JP4823813B2 - 異常検知装置、異常検知プログラム、および記録媒体 - Google Patents

Description

本発明は、コンピュータウィルス等によって発生するコンピュータの異常を検知する異常検知装置に関する。また、本発明は、本異常検知装置としてコンピュータを機能させるための異常検知プログラム、および本異常検知プログラムを記録したコンピュータ読み取り可能な記録媒体にも関する。

コンピュータウィルスによる攻撃等を検知する仕組みとして、侵入検知システム（Intrusion Detection System：IDS）やウィルス検知システム（Virus Detection System：VDS）がある。これらのシステムでは、システムへの侵入時やウィルス感染時に発生する攻撃パケットと所定のパターンファイルを比較することにより、既知の攻撃が検知される（例えば非特許文献１〜非特許文献３参照）。

特許文献１には、ユーザの属性毎に定められた操作ルールから、ユーザの属性に対応するルールを参照し、さらにユーザの属性に関わらず一般的に不正と判定すべきルールを参照し、ユーザの端末操作の不正判定を行うことが記載されている。特許文献２には、PC（Personal Computer）から発信されるパケットが未使用のIPアドレスへ向かう場合に、ウィルス感染による攻撃を認識することが記載されている。特許文献３には、内部ネットワーク上の全パケットをキャプチャし、そのパケットを命令列として、攻撃決定命令の有無を解析することが記載されている。
特開２００５−３２２２６１号公報 特開２００５−３３３２００号公報 特開２００５−１８２１８７号公報 Stephen Northcutt，Mark Cooper，Matt Fearnow，Karen Fredrick，"Intrusion Signature and Analysis"，New Riders Publishing，January 2001 武田 圭史，磯崎 宏，"ネットワーク侵入検知"，SOFT BANK Publishing，２０００年６月９日 アトミックドロップ，"コンピュータウイルスがわかる"，技術評論社，２０００年１０月２５日

特許文献１に記載された技術では、ユーザに許された操作権限を逸脱する場合に不正と判定されるので、ウィルス感染を検知することができない。特許文献２に記載された技術では、パケットの宛先IPアドレスのみに注目しており、使用中のIPアドレスのみへアクセスするウィルスについては、それが既知か未知かに関わらず、検知することができない。特許文献３に記載された技術では、既知の攻撃決定命令を用いた判定が行われるので、未知の攻撃決定命令を含むウィルスを検知することができない。

本発明は、上述した問題点に鑑みてなされたものであって、コンピュータウィルス等によるコンピュータの異常を検知することができ、特に未知のコンピュータウィルスによるコンピュータの異常をも検知することができる異常検知装置、異常検知プログラム、および記録媒体を提供することを目的とする。

本発明は、上記の課題を解決するためになされたもので、コンピュータウィルスに感染していない正常なコンピュータから送信されたパケットの情報を示す第１の正常パケット情報を記憶する正常パケット情報記憶手段と、監視対象のコンピュータから送信されたパケットの情報を示す第１の監視対象パケット情報を記憶する監視対象パケット情報記憶手段と、前記第１の正常パケット情報と前記第１の監視対象パケット情報を比較し、前記第１の監視対象パケット情報に含まれるパケットの情報が、前記第１の正常パケット情報に含まれるパケットの情報と一致しなかった場合に、異常が発生したと判定する異常判定手段とを備えたことを特徴とする異常検知装置である。

また、本発明の異常検知装置は、コンピュータウィルスに感染しているコンピュータを含む１以上のコンピュータから送信されたパケットの情報から前記第１の正常パケット情報を除いた第１の不正パケット情報を記憶する不正パケット情報記憶手段と、前記第１の不正パケット情報と前記第１の監視対象パケット情報を比較し、前記第１の監視対象パケット情報に含まれるパケットの情報が、前記第１の不正パケット情報に含まれるパケットの情報と一致した場合に、不正が発生したと判定する不正判定手段とをさらに備えたことを特徴とする。

また、本発明の異常検知装置は、前記監視対象のコンピュータの操作履歴を示す操作履歴情報を記憶する操作履歴情報記憶手段と、前記操作履歴情報に基づいて、前記監視対象のコンピュータが操作されていない時間に前記監視対象のコンピュータから送信されたパケットの情報を前記第１の監視対象パケット情報から抽出することによって、第２の監視対象パケット情報を生成する監視対象パケット情報生成手段と、を備え、前記異常判定手段は、前記正常なコンピュータが操作されていない時間に前記正常なコンピュータから送信されたパケットの情報を前記第１の正常パケット情報から抽出することによって生成された第２の正常パケット情報と前記第２の監視対象パケット情報を比較し、前記第２の監視対象パケット情報に含まれるパケットの情報が、前記第２の正常パケット情報に含まれるパケットの情報と一致しなかった場合に、異常が発生したと判定することを特徴とする。

また、本発明の異常検知装置において、前記不正パケット情報記憶手段は、コンピュータウィルスに感染しているコンピュータを含む１以上のコンピュータから該コンピュータが操作されていない時間に送信されたパケットの情報から前記第２の正常パケット情報を除いた第２の不正パケット情報を記憶し、前記不正判定手段は、前記第２の不正パケット情報と前記第２の監視対象パケット情報を比較し、前記第２の監視対象パケット情報に含まれるパケットの情報が、前記第２の不正パケット情報に含まれるパケットの情報と一致した場合に、不正が発生したと判定することを特徴とする。

また、本発明は、コンピュータウィルスに感染していない正常なコンピュータで起動されたタスクの情報を示す正常タスク情報を記憶する正常タスク情報記憶手段と、監視対象のコンピュータで起動されたタスクの情報を示す監視対象タスク情報を記憶する監視対象タスク情報記憶手段と、前記正常タスク情報と前記監視対象タスク情報を比較し、前記監視対象タスク情報に含まれるタスクの情報が、前記正常タスク情報に含まれるタスクの情報と一致しなかった場合に、異常が発生したと判定する異常判定手段とを備えたことを特徴とする異常検知装置である。

また、本発明の異常検知装置は、コンピュータウィルスに感染しているコンピュータを含む１以上のコンピュータで起動されたタスクの情報から前記正常タスク情報を除いた不正タスク情報を記憶する不正タスク情報記憶手段と、前記不正タスク情報と前記監視対象タスク情報を比較し、前記監視対象タスク情報に含まれるタスクの情報が、前記不正タスク情報に含まれるタスクの情報と一致した場合に、不正が発生したと判定する不正判定手段とをさらに備えたことを特徴とする。

また、本発明は、上記の異常検知装置としてコンピュータを機能させるための異常検知プログラムである。

また、本発明は、上記の異常検知プログラムを記録したコンピュータ読み取り可能な記録媒体である。

本発明によれば、監視対象のコンピュータで得られたパケットまたはタスクの情報が、コンピュータウィルスに感染していない正常なコンピュータで得られた情報と一致しなかった場合に、異常が発生したと判定する。コンピュータウィルスに感染したコンピュータは、正常なコンピュータと異なる挙動を行うので、正常なコンピュータと異なる挙動を検知した場合に異常が発生したと判定することによって、コンピュータウィルス等によるコンピュータの異常を検知することができる。特に、未知のコンピュータウィルスによるコンピュータの異常をも検知することができる。

以下、図面を参照し、本発明の実施形態を説明する。まず、本発明の実施形態の概略を説明する。図１に示されるように、ウィルスに感染していないことが保証されている正常な１以上のホスト１０の情報が収集され、正常ホストプロファイル（本発明の正常パケット情報および正常タスク情報に対応）１００Ａが生成される。収集される正常なホストの情報は、正常なホスト（またはホスト群）から送信されたパケットの情報と、正常なホスト（またはホスト群）で起動されたタスク（プロセス）の情報である。

また、既知のウィルスに感染していることが確認されている不正なホスト１１の情報が収集され、その情報から、正常ホストプロファイル１００Ａに含まれる情報を除いた情報で構成される不正ホストプロファイル（本発明の不正パケット情報および不正タスク情報に対応）１００Ｂが生成される。収集される不正なホストの情報は、不正なホスト（またはホスト群）で起動されたタスクの情報と、不正なホスト（またはホスト群）から送信されたパケットの情報である。また、１以上の不正なホストを含むネットワーク１２において、ネットワークを構成する各ホストの情報を収集し、その情報（ネットワークプロファイル１００Ｃ）から、正常ホストプロファイル１００Ａに含まれる情報を除いた情報で構成される不正ネットワークプロファイル１００Ｄを不正ホストプロファイル１００Ｂの代わりに用いてもよい。

また、監視対象のホストにおいて、そのホストの情報（本発明の監視対象パケット情報および監視対象タスク情報に対応）が収集され、予め生成された正常ホストプロファイル１００Ａおよび不正ホストプロファイル１００Ｂと比較される。そして、収集された情報の中に、正常ホストプロファイル１００Ａに含まれる情報と一致しない情報があった場合に、監視対象のホストに異常が発生したと判定される。また、正常ホストプロファイル１００Ａに含まれる情報と一致しなかった情報の中に、不正ホストプロファイル１００Ｂに含まれる情報と一致する情報があった場合には、監視対象のホストに不正が発生したと判定される。本明細書では、ウィルスに感染していない正常な状態から外れた状態を異常とし、ウィルスに感染した状態と一致する状態を不正と定義している。

（第１の実施形態）
次に、本発明の第１の実施形態を説明する。本実施形態では、ホストから送信されるパケットの情報に基づいた異常・不正の検知が行われる。ホストからパケットが送信される場合には、ウィルスへの感染によってパケットが送信される場合と、ユーザの操作によってパケットが送信される場合とが含まれる。そこで、ユーザの操作によって送信されるパケットを異常・不正の検知処理の対象から除外することによって、ウィルス等による異常・不正の検知精度を高めるため、ユーザがホストを操作していない時間（以下、無操作時間と表記）にホストから送信されるパケットの情報に基づいて、異常・不正の検知が行われるようになっている。

図２は、正常ホストプロファイルおよび不正ホストプロファイルを生成するホスト１ａ（PC等）の構成を示している。パケット取得処理部１０１は、ホスト１ａから送信されるパケットの情報を取得し、パケット履歴情報１００ｃとして記憶部１０３に格納する。パケット履歴情報１００ｃには、パケットが送信された日時、送信先IPアドレス、送信先ポート番号、送信元IPアドレス、送信元ポート番号、プロトコル種別等の情報が含まれている。パケットは、例えばパケットキャプチャライブラリであるWinPcapを用いてpcap形式で取得することができ、取得したパケットから必要な情報が、パケット履歴情報１００ｃを構成する情報として、パケット取得処理部１０１によって抽出される。

キー操作取得処理部１０２は、ホスト１ａにおけるキー操作（ユーザによるキーボードやマウスの操作）の情報を取得し、キー操作履歴情報１００ｄとして記憶部１０３に格納する。キー操作履歴情報１００ｄには、キー操作が行われた日時やキー操作の種類等の情報が含まれている。キー操作の情報は、DLL（Dynamic Link Library）の１つであるSetWindows（登録商標）HookEx()ライブラリを用いて、キーログとして取得することができる。

記憶部１０３は、上記のパケット履歴情報１００ｃやキー操作履歴情報１００ｄの他、正常ホストプロファイル１００ａや不正ホストプロファイル１００ｂ等を記憶する。記憶部１０３は、例えばハードディスクドライブ、SRAM（Static Random Access Memory）、フラッシュメモリ等で構成され、揮発性および不揮発性のいずれのものも包含しうる。無操作時間検出部１０４は記憶部１０３からキー操作履歴情報１００ｄを読み出し、キー操作履歴情報１００ｄに基づいて、ユーザによってホスト１ａが操作されていない無操作時間を検出する。

例えば、キー操作履歴情報１００ｄを構成するキーイベントがその発生時刻順に並んでいる場合に、キーイベントの発生時刻同士が比較され、あるキーイベントの発生時刻から所定時間以内に次のキーイベントが発生している間は、無操作時間ではないと判定される。また、あるキーイベントの発生時刻から所定時間以内に次のキーイベントが発生しなかった場合には、あるキーイベントの発生時刻から所定時間が経過した後から、次のキーイベントが発生した時刻までが無操作時間として検出される。

パケット検索部１０５は、無操作時間検出部１０４から無操作時間の通知を受け、パケット履歴情報１００ｃに含まれる情報の中から、無操作時間に送信されたパケットの情報を検索する。例えば、無操作時間として時刻Ａから時刻Ｂまでの時間が通知されると、パケット検索部１０５は記憶部１０３からパケット履歴情報１００ｃを読み出し、パケット履歴情報１００ｃを構成する各情報に含まれる時刻情報を時刻Ａおよび時刻Ｂと比較し、時刻Ａと時刻Ｂの間の時刻を時刻情報として含むパケットの情報をパケット履歴情報１００ｃから抽出する。

正常ホストプロファイル生成部１０６は、無操作時間に送信されたパケットの情報をパケット検索部１０５から受け取り、その情報に基づいて正常ホストプロファイル１００ａを生成し、記憶部１０３に格納する。正常ホストプロファイル生成部１０６が動作する場合、ホスト１ａが、ウィルスに感染していない正常なホストであることが必要である。

不正ホストプロファイル生成部１０７は、記憶部１０３から正常ホストプロファイル１００ａを読み出す一方で、無操作時間に送信されたパケットの情報をパケット検索部１０５から受け取り、その情報から、正常ホストプロファイル１００ａに含まれる情報を除いて不正ホストプロファイル１００ｂを生成し、記憶部１０３に格納する。

パケット検索部１０５からのパケットの情報のうち、不正ホストプロファイル１００ｂを構成する情報から除外されるのは、正常ホストプロファイル１００ａに含まれる情報と一致する情報であり、一致するとは、時刻情報を除く送信先IPアドレス等の各項目の情報が全て一致することを指す。また、不正ホストプロファイル生成部１０７が動作する場合、ホスト１ａが、ウィルスに感染している不正なホストであることが必要である。

上記では、正常ホストプロファイルを生成するための構成と、不正ホストプロファイルを生成するための構成とが同一のホストに設けられているが、それぞれが別個のホストに設けられていてもよい。

次に、正常ホストプロファイルおよび不正ホストプロファイルを構成する情報の詳細を説明する。図４に示されるように、パケットは、攻撃に共通な部分であるペイロード４０１と、通信毎に変化する部分であるヘッダ４０２とから構成される。図５は、パケットに含まれる情報を示しており、ペイロード５０１は、一例としてコードレッドと呼ばれるウィルスにより発生するパケットのペイロードを示している。ヘッダ５０２には、パケットの送信元のIPアドレス、送信先（宛先）のIPアドレス、プロトコル種別、パケットサイズ等の情報が含まれる。

ヘッダ４０２に含まれる情報は、そのままヘッダ情報４０３としてプロファイル４００（正常ホストプロファイル、不正ホストプロファイルのいずれでもよい）に格納される。ペイロード４０１はハッシュ処理され、その処理で得られたハッシュ値４０４がプロファイル４００に格納される。図６はヘッダ情報の一例を示している。時刻情報６０１として、ミリ秒単位で表された情報がヘッダ情報に含まれる。また、送信元IPアドレス６０２、送信元ポート番号６０３、送信先IPアドレス６０４、送信先ポート番号６０５、プロトコル種別６０６、パケットサイズ６０７のそれぞれがヘッダ情報に含まれる。

正常ホストプロファイル生成部１０６および不正ホストプロファイル生成部１０７は、上記のヘッダ情報４０３およびハッシュ値４０４を生成する他、ヘッダ情報４０３に基づいて統計情報４０５およびセッション情報４０６を生成し、プロファイル４００に格納する。統計情報４０５は、所定の時間内に送信された全パケットの情報をまとめたものである。また、セッション情報４０６は、通信セッション毎にパケットの情報をまとめたものである。

図７は統計情報の一例を示している。統計情報には、統計情報の対象となる時間に関する情報７０１、トラヒック量や通信プロトコル毎のパケット数に関する情報７０２、パケットサイズ毎のパケット数に関する情報７０３、送信先ポートのパケット数に関する情報７０４、送信元および送信先のIPアドレスのパケット数に関する情報７０５、および情報エントロピーに関する情報７０６が含まれる。

情報エントロピー（H）は情報のばらつきの度合いを示しており、以下の式により算出される。

上式において、Ｐ_ｉは、全情報の度数に占める情報ｉの度数の割合（発生確率）を表しており、ｋは情報単位の数を表している。例えば、送信元IPアドレスの情報エントロピー（Source IP情報エントロピー）を算出する場合、所定時間内に送信されたパケットの送信元IPアドレスの数が上式のｋであり、全パケット数に占める各送信元IPアドレスのパケットの総数が上式のＰ_ｉである。情報が多種の情報に分散して、情報のばらつきが大きくなると、情報エントロピーの値は大きくなり、情報が特定種の情報に偏って、情報のばらつきが小さくなると、情報エントロピーの値は小さくなる。

図８はセッション情報の一例を示しており、パケットに関するpcap形式のデータからTCP通信に関するセッションデータを組み立てた場合に、そのセッションデータに含まれる情報を示している。セッション情報には、通信セッションの開始時刻８０１、通信セッションの終了時刻８０２、通信セッションの継続時間８０３、送信元IPアドレス８０４、送信元ポート番号８０５、送信先IPアドレス８０６、送信先ポート番号８０７、送信パケットサイズ／送信パケット数８０８、受信パケットサイズ／受信パケット数８０９、エラーフラグ８１０が含まれる。

次に、上述した正常ホストプロファイルおよび不正ホストプロファイルを用いた異常・不正検知処理の詳細を説明する。図３は、異常・不正検知の対象（監視対象）となるホスト１ｂ（PC等）の構成を示している。パケット取得処理部１１１は、ホスト１ｂから送信されるパケットの情報を取得し、パケット履歴情報１１０ｃとして記憶部１１３に格納する。パケット履歴情報１１０ｃには、パケットが送信された日時、送信先IPアドレス、送信先ポート番号、送信元IPアドレス、送信元ポート番号、プロトコル種別等の情報が含まれている。

キー操作取得処理部１１２は、ホスト１ｂにおけるキー操作（ユーザによるキーボードやマウスの操作）の情報を取得し、キー操作履歴情報１１０ｄとして記憶部１１３に格納する。キー操作履歴情報１１０ｄには、キー操作が行われた日時やキー操作の種類等の情報が含まれている。記憶部１１３は、上記のパケット履歴情報１１０ｃやキー操作履歴情報１１０ｄの他、正常ホストプロファイル１１０ａや不正ホストプロファイル１１０ｂ等を記憶する。記憶部１１３は、例えばハードディスクドライブ、SRAM、フラッシュメモリ等で構成され、揮発性および不揮発性のいずれのものも包含しうる。正常ホストプロファイル１１０ａおよび不正ホストプロファイル１１０ｂは、通信等で他のホストから予め取得され、記憶部１１３に格納されているものとする。

無操作時間検出部１１４は記憶部１１３からキー操作履歴情報１１０ｄを読み出し、キー操作履歴情報１１０ｄに基づいて、ユーザによってホスト１ｂが操作されていない無操作時間を検出する。無操作時間の具体的な検出方法は、前述した方法と同様である。パケット検索部１１５は、無操作時間検出部１１４から無操作時間の通知を受け、パケット履歴情報１１０ｃに含まれる情報の中から、無操作時間に送信されたパケットの情報を検索する。具体的な検索方法は、前述した方法と同様である。

異常検知処理部１１６は記憶部１１３から正常ホストプロファイル１１０ａを読み出し、ホスト１ｂから無操作時間に送信されたパケットの情報と、正常ホストプロファイル１１０ａに含まれる情報とを比較し、両者が一致しなかった場合（言い換えると、ホスト１ｂで収集されたパケットの情報の中に、正常ホストプロファイル１１０ａに含まれる情報と一致しない情報があった場合）に、異常が発生したと判定する。異常が発生したと判定した場合には、異常検知処理部１１６はそのことを不正検知処理部１１７およびアラート発信部１１８に通知する。

不正検知処理部１１７は、異常検知処理部１１６から異常発生の通知を受けた場合に動作する。この不正検知処理部１１７は記憶部１１３から不正ホストプロファイル１１０ｂを読み出し、ホスト１ｂから無操作時間に送信されたパケットの情報（不正検知の目的上は、異常検知処理部１１６で異常が発生したと判定されたときの判定に用いられたパケットの情報のみでよい）と、不正ホストプロファイル１１０ｂに含まれる情報とを比較し、両者が一致した場合（言い換えると、正常ホストプロファイル１１０ａに含まれる情報と一致しなかったパケットの情報の中に、不正ホストプロファイル１１０ｂに含まれる情報と一致する情報があった場合）に、不正が発生したと判定する。不正が発生したと判定した場合には、不正検知処理部１１７はそのことをアラート発信部１１８に通知する。

アラート発信部１１８は、異常および不正の少なくとも一方が発生した場合に、ユーザに対するアラートを発信する。アラートは、警告音を発生したり、画面に警告を表示したりする等の方法により、発信される。パケット情報生成部１１９は、前述した統計情報やセッション情報が異常・不正検知処理に用いられる場合に、無操作時間に送信されたパケットの情報をパケット検索部１１５から受け取り、その情報から統計情報やセッション情報を生成し、異常検知処理部１１６に通知する。また、前述したハッシュ値が異常・不正検知処理に用いられる場合にも、パケット情報生成部１１９は、パケット検索部１１５から受け取ったパケットの情報からハッシュ値を生成し、異常検知処理部１１６に通知する。

上記のホスト１ｂが、前述したホスト１ａの機能の少なくとも一部を備えていてもよい。例えば、ホスト１ｂが、無操作時間に限定されない時間に送信されたパケットについてのパケット履歴情報とキー操作履歴情報を他のホストから受け取り、そのキー操作履歴情報に基づいて、そのパケット履歴情報から、無操作時間に送信されたパケットの情報を抽出し、正常ホストプロファイル１１０ａや不正ホストプロファイル１１０ｂを生成する機能を備えていてもよい。

次に、異常・不正検知処理の詳細を説明する。図９は異常・不正検知処理の手順を示している。無操作時間検出部１１４は記憶部１１３からキー操作履歴情報１１０ｄを読み出し、キー操作履歴情報１１０ｄに基づいて無操作時間を検出する。無操作時間検出部１１４は、検出した無操作時間をパケット検索部１１５に通知する（ステップＳ１００）。

パケット検索部１１５は記憶部１１３からパケット履歴情報１１０ｃを読み出し、パケット履歴情報１１０ｃに含まれる情報の中から、ホスト１ｂで無操作時間に送信されたパケットの情報を検索する。パケット検索部１１５は、ホスト１ｂから無操作時間に送信されたパケットの情報を異常検知処理部１１６に通知する（ステップＳ１１０）。パケットの情報として、統計情報やセッション情報、ハッシュ値が異常・不正検知処理に用いられる場合には、パケット情報生成部１１９で生成された情報が異常検知処理部１１６に通知される。

異常検知処理部１１６は記憶部１１３から正常ホストプロファイル１１０ａを読み出し、ホスト１ｂから無操作時間に送信されたパケットの情報と、正常ホストプロファイル１１０ａに含まれる情報とを比較する。この比較は、比較対象の情報を順次入れ替えながら行われ、比較結果は順次記憶部１１３に格納される（ステップＳ１２０）。比較が終了したら、異常検知処理部１１６は記憶部１１３から全ての比較結果を読み出し、不一致を示す比較結果が存在するか否かを判定する（ステップＳ１３０）。

全ての比較結果が一致を示していた場合には、異常は検知されず、異常・不正検知処理が終了する。また、不一致を示す比較結果が存在した場合には、異常検知処理部１１６は、ホスト１ｂに異常が発生したと判定し、アラート発信部１１８に異常発生を通知する（ステップＳ１４０）。

続いて、異常検知処理部１１６は異常発生を不正検知処理部１１７に通知すると共に、ホスト１ｂで無操作時間に送信されたパケットの情報のうち、比較結果が不一致を示す比較処理に用いた情報を不正検知処理部１１７に通知する。不正検知処理部１１７は記憶部１１３から不正ホストプロファイル１１０ｂを読み出し、異常検知処理部１１６から通知されたパケットの情報と、不正ホストプロファイル１１０ｂに含まれる情報とを比較する。この比較も、比較対象の情報を順次入れ替えながら行われ、比較結果は順次記憶部１１３に格納される（ステップＳ１５０）。

比較が終了したら、不正検知処理部１１７は記憶部１１３から全ての比較結果を読み出し、一致を示す比較結果が存在するか否かを判定する（ステップＳ１６０）。全ての比較結果が不一致を示していた場合には、不正は検知されず、処理はステップＳ１８０に進む。また、一致を示す比較結果が存在した場合には、不正検知処理部１１７は、ホスト１ｂに不正が発生したと判定し、アラート発信部１１８に不正発生を通知する（ステップＳ１７０）。

続いて、アラート発信部１１８はアラートの発信を行う。すなわち、異常検知処理部１１６から異常発生が通知された場合には、アラート発信部１１８は、異常発生を通知するアラートを発信し、不正検知処理部１１７から不正発生が通知された場合には、アラート発信部１１８は、不正発生を通知するアラートを発信する（ステップＳ１８０）。

以下、異常・不正検知処理に用いられるパケットの情報の一例を挙げる。
（１）送信先ポート
ホスト１ｂから無操作期間に送信されたパケットの送信先ポートが、正常ホストプロファイル１１０ａにない送信先ポートであった場合に、異常が発生していると判定する。また、ホスト１ｂから無操作期間に送信されたパケットの送信先ポートが、不正ホストプロファイル１１０ｂにある送信先ポートであった場合に、不正が発生していると判定する。

（２）送信先IPアドレス
ホスト１ｂから無操作期間に送信されたパケットの送信先IPアドレスが、正常ホストプロファイル１１０ａにない送信先IPアドレスであった場合に、異常が発生していると判定する。また、ホスト１ｂから無操作期間に送信されたパケットの送信先IPアドレスが、不正ホストプロファイル１１０ｂにある送信先IPアドレスであった場合に、不正が発生していると判定する。

（３）ハッシュ値
ホスト１ｂから無操作期間に送信されたパケットのペイロード部のハッシュ値が、正常ホストプロファイル１１０ａにないハッシュ値であった場合に、異常が発生していると判定する。また、ホスト１ｂから無操作期間に送信されたパケットのハッシュ値が、不正ホストプロファイル１１０ｂにあるハッシュ値と一致した場合に、不正が発生していると判定する。

（４）パケット頻度
ホスト１ｂから無操作期間に送信されたパケットの頻度（単位時間当たりのパケット数）が、正常ホストプロファイル１１０ａにあるパケットの頻度から大きくかけ離れた頻度であった場合に、異常が発生していると判定する。また、ホスト１ｂから無操作期間に送信されたパケットの頻度が、不正ホストプロファイル１１０ｂにあるパケットの頻度と同程度であった場合に、不正が発生していると判定する。

（５）送信先ポートの分散
ホスト１ｂから無操作期間に送信されたパケットの送信先ポートの種類数または分散の程度（情報エントロピー値）が、正常ホストプロファイル１１０ａにある送信先ポートの種類数または分散の程度から大きくかけ離れていた場合に、異常が発生していると判定する。また、ホスト１ｂから無操作期間に送信されたパケットの送信先ポートの種類数または分散の程度が、不正ホストプロファイル１１０ｂにある送信先ポートの種類数または分散の程度と同程度であった場合に、不正が発生していると判定する。

（６）送信先IPアドレスの分散
ホスト１ｂから無操作期間に送信されたパケットの送信先IPアドレスの種類数または分散の程度（情報エントロピー値）が、正常ホストプロファイル１１０ａにある送信先IPアドレスの種類数または分散の程度から大きくかけ離れていた場合に、異常が発生していると判定する。また、ホスト１ｂから無操作期間に送信されたパケットの送信先IPアドレスの種類数または分散の程度が、不正ホストプロファイル１１０ｂにある送信先IPアドレスの種類数または分散の程度と同程度であった場合に、不正が発生していると判定する。

上述したように、本実施形態によれば、監視対象のホストで得られたパケットの情報が、ウィルスに感染していない正常なホストで得られた情報と一致しなかった場合に、異常が発生したと判定する。ウィルスに感染したホストは、正常なホストと異なる挙動を行うので、正常なホストと異なる挙動を検知した場合に異常が発生したと判定することによって、ウィルス等によるホストの異常を検知することができる。特に、未知のウィルスによるホストの異常をも検知することができる。

また、監視対象のホストで得られたパケットの情報が、ウィルスに感染している不正なホストで得られた情報と一致した場合に、不正が発生したと判定することによって、既知のウィルスによる感染活動を検知することができる。さらに、不正ホストプロファイルを生成する際に、不正なホストで得られた情報から、正常ホストプロファイルに含まれる情報を除くことによって、不正の誤検知の発生を防止することができると共に、不正ホストプロファイルに含まれる情報の量を減らし、不正検知処理を高速に行うことができる。

また、無操作時間に送信されるパケットを用いて異常・不正検知処理を行うことによって、ユーザの操作以外のウィルス等による異常・不正の検知精度を高めることができる。

（第２の実施形態）
次に、本発明の第２の実施形態を説明する。本実施形態では、ホストで起動されるタスクの情報に基づいた異常・不正の検知が行われる。図１０は、正常ホストプロファイルおよび不正ホストプロファイルを生成するホスト１ｃ（PC等）の構成を示している。タスク取得処理部１２１は、ホスト１ｃで起動されるタスクの情報を取得し、タスク履歴情報１２０ｃとして記憶部１２２に格納する。タスク履歴情報１２０ｃには、タスクが起動された日時やタスクの種類等の情報が含まれている。

記憶部１２２は、上記のタスク履歴情報１２０ｃの他、正常ホストプロファイル１２０ａや不正ホストプロファイル１２０ｂ等を記憶する。記憶部１２２は、例えばハードディスクドライブ、SRAM、フラッシュメモリ等で構成され、揮発性および不揮発性のいずれのものも包含しうる。正常ホストプロファイル生成部１２３は記憶部１２２からタスク履歴情報１２０ｃを読み出し、タスク履歴情報１２０ｃに基づいて正常ホストプロファイル１２０ａを生成し、記憶部１２２に格納する。正常ホストプロファイル生成部１２３が動作する場合、ホスト１ｃが、ウィルスに感染していない正常なホストであることが必要である。

不正ホストプロファイル生成部１２４は、記憶部１２２から正常ホストプロファイル１２０ａを読み出す一方で、タスク履歴情報１２０ｃを記憶部１２２から読み出し、タスク履歴情報１２０ｃから、正常ホストプロファイル１２０ａに含まれる情報を除いて不正ホストプロファイル１２０ｂを生成し、記憶部１２２に格納する。タスク履歴情報１２０ｃに含まれる情報のうち、不正ホストプロファイル１２０ｂを構成する情報から除外されるのは、正常ホストプロファイル１２０ａに含まれる情報と一致する情報であり、一致するとは、時刻情報を除くタスク名等の各項目の情報が全て一致することを指す。また、不正ホストプロファイル生成部１２４が動作する場合、ホスト１ｃが、ウィルスに感染している不正なホストであることが必要である。

上記では、正常ホストプロファイルを生成するための構成と、不正ホストプロファイルを生成するための構成とが同一のホストに設けられているが、それぞれが別個のホストに設けられていてもよい。

次に、タスクに関する情報（タスク情報）の取得方法を説明する。タスク（プロセス）は、コンピュータが起動するプログラムの最小単位である。ただし、サービスを起動するデーモンタスク（管理タスク）もある。例えば、コマンドプロンプト上で「tasklist -v」と入力すると、起動中のタスクの情報を取得することができる（図１２参照）。あるいは、スタートメニューの中の「ファイル名を指定して実行」を選択し、「msinfo32」⇒「システム情報」⇒「ソフトウェア環境」⇒「実行中のタスク」の順に選択することにより、タスク情報を取得することもできる。

また、タスク情報として、サービスやスタートアップの情報を取得することも可能である。サービスはWebサーバやデータベースサーバ等のサービス単位であり、１つのサービスでタスクと同じ単位になる場合もある。例えば、コマンドプロンプト上で「sc query」と入力すると、起動中のサービスの情報を取得することができる。あるいは、スタートメニューの中の「ファイル名を指定して実行」を選択し、「msinfo32」⇒「システム情報」⇒「ソフトウェア環境」⇒「サービス」の順に選択することにより、サービスの情報を取得することもできる。あるいは、スタートメニューの中の「ファイル名を指定して実行」を選択し、「msconfig」⇒「システム構成」⇒「ユーティリティ」⇒「サービス」の順に選択することにより、サービスの情報を取得することもできる。

スタートアップは、コンピュータの起動時に自動的に起動するプログラムである。例えば、スタートメニューの中の「ファイル名を指定して実行」を選択し、「msinfo32」⇒「システム情報」⇒「ソフトウェア環境」⇒「スタートアッププログラム」の順に選択することにより、サービスの情報を取得することができる。また、スタートメニューの中の「ファイル名を指定して実行」を選択し、「msconfig」⇒「システム構成」⇒「ユーティリティ」⇒「スタートアップ」の順に選択することにより、スタートアップの情報を取得することもできる。上記のようなツールを実行することにより、タスク取得処理部１２１はタスク情報を取得する。

図１３は、正常ホストプロファイルまたは不正ホストプロファイルの一例を示している。プロファイルには、タスクの起動時刻１３０１、タスクの終了時刻１３０２、タスク名１３０３、使用メモリサイズ１３０４、ユーザ名１３０５、CPU時間１３０６が含まれる。

タスクとパケットの情報を同時取得することも可能である。例えば、タスクの情報とTCP/UDPポートの利用状況の情報をPort Reporterツールで取得することができる。これによって、PR-INITIAL、PR-PORT、PR-PIDSの３種類の状態情報を取得することができる。PR-INITIALはTCP/IPの初期状態を示している。PR-PORTはポート毎の利用状況を示しており、TCPやUDPの状態が変化する毎に１行ずつ記録される。PR-PIDSは、コンピュータ名や、ログオンしているユーザ名の他、通信を開始したタスクに関する情報（タスクIDやプログラム名、DLLファイル等）を示しており、TCPやUDPの状態が変化する毎に、PR-PORTS-*.logファイルの１行毎に対応して、新しいエントリが１つずつ作成される。

次に、上述した正常ホストプロファイルおよび不正ホストプロファイルを用いた異常・不正検知処理の詳細を説明する。図１１は、異常・不正検知の対象（監視対象）となるホスト１ｄ（PC等）の構成を示している。タスク取得処理部１３１は、ホスト１ｄで起動されるタスクの情報を取得し、タスク履歴情報１３０ｃとして記憶部１３２に格納する。タスク履歴情報１３０ｃには、タスクの起動日時および終了日時、タスク名等の情報が含まれている。

記憶部１３２は、上記のタスク履歴情報１３０ｃの他、正常ホストプロファイル１３０ａや不正ホストプロファイル１３０ｂ等を記憶する。記憶部１３２は、例えばハードディスクドライブ、SRAM、フラッシュメモリ等で構成され、揮発性および不揮発性のいずれのものも包含しうる。正常ホストプロファイル１３０ａおよび不正ホストプロファイル１３０ｂは、通信等で他のホストから予め取得され、記憶部１３２に格納されているものとする。

異常検知処理部１３３は記憶部１３２からタスク履歴情報１３０ｃおよび正常ホストプロファイル１３０ａを読み出し、タスク履歴情報１３０ｃに含まれる情報と、正常ホストプロファイル１３０ａに含まれる情報とを比較し、両者が一致しなかった場合（言い換えると、ホスト１ｄで起動されたタスクの情報の中に、正常ホストプロファイル１３０ａに含まれる情報と一致しない情報があった場合）に、異常が発生したと判定する。異常が発生したと判定した場合には、異常検知処理部１３３はそのことを不正検知処理部１３４およびアラート発信部１３５に通知する。

不正検知処理部１３４は、異常検知処理部１３３から異常発生の通知を受けた場合に動作する。この不正検知処理部１３４は記憶部１３２から不正ホストプロファイル１３０ｂを読み出し、ホスト１ｄで起動されたタスクの情報（不正検知の目的上は、異常検知処理部１３３で異常が発生したと判定されたときの判定に用いられたタスクの情報のみでよい）と、不正ホストプロファイル１３０ｂに含まれる情報とを比較し、両者が一致した場合（言い換えると、正常ホストプロファイル１３０ａに含まれる情報と一致しなかったタスクの情報の中に、不正ホストプロファイル１３０ｂに含まれる情報と一致する情報があった場合）に、不正が発生したと判定する。不正が発生したと判定した場合には、不正検知処理部１３４はそのことをアラート発信部１３５に通知する。

アラート発信部１３５は、異常および不正の少なくとも一方が発生した場合に、ユーザに対するアラートを発信する。アラートは、警告音を発生したり、画面に警告を表示したりする等の方法により、発信される。

図１４は異常・不正検知処理の手順を示している。以下、図１４を参照しながら、異常・不正検知処理の手順を説明する。異常検知処理部１３３は記憶部１３２からタスク履歴情報１３０ｃおよび正常ホストプロファイル１３０ａを読み出し、ホスト１ｄで起動されたタスクの情報と、正常ホストプロファイル１３０ａに含まれる情報とを比較する。この比較は、比較対象の情報を順次入れ替えながら行われ、比較結果は順次記憶部１３２に格納される（ステップＳ２００）。比較が終了したら、異常検知処理部１３３は記憶部１３２から全ての比較結果を読み出し、不一致を示す比較結果が存在するか否かを判定する（ステップＳ２１０）。

全ての比較結果が一致を示していた場合には、異常は検知されず、異常・不正検知処理が終了する。また、不一致を示す比較結果が存在した場合には、異常検知処理部１３３は、ホスト１ｄに異常が発生したと判定し、アラート発信部１３５に異常発生を通知する（ステップＳ２２０）。

続いて、異常検知処理部１３３は異常発生を不正検知処理部１３４に通知すると共に、ホスト１ｄで起動されたタスクの情報のうち、比較結果が不一致を示す比較処理に用いた情報を不正検知処理部１３４に通知する。不正検知処理部１３４は記憶部１３２から不正ホストプロファイル１３０ｂを読み出し、異常検知処理部１３３から通知されたタスクの情報と、不正ホストプロファイル１３０ｂに含まれる情報とを比較する。この比較も、比較対象の情報を順次入れ替えながら行われ、比較結果は順次記憶部１３２に格納される（ステップＳ２３０）。

比較が終了したら、不正検知処理部１３４は記憶部１３２から全ての比較結果を読み出し、一致を示す比較結果が存在するか否かを判定する（ステップＳ２４０）。全ての比較結果が不一致を示していた場合には、不正は検知されず、処理はステップＳ２６０に進む。また、一致を示す比較結果が存在した場合には、不正検知処理部１３４は、ホスト１ｄに不正が発生したと判定し、アラート発信部１３５に不正発生を通知する（ステップＳ２５０）。

続いて、アラート発信部１３５はアラートの発信を行う。すなわち、異常検知処理部１３３から異常発生が通知された場合には、アラート発信部１３５は、異常発生を通知するアラートを発信し、不正検知処理部１３４から不正発生が通知された場合には、アラート発信部１３５は、不正発生を通知するアラートを発信する（ステップＳ２６０）。

上述したように、本実施形態によれば、監視対象のホストで得られたタスクの情報が、ウィルスに感染していない正常なホストで得られた情報と一致しなかった場合に、異常が発生したと判定する。ウィルスに感染したホストは、正常なホストと異なる挙動を行うので、正常なホストと異なる挙動を検知した場合に異常が発生したと判定することによって、ウィルス等によるホストの異常を検知することができる。特に、未知のウィルスによるホストの異常をも検知することができる。

また、監視対象のホストで得られたタスクの情報が、ウィルスに感染している不正なホストで得られた情報と一致した場合に、不正が発生したと判定することによって、既知のウィルスによる感染活動を検知することができる。さらに、不正ホストプロファイルを生成する際に、不正なホストで得られた情報から、正常ホストプロファイルに含まれる情報を除くことによって、不正の誤検知の発生を防止することができると共に、不正ホストプロファイルに含まれる情報の量を減らし、不正検知処理を高速に行うことができる。

以上、図面を参照して本発明の実施形態について詳述してきたが、具体的な構成はこれらの実施形態に限られるものではなく、本発明の要旨を逸脱しない範囲の設計変更等も含まれる。例えば、上述した実施形態による異常検知装置の動作および機能を実現するためのプログラムをコンピュータ読み取り可能な記録媒体に記録して、この記録媒体に記録されたプログラムをコンピュータに読み込ませ、実行させてもよい。

ここで、「コンピュータ」は、ＷＷＷシステムを利用している場合であれば、ホームページ提供環境（あるいは表示環境）も含むものとする。また、「コンピュータ読み取り可能な記録媒体」とは、フレキシブルディスク、光磁気ディスク、ＲＯＭ、ＣＤ−ＲＯＭ等の可搬媒体、コンピュータに内蔵されるハードディスク等の記憶装置のことをいう。さらに「コンピュータ読み取り可能な記録媒体」とは、インターネット等のネットワークや電話回線等の通信回線を介してプログラムが送信された場合のサーバやクライアントとなるコンピュータシステム内部の揮発性メモリ（ＲＡＭ）のように、一定時間プログラムを保持しているものも含むものとする。

また、上述したプログラムは、このプログラムを記憶装置等に格納したコンピュータから、伝送媒体を介して、あるいは伝送媒体中の伝送波により他のコンピュータに伝送されてもよい。ここで、プログラムを伝送する「伝送媒体」は、インターネット等のネットワーク（通信網）や電話回線等の通信回線（通信線）のように、情報を伝送する機能を有する媒体のことをいう。また、上述したプログラムは、前述した機能の一部を実現するためのものであってもよい。さらに、前述した機能を、コンピュータに既に記録されているプログラムとの組合せで実現できるもの、いわゆる差分ファイル（差分プログラム）であってもよい。

また、上述した異常検知装置の機能を携帯電話端末の異常・不正検知に適用してもよい。以下、シングルタスクOSであるBREW（登録商標）が搭載された携帯電話端末のキー操作とパケットの取得方法を説明する。キー操作取得用の機能は、共通性のある処理をモジュール化することが可能なExtension機能により実装し、各アプリケーションにキー操作の有無を記録させる。また、現在のBREW（登録商標）の実装上、端末上で発信パケットを取得することは難しいので、ネットワーク側でパケットをキャプチャする仕組みを設ける。すなわち、キー操作の情報は、端末がExtension機能を用いて取得し、パケットの情報は、ネットワークゲートウェイが収集し、最終的に本発明の異常検知装置がそれらの情報を処理すればよい。

本発明の各実施形態の概略を説明するための説明図である。 本発明の第１の実施形態によるホストの構成を示すブロック図である。 本発明の第１の実施形態によるホストの構成を示すブロック図である。 本発明の第１の実施形態における正常ホストプロファイルおよび不正ホストプロファイルを構成する情報の詳細を示す参考図である。 本発明の第１の実施形態において収集されるパケットに含まれる情報の内容を示す参考図である。 本発明の第１の実施形態におけるヘッダ情報の内容を示す参考図である。 本発明の第１の実施形態における統計情報の内容を示す参考図である。 本発明の第１の実施形態におけるセッション情報の内容を示す参考図である。 本発明の第１の実施形態における異常・不正検知処理の手順を示すフローチャートである。 本発明の第２の実施形態によるホストの構成を示すブロック図である。 本発明の第２の実施形態によるホストの構成を示すブロック図である。 本発明の第２の実施形態において取得されるタスク情報の一例を示す参考図である。 本発明の第２の実施形態における正常ホストプロファイルおよび不正ホストプロファイルを構成する情報の詳細を示す参考図である。 本発明の第２の実施形態における異常・不正検知処理の手順を示すフローチャートである。

符号の説明

１ａ，１ｂ，１ｃ，１ｄ・・・ホスト、１０１，１１１・・・パケット取得処理部、１０２，１１２・・・キー操作取得処理部、１０３，１１３，１２２，１３２・・・記憶部、１０４，１１４・・・無操作時間検出部、１０５，１１５・・・パケット検索部、１０６，１２３・・・正常ホストプロファイル生成部、１０７，１２４・・・不正ホストプロファイル生成部、１１６，１３３・・・異常検知処理部、１１７，１３４・・・不正検知処理部、１１８，１３５・・・アラート発信部、１１９・・・パケット情報生成部、１２１，１３１・・・タスク取得処理部

Claims (4)

1. コンピュータウィルスに感染していない正常なコンピュータから送信されたパケットの情報を示す第１の正常パケット情報を記憶する正常パケット情報記憶手段と、
   監視対象のコンピュータから送信されたパケットの情報を示す第１の監視対象パケット情報を記憶する監視対象パケット情報記憶手段と、
   前記第１の正常パケット情報と前記第１の監視対象パケット情報を比較し、前記第１の監視対象パケット情報に含まれるパケットの情報が、前記第１の正常パケット情報に含まれるパケットの情報と一致しなかった場合に、異常が発生したと判定する異常判定手段と、
   前記監視対象のコンピュータの操作履歴を示す操作履歴情報を記憶する操作履歴情報記憶手段と、
   前記操作履歴情報に基づいて、前記監視対象のコンピュータが操作されていない時間に前記監視対象のコンピュータから送信されたパケットの情報を前記第１の監視対象パケット情報から抽出することによって、第２の監視対象パケット情報を生成する監視対象パケット情報生成手段と、
   を備え、前記異常判定手段は、前記正常なコンピュータが操作されていない時間に前記正常なコンピュータから送信されたパケットの情報を前記第１の正常パケット情報から抽出することによって生成された第２の正常パケット情報と前記第２の監視対象パケット情報を比較し、前記第２の監視対象パケット情報に含まれるパケットの情報が、前記第２の正常パケット情報に含まれるパケットの情報と一致しなかった場合に、異常が発生したと判定する
   ことを特徴とする異常検知装置。
2. コンピュータウィルスに感染しているコンピュータを含む１以上のコンピュータから送信されたパケットの情報から前記第１の正常パケット情報を除いた第１の不正パケット情報を記憶する不正パケット情報記憶手段と、
   前記第１の不正パケット情報と前記第１の監視対象パケット情報を比較し、前記第１の監視対象パケット情報に含まれるパケットの情報が、前記第１の不正パケット情報に含まれるパケットの情報と一致した場合に、不正が発生したと判定する不正判定手段と、
   をさらに備え、
   前記不正パケット情報記憶手段は、コンピュータウィルスに感染しているコンピュータを含む１以上のコンピュータから該コンピュータが操作されていない時間に送信されたパケットの情報から前記第２の正常パケット情報を除いた第２の不正パケット情報を記憶し、
   前記不正判定手段は、前記第２の不正パケット情報と前記第２の監視対象パケット情報を比較し、前記第２の監視対象パケット情報に含まれるパケットの情報が、前記第２の不正パケット情報に含まれるパケットの情報と一致した場合に、不正が発生したと判定する
   ことを特徴とする請求項１に記載の異常検知装置。
3. 請求項１〜請求項２のいずれかに記載の異常検知装置としてコンピュータを機能させるための異常検知プログラム。
4. 請求項３に記載の異常検知プログラムを記録したコンピュータ読み取り可能な記録媒体。

Images