐｏｒｔ  Ｔａｂｌｅ」である。従って、サーバ１００は、この「Ｉｍｐｏｒｔ  Ｔａｂｌｅ」をシグネチャの抽出に用いることが最も望ましい。「Ｉｍｐｏｒｔ  Ｔａｂｌｅ」は、大きさが８バイトであり、ＣＯＦＦヘッダの先頭から１２９バイト目の位置が先頭位置である。従って、ＭＳ−ＤＯＳ（登録商標）互換ヘッダ及びＭＳ−ＤＯＳ（登録商標）スタブが存在しない場合、「Ｉｍｐｏｒｔ  Ｔａｂｌｅ」は、実行ファイルの先頭から１２９バイト目の位置が先頭位置である。一方、ＭＳ−ＤＯＳ（登録商標）互換ヘッダ及びＭＳ−ＤＯＳ（登録商標）スタブが存在し、これらの大きさが「Ｏｆｆｓｅｔ  ｍａｉｎ  ｐａｒｔ」において示されたαバイトである場合、「Ｉｍｐｏｒｔ  Ｔａｂｌｅ」は、実行ファイルの先頭から１２９＋αバイト目の位置が先頭位置である。【００５９】  以下、サーバ１００によるシグネチャ抽出時の動作を説明する。【００６０】  サーバ１００によるシグネチャ抽出時の動作のフローチャートを図４に示す。なお、以下においては、電子メールに添付される実行ファイルがコンピュータウィルスである場合に、そのコンピュータウィルスを検出するためのシグネチャが自動抽出される場合について説明する。【００６１】  サーバ１００は、コンピュータウィルスであると特定された実行ファイルを取得する（Ｓ１０１）。この取得される実行ファイルは、ｂａｓｅ６４形式でエンコードされた情報である。具体的には、サーバ１００は、実行ファイルをコンピュータウィルスであると判断した場合、そのＩＤに対応した実行ファイルを危険実行ファイルＤＢ２４０から読み出す。また、実行ファイルをコンピュータウィルスではないと判断した場合、そのＩＤに対応した実行ファイルを危険実行ファイルＤＢ２４０から読み出して、パソコン３００における宛先のパソコンに転送する。【００６２】  サーバ１００は、コンピュータウィルスであると特定されたｂａｓｅ６４形式の実行ファイルを取得すると、次に、シグネチャの抽出に適したヘッダ項目（シグネチャ項目）の領域を特定する（Ｓ１０２）。【００６３】  サーバ１００は、ｂａｓｅ６４形式の実行ファイル内のヘッダ項目（シグネチャ項目）に対応する領域の内容を読み出してシグネチャとして抽出する（Ｓ１０３）。【００６４】  サーバ１００は、シグネチャを複数組み合わせて、新たなシグネチャとするために、追加すべきシグネチャが存在するか判断する（Ｓ１０４）。追加すべきシグネチャが存在する場合には、Ｓ１０２以降の動作が繰り返される。【００６５】  一方、追加すべきシグネチャが存在しない場合には、Ｓ１０５に制御が移り、サーバ１００は、抽出した全てのシグネチャを組み合わせて、新たなシグネチャとし、シグネチャＤＢ２００に���憶する（Ｓ１０５）。【００６６】  ここでＳ１０２の具体的な特定方法を概説する。例えば、バイナリ形式の実行ファイルで「Ｉｍｐｏｒｔ  Ｔａｂｌｅ」がシグネチャ項目となる場合、ＭＳ−ＤＯＳ（登録商標）互換ヘッダ及びＭＳ−ＤＯＳ（登録商標）スタブが存在しない場合には、実行ファイルの先頭から１２９バイト目から１３６バイト目までの８バイトの領域がシグネチャ項目の領域として特定される。また、ＭＳ−ＤＯＳ（登録商標）互換ヘッダ及びＭＳ−ＤＯＳ（登録商標）スタブが存在し、これらの大きさが「Ｏｆｆｓｅｔ  ｍａｉｎ  ｐａｒｔ」において示されたαバイトである場合、実行ファイルの先頭から１２９＋αバイト目から１３６＋αバイト目までの８バイトの領域がシグネチャ項目の領域として特定される。【００６７】  一般に、電子メールに添付される実行ファイルは、ｂａｓｅ６４のエンコード形式でバイナリデータからキャラクタデータに変換されて送信される。従って、コンピュータウィルスの検出に用いられるシグネチャは、キャラクタデータに対応するものであることが望ましい。【００６８】  サーバ１００は、バイナリデータである実行ファイルにおけるシグネチャ項目の領域の先頭位置がｎ＋１バイト目であり、シグネチャ項目の領域の大きさがｍバイトである場合には、ｂａｓｅ６４形式によるエンコード処理後のキャラクタデータである実行ファイルの先頭からｎ／３×４の小数点以下切り捨て値に１を加えた位置のキャラクタから（ｎ＋ｍ）／３×４の小数点以下切り捨て値に１を加えた位置のキャラクタまでをシグネチャとして抽出する。【００６９】  例えば、「Ｉｍｐｏｒｔ  Ｔａｂｌｅ」がシグネチャ項目となる場合、ＭＳ−ＤＯＳ（登録商標）互換ヘッダ及びＭＳ−ＤＯＳ（登録商標）スタブが存在しない場合には、実行ファイルの先頭から１２９バイト目の位置がシグネチャ項目の領域の先頭位置であり、そのシグネチャ項目の大きさは８バイトである。従って、エンコード処理後のキャラクタデータである実行ファイルの先頭から、１２８／３×４の小数点以下切り捨て値に１を加えた値の位置（１７１バイト目）乃至（１２８＋８）／３×４の小数点以下切り捨て値に１を加えた値の位置（１８２バイト目）の１２バイトのキャラクタがシグネチャとなる。【００７０】  一方、ＭＳ−ＤＯＳ（登録商標）互換ヘッダ及びＭＳ−ＤＯＳ（登録商標）スタブが存在し、これらの大きさが「Ｏｆｆｓｅｔ  ｍａｉｎ  ｐａｒｔ」において示されたαバイトである場合には、実行ファイルの先頭から１２９＋αバイト目の位置がシグネチャ項目の領域の先頭位置であり、そのシグネチャ項目の大きさは８バイトである。従って、エンコード処理後のキャラクタデータである実行ファイルの先頭から、（１２８＋α）／３×４の小数点以下切り捨て値に１を加えた位置乃至（１２８＋α＋８）／３×４の小数点以下切り捨て値に１を加えた値の位置のキャラクタがシグネチャとなる。【００７１】  シグネチャ項目とシグネチャの具体的な対応関係を図５に示す。図５は、Ｋｌｅｚ．ｈウィルスに感染したバイナリ実行ファイルの「Ｉｍｐｏｒｔ  Ｔａｂｌｅ」の内容を描いている。ｎ＝１２８＋α＝３４４で先頭位置が３４５バイト目であって、３４５バイト目から３５２バイ���目までの８バイト（ＨＥＸ２０，ＨＥＸＤ６――――――，ＨＥＸ００）が「Ｉｍｐｏｒｔ  Ｔａｂｌｅ」の内容である。【００７２】  一方、Ｋｌｅｚ．ｈウィルスに感染した実行ファイルがｂａｓｅ６４形式である場合には、先頭位置が４５９バイト目であって、４５９バイト目からから４７０バイト目までの１２バイトのキャラクタデータ（Ａ，ｇ，――――――――――――，Ａ）が「Ｉｍｐｏｒｔ  Ｔａｂｌｅ」の内容となる。【００７３】  本発明者は、本実施形態により抽出されるシグネチャを用いたコンピュータウィルスの検出実験を行った。なお、この実験では、「Ｉｍｐｏｒｔ  Ｔａｂｌｅ」を単一のシグネチャ項目として用いた。そして、検出対象の全てのコンピュータウィルスに対して、図４に示す手法でシグネチャが自動抽出された。更に、検出対象となる全てのｂａｓｅ６４形式のコンピュータウィルス、及び、ｂａｓｅ６４形式のエンコード処理を行って得られた１０００個のコンピュータウィルスでない実行ファイル（一般実行ファイル）を用意して、上記で抽出したシグネチャとのパターンマッチングが行われた。【００７４】  コンピュータウィルスの検出実験の結果を図６に示す。図６において、コンピュータウィルス名は、実験に用いた検出対象のコンピュータウィルスの名称であり、トレンドマイクロ株式会社製のコンピュータウィルス検出ソフトウェアであるアンチウィルスにおける名称である。例えば「ＷＯＲＭ＿ＫＬＥＺ．Ｈ」はプレビュー感染型のコンピュータウィルス、「ＷＯＲＭ＿ＳＯＢＩＧ．Ｆ」はメール感染型のウィルスである。また、シグネチャ番号は、特定のコンピュータウィルスについて複数のシグネチャが抽出される場合において各シグネチャを識別するための番号、検出率は、シグネチャを用いてそのシグネチャに対応するコンピュータウィルスを検出した確率、誤検出率（ウィルス）は、他のコンピュータウィルスをそのコンピュータウィルスであると誤って検出した確率、誤検出率（一般）は、コンピュータウィルスでない実行ファイルをそのコンピュータウィルスであると誤って検出した確率である。【００７５】  各コンピュータウィルスのうち、「ＷＯＲＭ＿ＨＹＢＲＩＳ．Ｂ」は３種類のバリエーションが存在する。このため、バリエーションのそれぞれに対応して３種類のシグネチャが抽出されている。【００７６】  図６における検出率に示すように、「ＷＯＲＭ＿ＨＹＢＲＩＳ．Ｂ」以外のコンピュータウィルスについては、対応するシグネチャを用いることにより確実に検出されている。【００７７】  一方、「ＷＯＲＭ＿ＨＹＢＲＩＳ．Ｂ」については前述のようにシグネチャが３種類抽出され、シグネチャ番号１のシグネチャが用いられる場合には検出率が９３．７９％、シグネチャ番号２のシグネチャが用いられる場合には検出率が４．３５％、シグネチャ番号３のシグネチャが用いられる場合には検出率が１．８６％であり、これらの検出率の合計は１００％となる。この結果は、「ＷＯＲＭ＿ＨＹＢＲＩＳ．Ｂ」の３種類のバリエーションをそれぞれ別のコンピュータウィルスとして扱い、バリエーションのそれぞれに対応して３種類のシグネチャが抽出されることにより、「ＷＯＲＭ＿ＨＹＢＲＩＳ．Ｂ」の全体の検出率が１０���％になることを示しており、問題ではない。【００７８】  また、「ＷＯＲＭ＿ＫＬＥＺ．Ｈ」と「ＰＥ＿ＴＥＣＡＴＡ．１７６１−Ｏ」については、誤検出率（ウィルス）が０％にならなかった。しかし、この結果は、「ＷＯＲＭ＿ＫＬＥＺ．Ｈ」の検出において「ＰＥ＿ＴＥＣＡＴＡ．１７６１−Ｏ」が誤検出され、「ＰＥ＿ＴＥＣＡＴＡ．１７６１−Ｏ」の検出において「ＷＯＲＭ＿ＫＬＥＺ．Ｈ」が誤検出されたことを示す。これは、「ＷＯＲＭ＿ＫＬＥＺ．Ｈ」に対して更に「ＰＥ＿ＴＥＣＡＴＡ．１７６１−Ｏ」が感染した状態のコンピュータウィルスが存在することに起因する。すなわち、「ＷＯＲＭ＿ＫＬＥＺ．Ｈ」であり、且つ、「ＰＥ＿ＴＥＣＡＴＡ．１７６１−Ｏ」であるコンピュータウィルスの存在によって誤検出率（ウィルス）が０％にならなかっただけであり、実質的には誤検出ではない。【００７９】  更に、図６における誤検出率（一般）は、全ての検出対象のコンピュータウィルスについて０％であり、高い検出精度が示されている。【００８０】  このように、本実施形態のコンピュータシステムでは、サーバ１００は、コンピュータウィルスであると特定されたｂａｓｅ６４形式でエンコードされた実行ファイルにおける、固有値である可能性の高いヘッダ項目の領域をシグネチャ項目の領域として特定し、対応したシグネチャを自動抽出する。従って、従来のように、シグネチャの抽出において、専門知識を有する者がコンピュータウィルスを解析し、そのコンピュータウィルスの固有情報を探し出す必要がなく、シグネチャの抽出を迅速に行うことが可能となる。このため、コンピュータウィルス検出ソフトのメーカ等によって正式なシグネチャが抽出されるまでの間、サーバ１００が抽出したシグネチャを用いてコンピュータウィルスを検出することが可能となる。【００８１】  また、実行ファイルのヘッダ項目は、その実行ファイルが圧縮された場合においても、一意に設定されるため、本実施形態のコンピュータシステムにおいて、ヘッダ項目の領域をシグネチャ項目の領域とすることにより、コンピュータウィルスが圧縮されていても解凍することなく、そのコンピュータウィルスを検出可能である。【００８２】  また、本実施形態のコンピュータシステムにおいて、実行ファイルのヘッダ項目、特に「Ｉｍｐｏｒｔ  Ｔａｂｌｅ」がシグネチャ項目として用いられることにより、コンピュータウィルスの検出において以下のような利点を有する。【００８３】  具体的には、「Ｉｍｐｏｒｔ  Ｔａｂｌｅ」は、「ａｄｄｒｅｓｓ」と「ｓｉｚｅ」の２項目からなり、一例としてそれぞれ実行ファイルにおけるｉｄａｔａセクションと称される領域内にあるインポート・ディレクトリ・テーブルのアドレスとサイズとを表している。更に、このインポート・ディレクトリ・テーブルは、ＰＥ形式の実行ファイルの動作に欠かせないＤＬＬ（Ｄｙｎａｍｉｃ  Ｌｉｎｋ  Ｌｉｂｒａｒｙ）に関する情報を扱う部分である。このため、「Ｉｍｐｏｒｔ  Ｔａｂｌｅ」の内容が改竄されると、実行ファイルが動作しなくなる可能性が高い。【００８４】  すなわち、仮に、コンピュータウィルスが検出を逃れるために「Ｉｍｐｏｒｔ  Ｔａｂｌｅ」の内容を変更したとしても、その変更に��りコンピュータウィルスは動作不能となる可能性が高いため、コンピュータウィルスによる被害は阻止される。【００８５】  また、本実施形態のコンピュータシステムにより、実行可能圧縮が施されたコンピュータウィルスについても検出可能であることが、本発明者の実験により確認された。この実験では、前述と同様、「Ｉｍｐｏｒｔ  Ｔａｂｌｅ」がシグネチャ項目として用いられた。そして、検出対象の全てのコンピュータウィルスに対して、図４に示す手法でシグネチャが自動抽出された。【００８６】  実行可能圧縮が施されたコンピュータウィルスの検出実験の結果を図７に示す。図７において、コンピュータウィルス名は、実験に用いた検出対象のコンピュータウィルスの名称であり、トレンドマイクロ株式会社製のコンピュータウィルス検出ソフトウェアであるアンチウィルスにおける名称である。また、シグネチャの番号（Ｎｏ．）は、特定のコンピュータウィルスについて複数のシグネチャが抽出される場合において各シグネチャを識別するための番号、オフセット（ｏｆｆｓｅｔ）は、コンピュータウィルスのファイルの先頭からシグネチャに用いたヘッダ項目である「Ｉｍｐｏｒｔ  Ｔａｂｌｅ」までのオフセット値、「Ｉｍｐｏｒｔ  Ｔａｂｌｅ」のアドレス（ａｄｄｒｅｓｓ）及びサイズ（ｓｉｚｅ）は、それぞれコンピュータウィルスのファイルにおけるインポート・ディレクトリ・テーブルのアドレスとサイズ、検出率は、シグネチャを用いてそのシグネチャに対応するコンピュータウィルスを検出した確率、誤検出率（ウィルス）は、他のコンピュータウィルスをそのコンピュータウィルスであると誤って検出した確率、誤検出率（一般実行ファイル・圧縮）は、コンピュータウィルスでない一般の実行ファイルであって、当該コンピュータウィルスと同一の圧縮形式により圧縮したもの（圧縮一般実行ファイル）をそのコンピュータウィルスであると誤って検出した確率、誤検出率（一般実行ファイル・無圧縮）は、コンピュータウィルスでない無圧縮形式の実行ファイル（無圧縮一般実行ファイル）をそのコンピュータウィルスであると誤って検出した確率である。【００８７】  図７における検出率に示すように、「Ｎｅｔｓｋｙ．Ｐ」、「Ｎｅｔｓｋｙ．Ｃ」、「Ｂａｇｌｅ．ＡＤ」及び「Ｂａｇｌｅ．ＡＩ」以外のコンピュータウィルスについては、対応するシグネチャを用いることにより確実に検出されている。【００８８】  一方、「Ｎｅｔｓｋｙ．Ｐ」については、シグネチャが２種類抽出され、シグネチャ番号１のシグネチャが用いられる場合には検出率が０．１０％、シグネチャ番号２のシグネチャが用いられる場合には検出率が９９．９０％であり、これらの検出率の合計は１００％となる。この結果は、「Ｎｅｔｓｋｙ．Ｐ」の２種類のバリエーションをそれぞれ別のコンピュータウィルスとして扱い、バリエーションのそれぞれに対応して２種類のシグネチャが抽出されることにより、「Ｎｅｔｓｋｙ．Ｐ」の全体の検出率が１００％になることを示しており、問題ではない。「Ｎｅｔｓｋｙ．Ｃ」、「Ｂａｇｌｅ．ＡＤ」及び「Ｂａｇｌｅ．ＡＩ」についても同様であり、２種類のバリエーションをそれぞれ別のコンピュータウィルスとして扱い、バリエーションのそれぞれに対応して２種類のシグネチャが抽出されることにより、全体の検出率が１００％になる。この結果は、「Ｉｍｐｏｒｔ  Ｔａｂｌｅ」の内容は、各コンピュータウィルスにバリエーションが存在する場合に、そのバリエーション毎に固有であり、必要最小限のシグネチャしか生成されないことを示している。【００８９】  また、「Ｐｌｅｘｕｓ．Ｂ」と「Ｐｌｅｘｕｓ．Ｇ」の検出では、それぞれ別のコンピュータウィルスを誤検出しているが、実験に使用したコンピュータウィルス検出ソフトウェアでは、誤検出されたコンピュータウィルスは、「Ｐｌｅｘｕｓ．Ｂ」と「Ｐｌｅｘｕｓ．Ｇ」と同一であると定義されているため、実質的には誤検出ではない。【００９０】  また、コンピュータウィルスの圧縮形式がその一種であるｔＥｌｏｃｋ以外である場合には、一般実行ファイルが圧縮されているか否かに関わらず、その一般実行ファイルをコンピュータウィルスであると誤検出する確率は０％であることが確かめられた。一方、コンピュータウィルスの圧縮形式がｔＥｌｏｃｋである場合には、一般圧縮実行ファイルをコンピュータウィルスであると誤検出する場合がある（図７の「Ｓｏｂｉｇ．Ａ」、「Ｓｏｂｉｇ．Ｅ」及び「Ｓｏｂｉｇ．Ｆ」）が、誤検出率は低く、非常用の検出フィルタとしては実用の範囲内である。【００９１】  ところで、実行可能圧縮では、圧縮ソフトのバージョンや圧縮時のオプションにより、ヘッダの内容が変化する。図７では、「Ｎｅｔｓｋｙ．Ｊ」はｔＥｌｏｃｋのバージョン０．７１を使用して圧縮されており、その他のコンピュータウィルスはｔＥｌｏｃｋのバージョン０．９８を使用して圧縮されている。この結果は、一般実行ファイルとコンピュータウィルスの「Ｉｍｐｏｒｔ  Ｔａｂｌｅ」の内容が一致するためには、圧縮形式が同一であることのみならず、圧縮ソフトのバージョンが同一であり、更に圧縮ソフトの実行において指定される各種のオプションも同一でなければならないことを示している。従って、圧縮形式が同一であっても、一般実行ファイルとコンピュータウィルスの「Ｉｍｐｏｒｔ  Ｔａｂｌｅ」が一致する確率、換言すれば、一般実行ファイルをコンピュータウィルスであると誤検出する確率は、非常に低いと考えられる。【００９２】  なお、前述した実施形態では、主に「Ｉｍｐｏｒｔ  Ｔａｂｌｅ」をシグネチャ項目としたが、実行ファイル間で一致する確率の低い他のヘッダ項目をシグネチャ項目としても良い。【００９３】  また、前述した実施形態では、サーバ１００がシグネチャを抽出したが、パソコン３００及び３１０がそれぞれシグネチャを抽出して、コンピュータウィルスの検出に用いるようにしても良い。
【産業上の利用可能性】
【００９４】  以上のように、本発明にかかるコンピュータウィルス固有情報抽出装置、コンピュータウィルス固有情報抽出方法及びコンピュータウィルス固有情報抽出プログラムは、コンピュータウィルス固有情報の抽出を迅速に行うことが可能となるという効果を有し、コンピュータウィルス固有情報抽出装置、コンピュータウィルス固有情報抽出方法及びコンピュータウィルス固有情報抽出プログラムとして有用である。
【図１】
0004025882.tif 000002
【図２】
0004025882.tif 000003
【図３】
0004025882.tif 000004
【図４】
0004025882.tif 000005
【図５】
0004025882.tif 000006
【図６】
0004025882.tif 000007
【図７】
0004025882.tif 000008