(57)【要約】【課題】不正なデータが検知された検知日時における端末装置を再現し、検知日時の以前に端末装置による使用が許可されたデータがマルウエアであるか否かを検査できるようにする。【解決手段】検知情報取得部２２０は端末装置によって通信された不正なデータが検知された検知日時を含む検知情報１０２を取得する。端末情報取得部２３０は検知日時における端末装置の情報である検知日時端末情報１０３を取得する。端末構築情報出力部２３２は検知日時端末情報１０３と、検知前期間に端末装置による使用が許可されたデータを指定するデータ指定情報とをふるまい検知装置へ出力する。ふるまい検知装置は端末装置として機能する仮想マシンを実行する装置である。【選択図】図２
2016115037.tif 000002
【特許請求の範囲】
【請求項１】
端末装置によって通信された不正なデータが検知された検知日時を含む検知情報を取得する検知情報取得部と、
前記検知日時における前記端末装置の情報である検知日時端末情報を取得する端末情報取得部と、
前記検知日時端末情報と、前記検知日時の以前の期間である検知前期間に前記端末装置による使用が許可されたデータを指定するデータ指定情報とを、前記端末装置として機能する仮想マシンを実行するふるまい検知装置へ出力する端末構築情報出力部と
を備える端末分析装置。
【請求項２】
前記端末分析装置は、リリース情報取得部とリリース情報選択部とを備え、
前記リリース情報取得部は、前記端末装置による使用が許可されたデータであるリリースデータ毎に、リリースデータの情報であるリリース情報を取得し、
前記リリース情報選択部は、リリースデータ毎のリリース情報から、前記検知前期間に許可されたリリースデータのリリース情報を選択し、
前記データ指定情報は、選択されたリリース情報である
請求項１に記載の端末分析装置。
【請求項３】
前記検知日時端末情報は、前記データ指定情報によって指定されるデータの使用が許可されたリリース日時の以後の期間であるデータ使用期間に前記端末装置に入力されたパスワードを含む請求項１に記載の端末分析装置。
【請求項４】
前記端末構築情報出力部は、前記データ指定情報によって指定されるデータの使用が許可されたリリース日時と、前記リリース日時から前記検知日時までの期間の長さである待機期間長とを前記ふるまい検知装置へ出力する
請求項１に記載の端末分析装置。
【請求項５】
前記検知日時端末情報は、前記検知日時の以前の期間である操作期間に前記端末装置に行われた操作を示す操作ログを含む請求項１に記載の端末分析装置。
【請求項６】
前記端末分析装置は、ふるまい検知ログ取得部と調査対象情報生成部とを備え、
前記ふるまい検知ログ取得部は、前記端末装置による使用の可否が検査されたデータ毎に、データの情報を含んだふるまい検知ログを取得し、
前記調査対象情報生成部は、データ毎のふるまい検知ログを用いて、前記検知前期間に前記端末装置による使用が許可されたデータの情報である調査対象情報を生成し、
前記データ指定情報は、生成された調査対象情報である
請求項１に記載の端末分析装置。
【請求項７】
仮想化サーバが実行する仮想マシンである端末装置によって通信された不正なデータが検知された検知日時を含む検知情報を取得する検知情報取得部と、
前記端末装置の仮想マシンイメージを出力することを指示する仮想マシン複製指示を前記仮想化サーバへ出力する仮想マシン複製指示部と、
前記検知日時の以前の期間である検知前期間に前記端末装置による使用が許可されたデータを指定するデータ指定情報を、前記仮想マシンイメージの出力先の装置であるふるまい検知装置へ出力する端末構築情報出力部と
を備える端末分析装置。
【請求項８】
端末装置によって通信された不正なデータが検知された検知日時を含む検知情報を取得する検知情報取得部と、
前記端末装置の仮想マシンイメージを出力することを指示する仮想マシン生成指示を前記端末装置へ出力する仮想マシン生成指示部と、
前記検知日時の以前の期間である検知前期間に前記端末装置による使用が許可されたデータを指定するデータ指定情報を、前記仮想マシンイメージの出力先の装置であるふるまい検知装置へ出力する端末構築情報出力部と
を備える端末分析装置。
【請求項９】
端末装置によって通信された不正なデータが検知された検知日時における前記端末装置の情報である検知日時端末情報と、前記検知日時の以前の期間である検知前期間に前記端末装置による使用が許可されたデータを指定するデータ指定情報と、を取得する端末構築情報取得部と、
前記検知日時端末情報に基づいて、前記検知日時における前記端末装置として機能する仮想マシンである検知日時仮想マシンを生成する仮想マシン生成部と、
前記データ指定情報によって指定されるデータを前記検知日時仮想マシンに使用させる仮想マシン実行部と
を備えるふるまい検知装置。
【請求項１０】
前記検知日時端末情報は、前記データ指定情報によって指定されるデータの使用が許可されたリリース日時の以後の期間であるデータ使用期間に前記端末装置に入力されたパスワードを含み、
前記仮想マシン実行部は、前記データ指定情報によって指定されるデータが暗号化されたデータである場合、前記検知日時端末情報に含まれるパスワードを用いて前記暗号化されたデータを復号する
請求項９に記載のふるまい検知装置。
【請求項１１】
前記仮想マシン生成部は前記検知日時仮想マシンの時計に前記検知日時を設定する請求項９に記載のふるまい検知装置。
【請求項１２】
前記ふるまい検知装置は、通信されたデータをデータの使用が許可されたリリース日時に対応付けて記憶するデータ記憶部と、データ選択部とを備え、
前記端末構築情報取得部は、前記データ指定情報によって指定されるデータの使用が許可されたリリース日時と、前記リリース日時から前記検知日時までの期間の長さである待機期間長とを取得し、
前記データ選択部は、前記データ指定情報によって指定されるデータと同じ送信元のデータを前記データ記憶部から選択し、
前記仮想マシン生成部は、選択されたデータの送信先の端末装置として機能する仮想マシンである他端末仮想マシンを生成し、選択されたデータの使用が許可されたリリース日時から前記待機期間長の期間を経過後の日時を前記他端末仮想マシンの時計に設定し、
前記仮想マシン実行部は、選択されたデータを前記他端末仮想マシンに使用させる
請求項９に記載のふるまい検知装置。
【請求項１３】
前記検知日時端末情報は、前記検知日時の以前の期間である操作期間に前記端末装置に行われた操作を示す操作ログを含み、
前記仮想マシン実行部は、前記操作ログが示す操作を前記検知日時仮想マシンに行う
請求項９に記載のふるまい検知装置。
【請求項１４】
仮想かサーバが実行する仮想マシンである端末装置によって通信された不正なデータが検知された検知日時の以前の期間である検知前期間に前記端末装置による使用が許可されたデータを指定するデータ指定情報を取得する端末構築情報取得部と、
前記端末装置の仮想マシンイメージを取得する仮想マシン取得部と、
前記仮想マシンイメージを用いて生成される仮想マシンに、前記データ指定情報によって指定されるデータを使用させる仮想マシン実行部と
を備えるふるまい検知装置。
【請求項１５】
端末装置によって通信された不正なデータが検知された検知日時の以前の期間である検知前期間に前記端末装置による使用が許可されたデータを指定するデータ指定情報を取得する端末構築情報取得部と、
前記端末装置の仮想マシンイメージを取得する仮想マシン取得部と、
前記仮想マシンイメージを用いて生成される仮想マシンに、前記データ指定情報によって指定されるデータを使用させる仮想マシン実行部と
を備えるふるまい検知装置。
【請求項１６】
端末装置によって通信された不正なデータが検知された検知日時を含む検知情報を取得する検知情報取得処理と、
前記検知日時における前記端末装置の情報である検知日時端末情報を取得する端末情報取得処理と、
前記検知日時端末情報と、前記検知日時の以前の期間である検知前期間に前記端末装置による使用が許可されたデータを指定するデータ指定情報とを、前記端末装置として機能する仮想マシンを実行するふるまい検知装置へ出力する端末構築情報出力処理と
をコンピュータに実行させる端末分析プログラム。
【請求項１７】
仮想化サーバが実行する仮想マシンである端末装置によって通信された不正なデータが検知された検知日時を含む検知情報を取得する検知情報取得処理と、
前記端末装置の仮想マシンイメージを出力することを指示する仮想マシン複製指示を前記仮想化サーバへ出力する仮想マシン複製指示処理と、
前記検知日時の以前の期間である検知前期間に前記端末装置による使用が許可されたデータを指定するデータ指定情報を、前記仮想マシンイメージの出力先の装置であるふるまい検知装置へ出力する端末構築情報出力処理と
をコンピュータに実行させる端末分析プログラム。
【請求項１８】
端末装置によって通信された不正なデータが検知された検知日時を含む検知情報を取得する検知情報取得処理と、
前記端末装置の仮想マシンイメージを出力することを指示する仮想マシン生成指示を前記端末装置へ出力する仮想マシン生成指示処理と、
前記検知日時の以前の期間である検知前期間に前記端末装置による使用が許可されたデータを指定するデータ指定情報を、前記仮想マシンイメージの出力先の装置であるふるまい検知装置へ出力する端末構築情報出力処理と
をコンピュータに実行させる端末分析プログラム。
【請求項１９】
端末装置によって通信された不正なデータが検知された検知日時における前記端末装置の情報である検知日時端末情報と、前記検知日時の以前の期間である検知前期間に前記端末装置による使用が許可されたデータを指定するデータ指定情報と、を取得する端末構築情報取得処理と、
前記検知日時端末情報に基づいて、前記検知日時における前記端末装置として機能する仮想マシンである検知日時仮想マシンを生成する仮想マシン生成処理と、
前記データ指定情報によって指定されるデータを前記検知日時仮想マシンに使用させる仮想マシン実行処理と
をコンピュータに実行させるふるまい検知プログラム。
【請求項２０】
仮想かサーバが実行する仮想マシンである端末装置によって通信された不正なデータが検知された検知日時の以前の期間である検知前期間に前記端末装置による使用が許可されたデータを指定するデータ指定情報を取得する端末構築情報取得処理と、
前記端末装置の仮想マシンイメージを取得する仮想マシン取得処理と、
前記仮想マシンイメージを用いて生成される仮想マシンに、前記データ指定情報によって指定されるデータを使用させる仮想マシン実行処理と
をコンピュータに実行させるふるまい検知プログラム。
【請求項２１】
端末装置によって通信された不正なデータが検知された検知日時の以前の期間である検知前期間に前記端末装置による使用が許可されたデータを指定するデータ指定情報を取得する端末構築情報取得処理と、
前記端末装置の仮想マシンイメージを取得する仮想マシン取得処理と、
前記仮想マシンイメージを用いて生成される仮想マシンに、前記データ指定情報によって指定されるデータを使用させる仮想マシン実行処理と
をコンピュータに実行させるふるまい検知プログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、マルウエアを検知する技術に関するものである。
【背景技術】
【０００２】
近年、マルウエアが機密情報を組織外に漏洩させる事故が問題となっている。マルウエアを用いたサイバー攻撃は高度化されつつある。
例えば、ＡＰＴ（Ａｄｖａｎｃｅｄ  Ｐｅｒｓｉｓｔｅｎｔ  Ｔｈｒｅａｔ）と呼ばれる攻撃がある。
【０００３】
ＡＰＴにおいて、マルウエアは、添付メールなどに付随して計算機に侵入することによって、計算機に感染する。このマルウエアは、攻撃者が運用するＣ＆Ｃサーバとインターネットを介して通信し、攻撃ツールまたは新たなマルウエアをダウンロードする。また、マルウエアは、Ｃ＆Ｃサーバとの通信によって、自身をアップデートさせる場合もある。Ｃ＆ＣはＣｏｍｍａｎｄ＆Ｃｏｎｔｒｏｌの略称である。
そして、マルウエアは、Ｃ＆Ｃサーバから命令を受信すると、計算機が属するシステム内を偵察し、ファイルサーバを見つけ、機密ファイルをＣ＆Ｃサーバへ送信する。
このような攻撃は長時間かけて段階的に行われる。例えば、マルウエアは、計算機に感染した後の１ヶ月は活動せずに身を潜め、１ヶ月が経過した後にＣ＆Ｃサーバとの通信を開始する。
【０００４】
既存技術として、ふるまい検知装置によるＡＰＴ対策が挙げられる。
ふるまい検知装置は、仮想マシンを動作させて、仮想マシンに脆弱なＯＳ（Ｏｐｅｒａｔｉｎｇ  Ｓｙｓｔｅｍ）および他のソフトウエアをインストールする。次に、ふるまい検知装置は、計算機が通信した電子メール、ＨＴＴＰリクエストおよびＨＴＴＰレスポンスなどのデータをキャプチャし、キャプチャしたデータを仮想マシンに取り込む。
次に、仮想マシンは、電子メールの添付ファイルを実行し、ＨＴＴＰリクエストおよびＨＴＴＰレスポンスを処理する。ＨＴＴＰリクエストおよびＨＴＴＰレスポンスが処理されることによって、コンテンツがブラウザで開かれ、ダウンロードファイルが実行される。
そして、ふるまい検知装置は、仮想マシンに不審な挙動が発生していないかを監視することによって、マルウエアの検知を行う。例えば、不審な挙動とは、仮想マシンのコンフィグレーションへのアクセスである。
【０００５】
特許文献１は、保護対象の計算機が仮想マシンを動作させて仮想マシンの挙動を監視する方法を開示している。しかし、この方法では、保護対象の計算機に掛かる負荷が大きくなってしまう。
また、保護対象の計算機ではなく、ふるまい検知装置内の仮想環境において、マルウエアと思われる不審なデータを実行して挙動を監視する方法がある。しかし、この方法では、（１）マルウエアが暗号化されている場合、（２）マルウエアが定刻にならないと活動しない場合、または（３）計算機が特定の条件を満たさないとマルウエアが活動しない場合に、マルウエアを検知することができない。例えば、特定の条件として、ＯＳまたは他のソフトウエアのバージョン、特定のファイルを開く動作、特定のＷｅｂサイトへのアクセスなどが挙げられる。この方法について、実装の例として、非特許文献１などがある。
【先行技術文献】
【特許文献】
【０００６】
【特許文献１】特表２００４−５０４６６２号公報
【非特許文献】
【０００７】
【非特許文献１】ＦｉｒｅＥｙｅ、“標的型攻撃・サイバーアタック対策はマクニカネットワークス”、［ｏｎｌｉｎｅ］、インターネット（ｈｔｔｐ：／／ｗｗｗ．ｍａｃｎｉｃａ．ｎｅｔ／ｆｉｒｅｅｙｅ／）
【発明の概要】
【発明が解決しようとする課題】
【０００８】
本発明は、不正なデータが検知された検知日時における端末装置を再現し、検知日時の以前に端末装置による使用が許可されたデータがマルウエアであるか否かを検査できるようにすることを目的とする。
【課題を解決するための手段】
【０００９】
本発明の端末分析装置は、
端末装置によって通信された不正なデータが検知された検知日時を含む検知情報を取得する検知情報取得部と、
前記検知日時における前記端末装置の情報である検知日時端末情報を取得する端末情報取得部と、
前記検知日時端末情報と、前記検知日時の以前の期間である検知前期間に前記端末装置による使用が許可されたデータを指定するデータ指定情報とを、前記端末装置として機能する仮想マシンを実行するふるまい検知装置へ出力する端末構築情報出力部とを備える。
【発明の効果】
【００１０】
本発明によれば、不正なデータによる攻撃が検知された検知日時における端末装置を再現し、検知日時の以前に端末装置による使用が許可されたデータがマルウエアであるか否かを検査することができる。
【図面の簡単な説明】
【００１１】
【図１】実施の形態１におけるマルウエア検知システム１００の構成図。
【図２】実施の形態１における端末分析装置２００の機能構成図。
【図３】実施の形態１におけるふるまい検知装置３００の機能構成図。
【図４】実施の形態１における端末分析装置２００、ふるまい検知装置３００および端末装置４００のハードウエア構成図。
【図５】実施の形態１における端末分析方法のフローチャート。
【図６】実施の形態１におけるリリース情報１０１を説明する図。
【図７】実施の形態１における検知情報１０２を説明する図。
【図８】実施の形態１における履歴情報１０３Ｈを説明する図。
【図９】実施の形態１におけるふるまい検知方法のフローチャート。
【図１０】実施の形態１におけるデータ記憶部３９１およびリリース情報記憶部３９２を説明する図。
【図１１】実施の形態２におけるダイアログ４２０を説明する図。
【図１２】実施の形態３におけるふるまい検知装置３００の機能構成図。
【図１３】実施の形態３におけるふるまい検知方法のフローチャート。
【図１４】実施の形態３における他端末ふるまい検知処理（Ｓ３００）のフローチャート。
【図１５】実施の形態５におけるマルウエア検知システム１００の構成図。
【図１６】実施の形態５における端末分析装置２００の機能構成図。
【図１７】実施の形態５におけるふるまい検知装置３００の機能構成図。
【図１８】実施の形態５における端末分析方法のフローチャート。
【図１９】実施の形態５におけるふるまい検知方法のフローチャート。
【図２０】実施の形態６におけるマルウエア検知システム１００の構成図。
【図２１】実施の形態６における端末分析装置２００の機能構成図。
【図２２】実施の形態６における端末分析方法のフローチャート。
【図２３】実施の形態７における端末分析装置２００の機能構成図。
【図２４】実施の形態７におけるふるまい検知装置３００の機能構成図。
【図２５】実施の形態７における端末分析方法のフローチャート。
【発明を実施するための形態】
【００１２】
実施の形態１．
不正なデータによる攻撃が検知された検知日時における端末装置を再現し、検知日時の以前に端末装置による使用が許可されたデータがマルウエアであるか否かを検査する形態について、図１から図１０に基づいて説明する。
【００１３】
＊＊＊構成の説明＊＊＊
図１に基づいて、マルウエア検知システム１００の構成について説明する。
マルウエア検知システム１００は、イントラネットシステム１１０と、端末分析装置２００と、ふるまい検知装置３００とを備える。
イントラネットシステム１１０は、端末装置４００と、スイッチ１１１と、セキュリティ装置１１２と、通信装置１１３とを備える。端末装置４００はエージェント部４１０を備える。また、端末装置４００にはアンチウイルスソフトウエアがインストールされる。このイントラネットシステム１１０は、セキュリティ装置１１２およびアンチウイルスソフトウエアによって保護されている。
イントラネット１１９は、イントラネットシステム１１０の内部のネットワークである。
【００１４】
スイッチ１１１はレイヤ３およびレイヤ２のネットワークスイッチである。
通信装置１１３はプロキシサーバである。
セキュリティ装置１１２は、イントラネットシステム１１０に対する攻撃を検知する侵入検知装置およびログ分析装置であり、検知した攻撃の情報である検知情報１０２を出力する。検知情報１０２は攻撃が検知された検知日時を含む。
侵入検知装置は、端末装置４００へ送信される不正なデータおよび端末装置４００から送信される不正なデータを攻撃として検知する。不正なデータは既知のマルウエア、または、シグネチャにマッチする攻撃コードを含んだデータである。
ログ分析装置は、侵入検知装置の検知アラートログおよびプロキシサーバのログを分析することによって攻撃を検知する。
【００１５】
端末装置４００は、イントラネット１１９に接続し、スイッチ１１１および通信装置１１３を介して、インターネット１２０に接続する他の装置と通信を行う。
【００１６】
ふるまい検知装置３００は、イントラネット１１９で通信されるデータを取得する。取得するデータは、Ｗｅｂページ、メール、ＨＴＴＰリクエスト、ＨＴＴＰレスポンス、ダウンロードファイルなどである。
ふるまい検知装置３００は、端末装置４００として機能する仮想マシンによってデータを使用し、仮想マシンのふるまいを検知する。
検知したふるまいが不正動作条件を満たす不正動作である場合、ふるまい検知装置３００は、データがマルウエアであると判定する。不正動作は、端末装置４００の設定の変更、インターネット１２０への通信、ファイルの削除などである。
検知したふるまいが不正動作でない場合、ふるまい検知装置３００はリリース情報１０１を出力する。リリース情報１０１は、端末装置４００による使用が許可されたデータの情報である。端末装置４００による使用が許可されたデータをリリースデータという。
【００１７】
端末分析装置２００は、検知情報１０２をセキュリティ装置１１２から取得し、リリース情報１０１をふるまい検知装置３００から取得し、検知日時端末情報１０３を端末装置４００のエージェント部４１０から取得する。検知日時端末情報１０３は検知日時における端末装置４００の情報、または、検知日時における端末装置４００の情報を生成するために必要な情報である。
そして、端末分析装置２００は、端末構築情報１０４をふるまい検知装置３００へ出力する。端末構築情報１０４は、検知日時端末情報１０３と、検知前期間のリリース情報１０１とを含む。検知前期間は検知日時の以前の期間である。
【００１８】
ふるまい検知装置３００は、端末構築情報１０４を取得し、検知日時における端末装置４００として機能する仮想マシンによって、検知前期間のリリースデータを使用する。そして、ふるまい検知装置３００は、仮想マシンのふるまいを検知し、検知日時の以前のリリースデータがマルウエアであるか否かを判定する。
【００１９】
図２に基づいて、端末分析装置２００の機能構成について説明する。
端末分析装置２００は、リリース情報取得部２１０と、リリース情報記憶部２９１と、リリース情報選択部２１１とを備える。さらに、端末分析装置２００は、検知情報取得部２２０と、端末情報取得部２３０と、端末構築情報生成部２３１と、端末構築情報出力部２３２とを備える。
【００２０】
リリース情報取得部２１０は、端末装置４００による使用が許可されたデータであるリリースデータ毎に、リリースデータの情報であるリリース情報１０１をふるまい検知装置３００から取得する。
リリース情報記憶部２９１は、リリースデータ毎のリリース情報１０１を記憶する。
リリース情報選択部２１１は、リリースデータ毎のリリース情報１０１から、検知前期間に許可されたリリースデータのリリース情報１０１を選択する。
【００２１】
検知情報取得部２２０は、端末装置４００によって通信された不正なデータが検知された検知日時を含む検知情報１０２を、セキュリティ装置１１２から取得する。
端末情報取得部２３０は、検知日時における端末装置４００の情報である検知日時端末情報１０３を、端末装置４００のエージェント部４１０から取得する。
端末構築情報生成部２３１は、検知日時端末情報１０３と選択されたリリース情報１０１とを含んだ端末構築情報１０４を生成する。端末構築情報１０４に含まれるリリース情報１０１は、検知前期間に許可されたリリースデータを指定するデータ指定情報である。
端末構築情報出力部２３２は、端末構築情報１０４をふるまい検知装置３００へ出力する。
【００２２】
図３に基づいて、ふるまい検知装置３００の機能構成について説明する。
ふるまい検知装置３００は、端末構築情報取得部３１０と、仮想マシン生成部３２０、仮想マシン実行部３３０と、ふるまい検知部３４０と、データ取得部３７０と、リリース情報出力部３８０とを備える。さらに、ふるまい検知装置３００は、データ記憶部３９１と、リリース情報記憶部３９２と、仮想マシンテンプレート記憶部３９３とを備える。
【００２３】
データ取得部３７０は、イントラネット１１９で通信されるデータ３７１を取得する。
データ記憶部３９１は、データ３７１を記憶する。
リリース情報記憶部３９２は、リリースデータ毎のリリース情報１０１を記憶する。
仮想マシンテンプレート記憶部３９３は、仮想マシンテンプレート３９３Ｔを記憶する。仮想マシンテンプレート３９３Ｔは仮想マシンを構成する仮想マシンイメージのテンプレートである。
リリース情報出力部３８０は、リリースデータ毎のリリース情報１０１をふるまい検知装置３００へ出力する。
【００２４】
端末構築情報取得部３１０は、端末装置４００から出力される端末構築情報１０４を取得する。
【００２５】
仮想マシン生成部３２０は、データ３７１が取得された場合、標準の仮想マシンテンプレート３９３Ｔを用いて仮想マシンを生成する。この仮想マシンを標準仮想マシンという。
仮想マシン生成部３２０は、端末構築情報１０４が取得された場合、端末構築情報１０４に含まれる検知日時端末情報１０３に対応する仮想マシンテンプレート３９３Ｔを選択する。そして、仮想マシン生成部３２０は、仮想マシンテンプレート３９３Ｔと検知日時端末情報１０３とを用いて、検知日時仮想マシン３２１を生成する。検知日時仮想マシンは検知日時における端末装置４００として機能する仮想マシンである。
【００２６】
仮想マシン実行部３３０は、データ３７１が取得された場合、標準仮想マシンを実行してデータ３７１を使用し、標準仮想マシンの実行情報３３１を出力する。実行情報３３１は仮想マシンを実行して得られた情報である。
仮想マシン実行部３３０は、端末構築情報１０４が取得された場合、端末構築情報１０４に含まれるリリース情報１０１によって指定されるリリースデータを検知日時仮想マシン３２１に使用させて、検知日時仮想マシン３２１の実行情報３３１を出力する。
【００２７】
ふるまい検知部３４０は、第１のふるまい検知部３４１と、第２のふるまい検知部３４２とを備える。
第１のふるまい検知部３４１は、標準仮想マシンの実行情報３３１に基づいて標準仮想マシンのふるまいを検知し、データ３７１がマルウエアであるか否かを判定する。データ３７１がマルウエアでないと判定した場合、第１のふるまい検知部３４１は、データ３７１のリリース情報１０１として生成する。
第２のふるまい検知部３４２は、検知日時仮想マシン３２１の実行情報３３１に基づいて検知日時仮想マシン３２１のふるまいを検知し、検知日時仮想マシン３２１に使用させたリリースデータ３７２がマルウエアであるか否かを判定する。リリースデータ３７２がマルウエアであると判定した場合、第２のふるまい検知部３４２は検知結果情報３４２Ｒを生成する。検知結果情報３４２Ｒは、マルウエアであると判定されたリリースデータ３７２の情報である。
【００２８】
第１のふるまい検知部３４１について補足する。
マルウエアであるか否かを判定できないがデータ３７１の使用を許可した場合、第１のふるまい検知部３４１はデータ３７１のリリース情報１０１を生成する。
データ３７１がマルウエアであると判定した場合、第１のふるまい検知部３４１は、マルウエアが検知されたことを通知する電子メールを送信する。この電子メールは、端末装置４００のユーザ宛てまたはイントラネットシステム１１０の管理者宛てに送信される。管理者宛てに電子メールが送信された場合、管理者は電子メールの内容を確認し、端末装置４００のユーザに電話連絡する。
【００２９】
図４に基づいて、端末分析装置２００、ふるまい検知装置３００および端末装置４００のハードウエア構成について説明する。
端末分析装置２００、ふるまい検知装置３００および端末装置４００は、演算装置９０１、補助記憶装置９０２、主記憶装置９０３、通信装置９０４および入出力装置９０５を備えるコンピュータである。
演算装置９０１、補助記憶装置９０２、主記憶装置９０３、通信装置９０４および入出力装置９０５はバス９０９に接続している。
【００３０】
演算装置９０１は、プログラムを実行するＣＰＵ（Ｃｅｎｔｒａｌ  Ｐｒｏｃｅｓｓｉｎｇ  Ｕｎｉｔ）である。
補助記憶装置９０２は、例えば、ＲＯＭ（Ｒｅａｄ  Ｏｎｌｙ  Ｍｅｍｏｒｙ）、フラッシュメモリまたはハードディスク装置である。
主記憶装置９０３は、例えば、ＲＡＭ（Ｒａｎｄｏｍ  Ａｃｃｅｓｓ  Ｍｅｍｏｒｙ）である。
通信装置９０４は、有線または無線でインターネット、ＬＡＮ（ローカルエリアネットワーク）、電話回線網またはその他のネットワークを介して通信を行う。
入出力装置９０５は、例えば、マウス、キーボード、ディスプレイ装置である。
【００３１】
プログラムは、補助記憶装置９０２に記憶されている。
例えば、オペレーティングシステム（ＯＳ）が補助記憶装置９０２に記憶される。また、「〜部」として説明している機能を実現するプログラムが補助記憶装置９０２に記憶される。
プログラムは、補助記憶装置９０２に記憶されており、主記憶装置９０３にロードされ、演算装置９０１に読み込まれ、演算装置９０１によって実行される。
【００３２】
判断、判定、抽出、検知、設定、登録、選択、生成、入力、出力等の処理の結果を示す情報、データ、ファイル、信号値または変数値が主記憶装置９０３または補助記憶装置９０２に記憶される。
【００３３】
＊＊＊動作の説明＊＊＊
図５に基づいて、端末分析装置２００の端末分析方法について説明する。
Ｓ１１０はリリース情報取得処理である。
Ｓ１１０において、リリース情報取得部２１０は、ふるまい検知装置３００から出力されるリリースデータ毎のリリース情報１０１を取得し、リリースデータ毎のリリース情報１０１をリリース情報記憶部２９１に記憶する。
図６に示すように、リリース情報１０１は、リリース日時、リリースＩＤ、データ種別、送信元情報、送信先情報、環境情報および参考情報を含む。
リリース日時は、端末装置４００によるリリースデータの使用が許可された日時である。
リリースＩＤは、リリース情報１０１の識別子である。
データ種別は、リリースデータの種別である。リリースデータの種別には、メール、ＨＴＴＰリクエスト、ＨＴＴＰレスポンス、ダウンロードファイルなどがある。
送信元情報は、リリースデータの送信元を識別する情報である。リリースデータがメールである場合、送信元情報は送信者のメールアドレスである。リリースデータがＨＴＴＰリクエストである場合、送信元情報は端末装置４００の識別子である。端末装置４００の識別子には、ＩＰアドレス、ＭＡＣアドレスまたは資産番号などがある。リリースデータがＨＴＴＰレスポンスである場合、送信元情報はＷｅｂサーバのＵＲＬである。
送信先情報は、リリースデータの送信先を識別する情報である。リリースデータがメールである場合、送信先情報は受信者のメールアドレスである。リリースデータがＨＴＴＰリクエストである場合、送信先情報はＷｅｂサーバのＵＲＬである。リリースデータがＨＴＴＰレスポンスである場合、送信先情報は端末装置４００の識別子である。
環境情報は、リリースデータのふるまい検知で使用された仮想マシンの情報である。仮想マシンの情報には、ＯＳ（Ｏｐｅｒａｔｉｎｇ  Ｓｙｓｔｅｍ）およびＯＳ以外のソフトウエアのバージョン、それらに適用されたパッチの情報などがある。
参考情報は、リリースデータのふるまい検知に関する上記以外の情報である。
リリース情報１０１は、上記の情報の他に、端末装置４００の識別子を含んでもよい。
【００３４】
Ｓ１２０は検知情報取得処理である。
Ｓ１２０において、検知情報取得部２２０は、セキュリティ装置１１２から出力される検知情報１０２を取得する。
図７に示すように、検知情報１０２は、検知日時、検知ＩＤ、攻撃種別、攻撃元情報、攻撃先情報および参考情報を含む。
検知日時は、端末装置４００によって通信された不正なデータが攻撃として検知された日時である。
検知ＩＤは、検知情報１０２の識別子である。
攻撃種別は、検知された攻撃の種別である。攻撃の種別には、ポートスキャン、ＤＯＳ（Ｄｅｎｉａｌ  ｏｆ  Ｓｅｒｖｉｃｅ  ａｔｔａｃｋ）／ＤＤｏＳ（Ｄｉｓｔｒｉｂｕｔｅｄ  ＤＯＳ）、Ｅｘｐｌｏｉｔコードなどがある。
攻撃元情報は、攻撃を発生させた装置を識別する情報である。この情報には、ＩＰアドレス、ＭＡＣアドレス、資産番号などがある。マルウエアに感染した端末装置４００は攻撃を発生させた装置に該当する場合がある。
攻撃先情報は、攻撃を受けた装置を識別する情報である。端末装置４００が攻撃を受けた場合、攻撃先情報は端末装置４００の識別子である。端末装置４００がインターネット１２０に接続する装置を攻撃をした場合、攻撃先情報はＷｅｂサーバのＵＲＬまたは送信先のメールアドレスなどである。
参考情報は、攻撃検知に関する上記以外の情報である。
【００３５】
Ｓ１３０はリリース情報選択処理である。
Ｓ１３０において、リリース情報選択部２１１は、検知情報１０２に基づいて、以下のリリース情報選択条件（１）及び（２）を満たすリリース情報１０１をリリース情報記憶部２９１から選択する。
（１）リリース日時が検知前期間内の日時である。この検知前期間は検知日時の以前のＭ日間である。検知前期間長Ｍは端末分析装置２００に入力される値である。
（２）送信元情報と送信先情報との少なくとも一方が攻撃元情報または攻撃先情報と一致する。
【００３６】
リリース情報１０１が選択された場合、Ｓ１４０以降の処理が実行されるが、リリース情報１０１が選択されなかった場合、Ｓ１４０以降の処理は実行されない。
リリース情報１０１が選択されたものとしてＳ１４０以降の処理について説明する。
【００３７】
Ｓ１４０は端末情報取得処理である。
Ｓ１４０において、端末情報取得部２３０は、検知日時端末情報１０３を要求する端末情報要求を生成し、端末情報要求を端末装置４００のエージェント部４１０へ出力する。
端末装置４００のエージェント部４１０は、端末情報要求に従って検知日時端末情報１０３を取得し、検知日時端末情報１０３を端末情報取得部２３０へ出力する。
そして、端末情報取得部２３０は、検知日時端末情報１０３を取得する。
【００３８】
端末情報要求は、端末ＩＤ、検知日時および取得対象を含む。
端末ＩＤは、端末装置４００の識別子である。端末情報取得部２３０は、検知情報１０２の攻撃種別に基づいて、攻撃元情報または攻撃先情報を端末ＩＤとして選択する。
取得対象は、端末装置４００から取得する情報の種別である。取得対象には、ＯＳ、ソフトウエア、端末コンフィグレーション、ネットワーク情報などがある。取得対象は端末分析装置２００に入力される情報である。
【００３９】
Ｓ１５０は端末構築情報生成処理である。
Ｓ１５０において、端末構築情報生成部２３１は端末構築情報１０４を生成する。
端末構築情報１０４は、端末ＩＤ、検知日時端末情報１０３、選択されたリリース情報１０１および検知情報１０２を含む。
但し、端末構築情報１０４は、選択されたリリース情報１０１の代わりに、選択されたリリース情報１０１のリリースＩＤを含んでもよい。
【００４０】
Ｓ１６０は端末構築情報出力処理である。
Ｓ１６０において、端末構築情報出力部２３２は、ふるまい検知装置３００の識別子と共に、端末構築情報１０４をふるまい検知装置３００へ出力する。ふるまい検知装置３００の識別子は、ＩＰアドレスとポート番号との組またはＵＲＬなどである。ふるまい検知装置３００の識別子は端末分析装置２００に入力される情報である。
ふるまい検知装置３００が認証処理を行う場合、端末構築情報出力部２３２は認証処理に必要な認証情報も、ふるまい検知装置３００へ出力する。認証情報は端末分析装置２００に入力される情報である。
端末構築情報出力部２３２は、端末構築情報１０４を加工し、加工後の端末構築情報１０４をふるまい検知装置３００へ出力してもよい。加工方法を指定する情報は端末分析装置２００に入力される。
端末構築情報１０４はファイルとして外部記憶媒体に書き出されて、外部記憶媒体からふるまい検知装置３００に読み込まれてもよい。
Ｓ１６０の後、端末分析方法の処理は終了する。
【００４１】
上記のＳ１４０において、端末情報取得部２３０は以下の（１）または（２）のように検知日時端末情報１０３を取得してもよい。
（１）端末情報取得部２３０は、管理者アカウントの情報を用いて端末装置４００にログインし、端末装置４００から検知日時端末情報１０３を取得する。
【００４２】
（２）端末情報取得部２３０は、以下のような端末情報要求を端末装置４００のエージェント部４１０に出力し、検知日時の以前の日時である検知前日時における端末装置４００の情報と、検知前日時から検知日時までに端末装置４００の履歴情報１０３Ｈとを端末装置４００のエージェント部４１０から取得する。
端末情報要求は、端末ＩＤ、取得期間および取得対象を含む。
取得期間は、検知日時の以前のＮ日間である。検知前期間長Ｎは端末分析装置２００に入力される値である。検知日時からＮ日前の日時が検知前日時である。
【００４３】
図８に示す履歴情報１０３Ｈは、以下の（ａ）〜（ｄ）の情報を含んでいる。
（ａ）２０１４年９月１４日の１２時に、ソフトウエアαがインストールされてパッチＺが適用された。
（ｂ）２０１４年９月１５日の１２時に、ＯＳ＿Ｘのバージョン１に対してパッチＡが適用された。
（ｃ）２０１４年９月１６日の１２時に、端末コンフィグレーションキーβが変更された。
（ｄ）２０１４年９月１７日の１２時に、ネットワーク設定がＤＨＣＰに変更された。
【００４４】
端末情報取得部２３０は、検知前日時における端末装置４００の情報に履歴情報１０３Ｈを反映させることによって、検知日時端末情報１０３を生成する。
図８に示すような履歴情報が取得された場合、検知日時端末情報１０３は以下の（Ａ）〜（Ｄ）の情報を含む。（Ａ）はＯＳの情報であり、（Ｂ）はソフトウエアの情報であり、（Ｃ）は端末コンフィグレーションの情報であり、（Ｄ）はネットワーク情報である。
（Ａ）ＯＳ＿Ｘのバージョン１に対してパッチＡが適用された。
（Ｂ）ソフトウエアαがインストールされてパッチＺが適用された。
（Ｃ）端末コンフィグレーションキーβが変更された。
（Ｄ）ネットワーク設定がＤＨＣＰに変更された。
【００４５】
図９に基づいて、端末分析装置２００から端末構築情報１０４が出力された場合のふるまい検知装置３００のふるまい検知方法について説明する。
Ｓ２１０は端末構築情報取得処理である。
Ｓ２１０において、端末構築情報取得部３１０は、端末分析装置２００から出力される端末構築情報１０４を取得する。
【００４６】
Ｓ２２０は仮想マシン生成処理である。
Ｓ２２０において、仮想マシン生成部３２０は、端末構築情報１０４に含まれる検知日時端末情報１０３に対応する仮想マシンテンプレート３９３Ｔを仮想マシンテンプレート記憶部３９３から選択する。選択される仮想マシンテンプレート３９３Ｔは、検知日時端末情報１０３が示すＯＳと同じＯＳ、および、検知日時端末情報１０３が示すソフトウエアと同じソフトウエアを含んだ仮想マシンイメージのテンプレートである。但し、仮想マシンテンプレート３９３ＴはＯＳおよびソフトウエア以外の情報に基づいて選択されてもよい。
そして、仮想マシン生成部３２０は、仮想マシンテンプレート３９３Ｔと検知日時端末情報１０３とを用いて、検知日時仮想マシン３２１を生成する。検知日時仮想マシン３２１は、検知日時端末情報１０３が示す残りの情報（端末コンフィグレーション、ネットワーク情報など）を仮想マシンテンプレート３９３Ｔに反映させることによって生成される。
【００４７】
Ｓ２３０からＳ２３２は仮想マシン実行処理である。
Ｓ２３０において、仮想マシン実行部３３０は、端末構築情報１０４に含まれるリリース情報１０１によって指定されるリリースデータ３７２をデータ記憶部３９１から取得する。
【００４８】
リリースデータ３７２はデータ記憶部３９１から以下のように取得される。
図１０に示すように、データ記憶部３９１は、データＩＤに対応付けてリリースデータ３７２を記憶する。リリース情報記憶部３９２は、データＩＤに対応付けられたリリース情報１０１を含むリリース管理情報１０１Ｍを記憶する。
仮想マシン実行部３３０は、端末構築情報１０４に含まれるリリース情報１０１内のリリースＩＤと同じリリースＩＤを含んだリリース管理情報１０１Ｍのエントリを選択し、選択したエントリに含まれるデータＩＤと同じデータＩＤに対応付けられたリリースデータ３７２をデータ記憶部３９１から取得する。
【００４９】
Ｓ２３１において、仮想マシン実行部３３０は、検知日時仮想マシン３２１を実行し、検知日時仮想マシン３２１に各リリースデータ３７２を使用させる。
検知日時仮想マシン３２１はリリースデータ３７２を以下のように使用する。
リリースデータ３７２がファイルである場合、検知日時仮想マシン３２１はファイルを開く。
リリースデータ３７２がＷｅｂコンテンツである場合、検知日時仮想マシン３２１はＷｅｂブラウザを実行してＷｅｂコンテンツを参照する。
【００５０】
仮想マシン実行部３３０は、端末装置４００と通信する他の装置の仮想マシンを実行してもよく、検知日時仮想マシン３２１と他の装置の仮想マシンとが通信する仮想的なネットワーク環境を生成してもよい。また、検知日時仮想マシン３２１が物理的なネットワークに接続して通信を行ってもよい。
【００５１】
Ｓ２３２において、仮想マシン実行部３３０は、検知日時仮想マシン３２１の実行情報３３１を生成する。
実行情報３３１は、端末コンフィグレーションが変更されたこと、および、通信が発生したことなどの情報を含む。
【００５２】
Ｓ２４０およびＳ２４１はふるまい検知処理（マルウエア検知処理）である。
Ｓ２４０において、第２のふるまい検知部３４２は、検知日時仮想マシン３２１の実行情報３３１に基づいて、リリースデータ３７２がマルウエアであるか否かを判定する。
実行情報３３１が不審な挙動についての以下の（１）〜（３）のような情報を含む場合、リリースデータ３７２がマルウエアであると判定される。
（１）端末コンフィグレーションが変更された。
（２）ブラックリストに登録されているＵＲＬへのアクセスが発生した。
（３）頻度閾値よりも高い頻度でファイルへのアクセスが発生した。
リリースデータ３７２がマルウエアであると判定された場合（ＹＥＳ）、処理はＳ２４１に進む。
リリースデータ３７２がマルウエアであると判定されなかった場合（ＮＯ）、ふるまい検知方法の処理は終了する。
【００５３】
Ｓ２４１において、第２のふるまい検知部３４２は、マルウエアであると判定されたリリースデータ３７２の情報である検知結果情報３４２Ｒを生成し、検知結果情報３４２Ｒを出力する。
Ｓ２４１の後、ふるまい検知方法の処理は終了する。
【００５４】
＊＊＊効果の説明＊＊＊
端末分析装置２００は検知情報１０２を取得した場合に検知日時端末情報１０３を取得し、検知日時端末情報１０３をふるまい検知装置３００に出力する。
これにより、ふるまい検知装置３００は検知日時仮想マシン３２１を生成し、検知日時仮想マシン３２１を実行し、リリースデータ３７２がマルウエアであるか否かを判定できる。
【００５５】
実施の形態２．
暗号化されたリリースデータ３７２を検査する形態について説明する。但し、実施の形態１と重複する説明は省略する。
【００５６】
マルウエア検知システム１００の構成は実施の形態１の図１と同じである。
但し、端末装置４００はパスワード記憶部を備える。
そして、端末装置４００のエージェント部４１０は、端末装置４００に入力されたパスワードを収集し、収集したパスワードをパスワード記憶部に記憶する。パスワードを収集するために、ＯＳのプログラミングインタフェースを利用することができる。
【００５７】
図１１に示すようなダイアログ４２０に入力されたデータがパスワードとして収集される。
ダイアログ４２０は、パスワードの入力用のウインドウであり、ウインドウタイトル４２１、ウインドウメッセージ４２２およびテキストボックス４２３を備える。
ウインドウタイトル４２１およびウインドウメッセージ４２２にパスワードの入力に関する文字列が含まれる場合、テキストボックス４２３に入力されたデータがパスワードである。また、ダイアログ４２０のプロセス名またはアプリケーション名が「ｐａｓｓｗｏｒｄｉｎｆｏ」のようにパスワードの入力に関する名称である場合、テキストボックス４２３に入力されたデータがパスワードである。
パスワードの入力に関する文字列および名称は、ソフトウエアの仕様書または説明書から抽出されて、エージェント部４１０の設定ファイルに予め登録される。そして、エージェント部４１０は、設定ファイルに登録された文字列または名称に対応するダイアログ４２０が表示された場合、キーボードから入力されたデータをパスワードとして収集し、パスワードをダイアログ４２０の情報に対応付けて記憶する。ダイアログ４２０の情報はウインドウタイトル４２１、プロセス名およびアプリケーション名などである。
パスワードはＷｅｂコンテンツに入力される場合もある。この場合、Ｗｅｂコンテンツの画面に入力されたパスワードが収集されて、収集されたパスワードがＷｅｂコンテンツの情報に対応付けて記憶される。
エージェント部４１０は過去Ｒ日間に収集したパスワードを保存する。記憶期間長Ｒはエージェント部４１０の設定ファイルに予め登録される。
【００５８】
端末分析装置２００の機能構成は実施の形態１の図２と同じである。
但し、検知日時端末情報１０３は、選択されたリリース情報１０１に含まれるリリース日時の以後の期間であるデータ使用期間に端末装置４００に入力されたパスワードを含む。
【００５９】
ふるまい検知装置３００の機能構成は実施の形態１の図３と同じである。
但し、暗号化されて復号できないデータ３７１の使用を許可した場合、第１のふるまい検知部３４１はデータ３７１のリリース情報１０１を生成する。
また、仮想マシン実行部３３０は、検知日時端末情報１０３に含まれるリリース情報１０１によって指定されるリリースデータ３７２が暗号化されたデータ３７１である場合、検知日時端末情報１０３に含まれるパスワードを用いてリリースデータ３７２を復号する。
【００６０】
端末分析装置２００の端末分析方法における処理の流れは実施の形態１の図５と同じである。但し、Ｓ１４０は実施の形態１と以下のように異なる。
Ｓ１４０において、端末情報取得部２３０はデータ使用期間を端末情報要求に含める。データ使用期間は、選択されたリリース情報に含まれるリリース日時の以後のＬ日間である。データ使用期間長Ｌは端末分析装置２００に入力される値である。但し、データ使用期間はリリース日時から検知日時までの期間であってもよい。
端末装置４００のエージェント部４１０は、端末情報要求に含まれるデータ使用期間に収集したパスワードおよびダイアログ４２０の情報を抽出し、抽出したパスワードおよびダイアログ４２０の情報を検知日時端末情報１０３に含める。
そして、端末情報取得部２３０は、パスワードおよびダイアログ４２０の情報を含んだ検知日時端末情報１０３を取得する。
【００６１】
ふるまい検知装置３００のふるまい検知方法における処理の流れは実施の形態１の図９と同じである。但し、Ｓ２３１は実施の形態１と以下のように異なる。
Ｓ２３１において、検知日時仮想マシン３２１に使用させるリリースデータ３７２が暗号化されたデータ３７１である場合、仮想マシン実行部３３０は、検知日時端末情報１０３に含まれるパスワードを用いてリリースデータ３７２を復号する。使用されるパスワードは、リリースデータ３７２が使用されるときに表示されたダイアログ４２０の情報と同じ情報に対応付けられたパスワードである。但し、仮想マシン実行部３３０は、検知日時端末情報１０３に含まれる全てのパスワードを用いて、リリースデータ３７２の復号を試みてもよい。
そして、仮想マシン実行部３３０は、復号したリリースデータ３７２を検知日時仮想マシン３２１に使用させる。
【００６２】
＊＊＊効果の説明＊＊＊
ふるまい検知装置３００はリリース日時の以後に端末装置４００に入力されたパスワードを取得し、パスワードをふるまい検知装置３００に出力する。
これにより、ふるまい検知装置３００は、パスワードを用いて、暗号化されたリリースデータ３７２を復号することができる。そして、ふるまい検知装置３００は復号したリリースデータ３７２を検知日時仮想マシン３２１に使用させて、リリースデータ３７２がマルウエアであるか否かを判定できる。
【００６３】
実施の形態３．
リリース日時から待機期間長の期間が経過した後に活動するマルウエアを検知する形態について、図１２から図１４に基づいて説明する。但し、実施の形態１と重複する説明は省略する。
【００６４】
端末分析装置２００の機能構成は実施の形態１の図２と同じである。
但し、端末構築情報生成部２３１は待機期間長を含んだ端末構築情報１０４を生成し、端末構築情報出力部２３２は待機期間長を含んだ端末構築情報１０４をふるまい検知装置３００に出力する。待機期間長は、選択されたリリース情報１０１に含まれるリリース日時から検知日時までの期間の長さである。
【００６５】
図１２に基づいて、ふるまい検知装置３００の機能構成について説明する。
ふるまい検知装置３００は、実施の形態１の図３で説明した構成に加えて、データ選択部３５０を備える。また、仮想マシン生成部３２０および仮想マシン実行部３３０は、実施の形態１で説明した機能に加えて、以下のような機能を備える。
【００６６】
仮想マシン生成部３２０は検知日時仮想マシン３２１の時計に検知日時を設定する。
【００６７】
端末構築情報取得部３１０は、待機期間長を含んだ端末構築情報１０４を取得する。
データ選択部３５０は、端末構築情報１０４に含まれるリリース情報１０１によって指定されるリリースデータ３７２と同じ送信元のリリースデータ３７２をデータ記憶部３９１から選択する。
仮想マシン生成部３２０は、他端末仮想マシン３２２を生成し、選択されたリリースデータ３７２の使用が許可されたリリース日時から待機期間長の期間を経過後の日時を他端末仮想マシン３２２の時計に設定する。他端末仮想マシン３２２は選択されたリリースデータ３７２の送信先の端末装置として機能する仮想マシンである。
仮想マシン実行部３３０は、選択されたデータを他端末仮想マシン３２２に使用させる。
【００６８】
端末分析装置２００の端末分析方法における処理の流れは実施の形態１の図５と同じである。但し、Ｓ１５０は実施の形態１と以下のように異なる。
Ｓ１５０において、端末構築情報生成部２３１は、選択されたリリース情報１０１に含まれるリリース日時から検知日時までの期間の長さである待機期間長ΔＴを算出し、待機期間長ΔＴを端末構築情報１０４に含める。
例えば、検知日時が２０１４年９月２３日１２時００分００秒であり、リリース日時が２０１４年９月１日１２時００分００秒である場合、待機期間長ΔＴは２２日である。
【００６９】
図１３に基づいて、ふるまい検知装置３００のふるまい検知方法について説明する。
ふるまい検知方法は、Ｓ２１０からＳ２４１までの処理と、他端末ふるまい検知処理（Ｓ３００）とを備える。
Ｓ２１０からＳ２４１までの処理の流れは、実施の形態１の図９と同じである。但し、Ｓ２２０は実施の形態１と以下のように異なる。
Ｓ２２０において、仮想マシン生成部３２０は検知日時仮想マシン３２１の時計に検知日時を設定する。検知日時は、端末構築情報１０４に含まれるリリース情報１０１内のリリース日時から、端末構築情報１０４に含まれる待機期間長ΔＴの期間を経過後の日時である。
【００７０】
図１４に基づいて、他端末ふるまい検知処理（Ｓ３００）について説明する。
Ｓ３１０において、データ選択部３５０は、端末構築情報１０４に含まれるリリース情報１０１内の送信元情報と同じ送信元情報を含んだリリース情報１０１をリリース情報記憶部３９２から選択する。
そして、データ選択部３５０は、選択したリリース情報１０１に含まれるリリースＩＤと同じリリースＩＤに対応付けられたリリースデータ３７２をデータ記憶部３９１から選択する。
【００７１】
Ｓ３２０において、リリース日時は選択されたリリース情報１０１に含まれるリリース日時である。
仮想マシン生成部３２０は、リリース日時における他端末情報を取得し、リリース日時における他端末情報に対応する仮想マシンテンプレート３９３Ｔを仮想マシンテンプレート記憶部３９３から選択する。そして、仮想マシン生成部３２０は、仮想マシンテンプレート３９３Ｔにリリース日時における他端末情報を反映して、他端末仮想マシン３２２を生成する。
他端末情報は選択されたリリース情報１０１に含まれる送信先情報によって識別される他端末装置の情報である。
リリース日時における他端末情報は他端末装置から取得される。但し、ふるまい検知装置３００が他端末情報を記憶する他端末情報記憶部を備えて、仮想マシン生成部３２０は他端末情報記憶部からリリース日時における他端末情報を選択してもよい。
【００７２】
さらに、仮想マシン生成部３２０は、リリース日時から待機期間長ΔＴの期間を経過後の日時を他端末仮想マシン３２２の時計に設定する。
【００７３】
Ｓ３３１において、仮想マシン実行部３３０は、他端末仮想マシン３２２を実行し、選択されたリリースデータ３７２を他端末仮想マシン３２２に使用させる。
Ｓ３３２において、仮想マシン実行部３３０は、他端末仮想マシン３２２の実行情報３３１を生成する。
Ｓ３４０において、第２のふるまい検知部３４２は、他端末仮想マシン３２２の実行情報３３１に基づいて、選択されたリリースデータ３７２がマルウエアであるか否かを判定する。
Ｓ３４１において、第２のふるまい検知部３４２は、マルウエアであると判定されたリリースデータ３７２の情報である検知結果情報３４２Ｒを生成し、検知結果情報３４２Ｒを出力する。
Ｓ３４１の後、他端末ふるまい検知処理（Ｓ３００）は終了する。
【００７４】
＊＊＊効果の説明＊＊＊
端末分析装置２００は待機期間をふるまい検知装置３００に出力する。
これにより、ふるまい検知装置３００は、リリース日時から待機期間長の期間を経過後の日時を検知日時仮想マシン３２１の時計に設定し、検知日時仮想マシン３２１を実行し、端末装置４００のリリースデータ３７２がマルウエアであるか否かを判定できる。
さらに、ふるまい検知装置３００は、リリース日時から待機期間長の期間を経過後の日時を他端末仮想マシン３２２の時計に設定し、他端末仮想マシン３２２を実行し、他端末装置のリリースデータ３７２がマルウエアであるか否かを判定できる。
そして、ふるまい検知装置３００は、リリース日時から待機期間長の期間が経過した後に活動するマルウエアを検知することができる。
【００７５】
実施の形態４．
特定の操作が行われた後に活動するマルウエアを検知する形態について説明する。但し、実施の形態１と重複する説明は省略する。
【００７６】
マルウエア検知システム１００の構成は実施の形態１の図１と同じである。
但し、端末装置４００は操作ログファイルを記憶する操作ログ記憶部を備える。
そして、端末装置４００のエージェント部４１０は、端末装置４００に行われた操作を示す操作ログを操作ログファイルに記録する。操作ログを記録するために、端末操作記録ツールを利用することができる。
操作ログとして記録される操作は、ファイルを開く、特定のＷｅｂサイトにアクセスする、などの操作である。
【００７７】
端末分析装置２００の機能構成は実施の形態１の図２と同じである。
但し、検知日時端末情報１０３は、検知日時の以前の期間である操作期間に端末装置４００に行われた操作を示す操作ログを含む。
【００７８】
ふるまい検知装置３００の機能構成は実施の形態１の図３と同じである。
但し、仮想マシン実行部３３０は、端末構築情報１０４に含まれる検知日時端末情報１０３内の操作ログが示す操作を検知日時仮想マシン３２１に行う。
【００７９】
端末分析装置２００の端末分析方法における処理の流れは実施の形態１の図５と同じである。但し、Ｓ１４０は実施の形態１と以下のように異なる。
Ｓ１４０において、端末情報取得部２３０は検知日時と操作期間長Ｐとを端末情報要求に含める。操作期間長Ｐは端末分析装置２００に入力される値である。
端末装置４００のエージェント部４１０は、操作期間に端末装置４００に行われた操作を示す操作ログを抽出し、抽出した操作ログを検知日時端末情報１０３に含める。操作期間は、検知日時から操作期間長Ｐの期間を遡った日時から検知日時までの期間である。検知日時および操作期間長Ｐは端末情報要求に含まれる情報である。
そして、端末情報取得部２３０は、操作ログを含んだ検知日時端末情報１０３を取得する。
【００８０】
ふるまい検知装置３００のふるまい検知方法における処理の流れは実施の形態１の図９と同じである。但し、Ｓ２３１は実施の形態１と以下のように異なる。
Ｓ２３１において、仮想マシン実行部３３０は、検知日時端末情報１０３に含まれる操作ログが示す操作を検知日時仮想マシン３２１で再現する。
仮想マシン実行部３３０は、以下の（１）または（２）のように操作を再現してもよい。
（１）仮想マシン実行部３３０は、操作ログの記録日時を検知日時仮想マシン３２１の時計に設定した後に、操作を再現する。
（２）第１の操作ログおよび第２の操作ログがある場合、仮想マシン実行部３３０は、第１の操作ログの記録日時から第２の操作ログの記録日時までの期間である操作間隔を算出する。そして、仮想マシン実行部３３０は、第１の操作ログが示す操作を再現し、操作間隔が経過した後に第２の操作ログが示す操作を再現する。
【００８１】
ファイルコピーの操作ログの例について説明する。
「２０１４／０９／３０  １２：００：００  ユーザ１  端末Ｘ  サーバＹ  Ｄ：￥ｗｏｒｋ￥ａｂｃ．ｐｄｆ  Ｃ：￥ｐｄｆ￥ａｂｃ．ｐｄｆ  コピー」という操作ログは、２０１４年９月３０日の１２時にユーザ１が端末ＸからサーバＹにアクセスし、サーバＹのＤ：￥ｗｏｒｋ￥ａｂｃ．ｐｄｆが端末ＸのＣ：￥ｐｄｆ￥ａｂｃ．ｐｄｆにコピーされたことを示す。
このファイルコピーが再現される場合、サーバ用の仮想マシンテンプレート３９３Ｔを用いてサーバ仮想マシンＹが生成されて、サーバ仮想マシンＹにＤ：￥ｗｏｒｋ￥ａｂｃ．ｐｄｆが生成される。サーバ仮想マシンＹはサーバＹとして機能する仮想マシンである。そして、仮想マシン実行部３３０は、コピープログラムを実行することによって、ファイルコピーを検知日時仮想マシン３２１で再現する。例えば、コピープログラムはスクリプト形式の言語を用いて作成される。
【００８２】
Ｗｅｂアクセスの操作ログの例について説明する。
「２０１４／０９／３０  １２：００：００  ユーザ１  端末Ｘ  ｗｗｗ．ａｂｃｄｅｆｇ１２３．ｃｏｍ  ＧＥＴ」という操作ログは、２０１４年９月３０日の１２時にユーザ１が端末Ｘから、ＵＲＬがｗｗｗ．ａｂｃｄｅｆｇ１２３．ｃｏｍであるＷｅｂサイトにＧＥＴコマンドでアクセスしたことを示す。
このＷｅｂアクセスが再現される場合、仮想マシン実行部３３０は、ＧＥＴプログラムを実行することによって、Ｗｅｂアクセスを検知日時仮想マシン３２１で再現する。例えば、ＧＥＴプログラムはスクリプト形式の言語を用いて作成される。ＧＥＴプログラムは、実在のＷｅｂサイトにアクセスしてもよいし、Ｗｅｂサイトとして機能する仮想マシンにアクセスしてもよい。
【００８３】
＊＊＊効果の説明＊＊＊
端末分析装置２００は操作期間の操作ログをふるまい検知装置３００に出力する。
これにより、ふるまい検知装置３００は、操作ログが示す操作を検知日時仮想マシン３２１で再現し、特定の操作が行われた後に活動するマルウエアを検知することができる。
【００８４】
実施の形態５．
端末装置４００が仮想化サーバによって実行される仮想マシンである形態について、図１５から図１９に基づいて説明する。但し、実施の形態１と重複する説明は省略する。
【００８５】
図１５に基づいて、マルウエア検知システム１００の構成について説明する。
仮想化サーバ５００は仮想マシンを実行する装置であり、端末装置４００は仮想化サーバ５００によって実行される仮想マシンである。
端末分析装置２００から仮想マシン複製指示１０５が出力された場合、仮想化サーバ５００は、端末装置４００の仮想マシンイメージ１０６を複製し、仮想マシンイメージ１０６をふるまい検知装置３００へ出力する。
仮想マシン複製指示１０５は仮想化サーバ制御装置１３０を介して仮想化サーバ５００へ送信される。
仮想化サーバ制御装置１３０は仮想化サーバ５００を制御する装置であり、端末分析装置２００から出力された仮想マシン複製指示１０５を仮想化サーバ５００へ転送する。
【００８６】
図１６に基づいて、端末分析装置２００の機能構成について説明する。
端末分析装置２００は、端末情報取得部２３０の代わりに、仮想マシン複製指示部２４０を備える。
仮想マシン複製指示部２４０は、端末装置４００の仮想マシンイメージ１０６を出力することを指示する仮想マシン複製指示１０５を仮想化サーバ５００へ出力する。
【００８７】
図１７に基づいて、ふるまい検知装置３００の機能構成について説明する。
仮想マシン取得部３６０は、仮想化サーバ５００から出力される仮想マシンイメージ１０６を取得する。
仮想マシン生成部３２０は、仮想マシンイメージ１０６を用いて対象仮想マシン３２３を生成する。対象仮想マシン３２３は端末装置４００として機能する仮想マシンである。
仮想マシン実行部３３０は、対象仮想マシン３２３を実行し、リリース情報１０１によって指定されるリリースデータ３７２を対象仮想マシン３２３に使用させる。
【００８８】
図１８に基づいて、端末分析装置２００の端末分析方法について説明する。
Ｓ１１０からＳ１３０は実施の形態１の図５と同じである。
【００８９】
Ｓ１５０およびＳ１６０は実施の形態１と以下のように異なる。
端末構築情報１０４は、検知日時端末情報１０３の代わりに、仮想マシンフラグと仮想マシンタイムスタンプとを含む。
仮想マシンフラグは、端末装置４００が仮想マシンであることを意味するフラグ値が設定されたフラグである。
仮想マシンタイムスタンプは複製予定期間を指定する基準日時と予定時間ΔＴとを含む。複製予定期間は仮想マシンイメージ１０６が複製される予定の期間である。基準日時は端末構築情報生成部２３１が動作した日時である。予定時間ΔＴは端末分析装置２００に入力される値である。
基準日時が２０１４／０９／３０  １２：００：００であり、予定時間ΔＴが３６００秒である場合、複製予定期間は２０１４年９月３０日の１２時から１３時までの期間である。
【００９０】
Ｓ１７０は仮想マシン複製指示処理である。
Ｓ１７０において、仮想マシン複製指示部２４０は、端末装置４００の端末ＩＤとふるまい検知装置３００の装置ＩＤとを含んだ仮想マシン複製指示１０５を生成し、仮想マシン複製指示１０５を仮想化サーバ５００へ出力する。仮想マシン複製指示１０５に含まれる端末ＩＤは端末構築情報１０４に含まれる端末ＩＤと同じである。
仮想マシン複製指示１０５は、仮想化サーバ制御装置１３０を介して仮想化サーバ５００へ送信される。
仮想化サーバ５００は、仮想マシン複製指示１０５を受信し、仮想マシン複製指示１０５に含まれる端末ＩＤで識別される端末装置４００の仮想マシンイメージ１０６を複製する。そして、仮想化サーバ５００は、端末ＩＤと複製日時と仮想マシンイメージ１０６とを、仮想マシン複製指示１０５に含まれる装置ＩＤで識別されるふるまい検知装置３００へ出力する。
Ｓ１７０の後、端末分析方法の処理は終了する。
【００９１】
図１９に基づいて、ふるまい検知装置３００のふるまい検知方法について説明する。
Ｓ２１０は実施の形態１と同じである。
【００９２】
Ｓ２２１は仮想マシン取得処理である。
Ｓ２２１において、仮想マシン取得部３６０は、仮想化サーバ５００から出力される端末ＩＤと複製日時と仮想マシンイメージ１０６とを取得する。
【００９３】
Ｓ２２２において、仮想マシン生成部３２０は、以下の条件（１）および（２）を満たす場合に、仮想マシンイメージ１０６を用いて対象仮想マシン３２３を生成する。
（１）仮想マシンイメージ１０６と共に取得された端末ＩＤが端末構築情報１０４に含まれる端末ＩＤと同じである。
（２）仮想マシンイメージ１０６と共に取得された複製日時が端末構築情報１０４に含まれる仮想マシンタイムスタンプが示す期間内の日時である。
【００９４】
但し、端末ＩＤと複製日時と仮想マシンイメージ１０６とが蓄積されて、仮想マシン生成部３２０が上記の条件（１）および（２）を満たす仮想マシンイメージ１０６を選択してもよい。この場合、ふるまい検知装置３００は仮想マシンイメージ１０６を記憶する仮想マシンイメージ記憶部を備える。
【００９５】
Ｓ２３０は実施の形態１と同じである。
Ｓ２３３において、仮想マシン実行部３３０は、対象仮想マシン３２３を実行し、対象仮想マシン３２３にリリースデータ３７２を使用させる。
Ｓ２３４において、仮想マシン実行部３３０は実行情報３３１を生成する。
Ｓ２４０において、第２のふるまい検知部３４２は、実行情報３３１に基づいて、リリースデータ３７２がマルウエアであるか否かを判定する。
Ｓ２４１において、第２のふるまい検知部３４２は、マルウエアであると判定したリリースデータ３７２の情報である検知結果情報３４２Ｒを生成する。
Ｓ２４１の後、ふるまい検知方法の処理は終了する。
【００９６】
＊＊＊効果の説明＊＊＊
ふるまい検知装置３００は仮想マシン複製指示１０５を仮想化サーバ５００へ出力する。
これにより、ふるまい検知装置３００は、仮想マシンイメージ１０６を取得し、仮想マシンイメージ１０６を用いて対象仮想マシン３２３を実行し、リリースデータ３７２がマルウエアであるか否かを判定できる。つまり、ふるまい検知装置３００は、不審な挙動が発生した端末装置４００の環境を含んだ仮想マシンイメージ１０６をマルウエアの分析に使用することができる。
【００９７】
実施の形態６．
端末装置４００が仮想マシンイメージ１０６を生成する形態について、図２０から図２２に基づいて説明する。但し、実施の形態１および実施の形態５と重複する説明は省略する。
【００９８】
図２０に基づいて、マルウエア検知システム１００の構成について説明する。
マルウエア検知システム１００の構成は、実施の形態１の図１と同じである。
但し、端末分析装置２００は、検知日時端末情報１０３をエージェント部４１０から取得する代わりに、仮想マシン生成指示１０７をエージェント部４１０へ出力する。
端末分析装置２００から仮想マシン生成指示１０７が出力された場合、エージェント部４１０は、端末装置４００の仮想マシンイメージ１０６を生成し、仮想マシンイメージ１０６をふるまい検知装置３００へ出力する。
例えば、エージェント部４１０は変換ツールを呼び出すことによって仮想マシンイメージ１０６を生成する。この変換ツールは、ＯＳおよびソフトウエアなどの情報を含めて物理端末の環境を仮想マシンイメージに変換するツールである。変換ツールはＯＳのコマンドラインからスクリプトによって呼び出されるように実装される。
【００９９】
図２１に基づいて、端末分析装置２００の機能構成について説明する。
端末分析装置２００は、実施の形態５の図１６における仮想マシン複製指示部２４０の代わりに、仮想マシン生成指示部２５０を備える。
仮想マシン生成指示部２５０は、端末装置４００の仮想マシンイメージ１０６を出力することを指示する仮想マシン生成指示１０７を端末装置４００へ出力する。
【０１００】
図２２に基づいて、端末分析装置２００の端末分析方法について説明する。
Ｓ１１０からＳ１６０は実施の形態５と同じである。
【０１０１】
Ｓ１７１は仮想マシン生成指示処理である。
Ｓ１７１において、仮想マシン生成指示部２５０は、仮想マシン生成指示１０７を端末装置４００のエージェント部４１０へ出力する。仮想マシン生成指示１０７の内容は、実施の形態５の仮想マシン複製指示１０５と同じである。
【０１０２】
ふるまい検知装置３００の機能構成は実施の形態５の図１７と同じである。
ふるまい検知装置３００のふるまい検知方法は実施の形態５の図１９と同じである。
【０１０３】
＊＊＊効果の説明＊＊＊
ふるまい検知装置３００は仮想マシン生成指示１０７を端末装置４００へ出力する。
これにより、ふるまい検知装置３００は、仮想マシンイメージ１０６を取得し、仮想マシンイメージ１０６を用いて対象仮想マシン３２３を実行し、リリースデータ３７２がマルウエアであるか否かを判定できる。つまり、ふるまい検知装置３００は、不審な挙動が発生した端末装置４００の環境を含んだ仮想マシンイメージ１０６をマルウエアの分析に使用することができる。
【０１０４】
実施の形態７．
端末分析装置２００がリリース情報１０１の代わりにリリース情報１０１の内容を含んだふるまい検知ログを取得する形態について、図２３から図２５に基づいて説明する。但し、実施の形態１と重複する説明は省略する。
【０１０５】
図２３に基づいて、端末分析装置２００の機能構成について説明する。
端末分析装置２００は、リリース情報取得部２１０とリリース情報記憶部２９１とリリース情報選択部２１１との代わりに、ふるまい検知ログ取得部２１２とふるまい検知ログ記憶部２９２と調査対象情報生成部２１３とを備える。
ふるまい検知ログ取得部２１２は、端末装置４００による使用の可否が検査されたデータ３７１毎に、データ３７１の情報を含んだふるまい検知ログ１０１Ｌをふるまい検知装置３００から取得する。
ふるまい検知ログ記憶部２９２は、データ３７１毎のふるまい検知ログ１０１Ｌを記憶する。
調査対象情報生成部２１３は、データ３７１毎のふるまい検知ログ１０１Ｌを用いて、調査対象情報１０１Ｔを生成する。調査対象情報１０１Ｔは、検知前期間に端末装置４００による使用が許可されたデータを指定するデータ指定情報である。
端末構築情報１０４は、リリース情報１０１の代わりに調査対象情報１０１Ｔを含む。
【０１０６】
図２４に基づいて、ふるまい検知装置３００の機能構成について説明する。
ふるまい検知装置３００は、リリース情報出力部３８０の代わりに、ふるまい検知ログ１０１Ｌを出力するふるまい検知ログ出力部３８１を備える。
【０１０７】
図２５に基づいて、端末分析装置２００の端末分析方法について説明する。
Ｓ１１１において、ふるまい検知ログ取得部２１２はデータ３７１毎のふるまい検知ログ１０１Ｌを取得する。
ふるまい検知ログ１０１Ｌは、検査日時、送信元情報、送信先情報、リリースフラグおよびコンテンツ情報を含む。
検査日時は、データ３７１の使用の可否が検査された日時である。
リリースフラグは、データ３７１の使用が許可されたか否かを示すフラグ値が設定されるフラグである。
コンテンツ情報は、アクセス先ＵＲＬまたはファイル名など、データ３７１を特定するための情報である。
【０１０８】
Ｓ１３１において、調査対象情報生成部２１３は、以下の条件（１）から（３）を満たすふるまい検知ログ１０１Ｌをふるまい検知ログ記憶部２９２から選択する。選択したふるまい検知ログ記憶部２９２が調査対象情報１０１Ｔである。
（１）検査日時が検査前期間の日時である。
（２）送信先情報が検知情報１０２に含まれる攻撃先情報に一致する。
（３）リリースフラグのフラグ値がデータ３７１の使用が許可されたことを示す。
【０１０９】
Ｓ１２０およびＳ１４０は実施の形態１と同じである。
Ｓ１５０およびＳ１６０において、端末構築情報１０４は、リリース情報１０１の代わりに調査対象情報１０１Ｔを含む。
【０１１０】
ふるまい検知装置３００のふるまい検知方法における処理の流れは、実施の形態１の図９と同じである。但し、Ｓ２３０が実施の形態１と以下のように異なる。
Ｓ２３０において、端末構築情報１０４に含まれる調査対象情報１０１Ｔに一致する情報を含んだリリース情報１０１をリリース情報記憶部３９２から選択し、選択したリリース情報１０１に含まれるリリースＩＤに対応するリリースデータ３７２をデータ記憶部３９１から取得する。
【０１１１】
＊＊＊効果の説明＊＊＊
ふるまい検知装置３００はふるまい検知ログ１０１Ｌを取得し、調査対象情報１０１Ｔを出力する。
これにより、ふるまい検知装置３００がリリース情報１０１を出力できない場合であっても、第２のふるまい検知部３４２によるふるまい検知を行うことができる。
上記した実施の形態７の特徴は実施の形態２から実施の形態６に適用してもよい。
【０１１２】
各実施の形態は、好ましい形態の例示であり、本発明の範囲を制限することを意図するものではない。フローチャート等を用いて説明した処理手順は端末分析方法、ふるまい検知方法、端末分析プログラムおよびふるまい検知プログラムの処理手順の一例である。
各実施の形態において「〜部」は「〜処理」「〜工程」「〜プログラム」「〜装置」等に読み替えることができる。
【符号の説明】
【０１１３】
１００  マルウエア検知システム、１０１  リリース情報、１０１Ｌ  ふるまい検知ログ、１０１Ｍ  リリース管理情報、１０１Ｔ  調査対象情報、１０２  検知情報、１０３  検知日時端末情報、１０３Ｈ  履歴情報、１０４  端末構築情報、１０５  仮想マシン複製指示、１０６  仮想マシンイメージ、１０７  仮想マシン生成指示、１１０  イントラネットシステム、１１１  スイッチ、１１２  セキュリティ装置、１１３  通信装置、１１９  イントラネット、１２０  インターネット、１３０  仮想化サーバ制御装置、２００  端末分析装置、２１０  リリース情報取得部、２１１  リリース情報選択部、２１２  ふるまい検知ログ取得部、２１３  調査対象情報生成部、２２０  検知情報取得部、２３０  端末情報取得部、２３１  端末構築情報生成部、２３２  端末構築情報出力部、２４０  仮想マシン複製指示部、２５０  仮想マシン生成指示部、２９１  リリース情報記憶部、２９２  ふるまい検知ログ記憶部、３００  ふるまい検知装置、３１０  端末構築情報取得部、３２０  仮想マシン生成部、３２１  検知日時仮想マシン、３２２  他端末仮想マシン、３２３  対象仮想マシン、３３０  仮想マシン実行部、３３１  実行情報、３４０  ふるまい検知部、３４１  第１のふるまい検知部、３４２  第２のふるまい検知部、３４２Ｒ  検知結果情報、３５０  データ選択部、３６０  仮想マシン取得部、３７０  データ取得部、３７１  データ、３７２  リリースデータ、３８０  リリース情報出力部、３８１  ふるまい検知ログ出力部、３９１  データ記憶部、３９２  リリース情報記憶部、３９３  仮想マシンテンプレート記憶部、３９３Ｔ  仮想マシンテンプレート、４００  端末装置、４１０  エージェント部、４２０  ダイアログ、４２１  ウインドウタイトル、４２２  ウインドウメッセージ、４２３  テキストボックス、５００  仮想化サーバ、９０１  演算装置、９０２  補助記憶装置、９０３  主記憶装置、９０４  通信装置、９０５  入出力装置、９０９  バス。
【図１】
2016115037.tif 000003
【図２】
2016115037.tif 000004
【図３】
2016115037.tif 000005
【図４】
2016115037.tif 000006
【図５】
2016115037.tif 000007
【図６】
2016115037.tif 000008
【図７】
2016115037.tif 000009
【図８】
2016115037.tif 000010
【図９】
2016115037.tif 000011
【図１０】
2016115037.tif 000012
【図１１】
2016115037.tif 000013
【図１２】
2016115037.tif 000014
【図１３】
2016115037.tif 000015
【図１４】
2016115037.tif 000016
【図１５】
2016115037.tif 000017
【図１６】
2016115037.tif 000018
【図１７】
2016115037.tif 000019
【図１８】
2016115037.tif 000020
【図１９】
2016115037.tif 000021
【図２０】
2016115037.tif 000022
【図２１】
2016115037.tif 000023
【図２２】
2016115037.tif 000024
【図２３】
2016115037.tif 000025
【図２４】
2016115037.tif 000026
【図２５】
2016115037.tif 000027