JP2007266957A - アドレス取得装置、アドレス取得プログラム - Google Patents

Abstract

【課題】不正な通信を行った端末のネットワーク層における通信アドレスから容易に当該不正な通信を行った通信端末のＭＡＣアドレスを取得する。
【解決手段】ワーム遮断装置３は、ワーム検知装置３５によって感染端末１が不正な通信をしたことが検知され、通信遮断命令Ｓ４によって感染端末１のＩＰアドレスを取得し、ＩＰアドレスからＭＡＣアドレスを得るためのＡＲＰパケットを取得し、当該ＡＲＰパケットに含まれるＩＰアドレスが、感染端末１のＩＰアドレスである場合に、当該ＡＲＰパケットに含まれるＭＡＣアドレスを取得する。
【選択図】図２

Description

本発明は、端末がワームに感染していることが検知された場合に、当該感染を他の端末に拡大されることを防止するために感染端末のデータリンク層アドレスを取得するアドレス取得装置、アドレス取得プログラムに関する。

従来より、ウィルス検知技術としては、既知のウィルスについて定義ファイルと呼ばれる特徴情報を記述したデータを予め用意しておき、ウィルスに感染している可能性のあるファイルと定義ファイルとをパターンマッチングするものが知られている。この定義ファイルは、コンピュータウイルスに感染したファイルや、ネットワーク上で自己複製を繰り返すワームプログラムの特徴を収録したファイルであって、アンチウィルスソフト(ワクチンソフト)がコンピュータウイルスやワームを検出するために、定義ファイル内に収録された各ウイルスのパターンが検査対象のファイルと照合されて、パターンとの一致が見られるとそのファイルがウイルスに感染していると判断する。

また、従来から知られているウィルスの一種であるワーム対策としては、例えば、下記の非特許文献１に記載されているようなものも挙げられる。
http://www.nttdata.co.jp/netcom/pdf/nc04_ss_03.pdf

上述したワーム（ウィルス）の検知技術によって感染端末を検知すると、従来においては、当該感染端末のアドレス情報などをネットワーク管理者に通知している。その後、ネットワーク管理者によって感染拡大の防止や復旧の指示を与えたるために感染端末を特定する必要があり、利用者端末のＩＰアドレスからＭＡＣアドレスを割り出す必要がある。また、感染した端末に侵入したワームの証拠として、端末のＭＡＣアドレスを取得したいというニーズもある。しかしながら、ネットワーク管理者側でＩＰアドレスとＭＡＣアドレスとの対応関係を作成・維持にはある程度の労力が必要であるといった課題がある。

そこで、本発明は、上述した実情に鑑みて提案されたものであり、不正な通信を行った端末のネットワーク層における通信アドレスから容易に当該不正な通信を行った通信端末のＭＡＣアドレスを取得できるアドレス取得装置、アドレス取得プログラムを提供することを目的とする。

本発明は、不正な通信を検知する不正通信検知手段によって、ネットワークに接続された通信端末が不正な通信をしたことが検知された場合に、当該通信端末のアドレスを取得するアドレス取得装置であって、上述の課題を解決するために、不正通信検知手段から、当該不正な通信を行った通信端末のネットワーク層の通信アドレスを取得するネットワーク層アドレス取得手段と、ネットワーク層の通信アドレスからデータリンク層の通信アドレスを得るために用いられるプロトコルに準拠した通信データを取得し、当該通信データに含まれるネットワーク層の通信アドレスが、ネットワーク層アドレス取得手段で取得した不正な通信を行った通信端末のネットワーク層の通信アドレスである場合に、当該通信データに含まれるデータリンク層の通信アドレスを取得するデータリンク層アドレス取得手段とを備える。

本発明は、不正な通信を検知する不正通信検知モジュールによって、ネットワークに接続された通信端末が不正な通信をしたことが検知された場合に、当該通信端末のアドレスを取得するアドレス取得プログラムであって、上述の課題を解決するために、不正通信検知モジュールから、当該不正な通信を行った通信端末のネットワーク層の通信アドレスを取得するネットワーク層アドレス取得機能と、ネットワーク層の通信アドレスからデータリンク層の通信アドレスを得るために用いられるプロトコルに準拠した通信データを取得し、当該通信データに含まれるネットワーク層の通信アドレスが、ネットワーク層アドレス取得機能で取得した不正な通信を行った通信端末のネットワーク層の通信アドレスである場合に、当該通信データに含まれるデータリンク層の通信アドレスを取得するデータリンク層アドレス取得機能とをコンピュータに実装させる。

本発明に係るアドレス取得装置、アドレス取得プログラムによれば、不正な通信を行った通信端末のネットワーク層の通信アドレスを取得し、ネットワーク層の通信アドレスからデータリンク層の通信アドレスを得るために用いられるプロトコルに準拠した通信データによって不正な通信を行った通信端末のネットワーク層の通信アドレスを取得できるので、不正な通信を行った端末のネットワーク層における通信アドレスから容易に当該不正な通信を行った通信端末のデータリンク層のアドレスを取得できる。

以下、本発明の実施の形態について図面を参照して説明する。

本発明は、図１に示すように通信端末１がスイッチ２を介して同一セグメント内で通信する場合であって、図２に示すように、通信端末１がスイッチ３１，ルータ３２，スイッチ３３を介してセグメント外部のメールサーバやウェブサーバ等のサーバ３４と通信する通信システムにおいて、当該通信端末１がワームに感染したことに対して、当該感染した通信端末１（以下、感染端末１と呼ぶ）のデータリンク層アドレスであるＭＡＣ（Media Access Control）アドレスを取得するワーム遮断装置３に適用される。このワーム遮断装置３は、取得したＭＡＣアドレスをネットワーク管理者が操作するネットワーク管理者端末４に通知する。これによって、ワーム遮断装置３は、ネットワーク管理者端末４に感染端末１のＩＰアドレスとＭＡＣアドレスとを対応付けて記憶させて、感染端末１の特定を確実にする。

このワーム遮断装置３は、図２に示すように、ワーム検知装置３５及び管理装置３６（不正通信検知手段）でワームによる不正な通信の検知がなされたことが通知された場合に、当該感染端末１のＭＡＣアドレスを取得してネットワーク管理者端末４に通知すると共に、当該ワームによる感染活動を遮断する。

なお、ワーム遮断装置３は、感染端末１の通信を遮断する機能を有せずとも、感染端末１のＭＡＣアドレスを取得してネットワーク管理者端末４に通知する機能のみであっても良い。また、ワーム遮断装置３は、感染端末１から送信される通信データを傍受できる配置となっていればよく、図１及び図２のようにスイッチ２、スイッチ３１を通過する通信データをコピーして取得する配置が挙げられる。

このような図１及び図２に示す通信システムにおいて、ワーム遮断装置３は、管理装置３６から、当該不正な通信を行った感染端末１のネットワーク層通信アドレスであるＩＰアドレスを取得し、ＡＲＰ（Address Resolution Protocol）を利用して感染端末１から送信された通信データを取得し、当該通信データに含まれるＩＰアドレスが、感染端末１のＩＰアドレスである場合に、当該通信データに含まれるＭＡＣアドレス、又は、以前にＡＲＰの仕組みによって検知した通信データから割り出した感染端末１のＩＰアドレスに対応したＭＡＣアドレスを取得することを特徴とするものである。

このような通信システムにおいて、感染端末１のワームの動作としては、サーバ３４に対するポートスキャン、メールサーバ等に対する不正パケットの送信、他の通信端末に対するウィルスを添付ファイルとして含む不正なメールの送信などが挙げられる。

例えば、感染端末１から送信された不正な通信データＳ１は、サーバ３４のＩＰアドレスを宛先とし、スイッチ３１、ルータ３２及びスイッチ３３を経由して、サーバ３４に送信される。すると、ワーム検知装置３５は、スイッチ３３を通過する通信データＳ１をコピーした通信データＳ２を取得し、当該コピーした通信データＳ２が不正な通信データであるか否かを判定する。ワーム検知装置３５は、コピーした通信データＳ２から、感染端末１の特有の振る舞いを検知することによって、感染端末１がワームに感染しているかを検知する。例えば、感染端末１から直接的にネームサービスを受けるＭＸレコードを含む通信データＳ２を検知した場合や、感染していない通信端末などであれば送信されない宛先を含む通信データＳ２を検知した場合に、当該通信データＳ２を送信した感染端末１を検知する。そして、ワーム検知装置３５は、通信データＳ２に含まれるＩＰアドレスを取得し、感染端末１のＩＰアドレスを含むワーム検知報告メッセージＳ３を管理装置３６に通知する。

具体的には、ワーム検知装置３５は、通信データＳ２に含まれるアプリケーションデータの種類を指定するポート番号を取得し、当該ポート番号がホスト名をネットワーク層アドレスに変換するネームサービスのアプリケーションを示すものであり、且つ、当該通信データＳ２のアプリケーションデータに、サーバ３４のネットワーク層アドレスを問い合わせるデータが含まれている場合に、不正にサーバ３４にアクセスしようとしている感染端末１を検知できる。更に他の具体例を挙げると、ワーム検知装置３５は、コンピュータウィルスによって、不正な通信データが配信されることを検知するために、感染端末１に予め正規の設定情報に加えて、ダミーの設定情報を記憶させておき、ワームによる動作によって、ダミーの設定情報を用いて通信データを作成されて送信された場合には、感染端末１がワームに感染していることを判断できる。

管理装置３６は、ネットワーク管理者が運営するサーバであり、ワーム検知装置３５からのワーム検知報告メッセージＳ３を受けて、当該ワーム検知報告メッセージＳ３に含まれる感染端末１のＩＰアドレスを蓄積すると共に、ネットワーク管理者端末４に通知する。管理装置３６は、ワーム検知報告メッセージＳ３を受信したことに応じて、感染端末１のＩＰアドレスを含む通信遮断命令Ｓ４をワーム遮断装置３に通知する。

このワーム遮断装置３は、その内部構成を図３に示すように、基本ソフトウェアとＭＡＣアドレス取得アプリケーションがインストールされることによって、基本ソフトウェア処理部１１と、ＭＡＣアドレス取得アプリケーション処理部１２とを備えて構成されている。

基本ソフトウェア処理部１１は、ネットワークと接続された通信インターフェース部２１とＴＣＰ（Transmission Control Protocol）／ＩＰ（Internet Protocol）通信制御部２２とを備える。基本ソフトウェア処理部１１は、スイッチ３１やルータ３２等を介してネットワークから通信データを通信インターフェース部２１で受信すると、ＴＣＰ／ＩＰ通信制御部２２によって、ＴＣＰヘッダのポート番号に応じてＭＡＣアドレス取得アプリケーション処理部１２に通信データを渡す。また、基本ソフトウェア処理部１１は、ＭＡＣアドレス取得アプリケーション処理部１２からアプリケーションデータが渡されると、ＴＣＰ／ＩＰ通信制御部２２によって、当該アプリケーションデータにＴＣＰヘッダ及びＩＰヘッダを付加して、通信インターフェース部２１からネットワークに送信させる。

ワーム遮断装置３は、図１及び図２におけるスイッチ３１を通過する通信データをコピーして傍受するように配置されており、図１に示すように、感染端末１から、ＩＰアドレス（ネットワーク層の通信アドレス）からＭＡＣアドレス（データリンク層の通信アドレス）を得るためのＡＲＰリクエストが同一セグメント内でブロードキャストされると、当該ＡＲＰリクエストを基本ソフトウェア処理部１１で受信できるようになっている。ＴＣＰ／ＩＰ通信制御部２２は、外部ネットワークの管理装置３６からの通信遮断命令Ｓ４、及び、ＡＲＰリクエストに含まれるデータをＭＡＣアドレス取得アプリケーション処理部１２に渡す。

ＭＡＣアドレス取得アプリケーション処理部１２は、感染端末１のＭＡＣアドレスを取得するための処理を行う。ＭＡＣアドレス取得アプリケーション処理部１２は、ＡＲＰパケット解析部２３と、ＭＡＣアドレス情報送信部２４と、感染端末情報受信部２５と、ＩＰ／ＭＡＣアドレス対応リスト２６とを備える。

ＡＲＰパケット解析部２３は、通信遮断命令Ｓ４をワーム遮断装置３で受信していない通常時、ＴＣＰ／ＩＰ通信制御部２２から渡されたＡＲＰパケットに含まれるＩＰアドレス及びＭＡＣアドレスを取り出して、ＩＰ／ＭＡＣアドレス対応リスト２６に格納する。

ＩＰ／ＭＡＣアドレス対応リスト２６は、記憶媒体に格納されたリストデータであり、ＡＲＰパケット解析部２３で取得したＩＰアドレスとＭＡＣアドレスとの対応関係を同一セグメントに存在する通信機器ごとに記憶している。このＩＰ／ＭＡＣアドレス対応リスト２６は、ＡＲＰパケット解析部２３で取得した感染端末１のＩＰアドレスに感染端末１のＭＡＣアドレス、時刻情報などが対応付けられる。このＩＰ／ＭＡＣアドレス対応リスト２６は、同一セグメント内の通信機器が所定期間毎にＡＲＰリクエストをブロードキャストするごとに動的に更新される。

ＭＡＣアドレス取得アプリケーション処理部１２は、基本ソフトウェア処理部１１によって管理装置３６からの通信遮断命令Ｓ４を受信した場合に、通信遮断命令Ｓ４を感染端末情報受信部２５で受信する。感染端末情報受信部２５は、通信遮断命令Ｓ４を受け取ると、通信遮断命令Ｓ４に含まれる感染端末１のＩＰアドレスをＭＡＣアドレス情報送信部２４に渡す。

ＭＡＣアドレス情報送信部２４は、ＩＰ／ＭＡＣアドレス対応リスト２６に、感染端末情報受信部２５から通知された感染端末１のＩＰアドレスが格納されているか否かを判定する。そして、ＭＡＣアドレス情報送信部２４は、感染端末１のＩＰアドレスが格納されている場合には、当該感染端末１のＩＰアドレスに対応したＭＡＣアドレスをＩＰ／ＭＡＣアドレス対応リスト２６から取り出して、感染端末１のＭＡＣアドレスを取得し、基本ソフトウェア処理部１１を介してネットワーク管理者端末４に送信させる。このとき、ＭＡＣアドレス情報送信部２４は、通信遮断命令Ｓ４を感染端末情報受信部２５で受信した時刻と、ＩＰ／ＭＡＣアドレス対応リスト２６に格納された感染端末１のＩＰアドレスに対応したＭＡＣアドレスを取得した時刻情報とを比較して、通信遮断命令Ｓ４を受信した時刻より以前に取得した感染端末１のＭＡＣアドレスをネットワーク管理者端末４に通知する。

このように、ワーム遮断装置３によれば、ＡＲＰを利用して、同一セグメント内に存在する通信機器のＩＰアドレスとＭＡＣアドレスとの対応表であるＩＰ／ＭＡＣアドレス対応リスト２６を作成しておき、通信遮断命令Ｓ４に含まれるＩＰアドレスがＩＰ／ＭＡＣアドレス対応リスト２６に登録されている場合には、当該ＩＰアドレスに対応したＭＡＣアドレスを感染端末１のＭＡＣアドレスとしてネットワーク管理者端末４に通知することができる。このように、ワーム遮断装置３によって感染端末１のＭＡＣアドレスを簡単に取得できる。

したがって、ネットワーク管理者端末４が感染端末１の感染活動を停止又は修復する場合に、即座に感染端末１を特定してアクセスすることができる。また、ネットワーク管理者端末４によって通信機器のＩＰアドレスに対応したＭＡＣアドレスを常に把握しておく必要がない。

また、ワーム遮断装置３は、感染端末１のＭＡＣアドレスを取得する他の処理として、自らＡＲＰリクエストをブロードキャストしたことに対するＡＲＰリプライによって、感染端末１のＭＡＣアドレスを取得しても良い。

ワーム遮断装置３は、管理装置３６から通信遮断命令Ｓ４が送信されて感染端末１のＩＰアドレスが通知された場合に、ＭＡＣアドレス取得アプリケーション処理部１２によって基本ソフトウェア処理部１１からＡＲＰリクエストをブロードキャストする。そして、感染端末１がワーム遮断装置３と同一セグメントに存在する場合には、感染端末１からのＡＲＰリプライをＡＲＰパケット解析部２３によって受信することができる。ＡＲＰパケット解析部２３は、ＡＲＰリプライに感染端末１のＩＰアドレスが格納されていることを解析すると、当該ＡＲＰリプライに含まれるＭＡＣアドレスをＭＡＣアドレス情報送信部２４に通知する。これによって、ＭＡＣアドレス情報送信部２４は、感染端末１のＭＡＣアドレスをネットワーク管理者端末４に通知することができる。

このような処理によっても、ワーム遮断装置３は、感染端末１のＩＰアドレスに対応したＭＡＣアドレスを簡単に取得してネットワーク管理者端末４に通知できる。

また、ワーム遮断装置３によって感染端末１のＩＰアドレス及びＭＡＣアドレスを取得した場合には、ＡＲＰの仕組みを利用して感染端末１の通信を遮断しても良い。例えば、通信遮断命令Ｓ４が通知された場合に、ネットワークにおいて重要な機能を持つサーバ３４のＭＡＣアドレスが感染端末１に通知されることを回避するために、ワーム遮断装置３自体のＭＡＣアドレス又は感染端末１と通信しても良い他の通信装置のＭＡＣアドレスを含む偽装したＡＲＰパケットを生成する。これによって、感染端末１に、サーバ３４であると偽装したＭＡＣアドレスを含むＡＲＰテーブルを作成させて、以降の感染端末１からの通信データをサーバ３４ではなく自己又は他の通信装置に誘導できる。

なお、上述の実施の形態は本発明の一例である。このため、本発明は、上述の実施形態に限定されることはなく、この実施の形態以外であっても、本発明に係る技術的思想を逸脱しない範囲であれば、設計等に応じて種々の変更が可能であることは勿論である。

すなわち、上述したワーム遮断装置３は、スイッチ２，３１と接続された配置を示したが、これに限らず、図４に示すように、感染端末１と同じセグメント内であれば、スイッチ５１、ブリッジ装置５２，ルータ５３，横付け型機器５４に、ワーム遮断装置３と同じ機能を実装させるためのアドレス取得プログラムをインストールしても、上述の不正な通信を行った通信端末による感染活動のＭＡＣアドレスを簡単に取得できるという効果を発揮させることができる。特に、通信装置間を接続する通信線、又は、通信装置間で通信される通信データを中継するスイッチ等の中継装置に接続され、当該通信線又は中継装置を通過する通信データを監視する横付け機器としてワーム遮断装置３を構成する場合には、不正な通信を行った通信端末のＭＡＣアドレスを取得する機能をシステムに導入するコスト等を低減できる。

また、上述した実施形態における感染端末１のＭＡＣアドレスを取得する機能は、家電機器群がネットワーク接続されたホームネットワークや、設備装置群がネットワーク接続された設備ネットワークなどにも適用できる。例えば、ホームネットワークに接続されてアプリケーションとしてウェブ機能やメール機能を具備する家電機器がワームに感染した場合であっても、当該家電機器によって不正な通信がなされることを防止することができる。

ここで、ホームネットワークを構築する技術としては、ＥＣＨＯネットの他、エミット（ＥＭＩＴ（Embedded Micro Internetworking Technology））と称される機器組み込み型ネットワーク技術などがあげられる。この組み込み型ネットワーク技術は、ネットワーク機器にＥＭＩＴミドルウェアを組み込んでネットワークに接続できる機能を備え、ＥＭＩＴ技術と称されている。

より具体的には、上述した感染端末１のＭＡＣアドレスを取得する機能を有するワーム遮断装置３，管理装置３６や、スイッチ、ルータ等のネットワーク機器にＥＭＩＴ技術を実現するＥＭＩＴソフトウェアを搭載して、当該ＥＭＩＴソフトウェアを搭載した通信端末や管理装置３６、ワーム遮断装置３と、当該端末、中継装置、横付け機器を遠隔で制御又は監視するユーザ機器とをインターネット上に設けられたセンターサーバ（図示せず）を介して通信接続する。このユーザ機器は、例えば、携帯電話、ＰＣ（Personal Computer）、ＰＤＡ（Personal Digital Assistant）、ＰＨＳ（Personal Handy phone System）等の外部端末（図示せず）である。

本発明を適用したワーム遮断装置を含む通信システムの構成を示すブロック図である。 本発明を適用したワーム遮断装置を含む通信システムの他の一構成例を示すブロック図である。 本発明を適用したワーム遮断装置の内部構成を示すブロック図である。 本発明を適用したワーム遮断装置が実装される他の形態を説明するための図である。

符号の説明

１ 感染端末
２ スイッチ
３ ワーム遮断装置
４ ネットワーク管理者端末
１１ 基本ソフトウェア処理部
１２ ＭＡＣアドレス取得アプリケーション処理部
２１ 通信インターフェース部
２２ 通信制御部
２３ ＡＲＰパケット解析部
２４ ＭＡＣアドレス情報送信部
２５ 感染端末情報受信部
２６ ＩＰ／ＭＡＣアドレス対応リスト
３１ スイッチ
３２ ルータ
３３ スイッチ
３４ サーバ
３５ ワーム検知装置
３６ 管理装置

Claims (5)

1. 不正な通信を検知する不正通信検知手段によって、ネットワークに接続された通信端末が不正な通信をしたことが検知された場合に、当該通信端末のアドレスを取得するアドレス取得装置であって、
   前記不正通信検知手段から、当該不正な通信を行った通信端末のネットワーク層の通信アドレスを取得するネットワーク層アドレス取得手段と、
   ネットワーク層の通信アドレスからデータリンク層の通信アドレスを得るために用いられるプロトコルに準拠した通信データを取得し、当該通信データに含まれるネットワーク層の通信アドレスが、前記ネットワーク層アドレス取得手段で取得した前記不正な通信を行った通信端末のネットワーク層の通信アドレスである場合に、当該通信データに含まれるデータリンク層の通信アドレスを取得するデータリンク層アドレス取得手段と
   を備えることを特徴とするアドレス取得装置。
2. 前記データリンク層アドレス取得手段は、同一サブネット内で通信されるネットワーク層の通信アドレスからデータリンク層の通信アドレスを得るために用いられるプロトコルに準拠した通信データを監視して、当該サブネット内に存在する通信装置のデータリンク層の通信アドレスとネットワーク層の通信アドレスとの対応関係を保持しておき、前記ネットワーク層アドレス取得手段によって不正な通信を行った通信端末のネットワーク層の通信アドレスが取得された場合に、当該ネットワーク層の通信アドレスに対応したデータリンク層の通信アドレスを前記対応関係を参照して取得することを特徴とする請求項１に記載のアドレス取得装置。
3. 前記データリンク層アドレス取得手段は、前記ネットワーク層アドレス取得手段によって不正な通信を行った通信端末のネットワーク層の通信アドレスが取得された場合に、当該ネットワーク層の通信アドレスが付与された通信端末のデータリンク層の通信アドレスを要求する通信データを送信し、当該通信データに対する応答である通信データから、前記不正な通信を行った通信端末のデータリンク層の通信アドレスを取得することを特徴とする請求項１に記載のアドレス取得装置。
4. 前記通信端末間を接続する通信線、又は、前記通信端末間で通信される通信データを中継する中継装置に接続され、当該通信線又は中継装置を通過する通信データを監視する横付け機器からなることを特徴とする請求項１乃至請求項３の何れか一項に記載のアドレス取得装置。
5. 不正な通信を検知する不正通信検知モジュールによって、ネットワークに接続された通信端末が不正な通信をしたことが検知された場合に、当該通信端末のアドレスを取得するアドレス取得プログラムであって、
   前記不正通信検知モジュールから、当該不正な通信を行った通信端末のネットワーク層の通信アドレスを取得するネットワーク層アドレス取得機能と、
   ネットワーク層の通信アドレスからデータリンク層の通信アドレスを得るために用いられるプロトコルに準拠した通信データを取得し、当該通信データに含まれるネットワーク層の通信アドレスが、前記ネットワーク層アドレス取得機能で取得した前記不正な通信を行った通信端末のネットワーク層の通信アドレスである場合に、当該通信データに含まれるデータリンク層の通信アドレスを取得するデータリンク層アドレス取得機能と
   をコンピュータに実装させることを特徴とするアドレス取得プログラム。

Images