JP2019125243A - マルウェア検知システムおよびマルウェア検知方法 - Google Patents

Abstract

【課題】ユーザ環境と同一の環境でマルウェアを解析し検知するシステムおよび方法を、限られたリソースの中で提供する。【解決手段】メールの添付ファイルを解析するマルウェア検知システムにおいて、クライアント端末を宛先とし、添付ファイルを含むメールを受信し、受信メールに含まれる情報に基づいて、サンドボックス環境の種別を選択し、選択の結果と添付ファイルを、サンドボックス環境での解析のために送信するメールサーバと、前記メールサーバから送信された選択の結果と添付ファイルを受信し、受信した選択の結果にしたがって、前記クライアント端末の環境を利用して構築されたクローンサンドボックス環境、または前記クライアント端末の環境を利用せずに構築された標準サンドボックス環境で、受信した添付ファイルを実行することにより解析するサンドボックス管理装置と、を備える。【選択図】図１

Description

本発明は、マルウェア検知システムおよびマルウェア検知方法に関する。

企業等の組織は、他組織と連携をして業務を進めるために、インターネットを利用して情報を送受信するのが一般的となっている。一方で、インターネット上には悪意を持ったユーザが存在し、それらのユーザから送付されるマルウェア等の悪性プログラムが添付されたメールを受信し、その悪性に気付かずに実行すると、組織外部への情報漏えいや組織内のシステムダウンを引き起こす恐れがある。

そうした悪性プログラムの対策として、ファイルのパターンを検知し駆除する技術が用いられている。そうした技術は既知の悪性プログラムには有効であるが、未知もしくは新種の悪性プログラムを検知し、駆除することは困難である。

また、悪性プログラムが実行されても被害を受けない環境を用意し、実際に悪性プログラムの可能性があるファイルを実行して動作を確認する方法もある。そうした方法の代表例には、特許文献１で示されるサンドボックスと呼ばれる外部から隔離された仮想マシン環境下で分析対象のファイルを実行する技術が挙げられる。

特開２０１７−１２９８９３号公報

特許文献１に示されたサンドボックスでは、ユーザ環境に合わせた仮想マシンを選択して使用しているが、ユーザ環境と同一の環境までは提供できていない。あくまでも類似の環境であることから、環境に依存するマルウェアに対し、確実な検知ができない可能性も残っている。

そこで、本発明の目的は、ユーザ環境と同一の環境でマルウェアを解析し検知するシステムおよび方法を、限られたリソースの中で提供することにある。

本発明では、上記課題を解決するため、メールの添付ファイルを解析するマルウェア検知システムにおいて、クライアント端末を宛先とし、添付ファイルを含むメールを受信し、受信メールに含まれる情報に基づいて、サンドボックス環境の種別を選択し、選択の結果と添付ファイルを、サンドボックス環境での解析のために送信するメールサーバと、前記メールサーバから送信された選択の結果と添付ファイルを受信し、受信した選択の結果にしたがって、前記クライアント端末の環境を利用して構築されたクローンサンドボックス環境、または前記クライアント端末の環境を利用せずに構築された標準サンドボックス環境で、受信した添付ファイルを実行することにより解析するサンドボックス管理装置と、を備えたことを特徴とする。

本発明によれば、ユーザ環境と同一の環境でマルウェアを解析し検知するシステムおよび方法を、限られたリソースの中で提供することが可能になる。

マルウェア検知システムの例を示す図である。 解析判定用テーブルの例を示す図である。 端末管理テーブルの例を示す図である。 サンドボックス管理テーブルの例を示す図である。 サンドボックス環境選択の処理フローの例を示す図である。 選択されたサンドボックス環境を用いる解析の処理フローの例を示す図である。

以下、本発明によるクローンを用いたサンドボックスによるマルウェア検知システムの実施形態を、実施例として、図面を用いて説明する。

図１は、一実施形態によるクローンを用いたサンドボックスによるマルウェア検知システムの例を示す図である。図１に示すように、マルウェア検知システムは、メールサーバ兼判定用装置１１１とサンドボックス管理装置１２１とを有し、これらの装置間及びクライアント端末１０１との間はネットワークで結ばれている。

図１の例では、クライアント端末１０１が複数であり、メールサーバ兼判定用装置１１１とサンドボックス管理装置１２１のそれぞれは１台ずつであるが、メールサーバ兼判定用装置１１１とサンドボックス管理装置１２１のそれぞれは複数であってもよい。また、メールサーバ兼判定用装置１１１とサンドボックス管理装置１２１は１台の装置であってもよい。さらに、ネットワークは有線でも無線でもよい。

メールサーバ兼判定用装置１１１は、メールの処理を実行するメール受信部１１４と、添付ファイル解析部１１５と、メール送信部１１６とを有し、情報が格納された解析判定用テーブル１１７と端末管理テーブル１１８とを有する。

メールサーバ兼判定用装置１１１は、一般的なコンピュータであってもよい。この場合、メール受信部１１４と、添付ファイル解析部１１５と、メール送信部１１６との処理内容にそれぞれ相当する図示を省略したプログラムが有り、それらのプログラムを演算装置１１２が実行することによって、演算装置１１２が各部と成る。

また、解析判定用テーブル１１７と端末管理テーブル１１８とは、ＤＢ（Data Base）として記憶装置１１３に格納される。ここで、演算装置１１２はＣＰＵ（Central Processing Unit）であってもよく、記憶装置１１３はメモリまたはＨＤＤ（Hard Disk Drive）またはＳＳＤ（Solid State Drive）であってもよい。

メールサーバ兼判定用装置１１１は、演算装置１１２と記憶装置１１３以外のハードウェアを有してもよく、例えばネットワークアダプタなどを有してもよい。そして、メール受信部１１４などの一部にネットワークアダプタが含まれてもよい。

メール受信部１１４は、メールサーバ兼判定用装置１１１がクライアント端末１０１のメールサーバとなるために、マルウェア検知システムの外部またはクライアント端末１０１のいずれかから、クライアント端末１０１宛に送信されたメールをクライアント端末１０１より前に受信する。

なお、メール受信部１１４は、メールサーバ兼判定用装置１１１がクライアント端末１０１のメールサーバとなるために、クライアント端末１０１からマルウェア検知システムの外部宛に送信されたメールを受信してもよい。

添付ファイル解析部１１５は、メール受信部１１４で受信されたメールを解析し、解析した情報に基づいて、添付ファイルを、クローンを用いたサンドボックス環境、または標準のサンドボックス環境のいずれで実行するかのサンドボックスの種別を選択し、選択した種別の情報や添付ファイルなどの添付ファイルの実行に必要な情報をサンドボックス管理装置へ送信する。

メール送信部１１６は、サンドボックス管理装置１２１から受信したサンドボックス環境での実行による解析結果に基づいて、解析済みのメールを、メールの宛先のクライアント端末１０１に送信するか、または送信せずに遮断する。

解析判定用テーブル１１７は、添付ファイルに関する情報と、サンドボックス環境に関する情報とを対応付けるテーブルであり、端末管理テーブル１１８は、宛先メールアドレスと、宛先メールアドレスに対応する端末に関する情報のテーブルである。これらのテーブルについては、図２Ａ、２Ｂを用いてさらに説明する。

クライアント端末１０１は、ユーザが用いる情報端末であり、メールを送受信するメール機能を有する一般的なコンピュータやタブレットなどの情報機器である。また、クライアント端末１０１は、（プログラム）ファイルを実行できる情報機器であり、これにより受信したメールの添付ファイルを実行することができる。

クライアント端末１０１のファイルの実行環境として、個別環境１０３を有する。個別環境１０３は、複数のクライアント端末１０１それぞれで異なってもよい環境であり、例えば、ファイルを実行するためのプログラムやライブラリまたはパラメタの設定などである。

表データのファイルにマクロや組み込みプログラムが含まれる場合、それを実行するための表計算プログラムが必要であるが、このような表計算プログラムがインストールされていることなども、個別環境１０３に含まれるし、このような表計算プログラムのインストールされているバージョンなども、個別環境１０３に含まれる。

次に説明するような、プラットフォーム１０２が仮想環境のためのハイパーバイザである場合、個別環境１０３は、ハイパーバイザ上で実行される仮想マシンのイメージファイルであってもよい。

個別環境１０３は、プラットフォーム１０２の上に構築される。プラットフォーム１０２は、仮想環境のためのハイパーバイザであってもよいし、クライアント端末１０１のハードウェアリソースであってもよい。ただし、個別環境１０３はソフトウェアリソースのみとなるようなプラットフォーム１０２であることが好ましい。

また、プラットフォーム１０２は、複数のクライアント端末１０１において、個別環境１０３に共通のインターフェイスを提供するものであることが好ましい。なお、プラットフォーム１０２以外のもので、クライアント端末１０１とサンドボックス管理装置１２１の違いを吸収できるのであれば、プラットフォーム１０２は無くてもよい。

サンドボックス管理装置１２１は、サンドボックスに関する処理を実行するクローン環境構築部１２４とサンドボックス管理部１２５とを有し、プログラムまたはデータが格納されたクローンサンドボックス環境１３１と、サンドボックス管理テーブル１２７と、標準サンドボックス環境１２６とを有する。

サンドボックス管理装置１２１は、一般的なコンピュータであってもよい。この場合、クローン環境構築部１２４とサンドボックス管理部１２５の処理内容にそれぞれ相当する図示を省略したプログラムが有り、それらのプログラムを演算装置１２２が実行することによって、演算装置１２２が各部と成る。

また、クローンサンドボックス環境１３１と、サンドボックス管理テーブル１２７と、標準サンドボックス環境１２６とは記憶装置１２３に格納される。ここで、演算装置１２２はＣＰＵであってもよく、記憶装置１２３はメモリまたはＨＤＤまたはＳＳＤであってもよい。

サンドボックス管理装置１２１は、演算装置１２２と記憶装置１２３以外のハードウェアを有してもよく、例えばネットワークアダプタなどを有してもよい。そして、サンドボックス管理部１２５などの一部にネットワークアダプタが含まれてもよい。また、プラットフォーム１３２のために、クライアント端末１０１と同じハードウェアを有してもよい。

サンドボックス管理部１２５は、添付ファイル解析部１１５から送信されたサンドボックスの種別に基づき、クローンサンドボックス環境１３１または標準サンドボックス環境１２６のいずれかを選択し、添付ファイル解析部１１５から転送された受信メールの添付ファイルをサンドボックス環境に送付する。

ここで、サンドボックス管理部１２５が、クローンサンドボックス環境１３１を選択する場合は、添付ファイル解析部１１５から転送された受信メールの宛先となるクライアント端末１０１のＩＰアドレス情報に基づき、該当するクローンサンドボックス環境１３１を選択して添付ファイルを送付する。

なお、サンドボックス管理部１２５からクローンサンドボックス環境１３１への添付ファイルの送付は、クローン環境構築部１２４経由で送付されてもよいし、直接に送付されてもよい。

クローンサンドボックス環境１３１は、クライアント端末１０１と同一の実行環境を有し、標準サンドボックス環境１２６は複数の実行環境を有しており、それぞれサンドボックス管理部１２５から送付された添付ファイルを実行して解析する。

クローンサンドボックス環境１３１は、クライアント端末１０１の個別環境１０３と同一の個別環境１３３を有することにより、クライアント端末１０１と同一の実行環境を実現する。クローンサンドボックス環境１３１のプラットフォーム１３２は、クライアント端末１０１のプラットフォーム１０２の個別環境１０３に対するインターフェイスと共通のインターフェイスを提供する。

また、プラットフォーム１３２は、ハイパーバイザであってもよいし、クライアント端末１０１と同じハードウェアリソースを含んでいてもよい。ただし、個別環境１３３に対するインターフェイスが共通であれば、プラットフォーム１３２は、クライアント端末１０１のプラットフォーム１０２と同一でなくてもよい。

さらに、クライアント端末１０１がネットワークに接続された時点などの、クライアント端末１０１のプラットフォーム１０２が固定された時点で、プラットフォーム１３２はサンドボックス管理装置１２１の中に構築されるのが好ましい。なお、クライアント端末１０１にプラットフォーム１０２が無い場合は、プラットフォーム１３２も無くてもよい。

サンドボックス管理部１２５が添付ファイル解析部１１５から情報を受信した時点で、クローンサンドボックス環境１３１が構築されていない場合、サンドボックス管理部１２５はクローン環境構築部１２４に受信メールの宛先の端末のＩＰアドレス情報を送付し、クローンサンドボックス環境１３１を構築させる。

このために、クローン環境構築部１２４は、ＩＰアドレス情報を基にクライアント端末１０１から個別環境１０３をネットワーク経由で取得することによりコピーし、コピーしたものを個別環境１３３としてクローンサンドボックス環境１３１を構築する。これにより、クライアント端末１０１と同一の実行環境が実現される。

標準サンドボックス環境１２６は、ＯＳ（Operating System）がインストールされただけの環境であってもよく、基本的なアプリケーションプログラムがさらにインストールされただけの環境であってもよい。クローンサンドボックス環境１３１の構築との対比において、標準サンドボックス環境１２６は、クライアント端末１０１の環境（個別環境１０３）を利用しないで構築された環境というものであってもよい。

サンドボックス管理装置１２１は同一環境の複数の標準サンドボックス環境１２６を有してもよく、サンドボックス管理部１２５は、複数の標準サンドボックス環境１２６のそれぞれへ、添付ファイルを順次振り分けてもよい。

なお、メールサーバ兼判定用装置１１１は、既存のメールサーバを改造したものでもよく、この意味で、メールサーバ兼判定用装置１１１はメールサーバと称してもよい。マルウェア検知システムは、メールを処理するシステムであるので、メールシステムと称してもよい。

図２Ａ〜２Ｃは、マルウェア検知システム内で使用されるデータの一例を示す図である。図２Ａに示す解析判定用テーブル１１７は、識別子であるＩＤ２０１と、添付ファイルの形式２０２と、添付ファイルに対応するサンドボックス種別２０３から構成される。

例えば、ＩＤ２０１が「００１」では、添付ファイルの形式２０２が「.xxx」と、対応するサンドボックス種別２０３として「クローンサンドボックス」が格納され、ＩＤ２０１が「００２」及び「００３」では、添付ファイルの形式２０２「.yyy」及び「.zzz」に対応するサンドボックス種別２０３として「標準サンドボックス」が格納されている。

これにより、解析判定用テーブル１１７は、添付ファイルの形式２０２に基づき、サンドボックス種別２０３が選択可能な情報となっている。この例において、添付ファイルの形式２０２の「.xxx」は添付ファイルのファイル名の拡張子であるが、添付ファイルの形式２０２は一例であり、添付ファイルの他の情報であってもよい。

また、添付ファイルの情報に限定されるものではなく、受信メールに含まれるメールヘッダの送信元、宛先、または主題、あるいは本文など、図２Ａに示した添付ファイルの形式２０２以外の情報とサンドボックス種別２０３が対応付けられてもよい。そして、その情報に基づき、サンドボックス環境の種別が選択されてもよい。

解析判定用テーブル１１７には、予め情報が格納されていてもよいし、メールサーバ兼判定用装置１１１が稼働中に、ネットワーク経由で得られた情報または図１では図示を省略した入力装置から得られた情報が格納されてもよい。

図２Ｂに示す端末管理テーブル１１８は、識別子であるＩＤ２１１と、クライアント端末１０１のメールアドレスであるメールアドレス２１２と、メールアドレス２１２のメールアドレスに対応するクライアント端末１０１の端末ＩＰアドレス２１３から構成される。

端末管理テーブル１１８には、予めクライアント端末１０１の情報が格納されている。例えば、ＩＤ２１１が「００１」では、メールアドレス２１２が「[email protected]」に対応するクライアント端末１０１の端末ＩＰアドレス２１３が「１９２．１６８．１０．１」である。

図２Ｃに示すサンドボックス管理テーブル１２７は、識別子であるＩＤ２２１と、クライアント端末１０１のＩＰアドレスである端末ＩＰアドレス２２２と、対応するサンドボックス環境のＩＰアドレスであるサンドボックスＩＰアドレス２２３と、サンドボックス種別２２４と、サンドボックスの環境２２５から構成される。

サンドボックス管理テーブル１２７には、クローンサンドボックス環境１３１及び標準サンドボックス環境１２６の情報が格納される。１つのサンドボックス環境にＩＤ２２１の１つの識別子が割り当てられ、サンドボックスＩＰアドレス２２３の１つのＩＰアドレスが割り当てられる。このため、サンドボックス環境のそれぞれは、ＩＤ２２１あるいはサンドボックスＩＰアドレス２２３の情報により識別可能である。

格納される情報は、例えば、ＩＤ２２１が「００１」では、端末ＩＰアドレス２２２が「１９２．１６８．１０．１」に対応するクローンサンドボックスのサンドボックスＩＰアドレス２２３が「１０．１０．１０．１」であり、サンドボックス種別２２４としては「クローンサンドボックス」が該当し、環境２２５は端末ＩＰアドレス２２２の「１９２．１６８．１０．１」のクライアント端末１０１と「同一環境」である。

また、ＩＤ２２１が「００３」では、サンドボックス種別２２４が「標準サンドボックス」のため、サンドボックスＩＰアドレス２２３の「１０．１０．２０．１」に対応するクライアント端末１０１は存在しないため、端末ＩＰアドレス２２２の情報は有していない。

そして、ＩＤ２２１が「００３」では、環境２２５がＯＳとして「OS Ver 1.0」がインストールされていることを示す情報であるが、この環境２２５の情報は一例であり、ＯＳ以外の情報としてアプリケーションの情報などが含まれてもよい。

サンドボックス管理テーブル１２７には、クローンサンドボックス環境１３１の情報が予め格納されていなくてもよく、受信メールに応じて、クローン環境構築部１２４が構築した時点で格納されてもよい。または、端末ＩＰアドレス２２２以外の情報が予め格納されており、クローン環境構築部１２４が構築した時点で、構築対象のクライアント端末１０１のＩＰアドレスが端末ＩＰアドレス２２２に格納されてもよい。

サンドボックス管理テーブル１２７には、標準サンドボックス環境１２６の情報が予め格納されていてもよく、標準サンドボックス環境１２６が構築された時点で格納されてもよい。

図３Ａは、サンドボックス環境選択の処理フローの例を示す図である。図３Ａに示す処理フローは、メールサーバ兼判定用装置１１１が、クライアント端末１０１またはマルウェア検知システムの外のメールサーバから、クライアント端末１０１宛の添付ファイル付のメールを受信するところを開始とする。

ステップ３０１で、メールサーバ兼判定用装置１１１のメール受信部１１４は、まず添付ファイル付のメールを受信する。ステップ３０２で、メール受信部１１４は、受信したメールを添付ファイル解析部１１５に送付する。ステップ３０３で、添付ファイル解析部１１５は、受信メールの情報から添付ファイルの情報及び宛先メールアドレスを取得する。

ステップ３０４で、添付ファイル解析部１１５は、ステップ３０３で取得した添付ファイルの情報と一致する添付ファイルの形式２０２の情報を探索し、探索により見つかった添付ファイルの形式２０２の情報に対応するサンドボックス種別２０３の情報を解析判定用テーブル１１７から取得する。

また、ステップ３０４で、添付ファイル解析部１１５は、ステップ３０３で取得した宛先メールアドレスと一致するメールアドレス２１２の情報を端末管理テーブル１１８から探索し、探索により見つかったメールアドレス２１２の情報に対応する端末ＩＰアドレス２１３の情報を端末管理テーブル１１８から取得する。

サンドボックス種別２０３の情報を取得することにより、添付ファイル解析部１１５は、ステップ３０３で取得した添付ファイルが環境に依存する添付ファイルであるかを判定したことになる。

ステップ３０５及びステップ３０６で、添付ファイル解析部１１５は、ステップ３０４の判定の結果すなわち解析判定用テーブル１１７から取得したサンドボックス種別２０３の情報に基づき、標準サンドボックス環境１２６（ステップ３０５）またはクローンサンドボックス環境１３１（ステップ３０６）を選択する。

なお、ステップ３０５、３０６の選択では、標準サンドボックス環境１２６またはクローンサンドボックス環境１３１を示す何らかの情報を設定してもよい。また、ステップ３０４、３０５、３０６において、添付ファイル解析部１１５は、判定と選択の代わりに、サンドボックス種別２０３などの情報を取得し、次に説明するステップ３０７で利用可能にするだけでもよい。

ステップ３０７で、添付ファイル解析部１１５は、サンドボックス管理装置１２１のサンドボックス管理部１２５に対し、ステップ３０５またはステップ３０６で選択したサンドボックス環境の情報と、端末ＩＰアドレス２１３の情報と、ステップ３０１で受信したメールの添付ファイルを送信する。

以上の処理により、サンドボックス管理装置１２１は、メールサーバ兼判定用装置１１１から、解析対象となる添付ファイルを受け取る。この際、ステップ３０２〜３０６の実行により、環境に依存する添付ファイルなど、クローンを用いたサンドボックス環境を必要とする添付ファイルである場合は、クローンサンドボックス環境１３１を選択し、それ以外の場合は標準サンドボックス環境１２６を選択することが可能となる。

これによって、ユーザは所持する多くのクライアント端末１０１の中で、標準サンドボックス環境１２６を利用しつつ、より最適な環境での解析が必要の場合には、限られたリソースであるクローンサンドボックス環境１３１を利用することができる。

図３Ｂは、選択されたサンドボックス環境を用いる解析の処理フローの例を示す図である。図３Ｂに示す処理フローは、サンドボックス管理装置１２１が、メールサーバ兼判定用装置１１１から、選択されたサンドボックス環境の情報と、端末ＩＰアドレス２１３の情報と、添付ファイルを受信するところを開始とする。

ステップ３１１で、サンドボックス管理部１２５は、選択されたサンドボックス環境の情報と、端末ＩＰアドレス２１３の情報と、添付ファイルを受信する。

ステップ３１２で、サンドボックス管理部１２５は、選択されたサンドボックス環境の情報がクローンサンドボックス環境を示す場合、ステップ３１１で受信した端末ＩＰアドレス２１３の情報と一致するＩＰアドレスをサンドボックス管理テーブル１２７の端末ＩＰアドレス２２２で探索することにより、使用するサンドボックス環境がないかを判定する。

すなわち、端末ＩＰアドレス２２２の探索により一致するＩＰアドレスが見つかった場合は、その見つかったＩＰアドレスに対応するサンドボックスＩＰアドレス２２３のＩＰアドレスが、使用対象のクローンサンドボックス環境１３１のものであるので、使用するサンドボックス環境があると判定され、探索により一致するＩＰアドレスが見つからなかった場合は、使用するサンドボックス環境がないと判定される。

また、ステップ３１２で、サンドボックス管理部１２５は、選択されたサンドボックス環境の情報が標準サンドボックス環境１２６を示す場合、標準サンドボックス環境は存在するため、使用するサンドボックス環境はあると判定する。

使用するサンドボックス環境がないと判定された場合、ステップ３１３で、サンドボックス管理部１２５はクローン環境構築部１２４へサンドボックス環境の構築を指示する。クローン環境構築部１２４は、ステップ３１１で受信された端末ＩＰアドレス２１３の情報に基づいて、クライアント端末１０１から個別環境１０３のコピーを取得する。

そして、クローン環境構築部１２４は、取得したコピーを個別環境１３３として、プラットフォーム１３２と合わせてクローンサンドボックス環境１３１を構築し、構築したクローンサンドボックス環境１３１の情報をサンドボックス管理テーブル１２７へ登録する。

ステップ３１２の探索により見つかったクローンサンドボックス環境１３１、ステップ３１３で構築されたクローンサンドボックス環境１３１、あるいは標準サンドボックス環境１２６へ、サンドボックス管理部１２５は、ステップ３１４で添付ファイルを送付する。標準サンドボックス環境１２６が複数であり、標準サンドボックス環境１２６へ送付される場合、複数の標準サンドボックス環境１２６へ順次振り分けるように送付されてもよい。

添付ファイルが送付されたクローンサンドボックス環境１３１または標準サンドボックス環境１２６は添付ファイルを実行し、その実行による解析結果をサンドボックス管理部１２５に送付する。ここで、添付ファイルの実行と解析は、本実施形態の特徴ではないため、詳しい説明を省略する。

ステップ３１５で、サンドボックス管理部１２５は、メールサーバ兼判定用装置１１１のメール送信部１１６に解析結果を送信する。

ステップ３１６で、メール送信部１１６は、受信した解析結果に悪意のある挙動があるかを判定し、悪意のある挙動があると判定した場合、ステップ３１８でメールの送信を遮断し、悪意のある挙動がないと判定した場合、ステップ３１７で宛先のクライアント端末１０１にメールを送信する。

このために、添付ファイルを実行したサンドボックス環境そのもの、またはサンドボックス管理部１２５が、悪意のある挙動を検知して解析結果に検知の内容を含め、メール送信部１１６が解析結果に含まれた検知の内容をステップ３１６で判定してもよい。

または、サンドボックス環境そのものは添付ファイルの実行による挙動そのものの情報を解析結果とし、サンドボックス管理部１２５は解析結果を単に転送し、メール送信部１１６が解析結果に含まれる挙動の情報から悪意のある挙動を検知することにより、ステップ３１６で判定してもよい。

以上の処理により、サンドボックス管理装置１２１は、受信メールの宛先のクライアント端末１０１の個別環境１０３と同一の個別環境１３３を有するクローンサンドボックス環境１３１で、受信メールの添付ファイルを実行して解析できる。

これにより、添付ファイルに悪意のある挙動をするマルウェアが含まれている可能性のある場合、そのマルウェアを実環境と同一の環境で検知することが可能になる。そして、クライアント端末１０１へのマルウェアの脅威を防ぐことができる。

また、多数のクライアント端末１０１に対してサンドボックス管理装置１２１のリソースが十分に確保できない場合、クローンサンドボックス環境１３１までは必要のない添付ファイルを標準サンドボックス環境１２６で実行して解析することも可能となるので、リソース不足によるマルウェアの見逃しを抑えることができる。

サンドボックス管理装置１２１の不要なリソースの増加を抑えるため、またはクライアント端末１０１の個別環境１０３の変化に対応するため、クローンサンドボックス環境１３１は削除されてもよい。

例えば、図３Ｂに示したステップ３１５で、サンドボックス管理部１２５は、ステップ３１４の実行に使用されたクローンサンドボックス環境１３１を削除し、サンドボックス管理テーブル１２７内の削除されたクローンサンドボックス環境１３１に関する情報を削除してもよい。

このようなステップ３１５での削除は、特に、クライアント端末１０１の個別環境１０３の変更が頻繁である場合、その個別環境１０３とクローンサンドボックス環境１３１の個別環境１３３とを一致させる効果がある。

また、予め設定された時間、例えば１日毎（毎日の予め設定された時刻）で、サンドボックス管理部１２５は、クローンサンドボックス環境１３１とその情報を削除してもよい。または、構築されてから予め設定された時間の経過したクローンサンドボックス環境１３１とその情報を、サンドボックス管理部１２５は削除してもよい。

また、予め設定された時間に、添付ファイルの実行回数が予め設定された回数未満、またはクライアント端末１０１の個別環境１０３の変更回数が予め設定された回数を超えるクローンサンドボックス環境１３１とその情報を、サンドボックス管理部１２５は削除してもよい。

さらに、クライアント端末１０１の個別環境１０３が変更されると、その変更の通知を受けて、サンドボックス管理部１２５は、変更された個別環境１０３のコピーである個別環境１３３を有するクローンサンドボックス環境１３１とその情報を削除してもよい。

以上のようにクローンサンドボックス環境１３１を削除することにより、サンドボックス管理装置１２１のリソース消費量を減らし、新たなクローンサンドボックス環境１３１を構築できる余地を残すことが可能となる。

１０１：クライアント端末、１０３：個別環境、１１１：メールサーバ兼判定用装置、１１５：添付ファイル解析部、１１７：解析判定用テーブル、１２１：サンドボックス管理装置、１２４：クローン環境構築部、１２６：標準サンドボックス環境、１３１：クローンサンドボックス環境、１３３：個別環境

Claims (15)

1. メールの添付ファイルを解析するマルウェア検知システムにおいて、
   クライアント端末を宛先とし、添付ファイルを含むメールを受信し、
   受信メールに含まれる情報に基づいて、サンドボックス環境の種別を選択し、
   選択の結果と添付ファイルを、サンドボックス環境での解析のために送信するメールサーバと、
   前記メールサーバから送信された選択の結果と添付ファイルを受信し、
   受信した選択の結果にしたがって、前記クライアント端末の環境を利用して構築されたクローンサンドボックス環境、または前記クライアント端末の環境を利用せずに構築された標準サンドボックス環境で、受信した添付ファイルを実行することにより解析するサンドボックス管理装置と、
   を備えたことを特徴とするマルウェア検知システム。
2. 請求項１に記載のマルウェア検知システムにおいて、
   前記メールサーバは、
   受信メールに含まれる添付ファイルのファイル名の拡張子に基づいて、サンドボックス環境の種別を選択すること
   を特徴とするマルウェア検知システム。
3. 請求項１に記載のマルウェア検知システムにおいて、
   前記メールサーバは、
   受信メールのヘッダの情報に基づいて、サンドボックス環境の種別を選択すること
   を特徴とするマルウェア検知システム。
4. 請求項２に記載のマルウェア検知システムにおいて、
   前記メールサーバは、
   選択の結果と添付ファイルと、さらに受信メールの宛先の情報を、サンドボックス環境での解析のために、前記サンドボックス管理装置へ送信し、
   前記サンドボックス管理装置は、
   複数のクローンサンドボックス環境を有し、
   前記メールサーバから送信された選択の結果と添付ファイルと、さらに受信メールの宛先の情報を受信し、
   受信した選択の結果がクローンサンドボックス環境である場合、受信した受信メールの宛先の情報に対応するクローンサンドボックス環境を複数のクローンサンドボックス環境の中から探索し、探索により見つかったクローンサンドボックス環境で、受信した添付ファイルを実行することにより解析すること
   を特徴とするマルウェア検知システム。
5. 請求項４に記載のマルウェア検知システムにおいて、
   前記サンドボックス管理装置は、
   受信した選択の結果がクローンサンドボックス環境である場合、受信した受信メールの宛先の情報に対応するクローンサンドボックス環境を複数のクローンサンドボックス環境の中から探索し、探索により見つからないと、受信した受信メールの宛先の前記クライアント端末の環境を利用してクローンサンドボックス環境を構築し、構築したクローンサンドボックス環境で、受信した添付ファイルを実行することにより解析すること
   を特徴とするマルウェア検知システム。
6. 請求項５に記載のマルウェア検知システムにおいて、
   前記サンドボックス管理装置は、
   受信した受信メールの宛先の前記クライアント端末の環境をコピーし、コピーした環境を含むクローンサンドボックス環境を構築すること
   を特徴とするマルウェア検知システム。
7. 請求項６に記載のマルウェア検知システムにおいて、
   前記サンドボックス管理装置は、
   複数の標準サンドボックス環境を有し、
   受信した選択の結果が標準サンドボックス環境である場合、複数の標準サンドボックスの中から順次選択した標準サンドボックス環境で、受信した添付ファイルを実行することにより解析すること
   を特徴とするマルウェア検知システム。
8. 請求項７に記載のマルウェア検知システムにおいて、
   前記サンドボックス管理装置は、
   構築したクローンサンドボックス環境で、受信した添付ファイルを実行することにより解析した後、構築したクローンサンドボックス環境を削除すること
   を特徴とするマルウェア検知システム。
9. 請求項８に記載のマルウェア検知システムにおいて、
   前記サンドボックス管理装置は、
   構築したクローンサンドボックス環境で、受信した添付ファイルを実行することにより解析した後、構築から予め設定された時間経過すると、構築したクローンサンドボックス環境を削除すること
   を特徴とするマルウェア検知システム。
10. 請求項７に記載のマルウェア検知システムにおいて、
    前記サンドボックス管理装置は、
    解析の結果を前記メールサーバへ送信し、
    前記メールサーバは、
    前記サンドボックス管理装置から送信された解析の結果を受信し、受信した解析の結果にしたがって、受信メールを前記クライアント端末へ送信する、または前記クライアント端末への送信を遮断すること
    を特徴とするマルウェア検知システム。
11. メールの添付ファイルを解析するメールシステムのマルウェア検知方法において、
    前記メールシステムは、
    クライアント端末を宛先とし、添付ファイルを含むメールを受信し、
    受信メールに含まれる情報に基づいて、サンドボックス環境の種別を選択し、
    選択の結果にしたがって、前記クライアント端末の環境を利用して構築されたクローンサンドボックス環境、または前記クライアント端末の環境を利用せずに構築された標準サンドボックス環境で、添付ファイルを実行することにより解析すること
    を特徴とするマルウェア検知方法。
12. 請求項１１に記載のマルウェア検知方法において、
    前記メールシステムは、
    受信メールに含まれる添付ファイルのファイル名の拡張子に基づいて、サンドボックス環境の種別を選択すること
    を特徴とするマルウェア検知方法。
13. 請求項１２に記載のマルウェア検知方法において、
    前記メールシステムは、
    選択の結果がクローンサンドボックス環境である場合、受信メールの宛先の情報に対応するクローンサンドボックス環境を複数のクローンサンドボックス環境の中から探索し、探索により見つかったクローンサンドボックス環境で、添付ファイルを実行することにより解析すること
    を特徴とするマルウェア検知方法。
14. 請求項１３に記載のマルウェア検知方法において、
    前記メールシステムは、
    選択の結果がクローンサンドボックス環境である場合、受信メールの宛先の情報に対応するクローンサンドボックス環境を複数のクローンサンドボックス環境の中から探索し、探索により見つからないと、受信メールの宛先の前記クライアント端末の環境をコピーし、コピーした環境を含むクローンサンドボックス環境を構築し、構築したクローンサンドボックス環境で、添付ファイルを実行することにより解析すること
    を特徴とするマルウェア検知方法。
15. 請求項１４に記載のマルウェア検知方法において、
    前記メールシステムは、
    解析の結果にしたがって、受信メールを前記クライアント端末へ送信する、または前記クライアント端末への送信を遮断すること
    を特徴とするマルウェア検知方法。

Images