JP6282217B2 - 不正プログラム対策システムおよび不正プログラム対策方法 - Google Patents

Description

本発明は、不正プログラム対策システムおよび不正プログラム対策方法に関するものであり、具体的には、不正プログラムに適切に対処し、かつ対象システムへの適用時における業務処理への悪影響を回避できる駆除プログラムを効率的に生成する技術に関する。

近年、さまざまな業態の企業が、多種多様な不正プログラムの攻撃に日々さらされており、そうした不正プログラムに対する対策手法の生成、提供が急務となっている。特に、不正プログラムや業態の多種多様性に応じた適切な対策手法を迅速に特定することは重要である。こうした不正プログラム対策手法の生成、提供の迅速化を図るためには、該当処理の自動化、高速化、および不正プログラムの振る舞いを的確に解析する技術（動的解析）が必要である。

上述のごとき対策手法の生成、提供の自動化や高速化、動的解析技術に関連する既存の発明としては、例えば、検査対象のコンピュータ上における不正プログラムを高速かつ低負荷で検出すると共に、未知の不正プログラムであっても高精度に解析可能とすることを課題として、検査サーバ装置が、不正プログラムを探索する探索プログラムを対象コンピュータに送付して実行させ、その実行結果としてマルウェアの実行コードを対象コンピュータから取得し、解析システムにおいて上述の実行結果を解析して解析結果を出力し、この解析結果から、不正プログラムの対策方法（駆除プログラム）を自動生成するコンピュータ検査システム（特許文献１参照）などが提案されている。

特開２０１０−１９８０５４号公報

一方、企業の業態や企業の有するシステムが異なると、同じ不正プログラムに関して適切な対策手法が異なってくる場合がある。例えば、ある不正プログラムへの対策手法が、Ａ社のシステムでは適切な対策であるのに対し、Ｂ社では従来業務に悪影響を及ぼしてしまうケースなどが該当する。或いは、同じ不正プログラムについて、Ｃ社ではそもそも放置しても問題がないといったケースもありうる。つまり従来技術においては、生成した対策手法が検査対象のコンピュータに及ぼす、平時の業務処理への影響が考慮されていないという問題が残されている。また、上述の対策手法を特段の考慮無く生成する場合、対策手法の候補数が膨大となって、処理効率が著しく低下するといった懸念もある。

そこで本発明の目的は、不正プログラムに適切に対処し、かつ対象システムへの適用時における業務処理への悪影響を回避できる駆除プログラムを効率的に生成する技術を提供することにある。

上記課題を解決する本発明の不正プログラム対策システムは、コンピュータにおける各挙動に対して適用する不正プログラム対策候補を規定したテーブルを格納した記憶装置と、不正プログラムの対策対象であるコンピュータの模擬環境にて、不正プログラムを実行させた場合の挙動内容を前記テーブルに照合して、前記挙動内容の含む各挙動に対応する不正プログラム対策候補を特定する処理と、前記特定した不正プログラム対策候補を前記
模擬環境に適用し、当該適用時における前記対策対象のコンピュータでの所定業務の処理結果が、該当業務の正常処理結果について予め定めた規定内容と異なるものとなるか判定し、前記所定業務の処理結果が正常処理結果であった場合に、前記不正プログラム対策候補を適切な不正プログラム対策として、出力装置に出力または前記コンピュータに適用する処理と、を実行する演算装置を備えることを特徴とする。

また、本発明の不正プログラム対策方法は、コンピュータにおける各挙動に対して適用する不正プログラム対策候補を規定したテーブルを格納した記憶装置を備えたコンピュータが、不正プログラムの対策対象であるコンピュータの模擬環境にて、不正プログラムを実行させた場合の挙動内容を前記テーブルに照合して、前記挙動内容の含む各挙動に対応する不正プログラム対策候補を特定する処理と、前記特定した不正プログラム対策候補を前記模擬環境に適用し、当該適用時における前記対策対象のコンピュータでの所定業務の処理結果が、該当業務の正常処理結果について予め定めた規定内容と異なるものとなるか判定し、前記所定業務の処理結果が正常処理結果であった場合に、前記不正プログラム対策候補を適切な不正プログラム対策として、出力装置に出力または前記コンピュータに適用する処理を実行することを特徴とする。

本発明によれば、不正プログラムに適切に対処し、かつ対象システムへの適用時における業務処理への悪影響を回避できる駆除プログラムを効率的に生成できる。

本実施形態の不正プログラム対策システムの構成例を示す図である。 本実施形態の不正プログラム対策システムのハードウェア構成例を示す図である。 本実施形態におけるシステム構成情報ＤＢの構成例を示す図である。 本実施形態における対処ＤＢの構成例を示す図である。 本実施形態における業務のテストメッセージＤＢの構成例を示す図である。 本実施形態における業務処理手順ＤＢの構成例を示す図である。 本実施形態の企業ポリシーＤＢにおける対策レベル遷移テーブルの構成例を示す図である。 本実施形態の企業ポリシーＤＢにおける不正プログラム判定基準テーブルの構成例を示す図である。 本実施形態の企業ポリシーＤＢにおける業務処理保全レベルテーブルの構成例を示す図である。 本実施形態における不正プログラム対策方法の処理手順例１を示すフロー図である。 本実施形態における解析結果ＤＢの構成例を示す図である。 本実施形態における不正プログラム実行時の挙動間の親子関係を示すプロセスツリーの例１を示す図である。 本実施形態における不正プログラム実行時の挙動間の親子関係を示すプロセスツリーの例２を示す図である。 本実施形態における対策方法ＤＢの構成例を示す図である。 本実施形態における不正プログラム対策方法の処理手順例２を示すフロー図である。 本実施形態における不正プログラム対策方法の処理手順例３を示すフロー図である。

−−−システム構成−−−

以下に本発明の実施形態について図面を用いて詳細に説明する。図１は、本実施形態の不正プログラム対策システム１０１の構成例を示す図である。図１に示す不正プログラム対策システム１０１は、不正プログラムに適切に対処し、かつ対象システムへの適用時における業務処理への悪影響を回避できる駆除プログラムを効率的に生成するコンピュータシステムである。

図１に例示する不正プログラム対策システム１０１は、その構成要素として、システム構成情報ＤＢ１０２、対処ＤＢ１０３、解析結果ＤＢ１０５、対策方法ＤＢ１０５、企業ポリシーＤＢ１０６、業務処理手順ＤＢ１０７、業務のテストメッセージＤＢ１０８、模擬環境構築機能１０９、不正プログラム解析機能１１０、対策素案生成機能１１１、対策方法改善・選択機能１１２、対策方法適用機能１１３、対策方法評価機能１１４、および業務テスト機能１１５を有している。

上述のシステム構成情報ＤＢ１０２〜業務のテストメッセージＤＢ１０８の各データベースの具体的な構成については後述するが、このうちシステム構成情報ＤＢ１０２、対処ＤＢ１０３、企業ポリシーＤＢ１０６、業務処理手順ＤＢ１０７、および業務のテストメッセージＤＢ１０８については、不正プログラム対策システム１０１が予め保持しているものとする。特に、対処ＤＢ１０３については不正プログラム対策システム１０１が元々保持するものであり、システム構成情報ＤＢ１０２、企業ポリシーＤＢ１０６、業務処理手順ＤＢ１０７、および業務のテストメッセージＤＢ１０８については企業ごとに異なる情報を保持することを想定している。

一方、上述の各機能１０９〜１１５は、不正プログラム対策システム１０１を構成するコンピュータが、各機能に対応するプログラムを実行することで実装される機能である。以下に、こうした本実施形態の不正プログラム対策システム１０１が備える機能について説明する。

まず、模擬環境構築機能１０９は、企業等が運用する対策対象システムの仕様等が規定されたシステム構成情報ＤＢ１０２の情報を基に、不正プログラムの解析、駆除プログラムの生成に際して用いる模擬環境を構築する機能である。

また、不正プログラム解析機能１１０は、上述の模擬環境構築機能１０９が構築した模擬環境に対して、対策対象のシステムに侵入した不正プログラムを投入し、その際の挙動を解析した結果を解析結果ＤＢ１０４に格納する機能である。具体的には、不正プログラムを投入した模擬環境において、通常の業務処理を実行させ、その際の挙動を一連のプロセスとして特定し、特定したプロセスの情報を解析結果ＤＢ１０４に格納するものとなる。

なお、この不正プログラム解析機能１１０は、上述の解析結果ＤＢ１０４の情報から一連の挙動間の親子関係に対応したプロセスツリーを生成し、これを記憶装置２０３に格納するとすれば好適である。プロセスツリーの生成は、対策素案生成機能１１１が実行するとしてもよい。

また、対策素案生成機能１１１は、上述の模擬環境での挙動に応じた不正プログラム対策候補を格納した対処ＤＢ１０３、上述の模擬環境での実際の挙動履歴を格納した解析結果ＤＢ１０４、およびユーザの所望する対策レベルの強度や業務処理保全レベル等の情報を格納した企業ポリシーＤＢ１０６に基づいて、企業ポリシーを満たす制約下にて各挙動に応じた不正プログラム対策候補を特定して対策方法素案を生成し、対策方法ＤＢ１０５に格納する機能である。この対策素案生成機能１１１は、上述の対策方法素案を生成する
に際し、解析結果ＤＢ１０４に基づくプロセスツリー、企業ポリシーＤＢ１０６の対策遷移テーブル９０１、業務保全テーブル９０３の情報を踏まえる。

また、対策方法改善・選択機能１１２は、上述の対策素案生成機能１１１が生成した対策方法の素案に基づいて、該当素案が企業ポリシーＤＢ１０６の示すポリシーに従ったものであるか判定し、その判定結果に応じて、上述の素案が示す不正プログラム対策候補に代えて、より対策レベルの低い又は高い、他の不正プログラム対策候補を選択し、各種の判定処理を再実行する機能である。この対策方法改善・選択機能１１２は、上述の不正プログラム対策候補の駆除プログラムを模擬環境に適用した際の業務処理結果が正常でなかった場合に、該当処理結果を生み出した該当挙動に代えて、上述のプロセスツリーが示す各挙動間の親子関係に基づいて、該当挙動と親子関係にある他挙動を特定し、各種の判定処理を再実行する機能も含んでいる。

また、対策方法適用機能１１３は、上述の対策方法改善・選択機能１１２が選択した不正プログラム対策候補に応じた駆除プログラムを生成し、上述の模擬環境に適用する機能である。

また、対策方法評価機能１１４は、上述の対策方法適用機能１１３が不正プログラム対策候補の駆除プログラムを適用した模擬環境において、不正プログラム解析機能１１０を呼出して不正プログラムを解析し、併せて業務テスト機能１１５を呼び出して評価を行う機能である。

また、業務テスト機能１１５は、上述の不正プログラム対策候補の駆除プログラムを模擬環境に適用した際の、対策対象のコンピュータでの所定業務の処理結果が、該当業務の正常処理結果について予め定めた規定内容（業務処理手順ＤＢ１０７）と異なるものとなるか判定する機能である。また、この判定に先立ち、不正プログラム対策候補の駆除プログラムの適用対象となった挙動が、予め定めた対策成否の判定基準（不正プログラム判定基準テーブル９０２）を満たすものであるか判定する処理を実行する機能も含む。
−−−ハードウェア構成−−−

また、不正プログラム対策システム１０１を実現するコンピュータのハードウェア構成は以下の如くとなる。不正プログラム対策システム１０１は、演算装置たるＣＰＵ２０１、メモリ２０２、記憶装置２０３、入力装置２０４、出力装置２０５、および通信制御装置２０６が、バス２０７によって相互に接続された構成となっている。

このうちＣＰＵ２０１は、記憶装置２０３に保持されるプログラム２１０をメモリ２０２に読み出すなどして実行し、装置自体の統括制御を行なうとともにデータ類２１１（データベース１０２〜１０８など）を用いた各種判定、演算及び制御処理を行なう演算装置である。なお、メモリ２０２は、ＲＡＭなど揮発性記憶素子で構成され、記憶装置２０３は、ＳＳＤ（Ｓｏｌｉｄ Ｓｔａｔｅ Ｄｒｉｖｅ）やハードディスクドライブなど適宜な不揮発性記憶素子で構成される。

また、入力装置２０４は、ユーザからのキー入力や音声入力を受け付ける、例えばキーボード、マウスなどであり、出力装置２０５は、処理データの表示を行う、例えばディスプレイである。また、通信制御装置２０６は、他装置との通信処理を担う装置であって、例えば無線ネットワークインターフェース、ネットワークインターフェースカードである。
−−−データ構造例−−−

次に、本実施形態の不正プログラム対策システム１０１が用いるデータ類２１１、すな
わちデータベースのうち、不正プログラム対策システム１０１が予め記憶装置２０３にて保持している各データベースの構造例について説明する。

ここではまず、図３を用いてシステム構成情報ＤＢ１０２の構成について示す。このシステム構成情報ＤＢ１０２は、不正プログラム対策システム１０１が不正プログラムの解析、駆除プログラムの生成、適用の対象とする、すなわち対策対象システムの構成情報を保持するデータベースである。

システム構成情報ＤＢ１０２は、機器種別３０２をキーとして、機器名称・ＯＳ・バージョン等３０３、および設定情報３０４の各値を対応付けたレコードの集合体となっている。このうち機器種別３０２は、対策対象システムを構成する機器の種別（例えばＷｅｂサーバの役割を果たす機器であるのか、プロキシの役割を果たす機器であるのかなど）の情報を保持する。また、機器名称・ＯＳ・バージョン等３０３は、上述の機器種別３０２が規定する機器の具体的な名称やＯＳ、バージョンなど（例えば機器名称が“ＰＣ１”でＯＳが“ＡＢＣＤ”、バージョンは“６４ｂｉｔ”など）の情報を保持する。また、設定情報３０４は、上述の機器種別３０２および機器名称・ＯＳ・バージョン等３０３が規定する機器構成において、該当各機器の設定情報（例：機器種別“Ｐｒｏｘｙ”の役割を果たす“ＰＣ８”が管理している使用ポートの情報やブラックリスト情報など）を保持する。

次に、図４を用いて対処ＤＢ１０３の構成を示す。図４で例示する対処ＤＢ１０３は、不正プログラム対策システム１０１が、不正プログラム対策候補として不正プログラムの駆除プログラムの処理を生成する素となる、実行コードレベルの対処内容を挙動内容ごとに保持するデータベースである。この対処ＤＢ１０３は、カテゴリ４０２、挙動４０３、対策レベル４０４、対処４０５、および対処機器種別４０６の各値を対応付けたレコードの集合体となっている。このうち、カテゴリ４０２と挙動４０３の各値は、不正プログラムの振る舞いが、対策対象システムにおいてどのような対象に関してどのような処理（挙動）に関して検知されるか（“ファイル”の“作成”をした状況なのか、または“ネットワーク”で“送受信”をした状況なのかなど）の情報を保持する。また、対策レベル４０４と対処４０５の各値は、不正プログラムへの対策レベルの強度（換言すると厳しさ）と、その具体的な対処方法（例えば対処方法が“削除”であれば対処レベルが“強”であり、対処方法が“アクセス制限”であれば対処レベルが“弱”であるなど）の情報を保持する。また、対処機器種別４０６の値は、上述の対処４０５を実行する機器種別（ＰｒｏｘｙやＤＢなど）の情報を保持する。

続いて図５を用いて、業務のテストメッセージＤＢ１０８の構成について説明する。図５にて例示する、業務のテストメッセージＤＢ１０８は、上述の対策対象のシステムが平時に扱う業務処理のテストメッセージを保持するデータベースである。こうした業務のテストメッセージＤＢ１０８は、テストメッセージ番号７０２をキーとして、ファイル名・変数名７０３、および本文・値７０４の各値を対応付けたレコードの集合体となっている。このうちテストメッセージ番号７０２の値は、該当テストメッセージに固有の番号である。また、ファイル名・変数名７０３の値は、該当テストメッセージのファイル名・変数名を保持する。また、本文・値７０４の値は、該当テストメッセージの本文や値（例えばファイル名“Ｔｅｓｔ．ｔｘｔ”の本文の内容が“Ｔｅｓｔ Ｍｅｓｓａｇｅ”であるなど）を保持する。

次に、図６を用いて業務処理手順ＤＢ１０７の構成について説明する。図６にて例示する業務処理手順ＤＢ１０７は、上述の業務のテストメッセージＤＢ１０８と同様に、対策対象システムが平時に扱う業務処理の処理手順を保持するデータベースである。こうした業務処理手順ＤＢ１０７は、業務処理番号８０２をキーとして、該当業務処理で取り扱う
テストメッセージを一意に示すテストメッセージ番号８０３、該当業務処理における業務処理手順８０４、および該当業務処理における正常出力結果８０５の各値を対応付けたレコードの集合体となっている。

このうち業務処理番号８０２は、該当業務処理に固有の番号であり、テストメッセージ番号８０３は、上述の業務のテストメッセージＤＢ１０８におけるテストメッセージ番号７０２と紐づく値である。また、業務処理手順８０４は、該当業務処理の流れの情報を保持する。また、正常出力結果８０５は、該当業務処理における業務テストを実行した際の、正常時の出力結果（例えば業務処理番号“０００３”では、テストメッセージ番号“０００２”の変数ＸＹＺについて、業務処理手順“ＸＹＺの値を書換え”処理を行い、この変数ＸＹＺの出力結果が“２００”に書き換わっていれば正常出力であると判定できる）を保持する。

続いて図７〜９を用いて企業ポリシーＤＢ１０６の構成について説明する。なお、企業ポリシーＤＢ１０６は、対策レベル遷移テーブル９０１、不正プログラム判定基準テーブル９０２、および業務処理保全レベル９０３を含んでいる。これら各テーブル９０１〜９０３の内容は企業ごとに異なるものとする。よって、不正プログラム対策システム１０１は企業ポリシーＤＢ１０６において、各企業ごとに上述の各テーブル９０１〜９０３を保持している。

このうち図７にて例示する対策レベル遷移テーブル９０１は、不正プログラム対策システム１０１が対処ＤＢ１０３を基に駆除プログラムを生成する際、どの対策レベルの不正プログラム対策候補を優先的に選択して駆除プログラムを生成するかの情報（例えば、対策レベルの強い駆除プログラムから対策レベルの弱い駆除プログラムを順に生成していくなど）を保持する。

また、図８にて例示する不正プログラム判定基準テーブル９０２は、上述の対策対象システムの模擬環境に上述の駆除プログラムを適用して業務を実行した際に、該当駆除プログラムの適用によって不正プログラムの悪い振る舞いを抑止出来ているか判定する基準情報（例えば、駆除プログラムの適用後、業務処理手順ＤＢ１０７で定義されているアクセス先ホスト以外のホストへのアクセスがあった場合、該当不正プログラムへの対策に成功していないと判定するなど）を保持する。

また、図９にて例示する業務処理保全レベルテーブル９０３は、上述の対策対象システムの模擬環境に上述の駆除プログラムを適用して業務を実行した際に生じる業務処理への影響を、ユーザ企業がどれだけ許容するかの情報（例えば、業務処理保全レベルが“強”であれば、全ての業務処理が保全されるべきことを示し、業務処理保全レベルが“弱”であれば、例えば所定の業務処理については当該業務処理のネットワークアクセスで使用するポート番号の変更を許す、など）を保持する。
−−−全体フロー−−−

以下、本実施形態における不正プログラム対策方法の実際手順について図に基づき説明する。以下で説明する不正プログラム対策方法に対応する各種動作は、不正プログラム対策システム１０１がメモリ２０２等に読み出して実行するプログラム２１０によって実現される。そして、このプログラム２１０は、以下に説明される各種の動作を行うためのコードから構成されている。

図１０は、本実施形態における不正プログラム対策方法の処理手順例１を示すフロー図である。ここではまず、本実施形態における不正プログラム対策方法の全体処理フローについて説明する。この場合、不正プログラム対策システム１０１における模擬環境構築機
能１０９が、システム構成情報ＤＢ１０２の情報を基に、ユーザ企業の対策対象システムを模した模擬環境を構築する（ステップ１００１）。この模擬環境構築機能１０９による模擬環境の構築手法としては、例えば、機器種別３０２が示す機器をバーチャルマシンとして所定のコンピュータ装置（不正プログラムの漏洩抑止等に配慮したセキュアなコンピュータ）上で生成し、このバーチャルマシンである機器に機器名称・ＯＳ・バージョン等３０３が示すＯＳ等をインストールし、設定情報３０４が示す内容を設定する、といった手法が想定出来るが、これに限定されない。

次に、不正プログラム対策システム１０１における不正プログラム解析機能１１０が、上述のステップ１００１で構築された模擬環境に対し、駆除プログラムの適用対象となる不正プログラムを投入した上で、所定業務処理を実行させ、その際の挙動をモニタリングして得た情報を解析し、当該解析の結果を解析結果ＤＢ１０４に格納する（ステップ１００２）。なお、上述の模擬環境に投入する不正プログラムは、例えば企業ユーザからの提供ないし指示を受けて、不正プログラム対策システム１０１が予め記憶装置２０３にて保持しているものとする。また、模擬環境における挙動のモニタリングは、模擬環境のＯＳ等に予め備わるプロセスのログ記録機能等を利用すればよいが、勿論これに限定されない。

ここで、不正プログラム解析機能１１０が解析結果を格納した解析結果ＤＢ１０４の構成例を図１１にて示す。図１１にて例示する解析結果ＤＢ１０４は、一連の挙動を実行順に一意に特定する番号５０２およびプロセスＩＤ５０３をキーとして、該当プロセスの起源となった親プロセスを一意に特定する親プロセスＩＤ５０４、該当プロセスのカテゴリ５０５、値５０６、および挙動５０７の各値を対応付けたレコードの集合体となっている。 このうち番号５０２は、上述のステップ１００２の解析で得た各プロセスに対し、例えば該当プロセスの実行順に固有番号を割り当てたものである。また、プロセスＩＤ５０３は、該当プロセスを一意に特定するプロセスＩＤ、親プロセスＩＤ５０４はプロセスＩＤ５０３が示す該当プロセスの親プロセスのＩＤの情報を保持する。また、カテゴリ５０５、値５０６、および挙動５０７は、該当プロセスの振る舞いを分類した情報（例えば番号が“１”でプロセスＩＤ“５２４”のプロセスは、親プロセスを持たず、“ａｂｃ．ｄａｔ”ファイルを“作成”など）を保持する。

また、不正プログラム解析機能１１０は、上述の解析結果ＤＢ１０４の情報が示す各プロセス間の因果関係（例えば、あるプロセスにおける“ｘｘｘ．ｅｘｅ”の実行に応じて次なるプロセス“ｂｒｏｗｓｅｒ．ｅｘｅ”が実行され、更に、これに応じてプロセス“ｇｙｏｕｍｕ．ｃｏｍ”にポート“８０８０”経由でアクセスする、といったプロセス相互の関係）に応じて、各プロセスとそのルーツとなる親プロセスの関係を特定することで、図１２、１３に示すような各プロセス間の親子関係を示すプロセスツリー、すなわちプロセス間の階層に対応したツリー構造を生成するとすれば好適である。図１２、１３でそれぞれ例示するツリー構造では、プロセスＩＤ（ＰＩＤ）の集合ごとに、ブロック単位で部分木として表現している。

例えば図１３の例では、ＰＩＤが“３０”のプロセスの集合をツリー構造の根に近い部分木として表現し、ＰＩＤが“３０”のプロセスを親プロセスＩＤに持つプロセス（ＰＩＤが“４３”のプロセス）の集合を、葉に近い部分木として表現している。一方、図１２の例では、ＰＩＤが“５２４”のプロセスの集合のみでツリー構造を形成しており、ツリー構造上の親子関係にある部分木は存在していない例を示している。

こうしたブロック単位の部分木の内部における各ノード（各プロセス）の親子関係は、順不同であるが、本実施形態の不正プログラム対策システム１０１の不正プログラム解析機能１１０によって得られた解析結果において各プロセスのタイムスタンプ情報が得られ
る場合には、順序付けを行うこともできる。

続いて不正プログラム対策システム１０１における対策素案生成機能１１１は、対処ＤＢ１０３と解析結果ＤＢ１０４、および企業ポリシーＤＢ１０６に基づき、不正プログラム対策候補を特定して対策方法の素案を生成し、これを対策方法ＤＢ１０５に格納する（ステップ１００３）。このステップ１００３における対策素案生成機能１１１は、例えば、企業ポリシーＤＢ１０６の業務処理保全レベルテーブル９０３で“強”と定義されている場合、上述の解析結果ＤＢ１０４に基づくプロセスツリー（図１２、１３）の葉のノード（つまり階層における末端ノード）のプロセスから対処したほうが平時の業務処理への影響が少なく業務処理を保全出来ると認識し、葉のノードのプロセスから、不正プログラム対策候補を選択することを決定し、また、企業ポリシーＤＢ１０６の対策レベル遷移テーブル９０１で“強→中”と指定されている場合、上述の葉のノードのプロセスから、対策レベルが“強”の不正プログラム対策候補を優先して選択し、この不正プログラム対策候補を対策素案として生成し、これを対策方法ＤＢ１０５にする。

他方、例えば、企業ポリシーＤＢ１０６の業務処理保全レベルテーブル９０３で“中”と定義されている場合、上述の解析結果ＤＢ１０４に基づくプロセスツリー（図１２、１３）での中位のノード（つまり階層における末端ノードとルートノードとの中間ノード）のプロセスから対処しても業務処理への影響の観点で問題が少ないと認識し、中位ノードのプロセスから、不正プログラム対策候補を選択することを決定し、また、企業ポリシーＤＢ１０６の対策レベル遷移テーブル９０１で“中→強”と指定されている場合、上述の中位のノードのプロセスから、対策レベルが“中”の不正プログラム対策候補を優先して選択し、この不正プログラム対策候補を対策素案として生成し、これを対策方法ＤＢ１０５にする。企業ポリシーＤＢ１０６の業務処理保全レベルテーブル９０３で“低”と定義されている場合、また、企業ポリシーＤＢ１０６の対策レベル遷移テーブル９０１で“低→中”などと指定されている場合も同様である。

図１４を用いて上述の対策方法ＤＢ１０５の構成例について説明する。図１４にて例示する対策方法ＤＢ１０５は、対策番号６０２および対象６０３をキーとして、対処６０４、対処レベル６０５、および対処機器種別６０６の各値を対応付けたレコードの集合体となっている。このうち対策番号６０２は、該当対策方法すなわち不正プログラム対策候補に固有の番号を割り当てたものである。また、対象６０３、対処６０４、対処レベル６０５、および対処機器種別６０６は、どの種別の機器でどのような対処を行うかの情報（例えば、対策番号“１”の対策方法（不正プログラム対策候補）では、対処機器種別“Ｐｒｏｘｙ”で、対象となるＵＲＬ“Ｍａｌｗａｒｅ．ｃｏｍ：８０８０”と“ｇｙｏｕｍｕ．ｃｏｍ：８０８０”へのアクセスについて、対処レベルが“強”の対処である“ポート８０８０をブロック”など）を保持する。

次に、不正プログラム対策システム１０１における対策方法改善・選択機能１１２は、上述のステップ１００３で生成された対策素案を取得し、図１６のフロー図に示す処理を行う（ステップ１００４）。図１６のフロー図において、対策方法改善・選択機能１１２は、対策素案生成機能１１１から対策素案を取得した際には、当該フローの１回目の処理となるため（ステップ１２０１：Ｙｅｓ）、取得した対策素案が、企業ポリシーＤＢ１０６の示す企業ポリシーに沿ったものであるとして、これを模擬環境に適用する不正プログラム対策として選択する（ステップ１２０５）。図１３のプロセスツリーを例にとった場合、“対策方法１”として、“ポート８０８０のブロック”処理を選択したものとする。なお、当該ステップ１００４での処理が２回目以降であれば、対策方法改善・選択機能１１２は、図１６のフローにおけるステップ１２０２以降の対策方法改善・選択処理を行う。このステップ１２０２以降の処理詳細については後述する。

ここで図１０のフローの説明に戻る。続いて、不正プログラム対策システム１０１の対策方法適用機能１１３は、上述のステップ１００４で選択された対策方法の情報を取得し、当該対策方法の処理を実行する駆除プログラムを生成し、上述の対策対象システムの模擬環境に適用する（ステップ１００５）。このステップ１００５における駆除プログラムの生成は、例えば、対処ＤＢ１０３において該当不正プログラム対策候補に紐付けされている駆除プログラムを記憶装置２０３から抽出し、これを駆除プログラムとする手順などが想定できるが、これに限定されない。

次に、不正プログラム対策システム１０１の対策方法評価機能１１４は、上述のステップ１００５で対策方法を適用した模擬環境において所定の業務処理を実行させ、その際の模擬環境の挙動を不正プログラム解析機能１１０によってモニタリングさせ、その結果によって不正プログラムの挙動解析を実行すると共に、業務テスト機能１１５によって所定の評価処理を実行する（ステップ１００６）。

このステップ１００６での評価処理の詳細については図１５を用いて説明する。この場合、上述の対策方法すなわち駆除プログラムを適用した模擬環境において、不正プログラム解析機能１１０が不正プログラム解析（ステップ１１０１）を実行し、また、業務テスト機能１１５が業務テスト（ステップ１１０２）を実行する。

このうち不正プログラム解析機能１１０による不正プログラム解析処理は、上述の不正プログラムを投入した模擬環境において、通常の業務処理を実行させ、その際の挙動を一連のプロセスとして特定し、特定したプロセスの情報を解析結果ＤＢ１０４に格納するものとなる。なおこの際、上述の解析結果ＤＢ１０４の情報から一連の挙動間の親子関係に対応したプロセスツリーを生成し、これを記憶装置２０３に格納するとすれば好適である。

また、業務テスト機能１１５による業務テスト処理は、上述の駆除プログラムを模擬環境に適用した際の、対策対象のコンピュータでの所定業務の処理結果が、該当業務の正常処理結果について予め定めた規定内容（業務処理手順ＤＢ１０７）と異なるものとなるか判定する処理となる。またこの判定に際し、駆除プログラムの適用対象となった挙動が、予め定めた対策成否の判定基準（不正プログラム判定基準テーブル９０２）を満たすものであるか判定する処理もあわせて実行される。

対策方法評価機能１１４は、上述のステップ１１０１、ステップ１１０２の結果を受けて、ステップ１００４で選択した対策方法で不正プログラム対策に成功したかどうか判定する（ステップ１１０３）。この判定の結果、不正プログラム対策に成功したことが判明した場合（ステップ１１０３：Ｙｅｓ）、対策方法評価機能１１４は、処理をステップ１１０４に進める。

例えば、本実施形態について図１３、１４で示した通り、対策素案生成機能１１１で生成した対策素案は“ポート８０８０のブロック”である。よって、ステップ１１０３において、この対策方法は、不正プログラム判定基準テーブル９０２の規定に対応した「業務処理でアクセスするホスト先以外のホスト（Ｍａｌｗａｒｅ．ｃｏｍ）へのアクセスは防げる」ものとなるため、不正プログラム対策ができていると判定できる。

一方、不正プログラム対策に成功しなかったことが判明した場合（ステップ１１０３：Ｎｏ）、対策方法評価機能１１４は、上述のステップ１００４で選択した対策方法では不正プログラム対策ができなかったことを示す所定情報を、対策方法改善・選択機能１１２に通知し、ステップ１００４に処理を戻す（ステップ１１０６）。

次にステップ１１０４において、対策方法評価機能１１４は、ステップ１００４で選択した対策方法が模擬環境における業務処理を妨げていないか、ステップ１１０２の業務テストの結果に基づき判定する。このステップ１１０４での判定の結果、該当対策方法が模擬環境における業務処理を妨げていないことが判明した場合（ステップ１１０４：Ｙｅｓ）、対策方法評価機能１１４は、処理をステップ１１０５に進める。他方、該当対策方法が模擬環境における業務処理を妨げていることが判明した場合（ステップ１１０４：Ｎｏ）、対策方法評価機能１１４は、ステップ１００４で選択した対策方法が模擬環境における業務処理を妨げてしまう対策方法であることを示す所定情報を、対策方法改善・選択機能１１２に通知し、処理をステップ１００４に戻す（ステップ１１０７）。

例えば、本実施形態について図６、図９で示した通り、業務処理手順ＤＢ１０７の業務処理番号“０１００”の業務処理において、“ポート８０８０”を使用する業務処理が存在し、業務処理保全レベルテーブル９０３において、業務保全レベルが“強”と指定されているため、業務処理番号“０１００”の業務処理で使用するポート“８０８０の変更”も許されないことが判定できる。よって、対策素案の“ポート８０８０のブロック”処理は業務処理を妨げてしまう対策方法であると判定できる。

上述のステップ１１０６、１１０４の結果、すなわち、「選択した対策方法では不正プログラム対策ができなかった」、「該当対策方法が模擬環境における業務処理を妨げている」に応じて再実行されるステップ１００４については後述するものとする。

続いてステップ１１０５において、対策方法評価機能１１４は、ステップ１００４で選択した対策方法が対策対象システムでの平時の業務処理への影響を考慮したものであると判定し、これを出力装置２０５に出力または対策対象システムに適用する処理を実行し、フローを終了する。なお、対策方法評価機能１１４は、上述のステップ１１０４の判定結果に応じて、図１０のフローにおけるステップ１００７も同様に実行するものとする。よって、ステップ１１０４での判定の結果、該当対策方法が模擬環境における業務処理を妨げていないことが判明した場合（ステップ１１０４：Ｙｅｓ）、対策方法評価機能１１４は、図１０のフローにおけるステップ１００７でも、模擬環境における業務処理を妨げずに該当対策方法を適用できたと判定し（ステップ１００７：Ｙｅｓ）、図１０に示す全体フローも終了する。以上が、本実施形態の不正プログラム対策方法における全体処理フローとなる。

−−−企業ポリシーに応じた不正プログラム対策候補の再選択等−−−

ここで、上述のステップ１１０６、１１０４の結果、すなわち、「選択した対策方法では不正プログラム対策ができなかった」、「該当対策方法が模擬環境における業務処理を妨げている」に応じて再実行されるステップ１００４について説明する。

このフローの実行は、対策素案生成機能１１１から対策素案を取得した際に実行されるものではなく、上述したように２回目以降のステップ１００４に関するものとなる。よって、対策方法改善・選択機能１１２は、当該フローにおけるステップ１２０１において、２回目の処理と判定し（ステップ１２０１：Ｎｏ）、処理をステップ１２０２に進める。

このステップ１２０２における対策方法改善・選択機能１１２は、図１５で示したフローのステップ１１０３の判定結果が、不正プログラム対策に成功しなかったものであった場合（ステップ１２０２：Ｎｏ）、ステップ１００４で選択した対策方法では不正プログラム対策が出来ていなかったと判定し、対処ＤＢ１０３における不正プログラム対策候補のうち、より対策レベルが強いものを対策方法として選択する（ステップ１２０４）。

この処理に際し、対策方法改善・選択機能１１２は、例えば図１３に示すプロセスツリーに基づき、該当プロセス（ステップ１００４で選択した対策方法の適用先のプロセス）の親プロセスのブロック内にあるプロセスに対して対処を行うほうが対策レベルがより高い対策方法である可能性が高いと認識し、親プロセスのブロック内のプロセスに対して対策レベルが“強”の不正プログラム対策候補を対処ＤＢ１０３から選定する。例えば、図１３に例示したプロセスツリーにおいて、プロセスＩＤ“５６”のブロックの親プロセスにあたるプロセスＩＤ“３０”のブロックにおけるプロセス“ＸＸＸ．ｅｘｅ実行”について、対策レベル“強”の不正プログラム対策候補として、対処ＤＢ１０３より、カテゴリ“ファイル”、挙動“実行”、対策レベル“強”、対処“停止”なる対処を不正プログラム対策候補として選定出来る。

或いは、対策方法改善・選択機能１１２は、このステップ１２０４において、例えば図１１の解析結果ＤＢ１０４、図１３に示すプロセスツリーに基づき、該当プロセス内で該当処理より前に実行される前処理（親プロセスではない）に対して対処を行うほうが対策レベルがより高い対策方法である可能性が高いと認識し、上述の前処理に対して対策レベルが“強”の不正プログラム対策候補を対処ＤＢ１０３から選定するとしてもよい。例えば、図１３に例示したプロセスツリーにおいて、プロセスＩＤ“５６”のブロックにおける処理「“ｇｙｏｕｍｕ．ｃｏｍ：８０８０”に“アクセス”」の前処理にあたる「“ｂｒｏｗｓｅｒ．ｅｘｅ”の実行」について、対策レベル“強”の不正プログラム対策候補として、対処ＤＢ１０３より、カテゴリ“ファイル”、挙動“実行”、対策レベル“強”、対処“停止”なる対処を不正プログラム対策候補“対策方法２”として選定出来る。

なお、こうしてあらためて選定した対処のうち、例えば上述の対策方法２を、ステップ１００５、ステップ１００６で適用、評価すると、業務処理手順ＤＢ１０７の業務処理番号“０１００”における業務処理手順“ｂｒｏｗｓｅｒ．ｅｘｅ実行”処理を妨げてしまう対策方法であると判定されることとなる。したがってこの場合、図１５で既に示したフローのうちステップ１１０４の判定で、上述の「対策方法２」が模擬環境における業務処理を妨げてしまう対策方法と判定され、このステップに続くステップ１１０７の実行を経て、再びステップ１００４に処理が戻されることになる。

一方、ステップ１１０３の判定結果が、不正プログラム対策に成功したものであった場合（ステップ１２０２：Ｙｅｓ）、対策方法改善・選択機能１１２は、ステップ１００４で選択した対策方法は不正プログラム対策に成功したものの、業務処理に悪影響があった（図１５のステップ１１０４：Ｎｏ）ものであったと判定し、処理をステップ１２０３に進める。このステップ１２０３における対策方法改善・選択機能１１２は、対処ＤＢ１０３における不正プログラム対策候補のうち、より対策レベルが弱いものを対策方法として選択する。この処理に際し、対策方法改善・選択機能１１２は、例えば図１３に示すプロセスツリーにおいて、プロセスＩＤ“５６”に関して選択していた対策方法１“ポート８０８０をブロック”より、対策レベルが低い対処を、対処ＤＢ１０３より、カテゴリ“ネットワーク”、挙動“送受信”、対策レベル“中”、対処“接続先ホストブロック”なる対処を不正プログラム対策候補“対策方法３”として選定出来る。図１３のプロセスツリーの場合、「”Ｍａｌｗａｒｅ．ｃｏｍ”へのアクセスブロック」なる対処が“対策方法３”となる。

なお、こうして選定した、すなわち改善した上述の「対策方法３」を、ステップ１００５、ステップ１００６で適用、評価すると、業務処理手順ＤＢ１０７の業務処理番号“０１００”における業務処理手順の各処理を妨げることもなく、不正プログラム対策に成功するものであると判定されることとなる。したがってこの場合、図１５で既に示したフローのうちステップ１１０４の判定で、上述の「対策方法３」が模擬環境における業務処理を妨げない対策方法と判定され、このステップに続くステップ１１０５および図１０のフ
ローにおけるステップ１００７の実行を経て、全体フローを終了することとなる。

以上、本発明を実施するための最良の形態などについて具体的に説明したが、本発明はこれに限定されるものではなく、その要旨を逸脱しない範囲で種々変更可能である。

こうした本実施形態によれば、適用対象となるシステムにおける、平時の業務処理への悪影響を排除した、不正プログラムの駆除プログラムが、その生成時における候補数を適宜低減して効率的に得られる。このように駆除プログラムの効率的な、すなわち迅速な生成により、不正プログラムの感染拡大も効果的に防止することができる。

すなわち、不正プログラムに適切に対処し、かつ対象システムへの適用時における業務処理への悪影響を回避できる駆除プログラムを効率的に生成できる。

本明細書の記載により、少なくとも次のことが明らかにされる。すなわち、本実施形態の不正プログラム対策システムにおいて、前記演算装置は、前記所定業務の処理結果に関する正常処理結果の判定処理に先立ち、前記不正プログラム対策候補を前記模擬環境に適用し、当該適用時における前記対策対象のコンピュータでの挙動のうち、該当不正プログラム対策候補の適用対象となった挙動が、予め定めた対策成否の判定基準を満たすものであるか判定する処理を更に実行し、前記判定の結果、該当不正プログラム対策候補が不正プログラム対策に成功していた場合に、前記所定業務の処理結果に関する正常処理結果の判定処理を実行するものであるとしてもよい。

これによれば、不正プログラム対策に成功した、すなわち不正プログラムの動作や悪影響を排除出来たことを前提として、上述の対策対象のコンピュータにおける業務への悪影響判定を実行することで、不正プログラム対策の適用による業務への悪影響回避と不正プログラム対策の成功を共に必要な条件として考慮し、精度良好な不正プログラム対策を効率良く特定し、適用することが出来る。

また、本実施形態の不正プログラム対策システムにおいて、前記演算装置は、前記所定業務の処理結果に関する正常処理結果の判定処理に際し、前記模擬環境にて前記不正プログラムを実行させた場合の挙動内容より、当該挙動内容の含む一連の各挙動間の親子関係を特定する処理と、前記特定した不正プログラム対策候補を前記模擬環境に適用し、当該適用時における前記対策対象のコンピュータでの所定業務の処理結果が、該当業務の正常処理結果について予め定めた規定内容と異なるものとなるか判定し、前記所定業務の処理結果が正常処理結果でなかった場合に、該当処理結果を生み出した該当挙動に代えて、前記各挙動間の親子関係に基づく前記該当挙動と親子関係にある他挙動を特定し、当該他挙動に対応する不正プログラム対策候補を前記模擬環境に適用し、前記所定業務の処理結果に関する正常処理結果の判定処理を再度実行する処理とを更に実行するものであるとしてもよい。

これによれば、不正プログラム対策候補が業務処理に悪影響を及ぼすことが判明した際に、他の全ての不正プログラム対策についてあらためて処理を実行するといった事態を回避して、不正プログラム対策候補を選定する範囲を上述の親子関係をベースとした効率的なものと出来る。

また、本実施形態の不正プログラム対策システムにおいて、前記記憶装置は、前記テーブルにおいて、コンピュータにおける各挙動に対して適用する不正プログラム対策候補を対策レベルと対応づけて格納したものであり、前記演算装置は、前記不正プログラム対策候補を特定する処理に際し、不正プログラムの対策対象であるコンピュータの模擬環境にて、不正プログラムを実行させた場合の挙動内容を前記テーブルに照合して、前記挙動内
容の含む各挙動に対応する不正プログラム対策候補を、予めユーザが指定した対策レベルの優先順に応じて特定するものであるとしてもよい。

これによれば、該当企業におけるシステムセキュリティのポリシーに基づいてシステム管理者等が指定した上述の優先順に基づいた、不正プログラム対策候補の選定が可能となり、ひいては、企業個々のシステム構成やその事情により的確に対応した不正プログラム対策がなされることとなる。

また、本実施形態の不正プログラム対策システムにおいて、前記記憶装置は、前記テーブルにおいて、コンピュータにおける各挙動に対して適用する不正プログラム対策候補を対策レベルと対応づけて格納したものであり、前記演算装置は、前記所定業務の処理結果に関する正常処理結果の判定処理に際し、前記所定業務の処理結果が正常処理結果でなかった場合に、業務処理の保全について予めユーザが指定した要求内容が、前記処理結果を許容するか判定する処理と、前記判定の結果、前記要求内容が前記処理結果を許容するものであった場合、前記不正プログラム対策候補を適切な不正プログラム対策とし、前記要求内容が前記処理結果を許容しないものであった場合、前記不正プログラム対策候補に代えて、より対策レベルの低い他の不正プログラム対策候補を前記テーブルにて特定し、当該他の不正プログラム対策候補を前記模擬環境に適用し、前記所定業務の処理結果に関する正常処理結果の判定処理を再度実行する処理とを更に実行するものである、としてもよい。

これによれば、該当企業における業務処理に関する保全要求のポリシー（不正プログラム対策適用による業務処理への影響をどれほど許容出来るかを示すポリシー）に基づいてシステム管理者等が指定した上述の要求内容に基づいた、不正プログラム対策候補の選定が可能となり、ひいては、企業個々のシステム構成やその業務処理のクリティカル度などの事情により的確に対応した不正プログラム対策がなされることとなる。

また、本実施形態の不正プログラム対策方法において、前記コンピュータが、前記所定業務の処理結果に関する正常処理結果の判定処理に先立ち、前記不正プログラム対策候補を前記模擬環境に適用し、当該適用時における前記対策対象のコンピュータでの挙動のうち、該当不正プログラム対策候補の適用対象となった挙動が、予め定めた対策成否の判定基準を満たすものであるか判定する処理を更に実行し、前記判定の結果、該当不正プログラム対策候補が不正プログラム対策に成功していた場合に、前記所定業務の処理結果に関する正常処理結果の判定処理を実行するとしてもよい。

また、本実施形態の不正プログラム対策方法において、前記コンピュータが、前記所定業務の処理結果に関する正常処理結果の判定処理に際し、前記模擬環境にて前記不正プログラムを実行させた場合の挙動内容より、当該挙動内容の含む一連の各挙動間の親子関係を特定する処理と、前記特定した不正プログラム対策候補を前記模擬環境に適用し、当該適用時における前記対策対象のコンピュータでの所定業務の処理結果が、該当業務の正常処理結果について予め定めた規定内容と異なるものとなるか判定し、前記所定業務の処理結果が正常処理結果でなかった場合に、該当処理結果を生み出した該当挙動に代えて、前記各挙動間の親子関係に基づく前記該当挙動と親子関係にある他挙動を特定し、当該他挙動に対応する不正プログラム対策候補を前記模擬環境に適用し、前記所定業務の処理結果に関する正常処理結果の判定処理を再度実行する処理を更に実行するとしてもよい。

また、本実施形態の不正プログラム対策方法において、前記コンピュータが、前記記憶装置の前記テーブルにおいて、コンピュータにおける各挙動に対して適用する不正プログラム対策候補を対策レベルと対応づけて格納して、前記不正プログラム対策候補を特定する処理に際し、不正プログラムの対策対象であるコンピュータの模擬環境にて、不正プロ
グラムを実行させた場合の挙動内容を前記テーブルに照合して、前記挙動内容の含む各挙動に対応する不正プログラム対策候補を、予めユーザが指定した対策レベルの優先順に応じて特定するとしてもよい。

また、本実施形態の不正プログラム対策方法において、前記コンピュータが、前記記憶装置の前記テーブルにおいて、コンピュータにおける各挙動に対して適用する不正プログラム対策候補を対策レベルと対応づけて格納して、前記所定業務の処理結果に関する正常処理結果の判定処理に際し、前記所定業務の処理結果が正常処理結果でなかった場合に、業務処理の保全について予めユーザが指定した要求内容が、前記処理結果を許容するか判定する処理と、前記判定の結果、前記要求内容が前記処理結果を許容するものであった場合、前記不正プログラム対策候補を適切な不正プログラム対策とし、前記要求内容が前記処理結果を許容しないものであった場合、前記不正プログラム対策候補に代えて、より対策レベルの低い他の不正プログラム対策候補を前記テーブルにて特定し、当該他の不正プログラム対策候補を前記模擬環境に適用し、前記所定業務の処理結果に関する正常処理結果の判定処理を再度実行する処理を更に実行するとしてもよい。

１０１ 不正プログラム対策システム
１０２ システム構成情報ＤＢ
１０３ 対処ＤＢ
１０４ 解析結果ＤＢ
１０５ 対策方法ＤＢ
１０６ 企業ポリシーＤＢ
１０７ 業務処理手順ＤＢ
１０８ 業務のテストメッセージＤＢ
１０９ 模擬環境構築機能
１１０ 対策素案生成機能
１１１ 対策方法改善・選択機能
１１２ 対策方法適用機能
１１３ 対策方法評価機能
１１４ 不正プログラム解析機能
１１５ 業務テスト機能
２０１ ＣＰＵ（演算装置）
２０２ メモリ
２０３ 記憶装置
２０４ 入力装置
２０５ 出力装置
２０６ 通信制御装置
２１０ プログラム
２１１ データ類

Claims (10)

1. コンピュータにおける各挙動に対して適用する不正プログラム対策候補を規定したテーブルを格納した記憶装置と、
   不正プログラムの対策対象であるコンピュータの模擬環境にて、不正プログラムを実行させた場合の挙動内容を前記テーブルに照合して、前記挙動内容の含む各挙動に対応する不正プログラム対策候補を特定する処理と、
   前記特定した不正プログラム対策候補を前記模擬環境に適用し、当該適用時における前記対策対象のコンピュータでの所定業務の処理結果が、該当業務の正常処理結果について予め定めた規定内容と異なるものとなるか判定し、前記所定業務の処理結果が正常処理結果であった場合に、前記不正プログラム対策候補を適切な不正プログラム対策として、出力装置に出力または前記コンピュータに適用する処理と、を実行する演算装置と、
   を備えることを特徴とする不正プログラム対策システム。
2. 前記演算装置は、
   前記所定業務の処理結果に関する正常処理結果の判定処理に先立ち、
   前記不正プログラム対策候補を前記模擬環境に適用し、当該適用時における前記対策対象のコンピュータでの挙動のうち、該当不正プログラム対策候補の適用対象となった挙動が、予め定めた対策成否の判定基準を満たすものであるか判定する処理を更に実行し、
   前記判定の結果、該当不正プログラム対策候補が不正プログラム対策に成功していた場合に、前記所定業務の処理結果に関する正常処理結果の判定処理を実行するものである、
   ことを特徴とする請求項１に記載の不正プログラム対策システム。
3. 前記演算装置は、
   前記所定業務の処理結果に関する正常処理結果の判定処理に際し、
   前記模擬環境にて前記不正プログラムを実行させた場合の挙動内容より、当該挙動内容の含む一連の各挙動間の親子関係を特定する処理と、
   前記特定した不正プログラム対策候補を前記模擬環境に適用し、当該適用時における前記対策対象のコンピュータでの所定業務の処理結果が、該当業務の正常処理結果について予め定めた規定内容と異なるものとなるか判定し、前記所定業務の処理結果が正常処理結果でなかった場合に、該当処理結果を生み出した該当挙動に代えて、前記各挙動間の親子関係に基づく前記該当挙動と親子関係にある他挙動を特定し、当該他挙動に対応する不正プログラム対策候補を前記模擬環境に適用し、前記所定業務の処理結果に関する正常処理結果の判定処理を再度実行する処理と、
   を更に実行するものである、
   ことを特徴とする請求項１に記載の不正プログラム対策システム。
4. 前記記憶装置は、
   前記テーブルにおいて、コンピュータにおける各挙動に対して適用する不正プログラム対策候補を対策レベルと対応づけて格納したものであり、
   前記演算装置は、
   前記不正プログラム対策候補を特定する処理に際し、
   不正プログラムの対策対象であるコンピュータの模擬環境にて、不正プログラムを実行させた場合の挙動内容を前記テーブルに照合して、前記挙動内容の含む各挙動に対応する不正プログラム対策候補を、予めユーザが指定した対策レベルの優先順に応じて特定するものである、
   ことを特徴とする請求項１に記載の不正プログラム対策システム。
5. 前記記憶装置は、
   前記テーブルにおいて、コンピュータにおける各挙動に対して適用する不正プログラム
   対策候補を対策レベルと対応づけて格納したものであり、
   前記演算装置は、
   前記所定業務の処理結果に関する正常処理結果の判定処理に際し、
   前記所定業務の処理結果が正常処理結果でなかった場合に、業務処理の保全について予めユーザが指定した要求内容が、前記処理結果を許容するか判定する処理と、
   前記判定の結果、前記要求内容が前記処理結果を許容するものであった場合、前記不正プログラム対策候補を適切な不正プログラム対策とし、前記要求内容が前記処理結果を許容しないものであった場合、前記不正プログラム対策候補に代えて、より対策レベルの低い他の不正プログラム対策候補を前記テーブルにて特定し、当該他の不正プログラム対策候補を前記模擬環境に適用し、前記所定業務の処理結果に関する正常処理結果の判定処理を再度実行する処理と、
   を更に実行するものである、
   ことを特徴とする請求項１に記載の不正プログラム対策システム。
6. コンピュータにおける各挙動に対して適用する不正プログラム対策候補を規定したテーブルを格納した記憶装置を備えたコンピュータが、
   不正プログラムの対策対象であるコンピュータの模擬環境にて、不正プログラムを実行させた場合の挙動内容を前記テーブルに照合して、前記挙動内容の含む各挙動に対応する不正プログラム対策候補を特定する処理と、
   前記特定した不正プログラム対策候補を前記模擬環境に適用し、当該適用時における前記対策対象のコンピュータでの所定業務の処理結果が、該当業務の正常処理結果について予め定めた規定内容と異なるものとなるか判定し、前記所定業務の処理結果が正常処理結果であった場合に、前記不正プログラム対策候補を適切な不正プログラム対策として、出力装置に出力または前記コンピュータに適用する処理と、
   を実行することを特徴とする不正プログラム対策方法。
7. 前記コンピュータが、
   前記所定業務の処理結果に関する正常処理結果の判定処理に先立ち、
   前記不正プログラム対策候補を前記模擬環境に適用し、当該適用時における前記対策対象のコンピュータでの挙動のうち、該当不正プログラム対策候補の適用対象となった挙動が、予め定めた対策成否の判定基準を満たすものであるか判定する処理を更に実行し、
   前記判定の結果、該当不正プログラム対策候補が不正プログラム対策に成功していた場合に、前記所定業務の処理結果に関する正常処理結果の判定処理を実行する、
   ことを特徴とする請求項６に記載の不正プログラム対策方法。
8. 前記コンピュータが、
   前記所定業務の処理結果に関する正常処理結果の判定処理に際し、
   前記模擬環境にて前記不正プログラムを実行させた場合の挙動内容より、当該挙動内容の含む一連の各挙動間の親子関係を特定する処理と、
   前記特定した不正プログラム対策候補を前記模擬環境に適用し、当該適用時における前記対策対象のコンピュータでの所定業務の処理結果が、該当業務の正常処理結果について予め定めた規定内容と異なるものとなるか判定し、前記所定業務の処理結果が正常処理結果でなかった場合に、該当処理結果を生み出した該当挙動に代えて、前記各挙動間の親子関係に基づく前記該当挙動と親子関係にある他挙動を特定し、当該他挙動に対応する不正プログラム対策候補を前記模擬環境に適用し、前記所定業務の処理結果に関する正常処理結果の判定処理を再度実行する処理と、
   を更に実行することを特徴とする請求項６に記載の不正プログラム対策方法。
9. 前記コンピュータが、
   前記記憶装置の前記テーブルにおいて、コンピュータにおける各挙動に対して適用する
   不正プログラム対策候補を対策レベルと対応づけて格納して、
   前記不正プログラム対策候補を特定する処理に際し、
   不正プログラムの対策対象であるコンピュータの模擬環境にて、不正プログラムを実行させた場合の挙動内容を前記テーブルに照合して、前記挙動内容の含む各挙動に対応する不正プログラム対策候補を、予めユーザが指定した対策レベルの優先順に応じて特定する、
   ことを特徴とする請求項６に記載の不正プログラム対策方法。
10. 前記コンピュータが、
    前記記憶装置の前記テーブルにおいて、コンピュータにおける各挙動に対して適用する不正プログラム対策候補を対策レベルと対応づけて格納して、
    前記所定業務の処理結果に関する正常処理結果の判定処理に際し、
    前記所定業務の処理結果が正常処理結果でなかった場合に、業務処理の保全について予めユーザが指定した要求内容が、前記処理結果を許容するか判定する処理と、
    前記判定の結果、前記要求内容が前記処理結果を許容するものであった場合、前記不正プログラム対策候補を適切な不正プログラム対策とし、前記要求内容が前記処理結果を許容しないものであった場合、前記不正プログラム対策候補に代えて、より対策レベルの低い他の不正プログラム対策候補を前記テーブルにて特定し、当該他の不正プログラム対策候補を前記模擬環境に適用し、前記所定業務の処理結果に関する正常処理結果の判定処理を再度実行する処理と、
    を更に実行することを特徴とする請求項６に記載の不正プログラム対策方法。