JP6267089B2 - Virus detection system and method - Google Patents
Virus detection system and method Download PDFInfo
- Publication number
- JP6267089B2 JP6267089B2 JP2014195244A JP2014195244A JP6267089B2 JP 6267089 B2 JP6267089 B2 JP 6267089B2 JP 2014195244 A JP2014195244 A JP 2014195244A JP 2014195244 A JP2014195244 A JP 2014195244A JP 6267089 B2 JP6267089 B2 JP 6267089B2
- Authority
- JP
- Japan
- Prior art keywords
- suspicious
- activity
- terminal
- communication
- information
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Active
Links
Images
Landscapes
- Data Exchanges In Wide-Area Networks (AREA)
Description
本発明は、ウイルス検知システム及び方法に関し、特にマルウェア等のウイルスや標的型攻撃による拡散活動を検知するウイルス検知システム及び方法に適用して好適なものである。 The present invention relates to a virus detection system and method, and is particularly suitable for application to a virus detection system and method for detecting a virus such as malware or a spread activity due to a target-type attack.
近年、情報漏えいや不正アクセス等の脅威をもたらすコンピュータウイルス、スパイウェア及びボットプログラムといった悪意のある不正プログラム（マルウェア）が増加している。マルウェアの脅威からシステムやネットワークを守るためには、マルウェアを検知する必要がある。 In recent years, malicious malicious programs (malware) such as computer viruses, spyware, and bot programs causing threats such as information leakage and unauthorized access have increased. To protect systems and networks from malware threats, it is necessary to detect malware.
マルウェアの検知には様々な方式があるが、方式によっては検知に時間がかかるという課題がある。また高度なマルウェアに対しては検知精度が低下するという課題がある。さらにここ数年では、高度なマルウェアを巧みに活用して特定の官庁や企業、組織のネットワークに侵入し、機密情報の窃取やシステム破壊を行う「標的型攻撃」がセキュリティ上の大きな脅威となっている。 There are various methods of detecting malware, but there is a problem that detection takes time depending on the method. In addition, there is a problem that detection accuracy is reduced for advanced malware. Furthermore, in recent years, “targeted attacks” that skillfully utilize sophisticated malware and infiltrate networks of specific government agencies, companies, and organizations to steal confidential information and destroy systems have become a major security threat. ing.
マルウェアによる被害を最小化するためには、初期感染端末からソフトウェアの脆弱性等を悪用して、同ネットワーク内の他端末に感染を広げる「拡散活動」を検知する必要がある。組織ネットワークで高度なマルウェアの拡散活動を検知する方法の１つとして、ネットワークや端末の挙動を詳細に観測し、観測結果に基づいて検知する方法がある。 In order to minimize the damage caused by malware, it is necessary to detect “diffusion activity” that spreads infection to other terminals in the network by exploiting software vulnerabilities from the initial infected terminals. One method of detecting advanced malware diffusion activities in an organization network is to observe the behavior of networks and terminals in detail and detect based on the observation results.
特許文献１には、プロセスが行う端末内活動や通信を観測し、その挙動が予め決められたルールに合致する場合にマルウェアを検知する技術が開示されている。特許文献２及び特許文献３には、特定の標的型攻撃が行われるときに生じる通信の特徴に着目してマルウェアを検知する技術が開示されている。
また非特許文献１には、マルウェアが拡散活動を行うと通常の通信頻度が低い組織内端末間でコネクションが張られ、さらにマルウェアの感染が広がると、このコネクションをエッジとするツリー構造が観測されることに着目し、一定サイズ以上のツリー構造が発生した場合にマルウェアを検知する技術が開示されている。
In
また非特許文献２には、ネットワーク内に同一種類の端末（例えばＷＥＢサーバ）のグループが存在し、その一部のサブグループのレスポンスタイムやＣＰＵ負荷等が変動した場合に変動の度合いを分析することで、個々のサーバの調子が偶然悪いのではなくサブグループが攻撃されていることを検知する技術が開示されている。
しかし特許文献１に記載の技術は、ＳＰＡＭメールの送信等のように活動が比較的活発なマルウェアの検知を目的としている。昨今のマルウェアは、検知を回避するために正規ツールを活用して明らかに不審な活動を行わない傾向にある。
However, the technique described in
よって特許文献１に記載の技術では、最新のマルウェアを検知することができない場合がある。また特許文献２及び特許文献３に記載の技術では、特定の通信や攻撃を行う標的型攻撃の検知に特化しているため有効範囲が狭く、マルウェアの拡散活動を汎用的に検知することができない。
Therefore, the technique described in
また非特許文献１に記載の技術では、通信のみに着目し、各端末内での活動（ファイルの実行やレジストリの書き換え等）には着目していないため、大規模な拡散活動に対しては有効であるが、拡散範囲が比較的狭い攻撃に対して有効とはいえない。
In the technology described in Non-Patent
また非特許文献２に記載の技術では、複数の端末の異常状態を検知に用いるが、拡散に用いられる通信を検知に用いないため、拡散活動の性質を十分に活用しているとはいえず、十分な検知速度を得られない場合がある。
In the technique described in Non-Patent
本発明は以上の点を考慮してなされたもので、マルウェア等のウイルスや標的型攻撃による拡散活動を精度良く早期に検知し得るウイルス検知システム及び方法を提案する。 The present invention has been made in consideration of the above points, and proposes a virus detection system and method that can detect a virus such as malware and the spread activity due to a target-type attack with high accuracy and at an early stage.
かかる課題を解決するために、本発明においては、ウイルスの拡散活動を検知するウイルス検知システムにおいて、複数の端末及び拡散活動検知装置を備え、複数の端末のそれぞれは、他端末との間で行った通信及び自端末内部で行った活動を監視し、通信又は活動を行った場合には通信情報又は活動情報を生成して拡散活動検知装置に送信し、拡散活動検知装置は、端末からの通信情報又は活動情報を受信した場合、予め定められた第１のポリシーに基づいて、通信情報又は活動情報が不審通信情報又は不審活動情報であるか否かを判断し、通信情報又は活動情報が不審通信情報又は不審活動情報である場合、予め定められた第２のポリシーに基づいて、不審通信情報又は不審活動情報を生成した端末が不審端末であるか否かを判断し、不審通信情報又は不審活動情報を生成した端末が不審端末である場合、不審端末間の関連性を示すグラフを構築し、構築したグラフに基づいて、ウイルスの拡散活動を検知することを特徴とする。 In order to solve such a problem, in the present invention, a virus detection system for detecting a virus spreading activity includes a plurality of terminals and a spreading activity detection device, and each of the plurality of terminals is performed with another terminal. Communication and activity performed within the terminal itself, and when communication or activity is performed, communication information or activity information is generated and transmitted to the diffusion activity detection device. The diffusion activity detection device communicates from the terminal. When information or activity information is received, it is determined whether the communication information or activity information is suspicious communication information or suspicious activity information based on a predetermined first policy, and the communication information or activity information is suspicious. If it is communication information or suspicious activity information, it is determined whether or not the terminal that generated the suspicious communication information or suspicious activity information is a suspicious terminal based on a predetermined second policy. If the communication information or generated terminal suspicious activity information is a suspicious terminal constructs a graph showing the relationship between suspicious terminals, based on the graph constructed, and detecting the proliferation activities of the virus.
またかかる課題を解決するために、本発明においては、ウイルスの拡散活動を検知するウイルス検知方法において、複数の端末のそれぞれが、他端末との間で行った通信及び自端末内部で行った活動を監視する第１のステップと、通信又は活動を行った場合には通信情報又は活動情報を生成して拡散活動検知装置に送信する第２のステップと、拡散活動検知装置が、端末からの通信情報又は活動情報を受信した場合、予め定められた第１のポリシーに基づいて、通信情報又は活動情報が不審通信情報又は不審活動情報であるか否かを判断する第３のステップと、通信情報又は活動情報が不審通信情報又は不審活動情報である場合、予め定められた第２のポリシーに基づいて、不審通信情報又は不審活動情報を生成した端末が不審端末であるか否かを判断第４のステップと、不審通信情報又は不審活動情報を生成した端末が不審端末である場合、不審端末間の関連性を示すグラフを構築し、構築したグラフに基づいて、ウイルスの拡散活動を検知する第５のステップとを備えることを特徴とする。 Further, in order to solve such a problem, in the present invention, in the virus detection method for detecting the spread activity of the virus, each of the plurality of terminals communicates with other terminals and the activities performed within the own terminal. A first step of monitoring the communication, a second step of generating communication information or activity information and transmitting it to the diffusion activity detection device when communication or activity is performed, and the diffusion activity detection device communicating from the terminal A third step of determining whether or not the communication information or activity information is suspicious communication information or suspicious activity information based on a predetermined first policy when receiving information or activity information; and communication information Or, if the activity information is suspicious communication information or suspicious activity information, whether the terminal that generated the suspicious communication information or suspicious activity information is a suspicious terminal based on a predetermined second policy If the terminal that generated the fourth step and the suspicious communication information or suspicious activity information is a suspicious terminal, a graph indicating the relationship between the suspicious terminals is constructed, and the virus spread based on the constructed graph And a fifth step of detecting an activity.
本発明によれば、マルウェア等のウイルスや標的型攻撃による拡散活動を精度良く早期に検知することができる。 ADVANTAGE OF THE INVENTION According to this invention, the spreading | diffusion activity by viruses, such as malware, and a target type | mold attack can be detected accurately and early.
以下図面について、本発明の一実施の形態を詳述する。 Hereinafter, an embodiment of the present invention will be described in detail with reference to the drawings.
（１）第１の実施の形態
第１の実施の形態では、初期感染端末が端末２０Ａであり、端末２０Ａを起点として、端末２０Ｄ、端末２０Ｂ、端末２０Ｃの順にウイルスの拡散活動が行われる標的型攻撃に対し、拡散活動検知装置１０が各端末２０Ａ〜２０Ｄからの通信情報及び活動情報を受信して解析することにより、拡散活動を精度良く早期に検知するウイルス検知システム１について説明する。
(1) First Embodiment In the first embodiment, the initial infection terminal is the
（２）ウイルス検知システムの機能構成
図１は、第１の実施の形態におけるウイルス検知システム１の機能構成を示す。ウイルス検知システム１は、拡散活動検知装置１０、端末２０Ａ〜２０Ｄ及び管理者端末３０を備えて構成される。またこれらの拡散活動検知装置１０、端末２０Ａ〜２０Ｄ及び管理者端末３０は、通信ネットワークＮ１を介して互いに通信可能に接続される。
(2) Functional Configuration of Virus Detection System FIG. 1 shows a functional configuration of the
拡散活動検知装置１０は、一般的なサーバ装置であり、標的型攻撃による拡散活動を検知する装置である。端末２０Ａは、一般的なユーザ端末であり、ここでは標的型攻撃の拡散活動の起点として悪用される端末である。他の端末２０Ｂ〜２０Ｄは、端末２０Ａによる拡散活動の影響を受けて、端末２０Ａと同様に悪用される端末である。
The diffusion
管理者端末３０は、一般的なユーザ端末であり、管理者用ダッシュボード３１を備える。管理者用ダッシュボード３１は、拡散活動検知装置１０の検知状況を監視し、また拡散活動検知装置１０における各種設定を変更するための操作表示画面である。通信ネットワークＮ１は、ＷＡＮ（World Area Network）、ＬＡＮ（Local Area Network）、携帯電話又はＰＨＳ等の公衆回線網である。
The administrator terminal 30 is a general user terminal and includes an
以下、拡散活動検知装置１０の詳細について説明する。拡散活動検知装置１０は、複数のプログラム（機能部）、データベース（ＤＢ）及びインタフェイスを備える。制御部１１は、拡散活動検知装置１０の動作を統括的に制御し、外部との通信や各機能部との連携を通じて拡散活動を検知する。また検知した拡散活動の対策を実行する。
Hereinafter, the details of the diffusion
正常通信学習部１２は、通信ネットワークＮ１における「正常通信」を学習する。「正常通信」とは、拡散活動が発生していない段階で、通信ネットワークＮ１に含まれる端末間で行われる通信をいう。正常通信以外の通信は「不審通信」と呼ぶ。 The normal communication learning unit 12 learns “normal communication” in the communication network N1. “Normal communication” refers to communication performed between terminals included in the communication network N1 when no spreading activity occurs. Communication other than normal communication is called “suspicious communication”.
通信ＤＢ１２１は、端末間で行われた通信の情報を格納する。拡散活動検知装置１０は、「学習フェイズ」と「検知フェイズ」の２つの動作モードを有しており、動作モードが学習フェイズの場合に通信の情報を取得して、通信ＤＢ１２１に格納する。
The communication DB 121 stores information on communication performed between terminals. The diffusion
不審通信判定部１３は、学習結果に基づいて、任意の端末間の通信が正常通信であるか不審通信であるかを判定する。正常通信プロファイルＤＢ１３１は、正常通信と判定された通信の情報を格納する。
The suspicious communication determination unit 13 determines whether communication between any terminals is normal communication or suspicious communication based on the learning result. The normal
正常通信ポリシーＤＢ１３２は、端末間の通信を正常通信と判定するか不審通信と判定するかのルールを格納する。正常通信ポリシー管理インタフェイス１３３は、正常通信ポリシーＤＢ１３２に格納されているルールを管理者端末３０等の外部から編集するためのインタフェイスである。 The normal communication policy DB 132 stores a rule for determining communication between terminals as normal communication or suspicious communication. The normal communication policy management interface 133 is an interface for editing the rules stored in the normal communication policy DB 132 from the outside of the administrator terminal 30 or the like.
正常活動学習部１４は、端末内部の「正常活動」を学習する。「正常活動」とは、拡散活動が発生していない段階で、端末内部で行われる活動をいう。正常活動は、具体的にはファイルアクセス、レジストリアクセス、ファイルの実行及び外部ネットワークとの通信等である。正常活動以外の活動は「不審活動」と呼ぶ。 The normal activity learning unit 14 learns “normal activity” inside the terminal. “Normal activity” refers to an activity performed inside the terminal when no diffusion activity has occurred. The normal activities are specifically file access, registry access, file execution, communication with an external network, and the like. Activities other than normal activities are called “suspicious activities”.
活動ＤＢ１４１は、端末内部で行われた活動の情報を格納する。拡散活動検知装置１０は、動作モードが学習フェイズの場合に活動の情報を取得して、活動ＤＢ１４１に格納する。
The activity DB 141 stores information on activities performed inside the terminal. The diffusion
不審活動判定部１５は、学習結果に基づいて、任意の端末内部の活動が正常活動であるか不審活動であるかを判定する。正常活動プロファイルＤＢ１５１は、正常活動と判定された活動の情報を格納する。
The suspicious activity determination unit 15 determines whether the activity inside any terminal is a normal activity or a suspicious activity based on the learning result. The normal
正常活動ポリシーＤＢ１５２は、端末内部の活動を正常活動と判定するか不審活動と判定するかのルールを格納する。正常活動ポリシー管理インタフェイス１５３は、正常活動ポリシーＤＢ１５２に格納されているルールを管理者端末３０等の外部から編集するためのインタフェイスである。 The normal activity policy DB 152 stores a rule for determining whether the activity inside the terminal is a normal activity or a suspicious activity. The normal activity policy management interface 153 is an interface for editing the rules stored in the normal activity policy DB 152 from the outside such as the administrator terminal 30.
不審活動グラフ管理部１６は、不審通信又は不審活動を一定の基準を超えて行う「不審端末」をノードとし、不審端末間で発生した不審通信をエッジとする「不審活動グラフ」を構築及び管理し、所定の条件を満たす不審活動グラフが出現した場合には拡散活動が発生したことを検知する。 The suspicious activity graph management unit 16 constructs and manages a “suspicious activity graph” with a “suspicious terminal” that performs suspicious communication or suspicious activity exceeding a certain standard as a node and a suspicious communication that occurs between suspicious terminals as an edge. When a suspicious activity graph that satisfies a predetermined condition appears, it is detected that diffusion activity has occurred.
不審活動グラフの構築及び管理が拡散活動の検知に繋がるのは、拡散活動が発生する際は各端末の動作が正常時とは異なることが多くなり、かつ、不審端末から不審通信を受信した「正常端末」がその後に不審端末に転換することが多いためである。すなわち不審通信又は不審活動を追跡したグラフを構築及び管理することにより、実際の拡散活動を早期に検知することができる。 The construction and management of the suspicious activity graph leads to the detection of the spreading activity because when the spreading activity occurs, the operation of each terminal is often different from the normal time, and the suspicious communication is received from the suspicious terminal. This is because the “normal terminal” is often converted to a suspicious terminal thereafter. That is, by constructing and managing a graph that tracks suspicious communication or suspicious activity, it is possible to detect actual spreading activity at an early stage.
グラフ管理ＤＢ１６１は、通信ネットワークＮ１において発生した各不審活動グラフの情報を管理する。グラフ評価ポリシーＤＢ１６２は、不審活動グラフのグラフスコアを決定する際のルールを格納する。
The
グラフ評価ポリシー管理インタフェイス１６３は、グラフ評価ポリシーＤＢ１６２に格納されているルールを管理者端末３０等の外部から編集するためのインタフェイスである。不審端末管理部１７は、通信ネットワークＮ１に接続されている端末が不審端末であるか正常端末であるかを判定する。
The graph evaluation policy management interface 163 is an interface for editing the rules stored in the graph evaluation policy DB 162 from the outside such as the administrator terminal 30. The suspicious
不審通信・不審活動ＤＢ１７１は、不審端末の判定に必要な情報を格納する。不審端末ポリシーＤＢ１７２は、端末を不審端末と判定するルールを格納する。不審端末ポリシー管理インタフェイス１７３は、不審端末ポリシーＤＢ１７２に格納されているルールを管理者端末３０等の外部から編集するためのインタフェイスである。 The suspicious communication / suspicious activity DB 171 stores information necessary for determining a suspicious terminal. The suspicious terminal policy DB 172 stores rules for determining a terminal as a suspicious terminal. The suspicious terminal policy management interface 173 is an interface for editing the rules stored in the suspicious terminal policy DB 172 from the outside of the administrator terminal 30 or the like.
不正活動対応部１８は、拡散活動を検知した場合の対策を実行する。対応ルールＤＢ１８１は、不審活動グラフの特徴に応じた対策を格納する。ルール管理インタフェイス１８２は、対応ルールＤＢ１８１に格納されているルールを管理者端末３０等の外部から編集するためのインタフェイスである。
The fraudulent activity response unit 18 executes countermeasures when a diffusion activity is detected. The
次いで端末２０Ａの詳細について説明する。端末２０Ａ内には、監視部２１がインストールされている。監視部２１は、端末通信監視部２２、端末活動監視部２３及び端末制御部２４から構成される。端末通信監視部２２は、端末２０Ａが他端末と行った通信を監視し、通信情報を端末制御部２４に送信する。
Next, details of the terminal 20A will be described. A monitoring unit 21 is installed in the terminal 20A. The monitoring unit 21 includes a terminal
端末活動監視部２３は、端末２０Ａが行った内部活動を監視し、活動情報を端末制御部２４に送信する。端末制御部２４は、端末通信監視部２２及び端末活動監視部２３から受信した通信情報及び活動情報を拡散活動検知装置１０に送信する。
The terminal
端末２０Ｂ〜２０Ｄについても上記端末２０Ａと同様の構成を備えるため、ここでの説明は省略する。なおここでは端末２０Ａ〜２０Ｄが通信ネットワークＮ１に接続している構成を図示しているが、更に複数の端末が通信ネットワークＮ１に接続して構成されるとしてもよい。
Since the
（３）拡散活動検知装置の物理構成
図２は、拡散活動検知装置１０の物理構成を示す。拡散活動検知装置１０は、ＣＰＵ１０１、メモリ１０２、外部記憶装置１０３、ＩＦ（インタフェイス）１０４、入出力装置１０５及びバスＢ１を備えて構成される。
(3) Physical Configuration of the Diffusion Activity Detection Device FIG. 2 shows the physical configuration of the diffusion
ＣＰＵ１０１は、メモリ１０２内に格納された各種プログラムとの協働により、拡散活動検知装置１０の動作を統括的に制御するプロセッサである。メモリ１０２は、各種プログラムを格納するための記憶媒体である。
The CPU 101 is a processor that comprehensively controls the operation of the diffusion
メモリ１０２に格納される各種プログラムとは、制御部１１、正常通信学習部１２、不審通信判定部１３、正常活動学習部１４、不審活動判定部１５、不審活動グラフ管理部１６、不審端末管理部１７及び不正活動対応部１８である（図１参照）。
The various programs stored in the memory 102 include the
外部記憶装置１０３は、ＨＤＤ（Hard Disk Drive）等の記憶媒体であり、各種ＤＢを長期的に格納する。各種ＤＢとは、通信ＤＢ１２１、正常通信プロファイルＤＢ１３１、正常通信ポリシーＤＢ１３２、活動ＤＢ１４１、正常活動プロファイルＤＢ１５１、正常活動ポリシーＤＢ１５２、グラフ管理ＤＢ１６１、グラフ評価ポリシーＤＢ１６２、不審通信・不審活動ＤＢ１７１、不審端末ポリシーＤＢ１７２及び対応ルールＤＢ１８１である（図１参照）。
The
ＩＦ１０４は、拡散活動検知装置１０を通信ネットワークＮ１に接続させるためのインタフェイスである。入出力装置１０５は、拡散活動検知装置１０において、ユーザ及び管理者による各種情報の入力及び格納されている情報の出力を行うためのキーボード、マウス及び操作表示画面等である。
The IF 104 is an interface for connecting the diffusion
バスＢ１は、ＣＰＵ１０１、メモリ１０２、外部記憶装置１０３、ＩＦ１０４及び入出力装置１０５を互いに通信可能に接続する。端末２０Ａ〜２０Ｄのハードウェア構成については、上記拡散活動検知装置１０のハードウェア構成と同様であるため、ここでの説明は省略する。
The bus B1 connects the CPU 101, the memory 102, the
（４）データベースの内部構成
図３は、通信ＤＢ１２１の内部構成を示す。通信ＤＢ１２１は、拡散活動検知装置１０が学習フェイズである場合に端末間で行われた通信を格納するデータベースである。
(4) Internal Configuration of Database FIG. 3 shows the internal configuration of the communication DB 121. The communication DB 121 is a database that stores communication performed between terminals when the diffusion
具体的に通信ＤＢ１２１は、ＩＤ欄１２１１、通信開始時刻欄１２１２、通信元端末欄１２１３及び通信先端末欄１２１４から構成される。ＩＤ欄１２１１には、各レコードを識別するための識別子が格納される。
Specifically, the communication DB 121 includes an
通信開始時刻欄１２１２には、通信が開始された時刻が格納され、通信元端末欄１２１３には、通信を開始した端末の識別情報が格納される。通信先端末欄１２１４には、通信相手の端末の識別情報が格納される。
The communication start
従って図３の場合、例えばＩＤが「１」のレコードにより特定される通信は、通信開始時刻が「２０１４−０７−１６ １０：００」であり、「端末２０Ａ」から「端末２０Ｂ」に向けて行われた通信であることが示されている。 Therefore, in the case of FIG. 3, for example, the communication specified by the record whose ID is “1” has the communication start time “2014-07-16 10:00” and is directed from “terminal 20A” to “terminal 20B”. It is shown that the communication is performed.
図４は、正常通信プロファイルＤＢ１３１の内部構成を示す。正常通信プロファイルＤＢ１３１は、端末間で行われた通信のうち、正常通信であると判定された通信の通信元端末及び通信先端末を格納するデータベースである。
FIG. 4 shows the internal configuration of the normal
具体的に正常通信プロファイルＤＢ１３１は、ＩＤ欄１３１１、通信元端末欄１３１２及び通信先端末欄１３１３から構成される。ＩＤ欄１３１１には、各レコードを識別するための識別子が格納される。
Specifically, the normal
また通信元端末欄１３１２には、通信を開始した端末の識別情報が格納され、通信先端末欄１３１３には、通信相手の端末の識別情報が格納される。
The communication
従って図４の場合、例えばＩＤが「１」のレコードにより特定される通信は、送信元端末が「端末２０Ａ」であり、送信先端末が「端末２０Ｂ」であることが示されており、この「端末２０Ａ」から「端末２０Ｂ」に向けて行われる通信が正常通信であると判定されていることが示されている。 Therefore, in the case of FIG. 4, for example, the communication specified by the record whose ID is “1” indicates that the transmission source terminal is “terminal 20A” and the transmission destination terminal is “terminal 20B”. It is shown that the communication performed from “terminal 20A” to “terminal 20B” is determined to be normal communication.
図５は、正常通信ポリシーＤＢ１３２の内部構成を示す。正常通信ポリシーＤＢ１３２は、端末間で行われた通信について、正常通信又は不審通信の何れかに分類するためのルールを格納するデータベースである。 FIG. 5 shows the internal configuration of the normal communication policy DB 132. The normal communication policy DB 132 is a database that stores a rule for classifying communication performed between terminals as either normal communication or suspicious communication.
具体的に正常通信ポリシーＤＢ１３２は、ＩＤ欄１３２１及びポリシー欄１３２２から構成される。ＩＤ欄１３２１には、各レコードを識別するための識別子が格納され、ポリシー欄１３２２には、分類するためのルールが格納される。
Specifically, the normal communication policy DB 132 includes an
従って図５の場合、例えばＩＤが「１」のレコードにより特定されるルールは、「３０日間の学習期間内において発生した通信回数が１０回以上の通信は正常通信とする」というルールであることが示されている。 Therefore, in the case of FIG. 5, for example, the rule specified by the record whose ID is “1” is a rule that “communication with 10 or more communications within the 30-day learning period is normal communication”. It is shown.
図６は、活動ＤＢ１４１の内部構成を示す。活動ＤＢ１４１は、拡散活動検知装置１０が学習フェイズである場合に端末内で行われた活動を格納するデータベースである。
FIG. 6 shows the internal configuration of the activity DB 141. The activity DB 141 is a database that stores activities performed in the terminal when the diffusion
具体的に活動ＤＢ１４１は、ＩＤ欄１４１１、活動開始時刻欄１４１２、活動端末欄１４１３及び活動内容欄１４１４から構成される。ＩＤ欄１４１１には、各レコードを識別するための識別子が格納される。
Specifically, the activity DB 141 includes an
活動開始時刻欄１４１２には、活動が開始された時刻が格納され、活動端末欄１４１３には、活動を開始した端末の識別情報が格納される。また活動内容欄１４１４には、具体的な活動内容が格納される。
The activity start
従って図６の場合、例えばＩＤが「１」のレコードにより特定される活動は、活動開始時刻が「２０１４−０７−１６ １０：００」であり、「端末２０Ａ」により行われ、具体的な活動内容は「ファイルダウンロード」であることが示されている。 Accordingly, in the case of FIG. 6, for example, the activity specified by the record with ID “1” has an activity start time “2014-07-16 10:00” and is performed by “terminal 20A”. It is shown that the content is “file download”.
図７は、正常活動プロファイルＤＢ１５１の内部構成を示す。正常活動プロファイルＤＢ１５１は、端末内で行われた活動のうち、正常活動であると判定された活動の活動端末及び活動内容を格納するデータベースである。
FIG. 7 shows the internal configuration of the normal
具体的に正常活動プロファイルＤＢ１５１は、ＩＤ欄１５１１、活動端末欄１５１２及び活動内容欄１５１３から構成される。ＩＤ欄１５１１には、各レコードを識別するための識別子が格納される。また活動端末欄１５１２には、活動を行った端末の識別情報が格納され、活動内容欄１５１３には、活動内容が格納される。
Specifically, the normal
従って図７の場合、例えばＩＤが「１」のレコードにより特定される活動は、活動端末が「端末２０Ａ」であり、活動内容が「Ｗｏｒｄ．ｅｘｅ実行」であることが示されており、この「端末２０Ａ」により実行される「Ｗｏｒｄ．ｅｘｅ実行」という活動が正常活動であると判定されていることが示されている。 Accordingly, in the case of FIG. 7, for example, the activity identified by the record with ID “1” indicates that the activity terminal is “terminal 20A” and the activity content is “Word.exe execution”. It is shown that the activity “Word.exe execution” executed by “terminal 20A” is determined to be a normal activity.
図８は、正常活動ポリシーＤＢ１５２の内部構成を示す。正常活動ポリシーＤＢ１５２は、端末内で行われた活動について、正常活動又は不審活動の何れかに分類するためのルールを格納するデータベースである。 FIG. 8 shows the internal configuration of the normal activity policy DB 152. The normal activity policy DB 152 is a database that stores rules for classifying activities performed in the terminal as either normal activities or suspicious activities.
具体的に正常活動ポリシーＤＢ１５２は、ＩＤ欄１５２１及びポリシー欄１５２２から構成される。ＩＤ欄１５２１には、各レコードを識別するための識別子が格納され、ポリシー欄１５２２には、ルールが格納される。
Specifically, the normal activity policy DB 152 includes an
従って図８の場合、例えばＩＤが「１」のレコードにより特定されるルールは、「３０日間の学習期間内において発生した活動回数が１０回以上の活動は正常活動とする」というルールであることが示されている。 Accordingly, in the case of FIG. 8, for example, the rule specified by the record with ID “1” is a rule that “an activity that has occurred 10 times or more within the 30-day learning period is a normal activity”. It is shown.
図９は、グラフ管理ＤＢ１６１の内部構成を示す。グラフ管理ＤＢ１６１は、不審通信及び不審活動に関する情報を格納するデータベースである。
FIG. 9 shows the internal configuration of the
具体的にグラフ管理ＤＢ１６１は、ＩＤ欄１６１１、生成時間欄１６１２、端末欄１６１３、不審通信受信時刻欄１６１４、不審通信送信元端末欄１６１５、評価対象フラグ欄１６１６、不審端末転換時刻欄１６１７及び最終不審通信・不審活動時刻欄１６１８から構成される。
Specifically, the
ＩＤ欄１６１１には、各レコードを識別するための識別子が格納され、生成時間欄１６１２には、不審活動グラフの生成時間が格納される。また端末欄１６１３には、不審活動グラフを構成する１つ以上の端末の識別情報が格納される。
The
不審通信受信時刻欄１６１４には、不審活動グラフに含まれる端末がグラフに含まれた後に初めて不審通信を受信した時刻が格納される。なおグラフに含まれた後、いまだ不審通信を受信していない場合にはＮＵＬＬが格納される。
The suspicious communication
不審通信送信元端末欄１６１５には、不審通信の送信元端末の識別情報が格納される。不審通信を受信していない場合にはＮＵＬＬが格納される。評価対象フラグ欄１６１６には、不審活動グラフに含まれる端末がグラフの評価対象であるか否かを示す識別情報が格納される。評価対象の場合にはＴｒｕｅが格納され、評価対象でない場合はＦａｌｓｅが格納される。
The suspicious communication
不審端末転換時刻欄１６１７には、各端末が正常端末から不審端末に変化した時刻が格納され、最終不審通信・不審活動時刻欄１６１８には、各端末が不審通信又は不審活動を最後に行った時刻が格納される。
The suspicious terminal
従って図９の場合、例えばＩＤが「１」のレコードにより特定される不審活動グラフは、「２０１４−０７−１７ １０：５５」に生成され、「端末２０Ａ」、「端末２０Ｄ」、「端末２０Ｂ」及び「端末２０Ｃ」から構成されることが示されている。
Therefore, in the case of FIG. 9, for example, the suspicious activity graph specified by the record with ID “1” is generated at “2014-07-17 10:55”, and “terminal 20A”, “
「端末２０Ａ」は初期感染端末であり、拡散活動の起点となる端末であることから、「端末２０Ａ」に関連付けられる不審通信受信時刻及び不審通信送信元端末は「ＮＵＬＬ」であることが示されている。また「端末２０Ａ」はグラフの評価対象であるため「Ｔｒｕｅ」が格納されていることが示されている。 Since “terminal 20A” is an initial infection terminal and a terminal that is a starting point of spreading activity, it is indicated that the suspicious communication reception time and the suspicious communication transmission source terminal associated with “terminal 20A” are “NULL”. ing. In addition, since “terminal 20A” is an evaluation target of the graph, “True” is stored.
また「端末２０Ａ」が不審端末に変化した時刻は「２０１４−０７−１７ １０：５５」であり、最終不審通信又は最終不審活動を行った時刻は「２０１４−０７−１７ １１：００」であることが示されている。 The time when “terminal 20A” is changed to a suspicious terminal is “2014-07-17 10:55”, and the time when the last suspicious communication or the last suspicious activity was performed is “2014-07-17 11:00”. It has been shown.
一方でＩＤが「１」の不審活動グラフを構成する「端末２０Ｄ」は、不審通信を受信した時刻が「２０１４−０７−１７ １１：００」であり、「端末２０Ａ」から不審通信を受信したことが示されている。「端末２０Ｄ」は、その後「端末２０Ｂ」に向けて不審通信を行い、更に「端末２０Ｂ」は「端末２０Ｃ」に向けて不審通信を行っていることが示されている。
On the other hand, the “
図１０は、グラフ評価ポリシーＤＢ１６２の内部構成を示す。グラフ評価ポリシーＤＢ１６２は、グラフ管理ＤＢ１６１に格納されている任意の不審活動グラフを評価するためのルールを格納するデータベースである。
FIG. 10 shows the internal configuration of the graph evaluation policy DB 162. The graph evaluation policy DB 162 is a database that stores rules for evaluating an arbitrary suspicious activity graph stored in the
具体的にグラフ評価ポリシーＤＢ１６２は、ＩＤ欄１６２１及びポリシー欄１６２２から構成される。ＩＤ欄１６２１には、各レコードを識別するための識別子が格納され、ポリシー欄１６２２には、ルールが格納される。
Specifically, the graph evaluation policy DB 162 includes an
従って図１０の場合、例えばＩＤが「１」のレコードにより特定されるルールは、「評価対象グラフ＝Ｔｒｕｅの端末数をグラフスコアに加算する」というルールであることが示されている。 Therefore, in the case of FIG. 10, for example, the rule specified by the record whose ID is “1” is a rule “add the number of terminals of the evaluation target graph = True to the graph score”.
図１１は、不審通信・不審活動ＤＢ１７１の内部構成を示す。不審通信・不審活動ＤＢ１７１は、拡散活動検知装置１０が検知フェイズである場合に不審通信又は不審活動を行った端末（不審通信の場合は送信元の端末）を格納するデータベースである。
FIG. 11 shows the internal configuration of the suspicious communication / suspicious activity DB 171. The suspicious communication / suspicious activity DB 171 is a database that stores terminals that have performed suspicious communication or suspicious activity when the diffusion
具体的に不審通信・不審活動ＤＢ１７１は、ＩＤ欄１７１１、開始時刻欄１７１２、端末欄１７１３及び種別欄１７１４から構成される。ＩＤ欄１７１１には、各レコードを識別するための識別子が格納され、開始時刻欄１７１２には、不審通信又は不審活動が開始された時刻が格納される。
Specifically, the suspicious communication / suspicious activity DB 171 includes an
また端末欄１７１３には、不審通信又は不審活動を行った端末の識別情報が格納され、種別欄１７１４には、不審通信又は不審活動の何れかが格納される。
The
従って図１１の場合、例えばＩＤが「１」のレコードにより特定される不審通信又は不審活動は、開始時刻が「２０１４−０７−１７ １０：５０」であり、「端末２０Ａ」により行われた「不審活動」であることが示されている。 Therefore, in the case of FIG. 11, for example, the suspicious communication or suspicious activity specified by the record with the ID “1” has a start time “2014-07-17 10:50” and is performed by the “terminal 20A”. It has been shown to be suspicious activity.
図１２は、不審端末ポリシーＤＢ１７２の内部構成を示す。不審端末ポリシーＤＢ１７２は、不審端末であると判定するためのルールを格納するデータベースである。 FIG. 12 shows the internal configuration of the suspicious terminal policy DB 172. The suspicious terminal policy DB 172 is a database that stores rules for determining that the terminal is a suspicious terminal.
具体的に不審端末ポリシーＤＢ１７２は、ＩＤ欄１７２１及びポリシー欄１７２２から構成される。ＩＤ欄１７２１には各レコードを識別するための識別子が格納され、ポリシー欄１７２２には、ルールが格納される。
Specifically, the suspicious terminal policy DB 172 includes an
従って図１２の場合、例えばＩＤが「１」のレコードにより特定されるルールは、「過去１分間の不審活動又は不審通信が２個以上の端末」を不審端末とするルールであることが示されている。 Accordingly, in the case of FIG. 12, for example, the rule specified by the record with ID “1” is a rule in which “suspicious activity or suspicious communication in the past 1 minute is two or more terminals” is a suspicious terminal. ing.
図１３は、対応ルールＤＢ１８１の内部構成を示す。対応ルールＤＢ１８１は、拡散活動検知装置１０が拡散活動を検知した場合の対策をグラフスコアごとに格納するデータベースである。
FIG. 13 shows the internal configuration of the
具体的に対応ルールＤＢ１８１は、ＩＤ欄１８１１及びルール欄１８１２から構成される。ＩＤ欄１８１１には、各レコードを識別する識別子が格納され、ルール欄１８１２には、ルールが格納される。
Specifically, the
従って図１３の場合、例えばＩＤが「１」のレコードにより特定されるルールは、「グラフスコアが１０以上の場合、管理者にアラート」するというルールであることが示されている。 Therefore, in the case of FIG. 13, for example, the rule specified by the record whose ID is “1” indicates that the rule is “alert to the administrator when the graph score is 10 or more”.
（５）フローチャート
（５−１）全体処理
図１４Ａ及び図１４Ｂは、ウイルス検知システム１により実行される拡散活動検知処理の処理手順を示す。この拡散活動検知処理は、端末２０Ａ及び拡散活動検知装置１０により繰り返し実行される。なおここでは端末２０Ａ〜２０Ｄのうちの端末２０Ａが拡散活動検知装置１０と協働して処理する場合について説明するが、他の端末２０Ｂ〜２０Ｄも同様の処理を実行する。
(5) Flowchart (5-1) Overall Processing FIGS. 14A and 14B show the procedure of the diffusion activity detection process executed by the
まず端末２０Ａ内の端末通信監視部２２は、端末２０Ａが他の端末（ここでは端末２０Ｄとする）に対して通信を開始したことを検知すると、通信情報を生成し、生成した通信情報を端末２０Ａ内の端末制御部２４に送信する（ＳＰ１）。通信情報には、通信開始時刻、通信元端末である端末２０Ａの識別情報、通信先端末である端末２０Ｄの識別情報が含まれる。
First, when the terminal
同様に端末２０Ａ内の端末活動監視部２３は、端末２０Ａが活動を開始したことを検知すると、活動情報を生成し、生成した活動情報を端末２０Ａ内の端末制御部２４に送信する（ＳＰ２）。活動情報には、活動開始時刻、活動端末である端末２０Ａの識別情報及び活動内容が含まれる。
Similarly, when detecting that the terminal 20A has started the activity, the terminal
端末２０Ａ内の端末制御部２４は、ステップＳＰ１及びＳＰ２において送信された通信情報及び活動情報を受信するたびに、通信情報及び活動情報を拡散活動検知装置１０内の制御部１１に送信する（ＳＰ３）。ここまでが端末２０Ａによる一連の処理である。続いて拡散活動検知装置１０による一連の処理について説明する。
Each time the terminal control unit 24 in the terminal 20A receives the communication information and activity information transmitted in steps SP1 and SP2, the terminal control unit 24 transmits the communication information and activity information to the
拡散活動検知装置１０内の制御部１１は、端末２０Ａからの通信情報及び活動情報を受信すると、現在の動作モードが学習フェイズであるか否かを判断する（ＳＰ４）。現在の動作モードが学習フェイズである場合（ＳＰ４：Ｙ）、制御部１１は、通信情報及び活動情報をそれぞれ正常通信学習部１２及び正常活動学習部１４に送信する（ＳＰ５）。
The
正常通信学習部１２は、通信情報を受信すると、受信した通信情報を通信ＤＢ１２１に格納し、同様に正常活動学習部１４は、活動情報を受信すると、受信した活動情報を活動ＤＢ１４１に格納することにより、通信状況及び活動状況を学習する（ＳＰ６）。動作モードが学習フェイズである場合には拡散活動検知装置１０による処理はここで終了する。
When the normal communication learning unit 12 receives the communication information, the normal communication learning unit 12 stores the received communication information in the communication DB 121. Similarly, when the normal activity learning unit 14 receives the activity information, the normal communication learning unit 14 stores the received activity information in the activity DB 141. Thus, the communication status and activity status are learned (SP6). When the operation mode is the learning phase, the process by the diffusion
これに対し、現在の動作モードが検知フェイズである場合（ＳＰ４：Ｎ）、制御部１１は、通信情報及び活動情報をそれぞれ不審通信判定部１３及び不審活動判定部１５に送信する（ＳＰ７）。
On the other hand, when the current operation mode is the detection phase (SP4: N), the
不審通信判定部１３は、通信情報を受信すると、受信した通信情報が不審通信であるか否かを判定し、同様に不審活動判定部１５も活動情報を受信すると、受信した活動情報が不審活動であるか否かを判定する（ＳＰ８）。そして不審通信判定部１３及び不審活動判定部１５は、判定結果を制御部１１に送信する（ＳＰ９）。 When the communication information is received, the suspicious communication determination unit 13 determines whether or not the received communication information is suspicious communication. Similarly, when the suspicious activity determination unit 15 receives the activity information, the received activity information is suspicious activity. It is determined whether or not (SP8). And the suspicious communication determination part 13 and the suspicious activity determination part 15 transmit a determination result to the control part 11 (SP9).
ここでステップＳＰ８の処理の詳細について説明する。まず不審通信判定部１３の処理の詳細について説明する。 Details of the processing in step SP8 will be described here. First, details of the processing of the suspicious communication determination unit 13 will be described.
不審通信判定部１３は、通信情報を受信すると、学習フェイズから検知フェイズに切り替わってから初めて通信情報を受信したか否かを判断する。検知フェイズに切り替わってから初めて通信情報を受信した場合、不審通信判定部１３は、正常通信ポリシーＤＢ１３２に規定されているルールを満たす通信を通信ＤＢ１２１内のレコードから抽出し、抽出したレコードを集約することにより正常通信プロファイルＤＢ１３１を作成する。
When the suspicious communication determination unit 13 receives the communication information, the suspicious communication determination unit 13 determines whether the communication information is received for the first time after the learning phase is switched to the detection phase. When communication information is received for the first time after switching to the detection phase, the suspicious communication determination unit 13 extracts communication satisfying the rules defined in the normal communication policy DB 132 from the records in the communication DB 121 and aggregates the extracted records. Thus, the normal
なお正常通信ポリシーＤＢ１３２に規定されているルールの何れかを満たし、かつ、何れかを満たさない通信については、ＩＤの値が小さいルールを優先適用する。また検知フェイズに切り替わってから通信情報を２度以上受信している場合には、１度目の受信の際に上記の通り正常通信プロファイルＤＢ１３１が作成されているものとする。
Note that for a communication that satisfies any of the rules defined in the normal communication policy DB 132 and does not satisfy any of the rules, a rule having a small ID value is preferentially applied. When the communication information is received twice or more after switching to the detection phase, it is assumed that the normal
次いで不審通信判定部１３は、今回端末２０Ａから送信された通信情報が正常通信プロファイルＤＢ１３１に含まれているか否かを判断する。端末２０Ａからの通信情報が正常通信プロファイルＤＢ１３１に含まれている場合には正常通信であると判定し、含まれていない場合には不審通信と判定する（ＳＰ８）。そして不審通信判定部１３は、判定結果を制御部１１に送信する（ＳＰ９）。
Next, the suspicious communication determination unit 13 determines whether or not the communication information transmitted from the terminal 20A this time is included in the normal
続いて不審活動判定部１５の処理の詳細について説明する。不審活動判定部１５は、活動情報を受信すると、学習フェイズから検知フェイズに切り替わってから初めて活動情報を受信したか否かを判断する。検知フェイズに切り替わってから初めて活動情情報を受信した場合、不審活動判定部１５は、正常活動ポリシーＤＢ１５２に規定されているルールを満たす活動を活動ＤＢ１４１内のレコードから抽出し、抽出したレコードを集約することにより正常活動プロファイルＤＢ１５１を作成する。
Next, details of the processing of the suspicious activity determination unit 15 will be described. When the suspicious activity determination unit 15 receives the activity information, the suspicious activity determination unit 15 determines whether or not the activity information has been received for the first time after switching from the learning phase to the detection phase. When activity information is received for the first time after switching to the detection phase, the suspicious activity determination unit 15 extracts activities satisfying the rules defined in the normal activity policy DB 152 from the records in the activity DB 141, and aggregates the extracted records Thus, the normal
なお正常活動ポリシーＤＢ１５２に規定されているルールの何れかを満たし、かつ、何れかを満たさない活動については、ＩＤの値が小さいルールを優先適用する。また検知フェイズに切り替わってから活動情報を２度以上受信している場合には、１度目の受信の際に上記の通り正常活動プロファイルＤＢ１５１が作成されているものとする。
For an activity that satisfies any of the rules defined in the normal activity policy DB 152 and does not satisfy any of the rules, a rule with a small ID value is preferentially applied. When the activity information is received twice or more after switching to the detection phase, it is assumed that the normal
次いで不審活動判定部１５は、今回端末２０Ａから送信された活動情報が正常活動プロファイルＤＢ１５１に含まれているか否かを判断する。端末２０Ａからの活動情報が正常活動プロファイルＤＢ１５１に含まれている場合には正常活動と判定し、含まれていない場合には不審活動と判定する（ＳＰ８）。そして不審活動判定部１５は、判定結果を制御部１１に送信する（ＳＰ９）。
Next, the suspicious activity determination unit 15 determines whether or not the activity information transmitted from the terminal 20A this time is included in the normal
制御部１１は、受信した判定結果が不審通信又は不審活動であるか否かを判断する（ＳＰ１０）。判定結果が不審通信又は不審活動でない場合（ＳＰ１０：Ｎ）、本処理を終了する。これに対し、判定結果が不審通信又は不審活動である場合（ＳＰ１０：Ｙ）、制御部１１は、ステップＳＰ１及びＳＰ２において端末２０Ａから送信された通信情報及び活動情報を不審通信情報及び不審活動情報として不審端末管理部１７に送信する（ＳＰ１１）。
The
不審端末管理部１７は、不審通信情報及び不審活動情報を受信すると、不審端末判定処理を実行する（ＳＰ１２）。不審端末判定処理の詳細について説明すると、まず不審端末管理部１７は、受信した不審通信情報及び不審活動情報と、これら不審通信情報及び不審活動情報を生成した端末（ここでは端末２０Ａ）とを関連付けて、不審通信・不審活動ＤＢ１７１に格納する。
When receiving the suspicious communication information and the suspicious activity information, the suspicious
次いで不審端末管理部１７は、不審端末ポリシーＤＢ１７２を参照して、不審通信・不審活動ＤＢ１７１に格納されている端末から不審端末を判定する。
Next, the suspicious
また制御部１１は、不審通信情報又は不審活動情報を含むグラフ評価要求を不審活動グラフ管理部１６に送信する（ＳＰ１３）。不審活動グラフ管理部１６は、制御部１１からのグラフ評価要求を受信すると、端末２０Ａが不審端末であるか否かを不審端末管理部１７に問い合わせて、不審端末管理部１７からの判定結果を受信する（ＳＰ１４）。
Moreover, the
不審活動グラフ管理部１６は、ステップＳＰ１３及びＳＰ１４において受信したグラフ評価要求及び判定結果に基づいてグラフ管理ＤＢ１６１を更新し、更新後のグラフ管理ＤＢ１６１に格納されている不審活動グラフを評価する（ＳＰ１５）。
The suspicious activity graph management unit 16 updates the
不審活動グラフの評価に際して、不審活動グラフ管理部１６は、グラフ評価ポリシーＤＢ１６２を参照し、グラフ管理ＤＢ１６１に格納されている各不審活動グラフについてグラフスコアを算出する。そしてグラフスコアが閾値を超える場合には拡散活動の検知通知を制御部１１に送信する（ＳＰ１６）。
When evaluating the suspicious activity graph, the suspicious activity graph management unit 16 refers to the graph evaluation policy DB 162 and calculates a graph score for each suspicious activity graph stored in the
なおグラフスコアが閾値を超えない場合にはグラフ評価要求に対する返信は行わずに本処理を終了するとしてもよい。ステップＳＰ１４〜ＳＰ１６における処理を不審活動グラフ管理処理と呼び、詳細については後述する（図１５）。 If the graph score does not exceed the threshold value, this process may be terminated without performing a reply to the graph evaluation request. The processing in steps SP14 to SP16 is called suspicious activity graph management processing, and details will be described later (FIG. 15).
制御部１１は、拡散活動の検知の有無を判断し（ＳＰ１７）、検知通知を受信していない場合には（ＳＰ１７：Ｎ）、処理を終了する。これに対し検知通知を受信している場合には（ＳＰ１７：Ｙ）、対策実施指示を不正活動対応部１８に送信する（ＳＰ１８）。
The
不正活動対応部１８は、対策実施指示を受信すると、対応ルールＤＢ１８１を参照して、検知した拡散活動についての対策処理を実行し（ＳＰ１９）、一連の処理を終了する。
Upon receiving the countermeasure execution instruction, the fraudulent activity handling unit 18 refers to the
（５−２）不審活動グラフ管理処理の詳細
図１５は、不審活動グラフ管理処理の処理手順を示す。不審活動グラフ管理処理は、図１４ＢのステップＳＰ１４〜ＳＰ１６において実行される処理の詳細である。
(5-2) Details of Suspicious Activity Graph Management Processing FIG. 15 shows a processing procedure of suspicious activity graph management processing. The suspicious activity graph management process is a detail of the process executed in steps SP14 to SP16 in FIG. 14B.
まず不審活動グラフ管理部１６は、制御部１１からのグラフ評価要求を受信すると（ＳＰ２１）、グラフ評価要求に含まれる情報が不審通信情報であるか否かを判断する（ＳＰ２２）。グラフ評価要求に含まれる情報が不審通信情報である場合（ＳＰ２２：Ｙ）、不審活動グラフ管理部１６は、不審通信情報の送信元端末が不審端末であり、かつ、送信先端末が正常端末であるか否かを判断する（ＳＰ２３）。 First, when receiving the graph evaluation request from the control unit 11 (SP21), the suspicious activity graph management unit 16 determines whether the information included in the graph evaluation request is suspicious communication information (SP22). When the information included in the graph evaluation request is suspicious communication information (SP22: Y), the suspicious activity graph management unit 16 determines that the transmission source terminal of the suspicious communication information is a suspicious terminal and the transmission destination terminal is a normal terminal. It is determined whether or not there is (SP23).
不審活動グラフ管理部１６は、ステップＳＰ２３の判断に際して不審端末管理部１７に問い合わせて、不審通信情報の送信元端末及び送信先端末が不審端末であるか否かの判定結果を不審端末管理部１７から受信する。そして不審活動グラフ管理部１６は、ステップＳＰ２３の判断で肯定結果を得ると（ＳＰ２３：Ｙ）、グラフ管理ＤＢ１６１内の全ての不審活動グラフのレコードに対して以下の処理（ＳＰ２５〜ＳＰ２７）を実行する（ＳＰ２４）。
The suspicious activity graph management unit 16 inquires of the suspicious
具体的には、不審活動グラフ管理部１６は、一定の条件を満たすか否かを判断する（ＳＰ２５）。一定の条件とは、条件Ｐかつ条件Ｑ１を満たすこと又は条件Ｐかつ条件Ｑ２を満たすことをいう。条件を満たす場合には既存の不審活動グラフを更新するべく、ステップＳＰ２６に移行する。満たさない場合には次のレコードに対して条件を満たすか否かを判断する。 Specifically, the suspicious activity graph management unit 16 determines whether or not a certain condition is satisfied (SP25). The certain condition means that the condition P and the condition Q1 are satisfied or the condition P and the condition Q2 are satisfied. If the condition is satisfied, the process proceeds to step SP26 in order to update the existing suspicious activity graph. If not, it is determined whether the condition is satisfied for the next record.
ここで条件Ｐは、不審活動グラフ内に送信元端末があり、かつ、送信先端末がないこと、条件Ｑ１は、現在時刻−送信元端末の不審通信受信時刻＜Δｔ２、かつ、送信元端末の評価対象フラグ＝Ｆａｌｓｅであること、条件Ｑ２は、現在時刻−送信元端末の最終不審通信・不審活動時刻＜Δｔ１であること、である。 Here, the condition P is that there is a transmission source terminal in the suspicious activity graph and that there is no transmission destination terminal, and the condition Q1 is that the current time−suspicious communication reception time of the transmission source terminal <Δt2 and the transmission source terminal The evaluation target flag = False, and the condition Q2 is that the current time−the last suspicious communication / suspicious activity time of the transmission source terminal <Δt1.
条件Ｐかつ条件Ｑ１を満たす場合又は条件Ｐかつ条件Ｑ２を満たす場合とは、すなわち、不審活動グラフに含まれる不審端末から現時点では含まれていない正常端末に対して不審通信が行われ（条件Ｐ）、送信元端末が不審通信を受信してから経過した時間が一定時間（Δｔ２）以内であって送信元端末が現時点で評価対象ではないか（条件Ｑ１）、或いは、送信元端末が最後に不審通信又は不審活動を行ってから経過した時間が一定時間（Δｔ１）以内である（条件Ｑ２）場合である。この場合、送信元端末による拡散活動を検知する。 When the condition P and the condition Q1 are satisfied or when the condition P and the condition Q2 are satisfied, that is, a suspicious communication is performed from a suspicious terminal included in the suspicious activity graph to a normal terminal that is not currently included (condition P ) Whether the time elapsed since the transmission source terminal received the suspicious communication is within a certain time (Δt2) and the transmission source terminal is not currently evaluated (condition Q1), or the transmission source terminal is the last This is a case where the time elapsed since the suspicious communication or suspicious activity was performed is within a certain time (Δt1) (condition Q2). In this case, the spreading activity by the source terminal is detected.
なおΔｔ１及びΔｔ２は、不審活動グラフ管理部１６において設定されるパラメータであり、例えば１０分又は１時間等である。このΔｔ１及びΔｔ２を長く設定すると、一の不審活動グラフに含まれる端末数は多くなることが予測される。 Δt1 and Δt2 are parameters set in the suspicious activity graph management unit 16, and are, for example, 10 minutes or 1 hour. If Δt1 and Δt2 are set long, the number of terminals included in one suspicious activity graph is predicted to increase.
一方でΔｔ１及びΔｔ２を短く設定すると、一の不審活動グラフに含まれる端末数は少なくなることが予測される。送信元端末による不審通信又は不審活動の影響をどの程度の期間まで考慮するかによって、Δｔ１及びΔｔ２の長さを適宜設定することができる。 On the other hand, if Δt1 and Δt2 are set short, it is predicted that the number of terminals included in one suspicious activity graph will be small. The lengths of Δt1 and Δt2 can be appropriately set depending on how long the influence of suspicious communication or suspicious activity by the transmission source terminal is taken into consideration.
例えば検知しようとする標的型攻撃の拡散活動が１時間に１回程度である場合には、Δｔ１及びΔｔ２を１時間に設定すればよい。送信元端末は１時間以内に少なくとも１回の不審通信又は不審活動を行うため、送信元端末が最後に不審通信又は不審活動を行ってから１時間以内の送信元端末による拡散活動を検知することができる。 For example, if the spreading activity of the targeted attack to be detected is about once per hour, Δt1 and Δt2 may be set to 1 hour. Since the transmission source terminal performs at least one suspicious communication or suspicious activity within one hour, detection of spreading activity by the transmission source terminal within one hour after the transmission source terminal last performed suspicious communication or suspicious activity Can do.
Δｔ１及びΔｔ２を１日のように更に長く設定すると、送信元端末が不審通信又は不審活動を行ってからあまりに長い期間が経過していても送信元端末による拡散活動として検知することになる。実際には送信元端末からの通信を受信した送信先端末は送信元端末の不審通信又は不審活動の影響を受けていないものと解釈することができる。よって検知精度が低下する場合がある。 If Δt1 and Δt2 are set longer as one day, even if a long period has elapsed since the transmission source terminal performed suspicious communication or suspicious activity, it is detected as spreading activity by the transmission source terminal. Actually, the destination terminal that has received the communication from the source terminal can be interpreted as not being affected by the suspicious communication or suspicious activity of the source terminal. Therefore, the detection accuracy may be reduced.
これに対しΔｔ１及びΔｔ２を１分のように短く設定すると、送信元端末は１分以内に不審通信又は不審活動を行わないため、送信元端末が最後に不審通信又は不審活動を行ってから１時間後の拡散活動を検知することができない。よってΔｔ１及びΔｔ２は、検知しようとする拡散活動の攻撃頻度に応じて適宜設定することが好ましい。 On the other hand, if Δt1 and Δt2 are set to be as short as 1 minute, the transmission source terminal does not perform suspicious communication or suspicious activity within 1 minute. Therefore, 1 after the transmission source terminal last performs suspicious communication or suspicious activity. Unable to detect spreading activity after hours. Therefore, Δt1 and Δt2 are preferably set as appropriate according to the attack frequency of the diffusion activity to be detected.
不審活動グラフ管理部１６は、ステップＳＰ２５の判断で肯定結果を得ると、レコードの内容を更新する（ＳＰ２６）。具体的には評価対象フラグがＦａｌｓｅの場合にはＴｒｕｅに変更し、不審端末転換時刻がＮＵＬＬの場合には現在時刻を設定し、最終不審通信・不審活動時刻がＮＵＬＬの場合には現在時刻を設定して、レコードの内容を更新する。 When the suspicious activity graph management unit 16 obtains a positive result in the determination at step SP25, it updates the content of the record (SP26). Specifically, if the evaluation target flag is False, it is changed to True, the current time is set when the suspicious terminal conversion time is NULL, and the current time is set when the last suspicious communication / suspicious activity time is NULL. Set and update the contents of the record.
次いで不審活動グラフ管理部１６は、不審活動グラフ内に新たなレコードを追加し、不審通信の送信先端末に関する情報を設定する（ＳＰ２７）。具体的にはレコードの端末欄１６１３には不審通信の送信先端末を設定し、不審通信受信時刻欄１６１４には現在時刻を設定する。
Next, the suspicious activity graph management unit 16 adds a new record in the suspicious activity graph, and sets information regarding the destination terminal of the suspicious communication (SP27). Specifically, the transmission destination terminal of the suspicious communication is set in the
また不審通信送信元端末欄１６１５には送信元端末の識別情報を設定し、評価対象フラグ欄１６１６にはＦａｌｓｅを設定し、不審端末転換時刻欄１６１７及び最終不審通信・不審活動時刻欄１６１８にはＮＵＬＬを設定して、送信先端末に関する情報を設定する。
Further, identification information of the transmission source terminal is set in the suspicious communication transmission
ステップＳＰ２２に戻り、不審活動グラフ管理部１６は、グラフ評価要求に含まれる情報が不審通信情報でない場合（ＳＰ２２：Ｎ）、グラフ評価要求に含まれる不審活動を行った端末が不審端末であるか否かを不審端末管理部１７に問い合わせる。そして不審端末管理部１７からの判定結果に基づいて、不審活動を行った端末が不審端末であるか否かを判断する（ＳＰ２８）。
Returning to step SP22, if the information included in the graph evaluation request is not suspicious communication information (SP22: N), the suspicious activity graph management unit 16 determines whether the terminal that has performed the suspicious activity included in the graph evaluation request is a suspicious terminal. The suspicious
不審活動グラフ管理部１６は、ステップＳＰ２８の判断で肯定結果を得ると（ＳＰ２８：Ｙ）、グラフ管理ＤＢ１６１内の全ての不審活動グラフのレコードに対して以下の処理（ＳＰ３０〜ＳＰ３２）を実行する（ＳＰ２９）。
When the suspicious activity graph management unit 16 obtains a positive result in the determination at step SP28 (SP28: Y), the suspicious activity graph management unit 16 executes the following processing (SP30 to SP32) on all suspicious activity graph records in the
具体的には、不審活動グラフ管理部１６は、不審活動グラフ内に不審活動を行った端末（不審活動端末）が存在するか否かを判断する（ＳＰ３０）。不審活動端末が存在しない場合には次のレコードに対して存在するか否かを判断する（ＳＰ３０：Ｎ）。 Specifically, the suspicious activity graph management unit 16 determines whether or not there is a terminal (suspicious activity terminal) that has performed suspicious activity in the suspicious activity graph (SP30). If there is no suspicious activity terminal, it is determined whether or not it exists for the next record (SP30: N).
これに対し不審活動グラフ管理部１６は、不審活動グラフ内に不審活動端末が存在する場合には（ＳＰ３０：Ｙ）、一定の条件を満たすか否かを判断する（ＳＰ３１）。一定の条件とは、条件Ｒ又は条件Ｓを満たすことをいう。条件を満たす場合には既存の不審活動グラフを更新するべく、ステップＳＰ３２に移行する。満たさない場合には次のレコードに対して条件を満たすか否かを判断する。 In contrast, when there is a suspicious activity terminal in the suspicious activity graph (SP30: Y), the suspicious activity graph management unit 16 determines whether or not a certain condition is satisfied (SP31). The certain condition means that the condition R or the condition S is satisfied. If the condition is satisfied, the process proceeds to step SP32 in order to update the existing suspicious activity graph. If not, it is determined whether the condition is satisfied for the next record.
ここで条件Ｒは、現在時刻−不審活動端末の不審通信受信時刻＜Δｔ２、かつ、送信元端末の評価対象フラグ＝Ｆａｌｓｅであること、条件Ｓは、現在時刻−不審活動端末の最終不審通信・不審活動時刻＜Δｔ１であること、である。 Here, the condition R is the current time−suspicious activity reception time of the suspicious activity terminal <Δt2, and the evaluation target flag = False of the transmission source terminal, and the condition S is the current time−the last suspicious activity terminal / suspicious activity terminal Suspicious activity time <Δt1.
条件Ｒ又は条件Ｓを満たす場合とは、すなわち、不審活動端末が不審通信を受信してから経過した時間が一定時間（Δｔ２）以内であり、かつ、不審活動端末が現時点で評価対象ではない場合、或いは、不審活動端末が最後に不審通信又は不審活動を行ってから経過した時間が一定時間（Δｔ１）以内である場合である。この場合、不審活動端末による拡散活動を検知する。 When the condition R or the condition S is satisfied, that is, when the time elapsed since the suspicious activity terminal received the suspicious communication is within a certain time (Δt2), and the suspicious activity terminal is not the target of evaluation at the present time. Or it is a case where the time elapsed since the suspicious activity terminal last performed suspicious communication or suspicious activity is within a certain time (Δt1). In this case, the diffusion activity by the suspicious activity terminal is detected.
不審活動グラフ管理部１６は、ステップＳＰ３１の判断で肯定結果を得ると、レコードの内容を更新する（ＳＰ３２）。具体的には評価対象フラグがＦａｌｓｅの場合にはＴｒｕｅに変更し、不審端末転換時刻がＮＵＬＬの場合には現在時刻を設定し、最終不審通信・不審活動時刻がＮＵＬＬの場合には現在時刻を設定して、レコードの内容を更新する。 When the suspicious activity graph management unit 16 obtains a positive result in the determination at step SP31, it updates the content of the record (SP32). Specifically, if the evaluation target flag is False, it is changed to True, the current time is set when the suspicious terminal conversion time is NULL, and the current time is set when the last suspicious communication / suspicious activity time is NULL. Set and update the contents of the record.
次いで不審活動グラフ管理部１６は、グラフ管理ＤＢ１６１が更新されているか否かを判断する（ＳＰ３３）。更新されている場合（ＳＰ３３：Ｙ）、不審活動グラフ管理部１６は、グラフ評価ポリシーＤＢ１６２において規定されているルールに基づいて、更新後の不審活動グラフのスコアを算出する（ＳＰ３４）。
Next, the suspicious activity graph management unit 16 determines whether or not the
次いで不審活動グラフ管理部１６は、算出したグラフスコアが予め決められた閾値を超えるか否かを判断する（ＳＰ３５）。不審活動グラフ管理部１６は、ステップＳＰ３５の判断で肯定結果を得ると、拡散活動の検知通知を生成して制御部１１に送信して（ＳＰ３６）、本処理を終了する。 Next, the suspicious activity graph management unit 16 determines whether or not the calculated graph score exceeds a predetermined threshold (SP35). When the suspicious activity graph management unit 16 obtains a positive result in the determination at step SP35, the suspicious activity graph management unit 16 generates and transmits a diffusion activity detection notification to the control unit 11 (SP36), and ends this process.
これに対し不審活動グラフ管理部１６は、ステップＳＰ３３の判断で否定結果を得ると、新たな不審活動グラフをグラフ管理ＤＢ１６１に追加する（ＳＰ３７）。このとき不審活動グラフ管理部１６は、生成時間欄１６１２に現在時刻を設定し、端末欄１６１３に不審活動端末の識別情報を設定する。
In contrast, when the suspicious activity graph management unit 16 obtains a negative result in the determination at step SP33, it adds a new suspicious activity graph to the graph management DB 161 (SP37). At this time, the suspicious activity graph management unit 16 sets the current time in the
また不審通信受信時刻欄１６１４及び不審通信送信元端末欄１６１５にはＮＵＬＬを設定し、評価対象フラグ欄１６１６にはＴｒｕｅを設定する。また不審端末転換時刻欄１６１７及び最終不審通信・不審活動時刻欄１６１８には現在時刻を設定する。また送信先端末が存在する場合には送信先端末も同一の不審活動グラフに追加する。
Further, NULL is set in the suspicious communication
このとき不審活動グラフ管理部１６は、不審通信受信時刻欄１６１４には現在時刻を設定し、不審通信送信元端末欄１６１５には送信元端末の識別情報を設定し、評価対象フラグ欄１６１６にはＦａｌｓｅを設定する。また不審端末転換時刻欄１６１７及び最終不審通信・不審活動時刻欄１６１８には現在時刻を設定する。
At this time, the suspicious activity graph management unit 16 sets the current time in the suspicious communication
（６）不審活動グラフ管理処理の詳細
図１６は、管理者用ダッシュボード３１の操作表示画面構成を示す。ネットワーク管理者は、管理者端末３０から管理者用ダッシュボード３１を閲覧することにより、現在の拡散活動の概要や対応状況を確認することができる。管理者用ダッシュボード３１は、グラフ構築状況領域３２、グラフ詳細領域３３及びポリシー編集領域３４から構成される。
(6) Details of Suspicious Activity Graph Management Process FIG. 16 shows an operation display screen configuration of the
グラフ構築状況領域３２には、グラフ管理ＤＢ１６１及びグラフ評価ポリシーＤＢ１６２に基づいて、現在の不審活動グラフの構築状況の概要が表示される。またグラフスコアが閾値を超えているものについては、対応ルールＤＢ１８１に基づいて、対応状況が表示される。
Based on the
グラフ詳細領域３３には、各不審活動グラフの詳細（不審端末転換時刻や不審通信発生時刻）が表示される。この表示された情報に基づいて、管理者はどのような拡散活動が発生しているのかを確認することができる。
Details of each suspicious activity graph (suspicious terminal switching time and suspicious communication occurrence time) are displayed in the
ポリシー編集領域３４には、正常通信ポリシー管理インタフェイス１３３、正常活動ポリシー管理インタフェイス１５３、グラフ評価ポリシー管理インタフェイス１６３、不審端末ポリシー管理インタフェイス１７３又はルール管理インタフェイス１８２を介して、各種ポリシー又はルールの確認及び編集を行うための編集ボタンが表示される。
The
（７）第１の実施の形態による効果
以上のように第１の実施の形態におけるウイルス検知システム１によれば、端末２０Ａ〜２０Ｄが通信情報又は活動情報を拡散活動検知装置１０に送信し、拡散活動検知装置１０は、端末２０Ａ〜２０Ｄからの通信情報又は活動情報を受信して、不審通信情報又は不審活動情報であるか否かを判断し、不審通信情報又は不審活動情報である場合には生成した端末が不審端末であるか否かを判断し、不審端末である場合には他の不審端末との間を不審通信によって接続し、複数の不審端末により構成される不審活動グラフを構築するようにしたので、構築した不審活動グラフを参照することにより、拡散活動を精度良く早期に検知することができる。
(7) Effects of the first embodiment As described above, according to the
（８）第２の実施の形態
第２の実施の形態では、端末内にインストールされたアンチマルウェアソフトを用いて、不審通信及び不審活動を監視する点及び拡散活動の検知状況に応じて実行するアンチマルウェアソフトを切り替える点で、第１の実施の形態と異なる。以下第１の実施の形態における構成と同様の構成についてはその説明を省略し、異なる構成について説明する。
(8) Second Embodiment In the second embodiment, the anti-malware software installed in the terminal is used to monitor suspicious communication and suspicious activity according to the point of detection and the detection status of the spreading activity. It is different from the first embodiment in that the anti-malware software is switched. Hereinafter, the description of the same configuration as the configuration in the first embodiment will be omitted, and a different configuration will be described.
図１７は、第２の実施の形態におけるウイルス検知システム１Ａの機能構成を示す。ウイルス検知システム１Ａは、端末２０１Ａ、拡散活動検知装置１０１Ａ及び外部管理装置４０等を備えて構成される。なおここでは単一の端末２０１Ａが拡散活動検知装置１０１Ａに接続して図示されているが、実際には複数の端末が拡散活動検知装置１０１Ａに接続して構成される。 FIG. 17 shows a functional configuration of the virus detection system 1A according to the second embodiment. The virus detection system 1A includes a terminal 201A, a diffusion activity detection device 101A, an external management device 40, and the like. Here, a single terminal 201A is shown connected to the diffusion activity detection device 101A, but actually a plurality of terminals are connected to the diffusion activity detection device 101A.
端末２０１Ａ内の監視部２１１は、複数のアンチマルウェアＸ、Ｙ及びＺを備えて構成される。端末２０１Ａが不審通信又は不審活動を行うと、アンチマルウェアＸ〜Ｚは端末２０１Ａが行った不審通信又は不審活動を検知し、不審通信又は不審活動を含むログファイルを端末制御部２４に送信する。なお端末２０１Ａ内で１度に実行されるアンチマルウェアソフトは１個（例えばアンチマルウェアＸ）である。 The monitoring unit 211 in the terminal 201A includes a plurality of anti-malwares X, Y, and Z. When the terminal 201A performs suspicious communication or suspicious activity, the anti-malware X to Z detects suspicious communication or suspicious activity performed by the terminal 201A, and transmits a log file including the suspicious communication or suspicious activity to the terminal control unit 24. Note that one anti-malware software (for example, anti-malware X) is executed at a time in the terminal 201A.
端末制御部２４は、例えばアンチマルウェアＸからのログファイルを受信すると、ログファイルを拡散活動検知装置１０１Ａが解釈可能な形式に変換し、不審通信情報又は不審活動情報として拡散活動検知装置１０１Ａに送信する。 For example, when the terminal control unit 24 receives a log file from the anti-malware X, the terminal control unit 24 converts the log file into a format that can be interpreted by the diffusion activity detection device 101A, and transmits the log file to the diffusion activity detection device 101A as suspicious communication information or suspicious activity information. To do.
拡散活動検知装置１０１Ａ内の制御部１１は、端末制御部２４からの不審通信情報又は不審活動情報を受信すると、各部及び各ＤＢと協働して、図１４ＢのステップＳＰ１０以降の処理を実行する。
When receiving the suspicious communication information or the suspicious activity information from the terminal control unit 24, the
外部管理装置４０は、拡散活動検知装置１０１Ａにおける検知結果の正誤判断を行い、検知状況を拡散活動検知装置１０１Ａ内のフィードバック部１９に送信する。フィードバック部１９は、フィードバックルールＤＢ１９１に格納されているルールと、検知状況又はグラフ管理ＤＢ１６１の内容とに基づいて、端末２０１Ａにおいて現在実行されているアンチマルウェアソフトの切り替え命令を生成する。
The external management device 40 determines whether the detection result in the diffusion activity detection device 101A is correct or not, and transmits the detection status to the
フィードバックルールＤＢ１９１には、アンチマルウェアソフトを切り替えるか否かを判断するための具体的なルールが格納されている。ネットワーク管理者は、管理者端末３０及びフィードバック管理インタフェイス１９２を介して、フィードバックルールＤＢ１９１内に格納されているルールを編集することができる。
The feedback rule DB 191 stores specific rules for determining whether to switch anti-malware software. The network administrator can edit the rules stored in the feedback rule DB 191 via the administrator terminal 30 and the
例えばフィードバック部１９は、アンチマルウェアＸによる検知率が低いことを示す検知状況を受信した場合、端末２０１Ａ内で実行すべきアンチマルウェアソフトをアンチマルウェアＸからアンチマルウェアＹに切り替えることを指示する切り替え命令を生成する。
For example, when the
またフィードバック部１９は、グラフ管理ＤＢ１６１を参照してグラフスコアが所定の閾値を超える不審活動グラフが存在する場合、例えば低負荷かつ低性能なアンチマルウェアから高負荷かつ高性能なアンチマルウェアに切り替えることを指示する切り替え命令を生成する。
Further, when there is a suspicious activity graph whose graph score exceeds a predetermined threshold with reference to the
そしてフィードバック部１９は、アンチマルウェアソフトの切り替え命令を端末２０１Ａに送信する。端末制御部２４は、フィードバック部１９からの切り替え命令に従って、実行するアンチマルウェアソフトを切り替える。
The
（９）第２の実施の形態による効果
以上のように第２の実施の形態におけるウイルス検知システム１Ａによれば、フィードバックルールＤＢ１９１に格納されているルールに従って、検知状況又はグラフ管理ＤＢ１６１を参照してマルウェアソフトを切り替えるか否かを判断し、切り替える場合には切り替え命令を拡散活動検知装置１０１Ａから端末２０１Ａに送信するようにしたので、アンチマルウェアの検知性能が時間経過とともに変化して検知見逃し率又は誤検知率が増加するような場合であっても適切なアンチマルウェアソフトに切り替えて不審通信又は不審活動を検知することができる。
(9) Effects of the Second Embodiment As described above, according to the virus detection system 1A of the second embodiment, the detection status or
また不審活動グラフの構成状況に応じて、低負荷かつ低性能であるアンチマルウェアソフトから、高負荷かつ高性能であるアンチマルウェアソフトに切り替えることができる。なお他の方法として、所謂多腕バンディットアルゴリズム等、既存のアクティブラーニング型アルゴリズムを用いて、切り替えるアンチマルウェアソフトを選択するとしてもよい。 Further, it is possible to switch from anti-malware software with low load and high performance to anti-malware software with high load and high performance according to the configuration status of the suspicious activity graph. As another method, anti-malware software to be switched may be selected using an existing active learning algorithm such as a so-called multi-arm bandit algorithm.
（１０）他の実施の形態
上記実施の形態では、不審活動グラフ単位で拡散活動を管理するとしているが、一定の条件を満たす場合、２つのグラフを１つに集約し、集約した不審活動グラフ単位で拡散活動を管理するようにしてもよい。例えば図１６のグラフ詳細領域３３を参照して説明すると、ここでは端末Ｄから端末Ｂに向けて不審通信による拡散活動が行われていることが示されているが、仮に端末Ｄから端末Ｂに向かう通信が不審通信と判定されない場合には、２つのグラフに分断されて管理されることになる。
(10) Other Embodiments In the above embodiment, diffusion activities are managed in units of suspicious activity graphs. However, when certain conditions are satisfied, two graphs are aggregated into one and the suspicious activity graphs are aggregated. You may make it manage proliferation activity by a unit. For example, referring to the
この場合であっても、例えば一のグラフに含まれる端末のうちの不審端末転換時刻が最新の端末（この場合、端末Ｄ）と、他のグラフに含まれる端末のうちの不審端末転換時刻が最古の端末（この場合、端末Ｂ）とを比較して、時刻差が閾値以内であり、かつ、両端末間で通信が行われているという条件を満たす場合には、２つのグラフを１つに集約するとしてもよい。 Even in this case, for example, the terminal with the latest suspicious terminal conversion time among terminals included in one graph (in this case, terminal D) and the suspicious terminal conversion time among terminals included in another graph are When comparing with the oldest terminal (in this case, terminal B), if the time difference is within a threshold and the condition that communication is performed between both terminals is satisfied, two graphs are expressed as 1 It may be aggregated into one.
この場合、実際には端末Ｄから端末Ｂに向かう通信が不審通信であるにもかかわらず不審通信とみなされずにグラフが分断されてしまった場合でも、あらためて１つのグラフに集約することができる。よって拡散活動の検知が遅延することを防止することができる。 In this case, even when the communication from the terminal D to the terminal B is actually suspicious communication, the graph is divided without being regarded as suspicious communication, and can be aggregated into one graph again. Therefore, it is possible to prevent the detection of the diffusion activity from being delayed.
また上記実施の形態においては、拡散活動検知装置１０が学習フェイズである場合に通信ＤＢ１２１及び活動ＤＢ１４１に通信及び活動を格納するとしたが、検知フェイズである場合でも常に通信及び活動を格納するとしてもよい。
In the above embodiment, communication and activity are stored in the communication DB 121 and the activity DB 141 when the diffusion
この場合、通信ＤＢ１２１及び活動ＤＢ１４１に格納される通信及び活動が時々刻々と更新され、最新の通信及び活動に基づいて、正常通信プロファイルＤＢ１３１及び正常活動プロファイルＤＢ１５１が更新されることになる。よって端末間の通信が不審通信であるか否か、或いは、端末内の活動が不審活動であるか否かを精度良く検知することができ、結果的に拡散活動の検知精度を向上させることができる。
In this case, the communication and activity stored in the communication DB 121 and the activity DB 141 are updated every moment, and the normal
また上記実施の形態においては、１組のΔｔ１及びΔｔ２を用いて構築した不審活動グラフをグラフ管理ＤＢ１６１に格納するとしたが、複数種類のΔｔ１及びΔｔ２を用いて構築した不審活動グラフを格納するとしてもよい。すなわちΔｔ１及びΔｔ２の組み合わせごとに不審活動グラフを構築するとしてもよい。
In the above embodiment, a suspicious activity graph constructed using a set of Δt1 and Δt2 is stored in the
この場合、上記実施の形態では攻撃頻度が同一のマルウェアによる拡散活動について、拡散ルートごとに不審活動グラフを構築するようにしているがこれに加えて、攻撃頻度が異なるマルウェアによる拡散活動について、それぞれ拡散ルートごとに不審活動グラフを構築することができる。よって多様なマルウェアによる拡散活動を検知することができる。 In this case, in the above embodiment, a suspicious activity graph is constructed for each spreading route for spreading activity by malware with the same attack frequency, but in addition to this, for spreading activity by malware with different attack frequencies, respectively. Suspicious activity graphs can be constructed for each diffusion route. Therefore, it is possible to detect the spread activity by various malware.
１ ウイルス検知システム
１０ 拡散活動検知装置
１１ 制御部
１２ 正常通信学習部
１３ 不審通信判定部
１４ 正常活動学習部
１５ 不審活動判定部
１６ 不審活動グラフ管理部
１７ 不審端末管理部
１８ 不正活動対応部
１９ フィードバック部
２０Ａ〜２０Ｄ 端末
２１ 監視部
２２ 端末通信監視部
２３ 端末活動監視部
２４ 端末制御部
３０ 管理者端末
３１ 管理者用ダッシュボード
４０ 外部管理装置
DESCRIPTION OF
Claims (14)
複数の端末及び拡散活動検知装置を備え、
前記複数の端末のそれぞれは、
他端末との間で行った通信及び自端末内部で行った活動を監視し、通信又は活動を行った場合には通信情報又は活動情報を生成して前記拡散活動検知装置に送信し、
前記拡散活動検知装置は、
前記端末からの通信情報又は活動情報を受信した場合、
予め定められた第１のポリシーに基づいて、前記通信情報又は前記活動情報が不審通信情報又は不審活動情報であるか否かを判断し、
前記通信情報又は前記活動情報が不審通信情報又は不審活動情報である場合、
予め定められた第２のポリシーに基づいて、前記不審通信情報又は前記不審活動情報を生成した端末が不審端末であるか否かを判断し、
前記不審通信情報又は前記不審活動情報を生成した端末が不審端末である場合、
不審端末間の関連性を示すグラフを構築し、構築したグラフに基づいて、ウイルスの拡散活動を検知する
ことを特徴とするウイルス検知システム。 In the virus detection system that detects the spread activity of the virus,
It has a plurality of terminals and diffusion activity detection device,
Each of the plurality of terminals is
Monitors communications performed with other terminals and activities performed within the terminal itself, and when communications or activities are performed, communication information or activity information is generated and transmitted to the diffusion activity detection device,
The diffusion activity detection device comprises:
When receiving communication information or activity information from the terminal,
Based on a predetermined first policy, determine whether the communication information or the activity information is suspicious communication information or suspicious activity information,
When the communication information or the activity information is suspicious communication information or suspicious activity information,
Based on a predetermined second policy, determine whether the terminal that generated the suspicious communication information or the suspicious activity information is a suspicious terminal;
When the terminal that generated the suspicious communication information or the suspicious activity information is a suspicious terminal,
A virus detection system characterized by constructing a graph showing the relationship between suspicious terminals and detecting virus spreading activity based on the constructed graph.
前記第１のポリシーに基づいて、前記通信情報又は前記活動情報が正常通信情報又は正常活動情報であるか否かを判断し、正常通信情報又は正常活動情報ではない場合、前記通信情報又は前記活動情報を前記不審通信情報又は前記不審活動情報であると判定する
ことを特徴とする請求項１に記載のウイルス検知システム。 The diffusion activity detection device comprises:
Based on the first policy, it is determined whether the communication information or the activity information is normal communication information or normal activity information. If the communication information or the activity information is not normal communication information or normal activity information, the communication information or the activity The virus detection system according to claim 1, wherein the information is determined to be the suspicious communication information or the suspicious activity information.
特定の端末間の通信又は通信回数が予め定められた回数以上の通信を正常通信とし、
特定の端末内の活動又は活動回数が予め定められた回数以上の活動を正常活動とするように規定されている
ことを特徴とする請求項１に記載のウイルス検知システム。 The first policy is:
Communication between specific terminals or communication more than the predetermined number of times is defined as normal communication,
The virus detection system according to claim 1, wherein the activity in a specific terminal or the number of times of activity is defined as a normal activity that is equal to or greater than a predetermined number of times.
不審通信情報又は不審活動情報を生成した回数が予め定められた回数以上の端末を不審端末とするように規定されている
ことを特徴とする請求項１に記載のウイルス検知システム。 The second policy is:
The virus detection system according to claim 1, wherein the suspicious terminal is defined as a terminal in which suspicious communication information or suspicious activity information is generated more than a predetermined number of times.
前記不審通信の送信元である不審端末と、前記不審通信の送信先である不審端末との間を結ぶことにより前記グラフを構築する
ことを特徴とする請求項１に記載のウイルス検知システム。 The diffusion activity detection device comprises:
The virus detection system according to claim 1, wherein the graph is constructed by connecting a suspicious terminal that is a transmission source of the suspicious communication and a suspicious terminal that is a transmission destination of the suspicious communication.
前記不審通信の送信元である不審端末から不審通信を受信した端末であって、かつ、不審通信を受信してから一定時間内に不審端末に転換した端末を前記不審通信の送信先である不審端末とする
ことを特徴とする請求項５に記載のウイルス検知システム。 The diffusion activity detection device comprises:
A terminal that has received a suspicious communication from a suspicious terminal that is a transmission source of the suspicious communication, and that has converted into a suspicious terminal within a certain period of time after receiving the suspicious communication, The virus detection system according to claim 5, wherein the virus detection system is a terminal.
前記一定時間として複数種類の時間を設定する
ことを特徴とする請求項６に記載のウイルス検知システム。 The diffusion activity detection device comprises:
The virus detection system according to claim 6, wherein a plurality of types of times are set as the fixed time.
前記グラフに含まれる不審端末数及び予め定められた各不審端末の重み付けに基づいて、前記グラフに対するスコアを算出し、
予め定められた第３のポリシーに基づいて、拡散活動を抑制するための対策を実行する
ことを特徴とする請求項１に記載のウイルス検知システム。 The diffusion activity detection device comprises:
Based on the number of suspicious terminals included in the graph and a predetermined weight of each suspicious terminal, a score for the graph is calculated,
The virus detection system according to claim 1, wherein a measure for suppressing spread activity is executed based on a third policy that is determined in advance.
前記グラフに対するスコアごとに拡散活動を抑制するための対策が規定されている
ことを特徴とする請求項８に記載のウイルス検知システム。 The third policy is:
The virus detection system according to claim 8, wherein a measure for suppressing diffusion activity is defined for each score for the graph.
前記第１のポリシー、前記第２のポリシー及び前記第３のポリシーを編集するためのインタフェイスを備える
ことを特徴とする請求項８に記載のウイルス検知システム。 The diffusion activity detection device comprises:
The virus detection system according to claim 8, further comprising an interface for editing the first policy, the second policy, and the third policy.
ことを特徴とする請求項１に記載のウイルス検知システム。 The virus detection system according to claim 1, further comprising an administrator dashboard for presenting a construction status of the graph to an administrator.
複数のアンチマルウェアソフトを備え、何れか一のアンチマルウェアソフトを実行することにより、他端末との間で行った通信又は自端末内部で行った活動が不審通信又は不審活動であるか否かを判断し、不審通信又は不審活動である場合には不審通信情報又は不審活動情報を生成して前記拡散活動検知装置に送信し、
前記拡散活動検知装置は、
前記第２のポリシーに基づいて、前記不審通信情報又は前記不審活動情報を生成した端末が不審端末であるか否かを判断し、
前記不審通信情報又は前記不審活動情報を生成した端末が不審端末である場合、
前記グラフを構築し、構築したグラフに基づいて、ウイルスの拡散活動を検知し、
検知状況に基づいて、前記複数の端末において現在実行されているアンチマルウェアソフトを他のアンチマルウェアソフトに切り替えるように前記複数の端末に指示する
ことを特徴とする請求項１に記載のウイルス検知システム。 Each of the plurality of terminals is
Whether or not the communication performed with other terminals or the activity performed within the own terminal is suspicious communication or suspicious activity by providing a plurality of anti-malware software and executing any one anti-malware software Judgment, if it is suspicious communication or suspicious activity, generate suspicious communication information or suspicious activity information and send it to the diffusion activity detection device,
The diffusion activity detection device comprises:
Based on the second policy, determine whether the terminal that generated the suspicious communication information or the suspicious activity information is a suspicious terminal;
When the terminal that generated the suspicious communication information or the suspicious activity information is a suspicious terminal,
Based on the constructed graph, virus spreading activity is detected based on the constructed graph.
2. The virus detection system according to claim 1, wherein the plurality of terminals are instructed to switch the anti-malware software currently executed in the plurality of terminals to another anti-malware software based on a detection state. .
複数のグラフを構築した場合、一のグラフと、他のグラフとの間に関連性がある場合には１つのグラフに集約し、集約したグラフに基づいて、ウイルスの拡散活動を検知する
ことを特徴とする請求項１に記載のウイルス検知システム。 The diffusion activity detection device comprises:
When multiple graphs are constructed, if there is a relationship between one graph and another graph, it is aggregated into one graph, and virus spreading activity is detected based on the aggregated graph. The virus detection system according to claim 1, wherein
複数の端末のそれぞれが、
他端末との間で行った通信及び自端末内部で行った活動を監視する第１のステップと、
通信又は活動を行った場合には通信情報又は活動情報を生成して前記拡散活動検知装置に送信する第２のステップと、
前記拡散活動検知装置が、
前記端末からの通信情報又は活動情報を受信した場合、
予め定められた第１のポリシーに基づいて、前記通信情報又は前記活動情報が不審通信情報又は不審活動情報であるか否かを判断する第３のステップと、
前記通信情報又は前記活動情報が不審通信情報又は不審活動情報である場合、
予め定められた第２のポリシーに基づいて、前記不審通信情報又は前記不審活動情報を生成した端末が不審端末であるか否かを判断第４のステップと、
前記不審通信情報又は前記不審活動情報を生成した端末が不審端末である場合、
不審端末間の関連性を示すグラフを構築し、構築したグラフに基づいて、ウイルスの拡散活動を検知する第５のステップと
を備えることを特徴とするウイルス検知方法。 In a virus detection method for detecting the spread activity of a virus,
Each of multiple devices
A first step of monitoring communications performed with other terminals and activities performed within the terminal;
A second step of generating communication information or activity information and transmitting it to the diffusion activity detection device when communication or activity is performed;
The diffusion activity detecting device is
When receiving communication information or activity information from the terminal,
A third step of determining whether the communication information or the activity information is suspicious communication information or suspicious activity information based on a predetermined first policy;
When the communication information or the activity information is suspicious communication information or suspicious activity information,
A fourth step of determining whether the terminal that generated the suspicious communication information or the suspicious activity information is a suspicious terminal based on a predetermined second policy;
When the terminal that generated the suspicious communication information or the suspicious activity information is a suspicious terminal,
A virus detection method comprising: constructing a graph indicating a relationship between suspicious terminals; and detecting a virus spreading activity based on the constructed graph.
Priority Applications (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP2014195244A JP6267089B2 (en) | 2014-09-25 | 2014-09-25 | Virus detection system and method |
Applications Claiming Priority (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP2014195244A JP6267089B2 (en) | 2014-09-25 | 2014-09-25 | Virus detection system and method |
Publications (2)
| Publication Number | Publication Date |
|---|---|
| JP2016066282A JP2016066282A (en) | 2016-04-28 |
| JP6267089B2 true JP6267089B2 (en) | 2018-01-24 |
Family
ID=55805553
Family Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| JP2014195244A Active JP6267089B2 (en) | 2014-09-25 | 2014-09-25 | Virus detection system and method |
Country Status (1)
| Country | Link |
|---|---|
| JP (1) | JP6267089B2 (en) |
Families Citing this family (5)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| JP6285390B2 (en) * | 2015-04-22 | 2018-02-28 | 株式会社日立製作所 | Cyber attack analysis apparatus and cyber attack analysis method |
| US9928366B2 (en) | 2016-04-15 | 2018-03-27 | Sophos Limited | Endpoint malware detection using an event graph |
| GB2551972B (en) * | 2016-06-29 | 2019-09-18 | Sophos Ltd | Endpoint malware detection using an event graph |
| US9967267B2 (en) | 2016-04-15 | 2018-05-08 | Sophos Limited | Forensic analysis of computing activity |
| JP6935849B2 (en) * | 2018-05-21 | 2021-09-15 | 日本電信電話株式会社 | Learning methods, learning devices and learning programs |
Family Cites Families (6)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| JP4713524B2 (en) * | 2007-03-13 | 2011-06-29 | 株式会社Ｋｄｄｉ研究所 | IP address visualization device, program, and recording medium |
| US8065731B1 (en) * | 2008-07-01 | 2011-11-22 | Narus, Inc. | System and method for malware containment in communication networks |
| TWI396995B (en) * | 2009-07-23 | 2013-05-21 | Inst Information Industry | Method and system for cleaning malicious software and computer program product and storage medium |
| US8464345B2 (en) * | 2010-04-28 | 2013-06-11 | Symantec Corporation | Behavioral signature generation using clustering |
| JP2012084994A (en) * | 2010-10-07 | 2012-04-26 | Hitachi Ltd | Malware detection method and malware detection device |
| US8799190B2 (en) * | 2011-06-17 | 2014-08-05 | Microsoft Corporation | Graph-based malware classification based on file relationships |
-
2014
- 2014-09-25 JP JP2014195244A patent/JP6267089B2/en active Active
Also Published As
| Publication number | Publication date |
|---|---|
| JP2016066282A (en) | 2016-04-28 |
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| US10051010B2 (en) | Method and system for automated incident response | |
| US10601860B2 (en) | Application platform security enforcement in cross device and ownership structures | |
| US20190068649A1 (en) | Computer network security system | |
| AU2015203086B2 (en) | Threat indicator analytics system | |
| AU2015203069B2 (en) | Deception network system | |
| EP2837131B1 (en) | System and method for determining and using local reputations of users and hosts to protect information in a network environment | |
| US10289838B2 (en) | Scoring for threat observables | |
| CN103843002B (en) | Dynamic cleaning for malware using cloud technology | |
| JP6267089B2 (en) | Virus detection system and method | |
| JP6076881B2 (en) | Evaluation method and evaluation apparatus | |
| JP2013532869A (en) | System and method for local protection against malicious software | |
| JP2011053893A (en) | Illicit process detection method and illicit process detection system | |
| US20150074756A1 (en) | Signature rule processing method, server, and intrusion prevention system | |
| CN109155774A (en) | System and method for detecting security threat | |
| Ghafir et al. | Advanced persistent threat and spear phishing emails | |
| US11128649B1 (en) | Systems and methods for detecting and responding to anomalous messaging and compromised accounts | |
| Swathy Akshaya et al. | Taxonomy of security attacks and risk assessment of cloud computing | |
| US10291644B1 (en) | System and method for prioritizing endpoints and detecting potential routes to high value assets | |
| Muslim et al. | A study of ransomware attacks: Evolution and prevention | |
| CN108183884B (en) | Network attack determination method and device | |
| Pell et al. | Towards dynamic threat modelling in 5G core networks based on MITRE ATT&CK | |
| KR20170091989A (en) | System and method for managing and evaluating security in industry control network | |
| CN113660222A (en) | Situation awareness defense method and system based on mandatory access control | |
| US10250625B2 (en) | Information processing device, communication history analysis method, and medium | |
| Rodosek et al. | Cyber security: challenges and application areas |
Legal Events
| Date | Code | Title | Description |
|---|---|---|---|
| A621 | Written request for application examination |
Free format text: JAPANESE INTERMEDIATE CODE: A621 Effective date: 20170206 |
|
| A977 | Report on retrieval |
Free format text: JAPANESE INTERMEDIATE CODE: A971007 Effective date: 20171116 |
|
| TRDD | Decision of grant or rejection written | ||
| A01 | Written decision to grant a patent or to grant a registration (utility model) |
Free format text: JAPANESE INTERMEDIATE CODE: A01 Effective date: 20171212 |
|
| R150 | Certificate of patent or registration of utility model |
Ref document number: 6267089 Country of ref document: JP Free format text: JAPANESE INTERMEDIATE CODE: R150 |