JP2016181191A - 管理プログラム、管理装置及び管理方法 - Google Patents

Abstract

【課題】マルウェアの活動の検出後に、監視対象端末の特定を行う管理プログラム、管理装置及び管理方法を提供する。
【解決手段】管理対象端末が他の管理対象端末と接続した接続情報を取得して記憶部に蓄積し、管理対象端末に含まれる第１管理対象端末における、有害動作を行うマルウェアの検出に応じて、記憶部に蓄積された第１管理対象端末の接続情報に基づき、監視を行う必要がある監視対象端末を特定する。
【選択図】図９

Description

本発明は、管理プログラム、管理装置及び管理方法に関する。

企業や組織におけるセキュリティ管理者（以下、単に管理者とも呼ぶ）は、ウィルス定義ファイルによるコンピュータウィルスの検知、検疫及び駆除だけでなく、コンピュータウィルス以外のマルウェアによる活動を検知し、拡散の防止等を行う。

マルウェアは、コンピュータウィルスを含む悪意のあるソフトウェアの総称である。具体的に、マルウェアは、例えば、企業や組織で使用される端末（以下、管理対象端末とも呼ぶ）に感染し、外部からの不正アクセス等を可能にさせるための活動を行う。

そして、近年では、企業や組織（以下、単に攻撃対象とも呼ぶ）で使用される端末に感染した後、すぐに活動を行わない潜伏性質を持つマルウェアが登場している。そのため、管理者は、マルウェアに感染した端末の存在を検知した場合、マルウェアが潜伏している他の端末（まだマルウェアが活動を開始していない端末）を特定し、駆除等の対策を行う必要がある（例えば、特許文献１及び２参照）。

特開２００６−０４０１９６号公報 特開２００９−１１０２７０号公報

マルウェアが潜伏している端末を特定する場合、管理者は、マルウェアが検知された端末からアクセスされた他の端末を示す情報や、他の端末にアクセスする際に用いられたユーザＩＤ等の情報（以下、これらの情報を単にログとも呼ぶ）を参照する。

しかしながら、マルウェアには、潜伏期間が半年を超えるものがある。そのため、管理者は、マルウェアが潜伏している端末を特定するために、長期間に渡るログを保存する必要がある。

また、マルウェアに感染した端末を検知した場合、マルウェアの感染拡大を防止する必要があるため、管理者は、可能な限り短期間でマルウェアに感染している他の端末（マルウェアが潜伏している端末）を特定する必要がある。

しかしながら、保存されているログが、マルウェアに感染した端末を特定するため以外にも使用されるものである場合、管理者は、マルウェアに感染した他の端末の特定を行う際に、保存されているログの変換や解析等を行う必要がある。そのため、管理者は、マルウェアの感染が拡大する前に、マルウェアに感染している他の端末を特定し、特定した端末に対する対策を行うことができない場合がある。

そこで、一つの側面では、マルウェアの活動の検出後に、監視対象端末の特定を行う管理プログラム、管理装置及び管理方法を提供することを目的とする。

実施の形態の一つの態様によれば、管理対象端末が他の管理対象端末と接続した接続情報を取得して記憶部に蓄積し、
前記管理対象端末に含まれる第１管理対象端末における、有害動作を行うマルウェアの検出に応じて、前記記憶部に蓄積された前記第１管理対象端末の接続情報に基づき、監視を行う必要がある監視対象端末を特定する。

一つの側面によれば、マルウェアの活動の検出後に、監視対象端末の特定を行う。

情報処理システム１０の全体構成を説明する図である。 管理対象端末２へのマルウェアの感染の具体例を説明する図である。 管理対象端末２へのマルウェアの感染の具体例を説明する図である。 管理対象端末２へのマルウェアの感染の具体例を説明する図である。 管理装置１のハードウエア構成を説明する図である。 図５の管理装置１の機能ブロック図である。 第１の実施の形態における端末特定処理の概略を説明するフローチャート図である。 第１の実施の形態における端末特定処理の概略を説明するフローチャート図である。 第１の実施の形態における端末特定処理の概略を説明する図である。 第１の実施の形態における端末特定処理の概略を説明する図である。 第１の実施の形態における端末特定処理の詳細を説明するフローチャート図である。 第１の実施の形態における端末特定処理の詳細を説明するフローチャート図である。 第１の実施の形態における端末特定処理の詳細を説明するフローチャート図である。 第１の実施の形態における端末特定処理の詳細を説明するフローチャート図である。 管理装置１が管理対象端末２ａから取得した接続情報１３１の具体例を説明する図である。 管理装置１が管理対象端末２ｂから取得した接続情報１３１の具体例を説明する図である。 管理装置１が管理対象端末２ｃから取得した接続情報１３１の具体例を説明する図である。 接続情報管理部１１２が接続情報１３１から抽出した抽出情報の具体例を説明する図である。 接続情報管理部１１２が接続情報１３１から抽出した抽出情報の具体例を説明する図である。 接続情報管理部１１２が接続情報１３１から抽出した抽出情報の具体例を説明する図である。 集計情報の具体例を説明する図である。 管理表の具体例を説明する図である。 接続情報管理部１１２が接続情報１３１から抽出した抽出情報の具体例を説明する図である。 接続情報管理部１１２が接続情報１３１から抽出した抽出情報の具体例を説明する図である。 接続情報管理部１１２が接続情報１３１から抽出した抽出情報の具体例を説明する図である。 集計情報の具体例を説明する図である。 管理表の具体例を説明する図である。 管理装置１が管理対象端末２ａから取得した接続情報１３１の具体例を説明する図である。

［情報処理システムの構成］
図１は、情報処理システム１０の全体構成を説明する図である。図１に示す情報処理システム１０は、管理装置１と、管理対象端末２ａ、２ｂ、２ｃ、２ｄ（以下、これらを総称して管理対象端末２とも呼ぶ）と、ファイアーウォール装置６とを有する。

管理装置１は、管理対象端末２が出力したログの収集を行う。また、管理装置１は、管理対象端末２の使用権限（例えば、ユーザＩＤ及びパスワード）の管理を行う。

管理対象端末２は、企業や組織において業務を行う事業者（以下、単に事業者とも呼ぶ）が業務を行うために使用する端末であり、管理装置１がマルウェアの検出等を行う管理対象の端末である。なお、図１に示す情報処理システム１０は、４台の管理対象端末２（管理対象端末２ａ、２ｂ、２ｃ、２ｄ）を有しているが、３台以下の管理対象端末２または５台以上の管理対象端末２を有するものであってもよい。

ファイアーウォール装置６は、ネットワークＮＷと接続した外部端末１１と、管理装置１及び管理対象端末２との間の通信を制御する。すなわち、ファイアーウォール装置６は、例えば、外部端末１１による管理装置１や管理対象端末２への不正アクセス等を防御する。なお、ネットワークＮＷは、例えば、インターネット網である。

［管理対象端末へのマルウェアの感染］
次に、管理対象端末２へのマルウェアの感染について説明する。図２から図４は、管理対象端末２へのマルウェアの感染の具体例を説明する図である。

近年、マルウェアの種類は増加の一途を辿っており、メールの添付ファイルに含まれるマルウェア等、一見すると問題がないように見えるものも存在する。そのため、図１で説明したファイアーウォール装置６は、管理対象端末２に対して送信されたメールに添付されたマルウェアを認識することができない場合、そのメールの送信を許可する。そして、この場合、メールを受信した管理対象端末２は、受信したメールに添付されているファイルを開いた際に、ファイルに含まれるマルウェアに感染する。

また、上記のようなマルウェアには、管理対象端末２に感染した後、すぐに活動を行わない潜伏性質を持つマルウェアが存在する。そして、このようなマルウェアは、予め定められた潜伏期間を経過した場合に活動を開始する。すなわち、マルウェアは、例えば、攻撃対象が最も被害を蒙るタイミングで活動を開始する。

なお、以下、管理対象端末２において潜伏中のマルウェアを発病前のマルウェアとも呼び、管理対象端末２において既に活動を開始しているマルウェアを発病後のマルウェアとも呼ぶ。また、上記のようにマルウェアを含むメール等によって特定の企業や組織（攻撃対象）を狙う攻撃を標的型攻撃とも呼ぶ。さらに、攻撃対象において最初に感染した管理対象端末２を一次感染端末とも呼び、一次感染端末を経由してマルウェアに感染した管理対象端末２を二次感染端末とも呼ぶ。

図２に示す例において、悪意のある者（攻撃対象に対して攻撃を行う者）は、例えば、外部端末１１を介して情報処理システム１０に含まれる管理対象端末２に標的型攻撃を行う。具体的に、外部端末１１は、図２に示すように、マルウェアを含むファイルが添付されたメールを、情報処理システム１０に含まれる管理対象端末２ａに送信する。その後、管理対象端末２を使用する事業者が、外部端末１１から送信されたメールに添付されたファイルを開いた場合に、管理対象端末２ａはマルウェアに感染（一次感染）する。そして、管理対象端末２ａに感染したマルウェアは、例えば、管理対象端末２ａ内において活動を開始することなく、予め定められた期間が経過するまで潜伏する。

次に、管理対象端末２ａ（管理対象端末２ａに感染したマルウェア）は、図３に示すように、例えば、情報処理システム１０に含まれる他の管理対象端末２に対して、マルウェアを含むファイルを添付したメールを送信する。そして、他の管理対象端末２を使用する事業者が、管理対象端末２ａから送信されたメールに添付されたファイルを開いた場合に、他の管理対象端末２は、管理対象端末２ａが感染したものと同じマルウェアに感染（二次感染）する。なお、図３に示す例においては、管理対象端末２ｂ、２ｃが新たにマルウェアに感染している。

その後、管理対象端末２ａ、２ｂ及び２ｃに感染したマルウェアは、図４に示すように、それぞれの潜伏期間が経過した際に活動を開始する。なお、図４に示す例は、管理対象端末２ａ及び２ｂに感染したマルウェアが活動を開始した場合を示している。

ここで、管理者は、マルウェアの感染を検知するために、例えば、感染検知製品を利用する。感染検知製品は、例えば、管理装置１にインストールされたソフトウェアである。そして、感染検知製品は、管理対象のネットワーク上を流れる有害と思われる通信の監視を行うことにより、管理対象端末２におけるマルウェアの感染を検知する。

しかしながら、管理対象端末２に感染したマルウェアが潜伏している場合、マルウェアは、他の管理対象端末２に対する通信を行わない。そのため、感染検知製品は、管理対象端末２に感染したマルウェアが活動を開始するまで、マルウェアによる管理対象端末２の感染を検知することができない。具体的に、図３に示す例において、感染検知製品は、マルウェアに感染済であるが潜伏中である管理対象端末２ａ、２ｂ及び２ｃと、マルウェアに感染していない管理対象端末２ｄとを区別することができない。

そこで、管理者は、マルウェアが潜伏している管理対象端末２を特定する場合、マルウェアが検知された管理対象端末２からアクセスされた他の管理対象端末２を示す情報や、他の管理対象端末２にアクセスする際に用いられたユーザＩＤ等の情報を参照する。これにより、管理者は、マルウェアに感染済であるが潜伏中である可能性がある管理対象端末２を特定することが可能になる。そして、管理者は、マルウェアが感染した可能性がある管理対象端末２に対して詳細な調査を行い、例えば、マルウェアの駆除等の対策を行うことが可能になる。

しかしながら、マルウェアには、潜伏期間が半年を超えるものがある。そのため、マルウェアが潜伏している管理対象端末２を特定するためには、長期間に渡るログを保存する必要がある。

また、マルウェアの活動を検知した場合、マルウェアの感染拡大を防止する必要があるため、管理者は、可能な限り短期間でマルウェアに感染している管理対象端末２（マルウェアが潜伏している管理対象端末２）を特定する必要がある。

しかしながら、保存されているログが、マルウェアに感染した管理対象端末２を特定するため以外にも使用されるものである場合、管理者は、マルウェアに感染した管理対象端末２の特定を行う際に、保存されているログの変換や解析等を行う必要がある。そのため、管理者は、マルウェアの感染が拡大する前に、マルウェアに感染している管理対象端末２を特定し、特定した管理対象端末２に対して対策を行うことができない場合がある。

そこで、本実施の形態では、管理装置１は、管理対象端末２のそれぞれと、他の管理対象端末２との接続情報を取得して蓄積する。そして、管理装置１は、管理対象端末２に含まれる管理対象端末（以下、第１管理対象端末とも呼ぶ）でのマルウェアの検出に応じて、マルウェアに感染している可能性がある他の管理対象端末２（以下、監視対象端末２とも呼ぶ）を接続情報により特定する。

これにより、管理装置１は、第１管理対象端末においてマルウェアを検出した後、監視対象端末２の特定を短期間で行うことが可能になる。そのため、管理装置１は、監視対象端末２に対する対策（例えば、マルウェアの駆除）を迅速に行うことが可能になり、マルウェアの感染に伴う被害の拡大を抑制することが可能になる。

［管理装置のハードウエア構成］
次に、情報処理システム１０の構成について説明する。図５は、管理装置１のハードウエア構成を説明する図である。

管理装置１は、プロセッサであるＣＰＵ１０１と、メモリ１０２と、外部インターフェース（Ｉ／Ｏユニット）１０３と、記憶媒体１０４とを有する。各部は、バス１０５を介して互いに接続される。

記憶媒体１０４は、記憶媒体１０４内のプログラム格納領域（図示しない）に、マルウェアの検出を行う必要がある管理対象端末２を特定するための処理（以下、端末特定処理とも呼ぶ）等を行うためのプログラム１１０（以下、管理プログラム１１０とも呼ぶ）を記憶する。

ＣＰＵ１０１は、図５に示すように、プログラム１１０の実行時に、プログラム１１０を記憶媒体１０４からメモリ１０２にロードし、プログラム１１０と協働して端末特定処理等を行う。

記憶媒体１０４は、例えば、端末特定処理等を行う際に用いられる情報を記憶する情報格納領域１３０（以下、記憶部１３０とも呼ぶ）を有する。

また、外部インターフェース１０３は、管理対象端末２と通信を行う。また、外部インターフェース１０３は、ファイアーウォール装置６を介してネットワークＮＷと通信を行う。

[管理装置のソフトウェア構成]
次に、管理装置１のソフトウェア構成について説明する。図６は、図５の管理装置１の機能ブロック図である。ＣＰＵ１０１は、プログラム１１０と協働することにより、接続情報取得部１１１と、接続情報管理部１１２と、端末特定部１１３と、権限管理部１１４と、検出判定部１１５として機能する。また、情報格納領域１３０（以下、記憶部１３０とも呼ぶ）には、接続情報１３１と、権限情報１３２と、マルウェア情報１３３とが記憶されている。

接続情報取得部１１１は、各管理対象端末２から接続情報１３１を取得する。接続情報１３１は、各管理対象端末２が他の管理対象端末２と接続した際の履歴情報である。

具体的に、接続情報取得部１１１は、例えば、定期的なタイミング（１時間毎等）で、各管理対象端末２にアクセスして接続情報１３１を取得する。この場合、接続情報取得部１１１は、例えば、管理対象端末２を特定するための端末情報（図示しない）を参照することにより、各管理対象端末２にアクセスする。接続情報１３１の具体例については後述する。

接続情報管理部１１２は、接続情報取得部１１１が取得した接続情報１３１を情報格納領域１３０に記憶する。

端末特定部１１３は、管理対象端末２のうち、マルウェアが検出された管理対象端末（第１管理対象端末）の存在を検知した際に、情報格納領域１３０に記憶（蓄積）された接続情報１３１を参照する。そして、端末特定部１１３は、マルウェアの検出確認を行う必要がある管理対象端末２（監視対象端末２）の特定を行う。

具体的に、端末特定部１１３は、例えば、情報格納領域１３０に記憶された接続情報１３１のうち、各管理対象端末２が他の管理対象端末２と接続を行った際に用いられたユーザ情報を抽出する。ユーザ情報は、例えば、事業者が管理対象端末２において作業を行う際に用いるユーザＩＤ及びパスワードである。そして、端末特定部１１３は、抽出したユーザ情報により、マルウェアの検出確認を行う必要がある管理対象端末２を特定する。これにより、管理者は、マルウェアが検出される可能性がある管理対象端末２（マルウェアに感染している可能性がある管理対象端末２）を特定することが可能になり、マルウェアの駆除等の対策を取ることが可能になる。端末特定部１１３が行う処理の具体例については後述する。

権限管理部１１４は、権限情報１３２の管理を行う。権限情報１３２は、事業者が各管理対象端末２において使用可能なユーザ情報を含む情報である。そして、権限管理部１１４は、第１管理対象端末の存在を検知した場合、全ての管理対象端末２に対し、第１管理対象端末が他の管理対象端末２と接続する際に使用していたユーザ情報（以下、第１ユーザ情報）の使用を禁止する。具体的に、権限管理部１１４は、各事業者が第１ユーザ情報の使用ができなくなるように権限情報１３２を更新する。

検出判定部１１５は、端末特定部１１３がマルウェアの検出確認する管理対象端末２を特定した場合、情報格納領域１３０に記憶されたマルウェア情報１３３を参照する。マルウェア情報１３３は、第１管理対象端末から検出されたマルウェアに関する情報である。具体的に、マルウェア情報１３３は、例えば、第１管理対象端末に感染したマルウェアの感染方法や、感染源となったファイルのファイル名やファイルサイズ、フィンガープリントを含むものである。

そして、検出判定部１１５は、マルウェア情報１３３を参照することにより、端末特定部１１３が特定した管理対象端末２から、第１管理対象端末から検出されたマルウェアと同じマルウェアが検出されるか否かを判定する。

［第１の実施の形態の概略］
次に、第１の実施の形態の概略について説明する。図７及び図８は、第１の実施の形態における端末特定処理の概略を説明するフローチャート図である。また、図９及び図１０は、第１の実施の形態における端末特定処理の概略を説明する図である。図９及び図１０を参照しながら図７及び図８の端末特定処理の概略を説明する。

[接続情報を蓄積する際の処理]
管理装置１は、図７に示すように、接続情報取得タイミングまで待機する（Ｓ１のＮＯ）。接続情報取得タイミングは、例えば、定期的なタイミング（１時間毎等）である。

そして、接続情報取得タイミングになった場合（Ｓ１のＹＥＳ）、管理装置１は、図９の破線矢印が示すように、例えば、各管理対象端末２が出力した接続情報１３１を取得する（Ｓ２）。管理装置１は、各管理対象端末２が送信した接続情報１３１を受信することにより、接続情報１３１の取得を行うものであってもよい。

その後、管理装置１は、図９に示すように、取得した接続情報１３１を記憶部１３０に蓄積する（Ｓ３）。

ここで、管理装置１は、例えば、各管理対象端末２から取得した接続情報１３１のうち、各管理対象端末２が接続した他の管理対象端末２を特定するために最低限必要な情報のみを抽出し、接続情報１３１として記憶部１３０に蓄積する。すなわち、管理装置１は、管理対象端末２から取得した接続情報１３１に含まれる情報のうち、各管理対象端末２が接続した他の管理対象端末２を特定するために必要のない情報を除外した情報のみの蓄積を行う。

これにより、管理装置１は、接続情報１３１を長期間（例えば、半年以上）記憶しておく必要がある場合であっても、図５で説明した記憶媒体１０４の容量を抑えることが可能になる。

また、管理装置１は、マルウェアが検出された管理対象端末２（第１管理対象端末）の存在を検知した後、マルウェアの検出確認を行う必要がある管理対象端末２（監視対象端末２）の特定を行う場合に、蓄積した情報に対して解析等を行う必要がなくなる。そのため、管理装置１は、マルウェアが潜伏している管理対象端末２の特定を迅速に行うことが可能になり、マルウェアの駆除等の対策を迅速に行うことが可能になる。したがって、管理装置１は、マルウェアの感染による被害の拡大を抑制することが可能になる。

なお、管理装置１は、各管理対象端末２が接続した他の管理対象端末２を特定するために最低限必要な情報のみを各管理対象端末２から取得し、取得した情報を接続情報１３１として記憶部１３０に蓄積するものであってもよい。

[検出確認を行う管理対象端末を特定する際の処理]
一方、管理装置１は、図８に示すように、マルウェアが検出された管理対象端末２の存在を検知するまで待機する（Ｓ１１のＮＯ）。具体的に、管理装置１は、例えば、マルウェアに感染した管理対象端末２が発生した旨の入力を管理者が行うことにより、マルウェアが検出された管理対象端末２（第１管理対象端末）の存在を検知するものであってよい。

そして、マルウェアが検出された管理対象端末２の存在を検知した場合（Ｓ１１のＹＥＳ）、管理装置１は、図１０に示すように、記憶部１３０に蓄積された接続情報１３１により、マルウェアの検出確認を行う管理対象端末２（監視対象端末２）を特定する（Ｓ１２）。

このように、第１の実施の形態によれば、管理装置１は、管理対象端末２が他の管理対象端末２と接続した際の接続情報１３１を取得して記憶部１３０に蓄積する。そして、管理装置１は、管理対象端末２に含まれる第１管理対象端末における、有害動作を行うマルウェアの検出に応じて、記憶部１３０に蓄積された第１管理対象端末の接続情報１３１に基づき、監視を行う必要がある監視対象端末２を特定する。

これにより、管理装置１は、マルウェアの活動の検出後、マルウェアが検出される可能性がある管理対象端末２の特定を短期間で行うことができる。

[第１の実施の形態の詳細]
次に、第１の実施の形態の詳細について説明する。図１１から図１４は、第１の実施の形態における端末特定処理の詳細を説明するフローチャート図である。また、図１５から図２８は、第１の実施の形態における端末特定処理の詳細を説明する図である。図１５から図２８を参照しながら、図１１から図１４の端末特定処理を説明する。

なお、以下、情報処理システム１０は、管理対象端末２ａ、２ｂ、２ｃ、２ｄ、２ｅ、２ｆ、２ｇ、２ｈ及び２ｉの９台を有するものとして説明を行う。また、このうち、管理対象端末２ａ、２ｂ及び２ｃの３台は、同一のマルウェアによって感染し、感染したマルウェアが既に活動を開始しているものとして説明を行う。

[接続情報を蓄積する際の処理]
初めに、管理装置１の接続情報取得部１１１は、図１１に示すように、接続情報取得タイミングまで待機する（Ｓ２１のＮＯ）。そして、接続情報取得タイミングになった場合（Ｓ１のＹＥＳ）、管理装置１の接続情報取得部１１１は、例えば、各管理対象端末２から出力された接続情報１３１を取得する（Ｓ２２）。以下、接続情報１３１の具体例を説明する。

図１５は、管理装置１が管理対象端末２ａから取得した接続情報１３１の具体例を説明する図である。また、図１６は、管理装置１が管理対象端末２ｂから取得した接続情報１３１の具体例を説明する図である。また、図１７は、管理装置１が管理対象端末２ｃから取得した接続情報１３１の具体例を説明する図である。

図１５から図１７に示す接続情報１３１は、それぞれ、出力された各情報を識別するための「ＩＤ」と、各管理対象端末２で作業を行う際に用いられたユーザ情報を示す「ユーザ情報」と、各情報の発生日時を示す「日時情報」とを項目として有する。

さらに、図１５から図１７に示す接続情報１３１は、それぞれ、各情報の重要性を示す「レベル」を項目として有している。この「レベル」には、例えば、管理者による対応を要しない情報であることを示す「情報」や、管理者による対応を要しないが注意する必要がある情報であることを示す「ワーニング」が設定される。また、「レベル」には、例えば、管理対象端末２における異常発生時に出力されるものであり、管理者による対応を要する情報であることを示す「エラー」が設定される。

そして、図１５から図１７に示す接続情報１３１は、出力された各情報のカテゴリを示す「カテゴリ」と、他の管理対象端末２への接続があった場合における接続先を特定するための情報である「接続先情報」とを項目として有する。この「接続先情報」には、例えば、接続先のＩＰ（Ｉｎｔｅｒｎｅｔ Ｐｒｏｔｏｃｏｌ）アドレスが設定される。

具体的に、図１５の接続情報１３１において、「ＩＤ」が「１」である情報には、「ユーザ情報」として「Ｕｓｅｒ＃１」が設定され、「日時情報」として「２０１４−１１−１０ １３：５２：０４」が設定され、「レベル」として「情報」が設定されている。さらに、図１５の接続情報１３１のうち、「ＩＤ」が「１」である情報には、「カテゴリ」として「ログイン」が設定され、「接続先情報」はブランクになっている。

また、図１６の接続情報１３１において、「ＩＤ」が「３」である情報には、「ユーザ情報」として「Ｕｓｅｒ＃４」が設定され、「日時情報」として「２０１４−１１−１０ １５：４４：５１」が設定され、「レベル」として「情報」が設定されている。さらに、図１６の接続情報１３１のうち、「ＩＤ」が「３」である情報には、例えば、「カテゴリ」として「ファイル転送」が設定され、「接続先情報」として「管理装置１」が設定されている。

さらに、図１７の接続情報１３１において、例えば、「ＩＤ」が「６」である情報には、「ユーザ情報」として「Ｕｓｅｒ＃７」が設定され、「日時情報」として「２０１４−１１−１２ １３：４０：１９」が設定され、「レベル」として「情報」が設定されている。さらに、図１７の接続情報１３１のうち、「ＩＤ」が「６」である情報には、例えば、「カテゴリ」として「ファイル転送」が設定され、「接続先情報」として「管理対象端末２ｇ」が設定されている。図１５から図１７の他の情報については説明を省略する。

すなわち、管理装置１は、後述するように、マルウェアが検出された管理対象端末２（第１管理対象端末）のそれぞれから接続情報１３１を取得し、取得した各接続情報１３１について横断的に分析を行うことにより、マルウェアが潜伏している可能性のある管理対象端末２の特定を行う。

図１１に戻り、管理装置１の接続情報管理部１１２は、Ｓ２２で接続情報取得部１１１が取得した接続情報１３１から、ユーザ情報を含む情報を抽出する（Ｓ２３）。そして、接続情報管理部１１２は、例えば、Ｓ２３で抽出した情報（以下、抽出情報とも呼ぶ）を接続情報１３１として情報格納領域１３０に蓄積する（Ｓ２４）。以下、抽出情報の具体例を説明する。

図１８から図２０は、接続情報管理部１１２が接続情報１３１から抽出した抽出情報の具体例を説明する図である。図１８に示す抽出情報は、接続情報管理部１１２が、図１５に示す接続情報１３１に含まれる「ユーザ情報」、「日時情報」及び「接続先情報」の項目に対応する情報のうち、「カテゴリ」の項目にタイプする情報が「ファイル転送」または「ファイル共有」である情報を抽出したものである。

具体的に、図１８に示す抽出情報は、図１５に示す接続情報１３１にうち、「ユーザ情報」、「日時情報」及び「接続先情報」に対応する項目の情報のみが抽出されている。また、図１８に示す抽出情報は、図１５に示す接続情報１３１にうち、「カテゴリ」の項目に対応する情報が「ファイル転送」または「ファイル共有」である情報（図１５に示す接続情報１３１のうち、「ＩＤ」が「２」、「６」及び「７」である情報）のみが抽出されている。

同様に、図１９に示す抽出情報は、接続情報管理部１１２が、図１６に示す接続情報１３１に含まれる「ユーザ情報」、「日時情報」及び「接続先情報」の項目にタイプする情報のうち、「カテゴリ」の項目に対応する情報が「ファイル転送」または「ファイル共有」である情報を抽出したものである。

さらに、図２０に示す抽出情報は、接続情報管理部１１２が、図１７に示す接続情報１３１に含まれる「ユーザ情報」、「日時情報」及び「接続先情報」の項目に対応する情報のうち、「カテゴリ」の項目に対応する情報が「ファイル転送」または「ファイル共有」である情報を抽出したものである。

なお、以下、説明の便宜上、図１８から図２０に示す抽出情報は、「ユーザ情報」、「日時情報」及び「接続先情報」の項目の情報に加えて、「ＩＤ」の項目の情報を含むものとして説明を行う。また、図１９及び図２０に示す抽出情報については、図１８で説明した抽出情報と同じ内容であるため、詳細な説明を省略する。

すなわち、図１８から図２０に示す抽出情報には、マルウェアが検出された管理対象端末２（第１管理対象端末）の存在が検知された場合に、同一マルウェアの検出確認を行うことができる最低限の情報のみが含まれている。そのため、図１８から図２０に示す抽出情報には、図１５から図１７に示す接続情報１３１にそれぞれ含まれる情報のうち、「レベル」及び「カテゴリ」の項目に対応する情報が含まれていない。さらに、図１８から図２０に示す抽出情報には、図１５から図１７に示す接続情報１３１にそれぞれ含まれる情報のうち、「カテゴリ」の項目の情報が「ログイン」である情報が含まれていない。

これにより、管理装置１は、接続情報１３１を長期間（例えば、半年以上）記憶しておく必要がある場合であっても、管理対象端末２から取得した接続情報１３１の全てを記憶する場合と比較して、情報格納領域１３０（記憶媒体１０４）の容量を抑えることが可能になる。また、管理装置１は、各管理対象端末２が接続した他の管理対象端末２を特定するために必要な情報のみを記憶しておくことにより、マルウェアが検出された管理対象端末２の存在を検知した場合に、接続情報１３１に基づく解析や新たな情報の集計等を行う必要がなくなる。そのため、管理装置１は、マルウェアが潜伏している管理対象端末２の特定を迅速に行うことが可能になる。

なお、例えば、接続情報管理部１１２は、管理者がマルウェアの検出確認を行うために必要な情報が「ユーザ情報」のみであると判断した場合、図１５から図１７に示す接続情報１３１に含まれる「ユーザ情報」に対応する情報のみを抽出するものであってもよい。そして、接続情報管理部１１２は、抽出した「ユーザ情報」に対応する情報のみを接続情報１３１として情報格納領域１３０に記憶するものであってもよい。

また、接続情報管理部１１２は、図１８から図２０で説明した管理対象端末２毎の抽出情報を集計した情報（以下、集計情報とも呼ぶ）を作成するものであってもよい。そして、この場合、接続情報管理部１１２は、集計情報のみを情報格納領域１３０に蓄積するものであってもよい。以下、集計情報の具体例を説明する。

図２１は、集計情報の具体例を説明する図である。図２１に示す集計情報は、図１８から図２０で説明した抽出情報が有する「ＩＤ」、「ユーザ情報」、「日時情報」及び「接続先情報」に加えて、各情報に対応する管理対象端末２を特定する情報である「管理対象端末」を項目として有する。

具体的に、図２１に示す集計情報において、「管理対象端末」が「２ａ」である情報（「ＩＤ」が「１」から「３」である情報）は、図１８で説明した抽出情報に含まれる情報と同じ情報が設定されている。そして、図２１に示す集計情報において、「管理対象端末」が「２ｂ」である情報（「ＩＤ」が「４」から「８」である情報）は、図１９で説明した抽出情報に含まれる情報と同じ情報が設定されている。さらに、図２１に示す集計情報において、「管理対象端末」が「２ｃ」である情報（「ＩＤ」が「９」から「１３」である情報）は、図２０で説明した抽出情報に含まれる情報と同じ情報が設定されている。

すなわち、接続情報管理部１１２は、この場合、集計情報を参照することで、集計情報に含まれる各情報が対応する管理対象端末２を特定することが可能になる。これにより、接続情報管理部１１２は、図１８から図２０で説明した抽出情報のように、複数の情報を情報格納領域１３０において管理する必要がなくなる。

[検出確認を行う管理対象端末を特定する際の処理]
一方、管理装置１の端末特定部１１３は、図１２に示すように、マルウェアが検出された管理対象端末２（第１管理対象端末）の存在を検知するまで待機する（Ｓ３１のＮＯ）。

そして、マルウェアが検出された管理対象端末２の存在を検知した場合（Ｓ３１のＹＥＳ）、管理装置１の端末特定部１１３は、第１管理対象端末のうちの所定割合（以下、第１閾値とも呼ぶ）以上の管理対象端末２と対応して情報格納領域１３０に蓄積されたユーザ情報（第１ユーザ情報）を抽出する（Ｓ３２）。

すなわち、同一のマルウェアによって感染した第１管理端末装置が複数存在する場合、各第１管理端末装置は、同一のユーザ情報によってファイル転送等の動作を行う可能性が高いことが明らかになっている場合がある。このような場合において、端末特定部１１３は、第１管理対象端末のうちの第１閾値以上の管理対象端末２によって使用された第１ユーザ情報を抽出する。これにより、端末特定部１１３は、第１管理対象端末が動作する際に使用された可能性が高いユーザ情報（第１ユーザ情報）を特定することが可能になる。以下、図１３を参照しながらＳ３２の処理の具体例について説明する。

[Ｓ３２の処理の具体例]
端末特定部１１３は、図１３に示すように、例えば、情報格納領域１３０に記憶された接続情報１３１（図１８から図２０で説明した抽出情報、または、図２１で説明した集計情報）を参照する。そして、端末特定部１１３は、抽出情報または集計情報に含まれるユーザ情報をそれぞれ抽出する（Ｓ４１）。

具体的に、端末特定部１１３は、例えば、図１８に示す情報に含まれる「ユーザ情報」である「Ｕｓｅｒ＃１」及び「Ｕｓｅｒ＃７」を抽出する。また、端末特定部１１３は、例えば、図１９に示す情報に含まれる「ユーザ情報」である「Ｕｓｅｒ＃４」及び「Ｕｓｅｒ＃７」を抽出する。さらに、端末特定部１１３は、例えば、図２０に示す情報に含まれる「ユーザ情報」である「Ｕｓｅｒ＃２」、「Ｕｓｅｒ＃３」及び「Ｕｓｅｒ＃７」を抽出する。

そして、端末特定部１１３は、例えば、Ｓ４１で抽出したユーザ情報に基づいて管理表を作成する（Ｓ４２）。以下、管理表の具体例について説明する。

図２２は、管理表の具体例を説明する図である。端末特定部１１３は、図２２に示すように、例えば、Ｓ４１で抽出したユーザ情報より、「管理対象端末２ａ」と、「Ｕｓｅｒ＃１」及び「Ｕｓｅｒ＃７」とが対応する欄、及び「管理対象端末２ｂ」と「Ｕｓｅｒ＃４」及び「Ｕｓｅｒ＃７」とが対応する欄に「〇」を設定する。また、端末特定部１１３は、例えば、Ｓ４１で抽出したユーザ情報より、「管理対象端末２ｃ」と、「Ｕｓｅｒ＃２」、「Ｕｓｅｒ＃３」及び「Ｕｓｅｒ＃７」とが対応する欄に「〇」を設定する。

その後、端末特定部１１３は、Ｓ４２で作成した管理表を参照し、Ｓ４１で抽出したユーザ情報毎に、管理対象端末２ａ、２ｂ及び２ｃのうち、各ユーザ情報を用いていた管理対象端末２の割合を算出する（Ｓ４３）。

具体的に、図２２で示す例において、「Ｕｓｅｒ＃７」は、第１管理対象端末に含まれる全ての管理対象端末２によって用いられている。そのため、端末特定部１１３は、「Ｕｓｅｒ＃７」を用いている第１管理対象端末の割合として、「１００％」を算出する。同様に、図２２に示す例において、「Ｕｓｅｒ＃２」、「Ｕｓｅｒ＃３」及び「Ｕｓｅｒ＃４」は、第１管理対象端末のうち、それぞれ１台のみの管理対象端末によって用いられている。そのため、端末特定部１１３は、「Ｕｓｅｒ＃２」、「Ｕｓｅｒ＃３」及び「Ｕｓｅｒ＃４」のそれぞれを用いている第１管理対象端末の割合として、「３３％」（有効数字２桁）を算出する。

そして、端末特定部１１３は、Ｓ４３で算出した割合のうち、第１閾値を超える割合に対応するユーザ情報を第１ユーザ情報として情報格納領域１３０から抽出する（Ｓ４４）。

具体的に、例えば、第１閾値が「６０％」である場合、端末特定部１１３は、第１ユーザ情報として、Ｓ４３で算出した割合が「１００％」である「Ｕｓｅｒ＃７」を抽出する。すなわち、端末特定部１１３は、Ｓ３２の処理を行うことにより、マルウェアによって用いられていた可能性があるユーザ情報が「Ｕｓｅｒ＃７」であると特定する。

なお、接続情報管理部１１２は、図１５から図１７に示す接続情報１３１に含まれる「ユーザ情報」、「日時情報」及び「接続先情報」に対応する情報の全てを抽出することにより、抽出情報を作成するものであってもよい（Ｓ４１）。以下、この場合に作成される抽出情報について説明する。

図２３から図２５は、接続情報管理部１１２が接続情報１３１から抽出した抽出情報の具体例を説明する図である。具体的に、接続情報管理部１１２は、図２３から図２５に示すように、Ｓ２３において、「カテゴリ」の項目の情報が「ファイル転送」または「ファイル共有」である情報のみでなく、「カテゴリ」の項目の情報が「ログイン」である情報を含めて抽出情報の作成を行う。これにより、接続情報管理部１１２は、マルウェアが他の管理対象端末２に対して接続を行わず、ログインのみを行うという動きをする場合も含めて、抽出情報の作成を行うことが可能になる。図２３から図２５の抽出情報の詳細な情報については説明を省略する。

また、この場合、接続情報管理部１１２は、図２３から図２５の抽出情報に基づいて集計情報を作成するものであってよい。以下、この場合に作成される集計情報について説明する。

図２６は、集計情報の具体例を説明する図である。具体的に、接続情報管理部１１２は、この場合、図１８から図２０で説明した抽出情報に代えて、図２３から図２５で説明した抽出情報に基づいて集計情報の作成を行う、これにより、接続情報管理部１１２は、マルウェアが他の管理対象端末２に対して接続を行わず、ログインのみを行うという動きをする場合も含めて、集計情報の作成を行うことが可能になる。図２６の集計情報の詳細な情報については説明を省略する。

さらに、端末特定部１１３は、図２３から図２５で説明した抽出情報、または、図２６で説明した集計情報に基づくことにより、第１管理対象端末でログインのみを行ったユーザ情報を含める形で管理表を作成するものであってもよい（Ｓ４２）。以下、この場合に作成される管理表について説明を行う。

図２７は、管理表の具体例を説明する図である。具体的に、端末特定部１１３は、例えば、「管理対象端末２ａ」と、「Ｕｓｅｒ＃１」、「Ｕｓｅｒ＃５」、「Ｕｓｅｒ＃６」及び「Ｕｓｅｒ＃７」とが対応する欄に「〇」を設定する。また、端末特定部１１３は、例えば、「管理対象端末２ｂ」と、「Ｕｓｅｒ＃１」、「Ｕｓｅｒ＃４」及び「Ｕｓｅｒ＃７」とが対応する欄に「〇」を設定する。さらに、端末特定部１１３は、例えば、「管理対象端末２ｃ」と、「Ｕｓｅｒ＃２」、「Ｕｓｅｒ＃３」及び「Ｕｓｅｒ＃７」とが対応する欄に「〇」を設定する。

そのため、端末特定部１１３は、この場合、第１管理対象端末のうち、Ｕｓｅｒ＃１を用いていた管理対象端末の割合として、「６７％」（有効数字２桁）を算出する。すなわち、端末特定部１１３は、この場合、第１ユーザ情報として、「Ｕｓｅｒ＃７」だけでなく「Ｕｓｅｒ＃１」を抽出する。そして、端末特定部１１３は、マルウェアによって用いられていた可能性があるユーザ情報が「Ｕｓｅｒ＃１」及び「Ｕｓｅｒ＃７」であると特定する。

これにより、管理装置１は、マルウェアが他の管理対象端末２に対して接続を行わず、ログインのみを行うという動きをする場合も含めて、第１ユーザ情報の抽出を行うことが可能になる。

図１２に戻り、権限管理部１１４は、全ての管理対象端末２に対し、第１ユーザ情報による他の管理対象端末２への接続を禁止する（Ｓ３３）。

すなわち、第１管理対象端末においてマルウェアを検出した場合において、そのマルウェアは、他の管理対象端末２に対する感染を継続している可能性がある。そのため、権限管理部１１４は、マルウェアによって用いられた可能性のあるユーザ情報の使用を禁止する。これにより、管理装置１は、マルウェアによる更なる活動（感染の拡大）を抑制することが可能になる。

そして、端末特定部１１３は、第１管理対象端末のいずれかが、Ｓ３２で抽出した第１ユーザ情報を用いて接続した他の管理対象端末２を、マルウェアの検出確認を行う管理対象端末２として特定する（Ｓ３４）。以下、Ｓ３４の具体例について説明する。

[Ｓ３４の処理の具体例]
端末特定部１１３は、例えば、図１８から図２０で説明した抽出情報を参照する。そして、端末特定部１１３は、図１８から図２０の情報に含まれる抽出情報のうち、Ｓ３２で抽出された第１ユーザ情報に対応する「接続先情報」によって特定される管理対象端末２を抽出する。以下、Ｓ３２で抽出された第１ユーザ情報が「Ｕｓｅｒ＃７」である場合について説明する。

具体的に、端末特定部１１３は、図１８を参照し、「ユーザ情報」が「Ｕｓｅｒ＃７」である情報に対応する「接続先情報」として、「管理対象端末２ｂ」及び「管理対象端末２ｃ」を抽出する。同様に、端末特定部１１３は、図１９を参照し、「ユーザ情報」が「Ｕｓｅｒ＃７」である情報に対応する「接続先情報」として、「管理対象端末２ａ」、「管理対象端末２ｄ」、「管理対象端末２ｃ」及び「管理対象端末２ｆ」を抽出する。また、端末特定部１１３は、図２０を参照し、「ユーザ情報」が「Ｕｓｅｒ＃７」である情報に対応する「接続先情報」として、「管理対象端末２ｇ」、「管理対象端末２ａ」及び「管理対象端末２ｈ」を抽出する。

そして、端末特定部１１３は、既にマルウェアが検出されている管理対象端末２ａ、２ｂ及び２ｃを除き、マルウェアが検出される可能性がある管理対象端末２として管理対象端末２ｄ、２ｆ、２ｇ及び２ｈを特定する。

一方、端末特定部１１３は、図１８から図２０の抽出情報において、「ユーザ情報」が「Ｕｓｅｒ＃７」である情報に対応する「接続先情報」に設定されていない管理対象端末２ｅ及び２ｉについては、マルウェアが検出されない管理対象端末２であると判定する。これにより、端末特定部１１３は、マルウェアが検出される可能性がある管理対象端末２を特定することが可能になる。

図１２に戻り、検出判定部１１５は、Ｓ３４において特定した管理対象端末２が、第１管理対象端末で検出されたマルウェアが検出されるか否かを判定する（Ｓ３５）。

具体的に、第１管理対象端末においてマルウェアが検出された場合、検出判定部１１５は、例えば、マルウェア情報１３３を参照する。そして、検出判定部１１５は、例えば、マルウェア情報１３３から、第１管理対象端末がマルウェアに感染した際に作成されたファイル（例えば、感染源の可能性があるファイル）のファイル名やファイルサイズ、フィンガープリントを取得する。

続いて、検出判定部１１５は、例えば、端末特定部１１３が特定した管理対象端末２に、第１管理対象端末がマルウェアに感染した際に作成されたファイルが存在するか否かを確認する。そして、端末特定部１１３が特定した管理対象端末２に同じファイルが存在する場合、検出判定部１１５は、端末特定部１１３が特定した管理対象端末２が、第１管理対象端末が感染しているマルウェアに感染している管理対象端末２であると判定する。

[Ｓ２４の処理の詳細]
次に、図１４を参照しながら、図１１で説明したＳ２４の処理の詳細を説明する。

接続情報管理部１１２は、図１１で説明した場合と同様に、Ｓ２３で抽出したユーザ情報を情報格納領域１３０に蓄積する（Ｓ５１）。

続いて、接続情報管理部１１２は、接続情報１３１のうち、所定期間が経過した日時情報（以下、第１日時情報とも呼ぶ）が存在するか否かを判定する（Ｓ５２）。所定期間は、例えば、３か月等である。そして、所定期間が経過した日時情報が存在する場合（Ｓ５２のＹＥＳ）、接続情報管理部１１２は、管理対象端末２が他の管理対象端末２に接続した日付や時間を特定する情報を情報格納領域１３０から消去する（Ｓ５３）。

すなわち、情報格納領域１３０に記憶された日時情報のうち、所定期間を経過した情報に含まれる詳細情報については、端末特定部１１３がマルウェアの検出確認を行う管理対象端末２を特定する際に使用されない場合がある。そのため、接続情報管理部１１２は、例えば、所定期間を経過した日時情報については、日付及び時間を特定する情報を削除するものであってよい。そして、この場合、情報格納領域１３０には、図２８に示すように、接続情報１３１に含まれる各情報が記憶された年と月を特定する情報のみが、日時情報として引き続き記憶される。これにより、接続情報管理部１１２は、接続情報１３１を記憶するために要する記憶媒体１０４の容量を、さらに抑えることが可能になる。

一方、所定期間が経過した日時情報が存在しない場合（Ｓ５２のＮＯ）、接続情報管理部１１２は、Ｓ５３の処理を実行しない。

このように、第１の実施の形態によれば、管理装置１は、管理対象端末２が他の管理対象端末２と接続した際の接続情報１３１を取得して記憶部１３０に蓄積する。そして、管理装置１は、管理対象端末２に含まれる第１管理対象端末における、有害動作を行うマルウェアの検出に応じて、記憶部１３０に蓄積された第１管理対象端末の接続情報１３１に基づき、監視を行う必要がある監視対象端末２を特定する。

これにより、管理装置１は、マルウェアの活動の検出後、マルウェアが検出される可能性がある管理対象端末２の特定を短期間で行うことができる。

以上の実施の形態をまとめると、以下の付記のとおりである。

（付記１）
コンピュータが、
管理対象端末が他の管理対象端末と接続した接続情報を取得して記憶部に蓄積し、
前記管理対象端末に含まれる第１管理対象端末における、有害動作を行うマルウェアの検出に応じて、前記記憶部に蓄積された前記第１管理対象端末の接続情報に基づき、監視を行う必要がある監視対象端末を特定する、
処理を実行することを特徴とする管理プログラム。

（付記２）
付記１において、
前記接続情報は、前記管理対象端末が他の管理対象端末と接続を行った場合に用いられたユーザ情報を含み、
前記監視対象端末を特定する処理では、前記記憶部に蓄積された前記ユーザ情報により、前記監視対象端末を特定する、
ことを特徴とする管理プログラム。

（付記３）
付記２において、
前記接続情報は、さらに、前記管理対象端末が他の管理対象端末と接続した日時情報と、前記管理対象端末が接続した他の管理対象端末のアドレス情報とを含む、
ことを特徴とする管理プログラム。

（付記４）
付記２において、
前記監視対象端末を特定する処理では、
前記記憶部に蓄積された前記ユーザ情報から、前記第１管理対象端末のうちの所定割合以上の第１管理対象端末と対応して前記記憶部に蓄積された第１ユーザ情報を抽出し、
前記第１管理対象端末のいずれかが前記第１ユーザ情報を用いて接続した他の管理対象端末を、前記監視対象端末として特定する、
ことを特徴とする管理プログラム。

（付記５）
付記４において、さらに、
前記第１ユーザ情報を抽出する処理の後、全ての前記管理対象端末に対し、前記第１ユーザ情報による他の管理対象端末への接続を禁止する、
処理をコンピュータに実行させることを特徴とする管理プログラム。

（付記６）
付記３において、さらに、
前記記憶部に記憶された前記日時情報に、所定期間が経過した第１日時情報が存在する場合、前記第１日時情報に含まれる情報のうち、前記管理対象端末のいずれかが他の管理対象端末と接続した日付及び時間を特定する情報を前記記憶部から消去する、
処理をコンピュータに実行させることを特徴とする管理プログラム。

（付記７）
付記１において、さらに、
前記監視対象端末を特定する処理の後、前記第１管理対象端末から検出されたマルウェアの情報により、前記第１管理対象端末から検出されたマルウェアが前記監視対象端末から検出されるか否かを判定する、
処理をコンピュータに実行させることを特徴とする管理プログラム。

（付記８）
管理対象端末が他の管理対象端末と接続した接続情報を取得して蓄積する記憶部と、
前記管理対象端末に含まれる第１管理対象端末における、有害動作を行うマルウェアの検出に応じて、前記記憶部に蓄積された前記第１管理対象端末の接続情報に基づき、監視を行う必要がある監視対象端末を特定する端末特定部と、を有する、
ことを特徴とする管理装置。

（付記９）
付記８において、
前記接続情報は、前記管理対象端末が他の管理対象端末と接続を行った場合に用いられたユーザ情報を含み、
前記端末特定部は、前記記憶部に蓄積された前記ユーザ情報により、前記監視対象端末を特定する、
ことを特徴とする管理装置。

（付記１０）
付記９において、
前記端末特定部は、
前記記憶部に蓄積された前記ユーザ情報から、前記第１管理対象端末のうちの所定割合の第１管理対象端末と対応して前記記憶部に蓄積された第１ユーザ情報を抽出し、
前記第１管理対象端末のいずれかが前記第１ユーザ情報を用いて接続した他の管理対象端末を、前記監視対象端末として特定する、
ことを特徴とする管理装置。

（付記１１）
付記１０において、さらに、
前記第１ユーザ情報を抽出する処理の後、全ての前記管理対象端末に対し、前記第１ユーザ情報による他の管理対象端末への接続を禁止する権限管理部を有する、
ことを特徴とする管理装置。

（付記１２）
管理対象端末が他の管理対象端末と接続した接続情報を取得して記憶部に蓄積し、
前記管理対象端末に含まれる第１管理対象端末における、有害動作を行うマルウェアの検出に応じて、前記記憶部に蓄積された前記第１管理対象端末の接続情報に基づき、監視を行う必要がある監視対象端末を特定する、
ことを特徴とする管理方法。

（付記１３）
付記１２において、
前記接続情報は、前記管理対象端末が他の管理対象端末と接続を行った場合に用いられたユーザ情報を含み、
前記監視対象端末を特定する工程では、前記記憶部に蓄積された前記ユーザ情報により、前記監視対象端末を特定する、
ことを特徴とする管理方法。

（付記１４）
付記１３において、
前記端末を特定する工程では、
前記記憶部に蓄積された前記ユーザ情報から、前記第１管理対象端末のうちの所定割合の第１管理対象端末と対応して前記記憶部に蓄積された第１ユーザ情報を抽出し、
前記第１管理対象端末のいずれかが前記第１ユーザ情報を用いて接続した他の管理対象端末を、前記監視対象端末として特定する、
ことを特徴とする管理方法。

（付記１５）
付記１４において、さらに、
前記ユーザ情報を抽出する工程の後、前記第１ユーザ情報を抽出する処理の後、全ての前記管理対象端末に対し、前記第１ユーザ情報による他の管理対象端末への接続を禁止する、
ことを特徴とする管理方法。

１：管理装置 ２：管理対象端末
６：ファイアーウォール装置 １１：外部端末
ＮＷ：ネットワーク

Claims (6)

1. コンピュータが、
   管理対象端末が他の管理対象端末と接続した接続情報を取得して記憶部に蓄積し、
   前記管理対象端末に含まれる第１管理対象端末における、有害動作を行うマルウェアの検出に応じて、前記記憶部に蓄積された前記第１管理対象端末の接続情報に基づき、監視を行う必要がある監視対象端末を特定する、
   処理を実行することを特徴とする管理プログラム。
2. 請求項１において、
   前記接続情報は、前記管理対象端末が他の管理対象端末と接続を行った場合に用いられたユーザ情報を含み、
   前記監視対象端末を特定する処理では、前記記憶部に蓄積された前記ユーザ情報により、前記監視対象端末を特定する、
   ことを特徴とする管理プログラム。
3. 請求項２において、
   前記監視対象端末を特定する処理では、
   前記記憶部に蓄積された前記ユーザ情報から、前記第１管理対象端末のうちの所定割合以上の第１管理対象端末と対応して前記記憶部に蓄積された第１ユーザ情報を抽出し、
   前記第１管理対象端末のいずれかが前記第１ユーザ情報を用いて接続した他の管理対象端末を、前記監視対象端末として特定する、
   ことを特徴とする管理プログラム。
4. 請求項３において、さらに、
   前記第１ユーザ情報を抽出する処理の後、全ての前記管理対象端末に対し、前記第１ユーザ情報による他の管理対象端末への接続を禁止する、
   処理をコンピュータに実行させることを特徴とする管理プログラム。
5. 管理対象端末が他の管理対象端末と接続した接続情報を取得して蓄積する記憶部と、
   前記管理対象端末に含まれる第１管理対象端末における、有害動作を行うマルウェアの検出に応じて、前記記憶部に蓄積された前記第１管理対象端末の接続情報に基づき、監視を行う必要がある監視対象端末を特定する端末特定部と、を有する、
   ことを特徴とする管理装置。
6. 管理対象端末が他の管理対象端末と接続した接続情報を取得して記憶部に蓄積し、
   前記管理対象端末に含まれる第１管理対象端末における、有害動作を行うマルウェアの検出に応じて、前記記憶部に蓄積された前記第１管理対象端末の接続情報に基づき、監視を行う必要がある監視対象端末を特定する、
   ことを特徴とする管理方法。

Images