JP2006163528A - 通信端末、サーバ装置及び監視システム - Google Patents

Abstract

【課題】従来、発見が困難であった近距離無線通信型のウィルスや、それによって引き起こされるシステム障害の発見を可能とする通信端末、サーバ装置及び監視システムを提供する。
【解決手段】監視端末２０は、近距離無線通信を用いて、周辺に存在する該当端末の状態を監視する耐タンパ監視部２０２と、耐タンパ監視部２０２から監視結果を受信し、一次ウィルス検知を行うウィルス検知部２０１とを備える。耐タンパ監視部２０２は、ウィルス検知部２０１によって異常が検知された場合、監視結果を、ウィルス検知部２０１より詳細なウィルス検知を行うサーバ装置３０へ送信する。
【選択図】図２

Description

本発明は、通信端末、サーバ装置及び監視システムに関する。

一般に、システム障害は外部からの攻撃により引き起こされるものと、システムの内部要因から引き起こされるものに大別される。従来、前者の外部からの攻撃に対しては、ウィルス対策ソフトや侵入検知ソフトなどを用いて対応することが多い。

ウィルス対策処理を自動化することを目的とした装置については、開示されている（例えば、特許文献１参照。）。ここでは、ウィルス対策の実行指示と管理を一元的に行うサーバ装置を用意し、サーバ装置が、各クライアントへのウィルス対策ソフトの送信、実行指示、処理結果の受信と解析を行う。全ての処理はサーバ装置が一元的に行うため、クライアントユーザの負担が軽減される。

又、クライアントコンピュータに対するアクセス履歴とウィルス対策ソフトを組み合わせることで、ウィルスの感染元を検知する手段も開示されている（例えば、特許文献２参照。）。

又、ネットワーク上のウィルスチェック装置を用いてパケットの中継中にウィルス感染をチェックすることで、ネットワーク側でウィルスを未然に防ぐことを目的とした、ウィルスチェックネットワークも開示されている（例えば、特許文献３参照。）。
特開２００２−２２２０９４号公報 特開２００４−８６２４１号公報 特開平１１−１６７４８７号公報

昨今、近距離無線通信装置を備えた携帯端末が一般に発売され、普及の兆しを見せ始めるとともに、近距離無線通信を利用して拡大するウィルスプログラムが登場し、システム障害を引き起こす脅威となりつつある。これら近距離無線通信型のウィルスは従来のウィルスプログラムと違って拡大経路が固定網を通過しないため、ネットワーク中継装置で、ウィルスを発見、駆除することが困難である。

又、上記の従来技術にあるように各端末にウィルス対策ソフトを用意し、ウィルス検知を行うことも考えられるが、携帯端末の計算能力が低いことから高機能なウィルス対策ソフトを入れることが困難であると同時に、ウィルス対策ソフト自体が攻撃の対象となった場合や、ウィルスパターンファイルの更新が間に合わなかった場合などに対応できないという課題がある。

そこで、本発明は、上記の課題を鑑み、従来、発見が困難であった近距離無線通信型のウィルスや、それによって引き起こされるシステム障害の発見を可能とする通信端末、サーバ装置及び監視システムを提供することを目的とする。

上記目的を達成するため、本発明の第１の特徴は、（ａ）近距離無線通信を用いて、周辺に存在する該当端末の状態を監視する耐タンパ監視部と、（ｂ）耐タンパ監視部から監視結果を受信し、一次ウィルス検知を行うウィルス検知部とを備え、耐タンパ監視部は、ウィルス検知部によって異常が検知された場合、監視結果を、ウィルス検知部より詳細なウィルス検知を行うサーバ装置へ送信する通信端末であることを要旨とする。

第１の特徴に係る通信端末によると、従来、発見が困難であった近距離無線通信型のウィルスや、それによって引き起こされるシステム障害の発見を可能とする。

又、第１の特徴に係る通信端末は、耐タンパ監視部あるいはサーバ装置の要求に応じて、該当端末あるいは当該通信端末の詳細情報を取得する耐タンパ詳細情報取得部を更に備え、耐タンパ監視部は、詳細情報をサーバ装置へ送信してもよい。

この通信端末によると、より詳細な情報に基づいてウィルス検知を行うことができる。

又、第１の特徴に係る通信端末において、耐タンパ監視部は、自端末のウィルス検知部の状態を監視し、当該監視結果をサーバ装置へ送信してもよい。

この通信端末によると、自端末に対する定期的な監視とサーバ装置での検知により、ウィルス検知部の堅牢性を向上させることができる。

本発明の第２の特徴は、近距離無線通信を用いて周辺に存在する該当端末の状態を監視し、当該監視結果に基づいて一次ウィルス検知を行う通信端末より受信した監視結果をもとに、ウィルス検知部より詳細なウィルス検知を行うウィルス検知部を備えるサーバ装置であることを要旨とする。

第２の特徴に係るサーバ装置によると、従来、発見が困難であった近距離無線通信型のウィルスや、それによって引き起こされるシステム障害の発見を可能とする。

又、第２の特徴に係るサーバ装置において、ウィルス検知部は、監視結果に含まれる通信端末のウィルス検知能力をもとに重要度を設定し、当該重要度に応じた処理を行ってもよい。

又、第２の特徴に係るサーバ装置において、通信端末のウィルス検知能力に応じて、通信端末を複数のグループに分けて管理する端末グループ管理部を更に備え、ウィルス検知部は、前記グループに応じた処理を行ってもよい。

本発明の第３の特徴は、（ａ）近距離無線通信を用いて、周辺に存在する該当端末の状態を監視し、当該監視結果に基づいて一次ウィルス検知を行う通信端末と、（ｂ）前記通信端末によって異常が検知された場合、前記通信端末より前記監視結果を受信し、前記ウィルス検知部より詳細なウィルス検知を行うサーバ装置とを備える監視システムであることを要旨とする。

第３の特徴に係る監視システムによると、従来、発見が困難であった近距離無線通信型のウィルスや、それによって引き起こされるシステム障害の発見を可能とする。

本発明によると、従来、発見が困難であった近距離無線通信型のウィルスや、それによって引き起こされるシステム障害の発見を可能とする通信端末、サーバ装置及び監視システムを提供することができる。

次に、図面を参照して、本発明の実施の形態を説明する。以下の図面の記載において、同一又は類似の部分には、同一又は類似の符号を付している。ただし、図面は模式的なものであることに留意すべきである。

（監視システム）
本発明の実施の形態に係る監視システムは、図１に示すように、複数の通信端末１０、２０と、サーバ装置３０とから構成される。通信端末１０、２０同士は、近距離無線通信により通信を行い、通信端末とサーバ装置３０は、通常の無線通信を行う。

以下の説明において、監視される側の通信端末を該当端末１０、監視する側の端末を監視端末２０という。又、自端末の周辺に存在する端末を周辺端末という。

各通信端末は、図２に示すように、ウィルス検知部１０１、２０１と、耐タンパ監視部１０２、２０２と、耐タンパ詳細情報取得部１０３、２０３とを備える。通信端末の構成は、該当端末１０でも、監視端末２０でも同様である。

監視端末２０の耐タンパ監視部２０２は、周辺端末に対して、無線LANやBluetoothなどの近距離無線通信を用いて監視を行う。具体的には、耐タンパ監視部２０２は、周辺の通信端末や、周辺の通信端末との間のネットワーク状態を、該当端末１０の耐タンパ詳細情報取得部１０３などから情報を取得することにより、定期的に監視する。又、耐タンパ監視部２０２は、該当端末１０の監視結果をウィルス検知部２０１へ送信する。

ウィルス検知部２０１は、耐タンパ監視部２０２から監視結果を受信し、一次ウィルス検知を行う。ここで、特にウィルスが発見されなければ、耐タンパ監視部２０２は、引き続き周辺端末に対して監視を行う。

逆に、ウィルスが発見された場合は、耐タンパ監視部２０２は、監視端末２０内の耐タンパ詳細情報取得部２０３から監視端末２０のウィルス検知能力と位置情報、時間情報などの情報を取得し、監視結果に付加して、サーバ装置３０へ送信する。

ここで、「ウィルス検知能力」とは、例えば、ウィルス検知プログラムの有無や、パターンファイルのUpdate状態（パターンファイルのバージョン、日付などが挙げられる。又、端末内部にインストールされたアプリケーションによっては脆弱性が増す場合も考えられるため、インストールされたアプリケーション名の一覧なども挙げられる。

又、「監視結果」には、監視の結果、ウィルスが発見されたかどうかの2値の値と、発見された場合、ウィルス名や被害状況（何%のファイルが感染したかなど）等の情報が含まれる。

サーバ装置３０は、図２に示すように、ウィルス検知部３０１と、端末グループ管理部３０２とを備える。

ウィルス検知部３０１は、監視端末２０より受信した監視結果をもとに、より詳細なウィルス検知を行う。サーバ装置３０上のウィルス検知部３０１は、計算能力が豊富であり、且つ最新のパターンファイルを持つと考えられるため、より詳細で誤りの少ないウィルス検知が可能である。

又、ウィルス検知部３０１は、周辺の監視端末２０が複数存在する場合、ウィルス検知能力に差があることが考えられるため、複数の端末間で、ウィルス検知能力を比較し、これに応じた重要度を設定してもよい。例えば、「優秀な検知能力を持つ端末からの通知」、かつ「監視結果が深刻な場合」に、高い重要度を設定する。この重要度に応じた、選別、詳細情報の取得、処理の優先度を上げる等といった処理を行ってもよい。

又、ウィルス検知部３０１は、受信した位置情報、時間情報をキーに、同時に観測された同一対象に対する監視結果を集約し、二重処理を回避してもよい。この構成によると、より精度が高く、負荷の少ないウィルス検知処理を行うことが可能になる。

更に、サーバ装置３０上のウィルス検知部３０１は、該当端末１０の詳細な情報を要求した場合は、該当端末１０の耐タンパ詳細情報取得部１０３に問い合わせを行い、該当端末１０の詳細情報を取得し、ウィルスの感染状態を検査する。

又、端末グループ管理部３０２は、端末のウィルス検知能力に応じてウィルス検知処理を最適化するために、端末を複数のグループに分けて管理する。端末側でのウィルス検知だけで充分なため、サーバ装置３０でのウィルス検知を必要としないグループや、端末詳細情報を用いた詳細な検知まで必要とするグループなどに端末を分けて管理することで、各端末に適応したウィルス検知処理を行うことができる。

例えば、端末グループ管理部３０２は、通信端末を以下の３つのグループに分けて管理することができる。

（１）周辺端末から監視され、サーバから異常通知を受け取るだけの端末
（２）周辺端末から監視され、サーバで詳細なウィルス検査を行い、通知を受け取る端末
（３）周辺端末から監視され、サーバで詳細な検査を行い、端末を感染から守る修正プログラム（パッチ）をPush配信される端末
端末グループ管理部３０２は、これらのグループＩＤに端末ＩＤをひも付けし、管理する。

尚、上述したグループ分けは、ユーザの要求に応じて行われるものであり、端末上の機能に左右されるのもではない。例えば、ユーザが要求すれば、パッチ送信までサーバ装置３０が管理することとなる。

又、本実施形態に係る監視システムは、周辺端末だけではなく、自端末の監視を行ってもよい。

通信端末上のウィルス検知部１０１、２０１は、パターンファイルの更新が頻繁になされるため通常のメモリ空間に用意される。一方、耐タンパ監視部１０２、２０２は、耐タンパハードウェアとして実装されるため、容易に改ざんがされにくい性質を持つ。そこで、ウィルスによる攻撃を受ける可能性のあるウィルス検知部１０１、１０２や通常メモリ空間を保護するため、自端末内部を定期的に監視してもよい。

この場合、耐タンパ監視部１０２、２０２は、自端末のウィルス検知部１０１、２０１や通常メモリ空間に対し、周辺端末に対して行うように定期的に監視を行う。得られた監視結果に同様に自端末のウィルス検知能力、位置情報、時間情報を付加するが、自端末のウィルス検知部１０１、２０１は攻撃を受けている可能性があるため、1次ウィルス検知を行わずにそのまま監視結果をサーバ装置３０のウィルス検知部３０１に送信する。

サーバ装置３０のウィルス検知部３０１は、ウィルス検知を行い、必要に応じて端末の耐タンパ詳細情報取得部１０３、２０３から詳細情報を取得して詳細な検知を行う。

又、本実施形態に係る通信端末１０、２０は、処理制御装置（ＣＰＵ）を有し、上述したウィルス検知部１０１、２０１、耐タンパ監視部１０２、２０２、耐タンパ詳細情報取得部１０３、２０３などをモジュールとして、ＣＰＵによって実行させる構成とすることができる。これらのモジュールは、パーソナルコンピュータ等の汎用コンピュータにおいて、所定のプログラム言語を利用するための専用プログラムを実行することにより実現することができる。

又、図示していないが、通信端末１０、２０は、ウィルス検知処理、耐タンパ監視処理、耐タンパ詳細情報取得処理などをＣＰＵに実行させるためのプログラムを蓄積するプログラム保持部を備えてもよい。プログラム保持部は、例えば、ＲＡＭ、ＲＯＭ、ハードディスク、フレキシブルディスク、コンパクトディスク、ＩＣチップ、カセットテープなどの記録媒体である。このような記録媒体によれば、プログラムの蓄積、運搬、販売などを容易に行うことができる。

同様に、サーバ装置３０は、処理制御装置（ＣＰＵ）を有し、上述したウィルス検知部３０１、端末グループ管理部３０２などをモジュールとして、ＣＰＵによって実行させる構成とすることができる。これらのモジュールは、パーソナルコンピュータ等の汎用コンピュータにおいて、所定のプログラム言語を利用するための専用プログラムを実行することにより実現することができる。

又、図示していないが、サーバ装置３０は、ウィルス検知処理、端末グループ管理処理などをＣＰＵに実行させるためのプログラムを蓄積するプログラム保持部を備えてもよい。プログラム保持部は、例えば、ＲＡＭ、ＲＯＭ、ハードディスク、フレキシブルディスク、コンパクトディスク、ＩＣチップ、カセットテープなどの記録媒体である。このような記録媒体によれば、プログラムの蓄積、運搬、販売などを容易に行うことができる。

（監視方法）
次に、本実施形態に係る監視方法について、図１及び図２を参照しながら、図３を用いて説明する。図３では、監視端末２０が周辺に存在する該当端末１０を監視する場合について説明する。

又、図４は、監視端末２０の動作を示すフローチャート、図５は、サーバ装置３０の動作を示すフローチャート、図６は、該当端末１０の動作を示すフローチャートである。

まず、ステップＳ１０１において、監視端末２０の耐タンパ監視部２０２は、該当端末１０に対して近距離無線通信を用いて、定期的に監視を行う（図４のステップＳ１１）。このとき、該当端末１０に対して行う場合や、該当端末の耐タンパ監視部１０２や耐タンパ詳細情報取得部１０３と通信を行い、詳細な端末情報を取得してもよい。

次に、ステップＳ１０２において、耐タンパ監視部２０２は、得られた監視結果をウィルス検知部２０１へ送信する。

次に、ステップＳ１０３において、ウィルス検知部２０１は、自身のウィルス検知機能で該当端末１０のウィルス感染状態や、不具合などの異常を検知する（図４のステップＳ１２）。

ここで、異常が発見された場合、ステップＳ１０４において、監視結果の送信要求を耐タンパ監視部２０２へ送信する。耐タンパ監視部２０２は、ステップＳ１０５において、耐タンパ詳細情報取得部２０３から、監視端末２０のウィルス検知能力と位置情報、時間情報などの付加情報を取得し（図４のステップＳ１３）、ステップＳ１０６において、付加情報付の監視結果をサーバ装置３０へ送信する（図４のステップＳ１４）。

次に、ステップＳ１０７において、サーバ装置３０のウィルス検知部３０１は、監視結果を受信し（図５のステップＳ２１）、監視端末２０のウィルス検知能力と監視結果を比較して重要度判定を行う（図５のステップＳ２２）。重要な異常の場合は、詳細情報を取得するため、ステップＳ１０８において、該当端末１０の耐タンパ詳細情報取得部１０３に詳細情報の送信を要求する。

次に、ステップＳ１０９において、該当端末１０の耐タンパ詳細情報取得部１０３は、詳細情報送信要求を受信し（図６のステップＳ３１）、自身のメモリダンプなど、自端末に関する詳細な情報を取得する（図６のステップＳ３２）。そして、ステップＳ１１０において、詳細情報をウィルス検知部３０１へ送信する（図６のステップＳ３３）。

次に、ステップＳ１１１において、ウィルス検知部３０１は、詳細情報を取得し（図５のステップＳ２３）、詳細情報を元に詳細な異常の検知（例えば、二次ウィルス検知）を行う（図５のステップＳ２４）。そして、異常の内容が判明した場合には、ステップＳ１１２において、該当端末１０に対して何らかの対処を行う（図５のステップＳ２５）。

次に、監視端末２０が自端末を監視する方法について、図１及び図２を参照しながら、図７を用いて説明する。

まず、ステップＳ２０１において、耐タンパ監視部２０２は、定期的に自身のウィルス検知部２０１やメモリ空間に対して監視を行う。

次に、ステップＳ２０２において、耐タンパ詳細情報取得部２０３は、得られた監視データに、監視端末２０のウィルス検知能力や位置情報、時間情報を取得し、ステップＳ２０３において、耐タンパ監視部２０２は、付加情報付監視結果を、サーバ装置３０のウィルス検知部３０１へ送信する。

次に、ステップＳ２０４において、サーバ装置３０のウィルス検知部３０１は、得られた監視データを用いて異常検知を行い、必要に応じてステップＳ２０５において、監視端末２０の耐タンパ詳細情報取得部２０３から詳細情報を取得する。

そして、ステップＳ２０６において、監視端末２０に異常が発見された場合には、サーバ装置３０のウィルス検知部３０１は、監視端末２０に対して何らかの対処を行う。

又、サーバ装置３０の端末グループ管理部３０２は、各端末を複数のグループに分けて管理する。あらかじめ端末の機能に応じてグループ分けすることで、ウィルス検知処理を最適化することが可能になる。例えば、ウィルス検知部３０１でウィルス検知を行うべきか否か、耐タンパ詳細情報取得部１０３から詳細情報を取得するべきか否かを判断する際に端末グループ管理部３０２に問い合わせを行い、最適な処理を選択するといった処理が考えられる。

（作用及び効果）
本実施形態に係る監視システム及び監視方法によると、耐タンパ監視部２０２を備えた周辺の監視端末２０による監視手段と、ウィルス検知部３０１を備えたサーバ装置３０を組み合わせることで、端末内のウィルス検知部１０１が攻撃された場合にも対処を可能とすると同時に、ネットワーク装置を介さずに、近距離無線通信を通して伝播するウィルスや、それによって引き起こされるシステム障害を発見、駆除することができる。

又、監視端末２０のウィルス検知部２０１で一次ウィルス検知を行うため、サーバ装置の負荷の軽減が見込める。

更に、監視情報にウィルス検知能力や位置・時間情報を付加することで、ウィルス検知の信頼性を向上できる。

又、自端末に対する定期的な監視とサーバ装置での検知により、ウィルス検知部の堅牢性を向上させることができる。このように、端末側の耐タンパ監視部が自端末に対する監視を行い、ウィルス検知をサーバ装置のウィルス検知部に依頼することで、ウィルス対策ソフトに対する攻撃が成功した後でも、その発見・対処を可能とする。

（その他の実施形態）
本発明は上記の実施形態によって記載したが、この開示の一部をなす論述及び図面はこの発明を限定するものであると理解すべきではない。この開示から当業者には様々な代替実施形態、実施例及び運用技術が明らかとなろう。

例えば、本発明の実施の形態において、ウィルス検知について説明したが、本発明はこれ以外に、端末の不具合やバグ検知に用いられてもよい。耐タンパ監視部２０２による監視結果や、耐タンパ詳細情報取得部１０３から得られる詳細情報に、該当端末１０のメモリダンプなどを含めることで、最初から端末に含まれていた不具合やバグ、それに対するパッチデータの適用状態などを検査することが可能になり、システム障害を引き起こす脅威を減らすことができる。

又、本発明の実施例の一つとして、端末間だけでなく、パーソナルエリアネットワーク内の機器間でのウィルス検知が挙げられる。端末だけでなく、周辺機器が該当端末１０や監視端末２０として振る舞い、相互に監視を行う。このモデルでは、各端末は同一ユーザの所持品であることが想定されるため、より詳細な監視が行える可能性がある。その際、通常通り、サーバ装置３０を設けて各周辺機器が通信を行うモデルと、パーソナルエリアネットワーク内で最も計算能力の高い周辺機器がサーバ装置３０の役割を担うモデルが挙げられる。後者のケースでは長距離の通信が必要ない分、周辺機器にかかる負担は少ないが、サーバ装置３０の役割を担う機器に負担が集中するという問題点がある。

このように、本発明はここでは記載していない様々な実施形態等を含むことは勿論である。従って、本発明の技術的範囲は上記の説明から妥当な特許請求の範囲に係る発明特定事項によってのみ定められるものである。

本実施形態に係る監視システムの構成ブロック図である。 本実施形態に係る通信端末及びサーバ装置の構成ブロック図である。 本実施形態に係る監視方法のシーケンス図である（その１）。 本実施形態に係る監視端末の動作を示すフローチャートである。 本実施形態に係るサーバ装置の動作を示すフローチャートである。 本実施形態に係る該当端末の動作を示すフローチャートである。 本実施形態に係る監視方法のシーケンス図である（その２）。

符号の説明

１０…該当端末
２０…監視端末
３０…サーバ装置
１０１…ウィルス検知部
１０２…耐タンパ監視部
１０３…耐タンパ詳細情報取得部
２０１…ウィルス検知部
２０２…耐タンパ監視部
２０３…耐タンパ詳細情報取得部
３０１…ウィルス検知部
３０２…端末グループ管理部

Claims (7)

1. 近距離無線通信を用いて、周辺に存在する該当端末の状態を監視する耐タンパ監視部と、
   前記耐タンパ監視部から監視結果を受信し、一次ウィルス検知を行うウィルス検知部とを備え、
   前記耐タンパ監視部は、前記ウィルス検知部によって異常が検知された場合、前記監視結果を、前記ウィルス検知部より詳細なウィルス検知を行うサーバ装置へ送信することを特徴とする通信端末。
2. 前記耐タンパ監視部あるいは前記サーバ装置の要求に応じて、前記該当端末あるいは当該通信端末の詳細情報を取得する耐タンパ詳細情報取得部を更に備え、
   前記耐タンパ監視部は、前記詳細情報を前記サーバ装置へ送信することを特徴とする請求項１に記載の通信端末。
3. 前記耐タンパ監視部は、自端末の前記ウィルス検知部の状態を監視し、当該監視結果を前記サーバ装置へ送信することを特徴とする請求項１又は２に記載の通信端末。
4. 近距離無線通信を用いて周辺に存在する該当端末の状態を監視し、当該監視結果に基づいて一次ウィルス検知を行う通信端末より受信した前記監視結果をもとに、前記ウィルス検知部より詳細なウィルス検知を行うウィルス検知部を備えることを特徴とするサーバ装置。
5. 前記ウィルス検知部は、前記監視結果に含まれる前記通信端末のウィルス検知能力をもとに重要度を設定し、当該重要度に応じた処理を行うことを特徴とする請求項４に記載のサーバ装置。
6. 前記通信端末のウィルス検知能力に応じて、前記通信端末を複数のグループに分けて管理する端末グループ管理部を更に備え、
   前記ウィルス検知部は、前記グループに応じた処理を行うことを特徴とする請求項４又は５に記載のサーバ装置。
7. 近距離無線通信を用いて、周辺に存在する該当端末の状態を監視し、当該監視結果に基づいて一次ウィルス検知を行う通信端末と、
   前記通信端末によって異常が検知された場合、前記通信端末より前記監視結果を受信し、前記ウィルス検知部より詳細なウィルス検知を行うサーバ装置と
   を備えることを特徴とする監視システム。
   
   
   

Images