(57)【要約】      （修正有）【課題】ダウンローダ型マルウェアのようなバックグラウンドで実行されるマルウェアについても、注意喚起メッセージを画面に表示し、それを実行した者への注意喚起をできるようにする。【解決手段】コンピュータ上で実行されたマルウェアのファイル取得要求に対して、マルウェアが要求するファイルではなく、実行しても害のないファイルに差し替えて応答させ、マルウェアの挙動によってそのファイルが実行されることで、注意喚起を行う画面表示がコンピュータに対して行なわれる。【選択図】図１
2017142552.tif 000002
【特許請求の範囲】
【請求項１】
ネットワークを介して端末に接続されるマルウェア注意喚起装置であって、
前記端末上で実行された第一のファイルによって前記端末から送信された、第二のファイルを取得する要求を解析する通信先判定部と、
前記通信先判定部の判定結果に応じて、前記第二のファイルに代替する第三のファイルを生成する応答ファイル生成部と、
前記第三のファイルを前記端末に送信するインタフェース部と、
を備えることを特徴とするマルウェア注意喚起装置。
【請求項２】
請求項１に記載のマルウェア注意喚起装置において、
前記応答ファイル生成部は、予め定義された偽装処理情報に基づき前記第三のファイルを生成ことを特徴とするマルウェア注意喚起装置。
【請求項３】
請求項２に記載のマルウェア注意喚起装置において、
前記応答ファイル生成部は、前記第一のファイルの通信先と、通信要求内容と、通信応答内容を取得し、各々の取得情報に基づいて前記第三のファイルを生成することを特徴とするマルウェア注意喚起装置。
【請求項４】
請求項３に記載のマルウェア注意喚起装置において、
前記応答ファイル生成部は、前記応答内容に含まれる、前記第二のファイルのハッシュ情報に基づいて前記第三のファイルを生成することを特徴とするマルウェア注意喚起装置。
【請求項５】
ネットワークを介して端末に接続されるマルウェア注意喚起装置におけるマルウェア注意喚起方法であって、
前記端末上で実行された第一のファイルによって前記端末から送信された、第二のファイルを取得する要求を解析する通信先判定ステップと、
前記通信先判定ステップの判定結果に応じて、前記第二のファイルに代替する第三のファイルを生成する応答ファイル生成ステップと、
前記第三のファイルを前記端末に送信するステップと、
を備えることを特徴とするマルウェア注意喚起方法。
【請求項６】
請求項５に記載のマルウェア注意喚起方法において、
前記応答ファイル生成ステップは、予め定義された偽装処理情報に基づき前記第三のファイルを生成することを特徴とするマルウェア注意喚起方法。
【請求項７】
請求項６に記載のマルウェア注意喚起方法において、
前記応答ファイル生成ステップは、前記第一のファイルの通信先と、通信要求内容と、通信応答内容を取得し、各々の取得情報に基づいて前記第三のファイルを生成することを特徴とするマルウェア注意喚起方法。
【請求項８】
請求項７に記載のマルウェア注意喚起方法において、
前記応答ファイル生成ステップは、前記応答内容に含まれる、前記第二のファイルのハッシュ情報に基づいて前記第三のファイルを生成することを特徴とするマルウェア注意喚起方法。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、ネットワークに接続したコンピュータにおいて、組織の従業員がマルウェアを実行した際、従業員へその旨を即座に通知する技術に関する。
【背景技術】
【０００２】
近年、企業のシステムにおける脆弱性を狙い、システムへ侵入、機密情報の窃取などを行う標的型攻撃の件数は増加の一途をたどっている。標的型攻撃は、マルウェアと呼ばれる、コンピュータウイルスをメールへ添付し、標的の企業へ送りつけることで行われる。
【０００３】
企業へ送りつけられるマルウェアとして、外部ネットワークから新たなマルウェアをダウンロードし実行する、ダウンローダ型マルウェアが用いられることがある。攻撃者は、これらのマルウェアを、巧妙に作成したメール本文に添付し、組織の従業員が正常なファイルと誤解して実行してしまうような工夫を行う。セキュリティ意識の低い従業員が、このような偽装を見抜くことは現状困難である。
【０００４】
以上の理由から、現在の標的型攻撃の対策には、従業員が不審ファイルを実行した際に、従業員へ注意喚起を行い、従業員のセキュリティ意識を高めることが重要である。
【０００５】
例えば、特許文献１には、従業員への注意喚起に焦点を当てたマルウェア感染対策システムが開示されている。これは、マルウェアの通信を検知した際に、マルウェアの行う通信を遮断、通信内容を破棄するだけでなく、マルウェアを実行したコンピュータ装置に対してマルウェア感染のアラートを通知することができる。
【先行技術文献】
【特許文献】
【０００６】
【特許文献１】特開２０１０−１５５１３号公報
【発明の概要】
【発明が解決しようとする課題】
【０００７】
特許文献１の技術は、マルウェアの不正な通信を検知した際、マルウェアの通信に対して、注意喚起メッセージを応答することで、通信の遮断と注意喚起を行っている。しかし、ダウンローダ型マルウェアのように、バックグラウンドで通信を行うマルウェアに対しては、注意喚起メッセージを応答しても画面に表示されず、注意喚起を行うことができない。
【０００８】
本発明は、上記事情に鑑みてなされたものであり、バックグラウンドで通信を行うマルウェアであっても、従業員へ注意喚起を行うマルウェア注意喚起装置を提供することを目的とする。
【課題を解決するための手段】
【０００９】
本発明の代表的な一例は、以下の通りである。すなわち、本発明では、コンピュータ上で実行されたマルウェアのファイル取得要求に対して、マルウェアが要求するファイルではなく、実行しても害の無いファイルを替わりに返す。マルウェアはファイルの切り替えに気づかずにマルウェアの挙動としてこのファイルをコンピュータ上で実行することで、差し替えたファイルを実行した結果として、従業員に注意喚起画面を提示する。
【発明の効果】
【００１０】
本発明によれば、従業員がマルウェアを実行した際に、注意喚起を行うことができる。これにより、従業員が端末をネットワークから隔離するなどの、早期の感染対策を行うことが可能になり、被害の拡大防止に役立つ。
【図面の簡単な説明】
【００１１】
【図１】実施例１に係るマルウェア注意喚起装置の構成例を示した図である。
【図２】実施例１に係る通信先検知情報データの構造例を示した図である。
【図３】実施例１に係る要求内容検知情報データの構造例を示した図である。
【図４】実施例１に係る応答内容検知情報データの構造例を示した図である。
【図５】実施例１に係るアラート形式情報データの構造例を示した図である。
【図６】実施例１に係るクライアント環境データの構造例を示した図である。
【図７】実施例１に係るＤＬファイル処理データの構造例を示した図である。
【図８】実施例１に係る全体処理フローを示した図である。
【図９】実施例１に係る通信判定機能の処理フローを示した図である。
【図１０】実施例１に係る応答ファイル生成機能の処理フローを示した図である。
【図１１】実施例１に係るメッセージ内容決定機能の処理フローを示した図である。
【図１２】実施例１に係るアラートメッセージを示した図である。
【図１３】実施例２に係るマルウェア注意喚起装置の構成例を示した図である。
【図１４】実施例２に係るアラート形式情報データの構造例を示した図である。
【図１５】実施例２に係る通信許可状況記録データの構造例を示した図である。
【図１６】実施例２に係るメッセージ内容決定機能の処理フローを示した図である。
【図１７】実施例２に係る記録情報更新機能の処理フローを示した図である。
【図１８】実施例２に係るアラートメッセージを示した図である。
【発明を実施するための形態】
【００１２】
本発明は、組織内の端末においてマルウェアが実行された際、マルウェアの通信を検知、遮断し、マルウェアを実行した従業員に対して注意喚起を行うシステムである。実施例１では、組織内の端末において実行されるマルウェアとしてダウンローダ型マルウェアを想定し、マルウェアによる不正な通信を検知し、注意喚起を行う処理について説明する。また、実施例２では、通信が不正であると断定できない場合に、組織内の端末からの通信を許可するか否かを従業員に判断させる方式について説明する。
【実施例１】
【００１３】
以下、図面を用いて、本発明の実施例について詳細に説明する。
【００１４】
図１は、本実施例におけるマルウェア注意喚起装置及びその周辺装置の構成例を示した図である。図１に示すように、マルウェア注意喚起装置１０１は、ネットワーク１１８ａを介してクライアント端末１１７ａ、１１７ｂと接続され、ネットワーク１１８ｂを介してインターネット１１９と接続されている。
【００１５】
クライアント端末１１７ａ、１１７ｂは、ユーザが使用するクライアントコンピュータである。パーソナルコンピュータやワークステーション、その他のコンピュータ装置にて実現される。なお、クライアント端末１１７ａ、１１７ｂには、添付ファイルの送受信が可能なメールソフトがインストールされている。なお，図では，クライアント端末１１７ａ，１１７ｂを示したが，これらを区別する必要がない場合は，クライアント端末１１７と称することもある。また、図には、２台のクライアント端末１１７しか示していないが、３台以上のクライアント端末１１７を設けてもよい。
【００１６】
ネットワーク１１８ａ、１１８ｂは、情報の送受信に用いる通信回線である。
【００１７】
インターネット１１９は、組織の外に存在するネットワーク全体を指すものである。例えば、ダウンローダ型マルウェアが新たなマルウェアの取得を試みる通信先は、インターネット１１９に含まれる。
【００１８】
マルウェア注意喚起装置１０１は、クライアント端末１１７からインターネット１１９へ送信される通信を仲介し、不正な通信を検知して通信を遮断、代替ファイルを応答させる装置である。マルウェア注意喚起装置１０１は、ＣＰＵ（Ｃｅｎｔｒａｌ  Ｐｒｏｃｅｓｓｉｎｇ  Ｕｎｉｔ）１０３と、ＣＰＵ１０３が処理を実行するために必要なデータを格納するためのメインメモリ１０４と、大量のデータを記憶する容量を持つハードディスクやフラッシュメモリなどの記憶装置１０５と、他装置と通信を行なうためのＩＦ（ＩｎｔｅｒＦａｃｅ）１０２ａ、１０２ｂと、キーボード、ディスプレイなどの入出力を行うための入出力装置１０６と、これらの各装置を接続する通信路１０７と、を備えおり、例えば、パーソナルコンピュータやワークステーション、その他のコンピュータ装置にて実現される。なお、通信路１０７は、例えば、バスやケーブルなどの情報伝達媒体である。
【００１９】
ＣＰＵ１０３は、メインメモリ１０４に格納された通信先判定機能１０８を実行することで、クライアント端末１１７より受信した通信の陽性判定を行い、メインメモリ１０４に格納された応答ファイル生成機能１０９を実行することで、クライアント端末１１７において適切に実行される代替ファイルを生成し、メインメモリ１０４に格納されたメッセージ内容決定機能１１０を実行することで、クライアント端末で表示する注意喚起メッセージの内容を決定する。
【００２０】
メインメモリ１０４は、各種プログラムを実行することで、通信先判定機能１０８と、応答ファイル生成機能１０９と、メッセージ内容決定機能１１０として機能する。具体的には、クライアント端末１１７からインターネット１１９への通信を受信すると、通信の陽性判定、代替ファイルの生成、代替ファイルの応答を開始する。通信先判定機能１０８は、記録装置１０５における通信先検知情報データ１１１と、要求内容検知情報データ１１２と、応答内容検知情報データ１１３とを参照し、通信における、通信先と、通信の要求内容と、通信の応答内容と、の３つの指標から、通信の陽性判定を行う。応答ファイル生成機能は、記録装置１０５における、アラート形式情報データ１１４と、クライアント環境データ１１５と、ＤＬファイル処理内容データ１１６とを参照し、検知された不正な通信に対して、代替ファイルを生成する。メインメモリ１０４において生成された代替ファイルは、ＩＦ１０２ａを介してクライアント端末１１７へ通信の応答として送られる。
【００２１】
記憶装置１０５には、クライアント端末１１７より受信した通信の陽性判定を行うために用いる、不正な通信の情報を格納した記録データと、クライアント端末１１７より受信した通信の内容に応じて、応答する代替ファイルの仕様を決定する際に、代替ファイルの仕様決定のために用いる記録データとが格納されている。具体的には、記憶装置１９５には、不正な通信先を記録した通信先検知情報データ１１１と、不正な通信の要求内容を記録した要求内容検知情報データ１１２と、不正な通信の応答内容を記録した応答内容検知情報データ１１３と、代替ファイルにおけるアラートの種類を決定するルールを記録したアラート形式情報データ１１４と、クライアント端末１１７の端末情報を記録したクライアント環境データ１１５と、クライアント端末１１７より通信を行ったファイルが、本来取得予定であったファイルに対して施す処理を、代替ファイルに対しても同様に施すためのルールを記録したＤＬファイル処理内容記録データ１１６と、が格納されている。
【００２２】
図２は、通信先検知情報データ１１１の一例を示す図である。図２に示すように、通信先検知情報データ１１１は、通信先情報ＩＤ２０１と、通信先ＵＲＩ２０２とを含んで構成される。なお、通信先検知情報データ１１１は、ステップ９０２における通信先の陽性判定において用いられる。ステップ９０２については、図９を用いて後述する。
【００２３】
通信先情報ＩＤ２０１は、通信先情報を一意に識別できる情報を表す。尚、通信先情報ＩＤ２０１は、後述する、アラート形式情報データ１１４における、通信先検知結果５０２に格納される情報を表している。通信先ＵＲＩ２０２は、外部通信先のＵＲＩを表す。通信先ＵＲＩ２０２には、ＩＰアドレスや、ドメインや、ファイルを指定するパス情報などが、含まれている。なお、通信先ＵＲＩ２０２に情報を登録する際は、サンドボックスを用いた動的解析によってマルウェアを解析し、解析結果における不正なＵＲＩ情報を抽出し、登録してもよい。
【００２４】
図３は、要求内容検知情報データ１１２の一例を示す図である。図３に示すように、要求内容検知情報データ１１２は、要求内容情報ＩＤ３０１と、Ｕｓｅｒ−Ａｇｅｎｔ情報３０２とを含んで構成される。なお、要求内容検知情報データ１１２は、ステップ９０３における要求内容の陽性判定において用いられる。ステップ９０３については、図９を用いて後述する。
【００２５】
要求内容情報ＩＤ３０１は、要求内容情報を一意に識別できる情報を表す。なお、要求内容情報ＩＤ３０１は、後述する、アラート形式情報データ１１４における、要求内容検知結果５０３に格納される情報を表している。Ｕｓｅｒ−Ａｇｅｎｔ情報３０２は、通信の要求のヘッダ情報に含まれる、ユーザエージェント情報を表す。Ｕｓｅｒ−Ａｇｅｎｔ情報３０２には、マルウェアが通信を行う際に利用されるユーザエージェント情報が記録される。なお、Ｕｓｅｒ−Ａｇｅｎｔ情報３０２に、情報を登録する際は、サンドボックスを用いた動的解析によってマルウェアを解析し、解析結果におけるユーザエージェント情報を抽出し、登録してもよい。
【００２６】
図４は、応答内容検知情報データ１１３の一例を示す図である。図４において示すように、応答内容検知情報データ１１３は、応答内容情報ＩＤ４０１と、ｆｉｌｅｎａｍｅ情報４０２と、ｆｉｌｅＨａｓｈ情報４０３とを含んで構成される。なお、応答内容検知情報データ１１３は、ステップ９０４における応答内容の陽性判定において用いられる。ステップ９０４については、図９を用いて後述する。
【００２７】
応答内容情報ＩＤ４０１は、応答内容を一意に識別できる情報を表す。なお、応答内容情報ＩＤ４０１は、後述する、アラート形式情報データ１１４における、応答内容検知結果５０４に格納される情報を表している。ｆｉｌｅｎａｍｅ情報４０２は、マルウェアのファイル名を表す。ｆｉｌｅｎａｍｅ情報４０２には、マルウェアのファイル取得要求によって取得されたファイルの、ファイル名が記録される。ｆｉｌｅＨａｓｈ情報４０３は、ファイルを一意に特定可能な情報である。ｆｉｌｅＨａｓｈ情報４０３には、例えば、ハッシュ関数ＳＨＡ１を用いた、マルウェアのハッシュ値が記録される。なお、ｆｉｌｅｎａｍｅ情報４０２と、ｆｉｌｅＨａｓｈ情報４０３に、情報を登録する際は、サンドボックスを用いた動的解析によってマルウェアを解析し、解析結果における、ダウンロードファイルのファイル名と、ダウンロードファイルのハッシュ値を抽出し、登録してもよい。また、図４の応答内容情報ＩＤ４０１におけるＣ−２で示すように、ｆｉｌｅｎａｍｅ情報４０２と、ｆｉｌｅＨａｓｈ情報４０３のいずれかの情報が、不明である、もしくはデータなしである場合は、該当情報を空欄としてもよい。この場合、ｆｉｌｅｎａｍｅ情報４０２、ｆｉｌｅＨａｓｈ情報４０３のいずれかを用いて、応答内容情報ＩＤ４０１との関連付けが行われる。
【００２８】
図５は、アラート形式情報データ１１４の一例を示す図である。図５に示すように、アラート形式情報データ１１４は、アラート形式情報ＩＤ５０１と、通信先検知結果５０２と、要求内容検知結果５０３と、応答内容検知結果５０４と、応答有無情報５０５と、アラート仕様１有無情報５０６と、アラート仕様２有無情報５０７とを含んで構成される。なお、アラート形式情報データ１１４は、ステップ１００２における注意喚起方式の決定において用いられる。ステップ１００２については、図１０を用いて後述する。
【００２９】
アラート形式情報ＩＤ５０１は、アラート形式情報を一意に識別できる情報を表す。
【００３０】
通信先検知結果５０２は、通信先検知情報データ１１１に記録された通信先情報ＩＤ２０１の情報を表し、要求内容検知結果５０３は、要求内容検知情報データ１１２に記録された要求内容情報ＩＤ３０１の情報を表し、応答内容検知結果５０４は、応答内容検知情報データ１１３に記録された応答内容情報ＩＤ４０１の情報を表す。応答有無情報５０５は、マルウェアの通信に対して、代替ファイルの応答による注意喚起を行うか、行わないかを決定する。代替ファイルの応答による注意喚起を行う場合は○を、行わない場合は×を格納する。また、アラート仕様１有無情報５０６と、アラート仕様２有無情報５０７についての説明は、図１２を用いて後述する。
【００３１】
図６は、クライアント環境データ１１５の一例を示す図である。図６に示すように、クライアント環境データ１１５は、クライアント環境ＩＤ６０１と、端末ＩＰ６０２と、ＯＳ６０３と、アーキテクチャ６０４とを含んで構成される。なお、クライアント環境データ１１５は、ステップ１００４における端末環境の決定において用いられる。ステップ１００４については、図１０を用いて後述する。
【００３２】
クライアント環境ＩＤ６０１は、クライアント環境情報を一意に識別できる情報を表し、端末ＩＰ６０２は、クライアント端末１１７のＩＰアドレスを表す。ＯＳ６０３は、端末のＯＳを表す。ＯＳ６０３には、組織内のすべてのクライアント端末１１７それぞれの、ＯＳを表す情報が記録されている。アーキテクチャ６０４は、ＣＰＵの扱える情報量を表す。アーキテクチャ６０４に格納される情報は、３２ｂｉｔと６４ｂｉｔのいずれかである。
【００３３】
図７は、ＤＬファイル処理内容データ１１６の一例を示す図である。図７に示すように、ＤＬファイル処理内容データ１１６は、Ｈａｓｈ値７０１と、処理内容７０２と、変換関数７０３と、始点７０４と、終点７０５とを含んで構成されている。なお、ＤＬファイル処理内容データ１１６は、ステップ１００５における、代替ファイルに施す処理の決定に用いられる。ステップ１００５については、図１０を用いて後述する。
【００３４】
Ｈａｓｈ値７０１は、Ｈａｓｈ関数によるマルウェアのＨａｓｈ値を表す。Ｈａｓｈ値７０１において用いられるＨａｓｈ関数の例として、ＭＤ５、ＳＨＡ１などが挙げられる。  処理内容７０２は、マルウェアが、ダウンロードを要求するファイルに対して施す偽装処理を表す。処理内容８０２に記録される偽装処理の例として、ＲＳＡ暗号化（１２８ｂｉｔ）や、ＸＯＲや、ＡＥＳ暗号化（１２８ｂｉｔ）などがある。変換関数７０３は、マルウェアが、ダウンロードを要求するファイルに対して施す偽装処理において、用いる暗号化鍵を表す。始点７０４は、マルウェアが、ダウンロードを要求するファイルに対して施す偽装処理における、処理の施されるビット列の、始点の座標を表し、終点７０５は、マルウェアが、ダウンロードを要求するファイルに対して施す偽装処理における、処理の施されるビット列の、終点の座標を表す。
【００３５】
次に、本実施例の処理手順について説明する。
【００３６】
図８に、マルウェア注意喚起装置１０１の処理の流れを示す。
【００３７】
クライアント端末１１７からの通信を、マルウェア注意喚起装置１０１が受信すると、通信先判定機能１０８によって通信情報の陽性判定を行う（ステップ８０２）。
【００３８】
通信先判定機能１０８において解析される通信情報は、クライアント端末１１７からの通信における要求と、応答の、双方である。このため、クライアント端末１１７からの通信要求を遮断せず、ネットワーク１１８ａ、ｂを介してインターネット１１９に接続させた上で、インターネット１１９からの応答内容を取得し、通信先判定機能１０８において通信内容の陽性判定を行う。なお、通信判定機能１０８の処理フローは、図９を用いて後述する。
【００３９】
次に、通信先判定機能１０８における陽性判定結果をもとに、応答ファイル生成機能１０９において、クライアント端末１１７からの通信に対する対処方法を決定する（ステップ８０３）。
【００４０】
通信先判定機能１０８においてクライアント端末１１７からの通信が「陽性」、すなわち、不正と判定された場合、応答ファイル生成機能において、注意喚起プログラムの組み込まれた代替ファイルが生成され、生成された代替ファイルは、クライアント端末１１７からの通信に対する応答ファイルとして、ＩＦ１０２ａを介して、クライアント端末１１７へと送信される。ここで、クライアント端末１１７からの通信がダウンローダ型マルウェアによるものである場合、マルウェアは、自らのファイル取得要求に対して、応答ファイルとして送信されてきた代替ファイルを自ら実行し、これによって代替ファイルに組み込まれた注意喚起プログラムが実行され、マルウェアを実行した、クライアント端末１１７の端末操作者に対して、注意喚起の内容を示すアラートが表示される。
【００４１】
なお、通信先判定機能１０８によってクライアント端末１１７からの通信が不正でないと判定された場合は、マルウェア注意喚起装置１０１はクライアント端末１１７からの通信に対してそれ以上の処理を行わず、インターネット１１９へ通信させる。なお、これらの処理については、図１１を用いて後述する。
【００４２】
図９は、通信先判定機能１０８の処理の流れを示している。
【００４３】
通信判定機能１０８は、クライアント端末１１７からの通信要求から、ＵＲＩ情報を取得する。通信先検知情報データ１１１における通信先ＵＲＩ２０２が、クライアント端末１１７から取得したＵＲＩ情報であるような、通信先情報ＩＤ２０１を取得し、出力する（ステップ９０２）。なお、通信先判定機能１０８は、通信先検知情報データ１１１に、該当する通信先情報ＩＤ２０１が存在しない場合は、出力を行わない。
【００４４】
通信先判定機能１０８は、クライアント端末１１７からの通信要求から、ユーザエージェント情報を取得する。要求内容検知情報データ１１２におけるＵｓｅｒ−Ａｇｅｎｔ情報３０２が、クライアント端末１１７から取得したユーザエージェント情報であるような、要求内容情報ＩＤ３０１を取得し、出力する（ステップ９０３）。なお、通信先判定機能１０８は、要求内容検知情報データ１１２に、該当する要求内容情報ＩＤ３０１が存在しない場合は、出力を行わない。
【００４５】
通信先判定機能１０８は、クライアント端末１１７からの通信要求に対する応答に含まれるファイルから、ファイル名と、ハッシュ値を取得する。応答内容検知情報データ１１３におけるｆｉｌｅｎａｍｅ情報４０２と、ｆｉｌｅＨａｓｈ情報４０３が、クライアント端末１１７から取得したファイル名とハッシュ値であるような、応答内容情報ＩＤ４０１を取得し、出力する（ステップ９０４）。なお、通信先判定機能１０８は、応答内容検知情報データ１１３に、該当する応答内容情報ＩＤ４０１が存在しない場合は、出力を行わない。また、クライアント端末１１７からの通信要求に対する応答から、ハッシュ値を取得する際は、ハッシュ値自動出力ツールを用いてもよい。
【００４６】
なお、ここで、通信先の判定は上記３つの観点について、上記の順で行うことを説明したが、これら観点の全てを実施する必要は必ずしも無い。セキュリティのレベルによっては、いずれか一つの観点で値が出力された場合、陽性と判断しても良い。
【００４７】
図１０は、応答ファイル生成機能１０９の処理の流れを示している。
【００４８】
応答ファイル生成機能１０９は、ステップ９０２と、ステップ９０３と、ステップ９０４において出力された、通信先情報ＩＤ３０１と、要求内容情報ＩＤ４０１と、応答内容情報ＩＤ５０１を取得する。応答ファイル生成機能１０９は、アラート形式情報データ１１４における、通信先検知結果５０２と、要求内容検知結果５０３と、応答内容検知結果５０４が、取得した通信先情報ＩＤ３０１と、要求内容情報ＩＤ４０１と、応答内容情報ＩＤ５０１であるような、応答有無情報５０５と、アラート仕様１有無情報５０６と、アラート仕様２有無情報５０７を取得する。応答ファイル生成機能１０９は、取得した応答有無情報５０５と、アラート仕様１有無情報５０６と、アラート仕様２有無情報５０７を用いて、代替ファイルの応答の有無と、注意喚起プログラムにおけるアラート仕様１の実装の有無と、注意喚起プログラムにおけるアラート仕様２の実装の有無をそれぞれ決定する（ステップ１００２）。
【００４９】
応答ファイル生成機能１０９は、ステップ１００２において取得した通信先情報ＩＤ３０１と、要求内容情報ＩＤ４０１と、応答内容情報ＩＤ５０１を、メッセージ内容決定機能１１０に入力する（ステップ１００３）。ステップ１００３において、注意喚起プログラムに、クライアント端末１１７上で表示されるメッセージが実装される。メッセージ内容決定機能１１０の処理フローは、図１１を用いて後述する。
【００５０】
応答ファイル生成機能１０９は、クライアント端末１１７からの通信要求に対する応答から、通信の発信元であるクライアント端末１１７のＩＰアドレスを取得する。クライアント環境データ１１５における端末ＩＰ６０２が、取得したクライアント端末１１７のＩＰアドレスであるような、ＯＳ６０３と、アーキテクチャ６０４を取得する。応答ファイル生成機能１０９は、取得したＯＳ６０３と、アーキテクチャ６０４を用いて、注意喚起プログラムがクライアント端末上で適切に実行されるように、プログラムの実装を行う（ステップ１００４）。
【００５１】
応答ファイル生成機能１０９は、クライアント端末１１７からの通信要求に対する応答にファイルが含まれる場合、応答に含まれるファイルのハッシュ値を取得する。ＤＬファイル処理内容データにおけるＨａｓｈ値７０１が、取得したハッシュ値であるような、処理内容７０２と、変換関数７０３と、始点７０４と、終点７０５を取得する。応答ファイル生成機能１０９は、取得した処理内容７０２と、変換関数７０３と、始点７０４と、終点７０５を用いて、代替ファイルに施す処理と、処理に用いる変換関数と、処理を施す範囲の始点と、処理を施す範囲の終点をそれぞれ決定する（ステップ１００５）。なお、応答に含まれるファイルのハッシュ値を取得する際は、ハッシュ値取得ツールを用いても良い。
【００５２】
図１１は、ステップ１００３において実行される、メッセージ内容決定機能１１０の、処理の流れを示している。
【００５３】
メッセージ内容決定機能１１０は、ステップ１００２において応答ファイル生成機能１０９が取得した、応答有無情報５０５を取得する。取得した応答有無情報５０５が○である場合はステップ１１０４へ進み、取得した応答有無情報５０５が×である場合はステップ１１０３へ進む（ステップ１１０２）。
【００５４】
メッセージ内容決定機能１１０は、代替ファイル生成処理を中止する。この場合、マルウェア注意喚起装置１０１は、クライアント端末１１７からの通信に対してアラートを実行せず、クライアント端末１１７からのインターネット１１９への通信を許可する（ステップ１１０３）。
【００５５】
メッセージ内容生成機能１１０は、ステップ９０２において通信先判定機能１０８が出力した、通信先情報ＩＤ２０１を取得する。通信先検知情報データ１１１における通信先情報ＩＤ２０１が、ステップ９０２において通信先判定機能１０８が出力した通信先情報ＩＤ２０１に合致するような、通信先ＵＲＩ２０２を取得する。メッセージ内容生成機能１１０は、クライアント端末１１７において不正な通信先への通信を検知し、新たなファイルの取得を試みた、という旨のメッセージを、クライアント端末１１７上で表示するよう、注意喚起プログラムを実装する。さらに、取得した通信先ＵＲＩ２０２の情報を、検知情報詳細表示画面１２０１に表示するよう、注意喚起プログラムを実装する（ステップ１１０４）。なお、ステップ９０２において、通信先判定機能１０８が有効な通信先情報ＩＤ２０１を取得しなかった場合は、メッセージ内容生成機能１１０は、不正な通信先への接続や、ファイルの取得挙動の有無に関してのメッセージを生成しない。また、検知情報詳細表示画面１２０１については、図１２において後述する。
【００５６】
メッセージ内容生成機能１１０は、ステップ９０３において通信先判定機能１０８が出力した、要求内容情報ＩＤ３０１を取得する。要求内容検知情報データ１１２における要求内容情報ＩＤ３０１が、ステップ９０３において通信先判定機能１０８が出力した要求内容情報ＩＤ３０１に合致するような、Ｕｓｅｒ−Ａｇｅｎｔ情報３０２を取得する。メッセージ内容生成機能１１０は、クライアント端末１１７からの通信要求に不正なユーザエージェント情報が含まれていたという旨のメッセージを、クライアント端末１１７上で表示するよう、注意喚起プログラムを実装する。さらに、取得したＵｓｅｒ−Ａｇｅｎｔ情報３０２の情報を、検知情報詳細表示画面１２０１に表示するよう、注意喚起プログラムを実装する（ステップ１１０５）。なお、ステップ９０３において、通信先判定機能１０８が有効な要求内容情報ＩＤ３０１を取得しなかった場合は、メッセージ内容生成機能１１０は、不正なユーザエージェント情報に関してのメッセージを生成しない。また、検知情報詳細表示画面１２０１については、図１２において後述する。
【００５７】
メッセージ内容生成機能１１０は、ステップ９０４において通信先判定機能１０８が出力した、応答内容情報ＩＤ４０１を取得する。応答内容検知情報データ１１３における応答内容情報ＩＤ４０１が、ステップ９０４において通信先判定機能１０８が出力した応答内容情報ＩＤ４０１に合致するような、ｆｉｌｅｎａｍｅ情報４０２と、ｆｉｌｅＨａｓｈ情報４０３を取得する。メッセージ内容生成機能１１０は、クライアント端末１１７からの通信要求に対する応答内容に、不正なファイルが含まれていたという旨のメッセージを、クライアント端末１１７上で表示するよう、注意喚起プログラムを実装する。さらに、取得したｆｉｌｅｎａｍｅ情報４０２と、ｆｉｌｅＨａｓｈ情報４０３の情報を、検知情報詳細表示画面１２０１に表示するよう、注意喚起プログラムを実装する（ステップ１１０６）。なお、ステップ９０４において、通信先判定機能１０８が有効な応答内容情報ＩＤ４０１を取得しなかった場合は、メッセージ内容生成機能１１０は、不正なファイルの取得に関してのメッセージを生成しない。
【００５８】
メッセージ内容決定機能１１０は、注意喚起メッセージ内容１２０２と、入力受付ボタン１２０３を、クライアント端末１１７上で表示するよう、注意喚起プログラムを実装する（ステップ１１０７）。なお、注意喚起メッセージ内容１２０２と、入力受付ボタン１２０３については、図１２において後述する。
【００５９】
図１２は、ステップ１００３において、メッセージ内容決定機能によって出力された、メッセージ画面の一例を表す。メッセージ画面は、検知情報詳細表示画面１２０１と、注意喚起メッセージ内容１２０２と、入力受付ボタン１２０３とで構成されている。
【００６０】
検知情報詳細表示画面１２０１は、検知したクライアント端末１１７からの通信に関する情報を記載したメッセージ画面である。検知情報詳細表示画面１２０１には、メッセージ内容決定機能のステップ１１０４と、ステップ１１０５と、ステップ１１０６において、生成されたメッセージが表示される。図１２における例では、ステップ１１０４と、ステップ１１０６において、それぞれ不正な通信先と、不正なファイルの取得を検知した旨が、検知情報詳細表示画面１２０１上に表示されている。
【００６１】
注意喚起メッセージ内容１２０２は、検知したクライアント端末１１７からの通信に対して、行った処理の内容と、注意喚起の旨を記載したメッセージ画面である。図１２における例では、マルウェア注意喚起装置１０１がマルウェアの通信を検知した際、検知したマルウェアの通信に対して、通信を遮断した旨と、クライアント端末１１７上で実行されたマルウェアを削除した旨と、クライアント端末１１７の操作者へ向けた注意喚起の旨が表示されている。これらのメッセージ内容は、メッセージ内容決定機能１１０のステップ１１０７において生成される。
【００６２】
入力受付ボタン１２０３は、クライアント端末１１７の操作者による入力を受け付けるボタンである。クライアント端末１１７の操作者がメッセージ画面の記載内容を読了した際に入力受付ボタン１２０３を押下することを想定している。
【００６３】
ここで、ステップ１００２で用いられる、アラート形式情報データ１１４における、アラート仕様１有無情報５０６と、アラート仕様２有無情報５０７について説明する。
【００６４】
アラート仕様１有無情報５０６は、図１２に例として示した、メッセージ画面を表示する注意喚起プログラムにおける、アラート仕様１の有無を決定する情報である。アラート仕様１とは、注意喚起が実行されるクライアント端末１１７の、入出力装置による操作をロックし、クライアント端末１１７の操作者によって入力受付ボタン１２０３が押下されるまで、クライアント端末１１７の操作をロックする仕様である。アラート仕様１有無情報５０６に格納される情報は、○もしくは×のいずれかであり、アラート仕様１を注意喚起プログラムに組み込む場合は○を、アラート仕様１を注意喚起プログラムに組み込まない場合は×を出力する。
【００６５】
アラート仕様２有無情報５０７は、図１２に例として示した、メッセージ画面を表示する注意喚起プログラムにおける、アラート仕様２の有無を決定する情報である。アラート仕様２とは、クライアント端末１１７上で注意喚起プログラムが実行された際、クライアント端末１１７上でアラート音を発する仕様である。アラート仕様２有無情報５０７に格納される情報は、○もしくは×のいずれかであり、アラート仕様２を注意喚起プログラムに組み込む場合は○を、アラート仕様２を注意喚起プログラムに組み込まない場合は×を出力する。
【００６６】
アラート仕様１によって、クライアント端末１１７上で注意喚起プログラムが実行された際、クライアント端末の操作者が入力受付ボタン１２０３を押下するまで、クライアント端末１１７における全ての操作をロックする。これにより、端末操作者の注意喚起メッセージ無視を防止し、確実に注意喚起の内容を周知させることができる。
【００６７】
アラート仕様２によって、クライアント端末１１７上で注意喚起プログラムが実行された際、アラート音が発生られる。これにより、クライアント端末１１７の操作者だけでなく、クライアント端末１１７の周囲の従業員にも、注意喚起を周知させることができる。
【００６８】
また、クライアント端末１１７に応答される注意喚起プログラムには、表示されるメッセージをポップアップ表示する機能と、クライアント端末上で不正な通信を試みたマルウェアを削除する機能が実装されている。これにより、クライアント端末１１７の操作者にメッセージの表示を素早く認識させることができ、また、クライアント端末１１７におけるマルウェアの駆除も同時に行われる。
【００６９】
本実施例によるマルウェア注意喚起システムの処理を、クライアント端末１１７上でダウンローダ型マルウェアが実行された場合を想定して説明する。
【００７０】
クライアント端末１１７上でマルウェアが実行された際、マルウェアはインターネット１１９への通信を試みる。このとき、マルウェア注意喚起装置１０１は、マルウェアの通信を受信し、通信先判定機能１０８によるマルウェアの通信情報の解析を行う。なお、この時点ではマルウェアによる通信を遮断せず、インターネット１１９へ通信の要求を疎通させる。
【００７１】
通信先判定機能１０８では、マルウェアの通信先ＵＲＩ、要求内容におけるユーザエージェント、応答内容に含まれるダウンロードファイルの、ファイル名とハッシュ値を、それぞれ、通信先検知情報データ１１１、要求内容検知情報データ１１２、応答内容検知情報データ１１３を用いて比較参照し、マルウェアの通信の陽性判定を、上記３つの指標を用いて行う。上記３つの指標による陽性判定結果に基づき、応答ファイル生成機能１０９と、メッセージ内容決定機能１１０が機能し、マルウェアの不正ファイル取得挙動に対して注意喚起を行うための、実行可能な注意喚起プログラムが実装され、マルウェアの通信に対して、代替ファイルとして応答する。注意喚起プログラムには、マルウェアの通信先ＵＲＩと、要求内容におけるユーザエージェントと、応答内容に含まれるダウンロードファイルに関しての検知情報と、クライアント端末１１７の操作者へ注意を促すためのメッセージを記録したメッセージ画面が作成される。クライアント端末１１７上のマルウェアは、通信に対する応答として取得した代替ファイルをクライアント端末１１７上で実行し、それによってクライアント端末上で、注意喚起メッセージが、ポップアップよって表示される。アラート形式情報データ１１４によって、各々のマルウェアに応じて、端末操作のロックや、アラート音の発生などが、選択的に行われる。端末操作のロックによって、クライアント端末１１７の操作者は、メッセージにおける入力受付ボタン９０３を押下するまで端末の操作をロックされ、メッセージの無視ができなくなる。また、アラート音の発生によって、クライアント端末１１７周辺にいる従業員に対しても、注意喚起の旨を周知させることができる。さらに、注意喚起プログラムによって、クライアント端末１１７から不正な通信を行ったマルウェアは削除される。
【００７２】
以上により、ダウンローダ型マルウェアの不正ファイル取得の挙動に対して、挙動の遮断と注意喚起を行うことができる。
【００７３】
なお、本実施例の一部を変更して、次のように実施しても良い。過去に、マルウェアのインターネット１１９からのファイル取得要求に対して代替ファイルを応答した際の、代替ファイルの生成ルールを記録した生成ファイル情報データを、記憶装置１０５内に別途作成してもよい。生成ファイル情報データを作成すれば、過去に一度検知したマルウェアの通信に対して、代替ファイルを迅速に応答させることが可能になる。
【００７４】
また、クライアント端末１１７よりインターネット１１９へ通信を行うマルウェアが、実行形式ファイルではなく、文書閲覧ファイルや、文書作成ファイルの取得を要求する場合は、通信先検知情報データ１１１や、応答内容検知情報データ１１３において、該当する通信先ＵＲＩと、ファイル名を記録させ、実行形式ファイルと同様に、文書閲覧ファイルや、文書作成ファイルを、代替ファイルとして応答させてもよい。これにより、実行形式以外のファイルであっても、注意喚起を行うことができる。この場合、クライアント端末１１７上で、代替ファイルが実行されると、不正なファイルを実行した旨が記載された文書ファイルが、ポップアップによって表示される。
また、以上の実施例の方法は、ＨＴＭＬファイルを取得するマルウェアにも応用可能である。クライアント端末上で実行されたマルウェアが、不正なコードがインジェクションされたＨＴＭＬファイルを取得し、ブラウザ上での展開を試みる際、これらの挙動を本マルウェア注意喚起装置によって検知し、注意喚起メッセージを表示するコードの埋め込まれたＨＴＭＬファイルを応答することで、クライアント端末上で、不正なＨＴＭＬファイルの取得要求があった旨を、メッセージとして表示することが可能である。
【実施例２】
【００７５】
実施例２においては、必ずしも不正ではないクライアント端末１１７からの通信に対しては、クライアント端末１１７からの通信を許可するか不許可とするかを、クライアント端末１１７の操作者に判断させる。そして、あるクライアント端末１１７からの通信に対して、組織のクライアント端末の操作者全員がどの程度通信を許可したかの情報を記録し、その結果によって、そのクライアント端末１１７からの通信先が不正であるか不正でないかを、最終的に決定する。このため、本実施例においては、クライアント端末１１７からの通信に対して陽性判定を行うために用いる、通信先検知情報データ１１１と、要求内容検知情報データ１１２と、応答内容検知情報データ１１３に加えて、必ずしも不正でない通信に対しても、記録情報データを作成し、通信の情報を記録する。これにより、必ずしも不正でない通信先に対して、組織の従業員が通信を許可した場合と、不許可とした場合の、各々の件数をカウントし、その統計結果によって、通信先が危険であるか否かを判断可能である。
以上の目的で用いる記録情報データを、図２で示した通信先検知情報データ１１１と要求内容検知情報データ１１２と、応答内容検知情報データ１１３と同様に、通信先検知情報データＢと要求内容検知情報データＢと、応答内容検知情報データＢとする。また、通信先検知情報データＢは、疑陽性通信先情報ＩＤと，疑陽性通信先ＵＲＩとを、要求内容検知情報データＢは、疑陽性要求内容情報ＩＤと，疑陽性Ｕｓｅｒ−Ａｇｅｎｔ情報とを、応答内容検知情報データＢは、疑陽性応答内容情報ＩＤと，疑陽性ｆｉｌｅｎａｍｅ情報と、疑陽性ｆｉｌｅＨａｓｈ情報とを持つものとする。
【００７６】
図１３は、本実施例におけるマルウェア注意喚起装置１０１を含むネットワークの構成例を示した図である。実施例１と同一の構成要素には同一の符号を付すことによってその説明を省略し、以下では、実施例１と異なる点を中心に説明する。
【００７７】
図１３に示すように、実施例２に係るマルウェア注意喚起装置１０１は、記録情報更新機能１３０１と、疑陽性通信先検知情報データと、疑陽性要求内容検知情報データと、疑陽性応答内容検知情報データと、通信許可状況記録データ１３０５と、を含んで構成される。
【００７８】
記録情報更新機能１３０１は、通信許可情報記録データ１３０５を参照し、その結果に基づき、インターネット１１９への通信が不正であるか否かを決定する機能である。記録情報更新機能１３０１によって、疑陽性の検知情報データが、陽性の検知情報データに移行されるか、削除されるかの処理が行われる。
【００７９】
疑陽性通信先検知情報データは、インターネット１１９における、不正な可能性のある通信先情報を記録するデータであり、疑陽性要求内容検知情報データは、インターネット１１９への通信における、不正な可能性のある要求内容を記録したデータであり、疑陽性応答内容検知情報データは、インターネット１１９からの取得可能な、不正な可能性のあるファイル情報を記録したデータである。クライアント端末１１７上で行われる通信の情報が、疑陽性通信先検知情報データと、疑陽性要求内容検知情報データと、疑陽性応答内容検知情報データのいずれかの記録情報に合致した場合、クライアント端末１１７の操作者に、当該通信を許可するかを判断させるプログラムが実行される。
【００８０】
通信許可状況記録データ１３０５は、疑陽性通信先検知情報データと、疑陽性要求内容検知情報データと、疑陽性応答内容検知情報データのそれぞれに記録された通信情報に対して、クライアント端末１１７の操作者が、当該通信情報を含む通信を許可としたか、不許可としたかを記録したデータである。
【００８１】
図１４は、本実施例におけるアラート形式情報データ１１４の一例を示す図である。図１４は、図５に対して、疑陽性通信先検知結果１４０１と、疑陽性要求内容検知結果１４０２と、疑陽性応答内容検知結果１４０３とが追加され、構成されている。疑陽性通信先検知結果１４０１と、疑陽性要求内容検知結果１４０２と、疑陽性応答内容検知結果１４０３は、それぞれ、疑陽性通信先情報ＩＤと、疑陽性要求内容情報ＩＤ、疑陽性応答内容情報ＩＤの情報を表す。
【００８２】
図１５は、通信許可情報記録データ１３０５の一例を示す図である。図１５に示すように、通信許可情報記録データ１３０５は、通信許可情報ＩＤ１５０１と、許可判断数１５０２と、不許可判断数１５０３と、全入力数１５０４と、許可判断率１５０５と、不許可判断率１５０６とを含んで構成される。
【００８３】
通信許可情報ＩＤ１５０１は、通信の許可に関する情報を一意に識別できる情報を表す。
【００８４】
許可判断数１５０２は、あるクライアント端末１１７からの通信に対して、クライアント端末１１７の操作者が通信を許可した場合の、総数を表す。許可判断数１５０２は、記録情報更新機能１３０１のステップ１６０２において、記録情報が更新される。ステップ１６０２については、図１６を用いて後述する。
【００８５】
不許可判断数１５０３は、あるクライアント端末１１７からの通信に対して、クライアント端末１１７の操作者が通信を不許可とした場合の、総数を表す。不許可判断数１５０３は、記録情報更新機能１３０１のステップ１６０２において、記録情報が更新される。ステップ１６０２については、図１６を用いて後述する。
【００８６】
全入力数１５０４は、許可判断数１５０２と、許可判断数１５０２に対応する不許可判断数１５０３とを、足し合わせた合計数を表す。
【００８７】
許可判断率１５０５は、許可判断数１５０２の、許可判断数１５０２に対応する全入力数１５０４による割合を、百分率で表した数値を表し、不許可判断率１５０６は、不許可判断数１５０３の、不許可判断数１５０３に対応する全入力数１５０４による割合を、百分率で表した数値を表す。
【００８８】
次に、本実施例における処理手順について説明する。
【００８９】
本実施例におけるマルウェア注意喚起装置１０１の処理の流れを説明する。
【００９０】
基本的に、実施例１の図８と同様の処理であるが、実施例１の図８におけるステップ８０３と、ステップ８０４の間に、通信許可状況記録データ更新処理が挿入される。
【００９１】
ステップ８０３において生成された、注意喚起プログラムを含む代替ファイルが、クライアント端末１１７上で実行され、表示されたメッセージ内容に対して、クライアント端末１１７の操作者によるボタン押下の入力を受け付けた際、記録情報更新機能１３０１を実行することで、クライアント端末１１７の操作者によるボタン押下の入力情報を記録し、また、記録したボタン押下の入力情報に基づき、通信許可状況記録データを更新する（通信許可状況記録データ更新処理）。なお、記録情報更新機能１３０１の処理フローは、図１７を用いて後述する。
【００９２】
次に、本実施例における通信先判定機能１０８の処理フローを説明する。
【００９３】
基本的に、実施例１の図９と同様の処理であるが、実施例１の図９におけるステップ９０４と、ステップ９０５の間に、通信先の疑陽性判定処理と、要求内容の疑陽性判定処理と、応答内容の疑陽性判定処理が挿入される。
【００９４】
通信判定機能１０８は、クライアント端末１１７からの通信要求から、ＵＲＩ情報を取得する。疑陽性通信先検知情報データにおける疑通信先ＵＲＩ１４０１が、取得したＵＲＩ情報であるような、疑陽性通信先情報ＩＤを取得し、出力する（通信先の疑陽性判定処理）。なお、通信先判定機能１０８は、疑陽性通信先検知情報データに、該当する疑陽性通信先情報ＩＤが存在しない場合は、出力を行わない。
【００９５】
通信先判定機能１０８は、クライアント端末１１７からの通信要求から、ユーザエージェント情報を取得する。疑陽性要求内容検知情報データにおける疑陽性Ｕｓｅｒ−Ａｇｅｎｔ情報が、取得したユーザエージェント情報であるような、疑陽性要求内容情報ＩＤを取得し、出力する（要求内容の疑陽性判定処理）。なお、通信先判定機能１０８は、疑陽性要求内容検知情報データに、該当する疑陽性要求内容情報ＩＤが存在しない場合は、出力を行わない。
【００９６】
通信先判定機能１０８は、クライアント端末１１７からの通信要求に対する応答に含まれるファイルから、ファイル名と、ハッシュ値を取得する。疑陽性応答内容検知情報データにおける疑陽性ｆｉｌｅｎａｍｅ情報と、疑陽性ｆｉｌｅＨａｓｈ情報が、取得したファイル名とハッシュ値であるような、疑陽性応答内容情報ＩＤを取得し、出力する（応答内容の疑陽性判定処理）。なお、通信先判定機能１０８は、応答内容検知情報データＢ１１３に、該当する疑陽性応答内容情報ＩＤが存在しない場合は、出力を行わない。また、クライアント端末１１７からの通信要求に対する応答から、ハッシュ値を取得する際は、ハッシュ値自動出力ツールを用いてもよい。
【００９７】
応答ファイル生成機能については、実施例１と同様であるため、説明を省略する。
【００９８】
図１６は、メッセージ内容決定機能１１０の処理フローを示している。
【００９９】
ステップ１１０１と、ステップ１１０２と、ステップ１１０３と、ステップ１１０４と、ステップ１１０５と、ステップ１１０６と、ステップ１１０７については、図１１における説明と同様であるため、説明を省略する。
【０１００】
メッセージ内容決定機能１１０は、それぞれ、ステップ９０２と、ステップ９０３と、ステップ９０４において、通信先判定機能１０８が出力した、通信先情報ＩＤ２０１と、要求内容情報ＩＤ３０１と、応答内容情報ＩＤ４０１を取得する。取得した、通信先情報ＩＤ２０１と、要求内容情報ＩＤ３０１と、応答内容情報ＩＤ４０１のいずれかが出力ありの場合は、ステップ１１０３へ進み、通信先情報ＩＤ２０１と、要求内容情報ＩＤ３０１と、応答内容情報ＩＤ４０１のいずれも出力なしの場合は、ステップ１６０２へ進む（ステップ１６０１）。
【０１０１】
メッセージ内容生成機能１１０は、通信先の疑陽性判定処理において通信先判定機能１０８が出力した、疑陽性通信先情報ＩＤを取得する。疑陽性通信先検知情報データにおける疑陽性通信先情報ＩＤが、通信先の疑陽性判定処理において通信先判定機能１０８が出力した疑陽性通信先情報ＩＤに合致するような、疑陽性通信先ＵＲＩを取得する。メッセージ内容生成機能１１０は、クライアント端末１１７において、不正な通信先から、不正なファイルの取得を試みた可能性があるという旨のメッセージを、クライアント端末１１７上で表示するよう、注意喚起プログラムを実装する。さらに、取得した疑陽性通信先ＵＲＩの情報の情報を、検知情報詳細表示画面１２０１に表示するよう、注意喚起プログラムを実装する（ステップ１６０２）。なお、通信先の疑陽性判定処理において、通信先判定機能１０８が有効な疑陽性通信先情報ＩＤを取得しなかった場合は、メッセージ内容生成機能１１０は、不正な通信先への接続や、ファイルの取得挙動の有無に関してのメッセージを生成しない。
【０１０２】
メッセージ内容生成機能１１０は、要求内容の疑陽性判定処理において通信先判定機能１０８が出力した、疑陽性要求内容情報ＩＤを取得する。疑陽性要求内容検知情報データにおける疑陽性要求内容情報ＩＤが、要求内容の疑陽性判定処理において通信先判定機能１０８が出力した疑陽性要求内容情報ＩＤに合致するような、疑陽性Ｕｓｅｒ−Ａｇｅｎｔ情報を取得する。メッセージ内容生成機能１１０は、クライアント端末１１７からの通信要求に不正なユーザエージェント情報が含まれていた可能性があるという旨のメッセージを、クライアント端末１１７上で表示するよう、注意喚起プログラムを実装する。さらに、取得した疑陽性Ｕｓｅｒ−Ａｇｅｎｔ情報の情報を、検知情報詳細表示画面１２０１に表示するよう、注意喚起プログラムを実装する（ステップ１６０３）。なお、要求内容の疑陽性判定処理において、通信先判定機能１０８が有効な疑陽性要求内容情報ＩＤを取得しなかった場合は、メッセージ内容生成機能１１０は、不正なユーザエージェント情報に関してのメッセージを生成しない。
【０１０３】
メッセージ内容生成機能１１０は、応答内容の疑陽性判定処理において通信先判定機能１０８が出力した、疑陽性応答内容情報ＩＤを取得する。疑陽性応答内容検知情報データにおける疑陽性応答内容情報ＩＤが、応答内容の疑陽性判定処理において通信先判定機能１０８が出力した疑陽性応答内容情報ＩＤに合致するような、疑陽性ｆｉｌｅｎａｍｅ情報と、疑陽性ｆｉｌｅＨａｓｈ情報を取得する。メッセージ内容生成機能１１０は、クライアント端末１１７からの通信要求に対する応答内容に、不正なファイルが含まれていた可能性があるという旨のメッセージを、クライアント端末１１７上で表示するよう、注意喚起プログラムを実装する。さらに、取得した疑陽性ｆｉｌｅｎａｍｅ情報と、疑陽性ｆｉｌｅＨａｓｈ情報の情報を、検知情報詳細表示画面１２０１に表示するよう、注意喚起プログラムを実装する（ステップ１６０４）。なお、応答内容の疑陽性判定処理において、通信先判定機能１０８が有効な疑陽性応答内容情報ＩＤを取得しなかった場合は、メッセージ内容生成機能１１０は、不正なファイルの取得に関してのメッセージを生成しない。
【０１０４】
メッセージ内容決定機能１１０は、通信許可判断内容１８０２と、許可入力ボタン１８０３と、不許可入力ボタン１８０４を、クライアント端末１１７上で表示するよう、注意喚起プログラムを実装する（ステップ１６０５）。なお、通信許可判断内容１８０２と、許可入力ボタン１８０３と、不許可入力ボタン１８０４については、図１８において後述する。
【０１０５】
図１７は、記録情報更新機能１３０１の処理フローを示している。
【０１０６】
ステップ１１０２については、図１１と同様であり、また、ステップ１６０１については、図１６と同様であるため、説明を省略する。
【０１０７】
記録情報更新機能１３０１は、それぞれ、通信先の疑陽性判定処理と、要求内容の疑陽性判定処理と、応答内容の疑陽性判定処理において、通信先判定機能１０８が出力した、疑陽性通信先情報ＩＤと、疑陽性要求内容情報ＩＤと、疑陽性応答内容情報ＩＤを取得する。クライアント端末１１７上で表示されたメッセージに対して、端末の操作者が、許可入力ボタン１８０３もしくは、不許可入力ボタン１８０４を入力した際、許可入力ボタン１８０３が入力されれば、記録情報更新機能１３０１は、通信許可状況記録データ１３０５における通信許可情報ＩＤ１５０１が、取得した疑陽性通信先情報ＩＤと、疑陽性要求内容情報ＩＤと、疑陽性応答内容情報ＩＤのいずれかであるような、許可判断数１５０２の数値を、＋１し、不許可入力ボタン１８０４が入力されれば、記録情報更新機能１３０１は、通信許可状況記録データ１３０５における通信許可情報ＩＤ１５０１が、取得した疑陽性通信先情報ＩＤと、疑陽性要求内容情報ＩＤと、疑陽性応答内容情報ＩＤのいずれかであるような、不許可判断数１５０３の数値を、＋１する。このとき、許可判断数１５０２と、不許可判断数１５０３の数値の変動に対応して、全入力数１５０４と、許可判断率１５０５と、不許可判断率１５０６の数値も同様に変動する（ステップ１７０２）。
【０１０８】
記録情報更新機能１３０１は、通信許可状況記録データ１３０５から、新たに１行を読み出し、参照する（ステップ１７０３）。なお、許可入力ボタン１８０３と、不許可入力ボタン１８０４については、図１８を用いて後述する。
【０１０９】
記録情報更新機能１３０１は、ステップ１７０３で参照した行における、全入力数１５０４の数値と、不許可判断率１５０６の数値を取得する。全入力数１５０４の数値が、ある一定の閾値Ａ（例えば組織内のクライアント端末台数全体の３０％）を超え、かつ、不許可判断率１５０６の数値が、ある一定の閾値Ｂ（例えば６０％）を超える場合は、ステップ１７０５に進み、全入力数１５０４の数値が、ある一定の閾値Ａを超えない、または、不許可判断率１５０６の数値が、ある一定の閾値Ｂを超えない場合は、ステップ１７０６へ進む（ステップ１７０４）。ここで、ある一定の閾値Ａと、ある一定の閾値Ｂとは、マルウェア注意喚起装置１０１の管理者があらかじめ数値を設定するものとする。また、ある一定の閾値Ａは、組織におけるクライアント端末１１７の台数に比例して数値を定めても良い。
【０１１０】
記録情報更新機能１３０１は、ステップ１７０３で参照した行における、通信許可情報ＩＤ１５０１を取得する。取得した通信許可情報ＩＤ１５０１が、疑陽性通信先検知情報データにおける疑陽性通信先情報ＩＤである場合は、記録情報更新機能１３０１は、ステップ１７０３で参照した疑陽性通信先ＵＲＩの情報を、通信先検知情報データ１１１における通信先情報ＩＤ２０１の最下行にコピーし、ステップ１７０３で参照した行の情報を、疑陽性通信先検知情報データから削除する。取得した通信許可情報ＩＤ１５０１が、疑陽性要求内容検知情報データにおける疑陽性要求内容情報ＩＤである場合は、記録情報更新機能１３０１は、ステップ１７０３で参照した疑Ｕｓｅｒ−Ａｇｅｎｔ情報ＩＤ１５０１の情報を、要求内容検知情報データ１１２における要求内容情報ＩＤ３０１の最下行にコピーし、ステップ１７０３で参照した行の情報を、疑陽性要求内容検知情報データから削除する。取得した通信許可情報ＩＤ１５０１が、疑陽性応答内容検知情報データにおける疑陽性応答内容情報ＩＤである場合は、記録情報更新機能１３０１は、ステップ１７０３で参照した疑陽性ｆｉｌｅｎａｍｅ情報と、疑陽性ｆｉｌｅＨａｓｈ情報を、応答内容検知情報データ１１３における応答内容情報ＩＤ４０１にコピーし、ステップ１７０３で参照した行の情報を、疑陽性応答内容検知情報データから削除する（ステップ１７０５）。
【０１１１】
記録情報更新機能１３０１は、ステップ１７０３で参照した行における、全入力数１５０４の数値と、許可判断率１５０５の数値を取得する。全入力数１５０４の数値が、ある一定の閾値Ａを超え、かつ、許可判断率１５０５の数値が、ある一定の閾値Ｃ（例えば８０％）を超える場合は、ステップ１７０７に進み、全入力数１５０４の数値が、ある一定の閾値Ａを超えない、または、許可判断率１５０５の数値が、ある一定の閾値Ｃを超えない場合は、ステップ１７０８へ進む（ステップ１７０６）。ここで、ある一定の閾値Ａと、ある一定の閾値Ｃとは、マルウェア注意喚起装置１０１の管理者があらかじめ数値を設定するものであり、ある一定の閾値Ａは、ステップ１７０４において定めたある一定の閾値Ａと同じ数値であるとする。
【０１１２】
記録情報更新機能１３０１は、ステップ１７０３で参照した行の情報を、通信許可状況記録データ１３０５から削除する（ステップ１７０７）。
【０１１３】
記録情報更新機能１３０１は、ステップ１７０３において読み出した行が、通信許可状況記録データ１３０５における最終行であった場合は、ステップ１７０９へ進み、通信許可状況記録データ１３０５における最終行ではない場合は、ステップ１７０３へ進む（ステップ１７０８）。
【０１１４】
図１８は、メッセージ内容決定機能１１０におけるステップ１６０１から、ステップ１６０２へ、処理が進んだ場合に、メッセージ内容決定機能１１０によって出力されるメッセージ画面の一例である。図１８におけるメッセージ画面は、検知情報詳細表示画面１２０１と、通信許可判断内容１８０２と、許可入力ボタン１８０３と、不許可入力ボタン１８０４とで、構成されている。なお、検知情報詳細表示画面１２０１については、図１２と同様であるため、説明を省略する。
【０１１５】
通信許可判断内容１８０２は、検知したクライアント端末１１７からの通信の、インターネット１１９への通信に対して、通信の要求を許可するか、不許可とするかを、クライアント端末１１７の操作者に判断を仰ぐ旨のメッセージを表す。
【０１１６】
許可入力ボタン１８０３は、クライアント端末１１７の操作者が、インターネット１１９への通信を許可すると判断した場合に、クライアント端末１１７の操作者が押下する入力ボタンである。許可入力ボタン１８０３の操作結果を用いて、記録情報更新機能１３０１は、通信許可状況記録データ１３０５の更新を行う。
【０１１７】
不許可入力ボタン１８０４は、クライアント端末１１７の操作者が、インターネット１１９への通信を許可しないと判断した場合に、クライアント端末１１７の操作者が押下する入力ボタンである。許可入力ボタン１８０３の操作結果を用いて、記録情報更新機能１３０１は、通信許可状況記録データ１３０５の更新を行う。
【０１１８】
クライアント端末１１７上で注意喚起プログラムが実行され、図１８で示したメッセージ画面が表示される際、実施例１と同様に、クライアント端末１１７の操作をロックするアラート仕様１と、クライアント端末１１７上でアラート音を発するアラート仕様２が実行される。注意喚起プログラムに、アラート仕様１と、アラート仕様２が実装される手続きについては、実施例１と同様に、アラート形式情報データ１１４における、アラート仕様１有無情報５０６と、アラート仕様２有無情報５０７によって決定される。
【０１１９】
また、以上の実施例の方法を用いて、過去に組織内でマルウェアが実行された旨を注意喚起する方式も実現可能である。まず、マルウェア注意喚起装置１０１において、組織内のクライアント端末の通信ログを蓄積しておく。次に、本実施例の方法において、あるマルウェアの通信情報が疑陽性通信情報データから陽性通信情報データへ登録された際、蓄積されたクライアント端末の通信ログから、同じマルウェアに関するログがないかを探索し、該当ログが存在する場合は、該当ログを発信したクライアント端末に対して、過去に不正なマルウェアを実行した旨を通知する。これにより、過去に実行されたマルウェアに関する注意喚起が可能となる。ここで、過去にマルウェアを実行した旨を通知する方法としては、メールによる通知もしくは、マルウェア注意喚起装置が通知対象のクライアント端末からのファイル取得要求の通信もしくは、ＨＴＭＬ通信を受信した際、クライアント端末へ注意喚起メッセージを応答すればよい。
【０１２０】
また、本発明は、上記実施形態そのままに限定されるものではなく、実施段階ではその要旨を逸脱しない範囲で構成要素を変形して具体化することができる。また、上記実施形態に開示されている複数の構成要素の適宜な組み合わせにより、種々の発明を形成することができる。例えば、実施形態に示される全構成要素からいくつかの構成要素を削除してもよい。さらに、異なる実施形態にわたる構成要素を適宜組み合わせても良い。
【符号の説明】
【０１２１】
１０１：マルウェア注意喚起装置
１０８：通信先判定機能
１０９：応答ファイル生成機能
１１０：メッセージ内容決定機能
１１１：通信先検知情報データ
１１２：要求内容検知情報データ
１１３：応答内容検知情報データ
１１４：アラート形式情報データ
１１５：クライアント環境データ
１１６：ＤＬファイル処理内容データ
【図１】
2017142552.tif 000003
【図２】
2017142552.tif 000004
【図３】
2017142552.tif 000005
【図４】
2017142552.tif 000006
【図５】
2017142552.tif 000007
【図６】
2017142552.tif 000008
【図７】
2017142552.tif 000009
【図８】
2017142552.tif 000010
【図９】
2017142552.tif 000011
【図１０】
2017142552.tif 000012
【図１１】
2017142552.tif 000013
【図１２】
2017142552.tif 000014
【図１３】
2017142552.tif 000015
【図１４】
2017142552.tif 000016
【図１５】
2017142552.tif 000017
【図１６】
2017142552.tif 000018
【図１７】
2017142552.tif 000019
【図１８】
2017142552.tif 000020