特開 2024-132587 セキュアコンポーネント、デバイス、異常検知方法、デバイス保護方法及び異常検知モデル生成方法

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】公開特許公報(A)

(11)【公開番号】P2024132587

(43)【公開日】2024-10-01

(54)【発明の名称】セキュアコンポーネント、デバイス、異常検知方法、デバイス保護方法及び異常検知モデル生成方法

(51)【国際特許分類】

   G06F 21/56 20130101AFI20240920BHJP

   G06F 21/71 20130101ALI20240920BHJP

【ＦＩ】

G06F21/56

G06F21/71

【審査請求】未請求

【請求項の数】15

【出願形態】ＯＬ

(21)【出願番号】P 2023043421

(22)【出願日】2023-03-17

【公序良俗違反の表示】

（特許庁注：以下のものは登録商標）

１．ＷＩＮＤＯＷＳ

(71)【出願人】

【識別番号】000002897

【氏名又は名称】大日本印刷株式会社

(74)【代理人】

【識別番号】100114557

【弁理士】

【氏名又は名称】河野 英仁

(74)【代理人】

【識別番号】100078868

【弁理士】

【氏名又は名称】河野 登夫

(72)【発明者】

【氏名】浅野 正徳

(57)【要約】

【課題】攻撃者に対するマルウェア対策技術の隠蔽を可能にするとともにデバイスの性能を低下させることなくマルウェアに対する保護を実現できるセキュアコンポーネント、デバイス、異常検知方法、デバイス保護方法及び異常検知モデル生成方法を提供する。
【解決手段】セキュアコンポーネントは、データストリームを取得する取得部と、複数の異常それぞれを示す異常データパターンを含み、複数の内部状態を通じて異常データパターンへの状態遷移を規定する異常検知モデルと、取得したデータストリームを異常検知モデルに入力し、データストリームに含まれる部分データ列に対応させて内部状態を遷移する遷移部と、データストリームに含まれるデータ列が異常データパターンに遷移した場合、異常を検知する検知部とを備える。
【選択図】図１

【特許請求の範囲】

【請求項1】

データストリームを取得する取得部と、
複数の異常それぞれを示す異常データパターンを含み、複数の内部状態を通じて前記異常データパターンへの状態遷移を規定する異常検知モデルと、
前記取得部で取得したデータストリームを前記異常検知モデルに入力し、前記データストリームに含まれる部分データ列に対応させて前記内部状態を遷移する遷移部と、
前記データストリームに含まれるデータ列が前記異常データパターンに遷移した場合、異常を検知する検知部と
を備える、
セキュアコンポーネント。

【請求項2】

前記異常検知モデルは、
前記複数の内部状態に対応する複数のノードを含むツリー構造を有し、
前記遷移部は、
前記部分データ列に対応させて前記複数のノードの上位ノードから下位ノードに向かってノードを遷移する、
請求項１に記載のセキュアコンポーネント。

【請求項3】

前記複数のノードは、
所定の部分データ列を保持し、
前記上位ノードは、エッジを通じて下位ノードを参照する第１参照部を有し、
前記下位ノードは、前記上位ノードが保持する部分データ列を、先頭データ列として含む部分データ列を保持する、
請求項２に記載のセキュアコンポーネント。

【請求項4】

前記複数のノードそれぞれは、
自信が保持する部分データ列の末尾から比較して最も長く一致する部分データ列を保持するノードを参照する第２参照部を有する、
請求項２に記載のセキュアコンポーネント。

【請求項5】

前記検知部は、
前記データ列が遷移した異常データパターン又は異常データパターンの組合せに応じて、種類が異なる異常を検知する、
請求項１から請求項４のいずれか一項に記載のセキュアコンポーネント。

【請求項6】

前記取得部で取得したデータストリームを単位データ列に区分できるか否かを判定する判定部と、
単位データ列に区分できない場合、前記データストリームに対して所定の前処理を行う前処理部と
を備え、
前記所定の前処理をしたデータストリームを前記異常検知モデルに入力する、
請求項１から請求項４のいずれか一項に記載のセキュアコンポーネント。

【請求項7】

外部装置との間で秘匿通信路を開設する開設部と、
前記秘匿通信路を介して前記検知部で検知した異常を前記外部装置へ通知する通知部と
を備える、
請求項１から請求項４のいずれか一項に記載のセキュアコンポーネント。

【請求項8】

前記秘匿通信路を介して前記セキュアコンポーネントを搭載したデバイスに対する遠隔操作指示を受信した場合、受信した遠隔操作指示を前記デバイスへ出力する出力部を備える、
請求項７に記載のセキュアコンポーネント。

【請求項9】

前記秘匿通信路を介して前記異常検知モデルを更新するための更新データ及び更新指示を受信した場合、受信した更新データに基づいて前記異常検知モデルを更新する更新部を備える、
請求項７に記載のセキュアコンポーネント。

【請求項10】

前記セキュアコンポーネントを搭載したデバイスから前記異常検知モデルを更新するための更新データ及び更新指示を取得した場合、取得した更新データに基づいて前記異常検知モデルを更新する更新部を備える、
請求項１から請求項４のいずれか一項に記載のセキュアコンポーネント。

【請求項11】

セキュアエレメント、トラステッド・プラットフォーム・モジュール又はトラステッド実行環境のいずれかにより構成される、
請求項１から請求項４のいずれか一項に記載のセキュアコンポーネント。

【請求項12】

請求項１から請求項４のいずれか一項に記載のセキュアコンポーネントと通信するデバイスであって、
前記デバイスは、
前記セキュアコンポーネントが検知した異常に基づいて、前記デバイス自身、前記デバイス上で稼働しているＯＳ、及びアプリケーションの少なくとも一つの動作を変更する、
デバイス。

【請求項13】

請求項１から請求項４のいずれか一項に記載のセキュアコンポーネントが検知した異常に基づいて、前記セキュアコンポーネントと通信するデバイスの異常を検知する、
異常検知方法。

【請求項14】

請求項１から請求項４のいずれか一項に記載のセキュアコンポーネントが検知した異常に基づいて、前記セキュアコンポーネントを搭載したデバイスに対する遠隔操作指示を受信し、
受信した遠隔操作指示に基づいて、前記デバイスの動作を制御する、
デバイス保護方法。

【請求項15】

セキュアコンポーネントが有する異常検知モデルの生成方法であって、
前記異常検知モデルは、
複数のノードを含むツリー構造を有し、
前記複数のノードは、
所定の部分データ列を保持し、
上位ノードは、エッジを通じて下位ノードを参照する第１参照部を有し、
前記下位ノードは、前記上位ノードが保持する、異常データパターンの一部を構成する部分データ列を、先頭データ列として含む部分データ列を保持し、
最下位のノードが保持する部分データ列が前記異常データパターンとなるように前記異常検知モデルを生成する、
異常検知モデル生成方法。

【発明の詳細な説明】

【技術分野】

【0001】

本発明は、セキュアコンポーネント、デバイス、異常検知方法、デバイス保護方法及び異常検知モデル生成方法に関する。

【背景技術】

【0002】

近年、サイバーセキュリティ上の脅威が高まる一方である。サイバーセキュリティ上の脅威として無視できないのが、マルウェアと呼ばれる、利用者にとって不正な振る舞いをするソフトウェア群である。

【0003】

今日におけるマルウェア対策技術には、アンチマルウェアに加えて新たな技術が導入されつつある。アンチマルウェアは、いわゆるウィルス対策ソフトとしてWindowsを搭載したＰＣ等にインストールされ、マルウェアの特徴を持つファイルを検索し、隔離、除去などの対策を行う。特許文献１には、コンピュータが既にマルウェアを含んでいると判断される場合には、アンチマルウェアの一部分のインストール前にコンピュータのスキャン及びクリーニングを実行する方法が開示されている。

【先行技術文献】

【特許文献】

【0004】

【特許文献1】特開２０１７－２１８５２号公報

【発明の概要】

【発明が解決しようとする課題】

【0005】

昨今では、Windowsを搭載したＰＣ等に限らず、Windows以外のＯＳを搭載したデバイスに対して攻撃可能なマルウェアが急増している。このようなデバイスには、例えば、Linux（登録商標）を搭載したデバイス（例えば、ＩｏＴデバイスなど）が含まれる。しかし、ＩｏＴデバイスのような非力なデバイスの場合、あるいはデバイスがアンチマルウェアをインストールすることで処理能力に余裕がなくなる場合、アンチマルウェアをインストールすることで、デバイスの性能が低下する可能性がある。一方で、アンチマルウェアをＰＣ等にインストールした場合、例えば、マルウェア対策技術がソフトウェア実行空間に存在することになり、攻撃者が当該マルウェア対策技術を解析し、マルウェアの検知メカニズムが攻撃者に露呈する可能性が高くなる。

【0006】

本発明は、斯かる事情に鑑みてなされたものであり、攻撃者に対するマルウェア対策技術の隠蔽を可能にするとともにデバイスの性能を低下させることなくマルウェアに対する保護を実現できるセキュアコンポーネント、デバイス、異常検知方法、デバイス保護方法及び異常検知モデル生成方法を提供することを目的とする。

【課題を解決するための手段】

【0007】

本願は上記課題を解決する手段を複数含んでいるが、その一例を挙げるならば、セキュアコンポーネントは、データストリームを取得する取得部と、複数の異常それぞれを示す異常データパターンを含み、複数の内部状態を通じて前記異常データパターンへの状態遷移を規定する異常検知モデルと、前記取得部で取得したデータストリームを前記異常検知モデルに入力し、前記データストリームに含まれる部分データ列に対応させて前記内部状態を遷移する遷移部と、前記データストリームに含まれるデータ列が前記異常データパターンに遷移した場合、異常を検知する検知部とを備える。

【発明の効果】

【0008】

本発明によれば、攻撃者に対するマルウェア対策技術の隠蔽を可能にするとともに、デバイスの性能を低下させることなくマルウェアに対する保護を実現できる。

【図面の簡単な説明】

【0009】

【図1】本実施形態のデバイスの構成の一例を示す図である。

【図2】基本的な異常検知の流れの一例を示す図である。

【図3】異常検知グラフ６２の構築方法の一例を示す図である。

【図4】異常検知グラフによる異常データパターンの検索の一例を示す図である。

【図5】ネットワーク通信に対する異常検知の一例を示す図である。

【図6】セキュリティベンダと連動したＥＤＲの実施の一例を示す図である。

【図7】秘匿通信路を経由した検知対象の更新の一例を示す図である。

【図8】デバイスを経由した検知対象の更新の一例を示す図である。

【発明を実施するための形態】

【0010】

以下、本発明をその実施の形態を示す図面に基づいて説明する。図１は本実施形態のデバイス１００の構成の一例を示す図である。デバイス１００は、異常検知を行うセキュアコンポーネント５０を搭載する。本実施例では、デバイス１００は、例えば、ＩｏＴデバイスを想定しているが、デバイス１００は、ＩｏＴデバイスに限定されるものではなく、ＰＣやサーバ等でもよく、ＰＣやサーバ等より高性能な機器でもよい。セキュリティベンダは、デバイス１００のセキュリティ管理を遠隔地で実施する。異常検知自体は、デバイス１００単体で完結しているが、セキュリティベンダとの連携によって、セキュリティ上のより大きな効果を得ることができる。

【0011】

デバイス１００は、ＯＳ（アプリ実行基盤）２０、アプリケーション（実行バイナリ）１０、及びセキュアコンポーネント５０を備える。

【0012】

ＯＳ２０は、デバイス１００内でアプリケーション１０を稼動させる実行基盤である。本実施形態では、ＯＳ２０は、ＯＳ（Operating System）を想定しているが、コンテナ実行基盤など、ＯＳ以外の実行基盤でもよい。

【0013】

アプリケーション１０は、ＯＳ２０上で実行されるアプリケーションである。アプリ単独で機能実現を行うことはできず、ＯＳ２０上のＡＰＩ（Application Programming Interface）を使用して、所要の機能を実現する。

【0014】

セキュアコンポーネント５０は、デバイス１００に搭載され、ＯＳ２０やアプリケーション１０とは隔離された別の環境で動作し、耐タンパ性を有するコンポーネントである。セキュアコンポーネント５０は、セキュアエレメント、トラステッド・プラットフォーム・モジュール（ＴＰＭ）、トラステッド実行環境又はトラステッド実行環境上のアプリケーションに相当する。

【0015】

ＯＳ２０は、アプリ実行Ｉ／Ｆ２１、ネットワークＩ／Ｆ２２、及びＯＳ－セキュアコンポーネントＩ／Ｆ２３を備える。

【0016】

アプリ実行Ｉ／Ｆ２１は、アプリケーション１０が自身を実行するためにアクセスするＩ／Ｆである。全てのアプリケーション１０は、アプリ実行Ｉ／Ｆ２１を介して機能を実行する。アプリ実行Ｉ／Ｆ２１は、アプリケーション１０がＯＳ２０上で機能を実行するために用意される、ＯＳ２０側のあらゆるＩ／Ｆを含む。例えば、Windowsであれば、CreateProcess等、アプリケーション起動に必須となるＡＰＩや、read、writeなどのファイルアクセス用ＡＰＩはもとより、アプリケーション１０が機能実現するために必要となるＯＳ上のあらゆるＩ／Ｆを含む。

【0017】

ネットワークＩ／Ｆ２２は、アプリケーション１０又はＯＳ２０が、外部機器とネットワーク通信を行うために用いるＩ／Ｆである。

【0018】

ＯＳ－セキュアコンポーネントＩ／Ｆ２３は、ＯＳ２０がセキュアコンポーネント５０と通信するためのＩ／Ｆである。ＯＳ－セキュアコンポーネントＩ／Ｆ２３は、接続されるセキュアコンポーネント５０の形態によって異なるが、セキュアコンポーネント５０がセキュアエレメントである場合、ＩＳＯ７８１６、ＳＰＩ（Serial Peripheral Interface）などの通信プロトコルであり、ＴＥＥ（Trusted Execution Environment）等のトラステッド環境の場合、当該トラステッド環境のＡＰＩが相当する。また、ＯＳ２０－セキュアコンポーネント５０間の通信はセキュアチャネル等によって暗号化されていてもよい。なお、本実施形態では、説明を簡便にするための両者の暗号化については特段記述しない。

【0019】

セキュアコンポーネント５０は、データ入力部５１、外部通知部５２、異常検知部５３、秘匿通信部５４、及び入力データ前処理部５５を備える。

【0020】

データ入力部５１は、ＯＳ－セキュアコンポーネントＩ／Ｆ２３経由で、ＯＳ２０から入力されたデータストリーム（バイナリデータ）を受信する機能を有する。

【0021】

入力データ前処理部５５は、セキュアコンポーネント５０内での異常検知が可能となるように、データ入力部５１から入力されたデータストリームを別の形式に変換する機能を有する。入力データ前処理部５５で行う処理は、検出対象となる異常によって異なるが、基本的には解析対象データを平文として解析可能にするための変換を行う。例えば、マルウェアを異常として検出する際には、入力データ前処理部５５は、マルウェアに施されているパッキング処理や難読化処理の解除等を行う。また、ネットワークの不正なトラフィックを異常として検出する際には、入力データ前処理部５５は、通信の復号等を行う。入力データ前処理部５５による前処理を行わない場合もある。入力データ前処理部５５による前処理の要否は、入力されたデータストリームの内容、セキュアコンポーネント５０の事前設定、ＯＳ２０とセキュアコンポーネント５０間での取決め等適宜設定してもよい。

【0022】

異常検知部５３は、データ入力部５１から入力されたデータストリームを元に、所定のアルゴリズムに基づいて複数の異常を同時並行で検知する機能を有する。異常検知部５３の詳細は後述する。

【0023】

外部通知部５２は、異常検知部５３で検知した異常をＯＳ２０へ通知する機能を有する。

【0024】

秘匿通信部５４は、ネットワーク経由でセキュリティベンダのＥＤＲ（Endpoint Detection and Response）サーバ２００と通信する機能を有する。秘匿通信部５４は、異常検知部５３で検知した異常を通知し、あるいはＥＤＲサーバ２００からの配信内容を受信する。秘匿通信部５４は、ＴＬＳ（Transport Layer Security）等によってネットワーク上遠隔にあるＥＤＲサーバ２００とエンドツーエンドの通信を確立する機能である。本実施形態では、秘匿通信部５４自身がネットワークＩ／Ｆ（例えば、Ethernet、WiFi等、いずれも登録商標）を有するとしているが、データ授受のみデバイス側のネットワークＩ／Ｆを間借りしてもよい。

【0025】

次に、異常検知部５３について説明する。

【0026】

本実施形態では、入力されるデータストリームを元に複数の異常を同時並行で検知できるアルゴリズムとして、グラフ構造を用いた状態遷移を用いる。なお、アルゴリズムは、これに限定されるものではなく、任意のアルゴリズムを用いてもよい。例えば、機械学習によって生成された学習モデルを使用してもよい。このような学習モデルは、ＲＮＮ（Recurrent Neural Network）等、一連のデータストリームに対して、過去の入力状態を把握した上で結果を出力するモデルを採用することが望ましい。以下では、グラフ構造を用いた状態遷移による方法について説明する。

【0027】

異常検知部５３は、データ入力バッファ６１、異常検知モデルとしての異常検知グラフ６２、パターン発見テーブル６３、及び異常パターン論理式テーブル６４を備える。

【0028】

データ入力バッファ６１は、データ入力部５１から入力されたデータストリーム（バイナリデータ）を所定量蓄積するメモリ領域である。

【0029】

異常検知グラフ６２は、異常を示す異常データパターンに基づき構築されたグラフ（ツリー構造）であり、データストリームに含まれる部分データ列に応じてグラフ内を遷移することで、並行的に異常を検知する。

【0030】

パターン発見テーブル６３は、異常検知グラフ６２内での遷移の結果、発見された異常データパターンの出現頻度を記録するテーブルである。図１の例では、異常データパターン１は「０００１ＦＥＦＦ」であり、異常データパターン２は「ＦＦＦＥ」であり、異常データパターン３は「０１００ＦＦ」であり、異常データパターン４は「ＦＦ０００１」である。

【0031】

異常パターン論理式テーブル６４は、検知対象である異常と、パターン発見テーブル６３に記録された異常データパターンとの関係を条件式（論理式）で対応付けるテーブルである。図１に示すように、異常パターン論理式テーブル６４は、異常１に対応する条件式が「１ and ２」であり、異常２に対応する条件式が「３」であり、異常３に対応する条件式が「１ and ４」である。これらの意味は、異常データパターン１と異常データパターン２の両方が発見された場合、異常１が発生したとみなす。異常データパターン３が発見された場合、異常２が発生したとみなす。異常データパターン１と異常データパターン４の両方が発見された場合、異常３が発生したとみなす。

【0032】

具体的には、異常データパターン「０００１ＦＥＦＦ」と「ＦＦＦＥ」の両方が発見された場合、異常１が発生したとみなす。異常データパターン「０１００ＦＦ」が発見された場合、異常２が発生したとみなす。異常データパターン「０００１ＦＥＦＦ」と「ＦＦ０００１」の両方が発見された場合、異常３が発生したとみなす。

【0033】

なお、各異常１～３が実際にどのような現象を意味するかは、入力されるデータストリームの意味によって変わる。例えば、アプリケーション（実行バイナリ）のバイト列をデータストリームとして入力する場合は、「当該アプリケーションはマルウェアである」が異常発生の意味である。また、ネットワークトラフィックのバイト列をデータストリームとして入力する場合は、「当該通信は異常な通信である」が異常発生の意味となる。

【0034】

セキュリティベンダは、セキュアコンポーネント５０から秘匿通信部５４経由でネットワーク送信された異常を集計、解析し、デバイス１００におけるセキュリティインシデントを検知し、対応する役割を有する。セキュリティベンダは、ＥＤＲサーバ２００、端末装置２１０、セキュリティアナリストを有する。

【0035】

ＥＤＲサーバ２００は、セキュアコンポーネント５０の秘匿通信部５４が異常情報を通知するサーバである。ＥＤＲサーバ２００には、デバイス１００の異常情報が蓄積される。なお、図１では、デバイス１００を１つだけ図示しているが、ＥＤＲサーバ２００は、複数のデバイス１００のセキュアコンポーネント５０から異常情報を収集することができる。また、ＥＤＲサーバ２００は、セキュアコンポーネント５０に対して、新しい異常検知用データを配布する。なお、ＥＤＲサーバ２００以外の他の配信サーバが、セキュアコンポーネント５０に対して、新しい異常検知用データを配布してもよい。

【0036】

セキュリティアナリストは、端末装置２１０を使用してＥＤＲサーバ２００にアクセスして、セキュリティインシデントの発生有無を判定する。なお、セキュリティインシデントの発生有無を機械学習された学習モデルや、他の方法を用いて判定してもよい。

【0037】

次に、ユースケースを説明する。まず、基本的な異常検知の流れについて説明する。

【0038】

図２は基本的な異常検知の流れの一例を示す図である。ここで、検知する異常は「アプリケーション（実行バイナリ）がマルウェアである」という異常である。以下、図中の各処理を＃１～＃１４として説明する。

【0039】

＃１（アプリケーションの実行）：ユーザは、マルウェアとは知らずに、アプリケーション１０の実行を指示する。

【0040】

＃２（実行Ｉ／Ｆの呼び出し）：アプリケーション１０は、自身を実行するためＯＳ２０のアプリ実行Ｉ／Ｆ２１を呼び出す。

【0041】

＃３（実行バイナリの確認）：ＯＳ２０は、アプリ実行Ｉ／Ｆ２１を呼び出したアプリケーション（実行バイナリ）１０を確認する。

【0042】

＃４（実行バイナリ読込）：ＯＳ２０は、実行に先立ってアプリケーション１０の実行バイナリを、バイト列として読み取る。

【0043】

＃５（データストリームのセキュアコンポーネントへの送信）：ＯＳ２０は、読み込んだバイト列をデータストリームとしてＯＳ－セキュアコンポーネントＩ／Ｆ２３経由でセキュアコンポーネント５０へ送信する。

【0044】

＃６（入力データ前処理部への転送）：データ入力部５１は、受信したデータストリームを入力データ前処理部５５へ転送する。

【0045】

＃７（入力データの前処理）：入力データ前処理部５５は、転送されたデータストリームを解析し、必要に応じて前処理を行う。本ユースケースの場合、受信したデータストリーム内に、特定のマルウェア難読化やパッキングの兆候が見られ、受信したデータストリームのままでは解析できないと判定された場合、難読化解除やアンパックを行う。入力データ前処理部５５で処理されたデータストリームは、順次、データ入力バッファ６１へ入力される。

【0046】

＃８（異常検知グラフへの入力）：セキュアコンポーネント５０は、受信したデータストリームを１バイトずつ異常検知グラフ６２に入力する。

【0047】

＃９（異常検知グラフの状態遷移）：異常検知グラフ６２は、入力されたバイトに従ってグラフ内で状態遷移を行う。状態遷移の詳細は後述する。

【0048】

＃１０（異常データパターンの発見と記録）：異常検知グラフ６２は、状態遷移の結果、特定の異常データパターンが発見された場合、発見された異常データパターンについて、パターン発見テーブル６３に記録する。具体的には、発見回数を１つ増やす。図２の例では、異常データパターン１「０００１ＦＥＦＦ」と異常データパターン２「ＦＦＦＥ」の発見回数を０から１に増やしている。

【0049】

＃１１（異常の特定）：パターン発見テーブル６３の発見回数をもとに、異常パターン論理式テーブル６４の論理式を評価し、条件を満たす異常が存在する場合、当該異常が発生したものとみなす。図２の例では、異常１の論理式を評価した結果、入力されたデータストリームの中に異常データパターン１「０００１ＦＥＦＦ」と異常データパターン２「ＦＦＦＥ」の両方が検出されたため、異常１が検知されたものとして通知を行う。

【0050】

＃１２（異常の外部通知）：異常検知部５３は、通知対象をデバイス側ＯＳとして、外部通知部５２に異常１の検知を通知する。

【0051】

＃１３（ＯＳへの異常通知）：セキュアコンポーネント５０は、ＯＳ２０に対し、異常１が検知された旨を通知する。

【0052】

＃１４（アプリケーションの動作制御）：ＯＳ２０は、当該異常の検知元であるアプリケーション１０に対して適切な措置を行う。具体的には、ＯＳ２０は、アプリケーション１０の動作停止、削除などを実施する。

【0053】

上述のように、入力データ前処理部５５は、取得したデータストリームを単位データ列（１バイトのデータ）に区分できるか否かを判定する判定部としての機能、及び単位データ列に区分できない場合、データストリームに対して所定の前処理を行う機能を備え、所定の前処理をしたデータストリームを異常検知グラフ６２に入力する。所定の前処理は、難読化解除処理やアンパック処理、後述のように暗号化された通信内容に対する復号処理などを含む。

【0054】

また、デバイス１００は、セキュアコンポーネント５０が検知した異常に基づいて、デバイス１００自身、デバイス１００上で稼働しているＯＳ２０、及びアプリケーション１０の少なくとも一つの動作を変更することができる。

【0055】

また、セキュアコンポーネント５０が検知した異常に基づいて、セキュアコンポーネント５０と通信するデバイス１００の異常を検知することができる。

【0056】

上述の基本的な異常検知の流れは、「アプリケーション１０実行時に、当該アプリケーション１０のバイナリデータをバイト列としてセキュアコンポーネント５０に入力し、当該入力をもとにセキュアコンポーネント５０がマルウェアか否かを判定し、判定結果に応じてアプリケーション１０の取り扱いを決定する」という処理である。

【0057】

理想的にはアプリケーション実行前にマルウェアか否かの判定を完了することが最適であるが、セキュアコンポーネント５０が非力な場合、ＯＳ２０は、以下の（１）～（３）のように処理を並行実行し、アプリケーション１０の実行前処理軽減を図ってもよい。（１）アプリケーション実行に必要な前処理（メモリの確保等）と、セキュアコンポーネント５０へのデータストリームの送信を並行実施する、（２）ファイル書込み等、破壊的な影響が発生し得る処理の前までの処理と、セキュアコンポーネント５０へのデータストリームの送信を並行実施する、（３）特に制約を加えず、アプリケーションの実行とセキュアコンポーネント５０へのデータストリームの送信とを並行実施させるが、異常検知時には直ちに停止させる。

【0058】

次に、異常検知グラフ６２の振る舞いについて説明する。

【0059】

異常検知グラフ６２は、各異常に紐づいた異常データパターンを順次登録することで構築される木構造グラフである。このグラフ構造の特徴は以下の（１）～（３）のとおりである。

【0060】

（１）ルート（root）を含む各ノードは、自分自身が保持するデータ列と、当該データ列の次のバイト（００～ＦＦ）を連結することで構成されるデータ列の下位ノードへの次ノード参照（「第１参照部」とも称する）を有する。次のバイトは２５６通り（００～ＦＦ）存在するので、次ノード参照は２５６個ある。対応する下位ノードが存在しない場合は「参照なし（Null）」が設定される。

【0061】

ここで、次ノード参照は、各ノードについて、００～ＦＦの２５６個の１バイトのデータを保持しているので、当該１バイトのデータを「単位データ列」と称する。また、各ノードは、データ列を保持するが、当該データ列は、データストリームの中の一部のデータ列であることから、「部分データ列」と称する。各ノードが保持する部分データ列の長さは、上位ノードから下位ノードに向かって１バイトずつ増加する。

【0062】

すなわち、異常検知グラフ６２は、複数の内部状態に対応する複数のノードを含むツリー構造を有し、複数のノードは、所定の部分データ列を保持する。上位ノードは、エッジを通じて下位ノードを参照する次ノード参照（第１参照部）を有し、下位ノードは、上位ノードが保持する部分データ列を、先頭データ列として含む部分データ列を保持する。先頭データ列とは、部分データ列の先頭部分である。また、次ノード参照は、参照する下位ノードに対応する単位データ列を保持するとともに、上位ノードが保持する部分データ列と次ノード参照が保持する単位データ列とを連結した部分データ列が、下位ノードが保持する部分データ列となるようにしてもよい。なお、実装では、必ずしも各次ノード参照が単位データ列を持ち、上位ノードの部分データ列を連結して下位ノードが保持する部分データ列を表現しているわけではない。

【0063】

（２）異常検知グラフ６２構築の初期状態は、ルートノードのみ存在している。

【0064】

（３）各ノードは、次ノード参照とは別に、末尾から数えた部分文字列が最も長く一致するノードへのサフィックス参照（「第２参照部」とも称する）を有する。すなわち、複数のノードそれぞれは、自信が保持する部分データ列の末尾から比較して最も長く一致する部分データ列を保持するノードを参照するサフィックス参照を有する。

【0065】

図３は異常検知グラフ６２の構築方法の一例を示す図である。以下、図中の各処理を＃１～＃６として説明する。

【0066】

＃１（初期状態）：初期状態はルートノードのみで構成される。

【0067】

＃２（異常データパターン「０００１ＦＥＦＦ」追加）：以降、追加対象の異常データパターンから１バイトずつ取り出し、取り出した１バイトに対応する次ノード参照をたどりながら、部分データ列をノードとして追加していく。異常データパターン「０００１ＦＥＦＦ」の場合、まず先頭の１バイト「００」を取り出し、取り出した１バイト「００」に対応する、ルート（root）ノードの次ノード参照をたどるが、当該次ノード参照は、「参照なし（Null）」状態なので、新たに部分データ列「００」を有するノード（「００」）を追加し、追加したノード（「００」）への参照をルートノードの次ノード参照に追加する。
次に、異常データパターン「０００１ＦＥＦＦ」の２バイト目である「０１」を取り出し、取り出した２バイト目の「０１」に対応する、ノード（「００」）の次ノード参照をたどるが、当該次ノード参照は、「参照なし（Null）」状態なので、新たに部分データ列「０００１」を有するノード（「０００１」）を追加し、追加したノード（「０００１」）への参照をノード（「００」）の次ノード参照に追加する。
次に、異常データパターン「０００１ＦＥＦＦ」の３バイト目である「ＦＥ」を取り出し、取り出した３バイト目の「ＦＥ」に対応する、ノード（「０００１」）の次ノード参照をたどるが、当該次ノード参照は、「参照なし（Null）」状態なので、新たに部分データ列「０００１ＦＥ」を有するノード（「０００１ＦＥ」）を追加し、追加したノード（「０００１ＦＥ」）への参照をノード（「０００１」）の次ノード参照に追加する。
次に、異常データパターン「０００１ＦＥＦＦ」の末尾のバイトである「ＦＦ」を取り出し、取り出したバイト「ＦＦ」に対応する、ノード（「０００１ＦＥ」）の次ノード参照をたどるが、当該次ノード参照は、「参照なし（Null）」状態なので、新たに部分データ列「０００１ＦＥＦＦ」を有するノード（「０００１ＦＥＦＦ」）を追加し、追加したノード（「０００１ＦＥＦＦ」）への参照をノード（「０００１ＦＥ」）の次ノード参照に追加する。このように、異常データパターン全体である「０００１ＦＥＦＦ」と同一の部分データ列を有するノードを追加するまで、次ノード参照と部分データ列を有するノードの追加を継続すればよい。

【0068】

＃３（異常データパターン「ＦＦＦＥ」追加）：上述の処理＃２と同様に、追加対象の異常データパターン「ＦＦＦＥ」から先頭の１バイト「ＦＦ」を取り出し、取り出した１バイト「ＦＦ」に対応する、ルート（root）ノードの次ノード参照をたどるが、当該次ノード参照は、「参照なし（Null）」状態なので、新たに部分データ列「ＦＦ」を有するノード（「ＦＦ」）を追加し、追加したノード（「ＦＦ」）への参照をルートノードの次ノード参照に追加する。
次に、異常データパターン「ＦＦＦＥ」の末尾のバイトである「ＦＥ」を取り出し、取り出したバイト「ＦＥ」に対応する、ノード（「ＦＦ」）の次ノード参照をたどるが、当該次ノード参照は、「参照なし（Null）」状態なので、新たに部分データ列「ＦＦＦＥ」を有するノード（「ＦＦＦＥ」）を追加し、追加したノード（「ＦＦＦＥ」）への参照をノード（「ＦＦ」）の次ノード参照に追加する。このように、異常データパターン全体である「ＦＦＦＥ」と同一の部分データ列を有するノードを追加するまで、次ノード参照と部分データ列を有するノードの追加を継続すればよい。また、新たな異常データパターンを追加する際には、常にルートノードからたどる。

【0069】

＃４（異常データパターン「０１００ＦＦ」追加）：上述の処理＃２、＃３と同様である。

【0070】

＃５（異常データパターン「ＦＦ０００１」追加）：追加対象の異常データパターン「ＦＦ０００１」から先頭の１バイト「ＦＦ」を取り出し、取り出した１バイト「ＦＦ」に対応する、ルート（root）ノードの次ノード参照をたどると、当該次ノード参照は、既に存在するので、ノードの追加処理は行わず、次ノード参照をたどってノード（「ＦＦ」）に移動する。
次に、異常データパターン「ＦＦ０００１」の２バイト目である「００」を取り出し、取り出した２バイト目の「００」に対応する、ノード（「ＦＦ」）の次ノード参照をたどるが、当該次ノード参照は、「参照なし（Null）」状態なので、新たに部分データ列「ＦＦ００」を有するノード（「ＦＦ００」）を追加し、追加したノード（「ＦＦ００」）への参照をノード（「ＦＦ」）の次ノード参照に追加する。
次に、異常データパターン「ＦＦ０００１」の末尾のバイトである「０１」を取り出し、取り出したバイト「０１」に対応する、ノード（「ＦＦ００」）の次ノード参照をたどるが、当該次ノード参照は、「参照なし（Null）」状態なので、新たに部分データ列「ＦＦ０００１」を有するノード（「ＦＦ０００１」）を追加し、追加したノード（「ＦＦ０００１」）への参照をノード（「ＦＦ００」）の次ノード参照に追加する。このように、異常データパターン全体である「ＦＦＦＥ」と同一の部分データ列を有するノードを追加するまで、次ノード参照と部分データ列を有するノードの追加を継続すればよい。

【0071】

＃６（サフィックス参照の追加）：全ての異常データパターンを追加した後で、グラフ内の全てのノードについて、サフィックス参照の追加を行う。各ノードが保持する部分データ列の最長サフィックスを保持するノードに対して参照関係を作成する。例えば、ノード（「ＦＦ０００１」）（異常データパターン）の場合、現在の異常検知グラフ６２の中でサフィックスが最長で一致するノードは、ノード（「０００１」）なので、当該ノードへの参照をサフィックス参照に設定する。また、ノード（「０００１ＦＥＦＦ」）（異常データパターン）の場合、現在の異常検知グラフ６２の中でサフィックスが最長で一致するノードは、ノード（「ＦＦ」）なので、当該ノードへの参照をサフィックス参照に設定する。なお、最長サフィックスを保持するノードが存在しない場合、ルートノードへの参照をサフィックス参照に設定する。

【0072】

上述のように、異常検知グラフ６２は、複数のノードを含むツリー構造を有し、複数のノードは、所定の部分データ列を保持する。上位ノードは、エッジを通じて下位ノードを参照する次ノード参照を有し、下位ノードは、上位ノードが保持する、異常データパターンの一部を構成する部分データ列を、先頭データ列として含む部分データ列を保持し、最下位のノードが保持する部分データ列が異常データパターンとなるように異常検知グラフ６２を構築（生成）することができる。なお、上位ノードが保持する、異常データパターンの一部を構成する部分データ列と次ノード参照が保持する単位データ列とを連結した部分データ列が、下位ノードが保持する、異常データパターンの一部を構成する部分データ列となるように異常検知グラフ６２を構築（生成）してもよい。

【0073】

異常検知グラフ６２は、異常データパターン及び異常データパターンの一部を構成する部分データ列を木構造として保持しつつ、次バイトから次の部分データ列をたどることができ、かつ同じサフィックスを持つ部分データ列をたどることができる。なお、図３において、検索対象パターンに相当する異常データパターン（異常データパターンを保持するノード）は、太枠で図示している。

【0074】

次に、データストリーム入力時の動作について説明する。異常検知時には、入力されたデータストリームを元に、構築された異常検知グラフ６２を用いて異常データパターンの並行検索を行う。

【0075】

図４は異常検知グラフ６２による異常データパターンの検索の一例を示す図である。以下、図中の各処理を＃１～＃１０として説明する。図４では、構築された異常検知グラフ６２に対して、データ入力バッファ６１から１バイトずつ入力した際の異常検知グラフ６２の内部状態の遷移と異常データパターンの発見について示す。

【0076】

＃１（データ入力バッファから「ＦＦ」を入力）：異常検知部５３は、データ入力バッファ６１からデータストリームの先頭バイト「ＦＦ」を取得し、異常検知グラフ６２の内部状態の遷移（状態遷移）を行う。異常検知グラフ６２は、ルートノードから検索を開始する。ここで、取得したバイト「ＦＦ」に相当する次ノード参照をたどると、ノード（「ＦＦ」）への参照が見つかるので、現在位置（検索位置）をノード（「ＦＦ」）に遷移させる。ここでは、内部状態が、ルートノードからノード（「ＦＦ」）に遷移している。

【0077】

＃２（データ入力バッファから「ＦＥ」を入力）：続いて、異常検知部５３は、データ入力バッファ６１から次のバイト「ＦＥ」を取得し、異常検知グラフ６２の内部状態の遷移（状態遷移）を行う。現在の検索位置であるノード（「ＦＦ」）で、取得したバイト「ＦＥ」に相当する次ノード参照をたどると、ノード（「ＦＦＦＥ」）への参照が見つかるので、現在位置（検索位置）をノード（「ＦＦＦＥ」）に遷移させる。ここでは、内部状態が、ノード（「ＦＦ」）からノード（「ＦＦＦＥ」）に遷移している。

【0078】

＃３（異常データパターン「ＦＦＦＥ」発見を記録）：現在位置のノード（「ＦＦＦＥ」）は、異常データパターン「ＦＦＦＥ」を保持するノードであるため、異常検知部５３は、当該異常データパターンが発見されたことを、パターン発見テーブル６３に記録する。図４の例では、パターン発見テーブル６３の異常データパターン「ＦＦＦＥ」に対応する発見回数を０から１に変更している。

【0079】

＃４（サフィックスノードをたどる）：現在位置のノード（「ＦＦＦＥ」）は、最下位のノードであり、次ノード参照が存在しない。これ以上次ノード（下位ノード）をたどることができないため、サフィックスノードをたどって次バイト以降の検索を継続する。ここで、現在位置のノード（「ＦＦＦＥ」）のサフィックスノードはルートノードであるため、現在位置（検索位置）をルートノードに遷移させる。ここでは、内部状態が、ノード（「ＦＦＦＥ」）からルートノードに遷移している。

【0080】

＃５（データ入力バッファから「００」を入力）：異常検知部５３は、データ入力バッファ６１から次のバイト「００」を取得し、異常検知グラフ６２の内部状態の遷移（状態遷移）を行う。異常検知グラフ６２は、ルートノードから検索を開始する。ここで、取得したバイト「００」に相当する次ノード参照をたどると、ノード（「００」）への参照が見つかるので、現在位置（検索位置）をノード（「００」）に遷移させる。ここでは、内部状態が、ルートノードからノード（「００」）に遷移している。

【0081】

＃６（データ入力バッファから「０１」を入力）：異常検知部５３は、データ入力バッファ６１から次のバイト「０１」を取得し、異常検知グラフ６２の内部状態の遷移（状態遷移）を行う。異常検知グラフ６２は、現在の検索位置であるノード（「００」）で、取得したバイト「０１」に相当する次ノード参照をたどると、ノード（「０００１」）への参照が見つかるので、現在位置（検索位置）をノード（「０００１」）に遷移させる。ここでは、内部状態が、ノード（「００」）からノード（「０００１」）に遷移している。

【0082】

＃７（データ入力バッファから「ＦＥ」を入力）：異常検知部５３は、データ入力バッファ６１から次のバイト「ＦＥ」を取得し、異常検知グラフ６２の内部状態の遷移（状態遷移）を行う。異常検知グラフ６２は、現在の検索位置であるノード（「０００１」）で、取得したバイト「ＦＥ」に相当する次ノード参照をたどると、ノード（「０００１ＦＥ」）への参照が見つかるので、現在位置（検索位置）をノード（「０００１ＦＥ」）に遷移させる。ここでは、内部状態が、ノード（「０００１」）からノード（「０００１ＦＥ」）に遷移している。

【0083】

＃８（データ入力バッファから「ＦＦ」を入力）：異常検知部５３は、データ入力バッファ６１から次のバイト「ＦＦ」を取得し、異常検知グラフ６２の内部状態の遷移（状態遷移）を行う。異常検知グラフ６２は、現在の検索位置であるノード（「０００１ＦＥ」）で、取得したバイト「ＦＦ」に相当する次ノード参照をたどると、ノード（「０００１ＦＥＦＦ」）への参照が見つかるので、現在位置（検索位置）をノード（「０００１ＦＥＦＦ」）に遷移させる。ここでは、内部状態が、ノード（「０００１ＦＥ」）からノード（「０００１ＦＥＦＦ」）に遷移している。

【0084】

＃９（異常データパターン「０００１ＦＥＦＦ」発見を記録）：現在位置のノード（「０００１ＦＥＦＦ」）は、異常データパターン「０００１ＦＥＦＦ」を保持するノードであるため、異常検知部５３は、当該異常データパターンが発見されたことを、パターン発見テーブル６３に記録する。図４の例では、パターン発見テーブル６３の異常データパターン「０００１ＦＥＦＦ」に対応する発見回数を０から１に変更している。

【0085】

＃１０（サフィックスノードをたどる）：現在位置のノード（「０００１ＦＥＦＦ」）は、最下位のノードであり、次ノード参照が存在しない。これ以上次ノード（下位ノード）をたどることができないため、サフィックスノードをたどって次バイト以降の検索を継続する。ここで、現在位置のノード（「０００１ＦＥＦＦ」）のサフィックスノードはノード（「ＦＦ」）であるため、現在位置（検索位置）をノード（「ＦＦ」）に遷移させる。ここでは、内部状態が、ノード（「０００１ＦＥＦＦ」）からノード（「ＦＦ」）に遷移している。

【0086】

上述のように、セキュアコンポーネント５０は、データストリームを取得する取得部（データ入力部５１）、複数の異常それぞれを示す異常データパターンを含み、複数の内部状態を通じて異常データパターンへの状態遷移を規定する異常検知モデル（異常検知グラフ６２）、取得したデータストリームを異常検知グラフ６２に入力し、データストリームに含まれる部分データ列に対応させて内部状態を遷移する遷移部（異常検知部５３）、及びデータストリームに含まれるデータ列が異常データパターンに遷移した場合、異常を検知する検知部（異常検知部５３）を備える。

【0087】

また、上述のように、異常検知グラフ６２は、複数の内部状態に対応する複数のノードを含むツリー構造を有する。すなわち、複数の内部状態は、検索位置（現在位置）が、１バイト毎に遷移する、異常検知グラフ６２内の複数のノードに対応する。異常検知部５３（遷移部）は、部分データ列に対応させて複数のノードの上位ノードから下位ノードに向かってノードを遷移する。部分データ列は、データストリームから１バイトずつ取り出したデータ列であり、下位ノードに遷移する都度、部分データ列のデータ長は１バイトずつ長くなる。

【0088】

異常検知グラフ６２を用いてルートノードからグラフ内の下位のノードへの検索を行うことで、異常検知部５３は、複数の異常データパターンの検索を同時に並行して行うことができる。異常データパターンの検索に当たっては、リッチＯＳ等の上位システムから、処理対象であるデータストリームを１バイトずつ異常検知グラフ６２に入力するだけでよく、ある異常パターンを特定するためん、検索対象データの全データを入力する必要がない。すなわち、データストリーム全体のデータを入力する必要がなく、入力の途中で異常を検知できる。これにより、デバイス１００の性能を低下させることなくマルウェアに対する保護を実現できる。また、異常検知のためのロジック（異常検知部５３）をセキュアコンポーネント５０内に隠蔽できるので、マルウェア作成者等の攻撃者からの検知パターンの解析を防止し、攻撃者にマルウェア対策技術をバイパスする手段やノウハウを与えないので、攻撃者に対するマルウェア対策技術の隠蔽を可能にする。

【0089】

また、セキュアコンポーネント５０は、異常検知対象となるバイナリデータをストリーム入力として処理できるようになる。これにより、アプリ実行時と異常検知処理とを並行実施すること、ネットワークトラフィックを直接ストリーム入力して異常検知すること等、セキュアコンポーネント５０側の処理待ちを考慮せずに異常検知を並行実施できる。

【0090】

図４に示す手順でパターン発見テーブル６３に各異常データパターンの発見回数が記録されるため、次に異常パターン論理式テーブル６４の内容に基づき、各以上に対応した異常データパターンが論理式どおりに発見されているかを確認する。図４に示す手順では、処理＃９完了時点で異常１に対応する異常データパターンが全て発見されているので、異常検知部５３は、この時点で異常発生を検知し、通知できる。

【0091】

上述のように、異常検知部５３（検知部）は、データストリームに含まれるデータ列が遷移した異常データパターン又は異常データパターンの組合せに応じて、種類が異なる異常を検知することができる。

【0092】

なお、異常検知部５３が異常発生を通知するタイミングについては、デバイス１００等に関するセキュリティポリシーに応じて適宜設定できる。一例としては、次の（１）～（３）のタイミングで通知できる。（１）１バイト入力ごとに論理式をチェックし、検知された時点で直ちに通知する、（２）予め定められた入力量を超えた時点で論理式をチェックし、検知されたら通知する、（３）１バイトごとに論理式をチェックするが、通知はランダムに定められた追加入力量を超えタイミングで通知する。これは、通知タイミングを意図的にずらすことで、攻撃者に異常データパターンに関する情報を与えないようにするためのセキュリティポリシーである。

【0093】

図５はネットワーク通信に対する異常検知の一例を示す図である。図２に例示した「基本的な異常検知の流れ」では、実行バイナリがマルウェアかどうかについて異常を検知していたが、ネットワーク通信に対して異常検知を行うこともできる。以下、図中の各処理を＃１～＃１３として説明する。

【0094】

＃１（アプリによるネットワーク通信開始）：アプリケーション（マルウェアとする）は、Ｃ＆Ｃサーバ（Ｃ２サーバ）との通信など、外部と好ましくない通信を行うべく、ＯＳ２０のアプリ実行Ｉ／Ｆ２１を呼び出す。なお、Ｃ＆Ｃサーバは、外部から侵入して乗っ取ったコンピュータを利用したサイバー攻撃で、踏み台のコンピュータを制御し、あるいは命令を出力する役割を担うサーバである。

【0095】

＃２（ネットワークＩ／Ｆへの通信）：ＯＳ２０は、ネットワークＩ／Ｆ２２に対して要求された通信内容を転送する。

【0096】

＃３（ネットワーク通信の転送）：ネットワークＩ／Ｆ２２は、当該通信内容をセキュアコンポーネント５０で検証すべく、ＯＳ－セキュアコンポーネントＩ／Ｆ２３に転送する。

【0097】

＃４（データストリームのセキュアコンポーネントへの送信）：ＯＳ２０は、転送された通信内容を、データストリームとしてＯＳ－セキュアコンポーネントＩ／Ｆ２３経由でセキュアコンポーネント５０へ送信する。

【0098】

＃５（入力データ前処理部への転送）：データ入力部５１は、受信したデータストリームを入力データ前処理部５５へ転送する。

【0099】

＃６（入力データの前処理）：入力データ前処理部５５は、転送されたデータストリームを解析し、必要に応じて前処理を行う。本ユースケースの場合、受信したデータストリーム（通信内容）が暗号化されている場合、復号して平文を得る等の処理を行う。入力データ前処理部５５で処理されたデータストリームは、順次、データ入力バッファ６１へ入力される。

【0100】

＃７（異常検知グラフへの入力）：セキュアコンポーネント５０は、受信したデータストリームを１バイトずつ異常検知グラフ６２に入力する。

【0101】

＃８（異常検知グラフの状態遷移）：異常検知グラフ６２は、入力されたバイトに従ってグラフ内で状態遷移を行う。

【0102】

＃９（異常データパターンの発見と記録）：異常検知グラフ６２は、状態遷移の結果、特定の異常データパターンが発見された場合、発見された異常データパターンについて、パターン発見テーブル６３に記録する。具体的には、発見回数を１つ増やす。図５の例では、異常データパターン１「０００１ＦＥＦＦ」と異常データパターン２「ＦＦＦＥ」の発見回数を０から１に増やしている。

【0103】

＃１０（異常の特定）：パターン発見テーブル６３の発見回数をもとに、異常パターン論理式テーブル６４の論理式を評価し、条件を満たす異常が存在する場合、当該異常が発生したものとみなす。図５の例では、異常１の論理式を評価した結果、入力されたデータストリームの中に異常データパターン１「０００１ＦＥＦＦ」と異常データパターン２「ＦＦＦＥ」の両方が検出されたため、異常１が検知されたものとして通知を行う。

【0104】

＃１１（異常の外部通知）：異常検知部５３は、通知対象をデバイス側ＯＳとして、外部通知部５２に異常１の検知を通知する。

【0105】

＃１２（ＯＳへの異常通知）：セキュアコンポーネント５０は、ＯＳ２０に対し、異常１が検知された旨を通知する。

【0106】

＃１３（通信とアプリケーション動作の停止）：ＯＳ２０は、当該異常の検知元であるアプリケーション１０に対して適切な措置を行う。具体的には、ＯＳ２０は、アプリケーション１０の動作停止、削除などを実施するとともに、現在実施されている好ましくないネットワーク通信を停止する。

【0107】

図２の場合と同様に、図５の場合においても、セキュアコンポーネント５０が非力な場合、ＯＳ２０は、以下の（１）～（３）のように処理を並行実行し、アプリケーション１０の実行前処理軽減を図ってもよい。（１）通信の前処理（バッファ確保等）と、セキュアコンポーネント５０へのデータストリームの送信を並行実施する、（２）特に制約を加えず、通信の実行とセキュアコンポーネント５０へのデータストリームの送信とを並行実施させるが、異常検知時には直ちに停止させる。

【0108】

なお、通信内容の検証は、外部に送信する送信内容でもよく、外部から受信する通信内容でもよい。

【0109】

以上説明したユースケースでは、全てデバイス１００単体で完結したセキュリティ処理であるが、このメカニズムを応用すると、発生した異常を秘匿通信路経由で外部の管理者に通知することで、遠隔によるエンドポイントのインシデントレスポンス、すなわちＥＤＲを実現できる。これは、セキュアコンポーネント５０上で異常を検知した後、通知先をセキュリティベンダのＥＤＲサーバ２００に指定した上で、秘匿通信路を介して当該通信を実施することで実現できる。ＥＤＲは前述のマルウェア検出、ネットワーク通信に対する異常検知の両方について、共通の手順で実施できるので、異常検知が行われたタイミング以降の手順について、以下に説明する。

【0110】

図６はセキュリティベンダと連動したＥＤＲの実施の一例を示す図である。以下、図中の各処理を＃１～＃９として説明する。

【0111】

＃１（異常の特定）：パターン発見テーブル６３の発見回数をもとに、異常パターン論理式テーブル６４の論理式を評価し、条件を満たす異常が存在する場合、当該異常が発生したものとみなす。図６の例では、異常１の論理式を評価した結果、入力されたデータストリームの中に異常データパターン１「０００１ＦＥＦＦ」と異常データパターン２「ＦＦＦＥ」の両方が検出されたため、異常１が検知されたものとして通知を行う。

【0112】

＃２（不正の外部通知）：異常検知部５３は、通知対象をＥＤＲサーバ２００として、秘匿通信部５４に異常１の検知を通知する。

【0113】

＃３（ＥＤＲサーバへの異常通知）：セキュアコンポーネント５０は、秘匿通信路経由で、ＥＤＲサーバ２００に対し、異常１の検知を通知する。

【0114】

＃４（異常の分析とインシデントレスポンス）：ＥＤＲサーバ２００は、受信した異常を蓄積するとともに、セキュリティアナリストに通知し、分析やインシデントレスポンスのインプットにする。

【0115】

＃５（デバイス遠隔操作指示）：セキュリティアナリストは、インシデントレスポンスのアクションとして、デバイス１００に対する遠隔操作指示を端末装置２１０に入力し、ＥＤＲサーバ２００に転送する。

【0116】

＃６（遠隔操作指示の送信）：ＥＤＲサーバ２００は、異常が検知されたセキュアコンポーネント５０に対して、遠隔操作指示を送信する。

【0117】

＃７（外部通知部への転送）：セキュアコンポーネント５０は、ＥＤＲサーバ２００から受信した遠隔操作指示を復号し、外部通知部５２へ転送する。

【0118】

＃８（遠隔操作指示のデバイスへの転送）：外部通知部５２は、遠隔操作指示をＯＳ２０へ転送する。

【0119】

＃９（遠隔操作指示の実施）：ＯＳ２０は、セキュアコンポーネント５０から受信した遠隔操作指示に従い、アプリケーション１０を停止し、あるいはネットワーク通信を遮断する等のセキュリティ保護動作を行う。

【0120】

セキュアコンポーネント５０は、ＥＤＲサーバ２００（外部装置）との間で秘匿通信路を開設する開設部（秘匿通信部５４）、及び秘匿通信路を介して、検知した異常をＥＤＲサーバ２００へ通知する通知部（異常検知部５３）を備える。

【0121】

また、セキュアコンポーネント５０は、秘匿通信路を介してセキュアコンポーネント５０を搭載したデバイス１００に対する遠隔操作指示を受信した場合、受信した遠隔操作指示をデバイス１００へ出力する外部通知部５２（出力部）を備える。

【0122】

また、セキュアコンポーネント５０は、自身が検知した異常に基づいて、セキュアコンポーネント５０を搭載したデバイス１００に対する遠隔操作指示を受信し、受信した遠隔操作指示に基づいて、デバイス１００の動作を制御することにより、デバイス１００を保護することができる。

【0123】

上述のように、セキュアコンポーネント５０自身が、ＥＤＲにおけるエージェントとしての機能を担うので、例えば、（１）ＯＳやアプリとして特段のエージェントのインストールを行うことなく、エンドポイントデバイスのＥＤＲを行うことができる、（２）セキュリティベンダ固有のエージェントに依存しないため、通信先ＥＤＲサーバ２００を変更することにより、特定のセキュリティベンダに依存しないＥＤＲメカニズムを実現できる、（３）セキュアコンポーネント５０をデバイス１００にハードウェア実装することにより、ＯＳに依存しないＥＤＲメカニズムを実現できる、（４）エージェントがＯＳ上に露出しないため、耐解析能力が向上し、攻撃者にバイパスの隙を与えない、等の大きな効果を得ることができる。

【0124】

マルウェアの活動状況の変化は極めて速いため、異常検知を行うための異常データパターンも可能な限り素早く更新する必要がある。以下では、セキュアコンポーネント５０の秘匿通信路の活用により、セキュアコンポーネント５０内の異常検知グラフ６２、パターン発見テーブル６３及び異常パターン論理式テーブル６４（纏めて「検知対象」とも称する）を更新する例について説明する。

【0125】

図７は秘匿通信路を経由した検知対象の更新の一例を示す図である。以下、図中の各処理を＃１～＃６として説明する。

【0126】

＃１（新たな検知対象の追加）：セキュリティアナリストは、新たに発見されたマルウェアや不正通信に対し、当該異常検知用データをＥＤＲサーバ２００に登録する。異常検知用データは、検知対象（異常検知グラフ６２、パターン発見テーブル６３及び異常パターン論理式テーブル６４）を更新するためのデータである。

【0127】

＃２（ＥＤＲサーバによる配信）：ＥＤＲサーバ２００は、新たに登録された異常検知用データを、セキュリティ管理対象の各セキュアコンポーネント５０に配信する。なお、図７では、便宜上１つのデバイス１００及びセキュアコンポーネント５０だけを図示しているが、デバイス１００及びセキュアコンポーネント５０は複数あってもよい。

【0128】

＃３（秘匿通信路経由での受信）：セキュアコンポーネント５０は、自身の秘匿通信路経由で、ＥＤＲサーバ２００から異常検知用データを受信する。

【0129】

＃４（異常検知部への通知）：セキュアコンポーネント５０は、受信した異常検知用データを異常検知部５３へ通知する。

【0130】

＃５（テーブルの更新）：異常検知部５３は、異常検知用データを元に、パターン発見テーブル６３及び異常パターン論理式テーブル６４に異常データパターンと異常を追加する。図７の例では、異常データパターン５として、新たに「ＦＦ００００」を追加した上で、新たな異常として異常４を定義（異常データパターン３と異常データパターン５の両方が発見された場合）している。

【0131】

＃６（異常検知グラフへの追加）：異常検知部５３は、異常検知グラフ６２に新たな異常データパターンを追加する。異常データパターンの追加は、図３を参照。

【0132】

上述のように、セキュアコンポーネント５０は、秘匿通信路を介して異常検知グラフ６２を更新するための更新データ及び更新指示を受信した場合、異常検知部５３（更新部）は、受信した更新データに基づいて異常検知グラフ６２を更新する。なお、上述のように、パターン発見テーブル６３及び異常パターン論理式テーブル６４を更新することもできる。

【0133】

これにより、セキュアコンポーネント５０は、新たな異常４をセキュリティアノマリとして検知可能になる。なお、図７と同様の手順で、既存の異常の情報を変更すること、あるいは削除することもできる。

【0134】

図８はデバイス１００を経由した検知対象の更新の一例を示す図である。以下、図中の各処理を＃１～＃６として説明する。

【0135】

＃１（新たな検知対象の追加）：セキュリティアナリストは、デバイスメンテナンス担当者に対し、新たに追加すべき異常検知用データを（手渡し、郵送等の手段で）配布する。

【0136】

＃２（ＯＳへの入力）：デバイスメンテナンス担当者は、専用アプリの実行、異常検知パターン追加専用Ｉ／Ｆなど、ＯＳ２０が開設するＩ／Ｆ経由で、ＯＳ２０に対して異常検知用データを入力する。ここでは専用アプリを実行し、アプリ実行Ｉ／Ｆ２１へ入力したとする。

【0137】

＃３（異常検知用データのセキュアコンポーネントへの送信）：ＯＳ２０は、異常検知用データを、ＯＳ－セキュアコンポーネントＩ／Ｆ２３経由でセキュアコンポーネント５０へ送信する。

【0138】

＃４（異常検知部への通知）：セキュアコンポーネント５０は、受信した異常検知用データを異常検知部５３へ通知する。

【0139】

＃５（テーブルの更新）：異常検知部５３は、異常検知用データを元に、パターン発見テーブル６３及び異常パターン論理式テーブル６４に異常データパターンと異常を追加する。図８の例では、異常データパターン５として、新たに「ＦＦ００００」を追加した上で、新たな異常として異常４を定義（異常データパターン３と異常データパターン５の両方が発見された場合）している。

【0140】

＃６（異常検知グラフへの追加）：異常検知部５３は、異常検知グラフ６２に新たな異常データパターンを追加する。異常データパターンの追加は、図３を参照。

【0141】

上述のように、セキュアコンポーネント５０の異常検知部５３（更新部）は、セキュアコンポーネント５０を搭載したデバイス１００から異常検知グラフ６２を更新するための更新データ及び更新指示を取得した場合、取得した更新データに基づいて異常検知グラフ６２を更新することができる。なお、上述のように、パターン発見テーブル６３及び異常パターン論理式テーブル６４を更新することもできる。

【0142】

特に遠隔地やオフライン稼働するデバイスなど、ネットワークによる一括更新が難しいデバイスに対しては、ネットワークを経由せず手動更新する手段は有用であり、本実施形態は、こうしたオフラインでの異常検知用データの更新に対しても有効に機能する。

【0143】

本実施形態によれば、バイナリデータのデータストリームの入力によって、当該バイナリデータ種別に存在し得る複数の異常を並行検知できる。これにより、リッチＯＳ等の上位システムから、処理対象のデータストリームを流し込むだけで、セキュアコンポーネント５０上で異常を検知できる。上位システムとは独立、かつ負荷を与えずに異常を検知でき、デバイスの性能を低下させることなくマルウェアに対する保護を実現できる。

【0144】

また、本実施形態によれば、異常判定のためのロジック（異常検知グラフ６２、パターン発見テーブル６３及び異常パターン論理式テーブル６４）を、耐タンパ性を有するセキュアコンポーネント５０に保持（隠蔽）するので、マルウェア作成者等、攻撃者による検出パターン解析を防止し、攻撃者にバイパスのノウハウを与えない。

【0145】

（付記１）セキュアコンポーネントは、データストリームを取得する取得部と、複数の異常それぞれを示す異常データパターンを含み、複数の内部状態を通じて前記異常データパターンへの状態遷移を規定する異常検知モデルと、前記取得部で取得したデータストリームを前記異常検知モデルに入力し、前記データストリームに含まれる部分データ列に対応させて前記内部状態を遷移する遷移部と、前記データストリームに含まれるデータ列が前記異常データパターンに遷移した場合、異常を検知する検知部とを備える。

【0146】

（付記２）セキュアコンポーネントは、付記１において、前記異常検知モデルは、前記複数の内部状態に対応する複数のノードを含むツリー構造を有し、前記遷移部は、前記部分データ列に対応させて前記複数のノードの上位ノードから下位ノードに向かってノードを遷移する。

【0147】

（付記３）セキュアコンポーネントは、付記２において、前記複数のノードは、所定の部分データ列を保持し、前記上位ノードは、エッジを通じて下位ノードを参照する第１参照部を有し、前記下位ノードは、前記上位ノードが保持する部分データ列を、先頭データ列として含む部分データ列を保持する。

【0148】

（付記４）セキュアコンポーネントは、付記２又は付記３において、前記複数のノードそれぞれは、自信が保持する部分データ列の末尾から比較して最も長く一致する部分データ列を保持するノードを参照する第２参照部を有する。

【0149】

（付記５）セキュアコンポーネントは、付記１から付記４のいずれか一つにおいて、前記検知部は、前記データ列が遷移した異常データパターン又は異常データパターンの組合せに応じて、種類が異なる異常を検知する。

【0150】

（付記６）セキュアコンポーネントは、付記１から付記５のいずれか一つにおいて、前記取得部で取得したデータストリームを単位データ列に区分できるか否かを判定する判定部と、単位データ列に区分できない場合、前記データストリームに対して所定の前処理を行う前処理部とを備え、前記所定の前処理をしたデータストリームを前記異常検知モデルに入力する。

【0151】

（付記７）セキュアコンポーネントは、付記１から付記６のいずれか一つにおいて、外部装置との間で秘匿通信路を開設する開設部と、前記秘匿通信路を介して前記検知部で検知した異常を前記外部装置へ通知する通知部とを備える。

【0152】

（付記８）セキュアコンポーネントは、付記７において、前記秘匿通信路を介して前記セキュアコンポーネントを搭載したデバイスに対する遠隔操作指示を受信した場合、受信した遠隔操作指示を前記デバイスへ出力する出力部を備える。

【0153】

（付記９）セキュアコンポーネントは、付記７又は付記８において、前記秘匿通信路を介して前記異常検知モデルを更新するための更新データ及び更新指示を受信した場合、受信した更新データに基づいて前記異常検知モデルを更新する更新部を備える。

【0154】

（付記１０）セキュアコンポーネントは、付記１から付記９のいずれか一つにおいて、前記セキュアコンポーネントを搭載したデバイスから前記異常検知モデルを更新するための更新データ及び更新指示を取得した場合、取得した更新データに基づいて前記異常検知モデルを更新する更新部を備える。

【0155】

（付記１１）セキュアコンポーネントは、付記１から付記１０のいずれか一つにおいて、セキュアエレメント、トラステッド・プラットフォーム・モジュール又はトラステッド実行環境のいずれかにより構成される。

【0156】

（付記１２）デバイスは、前述のセキュアコンポーネントと通信するデバイスであって、前記デバイスは、前記セキュアコンポーネントが検知した異常に基づいて、前記デバイス自身、前記デバイス上で稼働しているＯＳ、及びアプリケーションの少なくとも一つの動作を変更する。

【0157】

（付記１３）異常検知方法は、前述のセキュアコンポーネントが検知した異常に基づいて、前記セキュアコンポーネントと通信するデバイスの異常を検知する。

【0158】

（付記１４）デバイス保護方法は、前述のセキュアコンポーネントが検知した異常に基づいて、前記セキュアコンポーネントを搭載したデバイスに対する遠隔操作指示を受信し、受信した遠隔操作指示に基づいて、前記デバイスの動作を制御する。

【0159】

（付記１５）異常検知モデル生成方法は、セキュアコンポーネントが有する異常検知モデルの生成方法であって、前記異常検知モデルは、複数のノードを含むツリー構造を有し、前記複数のノードは、所定の部分データ列を保持し、上位ノードは、エッジを通じて下位ノードを参照する第１参照部を有し、前記下位ノードは、前記上位ノードが保持する、異常データパターンの一部を構成する部分データ列を、先頭データ列として含む部分データ列を保持し、最下位のノードが保持する部分データ列が前記異常データパターンとなるように前記異常検知モデルを生成する。

【0160】

各実施形態に記載した事項は相互に組み合わせることが可能である。また、特許請求の範囲に記載した独立請求項及び従属請求項は、引用形式に関わらず全てのあらゆる組み合わせにおいて、相互に組み合わせることが可能である。さらに、特許請求の範囲には他の２以上のクレームを引用するクレームを記載する形式（マルチクレーム形式）を用いているが、これに限るものではない。マルチクレームを少なくとも一つ引用するマルチクレーム（マルチマルチクレーム）を記載する形式を用いて記載してもよい。

【符号の説明】

【0161】

１００ デバイス
１０ アプリケーション
２０ ＯＳ
２１ アプリ実行Ｉ／Ｆ
２２ ネットワークＩ／Ｆ
２３ ＯＳ－セキュアコンポーネントＩ／Ｆ
５０ セキュアコンポーネント
５１ データ入力部
５２ 外部通知部
５３ 異常検知部
５４ 秘匿通信部
５５ 入力データ前処理部
６１ データ入力バッファ
６２ 異常検知グラフ
６３ パターン発見テーブル
６４ 異常パターン論理式テーブル
２００ ＥＤＲサーバ
２１０ 端末装置

【図1】

【図2】

【図3】

【図4】

【図5】

【図6】

【図7】

【図8】