2012 Fiscal Year Research-status Report
仮想計算機モニタを用いたシステムコールレベルのマルウェア動的解析とその自動化
| Project/Area Number |
23500101
|
|---|
| Research Institution | Ritsumeikan University |
|---|
Principal Investigator |
毛利 公一 立命館大学, 情報理工学部, 准教授 (90313296)
|
|---|
| Keywords | マルウェア解析 / コンピュータセキュリティ / ネットワークセキュリティ / 仮想化技術 / オペレーティングシステム |
|---|
| Research Abstract |
平成23年度の研究実施状況報告書では，交付申請書で記した目標(a)～(g)のうち(b)と(d)を達成した旨を報告した．本年度は(a)(c)および(f)を中心的に進めたので以下に報告する．
(a)と(c)の目標は，マルウェア解析のための計量VMM（仮想計算機モニタ）の開発である．当初の目標では当初の2年間での完成を目指していたが若干遅れている．これは，プロプライエタリなOSに対応することに時間がかかってしまっていることが原因である．ただし，目標の8割以上は既に達成できており，マルウェアの挙動のうち，ネットワークに関係するもの以外は追跡可能なところまで実現できている．一方で，プロプライエタリなOSについては，古いバージョンのOSだけでなく，新たなバージョンのOSにも対応を進めることができており，これは当初計画に加えて進捗が得られている．
(f)の目標はログの自動解析手法の確立である．開発中のシステムでは，マルウェアを実際に動作させて観測する計算機と観測結果（ログ）を保存・解析する計算機を別の計算機としている．これは，観測にかかるオーバヘッドを最小限にするためで，両計算機をIEEE1394で接続してログ転送を実現している（目標(d)で達成）．本目標では，そのログを解析し，実際にマルウェアを追跡可能とし，かつ意味のある活動を抽出して利用者に提示するソフトウェアの開発を行った．具体的には，(1)ログデータをテキスト化して可読性のある形式に変換するツール，(2)指定したプロセスの挙動のみをログから抽出するツール，(3)プロセスやスレッド間で感染を繰り返しながら広がっていく挙動を抽出するツールを開発した．(1)と(2)はログ解析の基本ツールとして必須である．(3)は実機に近い速度でマルウェアを解析しつつ感染を解析できる点で本研究の特徴的なツールである．
本年度の成果は以上の通りである．
|
| Current Status of Research Progress |
Current Status of Research Progress
2: Research has progressed on the whole more than it was originally planned.
Reason
本研究課題では，交付申請書において(a)～(g)の7つの目標を示し，それを3年間で実施する目標を立てた．平成24年度は(a)・(b)，平成24年度は(c)～(e)，平成25年度は(f)・(g)を実施する予定としている．
「研究実績の概要」の項目でも述べたように，(a)・(c)は完了はしていないものの80%以上の進捗となっており，かつ今後進めて行くにあたって大きな障害となるものは見られない．(b)と(d)は平成23年度に，(f)は平成24年度に達成している．以上から，(a)～(d)についてはおおむね順調に進展していると判断している．(f)については予定よりも早期に達成している．
一方で，(e)のハニーポット環境の構築は平成24年度中に完了することとなっていたが，これは現在検討を始めたところである．これは，(a)・(c)において未達成となっているネットワーク追跡機能の件と関連しており，予定と比較すると遅れている．これについては，両者を合わせて今後進めていく予定としている．
以上のように，主となる研究開発対象は順調に進んでいる．また，一部のテーマについては予定よりも進んでいるもの・遅れているものがあるものの，それらは順番が前後したレベルである．よって，おおむね順調に進展していると判断している．
|
| Strategy for Future Research Activity |
今後も引き続き設定した目標に従って研究を進めていく．平成25年度は最終年度であるため，残りの目標である次の点についてすべて達成する予定とする．
・(a)・(c)の残った部分として，マルウェア解析のための仮想計算機モニタへのネットワーク追跡機能の追加
・(e)ハニーポット環境の開発
・(g)マルウェア解析機構の評価
現在までの達成度の項目で述べたとおり，いくつかの点で目標達成順序が前後しているものの全体としては順調に進展していることから，継続して現状の研究体制を維持しつつ，研究を進めていくこととする．
|
| Expenditure Plans for the Next FY Research Funding |
今年度の研究費未使用額は15,551円であった．これは直接経費の約1.3%に相当する額である．未使用額は，研究計画の変更によるものではなく，学生アルバイトの勤務時間の変動等によるものである．次年度は，研究活動において残りの目標を達成しつつ，研究成果全体の発信にも力を入れる．そのため，研究費の使途としてはおおよそ次のような内訳とする計画である．消耗品費については若干とする．必要な機材等については既に購入しているため，次年度はほとんど物品の購入は予定しない．旅費については500千円程度とする．国際会議を中心とした研究成果発信のための旅費に用いる．人件費・謝金については165千円程度（今年度の研究費未使用額を含む）とする．性能評価実験・機能評価実験のための謝金に用いる．その他については150千円程度とする．これは論文印刷費として用いる．
|
