(57)【要約】  情報処理装置（２０００）は、判定対象ファイルの名称を１つ以上の正規ファイルの名称と比較する。情報処理装置（２０００）は、判定対象ファイルの名称がいずれの正規ファイルの名称とも一致せず、なおかつ判定対象ファイルの信頼度が閾値以下である場合に、判定対象ファイルに関する情報を出力する。判定対象ファイルの信頼度は、判定対象ファイルの名称と各正規ファイルの名称との類似度合いに基づいて算出される。
2020065777.tif 000002
【特許請求の範囲】
【請求項１】
判定対象ファイルの名称を１つ以上の比較対象ファイルの名称と比較する比較部と、
前記判定対象ファイルの名称がいずれの前記比較対象ファイルの名称とも一致せず、なおかつ前記判定対象ファイルの信頼度が閾値以下である場合に、前記判定対象ファイルに関する情報を出力する出力部と、を有し、
前記比較部は、前記判定対象ファイルの名称と各前記比較対象ファイルの名称との類似度合いに基づいて、前記判定対象ファイルの信頼度を算出する、情報処理装置。
【請求項２】
前記比較部が比較に用いる名称は、ファイルのファイル名、パス名、及び URL のいずれか１つ以上である、請求項１に記載の情報処理装置。
【請求項３】
前記出力部は、前記判定対象ファイルの名称が前記比較対象ファイルの名称と一致せず、なおかつ前記判定対象ファイルの信頼度が閾値以下である場合に、それ以外の場合よりも強調した態様で、前記判定対象ファイルに関する情報を出力する、請求項１又は２に記載の情報処理装置。
【請求項４】
前記出力部は、前記判定対象ファイルと前記比較対象ファイルの名称との類似度の最大値が第１閾値以下かつ第２閾値より大きい場合と、前記最大値が前記第２閾値以上である場合とで、前記判定対象ファイルに関する情報に対して互いに異なる強調を行う、請求項３に記載の情報処理装置。
【請求項５】
前記比較部は、前記判定対象ファイルの名称と前記比較対象ファイルの名称の類似度を、文字列の距離を表す指標値を用いて算出する、請求項１乃至４いずれか一項に記載の情報処理装置。
【請求項６】
前記比較部は、前記判定対象ファイルの名称に第１文字が含まれ、なおかつ前記比較対象ファイルの名称に第２文字が含まれる場合、前記判定対象ファイルの名称と前記比較対象ファイルの名称の類似度を、補正前の値よりも大きくなるように補正し、
前記第１文字と前記第２文字は予め定められた互いに異なる文字である、請求項５に記載の情報処理装置。
【請求項７】
前記判定対象ファイルの名称に制御文字が含まれている場合、前記比較部は、その制御文字に応じた処理を適用することで得られる前記判定対象ファイルの名称を、前記比較対象ファイルの名称と比較する、請求項１乃至６いずれか一項に記載の情報処理装置。
【請求項８】
前記判定対象ファイルに電子署名が付されているか否かを判定し、前記判定対象ファイルに電子署名が付されているか場合、その電子署名の検証を行う検証部を有し、
前記比較部は、前記検証の結果に基づいて、前記判定対象ファイルの信頼度を補正する、請求項１乃至７いずれか一項に記載の情報処理装置。
【請求項９】
前記判定対象ファイルと同じ名称を持つファイルの存在数を特定する特定部を有し、
前記比較部は、前記特定された存在数が大きいほど大きな値になるように前記判定対象ファイルの信頼度を補正する、請求項１乃至８いずれか一項に記載の情報処理装置。
【請求項１０】
判定対象ファイルの名称を１つ以上の比較対象ファイルの名称と比較する比較部と、
前記判定対象ファイルの名称が前記比較対象ファイルの名称と一致するか否か、及び前記判定対象ファイルの名称と前記比較対象ファイルの名称との類似性に応じて、前記判定対象ファイルに関する情報の表示態様を決定し、前記決定した表示態様で前記判定対象ファイルに関する情報を出力する出力部と、を有する情報処理装置。
【請求項１１】
コンピュータによって実行される制御方法であって、
判定対象ファイルの名称を１つ以上の比較対象ファイルの名称と比較する比較ステップと、
前記判定対象ファイルの名称がいずれの前記比較対象ファイルの名称とも一致せず、なおかつ前記判定対象ファイルの信頼度が閾値以下である場合に、前記判定対象ファイルに関する情報を出力する出力ステップと、を有し、
前記比較ステップにおいて、前記判定対象ファイルの名称と各前記比較対象ファイルの名称との類似度合いに基づいて、前記判定対象ファイルの信頼度を算出する、制御方法。
【請求項１２】
前記比較ステップが比較に用いる名称は、ファイルのファイル名、パス名、及び URL のいずれか１つ以上である、請求項１１に記載の制御方法。
【請求項１３】
前記出力ステップにおいて、前記判定対象ファイルの名称が前記比較対象ファイルの名称と一致せず、なおかつ前記判定対象ファイルの信頼度が閾値以下である場合に、それ以外の場合よりも強調した態様で、前記判定対象ファイルに関する情報を出力する、請求項１１又は１２に記載の制御方法。
【請求項１４】
前記出力ステップにおいて、前記判定対象ファイルと前記比較対象ファイルの名称との類似度の最大値が第１閾値以下かつ第２閾値より大きい場合と、前記最大値が前記第２閾値以上である場合とで、前記判定対象ファイルに関する情報に対して互いに異なる強調を行う、請求項１３に記載の制御方法。
【請求項１５】
前記比較ステップにおいて、前記判定対象ファイルの名称と前記比較対象ファイルの名称の類似度を、文字列の距離を表す指標値を用いて算出する、請求項１１乃至１４いずれか一項に記載の制御方法。
【請求項１６】
前記比較ステップにおいて、前記判定対象ファイルの名称に第１文字が含まれ、なおかつ前記比較対象ファイルの名称に第２文字が含まれる場合、前記判定対象ファイルの名称と前記比較対象ファイルの名称の類似度を、補正前の値よりも大きくなるように補正し、
前記第１文字と前記第２文字は予め定められた互いに異なる文字である、請求項１５に記載の制御方法。
【請求項１７】
前記判定対象ファイルの名称に制御文字が含まれている場合、前記比較ステップにおいて、その制御文字に応じた処理を適用することで得られる前記判定対象ファイルの名称を、前記比較対象ファイルの名称と比較する、請求項１１乃至１６いずれか一項に記載の制御方法。
【請求項１８】
前記判定対象ファイルに電子署名が付されているか否かを判定し、前記判定対象ファイルに電子署名が付されているか場合、その電子署名の検証を行う検証ステップを有し、
前記比較ステップにおいて、前記検証の結果に基づいて、前記判定対象ファイルの信頼度を補正する、請求項１１乃至１７いずれか一項に記載の制御方法。
【請求項１９】
前記判定対象ファイルと同じ名称を持つファイルの存在数を特定する特定ステップを有し、
前記比較ステップにおいて、前記特定された存在数が大きいほど大きな値になるように前記判定対象ファイルの信頼度を補正する、請求項１１乃至１８いずれか一項に記載の制御方法。
【請求項２０】
コンピュータによって実行される制御方法であって、
判定対象ファイルの名称を１つ以上の比較対象ファイルの名称と比較する比較ステップと、
前記判定対象ファイルの名称が前記比較対象ファイルの名称と一致するか否か、及び前記判定対象ファイルの名称と前記比較対象ファイルの名称との類似性に応じて、前記判定対象ファイルに関する情報の表示態様を決定し、前記決定した表示態様で前記判定対象ファイルに関する情報を出力する出力ステップと、を有する制御方法。
【請求項２１】
請求項１１乃至２０いずれか一項に記載の制御方法の各ステップをコンピュータに実行させるプログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明はファイルの名称に着目したセキュリティ分析に関する。
【背景技術】
【０００２】
コンピュータシステム上に存在するファイルの名称を対象としてセキュリティ分析を行う技術が開発されている。例えば特許文献１は、プロセスの活動を記録したログに示されているファイルの名称（すなわち、プロセスがアクセスしたファイルの名称）と正常プロファイルに示されているファイルの名称とを比較し、これらが一致しない場合に、異常が発生したと判定する技術を開示している。
【先行技術文献】
【特許文献】
【０００３】
【特許文献１】特開２０１０−１８２０１９号公報
【発明の概要】
【発明が解決しようとする課題】
【０００４】
特許文献１では、プロセスの活動を記録したログに示されているファイルの名称と正常プロファイルに示されているファイルの名称との比較において、一致しているか否かの判定のみが行われている。すなわち、ファイルの名称の観点からは、これらの名称が一致しないケースが一律に扱われている。本発明は、上記の課題に鑑みてなされたものである。本発明の目的の一つは、ファイルの名称に着目したセキュリティ分析の精度を向上させる技術を提供することである。
【課題を解決するための手段】
【０００５】
本発明の第１の情報処理装置は、１）判定対象ファイルの名称を１つ以上の比較対象ファイルの名称と比較する比較部と、２）判定対象ファイルの名称がいずれの比較対象ファイルの名称とも一致せず、なおかつ判定対象ファイルの信頼度が閾値以下である場合に、判定対象ファイルに関する情報を出力する出力部と、を有する。
比較部は、判定対象ファイルの名称と各比較対象ファイルの名称との類似度合いに基づいて、判定対象ファイルの信頼度を算出する。【０００６】
本発明の第２の情報処理装置は、１）判定対象ファイルの名称を１つ以上の比較対象ファイルの名称と比較する比較部と、２）判定対象ファイルの名称が比較対象ファイルの名称と一致するか否か、及び判定対象ファイルの名称と比較対象ファイルの名称との類似性に応じて、判定対象ファイルに関する情報の表示態様を決定し、決定した表示態様で判定対象ファイルに関する情報を出力する出力部と、を有する。【０００７】
本発明の第１の制御方法は、コンピュータによって実行される制御方法である。当該制御方法は、１）判定対象ファイルの名称を１つ以上の比較対象ファイルの名称と比較する比較ステップと、２）判定対象ファイルの名称がいずれの比較対象ファイルの名称とも一致せず、なおかつ判定対象ファイルの信頼度が閾値以下である場合に、判定対象ファイルに関する情報を出力する出力ステップと、を有する。
比較ステップにおいて、判定対象ファイルの名称と各比較対象ファイルの名称との類似度合いに基づいて、判定対象ファイルの信頼度を算出する。【０００８】
本発明の第２の制御方法は、コンピュータによって実行される制御方法である。１）判定対象ファイルの名称を１つ以上の比較対象ファイルの名称と比較する比較ステップと、２）判定対象ファイルの名称が比較対象ファイルの名称と一致するか否か、及び判定対象ファイルの名称と比較対象ファイルの名称との類似性に応じて、判定対象ファイルに関する情報の表示態様を決定し、決定した表示態様で判定対象ファイルに関する情報を出力する出力ステップと、を有する。【０００９】
本発明のプログラムは、本発明の制御方法が有する各ステップをコンピュータに実行させる。
【発明の効果】
【００１０】
本発明によれば、ファイルの名称に着目したセキュリティ分析の精度を向上させる技術が提供される。
【図面の簡単な説明】
【００１１】
上述した目的、およびその他の目的、特徴および利点は、以下に述べる好適な実施の形態、およびそれに付随する以下の図面によってさらに明らかになる。
【図１】実施形態１の情報処理装置の動作の概要を表す図である。
【図２】実施形態１の情報処理装置の構成を例示する図である。
【図３】情報処理装置を実現するための計算機を例示する図である。
【図４】実施形態１の情報処理装置によって実行される処理の流れを例示するフローチャートである。
【図５】強調対象のファイルが強調して出力される様子を例示する第１の図である。
【図６】強調対象のファイルが強調して出力される様子を例示する第２の図である。
【図７】判定対象ファイルと正規名称とが、ポップアップ画面で表示される様子を例示する図である。
【図８】実施形態２の情報処理装置の機能構成を例示するブロック図である。
【図９】実施形態２の情報処理装置によって実行される処理の流れを例示するフローチャートである。
【図１０】実施形態３の情報処理装置の機能構成を例示するブロック図である。
【図１１】実施形態３の情報処理装置によって実行される処理の流れを例示するフローチャートである。
【図１２】補正関数を例示する図である。
【発明を実施するための形態】
【００１２】
以下、本発明の実施の形態について、図面を用いて説明する。尚、すべての図面において、同様な構成要素には同様の符号を付し、適宜説明を省略する。また、特に説明する場合を除き、各ブロック図において、各ブロックは、ハードウエア単位の構成ではなく、機能単位の構成を表している。
【００１３】
［実施形態１］
＜概要＞
図１は、実施形態１の情報処理装置の動作の概要を表す図である。図１は情報処理装置２０００の動作についての理解を容易にするための概念的な図であり、情報処理装置２０００の動作を具体的に限定するものではない。
【００１４】
正規ファイルの名称と似た名称を持つ悪意あるファイル（すなわち、正規ファイルに偽装された悪意あるファイル）がコンピュータシステム上に存在すると、ユーザが、正規ファイルと間違えて悪意あるファイルにアクセスしてしまう蓋然性が高くなる。正規ファイルとは、正当性（安全性）が担保されたファイルのことである。例えば正規ファイルは、ユーザが実際に利用することで正当性（安全性）が確認されたファイルや、信頼できる提供元から入手することにより正当性（安全性）が担保されたファイル（例えば、市販されている記憶媒体からインストールしたプログラムファイルなど）である。悪意あるファイルとしては、例えば、マルウエアを動作させるための実行ファイルなどが挙げられる。そして、このような悪意あるファイルに対するアクセスの結果、悪意ある攻撃が実行されてしまうなどの問題が発生してしまう。
【００１５】
そこで情報処理装置２０００は、判定対象ファイルの名称と比較対象ファイルの名称とを比較することで、判定対象ファイルが信頼できるものであるかどうかを判断する。比較対象ファイルは、前述した正規ファイルなどである。ここで、判定対象ファイルの名称が正規ファイルの名称に類似しているほど、判定対象ファイルが正規ファイルに偽装された悪意あるファイルである蓋然性が高いと考えられる。しかしながら、判定対象ファイルの名称が正規ファイルの名称と一致している場合には、判定対象ファイルはその正規ファイルと同一のものであると考えられるので、判定対象ファイルが正規ファイルに偽装された悪意あるファイルである蓋然性は低いと考えられる。よって、「判定対象ファイルの名称が、正規ファイルの名称に一致はしないが類似している」というケースが、判定対象ファイルが正規ファイルを偽装したものである蓋然性が高いケースであると考えられる。
【００１６】
情報処理装置２０００は、この点に着目して判定対象ファイルの名称を正規ファイルの名称と比較し、判定対象ファイルの信頼度が低い場合に、判定対象ファイルに関する出力情報を出力する。具体的には、情報処理装置２０００は、判定対象ファイルの名称を１つ以上の正規ファイルの名称と比較し、１）判定対象ファイルの名称がいずれの正規ファイルの名称とも一致せず、なおかつ２）判定対象ファイルの信頼度が閾値以下である場合に、判定対象ファイルに関する出力情報を出力する。ここで、判定対象ファイルの信頼度は、判定対象ファイルの名称と各正規ファイルの名称との類似度合いに基づいて算出される。
【００１７】
判定対象ファイルの信頼度は、「判定対象ファイルの名称が、正規ファイルの名称に一致はしないが類似している」という、判定対象ファイルが正規ファイルを偽装したものである蓋然性が高いケースにおいて低くなる値として算出される。例えば判定対象ファイルの信頼度は、判定対象ファイルの名称がいずれの正規ファイルの名称とも一致しない場合について、判定対象ファイルの名称と各正規ファイルの名称とについて算出された類似度の最大値が大きいほど低い値として算出される。ただし後述するように、判定対象ファイルの信頼度は、判定対象ファイルの名称と正規ファイルの名称との類似度以外の要素を用いて補正されてもよい。
【００１８】
＜作用効果＞
このように本実施形態の情報処理装置２０００は、「判定対象ファイルの名称が、正規ファイルの名称に一致はしないが類似している」というケースが、判定対象ファイルが正規ファイルを偽装したものである蓋然性が高いケースであることに着目し、１）判定対象ファイルの名称がいずれの正規ファイルの名称とも一致せず、なおかつ２）判定対象ファイルの信頼度が閾値以下である場合に、判定対象ファイルに関する出力情報を出力する。これにより、正規ファイルを偽装したものである蓋然性が高いファイルの存在を、情報処理装置２０００のユーザが容易に把握することができる。このように、本実施形態の情報処理装置２０００によれば、判定対象ファイルの名称と正規ファイルの名称との一致・不一致を判定するだけでなく、それらの名称の比較をより詳細に行うことで、より高精度なセキュリティ分析を実現できる。
【００１９】
以下、本実施形態の情報処理装置２０００についてさらに詳細に説明する。
【００２０】
＜情報処理装置２０００の機能構成の例＞
図２は、実施形態１の情報処理装置２０００の構成を例示する図である。情報処理装置２０００は比較部２０２０及び出力部２０４０を有する。比較部２０２０は、判定対象ファイルの名称を１つ以上の正規名称（正規ファイルの名称）と比較する。出力部２０４０は、判定対象ファイルの名称がいずれの正規ファイルの名称とも一致せず、なおかつ判定対象ファイルの信頼度が閾値以下である場合に、判定対象ファイルに関する出力情報を出力する。ここで、比較部２０２０は、判定対象ファイルの名称と各正規ファイルの名称との類似度合いに基づいて、判定対象ファイルの信頼度を算出する。
【００２１】
＜情報処理装置２０００のハードウエア構成＞
情報処理装置２０００の各機能構成部は、各機能構成部を実現するハードウエア（例：ハードワイヤードされた電子回路など）で実現されてもよいし、ハードウエアとソフトウエアとの組み合わせ（例：電子回路とそれを制御するプログラムの組み合わせなど）で実現されてもよい。以下、情報処理装置２０００の各機能構成部がハードウエアとソフトウエアとの組み合わせで実現される場合について、さらに説明する。
【００２２】
図３は、情報処理装置２０００を実現するための計算機１０００を例示する図である。計算機１０００は任意の計算機である。例えば計算機１０００は、Personal Computer（PC）やサーバマシンなどの据え置き型の計算機である。その他にも例えば、計算機１０００は、スマートフォンやタブレット端末などの可搬型の計算機である。計算機１０００は、情報処理装置２０００を実現するために設計された専用の計算機であってもよいし、汎用の計算機であってもよい。
【００２３】
計算機１０００は、バス１０２０、プロセッサ１０４０、メモリ１０６０、ストレージデバイス１０８０、入出力インタフェース１１００、及びネットワークインタフェース１１２０を有する。バス１０２０は、プロセッサ１０４０、メモリ１０６０、ストレージデバイス１０８０、入出力インタフェース１１００、及びネットワークインタフェース１１２０が、相互にデータを送受信するためのデータ伝送路である。ただし、プロセッサ１０４０などを互いに接続する方法は、バス接続に限定されない。
【００２４】
プロセッサ１０４０は、CPU（Central Processing Unit）、GPU（Graphics Processing Unit）、FPGA（Field−Programmable Gate Array）などの種々のプロセッサである。メモリ１０６０は、RAM（Random Access Memory）などを用いて実現される主記憶装置である。ストレージデバイス１０８０は、ハードディスク、SSD（Solid State Drive）、メモリカード、又は ROM（Read Only Memory）などを用いて実現される補助記憶装置である。
【００２５】
入出力インタフェース１１００は、計算機１０００と入出力デバイスとを接続するためのインタフェースである。例えば入出力インタフェース１１００には、キーボードなどの入力装置や、ディスプレイ装置などの出力装置が接続される。
【００２６】
ネットワークインタフェース１１２０は、計算機１０００を通信網に接続するためのインタフェースである。この通信網は、例えば LAN（Local Area Network）や WAN（Wide Area Network）である。ネットワークインタフェース１１２０が通信網に接続する方法は、無線接続であってもよいし、有線接続であってもよい。
【００２７】
ストレージデバイス１０８０は、情報処理装置２０００の各機能構成部を実現するプログラムモジュールを記憶している。プロセッサ１０４０は、これら各プログラムモジュールをメモリ１０６０に読み出して実行することで、各プログラムモジュールに対応する機能を実現する。
【００２８】
＜処理の流れ＞
図４は、実施形態１の情報処理装置２０００によって実行される処理の流れを例示するフローチャートである。比較部２０２０は、判定対象ファイルと正規ファイルの名称を取得する（Ｓ１０２）。Ｓ１０４からＳ１１０は、１つ以上の正規ファイルそれぞれを対象として実行されるループ処理Ａである。Ｓ１０４において、比較部２０２０は、既に全ての正規ファイルを対象としてループ処理Ａが実行されたか否かを判定する。既に全ての正規ファイルを対象としてループ処理Ａが実行された場合、図４の処理はＳ１１２に進む。一方、まだループ処理Ａの対象となっていない正規ファイルが存在する場合、比較部２０２０がその中の１つを選択した上で、図４の処理はＳ１０６に進む。ここで選択された正規ファイルを、正規ファイルｉと表記する。
【００２９】
比較部２０２０は、判定対象ファイルの名称と正規ファイルｉの名称とが一致するか否かを判定する（Ｓ１０６）。これらが一致する場合（Ｓ１０６：ＹＥＳ）、図４の処理は終了する。一方、これらが一致しない場合（Ｓ１０６：ＮＯ）、比較部２０２０は、判定対象ファイルの名称と正規ファイルｉの名称との類似度を算出する（Ｓ１０８）。Ｓ１１０はループ処理Ａの終端であるため、図４の処理はＳ１０４に進む。
【００３０】
Ｓ１１２において（すなわち、ループ処理Ａが終了した後）、比較部２０２０は、各正規ファイルｉについて算出した判定対象ファイルの名称との類似度を用いて、前記判定対象ファイルの信頼度を算出する。
【００３１】
出力部２０４０は、判定対象ファイルの信頼度が閾値以下であるか否かを判定する（Ｓ１１４）。判定対象ファイルの信頼度が閾値以下である場合（Ｓ１１４：ＹＥＳ）、出力部２０４０は出力情報を出力する。一方、判定対象ファイルの信頼度が閾値以下でない場合（Ｓ１１４：ＮＯ）、図４の処理は終了する。
【００３２】
ここで、情報処理装置２０００が実行する処理の流れは、図４に示したものに限定されない。例えば出力部２０４０は、判定対象ファイルの名称と一致する名称を持つ正規ファイルが存在する場合（Ｓ１０６：ＹＥＳ）や、判定対象ファイルの信頼度が閾値より大きい場合（Ｓ１１４：ＮＯ）でも、出力情報を出力するように構成されてもよい。ただしこの場合に出力される出力情報は、判定対象ファイルの名称と一致する名称を持つ正規ファイルが存在せず、なおかつ判定対象ファイルの信頼度が閾値以下である場合（Ｓ１１４：ＹＥＳ）に出力される出力情報とは異なるものである。具体的な違いについては後述する。
【００３３】
また、比較部２０２０は、類似度の算出を行う前に判定対象ファイルの名称と正規名称とが一致するか否かを判定するように構成される代わりに、判定対象ファイルの名称と正規名称との類似度を算出し、算出した類似度を用いて、判定対象ファイルの名称と正規名称とが一致するか否かを判定するように構成されてもよい。
【００３４】
＜判定対象ファイルの名称の取得：Ｓ１０２＞
比較部２０２０は、判定対象ファイルの名称を取得する（Ｓ１０２）。判定対象ファイルの名称を取得する方法は様々である。例えば比較部２０２０は、情報処理装置２０００のユーザから、判定対象ファイルを指定する入力を受け付けることで、判定対象ファイルの名称を取得する。ここで、指定される判定対象ファイルは、１つであってもよいし、複数であってもよい。後者の場合、例えば比較部２０２０は、ディレクトリの指定を受け付けることで、そのディレクトリの配下にある各ファイルの名称を、判定対象ファイルの名称として取得する。
【００３５】
その他にも例えば、比較部２０２０は、対象システムに存在する全てのファイルの名称や、対象システムに存在するファイルのうち、事前に指定された１つ以上のファイルの名称を、判定対象ファイルの名称として取得する。この場合、例えば情報処理装置２０００は、定期的なタイミングや、特定のイベント（例えば、対象システムの起動など）が発生したタイミングなどで、図４に例示した一連の処理を実行する。
【００３６】
その他にも例えば、比較部２０２０は、ファイルを対象とした特定のイベント（例えばファイルアクセス）が発生した際に、そのイベントの対象となっているファイルの名称を、判定対象ファイルの名称として取得してもよい。
【００３７】
ここで、判定対象ファイルの名称が複数取得された場合、各判定対象ファイルの名称を対象として一連の処理（図４参照）が行われる。
【００３８】
＜正規名称の取得：Ｓ１０２＞
比較部２０２０は、１つ以上の正規名称を取得する（Ｓ１０２）。例えば比較部２０２０は、１つ以上の正規名称が示されている正規名称リストを取得することで、正規名称を取得する。例えば正規名称リストは、クリーンインストール後のシステムに存在するファイルの名称をリスト化することで生成されたものである。その他にも例えば、正規名称リストは、マルウエア被害などの事例に基づき、偽装された事例が存在する１つ以上の正規ファイルの名称をリスト化することで生成されたものである。
【００３９】
比較部２０２０が正規名称リストを取得する方法は様々である。例えば比較部２０２０は、正規名称リストを記憶している記憶装置にアクセスすることで、正規名称リストを取得する。その他にも例えば、比較部２０２０は、他の装置から送信される正規名称リストを受信することで、正規名称リストを取得してもよい。
【００４０】
＜ファイルの名称について＞
ファイルの名称としては、様々なものを用いることができる。例えば、ファイル名、パス名、又は URL などを用いることができる。これらファイルの名称として利用可能なもののうち、いずれを利用するのかは、予め定められていてもよいし、ユーザによって設定可能であってもよい。
【００４１】
名称としてパス名を用いる場合、比較部２０２０は、パス名の一部のみを比較に用いるように構成されていてもよい。例えば、ファイル名から何階層上のディレクトリまでを比較対象とするのかを設定しておく。例えば、判定対象ファイルのパスが「dirA/dirB/dirC/fileX.txt」であり、比較対象とするディレクトリ数が２であるとする。この場合、判定対象ファイルのパスのうち、「dirB/dirC/fileX.txt」の部分が、比較に用いられる。正規名称についても同様である。
【００４２】
比較対象とするディレクトリの数は、固定で定められていてもよいし、ユーザが指定できるようになっていてもよい。
【００４３】
パス名の一部には、利用環境に固有な文字列（ユーザ名やマシン名など）が含まれていることがある。このような利用環境に固有の文字列は、比較の対象から除外することが好適である。例えば正規名称において、このような利用環境に固有な文字列を表す部分を、マスク文字などの特定の文字（以下、除外文字）で表しておく。比較部２０２０は、正規名称において除外文字となっている部分を除外した上で、判定対象ファイルの名称と正規名称とを比較する。
【００４４】
また、パス名やファイル名には、Unicode 制御文字などの制御文字が含まれていることがある。例えば、「Start of Right-to-Left Override（ここからは右から左に読む）」という制御文字（以下、[RLO] と表記する。）などがある。通常、このような制御文字が含まれるパス名には、ユーザの目に触れる前（例えば、ディスプレイ装置に表示される前）に、その制御文字を適用する処理が施される。例えば、パス名のデータが「file[RLO]X.txt」である場合、ディスプレイ装置に出力されるパス名は「filetxt.X」となる。
【００４５】
ここで、情報処理装置２０００において、判定対象ファイルが信頼できるものであるかどうかは、「判定対象ファイルの名称が、ユーザの目から見て正規ファイルの名称と紛らわしいかどうか」に基づいて判断することが好適である。そのため、判定対象ファイルの名称と正規名称は、システム内部で扱われるデータとして比較されるよりも、ディスプレイなどの外部に出力される文字列として比較される方が好適である。
【００４６】
そこで比較部２０２０は、判定対象ファイルの名称を正規名称と比較する前に、判定対象ファイルの名称に制御文字が含まれるか否かを判定する。そして、判定対象ファイルの名称に制御文字が含まれる場合、比較部２０２０は、判定対象ファイルの名称に制御文字を適用することで、外部に出力される際の判定対象ファイルの名称を生成する。そして比較部２０２０は、生成した名称と正規名称とを比較する。例えば、判定対象ファイルの名称が「file[RLO]X.txt」である場合、比較部２０２０は、制御文字 RLO を適用したファイル名「filetxt.X」を生成し、この「filextx.X」を正規名称と比較する。なお、正規名称に制御文字が含まれている場合も同様に、制御文字が適用された名称を生成した上で比較を行う。
【００４７】
＜一致判定：Ｓ１０６＞
比較部２０２０は、判定対象ファイルの名称と正規ファイルの名称とが一致するか否かを判定する（Ｓ１０６）。ここで、２つの文字列が一致するか否かを判定する方法には、既存の技術を利用することができる。
【００４８】
＜類似度の算出：Ｓ１０８＞
比較部２０２０は、判定対象ファイルの名称と正規名称との類似度を算出する（Ｓ１０８）。判定対象ファイルの名称と正規名称の類似度の算出には、文字列間の距離を表す指標値（以下、距離指標値）を用いることができる。距離指標値の例として、レーベンシュタイン距離などがある。
【００４９】
ここで、判定対象ファイルとの間の距離が短い正規名称ほど、判定対象ファイルとの類似度合いが高いと言える。そこで例えば、比較部２０２０は、距離指標値が小さいほど大きくなる値（距離指標値の逆数など）を、判定対象ファイルの名称と正規名称との類似度として算出する。
【００５０】
＜＜類似度の補正＞＞
比較部２０２０は、文字列間の距離を用いて算出した類似度を、その他の指標を用いて補正してもよい。例えば、文字列間の距離を用いて算出された類似度を補正するためのルール（以下、第１補正ルール）を定めておく。第１補正ルールは、比較部２０２０からアクセス可能な記憶装置に記憶させておく。
【００５１】
第１補正ルールの一例として、人の目から見て紛らわしい文字のペアの類似度が高くなるように補正を行うルールが挙げられる。人の目から見て紛らわしい文字には、例えば「１とｌ（イチとエル）」、「０とＯ（ゼロとオー）」、「６とｂ（ロクとビー）」などがある。
【００５２】
このような第１補正ルールが定められている場合、比較部２０２０は、判定対象ファイルの名称と正規名称との距離に基づいて算出した類似度を、第１補正ルールに含まれる文字のペアの存在を考慮して補正する。例えば、第１補正ルールに登録されている文字のペアごとに、特定の重み（１より大きい実数）を定めておく。比較部２０２０は、判定対象ファイルの名称と正規名称の中から、第１補正ルールに定められている文字のペアを検出する。第１補正ルールに定められている文字のペアが検出された場合、比較部２０２０は、検出された文字のペアの重みを類似度に掛けることで、類似度を補正する。
【００５３】
上述した第１補正ルールを利用することにより、文字列間の距離に加え、見た目の紛らわしさを考慮して、判定対象ファイルの名称と正規名称との類似度を算出することができる。
【００５４】
＜信頼度の算出：Ｓ１１２＞
比較部２０２０は、各正規名称との間で算出した判定対象ファイルの類似度に基づいて、判定対象ファイルの信頼度を算出する（Ｓ１１２）。例えば比較部２０２０は、算出された類似度のうちで最大のもの（すなわち、類似度の最大値）を、判定対象ファイルの信頼度とする。
【００５５】
＜＜信頼度の補正＞＞
比較部２０２０は、判定対象ファイルの信頼度を補正してもよい。例えば、類似度を用いて算出された信頼度を補正するためのルール（以下、第２補正ルール）を定めておく。第２補正ルールは、比較部２０２０からアクセス可能な記憶装置に記憶させておく。
【００５６】
第２補正ルールの一例としては、正規ファイルごとに、正規ファイルの配置の自由度に基づく重みを定めたルールが考えられる。ファイルの配置の自由度は、ファイルによって異なる。例えば、フリーソフトの実行ファイルなどのように、ユーザが自由なディレクトリに配置できるファイルがある一方で、OS（Operating System）が利用するシステムファイルのように、配置場所が固定されているファイルもある。前者は自由度が高く、後者は自由度が低いと言える。
【００５７】
そこで例えば、第２補正ルールにおいて、正規ファイルごとに、その正規ファイルの配置の自由度が低いほど大きい重みを定めておく。比較部２０２０は、判定対象ファイルの信頼度に、その正規ファイルについて定められている重みを掛けることで、信頼度の補正を行う。
【００５８】
＜結果の出力：Ｓ１１６＞
出力部２０４０は、比較部２０２０による比較の結果に基づく出力を行う（Ｓ１１６）。例えば出力部２０４０は、１）判定対象ファイルの名称と同一の正規名称がない、及び２）比較部２０２０によって算出された判定対象ファイルの信頼度が閾値以下である、という２つの条件の双方を満たす判定対象ファイルの名称を、他のファイルの名称とは異なる態様（強調した態様）で出力する。こうすることで、正規ファイルを偽装したものである蓋然性が高い判定対象ファイルの名称を、ユーザが把握できるようになる。以下、上記２つの条件を合わせた条件（２つの条件の AND）を強調条件と呼ぶ。また、強調出力する判定対象ファイルを、「強調対象のファイル」とも呼ぶ。なお、信頼度の閾値は、出力部２０４０に予め設定されていてもよいし、出力部２０４０からアクセス可能な記憶装置に記憶されていてもよい。
【００５９】
ここで、判定対象ファイルについて、１）正規名称と名称が一致せず、なおかつ信頼度が閾値以下であるケース、２）正規名称と名称が一致しないが、信頼度が閾値より大きいケース、及び３）正規名称と名称が一致するケースという３種類のケースが存在しうる。例えば出力部２０４０は、これら３種類のケースにおいて、それぞれ異なる態様の出力を行う。すなわち、情報処理装置２０００は、判定対象ファイルの名称が比較対象ファイルの名称と一致するか否か、及び判定対象ファイルの名称と比較対象ファイルの名称との類似性に応じて、判定対象ファイルに関する情報の表示態様を決定し、決定した表示態様で、判定対象ファイルに関する情報を出力する。
【００６０】
例えば出力部２０４０は、１）に該当する判定対象ファイルと２）に該当する判定対象ファイルについては強調した出力を行い、３）に該当する判定対象ファイルについては、強調せずに出力（表示を特に変更しない通常の出力）を行う。また、出力部２０４０は、１）に該当するケースにおける出力を、２）に該当するケースにおける出力よりも強調の度合いが高いものとする。
【００６１】
強調の具体的な方法は様々である。例えば情報処理装置２０００は、１）強調対象のファイルの名称を通常よりも目立つ色の文字で表示させる、２）強調対象のファイルの名称を通常よりも大きいサイズの文字で表示させる、３）強調対象のファイルを表すアイコンの通常よりも大きいサイズで表示させる、４）強調対象のファイルの名称をポップアップ画面で表示させるといった方法で、強調を行う。これらの例において、前述した「強調の度合い」は、色の目立ち具合、文字の大きさ、アイコンの大きさ、ポップアップ画面を使用するか否かなどを意味する。
【００６２】
図５は、強調対象のファイルが強調して出力される様子を例示する第１の図である。図５は、ユーザによって指定されたディレクトリが展開されて表示されるケースを例示している。このような処理は、例えば、GUI インタフェースでディレクトリのアイコンをダブルクリックした際に実行される。
【００６３】
比較部２０２０は、指定されたディレクトリの中に含まれる各ファイルをそれぞれ判定対象ファイルとして扱い、各判定対象ファイルについて強調条件を満たすか否かの判定を行うことで、強調対象のファイルを特定する。出力部２０４０は、指定されたディレクトリに含まれる判定対象ファイルのうち、強調対象として特定されたファイルを、強調対象として特定されなかったファイルよりも強調した態様で表示させる。
【００６４】
図５では、「bcde.txt」というファイルが強調条件を満たしている判定されている。そのため、このファイルのアイコンが他のファイルのアイコンよりも大きくなっており、なおかつ「bcde.txt」という名称が、通常よりも大きいサイズで表示されている。
【００６５】
図６は、強調対象のファイルが強調して出力される様子を例示する第２の図である。この例では、コンピュータシステム上で起こったイベントに関する情報（以下、イベント情報）が出力される。例えばイベント情報は、プロセスの活動などを表す。例えば、セキュリティアナリストがこのイベント情報を解析することにより、コンピュータシステム上の問題（マルウエアの存在など）を発見することができる。
【００６６】
ここで、図６のイベント情報には、プロセスがアクセスしたファイルの名称やプロセスの実行ファイルの名称などといった、ファイルの名称が含まれている。このようなファイルの名称も、セキュリティアナリストにとっての判断材料となる。例えば、或るプロセスの実行ファイルが、正規ファイルを偽装した蓋然性が高いファイルであることが分かれば、マルウエアが実行されてしまっている蓋然性が高いことが分かる。また、そのプロセスの挙動を解析することで、マルウエアの挙動を解析することもできる。
【００６７】
そこで出力部２０４０は、イベント情報に含まれる各ファイルを判定対象ファイルとして判定を行い、強調条件が満たされる判定対象ファイルを含むイベント情報について強調表示を行う。図６では、強調条件が満たされている判定対象ファイルに関するイベント情報が、他のイベント情報よりも大きいサイズで表示されている。さらに、大きいサイズで表示されたイベント情報において、判定対象ファイルの名称が矩形で囲まれている。
【００６８】
このような強調表示によれば、セキュリティアナリスト等が、正規ファイルを偽装したものである蓋然性が高いファイル及びそのファイルに関するイベントを認識しやすくなる。ここで、正規ファイルの名称と類似した名称を持つファイルについては、イベント情報を目視したセキュリティアナリストが、正規ファイルに関するイベントと勘違いして見逃してしまう恐れがある。そこで、このような強調表示を行うことにより、セキュリティアナリストによる見逃しを防止することができる。
【００６９】
ここで、出力部２０４０は、判定対象ファイルの名称が強調条件を満たす場合のみ、判定対象ファイルの名称を出力するようにしてもよい。例えば比較部２０２０は、或るコンピュータシステムに含まれるファイルを順次判定対象ファイルとして扱い、各判定対象ファイルが強調条件を満たすか否かを判定する。出力部２０４０は、強調条件を満たすと判定された判定対象ファイルの名称を出力する。こうすることで、情報処理装置２０００は、コンピュータシステムに含まれるファイルの中から、正規ファイルを偽装した蓋然性が高いファイルを検出することができる。そして、情報処理装置２０００のユーザは、正規ファイルを偽装した蓋然性が高いファイルを把握することができる。
【００７０】
また、出力部２０４０は、強調条件を満たす判定対象ファイルの名称を、その判定対象ファイルの名称との類似度が高い正規名称と共に出力してもよい。図７は、判定対象ファイルと正規名称とが、ポップアップ画面で表示される様子を例示する図である。このように、強調条件を満たす判定対象ファイルの名称を、その判定対象ファイルの名称との類似度が高い正規名称とともに出力することにより、情報処理装置２０００のユーザは、正規ファイルを偽装したものである蓋然性が高い判定対象ファイルを把握できると共に、偽装された蓋然性が高い正規ファイルを把握することもできる。
【００７１】
判定対象ファイルの名称と共に出力される正規名称は、例えば、判定対象ファイルの名称との類似度が最大である正規名称である。その他にも例えば、類似度に閾値を設けておき、判定対象ファイルの名称との類似度が閾値以上である全ての正規名称を、判定対象ファイルと共に出力するようにしてもよい。その他にも例えば、類似度が閾値以上である正規名称のうち、類似度が高い順に所定個の正規名称を出力するようにしてもよい。類似度の閾値は、出力部２０４０に予め設定されていてもよいし、出力部２０４０からアクセス可能な記憶装置に記憶されていてもよい。
【００７２】
なお、強調条件が満たされている場合の出力には、判定対象ファイルが正規ファイルを偽装したものである蓋然性が高いことを示すメッセージを含めてもよい。例えば、出力部２０４０は、判定対象ファイルの名称、その名称との類似度が高い正規ファイルの名称、及び上記メッセージを含むポップアップ画面を表示する。
【００７３】
＜＜信頼度の閾値が複数設けられるケースについて＞＞
比較部２０２０が算出した信頼度と比較される閾値は、複数設けられていてもよい。この場合、比較部２０２０は、判定対象ファイルの信頼度がどの閾値以下であるかによって、出力の態様を異ならせてもよい。この場合、信頼度がより小さい閾値以下になっている場合ほど、判定対象ファイルに関する情報がより強調された態様で出力が行われることが好ましい。
【００７４】
例えば閾値として第１閾値 Th1 と第２閾値 Th2 が設けられており、Th1>Th2 であるとする。この場合、例えば出力部２０４０は、判定対象ファイルの信頼度 R が第１閾値以下である場合に、判定対象ファイルの名称を出力する。この際、出力部２０４０は、「Th2<R<=Th1」の場合と「R<=Th2」の場合とで、異なる強調を行う。例えば出力部２０４０は、「Th2<R<=Th1」の場合には判定対象ファイルの名称を黄色の文字で出力し、「R<=Th2」の場合には判定対象ファイルの名称を赤色の文字で出力する。このように強調の態様を代えることで、情報処理装置２０００のユーザが、判定対象ファイルが偽装されたものである蓋然性がどの程度高いのか（判定対象ファイルに注意を払うべき度合い）を、直感的に把握することができる。
【００７５】
ここで、信頼度がどの閾値以下であるかによって強調の方法を異ならせる方法は、判定対象ファイルの名称の文字の色を異ならせる方法のみに限定されず、任意の方法の組み合わせとすることができる。例えば出力部２０４０は、「Th2<R<=Th1」の場合には判定対象ファイルの名称を通常より大きいサイズで出力し、「R<=Th2」の場合には判定対象ファイルの名称をポップアップ画面で表示させる。
【００７６】
［実施形態２］
実施形態２の情報処理装置２０００は、判定対象ファイルに付されている電子署名を考慮する。ファイルには、電子署名が付されることがある。電子署名は、ファイルの提供元を確認したり、ファイルが改ざんされていないことを確認したりするために利用することができる。そのため、判定対象ファイルに電子署名が付されていたら、その電子署名を利用することで、判定対象ファイルが信頼できるものであるか否かを、より正確に判断できる。
【００７７】
そこで例えば、実施形態２の情報処理装置２０００は、判定対象ファイルに電子署名が付されているかどうかを判定し、電子署名が付されている場合にはその検証を行う。そして情報処理装置２０００は、その検証の結果に基づいて、判定対象ファイルの信頼度を補正する。例えば、判定対象ファイルが改ざんされていないと判定された場合、判定対象ファイルが改ざんされていると判定された場合よりも、判定対象ファイルの信頼度が高くなるように、信頼度の補正を行う。
【００７８】
その他にも例えば、情報処理装置２０００は、電子署名の検証により、判定対象ファイルが信頼できるものであると判明した場合には、判定対象ファイルの信頼度の算出を省略し、判定対象ファイルの名称と正規名称とが一致するケースと同様に判定対象ファイルを扱うようにしてもよい。すなわちこの場合、前述した強調条件が、１）判定対象ファイルの名称と同一の正規名称がない、２）電子署名の検証の結果、判定対象ファイルが信頼できるものであると判定されなかった、及び３）比較部２０２０によって算出された判定対象ファイルの信頼度が閾値以下である、という３つの条件の AND となる。
【００７９】
＜作用効果＞
本実施形態の情報処理装置２０００によれば、判定対象ファイルが正規ファイルを偽装したものであるか否かの判断に、判定対象ファイルに付された電子署名が利用される。電子署名はファイルが改ざんされていないことの確認などに利用できるものであることから、電子署名を利用することにより、判定対象ファイルが正規ファイルを偽装したものであるか否かを、より正確に判断できるようになる。
【００８０】
以下、本実施形態の情報処理装置２０００についてさらに詳細に説明する。
【００８１】
＜機能構成の例＞
図８は、実施形態２の情報処理装置２０００の機能構成を例示するブロック図である。実施形態２の情報処理装置２０００は検証部２０６０を有する。検証部２０６０は、判定対象ファイルに電子署名が付されているか否かを判定する。判定対象ファイルに電子署名が付されている場合、検証部２０６０は、電子署名の検証を行う。検証部２０６０は、比較部２０２０による比較の結果、及び検証部２０６０による電子署名の検証の結果に基づいた出力を行う。
【００８２】
＜ハードウエア構成の例＞
実施形態２の情報処理装置２０００には、実施形態１の情報処理装置２０００と同様に、様々なハードウエア構成を採用できる。例えば実施形態２の情報処理装置２０００のハードウエア構成は、実施形態１の情報処理装置２０００のハードウエア構成と同様に、図３で表される。ただし、実施形態２のストレージデバイス１０８０には、実施形態２の情報処理装置２０００の機能を実現するプログラムモジュールが格納される。
【００８３】
＜処理の流れ＞
図９は、実施形態２の情報処理装置２０００によって実行される処理の流れを例示するフローチャートである。検証部２０６０は、判定対象ファイルに電子署名が付されているか否かを判定する（Ｓ２０２）。電子署名が付されている場合（Ｓ２０２：ＹＥＳ）、検証部２０６０は、電子署名の検証を行う（Ｓ２０４）。検証部２０６０は、検証結果を利用して、判定対象ファイルの信頼度を補正する（Ｓ２０６）。
【００８４】
図９に示す一連の処理を実行するタイミングは様々である。例えばこれらの処理は、判定対象ファイルの信頼度を算出した後（図４のＳ１１２とＳ１１４の間）に実行される。また前述したように、電子署名の検証によって判定対象ファイルが信頼できるものであると判明したら判定対象ファイルの信頼度の算出を省略する場合には、正規名称との比較を開始する前（例えば、図４のＳ１０２の前）に、図９に示す一連の処理が実行されてもよい。
【００８５】
＜電子署名が付されているか否かの判定：Ｓ２０２＞
検証部２０６０は、判定対象ファイルに電子署名が付されているか否かを判定する（Ｓ２０２）。特定のファイルに電子署名が付されているか否かを判定する技術には、既存の技術を利用することができる。
【００８６】
＜電子署名の検証：Ｓ２０４＞
検証部２０６０は、判定対象ファイルに付されている電子署名の検証を行う（Ｓ２０４）。例えば検証部２０６０は、１）現在の時間が電子署名の有効期限内であることの検証、２）電子署名に示されている判定対象ファイルの提供元が信頼できることの検証、及び３）判定対象ファイルが改ざんされていないことの検証という３つの検証項目の内、いずれか１つ以上の項目について検証を行う。２）の検証は、例えば、電子署名を発行した認証局が予め情報処理装置２０００に登録されている信頼できる認証局であるか否かを判定することにより実現することができる。これら３つの検証の具体的な方法には、既存の技術を利用することができる。
【００８７】
以下、１）の検証については、現在時刻が電子署名の有効期限内であるケースを検証成功とし、現在時刻が電子署名の有効期限内でないケースを検証失敗とする。また、２）の検証については、電子署名に示されている判定対象ファイルの提供元が信頼できるケースを検証成功とし、電子署名に示されている判定対象ファイルの提供元が信頼できないケースを検証失敗とする。さらに、３）の検証については、判定対象ファイルが改ざんされていないケースを検証成功とし、判定対象ファイルが改ざんされているケースを検証失敗とする。
【００８８】
＜検証結果の利用＞
検証部２０６０による検証の結果を利用する方法は様々である。例えば出力部２０４０は、検証部２０６０が行った検証がいずれも成功である場合、判定対象ファイルの名称と一致する正規名称が存在しない場合と同様に、強調条件が満たされないものとして扱う。電子署名を用いた検証がいずれも成功した場合、判定対象ファイルの信頼度は高いと考えられるためである。
【００８９】
その他にも例えば、比較部２０２０は、検証部２０６０による検証の結果に基づいて、判定対象ファイルの信頼度を補正する（Ｓ２０６）。概念的には、検証が成功した場合の信頼度が、検証が失敗した場合の信頼度よりも高くなるようにする。
【００９０】
例えば、検証項目ごとに、検証が成功した場合に利用する第１の重みを定めておく。第１の重みは、１より大きい実数である。検証部２０６０は、或る検証項目について検証が成功したら、判定対象ファイルの信頼度にその検証項目について定められている第１の重みを掛けることで、信頼度を補正する。これにより、検証が成功した場合に信頼度が大きくなる。
【００９１】
その他にも例えば、検証項目ごとに、検証が失敗した場合に利用する第２の重みを定めておく。第２の重みは、１より小さい正の実数である。検証部２０６０は、或る検証項目について検証が失敗したら、判定対象ファイルの信頼度に、その検証項目について定められている第２の重みを掛けることで、信頼度を補正する。これにより、検証が失敗した場合に信頼度が小さくなる。
【００９２】
第１の重みを用いた補正と、第２の重みを用いた補正は、いずれか一方のみが行われてもよいし、双方が行われてもよい。
【００９３】
なお、各検証項目について定められる第１の重みは、共通の値であってもよいし、それぞれ異なる値であってもよい。第２の重みについても同様である。第１の重みと第２の重みは、予め比較部２０２０に設定されていてもよいし、比較部２０２０からアクセス可能な記憶装置に記憶されていてもよい。
【００９４】
＜電子署名が付されていないケースについて＞
電子署名が付されていないケースについては、信頼度の補正を行わなくてもよいし、行ってもよい。後者の場合、例えば比較部２０２０は、判定対象ファイルに電子署名が付されていないと判定されたら、判定対象ファイルの信頼度を小さく補正する。これにより、電子署名が付されていないという事実を、判定対象ファイルの信頼度を下げる要因として扱うことができる。
【００９５】
＜電子署名のその他の利用方法＞
電子署名の検証結果は、パス名の一部を名称の比較に用いる際に、比較に用いる階層の数（ディレクトリの数）を定めるために利用してもよい。以下、比較に用いる階層の数を、比較階層数と呼ぶ。
【００９６】
検証に成功した電子署名が付されているファイルは、正規ファイルである蓋然性が高いため、ファイルシステム上で正規の位置に格納されている蓋然性が高い。そのため、比較階層数は小さくてよいと考えられる。一方、電子署名が付されていなかったり、検証に失敗した電子署名が付されているファイルは、正規ファイルでない蓋然性が高いため、ファイルシステム上で正規の位置に格納されているとは限らない。
【００９７】
そこで例えば、比較部２０２０は、電子署名の検証に失敗した場合の比較階層数を、電子署名の検証に成功した場合の比較階層数よりも大きい値にある。例えば、いずれか１つ以上の検証に失敗した場合に利用する第１の比較階層数と、全ての検証に成功した場合に利用する第２の比較階層数を、「第１の比較階層数＞第２の比較階層」を満たすように予め定めておく。
【００９８】
その他にも例えば、比較部２０２０は、判定対象ファイルに電子署名が付されていない場合の比較階層数を、判定対象ファイルに電子署名が付されている場合の比較階層数よりも大きい値にしてもよい。例えば、判定対象ファイルに電子署名が付されていない場合に利用する第３の比較階層数と、判定対象ファイルに電子署名が付されている場合に利用する第４の比較階層数を、「第３の比較階層数＞第４の比較階層」を満たすように予め定めておく。
【００９９】
前述した各比較階層数は、予め比較部２０２０に設定されていてもよいし、比較部２０２０からアクセス可能な記憶装置に記憶されていてもよい。
【０１００】
［実施形態３］
＜概要＞
コンピュータシステム上に同じ名称のファイルが複数存在することがある。例えば、複数のマシンを含むコンピュータシステムでは、１台以上のマシンそれぞれにおいて、互いに同一の名称を持つファイルが存在しうる。
【０１０１】
ここで、或る名称を持つファイルが少数しか存在しない場合と、その名称を持つファイルが多数存在する場合とを比較すると、後者の方が、その名称を持つファイルの信頼度が高いと考えられる。そこで実施形態３の情報処理装置２０００は、判定対象ファイルと同じ名称のファイルの存在数を把握し、その存在数が多いほど判定対象ファイルの信頼度を高めるように、信頼度の補正を行う。これにより、判定対象ファイルが正規ファイルを偽装したものであるか否かを、より正確に判断できるようになる。
【０１０２】
以下、本実施形態の情報処理装置２０００についてさらに詳細に説明する。
【０１０３】
＜機能構成の例＞
図１０は、実施形態３の情報処理装置２０００の機能構成を例示するブロック図である。実施形態３の情報処理装置２０００は特定部２０８０を有する。特定部２０８０は、判定対象ファイルの名称を持つファイルの存在数を特定する。比較部２０２０は、特定された存在数に基づいて、判定対象ファイルの信頼度を補正する。
【０１０４】
＜ハードウエア構成の例＞
実施形態３の情報処理装置２０００には、実施形態１の情報処理装置２０００と同様に、様々なハードウエア構成を採用できる。例えば実施形態３の情報処理装置２０００のハードウエア構成は、実施形態１の情報処理装置２０００のハードウエア構成と同様に、図３で表される。ただし、実施形態３のストレージデバイス１０８０には、実施形態３の情報処理装置２０００の機能を実現するプログラムモジュールが格納される。
【０１０５】
＜処理の流れ＞
図１１は、実施形態３の情報処理装置２０００によって実行される処理の流れを例示するフローチャートである。特定部２０８０は、判定対象ファイルと同じ名称を持つファイルの存在数を特定する（Ｓ３０２）。比較部２０２０は、特定された存在数に基づいて、判定対象ファイルの信頼度を補正する（Ｓ３０４）。
【０１０６】
＜存在数の特定：Ｓ３０２＞
特定部２０８０は、判定対象ファイルと同じ名称を持つファイルの存在数を特定する（Ｓ３０２）。例えば、過去に判定対象としたファイルの名称の履歴を、任意の記憶装置に記憶させておく。以下、この履歴を判定履歴と呼ぶ。例えば特定部２０８０は、判定履歴を検索し、判定対象ファイルと同じ名称を持つファイルについての履歴の個数を、判定対象ファイルの存在数として特定する。
【０１０７】
ここで、判定対象ファイルの個数は、利用環境ごとにカウントされることが好適である。すなわち、同一の利用環境に存在する同一名称のファイルについて複数回の判定が行われている場合には、そのファイルの数を１回だけカウントするようにする。なお、利用環境は、例えばマシンやユーザアカウントである。
【０１０８】
利用環境を考慮する場合、判定履歴には、判定対象としたファイルの名称とその利用環境とを対応づけて記憶させておく。利用環境の識別子には、例えば、ユーザ ID、マシンの UUID（Universally Unique Identifier）、又は IP アドレスなどのネットワークアドレスを利用できる。そして特定部２０８０は、判定履歴を検索し、判定対象ファイルと同じ名称を持つファイルについての履歴の個数を利用環境単位でカウントし、そのカウント結果を、判定対象ファイルと同じ名称を持つファイルの存在数とする。なお、ファイルの名称にユーザ ID などの利用環境固有の部分が含まれる場合には、その部分を除外して、名称の一致を判定する。
【０１０９】
＜信頼度の補正：Ｓ３０４＞
比較部２０２０は、特定部２０８０によって特定された判定対象ファイルと同じ名称を持つファイルの存在数に基づいて、判定対象ファイルの信頼度を調整する（Ｓ３０４）。例えば、判定対象ファイルの存在数を補正係数に変換する規則を表す補正関数を予め定めておく。比較部２０２０は、特定部２０８０によって特定された存在数をこの関数に入力することで得られる補正係数を判定対象ファイルの信頼度に掛けることにより、信頼度の補正を行う。
【０１１０】
図１２は、補正関数を例示する図である。図１２の上段において、補正関数は、判定対象ファイルと同じ名称を持つファイルの存在数が０である場合に１を出力し、判定対象ファイルと同じ名称を持つファイルの存在数が１である場合に１より大きい値を出力する単調増加関数である。この場合、補正によって信頼度が小さくなることはない。
【０１１１】
これに対し、図１２の下段の補正関数は、判定対象ファイルと同じ名称を持つファイルの存在数を基準値と比較し、存在数が基準値未満であれば１より小さい値、存在数が基準値に等しければ１、存在数が基準値より大きい場合には１より大きい値をそれぞれ出力する単調増加関数である。この補正関数を利用すると、判定対象ファイルと同じ名称を持つファイルの数が基準値より少ない場合に、信頼度が補正前より小さい値になる。
【０１１２】
以上、図面を参照して本発明の実施形態について述べたが、これらは本発明の例示であり、上記各実施形態の組み合わせ、又は上記以外の様々な構成を採用することもできる。
【０１１３】
上記の実施形態の一部又は全部は、以下の付記のようにも記載されうるが、以下には限られない。
１．  判定対象ファイルの名称を１つ以上の比較対象ファイルの名称と比較する比較部と、
前記判定対象ファイルの名称がいずれの前記比較対象ファイルの名称とも一致せず、なおかつ前記判定対象ファイルの信頼度が閾値以下である場合に、前記判定対象ファイルに関する情報を出力する出力部と、を有し、
前記比較部は、前記判定対象ファイルの名称と各前記比較対象ファイルの名称との類似度合いに基づいて、前記判定対象ファイルの信頼度を算出する、情報処理装置。
２．  前記比較部が比較に用いる名称は、ファイルのファイル名、パス名、及び URL のいずれか１つ以上である、１．に記載の情報処理装置。
３．  前記出力部は、前記判定対象ファイルの名称が前記比較対象ファイルの名称と一致せず、なおかつ前記判定対象ファイルの信頼度が閾値以下である場合に、それ以外の場合よりも強調した態様で、前記判定対象ファイルに関する情報を出力する、１．又は２．に記載の情報処理装置。
４．  前記出力部は、前記判定対象ファイルと前記比較対象ファイルの名称との類似度の最大値が第１閾値以下かつ第２閾値より大きい場合と、前記最大値が前記第２閾値以上である場合とで、前記判定対象ファイルに関する情報に対して互いに異なる強調を行う、３．に記載の情報処理装置。
５．  前記比較部は、前記判定対象ファイルの名称と前記比較対象ファイルの名称の類似度を、文字列の距離を表す指標値を用いて算出する、１．乃至４．いずれか一つに記載の情報処理装置。
６．  前記比較部は、前記判定対象ファイルの名称に第１文字が含まれ、なおかつ前記比較対象ファイルの名称に第２文字が含まれる場合、前記判定対象ファイルの名称と前記比較対象ファイルの名称の類似度を、補正前の値よりも大きくなるように補正し、
前記第１文字と前記第２文字は予め定められた互いに異なる文字である、５．に記載の情報処理装置。
７．  前記判定対象ファイルの名称に制御文字が含まれている場合、前記比較部は、その制御文字に応じた処理を適用することで得られる前記判定対象ファイルの名称を、前記比較対象ファイルの名称と比較する、１．乃至６．いずれか一つに記載の情報処理装置。
８．  前記判定対象ファイルに電子署名が付されているか否かを判定し、前記判定対象ファイルに電子署名が付されているか場合、その電子署名の検証を行う検証部を有し、
前記比較部は、前記検証の結果に基づいて、前記判定対象ファイルの信頼度を補正する、１．乃至７．いずれか一つに記載の情報処理装置。
９．  前記判定対象ファイルと同じ名称を持つファイルの存在数を特定する特定部を有し、
前記比較部は、前記特定された存在数が大きいほど大きな値になるように前記判定対象ファイルの信頼度を補正する、１．乃至８．いずれか一つに記載の情報処理装置。
【０１１４】
１０．  判定対象ファイルの名称を１つ以上の比較対象ファイルの名称と比較する比較部と、
前記判定対象ファイルの名称が前記比較対象ファイルの名称と一致するか否か、及び前記判定対象ファイルの名称と前記比較対象ファイルの名称との類似性に応じて、前記判定対象ファイルに関する情報の表示態様を決定し、前記決定した表示態様で前記判定対象ファイルに関する情報を出力する出力部と、を有する情報処理装置。
【０１１５】
１１．  コンピュータによって実行される制御方法であって、
判定対象ファイルの名称を１つ以上の比較対象ファイルの名称と比較する比較ステップと、
前記判定対象ファイルの名称がいずれの前記比較対象ファイルの名称とも一致せず、なおかつ前記判定対象ファイルの信頼度が閾値以下である場合に、前記判定対象ファイルに関する情報を出力する出力ステップと、を有し、
前記比較ステップにおいて、前記判定対象ファイルの名称と各前記比較対象ファイルの名称との類似度合いに基づいて、前記判定対象ファイルの信頼度を算出する、制御方法。
１２．  前記比較ステップが比較に用いる名称は、ファイルのファイル名、パス名、及び URL のいずれか１つ以上である、１１．に記載の制御方法。
１３．  前記出力ステップにおいて、前記判定対象ファイルの名称が前記比較対象ファイルの名称と一致せず、なおかつ前記判定対象ファイルの信頼度が閾値以下である場合に、それ以外の場合よりも強調した態様で、前記判定対象ファイルに関する情報を出力する、１１．又は１２．に記載の制御方法。
１４．  前記出力ステップにおいて、前記判定対象ファイルと前記比較対象ファイルの名称との類似度の最大値が第１閾値以下かつ第２閾値より大きい場合と、前記最大値が前記第２閾値以上である場合とで、前記判定対象ファイルに関する情報に対して互いに異なる強調を行う、１３．に記載の制御方法。
１５．  前記比較ステップにおいて、前記判定対象ファイルの名称と前記比較対象ファイルの名称の類似度を、文字列の距離を表す指標値を用いて算出する、１１．乃至１４．いずれか一つに記載の制御方法。
１６．  前記比較ステップにおいて、前記判定対象ファイルの名称に第１文字が含まれ、なおかつ前記比較対象ファイルの名称に第２文字が含まれる場合、前記判定対象ファイルの名称と前記比較対象ファイルの名称の類似度を、補正前の値よりも大きくなるように補正し、
前記第１文字と前記第２文字は予め定められた互いに異なる文字である、１５．に記載の制御方法。
１７．  前記判定対象ファイルの名称に制御文字が含まれている場合、前記比較ステップにおいて、その制御文字に応じた処理を適用することで得られる前記判定対象ファイルの名称を、前記比較対象ファイルの名称と比較する、１１．乃至１６．いずれか一つに記載の制御方法。
１８．  前記判定対象ファイルに電子署名が付されているか否かを判定し、前記判定対象ファイルに電子署名が付されているか場合、その電子署名の検証を行う検証ステップを有し、
前記比較ステップにおいて、前記検証の結果に基づいて、前記判定対象ファイルの信頼度を補正する、１１．乃至１７．いずれか一つに記載の制御方法。
１９．  前記判定対象ファイルと同じ名称を持つファイルの存在数を特定する特定ステップを有し、
前記比較ステップにおいて、前記特定された存在数が大きいほど大きな値になるように前記判定対象ファイルの信頼度を補正する、１１．乃至１８．いずれか一つに記載の制御方法。
【０１１６】
２０．  コンピュータによって実行される制御方法であって、
判定対象ファイルの名称を１つ以上の比較対象ファイルの名称と比較する比較ステップと、
前記判定対象ファイルの名称が前記比較対象ファイルの名称と一致するか否か、及び前記判定対象ファイルの名称と前記比較対象ファイルの名称との類似性に応じて、前記判定対象ファイルに関する情報の表示態様を決定し、前記決定した表示態様で前記判定対象ファイルに関する情報を出力する出力ステップと、を有する制御方法。
【０１１７】
２１．  １１．乃至２０．いずれか一つに記載の制御方法の各ステップをコンピュータに実行させるプログラム。
【図１】
2020065777.tif 000003
【図２】
2020065777.tif 000004
【図３】
2020065777.tif 000005
【図４】
2020065777.tif 000006
【図５】
2020065777.tif 000007
【図６】
2020065777.tif 000008
【図７】
2020065777.tif 000009
【図８】
2020065777.tif 000010
【図９】
2020065777.tif 000011
【図１０】
2020065777.tif 000012
【図１１】
2020065777.tif 000013
【図１２】
2020065777.tif 000014
【手続補正書】
【提出日】令和3年3月17日(2021.3.17)
【手続補正１】
【補正対象書類名】明細書
【補正対象項目名】０００８
【補正方法】変更
【補正の内容】
【０００８】
本発明の第２の制御方法は、コンピュータによって実行される制御方法である。当該制御方法は、１）判定対象ファイルの名称を１つ以上の比較対象ファイルの名称と比較する比較ステップと、２）判定対象ファイルの名称が比較対象ファイルの名称と一致するか否か、及び判定対象ファイルの名称と比較対象ファイルの名称との類似性に応じて、判定対象ファイルに関する情報の表示態様を決定し、決定した表示態様で判定対象ファイルに関する情報を出力する出力ステップと、を有する。
【手続補正２】
【補正対象書類名】明細書
【補正対象項目名】００４６
【補正方法】変更
【補正の内容】
【００４６】
そこで比較部２０２０は、判定対象ファイルの名称を正規名称と比較する前に、判定対象ファイルの名称に制御文字が含まれるか否かを判定する。そして、判定対象ファイルの名称に制御文字が含まれる場合、比較部２０２０は、判定対象ファイルの名称に制御文字を適用することで、外部に出力される際の判定対象ファイルの名称を生成する。そして比較部２０２０は、生成した名称と正規名称とを比較する。例えば、判定対象ファイルの名称が「file[RLO]X.txt」である場合、比較部２０２０は、制御文字 RLO を適用したファイル名「filetxt.X」を生成し、この「filetxt.X」を正規名称と比較する。なお、正規名称に制御文字が含まれている場合も同様に、制御文字が適用された名称を生成した上で比較を行う。
【手続補正３】
【補正対象書類名】明細書
【補正対象項目名】００６４
【補正方法】変更
【補正の内容】
【００６４】
図５では、「bcde.txt」というファイルが強調条件を満たしていると判定されている。そのため、このファイルのアイコンが他のファイルのアイコンよりも大きくなっており、なおかつ「bcde.txt」という名称が、通常よりも大きいサイズで表示されている。
【手続補正４】
【補正対象書類名】明細書
【補正対象項目名】００８１
【補正方法】変更
【補正の内容】
【００８１】
＜機能構成の例＞
図８は、実施形態２の情報処理装置２０００の機能構成を例示するブロック図である。実施形態２の情報処理装置２０００は検証部２０６０を有する。検証部２０６０は、判定対象ファイルに電子署名が付されているか否かを判定する。判定対象ファイルに電子署名が付されている場合、検証部２０６０は、電子署名の検証を行う。出力部２０４０は、比較部２０２０による比較の結果、及び検証部２０６０による電子署名の検証の結果に基づいた出力を行う。
【手続補正５】
【補正対象書類名】明細書
【補正対象項目名】００９７
【補正方法】変更
【補正の内容】
【００９７】
そこで例えば、比較部２０２０は、電子署名の検証に失敗した場合の比較階層数を、電子署名の検証に成功した場合の比較階層数よりも大きい値にする。例えば、いずれか１つ以上の検証に失敗した場合に利用する第１の比較階層数と、全ての検証に成功した場合に利用する第２の比較階層数を、「第１の比較階層数＞第２の比較階層数」を満たすように予め定めておく。
【手続補正６】
【補正対象書類名】明細書
【補正対象項目名】００９８
【補正方法】変更
【補正の内容】
【００９８】
その他にも例えば、比較部２０２０は、判定対象ファイルに電子署名が付されていない場合の比較階層数を、判定対象ファイルに電子署名が付されている場合の比較階層数よりも大きい値にしてもよい。例えば、判定対象ファイルに電子署名が付されていない場合に利用する第３の比較階層数と、判定対象ファイルに電子署名が付されている場合に利用する第４の比較階層数を、「第３の比較階層数＞第４の比較階層数」を満たすように予め定めておく。
【手続補正７】
【補正対象書類名】図面
【補正対象項目名】図８
【補正方法】変更
【補正の内容】
【図８】
2020065777.tif 000015
【国際調査報告】
2020065777.tif 000016
2020065777.tif 000017
2020065777.tif 000018
2020065777.tif 000019