WO2004077295A1

WO2004077295A1 - 不正処理判定方法、データ処理装置、コンピュータプログラム、及び記録媒体

Info

Publication number: WO2004077295A1
Application number: PCT/JP2004/002319
Authority: WO
Inventors: Kazunori Saito
Original assignee: Secure Ware Inc.
Priority date: 2003-02-26
Filing date: 2004-02-26
Publication date: 2004-09-10
Also published as: US20060026685A1; JP4320014B2; JPWO2004077295A1; TW200416541A; US7895655B2

Abstract

本発明にかかる不正処理方法、データ処理装置、コンピュータプログラム、及び記録媒体は、バッファメモリに記憶させたデータをバイト単位で読出し、読出し位置がそれぞれ異なる複数の命令系列について、順次的にどのような命令コードが含まれているか解析してゆく。そして、解析した命令系列に、ｉｎｔ命令が含まれており、命令コードが特定の出現パターンを持ち、記憶させたコマンドデータに"／"に対応した文字コードが含まれている場合、当該命令系列に不正コードが含まれていると判定する。

Description

糸田 ¾

不正処理判定方法、データ処理装置、コンピュータプログラム、及び記録媒体技術分野

本発明は、不正処理を実行するデータを検出する不正処理判定方法、データ処理装置、該データ処理装置を実現するためのコンビュータプログラム、及び該コンピュータプログラムが記録されているコンピュータでの読取りが可能な記録媒体に関する。

背景技術

インターネット網の普及に伴い、各種の情報処理装置がコンビュータウィルス、クラッキング等の攻撃の対象となり、それらの脅威に晒される可能性が高くなってきている。例えば、近年、「ニムダ J 、「コードレツド」等のコンピュータゥイノレスに代表されるように、システムプログラム又はウェブブラウザのようなアプリケーションプログラムの脆弱性（セキュリティホール）を利用して自己増殖させ、甚大な被害を与えたケースが存在する。

前述のようなコンピュータウィルス、クラッキング等による攻撃では、不正な処理を行う命令コード（以下、不正コードという）を含む攻撃データを攻撃対象であるサーバ装置、パーソナルコンビュータ等の情報処理装置に対して送信し、その情報処理装置にて前記命令コードが実行されるようにしている。このような攻撃手法は様々なものが存在し、その 1つとしてノッファオーバフローによる攻撃手法が知られている。ノッファオーバフローでは、スタック内に確保されたバッファにおいて、確保されたバッファ以上のスタックエリァに書込みが行われている状態であり、バッファオーバフロ一の状態に陥つた場合、予期せぬ変数破壌を招き、プログラムの誤動作の原因となり得る。バッファオーバフローによる攻撃では、プログラムの誤動作を意図的に引き起し、例えばシステムの管理者権限を取得することが行われる。

これらのコンピュータウイ /レス、クラッキング等の攻擊に対処するため、例えば、特開平 9 — 3 1 9 5 7 4号公報に記載されているように、不正コ一ドにみられるような特定のビットノヽ。タ一ンの有無を受信したデ一タに対して検出する処理が行われていたそして、そのようなビシトパターンが受信したデータに含まれている場合には、不正コード、を含んだ攻擊デ一タであると判定し、デ一タの受信拒否、ユーザへの報知等を行うようにしていた。

そのため、従来の手法により様々なコンピュータウイルス、クラッキング等の攻撃に対処するためには、各コンピュータゥイノレス、クラッキングに対応した特定のビットパターンをデータベ一/ Vし B己憶させて予め意しておく必要があり、新種のコンビュ ―タウィルス、クラツキング手法が発見された場合には、前記データベース更新して対処しなければならない'

ところで、攻擊データに対する従来の検出方法では、述のように既知のビットノ、。ターンを検出するか、又は N O P命令（NOP ： no n-op era t i o n ) の単純な繰り返しといった攻撃処理にとつて、本質的とはいえない部分の構造を検出するようにしてきた。そのため、攻撃データのバリエーションに弱く、未知の攻撃データが現れる毎に、検出に用いるビットパターンのデータベースを更新する必要があり、データベースが更新されるまでのタイムラグが問題になっていた。

本発明は斯かる事情に鑑みなされたものであり、その目的とするところは、夫々が連続したバイト列からなり、各バイト列の先頭バィ卜が異なる読出し位置に対応した複数のデータ系列について、各デ一タ系列に現れる命令コ一の出現パターンを検出し、その検出結果に基づいて各データ系列による処理が不正処理であるか否かを判定する構成とすることにより不正な処理を行う命令コ一ド群を検出するためのビットノタ一ン等を予め用意する必要がな < ヽ不正な処理を行う未知の命令コ一ド、群に対しても検出可能な不正処理判定方法、データ処理装置、該テ一タ処理装置を実現するための n ンピュータプログラム、及び該コンピュータプログラムが記録されているコンビュータでの読取りが可能な記録媒体を提供することであ

発明の開示

第 1発明に係る不正処理判疋 J 法は、異なるバィト長の命令コ一ドを複数含んだデ一タを受信する P .

¾ in手と、受信したデータを記憶する記憶手段とを兄るァータ処理置を用い、 pL Ί®し i<~テ一タに含まれる命令一ドに基づいて実行する処理力不正処理であるか否かを判定する不正処理判疋 h法にいて、 m記記憶手段に記したデータをバイ卜単位で順次的 RJC出し夫々が連続したバィ卜列からなり、各バィト列の先頭バィ卜が異なる E出し位置に対応した複数のデータ系列について、各了 ―タ系列に現れる命令コーの出現パターンを検出レ、検 111 した命令の出現パターンに基づいて各データ系列による処理が不正処理であるか否かを判定する ·>· とを特徴とする。

第 2発明に係るテータ処理装置は、異なるバイト長の命令コ一ド、を複数含んだデータを受信する受信手段とヽ受信したデ―タを記する記憶手段と、記 '|思し / ァ一タに含まれる命令コードに基づいて実行される処理が不正処理であるか否かを判定する判定手段とを備えるデータ処理装置において、前記記憶手段に記憶したデータをバィト単位で順次的に読出す手段と、夫々が連続したバイト列からなり、各バイト列の先頭バイトが異なる読出し位置に対応した複数のデータ系列について、各データ系列に現れる命令コードの出現パターンを検出する検出手段とを備え、前記判定手段は、前記検出手段が検出した命令コードの出現パターンに基づいて各データ系列による処理が不正処理であるか否かを判定すべくなしてあることを特徴とする。

第 3発明に係るデータ処理装置は、第 2発明に係るデータ処理装置において、命令コードの 1バイト目のデータと該命令コードのバイト長との対応関係を記憶したテーブルを更に備えることを特徴とする。

第 4発明に係るデータ処理装置は、第 2発明に係るデータ処理装置において、前記検出手段が検出すべき出現パターンを含むデータ系列は、実行中の命令コード群が置かれた前記記憶手段上のァドレスを取得する処理を含むことを特徴とする。

第 5発明に係るデータ処理装置は、第 2発明又は第 4発明に係るデータ処理装置において、前記検出手段が検出すべき出現パターンの 1 つは、所定の処理を実行する命令コード群を呼出すための命令コードを含み、前記命令コード群は、前記命令コードの復帰先のァドレスを取得する命令コードを含むことを特徴とする。

第 6発明に係るデータ処理装置は、第 5発明に係るデータ処理装置において、前記出現パターンは、分岐命令に係る命令コードを更に含み、該命令コードの分岐先のアドレスが、前記命令コード群を呼出すための命令コードに対応付けられていることを特徴とする。

第 7発明に係るデータ処理装置は、第 5発明に係るデータ処理装置において、前記出現パターンは、システムコールを起動する命令コードを更に含むことを特徴とする。

第 8発明に係るデータ処理装置は、第 5発明に係るデータ処理装置において、前記出現パターンは、前記アドレスを起点としたデータの書換えを指示する命令コードを更に含むことを特徴とする。

第 9発明に係るデータ処理装置は、第 5発明に係るデータ処理装置において、前記出現パターンは、前記命令コードの後に所定の文字コードを更に含むことを特徴とする。

第 1 0発明に係るデータ処理装置は、第 2発明に係るデータ処理装置において、検出すべき出現パターンの 1つを前記検出手段が検出した場合、前記判定手段は、検出したデータ系列が不正処理を実行するデータであると判定すべくなしてあることを特徴とする。

第 1 1発明に係るデータ処理装置は、第 2発明に係るデータ処理装置において、前記判定手段が、検出したデータ系列が不正処理を実行するデータであると判定した場合、外部へその旨の情報を報知する手段を更に備えることを特徴とする。

第 1 2発明に係るコンピュータプログラムは、コンピュータに、入力された異なるバイト長の命令コードを複数含んだデータに基づいて実行される処理が不正処理であるか否かを判定させるステップを有するコンピュータプログラムにおいて、コンピュータに、夫々が連続したバイト列からなり、各バイト列の先頭バイトを異なる読出し位置に対応させて読出した複数のデータ系列について、各データ系冽に現れる命令コードの出現パターンを検出させるステップと、コンピュータに、検出した命令コードの出現パターンに基づいて各データ系列による処理が不正処理であるか否かを判定させるステツプとを有することを特徴とする。

第 1 3発明に係るコンピュータでの読取りが可能な記録媒体は、コンピュータに、入力された異なるバイト長の命令コードを複数含んだデータに基づいて実行される処理が不正処理であるか否かを判定させるステップを有するコンビュタプロダラムが記録されているコンピュータでの読取りが可能な記録媒体において、コンピュータに、夫々が連続したバィ卜歹 Uからなり、各バイ卜列の先頭バイトを異なる読出し位置に対、させて読出した複数のデ一タ系列について、各データ系列に現れる命令コード、の出現パタンを検出させるステツプと、コンビユータに、検出した命令コード、の出現パターンに基づいて各データ系列による処理が不正処理でめる力かを判定させるステップとを有するコンビュタプロダラムが記録されていることを特徴とする。

第 1発明、第 2発明、第 1 2 '発明、及び第 1 3発明にあつては、記憶手段からデータをバイト単位で順次的に読出して不正処理を実行する命令コ一ドが含まれているか否かを判定する際、読出し位置が異なる複数のデータ系列について、命令コードの出現パターンを検出ようにしている。したがつて、通常のデータには見られないような命令コードの出現パターンに着目して検出を行うことで、未知の不正コードが現れたときでヽ不正コードの本質的な処理内容が変わらない限り対処することが可能となる。また、本発明では命令コ一ドの出現パターンに基づレ、て検出を行うため、検出の開始位置をどこに設定するかによって検出する出現パターンが異なつてくる場合が生じるが、読出し位置を順次異ならせた複数のデータ系列について検出するようにしているため、誤った判定をすることが少なくなり、検出精度が高まる。

第 3発明にあっては、命令コ一の 1 バイト目のデータと、命令コードのバイト長との対応関係を記憶したテーブルを備えているため、データの読出し位置がある命令系列において命令コード、の先頭バイト以外に位置していると含には、不正コードの検出を行わないようにすることができ、処理速度の向上が図れる。

第 4発明にあっては、実行中の命令コード群が置かれた記憶手段上のァドレスを取得する処理が含まれる出現パターンを検出するようにしているため、不正コードの本質的な構造に着目した検出手法の提案が可能となる。

第 5発明にめつては、所定の処理を実行する命令コード群を呼出すための命令コ一ドを含みヽ呼出し先の命令コード群において、前記命令コ一ドの復帰先のァド、レスを取得する命令コードを含んでい

·>- る出現ハタ一ンを検出するよ Ό にしている。したがって、不正処理を実行させるうなデータでめるか否かを容易に判定することがでさ、しかもその本質的な構 te.に基づいて検出しているため、未知の不正コードに対しても対処することが可能となる。

第 6発明にあっては、分岐命令の分岐先が前述の命令コード群に対応付けられている出現パターンを検出するようにしている。したがって、不正処理を実行させるようなデータであるか否かを容易に判定することができ、しかもその本質的な構造に基づいて検出しているため、未知の不正コードに対しても対処することが可能となる。

第 7発明にめつては更にシステムールを起動する命令コ一ドを含んだ出現パタ一ンを検出するよ 5 にしている。したがって、不正コードが実行される蓋然性が高くなる場合を検出できるため、検出精度が高ま

第 8発明にめつてはヽ復帰先アドレスを起点としたデータの書換

X.を指示する命令コ一ド、を含んだ出現パターンを検出するようにしている。したがつて、実行前の段階でどのような処理が実行されるのかが分からないよな不正コードに対処することが可能となる。第 9発明にあつてはヽ述の命令一ドを呼び出すための命令コ一ドの後に所定の文字コドを含んでいるか否かを判定するようにしているため、特定の C P Uに対する不正コ一ドの検出処理において検出精度が高まる,

第 1 0発明にあつては、検出すべき命令一ドの出現パターンを検出した場合、そのテ一タが不正処理を実行するテ一タであると判定するようにしているため、不正処理を実行させるようなデータで

- あるか否かを容易に判定するとがでさ、. しかもその本質的な構造に基づいて判定しているため、未知の不正一ドに対しても対処することが可能となる

第 1 1発明にあつては、検出したデ一タ系列が不正処理を実行するデータであると判定した場、外部その旨を報知するようにしている。したがって、不正コ一ドを検出した時点で通の遮断等を行って、当該不正コ一ドにより生じる不具を防止することが可能となる図面の簡単な説明

第 1 図は、本実施の形態に係るデータ処理装置のブ口ック図である。

第 2図は、データ処理装置が実行する処理を説明する模式図である。

第 3図は、解析対象データの構成を説明する模式図である。

第 4図は、データ処理装置による不正コードの検出手順を説明するフローチャートである。

第 5 図は、データ処理装置による不正コードの検出手順を説明するフローチヤ一トである。

第 6 図は、解析 ' 判定処理ルーチンの手順を説明するフローチヤ一トである。

第 7図は、データ処理装置の解析処理により検出する命令コードの出現パターンを説明する模式図である。

第 8図は、テータ処理装置の解析処理により検出する命令コードの出現パターンを説明する模式図である。

第 9図は . 解析処理ルーチンの処理手順を説明するフローチャートである

第 1 0図は、解析処理ルーチンの処理手順を説明するフローチヤートである

第 1 1 図は、解析処理ルーチンの処理手順を説明するフローチヤートである

第 1 2図は、解析処理ルーチンの処理手順を説明するフローチヤートであ

第 1 3 図は、解析処理ルーチンの処理手順を説明するフローチヤートである

第 1 4図は、判定処理ルーチンの処理手順を説明するフロ一チヤートである

第 1 5図は、本実施の形態に係る解析処理ルーチンの処理手順を説明するフ α一チヤ一トである。

第 1 6図は、本実施の形態に係る解析処理ル一チンの処理手順を説明するフ Π一チヤ一トである。

第 1 7図は、本実施の形態に係る解析処理ルーチンの処理手順を説明するフ Π一チヤ一トである。

第 1 8 図は、本実施の形態に係る解析処理ルーチンの処理手順を説明するフ Ρ一チヤ一トである。

第 1 9図は、本実施の形態に係る解析処理ルーチンの処理手順を説明するフ Π一チヤ一トである。

第 2 0図は、本実施の形態に係る判定処理ルチンの処理手順を説明するフ Π一チヤ一トである。第 2 1 図は、本実施の形態に係るデータ処理装置の構成を説明する模式図である。発明を実施するための最良の形態

以下、本発明をその実施の形態を示す図面を参照して具体的に説明する。

(第 1実施の形態）

第 1 図は本実施の形態に係るデータ処理装置のブロック図である。図中 1 0 は、データ処理装置であり、 C P U 1 1、外部ネ -y トヮークへ接続するための通信ィンタフエース 1 5 a 、及び内部ィ、ッ卜ヮークへ接続するための通信インタフェース 1 5 b を備えている。了ータ処理装置 1 0は、具体的にはルータ、プ一ドバンドルータ、スィツチ等の通信ネットワーク上で送受信されるデータを中継する装置であり、通信インタフェース 1 5 a には通信相手となる情報処理装置及び通信装置等が外部ネットワークを介して接続されヽ S. ίρ インタフェース 1 5 b にはユーザが利用する情報処理装置及ぴ通信装置等が内部ネットワークを介して接続される。前記情報処理装置には、パーソナルコンピュータ、ワークステーション、サーバ装置、

P D A (Personal Digital Assistant) 等力 S含まれ、前記通信装置には携帯電話機等が含まれる。

C P U 1 1 には、メモリ 1 2 、ノッファメモリ 1 3、及びルーテイング部 1 4等のハードウェアが接続されており、 C P U 1 1 がメモリ 1 2 に予め格納された制御プログラムを読込んで実行することにより前述の各ハードウエアを制御し、外部ネットワークと内部ネットワークとの間で送受信される各種データを中継する装置として動作させる。また、メモリ 1 2 には、各ハードウェアを動作させるための制御プログラムの他、通信経路を定めるために送信先のネットワークァドレスを記憶したルーティングテーブル、及び本発明のコンピュータプログラムが格納されている。

内部ネットヮ一ク側から外部ネットヮク側へ丁タを送信する際にデータ処理装置 1 0 の通信インタフェ一ス 1 5 b が当該データを受信した場合、 C P U 1 1 はメモリ 1 2 内に格納されたノレーティングテ一ブルを参照して通信経路を定めヽ定めた通信経路に従ってルーティング部 1 4 を制御する。そして、通信ィンタフェース 1 5 a を介して送信先の情報処理装置又は通信装置へァ一タを送信するまた、外部ネットワーク側から内部ネッ卜ヮ一ク側へ送信するデータは、前述と同様の手順に従ってデータ処理装置 1 0 により中継される。このときデータ処理装置 1 0 は、信ィンタフェース 1 5 a 【こ飞受 1目した外部ネットヮ一ク側からのァ一タを一時的にバッファメモリ 1 3 に記憶させ、記憶させたデータについて解析を行うことにより、ある特定の C P U (以下、保護対象 C P U という）について不正処理を実行させるような命令コード（以下、不正コードという）がそのデータに含まれているか否かを判定する。バッファメモリ 1 3 に記憶させたデータを解析 ' 判定するにあたって、 C P U 1 1 は、本発明のコンピュータプログラムをメモリ 1 2 から読込んで実行し、自身の内部にデータを解析 ■ 判定するための環境を与える仮想 C P U実行環境部 1 1 a を作成する。仮想 C P U実行環境部 1 1 a は、保護対象 C P Uが用いるレジスタ、スタックに対応する仮想レジスタ、仮想スタック等を備えており、解析対象のデータを保護対象 C P Uの命令コードと解釈して仮想的にデコードし、そのときに生成されたパラメータ等を記憶する。そして、 C P U 1 1 は、仮想 C P U実行環境部 1 1 a が備える仮想レジスタ及び仮想スタツクの状態等を監視することで不正コードの有無を判定する。なお、本実施の形態では、 C P U 1 1、メモリ 1 2、及びバッファメモリ 1 3 を夫々個別に設ける構成としたが、ノッファメモリ及び本発明のコンピュータプログラムを記憶した I C ( Integrated Circuit ) を 1 つのチップに実装した A S I C ( Application Specified IC) 等を設ける構成としても良い。

第 2図はデータ処理装置 1 0が実行する処理を説明する模式図である。データ処理装置 1 0が実行する処理は、大別して（ 1 ) 外部ネットワークからのデータの受信、（ 2 ) 解析対象とするデータの抽出、（ 3 ) 解析対象のデータから派生させた複数の命令系列に対する解析、（ 4 ) 各命令系列における不正コ一ドの検出、に分かれる。以下では各処理について説明する。

( 1 ) データの受信

データ処理装置 1 0 の通信インタフェース 1 5 a は、接続された外部ネットワークの通信規格に準拠した通信手順に従って所定の単位（例えば、パケット単位）でデータを受信する。受信するデータの各単位は所定のバィト長を有しており、送信元及び送信先のァドレス情報を含んだ通信ヘッダ、並びにユーザが任意に作成したユーザデータから構成される。ユーザデータには、ユーザが所望する処理を実行させるための命令コ一ドが含まれており、当該命令コードによって不正処理が実行される虡がある。

( 2 ) 解析対象データの抽出

そこで、データ処理装置 1 0 は、受信したデータをバイト単位で順次的に抽出し、バッファメモリ 1 3 に記憶させて解析を行う。データの抽出を開始する位置、すなわち解析開始位置は予め定められた任意の位置とすることができる。例えば、受信したデータの先頭バイトを解析開始位置としても良く、通信ヘッダを除いたユーザデータの先頭バイトを解析開始位置としても良い。また、解析対象として抽出したデータを記憶させるバッファメモリ 1 3 のバッファサィズは予め定められており、保護対象 C P Uがデコードすることができる命令コードの内、最大の命令長を有する命令コードが少なくとも 1つ以上記憶されるようなサイズに予め設定されている。

( 3 ) 複数の命令系列の解析

次いで、バッファメモリ 1 3 に記憶させた解析対象データについて複数の命令系列を派生させながら解析を行う。ここで、命令系列とは解析対象データについて指定した位置から始まる保護対象 C P Uの命令コ一ドの並びをいう。

C P U 1 1 は、解析対象データについて解析を行うにあたり、バッファメモ V 1 3 の先頭バイトから順次的に 1 ノィトずつデータを

HK if ₀ し P U 1 1 f 、込んだ 1 バイトのデータが保護対象 C P

Uにおいてどのような命令コ一ドの先頭バィトに該当するか解釈し、その解釈結果に基づいて命令の種類、次の命令の開始位置、及び当該命令で使されるノヽ。ラメ一タを記憶する。実際には本発明のコンピュータプ P グラム中に保護対象 C P Uで使用される命令コードの先頭バイトの文ナコードと、当該命令コ一ドの命令長及び使用されるパラメ一タ等との間の対応関係を規定したテーブル（以下、命令テーブルという ) を有しており、 C P U 1 1 が本発明のコンビユータプログラムを π ― ドした際に育 IJ言己命令テ一ブルがメモリ 1 2上に格納される o C P U 1 1 は、当該命令テープルを参照することによつて、バッファメモリ 1 3から gin込んた 1バイトのデータの解釈を行 Ό 。

読込んだ 1 バイトのデータの解釈を終えた後、バッファメモリ 1 3からの読出し位置に対応する解析開始バッファ位置を .1バイトずらして更にデータを 1バイト読込み、読込んだデータの読出し位置を先頭バイトとした命令系列について解析を行う。このような処理を解析開始バッファ位置を順次的にずらしながら繰返して実行することにより、読出し位置が異なる複数の命令系列について解析を行ラ

また、解析を終えたバッファメモリ 1 3 の解析開始ノ^ V ファ位 fc には、受信したデータから次の読込みデータ位置のテ一タが sd憶れる

( 4 ) 不正コードの検出

次いで、データ処理装置 1 0 の C P U 1 1 は、仮； i C P U実行環境部 1 1 a が備える仮想レジスタ及び仮想スタックの状態等に基づいて特定の構造（出現パターン）を有する命令系列を検出するようにしており、特定の構造を有する命令系列を検出した場ム

1=1 、不正コ一ドを検出したと判定する。本実施の形態では以下の 2種類の構造を有するデータを検出する。

1 つは、分岐命令（以下、 j m p命令という）の分岐先が、命令コ一ド群を呼出す命令コード、以！ ^、 c a 1 1 ·ρ卩 " という ) のアドレスに対応付けられており、その c a 1 1 命令の呼出し先が、 j m p命令と c a l 1 命令との間のァドレスに対応している構造である以下では本構造を「； j m p → c a 1 丄」構造と称する通吊、後述する「 c a l l → p o p」構造と組み合わされ攻撃者の不正コードに見出されることが多い。

本構造をもつ不正コードでは、 j m p命令と c a 1 1 命令との間の命令コード群で c a 1 1 命令直後のアドレス（復帰先のアドレス）の情報を取得し、そのァドレスを手掛かりとして不正コード自身の中に埋め込まれた外部コマンドを取得し、当該外部コマンドを実行したり、不正コード自身を書き換えたりすることが行われる。

もう 1つは、 c a l l 命令の呼出し先において、 p u s h命令が先行しない p o p命令が存在する構造である。ここで、 ^ u s h命令は、ァドレス値等をスタック領域へ一時的に格納させるための命令であり、 p o p命令は、逆にスタック領域へ格納されたアドレス値等を取得する命令である。以下では本構造を「 c a 1 1 → p o p」構造と称する。

本構造をもつ不正コードも基本的には前述の「 j m p → c a 1 1 J 構造と同様の手法を用いて、外部コマンドを実行したり、不正コード自身を書き換えたりする。すなわち、 c a 1 1 命令が実行されたときに、スタック領域に格納される復帰先のアドレスの情報を P o p命令により取得し、そのァドレスを手掛かりとして、外部コマンドを実行したり、不正コード自身を書き換えたりする。

前述の 2種類の命令構造は一般のデータに見られる構造ではないため、データ処理装置 1 0がそれらの構造を持つ命令コードの出現パターンを検出した場合、不正コードが含まれている蓋然性が高いと判定する。

なお、「 j m p → c a 1 1 」構造、及び「 c a 1 1 — > ρ ο ρ」構造を用いた不正コ一ドの動作については、後に詳述することとする。

第 3 図は解析対象データの構成を説明する模式図である。保護対象 C P Uで使用される命令コ一ドの命令長は必ずしも一定ではなく、様々な命令長の命令コードを使用する場合がある。また、受信するデータには、例えば、画像データ、文書データ等の命令コードではない単なるデータが含まれている場合もある。したがって、解析対象とするデータの読出し位置を適切に設定しないときは、命令コードを正しく解釈できない虞があり、不正コードの有無についての判定を誤る場合が生じる。

そこで、本実施の形態では、単なるデータと命令コードとの境界及び 2つの命令コード間の境界（命令境界）を正しく把握するために、ノくッファメモリ 1 3 に記憶させた解析対象のデータを 1 バイトずつ読込み、それをある命令コードの先頭バイトとみなしてデータの解析を進める。前述した命令テーブルを参照することにより、読込んだ 1 バイトのデータから次の命令コードの位置が分かるため、順次的に命令コードを把握することが可能となり、解析対象データを複数の命令コードが連続した 1 つの並び（命令系列）と解釈することができる。また、 1 バイトずつデータの読込み位置をずらしながら解釈を行うため、先頭バイトの位置がそれぞれ異なる複数の命令系列を順次的に派生させることができ、それらの命令系列の中に含まれることとなる正しい命令境界を持つ命令系列について解析を行うことが可能となる。

以下、第 3 図を用いて具体的に説明する。第 3 図に示した解析対- 象デ一タは、先頭から 4バイトの単なるデータ、 2バイトの命令コード (命令 1 ) 、 4バイトの命令コード (命令 2 ) 、 4バイトの命令コード（命令 3 ) 、 1 バイトの命令コード（命令 4 ) …が連続したデータである。まず、解析開始バッファ位置を b 1 に設定して 1 バイトのデータを読込み、命令内容、次の命令コードの位置、及びその命令コードで使用されるパラメータ等の情報を取得するとともに、 b 1 を先頭バイトとした命令系列 1 についての解析を始める。そして、解析開始バッファ位置を b 2 , b 3 ， b 4 … と順次的にずらしながら、各読込み位置が先頭バイトとなる命令系列 2、命令系列 3 、命令系列 4 …についての解析を同時並行して行う。第 3 図に示した例では、 b 5 の位置を先頭バイトとした命令系列 5 が正しい命令コードの並びとなり、命令系列 5 を解析したときに「； j m p → c a 1 1 」構造、又は「 c a 1 l → p ₀ p 」構造が検出された場合に、不正コードを検出したと判定する。

なお、 b 7 から始まるデータ系列 7 、 b 1 1 から始まるデータ系列 1 1 、及ぴ b 1 5 から始まるデータ系列 1 5 等はデータ系列 5 の一部として含まれているため、データの解析を省略することができる。

以下では、データ処理装置 1 0 による不正コードの検出手順について説明する。第 4図及び第 5図はデータ処理装置 1 0 による不正コードの検出手順を説明するフローチャートである。外部ネットヮークからのデータを通信インタフェース 1 5 a にて受信した場合、まず、読込みデータ位置、及び解析開始位置を初期化し（ステップ S 1 ) 、バッファメモリ 1 3へデータを読込む (ステップ S 2 ) 。この初期段階での読込みでは、バッファメモリ 1 3 のバッファサイズ分だけデータを読込む。そして、読込データ位置にバッファサィズを加算した位置を次の読込データ位匱として設定する (ステップ S 3 ) 。また、解析中の命令系列がある場合には、その命令系列の集合を初期化する (ステップ S 4 ) 。

そして、解析開始バッファ位置のデータが受信したデータの終端であるか否かを判断する（ステップ S 5 ) 。解析開始バッファ位置のデータが終端した場合 ( S 5 ： Y E S ) 、本フローチャートによる不正コードの検出処理を終了し、解析開始バッファ位置のデータが終端していない場合（ S 5 ： N O ) 、解析開始バッファ位置のデータを 1バイト読込む (ステップ S 6 ) 。次いで、読込んだ 1バイトのデータに基づいて次の命令開始位置、命令の種類、及びパラメータを取得し、それらをメモリ 1 2 に記憶させる（ステップ S 7 ) 。

次いで、 C P U 1 1 は、解析中の命令系列の中で、現在位置が記憶させた次の開始位置に一致する命令系列があるか否かを判断する

(ステップ S 8 ) 。現在位置と記憶させた次の開始位置とがー致する命令系列がある場合（ S 8 ： Y E S ) 、それらすベての命令系列について後述する解析 ■ 判定処理を実行する（ステップ S 1 0 ) 。現在位置と記憶させた次の開始位置とがー致する命令系列がない場合（ S 8 ： N O ) 、現在位置から始まる命令系列を解析 · 判定処理の対象とするために新しい命令系列として追加した上で（ステツプ S 9 ) 、解析 . 判定処理を実行する（ S 1 0 ) 。

次いで、書込みバッファ位置を解析開始バッファ位置とし（ステップ S 1 1 ) 、読込みデータ位置を 1つだけ増加させる（ステップ S 1 2 ) 。そして、読込みデータ位置からバッファメモリ 1 3上の書込みバッファ位置へデータを 1バイト読込む（ステップ S 1 3 )。次いで、解析バッファ位置を 1つだけ増加させた値をバッファサイズで除算したときの余りを次の解析開始バッファ位置として設定し (ステップ S 1 4 ) 、処理をステップ S 5へ戻し、解析を繰返し行う

第 6図は解析 ■ 判定処理ルーチンの手順を説明するフローチヤ一トである。バッファメモリ 1 3から読込んだ 1バイトのデータが命令コードの先頭バイトに該当するものを含んだ命令系列の全てについて後述の解析処理を行う (ステップ S 2 1 ) 。解析処理については後に詳述することとするが、ここでは、読込んだ 1バイトのデ一タを元に命令テーブルを参照して、命令の内容及び使用するパラメータ、並びに次の命令の位置等を記憶するとともに、仮想 C P U実行環境部 1 1 a 内の仮想スタック内の状態を監視して解析を行う。

解析処理が終了した場合、 C P U 1 1 は解析した命令系列が終端したか否かを判断し (ステップ S 2 2 ) 、また、命令系列が終了していない場合（ S 2 2 ： N O ) 、本解析 ■ 判定処理ルーチンを終了して、第 5図のステップ S I 1 の処理へ移行させる。

また、命令系列が終端したと判定した場合（ S 2 2 ： Y E S ) 、後述する判定処理を行う（ステップ S 2 3 ) 。そして、 C P U 1 1 は、その判定処理の結果を受けて不正コードを検出したか否かを判断し（ステップ S 2 4 ) 、不正コードを検出していないと判断した場合（ S 2 4 ·· N O ) 、現在の命令系列を削除し（ステップ S 2 6 ) 、不正コードを検出したと.判断した場合 ( S 2 4 ： Y E S ) 、不正コ一ドを検出した旨の情報を出力する（ステクプ S 2 5 ) 情報の出力は、通信インタフエース 1 5 b を介して内部ネッ卜ヮ一クに接続された情報処理装置へ送信する構成でめつてあよく、また、データ処理装置 1 0 に文字情報として表示する表示部、又は光により報知する発光部を設けて出力する構成であつてあよい。またヽ不正コードを検出した旨の情報を出力した後に通信を遮断するよな処理を行う構成としても良い。

、、/1及び第 8図はデ一タ処理装置 1 0 の解析処理により検出する命令コードの出現パタ一ンを説明する模式図である。第 7図では

「 j m ρ → c a 1 1 」構造を用レ、た不正 — ドの要部構成を示し、第 8 図には「 c a 1 1 → P o p j 構造を用いた不正 · Kの要部構成を示す。

刖述し / よつに「 j m p c a 1 1 J ォ冓は、当該〗 m p命令の分岐先力 S c a 1 1 命令のァド、レスに対応し、その c a 1 1 命令の呼出し先が j m p命令と c a 1 1 命令との間にあるような構造を有している (第 7図 ( b ) 参照 ) 。第 7図 ( a ) に示した例では、ァドレス A 1 の j m p命令によつて、ァド、レス A 1 0 の c a 1 1 命令へ分岐し、その c a 1 1 命令によってァド、レス A 2 〜A 6 の命令コード群を呼出している。アドレス A 1 0 の c a 1 1 命令が実行されたとき、その c a 1 1 命令の復帰先のァド、レス ( A 1 1 ) がスタック領域に一時的に格納されるスタツク領域に格納された復帰先のァドレスは、 P o p命令により取得できるため、そのァドレスを手がかりとして外部コマンドを実行させる - とが可能となる。すなわち、第 7図に示した不正コードは、ァドレス A 2 の p o p命令により c a 1 1 命令の復帰先であるァドレス A 1 1 を取得し、ソフトウェア割込みである i n t命令によりシステムコールの呼出して、攻撃者がアドレス A 1 1 に作成した外部コマンド（例えば、シェルプログラム）を実行させる構成である。 - 次に、「 c a 1 1 → p o p」構造は、 c a 1 1 命令の呼出先の命令コード群において _p u s h命令が先行しない p o p命令を有する構造をしている（第 8図（ b ) 参照）。第 8図（ a ) に示した例では、アドレス A 1 の c a 1 1 命令によって、 A 1 6〜A 2 0 の命令コード群を呼出し、その中で p o p命令により c a 1 1 命令の復帰先のァドレスを取得している。なお、第 8図 ( a ) に示した例では、 c a 1 1 命令の直後に起動したい外部コマンドの文字列を配置する構成とせずに、攻撃者が予め定めた固定長のダミーの命令コードを挿入しているが、この場合でも前述と同様の効果が得られる。すなわち、第 8図（ a ) に示した例では、 c a 1 1 命令の呼出し先の命令コード群に存在する p u s h命令が先行しない； o p命令により、 c a 1 1 命令の復帰先であるァドレス A 2を取得し、演算処理によつてァドレス A 7の値を算出してァドレス A 2 0 の i n t命令によりシステムコールを呼出し、ァドレス A 7に配置された文字列の外部コマンド (シェルプログラム）を実行させる構成としている。

なお、第 7図及び第 8 図に示したァドレスは便宜的に付与したァドレスであって、必ずしもスタック領域上の連続したメモリァドレスを表している訳ではない。

第 9図〜第 1 3図は解析処理ルーチンの処理手順を説明するフロ一チャートである。データ処理装置 1 0の C P U 1 1 は、前述の命令テーブルを参照することにより、バッファメモリ 1 3から読込んだ 1バイトのデータから始まる命令系列が j m p命令であるか否かを判断する（ステップ S 3 1 ) 。 j m p命令であると判断した場合 ( S 3 1 ： Y E S ) 、当該 j m p命令により指示される分岐先のァドレスが、現在位置のアドレスよりも大きいか否かを判断する（ステツプ S 3 2 ) 。分岐先のァドレスが現在位置のァドレスよりも小さいと判断した場合（ S 3 2 ： N O) 、本ルーチンを終了して解析 - 判定処理ルーチンへ処理を戻す。

また、分岐先ァドレスが現在位置のァドレスよりも大きいと判断した場合（ S 3 2 : Y E S ) 、メモリ 1 2内の所定の記憶領域（以下、分岐先テーブルとする）に既に記憶された分岐先アドレスが存在するか否かを判断する (ステップ S 3 3 ) 。分岐先テーブルに既に記憶された分岐先ァドレスが存在しない場合 ( S 3 3 ： N O ) 、ステップ S 3 1 で検出した j m p命令の分岐先ァドレスを分岐先テ ―ブルに記憶する (ステップ S 3 4 ) 。また、既に記憶された分岐先のアドレスが存在する場合（ S 3 3 ： Y E S ) 、小さい方の分岐先のァドレスを選択して (ステップ S 3 5 ) 、分岐先テーブルに記憶させる分岐先ァドレスを更新する (ステップ S 3 6 ) 。

分岐先ァドレスを更新又は記憶した場合、次の命令位置をメモリ 1 2 に記憶させ (ステップ S 3 7 ) 、処理を解析 ■ 判定処理ルーチンへ戻す。

ステップ S 3 1 において j m p命令でないと判断した場合 ( S 3 1 ： N O ) 、バッファメモリ 1 3から読込んだ 1 バイトのデータが i n t命令であるか否かを判断する (ステップ S 4 1 ) 。 i n t命令であると判断した場合（ S 4 1 ： Y E S ) 、 i n t命令を検出した旨をメモリ 1 2に記憶させる（ステップ S 4 2 ) 。そして、前述の分岐先テーブルに既に記憶された分岐先アドレスがあるか否かを判断する（ステップ S 4 3 ) 。分岐先テーブルに記憶された分岐先テープルがない場合（ S 4 3 ： N O ) 、現在解析している命令系列を終端させ（ステップ S 4 4 ) 、処理を解析 ■ 判定ルーチンへ戻して後述する判定処理へ移行させる。また、既に記憶された分岐先アドレスがある場 A ( S 4 3 ： Y E

S ) 、現在位置のアドレスが分岐先テーブルに記 ' された分岐先ァドレスよりも大きいか否かを判断する（ステップ S 4 5 ) 現在位置のァドレスが記憶された分岐先ァドレスよりも小さい場 a ( S 4

5 ： N O ) 、現在解析している命令系列を終端させ（ S 4 4 ) 、解析 · 判定処理ルーチンへ戻して判定処理へ移行させるまた、現在位置のァドレスが記憶された分岐先ァドレスよりも大さレ、場合（ s

4 5 ： Y E S ) 、命令系列を終端させることなく解析 • 判定処理ル一チンへ処理を戻す。

ステップ S 4 1 において i n t命令でないと判断した場合（ S 4 1 ： N O ) 、ノッファメモリ 1 3から読込んだ 1バイトのデータから始まる命令コードが c a 1 1 命令であるか否かを判断する (ステップ S 5 1 ) 。 c a 1 1 命令であると判断した場合 ( S 5 1 ： Y E S ) 、当該 c a 1 1 命令の呼出先アドレスが現在位置のアドレスよりも大きいか否かを判断する (ステップ S 5 2 ) 。呼出先ァドレスが現在位置のァドレスよりも大きいと判断した場合 ( S 5 2 ： Y E S ) 、既に記憶された呼出先ァドレスがあるか否かを判断する (ステツプ S 5 3 ) 。既に記憶された呼出先ァドレスがない場合 ( S 5 3 ： N O ) 、ステップ S 5 1 で検出した c a 1 1 命令の呼出先アドレスを記憶させる（ステップ S 5 4 ) 。また、既に記憶された呼出先ァドレスがある場合 ( S 5 3 ： Y E S ) 、小さい方の呼出先ァドレスを選択して（ステップ S 5 5 ) 、記憶している呼出先アドレスを更新する（ステップ S 5 6 ) 。

呼出先アドレスを更新又は記憶した場合、次の命令位置から数バィトのデータをコマンドデータとしてメモリ 1 2 に記憶させる（ステツプ S 5 7 ) 。

ステップ S 5 2 において、ステップ S 5 1 で検出した c a 1 1 命令の呼出先ァドレスが現在位置よりも小さいと判断した場合（ S 5 2 ： N O ) 、次の命令位置から数バイトのデータをコマンドデータとしてメモリ 1 2に記憶させる（ステップ S 5 8 ) 。

そして、 p o p命令が置かれた場所のリストに呼出先ァドレスがあるか否かを判断する (ステップ S 5 9 ) 、ここで、リストとは、 p o p命令が置かれているアドレスをリスト形式で記憶させている記憶領域のことをいう。リスド上に呼出先アドレスがあると判断した場合（ S 5 9 ： Y E S ) 、「 c a l l → p o p」構造を検出した旨をメモリ 1 2 に記憶させ（ステップ S 6 0 ) 、現在解析している命令系列を終端させる (ステップ S 6 1 ) 。命令系列を終端させた場合、処理を解析 · 判定処理ルーチンへ戻し、判定処理へと移行させる。

リスト上に呼出先ァドレスがないと判断した場合（ S 5 9 : N O)、 i n t命令が検出されているか否かを判断し（ステップ S 6 2 ) 、 i n t命令が検出されていない場合（ S 6 2 ： N O ) 、命令系列を終端させることなく処理を解析 · 判定処理ルーチンへ戻す。

i n t命令が検出されている場合 ( S 6 2 ： Y E S ) 、分岐先テ一ブルを参照して j m p命令の分岐先ァドレスが現在位置のァドレスょり小さいか否かを判断する (ステップ S 6 3 ) 。分岐先ァドレスが現在位置より大きいと判断した場合 ( S 6 3 ： N O ) 、命令系列を終端させることなく処理を解析 ■ 判定処理ルーチンへ戻す。

分岐先アドレスが現在位置より小さいと判断した場合（ S 6 3 ： Y E S ) 、呼出先アドレスが j m p命令と現在位置との間にあるか否かを判断する（ステップ S 6 4 ) 。呼出先アドレスが j m p命令と現在位置との間にない場合（ S 6 4 ： N O ) 、命令系列を終端させることなく処理を解析 ' 判定処理ルーチンへ戻す。また、呼出先ァドレスが j m p命令と現在位置との間にあると判断した場合（ S 6 4 ： Y E S ) 、「； j m p → c a 1 1 」構造を検出した旨をメモリ 1 2 に記憶させ（ステップ S 6 5 ) 、現在解析している命令系列を終端させる（ステップ S 6 6 ) 。命令系列を終端させた場合、処理を解析 · 判定処理ルーチンへ戻し、判定処理へと移行させる。

ステップ S 5 1 において c a 1 1 命令でないと判断した場合（ S 5 1 ： N O ) 、ノッファメモリ 1 3力ら読込んだ 1 ノイトのデータから始まる命令コードが p o p命令であるか否かを判断する（ステップ S 7 1 )。 p o p命令であると判断した場合（ S 7 1 ： Y E S ) 、リストに現在位置のァドレスを記憶させる (ステップ S 7 2 ) 。そして、 c a 1 1 命令の呼出先アドレスが現在位置のアドレスに一致するか否かを判断する (ステップ S 7 3 ) 。一致する場合（ S 7 3 ： Y E S ) 、 Γ c a 1 1 → p o p j 構造を検出した旨をメモリ 1 2 に記憶させ（ステップ S 7 4 ) 、処理を解析 ' 判定処理ルーチンへ戻す。また、 c a l l 命令の呼出先アドレスが現在位置のアドレスに一致しない場合 ( S 7 3 ： N O ) 、処理を解析 ' 判定処理ルーチンへ戾す。

なお、解析対象データにおいて、 j m p命令と c a 1 1 命令との間、又は c a 1 1 命令と p o p命令との間にダミーのデータが揷入されているケースでは、命令境界を正しく解釈できない場合があり、 1つの命令系列の中で「； j m p → c a 1 1 」構造、及び「 c a 1 1 → p o p j 構造を検出できないことがある。しかしながら、本実施の形態では、次の命令位置よりも大きい分岐先ァドレスをもつ j m P命令、及び次の命令位置よりも大きい呼出先アドレスをもつ c a 1 1 命令を検出した場合、分岐先アドレス及び呼出先アドレスを、それぞれの次の命令コードの開始位置として解析を行うため、ダミ一のデータが挿入されている場合にも前述の「； j m p → c a 1 1 J 構造、及び「 c a ί 1 → ρ ₀ ρ」構造を検出することができる。ステップ S 7 1 において c a 1 1 命令でないと判断した場合（ S 7 1 ： N O ) 、 / ッファメモリ 1 3 から読込んだ 1バイトのデータ力 r e t命令、 1 r e t命令、 i n t 3命令、又は i r e t命令の何れかであるか否かを判断する（ステップ S 8 1 ) 。これらの命令は何れも呼出先のルーチンから呼出元のルーチンへ制御を戻すための命令を表している。前述の何れかの命令である場合には（ S 8 1 ： Y E S )、現在解析している命令系列を終端させ（ステップ S 8 2 )、処理を解析 · 判定処理ルーチンへ戻す。また、前述の何れの命令でもないと判断した場合 ( S 8 1 ： N O ) 、命令系列を終端させることなく、処理を解析 ' 判定処理ルーチンへ戻す。

第 1 4図は判定処理ルーチンの処理手順を説明するフローチヤ一トである。データ処理装置 1 0の C P U 1 1 は、前述の解析処理ル一チンによって終端した命令系列に i n t命令が検出されているか否かを判断する（ステップ S 9 1 ) 。 i n t命令が検出されていない場合 ( S 9 1 ： N O ) 、割込み処理によりシステムコ一ルが呼出されて外部コマンドが実行されることがないため、不正コード無しと判定する (ステップ S 9 2 ) 。

解析処理により終端した命令系列に i n t命令が検出されている場合（ S 9 1 ： Y E S ) 、 C P U 1 1 は、「 c a 1 l → p o p」構造、又は「： j m p→ c a 1 1 」構造が検出されているか否かを判断する（ステップ S 9 3 ) 。何れの構造も検出されていない場合（ S 9 3 ： N O) 、不正コード無しと判断する（ S 9 2 ) 。

「 c a 1 l → p o p」構造、又は「； j m p→ c a 1 1 」構造の何れかを検出した場合（ S 9 3 ： Y E S ) 、コマンドデータにパスの区切りを表す" /" に対応する文字コードがあるか否かを判断する (ステップ S 9 4 ) 。コマンドデータに前記文字コードがない場合 ( S 9 4 ： N O ) 、不正コード無しと判定する（ S 9 2 ) 。また、コマンドデータに前記文字コードがある場合（ S 9 4 ： Y E S ) 、割込み処理によってシステムコールが呼出されて外部コマンド（シエルコード）が実行される蓋然性が高いと判断し、不正コード有りと判定する（ステップ S 9 5 ) 。

なお、本実施の形態では、不正コドの検出ネ月 &を ί¾めるために外部コマンドにノヽ⁰スの区切りを示す / " が含まれているか否かを判断して傍証を行うようにしているが、ステ Vプ S 9 3で Γ j m p

→ c a 1 1 」構造又は「 c a 1 1 → P o 」構造を検出した段階で不正コード有りと判定するようにしても良いしたがつてヽ検出冃度が要求されるような環境での使用が予定されている場 a にはステップ S 9 4による傍証まで行い、検出精度が要求されないような環境での使用が予定されている場合にはステツプ S 9 4による傍証を省略するようにしても良い < 〕

また、本実施の形態では、パスの区切りを表す文字コ一の例として " / " を挙げたが、異なる種類の保 αΜ対象 C P Uではヽパスの区切りを示す文字コードとして" ¥ "が使用されてレヽる場 Π ちあり、傍証に用いる文字コードは必ずしも / " に限定されずヽ保護対象

C P Uの種類に応じて予め設定しておくことが必要となる。

(第 2実施の形態）

第 1 実施の形態で説明した解析 · 判定処理ルーチンを用いて不正コードを検出する手法の他に、本実施の形態で説明するルーチンを用いて不正コードを検出することも可能である。なお、データ処理装置 1 0のハードウェアの構成、第図及.び第 5図に示したデータの読込みに関するルーチン、及び第 6図に示した解析 · 判定処理ル一チンは、本実施の形態においてもそのまま援用できる.ため、その説明は省略することとする。

第 1 5図〜第 1 9図は本実施の形態に係る解析処理ルーチンの処理手順を説明するフローチャートである。データ処理装置 1 0 の C P U 1 1 は、まず、状態、変数、カウンタのそれぞれに付随する生存期間をデクリメントする（ステップ S 1 0 1 ) 。本実施の形態では解析中の状況を示すパラメータとして状態、変数、及ぴカウンタを導入しており、それぞれのパラメータをセットしたときに生存期間として正の既定値をセットするようにしている。後述するように、状態としては、 p o p命令が出現するとを待機している状態を示す「 P o 命令待機中」状態、「 c a 1 1 → p o p」構造を確認すべき状態にあることを示す「 c a 1 1 → p o p確認」状態を導入す

O。 3；た、変数としては、 u s h命令及び P o p命令の出現回数の/ ランスを調べるための P u s li 一 P o p バランス変数を導入すた、カウンタには、「 c a 1 1 → p o p」構造が出現する蓋然性が高い状態を計数する c a 1 1 → P o p確認、カウンタを導入する。生存期間は、各パラメータ毎に予め設定された値であり、解析処理ル一チンを繰り返す毎に 1ずつ減少させてゆくことで、解析処理ルーチンの実行回数に対する有効性を示している。なお、本ステップで生存期間をデクリメントした果、生存期間が 0 となったものは、ここで初期化が行われる。

次いで、 C P U 1 1 は、命令テ ―ブルを参照することにより、バッファメモリ 1 3から読込んだ 1 ノ^ィトのデータが j m p命令である力否かを判断する (ステップ S 1 0 2 ) 。 j m p命令であると判断した場合（ S 1 0 2 ： Y E S ) 、当該 j m p命令により指示される分岐先アドレスが、次の命令位置よりも大きいか否かを判断する

(ステップ S 1 0 3 ) 。分岐先ァド、レスが次の命令位置よりも小さいと判断した場合（ S 1 0 3 ： N O ) 、本ルーチンを終了して解析 - 判定処理ルーチンへ処理を戻す。

また、分岐先アドレスが次の命令位置よりも大きいと判断した場合（ S 1 0 3 ： Y E S ) 、分岐先アドレスとともに次の命令位置を対として分岐先リストに記憶する（ステップ S 1 0 4 ) 。ここで、分岐先リストは複数のァドレスを記憶できるリスト形式の記憶領域であり、メモリ 1 2 内にその記憶領域が確保される。そして、次の命令位置を分岐先アドレスに変更した後（ステップ S 1 0 5 ) 、処理を解析 · 判定処理ルーチンへ戻す。

ステップ S 1 0 2 において； j m p命令でないと判断した場合（ S 1 0 2 ： N O ) 、 C P U 1 1 は、バッファメモリ 1 3 から読込んだ 1 バイトのデータが c a 1 1 命令であるか否かを判断する (ステツプ S 1 0 6 ) 。 c a 1 1 命令であると判断した場合 ( S 1 0 6 ： Y E S ) 、呼出先ァドレスが次の命令位置より大きいか否かを判断する (ステップ S 1 0 7 ) 。呼出先ァドレスが次の命令位置よりも大きいと判断した場合 ( S 1 0 7 ： Y E S ) 、呼出先ァドレスと次の命令位置との差が既定値（例えば、 1 0バイト程度）より小さいか否かを判断する (ステップ S 1 0 8 ) 。差が既定値よりも大きいと判断した場合（ S 1 0 8 ： N O ) 、処理を解析 · 判定処理ルーチンへ戻す。

差が既定値よりあ小さいと判断した場合 ( s 1 0 8 ： Y E S ) 、 p u s h 一 o p ノ^ランス変数をクリアし , Γ P o p命令待機中」状態であることを記憶する（ステツプ S 1 0 9 ) 。本実施の形態では、 c a 1 1 命令から 1 0バイト程度の fa囲内にその呼出先ァドレスが有る場合、 s h命令が先行しない P o P命令を検出するために、 p u s h — p o p ノくランス変数を導入する。すなわち、ステップ S 1 1 8以降で、 u s h命令を見つけた場合、 u s h — p o p ノランス変数をインクリメントし、 p o p命令を見つけた場合、 P u s h - p o p バランス変数をデクリメントして、最終的に p U s h - p o pバランス変数の正負を判定することで p u s h命令が先行しない： o p命令を検出するようにしている。

「 p o p命令待機中」状態であることを記憶した後、 C P U 1 1 は、次の命令位置を呼出先アドレスに変更し（ステップ S 1 1 0 ) 、処理を解析 ■ 判定処理ルーチンへ戻す。

一方、ステップ S 1 0 7 において、 c a l 1 命令の呼出先アドレスが次の命令位置よりも小さいと判断した場合（ S 1 0 7 ： N O ) 、呼出先ァドレスが解析開始位置より小さいか否かを判断する（ステップ S 1 1 1 ) 。呼出先アドレスが解析開始位置よりも小さいと判断した場合（ S 1 1 1 ： Y E S ) 、処理を解析 ' 判定処理ルーチンへ戻す。また、呼出先アドレスが解析開始位置よりも大きいと判断した場合 ( S 1 1 1 ： N O ) 、前述した分岐先リストに記憶されている次の命令位置と分岐先ァドレスとの間に、呼出先ァドレスが位置するものがあるか否かを判断する（ステップ S 1 1 2 ) 。次の命令位置と分岐先ァドレスとの間に、呼出先ァドレスが位置するものがある場合（ S 1 1 2 ： Y E S ) 、 p o p命令が置かれた場所のリスト内のアドレスが、呼出先アドレスから所定範囲（例えば、数バィト）内に存在するか否かを判断する（ステップ S 1 1 3 ) 。

呼出先ァドレスから所定範囲内に、 p o p命令が置かれた場所のリスト内のアドレスが存在する場合（ S 1 1 3 ： Y E S ) 、呼出先ァドレスが、 p o p命令が置かれた場所のリスト内のァドレスに一致するか否かを判断する（ステップ S 1 1 4 ) 。そして、一致すると判断した場合（ S 1 1 4 ： Y E S ) 、「 c a 1 l → p o p」構造を検出した旨を記憶し（ステップ S 1 1 5 ) 、一致しない場合（ S 1 1 4 _: N O) 、「； i m p → _C a l l 」構造を検出した旨を記憶する（ステップ S 1 1 6 ) 。そして、命令系列を終端させ（ステップ S 1 1 7 ) 、処理を解析 ' 判定処理ルーチンへ処理を戻す。なお、ステップ S 1 1 2において、呼出先アドレスが次の命令位置と分岐先アドレスとの間にない場合（ S 1 1 2 ： N O ) 、ステップ S' 1 1 3 において、呼出先ァドレスから所定範囲内に、 p o p命令が置かれた場所のリスト内のアドレスが存在しない場合（ S 1 1 3 : N〇）、命令系列を終端させることなく解析 · 判定処理ルーチンへ処理を戻す。

ステップ S 1 0 6 において c a 1 1 命令でないと判断した場合 ( S 1 0 6 ： N O ) 、 C P U 1 1 は、バッファメモリ 1 3から読込んだ 1バイトのデータが p o p命令であるか否かを判断する (ステップ S 1 1 8 ) 。 p o p命令であると判断した場合 ( S 1 1 8 ： Y E S ) 、リストに現在位置を記憶し（ステップ S 1 1 9 ) 、 p u s h — p o p バランス変数をデクリメントする（ステップ S 1 2 0 )。そして、 C P U 1 1 は、現在の状態が「 p o p命令待機中」状態であり、しかも p u s h — p o p バランス変数が負であるか否かを判断する（ステップ S 1 2 1 ) 。「 p o p命令待機中」状態であり、しかも p u s h - p o p バランス変数が負であると判断した場合 ( S 1 2 1 ： Y E S ) 、 p o p命令で使用されたレジスタ番号を記憶し、「 c a 1 l → p o p確認」状態であることをメモリ 1 2 に記憶する (ステップ S 1 2 2 ) 。そして、 c a 1 1 → p o p確認カウンタをクリアした上で (ステップ S 1 2 3 ) 、処理を解析 · 判定ル一チンへ戻す。また、「 p o p命令待機中」でない場合、又は p u s h - p o pバランス変数が負でない場合 ( S 1 2 1 ： N O ) 、本ルーチンを終了して解析 ■ 判定処理ルーチンへ処理を戻す。

ステップ S 1 1 8 において p o p命令でないと判断した場合（ S 1 1 8 ： N O ) 、 C P U 1 1 は、ノッファメモリ 1 3力ら読込んだ 1バイトのデータが p u s h命令であるか否かを判断する（ステツプ S 1 2 4 ) 。 p u s h命令であると判断した場合（ S 1 2 4 : Y E S ) 、 p u s h — p o p バランス変数をインクリメントした上で (ステ Vプ S 1 2 5 ) .、処理を解析 ■ 判定処理ルーチンへ戻す。

ステシプ S 1 2 4 に：お、て： u s h命令でないと判断した場合

( S 1 2 4 ： Ν Ο ) 、 C P U 1 1 は、ノッファメモリ 1 3 から読み込んだ 1 バイトのテ一タが m o V命令である力、又は論理演算命令であるか否かを判断する (ステップ S 1 2 6 ) 。 m o V命令又は論理演算命令であると判断した場合（ S 1 2 6 : Y E S ) 、「 c a l

1→ p o Ρ確認」状態でメモリァドレッシングのベースレジスタに ad憶されてレヽるレジスタ番号を使用しているか否かを判断する (ステツプ S 1 2 7 ) 記レジスタ番号を使用していると判断した場合（ S 1 2 7 ： Υ E S ) 、 c a 1 1→ p o p確認カウンタをインクリメン卜し（ステップ S 1 2 8 ) 、 c a 1 l → p o p 確認、カウンタの値が既定値（例えばヽ 3 〜 5程度）以上であるか否かを判断する

(ステプ S 1 2 9 ) c a 1 l → p o p確認カウンタの値が既定値以上であると判断した合（ S 1 2 9 : Y E S ) 、「 c a l l → p o J 構造を検出したを記憶し (ステップ S 1 3 0 ) 、命令系列を終端させた上で（ステップ S 1 3 1 ) 、処理を解析 ' 判定処理ルーチン 3 なお、ステツプ S 1 2 7 において、記憶されているレジスタ番号を使用していないと判断した場合（ S 1 2 7 ： N〇）、また、ステツプ s 1 2 9 において、 c a l l → p o p確認カウンタの値が既定値よりも小さいと判断した場合（ S 1 2 9 ： N O ) 、命令系列を終端させることなく処理を解析 ·判定処理ルーチンへ戻す。

ステップ S 1 2 6 において、 m o V命令でも論理演算命令でもないと判断した場合 ( s 1 2 6 ： N O) 、終端命令とマークされた命令であるか否かを判断する (ステップ S 1 3 2 ) 。本実施の形態では、命令コードとその命令コードの命令長等との関係を規定した命令テーブルを用いているが、その命令テーブルにて終端命令を予めマークしておくことで、終端命令とマークされた命令であるか否かを判断することができる。終端命令としてマークしておくべき命令には以下のものが存在する。（ 1 ) システムプログラムでしか使われない保護機能命令（A R P L , L G D T， L I D T , S G D T , S I D T , L L D T , L T R， S L D T , S T R， L M S W, S M S W , L A R , L S L， V E R W , C L T S , H L T，コント口一ルレジスタ、デバックレジスタに対する M O V等）、（ 2 ) セグメントセレクタを使用する命令 ( m o V , u s h , p o p の一部、 L E S， L D S等）、（ 3 ) 入出力命令（ I N , O U T , I N S , O U T S等）、（ 4 ) まれにしか使用されない命令（D A A, D A S , AA A , A A S , B O U N D , P U S H F , P O P F , S A H F， L A H F ) 、 ( 5 ) 関数又は割込みルーチンの開始、終了を指示する命令（ E N T E R , L E A V E , R E T , L R E T , I N T 3 , I N T O , I R E T ) 。なお、これらの命令は、特定の C P U に特化した命令であり、保護対象 C P Uが変われば終端命令としてマークしておくべき命令が変わるのは勿論のことである。ステップ

S 1 3 2 において、終端命令とマークされた命令であると判断した場合 ( S 1 3 2 ： Y E S ) 、解析中の命令系列を終端させた上で ( S 1 3 1 ) 、処理を解析 · 判定処理ルーチンへ戻し、終端命令とマークされた命令でないと判断した場合 ( S 1 3 2 ： N O ) 、命令系列を終端させることなく処理を解析'判定処理ルーチンへ戻す。また、終端命令を検出する代わりに、不正なァドレッシング形式を持つ命令を検出した場合、不正なプレフィッタスが使用されていることを検出した場合にも、命令系列を終端させた上で処理を解析 ■ 判定処理ルーチンへ戻すようにしても良い。

第 2 0図は本実施の形態に係る判定処理ルーチンの処理手順を説明するフローチャートである。本判定処理ルーチンでは、データ処理装置 1 0 の C P U 1 1 が、「 c a 1 l → p o p」構造又は「； j m p→ c a 1 1 」構造が検出されているか否かを判断し（ステップ S 1 4 1 ) 、何れかの構造が検出されたと判断した場合（ S 1 4 1 ： Y E S ) 、不正コード有りと判定し（ステップ S 1 4 2 ) 、何れの構造も検出されていないと判断した場合（ S 1 4 1 ： N O ) 、不正コード無しと判定する（ステップ S 1 4 3 ) 。そして、解析 ' 判定処理ルーチンへ処理を戻す。

(第 3実施の形態）

第 1 実施の形態では、ルータ、ブロードバンドルータ、スィッチ等のデータ通信で利用される中継装置に本発明を適用した形態について説明したが、パーソナルコンピュータ、サーバ装置、携帯電話機、 P D A等の通信機能を有した情報処理装置に適用することも可能である。

第 2 1 図は本実施の形態に係るデータ処理装置の構成を説明する模式図である。図中 1 0 0は、パーソナルコンピュータのような情報処理装置であり、情報処理装置 1 0 0は、 C P U 1 0 1 を備えており、バス 1 0 2 を介して、 R O M 1 0 3、 R A M 1 0 4、操作部 1 0 5、表示部 1 0 6、通信部 1 0 7、内部記憶装置 1 0 8 、及び補助記憶装置 1 0 9 等の各種ハードウェアに接続されている。 C P U 1 0 1 は、 R O M 1 0 3 に格納された制御プログラムに従って、それらのハードウェアを制御する。 R AM I 0 4は、 S R AM又はフラッシュメモリ等で構成され、 R O M 1 0 3 に格納された制御プログラムの実行時に発生するデータ、通信部 1 0 7 を介して受信した外部ネットワークからの各種のデータを受信する。

操作部 1 0 5 は、キーボード、マウス等の入力装置であり、表示部 1 0 6 は、 C R T、液晶ディスプレイ等の表示装置である。操作部 1 0 5及び表示部 1 0 6 は、例えば、送信すべきデータの入力及び表示をする際に利用される。通信部 1 0 7は、モデム等の回線終端装置を備えており、外部ネットワークとの間でやり取りされる各種データの送受信を制御する。

補助記憶装置 1 0 9 は、本発明のコンピュータプログラム等を記録した F D、 C D— R OM等の記録媒体 Mからコンピュータプログラム等を読取る F D ドライブ、 C D— R OM ドライブ等からなり、読取られたコンピュータプログラムは、内部記憶装置 1 0 8 に格納される。内部記憶装置 1 0 8 に格納されたコンピュータプログラムは、 C P U 1 0 1 からの指示に応じて適宜 R AM I 0 4 に読込まれて実行される。 C P U 1 0 1 が本発明のコンピュータプログラムを実行することによって情報処理装置 1 0 0 は通信部 1 0 7 にて受信したデータから不正コードを検出する装置として機能する。

刖述のコンピュータプログラムは、情報処理装置 1 0 0 の起動時に自動的に R AM I 0 4 に読込まれる常駐型のプログラムであることが望ましく、通 1S部 1 0 7 にて外部からデータを受信した際に、自動的に不正コードを検出するようにしておくとよいなお、不正コードの検出手順については、実施の形態 1 で説明

した通りであるので説明を省略する。

なお、本発明のコンピュータプログラムは、記録媒体 Mにより提供される形態として説明したが、通信部 1 0 7 を介した通信手段によって提供される形態であってもよい。

また、本実施の形態では、パーソナルコンピュータのような情報処理装置 1 0 0 を利用して不正コードを検出する構成としたが、パ一ソナルコンピュータの他、携帯電話機、 P D A、コンピュータゲーム機、車載通信装置、各種の情報家電に適用できることは勿論であ。

また、本発明のコンピュータプログラムを F D、 C D— R OM等の記録媒体に記録させて提供することにより、コンピュータウィルスを検出するアプリケーションソフトウエアのパッケージとして提供することも可能である。産業上の利用可能性

第 1発明、第 2発明、第 1 2発明、及び第 1 3発明による場合は、記憶手段からデータをバイト単位で順次的に読出して不正処理を実行する命令コードが含まれているか否かを判定する際、読出し位置が異なる複数のデータ系列について、.命令コードの出現パターンを検出ようにしている。したがって、通常のデータには見られないような命令コードの出現パターンに着目して検出を行うことで、未知の不正コードが現れたときでも、不正コードの本質的な処理内容が変わらない限り対処することが可能となる。また、本発明では命令コードの出現パターンに基づいて検出を行うため、検出の開始位置をどこに設定するかによって検出する出現パターンが異なってくる場合が生じるが、読出し位置を順次異ならせた複数のデータ系列について検出するようにしているため、誤った判定をすることが少なくなり、検出精度を高めることができる。

第 3発明による場合は、命令コードの 1バイト目のデータと、命令コードのバイト長との対応関係を記憶したテーブルを備えているため、データの読出し位置がある命令系列において命令コードの先頭バイト以外に位置しているときには、不正コードの検出を行わないようにすることができ、処理速度の向上を図ることができる。第 4発明による場合は、実行中の命令コード群が置かれた記憶手段上のアドレスを取得する処理が含まれる出現パターンを検出するようにしているため、不正コードの本質的な構造に着目した検出手法の提案が可能となる。

第 5発明による場合は、所定の処理を実行する命令コード群を呼出すための命令コードを含み、呼出し先の命令コード群において、前記命令コードの復帰先のァドレスを取得する命令コードを含んでいる出現パターンを検出するようにしている。したがって、不正処理を実行させるようなデータであるか否かを容易に判定することができ、しかもその本質的な構造に基づいて検出しているため、未知の不正コ一ドに対しても対処することが可能となる。

第 6発明による場合は、分岐命令の分岐先が前述の命令コード群に対応付けられている出現パターンを検出するようにしている。したがって、不正処理を実行させるようなデータであるか否かを容易に判定することができ、しかもその本質的な構造に基づいて検出しているため、未知の不正コードに対しても対処することができる。第 7発明による場合は、更にシステムコールを起動する命令コードを含んだ出現パターンを検出するようにしている。したがって、不正コードが実行される蓋然性が高くなる場合を検出できるため、検出精度を高めることができる。

第 8発明による場合は、復帰先ァドレスを起点としたデータの書換えを指示する命令コードを含んだ出現パターンを検出するようにしている。したがって、実行前の段階でどのような処理が実行されるのかが分からないような不正コードにも対処することが可能となる。

第 9発明による場合は、前述の命令コードを呼び出すための命令コードの後に所定の文字コードを含んでいるか否かを判定するようにしているため、特定の C P Uに対する不正コードの検出処理において検出精度を高めることができる。

第 1 0発明による場合は、検出すべき命令コードの出現パターンを検出した場合、そのデータが不正処理を実行するデータであると判定するようにしているため、不正処理を実行させるようなデータ - であるか否かを容易に判定するとがでさヽしかもその本的な構造に基づいて判定してヽるため、未知の不正コードに対しても対処することが可能とな。

第 1 1発明による場合は、検出したテタ系列が不正処理を実行する丁 ―タであると判定した場、外部その旨を報知するようにしている。したがつて、不正一ドを検出した時点で通信の遮断等を行つて、当該不正コードにより生じる不合を防止するとができる。

Claims

請求の範囲

1 . 異なるバイト長の命令コードを複数含んだデータを受信する受信手段と、受信したデータを記憶する記憶手段とを備えるデータ処理装置を用いて、記憶したデータに含まれる命令コードに基づいて実行する処理が不正処理であるか否かを判定する不正処理判定方法において、前記記憶手段に記憶したデータをバイト単位で順次的に読出し、夫々が連続したバイト列からなり、各バイト列の先頭バィトが異なる読出し位置に対応した複数のデータ系列について、各データ系列に現れる命令コードの出現パターンを検出し、検出した命令コードの出現パターンに基づいて各データ系列による処理が不正処理であるか否かを判定することを特徴とする不正処理判定方法。

2 . 異なるバイト長の命令コードを複数含んだデータを受信する受信手段と、受信したデータを記憶する記憶手段と、記憶したデータに含まれる命令コードに基づいて実行される処理が不正処理であるか否かを判定する判定手段とを備えるデータ処理装置において、前記記憶手段に記憶したデータをバイト単位で順次的に読出す手段と、夫々が連続したバイト列からなり、各バイト列の先頭バイトが異なる読出し位置に対応した複数のデータ系列について、各データ系列に現れる命令コードの出現パターンを検出する検出手段とを備え、前記判定手段は、前記検出手段が検出した命令コードの出現パターンに基づいて各データ系列による処理が不正処理であるか否かを判定すべくなしてあることを特徴とするデータ処理装置。

3 . 命令コードの 1バイト目のデータと該命令コードのバイト長との対応関係を記憶したテーブルを更に備えることを特徴とする請求項 2に記載のデータ処理装置。

4 .前記検出手段が検出すべき出現パターンを含むデータ系列は、実行中の命令コード群が置かれた前記記憶手段上のァドレスを取得する処理を含むことを特徴とする請求項 2に記載のデータ処理装置。

5 . 前記検出手段が検出すべき出現パターンの 1つは、所定の処理を実行する命令コード群を呼出すための命令コードを含み、前記命令コード群は、前記命令コードの復帰先のァドレスを取得する命令コードを含むことを特徴とする請求項 2又は請求項 4に記載のデータ処理装置。

6 .前記出現パターンは、分岐命令に係る命令コードを更に含み、該命令コードの分岐先のアドレスが、前記命令コード群を呼出すための命令コードに対応付けられていることを特徴とする請求項 5 に記載のデータ処理装置。

7 . 前記出現パターンは、システムコールを起動する命令コードを更に含むことを特徴とする請求項 5 に記載のデータ処理装置。

8 . 前記出現パターンは、前記アドレスを起点としたデータの書換えを指示する命令コードを更に含むことを特徴とする請求項 5 に記載のデータ処理装置。

9 . 前記出現パターンは、前記命令コ一ドの後に所定の文字コードを更に含むことを特徴とする請求項 5に記載のデータ処理装置。

1 0 . 検出すべき出現パターンの 1つを前記検出手段が検出した場合、前記判定手段は、検出したデータ系列が不正処理を実行するデータであると判定すべくなしてあることを特徴とする請求項 2 に記載のデータ処理装置。

1 1 . 前記判定手段が、検出したデータ系列が不正処理を実行するデータであると判定した場合、外部へその旨の情報を報知する手段を更に備えることを特徴とする請求項 2 に記載のデータ処理装置。

1 2 . コンピュータに、入力された異なるバイト長の命令コードを複数含んだデータに基づいて実行される処理が不正処理であるか否かを判定させるステップを有するコンピュータプログラムにおいて、コンピュータに、夫々が連続したバイト列からなり、各バイト列の先頭バイトを異なる読出し位置に対応させて読出した複数のデータ系列について、各データ系列に現れる命令コードの出現パターンを検出させるステップと、コンピュータに、検出した命令コードの出現パターンに基づいて各データ系列による処理が不正処理であるか否かを判定させるステップとを有することを特徴とするコンビユータプログラム。

1 3 . コンピュータに、入力された異なるバイト長の命令コードを複数含んだデータに基づいて実行される処理が不正処理であるか否かを判定させるステップを有するコンピュータプログラムが記録されているコンピュータでの読取りが可能な記録媒体において、コンピュータに、夫々が連続したバイト列からなり、各バイト列の先頭バイトを異なる読出し位置に対応させて読出した複数のデータ系列について、各データ系列に現れる命令コードの出現パターンを検出させるステップと、コンピュータに、検出した命令コードの出現パターンに基づいて各データ系列による処理が不正処理であるか否かを判定させるステップとを有するコンピュータプログラムが記録されていることを特徴とするコンピュータでの読取りが可能な記録媒体。