验证信息修正装置、验证信息修正方法和验证信息修正程序

摘要

验证信息生成装置从验证装置分别取得与该验证装置中发生的误检测有关的错误日志。而且，验证信息生成装置在根据取得的错误日志判定为在规定数量以上的验证装置中发生了相同的错误的情况下，进行以下的处理。验证信息生成装置从取得的错误日志中提取相同的错误的错误日志，对提取出的错误日志进行分析，由此生成表示作为误检测的原因的验证信息的修正内容的候选的误检测知识信息。验证信息生成装置根据误检测知识信息输出表示验证信息的修正内容的候选的信息。验证信息生成装置根据从上述的表示验证信息的修正内容的候选的信息中选择出的信息对该验证信息进行修正。

说明书

技术领域

本发明涉及验证信息修正装置、验证信息修正方法和验证信息修正程序。

背景技术

以往，存在如下技术：为了确认安装于各种设备的软件在安全方面没有问题(完整性)，要检测与该软件相关联的文件的变更、篡改(参照非专利文献1、2)。这里，软件通过设定变更、安全补丁的应用等来更新。因此，除了软件的导入时以外，在每天的运用中，系统运用者也需要适当地确认完整性。

现有技术文献

专利文献

专利文献1：日本特开2019-8738号公报

专利文献2：日本特开2019-8377号公报

非专利文献

非专利文献1：Tripwire、[online]、[2019年12月11日检索]、互联网

非专利文献2：日经XTECH、“仮想環境のセキュリティを高めるインテルTXT”、[online]、[2019年12月11日检索]、互联网

非专利文献3：“いますぐ実践！Linuxシステム管理今日のお題-テンポラリファイルに注意する”、[online]、[2019年7月11日检索]、互联网

非专利文献4：[rpm]コマンド(応用編その2)――パッケージの情報を調べる(2)、[online]、[2019年12月11日检索]、互联网

发明内容

发明要解决的课题

这里，在上述的完整性的确认中，有时只能确认某个时间点的完整性，或者无法应对普遍的软件，或者需要手动设定在完整性的确认中使用的验证信息。

为了应对这种问题，例如考虑利用软件包中包含的信息(例如元信息等)自动提取不发生改写的二进制文件、不可改写的配置文件等作为完整性确认对象文件，将其用于验证信息。此外，在软件包中包含的元信息等可能存在错误的情况下，例如考虑对安装中的动作和该软件的实际的运行进行解析来生成验证信息。

但是，在使用上述验证信息的软件的完整性的确认中，由于验证装置的环境等的影响，有时也发生误检测。这种情况下，需要对验证装置所使用的验证信息进行修正，但是，在现有技术中，没有研究过由于验证装置的环境等的影响而发生误检测的情况下的验证信息的修正。

因此，本发明的课题在于，解决上述问题，对验证装置所使用的验证信息进行修正。

用于解决课题的手段

为了解决所述的课题，本发明的特征在于，具有：取得部，其从验证装置分别取得与在该验证装置中发生的误检测有关的错误日志，所述验证装置使用软件的验证信息进行构成所述软件的文件的验证；信息生成部，其在根据取得的错误日志判定为在规定数量以上的验证装置中发生了相同的错误的情况下，从所述取得的错误日志中提取该错误的错误日志，根据提取出的错误日志生成作为所述误检测的原因的验证信息和表示针对该验证信息的修正内容的候选的信息；以及输出部，其输出作为所述误检测的原因的验证信息和表示针对该验证信息的修正内容的候选的信息。

发明效果

根据本发明，能够对验证装置所使用的验证信息进行修正。

附图说明

图1是示出验证信息生成系统的结构例的图。

图2是用于说明验证信息生成系统的动作概要的图。

图3是示出验证信息生成装置的结构例的图。

图4是示出验证信息列表的一例的图。

图5是示出带签名的验证信息列表的一例的图。

图6是示出错误日志的一例的图。

图7是示出错误日志列表的一例的图。

图8是示出文件结构信息的一例的图。

图9是示出文件结构信息列表的一例的图。

图10是示出误检测知识信息列表的一例的图。

图11是示出验证信息生成装置生成验证信息并进行发送的顺序的例子的流程图。

图12是示出验证信息生成装置对验证信息进行修正并进行发送的顺序的例子的图。

图13是示出执行验证信息生成程序的计算机的结构的一例的图。

具体实施方式

下面，参照附图对用于实施本发明的方式(实施方式)进行说明。本发明不限于以下说明的实施方式。另外，以下说明的验证信息是作为用于验证与安装于设备的软件相关联的文件是否被进行了变更、篡改的基础的信息。

[结构例]

使用图1对验证信息生成系统的结构例进行说明。验证信息生成系统例如具有进行软件包的验证信息的生成和修正的验证信息生成装置(验证信息修正装置)10、以及使用该验证信息对安装于自身的验证装置20的软件进行验证处理的验证装置20。验证信息生成装置10和验证装置20经由互联网等网络以能够通信的方式连接。

[概要]

接着，对上述的验证信息生成系统的概要进行说明。例如，验证信息生成装置10生成软件包的验证信息，将其发送到各验证装置20。然后，在各验证装置20中关于验证发生了某些误检测的情况下，验证信息生成装置10对作为误检测的原因的验证信息进行修正。然后，验证信息生成装置10将修正后的验证信息发送到验证装置20。

使用图2对验证信息生成系统的处理顺序的例子进行说明。例如，验证信息生成装置10将软件包安装于验证装置20(S1)。这里，如果S1中安装的软件包是静态解析的对象(S2：是)，则验证信息生成装置10对该软件包进行静态解析(S3)。该静态解析是指，通过对软件包自身进行解析来确定软件的安装目的地等，并取得生成验证信息所需要的各种信息。

例如，如果该软件包的安装目的地的目录是被指定的目录，则验证信息生成装置10对该软件包进行静态解析。然后，验证信息生成装置10根据通过上述静态解析而取得的信息生成验证信息。

另一方面，如果在S1中安装的软件包不是静态解析的对象(S2：否)，则验证信息生成装置10进行该软件包的动态解析(S5)。该动态解析是指，验证信息生成装置10通过将安装于验证装置20的软件安装于验证信息生成装置10来对使该软件动作时的文件、目录的实际的运行进行解析，取得生成验证信息所需要的各种信息。

例如，如果该软件包的安装目的地的目录不是被指定的目录，则验证信息生成装置10对该软件包进行动态解析。然后，验证信息生成装置10根据通过上述动态解析而取得的信息生成验证信息。然后进入S6。

此外，在S3之后，验证信息生成装置10判定是否需要对根据静态解析的结果而生成的验证信息进行修正(S4)，如果不需要修正(S4：否)，则将验证信息发送到验证装置20(S6)。另一方面，如果验证信息需要修正(S4：是)，则进入S5。

在S6之后，在作为验证信息的发送目的地的验证装置20中发生了安全事件的情况下(S7)，验证装置20生成与上述安全事件有关的错误日志。例如，在验证装置20使用验证信息确认软件的完整性时(进行验证时)、完整性的确认失败的情况下(发生了错误的情况下)，生成错误日志。这里，在判定为该错误是由于验证信息的错误而引起的错误的情况下，从作为该验证信息的发送目的地的验证装置20收集错误日志和文件结构信息并进行分析(S8：对从作为验证信息的发送目的地的验证装置收集的以下的文件进行分析)。

在S8中的分析的结果为验证信息生成装置10判定为在多个验证装置20中发生了相同的错误的情况下，根据与该错误有关的错误日志和文件结构信息生成表示验证信息的修正内容的候选等的误检测知识信息(参照图10)(S9)。然后，验证信息生成装置10根据在S8中生成的误检测知识信息对验证信息进行修正(S10)。

例如，验证信息生成装置10根据上述误检测知识信息输出作为错误的原因的验证信息中的修正内容等的候选。然后，在验证信息生成装置10从管理者等受理验证信息的修正内容的选择输入时，根据该选择输入对验证信息进行修正。然后，验证信息生成装置10将修正后的验证信息发送到验证装置20(S11)。

根据这种验证信息生成系统，在由于验证装置20的环境等的影响而发生了误检测的情况下，也能够对作为误检测的原因的验证信息进行修正，将修正后的验证信息发送到验证装置20。

[结构]

接着，使用图3对验证信息生成装置10的结构例进行说明。验证信息生成装置10具有数据处理部11和数据存储部12。验证信息生成装置10例如经由互联网等网络与利用者终端连接。

首先，对数据存储部12进行说明。数据存储部12具有验证信息列表存储部121、带签名的验证信息列表存储部122、动态解析规则存储部123、静态解析规则存储部124、错误日志列表存储部125、文件结构信息列表存储部126和误检测知识信息列表存储部127。

验证信息列表存储部121存储验证信息的列表(验证信息列表)。例如，如图4所示，验证信息包含软件包的包名、验证信息ID、作为验证对象的文件的文件路径或目录路径信息、该文件的哈希值、必须存在属性等。此外，如图4所示，验证信息也可以包含结构确认对象属性、访问源许可列表等。

必须存在属性是表示在验证信息的文件路径/目录路径信息中所示的文件是否是供该软件包安装的设备中所必需的文件的属性信息。

此外，结构确认对象属性是表示验证信息的文件路径/目录路径信息中所示的文件是否是结构确认的对象的属性信息。

并且，访问源许可列表是表示被许可访问验证信息的文件路径/目录路径信息中所示的文件的程序的执行文件路径的信息。

上述必须存在属性、结构确认对象属性和访问源许可列表的信息例如是从利用者终端输入的信息。

带签名的验证信息列表存储部122存储带签名的验证信息列表(参照图5)。该带签名的验证信息是对验证信息赋予生成了该验证信息的验证信息生成装置10的用户签名和用户签名的公开密钥证书而成的。另外，图5所示的带签名的验证信息列表

中的包ID是组合了图4中的包名+验证信息ID+存储验证信息的设备的识别信息而成

的ID。

图3的动态解析规则存储部123按照每个软件包存储表示在该软件包的验证信息的生成中使用的动态解析的方法的信息(动态解析规则)。该动态解析规则例如如下所述。即，在动态解析处理部112对tar文件进行动态解析时，首先，针对tar文件，根据该tar文件中包含的config.nice或config.status确定软件的安装目录。接着，动态解析处理部112根据所确定的安装目录中包含的各文件的种类判定各文件是否是具有实体的文件。然后，动态解析处理部112将被判定为具有实体的文件确定为可供取得哈希值的文件，取得该文件的文件路径和该文件的哈希值。

静态解析规则存储部124按照每个软件包存储表示对该软件包进行静态解析的方法的信息(静态解析规则)。例如，静态解析规则是指，针对rpm包执行rpm命令，取得在文件的验证时要进行哈希确认的二进制文件的信息，取得配置文件、且不可写入的文件的信息。

错误日志列表存储部125存储由收集部117收集到的错误日志的列表(错误日志列表、参照图7)。

例如，如图7所示，错误日志列表是表示错误的原因(错误原因)、发生了该错误的文件路径/目录路径、发生了该错误的文件的包ID、发生了该错误的验证装置20的ID(验证装置ID)等的信息。

例如，图7所示的错误日志列表的第1行的错误日志表示在包ID“PkgA0002-03”的文件路径/目录路径“/var/log/PkgA.log”的文件中发生了基于“哈希值的不一致”的错误，并且这些错误是在验证装置ID“verif0001,verif0002,verif0003,...”的验证装置20中发生的。

图3的文件结构信息列表存储部126存储由收集部117收集到的文件结构信息的列表(文件结构信息列表、参照图9)。

例如，如图9所示，文件结构信息列表是表示验证装置20的文件路径/目录路径信息、该文件路径/目录路径信息的路径类别、该文件的哈希值、作为该文件结构信息的发送源的验证装置20的ID(验证装置ID)等的信息。

例如，图9所示的文件结构信息列表的标号901所示的信息表示在验证装置ID“verif0001,verif0002,verif0003,...”的验证装置20中，在“/etc/resolv.conf”中存在文件，上述的“/etc/resolv.conf”的路径类别为file，该文件的哈希值为“3g35sdg4k...”。

在分析部(信息生成部)118生成误检测知识信息(参照图10)时参照上述错误日志列表和文件结构信息列表。

误检测知识信息列表存储部127存储由分析部118生成的误检测知识信息的列表(误检测知识信息列表、参照图10)。

例如，如图10所示，误检测知识信息是表示发生了错误的文件路径/目录路径信息、发生了该错误的理由(误检测理由)、用于消除该错误的验证信息的修正部位的候选、针对该修正部位的修正内容的候选等的信息。在输出部119输出作为误检测的原因的验证信息的修正内容的候选时，参照该误检测知识信息列表。

接着，对数据处理部11进行说明。数据处理部11具有处理受理部111、动态解析处理部112、签名赋予部113、判定部114、静态解析处理部115、发送部116、收集部(取得部)117、分析部118、输出部119和修正部120。

处理受理部111从利用者终端受理软件包的验证信息的生成委托，并反馈其结果。

动态解析处理部112对作为验证信息的生成对象的软件包进行动态解析，生成验证信息。

例如，动态解析处理部112针对作为验证信息的生成对象的软件包，从动态解析规则存储部123读出用于进行该软件包的动态解析的规则。然后，动态解析处理部112按照读出的规则将该软件包安装于验证信息生成装置10，从该验证信息生成装置10取得该软件包的软件的安装目的地的目录。然后，动态解析处理部112根据取得的目录中包含的文件的种类，确定可供取得哈希值的文件。然后，动态解析处理部112取得该可供取得哈希值的文件的文件路径和该文件的哈希值，并使用取得的信息生成验证信息。

例如，动态解析处理部112使用通过软件包的解析而取得的该软件包的包名、验证信息ID(例如序列号)、作为验证对象的文件的文件路径或目录、该文件的哈希值等生成验证信息(参照图4)。然后，动态解析处理部112将生成的验证信息存储于验证信息列表存储部121，将验证信息的生成已完成的情况反馈给利用者终端。

另外，在处理受理部111经由利用者终端受理了验证信息的读出指示的情况下，处理受理部111从验证信息列表存储部121读出读出指示的对象的验证信息，将其发送到利用者终端。然后，在处理受理部111从利用者终端受理了该验证信息的修正时，将反映了修正的验证信息存储于验证信息列表存储部121。

另外，处理受理部111也可以将从外部装置(例如利用者终端)发送的验证信息存储于验证信息列表存储部121。

签名赋予部113对验证信息赋予用户签名的公开密钥证书。例如，在签名赋予部113从利用者终端受理了对验证信息赋予签名的委托时，处理受理部111从验证信息列表存储部121中选择相应的验证信息，将验证信息发送给签名赋予部113。然后，签名赋予部113将对该验证信息中的、验证信息ID被置换为包ID(包名+验证信息ID+存储验证信息的设备的识别信息)的信息赋予了生成验证信息的设备的用户签名和用户签名的公开密钥证书的验证信息存储于带签名的验证信息列表存储部122。

判定部114判定作为验证信息的生成对象的软件包是否是作为静态解析的对象的软件包。例如，如果作为验证信息的生成对象的软件包是rpm包或deb包，则判定部114将该软件包判定为作为静态解析的对象的软件包。另一方面，如果作为验证信息的生成对象的软件包既不是rpm包也不是deb包，则判定部114将该软件包判定为作为动态解析的对象的软件包。

静态解析处理部115根据静态解析规则存储部124，对作为验证信息的生成对象的软件包进行静态解析，使用该解析结果生成验证信息。

例如，静态解析处理部115针对验证信息的生成对象的软件包，从静态解析规则存储部124读出用于对该软件包进行静态解析的规则。然后，静态解析处理部115按照读出的规则，从该软件包中包含的文件取得在每天的运用中被变更的可能性低的文件的信息。

例如，静态解析处理部115执行规定的命令，由此取得软件中包含的文件中的在验证时使用哈希值进行确认的文件(例如二进制文件)的文件路径和该文件的哈希值、以及不可改写的配置文件的文件路径。此外，静态解析处理部115还取得该软件包的包名、验证信息ID。

然后，静态解析处理部115根据通过软件包的静态解析而取得的信息，生成示出该软件包的包名、验证信息ID、作为验证对象的文件的文件路径或目录路径信息、该文件的哈希值、必须存在属性等的验证信息(参照图4)。

发送部116将带签名的验证信息列表存储部122中存储的带签名的验证信息发送到验证装置20。例如，发送部116在从验证装置20受理了验证信息的发送请求时，根据该发送请求向该验证装置20发送带签名的验证信息。

收集部117从各验证装置20收集(取得)错误日志和文件结构信息。

首先，对错误日志进行说明。错误日志是表示在各验证装置20中使用验证信息进行验证时发生的不良情况(错误)的日志。例如，如下所述，该错误日志由多个行构成，在各行的开头附加了表示错误的标签([false-positives])。而且，在各行记载有错误的原因、发生了错误的文件的文件路径或目录的路径(相应路径)、发生了错误的文件的包ID等。

[false-positives]哈希值不一致。相应路径：/usr/test/aaa包ID：PkgA0001.001

[false-positives]未发现作为哈希值的确认对象的文件。相应路径：/usr/test/bbb包ID：PkgA0001.001

[false-positives]在结构确认目录中发现了不正当的路径。相应路径：/usr/test/ccc包ID：PkgA0001.001

[false-positives]在结构确认目录下未发现必要文件。相应路径：/usr/test/ddd包ID：PkgA0001.001

[false-positives]未发现必须存在路径。相应路径：/usr/test/eee包ID：PkgA0001.001

收集部117例如通过过滤功能等从发生了错误的各验证装置20收集错误日志中的、带有规定的字符串的错误日志。例如，收集部117通过过滤功能等收集错误日志中的、带有“哈希值不一致”等字符串的错误日志，通过该错误日志能够预想到错误原因是验证信息的错误。

例如，收集部117从发生了错误的某个验证装置20收集图6的标号601～604所示的错误日志。然后，收集部117对从发生了错误的验证装置20分别收集的错误日志进行汇总，例如生成图7所示的错误日志列表。然后，收集部117将生成的错误日志列表存储于错误日志列表存储部125。

此外，收集部117从发生了错误的某个验证装置20收集图8所示的文件结构信息。然后，收集部117对从发生了错误的验证装置20分别收集的文件结构信息进行汇总，例如生成图9所示的文件结构信息列表。然后，收集部117将生成的文件结构列表存储于文件结构信息列表存储部126。

分析部118对收集部117从各验证装置20收集的错误日志进行分析，在判定为在规定数量以上的验证装置20中发生了相同的错误的情况下，根据发生的错误的错误日志，针对作为误检测的原因的验证信息，生成表示该验证信息的修正内容的候选的信息(例如误检测知识信息(参照图10))。另外，也可以由管理者等手动选择被分析部118作为分析对象的错误日志。另外，相同的错误例如是指，错误原因、发生了错误的文件路径/目录路径、包ID等相同的错误。

例如，分析部118从图7所示的错误日志列表中提取在3台以上的验证装置20中针对相同的文件/目录以相同的错误原因发生了错误的条目(标号701所示的条目)。然后，分析部118使用提取出的条目和文件结构信息列表(参照图9)生成误检测知识信息(参照图10)。

例如，如果在提取出的条目中存在错误原因是“哈希值不一致。”这样的错误，则验证信息的修正部位是哈希值，因此，分析部118判定为修正内容是变更为文件结构信息(参照图9)中记载的正确的哈希值、或将哈希值的设定删除。

例如，图7的标号701所示的条目中的“/etc/resolv.conf”的错误原因是文件的哈希值的不一致，因此，分析部118从文件结构信息(参照图9)中提取“/etc/resolv.conf”的文件的哈希值即“3g35sdg4k...”。然后，分析部118将哈希值记载下来作为“/etc/resolv.conf”的验证信息的修正部位的候选，在误检测知识信息中记载将验证信息中的哈希值变更为“3g35sdg4k...”这一内容作为修正内容的候选。此外，分析部118在误检测知识信息中记载“在确认文件修正后变更哈希值”这样的信息作为“/etc/resolv.conf”的误检测理由(参照图10的第3行的条目)。

此外，如果在提取出的条目中存在错误原因是“在结构确认目录中发现了不正当的文件”这样的错误，则分析部118判定为验证信息的修正部位是“结构确认对象属性”、修正内容是将该目录的结构确认对象属性变更为“不是对象”。

例如，图7的标号701所示的条目中的“/usr/share/PkgB0001/temp.tmp”的错误原因是在结构确认目录中存在不正当的文件，因此，分析部118将结构确认对象属性记载下来作为“/usr/share/PkgB0001/temp.tmp”的验证信息的修正部位的候选，在误检测知识信息中记载将验证信息中的结构确认对象属性变更为“不是对象”这一内容作为修正内容的候选(参照图10的第2行的条目)。此外，分析部118在误检测知识信息中记载“在结构确认目录中存在不正当的文件，因此将目录的结构确认对象属性变更为“不是对象””这样的信息作为“/usr/share/PkgB0001/temp.tmp”的误检测理由。

另外，管理者等也可以手动记载误检测知识信息中的误检测理由。此外，在根据错误原因无法唯一地确定验证信息的修正部位和修正内容的情况下，分析部118在误检测知识信息中记载全部修正部位和修正内容的候选。

另外，作为错误(误检测)的原因的验证信息的部位能够根据误检测的原因来估计。这里，关于误检测的原因，例如考虑以下4个原因。

[例1：验证信息所示的作为验证对象的文件是验证时被更新的文件]

例如，在设定了用于记录并保存验证装置20的处理内容、错误等的历史的日志文件来作为验证信息所示的作为验证对象的文件的情况下，每当在验证装置20中执行处理时，作为验证对象的文件会被更新。因此，在验证装置20使用该验证信息执行验证(完整性确认)时，会产生由于该文件的哈希值被变更，因此该文件的哈希值不一致这样的错误(例如图6的标号601所示的错误)。

[例2：验证信息所示的结构确认目录是根据验证装置20的状况而存在文件或不存在文件的目录]

例如，根据外壳脚本的不同，有时仅在脚本的执行中生成临时文件(参照非专利文献3)。在验证信息的结构确认目录是被指定为上述临时文件的生成位置的目录的情况下验证装置20使用该验证信息执行验证(文件的结构确认)时，会判断为在该验证信息的结构确认目录中发现不正当的文件，继而发生错误(例如图6的标号602所示的错误)。

[例3：验证信息所示的作为验证对象的文件的哈希值被变更]

例如，还考虑如下情况：管理者在属于相同的组织的多个验证装置20中安装相同的软件包，对应着该组织在全部验证装置20中变更该软件包的设定文件。例如，在管理者变更了该组织中使用的DNS服务器的IP地址的情况下，在各验证装置20中使用的DNS的设定文件的内容也被变更。与此相伴，该设定文件的哈希值也被变更。这里，在验证信息的验证对象文件是上述设定文件、且设定了设定变更前的哈希值作为该验证对象文件的哈希值的情况下，在验证装置20使用该验证信息进行验证时，会发生该文件的哈希值不一致这样的错误(例如图6的标号603所示的错误)。

[例4：验证信息中因必须存在而登记的文件是通过选择而安装的文件]

根据软件包的安装时的选择，安装于验证装置20的软件包可能变更。例如，在使用rpm命令进行安装的情况下，在指定为rpm--install--excludedocs时，能够不安装带有表示man页等文档的标记的文件(参照非专利文献4)。

例如，在验证信息生成装置10中，盘容量存在余量，因此，不进行选择地安装上述软件包，生成验证信息，将其发送到各验证装置20。但是，在上述各验证装置20中，考虑存在如下情况：按照不存入不需要的文件的方针不安装不需要的文件。该情况下，在各验证装置20根据从验证信息生成装置10发送的验证信息执行验证(存在必需文件的确认)时，会发生未发现必须存在路径这样的错误(例如图6的标号604所示的错误)。

分析部118根据错误日志分析错误的原因是上述的哪个原因。然后，分析部118根据分析的结果汇总为了消除错误而如何修正验证信息的哪个部位，生成误检测知识信息(参照图10)。

例如，如图10所示，分析部118根据上述分析的结果，按照发生了错误的每个文件路径/目录路径，在误检测知识信息中记载在该文件路径/目录路径中发生了错误的理由(误检测理由)、作为该错误的原因的验证信息的部位的候选(修正部位的候选)、以及针对该部位的修正内容的候选。

举出具体例。例如，与上述例1相当的错误的原因是在验证的执行中文件被改写，因此，考虑删除验证信息中的哈希值的设定这样的修正。由此，分析部118针对错误日志中的被估计是对应于上述例1的错误(例如与/var/log/pkgA.log有关的错误)，在误检测知识信息中记载验证信息的修正部位的候选是“哈希值”、且修正内容的候选是“删除(哈希值的)设定”这一内容(参照图10的第1行的条目)。

此外，在是对应于例2和例4的错误的情况下，分析部118还参照文件结构信息来记载误检测知识信息。

例如，与例2对应的错误的原因是，因验证装置20的状况在验证信息中登记的结构确认对象的目录中存在文件或者不存在文件。因此，考虑将验证信息中的该目录的结构确认对象属性变更为“不是对象”这样的修正。由此，例如，分析部118还参照验证装置20的文件结构信息，针对被估计为与上述例2对应的错误(与/usr/share/PkgB0001/temp.tmp有关的错误)，在误检测知识信息中记载验证信息的修正部位的候选是“结构确认对象属性”、修正内容的候选是“将(结构确认对象属性)修正为“不是对象””这一内容(参照图10的第2行的条目)。

此外，与例4对应的错误的原因是，验证信息中要作为必须存在而登记的文件是可能没有被选择安装的文件。因此，考虑将验证信息中的该目录的必须存在属性变更为“不是必须”这样的修正。由此，例如，分析部118还参照验证装置20的文件结构信息，针对被估计为与上述例4对应的错误(与/usr/share/foo/explain.doc有关的错误)，在误检测知识信息中记载验证信息的修正部位的候选是“必须存在属性”、修正内容的候选是“将(必须存在属性)修正为“不是必须””这一内容。

此外，与例3对应的错误的原因是验证信息中登记的文件的哈希值被变更。因此，考虑变更验证信息中的该文件的哈希值这样的修正。由此，例如，分析部118针对被判定为与上述例3对应的错误(与/etc/resolv.conf有关的错误)，在误检测知识信息中记载验证信息的修正部位的候选是“哈希值”、修正内容的候选是“(哈希值的)变更”这一内容(参照图10的第3行的条目)。另外，作为哈希值的修正内容的候选，例如也可以还记载发生了错误的文件的文件结构信息(参照图9)所示的哈希值。

另外，与上述例1、例3对应的错误都是“哈希值不一致”这样的错误，但是，例如如以下那样估计是与例1对应还是与例3对应。例如，分析部118根据作为错误的对象的文件的文件名、扩展符来估计文件的种类，如果估计出的该文件的种类是日志文件，则估计为是与例1对应的错误。此外，如果估计出的该文件的种类是DNS等设定文件，则估计为是与例3对应的错误。

另外，验证信息生成装置10例如针对能够根据上述错误的原因确定验证信息的修正部位、修正内容的错误，将使修正部位、修正内容、错误对应起来的信息保持于数据存储部12。而且，在分析部118在误检测知识信息中记载各种信息时，也可以参照上述信息，根据上述错误的原因确定验证信息的修正部位、修正内容等并记载下来。

另外，存在分析部118仅根据错误日志的内容无法判定错误对应于上述例1～例4中的哪一个，或判定为与上述例1～例4中的任意一方都不对应，或无法确定修正部位的候选、修正内容的候选等的情况。这种情况下，分析部118也可以输出全部的设想的误检测理由、修正部位的候选、修正内容的候选等。然后，分析部118使由管理者等从输出的候选中选择出的误检测理由、修正部位、修正内容等内容反映到误检测知识信息中。

输出部119根据由分析部118生成的误检测知识信息，输出验证信息的修正部位的候选、针对该修正部位的修正内容的候选。例如，输出部119根据误检测知识信息列表(参照图10)，将文件路径“/etc/resolv.conf”的验证信息的修正部位的候选是哈希值、且针对该修正部位的修正内容的候选是“变更(3g35sdg4k...)”输出到管理者的终端(例如图3所示的利用者终端)。

修正部120进行验证信息的修正。例如，在输出部119针对作为错误的原因的验证信息向管理者的终端输出了该验证信息的修正部位的候选、针对该修正部位的修正内容的候选后，修正部120受理通过该管理者的终端选择出的该验证信息的修正部位和针对该修正部位的修正内容的选择输入。然后，修正部120根据管理者的选择输入进行该验证信息的修正。然后，签名赋予部113对修正后的验证信息赋予签名，将其存储于带签名的验证信息列表存储部122。然后，被修正且被赋予了签名的验证信息通过发送部116发送到使用该验证信息进行验证处理的各验证装置20。

这样，验证信息生成装置10针对作为验证装置20的误检测的原因的验证信息，输出该验证信息的修正部位的候选、针对该修正部位的修正内容的候选。然后，验证信息生成装置10根据来自管理者的选择输入对验证信息进行修正。由此，即使在由于验证装置20的环境等的影响而发生了误检测的情况下，管理者也能够迅速地掌握为了消除误检测而以何种方式去修正哪个验证信息的哪个部位。其结果，验证信息生成装置10能够迅速地修正各验证装置20所使用的验证信息。

[处理顺序的例子]

接着，使用图11和图12对验证信息生成装置10的处理顺序的例子进行说明。

首先，验证信息生成装置10的判定部114判定作为验证信息的生成对象的软件包是否是静态解析的对象的包软件(图11的S101)。这里，在判定部114判定为作为验证信息的生成对象的软件包是静态解析的对象的包软件的情况下(S101：是)，验证信息生成装置10取得软件包(S102)。然后，静态解析处理部115根据该软件包的静态解析规则执行该软件包的解析(S103)。

在S103之后，静态解析处理部115根据该软件包的解析结果生成该软件包的验证信息(S104)。静态解析处理部115将生成的验证信息存储于验证信息列表存储部121。然后，在处理受理部111受理了验证信息的修正输入的情况下(S114：是)，将验证信息修正为恰当的内容(S116)，进入S111。

另一方面，在S114中处理受理部111未受理验证信息的修正输入的情况下(S114：否)，签名赋予部113赋予验证信息列表存储部121中存储的验证信息的用户签名和用户签名的公开密钥证书，将其存储于带签名的验证信息列表存储部122(S115：验证信息的签名赋予)。然后，发送部116例如根据来自验证装置20的请求，将带签名的验证信息列表存储部122中存储的带签名的验证信息发送到该验证装置20(S117)。

此外，在S101中判定部114判定为作为验证信息的生成对象的软件包不是静态解析的对象的包软件的情况下(S101：否)，验证信息生成装置10将作为验证信息的生成对象的软件包安装于验证信息生成装置10(S111)。然后，由动态解析处理部112根据该软件包的动态解析规则执行该软件包的动态解析(S112)。然后，动态解析处理部112根据该软件包的解析结果生成该软件包的验证信息(S113)。然后进入S114。

以此方式，验证信息生成装置10能够针对可通过静态解析来生成验证信息的软件包，通过静态解析来生成验证信息。然后，例如，验证装置20使用上述验证信息进行软件包的验证处理。其结果，在验证装置20中检测安全事件，在判定为该安全事件是由于验证信息的错误而引起的事件(基于误检测的事件)的情况下，验证信息生成装置10进行以下的处理。

首先，验证信息生成装置10的收集部117从发生了误检测的验证装置20分别收集错误日志(图12的S121)。然后，收集部117将使收集到的错误日志列表化而得到的列表(错误日志列表)存储于错误日志列表存储部125。此外，收集部117从上述验证装置20分别收集该验证装置20的文件结构信息(S122)。然后，收集部117将使收集到的文件结构信息列表化而得到的列表(文件结构信息列表)存储于文件结构信息列表存储部126。

在S122之后，分析部118对错误日志列表的错误日志和文件结构信息列表的文件结构信息进行分析(S123)。然后，分析部118根据上述分析的结果生成误检测知识信息(S124)。然后，分析部118将使生成的误检测知识信息列表化而得到的列表(误检测知识信息列表)存储于误检测知识信息列表存储部127。

在S124之后，输出部119根据误检测知识信息，输出作为修正对象的验证信息中的修正部位和修正内容的候选(S125)。例如，输出部119将验证信息的修正部位和修正内容的候选输出到管理者的终端装置。然后，在修正部120从管理者的终端装置等受理了作为修正对象的验证信息中的修正部位和修正内容的选择输入时(S126)，根据选择输入的内容对该验证信息进行修正(S127)。接着，签名赋予部113对修正后的验证信息赋予签名(S128)。然后，签名赋予部113将赋予了签名的验证信息存储于带签名的验证信息列表存储部122。然后，发送部116例如根据来自验证装置20的请求，将带签名的验证信息列表存储部122中存储的带签名的验证信息发送到该验证装置20(S129)。

这样，验证信息生成装置10针对作为验证装置20的误检测的原因的验证信息，输出该验证信息的修正内容的候选。然后，验证信息生成装置10根据来自管理者的选择输入对该验证信息进行修正。由此，即使在由于验证装置20的环境等的影响而发生了误检测的情况下，管理者也能够迅速地掌握以何种方式修正验证信息的哪个部位即可。其结果，验证信息生成装置10能够迅速地修正各验证装置20所使用的验证信息。

[程序]

此外，能够通过将实现上述实施方式中叙述的验证信息生成装置10的功能的程序安装于期望的信息处理装置(计算机)中来进行安装。例如，使信息处理装置执行作为打包软件或在线软件而提供的上述程序，由此，能够使信息处理装置作为验证信息生成装置10发挥功能。这里所说的信息处理装置包括台式或笔记本型个人计算机、机架搭载型的服务器计算机等。此外，除此之外，在信息处理装置中，智能手机、移动电话机、PHS(PersonalHandyphone System：个人手持电话系统)等移动体通信终端、以及PDA(Personal DigitalAssistants：个人数字助理)等也包含在其范畴内。此外，也可以将验证信息生成装置10安装于云服务器。

使用图13对执行上述程序(验证信息生成程序)的计算机的一例进行说明。如图13所示，计算机1000例如包含存储器1010、CPU1020、硬盘驱动器接口1030、盘驱动器接口1040、串行端口接口1050、视频适配器1060和网络接口1070。这些各部分通过总线1080连接。

存储器1010包含ROM(Read Only Memory：只读存储器)1011和RAM(Random AccessMemory：随机存取存储器)1012。ROM1011例如存储BIOS(Basic Input Output System：基本输入输出系统)等引导程序。硬盘驱动器接口1030与硬盘驱动器1090连接。盘驱动器接口1040与盘驱动器1100连接。在盘驱动器1100中例如插入磁盘、光盘等可拆装的存储介质。在串行端口接口1050例如连接有鼠标1110和键盘1120。在视频适配器1060例如连接有显示器1130。

这里，如图13所示，硬盘驱动器1090例如存储OS1091、应用程序1092、程序模块1093和程序数据1094。所述实施方式中说明的数据存储部例如装备于硬盘驱动器1090、存储器1010。

而且，CPU1020根据需要将硬盘驱动器1090中存储的程序模块1093、程序数据1094读出到RAM1012，执行上述各顺序。

另外，上述验证信息生成程序所涉及的程序模块1093、程序数据1094不限于存储于硬盘驱动器1090的情况，例如，也可以存储于可拆装的存储介质，经由盘驱动器1100等由CPU1020读出。或者，上述程序所涉及的程序模块1093、程序数据1094也可以存储于经由LAN、WAN(WIDe Area Network：广域网)等网络连接的其他计算机，经由网络接口1070由CPU1020读出。

标号说明

10 验证信息生成装置

20 验证装置

11 数据处理部

12 数据存储部

111 处理受理部

112 动态解析处理部

113 签名赋予部

114 判定部

115 静态解析处理部

116 发送部

117 收集部

118 分析部

119 输出部

120 修正部

121 验证信息列表存储部

122 带签名的验证信息列表存储部

123 动态解析规则存储部

124 静态解析规则存储部

125 错误日志列表存储部

126 文件结构信息列表存储部

127 误检测知识信息列表存储部