(57)【要約】    【課題】  マルウエアに感染したことをいち早く検知し、対応することのできる装置を提供する。    【解決手段】  社員であるユーザの使用する各端末装置Ｔ1、Ｔ2・・・Ｔnは、ネットワークを介して感染確認装置２０に接続されている。動作状況取得手段４は、各端末装置Ｔ1、Ｔ2・・・Ｔnの動作状況を取得する。感染判断手段６は、記録部１０に記録された動作状況に基づいて、監視対象のユーザが使用する端末装置Ｔc（図示せず）の動作状況１２と、比較対象のユーザが使用する端末装置Ｔf（図示せず）の動作状況１４とを比較する。比較の結果、監視対象ユーザの端末装置Ｔcの動作状況が、比較対象ユーザの端末装置Ｔfの動作状況に比べて、特異であれば、当該監視対象ユーザの端末装置Ｔcが感染していると判断する。【選択図】  図１
2016071707.tif 000002
【特許請求の範囲】
【請求項１】
各ユーザの端末装置の動作状況を取得する動作状況取得手段と、
監視対象のユーザの動作状況と、比較対象のユーザの動作状況を比較し、監視対象ユーザの動作状況が、比較対象ユーザの動作状況に対して特異である場合には、感染の可能性があると判断する感染判断手段と、
を備えた感染確認装置。
【請求項２】
感染確認装置をコンピュータによって実現するための感染確認プログラムであって、コンピュータを、
各ユーザの端末装置の動作状況を取得する動作状況取得手段と、
監視対象のユーザの動作状況と、比較対象のユーザの動作状況を比較し、監視対象ユーザの動作状況が、比較対象ユーザの動作状況に対して特異である場合には、感染の可能性があると判断する感染判断手段として機能させるための感染確認プログラム。
【請求項３】
請求項１の装置または請求項２のプログラムにおいて、
前記感染判断手段は、動作したプログラム、当該プログラムによる通信先、当該プログラムのアクセスしたファイルの少なくとも一つについて、監視対象ユーザの動作状況と比較対象ユーザの動作状況を比較することを特徴とする装置またはプログラム。
【請求項４】
請求項１〜３のいずれかの装置またはプログラムにおいて、
前記感染判断手段は、以下の基準の少なくとも一つに基づいて選択されたユーザを、監視対象ユーザとすることを特徴とする装置またはプログラム。
(1)所定期間内にアクセスしたフォルダ数が所定数を超えているユーザ
(2)所定期間内における組織外への通信量が所定量を超えているユーザ
(3)端末装置にインストールされているソフトウエアが所定数を超えているユーザ
(4)ウエブ上での個人情報の公開レベルが所定レベルを超えているユーザ
(5)組織内における役職レベルが所定レベルを超えているユーザ。
【請求項５】
請求項１〜４のいずれかの装置またはプログラムにおいて、
前記感染判断手段は、以下の基準の少なくとも一つに基づいて、監視対象ユーザの動作状況が特異であると判断するしきい値を変化させることを特徴とする装置またはプログラム。
(1)所定期間内にアクセスしたフォルダ数
(2)所定期間内における組織外への通信量
(3)端末装置にインストールされているソフトウエアの数
(4)ウエブ上での個人情報の公開レベル
(5)組織内における役職レベル。
【請求項６】
請求項１、３〜５のいずれかの装置において、
前記感染判断手段が、監視対象ユーザの端末装置が感染していると判断した場合、管理者ユーザの端末装置に警告を送信し、または当該感染している端末装置の通信機能を停止させる感染対処手段をさらに備えることを特徴とする装置。
【請求項７】
請求項２〜５のいずれかのプログラムにおいて、コンピュータを、さらに
前記感染判断手段が、監視対象ユーザの端末装置が感染していると判断した場合、管理者ユーザの端末装置に警告を送信し、または当該感染している端末装置の通信機能を停止させる感染対処手段として機能させることを特徴とするプログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
この発明は、マルウエアなどに感染したことを検知する装置に関するものである。
【背景技術】
【０００２】
コンピュータシステムにおいて、ウイルスなどのマルウエア感染による被害を防ぐため、対策が講じられている。たとえば、ウイルスチェックソフトと呼ばれるものが広く用いられている。これは、端末装置にファイルがダウンロードされた際に、予め用意されたマルウエア情報の辞書を参照して、ファイルにマルウエアが含まれていないかどうかをチェックするものである（特許文献１など参照）。
【０００３】
また、Sandboxと呼ばれる仮想環境を構築し、外部から受け取ったファイルはSandbox内で動作させるというものである。Sandboxの領域内では、他のプログラムやデータを操作できないようになっているので、仮にマルウエアが進入しても被害を受けないで済むというものである。
【先行技術文献】
【特許文献】
【０００４】
【特許文献１】特開２０１０−１４６５６６
【発明の概要】
【発明が解決しようとする課題】
【０００５】
しかしながら、従来のウイルスチェックソフトでは、予めその存在が判明しているマルウエアでなければチェックできないという問題があった。このため、定期的にマルウエア情報を更新するようにしているが、次から次へと登場する新たなマルウエアに対応が追いつかないという問題があった。
【０００６】
また、Sandboxでは新たなマルウエアにも対応できる反面、Sandbox内に収納されたソフトウエアの動作が制限され、不便であるという問題を生じていた。
【０００７】
この発明は、上記のような問題点を解決して、マルウエアに感染したことをいち早く検知し、対応することのできる装置を提供することを目的とする。
【課題を解決するための手段】
【０００８】
以下に、この発明の独立したいくつかの特徴を列挙する。
【０００９】
(1)(2)この発明にかかる感染確認装置は、各ユーザの端末装置の動作状況を取得する動作状況取得手段と、監視対象のユーザの動作状況と、比較対象のユーザの動作状況を比較し、監視対象ユーザの動作状況が、比較対象ユーザの動作状況に対して特異である場合には、感染の可能性があると判断する感染判断手段とを備えている。
【００１０】
したがって、まだ知られていないマルウエアに感染した可能性を確認することができる。
【００１１】
(3)この発明にかかる感染確認装置は、感染判断手段は、動作したプログラム、当該プログラムによる通信先、当該プログラムのアクセスしたファイルの少なくとも一つについて、監視対象ユーザの動作状況と比較対象ユーザの動作状況を比較することを特徴としている。
【００１２】
したがって、より正確に感染の可能性を判断することができる。
【００１３】
(4)この発明にかかる感染確認装置は、感染判断手段は、以下の基準の少なくとも一つに基づいて選択されたユーザを、監視対象ユーザとすることを特徴としている。(i)所定期間内にアクセスしたフォルダ数が所定数を超えているユーザ、(ii)所定期間内における組織外への通信量が所定量を超えているユーザ、(iii)端末装置にインストールされているソフトウエアが所定数を超えているユーザ、(iv)ウエブ上での個人情報の公開レベルが所定レベルを超えているユーザ、(v)組織内における役職レベルが所定レベルを超えているユーザ。
【００１４】
したがって、適切に監視対象ユーザを選択することができる。
【００１５】
(5)この発明にかかる感染確認装置は、感染判断手段は、以下の基準の少なくとも一つに基づいて、監視対象ユーザの動作状況が特異であると判断するしきい値を変化させることを特徴としている。(i)所定期間内にアクセスしたフォルダ数、(ii)所定期間内における組織外への通信量、(iii)端末装置にインストールされているソフトウエアの数、(iv)ウエブ上での個人情報の公開レベル、(v)組織内における役職レベル。
【００１６】
したがって、監視対象ユーザの危険度に応じて、特異であるかどうかの判断を変えることができる。
【００１７】
(6)(7)この発明にかかる感染確認装置は、感染判断手段が、監視対象ユーザの端末装置が感染していると判断した場合、管理者ユーザの端末装置に警告を送信し、または当該感染している端末装置の通信機能を停止させる感染対処手段をさらに備えている。
【００１８】
したがって、感染による被害を迅速に防止することができる。
【００１９】
「利用状況取得手段」は、実施形態においては、ステップＳ６がこれに対応する。
【００２０】
「感染判断手段」は、実施形態においては、ステップＳ９がこれに対応する。
【００２１】
「感染対処手段」は、実施形態においては、ステップＳ１０がこれに対応する。
【００２２】
「プログラム」とは、ＣＰＵにより直接実行可能なプログラムだけでなく、ソース形式のプログラム、圧縮処理がされたプログラム、暗号化されたプログラム等を含む概念である。
【図面の簡単な説明】
【００２３】
【図１】この発明の一実施形態による感染確認装置２０の機能ブロック図である。
【図２】感染確認装置２０のハードウエア構成である。
【図３】感染確認プログラム４６のフローチャートである。
【図４】感染確認プログラム４６のフローチャートである。
【図５】ログの例である。
【図６】ログの例である。
【発明を実施するための形態】
【００２４】
１．全体構成
図１に、この発明の一実施形態による感染確認装置２０の機能ブロック図を示す。ここでは、企業などにおいてサーバ装置として感染確認装置２０を設置した場合を例として説明する。
【００２５】
社員であるユーザの使用する各端末装置Ｔ1、Ｔ2・・・Ｔnは、ネットワークを介して感染確認装置２０に接続されている。動作状況取得手段４は、各端末装置Ｔ1、Ｔ2・・・Ｔnの動作状況を取得する。たとえば、各端末装置Ｔ1、Ｔ2・・・Ｔnから、動作ログデータを取得するなどによって実現することができる。動作状況取得手段４は、取得した各端末装置Ｔ1、Ｔ2・・・Ｔnの動作状況を記録部１０に記録する。
【００２６】
感染判断手段６は、記録部１０に記録された動作状況に基づいて、監視対象のユーザが使用する端末装置Ｔc（図示せず）の動作状況１２と、比較対象のユーザが使用する端末装置Ｔf（図示せず）の動作状況１４とを比較する。比較対象の端末装置Ｔfは複数とすることが好ましい。
【００２７】
比較の結果、監視対象ユーザの端末装置Ｔcの動作状況が、比較対象ユーザの端末装置Ｔfの動作状況に比べて、特異であれば、当該監視対象ユーザの端末装置Ｔcが感染していると判断する。
【００２８】
感染対処手段８は、感染判断手段６によって感染していると判断されると、監視対象の端末装置Ｔcの通信処理などを無効化する。
【００２９】
以上のようにして、異常な動作を行った端末装置の通信処理などを無効にすることによって、マルウエア感染による被害を防止することができる。
【００３０】
２．ハードウエア構成
図２に、感染確認装置２０のハードウエア構成を示す。ＣＰＵ３０に、メモリ３２、ディスプレイ３４、ハードディスク３６、通信回路３８、キーボード／マウス４０、ＤＶＤ−ＲＯＭドライブ４２が接続されている。通信回路３８は、社内のネットワークやインターネットに接続するためのものである。
【００３１】
ハードディスク３６には、オペレーティングシステム４４、感染確認プログラム４６が記録されている。感染確認プログラム４６は、オペレーティングシステム４４と協働してその機能を発揮するものである。これらプログラムは、ＤＶＤ−ＲＯＭ５２に記録されていたものを、ＤＶＤ−ＲＯＭドライブ４２を介してインストールしたものである。なお、インターネットを介してダウンロードしたものであってもよい。
【００３２】
３．感染確認処理
図３に、感染確認プログラム４６のフローチャートの内、監視対象ユーザ・比較対象ユーザの決定処理を示す。
【００３３】
感染確認装置２０のＣＰＵ３０（以下、感染確認装置２０と省略することがある）は、社員ＤＢが記録されている社内のサーバ装置（図示せず）にアクセスし、社員情報を取得する（ステップＳ１）。この実施形態では、各社員の役職を取得する。
【００３４】
次に、感染確認装置２０は、当該社員が、インターネット上で自らの情報をどの程度公開しているかを調べるため、当該社員に関するサイトにアクセスし、公開情報を取得する（ステップＳ２）。たとえば、当該社員が公開しているホームページ、ＳＮＳページなどから、公開情報を収集する。
【００３５】
続いて、感染確認装置２０は、社員情報、公開情報に基づいて、各社員がどの程度マルウエア攻撃を受ける可能性（つまり、危険度）があるかを計算する（ステップＳ３）。
【００３６】
この実施形態では、各社員が重要な役職であれば、危険度が高いと判断するようにしている。役職が高いほど、重要な情報を扱っていると想定されるので、マルウエア攻撃の対象となりやすいからである。
【００３７】
また、各社員のインターネット上での公開情報に、重要な情報が含まれていれば、危険度が高いと判断するようにしている。この実施形態では、勤務先を開示していたり、アドレスを公開していたりすると、危険度が高いと判断する。このような情報が、インターネット上で入手できる場合には、マルウエア攻撃を行いやすいからである。
【００３８】
具体的には、たとえば、次のような式によって危険度Ｄ（％）を算出する。
【００３９】
Ｄ＝ＣＮ＋ＡＤ＋ＴＩ
ここで、ＣＮは会社名公開に関する危険度であり、会社名を公開している場合には３３．３％、非公開の場合には０％とする。ＡＤはアドレス公開に関する危険度であり、アドレスを公開している場合には３３．３％、非公開の場合には０％とする。ＴＩは役職に関する危険度であり、たとえば、社長は３３％、部長は２０％、課長は１０％というように定める。
【００４０】
次に、感染確認装置２０は、危険度Ｄが所定のしきい値を超えている社員を抽出し、監視対象ユーザとする（ステップＳ４）。たとえば、危険度が７０％を超えている社員を監視対象ユーザとする。
【００４１】
続いて、各監視対象ユーザについて、比較対象ユーザを決定する(ステップＳ５)。ここで、比較対象ユーザは、複数人とすることが好ましい。また、比較対象ユーザは、危険度の低い社員（たとえば、危険度が３０％以下の社員）から選択することが好ましい。また、監視対象ユーザの危険度が高いほど、危険度の低い社員から比較対象ユーザを選ぶようにする。
【００４２】
なお、監視対象ユーザの危険度が高いほど比較対象ユーザを多くし、監視対象ユーザの危険度が低いほど比較対象ユーザの数を少なくするようにしている。これは、後述のように、比較対象ユーザが多いほど、監視対象ユーザのわずかな異常状況が際立って検出されやすいからである。
【００４３】
また、この実施形態では、各社員の過去のアクセスログに基づいて、監視対象ユーザとアクセスファイルや利用プログラム（exeファイル）が類似している社員を、比較対象ユーザとするようにしている。
【００４４】
以上のようにして決定された監視対象ユーザと比較対象ユーザは、ハードディスク３６に記録される。
【００４５】
図４に、感染確認の処理フローチャートを示す。感染確認装置２０は、まず、監視対象ユーザのログを取得する（ステップＳ６）。ここで、監視対象ユーザのログとは、監視対象ユーザが取得して使用するものとして登録している端末装置Ｔcのログをいう。比較対象ユーザのログについても同様である。
【００４６】
この実施形態では、１時間に１回取得するようにしている。つまり、図４の処理を、１時間ごとに行うようにしている。したがって、最新の１時間のログが取得されることになる。この実施形態では、予め各社員の端末装置Ｔにログ取得・記録のためのプログラムをインストールしておき、感染確認装置２０の方から、端末装置Ｔに記録されたログを取得するようにしている。あるいは、端末装置Ｔの方から感染確認装置２０に対してログを定期的に送信するようにしてもよい。
【００４７】
続いて、当該監視対象ユーザについての比較対象ユーザの端末装置Ｔfのログを取得する（ステップＳ７）。
【００４８】
感染確認装置２０は、監視対象ユーザのログを参照し、利用しているexeファイル（実行ファイル）や、データ送信先のＩＰアドレスが、既知のマルウエアとして登録されているものでないかどうかを確認する（ステップＳ８）。このようなマルウエア情報は、定義ファイルとして、定期的に感染確認装置２０に予め記録・更新するようにしておく。
【００４９】
たとえば、図５に示すように、監視対象ユーザのログにおいて、符号６２で示されるようにtaskxxx.exeが表れており、これが既知のマルウエアであれば、感染していると判断できる。また、符号６０で示されるように通信先152.28.253.10が、既知のマルウエアの通信先であれば、感染していると判断できる。
【００５０】
感染していると判断した場合、感染確認装置２０は、管理者の端末装置に対して、監視対象端末Ｔcが感染している旨の警告を送信する（ステップＳ１０）。
【００５１】
次に、感染確認装置２０は、監視対象ユーザのログと、比較対象ユーザのログとを比較して、利用exe、送信先IP、アクセスファイルに特異性があるかどうかを判断する（ステップＳ９）。
【００５２】
たとえば、監視対象ユーザのログと、比較対象ユーザのログが、図６のようであったとする。この図から明らかなように、監視対象ユーザが利用しているInternet Free.exeは、符号６４にて示すようにc://kenkyuというフォルダにアクセスしている。これに対し、比較対象ユーザのログでは、Internet Free.exeは、符号６６、６８、７０にて示すようにc://soumuというフォルダにアクセスしている。明らかに特異性があるので、監視対象ユーザの端末装置Ｔcは、マルウエアに感染している可能性があると判断する。特異性があると判断した場合、管理者端末装置に警告を送信する（ステップＳ１０）。
【００５３】
なお、特異性の判断は、たとえば、次のようにして行う。監視対象ユーザの利用exeと、同じ利用exeが表れている比較対象ユーザのログから、これを抽出する。比較対象ユーザの利用exeとファイルの組合せの出現頻度を、組合せごとに算出する。図６の場合であれば、Internet Free.exeとc://soumuの組合せが３つあることになる。
【００５４】
監視対象ユーザの利用exeとファイルの組合せと同じものが、１つでも比較対象ユーザのログに表れていれば、特異性はないと判断する。同じ組合せがなければ、次に、比較対象ユーザのログにおいて、最も数の多い利用exeとファイルの組合せの、全体に対する占有率を算出する。たとえば、A.exeとFファイルが１０回、A.exeとCファイルが３回、A.exeとBファイルが１回であれば、占有率は１０／１４となる。上述のように、監視対象ユーザの利用exeとファイルの組合せと同じものが、比較対象ユーザのログにない場合、この占有率が所定の割合（たとえば５０％）を超えていれば特異性があると判断する。なお、所定の割合は、５０％以下でも以上でもよい。また、監視対象ユーザの利用exeとファイルの組合せが、比較対象ユーザのログに１つもなければ、直ちに、特異性があると判断してもよい。
【００５５】
上記では、利用exeとファイルとの組合せについて説明したが、感染確認装置２０は、利用exeと送信先IP、送信先IPとファイルについても同様に検討を行って特異性の有無を判断する。
【００５６】
以上のようにして、比較対象ユーザのログとの違いを見いだすことにより、監視対象ユーザについてのマルウエア感染の有無を確認することができる。
【００５７】
４．その他
(1)上記実施形態では、監視対象ユーザを選定するために、役職、インターネット上での公開情報を用いている。しかし、これに代えて、あるいはこれに加えて、社外への通信量（多いほど危険性が高い）、インストールソフトの数（多いほど危険性が高い）、重要フォルダへのアクセス数（多いほど危険性が高い）などを判断基準に用いてもよい。
【００５８】
また、アクセス数の少ないフォルダにアクセスしている社員ほど危険性が高いと判断してもよい。たとえば、この危険度は、全社員数／当該フォルダにアクセスした社員数として算出することができる。
【００５９】
(2)上記実施形態では、特異性があると判断したときに、管理者の端末装置に警告を送信するようにしている。しかし、感染確認装置２０の側から、当該監視対象ユーザの端末装置Ｔcの外部との通信を禁止するように制御してもよい。
【００６０】
(3)上記実施形態では、比較対象ユーザは固定的であった。しかし、その時の状況に応じて、比較対象ユーザをダイナミックに変えるようにしてもよい。
【００６１】
(4)上記実施形態では、１時間に１回、図４の感染確認処理を行うようにしている。しかし、より長い間隔、より短い間隔でこれを実施するようにしてもよい。
【００６２】
たとえば、１秒間隔で（つまり、実質的にリアルタイムで）図４の感染確認処理を行うようにしてもよい。この場合、感染確認処理を行っている時点の比較対象ユーザの動作状況との比較を行うようにする。この場合、比較対象であるユーザの端末装置が比較すべき１秒間に起動していないこともあるので、適切な比較対象ユーザをその都度決定することが好ましい。
【００６３】
(5)上記実施形態では、利用exe、送信先IP、アクセスファイルの全ての組合せについて特異性を判断し、いずれか一つでも特異であれば感染の可能性があると判断している。しかし、特定の組合せのみに基づいて特異性を判断するようにしてもよい。また、３つの組合せに基づいて判断するようにしてもよい。さらに、利用exe、送信先IP、アクセスファイルのそれぞれ単独で比較を行って特異性を判断してもよい。
【００６４】
(6)上記実施形態では、特異性があるか否かの基準は、監視対象ユーザによらず固定的であった。しかし、監視対象ユーザの危険度に応じて、特異性があるか否かのしきい値を変えるようにしてもよい。たとえば、(i)所定期間内にアクセスしたフォルダ数、(ii)所定期間内における組織外への通信量、(iii)端末装置にインストールされているソフトウエアの数、(iv)ウエブ上での個人情報の公開レベル、(v)組織内における役職レベル等に応じて、上記しきい値を変えるようにしてもよい。
【００６５】
(7)上記実施形態では、サーバとしての感染確認装置２０が、監視対象ユーザと比較対象ユーザを決定し、各ユーザのログの比較、特異性の判断と警告までを行っている。
【００６６】
しかし、各ユーザの端末装置が、上記の処理を行うようにしてもよい。たとえば、通信ネットワークにて接続された各ユーザの端末装置自身が、自らを監視対象とするか比較対象とするかを判断する。そして、比較対象であると判断した場合には、監視対象の端末装置のログを監視・比較することによって、監視対象の端末装置のマルウエア感染の可能性を判定するようにしてもよい。
【図１】
2016071707.tif 000003
【図２】
2016071707.tif 000004
【図３】
2016071707.tif 000005
【図４】
2016071707.tif 000006
【図５】
2016071707.tif 000007
【図６】
2016071707.tif 000008