プロアクティブな不正プログラム検出方法、検出装置及びコンピュータプログラム
【課題】 インターネット上の未知な不正プログラムに関するパケットを検出するための方法、装置及びコンピュータプログラムを提供する。
【解決手段】 通信ネットワーク上を流れるパケットデータを捕捉し、このパケットデータを所定の要素に着目して加工編集し、加工編集されたデータから抽出された特徴データに基づき、前記パケットデータが不正プログラムに関するものであるか否かを判定することによって、未知な不正プログラムの出現に対して事前に対処する。
【解決手段】 通信ネットワーク上を流れるパケットデータを捕捉し、このパケットデータを所定の要素に着目して加工編集し、加工編集されたデータから抽出された特徴データに基づき、前記パケットデータが不正プログラムに関するものであるか否かを判定することによって、未知な不正プログラムの出現に対して事前に対処する。
【発明の詳細な説明】
【技術分野】
【０００１】
インターネット上の未知な不正プログラムに関するパケットを検出するための方法、装置及びコンピュータプログラムの提供に関する。
【背景技術】
【０００２】
近年、社会問題となっているコンピュータウィルスやスパイウェアなどの不正なプログラムの侵入を検知したり、侵入を防御したり、あるいは駆除するためのソフトウェアや、これらのソフトウェアを実装したシステム、情報通信機器が多数製品化されている。これらの製品の多くは、シグネチャベースのものである。
シグネチャとは、既知の不正プログラムの特徴パターンのことをいい、このシグネチャをデータベース化しておき、ネットワーク上のトラフィックと照合し、不正プログラムを検出しようとするのが従来の製品である。
ウィルスもスパイウェアも、実体はファイルなので、既知のものであれば、このファイルの特徴を記したシグネチャとのパターンマッチングにより、検出できる。
【０００３】
【特許文献１】特開２００５−１８２１８７号公報
【特許文献２】特開２００５−１３６５２６号公報
【０００４】
たとえば特開２００５−１８２１８７「不正アクセス検知方法、不正アクセス検知システム及び不正
アクセス検知プログラム」においては、誤検知を防ぎつつ、未知のパターンを含めて不正 アクセスを確実に防御するため、内部ネットワーク上の全パケットをキャプチャし、パケット
を順次取り込んで命令列として攻撃決定命令の有無を解析し、データベースの攻撃コードパターン情報と順次比較し、解析結果と一致するパターン情報の有無によって不正アクセスか否かを判定する。
特開２００５−１３６５２６「不正アクセス検知装置、不正
アクセス検知方法および不正アクセス検知プログラム」においては、一連の処理を経て実行される不正アクセスをリアルタイムに検知することができるようにするため、パケットがネットワーク上で通信されると、そのパケットがキーデータ抽出手段で取得され、進行中シナリオが検索され、不正アクセスシナリオ記憶手段に格納されている不正アクセスシナリオに沿っているかどうかが照合される。
【発明の開示】
【発明が解決しようとする課題】
【０００５】
シグネチャベースの検出手段は、既知の不正プログラムには十分対応できるとはいえ、リアクティブ、すなわち、既知の不正プログラムが発見されてから対処するしかない、という弱点があった。
新規な不正プログラムが頻繁に生じている昨今、発生が確認されると速やかにシグネチャを更新し、駆除したり、ブロックしたりする機能をもったソフトウェアを開発しなければならなかった。これは、非常に手間のかかる作業であり、かつ、シグネチャを常に最新に維持するためには巨額な費用も必要としていた。
【０００６】
さらに、暗号化された通信を使った不正プログラムを発見することはできない、という問題もあった。不正プログラムのファイルは、特徴あるヘッダ部分や命令コードを持っていることが多く、これが検出の手がかりとなるのであるが、暗号化されていたのでは、ファイルの内部をチェックできないので、発見が極めて困難だからであった。
仮に、暗号化されていないとしても、ファイルレベルでの不正プログラムの検出はできるが、ネットワーク・パケット・レベルで検出することができない、という問題もあった。
【０００７】
以上の問題点に鑑み、本発明は、プロアクティブ、すなわち、未知な不正プログラムが出現しても対処可能なように、事前の対策を用意しておくことを目的とする。
また、ＳＳＨ（Ｓｅｃｕｒｅ Ｓｈｅｌｌ）などで暗号化された通信を利用した不正プログラムであっても、検出できることも目的とする。
さらに、ファイルレベルにとどまらず、ネットワーク・パケット・レベルで不正プログラムを検出することも目的とする。
【課題を解決するための手段】
【０００８】
このような目的を達成するために、請求項１に記載の発明は、通信ネットワーク上を流れるパケットデータから不正プログラムを検出する方法であって、
パケットデータを捕捉するデータ収集段階と、
このパケットデータを所定の要素に着目して加工編集するデータ分析段階と、
加工編集されたデータから抽出された特徴データに基づき、前記パケットデータが不正プログラムに関するものであるか否かを判定する評価段階と、
を有し、プロアクティブな対処ができることを特徴とする。
【０００９】
「不正プログラム」とは、コンピュータウィルス、ワームやトロイの木馬などと称されるプログラムをいう。不正プログラムは、パソコンの持ち主が知らない間に、そのパソコンに侵入し、例えば、個人情報を流出させたり、パソコン内部の情報を破壊したり、迷惑メールを送りつけたり、といった動作をすることがあるので、社会問題となっている。
下記の実施形態におけるボットも不正プログラムに含まれる。ボットと呼ばれるプログラムは、ボットを作成し、他人のパソコンに感染させようという意図を持った者（以下「攻撃者」）によって、他人のパソコンに潜伏させられた後、攻撃者からの命令によって自動的に実行させられるものである。このボットは、インターネット上のチャットシステムであるＩＲＣ（internet relay chat）の仕組みを悪用するものであり、感染したパソコンは攻撃者からの命令をＩＲＣサーバを経由して受け取る。
パケットデータが「不正プログラムに関するもの」とは、不正プログラムのファイルの送信、不正プログラムの実行等、不正プログラムに関する一切の異常な通信を意味する。
「プロアクティブ」とは、シグネチャが存在しない未知の不正プログラムが出現しても、事前の対策がとられているという意味であるが、未知の不正プログラムには、新規に開発されたものだけでなく、既に存在していたが、認識されていなかったものも含む。
【００１０】
また、前記の目的を達成するために、請求項２に記載の発明は、データの加工編集のために着目する要素として、リスポンスタイムとパケットデータサイズを用い、請求項３に記載の発明は、不正プログラムに関するパケットデータと判定された場合に、不正プログラムである旨の警告を出力することを特徴とする。
リスポンスタイムとパケットデータサイズのいずれも、パケットで搬送されるファイルの中身を参照しなくても把握できる要素なので、暗号化された通信が利用される場合であっても、本発明で異常の検出ができる。
「警告を出力」には、不正プログラムのターゲットとなっているパソコンへの警告メッセージの送信等を含む。
【００１１】
さらに、前記の目的を達成するために、不正プログラムの通信に関する特徴データを不正パターンとして記憶し、請求項５に記載の発明は、この不正パターンと、新たに捕捉したパケットデータの特徴データとをマッチングすることによって、該パケットデータが不正プログラムに関するものであるか否かを判定することを特徴とする。
【００１２】
また、通信ネットワーク上を流れるパケットを捕捉できる場所に設置される、前記の不正プログラム検出の機能を実現する装置も本発明である。
【００１３】
さらに、前記の不正プログラム検出の機能を、コンピュータに実施させるためのコンピュータプログラムも本発明である。
【発明の効果】
【００１４】
本発明によれば、既知の不正プログラムのトラフィックから抽出したシグネチャを必要としないため、プロアクティブ、すなわち、未知の不正プログラムの検出が可能になる。これは、従来のシグネチャベースがもつ、事後的対応しかできないという問題点を克服するものである。しかも、シグネチャデータベースを更新維持する必要がないので、費用面からも有利である。
また、本発明の検出手法は、ヒューリスティック（発見的）であり、不正パターンが蓄積されるほど、検出精度の向上が期待できる。
【００１５】
本発明は、ファイルレベルではなく、ネットワーク・パケット・レベルで不正プログラムを検出することができる。また、ファイルの内容に立ち入ってチェックするわけではなく、パケットのサイズや時刻などの外部から認識できる要素でチェックするので、暗号化された通信を利用した不正プログラムであっても、検出が可能である。
【発明を実施するための最良の形態】
【００１６】
図１に本発明の実施形態のシステム構成例を示す。
インターネットＮに、パソコン１とＩＲＣサーバ２が接続し、パソコン１は、ＩＲＣサーバ２を介してチャットに参加している。インターネットＮには、攻撃者のパソコン３も接続している。
図１の例では、パソコン１Ａとパソコン１Ｂがチャットに参加しているが、攻撃者のパソコン３から不正プログラムを送りつけようと狙われている。そこで、以後、ターゲットパソコン１Ａ，１Ｂということにする。ターゲットパソコン１Ａには、不正プログラム検出装置４（以下「検出装置４」）が接続され、この検出装置４は、インターネットＮとターゲットパソコン１Ａとの間の双方向の通信データを捕捉することができる。
【００１７】
図２は、検出装置４の構成例を示すブロック図である。
検出装置４は、インタフェース部５を介して、インターネットＮとターゲットパソコン１Ａと接続している。データ収集部６は、インタフェース部５を介して、ネットワーク上を流れるパケットデータを捕捉し、これを収集データバッファ７に保存する。保存されたデータは、データ分析部８に渡され、リスポンスタイムなどの適当な要素に着目して、加工編集される。加工編集後のデータは、データ評価部９において、所定のルールやしきい値に基づいて、特徴データを抽出する。この特徴データを参照し、不正プログラムに関するものであるか否かの評価がなされる。
また、表示警告部１１は、文字あるいは音声で警告したり、ターゲットパソコン１Ａに警告メッセージを送信したりする。単に警告をするだけでなく、ターゲットパソコン１Ａへの不正プログラムの送信をブロックしたりする機能を持たせてもよい。
【００１８】
ネットワーク上から捕捉したパケットデータを、データ分析部８で加工編集し、不正パターン照合部１２に渡す。不正パターン照合部１２では、加工編集されたデータから特徴データを抽出し、これを、不正パターン記憶部１０から取り出した不正パターンと照合し、類似すると認められたときは、不正プログラムに関するものと判定し、表示警告部１１が所定の警告処理等を行う。
このように、未知の不正プログラムを検出できるとともに、いったん検出されると、以後は、従来のシグネチャベースの検出方法と同様の考え方により、既知の不正プログラムの検出もできる。
【００１９】
検出装置４の各構成部は、本発明の方法の各ステップを説明しやすくするため、便宜上分けたにすぎない。
また、図２において一点鎖線で囲まれた部分は、不正プログラム検出のための一連の処理を行う部分であるが、これらの各部分の機能は、図示しないＣＰＵが、メモリ上にロードされた不正プログラム検出プログラムの命令コードを実行することで、実現してもよいが、その一部はハードウェアで実現してもよい。
【００２０】
さらに、検出装置４は、本発明の方法を実施するための専用の装置でもよいが、プロバイダや企業等のＬＡＮのゲートウェイ、あるいは、個人のパソコンのファイアウォールなどに、不正プログラム検出エンジンを組み込んだものでもよい。設置個所は、保護対象のコンピュータに流れるパケットデータを捕捉可能な場所であれば、特に限定しない。
【００２１】
なお、検出装置４によって捕捉されるのは、双方向、あるいは多方向のパケットデータである。本発明では、リスポンスタイム等の双方向の通信の態様（タイムやサイズなど）を不正検出の重要な手がかりとするからである。
【００２２】
次に、本実施形態の処理の流れを説明する。
以下の説明では、図３に示すセッションが実行されているという状況を想定する。
ターゲットパソコン１Ａは、既に攻撃者パソコン３が仕掛けた不正プログラム（以下「ボット」）に感染しているものとする。
ターゲットパソコン１Ａは、インターネット上のチャットに参加するために、ＩＲＣサーバ２に対して接続要求をする（ステップＳ１）。ＩＲＣサーバ２が接続ＯＫの旨の応答をする（ステップＳ２）と、インターネットＮを介して、ターゲットパソコン１ＡとＩＲＣサーバ２との通信経路が確立される。ターゲットパソコン１Ａは、任意回数にわたりチャットに参加する（ステップＳ３）。
【００２３】
攻撃者パソコン３は、ＩＲＣサーバ２にログインコマンドを送信する（ステップＳ４）。ＩＲＣサーバ２は、このログインコマンドをターゲットパソコン１Ａに送信すると（ステップＳ５）、ターゲットパソコン１Ａは、ログインＯＫの応答をする（ステップＳ６）。次に、この応答は、ＩＲＣサーバ２から攻撃者パソコン３へ送信される（ステップＳ７）。
ターゲットパソコン１Ａからの応答を受信することによって、攻撃者パソコン３は、ターゲットパソコン１Ａとの通信経路を確立する。
【００２４】
以後、攻撃者パソコン３は、ＩＲＣサーバ２を介して、ボットに実行させるためのコマンドを送信し（ステップＳ８，Ｓ９）、ターゲットパソコン１Ａに潜伏するボットは、このコマンドを実行し、ＩＲＣサーバ２を介して攻撃者パソコン３に応答をする（ステップＳ１０，Ｓ１１）。ステップＳ８からステップＳ１１までを繰り返すことにより、攻撃者パソコン３は、自らの意図どおりの処理をターゲットパソコン１Ａ内に潜むボットに実行させることができる。例えば、ボットに、不正プログラムファイルをダウンロードさせたり、個人情報を流出させたり、といったことができる。これらのボットの動作は、ターゲットパソコン１Ａのユーザの知らない間に、自動的に行われるのが通常である。
【００２５】
ステップＳ４以降の不正な動作を、検出装置４がどのように検出するか、図４〜図７に従い説明する。
検出処理は、図４に示すように、データ収集フェーズ（ステップＳ１００）、データ分析フェーズ（ステップＳ２００）及び評価フェーズ（ステップＳ３００）に大別される。
以下、各フェーズについて詳細に説明する。
【００２６】
図５は、データ収集フェーズの処理フローを示すものである。ここで、データ収集は、特定の送信元及び送信先アドレス宛のパケットを対象として行うことを断っておく。対象アドレスは、事前に決定しておいてもよいが、繰り返しパケットを送信してくる送信元のアドレスを対象とするなど、運用の段階で適宜更新される。
データ収集部６は、ネットワークＮ上を流れるパケットを探し、パケットがなければ（ステップＳ１０１でＮｏ）、処理を終了する。パケットがあれば（ステップＳ１０１でＹｅｓ）、そのパケットを読み込む（ステップＳ１０２）。収集対象とするパケットの送信先と送信元のアドレスが、まだ決定されていないならば（ステップＳ１０３でＮｏ）、読み込んだパケットの送信元および送信先のアドレスを、収集対象パケットのアドレスに決定し（ステップＳ１０４）、パケットを収集データバッファ７に保存する（ステップＳ１０６）。
【００２７】
収集対象とするパケットのアドレスが既に決定されていれば（ステップＳ１０３でＹｅｓ）、ステップＳ１０２で読み込んだパケットのアドレスを参照し、収集対象であれば（ステップＳ１０５でＹｅｓ）、このパケットを収集データバッファ７に保存する（ステップＳ１０６）。収集対象のパケットでなければ（ステップＳ１０５でＮｏ）、ステップＳ１０１に戻り、次のパケットを探す。
以上のステップＳ１０２からＳ１０６までの処理をパケットが有るまで繰り返し、パケットが無くなれば、次のデータ分析フェーズへ移る。
【００２８】
図６は、データ分析フェーズの処理フローを示すものである。
データ分析部８は、収集データバッファ７にパケットデータが保存されていれば（ステップＳ２０１でＹｅｓ），保存してあるパケットを読み込み（ステップＳ２０２）、送信元アドレスが収集対象送信元アドレスに合致するかを判定する。合致しなければ（ステップＳ２０３でＮｏ），ステップＳ２０５に進むが、合致すれば（ステップＳ２０３でＹｅｓ）、そのパケットの時刻Ｔ１を保存する（ステップＳ２０４）。
【００２９】
次に、送信元アドレスが収集対象宛先アドレスと合致するかを判定する。合致しなければ（ステップＳ２０５でＮｏ）、ステップＳ２０１に移り、次のパケットデータを探す。
送信元アドレスが、収集対象宛先アドレスに合致すれば（ステップＳ２０５でＹｅｓ）、このパケットの時刻Ｔ２と、保存してあった時刻Ｔ１との差ΔＴを求める（ステップＳ２０６）。この差ΔＴを、双方向のパケットのリスポンスタイムとして保存した上、ステップＳ２０１に戻り、次のパケットデータを探す。なお、ΔＴとともに、パケットデータのサイズやその他の要素も適宜保存する。このように保存されたデータが、請求項１にいう「加工編集されたデータ」に該当する。
保存されたパケットデータが無くなれば、次の評価フェーズへ移る。
【００３０】
図７は、評価フェーズの処理フローを示すものである。
データ評価部９は、図６のステップＳ２０６で保存しておいた加工編集されたデータを読み出し、これをもとに特徴データを抽出する（ステップＳ３０１）。
特徴データの抽出方法としては、例えば、スペクトル解析や、ヒューリスティックな方法などを用いる。ヒューリスティックな方法とは、例えば、単位時間あたりＮ個以上のパケットが送受信され、こららのパケットのＸ％以上はリスポンスタイムがｔミリ秒以下であるならば、不正プログラムと判定する、といった方法であり、パケット数Ｎやパケット割合Ｘなどが特徴データに該当する。
【００３１】
データ評価部９は、得られた特徴データに基づいて、この一連のパケットが不正プログラムに関するものであるかを判定する。表示警告部１１は、不正な通信が行われている旨を表示する（ステップＳ３０４）。あるいは、表示警告部１１は、インタフェース部５を介して、ターゲットパソコン１Ａに警告メッセージの送信等を行う。
異常の判定の詳細については、後で説明する。
【００３２】
図７のステップＳ３０３で保存した特徴データは、更なる不正プログラムの検出に利用できる。その手順は次のとおりである。
データ収集部６によって、送信先アドレスは処理対象アドレスと一致するが、送信元アドレスは処理対象となっていないパケットが探し出され、収集データバッファ７に保存される。
データ分析部８が、リスポンスタイムとパケットサイズに着目してデータを加工編集する。不正パターン照合部１１は、この加工編集データから特徴データを抽出し、これを、不正パターン記憶部１０に保存してあった不正パターンと照合する。照合の結果、似通っているならば、不正プログラムに関するものと判定し、表示警告部１１に通知する。
【００３３】
このように、本実施形態は、未知の不正プログラムに関する通信などの異常を検出できるとともに、いったん異常を検出すると、以後の類似した異常の検出もできる。
なお、同じ送信先アドレスに対し、異なる送信元アドレスからのパケットを処理対象とするのは、送信元アドレスを偽る攻撃者がいること、感染した複数のパソコンがネットワークを構成し、これらの複数のパソコンから異常なパケットが送られることがある等の実情を考慮したものである。
【００３４】
本発明の検出処理の要点は、繰り返し送受信されるパケットデータの特徴を抽出し、その特徴から異常を検出するものである。この根拠は、以下のとおりである。
通常、不正プログラムの動作というものは人間がマニュアル操作により同様のことを行うことが可能である。しかし、不正プログラムはそれらの処理をすべて自動化しているので、その処理は速く、予測可能である。人間がマニュアル操作で行った場合、その処理は自動化されたプログラムよりも遅く、しかも予測が不可能になる。特徴データを抽出することにより、この違いを明確にできる。
【００３５】
では、図３に示す通信が行われた場合の、異常の検出がどのように行われるか、図８を参照しながら説明する。図８は、生のパケットデータを、リスポンスタイムとデータサイズに着目して加工編集したデータを折れ線グラフで表示したものである。
図８の折れ線グラフにおいて、領域Ａは、ターゲットパソコン１ＡがＩＲＣサーバ２との接続を確立する過程（図３のステップＳ１〜Ｓ２と、これに関連する通信が通常複数回繰り返される）のパケットの状態を示す。破線の折れ線はデータサイズの変化を示し、太い実線の折れ線は前回のパケットの時刻との差分ΔＴ、つまりリスポンスタイムの変化を示している。
同様に、領域Ｂは、ターゲットパソコン１Ａがチャットに参加しているとき（図３のステップＳ３）のパケットの状態を示す。領域Ｃは、攻撃者パソコン３がＩＲＣサーバ２を経由してコマンドを送り、ターゲットパソコン１Ａに感染させていたボットを実行させているとき（図３のステップＳ４〜Ｓ１１）のパケットの状態を示す。
【００３６】
図８のグラフから、人間がマニュアル操作をしている領域Ａ及びＢのリスポンスタイムに比べ、ボットが自動処理を行っている領域Ｃのリスポンスタイムが大幅に短いことが明瞭に見て取れる。
異常が認められるリスポンスタイムの特徴データとともに、データサイズについて得られた特徴データとを併せて観察することで、不正プログラムの検出精度が一層高まる。この２種類の特徴データを用いて更なる不正プログラムの検出に役立てることができる。
【００３７】
前記の実施形態では、図３、図８に従い、ターゲットパソコンがすでに不正プログラムに感染している場合を例にとり説明した。しかし、ターゲットパソコンが、未だ感染しておらず、不正プログラムを送り込まれたり、不正プログラムをダウンロードするための命令を送られたりするなどの異常な通信の場合も、検出できる。
【００３８】
前記の実施形態では、処理対象のパケットを読み込む際に、アドレスに着目したが、アドレスと特定のポートの組み合わせで対象パケットを抽出してもよい。
【００３９】
前記の実施形態では、出願時点において、世上話題となっているボットを念頭におき、ＩＲＣサーバ経由で感染する不正プログラムを例に取って説明した。しかし、ＩＲＣサーバを利用するものだけではなく、ワームやトロイの木馬等といわれる不正プログラムについても適用可能である。これらのプログラムも人間のマニュアル操作によらず、自動的に実行されるので、パケットデータから得られた特徴データによって異常が検出しうるからである。
【００４０】
本発明は、既存のシグネチャベースの不正プログラム検出方法に代えて用いられてもよいが、既存の方法と併用してもよいことは言うまでもない。
また、不正プログラムが検出されたとき、警告し、ブロックするにとどめてもよく、駆除してもよい。検出後の対応策については、特に限定しない。
【００４１】
なお、前記のように開示された実施の形態はすべての点で例示であって、制限的なものではない。したがって、種々の変形が可能である。しかし、その変形が特許請求の範囲に記載された技術思想に基づくものである限り、その変形は本発明の技術的範囲に含まれる。
【産業上の利用可能性】
【００４２】
本発明によれば、既知の不正プログラムのトラフィックから抽出したシグネチャを必要としないため、プロアクティブ、すなわち、未知の不正プログラムの検出が可能になる。これは、従来のシグネチャベースがもつ、事後的対応しかできないという問題点を克服するものである。しかも、シグネチャデータベースを更新維持する必要がないので、費用面からも有利である。
また、本発明の検出手法は、ヒューリスティック（発見的）であり、不正パターンが蓄積されるほど、検出精度の向上が期待できる。
【図面の簡単な説明】
【００４３】
【図１】本実施形態のシステム構成例を示す図である。
【図２】本実施形態の検出装置のブロック図である。
【図３】本実施形態の処理を説明するためのセッションを例示する図である。
【図４】本実施形態の処理の概略フローを示す図である。
【図５】本実施形態のデータ収集処理のフローを示す図である。
【図６】本実施形態のデータ分析処理のフローを示す図である。
【図７】本実施形態の評価処理のフローを示す図である。
【図８】本実施形態で捕捉したパケットのリスポンスタイムとデータサイズをプロットした折れ線グラフである。
【符号の説明】
【００４４】
１（１Ａ、１Ｂ） ターゲットパソコン
２ ＩＲＣサーバ
３ 攻撃者のパソコン
４ 不正プログラム検出装置
Ｎ 通信ネットワーク
【技術分野】
【０００１】
インターネット上の未知な不正プログラムに関するパケットを検出するための方法、装置及びコンピュータプログラムの提供に関する。
【背景技術】
【０００２】
近年、社会問題となっているコンピュータウィルスやスパイウェアなどの不正なプログラムの侵入を検知したり、侵入を防御したり、あるいは駆除するためのソフトウェアや、これらのソフトウェアを実装したシステム、情報通信機器が多数製品化されている。これらの製品の多くは、シグネチャベースのものである。
シグネチャとは、既知の不正プログラムの特徴パターンのことをいい、このシグネチャをデータベース化しておき、ネットワーク上のトラフィックと照合し、不正プログラムを検出しようとするのが従来の製品である。
ウィルスもスパイウェアも、実体はファイルなので、既知のものであれば、このファイルの特徴を記したシグネチャとのパターンマッチングにより、検出できる。
【０００３】
【特許文献１】特開２００５−１８２１８７号公報
【特許文献２】特開２００５−１３６５２６号公報
【０００４】
たとえば特開２００５−１８２１８７「不正アクセス検知方法、不正アクセス検知システム及び不正
アクセス検知プログラム」においては、誤検知を防ぎつつ、未知のパターンを含めて不正 アクセスを確実に防御するため、内部ネットワーク上の全パケットをキャプチャし、パケット
を順次取り込んで命令列として攻撃決定命令の有無を解析し、データベースの攻撃コードパターン情報と順次比較し、解析結果と一致するパターン情報の有無によって不正アクセスか否かを判定する。
特開２００５−１３６５２６「不正アクセス検知装置、不正
アクセス検知方法および不正アクセス検知プログラム」においては、一連の処理を経て実行される不正アクセスをリアルタイムに検知することができるようにするため、パケットがネットワーク上で通信されると、そのパケットがキーデータ抽出手段で取得され、進行中シナリオが検索され、不正アクセスシナリオ記憶手段に格納されている不正アクセスシナリオに沿っているかどうかが照合される。
【発明の開示】
【発明が解決しようとする課題】
【０００５】
シグネチャベースの検出手段は、既知の不正プログラムには十分対応できるとはいえ、リアクティブ、すなわち、既知の不正プログラムが発見されてから対処するしかない、という弱点があった。
新規な不正プログラムが頻繁に生じている昨今、発生が確認されると速やかにシグネチャを更新し、駆除したり、ブロックしたりする機能をもったソフトウェアを開発しなければならなかった。これは、非常に手間のかかる作業であり、かつ、シグネチャを常に最新に維持するためには巨額な費用も必要としていた。
【０００６】
さらに、暗号化された通信を使った不正プログラムを発見することはできない、という問題もあった。不正プログラムのファイルは、特徴あるヘッダ部分や命令コードを持っていることが多く、これが検出の手がかりとなるのであるが、暗号化されていたのでは、ファイルの内部をチェックできないので、発見が極めて困難だからであった。
仮に、暗号化されていないとしても、ファイルレベルでの不正プログラムの検出はできるが、ネットワーク・パケット・レベルで検出することができない、という問題もあった。
【０００７】
以上の問題点に鑑み、本発明は、プロアクティブ、すなわち、未知な不正プログラムが出現しても対処可能なように、事前の対策を用意しておくことを目的とする。
また、ＳＳＨ（Ｓｅｃｕｒｅ Ｓｈｅｌｌ）などで暗号化された通信を利用した不正プログラムであっても、検出できることも目的とする。
さらに、ファイルレベルにとどまらず、ネットワーク・パケット・レベルで不正プログラムを検出することも目的とする。
【課題を解決するための手段】
【０００８】
このような目的を達成するために、請求項１に記載の発明は、通信ネットワーク上を流れるパケットデータから不正プログラムを検出する方法であって、
パケットデータを捕捉するデータ収集段階と、
このパケットデータを所定の要素に着目して加工編集するデータ分析段階と、
加工編集されたデータから抽出された特徴データに基づき、前記パケットデータが不正プログラムに関するものであるか否かを判定する評価段階と、
を有し、プロアクティブな対処ができることを特徴とする。
【０００９】
「不正プログラム」とは、コンピュータウィルス、ワームやトロイの木馬などと称されるプログラムをいう。不正プログラムは、パソコンの持ち主が知らない間に、そのパソコンに侵入し、例えば、個人情報を流出させたり、パソコン内部の情報を破壊したり、迷惑メールを送りつけたり、といった動作をすることがあるので、社会問題となっている。
下記の実施形態におけるボットも不正プログラムに含まれる。ボットと呼ばれるプログラムは、ボットを作成し、他人のパソコンに感染させようという意図を持った者（以下「攻撃者」）によって、他人のパソコンに潜伏させられた後、攻撃者からの命令によって自動的に実行させられるものである。このボットは、インターネット上のチャットシステムであるＩＲＣ（internet relay chat）の仕組みを悪用するものであり、感染したパソコンは攻撃者からの命令をＩＲＣサーバを経由して受け取る。
パケットデータが「不正プログラムに関するもの」とは、不正プログラムのファイルの送信、不正プログラムの実行等、不正プログラムに関する一切の異常な通信を意味する。
「プロアクティブ」とは、シグネチャが存在しない未知の不正プログラムが出現しても、事前の対策がとられているという意味であるが、未知の不正プログラムには、新規に開発されたものだけでなく、既に存在していたが、認識されていなかったものも含む。
【００１０】
また、前記の目的を達成するために、請求項２に記載の発明は、データの加工編集のために着目する要素として、リスポンスタイムとパケットデータサイズを用い、請求項３に記載の発明は、不正プログラムに関するパケットデータと判定された場合に、不正プログラムである旨の警告を出力することを特徴とする。
リスポンスタイムとパケットデータサイズのいずれも、パケットで搬送されるファイルの中身を参照しなくても把握できる要素なので、暗号化された通信が利用される場合であっても、本発明で異常の検出ができる。
「警告を出力」には、不正プログラムのターゲットとなっているパソコンへの警告メッセージの送信等を含む。
【００１１】
さらに、前記の目的を達成するために、不正プログラムの通信に関する特徴データを不正パターンとして記憶し、請求項５に記載の発明は、この不正パターンと、新たに捕捉したパケットデータの特徴データとをマッチングすることによって、該パケットデータが不正プログラムに関するものであるか否かを判定することを特徴とする。
【００１２】
また、通信ネットワーク上を流れるパケットを捕捉できる場所に設置される、前記の不正プログラム検出の機能を実現する装置も本発明である。
【００１３】
さらに、前記の不正プログラム検出の機能を、コンピュータに実施させるためのコンピュータプログラムも本発明である。
【発明の効果】
【００１４】
本発明によれば、既知の不正プログラムのトラフィックから抽出したシグネチャを必要としないため、プロアクティブ、すなわち、未知の不正プログラムの検出が可能になる。これは、従来のシグネチャベースがもつ、事後的対応しかできないという問題点を克服するものである。しかも、シグネチャデータベースを更新維持する必要がないので、費用面からも有利である。
また、本発明の検出手法は、ヒューリスティック（発見的）であり、不正パターンが蓄積されるほど、検出精度の向上が期待できる。
【００１５】
本発明は、ファイルレベルではなく、ネットワーク・パケット・レベルで不正プログラムを検出することができる。また、ファイルの内容に立ち入ってチェックするわけではなく、パケットのサイズや時刻などの外部から認識できる要素でチェックするので、暗号化された通信を利用した不正プログラムであっても、検出が可能である。
【発明を実施するための最良の形態】
【００１６】
図１に本発明の実施形態のシステム構成例を示す。
インターネットＮに、パソコン１とＩＲＣサーバ２が接続し、パソコン１は、ＩＲＣサーバ２を介してチャットに参加している。インターネットＮには、攻撃者のパソコン３も接続している。
図１の例では、パソコン１Ａとパソコン１Ｂがチャットに参加しているが、攻撃者のパソコン３から不正プログラムを送りつけようと狙われている。そこで、以後、ターゲットパソコン１Ａ，１Ｂということにする。ターゲットパソコン１Ａには、不正プログラム検出装置４（以下「検出装置４」）が接続され、この検出装置４は、インターネットＮとターゲットパソコン１Ａとの間の双方向の通信データを捕捉することができる。
【００１７】
図２は、検出装置４の構成例を示すブロック図である。
検出装置４は、インタフェース部５を介して、インターネットＮとターゲットパソコン１Ａと接続している。データ収集部６は、インタフェース部５を介して、ネットワーク上を流れるパケットデータを捕捉し、これを収集データバッファ７に保存する。保存されたデータは、データ分析部８に渡され、リスポンスタイムなどの適当な要素に着目して、加工編集される。加工編集後のデータは、データ評価部９において、所定のルールやしきい値に基づいて、特徴データを抽出する。この特徴データを参照し、不正プログラムに関するものであるか否かの評価がなされる。
また、表示警告部１１は、文字あるいは音声で警告したり、ターゲットパソコン１Ａに警告メッセージを送信したりする。単に警告をするだけでなく、ターゲットパソコン１Ａへの不正プログラムの送信をブロックしたりする機能を持たせてもよい。
【００１８】
ネットワーク上から捕捉したパケットデータを、データ分析部８で加工編集し、不正パターン照合部１２に渡す。不正パターン照合部１２では、加工編集されたデータから特徴データを抽出し、これを、不正パターン記憶部１０から取り出した不正パターンと照合し、類似すると認められたときは、不正プログラムに関するものと判定し、表示警告部１１が所定の警告処理等を行う。
このように、未知の不正プログラムを検出できるとともに、いったん検出されると、以後は、従来のシグネチャベースの検出方法と同様の考え方により、既知の不正プログラムの検出もできる。
【００１９】
検出装置４の各構成部は、本発明の方法の各ステップを説明しやすくするため、便宜上分けたにすぎない。
また、図２において一点鎖線で囲まれた部分は、不正プログラム検出のための一連の処理を行う部分であるが、これらの各部分の機能は、図示しないＣＰＵが、メモリ上にロードされた不正プログラム検出プログラムの命令コードを実行することで、実現してもよいが、その一部はハードウェアで実現してもよい。
【００２０】
さらに、検出装置４は、本発明の方法を実施するための専用の装置でもよいが、プロバイダや企業等のＬＡＮのゲートウェイ、あるいは、個人のパソコンのファイアウォールなどに、不正プログラム検出エンジンを組み込んだものでもよい。設置個所は、保護対象のコンピュータに流れるパケットデータを捕捉可能な場所であれば、特に限定しない。
【００２１】
なお、検出装置４によって捕捉されるのは、双方向、あるいは多方向のパケットデータである。本発明では、リスポンスタイム等の双方向の通信の態様（タイムやサイズなど）を不正検出の重要な手がかりとするからである。
【００２２】
次に、本実施形態の処理の流れを説明する。
以下の説明では、図３に示すセッションが実行されているという状況を想定する。
ターゲットパソコン１Ａは、既に攻撃者パソコン３が仕掛けた不正プログラム（以下「ボット」）に感染しているものとする。
ターゲットパソコン１Ａは、インターネット上のチャットに参加するために、ＩＲＣサーバ２に対して接続要求をする（ステップＳ１）。ＩＲＣサーバ２が接続ＯＫの旨の応答をする（ステップＳ２）と、インターネットＮを介して、ターゲットパソコン１ＡとＩＲＣサーバ２との通信経路が確立される。ターゲットパソコン１Ａは、任意回数にわたりチャットに参加する（ステップＳ３）。
【００２３】
攻撃者パソコン３は、ＩＲＣサーバ２にログインコマンドを送信する（ステップＳ４）。ＩＲＣサーバ２は、このログインコマンドをターゲットパソコン１Ａに送信すると（ステップＳ５）、ターゲットパソコン１Ａは、ログインＯＫの応答をする（ステップＳ６）。次に、この応答は、ＩＲＣサーバ２から攻撃者パソコン３へ送信される（ステップＳ７）。
ターゲットパソコン１Ａからの応答を受信することによって、攻撃者パソコン３は、ターゲットパソコン１Ａとの通信経路を確立する。
【００２４】
以後、攻撃者パソコン３は、ＩＲＣサーバ２を介して、ボットに実行させるためのコマンドを送信し（ステップＳ８，Ｓ９）、ターゲットパソコン１Ａに潜伏するボットは、このコマンドを実行し、ＩＲＣサーバ２を介して攻撃者パソコン３に応答をする（ステップＳ１０，Ｓ１１）。ステップＳ８からステップＳ１１までを繰り返すことにより、攻撃者パソコン３は、自らの意図どおりの処理をターゲットパソコン１Ａ内に潜むボットに実行させることができる。例えば、ボットに、不正プログラムファイルをダウンロードさせたり、個人情報を流出させたり、といったことができる。これらのボットの動作は、ターゲットパソコン１Ａのユーザの知らない間に、自動的に行われるのが通常である。
【００２５】
ステップＳ４以降の不正な動作を、検出装置４がどのように検出するか、図４〜図７に従い説明する。
検出処理は、図４に示すように、データ収集フェーズ（ステップＳ１００）、データ分析フェーズ（ステップＳ２００）及び評価フェーズ（ステップＳ３００）に大別される。
以下、各フェーズについて詳細に説明する。
【００２６】
図５は、データ収集フェーズの処理フローを示すものである。ここで、データ収集は、特定の送信元及び送信先アドレス宛のパケットを対象として行うことを断っておく。対象アドレスは、事前に決定しておいてもよいが、繰り返しパケットを送信してくる送信元のアドレスを対象とするなど、運用の段階で適宜更新される。
データ収集部６は、ネットワークＮ上を流れるパケットを探し、パケットがなければ（ステップＳ１０１でＮｏ）、処理を終了する。パケットがあれば（ステップＳ１０１でＹｅｓ）、そのパケットを読み込む（ステップＳ１０２）。収集対象とするパケットの送信先と送信元のアドレスが、まだ決定されていないならば（ステップＳ１０３でＮｏ）、読み込んだパケットの送信元および送信先のアドレスを、収集対象パケットのアドレスに決定し（ステップＳ１０４）、パケットを収集データバッファ７に保存する（ステップＳ１０６）。
【００２７】
収集対象とするパケットのアドレスが既に決定されていれば（ステップＳ１０３でＹｅｓ）、ステップＳ１０２で読み込んだパケットのアドレスを参照し、収集対象であれば（ステップＳ１０５でＹｅｓ）、このパケットを収集データバッファ７に保存する（ステップＳ１０６）。収集対象のパケットでなければ（ステップＳ１０５でＮｏ）、ステップＳ１０１に戻り、次のパケットを探す。
以上のステップＳ１０２からＳ１０６までの処理をパケットが有るまで繰り返し、パケットが無くなれば、次のデータ分析フェーズへ移る。
【００２８】
図６は、データ分析フェーズの処理フローを示すものである。
データ分析部８は、収集データバッファ７にパケットデータが保存されていれば（ステップＳ２０１でＹｅｓ），保存してあるパケットを読み込み（ステップＳ２０２）、送信元アドレスが収集対象送信元アドレスに合致するかを判定する。合致しなければ（ステップＳ２０３でＮｏ），ステップＳ２０５に進むが、合致すれば（ステップＳ２０３でＹｅｓ）、そのパケットの時刻Ｔ１を保存する（ステップＳ２０４）。
【００２９】
次に、送信元アドレスが収集対象宛先アドレスと合致するかを判定する。合致しなければ（ステップＳ２０５でＮｏ）、ステップＳ２０１に移り、次のパケットデータを探す。
送信元アドレスが、収集対象宛先アドレスに合致すれば（ステップＳ２０５でＹｅｓ）、このパケットの時刻Ｔ２と、保存してあった時刻Ｔ１との差ΔＴを求める（ステップＳ２０６）。この差ΔＴを、双方向のパケットのリスポンスタイムとして保存した上、ステップＳ２０１に戻り、次のパケットデータを探す。なお、ΔＴとともに、パケットデータのサイズやその他の要素も適宜保存する。このように保存されたデータが、請求項１にいう「加工編集されたデータ」に該当する。
保存されたパケットデータが無くなれば、次の評価フェーズへ移る。
【００３０】
図７は、評価フェーズの処理フローを示すものである。
データ評価部９は、図６のステップＳ２０６で保存しておいた加工編集されたデータを読み出し、これをもとに特徴データを抽出する（ステップＳ３０１）。
特徴データの抽出方法としては、例えば、スペクトル解析や、ヒューリスティックな方法などを用いる。ヒューリスティックな方法とは、例えば、単位時間あたりＮ個以上のパケットが送受信され、こららのパケットのＸ％以上はリスポンスタイムがｔミリ秒以下であるならば、不正プログラムと判定する、といった方法であり、パケット数Ｎやパケット割合Ｘなどが特徴データに該当する。
【００３１】
データ評価部９は、得られた特徴データに基づいて、この一連のパケットが不正プログラムに関するものであるかを判定する。表示警告部１１は、不正な通信が行われている旨を表示する（ステップＳ３０４）。あるいは、表示警告部１１は、インタフェース部５を介して、ターゲットパソコン１Ａに警告メッセージの送信等を行う。
異常の判定の詳細については、後で説明する。
【００３２】
図７のステップＳ３０３で保存した特徴データは、更なる不正プログラムの検出に利用できる。その手順は次のとおりである。
データ収集部６によって、送信先アドレスは処理対象アドレスと一致するが、送信元アドレスは処理対象となっていないパケットが探し出され、収集データバッファ７に保存される。
データ分析部８が、リスポンスタイムとパケットサイズに着目してデータを加工編集する。不正パターン照合部１１は、この加工編集データから特徴データを抽出し、これを、不正パターン記憶部１０に保存してあった不正パターンと照合する。照合の結果、似通っているならば、不正プログラムに関するものと判定し、表示警告部１１に通知する。
【００３３】
このように、本実施形態は、未知の不正プログラムに関する通信などの異常を検出できるとともに、いったん異常を検出すると、以後の類似した異常の検出もできる。
なお、同じ送信先アドレスに対し、異なる送信元アドレスからのパケットを処理対象とするのは、送信元アドレスを偽る攻撃者がいること、感染した複数のパソコンがネットワークを構成し、これらの複数のパソコンから異常なパケットが送られることがある等の実情を考慮したものである。
【００３４】
本発明の検出処理の要点は、繰り返し送受信されるパケットデータの特徴を抽出し、その特徴から異常を検出するものである。この根拠は、以下のとおりである。
通常、不正プログラムの動作というものは人間がマニュアル操作により同様のことを行うことが可能である。しかし、不正プログラムはそれらの処理をすべて自動化しているので、その処理は速く、予測可能である。人間がマニュアル操作で行った場合、その処理は自動化されたプログラムよりも遅く、しかも予測が不可能になる。特徴データを抽出することにより、この違いを明確にできる。
【００３５】
では、図３に示す通信が行われた場合の、異常の検出がどのように行われるか、図８を参照しながら説明する。図８は、生のパケットデータを、リスポンスタイムとデータサイズに着目して加工編集したデータを折れ線グラフで表示したものである。
図８の折れ線グラフにおいて、領域Ａは、ターゲットパソコン１ＡがＩＲＣサーバ２との接続を確立する過程（図３のステップＳ１〜Ｓ２と、これに関連する通信が通常複数回繰り返される）のパケットの状態を示す。破線の折れ線はデータサイズの変化を示し、太い実線の折れ線は前回のパケットの時刻との差分ΔＴ、つまりリスポンスタイムの変化を示している。
同様に、領域Ｂは、ターゲットパソコン１Ａがチャットに参加しているとき（図３のステップＳ３）のパケットの状態を示す。領域Ｃは、攻撃者パソコン３がＩＲＣサーバ２を経由してコマンドを送り、ターゲットパソコン１Ａに感染させていたボットを実行させているとき（図３のステップＳ４〜Ｓ１１）のパケットの状態を示す。
【００３６】
図８のグラフから、人間がマニュアル操作をしている領域Ａ及びＢのリスポンスタイムに比べ、ボットが自動処理を行っている領域Ｃのリスポンスタイムが大幅に短いことが明瞭に見て取れる。
異常が認められるリスポンスタイムの特徴データとともに、データサイズについて得られた特徴データとを併せて観察することで、不正プログラムの検出精度が一層高まる。この２種類の特徴データを用いて更なる不正プログラムの検出に役立てることができる。
【００３７】
前記の実施形態では、図３、図８に従い、ターゲットパソコンがすでに不正プログラムに感染している場合を例にとり説明した。しかし、ターゲットパソコンが、未だ感染しておらず、不正プログラムを送り込まれたり、不正プログラムをダウンロードするための命令を送られたりするなどの異常な通信の場合も、検出できる。
【００３８】
前記の実施形態では、処理対象のパケットを読み込む際に、アドレスに着目したが、アドレスと特定のポートの組み合わせで対象パケットを抽出してもよい。
【００３９】
前記の実施形態では、出願時点において、世上話題となっているボットを念頭におき、ＩＲＣサーバ経由で感染する不正プログラムを例に取って説明した。しかし、ＩＲＣサーバを利用するものだけではなく、ワームやトロイの木馬等といわれる不正プログラムについても適用可能である。これらのプログラムも人間のマニュアル操作によらず、自動的に実行されるので、パケットデータから得られた特徴データによって異常が検出しうるからである。
【００４０】
本発明は、既存のシグネチャベースの不正プログラム検出方法に代えて用いられてもよいが、既存の方法と併用してもよいことは言うまでもない。
また、不正プログラムが検出されたとき、警告し、ブロックするにとどめてもよく、駆除してもよい。検出後の対応策については、特に限定しない。
【００４１】
なお、前記のように開示された実施の形態はすべての点で例示であって、制限的なものではない。したがって、種々の変形が可能である。しかし、その変形が特許請求の範囲に記載された技術思想に基づくものである限り、その変形は本発明の技術的範囲に含まれる。
【産業上の利用可能性】
【００４２】
本発明によれば、既知の不正プログラムのトラフィックから抽出したシグネチャを必要としないため、プロアクティブ、すなわち、未知の不正プログラムの検出が可能になる。これは、従来のシグネチャベースがもつ、事後的対応しかできないという問題点を克服するものである。しかも、シグネチャデータベースを更新維持する必要がないので、費用面からも有利である。
また、本発明の検出手法は、ヒューリスティック（発見的）であり、不正パターンが蓄積されるほど、検出精度の向上が期待できる。
【図面の簡単な説明】
【００４３】
【図１】本実施形態のシステム構成例を示す図である。
【図２】本実施形態の検出装置のブロック図である。
【図３】本実施形態の処理を説明するためのセッションを例示する図である。
【図４】本実施形態の処理の概略フローを示す図である。
【図５】本実施形態のデータ収集処理のフローを示す図である。
【図６】本実施形態のデータ分析処理のフローを示す図である。
【図７】本実施形態の評価処理のフローを示す図である。
【図８】本実施形態で捕捉したパケットのリスポンスタイムとデータサイズをプロットした折れ線グラフである。
【符号の説明】
【００４４】
１（１Ａ、１Ｂ） ターゲットパソコン
２ ＩＲＣサーバ
３ 攻撃者のパソコン
４ 不正プログラム検出装置
Ｎ 通信ネットワーク
【特許請求の範囲】
【請求項１】
通信ネットワーク上を流れるパケットデータから不正プログラムを検出する方法であって、
パケットデータを捕捉するデータ収集段階と、
このパケットデータを所定の要素に着目して加工編集するデータ分析段階と、
加工編集されたデータから抽出された特徴データに基づき、前記パケットデータが不正プログラムに関するものであるか否かを判定する評価段階と、
を有するプロアクティブな不正プログラム検出方法。
【請求項２】
データの加工編集のために着目する要素として、リスポンスタイムとパケットデータサイズを用いることを特徴とする、請求項１に記載の不正プログラム検出方法。
【請求項３】
不正プログラムに関するパケットデータと判定された場合に、不正プログラムである旨の警告を出力することを特徴とする、請求項１に記載の不正プログラム検出方法。
【請求項４】
捕捉したパケットデータから抽出した特徴データと、記憶させてある不正パターンとをマッチングすることによって、当該パケットデータが不正プログラムに関するものであるか否かを判定することを特徴とする、請求項３に記載の不正プログラム検出方法。
【請求項５】
通信ネットワーク上を流れるパケットデータを捕捉できる場所に設置される不正プログラム検出装置であって、
パケットデータを捕捉するデータ収集手段と、
このパケットデータを所定の要素に着目して加工編集するデータ分析手段と、
加工編集されたデータから抽出された特徴データに基づき、前記パケットデータが不正プログラムに関するものであるか否かを判定する評価手段と、
を有することを特徴とする不正プログラム検出装置。
【請求項６】
通信ネットワーク上を流れるパケットデータから不正プログラムを検出するためのコンピュータプログラムであって、
パケットデータを捕捉するデータ収集手順と、
このパケットデータを所定の要素に着目して加工編集するデータ分析手順と、
加工編集されたデータから抽出された特徴データに基づき、前記パケットデータが不正プログラムに関するものであるか否かを判定する評価手順と、
をコンピュータに実施させることを特徴とする不正プログラム検出のためのコンピュータプログラム。
【請求項１】
通信ネットワーク上を流れるパケットデータから不正プログラムを検出する方法であって、
パケットデータを捕捉するデータ収集段階と、
このパケットデータを所定の要素に着目して加工編集するデータ分析段階と、
加工編集されたデータから抽出された特徴データに基づき、前記パケットデータが不正プログラムに関するものであるか否かを判定する評価段階と、
を有するプロアクティブな不正プログラム検出方法。
【請求項２】
データの加工編集のために着目する要素として、リスポンスタイムとパケットデータサイズを用いることを特徴とする、請求項１に記載の不正プログラム検出方法。
【請求項３】
不正プログラムに関するパケットデータと判定された場合に、不正プログラムである旨の警告を出力することを特徴とする、請求項１に記載の不正プログラム検出方法。
【請求項４】
捕捉したパケットデータから抽出した特徴データと、記憶させてある不正パターンとをマッチングすることによって、当該パケットデータが不正プログラムに関するものであるか否かを判定することを特徴とする、請求項３に記載の不正プログラム検出方法。
【請求項５】
通信ネットワーク上を流れるパケットデータを捕捉できる場所に設置される不正プログラム検出装置であって、
パケットデータを捕捉するデータ収集手段と、
このパケットデータを所定の要素に着目して加工編集するデータ分析手段と、
加工編集されたデータから抽出された特徴データに基づき、前記パケットデータが不正プログラムに関するものであるか否かを判定する評価手段と、
を有することを特徴とする不正プログラム検出装置。
【請求項６】
通信ネットワーク上を流れるパケットデータから不正プログラムを検出するためのコンピュータプログラムであって、
パケットデータを捕捉するデータ収集手順と、
このパケットデータを所定の要素に着目して加工編集するデータ分析手順と、
加工編集されたデータから抽出された特徴データに基づき、前記パケットデータが不正プログラムに関するものであるか否かを判定する評価手順と、
をコンピュータに実施させることを特徴とする不正プログラム検出のためのコンピュータプログラム。
【図１】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【公開番号】特開２００７−１５７０５９（Ｐ２００７−１５７０５９Ａ）
【公開日】平成１９年６月２１日（２００７．６．２１）
【国際特許分類】
【出願番号】特願２００５−３５４９７４（Ｐ２００５−３５４９７４）
【出願日】平成１７年１２月８日（２００５．１２．８）
【出願人】（５０４３７７３６７）株式会社セキュアブレイン (6)
【Ｆターム（参考）】
【公開日】平成１９年６月２１日（２００７．６．２１）
【国際特許分類】
【出願日】平成１７年１２月８日（２００５．１２．８）
【出願人】（５０４３７７３６７）株式会社セキュアブレイン (6)
【Ｆターム（参考）】
[ Back to top ]