[发明专利]确定装置、确定方法

摘要

确定装置(10)对分析对象的恶意软件(11)进行监视，作为日志数据而取得该恶意软件(11)、从通信目的地下载的下载数据、与恶意软件(11)或下载数据的通信目的地之间进行的数据的交接关系。并且，确定装置(10)使用所取得的日志数据，生成将恶意软件、下载数据及通信目的地作为节点并将各节点的依赖关系作为边缘的有向图形即依赖关系图形。并且，确定装置(10)将所生成的依赖关系图形的各节点与已知的恶意信息进行对照来检测恶意节点，并以该恶意的节点为基点而从终点向起点方向追溯边缘，将所追溯的节点确定为新的恶意节点。

主权项

1.一种确定装置，其特征在于，其具备：恶意软件执行环境部，其执行在客户OS上被分析的恶意软件；监视部，其在执行分析对象的所述恶意软件的期间，对所述恶意软件进行监视，作为日志数据而取得该恶意软件、从通信目的地下载的下载数据、与所述恶意软件或所述下载数据的通信目的地之间进行的数据的交接关系；生成部，其使用由所述监视部取得的日志数据，生成依赖关系图形，该依赖关系图形是将所述恶意软件、所述下载数据及所述通信目的地作为节点并将各节点的依赖关系作为边缘的有向图形；及确定部，其将由所述生成部生成的依赖关系图形的各节点与已知的恶意信息进行对照来检测恶意节点，以该恶意节点为基点而从终点向起点方向追溯边缘，将所追溯的节点确定为新的恶意节点，所述监视部对所述恶意软件的文件赋予标签来进行监视，在该恶意软件调用了监视对象的API的情况下，对与该API相关的数据赋予能够唯一地确定该数据的发送源的标签，追踪赋予了该标签的数据的传输，从而取得所述日志数据，所述监视部取得命令指针寄存器的值，询问在命令指针寄存器所指的存储器区域中是否赋有监视对象标签而进行监视。