ホーム > 特許ランキング > 日本電信電話株式会社
(19)【発行国】日本国特許庁(JP)
(12)【公報種別】特許公報(B2)
(11)【特許番号】
(24)【登録日】2024-10-15
(45)【発行日】2024-10-23
(54)【発明の名称】判定装置、判定方法および判定プログラム
(51)【国際特許分類】
G06F 21/56 20130101AFI20241016BHJP
【ＦＩ】
G06F21/56
【請求項の数】
6
(21)【出願番号】P 2023506454
(86)(22)【出願日】2021-03-16
(86)【国際出願番号】 JP2021010691
(87)【国際公開番号】W WO2022195732
(87)【国際公開日】2022-09-22
【審査請求日】2023-07-20
(73)【特許権者】
【識別番号】000004226
【氏名又は名称】日本電信電話株式会社
(74)【代理人】
【識別番号】110002147
【氏名又は名称】弁理士法人酒井国際特許事務所
(72)【発明者】
【氏名】碓井 利宣
(72)【発明者】
【氏名】幾世 知範
(72)【発明者】
【氏名】川古谷 裕平
(72)【発明者】
【氏名】岩村 誠
(72)【発明者】
【氏名】三好 潤
【審査官】高橋 克
(56)【参考文献】
【文献】特表２０１３－５２９３３５（ＪＰ，Ａ）
【文献】特表２０１５－５３５１１５（ＪＰ，Ａ）
【文献】国際公開第２０１６／０８０２３２（ＷＯ，Ａ１）
【文献】中国特許出願公開第１１０５２１１７７（ＣＮ，Ａ）
【文献】米国特許第１０２５０６２１（ＵＳ，Ｂ１）
(58)【調査した分野】(Int.Cl.，ＤＢ名)
Ｇ０６Ｆ ２１／５６
(57)【特許請求の範囲】
【請求項1】
マルウェアを収集する収集部と、
前記マルウェアの特徴を抽出する抽出部と、
前記抽出部によって抽出された前記特徴に基づいてクラスタリングし、前記マルウェアを所定のクラスタに分類する分類部と、
前記分類部によって分類された前記クラスタに基づいて、前記マルウェアの攻撃の傾向を判定する攻撃傾向判定部と、
前記攻撃傾向判定部によって判定された結果に基づいて、前記マルウェアの活動痕跡から生成された痕跡情報の有効性を判定する有効性判定部と
を備え、
前記分類部は、前記収集部によって前記マルウェアが収集された場合には、前記クラスタを新たなマルウェアが収集されるごとに更新し、
前記攻撃傾向判定部は、前記クラスタの更新履歴に基づいて、前記クラスタごとの未更新期間を計算し、該未更新期間から前記攻撃の継続性を判定し、
前記有効性判定部は、前記未更新期間が所定値以上の場合には、前記クラスタに分類される前記マルウェアの前記痕跡情報を無効と判定し、
前記攻撃傾向判定部は、過去に前記攻撃が終了したと判定された前記クラスタであっても、新たに更新された前記クラスタが存在する場合には、該当する前記クラスタに分類される前記マルウェアの前記攻撃が再開され、前記攻撃が継続していると判定する
ことを特徴とする判定装置。
【請求項2】
前記抽出部は、前記特徴として、前記マルウェアから、亜種間で類似性の高い特徴を抽出することを特徴とする請求項１に記載の判定装置。
【請求項3】
前記抽出部は、前記特徴として、前記マルウェアのＡＰＩトレースまたはメタデータを所定の方法で抽出し、前記分類部は、前記マルウェアをファミリーまたは攻撃キャンペーンごとのクラスタに分類し、
前記攻撃傾向判定部は、前記攻撃の傾向として、前記マルウェアの攻撃の継続性を判定することを特徴とする請求項１に記載の判定装置。
【請求項4】
前記有効性判定部によって判定された前記有効性に基づいて、前記マルウェアの有効な痕跡情報を生成する生成部をさらに備えることを特徴とする請求項１から３のいずれか１項に記載の判定装置。
【請求項5】
判定装置によって実行される判定方法であって、マルウェアを収集する収集工程と、
前記マルウェアの特徴を抽出する抽出工程と、
前記抽出工程によって抽出された前記特徴に基づいてクラスタリングし、前記マルウェアを所定のクラスタに分類する分類工程と、
前記分類工程によって分類された前記クラスタに基づいて、前記マルウェアの攻撃の傾向を判定する攻撃傾向判定工程と、
前記攻撃傾向判定工程によって判定された結果に基づいて、前記マルウェアの活動痕跡から生成された痕跡情報の有効性を判定する有効性判定工程と
を含み、
前記分類工程は、前記収集工程によって前記マルウェアが収集された場合には、前記クラスタを新たなマルウェアが収集されるごとに更新し、
前記攻撃傾向判定工程は、前記クラスタの更新履歴に基づいて、前記クラスタごとの未更新期間を計算し、該未更新期間から前記攻撃の継続性を判定し、
前記有効性判定工程は、前記未更新期間が所定値以上の場合には、前記クラスタに分類される前記マルウェアの前記痕跡情報を無効と判定し、
前記攻撃傾向判定工程は、過去に前記攻撃が終了したと判定された前記クラスタであっても、新たに更新された前記クラスタが存在する場合には、該当する前記クラスタに分類される前記マルウェアの前記攻撃が再開され、前記攻撃が継続していると判定する
ことを特徴とする判定方法。
【請求項6】
マルウェアを収集する収集ステップと、
前記マルウェアの特徴を抽出する抽出ステップと、
前記抽出ステップによって抽出された前記特徴に基づいてクラスタリングし、前記マルウェアを所定のクラスタに分類する分類ステップと、
前記分類ステップによって分類された前記クラスタに基づいて、前記マルウェアの攻撃の傾向を判定する攻撃傾向判定ステップと、
前記攻撃傾向判定ステップによって判定された結果に基づいて、前記マルウェアの活動痕跡から生成された痕跡情報の有効性を判定する有効性判定ステップと
をコンピュータに実行させ、
前記分類ステップは、前記収集ステップによって前記マルウェアが収集された場合には、前記クラスタを新たなマルウェアが収集されるごとに更新し、
前記攻撃傾向判定ステップは、前記クラスタの更新履歴に基づいて、前記クラスタごとの未更新期間を計算し、該未更新期間から前記攻撃の継続性を判定し、
前記有効性判定ステップは、前記未更新期間が所定値以上の場合には、前記クラスタに分類される前記マルウェアの前記痕跡情報を無効と判定し、
前記攻撃傾向判定ステップは、過去に前記攻撃が終了したと判定された前記クラスタであっても、新たに更新された前記クラスタが存在する場合には、該当する前記クラスタに分類される前記マルウェアの前記攻撃が再開され、前記攻撃が継続していると判定する
ことを特徴とする判定プログラム。
【発明の詳細な説明】
【技術分野】
【0001】
本発明は、判定装置、判定方法および判定プログラムに関する。
【背景技術】
【0002】
近年、マルウェアの巧妙化に伴い、シグネチャに基づいて検出する従来型のアンチウイルスソフトウェアでは検出の難しいマルウェアが増加してきている。また、送受信されたファイルを隔離された解析用の環境で動作させ、観測された挙動の悪性度からマルウェアを検出する動的解析サンドボックスによる検出も存在するが、一般的なユーザ環境との乖離度を見る方法等により、解析用の環境であることが感知され、回避されるようになってきた。
【0003】
このような背景から、ＥＤＲ（Endpoint Detection and Response）と呼ばれるマルウェア対策技術が用いられるようになってきた。ＥＤＲでは、解析用に用意した環境ではなく、ユーザの端末にインストールされるエージェントを用いて、端末の挙動を継続的に監視する。そして、あらかじめ用意された、マルウェアが活動した際に残す痕跡を検出するためのいわば挙動のシグネチャである痕跡情報（ＩＯＣ：Indicator of Compromise）を用いて、マルウェアを検出する。具体的には、ＥＤＲは、端末で観測された挙動とＩＯＣを照合し、一致する場合はマルウェアに感染した疑いがあるとして検出する。
【0004】
したがって、ＥＤＲによるマルウェアの検出の可否は、あるマルウェアの検出に有用なＩＯＣが保持されているかに依存する。一方、ＩＯＣがマルウェアのみならず正規のソフトウェアの活動の痕跡にも一致してしまうような場合には、誤検知に繋がるという問題がある。それゆえに、ただ闇雲にマルウェアの痕跡をＩＯＣにして数を増やすのではなく、検出に有用な痕跡を選択的に抽出してＩＯＣにしていく必要がある。
【0005】
また、ＥＤＲが一度に照合できるＩＯＣの観点からも、検出に有用な痕跡を選択的に抽出してＩＯＣにしていく必要が生じる。すなわち、ＥＤＲは一般に多くのＩＯＣを持つほど照合に時間がかかるため、より少ない数のＩＯＣでより多くの種類のマルウェアを検出するＩＯＣの組み合わせを持つことが望ましい。その際に、検出に有用でない活動痕跡からＩＯＣを生成してしまうと、無用に照合の時間をかけてしまうことに繋がる。
【0006】
現在では、日々新しいマルウェアが生み出されており、それに対応したＩＯＣも変化し続ける。そのため、それらに対して継続的に対応するためには、マルウェアを自動的に解析して活動の痕跡を抽出し、ＩＯＣを生成していく必要がある。ＩＯＣは、マルウェアを解析して得られた活動痕跡に基づいて生成される。一般に、マルウェアの挙動を監視しながら実行して得られた痕跡を収集し、それに正規化を施したり、検知に適した組み合わせ選択したりすることで、ＩＯＣとする。以上から、マルウェアの検出に有用な活動痕跡を、選択的かつ自動的に抽出する技術が希求される。
【0007】
例えば、非特許文献１では、複数のマルウェア間で繰り返し観測される痕跡のパターンを抽出し、ＩＯＣとして用いる手法を提案している。また、非特許文献２では、同一ファミリーのマルウェア間で共起する痕跡の集合を抽出し、集合の最適化手法によってＩＯＣの複雑度が高まるのを防ぐことで、人間が理解しやすいＩＯＣを自動で生成する手法を提案している。これらの手法によれば、実行トレースログからマルウェアの検出に貢献し得るＩＯＣを自動的に抽出することが可能である。
【0008】
ここで、実行トレースとは、実行時に様々な観点からの挙動を順に記録していくことで、プログラムの実行状況を追跡するものである。また、これを実現するために、挙動を監視して記録する機能を備えたプログラムを、トレーサと呼ぶ。たとえば、実行されたＡＰＩ（Application Programming Interface）を順に記録したものをＡＰＩトレースと呼び、それを実現するためのプログラムをＡＰＩトレーサと呼ぶ。
【先行技術文献】
【非特許文献】
【0009】
【文献】Christian Doll et al. "Automated Pattern Inference Based on Repeatedly Observed Malware Artifacts." Proceedings of the 14th International Conference on Availability, Reliability and Security. 2019.
【文献】Yuma Kurogome et al. "EIGER: Automated IOC Generation for Accurate and Interpretable Endpoint Malware Detection." Proceedings of the 35th Annual Computer Security Applications Conference. 2019.
【発明の概要】
【発明が解決しようとする課題】
【0010】
しかしながら、上述した従来技術では、生成されたＩＯＣがどの期間では有効にすべきで、どの期間では無効にすべきなのかが決定されないという課題があった。ＥＤＲは、保持しているＩＯＣを１つずつ順に照合していくことで、マルウェアを検出する。そのため、ＩＯＣの数が多くなればなるほど、照合にかかる時間も長くなる。一方、マルウェアの検出にかけられる時間や計算資源は、ユーザの端末上でランタイムで検査をするという観点から、一定の範囲に限られる。そのため、検査に同時に用いられるＩＯＣの数は有限であり、検知に寄与しない無効なＩＯＣは、可能な限り除外したい。
【0011】
ＩＯＣが対応するマルウェアには、主にそのファミリーごとに趨勢が存在し、多くは特定の攻撃キャンペーンやアクターに紐付いて用いられる。そして、攻撃キャンペーンの終了後や、アクターがそのマルウェアの運用をやめた後は、ＩＯＣの有効性は失われる場合が多い。一方、一定期間活動を停止していたアクターが活動を再開したことにより、それまであまり見られなくなっていたマルウェアが再び活発化するという場合もある。したがって、こうしたマルウェアの流行にあわせて、ＥＤＲが用いるＩＯＣを無効化および有効化することは、ＥＤＲを効果的に運用する上での重要な課題である。
【課題を解決するための手段】
【0012】
上述した課題を解決し、目的を達成するために、本発明に係る判定装置は、マルウェアの特徴を抽出する抽出部と、前記抽出部によって抽出された前記特徴に基づいてクラスタリングし、前記マルウェアを所定のクラスタに分類する分類部と、前記分類部によって分類された前記クラスタに基づいて、前記マルウェアの攻撃の傾向を判定する攻撃傾向判定部と、前記攻撃傾向判定部によって判定された結果に基づいて、前記マルウェアの活動痕跡から生成された痕跡情報の有効性を判定する有効性判定部とを備えることを特徴とする。
【0013】
また、本発明に係る判定方法は、判定装置によって実行される判定方法であって、マルウェアの特徴を抽出する抽出工程と、前記抽出工程によって抽出された前記特徴に基づいてクラスタリングし、前記マルウェアを所定のクラスタに分類する分類工程と、前記分類工程によって分類された前記クラスタに基づいて、前記マルウェアの攻撃の傾向を判定する攻撃傾向判定工程と、前記攻撃傾向判定工程によって判定された結果に基づいて、前記マルウェアの活動痕跡から生成された痕跡情報の有効性を判定する有効性判定工程とを含むことを特徴とする。
【0014】
また、本発明に係る判定プログラムは、マルウェアの特徴を抽出する抽出ステップと、 前記抽出ステップによって抽出された前記特徴に基づいてクラスタリングし、前記マルウェアを所定のクラスタに分類する分類ステップと、前記分類ステップによって分類された前記クラスタに基づいて、前記マルウェアの攻撃の傾向を判定する攻撃傾向判定ステップと、前記攻撃傾向判定ステップによって判定された結果に基づいて、前記マルウェアの活動痕跡から生成された痕跡情報の有効性を判定する有効性判定ステップとをコンピュータに実行させることを特徴とする。
【発明の効果】
【0015】
本発明では、生成されたＩＯＣの有効性を判定することにより、ＥＤＲをより効果的に運用することができる。
【図面の簡単な説明】
【0016】
【発明を実施するための形態】
【0017】
以下に、本発明に係る痕跡情報判定装置（適宜、判定装置）、痕跡情報判定方法（適宜、判定方法）および痕跡情報判定プログラム（適宜、判定プログラム）の実施形態を図面に基づいて詳細に説明する。なお、本発明は、以下に説明する実施形態により限定されるものではない。
【0018】
〔第１の実施形態〕
以下に、本実施形態に係る痕跡情報判定システムの構成、痕跡情報判定装置の構成、クラスタリング処理の概要、痕跡情報有効性判定処理の概要、痕跡情報判定処理の全体の流れ、攻撃傾向判定処理の流れ、痕跡情報有効性判定処理の流れを順に説明し、最後に本実施形態の効果を説明する。
以下に、本実施形態に係る痕跡情報判定システムの構成、痕跡情報判定装置の構成、クラスタリング処理の概要、痕跡情報有効性判定処理の概要、痕跡情報判定処理の全体の流れ、攻撃傾向判定処理の流れ、痕跡情報有効性判定処理の流れを順に説明し、最後に本実施形態の効果を説明する。
【0019】
［痕跡情報判定システムの構成］
図１を用いて、本実施形態に係る痕跡情報判定システム（適宜、本システム）１００の構成を詳細に説明する。図１は、第１の実施形態に係る痕跡情報判定システムの構成例を示す図である。本システム１００は、痕跡情報判定装置１０、センサとして機能するマルウェア収集装置２０、ＳＯＣ（Security Operation Center）やＣＳＩＲＴ（Computer Security Incident Response Team）等のセキュリティ対策組織３０（３０Ａ、３０Ｂ、３０Ｃ）および痕跡情報データベース４０を有する。ここで、痕跡情報判定装置１０とマルウェア収集装置２０とセキュリティ対策組織３０と痕跡情報データベース４０とは、図示しない所定の通信網を介して、有線または無線により通信可能に接続される。なお、図１に示した痕跡情報判定システム１００には、複数台の痕跡情報判定装置１０、複数台のマルウェア収集装置２０、複数台の痕跡情報データベース４０が含まれてもよい。
図１を用いて、本実施形態に係る痕跡情報判定システム（適宜、本システム）１００の構成を詳細に説明する。図１は、第１の実施形態に係る痕跡情報判定システムの構成例を示す図である。本システム１００は、痕跡情報判定装置１０、センサとして機能するマルウェア収集装置２０、ＳＯＣ（Security Operation Center）やＣＳＩＲＴ（Computer Security Incident Response Team）等のセキュリティ対策組織３０（３０Ａ、３０Ｂ、３０Ｃ）および痕跡情報データベース４０を有する。ここで、痕跡情報判定装置１０とマルウェア収集装置２０とセキュリティ対策組織３０と痕跡情報データベース４０とは、図示しない所定の通信網を介して、有線または無線により通信可能に接続される。なお、図１に示した痕跡情報判定システム１００には、複数台の痕跡情報判定装置１０、複数台のマルウェア収集装置２０、複数台の痕跡情報データベース４０が含まれてもよい。
【0020】
まず、痕跡情報判定装置１０は、マルウェア収集装置２０からマルウェアの入力を受け付ける（ステップＳ１）。ここで、マルウェア収集装置２０は、VirusTotal等の研究用のマルウェア共有サービス、組織内のＣＳＩＲＴ、ハニーポット等のマルウェアの情報を収集する専用の機器であるが、特に限定されない。マルウェア収集装置２０は、一般的なネットワーク等の利用者が所有するＰＣ（Personal Computer）、スマートフォン、タブレット端末等であってもよい。
【0021】
次に、痕跡情報判定装置１０は、入力を受け付けたマルウェアを解析し、マルウェアの分類に寄与する特徴（適宜、「マルウェアの特徴」または「マルウェア特徴」）を取り出す（ステップＳ２）。このとき、痕跡情報判定装置１０は、亜種間で類似性の高い特徴（例：ＡＰＩトレースやファイルのメタデータ）を取り出す。なお、痕跡情報判定装置１０による詳細なマルウェアの収集処理およびマルウェアの特徴取得処理については、［痕跡情報判定処理全体の流れ］にて後述する。
【0022】
ＡＰＩトレースやメタデータ等の特徴は、一般に亜種のマルウェア間での類似性が高い。そのため、そうした特徴に基づいてクラスタリングすることで、亜種のマルウェア同士が同じクラスタに分類されることが期待できる。攻撃キャンペーンや同一のアクターによる攻撃では、亜種のマルウェアが継続的に用いられるため、前述の得られたクラスタを継続的に見ることで、攻撃キャンペーンや同一のアクターによる攻撃の傾向（例えば、攻撃の継続状況等）を知ることができる。
【0023】
続いて、痕跡情報判定装置１０は、得られたマルウェアの特徴からマルウェアを分類する（ステップＳ３）。このとき、痕跡情報判定装置１０は、マルウェアの特徴に基づいてクラスタリングを行い、特徴ごとのクラスタを作成する。なお、痕跡情報判定装置１０による詳細なクラスタリング処理については、［クラスタリング処理の概要］にて後述する。
【0024】
また、痕跡情報判定装置１０は、マルウェアによる攻撃の継続を判定する（ステップＳ４）。このとき、痕跡情報判定装置１０は、作成したクラスタの時系列変化に基づいて、クラスタに分類されるマルウェアの攻撃が継続しているかの傾向を判定する。なお、痕跡情報判定装置１０による詳細な攻撃傾向判定処理については、［攻撃傾向判定処理の流れ］にて後述する。
【0025】
一方、痕跡情報判定装置１０は、痕跡情報データベース４０から痕跡情報（ＩＯＣ）を受け取る（ステップＳ５）。ここで、痕跡情報判定装置１０が受け取るＩＯＣは、過去にマルウェア収集装置２０が収集したマルウェアの活動痕跡から生成したＩＯＣであるが、特に限定されない。
【0026】
そして、痕跡情報判定装置１０は、マルウェアの攻撃の状態からＩＯＣの有効性を判定する（ステップＳ６）。このとき、痕跡情報判定装置１０は、マルウェアの攻撃の継続および終了の状態に基づいて、ＩＯＣの有効性を判定する。痕跡情報判定装置１０による詳細なＩＯＣ有効性判定処理については、［痕跡情報有効性判定処理の流れ］にて後述する。
【0027】
最後に、痕跡情報判定装置１０は、ＩＯＣの有効性の判定や有効なＩＯＣをセキュリティ対策組織３０に送信する（ステップＳ７）。痕跡情報判定装置１０が判定やＩＯＣを送信する端末等は、特に限定されない。
【0028】
本実施形態に係る痕跡情報判定システム１００では、攻撃の流行を反映したマルウェアを収集し、その解析によって分類に有効な情報を取得する。そして、その情報に基づいてマルウェアをクラスタリングし、作成されたクラスタの時系列変化に基づいてそのマルウェアによる攻撃が継続しているかを判定する。さらに、攻撃の継続及び終了の状態に基づいてＩＯＣの有効性を判定する。これによって、本システム１００では、マルウェアによる攻撃の流行が継続中か否かを判定し、そのマルウェアのＩＯＣの適切な無効化や有効化を実現できる。
【0029】
また、本システム１００では、マルウェアの攻撃の流行を加味した有効なＩＯＣの選択に有用であり、攻撃に用いられることがなくなり、陳腐化したＩＯＣをＥＤＲによる検知から除外することで、検知を効率化するのに適している。このため、本システム１００を用いて、ＥＤＲに入力するＩＯＣを選択することで、ＥＤＲをより効果的に運用し、ＳＯＣやＣＳＩＲＴ等で有効なマルウェアに対策を講じることが可能である。
【0030】
［痕跡情報判定装置の構成］
図２を用いて、本実施形態に係る痕跡情報判定装置１０の構成を詳細に説明する。図２は、本実施形態に係る痕跡情報判定装置の構成例を示すブロック図である。痕跡情報判定装置１０は、入力部１１、出力部１２、通信部１３、記憶部１４および制御部１５を有する。
図２を用いて、本実施形態に係る痕跡情報判定装置１０の構成を詳細に説明する。図２は、本実施形態に係る痕跡情報判定装置の構成例を示すブロック図である。痕跡情報判定装置１０は、入力部１１、出力部１２、通信部１３、記憶部１４および制御部１５を有する。
【0031】
入力部１１は、当該痕跡情報判定装置１０への各種情報の入力を司る。入力部１１は、例えば、マウスやキーボード等であり、当該痕跡情報判定装置１０への設定情報等の入力を受け付ける。また、出力部１２は、当該痕跡情報判定装置１０からの各種情報の出力を司る。出力部１２は、例えば、ディスプレイ等であり、当該痕跡情報判定装置１０に記憶された設定情報等を出力する。
【0032】
通信部１３は、他の装置との間でのデータ通信を司る。例えば、通信部１３は、各通信装置との間でデータ通信を行う。また、通信部１３は、図示しないオペレータの端末との間でデータ通信を行うことができる。
【0033】
記憶部１４は、制御部１５が動作する際に参照する各種情報や、制御部１５が動作した際に取得した各種情報を記憶する。記憶部１４は、マルウェア特徴記憶部１４ａおよびクラスタ記憶部１４ｂを有する。ここで、記憶部１４は、例えば、ＲＡＭ（Random Access Memory）、フラッシュメモリ等の半導体メモリ素子、または、ハードディスク、光ディスク等の記憶装置等である。なお、図２の例では、記憶部１４は、痕跡情報判定装置１０の内部に設置されているが、痕跡情報判定装置１０の外部に設置されてもよいし、複数の記憶部が設置されていてもよい。
【0034】
マルウェア特徴記憶部１４ａは、制御部１５の抽出部１５ｂによって抽出されたマルウェアの特徴を記憶する。例えば、マルウェア特徴記憶部１４ａは、マルウェアのファミリー名、攻撃キャンペーンの名称等を記憶する。また、クラスタ記憶部１４ｂは、制御部１５の分類部１５ｃの処理によって生成されたクラスタを記憶する。例えば、クラスタ記憶部１４ｂは、クラスタリング処理によってマルウェアのファミリーや攻撃キャンペーンごとに分類されたクラスタに関する情報を記憶する。
【0035】
制御部１５は、当該痕跡情報判定装置１０全体の制御を司る。制御部１５は、収集部１５ａ、抽出部１５ｂ、分類部１５ｃ、攻撃傾向判定部１５ｄ、有効性判定部１５ｅおよび生成部１５ｆを有する。ここで、制御部１５は、例えば、ＣＰＵ（Central Processing Unit）やＭＰＵ（Micro Processing Unit）等の電子回路やＡＳＩＣ（Application Specific Integrated Circuit）やＦＰＧＡ（Field Programmable Gate Array）等の集積回路である。
【0036】
収集部１５ａは、マルウェアを収集する。例えば、収集部１５ａは、流行しているファミリーのマルウェアや進行中の攻撃キャンペーンのマルウェアを検体として収集する。また、収集部１５ａは、マルウェア共有サービス、ＣＳＩＲＴ、ハニーポット等によって収集されたマルウェアの情報を検体として収集する。
【0037】
抽出部１５ｂは、マルウェアの特徴を抽出する。例えば、抽出部１５ｂは、マルウェアの特徴として、マルウェアから、亜種間で類似性の高い特徴を抽出する。また、抽出部１５ｂは、所定の方法でマルウェアのＡＰＩトレースまたはメタデータを抽出する。なお、抽出部１５ｂがマルウェアの特徴を抽出するための処理は、特に限定されない。一方、抽出部１５ｂは、抽出したマルウェアの特徴をマルウェア特徴記憶部１４ａに格納する。
【0038】
分類部１５ｃは、抽出部１５ｂによって抽出されたマルウェアの特徴に基づいてクラスタリングし、マルウェアを所定のクラスタに分類する。例えば、分類部１５ｃは、マルウェアをマルウェアのファミリーまたは攻撃キャンペーンごとのクラスタに分類する。また、分類部１５ｃは、収集部１５ａによってマルウェアが収集された場合には、分類したクラスタを新たなマルウェアが収集されるごとに更新する。一方、分類部１５ｃは、分類したクラスタ、更新したクラスタの情報をクラスタ記憶部１４ｂに格納する。
【0039】
攻撃傾向判定部１５ｄは、分類部１５ｃによって分類されたクラスタに基づいて、マルウェアの攻撃の傾向を判定する。例えば、攻撃傾向判定部１５ｄは、マルウェアの攻撃の傾向として、マルウェアの攻撃の継続性を判定する。また、検知部１５ｄは、クラスタの更新履歴に基づいて、クラスタごとの未更新期間を計算し、未更新期間からマルウェアの攻撃の継続性を判定する。なお、攻撃傾向判定部１５ｄによる詳細な攻撃傾向判定処理については、［攻撃傾向判定処理の流れ］にて後述する。
【0040】
有効性判定部１５ｅは、攻撃傾向判定部１５ｄによって判定された結果に基づいて、マルウェアの活動痕跡から生成された痕跡情報の有効性を判定する。例えば、有効性判定部１５ｅは、未更新期間が所定値以上の場合には、クラスタに分類されるマルウェアの痕跡情報を無効と判定する。なお、有効性判定部１５ｅによる詳細な痕跡情報有効性判定処理については、［痕跡情報有効性判定処理の流れ］にて後述する。
【0041】
生成部１５ｆは、有効性判定部１５ｅによって判定された痕跡情報の有効性に基づいて、マルウェアの有効な痕跡情報を生成する。例えば、生成部１５ｆは、判定部１５ｅによって無効と判定された痕跡情報を除外し、有効と判定された痕跡情報のみから痕跡情報を生成する。また、判定部１５ｅによって有効と判定された痕跡情報に、クラスタの未更新期間に基づく優先度を付与し、痕跡情報を生成してもよい。
【0042】
【0043】
まず、痕跡情報判定装置１０は、マルウェア収集装置２０のセンサ等を介して、マルウェアを収集する（図３（１）参照）。ここで、痕跡情報判定装置１０が収集するマルウェアは、ＩＯＣ適応対象の組織を含んだ攻撃の傾向を反映している必要がある。例えば、「ばらまき型攻撃」であれば、全世界での攻撃の傾向があり、「標的型攻撃」であれば、ＩＯＣを適応する組織に対する攻撃の傾向がある。
【0044】
次に、痕跡情報判定装置１０は、収集したマルウェアを解析し、クラスタリングする（図３（２）参照）。そして、痕跡情報判定装置１０は、クラスタリングの結果、マルウェアの特徴ごとに分類された複数のクラスタを生成する（図３（３）参照）。図３では、痕跡情報判定装置１０がクラスタＡ、クラスタＢおよびクラスタＣを生成している。それぞれのクラスタに含まれるマルウェアの挙動の特徴には、マルウェアファミリーや攻撃キャンペーン等の共通性が見られることとなる（図３（４）参照）。
【0045】
なお、クラスタリングには、ウォード法のような階層的手法を用いてもよいし、Ｋ－ｍｅａｎｓのように非階層的手法を用いてもよい。亜種のマルウェアをまとめることができるものであれば、その手法はこれらに限定されない。
【0046】
【0047】
まず、痕跡情報判定装置１０は、センサとして機能するマルウェア収集装置２０等を介して、マルウェアを継続的に収集する（図４（１）参照）。次に、痕跡情報判定装置１０は、収集したマルウェアを解析し、クラスタリングする（図４（２）参照）。そして、痕跡情報判定装置１０は、クラスタリングの結果、マルウェアの特徴ごとに分類された複数のクラスタを生成し、新たなマルウェアを収集するごとに、クラスタを更新していく。そして、痕跡情報判定装置１０は、一定期間、新たにマルウェアが分類されなくなったクラスタが出てきた場合は、そのクラスタのマルウェアによる攻撃が終了したと見て、ＩＯＣの無効化をしたり、優先度を下げたりする（図４（３）参照）。図４では、痕跡情報判定装置１０がクラスタＡ、クラスタＢおよびクラスタＣを生成し、また更新しており、クラスタＣに一定期間新たなマルウェアが分類されなかったため、クラスタＣに分類されたマルウェアのＩＯＣは無効なものと判断されている。
【0048】
【0049】
まず、痕跡情報判定装置１０の収集部１５ａは、マルウェア収集装置２０から、痕跡情報（ＩＯＣ）の有効性を判定する対象となるマルウェアの入力を受け付ける（ステップＳ１０１）。このとき、収集部１５ａは、マルウェア収集装置２０以外の機器からマルウェアの情報を収集してもよい。また、収集部１５ａは、入力部１１を介して直接入力されたマルウェアの情報を収集してもよい。
【0050】
（特徴抽出処理）
抽出部１５ｂは、マルウェアの分類に寄与する特徴（マルウェアの特徴）を取り出すために、マルウェアを解析する（ステップＳ１０２）。ここで、マルウェアの特徴とは、ＡＰＩトレースやファイルのメタデータ等であり、亜種を反映した分類に寄与する特徴であるが、特に限定されない。抽出部１５ｂは、例えば、マルウェアを隔離環境で実行し、呼び出されたＡＰＩを引数や返り値とともに記録したＡＰＩトレースから、マルウェアの特徴を抽出する。また、抽出部１５ｂは、マルウェアのファイルのヘッダ部分が持つ値を調査するメタデータ抽出を行い、マルウェアの特徴を抽出する。
抽出部１５ｂは、マルウェアの分類に寄与する特徴（マルウェアの特徴）を取り出すために、マルウェアを解析する（ステップＳ１０２）。ここで、マルウェアの特徴とは、ＡＰＩトレースやファイルのメタデータ等であり、亜種を反映した分類に寄与する特徴であるが、特に限定されない。抽出部１５ｂは、例えば、マルウェアを隔離環境で実行し、呼び出されたＡＰＩを引数や返り値とともに記録したＡＰＩトレースから、マルウェアの特徴を抽出する。また、抽出部１５ｂは、マルウェアのファイルのヘッダ部分が持つ値を調査するメタデータ抽出を行い、マルウェアの特徴を抽出する。
【0051】
（クラスタリング処理）
分類部１５ｃは、抽出部１５ｂによって抽出されたマルウェアの特徴（例：ＡＰＩトレースやファイルのメタデータ）に基づいてクラスタリングし、マルウェアをクラスタに分類する（ステップＳ１０３）。また、分類部１５ｃは、収集部１５ａによってマルウェアが収集された場合には、分類したクラスタを新たなマルウェアが収集されるごとに更新する。
分類部１５ｃは、抽出部１５ｂによって抽出されたマルウェアの特徴（例：ＡＰＩトレースやファイルのメタデータ）に基づいてクラスタリングし、マルウェアをクラスタに分類する（ステップＳ１０３）。また、分類部１５ｃは、収集部１５ａによってマルウェアが収集された場合には、分類したクラスタを新たなマルウェアが収集されるごとに更新する。
【0052】
（攻撃傾向判定処理）
攻撃傾向判定部１５ｄは、分類部１５ｃによって分類されたクラスタに基づいて、マルウェアの攻撃の傾向を判定する（ステップＳ１０４）。ここで、マルウェアの攻撃の傾向とは、例えば、マルウェアの攻撃の継続性等であるが、特に限定されず、マルウェアの総数、攻撃の対象、攻撃の種類等であってもよい。また、攻撃傾向判定部１５ｄは、クラスタの更新履歴に基づいて、クラスタごとの未更新期間を計算し、未更新期間からマルウェアの攻撃の継続性を判定する。なお、攻撃傾向判定部１５ｄによる詳細な攻撃傾向判定処理については、［攻撃傾向判定処理の流れ］にて後述する。
攻撃傾向判定部１５ｄは、分類部１５ｃによって分類されたクラスタに基づいて、マルウェアの攻撃の傾向を判定する（ステップＳ１０４）。ここで、マルウェアの攻撃の傾向とは、例えば、マルウェアの攻撃の継続性等であるが、特に限定されず、マルウェアの総数、攻撃の対象、攻撃の種類等であってもよい。また、攻撃傾向判定部１５ｄは、クラスタの更新履歴に基づいて、クラスタごとの未更新期間を計算し、未更新期間からマルウェアの攻撃の継続性を判定する。なお、攻撃傾向判定部１５ｄによる詳細な攻撃傾向判定処理については、［攻撃傾向判定処理の流れ］にて後述する。
【0053】
このとき、攻撃傾向判定部１５ｄは、攻撃の継続性等の攻撃の傾向が変化したマルウェアが見られた場合（ステップＳ１０５：Ｙｅｓ）、ステップＳ１０６のＩＯＣ有効性判定処理へ移行する。一方、攻撃傾向判定部１５ｄは、攻撃の継続性が変化したマルウェアが見られない場合（ステップＳ１０５：Ｎｏ）、処理を終了する。
【0054】
（ＩＯＣ有効性判定処理）
有効性判定部１５ｅは、ステップＳ１０４で判定された攻撃の傾向に基づいて、マルウェアの痕跡情報（ＩＯＣ）の有効性を判定する（ステップＳ１０６）。このとき、有効性判定部１５ｅは、通信部１３を介して判定した結果をセキュリティ対策組織３０に送信してもよい。なお、有効性判定部１５ｅによる詳細なＩＯＣ有効性判定処理については、［痕跡情報有効性判定処理の流れ］にて後述する。
有効性判定部１５ｅは、ステップＳ１０４で判定された攻撃の傾向に基づいて、マルウェアの痕跡情報（ＩＯＣ）の有効性を判定する（ステップＳ１０６）。このとき、有効性判定部１５ｅは、通信部１３を介して判定した結果をセキュリティ対策組織３０に送信してもよい。なお、有効性判定部１５ｅによる詳細なＩＯＣ有効性判定処理については、［痕跡情報有効性判定処理の流れ］にて後述する。
【0055】
最後に、生成部１５ｆは、ステップＳ１０６で判定されたＩＯＣの有効性に基づいて、有効化すべきＩＯＣ、無効化すべきＩＯＣを出力し（ステップＳ１０７）、処理を終了する。このとき、生成部１５ｆは、出力部１２を介して生成したＩＯＣを表示してもよい。また、生成部１５ｆは、通信部１３を介して生成したＩＯＣをセキュリティ対策組織３０に送信してもよい。
【0056】
［攻撃傾向判定処理の流れ］
図６を用いて、本実施形態に係る攻撃傾向判定処理の流れを詳細に説明する。図６は、第１の実施形態に係る攻撃傾向判定処理の流れの一例を示すフローチャートである。まず、痕跡情報判定装置１０の攻撃傾向判定部１５ｄは、クラスタ記憶部１４ｂからクラスタの情報と、クラスタごとの最終更新履歴を取得する（ステップＳ２０１）。このとき、攻撃傾向判定部１５ｄは、クラスタ記憶部１４ｂ以外から、上記のクラスタの情報、クラスタごとの最終更新履歴を取得してもよい。また、攻撃傾向判定部１５ｄは、入力部１１を介して直接入力された上記のクラスタの情報、クラスタごとの最終更新履歴を取得してもよい。
図６を用いて、本実施形態に係る攻撃傾向判定処理の流れを詳細に説明する。図６は、第１の実施形態に係る攻撃傾向判定処理の流れの一例を示すフローチャートである。まず、痕跡情報判定装置１０の攻撃傾向判定部１５ｄは、クラスタ記憶部１４ｂからクラスタの情報と、クラスタごとの最終更新履歴を取得する（ステップＳ２０１）。このとき、攻撃傾向判定部１５ｄは、クラスタ記憶部１４ｂ以外から、上記のクラスタの情報、クラスタごとの最終更新履歴を取得してもよい。また、攻撃傾向判定部１５ｄは、入力部１１を介して直接入力された上記のクラスタの情報、クラスタごとの最終更新履歴を取得してもよい。
【0057】
次に、攻撃傾向判定部１５ｄは、分類部１５ｃから新規に分類された検体情報を取得する（ステップＳ２０２）。ここで、検体情報とは、新たに収集されたマルウェアがどのクラスタに属するかの情報であるが、特に限定されない。このとき、攻撃傾向判定部１５ｄは、クラスタ記憶部１４ｂから新規の検体情報を取得してもよい。
【0058】
続いて、攻撃傾向判定部１５ｄは、各クラスタの未更新期間を計算し（ステップＳ２０３）、未更新期間が閾値以上のクラスタが存在する場合（ステップＳ２０４：Ｙｅｓ）、マルウェアの攻撃が終了したと判定し、該当するクラスタを返り値として出力する（ステップＳ２０５）。一方、攻撃傾向判定部１５ｄは、未更新期間が閾値以上のクラスタが存在しない場合（ステップＳ２０４：Ｎｏ）、ステップＳ２０６に移行する。
【0059】
最後に、攻撃傾向判定部１５ｄは、過去に攻撃が終了したと判定されたクラスタであっても、新たに更新されたクラスタが存在する場合（ステップＳ２０６：Ｙｅｓ）、該当するクラスタに分類されるマルウェアの攻撃が再開され、攻撃が継続していると判定し、該当するクラスタを返り値として出力し（ステップＳ２０７）、処理を終了する。一方、攻撃傾向判定部１５ｄは、過去に攻撃が終了したと判定されたクラスタの中に、新たに更新されたクラスタが存在しない場合（ステップＳ２０６：Ｎｏ）、処理を終了する。
【0060】
［痕跡情報有効性判定処理の流れ］
図７を用いて、本実施形態に係る痕跡情報有効性判定処理の流れを詳細に説明する。図７は、第１の実施形態に係る痕跡情報有効性判定処理の流れの一例を示すフローチャートである。まず、痕跡情報判定装置１０の有効性判定部１５ｅは、攻撃傾向判定部１５ｄから、攻撃が継続しているクラスタと、攻撃が終了しているクラスタとの情報を取得する（ステップＳ３０１）。また、有効性判定部１５ｅは、痕跡情報データベース４０から痕跡情報（ＩＯＣ）の入力を受け付ける（ステップＳ３０２）。このとき、有効性判定部１５ｅは、痕跡情報データベース４０以外から、ＩＯＣの入力を受け付けてもよい。なお、ステップＳ３０１とステップＳ３０２の処理は同時に行われてもよい。また、ステップＳ３０２の処理がステップＳ３０１の処理より先に行われてもよい。
図７を用いて、本実施形態に係る痕跡情報有効性判定処理の流れを詳細に説明する。図７は、第１の実施形態に係る痕跡情報有効性判定処理の流れの一例を示すフローチャートである。まず、痕跡情報判定装置１０の有効性判定部１５ｅは、攻撃傾向判定部１５ｄから、攻撃が継続しているクラスタと、攻撃が終了しているクラスタとの情報を取得する（ステップＳ３０１）。また、有効性判定部１５ｅは、痕跡情報データベース４０から痕跡情報（ＩＯＣ）の入力を受け付ける（ステップＳ３０２）。このとき、有効性判定部１５ｅは、痕跡情報データベース４０以外から、ＩＯＣの入力を受け付けてもよい。なお、ステップＳ３０１とステップＳ３０２の処理は同時に行われてもよい。また、ステップＳ３０２の処理がステップＳ３０１の処理より先に行われてもよい。
【0061】
次に、有効性判定部１５ｅは、攻撃が継続しているクラスタのＩＯＣを有効と判定し、該当するＩＯＣを返り値として出力する（ステップＳ３０３）。また、有効性判定部１５ｅは、攻撃が終了したクラスタのＩＯＣを無効と判定し、該当するＩＯＣを返り値として出力し（ステップＳ３０４）、処理を終了する。なお、ステップＳ３０３とステップＳ３０４の処理は同時に行われてもよい。また、ステップＳ３０４の処理がステップＳ３０３の処理より先に行われてもよい。
【0062】
［第１の実施形態の効果］
第１に、上述した本実施形態に係る痕跡情報判定処理では、マルウェアの特徴を抽出し、抽出したマルウェアの特徴に基づいてクラスタリングし、マルウェアを所定のクラスタに分類し、分類したクラスタに基づいて、マルウェアの攻撃の傾向を判定し、判定した結果に基づいて、マルウェアの活動痕跡から生成された痕跡情報（ＩＯＣ）の有効性を判定する。このため、本処理では、生成されたＩＯＣの有効性を判定することにより、ＥＤＲをより効果的に運用することができる。
第１に、上述した本実施形態に係る痕跡情報判定処理では、マルウェアの特徴を抽出し、抽出したマルウェアの特徴に基づいてクラスタリングし、マルウェアを所定のクラスタに分類し、分類したクラスタに基づいて、マルウェアの攻撃の傾向を判定し、判定した結果に基づいて、マルウェアの活動痕跡から生成された痕跡情報（ＩＯＣ）の有効性を判定する。このため、本処理では、生成されたＩＯＣの有効性を判定することにより、ＥＤＲをより効果的に運用することができる。
【0063】
第２に、上述した本実施形態に係る痕跡情報判定処理では、マルウェアの特徴として、マルウェアから、亜種間で類似性の高い特徴を抽出する。このため、本処理では、マルウェアの類似性を考慮して、生成されたＩＯＣの有効性を判定することにより、ＥＤＲをより効果的に運用することができる。
【0064】
第３に、上述した本実施形態に係る痕跡情報判定処理では、マルウェアの特徴として、マルウェアのＡＰＩトレースまたはメタデータを抽出し、マルウェアをマルウェアのファミリーまたは攻撃キャンペーンごとのクラスタに分類し、マルウェアの攻撃の傾向として、マルウェアの攻撃の継続性を判定する。このため、本処理では、マルウェアの流行を考慮して、生成されたＩＯＣの有効性を判定することにより、ＥＤＲをより効果的に運用することができる。
【0065】
第４に、上述した本実施形態に係る痕跡情報判定処理では、マルウェアを収集し、マルウェアが収集された場合には、分類したクラスタを新たなマルウェアを収集するごとに更新し、クラスタの更新履歴に基づいて、クラスタごとの未更新期間を計算し、未更新期間から攻撃の継続性を判定し、未更新期間が所定値以上の場合には、クラスタに分類されるマルウェアの痕跡情報を無効と判定する。本処理では、マルウェアの流行を考慮して、生成されたＩＯＣの有効性をより迅速に判定することにより、ＥＤＲをより効果的に運用することができる。
【0066】
第５に、上述した本実施形態に係る痕跡情報判定処理では、判定したＩＯＣの有効性に基づいて、マルウェアの有効な痕跡情報を生成する。本処理では、マルウェアの流行を考慮して、生成されたＩＯＣの有効性をより迅速に判定し、有効なＩＯＣを生成することにより、ＥＤＲをより効果的に運用することができる。
【0067】
〔システム構成等〕
上記実施形態に係る図示した各装置の各構成要素は機能概念的なものであり、必ずしも物理的に図示のごとく構成されていることを要しない。すなわち、各装置の分散・統合の具体的形態は図示のものに限られず、その全部または一部を、各種の負荷や使用状況などに応じて、任意の単位で機能的または物理的に分散・統合して構成することができる。さらに、各装置にて行なわれる各処理機能は、その全部または任意の一部が、ＣＰＵおよび当該ＣＰＵにて解析実行されるプログラムにて実現され、あるいは、ワイヤードロジックによるハードウェアとして実現され得る。
上記実施形態に係る図示した各装置の各構成要素は機能概念的なものであり、必ずしも物理的に図示のごとく構成されていることを要しない。すなわち、各装置の分散・統合の具体的形態は図示のものに限られず、その全部または一部を、各種の負荷や使用状況などに応じて、任意の単位で機能的または物理的に分散・統合して構成することができる。さらに、各装置にて行なわれる各処理機能は、その全部または任意の一部が、ＣＰＵおよび当該ＣＰＵにて解析実行されるプログラムにて実現され、あるいは、ワイヤードロジックによるハードウェアとして実現され得る。
【0068】
また、上記実施形態において説明した各処理のうち、自動的に行われるものとして説明した処理の全部または一部を手動的に行うこともでき、あるいは、手動的に行われるものとして説明した処理の全部または一部を公知の方法で自動的に行うこともできる。この他、上記文書中や図面中で示した処理手順、制御手順、具体的名称、各種のデータやパラメータを含む情報については、特記する場合を除いて任意に変更することができる。
【0069】
〔プログラム〕
また、上記実施形態において説明した痕跡情報判定装置１０が実行する処理をコンピュータが実行可能な言語で記述したプログラムを作成することもできる。この場合、コンピュータがプログラムを実行することにより、上記実施形態と同様の効果を得ることができる。さらに、かかるプログラムをコンピュータ読み取り可能な記録媒体に記録して、この記録媒体に記録されたプログラムをコンピュータに読み込ませて実行することにより上記実施形態と同様の処理を実現してもよい。
また、上記実施形態において説明した痕跡情報判定装置１０が実行する処理をコンピュータが実行可能な言語で記述したプログラムを作成することもできる。この場合、コンピュータがプログラムを実行することにより、上記実施形態と同様の効果を得ることができる。さらに、かかるプログラムをコンピュータ読み取り可能な記録媒体に記録して、この記録媒体に記録されたプログラムをコンピュータに読み込ませて実行することにより上記実施形態と同様の処理を実現してもよい。
【0070】
図８は、プログラムを実行するコンピュータを示す図である。図８に例示するように、コンピュータ１０００は、例えば、メモリ１０１０と、ＣＰＵ１０２０と、ハードディスクドライブインタフェース１０３０と、ディスクドライブインタフェース１０４０と、シリアルポートインタフェース１０５０と、ビデオアダプタ１０６０と、ネットワークインタフェース１０７０とを有し、これらの各部はバス１０８０によって接続される。
【0071】
メモリ１０１０は、図８に例示するように、ＲＯＭ（Read Only Memory）１０１１及びＲＡＭ１０１２を含む。ＲＯＭ１０１１は、例えば、ＢＩＯＳ（Basic Input Output System）等のブートプログラムを記憶する。ハードディスクドライブインタフェース１０３０は、図８に例示するように、ハードディスクドライブ１０９０に接続される。ディスクドライブインタフェース１０４０は、図８に例示するように、ディスクドライブ１１００に接続される。例えば、磁気ディスクや光ディスク等の着脱可能な記憶媒体が、ディスクドライブ１１００に挿入される。シリアルポートインタフェース１０５０は、図８に例示するように、例えば、マウス１１１０、キーボード１１２０に接続される。ビデオアダプタ１０６０は、図８に例示するように、例えばディスプレイ１１３０に接続される。
【0072】
ここで、図８に例示するように、ハードディスクドライブ１０９０は、例えば、ＯＳ１０９１、アプリケーションプログラム１０９２、プログラムモジュール１０９３、プログラムデータ１０９４を記憶する。すなわち、上記のプログラムは、コンピュータ１０００によって実行される指令が記述されたプログラムモジュールとして、例えば、ハードディスクドライブ１０９０に記憶される。
【0073】
また、上記実施形態で説明した各種データは、プログラムデータとして、例えば、メモリ１０１０やハードディスクドライブ１０９０に記憶される。そして、ＣＰＵ１０２０が、メモリ１０１０やハードディスクドライブ１０９０に記憶されたプログラムモジュール１０９３やプログラムデータ１０９４を必要に応じてＲＡＭ１０１２に読み出し、各種処理手順を実行する。
【0074】
なお、プログラムに係るプログラムモジュール１０９３やプログラムデータ１０９４は、ハードディスクドライブ１０９０に記憶される場合に限られず、例えば着脱可能な記憶媒体に記憶され、ディスクドライブ等を介してＣＰＵ１０２０によって読み出されてもよい。あるいは、プログラムに係るプログラムモジュール１０９３やプログラムデータ１０９４は、ネットワーク（ＬＡＮ（Local Area Network）、ＷＡＮ（Wide Area Network）等）を介して接続された他のコンピュータに記憶され、ネットワークインタフェース１０７０を介してＣＰＵ１０２０によって読み出されてもよい。
【0075】
上記の実施形態やその変形は、本願が開示する技術に含まれると同様に、請求の範囲に記載された発明とその均等の範囲に含まれるものである。
【符号の説明】
【0076】
１０ 痕跡情報判定装置（判定装置）
１１ 入力部
１２ 出力部
１３ 通信部
１４ 記憶部
１４ａ マルウェア特徴記憶部
１４ｂ クラスタ記憶部
１５ 制御部
１５ａ 収集部
１５ｂ 抽出部
１５ｃ 分類部
１５ｄ 攻撃傾向判定部
１５ｅ 有効性判定部
１５ｆ 生成部
２０ マルウェア収集装置
３０、３０Ａ、３０Ｂ、３０Ｃ セキュリティ対応組織
４０ 痕跡情報データベース
１００ 痕跡情報判定システム
１１ 入力部
１２ 出力部
１３ 通信部
１４ 記憶部
１４ａ マルウェア特徴記憶部
１４ｂ クラスタ記憶部
１５ 制御部
１５ａ 収集部
１５ｂ 抽出部
１５ｃ 分類部
１５ｄ 攻撃傾向判定部
１５ｅ 有効性判定部
１５ｆ 生成部
２０ マルウェア収集装置
３０、３０Ａ、３０Ｂ、３０Ｃ セキュリティ対応組織
４０ 痕跡情報データベース
１００ 痕跡情報判定システム
【図1】
【図2】
【図3】
【図4】
【図5】
【図6】
【図7】
【図8】