"コンピュータ内で不正な動作を行う不正プログラムの挙動を解析する解析システムであって、前記不正プログラムを実行させる実行環境を提供する実行環境提供手段と、前記実行環境と接続された仮想ネットワークを構築し、前記不正プログラムを前記仮想ネットワークにアクセスさせる仮想ネットワーク提供手段と、前記実行環境における前記不正プログラムの動作に関する情報および/または前記仮想ネットワークと前記不正プログラムとの通信に関する情報を当該不正プログラムの挙動情報として収集する情報収集手段と、を備え、前記仮想ネットワーク提供手段は、通信ペイロードの送信先ポート番号と予め登録した送信先ポート番号とのパターンマッチングを行って通信プロトコルを判定し、前記送信先ポート番号による通信プロトコルの判定において、前記通信ペイロードの送信先ポート番号が前記予め登録した送信先ポート番号に含まれていた場合に、当該含まれていた送信先ポート番号に対応する通信プロトコルに応じた擬似サーバ応答を生成して前記不正プログラムに送信し、前記通信ペイロードの送信先ポート番号が前記予め登録した送信先ポート番号に含まれていない場合に、当該通信ペイロードのシグネチャと予め登録したシグネチャとのパターンマッチングを行って通信プロトコルを判定し、前記シグネチャによって判定した通信プロトコルに応じた擬似サーバ応答を生成して前記不正プログラムに送信することを特徴とする解析システム。外部の実ネットワークに接続する実ネットワーク接続手段と、前記不正プログラムが関与する通信の一部を前記実ネットワークに接続する接続制御手段と、をさらに備えたことを特徴とする請求項1に記載の解析システム。前記接続制御手段は、前記不正プログラムが関与する通信の通信プロトコルを通信ペイロードと予め登録したパターンとのパターンマッチングによって同定し、当該同定結果に基づいて前記実ネットワークに前記通信を接続するか否かを判定し、前記実ネットワークに接続する通信については当該通信を代理実行し、代理実行によって得られた応答を前記不正プログラムに渡すことを特徴とする請求項2に記載の解析システム。前記接続制御手段は、HTTPHypertextTransferProtocolによる通信を実ネットワークに代理実行する際に、GETリクエストURLのパラメータ部を削除して実ネットワークに接続することを特徴とする請求項3に記載の解析システム。前記情報収集手段は、前記不正プログラムが関与する通信の通信プロトコル、通信ペイロード、通信先に関する情報を前記挙動情報として収集することを特徴とする請求項1~4のいずれか一つに記載の解析システム。コンピュータ内で不正な動作を行う不正プログラムの挙動を解析する解析方法であって、前記不正プログラムを実行させる実行環境を提供する実行環境提供工程と、前記実行環境と接続された仮想ネットワークを構築し、前記不正プログラムを前記仮想ネットワークにアクセスさせる仮想ネットワーク提供工程と、前記実行環境における前記不正プログラムの動作に関する情報および/または前記仮想ネットワークと前記不正プログラムとの通信に関する情報を当該不正プログラムの挙動情報として収集する情報収集工程と、を含み、前記仮想ネットワーク提供工程は、通信ペイロードの送信先ポート番号と予め登録した送信先ポート番号とのパターンマッチングを行って通信プロトコルを判定し、前記送信先ポート番号による通信プロトコルの判定において、前記通信ペイロードの送信先ポート番号が前記予め登録した送信先ポート番号に含まれていた場合に、当該含まれていた送信先ポート番号に対応する通信プロトコルに応じた擬似サーバ応答を生成して前記不正プログラムに送信し、前記通信ペイロードの送信先ポート番号が前記予め登録した送信先ポート番号に含まれていない場合に、当該通信ペイロードのシグネチャと予め登録したシグネチャとのパターンマッチングを行って通信プロトコルを判定し、前記シグネチャによって判定した通信プロトコルに応じた擬似サーバ応答を生成して前記不正プログラムに送信することを特徴とする解析方法。外部の実ネットワークに接続する実ネットワーク接続工程と、前記不正プログラムが関与する通信の一部を前記実ネットワークに接続する接続制御工程と、をさらに備えたことを特徴とする請求項6に記載の解析方法。前記接続制御工程は、前記不正プログラムが関与する通信の通信プロトコルを通信ペイロードと予め登録したパターンとのパターンマッチングによって同定し、当該同定結果に基づいて前記実ネットワークに前記通信を接続するか否かを判定し、前記実ネットワークに接続する通信については当該通信を代理実行し、代理実行によって得られた応答を前記不正プログラムに渡すことを特徴とする請求項7に記載の解析方法。前記接続制御工程は、HTTPHypertextTransferProtocolによる通信を実ネットワークに代理実行する際に、GETリクエストURLのパラメータ部を削除して実ネットワークに接続することを特徴とする請求項8に記載の解析方法。前記情報収集工程は、前記不正プログラムが関与する通信の通信プロトコル、通信ペイロード、通信先に関する情報を前記挙動情報として収集することを特徴とする請求項6~9のいずれか一つに記載の解析方法。コンピュータを請求項1~5のいずれか一つに記載の解析システムとして機能させるための解析プログラム。しかしながら、上述した逆アセンブルやデバッガによる解析手法は、高度な知識と技術を必要とし、解析に数時間から数日程度の時間を必要とする。また、マルウェアに存在する逆アセンブルやデバッガによる解析の妨害手法のため、より解析が困難になり、必要とされる解析時間も増大している。そのため、新種亜種が一日に70種類程度出現する現状に、逆アセンブルやデバッガを用いた従来手法では完全に対応することができないという問題点があった。さらに、実インターネットへ接続しない環境でマルウェアを動作させ、その挙動を観測する手法の場合、外部インターネット網への接続確認ができないと正常に動作しないマルウェアの解析を行うことができないという問題点があった。本発明は、上述した従来技術における問題点を解決し、課題を解決するためになされたものであり、逆アセンブルやデバッガを用いた解析の困難さを回避し、解析に要する時間を削減し、さらにネットワークの接続確認を行うマルウェアについても挙動に関する情報を収集して正確な解析を実現する解析システム、解析方法、および解析プログラムを提供することを目的とする。上述した課題を解決し、目的を達成するため、本発明にかかる解析システム、解析方法および解析プログラムは、コンピュータ内で不正な動作を行う不正プログラムの挙動を解析するにあたり、前記不正プログラムを実行させる実行環境を提供し、前記実行環境と接続された仮想ネットワークを構築し、前記不正プログラムを前記仮想ネットワークにアクセスさせ、前記実行環境における前記不正プログラムの動作に関する情報および/または前記仮想ネットワークと前記不正プログラムとの通信に関する情報を当該不正プログラムの挙動情報として収集する。また、本発明にかかる解析システム、解析方法および解析プログラムは、通信ペイロードの送信先ポート番号と予め登録した送信先ポート番号とのパターンマッチングを行って通信プロトコルを判定し、前記送信先ポート番号による通信プロトコルの判定において、前記通信ペイロードの送信先ポート番号が前記予め登録した送信先ポート番号に含まれていた場合に、当該含まれていた送信先ポート番号に対応する通信プロトコルに応じた擬似サーバ応答を生成して前記不正プログラムに送信し、前記通信ペイロードの送信先ポート番号が前記予め登録した送信先ポート番号に含まれていない場合に、当該通信ペイロードのシグネチャと予め登録したシグネチャとのパターンマッチングを行って通信プロトコルを判定し、前記シグネチャによって判定した通信プロトコルに応じた擬似サーバ応答を生成して前記不正プログラムに送信することを特徴とする。また、本発明によれば、外部の実ネットワークに接続する実ネットワーク接続手段と、前記不正プログラムが関与する通信の一部を前記実ネットワークに接続することを特徴とする。また、本発明によれば、不正プログラムが関与する通信の通信プロトコルを通信ペイロードと予め登録したパターンとのパターンマッチングによって同定し、当該同定結果に基づいて前記実ネットワークに前記通信を接続するか否かを判定し、前記実ネットワークに接続する通信については当該通信を代理実行し、代理実行によって得られた応答を前記不正プログラムに渡すことを特徴とする。また、本発明によれば、HTTPHypertextTransferProtocolによる通信を実ネットワークに代理実行する際に、GETリクエストURLのパラメータ部を削除して実ネットワークに接続することを特徴とする。また、本発明によれば、前記不正プログラムが関与する通信の通信プロトコル、通信ペイロード、通信先に関する情報を前記挙動情報として収集することを特徴とする。本発明にかかる解析システム、解析方法および解析プログラムは、不正プログラムの解析において、解析対象となる不正プログラムを実際に実行する手法を取ることによって、逆アセンブルやデバッガを用いた解析の困難さを回避し、解析に要する時間を削減し、さらにネットワークの接続確認を行うマルウェアについても挙動に関する情報を収集して正確な解析を実現する解析システム、解析方法、および解析プログラムを得ることができるという効果を奏する。以下に添付図面を参照して、この発明に係る解析システム、解析方法および解析プログラムの好適な実施例について詳細に説明する。図1は、本発明の実施例1における解析システムの概要構成を示す概要構成図である。同図に示したように、本発明にかかる解析システムでは、実インターネットに接続しない仮想ネットワークを用いた動的解析システム1においてマルウェアを実行し、通信データ及び呼び出されるAPIやシステムコール、内部資源へのアクセスを監視する。マルウェアを実際に動作させることによる解析以下、動的解析と呼ぶによって得られたデータは、マルウェア解析結果データベース2へ保存される。保存されたデータは解析結果分析出力モジュール3を介し、必要なデータを図表により可視化して表示する。この解析システムは、複数のマルウェアを連続して解析する場合についても同様に適用できる。図2は、本実施例1における解析システムの具体的な構成例である。本実施例1では、実インターネットに接続しない仮想ネットワークにおいてマルウェアを実行し、その挙動及び通信内容を収集することにより、短時間での解析を実現する。図2に示したように、本実施例1にかかる解析システムは動的解析コントロールモジュール4、マルウェア実行環境10と仮想ネットワーク部20からなる動的解析システム1、マルウェア解析結果データベース2、解析結果分析出力モジュール3により構成される。なお、一つの動的解析システム1に、複数のマルウェア実行環境及び仮想ネットワーク部が存在するように構成してもよい。動的解析コントロールモジュール4は、動的解析システム1の初期化、解析終了シグナルの送信、マルウェア実行環境10への解析対象マルウェア投入、マルウェア実行環境10及び仮想ネットワーク部20からのログの受信及びマルウェア解析結果データベース2への登録を行う。マルウェア実行環境10は、動的解析コントロールモジュール4から投入されたマルウェアを実行するための環境である。仮想ネットワーク部20はマルウェア実行環境10からの通信を受け取り、保存すると同時に通信のプロトコルを判別し、プロトコルに応じたデータを生成し、応答としてマルウェア実行環境10に送信する。仮想ネットワークはこのプロトコルに応じたサーバ応答の生成により実現される。マルウェア解析結果データベース2には、解析対象マルウェア、及びその解析の状況未解析解析済み解析中、動的解析で収集された通信データ、APIやシステムコール、内部資源へのアクセス結果が保存される。解析結果分析出力モジュール3では、マルウェア解析結果データベース2からマルウェアの通信先、通信プロトコル、API呼び出しシーケンスなどが整理され、自動的に図表に加工し、表示する。図3は、本発明の動的解析コントロールモジュール4の処理動作を表すフローチャートである。同図にしめしたように、解析が開始されると、まずマルウェア解析結果データベース2に問い合わせ、未解析のマルウェアが存在しているかを確かめるステップS101。その結果、未解析のマルウェアが存在しない場合ステップS101,Noには解析を終了する。一方、未解析のマルウェアが存在している場合ステップS101,Yesには、マルウェア実行環境10の初期化ステップS102と仮想ネットワーク部20ステップS103の初期化が行われる。マルウェア実行環境10の初期化では、マルウェア実行前のクリーンな状態にロールバックする作業が行われる。仮想ネットワーク部20の初期化では、仮想ネットワーク内のペイロードデータベース25の初期化を実施する。次に、初期化された動的解析システム1のマルウェア実行環境10に解析対象となるマルウェアが送信されるステップS104。マルウェア実行モジュール11では、その実行が成功したか否かの結果を受け取りステップS105、マルウェア解析結果データベース2に登録するステップS106。マルウェアの実行に成功した場合ステップS107,Yesには、設定した解析時間が経過するまで動的解析コントロールモジュール4は待機する。設定時間が経過したステップS108,Yesところで動的解析システム1へ解析完了のシグナルを送信しステップS109、仮想ネットワーク部20のペイロードデータベース25よりデータを取得しステップS110、取得したデータをマルウェア解析結果データベース2に登録するステップS111。これら一連の処理を、未解析マルウェアがなくなるまで繰り返す。図4は、マルウェア実行モジュール11の処理動作を表すフローチャートである。マルウェア実行モジュール11では、動的解析コントロールモジュール4からマルウェアを受け取りステップS201,Yes、実行されるステップS202。実行に成功したか否かのステータスは動的解析コントロールモジュールへ送信されるステップS203。マルウェアの実行に成功した場合ステップS204,Yesには、API、システムコール、内部資源へのアクセスを監視した状態ステップS205で解析終了のシグナルを受信するステップS206,Yesまでマルウェアはその実行を継続する。図5は、マルウェアの挙動監視API、システムコール、内部資源アクセス監視に関する処理動作のフローチャートである。この処理動作では、マルウェアがどのようなAPIを呼び出したかステップS301、どのようなシステムコールを呼び出したかステップS302、またOSによっては例えばWindows登録商標の場合などレジストリのアクセス読み込み書き込み削除を監視するステップS303。さらにファイルへのアクセス読み込み書き込み削除についても監視を行うステップS304。そして、監視結果についてはログをとり、動的解析コントロールモジュールを介してマルウェア解析結果データベースに登録されるステップS305。図6は、仮想ネットワーク部20における処理動作を表すフローチャートである。仮想ネットワーク部20は、マルウェア実行環境10からの通信を受け取り、プロトコルに応じた応答を返す。まず、仮想ネットワーク部20では、マルウェア実行環境10から通信データを受け取りステップS401、そのプロトコル判別が行われるステップS402。同時に、受け取ったペイロードをペイロードデータベース25に保存するステップS403。ここで保存するペイロードの例として、IPパケットの発信元IPアドレス、宛先IPアドレス、データ部が挙げられる。解析時に取得できる具体的なデータ例として、ボットプログラムが接続を試みるCCサーバCommandandControlServerのFQDNFullQualifiedDomainNameやニックネーム、CCサーバ接続リクエストが挙げられる。例えば、ここで取得できたCCサーバのFQDNを利用し、ネットワーク上のボット感染端末の調査を行うことができる。さらに、判定されたプロトコルに応じて、サーバ応答が生成されステップS403、マルウェア実行環境10への応答が行われる。このプロトコルに応じたサーバ応答により、仮想ネットワークが実現されている。これらの処理は、解析終了シグナルを受信するまで繰り返され、解析終了シグナルを受信したらステップS405,Yesペイロードデータベース25のデータを動的解析コントロールモジュール4を介してマルウェア解析結果データベース2へ転送し、解析を終了する。なお、ペイロードデータは動的解析が行われている間、随時動的解析コントロールモジュール4を介してマルウェア解析結果データベース2へ保存されるよう構成してもよい。図7はプロトコル判別処理の詳細を表すフローチャートである。まず、仮想ネットワーク部20で受け取った通信の送信先アドレス、送信先ポート番号がプロトコル判別データベース23の送信先アドレス送信先ポート番号のリストに含まれているかを調べるステップS501。送信先アドレス送信先ポート番号のリスト例を図8に示す。リスト内でこれらの一致が確認された場合ステップS501,Yesには、リストに登録されているプロトコルの通信であったと判定されるステップS504。また、送信先アドレス送信先ポート番号の一致が確認できなかった場合ステップS501,Noには仮想ネットワーク部20で受信したペイロードをプロトコル判別データベース23のシグネチャリストと比較するステップS502。シグネチャリストの例を図9に示す。なお、図に例示されていないプロトコルについて、追加することもできる。シグネチャにマッチした場合ステップS503には登録されていたプロトコルによる通信であると判定しステップS506、マッチしなかった場合ステップS503にはプロトコル判定できなかったステップS505旨を返す。図10はサーバ応答生成処理の詳細を説明するフローチャートである。プロトコル判別モジュール21によりプロトコル判別に成功した場合ステップS601,Yesには、各プロトコルに応じた応答が定義されているかどうかを確かめるステップS602。その結果、サーバ応答が定義されている場合ステップS602,Yesには、定義されている通りの応答を返すステップS603。応答の定義の例を図11に示す。DNSDomainNameSystemの応答例として、問い合わせのあったFQDNに対し、仮想ネットワーク内の任意のアドレスを対応付け、そのアドレスをマルウェア実行環境に返すものが考えられる。定義によっては、応答は返さない処理も含めることができる。図12は、本発明の実施例2おける解析システムの概要構成を示す概要構成図である。同図に示したように、本実施例にかかる解析システムでは、特定のプロトコルによる通信のみが実インターネット網に接続可能な仮想ネットワークを用いた動的解析システム1aにおいてマルウェアを実行し、通信データ及び呼び出されるAPIやシステムコール、内部資源へのアクセスを監視する。動的解析によって得られたデータは、マルウェア解析結果データベース2へ保存される。保存されたデータは解析結果分析出力モジュール3を介し、必要なデータを図表により可視化する。複数のマルウェアを連続して実行する構成としてもよい。図13は本実施例2における解析システムの具体的な構成例である。本実施例2では、特定のプロトコルによる通信のみが実インターネットに接続可能な仮想ネットワークにおいてマルウェアを実行し、その挙動及び通信内容を収集することにより、短時間での解析を実現する。図13に示したように、本実施例2にかかる解析システムでは、動的解析コントロールモジュール4、マルウェア実行環境10と仮想ネットワーク部20aからなる動的解析システム1a、マルウェア解析結果データベース2、解析結果分析出力モジュール3により構成される。なお、一つの動的解析システム1に、複数のマルウェア実行環境及び仮想ネットワーク部が存在するように構成してもよい。動的解析コントロールモジュール4は、動的解析システム1aの初期化、解析終了シグナルの送信、マルウェア実行環境10への解析対象マルウェア投入、マルウェア実行環境10及び仮想ネットワーク部20aからのログの受信及びマルウェア解析結果データベース2への登録を行う。マルウェア実行環境10は、動的解析コントロールモジュール4から投入されたマルウェアを実行するための環境である。仮想ネットワーク部20aはマルウェア実行環境10からの通信を受け取り、保存すると同時にプロトコル判別が行なう。そして、プロトコル判別後、マルウェア実行モジュール11から受け取った通信の通信先アドレス、通信先ポート番号、プロトコル、ペイロードを参照し、外部接続コントロールモジュール26が実インターネットに接続して通信を行うのか、または仮想ネットワーク内部でプロトコルに応じたデータを生成し、応答としてマルウェア実行環境11に送信するかをコントロールする。マルウェア解析結果データベース2では、解析対象マルウェア、解析の状況未解析解析済み解析中、動的解析で収集された通信データ、APIやシステムコール、内部資源へのアクセス結果が保存される。ここで、動的解析で収集された通信データには、マルウェア実行モジュール11からの通信に加え、外部インターネット網との通信結果も保存される。解析結果分析出力モジュール3では、マルウェア解析結果データベース2からマルウェアの通信先、通信プロトコル、API呼び出しシーケンスなどが整理され、自動的に図表に加工し、表示する。図13の動的解析コントロールモジュールの具体的な処理動作は実施例1において図3を参照して説明した処理動作と同様であるので、ここでは説明を省略する。また、図13のマルウェア実行モジュール11、及びその内部で行われるAPI、システムコール、内部資源アクセスについても実施例1において図4,図5を参照して説明した処理動作と同様であるので、ここでは説明を省略する。図14は仮想ネットワーク部20aにおける処理動作を表すフローチャートである。仮想ネットワーク部20aは、マルウェア実行環境10からの通信を受け取り、通信内容に応じ、内部のサーバ応答生成モジュール24もしくは実インターネットから受け取った通信データを返す。まず、仮想ネットワーク部20aではマルウェア実行環境10から通信データを受け取りステップS701、そのプロトコル判別が行われるステップS702。同時に、受け取ったペイロードをペイロードデータベースに保存するステップS703。ここで保存するペイロードの例として、IPパケット発信元IPアドレス、宛先IPアドレス、データ部が挙げられる。また、解析時に取得できる具体的なデータ例として、ボットプログラムが接続を試みるCCサーバのFQDNやニックネーム、CCサーバ接続リクエストが挙げられる。その後、外部接続コントロールモジュール26により、実インターネット上に存在するサーバへ接続するか、それとも仮想ネットワーク内のサーバ応答生成モジュール24により応答するかが決定されるステップS704。プロトコル判別モジュール21及びサーバ応答生成モジュール24の処理については、実施例1において図7及び図8を参照して説明したのでここでは省略する。これらの処理は、解析終了シグナルを受信するまで繰り返され、シグナルを受信したらステップS705,Yesペイロードデータベース25のデータを動的解析コントロールモジュール4を介してマルウェア解析結果データベース2へ転送しステップS707、解析を終了する。なお、ペイロードデータは動的解析が行われている間、随時動的解析コントロールモジュール4を介してマルウェア解析結果データベース2へ保存されるよう構成してもよい。図15は外部接続コントロールモジュール26の処理を表すフローチャートである。外部接続コントロールモジュール26では、マルウェア実行環境10から受け取った通信データを接続管理用シグネチャデータベース27を基に、実インターネット上のサーバに接続するか、それとも仮想ネットワーク内のサーバ応答生成モジュール24により応答するかを決定する。実インターネット上のサーバに接続するか否かを決定するにあたっては、まず、事前に判別されたプロトコルが、接続管理リストに含まれているかを確認するステップS801。含まれていた場合ステップS802,Yesには、その通信の実際の接続先アドレスステップS803ペイロードステップS804ペイロード長ステップS805をリストのパターンと比較する。なお、接続先アドレスペイロードの比較では正規表現によるものを含む。接続管理リストは例えば図16に示したように作成しておけばよい。接続先アドレスペイロードペイロード長のうち、一つでもマッチしないものが存在した場合ステップS803~805のいずれかがNoには仮想ネットワーク内で生成される応答がマルウェア実行モジュールへ送信されるステップS813。また、上記の比較が行われた結果、その通信が実インターネットへの接続を許可しないものとして接続管理リストに登録されていた場合ステップS806,Noにも、仮想ネットワーク内部で応答を生成するステップS813。一方、実インターネットへ接続すると判定された場合ステップS807で、ペイロード加工が不要な場合ステップS808には外部接続コントロールモジュール26が実インターネット上のサーバに接続し、仮想ネットワークで受け取った通信データを送信するステップS810。ペイロード加工を必要とする場合ステップS808,Yesには、仮想ネットワークで受け取ったペイロードを加工したステップS809上で、外部インターネット上のサーバにデータを送信するステップS811。ペイロードの加工は、一般ユーザに攻撃を行わせないための仕組みである。HTTPで外部に接続した場合、GETリクエストURIUniformResourceIdentifierにおけるパラメータ部httpwwwexamplecomindexphpnamehogepassfugaの場合の後方部分を削除してアクセスすることにより、HTTPサーバアプリケーションの脆弱性をついた攻撃や、掲示板等へのスパム活動を防ぐ。このように、実行環境10からのセッションは仮想ネットワーク内部で終端され、実インターネットに接続するのは外部接続コントロールモジュール26である。外部接続コントロールモジュール26が外部から受け取ったデータはペイロードデータベース25に保存され、動的解析コントロールモジュール4を介してマルウェア解析結果データベース2に保存されるステップS812。外部接続コントロールモジュールを介して得られたペイロードに含まれるデータ例として、攻撃者がボットに対して送り込んだ命令が挙げられ、その命令を受けたボットの挙動を分析することにより、攻撃者がボットネットを利用して行おうとしている攻撃行動を把握することが可能になる。以上説明してきたように、本発明では、仮想ネットワーク上でマルウェアを実行し、そのときの通信及び呼び出されるAPI、システムコール、内部資源へのアクセス状況を監視することで、マルウェアに見られる特徴的な挙動を短時間で収集することが可能である。実施例1に示した構成では、実インターネットへ接続しない仮想ネットワーク上でマルウェアを実行するため、実インターネットに存在するコンピュータに対して攻撃を実施してしまうリスクを回避する。また、逆アセンブルやデバッグといった手法をとらない手法であるため、解析の困難さを解決している。実施例2に示した構成では、特定のプロトコルのみ実インターネットに接続可能な仮想ネットワーク上でマルウェアを実行することで、攻撃者がマルウェアに対して指令を出し、コントロールする場合の挙動解析を実現する。外部へ接続するプロトコルを一部に制限する例えば、外部の攻撃者からの命令を仮想ネットワークに取り込むようにものに、外部との接続を制限することにより、外部インターネット網へ攻撃を実施するリスクを低減することが可能である。そして、実インターネットに接続しない実施例1、または一部接続する実施例2仮想ネットワークを用いた解析で得られたデータをマルウェアの脅威対策に適用するために、本発明で取得した解析結果から必要なデータ、例えば通信先アドレスや通信内容、APIコールシーケンスを自動的に抽出し、図表に加工した上で表示する。これによりネットワークオペレータはマルウェアの解析結果を瞬時に把握することが可能になり、通信制御による攻撃活動抑止、感染者の特定を実施することが可能になる。すなわち、本発明によって得られる効果は、短時間でマルウェアの挙動解析結果を収集できることである。従来はマルウェアのバイナリデータを逆アセンブルやデバッガにより解析していたが、この手法は高度な専門性を必要とすると同時に、解析に数時間から数日程度の時間を必要とする点が課題であった。特に近年、マルウェアに逆アセンブルやデバッガによる解析をより困難にする仕組みを備えたものが出現しており、解析の困難さ、解析に必要な時間が増大していた。これに対して本発明では、これらの解析における困難さを軽減し、容易にかつ安全にマルウェアの挙動を知ることが可能になった。さらに、インターネット上に存在する攻撃者からマルウェアに対する命令のやり取りに関する通信のみをマルウェアに受け渡すことによって、どのような命令を攻撃者が出し、またその命令を受けてマルウェアがどのような挙動を示すかをリアルタイムで把握することが可能になった。これにより、ネットワークオペレータがマルウェアに感染したユーザの通信をいち早く検知することが可能になる。なお、実施例1および2に示したシステム構成は、複数のコンピュータを接続して形成してもよいし、単一のコンピュータ上で動作するプログラムとして構成してもよい。また、システムの構成要素の一部、もしくは全てを専用のハードウェアによって実現することもできる。"