一般社団法人 電子情報通信学会
信学技報
THE INSTITUTE OF ELECTRONICS,INFORMATION AND COMMUNICATION ENGINEERS

IEICE Technical Report

侵入防御のためのプロセス活動リンク付方式に向けた初期的検討
都丸 裕大† 橋本 正樹† 田中 英彦††情報セキュリティ大学院大学 〒221-0835 神奈川県横浜市神奈川区鶴屋町２丁目１４−１
E-mail: †{mgs144501, hashimoto, tanaka}@iisec.ac.jp
あらまし 近年，標的型攻撃などの対策として C&C サーバとの通信やマルウェアをブラックリストやシグネチャとして利用し，対策をしているものが多く存在している．また，検知できないマルウェアについては，その動作をつかむために，専門家のノウハウをもとにシステム内部の証跡からマルウェアであると判断してきた．そのため，マルウェアの発見には時間がかかり，機械的に判断することが困難である．そこで本研究では攻撃を機械的に識別するために，マルウェアの悪性活動の流れを見て不正であると判断する方式を提案する．具体的には，TOMOYOLinux を用いて，マルウェアを動的解析し，ファイルの実行，C&C サーバへの通信などのアクセス情報を収集し，マルウェアによる一連の活動について絶対パスでリンク付を行う．これにより，プロセス活動による侵入防御について，機械的に判定できる部分を広げ，より高度で知的な侵入防御システムを構築する基礎となることを期待する．
キーワード 標的型攻撃，リンク付，プロセス活動，TOMOYO Linux，アクセス制御

Preliminary Studies of Linkage Analysis among Process Behavior for Intrusion
Prevention
Yudai TOMARU† Masaki Hashimoto† and Hidehiko TANAKA††INSTITUTE of INFORMATION SECURITY 2-14-1 Tsuruya-cho, Kanagawa-ku, Yokohama-city, Kanagawa 2210835, JAPANE-mail: †{mgs144501, hashimoto, tanaka}@iisec.ac.jp
Abstract Recently, there are many malware measures such as targeted attacks, communicate with C&C servers, and file,using as black lists or signatures. Malware cannot be detected, in order to grab malware behavior, has been determined that theexpert is malware from such a variety of trails within the system on the basis of the know-how, such as their knowledge.
Therefore, it takes time to discover the malware, it is difficult to mechanically determine now. So, in this study, tomechanically identify cyberattacks, we propose a scheme that is determined to be unauthorized access to see the flow ofmalignant activity by malware. Specifically, by using TOMOYO Linux, run the malwares that execution and creation files,
they collect access information such as the communication to the C&C servers and analysis linkage with the absolute pathamong process behavior by malware. As a result, the intrusion prevention through the process behavior, to extend the portion
can be determined mechanically. It is expected to become the basis for building a more advanced and intelligent intrusion
prevention system.
Keywords Targeted Attack, Process Behavior , Linkage Analysis, TOMOYO Linux, Access Control1. はじめにケーションの実行状況に基づく強制アクセス制御方式」[1]

本研究は，標的型攻撃を防御するために，原田ら[1]によに基づく提案手法について説明する．そして，第５章で提案る TOMOYO Linux プロジェクトの成果を基礎に，ホスト内手法について実験結果をもとに説明し，第６章で評価を行い，部でマルウェアの活動をリンク付する手法について検討し，第７章でまとめと課題を示す．

提案することを目的とするものである．
本稿では，第１章はじめに以降，第２章で標的型攻撃につ

2. 標的型攻撃

いて解説し，第３章で標的型攻撃の特徴と対策について説明

標的型攻撃とは，特定の組織において機微な業務・情報をする．その後，第４章で本研究の関連研究や本研究の実施環扱う特定の組織に対し，攻撃手段として電子メールに添付し境である TOMOYO Linux について，原田らによる「アプリた不正プログラム等によって職員の端末に侵入を図るなど，This article is a technical report without peer review, and its polished and/or extended version may be published elsewhere.
Copyright ©2015 by IEICE組織的・持続的な意図をもって行われる外部からの情報窃

表１：標的型攻撃の概要及び対策取・破壊等の攻撃を指す[2]．なお，欧米では，「AdvancedPersistent Threat (APT) 」 と 呼 ば れ て い る ． APT は ， 高 度（Advanced）な手法を用いて，目的を達成するために執拗（ Persistent ） に サ イ バ ー 攻 撃 を 行 う 能 力 を 有 す る 脅 威（Threat）攻撃者のことであり，標的型攻撃においても高度な攻撃を指すことが多い．また，標的型攻撃に使われるメールによるなりすましの手法が年々巧妙化，高度化している．
さ らに， メール に添付 するマ ルウェ アは， RAT（ RemoteAccess Trojan, Remote Administration tools）と呼ばれ，標的に合わせてカスタマイズされており，ウイルス対策ソフトによる検知を回避するための工夫がされている．そのため，標的型攻撃をシステムの入口で完全に防御することは困難である．
この標的型攻撃と呼ばれる攻撃は増加傾向にあり，脅威は高まっており，早急な対策が必要な状況である（下図１参照）．

4. 関連研究
本章では，標的型攻撃への対策として，RAT 検知手法としてホストベースの検知手法とマルウェアなどのプロセスのリンク付としてテイント解析に関連するマルウェア検出の研究，また，プロセスとプロセスの関係をリンク付するために動的解析環境として活用した TOMOYO Linux に関する研究を紹介する．
足立らの手法[4]ではネットワーク通信を始めた攻撃拠点構築段階での情報をホスト上で取得しその情報を用いて

図 1：警察庁が把握した標的型メール攻撃の件数[3]RAT の検知を行う．ホストベースの場合，ネットワークの情報だけでなくホストの情報を用いて検知することで検知す

3. 標的型攻撃の特徴と対策
標的型攻撃の特徴は，攻撃にステップがあり，目的達成までそのステップを踏んでいくことにある．
また，既存の対策としては，入口対策，内部対策，出口対策，多層防御，情報共有などがある．
このような標的型攻撃のステップの概要と既存の対策について下記の図２及び表１のとおりまとめた．

る能力が向上する．ネットワークから取得できるデータ量やパケット数などだけでなく，ホストのプロセスごとの IP アドレスやポート番号などを取得できる．また，これらの特徴にプロセス ID を結びつけることにより RAT のプロセス IDを特定することができる．
幾世らの研究[5]では，動的解析時の通信先とプログラムコード及びファイルの依存関係において，既存の悪性情報との合致項目を起点とした通信先の悪性判定手法を提案している．具体的には，テイント解析技術を用いて通信先とダウンロードデータの依存関係を抽出し，抽出された依存関係において既存の悪性情報との合致項目を起点とした分析によるマルウェアダウンロードサイト特定手法である．本手法では，まず，マルウェアの動的解析中に観測された OS 上のオブジ

図２：標的型攻撃の概要

ェクト（ファイルとメモリ上のプログラムコード）と通信先間の依存関係を抽出する．その後，公開ブラックリスト等にロセス，アクセス先などを特定することができる．提案手法より通信先やオブジェクトの悪性判定を実施し，悪性と判定のイメージについて以下の図３に示す．

された通信先やオブジェクトを起点に依存関係を遡ることでプログラムコードの取得元をマルウェアダウンロードサイトと判定する．これにより，動的解析で得られた通信先のうち，一部が悪性と判定できれば，関連する全てのサイトを悪性と判定できる．
原田らの研究[1]は，情報セキュリティを担保するための基礎技術であるアクセス制御について，アプリケーションの実行状況を考慮可能な新しいアクセス制御方式について提案

図３：プロセス活動リンク付構築イメージしており，そのシステムの概念と実現方法について紹介し，ホスト内部でファイルの実行・作成・削除などに対するリそれを Linux 上で実装した TOMOYO Linux における評価結ンク付を行うことで，マルウェアに関連するファイルやプロ果を報告している．従来のアクセス制御は，主体であるアプセスの特定や特定の場所からさかのぼってマルウェアを発見

リケーションとそれがアクセスしようとするファイルなどのすることができるなどのメリットがある．このようなファイ客体の組み合わせによってアクセス可否を判断していた．そルやプロセス同士のリンク付を行うことはマルウェア対策とのためアプリケーションの処理内容及びアクセスを認めるこして有用である．とにより情報システムに与える影響を考慮することができな

5.2. TOMOYO Linux によるプロセス活動の捕捉かった．しかしながら，原田らの提案方式では，アプリケー

TOMOYO Linux では，学習モードを起動させることでプションの実行状況を，システム起動時以降から当該アプリケ

ログラムの実行履歴（ドメイン一覧）と各ドメインのアクセーションの実行に至るまでの履歴と，アプリケーションのコス要求の情報を収集することができる．すべてのプログラム

マンドライン引数や要求発生時の環境変数等の情報から解釈がそれぞれ独立したドメインになり，基点となる<kernel>かし，これらの情報を条件に用いることによりアクセス可否をら現在に至るまで実行されたすべてのプログラムのパス名を判定することができる．また，情報の取得／判定／強制をカ結合したものを示すことができる．この環境を使い，マルウーネルで行うので，安全に漏れなくアクセス制御の強制を行ェアと考えられるファイルを実行させ，プロセスなどの動作うことができる．

を解析し，マルウェアによるプロセスをリンク付した活動の流れを作成することができる．

5. 提案手法

5.3. 実験概要及び実験環境

本章では，TOMOYO Linux を使い，マルウェアの動マルウェアの感染ケースを標的型メールと想定し，その動的解析を行った．その結果に基づき，メールの受信か作を TOMOYO Linux 上で確認した．ユーザによるメールのらマルウェアを実行させ，マルウェアの活動をリンク受信から添付ファイルの実行まで行い，マルウェアの動作を付する手法について提案する．

確 認 し た ． ま た ， 本 実 験 に お い て は ， java （ ハ ッ シ ュ 値

5.1. 概要
本提案手法は動的解析によるプロセスのリンク付の構築である．本研究では，標的型メールを侵入経路として想定し，メールの受信からマルウェアの実行までを TOMOYO Linuxを用いて動的解析し，マルウェアの実行によるプロセスの生成や削除などの関係について情報収集し，メールの受信からマルウェア感染までに関係するプロセスについてリンク付を構築する．このことにより，生成先のプロセスや生成元のプMD5: 15293d54a15e7ffe3e23c5c15d895cd7）というマルウェアを使用し，TOMOYO Linux を使った環境で実験を行った．
メーラには tunderbird を使用した．

5.4. 実験結果
まず，メールの受信から見てみると，TOMOYO Lunux の[domain transition]を確認すると，メーラが呼び出したプロセスを示している．[domain transition]は実行したファイルであるプロセスの実行履歴を表示することができる．

が 起 動 さ れ ， /usr/bin/which ，行履歴を表示することができ，そのプロセスがアクセスした/usr/lib/thunderbird/thunderbird の順番でメーラを呼び出していファイルの情報を収集することができる．そして，マルウェる．そして，thunderbird のプロセスの活動の中身を見るため

アの絶対パスによるファイル名で，メールの受信からマルウに，[domain Policy]を確認する．[domain Plicy]はそのプロセ

ェアの実行による C&C までの通信をリンク付することができスのファイル作成，削除などアクセス情報を確認することがる．また，TOMOYO Linux はアクセス制御の対象としてファできる．thunderbird がメールで受信したマルウェア java を絶

イル名の絶対パスを使用している．その絶対パスを活用しプ

対パス/home/tomaru/java に 0644 はパーミッションでマルウロセスのリンク付を行う．絶対パスは一意なので，プロセスェアを保存していることが判明した．次に，マルウェア javaのリンク付を構築することができる．また，ファイルの動作を実行し，その動作について確認する．先ほど，メーラが保として，パス名の変更（file rename），ファイルの作成存したマルウェア java（/home/tomaru/java）が/bin/sh でシェ（file create），パーミッションの変更（file chmod），ルを呼び出し，/sbin/insmod でモジュールを読み込んでいる

フ ァ イ ル の 実 行 （ file excute ） ， フ ァ イ ル の 読 み 込 みことがわかる．そして，java の[domain policy]のアクセス情（file read）などがある．実行可能なファイルを実行した報を確認する．/etc/init.d/DbSecuritySpt，/home/tomaru/conf.n，場合，プロセスが起動し，その動作を捕捉することができる．

/tmp/gates.lod を作成おり，/bin/sh を実行して，その後，作成

5.6. TOMOYO Linux を用いたプロセス活動のリンしたファイルなどを読み込んだり，書き込んだりしている．

ク付の提案

最 後 に ， IP ア ド レ ス 61.160.212.172 に ポ ー ト 番 号 25000

TOMOYO Linux はセキュア OS であり，セキュリティポリシ（ TCP ） で ア ク セ ス し て い る ． こ の IP ア ド レ ス をーを定義し，それに従い，アクセス制御することが可能であVirustotal[6]で 調べ ると ，中国 のサ イト であ り， 検出 率がる．上記の実験結果から添付ファイルでマルウェアを受信し3/65 で有害なサイトである可能性がある．以上の実行結果かてから実行し，マルウェアの動作を制限することをセキュリ

ら，プロセスのリンク付を構築すると，図４及び表２のとおティポリシーにして提案することができる．

/usr/bin/thunderbird

さらに TOMOYO Linux は，強制アクセス制御方式としてフりとなる．

ァイル名の絶対パスを使っており，メールのプロセスにより，保存されたファイルを実行し，実行されたファイルの動作が重要なファイルや外部に内部情報を発信する場合に動作を止めることができる．

図４：プロセス活動のリンク付による一連の動作
表２：実験結果の整理

図５：ポリシー策定イメージ
上記の実験の例で説明すると，メーラにより保存されたjava のようなファイルを絶対パスで定義し，保存できる場所を指定し，ファイルをグレーなファイル（マルウェアであ5.5. 考察るか不明な怪しいファイル）として扱う（以下ファイルＡとTOMOYO Linux では，アプリケーションによるプロセスの実いう）．そして，そのファイルが実行された場合，そのプロセスの実行履歴をドメインとして管理し，そのプロセスがアことができるが，状態遷移情報を悪性スコアと紐づけ，判定

クセスする情報を制限し，重要なファイルにアクセスし，外ルールは保持していないため，人が検体の挙動を直接確認し，部と通信する場合に通信をできないように定義することを提マルウェアかどうかを判断する必要がある．しかし，マルウ

案する．具体的には，ファイルＡがシェルを起動し，内部情ェアと判断された場合その動作を禁止することを目的として報を取得するコマンド，ファイルサーバへのアクセス，機密ポリシーに書き込むことで，アクセス制御することができる．

情報やシステム内部情報へのアクセス，有害サイトへのアクセスなどをセキュリティポリシーとして制御することができ

７．まとめと課題

る．また，発信元がファイルＡとして特定できるため，マル第５章において TOMOYO Linux を用いてマルウェアの動的ウェアとして判断することができ，感染源の特定も可能であ解析を行い，マルウェアのプロセス活動を収集し，リンク付る．マルウェアが使う可能性がある主なコマンドとアクセスけを絶対パスで行う手法について提案した．また，提案したするファイルやアクセス先を以下に示す．

手法で TOMOYO Linux においてセキュリティポリシーを策定

マルウェアが使う可能性がある主な内部情報を取得するコすれば，メールで受信したマルウェアの活動を紐付けること

マンドとしては，gnome-screenshot（スナップショットの取ができ，アクセス制御を行うことができる．さらに，マルウ得），ifconfig（IP アドレス取得），ps（プロセスリスト

ェアの活動をさかのぼることで感染原因を特定することがで取得），netstat（ネットワークの接続状況取得），sysinfo

きることを示した．

（システム情報取得），find（ファイル検索），wget（ファ今後の課題として以下の３つがあげられる．

イルのダウンロード）などがある．アクセスファイルとして１つ目は，実装である．本研究は TOMOYO Linux で動的解は，/etc/passwd，/etc/shadow，注意，秘，顧客，個人情報析をし，マルウェアの動作をリンク付ける考え方について提などの言葉が含まれるファイルなどがある．アクセス先とし案したが，それを実際にセキュリティポリシーとして記述し，ては，ファイルサーバなどの近接サーバ，近接端末，認証サ動作を検証することができていない．今後はセキュリティポーバ，DB サーバ，C&C サーバ（ブラックリスト URL）などがリシーを策定し，期待通り動作するかの検証が必要である．

ある．

２つ目は，本研究の対象は，ホスト内部での活動のみであった．総合的な実証として，実際のシステムを想定しファイ

６．評価

アウォール，IDS，各種サーバなど，情報システム全体としTOMOYO Linux は学習機能を有しているため，許可したいてのマルウェアの活動を制御する手法についても検討が必要

動作を実行することで，ホワイトリストの作成を自動化し，である．また，マルウェアが C&C サーバにアクセスし，他の利便性を向上している．その学習機能をマルウェア自動解析

マルウェアをダウンロードし，実行する場合についても検証に活用することで，マルウェアの動作を捕捉した．この学習が必要である．

機能でシステムを稼働させ，ファイルを実行すると，そのプ３つ目は，本研究では，メール添付型の標的型攻撃についロセスの実行履歴やファイルのアクセス情報，通信先などのて実験を行った．そのほかにも，想定される標的型攻撃とし詳細な情報を自動的に収集することができる．この機能を活て，Web リンクをメールで送付して攻撃するものやドライブ用することで，マルウェアの動作の流れを捕捉することがで

バイダウンロード，USB などの可搬記憶媒体を経由した攻撃き，マルウェアの収集する情報や感染原因の特定などに有用などがあり，その攻撃に対する有用性についても検証する必である．このことから Linux 系のマルウェアの自動解析を行要がある．ただし，TOMOYO Linux においては，プロセスのう場合は，TOMOYO Linux の活用が有用であると言える．

活動やファイルアクセス情報をすべて取得することができる

また，動的解析として最近普及しているサンドボックス

ため，ディレクトリ構造が破壊されない限り，プロセスの実の仕組みと TOMOYO Linux の学習モードによる動的解析を比行履歴やファイルのアクセス情報を取得することができるた

較した場合，TOMOYO Linux は，検体の挙動をトレースするめ，様々な攻撃パターンにも対応することができると考える．

文 献[1] 原田季栄，半田哲夫，橋本正樹，田中英彦，「アプリケーションの実行状況に基づく強制アクセス制御方式」，情報処理学会論文誌，Vol.53 No.9 1-18 (2012)[2] 岩井博樹，「標的型攻撃セキュリティガイド」，ソフト
バンククリエイティブ (2013)[3] 警察庁，「平成 27 年上半期のサイバー空間をめぐる脅
威の情勢について」，
http://www.npa.go.jp/kanbou/cybersecurity/H27_kami_jousei.pdf（2015.10.2 アクセス）[4] 足 立 大 地 ， 面 和 成 ， 「 ホ ス ト ベ ー ス Remote AccessTrojan(RAT) の 早 期 検 知 手 法 」 ， Computer SecuritySymposium (CSS) 2015[5] 幾世知範，青木一史，八木毅，針生剛男，「通信先と端末内の挙動との依存関係に基づくマルウェアダウンロ
ードサイト特定手法」，Computer Security Symposium(CSS) 2014[6] Virustotal，https://www.virustotal.com/ja/（2016.1.16 アクセス）