本発明は、隠匿プロセスの探知システム及び方法に関するものであって、さらに詳細には実時間でシステムカーネル層モニタリングにより発生するシステムイベント情報を用いてカーネル層から提供されるプロセスリストを抽出し、アプリケーション層から提供されるプロセスリストと比較し、隠匿プロセスを探知することで、使用者システムを隠匿プロセスから実時間で防御してシステムの保安性を確保するシステムイベント情報を用いた隠匿プロセス探知システム及び方法に関するものである。

隠匿プロセスは、システム内で実行されることから一般的なプロセスの種類のようなプロセスであると見られる。 しかしながら、ルートキットのような悪性コードにより該プロセスが隠匿され、システムのアプリケーション層で何らの情報も表れないので、使用者は、プロセス情報プログラムであるタスクマネージャを介し隠匿プロセスの存在を認識できない。

このように、隠匿プロセスは、アプリケーション層で何らの情報も提供しないが、該プロセスを実行するためシステムカーネル層でシステム資源を割り当てられてこれを使わなければならないので、一般プロセスのようにシステムのカーネル層ではその情報を公開せざるを得ない。

したがって、隠匿プロセスを探知するため、実時間のシステム資源のアクセス時に提供されるシステムイベント情報を用いて、このシステム資源にアクセスするプロセスを感知し、アプリケーション層で表れるプロセスと比較して隠匿プロセスを探知することができる。

従来の隠匿システムを探知するための方法として、ＥＰＲＯＣＥＳＳ構造体に含まれたＡｃｔｉｖｅＰｒｏｃｅｓｓＬｉｎｋｓ構造を用いて探知する方式がある。 該隠匿プロセス探知技法は、Ｊｏａｎｎａ Ｒｕｔｋｏｗｓｋａによって公開（ｈｔｔｐ：／／ｉｎｖｉｓｉｂｌｅｔｈｉｎｇｓ.ｏｒｇ）されたが、該隠匿プロセス探知技法は次のようである。 システムのアプリケーション層から該プロセスリスト（ａ）を獲得した後、カーネル層からＥＰＲＯＣＥＳＳ構造体のＡｃｔｉｏｎＰｒｏｃｅｓｓＬｉｎｋｓを介してカーネル層に存在するプロセスリスト（ｂ）を得る。 したがって、リスト（ａ）とリスト（ｂ）とを比べて、カーネル内のみに存在するプロセスが検索される場合、該プロセスを隠匿プロセスとして判断する。 このような方法は、リストを得る間の時間遅れにより隠匿プロセスであると誤って判断するおそれがある短所があり、又、カーネル層内でプロセスリストをＥＰＲＯＣＥＳＳ構造体のＡｃｔｉｖｅＰｒｏｃｅｓｓ Ｌｉｎｋｓを介して得るに該ＥＰＲＯＣＥＳＳ構造体自体がＷｉｎｄｏｗｓ（登録商標）オペレーティングシステムを製作したマイクロソフトが公式に発表したシステム内部の構造体ではないので、該構造体の情報の変更時には、隠匿プロセス探知自体が不可能である。

又、ＥＰＲＯＣＥＳＳ構造体のＡｃｔｉｖｅＰｒｏｃｅｓｓＬｉｎｋｓ自体は、該当プロセスに対するシステム内部での、システム資源の割当ての際、該リストに追加されて実行される。 したがって、資源の割当てを要求していない状態、つまり、プロセスが周期的なｉｄｌｅ状態の場合、該プロセスはＥＰＲＯＣＥＳＳ構造体にＡｃｔｉｖｅＰｒｏｃｅｓｓＬｉｎｋｓが追加されないので、システム内でｉｄｌｅ状態の隠匿プロセスは探知されないという短所を有するようになる。

又、隠匿プロセスを探知するための製品として、Ｆ−Ｓｅｃｕｒｅ社（ｈｔｔｐ：／／ｗｗｗ.ｆ−ｓｅｃｕｒｅ.ｃｏｍ／ｂｌａｃｋｌｉｇｈｔ）の、ベータバージョンで公開しているＢｌａｃｋＬｉｇｈｔ製品がある。 該製品は、Ｗｉｎｄｏｗｓ（登録商標）システム内で現在遂行中のプログラムに対する情報の要求の際に用いられるＯｐｅｎＰｒｏｃｅｓｓ（）関数を用いる。 該関数の入力パラメータにＷｉｎｄｏｗｓ（登録商標）システム内で生成できる全てのＰＩＤ値を全部代入させ、リターンされる値により該ＰＩＤプロセスリストの存在有無を判断するようになる。 このとき、アプリケーション層において該ＰＩＤプロセスリストの情報がない場合、該ＰＩＤプロセスは、隠匿されたと判断することができる。 このような方法は、システムカーネル層で何らの行為もせず、ただシステムのアプリケーション層で用いられるＡＰＩを介して隠匿の可否を検査する方法である。 しかし、このような方法も、隠匿プロセスが悪意的に自身のＰＩＤ値に対するＯｐｅｎＰｒｏｃｅｓｓ（）の呼び出しの際、結果値を任意に操作された値を与えると該プロセスがシステム内に存在しないものと判断され、該隠匿プロセスは探知できなくなり、Ｏｐｅｎｐｒｏｃｅｓｓ（）関数を用いた隠匿プロセス探知技法は、実時間探知技法ではないスキャニング技法を用いた隠匿プロセス探知技法であって、隠匿プロセス探知のためスキャニング時に、該隠匿プロセスが開始されないか、既に終了された場合、探知することができないという短所を有するようになる。

したがって、本発明は前記の従来技術の問題点を解決するためになされたものであって、本発明の目的は、システムのカーネル層で実時間のシステムのモニタリングを介して、発生したシステムイベント情報からカーネル層のプロセスリストを抽出し、アプリケーション層から提供されるプロセスリストとの比較を通じて、隠匿プロセスを探知および制御する、システムイベント情報を用いた隠匿プロセス探知システムおよび方法を提供することにある。

一方、本発明の他の目的は、実時間でシステム内で発生されるファイル、レジストリ、ネットワークイベント情報に基づいて、システム内のアプリケーション層のとカーネル層とのプロセスリストの比較を通じて、隠匿プロセスを探知するので、隠匿プロセスがｉｄｌｅ状態の場合でも、システム内で発生するイベント情報を用いて隠匿プロセスを探知して既存ＡｃｔｉｖｅＰｒｏｃｅｓｓＬｉｎｋｓを用いた探知技法の限界を打開するシステムイベント情報を用いた隠匿プロセス探知システムおよび方法を提供することにある。

前記のような目的を達成するための本発明のシステムイベント情報を用いた隠匿プロセス探知システムは、カーネル層システムをモニタリングし、システムイベント情報を抽出するカーネル層モニタリングモジュール、前記抽出されたシステムイベント情報からイベントと関連したプロセスを検出するカーネル層プロセスリスト検出モジュール、アプリケーション層から使用者に提供されるプロセスリストを検出するアプリケーション層プロセスリスト検出モジュール、前記カーネル層プロセスリストの検出モジュールから検出されたプロセスと前記アプリケーション層のプロセスリスト検出モジュールから検出されたプロセスを比較し、前記カーネル層のみに存在するプロセスを隠匿プロセスとして探知する隠匿プロセス探知モジュールを含むことを特徴とする。

このとき、カーネル層モニタリングモジュールは、前記カーネル層でファイルシステムをモニタリングしてファイルイベント情報を抽出するファイルモニタリングモジュールと、前記カーネル層でアクセスされるレジストリをモニタリングし、レジストリイベント情報を抽出するレジストリモニタリングモジュール、そして前記カーネル層でネットワークをモニタリングし、ネットワークイベント情報を抽出するネットワークモニタリングモジュールを含むことを特徴とする。

一方、本発明のシステムイベント情報を用いた隠匿プロセス探知方法は、カーネル層システムをモニタリングしてシステムイベント情報を抽出するカーネル層モニタリング段階、前記抽出されたシステムイベント情報からイベントと関連したプロセスを検出するカーネル層プロセスリスト検出段階、アプリケーション層から使用者に提供されるプロセスリストを検出するアプリケーション層プロセスリスト検出段階、前記カーネル層プロセスリスト検出段階から検出されたプロセスと前記アプリケーション層プロセスリスト検出段階から検出されたプロセスを比較し、前記カーネル層のみに存在するプロセスを隠匿プロセスとして探知する隠匿プロセス探知段階を含むことを特徴とする。

このとき、カーネル層モニタリング段階は、前記カーネル層でファイルシステムをモニタリングしファイルイベント情報を抽出するファイルモニタリング段階、前記カーネル層でアクセスされるレジストリをモニタリングしてレジストリイベント情報を抽出するレジストリモニタリング段階、前記カーネル層でネットワークをモニタリングしてネットワークイベント情報を抽出するネットワークモニタリング段階を含むことを特徴とする。

上述したように、本発明によるシステムイベント情報を用いた隠匿プロセス探知システムは、カーネル層から提供されるシステムイベント情報を用いて実時間で隠匿プロセスを探知することができ、隠匿プロセスで使用者のシステムを攻撃する行為を源泉的に防御することができる効果がある。

又、本発明によるシステムイベント情報を用いた隠匿プロセス探知システムおよび方法は、隠匿プロセスがｉｄｌｅ状態の場合にも、システムで発生するイベント情報を用いて隠匿プロセスを探知及び除去し、実時間でシステム内で発生されたイベント情報を用いて探知するので、実時間で隠匿プロセスの実行とともにこれを探知することができる効果がある。

以下、本発明に係るシステムイベント情報を用いた隠匿プロセス探知システム及び方法について添付された図面を参照し詳細に説明する。

図１は、本発明に係るシステムイベント情報を用いた隠匿プロセス探知システムの構成を示すブロック図である。

本発明に係るシステムイベント情報を用いた隠匿プロセス探知システムは、カーネル層システムをモニタリングして、システムイベント情報を抽出するカーネル層モニタリングモジュール１００、抽出されたシステムイベント情報からイベントと関連するプロセスを検出するカーネル層プロセスリスト検出モジュール２００、アプリケーション層から使用者に提供されるプロセスリストを検出するアプリケーション層プロセスリスト検出モジュール３００、カーネル層プロセスリスト検出モジュール２００から検出されたプロセスとアプリケーション層プロセスリスト検出モジュール３００から検出されたプロセスを比較し、カーネル層のみに存在するプロセスを隠匿プロセスとして探知する隠匿プロセス探知モジュール４００、隠匿プロセス探知モジュール４００から探知された隠匿プロセスを制御する隠匿プロセス制御モジュール５００を含んで構成される。

カーネル層モニタリングモジュール１００は、カーネル層から提供されるシステムイベント情報をモニタリングするため、カーネル層でファイルシステムをモニタリングするファイルモニタリングモジュール１１０、カーネル層でアクセスされるレジストリをモニタリングするレジストリモニタリングモジュール１２０、実時間でネットワークをモニタリングするネットワークモニタリングモジュール１３０を含む。

カーネル層では、プロセスを実行するためシステム情報を割当てるため、隠匿プロセスに関連する情報が表れる。

ファイルモニタリングモジュール１１０は、実時間でカーネル層においてファイルシステムをモニタリングし、ファイルイベント情報を探索するモジュールである。 ファイルモニタリングモジュール１１０は、どのようなプロセスがどのようなファイルをどのようなイベント要求事項に対しアクセスするかに関するファイルシステムイベント情報をモニタリングする。 ファイルモニタリングモジュール１１０を介して出てくるファイルイベント情報は、ファイルアクセスプロセス（Ｐｒｏｃｅｓｓ ｎａｍｅ）、ファイルアクセス時間（Ｔｉｍｅ）、ファイル要求（Ｒｅｑｕｅｓｔ）イベント（Ｑｕｅｒｙ Ｉｎｆｏｒｍａｔｉｏｎ、Ｏｐｅｎ、Ｃｌｏｓｅなど）、アクセスファイル経路（Ｐａｔｈ）、アクセスファイル成功有無（Ｒｅｓｕｌｔ）などの情報を言う。 ファイルモニタリングモジュール１１０から出てきたファイルイベント情報は、カーネル層プロセスリスト検出モジュール２００に提供される。

レジストリモニタリングモジュール１２０は、実時間でカーネル層でアクセスされるレジストリをモニタリングするモジュールである。 レジストリモニタリングモジュール１２０は、どのようなプロセスが現在どのようなレジストリイベント情報を要求し、その要求された情報が何であるかを感知する。 レジストリモニタリングモジュール１２０を介して出てくるレジストリイベント情報は、レジストリアクセスプロセス（Ｐｒｏｃｅｓｓ ｎａｍｅ）、レジストリアクセス時間（Ｔｉｍｅ），レジストリ要求（Ｒｅｑｕｅｓｔ）イベント（Ｏｐｅｎｋｅｙ、Ｃｌｏｓｅｋｅｙなど）、レジストリアクセス経路（Ｐａｔｈ）、レジストリアクセス成功の有無（Ｒｅｓｕｌｔ）などがある。 レジストリモニタリングモジュール１２０を介して出てきたレジストリイベント情報はカーネル層プロセスリストの検出モジュール２００に提供される。

ネットワークモニタリングモジュール１３０は、実時間でネットワークモニタリングを介してネットワークイベント情報を算出するモジュールである。 ネットワークモニタリングモジュール１３０は、実時間でネットワークを介し、どのようなプロセスがどのようなポートを介しどちらへどのようなパケットを伝送及び受信するかに対する情報をモニタリングする。 ネットワークモニタリングモジュール１３０を介して出てくるネットワークイベント情報とは、ネットワークアクセスプロセス、ネットワークパッケト発生時間、送信側のアドレス、受信側のアドレス、送信側のポート、受信側のポート、パケットの長さ、チェックサム、ＴＴＬ値、Ｆｒａｇｍｅｎｔａｔｉｏｎの可否に関する情報をいう。 ネットワークモニタリングモジュール１３０を介して出てきたネットワークイベント情報は、カーネル層プロセスリスト検出モジュール２００に提供される。

カーネル層モニタリングモジュール１００は、システムのカーネル層のシステムイベント情報をモニタリングすることにおいて、システムイベント情報フィルタリングモジュール１４０を含むことができる。

システムイベント情報フィルタリングモジュール１４０は、カーネル層でモニタリングされるシステムイベント情報のうち、特定モニタリングのイベント及び特定プロセスを予めモニタリングの対象から除外する。 したがって、システムイベント情報フィルタリングモジュール１４０は、隠匿プロセスを感知するため、モニタリングすべき対象を減らすことで、隠匿プロセス探知システムの性能を向上させる。

カーネル層プロセスリスト検出モジュール２００は、カーネル層モニタリングモジュール１００を介して提供されたシステムイベント情報のうち、イベントにアクセスしたプロセスのリストのみを抽出する。 システムイベント情報には、ファイルモニタリングモジュール１１０によるファイルイベント情報、レジストリモニタリングモジュール１２０によるレジストリイベント情報、ネットワークモニタリングモジュール１３０によるネットワークイベント情報がある。 カーネル層プロセスリスト検出モジュール２００により抽出されるプロセスリストは、ファイルアクセスプロセス、レジストリアクセスプロセス、ネットワークアクセスプロセス等がある。

アプリケーション層プロセスリスト検出モジュール３００は、アプリケーション層から使用者に提供されるプロセスリストに対する情報を検出する。 一般的にＷｉｎ３２ＡＰＩを介してアプリケーション層から提供されるプロセス情報を標準とする。 ウィンドウズ（登録商標）システムの場合、タスクマネージャを通じて提供されるプロセスリスト情報を例として挙げられる。

カーネル層プロセスリスト検出モジュール２００から検出されたプロセスリストとアプリケーション層プロセスリスト検出モジュール３００から検出されたプロセスリストは隠匿プロセス探知モジュール４００へ伝達される。

隠匿プロセス探知モジュール４００は、カーネル層プロセスリストとアプリケーション層プロセスリストを比較して、隠匿プロセスであると判断されるプロセスを探し出す。

隠匿プロセスは、アプリケーション層では、隠匿プロセスに対する情報が表れないが、カーネル層では、プロセス実行のため資源を受けるためにその情報が公開される。

したがって、プロセスがカーネル層のみに存在し、アプリケーション層には存在しない場合には、隠匿プロセスであると判断される。

しかしながら、カーネル層プロセスリストとアプリケーション層プロセスリストを比較した結果、同一の場合にはシステムで実行されているプロセスは正常プロセスであると判断される。

隠匿プロセス探知モジュール４００で、隠匿プロセスであると判断されるプロセスが存在する場合には、隠匿プロセス制御モジュール５００により該隠匿プロセスを終了させるか削除する。

隠匿プロセス制御モジュール５００は、隠匿プロセスであると判断されたプロセスに対する処理の如付を使用者の決定に応じて処理する役割をする。

図２は、本発明に係るシステムイベント情報を用いた隠匿プロセス探知方法を示すフローチャートである。

隠匿プロセス探知は、使用者により隠匿プロセスを探知するためのシステム及びプログラムを開始することで隠匿プロセスの探知が開始されるＳ２１０。

隠匿プロセス探知は、使用者の開始命令によって開始されることもあるが、システムが開始して作動する間には、常に作動することが実時間で隠匿プロセスを探知することから望ましい。

隠匿プロセス探知が開始Ｓ２１０されると、カーネル層モニタリング段階Ｓ２２０とアプリケーション層プロセスリスト検出段階Ｓ２３０が進行される。

カーネル層モニタリング段階Ｓ２２０は、カーネル層のシステムをモニタリングしシステムイベント情報を抽出する。

システムイベント情報を抽出するために、ファイルイベント情報を抽出するファイルモニタリング段階Ｓ２２１と、レジストリイベント情報を抽出するレジストリモニタリング段階Ｓ２２０と、又、ネットワークイベント情報を抽出するネットワークモニタリング段階Ｓ２２３によりカーネル層モニタリング段階Ｓ２２０が進行される。

カーネル層モニタリング段階Ｓ２２０から抽出されたシステムイベント情報は、カーネル層プロセスリスト検出段階Ｓ２４０に提供される。

カーネル層プロセスリスト検出段階Ｓ２４０は、提供されたシステムイベント情報のうち、イベントにアクセスしたプロセスのリストのみを検出する。 このように検出されたカーネル層プロセスリストは、隠匿プロセスであるか否かを判断するため、カーネル層とアプリケーション層プロセスリスト比較段階Ｓ２５０に提供される。

アプリケーション層プロセスリスト検出段階Ｓ２３０は、アプリケーション層から使用者に提供されるプロセスリストに対する情報を検出し、カーネル層とアプリケーション層プロセスリスト比較段階Ｓ２５０に提供する。

カーネル層とアプリケーション層プロセスリストの比較段階Ｓ２５０は、カーネル層プロセスリストとアプリケーション層プロセスリストを比較して一致するか否かを判断する。

カーネル層プロセスリストとアプリケーション層プロセスリストが一致する場合には、正常のプロセスであると判断するＳ２６０。

カーネル層プロセスリストとアプリケーション層プロセスリストが不一致の場合、カーネル層プロセスリストのみに存在し、アプリケーション層プロセスリストには存在しない場合には、該プロセスを隠匿プロセスであると判断するＳ２７０。

隠匿プロセスであると判断されたプロセスは、使用者により処理が決定される。 使用者が隠匿プロセスを削除する場合、隠匿プロセスはシステムから削除されるＳ２８０。

以上から、いくつの実施の形態をあげ、本発明を一層詳細に説明したが、本発明は必ずしもこのような実施の形態に限らず、本発明の技術思想を外れない範囲内で多様に変更実施することができる。

本発明に係るシステムイベント情報を用いた隠匿プロセス探知システムの構成を示すブロック図である。

本発明に係るシステムイベント情報を用いた隠匿プロセス探知方法を示すプローチャートである。

符号の説明

１１０：ファイルモニタリングモジュール １２０：レジストリモニタリングモジュール １３０：ネットワークモニタリングモジュール ２００：カーネル層プロセスリスト検出モジュール ３００：アプリケーション層プロセスリスト検出モジュール ４００：隠匿プロセス探知モジュール ５００：隠匿プロセス制御モジュール