JP2008135984A - ウィルス感染監視装置およびプログラム - Google Patents

Abstract

【課題】ネットワーク上の個々の機器にウィルス検出ソフトウェアをインストールすることなく、ネットワークセグメントを単位に、ネットワーク上のウィルス感染機器を検出できるウィルス感染監視装置を提供する。
【解決手段】解析部１２２は、パケット受信部１２１が受信したＡＲＰリクエストの内容からアクセス元およびアクセス先のＩＰアドレスを取得する処理機能と、取得したアクセス先のＩＰアドレスがネットワーク内ＩＰアドレスリスト１５に存在しないとき、このネットワーク内ＩＰアドレスリスト１５に存在しないアクセスが継続する回数を、送信元のＩＰアドレス毎にカウンタ部１３により計数し保持する処理機能と、カウンタ部１３の計数値をもとに、ネットワーク内ＩＰアドレスリスト１５に存在しないＩＰアドレスへのアクセスを試みている機器を特定し、当該機器をウィルス感染機器とみなす処理機能とを実現する。
【選択図】 図２

Description

本発明は、ネットワークセグメント上に接続された機器を対象にウィルス感染機器を検出するウィルス感染監視装置およびプログラムに関する。

ネットワーク上に於ける従来のウィルス検出は、ネットワークの入り口にあるゲートウェイ、若しくはネットワーク上の個々のクライアント機器に、ウィルス検出ソフトウェアをインストールし、このウィルス検出ソフトウェアを起動して、パケットの通過、受信時に、当該受信パケットのデータにウィルスのパターンが含まれているかをチェックしていた。

ネットワーク上の個々のコンピュータ機器にウィルス検出ソフトウェアをインストールする技術として、従来では、ｎ台の監視操作用コンピュータと、このコンピュータの監視操作対象となるｍ台のプロセスコントロールステーションとをそれぞれネットワーク上に接続したプロセス制御システムにおいて、上記各監視操作用コンピュータに、定期的にウィルスチェックプログラムを起動させ、ウィルスが検出されたとき、ウィルス検出メッセージを生成する、ウィルスチェック機能を備えた装置技術が存在する。
特開平１０−４００９７号公報

上記したネットワーク上に於ける従来のウィルス検出技術のうち、ゲートウェイにて、ウィルスを検出する場合、ウィルスに犯された機器がネットワーク内に直接、接続されると、ネットワーク内の機器は、上記ウィルスに対して無防備であるため、ウィルスに感染してしまうという問題があった。

また、ネットワーク上の個々の機器でウィルスを検出する場合、ネットワーク上の個々の機器にウィルス検出ソフトウェアをインストールする必要があるとともに、当該機器各々の処理負荷が増大するという問題があった。

本発明は、ネットワーク上の個々の機器にウィルス検出ソフトウェアをインストールすることなく、ネットワークセグメントを単位に、ネットワーク上のウィルス感染機器を検出できるウィルス感染監視装置およびプログラムを提供することを目的とする。

本発明は、ネットワークセグメントに接続された機器各々のＩＰアドレスを登録したＩＰアドレスリストと、前記機器が前記ネットワークセグメント内の他の機器にアクセスを要求する都度、前記ＩＰアドレスリストに登録されたＩＰアドレスとをもとに、前記アクセスを要求した機器のアクセス先ＩＰアドレスを監視して、前記ＩＰアドレスリストに存在しないＩＰアドレスへのアクセスを試みている機器を検索し、当該検索した機器をウィルス感染機器とみなす監視処理手段とを具備したウィルス感染監視装置を提供する。

また、本発明は、ネットワークセグメント上に存在するウィルス感染機器を監視する機能を実現するコンピュータに、前記ネットワークセグメントに接続された機器各々のＩＰアドレスを管理するＩＰアドレスの管理機能と、前記ネットワークセグメントに接続された機器が前記ネットワークセグメントに接続された他の機器にアクセスを要求する都度、前記ＩＰアドレスの管理機能が管理するＩＰアドレスとをもとに、前記アクセスを要求した機器のアクセス先ＩＰアドレスを監視して、前記ＩＰアドレスの管理機能が管理していないＩＰアドレスへのアクセスを試みている機器を特定し、当該機器をウィルス感染機器とみなす監視機能とを実現させるためのプログラムを提供する。

本発明によれば、ネットワーク上の個々の機器にウィルス検出ソフトウェアをインストールすることなく、ネットワークセグメントを単位に、ネットワーク上のウィルス感染機器を検出することができる。

本発明は、ネットワークセグメントを対象に、ネットワークに接続された機器から送出されるＡＲＰ（address resolution protocol）リクエストを継続的に採取し監視することによって、ネットワーク内に存在しないＩＰアドレスへ接続を試みる機器（例えば、昇順、降順、もしくはランダムにＩＰアドレスを生成して、同一セグメント内の機器に接続を試みる機器）を検索し、当該機器をウィルス感染機器とみなす機能をもつウィルス感染監視装置を設ける。これによりネットワークセグメントに接続される個々のクライアント機器にウィルス検出ソフトウェアをインストールすることなく、またウィルス感染機器を検出するための特別なコマンド生成等を一切必要とせずに、ウィルス感染機器を検出することができる。

以下図面を参照して本発明の実施形態を説明する。先ず、図１乃至図４を参照して本発明の第１実施形態を説明する。

本発明の第１および第２実施形態に係るウィルス感染監視装置を備えたネットワークシステムの構成例を図１に示す。

本発明の実施形態に係るウィルス感染監視装置１０は、ウィルス感染機器の検出機能を必要とするネットワークセグメント１を対象に設けられる。ネットワークセグメント１には、ウィルス感染監視装置１０の監視対象として、任意の複数の機器が接続可能である。ここでは複数のパーソナルコンピュータ（ＰＣ）２１，２２，２３，２４が、ウィルス感染監視装置１０の監視対象にある機器として、ウィルス感染監視装置１０とともにネットワークセグメント１上に接続されている。なお、この実施形態で対象としているネットワークセグメント１はサブネットと同義であり、通常のネットワークシステムと同様に、ルーター等の中継装置を介在してセグメント相互の間が物理的に接続される。

ネットワークセグメント１に設けられたウィルス感染監視装置１０は、機器（ＰＣ）２１，２２，２３，２４と同様に、プログラム処理を実行するパーソナルコンピュータ等の機器により実現される。

ウィルス感染監視装置１０には、プログラム処理の実行対象として、図２に示すように、記憶部１１に、監視プログラム１２、カウンタ部１３、履歴部１４、およびネットワーク内ＩＰアドレスリスト１５等が設けられる。

監視プログラム１２は、カウンタ部１３、履歴部１４、およびネットワーク内ＩＰアドレスリスト１５等を用いて、ネットワークセグメント１に接続された、すべての機器（ＰＣ）２１，２２，２３，２４を監視対象として、ＡＲＰリクエスト（ＡＲＰリクエストパケットのブロードキャスト）を継続的に採取し監視して、ネットワークセグメント１内に存在しないＩＰアドレスへ接続を試みる機器（ＰＣ）をウィルス感染機器として検出する機能を実現する。

この監視プログラム１２は、パケット受信部１２１と、解析部１２２とを具備して構成される。パケット受信部１２１はネットワークセグメント１上に送出されたＡＲＰリクエストのブロードキャストを受信する処理機能を実現する。また解析部１２２はネットワークセグメント１に接続された機器各々のＩＰアドレスを管理するＩＰアドレスの管理機能と、ネットワークセグメント１に接続された機器がネットワークセグメント１に接続された他の機器にアクセスを要求する都度、上記ＩＰアドレスの管理機能が管理するＩＰアドレスをもとに、アクセスを要求した機器のアクセス先ＩＰアドレスを監視して、ＩＰアドレスの管理機能が管理していないＩＰアドレスへのアクセスを試みている機器を特定し、当該機器をウィルス感染機器とみなす監視機能とを実現するもので、以下の処理機能を有する。

解析部１２２は、パケット受信部１２１が受信したＡＲＰリクエストの内容からアクセス元およびアクセス先のＩＰアドレスを取得する処理機能と、上記取得したアクセス先のＩＰアドレスがネットワーク内ＩＰアドレスリスト１５に存在しないとき、このネットワーク内ＩＰアドレスリスト１５に存在しないアクセスが継続する回数を、送信元のＩＰアドレス毎にカウンタ部１３により計数し保持する処理機能と、上記取得したアクセス先のＩＰアドレスがネットワーク内ＩＰアドレスリスト１５に存在するとき、アクセス先のＩＰアドレスをアクセス元のＩＰアドレス毎に履歴部１４に記録する処理機能と、上記カウンタ部１３の計数値をもとに、ネットワーク内ＩＰアドレスリスト１５に存在しないＩＰアドレスへのアクセスを試みている機器を特定し、当該機器をウィルス感染機器とみなす処理機能とを実現する。この監視プログラム１２の第１実施形態における処理手順を図３に示している。

カウンタ部１３は、解析部１２２によりカウント制御されるもので、ネットワークセグメント１内において、当該ネットワークセグメント１に存在しないＩＰアドレスへ接続を試みる機器（ＰＣ）が存在するとき、そのアクセス回数を送信元（リクエスト元）のＩＰアドレス毎に保持する。

履歴部１４は、解析部１２２の制御の下にアクセス履歴を記録するもので、送信元（リクエスト元）のＩＰアドレス毎に、送信先（リクエスト先）のＩＰアドレスをアクセス履歴として記録する。

ネットワーク内ＩＰアドレスリスト１５は、ネットワークセグメント１に接続された機器（ＰＣ）２１，２２，２３，２４各々のＩＰアドレスを記録している。本発明の第１実施形態では、このネットワーク内ＩＰアドレスリスト１５に、上記機器（ＰＣ）２１，２２，２３，２４各々のＩＰアドレスが予め固定的若しくは定期的に登録されるものとする。

本発明の第１実施形態に係るウィルス感染監視装置１０のウィルス感染監視処理機能を図３に示すフローチャートを参照して説明する。

ネットワークセグメント１に接続されたウィルス感染監視装置１０は、監視プログラム１２に従い、図３に示す処理手順に従いウィルス感染監視処理を実行する。

ネットワークセグメント１上に接続された機器（ＰＣ）２１，２２，２３，２４は、機器相互間の通信に際してＡＲＰリクエストのブロードキャストをネットワークセグメント１上に送出する。

パケット受信部１２１は、ネットワークセグメント１上の機器（例えばＰＣ２１）から送出されたＡＲＰリクエスト（ＡＲＰリクエストパケットのブロードキャスト）を受信すると、当該パケットの内容を解析部１２２に送出する（ステップＳ１０，Ｓ１１）。

解析部１２２は、パケット受信部１２１からＡＲＰリクエストを受けると、当該ＡＲＰリクエストの内容からリクエスト元（アクセス元）およびリクエスト先（アクセス先）の各ＩＰアドレスを取得し、リクエスト先のＩＰアドレスが、ネットワーク内ＩＰアドレスリスト１５に存在するか否かを判断する（ステップＳ１２）。

ここで、上記リクエスト先のＩＰアドレスが、ネットワーク内ＩＰアドレスリスト１５に存在するとき（例えばリクエスト先のＩＰアドレスがＰＣ２２，２３，２４のいずれかのＩＰアドレスであるとき）は、当該リクエスト先（送信先）のＩＰアドレスをリクエスト元（送信元）のＩＰアドレス毎にアクセス履歴として履歴部１４に記録する（ステップＳ１３）。

また、上記リクエスト先のＩＰアドレスが、ネットワーク内ＩＰアドレスリスト１５に存在しないときは、当該リクエストのリクエスト元ＩＰアドレスに対応するカウンタ部１３のカウント値を１増加して、ネットワーク内ＩＰアドレスリスト１５に存在しないＩＰアドレスへのアクセス要求が継続して行われた回数を送信元のＩＰアドレス毎にカウンタ部１３に保持する（ステップＳ１４）。

さらに、この際は、上記カウンタ部１３でカウントした値が所定値に達したか否かを判断し（ステップＳ１５）、上記カウンタ部１３でカウントした値が所定値に達していなければ（ステップＳ１５ ＮＯ）、今回のＡＲＰリクエストに対する監視処理を終了する。

また、上記カウンタ部１３でカウントした値が所定値に達した際は（ステップＳ１５ ＹＥＳ）、当該カウント値が所定値に達したアクセス元のＩＰアドレスをもとに、ネットワーク内ＩＰアドレスリスト１５が管理していないＩＰアドレスへのアクセスを試みている機器を特定し、当該機器をウィルス感染機器とみなして、ウィルス感染機器を検出し（ステップＳ１６）、その旨を、例えばウィルス感染監視装置１０の表示機能等を用いてネットワークセグメント１の管理者に通知する（ステップＳ１７）。なお、上記検出カウンタ部１３は、上記ウィルス感染機器の検出が行われたとき、若しくは一定時間毎にクリアされる。

このようにして、ネットワーク内ＩＰアドレスリスト１５が管理していないＩＰアドレスへのリクエストが連続若しくは集中して行われることで、カウンタ部１３のカウント値が所定（一定）の値に達した場合、送信元（リクエスト元）の機器は、無差別に他の機器へのアクセスを試みていると考えられるため、解析部１２２は、この送信元の機器がウィルスに感染していると判断する。

また、ウィルス感染機器がネットワークセグメント１に接続されてから、最初のリクエストが、同一セグメント内に存在する他の機器へのリクエストであった場合、この時点では、リクエスト元の機器をウィルス感染機器とは断定できない。そこで、解析部１２２は、リクエスト元のＩＰアドレス毎にリクエスト先のＩＰの履歴を履歴部１４に記録する。この記録により、ウィルス感染機器が検出されたとき、このウィルス感染機器が過去にアクセスした他の機器を知ることができるため、感染の疑いのある機器の特定並びに検出に容易に対応することができる。

このようなウィルス感染監視装置１０の監視処理により、ネットワークセグメントに接続される個々のクライアント機器にウィルス検出ソフトウェアをインストールすることなく、またウィルス感染機器を検出するための特別なコマンド生成等を一切必要とせずに、ＡＲＰリクエストパケットのブロードキャストを監視することで、例えば、昇順、降順、もしくはランダムにＩＰアドレスを生成して同一セグメント内の機器に接続を試みるタイプのウィルスに感染しているウィルス感染機器を検出することができる。

上記した本発明の第１実施形態に係るウィルス感染監視装置１０の具体的な処理例を図４を参照して説明する。

この図４に示す構成では、ネットワークセグメント１に、ウィルスに感染されていない複数の機器ＰＣ−Ａ，ＰＣ−Ｂ，ＰＣ−Ｃ，ＰＣ−Ｄが接続されている状態で、ネットワークセグメント１に、ウィルス感染機器ＰＣ−Ｘが接続された場合のシステム構成を例示している。

ネットワークセグメント１に、ウィルス感染機器ＰＣ−Ｘが接続されることによって、ネットワーク内ＩＰアドレスリスト１５に機器ＰＣ−ＸのＩＰアドレスが追加（登録）される。

ネットワークセグメント１に接続されたウィルス感染機器ＰＣ−Ｘは、機器ＰＣ−ＡのＩＰアドレスをリクエスト先とするＡＲＰリクエストパケットのブロードキャストをネットワークセグメント１上に送信して、ネットワークセグメント１に接続された機器ＰＣ−Ａにアクセスを試みる。

このＡＲＰリクエストパケットのブロードキャストをウィルス感染監視装置１０が受信する。この際、機器ＰＣ−ＡのＩＰアドレスはネットワーク内ＩＰアドレスリスト１５に登録されているため、履歴部の機器ＰＣ−Ｘのアクセス履歴に機器ＰＣ−ＡのＩＰアドレスを追加（記録）する。

機器ＰＣ−Ｘは、機器ＰＣ−ＥのＩＰアドレスをリクエスト先とするＡＲＰリクエストパケットのブロードキャストをネットワークセグメント１上に送信して、ネットワークセグメント１に存在しない機器ＰＣ−Ｅへアクセスを試みる。

このＡＲＰリクエストパケットのブロードキャストをウィルス感染監視装置１０が受信する。この際、機器ＰＣ−ＥのＩＰアドレスはネットワーク内ＩＰアドレスリスト１５に存在しないため、カウンタ部の機器ＰＣ−Ｘのカウンタを１増加する。

機器ＰＣ−Ｘは、機器ＰＣ−ＦのＩＰアドレスをリクエスト先とするＡＲＰリクエストパケットのブロードキャストをネットワークセグメント１上に送信して、ネットワークセグメント１に存在しない機器ＰＣ−Ｆへアクセスを試みる。

このＡＲＰリクエストパケットのブロードキャストをウィルス感染監視装置１０が受信する。この際、機器ＰＣ−ＦのＩＰアドレスはネットワーク内ＩＰアドレスリスト１５に存在しないため、カウンタ部の機器ＰＣ−Ｘのカウンタを１増加する。

この機器ＰＣ−Ｘによるネットワークセグメント１に存在しない機器ＰＣ−Ｆへアクセスを試みるＡＲＰリクエストが所定回数繰り返し実行されて、ィルス感染監視装置１０におけるカウンタ部の機器ＰＣ−Ｘのカウンタの値が所定の値に達すると、ウィルス感染監視装置１０は、機器ＰＣ−Ｘを、無差別に他の機器へのアクセスを試みているウィルス感染機器であるとみなす。

次に、上記第１実施形態で用いた図２および図４と、図５および図６に示すフローチャートを参照して本発明の第２実施形態を説明する。この第２実施形態は、上述した第１実施形態のネットワーク内ＩＰアドレスリスト１５が、ネットワークセグメント１に接続された複数の機器（ＰＣ）２１，２２，２３，２４各々のＩＰアドレスを機器接続構成に応じて予め固定的若しくは定期的に登録したものであったのに対して、この第２実施形態では、ネットワーク内ＩＰアドレスリスト１５へのＩＰアドレスの登録を一定の期限管理の下に動的に更新することによって、現在、ネットワークセグメント１内に実際に存在して動作状態にある機器のＩＰアドレスリストを作成し、これによって、よりウィルス感染機器の検出精度を高めている。

この機能を実現するため、解析部１２２は、ネットワーク内ＩＰアドレスリスト１５に登録するＩＰアドレスを期限管理により動的に更新するＩＰアドレスの更新処理手段を備える。

本発明の第２実施形態に係るウィルス感染監視装置１０のウィルス感染監視処理機能を図２および図４に示す構成図と、図５および図６に示すフローチャートを参照して説明する。

ネットワークセグメント１に接続されたウィルス感染監視装置１０は、監視プログラム１２に従い、図５および図６に示す処理手順に従いウィルス感染監視処理を実行する。

パケット受信部１２１は、ネットワークセグメント１上の機器から送出されたＡＲＰリクエスト（ＡＲＰリクエストパケットのブロードキャスト）を受信すると、当該パケットの内容を解析部１２２に送出する（ステップＳ２０，Ｓ２１）。

解析部１２２はパケット受信部１２１からＡＲＰリクエストを受けると、当該ＡＲＰリクエストの内容からリクエスト元（アクセス元）およびリクエスト先（アクセス先）の各ＩＰアドレスを取得し、取得したリクエスト元（アクセス元）のＩＰアドレスに有効期限を付加して、当該有効期限付のＩＰアドレスをネットワーク内ＩＰアドレスリスト１５に追加（登録）する。また、有効期限の切れたＩＰアドレスについては、接続性を確認するためのピング（ｐｉｎｇ）コマンドにより、稼働状態を確認し、ネットワークセグメント１上で稼働状態にない機器のＩＰアドレスをネットワーク内ＩＰアドレスリスト１５から削除する（ステップＳ２２，Ｓ２３）。このネットワーク内ＩＰアドレスリスト１５に登録されたＩＰアドレスの期限管理については図６を参照して後述する。

ここで、ネットワークセグメント１に、ウィルス感染機器ＰＣ−Ｘが接続されると、上記ネットワーク内ＩＰアドレスリスト１５の更新処理によって、ネットワーク内ＩＰアドレスリスト１５に機器ＰＣ−ＸのＩＰアドレスが追加（登録）される。

その後、ネットワークセグメント１に接続された機器ＰＣ−Ｘが、機器ＰＣ−ＡのＩＰアドレスをリクエスト先とするＡＲＰリクエストパケットのブロードキャストをネットワークセグメント１上に送信し、このＡＲＰリクエストパケットのブロードキャストをウィルス感染監視装置１０が受信すると、解析部１２２は、リクエスト先のＩＰアドレスが、ネットワーク内ＩＰアドレスリスト１５に存在するか否かを判断する（ステップＳ２４）。

この際、機器ＰＣ−ＡのＩＰアドレスはネットワーク内ＩＰアドレスリスト１５に登録されているため（ステップＳ２４ ＹＥＳ）、履歴部１４に機器ＰＣ−Ｘのアクセス履歴が作成され、当該履歴に機器ＰＣ−ＡのＩＰアドレスが記録される（ステップＳ２５）。

次に機器ＰＣ−Ｘが、ネットワークセグメント１に存在しない機器ＰＣ−ＥのＩＰアドレスをリクエスト先とするＡＲＰリクエストパケットのブロードキャストをネットワークセグメント１上に送信し、このＡＲＰリクエストパケットのブロードキャストをウィルス感染監視装置１０が受信すると、解析部１２２は、機器ＰＣ−ＥのＩＰアドレスはネットワーク内ＩＰアドレスリスト１５に存在しないため（ステップＳ２４ ＮＯ）、カウンタ部１３に機器ＰＣ−Ｘのカウンタを設けて、当該カウンタをインクリメント（１増加）する（ステップＳ２６）。

この機器ＰＣ−Ｘによるネットワークセグメント１に存在しない機器（ＰＣ−Ｆ，ＰＣ−Ｇ，…）へアクセスを試みるＡＲＰリクエストが所定回数繰り返し実行されて、機器ＰＣ−Ｘのカウンタの値が所定の値に達すると（ステップＳ２７ ＹＥＳ）、解析部１２２は、機器ＰＣ−Ｘを、無差別に他の機器へのアクセスを試みているウィルス感染機器であるとみなして、ウィルス感染機器ＰＣ−Ｘを検出し（ステップＳ２８）、その旨を、例えばウィルス感染監視装置１０の表示機能等を用いてネットワークセグメント１の管理者に通知する（ステップＳ２９）。

ネットワーク内ＩＰアドレスリスト１５へのＩＰアドレスの登録を一定の期限管理の下に動的に更新する処理手順を図６に示している。

解析部１２２は一定の周期でネットワーク内ＩＰアドレスリスト１５からＩＰアドレスを読出し、読み出したＩＰアドレスが期限切れであるか否かをチェックする（ステップＳ２２１，Ｓ２２２）。

上記チェックにおいて、ネットワーク内ＩＰアドレスリスト１５から読み出したＩＰアドレスが期限切れである際は、当該ＩＰアドレスの機器に対して接続性を確認するピング（ｐｉｎｇ）コマンドの処理を実行し（ステップＳ２２３）、稼働状態が確認されたならば（ステップＳ２２３ ＯＫ）、新規に有効期限を付加して、ネットワーク内ＩＰアドレスリスト１５に再登録する（ステップＳ２２４）。

また、上記ピング（ｐｉｎｇ）コマンドの処理（ステップＳ２２３）で、稼働状態が確認されないときは（ステップＳ２２３ ＮＧ）、上記ネットワーク内ＩＰアドレスリスト１５から読み出したＩＰアドレスをネットワーク内ＩＰアドレスリスト１５から削除する（ステップＳ２２５）。

このようなネットワーク内ＩＰアドレスリスト１５の動的更新処理機能をもつことで、ネットワークセグメント１内に現在、実際に存在して稼働状態にある機器の最新のＩＰアドレスリストを作成することができる。このネットワーク内ＩＰアドレスリスト１５を用いることで、よりウィルス感染機器の検出精度を高めることができる。

上記したネットワーク内ＩＰアドレスリスト１５の動的更新処理機能をもつことで、ネットワークセグメント１に接続されたサーバ機器については稼働状態が継続することから、当該機器のＩＰアドレスがネットワーク内ＩＰアドレスリスト１５に存在し続けるが、サーバにアクセスするクライアント機器についてはネットワークセグメント１に接続された状態で、電源がオン／オフ制御され、稼働／非稼働状態に切り替わる可能性が高く、非稼働状態にあるときはネットワーク内ＩＰアドレスリスト１５から削除されて、ネットワーク内ＩＰアドレスリスト１５に存在しないＩＰアドレスへの回数をカウントする際のカウント値増加の対象となる。通常、クライアント同士で通信が行われる頻度はそれほど高くはないと考えられるため、上記したネットワーク内ＩＰアドレスリスト１５の動的更新処理機能をもつことで、ウィルス感染機器の検出精度を高めることができる。

本発明の応用例として、ネットワークセグメントの構築に、リピータハブを利用する、若しくは本装置をスイッチイングハブのミラーポートに接続する構成を採った場合、上記実施形態に係るウィルス感染監視装置１０は、ＡＲＰリクエストのブロードキャストのみではなく、通常の通信も受信することになる。このような構成を採り、上記通信内容とウィルスパターンとのマッチング処理を行うことで、実際にウィルス感染した機器の検出精度をより高めることができる。

本発明の第１および第２実施形態に係るウィルス感染監視装置を用いたネットワークシステムの構成を示すブロック図。 本発明の第１および第２実施形態に係るウィルス感染監視装置の構成を示すブロック図。 本発明の第１実施形態に係るウィルス感染監視装置の処理手順を示すフローチャート。 上記第１実施形態に係るウィルス感染監視装置の動作説明図。 本発明の第２実施形態に係るウィルス感染監視装置の処理手順を示すフローチャート。 上記第２実施形態に係るウィルス感染監視装置の処理手順を示すフローチャート。

符号の説明

１…ネットワークセグメント、１０…ウィルス感染監視装置、１１…記憶部、１２…監視プログラム、１３…カウンタ部、１４…履歴部、１５…ネットワーク内ＩＰアドレスリスト、２１，２２，２３，２４…機器（パーソナルコンピュータ）、１２１…パケット受信部、１２２…解析部。

Claims (6)

1. ネットワークセグメントに接続された機器各々のＩＰアドレスを登録したＩＰアドレスリストと、
   前記機器が前記ネットワークセグメント内の他の機器にアクセスを要求する都度、前記ＩＰアドレスリストに登録されたＩＰアドレスとをもとに、前記アクセスを要求した機器のアクセス先ＩＰアドレスを監視して、前記ＩＰアドレスリストに存在しないＩＰアドレスへのアクセスを試みている機器を検索し、当該検索した機器をウィルス感染機器とみなす監視処理手段と
   を具備したことを特徴とするウィルス感染監視装置。
2. 前記監視処理手段は、
   前記ネットワークセグメント上に送出されたＡＲＰリクエストのブロードキャストを受信するパケット受信手段と、
   前記パケット受信手段の受信内容からアクセス元およびアクセス先のＩＰアドレスを取得し、取得したアクセス先のＩＰアドレスが前記ＩＰアドレスリストに存在しないＩＰアドレスであるとき、当該アクセスの継続回数をカウントし、当該カウント値をもとに、前記ＩＰアドレスリストに存在しないＩＰアドレスへのアクセスを試みている機器を特定する解析手段と
   を具備したことを特徴とする請求項１記載のウィルス感染監視装置。
3. 前記解析手段は、前記取得したアクセス先のＩＰアドレスが前記ＩＰアドレスリストに存在するＩＰアドレスであるとき、当該ＩＰアドレスを前記アクセス元のＩＰアドレス毎に記録するアクセス履歴の記録手段をさらに具備したことを特徴とする請求項２記載のウィルス感染監視装置。
4. 前記解析手段は、前記ＩＰアドレスリストに登録するＩＰアドレスを期限管理により動的に更新するＩＰアドレスの更新手段をさらに具備したことを特徴とする請求項２または３記載のウィルス感染監視装置。
5. 前記ＩＰアドレスの更新手段は、前記ＩＰアドレスリストに登録する前記アクセス元のＩＰアドレスに有効期限を付加し、有効期限を経過したＩＰアドレスについてピングコマンドにより機器の接続性を確認し、前記接続性を確認できない機器のＩＰアドレスを前記ＩＰアドレスリストから削除する手段を具備したことを特徴とする請求項４記載のウィルス感染監視装置。
6. ネットワークセグメント上に存在するウィルス感染機器を監視する機能を実現するコンピュータに、
   前記ネットワークセグメントに接続された機器各々のＩＰアドレスを管理するＩＰアドレスの管理機能と、
   前記ネットワークセグメントに接続された機器が前記ネットワークセグメントに接続された他の機器にアクセスを要求する都度、前記ＩＰアドレスの管理機能が管理するＩＰアドレスをもとに、前記アクセスを要求した機器のアクセス先ＩＰアドレスを監視して、前記ＩＰアドレスの管理機能が管理していないＩＰアドレスへのアクセスを試みている機器を特定し、当該機器をウィルス感染機器とみなす監視機能と
   を実現させるためのプログラム。

Images