JP2007013262A - ワーム判定プログラム、ワーム判定方法およびワーム判定装置 - Google Patents

Abstract

【課題】 ワームに感染した通信を確実に判定する。
【解決手段】 ワーム判定装置６は、ネットワーク接続口である５つの物理ポートａ〜ｅと、通信情報取得手段３と、ワーム判定手段４とを有している。通信情報取得手段３は、送信元アドレス毎に、パケット種別に係る情報を取得する。ワーム判定手段４は、通信情報取得手段３により取得された送信元アドレス毎のパケット種別に係る情報および通信がワームによりなされた通信か否かを判定する判定基準に基づいて、通信がワームによりなされた通信か否かを判定する。
【選択図】 図１

Description

本発明はワーム判定プログラム、ワーム判定方法およびワーム判定装置に関し、特に、ネットワークに接続された所定のネットワークセグメントに係る通信を監視して、通信がワームによりなされた通信か否かを判定するワーム判定プログラム、ワーム判定方法およびワーム判定装置に関する。

他のプログラムに依存せず、自己増殖を目的とした不正プログラムであるワームを検知する方法が知られている。
この検知方法の一例として、宛先アドレスの種類数の変化に基づいてワームの検知を行い、シーケンシャルに感染活動を行う一部ワームの特有の感染行為を検知するワーム検知方法が知られている（例えば、特許文献１参照）。このようなワーム検知方法では、送信元ＩＰ（Internet Protocol）アドレス、および送信元ＭＡＣ（Media Access Control）アドレス別にシーケンシャルとなる宛先アドレスの種類数を集計し、その種類数が閾値以上でワームに感染したものと判定している。
特開２００５−０５６２４３号公報

しかしながら、このようなワーム検知方法では、シーケンシャルに感染活動を行う一部ワームしか検知できないという問題があった。具体的には、宛先アドレスの種類数がシーケンシャルであり、かつ所定回数以上でワームと判定するもので、シーケンシャルに探索行為を行う以外のワームを検知できないという問題があった。

また、ワームを検知して遮断する場合、感染していない端末においても、ワームと同じサービスポートを利用する通常の業務通信も同時に遮断されてしまう。しかし、通常通信をなるべく通過させながら、ワーム感染通信だけを遮断することが望まれている。そこで、ワーム感染通信のみを遮断する隔離単位をフレキシブルにする必要がある。

本発明はこのような点に鑑みてなされたものであり、ワームに感染した通信を確実に判定することができるワーム判定プログラム、ワーム判定方法およびワーム判定装置を提供することを目的とする。

本発明では上記問題を解決するために、図１に示すようなワーム判定プログラムが提供される。本発明に係るワーム判定プログラムは、ネットワーク１に接続されたネットワークセグメント２に係る通信を監視して、その通信がワームによりなされた通信か否かを判定するプログラムである。ワーム判定プログラムを実行するコンピュータは以下の機能を有する。

通信情報取得手段３は、送信元アドレス毎に、パケット種別に係る情報を取得する。ワーム判定手段４は、通信情報取得手段３により取得された送信元アドレス毎のパケット種別に係る情報および通信がワームによりなされた通信か否かを判定する判定基準に基づいて、通信がワームによりなされた通信か否かを判定する。

このようなワーム判定プログラムによれば、ネットワークセグメント２から通信情報が送信されたとき、通信情報取得手段３により、送信元アドレス毎に、パケット種別に係る情報が取得される。次に、ワーム判定手段４により、通信情報取得手段３により取得された送信元アドレス毎のパケット種別に係る情報および通信がワームによりなされた通信か否かを判定する判定基準に基づいて、通信がワームによりなされた通信か否かが判定される。

また、上記課題を解決するために、ネットワークに接続された所定のネットワークセグメントに係る通信を監視して、前記通信がワームによりなされた通信か否かを判定するワーム判定方法において、通信情報取得手段が、送信元アドレス毎に、パケット種別に係る情報を取得し、ワーム判定手段が、前記通信情報取得手段により取得された前記送信元アドレス毎の前記パケット種別に係る情報および前記通信がワームによりなされた通信か否かを判定する判定基準に基づいて、前記通信がワームによりなされた通信か否かを判定する、ことを特徴とするワーム判定方法が提供される。

このようなワーム判定方法によれば、ネットワークセグメントから通信情報が送信されたとき、通信情報取得手段により、送信元アドレス毎に、パケット種別に係る情報が取得される。次に、ワーム判定手段により、通信情報取得手段により取得された送信元アドレス毎のパケット種別に係る情報および通信がワームによりなされた通信か否かを判定する判定基準に基づいて、通信がワームによりなされた通信か否かが判定される。

また、上記問題を解決するために、ネットワークに接続された所定のネットワークセグメントに係る通信を監視して、前記通信がワームによりなされた通信か否かを判定するワーム判定装置において、送信元アドレス毎に、パケット種別に係る情報を取得する通信情報取得手段と、前記通信情報取得手段により取得された前記送信元アドレス毎の前記パケット種別に係る情報および前記通信がワームによりなされた通信か否かを判定する判定基準に基づいて、前記通信がワームによりなされた通信か否かを判定するワーム判定手段と、を有することを特徴とするワーム判定装置が提供される。

このようなワーム判定装置によれば、通信情報取得手段により、送信元アドレス毎に、パケット種別に係る情報が取得される。そして、ワーム判定手段により、通信情報取得手段により取得された送信元アドレス毎のパケット種別に係る情報および通信がワームによりなされた通信か否かを判定する判定基準に基づいて、通信がワームによりなされた通信か否かが判定される。

本発明によれば，集計単位として、送信元アドレス毎に、パケット種別に係る情報を取得するため、より詳細なワーム感染に関する情報を得ることができ、ワームに感染した通信を確実に判定することができる。

特に、ワームに感染した感染元からの通信を遮断する場合には、パケット種別毎に遮断を行うことができるため、ワームによりなされる通信のみを確実に遮断することができる。

以下、本発明の実施の形態を図面を参照して詳細に説明する。
まず、実施の形態に適用される発明の概要について説明し、その後、実施の形態の具体的な内容を説明する。

図１は、ワーム判定装置の概念について説明する概念図である。
ワーム判定システム３００は、サーバ装置やクライアント装置等を少なくとも１つ以上含むネットワークセグメントすなわち２つのネットワークセグメント２およびネットワークセグメント５が、ワーム判定装置６を介してネットワーク１に接続された構成となっている。ここで、ネットワーク１は、インターネット、イントラネット、ＩＳＰ（Internet Services Provider）のネットワークを含む概念である。

ワーム判定装置６は、ネットワーク接続口である１つ以上の物理ポート（図１では５つの物理ポートａ〜ｅ）と、通信情報取得手段３と、ワーム判定手段４とを有している。
ネットワークセグメント２は、端末２ａ、２ｂと、端末２ａおよび端末２ｂが接続されるＨＵＢ７とを有している。

ＨＵＢ７は、ワーム判定装置６に接続されている。このように、物理ポートａ〜ｅにはＨＵＢ７等の集線装置を介して複数の端末が接続される。端末２ａ、２ｂからの通信は物理ポートａ〜ｅに入力されるパケットを、ワーム判定装置６に設けられた通信情報取得手段３が監視しており、例えば、端末２ａから物理ポートａを介した物理ポートａ以外への通信（端末２ａにとってのアウトバウンド通信）は、物理ポートａの入り口に入力されるパケットを通信情報取得手段３が監視して、ワーム判定手段４が、その通信パケットによる通信がワームによりなされた通信であるか否かを判定する。ただし、物理ポートａを介さずにＨＵＢ７のみを介して行われる端末２ａから端末２ｂへの通信は物理ポートａでは監視しない。

具体的には、通信情報取得手段３は、通信パケットの単位時間当たりの送信元ＩＰアドレス、宛先ＩＰアドレス、宛先ポート、通信プロトコル、コントロールビット等の情報を取得し、ワーム判定手段４は、取得した情報に基づいて、そのネットワークセグメント内から他のネットワークセグメント内のコンピュータに対してワームの攻撃がなされているか否か等を判定する。

ここで、ワームに感染した場合に生じる通信パケットの単位時間当たりの各通信パケットの宛先ＩＰアドレスの情報の変化は、サーバ装置やクライアント装置等のコンピュータの種類にかかわらず顕著に現れるため、このワーム判定装置６においては、検出対象が、サーバ装置かクライアント装置かにかかわらず容易かつ効率的にワームを検出することができる。

以下、本発明の実施の形態を具体的に説明する。
図２は、ワーム判定装置のハードウェア構成例を示す図である。
ワーム判定装置１００は、ＣＰＵ（Central Processing Unit）１０１によって装置全体が制御されている。ＣＰＵ１０１には、バス１０７を介してＲＡＭ（Random Access Memory）１０２、ハードディスクドライブ（ＨＤＤ:Hard Disk Drive）１０３、グラフィック処理装置１０４、入力インタフェース１０５、および通信インタフェース１０６が接続されている。

ＲＡＭ１０２には、ＣＰＵ１０１に実行させるＯＳ（Operating System）のプログラムやアプリケーションプログラムの少なくとも一部が一時的に格納される。また、ＲＡＭ１０２には、ＣＰＵ１０１による処理に必要な各種データが格納される。ＨＤＤ１０３には、ＯＳやアプリケーションプログラムが格納される。また、ＨＤＤ１０３内には、データベース１０９が構築される。

グラフィック処理装置１０４には、モニタ１１が接続されている。グラフィック処理装置１０４は、ＣＰＵ１０１からの命令に従って、画像をモニタ１１の画面に表示させる。入力インタフェース１０５には、キーボード１２とマウス１３とが接続されている。入力インタフェース１０５は、キーボード１２やマウス１３から送られてくる信号を、バス１０７を介してＣＰＵ１０１に送信する。

通信インタフェース１０６は、ネットワーク１４０およびＬＡＮ（Local Area Network）１５０に接続されている。通信インタフェース１０６は、ネットワーク１４０およびＬＡＮ１５０を介して、他のコンピュータとの間でデータの送受信を行う。ここで、ＬＡＮ１５０は、例えば、イントラネット等のネットワークである。

以上のようなハードウェア構成によって、本実施の形態の処理機能を実現することができる。このようなハードウェア構成のシステムにおいてワームの判定を行うために、ワーム判定装置１００内には、以下のような機能が設けられる。

図３は、ワーム判定装置の機能的構成について説明する機能ブロック図である。
図３に示すように、このワーム判定装置１００は、ネットワークセグメント１０（図１のネットワークセグメント２に対応）を除いたネットワーク１４０、すなわち前述したネットワークセグメント５や上位ネットワーク１（図３では、ネットワークセグメント４０）に接続されている。

ワーム判定装置１００は、情報の取得に係る設定データに基づいて通信パケットの通信アドレス、通信ポートおよび通信プロトコルに係る情報を取得し、取得した情報と、通信がワームによりなされた通信か否かを規定する判定基準に係る情報とに基づいて通信がワームによりなされた通信か否かを判定する。

次に、通信に用いるパケットについて説明する。
図４は、通信に用いるパケットの構成の一例を示す図である。
パケット２００は、先頭側からイーサヘッダ（Ether Header）、ＩＰヘッダ（IP Header）、ＴＣＰ（Transmission Control Protocol）ヘッダ（TCP Header）およびデータで構成されている。

図５は、イーサヘッダの構成図である。
なお、図５では、見やすいように、１行３２ビットで表現している（図６、図７、図９も同様）。

イーサヘッダは、先頭から順番に、プリアンブル（Preamble）、送信元ＭＡＣアドレス（Source Mac Address）、宛先ＭＡＣアドレス（Destination MAC Address）、タイプフィールド（Type Field）で構成されている。

図６は、ＩＰヘッダの構成図である。
ＩＰヘッダは、先頭から順番に、バージョン／ヘッダ長（Version/IHL）、サービスタイプ（Service Type）、パケット長（TL）、フラグ（Flag）、フラグメントオフセット（Fragment Offset）、生存時間（TTL）、プロトコル（Protocol）、ヘッダチェックサム（Check Sum）、送信元ＩＰアドレス（Source IP Address）、宛先ＩＰアドレス（Destination IP Address）、オプション（Option）、パディング（Padding）で構成されている。

図７は、ＴＣＰヘッダの構成図である。
ＴＣＰヘッダは、先頭から順番に、送信元ポート（Source Port）、宛先ポート（Destination Port）、シーケンス番号（Sequence Number）、確認応答番号（Acknowledgement Number）、データオフセット（Data Offset）、予約（Reserved）、コントロールビット（Control Bits）、ウィンドウ（Window）、その他（Others）で構成されている。

このうち、コントロールビット（コードビット）は、それぞれ１ビットの、ＵＲＧ（Urgent flag）、ＡＣＫ（Acknowledgement flag）、ＰＳＨ（Push flag）、ＲＳＴ（Reset flag）、ＳＹＮ（Synchronize flag）、ＦＩＮ（Fin flag）で構成される。

UDPヘッダは、先頭から順番に、送信元ポート（Source Port）、宛先ポート（Destination Port）、データグラムの長さ（Length）、チェックサム（Check Sum）で構成されており（図は省略）、TCPヘッダと同様に宛先ポートに関する情報を取得できる。

図８は、通信に用いるパケットの構成の別の例を示す図である。
パケット２１０は、先頭側からイーサヘッダ、ＩＰヘッダ、ＩＣＭＰ（Internet Control Message Protocol）ヘッダ（ICMP Header）およびデータで構成されている。

なお、イーサヘッダ、ＩＰヘッダについては、その構成がパケット２００と同様であるため、その説明を省略する。
図９は、ＩＣＭＰヘッダの構成図である。

ＩＣＭＰヘッダは、タイプフィールド（Type Field）、コード（Code）、チェックサム（Check Sum）で構成されている。
再び図３に戻って説明を行う。

このワーム判定装置１００は、通信情報取得部１１１、ワーム判定部１１２並びに通信遮断部１１３を備える制御部１１０、入力部１４、モニタ１１、記憶部１２０およびインタフェース部１３０を有する。

入力部１４は、キーボード１２やマウス１３等の入力デバイスで構成される。記憶部１２０は、ＲＡＭ１０２やＨＤＤ１０３等の記憶デバイスであり、この記憶部１２０には、設定データ１２１、通信ログデータ１２２および遮断データ１２３が記憶されている。

通信情報取得部１１１は、記憶部１２０に記憶された設定データ１２１に基づいて、通信パケットの通信アドレス、通信ポートおよび通信プロトコルに係る情報を取得する取得部である。具体的には、この通信情報取得部１１１は、パケット２００およびパケット２１０のヘッダから宛先ＩＰアドレスや送信元アドレス、宛先ポート、プロトコル等のパケットヘッダ情報を取得し、送信元アドレス毎かつ宛先ポート番号毎に、宛先ＩＰアドレスを通信ログデータ１２２に記憶する等の処理を行う。ここで、通信ログデータ１２２はＲＡＭ１０２上のデータでもよい。

ところで、送信元アドレスとしては、イーサヘッダに設けられた送信元ＭＡＣアドレスとＩＰヘッダに設けられた送信元ＩＰアドレスとのどちらを用いてもよいが、以下では、代表的に送信元ＩＰアドレスを用いた場合について説明する。

ワーム判定部１１２は、通信情報取得部１１１により取得された情報、および、記憶部１２０に記憶された設定データ１２１に基づいて、送信元ＩＰアドレス毎かつ宛先ポート番号毎かつプロトコル毎に宛先ＩＰアドレスの種類数を集計し、所定の送信元ＩＰアドレス、宛先ポートおよびプロトコルがワームによりなされた通信のものであるか否かを判定する。

通信遮断部１１３は、ワーム判定部１１２によりワームによりなされたパケット通信であると判定された場合に、ワームによりなされるパケット通信を遮断する。通信遮断部１１３は、ワーム判定処理の結果から得られる送信元ＩＰアドレス、プロトコル、宛先ポート番号に基づいて、３通りの遮断を行う。１通り目は、感染元の送信元ＩＰアドレスからの感染ポートを遮断する。これにより、ワームに感染した端末（以下、「感染端末」という）からの感染ポートを利用する通信のみをブロックすることができる一方、感染端末からの他のポートを利用する通信は利用することができる。２通り目は、物理ポートから入ってくる全端末からの通信における感染ポートのみを遮断する。これにより、物理ポート内で他の端末が感染した場合のワームによりなされるパケット通信をあらかじめ遮断することができる。最後の３通り目は、感染端末からの全通信パケットを遮断する。これにより、ワームが複数のポートを利用して通信するのをあらかじめ遮断することができる。

設定データ１２１は、通信パケットの通信アドレス、通信ポートおよび通信プロトコルに係る情報の取得に係る設定情報や、監視している通信がワームによりなされた通信か否かを規定する判定基準に係る情報等、種々の設定情報を記憶したデータである。

図１０は、設定データを示す図である。
設定データ１２１には、設定項目、設定内容の欄が設けられており、各欄の横方向に並べられた情報同士が互いに関連づけられている。設定項目は、設定データ１２１において設定される各項目であり、設定内容は、設定データ１２１の設定受け付け時に参照される設定情報である。

上記設定項目には、具体的には、「ＴＣＰ（ＳＹＮ）パケットの宛先ＩＰアドレスの集計単位時間」、「ＵＤＰ（User Datagram Protocol）パケットの宛先ＩＰアドレスの集計単位時間」、「ＩＣＭＰ（request）パケットの宛先ＩＰアドレス集計単位時間」、「ＴＣＰ（ＳＹＮ）パケットの宛先ＩＰアドレスの種類数の閾値」、「ＵＤＰパケットの宛先ＩＰアドレスの種類数の閾値」、「ＩＣＭＰ（request）パケットの宛先ＩＰアドレスの種類数の閾値」、「物理ポートの集計機能」、「集計除外宛先ポート／プロトコル」、「集計除外送信元ＩＰアドレス」、「宛先ポート／プロトコルの個別閾値」、「送信元ＩＰアドレスの個別閾値」の欄が設定されている。

「ＴＣＰ（ＳＹＮ）パケットの宛先ＩＰアドレスの集計単位時間」は、ＴＣＰヘッダのＳＹＮをセットしたパケット（ＴＣＰベースのパケットであるＳＹＮパケット）の宛先ＩＰアドレスの種類数を集計する単位時間である。

「ＵＤＰパケットの宛先ＩＰアドレスの集計単位時間」は、ＵＤＰベースのパケットであるＵＤＰパケットの宛先ＩＰアドレスの種類数を集計する単位時間である。
「ＩＣＭＰ（request）パケットの宛先ＩＰアドレスの集計単位時間」は、相手コンピュータのＥｃｈｏ Ｒｅｑ（エコー要求）を送信するＩＣＭＰ（request）パケットの宛先ＩＰアドレスの種類数を集計する単位時間である。

例えば、これらの集計単位時間が１秒であるということは、送信元ＩＰアドレス別かつ宛先ポート別に、１秒間の上記パケットの宛先ＩＰアドレスの種類数を集計することを意味する。

「ＴＣＰ（ＳＹＮ）パケットの宛先ＩＰアドレスの種類数の閾値」、「ＵＤＰパケットの宛先ＩＰアドレスの種類数の閾値」、「ＩＣＭＰ（request）パケットの宛先ＩＰアドレスの種類数の閾値」は、ワーム判定部１１２により、ワームによりなされた通信がおこなわれているか否かを判定する際に使用される宛先ＩＰアドレスの種類数の閾値情報である。ここで、宛先ＩＰアドレスの種類数は、送信元ＩＰアドレス別かつ宛先ポート別に、宛先ＩＰアドレスの種類数の集計単位時間内に集計された異なる宛先ＩＰアドレスの数である。図１０では一例として、「ＴＣＰ（ＳＹＮ）パケットの宛先ＩＰアドレスの種類数の閾値」が２０に設定され、「ＵＤＰパケットの宛先ＩＰアドレスの種類数の閾値」が３０に設定され、「ＩＣＭＰ（request）パケットの宛先ＩＰアドレスの種類数の閾値」が２０に設定されている。

「物理ポートの集計機能」は、ワーム判定装置１００の各物理ポートに対してそれぞれ設定される。図１０では一例として所定の物理ポートＡの設定内容が記載されている。各物理ポートは、この物理ポートの集計機能がＯＮに設定されているとき集計を行い、ＯＦＦに設定されているとき集計を行わない。これにより、物理ポート単位で集計するか否かを決定することができる。

「集計除外宛先ポート／プロトコル」は、集計を除外したい宛先ポート／プロトコルを1つ以上設定することができる。図１０では一例としてＴＣＰプロトコルの宛先ポート：２５と、ＴＣＰプロトコルの宛先ポート：１１０が設定されている。

「集計除外送信元ＩＰアドレス」は、集計を除外したい送信元ＩＰアドレスを１つ以上指定することができる。図１０では一例としてＩＰアドレス「１０．１０．１．１００」および「１０．１０．１．２００」が設定されている。

このとき、「物理ポートの集計機能」の設定内容の欄に設定された物理ポート、「集計除外宛先ポート／プロトコル」の設定内容の欄に設定された宛先ポートおよびプロトコル、および「集計除外送信元ＩＰアドレス」の設定内容の欄に設定された送信元ＩＰアドレス、物理ポートに対しては、通信ログデータ１２２の新規宛先テーブルに追加しない、または新規宛先テーブルに追加したとしてもワーム判定から除外する。これにより、例えば、短時間に複数の宛先アドレスと通信を行う管理端末等を事前に除外することができるため、誤検出を容易かつ確実に防止することができる。

「宛先ポート／プロトコルの個別閾値」は、必要に応じてパケット種別毎、すなわち宛先ポート／プロトコル毎に個別の閾値を１つ以上設定することができる。この欄の設定内容に設定されたプロトコルにおける宛先ポートの閾値は、「ＴＣＰ（ＳＹＮ）パケットの宛先ＩＰアドレスの種類数の閾値」の設定内容にかかわらず、この欄に設定された設定内容となる。図１０では、一例としてＴＣＰプロトコルの宛先ポート８０の閾値が３０に設定されており、宛先ポート８０の閾値は、「ＴＣＰ（ＳＹＮ）パケットの宛先ＩＰアドレスの種類数の閾値」の設定内容２０にかかわらず、３０となる。

「送信元ＩＰアドレスの個別閾値」は、必要に応じて送信元ＩＰアドレス毎に個別の閾値を１つ以上設定することができる。図１０では、一例としてＩＰアドレス「１０．１０．１．５」の閾値が３０に設定されており、ＩＰアドレス「１０．１０．１．５」におけるパケットの種類数の閾値は、「ＴＣＰ（ＳＹＮ）パケットの宛先ＩＰアドレスの種類数の閾値」、「ＵＤＰパケットの宛先ＩＰアドレスの種類数の閾値」、「ＩＣＭＰ（request）パケットの宛先ＩＰアドレスの種類数の閾値」の設定内容にかかわらず、３０となる。

再び図３に戻って説明を行う。
通信ログデータ１２２は、送信元ＩＰアドレス毎にパケット種別（送信元ＩＰアドレス、宛先ポート、プロトコル）に係る宛先ＩＰアドレスの種類数を集計するためのテーブルを示すデータである。

図１１は、通信ログデータのデータ構造例を示す図である。
通信ログデータ１２２には、送信元ＩＰアドレス、プロトコル、宛先ポート／Type Field、宛先ＩＰアドレスの欄が設けられており、各欄の横方向に並べられた情報同士が、互いに関連づけられている。

宛先ＩＰアドレスの欄には、単位時間分だけの各種情報が記憶され、単位時間における宛先ＩＰアドレスの種類数が所定の閾値以上でワームと検知される。例えば、ネットワークセグメント１０の所定の端末の送信元ＩＰアドレスが「１０．１０．１．１」であり、宛先ポートが２２、かつ、プロトコルがＴＣＰにおける単位時間あたりの宛先ＩＰアドレスが「１０．２０．１．１」、「１０．２０．１．２」、「１０．２０．１．３」、「１０．２０．１．４」の４種類であり、次の新たに通信情報取得部１１１が取得した情報が、送信元ＩＰアドレス「１０．１０．１．１」、宛先ＩＰアドレスが「１０．２０．１．６」、宛先ポート：２２、プロトコル：ＴＣＰであった場合、送信元ＩＰアドレス、宛先ポート、プロトコルに対する宛先ＩＰアドレスが単位時間内において新しいものであるので、送信元ＩＰアドレス「１０．１０．１．１」、宛先ポート２２、プロトコルＴＣＰに対する宛先ＩＰアドレスの種類数が５になる。ここで、設定データ１２１に記載されているＴＣＰ（ＳＹＮ）パケットの宛先ＩＰアドレスの種類数の閾値が「５」に設定されているとき、宛先ＩＰアドレスの種類数が閾値以上となり、送信元ＩＰアドレス「１０．１０．１．１」の端末が、ワーム感染端末として検知される。このとき、ワーム感染情報として、感染元ＩＰアドレス「１０．１０．１．１」、ワーム通信プロトコル：ＴＣＰ、ワーム通信宛先ポート：２２が出力され、モニタ１１に表示される。

また、送信元ＩＰアドレスが「１０．１０．１．１」であり、タイプフィールドがＥｃｈｏ Ｒｅｑ、かつ、プロトコルがＴＣＰにおける単位時間あたりの所定の宛先ＩＰアドレスの出現種類数が「ＩＣＭＰ（request）パケットの宛先ＩＰアドレスの種類数の閾値」以上のときも、送信元ＩＰアドレス「１０．１０．１．１」の端末が、ワーム感染端末として検知される。このとき、ワーム感染情報として、感染元ＩＰアドレス「１０．１０．１．１」、ワーム通信プロトコル：ＩＣＭＰ、ワーム通信Type Field：Ｅｃｈｏ Ｒｅｑが出力され、モニタ１１に表示される。

再び図３に戻って説明を行う。
遮断データ１２３は、遮断を実施した遮断元ＩＰアドレス（送信元ＩＰアドレス）、宛先ポートおよび通信プロトコルに係る情報を格納している。遮断データ１２３は、遮断が実施される度に新たなワーム感染情報が追加されて更新される。また、遮断が解除されると該当するワーム感染情報が削除されて更新される。

図１２は、遮断データのデータ構造例を示す図である。
遮断データ１２３には、遮断元ＩＰアドレス、プロトコル、宛先ポートの欄が設けられており、各欄の横方向に並べられた情報同士が互いに関連づけられている。

ワーム判定部１１２が出力する新規のワーム感染情報が送られてくると、遮断元ＩＰアドレスの欄に、新たに感染元ＩＰアドレスを設定し、プロトコルの欄に新たにワーム通信プロトコルを設定し、宛先ポートに新たに宛先ポートが設定される。

図１２の例では、遮断元ＩＰアドレス「１０．１０．１．２」の下部に新たにＩＰアドレス「１０．１０．１．１」が設定され、プロトコルＴＣＰの下部に新たにＴＣＰが設定され、宛先ポート２２の下部に新たに宛先ポート２２が設定される。

なお、ワーム判定部１１２からのワーム感染情報が、遮断データ１２３に既に設定されている遮断元ＩＰアドレス、プロトコル、宛先ポートと完全に一致する場合は、遮断データ１２３は更新されない。

再び図３に戻って説明を行う。
インタフェース部１３０は、複数の物理ポートを有し（図示せず）、ネットワークセグメント１０とネットワークセグメント４０との間の通信データの授受を、ネットワーク１４０およびＬＡＮ１５０を介して中継するネットワークインタフェースである。

次に、ワーム判定装置１００によるワーム判定処理について説明する。
図１３は、ワーム判定処理の処理手順を示すフローチャートである。
まず、通信情報取得部１１１は設定データ１２１の設定を受け付ける（ステップＳ１１）。続いて、通信情報取得部１１１は、ネットワークセグメント１０内のコンピュータとネットワークセグメント４０との間のネットワーク通信を監視し、パケットの先頭から固定長部分のパケット情報すなわち、宛先ＩＰアドレスや送信元ＩＰアドレス、宛先ポート、プロトコル等が含まれるパケットヘッダ情報を取得する（ステップＳ１２）。そして、取得したパケットヘッダ情報が、通信ログデータ１２２に登録されているか否かを判断する（ステップＳ１３）。

取得したパケットヘッダ情報が、通信ログデータ１２２に登録されているときは（ステップＳ１３のＹｅｓ）、ステップＳ１９に移行する。一方、取得したパケットヘッダ情報が、通信ログデータ１２２に登録されていないときは（ステップＳ１３のＮｏ）、パケットヘッダ情報を通信ログデータ１２２へ追加する（ステップＳ１４）。その後、ワーム判定部１１２は、設定データ１２１に設定された集計単位時間に基づいて、送信元ＩＰアドレス別かつ宛先ポート別かつプロトコル別に宛先ＩＰアドレスの種類数を集計し（ステップＳ１５）、宛先ＩＰアドレスの種類数が閾値以上か否かを判断する（ステップＳ１６）。宛先ＩＰアドレスの種類数が閾値以上のときは、（ステップＳ１６のＹｅｓ）、ワーム判定部１１２は、パケット通信がワームによるものと判断し、送信元ＩＰアドレス、宛先ポート、プロトコル等のワーム感染情報を取得して、出力する処理を行う（ステップＳ１７）。

その後、通信遮断部１１３は、通信遮断処理、すなわちワームによりなされたと判定される送信元アドレスからのパケット通信を遮断する処理を行う（ステップＳ１８）。
一方、宛先ＩＰアドレスの種類数が閾値未満のときは（ステップＳ１６のＮｏ）、パケット通信がワームによるものと判断せず、ステップＳ１９に移行する。

その後、ワーム判定装置１００は、通信が継続されているか否かを判断する（ステップＳ１９）。
通信が継続されている場合は（ステップＳ１９のＹｅｓ）、ステップＳ１２に移行してそれ以降の処理を継続する。

通信が継続されていない場合は（ステップＳ１９のＮｏ）、ワーム判定処理を終了する。
次に、ワーム判定装置１００による通信遮断処理について説明する。

図１４は、通信遮断処理の処理手順を示すフローチャートである。
まず、通信遮断部１１３は、ワーム判定部１１２が出力したワーム感染情報（感染元ＩＰアドレス、ワーム通信プロトコル、ワーム通信ポート）を取得する（ステップＳ２１）。

次に、取得したワーム感染情報が、遮断データ１２３に登録されているか否かを判断する（ステップＳ２２）。
取得したワーム感染情報が、遮断データ１２３に登録されているときは（ステップＳ２２のＹｅｓ）、通信遮断処理を終了する。

一方、取得したワーム感染情報が、遮断データ１２３に登録されていないときは（ステップＳ２２のＮｏ）、ワームによる通信を遮断する（ステップＳ２３）。
次に、感染情報を遮断データ１２３に格納する（ステップＳ２４）。

その後、通信遮断処理を終了する。
以上説明したように、本実施の形態のワーム判定装置１００によれば、送信元ＩＰアドレス、送信元ＭＡＣアドレス等の送信元アドレス毎に、プロトコルと宛先ポートとの組み合わせまたはプロトコルとタイプフィールドの組み合わせの情報を取得し、これらの組み合わせによって特定される宛先ＩＰアドレスの出現種類数をカウントすることにより、ワームが送出されている送信元アドレスを確実に検知することができる。また、通信遮断部１１３により、検知したワームに係る通信パケットを容易かつ確実に遮断することができる。

これにより、ワームと同じサービスポートを使用する感染していない端末の通常の通信を遮断することなく、ワームに感染した通信だけを確実に遮断することができる。
また、パケット２００およびパケット２１０の先頭から固定長部分の情報を取得することにより、ワームの判定を行うことができるため、ワーム判定処理におけるパケット２００およびパケット２１０の読み込み時間が短縮され高速な処理を行うことができる。

以上本発明の好適な実施の形態について詳述したが、本発明は、その特定の実施の形態に限定されるものではない。
なお、上記の処理機能は、コンピュータによって実現することができる。その場合、ワーム判定装置１００が有すべき機能の処理内容を記述したワーム判定プログラムが提供される。そのプログラムをコンピュータで実行することにより、上記処理機能がコンピュータ上で実現される。処理内容を記述したプログラムは、コンピュータで読み取り可能な記録媒体に記録しておくことができる。コンピュータで読み取り可能な記録媒体としては、磁気記録装置、光ディスク、光磁気記録媒体、半導体メモリ等がある。磁気記録装置には、ハードディスク装置（ＨＤＤ）、フレキシブルディスク（ＦＤ）、磁気テープ等がある。光ディスクには、ＤＶＤ（Digital Versatile Disc）、ＤＶＤ−ＲＡＭ（Random Access Memory）、ＣＤ−ＲＯＭ（Compact Disc Read Only Memory）、ＣＤ−Ｒ（Recordable）／ＲＷ（ReWritable）等がある。光磁気記録媒体には、ＭＯ（Magneto-Optical disk)等がある。

プログラムを流通させる場合には、例えば、そのプログラムが記録されたＤＶＤ、ＣＤ−ＲＯＭ等の可搬型記録媒体が販売される。また、プログラムをサーバコンピュータの記憶装置に格納しておき、ネットワークを介して、サーバコンピュータから他のコンピュータにそのプログラムを転送することもできる。

プログラムを実行するコンピュータは、例えば、可搬型記録媒体に記録されたプログラムもしくはサーバコンピュータから転送されたプログラムを、自己の記憶装置に格納する。そして、コンピュータは、自己の記憶装置からプログラムを読み取り、プログラムに従った処理を実行する。なお、コンピュータは、可搬型記録媒体から直接プログラムを読み取り、そのプログラムに従った処理を実行することもできる。また、コンピュータは、サーバコンピュータからプログラムが転送される毎に、逐次、受け取ったプログラムに従った処理を実行することもできる。

（付記１） ネットワークに接続された所定のネットワークセグメントに係る通信を監視して、前記通信がワームによりなされた通信か否かを判定するワーム判定プログラムにおいて、
コンピュータを、
送信元アドレス毎に、パケット種別に係る情報を取得する通信情報取得手段、
前記通信情報取得手段により取得された前記送信元アドレス毎の前記パケット種別に係る情報および前記通信がワームによりなされた通信か否かを判定する判定基準に基づいて、前記通信がワームによりなされた通信か否かを判定するワーム判定手段、
として機能させることを特徴とするワーム判定プログラム。

（付記２） 前記通信情報取得手段は、前記パケットの固定長部分の情報を取得することを特徴とする付記１記載のワーム判定プログラム。
（付記３） 前記パケット種別に係る情報は、プロトコルおよび宛先ポートの情報を含むことを特徴とする付記１記載のワーム判定プログラム。

（付記４） 前記パケット種別に係る情報は、プロトコルおよびタイプフィールドの情報を含むことを特徴とする付記１記載のワーム判定プログラム。
（付記５） 前記ワーム判定手段は、単位時間当たりの前記パケット種別にて特定される所定の宛先ＩＰアドレスの出現種類数が所定値以上のとき、前記通信がワームによりなされた通信であると判定することを特徴とする付記１記載のワーム判定プログラム。

（付記６） 前記パケット種別毎に、前記所定値を設定し得ることを特徴とする付記５記載のワーム判定プログラム。
（付記７） 前記送信元アドレス毎に、前記所定値を設定し得ることを特徴とする付記５記載のワーム判定プログラム。

（付記８） 前記パケット種別に係る情報は、プロトコルおよび宛先ポートの情報を含み、
前記プロトコル毎および前記宛先ポート毎に、前記ワーム判定手段による判定を行うか否かを設定し得ることを特徴とする付記５記載のワーム判定プログラム。

（付記９） 前記送信元アドレス毎に、前記ワーム判定手段による判定を行うか否かを設定し得ることを特徴とする付記５記載のワーム判定プログラム。
（付記１０） 前記ワーム判定手段により前記通信がワームによりなされた通信と判定された場合に、前記ワームによりなされる通信を遮断する通信遮断手段を有することを特徴とする付記１記載のワーム判定プログラム。

（付記１１） 前記通信遮断手段は、前記ワームを前記パケット種別毎に遮断し得ることを特徴とする付記１０記載のワーム判定プログラム。
（付記１２） 前記送信元アドレスは、送信元のＩＰアドレスまたは送信元のＭＡＣアドレスであることを特徴とする付記１記載のワーム判定プログラム。

（付記１３） ネットワークに接続された所定のネットワークセグメントに係る通信を監視して、前記通信がワームによりなされた通信か否かを判定するワーム判定方法において、
通信情報取得手段が、送信元アドレス毎に、パケット種別に係る情報を取得し、
ワーム判定手段が、前記通信情報取得手段により取得された前記送信元アドレス毎の前記パケット種別に係る情報および前記通信がワームによりなされた通信か否かを判定する判定基準に基づいて、前記通信がワームによりなされた通信か否かを判定する、
ことを特徴とするワーム判定方法。

（付記１４） ネットワークに接続された所定のネットワークセグメントに係る通信を監視して、前記通信がワームによりなされた通信か否かを判定するワーム判定装置において、
送信元アドレス毎に、パケット種別に係る情報を取得する通信情報取得手段と、
前記通信情報取得手段により取得された前記送信元アドレス毎の前記パケット種別に係る情報および前記通信がワームによりなされた通信か否かを判定する判定基準に基づいて、前記通信がワームによりなされた通信か否かを判定するワーム判定手段と、
を有することを特徴とするワーム判定装置。

（付記１５） さらに、前記ネットワークに接続される複数の物理ポートを有し、
前記物理ポート毎に、前記ワーム判定手段によるワーム判定を実行するか否かを設定し得ることを特徴とする付記１４記載のワーム判定装置。

ワーム判定装置の概念について説明する概念図である。 ワーム判定装置のハードウェア構成例を示す図である。 ワーム判定装置の機能的構成について説明する機能ブロック図である。 通信に用いるパケットの構成の一例を示す図である。 イーサヘッダの構成図である。 ＩＰヘッダの構成図である。 ＴＣＰヘッダの構成図である。 通信に用いるパケットの構成の別の例を示す図である。 ＩＣＭＰヘッダの構成図である。 設定データを示す図である。 通信ログデータのデータ構造例を示す図である。 遮断データのデータ構造例を示す図である。 ワーム判定処理の処理手順を示すフローチャートである。 通信遮断処理の処理手順を示すフローチャートである。

符号の説明

１ ネットワーク
２ ネットワークセグメント
３ 通信情報取得手段
４ ワーム判定手段
５ ネットワークセグメント
６ ワーム判定装置
１０ ネットワークセグメント
４０ ネットワークセグメント
１００ ワーム判定装置
１１１ 通信情報取得部
１１２ ワーム判定部
１１３ 通信遮断部
ａ〜ｅ、Ａ 物理ポート

Claims (10)

1. ネットワークに接続された所定のネットワークセグメントに係る通信を監視して、前記通信がワームによりなされた通信か否かを判定するワーム判定プログラムにおいて、
   コンピュータを、
   送信元アドレス毎に、パケット種別に係る情報を取得する通信情報取得手段、
   前記通信情報取得手段により取得された前記送信元アドレス毎の前記パケット種別に係る情報および前記通信がワームによりなされた通信か否かを判定する判定基準に基づいて、前記通信がワームによりなされた通信か否かを判定するワーム判定手段、
   として機能させることを特徴とするワーム判定プログラム。
2. 前記通信情報取得手段は、前記パケットの固定長部分の情報を取得することを特徴とする請求項１記載のワーム判定プログラム。
3. 前記パケット種別に係る情報は、プロトコルおよび宛先ポートの情報を含むことを特徴とする請求項１記載のワーム判定プログラム。
4. 前記パケット種別に係る情報は、プロトコルおよびタイプフィールドの情報を含むことを特徴とする請求項１記載のワーム判定プログラム。
5. 前記ワーム判定手段は、
   単位時間当たりの前記パケット種別にて特定される所定の宛先ＩＰアドレスの出現種類数が所定値以上のとき、前記通信がワームによりなされた通信であると判定することを特徴とする請求項１記載のワーム判定プログラム。
6. 前記パケット種別毎に、前記所定値を設定し得ることを特徴とする請求項５記載のワーム判定プログラム。
7. 前記送信元アドレス毎に、前記所定値を設定し得ることを特徴とする請求項５記載のワーム判定プログラム。
8. 前記ワーム判定手段により前記通信がワームによりなされた通信と判定された場合に、前記ワームによりなされる通信を遮断する通信遮断手段を有することを特徴とする請求項１記載のワーム判定プログラム。
9. ネットワークに接続された所定のネットワークセグメントに係る通信を監視して、前記通信がワームによりなされた通信か否かを判定するワーム判定方法において、
   通信情報取得手段が、送信元アドレス毎に、パケット種別に係る情報を取得し、
   ワーム判定手段が、前記通信情報取得手段により取得された前記送信元アドレス毎の前記パケット種別に係る情報および前記通信がワームによりなされた通信か否かを判定する判定基準に基づいて、前記通信がワームによりなされた通信か否かを判定する、
   ことを特徴とするワーム判定方法。
10. ネットワークに接続された所定のネットワークセグメントに係る通信を監視して、前記通信がワームによりなされた通信か否かを判定するワーム判定装置において、
    送信元アドレス毎に、パケット種別に係る情報を取得する通信情報取得手段と、
    前記通信情報取得手段により取得された前記送信元アドレス毎の前記パケット種別に係る情報および前記通信がワームによりなされた通信か否かを判定する判定基準に基づいて、前記通信がワームによりなされた通信か否かを判定するワーム判定手段と、
    を有することを特徴とするワーム判定装置。

Images