JP2008278272A - 電子システム、電子機器、中央装置、プログラム、および記録媒体 - Google Patents

Abstract

【課題】異常な通信の検知をより確実に行うことができる電子システム、電子機器、中央装置、プログラム、および記録媒体を提供する。
【解決手段】中央装置１は、ネットワーク３を介して行われる通信の監視結果に基づいて異常な通信の検知（異常検知）を実行する。異常な通信を検知した場合、中央装置１は、異常な通信の特徴パターンを示す異常通信パターン情報を端末２に通知する。端末２は、自身が行った通信の特徴パターンを示す通信パターン情報を記録しており、中央装置１から通知された異常通信パターン情報と通信パターン情報に基づいて、過去に異常な通信を行ったか否かを判定する。
【選択図】図１

Description

本発明は、異常な通信を検知する電子システム、電子機器、および中央装置に関する。また、本発明は、本電子機器および本中央装置としてコンピュータを機能させるためのプログラム、およびそのプログラムを記録した記録媒体にも関する。

コンピュータが有する情報を漏洩させたりスパムメール等を多量に発信させたりするスパイウェアと呼ばれるコンピュータウィルスによる被害が広がる中、コンピュータのユーザから検知を逃れる隠蔽性を有するウィルスに対する脅威が高まっている。未知のウィルスや隠蔽型のウィルスを検知する手法として、無操作状態のコンピュータから自動的に発信されるパケットの異常性に注目したウィルス感染検知手法が提案されている（例えば非特許文献１参照）。このウィルス感染検知手法では、正常なコンピュータから自動的に発信される通信のパターンをデータベース化しておき、無操作状態のコンピュータから発信される通信のパターンがデータベースに記録されていない場合に異常が発生していると判定し、ウィルス感染を検知する。
竹森、山田、三宅、"無操作ホストから発信されるパケットに注目した攻撃検知"、電子情報通信学会、２００６年ソサイエティ大会、情報ネットワーク、B-7-99、２００６年９月

しかし、従来のウィルス感染検知手法では、コンピュータから発信されるパケットの頻度が極端に少ない場合等には、異常な通信を検知することができないという問題があった。また、もし異常な通信を検知することができたとしても、その通信の原因となる攻撃の発信元を特定することまではできないという問題があった。

本発明は、上述した課題に鑑みてなされたものであって、異常な通信の検知をより確実に行うことができる電子システム、電子機器、中央装置、プログラム、および記録媒体を提供することを第１の目的とする。また、本発明は、異常な通信の原因となる攻撃の発信元を特定することができる電子システム、電子機器、中央装置、プログラム、および記録媒体を提供することを第２の目的とする。

本発明は、上記の課題を解決するためになされたもので、電子機器および中央装置を備えた電子システムにおいて、前記電子機器は、異常な通信の特徴を示す異常通信特徴情報を前記中央装置から受信する異常通信特徴情報受信手段と、前記電子機器が行った通信の特徴を示す第１の通信特徴情報を記憶する第１の記憶手段と、前記異常通信特徴情報と前記第１の通信特徴情報を比較し、前記異常通信特徴情報と一致する前記通信特徴情報が存在するか否かを判定する比較判定手段とを有し、前記中央装置は、ネットワークを介して行われた通信の特徴を示す第２の通信特徴情報を記憶する第２の記憶手段と、前記第２の通信特徴情報に基づいて、異常な通信が行われたか否かを判定する異常判定手段と、異常な通信が行われたと判定された場合に、前記第２の通信特徴情報から前記異常通信特徴情報を抽出する情報抽出手段と、前記異常通信特徴情報を前記電子機器へ送信する異常通信特徴情報送信手段とを有することを特徴とする電子システムである。

また、本発明の電子システムにおいて、前記電子機器は、前記比較判定手段による判定の結果を示す判定結果情報を前記中央装置へ送信する判定結果情報送信手段をさらに有し、前記中央装置は、前記判定結果情報を前記電子機器から受信する判定結果情報受信手段をさらに有することを特徴とする。

また、本発明は、第１の電子機器、第２の電子機器、および中央装置を備えた電子システムにおいて、前記第１の電子機器は、前記中央装置から送信される、異常な通信の特徴を示す異常通信特徴情報を受信する第１の異常通信特徴情報受信手段と、前記第１の電子機器が行った通信の特徴を示す第１の通信特徴情報を記憶する第１の記憶手段と、前記異常通信特徴情報と前記第１の通信特徴情報を比較し、前記異常通信特徴情報と一致する前記通信特徴情報が存在するか否かを判定する比較判定手段とを有し、前記第２の電子機器は、前記第２の電子機器が行った通信の特徴を示す第２の通信特徴情報を記憶する第２の記憶手段と、前記第２の通信特徴情報に基づいて、前記第２の電子機器が異常な通信を行ったか否かを判定する異常判定手段と、異常な通信が行われたと判定された場合に、前記第２の通信特徴情報から、異常な通信の特徴を示す異常通信特徴情報を抽出する情報抽出手段と、前記異常通信特徴情報を前記中央装置へ送信する異常通信特徴情報送信手段とを有し、前記中央装置は、前記異常通信特徴情報を前記第２の電子機器から受信する第２の異常通信特徴情報受信手段と、前記異常通信特徴情報を前記第１の電子機器へ送信する第２の異常通信特徴情報送信手段とを有することを特徴とする電子システムである。

また、本発明の電子システムにおいて、前記第１の電子機器は、前記比較判定手段による判定の結果を示す判定結果情報を前記中央装置へ送信する判定結果情報送信手段をさらに有し、前記中央装置は、前記判定結果情報を前記第１の電子機器から受信する判定結果情報受信手段をさらに有することを特徴とする。

また、本発明は、異常な通信の特徴を示す異常通信特徴情報を中央装置から受信する異常通信特徴情報受信手段と、自身の電子機器が行った通信の特徴を示す通信特徴情報を記憶する記憶手段と、前記異常通信特徴情報と前記通信特徴情報を比較し、前記異常通信特徴情報と一致する前記通信特徴情報が存在するか否かを判定する比較判定手段とを備えたことを特徴とする電子機器である。

また、本発明の電子機器において、前記比較判定手段による判定の結果を示す判定結果情報を前記中央装置へ送信する判定結果情報送信手段をさらに備えたことを特徴とする。

また、本発明の電子機器は、前記通信特徴情報に基づいて、自身の電子機器が異常な通信を行ったか否かを判定する異常判定手段と、異常な通信が行われたと判定された場合に、前記通信特徴情報から前記異常通信特徴情報を抽出する情報抽出手段と、前記情報抽出手段によって抽出された前記異常通信特徴情報を前記中央装置へ送信する異常通信特徴情報送信手段とをさらに備えたことを特徴とする。

また、本発明は、ネットワークを介して行われた通信の特徴を示す第１の通信特徴情報を記憶する記憶手段と、前記第１の通信特徴情報に基づいて、異常な通信が行われたか否かを判定する異常判定手段と、異常な通信が行われたと判定された場合に、前記第１の通信特徴情報から、異常な通信の特徴を示す異常通信特徴情報を抽出する情報抽出手段と、前記異常通信特徴情報を電子機器へ送信する異常通信特徴情報送信手段とを備えたことを特徴とする中央装置である。

また、本発明の中央装置において、前記電子機器が行った通信の特徴を示す第２の通信特徴情報と前記異常通信特徴情報を比較して前記異常通信特徴情報と一致する前記第１の通信特徴情報が存在するか否かを判定した結果を示す判定結果情報を前記電子機器から受信する判定結果情報受信手段をさらに備えたことを特徴とする。

また、本発明は、異常な通信の特徴を示す異常通信特徴情報を第１の電子機器から受信する異常通信特徴情報受信手段と、前記異常通信特徴情報を第２の電子機器へ送信する異常通信特徴情報送信手段とを備えたことを特徴とする中央装置である。

また、本発明の中央装置において、前記第２の電子機器が行った通信の特徴を示す第１の通信特徴情報と前記異常通信特徴情報を比較して前記異常通信特徴情報と一致する前記第１の通信特徴情報が存在するか否かを判定した結果を示す判定結果情報を前記第２の電子機器から受信する判定結果情報受信手段をさらに備えたことを特徴とする。

また、本発明は、上記の電子機器としてコンピュータを機能させるためのプログラムである。

また、本発明は、上記の中央装置としてコンピュータを機能させるためのプログラムである。

また、本発明は、上記のプログラムを記載したコンピュータ読み取り可能な記録媒体である。

本発明によれば、中央装置からの異常通信特徴情報を受信した電子機器において、異常通信特徴情報と一致する通信特徴情報が存在するか否かが判定される。異常通信特徴情報と一致する通信特徴情報が存在すると判定された場合には、電子機器において異常な通信が検知されたことになる。したがって、通信特徴情報からは異常な通信を検知することができない場合でも、通信特徴情報と異常通信特徴情報の一致・不一致を判定することによって、異常な通信の検知をより確実に行うことができる。

また、本発明によれば、異常通信特徴情報と一致する通信特徴情報が存在するか否かを判定した結果を示す判定結果情報が電子機器から中央装置へ送信される。したがって、異常通信特徴情報と一致する通信特徴情報が存在すると判定された場合には、判定結果情報を送信した電子機器が、異常な通信の原因となる攻撃の発信元であると特定することができる。

以下、図面を参照し、本発明の実施形態を説明する。

（第１の実施形態）
まず、本発明の第１の実施形態を説明する。図１は、本実施形態による電子システムの構成を示している。本電子システムは、電子機器たる中央装置１および端末２を備え、これらがネットワーク３で接続されている。ネットワーク３には、図示していない端末やネットワーク機器等も接続されているものとする。

中央装置１は、ネットワーク３を介して行われる通信を監視する。端末２は、ユーザが所持する端末（ＰＣ等）である。ネットワーク３は有線あるいは無線のＬＡＮ（Local Area Network）等の小ネットワーク、および小ネットワークどうしを結ぶ基幹ネットワークの集合体としてのネットワークである。

本実施形態において、中央装置１は、ネットワーク３を介して行われる通信の監視結果に基づいて異常な通信の検知（異常検知）を実行する。例えばネットワーク３上に攻撃が蔓延した場合には、異常な通信による大量のパケットがネットワーク３上を伝送するようになるので、中央装置１による異常検知が可能となる。異常な通信を検知した場合、中央装置１は、異常な通信の特徴パターンを示す異常通信パターン情報（本発明の異常通信特徴情報に対応）を端末２に通知する。後述するように、異常通信パターン情報は、パケットの送受信に係るＩＰアドレスやPｏｒｔ番号等である。

一方、端末２は、自身が行った通信の特徴パターンを示す通信パターン情報（本発明の通信特徴情報に対応）を記録しており、中央装置１から通知された異常通信パターン情報と通信パターン情報に基づいて、自身が過去に異常な通信を行ったか否かを判定する。端末２は、この判定の結果を示す判定結果情報を中央装置１に通知する。もし、端末２が所持する通信パターン情報の中に、中央装置１から通知された異常通信パターン情報と一致する情報があった場合、端末２が異常な通信を行った（すなわち、攻撃パケットを発信した）ことが分かる。本実施形態では、端末２が判定結果情報を中央装置１へ送信するようにしているが、判定結果情報の送信は必須でなくてもよい。

以下、中央装置１の構成を説明する。通信部１０は、ネットワーク３を介して端末２と通信を行う。通信監視部１１は、ネットワーク３上を伝送するパケットを、通信部１０を介して取得し、そのパケットに基づいて通信パターン情報を生成する。通信パターン記憶部１２は通信パターン情報を記憶する。異常検知部１３は、通信パターン情報に基づいて異常検知を実行する。異常な通信を検知した場合、異常検知部１３は、通信パターン情報から異常な通信に係る異常通信パターン情報を抽出し、異常通信パターン通知部１４へ出力する。

異常通信パターン通知部１４は異常通信パターン情報を保持し、端末２が受信可能となったら異常通信パターン情報を通信部１０へ出力し、端末２へ送信させる。異常通信パターン情報の送信方法に関しては、例えばウィルスに見られるパターンの有無を検出するＡＶ（Anti Virus）と連動させる場合、ウィルスを検知するのに用いるウィルスパターンの送信と同時に行えばよい。判定結果受付部１５は、端末２から判定結果情報が送信された場合に、通信部１０によって受信された判定結果情報を受け取る。

以下、端末２の構成を説明する。通信部２０は、ネットワーク３を介して中央装置１および他の端末２と通信を行う。通信記録部２１は、通信部２０で送受信されるパケットを取得し、そのパケットに基づいて、自身の端末２が行った通信に係る通信パターン情報を生成する。また、通信記録部２１は、生成した通信パターン情報を通信パターン記憶部２２に記録する。通信パターン記憶部２２は通信パターン情報を記憶する。

異常通信パターン受付部２３は、異常通信パターン情報が中央装置１から送信された場合に、通信部２０によって受信された異常通信パターン情報を受け取り、異常通信判定部２４へ出力する。本実施形態では、端末２の起動状態やＩＰアドレスが不明な環境に適用するため、端末２が中央装置１へ定期的にポーリングを行い、端末２が主体となって異常通信パターン情報を取得するが、これに限られるわけではない。異常通信判定部２４は、中央装置１から受信された異常通信パターン情報と、通信パターン記憶部２２に格納されている通信パターン情報とを比較し、両者が一致するか否か判定する。判定結果報告部２５は、異常通信判定部２４による判定の結果を示す判定結果情報を生成し、中央装置１へ送信するため、判定結果情報を通信部２０へ出力する。

次に、通信パターン情報および異常通信パターン情報として利用可能な情報を説明する。本実施形態では以下の情報などが利用可能である。
（１）通信の送信／受信ＩＰアドレス
（２）通信の送信／受信Ｐｏｒｔ番号
（３）送受信されるパケットのハッシュ値
（４）メール通信の情報
（５）攻撃シグネチャ
（６）上記の通信パラメータの統計量

（１）、（２）の送信／受信ＩＰアドレスおよび送信／受信Ｐｏｒｔ番号は、送受信されるパケットのヘッダから抽出される。（３）のハッシュ値は、送受信されるパケットからＭＤ５やＳＨＡ−１等のハッシュ関数を利用して算出される。（４）のメール通信の情報はメールのデータ自体やプロトコルの情報等である。（５）の攻撃シグネチャは、ＩＤＳ（Intrusion Detection System：侵入検知システム）が攻撃パケットを検知するときに利用するパターンや、ＡＶがウィルスを検知するときに利用するパターンであり、攻撃シグネチャと一致するパターンがパケットから検知された場合に、そのパターンが通信パターン情報として記録される。（６）の通信パラメータの統計量は、例えば通信パラメータの単位時間当たりの頻度である（図２参照）。

次に、図３を参照しながら、本実施形態による中央装置１の動作を説明する。図３（ａ）は、ネットワーク３を介して行われる通信の監視と異常検知の手順を示している。図３（ａ）に示す処理は定期的に実行される。通信監視部１１は、ネットワーク３上を伝送するパケットを、通信部１０を介して取得し、そのパケットからＩＰアドレスやPｏｒｔ番号等の特徴的な通信パターン情報を抽出する（ステップＳ１００）。通信監視部１１は、抽出した通信パターン情報を通信パターン記憶部１２に格納する（ステップＳ１１０）。異常検知の開始タイミングとなるまで、ステップＳ１００とＳ１１０の処理が繰り返し実行される。

異常検知の開始タイミングとなった場合（ステップＳ１２０でＹＥＳの場合）、異常検知部１３は、通信パターン記憶部１２に蓄積されている通信パターン情報を読み出し、通信パターン情報を用いた公知の方法による異常検知処理を実行する（ステップＳ１３０）。この異常検知の手法として、例えば特開２００４−３１８５５２号公報、特開２００５−１２８９４７号公報、および特開２００５−１５１２８９号公報に記載されている手法を本実施形態に適用することが可能である。

特開２００４−３１８５５２号公報には、ＩＤＳから出力されるログに含まれるAttack Signature、Source/Destination IP、Destination Port等のパラメータについて、単位時間当たりの頻度が急増する程度を、過去の統計分布を用いて評価する手法が記載されている。この手法により、攻撃頻度の変化量に着目して、ログに含まれる多数のイベントの中から、注目すべき異常なイベントを抽出することが可能となる。

特開２００５−１２８９４７号公報には、Source/Destination IPやDestination Portの広がりの程度（分散度）を情報エントロピーとして算出し、上記の特開２００４−３１８５５２号公報に記載の手法により異常を検知する手法が記載されている。この手法により、ウィルス感染の拡大や、ＤＤｏｓ（Distributed Denial of Service）攻撃による通信の集中の程度を簡易に算出することが可能となる。

特開２００５−１５１２８９号公報には、Attack Signature、Source/Destination IP、Destination Port等のパラメータの検知頻度の周期性に注目して異常を検知する手法が記載されている。この手法により、上記の特開２００４−３１８５５２号公報に記載の手法で検知できないような、ゆっくり増加する攻撃や、頻度が小さく隠れがちな攻撃を検知することが可能となる。

ステップＳ１３０の異常検知処理の結果、異常な通信が検知された場合（ステップＳ１４０においてＹＥＳの場合）、異常検知部１３は異常な通信に係る異常通信パターン情報を全体の通信パターン情報から抽出し、異常通信パターン通知部１４へ出力する。異常通信パターン通知部１４は、異常通信パターン情報を保持する（ステップＳ１５０）。また、ステップＳ１３０の異常検知処理の結果、異常な通信が検知されなかった場合（ステップＳ１４０においてＮＯの場合）、一連の処理が終了する。

図３（ｂ）は、異常通信パターン情報を端末２へ送信し、判定結果情報を端末２から受信する動作の手順を示している。端末２からの受信可能通知があった場合、異常通信パターン通知部１４は異常通信パターン情報を通信部１０へ出力する。通信部１０は異常通信パターン情報を端末２へ送信する（ステップＳ２００）。複数の端末２から受信可能通知があれば、異常通信パターン情報はそれら全ての端末２へ送信される。

異常通信パターン情報を受信した端末２は、後述する処理を実行し、過去に異常な通信を行ったか否かを判定した結果を示す判定結果情報を中央装置１へ送信する。中央装置１の通信部１０は端末２からの判定結果情報を受信し、判定結果受付部１５へ出力する（ステップＳ２１０）。判定結果受付部１５は、この判定結果情報に基づいて攻撃の発信元を特定する。すなわち、判定結果情報が、異常な通信を行ったという判定結果を示している場合、判定結果受付部１５は、その判定結果情報を送信した端末２が攻撃の発信元であると認識する（ステップＳ２２０）。

続いて、判定結果受付部１５は、ネットワークインフラの安定運用のためネットワーク３に流布させる情報（ウィルス感染等の異常が発生している端末２の台数等）を生成し保持する。保持された情報は適宜、通信部１０へ出力され、通信部１０によって周囲のネットワーク機器等へ送信される（ステップＳ２３０）。

次に、図４を参照しながら、端末２の動作を説明する。図４（ａ）は、端末２自身による通信の監視手順を示している。図４（ａ）に示す処理は繰り返し実行される。通信部２０がパケットの送信または受信を行った場合、通信記録部２１は、そのパケットから、自身の端末２が行った通信に係る通信パターン情報を抽出する（ステップＳ３００）。また、通信記録部２１は、抽出した通信パターン情報を通信パターン記憶部２２に記録する（ステップＳ３１０）。図示していないが、通信パターン記憶部２２の記憶容量を削減するため、記録後一定期間が経過した通信パターン情報は適宜削除される。

図４（ｂ）は、中央装置１で検知された異常な通信に係る異常通信パターン情報と一致する通信パターン情報を検索する手順を示している。異常通信パターン受付部２３は、異常通信パターン情報が中央装置１から送信された場合に、通信部２０によって受信された異常通信パターン情報を受け取り、異常通信判定部２４へ出力する（ステップＳ４００）。異常通信判定部２４は、通信パターン記憶部２２から通信パターン情報を読み出して異常通信パターン情報と比較し、異常通信パターン情報と一致する通信パターン情報を検索する（ステップＳ４１０）。

続いて、異常通信判定部２４は、異常通信パターン情報と一致する通信パターン情報が存在したか否かを判定する（ステップＳ４２０）。異常通信パターン情報と一致する通信パターン情報が存在しなかった場合には、処理がステップＳ４４０に進む。また、異常通信パターン情報と一致する通信パターン情報が存在した場合には、自身の端末２がウィルスに感染している、あるいは自身の端末２に他者が侵入したことが分かるので、異常通信判定部２４は、それらの異常に対応した処理（ウィルス感染等の旨を表示する処理等）を適宜実行する（ステップＳ４３０）。

続いて、異常通信判定部２４はステップＳ４２０での判定結果を判定結果報告部２５に通知する。判定結果報告部２５は、異常通信判定部２４による判定の結果を示す判定結果情報を生成し、通信部２０へ出力する。通信部２０は判定結果情報を中央装置１へ送信する（ステップＳ４４０）。

上記の変形例として、中央装置１から端末２へ送信される異常通信パターン情報に対して、その異常通信パターン情報と関係する攻撃やウィルスの情報を付加してもよい。攻撃やウィルスの情報が付加された異常通信パターン情報と一致する通信パターン情報が端末２で検知された場合には、侵入やウィルス感染の疑いがあることがより明確となる。

上述したように、本実施形態によれば、中央装置１において異常な通信が検知された場合に、異常通信パターン情報が端末２へ送信され、異常通信パターン情報を受信した端末２において、異常通信パターン情報と一致する通信パターン情報が存在するか否かが判定される。異常通信パターン情報と一致する通信パターン情報が存在すると判定された場合には、端末２において異常な通信が検知されたことになる。したがって、攻撃パケットの到着頻度が極端に低かったり、攻撃パケットに特徴的な周期性がなかったり等の理由により、端末２において、通信パターン情報からは異常な通信を検知することができない場合でも、通信パターン情報と異常通信パターン情報の一致・不一致を判定することによって、異常な通信の検知をより確実に行うことができる。

また、異常通信パターン情報と一致する通信パターン情報が存在するか否かを判定した結果を示す判定結果情報が端末２から中央装置１へ送信される。したがって、異常通信パターン情報と一致する通信パターン情報が存在すると判定された場合には、判定結果情報を送信した端末２が、異常な通信の原因となる攻撃の発信元であると特定することができる。

本実施形態で示した、異常な通信を検知する手法は、ウィルスに感染したコンピュータに悪質な動作を実行させるボットと呼ばれるウィルスの検知にも有効である。以下のように、通常ではボットの発信元の特定は困難である。

すなわち、ボットはワームのように爆発的に感染活動を行うことはなく、普段は潜んでいるため、通信トラフィックのアノマリ検知ではボットを検出することができない。また、ボットに感染したコンピュータからスパムメールの送信が行われるが、ボットに感染したコンピュータ１台当たりから送信されるスパムメールは数通程度であり、メール送信頻度のアノマリ検知ではボットを検出することができない。ボットに感染したコンピュータがターゲットサーバにＤＤｏｓ攻撃を仕掛ける場合にも、ボットに感染したコンピュータ１台当たりから送信される攻撃パケットは数個程度であり、通信トラフィックのアノマリ検知ではボットを検出することができない。

また、亜種が多いため、ウィルス検知用のパターンを記録した定義ファイルの作成が追いつかない。比較的中小規模のノード数でボットネットワークが構成されることが一般的であるため、定義ファイルを作成できたとしても、駆除効果の期待できる範囲が限定的となる。

上記の理由から、ボットの検知には従来のマルウェア検知技術が全く役に立たない。しかし、本実施形態によれば、中央装置１において、ボットへの感染や、ボットに感染したコンピュータからのスパムメールの受信、ボットに感染したコンピュータによるＤＤｏｓ攻撃のいずれかの被害が検知された場合に、それらの被害の元となる通信を行ったコンピュータを特定することができる。

（第２の実施形態）
次に、本発明の第２の実施形態を説明する。図５は、本実施形態による電子システムの構成を示している。本実施形態の端末２は、自身が行った通信の結果に基づいて異常な通信の検知（異常検知）を実行する。例えば端末２が攻撃の標的となった場合には、異常な通信による大量のパケットが端末２に到着するようになるので、端末２による異常検知が可能となる。また、端末２がスパムメールの受信を検知した場合にも、端末２で異常な通信が検知されたことになる。異常な通信を検知した場合、端末２は、異常な通信の特徴パターンを示す異常通信パターン情報を中央装置１に通知する。

一方、中央装置１は、端末２からの異常報告情報に基づいて、異常な通信が行われたことを認識し、異常な通信に係る異常通信パターン情報と同じ通信パターン情報がその他の端末２でも記録されているか否かを確認するための処理を実行する。すなわち、中央装置１は異常通信パターン情報を他の端末２へ送信する。本実施形態でも、端末２の起動状態やＩＰアドレスが不明な環境に適用するため、第１の実施形態と同様に端末２が中央装置１へ定期的にポーリングを行い、端末２が主体となって異常通信パターン情報を取得するが、これに限られるわけではない。

異常通信パターン情報を受信した端末２では、第１の実施形態と同様の処理が実行され、判定結果情報が中央装置１に通知される。もし、端末２が所持する通信パターン情報の中に、中央装置１から通知された異常通信パターン情報と一致する情報があった場合、その端末２が異常な通信を行った（すなわち、攻撃パケットを発信した）ことが分かる。本実施形態でも、端末２が判定結果情報を中央装置１へ送信するようにしているが、判定結果情報の送信は必須でなくてもよい。

上記の処理を実現するため、端末２において異常検知部２６と異常報告部２７が設けられている。これらを除く構成は第１の実施形態と同様である。異常検知部２６は、通信パターン記憶部２２に格納されている通信パターン情報に基づいて異常検知を実行する。異常な通信を検知した場合、異常検知部２６は、通信パターン情報から異常な通信に係る異常通信パターン情報を抽出し、異常報告部２７へ出力する。異常報告部２７は、異常な通信を行ったことを中央装置１に報告するため、異常通信パターン情報を含む異常報告情報を生成し、中央装置１へ送信するため、異常報告情報を通信部２０へ出力する。

また、中央装置１において、異常報告受付部１６と異常通信パターン記憶部１７が設けられており、図１に示した通信監視部１１、通信パターン記憶部１２、および異常検知部１３は設けられていない。これらを除く構成は第１の実施形態と同様である。異常報告受付部１６は、端末２から異常報告情報が送信された場合に、通信部１０によって受信された異常報告情報を受け取り、異常報告情報に含まれる異常通信パターン情報を異常通信パターン記憶部１７に格納する。異常通信パターン記憶部１７は異常通信パターン情報を記憶する。

本実施形態における通信パターン情報および異常通信パターン情報は第１の実施形態と同様であるが、プロセス名（プログラム名）やファイルパスも利用可能である。プロセス名は、侵入時やウィルス感染時に端末２に送り込まれて起動されるプロセスであり、ファイルパスはそのプロセスの実行プログラムの格納場所である。ウィルスに感染すると、通信時に特定のプロセスが起動されるので、通信時における特定のプロセスの起動の有無を判定することにより、ウィルス感染の有無を判定することが可能となる。

次に、図６を参照しながら、本実施形態による中央装置１の動作を説明する。図６（ａ）は、端末２からの異常報告を受け付ける動作の手順を示している。図６（ａ）に示す処理は繰り返し実行される。異常報告受付部１６は、異常報告情報が端末２から送信された場合に、通信部２０によって受信された異常報告情報を受け取る（ステップＳ５００）。続いて、異常報告受付部１６は、異常報告情報に含まれる異常通信パターン情報と、異常通信パターン記憶部１７に格納されている異常通信パターンとが一致するか否かを判定することにより、端末２からの異常報告が新規な異常に関するものであるか否かを判定する（ステップＳ５１０）。

異常報告情報に含まれる異常通信パターン情報が、異常通信パターン記憶部１７に格納されているいずれかの異常通信パターンと一致した場合（ステップＳ５１０でＮＯの場合）、端末２からの異常報告は新規な異常に関するものではないため、異常報告受付部１６は次の異常報告に備えて待機する。また、異常報告情報に含まれる異常通信パターン情報が、異常通信パターン記憶部１７に格納されているどの異常通信パターンとも一致しなかった場合（ステップＳ５１０でＹＥＳの場合）、端末２からの異常報告は新規な異常に関するものであるため、異常報告受付部１６は、異常報告情報に含まれる異常通信パターン情報を異常通信パターン記憶部１７に格納する（ステップＳ５２０）。

図６（ｂ）は、異常通信パターン情報を端末２へ送信し、判定結果情報を端末２から受信する動作の手順を示している。端末２からの受信可能通知があった場合、異常通信パターン通知部１４は異常通信パターン記憶部１７から異常通信パターン情報を読み出して通信部１０へ出力する。通信部１０は異常通信パターン情報を端末２へ送信する（ステップＳ６００）。複数の端末２から受信可能通知があれば、異常通信パターン情報はそれら全ての端末２へ送信される。これ以降のステップＳ６１０〜Ｓ６３０の処理は、図３に示したステップＳ２１０〜Ｓ２３０の処理と同様であるため、説明を省略する。

次に、本実施形態による端末２の動作を説明する。中央装置１からの異常通信パターン情報を受信した端末２が、中央装置１で検知された異常な通信に係る異常通信パターン情報と一致する通信パターン情報を検索する動作は、図４（ｂ）に示した動作と同様であるので、説明を省略する。以下、図７を参照しながら、端末２による異常検知の手順を説明する。

通信部２０がパケットの送信または受信を行った場合、通信記録部２１は、そのパケットから、自身の端末２が行った通信に係る通信パターン情報を抽出する（ステップＳ７００）。また、通信記録部２１は、抽出した通信パターン情報を通信パターン記憶部２２に記録する（ステップＳ７１０）。図示していないが、通信パターン記憶部２２の記憶容量を削減するため、記録後一定期間が経過した通信パターン情報は適宜削除される。異常検知の開始タイミングとなるまで、ステップＳ７００とＳ７１０の処理が繰り返し実行される。

異常検知の開始タイミングとなった場合（ステップＳ７２０でＹＥＳの場合）、異常検知部２６は、通信パターン記憶部２２に蓄積されている通信パターン情報を読み出し、通信パターン情報を用いた公知の方法による異常検知処理を実行する（ステップＳ７３０）。異常検知の手法は前述した通りである。

ステップＳ７３０の異常検知処理の結果、異常な通信が検知されなかった場合（ステップＳ７４０においてＮＯの場合）、一連の処理が終了する。また、ステップＳ７３０の異常検知処理の結果、異常な通信が検知された場合（ステップＳ７４０においてＹＥＳの場合）、異常検知部２６は異常な通信に係る異常通信パターン情報を全体の通信パターン情報から抽出し、異常報告部２７へ出力する（ステップＳ７５０）。

異常報告部２７は、異常通信パターン情報を含む異常報告情報を生成し、通信部２０へ出力する（ステップＳ７６０）。通信部２０は異常報告情報を中央装置１へ送信する（ステップＳ７７０）。また、異常な通信が検知された場合には、自身の端末２がウィルスに感染している、あるいは自身の端末２に他者が侵入したことが分かるので、異常通信判定部２４は、それらの異常に対応した処理（ウィルス感染等の旨を表示する処理等）を適宜実行する（ステップＳ７８０）。

上記の変形例として、異常報告情報の送信により異常通信パターン情報を中央装置１に通知した端末２に対して、その異常通信パターン情報と関係する攻撃やウィルスの情報を中央装置１が通知するようにしてもよい。攻撃やウィルスの情報が異常通信パターン情報と一致する通信パターン情報が端末２で検知された場合には、侵入やウィルス感染の疑いがあることがより明確となる。

上述したように、本実施形態によれば、いずれかの端末２において異常な通信が検知された場合に、異常通信パターン情報を含む異常報告情報が中央装置１へ送信され、中央装置１からさらに別の端末２へ異常通信パターン情報が送信される。この異常通信パターン情報を受信した端末２において、異常通信パターン情報と一致する通信パターン情報が存在するか否かが判定される。異常通信パターン情報と一致する通信パターン情報が存在すると判定された場合には、端末２において異常な通信が検知されたことになる。したがって、攻撃パケットの到着頻度が極端に低かったり、攻撃パケットに特徴的な周期性がなかったり等の理由により、端末２において、通信パターン情報からは異常な通信を検知することができない場合でも、通信パターン情報と異常通信パターン情報の一致・不一致を判定することによって、異常な通信の検知をより確実に行うことができる。

また、異常通信パターン情報と一致する通信パターン情報が存在するか否かを判定した結果を示す判定結果情報が端末２から中央装置１へ送信される。したがって、異常通信パターン情報と一致する通信パターン情報が存在すると判定された場合には、判定結果情報を送信した端末２が、異常な通信の原因となる攻撃の発信元であると特定することができる。さらに、本実施形態で示した、異常な通信を検知する手法はボットの検知にも有効である。

また、上述した２つの実施形態によれば、Security Operation Center（ＳＯＣ）が監視するネットワーク上で異常な通信パターンを発信した端末の特定や、未知ウィルスに感染した端末の特定が可能となる。そして、端末で異常と判定された不明な通信パターンをＳＯＣに問い合わせて異常性を判定してもらえるようになる。

上述した異常な通信を検知する手法を既存のアンチウィルスソフトの追加機能として実装することも可能である。また、端末２が有する機能をイントラネットのゲートウェイ等に実装することも可能である。

以上、図面を参照して本発明の実施形態について詳述してきたが、具体的な構成は上記の実施形態に限られるものではなく、本発明の要旨を逸脱しない範囲の設計変更等も含まれる。例えば、上述した実施形態による中央装置１や端末２の動作および機能を実現するためのプログラムをコンピュータ読み取り可能な記録媒体に記録して、この記録媒体に記録されたプログラムをコンピュータに読み込ませ、実行させてもよい。

ここで、「コンピュータ」は、ＷＷＷシステムを利用している場合であれば、ホームページ提供環境（あるいは表示環境）も含むものとする。また、「コンピュータ読み取り可能な記録媒体」とは、フレキシブルディスク、光磁気ディスク、ＲＯＭ、ＣＤ−ＲＯＭ等の可搬媒体、コンピュータに内蔵されるハードディスク等の記憶装置のことをいう。さらに「コンピュータ読み取り可能な記録媒体」とは、インターネット等のネットワークや電話回線等の通信回線を介してプログラムが送信された場合のサーバやクライアントとなるコンピュータシステム内部の揮発性メモリ（ＲＡＭ）のように、一定時間プログラムを保持しているものも含むものとする。

また、上述したプログラムは、このプログラムを記憶装置等に格納したコンピュータから、伝送媒体を介して、あるいは伝送媒体中の伝送波により他のコンピュータに伝送されてもよい。ここで、プログラムを伝送する「伝送媒体」は、インターネット等のネットワーク（通信網）や電話回線等の通信回線（通信線）のように、情報を伝送する機能を有する媒体のことをいう。また、上述したプログラムは、前述した機能の一部を実現するためのものであってもよい。さらに、前述した機能を、コンピュータに既に記録されているプログラムとの組合せで実現できるもの、いわゆる差分ファイル（差分プログラム）であってもよい。

本発明の第１の実施形態による電子システムの構成を示すブロック図である。 本発明の第１の実施形態における通信パターン情報および異常通信パターン情報として利用可能な情報を示す参考図である。 本発明の第１の実施形態による電子システムが備える中央装置の動作の手順を示すフローチャートである。 本発明の第１の実施形態による電子システムが備える端末の動作の手順を示すフローチャートである。 本発明の第２の実施形態による電子システムの構成を示すブロック図である。 本発明の第２の実施形態による電子システムが備える中央装置の動作の手順を示すフローチャートである。 本発明の第２の実施形態による電子システムが備える端末の動作の手順を示すフローチャートである。

符号の説明

１・・・中央装置、２・・・端末、１０，２０・・・通信部、１１・・・通信監視部、１２，２２・・・通信パターン記憶部（記憶手段）、１３，２６・・・異常検知部（異常判定手段、情報抽出手段）、１４・・・異常通信パターン通知部、１５・・・判定結果受付部、１６・・・異常報告受付部、１７・・・異常通信パターン記憶部、２１・・・通信記録部、２３・・・異常通信パターン受付部、２４・・・異常通信判定部（比較判定手段）、２５・・・判定結果報告部、２７・・・異常報告部

Claims (14)

1. 電子機器および中央装置を備えた電子システムにおいて、
   前記電子機器は、
   異常な通信の特徴を示す異常通信特徴情報を前記中央装置から受信する異常通信特徴情報受信手段と、
   前記電子機器が行った通信の特徴を示す第１の通信特徴情報を記憶する第１の記憶手段と、
   前記異常通信特徴情報と前記第１の通信特徴情報を比較し、前記異常通信特徴情報と一致する前記通信特徴情報が存在するか否かを判定する比較判定手段とを有し、
   前記中央装置は、
   ネットワークを介して行われた通信の特徴を示す第２の通信特徴情報を記憶する第２の記憶手段と、
   前記第２の通信特徴情報に基づいて、異常な通信が行われたか否かを判定する異常判定手段と、
   異常な通信が行われたと判定された場合に、前記第２の通信特徴情報から前記異常通信特徴情報を抽出する情報抽出手段と、
   前記異常通信特徴情報を前記電子機器へ送信する異常通信特徴情報送信手段とを有する
   ことを特徴とする電子システム。
2. 前記電子機器は、前記比較判定手段による判定の結果を示す判定結果情報を前記中央装置へ送信する判定結果情報送信手段をさらに有し、
   前記中央装置は、前記判定結果情報を前記電子機器から受信する判定結果情報受信手段をさらに有する
   ことを特徴とする請求項１に記載の電子システム。
3. 第１の電子機器、第２の電子機器、および中央装置を備えた電子システムにおいて、
   前記第１の電子機器は、
   前記中央装置から送信される、異常な通信の特徴を示す異常通信特徴情報を受信する第１の異常通信特徴情報受信手段と、
   前記第１の電子機器が行った通信の特徴を示す第１の通信特徴情報を記憶する第１の記憶手段と、
   前記異常通信特徴情報と前記第１の通信特徴情報を比較し、前記異常通信特徴情報と一致する前記通信特徴情報が存在するか否かを判定する比較判定手段とを有し、
   前記第２の電子機器は、
   前記第２の電子機器が行った通信の特徴を示す第２の通信特徴情報を記憶する第２の記憶手段と、
   前記第２の通信特徴情報に基づいて、前記第２の電子機器が異常な通信を行ったか否かを判定する異常判定手段と、
   異常な通信が行われたと判定された場合に、前記第２の通信特徴情報から、異常な通信の特徴を示す異常通信特徴情報を抽出する情報抽出手段と、
   前記異常通信特徴情報を前記中央装置へ送信する異常通信特徴情報送信手段とを有し、
   前記中央装置は、
   前記異常通信特徴情報を前記第２の電子機器から受信する第２の異常通信特徴情報受信手段と、
   前記異常通信特徴情報を前記第１の電子機器へ送信する第２の異常通信特徴情報送信手段とを有する
   ことを特徴とする電子システム。
4. 前記第１の電子機器は、前記比較判定手段による判定の結果を示す判定結果情報を前記中央装置へ送信する判定結果情報送信手段をさらに有し、
   前記中央装置は、前記判定結果情報を前記第１の電子機器から受信する判定結果情報受信手段をさらに有する
   ことを特徴とする請求項３に記載の電子システム。
5. 異常な通信の特徴を示す異常通信特徴情報を中央装置から受信する異常通信特徴情報受信手段と、
   自身の電子機器が行った通信の特徴を示す通信特徴情報を記憶する記憶手段と、
   前記異常通信特徴情報と前記通信特徴情報を比較し、前記異常通信特徴情報と一致する前記通信特徴情報が存在するか否かを判定する比較判定手段と、
   を備えたことを特徴とする電子機器。
6. 前記比較判定手段による判定の結果を示す判定結果情報を前記中央装置へ送信する判定結果情報送信手段をさらに備えたことを特徴とする請求項５に記載の電子機器。
7. 前記通信特徴情報に基づいて、自身の電子機器が異常な通信を行ったか否かを判定する異常判定手段と、
   異常な通信が行われたと判定された場合に、前記通信特徴情報から前記異常通信特徴情報を抽出する情報抽出手段と、
   前記情報抽出手段によって抽出された前記異常通信特徴情報を前記中央装置へ送信する異常通信特徴情報送信手段と、
   をさらに備えたことを特徴とする請求項５または請求項６に記載の電子機器。
8. ネットワークを介して行われた通信の特徴を示す第１の通信特徴情報を記憶する記憶手段と、
   前記第１の通信特徴情報に基づいて、異常な通信が行われたか否かを判定する異常判定手段と、
   異常な通信が行われたと判定された場合に、前記第１の通信特徴情報から、異常な通信の特徴を示す異常通信特徴情報を抽出する情報抽出手段と、
   前記異常通信特徴情報を電子機器へ送信する異常通信特徴情報送信手段と、
   を備えたことを特徴とする中央装置。
9. 前記電子機器が行った通信の特徴を示す第２の通信特徴情報と前記異常通信特徴情報を比較して前記異常通信特徴情報と一致する前記第１の通信特徴情報が存在するか否かを判定した結果を示す判定結果情報を前記電子機器から受信する判定結果情報受信手段をさらに備えたことを特徴とする請求項８に記載の中央装置。
10. 異常な通信の特徴を示す異常通信特徴情報を第１の電子機器から受信する異常通信特徴情報受信手段と、
    前記異常通信特徴情報を第２の電子機器へ送信する異常通信特徴情報送信手段と、
    を備えたことを特徴とする中央装置。
11. 前記第２の電子機器が行った通信の特徴を示す第１の通信特徴情報と前記異常通信特徴情報を比較して前記異常通信特徴情報と一致する前記第１の通信特徴情報が存在するか否かを判定した結果を示す判定結果情報を前記第２の電子機器から受信する判定結果情報受信手段をさらに備えたことを特徴とする請求項１０に記載の中央装置。
12. 請求項５〜請求項７のいずれかに記載の電子機器としてコンピュータを機能させるためのプログラム。
13. 請求項８〜請求項１１のいずれかに記載の中央装置としてコンピュータを機能させるためのプログラム。
14. 請求項１２または請求項１３に記載のプログラムを記載したコンピュータ読み取り可能な記録媒体。

Images