特許 7605706 プロセス監視装置およびプロセス監視方法

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】特許公報(B2)

(11)【特許番号】

(24)【登録日】2024-12-16

(45)【発行日】2024-12-24

(54)【発明の名称】プロセス監視装置およびプロセス監視方法

(51)【国際特許分類】

   G06F 21/55 20130101AFI20241217BHJP

   G06F 21/56 20130101ALI20241217BHJP

【ＦＩ】

G06F21/55 340

G06F21/56

【請求項の数】 8

(21)【出願番号】P 2021106578

(22)【出願日】2021-06-28

(65)【公開番号】P2023004707

(43)【公開日】2023-01-17

【審査請求日】2024-03-11

(73)【特許権者】

【識別番号】000006666

【氏名又は名称】アズビル株式会社

(74)【代理人】

【識別番号】100098394

【弁理士】

【氏名又は名称】山川 茂樹

(72)【発明者】

【氏名】太田 貴彦

(72)【発明者】

【氏名】神宮 武志

【審査官】行田 悦資

(56)【参考文献】

【文献】特開２０１５－０８２１９１（ＪＰ，Ａ）

【文献】特開２０１９－０２２０９９（ＪＰ，Ａ）

【文献】特表２０１８－５３１４７０（ＪＰ，Ａ）

【文献】特開２０１９－１５９３８３（ＪＰ，Ａ）

【文献】韓国登録特許第１９０７５２９（ＫＲ，Ｂ１）

【文献】米国特許出願公開第２０１５／００４０２４６（ＵＳ，Ａ１）

(58)【調査した分野】(Int.Cl.，ＤＢ名)

Ｇ０６Ｆ ２１／５５

Ｇ０６Ｆ ２１／５６

(57)【特許請求の範囲】

【請求項1】

所定の検知基準に基づいて装置の動作異常を検知する異常検知部と、
前記動作異常を検知していない場合に、動作中のプロセスの第１のプロセス情報を用いて作成されたホワイトリストと、
前記動作異常を検知した場合に、動作中のプロセスの第２のプロセス情報を取得し、前記第１のプロセス情報と前記第２のプロセス情報の比較結果に基づいて、不正プロセスを検出する不正プロセス検出部を備え、
前記不正プロセス検出部は、
前記第２のプロセス情報のプロセスの動作ファイルの生成時と所定の基準時の比較結果に基づいて、前記第２のプロセス情報における前記ホワイトリストに記載されていない新たなプロセスを前記不正プロセスとして検出する
プロセス監視装置。

【請求項2】

前記所定の基準時は、前記ホワイトリストの最先の作成時であり、
前記新たなプロセスのうち、前記ホワイトリストの最先の作成時よりも後に、前記動作ファイルが生成されたプロセスを前記不正プロセスとして検出する
請求項１に記載のプロセス監視装置。

【請求項3】

前記新たなプロセスのうち、前記ホワイトリストの最先の作成時よりも前に、前記動作ファイルが生成されたプロセスを前記ホワイトリストに追加する
請求項１または２記載のプロセス監視装置。

【請求項4】

前記異常検知部は、
前記プロセス監視装置のＣＰＵ使用率、メモリ使用率、記憶装置の残量、ネットワーク通信量の少なくとも何れかに基づいて、前記動作異常を検知する
請求項１から３の何れか１項に記載のプロセス監視装置。

【請求項5】

装置の動作異常を検知する異常検知部と不正プロセスを検出する不正プロセス検出部を備えたプロセス監視装置において動作するプロセス監視方法であって、
前記異常検知部が、所定の検知基準に基づいて装置の動作異常を検知するステップと、
前記動作異常を検知していない場合に、動作中のプロセスの第１のプロセス情報を用いてホワイトリストを作成するステップと、
前記動作異常を検知した場合に、動作中のプロセスの第２のプロセス情報を取得し、前記第１のプロセス情報と前記第２のプロセス情報の比較結果に基づいて、不正プロセスを検出するステップと
を含み、
前記不正プロセスを検出するステップは、
前記第２のプロセス情報のプロセスの動作ファイルの生成時と所定の基準時の比較結果に基づいて、前記第２のプロセス情報における前記ホワイトリストに記載されていない新たなプロセスを前記不正プロセスとして検出する
プロセス監視方法。

【請求項6】

前記所定の基準時は、前記ホワイトリストの最先の作成時であり、
前記新たなプロセスのうち、前記ホワイトリストの最先の作成時よりも後に、前記動作ファイルが生成されたプロセスを前記不正プロセスとして検出する
請求項５に記載のプロセス監視方法。

【請求項7】

前記新たなプロセスのうち、前記ホワイトリストの最先の作成時よりも前に、前記動作ファイルが生成されたプロセスを前記ホワイトリストに追加する
請求項５または６記載のプロセス監視方法。

【請求項8】

動作異常を検知するステップは、
前記プロセス監視装置のＣＰＵ使用率、メモリ使用率、記憶装置の残量、ネットワーク通信量の少なくとも何れかに基づいて、前記動作異常を検知する
請求項５から７の何れか１項に記載のプロセス監視方法。

【発明の詳細な説明】

【技術分野】

【0001】

本発明は、不正なプロセスを検出するプロセス監視技術に関する。

【背景技術】

【0002】

近年、ＩＯＴやクラウドサービスの普及に伴い、ネットワークに接続する機器が増え、ネットワークの大規模化・複雑化が進む中、サーバやＩＯＴデバイスを狙ったサイバー攻撃が増加しており、サイバー攻撃に対処するための技術が提案されている。例えば、特許文献１では、端末のマルウェア対策として、端末で動作しているプロセスを取得し、それをホワイトリストとして保持し、ホワイトリストを定期的に確認する方法が提案されている。

【先行技術文献】

【特許文献】

【0003】

【文献】特許第６２５４４１４号公報

【発明の概要】

【発明が解決しようとする課題】

【0004】

特許文献１では、端末やソフトウェアのバージョンアップにより、ホワイトリストを更新する必要があり、ホワイトリスト更新時の作業負担が大きいという問題があった。また、特許文献１では、ホワイトリスト以外にもブラックリストを用意する必要があり、マルウェアの数が増えると、ブラックリストに登録するプロセスを選定して登録する作業負担が増大するという問題があった。

【0005】

本発明は、このような課題を解決するためになされたものであり、ホワイトリスト更新時の作業負担を低減することができるプロセス監視装置を提供することを目的とする。

【課題を解決するための手段】

【0006】

このような目的を達成するために、本発明のプロセス監視装置は、所定の検知基準に基づいて装置の動作異常を検知する異常検知部と、前記動作異常を検知していない場合に、動作中のプロセスの第１のプロセス情報を用いて作成されたホワイトリストと、前記動作異常を検知した場合に、動作中のプロセスの第２のプロセス情報を取得し、前記第１のプロセス情報と前記第２のプロセス情報の比較結果に基づいて、不正プロセスを検出する不正プロセス検出部を備え、前記不正プロセス検出部は、前記第２のプロセス情報のプロセスの動作ファイルの生成時と所定の基準時の比較結果に基づいて、前記第２のプロセス情報における前記ホワイトリストに記載されていない新たなプロセスを前記不正プロセスとして検出する。

【0007】

また、前記新たなプロセスのうち、前記ホワイトリストの最先の作成時よりも前に、前記動作ファイルが生成されたプロセスを前記ホワイトリストに追加してもよい。

【0008】

また、前記異常検知部は、前記プロセス監視装置のＣＰＵ使用率、メモリ使用率、記憶装置の残量、ネットワーク通信量の少なくとも何れかに基づいて、前記動作異常を検知してもよい。

【0009】

このような目的を達成するために、本発明のプロセス監視方法は、装置の動作異常を検知する異常検知部と不正プロセスを検出する不正プロセス検出部を備えたプロセス監視装置において動作するプロセス監視方法であって、前記異常検知部が、所定の検知基準に基づいて装置の動作異常を検知するステップと、前記動作異常を検知していない場合に、動作中のプロセスの第１のプロセス情報を用いてホワイトリストを作成するステップと、前記動作異常を検知した場合に、動作中のプロセスの第２のプロセス情報を取得し、前記第１のプロセス情報と前記第２のプロセス情報の比較結果に基づいて、不正プロセスを検出するステップとを含み、前記不正プロセスを検出するステップは、前記第２のプロセス情報のプロセスの動作ファイルの生成時と所定の基準時の比較結果に基づいて、前記第２のプロセス情報における前記ホワイトリストに記載されていない新たなプロセスを前記不正プロセスとして検出する。

【0010】

また、前記所定の基準時は、前記ホワイトリストの最先の作成時であり、前記新たなプロセスのうち、前記ホワイトリストの最先の作成時よりも後に、前記動作ファイルが生成されたプロセスを前記不正プロセスとして検出含んでもよい。

【0011】

また、前記新たなプロセスのうち、前記ホワイトリストの最先の作成時よりも前に、前記動作ファイルが生成されたプロセスを前記ホワイトリストに追加してもよい。

【0012】

また、動作異常を検知するステップは、前記プロセス監視装置のＣＰＵ使用率、メモリ使用率、記憶装置の残量、ネットワーク通信量の少なくとも何れかに基づいて、前記動作異常を検知してもよい。

【発明の効果】

【0013】

本発明によれば、ホワイトリスト更新時の作業負担を低減することができるプロセス監視装置を提供することが可能となる。

【図面の簡単な説明】

【0014】

【図1】図１は、本発明の実施形態に係るプロセス監視装置の構成例である。

【図2】図２は、本発明の実施の形態に係るプロセス監視装置を用いたネットワークの構成例である。

【図3】図３は、本発明の実施の形態に係るホワイトリストの構成例である。

【図4】図４は、本発明の実施の形態に係るプロセス監視方法の動作シーケンスである。

【発明を実施するための形態】

【0015】

次に、本発明の実施の形態について図面を参照して説明する。本発明は、以下に説明する実施の形態に限定されるものではない。

【0016】

＜プロセス監視装置の構成＞
図１は、本発明の実施形態に係るプロセス監視装置の構成例である。図１の構成例では、プロセス監視装置１０は、他の通信機器２０とともにネットワークを構成している。プロセス監視装置１０、通信機器２０は、ルータ５０を介して外部の通信網ＮＷと接続されている。

【0017】

プロセス監視装置１０および通信機器２０は、プロセスを実行する機能を有する。プロセス監視装置１０は、プロセスを実行する機能に加えて、プロセス監視機能を有する。通信機器２０は、プロセス監視機能を追加することで、プロセス監視装置１０として機能することができる。

【0018】

プロセス監視装置１０は、通信網ＮＷからのマルウェア対策として、装置内で動作しているプロセスを取得し、それをホワイトリストとして保持している。プロセス監視装置１０では、ホワイトリストにない新たなプロセスが不正なプロセスであるかを判断して、不正なプロセスを検出するように構成されている。尚、本実施の形態のホワイトリストは、不正なプロセスを検出するために用いられるので、ホワイトリストにない新たなプロセスの動作は許容される。

【0019】

装置内で動作するプロセスは、ソフトウェアのインストール時やアップデート時等のタイミングで頻繁に更新されるので、ホワイトリストにない動作中の新たなプロセスが正常なものであれば、必要に応じてホワイトリストを更新する必要がある。ホワイトリストが更新されないと正常に動作しているプロセスまで不正なプロセスと判断されてしまうからである。

【0020】

本実施の形態のプロセス監視装置１０は、ＣＰＵの使用率等に基づいて、装置の動作異常を検知した場合に、ホワイトリストに登録されているプロセス情報と装置内で動作中のプロセスのプロセス情報を比較し、その比較結果に基づいて不正なプロセスを検出するように構成されている。新たなプロセスが不正なプロセスではないと判断された場合には、新たなプロセスを追加することでホワイトリストを更新する。

【0021】

本実施の形態では、装置の動作異常が検出された場合に、不正なプロセスを検出し、その結果を用いてホワイトリストを更新するように構成しているので、定期的にホワイトリストを更新する場合と比較して、ホワイトリストの更新に関わる作業負担を軽減することができる。

【0022】

＜プロセス監視装置の構成＞
プロセス監視装置１０は、主な回路部として、Ｉ／Ｆ部１１、プロセス実行部１２、制御部１３、記憶部１４、表示部１５を備えている。

【0023】

＜プロセス実行部＞
プロセス実行部１２は、プロセス監視装置１０においてプロセスを実行するための回路であり、プロセスを実行するためのＣＰＵ１２Ａとメモリ１２Ｂを備えている。不正なプロセスが増大するとＣＰＵ１２Ａやメモリ１２Ｂ使用率が増大するので、プロセス実行部１２のＣＰＵ１２Ａやメモリ１２Ｂの動作状況は、装置の動作異常を検知するために用いることができる。

【0024】

＜Ｉ／Ｆ部＞
Ｉ／Ｆ部１１は、ネットワーク内の各通信機器や外部の通信網と接続するための回路である。ネットワーク内の通信機器は、Ｉ／Ｆ部１１を介してサイバー攻撃を受けるので、Ｉ／Ｆ１１を介したネットワーク通信量は、装置の動作異常を検知するために用いることができる。

【0025】

＜記憶部＞
記憶部１４は、ハードディスクや半導体メモリなどの記憶装置からなる。記憶部１４には、制御部１３での異常検知や不正プロセスの検出に用いる各種の処理データやプログラムが記憶されている。不正なプロセスが増大すると記憶部１４の容量が圧迫されるので、記憶部１４の残量は、装置の動作異常を検知するために用いることができる。

【0026】

記憶部１４で記憶する主な処理データとしては、プロセス動作情報１４Ａ、ホワイトリスト１４Ｂがある。

【0027】

＜プロセス動作情報＞
プロセス動作情報１４Ａは、プロセス監視装置１０内で動作しているプロセス情報を表すデータである。プロセス動作情報１４Ａは、装置の動作異常が検知された場合に、動作中のプロセス情報をホワイトリストのプロセス情報と比較する際に用いられる。

【0028】

プロセス動作情報１４Ａには、プロセス毎に、動作ファイルが生成された時刻情報が記録されている。動作ファイルが生成された時刻情報は、装置の動作異常が検知された場合に、動作中のプロセス情報が不正なプロセスであるかを判断する際に用いられる。

【0029】

＜ホワイトリスト＞
ホワイトリスト１４Ｂには、装置の動作異常が検知されていない状態において、装置内で動作しているプロセス（第１のプロセス情報）が保持されている。装置の動作異常が検知されていない状態において動作しているプロセスは不正なプロセスではないと推定されるからである。例えば、ホワイトリストは、ネットワークの新規構築時や増築時等に作成される。

【0030】

ホワイトリスト１４Ｂは、動作中のプロセス情報と比較して、新たなプロセスにおいて不正なプロセスを検出する際に用いられる。本実施の形態のホワイトリストは、不正なプロセスを検出するために用いられるので、ホワイトリストにない新たなプロセスの動作は許容される。新たなプロセスが不正なプロセスでない場合には、ホワイトリストに追加される。

【0031】

＜プログラム＞
プログラム１４Ｐは、制御部１３のＣＰＵと協働することにより、制御部１３での異常検知処理や不正プロセス検出処理に用いられる各種の処理部を実現するためのプログラムである。このプログラム１４Ｐは、Ｉ／Ｆ部１１を介して接続された外部装置や記録媒体（ともに図示せず）から、予め記憶部１４へ格納される。

【0032】

＜制御部＞
制御部１３は、ＣＰＵとその周辺回路を有し、記憶部１４のプログラム１４Ｐを読み出してＣＰＵと協働させることにより、異常検知処理や不正プロセス検出処理を実行するための処理部を実現する。制御部１３で実現される主な処理部として、異常検知部１３Ａ、不正プロセス検出部１３Ｂがある。

【0033】

＜異常検知部＞
異常検知部１３Ａは、所定の検知基準に基づいて装置の動作異常を検知するように構成されている。プロセス監視装置の動作異常は、プロセス監視装置１０の動作状況に基づいて判断する。例えば、プロセス実行部１２のＣＰＵ使用率、メモリ使用率、記憶部１４の残量、Ｉ／Ｆ１１を介したネットワーク通信量等に基づいて動作異常を検知することができる。

【0034】

具体的には、プロセス実行部１２のＣＰＵ使用率、メモリ使用率、記憶部１４の残量、Ｉ／Ｆ１１を介したネットワーク通信量等の少なくとも何れかが、所定の閾値を超えた場合に、装置に動作異常が発生したと判断すればよい。装置に動作異常が発生したかの判断条件は、ネットワークの運用状況等に応じて適宜定めることができる。

【0035】

＜不正プロセス検出部＞
不正プロセス検出部１３Ｂは、プロセス監視装置の動作異常を検知した場合に、動作中のプロセスのプロセス情報を取得し、動作中のプロセス情報（第２のプロセス情報）とホワイトリストのプロセス情報（第１のプロセス情報）との比較結果に基づいて、不正プロセスを検出する。

【0036】

具体的には、ホワイトリストにない新たなプロセスの動作ファイルの生成時と所定の基準時の比較結果に基づいて、新たなプロセスが不正なプロセスであるかを判断する。例えば、新たなプロセスのうち、ホワイトリストの最先の作成時よりも後に動作ファイルが生成されたプロセスを不正プロセスとして検出することができる。不正プロセスを判断する際の所定の基準時は、ホワイトリストの最先の作成時に限られず、例えば、不正プロセスの侵入が無いことが確認できた時等、不正プロセスの確認状況に応じて適宜定めることができる。

【0037】

＜表示部＞
表示部１５は、装置の動作状況や記憶部１４に記憶された各情報を表示するための処理部である。表示部１５は、不正プロセス検出部１３Ｂで不正プロセスが検出された場合に、アラート情報を表示する場合にも用いられる。

【0038】

＜プロセス監視装置の動作＞
本実施の形態にかかるプロセス監視装置の動作について説明する。図２は、本発明の実施の形態に係るプロセス監視装置を用いたネットワークの構成例である。図３は、本発明の実施の形態に係るホワイトリストの構成例である。

【0039】

図２のネットワークは、プロセス監視装置１０、通信機器２０、スイッチ３０、ＨＵＢ４０から構成されている。ネットワークの新規構築時や増築時等には、プロセス監視装置１０、および通信機器２０がスイッチ３０、ＨＵＢ４０を介して接続するように各機器が配置され、プロセス監視装置１０、通信機器２０、スイッチ３０には、ＩＰ通信をするためのＩＰアドレスが付与される。

【0040】

本実施の形態において、ホワイトリストは、ネットワークの新規構築時や増築時等に作成される。ネットワークの新規構築時や増築時等に作成されホワイトリストは、ネットワークの運用時において、動作中のプロセスが不正なプロセスであるかを判定する際に用いられる。ネットワークの新規構築時や増築時等に作成されたホワイトリストは、ネットワークの運用中において、必要に応じて新たなプロセスを追加することで更新することができる。

【0041】

図３のホワイトリストは、［プロセスＩＤ］、［プロセス名］、［パス］、［ＣＰＵ使用率］、［メモリ使用率］の情報から構成されている。図３の構成例では、ホワイトリストとして、［ａ．ｅｘｅ］、［ａｂｉｌ．ｅｘｅ］、［ｔｅｓｔ．ｅｘｅ］、［ｍａｒｕ．ｅｘｅ］が保存されている。

【0042】

本実施の形態では、ホワイトリストに記載されていない動作中の新たなプロセスについて、新たなプロセスの動作ファイルの生成時と所定の基準時の比較結果に基づいて、新たなプロセスが不正なプロセスであるかを判断する。

【0043】

例えば、新たなプロセスのうち、ホワイトリストの最先の作成時よりも後に動作ファイルが生成されたプロセスを不正プロセスとして検出することができる。ホワイトリストの作成時において既に動作ファイルが作成されていたものであれば、不正なプロセスでないと推定されるからである。

【0044】

不正プロセスであるかの判断に用いる所定の基準時は、上述したホワイトリストの最先の作成時に限られず、例えば、不正プロセスの侵入が無いことが確認できた時等、不正プロセスの確認状況に応じて適宜定めることができる。そのため、記憶部１４は、図３のホワイトリストとともに、ホワイトリストの作成時や更新時等の時刻情報を所定の基準時のデータとして保持するように構成されている。

【0045】

＜プロセス監視方法の動作シーケンス＞
図４は、本発明の実施の形態に係るプロセス監視方法の動作シーケンスである。本実施の形態のプロセス監視方法は、異常検知部が、所定の検知基準に基づいて装置の動作異常を検知するステップと、動作異常を検知していない場合に、動作中のプロセスのプロセス情報を用いてホワイトリストを作成するステップと、動作異常を検知した場合に、動作中のプロセスのプロセス情報を取得し、ホワイトリストのプロセス情報と動作異常時のプロセス情報の比較結果に基づいて、不正プロセスを検出するステップとを含む。

【0046】

ネットワークの新規構築時等の装置の動作異常を検知していない場合において、動作中のプロセス情報を取得して、ホワイトリストを作成し保持する（ステップＳ１－１、Ｓ１－２）。

【0047】

プロセス実行部のＣＰＵ使用率等の装置の動作状況を取得し、動作状況に基づいて装置の動作異常を検知する（ステップＳ１－３、１－４）。

【0048】

装置の動作異常を検知した場合には（ステップＳ１－４：ＹＥＳ）、動作中のプロセス情報を取得し、ホワイトリストと比較してホワイトリストにない新たなプロセスの生成時の情報を取得する（ステップＳ１－５、Ｓ１－６、Ｓ１－７）。

【0049】

新たなプロセスの生成時の情報を所定の基準時と比較し、新たなプロセスの生成時が所定の基準時より前である場合には（ステップＳ１－８：ＹＥＳ）、新たなプロセスを不正なプロセスでないと判断し、ホワイトリストに追加する（ステップＳ１－９）。

【0050】

新たなプロセスの生成時を所定の基準時と比較し、新たなプロセスの生成時が所定の基準時より後である場合には（ステップＳ１－８：ＮＯ）、新たなプロセスを不正なプロセスであると判断し、アラートを表示する（ステップＳ１－１０）。

【0051】

＜本実施の形態の効果＞
このように、本実施の形態では、装置の動作異常が検出された場合に、ホワイトリストの更新を行うように構成したので、定期的にホワイトリストを更新する場合と比較して、ホワイトリストの更新に関わる作業負担を軽減することができる。

【0052】

＜実施の形態の拡張＞
以上、実施形態を参照して本発明を説明したが、本発明は上記実施形態に限定されるものではない。本発明の構成や詳細には、本発明のスコープ内で当業者が理解しうる様々な変更をすることができる。

【符号の説明】

【0053】

１０…プロセス監視装置、１１…Ｉ／Ｆ部、１２…プロセス実行部、１３…制御部、１３Ａ…異常検知部、１３Ｂ…不正プロセス検出部、１４…記憶部、１４Ａ…プロセス動作情報、１４Ｂ…ホワイトリスト、１４Ｐ…プログラム、１５…表示部、２０…通信機器、３０…スイッチ、４０…ハブ、５０…ルータ、ＮＷ…通信網。

【図1】

【図2】

【図3】

【図4】