JP2019135577A - 制御プログラム、制御方法及び情報処理装置 - Google Patents

Abstract

【課題】ユーザの意思とは別にファイルを開く処理が発生した場合でもバックアップ処理を行う。【解決手段】利用者端末は、ＨＤＤに記憶されたファイルを開く処理を検知すると（Ｓ１２：肯定、Ｓ１４：肯定）、ファイルに対応付けて設定された情報（メタ情報のバックアップ対象の値）に基づいて、ファイルのバックアップが必要であるか否かを判定し（Ｓ１６：肯定）、バックアップが必要であると判定した場合に、ファイルのバックアップ処理を割り込み処理として実行する（Ｓ１８）。【選択図】図５

Description

本発明は、制御プログラム、制御方法及び情報処理装置に関する。

情報処理装置のユーザは、例えば、コンピュータウィルスを含む有害動作を行うプログラム等（以下、マルウェアとも呼ぶ）による情報の不正取得や破壊等（悪性動作とも呼ばれる）を防ぐ必要がある。

例えば、マルウェアの一種であるランサムウェアは、悪意のある者が外部から送信したメールに添付される形で送信される場合があり、メールを受信した情報処理装置においてランサムウェアを実行すると、情報処理装置内のファイルが暗号化される。そして、悪意のある者は、例えば、暗号化したファイルを復号化するための暗号鍵の譲渡の条件として、情報処理装置のユーザに対して対価を求める。

そのため、情報処理装置のユーザは、例えば、情報処理装置にアンチウイルスソフトを予めインストールすることで被害を防止する（例えば、特許文献１、２等参照）。また、ランサムウェア対策として、手動又はツールを用いて定期的に重要なファイルのバックアップを行うことが知られている（例えば、非特許文献１等参照）。

特開２０１５−１３０１６２号公報 特表２０１３−５４５２０８号公報

「更新：感染が拡大中のランサムウェアの対策について」、［ｏｎｌｉｎｅ］、独立行政法人情報処理推進機構、［平成３０年１月２５日検索］、インターネット（URL：https://www.ipa.go.jp/security/ciadr/vul/20170628-ransomware.html）

しかしながら、情報処理装置で実行されるマルウェアには、アンチウイルスソフトが対応していない新種のマルウェアや、アンチウイルスソフトが検知することができる動作を行わないマルウェアが存在するため、アンチウイルスソフトによる対策では不十分である。

一方、重要なファイルをバックアップする場合、最後にバックアップしてから、ランサムウェアが暗号化するまでの間の更新情報が失われるおそれがある。また、ランサムウェアが暗号化した後のファイルで、バックアップファイルを更新してしまうおそれがある。

１つの側面では、本発明は、ユーザの意思とは別にファイルを開く処理が発生した場合でもバックアップ処理を行うことが可能な制御プログラム、制御方法及び情報処理装置を提供することを目的とする。

一つの態様では、制御プログラムは、情報処理装置の記憶部に記憶されたファイルを開く処理を検知すると、前記ファイルの種別及び／または前記ファイルに対応付けて設定された情報に基づいて、前記ファイルのバックアップが必要であるか否かを判定し、バックアップが必要であると判定した場合に、前記ファイルのバックアップ処理を割り込み処理として実行する、処理を前記情報処理装置に実行させる制御プログラムである。

ユーザの意思とは別にファイルを開く処理が発生した場合でもバックアップ処理を行うことができる。

一実施形態に係る情報処理システムの構成を概略的に示す図である。 利用者端末のハードウェア構成を示す図である。 割り込み処理部の機能ブロック図である。 図４（ａ）〜図４（ｃ）は、ランサムウェアがファイルを暗号化するときに発生するファイルＩ／Ｏのアクセスパターンを示す図である。 割り込み処理部の処理を示すフローチャートである。 図６（ａ）〜図６（ｃ）は、ランサムウェアが利用者端末内のファイルを暗号化する場合の、利用者端末の処理について説明するための図（その１）である。 図７（ａ）〜図７（ｃ）は、ランサムウェアが利用者端末内のファイルを暗号化する場合の、利用者端末の処理について説明するための図（その２）である。 図８（ａ）、図８（ｂ）は、ランサムウェアが利用者端末内のファイルを暗号化する場合の、利用者端末の処理について説明するための図（その３）である。 図９（ａ）、図９（ｂ）は、ランサムウェアが利用者端末内のファイルを暗号化する場合の、利用者端末の処理について説明するための図（その４）である。

以下、一実施形態にかかる情報処理システムについて、図１〜図９に基づいて詳細に説明する。

図１には、情報処理システム１００の構成が概略的に示されている。情報処理システム１００は、情報処理装置としての利用者端末１０と、バックアップサーバ７０と、を備える。利用者端末１０とバックアップサーバ７０は、インターネットやＬＡＮ（Local Area Network）などのネットワーク８０に接続されている。

利用者端末１０は、ＰＣ（Personal Computer）などの情報処理装置である。図２には、利用者端末１０のハードウェア構成が示されている。図２に示すように、利用者端末１０は、ＣＰＵ（Central Processing Unit）９０、ＲＯＭ（Read Only Memory）９２、ＲＡＭ（Random Access Memory）９４、記憶部（ここではＨＤＤ（Hard Disk Drive））９６、ネットワークインタフェース９７、表示部９３、入力部９５及び可搬型記憶媒体用ドライブ９９等を備えている。表示部９３は、液晶ディスプレイ等を含み、入力部９５は、キーボードやマウス等を含む。これら利用者端末１０の構成各部は、バス９８に接続されている。利用者端末１０では、ＲＯＭ９２あるいはＨＤＤ９６に格納されているプログラム（制御プログラムとしての割り込みハンドラプログラム）、或いは可搬型記憶媒体用ドライブ９９が可搬型記憶媒体９１から読み取ったプログラムをＣＰＵ９０が実行することにより、図３に示すような割り込み処理部の機能が実現される。なお、図３に示す割り込み処理部の各機能の詳細については、後述する。

図１に戻り、バックアップサーバ７０は、ＨＤＤ等の情報記憶装置を有するサーバであり、利用者端末１０（図３の割り込み処理部）から送られてきたバックアップ対象のファイルをバックアップする。

次に、図３に基づいて、利用者端末１０の割り込み処理部の各機能について説明する。割り込み処理部は、ランサムウェアにより重要なファイルの暗号化が行われることで、重要なファイルを失ってしまわないように、重要なファイルを適切なタイミングでバックアップする機能を有する。割り込み処理部は、図３に示すように、システムコール受信部２０、検知部としてのシステムコール解析部２２、判定部としてのバックアップ要否判断部２４、処理部としてのバックアップ処理部２６としての機能を有する。

システムコール受信部２０は、ＣＰＵ９０からｏｐｅｎ、ｒｅａｄ、ｃｌｏｓｅ等のシステムコールが発行された場合に、該システムコールを受信して、システムコール解析部２２に受け渡す。

システムコール解析部２２は、システムコール受信部２０が受信したシステムコールを解析して、システムコールがファイルに対するｏｐｅｎシステムコールであるかを解析する。

バックアップ要否判断部２４は、システムコールがファイルに対するｏｐｅｎシステムコールであった場合に、そのファイルのバックアップを行うか否かを判断する。

バックアップ処理部２６は、バックアップ要否判断部２４においてファイルのバックアップを行うと判断された場合に、ファイルをバックアップサーバ７０に送信することで、ファイルのバックアップを行う。

（ランサムウェアについて）
ここで、ランサムウェアについて説明する。ランサムウェアは、悪意のある者がメールに添付する形で送信される場合があり、例えば利用者端末１０においてランサムウェアが添付されたメールを受信し、添付されたランサムウェアを実行すると、ランサムウェアにより利用者端末１０内のファイルの暗号化が実行される。また、ファイルの暗号化が実行されると、利用者端末１０には、暗号化したファイルを復号化するための暗号鍵の譲渡の条件として対価を求める旨のメッセージが出力される。これに対し、利用者端末１０のユーザが対価を支払い、ユーザに暗号鍵が渡されれば、暗号鍵を用いたファイルの復号化が可能となる。

ランサムウェアがファイルを暗号化するときに発生するファイルＩ／Ｏのアクセスパターンは、図４（ａ）〜図４（ｃ）に示すような３つのタイプに大別される。

図４（ａ）のタイプでは、攻撃対象となるファイルを読み込み、ファイルの内容を暗号化したうえで、その内容をファイルに上書きする。

図４（ｂ）のタイプでは、攻撃対象となるファイルを読み込み、ファイルの内容を暗号化したうえで、その内容を新たなファイル（暗号化後）として生成する。その後、元のファイルを削除する。

図４（ｃ）のタイプでは、攻撃対象となるファイルを読み込み、ファイルの内容を暗号化したうえで、その内容を新たなファイル（暗号化後）として生成する。その後、ファイルを別データで上書きして破壊する。

上述したいずれのタイプであっても、図４（ａ）〜図４（ｃ）に示すように、暗号化の際には攻撃対象となるファイルが「ｏｐｅｎ」されるようになっている。

（割り込み処理について）
次に、図３の割り込み処理部により実行される割り込み処理について、図５のフローチャートに沿って説明する。

ステップＳ１０では、システムコール受信部２０が、システムコールが発行されるまで待機する。システムコールが発行されると、ステップＳ１２に移行する。

ステップＳ１２に移行すると、システムコール解析部２２が、発行されたシステムコールがｏｐｅｎシステムコールか否かを判断する。発行されたシステムコールがｒｅａｄやｃｌｏｓｅ、ｄｅｌｅｔｅ等であった場合には、ステップＳ１２の判断が否定されて、図５の全処理が終了する。一方、発行されたシステムコールがｏｐｅｎであった場合には、ステップＳ１２の判断が肯定されて、ステップＳ１４に移行する。

ステップＳ１４に移行すると、システムコール解析部２２は、ｏｐｅｎシステムコールのアクセス対象がＨＤＤ９６に記憶されているファイルであるか否かを判断する。アクセス対象がファイルでない場合（例えば、ディレクトリなどである場合）には、ステップＳ１４の判断が否定されて、図５の全処理が終了する。一方、アクセス対象がファイルであった場合には、ステップＳ１４の判断が肯定されて、ステップＳ１６に移行する。

ステップＳ１６に移行すると、バックアップ要否判断部２４は、アクセス対象のファイルがバックアップ対象であるか否かを判断する。ここで、ＯＳ（Operating System）のファイル管理のメタ情報には、「ファイルサイズ」、「ファイル作成日時」、「ファイル更新日時」、「ファイルアクセス日時」などが含まれるが、本実施形態では、このメタ情報に「バックアップ対象」という項目（初期値は「ＦＡＬＳＥ」）を追加しておくものとする。そして、利用者端末１０のユーザは、バックアップすべきファイルについては、「バックアップ対象」の項目の値として、「ＴＲＵＥ」を設定する。したがって、ステップＳ１６では、バックアップ要否判断部２４は、ｏｐｅｎシステムコールのアクセス対象のファイルのメタ情報を参照し、「バックアップ対象」の項目の値が「ＴＲＵＥ」であるか否かを判断する。値が「ＦＡＬＳＥ」であれば、ステップＳ１６の判断は否定され、図５の全処理を終了する。一方、値が「ＴＲＵＥ」であれば、ステップＳ１６の判断が肯定され、ステップＳ１８に移行する。

ステップＳ１８に移行すると、バックアップ処理部２６は、バックアップサーバ７０にファイルを送信し、コピー（バックアップ）する。この場合、バックアップ処理部２６は、ｏｐｅｎシステムコールのアクセス対象のファイルのファイル名を、例えば、「ホスト名_IPアドレス_ホスト識別子（MACアドレス）_パス名_ファイル名_バックアップ日付（年月日時秒）」とし、世代管理できるようにしたうえで、バックアップサーバ７０にファイルを送信することで、バックアップサーバ７０にファイルをバックアップする。本実施形態では、バックアップする度にファイル名が変更されるため、すでにバックアップされているファイル（バックアップファイル）を新たなファイルで更新することなく、別のファイルとしてバックアップすることができる。

ステップＳ１８の処理が終了すると、図５の全処理が終了する。なお、図５の全処理が終了すると、発行されたシステムコールの処理が実行されるようになっている。例えば、発行されたシステムコールがバックアップ対象のファイルのｏｐｅｎシステムコールであった場合には、バックアップ対象のファイルをバックアップした後、ｏｐｅｎの処理（ファイルを開く処理）が実行されるようになっている。

次に、図６（ａ）〜図９（ｂ）に基づいて、ランサムウェアが利用者端末１０内のファイルを暗号化する場合の、利用者端末１０の処理について具体的に説明する。

図６（ａ）には、利用者端末１０及びバックアップサーバ７０が模式的に示されている。図６（ａ）に示すように、利用者端末１０は、割り込み処理部を有しており、一例として、利用者端末１０のＨＤＤ９６には２つのファイル（ファイル１とファイル２）が記憶されているものとする。ここでは、ファイル１はバックアップ対象とされており、ファイル２はバックアップ対象とはされていないものとする。すなわち、ファイル１のメタ情報の「バックアップ対象」の値が「ＴＲＵＥ」とされており、ファイル２のメタ情報の「バックアップ対象」の値が「ＦＡＬＳＥ」とされている。また、利用者端末１０は、ランサムウェアに感染しているものとする。

図６（ａ）の状態から、図６（ｂ）に示すように、ランサムウェアがＨＤＤ９６に記憶されているファイル１を暗号化するために、ｏｐｅｎシステムコールを発行したとする。この場合、図６（ｃ）に示すように、割り込み処理部はｏｐｅｎシステムコールを受けて（図５のＳ１２：肯定）、図７（ａ）に示すように、アクセス対象がファイルであるか否かを確認する（図５のＳ１４）とともに、アクセス対象のファイルがバックアップ対象であるか否かを確認する（図５のＳ１６）。この場合、アクセス対象（ファイル１）はバックアップ対象のファイルであるため、割り込み処理部は、図７（ｂ）に示すようにファイル１をバックアップサーバ７０にバックアップする（図５のＳ１８）。これにより、ランサムウェアに暗号化される直前の重要なファイルをバックアップすることができる。

以上のようにして割り込み処理部の処理が終了すると、ｏｐｅｎシステムコールの処理が継続されるため、図７（ｃ）に示すように、ランサムウェアによるファイル１の暗号化が実行される。

一方、図８（ａ）に示すように、ランサムウェアがＨＤＤ９６に記憶されているファイル２を暗号化するために、ｏｐｅｎシステムコールを発行したとする。この場合、図８（ｂ）に示すように、割り込み処理部はｏｐｅｎシステムコールを受けて（図５のＳ１２：肯定）、図９（ａ）に示すように、アクセス対象がファイルであるか否かを確認する（図５のＳ１４）とともに、アクセス対象のファイルがバックアップ対象であるか否かを確認する（図５のＳ１６）。この場合、ファイル２はバックアップ対象のファイルではないため、割り込み処理部は、ファイル２をバックアップサーバ７０にバックアップしない。

以上のようにして割り込み処理部の処理が終了すると、ｏｐｅｎシステムコールの処理が継続されるため、図９（ｂ）に示すように、ランサムウェアによるファイル２の暗号化が実行されることになる。

本実施形態では、上述のように、復元が必要な重要なファイルと、復元が不要なファイル（例えばＯＳのシステムファイルなど）とを区別して管理し、復元が必要な重要なファイルのみをバックアップサーバ７０でバックアップすることとしている。これにより、バックアップ領域を削減できるとともに、処理量を低減することができる。

なお、本実施形態では、ランサムウェアにより重要なファイルが暗号化されても、悪意のある者に対して対価を支払うことなく、重要なファイルを復元することができる。重要なファイルを復元するためには、例えば、利用者端末１０のＯＳを再インストールするとともに、バックアップサーバ７０から、暗号化直前のファイルを読み込むようにすればよい。

以上、詳細に説明したように、本実施形態によると、割り込み処理部は、利用者端末１０のＨＤＤ９６に記憶されたファイルを開く処理（ｏｐｅｎシステムコール）を検知すると（Ｓ１０：肯定、Ｓ１２：肯定、Ｓ１４：肯定）、ファイルのメタ情報において設定された「バックアップ対象」の値（ＴＲＵＥ／ＦＡＬＳＥ）に基づいて、ファイルのバックアップが必要であるか否かを判定する（Ｓ１６）。そして、割り込み処理部は、バックアップが必要であると判定した場合に（Ｓ１６：肯定）、ファイルのバックアップ処理を割り込み処理として実行する（Ｓ１８）。これにより、バックアップ対象として重要なファイルを設定しておくことで、重要なファイルがユーザの意思とは別に開かれた場合、すなわち、例えばランサムウェアにより暗号化される場合であっても、重要なファイルを暗号化前にバックアップしておくことができる。これにより、重要なファイルが暗号化されても当該ファイルを復元することができる。また、本実施形態では、バックアップ対象とされているファイルを開く処理が行われた場合にのみ、ファイルのバックアップを行うため、バックアップ領域を削減できるとともに、バックアップにおける処理量を低減することができる。

また、本実施形態では、割り込み処理部は、バックアップ対象のファイルを利用者端末１０とは異なる装置（本実施形態ではバックアップサーバ７０）にバックアップするため、バックアップしたファイルがランサムウェアにより暗号化されるリスクを軽減することができる。

また、本実施形態では、バックアップするファイルのファイル名を逐一変更するため、ファイルを上書きせずにバックアップを取ることが可能となる。これにより、暗号化されていないファイルを暗号化されたファイルで更新するのを防止することが可能となる。

また、本実施形態では、ユーザ自身がバックアップ対象のファイルを開いた場合にも、当該ファイルがバックアップされるため、ユーザがファイルを更新してはいけない状態で更新してしまった場合にも、ファイルを開いた状態まで戻すことが可能である。

なお、上記実施形態では、ユーザの意思とは別にファイルが開かれる場合の例として、ランサムウェアによる暗号化処理について説明したが、これに限られるものではない。すなわち、上記実施形態においては、例えばランサムウェア以外のマルウェア等によりユーザの意思とは別にファイルが開かれた場合にも、ファイルをバックアップすることができるようになっている。

なお、上記実施形態では、ユーザがバックアップ対象のファイルのメタ情報を書き換えることで、バックアップするファイルとバックアップしないファイルとを区別する場合について説明したが、これに限られるものではない。例えば、ファイルごとに、バックアップ対象か否か（ＴＲＵＥ／ＦＡＬＳＥ）を定義したテーブルを用意してもよい。この場合、バックアップ要否判断部２４は、当該テーブルを参照することで、バックアップの要否を判断することができる。なお、テーブルにおいては、ファイルの種別ごとに、バックアップ対象か否かを定義することとしてもよい。この場合、例えば、テキストファイルをバックアップ対象とし、音声ファイルをバックアップ対象としない、などとすることができる。また、テーブルにおいて、ファイルの作成者ごとに、バックアップ対象か否かを定義することとしてもよい。

また、例えば、ディレクトリ毎にバックアップ対象か否か（ＴＲＵＥ／ＦＡＬＳＥ）を定義してもよい。この場合、ユーザは、バックアップ対象のディレクトリに重要なファイルを格納することで、重要なファイルを自動的にバックアップ対象にすることができる。

なお、上記実施形態では、ファイルをバックアップサーバ７０にバックアップする場合について説明したが、これに限らず、利用者端末１０内にファイルをバックアップすることとしてもよい。

なお、上記実施形態においては、複数の利用者端末１０で、１つのバックアップサーバ７０を共用してもよい。

なお、上記の処理機能は、コンピュータによって実現することができる。その場合、処理装置が有すべき機能の処理内容を記述したプログラムが提供される。そのプログラムをコンピュータで実行することにより、上記処理機能がコンピュータ上で実現される。処理内容を記述したプログラムは、コンピュータで読み取り可能な記憶媒体（ただし、搬送波は除く）に記録しておくことができる。

プログラムを流通させる場合には、例えば、そのプログラムが記録されたＤＶＤ（Digital Versatile Disc）、ＣＤ−ＲＯＭ（Compact Disc Read Only Memory）などの可搬型記憶媒体の形態で販売される。また、プログラムをサーバコンピュータの記憶装置に格納しておき、ネットワークを介して、サーバコンピュータから他のコンピュータにそのプログラムを転送することもできる。

プログラムを実行するコンピュータは、例えば、可搬型記憶媒体に記録されたプログラムもしくはサーバコンピュータから転送されたプログラムを、自己の記憶装置に格納する。そして、コンピュータは、自己の記憶装置からプログラムを読み取り、プログラムに従った処理を実行する。なお、コンピュータは、可搬型記憶媒体から直接プログラムを読み取り、そのプログラムに従った処理を実行することもできる。また、コンピュータは、サーバコンピュータからプログラムが転送されるごとに、逐次、受け取ったプログラムに従った処理を実行することもできる。

上述した実施形態は本発明の好適な実施の例である。但し、これに限定されるものではなく、本発明の要旨を逸脱しない範囲内において種々変形実施可能である。

なお、以上の実施形態の説明に関して、更に以下の付記を開示する。
（付記１） 情報処理装置の記憶部に記憶されたファイルを開く処理を検知すると、前記ファイルの種別及び／または前記ファイルに対応付けて設定された情報に基づいて、前記ファイルのバックアップが必要であるか否かを判定し、
バックアップが必要であると判定した場合に、前記ファイルのバックアップ処理を割り込み処理として実行する、
処理を前記情報処理装置に実行させることを特徴とする制御プログラム。
（付記２） 前記バックアップ処理は、前記情報処理装置とは異なる装置へのバックアップ処理である、
ことを特徴とする付記１に記載の制御プログラム。
（付記３） 前記ファイルをバックアップするたびにバックアップファイルのファイル名を変更する、
ことを特徴とする付記１又は２に記載の制御プログラム。
（付記４） 情報処理装置の記憶部に記憶されたファイルを開く処理を検知すると、前記ファイルの種別及び／または前記ファイルに対応付けて設定された情報に基づいて、前記ファイルのバックアップが必要であるか否かを判定し、
バックアップが必要であると判定した場合に、前記ファイルのバックアップ処理を割り込み処理として実行する、
処理を前記情報処理装置が実行することを特徴とする制御方法。
（付記５） 記憶部に記憶されたファイルを開く処理を検知する検知部と、
前記検知部が前記ファイルを開く処理を検知すると、前記ファイルの種別及び／または前記ファイルに対応付けて設定された情報に基づいて、前記ファイルのバックアップが必要であるか否かを判定する判定部と、
前記判定部がバックアップが必要であると判定した場合に、前記ファイルのバックアップ処理を割り込み処理として実行する処理部と、
を備える情報処理装置。
（付記６） 前記処理部は、前記情報処理装置とは異なる装置に前記ファイルをバックアップする、
ことを特徴とする付記５に記載の情報処理装置。
（付記７） 前記処理部は、前記ファイルをバックアップするたびにバックアップファイルのファイル名を変更する、
ことを特徴とする付記５又は６に記載の情報処理装置。

１０ 利用者端末（情報処理装置）
２２ システムコール解析部（検知部）
２４ バックアップ要否判断部（判定部）
２６ バックアップ処理部（処理部）
７０ バックアップサーバ（異なる装置）
９６ ＨＤＤ（記憶部）

Claims (5)

1. 情報処理装置の記憶部に記憶されたファイルを開く処理を検知すると、前記ファイルの種別及び／または前記ファイルに対応付けて設定された情報に基づいて、前記ファイルのバックアップが必要であるか否かを判定し、
   バックアップが必要であると判定した場合に、前記ファイルのバックアップ処理を割り込み処理として実行する、
   処理を前記情報処理装置に実行させることを特徴とする制御プログラム。
2. 前記バックアップ処理は、前記情報処理装置とは異なる装置へのバックアップ処理である、
   ことを特徴とする請求項１に記載の制御プログラム。
3. 前記ファイルをバックアップするたびにバックアップファイルのファイル名を変更する、
   ことを特徴とする請求項１又は２に記載の制御プログラム。
4. 情報処理装置の記憶部に記憶されたファイルを開く処理を検知すると、前記ファイルの種別及び／または前記ファイルに対応付けて設定された情報に基づいて、前記ファイルのバックアップが必要であるか否かを判定し、
   バックアップが必要であると判定した場合に、前記ファイルのバックアップ処理を割り込み処理として実行する、
   処理を前記情報処理装置が実行することを特徴とする制御方法。
5. 記憶部に記憶されたファイルを開く処理を検知する検知部と、
   前記検知部が前記ファイルを開く処理を検知すると、前記ファイルの種別及び／または前記ファイルに対応付けて設定された情報に基づいて、前記ファイルのバックアップが必要であるか否かを判定する判定部と、
   前記判定部がバックアップが必要であると判定した場合に、前記ファイルのバックアップ処理を割り込み処理として実行する処理部と、
   を備える情報処理装置。

Images