JP2015127843A - 通信制御装置、通信制御方法、および通信制御プログラム - Google Patents

Abstract

【課題】水飲み場型攻撃等によってＷｅｂサイトに仕込まれたマルウェアによる被害の拡大を抑えることを可能にする。
【解決手段】通信制御装置２０は、ユーザＮＷ２に属するユーザ端末２６から、当該ユーザＮＷ２の外部のネットワーク上のＷｅｂサイトへのアクセスにおいて、アクセス元のユーザ端末２６の識別情報およびアクセス先のＷｅｂサイトの識別情報を含む通信ログを記憶する通信ログ記憶部２０１と、改竄されたＷｅｂサイトの識別情報を含む改竄情報を受け付ける改竄情報受付部２０３と、改竄情報受付部２０３が改竄情報を受け付けた場合に、通信ログ記憶部２０１内の通信ログを参照して、改竄情報に含まれるＷｅｂサイトにアクセスしたユーザ端末２６を特定し、ユーザ端末２６の通信経路を制御するＳＤＮコントローラ２５に指示して、特定したユーザ端末２６の通信を制限させる通信制御部２０２とを備える。
【選択図】図１

Description

本発明は、通信制御装置、通信制御方法、および通信制御プログラムに関する。

下記の特許文献１には、通信を発生させた端末のＵＲＬやアドレスの構造から特徴ベクトルを抽出し、得られた特徴に対して教師付き機械学習の手法を適用することにより、通信が通常かあるいは悪意があるかという、通信の悪意性の種別を推定的に判定する技術が開示されている。このような技術により、過去に観測されなかった未知のアドレスにも対応可能なアドレスの評価判定が可能となり、結果として悪意のある通信を検出することができる。

また、標的となるユーザがよく利用する正規のＷｅｂサイトを不正に改竄してマルウェア等を仕込み、そのＷｅｂサイトにアクセスしてきたユーザのユーザ端末にマルウェアをダウンロードさせて感染させるドライブ・バイ・ダウンロード型攻撃の一つである水飲み場型攻撃が知られている。

特開２０１２−１７５２９６号公報

ところで、上記の特許文献１の技術では、通信データの送信元のアドレスに基づいて送信元の悪意性を推定するが、正規のＷｅｂサイトが改竄された場合には、Ｗｅｂサイト自体は正規のものであるため、送信元のＷｅｂサーバのアドレスからは悪意性が推定されない。そのため、特許文献１の技術は、水飲み場型攻撃に対しては有効な対策とはならない。

また、ブラウザプログラムやＯＳ、その他アプリケーション等に脆弱性が発見されても、その脆弱性を修正する修正パッチが適用されていれば、その脆弱性を突く攻撃を受けることはない。しかし、脆弱性が発見されてから修正パッチが提供されるまでの間に、その脆弱性を突くいわゆるゼロデイ攻撃を防ぐことはできない。そのため、ゼロデイ攻撃によりマルウェアを仕込まれたユーザ端末が他のユーザ端末やサーバへマルウェア等の不正プログラムを拡散させることで、マルウェアによる被害が拡大する場合があった。

そこで、本願に係る技術は、上述した従来技術の問題に鑑みてなされたものであって、水飲み場型攻撃等によって仕込まれたマルウェアによる被害の拡大を抑えることを目的とする。

上述した課題を解決し、目的を達成するため、本願に係る通信制御装置は、ユーザネットワークに属する通信装置から、当該ユーザネットワークの外部のネットワーク上の外部サービス装置へのアクセスにおいて、アクセス元の通信装置の識別情報およびアクセス先の外部サービス装置の識別情報を含む通信ログを記憶する記憶部と、改竄された外部サービス装置の識別情報を含む改竄情報を受け付ける受付部と、前記受付部が前記改竄情報を受け付けた場合に、前記記憶部内の前記通信ログを参照して、前記改竄情報に含まれる外部サービス装置にアクセスした通信装置を制限対象の通信装置として特定し、前記通信装置の通信経路を制御する経路制御装置に指示して、前記制限対象の通信装置の通信を制限させる通信制御部とを備える。

本願に係る通信制御装置、通信制御方法、および通信制御プログラムは、水飲み場型攻撃等によって仕込まれたマルウェアによる被害の拡大を抑えることを可能とする。

図１は、実施形態における通信システムの一例を示すシステム構成図である。 図２は、ユーザＮＷに設けられたＳＤＮ−ＳＷの設定の一例を説明するための説明図である。 図３は、データセンタに設けられたＳＤＮ−ＳＷの設定の一例を説明するための説明図である。 図４は、通信ログ記憶部が記憶する外部アクセスログの一例を示す図である。 図５は、通信ログ記憶部が記憶する内部アクセスログの一例を示す図である。 図６は、Ｗｅｂサイトの改竄から修正プログラムの提供までの過程の一例を説明するための説明図である。 図７は、通信制御装置の動作の一例を示すフローチャートである。 図８は、通信制御装置の機能を実現するコンピュータの構成の一例を示す図である。 図９は、他の実施形態における通信システムの一例を示すシステム構成図である。

以下、本発明の一実施形態について、図面を参照しながら説明する。

図１は、実施形態における通信システム１の構成の一例を示すシステム構成図である。通信システム１は、例えば図１に示すように、ユーザの拠点内に構築されたユーザＮＷ（ネットワーク）２と、データセンタ３とを有する。

ユーザＮＷ２には、例えば図１に示すように、通信制御装置２０、トンネリング装置２１、ＳＤＮ−ＳＷ（Software-Defined Network - SWitch）２２、Ｗｅｂプロキシサーバ２３、ルータ２４、およびＳＤＮコントローラ２５が設けられる。通信制御装置２０は、通信ログ収集部２００、通信ログ記憶部２０１、通信制御部２０２、および改竄情報受付部２０３を有する。ＳＤＮ−ＳＷ２２には、ＬＡＮ２８が接続され、ＬＡＮ２８には、複数のユーザ端末２６−１、２６−２、・・・と、１つ以上のサーバ２７が接続される。なお、以下では、ユーザ端末２６−１、２６−２、・・・を区別することなく総称する場合に、「ユーザ端末２６」と記載する。ユーザ端末２６およびサーバ２７は、通信装置の一例である。

データセンタ３には、例えば図１に示すように、ルータ３０、トンネリング装置３１、ＳＤＮ−ＳＷ３２、検査サーバ３３、および１つ以上のＤＣ（Data Center）サーバ３６−１、３６−２、・・・が設けられる。ＳＤＮ−ＳＷ３２には、隔離ネットワーク３４およびＬＡＮ３５が接続される。隔離ネットワーク３４には、検査サーバ３３が接続される。ＬＡＮ３５には、ＤＣサーバ３６−１、３６−２、・・・がそれぞれ接続される。なお、以下では、ＤＣサーバ３６−１、３６−２、・・・を区別することなく総称する場合に、「ＤＣサーバ３６」と記載する。

ユーザＮＷ２内のトンネリング装置２１は、データセンタ３内のトンネリング装置３１との間で、例えばＬ２−ＶＰＮ（Layer 2 − Virtual Private Network）等の技術を用いて仮想的な通信路を設定する。そして、ＳＤＮ−ＳＷ２２から通信データを受け取った場合に、当該通信データについてカプセル化および暗号化の処理を施す。そして、トンネリング装置２１は、処理後の通信データの送信元のＩＰアドレスをトンネリング装置２１のアドレスとし、宛先のＩＰアドレスをトンネリング装置３１としてルータ２４へ送る。また、トンネリング装置２１は、ルータ２４からカプセル化された通信データを受け取った場合に、当該通信データについてデカプセル化および復号の処理を施し、処理後の通信データをＳＤＮ−ＳＷ２２へ送る。

Ｗｅｂプロキシサーバ２３は、ＳＤＮ−ＳＷ２２から通信データを受け取った場合に、受け取った通信データに基づいて外部アクセスログを作成し、作成した外部アクセスログを通信ログとして、ＳＤＮ−ＳＷ２２を介して通信制御装置２０へ送る。なお、Ｗｅｂプロキシサーバ２３は、ＳＤＮ−ＳＷ２２を介さずに、通信ログを通信制御装置２０へ送ってもよい。外部アクセスログには、通信データの送信元のユーザ端末２６またはサーバ２７の情報（アクセス元情報）、通信データの送信先のＷｅｂサーバ１１の情報（アクセス先情報）、および、当該通信データの送信時刻（アクセス時刻）が含まれる。Ｗｅｂサーバ１１は、外部サービス装置の一例である。

アクセス元情報には、通信データの送信元のユーザ端末２６またはサーバ２７の識別情報と、当該ユーザ端末２６またはサーバ２７にインストールされているブラウザプログラムやＯＳ等の情報とが含まれる。ユーザ端末２６およびサーバ２７の識別情報としては、例えばＭＡＣアドレス、ＩＰアドレス、およびホスト名等を用いることができる。また、ユーザ端末２６またはサーバ２７にインストールされているブラウザプログラムやＯＳ等の情報としては、プログラム名やバージョンの情報等を用いることができる。ブラウザプログラムの情報は、ＨＴＴＰ（HyperText Transfer Protocol）を用いた通信であれば、例えば通信データのヘッダに含まれているユーザエージェント（User Agent）情報から取得することができる。アクセス先情報には、通信データの宛先となるＷｅｂサイトのＵＲＬ（Uniform Resource Locator）や、当該Ｗｅｂサイトを提供しているＷｅｂサーバ１１のＩＰアドレス等を用いることができる。

Ｗｅｂプロキシサーバ２３は、例えば、ＳＤＮ−ＳＷ２２から受け取った通信データの送信元のＩＰアドレスをＷｅｂプロキシサーバ２３のアドレスに書き換えてルータ２４へ送る。また、Ｗｅｂプロキシサーバ２３は、例えば、ルータ２４から受け取った通信データの宛先を、当該通信データの要求元のユーザ端末２６のアドレスに書き換えてＳＤＮ−ＳＷ２２へ送る。なお、透過型プロキシ機能を備えるＷｅｂプロキシサーバを設置する場合は、この限りではなく、ＩＰアドレスを書き換えない場合もある。

ルータ２４は、トンネリング装置２１から受け取った通信データを、インターネット等の通信回線１２を介してデータセンタ３へ送り、Ｗｅｂプロキシサーバ２３から受け取った通信データを、通信回線１２を介して宛先のＷｅｂサーバ１１へ送信する。また、ルータ２４は、通信回線１２を介して通信データを受信した場合に、受信した通信データを、宛先のＩＰアドレスに応じてトンネリング装置２１またはＷｅｂプロキシサーバ２３へ送る。

ＳＤＮ−ＳＷ２２は、フローテーブルおよび複数の入出力ポートを有し、それぞれのポートにおいて通信データを受信した場合に、受信した通信データを、フローテーブルに設定された条件に従って処理する。具体的なフローテーブルの例を、図２を用いて説明する。図２は、ユーザＮＷ２に設けられたＳＤＮ−ＳＷ２２の設定の一例を説明するための説明図である。図２（ａ）は、ＳＤＮ−ＳＷ２２に設けられた各ポートとその接続先を示している。図２（ｂ）は、ＳＤＮ−ＳＷ２２内のフローテーブル２２０に設定されるデータの一例を示している。

なお、ＳＤＮ−ＳＷ２２およびＳＤＮ−ＳＷ３２は、例えばOpenflow対応スイッチ(Openvswitch: http://openvswitch.org/)を用いて実現することができる。また、ＳＤＮコントローラ２５は、例えばOpenflow(https://www.opennetworking.org/)対応コントローラを用いて実現することができる。

図２（ａ）に例示するように、ＳＤＮ−ＳＷ２２のポート０１はＬＡＮ２８を介してユーザ端末２６およびサーバ２７にそれぞれ接続され、ポート０２はトンネリング装置２１に接続され、ポート０３はＷｅｂプロキシサーバ２３に接続され、ポート０４は通信制御装置２０に接続されている。なお、ＳＤＮ−ＳＷ２２とＳＤＮコントローラ２５は、ＳＤＮ用のチャネルで通信が確立している。

ＳＤＮ−ＳＷ２２内のフローテーブル２２０には、例えば図２（ｂ）に示すように、通信データを受信した入力ポートの情報に対応付けて、当該入力ポートで受信した通信データの条件と、その条件を満たした通信データを送出する出力ポートの情報とが格納されている。図２（ｂ）の例では、通信データの送信元ＭＡＣアドレスおよび宛先のＭＡＣアドレスが条件として指定される。

なお、図２（ｂ）に例示したフローテーブル２２０において、各行はフローエントリと呼ばれ、左側の３列は、ＳＤＮ−ＳＷ２２が通信データを受信したときに、受信した通信データと比較される条件項目であり、一番右側の１列は、受信した通信データが条件項目にマッチしたときに、ＳＤＮ−ＳＷ２２がその通信データに対して実行する命令である。また、図２（ｂ）に例示したフローテーブル２２０において、「−」は、任意のＭＡＣアドレスを示し、「＊＊＊」は、ＳＤＮコントローラ２５によって指定されたＭＡＣアドレスが随時登録または削除されることを示している。また、ＳＤＮ−ＳＷ２２は、受信した通信データについて、フローテーブル２２０の最上段のレコードから最下段のレコードに向かって順に条件判定を行う。また、ＳＤＮ−ＳＷ２２は、いずれのレコードにも該当しない通信データについては、対処をＳＤＮコントローラ２５に問い合わせたり、ドロップさせたりする。なお、図１および図２では、Ｗｅｂサイトへのアクセスに着目したシステム構成が図示されている。Ｗｅｂサイトとの通信以外の通信では、通信データは、Ｗｅｂプロキシサーバ２３を経由せずに、ＳＤＮ−ＳＷ２２とルータ２４の間の図示しない接続を介してやり取りされる。

図２（ｂ）に例示したフローテーブル２２０において、例えば最上段のレコードは、「０１」のポートから入力された通信データについては、通信データの送信元ＭＡＣアドレスがＳＤＮコントローラ２５によって指定されたアドレスであれば、宛先ＭＡＣアドレスにかかわらず、その通信データを「０２」のポートから出力することを示している。その結果、ユーザ端末２６またはサーバ２７から出力された通信データは、トンネリング装置２１によってカプセル化および暗号化されてデータセンタ３内のトンネリング装置３１へ送られる。そして、その通信データは、ＳＤＮ−ＳＷ３２によって隔離ネットワーク３４内に出力される。

また、例えば上から２段目のレコードは、「０１」のポートから入力された通信データについては、通信データの送信元ＭＡＣアドレスにかかわらず、宛先ＭＡＣアドレスがＷｅｂプロキシサーバ２３のＭＡＣアドレスであれば、その通信データを「０３」のポートから出力することを示している。この結果、ユーザ端末２６またはサーバ２７から出力された通信データは、Ｗｅｂプロキシサーバ２３へ送られ、Ｗｅｂプロキシサーバ２３によって宛先のＷｅｂサーバ１１へ送信される。または、通信データの宛先ＩＰアドレスが外部のネットワークであって、かつ、宛先ポートがＷｅｂサービス系を示す８０番、８０８０番、４４３番等である場合のみ、Ｗｅｂプロキシサーバ２３へ送るようＳＤＮ−ＳＷ２２を制御してもよい。

また、例えば上から３段目のレコードは、「０１」のポートから入力された通信データについては、通信データの送信元ＭＡＣアドレスにかかわらず、宛先ＭＡＣアドレスがＤＣサーバ３６のＭＡＣアドレスであれば、その通信データを「０２」のポートから出力することを示している。その結果、ユーザ端末２６またはサーバ２７から出力された通信データは、トンネリング装置２１によってカプセル化および暗号化されてデータセンタ３内のトンネリング装置３１へ送られ、ＳＤＮ−ＳＷ３２によって、ＬＡＮ３５内のＤＣサーバ３６へ出力される。

また、例えば上から４段目のレコードは、「０１」のポートから入力された通信データについては、通信データの送信元ＭＡＣアドレスにかかわらず、宛先ＭＡＣアドレスがユーザ端末２６またはサーバ２７のＭＡＣアドレスであれば、その通信データを「０１」のポートから出力することを示している。その結果、それぞれのユーザ端末２６およびサーバ２７は、互いに通信データを送受信することができる。

なお、ＳＤＮ−ＳＷ２２は、それぞれのユーザ端末２６およびサーバ２７が、ＬＡＮ２８内において他のユーザ端末２６またはサーバ２７へ通信データを送信した場合、および、データセンタ３内のＤＣサーバ３６へ通信データを送信した場合に、当該通信データ内の情報から内部アクセスログを作成する。そして、ＳＤＮ−ＳＷ２２は、作成した内部アクセスログを通信ログとして通信制御装置２０へ出力する。内部アクセスログには、通信データの送信元のユーザ端末２６の情報（アクセス元情報）、通信データの送信先の他のユーザ端末２６、サーバ２７、またはＤＣサーバ３６の情報（アクセス先情報）、および、当該通信データの送信時刻（アクセス時刻）が含まれる。

内部アクセスログにおけるアクセス元情報には、通信データの送信元のユーザ端末２６またはサーバ２７の識別情報と、ＳＤＮ−ＳＷ２２にアプリケーションレベルのレイヤの通信をキャプチャする機能が備わっている場合は、当該ユーザ端末２６またはサーバ２７にインストールされているブラウザプログラムやＯＳ等の情報とが含まれる。また、内部アクセスログにおけるアクセス先情報には、通信データの宛先のユーザ端末２６またはサーバ２７の識別情報が含まれる。また、ＳＤＮ−ＳＷ３２も同様の構成をとることとしてもよい。

また、図２（ｂ）に例示したフローテーブル２２０において、例えば上から５段目のレコードは、「０２」のポートから入力された通信データについては、通信データの送信元ＭＡＣアドレスにかかわらず、宛先ＭＡＣアドレスがユーザ端末２６またはサーバ２７のＭＡＣアドレスであれば、その通信データを「０１」のポートから出力することを示している。その結果、それぞれのユーザ端末２６およびサーバ２７は、隔離ネットワーク３４内の検査サーバ３３またはＬＡＮ３５内のＤＣサーバ３６からの通信データを受信することができる。

また、例えば上から６段目のレコードは、「０２」のポートから入力された通信データについては、通信データの送信元ＭＡＣアドレスにかかわらず、宛先ＭＡＣアドレスが通信制御装置２０のＭＡＣアドレスであれば、その通信データを「０４」のポートから出力することを示している。その結果、通信制御装置２０は、検査サーバ３３からの通信データを受信することができる。

また、例えば上から７段目のレコードは、「０３」のポートから入力された通信データについては、通信データの送信元ＭＡＣアドレスにかかわらず、宛先ＭＡＣアドレスがユーザ端末２６またはサーバ２７のＭＡＣアドレスであれば、その通信データを「０１」のポートから出力することを示している。その結果、それぞれのユーザ端末２６およびサーバ２７は、Ｗｅｂプロキシサーバ２３を介して、Ｗｅｂサーバ１１から通信データを受信することができる。

また、例えば上から８段目のレコードは、「０４」のポートから入力された通信データについては、通信データの送信元ＭＡＣアドレスにかかわらず、宛先ＭＡＣアドレスが検査サーバ３３のＭＡＣアドレスであれば、その通信データを、「０２」のポートから出力することを示している。その結果、通信制御装置２０は、検査サーバ３３へ通信データを送信することができる。なお、図示しないが、図２（ｂ）の設定と矛盾がない範囲でＳＤＮ−ＳＷ２２には、一般的なスイッチング機能を実施するフローエントリが設定されているものとする。

また、図示しない通信路を経由して、ＳＤＮコントローラ２５は、ＳＤＮ−ＳＷ３２内のフローテーブル３２０への設定情報をＳＤＮ−ＳＷ３２へ送信することができる。例えば、ＳＤＮコントローラ２５とトンネリング装置２１とが直接接続され、Ｌ２−ＶＰＮ経由で通信する場合があげられる。または、ＳＤＮコントローラ２５とＳＤＮ−ＳＷ３２とをＳＳＬ等によって直接接続してもよい。

図１に戻って説明を続ける。データセンタ３内のトンネリング装置３１は、ユーザＮＷ２内のトンネリング装置２１との間で、例えばＬ２−ＶＰＮ等の技術を用いて仮想的な通信路を設定する。そして、ＳＤＮ−ＳＷ３２から通信データを受け取った場合に、当該通信データについてカプセル化および暗号化の処理を施す。そして、トンネリング装置３１は、処理後の通信データの送信元のＩＰアドレスをトンネリング装置３１のアドレスとし、宛先のＩＰアドレスをトンネリング装置２１としてルータ３０へ送る。また、トンネリング装置３１は、ルータ３０からカプセル化された通信データを受け取った場合に、当該通信データについてデカプセル化および復号化の処理を施し、処理後の通信データをＳＤＮ−ＳＷ３２へ送る。

ルータ３０は、トンネリング装置３１から受け取った通信データを、通信回線１２を介してユーザＮＷ２へ送り、通信回線１２を介して受信した通信データをトンネリング装置３１へ送る。

ＳＤＮ−ＳＷ３２は、フローテーブルおよび複数の入出力ポートを有し、それぞれのポートにおいて通信データを受信した場合に、受信した通信データを、フローテーブルに設定された条件に従って処理する。具体的なフローテーブルの例を、図３を用いて説明する。図３は、データセンタ３に設けられたＳＤＮ−ＳＷ３２の設定の一例を説明するための説明図である。図３（ａ）は、ＳＤＮ−ＳＷ３２に設けられた各ポートとその接続先を示している。図３（ｂ）は、ＳＤＮ−ＳＷ３２内のフローテーブル３２０に設定されるデータの一例を示している。

図３（ａ）に例示するように、ＳＤＮ−ＳＷ３２のポート１１はトンネリング装置３１に接続され、ポート１２は隔離ネットワーク３４を介して検査サーバ３３に接続され、ポート１３はＬＡＮ３５を介してＤＣ上のサーバであるＤＣサーバ３６にそれぞれ接続されている。ＳＤＮ−ＳＷ３２内のフローテーブル３２０には、例えば図３（ｂ）に示すように、通信データを受信した入力ポートの情報に対応付けて、当該入力ポートで受信した通信データの条件と、その条件を満たした通信データを送出する出力ポートの情報とが格納されている。図３（ｂ）の例では、通信データの送信元ＭＡＣアドレスおよび宛先のＭＡＣアドレスが条件として指定される。

なお、図３（ｂ）に例示したフローテーブル３２０においても、図２（ｂ）に例示したフローテーブル２２０と同様に、「−」は任意のＭＡＣアドレスを示し、「＊＊＊」はＳＤＮコントローラ２５によって指定されたＭＡＣアドレスが随時設定されることを示している。また、ＳＤＮ−ＳＷ３２は、受信した通信データについて、フローテーブル３２０の最上段のレコードから最下段のレコードに向かって順に条件判定を行う。また、ＳＤＮ−ＳＷ３２も、ＳＤＮ−ＳＷ２２と同様に、いずれのレコードにも該当しない通信データについては、その対処をＳＤＮコントローラ２５に問い合わせたり、ドロップさせたりする。

図３（ｂ）に例示したフローテーブル３２０において、例えば最上段のレコードは、「１１」のポートから入力された通信データについては、通信データの送信元ＭＡＣアドレスがＳＤＮコントローラ２５によって指定されたアドレスであれば、宛先ＭＡＣアドレスにかかわらず、その通信データを「１２」のポートから出力することを示している。その結果、ＳＤＮコントローラ２５によって指定されたＭＡＣアドレスに該当するユーザ端末２６およびサーバ２７から出力された通信データは、隔離ネットワーク３４へ送出される。

また、例えば上から２段目のレコードは、「１１」のポートから入力された通信データについては、通信データの送信元ＭＡＣアドレスにかかわらず、宛先ＭＡＣアドレスが検査サーバ３３のアドレスであれば、その通信データを「１２」のポートから出力することを示している。その結果、それぞれのユーザ端末２６、サーバ２７、および通信制御装置２０は、検査サーバ３３に通信データを送信することができる。

また、例えば上から３段目のレコードは、「１１」のポートから入力された通信データについては、通信データの送信元ＭＡＣアドレスにかかわらず、宛先ＭＡＣアドレスがＤＣサーバ３６のアドレスであれば、その通信データを「１３」のポートから出力することを示している。その結果、それぞれのユーザ端末２６およびサーバ２７は、それぞれのＤＣサーバ３６に通信データを送信することができる。

また、例えば上から４段目のレコードは、「１２」のポートから入力された通信データについては、通信データの送信元ＭＡＣアドレスにかかわらず、宛先ＭＡＣアドレスがユーザ端末２６、サーバ２７、または通信制御装置２０のアドレスであれば、その通信データを、「１１」のポートから出力することを示している。その結果、ユーザ端末２６、サーバ２７、および通信制御装置２０は、検査サーバ３３からの通信データを受信することができる。

また、例えば上から５段目のレコードは、「１３」のポートから入力された通信データについては、通信データの送信元ＭＡＣアドレスにかかわらず、宛先ＭＡＣアドレスが
ユーザ端末２６またはサーバ２７のＭＡＣアドレスであれば、その通信データを「１１」のポートから出力することを示している。その結果、それぞれのユーザ端末２６およびサーバ２７は、ＤＣサーバ３６からの通信データを受信することができる。なお、図示しないが、図３（ｂ）の設定と矛盾がない範囲で、ＳＤＮ−ＳＷ３２には、一般的なスイッチング機能を実施するフローエントリが設定されているものとする。

再び図１に戻って説明を続ける。データセンタ３内の検査サーバ３３は、通信回線１２を介して修正プログラム、マルウェア駆除用のパターンファイル、およびマルウェアの駆除ツールを備えている、または収集する。そして、ＳＤＮ−ＳＷ３２を介して検査対象となるユーザ端末２６およびサーバ２７の情報を含む検査要求を通信制御装置２０から受信した場合、検査サーバ３３は、当該ユーザ端末２６およびサーバ２７のそれぞれと通信して、マルウェアに感染しているか否かを検査する。

そして、ユーザ端末２６およびサーバ２７がマルウェアに感染していない場合、検査サーバ３３は、必要に応じてユーザ端末２６およびサーバ２７のそれぞれに修正プログラムを適用する。そして、検査サーバ３３は、修正プログラムの適用が完了したユーザ端末２６およびサーバ２７の情報を含む検査完了通知を、ＳＤＮ−ＳＷ３２へ出力する。当該検査完了通知は、ＳＤＮ−ＳＷ３２、トンネリング装置３１、ルータ３０、通信回線１２、ルータ２４、トンネリング装置２１、およびＳＤＮ−ＳＷ２２を介して、通信制御装置２０へ送信される。

一方、ユーザ端末２６およびサーバ２７がマルウェアに感染している場合、検査サーバ３３は、マルウェアの駆除ツールを用いてユーザ端末２６およびサーバ２７に感染しているマルウェアを駆除した後にそれぞれに修正プログラムを適用する。そして、検査サーバ３３は、マルウェアの駆除および修正プログラムの適用が完了したユーザ端末２６およびサーバ２７の情報を含む検査完了通知を、ＳＤＮ−ＳＷ３２へ出力する。そして、検査完了通知は、ＳＤＮ−ＳＷ３２を介して通信制御装置２０へ送られる。

検査完了通知を受信した通信制御装置２０は、隔離を解除する制御命令をＳＤＮ−ＳＷ２２および３２へ送信する。なお、通信制御装置２０は検査サーバ３３への検査要求の送信を省略してもよい。この場合、通信制御装置２０が、隔離ネットワーク３４に隔離しているユーザ端末２６およびサーバ２７の情報を管理し、検査サーバ３３は、隔離ネットワーク３４内に流れてきた通信データの送信元のユーザ端末２６およびサーバ２７を検査・処理し、検査が完了した後に、検査完了を通信制御装置２０へ通知する。そして、通信制御装置２０は、ＳＤＮコントローラ２５を経由して、検査完了通知の受信をトリガーとして、隔離を解除する制御命令をＳＤＮ−ＳＷ２２および３２へ送信するようにしてもよい。

ユーザＮＷ２に設けられた通信制御装置２０内の通信ログ収集部２００は、ＳＤＮ−ＳＷ２２を介してＷｅｂプロキシサーバ２３から通信ログとして外部アクセスログを受信した場合に、受信した外部アクセスログを、通信ログ記憶部２０１に記憶させる。また、通信ログ収集部２００は、ＳＤＮ−ＳＷ２２から通信ログとして内部アクセスログを受信した場合に、受信した内部アクセスログを、通信ログ記憶部２０１に記憶させる。

通信ログ記憶部２０１は、通信ログとして外部アクセスログおよび内部アクセスログを記憶する。図４は、通信ログ記憶部２０１が記憶する外部アクセスログ２０１０の一例を示す図である。外部アクセスログ２０１０には、例えば図４に示すように、アクセス元情報２０１１、アクセス先情報２０１２、およびアクセス時刻２０１３が含まれる。

アクセス元情報２０１１には、通信データの送信元のユーザ端末２６またはサーバ２７の識別情報（例えば、ＭＡＣアドレス、ＩＰアドレス、およびホスト名等）と、当該ユーザ端末２６またはサーバ２７にインストールされているブラウザプログラムやＯＳ等の情報（プログラム名やバージョンの情報等）とが含まれる。アクセス先情報２０１２には、例えば通信データの送信先のＷｅｂサイトのＵＲＬや、当該Ｗｅｂサイトを提供しているＷｅｂサーバ１１のＩＰアドレス等が含まれる。

なお、ユーザＮＷ２が同一Ｌ２セグメントのＮＷである場合、通信データからユーザ端末２６やサーバ２７のＭＡＣアドレスを取得できれば、ユーザ端末２６やサーバ２７を一意に識別できるため、ＩＰアドレスやホスト名等は外部アクセスログに含まれていなくてもよい。一方、ユーザＮＷ２が異なるＬ２セグメントのＮＷで構成されている場合は、ＭＡＣアドレスでユーザ端末２６やサーバ２７を識別するのは困難であるため、ＩＰアドレス等の情報を用いて識別することになる。また、本実施形態では、トンネリング装置２１およびＷｅｂプロキシサーバ２３のＳＤＮ−ＳＷ２２側まではレイヤ２接続されていることを前提としているが、レイヤ３接続されている場合には、通信データからはユーザ端末２６やサーバ２７のＭＡＣアドレスを収集できない場合がある。その場合には、通信データに含まれているＩＰアドレスやホスト名を用いて各ユーザ端末２６やサーバ２７を識別する。ただし、ＩＰアドレスの割り当てが動的に変わるＤＨＣＰ環境の場合には、ＤＨＣＰサーバからＭＡＣアドレスとＩＰアドレスの対応表を取得して、通信データに含まれているＩＰアドレスに対応するＭＡＣアドレスを特定する。

図５は、通信ログ記憶部２０１が記憶する内部アクセスログ２０１５の一例を示す図である。内部アクセスログ２０１５には、例えば図５に示すように、アクセス元情報２０１６、アクセス先情報２０１７、およびアクセス時刻２０１８が含まれる。

アクセス元情報２０１６には、通信データの送信元のユーザ端末２６またはサーバ２７の識別情報（例えば、ＭＡＣアドレス、ＩＰアドレス、およびホスト名等）と、当該ユーザ端末２６またはサーバ２７にインストールされているブラウザプログラムやＯＳ等の情報とが含まれる。アクセス先情報２０１７には、通信データの送信先のＷｅｂサーバ１１の識別情報が含まれる。

再び図１に戻って説明を続ける。通信制御装置２０内の改竄情報受付部２０３は、ユーザＮＷ２の管理者等から、改竄されたＷｅｂサイトの情報を含む改竄情報の入力を受け付けた場合に、受け付けた改竄情報を通信制御部２０２へ送る。改竄情報とは、改竄されたＷｅｂサイトの識別情報（例えばＵＲＬやＩＰアドレス）、改竄内容の調査結果、および／または修正プログラム等を含む情報である。

なお、改竄情報受付部２０３は、ユーザＮＷ２の管理者等から改竄情報の入力を受け付ける機能に加えて、または、これに代えて、セキュリティベンダ等からの改竄情報の通知を受け、その内容を自動的に解釈し、通信制御部２０２へ渡す機能を有してもよい。また、改竄情報受付部２０３は、Ｗｅｂを自動クロールしてセキュリティに関する情報を収集して解析し、Ｗｅｂサイトへの攻撃情報を抽出して、通信制御部２０２へ渡す機能を有してもよい。

ここで、Ｗｅｂサイトが改竄された場合、例えば図６のような経過をたどる。図６は、Ｗｅｂサイトの改竄から修正プログラムの提供までの過程の一例を説明するための説明図である。例えば時刻ｔ₁においてＷｅｂサイトが改竄された場合、改竄の事実は改竄直後に発覚することは少なく、それからしばらく時間が経過した時刻ｔ₂において発覚する。そして、改竄の事実が、Ｗｅｂサイトの運営者によって公表される。

時刻ｔ₂において改竄の事実を知ったユーザＮＷ２の管理者は、改竄されたＷｅｂサイトの識別情報を含む改竄情報を改竄情報受付部２０３に入力する。この時点では、改竄が行われた時刻や、改竄により仕込まれたマルウェアによって影響を受けるブラウザプログラム等の情報が得られていないが、改竄されたＷｅｂサイトにアクセスしたことのあるユーザ端末２６であれば、改竄により仕込まれたマルウェアに感染している可能性がある。そのため、改竄内容の調査結果が公表されるまでは、マルウェアによる感染の拡大を防ぐために、改竄されたＷｅｂサイトにアクセスしたことのあるユーザ端末２６を隔離することが好ましい。

また、ユーザ端末２６が改竄されたＷｅｂサイトにアクセスした後に、他のユーザ端末２６やサーバ２７にアクセスした場合、改竄されたＷｅｂサイトに仕込まれたマルウェアが、当該他のユーザ端末２６やサーバ２７に感染（二次感染）した可能性がある。そのため、感染の有無が確認されるまでは、当該他のユーザ端末２６やサーバ２７も隔離されることが好ましい。

そして、例えば、改竄が行われた時刻、仕込まれたマルウェアが突く脆弱性を有するブラザプログラムの種別、そのマルウェアが突くブラウザプログラムの脆弱性等が調査され、例えば時刻ｔ₃において調査結果が公開される。時刻ｔ₃において、ユーザＮＷ２の管理者は、改竄されたＷｅｂサイトの識別情報と、改竄内容の調査結果とを含む改竄情報を改竄情報受付部２０３に入力する。

この時点では、公開された調査結果を参照することにより、改竄されたＷｅｂサイトにアクセスしたことのあるユーザ端末２６やサーバ２７の中で、調査結果に該当するユーザ端末２６やサーバ２７を特定する。これにより、改竄されたＷｅｂサイトに仕込まれたマルウェアに感染している可能性のあるユーザ端末２６やサーバ２７をある程度絞り込むことができる。

具体的には、Ｗｅｂサイトが改竄された時刻以降にそのＷｅｂサイトにアクセスし、かつ、そのＷｅｂサイトに仕込まれたマルウェアが突く脆弱性を有する種別のブラウザプログラムを用いてそのＷｅｂサイトにアクセスし、かつ、その脆弱性が修正されていないバージョンのブラウザプログラムを用いてそのＷｅｂサイトにアクセスしたユーザ端末２６やサーバ２７に絞り込むことができる。そして、改竄されたＷｅｂサイトにアクセスしたことのあるユーザ端末２６やサーバ２７の中で、調査結果に該当しないユーザ端末２６やサーバ２７については、隔離を解除することができる。

そして、改竄によりＷｅｂサイトにマルウェアが仕込まれていたことが判明した場合、そのマルウェアの駆除ツールや、そのマルウェアが突くブラウザプログラムの脆弱性を修正する修正プログラムの作成が進められ、例えば時刻ｔ₄において駆除ツールや修正プログラムの提供が開始される。隔離されたユーザ端末２６やサーバ２７は、マルウェアに感染していれば、提供された駆除ツールによりマルウェアが駆除され、提供された修正プログラムが適用された後に、隔離を解除される。

なお、時刻ｔ₂において改竄の事実が発覚しても、その時点ではＷｅｂサイトの閉鎖にとどめ、調査の結果が出てから例えば時刻ｔ₃において調査結果と共に改竄の事実が公表される場合がある。その場合、ユーザＮＷ２の管理者は、時刻ｔ₂以前ではＷｅｂサイトの改竄の事実を知ることはできず、時刻ｔ₃において、初めて、改竄されたＷｅｂサイトの識別情報と、改竄内容の調査結果とを含む改竄情報を改竄情報受付部２０３に入力することになる。

また、調査結果を公表することにより、公表した脆弱性を利用した新たなマルウェアの発生も懸念されることから、修正プログラムが作成された時刻ｔ₄において、調査結果および改竄の事実が初めて公表される場合もある。その場合も、ユーザＮＷ２の管理者は、時刻ｔ₄において、初めて、改竄されたＷｅｂサイトの識別情報と、改竄内容の調査結果とを含む改竄情報を改竄情報受付部２０３に入力することになる。

再び図１に戻って説明を続ける。通信制御装置２０内の通信制御部２０２は、改竄情報受付部２０３から改竄情報を受け取った場合に、受け取った改竄情報に改竄内容の調査結果が含まれているか否かを判定する。調査結果が含まれていない場合、通信制御部２０２は、通信ログ記憶部２０１内の外部アクセスログを参照して、改竄されたＷｅｂサイトにアクセスしたことがあるユーザ端末２６およびサーバ２７（一次感染）を特定する。

そして、通信制御部２０２は、外部アクセスログを参照して特定したユーザ端末２６およびサーバ２７が、改竄されたＷｅｂサイトにアクセスした時刻以降に、当該ユーザ端末２６またはサーバ２７と通信した他のユーザ端末２６およびサーバ２７（すなわち、二次感染の可能性のある他のユーザ端末２６およびサーバ２７）を、通信ログ記憶部２０１内の内部アクセスログを参照して特定する。

なお、通信制御部２０２は、内部アクセスログを参照して特定した他のユーザ端末２６およびサーバ２７が、外部アクセスログを参照して特定したユーザ端末２６およびサーバ２７が改竄されたＷｅｂサイトにアクセスした時刻以降に、アクセスしたさらに他のユーザ端末２６およびサーバ２７（すなわち、三次感染の可能性のある他のユーザ端末２６およびサーバ２７）を、通信ログ記憶部２０１内の内部アクセスログを参照して特定してもよい。また、三次以降の感染の可能性について、どこまでのユーザ端末２６およびサーバ２７を隔離対象とするかは、ユーザＮＷ２の管理者等によって予め決められて通信制御部２０２に設定される。

また、通信制御部２０２は、改竄されたＷｅｂサイトにアクセスしたユーザ端末２６およびサーバ２７（一次感染装置）と、一次感染装置が改竄されたＷｅｂサイトにアクセスした時刻以降に通信した他のユーザ端末２６およびサーバ２７の中で、一次感染装置が同時刻以降にアクセスしたＷｅｂサイトと同じＷｅｂサイトにアクセスしたユーザ端末２６およびサーバ２７を二次感染の可能性のある二次感染装置として特定してもよい。このとき、通信制御部２０２は、改竄されたＷｅｂサイトにアクセスした時刻以降に一次感染装置がアクセスした全Ｗｅｂサイトの中の所定割合のＷｅｂサイトにアクセスしたユーザ端末２６およびサーバ２７や、当該所定割合のＷｅｂサイトへのアクセス順序が一次感染装置のアクセス順序と一部同一または類似しているユーザ端末２６およびサーバ２７を二次感染装置として特定してもよい。

また、通信制御部２０２は、一次感染装置が改竄されたＷｅｂサイトにアクセスした後に、当該一次感染装置と通信した他のユーザ端末２６およびサーバ２７の中で、当該一次感染装置から所定量以上の通信データを受信した他のユーザ端末２６およびサーバ２７を、二次感染の可能性のある二次感染装置として特定してもよい。この場合、例えば、ＬＡＮ２８に接続されたユーザ端末２６間ならびにユーザ端末２６およびサーバ２７間の通信データをキャプチャし、通信データの送信元、宛先、およびデータサイズを収集する装置をＬＡＮ２８内に設ける。そして、通信ログ収集部２００は、当該装置から送信元、宛先、およびデータサイズの情報を収集して、内部アクセスログに組み込んで通信ログ記憶部２０１に記憶させる。

一次感染または二次感染の可能性のあるユーザ端末２６およびサーバ２７を特定した後に、通信制御部２０２は、特定したユーザ端末２６およびサーバ２７のＭＡＣアドレスを含む隔離指示をＳＤＮコントローラ２５へ送ることにより、これらのユーザ端末２６およびサーバ２７の通信を隔離ネットワーク３４のみに制限する。なお、通信制御部２０２は、一次感染または二次感染の可能性のあるユーザ端末２６およびサーバ２７の通信を、ＳＤＮコントローラ２５に指示して遮断させることにより、これらのユーザ端末２６およびサーバ２７の通信を制限してもよい。

そして、通信制御部２０２は、特定したユーザ端末２６およびサーバ２７の識別情報を含み、宛先ＭＡＣアドレスを検査サーバ３３のＭＡＣアドレスとする検査要求をＳＤＮ−ＳＷ２２へ送る。当該検査要求は、ＳＤＮ−ＳＷ２２のポート０４に入力され、トンネリング装置２１、ルータ２４、通信回線１２、ルータ３０、およびトンネリング装置３１を介して、ＳＤＮ−ＳＷ３２へ送られ、ＳＤＮ−ＳＷ３２によって検査サーバ３３へ送られる。

また、改竄情報受付部２０３から受け取った改竄情報に改竄内容の調査結果が含まれている場合、通信制御部２０２は、通信ログ記憶部２０１内の外部アクセスログを参照して、調査結果に該当するユーザ端末２６およびサーバ２７を特定する。具体的には、通信制御部２０２は、外部アクセスログを参照して、Ｗｅｂサイトが改竄された時刻以降にそのＷｅｂサイトにアクセスし、かつ、そのＷｅｂサイトに仕込まれたマルウェアが突く脆弱性を有する種別のブラウザプログラムを用いてそのＷｅｂサイトにアクセスし、かつ、その脆弱性が修正されていないバージョンのブラウザプログラムを用いてそのＷｅｂサイトにアクセスしたユーザ端末２６やサーバ２７を特定する。

そして、通信制御部２０２は、外部アクセスログを参照して特定したユーザ端末２６およびサーバ２７が、改竄されたＷｅｂサイトにアクセスした時刻以降に、当該ユーザ端末２６またはサーバ２７と通信した他のユーザ端末２６およびサーバ２７（すなわち、二次感染の可能性のある他のユーザ端末２６およびサーバ２７）を、通信ログ記憶部２０１内の内部アクセスログを参照して特定する。

そして、通信制御部２０２は、特定したユーザ端末２６およびサーバ２７（二次感染の可能性があるユーザ端末２６およびサーバ２７を含む）のＭＡＣアドレスを含む隔離指示をＳＤＮコントローラ２５へ送ることにより、これらのユーザ端末２６およびサーバ２７の通信を隔離ネットワーク３４のみに制限する。そして、通信制御部２０２は、特定したユーザ端末２６およびサーバ２７の識別情報を含み、宛先ＭＡＣアドレスを検査サーバ３３のＭＡＣアドレスとする検査要求をＳＤＮ−ＳＷ２２へ送る。当該検査要求は、ＳＤＮ−ＳＷ２２のポート０４に入力され、トンネリング装置２１、ルータ２４、通信回線１２、ルータ３０、およびトンネリング装置３１を介して、ＳＤＮ−ＳＷ３２へ送られ、ＳＤＮ−ＳＷ３２によって検査サーバ３３へ送られる。

なお、改竄内容の調査結果が含まれていない改竄情報に基づいてユーザ端末２６およびサーバ２７を隔離した後に、改竄内容の調査結果が含まれている改竄情報に基づいてユーザ端末２６およびサーバ２７を特定した場合、先に隔離したユーザ端末２６およびサーバ２７の中で、後に特定したユーザ端末２６およびサーバ２７以外のユーザ端末２６およびサーバ２７については、感染の可能性が低いため隔離を解除することが好ましい。そのため、通信制御部２０２は、これらのユーザ端末２６およびサーバ２７のＭＡＣアドレスを含む隔離解除指示をＳＤＮコントローラ２５へ送る。また、通信制御部２０２は、これらのユーザ端末２６およびサーバ２７の識別情報を含む検査取消要求を検査サーバ３３へ送る。

また、ＳＤＮ−ＳＷ２２を介して、検査サーバ３３から検査完了通知を受け取った場合、通信制御部２０２は、通信ログ記憶部２０１から、当該検査完了通知に含まれているユーザ端末２６またはサーバ２７の識別情報を抽出する。そして、通信制御部２０２は、抽出した識別情報に対応するユーザ端末２６またはサーバ２７のＭＡＣアドレスを含む隔離解除指示を作成し、作成した隔離解除指示をＳＤＮコントローラ２５へ送る。

ＳＤＮコントローラ２５は、通信制御部２０２から隔離指示を受け取った場合に、隔離指示に含まれているユーザ端末２６またはサーバ２７のＭＡＣアドレスをＳＤＮ−ＳＷ２２へ送り、図２（ｂ）に例示したフローテーブル２２０の最上段の送信元ＭＡＣアドレスに設定させる。また、ＳＤＮコントローラ２５は、隔離指示に含まれているユーザ端末２６またはサーバ２７のＭＡＣアドレスをＳＤＮ−ＳＷ３２へ送り、図３（ｂ）に例示したフローテーブル３２０の最上段の送信元ＭＡＣアドレスに設定させる。

一方、通信制御部２０２から隔離解除指示を受け取った場合、ＳＤＮコントローラ２５は、隔離解除指示に含まれているユーザ端末２６またはサーバ２７のＭＡＣアドレスをＳＤＮ−ＳＷ２２へ送り、図２（ｂ）に例示したフローテーブル２２０の最上段の送信元ＭＡＣアドレスから削除させる。また、ＳＤＮコントローラ２５は、隔離解除指示に含まれているユーザ端末２６またはサーバ２７のＭＡＣアドレスをＳＤＮ−ＳＷ３２へ送り、図３（ｂ）に例示したフローテーブル３２０の最上段の送信元ＭＡＣアドレスから削除させる。

図７は、通信制御装置２０の動作の一例を示すフローチャートである。通信制御装置２０は、例えば起動後に本フローチャートに示す動作を開始する。

まず、通信ログ収集部２００は、ＳＤＮ−ＳＷ２２を介してＷｅｂプロキシサーバ２３から外部アクセスログを受信したか否かを判定する（Ｓ１００）。Ｗｅｂプロキシサーバ２３から外部アクセスログを受信した場合（Ｓ１００：Ｙｅｓ）、通信ログ収集部２００は、受信した外部アクセスログを通信ログ記憶部２０１に格納し（Ｓ１０１）、再びステップＳ１００に示した処理を実行する。

Ｗｅｂプロキシサーバ２３から外部アクセスログを受信していない場合（Ｓ１００：Ｎｏ）、通信ログ収集部２００は、ＳＤＮ−ＳＷ２２から内部アクセスログを受信したか否かを判定する（Ｓ１０２）。ＳＤＮ−ＳＷ２２から内部アクセスログを受信した場合（Ｓ１０２：Ｙｅｓ）、受信した内部アクセスログを通信ログ記憶部２０１に格納し（Ｓ１０１）、再びステップＳ１００に示した処理を実行する。

ＳＤＮ−ＳＷ２２から内部アクセスログを受信していない場合（Ｓ１０２：Ｎｏ）、改竄情報受付部２０３は、改竄情報を受け付けたか否かを判定する（Ｓ１０３）。改竄情報を受け付けていない場合（Ｓ１０３：Ｎｏ）、通信制御部２０２は、ＳＤＮ−ＳＷ２２を介して、検査サーバ３３から検査完了通知を受け取ったか否かを判定する（Ｓ１１１）。検査サーバ３３から検査完了通知を受け取っていない場合（Ｓ１１１：Ｎｏ）、通信ログ収集部２００は、再びステップＳ１００に示した処理を実行する。

このように、通信制御装置２０は、ステップＳ１００：Ｎｏ、ステップＳ１０２：Ｎｏ、ステップＳ１０３：Ｎｏ、ステップＳ１１１：Ｎｏの処理を繰り返すことで、外部アクセスログ、内部アクセスログ、改竄情報、または検査完了通知の受信を待ち受け、いずれかの情報を受信した場合に、受信した情報に対応する処理を実行し、再び待ち受けの状態に戻る。

改竄情報を受け付けた場合（Ｓ１０３：Ｙｅｓ）、改竄情報受付部２０３は、受け付けた改竄情報を通信制御部２０２へ送る。通信制御部２０２は、受け取った改竄情報に改竄内容の調査結果が含まれているか否かを判定する（Ｓ１０４）。

改竄情報に改竄内容の調査結果が含まれていない場合（Ｓ１０４：Ｎｏ）、通信制御部２０２は、通信ログ記憶部２０１内の外部アクセスログを参照して、改竄されたＷｅｂサイトにアクセスしたことがあるユーザ端末２６およびサーバ２７（一次感染装置）を特定する（Ｓ１０５）。そして、通信制御部２０２は、特定したユーザ端末２６およびサーバ２７が、改竄されたＷｅｂサイトにアクセスした時刻以降に、当該ユーザ端末２６またはサーバ２７と通信した他のユーザ端末２６およびサーバ２７（二次感染装置）を、通信ログ記憶部２０１内の外部アクセスログおよび内部アクセスログを参照して特定する（Ｓ１０６）。

次に、通信制御部２０２は、ステップＳ１０５およびＳ１０６において特定したユーザ端末２６およびサーバ２７のＭＡＣアドレスを含む隔離指示をＳＤＮコントローラ２５へ送ることにより、ＳＤＮ−ＳＷ２２に、当該ユーザ端末２６およびサーバ２７の通信を隔離ネットワーク３４のみに制限させる（Ｓ１０９）。

そして、通信制御部２０２は、特定したユーザ端末２６およびサーバ２７の識別情報を含み、宛先ＭＡＣアドレスを検査サーバ３３のＭＡＣアドレスとする検査要求を、ＳＤＮコントローラ２５を介して、または介さずに直接検査サーバ３３へ送ることにより、当該ユーザ端末２６およびサーバ２７がマルウェアに感染しているか否かの検査を検査サーバ３３に依頼する（Ｓ１１０）。そして、通信ログ収集部２００は、再びステップＳ１００に示した処理を実行する。

一方、改竄情報に改竄内容の調査結果が含まれている場合（Ｓ１０４：Ｙｅｓ）、通信制御部２０２は、通信ログ記憶部２０１内の外部アクセスログを参照して、調査結果に該当するユーザ端末２６およびサーバ２７（一次感染装置）を特定する（Ｓ１０７）。具体的には、通信制御部２０２は、通信ログ記憶部２０１内の外部アクセスログを参照して、Ｗｅｂサイトが改竄された時刻以降にそのＷｅｂサイトにアクセスし、かつ、そのＷｅｂサイトに仕込まれたマルウェアが突く脆弱性を有する種別のブラウザプログラムを用いてそのＷｅｂサイトにアクセスし、かつ、その脆弱性が修正されていないバージョンのブラウザプログラムを用いてそのＷｅｂサイトにアクセスしたユーザ端末２６やサーバ２７を特定する。

次に、通信制御部２０２は、特定したユーザ端末２６およびサーバ２７が、改竄されたＷｅｂサイトにアクセスした時刻以降に、当該ユーザ端末２６またはサーバ２７と通信した他のユーザ端末２６およびサーバ２７の中で、調査結果に該当するユーザ端末２６およびサーバ２７（二次感染装置）を、通信ログ記憶部２０１内の内部アクセスログを参照して特定する（Ｓ１０８）。

次に、通信制御部２０２は、ステップＳ１０７およびＳ１０８において特定したユーザ端末２６およびサーバ２７のＭＡＣアドレスを含む隔離指示をＳＤＮコントローラ２５へ送ることにより、ＳＤＮ−ＳＷ２２に、当該ユーザ端末２６およびサーバ２７の通信を隔離ネットワーク３４のみに制限させる（Ｓ１０９）。

そして、通信制御部２０２は、特定したユーザ端末２６およびサーバ２７の識別情報を含み、宛先ＭＡＣアドレスを検査サーバ３３のＭＡＣアドレスとする検査要求を、ＳＤＮコントローラ２５を介して検査サーバ３３へ送ることにより、当該ユーザ端末２６およびサーバ２７がマルウェアに感染しているか否かの検査を検査サーバ３３に依頼する（Ｓ１１０）。そして、通信ログ収集部２００は、再びステップＳ１００に示した処理を実行する。

検査サーバ３３から検査完了通知を受け取った場合（Ｓ１１１：Ｙｅｓ）、通信制御部２０２は、検査完了通知に含まれているユーザ端末２６またはサーバ２７の識別情報を抽出する。そして、通信制御部２０２は、抽出したユーザ端末２６またはサーバ２７の識別情報を含む隔離解除指示を作成する。そして通信制御部２０２は、作成した隔離解除指示をＳＤＮコントローラ２５へ送ることにより、検査が完了したユーザ端末２６またはサーバ２７の通信制限を解除させる（Ｓ１１２）。そして、通信ログ収集部２００は、再びステップＳ１００に示した処理を実行する。

図８は、通信制御装置２０の機能を実現するコンピュータ１０００の構成の一例を示す図である。図８に例示するように、コンピュータ１０００は、例えば、メモリ１０１０と、ＣＰＵ１０２０と、ハードディスクドライブインタフェース１０３０と、ディスクドライブインタフェース１０４０と、シリアルポートインタフェース１０５０と、ビデオアダプタ１０６０と、ネットワークインタフェース１０７０とを有し、これらの各部はバス１０８０によって接続される。

メモリ１０１０は、図８に例示するように、ＲＯＭ（Read Only Memory）１０１１及びＲＡＭ（Random Access Memory）１０１２を含む。ＲＯＭ１０１１は、例えば、ＢＩＯＳ（Basic Input Output System）等のブートプログラムを記憶する。ハードディスクドライブインタフェース１０３０は、図８に例示するように、ハードディスクドライブ１０３１に接続される。ディスクドライブインタフェース１０４０は、図８に例示するように、ディスクドライブ１０４１に接続される。ディスクドライブ１０４１には、例えば磁気ディスクや光ディスク等の着脱可能な記憶媒体が挿入される。シリアルポートインタフェース１０５０には、図８に例示するように、例えばマウス１０５１やキーボード１０５２が接続される。ビデオアダプタ１０６０には、図８に例示するように、例えばディスプレイ１０６１が接続される。

ここで、図８に例示するように、ハードディスクドライブ１０３１は、例えば、ＯＳ１０９１、アプリケーションプログラム１０９２、プログラムモジュール１０９３、プログラムデータ１０９４を記憶する。すなわち、コンピュータ１０００を通信制御装置２０として機能させるプログラムは、コンピュータ１０００によって実行される指令が記述されたプログラムモジュールとして、例えばハードディスクドライブ１０３１に記憶される。

また、上記した実施形態において説明した各種データは、プログラムデータとして、例えばメモリ１０１０やハードディスクドライブ１０３１に記憶される。そして、ＣＰＵ１０２０が、メモリ１０１０やハードディスクドライブ１０３１に記憶されたプログラムモジュール１０９３やプログラムデータ１０９４を必要に応じてＲＡＭ１０１２に読み出し、各種処理ステップを実行する。

なお、コンピュータ１０００を通信制御装置２０として機能させるプログラムに係るプログラムモジュール１０９３やプログラムデータ１０９４は、ハードディスクドライブ１０３１に記憶される場合に限られず、例えば着脱可能な記憶媒体に記憶され、ディスクドライブ１０４１等を介してＣＰＵ１０２０によって読み出されて実行されてもよい。あるいは、当該プログラムモジュール１０９３やプログラムデータ１０９４は、通信回線１２を介して接続された他のコンピュータに記憶され、ネットワークインタフェース１０７０を介してＣＰＵ１０２０によって読み出されて実行されてもよい。

以上、本発明の一実施形態について説明した。

上記説明から明らかなように、本実施形態の通信システム１によれば、水飲み場型攻撃等によって仕込まれたマルウェアによる被害の拡大を抑えることが可能となる。

なお、本発明は、上記した実施形態に限定されるものではなく、その要旨の範囲内で数々の変形が可能である。

図９は、他の実施形態における通信システム１’の一例を示すシステム構成図である。他の実施形態における通信システム１’では、例えば図９に示すように、通信制御装置２０、Ｗｅｂプロキシサーバ３７およびＳＤＮコントローラ３８がデータセンタ３’内に設けられる。

そして、図９に例示した通信システム１’では、ユーザＮＷ２’内のユーザ端末２６およびサーバ２７から外部のＷｅｂサーバ１１への通信データは、例えば図９の実線矢印６１に示すように、ＳＤＮ−ＳＷ２２から、トンネリング装置２１、ルータ２４、通信回線１２、ルータ３０、およびトンネリング装置３１を介して、ＳＤＮ−ＳＷ３２へ送られ、ＳＤＮ−ＳＷ３２によってＷｅｂプロキシサーバ３７へ送られて、ルータ３０を介してＷｅｂサーバ１１へ送信される。そして、Ｗｅｂプロキシサーバ３７は、外部アクセスログを通信制御装置２０へ送る。

また、Ｗｅｂサーバ１１からユーザＮＷ２’内のユーザ端末２６およびサーバ２７への通信データは、例えば図９の実線矢印６１に示すように、通信回線１２およびルータ３０を介してＷｅｂプロキシサーバ３７へ送られ、ＳＤＮ−ＳＷ３２から、トンネリング装置３１、ルータ３０、通信回線１２、ルータ２４、トンネリング装置２１、ＳＤＮ−ＳＷ２２へ送られ、ＳＤＮ−ＳＷ２２によって宛先のユーザ端末２６またはサーバ２７へ送られる。

また、ユーザ端末２６間の通信およびユーザ端末２６とサーバ２７間の通信では、ユーザ端末２６またはサーバ２７から送信された通信データは、例えば図９の破線矢印６０に示すように、ＳＤＮ−ＳＷ２２から、トンネリング装置２１、ルータ２４、通信回線１２、ルータ３０、およびトンネリング装置３１を介して、ＳＤＮ−ＳＷ３２へ送られ、ＳＤＮ−ＳＷ３２から、トンネリング装置３１、ルータ３０、通信回線１２、ルータ２４、トンネリング装置２１、ＳＤＮ−ＳＷ２２へ送られ、ＳＤＮ−ＳＷ２２によって宛先のユーザ端末２６またはサーバ２７へ送られる。そして、ＳＤＮ−ＳＷ２２およびＳＤＮ−ＳＷ３２は、内部アクセスログを通信制御装置２０へ送る。

図９に示した他の実施形態における通信システム１’においても、改竄情報に基づいて、改竄されたＷｅｂサイトにアクセスしたユーザ端末２６およびサーバ２７と、これらが改竄されたＷｅｂサイトにアクセスした時刻以降にこれらからアクセスされた他のユーザ端末２６およびサーバ２７とを、隔離ネットワーク３４内に隔離してマルウェアによる被害の拡大を抑えることができる。

上記した実施形態では、データセンタ３内に隔離ネットワーク３４および検査サーバ３３が設けられたが、本発明はこれに限られず、隔離ネットワーク３４および検査サーバ３３は、ユーザＮＷ２内に設けられてもよい。この場合、データセンタ３は必須ではなくなる。

また、上記した実施形態において、通信制御部２０２は、通信ログ記憶部２０１内の外部アクセスログを参照して、Ｗｅｂサイトが改竄された時刻以降にそのＷｅｂサイトにアクセスし、かつ、そのＷｅｂサイトに仕込まれた不正プログラムが突く脆弱性を有する種別のブラウザプログラムを用いてそのＷｅｂサイトにアクセスし、かつ、その脆弱性が修正されていないバージョンのブラウザプログラムを用いてそのＷｅｂサイトにアクセスしたユーザ端末２６やサーバ２７の通信を制限させるが、通信を制限させる対象となるユーザ端末２６やサーバ２７は、これに限られない。

例えば、通信制御部２０２は、改竄されたＷｅｂサイトに仕込まれた不正プログラムが突く脆弱性を有する種別のブラウザプログラムを用いてそのＷｅｂサイトにアクセスしたユーザ端末２６やサーバ２７（一次感染装置）の通信を制限させてもよい。また、通信制御部２０２は、改竄されたＷｅｂサイトにユーザ端末２６やサーバ２７がアクセスした時刻以降に、当該ユーザ端末２６やサーバ２７からアクセスされた他のユーザ端末２６やサーバ２７（二次感染装置）の通信を制限させてもよい。また、これらの他のユーザ端末２６やサーバ２７のうち、通信ログ記憶部２０１を参照して同種の脆弱性を有する装置のみを二次感染装置とみなして通信を制限させてもよい。また、通信制御部２０２は、改竄されたＷｅｂサイトにアクセスしたユーザ端末２６やサーバ２７から所定量以上の通信データを受信した他のユーザ端末２６やサーバ２７の通信を制限させてもよい。

また、上記した実施形態では、Ｗｅｂサイトへのアクセスを例に説明したが、本発明はこれに限られず、メールサービスにおいても本発明を適用することができる。この場合、アクセス元情報には、例えば送信元メールアドレスを用いることができ、アクセス先情報には、例えば宛先メールアドレスを用いることができる。また、プログラムの情報としては、例えば、ユーザエージェント情報から取得可能な、ＯＳ、メールクライアントソフト、レンダリングエンジンの種類やバージョン等の情報を用いることができる。

また、上記した実施形態では、Ｗｅｂプロキシサーバ２３を用いたＷｅｂアクセスを例に説明したが、本発明はこれに限られない。Ｗｅｂサイトとの通信ログの情報が取得できればよいため、例えば、図１において、Ｗｅｂプロキシサーバ２３に代えて、ＳＤＮ−ＳＷ２２とルータ２４との間をミラーリングする機能を有する装置を介して接続し、ＳＤＮ−ＳＷ２２とルータ２４との間の通信データを当該装置から取得するように構成してもよい。

また、上記した実施形態において、改竄されたＷｅｂサイトにアクセスした一次感染装置や、当該一次感染装置からアクセスされた二次感染装置が複数存在する場合、隔離ネットワーク３４に隔離されたユーザ端末２６およびサーバ２７の通信は、検査サーバ３３との通信のみに制限しなくてもよい。例えば、隔離ネットワーク３４内の通信であれば、隔離されたこれらのユーザ端末２６およびサーバ２７の間の通信は許可することとしてもよい。この場合、例えば、通信制御装置２０がＳＤＮコントローラ２５に指示して、ＳＤＮ−ＳＷ２２およびＳＤＮ−ＳＷ３２に、これらの装置間の通信のみを通すように制御させればよい。

以上、本発明を実施の形態を用いて説明したが、本発明の技術的範囲は上記実施の形態に記載の範囲には限定されない。上記実施の形態に多様な変更または改良を加えることが可能であることが当業者には明らかである。また、そのような変更または改良を加えた形態も本発明の技術的範囲に含まれ得ることが、特許請求の範囲の記載から明らかである。

１ 通信システム
１１ Ｗｅｂサーバ
１２ 通信回線
２ ユーザＮＷ
２０ 通信制御装置
２００ 通信ログ収集部
２０１ 通信ログ記憶部
２０２ 通信制御部
２０３ 改竄情報受付部
２１ トンネリング装置
２２ ＳＤＮ−ＳＷ
２３ Ｗｅｂプロキシサーバ
２４ ルータ
２５ ＳＤＮコントローラ
２６ ユーザ端末
２７ サーバ
２８ ＬＡＮ
３ データセンタ
３０ ルータ
３１ トンネリング装置
３２ ＳＤＮ−ＳＷ
３３ 検査サーバ
３４ 隔離ネットワーク
３５ ＬＡＮ
３６ ＤＣサーバ
３７ Ｗｅｂプロキシサーバ
３８ ＳＤＮコントローラ

Claims (8)

1. ユーザネットワークに属する通信装置から、当該ユーザネットワークの外部のネットワーク上の外部サービス装置へのアクセスにおいて、アクセス元の通信装置の識別情報およびアクセス先の外部サービス装置の識別情報を含む通信ログを記憶する記憶部と、
   改竄された外部サービス装置の識別情報を含む改竄情報を受け付ける受付部と、
   前記受付部が前記改竄情報を受け付けた場合に、前記記憶部内の前記通信ログを参照して、前記改竄情報に含まれる外部サービス装置にアクセスした通信装置を制限対象の通信装置として特定し、前記通信装置の通信経路を制御する経路制御装置に指示して、前記制限対象の通信装置の通信を制限させる通信制御部と
   を備えることを特徴とする通信制御装置。
2. 前記通信制御部は、
   前記経路制御装置に指示して、前記制限対象の通信装置の通信を、前記ユーザネットワークおよび前記外部のネットワークから隔離した隔離ネットワークのみへの通信に制限させることを特徴とする請求項１に記載の通信制御装置。
3. 前記記憶部内の通信ログには、
   前記通信装置が前記外部サービス装置へアクセスした時刻の情報が含まれており、
   前記改竄情報には、
   当該改竄情報に含まれる外部サービス装置が改竄された時刻が含まれており、
   前記通信制御部は、
   前記記憶部内の前記通信ログを参照して、前記改竄情報に含まれる時刻以降に、当該改竄情報に含まれる外部サービス装置にアクセスした通信装置を、前記制限対象の通信装置として特定することを特徴とする請求項１または２に記載の通信制御装置。
4. 前記記憶部内の通信ログには、
   前記通信装置が前記外部サービス装置へのアクセスする際に使用したプログラムの情報がさらに含まれており、
   前記改竄情報には、
   当該改竄情報に含まれる外部サービス装置に埋め込まれた不正プログラムが突くプログラムの脆弱性の情報が含まれており、
   前記通信制御部は、
   前記記憶部内の前記通信ログを参照して、前記改竄情報に含まれる外部サービス装置にアクセスした通信装置の中で、前記改竄情報に含まれる脆弱性を有するプログラムを用いて当該改竄情報に含まれる外部サービス装置にアクセスした通信装置を、前記制限対象の通信装置として特定することを特徴とする請求項１から３のいずれか一項に記載の通信制御装置。
5. 前記記憶部内の通信ログには、
   前記通信装置が前記外部サービス装置へアクセスした時刻の情報と、
   前記通信装置からアクセスされた前記ユーザネットワーク内の他の通信装置の情報と
   が含まれており、
   前記通信制御部は、
   前記記憶部内の前記通信ログを参照して、前記改竄情報に含まれる外部サービス装置に通信装置がアクセスした時刻以降に、当該通信装置からアクセスされた前記他の通信装置を、前記制限対象の通信装置として特定することを特徴とする請求項１から４のいずれか一項に記載の通信制御装置。
6. 前記記憶部内の通信ログには、
   前記通信装置からアクセスされた前記ユーザネットワーク内の他の通信装置の情報と、
   アクセス元の前記通信装置から、アクセス先の前記他の通信装置へ送信された通信データのデータ量と
   が含まれており、
   前記通信制御部は、
   前記記憶部内の前記通信ログを参照して、前記改竄情報に含まれる外部サービス装置にアクセスした通信装置から所定量以上の通信データを受信した前記他の通信装置を、前記制限対象の通信装置として特定することを特徴とする請求項１から５のいずれか一項に記載の通信制御装置。
7. 通信制御装置において実行される通信制御方法であって、
   ユーザネットワークに属する通信装置から、当該ユーザネットワークの外部のネットワーク上の外部サービス装置へのアクセスにおいて、アクセス元の通信装置の識別情報およびアクセス先の外部サービス装置の識別情報を含む通信ログを記憶部に記憶させる工程と、
   改竄された外部サービス装置の識別情報を含む改竄情報を受け付ける受付工程と、
   前記受付工程において前記改竄情報を受け付けた場合に、前記記憶部内の前記通信ログを参照して、前記改竄情報に含まれる外部サービス装置にアクセスした通信装置を制限対象の通信装置として特定し、前記通信装置の通信経路を制御する経路制御装置に指示して、前記制限対象の通信装置の通信を制限させる通信制御工程と
   を含んだことを特徴とする通信制御方法。
8. コンピュータを、請求項１〜６のいずれか一つに記載の通信制御装置として機能させるための通信制御プログラム。
   

Images