JP2005025378A

JP2005025378A - コンピュータウイルス検出方法及び該方法を用いたネットワークシステム

Info

Publication number: JP2005025378A
Application number: JP2003188629A
Authority: JP
Inventors: Masashi Nagasaka; 雅司長坂
Original assignee: Nidek Co Ltd
Current assignee: Nidek Co Ltd
Priority date: 2003-06-30
Filing date: 2003-06-30
Publication date: 2005-01-27

Abstract

【課題】ウイルスの感染源を効率よく特定することができるコンピュータウイルス検出方法及び該方法を用いたネットワークシステムを提供する。
【解決手段】多数のコンピュータが接続されたネットワークシステムにおけるコンピュータウイルス検出方法において、前記ネットワークシステムに接続されたコンピュータにウイルスが感染しているか否かを検出する第１の過程と、該第１の過程により前記コンピュータにウイルスの感染が認められた場合，前記ウイルス検出時に前記コンピュータと接続していた相手方のコンピュータのネットワーク情報を取得する第２の過程と、第２の過程により取得した前記ネットワーク情報を出力する第３の過程と、を有する。
【選択図】図３

Description

【０００１】
【発明の属する技術分野】
本発明は、ネットワークを介して感染するウイルスの感染源を特定するウイルス検出方法及び該方法を用いたネットワークシステムに関する。
【０００２】
【従来技術】
近年、パーソナルコンピュータ（以下、ＰＣと記す）が普及し、各ＰＣをＬＡＮ（ＬｏｃａｌＡｒｅａＮｅｔｗｏｒｋ）やＷＡＮ（ＷｉｄｅＡｒｅａＮｅｔｗｏｒｋ）により接続して情報の伝達や共有化を行うネットワークシステムが構築されている。このようなネットワークシステムは非常に便利ではあるが、一方でコンピュータウイルスが氾濫する原因となっている。このため、アンチウイルスソフトを用いてコンピュータウイルスの検出、駆除を行っている。コンピュータウイルスの検出、駆除の方法としては、サーバがＬＡＮ上のクライアントのＩＰアドレスを管理してウイルス対策の実行指示と管理を一元的に行い、対象とする全てのクライアントにウイルスパトロールを送信して各装置でウイルスの検出、駆除の自動実行を行う技術が知られている（特許文献１参照）。
【特許文献１】
特開２００２−２２２０９４号公報
【０００３】
【発明が解決しようとする課題】
しかしながら、従来のウイルスを検出、駆除する方法は、ウイルスの感染を防御することを主眼としたものであるため、その感染源を特定するような効果はない。このため、たまたまＬＡＮに接続させたＰＣがウイルスに感染していた場合、このＰＣを介して感染したＬＡＮ上のクライアントのＰＣ内のウイルスの検出、駆除は行っても、その感染源のＰＣのウイルスは駆除されていないため、いつまでたってもウイルスの感染がなくならないこととなる。
【０００４】
上記従来技術の問題点に鑑み、ウイルスの感染源を効率よく特定することができるコンピュータウイルス検出方法及び該方法を用いたネットワークシステムを提供することを技術課題とする。
【０００５】
【課題を解決するための手段】
上記課題を解決するために、本発明は以下のような構成を備えることを特徴とする。
【０００６】
（１）多数のコンピュータが接続されたネットワークシステムにおけるコンピュータウイルス検出方法において、前記ネットワークシステムに接続されたコンピュータにウイルスが感染しているか否かを検出する第１の過程と、該第１の過程により前記コンピュータにウイルスの感染が認められた場合，前記ウイルス検出時に前記コンピュータと接続していた相手方のコンピュータのネットワーク情報を取得する第２の過程と、第２の過程により取得した前記ネットワーク情報を出力する第３の過程と、を有することを特徴とする。
（２）（１）のコンピュータウイルス検出方法において、前記第１の過程により複数のコンピュータからウイルスの感染が認められた場合、前記感染が認められた各コンピュータから前記第２の過程によりネットワーク情報を取得するとともに得られた複数のネットワーク情報を基に感染源となったコンピュータを特定するために必要なネットワーク情報を抽出する第４の過程を有することを特徴とする。
（３）（２）のコンピュータウイルス検出方法において、前記ネットワーク情報とは、少なくともＩＰアドレス、ＭＡＣアドレス及びコンピュータ識別名のうちの一つであることを特徴とする。
（４）多数のコンピュータが接続されたネットワークシステムにおいて、前記ネットワークシステムのコンピュータにウイルスが感染しているか否かを検出するウイルス検出手段と、該ウイルス検出手段により前記コンピュータにウイルスの感染が認められた場合，前記ウイルス検出時に前記コンピュータが接続していた相手方のコンピュータのネットワーク情報を取得するネットワーク情報取得手段と、該ネットワーク情報取得手段により取得した前記ネットワーク情報を出力する出力手段と、を有することを特徴とする。
（５）（４）のネットワークシステムにおいて、前記ウイルス検出手段により複数のコンピュータからウイルスの感染が認められた場合、前記感染が認められた各コンピュータから前記ネットワーク情報取得手段によりネットワーク情報を取得するとともに得られた複数のネットワーク情報を基に感染源となったコンピュータを特定するために必要なネットワーク情報を抽出するネットワーク情報抽出手段と、を有することを特徴とする。
（６）（５）のネットワークシステムにおいて、前記ネットワーク情報とは少なくともＩＰアドレス、ＭＡＣアドレス及びコンピュータ識別名のうちの一つであることを特徴とする。
（７）（５）のネットワークシステムにおいて、前記ネットワーク情報抽出手段は取得された前記複数のネットワーク情報において共通するネットワーク情報を抽出することを特徴とする。
【０００７】
【発明の実施の形態】
本実施の形態を図面を基に説明する。図１は本発明のコンピュータウイルス検出方法を用いたネットワークシステムの全体構成を示した図である。
【０００８】
１はＣＰＵ（中央演算処理装置）やメモリからなる制御部２０を備えるサーバ、２はＣＰＵ（中央演算処理装置）やメモリからなる制御部２０を備えるパーソナルコンピュータ（ＰＣ）等の通信端末（クライアント）である。各クライアント２（２ａ〜２ｄ）はＬＡＮ２００を介してサーバ１に接続されており、これらによってネットワークシステムが構築されている。また、サーバ１はインターネット１００と接続しており、ネットワークの管理、運用を担っている。なお、本実施形態ではクライアントを４台として示しているが、これに限るものではなくこれ以上又は以下のクライアント数であってもよい。
【０００９】
また、サーバ１にはモニター１２、プリンター１３等の出力手段が接続されており、後述するネットワーク情報等を表示又は印刷することができるようになっている。なお、図示はしないが同様のモニター１２及びプリンター１３はクライアント２ａ〜２ｄにおいても接続されている。
【００１０】
サーバ１及びクライアント２ａ〜２ｄには、各々アンチウイルスソフト１０（ワクチン）が備えられており、サーバ１及び各クライアント２ａ〜２ｄの起動中（コンピュータの起動中）は、常時アンチウイルスソフト１０がコンピュータウイルスの検出及び駆除を行えるようになっている。また、各クライアント２ａ〜２ｄはＬＡＮ２００上で各々のクライアントを特定するためのネットワーク情報１１を有している。ネットワーク情報１１は、ネットワーク上にて各クライアント２ａ〜２ｄが特定できる情報であればよく、例えばＩＰアドレス（ＩｎｔｅｒｎｅｔＰｒｏｔｏｃｏｌアドレス）、ＭＡＣアドレス（ＭｅｄｉａＡｃｃｅｓｓＣｏｎｔｒｏｌアドレス）である。またその他にも、ＩＰアドレスやＭＡＣアドレスに対応させてサーバ１等に登録されているコンピュータ識別名（ローカルネーム）もネットワーク情報として用いることができる。
【００１１】
また、サーバ１は、前述した各クライアント２ａ〜２ｄのネットワーク情報を登録、管理しており、登録されているクライアントに対して定期的にアンチウイルスソフト１０の更新を自動にて行っている。このようにサーバ１にて定期的にアンチウイルスソフト１０の更新を自動にて行うことにより、クライアント２ａ〜２ｄのアンチウイルスソフト１０は常に最新のウイルス定義情報（コンピュータウイルス検出及び駆除のために必要なデータ）を持つことができるようになっている。
【００１２】
３はサーバ１にて管理されていないＰＣであり、常時ＬＡＮ２００上に接続されているものではなく、必要に応じてネットワーク（ＬＡＮ２００）に接続されるＰＣである。なお、本実施の形態ではＰＣ３はアンチウイルスソフト１０を有していないものとしている。
【００１３】
以上のような構成を備えるネットワークシステムにおけるコンピュータウイルスの検出方法について図２のフローチャート及び図３を基に説明する。
図３に示すように、ＬＡＮ２００上に常時接続していないＰＣ３が図示無きルータを介してネットワークに接続され、クライアント２ｂ及びクライアント２ｃにデータの送信（例えばメール送信やファイルデータの共有等）を行う。このときＰＣ３はコンピュータウイルス３０によって感染しており、自己伝染機能によりデータの送信時にデータにコンピュータウイルス３０が添付され、ＬＡＮ２００を介してクライアント２ｂ，２ｃに感染しようとする。このときデータの送信はＬＡＮ２００内で行われているため、この時点ではサーバ１側ではウイルスがネットワークシステムに侵入したことを検出できない状態となっている。
なお、本実施形態では同時期（ＰＣ３からのデータ送信時）にクライアント２ａからクライアント２ｂへデータの送信が行われているものとする。また、クライアント２ｃへは同時期にクライアント２ｄからデータ送信が行われているものとしている。
【００１４】
クライアント２ｂではＰＣ３から送信されたデータを受信すると、アンチウイルスソフト１０を用いて受信したデータがコンピュータウイルス３０によって感染しているか否かの検出（ウイルスの検出）を行う。アンチウイルスソフト１０はコンピュータウイルス３０の感染を検出すると、クライアント２ｂの制御部２０にコンピュータウイルス３０が検出された旨の信号を送るとともにコンピュータウイルス３０の駆除を行い、クライアント２ｂからコンピュータウイルス３０を除去する。
また、アンチウイルスソフト１０からコンピュータウイルス３０を検出した旨の信号を受けると、制御部２０はコンピュータウイルス感染時に自身のＰＣ（クライアント２ｂ）とネットワーク接続（通信）していた相手方の全てのＰＣ（ここではクライアント２ａ及びＰＣ３）のネットワーク情報（例えばＩＰアドレス）を入手し、コンピュータウイルス３０を検出した旨の報告をサーバ１に行うとともに、入手したネットワーク情報をサーバ１に送信する。
【００１５】
一方、クライアント２ｃにおいてもクライアント２ｂと同様の手法にてウイルスの検出、駆除を行うとともに、クライアント２ｃの制御部２０はウイルスの検出報告をサーバ１に行い、同時にウイルス感染時にネットワーク接続していたクライアント２ｄ及びＰＣ３のネットワーク情報（ＩＰアドレス）をサーバ１に送信する。
【００１６】
サーバ１の制御部２０では、クライアント２ｂ，２ｃから送られてきた全てのネットワーク情報を基に感染源となったＰＣを割り出す。本実施形態の場合、クライアント２ｂにてコンピュータウイルス３０が検出された際のネットワークの接続相手はクライアント２ａ及びＰＣ３であり、クライアント２ｃにてコンピュータウイルス３０が検出された際のネットワークの接続相手はクライアント２ｄ及びＰＣ３である。このうち共通する接続相手はＰＣ３であり、クライアント２ａ，２ｄからはコンピュータウイルス３０検出の報告はない。
【００１７】
これらの情報からサーバ１の制御部２０は、感染源としてＰＣ３を選定し、その結果をモニター１２又はプリンター１３により出力する。モニター１２又はプリンター１３による出力内容は、選定したＰＣ３のＩＰアドレス、ＭＡＣアドレス、コンピュータ識別名等のネットワーク情報のみでもよいし、選定したネットワーク情報に追加して入手した他のネットワーク情報及びそれらの接続関係が判る情報を全てを出力するようにしてもよい。なお、本実施の形態ではＰＣ３のみのネットワーク情報を出力するものとしているが、取得したネットワーク情報において共通するネットワーク情報が複数個抽出されれば、その共通した複数のネットワーク情報をすべて表示させればよい。
【００１８】
ネットワーク管理者はこの出力されたネットワーク情報（コンピュータ特定情報）により、ＰＣ３がコンピュータウイルスの感染源の可能性が高いとして調査し、ＰＣ３にウイルス３０の感染が認められれば、アンチウイルスソフト１０を用いてＰＣ３内のコンピュータウイルス３０を除去したり、ネットワークからＰＣ３の接続を解除する等の処置が行えることとなる。その結果、サーバ１が管理をしていないＰＣのネットワーク接続によるコンピュータウイルスの感染拡大を迅速に予防でき、さらに感染源を特定することができるため、その後の感染を防止することができる。
【００１９】
また、以上の実施形態では、ネットワーク情報としてＩＰアドレスを用いているが、これに限るものではなく、例えばＭＡＣアドレスや各クライアント等を特定するためのコンピュータ識別名であってもよい。また、本実施の形態では、サーバ１に送られてくるネットワーク情報を解析し、サーバ１にて感染源を特定するものとしているが、これに限るものではなく、このような解析をクライアント側にて行うようにすることもできる。さらに、サーバ１に送られてきたネットワーク情報を解析せず、入手した全てのネットワーク情報をモニター１２やプリンター１３にて出力するのみとし、出力されたネットワーク情報に基づいたその後の調査、処理を人的作業により行うこともできる。
【００２０】
【発明の効果】
本発明によれば、コンピュータウイルスの感染源を効率よく特定することができるため、感染の拡大を迅速に防止でき、コンピュータウイルスを根絶することができる。
【図面の簡単な説明】
【図１】本実施形態におけるネットワークシステムの概要を示した図である。
【図２】本実施形態におけるウイルスチェック方法の流れを示したフローチャートである。
【図３】本実施形態のネットワークシステムにてデータの受け渡しが行われた状態を示した図である。
【符号の説明】
１サーバ
２クライアント
３ＰＣ
１０アンチウイルスソフト
２０制御部
１００インターネット
２００ＬＡＮ

Claims

多数のコンピュータが接続されたネットワークシステムにおけるコンピュータウイルス検出方法において、前記ネットワークシステムに接続されたコンピュータにウイルスが感染しているか否かを検出する第１の過程と、該第１の過程により前記コンピュータにウイルスの感染が認められた場合，前記ウイルス検出時に前記コンピュータと接続していた相手方のコンピュータのネットワーク情報を取得する第２の過程と、第２の過程により取得した前記ネットワーク情報を出力する第３の過程と、を有することを特徴とするコンピュータウイルス検出方法。
請求項１のコンピュータウイルス検出方法において、前記第１の過程により複数のコンピュータからウイルスの感染が認められた場合、前記感染が認められた各コンピュータから前記第２の過程によりネットワーク情報を取得するとともに得られた複数のネットワーク情報を基に感染源となったコンピュータを特定するために必要なネットワーク情報を抽出する第４の過程を有することを特徴とするコンピュータウイルス検出方法。
請求項２のコンピュータウイルス検出方法において、前記ネットワーク情報とは、少なくともＩＰアドレス、ＭＡＣアドレス及びコンピュータ識別名のうちの一つであることを特徴とするコンピュータウイルス検出方法。
多数のコンピュータが接続されたネットワークシステムにおいて、前記ネットワークシステムのコンピュータにウイルスが感染しているか否かを検出するウイルス検出手段と、該ウイルス検出手段により前記コンピュータにウイルスの感染が認められた場合，前記ウイルス検出時に前記コンピュータが接続していた相手方のコンピュータのネットワーク情報を取得するネットワーク情報取得手段と、該ネットワーク情報取得手段により取得した前記ネットワーク情報を出力する出力手段と、を有することを特徴とするネットワークシステム。
請求項４のネットワークシステムにおいて、前記ウイルス検出手段により複数のコンピュータからウイルスの感染が認められた場合、前記感染が認められた各コンピュータから前記ネットワーク情報取得手段によりネットワーク情報を取得するとともに得られた複数のネットワーク情報を基に感染源となったコンピュータを特定するために必要なネットワーク情報を抽出するネットワーク情報抽出手段と、を有することを特徴とするネットワークシステム。
請求項５のネットワークシステムにおいて、前記ネットワーク情報とは少なくともＩＰアドレス、ＭＡＣアドレス及びコンピュータ識別名のうちの一つであることを特徴とするネットワークシステム。
請求項５のネットワークシステムにおいて、前記ネットワーク情報抽出手段は取得された前記複数のネットワーク情報において共通するネットワーク情報を抽出することを特徴とするネットワークシステム。