特開 2024-134110 マルウェア解析支援システム、マルウェア解析支援方法

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】公開特許公報(A)

(11)【公開番号】P2024134110

(43)【公開日】2024-10-03

(54)【発明の名称】マルウェア解析支援システム、マルウェア解析支援方法

(51)【国際特許分類】

   G06F 21/56 20130101AFI20240926BHJP

【ＦＩ】

G06F21/56

【審査請求】未請求

【請求項の数】8

【出願形態】ＯＬ

(21)【出願番号】P 2023044223

(22)【出願日】2023-03-20

(71)【出願人】

【識別番号】000005108

【氏名又は名称】株式会社日立製作所

(74)【代理人】

【識別番号】110002365

【氏名又は名称】弁理士法人サンネクスト国際特許事務所

(72)【発明者】

【氏名】山岸 伶

(72)【発明者】

【氏名】藤井 翔太

(72)【発明者】

【氏名】佐藤 隆行

(72)【発明者】

【氏名】西嶋 克哉

(57)【要約】

【課題】マルウェア解析の条件を考慮して、マルウェア解析を効率的にできるマルウェア解析支援システム、マルウェア解析支援方法を提供する。
【解決手段】
マルウェア解析を支援するマルウェア解析支援システムおよびマルウェア解析支援方法において、解析者計算機は、前記マルウェア解析の解析条件を入力する解析入力部と、前記解析条件に含まれるマルウェア解析目的に対応し、かつ前記マルウェア解析を通して収集される情報である解析目的情報を入力する解析目的入力部と、前記マルウェア解析の解析手順を表示する解析手順提案部と、を備え、分析用計算機は、前記解析条件と、前記解析目的情報と、過去の前記解析手順と、現状の前記解析手順とに基づいて、前記ユーザに推薦する前記解析手順を算出するための処理を実行する推薦解析手順作成部と、を備え、前記解析手順提案部は、前記推薦解析手順作成部で算出した前記解析手順をユーザに推薦する。
【選択図】図８

【特許請求の範囲】

【請求項1】

解析者計算機および分析用計算機を用いてユーザのマルウェア解析を支援するマルウェア解析支援システムであって、
前記解析者計算機は、前記マルウェア解析の解析条件を入力する解析入力部と、前記解析条件に含まれるマルウェア解析目的に対応し、かつ前記マルウェア解析を通して収集される情報である解析目的情報を入力する解析目的入力部と、前記マルウェア解析の解析手順を表示する解析手順提案部と、を備え、
前記分析用計算機は、前記解析条件と、前記解析目的情報と、過去の前記解析手順と、現状の前記解析手順とに基づいて、前記ユーザに推薦する前記解析手順を算出するための処理を実行する推薦解析手順作成部と、を備え、
前記解析手順提案部は、前記推薦解析手順作成部で算出した前記解析手順を前記ユーザに推薦する
マルウェア解析支援システム。

【請求項2】

請求項１に記載のマルウェア解析支援システムであって、
前記分析用計算機は、前記解析者計算機で入力された前記解析目的情報に基づいて、前記ユーザに推薦するための推薦解析目的情報を算出する解析目的情報推薦部を備え、
前記解析用計算機は、算出した前記推薦解析目的情報を前記ユーザに提示し、かつ前記推薦解析目的情報に基づいて前記ユーザが入力する当該解析目的情報を受け付ける推薦解析目的情報入力部を備える
マルウェア解析支援システム。

【請求項3】

請求項２に記載のマルウェア解析支援システムであって、
前記解析者計算機は、前記解析者計算機での作業をトラッキングし、現状の前記解析手順を自動的に作成する手順入力補助機能部を備える
マルウェア解析支援システム。

【請求項4】

請求項３に記載のマルウェア解析支援システムであって、
前記分析用計算機は、前記解析手順の一部の実行方法を事前に定義し、定義した前記実行方法に従って前記解析手順を自動実行する解析手順実行部を備える
マルウェア解析支援システム。

【請求項5】

請求項２に記載のマルウェア解析支援システムであって、
前記分析用計算機は、前記マルウェア解析の結果に基づいて解析報告書を作成し、前記解析報告書を前記ユーザに提示する解析報告書作成部を備える
マルウェア解析支援システム。

【請求項6】

請求項５に記載のマルウェア解析支援システムであって、
前記分析用計算機は、前記マルウェア解析の結果に基づいて、外部セキュリティ機器と連携する外部機器連携部を備える
マルウェア解析支援システム。

【請求項7】

請求項１に記載のマルウェア解析支援システムであって、
前記解析者計算機は、過去の前記解析手順と現状の前記解析手順から、当該解析手順の進捗率を算出し、算出した前記進捗率を前記ユーザに提示する
マルウェア解析支援システム。

【請求項8】

解析者計算機および分析用計算機を用いてユーザのマルウェア解析を支援するマルウェア解析支援方法であって、
前記解析者計算機は、前記マルウェア解析の解析条件と、前記解析条件に含まれるマルウェア解析目的に対応し、かつ前記マルウェア解析を通して収集される情報である解析目的情報とを、前記ユーザから入力受け付けし、
前記分析用計算機は、前記解析条件と、前記解析目的情報と、過去の解析手順と、現状の前記解析手順とから前記ユーザに推薦する当該解析手順を算出し、
前記解析者計算機は、算出した当該解析手順を前記ユーザに推薦する
マルウェア解析支援方法。

【発明の詳細な説明】

【技術分野】

【0001】

本発明は、マルウェア解析支援システム、マルウェア解析支援方法に関する。

【背景技術】

【0002】

悪意のあるソフトウェア（マルウェア）を利用したサイバー攻撃を防ぐために、一般的には、マルウェアの機能や挙動を把握することでサイバー対策を行う。このようなマルウェア解析は、情報セキュリティの一環として行われる。情報セキュリティ検査の例として、特許文献１には、複数の検査装置により行われたセキュリティ検査にかかわる活動履歴の情報を検査支援装置が受信し、受信した活動履歴から適合する条件を特定し、関連する活動履歴を生成することで、セキュリティ検査を効率的に行うことを可能にする技術が開示されている。

【先行技術文献】

【特許文献】

【0003】

【特許文献1】国際公開２０２１／１２４５３８号

【発明の概要】

【発明が解決しようとする課題】

【0004】

マルウェア解析は、解析目的、入手したい情報、解析対象のマルウェアファミリ、バージョン、解析環境等の解析条件によって、解析手順が複雑に変化する。同一のマルウェアを解析する場合であっても解析手順が異なるケースが発生し、例えば、ブラックリスト更新目的でのマルウェア解析では、ファイルハッシュや接続先の攻撃者サーバのドメインやＩＰアドレスを入手するための解析手順になる一方で、マルウェア感染後の復旧目的でのマルウェア解析では、マルウェア除去に関わる情報を入手するための解析手順になる。

【0005】

このように、マルウェア解析においての解析条件によって解析手順が異なることを考慮すると、特許文献１に記載の技術では、活動履歴にのみ基づいて活動を生成することから、マルウェア解析を効率的に行えない課題が生じる。

【課題を解決するための手段】

【0006】

解析用計算機および分析用計算機を用いてユーザのマルウェア解析を支援するマルウェア解析支援システムであって、前記解析者計算機は、前記マルウェア解析の解析条件を入力する解析入力部と、前記解析条件に含まれるマルウェア解析目的に対応し、かつ前記マルウェア解析を通して収集される情報である解析目的情報を入力する解析目的入力部と、前記マルウェア解析の解析手順を表示する解析手順提案部と、を備え、前記分析用計算機は、前記解析条件と、前記解析目的情報と、過去の前記解析手順と、現状の前記解析手順とに基づいて、前記ユーザに推薦する前記解析手順を算出するための処理を実行する推薦解析手順作成部と、を備え、前記解析手順提案部は、前記推薦解析手順作成部で算出した前記解析手順をユーザに推薦する。

【発明の効果】

【0007】

本発明によれば、マルウェア解析の条件を考慮して、マルウェア解析を効率的にできるマルウェア解析支援システム、マルウェア解析支援方法を提供できる。

【図面の簡単な説明】

【0008】

【図1】本発明の第１実施形態に係る、マルウェア解析支援システムのハードウェア・ソフトウェア構成の一例を示す図

【図2】図１の分析用計算機の機能構成図の一例を示す図

【図3】図１の解析者計算機の機能構成図の一例を示す図

【図4】図１の解析者計算機に表示する解析画面の一例を示す図

【図5】図２の解析履歴テーブルのデータ構成の一例を示す図

【図6】図２の解析目的テーブルのデータ構成の一例を示す図

【図7】図２の解析手順テーブルのデータ構成の一例を示す図

【図8】本発明の第１実施形態に係る、全体処理を示すシーケンス図の一例を示す図

【図9】図８の解析入力処理を示すフローチャートの一例を示す図

【図10】図８の解析目的情報入力処理を示すフローチャートの一例を示す図

【図11】図８のマルウェア解析手順支援処理を示すフローチャートの一例を示す図

【図12】図１１の推薦解析手順作成処理を示すフローチャートの一例を示す図

【図13】図８の解析手順提案処理を示すフローチャートの一例を示す図

【図14】本発明の第２実施形態に係る、全体処理を示すシーケンス図の一例を示す図

【図15】図１４の解析目的情報推薦処理を示すフローチャートの一例を示す図

【図16】図１４の推薦解析目的情報入力処理を示すフローチャートの一例を示す図

【0009】

以下、図面を参照して本発明の実施形態を説明する。以下の記載および図面は、本発明を説明するための例示であって、説明の明確化のため、適宜、省略および簡略化がなされている。本発明は、他の種々の形態でも実施する事が可能である。特に限定しない限り、各構成要素は単数でも複数でも構わない。

【0010】

図面において示す各構成要素の位置、大きさ、形状、範囲などは、発明の理解を容易にするため、実際の位置、大きさ、形状、範囲などを表していない場合がある。このため、本発明は、必ずしも、図面に開示された位置、大きさ、形状、範囲などに限定されない。

【0011】

また、各種情報の例として、「テーブル」等の表現で説明するが、各種情報はこれら以外のデータ構造で表現されてもよい。

【0012】

（本発明の第１実施形態と全体構成）
（図１）
マルウェア解析支援システム１００は、解析者計算機１１０、分析用計算機１２０、を有して構成されているが、マルウェア解析者（ユーザ）がマルウェアを解析するためのマルウェア解析環境１３０を含んでもよい。

【0013】

解析者計算機１１０は、ユーザが操作する端末であり、マルウェア解析のための解析条件や解析手順等を入力したり、推薦する解析手順をユーザに提示したりする機能を有する。解析者計算機１１０は、ハードウェア構成として、プロセッサ１１１、主記憶装置１１２、副記憶装置１１３、入出力装置１１４、ＮＷＩＦ１１５、これらを接続するバスバ１１６等を有している。なお、解析者計算機１１０は、一般的なサーバ装置や、パーソナルコンピュータや、携帯端末などの情報処理装置で実現できる。

【0014】

プロセッサ１１１は、解析者計算機１１０の各機能部を制御し、副記憶装置１１３に記憶されたデータやプログラムを主記憶装置１１２に読み出して、プログラムによって定められた処理を実行する。

【0015】

主記憶装置１１２は、例えばＲＡＭ（Random Access Memory）などであり、揮発性記憶素子を有し、プロセッサ１１１が実行するプログラムや、データを記憶している。副記憶装置１１３は、ＨＤＤ（Hard Disk Drive）やＳＳＤ（Solid State Drive）などであり、不揮発性記憶素子を有している。

【0016】

入出力装置１１４は、キーボードやマウスなどのユーザの操作を受け付ける入力装置や、タッチパネルやディスプレイやスピーカーなどの情報を表示する出力装置を含む。解析者計算機１１０は、このような入力装置を用いてユーザの操作により入力された情報を取得できる。また、このような出力装置を用いて、例えば画面への表示によってユーザに対して入力された情報を提示できる。ユーザに提示する情報の一例は、後述の図４の解析画面４００である。

【0017】

ＮＷＩＦ１１５は、ネットワークに接続されている。ネットワークは解析者計算機１１０と、分析用計算機１２０と、マルウェア解析環境１３０をつなぎ、解析者計算機１１０は、ネットワークを介してデータの送受信を行うことができる。

【0018】

分析用計算機１２０は、ユーザが操作する端末であり、マルウェア解析のための条件や手順等を入力したり、推薦する手順をユーザに提示したりする機能を有する。分析用計算機１２０は、ハードウェア構成として、プロセッサ１２１、主記憶装置１２２、副記憶装置１２３、入出力装置１２４、ＮＷＩＦ１２５、これらを接続するバスバ１２６等を有している。なお、分析用計算機１２０は、一般的なサーバ装置や、パーソナルコンピュータや、携帯端末などの情報処理装置で実現することができる。

【0019】

プロセッサ１２１は、分析用計算機１２０の各機能部を制御し、副記憶装置１２３に記憶されたデータやプログラムを主記憶装置１２２に読み出して、プログラムによって定められた処理を実行する。

【0020】

主記憶装置１２２は、ＲＡＭなどであり、揮発性記憶素子を有し、プロセッサ１２１が実行するプログラムや、データを記憶している。副記憶装置１２３は、ＨＤＤ（Hard Disk Drive）やＳＳＤ（Solid State Drive）などであり、不揮発性記憶素子を有している。

【0021】

入出力装置１２４は、キーボードやマウスなどのユーザの操作を受け付ける入力装置や、タッチパネルやディスプレイやスピーカーなど情報を表示する出力装置を含む。分析用計算機１２０は、入力装置を用いてユーザの操作により入力された情報を取得でき、また、出力装置を用いて、例えば画面への表示によりユーザに情報を提示できる。ユーザに提示する情報の一例は、後述の図４の解析画面４００である。

【0022】

ＮＷＩＦ１２５は、ネットワークに接続されている。ネットワークは解析者計算機１１０と、分析用計算機１２０と、マルウェア解析環境１３０をつなぎ、分析用計算機１２０は、ネットワークＮＷを介してデータの送受信を行うことができる。

【0023】

マルウェア解析環境１３０は、解析者計算機１１０から推薦される解析手順に合わせてユーザがマルウェア解析を実行する環境であり、例えばサンドボックスである。なお、マルウェア解析環境１３０は、物理計算機や仮想環境で構成されていてもよく、例えば解析者計算機１１０の中に存在していてもよい。

【0024】

（図２）
分析用計算機１２０は、機能部として、マルウェア解析手順支援部２０１、推薦解析手順作成部２０２、解析目的情報推薦部２０３、解析手順実行部２０４、解析報告書作成部２０５、外部機器連携部２０６を有する。また、分析用計算機１２０の副記憶装置１２３は、解析履歴テーブル１２３ａ、解析目的テーブル１２３ｂ、解析手順テーブル１２３ｃを格納している。分析用計算機１２０は、前述したプロセッサ１２１が副記憶装置１２３に記憶されたプログラムを主記憶装置１２２に読みだして各処理を実行する。

【0025】

マルウェア解析手順支援部２０１は、マルウェア解析手順をユーザに推薦するためのマルウェア解析手順支援処理を実行する。マルウェア解析手順支援処理については、図１１で後述する。

【0026】

推薦解析手順作成部２０２は、ユーザに推薦するマルウェア解析手順を算出する推薦解析手順作成処理を実行する。推薦解析手順作成処理については、図１２で後述する。

【0027】

解析目的情報推薦部２０３は、解析目的情報推薦処理を実行する。解析目的情報推薦処理については、第２実施形態（図１５）で後述する。

【0028】

解析手順実行部２０４は、ユーザの負担削減を目的として、マルウェア解析手順の一部の実行方法を事前に定義し、定義した実行方法に従いマルウェア解析手順を自動実行する。解析手順実行部２０４の解析手順実行処理については、第３実施形態で後述する。

【0029】

解析報告書作成部２０５は、マルウェア解析目的ごとに事前に定義した解析報告書のテンプレートと、解析手順テーブル１２３ｃの情報と、に基づいて解析報告書を作成する。解析報告書作成部２０５で用いられる解析報告書作成処理については、第４実施形態で後述する。

【0030】

外部機器連携部２０６は、外部セキュリティ機器と連携する。外部機器連携部２０６の外部機器連携処理については、第４実施形態で後述する。

【0031】

分析用計算機１２０の副記憶装置１２３の解析履歴テーブル１２３ａについては、図５で詳細を後述する。解析目的テーブル１２３ｂについては、図６で詳細を後述する。解析手順テーブル１２３ｃについては、図７で詳細を後述する。

【0032】

（図３）
解析者計算機１１０は、解析入力部３０１、解析目的入力部３０２、解析手順提案部３０３、推薦解析目的情報入力部３０４、手順入力補助機能部３０５、事後対応提案部３０６を有する。解析者計算機１１０は、プロセッサ１１１が副記憶装置１１３に記憶されたプログラムを主記憶装置１１２に読みだして、各処理を実行する。

【0033】

解析入力部３０１は、ユーザがマルウェア解析に関わる解析条件を入力するための解析入力処理を実行する。解析入力処理については、後述の図９で説明する。

【0034】

解析目的入力部３０２は、ユーザがマルウェア解析の解析目的として設定する解析目的情報を入力するための解析目的情報入力処理を実行する。解析目的情報入力処理については、後述の図１０で説明する。

【0035】

解析手順提案部３０３は、ユーザに推薦するマルウェア解析手順を出力する解析手順提案処理を実行する。解析手順提案処理については、後述の図１３で説明する。

【0036】

推薦解析目的情報入力部３０４は、推薦解析目的情報入力処理を実行する。推薦解析目的情報入力処理については、図１６（第２実施形態）で後述する。

【0037】

手順入力補助機能部３０５は、ユーザの負担削減を目的として、解析者計算機１１０での作業をトラッキングし、現状の解析手順を自動的に作成する手順入力補助機能処理を実行する。手順入力補助機能処理については、第３実施形態で後述する。

【0038】

事後対応提案部３０６は、解析報告書作成部２０５（図２）で作成された解析報告書を提示し、外部機器連携部２０６での実行可否をユーザに求める。事後対応提案部３０６の処理については、第４実施形態で後述する。

【0039】

（図４）
解析者計算機１１０に表示される解析画面４００は、解析条件入力部４０１、解析目的情報入力部４０２、解析手順入力・提案部４０３を有し、ユーザに対して表示する。解析画面４００は、例えば、実行形式のアプリケーション、ＷＥＢページ、ブラウザ拡張機能などで実装される。

【0040】

解析画面４００の解析条件入力部４０１は、解析入力部３０１の解析入力処理（図９参照）に必要な各解析条件についての入力を受け付けるための画面である。ここでいう解析条件とは、例えば、解析目的、検体ハッシュ、解析環境、検体ファミリ、解析者ＩＤ、解析者熟練度である。

【0041】

解析画面４００の解析目的情報入力部４０２は、解析目的入力部３０２の解析目的情報入力処理（図１０参照）に必要な解析目的情報の入力を受け付けるための画面である。

【0042】

解析画面４００の解析手順入力・提案部４０３は、解析手順提案部３０３の解析手順提案処理（図１３参照）に関わり、推薦された手順を出力するための画面である。

【0043】

（図５）
解析履歴テーブル１２３ａは、一つのマルウェア解析目的をもって実施された解析単位ごとに作成され、マルウェア解析に係る情報を格納している。解析履歴テーブル１２３ａは、解析履歴ＩＤ５０１、解析目的５０２、検体ハッシュ５０３、検体ファミリ５０４、解析環境５０５、解析者ＩＤ５０６、解析者熟練度５０７、解析目的ＩＤ５０８、解析手順ＩＤ５０９をフィールドとするレコードを格納している。

【0044】

解析履歴ＩＤ５０１は、一つのマルウェア解析を一意に識別するために割り当てた識別子を格納するフィールドである。解析履歴ＩＤ５０１は、例として数字が割り当てられている。

【0045】

解析目的５０２は、ユーザがマルウェア解析を実施する解析目的に関する情報を格納している。解析目的５０２には、例えば、インシデントレスポンスやブラックリスト更新などが含まれる。

【0046】

検体ハッシュ５０３は、解析対象であるマルウェアを識別・保管するための情報を、ハッシュ値として格納している。格納されるハッシュ値は、例えば、ＳＨＡ２５６やＭＤ５である。なお、検体ハッシュ５０３の目的は、解析対象となるマルウェアの識別と保管であるため、別の副記憶装置に実際の検体を保管し、その保管場所へのパスを記録するようにしてもよい。

【0047】

検体ファミリ５０４は、解析対象のマルウェアのファミリやバージョンに関する情報を格納している。検体ファミリ５０４には、例えば、ＦｏｒｍＢｏｏｋやＡｇｅｎｔＴｅｓｌａなどのマルウェアが格納される。なお、解析対象のマルウェアのファミリが不明な場合は、不明・ＮＯＮＥ等の指示内容を格納してもよい。

【0048】

解析環境５０５は、マルウェア解析環境１３０に関する情報を格納するフィールドである。解析環境５０５には、例えば、サンドボックス名、解析環境名、環境を識別するために割り当てた識別子、を格納する。

【0049】

解析者ＩＤ５０６は、マルウェア解析を実施したユーザを一意に識別するために割り当てた識別子を格納するフィールドである。解析者ＩＤ５０６は、例として数字が割り当てられている。

【0050】

解析者熟練度５０７は、マルウェア解析手順の有効性を判別することを目的に、マルウェア解析を実施したユーザの解析に対する熟練度についての情報を格納するためのフィールドである。解析者熟練度５０７には、例えば、熟練度を表すＨｉｇｈ、Ｌｏｗといった単語、熟練度を数値化した値等が格納される。

【0051】

解析目的ＩＤ５０８は、実施しているマルウェア解析に関連する解析目的テーブル１２３ｂのフィールドを、一意に識別するために割り当てた識別子を格納するフィールドである。解析履歴テーブル１２３ａの解析目的ＩＤ５０８の値と同一の値である解析目的テーブル１２３ｂの解析目的ＩＤ５０８に格納するカラムが、関連する解析目的であるとみなされる。解析目的ＩＤ５０８は、例として数字が割り当てられている。

【0052】

解析手順ＩＤ５０９は、実施しているマルウェア解析に関連する解析手順テーブル１２３ｃのフィールドを、一意に識別するために割り当てた識別子を格納するフィールドである。解析履歴テーブル１２３ａの解析手順ＩＤ５０９の値と、同一の値である解析手順テーブル１２３ｃの解析手順ＩＤ５０９に格納するカラムが、関連する解析手順であるとみなされる。解析手順ＩＤ５０９は、例として数字が割り当てられている。

【0053】

（図６）
解析目的テーブル１２３ｂは、設定された解析目的単位に作成されており、解析目的と、目的に応じてマルウェア解析で収集する解析目的情報とを格納している。解析目的テーブル１２３ｂは、解析目的ＩＤ５０８、解析目的６０２、推薦解析目的情報６０３、解析目的情報６０４をフィールドとするレコードを格納している。

【0054】

解析目的ＩＤ５０８は、一つの解析目的を一意に識別するために割り当てた識別子を格納するフィールドである。解析目的ＩＤ５０８は、例として数字が割り当てられている。

【0055】

解析目的６０２は、ユーザがマルウェア解析を実施する目的に関する解析目的情報を格納している。解析目的６０２には、例えば、インシデントレスポンスやブラックリスト更新などが含まれる。

【0056】

推薦解析目的情報６０３は、解析目的情報推薦部２０３（図２）にて推薦された推薦解析目的情報を格納するフィールドである。なお推薦解析目的情報６０３は、第２実施形態で用いられるため、第１実施形態では推薦解析目的情報６０３の欄は空欄でもよい。ここでいう解析目的情報とは、設定した解析目的に対応し、かつ設定した解析目的を達成するために、マルウェア解析を通して収集する情報の種類のことである。推薦解析目的情報６０３には、例えば、攻撃者サーバのドメイン名やマルウェアの永続化手法などが格納される。

【0057】

解析目的情報６０４は、ユーザが実際に設定した解析目的情報を格納するフィールドである。解析目的情報６０４には、例えば、攻撃者サーバのドメイン名やマルウェアの永続化手法（停止後に再度動作するためのマルウェアの機能）などが格納される。

【0058】

（図７）
解析手順テーブル１２３ｃは、一連のマルウェア解析手順単位で作成され、マルウェア解析手順に関わる情報を格納している。解析手順テーブル１２３ｃは、解析手順ＩＤ５０９、解析目的情報７０２、解析環境７０３、ファミリ名７０４、推薦解析手順７０５、解析手順７０６、ツール７０７、結果７０８をフィールドとするレコードを格納している。

【0059】

解析手順ＩＤ５０９は、一連のマルウェア解析手順を一意に識別するために割り当てた識別子を格納するフィールドである。解析手順ＩＤ５０９は、例として数字が割り当てられている。

【0060】

解析目的情報７０２は、ユーザが実際に設定した解析目的情報を格納するフィールドである。解析目的情報７０２には、例えば、攻撃者サーバのドメイン名やマルウェアの永続化手法などが格納される。

【0061】

解析環境７０３は、マルウェア解析環境１３０に関する情報を格納するフィールドである。解析環境７０３には、例えば、サンドボックス名や解析環境名やあるいは環境を識別するために割り当てた識別子を格納する。

【0062】

ファミリ名７０４は、解析対象のマルウェアのファミリやバージョンに関する情報を格納している。ファミリ名７０４には、例えば、ＦｏｒｍＢｏｏｋやＡｇｅｎｔＴｅｓｌａなどが格納される。また、解析対象のファミリが不明な場合は、不明やＮＯＮＥなどの結果情報を格納してもよい。

【0063】

推薦解析手順７０５は、推薦解析手順作成部２０２にてユーザに推薦するためのマルウェア解析手順を格納するフィールドである。推薦解析手順７０５には、例えば、レピュテーションサイトでのドメイン検索や通信ログの分析などのマルウェア解析に関するタスクが格納される。

【0064】

解析手順７０６は、マルウェア解析手順を格納するフィールドである。解析手順７０６には、例えば、レピュテーションサイトでのドメイン検索、通信ログの分析などのマルウェア解析に関するタスクが格納される。

【0065】

ツール７０７は、解析手順７０６の各手順に対応し、手順で活用したツールや閲覧したＷＥＢページ名が格納されるフィールドである。ツール７０７には、レピュテーションサイトの名称、通信ロギングに用いたツール名、解析に用いたツール名が格納される。

【0066】

結果７０８は、解析手順７０６の各手順に対応し、手順を遂行した結果、得られる値が格納されるフィールドである。結果７０８には、例えば、example[.]com（「攻撃者サーバのドメイン名候補を事前にレピュテーションサイトで調査」についての手順を実施した結果）が格納される。

【0067】

（図８）
図８に示す本発明のマルウェア解析支援システム１００のシーケンス図には、解析者計算機１１０および分析用計算機１２０が実施する処理と、送受信する情報とが記載されている。なお、本発明の第１実施形態では、解析者計算機１１０では、解析入力部３０１、解析目的入力部３０２、解析手順提案部３０３が用いられ、分析用計算機１２０では、マルウェア解析手順支援部２０１、推薦解析手順作成部２０２が用いられる。

【0068】

ユーザは、解析画面４００（図４）に表示されている解析条件入力部４０１に、マルウェア解析に関する解析条件を入力する。解析者計算機１１０は、ユーザから入力された解析条件に関する各種情報に基づいて、解析入力部３０１（図３）で解析入力処理（図９参照）を実行する（ステップＳ８０１）。

【0069】

さらにユーザは、解析目的情報入力部４０２にマルウェア解析の目的として設定する解析目的情報を入力し、解析者計算機１１０は、ユーザから入力された解析目的情報に基づいて、解析目的入力部３０２で解析目的情報入力処理（図１０参照）を実行する（ステップＳ８０２）。

【0070】

ステップＳ８０２以降は、ループ処理となり、任意のタイミングで処理が実行される。ループする条件は、例えば、新規情報が入力された場合やボタンでユーザが更新を入力した場合などである。

【0071】

ステップＳ８０２以降の最初のループ処理の工程として、解析者計算機１１０は、解析画面４００に表示されている解析条件入力部４０１、解析目的情報入力部４０２に入力された解析目的、検体ハッシュ、解析環境、検体ファミリ、解析者ＩＤ、解析者熟練度、解析目的情報、現状の解析手順の情報を、分析用計算機１２０に送信する。分析用計算機１２０のマルウェア解析手順支援部２０１は、受信した各種情報に基づいてマルウェア解析手順支援処理（図１１参照）を実行する（ステップＳ８０３）。

【0072】

マルウェア解析手順支援処理で出力したユーザに推薦するマルウェア解析手順は、分析用計算機１２０から解析者計算機１１０に送信される。解析者計算機１１０は、受信したマルウェア解析手順に基づいて、解析手順提案部３０３で解析手順提案処理（図１３参照）を実行する（ステップＳ８０４）。

【0073】

（図９）
解析者計算機１１０において、解析条件入力部４０１（図４）にユーザから入力されるマルウェア解析の各種情報に基づいて実行される、解析入力処理（図８：ステップＳ８０１）について説明する。解析者計算機１１０は、解析条件である解析目的、検体ハッシュ、解析環境、検体ファミリ、解析者ＩＤ、解析者熟練度をユーザに入力してもらうため、解析条件入力部４０１をユーザに提示する（ステップＳ９０１）。

【0074】

解析者計算機１１０は、解析条件入力部４０１にユーザから入力があったかを判定する（ステップＳ９０２）。入力があったと判定された場合（ステップＳ９０２：ＹＥＳ）は、ステップＳ９０３に進む。一方、入力されていないと判定された場合（ステップＳ９０２：ＮＯ）は、ステップＳ９０１に進み、ループ処理となる。

【0075】

解析者計算機１１０は、ユーザから入力された解析目的、検体ハッシュ、解析環境、検体ファミリ、解析者ＩＤ、解析者熟練度を、分析用計算機１２０に送信する（ステップＳ９０３）。

【0076】

（図１０）
解析者計算機１１０において、解析目的情報入力部４０２（図４）にユーザから入力されるマルウェア解析の解析目的として設定される解析目的情報に基づいて実行される、解析目的情報入力処理（図８：ステップＳ８０２）について説明する。解析者計算機１１０は、解析目的情報をユーザに入力してもらうため、解析目的情報入力部４０２を提示する（ステップＳ１００１）。この解析目的情報とは、ユーザから入力されるマルウェア解析条件に対応し、かつマルウェア解析を通して収集される情報である。

【0077】

解析者計算機１１０は、解析目的情報入力部４０２にユーザの入力があったかを判定する（ステップＳ１００２）。入力があったと判定された場合（ステップＳ９０２：ＹＥＳ）は、ステップＳ１００３に進む。一方、入力されていないと判定された場合（ステップＳ９０２：ＮＯ）は、ステップＳ１００１に進み、ループ処理となる。

【0078】

解析者計算機１１０は、ユーザから入力された解析目的情報を、分析用計算機１２０に送信する（ステップＳ１００３）。

【0079】

（図１１）
分析用計算機１２０において、マルウェア解析手順支援部２０１および推薦解析手順作成部２０２（図２）のマルウェア解析手順支援処理（図８：ステップＳ８０３、ステップＳ８０４）について説明する。

【0080】

解析者計算機１１０において実行されたステップＳ９０３（図９）やステップＳ１００３（図１０）の処理後に、マルウェア解析手順支援部２０１は、解析者計算機１１０から解析条件および解析目的情報（解析目的、検体ハッシュ、解析環境、検体ファミリ、解析者ＩＤ、解析者熟練度、解析目的情報一覧）を取得する（ステップＳ１１０１）。

【0081】

マルウェア解析手順支援部２０１は、解析目的テーブル１２３ｂ（図６）の解析目的６０２、解析目的情報６０４を更新し、さらに解析履歴テーブル１２３ａ（図５）の解析目的５０２、検体ハッシュ５０３、検体ファミリ５０４、解析環境５０５、解析者ＩＤ５０６、解析者熟練度５０７を更新する（ステップＳ１１０２）。

【0082】

なお、過去にマルウェア解析の解析目的に関する情報の登録がなかった場合には、分析用計算機１２０は、新規にカラムを作成し、解析者計算機１１０において解析手順入力・提案部４０３に入力された現状の解析手順を取得する（ステップＳ１１０３）。

【0083】

推薦解析手順作成部２０２は、解析手順テーブル１２３ｃ（図７）を参照し、過去の解析手順を取得する（ステップＳ１１０４）。推薦解析手順作成部２０２は、解析手順テーブル１２３ｃから取得した過去の解析手順と、ユーザから入力された解析条件および解析目的情報と、現状の解析手順とに基づいて、ユーザに推薦する解析手順を算出し作成する推薦解析手順作成処理を実行する（ステップＳ１１０５）。

【0084】

分析用計算機１２０は、推薦解析手順作成処理で作成したユーザに推薦する解析手順を、解析者計算機１１０に送信する（ステップＳ１１０６）。

【0085】

（図１２）
分析用計算機１２０の推薦解析手順作成部２０２について説明する。解析者計算機１１０の解析手順提案部３０３の処理が実行される（図１３で後述）ことで、分析用計算機１２０の推薦解析手順作成部２０２では、ユーザから入力された解析目的情報一覧のそれぞれの情報に対して、過去の解析手順と類似した解析手順を抽出してユーザに推薦する、解析手順提案処理が行われる（ステップＳ１２０１）。

【0086】

なお、類似している過去の解析手順かどうかの判定方法として、解析目的情報、解析環境、ファミリ名、現状のマルウェア解析手順を活用する。また、マルウェア解析手順の推薦方法は、例えば、グラフニューラルネットワークなどの手法を用いるが、本発明はこのアルゴリズムによらない。

【0087】

（図１３）
解析者計算機１１０の解析手順提案部３０３の処理について説明する。解析者計算機１１０の解析手順提案部３０３は、分析用計算機１２０の推薦解析手順作成部２０２による解析手順提案処理（図１２：ステップＳ１２０１）が実行されると、ユーザに推薦するマルウェア解析手順を分析用計算機１２０から受信する（ステップＳ１３０１）。解析者計算機１１０は、ユーザに推薦するマルウェア解析手順を解析手順入力・提案部４０３（図４）に出力する。同時に、解析者計算機１１０はユーザに対して、実際のマルウェア解析手順、ツール、結果の入力を求める（ステップＳ１３０２）。

【0088】

解析者計算機１１０は、解析手順入力・提案部４０３にユーザの入力があったかを判定する（ステップＳ１３０３）。入力があったと判定された場合（ステップＳ１３０３：ＹＥＳ）は、ステップＳ１３０４に進む。一方、入力されていないと判定された場合（ステップＳ１３０３：ＮＯ）は、ステップＳ１３０５に進む。

【0089】

解析者計算機１１０は、ユーザにより入力された実際のマルウェア解析手順、ツール、結果に基づいて、再び解析手順提案部３０３の処理を実行し、マルウェア解析手順支援処理の再実行を分析用計算機１２０に指示する（ステップＳ１３０４）。この際に、分析用計算機１２０は、解析手順テーブル１２３ｃの解析手順７０６、ツール７０７、結果７０８を更新してもよい。ステップＳ１３０４が完了すると、再びステップＳ１３０１を実行する。

【0090】

解析者計算機１１０は、解析手順入力・提案部４０３（図４）にユーザの入力がなかった場合、ユーザの入力がすべて完了したかを判定する（ステップＳ１３０５）。入力が完了した場合（ステップＳ１３０３：ＹＥＳ）は、フローを終了する。一方、入力が完了していない場合（ステップＳ１３０３：ＮＯ）は、ステップＳ１３０２を実行する。

【0091】

以上本発明は、ユーザから入力されるマルウェア解析条件および解析目的情報と、過去および現状のマルウェア解析手順とに基づいて、過去の解析手順と類似した解析手順をユーザに推薦する。また、ユーザから入力された実際の解析手順、ツール、結果を考慮して、再びユーザに推薦するマルウェア解析手順を作成する処理を行う。このようにしたことで、マルウェア解析の条件を考慮して、マルウェア解析を効率的にできるマルウェア解析支援システム１００を実現できる。

【0092】

なお、分析用計算機１２０において、過去のマルウェア解析手順と現状のマルウェア解析手順を比較して、マルウェア解析手順の進捗率を算出して、解析者計算機１１０が算出したマルウェア解析手順の進捗率をユーザに表示するようにしてもよい。

【0093】

（第２実施形態）
（図１４）
第２実施形態に示すマルウェア解析支援システム１００は、マルウェア解析の目的に対応した解析目的情報をユーザに推薦する。なお、第２実施形態では、第１実施形態で用いられた解析者計算機１１０および分析用計算機１２０の各機能部に加えて、解析者計算機１１０では推薦解析目的情報入力部３０４（図３）が用いられ、分析用計算機１２０では解析目的情報推薦部２０３（図２）が用いられる。

【0094】

分析用計算機１２０の解析目的情報推薦部２０３は、ユーザから入力される解析目的に基づいて、設定すべき解析目的情報を算出してユーザに推薦する、解析目的情報推薦処理を実行する（詳細は図１５で後述）。

【0095】

解析者計算機１１０の推薦解析目的情報入力部３０４は、推薦解析目的情報入力処理を実行する（詳細は図１６で後述）。推薦解析目的情報入力処理では、まず、解析目的情報推薦部２０３で算出したユーザに推薦する推薦解析目的情報を取得し、解析目的情報入力部４０２（図４）に出力提示する。そしてユーザは、出力提示した推薦解析目的情報に基づいて判断して決定した解析目的情報を、解析目的情報入力部４０２に入力する。

【0096】

第２実施形態のマルウェア解析支援システム１００のシーケンス図について説明する。解析者計算機１１０は、解析入力処理（ステップＳ１４０１）において入力処理された解析目的、検体ハッシュ、解析環境、検体ファミリ、解析者ＩＤ、解析者熟練度の情報を、分析用計算機１２０に送信する。分析用計算機１２０は、解析者計算機１１０から受信した情報に基づいて、解析目的情報推薦部２０３（図２）で解析目的情報推薦処理を実行する（ステップＳ１４０２）。

【0097】

分析用計算機１２０は、解析目的情報推薦処理によって算出したユーザに推薦する推薦解析目的情報を、解析者計算機１１０に送信する。解析者計算機１１０は、取得した推薦解析目的情報に基づいて、推薦解析目的情報入力処理を実行する（ステップＳ１４０３）。以降のループ処理は、前述した第１実施形態の図８のループ処理と同様である。

【0098】

（図１５）
分析用計算機１２０の処理フロー（図１４：ステップＳ１４０２）について説明する。分析用計算機１２０の解析目的情報推薦部２０３は、解析者計算機１１０から、解析目的、検体ハッシュ、解析環境、検体ファミリ、解析者ＩＤ、解析者熟練度を取得する（ステップＳ１５０１）。

【0099】

解析目的情報推薦部２０３は、解析者計算機１１０から取得した各情報に基づいて、解析履歴テーブル１２３ａの、解析目的、検体ハッシュ、解析環境、検体ファミリ、解析者ＩＤ、解析者熟練度を更新する（ステップＳ１５０２）。

【0100】

解析目的情報推薦部２０３は、解析目的テーブル１２３ｂ（図６）を参照し、解析者計算機１１０から取得した解析目的と一致する解析目的を有する行の解析目的情報を、一覧として解析目的テーブル１２３ｂから取得する（ステップＳ１５０３）。解析目的情報推薦部２０３は、解析目的テーブル１２３ｂから取得した解析目的情報一覧に基づいて、ユーザに推薦する推薦解析目的情報を算出する（ステップＳ１５０４）。なお、解析目的情報推薦部２０３は、推薦する解析目的情報を算出する際に、例えば協調フィルタリングなどのアルゴリズムを活用するが、このアルゴリズムの種類に本発明はよらない。

【0101】

解析目的情報推薦部２０３は、解析目的テーブル１２３ｂの推薦解析目的情報６０３を、ステップＳ１５０４で算出した推薦解析目的情報に更新する（ステップＳ１５０５）。解析目的情報推薦部２０３は、ステップＳ１５０４で算出した推薦解析目的情報を、解析者計算機１１０に対して送信する（ステップＳ１５０６）。

【0102】

（図１６）
解析者計算機１１０の処理フロー（図１４：ステップＳ１４０３）について説明する。解析者計算機１１０の推薦解析目的情報入力部３０４（図３）は、推薦解析目的情報入力処理を実行する。推薦解析目的情報入力部３０４は、分析用計算機１２０より受信した推薦解析目的情報を解析目的情報入力部４０２（図４）に出力して、ユーザに提示する（ステップＳ１６０１）。

【0103】

推薦解析目的情報入力部３０４は、ユーザに提示した推薦解析目的情報に基づいて、ユーザが解析目的情報を解析目的情報入力部４０２に入力したかどうかを判定する（ステップＳ１６０２）。入力があったと判定された場合（ステップＳ１６０２：ＹＥＳ）は、ステップＳ１６０３に進む。一方、入力されていないと判定された場合（ステップＳ１６０２：ＮＯ）は、ステップＳ１６０１に進み、ループ処理となる。

【0104】

ユーザが解析目的情報を入力した場合、入力された解析目的情報を分析用計算機１２０に送信する（ステップＳ１６０３）。以降の処理は、第１実施形態と同様である。

【0105】

以上、第２実施形態によれば、マルウェア解析支援システム１００は、ユーザが入力したマルウェア解析目的に基づいて、推薦解析目的情報をユーザに提示することで、マルウェア解析目的は明確でありつつどのような解析目的情報を収集すべきかが明確でないユーザに対して、より効率的なマルウェア解析支援を実現できる。

【0106】

（第３実施形態）
第３実施形態では、分析用計算機１２０の解析手順実行部２０４（図２）が、ユーザのマルウェア解析手順遂行の負担削減を目的に、マルウェア解析手順の一部の実行方法を事前に定義し、定義した実行方法に従って解析手順を自動実行する。

【0107】

解析手順実行部２０４の解析手順実行処理は、例えば、レピュテーションサイトのＡＰＩ連携を事前にプログラムとして記述し、解析対象のマルウェアのレピュテーションを調査する手順を実行する際に、自動的に解析対象のマルウェアのレピュテーションを取得し、ユーザに提案する。なお、解析者計算機１１０において、このように自動実行され提案された情報に基づいて、真偽を判定する機能があってもよい。

【0108】

また、解析者計算機１１０の手順入力補助機能部３０５（図３）は、ユーザの負担削減を目的として、解析者計算機１１０での作業をトラッキングし、現状の解析手順を自動的に作成する。手順入力補助機能部３０５の手順入力補助機能処理は、例えば、ブラウザのアクセス履歴やコマンドの実行履歴、アプリケーションの実行履歴を記録（トラッキング）し、その履歴により現状の解析手順を作成する。

【0109】

このようにすることで、マルウェア解析支援システム１００は、解析手順をトラッキングしかつ現状の解析手順の入力を自動実行し、またユーザが遂行する作業を事前に定義した内容に従って解析手順の遂行を自動実行することで、ユーザの負担が少ないマルウェア解析支援を実現できる。

【0110】

（第４実施形態）
第４実施形態では、マルウェア解析後のユーザの支援を目的に、解析報告書の作成や外部セキュリティ機器への操作を実行する。分析用計算機１２０の解析報告書作成部２０５（図２）は、解析目的ごとに事前に定義した解析報告書のテンプレートと、解析手順テーブル１２３ｃの解析手順７０６、ツール７０７、結果７０８とに基づいて、報告書を作成する。報告書テンプレートは、例えば、解析手順に対応する結果を変数で定義しており、解析手順テーブル１２３ｃの結果７０８を代入する形式で実現する。

【0111】

また、分析用計算機１２０の外部機器連携部２０６（図２）は、対象のマルウェアについてのブラックリストの更新などを目的として、解析手順テーブル１２３ｃの解析手順７０６、ツール７０７、結果７０８に基づいて、外部セキュリティ機器と連携する。外部機器連携部２０６の外部機器連携処理は、例えば、外部セキュリティ機器のＡＰＩを利用し、攻撃者サーバのドメイン名を発見した際に、そのドメイン名をブラックリストに追加する。

【0112】

解析者計算機１１０の事後対応提案部３０６（図３）は、解析報告書作成部２０５で作成された解析報告書をユーザに提示し、かつ外部機器連携部２０６での外部機器連携処理の実行可否をユーザに求める。このようにすることで、マルウェア解析支援システム１００は、ユーザの負担が少ないマルウェア解析支援を実現できる。

【0113】

以上説明した本発明の実施形態によれば、以下の作用効果を奏する。

【0114】

（１）解析者計算機１１０および分析用計算機１２０を用いてユーザのマルウェア解析を支援するマルウェア解析支援システム１００であって、解析者計算機１１０は、マルウェア解析の解析条件を入力する解析入力部３０１と、解析条件に含まれるマルウェア解析目的に対応し、かつマルウェア解析を通して収集される情報である解析目的情報を入力する解析目的入力部３０２と、マルウェア解析の解析手順を表示する解析手順提案部３０３と、を備える。分析用計算機１２０は、解析条件と、解析目的情報と、過去の解析手順と、現状の解析手順とに基づいて、ユーザに推薦する解析手順を算出するための処理を実行する推薦解析手順作成部２０２と、を備える。解析手順提案部３０３は、推薦解析手順作成部で算出した解析手順をユーザに推薦する。このようにしたことで、マルウェア解析の条件を考慮して、マルウェア解析を効率的にできるマルウェア解析支援システムを提供できる。

【0115】

（２）分析用計算機１２０は、解析者計算機１１０で入力された解析目的情報に基づいて、ユーザに推薦するための推薦解析目的情報を算出する解析目的情報推薦部２０３を備える。解析者計算機１１０は、算出した推薦解析目的情報をユーザに提示し、かつ推薦解析目的情報に基づいてユーザが入力する当該解析目的情報を受け付ける推薦解析目的情報入力部３０４を備える。このようにしたことで、ユーザの負担が少ないマルウェア解析支援を実現できる。

【0116】

（３）解析者計算機１１０は、解析者計算機１１０での作業をトラッキングし、現状の解析手順を自動的に作成する手順入力補助機能部３０５を備える。このようにしたことで、ユーザの負担を削減できる。

【0117】

（４）分析用計算機１２０は、解析手順の一部の実行方法を事前に定義し、定義した実行方法に従って解析手順を自動実行する解析手順実行部２０４を備える。このようにしたことで、ユーザの負担削減できる。

【0118】

（５）分析用計算機１２０は、マルウェア解析の結果に基づいて解析報告書を作成し、解析報告書をユーザに提示する解析報告書作成部２０５を備える。このようにしたことで、ユーザの負担が少ないマルウェア解析支援を実現できる。

【0119】

（６）分析用計算機１２０は、マルウェア解析結果に基づいて、外部セキュリティ機器と連携する外部機器連携部２０６を備える。このようにしたことで、ユーザの負担が少ないマルウェア解析支援を実現できる。

【0120】

（７）解析者計算機１１０は、過去のマルウェア解析手順と現状のマルウェア解析手順から、マルウェア解析手順の進捗率を算出し、算出した進捗率をユーザに提示する。このようにしたことで、マルウェア解析の条件を考慮して、マルウェア解析を効率的にできる。

【0121】

（８）解析者計算機１１０および分析用計算機１２０を用いてユーザのマルウェア解析を支援するマルウェア解析支援方法であって、解析者計算機１１０は、マルウェア解析の解析条件と、解析条件に含まれるマルウェア解析目的に対応し、かつマルウェア解析を通して収集される情報である解析目的情報とを、ユーザから入力受け付けする。分析用計算機は１２０、解析条件と、解析目的情報と、過去の解析手順と、現状の解析手順とからユーザに推薦する解析手順を算出し、解析者計算機１１０は、算出した解析手順をユーザに推薦する方法を採用する。このようにしたことで、マルウェア解析の条件を考慮して、マルウェア解析を効率的にできるマルウェア解析支援方法を提供できる。

【0122】

なお、本発明は上記の実施形態に限定されるものではなく、その要旨を逸脱しない範囲内で様々な変形や他の構成を組み合わせることができる。また本発明は、上記の実施形態で説明した全ての構成を備えるものに限定されず、その構成の一部を削除したものも含まれる。

【符号の説明】

【0123】

１００ マルウェア解析システム
１１０ 解析者計算機
１２０ 分析用計算機
１３０ マルウェア解析環境

【図1】

【図2】

【図3】

【図4】

【図5】

【図6】

【図7】

【図8】

【図9】

【図10】

【図11】

【図12】

【図13】

【図14】

【図15】

【図16】