JP2007109247A - ワームの感染防止システム - Google Patents

Abstract

【課題】 ネットワークを監視し、ワームの感染源を特定するための情報を出力することで、ワームの検出を支援するシステムを提供することを目的とする。
【解決手段】ＩＰノードスコープ２５ａは、所定時間おきにネットワーク上のユーザ端末３０ａ，３０ｂの端末情報を収集している。モニタシステム２０ａは、ユーザ端末３０ａ，３０ｂ間の通信を監視している。モニタシステム２０ａはユーザ端末３０ａ，３０ｂ間の通信においてワームを検出すると（図１の１．検出）、ＩＰノードスコープ２５ａに端末情報の送信を要求する。ＩＰノードスコープ２５ａは、モニタシステム２０ａに端末情報を送信する（図１の２．端末情報送信）。モニタシステム２０ａは、検出内容とＩＰノードスコープ２５ａから受信した端末情報とを、アラート情報として管理サーバ４７に送信する。
【選択図】図１

Description

本発明は、複数の端末が接続するネットワークにおいて端末から端末に増殖する不正プログラムの検出に関する。

ワームとよばれる自己増殖を目的とした不正プログラムがある。ワームは、ネットワーク上のファイル共有や、ネットワークアプリケーションを利用して増殖する。ファイル共有を利用する場合は、以下のように増殖する。まず、ワームに感染した端末が、ネットワーク上の他の端末に、ファイル共有できるものがあるか否かを探す。ファイル共有できるものがあれば、共有フォルダにワームを書き込む。そして、再起動時にワームが動くようにワームを書き込んだ端末の設定変更を行なう。

ネットワークアプリケーションを利用する場合は、以下のように増殖する。まず、ワームに感染した端末が、ＷＷＷやＳＱＬといった、ネットワークアプリケーションのサーバを探す。そして、そのサーバの脆弱性をつくアクセスをし、事実上リモートコントロールして、ネットワーク上の端末をワームに感染させる。

こういったワーム対策としては、特許出願２００３−０７２３７１号記載の方法が考えられている。特許出願２００３−０７２３７１号記載の方法では、ネットワーク上の端末に、共有ファイル型のおとりを設け、ワームにその共有ファイルを攻撃させ、ワームを検出する。

一方、コンピュータウィルスやジャンクメール等の様々な不正行為については、ウィルスチェックソフトを各端末にインストールしておくという対策が行なわれている。更に、特許文献１では、以下に示すような方法が提案されている。まず、ルータは、データ通信を行なう情報通信装置から受信したデータを、一旦、セキュリティサーバに転送する。サーバは、コンピュータウィルス等のチェックをした後、チェック後のデータをデータの宛先へ送信する。

特開２００２−３５８２５３号公報

ワームの発信源となっている端末（以下、感染源とよぶ）は、ウィルスチェックソフト等をインストールしていないことが多く、感染を検出できない。そのため、ネットワークの管理者は、感染源を特定しないと、感染を食い止められないという問題があった。しかし、特許出願２００３−０７２３７１号記載の方法では、ネットワークがワームに感染したことは検出可能であるが、次のような場合に感染源を特定することが難しい。

つまり、ＩＰアドレスを動的に割り当てるＤＨＣＰサーバを備えたネットワークにおいては、ネットワークの管理者が、感染源のＩＰアドレスを特定できたとしても、ＤＨＣＰサーバが、すでにそのＩＰアドレスを感染源以外の端末に割り当てている場合がある。よって、管理者は、ＩＰアドレスが一致しているからといって、その端末を感染源と特定することはできない。

特許文献１の方法では、ウィルスチェックソフトをインストールしていない端末がネットワークに存在しても、ウィルスを検出することが可能である。しかし、ルータなどのネットワーク内のデータ伝送を中継するデータ中継装置を介したデータ通信を行なわなければ、データをセキュリティサーバに転送することができず、ウィルスのチェックができないという問題がある。更に、端末間のデータ伝送が頻繁になると、セキュリティサーバの負荷が増大するという問題もある。

本発明は、上記した問題点を解決するためになされたものであり、ネットワークを監視し、ワームの感染源を特定するための情報を取得し、抽出することで、ワームの検出を支援するシステムを提供することを目的とする。

上記課題の少なくとも一部を解決する本発明の検出支援システムは、
複数の端末が接続するネットワークにおいて前記端末から端末に増殖する不正プログラムであるワームの検出を支援する検出支援システムであって、
前記端末に動的に割り当てられる変動アドレスと、その端末に固有の情報である端末情報とを、所定のタイミングで繰り返し取得し、時系列で管理する端末情報管理部と、
前記端末が発信する通信データに関する情報であって、該通信データについて前記変動アドレスで表わされた送信元アドレスを含む情報である通信情報を取得する通信情報取得部と、
前記通信情報により、前記いずれかの端末が前記ワームの発信を行なっているか否かを判断する判断部と、
前記ワームの発信を行なっていると前記判断部が判断した場合は、前記変動アドレスが前記ワームの送信元アドレスに対応する端末情報を、前記端末情報管理部から抽出する端末情報抽出部と
を備えることを特徴とする。

複数の端末が接続されたネットワークシステムでは、先に説明したように、ＩＰアドレスなど必ずしも端末に固有とは言えない変動アドレスが用いられることがあり、この変動アドレスだけでは端末自体を一義的に特定することができないという場合が少なからずある。本発明によれば、変動アドレスと端末情報を繰り返し取得し、それらを対応づけて管理しておくことで、変動アドレスで表わされたワームの送信元アドレスに基づいて、ワームの発信を行なった可能性のある端末の端末情報を抽出することができる。

つまり、ワームの送信元アドレスから、その送信元アドレスを割り当てられていた端末情報の履歴を得ることができる。このような端末情報の履歴は、感染源を特定するための情報として利用可能である。

変動アドレスは、時間帯が異なれば別の端末に割り当てられる可能性があり、送信元アドレスのみに依存すると、複数の端末が疑わしい端末として抽出される可能性がある。ワームの送信日時が分かれば、このような端末情報の中から、感染源として更に疑わしい端末の端末情報を特定することも可能である。例えば、通信情報に通信データの送信日時が含まれていれば、端末情報抽出部は、送信元アドレスと送信日時に基づいて、端末情報を抽出することにより、感染源として更に疑わしい端末の端末情報を抽出することができる。抽出の際は、送信日時と最も近い日時に取得した端末情報を抽出しても良い。

端末に固有の端末情報としては、企業などで端末に固有に割り当てられた識別情報、端末を使用するユーザのユーザ情報、端末に備えられたネットワーク・インターフェイス・カードのＭＡＣアドレスなどがある。端末の設置場所が固定されている場合には、設置場所を端末情報として用いても良い。このような端末情報により、端末を特定し、その端末を使用するユーザなどに連絡を行なうことが可能となる。抽出した端末情報は、感染源を特定可能な情報として、ネットワークを管理する管理サーバや、感染源を特定する機能を有する機器などに送信しても良い。

端末情報管理部で管理する情報は、感染源を特定した後にも利用することもできる。例えば、感染源の端末情報に基づいて、端末情報管理部から、その端末の変動アドレスの履歴を抽出することができる。変動アドレスの履歴は、感染源に対するワームの感染経路の特定や、感染源からの２次感染の可能性についての検討などに有効活用することができる。抽出した変動アドレスの履歴は、ネットワークを管理する管理サーバに送信しても良いし、感染源をネットワークから切断する機能を有する機器に送信しても良い。

端末情報管理部は、端末に固有の情報である端末情報と、端末の設置場所，ユーザ情報など、端末において変動する情報である変動情報を取得し、その変動情報を端末情報と対応づけて時系列で管理しても良い。端末を使用するユーザは、変動する場合もある。これにより、感染源の端末情報に基づいて、感染時に使用していた場所やユーザなどの有用な情報を得ることができる。

端末情報は定期的に取得しても良いし、取得から取得までの時間間隔を変更しつつ取得しても良い。

上記した検出支援システムの前記端末情報管理部は、
前記変動アドレスと前記端末情報の送信を前記端末に要求する送信要求部と、
前記要求に呼応して発信される前記変動アドレスと前記端末情報を受信する受信部と
を備えるものとしても良い。

これにより、変動アドレスと端末情報を、ネットワークを介して取得することが可能となる。送信要求部は、ネットワーク上の複数の端末に一斉に変動アドレスと端末情報の送信要求を行なっても良いし、１つ１つの端末に順番に送信要求を行なっても良い。

上記した検出支援システムにおける
前記通信情報は、前記通信データについて前記変動アドレスで表わされた宛先アドレスを含んでおり、
前記端末情報抽出部は、前記変動アドレスが前記ワームの宛先アドレスに対応する端末情報を、前記端末情報管理部から抽出するものとしても良い。

このようにすれば、変動アドレスで表わされたワームの宛先アドレスに基づいて、ワームを受信した可能性のある端末の端末情報を抽出することができる。つまり、ワームの宛先アドレスから、その宛先アドレスを割り当てられていた端末情報の履歴を得ることができる。このような端末情報の履歴は、ワームの感染に関する情報として利用可能である。

変動アドレスは、時間帯が異なれば、別の端末に割り当てられる可能性があり、宛先アドレスのみに依存すると、複数の端末が疑わしい端末として抽出される可能性がある。ワームの送信日時が分かれば、このような端末情報の中から、ワームを受信した端末として更に疑わしい端末の端末情報を特定することも可能である。

抽出した端末情報は、ワームを受信した端末を特定可能な情報として、ネットワークを管理する管理サーバに送信しても良い。ワームを受信した端末も、すでにワームに感染している可能性が高く、このような端末に対しても、ネットワークの管理者は、適宜対応する必要があるからである。

端末情報管理部で管理する情報は、ワームを受信した端末を特定した後にもワームを受信した端末に関する情報として利用することもできる。

端末情報は定期的に取得しても良いし、取得から取得までの時間間隔を変更しつつ取得しても良い。

上記課題の少なくとも一部を解決する本発明のモニタシステムは、
複数の端末が接続するネットワーク内で、前記端末から端末に増殖する不正プログラムであるワームを監視するためのモニタシステムであって、
前記端末が発信する通信データと、前記通信データの送信元アドレスと、前記通信データの宛先アドレスとを取得する通信取得部と、
前記ワームのパターンファイルを保有する保有部と、
前記パターンファイルに基づき、前記通信データに前記ワームが含まれているか否かを判別する即時判別部と、
少なくとも前記通信取得部が取得した前記送信元アドレスと前記宛先アドレスとを、送受信情報として、時系列で管理する通信履歴管理部と、
所定の端末が前記ワームの発信を行なっているか否かを、前記通信履歴管理部が管理する前記送受信情報に基づき、所定のタイミングで繰り返し、所定の基準をもって判別する履歴判別部と
を備えることを特徴とする。

ワームの監視方法には、通信データの内容の監視と通信の履歴の監視という２通りの方法がある。通信データの内容の監視では、ワームのパターンファイルを必要とするという欠点があるが、ワームの発見が早いという利点もある。一方、通信の履歴の監視では、ワームの発見が遅いという欠点があるが、ワームのパターンファイルがなくともワームの監視が可能であるという利点もある。本発明では、即時判別部により通信データの内容の監視を行ない、履歴判別部により通信の履歴の監視を行なうことにより、通信データの内容の監視と通信の履歴の監視を併用する。本発明では、併用することにより、これらの欠点を補い合い、ワームの監視を安定して行なうことが可能となっている。

履歴判別部は、定期的に判別を行なっても良いし、判別から判別までの時間間隔を変更しつつ判別を行なっても良い。即時判別部や履歴判別部の判別により、ワームが含まれていると判別された通信データの送信元アドレスを、ワームの感染源を特定可能な情報として、感染源を特定する機能を有する機器に出力しても良い。あるいはワームを含む通信データの送受信情報の少なくとも一部や、不正データの送受信情報の少なくとも一部も出力するものとしても良い。

上記したモニタシステムは、
前記履歴判別部は、前記判別に用いる送受信情報として、同一端末から発信された通信データに関する前記送受信情報を、前記送信元アドレスに基づき前記通信履歴管理部から抽出する履歴抽出部を備えるものとしても良い。

このようにすれば、１つの端末から発信された通信データに関する送受信情報により、その端末が不正データの発信を行なっているか否かの判別を行なうことが可能となる。

上記したモニタシステムの
前記履歴判別部は、同一の端末が、前記ネットワーク内に存在しない宛先アドレスに対して所定回数以上通信データを発信している場合に、前記ワームの発信を行なっていると判別するものとしても良いし、
前記履歴判別部は、同一の端末が、前記宛先アドレスを所定の規則に基づいて変更しつつ、所定回数以上、前記通信データを発信している場合に、前記ワームの発信を行なっていると判別するものとしても良いし、
前記通信履歴管理部は、併せて前記通信データの送受信に使用されるプロトコル及び前記通信データの宛先ポート番号の少なくとも１つを管理しており、
前記履歴判別部は、所定の端末が、所定のプロトコルまたは所定の宛先ポート番号で、前記通信データを発信している場合に、前記ワームの発信を行なっていると判別するものとしても良い。

これにより、このようなワームに感染していると推測される動作をする端末を、不正データの発信を行なっているものと判別することができる。

上記した所定の規則とは、通信データの宛先アドレスを一定の間隔おきにするという規則であっても良い。

本発明は、上述の検出支援システムやモニタシステムとしての構成の他、検出支援方法や、モニタ方法の発明として構成することもできる。また、これらを実現するコンピュータプログラム、およびそのプログラムを記録した記録媒体、そのプログラムを含み搬送波内に具現化されたデータ信号など種々の態様で実現することが可能である。なお、それぞれの態様において、先に示した種々の付加的要素を適用することが可能である。

本発明をコンピュータプログラムまたはそのプログラムを記録した記録媒体等として構成する場合には、検出支援システムやモニタシステムの動作を制御するプログラム全体として構成するものとしてもよいし、本発明の機能を果たす部分のみを構成するものとしてもよい。また、記録媒体としては、フレキシブルディスクやＣＤ−ＲＯＭ、ＤＶＤ−ＲＯＭ、光磁気ディスク、ＩＣカード、ＲＯＭカートリッジ、パンチカード、バーコードなどの符号が印刷された印刷物、コンピュータの内部記憶装置（ＲＡＭやＲＯＭなどのメモリ）および外部記憶装置などコンピュータが読み取り可能な種々の媒体を利用できる。

以下、本発明の実施の形態について、以下の項目に分けて説明する。
Ａ．実施例：
Ａ１．全体構成：
Ａ２．機能ブロック：
Ａ３．データベース：
Ａ４．処理：
Ａ５．効果：
Ｂ．変形例：

Ａ．実施例：
Ａ１．全体構成：
図１は、実施例としての検出支援システムの概要を示す説明図である。検出支援システムは、モニタシステム２０ａとＩＰノードスコープ２５ａと管理サーバ４７で構成され、それらはネットワークで接続されている。

ＩＰノードスコープ２５ａは、検出支援システムを適用したＬＡＮ内の端末の情報を定期的に収集する。端末情報としては、端末のＩＰアドレス、設置場所、ユーザ情報、端末に備えられたネットワーク・インターフェイス・カードのＭＡＣアドレスなどがある。つまり、ＩＰノードスコープ２５ａは、ＬＡＮの構成を監視する。モニタシステム２０ａは、ＬＡＮ内の端末間の通信を監視し、通信においてワームを検出すると、管理サーバ４７に報告する。管理サーバ４７は、ＬＡＮの管理者がＬＡＮの管理のために使用するサーバであり、モニタシステム２０ａからの報告を受信して表示する。管理者は、この表示をみて対応する。

ＩＰノードスコープ２５ａは、図１の例では、所定時間おきにネットワーク上のユーザ端末３０ａ，３０ｂの端末情報を収集している。モニタシステム２０ａは、図１の例では、ユーザ端末３０ａ，３０ｂ間の通信を監視しているおり、その監視によりユーザ端末３０ａ，３０ｂ間の通信においてワームを検出すると（図１の「１．検出」）、モニタシステム２０ａは、ＩＰノードスコープ２５ａに、端末情報の送信を要求する。

端末情報の送信要求を受けたＩＰノードスコープ２５ａは、モニタシステム２０ａに、端末情報を送信する（図１の「２．端末情報送信」）。モニタシステム２０ａは、検出内容と、ＩＰノードスコープ２５ａから受信した端末情報とを、アラート情報として管理サーバ４７に送信する（図１の「３．報告」）。

アラート情報は、モニタシステム２０ａの「ＩＤ／名前」、モニタシステム２０ａがワームを検出した「日時」、ワームの送信元であるユーザ端末３０ａやワームの送信先であるユーザ端末３０ｂに関する情報が含まれている。送信元や送信先に関する情報としては、「設置場所」、「ＩＰアドレス」、「プロトコル」、「ポート番号」、「ユーザ情報」、「ＭＡＣアドレス」、「端末情報収集履歴」がある。

送信元や送信先に関する情報のうち、「プロトコル」，「ポート番号」は、ワームを含んだ通信情報に関する情報であり、「送信先」に関しては送信データの送信プロトコル、送信ポート、「送信元」に関しては受信データの受信プロトコル、受信ポートをさす。ここで通信情報とは、実際にユーザが送信したいデータ（例えば、メールの本文など）である通信データと、その通信データの「送信先」や「送信元」の情報を併せた情報をいう。

図２は、検出支援システムの適用例としてのＬＡＮの一部を示す説明図である。ルータ４５ａを介してサブネットワークｓｂ１とサブネットワークｓｂ２が存在している。ルータ４５ａには、ルータ４５ｂも接続されており、ルータ４５ｂには、更に複数の端末やネットワーク機器が接続される。サブネットワークｓｂ１，ｓｂ２内には、それぞれＤＨＣＰサーバ３１ａ，３１ｃが備えられており、サブネットワーク内の端末に、動的にＩＰアドレスを割り当てている。また、ＬＡＮ内にはＤＮＳサーバ３２やメールサーバ３３も設置されている。

サブネットワークｓｂ１，ｓｂ２内には、ＩＰノードスコープ２５ｂ，２５ｃがそれぞれ存在し、自身が属するサブネットワーク内のユーザ端末３０ａ１，３０ａ２，３０ｂ１，３０ｃ（以下、単にユーザ端末３０とよぶ）や各種サーバの端末情報を収集している。

モニタシステム２０ｂ〜２０ｅは、同一サブネットワーク内に１以上設置する。モニタシステム２０ｅでは、リピータハブ３５ａを介した通信の内容を監視可能である。例えば、ユーザ端末３０ａ１からユーザ端末３０ａ２に送信される通信情報や、ユーザ端末３０ａ２からスイッチングハブ４０ａに送信される通信情報が監視可能である。モニタシステム２０ｂはスイッチングハブ４０ａのモニタポートに接続されており、スイッチングハブ４０ａを介した通信の内容を監視可能である。モニタポートとは、スイッチングハブに備えられた、スイッチングハブを介する通信の監視用のポートである。例えば、ユーザ端末３０ａ１からユーザ端末３０ｂ１に送信される通信情報や、ユーザ端末３０ａ２からルータ４５ａに送信される通信情報が監視可能である。

モニタシステム２０ｃはスイッチングハブ４０ｃのモニタポートｐ２に接続されており、スイッチングハブ４０ｃを介した通信の内容を監視可能である。例えば、ユーザ端末３０ｃ１からＩＰノードスコープ２５ｃに送信される通信情報や、ユーザ端末３０ｃ１からルータ４５ａに送信される通信情報が監視可能である。
モニタシステム２０ｄはルータ４５ａに接続されており、ルータ４５ａを介した通信を監視可能であるよう設定されている。例えば、ユーザ端末３０ｃ１からユーザ端末３０ｂ１に送信される通信情報や、ユーザ端末３０ａ１からルータ４５ｂに送信される通信情報が監視可能である。

管理サーバ４７はＬＡＮ内に設置されており、モニタシステムからの報告を受信する。

Ａ２．機能ブロック：
図３は、ＩＰノードスコープ２５ａ〜２５ｃ（以下、単にＩＰノードスコープ２５とよぶ）の機能ブロックを示す説明図である。ＩＰノードスコープ２５は、パーソナルコンピュータに、以下の機能を実現するソフトウェアをインストールすることにより構成する。なお、以下の機能を実現するハードウェアを用いても良いし、ＩＰノードスコープ２５として専用の機器を用意しても良い。

送受信部５１は、他端末とのデータの送受信を管理する。端末情報収集部５２は、サブネットワーク内に接続されている端末に対して、ブロードキャストにより端末情報を要求し、受信した端末情報を端末情報データベース（ＤＢ）５５に保存する。端末情報抽出部５４は、モニタシステム２０ｂ〜２０ｅ（以下、単にモニタシステム２０とよぶ）の要求に従って、端末情報ＤＢ５５から端末情報を抽出し、モニタシステム２０に送信する。ネットワーク構成ＤＢ７９は、ＬＡＮ内のＩＰノードスコープ２５やモニタシステム２０に関する情報を保存しているＤＢである。端末情報ＤＢ５５，ネットワーク構成ＤＢ７９に関して詳しくは後述する。制御部５３は、各機能の動作を制御する。

図４は、モニタシステム２０の機能ブロックを示す説明図である。モニタシステム２０は、パーソナルコンピュータに、以下の機能を実現するソフトウェアをインストールすることにより構成する。なお、以下の機能を実現するハードウェアを用いても良いし、モニタシステム２０として専用の機器を用意しても良い。

送受信部６２は、他端末とのデータの送受信を管理する。通信内容判別部６５は、通信情報を受信した際に、通信情報に含まれる通信データにワームが含まれているか否かを判別する。具体的には、パターンファイルＤＢ７５に保存されているワームのパターンが、通信データに含まれているか否かにより判別する。そして、ワームを送信した端末を感染源端末として感染源端末ＤＢ７８に保存する。なお、即時判別フラグというフラグが、ＬＡＮの管理者によりＯＦＦにされている場合は、通信情報をログＤＢ７７に保存する。

モニタシステム２０は、ＬＡＮ内の端末からワームが存在するというアラートを受信する場合がある。即時判別フラグがＯＦＦの場合、バッチ処理部６１は、アラートを受信した際に、ログＤＢ７７に保存された通信情報中の通信データにワームが含まれているか否かを判別する。具体的には、パターンファイルＤＢ７５に保存されているワームのパターンが、通信データに含まれているか否かにより判別する。そして、ワームを送信した端末を感染源端末として感染源端末ＤＢ７８に保存する。

履歴判別部５９は、通信情報の送信元アドレスと宛先アドレスに関する情報を保存したクロスマップＤＢ７４の履歴情報により、ワームに感染していると推測される動作をしている端末（以下、疑感染端末とよぶ）を判別する。そして、疑感染端末を感染源端末として感染源端末ＤＢ７８に保存する。

感染源特定部６０は、ＩＰノードスコープ２５への問い合わせにより、感染源端末ＤＢ７８に保存されている端末が、現在ＬＡＮ内のどこに存在するのかを特定する。そして、その感染源の端末をＬＡＮから切断可能なモニタシステム２０を、ネットワーク構成ＤＢ７９から特定する。更に、その特定したモニタシステム２０に感染源の端末をＬＡＮから切断するよう切断要求を送信する。また、感染源特定部６０は、管理サーバ４７に対するアラート情報の報告処理も行なう。

通信切断部６４は、切断要求を受けた際に、感染源の端末、あるいは感染源の端末が属するサブネットワーク自体をＬＡＮから切断する。

ネットワーク機器管理部６３は、あらかじめ指定されたネットワーク機器の管理を行なう。例えば、図２のモニタシステム２０ｂであれば、スイッチングハブ４０ａの管理を行ない、モニタシステム２０ｄであれば、ルータ４５ａの管理を行なう。管理は、定期的にプロトコルＳＮＭＰやＲＭＯＮで、ネットワーク機器のＭＩＢ値を収集することにより行なう。収集したＭＩＢ値は、ネットワーク機器ＤＢ７６に保存する。制御部５８は、各機能の動作を制御する。

Ａ３．データベース：
図５は、端末情報ＤＢ５５を示す説明図である。端末情報は、端末に備えられたネットワークカードの「ＭＡＣアドレス」、端末の「ＩＰアドレス」、「ユーザ情報」、「設置場所」からなる。「ユーザ情報」、「設置場所」は、あらかじめ各端末に登録されている。端末情報ＤＢ５５には、その端末情報に、端末情報を端末から受信した「日時」をつけて保存する。

端末情報の収集は、ＩＰノードスコープ２５により４時間おきに行なわれる。ＬＡＮ内にはＤＨＣＰサーバが存在し、端末のＩＰアドレスを動的に割り当てているので、同一の端末に関する端末情報でも、再起動された場合には、４時間後にはＩＰアドレスが変更されている場合がある。図５の端末情報においても、例えば「ＭＡＣアドレス」が「０１：２３：３４：５６：７８：９３」の端末の「ＩＰアドレス」は、「日時」が「２００２．１．２２．１１：１１：１２」の時点では「１９２．１６８．１０．１」であるが、「日時」が「２００２．１．２２．１５：１１：１２」の時点には「１９２．１６８．１０．５」となる。

図６は、ネットワーク構成ＤＢ７９を示す説明図である。ＩＰノードスコープ２５とモニタシステム２０では、ＩＰアドレスが静的に設定されている。ネットワーク構成ＤＢ７９には、そのＩＰアドレスが登録されている。例えば、「ｓｂ１」の「ＩＰノードスコープ」の欄には、ＩＰノードスコープ２５ｂの「ＩＰアドレス」が、「ｓｂ２」の「ＩＰノードスコープ」の欄には、ＩＰノードスコープ２５ｃの「ＩＰアドレス」が、登録されている。

モニタシステム２０に関しては、「名前／ＩＤ」，「切断フラグ」，「ＩＰアドレス」を登録する。「名前／ＩＤ」は、モニタシステム２０の名前である。「切断フラグ」は、感染源の端末をネットワーク機器から切断可能であるか否かを示すフラグである。「切断フラグ」が「１」であれば、感染源の端末をネットワーク機器から切断可能であり、「０」であれば切断不可能であることを示す。つまりモニタシステム２０ｂからは、図２におけるポートｐ１やポートｐ３が切断可能であるが、モニタシステム２０ｅからは切断不可能であるとする。「ＩＰアドレス」は、モニタシステム２０のＩＰアドレスである。

「サブネットマスク」には、サブネットワークｓｂ１，ｓｂ２（以下、単にサブネットワークｓｂとよぶ）のサブネットマスクを登録する。「ネットワーク番号」には、サブネットワークｓｂのネットワーク番号を登録する。「切断サブネットワーク」は、ルータ４５ａ，４５ｂ（以下、単にルータ４５とよぶ）に接続されたモニタシステムに関する情報であり、そのモニタシステムで切断可能なサブネットワークを示している。例えば、モニタシステム２０ｄからは、ルータ４５ａを操作することにより、サブネットワークｓｂ１，ｓｂ２が切断可能である。サブネットワークｓｂ内に、スイッチングハブ４０ａ，４０ｃを操作することにより感染源の端末を切断可能なモニタシステムが存在しない場合は、モニタシステム２０ｄのような、ルータに直接接続されたモニタシステムにより、サブネットワークｓｂごと切断する。「ＭＡＣアドレス」には、ルータ４５のＭＡＣアドレスを登録する。

図７は、クロスマップＤＢ７４を示す説明図である。クロスマップＤＢ７４は、送信元と送信先に関する情報を保存するＤＢである。モニタシステム２０が通信情報を受信した「日時」、通信情報のヘッダから読み取り可能な、送信元や送信先の「ＭＡＣアドレス」，「ＩＰアドレス」，通信データの「ポート番号」，「プロトコル」がモニタシステム２０により保存される。

図７（ａ）にはモニタシステム２０ｅのクロスマップＤＢ７４を、図７（ｂ）にはモニタシステム２０ｂのクロスマップＤＢ７４を、図７（ｃ）にはモニタシステム２０ｄのクロスマップＤＢ７４を示してある。

モニタシステム２０ｅは、リピータハブ３５ａを介して送信される通信情報を受信可能である。例えば、モニタシステム２０ｅがユーザ端末３０ａ１からユーザ端末３０ａ２に送信される通信情報を受信した場合は、図７（ａ）のように「送信元」には、ユーザ端末３０ａ１の情報を、「送信先」には、ユーザ端末３０ａ２の情報を保存する。

モニタシステム２０ｂは、スイッチングハブ４０ａを介して送信される通信情報、例えばユーザ端末３０ａ１からユーザ端末３０ｂ１に送信される通信情報を受信可能である。そのような通信情報を受信した場合は、図７（ｂ）の１行目のように「送信元」には、ユーザ端末３０ａ１の情報を、「送信先」には、ユーザ端末３０ｂ１の情報を保存する。

モニタシステム２０ｂでは、サブネットワークｓｂ１からサブネットワークｓｂ２へ送信される通信情報や、サブネットワークｓｂ１からルータ４５ｂへ送信される通信情報も受信可能である。例えば、モニタシステム２０ｂが、ユーザ端末３０ｂ１からメールサーバ３３へ送信される通信情報を受信した場合は、図７（ｂ）の２行目に示すような情報を保存する。

モニタシステム２０ｂがユーザ端末３０ｂ１からメールサーバ３３へ送信される通信情報を受信した時点では、「送信先」の「ＭＡＣアドレス」は、ルータ４５ａのＭＡＣアドレスとなっている。この通信情報を受信すると、ルータ４５ａは、通信情報の「送信先」のＭＡＣアドレスをメールサーバ３３のＭＡＣアドレスに、「送信元」のＭＡＣアドレスをルータ４５ａのＭＡＣアドレスに書き換えて、スイッチングハブ４０ｃに向けて送信する。それにより、通信情報はメールサーバ３３に送信される。

モニタシステム２０ｄは、ルータ４５ａを介して送信される通信情報を受信可能である。ルータ４５ａは、上記したように、「送信元」と「送信先」の「ＭＡＣアドレス」を書き換えるが、モニタシステム２０ｄは、ＭＡＣアドレス書き換え前の通信情報と書き換え後の通信情報を共に受信する。そして、書き換え前の通信情報から「送信元」の情報を読み取り保存する。一方、書き換え後の通信情報から「送信先」の情報を読み取り、保存する。

モニタシステム２０ｄがメールサーバ３３からユーザ端末３０ａ２へ送信される通信情報を受信した場合は、図７（ｃ）１行目のデータが保存され、ユーザ端末３０ｂ１からメールサーバ３３へ送信される通信情報を受信した場合は、図７（ｃ）２行目のデータが保存される。なお、「日時」としては、ＭＡＣアドレス書き換え前の通信情報を受信した日時を保存する。

Ａ４．処理：
図８は、端末情報保存処理を示すフローチャートである。ＩＰノードスコープ２５の端末情報収集部５２で行なわれる処理である。前回の端末情報保存処理から所定時間経過している場合（ステップＳ１）、ＩＰノードスコープ２５は、自身が属するサブネットワークｓｂ内の端末に対して、ブロードキャストにより端末情報の送信要求を行なう（ステップＳ２）。そして、端末情報送信要求に応じて各端末から送信される端末情報を受信し（ステップＳ３）、端末情報ＤＢ５５に保存する。ここでの所定時間は、４時間とする。

図９は、モニタシステム２０で行なわれる処理を示すフローチャートである。モニタシステム２０は、通信情報を受信すると（ステップＳ１２）、即時判別フラグがＯＮの場合（ステップＳ１３）、通信情報のヘッダから「送信元」と「送信先」の情報を読み取って、クロスマップＤＢ７４に保存する（ステップＳ１４）。

そして、即時判別フラグがＯＮの場合は、通信情報の受信時に内容判別を行なうことを意味するため、内容判別処理を行なう（ステップＳ１５）。図１０は、内容判別処理を示すフローチャートである。内容判別処理では、通信データにワームが含まれているか否かを判別する（ステップＳ２４）。具体的には、パターンファイルＤＢ７５に保存されているワームのパターンファイルの内容が、通信データに含まれているか否かを判別する。

ワームが存在する場合（ステップＳ２６）、送信元の「ＭＡＣアドレス」と「ＩＰアドレス」を感染源端末ＤＢ７８に保存する。なお、送信元の「ＭＡＣアドレス」は、ルータ４５などのＭＡＣアドレスである場合もある。

再び図９に戻り説明する。即時判別フラグがＯＦＦの場合は、ＬＡＮ内の端末からワームが存在するというアラートを受信した時に内容判別を行なうということだから、それまでは通信情報をログＤＢ７７に保存しておく（ステップＳ７７）。ログＤＢ７７に保存される情報は、クロスマップＤＢ７４に保存される情報と、通信データを併せた情報である。

通信情報を受信していない場合は以下の処理を行なう（ステップＳ１２）。他のモニタシステム２０から感染源の端末の切断要求を受信した場合（ステップＳ１７）、切断処理を行なう（ステップＳ１９）。切断処理に関しては後述する。

感染源の端末の切断要求を受信していない場合は以下の処理を行なう（ステップＳ１７）。前回の履歴判別処理を行なってから所定時間経過した場合（ステップＳ２０）、履歴判別処理を行なう（ステップＳ２１）。

図１１は、履歴判別処理を示すフローチャートである。履歴判別処理では、クロスマップＤＢ７４に保存された情報により、疑感染端末を以下のように判別する。

クロスマップＤＢ７４のレコードのうち履歴判別対象となっているレコードから、「送信元」のＭＡＣアドレスが同一のレコード（以下、クロスマップレコーズとよぶ）を抽出する（ステップＳ４２）。

そして、クロスマップレコーズの「送信元」のＭＡＣアドレスで、ネットワーク構成ＤＢ７９の「ＭＡＣアドレス」フィールドを検索する（ステップＳ４３）。一致するレコードが存在しない場合は、クロスマップレコーズの「送信元」のＭＡＣアドレスはルータ４５のＭＡＣアドレスではない、つまり、端末のＭＡＣアドレスであるということがわかる。その場合は、クロスマップレコーズは単一の端末から発信された通信データの情報である。

クロスマップレコーズの「送信元」のＭＡＣアドレスがルータ４５のＭＡＣアドレスではない場合（ステップＳ４４）、つまり、クロスマップレコーズが単一の端末から発信された通信データの情報である場合、そのまま履歴処理を行なう（ステップＳ４５）。

図１２は、履歴処理を示すフローチャートである。ここでは、疑感染端末を、３つの基準により特定する。１つめの基準は、「送信元」の端末が、ＬＡＮに存在しないサブネットワークに所定回数以上アクセスしているか否かである（ステップＳ８０）。そして、所定回数以上アクセスしている場合は、「送信元」の「ＩＰアドレス」と「ＭＡＣアドレス」を、感染源端末ＤＢ７８に保存する（ステップＳ８６）。

図１３は、１つめの基準により疑感染端末であると判別される「送信元」端末のクロスマップレコーズを示す説明図である。ステップＳ８０では、クロスマップレコーズの「送信先」の「ＩＰアドレス」が、ネットワーク構成ＤＢ７９におけるサブネットワークｓｂのいずれにも属さないものである場合に、「送信元」端末はＬＡＮに存在しないサブネットワークにアクセスしていると判断する。なお、ネットワーク構成ＤＢ７９のサブネットワークｓｂは、ネットワーク構成ＤＢ７９の「サブネットマスク」と「ネットワーク番号」から特定可能である。

このように判断して、ＬＡＮに存在しないサブネットワークにアクセスしている回数を数え上げる。そして、得られた回数が、所定回数以上である場合は、疑感染端末として感染源端末ＤＢ７８に保存する。所定回数は、閾値ＤＢ７３に登録されており、これを参照して処理を行なう。

図１２における２つめの基準は、「送信元」の端末が、シーケンシャルに「送信先」のＩＰアドレスを所定回数以上変更して送信を行なっているか否かである（ステップＳ８２）。シーケンシャルに「送信先」のＩＰアドレスを変更している場合は、「送信元」の「ＩＰアドレス」と「ＭＡＣアドレス」を、感染源端末ＤＢ７８に保存する（ステップＳ８６）。

図１４は、２つめの基準により疑感染端末であると判別される「送信元」端末のクロスマップレコーズを示す説明図である。ステップＳ８２では、クロスマップレコーズの「送信先」の「ＩＰアドレス」を検索し、「ＩＰアドレス」が、規則的に変えられている回数を数え上げる。

図１４の例では、２行目以降のＩＰアドレスのホストアドレス部の値が、順に１つずつ変わっており、規則的に換えられていることが分かる。そして、得られた回数が所定回数以上である場合は、疑感染端末として感染源端末ＤＢ７８に保存する。所定回数は閾値ＤＢ７３に登録されており、これを参照して処理を行なう。

図１２における３つめの基準は、「送信元」の端末が、特定のポート番号にアクセスしているか否かである（ステップＳ８４）。特定のポート番号にアクセスしている場合は、「送信元」の「ＩＰアドレス」と「ＭＡＣアドレス」を、感染源端末ＤＢ７８に保存する（ステップＳ８６）。特定のポート番号とは、セキュリティホール等に対応するポート番号であり、閾値ＤＢ７３に登録されている。

図１５は、３つめの基準により疑感染端末であると判別される「送信元」端末のクロスマップレコーズを示す説明図である。ステップＳ８４では、実際には、クロスマップレコーズの「送信先」の「ポート番号」を検索し、特定のポート番号にアクセスしているか否かを判別する。図１５の例では、「ポート番号」が「１０２５」のポートにアクセスしている。この「ポート番号」は閾値ＤＢ７３に登録されているので、特定のポート番号にアクセスしているものとして、疑感染端末として感染源端末ＤＢ７８に保存する。

再び図１１に戻り説明する。クロスマップレコーズの「送信元」のＭＡＣアドレスがルータ４５のＭＡＣアドレスである場合（ステップＳ４４）、クロスマップレコード１つ１つについて、該当ＭＡＣアドレス推定処理を行なう（ステップ
Ｓ４６）。

ＭＡＣアドレスがルータ４５により書き換えられている場合、ＭＡＣアドレスで送信元端末を特定することはできない。ＩＰアドレスは、ＤＨＣＰサーバ３１ａ，３１ｃにより動的に割り当てられているので、ＩＰアドレスを送信元端末の特定に用いることもできない。そこで、定期的に「ＭＡＣアドレス」や「ＩＰアドレス」などの端末情報を収集しているＩＰノードスコープ２５の情報を利用して、「送信元」端末のＭＡＣアドレスを推定する。更に、推定したＭＡＣアドレスを、送信元端末の特定に用いる。

図１６は、該当ＭＡＣアドレス推定処理を示すフローチャートである。左側はモニタシステム２０のフローチャートであり、右側はＩＰノードスコープ２５のフローチャートである。該当ＭＡＣアドレス推定処理では、モニタシステム２０が、「送信元」の「ＩＰアドレス」から、通信情報を発信した送信元端末が属するサブネットワークｓｂを特定し、そのサブネットワークｓｂのＩＰノードスコープ２５を特定する（ステップＳ９０）。

そして、ステップＳ９０で特定したＩＰノードスコープ２５へ、前回の履歴判別をした日時以降の端末情報を要求する（ステップＳ９２）。ＩＰノードスコープ２５では、端末情報の送信要求を受信すると（ステップＳ９７）、端末情報ＤＢ５５から、該当する分の端末情報を抽出し（ステップＳ９８）、要求をしたモニタシステム２０へ送信する（ステップＳ９９）。

モニタシステム２０では、端末情報を受信して（ステップＳ９３）、「送信元」の「ＩＰアドレス」と「日時」で、送信元端末の「ＭＡＣアドレス」を推定する（ステップＳ９４）。「ＭＡＣアドレス」を推定する方法は以下の通りである。

端末情報には、「日時」，「ＭＡＣアドレス」，「ＩＰアドレス」が含まれている。一方、クロスマップレコーズのレコードには、「送信元」の「ＩＰアドレス」と「日時」が含まれている。端末情報の中から、「送信元」の「ＩＰアドレス」と一致する「ＩＰアドレス」をもつレコードを抽出し、更にその中から「送信元」の「日時」と最も近い「日時」のレコードを選び出す。そして、そのレコードの「ＭＡＣアドレス」を送信元端末の「ＭＡＣアドレス」と推定する。

以上のステップＳ９０〜ステップＳ９４までの処理を、すべてのクロスマップレコーズのレコードについて行なう（ステップＳ９５）。

再度図１１に戻り説明する。該当ＭＡＣアドレス推定処理（ステップＳ４６）が終わったら、「送信元」の「ＭＡＣアドレス」が同一のレコードを抽出する（ステップＳ４７）。抽出したレコードは、「ＭＡＣアドレス」が同一なので、単一の端末から発信された通信データの情報である。そして、上述した履歴処理を行なう（ステップＳ４８）。なお、ここでの履歴処理では、感染源端末ＤＢ７８には、ＭＡＣアドレスのみ保存する。ＩＰアドレスは、履歴では同一端末において変更されている場合があり、必ずしも１つに限定されないからである。

ステップＳ４７、Ｓ４８の処理は、すべてのクロスマップレコーズのレコードについて終了するまで行なう（ステップＳ４９）。そして、ステップＳ４１〜ステップＳ４９までの処理は、クロスマップＤＢ７４において履歴判別対象となっている全てのレコードについて終了するまで行なう（ステップＳ５０）。

履歴判別は、クロスマップＤＢ７４の全てのレコードを対象として行なっても良いし、既に履歴判別を行なったレコード以外のレコードを対象として行なっても良い。なお、クロスマップＤＢ７４の全てのレコードを対象として履歴判別を行なう場合であっても、既に履歴判別の対象となったことのあるレコードの該当ＭＡＣアドレス推定処理は終了している。よって、それらのレコードでは該当ＭＡＣアドレス推定処理を行なう必要はない。

また、ステップＳ９２での端末情報の要求は繰り返し行なわれているが、すでにそのＩＰノードスコープ２５から端末情報を受信している場合は、要求を行なう必要はない。すでに得ている端末情報を利用しても良い。

再度、図９に戻り説明する。内容判別処理（ステップＳ１５）、あるいは履歴判別処理（ステップＳ２１）により、感染源の端末が通信情報を送信した際のＩＰアドレスとＭＡＣアドレスが、感染源端末ＤＢ７８に登録される。その感染源端末ＤＢ７８に登録された情報を基に、次に感染源特定と報告処理が行なわれる（ステップＳ１６）。感染源特定処理とは、現在感染源端末が何処に存在するのかを特定するための処理である。感染源端末は、ＬＡＮ内で移動して接続される場合もあるので、必要な処理となる。

図１７は、感染源特定処理と報告処理を示すフローチャートである。まず、感染源特定処理では、感染源端末ＤＢ７８からレコードを読み出し（ステップＳ１００）、レコードが存在する場合（ステップＳ１０１）、感染源端末が属するサブネットワークｓｂをＩＰノードスコープ２５に問い合わせる（ステップＳ１０２）。

つまり、ネットワーク構成ＤＢ７９から、すべてのＩＰノードスコープ２５を読み出し、それらのＩＰノードスコープ２５に対して、自身が端末情報を収集しているサブネットワークｓｂ内に、感染源端末のＭＡＣアドレスを持つ端末が存在するか否かを問い合わせる。

問い合わせを受けたＩＰノードスコープ２５は、最新の端末情報を検索し、該当するＭＡＣアドレスが存在するか否かを検索する。存在した場合は、自身が端末情報を収集しているサブネットワークｓｂの名前を、問い合わせをしたモニタシステム２０に送信する。存在しなかった場合は何もしない。

モニタシステム２０は、サブネットワークｓｂの名前を受信する。そして、モニタシステム２０は、そのサブネットワークｓｂに属するモニタシステム２０のうち、感染源端末を切断可能なモニタシステム２０に、感染源端末の切断要求を送信する（ステップＳ１０３）。切断要求には、感染源端末のＭＡＣアドレス（ＩＰアドレスが感染源端末ＤＢ７８に登録されている場合はＩＰアドレスも）を付ける。

あるいは、モニタシステム２０は、サブネットワークｓｂ自体を切断可能なモニタシステム２０に、切断するサブネットワークｓｂの名前を送信する（ステップＳ１０３）。

感染源端末を切断可能なモニタシステム２０とは、ネットワーク構成ＤＢ７９の「切断フラグ」が「１」となっているモニタシステム２０である。サブネットワークｓｂ内に、感染源端末を切断可能なモニタシステム２０が存在しない場合は、サブネットワークｓｂ自体を切断可能なモニタシステム２０に切断要求を送信する。

例えば、図６のネットワーク構成ＤＢ７９において、もし、サブネットワークｓｂ２の中に、「切断フラグ」が「１」となっているモニタシステム２０が存在しない場合は、「切断サブネットワーク」フィールドを検索し、サブネットワークｓｂ２を切断可能なモニタシステム２０を特定する。図６では、モニタシステム２０ｄが、サブネットワークｓｂを切断可能であることが分かる。

モニタシステム２０は、切断要求の後、報告処理を行なう。報告処理では、モニタシステム２０は、ＬＡＮ内のＩＰノードスコープ２５に対して、端末情報の送信要求を行なう（ステップＳ１０６）。送信要求は、感染源の端末のＭＡＣアドレスと共に行なう。

ＩＰノードスコープ２５は、端末情報の送信要求を受信すると（ステップＳ１０９）、端末情報ＤＢ５５から、感染源の端末のＭＡＣアドレスと一致するＭＡＣアドレスを持つレコードを抽出し（ステップＳ１１０）、要求をしたモニタシステム２０に送信する（ステップＳ１１１）。レコードがない場合も、ない旨を送信する。

端末情報を、各ＩＰノードスコープ２５すべてから受信したモニタシステム２０は（ステップＳ１０７）、管理サーバにアラート情報を出力する（ステップＳ１０８）。アラート情報は、図１で示した内容の情報である。ステップＳ１０６，Ｓ１０７で取得した感染源の端末の１以上の端末情報は、端末情報収集履歴として送信する。なお、図１における「設置場所」や「ユーザ情報」は、端末情報の中に含まれているので、端末情報収集履歴として送信しても良い。

履歴判別処理により感染源の端末を特定した場合、アラート情報の「送信元」「送信先」の情報はクロスマップレコーズの複数個の情報となる。

内容判別処理により感染源の端末を特定した場合は、送信先の端末情報も端末情報収集履歴として送信する。「送信先」の端末情報は、以下のように取得する。まず、「送信先」の「ＩＰアドレス」から特定可能な「送信先」のＩＰノードスコープ２５に、その「ＩＰアドレス」をもつ端末の「ＭＡＣアドレス」を問い合わせる。そして、ＬＡＮ内のＩＰノードスコープ２５に対して、その「ＭＡＣアドレス」をもつ端末情報の送信要求を行なって、端末情報を取得する。

以上のステップＳ１０２〜ステップＳ１０８までの処理は、感染源端末ＤＢ７８に保存された全ての感染源端末について行なう。

一方、切断要求を受信したモニタシステム２０は、切断処理を行なう（図９のステップＳ１９）。図１８は、切断処理を示すフローチャートである。切断要求を受けたモニタシステム２０は、ネットワーク機器ＤＢ７６を参照し、自身が切断指示を出すことが可能なネットワーク機器を特定する（ステップＳ１２２）。切断指示を出すことが可能なネットワーク機器は、自身が管理しているネットワーク機器であるからである。

ルータ４５で切断する場合（ステップＳ１２３）、つまり、感染源端末の属するサブネットワークｓｂ自体を切断する場合は、ルータ４５に感染源端末の属するサブネットワークｓｂのポートを切断する指示を出す（ステップＳ１２７）。例えば、図２におけるモニタシステム２０ｄが、サブネットワークｓｂ１を切断する場合は、ルータ４５ａにポートｐ４を切断する指示を出す。

ルータ４５で切断しない場合（ステップＳ１２３）、つまり、スイッチングハブ４０ａ，４０ｃで感染源端末を切断する場合は、スイッチングハブ４０ａ，４０ｃに感染源端末の「ＭＡＣアドレス」を指定し、該端末が属するポートを切断する指示を出す（ステップＳ１２８）。

例えば、図２におけるモニタシステム２０ｂが、ユーザ端末３０ａ１を切断したい場合は、スイッチングハブ４０ａにユーザ端末３０ａ１のＭＡＣアドレスを指定して切断指示を出す。スイッチングハブ４０ａは、端末のＭＡＣアドレスで、その端末が、どのポートで通信を行なっているのかを特定可能であるので、切断指示により、ポートｐ１を切断する。

なお、感染源端末のＩＰアドレスのみ特定可能で、ＭＡＣアドレスが不明である場合は、ＡＲＰによりＩＰアドレスからＭＡＣアドレスを特定可能である。

図９において即時判別フラグがＯＦＦの場合には（ステップＳ１３）、受信した通信情報を保存しておき（ステップＳ１８）、バッチ処理を行なう。図１９は、バッチ処理を示すフローチャートである。左側のフローチャートはモニタシステム２０のフローチャートであり、右側のフローチャートはＩＰノードスコープ２５のフローチャートである。

ワームを含む通信情報を受信した端末は、ワームを検出し、メールサーバ３３に、アラートを含むメールを送信する。アラートには、ワームを含む通信情報を受信した「日時」、ワームの「スレッドタイプ」、ワームを受信した端末の「ＭＡＣアドレス」と「現在のＩＰアドレス」が含まれる。

メールサーバ３３は、受信したアラートを含むメールを、特定のモニタシステム２０に送信する。特定のモニタシステム２０は、マスタモニタシステムとして、メールサーバ３３に登録されており、以下の処理を行なう。

アラートを含むメールを受信したマスタモニタシステムは（ステップＳ１３０）、メールから、「日時」、ワームの「スレッドタイプ」、ワームを受信した端末の「ＭＡＣアドレス」と「現在のＩＰアドレス」を抽出する（ステップＳ１３１）。

そして、抽出した「ＭＡＣアドレス」により、該「ＭＡＣアドレス」をもつ端末のＩＰアドレスの履歴を取得する。そのために、ＩＰノードスコープ２５すべてに、該ＭＡＣアドレスをもつ端末情報の送信要求を行なう（ステップＳ１３２）。

ＩＰノードスコープ２５は、送信要求を受信し（ステップＳ１４０）、そのＭＡＣアドレスをもつ端末情報を抽出する（ステップＳ１４１）。そして、送信要求を行なったモニタシステム２０に、該端末情報を送信する（ステップＳ１４２）。

モニタシステム２０は、すべてのＩＰノードスコープ２５から端末情報を受信し、ワームを受信した端末のＩＰアドレスの履歴を作成する（ステップＳ１３４）。端末情報には、「日時」と「ＩＰアドレス」が含まれているから作成可能である。

そして、ワームを受信した端末のＩＰアドレスの履歴を、ＬＡＮ内のすべてのモニタシステム２０に送信する（ステップＳ１３５）。ＩＰアドレスの履歴を受信したモニタシステム２０は、以下の、マスタモニタシステムと同一の処理を行なう。

まず、ワームを受信した端末のＩＰアドレスの履歴をもとに、ワームを受信した端末に送信された通信情報を、ログＤＢ７７から抽出する（ステップＳ１３６）。ワームを受信した端末に送信された通信情報の中に、ワームを含む通信情報が存在するからである。抽出は、ログＤＢ７７における「日時」と、「送信先」の「ＩＰアドレス」をもとに行なえばよい。

そして、抽出した通信情報に対して、先述した内容判別処理を行なう（ステップＳ１３７）。内容判別処理は、ステップＳ１３６で抽出したすべての通信情報に対して行なう（ステップＳ１３８）。更に、先述した感染源特定と報告処理も行なう（ステップＳ１３９）。

Ａ５．効果：
本実施例によれば、ネットワーク上の端末の端末情報を取得しておき、ワームを含む可能性のある不正データの送信を行なっている端末を発見した際には、その端末の端末情報を出力することが可能となる。端末情報は、ワームの感染源を特定する情報にも利用可能である。また、通信データの内容あるいは通信の履歴を監視することにより、不正データの送信を行なっている端末を発見し、ワームの感染源を特定するための情報を出力することが可能となる。

更に、本実施例によれば、以上のように出力された情報をもとにして、感染源を特定することも可能となっている。感染源を特定することで、ネットワークから感染源を切断することも可能である。

また、ネットワークのトラフィックが増大し、通信データを受信するたびに通信内容を判別できない場合などには、端末間の通信データなどを保存しておく。そして、ネットワーク上の所定の端末から、ウィルスチェックソフト等により、ワームの検出がされた場合に、通信データ等の解析を行なうことによっても、ワームの感染源の特定に利用可能な情報を出力することが可能である。

Ｂ．変形例：
以上、本発明の実施の形態について説明したが、本発明はこうした実施の形態に何ら限定されるものではなく、本発明の要旨を逸脱しない範囲内において、更に様々な形態で実施しうることは勿論である。例えば、ステップＳ１０２のサブネットワークｓｂの問い合わせ処理は、ステップＳ１５の内容判別処理を行なった後の場合は省略しても良い。ステップＳ１５では、通信情報を受信してからすぐに内容判別処理が行なわれるため、ワームを送信した端末がＬＡＮ内を移動している可能性が低いためである。

また、履歴判別処理により感染源の端末を特定した場合は、切断処理を行なわなくても良い。あくまでワームに感染していると推測される動作をしているだけなので、ネットワークから切断するまでもない場合が多いからである。

履歴判別処理が終了した場合は、クロスマップＤＢ７４の内容を削除しても良い。アラートを受信して内容判別処理を行なった後は、ログＤＢ７７の内容を削除しても良い。

検出支援システムに、先述した特許出願２００３−０７２３７１号記載の方法を併用して、ワーム対策を行なうようにしても良い。

履歴判別処理によるアラート情報の「送信先」は、クロスマップレコーズの少なくとも一部であっても良いし、「送信先」の情報はなくても良い。一方で、履歴判別処理によるアラート情報の「送信先」にも端末情報をつけても良い。

検出支援システムの概要を示す説明図である。 検出支援システムを構成するＬＡＮの一部を示す説明図である。 ＩＰノードスコープ２５の機能ブロックを示す説明図である。 モニタシステム２０の機能ブロックを示す説明図である。 端末情報ＤＢ５５を示す説明図である。 ネットワーク構成ＤＢ７９を示す説明図である。 クロスマップＤＢ７４を示す説明図である。 端末情報保存処理を示すフローチャートである。 モニタシステム２０で行なわれる処理を示すフローチャートである。 内容判別処理を示すフローチャートである。 履歴判別処理を示すフローチャートである。 履歴処理を示すフローチャートである。 １種類目の基準により疑感染端末であると判別される「送信元」端末のクロスマップレコーズを示す説明図である。 ２種類目の基準により疑感染端末であると判別される「送信元」端末のクロスマップレコーズを示す説明図である。 ３種類目の基準により疑感染端末であると判別される「送信元」端末のクロスマップレコーズを示す説明図である。 該当ＭＡＣアドレス推定処理を示すフローチャートである。 感染源特定処理と報告処理を示すフローチャートである。 切断処理を示すフローチャートである。 バッチ処理を示すフローチャートである。

符号の説明

２０...モニタシステム
２０ａ〜２０ｅ...モニタシステム
３０，３０ａ，３０ｂ...ユーザ端末
３０ａ１，３０ａ２，３０ｂ１，３０ｃ１...ユーザ端末
３１，３１ａ，３１ｃ...ＤＨＣＰサーバ
３３...メールサーバ
３５ａ，３５ｂ...リピータハブ
４０...スイッチングハブ
４０ａ，４０ｃ...スイッチングハブ
４５...ルータ
４５ａ，４５ｂ...ルータ
４７...管理サーバ
５１...送受信部
５２...端末情報収集部
５３...制御部
５４...端末情報抽出部
５５...端末情報ＤＢ
５８...制御部
５９...履歴判別部
６０...感染源特定部
６１...バッチ処理部
６２...送受信部
６３...ネットワーク機器管理部
６４...通信切断部
６５...通信内容判別部
７３...閾値ＤＢ
７４...クロスマップＤＢ
７５...パターンファイルＤＢ
７６...ネットワーク機器ＤＢ
７７...ログＤＢ
７８...感染源端末ＤＢ
７９...ネットワーク構成ＤＢ
ｐ１，ｐ３...ポート
ｐ２...モニタポート
ｓｂ...サブネットワーク
ｓｂ１，ｓｂ２...サブネットワーク

Claims (12)

1. 複数の端末が接続するネットワークにおいて前記端末から端末に増殖する不正プログラムであるワームの検出を支援する検出支援システムであって、
   前記端末に動的に割り当てられる変動アドレスと、その端末に固有の情報である端末情報とを、所定のタイミングで繰り返し取得し、時系列で管理する端末情報管理部と、
   前記端末が発信する通信データに関する情報であって、該通信データについて前記変動アドレスで表わされた送信元アドレスを含む情報である通信情報を取得する通信情報取得部と、
   前記通信情報により、前記いずれかの端末が前記ワームの発信を行なっているか否かを判断する判断部と、
   前記ワームの発信を行なっていると前記判断部が判断した場合は、前記変動アドレスが前記ワームの送信元アドレスに対応する端末情報を、前記端末情報管理部から抽出する端末情報抽出部と
   を備えた検出支援システム。
2. 請求項１記載の検出支援システムであって、
   前記端末情報管理部は、
   前記変動アドレスと前記端末情報の送信を前記端末に要求する送信要求部と、
   前記要求に呼応して発信される前記変動アドレスと前記端末情報を受信する受信部と
   を備えた検出支援システム。
3. 請求項１記載の検出支援システムであって、
   前記通信情報は、前記通信データについて前記変動アドレスで表わされた宛先アドレスを含んでおり、
   前記端末情報抽出部は、前記変動アドレスが前記ワームの宛先アドレスに対応する端末情報を、前記端末情報管理部から抽出する
   検出支援システム。
4. 複数の端末が接続するネットワーク内で、前記端末から端末に増殖する不正プログラムであるワームを監視するためのモニタシステムであって、
   前記端末が発信する通信データと、前記通信データの送信元アドレスと、前記通信データの宛先アドレスとを取得する通信取得部と、
   前記ワームのパターンファイルを保有する保有部と、
   前記パターンファイルに基づき、前記通信データに前記ワームが含まれているか否かを判別する即時判別部と、
   少なくとも前記通信取得部が取得した前記送信元アドレスと前記宛先アドレスとを、送受信情報として、時系列で管理する通信履歴管理部と、
   所定の端末が前記ワームの発信を行なっているか否かを、前記通信履歴管理部が管理する前記送受信情報に基づき、所定のタイミングで繰り返し、所定の基準をもって判別する履歴判別部と
   を備えたモニタシステム。
5. 請求項４記載のモニタシステムであって、
   前記履歴判別部は、前記判別に用いる送受信情報として、同一端末から発信された通信データに関する前記送受信情報を、前記送信元アドレスに基づき前記通信履歴管理部から抽出する履歴抽出部を備えたモニタシステム。
6. 請求項４記載のモニタシステムであって、
   前記履歴判別部は、同一の端末が、前記ネットワーク内に存在しない宛先アドレスに対して所定回数以上通信データを発信している場合に、前記ワームの発信を行なっていると判別するモニタシステム。
7. 請求項４記載のモニタシステムであって、
   前記履歴判別部は、同一の端末が、前記宛先アドレスを、所定の規則に基づいて変更しつつ、所定回数以上、前記通信データを発信している場合に、前記ワームの発信を行なっていると判別するモニタシステム。
8. 請求項５記載のモニタシステムであって、
   前記通信履歴管理部は、併せて前記通信データの送受信に使用されるプロトコル及び前記通信データの宛先ポート番号の少なくとも１つを管理しており、
   前記履歴判別部は、所定の端末が、所定のプロトコルまたは所定の宛先ポート番号で、前記通信データを発信している場合に、前記ワームの発信を行なっていると判別するモニタシステム。
9. 複数の端末が接続するネットワークにおいて前記端末から端末に増殖する不正プログラムであるワームの検出を支援する検出支援方法であって、前記ネットワークに接続されたコンピュータが実行する工程として、
   前記端末に動的に割り当てられる変動アドレスと、その端末に固有の情報である端末情報とを、所定のタイミングで繰り返し取得し、時系列で管理する端末情報管理工程と、
   前記端末が発信する通信データに関する情報であって、該通信データについて前記変動アドレスで表わされた送信元アドレスを含む情報である通信情報を取得する通信情報取得工程と、
   前記通信情報により、前記いずれかの端末が前記ワームの発信を行なっているか否かを判断する判断工程と、
   前記ワームの発信を行なっていると前記判断工程で判断した場合は、前記変動アドレスが前記ワームの送信元アドレスに対応する端末情報を、前記端末情報管理工程から抽出する端末情報抽出工程と
   を備えた検出支援方法。
10. 複数の端末が接続するネットワーク内で、前記端末から端末に増殖する不正プログラムであるワームを監視するためのモニタ方法であって、前記ネットワークに接続されたコンピュータが実行する工程として、
    前記端末が発信する通信データと、前記通信データの送信元アドレスと、前記通信データの宛先アドレスとを取得する通信取得工程と、
    前記ワームのパターンファイルを保有する保有工程と、
    前記パターンファイルに基づき、前記通信データに前記ワームが含まれているか否かを判別する即時判別工程と、
    少なくとも前記通信取得工程で取得した前記送信元アドレスと前記宛先アドレスとを、送受信情報として、時系列で管理する通信履歴管理工程と、
    所定の端末が前記ワームの発信を行なっているか否かを、前記通信履歴管理工程で管理する前記送受信情報に基づき、所定のタイミングで繰り返し、所定の基準をもって判別する履歴判別工程と
    を備えたモニタ方法。
11. 複数の端末が接続するネットワークにおいて前記端末から端末に増殖する不正プログラムであるワームの検出を支援するためのコンピュータプログラムであって、
    前記端末に動的に割り当てられる変動アドレスと、その端末に固有の情報である端末情報とを、所定のタイミングで繰り返し取得し、時系列で管理する端末情報管理機能と、
    前記端末が発信する通信データに関する情報であって、該通信データについて前記変動アドレスで表わされた送信元アドレスを含む情報である通信情報を取得する通信情報取得機能と、
    前記通信情報により、前記いずれかの端末が前記ワームの発信を行なっているか否かを判断する判断機能と、
    前記ワームの発信を行なっていると前記判断機能で判断した場合は、前記変動アドレスが前記ワームの送信元アドレスに対応する端末情報を、前記端末情報管理機能から抽出する端末情報抽出機能と
    をコンピュータによって実現するためのコンピュータプログラム。
12. 複数の端末が接続するネットワーク内で、前記端末から端末に増殖する不正プログラムであるワームを監視するためのコンピュータプログラムであって、
    前記端末が発信する通信データと、前記通信データの送信元アドレスと、前記通信データの宛先アドレスとを取得する通信取得機能と、
    前記ワームのパターンファイルを保有する保有機能と、
    前記パターンファイルに基づき、前記通信データに前記ワームが含まれているか否かを判別する即時判別機能と、
    少なくとも前記通信取得機能が取得した前記送信元アドレスと前記宛先アドレスとを、送受信情報として、時系列で管理する通信履歴管理機能と、
    所定の端末が前記ワームの発信を行なっているか否かを、前記通信履歴管理機能が管理する前記送受信情報に基づき、所定のタイミングで繰り返し、所定の基準をもって判別する履歴判別機能と
    をコンピュータによって実現するためのコンピュータプログラム。

Images