JP2007179523A - 悪意データを検出する端末装置及び関連方法 - Google Patents

Abstract

【課題】従来の技術による諸問題を解決するための悪意データを検出する端末装置及び関連方法を提供する。
【解決手段】パケット検出方法は、第一アドレスにある送信元で中間アドレスを経由することなく、パケットを第二アドレスにある端末装置に直接に送信し、端末装置でパケットを受信し、端末装置で受信パケットを再組立てし、端末装置で再組立てされたパケットに応じる処理を行い、端末装置でパケットの宛先アドレスをいずれの中間アドレスに変更せず、第一アドレスと異なった第三アドレスにある宛先に直接に送信するステップを含む。
【選択図】図３

Description

この発明は悪意のデータを検出する端末装置及び関連方法に関し、特に演算及びパケット転送量を減少させる悪意データを検出する端末装置及び関連方法に関する。

情報産業の迅速な発展に伴い、コンピューターの普及はコンピューター同士をつなげるネットワークの発展に火をつけた。そのうち、インターネット（ワールドワイドウェブ（ＷＷＷ）とも称される）は多数のコンピューターユーザーに好んで利用されてきた情報通信媒介の主流である。個人から多国籍企業まで、さまざまなユーザーがインターネットを通して情報を獲得して流通させたり、相互に連絡して会議を開いたりしている。

しかし、コンピューターネットワークの普及に伴って、蔓延しつつある悪意のデータに多数のユーザーが悩まされている。悪意のデータとは、データを任意に破壊して削除したり、権限のない他人に対しシステムの進入を許容したり、データを削除したりすることを目的とするソフトウェアを指し、ウイルス、ワーム、トロイの木馬、キーロガー、スパイウェアなどの種類がある。そのほか、虚偽または詐欺のためのデータ、システムを麻痺させる大量のデータも悪意のデータとされる。インターネットフィッシング、スパムメール、ＳＰＩＴ（インターネット電話スパム）はこの種の悪意データに属する。

悪意のデータは故意に作成されるものが多い。その目的がいたずらであれ計画的な攻撃であれ、いずれも大きな損害を招く。そのうちウイルスとは、コンピューターの実行プログラムを変更して操作を妨害するプログラムである。ウイルスが作動すると、重要なシステムファイル、個人ファイルないしアプリケーションは任意に削除される。のみならず、悪意データは自己複製して、ネットワーク上の複数のコンピューターに感染を広げることもできる。

ウイルスがもたらす損害とその増殖を防ぐため、従来の技術は種々のウイルス対策プログラムを提供している。例えば、特許文献１は、プロキシサーバーを備えたゲートウェイを利用し、ネットワークで送受信するすべてのファイルに対しウイルス検出を行う方法を掲げている。図１を参照する。図１は特許文献１に掲げられたゲートウェイのメモリーのブロック図である。ゲートウェイのメモリー１０はバス１１を通してネットワークに結合され、ＦＴＰ（ファイル転送プロトコル）プロキシサーバー１２と、カーネル１４を有するＯＳ（オペレーティングシステム）１３と、ＳＭＴＰ（簡易メール転送プロトコル）プロキシサーバー１５と、製図またはワープロなどのアプリケーション１６とを含む。ファイルがゲートウェイノードを通過すると、カーネル１４はそのファイルを受信して、ファイルの種類によってパケットの宛先アドレスを変更し、それぞれのプロキシサーバー１２、１５に送信する。例えば、ＦＴＰファイルをＦＴＰプロキシサーバー１２に送信する。ＦＴＰプロキシサーバー１２は、受信ファイルがウイルスを含みうる種類に属するか否かを判断する。安全であると判断すれば、ＦＴＰプロキシサーバー１２はファイルの転送先アドレスを再び変更してカーネル１４に返送する。同じく、ＳＭＴＰプロキシサーバー１５もゲートウェイノードを通過するメッセージがウイルスを含みうる種類に属するかどうかを判断する。

以上の技術はゲートウェイノードのメモリーにプロキシサーバーを設け、ネットワーク上保護されたドメインを通過するデータを検査する。しかし、すべてのパケットを本来の宛先の前に特定のプロキシサーバーに転送しなければならないことは、その欠点である。

そのほか、シグネチャースキャンと呼ばれる従来の技術は、パケットに既知の悪意データに関連するコード断片が含まれるかを検出する。しかし、この方法は現在のところではまだ誤判率が高い。

したがって、前掲の従来の技術に代わるものとして、より効率的に悪意データを検出して削除する方法が求められている。
米国特許第５６２３６００号明細書

この発明は前述の問題を解決するための悪意データを検出する端末装置及び関連方法を提供することを課題とする。

この発明はコンピューターを応用したパケット検出方法を提供する。該方法は、第一アドレスにある送信元で中間アドレスを経由することなく、パケットを第二アドレスにある端末装置に直接に送信し、端末装置でパケットを受信し、端末装置で受信パケットを再組立てし、端末装置で再組立てされたパケットに応じる処理を行い、端末装置でパケットの送信アドレスをいずれの中間アドレスに変更せず、第一アドレスと異なった第三アドレスに直接に送信するステップを含む。

この発明は更に、コンピューターネットワークにおいてパケットを検出する端末装置を提供する。該端末装置は、入力されたパケットを再組立てする再組立てモジュールと、再組立てモジュールに結合され、第一プロトコルを有するパケットを処理する処理モジュールと、処理モジュールに結合され、パケットを調整する調整モジュールとを含む。

この発明は従来のウイルス検出技術におけるプロキシサーバーの機能を、ルーターまたはゲートウェイノードなどの端末装置のカーネルに統合するものである。したがって、パケットを別のアドレスにあるプロキシサーバーに送信してウイルス検出を行い、更にゲートウェイノードのカーネルに返送する必要がなくなり、演算及びパケット転送量はそれによって減少される。なお、この発明は転送量制御、禁止パターン検出などの悪意内容の検出にも適する。

かかる方法及び装置の特徴を詳述するために、具体的な実施例を挙げ、図を参照して以下に説明する。

この発明は、コンピューターネットワークにおいて悪意データを検出する方法を提供する。プロキシサーバーにパケットを送信して悪意データを検出する従来の技術と異なって、この発明は端末装置（例えばゲートウェイノードまたはルーター）のカーネル内で悪意データ検出を行う方法を提供する。

図２を参照する。図２はこの発明によるウイルス検出方法を適用したゲートウェイノードのブロック図である。ゲートウェイノード２０はバス２１を通してコンピューターネットワークと結合され、カーネル２３を備える。カーネル２３は、再組立てモジュール２３１と、異なるプロトコルを有する処理モジュール２３２、２３３、２３４と、調整モジュール２３５を含む。パケットがゲートウェイノード２０を通過すると、再組立てモジュール２３１は受信パケットを再組立てし、パケット種類によってそれぞれの処理モジュールに送信する。例えば、ＳＭＴＰパケットをＳＭＴＰ処理モジュール２３２に送信する。同じく、ＨＴＴＰ（ハイパーテキスト転送プロトコル）パケットとＦＴＰパケットはそれぞれＨＴＴＰ処理モジュール２３３とＦＴＰ処理モジュール２３４に送信される。

パケットは再組立てモジュール２３１で再組立てされたものであるから、処理モジュール２３２、２３３、２３４はこれらのパケットに対して悪意データを検出し、所定の処理を行うことが容易になる。処理モジュールは必要に応じて、ファイルを構成するすべてのパケットが受信されるまで、再組立てされたパケットを待ち行列に入れることができる。そして、悪意データを検出した後の処理は、ユーザーの選択に応じて設定されている。例えば、本来のファイルにウイルス関連表示をつけるか、または感染した部分を削除するか、あるいは感染ファイルを全部削除することが可能である。それに対して、悪意データが検出されなかった場合、処理モジュールはファイルを直接に出力するか、もしくはウイルス未検出の表示をつけて出力することが可能である。調整モジュール２３５は処理モジュール２３２、２３３、２３４からパケット及び／または関連情報を受信し、パケットに対する変更に応じて、パケット（特にヘッダーの部分）の長さまたはＴＣＰウィンドウサイズを調整してから、バス２１を通して本来の宛先に送信する。調整モジュール２３５は本発明を構成する基本的な装置である。

前述によれば、悪意データ検出と関連処理はゲートウェイノードのカーネルに集約して行われるから、パケットをネットワーク上複数の端末装置間、または単一の端末装置にある別のユーザースペースに送信する必要はない。処理モジュールは端末装置（例えばゲートウェイノードまたはルーター）のカーネル内で作動する。そのため、従来の技術と異なり、この発明はパケットの宛先アドレスを変更する必要がないので、演算及びパケット転送量を確実に減少させることができる。なお、この発明による悪意データの検出方法はすべてのゲートウェイノード、ルーターまたは端末装置に適用する。

図３を参照する。図３はこの発明による悪意データを検出する方法のフローチャートである。下記の手順はいずれもこの発明の一例とされる端末装置で実行される。

ステップ３２０において、この発明はパケットがＦＴＰファイル、ＳＭＴＰメッセージまたはＨＴＴＰファイルのいずれに属するかを判断したうえ、それぞれの処理モジュールに送信する。ステップ３４０の内容は変更可能である。例えばその代わりに、感染パケットを含むファイルを全部削除するか、または感染パケットを待ち行列にいれてウイルス検出をユーザーに知らせることをステップ３４０の内容とすることが可能である。

この発明は更にパケット内に特定の内容、例えば禁止パターンまたは悪意の内容が含まれているかどうかを判断するか、または過大のファイルを削除するか、あるいは特定のアドレスからの転送量を制限することができる。特定内容の検出の場合、前記ステップ３３０は「再組立てされたパケットに対し所定のパターンを検出する」に、ステップ３４０は「再組立てされたパケットから所定のパターンを削除し、残余のパケットに削除関連の表示をつけて出力する」にそれぞれ置き換えられる。過大ファイルの削除または転送量制限の場合は、処理モジュールに集計機能を追加することが必要である。

なお、この発明による端末装置は外部装置に結合され外部リソースを利用することが可能である。この場合は必要に応じて、処理モジュールで悪意データに対し事前の処理を行ってから、パケットを外部装置に送信して更なる処理を行う。例えば、ルーターのカーネルで感染した電子メールを予め分離し、更にそれをルーターと結合される関連装置に送信して更なる処理を行う（例えば送信元をブロックする）。これによって、端末装置の機能は拡充される。そのほか、前記とは別のプロトコルに準拠する処理モジュールを増設することも可能である。

前掲の処理モジュールは、種々の作業を担当する複数のユニットからなるものと見てよい。図４を参照する。図４は図１におけるＳＭＴＰ処理モジュール２３２のブロック図である。ＳＭＴＰ処理モジュール２３２は、アプリケーション状態機械２３２１と、待ち行列管理ユニット２３２２と、再送制御ユニット２３２３に分けられる。アプリケーション状態機械２３２１は再組立てモジュールからのパケットを処理するものである。アプリケーション状態機械２３２１に結合される待ち行列管理ユニット２３２２は、アプリケーション状態機械２３２１の指示により入力されたパケットを待ち行列に入れる装置である。再送制御ユニット２３２３はパケットが紛失したときに再送制御を行う。図４はこの発明の一例を示すに過ぎず、この発明を制限するものではない。この発明による方法はハードウェアまたはソフトウェアで実行され、その手順は複数の回路またはプログラムによって実行される。

以上はこの発明に好ましい実施例であって、この発明の実施の範囲を限定するものではない。よって、当業者のなし得る修正、もしくは変更であって、この発明の精神の下においてなされ、この発明に対して均等の効果を有するものは、いずれもこの発明の特許請求の範囲に属するものとする。

この発明は従来のウイルス検出技術におけるプロキシサーバーの機能を、ルーターまたはゲートウェイノードなどの端末装置のカーネルに統合するものである。したがって、パケットを別のアドレスにあるプロキシサーバーに転送してウイルス検出を行い、更にゲートウェイノードのカーネルに返送する必要がなくなり、演算及びパケット転送量はそれによって減少される。なお、この発明は転送量制御、禁止パターン検出などの悪意内容の検出にも適する。

特許文献１に掲げられたゲートウェイのメモリーのブロック図である。 この発明によるウイルス検出方法を適用したゲートウェイノードのブロック図である。 この発明による悪意データを検出する方法のフローチャートである。 図１におけるＳＭＴＰ処理モジュールのブロック図である。

符号の説明

１０ メモリー
１１、２１ バス
１２ ＦＴＰプロキシサーバー
１３ ＯＳ
１４、２３ カーネル
１５ ＳＭＴＰプロキシサーバー
１６ アプリケーション
２０ ゲートウェイノード
２３１ 再組立てモジュール
２３２ ＳＭＴＰ処理モジュール
２３３ ＨＴＴＰ処理モジュール
２３４ ＦＴＰ処理モジュール
２３５ 調整モジュール
２３２１ アプリケーション状態機械
２３２２ 待ち行列管理ユニット
２３２３ 再送制御ユニット

Claims (26)

1. コンピューターを応用したパケット検出方法であって、
   第一アドレスにある送信元は中間アドレスを経由することなく、パケットを第二アドレスにある端末装置に直接に送信し、
   端末装置はパケットを受信し、
   端末装置は受信パケットを再組立てし、
   端末装置は再組立てされたパケットに応じる処理を行い、
   端末装置はパケットをいずれの中間アドレスに送信せず、第一アドレスと異なった第三アドレスにある宛先に直接に送信するステップを含むことを特徴とする方法。
2. 再組立てされたパケットに応じる処理を行う端末装置は、再組立てされたパケットに悪意のデータが含まれるか否かを検出する端末装置であることを特徴とする請求項１記載の方法。
3. 前記方法は、再組立てされたパケットから悪意データが検出されると、端末装置で悪意データの存在を示すコードを前記再組立てされたパケットに付加するステップを更に含むことを特徴とする請求項２記載の方法。
4. 前記方法は、端末装置で再組立てされたパケットから悪意データを削除するステップを更に含むことを特徴とする請求項２記載の方法。
5. 前記方法は、端末装置で悪意データを含んだ再組立てされたパケットを削除するステップを更に含むことを特徴とする請求項２記載の方法。
6. 前記方法は、端末装置で再組立てされたパケットからの検出された悪意データの削除を示す表示を生成するステップを更に含むことを特徴とする請求項４記載の方法。
7. 前記方法は、端末装置で悪意データを含んだパケットを更なる処理のために別の端末装置に送信するステップを更に含むことを特徴とする請求項２記載の方法。
8. 再組立てされたパケットに応じる処理を行う端末装置は、再組立てされたパケットに所定のパターンが含まれるか否かを検出する端末装置であることを特徴とする請求項１記載の方法。
9. 前記方法は、再組立てされたパケットから所定のパターンが検出されると、端末装置で前記所定のパターンの存在を示すコードを前記再組立てされたパケットに付加するステップを更に含むことを特徴とする請求項８記載の方法。
10. 前記方法は、端末装置で再組立てされたパケットから所定のパターンを削除するステップを更に含むことを特徴とする請求項８記載の方法。
11. 前記方法は、端末装置で再組立てされたパケットからの検出された所定のパターンの削除を示す表示を生成するステップを更に含むことを特徴とする請求項１０記載の方法。
12. 再組立てされたパケットに応じる処理を行う端末装置は、再組立てされたパケットを集計する端末装置であることを特徴とする請求項１記載の方法。
13. 再組立てされたパケットに応じる処理を行う端末装置は、再組立てされたパケットを待ち行列に入れる端末装置を含むことを特徴とする請求項１記載の方法。
14. コンピューターネットワークにおいてパケットを検出する端末装置であって、
    入力されたパケットを再組立てする再組立てモジュールと、
    再組立てモジュールに結合され、第一プロトコルを有するパケットを処理する処理モジュールと、
    処理モジュールに結合され、パケットを調整する調整モジュールとを含むことを特徴とする端末装置。
15. 前記処理モジュールは、
    再組立てモジュールに結合され、入力されたパケットを処理する状態機械と、
    状態機械に結合され、前記状態機械からのパケットを待ち行列に入れる待ち行列管理ユニットとを含むことを特徴とする請求項１４記載の端末装置。
16. 前記処理モジュールは更に、状態機械に結合され、パケットの再送を制御する再送制御ユニットを含むことを更に特徴とする請求項１５記載の端末装置。
17. 前記処理モジュールはパケットに悪意のデータが含まれるか否かを検出することを特徴とする請求項１４記載の端末装置。
18. 前記処理モジュールはパケットから検出された悪意データを削除することを特徴とする請求項１７記載の端末装置。
19. 前記処理モジュールは悪意データを含んだパケットを更に削除することを特徴とする請求項１７記載の端末装置。
20. 前記処理モジュールは悪意データの削除を示す表示を更に生成することを特徴とする請求項１７記載の端末装置。
21. 前記処理モジュールはパケットに所定のパターンが含まれるか否かを検出することを特徴とする請求項１４記載の端末装置。
22. 前記処理モジュールはパケットから検出された所定のパターンを更に削除することを特徴とする請求項２１記載の端末装置。
23. 前記処理モジュールは所定のパターンを含んだパケットを更に削除することを特徴とする請求項２１記載の端末装置。
24. 前記処理モジュールは所定のパターンの削除を示す表示を更に生成することを特徴とする請求項２１記載の端末装置。
25. 前記端末装置は、再組立てモジュールに結合され、第二プロトコルを有するデータを処理する別の処理モジュールを更に含むことを特徴とする請求項２１記載の端末装置。
26. 前記再組立てモジュールはパケットの種類に応じて、パケットを複数の処理モジュールのうち一つに出力することを特徴とする請求項２５記載の端末装置。

Images