特開 2024-122173 不正アクセス検知装置、及び不正アクセス検知方法

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】公開特許公報(A)

(11)【公開番号】P2024122173

(43)【公開日】2024-09-09

(54)【発明の名称】不正アクセス検知装置、及び不正アクセス検知方法

(51)【国際特許分類】

   G06F 21/55 20130101AFI20240902BHJP

【ＦＩ】

G06F21/55

【審査請求】未請求

【請求項の数】13

【出願形態】ＯＬ

(21)【出願番号】P 2023029568

(22)【出願日】2023-02-28

(71)【出願人】

【識別番号】000233055

【氏名又は名称】株式会社日立ソリューションズ

(74)【代理人】

【識別番号】110000176

【氏名又は名称】弁理士法人一色国際特許事務所

(72)【発明者】

【氏名】植木 優輝

(72)【発明者】

【氏名】原田 建樹

(72)【発明者】

【氏名】重本 倫宏

(72)【発明者】

【氏名】西嶋 克哉

(57)【要約】      （修正有）

【課題】不正なファイル改変を少ないデータで迅速に検知する不正アクセス検知装置及び不正アクセス検知方法を提供する。
【解決手段】不正アクセス検知装置１０は、ファイルに対するアクセスを行うための入出力要求データを複数取得し、取得した複数の入出力要求データのパターンに基づき、ファイルに対するアクセス態様が異常なものであるか否かを判定する異常アクセス要求検知処理と、ファイルに対するアクセス態様が異常なものであると判定した場合に、取得した入出力要求データに基づきファイルに書き込まれるデータを特定し、特定したデータの傾向を特定することにより、特定したデータが異常なデータであるか否かを判定する異常データ検知処理と、特定したデータが異常なデータであると判定した場合に、ファイルに対するアクセスに関する所定の処理を実行する不審プロセス対処処理とを実行する。
【選択図】図１

【特許請求の範囲】

【請求項1】

ファイルに対するアクセスを行うための入出力要求データを複数取得し、取得した複数の入出力要求データのパターンに基づき、前記ファイルに対するアクセス態様が異常なものであるか否かを判定する異常アクセス要求検知処理と、
前記ファイルに対するアクセス態様が異常なものであると判定した場合に、前記取得した入出力要求データに基づきファイルに書き込まれるデータを特定し、特定したデータの傾向を特定することにより、前記特定したデータが異常なデータであるか否かを判定する異常データ検知処理と、
前記特定したデータが異常なデータであると判定した場合に、前記ファイルに対するアクセスに関する所定の処理を実行する不審プロセス対処処理とを実行する制御装置
を備える、不正アクセス検知装置。

【請求項2】

前記制御装置は、前記不審プロセス対処処理において、前記特定したデータが異常なデータであると判定した場合に、前記特定したデータの書き込み先の前記ファイルに対するアクセスを遮断する、
請求項１に記載の不正アクセス検知装置。

【請求項3】

前記制御装置は、前記不審プロセス対処処理において、前記特定したデータが異常なデータであると判定した場合に、前記ファイルに対するアクセス態様が異常なものあること又は前記特定したデータが異常なデータであることを表す情報を所定の装置に送信する、
請求項１に記載の不正アクセス検知装置。

【請求項4】

前記制御装置は、前記不審プロセス対処処理において、前記特定したデータが異常なデータであると判定した場合に、前記ファイルに対するアクセス態様が異常なものであると判定した根拠の情報又は前記特定したデータが異常なデータであると判定した根拠の情報を所定の装置に送信する、
請求項１に記載の不正アクセス検知装置。

【請求項5】

ファイルに対するアクセスを行うための入出力要求データの特徴を学習した学習済みモデルを記憶する記憶装置を備え、
前記制御装置は、前記異常アクセス要求検知処理において、前記取得した複数の入出力要求データのパターンと、前記学習済みモデルとに基づき、前記ファイルに対するアクセス態様が異常なものであるか否かを判定する、
請求項１に記載の不正アクセス検知装置。

【請求項6】

前記制御装置は、前記異常データ検知処理において、前記特定したデータの乱数度を算出し、算出した乱数度が所定の閾値以上である場合に、前記特定したデータが異常なデータであると判定する、
請求項１に記載の不正アクセス検知装置。

【請求項7】

前記制御装置は、前記異常データ検知処理において、前記取得した入出力要求データに基づき前記ファイルに書き込まれるデータの乱数度である第１の乱数度と、前記取得した入出力要求データに基づきデータが書き込まれる前の前記ファイルのデータの乱数度である第２の乱数度とを比較し、前記第１の乱数度と前記第２の乱数度との差分が所定の閾値以上である場合に、前記特定したデータが異常なデータであると判定する、
請求項１に記載の不正アクセス検知装置。

【請求項8】

ファイルのヘッダのデータ配列を記憶する記憶装置を備え、
前記制御装置は、前記異常データ検知処理において、前記特定したデータの乱数度が所
定の閾値以上である場合に、前記特定したデータの書き込み先である前記ファイル上での、前記特定したデータによる書き込み開始位置を特定し、特定した書き込み開始位置が前記ファイルの先頭である場合には、前記特定したデータの先頭部分のデータ配列が前記記憶している配列を含むか否かを判定し、前記特定したデータの配列が前記記憶している配列を含まないと判定した場合に、前記特定したデータが異常なデータであると判定する、
請求項６に記載の不正アクセス検知装置。

【請求項9】

乱数度の高いデータを保持するファイルを特徴付ける当該ファイル内のデータを記憶する記憶装置を備え、
前記制御装置は、前記異常データ検知処理において、前記特定したデータの乱数度が所定の閾値以上である場合に、前記特定したデータが前記記憶しているデータを含むか否かを判定し、前記特定したデータが前記記憶しているデータを含まないと判定した場合に、前記特定したデータが異常なデータであると判定する、
請求項６に記載の不正アクセス検知装置。

【請求項10】

前記記憶装置は、乱数度の高いデータを保持するファイルを特徴付ける当該ファイルのヘッダを記憶し、
前記制御装置は、前記異常データ検知処理において、前記特定したデータの乱数度が所定の閾値以上である場合に、前記特定したデータの書き込み先である前記ファイル上での、前記特定したデータによる書き込み開始位置を特定し、特定した書き込み開始位置が前記ファイルの先頭である場合には、前記特定したデータが前記記憶しているヘッダを含むか否かを判定し、前記特定したデータが前記記憶しているデータを含まないと判定した場合に、前記特定したデータが異常なデータであると判定する、
請求項９に記載の不正アクセス検知装置。

【請求項11】

乱数度の高いデータを保持するファイルを特徴付ける当該ファイル内のデータを記憶する記憶装置を備え、
前記制御装置は、前記異常データ検知処理において、前記特定したデータの乱数度が所定の閾値以上である場合に、前記特定したデータの書き込み先である前記ファイルが前記記憶しているデータを含むか否かを判定し、前記ファイルが前記記憶しているデータを含まないと判定した場合にのみ、前記特定したデータが異常なデータであると判定する、
請求項６に記載の不正アクセス検知装置。

【請求項12】

前記記憶装置は、乱数度の高いデータを保持するファイルを特徴付ける当該ファイルのヘッダを記憶し、
前記制御装置は、前記異常データ検知処理において、前記特定したデータの乱数度が所定の閾値以上である場合に、前記特定したデータの書き込み先である前記ファイル上での、前記特定したデータによる書き込み開始位置を特定し、特定した書き込み開始位置が前記ファイルの先頭でない場合には、前記特定したデータの書き込み先である前記ファイルが前記記憶しているヘッダを含むか否かを判定し、前記ファイルが前記記憶しているデータを含まないと判定した場合にのみ、前記特定したデータが異常なデータであると判定する、
請求項１１に記載の不正アクセス検知装置。

【請求項13】

情報処理装置が、
ファイルに対するアクセスを行うための入出力要求データを複数取得し、取得した複数の入出力要求データのパターンに基づき、前記ファイルに対するアクセス態様が異常なものであるか否かを判定する異常アクセス要求検知処理と、
前記ファイルに対するアクセス態様が異常なものであると判定した場合に、前記取得した入出力要求データに基づきファイルに書き込まれるデータを特定し、特定したデータの
傾向を特定することにより、前記特定したデータが異常なデータであるか否かを判定する異常データ検知処理と、
前記特定したデータが異常なデータであると判定した場合に、前記ファイルに対するアクセスに関する所定の処理を実行する不審プロセス対処処理とを実行する
不正アクセス検知方法。

【発明の詳細な説明】

【技術分野】

【0001】

本発明は、不正アクセス検知装置、及び不正アクセス検知方法に関する。

【背景技術】

【0002】

近年、コンピュータやインターネットへの社会的依存がますます高まってきている。これに伴い、マルウェアをはじめとするコンピュータ・ネットワークへの攻撃が社会に対してより深刻な影響を及ぼすようになってきている。また、このようなネットワークへの攻撃は、攻撃者の技術力の誇示が目的であったり愉快犯によるものであることが従来は多かったが、近年では、金銭や個人情報の奪取などの実益を目的としたものが増えてきている。

【0003】

金銭の収集を主な目的としたマルウェアとして、ランサムウェアが挙げられる。ランサムウェアはユーザの重要なファイルを暗号化することで当該ファイルを使用不能にし、これらのファイルを身代として、当該ファイルの復元の対価にデジタル通貨等の金銭の送信を要求する。ランサムウェアによる被害は２００５年ごろから顕著になり、最近では大きなセキュリティ脅威として名前が挙げられるほど、深刻なセキュリティ課題となっている。

【0004】

ランサムウェアからシステムを保護する手法として、アンチウイルス製品等を用いたエンドポイントでの防御が挙げられる。従来多く用いられているマルウェア検知の主要な方式として、マルウェアが固有にもつシグネチャを用いて、マルウェアを検出する方式が挙げられる。しかし、この手法では過去に観測されシグネチャが既知であるマルウェアしか検知することができない。

【0005】

そこで、正常状態とは異なるランサムウェアの不審な挙動を検出することで、マルウェアを検知する技術が存在する。例えば、特許文献１には、機械のバックアップデータを用いて、二つのステージでファイルシステムにおいてランサムウェアの感染の検出を試みることが記載されている。第一ステージではバックアップデータのロードやファイルシステムメタデータの作成によって、得られるファイルシステムの挙動を分析する。第一ステージで異常と判断された場合、第二ステージにおいて、ファイルオペレーションに対応するファイルの内容を分析する。ここでは、例えばファイルのエントロピーが特徴として用いられる。システムは第一ステージと第二ステージの分析結果を結合して、ファイルシステムでランサムウェア感染の確率を反映する感染症スコアを決定する。

【先行技術文献】

【特許文献】

【0006】

【特許文献1】米国特許第１１１２０１３１号明細書

【発明の概要】

【発明が解決しようとする課題】

【0007】

特許文献１に記載の技術は、シグネチャベースの検知システムとは異なり、ランサムウェアの不審挙動を用いた検知手法をとっているため、未知のランサムウェアを検知することができる。しかし、バックアップデータを用いてランサムウェアの検知を行うため、リアルタイム性が低く、ある程度以上のファイルが暗号化されてからしか、ランサムウェアが暗号化を試みるファイルを保護することができない。

【0008】

本発明は、このような事情に鑑みてなされたものであり、その目的は、不正なファイル
改変を少ないデータで迅速に検知することが可能な不正アクセス検知装置、及び不正アクセス検知方法を提供することにある。

【課題を解決するための手段】

【0009】

上記課題を解決するための本発明の一つは、ファイルに対するアクセスを行うための入出力要求データを複数取得し、取得した複数の入出力要求データのパターンに基づき、前記ファイルに対するアクセス態様が異常なものであるか否かを判定する異常アクセス要求検知処理と、前記ファイルに対するアクセス態様が異常なものであると判定した場合に、前記取得した入出力要求データに基づきファイルに書き込まれるデータを特定し、特定したデータの傾向を特定することにより、前記特定したデータが異常なデータであるか否かを判定する異常データ検知処理と、前記特定したデータが異常なデータであると判定した場合に、前記ファイルに対するアクセスに関する所定の処理を実行する不審プロセス対処処理とを実行する制御装置を備える、不正アクセス検知装置である。

【発明の効果】

【0010】

本発明によれば、不正なファイル改変を少ないデータで迅速に検知することができる。
上記した以外の構成及び効果等は、以下の実施形態の説明により明らかにされる。

【図面の簡単な説明】

【0011】

【図1】本実施形態に係る不正アクセス検知システムの構成の一例を示す図である。

【図2】不正アクセス検知処理の概要を説明する図である。

【図3】不正アクセス検知処理の詳細を説明するフロー図である。

【図4】本実施形態で傾向を分析するＩＲＰの種類の一例を示す図である。

【図5】収集期間における、正常時のＩＲＰの数の変化と異常時のＩＲＰの数の変化とを比較して示したグラフである。

【図6】ファイルヘッダテーブルの一例を示す図である。

【図7】警告画面の一例を示す図である。

【発明を実施するための形態】

【0012】

以下、本発明の実施形態を図面に基づいて詳細に説明する。本実施形態において、同一の構成には原則として同一の符号を付け、繰返しの説明は省略する。なお、本実施形態は本発明を実現するための一例に過ぎず、本発明の技術的範囲を限定するものではないことに注意すべきである。

【0013】

図１は、本実施形態に係る不正アクセス検知システム１の構成の一例を示す図である。不正アクセス検知システム１は、不正アクセス検知装置１０と、キーボード、マウス、タッチパネル、又はディスプレイ等の入出力装置１０８と、管理装置２０とを含んで構成される。本実施形態では、不正アクセス検知装置１０は、ユーザが使用するユーザ端末３０（次述）に組み込まれるものとするが、ユーザ端末とは別体で構成されていてもよい。

【0014】

ユーザ端末３０は、組織のユーザが使用する情報処理装置であり、後述するアプリケーションの実行を指示する。

【0015】

管理装置２０は、不正アクセス検知装置１０を管理する管理者が使用する情報処理装置である。管理者は、ユーザの属する組織のセキュリティ管理部の管理者、又は、マネージドサービスのような外部のセキュリティ管理組織の管理者である。

【0016】

不正アクセス検知装置１０は、後述するＯＳ（Operating System）によって実行される１又は複数のアプリケーションを記憶している。不正アクセス検知装置１０は、ユーザの指示等に基づいて又は自動的に、各種のアプリケーションを実行する。各アプリケーショ
ンは、後述する記憶装置１０５に記憶されている各種のファイルに対するアクセス（データの読み込み及び書き込み）を行う。

【0017】

また、不正アクセス検知装置１０は、ランサムウェア等による、不正アクセス検知装置１０内のアプリケーション等が使用するデータの不正な暗号化及びファイルへの書き込み（以下、暗号化書き込みという）を検知する。具体的には、後述するように、不正アクセス検知装置１０は、アプリケーションのファイルに対するアクセスを行うための入出力要求パケット（I/O Request Packet: IRP）を監視することで、アクセス態様の異常の有無
を判定し、異常があると判定した場合、ファイルに書きこまれるデータが異常なデータであるか（不審なデータであるか）否かを、書き込まれるデータの乱数度等を算出することによって判定する。不正アクセス検知装置１０は、ファイルに書きこまれるデータが異常なデータであると判定した場合に、当該ファイルへの書き込みを遮断し、ＩＲＰに関する情報等を管理装置２０に送信する。

【0018】

不正アクセス検知装置１０は、通信インタフェース（通信IF）１０１、制御部１０２、入出力インタフェース（入出力IF）１０３、メインメモリ１０４、記憶装置１０５、及び、これらの各部を接続するバスやケーブルなどの通信路１０６を備える情報処理装置である。

【0019】

制御部１０２は、ＣＰＵ（Central Processing Unit）等であり、メインメモリ１０４
に記憶されているプログラムを実行し、不正アクセス検知装置１０の各部を制御する装置である。

【0020】

メインメモリ１０４は、ＲＡＭ（Random Access Memory）又はＲＯＭ（Read Only Memory）等の半導体記憶装置であり、各種のプログラムや必要なワークデータを一時的に記憶する。

【0021】

記憶装置１０５は、例えば、ＨＤＤ（Hard Disk Drive）やＳＳＤ（Solid State Drive）などの大容量の磁気記憶装置又は半導体記憶装置であり、各種のプログラムや必要なデータを記録する。

【0022】

入出力IF１０３は入出力装置１０８と接続され、データの入出力を仲介する。

【0023】

通信ＩＦ１０１は、ＮＩＣ（Network Interface Card）、無線通信モジュール、USB（Universal Serial Interface）モジュール、又はシリアル通信モジュール等で構成され、
ネットワーク１０７を介して不正アクセス検知装置１０と接続する。ネットワーク１０７は、インターネット、ＬＡＮ（Local Area Network）、ＷＡＮ（Wide Area Network）、
又は専用線等の有線又は無線の通信ネットワークである。

【0024】

管理装置２０も、以上と同様のハードウェアを備える。

【0025】

次に、不正アクセス検知装置１０（記憶装置１０５）は、ＩＲＰ収集部１２１、不審プロセス検知部１２２、及び不審プロセス対処部１２３の各プログラムを記憶する。また、不正アクセス検知装置１０（記憶装置１０５）は、ＡＩ（artificial intelligence）モ
デル１２４、及びファイルヘッダテーブル１２５を記憶する。

【0026】

ここで、不正アクセス検知装置１０は、各アプリケーションを実行させるためのＯＳ（Operating System）を記憶している。ＯＳは、Ｉ／Ｏマネージャを含む。Ｉ／Ｏマネージャは、アプリケーションにより生成され実行されるプロセスからファイルアクセスに関わるＩ／Ｏ要求（Ｉ／Ｏ：Input/Output）が発生した際に所定の構造体データである入出力
要求パケット（ＩＲＰ）を生成する。

【0027】

ＩＲＰ収集部１２１は、Ｉ／Ｏマネージャにより生成された入出力要求パケット（ＩＲＰ）を収集するプログラムである。ＩＲＰの収集はＯＳに係るカーネルモード下で行われる。

【0028】

不審プロセス検知部１２２は、ＩＲＰ収集部１２１が収集したＩＲＰを用いて、ファイルアクセスを実行するプロセスが不審なプロセスであるか否かを評価するプログラムである。

【0029】

具体的には、不審プロセス検知部１２２は、ＩＲＰ異常検知フィルター３１１及び書き込みデータ検知フィルター３１２を備える。ＩＲＰ異常検知フィルター３１１は、ファイルに対するアクセスを行うための入出力要求データ（ＩＲＰ）を複数取得し、取得した複数の入出力要求データのパターンに基づき、ファイルに対するアクセス態様が異常なものであるか否かを判定する。

【0030】

ここで、ＩＲＰ異常検知フィルター３１１は、ＡＩモデル１２４を用いて、ファイルに対するアクセス態様が異常なものであるか否かを判定する。ＡＩモデル１２４は、ファイルアクセスに関わる入出力要求パケットの特徴を学習した学習済みモデルである。

【0031】

書き込みデータ検知フィルター３１２は、ファイルに対するアクセス態様が異常なものであると判定した場合に、不審プロセス検知部１２２で取得した入出力要求データに基づきファイルに書き込まれるデータを特定し、特定したデータ（書き込みデータ）の傾向を特定することにより、特定したデータが異常なデータであるか否かを判定する。

【0032】

ここで、書き込みデータ検知フィルター３１２は、ファイルヘッダテーブル１２５を用いて、特定したデータ（書き込みデータ）が異常なデータであるか否かを判定する。ファイルヘッダテーブル１２５は、乱数度（本実施形態ではエントロピーとする）が高いデータを保持するファイルの種類と、その種類のファイルのヘッダとを対応づけて記憶したテーブルである。

【0033】

次に、不審プロセス対処部１２３は、書き込みデータ検知フィルター３１２が特定したデータ（書き込みデータ）が異常なデータであると判定した場合に、ファイルに対するアクセスに関する所定の処理を実行するプログラムである。

【0034】

例えば、不審プロセス対処部１２３は、書き込みデータ検知フィルター３１２が特定したデータが異常なデータであると判定した場合に、特定したデータの書き込み先のファイルに対するアクセスを遮断する。また、不審プロセス対処部１２３は、遮断したアクセスに係るＩＲＰの情報を管理装置２０に送信する。

【0035】

以上に説明した、不正アクセス検知システム１における各情報処理装置の各プログラムは、制御部１０２が、メインメモリ１０４又は記憶装置１０５から読み出すことにより実行される。また各プログラムは、例えば、可搬性の又は固定された記録媒体に記録して配布することができる。なお、これらのプログラムは、その全部または一部が、例えば、クラウドシステムによって提供される仮想サーバのように、仮想化技術やプロセス空間分離技術等を用いて提供される仮想的な情報処理資源を用いて実現されるものであってもよい。また、これらのプログラムの全部または一部は、例えば、クラウドシステムがＡＰＩ (Application Programming Interface)等を介して提供するサービスによって実現してもよい。なお、不正アクセス検知システム１が保持するプログラム又はデータは、図１に図示した情報処理装置とは別の装置に保持されてもよい。また、本実施形態では、上記のよう
にコンピュータがソフトウェアを実行することによりその機能を実現するものとするが、ハードウェアロジックによるものであってもよい。
次に、不正アクセス検知システム１で行われる処理について説明する。

【0036】

＜不正アクセス検知処理の概要＞
図２は、不正アクセス検知システム１で行われる不正アクセス検知処理の概要を説明する図である。この処理は、例えば、不正アクセス検知装置１０が起動したことを契機に繰り返し行われる。ここでは、不正アクセスがランサムウェアの場合を説明するが、その他の種類の、不審プロセスによるファイルの暗号化についても同様である。

【0037】

まず、アプリケーション３０１は、例えばユーザの誤認による不審アプリケーションの実行指示に基づきファイルアクセス（ファイルへのデータの書き込み、又はファイルからのデータの読み込み）を行うためのプロセスを作成する。作成されたプロセスが、ファイルアクセスを行うためのＩ／Ｏ要求をＩ／Ｏマネージャに送信し、Ｉ／ＯマネージャはこのＩ／Ｏ要求をＩＲＰに変換し、変換したＩＲＰをファイルシステムデバイスに送信する。その後、ＩＲＰに含まれるデータ内容がファイルに書き込まれる。

【0038】

ＩＲＰ収集部１２１は、プロセスから送信されたＩＲＰを収集する。ＩＲＰ収集部１２１は、収集したＩＲＰを不審プロセス検知部１２２に送信する。

【0039】

不審プロセス検知部１２２のＩＲＰ異常検知フィルター３１１は、抽出したＩＲＰのパターンに基づき、ファイルアクセスの態様が異常なものであるか否かを判定する。また、書き込みデータ検知フィルター３１２は、このファイルアクセスに係るデータが異常なものであるか否かを判定する。これらの処理により、ランサムウェアが行おうとしている（行っている）暗号化書き込みを検知する。不審プロセス検知部１２２による判定結果は、不審プロセス対処部１２３へ送信される。

【0040】

不審プロセス対処部１２３は、不審プロセス検知部１２２から判定結果を受信すると、受信した判定結果に基づき、ＩＲＰがファイルシステムデバイスに送信されないように、ＩＲＰを遮断すると共に、ＩＲＰに関する情報を管理装置２０に送信する。なお、不審プロセス対処部１２３はこれらの処理の一方のみを実行してもよい。以上で不正アクセス検知処理は終了する。
次に、不正アクセス検知処理の詳細を説明する。

【0041】

図３は、不正アクセス検知処理の詳細を説明するフロー図である。
まず、不正アクセス検知装置１０の各アプリケーションが起動すると（Ｓ４０１）、ＩＲＰ収集部１２１は各アプリケーションを監視し、所定の収集期間（本実施形態では３秒）、各アプリケーションのプロセスから送信されたＩＲＰの取得を試みる（Ｓ４０２）。

【0042】

なお、収集期間が短いほど、リアルタイム性の高いランサムウェア検知が可能になる。しかし、収集期間が短すぎると、ランサムウェア等が暗号化書き込みをしている場合に収集されるＩＲＰと、それ以外の正常時に収集されるＩＲＰとのデータの差異が小さくなり、ランサムウェアの充分な検知ができない可能性がある。したがって、これらの条件を満たす程度の長さに収集期間を設定することが好ましい。

【0043】

次に、ＩＲＰ異常検知フィルター３１１は、Ｓ４０２で収集したＩＲＰの傾向（すなわちファイルへのアクセス態様）が異常であるか否かを判定する（Ｓ４０３）。すなわち、ＩＲＰ異常検知フィルター３１１は、Ｓ４０２で収集した収集期間におけるＩＲＰのデータの傾向と、正常時に収集期間収集したＩＲＰのデータの傾向とを比較することで、Ｓ４０２で収集したＩＲＰの傾向が異常であるか否かを判定する。

【0044】

例えば、ＩＲＰ異常検知フィルター３１１は、機械学習の手法の一つである、教師無し学習を用いた異常検知を用いてＩＲＰを分析する。具体的には、ＩＲＰ異常検知フィルター３１１は予め、正常時の収集期間における各種類のＩＲＰの数を学習させたＡＩモデル１２４を作成する。ＩＲＰ異常検知フィルター３１１は、Ｓ４０２で収集した各種類のＩＲＰの数と、ＡＩモデル１２４による正常時の収集期間における各種類のＩＲＰの数との乖離度を算出し、算出した乖離度が所定の閾値を超える場合に、Ｓ４０２で収集したＩＲＰの傾向が異常であると判定する。なお、ここで説明したＩＲＰの傾向の分析手法は一例である。その他の機械学習の手法を用いてもよいし、機械学習以外の手法（例えば、パターンマッチング）を用いてもよい。

【0045】

ここで、図４は、本実施形態で傾向を分析する対象であるＩＲＰの種類の一例を示す図である。ＩＲＰには、データの書き込み及び読み込みの他、ファイルの生成、オープン、又はクローズ、ディレクトリアクセス、及びバッファのフラッシュ等のコマンドがある。これらのＩＲＰは、ランサムウェアが暗号化書き込みを行うときに、正常時との実行回数の乖離が観察されるＩＲＰである。

【0046】

また、図５は、収集期間における、正常時のＩＲＰの数の変化と異常時のＩＲＰの数の変化とを比較して示したグラフである。横軸は時間を示しており、縦軸は３秒間に送信されるＩＲＰの数を示している。同図に示すように、正常時のＩＲＰの数５０１と比べて、比較対象のＩＲＰの数５０２は非常に多くなっており、両者に乖離がある。このような場合に、ＩＲＰ異常検知フィルター３１１は、比較対象のＩＲＰの傾向は異常であると判定する。

【0047】

次に、図４に示すように、Ｓ４０２で収集したＩＲＰの傾向が異常である場合は（Ｓ４０３：Ｙｅｓ）、ＩＲＰ異常検知フィルター３１１は、Ｓ４０４の処理を実行し、Ｓ４０２で収集したＩＲＰの傾向が異常でない場合は（Ｓ４０３：Ｎｏ）、ＩＲＰ異常検知フィルター３１１は、Ｓ４１２の処理を実行する。

【0048】

Ｓ４０４においてＩＲＰ異常検知フィルター３１１は、Ｓ４０２で収集したＩＲＰのうちデータの書き込みのためのＩＲＰ（ＩＲＰ＿ＷＲＩＴＥ）のペイロードを特定して取得する。このペイロードには、ＩＲＰ＿ＷＲＩＴＥがファイルシステムデバイスに送信されてファイルに書き込まれるべきデータの内容が含まれている。

【0049】

そして、ＩＲＰ異常検知フィルター３１１は、取得したペイロードに基づき、ファイルに書き込まれるデータが異常なデータであるか否かを判定する（Ｓ４０５）。

【0050】

本実施形態では、ＩＲＰ異常検知フィルター３１１は、ファイルに書き込まれるデータのエントロピーに基づき乱数度を算出し、算出した乱数度が所定の規定値より低いか否かを判定する。この判定方法は、ランサムウェアが暗号化して書き込むデータの乱数度が、通常のデータの書き込みにおけるデータの乱数度と比較して高くなる特徴を利用している。

【0051】

なお、規定値は、書き込み先のファイルによらず一定値でもよいし、書き込み先のファイルごとに異なってもよい。例えば、画像ファイルや暗号化ＺＩＰファイルは、正常時でも乱数度が高いことが知られているため、これらのファイルにデータを書き込むためのＩＲＰ＿ＷＲＩＴＥについては、高い規定値を設定してもよい。また、この規定値は、正常時の乱数度を学習させた学習済みモデルを、機械学習等により作成し、作成した学習済みモデルの結果に基づき定めてもよい。

【0052】

また、乱数度は、エントロピーに基づく算出方法以外の算出方法に基づいて算出してもよい。例えば、正常時のデータ書き込みにおける特定のビットパターンの存在確率を求めておき、その存在確率と、上記ペイロードに基づき書き込まれるデータのビットパターンを比較してもよい。また、上記ペイロードに基づき書き込まれるデータおける一定長の長さの文字列の中に同じ文字が含まれる確率が高い場合に、ファイルに書き込まれるデータが不自然なデータである、という統計的な手法を用いて、乱数度を評価してもよい。

【0053】

さらに、ファイルに書き込まれるデータが異常なデータであるか否かは、乱数度以外のパラメータ以外にも、暗号化処理により作成されるデータの特徴を表す他のパラメータに基づき算出してもよい。例えば、ペイロードが特定のパターン以外のデータを書き込むものである場合は、ファイルに書き込まれるデータが異常なデータであると判定してもよい。

【0054】

ファイルに書き込まれるデータが異常なデータである場合は（Ｓ４０５：Ｎｏ）、ＩＲＰ異常検知フィルター３１１はＳ４０６の処理を実行し、ファイルに書き込まれるデータが異常なデータでない場合は（Ｓ４０５：Ｙｅｓ）、ＩＲＰ異常検知フィルター３１１はＳ４１２の処理を実行する。

【0055】

Ｓ４０６においてＩＲＰ異常検知フィルター３１１は、ペイロードに基づき書き込まれるデータの傾向を特定することで、ペイロードに基づく書き込み先のファイルのデータ（書き込み前のデータ）の傾向と大きな差異があるか否かを判定する。

【0056】

本実施形態では、ＩＲＰ異常検知フィルター３１１は、ペイロードに基づき書き込まれるデータの乱数度（第１の乱数度）と、ペイロードに基づく書き込み先のファイルのデータ（書き込み前のファイルのデータ）の乱数度（第２の乱数度）との差分が所定閾値以上であるか否かを判定するものとする。ただし、乱数度以外のパラメータ（例えば、特定のデータのパターン）に基づいて傾向の差異を判定してもよい。

【0057】

書き込み後のデータの傾向と書き込み前のデータの傾向とに大きな差異がある場合は（Ｓ４０６：Ｙｅｓ）、ＩＲＰ異常検知フィルター３１１はＳ４１０の処理を実行し、書き込み後のデータの傾向と書き込み前のデータの傾向とに大きな差異がない場合は（Ｓ４０６：Ｎｏ）、Ｓ４０７の処理を実行する。

【0058】

Ｓ４０７におおいてＩＲＰ異常検知フィルター３１１は、ペイロードに基づくデータの書き込み開始位置がファイルの先頭であるか否かを判定する。具体的には、ＩＲＰ異常検知フィルター３１１はＳ４０４で取得したペイロードに含まれるオフセット（ファイル先頭を基準としたデータの書き込み位置）を取得し、取得したオフセットが０であるか否かを判定する。

【0059】

ペイロードに基づくデータの書き込み開始位置がファイルの先頭である場合（Ｓ４０７：Ｙｅｓ）、ＩＲＰ異常検知フィルター３１１は、Ｓ４０８の処理を実行し、ペイロードに基づくデータの書き込み開始位置がファイルの先頭でない場合（Ｓ４０７：Ｎｏ）、ＩＲＰ異常検知フィルター３１１は、Ｓ４０９の処理を実行する。

【0060】

Ｓ４０８においてＩＲＰ異常検知フィルター３１１は、ファイルヘッダテーブル１２５を参照し、ペイロードに基づき書き込まれるデータの配列が、所定のファイルヘッダ（ファイルヘッダテーブル１２５に登録されているファイルヘッダ）のデータの配列を含むか否か（書き込まれるデータの先頭部分からの所定長のデータ配列がファイルヘッダと一致するか否か）を判定する。

【0061】

（ファイルヘッダテーブル）
図６は、ファイルヘッダテーブル１２５の一例を示す図である。ファイルヘッダテーブル１２５には、アプリケーションからＩＲＰ等を介して書き込まれ保持するデータの乱数度が一般的に高い既知の種類のファイル（正常時に書き込まれるデータのエントロピーが高いファイル）の種類と、その種類のファイルを特徴づける当該ファイル内のデータの情報とが格納される。

【0062】

本実施形態では、この特徴づけるデータはファイルのヘッダとするが、その他のデータでもよい。また、データの乱数度が一般的に高いファイルとしては、例えば、画像ファイル又は動画ファイル等、規格化等されたデータ加工処理（データ圧縮等）が行われているものである。

【0063】

ファイルヘッダテーブル１２５は、各ファイルタイプのＩＤ２０１、そのファイルのタイプ２０２（例えば拡張子）、そのタイプのファイルが有するヘッダのデータ配列（ヘッダ値２０３）、及びそのヘッダ部分の長さ（ヘッダ長２０４）の各データを有する。ＩＲＰ異常検知フィルター３１１は、ファイルヘッダテーブル１２５の各レコードのうち、ヘッダ値２０３の内容が、ペイロードに基づき書き込まれるデータの先頭からの所定長のバイナリ配列と同じであるレコードがあるか否かを判定する。

【0064】

そして、図３に示すように、ペイロードに基づき書き込まれるデータの先頭部分が、所定のファイルヘッダのデータの配列を含む場合は（Ｓ４０８：Ｙｅｓ）、ＩＲＰ異常検知フィルター３１１は、Ｓ４１２の処理を実行する。一方、ペイロードに基づき書き込まれるデータの先頭部分が、所定のファイルヘッダのデータの配列を含まない場合は（Ｓ４０８：Ｎｏ）、ＩＲＰ異常検知フィルター３１１は、Ｓ４１０の処理を実行する。この場合、ペイロードに基づく書き込みは、ファイルのヘッダを書き換えるような、正常時では起こりえない不正なデータの書き込みであるか、又は、乱数度の低いデータが書き込まれない種類のファイルへの、乱数度の高い不正なデータの書き込み（ｓ４０５）であると考えられる。

【0065】

Ｓ４０９においてＩＲＰ異常検知フィルター３１１は、ペイロードに基づきデータを書き込む対象であるファイルの先頭部分が、所定のファイルヘッダ（ファイルヘッダテーブル１２５に登録されているファイルヘッダ）を含むか否かを判定する。例えば、ＩＲＰ異常検知フィルター３１１は、ペイロードに基づきデータを書き込む対象であるファイルを開く。ファイルヘッダの内容の確認は、例えば、Ｓ４０８の処理と同様に行うことができる。

【0066】

ペイロードに基づきデータを書き込む対象であるファイルの先頭部分が、所定のファイルヘッダを含む場合は（Ｓ４０９：Ｙｅｓ）、ＩＲＰ異常検知フィルター３１１は、Ｓ４１２の処理を実行し、ペイロードに基づきデータを書き込む対象であるファイルの先頭部分が、所定のファイルヘッダを含まない場合は（Ｓ４０９：Ｎｏ）、ＩＲＰ異常検知フィルター３１１は、Ｓ４１０の処理を実行する。

【0067】

Ｓ４１０において不審プロセス対処部１２３は、ペイロードに基づくデータの書き込みがランサムウェアに基づくものである（不審な暗号化書き込みである）と判定し、そのデータの書き込み先のファイルに対するアクセスを遮断する。例えば、不審プロセス対処部１２３は、ＩＲＰを遮断する（ＩＲＰ＿ＷＲＩＴＥによる書き込みを遮断する）。

【0068】

また、不審プロセス対処部１２３は、遮断したＩＲＰに関する情報を、管理装置２０に送信する（Ｓ４１１）。この情報には、ＩＲＰに関する情報だけでなく、不審な暗号化書き込みであると判定した根拠（Ｓ４０３～Ｓ４０９の処理内容を示す情報）又はその判定
結果が含まれてもよい。管理装置２０は、受信した情報に基づき、後述する警告画面７０１を表示する。

【0069】

なお、不審プロセス対処部１２３は、ｅメールや所定のチャットツールに基づいて上記情報を送信してもよい。また、不審プロセス対処部１２３は、不正アクセス検知装置１０が備える所定のＡＰＩを経由して外部のアプリケーションに上記情報を送信してもよい。また、Ｓ４１０及びＳ４１１のうち一方のみの処理が行われてもよい。

【0070】

Ｓ４１２において不正アクセス検知装置１０は、Ｓ４０１以降の処理を繰り返す。

【0071】

（警告画面）
図７は、警告画面７０１の一例を示す図である。警告画面７０１は、管理装置２０が表示してもよいし、不正アクセス検知装置１０が表示してもよい。

【0072】

警告画面７０１は、分析結果表示テーブル表示部７０２を有する。分析結果表示テーブル表示部７０２は、暗号化書き込みの検知時刻７１１と、不審暗号書き込みと検知されたＩＲＰを送信したプロセスの名称７１２と、不審暗号書き込みと検知されたＩＲＰによるデータの書き込み先であるファイルパス７１３と、不審暗号書き込みと検知されたＩＲＰのペイロードに含まれる書き込みデータのエントロピー値７１４と、不審暗号書き込みと検知されたＩＲＰによるデータの書き込み先のファイルのデータのエントロピー値７１５と、ヘッダに関する判定処理の結果７１６とをそれぞれ表示する。

【0073】

判定処理の結果７１６には、不審暗号書き込みと検知されたＩＲＰのペイロードに含まれる書き込みデータの先頭又は書き込み先ファイルの先頭が、ファイルヘッダテーブル１２５のヘッダ値２０３のいずれかの値と一致するか否かを示すＢＯＯＬＥＡＮ値が表示される（Ｓ４０８、Ｓ４０９）。

【0074】

なお、分析結果表示テーブル表示部７０２は、上記の表示内容の一部のみを表示してもよいし、上記の表示内容以外の内容を表示してもよい。

【0075】

以上のように、本実施形態の不正アクセス検知装置１０は、取得したＩＲＰのパターンに基づき、ファイルに対するアクセス態様が異常なものであるか否かを判定し、ファイルに対するアクセス態様が異常なものであると判定した場合に、取得したＩＲＰに基づきファイルに書き込まれるデータ（ＩＲＰ＿ＷＲＩＴＥによる書き込みデータ）を特定し、特定したデータの傾向を特定することにより、そのデータが異常なデータであるか否かを判定し、特定したデータが異常なデータであると判定した場合に、ファイルに対するアクセスに関する所定の処理を実行する。

【0076】

このように、不正アクセス検知装置１０は、ＩＲＰのパターン及び、ＩＲＰにより特定されるファイルへの書き込みデータに基づき、暗号化書き込みを判定する。すなわち、ファイルアクセスに直接関わるＩＲＰのみに基づいて、異常なデータ書き込みを判定することができる。これにより、不正なファイル改変を少ないデータで迅速に検知することができる。例えば、ランサムウェアが行う、ユーザの意図しない暗号化や乱数の書き込みをリアルタイム性高く検知することができる。

【0077】

また、本実施形態の不正アクセス検知装置１０は、ＩＲＰ＿ＷＲＩＴＥによる書き込みデータが異常なデータであると判定した場合に、そのデータの書き込み先のファイルに対するアクセスを遮断する。

【0078】

これにより、ランサムウェア等による不正なファイル改変を防止することができる。

【0079】

また、本実施形態の不正アクセス検知装置１０は、ＩＲＰ＿ＷＲＩＴＥによる書き込みデータが異常なデータであると判定した場合に、ファイルに対するアクセス態様が異常なものであること又は書き込みデータが異常なデータであることを表す情報を管理装置２０に送信する。

【0080】

これにより、管理者等は、ランサムウェア等による不正なファイル改変に特徴的な情報を得ることができる。

【0081】

また、本実施形態の不正アクセス検知装置１０は、ＩＲＰ＿ＷＲＩＴＥによる書き込みデータが異常なデータであると判定した場合に、ファイルに対するアクセス態様が異常なものであると判定した根拠の情報又は書き込みデータが異常なデータであると判定した根拠の情報を管理装置２０に送信する。

【0082】

これにより、管理者等は、ランサムウェア等による不正なファイル改変の原因を推察することができる。

【0083】

また、本実施形態の不正アクセス検知装置１０は、ＩＲＰのパターンと、ファイルに対するアクセスを行うための入出力要求データの特徴を学習したＡＩモデル１２４とに基づき、ファイルに対するアクセス態様が異常なものであるか否かを判定する。

【0084】

これにより、ファイルに対する異常なアクセス態様を精度良く検出することができる。

【0085】

また、本実施形態の不正アクセス検知装置１０は、ＩＲＰ＿ＷＲＩＴＥによる書き込みデータの乱数度を算出し、算出した乱数度が所定の閾値以上である場合に、書き込みデータが異常なデータであると判定する。

【0086】

ランサムウェア等の不正なアクセスにより書き込まれるデータは、暗号化されたデータ等、一般的に不規則な内容のデータであることが多い。そこで、乱数度が閾値以上である場合に書き込みデータが異常なデータであると判定することで、ファイルに対する異常なアクセス態様を精度良く検出することができる。

【0087】

また、本実施形態の不正アクセス検知装置１０は、ＩＲＰに基づきファイルに書き込まれるデータの乱数度である第１の乱数度と、ＩＲＰに基づき書き込まれる前のファイルのデータの乱数度である第２の乱数度との差分が所定の閾値以上である場合に、書き込みデータが異常なデータであると判定する。

【0088】

これにより、データの乱数度が一般的に低い正常なファイルが、不正なアクセスにより書き込まれたことを精度良く検出することができる。

【0089】

また、本実施形態の不正アクセス検知装置１０は、ＩＲＰに基づきファイルに書き込まれるデータの乱数度が所定の閾値以上であり、そのデータの、ファイル上での書き込み開始位置がファイルの先頭である場合には、そのデータの先頭部分のデータ配列が、ファイルヘッダテーブル１２５におけるヘッダのデータ配列を含んでいないと判定した場合に、書き込まれるデータが異常なデータであると判定する。

【0090】

ＩＲＰが、ファイルの先頭からデータを書き込むが、既存種類のファイルのヘッダを書き込むような要求ではない場合には、書き込まれるデータが異常なデータである蓋然性が高い。したがって、上記構成により、ランサムウェア等が典型的に行う不正なファイル改変を検知することができる。

【0091】

また、本実施形態の不正アクセス検知装置１０は、ＩＲＰに基づきファイルに書き込まれるデータの乱数度が所定の閾値以上である場合には、書き込まれるデータが、乱数度の高いデータを保持するファイルを特徴付ける当該ファイル内のデータを含まないと判定した場合に、書き込まれるデータが異常なデータであると判定する。

【0092】

ＩＲＰは乱数度の高いデータを書き込む要求であったが、その書き込みデータが、乱数度が高いデータを保持する種類のファイルが有するデータを含む場合には、そのデータ書き込みは正常なデータ書き込みである蓋然性が高い。したがって、上記構成により、ランサムウェア等が行う不正なファイル改変の誤検知を防ぐことができる。

【0093】

そして、本実施形態の不正アクセス検知装置１０は、ＩＲＰに基づきファイルに書き込まれるデータの乱数度が所定の閾値以上であり、そのデータの書き込み先であるファイル上での書き込み開始位置がそのファイルの先頭である場合には、書き込まれるデータが、ファイルヘッダテーブル１２５における、乱数度の高いデータを保持するファイルを特徴付ける当該ファイル内のヘッダを含まないと判定した場合に、書き込まれるデータが異常なデータであると判定する。

【0094】

ヘッダは、ファイルの種類及びそのデータ内容を最も特徴づけるデータである。したがって、データの書き込み開始位置がファイルの先頭である場合に、このようなヘッダを異常データの判定に用いることにより、ランサムウェア等が行う不正なファイル改変の誤検知をより確実に防ぐことができる。

【0095】

また、本実施形態の不正アクセス検知装置１０は、ＩＲＰに基づきファイルに書き込まれるデータの乱数度が所定の閾値以上である場合には、そのファイルが、乱数度の高いデータを保持するファイルを特徴付ける当該ファイル内のデータを含まないと判定した場合に、書き込まれるデータが異常なデータであると判定する。

【0096】

データの書き込み先のファイルが、乱数度の高いデータを保持するファイルを特徴付ける当該ファイル内のデータを含む場合には、上記書き込みデータの乱数度が所定の閾値以上であっても、そのデータ書き込みは正常なデータ書き込みである蓋然性が高い。したがって、上記構成により、ランサムウェア等が行う不正なファイル改変の誤検知を防ぐことができる。

【0097】

また、本実施形態の不正アクセス検知装置１０は、ＩＲＰに基づきファイルに書き込まれるデータの乱数度が所定の閾値以上であり、そのデータの書き込み先であるファイル上での書き込み開始位置がそのファイルの先頭でない場合には、そのファイルが、ファイルヘッダテーブル１２５における、乱数度の高いデータを保持するファイルのヘッダを含まないと判定した場合に、書き込まれるデータが異常なデータであると判定する。

【0098】

ヘッダは、ファイルの種類及びそのデータ内容を最も特徴づけるデータである。したがって、データの書き込み開始位置がファイルの先頭でない場合に、書き込み先のファイルのヘッダを異常データの判定に用いることにより、ランサムウェア等が行う不正なファイル改変の誤検知をより確実に防ぐことができる。

【0099】

本発明は、上記実施形態に限定されるものではなく、その要旨を逸脱しない範囲内で、任意の構成要素を用いて実施可能である。以上説明した実施形態や変形例はあくまで一例であり、発明の特徴が損なわれない限り、本発明はこれらの内容に限定されるものではない。また、上記では種々の実施形態や変形例を説明したが、本発明はこれらの内容に限定されるものではない。本発明の技術的思想の範囲内で考えられるその他の態様も本発明の
範囲内に含まれる。

【0100】

例えば、本実施形態の各装置が備えるハードウェアの一部は、他の装置に設けてもよい。

【0101】

また、各装置の各プログラムは他の装置に設けてもよいし、あるプログラムを複数のプログラムからなるものとしてもよいし、複数のプログラムを一つのプログラムに統合してもよい。

【0102】

また、アプリケーションは、不正アクセス検知装置１０以外の装置に記憶されていてもよい。

【0103】

また、本実施形態では、不正アクセス検知装置１０は、ファイルヘッダテーブル１２５により、保持するデータの乱数度が高いファイルの種類をヘッダにより特定するものとしたが、ファイルのヘッダ以外の特徴的な部分で、保持するデータの乱数度が高いファイルを特定するようにしてもよい。

【符号の説明】

【0104】

１ 不正アクセス検知システム、１０ 不正アクセス検知装置、１２１ ＩＲＰ収集部、１２２ 不審プロセス検知部、１２３ 不審プロセス対処部

【図1】

【図2】

【図3】

【図4】

【図5】

【図6】

【図7】