JP2006330926A

JP2006330926A - ウィルス感染検知装置

Info

Publication number: JP2006330926A
Application number: JP2005151227A
Authority: JP
Inventors: Shigenori Wakatabi; 茂紀若旅
Original assignee: Mitsubishi Electric Corp
Current assignee: Mitsubishi Electric Corp
Priority date: 2005-05-24
Filing date: 2005-05-24
Publication date: 2006-12-07

Abstract

【課題】ウィルスが使用するポートの情報やウィルスが送信するデータの特徴などが分からない新種のウィルスを拡散している可能性があるコンピュータを検出することができるウィルス感染検知装置を得ることを目的とする。
【解決手段】ダミーコンピュータ６に対する他のコンピュータのアクセスを検知するアクセス検知部２１と、アクセス検知部２１により他のコンピュータのアクセスが検知されると、他のコンピュータのＩＰアドレスを検出するＩＰアドレス検出部２２とを設け、ウィルスを拡散している可能性があるコンピュータのＩＰアドレスとして、ＩＰアドレス検出部２２により検出されたＩＰアドレスを管理サーバ７に通知する。
【選択図】図１

Description

この発明は、ネットワークに接続されているコンピュータのウィルス感染を検知するウィルス感染検知装置に関するものである。

例えば、企業においては、多くのコンピュータがＬＡＮなどのネットワークに接続されて利用されている。
このＬＡＮにネットワーク攻撃型のウィルスが侵入すると、そのウィルスが不特定のＩＰアドレスのコンピュータに侵入して攻撃を開始し、ネットワーク経由でウィルスが拡散する。

そこで、従来からネットワーク攻撃型のウィルスを検知するウィルス感染検知装置が開発されている。
従来のウィルス感染検知装置においては、クライアントコンピュータが、自己にアクセスしているコンピュータのＩＰアドレスとポート番号を含むアクセス履歴を格納するアクセス履歴データベースと、ウィルスの侵入を検知するウィルス対策ソフトとを備えるようにしている。
そして、クライアントコンピュータのウィルス対策ソフトがウィルスの侵入を検知すると、サーバコンピュータがクライアントコンピュータのアクセス履歴データベースから、ウィルスの侵入が検知された時刻後のアクセス履歴を収集して、そのアクセス履歴に含まれているコンピュータのＩＰアドレスとポート番号からウィルスの感染元を検知するようにしている（例えば、特許文献１参照）。

特開２００４−８６２４１号公報（段落番号［００１１］から［００１４］、図２）

従来のウィルス感染検知装置は以上のように構成されているので、予めウィルスが使用するポートの情報やウィルスが送信するデータの特徴などが分かっていれば、ウィルス対策ソフトがウィルスの侵入を検知することができる。しかし、新種のウィルスの場合、ウィルスが使用するポートの情報やウィルスが送信するデータの特徴などが分からないため、ウィルスの侵入を検知することができず、ネットワーク経由でウィルスが拡散して、コンピュータを使用することができなくなることがある課題があった。

この発明は上記のような課題を解決するためになされたもので、ウィルスが使用するポートの情報やウィルスが送信するデータの特徴などが分からない新種のウィルスを拡散している可能性があるコンピュータを検出することができるウィルス感染検知装置を得ることを目的とする。

この発明に係るウィルス感染検知装置は、ダミーコンピュータに対する他のコンピュータのアクセスを検知するアクセス検知手段と、そのアクセス検知手段により他のコンピュータのアクセスが検知されると、他のコンピュータのＩＰアドレスを検出するＩＰアドレス検出手段とを設け、ウィルスを拡散している可能性があるコンピュータのＩＰアドレスとして、そのＩＰアドレス検出手段により検出されたＩＰアドレスを通知するようにしたものである。

この発明によれば、ダミーコンピュータに対する他のコンピュータのアクセスを検知するアクセス検知手段と、そのアクセス検知手段により他のコンピュータのアクセスが検知されると、他のコンピュータのＩＰアドレスを検出するＩＰアドレス検出手段とを設け、ウィルスを拡散している可能性があるコンピュータのＩＰアドレスとして、そのＩＰアドレス検出手段により検出されたＩＰアドレスを通知するように構成したので、ウィルスが使用するポートの情報やウィルスが送信するデータの特徴などが分からない新種のウィルスを拡散している可能性があるコンピュータを検出することができる効果がある。

実施の形態１．
図１はこの発明の実施の形態１によるウィルス感染検知装置を示す構成図であり、図において、ネットワーク１は例えばＬＡＮなどの企業内広域ネットワークである。
コンピュータ２〜５はネットワーク１に接続されており、パーソナルファイアウォール１１やウィルス検知処理部１２などを実装している。
コンピュータ４はウィルスに１次感染しているコンピュータであり、そのウィルスをコンピュータ５に拡散しているほか、コンピュータ２やダミーコンピュータ６に対してウィルスの拡散を試みようとしている。
コンピュータ５はウィルスに２次感染しているコンピュータであり、コンピュータ３に対してウィルスの拡散を試みようとしている。

ダミーコンピュータ６はネットワーク１に接続されているが、コンピュータ２〜５のような通常のコンピュータと異なり、あくまでもダミーのコンピュータであるため、通常の使用状態では、コンピュータ２〜５からアクセスを受けることはないコンピュータである。したがって、ダミーコンピュータ６にアクセスしてくるコンピュータは通常の使用状態ではなく、ウィルスに感染しているコンピュータの可能性がある。
管理サーバ７はウィルスが使用するポートの情報やウィルスが送信するデータの特徴などが記録されているウィルスＤＢ１４をコンピュータ２〜５に配付する一方、コンピュータ２〜５のウィルス検知処理部１２がウィルスの侵入を検知すると、コンピュータ２〜５の通信ログＤＢ１３に記録されている通信ログを収集し、その通信ログを解析して１次感染コンピュータや２次感染コンピュータを認定するなどの処理を実施する。

図２はこの発明の実施の形態１によるウィルス感染検知装置が監視するコンピュータ２〜５を示す構成図であり、図において、パーソナルファイアウォール１１は他のコンピュータからのアクセスを監視し、他のコンピュータによる通信ログ（通信日時、ＦｒｏｍＩＰ（送信元コンピュータのＩＰアドレス）、Ｆｒｏｍポート（送信元コンピュータが使用している送信側のポート番号）、Ｔｏポート（送信元コンピュータが使用している受信側のポート番号）、通信データ）を通信ログＤＢ１３に記録する処理を実施する。なお、パーソナルファイアウォール１１はアクセス検知手段を構成している。
ウィルス検知処理部１２は例えばウィルス対策ソフトウェア１２を実行するプログラミング機器から構成され、通信ログＤＢ１３に記録されている通信ログとウィルスＤＢ１４に記録されているポートの情報等を照合してウィルスの検知処理を実施し、ウィルスを検知すると、ウィルス拡散コンピュータのＩＰアドレスとして、他のコンピュータのＩＰアドレスを管理サーバ７に通知する処理を実施する。なお、ウィルス検知処理部１２はウィルス検知手段とＩＰアドレス通知手段を構成している。

図３はこの発明の実施の形態１によるウィルス感染検知装置のダミーコンピュータ６を示す構成図であり、図において、アクセス検知部２１は例えばネットワーク監視機器から構成され、ダミーコンピュータ６に対する他のコンピュータのアクセスを検知する処理を実施する。なお、アクセス検知部２１はアクセス検知手段を構成している。
ＩＰアドレス検出部２２は例えばパーソナルファイアウォールから構成され、アクセス検知部２１により他のコンピュータのアクセスが検知されると、他のコンピュータのＩＰアドレスを検出する処理を実施する。なお、ＩＰアドレス検出部２２はＩＰアドレス検出手段を構成している。
ＩＰアドレス通知部２３は例えばモデムなどの通信機器から構成され、ウィルスを拡散している可能性があるコンピュータのＩＰアドレスとして、ＩＰアドレス検出部２２により検出されたＩＰアドレスを管理サーバ７に通知する処理を実施する。なお、ＩＰアドレス通知部２３はＩＰアドレス通知手段を構成している。

図４はこの発明の実施の形態１によるウィルス感染検知装置の管理サーバ７を示す構成図であり、図において、ウィルスＤＢ配付部３１は例えばデータ送信機器から構成され、ウィルスが使用するポートの情報やウィルスが送信するデータの特徴などが記録されているウィルスＤＢ１４をコンピュータ２〜５に配付する処理を実施する。
情報収集部３２は例えばデータ受信機器から構成され、コンピュータ２〜５のウィルス検知処理部１２からウィルスの侵入検知通知を受けると、ウィルス検知処理部１２の検知ログ（例えば、検出日時、ウィルス名、検出ＰＣ、攻撃元ＰＣ）を収集する一方、ダミーコンピュータ６のＩＰアドレス通知部２３から通知されたＩＰアドレスを収集する処理を実施する。

メッセージ通知部３３は例えばメーラから構成され、情報収集部３２がダミーコンピュータ６からＩＰアドレスを収集すると、そのＩＰアドレスを有するコンピュータの管理者等に、ウィルスを拡散している可能性がある旨を示すメッセージを通知するなどの処理を実施する。
感染コンピュータ認定部３４は例えばＭＰＵなどのＩＣ集積回路から構成され、情報収集部３２により収集された検知ログを解析して１次感染コンピュータや２次感染コンピュータを認定するなどの処理を実施する。なお、通信ログ収集部３２及び感染コンピュータ認定部３４から認定手段が構成されている。
コンピュータ切り離し部３５は例えばスイッチ制御回路などから構成され、情報収集部３２により収集された検知ログに含まれているウィルス名が、危険度が高いウィルスの名称を表している場合、ネットワーク１のＨＵＢ１ａを制御して、そのウィルスに感染しているコンピュータをネットワーク１から切り離す処理を実施する。なお、コンピュータ切り離し部３５は切り離し手段を構成している。

次に動作について説明する。
管理サーバ７のウィルスＤＢ配付部３１は、新種のウィルスが検出されて、新種のウィルスが使用するポートの情報やウィルスが送信するデータの特徴などがウィルスＤＢ１４に記録されると、そのウィルスＤＢ１４をネットワーク１に接続されている全てのコンピュータ２〜５に配付する。図５はウィルスＤＢ１４の記録内容の一例を示す説明図である。
コンピュータ２〜５におけるウィルスの検知処理は後述するが、管理サーバ７のウィルスＤＢ配付部３１からウィルスＤＢ１４の配付を受けることでウィルスの検知が可能になる。

しかし、新種のウィルスが検出されて、新種のウィルスが使用するポートの情報やウィルスが送信するデータの特徴などが特定される前の段階では、コンピュータ２〜５において、新種のウィルスを検知することができず、新種のウィルスに感染することがある。
図１の例では、コンピュータ４は、新種のウィルスに１次感染しており、そのウィルスをコンピュータ５に拡散しているほか、コンピュータ２やダミーコンピュータ６に対してウィルスの拡散を試みようとしている。
この結果、コンピュータ５は、新種のウィルスに２次感染している。

ネットワーク攻撃型のウィルスは、不特定のＩＰアドレスのコンピュータに侵入して攻撃を開始するものであるため、新種のウィルスに１次感染しているコンピュータ４は、ダミーコンピュータ６に対してもウィルスの拡散を試みることになる。
しかし、ダミーコンピュータ６は、コンピュータ２〜５のような通常のコンピュータと異なり、あくまでもダミーのコンピュータであるため、通常の使用状態では、コンピュータ２〜５からアクセスを受けることはないコンピュータである。
したがって、ダミーコンピュータ６にアクセスしてくるコンピュータは通常の使用状態ではなく、ウィルスに感染しているコンピュータの可能性がある。
そこで、ダミーコンピュータ６は、自己にアクセスしてくるコンピュータを検出し、そのコンピュータのＩＰアドレスを、ウィルスに感染している可能性があるコンピュータのＩＰアドレスとして管理サーバ７に通知するようにしている。
具体的には、下記の通りである。

ダミーコンピュータ６のアクセス検知部２１は、ダミーコンピュータ６に対する他のコンピュータのアクセスを検知する処理を実施する。
図１の例では、ダミーコンピュータ６が新種のウィルスに１次感染しているコンピュータ４からアクセスを受けるので、コンピュータ４のアクセスを検知する。
ダミーコンピュータ６のＩＰアドレス検出部２２は、アクセス検知部２１がコンピュータ４のアクセスを検知すると、コンピュータ４のＩＰアドレス（ＦｒｏｍＩＰ）を検出する。
ダミーコンピュータ６のＩＰアドレス通知部２３は、ＩＰアドレス検出部２２がコンピュータ４のＩＰアドレスを検出すると、ウィルスを拡散している可能性があるコンピュータのＩＰアドレスとして、コンピュータ４のＩＰアドレスを管理サーバ７に通知する。

管理サーバ７の情報収集部３２は、ダミーコンピュータ６から通知されたＩＰアドレスを収集する。
管理サーバ７のメッセージ通知部３３は、情報収集部３２がダミーコンピュータ６からＩＰアドレスを収集すると、そのＩＰアドレスを有するコンピュータの管理者等に、ウィルスを拡散している可能性がある旨を示すメッセージを通知するなどの処理を実施する。
これにより、コンピュータの管理者等は、自己が管理しているコンピュータがウィルスに感染している可能性を認識することができるので、ネットワーク１経由でウィルスが拡散する前に適切な処置（例えば、コンピュータ４をネットワーク１から切り離したり、ハードディスクを初期化したりするなどの処置）を講じることが可能になる。

ウィルスに感染していないコンピュータ２，３のパーソナルファイアウォール１１は、自コンピュータ２，３に対する他のコンピュータのアクセスを監視し、他のコンピュータによる通信ログ（通信日時、ＦｒｏｍＩＰ（送信元コンピュータのＩＰアドレス）、Ｆｒｏｍポート（送信元コンピュータが使用している送信側のポート番号）、Ｔｏポート（送信元コンピュータが使用している受信側のポート番号）、通信データ）を通信ログＤＢ１３に記録する処理を実施する。図６は通信ログＤＢ１３の記録内容の一例を示す説明図である。

コンピュータ２，３のウィルス検知処理部１２は、通信ログＤＢ１３に記録されている通信ログとウィルスＤＢ１４に記録されているポートの情報等を照合してウィルスの検知処理を実施する。
即ち、ウィルス検知処理部１２は、他のコンピュータが使用しているポート（Ｆｒｏｍポート、または、Ｔｏポート）が、ウィルスＤＢ１４に記録されているポートと一致しており、かつ、他のコンピュータから送信された通信データの文字列が、ウィルスＤＢ１４に記録されている特徴（＝文字列）と一致していれば、他のコンピュータからウィルスを送りつけられていると判断する。
ウィルス検知処理部１２は、上記のようにして、ウィルスを検知すると、ウィルスの侵入検知信号を管理サーバ７に送信する。

管理サーバ７の情報収集部３２は、コンピュータ２，３のウィルス検知処理部１２からウィルスの侵入検知信号を受信すると、ウィルス検知処理部１２の検知ログ（ウィルスの検出日時、ウィルス名、コンピュータ２，３のＩＰアドレス、攻撃元である他のコンピュータのＩＰアドレス）を収集する。図７はウィルス検知処理部１２の検知ログの一例を示す説明図である。
管理サーバ７の感染コンピュータ認定部３４は、情報収集部３２がウィルス検知処理部１２の検知ログを収集すると、その検知ログを解析して１次感染コンピュータや２次感染コンピュータを認定する処理を実施する。

即ち、感染コンピュータ認定部３４は、ウィルス検知処理部１２の検知ログに記録されている１以上のＩＰアドレスをウィルス名ごとに分類し、ウィルスの検出日時が最も古いＩＰアドレスを有するコンピュータを１次感染コンピュータに認定する。
それよりもウィルスの検出日時に新しいＩＰアドレスを有するコンピュータを２次感染コンピュータに認定する。

管理サーバ７のコンピュータ切り離し部３５は、情報収集部３２により収集された検知ログに含まれているウィルス名が、危険度が高いウィルスの名称を表している場合、ネットワーク１のＨＵＢ１ａを制御して、そのウィルスに感染しているコンピュータ４，５をネットワーク１から切り離す処理を実施する。
例えば、あらかじめウィルスＡは危険度が高く、ウィルスＢは危険度が低いと認定されている場合、コンピュータ４，５がウィルスＢに感染していても、コンピュータ切り離し部３５がコンピュータ４，５をネットワーク１から切り離すことはないが、コンピュータ４，５がウィルスＡに感染していれば、コンピュータ切り離し部３５がコンピュータ４，５をネットワーク１から切り離す処理を実施する。

以上で明らかなように、この実施の形態１によれば、ダミーコンピュータ６に対する他のコンピュータのアクセスを検知するアクセス検知部２１と、そのアクセス検知部２１により他のコンピュータのアクセスが検知されると、他のコンピュータのＩＰアドレスを検出するＩＰアドレス検出部２２とを設け、ウィルスを拡散している可能性があるコンピュータのＩＰアドレスとして、そのＩＰアドレス検出部２２により検出されたＩＰアドレスを管理サーバ７に通知するように構成したので、ウィルスが使用するポートの情報やウィルスが送信するデータの特徴などが分からない新種のウィルスを拡散している可能性があるコンピュータ４，５を検出することができる効果を奏する。

また、この実施の形態１によれば、パーソナルファイアウォール１１により他のコンピュータのアクセスが検知されると、他のコンピュータによる通信ログを解析してウィルスを検知し、そのウィルスの拡散元である他のコンピュータのＩＰアドレスを検出するウィルス検知処理部１２を設け、ウィルス拡散コンピュータのＩＰアドレスとして、他のコンピュータのＩＰアドレスを通知するように構成したので、既にウィルスが使用するポートの情報やウィルスが送信するデータの特徴などが分かっているウィルスに感染しているコンピュータを特定することができる効果を奏する。

また、この実施の形態１によれば、ウィルス検知処理部１２により検出された他のコンピュータのＩＰアドレスの他に、ウィルス名とウィルスの検出日時を通知するように構成したので、コンピュータに感染しているウィルスの詳細を把握することができる効果を奏する。

さらに、この実施の形態１によれば、ウィルス検知処理部１２により通知されたＩＰアドレスをウィルス名ごとに分類し、ウィルスの検出日時が最も古いＩＰアドレスを有するコンピュータを１次感染コンピュータに認定し、それ以外のＩＰアドレスを有するコンピュータを２次感染コンピュータに認定するように構成したので、ウィルスの感染経路などを把握することができるようになり、その結果、ウィルスの効率的な駆除を実施することができる効果を奏する。

また、この実施の形態１によれば、ウィルス検知処理部１２により通知されたウィルス名が、危険度が高いウィルスの名称を表している場合、そのウィルスに感染しているコンピュータをネットワーク１から切り離すように構成したので、ネットワーク１経由でのウィルスの拡散を防止することができる効果を奏する。

なお、この実施の形態１では、ダミーコンピュータ６がウィルスを拡散している可能性があるコンピュータのＩＰアドレスを検出して、そのＩＰアドレスを管理サーバ７に通知するものについて示したが、ウィルスを拡散している可能性があるコンピュータのＩＰアドレスを検出するダミーの装置であればよく、ダミーコンピュータ６自体がコンピュータである必要はない。

実施の形態２．
図８はこの発明の実施の形態２によるウィルス感染検知装置を示す構成図であり、図１と比べて、ダミーコンピュータ６が搭載されておらず、コンピュータ２〜５がダミーコンピュータ６の機能（ウィルスを拡散している可能性があるコンピュータのＩＰアドレスを検出する機能）を備えている点で相違している。

図９はこの発明の実施の形態２によるウィルス感染検知装置のコンピュータ２〜５を示す構成図であり、図において、図２と同一符号は同一または相当部分を示すので説明を省略する。
ＩＰアドレス検出部１５はパーソナルファイアウォール１１により他のコンピュータのアクセスが検知されると、他のコンピュータのＩＰアドレスを検出する処理を実施する。なお、ＩＰアドレス検出部１５はＩＰアドレス検出手段を構成している。
ＩＰアドレス通知部１６はパーソナルファイアウォール１１によりアクセスが検知された他のコンピュータにおける単位時間当りのアクセス回数が規定数を超えると、ウィルスを拡散している可能性があるコンピュータのＩＰアドレスとして、ＩＰアドレス検出部１５により検出されたＩＰアドレスを管理コンピュータ７に通知する処理を実施する。なお、ＩＰアドレス通知部１６はＩＰアドレス通知手段を構成している。

次に動作について説明する。
管理サーバ７のウィルスＤＢ配付部３１は、新種のウィルスが検出されて、新種のウィルスが使用するポートの情報やウィルスが送信するデータの特徴などがウィルスＤＢ１４に記録されると、上記実施の形態１と同様に、そのウィルスＤＢ１４をネットワーク１に接続されている全てのコンピュータ２〜５に配付する。
コンピュータ２〜５におけるウィルスの検知処理は、上記実施の形態１と同様であるため説明を省略するが、管理サーバ７のウィルスＤＢ配付部３１からウィルスＤＢ１４の配付を受けることでウィルスの検知が可能になる。

しかし、新種のウィルスが検出されて、新種のウィルスが使用するポートの情報やウィルスが送信するデータの特徴などが特定される前の段階では、コンピュータ２〜５において、新種のウィルスを検知することができず、新種のウィルスに感染することがある。
そこで、この実施の形態２では、コンピュータ２〜５において、ウィルスを拡散している可能性があるコンピュータのＩＰアドレスを検出することができるようにしている。
具体的には、下記の通りである。

コンピュータ２〜５のパーソナルファイアウォール１１は、自コンピュータ２〜５に対する他のコンピュータのアクセスを検知する処理を実施する。
コンピュータ２〜５のＩＰアドレス検出部１５は、パーソナルファイアウォール１１が他のコンピュータのアクセスを検知すると、他のコンピュータのＩＰアドレスを検出する処理を実施する。

ここで、ウィルスに感染していないコンピュータは、通常、単位時間当りのアクセス回数が規定数を超えるような異常な回数のアクセスを行うことはないが、ウィルスに感染しているコンピュータは、単位時間当りのアクセス回数が規定数を超えるような異常な回数のアクセスを行うことがある。
そこで、コンピュータ２〜５のＩＰアドレス通知部１６は、パーソナルファイアウォール１１によりアクセスが検知された他のコンピュータにおける単位時間当りのアクセス回数が規定数を超えると、ウィルスを拡散している可能性があるコンピュータのＩＰアドレスとして、ＩＰアドレス検出部１５により検出されたＩＰアドレスを管理コンピュータ７に通知する。

管理サーバ７の情報収集部３２は、コンピュータ２〜５から通知されたＩＰアドレスを収集する。
管理サーバ７のメッセージ通知部３３は、情報収集部３２がコンピュータ２〜５からＩＰアドレスを収集すると、そのＩＰアドレスを有するコンピュータの管理者等に、ウィルスを拡散している可能性がある旨を示すメッセージを通知するなどの処理を実施する。
これにより、コンピュータの管理者等は、自己が管理しているコンピュータがウィルスに感染している可能性を認識することができるので、ネットワーク１経由でウィルスが拡散する前に適切な処置（例えば、コンピュータ４をネットワーク１から切り離したり、ハードディスクを初期化したりするなどの処置）を講じることが可能になる。
その他の処理内容は、上記実施の形態１と同様であるため説明を省略する。

以上で明らかなように、この実施の形態２によれば、パーソナルファイアウォール１１により他のコンピュータのアクセスが検知されると、他のコンピュータのＩＰアドレスを検出するＩＰアドレス検出部１５を設け、パーソナルファイアウォール１１によりアクセスが検知された他のコンピュータにおける単位時間当りのアクセス回数が規定数を超えると、ウィルスを拡散している可能性があるコンピュータのＩＰアドレスとして、ＩＰアドレス検出部１５により検出されたＩＰアドレスを管理サーバ７に通知するように構成したので、ウィルスが使用するポートの情報やウィルスが送信するデータの特徴などが分からない新種のウィルスを拡散している可能性があるコンピュータ４，５を検出することができる効果を奏する。

なお、この実施の形態２では、パーソナルファイアウォール１１によりアクセスが検知された他のコンピュータにおける単位時間当りのアクセス回数が規定数を超えると、ウィルスを拡散している可能性があるコンピュータのＩＰアドレスとして、そのＩＰアドレスを管理サーバ７に通知するものについて示したが、管理サーバ７がコンピュータ２〜５のパーソナルファイアウォール１１により検知された他のコンピュータのアクセスを記録し、管理サーバ７が複数のコンピュータに対する単位時間当りのアクセス回数が規定数を超えている他のコンピュータを、ウィルスを拡散している可能性があるコンピュータとして検出するようにしてもよい。

この発明の実施の形態１によるウィルス感染検知装置を示す構成図である。この発明の実施の形態１によるウィルス感染検知装置が監視するコンピュータ２〜５を示す構成図である。この発明の実施の形態１によるウィルス感染検知装置のダミーコンピュータ６を示す構成図である。この発明の実施の形態１によるウィルス感染検知装置の管理サーバ７を示す構成図である。ウィルスＤＢ１４の記録内容の一例を示す説明図である。通信ログＤＢ１３の記録内容の一例を示す説明図である。ウィルス検知処理部１２の検知ログの一例を示す説明図である。この発明の実施の形態２によるウィルス感染検知装置を示す構成図である。この発明の実施の形態２によるウィルス感染検知装置のコンピュータ２〜５を示す構成図である。

符号の説明

１ネットワーク、２〜５コンピュータ、６ダミーコンピュータ、７管理サーバ、１１パーソナルファイアウォール（アクセス検知手段）、１２ウィルス検知処理部（ウィルス検知手段、ＩＰアドレス通知手段）、１３通信ログＤＢ、１４ウィルスＤＢ、１５ＩＰアドレス検出部（ＩＰアドレス検出手段）、１６ＩＰアドレス通知部（ＩＰアドレス通知手段）、２１アクセス検知部（アクセス検知手段）、２２ＩＰアドレス検出部（ＩＰアドレス検出手段）、２３ＩＰアドレス通知部（ＩＰアドレス通知手段）、３１ウィルスＤＢ配付部、３２情報収集部（認定手段）、３３メッセージ通知部、３４感染コンピュータ認定部（認定手段）、３５コンピュータ切り離し部（切り離し手段）。

Claims

ネットワークに接続されているダミーコンピュータに内蔵され、そのダミーコンピュータに対する他のコンピュータのアクセスを検知するアクセス検知手段と、上記アクセス検知手段により他のコンピュータのアクセスが検知されると、他のコンピュータのＩＰアドレスを検出するＩＰアドレス検出手段と、ウィルスを拡散している可能性があるコンピュータのＩＰアドレスとして、上記ＩＰアドレス検出手段により検出されたＩＰアドレスを通知するＩＰアドレス通知手段とを備えたウィルス感染検知装置。
ネットワークに接続されているコンピュータに内蔵され、そのコンピュータに対する他のコンピュータのアクセスを検知するアクセス検知手段と、上記アクセス検知手段により他のコンピュータのアクセスが検知されると、他のコンピュータのＩＰアドレスを検出するＩＰアドレス検出手段と、上記アクセス検知手段によりアクセスが検知された他のコンピュータにおける単位時間当りのアクセス回数が規定数を超えると、ウィルスを拡散している可能性があるコンピュータのＩＰアドレスとして、上記ＩＰアドレス検出手段により検出されたＩＰアドレスを通知するＩＰアドレス通知手段とを備えたウィルス感染検知装置。
アクセス検知手段により他のコンピュータのアクセスが検知されると、他のコンピュータによる通信ログを解析してウィルスを検知し、そのウィルスの拡散元である他のコンピュータのＩＰアドレスを検出するウィルス検知手段を設け、ＩＰアドレス通知手段がウィルス拡散コンピュータのＩＰアドレスとして、上記ウィルス検知手段により検出された他のコンピュータのＩＰアドレスを通知することを特徴とする請求項１または請求項２記載のウィルス感染検知装置。
ＩＰアドレス通知手段は、ウィルス検知手段により検出された他のコンピュータのＩＰアドレスの他に、ウィルス名とウィルスの検出日時を通知することを特徴とする請求項３記載のウィルス感染検知装置。
ＩＰアドレス通知手段により通知されたＩＰアドレスをウィルス名ごとに分類し、ウィルスの検出日時が最も古いＩＰアドレスを有するコンピュータを１次感染コンピュータに認定し、それ以外のＩＰアドレスを有するコンピュータを２次感染コンピュータに認定する認定手段を設けたことを特徴とする請求項４記載のウィルス感染検知装置。
ＩＰアドレス通知手段により通知されたウィルス名が、危険度が高いウィルスの名称を表している場合、そのウィルスに感染しているコンピュータをネットワークから切り離す切り離し手段を設けたことを特徴とする請求項４記載のウィルス感染検知装置。