(57)【要約】【課題】  サンドボックスを用いて悪性プログラムへの対策を実施する場合、ユーザ環境に合わせた仮想マシンを用意し、適切にサンドボックス解析を行う。【解決手段】  外部からユーザのクライアント端末に送信された添付ファイル付きメールを解析する場合において、解析/制御部が前記メールに添付された添付ファイルとメールの宛先の情報から、メール宛先のクライアント端末環境に類似した添付ファイル付きメールを送付するサンドボックス環境を選択して、選択されたサンドボックス環境に添付ファイル付きメールを送付し、添付ファイルを実行することにより、ユーザ環境に近いサンドボックス環境で解析を行うことができる。【選択図】  図１
2017129893.tif 000002
【特許請求の範囲】
【請求項１】
メールに添付されたファイルからマルウェアを検知する方法において、
メール受信部が、クライアント端末に宛てられ、添付ファイルを有するメールを受信する工程と、
解析部が、当該メールの添付ファイルをサンドボックス解析装置に送る工程と、
サンドボックス解析装置が、サンドボックスを用いて、前記添付ファイルの解析を行い、結果を前記解析部に送信する解析工程と、
を含み、
前記解析部は、前記添付ファイルと、前記クライアント端末のプロファイルを記憶したクライアント端末情報と、前記サンドボックスのプロファイルを記憶したサンドボックス情報とに基づいて、解析に用いるサンドボックスを選択して前記サンドボックス解析装置に送ること
を特徴とするマルウェア検知方法。
【請求項２】
請求項１において、
前記クライアント端末情報及びサンドボックス情報は、前記クライアント端末及び前記サンドボックスのプロファイルとしてOS及びアプリケーションの情報を有し、
前記解析部は、
前記メールの宛先アドレスに基づいて、当該宛先アドレスにかかるクライアント端末のプロファイルを前記クライアント端末から取得し、
前記クライアント端末のプロファイルと、前記サンドボックス情報とに基づいて、前記サンドボックスを選択する
ことを特徴とするマルウェア検知方法。
【請求項３】
請求項２において、
前記解析部は、
前記添付ファイルの処理に用いるアプリケーションの種類を特定し、
前記アプリケーションの種類と前記クライアント端末情報と前記サンドボックス情報に基づいて、前記添付ファイルに関連するアプリケーションを、前記クライアント端末のプロファイル及び前記サンドボックスのプロファイルから特定し、
前記クライアント端末及び前記サンドボックスの前記特定されたアプリケーション及び前記OSとに基づいて、前記添付ファイルの解析に用いるサンドボックスを選択する
ことを特徴とするマルウェア検知方法。
【請求項４】
請求項１乃至３のいずれかにおいて、
前記解析部は、前記解析に用いるサンドボックスの選択として、既存のサンドボックスを用いるか、サンドボックスを新たに設定するかを決定し、
当該決定に基づいて、前記サンドボックス解析装置はサンドボックスを準備することを特徴とするマルウェア検知方法。
【請求項５】
請求項２において、
前記受信メールのあて先に複数の宛先アドレスが含まれている場合、前記解析部は、複数の宛先アドレスに対応するそれぞれのクライアント端末情報を取得し、当該複数のクライアント端末情報を比較してそれぞれのクライアント端末情報についてサンドボックスで解析を行うかどうかを決定することを特徴とするマルウェア検知装置。
【請求項６】
メールに添付されたファイルからマルウェアを検知するシステムにおいて、
クライアント端末に宛てられ、添付ファイルを有するメールを受信するメール受信部と、
当該メールの添付ファイルをサンドボックス解析装置に送る解析部と、
サンドボックスを用いて、前記添付ファイルの解析を行い、結果を前記解析部に送信するサンドボックス解析装置と、
を含み、
前記解析部は、前記添付ファイルと、前記クライアント端末のプロファイルを記憶したクライアント端末情報と、前記サンドボックスのプロファイルを記憶したサンドボックス情報とに基づいて、解析に用いるサンドボックスを選択して前記サンドボックス解析装置に送ること
を特徴とするマルウェア検知システム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、電子メールに添付されたマルウェア等の悪性プログラムのマルウェア検知技術に関する。
【背景技術】
【０００２】
企業等の組織は、他組織と連携をして業務を進めるために、インターネットを利用して情報を送受信するのが一般的となっている。一方で、インターネット上には悪意を持ったユーザが存在し、それらのユーザから送付されるマルウェア等の悪性プログラム付のメールを受信し、その悪性に気付かずに実行すると、組織外部への情報漏えいや組織内のシステムダウンを引き起こす恐れがある。そうした悪性プログラムの対策として、ファイルのパターンを検知し駆除する技術が用いられている。そうした技術は既知の悪性プログラムには有効であるが、未知もしくは新種の悪性プログラムを検知し駆除する事には適していない。そのため、組織内のユーザには、悪性プログラムとみられるファイルが添付されたメールを受信してもファイルを実行しない事が求められるが、近年用いられる標的型攻撃では、業務でよく用いられるメール内容およびファイルを装うため、ユーザが注意していても添付ファイルを見分ける事が難しい。
【０００３】
上記問題を解決する方法としては、悪性プログラムが実行されても被害を受けないコンピュータを用意して、そのコンピュータでユーザにファイル操作をさせる方法がある。そうした方法の代表例には、特許文献１で示される分析対象の仮想マシンと動作傾向が似ている仮想マシンを探索する方法や、特許文献２の様にサンドボックスと呼ばれる外部のネットワークから隔離された仮想マシン環境下で分析対象のファイルを実行する方法が挙げられる。
【先行技術文献】
【特許文献】
【０００４】
【特許文献１】特開2015-11362号公報
【特許文献２】特開2014-238870号公報
【発明の概要】
【発明が解決しようとする課題】
【０００５】
特許文献１では分析対象の仮想マシンと動作傾向が類似する仮想マシンを探索する施策を実施しているが、ユーザ環境に合わせた仮想マシンの探索までは出来ておらず、精度が不十分である。特許文献２では、サンドボックスを用いてホストシステムを害する疑わしい動作も予防する施策を実施しているが、動作傾向に悪意のある挙動を悪性プログラムが実行した際にユーザにアラートをする仕組みがない。またサンドボックスを用いて悪性プログラムへの対策を実施する場合、リソースが限られているため全てのユーザ向けに1対1でサンドボックスを用意するのは困難である。
【課題を解決するための手段】
【０００６】
本発明では、上記課題を解決するため、外部からユーザのクライアント端末に送信された添付ファイル付きメールを解析する場合において、解析/制御部が前記メールに添付された添付ファイルとメールの宛先の情報から、メール宛先のクライアント端末環境に類似した添付ファイル付きメールを送付するサンドボックス環境を選択する。選択されたサンドボックス環境に添付ファイル付きメールを送付し、添付ファイルを実行する。添付ファイルの実行結果として悪意のある挙動をすることが確認された場合に、メール送信部兼アラート部からユーザのクライアント端末にアラートメールを送信する。添付ファイルの実行結果として悪意のある挙動をすることが確認出来なかった場合は、メール送信部兼アラート部からユーザのクライアント端末に添付ファイル付きメールを送信する。
【発明の効果】
【０００７】
本発明では、外部から悪意のある添付ファイル付きメールが送信されてきた場合に、限られたリソースの中で適切なサンドボックス環境を適用し、セキュリティ上の危険をユーザに検知した結果を知らせる事が出来る。
【図面の簡単な説明】
【０００８】
【図１】本発明の一実施形態による最適なサンドボックスを用いたマルウェア検知システムの構成を説明する図である。
【図２Ａ】本発明の一実施形態による最適なサンドボックスを用いたマルウェア検知システム内で処理されるメール管理テーブルの一例を示す図である。
【図２Ｂ】本発明の一実施形態による最適なサンドボックスを用いたマルウェア検知システム内で処理されるクライアント端末管理テーブルの一例を示す図である。
【図２Ｃ】本発明の一実施形態による最適なサンドボックスを用いたマルウェア検知システム内で処理されるサンドボックス管理テーブルの一例を示す図である。
【図３Ａ】本発明の一実施形態による最適なサンドボックスを用いたマルウェア検知方法の受信メール比較処理フローを説明する図である。
【図３Ｂ】本発明の一実施形態による最適なサンドボックスを用いたマルウェア検知方法の受信メール確認処理フローを説明する図である。
【図４】本発明の一実施形態による最適なサンドボックスを用いたマルウェア検知システム内で処理される解析/制御部で最適なサンドボックス環境を選択するルールの一例を示す図である。
【発明を実施するための形態】
【０００９】
以下、本発明の実施例を、図面を用いて説明する。
【実施例１】
【００１０】
図１は、本発明の一実施形態による最適なサンドボックスを用いたマルウェア検知システムの構成である。
【００１１】
マルウェア検知システムは、メールサーバ兼判定用装置１００と、サンドボックス管理装置１０８と、を有し、これらの装置間及び複数のクライアント端末１１１と、の間はネットワーク１１２で接続されている。該システムを構成する装置は複数を有していても良く、ネットワークは有線でも無線でも良い。
【００１２】
メールサーバ兼判定用装置１００は、メールサーバ部１０１と、判定装置部１０２を有している。メールサーバ部１０１は、一般的なメールサーバであり、メールを受信するメール受信部１０１ａと、受信したメールを管理するメール管理ＤＢ１０１ｂなどを備える（メール送信にかかる機能も有しているが、説明省略する）。判定装置部１０２は、解析/制御部１０３、メールの送信とアラートをするメール送信兼アラート部１０４、解析メール管理テーブル１０５、クライアント端末管理テーブル１０６、及びサンドボックス管理テーブル１０７とを有する。メール受信部１０１ａ、解析/制御部１０３、メール送信兼アラート部１０４は、プログラムをプロセッサ上で稼働させて構成し、メール管理ＤＢ１０１ｂ、解析メール管理テーブル１０５、クライアント端末管理テーブル１０６、サンドボックス管理テーブル１０７は、記憶装置に記憶されるDB(Data Base)である。
【００１３】
メール受信部１０２は、メールを送受信するメールサーバのメール受信機能を有する。解析/制御部１０３は、メールに添付された添付ファイルを動的解析により迅速に解析し、解析結果に基づいて、受信メールのクライアント端末への送信可否、及び送信不可の場合の添付ファイルを送付するのに最適なサンドボックス環境を選択する。必要があれば、サンドボックス環境１０９に受信メールの宛先のクライアント端末の環境と同じOS(Operation System)とアプリケーションをインストールする。メール送信兼アラート部１０４は、サンドボックス環境に受信したメールを送信し、また、クライアント端末（に対応するメール受信部１０１ａ及びメール管理ＤＢ）に、解析して安全が確認された受信メールやアラートメールを送付する。解析メール管理テーブル１０５は、解析を行うメールに関する情報と受信メールに対する解析のステータス及び解析結果の情報を格納する。クライアント端末管理テーブル１０６は、クライアント端末１１１に関する情報を格納する。サンドボックス管理テーブル１０７はサンドボックス環境に関する情報を格納する。
【００１４】
クライアント端末１１１は、ユーザが用いる情報端末であり、メールの送受信が行えるメール機能と、アプリケーションを用いてメール添付ファイルを実行する機能、サンドボックス環境１０９へリモートログオンしてアクセスする機能などを有した一般的なPCやタブレット、スマートフォンなどの情報機器が該当する。クライアント端末１１１の数は複数あり、サンドボックス環境１０９よりもクライアント端末１１１の端末数は多いことを前提とする。
【００１５】
サンドボックス管理装置１０８は、プラットフォームのリソースを仮想的に割り当てられたサンドボックス環境１０９と、OSとアプリケーションをそれぞれ複数保有するサーバであるサンドボックス予備ソフトウェア環境１１０を有する。
【００１６】
サンドボックス環境１０９はOSとアプリケーションの異なる組み合わせの環境を複数有しており、解析/制御部１０３から送付される受信メールの添付ファイルを実行する。
【００１７】
図２A〜Cは、本発明の一実施形態による最適なサンドボックスを用いたマルウェア検知方法のシステム内で処理されるデータの一例を示す図である。
【００１８】
図２Aに示すメール管理テーブル１０５は、識別子であるメールID２０１と、メールの宛先２０２と、送信元、宛先、主題、添付ファイル、本文の全内容を含めメール情報２０３と、添付ファイル名、添付ファイル形式、添付ファイルサイズの全内容を含む添付ファイル情報２０４と、添付付受信メールに対する解析状況を示すステータス２０５、添付付受信メールの解析をした結果を示す解析結果２０６から構成される。例えば、ID「ｍ００１」では、メール情報から宛先「bb＠aaa.com」と添付ファイル情報を取得しており、メールの解析状況が解析中のため、ステータス「解析中」と登録される。また、ID「００２」では、メール情報から宛先「cc＠aaa.com」と添付ファイル情報を取得しており、メールの解析状況として悪意のある挙動をすることが確認され、クライアント端末にアラートメールを送付したのでステータス「アラート」、解析結果「NG」と登録される。また、ID「００３」では、メール情報から宛先「dd＠aaa.com」と添付ファイル情報を取得しており、メールの解析状況として悪意のある挙動をすることが確認されず、クライアント端末に受信メールをそのまま送付したのでステータス「素通し」、解析結果「OK」と登録される。
【００１９】
図２Bに示すクライアント端末管理テーブル１０６は、識別子であるID２０７と、クライアント端末１１１のメールアドレス２０８と、クライアント端末１１１にインストールされているOS２０９と、クライアント端末１１１にインストールされているアプリケーション２１０から構成される。クライアント端末管理テーブル１０６には予めクライアント端末１１１の情報が全て格納されている。例えば、ID「００１」では、クライアント端末はメールアドレス「bb＠aaa.com」を有しており、OSとして「OS Ver１．１」、アプリケーションとして「アプリケーションAA」と「アプリケーションBA」と「アプリケーションBA」がインストールされている。
【００２０】
図２Cに示すサンドボックス管理テーブル１０７は、識別子であるID２１１と、サンドボックス環境IP２１２と、サンドボックス環境１０９にインストールされているOS２１３と、サンドボックス環境１０９にインストールされているアプリケーション２１４から構成される。サンドボックス管理テーブル１０７には予めサンドボックス環境１０９の情報が全て格納されている。例えば、ID「００１」では、サンドボックス環境はサンドボックス環境IP「１９２．１６８．１０．１」を有しており、OSとして「OS Ver１．２」、アプリケーションとして「アプリケーションBA」と「アプリケーションCA」がインストールされている。
【００２１】
図4は、本発明の一実施形態による最適なサンドボックスを用いたマルウェア検知方法のシステム内で処理される解析/制御部で最適なサンドボックスを選択するルールの一例であるファイル−アプリケーション対応表を示す図である。
【００２２】
図４に示す解析/制御部で最適なサンドボックス環境を選択するルールでは、添付ファイル情報２０４の拡張子を表す添付ファイル形式４０１と、添付ファイル形式４０１の拡張子を開くことの出来るアプリケーション４０２を有する。受信メールの添付ファイル形式４０１を参照して、添付ファイル形式を開くことのできるアプリケーション４０２を対応付ける。解析/制御部１０３でサンドボックス環境１０９のアプリケーション２１４を参照し、対応付けられたアプリケーション４０２を有するかつ受信メールの宛先のクライアント端末１１１にインストールされているOS２０９を有するサンドボックス環境１０９を選択する。例えば受信メール宛先が「ｂｂ＠aaa.com」、添付ファイル形式が「.xlsx」であった場合は、アプリケーション「アプリケーションAA」などを対応付ける。対応づけられるアプリケーションは、１つである場合もあるし、複数であることもある。また、実行ファイル「.exe」のように対応付けられない場合もある。
【００２３】
図３Aは、本発明の一実施形態による最適なサンドボックスを用いたマルウェア検知方法のシステムの代表的な処理の一つである受信メール処理フローを説明する図である。
【００２４】
該フローは、メールサーバ兼判定用装置１０１外より該装置１０１が添付ファイル付のメールを受信するところを開始とする。
【００２５】
ステップ３０１では、メールサーバ兼判定用装置１０１のメール受信部１０２は、まず外部のメールサーバから添付ファイル付メールを受信する。そして、メール受信部１０２で受信したメールを解析/制御部１０３に送る。
【００２６】
ステップ３０２では、解析/制御部１０３は受信したメールのメール情報２０３の簡易な解析である一次解析を行う。一次解析でマルウェアの疑いが無かった場合には、ステップ３０３にて、クライアント端末のメールボックスに受信したメールを送付する。マルウェアの疑いが残っている場合には、ステップ３０４に進む。
【００２７】
ステップ３０４では、解析/制御部１０３は受信したメールのメール情報２０３と添付ファイル情報２０４をメール管理テーブルに格納し、ステータス２０５を「解析中」として登録する。そして、解析/制御部１０３が受信メールの宛先２０１をメール管理テーブル１０５から取得し、取得した宛先のアドレスと一致するメールアドレス２０８をクライアント管理テーブル１０６から探索する。探索したメールアドレス２０８を有するクライアント端末１１１のOS２０９とアプリケーション２１０などのクライアント端末情報を取得する。
【００２８】
メールが、社内の複数のメールアドレスに宛てられている場合は、解析/制御部はそれぞれのメールアドレスに対応するクライアント端末の情報を取得する。そして、解析/制御部はそれらのクライアント端末情報を比較して、どのようにサンドボックスを用意するか決定する。例えば、二つのメールアドレスが含まれており、それらにかかるクライアント端末情報が同じまたは近い場合、どちらか一つのみサンドボックス環境での解析対象とする。どちらか一方がマルウェアに弱いこと明らかであり、その端末が大丈夫なら他方も大丈夫と断言できるような関係の場合（例えば同じ系列の新旧OSや同じアプリケーションのバージョン違いである場合など。一般に新しい方がマルウェア対策が進んでいる）、マルウェア耐性の強弱を判断して弱い方のクライアント端末情報でのみサンドボックス環境での解析を行う。二つのクライアント端末情報が大きく異なる場合について、それぞれ尾のクライアント端末情報に対応したサンドボックス環境を用意してそれぞれ解析を行う。
【００２９】
ステップ３０５では、解析/制御部１０３が受信メールの添付ファイル情報２０４とファイル−アプリケーション対応表から、添付ファイルの形式４０１を処理するのに用いるアプリケーション４０２の情報を取得する。そして、ステップ３０３で取得したクライアント端末１１１のアプリケーション２１０の情報を比較し、クライアント端末１１１で受信メール添付ファイルを処理する時に用いるアプリケーションを特定する。
【００３０】
そして、サンドボックス管理テーブル１０７を参照し、サンドボックスの情報を取得する。クライアント端末情報とクライアント端末情報とを比較し、合致（相違が所定以下の場合も含む）するかどうか判定する。合致するかどうかは、OS２１３と、添付ファイルを処理するのにクライアント端末が使用するアプリケーションを重点的に比較し、これらが一致しない場合には合致しないものとする。「exe.」のように使用アプリケーション無しの場合には、OSのみ重視する。また、バージョンも比較し、OSやアプリケーションが同じでも、バージョンが異なる場合には、相違する。相違が大きいと、合致しないと判定する。
【００３１】
例えば、クライアント端末管理テーブル１０５において受信メール宛先が「ｂｂ＠aaa.com」のクライアント端末、OS「OS Ver１．１」を有しているので、アプリケーション「アプリケーションA」とOS「OS Ver１．１」を有するID「００１」のサンドボックス環境が合致する。
【００３２】
なお、バージョンについては、最新バージョンにアップデートすることにより同一にある旨の条件付きの同一とすることも考えうる。その場合、解析後に受信メールを送付する際に、クライアント端末のOSやアプリケーションを最新バージョンにアップデートすることを条件としてもよい。なお、サンドボックスは、OSやアプリケーションを随時アップデートして最新バージョンにしてあるものとする。
【００３３】
合致の条件に閾値は適宜設定可能である。添付ファイルを処理する以外のアプリケーションの相違は比較的小さく評価し、OSと添付ファイルを処理するアプリケーション以外は全く評価しないことも可能である。
【００３４】
クライアント端末情報と合致するサンドボックス環境がある場合には、ステップ３０７に進み、メール送信兼アラート部１０４から受信メールをステップ３０５またはステップ３０６で選択したサンドボックス環境１０９に送付する。
【００３５】
クライアント端末情報がどのサンドボックス環境とも合致しなかった場合は、ステップ３０４で取得したOS209とアプリケーション２１０の情報をサンドボックス予備ソフトウェア環境１１０から呼び出し、合致しなかったOS２１３またはアプリケーション２１４をまたはその両方をサンドボックス環境１０９としてインストールする。インストールしたサンドボックス環境１０９を選択する（ステップ３０６）。
【００３６】
例えば、宛先「cc@aaa.com」宛に添付ファイル形式「.docx」の添付ファイル付き受信メールを受信した場合は、クライアント端末のOS「OS Ver１．１」とクライアント端末のアプリケーションとして「アプリケーションA」と「アプリケーションC」を取得する。添付ファイルを開くことのできるアプリケーションとしてはアプリケーション「アプリケーションD」が対応づけられる。サンドボックス管理テーブルには「OS Ver１．１」を有するサンドボックス環境IP「１９２．１６８．１０．１」のサンドボックス環境があるがアプリケーション「アプリケーションD」を有していない。そこで、サンドボックス予備ソフトウェア環境からアプリケーション「アプリケーションD」をサンドボックス環境に再インストールする。
【００３７】
そして、受信メールをインストールしたサンドボックス環境１０９に送付する。
【００３８】
以上の処理により、メールサーバ兼判定用装置１０１は添付ファイル付き受信メールを受取る。ステップ３０１〜３０７の実行により、複数あるサンドボックス環境１０９の中からメール宛先にかかるクライアント環境に近いサンドボックスを選択し、受信メールの添付ファイルを解析するのに最適な環境の準備・選択が可能になる。サンドボックス環境としては、各端末とOS及びアプリケーションが完全に同一のものを全部用意する必要は無く、リソースを節約できる。これによって、ユーザは所持する多くのクライアント端末１１１の中で、限られたリソースであるサンドボックス環境１０９の中で解析に最適な環境を利用する事が出来る。
【００３９】
図３Bは、本発明の一実施形態による最適なサンドボックスを用いたマルウェア検知方法の受信メール確認処理フローを説明する図である。
【００４０】
該フローは、メールサーバ兼判定用装置１０１よりサンドボックス管理装置１０８に添付ファイル付のメールを送信されたところを開始とする。
【００４１】
ステップ３０９では、サンドボックス環境１０９で受信メールの添付ファイルを実行し、その挙動を解析する。
【００４２】
添付ファイルの実行後、サンドボックス環境１０９の環境で悪意ある挙動をすることが確認出来た場合は、添付ファイルはマルウェアであると判定する。そして、メール送信部兼アラート部１０４から、受信メールの宛先２０１を有するクライアント端末１１１に受信メールに悪意がある挙動が確認されたことを知らせるアラートメールを送付する。また、情報システムの管理部門にもマルウェア検出をメールで連絡する。アラートメールをクライアント端末１１１に送付後、解析/制御部１０３がメール管理テーブル１０５のステータス「アラート」、解析結果「NG」と登録する（ステップ３０９）。
【００４３】
ステップ３１０では、添付ファイルの実行後、サンドボックス環境１０９の環境で悪意ある挙動をすることが確認出来なかった場合に、マルウェアではないと判定する。メール送信部兼アラート部１０４から受信メールの宛先２０１を有するクライアント端末１１１に受信メールを送付する。受信メールをクライアント端末１１１に送付後、解析/制御部１０３がメール管理テーブル１０５のステータス「素通し」、解析結果「OK」と登録する。
【００４４】
以上の処理により、メールサーバ兼判定用装置１０１は添付ファイル付き受信メールを解析に最適なサンドボックス環境１０９に送付する。ステップ３０８の実行により受信メールに悪意のある挙動をするマルウェアの有無の確認が可能になる。これによって、ユーザが所持するクライアント端末へのマルウェアの脅威を防ぐ事が出来る。
【符号の説明】
【００４５】
１００：メールサーバ兼判定用装置、１０１：メールサーバ部、１０１ａ：メール受信部、１０１ｂ：メール管理ＤＢ、１０２：判定装置部、１０３：解析/制御部、１０４：メール送信兼アラート部、１０５：メール管理テーブル、１０６：クライアント端末管理テーブル、１０７：サンドボックス管理テーブル、１０８：サンドボックス管理装置、１０９：サンドボックス環境、１１０：サンドボックス予備ソフトウェア環境、１１１：クライアント端末、１１２：ネットワーク。
【図１】
2017129893.tif 000003
【図２Ａ】
2017129893.tif 000004
【図２Ｂ】
2017129893.tif 000005
【図２Ｃ】
2017129893.tif 000006
【図３Ａ】
2017129893.tif 000007
【図３Ｂ】
2017129893.tif 000008
【図４】
2017129893.tif 000009