知財求人 - 知財ポータルサイト「IP Force」
特表2023-506101マルチプロセスクラスタリングに基づくランサムウェア攻撃検知装置、方法、およびその方法を実現するためのプログラムを記録した記録媒体
(19)【発行国】日本国特許庁(JP)
(12)【公報種別】公表特許公報(A)
(11)【公表番号】
(43)【公表日】2023-02-15
(54)【発明の名称】マルチプロセスクラスタリングに基づくランサムウェア攻撃検知装置、方法、およびその方法を実現するためのプログラムを記録した記録媒体
(51)【国際特許分類】
G06F 21/55 20130101AFI20230208BHJP
G06F 16/906 20190101ALI20230208BHJP
G06F 16/9035 20190101ALI20230208BHJP
【ＦＩ】
G06F21/55 320
G06F16/906
G06F16/9035
【審査請求】有
【予備審査請求】未請求
(21)【出願番号】P 2021505305
(86)(22)【出願日】2020-12-10
(85)【翻訳文提出日】2021-03-25
(86)【国際出願番号】 KR2020018040
(87)【国際公開番号】W WO2022102854
(87)【国際公開日】2022-05-19
(31)【優先権主張番号】10-2020-0151022
(32)【優先日】2020-11-12
(33)【優先権主張国・地域又は機関】KR
(81)【指定国・地域】
(71)【出願人】
【識別番号】514308863
【氏名又は名称】シキューブ カンパニー，リミテッド
【住所又は居所原語表記】（Ｇｕｒｏ－ｄｏｎｇ，ＪＮＫＤｉｇｉｔａｌＴｏｗｅｒ）８０１，８０２，８０３ｈｏ，１１１，Ｄｉｇｉｔａｌ－ｒｏ ２６－ｇｉｌ Ｇｕｒｏ－ｇｕ Ｓｅｏｕｌ ０８３９０ Ｒｅｐｕｂｌｉｃ ｏｆ Ｋｏｒｅａ
(74)【代理人】
【識別番号】100091683
【弁理士】
【氏名又は名称】▲吉▼川 俊雄
(74)【代理人】
【識別番号】100179316
【弁理士】
【氏名又は名称】市川 寛奈
(72)【発明者】
【氏名】ホン，キ ユン
(72)【発明者】
【氏名】リ，キュ ホ
(72)【発明者】
【氏名】リ，ソン グン
(72)【発明者】
【氏名】パク，ジョン ス
(72)【発明者】
【氏名】チェ，ドン ホ
(72)【発明者】
【氏名】キム，テ フン
【テーマコード（参考）】
5B175
【Ｆターム（参考）】
5B175BA01
5B175FA03
5B175HA01
(57)【要約】
本発明は、ランサムウェア攻撃検知装置、方法、およびその方法を実現するためのプログラムを記録した記録媒体に係り、より詳細には、オペレーティングシステム（Ｏｐｅｒａｔｉｎｇ Ｓｙｓｔｅｍ：ＯＳ）のカーネル（Ｋｅｒｎｅｌ）レベルで生成されるプロセスに割り当てられたクラスターに対するクラスターＩＤを生成し、クラスターＩＤ別に、一つの親プロセスから分岐したプロセス、プロセスが読み書きする情報をクラスタリングし、クラスタリングされた情報の変更および毀損有無に応じてランサムウェア攻撃を検知および遮断する、マルチプロセスクラスタリングに基づくランサムウェア攻撃検知装置、方法、およびその方法を実現するためのプログラムを記録した記録媒体に関する。
【選択図】 図２
【選択図】 図２
【特許請求の範囲】
【請求項1】
プロセス生成要求および情報アクセスによるクラスタリングイベントが発生するかをモニタリングするイベントモニタリング部と；クラスタリングイベントがプロセス生成要求によって発生したものであれば、プロセスを生成するプロセス生成部と；
生成された前記プロセスが親プロセスであるかを判断し、親プロセスであれば、使用されていないクラスター識別情報（Ｉｄｅｎｔｉｆｉｃａｔｉｏｎ：ＩＤ）を割り当て、親プロセスでなければ、前記プロセスの親プロセスに割り当てられたクラスターＩＤを割り当てて前記クラスターＩＤのクラスタに関連するプロセスをクラスタリングするクラスター割当部と；
前記クラスターの任意のプロセスがアクセスする情報をクラスタリングして、前記クラスターに対する情報集合に追加するアクセス情報クラスタリング部と；
前記クラスターに対してクラスタリングされたプロセスのうちの任意のプロセスがクラスター内の情報にアクセスするかを判断して、前記任意のプロセスの前記情報アクセスを点検対象情報の発生によって検知し、検知された点検対象情報に関連するクラスターの情報変更回数および情報毀損回数をカウントするアクセス情報状態追跡部と；
前記情報変更回数および情報毀損回数のそれぞれがそれぞれの当該しきい値を超えると、前記プロセスをランサムウェアと決定し、前記プロセスがクラスタリングされているクラスターのプロセスを終了するランサムウェア検出部と；を含むことを特徴とする、マルチプロセスクラスタリングに基づくランサムウェア攻撃検知装置。
【請求項2】
システムの駆動の際に、初期プロセス、および初期プロセスが生成したデーモンプロセスおよびサービスプロセスのクラスターＩＤは、０に初期化し、未使用クラスター集合（ＦｒｅｅＣ）は、クラスターＩＤが０であるものだけを除いた残りの全体クラスターＩＤを持つように初期化し、使用クラスター集合（ＡｓｓｉｇｎｅｄＣ）は、クラスターＩＤが０であるものだけを含むように初期化する初期化部をさらに含むことを特徴とする、請求項１に記載のマルチプロセスクラスタリングに基づくランサムウェア攻撃検知装置。
【請求項3】
前記クラスター割当部は、前記生成されたプロセスの親プロセスのクラスターＩＤが０であれば、使用されていないクラスター集合の中で一番最近に割り当てられたクラスターＩＤの次のクラスターＩＤを取得して割り当て、
前記親プロセスのクラスターＩＤが０でなければ、前記親プロセスのクラスターＩＤを取得し、
前記クラスターＩＤを前記プロセスに割り当てた後、
前記クラスターＩＤのクラスター集合に前記プロセスを追加して、前記プロセスに関連するプロセスを一つのクラスターにクラスタリングすることを特徴とする、請求項１に記載のマルチプロセスクラスタリングに基づくランサムウェア攻撃検知装置。
【請求項4】
前記クラスター割当部は、親クラスターＩＤが０であれば、最近のクラスターＩＤ値と増分値（Δ）との和をモジュラー演算して、使用する唯一のクラスターＩＤ値を算出することを特徴とする、請求項３に記載のマルチプロセスクラスタリングに基づくランサムウェア攻撃検知装置。
【請求項5】
前記アクセス情報クラスタリング部は、前記イベントモニタリング部を介して前記クラスターＩＤに対するクラスター集合の任意のプロセスによる情報アクセスが発生すると、アクセスした情報を取得するプロセスアクセス情報取得部と、
前記取得された情報を前記クラスターＩＤに対するクラスター情報集合に追加するアクセス情報クラスター追加部とを含むことを特徴とする、請求項３に記載のマルチプロセスクラスタリングに基づくランサムウェア攻撃検知装置。
【請求項6】
前記アクセス情報状態追跡部は、前記クラスターに対してクラスタリングされたプロセスのうちの任意のプロセスが前記クラスター内の情報にアクセスするかを判断して、前記他のプロセスの前記情報アクセスを点検対象情報の発生によって検知する点検対象判断部と；
前記点検対象情報の発生が検知されると、前記点検対象情報を発生させたプロセスをクラスタリングしているクラスターのプロセスに対する点検対象情報の情報変更回数をカウントする情報変更追跡部と；
前記クラスターのプロセスに対する点検対象情報の情報毀損回数をカウントする情報毀損追跡部と；を含むことを特徴とする、請求項５に記載のマルチプロセスクラスタリングに基づくランサムウェア攻撃検知装置。
【請求項7】
前記情報はデータおよびファイルであることを特徴とする、請求項６に記載のマルチプロセスクラスタリングに基づくランサムウェア攻撃検知装置。
【請求項8】
イベントモニタリング部が、プロセス生成要求および情報アクセスによるクラスタリングイベントが発生するかをモニタリングするイベントモニタリング過程と；プロセス生成部が、クラスタリングイベントがプロセス生成要求によって発生したものであれば、プロセスを生成するプロセス生成過程と；
クラスター割当部が、生成された前記プロセスの親プロセスのクラスターＩＤが０であれば、使用されていないクラスターＩＤを割り当て、親プロセスのクラスターＩＤが０でなければ、親プロセスのクラスターＩＤを前記プロセスに割り当てて、前記クラスターＩＤのクラスターに関連するプロセスをクラスタリングするクラスター割当過程と；
アクセス情報クラスタリング部が、前記クラスターの任意のプロセスがアクセスする情報をクラスタリングして、前記クラスターに対する情報集合に追加するアクセス情報クラスタリング過程と；
アクセス情報状態追跡部が、前記クラスターに対してクラスタリングされたプロセスのうちの任意のプロセスがクラスター内の情報にアクセスするかを判断して、前記他のプロセスの前記情報アクセスを点検対象情報の発生によって検知し、検知された点検対象情報に関連するクラスターの情報変更回数および情報毀損回数をカウントするアクセス情報状態追跡過程と；
ランサムウェア検出部が、前記情報変更回数および情報毀損回数のそれぞれがそれぞれの当該しきい値を超えると、前記プロセスをランサムウェアと決定し、前記プロセスがクラスタリングされているクラスターのプロセスを終了するランサムウェア検出過程と；を含むことを特徴とする、マルチプロセスクラスタリングに基づくランサムウェア攻撃検知方法。
【請求項9】
初期化部が、システムの駆動の際に、初期プロセス、および初期プロセスが生成したデーモンプロセスおよびサービスプロセスのクラスターＩＤは０に初期化し、未使用クラスター集合（ＦｒｅｅＣ）はクラスターＩＤが０であるものだけを除いた残りの全体クラスターＩＤを持つように初期化し、使用クラスター集合（ＡｓｓｉｇｎｅｄＣ）はクラスターＩＤが０であるものだけを含むように初期化する初期化過程をさらに含むことを特徴とする、請求項８に記載のマルチプロセスクラスタリングに基づくランサムウェア攻撃検知方法。
【請求項10】
前記クラスター割当過程は、生成された前記プロセスの親プロセスが存在するかを判断する親プロセス存在判断ステップと；
親プロセスが存在しなければ、使用されていないクラスター集合の中で一番最近に割り当てられたクラスターＩＤの次のクラスターＩＤを取得して割り当てる新規クラスター割当ステップと；
前記プロセスの親プロセスが存在すれば、前記親プロセスのクラスターＩＤを取得し、前記クラスターＩＤを前記プロセスに割り当てる親プロセスクラスター割当ステップと；
前記クラスターの割り当て後、前記クラスターＩＤのクラスター集合に前記プロセスを追加して、前記プロセスに関連するプロセスをクラスタリングするプロセスクラスタリングステップと；を含むことを特徴とする、請求項９に記載のマルチプロセスクラスタリングに基づくランサムウェア攻撃検知方法。
【請求項11】
前記親プロセスクラスター割当ステップで、親クラスターＩＤが０であれば、クラスター割当部が最近のクラスターＩＤ値と増分値（Δ）との和をモジュラー演算して、使用するクラスターＩＤ値を算出することを特徴とする、請求項１０に記載のマルチプロセスクラスタリングに基づくランサムウェア攻撃検知方法。
【請求項12】
前記アクセス情報クラスタリング過程は、プロセスアクセス情報取得部が、前記イベントモニタリング部によって前記クラスターＩＤに対するクラスター（集合）の任意のプロセスによる情報アクセスが発生すると、アクセスした情報を取得するプロセスアクセス情報取得ステップと；
クラスター追加部が、前記取得された情報を前記クラスターＩＤに対するクラスター情報集合に追加するアクセス情報クラスター追加ステップと；を含むことを特徴とする、請求項１０に記載のマルチプロセスクラスタリングに基づくランサムウェア攻撃検知方法。
【請求項13】
前記アクセス情報状態追跡過程は、点検対象判断部が、前記クラスターに対してクラスタリングされたプロセスのうちの任意のプロセスがクラスター内の情報にアクセスするかを判断して、前記任意のプロセスの前記情報アクセスを点検対象情報の発生によって検知する点検対象判断ステップと；
情報変更追跡部が、前記点検対象プロセスとして判断されたプロセスをクラスタリングしているクラスターのプロセスに対する前記情報の情報変更回数をカウントする情報変更追跡ステップと；
情報毀損追跡部が前記クラスターのプロセスに対する前記情報の情報毀損回数をカウントする情報毀損追跡ステップと；を含むことを特徴とする、請求項１２に記載のマルチプロセスクラスタリングに基づくランサムウェア攻撃検知方法。
【請求項14】
イベントモニタリング部が、プロセス生成要求および情報アクセスによるクラスタリングイベントが発生するかをモニタリングするイベントモニタリング過程と；プロセス生成部が、クラスタリングイベントがプロセス生成要求によって発生したものであれば、プロセスを生成するプロセス生成過程と；
クラスター割当部が、生成された前記プロセスに前記プロセスの親プロセスに割り当てられたクラスター識別情報（Ｉｄｅｎｔｉｆｉｃａｔｉｏｎ：ＩＤ）を割り当てて、前記クラスターＩＤのクラスターに関連するプロセスをクラスタリングするクラスター割当過程と；
アクセス情報クラスタリング部が、前記クラスターの任意のプロセスがアクセスする情報をクラスタリングして、前記クラスターに対する情報集合に追加するアクセス情報クラスタリング過程と；
アクセス情報状態追跡部が、前記クラスターに対してクラスタリングされたプロセスのうちの任意のプロセスがクラスター内の情報にアクセスするかを判断して、前記任意のプロセスの前記情報アクセスを点検対象情報の発生によって検知し、検知された点検対象情報に関連するクラスターの情報変更回数および情報毀損回数をカウントするアクセス情報状態追跡過程と；
ランサムウェア検出部が、前記情報変更回数および情報毀損回数のそれぞれがそれぞれのしきい値を超えると、前記プロセスをランサムウェアと決定し、前記プロセスがクラスタリングされているクラスターのプロセスを終了するランサムウェア検出過程と；を含むことを特徴とする、マルチプロセスクラスタリングに基づくランサムウェア攻撃検知方法を実現するためのプログラムを記録した記録媒体。
【請求項15】
初期化部が、システムの駆動の際に、初期プロセス、および初期プロセスが生成したデーモンプロセスおよびサービスプロセスのクラスターＩＤは０に初期化し、未使用クラスター集合（ＦｒｅｅＣ）はクラスターＩＤが０であるものだけを除いて残りの全体クラスターＩＤを持つように初期化し、使用クラスター集合（ＡｓｓｉｇｎｅｄＣ）はクラスターＩＤが０であるものだけを含むように初期化する初期化過程をさらに含むことを特徴とする、請求項１４に記載のマルチプロセスクラスタリングに基づくランサムウェア攻撃検知方法を実現するためのプログラムを記録した記録媒体。
【請求項16】
前記クラスター割当過程は、生成された前記プロセスの親プロセスのクラスターＩＤを取得する親プロセスクラスターＩＤ取得ステップと；
親プロセスのクラスターＩＤが０であれば、使用されていないクラスター集合の中で一番最近に割り当てられたクラスターＩＤの次のクラスターＩＤを取得して割り当てる新規クラスター割当ステップと；
前記プロセスの親プロセスのクラスターＩＤが０であれば、前記親プロセスのクラスターＩＤを前記プロセスに割り当てる親プロセスクラスター割当ステップと；
前記クラスターの割り当て後、前記クラスターＩＤのクラスター集合に前記プロセスを追加して、前記プロセスに関連するプロセスをクラスタリングするプロセスクラスタリングステップと；を含むことを特徴とする、請求項１５に記載のマルチプロセスクラスタリングに基づくランサムウェア攻撃検知方法を実現するためのプログラムを記録した記録媒体。
【請求項17】
前記親プロセスクラスター割当ステップで親クラスターＩＤが０であれば、クラスター割当部が、最近のクラスターＩＤ値と増分値（Δ）との和をモジュラー演算して、使用するクラスターＩＤ値を算出することを特徴とする、請求項１６に記載のマルチプロセスクラスタリングに基づくランサムウェア攻撃検知方法を実現するためのプログラムを記録した記録媒体。
【請求項18】
前記アクセス情報クラスタリング過程は、プロセスアクセス情報取得部が、前記イベントモニタリング部によって前記クラスターＩＤに対するクラスター（集合）の任意のプロセスによる情報アクセスが発生すると、アクセスした情報を取得するプロセスアクセス情報取得ステップと；
クラスター追加部が、前記取得された情報を前記クラスターＩＤに対するクラスター情報集合に追加するアクセス情報クラスター追加ステップと；を含むことを特徴とする、請求項１６に記載のマルチプロセスクラスタリングに基づくランサムウェア攻撃検知方法を実現するためのプログラムを記録した記録媒体。
【請求項19】
前記アクセス情報状態追跡過程は、点検対象判断部が、前記クラスターに対してクラスタリングされたプロセスのうちの任意のプロセスがクラスター内の他のプロセスがアクセスした情報にアクセスするかを判断して、前記任意のプロセスの前記情報アクセスを点検対象情報の発生によって検知する点検対象判断ステップと；
情報変更追跡部が、前記点検対象プロセスとして判断されたプロセスをクラスタリングしているクラスターのプロセスに対する前記情報の情報変更回数をカウントする情報変更追跡ステップと；
情報毀損追跡部が、前記クラスターのプロセスに対する前記情報の情報毀損回数をカウントする情報毀損検出ステップと；を含むことを特徴とする、請求項１８に記載のマルチプロセスクラスタリングに基づくランサムウェア攻撃検知方法を実現するためのプログラムを記録した記録媒体。
【発明の詳細な説明】
【技術分野】
【0001】
本発明は、ランサムウェア攻撃検知装置、方法、およびその方法を実現するためのプログラムを記録した記録媒体に係り、より詳細には、オペレーティングシステム（Ｏｐｅｒａｔｉｎｇ Ｓｙｓｔｅｍ：ＯＳ）のカーネル（Ｋｅｒｎｅｌ）レベルで一つの親プロセスから生成されるプロセス、およびこれらのプロセスが読み書きする情報を一つのクラスター（Ｃｌｕｓｔｅｒ）識別情報（Ｉｄｅｎｔｉｆｉｃａｔｉｏｎ：以下「ＩＤ」という）に基づいてクラスタリングし、クラスター単位でクラスタリングされた情報の変更および毀損有無に応じてランサムウェア攻撃を検知および遮断する、マルチプロセスクラスタリングに基づくランサムウェア攻撃検知装置、方法、およびその方法を実現するためのプログラムを記録した記録媒体に関する。
【背景技術】
【0002】
現代人および企業において、各種サーバーはもとより、エンドポイント装置であるスマートフォンなどの通信端末、およびノート型パソコン、デスクトップコンピュータ、パーソナルコンピュータなどのコンピュータ端末は、必需品である。
【0003】
これらの各種サーバーおよびエンドポイント装置には個人や企業などの重要な情報を保存しているのが一般的である。
【0004】
このような理由から、ハッカーは、様々なマルウェアを各種サーバーおよびエンドポイント装置に仕込み、当該装置に故障を起こしたり、当該装置に保存されている重要文書などの情報を暗号化または毀損させたりしている。
【0005】
このようなマルウェアのうちの代表的なものがランサムウェア（Ｒａｎｓｏｍｅｗａｒｅ）である。
【0006】
ランサムウェアは、身代金（Ｒａｎｓｏｍｅ）と製品（Ｗａｒｅ）の合成語であって、ユーザーのコンピュータまたはスマートフォンに保存されたユーザーの個人的な文書を使用できないようにする不正プログラムの一種である。ランサムウェア配布者は、ランサムウェアによって使用できないように暗号化されたユーザーの個人的な文書を解読することができるワクチンを提供する対価として金銭を要求するのが一般的である。
【0007】
このようなランサムウェアは、時間が経つにつれて精巧化・知能化されており、標的化されている。一部の攻撃は、今新しいデータ漏洩方法を獲得したが、これにより、企業は、既存のランサムウェアに起因する伝統的なデータ損失よりもさらに大きな被害を受けるおそれがある。特に、このような攻撃は消えずにさらに増加する可能性が高まっている。
【0008】
多くのランサムウェア感染は、ワークステーション感染から始まる。よって、このようなランサムウェアを防止するために、エンドポイントマルウェア対策ソフトウェアを使用する。
【0009】
このようなエンドポイントマルウェア対策ソフトウェアは、オペレーティングシステム（Ｏｐｅｒａｔｉｎｇ Ｓｙｓｔｅｍ：ＯＳ）階層の上位レベルであるアプリケーション階層で駆動されるアプリケーションソフトウェアである。
【0010】
しかし、アプリケーション階層で駆動される各種サーバーおよびエンドポイントマルウェア対策ソフトウェアは、ワクチンの更新前まで最新のランサムウェアに対しては検出できないという問題点があった。
【0011】
最近では、ＯＳ階層で駆動されるランサムウェア攻撃検知装置が開発されているが、プロセスのアクセス権限を設定し、そのアクセス権限を確認してランサムウェアか否かを判断することで、すべてのプロセスに対してアクセス権限を確認しなければならないので、多くの時間がかかり、すべてのプロセスにアクセス権限を設定しなければならないため、面倒であり、アクセス権限を設定していないプロセスに対してランサムウェアとして誤認するおそれがあるという問題点があった。
【0012】
ワクチンの更新なしでかつ権限設定なしで最新のランサムウェアを迅速に検出することができる方案が求められている。
【発明の概要】
【発明が解決しようとする課題】
【0013】
そこで、本発明の目的は、オペレーティングシステム（Ｏｐｅｒａｔｉｎｇ Ｓｙｓｔｅｍ：ＯＳ）のカーネル（Ｋｅｒｎｅｌ）レベルで生成されるプロセスをクラスタリングするためにクラスターＩＤを生成し、クラスターＩＤ別に、一つの親プロセスから分岐したプロセス、プロセスが読み書きする情報をクラスタリングし、クラスター単位でクラスタリングされた情報の変更および毀損有無に応じてランサムウェア攻撃を検知および遮断する、マルチプロセスクラスタリングに基づくランサムウェア攻撃検知装置、方法、およびその方法を実現するためのプログラムを記録した記録媒体を提供することにある。
【課題を解決するための手段】
【0014】
上記の目的を達成するための本発明によるマルチプロセスクラスタリングに基づくランサムウェア攻撃検知装置は、プロセス生成要求および情報アクセスによるクラスタリングイベントが発生するかをモニタリングするイベントモニタリング部と；クラスタリングイベントがプロセス生成要求によって発生したものであれば、プロセスを生成するプロセス生成部と；生成された前記プロセスにクラスター識別情報（Ｉｄｅｎｔｉｆｉｃａｔｉｏｎ：ＩＤ）を割り当てて、前記クラスターＩＤのクラスターに関連するプロセスをクラスタリングするクラスター割当部と；前記クラスター内の任意のプロセスがアクセスする情報をクラスタリングして、前記クラスターに対する情報集合に追加するアクセス情報クラスタリング部と；前記クラスターに対してクラスタリングされたプロセスのうちの任意のプロセスがクラスター内の情報にアクセスするかを判断して、前記任意のプロセスの前記情報アクセスを点検対象情報の発生によって検知し、検知された点検対象情報に関連するクラスターの情報変更回数および情報毀損回数をカウントするアクセス情報状態追跡部と；前記情報変更回数および情報毀損回数のそれぞれがそれぞれの当該しきい値を超えると、前記プロセスをランサムウェアと決定し、前記プロセスがクラスタリングされているクラスターのプロセスを終了するランサムウェア検出部と；を含むことを特徴とする。
【0015】
前記装置は、システムの駆動の際に、初期プロセス、および初期プロセスが生成したデーモンプロセスおよびサービスプロセスのクラスターＩＤは０に初期化し、未使用クラスター集合（ＦｒｅｅＣ）はクラスターＩＤが０であるものだけを除いた残りの全体クラスターＩＤを持つように初期化し、使用クラスター集合（ＡｓｓｉｇｎｅｄＣ）は、クラスターＩＤが０であるものだけを含むように初期化する初期化部をさらに含むことを特徴とする。
【0016】
前記クラスター割当部は、前記生成されたプロセスの親プロセスのクラスターＩＤが０であれば、使用されていないクラスター集合の中で一番最近に割り当てられたクラスターＩＤの次のクラスターＩＤを取得して割り当て、前記親プロセスのクラスターＩＤが０でなければ、前記親プロセスのクラスターＩＤを取得し、前記クラスターＩＤを前記プロセスに割り当てた後、前記クラスターＩＤのクラスター集合に前記プロセスを追加して、前記プロセスに関連するプロセスを当該クラスターにクラスタリングすることを特徴とする。
【0017】
前記クラスター割当部は、親クラスターＩＤが０であれば、最近のクラスターＩＤ値と増分値（Δ）との和をモジュラー演算して、使用する唯一のクラスターＩＤ値を算出することを特徴とする。
【0018】
前記アクセス情報クラスタリング部は、前記イベントモニタリング部を介して前記クラスターＩＤに対するクラスター集合の任意のプロセスによる情報アクセスが発生すると、アクセスした情報を取得するプロセスアクセス情報取得部と、前記取得された情報を前記クラスターＩＤに対するクラスター情報集合に追加するアクセス情報クラスター追加部とを含むことを特徴とする。
【0019】
前記アクセス情報状態追跡部は、前記クラスターに対してクラスタリングされたプロセスのうちの任意のプロセスが、前記クラスターに属するプロセスが、既にアクセスした情報にアクセスするかを判断して、前記プロセスの前記情報アクセスを点検対象情報の発生によって検知する点検対象判断部と；前記点検対象情報の発生が変更行為として検知されると、前記点検対象情報を発生させたプロセスをクラスタリングしている当該クラスターの情報変更回数をカウントする情報変更追跡部と；毀損行為として検知されると、前記クラスターの情報毀損回数をカウントする情報毀損追跡部と；を含むことを特徴とする。
【0020】
前記情報は、データおよびファイルであることを特徴とする。
【0021】
上記の目的を達成するための本発明によるマルチプロセスクラスタリングに基づくランサムウェア攻撃検知方法は、イベントモニタリング部がプロセス生成要求および情報アクセスによるクラスタリングイベントが発生するかをモニタリングするイベントモニタリング過程と；プロセス生成部が、クラスタリングイベントがプロセス生成要求によって発生したものであれば、プロセスを生成するプロセス生成過程と；クラスター割当部が、生成された前記プロセスの親プロセスのクラスターＩＤが０であれば、使用されていないクラスターＩＤを割り当て、親プロセスのクラスターＩＤが０でなければ、親プロセスのクラスターＩＤを前記プロセスに割り当てて、前記クラスターＩＤのクラスターに関連するプロセスをクラスタリングするクラスター割当過程と；アクセス情報クラスタリング部が、前記クラスターの任意のプロセスがアクセスする情報をクラスタリングして、前記クラスターに対する情報集合に追加するアクセス情報クラスタリング過程と；アクセス情報状態追跡部が、前記クラスターに対してクラスタリングされたプロセスのうちの任意のプロセスがクラスター内の情報にアクセスするかを判断して、前記他のプロセスの前記情報アクセスを点検対象情報の発生によって検知し、検知された点検対象情報に関連するクラスターの情報変更回数および情報毀損回数をカウントするアクセス情報状態追跡過程と；ランサムウェア検出部が、前記情報変更回数および情報毀損回数のそれぞれがそれぞれの当該しきい値を超えると、前記プロセスをランサムウェアと決定し、前記プロセスがクラスタリングされているクラスターのプロセスを終了するランサムウェア検出過程と；を含むことを特徴とする。
【0022】
前記方法は、初期化部が、システムの駆動の際に、初期プロセス、および初期プロセスが生成したデーモンプロセスおよびサービスプロセスのクラスターＩＤは０に初期化し、未使用クラスター集合（ＦｒｅｅＣ）はクラスターＩＤが０であるものだけを除いた残りの全体クラスターＩＤを持つように初期化し、使用クラスター集合（ＡｓｓｉｇｎｅｄＣ）はクラスターＩＤが０であるものだけを含むように初期化する初期化過程をさらに含むことを特徴とする。
【0023】
前記クラスター割当過程は、生成された前記プロセスの親プロセスクラスターＩＤ取得ステップと；親プロセスのクラスターＩＤが０であれば、使用されていないクラスター集合の中で一番最近に割り当てられたクラスターＩＤの次のクラスターＩＤを取得して割り当てる新規クラスター割当ステップと；前記親プロセスのクラスターＩＤが０でなければ、前記クラスターＩＤを前記プロセスに割り当てる既存のクラスター割当ステップと；前記クラスターの割り当て後、前記クラスターＩＤのクラスター集合に前記プロセスを追加して、前記プロセスに関連するプロセスをクラスタリングするプロセスクラスタリングステップと；を含むことを特徴とする。
【0024】
前記親プロセスクラスター割当ステップで、親クラスターＩＤが０であれば、クラスター割当部が最近のクラスターＩＤ値と増分値（Δ）との和を最大のクラスターＩＤ値としてモジュラー演算して、使用するクラスターＩＤ値を算出することを特徴とする。
【0025】
前記アクセス情報クラスタリング過程は、プロセスアクセス情報取得部が、前記イベントモニタリング部を介して前記クラスターＩＤに対するクラスター（集合）の任意のプロセスによる情報アクセスが発生すると、アクセスした情報を取得するプロセスアクセス情報取得ステップと；クラスター追加部が、前記取得された情報を前記クラスターＩＤに対するクラスター情報集合に追加するアクセス情報クラスター追加ステップと；を含むことを特徴とする。
【0026】
前記アクセス情報状態追跡過程は、点検対象判断部が、前記クラスターに対してクラスタリングされたプロセスのうちの任意のプロセスがクラスター内の他のプロセスが既にアクセスした情報にアクセスするかを判断して、前記任意のプロセスの前記情報アクセスを点検対象情報の発生によって検知する点検対象判断ステップと；情報変更追跡部が、前記点検対象プロセスとして判断されたプロセスをクラスタリングしているクラスターの情報変更回数をカウントする情報変更追跡ステップと；情報毀損追跡部が前記クラスターの情報毀損回数をカウントする情報毀損追跡ステップと；を含むことを特徴とする。
【0027】
上記の目的を達成するための本発明によるマルチプロセスクラスタリングに基づくランサムウェア攻撃検知方法を実現するためのプログラムを記録した記録媒体は、イベントモニタリング部が、プロセス生成要求および情報アクセスによるクラスタリングイベントが発生するかをモニタリングするイベントモニタリング過程と；プロセス生成部が、クラスタリングイベントがプロセス生成要求によって発生したものであれば、プロセスを生成するプロセス生成過程と；クラスター割当部が、生成された前記プロセスにクラスター識別情報（Ｉｄｅｎｔｉｆｉｃａｔｉｏｎ：ＩＤ）を割り当てて、前記クラスターＩＤのクラスターに関連するプロセスをクラスタリングするクラスター割当過程と；アクセス情報クラスタリング部が、前記クラスターの任意のプロセスがアクセスする情報をクラスタリングして、前記クラスターに対する情報集合に追加するアクセス情報クラスタリング過程と；アクセス情報状態追跡部が、前記クラスターに対してクラスタリングされたプロセスのうちの任意のプロセスがクラスター内の他のプロセスが既にアクセスした情報にアクセスするかを判断して、前記任意のプロセスの前記情報アクセスを点検対象情報の発生によって検知し、検知された点検対象情報に関連するクラスターの情報変更回数および情報毀損回数をカウントするアクセス情報状態追跡過程と；ランサムウェア検出部が、前記情報変更回数および情報毀損回数のそれぞれがそれぞれのしきい値を超えると、前記プロセスをランサムウェアと決定し、前記プロセスがクラスタリングされているクラスターのプロセスを終了するランサムウェア検出過程と；を含むことを特徴とする。
【発明の効果】
【0028】
本発明は、オペレーティングシステム（ＯＳ）のカーネル階層で動作するので、ランサムウェアを迅速に検知して遮断することができるという効果がある。
【0029】
また、本発明は、プロセスの一般的な動作による当該プロセスおよび前記プロセスの親プロセスを関連付けて情報のアクセス、変更などをクラスタリングして一つのクラスター単位で管理するので、別途のワクチン更新過程なしでも新しいランサムウェアに対するプロセスを迅速かつ正確に検知することができるという効果がある。
【0030】
また、本発明は、ランサムウェアであるプロセスの情報へのアクセス時に、原本ファイルのバックアップおよび復元によってランサムウェアであるプロセスの攻撃に対応することができるという効果がある。
【図面の簡単な説明】
【0031】
【図1】本発明によるカーネル階層で動作するランサムウェア検知装置を含む各種サーバーまたはエンドポイントシステムの構成を示す図である。
【図2】本発明に係るマルチプロセスクラスタリングに基づくランサムウェア攻撃検知装置の構成を示す図である。
【図3】本発明の一実施形態によるマルチプロセスクラスタリングに基づくランサムウェア攻撃検知のためのプロセスにクラスターを割り当てる方法を説明するための図である。
【図4】本発明に係るマルチプロセスクラスタリングに基づくランサムウェア攻撃検知方法を示すフローチャートである。
【図5】本発明に係るマルチプロセスクラスタリングに基づくランサムウェア攻撃検知方法のうちのランサムウェア判断方法を示すフローチャートである。
【発明を実施するための形態】
【0032】
以下、添付図面を参照して、本発明によるマルチプロセスクラスタリングに基づくランサムウェア攻撃検知装置の構成および動作を説明し、前記装置におけるプロセス生成によるクラスター割当方法、ランサムウェア判断方法などを含むランサムウェア攻撃検知方法を説明する。以下の説明において、情報は、データ（Ｄａｔａ）およびファイル（Ｆｉｌｅ）を含む用語として使用される。
【0033】
図１は本発明によるカーネル階層で動作するランサムウェア検知装置を含む各種サーバーまたはエンドポイントシステムの構成を示す図、図２は本発明に係るマルチプロセスクラスタリングに基づくランサムウェア攻撃検知装置の構成を示す図、図３は本発明の一実施形態によるマルチプロセスクラスタリングに基づくランサムウェア攻撃検知のためのプロセスにクラスターを割り当てる方法を説明するための図である。以下、図１～図３を参照して説明する。
【0034】
本発明に係るエンドポイントシステムは、例えばデスクトップコンピュータ、パーソナルコンピュータ、ラップトップコンピュータなどのコンピュータ端末や、例えばスマートフォン、スマートパッドなどのスマート端末などのように、エンドポイントに構成されるシステムを意味する。
【0035】
各種サーバーまたはエンドポイントシステムは、図１に示すように、ハードウェア階層部１０、オペレーティングシステム（Ｏｐｅｒａｔｉｎｇ Ｓｙｓｔｅｍ：ＯＳ）階層部２０およびアプリケーション（応用）階層部３０を含む。そして、オペレーティングシステム階層部２０は、カーネル階層部２１およびシステム運営階層部２２を含む。
【0036】
本発明に係るランサムウェア攻撃検知装置１００は、オペレーティングシステム階層部２０のカーネル階層部２１に構成される。
【0037】
カーネル階層部２１は、ハードウェア階層部１０とシステム運営階層部２２との間に構成され、プロセスの生成および除去、ファイルの生成、変更および除去、データの入出力、メモリーなどのリソース管理などを行う。
【0038】
本発明のランサムウェア攻撃検知装置１００は、カーネル階層部２１で生成されるプロセスを、最初に発生する親プロセス、および前記親プロセスが生成する子プロセスに固有のクラスターＩＤを割り当てる。こうすることにより、同じクラスターＩＤを持つクラスターには、親プロセスおよび子プロセスを含む族プロセスがクラスタリングされる。
【0039】
また、ランサムウェア攻撃検知装置１００は、一つのクラスターにクラスタリングされたプロセスがアクセスする情報をクラスター単位でクラスタリングして管理する。
【0040】
ランサムウェア攻撃検知装置１００は、クラスター単位で族プロセス、およびその族プロセスがアクセスする情報をクラスタリングして管理するので、クラスター単位でプロセスの情報アクセス、情報変更、情報毀損有無をモニタリングすることができる。
【0041】
これを用いて、ランサムウェア攻撃検知装置１００は、クラスター単位のプロセス（族プロセスによる）の情報変更回数および情報毀損回数をカウントし、カウントされた情報変更回数および情報毀損回数によって、前記クラスターのプロセスがランサムウェアであるかを判断する。
【0042】
ランサムウェアであると判断されると、ランサムウェア攻撃検知装置１００は、当該クラスターのプロセスを終了してランサムウェアを遮断する。
【0043】
具体的に図２を参照して説明すると、本発明のマルチプロセスクラスタリングに基づくランサムウェア攻撃検知装置１００は、初期化部１１０、イベントモニタリング部１２０、プロセス生成部１３０、クラスター割当部１４０、アクセス情報クラスタリング部１５０、アクセス情報状態追跡部１６０およびランサムウェア検出部１７０を含む。
【0044】
以下の説明で生成されたプロセスは、下記数式１のようにＰｐｉｄで表し、クラスターＩＤは、数式２のようにｃｉｄで表す。
【0045】
【数1】
【0046】
【数2】
【0047】
前記ｐｉｄはプロセスＩＤを示し、ｃｉｄはクラスターＩＤを示す。
【0048】
前記ｐｉｄは０（ｚｅｒｏ）以上の整数である。本発明において、ｐ０は、ＯＳにおいてプロセスＩＤが０である初期プロセスを意味する。ただし、ＯＳの種類に応じて、０ではない他のプロセスＩＤ値を持つこともある。
【0049】
前記ｃｉｄも０以上の整数である。ただし、初期プロセスの場合に限って、クラスターＩＤ（ｃｉｄ）は０に設定する。また、初期プロセスが生成したデーモン（Ｄａｅｍｏｎ）プロセスおよびサービスプロセスに対しても、クラスターＩＤを０に設定する。
【0050】
現在生成されているプロセスは、下記数式３のようにプロセス集合Ｐとして定義して管理する。
【0051】
【数3】
【0052】
初期化部１１０は、各種サーバーおよびエンドポイントシステムの初期駆動の際に、本発明に係るプロセスＩＤ（ｐｉｄ）、クラスターＩＤ（ｃｉｄ）、初期プロセス（Ｐ０）、初期クラスター（Ｃ０）、未使用クラスター集合（ＦｒｅｅＣ）、使用クラスター集合（ＡｓｓｉｇｎｅｄＣ）、プロセス集合（Ｐ）などのさまざまなパラメータを初期化する。前記プロセスＩＤおよびクラスターＩＤは、０に初期化され、未使用クラスター集合は、クラスターＩＤが０であるものだけを除いた残りの全体クラスターを含むように初期化され、使用クラスター集合は、クラスターＩＤが０であるものだけを含むように初期化される。
【0053】
イベントモニタリング部１２０は、カーネル階層部２１でクラスタリングイベントが発生するかをモニタリングする。前記クラスタリングイベントとは、ランサムウェア検出のためのクラスタリングを行わなければならないイベントであって、プロセス（ｐｐｉｄ）生成要求、プロセス終了要求、情報アクセス、点検対象情報検知などにより発生しうる。
【0054】
プロセス生成部１３０は、前記イベントモニタリング部１２０を介してプロセス生成要求によるクラスタリングイベントが発生すると、プロセス（ｐｐｉｄ）を生成し、プロセス集合（Ｐ）に登録する。
【0055】
クラスター割当部１４０は、前記プロセス生成部１３０でプロセス（ｐｐｉｄ）が生成されると、下記数式４のように表示されるｇｅｔＰＣＩＤ(Ｐｐｉｄ)関数を適用して親プロセスのクラスターＩＤ割当結果を判断する。
【0056】
【数4】
【0057】
判断の結果、親プロセスに割り当てられたクラスターＩＤが０であれば、クラスター割当部１４０は、下記数式５のように表示される未使用クラスター集合（ＦｒｅｅＣ）のクラスターＩＤを取得した後、前記プロセス（ｐｐｉｄ）に割り当て、使用クラスター集合（ＡｓｓｉｇｎｅｄＣ）にクラスターＩＤを登録する。
【0058】
【数5】
【0059】
ＯＳの動作の前には、未使用クラスター集合（ＦｒｅｅＣ）にはすべてのクラスターが含まれ、ＯＳの初期起動の際に、初期プロセス、および初期プロセスが生成したデーモンプロセスおよびサービスプロセスに対してはクラスターＩＤ値が０に設定されるので、ＦｒｅｅＣにはＣ０が含まれない。
【0060】
使用クラスター集合（ＡｓｓｉｇｎｅｄＣ）は、プロセスに割り当てられて使用されているクラスターＩＤの集合を示す。よって、ＯＳの動作の前に、使用クラスター集合は空集合に設定され、ＯＳ初期起動の際に、初期プロセス、初期プロセスが生成したデーモンプロセスおよびサービスプロセスに対してクラスターＩＤ値が０に設定されるので、使用クラスター集合（ＡｓｓｉｇｎｅｄＣ）にＣ０が含まれる。
【0061】
一方、親プロセスの割り当てられたクラスターＩＤが０でない場合は、前記生成されたプロセス（ｐｐｉｄ）、すなわち子孫プロセス（ｐｐｉｄ）に前記親プロセスのクラスターＩＤを割り当てる。
【0062】
下記数式６は、上記の過程を行うｇｅｎＣＩＤ（）関数である。
【0063】
【数6】
【0064】
ここで、Δは、増分値を意味し、一定の値に設定されるか、或いはクラスターＩＤ（ｃｉｄ）の算出に対する予測を難しくするためにランダムに設定され得る。
【0065】
ｇｅｎＣＩＤ（）は、生成されたプロセスに対するクラスターＩＤ（ｃｉｄ）を算出して返す関数である。
【0066】
ｇｅｎＣＩＤ（）関数は、生成されたプロセス（ｐｐｉｄ）に対する親プロセスのクラスター（Ｐｃｉｄ）が０よりも大きければ、生成されたプロセス（ｐｐｉｄ）に対する親プロセスのクラスターＩＤ（Ｐｃｉｄ）値を継承して、生成されたプロセス（ｐｐｉｄ）に対するクラスターＩＤ値として算出して返す。
【0067】
ｇｅｎＣＩＤ（）関数は、生成されたプロセス（ｐｐｉｄ）に対する親プロセスのクラスターＩＤが０であれば、最近のクラスターＩＤ（ｌａｔｅｓｔＣＩＤ）値と増分値（Δ）との和をモジュラー演算（ｍｏｄｍ）クラスターＩＤ値を算出し、算出されたクラスターＩＤ（ｃｉｄ）値が０ではなく、使用されていないクラスターＩＤの集合（ＦｒｅｅＣ）に含まれていれば、ＦｒｅｅＣ集合からクラスター（Ｃｃｉｄ）を除去し、ＡｓｓｉｇｎｅｄＣ集合に当該クラスター（Ｃｃｉｄ）を追加した後、算出したクラスターＩＤ（ｃｉｄ）値を返す。
【0068】
前記最近のクラスターＩＤ（ｌａｔｅｓｔＣＩＤ）は、下記数式７によって取得され、更新されることが可能である。
【0069】
【数7】
【0070】
前記ｇｅｔＬＣＩＤ（）関数は、一番最近に生成された最近のクラスターＩＤ（ｌａｔｅｓｔＣＩＤ）値を求めて返す。
【0071】
ｕｐｄａｔｅＬＣＩＤ（）は、最近のクラスターＩＤ（ｌａｔｅｓｔＣＩＤ）値を、入力されたｃｉｄ値に更新する関数である。
前記クラスターＩＤの割当方法を、図３を参照してより概念的に説明する。
前記クラスターＩＤの割当方法を、図３を参照してより概念的に説明する。
【0072】
図３は、使用クラスター集合（ＡｓｓｉｇｎｅｄＣ）は｛０、１、２｝であり、未使用クラスター集合（ＦｒｅｅＣ）は［３、．．．、ｍ］（およそｍ＝１０００）であり、増分値（Δ）は１であり、ｌａｔｅｓｔＣＩＤは２である場合を示すものである。
【0073】
プロセス（ｐｉｄ：３００）のクラスターＩＤ（プロセス（３００）ｃｉｄ）は、親プロセスのクラスターＩＤ（Ｐｃｉｄ）が０であるので、２（最近のクラスターＩＤ）＋１（増分値）ｍｏｄ１０００＝３となり、使用クラスター集合（ＡｓｓｉｇｎｅｄＣ）は｛０、１、２、３｝となり、未使用クラスター集合（ＦｒｅｅＣ）は［４、．．．、ｍ］となる。
【0074】
プロセス（ｐｉｄ：３０１）のクラスターＩＤ（プロセス（３０１）ｃｉｄ）は、Ｐｃｉｄ＞０なので、プロセス（３０１）Ｐｃｉｄ＜－Ｐｃｉｄ＝３となる。
【0075】
クラスターＩＤがプロセスに割り当てられると、クラスター割当部１４０は、下記数式８を適用して、同じクラスターＩＤを持つプロセスの集合を生成する。ただし、初期プロセスのクラスターＩＤは０に設定し、初期プロセスが生成したデーモンおよびサービスプロセスに対しても、クラスターＩＤは０に設定する。すなわち、クラスターＩＤが０であるプロセス集合（Ｃ０）は、クラスターＩＤが０であるプロセスの集合であって、初期プロセス、デーモンプロセスおよびサービスプロセスを含む。
【0076】
【数8】
【0077】
ここで、Ｃ０は、未使用クラスター集合（ＦｒｅｅＣ）に含まれない。
【0078】
アクセス情報クラスタリング部１５０は、プロセスアクセス情報取得部１５１およびアクセス情報クラスター追加部１５２を含むことにより、前記クラスターＩＤ別に、クラスター内の任意のプロセスがアクセスする情報をクラスタリングして、前記クラスターに対する情報集合に追加する。
【0079】
イベントモニタリング部１２０は、任意のプロセスが下記数式９のようなファイルを読むための情報アクセスによるクラスタリングイベントを検知するだろう。
【0080】
【数9】
【0081】
数式９のＲｅａｄＦｉｌｅ（）関数は、プロセス（ｐｐｉｄ）がファイル（ｒｆｉｌｅ）からデータ（ｒｄａｔａ）を読む関数である。
【0082】
このとき、アクセス情報取得部１５１は、前記プロセス（ｐｐｉｄ）が読んだ情報を取得する。前記情報は、読んだデータ（ｒｄａｔａ）、読んだファイル（ｒｆｉｌｅ）などになることができる。
【0083】
アクセス情報クラスター追加部１５２は、アクセス情報取得部１５１で取得した情報をクラスタリングして情報集合を生成する。情報集合は、情報の種類（Ｄａｔａ、Ｆｉｌｅ）によって、読んだデータ情報集合（ＲｅａｄＤａｔａｃｉｄ）と読んだファイル情報集合（ＲｅａｄＦｉｌｅｃｉｄ）などに区分できる。下記数式１０においてａｄｄＲｅａｄＤａｔａ（Ｐｐｉｄ、ｒｄａｔａ）およびａｄｄＲｅａｄＦｉｌｅ（Ｐｐｉｄ、ｒｆｉｌｅ）を行って情報を当該情報集合に追加する。
【0084】
【数10】
【0085】
ここで、ａｄｄＲｅａｄＤａｔａ（Ｐｐｉｄ、ｒｄａｔａ）は、プロセス（ｐｐｉｄ）のクラスターＩＤ（ｃｉｄ）値を求め、当該クラスターＩＤに対するＲｅａｄＤａｔａｃｉｄ集合に、読んだデータ（ｒｄａｔａ）を追加する関数である。
【0086】
ａｄｄＲｅａｄＦｉｌｅ（Ｐｐｉｄ、ｒｆｉｌｅ）は、プロセス（ｐｐｉｄ）のクラスターＩＤ（ｃｉｄ）値を求め、当該クラスターＩＤに対するＲｅａｄＦｉｌｅｃｉｄ集合に、読んだファイル（ｒｆｉｌｅ）を追加する関数である。
【0087】
アクセス情報状態追跡部１６０は、点検対象判断部１６１、情報変更追跡部１６２および情報毀損追跡部１６３を含むことにより、点検対象情報、点検対象情報の情報変更回数および情報毀損回数をカウントして出力する。
【0088】
具体的に説明すると、点検対象判断部１６１は、下記数式１１を適用して、プロセス（ｐｐｉｄ）に関連するｃｉｄを持つクラスターの情報集合に点検対象情報が発生するかを検査する。
【0089】
【数11】
【0090】
ｃｏｍｐａｒｅＤａｔａ（）関数は、プロセス（ｐｐｉｄ）に関連するＲｅａｄＤａｔａｃｉｄに点検対象データ（ｃｄａｔａ）が含まれている場合にはＴＲＵＥを返し、そうでない場合にはＦＡＬＳＥを返す。
【0091】
ｉｓＲｅａｄＦｉｌｅ（）関数は、プロセス（ｐｐｉｄ）に関連するＲｅａｄＤａｔａｃｉｄに点検対象ファイル（ｃｆｉｌｅ）が含まれている場合にはＴＲＵＥを返し、そうでない場合にはＦＡＬＳＥを返す。
【0092】
情報変更追跡部１６２は、前記点検対象判断部１６１で点検対象情報が発生すると、下記数式１２を適用して、点検対象情報を発生させたプロセス（ｐｐｉｄ）が属するクラスター単位で当該点検対象情報の情報変更回数をカウントする。
【0093】
【数12】
【0094】
ここで、ＡｌｔｅｒＣｏｕｎｔｃｉｄは、当該クラスターＩＤ（ｃｉｄ）の変更カウントを意味するもので、クラスターＩＤがｃｉｄであるプロセスがファイルに変更（ｗｒｉｔｅ）を実行した回数（以下「情報変更回数」という。）を示す。
【0095】
ＡｌｔｅｒＣｏｕｎｔＳｅｔは、各クラスターＩＤ（ｃｉｄ）に関連する情報変更回数（ＡｌｔｅｒＣｏｕｎｔｃｉｄ）の集合を意味する。
【0096】
ｉｎｃＡｌｔｅｒＣｏｕｎｔ（Ｐｐｉｄ）関数は、プロセス（ｐｐｉｄ）のクラスターＩＤ（ｃｉｄ）値を求め、当該クラスターＩＤの情報変更回数（ＡｌｔｅｒＣｏｕｎｔｃｉｄ）を１だけ増加させる。
【0097】
また、ｉｎｃＡｌｔｅｒＣｏｕｎｔ（Ｐｐｉｄ）関数は、当該クラスターＩＤの情報変更回数がＡｌｔｅｒＣｏｕｎｔＳｅｔ集合に含まれていない場合には、ＡｌｔｅｒＣｏｕｎｔＳｅｔ集合に当該クラスターＩＤの情報変更回数を追加する。
【0098】
情報毀損追跡部１６３は、点検対象判断部１６１によって、点検対象情報があると判断されると、下記数式１３を適用して点検対象情報の情報毀損回数をカウントする。
【0099】
【数13】
【0100】
ここで、ＤａｍａｇｅＣｏｕｎｔｃｉｄは、当該クラスターＩＤ（ｃｉｄ）の毀損カウントを意味するもので、クラスターＩＤがｃｉｄであるプロセスがファイルを毀損（ｄｅｌｅｔｅ、ｏｖｅｒｗｒｉｔｅ、ｔｒｕｎｃａｔｅなど）した回数（以下「情報毀損回数」という）を示す。
【0101】
ＤａｍａｇｅＣｏｕｎｔＳｅｔは、各クラスターＩＤ（ｃｉｄ）に関連する情報毀損回数（ＤａｍａｇｅＣｏｕｎｔｃｉｄ）の集合を意味する。
【0102】
ｉｎｃＤａｍａｇｅＣｏｕｎｔ（Ｐｐｉｄ）関数は、プロセス（ｐｐｉｄ）のクラスターＩＤ（ｃｉｄ）値を求めて当該クラスターＩＤの情報毀損回数（ＤａｍａｇｅＣｏｕｎｔｃｉｄ）を１だけ増加させ、ＤａｍａｇｅＣｏｕｎｔＳｅｔ集合に当該クラスターＩＤの情報毀損回数（ＤａｍａｇｅＣｏｕｎｔｃｉｄ）が含まれていない場合には、ＤａｍａｇｅＣｏｕｎｔＳｅｔ集合に情報毀損回数を追加する。
【0103】
ランサムウェア検出部１７０は、下記数式１４および数式１５のような情報の出力（Ｗｒｉｔｅ）および変更（Ａｌｔｅｒ）に対して前記情報変更追跡部１６２でカウントされた情報変更回数と情報毀損回数のそれぞれをしきい値（変更しきい値（ｔＡｌｔｅｒ）、毀損しきい値（ｔＤａｍａｇｅ））と比較して、前記点検対象情報にアクセスしたプロセスがランサムウェアであるかを判断する。
【0104】
【数14】
【0105】
ここで、ｗｒｉｔｅＦｉｌｅ（）は、プロセス（ｐｐｉｄ）がファイル（ｗｆｉｌｅ）にデータ（ｗｄａｔａ）を出力する関数を意味する。ｗｒｉｔｅＦｉｌｅ（）関数は、ｉｓＲｅａｄＦｉｌｅ（）関数の呼び出し結果がＴＲＵＥである場合にはファイル毀損行為と判断して、当該ファイル（ｗｆｉｌｅ）を一時保管所にバックアップし、ｉｎｃＤａｍａｇｅＣｏｕｎｔ（）関数を呼び出して、プロセス（ｐｐｉｄ）に関連するクラスターの毀損カウント（ＤａｍａｇｅＣｏｕｎｔｃｉｄ）である情報毀損回数を増加させる。その後、プロセス（ｐｐｉｄ）に関連するクラスターの情報変更回数（ＡｌｔｅｒＣｏｕｎｔｃｉｄ）が変更（行為）しきい値（ｔＡｌｔｅｒ）を超過し、プロセス（ｐｐｉｄ）に関連するクラスターの情報毀損回数（ＤａｍａｇｅＣｏｕｎｔｃｉｄ）が毀損（行為）しきい値（ｔＤａｍａｇｅ）を超過する場合、プロセス（ｐｐｉｄ）はランサムウェアと判定されるので、下記数式１６を適用して、プロセス（ｐｐｉｄ）に対応する当該クラスターに含まれているすべてのプロセスを終了させ、バックアップされた当該ファイル（ｗｆｉｌｅ）を復元する。
【0106】
ランサムウェアと判断されない場合には、当該ファイル（ｗｆｉｌｅ）にデータ（ｗｄａｔａ）を出力し、ｃｏｍｐａｒｅＤａｔａ（）関数を呼び出してその結果がＦＡＬＳＥである場合、ファイルコピー行為ではなく、ファイル変更行為と判断し、ｉｎｃＡｌｔｅｒＣｏｕｎｔ（）関数を呼び出してプロセス（ｐｐｉｄ）に関連するクラスターの情報変更回数（ＡｌｔｅｒＣｏｕｎｔｃｉｄ）を増加させる。
【0107】
【数15】
【0108】
ここで、ａｌｔｅｒＦｉｌｅ（）は、プロセス（ｐｐｉｄ）がファイル（ｘｆｉｌｅ）に変更（ｄｅｌｅｔｅ、ｘｄａｔａによるｏｖｅｒｗｒｉｔｅ、ｔｒｕｎｃａｔｅなど）を実行する関数を意味する。ａｌｔｅｒＦｉｌｅ（）関数は、ｉｓＲｅａｄＦｉｌｅ（）関数の呼び出し結果がＴＲＵＥである場合には、ファイル毀損行為と判断して、当該ファイル（ｘｆｉｌｅ）を一時保管所にバックアップし、ｉｎｃＤａｍａｇｅＣｏｕｎｔ（）関数を呼び出して、プロセス（ｐｐｉｄ）に関連するクラスターの情報毀損回数（ＤａｍａｇｅＣｏｕｎｔｃｉｄ）を増加させる。
【0109】
その後、プロセス（ｐｐｉｄ）に関連するクラスターの情報変更回数（ＡｌｔｅｒＣｏｕｎｔｃｉｄ）が変更（行為）しきい値（ｔＡｌｔｅｒ）を超過し、プロセス（ｐｐｉｄ）に関連するクラスターの情報毀損回数（ＤａｍａｇｅＣｏｕｎｔｃｉｄ）が毀損（行為）しきい値（ｔＤａｍａｇｅ）を超過する場合、プロセス（ｐｐｉｄ）はランサムウェアと判定されるので、下記数式１６を適用して、プロセスに対応する当該クラスターに含まれているすべてのプロセスを終了させ、バックアップされた当該ファイル（ｘｆｉｌｅ）を復元する。
【0110】
ランサムウェアと判断されない場合には、ファイル（ｘｆｉｌｅ）に対する変更（ｄｅｌｅｔｅ、ｘｄａｔａによるｏｖｅｒｗｒｉｔｅ、またはｔｒｕｎｃａｔｅなど）を実行し、ファイル変更行為と判断し、ｉｎｃＡｌｔｅｒＣｏｕｎｔ（）関数を呼び出してプロセス（ｐｐｉｄ）に関連するクラスターの情報変更回数（ＡｌｔｅｒＣｏｕｎｔｃｉｄ）を増加させる。
【0111】
【数16】
【0112】
【0113】
【0114】
初期化部１１０は、本発明に係るカーネルパラメータを初期化する（Ｓ１１１）。前記カーネルパラメータは、プロセスＩＤ（ｐｉｄ）、クラスターＩＤ（ｃｉｄ）、初期プロセス（Ｐ０）、初期クラスター（Ｃ０）、未使用クラスター集合（ＦｒｅｅＣ）、使用クラスター集合（ＡｓｓｉｇｎｅｄＣ）、プロセス集合（Ｐ）などになることができる。
【0115】
パラメータの初期化後、イベントモニタリング部１２０は、動作イベント、すなわちクラスタリングイベントが発生するかをモニタリングする（Ｓ１１３）。
【0116】
クラスタリングイベントが発生すると、イベントモニタリング部１２０は、前記クラスタリングイベントがプロセス生成要求（Ｓ１１５）、情報アクセス（Ｓ１１７）、点検対象判断部１６１による点検対象情報の発生（Ｓ１１９）、およびプロセス終了要求（Ｓ１２１）のいずれかによって発生したかを判断する。
【0117】
上述したＳ１１５、Ｓ１１７、Ｓ１１９、Ｓ１２１のいずれも検知されなければ、イベントモニタリング部１２０は、発生した動作イベントに対する当該動作を行うことができるようにする（Ｓ１２２）。
【0118】
プロセス生成要求によるクラスタリングイベントが発生すると、イベントモニタリング部１２０は、プロセス生成部１３０を活性化する。
【0119】
活性化されたプロセス生成部１３０は、プロセス（ｐｐｉｄ）を生成した後、クラスター割当部１４０を活性化する。
【0120】
活性化されたクラスター割当部１４０は、前記プロセス（ｐｐｉｄ）の親プロセスのクラスターＩＤを取得して、親プロセスのクラスターＩＤが０であれば、新しいクラスターＩＤを前記生成されたプロセスに割り当て、親プロセスのクラスターＩＤが０でなければ、親プロセスのクラスターＩＤを前記生成されたプロセスに割り当てる（Ｓ１２５）。
【0121】
前記プロセス（ｐｐｉｄ）にクラスターＩＤ（ｃｉｄ）が割り当てられると、クラスター割当部１４０は、前記クラスターＩＤ（ｃｉｄ）に対するクラスター集合（Ｃｃｉｄ）を生成して、クラスターＩＤに対するプロセス（ｐｐｉｄ）をクラスタリングする（Ｓ１２７）。
【0122】
一方、情報アクセスによるクラスタリングイベントが発生すると、イベントモニタリング部１２０は、アクセス情報クラスタリング部１５０を活性化する。
【0123】
活性化されたアクセス情報クラスタリング部１５０は、前記情報にアクセスしたプロセスがアクセスした情報を取得した（Ｓ１２９）後、クラスターＩＤに対応する情報集合にクラスタリングする（Ｓ１３１）。
【0124】
そして、点検対象情報発生によるクラスタリングイベントが発生すると、イベントモニタリング部１２０は、アクセス情報状態追跡部１６０およびランサムウェア検出部１７０を介して前記プロセス（ｐｐｉｄ）がランサムウェアであるかを判断し、ランサムウェアと判断されると、前記プロセスが属するクラスターＩＤのクラスター集合に属しているすべてのプロセスに対するプロセス終了イベントを発生させる（Ｓ１３３）。
【0125】
前記ランサムウェア判断方法は、次の図５を参照して詳細に説明する。
【0126】
クラスタリングイベントがプロセス終了イベントに発生したものであれば、イベントモニタリング部１２０は、プロセス終了処理動作を行う。
【0127】
図５は本発明に係るマルチプロセスクラスタリングに基づくランサムウェア攻撃検知方法の中のランサムウェア判断方法を示すフローチャートである。
【0128】
図５を参照すると、点検対象判断部１６１は、点検対象情報が毀損したか、それとも変更されたかを判断する（Ｓ２１１）。
【0129】
点検対象情報が毀損したと判断されると、点検対象判断部１６１は、情報毀損追跡部１６３を活性化する。
【0130】
活性化された情報毀損追跡部１６３は、前記プロセス（ｐｐｉｄ）のクラスターＩＤを取得する（Ｓ２１３）。
【0131】
クラスターＩＤが取得されると、情報毀損追跡部１６３は、当該クラスターＩＤの毀損カウント、すなわち情報毀損回数を１だけ増加させる（Ｓ２１５）。
【0132】
情報毀損回数の増加後、情報毀損追跡部１６３は、前記クラスターＩＤの情報毀損回数が毀損カウントセット（集合）の元素であるかを判断する（Ｓ２１７）。
【0133】
判断の結果、元素でなければ、情報毀損追跡部１６３は、前記クラスターＩＤの情報毀損回数を毀損カウントセットに追加する（Ｓ２１９）。
【0134】
前記情報毀損カウントセットに追加されると、ランサムウェア検出部１７０を活性化する。活性化されたランサムウェア検出部１７０は、当該クラスターＩＤの情報変更回数が変更しきい値を超過し（Ｓ２２１）、前記クラスターＩＤの情報毀損回数が毀損しきい値を超過（Ｓ２２３）するかを判断する。
【0135】
前記判断の結果、情報変更回数が変更しきい値を超過し且つ情報毀損回数が毀損しきい値を超過すると、ランサムウェア検出部１７０は、前記プロセス（ｐｐｉｄ）をランサムウェアと決定し、前記プロセスに割り当てられたクラスターＩＤに属しているすべてのプロセスに対するプロセス終了イベントを発生する（Ｓ２２５）。
【0136】
一方、情報変更回数が変更しきい値を超えないか、或いは情報毀損回数が毀損しきい値を超えなければ、ランサムウェア検出部１７０は、当該情報へのアクセスを許可する（Ｓ２２７）。
【0137】
点検対象情報が変更されたと判断されると、点検対象判断部１６１は、情報変更追跡部１６２を活性化する。
【0138】
活性化された情報変更追跡部１６２は、当該プロセスのクラスターＩＤを取得する（Ｓ２３１）。
【0139】
前記クラスターＩＤが取得されると、情報変更追跡部１６２は、当該クラスターＩＤの変更カウント、すなわち情報変更回数を１だけ増加させる（Ｓ２３３）。
【0140】
前記情報変更回数の増加後、情報変更追跡部１６２は、変更カウントセット（集合）に当該クラスターＩＤの情報変更回数が含まれているかを判断する（Ｓ２３５）。
【0141】
判断の結果、クラスターＩＤの情報変更回数が変更カウントセット（集合）の元素でなければ、情報変更追跡部１６２は、前記情報変更回数を追加する（Ｓ２３７）。
【0142】
一方、本発明は、前述した典型的な好適な実施形態にのみ限定されるのではなく、本発明の要旨を逸脱することなく様々に改良、変更、代替または付加して実施し得るのは、当該技術分野における通常の知識を有する者であれば容易に理解することができるだろう。それらの改良、変更、代替または付加による実施が以下の特許請求の範囲の範疇に属するものであれば、その技術思想も本発明に属するものと見做すべきである。
【符号の説明】
【0143】
１０ ハードウェア階層部
２０ オペレーティングシステム階層部
２１ カーネル階層部
２２ システム運営階層部
３０ アプリケーション階層部
１００ ランサムウェア攻撃検知装置
１１０ 初期化部
１２０ イベントモニタリング部
１３０ プロセス生成部
１４０ クラスター割当部
１５０ アクセス情報クラスタリング部
１５１ プロセスアクセス情報取得部
１５２ アクセス情報クラスター追加部
１６０ アクセス情報状態追跡部
１６１ 点検対象判断部
１６２ 情報変更追跡部
１６３ 情報毀損追跡部
１７０ ランサムウェア検出部
２０ オペレーティングシステム階層部
２１ カーネル階層部
２２ システム運営階層部
３０ アプリケーション階層部
１００ ランサムウェア攻撃検知装置
１１０ 初期化部
１２０ イベントモニタリング部
１３０ プロセス生成部
１４０ クラスター割当部
１５０ アクセス情報クラスタリング部
１５１ プロセスアクセス情報取得部
１５２ アクセス情報クラスター追加部
１６０ アクセス情報状態追跡部
１６１ 点検対象判断部
１６２ 情報変更追跡部
１６３ 情報毀損追跡部
１７０ ランサムウェア検出部
【図1】
【図2】
【図3】
【図4】
【図5】
【国際調査報告】