処理装置およびプログラム
【課題】正規のアプリケーション等の挙動を異常な挙動として検知する誤検知を低減することができる処理装置およびプログラムを提供する。
【解決手段】ＨＤＤ５は、ファイルを記憶可能な第１の場所および第２の場所を有する。実行部１０は、第１の場所に格納されている実行ファイルを実行する。複製部１２は、第１の場所に格納されている実行ファイルを第２の場所に複製する。実行部１０は、第２の場所に格納されている実行ファイルを実行する。判定部１４は、第１の場所に格納されている実行ファイルを実行したときの実行結果と、第２の場所に格納されている実行ファイルを実行したときの実行結果とを比較する。
【解決手段】ＨＤＤ５は、ファイルを記憶可能な第１の場所および第２の場所を有する。実行部１０は、第１の場所に格納されている実行ファイルを実行する。複製部１２は、第１の場所に格納されている実行ファイルを第２の場所に複製する。実行部１０は、第２の場所に格納されている実行ファイルを実行する。判定部１４は、第１の場所に格納されている実行ファイルを実行したときの実行結果と、第２の場所に格納されている実行ファイルを実行したときの実行結果とを比較する。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、PC（Personal Computer）等の処理装置に関する。また、本発明は、本処理装置としてコンピュータを機能させるためのプログラムにも関する。
【背景技術】
【０００２】
近年、ウィルスに感染したコンピュータに悪質な動作を実行させる、ボットと呼ばれるウィルスによる被害が拡大している。ボットは、外部の指令サーバに通信セッションを確立して新たなコードをダウンロードする機能や、攻撃のための指令を受ける機能、指令に従って攻撃する機能などを持つ悪意のコードで構成されている。
【０００３】
しかし、パターンマッチング型のウィルス対策ソフトで検知できないボットが増えている。そこで、ボットを検知する手法として、ボットがPC内の複数のファイルに感染するときに自身のコードを読み込む（Read）行為や証拠隠滅のためにコードを消去する（Delete）行為に着目した検知手法が提案されている（例えば非特許文献１参照）。
【先行技術文献】
【非特許文献】
【０００４】
【非特許文献１】酒井崇裕、長谷巧、竹森敬祐、西垣正勝、“自己ファイルREAD/DELETEの検出によるボット検知の可能性に関する一検討”、マルウェア対策研究人材育成ワークショップ2008（MWS2008）、セッションM6-2、2008年10月
【発明の概要】
【発明が解決しようとする課題】
【０００５】
しかし、正規のアプリケーションのインストーラの処理でも、自身のコードを読み込んで複製すること（自己複製）や、所望の処理後にコードを消去すること（自己消去）が行われるため、上記の手法では、一部の正常な処理を誤ってボットの処理として検知してしまう問題がある。
【０００６】
本発明は、上述した課題に鑑みてなされたものであって、正規のアプリケーション等の挙動を異常な挙動として検知する誤検知を低減することができる処理装置およびプログラムを提供することを目的とする。
【課題を解決するための手段】
【０００７】
本発明者は、正規のアプリケーションやそのインストーラの実行ファイルとボットの実行ファイルとでは、実行ファイルが格納される場所に応じて、実行ファイルの実行時の挙動が異なるということを発見した。すなわち、正規のアプリケーションやそのインストーラの実行ファイルは、第１の場所と第２の場所のどちらで実行しても、実行結果が同一となる。これに対して、ボットの実行ファイルは、第１の場所で実行した場合と第２の場所で実行した場合とで、実行結果が異なる。
【０００８】
本発明は、上記に鑑みてなされたもので、ファイルを記憶可能な第１の場所および第２の場所を有する記憶手段と、前記第１の場所に格納されている実行ファイルを実行する第１の実行手段と、前記第１の場所に格納されている前記実行ファイルを前記第２の場所に複製する複製手段と、前記第２の場所に格納されている前記実行ファイルを実行する第２の実行手段と、前記第１の実行手段が前記実行ファイルを実行したときの実行結果と、前記第２の実行手段が前記実行ファイルを実行したときの実行結果とを比較する比較手段と、を備えたことを特徴とする処理装置である。
【０００９】
また、本発明の処理装置において、前記第２の場所は、前記第１の実行手段が前記実行ファイルを実行したときに展開される実行ファイルが格納される場所であることを特徴とする。
【００１０】
また、本発明の処理装置において、前記実行結果は、実行された前記実行ファイルが前記記憶手段にアクセスした結果であることを特徴とする。
【００１１】
また、本発明の処理装置において、前記実行結果は、実行された前記実行ファイルが通信を行った結果であることを特徴とする。
【００１２】
また、本発明の処理装置は、前記比較手段による比較の結果、２つの前記実行結果が一致した場合に前記実行ファイルが正規のアプリケーションまたはインストーラであると判定する判定手段をさらに備えることを特徴とする。
【００１３】
また、本発明の処理装置は、前記比較手段による比較の結果、２つの前記実行結果が一致しなかった場合に前記実行ファイルがボットであると判定する判定手段をさらに備えることを特徴とする。
【００１４】
また、本発明は、ファイルを記憶可能な第１の場所および第２の場所を有する記憶手段と、前記第１の場所に格納されている実行ファイルを実行する第１の実行手段と、前記第１の場所に格納されている前記実行ファイルを前記第２の場所に複製する複製手段と、前記第２の場所に格納されている前記実行ファイルを実行する第２の実行手段と、前記第１の実行手段が前記実行ファイルを実行したときの実行結果と、前記第２の実行手段が前記実行ファイルを実行したときの実行結果とを比較する比較手段と、としてコンピュータを機能させるためのプログラムである。
【発明の効果】
【００１５】
本発明によれば、第１の実行手段が実行ファイルを実行したときの実行結果と、第２の実行手段が実行ファイルを実行したときの実行結果とを比較することによって、正規のアプリケーション等の挙動を異常な挙動として検知する誤検知を低減することができる。
【図面の簡単な説明】
【００１６】
【図１】本発明の一実施形態による処理装置のハードウェア構成を示すブロック図である。
【図２】本発明の一実施形態による処理装置の機能構成を示すブロック図である。
【図３】本発明の一実施形態による処理装置の動作を示す参考図である。
【図４】本発明の一実施形態による処理装置の動作を示す参考図である。
【図５】本発明の一実施形態による処理装置の動作を示す参考図である。
【図６】本発明の一実施形態による処理装置の動作を示す参考図である。
【図７】ボットの挙動を示す参考図である。
【図８】正規のアプリケーションのインストーラの挙動を示す参考図である。
【発明を実施するための形態】
【００１７】
以下、図面を参照し、本発明の実施形態を説明する。まず、ボットの挙動と正規のアプリケーションのインストーラの挙動の違いを説明する。通常、ボットは、実行ファイルが同一であっても、その実行ファイル（拡張子が.exe等の実行形式のファイル）が実行される場所に応じて異なる挙動を示す。図７はボットの挙動を示している。ボットは、潜伏先となるシステムフォルダ等以外のフォルダに格納されている場合には、インストーラとしての挙動を示し、潜伏先のフォルダに自己複製を行う。
【００１８】
図７（ａ）に示すように、潜伏先のフォルダ以外のフォルダに格納されているボット７００の実行ファイルが実行（起動）されると、ボット７００は、自身の実行ファイルをコピー（複製）し、潜伏先のフォルダに格納する。潜伏先のフォルダに格納されたボット７１０の実行ファイルが実行されると、ボット７１０は外部へ各種攻撃を行う。
【００１９】
また、図７（ｂ）に示すように、潜伏先のフォルダに自己複製されたボット７１０の実行ファイルを潜伏先のフォルダ以外のフォルダにコピーしたボット７２０の実行ファイルが実行されると、ボット７２０はボット７００と同様に、自身の実行ファイルをコピーし、潜伏先のフォルダに格納する。なお、ボット７１０，７２０の実行ファイルは同一である。上記のように、ボットは、実行ファイルが実行される場所に応じて異なる挙動を示す。
【００２０】
一方、正規のアプリケーションのインストーラは、実行ファイルが実行される場所によらず、同一の挙動を示す。図８は正規のアプリケーションのインストーラの挙動を示している。図８に示すように、任意のフォルダに格納されているインストーラ８００の実行ファイルが実行されると、インストーラ８００は、圧縮ファイルを展開（解凍、伸張）し、展開後の実行ファイル８１０を展開先のフォルダ（システムフォルダ等）に格納する。なお、アプリケーションによっては、インストーラが実行ファイルを格納するフォルダをユーザが指定することが可能であるが、本実施形態では、説明を簡単にするため、アプリケーションがデフォルトで指定するフォルダに実行ファイル８１０が格納されるものとする。
【００２１】
この実行ファイル８１０が実行されると、アプリケーションとしての機能に係る処理（ユーザが指定するファイルの読み込みや編集等）が実行される。また、実行ファイル８１０を、実行ファイル８１０が格納されているフォルダ以外のフォルダにコピーした実行ファイル８２０が実行すると、実行ファイル８１０と同様のアプリケーションとしての機能に係る処理が実行される。なお、実行ファイル８１０，８２０は同一である。また、上記において、ボットや正規のアプリケーションのインストーラの実行ファイルをコピーする際には、Configuration等の設定ファイルも一緒にコピーすることが望ましい。
【００２２】
上記のように、ボットの実行ファイルは、インストーラとしての機能と、攻撃の踏み台としての機能との両方を有するため、自身がどの場所から実行されたのかを判断して、その後の挙動を変える。また、正規のアプリケーションの場合、インストーラの実行ファイルとアプリケーション本体の実行ファイルは、どの場所から実行されても、決められた挙動だけを示す。したがって、上記の挙動の違いを利用して、ボットと正規のアプリケーションまたはそのインストーラとを見分けることが可能となる。
【００２３】
図１は、本実施形態による処理装置のハードウェア構成を示している。図１に示す処理装置は、ＣＰＵ１、操作部２、表示部３、ＲＡＭ４（メモリ）、ＨＤＤ５（ハードディスクドライブ）を有し、これらがバスＢで接続されている。ＣＰＵ１は、ＨＤＤ５に格納された各種プログラムをＲＡＭ４に読み込み、そのプログラムに従った処理を実行することで各種機能を実現する。操作部２は、ユーザが操作を行うマウスやキーボード等である。表示部３は、処理装置が実行した処理の結果等を表示する液晶ディスプレイ等である。
【００２４】
ＲＡＭ４は、ＣＰＵ１が実行するプログラムや、演算に必要なデータを一時的に記憶する。ＨＤＤ５は、各種アプリケーションが実行する処理を規定するアプリケーションプログラムや、アプリケーションが作成したファイル、ＯＳ（オペレーティングシステム）の動作に必要なシステムファイル等を記憶する。
【００２５】
図２は、本実施形態による処理装置の機能構成を示している。なお、図２は、本実施形態の説明で必要な機能構成のみを示している。実行部１０、監視部１１、複製部１２、実行結果取得部１３、判定部１４は、ＣＰＵ１が各機能に係る処理を実行したときの各処理に対応する。ＨＤＤ５は、システムファイルが格納されるシステムフォルダや、システムフォルダ以外のフォルダを有する。なお、一台のＨＤＤ内に各フォルダを一括して格納するようにしてもよいし、複数台のＨＤＤ内に各フォルダを分散して格納するようにしてもよい。
【００２６】
図２に示す実行部１０、監視部１１、複製部１２、実行結果取得部１３、判定部１４が実行する処理は以下の通りである。実行部１０は実行ファイルを実行する。監視部１１は、展開ソフトの実行ファイルが実行されてファイルが展開されるときに、その展開に係る処理を監視し、展開先のフォルダを識別する。複製部１２は、ＨＤＤ５内のフォルダに格納されている実行ファイルを他のフォルダにコピー（複製）する。実行結果取得部１３は、実行ファイルが実行されるときに、その実行に係る処理を監視し、実行結果を取得する。判定部１４は、異なる条件で同一の実行ファイルが実行されたときの実行結果を比較し、比較結果に基づいて、実行ファイルがボットと正規のアプリケーション（またはそのインストーラ）のどちらであるのかを判定する。
【００２７】
次に、本実施形態による処理装置の動作を説明する。まず、図３を参照しながら、第１の動作例を説明する。第１の動作例では、ファイルを展開する展開ソフトがボットと正規のアプリケーションのインストーラのどちらであるのかが判定される。
【００２８】
具体的には、以下のようになる。ネットワークやＣＤ−ＲＯＭ等から取得した展開ソフト３００の実行ファイルが任意のフォルダに置かれている。実行部１０が展開ソフト３００の実行ファイルを実行すると、実行ファイル３１０が展開先のフォルダに展開される。このとき、監視部１１は、実行ファイル３１０の展開先のフォルダを識別する。実行部１０は、監視部１１が識別したフォルダに格納されている実行ファイル３１０を実行する。このとき、実行結果取得部１３は、実行ファイル３１０の実行を監視し、実行結果（以下、実行結果Ａとする）を取得してＲＡＭ４に格納する。
【００２９】
続いて、複製部１２は、監視部１１が識別したフォルダに格納されている実行ファイル３１０をコピーして実行ファイル３１０と同一の実行ファイル３２０を生成し、実行ファイル３１０が格納されているフォルダとは異なるフォルダに実行ファイル３２０を格納する。実行部１０は、実行ファイル３２０を実行する。このとき、実行結果取得部１３は、実行ファイル３２０の実行を監視し、実行結果（以下、実行結果Ａ’とする）を取得してＲＡＭ４に格納する。
【００３０】
続いて、判定部１４は、ＲＡＭ４から実行結果Ａおよび実行結果Ａ’を読み出し、両者を比較する。実行結果Ａと実行結果Ａ’が一致する場合、判定部１４は、展開ソフト３００が正規のアプリケーションのインストーラであると判定する。また、実行結果Ａと実行結果Ａ’が一致しない場合、判定部１４は、展開ソフト３００がボットであると判定する。
【００３１】
本実施形態では、一例として、ファイルに対するアクセス（ファイルアクセス）の結果と通信結果の２種類の実行結果に注目する。ファイルアクセスの結果に注目する場合、以下のようになる。正規のアプリケーションは、その実行ファイルが実行されると、その実行ファイルが格納されている場所によらず、ＨＤＤ５内の所定のフォルダに格納されている所定のファイルを読み出す。例えば、ワープロソフトであれば、編集対象のファイルを読み出す。このため、正規のアプリケーションの場合、実行結果Ａと実行結果Ａ’は一致する。
【００３２】
一方、ボットは、自身の実行ファイルが格納されているフォルダに応じて、挙動が異なる。ボットの場合、例えば以下の２種類のファイルアクセスパターンがある。
【００３３】
第１のファイルアクセスパターンでは、実行ファイル３１０は、指令サーバから受信した指令ファイルをＨＤＤ５に保存し、攻撃に必要なファイル（例えばスパムメールに記載される本文等が格納されたファイル）をＨＤＤ５から読み出す。また、実行ファイル３２０は、インストールが終了していないと判断し、ＨＤＤ５に格納されている自身の実行ファイルをコピーし、実行ファイル３１０を生成して潜伏先のフォルダに格納する。
【００３４】
第２のファイルアクセスパターンでは、実行ファイル３１０は、攻撃に必要なファイルをＨＤＤ５から読み出す。また、実行ファイル３２０は、インストールが終了していないと判断し、ＨＤＤ５に格納されている自身の実行ファイルをコピーし、実行ファイル３１０を生成して潜伏先のフォルダに格納すると共に、指令サーバから受信した指令ファイルをＨＤＤ５に保存する。したがって、ボットの場合、第１のファイルアクセスパターンと第２のファイルアクセスパターンのいずれにおいても、実行結果Ａと実行結果Ａ’は一致しない。
【００３５】
判定部１４は、実行ファイルがアクセスするファイルとアクセスの種類（読み込み、書き込み、消去）が実行結果Ａと実行結果Ａ’で一致するか否かを判定する。これによって、ボットと正規のアプリケーションまたはそのインストーラとを見分けることができる。上記の判定を行うためには、実行ファイルを実行したときに生成されるプロセスが行うファイルアクセスを監視する必要があるが、この監視を行うツールとして、例えばFile Mon（http://technet.microsoft.com/en-us/sysinternals/bb896642.aspx）等を利用することが可能である。
【００３６】
また、通信結果に注目する場合、以下のようになる。通信を行う正規のアプリケーションであるブラウザは、その実行ファイルが実行されると、その実行ファイルが格納されている場所によらず、まず予め設定されているホームページを開くため、そのホームページを提供するサーバと通信を行う。このため、正規のアプリケーションの場合、実行結果Ａと実行結果Ａ’は一致する。
【００３７】
一方、ボットは、自身の実行ファイルが格納されているフォルダに応じて、挙動が異なる。ボットの場合、例えば以下の２種類の通信パターンがある。
【００３８】
第１の通信パターンでは、実行ファイル３１０は外部に対して攻撃のための通信（指令サーバからの指令ファイルの受信と外部の端末への攻撃パケットの送信）を行う。また、実行ファイル３２０は、自身の実行ファイルをコピーするときに通信を行わない。
【００３９】
第２の通信パターンでは、実行ファイル３１０は、外部に対して攻撃のための通信（外部の端末への攻撃パケットの送信）を行う。また、実行ファイル３２０は、実行ファイル３１０を生成して潜伏先のフォルダに格納すると共に、指令サーバから指令ファイルを受信する。指令サーバと攻撃対象の外部の端末は、異なる端末である。したがって、ボットの場合、第１の通信パターンと第２の通信パターンのいずれにおいても、実行結果Ａと実行結果Ａ’は一致しない。
【００４０】
判定部１４は、実行ファイルが行う通信の宛先のＦＱＤＮ（Fully Qualified Domain Name）とポート番号の組が実行結果Ａと実行結果Ａ’とで一致するか否かを判定する。これによって、ボットと正規のアプリケーションまたはそのインストーラとを見分けることができる。上記の判定を行うためには、実行ファイルを実行したときに生成されるプロセスが行う通信を監視する必要があるが、この監視を行う方法として、例えば文献（竹森敬祐、三宅優、“無操作ホストから発信されるパケットに注目したウイルス感染検知”、情処研報、CSEC36、pp.141-146、2007年3月）に記載されている方法を利用することが可能である。
【００４１】
なお、実行ファイルが通信を行わなかった場合でも上記と同じ方法による判定を可能とするため、実行ファイルが通信を行わなかった場合には何らかのＦＱＤＮとポート番号が実行結果として得られるようにしておくことが望ましい。例えば、通常使用されない所定の文字列と番号をそれぞれ実行結果のＦＱＤＮとポート番号とし、判定に使用すればよい。また、上記の方法以外の方法で判定を行ってもよく、例えば比較すべき２つの実行結果として、通信したという実行結果と通信しなかったという実行結果が得られた場合には２つの実行結果が一致しないと判定してもよい。
【００４２】
次に、図４を参照しながら、第２の動作例を説明する。第２の動作例では、既にＨＤＤ５に展開された後の実行ファイルがボットと正規のアプリケーションのどちらであるのかが判定される。図４に示す第２の動作例は、図３に示した第１の動作例において、実行ファイル３１０が展開された後の動作とほぼ同様である。
【００４３】
具体的には、以下のようになる。実行部１０は、展開先のフォルダに格納されている実行ファイル４００を実行する。このとき、実行結果取得部１３は、実行ファイル４００の実行を監視し、実行結果（以下、実行結果Ｂとする）を取得してＲＡＭ４に格納する。
【００４４】
続いて、複製部１２は、実行ファイル４００をコピーして実行ファイル４００と同一の実行ファイル４１０を生成し、実行ファイル４００が格納されているフォルダとは異なるフォルダに実行ファイル４１０を格納する。実行部１０は、実行ファイル４１０を実行する。このとき、実行結果取得部１３は、実行ファイル４１０の実行を監視し、実行結果（以下、実行結果Ｂ’とする）を取得してＲＡＭ４に格納する。
【００４５】
続いて、判定部１４は、ＲＡＭ４から実行結果Ｂおよび実行結果Ｂ’を読み出し、両者を比較する。実行結果Ｂと実行結果Ｂ’が一致する場合、判定部１４は、実行ファイル４００が正規のアプリケーションであると判定する。また、実行結果Ｂと実行結果Ｂ’が一致しない場合、判定部１４は、実行ファイル４００がボットであると判定する。
【００４６】
次に、図５および図６を参照しながら、第３の動作例を説明する。第３の動作例では、ファイルを展開する展開ソフトがボットと正規のアプリケーションのインストーラのどちらであるのかが、第１の動作例とは異なる方法で判定される。
【００４７】
具体的には、以下のようになる。ネットワークやＣＤ−ＲＯＭ等から取得した展開ソフト５００の実行ファイルが任意のフォルダに置かれており、実行部１０が展開ソフト５００の実行ファイルを実行すると、実行ファイル５１０が展開先のフォルダに展開される。このとき、監視部１１は、実行ファイル５１０の展開先のフォルダを識別する。また、実行結果取得部１３は、展開ソフト５００の実行ファイルの実行を監視し、実行結果（以下、実行結果Ｃとする）を取得してＲＡＭ４に格納する。
【００４８】
続いて、複製部１２は、展開ソフト５００の実行ファイルをコピーして、その実行ファイルと同一の展開ソフト５２０の実行ファイルを生成し、監視部１１が識別したフォルダにその実行ファイルを格納する。実行部１０は、展開ソフト５２０の実行ファイルを実行する。このとき、実行結果取得部１３は、展開ソフト５２０の実行ファイルの実行を監視し、実行結果（以下、実行結果Ｃ’とする）を取得してＲＡＭ４に格納する。続いて、判定部１４は、ＲＡＭ４から実行結果Ｃおよび実行結果Ｃ’を読み出し、両者を比較する。
【００４９】
正規のアプリケーションのインストーラの場合、図５に示すように、展開ソフト５００，５２０は展開先のフォルダに実行ファイル５１０を展開する。このため、実行結果Ｃと実行結果Ｃ’が一致し、判定部１４は、展開ソフト５００の実行ファイルが正規のアプリケーションのインストーラであると判定する。
【００５０】
ボットの場合、図６に示すように、展開ソフト５００は、自身の実行ファイルが潜伏先のフォルダと異なるフォルダに格納されているときには潜伏先のフォルダに実行ファイル５１０を展開する。また、展開ソフト５００は、自身の実行ファイルが潜伏先のフォルダに格納されているときには、攻撃に必要なファイルをＨＤＤ５から読み出して外部の端末へ攻撃パケットを送信する。このため、実行結果Ｃと実行結果Ｃ’が一致せず、判定部１４は、展開ソフト５００がボットであると判定する。なお、ボットの中には、展開ソフト５００が図５に示した正規のアプリケーションのインストーラと同様の動作を行うものがある。このようなボットについては、第３の動作例では正規のアプリケーションと区別することはできない。
【００５１】
上述したように、本実施形態によれば、ＨＤＤ５内の異なる場所に格納されている同一の実行ファイルをそれぞれ実行したときの実行結果を比較することによって、ボットと正規のアプリケーションまたはそのインストーラとを見分けることが可能となる。したがって、正規のアプリケーション等の挙動を異常な挙動として検知する誤検知を低減することができる。
【００５２】
以上、図面を参照して本発明の実施形態について詳述してきたが、具体的な構成は上記の実施形態に限られるものではなく、本発明の要旨を逸脱しない範囲の設計変更等も含まれる。例えば、上記の処理装置の動作および機能を実現するためのプログラムをコンピュータ読み取り可能な記録媒体に記録して、この記録媒体に記録されたプログラムをコンピュータに読み込ませ、実行させてもよい。
【００５３】
ここで、「コンピュータ」は、ＷＷＷシステムを利用している場合であれば、ホームページ提供環境（あるいは表示環境）も含むものとする。また、「コンピュータ読み取り可能な記録媒体」とは、フレキシブルディスク、光磁気ディスク、ＲＯＭ、ＣＤ−ＲＯＭ等の可搬媒体、コンピュータに内蔵されるハードディスク等の記憶装置のことをいう。さらに「コンピュータ読み取り可能な記録媒体」とは、インターネット等のネットワークや電話回線等の通信回線を介してプログラムが送信された場合のサーバやクライアントとなるコンピュータシステム内部の揮発性メモリ（ＲＡＭ）のように、一定時間プログラムを保持しているものも含むものとする。
【００５４】
また、上述したプログラムは、このプログラムを記憶装置等に格納したコンピュータから、伝送媒体を介して、あるいは伝送媒体中の伝送波により他のコンピュータに伝送されてもよい。ここで、プログラムを伝送する「伝送媒体」は、インターネット等のネットワーク（通信網）や電話回線等の通信回線（通信線）のように、情報を伝送する機能を有する媒体のことをいう。また、上述したプログラムは、前述した機能の一部を実現するためのものであってもよい。さらに、前述した機能を、コンピュータに既に記録されているプログラムとの組合せで実現できるもの、いわゆる差分ファイル（差分プログラム）であってもよい。
【符号の説明】
【００５５】
１・・・ＣＰＵ、２・・・操作部、３・・・表示部、４・・・ＲＡＭ、５・・・ＨＤＤ（記憶手段）、１０・・・実行部（実行手段）、１１・・・監視部、１２・・・複製部（複製手段）、１３・・・実行結果取得部、１４・・・判定部（比較手段、判定手段）
【技術分野】
【０００１】
本発明は、PC（Personal Computer）等の処理装置に関する。また、本発明は、本処理装置としてコンピュータを機能させるためのプログラムにも関する。
【背景技術】
【０００２】
近年、ウィルスに感染したコンピュータに悪質な動作を実行させる、ボットと呼ばれるウィルスによる被害が拡大している。ボットは、外部の指令サーバに通信セッションを確立して新たなコードをダウンロードする機能や、攻撃のための指令を受ける機能、指令に従って攻撃する機能などを持つ悪意のコードで構成されている。
【０００３】
しかし、パターンマッチング型のウィルス対策ソフトで検知できないボットが増えている。そこで、ボットを検知する手法として、ボットがPC内の複数のファイルに感染するときに自身のコードを読み込む（Read）行為や証拠隠滅のためにコードを消去する（Delete）行為に着目した検知手法が提案されている（例えば非特許文献１参照）。
【先行技術文献】
【非特許文献】
【０００４】
【非特許文献１】酒井崇裕、長谷巧、竹森敬祐、西垣正勝、“自己ファイルREAD/DELETEの検出によるボット検知の可能性に関する一検討”、マルウェア対策研究人材育成ワークショップ2008（MWS2008）、セッションM6-2、2008年10月
【発明の概要】
【発明が解決しようとする課題】
【０００５】
しかし、正規のアプリケーションのインストーラの処理でも、自身のコードを読み込んで複製すること（自己複製）や、所望の処理後にコードを消去すること（自己消去）が行われるため、上記の手法では、一部の正常な処理を誤ってボットの処理として検知してしまう問題がある。
【０００６】
本発明は、上述した課題に鑑みてなされたものであって、正規のアプリケーション等の挙動を異常な挙動として検知する誤検知を低減することができる処理装置およびプログラムを提供することを目的とする。
【課題を解決するための手段】
【０００７】
本発明者は、正規のアプリケーションやそのインストーラの実行ファイルとボットの実行ファイルとでは、実行ファイルが格納される場所に応じて、実行ファイルの実行時の挙動が異なるということを発見した。すなわち、正規のアプリケーションやそのインストーラの実行ファイルは、第１の場所と第２の場所のどちらで実行しても、実行結果が同一となる。これに対して、ボットの実行ファイルは、第１の場所で実行した場合と第２の場所で実行した場合とで、実行結果が異なる。
【０００８】
本発明は、上記に鑑みてなされたもので、ファイルを記憶可能な第１の場所および第２の場所を有する記憶手段と、前記第１の場所に格納されている実行ファイルを実行する第１の実行手段と、前記第１の場所に格納されている前記実行ファイルを前記第２の場所に複製する複製手段と、前記第２の場所に格納されている前記実行ファイルを実行する第２の実行手段と、前記第１の実行手段が前記実行ファイルを実行したときの実行結果と、前記第２の実行手段が前記実行ファイルを実行したときの実行結果とを比較する比較手段と、を備えたことを特徴とする処理装置である。
【０００９】
また、本発明の処理装置において、前記第２の場所は、前記第１の実行手段が前記実行ファイルを実行したときに展開される実行ファイルが格納される場所であることを特徴とする。
【００１０】
また、本発明の処理装置において、前記実行結果は、実行された前記実行ファイルが前記記憶手段にアクセスした結果であることを特徴とする。
【００１１】
また、本発明の処理装置において、前記実行結果は、実行された前記実行ファイルが通信を行った結果であることを特徴とする。
【００１２】
また、本発明の処理装置は、前記比較手段による比較の結果、２つの前記実行結果が一致した場合に前記実行ファイルが正規のアプリケーションまたはインストーラであると判定する判定手段をさらに備えることを特徴とする。
【００１３】
また、本発明の処理装置は、前記比較手段による比較の結果、２つの前記実行結果が一致しなかった場合に前記実行ファイルがボットであると判定する判定手段をさらに備えることを特徴とする。
【００１４】
また、本発明は、ファイルを記憶可能な第１の場所および第２の場所を有する記憶手段と、前記第１の場所に格納されている実行ファイルを実行する第１の実行手段と、前記第１の場所に格納されている前記実行ファイルを前記第２の場所に複製する複製手段と、前記第２の場所に格納されている前記実行ファイルを実行する第２の実行手段と、前記第１の実行手段が前記実行ファイルを実行したときの実行結果と、前記第２の実行手段が前記実行ファイルを実行したときの実行結果とを比較する比較手段と、としてコンピュータを機能させるためのプログラムである。
【発明の効果】
【００１５】
本発明によれば、第１の実行手段が実行ファイルを実行したときの実行結果と、第２の実行手段が実行ファイルを実行したときの実行結果とを比較することによって、正規のアプリケーション等の挙動を異常な挙動として検知する誤検知を低減することができる。
【図面の簡単な説明】
【００１６】
【図１】本発明の一実施形態による処理装置のハードウェア構成を示すブロック図である。
【図２】本発明の一実施形態による処理装置の機能構成を示すブロック図である。
【図３】本発明の一実施形態による処理装置の動作を示す参考図である。
【図４】本発明の一実施形態による処理装置の動作を示す参考図である。
【図５】本発明の一実施形態による処理装置の動作を示す参考図である。
【図６】本発明の一実施形態による処理装置の動作を示す参考図である。
【図７】ボットの挙動を示す参考図である。
【図８】正規のアプリケーションのインストーラの挙動を示す参考図である。
【発明を実施するための形態】
【００１７】
以下、図面を参照し、本発明の実施形態を説明する。まず、ボットの挙動と正規のアプリケーションのインストーラの挙動の違いを説明する。通常、ボットは、実行ファイルが同一であっても、その実行ファイル（拡張子が.exe等の実行形式のファイル）が実行される場所に応じて異なる挙動を示す。図７はボットの挙動を示している。ボットは、潜伏先となるシステムフォルダ等以外のフォルダに格納されている場合には、インストーラとしての挙動を示し、潜伏先のフォルダに自己複製を行う。
【００１８】
図７（ａ）に示すように、潜伏先のフォルダ以外のフォルダに格納されているボット７００の実行ファイルが実行（起動）されると、ボット７００は、自身の実行ファイルをコピー（複製）し、潜伏先のフォルダに格納する。潜伏先のフォルダに格納されたボット７１０の実行ファイルが実行されると、ボット７１０は外部へ各種攻撃を行う。
【００１９】
また、図７（ｂ）に示すように、潜伏先のフォルダに自己複製されたボット７１０の実行ファイルを潜伏先のフォルダ以外のフォルダにコピーしたボット７２０の実行ファイルが実行されると、ボット７２０はボット７００と同様に、自身の実行ファイルをコピーし、潜伏先のフォルダに格納する。なお、ボット７１０，７２０の実行ファイルは同一である。上記のように、ボットは、実行ファイルが実行される場所に応じて異なる挙動を示す。
【００２０】
一方、正規のアプリケーションのインストーラは、実行ファイルが実行される場所によらず、同一の挙動を示す。図８は正規のアプリケーションのインストーラの挙動を示している。図８に示すように、任意のフォルダに格納されているインストーラ８００の実行ファイルが実行されると、インストーラ８００は、圧縮ファイルを展開（解凍、伸張）し、展開後の実行ファイル８１０を展開先のフォルダ（システムフォルダ等）に格納する。なお、アプリケーションによっては、インストーラが実行ファイルを格納するフォルダをユーザが指定することが可能であるが、本実施形態では、説明を簡単にするため、アプリケーションがデフォルトで指定するフォルダに実行ファイル８１０が格納されるものとする。
【００２１】
この実行ファイル８１０が実行されると、アプリケーションとしての機能に係る処理（ユーザが指定するファイルの読み込みや編集等）が実行される。また、実行ファイル８１０を、実行ファイル８１０が格納されているフォルダ以外のフォルダにコピーした実行ファイル８２０が実行すると、実行ファイル８１０と同様のアプリケーションとしての機能に係る処理が実行される。なお、実行ファイル８１０，８２０は同一である。また、上記において、ボットや正規のアプリケーションのインストーラの実行ファイルをコピーする際には、Configuration等の設定ファイルも一緒にコピーすることが望ましい。
【００２２】
上記のように、ボットの実行ファイルは、インストーラとしての機能と、攻撃の踏み台としての機能との両方を有するため、自身がどの場所から実行されたのかを判断して、その後の挙動を変える。また、正規のアプリケーションの場合、インストーラの実行ファイルとアプリケーション本体の実行ファイルは、どの場所から実行されても、決められた挙動だけを示す。したがって、上記の挙動の違いを利用して、ボットと正規のアプリケーションまたはそのインストーラとを見分けることが可能となる。
【００２３】
図１は、本実施形態による処理装置のハードウェア構成を示している。図１に示す処理装置は、ＣＰＵ１、操作部２、表示部３、ＲＡＭ４（メモリ）、ＨＤＤ５（ハードディスクドライブ）を有し、これらがバスＢで接続されている。ＣＰＵ１は、ＨＤＤ５に格納された各種プログラムをＲＡＭ４に読み込み、そのプログラムに従った処理を実行することで各種機能を実現する。操作部２は、ユーザが操作を行うマウスやキーボード等である。表示部３は、処理装置が実行した処理の結果等を表示する液晶ディスプレイ等である。
【００２４】
ＲＡＭ４は、ＣＰＵ１が実行するプログラムや、演算に必要なデータを一時的に記憶する。ＨＤＤ５は、各種アプリケーションが実行する処理を規定するアプリケーションプログラムや、アプリケーションが作成したファイル、ＯＳ（オペレーティングシステム）の動作に必要なシステムファイル等を記憶する。
【００２５】
図２は、本実施形態による処理装置の機能構成を示している。なお、図２は、本実施形態の説明で必要な機能構成のみを示している。実行部１０、監視部１１、複製部１２、実行結果取得部１３、判定部１４は、ＣＰＵ１が各機能に係る処理を実行したときの各処理に対応する。ＨＤＤ５は、システムファイルが格納されるシステムフォルダや、システムフォルダ以外のフォルダを有する。なお、一台のＨＤＤ内に各フォルダを一括して格納するようにしてもよいし、複数台のＨＤＤ内に各フォルダを分散して格納するようにしてもよい。
【００２６】
図２に示す実行部１０、監視部１１、複製部１２、実行結果取得部１３、判定部１４が実行する処理は以下の通りである。実行部１０は実行ファイルを実行する。監視部１１は、展開ソフトの実行ファイルが実行されてファイルが展開されるときに、その展開に係る処理を監視し、展開先のフォルダを識別する。複製部１２は、ＨＤＤ５内のフォルダに格納されている実行ファイルを他のフォルダにコピー（複製）する。実行結果取得部１３は、実行ファイルが実行されるときに、その実行に係る処理を監視し、実行結果を取得する。判定部１４は、異なる条件で同一の実行ファイルが実行されたときの実行結果を比較し、比較結果に基づいて、実行ファイルがボットと正規のアプリケーション（またはそのインストーラ）のどちらであるのかを判定する。
【００２７】
次に、本実施形態による処理装置の動作を説明する。まず、図３を参照しながら、第１の動作例を説明する。第１の動作例では、ファイルを展開する展開ソフトがボットと正規のアプリケーションのインストーラのどちらであるのかが判定される。
【００２８】
具体的には、以下のようになる。ネットワークやＣＤ−ＲＯＭ等から取得した展開ソフト３００の実行ファイルが任意のフォルダに置かれている。実行部１０が展開ソフト３００の実行ファイルを実行すると、実行ファイル３１０が展開先のフォルダに展開される。このとき、監視部１１は、実行ファイル３１０の展開先のフォルダを識別する。実行部１０は、監視部１１が識別したフォルダに格納されている実行ファイル３１０を実行する。このとき、実行結果取得部１３は、実行ファイル３１０の実行を監視し、実行結果（以下、実行結果Ａとする）を取得してＲＡＭ４に格納する。
【００２９】
続いて、複製部１２は、監視部１１が識別したフォルダに格納されている実行ファイル３１０をコピーして実行ファイル３１０と同一の実行ファイル３２０を生成し、実行ファイル３１０が格納されているフォルダとは異なるフォルダに実行ファイル３２０を格納する。実行部１０は、実行ファイル３２０を実行する。このとき、実行結果取得部１３は、実行ファイル３２０の実行を監視し、実行結果（以下、実行結果Ａ’とする）を取得してＲＡＭ４に格納する。
【００３０】
続いて、判定部１４は、ＲＡＭ４から実行結果Ａおよび実行結果Ａ’を読み出し、両者を比較する。実行結果Ａと実行結果Ａ’が一致する場合、判定部１４は、展開ソフト３００が正規のアプリケーションのインストーラであると判定する。また、実行結果Ａと実行結果Ａ’が一致しない場合、判定部１４は、展開ソフト３００がボットであると判定する。
【００３１】
本実施形態では、一例として、ファイルに対するアクセス（ファイルアクセス）の結果と通信結果の２種類の実行結果に注目する。ファイルアクセスの結果に注目する場合、以下のようになる。正規のアプリケーションは、その実行ファイルが実行されると、その実行ファイルが格納されている場所によらず、ＨＤＤ５内の所定のフォルダに格納されている所定のファイルを読み出す。例えば、ワープロソフトであれば、編集対象のファイルを読み出す。このため、正規のアプリケーションの場合、実行結果Ａと実行結果Ａ’は一致する。
【００３２】
一方、ボットは、自身の実行ファイルが格納されているフォルダに応じて、挙動が異なる。ボットの場合、例えば以下の２種類のファイルアクセスパターンがある。
【００３３】
第１のファイルアクセスパターンでは、実行ファイル３１０は、指令サーバから受信した指令ファイルをＨＤＤ５に保存し、攻撃に必要なファイル（例えばスパムメールに記載される本文等が格納されたファイル）をＨＤＤ５から読み出す。また、実行ファイル３２０は、インストールが終了していないと判断し、ＨＤＤ５に格納されている自身の実行ファイルをコピーし、実行ファイル３１０を生成して潜伏先のフォルダに格納する。
【００３４】
第２のファイルアクセスパターンでは、実行ファイル３１０は、攻撃に必要なファイルをＨＤＤ５から読み出す。また、実行ファイル３２０は、インストールが終了していないと判断し、ＨＤＤ５に格納されている自身の実行ファイルをコピーし、実行ファイル３１０を生成して潜伏先のフォルダに格納すると共に、指令サーバから受信した指令ファイルをＨＤＤ５に保存する。したがって、ボットの場合、第１のファイルアクセスパターンと第２のファイルアクセスパターンのいずれにおいても、実行結果Ａと実行結果Ａ’は一致しない。
【００３５】
判定部１４は、実行ファイルがアクセスするファイルとアクセスの種類（読み込み、書き込み、消去）が実行結果Ａと実行結果Ａ’で一致するか否かを判定する。これによって、ボットと正規のアプリケーションまたはそのインストーラとを見分けることができる。上記の判定を行うためには、実行ファイルを実行したときに生成されるプロセスが行うファイルアクセスを監視する必要があるが、この監視を行うツールとして、例えばFile Mon（http://technet.microsoft.com/en-us/sysinternals/bb896642.aspx）等を利用することが可能である。
【００３６】
また、通信結果に注目する場合、以下のようになる。通信を行う正規のアプリケーションであるブラウザは、その実行ファイルが実行されると、その実行ファイルが格納されている場所によらず、まず予め設定されているホームページを開くため、そのホームページを提供するサーバと通信を行う。このため、正規のアプリケーションの場合、実行結果Ａと実行結果Ａ’は一致する。
【００３７】
一方、ボットは、自身の実行ファイルが格納されているフォルダに応じて、挙動が異なる。ボットの場合、例えば以下の２種類の通信パターンがある。
【００３８】
第１の通信パターンでは、実行ファイル３１０は外部に対して攻撃のための通信（指令サーバからの指令ファイルの受信と外部の端末への攻撃パケットの送信）を行う。また、実行ファイル３２０は、自身の実行ファイルをコピーするときに通信を行わない。
【００３９】
第２の通信パターンでは、実行ファイル３１０は、外部に対して攻撃のための通信（外部の端末への攻撃パケットの送信）を行う。また、実行ファイル３２０は、実行ファイル３１０を生成して潜伏先のフォルダに格納すると共に、指令サーバから指令ファイルを受信する。指令サーバと攻撃対象の外部の端末は、異なる端末である。したがって、ボットの場合、第１の通信パターンと第２の通信パターンのいずれにおいても、実行結果Ａと実行結果Ａ’は一致しない。
【００４０】
判定部１４は、実行ファイルが行う通信の宛先のＦＱＤＮ（Fully Qualified Domain Name）とポート番号の組が実行結果Ａと実行結果Ａ’とで一致するか否かを判定する。これによって、ボットと正規のアプリケーションまたはそのインストーラとを見分けることができる。上記の判定を行うためには、実行ファイルを実行したときに生成されるプロセスが行う通信を監視する必要があるが、この監視を行う方法として、例えば文献（竹森敬祐、三宅優、“無操作ホストから発信されるパケットに注目したウイルス感染検知”、情処研報、CSEC36、pp.141-146、2007年3月）に記載されている方法を利用することが可能である。
【００４１】
なお、実行ファイルが通信を行わなかった場合でも上記と同じ方法による判定を可能とするため、実行ファイルが通信を行わなかった場合には何らかのＦＱＤＮとポート番号が実行結果として得られるようにしておくことが望ましい。例えば、通常使用されない所定の文字列と番号をそれぞれ実行結果のＦＱＤＮとポート番号とし、判定に使用すればよい。また、上記の方法以外の方法で判定を行ってもよく、例えば比較すべき２つの実行結果として、通信したという実行結果と通信しなかったという実行結果が得られた場合には２つの実行結果が一致しないと判定してもよい。
【００４２】
次に、図４を参照しながら、第２の動作例を説明する。第２の動作例では、既にＨＤＤ５に展開された後の実行ファイルがボットと正規のアプリケーションのどちらであるのかが判定される。図４に示す第２の動作例は、図３に示した第１の動作例において、実行ファイル３１０が展開された後の動作とほぼ同様である。
【００４３】
具体的には、以下のようになる。実行部１０は、展開先のフォルダに格納されている実行ファイル４００を実行する。このとき、実行結果取得部１３は、実行ファイル４００の実行を監視し、実行結果（以下、実行結果Ｂとする）を取得してＲＡＭ４に格納する。
【００４４】
続いて、複製部１２は、実行ファイル４００をコピーして実行ファイル４００と同一の実行ファイル４１０を生成し、実行ファイル４００が格納されているフォルダとは異なるフォルダに実行ファイル４１０を格納する。実行部１０は、実行ファイル４１０を実行する。このとき、実行結果取得部１３は、実行ファイル４１０の実行を監視し、実行結果（以下、実行結果Ｂ’とする）を取得してＲＡＭ４に格納する。
【００４５】
続いて、判定部１４は、ＲＡＭ４から実行結果Ｂおよび実行結果Ｂ’を読み出し、両者を比較する。実行結果Ｂと実行結果Ｂ’が一致する場合、判定部１４は、実行ファイル４００が正規のアプリケーションであると判定する。また、実行結果Ｂと実行結果Ｂ’が一致しない場合、判定部１４は、実行ファイル４００がボットであると判定する。
【００４６】
次に、図５および図６を参照しながら、第３の動作例を説明する。第３の動作例では、ファイルを展開する展開ソフトがボットと正規のアプリケーションのインストーラのどちらであるのかが、第１の動作例とは異なる方法で判定される。
【００４７】
具体的には、以下のようになる。ネットワークやＣＤ−ＲＯＭ等から取得した展開ソフト５００の実行ファイルが任意のフォルダに置かれており、実行部１０が展開ソフト５００の実行ファイルを実行すると、実行ファイル５１０が展開先のフォルダに展開される。このとき、監視部１１は、実行ファイル５１０の展開先のフォルダを識別する。また、実行結果取得部１３は、展開ソフト５００の実行ファイルの実行を監視し、実行結果（以下、実行結果Ｃとする）を取得してＲＡＭ４に格納する。
【００４８】
続いて、複製部１２は、展開ソフト５００の実行ファイルをコピーして、その実行ファイルと同一の展開ソフト５２０の実行ファイルを生成し、監視部１１が識別したフォルダにその実行ファイルを格納する。実行部１０は、展開ソフト５２０の実行ファイルを実行する。このとき、実行結果取得部１３は、展開ソフト５２０の実行ファイルの実行を監視し、実行結果（以下、実行結果Ｃ’とする）を取得してＲＡＭ４に格納する。続いて、判定部１４は、ＲＡＭ４から実行結果Ｃおよび実行結果Ｃ’を読み出し、両者を比較する。
【００４９】
正規のアプリケーションのインストーラの場合、図５に示すように、展開ソフト５００，５２０は展開先のフォルダに実行ファイル５１０を展開する。このため、実行結果Ｃと実行結果Ｃ’が一致し、判定部１４は、展開ソフト５００の実行ファイルが正規のアプリケーションのインストーラであると判定する。
【００５０】
ボットの場合、図６に示すように、展開ソフト５００は、自身の実行ファイルが潜伏先のフォルダと異なるフォルダに格納されているときには潜伏先のフォルダに実行ファイル５１０を展開する。また、展開ソフト５００は、自身の実行ファイルが潜伏先のフォルダに格納されているときには、攻撃に必要なファイルをＨＤＤ５から読み出して外部の端末へ攻撃パケットを送信する。このため、実行結果Ｃと実行結果Ｃ’が一致せず、判定部１４は、展開ソフト５００がボットであると判定する。なお、ボットの中には、展開ソフト５００が図５に示した正規のアプリケーションのインストーラと同様の動作を行うものがある。このようなボットについては、第３の動作例では正規のアプリケーションと区別することはできない。
【００５１】
上述したように、本実施形態によれば、ＨＤＤ５内の異なる場所に格納されている同一の実行ファイルをそれぞれ実行したときの実行結果を比較することによって、ボットと正規のアプリケーションまたはそのインストーラとを見分けることが可能となる。したがって、正規のアプリケーション等の挙動を異常な挙動として検知する誤検知を低減することができる。
【００５２】
以上、図面を参照して本発明の実施形態について詳述してきたが、具体的な構成は上記の実施形態に限られるものではなく、本発明の要旨を逸脱しない範囲の設計変更等も含まれる。例えば、上記の処理装置の動作および機能を実現するためのプログラムをコンピュータ読み取り可能な記録媒体に記録して、この記録媒体に記録されたプログラムをコンピュータに読み込ませ、実行させてもよい。
【００５３】
ここで、「コンピュータ」は、ＷＷＷシステムを利用している場合であれば、ホームページ提供環境（あるいは表示環境）も含むものとする。また、「コンピュータ読み取り可能な記録媒体」とは、フレキシブルディスク、光磁気ディスク、ＲＯＭ、ＣＤ−ＲＯＭ等の可搬媒体、コンピュータに内蔵されるハードディスク等の記憶装置のことをいう。さらに「コンピュータ読み取り可能な記録媒体」とは、インターネット等のネットワークや電話回線等の通信回線を介してプログラムが送信された場合のサーバやクライアントとなるコンピュータシステム内部の揮発性メモリ（ＲＡＭ）のように、一定時間プログラムを保持しているものも含むものとする。
【００５４】
また、上述したプログラムは、このプログラムを記憶装置等に格納したコンピュータから、伝送媒体を介して、あるいは伝送媒体中の伝送波により他のコンピュータに伝送されてもよい。ここで、プログラムを伝送する「伝送媒体」は、インターネット等のネットワーク（通信網）や電話回線等の通信回線（通信線）のように、情報を伝送する機能を有する媒体のことをいう。また、上述したプログラムは、前述した機能の一部を実現するためのものであってもよい。さらに、前述した機能を、コンピュータに既に記録されているプログラムとの組合せで実現できるもの、いわゆる差分ファイル（差分プログラム）であってもよい。
【符号の説明】
【００５５】
１・・・ＣＰＵ、２・・・操作部、３・・・表示部、４・・・ＲＡＭ、５・・・ＨＤＤ（記憶手段）、１０・・・実行部（実行手段）、１１・・・監視部、１２・・・複製部（複製手段）、１３・・・実行結果取得部、１４・・・判定部（比較手段、判定手段）
【特許請求の範囲】
【請求項１】
ファイルを記憶可能な第１の場所および第２の場所を有する記憶手段と、
前記第１の場所に格納されている実行ファイルを実行する第１の実行手段と、
前記第１の場所に格納されている前記実行ファイルを前記第２の場所に複製する複製手段と、
前記第２の場所に格納されている前記実行ファイルを実行する第２の実行手段と、
前記第１の実行手段が前記実行ファイルを実行したときの実行結果と、前記第２の実行手段が前記実行ファイルを実行したときの実行結果とを比較する比較手段と、
を備えたことを特徴とする処理装置。
【請求項２】
前記第２の場所は、前記第１の実行手段が前記実行ファイルを実行したときに展開される実行ファイルが格納される場所であることを特徴とする請求項１に記載の処理装置。
【請求項３】
前記実行結果は、実行された前記実行ファイルが前記記憶手段にアクセスした結果であることを特徴とする請求項１または請求項２に記載の処理装置。
【請求項４】
前記実行結果は、実行された前記実行ファイルが通信を行った結果であることを特徴とする請求項１または請求項２に記載の処理装置。
【請求項５】
前記比較手段による比較の結果、２つの前記実行結果が一致した場合に前記実行ファイルが正規のアプリケーションまたはインストーラであると判定する判定手段をさらに備えることを特徴とする請求項１〜請求項４のいずれかに記載の処理装置。
【請求項６】
前記比較手段による比較の結果、２つの前記実行結果が一致しなかった場合に前記実行ファイルがボットであると判定する判定手段をさらに備えることを特徴とする請求項１〜請求項４のいずれかに記載の処理装置。
【請求項７】
ファイルを記憶可能な第１の場所および第２の場所を有する記憶手段と、
前記第１の場所に格納されている実行ファイルを実行する第１の実行手段と、
前記第１の場所に格納されている前記実行ファイルを前記第２の場所に複製する複製手段と、
前記第２の場所に格納されている前記実行ファイルを実行する第２の実行手段と、
前記第１の実行手段が前記実行ファイルを実行したときの実行結果と、前記第２の実行手段が前記実行ファイルを実行したときの実行結果とを比較する比較手段と、
としてコンピュータを機能させるためのプログラム。
【請求項１】
ファイルを記憶可能な第１の場所および第２の場所を有する記憶手段と、
前記第１の場所に格納されている実行ファイルを実行する第１の実行手段と、
前記第１の場所に格納されている前記実行ファイルを前記第２の場所に複製する複製手段と、
前記第２の場所に格納されている前記実行ファイルを実行する第２の実行手段と、
前記第１の実行手段が前記実行ファイルを実行したときの実行結果と、前記第２の実行手段が前記実行ファイルを実行したときの実行結果とを比較する比較手段と、
を備えたことを特徴とする処理装置。
【請求項２】
前記第２の場所は、前記第１の実行手段が前記実行ファイルを実行したときに展開される実行ファイルが格納される場所であることを特徴とする請求項１に記載の処理装置。
【請求項３】
前記実行結果は、実行された前記実行ファイルが前記記憶手段にアクセスした結果であることを特徴とする請求項１または請求項２に記載の処理装置。
【請求項４】
前記実行結果は、実行された前記実行ファイルが通信を行った結果であることを特徴とする請求項１または請求項２に記載の処理装置。
【請求項５】
前記比較手段による比較の結果、２つの前記実行結果が一致した場合に前記実行ファイルが正規のアプリケーションまたはインストーラであると判定する判定手段をさらに備えることを特徴とする請求項１〜請求項４のいずれかに記載の処理装置。
【請求項６】
前記比較手段による比較の結果、２つの前記実行結果が一致しなかった場合に前記実行ファイルがボットであると判定する判定手段をさらに備えることを特徴とする請求項１〜請求項４のいずれかに記載の処理装置。
【請求項７】
ファイルを記憶可能な第１の場所および第２の場所を有する記憶手段と、
前記第１の場所に格納されている実行ファイルを実行する第１の実行手段と、
前記第１の場所に格納されている前記実行ファイルを前記第２の場所に複製する複製手段と、
前記第２の場所に格納されている前記実行ファイルを実行する第２の実行手段と、
前記第１の実行手段が前記実行ファイルを実行したときの実行結果と、前記第２の実行手段が前記実行ファイルを実行したときの実行結果とを比較する比較手段と、
としてコンピュータを機能させるためのプログラム。
【図１】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【公開番号】特開２０１０−２７１７７５（Ｐ２０１０−２７１７７５Ａ）
【公開日】平成２２年１２月２日（２０１０．１２．２）
【国際特許分類】
【出願番号】特願２００９−１２１１１０（Ｐ２００９−１２１１１０）
【出願日】平成２１年５月１９日（２００９．５．１９）
【出願人】（０００２０８８９１）ＫＤＤＩ株式会社 (2,700)
【出願人】（３０４０２３３１８）国立大学法人静岡大学 (416)
【Ｆターム（参考）】
【公開日】平成２２年１２月２日（２０１０．１２．２）
【国際特許分類】
【出願日】平成２１年５月１９日（２００９．５．１９）
【出願人】（０００２０８８９１）ＫＤＤＩ株式会社 (2,700)
【出願人】（３０４０２３３１８）国立大学法人静岡大学 (416)
【Ｆターム（参考）】
[ Back to top ]