JP2007264990A - 不正通信の自動通知装置、不正通信の自動通知プログラム - Google Patents

Abstract

【課題】感染端末の利用者に感染の事実などを簡単に伝達することができる不正通信の自動通知装置等を提供する。
【解決手段】ワーム遮断装置２は、ワーム検知装置３５から感染端末１のＩＰアドレスを取得し、受信した通信パケットの送信元アドレスが感染端末１のＩＰアドレスであり、当該通信パケットにおけるアプリケーションの種類が予め設定されたアプリケーションの種類であることが判別された場合に、当該通信パケットの送信先とは異なる通信装置にリダイレクトすると共に、当該通信パケットの送信元の不正な通信を行った通信端末に不正な通信が検出されたことを通知する。
【選択図】図２

Description

本発明は、端末がワームに感染していることが検知された場合に、当該感染を他の端末に拡大されることを防止するために当該端末の利用者に感染の事実を通知する不正通信の自動通知装置、不正通信の自動通知プログラムに関する。

従来より、ウィルス検知技術としては、既知のウィルスについて定義ファイルと呼ばれる特徴情報を記述したデータを予め用意しておき、ウィルスに感染している可能性のあるファイルと定義ファイルとをパターンマッチングするものが知られている。この定義ファイルは、コンピュータウイルスに感染したファイルや、ネットワーク上で自己複製を繰り返すワームプログラムの特徴を収録したファイルであって、アンチウィルスソフト(ワクチンソフト)がコンピュータウイルスやワームを検出するために、定義ファイル内に収録された各ウイルスのパターンが検査対象のファイルと照合されて、パターンとの一致が見られるとそのファイルがウイルスに感染していると判断する。

また、従来から知られているウィルスの一種であるワーム対策としては、例えば、下記の非特許文献１に記載されているようなものも挙げられる。
http://www.nttdata.co.jp/netcom/pdf/nc04_ss_03.pdf

ところで、端末がワームに感染していることが検知された場合、ネットワーク内の他の端末への感染拡大を防ぐために、感染端末の通信を遮断又は制限する必要がある。しかし、通信の遮断や制限を予告なしに行うと、感染端末の利用者は事態の把握ができず適切な行動を取れない。また、感染端末の利用者への通知をネットワーク管理者が行うことで、利用者に事態を把握させることができるが、人手での連絡作業に時間が掛かるという問題がある。

そこで、本発明は、上述した実情に鑑みて提案されたものであり、感染端末の利用者に感染の事実などを簡単に伝達することができる不正通信の自動通知装置、不正通信の自動通知プログラムを提供することを目的とする。

本発明は、不正な通信を検知する不正通信検知手段によって、ネットワークに接続された通信端末が不正な通信をしたことが検知された場合に、当該通信端末に不正な通信を通知する不正通信の自動通知装置であって、上述の課題を解決するために、不正通信検知手段から、当該不正な通信を行った通信端末のネットワーク層の通信アドレスを取得するネットワーク層アドレス取得手段と、受信した通信パケットの送信元アドレスが、ネットワーク層アドレス取得手段で取得されたネットワーク層の通信アドレスである場合に、当該通信パケットに含まれるトランスポート層ヘッダの情報から、アプリケーションの種類を指定する識別子を検出して、当該アプリケーションの種類が、予め設定されたアプリケーションの種類であるかを判別するアプリケーション判別手段と、アプリケーション判別手段によって、アプリケーションの種類が予め設定されたアプリケーションの種類であることが判別された場合に、当該通信パケットの送信先とは異なる通信装置にリダイレクトすると共に、当該通信パケットの送信元の不正な通信を行った通信端末に不正な通信が検出されたことを通知する通知手段とを備える。

本発明は、不正な通信を検知する不正通信検知モジュールによって、ネットワークに接続された通信端末が不正な通信をしたことが検知された場合に、当該通信端末に不正な通信を通知する不正通信の自動通知プログラムであって、上述の課題を解決するために、不正通信検知モジュールから、当該不正な通信を行った通信端末のネットワーク層の通信アドレスを取得するネットワーク層アドレス取得機能と、受信した通信パケットの送信元アドレスが、ネットワーク層アドレス取得機能で取得されたネットワーク層の通信アドレスである場合に、当該通信パケットに含まれるトランスポート層ヘッダの情報から、アプリケーションの種類を指定する識別子を検出して、当該アプリケーションの種類が、予め設定されたアプリケーションの種類であるかを判別するアプリケーション判別機能と、アプリケーション判別機能によって、アプリケーションの種類が予め設定されたアプリケーションの種類であることが判別された場合に、当該通信パケットの送信先とは異なる通信装置にリダイレクトすると共に、当該通信パケットの送信元の不正な通信を行った通信端末に不正な通信が検出されたことを通知する通知機能とをコンピュータに実装させる。

本発明に係る不正通信の自動通知装置、不正通信の自動通知プログラムによれば、不正な通信を行った通信端末のネットワーク層の通信アドレスを取得し、受信した通信パケットの送信元アドレスが不正な通信を行った通信端末のネットワーク層の通信アドレスであり、当該通信パケットのアプリケーションの種類が予め設定されたアプリケーションの種類である場合に、当該通信パケットの送信先とは異なる通信装置にリダイレクトすると共に、当該通信パケットの送信元の不正な通信を行った通信端末に不正な通信が検出されたことを通知するので、不正な通信を行った通信端末の利用者に感染の事実などを簡単に伝達することができる。

以下、本発明の実施の形態について図面を参照して説明する。

本発明は、図１に示すように通信端末１によるＨＴＴＰ（HyperText Transfer Protocol）通信やＰＯＰ３（Post Office Protocol Version 3）通信といった所定種類の通信を傍受でき、図２に示すように、通信端末１がスイッチ３１，ルータ３２，スイッチ３３を介してセグメント外部のメールサーバやウェブサーバ等のサーバ３４と通信する通信システムにおいて、当該通信端末１がワームに感染したことに対して、当該感染した通信端末１（以下、感染端末１と呼ぶ）に、自己が感染していることを通知するワーム遮断装置２に適用される。これによって、ワーム遮断装置２は、感染端末１の利用者に、自己の端末がワームなどに感染していることを通知して、感染端末１の利用者に通信停止、感染の復旧などを促す。なお、ワーム遮断装置２は、感染端末１の通信パケットを全て傍受できなくても、後述するように感染端末１の通信を誘導できるように構成されていても良い。

この感染端末１に対する通知内容としては、図３（ａ）に示すように、Ｗｅｂブラウザのポップアップ表示を利用して、感染端末１がウィルスに感染していることの通知情報、ネットワーク管理者への問い合わせ先情報、ウィルスの詳細情報へのリンク、ワクチンプログラムへのリンクなどを含む。また、メールによって感染端末１に通知をする場合には、図３（ｂ）に示すように、メール本文に感染端末１が感染していることの通知、ネットワーク管理者への問い合わせ先情報を記載すると共に、ワクチンプログラムを添付ファイルとして付加する。このような感染端末１の利用者に対する通知内容は、予め感染端末１の利用者で設定できるとしてもよく、ネットワーク管理者によって設定できるとしても良い。

なお、ワーム遮断装置２は、感染端末１の通信を遮断する機能を有せずとも、感染端末１の感染の事実を利用者に通知する機能のみであっても良い。また、ワーム遮断装置２は、感染端末１から送信される通信データを傍受できる配置となっていればよく、図２のようにスイッチ３１を通過する通信データをコピーして取得する配置が挙げられる。

このような図２に示す通信システムにおいて、ワーム遮断装置２は、管理装置３６から、当該不正な通信を行った感染端末１のネットワーク層通信アドレスであるＩＰアドレスを取得し、傍受している通信パケットの送信元アドレスが、感染端末１のＩＰアドレスである場合に、当該通信パケットに含まれるトランスポート層ヘッダから、通信パケットのアプリケーションの種類を指定する識別子であるポート番号を検出して、当該アプリケーションの種類が、予め設定されたアプリケーションの種類であるかを判別する。アプリケーションの種類が予め設定されたＨＴＴＰやＰＯＰ３など、利用者が頻繁に利用するアプリケーションの種類であることが判別された場合、ワーム遮断装置２は、当該通信パケットの送信先とは異なる通信装置にリダイレクトすると共に、当該通信パケットの送信元の感染端末１に不正な通信が検出されたことを通知することを特徴とし、感染端末１を検知したことに応じて自動的に感染していることの通知等を行う。

この通信システムにおいて、感染端末１のワームの動作としては、サーバ３４に対するポートスキャン、メールサーバ等に対する不正パケットの送信、他の通信端末に対するウィルスを添付ファイルとして含む不正なメールの送信などが挙げられる。

例えば、感染端末１から送信された不正な通信データＳ１は、サーバ３４のＩＰアドレスを宛先とし、スイッチ３１、ルータ３２及びスイッチ３３を経由して、サーバ３４に送信される。すると、ワーム検知装置３５は、スイッチ３３を通過する通信データＳ１をコピーした通信データＳ２を取得し、当該コピーした通信データＳ２が不正な通信データであるか否かを判定する。ワーム検知装置３５は、コピーした通信データＳ２から、感染端末１の特有の振る舞いを検知することによって、感染端末１がワームに感染しているかを検知する。例えば、感染端末１から直接的にネームサービスを受けるＭＸレコードを含む通信データＳ２を検知した場合や、感染していない通信端末などであれば送信されない宛先を含む通信データＳ２を検知した場合に、当該通信データＳ２を送信した感染端末１を検知する。そして、ワーム検知装置３５は、通信データＳ２に含まれるＩＰアドレスを取得し、感染端末１のＩＰアドレスを含むワーム検知報告メッセージＳ３を管理装置３６に通知する。

具体的には、ワーム検知装置３５は、通信データＳ２に含まれるアプリケーションデータの種類を指定するポート番号を取得し、当該ポート番号がホスト名をネットワーク層アドレスに変換するネームサービスのアプリケーションを示すものであり、且つ、当該通信データＳ２のアプリケーションデータに、サーバ３４のネットワーク層アドレスを問い合わせるデータが含まれている場合に、不正にサーバ３４にアクセスしようとしている感染端末１を検知できる。更に他の具体例を挙げると、ワーム検知装置３５は、コンピュータウィルスによって、不正な通信データが配信されることを検知するために、感染端末１に予め正規の設定情報に加えて、ダミーの設定情報を記憶させておき、ワームによる動作によって、ダミーの設定情報を用いて通信データを作成されて送信された場合には、感染端末１がワームに感染していることを判断できる。

管理装置３６は、ネットワーク管理者が運営するサーバであり、ワーム検知装置３５からのワーム検知報告メッセージＳ３を受けて、当該ワーム検知報告メッセージＳ３に含まれる感染端末１のＩＰアドレスを蓄積すると共に、ワーム遮断装置２に通知する。管理装置３６は、ワーム検知報告メッセージＳ３を受信したことに応じて、感染端末１のＩＰアドレスを含む通信遮断命令Ｓ４をワーム遮断装置２に通知する。

このワーム遮断装置２は、その内部構成を図４に示すように、基本ソフトウェアと自動通知アプリケーションがインストールされることによって、基本ソフトウェア処理部１１と、自動通知アプリケーション処理部１２とを備えて構成されている。

基本ソフトウェア処理部１１は、ネットワークと接続された通信インターフェース部２１とＴＣＰ（Transmission Control Protocol）／ＩＰ（Internet Protocol）通信制御部２２とを備える。基本ソフトウェア処理部１１は、スイッチ３１やルータ３２等を介してネットワークから通信データを通信インターフェース部２１で受信すると、ＴＣＰ／ＩＰ通信制御部２２によって、ＴＣＰヘッダのポート番号に応じて自動通知アプリケーション処理部１２に通信データを渡す。また、基本ソフトウェア処理部１１は、自動通知アプリケーション処理部１２からアプリケーションデータが渡されると、ＴＣＰ／ＩＰ通信制御部２２によって、当該アプリケーションデータにＴＣＰヘッダ及びＩＰヘッダを付加して、通信インターフェース部２１からネットワークに送信させる。

ワーム遮断装置２は、図２におけるスイッチ３１を通過する通信データをコピーして傍受するように配置されており、感染端末１から、所定のアプリケーションの通信データを傍受すると、当該通信データを基本ソフトウェア処理部１１で受信できるようになっている。また、ＴＣＰ／ＩＰ通信制御部２２は、外部ネットワークの管理装置３６からの通信遮断命令Ｓ４を自動通知アプリケーション処理部１２に渡す。

自動通知アプリケーション処理部１２は、感染端末１の利用者に、自身の端末が感染していることなどを自動通知する処理を行う。自動通知アプリケーション処理部１２は、リダイレクトモジュール２３と、Ｗｅｂサーバモジュール２４と、メールサーバモジュール２５と、感染端末情報受信部２６と、感染端末情報リスト２７とを備える。

自動通知アプリケーション処理部１２は、基本ソフトウェア処理部１１によって管理装置３６からの通信遮断命令Ｓ４を受信した場合に、通信遮断命令Ｓ４を感染端末情報受信部２６で受信する。感染端末情報受信部２６は、通信遮断命令Ｓ４を受け取ると、通信遮断命令Ｓ４に含まれる感染端末１のＩＰアドレスを感染端末情報リスト２７に追加する。

感染端末情報リスト２７は、記憶媒体に格納されたリストデータであり、通信遮断命令Ｓ４に含まれるＩＰアドレスをリスト化してなる。なお、この感染端末情報リスト２７には、感染端末１と通信するために感染端末１のＩＰアドレスとＭＡＣアドレスとの対応関係、メールアドレス、時刻情報等も記憶していても良い。

このように感染端末情報リスト２７に感染端末１のＩＰアドレスが格納されると、リダイレクトモジュール２３は、感染端末１から送信される通信データのうち、トランスポート層プロトコルがＴＣＰであってウェブサーバへのＨＴＴＰ通信やメールサーバへのＰＯＰ３通信といった所定のアプリケーションの通信データを監視する。リダイレクトモジュール２３は、所定のアプリケーションの通信データの送信元が感染端末１のＩＰアドレスで送信されていることを検知した場合、当該通信データをＷｅｂサーバモジュール２４又はメールサーバモジュール２５に渡す。これらＷｅｂサーバモジュール２４及びメールサーバモジュール２５は、自前のＷｅｂサーバ及びメールサーバとして機能し、感染端末１からの通信データに対して、当該通信データの送信先とは異なる通信装置にリダイレクトする。また、リダイレクトモジュール２３は、予め設定したアプリケーションの種類以外のアプリケーションデータを含む通信データである場合には、当該通信データの送信先に転送するように基本ソフトウェア処理部１１を制御する。

Ｗｅｂサーバモジュール２４は、感染端末１からの通信データのうちＨＴＴＰのポート宛の通信データが渡される。Ｗｅｂサーバモジュール２４は、渡された通信データのアプリケーションデータがＷｅｂページ取得要求である場合、予め設定された図３（ａ）に示す内容を感染端末１の利用者に提示するＷｅｂページの情報を含む通信データを作成して、基本ソフトウェア処理部１１から感染端末１に送信させる。

メールサーバモジュール２５は、感染端末１からの通信データのうちＰＯＰ３のポート宛の通信データが渡される。メールサーバモジュール２５は、渡された通信データのアプリケーションデータがメール受信要求である場合、予め設定された図３（ｂ）に示す内容を感染端末１の利用者に提示するメール本文の情報を含む通信データを作成して、基本ソフトウェア処理部１１から感染端末１に送信させる。このようにメールデータを感染端末１に送信する場合、自動通知アプリケーション処理部１２は、感染端末情報リスト２７に格納された感染端末１のＩＰアドレスを取得した後に、感染端末１によるＰＯＰ３通信を傍受して、ＰＯＰ３通信の通信データから感染端末１のメールデータを取得して感染端末情報リスト２７に追加しておく。

このように、自動通知アプリケーション処理部１２は、所定のアプリケーションの通信データについてはワーム遮断装置２がサーバ３４になりすまして感染端末１と通信でき、感染端末１からの通信データのうち、所定のアプリケーションの種類の通信データについては転送をしないようにする。

このワーム遮断装置２によれば、感染端末１を検知した場合に、当該感染端末１から送信される通信データのうち、利用者が頻繁に利用するようなアプリケーションの種類の通信データについては転送をせずに感染端末１にリダイレクトして、感染端末１の利用者に感染していることを簡単に自動的に通知できる。また、利用者にとっては、自己の端末が感染端末１となった場合に、予告なしに通信遮断、通信制限が行われることなく、感染の事態、対処方法を把握して適切な行動をとれるというメリットがある。更に、ネットワーク管理者にとっては、ワーム遮断装置２によって自動的に感染端末１への通知ができ、人手を煩わすことはない。

また、ワーム遮断装置２は、予め複数種類のメッセージをメールサーバモジュール２５及びＷｅｂサーバモジュール２４に用意しておき、感染端末１のワームやウィルス、その他ネットワーク上のトラブルの種類に応じて、Ｗｅｂページやメールで表示させるメッセージを変化させても良い。更にＷｅｂ画面上にＯＫボタンを設ける設定をしておき、該ＯＫボタンが操作されたことを検知したことに応じてリダイレクトを停止しても良い。ただし、リダイレクトを停止した後には、予め設定したセキュリティポリシーに従って通信制限をかけることになる。

更に、ワーム遮断装置２によって通信遮断命令Ｓ４を受信した後の感染端末１の通信をサーバ３４以外に誘導する場合、自動通知アプリケーション処理部１２は、感染端末１がＤＮＳ（Domain Name System）サーバ（図示せず）にアクセスして通信相手のホスト名からＩＰアドレスを取得する処理、ＩＣＭＰ（Internet Control Message Protocol）の仕組みにおけるＩＣＭＰ Ｒｅｄｉｒｅｃｔメッセージを利用して感染端末１が通信相手のＩＰアドレスから最適経路のルータのＩＰアドレスを取得する処理、ＡＲＰ（Address Resolution Protocol）の仕組みを利用して通信相手のＩＰアドレスからＭＡＣアドレスを取得する処理のうち、何れかによって、感染端末１の通信データを誘導して、不正な通信を遮断する。すなわち、感染端末１からのＤＮＳ問い合わせを受けた場合には、感染端末１が知りたいＩＰアドレスとしてワーム遮断装置２のＩＰアドレスを応答し、感染端末１からのＩＣＭＰ Ｒｅｄｉｒｅｃｔメッセージに対してワーム遮断装置２が最適経路のゲートウェイルータであることを偽装し、感染端末１からのＡＲＰリクエストに対してワーム遮断装置２のＭＡＣアドレスを含むＡＲＰリプライを返信する。これによって、ワーム遮断装置２は、感染端末１からの所定のアプリケーションの種類の通信データを自己宛に誘導できる。

なお、上述の実施の形態は本発明の一例である。このため、本発明は、上述の実施形態に限定されることはなく、この実施の形態以外であっても、本発明に係る技術的思想を逸脱しない範囲であれば、設計等に応じて種々の変更が可能であることは勿論である。

すなわち、上述したワーム遮断装置２は、スイッチ３１と接続された配置を示したが、これに限らず、図５に示すように、スイッチ５１、ブリッジ装置５２，ルータ５３，横付け型機器５４に、ワーム遮断装置２と同じ機能を実装させるための自動通知（通信制御）プログラムをインストールしても、上述の感染状況等を自動的に通知できるという効果を発揮させることができる。特に、通信装置間を接続する通信線、又は、通信装置間で通信される通信データを中継するスイッチ等の中継装置に接続され、当該通信線又は中継装置を通過する通信データを監視する横付け機器としてワーム遮断装置２を構成する場合には、不正な通信を行った通信端末に感染状況等を自動通知する機能をシステムに導入するコスト等を低減できる。

また、上述した実施形態における感染端末１に感染状況等を自動通知する機能は、家電機器群がネットワーク接続されたホームネットワークや、設備装置群がネットワーク接続された設備ネットワークなどにも適用できる。例えば、ホームネットワークに接続されてアプリケーションとしてウェブ機能やメール機能を具備する家電機器がワームに感染した場合であっても、当該家電機器によって不正な通信がなされることを防止することができる。

ここで、ホームネットワークを構築する技術としては、ＥＣＨＯネットの他、エミット（ＥＭＩＴ（Embedded Micro Internetworking Technology））と称される機器組み込み型ネットワーク技術などがあげられる。この組み込み型ネットワーク技術は、ネットワーク機器にＥＭＩＴミドルウェアを組み込んでネットワークに接続できる機能を備え、ＥＭＩＴ技術と称されている。

より具体的には、上述した感染端末１に感染状況等を自動通知する機能を有するワーム遮断装置２，管理装置３６や、スイッチ、ルータ等のネットワーク機器にＥＭＩＴ技術を実現するＥＭＩＴソフトウェアを搭載して、当該ＥＭＩＴソフトウェアを搭載した通信端末や管理装置３６、ワーム遮断装置２と、当該端末、中継装置、横付け機器を遠隔で制御又は監視するユーザ機器とをインターネット上に設けられたセンターサーバ（図示せず）を介して通信接続する。このユーザ機器は、例えば、携帯電話、ＰＣ（Personal Computer）、ＰＤＡ（Personal Digital Assistant）、ＰＨＳ（Personal Handy phone System）等の外部端末（図示せず）である。

本発明を適用したワーム遮断装置を含む通信システムの構成を示すブロック図である。 本発明を適用したワーム遮断装置を含む通信システムの他の一構成例を示すブロック図である。 本発明を適用したワーム遮断装置によって感染端末の利用者に通知するメッセージの一例を示す図である。 本発明を適用したワーム遮断装置の内部構成を示すブロック図である。 本発明を適用したワーム遮断装置が実装される他の形態を説明するための図である。

符号の説明

１ 感染端末
２ ワーム遮断装置
１１ 基本ソフトウェア処理部
１２ 自動通知アプリケーション処理部
２１ 通信インターフェース部
２２ ＴＣＰ／ＩＰ通信制御部
２３ リダイレクトモジュール
２４ Ｗｅｂサーバモジュール
２５ メールサーバモジュール
２６ 感染端末情報受信部
２７ 感染端末情報リスト
３１ スイッチ
３２ ルータ
３３ スイッチ
３４ サーバ
３５ ワーム検知装置
３６ 管理装置

Claims (5)

1. 不正な通信を検知する不正通信検知手段によって、ネットワークに接続された通信端末が不正な通信をしたことが検知された場合に、当該通信端末に不正な通信を通知する不正通信の自動通知装置であって、
   前記不正通信検知手段から、当該不正な通信を行った通信端末のネットワーク層の通信アドレスを取得するネットワーク層アドレス取得手段と、
   受信した通信パケットの送信元アドレスが、前記ネットワーク層アドレス取得手段で取得されたネットワーク層の通信アドレスである場合に、当該通信パケットに含まれるトランスポート層ヘッダの情報から、アプリケーションの種類を指定する識別子を検出して、当該アプリケーションの種類が、予め設定されたアプリケーションの種類であるかを判別するアプリケーション判別手段と、
   前記アプリケーション判別手段によって、アプリケーションの種類が予め設定されたアプリケーションの種類であることが判別された場合に、当該通信パケットの送信先とは異なる通信装置にリダイレクトすると共に、当該通信パケットの送信元の不正な通信を行った通信端末に不正な通信が検出されたことを通知する通知手段と
   を備えることを特徴とする不正通信の自動通知装置。
2. 前記アプリケーション判別手段は、アプリケーションの種類がＨＴＴＰ（HyperText Transfer Protocol）通信を行う要求であるかを判別し、
   前記通知手段は、前記アプリケーション判別手段によってアプリケーションの種類がＨＴＴＰ通信であることが判別された場合に、不正な通信を行った通信端末に、不正な通信が検出されたことを通知するＨＴＴＰデータを送信すること
   を特徴とする請求項１に記載の不正通信の自動通知装置。
3. 前記アプリケーション判別手段は、アプリケーションの種類がメールデータの受信を行う要求であるかを判別し、
   前記通知手段は、前記アプリケーション判別手段によってアプリケーションの種類がメールデータの受信を行う要求であることが判別された場合に、不正な通信を行った通信端末に、不正な通信が検出されたことを通知するメールデータを送信すること
   を特徴とする請求項１に記載の不正通信の自動通知装置。
4. 前記通信端末間を接続する通信線、又は、前記通信端末間で通信される通信パケットを中継する中継装置に接続され、当該通信線又は中継装置を通過する通信パケットを監視する横付け機器からなることを特徴とする請求項１乃至請求項３の何れか一項に記載の不正通信の自動通知装置。
5. 不正な通信を検知する不正通信検知モジュールによって、ネットワークに接続された通信端末が不正な通信をしたことが検知された場合に、当該通信端末に不正な通信を通知する不正通信の自動通知プログラムであって、
   前記不正通信検知モジュールから、当該不正な通信を行った通信端末のネットワーク層の通信アドレスを取得するネットワーク層アドレス取得機能と、
   受信した通信パケットの送信元アドレスが、前記ネットワーク層アドレス取得機能で取得されたネットワーク層の通信アドレスである場合に、当該通信パケットに含まれるトランスポート層ヘッダの情報から、アプリケーションの種類を指定する識別子を検出して、当該アプリケーションの種類が、予め設定されたアプリケーションの種類であるかを判別するアプリケーション判別機能と、
   前記アプリケーション判別機能によって、アプリケーションの種類が予め設定されたアプリケーションの種類であることが判別された場合に、当該通信パケットの送信先とは異なる通信装置にリダイレクトすると共に、当該通信パケットの送信元の不正な通信を行った通信端末に不正な通信が検出されたことを通知する通知機能と
   をコンピュータに実装させることを特徴とする不正通信の自動通知プログラム。

Images