JP2001236314A - 不正通信ソフトウェア検出方法 - Google Patents
不正通信ソフトウェア検出方法Info
- Publication number
- JP2001236314A JP2001236314A JP2000047220A JP2000047220A JP2001236314A JP 2001236314 A JP2001236314 A JP 2001236314A JP 2000047220 A JP2000047220 A JP 2000047220A JP 2000047220 A JP2000047220 A JP 2000047220A JP 2001236314 A JP2001236314 A JP 2001236314A
- Authority
- JP
- Japan
- Prior art keywords
- background process
- digital signature
- unauthorized communication
- daemon
- software
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Granted
Links
Landscapes
- Data Exchanges In Wide-Area Networks (AREA)
Abstract
(57)【要約】
【課題】 不正通信を助けるバックドア５３等のソフト
ウェアを効率的に検出することができる不正通信ソフト
ウェア検出方法を提供する。 【解決手段】 改竄不可能なディジタル署名されたハッ
シュ値をデーモン・プログラム毎に記録しておくことが
できるため、デーモン・プログラムが不正な通信を行う
バックドアに置きかえられた場合であっても、このバッ
クドアを簡易に検出することができる。ディジタル署名
は、デーモン・プログラム自体、デーモン・プログラム
が出力するログファイルまたはパケット、デーモン・プ
ログラムに固有の設定ファイルにすることもできる。デ
ーモン・プログラムがお互いに認証を終わり、ＴＣＰ層
でのコネクションを張った後も、デーモン間で定期的に
ディジタル署名されたハッシュ値を交換し、常時デーモ
ン・プログラムを監視することができる。
ウェアを効率的に検出することができる不正通信ソフト
ウェア検出方法を提供する。 【解決手段】 改竄不可能なディジタル署名されたハッ
シュ値をデーモン・プログラム毎に記録しておくことが
できるため、デーモン・プログラムが不正な通信を行う
バックドアに置きかえられた場合であっても、このバッ
クドアを簡易に検出することができる。ディジタル署名
は、デーモン・プログラム自体、デーモン・プログラム
が出力するログファイルまたはパケット、デーモン・プ
ログラムに固有の設定ファイルにすることもできる。デ
ーモン・プログラムがお互いに認証を終わり、ＴＣＰ層
でのコネクションを張った後も、デーモン間で定期的に
ディジタル署名されたハッシュ値を交換し、常時デーモ
ン・プログラムを監視することができる。
Description
【０００１】
【発明の属する技術分野】本発明は、不正通信ソフトウ
ェア検出方法に関し、特に認証書と秘密鍵とを用いて署
名・検証を行う認証書システムを利用することにより不
正通信ソフトウェアを自動的に判別する不正通信ソフト
ウェア検出方法に関する。
ェア検出方法に関し、特に認証書と秘密鍵とを用いて署
名・検証を行う認証書システムを利用することにより不
正通信ソフトウェアを自動的に判別する不正通信ソフト
ウェア検出方法に関する。
【０００２】
【従来の技術】図２４は、従来の不正通信ソフトウェア
検出方法を示す。図２４において、符号５０は管理対象
のコンピュータであるパーソナル・コンピュータ（Pers
onal Computer : ＰＣ）またはワークステーション（Wo
rk Station : ＷＳ）（以下、「ＰＣ等」という）、５
１はＰＣ等５０内で生成されたバックグラウンド・プロ
セスのエフ・ティ・ピー・デーモン（ftpDaemon : 以
下、「ftpデーモン」という）、５２はＰＣ等５０内で
生成されたバックグラウンド・プロセスのテルネット・
デーモン（telnetDaemon : 以下、「telnetデーモン」
という）、５３はＰＣ等５０内に不正に仕掛けられた不
正通信ソフトウェアであるバックドア（BackDoor）、６
０はプロセスと各デーモンが出力するログ等とを逐一監
視し、ネットワークを管理するネットワーク管理者、７
０は正規にＰＣ等５０を利用する正規利用者、８０はセ
キュリティ・ホール（security hole）等を利用してＰ
Ｃ等５０内に侵入し、本来のデーモン５１等をバックド
ア・デーモンに入れ替えたり、一度作成した抜け道を通
して正規利用者７０に取って代わる不正通信を行なう侵
入者、４００はＰＣ等５０、ネットワーク管理者６０、
正規利用者７０および侵入者８０を接続するネットワー
クである。以下「ネットワーク」という場合、接続され
たＰＣ等５０も含めた全体を表現する場合にも用いる。
検出方法を示す。図２４において、符号５０は管理対象
のコンピュータであるパーソナル・コンピュータ（Pers
onal Computer : ＰＣ）またはワークステーション（Wo
rk Station : ＷＳ）（以下、「ＰＣ等」という）、５
１はＰＣ等５０内で生成されたバックグラウンド・プロ
セスのエフ・ティ・ピー・デーモン（ftpDaemon : 以
下、「ftpデーモン」という）、５２はＰＣ等５０内で
生成されたバックグラウンド・プロセスのテルネット・
デーモン（telnetDaemon : 以下、「telnetデーモン」
という）、５３はＰＣ等５０内に不正に仕掛けられた不
正通信ソフトウェアであるバックドア（BackDoor）、６
０はプロセスと各デーモンが出力するログ等とを逐一監
視し、ネットワークを管理するネットワーク管理者、７
０は正規にＰＣ等５０を利用する正規利用者、８０はセ
キュリティ・ホール（security hole）等を利用してＰ
Ｃ等５０内に侵入し、本来のデーモン５１等をバックド
ア・デーモンに入れ替えたり、一度作成した抜け道を通
して正規利用者７０に取って代わる不正通信を行なう侵
入者、４００はＰＣ等５０、ネットワーク管理者６０、
正規利用者７０および侵入者８０を接続するネットワー
クである。以下「ネットワーク」という場合、接続され
たＰＣ等５０も含めた全体を表現する場合にも用いる。
【０００３】次に動作について説明する。従来、ネット
ワーク管理者６０は、プロセスリストを表示させたとき
に経験から考えてプロセスが不審な実行のされ方をして
いることに偶然に気付いた場合、オペレーティング・シ
ステムが残す膨大なログファイルを定期的に監視するこ
とにより、不正通信ソフトウェアである証拠を押さえ、
それをもとにしてネットワーク４００のどこかに隠され
ているバックドア５３を探していた。
ワーク管理者６０は、プロセスリストを表示させたとき
に経験から考えてプロセスが不審な実行のされ方をして
いることに偶然に気付いた場合、オペレーティング・シ
ステムが残す膨大なログファイルを定期的に監視するこ
とにより、不正通信ソフトウェアである証拠を押さえ、
それをもとにしてネットワーク４００のどこかに隠され
ているバックドア５３を探していた。
【０００４】
【発明が解決しようとする課題】上述のように、不正通
信を助けるバックドア５３はネットワーク４００に巧妙
に隠されて仕掛けられているため、バックドア５３の発
見は豊富な経験を持ったネットワーク管理者６０の勘に
頼っていた。一方、下位のプロトコル層のネットワーク
通信サービスを提供するftpデーモン５１等のデーモン
・プログラムまたはデーモン・ソフトウェア（以下、
「デーモン・プログラム」という）は、通常ファイルと
同様にユーザの権限に基づくアクセス制限によってのみ
セキュリティを確保されている。従って、ネットワーク
通信サービスを提供するデーモン・プログラムそのもの
を入れ替えられた場合、ログファイルの詳細な解析以外
にバックドア５３を効率的に検出することは極めて困難
であるという問題があった。
信を助けるバックドア５３はネットワーク４００に巧妙
に隠されて仕掛けられているため、バックドア５３の発
見は豊富な経験を持ったネットワーク管理者６０の勘に
頼っていた。一方、下位のプロトコル層のネットワーク
通信サービスを提供するftpデーモン５１等のデーモン
・プログラムまたはデーモン・ソフトウェア（以下、
「デーモン・プログラム」という）は、通常ファイルと
同様にユーザの権限に基づくアクセス制限によってのみ
セキュリティを確保されている。従って、ネットワーク
通信サービスを提供するデーモン・プログラムそのもの
を入れ替えられた場合、ログファイルの詳細な解析以外
にバックドア５３を効率的に検出することは極めて困難
であるという問題があった。
【０００５】そこで、本発明の目的は、上記問題を解決
するためになされたものであり、不正通信を助けるバッ
クドア５３等のソフトウェアを効率的に検出することが
できる不正通信ソフトウェア検出方法を提供することに
ある。
するためになされたものであり、不正通信を助けるバッ
クドア５３等のソフトウェアを効率的に検出することが
できる不正通信ソフトウェア検出方法を提供することに
ある。
【０００６】
【課題を解決するための手段】この発明の不正通信ソフ
トウェア検出方法は、ネットワークを介して接続された
複数のコンピュータ間で不正な通信を行なうソフトウェ
アを検出する不正通信ソフトウェア検出方法であって、
前記複数のコンピュータ上で各々バックグラウンド・プ
ロセスを生成する際に同時に、ディジタル署名の対象と
なるデータを各々ハッシュするハッシュステップと、前
記ハッシュステップによりハッシュされたデータを各コ
ンピュータの有する所定の秘密鍵で各々変換して各ディ
ジタル署名を生成するディジタル署名ステップと、前記
ディジタル署名ステップにより生成された各ディジタル
署名をネットワークを介して接続された記録装置に各々
記録するディジタル署名記録ステップと、バックグラウ
ンド・プロセスが他のコンピュータ上の対応する他のバ
ックグラウンド・プロセスと通信を行なう場合、前記記
録装置に記録された他のバックグラウンド・プロセスの
ディジタル署名を他のコンピュータの有する所定の秘密
鍵に対応する公開鍵で変換して検証することにより、該
他のバックグラウンド・プロセスが不正な通信を行うソ
フトウェアであるか否かを認証する認証ステップとを備
えたものである。
トウェア検出方法は、ネットワークを介して接続された
複数のコンピュータ間で不正な通信を行なうソフトウェ
アを検出する不正通信ソフトウェア検出方法であって、
前記複数のコンピュータ上で各々バックグラウンド・プ
ロセスを生成する際に同時に、ディジタル署名の対象と
なるデータを各々ハッシュするハッシュステップと、前
記ハッシュステップによりハッシュされたデータを各コ
ンピュータの有する所定の秘密鍵で各々変換して各ディ
ジタル署名を生成するディジタル署名ステップと、前記
ディジタル署名ステップにより生成された各ディジタル
署名をネットワークを介して接続された記録装置に各々
記録するディジタル署名記録ステップと、バックグラウ
ンド・プロセスが他のコンピュータ上の対応する他のバ
ックグラウンド・プロセスと通信を行なう場合、前記記
録装置に記録された他のバックグラウンド・プロセスの
ディジタル署名を他のコンピュータの有する所定の秘密
鍵に対応する公開鍵で変換して検証することにより、該
他のバックグラウンド・プロセスが不正な通信を行うソ
フトウェアであるか否かを認証する認証ステップとを備
えたものである。
【０００７】この発明の不正通信ソフトウェア検出方法
は、ネットワークを介して接続された複数のコンピュー
タ間で不正な通信を行なうソフトウェアを検出する不正
通信ソフトウェア検出方法であって、前記複数のコンピ
ュータ上で各々バックグラウンド・プロセスを生成する
際に、各バックグランド・プロセスに対し各々公開鍵演
算を施して秘密鍵と認証書とを生成する鍵ペア生成ステ
ップと、前記鍵ペア生成ステップにより生成された秘密
鍵で各バックグランド・プロセスを変換し、各ディジタ
ル署名を生成するディジタル署名ステップと、バックグ
ラウンド・プロセスが他のコンピュータ上の対応する他
のバックグラウンド・プロセスと通信を行なう場合、デ
ィジタル署名された他のバックグラウンド・プロセスを
読み込み他のバックグランド・プロセスの認証書で変換
して検証することにより、該他のバックグラウンド・プ
ロセスが不正な通信を行うソフトウェアであるか否かを
認証する認証ステップとを備えたものである。
は、ネットワークを介して接続された複数のコンピュー
タ間で不正な通信を行なうソフトウェアを検出する不正
通信ソフトウェア検出方法であって、前記複数のコンピ
ュータ上で各々バックグラウンド・プロセスを生成する
際に、各バックグランド・プロセスに対し各々公開鍵演
算を施して秘密鍵と認証書とを生成する鍵ペア生成ステ
ップと、前記鍵ペア生成ステップにより生成された秘密
鍵で各バックグランド・プロセスを変換し、各ディジタ
ル署名を生成するディジタル署名ステップと、バックグ
ラウンド・プロセスが他のコンピュータ上の対応する他
のバックグラウンド・プロセスと通信を行なう場合、デ
ィジタル署名された他のバックグラウンド・プロセスを
読み込み他のバックグランド・プロセスの認証書で変換
して検証することにより、該他のバックグラウンド・プ
ロセスが不正な通信を行うソフトウェアであるか否かを
認証する認証ステップとを備えたものである。
【０００８】ここで、この発明の不正通信ソフトウェア
検出方法は、前記認証ステップにおいて前記他のバック
グラウンド・プロセスが不正な通信を行うソフトウェア
ではないと認証された後に、前記記録装置に記録された
各ディジタル署名を所定の期間毎に相互に交換して検証
を行なう交換ステップをさらに備えることができるもの
である。
検出方法は、前記認証ステップにおいて前記他のバック
グラウンド・プロセスが不正な通信を行うソフトウェア
ではないと認証された後に、前記記録装置に記録された
各ディジタル署名を所定の期間毎に相互に交換して検証
を行なう交換ステップをさらに備えることができるもの
である。
【０００９】ここで、この発明の不正通信ソフトウェア
検出方法において、前記ディジタル署名ステップは、前
記鍵ペア生成ステップにより生成された秘密鍵で各バッ
クグランド・プロセスが出力する所定のデータを変換
し、各ディジタル署名を生成し、前記認証ステップは、
バックグラウンド・プロセスが他のコンピュータ上の対
応する他のバックグラウンド・プロセスと通信を行なう
場合、ディジタル署名された他のバックグラウンド・プ
ロセスの所定のデータを他のバックグランド・プロセス
の認証書で変換して検証することにより、該他のバック
グラウンド・プロセスが不正な通信を行うソフトウェア
であるか否かを認証することができるものである。
検出方法において、前記ディジタル署名ステップは、前
記鍵ペア生成ステップにより生成された秘密鍵で各バッ
クグランド・プロセスが出力する所定のデータを変換
し、各ディジタル署名を生成し、前記認証ステップは、
バックグラウンド・プロセスが他のコンピュータ上の対
応する他のバックグラウンド・プロセスと通信を行なう
場合、ディジタル署名された他のバックグラウンド・プ
ロセスの所定のデータを他のバックグランド・プロセス
の認証書で変換して検証することにより、該他のバック
グラウンド・プロセスが不正な通信を行うソフトウェア
であるか否かを認証することができるものである。
【００１０】ここで、この発明の不正通信ソフトウェア
検出方法において、前記所定のデータは、バックグラウ
ンド・プロセスが出力するログ・ファイルとすることが
できるものである。
検出方法において、前記所定のデータは、バックグラウ
ンド・プロセスが出力するログ・ファイルとすることが
できるものである。
【００１１】ここで、この発明の不正通信ソフトウェア
検出方法において、前記所定のデータは、バックグラウ
ンド・プロセスが出力するパケット・データとすること
ができるものである。
検出方法において、前記所定のデータは、バックグラウ
ンド・プロセスが出力するパケット・データとすること
ができるものである。
【００１２】ここで、この発明の不正通信ソフトウェア
検出方法において、前記ディジタル署名記録ステップ
は、前記ディジタル署名ステップにより生成された各デ
ィジタル署名を前記バックグラウンド・プロセスに固有
の記録装置に各々記録することができるものである。
検出方法において、前記ディジタル署名記録ステップ
は、前記ディジタル署名ステップにより生成された各デ
ィジタル署名を前記バックグラウンド・プロセスに固有
の記録装置に各々記録することができるものである。
【００１３】ここで、この発明の不正通信ソフトウェア
検出方法において、前記所定のデータは、バックグラウ
ンド・プロセスの構成を記録した設定ファイルであり、
前記認証ステップは、正規のユーザがバックグラウンド
・プロセスの利用を行なう場合、ディジタル署名された
該バックグラウンド・プロセスの設定ファイルを該バッ
クグランド・プロセスの認証書で変換して検証すること
により、該バックグラウンド・プロセスが不正な通信を
行うソフトウェアであるか否かを認証することができる
ものである。
検出方法において、前記所定のデータは、バックグラウ
ンド・プロセスの構成を記録した設定ファイルであり、
前記認証ステップは、正規のユーザがバックグラウンド
・プロセスの利用を行なう場合、ディジタル署名された
該バックグラウンド・プロセスの設定ファイルを該バッ
クグランド・プロセスの認証書で変換して検証すること
により、該バックグラウンド・プロセスが不正な通信を
行うソフトウェアであるか否かを認証することができる
ものである。
【００１４】ここで、この発明の不正通信ソフトウェア
検出方法において、前記ディジタル署名ステップは、前
記ハッシュステップによりハッシュされたデータを各コ
ンピュータに共通の秘密鍵で各々変換して各ディジタル
署名を生成し、前記ディジタル署名記録ステップは、前
記ディジタル署名ステップにより生成された各ディジタ
ル署名を前記バックグラウンド・プロセスに固有の記録
装置に各々記録し、前記認証ステップの後に、正規のユ
ーザがバックグラウンド・プロセスの実行設定を行なう
場合、前記認証ステップにより不正な通信を行うソフト
ウェアではないと認証されたバックグラウンド・プロセ
スに対して所定のコマンドを送り、該所定のコマンドに
対して各バックグラウンド・プロセスから返された結果
の多数決をとることにより、バックグラウンド・プロセ
スが不正な通信を行うソフトウェアであるか否かを認証
することができるものである。 〔発明の詳細な説明〕
検出方法において、前記ディジタル署名ステップは、前
記ハッシュステップによりハッシュされたデータを各コ
ンピュータに共通の秘密鍵で各々変換して各ディジタル
署名を生成し、前記ディジタル署名記録ステップは、前
記ディジタル署名ステップにより生成された各ディジタ
ル署名を前記バックグラウンド・プロセスに固有の記録
装置に各々記録し、前記認証ステップの後に、正規のユ
ーザがバックグラウンド・プロセスの実行設定を行なう
場合、前記認証ステップにより不正な通信を行うソフト
ウェアではないと認証されたバックグラウンド・プロセ
スに対して所定のコマンドを送り、該所定のコマンドに
対して各バックグラウンド・プロセスから返された結果
の多数決をとることにより、バックグラウンド・プロセ
スが不正な通信を行うソフトウェアであるか否かを認証
することができるものである。 〔発明の詳細な説明〕
【００１５】
【発明の実施の形態】以下、図面を参照して、本発明の
実施の形態を詳細に説明する。
実施の形態を詳細に説明する。
【００１６】図１は、本発明の各実施の形態に共通する
概要を示す。図１において、符号１０はサーバ・コンピ
ュータ１、１５はサーバ・コンピュータ１（１０）のロ
グファイル等、２０はサーバ・コンピュータ２、２５は
サーバ・コンピュータ２（２０）のログファイル等、３
０はプリンタ・サーバ、３２はＰＣ、３５はノートブッ
ク型のＰＣ、３７はサーバ・コンピュータ１（１０）、
サーバ・コンピュータ２（２０）、プリンタ・サーバ３
０、ＰＣ３２およびノートブック型のＰＣ３５等を接続
するネットワークである。
概要を示す。図１において、符号１０はサーバ・コンピ
ュータ１、１５はサーバ・コンピュータ１（１０）のロ
グファイル等、２０はサーバ・コンピュータ２、２５は
サーバ・コンピュータ２（２０）のログファイル等、３
０はプリンタ・サーバ、３２はＰＣ、３５はノートブッ
ク型のＰＣ、３７はサーバ・コンピュータ１（１０）、
サーバ・コンピュータ２（２０）、プリンタ・サーバ３
０、ＰＣ３２およびノートブック型のＰＣ３５等を接続
するネットワークである。
【００１７】図１に示されるように、サーバ・コンピュ
ータ１（１０）またはサーバ・コンピュータ２（２０）
は、各々ログファイル等１５または２５の中に、デーモ
ン・プログラムを生成した際にハッシュ・アルゴリズム
により得られた値を埋め込んでおく。具体的にはログフ
ァイル１５の中の下線１７またはログファイル２５の中
の下線２７で示されるsyslogd等が、定期的にお互いの
ハッシュ値を計算し、相手のデーモン・プログラムがバ
ックドアに置きかえられていなかどうかを検査する。こ
のため一般的にトロイの木馬（Trojan Horse）といわれ
る、ユーティリティに見せかけておいて取り込んで実行
するとシステムを破壊等するソフトウェアを仕込まれて
しまった場合でも、その検出を容易に行なうことができ
る。
ータ１（１０）またはサーバ・コンピュータ２（２０）
は、各々ログファイル等１５または２５の中に、デーモ
ン・プログラムを生成した際にハッシュ・アルゴリズム
により得られた値を埋め込んでおく。具体的にはログフ
ァイル１５の中の下線１７またはログファイル２５の中
の下線２７で示されるsyslogd等が、定期的にお互いの
ハッシュ値を計算し、相手のデーモン・プログラムがバ
ックドアに置きかえられていなかどうかを検査する。こ
のため一般的にトロイの木馬（Trojan Horse）といわれ
る、ユーティリティに見せかけておいて取り込んで実行
するとシステムを破壊等するソフトウェアを仕込まれて
しまった場合でも、その検出を容易に行なうことができ
る。
【００１８】実施の形態１.図２ないし４は、本発明の
実施の形態１における不正通信ソフトウェア検出方法を
示す。図２ないし４において、符号１００は管理対象の
コンピュータであるＰＣ等Ａ、１１０はＰＣ等Ａ１００
内で生成されたftpデーモン、１２０はＰＣ等Ａ１１０
内で生成されたtelnetデーモン、２００は管理対象のコ
ンピュータであるＰＣ等Ｂ、２１０はＰＣ等Ｂ２００内
で生成されたftpデーモン、２２０はＰＣ等Ｂ２００内
で生成されたtelnetデーモン、３００はＰＣ等Ａ１００
またはＰＣ等Ｂ２００がハッシュ値等のデータを記録す
る記録装置、３１０はtelnetデーモン１２０が記録装置
３００に記録するディジタル署名されたハッシュ値（Ｈ
（Ａ，telnet））、３２０はftpデーモン１１０が記録
装置３００に記録するディジタル署名されたハッシュ値
（Ｈ（Ａ，ftp））、３３０はtelnetデーモン２２０が
記録装置３００に記録するディジタル署名されたハッシ
ュ値（Ｈ（Ｂ，telnet））、３４０はftpデーモン２１
０が記録装置３００に記録するディジタル署名されたハ
ッシュ値（Ｈ（Ｂ，ftp））、３５０は記録装置３００
に記録されたその他の値、４００はＰＣ等Ａ１００、Ｐ
Ｃ等Ｂ２００および記録装置３００を接続するネットワ
ークである。
実施の形態１における不正通信ソフトウェア検出方法を
示す。図２ないし４において、符号１００は管理対象の
コンピュータであるＰＣ等Ａ、１１０はＰＣ等Ａ１００
内で生成されたftpデーモン、１２０はＰＣ等Ａ１１０
内で生成されたtelnetデーモン、２００は管理対象のコ
ンピュータであるＰＣ等Ｂ、２１０はＰＣ等Ｂ２００内
で生成されたftpデーモン、２２０はＰＣ等Ｂ２００内
で生成されたtelnetデーモン、３００はＰＣ等Ａ１００
またはＰＣ等Ｂ２００がハッシュ値等のデータを記録す
る記録装置、３１０はtelnetデーモン１２０が記録装置
３００に記録するディジタル署名されたハッシュ値（Ｈ
（Ａ，telnet））、３２０はftpデーモン１１０が記録
装置３００に記録するディジタル署名されたハッシュ値
（Ｈ（Ａ，ftp））、３３０はtelnetデーモン２２０が
記録装置３００に記録するディジタル署名されたハッシ
ュ値（Ｈ（Ｂ，telnet））、３４０はftpデーモン２１
０が記録装置３００に記録するディジタル署名されたハ
ッシュ値（Ｈ（Ｂ，ftp））、３５０は記録装置３００
に記録されたその他の値、４００はＰＣ等Ａ１００、Ｐ
Ｃ等Ｂ２００および記録装置３００を接続するネットワ
ークである。
【００１９】図２に示されるように、ＰＣ等Ａ１００ま
たはＰＣ等Ｂ２００においてネットワーク通信を行うデ
ーモン・プログラムをメイク（make）する際に、同時
に、ディジタル署名の対象となるデータをハッシュ（Ha
sh）してハッシュ値を作成する。次に、このハッシュ値
をＰＣ等Ａ１００またはＰＣ等Ｂ２００が有する所定の
秘密鍵で各々変換してディジタル署名を生成し、このデ
ィジタル署名を記録装置３００に各々記録する（ステッ
プＳ１０、Ｓ１２，Ｓ１５、Ｓ１７）。このハッシュ値
はデーモン・プログラム毎に固有に署名されているため
改竄される心配はない。格納場所は記録装置３００だけ
ではなく任意に決められた場所であってもよい。
たはＰＣ等Ｂ２００においてネットワーク通信を行うデ
ーモン・プログラムをメイク（make）する際に、同時
に、ディジタル署名の対象となるデータをハッシュ（Ha
sh）してハッシュ値を作成する。次に、このハッシュ値
をＰＣ等Ａ１００またはＰＣ等Ｂ２００が有する所定の
秘密鍵で各々変換してディジタル署名を生成し、このデ
ィジタル署名を記録装置３００に各々記録する（ステッ
プＳ１０、Ｓ１２，Ｓ１５、Ｓ１７）。このハッシュ値
はデーモン・プログラム毎に固有に署名されているため
改竄される心配はない。格納場所は記録装置３００だけ
ではなく任意に決められた場所であってもよい。
【００２０】図３に示されるように、管理対象のＰＣ等
Ｂ２００内のftpデーモン２１０がＰＣ等Ａ１００内の
対応するftpデーモン１１０と通信を行なう場合、記録
装置３００に記録されたftpデーモン１１０が生成し記
録したディジタル署名３２０をＰＣ等Ａ１００の有する
所定の秘密鍵に対応する公開鍵で変換して検証する（ス
テップＳ２０）。この検証により、ftpデーモン１１０
が不正な通信を行うソフトウェアであるか否かを認証す
ることができる（ステップＳ３０）。以上と同様の操作
をＰＣ等Ａ１００側も行ない、お互いに認証が終わって
から、ＴＣＰ層でのコネクションを張る（ステップＳ４
０）。
Ｂ２００内のftpデーモン２１０がＰＣ等Ａ１００内の
対応するftpデーモン１１０と通信を行なう場合、記録
装置３００に記録されたftpデーモン１１０が生成し記
録したディジタル署名３２０をＰＣ等Ａ１００の有する
所定の秘密鍵に対応する公開鍵で変換して検証する（ス
テップＳ２０）。この検証により、ftpデーモン１１０
が不正な通信を行うソフトウェアであるか否かを認証す
ることができる（ステップＳ３０）。以上と同様の操作
をＰＣ等Ａ１００側も行ない、お互いに認証が終わって
から、ＴＣＰ層でのコネクションを張る（ステップＳ４
０）。
【００２１】図４に示されるように、何らかのセキュリ
ティ・ホールを利用して侵入した正規でないユーザ１３
０が、あるデーモン・プログラム、例えばftpデーモン
１１０を不正通信ソフトウェアであるバックドア１１５
と入れ替えた場合を考える。上述のように、改竄不可能
な、ftpデーモン１１０が生成し記録したディジタル署
名３２０はそのまま記録装置３００内に残っている。し
たがって、ftpデーモン２１０とバックドア１１５とが
上述のように相互に認証を行った場合、バックドア１１
５に置きかえられていることを検出することができる
（ステップＳ７０）。最後に、バックドア１１５にはＰ
Ｃウィルスに類似の機能がある危険性を考えて、ftpデ
ーモン２１０はネットワーク管理者に通知を行い、バッ
クドア１１５とのコネクションを自動的に切断する（ス
テップＳ８０）。
ティ・ホールを利用して侵入した正規でないユーザ１３
０が、あるデーモン・プログラム、例えばftpデーモン
１１０を不正通信ソフトウェアであるバックドア１１５
と入れ替えた場合を考える。上述のように、改竄不可能
な、ftpデーモン１１０が生成し記録したディジタル署
名３２０はそのまま記録装置３００内に残っている。し
たがって、ftpデーモン２１０とバックドア１１５とが
上述のように相互に認証を行った場合、バックドア１１
５に置きかえられていることを検出することができる
（ステップＳ７０）。最後に、バックドア１１５にはＰ
Ｃウィルスに類似の機能がある危険性を考えて、ftpデ
ーモン２１０はネットワーク管理者に通知を行い、バッ
クドア１１５とのコネクションを自動的に切断する（ス
テップＳ８０）。
【００２２】以上より、実施の形態１によれば、改竄不
可能なディジタル署名されたハッシュ値をデーモン・プ
ログラム毎に記録しておくことができるため、デーモン
・プログラムが不正な通信を行うバックドアに置きかえ
られた場合であっても、このバックドアを簡易に検出す
ることができる。
可能なディジタル署名されたハッシュ値をデーモン・プ
ログラム毎に記録しておくことができるため、デーモン
・プログラムが不正な通信を行うバックドアに置きかえ
られた場合であっても、このバックドアを簡易に検出す
ることができる。
【００２３】実施の形態２.図５ないし７は、本発明の
実施の形態２における不正通信ソフトウェア検出方法を
示す。図２ないし４で図２ないし４と同じ符号を付した
箇所は同じ機能を有するため説明は省略する。図５ない
し７において、符号５００は秘密鍵５１０と認証書５２
０とを生成するＰＣ等Ｂ２００のインストーラ、６００
は秘密鍵６１０と認証書６２０とを生成するＰＣ等Ａ１
００のインストーラである。
実施の形態２における不正通信ソフトウェア検出方法を
示す。図２ないし４で図２ないし４と同じ符号を付した
箇所は同じ機能を有するため説明は省略する。図５ない
し７において、符号５００は秘密鍵５１０と認証書５２
０とを生成するＰＣ等Ｂ２００のインストーラ、６００
は秘密鍵６１０と認証書６２０とを生成するＰＣ等Ａ１
００のインストーラである。
【００２４】図５に示されるように、ＰＣ等Ａ１００に
おいてネットワーク通信を行うデーモン・プログラムを
メイク（make）する際に、各デーモン１１０、１２０等
毎に各々公開鍵演算を施して秘密鍵６１０と認証書６２
０とを生成する（ステップＳ１００）。ＰＣ等Ｂ２００
においても同様に、ネットワーク通信を行うデーモン・
プログラムをメイク（make）する際に、各デーモン２１
０、２２０等毎に各々公開鍵演算を施して秘密鍵５１０
と認証書５２０とを生成する（ステップＳ２００）。次
に、ＰＣ等Ａ１００において、生成された秘密鍵６１０
でftpデーモン１１０等を変換し、ディジタル署名を生
成する（ステップＳ１２０）。ＰＣ等Ｂ２００において
も同様に、生成された秘密鍵５１０でftpデーモン２１
０等を変換し、ディジタル署名を生成する（ステップＳ
２２０）。
おいてネットワーク通信を行うデーモン・プログラムを
メイク（make）する際に、各デーモン１１０、１２０等
毎に各々公開鍵演算を施して秘密鍵６１０と認証書６２
０とを生成する（ステップＳ１００）。ＰＣ等Ｂ２００
においても同様に、ネットワーク通信を行うデーモン・
プログラムをメイク（make）する際に、各デーモン２１
０、２２０等毎に各々公開鍵演算を施して秘密鍵５１０
と認証書５２０とを生成する（ステップＳ２００）。次
に、ＰＣ等Ａ１００において、生成された秘密鍵６１０
でftpデーモン１１０等を変換し、ディジタル署名を生
成する（ステップＳ１２０）。ＰＣ等Ｂ２００において
も同様に、生成された秘密鍵５１０でftpデーモン２１
０等を変換し、ディジタル署名を生成する（ステップＳ
２２０）。
【００２５】図６に示されるように、ＰＣ等Ｂ２００の
ftpデーモン２１０は、ＰＣ等Ａ１００の対応するftpデ
ーモン１１０のディジタル署名された実行形式のファイ
ルを読みこみ（ステップＳ３００）、公開されている認
証書６２０で変換して検証することにより、ftpデーモ
ン１１０が不正な通信を行うバックドアであるか否かを
認証する（ステップＳ３７５）。以上の操作をＰＣ等Ａ
１００側からも行ない、ftpデーモン２１０が不正な通
信を行うバックドアであるか否かを認証する（ステップ
Ｓ３２５、Ｓ３５０）。以上の検証を相互に行なった
後、ＴＣＰ層でのコネクションを張る。
ftpデーモン２１０は、ＰＣ等Ａ１００の対応するftpデ
ーモン１１０のディジタル署名された実行形式のファイ
ルを読みこみ（ステップＳ３００）、公開されている認
証書６２０で変換して検証することにより、ftpデーモ
ン１１０が不正な通信を行うバックドアであるか否かを
認証する（ステップＳ３７５）。以上の操作をＰＣ等Ａ
１００側からも行ない、ftpデーモン２１０が不正な通
信を行うバックドアであるか否かを認証する（ステップ
Ｓ３２５、Ｓ３５０）。以上の検証を相互に行なった
後、ＴＣＰ層でのコネクションを張る。
【００２６】図７に示されるように、何らかのセキュリ
ティ・ホールを利用して侵入した正規でないユーザが、
あるデーモン・プログラム、例えばftpデーモン１１０
を不正通信ソフトウェアであるバックドア１１５と入れ
替えた場合を考える。上述のように、入れかえられたバ
ックドア１１５にはディジタル署名されていないため、
ftpデーモン２１０とバックドア１１５とが上述のよう
に相互に認証を行った場合、バックドア１１５に置きか
えられていることを検出することができる（ステップＳ
４００、Ｓ４２０）。最後に、バックドア１１５にはＰ
Ｃウィルスに類似の機能がある危険性を考えて、ftpデ
ーモン２１０はネットワーク管理者に通知を行い、バッ
クドア１１５とのコネクションを自動的に切断する。
ティ・ホールを利用して侵入した正規でないユーザが、
あるデーモン・プログラム、例えばftpデーモン１１０
を不正通信ソフトウェアであるバックドア１１５と入れ
替えた場合を考える。上述のように、入れかえられたバ
ックドア１１５にはディジタル署名されていないため、
ftpデーモン２１０とバックドア１１５とが上述のよう
に相互に認証を行った場合、バックドア１１５に置きか
えられていることを検出することができる（ステップＳ
４００、Ｓ４２０）。最後に、バックドア１１５にはＰ
Ｃウィルスに類似の機能がある危険性を考えて、ftpデ
ーモン２１０はネットワーク管理者に通知を行い、バッ
クドア１１５とのコネクションを自動的に切断する。
【００２７】以上より、実施の形態２によれば、デーモ
ン・プログラムにディジタル署名しておくことができる
ため、デーモン・プログラムが不正な通信を行うバック
ドアに置きかえられた場合であっても、このバックドア
を簡易に検出することができる。
ン・プログラムにディジタル署名しておくことができる
ため、デーモン・プログラムが不正な通信を行うバック
ドアに置きかえられた場合であっても、このバックドア
を簡易に検出することができる。
【００２８】実施の形態３.図８ないし１０は、本発明
の実施の形態３における不正通信ソフトウェア検出方法
を示す。図８ないし１０で図５ないし７と同じ符号を付
した箇所は同じ機能を有するため説明は省略する。
の実施の形態３における不正通信ソフトウェア検出方法
を示す。図８ないし１０で図５ないし７と同じ符号を付
した箇所は同じ機能を有するため説明は省略する。
【００２９】図８に示されるように、ＰＣ等Ａ１００ま
たはＰＣ等Ｂ２００においてネットワーク通信を行うデ
ーモン・プログラムをメイク（make）する際に、同時
に、ディジタル署名の対象となるデータをハッシュ（Ha
sh）してハッシュ値を作成する。次に、このハッシュ値
をＰＣ等Ａ１００またはＰＣ等Ｂ２００が有する所定の
秘密鍵で各々変換してディジタル署名を生成し、このデ
ィジタル署名を記録装置３００に各々記録する（ステッ
プＳ５００、Ｓ５２０、Ｓ５３０、Ｓ５４０）。このハ
ッシュ値はデーモン・プログラム毎に固有に署名されて
いるため改竄される心配はない。格納場所は記録装置３
００だけではなく任意に決められた場所であってもよ
い。
たはＰＣ等Ｂ２００においてネットワーク通信を行うデ
ーモン・プログラムをメイク（make）する際に、同時
に、ディジタル署名の対象となるデータをハッシュ（Ha
sh）してハッシュ値を作成する。次に、このハッシュ値
をＰＣ等Ａ１００またはＰＣ等Ｂ２００が有する所定の
秘密鍵で各々変換してディジタル署名を生成し、このデ
ィジタル署名を記録装置３００に各々記録する（ステッ
プＳ５００、Ｓ５２０、Ｓ５３０、Ｓ５４０）。このハ
ッシュ値はデーモン・プログラム毎に固有に署名されて
いるため改竄される心配はない。格納場所は記録装置３
００だけではなく任意に決められた場所であってもよ
い。
【００３０】図９に示されるように、管理対象のＰＣ等
Ｂ２００内のftpデーモン２１０がＰＣ等Ａ１００内の
対応するftpデーモン１１と通信を行なう場合、記録装
置３００に記録されたftpデーモン１１０が生成し記録
したディジタル署名３２０をＰＣ等Ａ１００の有する所
定の秘密鍵に対応する公開鍵で変換して検証する（ステ
ップＳ６００）。この検証により、ftpデーモン１１０
が不正な通信を行うソフトウェアであるか否かを認証す
ることができる（ステップＳ６２０）。以上と同様の操
作をＰＣ等Ａ１００側も行ない、お互いに認証が終わっ
てから、ＴＣＰ層でのコネクションを張る。次に、ftp
デーモン２１０と１１０とは定期的にディジタル署名さ
れたハッシュ値を交換し、常時デーモン・プログラムを
監視する（ステップＳ６３０）。元のデーモン・プログ
ラム１１０等が入れ替わる場合は、必ず１度はＴＣＰコ
ネクションが自動的に切断される。
Ｂ２００内のftpデーモン２１０がＰＣ等Ａ１００内の
対応するftpデーモン１１と通信を行なう場合、記録装
置３００に記録されたftpデーモン１１０が生成し記録
したディジタル署名３２０をＰＣ等Ａ１００の有する所
定の秘密鍵に対応する公開鍵で変換して検証する（ステ
ップＳ６００）。この検証により、ftpデーモン１１０
が不正な通信を行うソフトウェアであるか否かを認証す
ることができる（ステップＳ６２０）。以上と同様の操
作をＰＣ等Ａ１００側も行ない、お互いに認証が終わっ
てから、ＴＣＰ層でのコネクションを張る。次に、ftp
デーモン２１０と１１０とは定期的にディジタル署名さ
れたハッシュ値を交換し、常時デーモン・プログラムを
監視する（ステップＳ６３０）。元のデーモン・プログ
ラム１１０等が入れ替わる場合は、必ず１度はＴＣＰコ
ネクションが自動的に切断される。
【００３１】図１０に示されるように、何らかのセキュ
リティ・ホールを利用して侵入した正規でないユーザ１
３０が、あるデーモン・プログラム、例えばftpデーモ
ン１１０を不正通信ソフトウェアであるバックドア１１
５と入れ替えた場合を考える。上述のように、元のデー
モン・プログラム１１０等が入れ替わる場合は、必ず１
度はＴＣＰコネクションが自動的に切断されるため、ft
pデーモン２１０とバックドア１１５とが上述のように
相互に認証を行った場合、機能の一部をコピーしたバッ
クドア１１５に置きかえられていることを検出すること
ができる（ステップＳ７００）。最後に、バックドア１
１５にはＰＣウィルスに類似の機能がある危険性を考え
て、ftpデーモン２１０はネットワーク管理者に通知を
行い、バックドア１１５とのコネクションを自動的に切
断する（ステップＳ７５０）。
リティ・ホールを利用して侵入した正規でないユーザ１
３０が、あるデーモン・プログラム、例えばftpデーモ
ン１１０を不正通信ソフトウェアであるバックドア１１
５と入れ替えた場合を考える。上述のように、元のデー
モン・プログラム１１０等が入れ替わる場合は、必ず１
度はＴＣＰコネクションが自動的に切断されるため、ft
pデーモン２１０とバックドア１１５とが上述のように
相互に認証を行った場合、機能の一部をコピーしたバッ
クドア１１５に置きかえられていることを検出すること
ができる（ステップＳ７００）。最後に、バックドア１
１５にはＰＣウィルスに類似の機能がある危険性を考え
て、ftpデーモン２１０はネットワーク管理者に通知を
行い、バックドア１１５とのコネクションを自動的に切
断する（ステップＳ７５０）。
【００３２】以上より、実施の形態３によれば、デーモ
ン・プログラムがお互いに認証を終わり、ＴＣＰ層での
コネクションを張った後も、デーモン間で定期的にディ
ジタル署名されたハッシュ値を交換し、常時デーモン・
プログラムを監視することができるため、デーモン・プ
ログラムが不正な通信を行うバックドアに置きかえられ
た場合であっても、このバックドアを簡易に検出するこ
とができる。
ン・プログラムがお互いに認証を終わり、ＴＣＰ層での
コネクションを張った後も、デーモン間で定期的にディ
ジタル署名されたハッシュ値を交換し、常時デーモン・
プログラムを監視することができるため、デーモン・プ
ログラムが不正な通信を行うバックドアに置きかえられ
た場合であっても、このバックドアを簡易に検出するこ
とができる。
【００３３】実施の形態４.図１１および１２は、本発
明の実施の形態４における不正通信ソフトウェア検出方
法を示す。図１１および１２で図２ないし４と同じ符号
を付した箇所は同じ機能を有するため説明は省略する。
図１１および１２において、符号８００はftpデーモン
１１０が出力するログファイル、７００は正規利用者で
ある。
明の実施の形態４における不正通信ソフトウェア検出方
法を示す。図１１および１２で図２ないし４と同じ符号
を付した箇所は同じ機能を有するため説明は省略する。
図１１および１２において、符号８００はftpデーモン
１１０が出力するログファイル、７００は正規利用者で
ある。
【００３４】実施の形態２においては、生成された秘密
鍵６１０でftpデーモン１１０等を変換しディジタル署
名を生成したが、本実施の形態４においては実施の形態
２と異なり、生成された秘密鍵６１０でftpデーモン１
１０が出力するログファイル８００にディジタル署名を
行なうことができる（ステップＳ８１０）。正規利用者
７００は、利用したいデーモン・プログラムが出力する
ログファイル８００を公開された認証書６２０で検証
し、デーモン・プログラム１１０が正当なものであるか
否かを検証することができる（ステップＳ８２０）。こ
れにより、正規利用者７００が正規のデーモン・プログ
ラム１１０等を正しく使っていることが保障される。他
は実施の形態２と同様である。
鍵６１０でftpデーモン１１０等を変換しディジタル署
名を生成したが、本実施の形態４においては実施の形態
２と異なり、生成された秘密鍵６１０でftpデーモン１
１０が出力するログファイル８００にディジタル署名を
行なうことができる（ステップＳ８１０）。正規利用者
７００は、利用したいデーモン・プログラムが出力する
ログファイル８００を公開された認証書６２０で検証
し、デーモン・プログラム１１０が正当なものであるか
否かを検証することができる（ステップＳ８２０）。こ
れにより、正規利用者７００が正規のデーモン・プログ
ラム１１０等を正しく使っていることが保障される。他
は実施の形態２と同様である。
【００３５】図１２に示されるように、何らかのセキュ
リティ・ホールを利用して侵入した正規でないユーザ
が、あるデーモン・プログラム、例えばftpデーモン１
１０を不正通信ソフトウェアであるバックドア１１５と
入れ替えた場合を考える。上述のように、入れかえられ
たバックドア１１５が出力したログファイル８００には
ディジタル署名されていない。したがって、公開された
認証書６２０を用いることにより（ステップＳ９０
０）、バックドア１１５に置きかえられていることを検
出することができる（ステップＳ９１０）。最後に、バ
ックドア１１５にはＰＣウィルスに類似の機能がある危
険性を考えて、ftpデーモン２１０はネットワーク管理
者に通知を行い、バックドア１１５とのアクセスが禁止
される（ステップＳ９２０）。
リティ・ホールを利用して侵入した正規でないユーザ
が、あるデーモン・プログラム、例えばftpデーモン１
１０を不正通信ソフトウェアであるバックドア１１５と
入れ替えた場合を考える。上述のように、入れかえられ
たバックドア１１５が出力したログファイル８００には
ディジタル署名されていない。したがって、公開された
認証書６２０を用いることにより（ステップＳ９０
０）、バックドア１１５に置きかえられていることを検
出することができる（ステップＳ９１０）。最後に、バ
ックドア１１５にはＰＣウィルスに類似の機能がある危
険性を考えて、ftpデーモン２１０はネットワーク管理
者に通知を行い、バックドア１１５とのアクセスが禁止
される（ステップＳ９２０）。
【００３６】以上より、実施の形態４によれば、デーモ
ン・プログラムが出力するログファイルにディジタル署
名しておくことができるため、デーモン・プログラムが
不正な通信を行うバックドアに置きかえられた場合であ
っても、このバックドアを簡易に検出することができ
る。
ン・プログラムが出力するログファイルにディジタル署
名しておくことができるため、デーモン・プログラムが
不正な通信を行うバックドアに置きかえられた場合であ
っても、このバックドアを簡易に検出することができ
る。
【００３７】実施の形態５.図１３および１４は、本発
明の実施の形態５における不正通信ソフトウェア検出方
法を示す。図１３および１４で図１１および１２と同じ
符号を付した箇所は同じ機能を有するため説明は省略す
る。
明の実施の形態５における不正通信ソフトウェア検出方
法を示す。図１３および１４で図１１および１２と同じ
符号を付した箇所は同じ機能を有するため説明は省略す
る。
【００３８】実施の形態４においては、生成された秘密
鍵６１０でftpデーモン１１０が出力するログファイル
８００にディジタル署名を行なったが、本実施の形態５
においては実施の形態４と異なり、ftpデーモン１１０
が出力するパケット８１０に逐次署名を行なうことがで
きる（ステップＳ１０００）。正規利用者７００は、利
用したいデーモン・プログラムが出力するパケット８１
０を公開された認証書６２０で検証し、デーモン固有の
パケットであるか否かを検証することができる（ステッ
プＳ１１００、Ｓ１１１０）。これにより、正規利用者
７００が正規のデーモン・プログラム１１０等を正しく
使っていることが保障される。他は実施の形態４と同様
である。
鍵６１０でftpデーモン１１０が出力するログファイル
８００にディジタル署名を行なったが、本実施の形態５
においては実施の形態４と異なり、ftpデーモン１１０
が出力するパケット８１０に逐次署名を行なうことがで
きる（ステップＳ１０００）。正規利用者７００は、利
用したいデーモン・プログラムが出力するパケット８１
０を公開された認証書６２０で検証し、デーモン固有の
パケットであるか否かを検証することができる（ステッ
プＳ１１００、Ｓ１１１０）。これにより、正規利用者
７００が正規のデーモン・プログラム１１０等を正しく
使っていることが保障される。他は実施の形態４と同様
である。
【００３９】図１４に示されるように、何らかのセキュ
リティ・ホールを利用して侵入した正規でないユーザ
が、あるデーモン・プログラム、例えばftpデーモン１
１０を不正通信ソフトウェアであるバックドア１１５と
入れ替えた場合を考える。上述のように、入れかえられ
たバックドア１１５が出力したパケット８１０にはディ
ジタル署名されていない。したがって、公開された認証
書６２０を用いることにより（ステップＳ１２００）、
ftpデーモン１１０に固有のパケットではないことを検
知し、バックドア１１５に置きかえられていることを検
出することができる（ステップＳ１２１０）。最後に、
バックドア１１５にはＰＣウィルスに類似の機能がある
危険性を考えて、ftpデーモン２１０はネットワーク管
理者に通知を行い、バックドア１１５とのアクセスが禁
止される（ステップＳ１２２０）。
リティ・ホールを利用して侵入した正規でないユーザ
が、あるデーモン・プログラム、例えばftpデーモン１
１０を不正通信ソフトウェアであるバックドア１１５と
入れ替えた場合を考える。上述のように、入れかえられ
たバックドア１１５が出力したパケット８１０にはディ
ジタル署名されていない。したがって、公開された認証
書６２０を用いることにより（ステップＳ１２００）、
ftpデーモン１１０に固有のパケットではないことを検
知し、バックドア１１５に置きかえられていることを検
出することができる（ステップＳ１２１０）。最後に、
バックドア１１５にはＰＣウィルスに類似の機能がある
危険性を考えて、ftpデーモン２１０はネットワーク管
理者に通知を行い、バックドア１１５とのアクセスが禁
止される（ステップＳ１２２０）。
【００４０】以上より、実施の形態５によれば、デーモ
ン・プログラムが出力するパケットに逐次ディジタル署
名しておくことができるため、デーモン・プログラムが
不正な通信を行うバックドアに置きかえられた場合であ
っても、このバックドアを簡易に検出することができ
る。
ン・プログラムが出力するパケットに逐次ディジタル署
名しておくことができるため、デーモン・プログラムが
不正な通信を行うバックドアに置きかえられた場合であ
っても、このバックドアを簡易に検出することができ
る。
【００４１】実施の形態６.図１５ないし１７は、本発
明の実施の形態６における不正通信ソフトウェア検出方
法を示す。図１５ないし１７で図２ないし４と同じ符号
を付した箇所は同じ機能を有するため説明は省略する。
図１５ないし１７において、符号１５０はftpデーモン
１１０がディジタル署名等を出力する記録装置、２５０
はtelnetデーモン２２０がディジタル署名等を出力する
記録装置、１０００は管理対象のコンピュータであるＰ
Ｃ等Ｄ、１１１０はＰＣ等Ｄ１０００内で生成されたte
lnetデーモン、１１５０はtelnetデーモン１１１０がデ
ィジタル署名等を出力する記録装置、１２００は管理対
象のコンピュータであるＰＣ等Ｃ、１２２０はＰＣ等Ｃ
１２００内で生成されたtelnetデーモン、１２５０はte
lnetデーモン１２２０がディジタル署名等を出力する記
録装置である。
明の実施の形態６における不正通信ソフトウェア検出方
法を示す。図１５ないし１７で図２ないし４と同じ符号
を付した箇所は同じ機能を有するため説明は省略する。
図１５ないし１７において、符号１５０はftpデーモン
１１０がディジタル署名等を出力する記録装置、２５０
はtelnetデーモン２２０がディジタル署名等を出力する
記録装置、１０００は管理対象のコンピュータであるＰ
Ｃ等Ｄ、１１１０はＰＣ等Ｄ１０００内で生成されたte
lnetデーモン、１１５０はtelnetデーモン１１１０がデ
ィジタル署名等を出力する記録装置、１２００は管理対
象のコンピュータであるＰＣ等Ｃ、１２２０はＰＣ等Ｃ
１２００内で生成されたtelnetデーモン、１２５０はte
lnetデーモン１２２０がディジタル署名等を出力する記
録装置である。
【００４２】図１５に示されるように、ＰＣ等Ａ１０
０、ＰＣ等Ｂ２００、ＰＣ等Ｃ１２００およびＰＣ等Ｄ
１０００においてネットワーク通信を行うデーモン・プ
ログラムをメイク（make）する際に、同時に、ディジタ
ル署名の対象となるデータをハッシュ（Hash）してハッ
シュ値を作成する。次に、このハッシュ値をＰＣ等Ａ１
００、ＰＣ等Ｂ２００、ＰＣ等Ｃ１２００、ＰＣ等Ｄ１
０００が各々有する所定の秘密鍵で変換してディジタル
署名を生成する。このディジタル署名を各々の記録装置
１５０、２５０、１２５０または１１５０に記録する
（ステップＳ１３００、Ｓ１３１０、Ｓ１３３０、Ｓ１
３２０）。このハッシュ値はデーモン・プログラム毎に
固有に署名されているため改竄される心配はない。格納
場所は記録装置１５０等だけではなく任意に決められた
場所であってもよい。
０、ＰＣ等Ｂ２００、ＰＣ等Ｃ１２００およびＰＣ等Ｄ
１０００においてネットワーク通信を行うデーモン・プ
ログラムをメイク（make）する際に、同時に、ディジタ
ル署名の対象となるデータをハッシュ（Hash）してハッ
シュ値を作成する。次に、このハッシュ値をＰＣ等Ａ１
００、ＰＣ等Ｂ２００、ＰＣ等Ｃ１２００、ＰＣ等Ｄ１
０００が各々有する所定の秘密鍵で変換してディジタル
署名を生成する。このディジタル署名を各々の記録装置
１５０、２５０、１２５０または１１５０に記録する
（ステップＳ１３００、Ｓ１３１０、Ｓ１３３０、Ｓ１
３２０）。このハッシュ値はデーモン・プログラム毎に
固有に署名されているため改竄される心配はない。格納
場所は記録装置１５０等だけではなく任意に決められた
場所であってもよい。
【００４３】図１６に示されるように、例えば管理対象
のＰＣ等Ａ１００内のtelnetデーモン１１０がＰＣ等Ｂ
２００内の対応するtelnetデーモン２２０と通信を行な
う場合、記録装置２５０に記録されたtelnetデーモン２
２０が生成し記録したディジタル署名をＰＣ等Ｂ２００
の有する所定の秘密鍵に対応する公開鍵で変換して検証
する（ステップＳ１５１０）。この検証により、telnet
デーモン２２０が不正な通信を行うソフトウェアである
か否かを認証することができる。以上と同様の操作をＰ
Ｃ等Ｂ２００側も行ない、お互いに認証が終わってか
ら、ＴＣＰ層でのコネクションを張る（ステップＳ１６
１０）。telnetデーモン１１０が他のtelnetデーモン１
２２０または１１１０と通信を行なう場合にも、上述と
同様の認証を行なう。このようにして、互いに違うデー
モン・プログラムを相互に監視し合うことができる。
のＰＣ等Ａ１００内のtelnetデーモン１１０がＰＣ等Ｂ
２００内の対応するtelnetデーモン２２０と通信を行な
う場合、記録装置２５０に記録されたtelnetデーモン２
２０が生成し記録したディジタル署名をＰＣ等Ｂ２００
の有する所定の秘密鍵に対応する公開鍵で変換して検証
する（ステップＳ１５１０）。この検証により、telnet
デーモン２２０が不正な通信を行うソフトウェアである
か否かを認証することができる。以上と同様の操作をＰ
Ｃ等Ｂ２００側も行ない、お互いに認証が終わってか
ら、ＴＣＰ層でのコネクションを張る（ステップＳ１６
１０）。telnetデーモン１１０が他のtelnetデーモン１
２２０または１１１０と通信を行なう場合にも、上述と
同様の認証を行なう。このようにして、互いに違うデー
モン・プログラムを相互に監視し合うことができる。
【００４４】図１７に示されるように、何らかのセキュ
リティ・ホールを利用して侵入した正規でないユーザ
が、あるデーモン・プログラム、例えばtelnetデーモン
１１１０を不正通信ソフトウェアであるバックドア１１
５と入れ替えた場合を考える。上述のように、改竄不可
能な、telnetデーモン１１１０が生成し記録したディジ
タル署名はそのまま記録装置１１５０内に残っている。
したがって、例えばtelnetデーモン１２２０とバックド
ア１１５とが上述のように相互に認証を行った場合、バ
ックドア１１５に置きかえられていることを検出するこ
とができる（ステップＳ１７００）。最後に、バックド
ア１１５にはＰＣウィルスに類似の機能がある危険性を
考えて、telnetデーモン１２２０はネットワーク管理者
に通知を行い、バックドア１１５とのコネクションを自
動的に切断する（ステップＳ１７１０）。
リティ・ホールを利用して侵入した正規でないユーザ
が、あるデーモン・プログラム、例えばtelnetデーモン
１１１０を不正通信ソフトウェアであるバックドア１１
５と入れ替えた場合を考える。上述のように、改竄不可
能な、telnetデーモン１１１０が生成し記録したディジ
タル署名はそのまま記録装置１１５０内に残っている。
したがって、例えばtelnetデーモン１２２０とバックド
ア１１５とが上述のように相互に認証を行った場合、バ
ックドア１１５に置きかえられていることを検出するこ
とができる（ステップＳ１７００）。最後に、バックド
ア１１５にはＰＣウィルスに類似の機能がある危険性を
考えて、telnetデーモン１２２０はネットワーク管理者
に通知を行い、バックドア１１５とのコネクションを自
動的に切断する（ステップＳ１７１０）。
【００４５】以上より、実施の形態６によれば、改竄不
可能なディジタル署名されたハッシュ値をデーモン・プ
ログラム毎に異なる記録装置に記録しておくことができ
るため、デーモン・プログラムが不正な通信を行うバッ
クドアに置きかえられた場合であっても、このバックド
アを簡易に検出することができる。
可能なディジタル署名されたハッシュ値をデーモン・プ
ログラム毎に異なる記録装置に記録しておくことができ
るため、デーモン・プログラムが不正な通信を行うバッ
クドアに置きかえられた場合であっても、このバックド
アを簡易に検出することができる。
【００４６】実施の形態７.図１８および１９は、本発
明の実施の形態７における不正通信ソフトウェア検出方
法を示す。図１８および１９で図１１および１２と同じ
符号を付した箇所は同じ機能を有するため説明は省略す
る。図１８および１９において、符号８５０はftpデー
モン１１０等の構成を記録した設定ファイルである。
明の実施の形態７における不正通信ソフトウェア検出方
法を示す。図１８および１９で図１１および１２と同じ
符号を付した箇所は同じ機能を有するため説明は省略す
る。図１８および１９において、符号８５０はftpデー
モン１１０等の構成を記録した設定ファイルである。
【００４７】実施の形態４においては、生成された秘密
鍵６１０でftpデーモン１１０が出力するログファイル
８００にディジタル署名を行なったが、本実施の形態７
においては実施の形態４と異なり、設定ファイル８５０
に逐次署名を行なうことができる（ステップＳ１８１
０）。デーモン・プログラムを意図的に動かす上で設定
ファイル８５０は必要不可欠なものであるから、設定フ
ァイル８５０に署名を行い、改竄から守ることは重要で
ある。正規利用者７００は、利用したいデーモン・プロ
グラムの設定ファイル８５０を公開された認証書６２０
で検証し、デーモン固有の設定ファイルであるか否かを
検証することができる（ステップＳ１８２０）。これに
より、正規利用者７００が正規のデーモン・プログラム
１１０等を正しく使っていることが保障される。他は実
施の形態４と同様である。
鍵６１０でftpデーモン１１０が出力するログファイル
８００にディジタル署名を行なったが、本実施の形態７
においては実施の形態４と異なり、設定ファイル８５０
に逐次署名を行なうことができる（ステップＳ１８１
０）。デーモン・プログラムを意図的に動かす上で設定
ファイル８５０は必要不可欠なものであるから、設定フ
ァイル８５０に署名を行い、改竄から守ることは重要で
ある。正規利用者７００は、利用したいデーモン・プロ
グラムの設定ファイル８５０を公開された認証書６２０
で検証し、デーモン固有の設定ファイルであるか否かを
検証することができる（ステップＳ１８２０）。これに
より、正規利用者７００が正規のデーモン・プログラム
１１０等を正しく使っていることが保障される。他は実
施の形態４と同様である。
【００４８】図１９に示されるように、何らかのセキュ
リティ・ホールを利用して侵入した正規でないユーザ
が、あるデーモン・プログラム、例えばftpデーモン１
１０を不正通信ソフトウェアであるバックドア１１５と
入れ替えた場合を考える。上述のように、入れかえられ
たバックドア１１５の設定ファイル８５０にはディジタ
ル署名されていない。したがって、公開された認証書６
２０を用いることにより（ステップＳ１９００）、ftp
デーモン１１０に固有の設定ファイルではないことを検
知し、バックドア１１５に置きかえられていることを検
出することができる（ステップＳ１９２０）。最後に、
バックドア１１５にはＰＣウィルスに類似の機能がある
危険性を考えて、ftpデーモン２１０はネットワーク管
理者に通知を行い、バックドア１１５とのアクセスが禁
止される（ステップＳ１９２０）。
リティ・ホールを利用して侵入した正規でないユーザ
が、あるデーモン・プログラム、例えばftpデーモン１
１０を不正通信ソフトウェアであるバックドア１１５と
入れ替えた場合を考える。上述のように、入れかえられ
たバックドア１１５の設定ファイル８５０にはディジタ
ル署名されていない。したがって、公開された認証書６
２０を用いることにより（ステップＳ１９００）、ftp
デーモン１１０に固有の設定ファイルではないことを検
知し、バックドア１１５に置きかえられていることを検
出することができる（ステップＳ１９２０）。最後に、
バックドア１１５にはＰＣウィルスに類似の機能がある
危険性を考えて、ftpデーモン２１０はネットワーク管
理者に通知を行い、バックドア１１５とのアクセスが禁
止される（ステップＳ１９２０）。
【００４９】以上より、実施の形態７によれば、デーモ
ン・プログラムに固有の設定ファイルに逐次ディジタル
署名しておくことができるため、デーモン・プログラム
が不正な通信を行うバックドアに置きかえられた場合で
あっても、このバックドアを簡易に検出することができ
る。
ン・プログラムに固有の設定ファイルに逐次ディジタル
署名しておくことができるため、デーモン・プログラム
が不正な通信を行うバックドアに置きかえられた場合で
あっても、このバックドアを簡易に検出することができ
る。
【００５０】実施の形態８.図２０ないし２３は、本発
明の実施の形態８における不正通信ソフトウェア検出方
法を示す。図２０ないし２３で図１５ないし１７と同じ
符号を付した箇所は同じ機能を有するため説明は省略す
る。記録装置１５０および１２５０は簡略化のため図２
０ないし２２では省略する。
明の実施の形態８における不正通信ソフトウェア検出方
法を示す。図２０ないし２３で図１５ないし１７と同じ
符号を付した箇所は同じ機能を有するため説明は省略す
る。記録装置１５０および１２５０は簡略化のため図２
０ないし２２では省略する。
【００５１】図２０に示されるように、ＰＣ等Ａ１０
０、ＰＣ等Ｂ２００およびＰＣ等Ｃ１２００においてネ
ットワーク通信を行うデーモン・プログラムをメイク
（make）する際に、同時に、ディジタル署名の対象とな
るデータをハッシュ（Hash）してハッシュ値を作成す
る。次に、このハッシュ値をＰＣ等Ａ１００、ＰＣ等Ｂ
２００、ＰＣ等Ｃ１２００が共通に有する所定の秘密鍵
で変換してディジタル署名を生成する。この共通に作成
されたディジタル署名を、各記録装置１５０、２５０ま
たは１２５０に記録する（ステップＳ２０００、Ｓ２０
１０、Ｓ２０２０）。このハッシュ値はデーモン・プロ
グラムに共通に署名されているため改竄される心配はな
い。格納場所は記録装置２５０等だけではなく任意に決
められた場所であってもよい。
０、ＰＣ等Ｂ２００およびＰＣ等Ｃ１２００においてネ
ットワーク通信を行うデーモン・プログラムをメイク
（make）する際に、同時に、ディジタル署名の対象とな
るデータをハッシュ（Hash）してハッシュ値を作成す
る。次に、このハッシュ値をＰＣ等Ａ１００、ＰＣ等Ｂ
２００、ＰＣ等Ｃ１２００が共通に有する所定の秘密鍵
で変換してディジタル署名を生成する。この共通に作成
されたディジタル署名を、各記録装置１５０、２５０ま
たは１２５０に記録する（ステップＳ２０００、Ｓ２０
１０、Ｓ２０２０）。このハッシュ値はデーモン・プロ
グラムに共通に署名されているため改竄される心配はな
い。格納場所は記録装置２５０等だけではなく任意に決
められた場所であってもよい。
【００５２】図２１に示されるように、例えば管理対象
のＰＣ等Ａ１００内のtelnetデーモン１１０がＰＣ等Ｂ
２００内の対応するtelnetデーモン２２０と通信を行な
う場合、記録装置２５０に記録された共通に作成された
ディジタル署名を共通の秘密鍵に対応する公開鍵で変換
して検証する（ステップＳ２１００）。この検証によ
り、telnetデーモン２２０が不正な通信を行うソフトウ
ェアであるか否かを認証することができる。以上と同様
の操作をＰＣ等Ｂ２００側も行ない、お互いに認証が終
わってから（ステップＳ２１１０）、ＴＣＰ層でのコネ
クションを張る（ステップＳ２１３０）。telnetデーモ
ン１１０とtelnetデーモン１２２０との間、telnetデー
モン２２０とtelnetデーモン１２２０との間で通信を行
なう場合にも、上述と同様の認証を行なう（ステップＳ
２１２０、Ｓ２１４０、Ｓ２１５０）。
のＰＣ等Ａ１００内のtelnetデーモン１１０がＰＣ等Ｂ
２００内の対応するtelnetデーモン２２０と通信を行な
う場合、記録装置２５０に記録された共通に作成された
ディジタル署名を共通の秘密鍵に対応する公開鍵で変換
して検証する（ステップＳ２１００）。この検証によ
り、telnetデーモン２２０が不正な通信を行うソフトウ
ェアであるか否かを認証することができる。以上と同様
の操作をＰＣ等Ｂ２００側も行ない、お互いに認証が終
わってから（ステップＳ２１１０）、ＴＣＰ層でのコネ
クションを張る（ステップＳ２１３０）。telnetデーモ
ン１１０とtelnetデーモン１２２０との間、telnetデー
モン２２０とtelnetデーモン１２２０との間で通信を行
なう場合にも、上述と同様の認証を行なう（ステップＳ
２１２０、Ｓ２１４０、Ｓ２１５０）。
【００５３】図２２に示されるように、正規利用者７０
００が、あるデーモン・プログラムを実行使用とした場
合（ステップＳ２２００）、正規利用者７００は同一サ
イト内に存在する認証が済んでＴＣＰコネクションが張
られているデーモン・プログラムを探し出し、それらす
べてに対して、例えばディジタル署名を返送させるコマ
ンドを送る（ステップＳ２２１０、Ｓ２２２０）。その
コマンドの返答結果に対して多数決を取り、最も信用で
きるデーモン：プログラム群を決定する。
００が、あるデーモン・プログラムを実行使用とした場
合（ステップＳ２２００）、正規利用者７００は同一サ
イト内に存在する認証が済んでＴＣＰコネクションが張
られているデーモン・プログラムを探し出し、それらす
べてに対して、例えばディジタル署名を返送させるコマ
ンドを送る（ステップＳ２２１０、Ｓ２２２０）。その
コマンドの返答結果に対して多数決を取り、最も信用で
きるデーモン：プログラム群を決定する。
【００５４】図２３に示されるように、何らかのセキュ
リティ・ホールを利用して侵入した正規でないユーザ
が、あるデーモン・プログラム、例えばtelnetデーモン
２２００を不正通信ソフトウェアであるバックドア２１
５と入れ替えた場合を考える。上述のように、共通に生
成されたディジタル署名はそのまま記録装置１５０、１
２５０内に残っている。したがって、telnetデーモン１
１０からの返答結果（ステップＳ２３００）、telnetデ
ーモン１２２０からの返答結果（ステップＳ２３１０）
およびバックドア１１５からの返答結果（ステップＳ２
３２０）の多数決をとれば、バックドア１１５に置きか
えられていることを検出することができる。
リティ・ホールを利用して侵入した正規でないユーザ
が、あるデーモン・プログラム、例えばtelnetデーモン
２２００を不正通信ソフトウェアであるバックドア２１
５と入れ替えた場合を考える。上述のように、共通に生
成されたディジタル署名はそのまま記録装置１５０、１
２５０内に残っている。したがって、telnetデーモン１
１０からの返答結果（ステップＳ２３００）、telnetデ
ーモン１２２０からの返答結果（ステップＳ２３１０）
およびバックドア１１５からの返答結果（ステップＳ２
３２０）の多数決をとれば、バックドア１１５に置きか
えられていることを検出することができる。
【００５５】以上より、実施の形態８によれば、共通に
生成されたディジタル署名を各々記録しておくことがで
き、各デーモン・プログラムからの返答結果の多数決を
とることができるため、仮に偶然によりディジタル署名
を複製することができた場合であっても、置きかえられ
た不正な通信を行うバックドアを簡易に検出することが
できる。
生成されたディジタル署名を各々記録しておくことがで
き、各デーモン・プログラムからの返答結果の多数決を
とることができるため、仮に偶然によりディジタル署名
を複製することができた場合であっても、置きかえられ
た不正な通信を行うバックドアを簡易に検出することが
できる。
【００５６】上述されたデーモン・プログラムは、デー
モン・プロセス(Daemon Process)と読み替えることも可
能である。上述の実施の形態においてはtelnetデーモン
およびftpデーモンを例に説明したが、本発明の不正ソ
フトウェア検出方法が適用される対象は、デーモン・プ
ログラムに限定されるものではなく、かつＴＣＰ／ＩＰ
に限らずあらゆる通信プロトコルを実装する通信サーバ
・ソフトウェアに対しても適用可能である。さらに、上
記全実施例は、侵入検知システム、不正コピー防止シス
テム等に対しても適用可能である。
モン・プロセス(Daemon Process)と読み替えることも可
能である。上述の実施の形態においてはtelnetデーモン
およびftpデーモンを例に説明したが、本発明の不正ソ
フトウェア検出方法が適用される対象は、デーモン・プ
ログラムに限定されるものではなく、かつＴＣＰ／ＩＰ
に限らずあらゆる通信プロトコルを実装する通信サーバ
・ソフトウェアに対しても適用可能である。さらに、上
記全実施例は、侵入検知システム、不正コピー防止シス
テム等に対しても適用可能である。
【００５７】
【発明の効果】以上説明したように、本発明の不正通信
ソフトウェア検出方法によれば、改竄不可能なディジタ
ル署名されたハッシュ値をデーモン・プログラム毎に記
録しておくことにより、不正通信を助けるバックドア５
３等のソフトウェアを効率的に検出することができる不
正通信ソフトウェア検出方法を提供することができる。
ソフトウェア検出方法によれば、改竄不可能なディジタ
ル署名されたハッシュ値をデーモン・プログラム毎に記
録しておくことにより、不正通信を助けるバックドア５
３等のソフトウェアを効率的に検出することができる不
正通信ソフトウェア検出方法を提供することができる。
【図１】 本発明の各実施の形態に共通する概要を示す
図である。
図である。
【図２】 本発明の実施の形態１における不正通信ソフ
トウェア検出方法を示す図である。
トウェア検出方法を示す図である。
【図３】 本発明の実施の形態１における不正通信ソフ
トウェア検出方法を示す図である。
トウェア検出方法を示す図である。
【図４】 本発明の実施の形態１における不正通信ソフ
トウェア検出方法を示す図である。
トウェア検出方法を示す図である。
【図５】 本発明の実施の形態２における不正通信ソフ
トウェア検出方法を示す図である。
トウェア検出方法を示す図である。
【図６】 本発明の実施の形態２における不正通信ソフ
トウェア検出方法を示す図である。
トウェア検出方法を示す図である。
【図７】 本発明の実施の形態２における不正通信ソフ
トウェア検出方法を示す図である。
トウェア検出方法を示す図である。
【図８】 本発明の実施の形態３における不正通信ソフ
トウェア検出方法を示す図である。
トウェア検出方法を示す図である。
【図９】 本発明の実施の形態３における不正通信ソフ
トウェア検出方法を示す図である。
トウェア検出方法を示す図である。
【図１０】 本発明の実施の形態３における不正通信ソ
フトウェア検出方法を示す図である。
フトウェア検出方法を示す図である。
【図１１】 本発明の実施の形態４における不正通信ソ
フトウェア検出方法を示す図である。
フトウェア検出方法を示す図である。
【図１２】 本発明の実施の形態４における不正通信ソ
フトウェア検出方法を示す図である。
フトウェア検出方法を示す図である。
【図１３】 本発明の実施の形態５における不正通信ソ
フトウェア検出方法を示す図である。
フトウェア検出方法を示す図である。
【図１４】 本発明の実施の形態５における不正通信ソ
フトウェア検出方法を示す図である。
フトウェア検出方法を示す図である。
【図１５】 本発明の実施の形態６における不正通信ソ
フトウェア検出方法を示す図である。
フトウェア検出方法を示す図である。
【図１６】 本発明の実施の形態６における不正通信ソ
フトウェア検出方法を示す図である。
フトウェア検出方法を示す図である。
【図１７】 本発明の実施の形態６における不正通信ソ
フトウェア検出方法を示す図である。
フトウェア検出方法を示す図である。
【図１８】 本発明の実施の形態７における不正通信ソ
フトウェア検出方法を示す図である。
フトウェア検出方法を示す図である。
【図１９】 本発明の実施の形態７における不正通信ソ
フトウェア検出方法を示す図である。
フトウェア検出方法を示す図である。
【図２０】 本発明の実施の形態８における不正通信ソ
フトウェア検出方法を示す図である。
フトウェア検出方法を示す図である。
【図２１】 本発明の実施の形態８における不正通信ソ
フトウェア検出方法を示す図である。
フトウェア検出方法を示す図である。
【図２２】 本発明の実施の形態８における不正通信ソ
フトウェア検出方法を示す図である。
フトウェア検出方法を示す図である。
【図２３】 本発明の実施の形態８における不正通信ソ
フトウェア検出方法を示す図である。
フトウェア検出方法を示す図である。
【図２４】 従来の不正通信ソフトウェア検出方法を示
す図である。
す図である。
１０ サーバ・コンピュータ１、 １５、２５ ログフ
ァイル等、 ２０ サーバ・コンピュータ２、 ３０
プリンタ・サーバ、 ３２、５０、１００、２００、１
０００、１２００ ＰＣ等、 ３５ ノートブック型の
ＰＣ、 ３７、４００ ネットワーク、 ５１、１１
０、２１０ はftpデーモン、 ５２、１２０、２２
０、１１１０、１２２０ telnetデーモン、 ５３ バ
ックドア、６０ ネットワーク管理者、 ７０、７００
正規利用者、 ８０ 侵入者、１５０、２５０、３０
０、１１５０、１２５０ 記録装置、 ３１０、３２
０、３３０、３４０ ディジタル署名されたハッシュ値
（Ｈ（Ａ，telnet））、 ３５０ その他の値、 ５０
０、６００ インストーラ、 ５１０、６１０ 秘密
鍵、 ５２０、６２０ 認証書、 ８００ ログファイ
ル、 ５０ 設定ファイル。
ァイル等、 ２０ サーバ・コンピュータ２、 ３０
プリンタ・サーバ、 ３２、５０、１００、２００、１
０００、１２００ ＰＣ等、 ３５ ノートブック型の
ＰＣ、 ３７、４００ ネットワーク、 ５１、１１
０、２１０ はftpデーモン、 ５２、１２０、２２
０、１１１０、１２２０ telnetデーモン、 ５３ バ
ックドア、６０ ネットワーク管理者、 ７０、７００
正規利用者、 ８０ 侵入者、１５０、２５０、３０
０、１１５０、１２５０ 記録装置、 ３１０、３２
０、３３０、３４０ ディジタル署名されたハッシュ値
（Ｈ（Ａ，telnet））、 ３５０ その他の値、 ５０
０、６００ インストーラ、 ５１０、６１０ 秘密
鍵、 ５２０、６２０ 認証書、 ８００ ログファイ
ル、 ５０ 設定ファイル。
───────────────────────────────────────────────────── フロントページの続き Ｆターム(参考） 5B076 FA13 5B085 AC11 AE13 AE23 AE29 5J104 AA09 LA03 LA05 LA06 NA12 PA07 5K030 GA15 HA08 HB19 HC01 JT06 LD19 MB18 9A001 LL03
Claims (9)
- 【請求項１】 ネットワークを介して接続された複数の
コンピュータ間で不正な通信を行なうソフトウェアを検
出する不正通信ソフトウェア検出方法であって、 前記複数のコンピュータ上で各々バックグラウンド・プ
ロセスを生成する際に同時に、ディジタル署名の対象と
なるデータを各々ハッシュするハッシュステップと、 前記ハッシュステップによりハッシュされたデータを各
コンピュータの有する所定の秘密鍵で各々変換して各デ
ィジタル署名を生成するディジタル署名ステップと、 前記ディジタル署名ステップにより生成された各ディジ
タル署名をネットワークを介して接続された記録装置に
各々記録するディジタル署名記録ステップと、 バックグラウンド・プロセスが他のコンピュータ上の対
応する他のバックグラウンド・プロセスと通信を行なう
場合、前記記録装置に記録された他のバックグラウンド
・プロセスのディジタル署名を他のコンピュータの有す
る所定の秘密鍵に対応する公開鍵で変換して検証するこ
とにより、該他のバックグラウンド・プロセスが不正な
通信を行うソフトウェアであるか否かを認証する認証ス
テップとを備えたことを特徴とする不正通信ソフトウェ
ア検出方法。 - 【請求項２】 ネットワークを介して接続された複数の
コンピュータ間で不正な通信を行なうソフトウェアを検
出する不正通信ソフトウェア検出方法であって、 前記複数のコンピュータ上で各々バックグラウンド・プ
ロセスを生成する際に、各バックグランド・プロセスに
対し各々公開鍵演算を施して秘密鍵と認証書とを生成す
る鍵ペア生成ステップと、 前記鍵ペア生成ステップにより生成された秘密鍵で各バ
ックグランド・プロセスを変換し、各ディジタル署名を
生成するディジタル署名ステップと、 バックグラウンド・プロセスが他のコンピュータ上の対
応する他のバックグラウンド・プロセスと通信を行なう
場合、ディジタル署名された他のバックグラウンド・プ
ロセスを読み込み他のバックグランド・プロセスの認証
書で変換して検証することにより、該他のバックグラウ
ンド・プロセスが不正な通信を行うソフトウェアである
か否かを認証する認証ステップとを備えたことを特徴と
する不正通信ソフトウェア検出方法。 - 【請求項３】 前記認証ステップにおいて前記他のバッ
クグラウンド・プロセスが不正な通信を行うソフトウェ
アではないと認証された後に、前記記録装置に記録され
た各ディジタル署名を所定の期間毎に相互に交換して検
証を行なう交換ステップをさらに備えたことを特徴とす
る請求項１記載の不正通信ソフトウェア検出方法。 - 【請求項４】 前記ディジタル署名ステップは、前記鍵
ペア生成ステップにより生成された秘密鍵で各バックグ
ランド・プロセスが出力する所定のデータを変換し、各
ディジタル署名を生成し、 前記認証ステップは、バックグラウンド・プロセスが他
のコンピュータ上の対応する他のバックグラウンド・プ
ロセスと通信を行なう場合、ディジタル署名された他の
バックグラウンド・プロセスの所定のデータを他のバッ
クグランド・プロセスの認証書で変換して検証すること
により、該他のバックグラウンド・プロセスが不正な通
信を行うソフトウェアであるか否かを認証することを特
徴とする請求項２記載の不正通信ソフトウェア検出方
法。 - 【請求項５】 前記所定のデータは、バックグラウンド
・プロセスが出力するログ・ファイルであることを特徴
とする請求項４記載の不正通信ソフトウェア検出方法。 - 【請求項６】 前記所定のデータは、バックグラウンド
・プロセスが出力するパケット・データであることを特
徴とする請求項４記載の不正通信ソフトウェア検出方
法。 - 【請求項７】 前記ディジタル署名記録ステップは、前
記ディジタル署名ステップにより生成された各ディジタ
ル署名を前記バックグラウンド・プロセスに固有の記録
装置に各々記録することを特徴とする請求項１記載の正
通信ソフトウェア検出方法。 - 【請求項８】 前記所定のデータは、バックグラウンド
・プロセスの構成を記録した設定ファイルであり、 前記認証ステップは、正規のユーザがバックグラウンド
・プロセスの利用を行なう場合、ディジタル署名された
該バックグラウンド・プロセスの設定ファイルを該バッ
クグランド・プロセスの認証書で変換して検証すること
により、該バックグラウンド・プロセスが不正な通信を
行うソフトウェアであるか否かを認証することを特徴と
する請求項２記載の不正通信ソフトウェア検出方法。 - 【請求項９】 前記ディジタル署名ステップは、前記ハ
ッシュステップによりハッシュされたデータを各コンピ
ュータに共通の秘密鍵で各々変換して各ディジタル署名
を生成し、 前記ディジタル署名記録ステップは、前記ディジタル署
名ステップにより生成された各ディジタル署名を前記バ
ックグラウンド・プロセスに固有の記録装置に各々記録
し、 前記認証ステップの後に、正規のユーザがバックグラウ
ンド・プロセスの実行設定を行なう場合、前記認証ステ
ップにより不正な通信を行うソフトウェアではないと認
証されたバックグラウンド・プロセスに対して所定のコ
マンドを送り、該所定のコマンドに対して各バックグラ
ウンド・プロセスから返された結果の多数決をとること
により、バックグラウンド・プロセスが不正な通信を行
うソフトウェアであるか否かを認証することを特徴とす
る請求項１記載の不正通信ソフトウェア検出方法。
Priority Applications (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP2000047220A JP3748192B2 (ja) | 2000-02-24 | 2000-02-24 | 不正通信ソフトウェア検出方法 |
Applications Claiming Priority (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP2000047220A JP3748192B2 (ja) | 2000-02-24 | 2000-02-24 | 不正通信ソフトウェア検出方法 |
Publications (2)
| Publication Number | Publication Date |
|---|---|
| JP2001236314A true JP2001236314A (ja) | 2001-08-31 |
| JP3748192B2 JP3748192B2 (ja) | 2006-02-22 |
Family
ID=18569506
Family Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| JP2000047220A Expired - Fee Related JP3748192B2 (ja) | 2000-02-24 | 2000-02-24 | 不正通信ソフトウェア検出方法 |
Country Status (1)
| Country | Link |
|---|---|
| JP (1) | JP3748192B2 (ja) |
Cited By (4)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| KR20040003221A (ko) * | 2002-07-02 | 2004-01-13 | 김상욱 | 유닉스 커널 모드에서의 커널 백도어 탐지 및 대응 장치및 그방법 |
| JP2006203564A (ja) * | 2005-01-20 | 2006-08-03 | Nara Institute Of Science & Technology | マイクロプロセッサ、ノード端末、コンピュータシステム及びプログラム実行証明方法 |
| JP2007058639A (ja) * | 2005-08-25 | 2007-03-08 | Hitachi Electronics Service Co Ltd | 不正アクセス検知システム |
| JP2010152877A (ja) * | 2008-11-26 | 2010-07-08 | Panasonic Corp | ソフトウェア更新システム、管理装置、記録媒体及び集積回路 |
Families Citing this family (1)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| CN107911355B (zh) * | 2017-11-07 | 2020-05-01 | 杭州安恒信息技术股份有限公司 | 一种基于攻击链的网站后门利用事件识别方法 |
-
2000
- 2000-02-24 JP JP2000047220A patent/JP3748192B2/ja not_active Expired - Fee Related
Cited By (4)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| KR20040003221A (ko) * | 2002-07-02 | 2004-01-13 | 김상욱 | 유닉스 커널 모드에서의 커널 백도어 탐지 및 대응 장치및 그방법 |
| JP2006203564A (ja) * | 2005-01-20 | 2006-08-03 | Nara Institute Of Science & Technology | マイクロプロセッサ、ノード端末、コンピュータシステム及びプログラム実行証明方法 |
| JP2007058639A (ja) * | 2005-08-25 | 2007-03-08 | Hitachi Electronics Service Co Ltd | 不正アクセス検知システム |
| JP2010152877A (ja) * | 2008-11-26 | 2010-07-08 | Panasonic Corp | ソフトウェア更新システム、管理装置、記録媒体及び集積回路 |
Also Published As
| Publication number | Publication date |
|---|---|
| JP3748192B2 (ja) | 2006-02-22 |
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| US7526654B2 (en) | Method and system for detecting a secure state of a computer system | |
| EP1204910B1 (en) | Computer platforms and their methods of operation | |
| JP4860856B2 (ja) | コンピュータ装置 | |
| US7228434B2 (en) | Method of protecting the integrity of a computer program | |
| US7003672B2 (en) | Authentication and verification for use of software | |
| EP1861815B1 (en) | Systems and methods for using machine attributes to deter software piracy in an enterprise environment | |
| US7711951B2 (en) | Method and system for establishing a trust framework based on smart key devices | |
| US20040039921A1 (en) | Method and system for detecting rogue software | |
| JP3955906B1 (ja) | ソフトウエア管理システムおよびソフトウエア管理プログラム | |
| JP2009518762A (ja) | インテグリティデータベースサービスを用いた、トラステッドプラットフォーム上のコンポーンテントのインテグリティの検証方法 | |
| JP2006511877A (ja) | ソフトウェアの改ざんを事前に対処することによって検出するためのシステムおよび方法 | |
| EP1203278B1 (en) | Enforcing restrictions on the use of stored data | |
| US20050154898A1 (en) | Method and system for protecting master secrets using smart key devices | |
| Smith et al. | Security issues in on-demand grid and cluster computing | |
| JP2001236314A (ja) | 不正通信ソフトウェア検出方法 | |
| Monteiro et al. | An authentication and validation mechanism for analyzing syslogs forensically | |
| Guan et al. | A collaborative intrusion detection system using log server and neural networks | |
| Brustoloni et al. | Updates and Asynchronous Communication in Trusted Computing Systems | |
| da Silveira Serafim et al. | Restraining and repairing file system damage through file integrity control | |
| Ford et al. | Securing Network Servers | |
| Ong et al. | Improving the Security and Fault-Tolerance of Distributed Systems using Trusted Hardware | |
| Ford et al. | SECURITY IMPROVEMENT MODULE CMU/SEI-SIM-007 | |
| Openshaw | A modular architecture for security tools (MAST) | |
| Imran | Internet Security Agent | |
| Abbas | Analysis and design of an Internet's security taxonomy |
Legal Events
| Date | Code | Title | Description |
|---|---|---|---|
| A977 | Report on retrieval |
Free format text: JAPANESE INTERMEDIATE CODE: A971007 Effective date: 20050216 |
|
| A131 | Notification of reasons for refusal |
Free format text: JAPANESE INTERMEDIATE CODE: A131 Effective date: 20050315 |
|
| A521 | Request for written amendment filed |
Free format text: JAPANESE INTERMEDIATE CODE: A523 Effective date: 20050513 |
|
| A131 | Notification of reasons for refusal |
Free format text: JAPANESE INTERMEDIATE CODE: A131 Effective date: 20050712 |
|
| A521 | Request for written amendment filed |
Free format text: JAPANESE INTERMEDIATE CODE: A523 Effective date: 20050909 |
|
| TRDD | Decision of grant or rejection written | ||
| A01 | Written decision to grant a patent or to grant a registration (utility model) |
Free format text: JAPANESE INTERMEDIATE CODE: A01 Effective date: 20051122 |
|
| A61 | First payment of annual fees (during grant procedure) |
Free format text: JAPANESE INTERMEDIATE CODE: A61 Effective date: 20051124 |
|
| R150 | Certificate of patent or registration of utility model |
Free format text: JAPANESE INTERMEDIATE CODE: R150 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20091209 Year of fee payment: 4 |
|
| LAPS | Cancellation because of no payment of annual fees |