特許 7517456 監視範囲決定装置、監視範囲決定方法、及びプログラム

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】特許公報(B2)

(11)【特許番号】

(24)【登録日】2024-07-08

(45)【発行日】2024-07-17

(54)【発明の名称】監視範囲決定装置、監視範囲決定方法、及びプログラム

(51)【国際特許分類】

   G06F 21/12 20130101AFI20240709BHJP

   G06F 21/64 20130101ALI20240709BHJP

【ＦＩ】

G06F21/12 350

G06F21/64

【請求項の数】 7

(21)【出願番号】P 2022558653

(86)(22)【出願日】2020-10-28

(86)【国際出願番号】 JP2020040339

(87)【国際公開番号】W WO2022091232

(87)【国際公開日】2022-05-05

【審査請求日】2023-04-17

【国等の委託研究の成果に係る記載事項】（出願人による申告）平成３０年度 国立研究開発法人新エネルギー・産業技術総合開発機構「戦略的イノベーション創造プログラム（ＳＩＰ）第２期／ＩｏＴ社会に対応したサイバー・フィジカル・セキュリティ／（Ａ２）ＩｏＴ機器等向け真贋判定による信頼の証明技術の研究開発事業」に関する研究開発、産業技術力強化法第１７条の適用を受ける特許出願

(73)【特許権者】

【識別番号】000004237

【氏名又は名称】日本電気株式会社

(74)【代理人】

【識別番号】100103894

【弁理士】

【氏名又は名称】家入 健

(72)【発明者】

【氏名】早木 悠斗

(72)【発明者】

【氏名】山垣 則夫

【審査官】松平 英

(56)【参考文献】

【文献】国際公開第２０１８／１５０６１９（ＷＯ，Ａ１）

【文献】Toshiki Kobayashi et al，SAFES: Sand-boxed Architecture for Frequent Environment Self-measurement，SysTEX'18: Proceedings of the 3rd Workshop on System Software for Trusted Execution，米国，ACM，2018年10月15日，pp. 37-41

【文献】早木 悠斗 他，ＩｏＴ機器向け改ざん検知機能による信頼の証明技術の提案，２０２０年 暗号と情報セキュリティシンポジウム予稿集，日本，2020年 暗号と情報セキュリティシンポジウム実行委員，2020年01月21日，pp.1-6

【文献】ＮＥＣ デジタルプラットフォーム事業部，ＩｏＴデバイスの不正な改ざんを検知する 軽量プログラム改ざん検知 開発キット，Ｃ＆Ｃユーザーフォーラム＆ｉＥＸＰＯ２０１９，日本，ＮＥＣ デジタルプラットフォーム事業部，2019年10月

(58)【調査した分野】(Int.Cl.，ＤＢ名)

Ｇ０６Ｆ１２／１４

２１／００－２１／８８

Ｇ０９Ｃ１／００－５／００

Ｈ０４Ｋ１／００－３／００

Ｈ０４Ｌ９／００－９／４０

(57)【特許請求の範囲】

【請求項1】

監視対象のソフトウェアに対して、改ざん検知機能と共に組み込まれる改ざん検知機能呼び出し関数の監視範囲を決定する監視範囲決定装置であって、
前記改ざん検知機能及び前記改ざん検知機能呼び出し関数を組み込んだ前記ソフトウェアのバイナリを入力する入力部と、
前記バイナリに基づいて、制御フローグラフ（Ｃｏｎｔｒｏｌ Ｆｌｏｗ Ｇｒａｐｈ；ＣＦＧ）を生成するＣＦＧ生成部と、
前記ＣＦＧに基づいて、前記改ざん検知機能呼び出し関数の監視範囲を決定する監視範囲決定部と、を備え、
前記監視範囲決定部は、
前記ＣＦＧ上の前記改ざん検知機能呼び出し関数を順次選択し、
所定の規則に従って、前記選択した改ざん検知機能呼び出し関数の監視範囲にノードを追加し、
前記所定の規則に従って追加したノードの次に実行される可能性のある前記改ざん検知機能呼び出し関数を検索し、発見した前記改ざん検知機能呼び出し関数を、前記選択した改ざん検知機能呼び出し関数の監視範囲に追加する、
監視範囲決定装置。

【請求項2】

前記所定の規則は、前記選択した改ざん検知機能呼び出し関数を含むノードの全ての子孫ノードのうち、前記改ざん検知機能呼び出し関数を含まないノードを辿り、前記選択した改ざん検知機能呼び出し関数を含むノードから、次の前記改ざん検知機能呼び出し関数を含むノードの直前のノードまでを、前記選択した改ざん検知機能呼び出し関数の前記監視範囲に追加する規則である、
請求項１に記載の監視範囲決定装置。

【請求項3】

前記所定の規則は、前記選択した改ざん検知機能呼び出し関数を含むノードを、前記選択した改ざん検知機能呼び出し関数の前記監視範囲に追加する規則である、
請求項１に記載の監視範囲決定装置。

【請求項4】

前記監視範囲決定部は、
前記所定の規則に従って追加したノードの次に実行される可能性のある前記改ざん検知機能呼び出し関数を発見するまでに、前記ＣＦＧ上の前記改ざん検知機能呼び出し関数のいずれの監視範囲にも追加されていないノードを発見した場合、発見したノードを、前記選択した改ざん検知機能呼び出し関数の前記監視範囲に追加する、
請求項１から３のいずれか１項に記載の監視範囲決定装置。

【請求項5】

前記改ざん検知機能は、前記改ざん検知機能呼び出し関数の前記監視範囲のハッシュ値のリストとして作成されたホワイトリスト型の改ざん検知機能である、
請求項１から４のいずれか１項に記載の監視範囲決定装置。

【請求項6】

監視対象のソフトウェアに対して、改ざん検知機能と共に組み込まれる改ざん検知機能呼び出し関数の監視範囲を決定する監視範囲決定装置が実行する監視範囲決定方法であって、
前記改ざん検知機能及び前記改ざん検知機能呼び出し関数を組み込んだ前記ソフトウェアのバイナリを入力する入力ステップと、
前記バイナリに基づいて、制御フローグラフ（Ｃｏｎｔｒｏｌ Ｆｌｏｗ Ｇｒａｐｈ；ＣＦＧ）を生成するＣＦＧ生成ステップと、
前記ＣＦＧに基づいて、前記改ざん検知機能呼び出し関数の監視範囲を決定する監視範囲決定ステップと、を含み、
前記監視範囲決定ステップでは、
前記ＣＦＧ上の前記改ざん検知機能呼び出し関数を順次選択し、
所定の規則に従って、前記選択した改ざん検知機能呼び出し関数の監視範囲にノードを追加し、
前記所定の規則に従って追加したノードの次に実行される可能性のある前記改ざん検知機能呼び出し関数を検索し、発見した前記改ざん検知機能呼び出し関数を、前記選択した改ざん検知機能呼び出し関数の監視範囲に追加する、
監視範囲決定方法。

【請求項7】

監視対象のソフトウェアに対して、改ざん検知機能と共に組み込まれる改ざん検知機能呼び出し関数の監視範囲を決定する処理をコンピュータに実行させるプログラムであって、
前記改ざん検知機能及び前記改ざん検知機能呼び出し関数を組み込んだ前記ソフトウェアのバイナリを入力する入力ステップと、
前記バイナリに基づいて、制御フローグラフ（Ｃｏｎｔｒｏｌ Ｆｌｏｗ Ｇｒａｐｈ；ＣＦＧ）を生成するＣＦＧ生成ステップと、
前記ＣＦＧに基づいて、前記改ざん検知機能呼び出し関数の監視範囲を決定する監視範囲決定ステップと、を含み、
前記監視範囲決定ステップでは、
前記ＣＦＧ上の前記改ざん検知機能呼び出し関数を順次選択し、
所定の規則に従って、前記選択した改ざん検知機能呼び出し関数の監視範囲にノードを追加し、
前記所定の規則に従って追加したノードの次に実行される可能性のある前記改ざん検知機能呼び出し関数を検索し、発見した前記改ざん検知機能呼び出し関数を、前記選択した改ざん検知機能呼び出し関数の監視範囲に追加する、
プログラム。

【発明の詳細な説明】

【技術分野】

【0001】

本開示は、改ざん検知機能を呼び出す改ざん検知機能呼び出し関数が監視する監視範囲を決定する監視範囲決定装置、監視範囲決定方法、及びコンピュータ可読媒体に関し、特に、ＩｏＴ（Ｉｎｔｅｒｎｅｔ ｏｆ Ｔｈｉｎｇｓ）機器などの機器のソフトウェアに用いる監視範囲決定装置、監視範囲決定方法、及びコンピュータ可読媒体に関する。

【背景技術】

【0002】

近年、ＩｏＴ機器の普及により、ＩｏＴ機器のようなメモリやＣＰＵ（Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）などのリソースが潤沢ではない機器でも動作するセキュリティシステムが要求されている。

【0003】

関連するセキュリティシステムとして、ハッシュ値を用いたホワイトリスト型の改ざん検知機能を機器に組み込み、機器上のソフトウェアが正しい状態であるか否か（改ざんされていないか否か）を監視する方式が知られている。

【0004】

ハッシュ値を用いたホワイトリスト型の改ざん検知機能とは、正常時の機器のメモリの情報を予めホワイトリストに登録しておき、動作中の機器のメモリの情報を、ホワイトリストに登録されているメモリの情報と比較し、改ざんの有無を監視する機能である。このとき、メモリの情報はハッシュ値の形で管理される。

【0005】

ハッシュ値を用いたホワイトリスト型の改ざん検知機能は、次のように実現される。まず、事前に、正常時の機器のメモリの情報を何等かの方法で取得し、取得したメモリの情報をホワイトリストに登録する。メモリの情報は、実行コードがメモリ上にどのように展開されているのかを示す情報となる。次に、機器の動作中の任意のタイミングでメモリの情報を取得し、取得したメモリの情報をホワイトリストに登録されているメモリの情報と比較する。比較の結果、機器の動作中に取得したメモリの情報とホワイトリストに登録されているメモリの情報とが一致すれば、改ざんがなく（攻撃を受けていない）、一致しなければ、改ざんされている（攻撃されている）ことになる。

【0006】

ホワイトリストの意味は、正常時のメモリのスナップショットということになる。ただし、メモリのスナップショットをそのままの形で登録・比較するよりも、ハッシュ値の形で登録・比較した方が、機器本来の動作への影響が小さくなる。そのため、ホワイトリストには、正常時のメモリの情報がハッシュ値の形で登録されており、動作中のメモリの情報もハッシュ値の形で管理される。ハッシュ値を用いたホワイトリスト型の改ざん検知機能の一例が、非特許文献１，２に開示されている。

【0007】

非特許文献１には、機器に対する入力がトリガーとなり、次に実行する機能の改ざんを検知する方法が開示されている。非特許文献１の方法によれば、ハードウェアの機能によって安全性が保証された領域であるＴｒｕｓｔｅｄ Ｅｘｅｃｕｔｉｏｎ Ｅｎｖｉｒｉｏｎｍｅｎｔ（ＴＥＥ）の一種であるＴｒｕｓｔＺｏｎｅを用いて、ユーザーの入力を管理する。ユーザーの入力により、次に実行される機能（ここでは、機能Ａと呼ぶ）が決まる。また、ユーザーの入力により、改ざん検知機能を呼び出す改ざん検知機能呼び出し関数が起動する。改ざん検知機能呼び出し関数は、改ざん検知機能を呼び出し、機能Ａの実行時に使用するメモリ領域に限定して、改ざんの有無を監視する。なお、改ざん検知機能及び改ざん検知機能呼び出し関数は共に、ＴｒｕｓｔＺｏｎｅに配置される。

【0008】

非特許文献２には、一度の監視における監視範囲を制御フローグラフ（Ｃｏｎｔｒｏｌ Ｆｌｏｗ Ｇｒａｐｈ：ＣＦＧ）の１つのノードとし、非特許文献１の方法よりも高速な監視を目指す方法が開示されている。ここで、ＣＦＧとは、プログラムがどの順序で実行されるかをグラフ化したものである。したがって、ＣＦＧは有向グラフである。ＣＦＧのノードは連続するプログラムの実行コードとなる。このとき、ＣＦＧの１つのノードは、分岐命令ごとにブロックに区切られ、このブロックのことベーシックブロックと呼ぶ。すなわち、ＣＦＧの１つのノードは１つのベーシックブロックである、と言い換えることができる。

【0009】

ここで、図１を参照して、ソースコード及びＣＦＧの例について説明する。図１の右側は、ソースコードを示し、図１の左側は、右側のソースコードをビルドしたバイナリを基に生成されたＣＦＧを示している。また、図１の左側の各ノード内の数字は、右側のソースコードの行番号を示しており、各ノードには、各ノード内の数字で示される行番号に相当する実行コードが含まれることを表している。例えば、ノード２には、ソースコードの６～７行目に相当する実行コードが含まれる。

【0010】

非特許文献２には、このようなＣＦＧを基に、各ノードの実行コードを監視するための改ざん検知機能呼び出し関数を、機器本来の動作を記述したソースコードに組み込む方法が開示されている。

【0011】

特許文献１には、バイトコード上に直接改ざん検知機能を組み込む方法が開示されている。特許文献１の方法によれば、改ざん検知機能を組み込む対象のプログラムに対して、関数ごとにＣＦＧを作成する。そして、ＣＦＧを基に関数ごとにランダムにノードを抽出し、抽出したノード及びそれ以前に必ず実行されるノードに改ざん検知機能を組み込む。

【先行技術文献】

【特許文献】

【0012】

【文献】国際公開第２０１８／１５０６１９号

【非特許文献】

【0013】

【文献】Toshiki Kobayashi、Takayuki Sasaki、Astha Jada、Daniele E. Asoni、Adrian Perrig、“SAFES: Sand-boxed Architecture for Frequent Environment Self-measurement”、Proceedings of the 3rd Workshop on System Software for Trusted Execution、２０１８年、ｐｐ．３７－４１

【文献】早木 悠斗、佐々木 貴之、リュウ センペイ、冨田 光輝、山垣 則夫著、「IoT機器向け改ざん検知機能による信頼の証明技術の提案」、ＳＣＩＳ２０２０、２０２０年、ｐｐ．１－６

【発明の概要】

【発明が解決しようとする課題】

【0014】

上述したように、非特許文献１の方法においては、改ざん検知機能呼び出し関数は、改ざん検知機能と共に、ＴｒｕｓｔＺｏｎｅに配置される。そのため、非特許文献１の方法においては、改ざん検知機能呼び出し関数の安全性は保証されている。

【0015】

その一方、非特許文献２の方法においては、改ざん検知機能呼び出し関数は、ソースコードに組み込まれる。また、特許文献１の方法においては、改ざん検知機能だけでなく、改ざん検知機能呼び出し関数についても、プログラムに組み込まれると想定される。

【0016】

しかし、非特許文献２及び特許文献１の方法のように、改ざん検知機能呼び出し関数が機器本来のプログラムと同じメモリ領域に組み込まれる場合においては、改ざん検知機能呼び出し関数自体が攻撃者によって改ざんされる可能性がある。

【0017】

ここで、図２を参照して、改ざん検知機能呼び出し関数が組み込まれたＣＦＧの例について説明する。図２は、図１のソースコードに対して改ざん検知機能呼び出し関数が組み込まれたソースコードをビルドしたバイナリを基に生成されたＣＦＧを示している。なお、図２の例では、改ざん検知機能呼び出し関数（以下、適宜フックと呼ぶ）Ｈ１，Ｈ２，Ｈ４，Ｈ５，Ｈ６は、それぞれ、ノード１，２，４，５，６の先頭に組み込まれているが、、ノード１，２，４，５，６の途中に組み込まれてもよいし、各ノードの直前に独立したノードとして組み込まれていてもよい。

【0018】

非特許文献２及び特許文献１の方法においては、図２の例のように、改ざん検知機能呼び出し関数が機器本来のプログラムと同じメモリ領域の実行コード上に組み込まれる。この場合、改ざん検知機能呼び出し関数自体が攻撃者によって改ざんされる可能性がある。そのため、改ざん検知機能呼び出し関数自体も監視される必要がある。

【0019】

しかし、非特許文献２及び特許文献１のいずれにおいても、改ざん検知機能呼び出し関数自体が攻撃者によって改ざんされる可能性があることには言及されてない。そのため、改ざん検知機能呼び出し関数自体を監視する方法は開示されていない。

【0020】

そこで本開示の目的は、上述した課題を鑑み、改ざん検知機能呼び出し関数自体を監視できるように、改ざん検知機能呼び出し関数の監視範囲を決定できる監視範囲決定装置、監視範囲決定方法、及びコンピュータ可読媒体を提供することにある。

【課題を解決するための手段】

【0021】

本開示の一態様に係る監視範囲決定装置は、
監視対象のソフトウェアに対して、改ざん検知機能と共に組み込まれる改ざん検知機能呼び出し関数の監視範囲を決定する監視範囲決定装置であって、
前記改ざん検知機能及び前記改ざん検知機能呼び出し関数を組み込んだ前記ソフトウェアのバイナリを入力する入出力部と、
前記バイナリに基づいて、制御フローグラフ（Ｃｏｎｔｒｏｌ Ｆｌｏｗ Ｇｒａｐｈ；ＣＦＧ）を生成するＣＦＧ生成部と、
前記ＣＦＧに基づいて、前記改ざん検知機能呼び出し関数の監視範囲を決定する監視範囲決定部と、を備え、
前記監視範囲決定部は、
前記ＣＦＧ上の前記改ざん検知機能呼び出し関数を順次選択し、
所定の規則に従って、前記選択した改ざん検知機能呼び出し関数の監視範囲にノードを追加し、
前記所定の規則に従って追加したノードの次に実行される可能性のある前記改ざん検知機能呼び出し関数を検索し、発見した前記改ざん検知機能呼び出し関数を、前記選択した改ざん検知機能呼び出し関数の監視範囲に追加する。

【0022】

本開示の他の態様に係る監視範囲決定方法は、
監視対象のソフトウェアに対して、改ざん検知機能と共に組み込まれる改ざん検知機能呼び出し関数の監視範囲を決定する監視範囲決定装置が実行する監視範囲決定方法であって、
前記改ざん検知機能及び前記改ざん検知機能呼び出し関数を組み込んだ前記ソフトウェアのバイナリを入力する入力ステップと、
前記バイナリに基づいて、制御フローグラフ（Ｃｏｎｔｒｏｌ Ｆｌｏｗ Ｇｒａｐｈ；ＣＦＧ）を生成するＣＦＧ生成ステップと、
前記ＣＦＧに基づいて、前記改ざん検知機能呼び出し関数の監視範囲を決定する監視範囲決定ステップと、を含み、
前記監視範囲決定ステップでは、
前記ＣＦＧ上の前記改ざん検知機能呼び出し関数を順次選択し、
所定の規則に従って、前記選択した改ざん検知機能呼び出し関数の監視範囲にノードを追加し、
前記所定の規則に従って追加したノードの次に実行される可能性のある前記改ざん検知機能呼び出し関数を検索し、発見した前記改ざん検知機能呼び出し関数を、前記選択した改ざん検知機能呼び出し関数の監視範囲に追加する。

【0023】

本開示のさらに他の態様に係るコンピュータ可読媒体は、
監視対象のソフトウェアに対して、改ざん検知機能と共に組み込まれる改ざん検知機能呼び出し関数の監視範囲を決定する処理をコンピュータに実行させるプログラムが格納された非一時的なコンピュータ可読媒体であって、
前記プログラムは、
前記改ざん検知機能及び前記改ざん検知機能呼び出し関数を組み込んだ前記ソフトウェアのバイナリを入力する入力ステップと、
前記バイナリに基づいて、制御フローグラフ（Ｃｏｎｔｒｏｌ Ｆｌｏｗ Ｇｒａｐｈ；ＣＦＧ）を生成するＣＦＧ生成ステップと、
前記ＣＦＧに基づいて、前記改ざん検知機能呼び出し関数の監視範囲を決定する監視範囲決定ステップと、を含み、
前記監視範囲決定ステップでは、
前記ＣＦＧ上の前記改ざん検知機能呼び出し関数を順次選択し、
所定の規則に従って、前記選択した改ざん検知機能呼び出し関数の監視範囲にノードを追加し、
前記所定の規則に従って追加したノードの次に実行される可能性のある前記改ざん検知機能呼び出し関数を検索し、発見した前記改ざん検知機能呼び出し関数を、前記選択した改ざん検知機能呼び出し関数の監視範囲に追加する。

【発明の効果】

【0024】

上述の態様によれば、改ざん検知機能呼び出し関数自体を監視できるように、改ざん検知機能呼び出し関数の監視範囲を決定できるという効果が得られる。

【図面の簡単な説明】

【0025】

【図1】ソースコード及びＣＦＧの例を示す図である。

【図2】図１のソースコードに対して改ざん検知機能呼び出し関数を組み込んだソースコードを基に生成されたＣＦＧの例を示す図である。

【図3】実施の形態１に係る監視範囲決定装置の構成例を示すブロック図である。

【図4】実施の形態１に係る監視範囲決定装置の全体の動作例を説明する流れ図である。

【図5】実施の形態１に係るホワイトリスト作成部が図４のステップＡ３で行う動作例を説明する流れ図である。

【図6】実施の形態１に係るホワイトリスト作成部が図５に沿って改ざん検知機能呼び出し関数の監視範囲を決定する過程の例を説明する図である。

【図7】実施の形態１に係るホワイトリスト作成部が図５に沿って改ざん検知機能呼び出し関数の監視範囲を決定する過程の例を説明する図である。

【図8】実施の形態１に係るホワイトリスト作成部が図５に沿って改ざん検知機能呼び出し関数の監視範囲を決定する過程の例を説明する図である。

【図9】実施の形態２に係る監視範囲決定装置の構成例を示すブロック図である。

【図10】実施の形態２に係るホワイトリスト作成部が図４のステップＡ３で行う動作例を説明する流れ図である。

【図11】実施の形態２に係るホワイトリスト作成部が図１０に沿って改ざん検知機能呼び出し関数の監視範囲を決定する過程の例を説明する図である。

【図12】実施の形態３に係る監視範囲決定装置の構成例を示すブロック図である。

【図13】実施の形態３に係る監視範囲決定装置の全体の動作例を説明する流れ図である。

【図14】実施の形態４に係る監視範囲決定装置のハードウェア構成例を示す図である。

【発明を実施するための形態】

【0026】

以下、図面を参照しつつ、本開示の実施の形態について説明する。なお、以下の実施の形態において、同一又は同等の要素には、同一の符号を付し、重複する説明は省略される。また、以下の各実施の形態で説明する監視範囲決定装置は、監視対象のソフトウェアに対して、ハッシュ値を用いたホワイトリスト型の改ざん検知機能と共に組み込まれる改ざん検知機能呼び出し関数の監視範囲を決定する装置の例である。

【0027】

［実施の形態１］
［実施の形態１の構成］
まず、図３を参照して、本実施の形態１に係る監視範囲決定装置１００の構成例について説明する。なお、図３において、一方向性の矢印は、あるデータ（又は、信号、情報等）の流れの方向を端的に示したもので、双方向性を排除するものではない（後述する図９及び図１２において同じ）。

【0028】

図３を参照すると、本実施の形態１に係る監視範囲決定装置１００は、入出力部１０１と、Ｃｏｎｔｒｏｌ Ｆｌｏｗ Ｇｒａｐｈ（ＣＦＧ）生成部１０２と、ホワイトリスト作成部１０３と、記憶部１０４と、を含む。なお、入出力部１０１は、入力部の一例であり、ホワイトリスト作成部１０３は、監視範囲決定部の一例である。

【0029】

これらの構成要素は、それぞれ次のように動作する。
入出力部１０１には、監視対象のソフトウェアのバイナリに改ざん検知機能及び改ざん検知機能呼び出し関数を組み込んだバイナリ（以下、改ざん検知機能組み込みバイナリと呼ぶ）が入力される。監視対象のソフトウェアは、例えば、ＩｏＴ機器上の制御ソフトウェア等である。入出力部１０１は、入力された改ざん検知機能組み込みバイナリを記憶部１０４に記憶させ、ＣＦＧ生成部１０２に処理を行うよう通知を送る。

【0030】

また、入出力部１０１は、ホワイトリスト作成部１０３から後述する通知を受け取ると、記憶部１０４から、後述するホワイトリストを読み出し、読み出したホワイトリストを出力する。ただし、入出力部１０１は、記憶部１０４からホワイトリストを読み出すことには限定されない。入出力部１０１は、ホワイトリストをホワイトリスト作成部１０３から受け取ってもよい。

【0031】

ＣＦＧ生成部１０２は、入出力部１０１から通知を受け取ると、記憶部１０４から改ざん検知機能組み込みバイナリを読み出し、読み出した改ざん検知機能組み込みバイナリを解析し、ＣＦＧを生成する。ＣＦＧ生成部１０２は、生成したＣＦＧをホワイトリスト作成部１０３に送る。

【0032】

ホワイトリスト作成部１０３は、ＣＦＧ生成部１０２からＣＦＧを受け取ると、当該ＣＦＧを基に、記憶部１０４から改ざん検知機能組み込みバイナリを読み出す。ホワイトリスト作成部１０３は、当該ＣＦＧ及び当該改ざん検知機能組み込みバイナリを基に、ホワイトリストを作成する。ホワイトリスト作成部１０３は、作成したホワイトリストを記憶部１０４に記憶させ、入出力部１０１に処理を行うよう通知を送る。

【0033】

記憶部１０４は、入出力部１０１から受け取った改ざん検知機能組み込みバイナリ及びホワイトリスト作成部１０３から受け取ったホワイトリストを記憶する。
なお、記憶部１０４は、監視範囲決定装置１００において必須の構成要素ではなく、監視範囲決定装置１００の外部に設けてもよい。すなわち、監視範囲決定装置１００は、入出力部１０１と、ＣＦＧ生成部１０２と、ホワイトリスト作成部１０３と、からなる最小構成で実現してもよい。

【0034】

［実施の形態１の動作］
次に、図４の流れ図を参照して、本実施の形態１に係る監視範囲決定装置１００の全体の動作例について詳細に説明する。

【0035】

図４を参照すると、まず、入出力部１０１には、監視対象のソフトウェアのバイナリに改ざん検知機能及び改ざん検知機能呼び出し関数を組み込んだ改ざん検知機能組み込みバイナリが入力される。入出力部１０１は、入力された改ざん検知機能組み込みバイナリを記憶部１０４に記憶させ、ＣＦＧ生成部１０２に処理を行うよう通知を送る（ステップＡ１）。

【0036】

ＣＦＧ生成部１０２は、入出力部１０１から通知を受け取ると、記憶部１０４から、ステップＡ１で入力された改ざん検知機能組み込みバイナリを読み出し、読み出した改ざん検知機能組み込みバイナリを解析し、ＣＦＧを生成する。さらに、ＣＦＧ生成部１０２は、生成したＣＦＧをホワイトリスト作成部１０３へ送る（ステップＡ２）。

【0037】

ホワイトリスト作成部１０３は、ＣＦＧ生成部１０２から、ステップＡ２で生成されたＣＦＧを受け取ると、受け取ったＣＦＧを基に、記憶部１０４から改ざん検知機能組み込みバイナリを読み出す。さらに、ホワイトリスト作成部１０３は、ＣＦＧ及び改ざん検知機能組み込みバイナリを基に、ホワイトリストを作成する。さらに、ホワイトリスト作成部１０３は、作成したホワイトリストを記憶部１０４に記憶させ、入出力部１０１に処理を行うよう通知を送る（ステップＡ３）。なお、ステップＡ３の詳細については後述する。

【0038】

入出力部１０１は、ホワイトリスト作成部１０３から通知を受け取ると、記憶部１０４から、ステップＡ３で作成されたホワイトリストを読み出し、読み出したホワイトリストを出力する（ステップＡ４）。

【0039】

次に、図５の流れ図を参照して、図４のステップＡ３でホワイトリスト作成部１０３が行う動作について詳細に説明する。ここでは、図６～図８も参照して説明を行う。図６～図８は、ホワイトリスト作成部１０３が図５に沿って改ざん検知機能呼び出し関数の監視範囲を決定する過程の例を説明する図である。なお、図６～図８においては、前提として、ＣＦＧの先頭にあるフックＨ１は、セキュアブートなどの手段で安全性が保証されているものとする（後述する図１１において同じ）。

【0040】

図５を参照すると、ホワイトリスト作成部１０３は、ＣＦＧ生成部１０２から、ステップＡ２で生成されたＣＦＧを受け取ると、空のホワイトリスト（図５のステップＢ２以降では、リストと呼ぶ）を作成する（ステップＢ１）。ホワイトリストには、以下のステップＢ２～Ｂ９の作業を行うことで要素を追加する。

【0041】

まず、ホワイトリスト作成部１０３は、ステップＡ２で生成されたＣＦＧ上に、ホワイトリストに追加されていない改ざん検知機能呼び出し関数（ここでは、フックと呼ぶ）が存在するか否かを判断する（ステップＢ２）。該当するフックが存在する場合（ステップＢ２がＹＥＳの場合）は、ステップＢ３に進み、該当するフックが存在しない場合（ステップＢ２がＮＯの場合）は、ホワイトリスト作成部１０３は、入出力部１０１へ通知を送り、ステップＡ３の処理を終了する。

【0042】

ホワイトリスト作成部１０３は、ステップＢ２で該当するフックが存在する場合（ステップＢ２がＹＥＳの場合）、該当するフックの中から１つのフックを選択する（ステップＢ３）。

【0043】

以後のステップＢ４～Ｂ７の処理において、ステップＢ３で選択した当該フックが監視する監視範囲を確定する。ここでは、ホワイトリスト作成部１０３が、当該フックとして図６～図８のフックＨ１を選択した場合を例に挙げて説明を行う。

【0044】

まず、ホワイトリスト作成部１０３は、所定の規則に従って、当該フックの監視範囲にノードを追加する（ステップＢ４）。所定の規則は、例えば、非特許文献２及び特許文献１に記載された手法で、当該フックの監視範囲にノードを追加する規則とすることができる。ここでは、所定の規則は、当該フックを含むノードの全ての子孫ノードのうち、フックを含まないノードを辿り、当該フックを含むノードから、次のフックを含むノードの直前のノードまでを、当該フックの監視範囲に追加する規則であるものとする。当該フックとしてフックＨ１を選択した例では、フックＨ１を含むノードは、ノード１である。また、ノード１の子孫ノードのうち、フックを含まないノードは、ノード３である。そのため、ホワイトリスト作成部１０３は、ノード３を辿るが、ノード３の子ノードであるノード４，５は、それぞれ、フックＨ４，Ｈ５を含んでいる。そのため、ホワイトリスト作成部１０３は、図６に示されるように、ノード１のフックＨ１より後の範囲とノード３を含む範囲Ｒ１１を、フックＨ１の監視範囲に追加する。

【0045】

次に、ホワイトリスト作成部１０３は、ＣＦＧの中から、ステップＢ４で当該フックの監視範囲に追加したノードの次に実行される可能性があるフック（以下、監視対象フックと呼ぶ）を検索する（ステップＢ５）。

【0046】

次に、ホワイトリスト作成部１０３は、当該フックの監視対象フックが発見されたか否かを判断する（ステップＢ６）。監視対象フックが発見された場合（ステップＢ６がＹＥＳの場合）は、ステップＢ７へ進み、監視対象フックが発見されなかった場合（ステップＢ６がＮＯの場合）は、ステップＢ７をスキップして、ステップＢ８へ進む。当該フックとしてフックＨ１を選択した例では、ホワイトリスト作成部１０３は、ステップＢ４及び図６において、フックＨ１の監視範囲にノード１のフックＨ１より後の範囲とノード３を追加している。そのため、ホワイトリスト作成部１０３は、まず、ノード１を辿り、フックＨ２を発見する。同様に、ホワイトリスト作成部１０３は、ノード３を辿り、フックＨ４，Ｈ５を発見する。そのため、フックＨ１の監視範囲に追加したノード１のフックＨ１より後の範囲とノード３の次に実行される可能性がある監視対象フックは、フックＨ２，Ｈ４，Ｈ５となる。そのため、この例では、ステップＢ７へ進む。

【0047】

ステップＢ６で当該フックの監視対象フックを発見した場合（ステップＢ６がＹＥＳの場合）、ホワイトリスト作成部１０３は、発見した全ての監視対象フックを、当該フックの監視範囲に追加する（ステップＢ７）。当該フックとしてフックＨ１を選択した例では、ホワイトリスト作成部１０３は、ステップＢ５において、フックＨ１の監視対象フックとして、フックＨ２，Ｈ４，Ｈ５を発見している。そのため、ホワイトリスト作成部１０３は、図７に示されるように、フックＨ２，Ｈ４，Ｈ５を含む範囲Ｒ１２を、フックＨ１の監視範囲に追加する。なお、ここではフックＨ２，Ｈ４，Ｈ５がそれぞれノード２、５、４の先頭にある例を示しているが、各フックがそれぞれのノードの途中にあった場合、範囲Ｒ１２には、当該ノードの先頭から当該フックまでの範囲を含める。

【0048】

以上のステップＢ４～Ｂ７の処理により、ステップＢ３で選択した当該フックの監視範囲が確定する。当該フックとしてフックＨ１を選択した例では、フックＨ１の監視範囲は、最終的には、図８に示されるように、ノード１，３及びフックＨ２，Ｈ４，Ｈ５を含む範囲Ｒ１（詳細には、ノード１，３及びフックＨ２，Ｈ４，Ｈ５の実行コードに相当するアドレス範囲。以下、同じ）となる。

【0049】

次に、ホワイトリスト作成部１０３は、ステップＢ４～Ｂ７の処理により確定した当該フックの監視範囲のハッシュ値を計算する（ステップＢ８）。当該フックとしてフックＨ１を選択した例では、フックＨ１の監視範囲は、ノード１，３及びフックＨ２，Ｈ４，Ｈ５を含む範囲Ｒ１となったため、ホワイトリスト作成部１０３は、この範囲Ｒ１のハッシュ値を計算する。

【0050】

その後、ホワイトリスト作成部１０３は、当該フックのフックＩＤ、当該フックの監視範囲、及び当該監視範囲のハッシュ値の組をホワイトリストに登録する（ステップＢ９）。ステップＢ９の処理が終了すると、ステップＢ２に戻り、ホワイトリスト作成部１０３は、ステップＢ３～Ｂ９の処理を、ステップＡ２で生成されたＣＦＧ上の全てのフックに対して実行するまで繰り返す。

【0051】

以上の説明では、一例として、フックＨ１を選択したが、ホワイトリスト作成部１０３は、ＣＦＧ上のフックＨ２，Ｈ４，Ｈ５，Ｈ６に対しても同様に処理を行い、監視範囲を決定する。

【0052】

具体的には、ホワイトリスト作成部１０３は、フックＨ２の監視範囲を、ノード２のフックＨ２より後の範囲及びフックＨ６を含む範囲に決定し、また、フックＨ４の監視範囲を、ノード４のフックＨ４より後の範囲及びフックＨ６を含む範囲に決定し、また、フックＨ５の監視範囲を、ノード５のフックＨ５より後の範囲及びフックＨ６を含む範囲に決定し、また、フックＨ６の監視範囲を、ノード６のフックＨ６より後の範囲を含む範囲に決定する。

【0053】

ここで、フックＨ６については、フックＨ６を含むノード６を辿っても、フックを発見できない。そのため、ホワイトリスト作成部１０３は、フックＨ６の監視範囲にはフックを追加しない。

【0054】

以上の図５のホワイトリスト作成部１０３の動作のうち、ＣＦＧ上の各フックの監視範囲を決定するまでの動作を要約すると、以下のようになる。ホワイトリスト作成部１０３は、ＣＦＧ上のフックを順次選択し、選択したフックの監視範囲を決定していく。このとき、ホワイトリスト作成部１０３は、所定の規則に従って、選択したフックの監視範囲にノードを追加する。そして、ホワイトリスト作成部１０３は、選択したフックの監視範囲に追加したノードの次に実行される可能性のあるフックを検索し、発見したフックを、選択したフックの監視範囲に追加する。

【0055】

［実施の形態１の効果］
次に、本実施の形態１に係る監視範囲決定装置１００の効果について説明する。
本実施の形態１によれば、ホワイトリスト作成部１０３は、ＣＦＧ上の改ざん検知機能呼び出し関数を順次選択する。そして、ホワイトリスト作成部１０３は、所定の規則に従って、選択した改ざん検知機能呼び出し関数の監視範囲にノードを追加し、追加したノードの次に実行される可能性のある改ざん検知機能呼び出し関数を検索し、発見した改ざん検知機能呼び出し関数を、選択した改ざん検知機能呼び出し関数の監視範囲に追加する。そのため、改ざん検知機能呼び出し関数自体を監視できるように、改ざん検知機能呼び出し関数の監視範囲を決定できる。その結果、改ざん検知機能呼び出し関数が機器本来のプログラムと同じメモリ領域に組み込まれる場合においても、改ざん検知機能呼び出し関数自体が攻撃者によって改ざんされることを監視できる。

【0056】

また、本実施の形態１によれば、ホワイトリスト作成部１０３は、ＣＦＧ上のノードを辿っていくだけで、改ざん検知機能呼び出し関数の監視範囲を決定できるため、機械的な処理を行うことができる。

【0057】

［実施の形態２］
上述した実施の形態１に係る監視範囲決定装置１００は、所定の規則に従い、ＣＦＧ上の改ざん検知機能呼び出し関数の監視範囲にノードを追加していくと、ＣＦＧ上のノードは、ＣＦＧ上のいずれかの改ざん検知機能呼び出し関数の監視範囲に必ず追加されると仮定した構成であった。

【0058】

これに対して、本実施の形態２に係る監視範囲決定装置２００は、所定の規則に従い、ＣＦＧ上の改ざん検知機能呼び出し関数の監視範囲にノードを追加しても、ＣＦＧ上の改ざん検知機能呼び出し関数のいずれの監視範囲にも追加されていないノード（以下、適宜監視範囲から漏れたノードと呼ぶ）が存在する構成である。例えば、所定の規則が、改ざん検知機能呼び出し関数を含むノードのみを、当該改ざん検知機能呼び出し関数の監視範囲に追加する規則であるとする。このような規則の場合、図６～図８の例では、所定の規則に従い、フックＨ１の監視範囲に追加するノードは、ノード１のみとなる。その結果、ノード３は、ＣＦＧ上のフックＨ１～Ｈ５のいずれの監視範囲にも追加されておらず、監視範囲から漏れたノードとなる。

【0059】

［実施の形態２の構成］
まず、図９を参照して、本実施の形態２に係る監視範囲決定装置２００の構成例について説明する。
図９を参照すると、本実施の形態２に係る監視範囲決定装置２００は、上述した実施の形態１に係る監視範囲決定装置１００におけるホワイトリスト作成部１０３を、ホワイトリスト作成部２０３に置き換えたものである。監視範囲決定装置２００は、それ以外の構成については、監視範囲決定装置１００と同じであるため、詳細な説明は省略する。

【0060】

本実施の形態２に係るホワイトリスト作成部２０３は、上述した実施の形態１に係るホワイトリスト作成部１０３と同様に、ＣＦＧ上の改ざん検知機能呼び出し関数を順次選択し、所定の規則に従って、選択した改ざん検知機能呼び出し関数の監視範囲にノードを追加し、追加したノードの次に実行される可能性のある改ざん検知機能呼び出し関数を検索する。このとき、ホワイトリスト作成部２０３は、次に実行される可能性のある改ざん検知機能呼び出し関数を発見するまでに、ＣＦＧ上の改ざん検知機能呼び出し関数のいずれの監視範囲にも追加されていないノードを発見した場合、発見したノードも、選択した改ざん検知機能呼び出し関数の監視範囲に追加する。

【0061】

［実施の形態２の動作］
本実施の形態２に係る監視範囲決定装置２００の全体の動作は、上述した実施の形態１に係る監視範囲決定装置１００の図４の動作と同じである。
そこで、以下では、図１０の流れ図を参照して、図４のステップＡ３でホワイトリスト作成部２０３が行う動作について詳細に説明する。ここでは、図１１も参照して説明を行う。図１１は、ホワイトリスト作成部２０３が図１０に沿って改ざん検知機能呼び出し関数の監視範囲を決定する過程の例を説明する図である。

【0062】

本実施の形態２に係るホワイトリスト作成部２０３の動作は、以下の動作を除き、上述した実施の形態１に係るホワイトリスト作成部１０３の図５の動作と同じである。ここでは、ホワイトリスト作成部２０３が、ステップＢ３で当該フックとして図１１のフックＨ１を選択した場合を例に挙げて説明を行う。

【0063】

ステップＢ４においては、ホワイトリスト作成部２０３は、所定の規則に従って、当該フックの監視範囲にノードを追加する。ここでは、所定の規則は、当該フックを含むノードのみを、当該フックの監視範囲に追加する規則であるものとする。当該フックとしてフックＨ１を選択した例では、フックＨ１を含むノードは、ノード１である。そのため、ホワイトリスト作成部２０３は、図１１に示されるように、ノード１を含む範囲Ｒ１１を、フックＨ１の監視範囲に追加する。

【0064】

ステップＢ４の次に行われるステップＢ１０においては、ホワイトリスト作成部２０３は、ＣＦＧの中から、当該フックの監視対象フックを検索するとともに、監視対象フックを発見するまでの間は、監視範囲から漏れたノードも検索する。

【0065】

ステップＢ６又はステップＢ７の次に行われるステップＢ１１においては、ホワイトリスト作成部２０３は、当該フックの監視対象フックを発見するまでに、監視範囲から漏れたノードが発見されたか否かを判断する。監視範囲から漏れたノードが発見された場合（ステップＢ１１がＹＥＳの場合）は、ステップＢ１２へ進み、監視範囲から漏れたノードが発見されなかった場合（ステップＢ１１がＮＯの場合）は、ステップＢ１２をスキップして、ステップＢ８へ進む。当該フックとしてフックＨ１を選択した例では、ホワイトリスト作成部２０３は、ステップＢ４及び図１１において、フックＨ１の監視範囲にノード１を追加している。そのため、ホワイトリスト作成部２０３は、ノード１を辿り、監視範囲から漏れたノード３を発見する。そのため、この例では、ステップＢ１２へ進む。

【0066】

ステップＢ１１で監視範囲から漏れたノードが発見された場合（ステップＢ１１がＹＥＳの場合）に行われるステップＢ１２においては、ホワイトリスト作成部２０３は、発見した全てのノードを、当該フックの監視範囲に追加する。その後、ステップＢ８へ進む。当該フックとしてフックＨ１を選択した例では、ホワイトリスト作成部２０３は、ステップＢ１０において、監視範囲から漏れたノードとして、ノード３を発見している。そのため、この例では、ホワイトリスト作成部２０３は、ノード３をフックＨ１の監視範囲に追加する。また、この例では、ホワイトリスト作成部２０３は、ステップＢ１０において、フックＨ１の監視対象フックとして、フックＨ２，Ｈ４，Ｈ５も発見している。そのため、ホワイトリスト作成部１０３は、図１１に示されるように、フックＨ２，Ｈ４，Ｈ５及びノード３を含む範囲Ｒ１２を、フックＨ１の監視範囲に追加する。その結果、この例では、フックＨ１の監視範囲は、最終的には、図１１に示されるように、ノード１を含む範囲Ｒ１１と、フックＨ２，Ｈ４，Ｈ５及びノード３を含む範囲Ｒ１２と、を合わせた範囲となる。

【0067】

［実施の形態２の効果］
次に、本実施の形態２に係る監視範囲決定装置２００の効果について説明する。
本実施の形態２によれば、ホワイトリスト作成部２０３は、所定の規則に従って追加した改ざん検知機能呼び出し関数の次に実行される可能性のある改ざん検知機能呼び出し関数を発見するまでに、ＣＦＧ上の改ざん検知機能呼び出し関数のいずれの監視範囲にも追加されていないノードを発見した場合、発見したノードを、選択した改ざん検知機能呼び出し関数の監視範囲に追加する。そのため、監視範囲から漏れたノードも監視できるように、改ざん検知機能呼び出し関数の監視範囲を決定できる。
本実施の形態２は、それ以外の効果は、上述した実施の形態１と同じである。

【0068】

［実施の形態３］
上述した実施の形態１に係る監視範囲決定装置１００は、監視対象のソフトウェアのバイナリに改ざん検知機能及び改ざん検知機能呼び出し関数を組み込んだ改ざん検知機能組み込みバイナリが入力される構成であった。

【0069】

これに対して、本実施の形態３に係る監視範囲決定装置３００は、監視対象のソフトウェアのソースコードが入力され、入力されたソースコードに改ざん検知機能及び改ざん検知機能呼び出し関数を組み込む処理も行う構成である。
［実施の形態３の構成］
まず、図１２を参照して、本実施の形態３に係る監視範囲決定装置３００の構成例について説明する。
図１２を参照すると、本実施の形態３に係る監視範囲決定装置３００は、上述した実施の形態１に係る監視範囲決定装置１００における入出力部１０１及びＣＦＧ生成部１０２を、それぞれ、入出力部３０１及びＣＦＧ生成部３０２に置き換えると共に、改ざん検知機能組み込み部３０４を追加したものである。監視範囲決定装置３００は、それ以外の構成については、監視範囲決定装置１００と同じであるため、詳細な説明は省略する。

【0070】

本実施の形態３に係る入出力部３０１は、監視対象のソフトウェアのソースコードが入力される。入出力部３０１は、入力されたソースコードを記憶部１０４に記憶させ、改ざん検知機能組み込み部３０４に処理を行うよう通知を送る。

【0071】

また、入出力部３０１は、ホワイトリスト作成部１０３から通知を受け取ると、記憶部１０４から、改ざん検知機能組み込みバイナリ及びホワイトリストを読み出し、読み出した改ざん検知機能組み込みバイナリ及びホワイトリストを出力する。ただし、入出力部３０１は、記憶部１０４から改ざん検知機能組み込みバイナリ及びホワイトリストを読み出すことには限定されない。入出力部３０１は、改ざん検知機能組み込みバイナリをＣＦＧ生成部３０２から受け取ってもよいし、ホワイトリストをホワイトリスト作成部１０３から受け取ってもよい。

【0072】

本実施の形態３に係る改ざん検知機能組み込み部３０４は、入出力部３０１から通知を受け取ると、記憶部１０４からソースコードを読み出し、読み出したソースコードに改ざん検知機能及び改ざん検知機能呼び出し関数を組み込む。改ざん検知機能組み込み部３０４は、改ざん検知機能及び改ざん検知機能呼び出し関数を組み込んだソースコード（以下、改ざん検知機能組み込みソースコードと呼ぶ）を記憶部１０４に記憶させ、ＣＦＧ生成部３０２に処理を行うよう通知を送る。

【0073】

なお、改ざん検知機能組み込み部３０４において、ソースコードに改ざん検知機能及び改ざん検知機能呼び出し関数を組み込む方法は、任意の方法を利用できる。例えば、改ざん検知機能呼び出し関数を組み込む方法に関しては、改ざん検知機能組み込み部３０４は、ＣＦＧ生成部３０２にＣＦＧの生成を依頼し、そのＣＦＧを基に、改ざん検知機能呼び出し関数を組み込むソースコードの組み込み箇所を決定し、決定した組み込み箇所に改ざん検知機能呼び出し関数を組み込んでも良い。

【0074】

本実施の形態３に係るＣＦＧ生成部３０２は、改ざん検知機能組み込み部３０４から通知を受け取ると、記憶部１０４から改ざん検知機能組み込みソースコードを読み出し、ビルドを行う。ＣＦＧ生成部３０２は、ビルドにより生成された改ざん検知機能組み込みバイナリを記憶部１０４に記憶させる。また、ＣＦＧ生成部３０２は、改ざん検知機能組み込みバイナリを解析して、ＣＦＧを生成し、生成したＣＦＧをホワイトリスト作成部１０３へ送る。

【0075】

［実施の形態３の動作］
次に、図１３の流れ図を参照して、本実施の形態３に係る監視範囲決定装置３００の全体の動作例について詳細に説明する。

【0076】

図１３を参照すると、まず、入出力部３０１には、監視対象のソフトウェアのソースコードが入力される。入出力部３０１は、入力されたソースコードを記憶部１０４に記憶させ、改ざん検知機能組み込み部３０４に処理を行うよう通知を送る（ステップＡ５）。

【0077】

改ざん検知機能組み込み部３０４は、入出力部３０１から通知を受け取ると、記憶部１０４から、ステップＡ５で入力されたソースコードを読み出し、読み出したソースコードに改ざん検知機能及び改ざん検知機能呼び出し関数を組み込み、改ざん検知機能組み込みソースコードを生成する。さらに、改ざん検知機能組み込み部３０４は、改ざん検知機能組み込みソースコードを記憶部１０４に記憶させ、ＣＦＧ生成部３０２に処理を行うよう通知を送る（ステップＡ６）。

【0078】

ＣＦＧ生成部３０２は、改ざん検知機能組み込み部３０４から通知を受け取ると、記憶部１０４から、ステップＡ６で生成された改ざん検知機能組み込みソースコードを読み出し、ビルドを行う。さらに、ＣＦＧ生成部３０２は、ビルドにより生成された改ざん検知機能組み込みバイナリを記憶部１０４に記憶させる。さらに、ＣＦＧ生成部３０２は、改ざん検知機能組み込みバイナリを解析して、ＣＦＧを生成し、生成したＣＦＧをホワイトリスト作成部１０３へ送る（ステップＡ７）。

【0079】

ホワイトリスト作成部１０３は、ＣＦＧ生成部３０２から、ステップＡ７で生成されたＣＦＧを受け取ると、受け取ったＣＦＧを基に、記憶部１０４から改ざん検知機能組み込みバイナリを読み出す。さらに、ホワイトリスト作成部１０３は、ＣＦＧ及び改ざん検知機能組み込みバイナリを基に、ホワイトリストを作成する。さらに、ホワイトリスト作成部１０３は、作成したホワイトリストを記憶部１０４に記憶させ、入出力部３０１に処理を行うよう通知を送る（ステップＡ８）。なお、ステップＡ８においては、上述した実施の形態１で説明した図５と同様の動作を行えば良い。

【0080】

入出力部３０１は、ホワイトリスト作成部１０３から通知を受け取ると、記憶部１０４から、ステップＡ７で生成された改ざん検知機能組み込みバイナリ及びステップＡ８で作成されたホワイトリストを読み出し、読み出した改ざん検知機能組み込みバイナリ及びホワイトリストを出力する（ステップＡ９）。

【0081】

［実施の形態３の効果］
次に、本実施の形態３に係る監視範囲決定装置３００の効果について説明する。
本実施の形態３によれば、ソースコードに改ざん検知機能及び改ざん検知機能呼び出し関数を組み込む改ざん検知機能組み込み部３０４を設けている。そのため、改ざん検知機能及び改ざん検知機能呼び出し関数の組み込みから、ＣＦＧ上の改ざん検知機能呼び出し関数の監視範囲の決定までを、行うことができる。
本実施の形態３は、それ以外の効果は、上述した実施の形態１と同じである。

【0082】

なお、本実施の形態３は、上述した実施の形態１を変形した例として説明したが、これには限定されない。本実施の形態３は、上述した実施の形態２を変形した例とすることも可能である。上述した実施の形態２を変形する場合、図１３のステップＡ８においては、上述した実施の形態２で説明した図１０と同様の動作を行えば良い。

【0083】

［実施の形態４］
次に、図１４を参照して、本実施の形態４に係る監視範囲決定装置４００のハードウェア構成例について説明する。
図１４を参照すると、監視範囲決定装置４００は、プロセッサ４０１と、メモリ４０２と、を含む。

【0084】

プロセッサ４０１は、例えば、ＭＰＵ（Ｍｉｃｒｏ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）、またはＣＰＵであってもよい。プロセッサ４０１は、複数のプロセッサを含んでもよい。メモリ４０２は、揮発性メモリ及び不揮発性メモリの組み合わせによって構成される。メモリ４０２は、プロセッサ４０１から離れて配置されたストレージを含んでもよい。この場合、プロセッサ４０１は、図示されていないＩ／Ｏインタフェースを介してメモリ４０２にアクセスしてもよい。

【0085】

上述した実施の形態１，２，３に係る監視範囲決定装置１００，２００，３００は、それぞれ、図１４に示したハードウェア構成を有することができる。上述した実施の形態１，２，３に係る監視範囲決定装置１００，２００，３００の入出力部１０１，３０１、ＣＦＧ生成部１０２，３０２、ホワイトリスト作成部１０３，２０３、及び改ざん検知機能組み込み部３０４は、プロセッサ４０１がメモリ４０２に記憶されたプログラムを読み込んで実行することにより実現されてもよい。また、上述した実施の形態１，２，３に係る監視範囲決定装置１００，２００，３００の記憶部１０４は、メモリ４０２により実現されてもよい。

【0086】

プログラムは、様々なタイプの非一時的なコンピュータ可読媒体（ｎｏｎ－ｔｒａｎｓｉｔｏｒｙ ｃｏｍｐｕｔｅｒ ｒｅａｄａｂｌｅ ｍｅｄｉｕｍ）を用いて格納され、監視範囲決定装置１００，２００，３００に供給することができる。非一時的なコンピュータ可読媒体の例は、磁気記録媒体（例えばフレキシブルディスク、磁気テープ、ハードディスクドライブ）、光磁気記録媒体（例えば光磁気ディスク）を含む。さらに、非一時的なコンピュータ可読媒体の例は、ＣＤ－ＲＯＭ（Ｒｅａｄ Ｏｎｌｙ Ｍｅｍｏｒｙ） 、ＣＤ－Ｒ、ＣＤ－Ｒ／Ｗを含む。さらに、非一時的なコンピュータ可読媒体の例は、半導体メモリを含む。半導体メモリは、例えば、マスクＲＯＭ、ＰＲＯＭ（Ｐｒｏｇｒａｍｍａｂｌｅ ＲＯＭ）、ＥＰＲＯＭ（Ｅｒａｓａｂｌｅ ＰＲＯＭ）、フラッシュＲＯＭ、ＲＡＭ（Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）を含む。また、プログラムは、様々なタイプの一時的なコンピュータ可読媒体（ｔｒａｎｓｉｔｏｒｙ ｃｏｍｐｕｔｅｒ ｒｅａｄａｂｌｅ ｍｅｄｉｕｍ）によって監視範囲決定装置１００，２００，３００に供給されてもよい。一時的なコンピュータ可読媒体の例は、電気信号、光信号、及び電磁波を含む。一時的なコンピュータ可読媒体は、電線及び光ファイバ等の有線通信路、又は無線通信路を介して、プログラムを監視範囲決定装置１００，２００に供給できる。

【0087】

以上、実施の形態を参照して本開示を説明したが、本開示は上述した実施の形態に限定されるものではない。本開示の構成や詳細には、本開示のスコープ内で当業者が理解し得る様々な変更をすることができる。

【0088】

例えば、上述した実施の形態においては、監視対象のソフトウェアに組み込む改ざん検知機能が、ハッシュ値を用いたホワイトリスト型の改ざん検知機能であるものとして説明したが、これには限定されない。例えば、本開示は、動作中の機器のメモリの情報を、正常時の機器のメモリの情報と比較し、その比較の結果に基づいて、改ざんの有無を監視する構成であれば、任意の改ざん検知機能に適用可能である。

【符号の説明】

【0089】

１００ 監視範囲決定装置
１０１ 入出力部
１０２ ＣＦＧ生成部
１０３ ホワイトリスト作成部
１０４ 記憶部
２００ 監視範囲決定装置
２０３ ホワイトリスト作成部
３００ 監視範囲決定装置
３０１ 入出力部
３０２ ＣＦＧ生成部
３０４ 改ざん検知機能組み込み部
４００ 監視範囲決定装置
４０１ プロセッサ
４０２ メモリ

【図1】

【図2】

【図3】

【図4】

【図5】

【図6】

【図7】

【図8】

【図9】

【図10】

【図11】

【図12】

【図13】

【図14】