JP6050162B2 - 接続先情報抽出装置、接続先情報抽出方法、及び接続先情報抽出プログラム - Google Patents

Description

本発明は、有害な動作を行う意図で作成された悪意のあるソフトウェアであるマルウェアの解析技術に係り、特に、マルウェアの接続先情報を取得し、当該接続先情報をブラックリストとして利用する技術に関するものである。

近年、様々なマルウェアが出現している。特に、実行されると、まず、Ｃ＆Ｃサーバやダウンロードサーバへ接続するものが増えている。なお、Ｃ＆Ｃサーバとは、マルウェアに感染してボットと化したコンピュータ群（ボットネット）に指令（Command）を送り、制御（Control）の中心となるサーバのことである。また、Ｃ＆Ｃサーバやダウンロードサーバ等の有害なサーバのＵＲＬを悪性ＵＲＬと呼ぶ。

マルウェアの接続先等を入手する既存技術として、安全な仮想環境でマルウェアを動作させ、実際に外部に接続させることで接続先等を入手する技術がある。この技術を用いマルウェアの挙動を把握するとともに、悪性ＵＲＬの特定にもつなげている。このような悪性ＵＲＬをブラックリストとして保持し、フィルタリング等に用いることでユーザを保護することができる。

なお、効果的なフィルタリングを行うためにはブラックリストが常に最新の状態に保たれている必要があり、例えば、ブラックリストの維持管理のために特許文献１に記載された技術がある。

特開２０１２−１１８７１３号公報

しかしながら、従来からあるマルウェアの解析においては、マルウェアの挙動を調べることが主眼となっており、悪性ＵＲＬの取得は付随的なものである。例えば、従来からあるマルウェアの解析では、その挙動からマルウェアを特定するシグニチャを作成し、作成したシグニチャを用いてマルウェアを検出することや、マルウェアを動作させ、実際の攻撃者サーバに接続させ、次の通信から次の新しいマルウェアを入手すること等が主に行われている。

そのため、従来から存在するブラックリストに対して、最新のものに保つ技術等を用いたとしても、そもそもの悪性ＵＲＬのブラックリストの量が十分でなく、ブラックリストを利用したサービス、例えば、ユーザが悪性ＵＲＬに接続することなく安全にブラウジングを可能とするようなサービスに適用した場合、ユーザを保護するのには不十分である。

本発明は上記の点に鑑みてなされたものであり、有害なサーバのＵＲＬ等のマルウェアの接続先情報を迅速に多く取得することを可能とした技術を提供することを目的とする。

上記の課題を解決するために、本発明は、ネットワークを介して外部サーバと通信を行う通信機能を備え、当該ネットワークとの接続が遮断されている接続先情報抽出装置であって、
ソフトウェアを実行するソフトウェア実行手段と、
前記ソフトウェア実行手段により実行される前記ソフトウェアによる外部サーバへの接続動作を観測し、当該接続動作に関する通信ログを取得する通信観測手段と、
前記通信観測手段により取得された通信ログから、前記ソフトウェアの接続先情報を抽出し、当該接続先情報を接続先情報格納手段に格納する接続先情報抽出手段とを備え、
前記接続先情報抽出手段は、前記接続先情報であるＵＲＬに記述されているファイル名の拡張子に基づいて、当該接続先情報の悪性種別を判定することを特徴とする接続先情報抽出装置として構成される。

前記通信観測手段により取得される通信ログには、例えば、前記ソフトウェアによる外部サーバへの接続通信に対する応答が届かない環境で解析することにより、当該ソフトウェアが別の複数の外部サーバへ次々と再接続を試みることによる通信のログが含まれる。

また、前記接続先情報抽出装置は、前記ソフトウェアから外部サーバへの接続通信を受信し、擬似的にエラー応答を返す擬似応答手段を内部に備えるか、もしくは、当該擬似応答手段と接続されることとしてもよく、その場合、前記通信観測手段により取得される通信ログには、前記ソフトウェアによる外部サーバへの接続通信に対する前記擬似応答手段によるエラー応答に起因して、当該ソフトウェアが別の外部サーバへ再接続を試みることによる通信のログが含まれる。

前記接続先情報抽出手段は、前記通信ログから抽出した接続先情報を、ブラックリストを構成する接続先情報として前記接続先情報格納手段に格納するようにしてもよい。また、前記ソフトウェアは例えばマルウェアである。

また、本発明は、ネットワークを介して外部サーバと通信を行う通信機能を備え、当該ネットワークとの接続が遮断されている接続先情報抽出装置が実行する接続先情報抽出方法として構成することもできる。また、本発明は、ネットワークを介して外部サーバと通信を行う通信機能と、ソフトウェアを実行するソフトウェア実行手段とを備え、当該ネットワークとの接続が遮断されているコンピュータを、前記接続先情報抽出装置における前記通信観測手段、及び前記接続先情報抽出手段として機能させるための接続先情報抽出プログラムとして構成することも可能である。

本発明によれば、有害なサーバのＵＲＬ等のマルウェアの接続先情報を迅速に多く取得することが可能となる。

本発明の実施の形態の概要を説明するための図である。 ブラックリスト抽出装置１０の機能構成例１を示す図である。 ブラックリスト抽出装置の機能構成例２を示す図である。 機能構成例２における動作概要を説明するための図である。 ＵＲＬの解析例を説明するための図である。

以下、図面を参照して本発明の実施の形態を説明する。なお、以下で説明する実施の形態は一例に過ぎず、本発明が適用される実施の形態は、以下の実施の形態に限られるわけではない。例えば、本実施の形態では、マルウェアの接続先情報をブラックリストを構成する接続先情報として取得することとしているが、接続先情報を抽出する対象ソフトウェアはマルウェアに限られない。例えば、本実施の形態の技術を利用して、ネットワーク上の様々なサーバに接続する特性を有するマルウェア以外のソフトウェアの接続先情報を取得し、リスト（例：ホワイトリスト、ブラックリスト）としてもよい。

（実施の形態の概要）
近年、増加している特定のタイプのマルウェアは、攻撃の起点となるサーバを多数持っている場合が多い。本実施の形態ではこのようなマルウェアの性質を利用し、マルウェアの通信を失敗させ、再接続を促すことでマルウェアの接続先を監視し、接続先サーバのＵＲＬ（＝悪性ＵＲＬ）等のアドレスを抽出することとしている。なお、接続先サーバのアドレスとしてＵＲＬを取得することは一例であり、接続先サーバを識別する情報であればどのような情報を取得してもよい。例えば、ＩＰアドレスでもよい。

図１を参照して本実施の形態の概要を説明する。図１には、マルウェアを実行するブラックリスト抽出装置１０、及び、マルウェアの実行によりブラックリスト抽出装置１０が接続しようとする複数のサーバ（例：Ｃ＆Ｃサーバ、ダウンロードサーバ）が示されている。ただし、ブラックリスト抽出装置１０はネットワーク（本実施の形態ではインターネット）に接続されておらず遮断されており、サーバとの通信を行うことができない。

このような環境の中で、ブラックリスト抽出装置１０においてマルウェアを実行させる。すると、マルウェアはまずサーバ１に接続しようとするが、ネットワーク接続されていないので、この通信は失敗となり、サーバ１からの応答をマルウェアは受信できない。つまり無応答となる。サーバ１への接続が失敗したので、マルウェアはサーバ１と異なるサーバ２への接続を試みるが、この接続も失敗に終わり、次に、サーバ３への接続を試みる。ブラックリスト抽出装置１０は、このようなマルウェアの通信動作を観測し、接続先ＵＲＬ（図１の例ではサーバ１、２、３のＵＲＬ）を抽出し、記憶手段（メモリ等）に格納する。格納された接続先ＵＲＬのリストは、例えばブラックリストとして外部に出力される。

以下では、ブラックリスト抽出装置１０の機能構成例をより詳細に説明する。

（機能構成例１）
図２に、本実施の形態に係るブラックリスト抽出装置１０の機能構成例１を示す。ブラックリスト抽出装置１０は、通信機能を有するコンピュータにより実現されるものであり、図２は、そのコンピュータ内部における本実施の形態に関わる機能構成を示すものである。

図２に示すように、本例に係るブラックリスト抽出装置１０は、マルウェア実行部１１、通信機能部１２、通信観測部１３、接続先情報抽出部１４、ブラックリスト格納部１５、出力部１６を備える。

マルウェア実行部１１は、マルウェア（プログラム）を実行する機能部である。マルウェア実行部１１は、例えば、マルウェアの実行後に元の状態に容易に戻せるように、仮想化ソフトウェアにより実現される仮想化環境である。また、この仮想化環境において、マルウェアが正常に動作するように、脆弱性を持つアプリケーション（例えば古いバージョンのブラウザ等）をインストールしてある環境である。ただし、マルウェア実行部１１は、これに限られるわけではなく、マルウェアを実行できる機能部であればよい。

マルウェア実行部１１においてマルウェアが実行されると、マルウェアの機能により、ダウンロードサーバやＣ＆Ｃサーバ等に接続を試みるが、その動作の基はマルウェアであるので、以下では、マルウェアが実行された場合の通信動作の主体を「マルウェア」とする。

通信機能部１２は、インターネットとの通信を行うための機能部であり、例えば、ＴＣＰ／ＩＰソフト、ＬＡＮドライバ等のソフトウェア、ＬＡＮ−ＩＦ等のハードウェアを含む。本実施の形態では、インターネットへの回線を接続しないが、通信機能部１２（通信インタフェースと呼んでもよい）は正常であり、回線が接続されれば正常にインターネットとの通信を行うことができる状態になっている。

通信観測部１３は、マルウェア実行部１１において実行されるマルウェアの外部サーバへの接続動作を観測し、通信ログを取得し、メモリ等からなる通信ログ格納部１３１に格納する機能部である。接続先情報抽出部１４は、通信観測部１３により取得された通信ログから、接続先情報を抽出し、ブラックリストを構成する接続先情報としてブラックリスト格納部１５に格納する機能部である。出力部１６は、ブラックリスト格納部１５に格納されたブラックリストを出力（例：表示）する機能部である。また、出力部１６は、通信観測部１３において観測される通信ログをリアルタイムに表示する動作を行うこともできる。

上記の機能構成を有するブラックリスト抽出装置１０の動作は以下のとおりである。

まず、例えばハニーポットにより収集されたマルウェア（検体）をマルウェア実行部１１に入力し、マルウェア実行部１１にマルウェアを実行させる。

マルウェア実行部１１において実行されたマルウェアは、図１に示したように、あるサーバへの通信を行うことを試みるが、ブラックリスト抽出装置１０とインターネットとを接続する回線が切断されているために、サーバからの応答はなく、無応答となる。すると、マルウェアは接続タイムアウトを起こし、次のサーバへの接続を行うが、これも無応答となる。

このような動作を繰り返しマルウェアに行わせ、マルウェアの通信動作を通信観測部１３が観測し、通信ログを通信ログ格納部１３１に格納する。ここで、通信観測部１３が観測するプロトコルやレイヤは、接続先を判別できるものであれば特に限定はないが、本実施の形態では、例えば、ＨＴＴＰプロトコルの通信、ＩＰプロトコルの通信等を観測し、そのログを取得する。また、例えば、ＳＭＴＰ等のプロトコルを観測してもよい。

接続先情報抽出部１４は、通信観測部１３により取得され、通信ログ格納部１３１に格納された通信ログから、マルウェアの接続先情報を抽出する。この抽出は、通信ログ格納部１３１に通信ログが格納される毎にリアルタイムに行ってもよいし、マルウェアの再接続動作が終了した後に行ってもよい。ただし、解析時間を短縮する観点からは、リアルタイムに行うほうがよい。

接続先情報抽出部１４が抽出する情報は、マルウェアが通信を行う宛先のアドレス等の情報、及び／又は、宛先へ送信しようとした情報であり、具体的には例えば、ＩＰアドレス、ポート番号、ＵＲＬ、ＵＲＬパラメータ、ペイロード等である。これらの情報のうちどの情報を抽出するかは設定で変更できる。例えば、ＵＲＬ、ＵＲＬパラメータ、及びペイロードのセットを抽出するように、接続先情報抽出部１４に設定（指示）を行うことで、接続先情報抽出部１４は、マルウェアが接続しようとしたサーバのＵＲＬとそのＵＲＬパラメータ、及びペイロードを抽出する。抽出された情報は、ブラックリスト格納部１５に格納される。

上記のように接続先情報抽出部１４により解析（接続先情報抽出）をリアルタイムに行う場合、マルウェアの再接続の試行が停止した際に解析（接続先情報抽出）を終了することとしてよい。具体的には、例えば、接続先情報抽出部１４は、一定時間以上、マルウェアによる再接続がないことを通信ログの格納状況から判断し、その場合に解析を終了する。また、接続先情報抽出部１４がタイマーを有し、予め定めた１検体あたりの解析にかける上限時間に達した場合に、解析を終了することとしてもよい。また、接続先情報抽出部１４は、通信ログを解析することにより、接続先が一巡したと判定した場合（例えば、接続先が一番最初の接続先と一致した場合等）に解析を終了してもよい。

本例のブラックリスト抽出装置１０における通信観測部１３、及び接続先情報抽出部１４は、ブラックリスト抽出装置１０として使用するコンピュータ（マルウェア実行部１１と通信機能部１２を含む）に、本実施の形態で説明する通信観測部１３、及び接続先情報抽出部１４の処理内容を記述したプログラムを実行させることにより実現可能である。すなわち、通信観測部１３、及び接続先情報抽出部１４は、コンピュータに内蔵されるＣＰＵやメモリ、ハードディスクなどのハードウェア資源を用いて、各部で実施される処理に対応するプログラムを実行することによって実現することが可能である。上記プログラムは、コンピュータが読み取り可能な記録媒体（可搬メモリ等）に記録して、保存したり、配布したりすることが可能である。また、上記プログラムをインターネットや電子メールなど、ネットワークを通して提供することも可能である。

また、本例のブラックリスト抽出装置１０における各機能部を複数の装置に分けることとしてもよい。

（機能構成例２）
図３に、本実施の形態に係るブラックリスト抽出装置１０の機能構成例２を示す。図３に示すように、本例のブラックリスト抽出装置１０は、図２に示したブラックリスト抽出装置１０に、擬似応答機能部１７を加えたものである。擬似応答機能部１７以外の機能部は、図２に示したものと同じである。

擬似応答機能部１７は、マルウェアからの接続通信を受け、擬似的に応答をマルウェアに返すソフトウェアにより実現される機能部である。この応答は、マルウェアに再接続動作を促すようなエラー等の応答である。この擬似応答機能部１７により、機能構成例１の場合と同様に、マルウェアに再接続を行わせ、接続先情報を収集することが可能となる。

なお、擬似応答機能部１７を用いて擬似応答を行うよりも、機能構成例１にように、無応答としたほうが、マルウェアによる別サーバへの再接続通信を発生させやすい。

擬似応答機能部１７は、図３に示すようにブラックリスト抽出装置内にソフトウェアとして備えることの他、ブラックリスト抽出装置１０の外部に備えられ、ブラックリスト抽出装置１０と接続される装置（コンピュータ）であってもよい。

図４に、本例における動作例を示す。図４では、擬似応答部１７が、ブラックリスト抽出装置１０の外部に示されているが、これは動作を説明するための便宜上のものである。図４に示すように、マルウェアは、サーバ１への接続を行うが、擬似応答部１７はエラーを返すことで、マルウェアは別のサーバ２への接続を行う。ここでもエラーを返すことで、マルウェアは更に別のサーバ３への接続を行う。このような通信動作を、装置構成例１の場合と同様に、通信観測部１３が観測して通信ログを取得し、更に、接続先情報抽出部１４が通信ログから接続先情報を抽出する。

なお、擬似応答部１７が、最適な応答（無応答とするか、擬似エラー応答を返すか）を探し出す動作を行ってもよい。例えば、擬似応答部１７は、マルウェア動作の最初の段階で、接続から無応答の場合の再接続までの時間（Ｘ秒）と、接続からエラー応答を行って再接続するまでの時間（Ｙ秒）とを取得し、Ｘ＞Ｙであれば当該マルウェアに対してはエラー応答を行うことにより解析を早くすることができるため、それ以降はエラー応答を行うこととし、Ｘ＜Ｙであれば無応答とするようにしてもよい。

本例のブラックリスト抽出装置１０における通信観測部１３、接続先情報抽出部１４、及び擬似応答機能部１７は、ブラックリスト抽出装置１０として使用するコンピュータ（マルウェア実行部１１と通信機能部１２を含む）に、本実施の形態で説明する通信観測部１３、接続先情報抽出部１４、及び擬似応答機能部１７の処理内容を記述したプログラムを実行させることにより実現可能である。すなわち、通信観測部１３、接続先情報抽出部１４、及び擬似応答機能部１７は、コンピュータに内蔵されるＣＰＵやメモリ、ハードディスクなどのハードウェア資源を用いて、各部で実施される処理に対応するプログラムを実行することによって実現することが可能である。上記プログラムは、コンピュータが読み取り可能な記録媒体（可搬メモリ等）に記録して、保存したり、配布したりすることが可能である。また、上記プログラムをインターネットや電子メールなど、ネットワークを通して提供することも可能である。

また、本例のブラックリスト抽出装置１０における各機能部を複数の装置に分けることとしてもよい。

（接続先情報抽出部１４による解析例）
接続先情報抽出部１４には、通信ログから、指定された接続先情報を抽出する機能だけでなく、以下のように、ＵＲＬが悪性ＵＲＬかどうかを判断することに関わる解析機能を備えてもよい。

本実施の形態では、接続先情報抽出部１４は、通信ログ（ＵＲＬ、ＵＲＬパラメータ、ペイロード等）に基づき、マルウェアによる複数の接続先（複数ドメインへの通信）における接続先情報（ＵＲＬの文字列等）を解析し、悪性ＵＲＬの種類（悪性種別）や接続先情報間の類似性を判定し、判定結果等をブラックリスト格納部１５に格納する。

例えば、通信ログから抽出したＵＲＬの中に図５（ａ）に示すＵＲＬ（＋ＵＲＬパラメータ）が存在するものとする。このとき、接続先情報抽出部１４は、これらのＵＲＬ文字列の中の「hoge.pl?action=1」を識別する。そして、接続先情報抽出部１４は、このようにスクリプトを指定したＵＲＬは、サーバに何らかのアクション（攻撃）を起こさせる攻撃ＵＲＬであると判定する。また、「hoge.pl?action=1」が２つあることからこれらのＵＲＬの類似数を２と算出し、例えば、図５（ａ）に示すＵＲＬの各々について、ＵＲＬと「攻撃ＵＲＬ、類似数２」とをブラックリスト格納部１５に出力する。

また、例えば、通信ログから抽出したＵＲＬの中に図５（ｂ）に示すＵＲＬが存在するものとする。このとき、接続先情報抽出部１４は、これらのＵＲＬ文字列の中の「xxx.exe」を識別する。そして、接続先情報抽出部１４は、このようにexeファイル名が記述されたＵＲＬは、マルウェアを配布するマルウェア配布ＵＲＬであると判定する。また、「xxx.exe」が２つあることから類似数が２であると算出し、例えば、図５（ｂ）に示すＵＲＬの各々について、ＵＲＬと「マルウェア配布ＵＲＬ、類似数２」を出力する。

本例では、ＵＲＬ属性をＵＲＬに記述されているファイル名の拡張子で判断し、exe、zip等であればマルウェア配布ＵＲＬと判定し、スクリプトや引数が指定されていれば攻撃ＵＲＬであると判断しているが、これは一例に過ぎず、判断手法はこれに限られるわけではない。

また、上記の類似数は、そのまま出力することとしてもよいし、予め定めた閾値以上の類似数に対応するＵＲＬのみを悪性ＵＲＬとしてブラックリスト格納部１５に出力してもよい。また、類似数が所定の値以下、あるいは類似数が１であるＵＲＬを悪性ＵＲＬから除外する（ブラックリスト格納部１５に格納しない）ようにしてもよい。

また、ホワイトリスト等がある場合（接続先情報抽出部１４において記憶手段に保持）、接続先情報抽出部１４は、抽出されたＵＲＬと当該リストとを比較し、正常サイトを除外し、ホワイトリストに該当しないＵＲＬをブラックリスト格納部１５に格納してもよい。また、例えば、一般に多くアクセスされる正常サイトをリスト（ホワイトリスト）に登録しておき、当該リストにあるＵＲＬを悪性ＵＲＬから除外してもよい。

なお、抽出したＵＲＬが悪性か否かは既存技術を用いて直接的に判定することも可能である。そのような既存技術としては、例えば、クライアント型ハニーポット技術を用い、仮想環境上で実際に脆弱なブラウザでＵＲＬにアクセスさせて挙動を観察することにより、当該ＵＲＬが悪性かどうかを判定する技術がある。

（ブラックリストの運用例）
本実施の形態に係る技術を用いて取得されたブラックリストを、例えばユーザ端末とサーバ間の機器に適用することにより、ユーザ端末とサーバ間の通信をリアルタイムに監視し、警告や遮断等を行うことが可能となる。

また、ユーザ端末にブラックリストを備え、ユーザ端末においてユーザ端末とサーバ間の通信をリアルタイムに監視し、警告や遮断等を行うこととしてもよい。

また、ブラックリストにおいて、悪性ＵＲＬに加えて、属性情報を付加することとしてもよい。属性情報としては、例えば、最後に悪性と判定した日時、悪性ＵＲＬの種類（例：起点ＵＲＬ、攻撃ＵＲＬ、マルウェア配布ＵＲＬ、Ｃ＆ＣサーバＵＲＬ等）がある。また、ユーザ向け、企業向け等、用途に応じてブラックリストを変更することとしてもよい。更に、ブラックリストは適宜更新を行い、最新状態に保てるようにしてもよい。

（実施の形態のまとめ、効果等）
これまでに説明したとおり、本実施の形態では、インターネットに繋がない環境でブラックリスト抽出装置においてマルウェアを実行させ、マルウェアにより発生する通信を観測し、接続先を抽出し、ブラックリストとして出力することとしている。一部のマルウェアは攻撃の起点となる入口Ｃ＆Ｃサーバやダウンロードサーバを多数有しており、本実施の形態のように当該マルウェアによる通信を失敗させて次のサーバへの通信を観測することで、インターネット上の潜在的な悪性ＵＲＬ（悪性アドレス）を収集し、悪性ＵＲＬのブラックリストを拡大することが可能となる。

マルウェアの種類は膨大になってきており、リバースエンジニアリング等で解析を行う静的解析や、マルウェアの挙動を見ることを主眼とする従来の動的解析を用いることでは、各マルウェアについて迅速に十分な量の悪性ＵＲＬ等からなるブラックリストを作成することは難しい。一方、本実施の形態に係る技術を用いることにより、迅速に多量の悪性ＵＲＬ等からなるブラックリストを作成することが可能となる。

つまり、本実施の形態により、ブラックリストにおける悪性ＵＲＬの量を拡大でき、ブラックリストを利用した商用サービス等の精度を向上させることが可能となる。

本発明は、上記の実施の形態に限定されることなく、特許請求の範囲内において、種々変更・応用が可能である。

１０ ブラックリスト抽出装置
１１ マルウェア実行部、
１２ 通信機能部
１３ 通信観測部
１３１ 通信ログ格納部
１４ 接続先情報抽出部
１５ ブラックリスト格納部
１６ 出力部
１７ 擬似応答機能部

Claims (7)

1. ネットワークを介して外部サーバと通信を行う通信機能を備え、当該ネットワークとの接続が遮断されている接続先情報抽出装置であって、
   ソフトウェアを実行するソフトウェア実行手段と、
   前記ソフトウェア実行手段により実行される前記ソフトウェアによる外部サーバへの接続動作を観測し、当該接続動作に関する通信ログを取得する通信観測手段と、
   前記通信観測手段により取得された通信ログから、前記ソフトウェアの接続先情報を抽出し、当該接続先情報を接続先情報格納手段に格納する接続先情報抽出手段とを備え、
   前記接続先情報抽出手段は、前記接続先情報であるＵＲＬに記述されているファイル名の拡張子に基づいて、当該接続先情報の悪性種別を判定する
   ことを特徴とする接続先情報抽出装置。
2. 前記通信観測手段により取得される通信ログには、前記ソフトウェアによる外部サーバへの接続通信に対する応答がないことにより、当該ソフトウェアが別の外部サーバへ再接続を試みることによる通信のログが含まれる
   ことを特徴とする請求項１に記載の接続先情報抽出装置。
3. 前記接続先情報抽出装置は、前記ソフトウェアから外部サーバへの接続通信を受信し、擬似的にエラー応答を返す擬似応答手段を内部に備えるか、もしくは、当該擬似応答手段と接続されており、
   前記通信観測手段により取得される通信ログには、前記ソフトウェアによる外部サーバへの接続通信に対する前記擬似応答手段によるエラー応答に起因して、当該ソフトウェアが別の外部サーバへ再接続を試みることによる通信のログが含まれる
   ことを特徴とする請求項１に記載の接続先情報抽出装置。
4. 前記接続先情報抽出手段は、前記通信ログから抽出した接続先情報を、ブラックリストを構成する接続先情報として前記接続先情報格納手段に格納する
   ことを特徴とする請求項１ないし３のうちいずれか１項に記載の接続先情報抽出装置。
5. 前記ソフトウェアはマルウェアであることを特徴とする請求項１ないし４のうちいずれか１項に記載の接続先情報抽出装置。
6. ネットワークを介して外部サーバと通信を行う通信機能を備え、当該ネットワークとの接続が遮断されている接続先情報抽出装置が実行する接続先情報抽出方法であって、
   ソフトウェアを実行するソフトウェア実行ステップと、
   前記ソフトウェア実行ステップにより実行される前記ソフトウェアによる外部サーバへの接続動作を観測し、当該接続動作に関する通信ログを取得する通信観測ステップと、
   前記通信観測ステップにより取得された通信ログから、前記ソフトウェアの接続先情報を抽出し、当該接続先情報を接続先情報格納手段に格納する接続先情報抽出ステップとを備え、
   前記接続先情報抽出ステップにおいて、前記接続先情報抽出装置は、前記接続先情報であるＵＲＬに記述されているファイル名の拡張子に基づいて、当該接続先情報の悪性種別を判定する
   ことを特徴とする接続先情報抽出方法。
7. ネットワークを介して外部サーバと通信を行う通信機能と、ソフトウェアを実行するソフトウェア実行手段とを備え、当該ネットワークとの接続が遮断されているコンピュータを、請求項１ないし５のうちいずれか１項に記載の接続先情報抽出装置における前記通信観測手段、及び前記接続先情報抽出手段として機能させるための接続先情報抽出プログラム。

Images