JP2016213799A - ネットワーク監視方法、ネットワーク監視プログラム及びネットワーク監視装置 - Google Patents

Abstract

【課題】サイバー攻撃による侵害範囲を特定しやすくするネットワーク監視方法、プログラム及び装置を提供する。
【解決手段】方法は、ネットワークからキャプチャされたパケットから、送信元コンピュータの識別子と、宛先コンピュータの識別子とを抽出し、送信元コンピュータによる宛先コンピュータに対するリモート操作における属性パラメータを特定し、送信元コンピュータの識別子、宛先コンピュータの識別子及び属性パラメータを含む記録を蓄積する蓄積処理と、送信元コンピュータの識別子が感染コンピュータの識別子に該当している記録から、属性パラメータを抽出する抽出処理と、抽出された属性パラメータを含む記録を検索する検索処理と、検索された記録に含まれる送信元コンピュータの識別子又は宛先コンピュータの識別子を特定する処理と、を含む。
【選択図】図１７Ａ

Description

本発明は、サイバー攻撃に対するセキュリティ技術に関する。

イントラネットを利用した情報処理システムは、ユーザにとって利便性が高い。一方、例えば標的型攻撃を目的として、ＲＡＴ（Remote Administration Tool）がこのような情報処理システム内に侵入した場合には、例えば機密データの流出のリスクが生じる。

これに対して、ＲＡＴによる所定の動きを監視する技術が存在する。この技術によって、ＲＡＴに感染したコンピュータを検出し、この感染コンピュータによる攻撃の痕跡を把握できれば、侵害範囲の一部を把握することができる。

しかし、ＲＡＴが自ら増殖するタイプであれば、他にも感染コンピュータが隠れている可能性がある。仮に感染コンピュータが情報処理システム内に潜伏していた場合には、今後も攻撃が継続される可能性がある。また、実際の侵害範囲は、管理者が想定している範囲よりも広いかも知れない。

また、サイバー攻撃による被害を受けた場合、被害者自身が第三者に対する責任を問われることもある。従って、サイバー攻撃による侵害範囲を特定することは、社会的にも重要である。

特開２０１４−８６８２２号公報 特開２００５−２５０８０２号公報

本発明の目的は、一側面では、サイバー攻撃による侵害範囲を特定しやすくすることである。

一態様に係るネットワーク監視方法は、（Ａ）ネットワークからキャプチャされたパケットから、送信元コンピュータの識別子と、宛先コンピュータの識別子とを抽出し、当該送信元コンピュータによる当該宛先コンピュータに対するリモート操作における属性パラメータを特定し、当該送信元コンピュータの識別子、当該宛先コンピュータの識別子及び当該属性パラメータを含む記録を蓄積する蓄積処理と、（Ｂ）送信元コンピュータの識別子が感染コンピュータの識別子に該当している記録から、属性パラメータを抽出する抽出処理と、（Ｃ）抽出された属性パラメータを含む記録を検索する検索処理と、（Ｄ）検索された上記記録に含まれる送信元コンピュータの識別子又は宛先コンピュータの識別子を特定する処理とを含む。

一側面としては、サイバー攻撃による侵害範囲を特定しやすくなる。

図１は、情報処理システムの例を示す図である。 図２は、リモート操作における属性データの類似性を説明するための図である。 図３は、マルウェアによるリモート操作の概要を示す図である。 図４は、ＳＭＢ（Server Message Block）パケットの構成を示す図である。 図５は、ＤＣＥ／ＲＰＣ（Distributed Computing Environment / Remote Procedure Calls）パケットの構成を示す図である。 図６は、ＳＭＢ認証のリクエストメッセージ及び認証ログの例を示す図である。 図７Ａは、ファイルリードのリクエストメッセージの例を示す図である。 図７Ｂは、ファイルリードの操作ログの例を示す図である。 図８Ａは、タスク登録のリクエストメッセージの例を示す図である。 図８Ｂは、タスク登録の操作ログの例を示す図である。 図９Ａは、サービス登録のリクエストメッセージの例を示す図である。 図９Ｂは、サービス登録の操作ログの例を示す図である。 図１０は、監視装置のモジュール構成例を示す図である。 図１１は、ロギング処理フローの例を示す図である。 図１２は、第１記録処理フローの例を示す図である。 図１３は、第２記録処理フローの例を示す図である。 図１４は、第３記録処理フローの例を示す図である。 図１５は、メイン処理フローの例を示す図である。 図１６は、感染コンピュータが要求した認証に関するレコードの例を示す図である。 図１７Ａは、第１判別処理フローの例を示す図である。 図１７Ｂは、第１判別処理フローの例を示す図である。 図１８は、不正な認証時と同じアカウント名を用いた認証に関するレコードの例を示す図である。 図１９は、不正な認証時と同じアカウント名を用いたリモート操作に関するレコードの例を示す図である。 図２０は、不正な認証時と同じアカウント名を用いたイベントに関するレコードの例を示す図である。 図２１は、感染コンピュータが要求した不正なリモート操作に関するレコードの例を示す図である。 図２２は、第２判別処理フローの例を示す図である。 図２３は、不正なリモート操作時と同じファイル名を用いたリモート操作に関するレコードの例を示す図である。 図２４は、不正なリモート操作時と同じファイル名を用いたイベントに関するレコードの例を示す図である。 図２５は、第３判別処理フローの例を示す図である。 図２６は、不正なリモート操作時と同じサービス名を用いたリモート操作に関するレコードの例を示す図である。 図２７は、判別結果の例を示す図である。 図２８は、実施の形態２に係る第２判別処理フローの例を示す図である。 図２９は、実施の形態２に係る第３判別処理フローの例を示す図である。 図３０は、コンピュータの機能ブロック図である。

［実施の形態１］
図１に、情報処理システムの例を示す。複数のコンピュータ１０１がネットワーク（例えば、ＬＡＮ（Local Area Network））を介して接続している。ネットワークは、ファイアウォール１０５を介してインターネットと接続している。例えば、イントラネットによる情報処理システムを想定する。コンピュータ１０１は、例えばサーバ装置又はクライアント端末である。サーバ装置の機能は、任意である。サーバ装置は、例えばドメイン管理サーバ、Ｗｅｂサーバ、ファイルサーバ、Ｗｉｎｄｏｗｓ（登録商標）サーバ又はＳａｍｂａサーバなどであってもよい。

各クライアント端末は、各サーバ装置によるサービスを利用することがある。各クライアント端末は、各サーバ装置で保持するデータを利用することがある。また、複数のサーバ装置が連携する場合もある。クライアント端末同士が、データを共有することもある。クライアント端末が、他のクライアント端末によるサービスを利用することもある。

つまり、コンピュータ１０１同士は、所定の条件の下で、任意にリモート操作を行うことがあるものとする。そのために、複数のコンピュータ１０１の間でＳＭＢ及び/又はＤＣＥ／ＲＰＣに基づく制御が行われる。ＳＭＢ及びＤＣＥ／ＲＰＣは、リモート操作の機能を提供するアプリケーション層のプロトコルの例である。

マルウェアは、例えば標的型攻撃を行うＲＡＴである。マルウェアは、標的型メールや不正サイトなどを介して、情報処理システム内のコンピュータ１０１に送り込まれる。送り込まれたマルウェアは、情報処理システム外の攻撃者からの指示を受けて、例えば以下のような不正な動作を行う。このようにマルウェアに侵入されたコンピュータ１０１を、感染コンピュータという。

マルウェアは、感染コンピュータから周囲のコンピュータ１０１に対するＯＳスキャンやサービススキャンを行って、情報処理システムの内部状況に関する情報を収集し、攻撃者へ転送する。攻撃者は、周囲のコンピュータ１０１の中から攻撃対象とするものを選択する。このように攻撃対象となったコンピュータ１０１を、標的コンピュータという。

マルウェアは、攻撃者の指示を受けて、標的コンピュータを不正に操作し、内部情報を窃取するための環境を整える。このとき、攻撃コンピュータから標的コンピュータに対して、例えばアカウント登録、ファイルライト、タスク登録、サービス登録及びサービス起動などのリモート操作が行われる。

更に、マルウェアは、攻撃者の指示を受けて、標的コンピュータから内部情報を読み取る。そして、内部情報は、例えば攻撃コンピュータから直接的又は間接的に外部の攻撃者へ転送される。

マルウェアは、他のコンピュータ１０１に自らの複製を送り込む場合もある。つまり、マルウェアは、情報処理システム内において自己増殖する場合がある。このような不正なリモート操作を繰り返されると、連鎖的に被害範囲が拡大する。そして、データ流出やデータ改ざんのようなリスクも高まる。

尚、攻撃を終える段階で、マルウェアは、攻撃者の指示を受けて、自らの攻撃の痕跡を消す。そのため、マルウェアは、標的コンピュータに対して、アカウント削除、ファイル削除、タスク削除、サービス停止、サービス削除及びログ削除などのリモート操作を行う。また、マルウェアは、感染コンピュータに対しても、同様の操作を行う。

本実施の形態では、種々の伝送データの中から攻撃に関わるデータを抽出し、侵害範囲を特定する。最初にマルウェアを見つける段階では、従来技術を用いる。例えば、マルウェアが標的コンピュータから内部情報を読み取る動作や、マルウェアが情報処理システム外に対して通信を行う動作を検出する技術が存在する。

監視装置１０３で、感染コンピュータを検出すると、感染コンピュータが行った不正なリモート操作を特定する。そして、感染コンピュータが行った不正なリモート操作と類似するリモート操作を抽出して、未検出の感染コンピュータ及び未検出の標的コンピュータを特定する。

尚、監視装置１０３における機能を、複数のサーバに分担させるようにしてもよい。例えば、第１の監視サーバで、感染したコンピュータ１０１を検出する。第２の監視サーバで、その他の感染したコンピュータ１０１や攻撃を受けたコンピュータ１０１を検出するようにしてもよい。

監視装置１０３は、例えばポートミラーリング対応のスイッチ又はネットワークタップを介して、ネットワークに接続している。

次に、図２を用いて、リモート操作における属性データの類似性について説明する。図２の左側は、マルウェア２０１に感染したＩＰ（Internet Protocol）アドレス「ｘ．ｘ．ｘ．１」の感染コンピュータ２０３が、ＩＰアドレス「ｘ．ｘ．ｘ．２」の標的コンピュータ２０５に対して、マルウェア２０１による攻撃の一環として、ＳＭＢ認証のリクエストメッセージを送った様子を示している。ＳＭＢ認証のリクエストメッセージは、アカウント名「ａｄｍｉｎＸ」が含まれていたものとする。この場合、感染コンピュータ２０３は要求側に相当する。また、標的コンピュータ２０５は応答側に相当する。尚、以下の説明で、要求側から送られるパケットをリクエストメッセージという場合がある。同じく、応答側から送られるパケットをレスポンスメッセージという場合がある。

この例で、標的コンピュータ２０５は、当該リクエストメッセージを受けてＳＭＢ認証を行う。当該リクエストメッセージに含まれるアカウント名「ａｄｍｉｎＸ」が、標的コンピュータ２０５におけるサービス部において予め登録されているアカウント名であれば、認証は成功する。そのため、攻撃者は、何らかの手段で他人のアカウント名を盗み、あるいは、不正にアカウント名を登録しておく。従来の検出技術によって感染コンピュータ２０３を検出した場合には、検出された感染コンピュータ２０３による攻撃を受けた標的コンピュータ２０５を特定することは、比較的容易である。

一方、マルウェア２０１が、自身を他のコンピュータ１０１に複製する機能を有している場合には、マルウェア２０１に感染した感染コンピュータ２０３が、他にも情報処理システム内に存在するかも知れない。ここでは、このようにマルウェア２０１が自己増殖する場合を想定する。

図２の右側に示したＩＰアドレス「ｘ．ｘ．ｘ．５」の感染コンピュータ２０３は、まだ検出されていない。つまり、この感染コンピュータ２０３は潜伏している状態である。そして、この感染コンピュータ２０３が、ＩＰアドレス「ｘ．ｘ．ｘ．９」の標的コンピュータ２０５に対して、マルウェア２０１による攻撃の一環として、ＳＭＢ認証のリクエストメッセージを送った様子を示している。この時点で、この標的コンピュータ２０５が攻撃を受けたことも判明していない。つまり、この標的コンピュータ２０５も、潜伏している状態である。

この例で、右側のＳＭＢ認証のリクエストメッセージにも、同じアカウント名「ａｄｍｉｎＸ」が含まれている。このように、攻撃者は、一旦入手したアカウント名を、他の感染コンピュータ２０３からの攻撃においても用いることがある。

盗まれたアカウント名が使い回され、又はマルウェア２０１の特性に起因して同じアカウント名が繰り返し使われるケースでは、既知の攻撃において用いられたアカウント名を検索キーとして、キャプチャしたパケットをチェックすれば、潜伏している感染コンピュータ２０３による攻撃を特定することができる。

検索キーとなる情報は、アカウント名に限らない。本実施の形態では、アカウント名以外の属性データも監視して、不正なアクセスを見分けるようにする。

パラメータの任意性が高い属性項目の場合、繰り返し出現するパラメータは、同じ要求元によって再使用されていると推測される面がある。また、パラメータの任意性が低い属性項目の場合、使用頻度が低い属性パラメータについては、特定の要求元によって限定的に使用されている可能性が高いという面がある。つまり、パラメータが同じであれば、要求元が共通であるという推測が成り立つ場合がある。尚、以下では、属性データにおけるパラメータを属性パラメータということがある。

本実施の形態では、元の感染コンピュータ２０３から感染経路を辿って先の感染コンピュータ２０３を特定するわけではないので、感染経路が隠蔽されている場合であっても、新たな感染コンピュータ２０３を見つけ出しやすいという面がある。

図３を用いて、マルウェア２０１によるリモート操作の概要について説明する。例えば、マルウェア２０１が、ユーザプログラムに紛れて独立したプログラムとして存在する場合がある。正常時に比べて不明なプロセスが増えている場合には、このようなマルウェア２０１がプロセスとして起動した可能性がある。

また、マルウェア２０１が、オペレーティングシステム内に注入される場合もある。このような場合には、例えばＤＬＬ（Dynamic Link Library）のようなライブラリルーチンのプログラムが追加されるが、不明のプロセスが増えるわけではない。同様に、正当なユーザプログラム内に、マルウェア２０１が注入される場合もある。従って、プロセスの監視だけでは、マルウェア２０１を見逃す懸念がある。

マルウェア２０１は、コマンド実行部３０１を利用して不正なリモート操作を試みる。つまり、マルウェア２０１は、正当なルートに紛れてコマンド実行部３０１にコマンドを発行し、間接的に標的コンピュータ２０５のサービス部３０３を操作する。又は、マルウェア２０１自身が、コマンド実行部３０１に相当する機能を備える場合もある。この場合には、マルウェア２０１が、コマンド実行部３０１の場合と同様のメッセージを、直接標的コンピュータ２０５のサービス部３０３とやり取りし、所定のコマンドに相当する処理を行う。

ここで、前提技術であるコマンド実行部３０１及びサービス部３０３の動作について説明する。コマンド実行部３０１及びサービス部３０３の動作は、コンピュータ１０１がマルウェア２０１に感染している場合でも、コンピュータ１０１がマルウェア２０１に感染していない場合であっても同様である。

コマンド実行部３０１は、リモート操作を行うためのリクエストメッセージを、サービス部３０３に送る。サービス部３０３は、リクエストメッセージを受けてサービスを提供する。

多くの場合コンピュータ１０１は、各種のコマンド実行部３０１及びサービス部３０３を備える。サービス部３０３は、例えば各種サービスをコントロールするサービスを提供する。他にも、ファイルアクセスのサービスを提供するサービス部３０３、ネットワーク共有のサービスを提供するサービス部３０３、あるいはレジスタ操作のサービスを提供するサービス部３０３などがある。

サービス部３０３は、オペレーティングシステム内に設けられている場合の他、ユーザプログラム内に設けられている場合もある。コマンド実行部３０１も、オペレーティングシステム内に設けられている場合の他、ユーザプログラム内に設けられている場合もある。

通常、コマンド実行部３０１は、例えばオペレーティングシステムあるいはユーザプログラムの内部又は外部のモジュールからコールされ、或いはＧＵＩ（Graphical User Interface）を介してコールされてコマンドを実行する。具体的には、コマンド実行部３０１は、コマンド名、あるいはコマンド名とオプションとの組み合わせを受け付ける。

本実施の形態では、コマンド実行部３０１はＳＭＢ及び/又はＤＣＥ／ＲＰＣに基づいて、サービス部３０３との間でリクエストメッセージ及びレスポンスメッセージをやり取りするものとする。１つのコマンドを実行するために行われるメッセージの交換は、１回のこともあり、複数回のこともある。

マルウェア２０１がオペレーティングシステムあるいはユーザプログラムの内部に侵入した場合には、マルウェア２０１は、内部的にコマンド実行部３０１をコールする。マルウェア２０１がオペレーティングシステムあるいはユーザプログラムの外部に存在する場合には、マルウェア２０１は、外部からコマンド実行部３０１をコールする。また、マルウェア２０１自身が、コマンド実行部３０１に相当する動作を行う場合にも、感染コンピュータ２０３は、ＳＭＢ及び/又はＤＣＥ／ＲＰＣのプロトコルに従って、コマンドの実行に相当する処理を行うことになる。

続いて、パケットの構成について説明する。図４に、ＳＭＢプロトコルによる制御で用いられるパケットの構成を示す。以下、ＳＭＢプロトコルによる制御で用いられるパケットをＳＭＢパケットという。図４に示すように、ＭＡＣ（Media Access Control）ヘッダーには、宛先ＭＡＣアドレスが設定されるフィールドと、送信元ＭＡＣアドレスが設定されるフィールドとが含まれている。送信元ＭＡＣアドレスは、当該パケットを送ったコンピュータ１０１のＭＡＣアドレスである。宛先ＭＡＣアドレスは、当該パケットを受けるコンピュータ１０１のＭＡＣアドレスである。

また、ＩＰヘッダーには、送信元ＩＰアドレスが設定されるフィールドと、宛先ＩＰアドレスが設定されるフィールドとが含まれている。送信元ＩＰアドレスは、当該パケットを送ったコンピュータ１０１のＩＰアドレスである。宛先ＩＰアドレスは、当該パケットを受けるコンピュータ１０１のＩＰアドレスである。

ＳＭＢパケットがＴＣＰ（Transmission Control Protocol）に従って送られる場合に、当該パケットは、ＴＣＰヘッダーを有する。ＳＭＢパケットが、ＵＤＰ（User Datagram Protocol）に従って送られる場合に、当該パケットは、ＵＤＰヘッダーを有する。この例では、ＴＣＰヘッダー又はＵＤＰヘッダーを有するという意味で、ＴＣＰ／ＵＤＰヘッダーと記す。ＴＣＰヘッダー又はＵＤＰヘッダーのいずれの場合であっても、当該ヘッダーには、送信元ポート番号が設定されるフィールドと、宛先ポート番号が設定されるフィールドとが含まれている。送信元ポート番号は、当該パケットを送り出したポートの番号である。宛先ポート番号は、当該パケットを受けるポートの番号である。

尚、この例で、ＮｅｔＢｉｏｓに関するヘッダーは省略する。

ＳＭＢパケットは、ＳＭＢヘッダー及びＳＭＢボディを有する。ＳＭＢヘッダーには、プロトコルが設定されるフィールドと、オペレーションコードが設定されるフィールドと、パイプ名が設定されるフィールドとが含まれている。プロトコルには、ＳＭＢの識別子が設定される。尚、ＳＭＢの識別子は、ＳＭＢのバージョンを含む。オペレーションコードは、ＳＭＢにおけるオペレーションの識別子である。パイプ名は、データ伝送形態の一つであるパイプの名前である。パイプ名は、サービスに対して一意に定められている。従って、利用されるサービスは、パイプ名によって特定される。

ＳＭＢヘッダーには、各種の属性データが含まれる。但し、属性項目及び格納位置は、ＳＭＢパケットの種類によって異なる場合がある。ＳＭＢパケットの種類は、オペレーションコードとパイプ名との両方又は一方によって判別される。属性データの例は、後述する。尚、ＳＭＢボディに、属性データが含まれる場合もある。ＳＭＢは、ファイルアクセスのサービスもサポートする。

図５に、ＤＣＥ／ＲＰＣパケットの構成を示す。以下、ＤＣＥ／ＲＰＣプロトコルによる制御で用いられるパケットをＤＣＥ／ＲＰＣパケットという。

ＭＡＣヘッダー、ＩＰヘッダー及びＴＣＰ／ＵＤＰヘッダーは、図４に示したＳＭＢパケットの場合と同様である。

ＤＣＥ／ＲＰＣパケットは、ＤＣＥ／ＲＰＣヘッダー及びＤＣＥ／ＲＰＣボディを有する。ＤＣＥ／ＲＰＣヘッダーには、プロトコルが設定されるフィールドと、オペレーションコードが設定されるフィールドと、サービスＵＵＩＤ（Universally Unique Identifier）が設定されるフィールドとが含まれている。プロトコルには、ＤＣＥ／ＲＰＣの識別子が設定される。オペレーションコードは、ＤＣＥ／ＲＰＣにおけるオペレーションの識別子である。サービスＵＵＩＤは、サービスに対して一意に定められている。従って、利用されるサービスは、サービスＵＵＩＤによって特定される。尚、ＤＣＥ／ＲＰＣは、ファイルアクセスのサービスをサポートしない。

監視装置１０３は、これらのＳＭＢパケット及びＤＣＥ／ＲＰＣパケットをキャプチャし、ロギングを行う。以下、ＳＭＢパケット又はＤＣＥ／ＲＰＣパケットであるリクエストメッセージとログとの関係について説明する。図６乃至図９Ｂに各種リクエストメッセージとログとの関係の例を示す。

図６に、ＳＭＢプロトコルにおける認証（つまり、ＳＭＢ認証）のリクエストメッセージ及び認証ログの例を示す。不正にサービス部３０３を利用しようとする場合に、マルウェア２０１は、直接的又は間接的に当該サービス部３０３にＳＭＢ認証のリクエストメッセージを送ることがある。

この例では、ＩＰアドレスによってコンピュータ１０１を判別するので、ＭＡＣアドレスについては言及しない。但し、ＭＡＣアドレスによってコンピュータ１０１を判別するようにしてもよい。

図６に示したＳＭＢ認証のリクエストメッセージは、ＩＰアドレス「ｘ．ｘ．ｘ．１」のコンピュータ１０１から、ＩＰアドレス「ｘ．ｘ．ｘ．２」のコンピュータ１０１へ送られるものと想定する。従って、送信元ＩＰアドレスのフィールドには「ｘ．ｘ．ｘ．１」が設定され、宛先ＩＰアドレスのフィールドには「ｘ．ｘ．ｘ．２」が設定されている。

当該リクエストメッセージは、宛先のコンピュータ１０１におけるポート番号「Ｐ₂」のポートに対して、送信元のコンピュータ１０１におけるポート番号「Ｐ₁」のポートから送られたものと想定する。従って、送信元ポート番号のフィールドには「Ｐ₁」が設定され、宛先ポート番号のフィールドには「Ｐ₂」が設定されている。

この例におけるＳＭＢ認証の手順は、ＳＭＢのバージョン２に準拠するものとする。従って、プロトコルのフィールドには「ＳＭＢ２」が設定されている。オペレーションコードの「０ｘ０１」は、認証の要求に相当する。プロバイダーの「ＮＴＬＭ（NT LAN Manager）」は、認証の方式がＮＴＬＭであることを示している。

キャプチャしたパケットに設定されているプロトコルが「ＳＭＢ２」であり、同じくオペレーションコードが「０ｘ０１」であり、且つ同じくプロバイダーが「ＮＴＬＭ」であるという条件と合致する場合に、当該パケットは、ＳＭＢ認証のリクエストメッセージに該当すると判定される。

このように、ＳＭＢ認証のリクエストメッセージに該当するパケットを監視装置１０３で検出した場合には、当該リクエストメッセージの内容が認証ログに記録される。図６で矢印が指す認証ログには、上段のＳＭＢ認証のリクエストメッセージの内容を示す新たなレコードが設けられている。

この例における認証ログは、テーブル形式である。認証ログには、ＳＭＢ認証又はＤＣＥ／ＲＰＣプロトコルにおける認証（以下、ＤＣＥ／ＲＰＣ認証という。）を要求するリクエストメッセージに対応するレコードが設けられる。認証ログのレコードは、日時を設定するためのフィールドと、送信元ＩＰアドレスを設定するためのフィールドと、送信元ポート番号を設定するためのフィールドと、宛先ＩＰアドレスを設定するためのフィールドと、宛先ポート番号を設定するためのフィールドと、認証種別を設定するためのフィールドと、属性データを設定するためのフィールドとを有している。日時は、当該パケットをキャプチャした日時である。送信元ＩＰアドレス及び宛先ＩＰアドレスは、当該パケットのＩＰヘッダーから抽出される。送信元ポート番号及び宛先ポート番号は、当該パケットのＴＣＰ／ＵＤＰヘッダーから抽出される。この例における認証種別は、ＳＭＢ認証とＤＣＥ／ＲＰＣ認証とのいずれかである。

この例で、属性データのフィールドには、属性項目と属性パラメータとが対で設定される。認証における属性データには、例えばドメイン名とアカウント名とが含まれる。ドメイン名とアカウント名とは、ＳＭＢヘッダーから抽出される。ドメイン名とアカウント名とを一体として扱うようにしてもよい。また、ＳＭＢヘッダーから要求側に相当するコンピュータ１０１のホスト名を抽出し、付属情報に加えるようにしてもよい。更に、認証方式を、認証種別又は属性データに加えるようにしてもよい。

このように、認証に関しては、認証ログに内容を記録する。一方、認証以外のコマンドに関しては、操作ログに内容を記録する。以下では、認証以外のコマンドに関するリクエストメッセージと操作ログとの例を示す。

尚、コマンドの種類によって、リクエストメッセージの送出が１回で終わる場合と、コマンドの処理が完了するまでにリクエストメッセージを複数回送出する場合とがある。以下で示す例は、いずれもリクエストメッセージを複数回送出する場合に相当する。

図７Ａ及び図７Ｂに、ファイルリードのリクエストメッセージ及び操作ログの例を示す。例えば標的コンピュータ２０５からデータを盗み出す場合に、マルウェア２０１は、直接的又は間接的にファイルアクセスのサービス部３０３にファイルリードのリクエストメッセージを送ることがある。

図７Ａの上段に示したファイルリードにおける１回目のリクエストメッセージは、ＩＰアドレス「ｘ．ｘ．ｘ．２」のコンピュータ１０１から、ＩＰアドレス「ｘ．ｘ．ｘ．７」のコンピュータ１０１へ送られるものと想定する。従って、送信元ＩＰアドレスのフィールドには「ｘ．ｘ．ｘ．２」が設定され、宛先ＩＰアドレスのフィールドには「ｘ．ｘ．ｘ．７」が設定されている。尚、図７Ａの下段に示したファイルリードにおける２回目のリクエストメッセージの場合も、同様である。

図７Ａの上段に示したファイルリードにおける１回目のリクエストメッセージは、宛先のコンピュータ１０１におけるポート番号「Ｐ₄」のポートに対して、送信元のコンピュータ１０１におけるポート番号「Ｐ₃」のポートから送られたものと想定する。従って、送信元ポート番号のフィールドには「Ｐ₃」が設定され、宛先ポート番号のフィールドには「Ｐ₄」が設定されている。尚、図７Ａの下段に示したファイルリードにおける２回目のリクエストメッセージの場合も、同様である。

この例におけるファイルリードの手順は、ＳＭＢのバージョン１に準拠するものとする。従って、プロトコルのフィールドには「ＳＭＢ」が設定されている。

１回目のリクエストメッセージにおけるオペレーションコードの「０ｘａ２」は、ＮＴＣｒｅａｔｅと呼ばれる。バージョン１のＳＭＢの場合におけるオペレーションコードは、１ｂｙｔｅである。１回目のリクエストメッセージにおけるオペレーションコード「０ｘ０１」である場合には、ファイルアクセスの要求であること意味する。２回目のリクエストメッセージにおけるオペレーションコードの「０ｘ２ｅ」は、ファイルアクセスの種類がファイルリードであることを示している。

１回目のリクエストメッセージに設定されているオペレーションコードが「０ｘａ２」であり、２回目のリクエストメッセージ（１回目のリクエストメッセージと、プロトコル、送信元ＩＰアドレス、送信元ポート番号、宛先ＩＰアドレス及び宛先ポート番号が共通する。）に設定されているオペレーションコードが「０ｘ２ｅ」である場合に、これらのリクエストメッセージは、ファイルリードを要求するものであると判定される。

上述したように、認証以外のリクエストメッセージに該当するパケットを監視装置１０３で検出した場合には、当該リクエストメッセージの内容が操作ログに記録される。図７Ｂに示した操作ログには、図７Ａの上段及び下段に示したファイルリードのリクエストメッセージの内容を示す新たなレコードが設けられている。

この例における操作ログは、テーブル形式である。操作ログには、ＳＭＢ認証又はＤＣＥ／ＲＰＣ認証以外のコマンドに対応するレコードが設けられる。操作ログのレコードは、日時を設定するためのフィールドと、送信元ＩＰアドレスを設定するためのフィールドと、送信元ポート番号を設定するためのフィールドと、宛先ＩＰアドレスを設定するためのフィールドと、宛先ポート番号を設定するためのフィールドと、コマンドとオプションとを設定するためのフィールドと、属性データを設定するためのフィールドとを有している。日時、送信元ＩＰアドレス、宛先ＩＰアドレス、送信元ポート番号及び宛先ポート番号は、認証ログの場合と同様である。

コマンドに対するオプションは任意である。つまりオプションは省かれる場合がある。オプションが省かれる場合には、コマンドとオプションとを設定するためのフィールドには、コマンドが設定されるが、オプションは設定されない。この例では、コマンド名「ファイルリード」が設定され、オプションは省かれる。

認証ログの場合と同様に、属性データのフィールドには、属性項目と属性パラメータとが対で設定される。属性項目は、コマンド（又は、コマンドとオプションとの組み合わせ）によって異なる場合がある。この例で、ファイルリードにおける属性項目は、ファイルパス及びアカウント名である。ファイルパスは、リードするファイルの格納位置及び名前を含む。アカウント名は、ファイルリードの要求元を示す。但し、ファイルリードにおける属性項目は、この例に限定されない。ファイルパスは、１回目のリクエストメッセージのＳＭＢヘッダーから抽出される。アカウント名は、認証段階で特定されているものである。

図８Ａ及び図８Ｂに、タスク登録のリクエストメッセージ及び操作ログの例を示す。所望のタスクを標的コンピュータ２０５で動作させようとする場合に、マルウェア２０１は、標的コンピュータ２０５にタスク登録のリクエストメッセージを送ることがある。

図８Ａの上段に示したタスク登録における１回目のリクエストメッセージは、ＩＰアドレス「ｘ．ｘ．ｘ．１」のコンピュータ１０１から、ＩＰアドレス「ｘ．ｘ．ｘ．３」のコンピュータ１０１へ送られるものと想定する。従って、送信元ＩＰアドレスのフィールドには「ｘ．ｘ．ｘ．１」が設定され、宛先ＩＰアドレスのフィールドには「ｘ．ｘ．ｘ．３」が設定されている。尚、図８Ａの下段に示したファイルリードにおける２回目のリクエストメッセージの場合も、同様である。

この例におけるタスク登録の手順は、ＳＭＢのバージョン２に準拠するものとする。従って、プロトコルのフィールドには「ＳＭＢ２」が設定されている。

１回目のリクエストメッセージに設定されているオペレーションコードが「０ｘ０００５」であり、同じパケットに設定されているパイプ名が「ａｔｓｖｃ」であり、且つ２回目のリクエストメッセージ（１回目のリクエストメッセージと、プロトコル、送信元ＩＰアドレス、送信元ポート番号、宛先ＩＰアドレス及び宛先ポート番号が共通する。）に設定されているオペレーションコードが「０ｘ００００」である場合に、これらのリクエストメッセージは、タスク登録を要求するものであると判定される。尚、バージョン２のＳＭＢの場合におけるオペレーションコードは、２ｂｙｔｅｓである。

図８Ｂに示した操作ログには、図８Ａの上段及び下段に示したタスク登録のリクエストメッセージの内容を示す新たなレコードが設けられている。

日時、送信元ＩＰアドレス、宛先ＩＰアドレス、送信元ポート番号及び宛先ポート番号は、上述した通りである。

この例では、コマンドとオプションのフィールドには、コマンド名「タスク登録」が設定され、オプションは省かれる。

この例で、タスク登録における属性項目は、タスクパス及びアカウント名である。タスクパスは、タスクとして実行されるファイルの格納位置及び名前を含む。アカウント名は、タスク登録の要求元を示す。但し、タスク登録における属性項目は、この例に限定されない。タスクパスは、２回目のリクエストメッセージのＳＭＢヘッダーから抽出される。アカウント名は、認証段階で特定されているものである。

更に、図９Ａ及び図９Ｂに、サービス登録のリクエストメッセージ及び操作ログの例を示す。標的コンピュータ２０５においてサービスを利用しようとする場合に、マルウェア２０１は、標的コンピュータ２０５にサービス登録のリクエストメッセージを送ることがある。

図９Ａの上段に示したサービス登録における１回目のリクエストメッセージは、ＩＰアドレス「ｘ．ｘ．ｘ．１」のコンピュータ１０１から、ＩＰアドレス「ｘ．ｘ．ｘ．４」のコンピュータ１０１へ送られるものと想定する。従って、送信元ＩＰアドレスのフィールドには「ｘ．ｘ．ｘ．１」が設定され、宛先ＩＰアドレスのフィールドには「ｘ．ｘ．ｘ．４」が設定されている。尚、図９Ａの下段に示したサービス登録における２回目のリクエストメッセージの場合も、同様である。

この例におけるサービス登録の手順は、ＤＣＥ／ＲＰＣに準拠するものとする。従って、プロトコルのフィールドには「ＤＣＥ／ＲＰＣ」が設定されている。

１回目のリクエストメッセージに設定されている第１オペレーションコードが「０ｘ０ｂ」であり、同じくサービスＵＵＩＤが「９８４４・・・１００３」であり、且つ２回目のリクエストメッセージに（１回目のリクエストメッセージと、プロトコル、送信元ＩＰアドレス、送信元ポート番号、宛先ＩＰアドレス及び宛先ポート番号が共通する。）に設定されている第２オペレーションコードが「０ｘ０ｃ００」である場合に、これらのリクエストメッセージは、サービス登録を要求するものであると判定される。

図９Ｂに示した操作ログには、図９Ａの上段及び下段に示したサービス登録のリクエストメッセージの内容を示す新たなレコードが設けられている。

日時、送信元ＩＰアドレス、宛先ＩＰアドレス、送信元ポート番号及び宛先ポート番号は、上述した通りである。

この例では、コマンドとオプションのフィールドには、コマンド名「サービス登録」が設定され、オプションは省かれる。

この例で、サービス登録における属性項目は、サービス名及びアカウント名である。サービス名は、利用するサービスの名前である。アカウント名は、サービス登録の要求元を示す。但し、サービス登録における属性項目は、この例に限定されない。サービス名は、２回目のリクエストメッセージのＳＭＢヘッダーから抽出される。アカウント名は、認証段階で特定されているものである。

他のコマンドの場合にも、各コマンドに応じた所定のルールに従って、リクエストメッセージに設定されている属性データが特定される。また、所定のルールに従って、コマンドと併せてオプションを特定する場合もある。そして、操作ログには、特定されたコマンド又はコマンドとオプションとの組み合わせが設定される。更に、特定されたコマンド又はコマンドとオプションとの組み合わせに応じて、所定のルールに従って、リクエストメッセージから属性データが抽出され、操作ログに記録される。

ここでは、操作ログと別に認証ログを設ける例を示したが、認証ログを操作ログと一体としてもよい。その場合には、操作ログのレコードにおけるコマンドとオプションのフィールドに、認証ログにおける認証種別を設定するようにしてもよい。以上で、各種のリクエストメッセージとログとの関係についての説明を終える。

監視装置１０３についての説明に移る。図１０に、監視装置１０３のモジュール構成例を示す。監視装置１０３は、ロガー１００１、認証ログ記憶部１００９及び操作ログ記憶部１０１１を有する。ロガー１００１は、ＳＭＢ又はＤＣＥ／ＲＰＣのリクエストメッセージに基づくロギングを行う。

ロガー１００１は、キャプチャ部１００３、パケット格納部１００４、分析部１００５、記録処理部１００７及びルール記憶部１００８を有する。キャプチャ部１００３は、ネットワーク上を伝送するパケットをキャプチャする。パケット格納部１００４は、キャプチャされたパケットを格納する。分析部１００５は、所定のルールに基づいてパケットを分析する。記録処理部１００７は、以下で述べる第１記録処理乃至第３記録処理を実行する。

ルール記憶部１００８は、ＳＭＢプロトコルに関して、オペレーションコード及びパイプ名の組み合わせ（或いは、オペレーションコード又はパイプ名の一方）と、リモート操作のコマンド（又は、コマンドとオプションの組み合わせ）とを対応付けたルールを記憶している。ルール記憶部１００８は、ＤＣＥ／ＲＰＣプロトコルに関して、オペレーションコード及びサービスＵＵＩＤの組み合わせ（或いは、オペレーションコード又はサービスＵＵＩＤの一方）と、リモート操作のコマンド（又は、コマンドとオプションの組み合わせ）とを対応付けたルールを記憶している。ルール記憶部１００８は、コマンドに対応する属性項目及び属性データの格納位置を定めたルールも記憶している。ＳＭＢパケットの場合、属性データの格納位置は、ＳＭＢヘッダーにおける所定位置又はＳＭＢボディにおける所定位置を表す。ＤＣＥ／ＲＰＣパケットの場合、属性データの格納位置は、ＤＣＥ／ＲＰＣヘッダーにおける所定位置又はＤＣＥ／ＲＰＣボディにおける所定位置を表す。

認証ログ記憶部１００９は、認証ログを記憶する。操作ログ記憶部１０１１は、操作ログを記憶する。

更に、監視装置１０３は、検出部１０１３、構成記憶部１０１５、判別部１０１７、感染リスト記憶部１０２７、標的リスト記憶部１０２９及び出力部１０３１を有する。検出部１０１３は、従来技術によって感染コンピュータ２０３を検出する。構成記憶部１０１５は、情報処理システムの構成データを記憶している。情報処理システムの構成データには、例えば各コンピュータ１０１のＩＰアドレス、ＭＡＣアドレス又はホスト名が含まれる。判別部１０１７は、第１判別処理乃至第３判別処理を行う。

判別部１０１７は、受付部１０１９、特定部１０２１、抽出部１０２３及び検索部１０２５を有する。受付部１０１９は、検出部１０１３からアラートを受け付ける。特定部１０２１は、各種のデータを特定する。抽出部１０２３は、例えば、認証ログ又は操作ログのレコードから属性パラメータ（例えば、アカウント名、ファイル名又はサービス名）を抽出する。検索部１０２５は、属性パラメータを検索キーとして、認証ログ又は操作ログにおけるレコードを検索する。

感染リスト記憶部１０２７は、感染リストを記憶する。標的リスト記憶部１０２９は、標的リストを記憶する。出力部１０３１は、感染リスト及び／又は標的リストを出力する。

上述したロガー１００１、キャプチャ部１００３、分析部１００５、記録処理部１００７、検出部１０１３、判別部１０１７、受付部１０１９、特定部１０２１、抽出部１０２３、検索部１０２５、及び出力部１０３１は、ハードウエア資源（例えば、図３０）と、以下で述べる処理をプロセッサに実行させるプログラムとを用いて実現される。

上述したパケット格納部１００４、ルール記憶部１００８、認証ログ記憶部１００９、操作ログ記憶部１０１１、構成記憶部１０１５、感染リスト記憶部１０２７及び標的リスト記憶部１０２９は、ハードウエア資源（例えば、図３０）を用いて実現される。

尚、検出部１０１３は、監視装置１０３の外部に設けるようにしてもよい。例えば、検出部１０１３を有する検出サーバを情報処理システム内に設けるようにしてもよい。その場合、受付部１０１９は、検出サーバに設けられた検出部１０１３から、ネットワークを介してアラートを受け付けるようにしてもよい。

続いて、監視装置１０３における処理について説明する。この例で、監視装置１０３は、常時ロギング処理を行う。図１１に、ロギング処理フローの例を示す。キャプチャ部１００３は、キャプチャ処理を開始する（Ｓ１１０１）。キャプチャ処理で、キャプチャ部１００３は、監視装置１０３とネットワークとの間に設けられたポートミラーリング対応のスイッチ又はネットワークタップを介して、ネットワーク上を伝送するパケットを取り込む。取り込んだパケットは、パケット格納部１００４に格納される。キャプチャ部１００３は、格納したパケットに、キャプチャした日時を付するようにしてもよい。

分析部１００５は、キャプチャしたパケットのうち、未処理のパケットを１つ特定する（Ｓ１１０３）。分析部１００５は、例えばキャプチャした順にパケットを特定する。分析部１００５は、分析済みのパケットを破棄するようにしてもよい。未処理のパケットが無い場合に、分析部１００５は、次のパケットがキャプチャされるまで待機する。

分析部１００５は、特定したパケットがＳＭＢパケットであるか否かを判定する（Ｓ１１０５）。具体的には、分析部１００５は、当該パケットにプロトコルがＳＭＢであることを示すデータが設定されている場合に、当該パケットがＳＭＢパケットであると判定する。

特定したパケットがＳＭＢパケットであると判定した場合には、当該パケットをログ対象とするので、Ｓ１１０９の処理に移る。

一方、特定したパケットがＳＭＢパケットではないと判定した場合には、分析部１００５は、Ｓ１１０３で特定したパケットがＤＣＥ／ＲＰＣパケットであるか否かを判定する（Ｓ１１０７）。具体的には、分析部１００５は、当該パケットにプロトコルがＤＣＥ／ＲＰＣであることを示すデータが設定されている場合に、当該パケットがＤＣＥ／ＲＰＣパケットであると判定する。

当該パケットがＤＣＥ／ＲＰＣパケットであると判定した場合には、当該パケットをログ対象とするので、Ｓ１１０９の処理に移る。

一方、当該パケットがＤＣＥ／ＲＰＣパケットではないと判定した場合には、当該パケットをログ対象としないので、Ｓ１１０３の処理に戻って、上述した処理を繰り返す。例えば、ＨＴＴＰ（Hypertext Transfer Protocol）のパケット及びＦＴＰ（File Transfer Protocol）のパケットは、この例におけるログ対象ではない。

分析部１００５は、Ｓ１１０３で特定したパケットが認証のリクエストメッセージに該当するか否かを判定する（Ｓ１１０９）。具体的には、分析部１００５は、ＳＭＢヘッダーに、認証のオペレーションコード（ＳｅｓｓｉｏｎＳｅｔｕｐ）が設定されている場合に、当該パケットがＳＭＢ認証のリクエストメッセージに該当すると判定する。また、分析部１００５は、ＤＣＥ／ＲＰＣヘッダーに、認証のオペレーションコード（ＡＵＴＨ３）が設定されている場合に、当該パケットがＤＣＥ／ＲＰＣ認証のリクエストメッセージに該当すると判定する。

当該パケットが認証のリクエストメッセージに該当すると判定した場合には、記録処理部１００７は、第１記録処理を実行する（Ｓ１１１１）。

図１２に、第１記録処理フローの例を示す。記録処理部１００７は、認証ログに新たなレコードを設ける（Ｓ１２０１）。記録処理部１００７は、新たなレコードに、Ｓ１１０３で特定したパケットがキャプチャされた日時を設定する（Ｓ１２０３）。

記録処理部１００７は、当該パケットのＩＰヘッダーから送信元ＩＰアドレス及び宛先ＩＰアドレスを抽出し、抽出した送信元ＩＰアドレス及び宛先ＩＰアドレスを、新たなレコードに設定する（Ｓ１２０５）。更に、記録処理部１００７は、当該パケットのＵＤＰ／ＴＣＰヘッダーから送信元ポート番号及び宛先ポート番号を抽出し、抽出した送信元ポート番号及び宛先ポート番号を、新たなレコードに設定する（Ｓ１２０７）。

記録処理部１００７は、Ｓ１１０９において判定した認証種別（ＳＭＢ認証又はＤＣＥ／ＲＰＣ認証）を、新たなレコードに設定する（Ｓ１２０９）。

記録処理部１００７は、当該パケットのＳＭＢヘッダー又はＤＣＥ／ＲＰＣヘッダーからドメイン名を抽出し、抽出したドメイン名を、新たなレコードの属性データのフィールドに設定する（Ｓ１２１１）。更に、記録処理部１００７は、当該パケットのＳＭＢヘッダー又はＤＣＥ／ＲＰＣヘッダーからアカウント名を抽出し、抽出したアカウント名を、新たなレコードの属性データのフィールドに設定する（Ｓ１２１３）。第１記録処理を終えると、図１１に示したＳ１１０３の処理に戻って、上述した処理を繰り返す。

図１１の説明に戻る。Ｓ１１０９において、Ｓ１１０３で特定したパケットが、認証のリクエストメッセージに該当しないと判定した場合には、分析部１００５は、当該パケットがリモートファイルアクセスのリクエストメッセージに該当するか否かを判定する（Ｓ１１１３）。具体的には、分析部１００５は、ＳＭＢヘッダーに、リモートファイルアクセスのオペレーションコード（ＮＴＣｒｅａｔｅ）が設定されている場合に、当該パケットが、リモートファイルアクセスのリクエストメッセージに該当すると判定する。尚、リモートファイルアクセスは、複数のリクエストメッセージによって成立する。従って、リモートファイルアクセスの所定シーケンスに従って、ＮＴＣｒｅａｔｅが設定されているパケット（以下では、１回目のリクエストメッセージという。）に続くパケット（以下では、２回目のリクエストメッセージという。）もリモートファイルアクセスのリクエストメッセージに該当すると判定する。尚、ＤＣＥ／ＲＰＣパケットの場合、リモートファイルアクセスのリクエストメッセージに該当することはない。

当該パケットがリモートファイルアクセスのリクエストメッセージに該当すると判定した場合には、記録処理部１００７は、第２記録処理を実行する（Ｓ１１１５）。

図１３に、第２記録処理フローの例を示す。第２記録処理では、１回目のリクエストメッセージ及び２回目のリクエストメッセージに基づくデータを、操作ログに設定する。分析部１００５は、Ｓ１１０３で特定したパケットが、オペレーションコード（ＮＴＣｒｅａｔｅ）が設定されているパケット、つまり１回目のリクエストメッセージであるか否かを判定する（Ｓ１３０１）。

当該パケットが、１回目のリクエストメッセージであると判定した場合には、記録処理部１００７は、操作ログに新たなレコードを設ける（Ｓ１３０３）。記録処理部１００７は、新たなレコードに、当該パケットがキャプチャされた日時を設定する（Ｓ１３０５）。

記録処理部１００７は、当該パケットのＩＰヘッダーから送信元ＩＰアドレス及び宛先ＩＰアドレスを抽出し、抽出した送信元ＩＰアドレス及び宛先ＩＰアドレスを、新たなレコードに設定する（Ｓ１３０７）。更に、記録処理部１００７は、当該パケットのＴＣＰヘッダー或いはＵＤＰヘッダーから送信元ポート番号及び宛先ポート番号を抽出し、抽出した送信元ポート番号及び宛先ポート番号を、新たなレコードに設定する（Ｓ１３０９）。

記録処理部１００７は、当該パケットのＳＭＢヘッダーからファイルパスを抽出し、抽出したファイルパスを、新たなレコードの属性データのフィールドに設定する（Ｓ１３１３）。以上で、１回目のリクエストメッセージに基づくデータの設定を終える。そして、一旦図１１に示したＳ１１０３の処理に戻って、上述した処理を繰り返す。

一方、Ｓ１３０１において、当該パケットが、１回目のリクエストメッセージではないと判定した場合、つまり当該パケットが、２回目のリクエストメッセージである場合には、分析部１００５は、オペレーションコードに基づいてコマンド名を特定する（Ｓ１３１５）。例えば、オペレーションコードが「０ｘ２ｅ」であれば、ファイルリードのコマンドが特定される。記録処理部１００７は、１回目のリクエストメッセージに基づきデータが設定されているレコードに、特定されたコマンド名を設定する（Ｓ１３１７）。

記録処理部１００７は、認証段階（図１２に示したＳ１２１３の処理）で特定されたアカウント名を認証ログから抽出し、抽出したアカウント名を、１回目のリクエストメッセージに基づきデータが設定されているレコードの属性データのフィールドに設定する（Ｓ１３１９）。記録処理部１００７は、当該レコードを、上記認証ログのレコードに紐付けるようにしてもよい。そして、図１１に示したＳ１１０３の処理に戻って、上述した処理を繰り返す。

図１１の説明に戻る。Ｓ１１１３において、Ｓ１１０３で特定したパケットがリモートファイルアクセスのリクエストメッセージに該当しないと判定した場合には、分析部１００５は、当該パケットがリモート操作（リモートファイルアクセスを除く。）のリクエストメッセージに該当するか否かを判定する（Ｓ１１１７）。具体的には、分析部１００５は、ＳＭＢヘッダーに設定されているオペレーションコード及びパイプ名の組み合わせ（或いは、オペレーションコード又はパイプ名の一方）が、リモート操作として想定されるいずれかのパターンと一致する場合に、当該パケットがリモート操作のリクエストメッセージに該当すると判定する。また、分析部１００５は、ＤＣＥ／ＲＰＣヘッダーに設定されているオペレーションコード及びサービスＵＵＩＤの組み合わせ（或いは、オペレーションコード又はサービスＵＵＩＤの一方）が、リモート操作として想定されるいずれかのパターンと一致する場合に、当該パケットがリモート操作のリクエストメッセージに該当すると判定する。

当該パケットがリモート操作のリクエストメッセージに該当すると判定した場合には、記録処理部１００７は、第３記録処理を実行する（Ｓ１１１９）。

この例では、１つのリクエストメッセージによって、リモート操作が成立するものと想定する。但し、リモート操作の中には、リモートファイルアクセスの場合と同様に、複数のリクエストメッセージによって成立するものもある。その場合には、リモートファイルアクセスの場合と同様に、処理を複数回に分ける。つまり、１回目のリクエストメッセージと２回目のリクエストメッセージ（３回目以降のリクエストメッセージを含む場合もある。）を、それぞれリモート操作のリクエストメッセージに該当するものとする。

図１４に、第３記録処理フローの例を示す。記録処理部１００７は、操作ログに新たなレコードを設ける（Ｓ１４０１）。記録処理部１００７は、新たなレコードに、当該パケットがキャプチャされた日時を設定する（Ｓ１４０３）。

記録処理部１００７は、当該パケットのＩＰヘッダーから送信元ＩＰアドレス及び宛先ＩＰアドレスを抽出し、抽出した送信元ＩＰアドレス及び宛先ＩＰアドレスを、新たなレコードに設定する（Ｓ１４０５）。更に、記録処理部１００７は、当該パケットのＵＤＰ／ＴＣＰヘッダーから送信元ポート番号及び宛先ポート番号を抽出し、抽出した送信元ポート番号及び宛先ポート番号を、新たなレコードに設定する（Ｓ１４０７）。

記録処理部１００７は、オペレーションコード及び／又はサービス識別子に基づいてコマンド名を特定する（Ｓ１４０９）。具体的には、記録処理部１００７は、ＳＭＢパケットの場合には、所定のルールに従って、オペレーションコード及びパイプ名の組み合わせ（或いは、オペレーションコード又はパイプ名の一方）に対応するリモート操作のコマンド名（又は、コマンド名とオプションの組み合わせ）を特定する。また、記録処理部１００７は、ＤＣＥ／ＲＰＣパケットの場合には、所定のルールに従って、オペレーションコード及びサービスＵＵＩＤの組み合わせ（或いは、オペレーションコード又はサービスＵＵＩＤの一方）に対応するリモート操作のコマンド名（又は、コマンド名とオプションの組み合わせ）を特定する。

記録処理部１００７は、特定したコマンド名（又は、コマンド名とオプションの組み合わせ）を、新たなレコードに設定する（Ｓ１４１１）。

尚、１回目のリクエストメッセージと２回目のリクエストメッセージ（３回目以降のリクエストメッセージを含む場合もある。）によって、コマンド名（又は、コマンド名とオプションの組み合わせ）を特定する場合には、第２記録処理の場合と同様に、後続のリクエストメッセージに対する処理を行う段階で、コマンド名（又は、コマンド名とオプションの組み合わせ）を特定する。

記録処理部１００７は、認証段階（図１２に示したＳ１２１３の処理）で特定されたアカウント名を認証ログから抽出し、抽出したアカウント名を、新たなレコードの属性データのフィールドに設定する（Ｓ１４１３）。記録処理部１００７は、新たなレコードを、上記認証ログのレコードに紐付けるようにしてもよい。

分析部１００５は、Ｓ１４０９で特定したコマンド名（又は、コマンド名とオプションの組み合わせ）に応じた所定のルールに従って、アカウント名以外の属性データを抽出する（Ｓ１４１５）。記録処理部１００７は、抽出した属性データを、新たなレコードの属性データのフィールドに設定する（Ｓ１４１７）。

分析部１００５は、ＳＭＢボディ又はＤＣＥ／ＲＰＣボディから属性データを取得するようにしてもよい。また、抽出すべき属性データが無い場合には、Ｓ１４１５及びＳ１４１７の処理を省略するようにしてもよい。

２回目のリクエストメッセージ（３回目以降のリクエストメッセージを含む場合もある。）に抽出すべき属性データが含まれる場合には、後続のリクエストメッセージに対する処理を行う段階で、Ｓ１４１５及びＳ１４１７の処理を行うようにしてもよい。

尚、後続のリクエストメッセージに対しても分析を行う場合には、リクエストメッセージの順位を判別して、各順位に応じた処理を行うようにしてもよい。第３記録処理を終えると、図１１に示したＳ１１０３の処理に戻って、上述した処理を繰り返す。

図１１の説明に戻る。Ｓ１１１７において、Ｓ１１０３で特定したパケットが、リモート操作のリクエストメッセージに該当しないと判定した場合には、当該パケットはログ対象に該当しないと看做す。従って、そのままＳ１１０３に示した処理に戻って、上述した処理を繰り返す。以上で、ロギング処理についての説明を終える。

続いて、メイン処理について説明する。この例では、メイン処理は、ロギング処理と並行して実行される。

図１５に、メイン処理フローの例を示す。受付部１０１９は、待機して、感染コンピュータ２０３を検出したことを通知するアラートを受け付ける（Ｓ１５０１）。この例では、アラートに、感染コンピュータ２０３を特定するデータ（例えば、ＩＰアドレス、ＭＡＣアドレス又はホスト名）が含まれるものとする。

受付部１０１９は、感染コンピュータ２０３を特定するデータに併せて、判別対象とするログを特定するための時間範囲を受け付けるようにしてもよい。時間範囲は、例えば感染を検出した時刻よりも前及び後の時間帯である。あるいは、時間範囲は、感染を検出した時刻よりも前の時間帯又は後の時間帯のいずれかでもよい。時間範囲は、例えば管理者が設定してもよい。また、アラートの内容に応じて、時間範囲が決定されるようにしてもよい。

尚、Ｓ１５０３以降の処理を開始する契機は、アラートの受け付けに限らない。例えば、管理者の操作によって、Ｓ１５０３以降の処理を開始するようにしてもよい。また、アラート以外の手段によって、感染コンピュータ２０３を特定するデータを受け付けるようにしてもよい。例えば、管理者の操作によって、感染コンピュータ２０３を特定するデータを受け付けるようにしてもよい。

特定部１０２１は、ＩＰアドレス以外の識別子、例えばＭＡＣアドレス又はホスト名がアラートに含まれる場合には、情報処理システムの構成データに基づいて、当該識別子に対応する感染コンピュータ２０３のＩＰアドレスを特定する（Ｓ１５０３）。

特定部１０２１は、認証ログに含まれるレコードのうち、感染コンピュータ２０３が要求した認証に関するレコードを特定する（Ｓ１５０５）。

図１６に、感染コンピュータ２０３が要求した認証に関するレコードの例を示す。この例では、検出部１０１３によってＩＰアドレス「ｘ．ｘ．ｘ．１」のコンピュータ１０１が感染コンピュータ２０３として検出され、Ｓ１５０５の処理において、送信元ＩＰアドレスに感染コンピュータ２０３のＩＰアドレス「ｘ．ｘ．ｘ．１」が設定されているレコードが特定されたものとする。

このレコードは、当該感染コンピュータ２０３が、ＩＰアドレス「ｘ．ｘ．ｘ．２」のコンピュータ１０１に対してＳＭＢ認証を要求したことを示している。また、このＳＭＢ認証において、ドメイン名「ＤｏｍＡ」及びアカウント名「ａｄｍｉｎＸ」が用いられている。この例で、ＳＭＢ認証がマルウェア２０１の攻撃に起因すると仮定した場合、マルウェア２０１は、他のコンピュータ１０１に対する攻撃において同様にドメイン名「ＤｏｍＡ」及びアカウント名「ａｄｍｉｎＸ」を用いる可能性がある。以降の説明では、アカウント名「ａｄｍｉｎＸ」に着目して、類似する攻撃の痕跡を探る例について説明する。尚、宛先ポート番号及び送信元ポート番号については、図示した通りであり、説明を省略する。

図１５の説明に戻る。特定部１０２１は、当該レコードに設定されている宛先ＩＰアドレス、つまり認証を行ったコンピュータ１０１のＩＰアドレスを標的リストに加える（Ｓ１５０７）。特定部１０２１は、ＩＰアドレスに加えて、当該レコードに設定されている宛先ポート番号を標的リストに加えるようにしてもよい。特定部１０２１は、標的リストにおいてＩＰアドレスが重複しないようにしてもよい。又は、特定部１０２１は、標的リストにおいてＩＰアドレスが重複した回数を記録するようにしてもよい。

そして、判別部１０１７は、第１判別処理を実行する（Ｓ１５０９）。第１判別処理において、判別部１０１７は、アカウント名に基づいて、感染コンピュータ２０３及び標的コンピュータ２０５を判別する。

図１７Ａ及び図１７Ｂに、第１判別処理フローの例を示す。抽出部１０２３は、Ｓ１５０５で特定したレコードから、認証時におけるアカウント名を抽出する（Ｓ１７０１）。検索部１０２５は、抽出されたアカウント名と同じアカウント名を用いた認証に関するレコードを、認証ログにおいて検索する（Ｓ１７０３）。図１５に示したＳ１５０１において時間範囲を受け付けている場合に、検索部１０２５は、当該時間範囲に含まれない日時に行われた認証に関するレコードを検索対象にしなくてもよい。

図１８に、不正な認証時と同じアカウント名を用いた認証に関するレコードの例を示す。この例では、Ｓ１７０３において、図１６に示したレコードに基づいて特定されたアカウント名「ａｄｍｉｎＸ」が属性データのフィールドに設定されているレコードが検索され、検索結果として３つのレコードが得られたものとする。

第１レコードは、図１６に示したレコードと同一である。第２レコード及び第３レコードは、新たに特定されたものである。

第２レコードは、ＩＰアドレス「ｘ．ｘ．ｘ．２」のコンピュータ１０１が、感染コンピュータ２０３が使用したアカウント名と同じ「ａｄｍｉｎＸ」を用いて、ＩＰアドレス「ｘ．ｘ．ｘ．５」のコンピュータ１０１に対してＳＭＢ認証を要求したことを示している。この場合のＳＭＢ認証の要求は、検出部１０１３によって検出された感染コンピュータ２０３に潜んでいたマルウェア２０１と同種のマルウェア２０１による攻撃に起因する疑いがある。従って、ＩＰアドレス「ｘ．ｘ．ｘ．２」のコンピュータ１０１は、潜伏していた感染コンピュータ２０３であり、ＩＰアドレス「ｘ．ｘ．ｘ．５」のコンピュータ１０１は、潜伏していた標的コンピュータ２０５であると推定される。推定の確度は、マルウェア２０１の特性に依存する面があるので、ここでは推定の確度について、これ以上述べない。また、以降で説明する推定についても同様である。

第３レコードは、ＩＰアドレス「ｘ．ｘ．ｘ．３」のコンピュータ１０１が、感染コンピュータ２０３が使用したアカウント名と同じ「ａｄｍｉｎＸ」を用いて、ＩＰアドレス「ｘ．ｘ．ｘ．６」のコンピュータ１０１に対してＤＣＥ／ＲＰＣ認証を要求したことを示している。この場合のＤＣＥ／ＲＰＣ認証の要求は、第２レコードの場合と同様に、検出部１０１３によって検出された感染コンピュータ２０３に潜んでいたマルウェア２０１と同種のマルウェア２０１による攻撃に起因する疑いがある。従って、ＩＰアドレス「ｘ．ｘ．ｘ．３」のコンピュータ１０１は、潜伏していた感染コンピュータ２０３であり、ＩＰアドレス「ｘ．ｘ．ｘ．６」のコンピュータ１０１は、潜伏していた標的コンピュータ２０５であると推定される。

図１７Ａの説明に戻る。特定部１０２１は、図１７ＡのＳ１７０３で検索されたレコードに設定されている送信元ＩＰアドレスを感染リストに加える（Ｓ１７０５）。複数のレコードが検索された場合には、特定部１０２１は、各レコードに設定されている送信元ＩＰアドレスを感染リストに加える。特定部１０２１は、ＩＰアドレスに加えて、送信元ポート番号を感染リストに加えるようにしてもよい。特定部１０２１は、感染リストにおいてＩＰアドレスが重複しないようにしてもよい。又は、特定部１０２１は、感染リストにおいてＩＰアドレスが重複した回数を記録するようにしてもよい。

特定部１０２１は、図１７ＡのＳ１７０３で検索されたレコードに設定されている宛先ＩＰアドレスを標的リストに加える（Ｓ１７０７）。複数のレコードが検索された場合には、特定部１０２１は、各レコードに設定されている宛先ＩＰアドレスを感染リストに加える。特定部１０２１は、ＩＰアドレスに加えて、宛先ポート番号を標的リストに加えるようにしてもよい。特定部１０２１は、感染リストにおいてＩＰアドレスが重複しないようにしてもよい。又は、特定部１０２１は、感染リストにおいてＩＰアドレスが重複した回数を記録するようにしてもよい。

更に、検索部１０２５は、Ｓ１７０１で抽出されたアカウント名と同じアカウント名を用いたリモート操作に関するレコードを、操作ログにおいて検索する（Ｓ１７０９）。図１５に示したＳ１５０１において時間範囲を受け付けている場合には、検索部１０２５は、当該時間範囲に含まれない日時に行われたリモート操作に関するレコードを検索対象にしなくてもよい。

図１９に、不正な認証時と同じアカウント名を用いたリモート操作に関するレコードの例を示す。この例では、Ｓ１７０９において、図１６に示したレコードに基づいて特定されたアカウント名「ａｄｍｉｎＸ」が属性データのフィールドに設定されているレコードが検索され、検索結果として３つのレコードが得られたものとする。

第１レコードは、ＩＰアドレス「ｘ．ｘ．ｘ．２」のコンピュータ１０１が、感染コンピュータ２０３が使用したアカウント名と同じ「ａｄｍｉｎＸ」を用いて、ＩＰアドレス「ｘ．ｘ．ｘ．７」のコンピュータ１０１に対してファイルリードを実行したことを示している。この場合のファイルリードは、検出部１０１３によって検出された感染コンピュータ２０３に潜んでいたマルウェア２０１と同種のマルウェア２０１による攻撃に起因する疑いがある。従って、ＩＰアドレス「ｘ．ｘ．ｘ．２」のコンピュータ１０１は、潜伏していた感染コンピュータ２０３であり、ＩＰアドレス「ｘ．ｘ．ｘ．７」のコンピュータ１０１は、潜伏していた標的コンピュータ２０５であると推定される。

第２レコードは、ＩＰアドレス「ｘ．ｘ．ｘ．１」のコンピュータ１０１が、感染コンピュータ２０３が使用したアカウント名と同じ「ａｄｍｉｎＸ」を用いて、ＩＰアドレス「ｘ．ｘ．ｘ．３」のコンピュータ１０１に対してタスク登録を実行したことを示している。この場合のタスク登録は、検出部１０１３によって検出された感染コンピュータ２０３に潜んでいたマルウェア２０１による攻撃に起因する疑いがある。従って、ＩＰアドレス「ｘ．ｘ．ｘ．３」のコンピュータ１０１は、潜伏していた標的コンピュータ２０５であると推定される。

第３レコードは、ＩＰアドレス「ｘ．ｘ．ｘ．５」のコンピュータ１０１が、感染コンピュータ２０３が使用したアカウント名と同じ「ａｄｍｉｎＸ」を用いて、ＩＰアドレス「ｘ．ｘ．ｘ．９」のコンピュータ１０１に対してファイルライトを実行したことを示している。この場合のファイルライトは、検出部１０１３によって検出された感染コンピュータ２０３に潜んでいたマルウェア２０１と同種のマルウェア２０１による攻撃に起因する疑いがある。従って、ＩＰアドレス「ｘ．ｘ．ｘ．５」のコンピュータ１０１は、潜伏していた感染コンピュータ２０３であり、ＩＰアドレス「ｘ．ｘ．ｘ．９」のコンピュータ１０１は、潜伏していた標的コンピュータ２０５であると推定される。

図１７Ａの説明に戻る。特定部１０２１は、検索されたレコードに設定されている送信元ＩＰアドレスを、Ｓ１７０５の処理の場合と同様に、感染リストに加える（Ｓ１７１１）。複数のレコードが検索された場合には、特定部１０２１は、各レコードに設定されている送信元ＩＰアドレスを感染リストに加える。

更に、特定部１０２１は、検索されたレコードに設定されている宛先ＩＰアドレスを、Ｓ１７０７の処理の場合と同様に、標的リストに加える（Ｓ１７１３）。複数のレコードが検索された場合には、特定部１０２１は、各レコードに設定されている宛先ＩＰアドレスを標的リストに加える。そして、端子Ａを介して、図１７Ｂに示した処理に移る。

検索部１０２５は、情報処理システムに含まれる各コンピュータ１０１からコンピュータログを収集し、Ｓ１７０１で抽出されたアカウント名と同じアカウント名を用いたイベントに関するレコードを、収集した各コンピュータログにおいて検索する（Ｓ１７１５）。図１５に示したＳ１５０１において時間範囲を受け付けている場合には、検索部１０２５は、当該時間範囲に含まれない日時に発生したイベントに関するレコードを検索対象にしなくてもよい。

尚、コンピュータログは、コンピュータ１０１におけるオペレーティングシステムのロガーによって、当該コンピュータ１０１において発生したイベントを記録したものである。当該ロガーに、プロセスに関するイベントを記録するように設定しておけば、例えばプロセス起動の内容が記録される。また、当該ロガーに、ファイルアクセスを記録するように設定しておけば、ファイルアクセスの内容が記録される。

図２０に、不正な認証時と同じアカウント名を用いたイベントに関するレコードの例を示す。この例におけるコンピュータログは、テーブル形式である。この例におけるコンピュータログには、コンピュータ１０１において発生したイベントに対応するレコードが設けられる。コンピュータログのレコードは、日時を設定するためのフィールドと、イベント種別を設定するためのフィールドと、アカウント名を設定するためのフィールドと、ドメイン名を設定するためのフィールドと、属性データを設定するためのフィールドとを有している。コンピュータログにおける日時は、イベントが発生した日時を示す。アカウント名及びドメイン名は、イベントの要求時に用いられたものである。属性データは、イベントによって異なる場合がある。また、イベントによっては属性データが無いこともある。

この例では、Ｓ１７１５において、図１６に示したレコードの属性データのフィールドに設定されているアカウント名と同じ「ａｄｍｉｎＸ」がアカウント名のフィールドに設定されているレコードが検索され、検索結果として２つのレコードが得られたものとする。

図２０に示したレコードは、いずれもＩＰアドレス「ｘ．ｘ．ｘ．５」のコンピュータ１０１におけるコンピュータログに含まれていたものとする。

第１レコードにおけるイベントであるログオンについて、いずれのタイプのログオンであるかは特定されない。但し、このログオンが、ＳＭＢ認証又はＤＣＥ／ＲＰＣ認証に相当する可能性がある。そして、ＩＰアドレス「ｘ．ｘ．ｘ．２」のコンピュータ１０１が、感染コンピュータ２０３が使用したアカウント名と同じ「ａｄｍｉｎＸ」を用いて、ＩＰアドレス「ｘ．ｘ．ｘ．５」のコンピュータ１０１に対して認証を要求したことを示している。

従って、当該ログオンは、検出部１０１３によって検出された感染コンピュータ２０３に潜んでいたマルウェア２０１と同種のマルウェア２０１による攻撃に起因する疑いがある。ここでは、ＩＰアドレス「ｘ．ｘ．ｘ．２」のコンピュータ１０１は、潜伏していた感染コンピュータ２０３であり、ＩＰアドレス「ｘ．ｘ．ｘ．５」のコンピュータ１０１は、潜伏していた標的コンピュータ２０５であると推定する。尚、推定の確度は、マルウェア２０１の特性及びコンピュータ１０１の運用形態などの諸条件に依存する面があるので、ここでは推定の確度について、これ以上述べない。

第２レコードにおけるイベントであるログオフについては、この例で判別の対象としない。

図１７Ｂの説明に戻る。特定部１０２１は、検索されたレコードに設定されている要求元ＩＰアドレスを感染リストに加える（Ｓ１７１７）。複数のレコードが検索された場合には、特定部１０２１は、各レコードに設定されている要求元ＩＰアドレスを感染リストに加える。検索されたレコードに要求元ＩＰアドレスが設定されていない場合には、Ｓ１７１７の処理は省いてもよい。

特定部１０２１は、Ｓ１７１５で検索されたレコードを含むコンピュータログを生成したコンピュータ１０１、つまり当該レコードに示されたイベントを実行したコンピュータ１０１のＩＰアドレスを標的リストに加える（Ｓ１７１９）。複数のレコードが検索された場合には、特定部１０２１は、各レコードについて上記コンピュータ１０１のＩＰアドレスを標的リストに加える。第１判別処理を終えると、図１５に示したＳ１５１１の処理に戻る。

図１５の説明に戻る。特定部１０２１は、感染コンピュータ２０３が要求したリモート操作のうち、不正と見込まれるコマンドのレコードを特定する（Ｓ１５１１）。操作ログには、正当なアクセスに基づくレコードも含まれているので、本実施の形態では、不正なアクセスに基づく可能性が比較的高いと想定されるレコードに絞り込むようにする。

この例では、タスク登録及びサービス登録のコマンドに関するレコードを特定する。タスク登録及びサービス登録は、通常の使用態様において実行されることは多くなく、マルウェア２０１によるコマンドである可能性が高いという推定がされるものとする。

図２１に、感染コンピュータ２０３が要求した不正なリモート操作に関するレコードの例を示す。この例では、検出部１０１３によってＩＰアドレス「ｘ．ｘ．ｘ．１」のコンピュータ１０１が感染コンピュータ２０３として検出され、Ｓ１５１１の処理において、送信元ＩＰアドレスに感染コンピュータ２０３のＩＰアドレス「ｘ．ｘ．ｘ．１」が設定されている２つのレコードが特定されたものとする。

第１レコードは、当該感染コンピュータ２０３が、ＩＰアドレス「ｘ．ｘ．ｘ．３」のコンピュータ１０１に対してタスク登録を実行したことを示している。また、このタスク登録において、タスクパス「ｃ：ｍｗａｒｅ．ｅｘｅ」が用いられている。この例で、タスク登録がマルウェア２０１の攻撃に起因すると仮定した場合、マルウェア２０１は、他のコンピュータ１０１に対する攻撃において同様のタスクパス「ｃ：ｍｗａｒｅ．ｅｘｅ」又はタスクパスに含まれるファイル名「ｍｗａｒｅ．ｅｘｅ」を用いる可能性がある。以降の説明では、ファイル名「ｍｗａｒｅ．ｅｘｅ」に着目して、類似する攻撃の痕跡を探る例について説明する。

第２レコードは、当該感染コンピュータ２０３が、ＩＰアドレス「ｘ．ｘ．ｘ．４」のコンピュータ１０１に対してサービス登録を実行したことを示している。また、このサービス登録において、サービス名「ＳｅｒｖｉｃｅＹ」が用いられている。この例で、サービス登録がマルウェア２０１の攻撃に起因すると仮定した場合、マルウェア２０１は、他のコンピュータ１０１に対する攻撃において同様にサービス名「ＳｅｒｖｉｃｅＹ」を用いる可能性がある。後の説明では、サービス名「ＳｅｒｖｉｃｅＹ」に着目して、類似する攻撃の痕跡を探る例について説明する。

レコードを絞り込む条件としてのコマンドの種類は、この例に限らない。例えば、アカウント登録、ファイルライト、ファイルリード、Ｗｉｎｄｏｗｓネットワーク情報の変更、サービス起動、サービス停止、サービス削除、タスク起動、タスク停止、タスク削除、レジストリ登録、レジストリ変更又はレジストリ削除を条件としてレコードを絞り込むようにしてもよい。

レコードを絞り込む条件は、例えば、ドメイン名、アカウント名、ファイルパス、ファイル名、ファイルのハッシュ値、サービス名、タスク名、レジストリキー名、レジストリに設定されるパラメータのような属性項目に対する属性パラメータを限定するものであってもよい。

また、レコードを絞り込む条件は、コマンドの条件と属性データの条件とを組み合わせるものであってもよい。

図１５の説明に戻る。特定部１０２１は、Ｓ１５１１で特定したレコードに設定されている宛先ＩＰアドレス、つまりリモート操作されたコンピュータ１０１のＩＰアドレスを、Ｓ１５０７の処理の場合と同様に、標的リストに加える（Ｓ１５１３）。

判別部１０１７は、第２判別処理を実行する（Ｓ１５１５）。第２判別処理において、判別部１０１７は、ファイル名に基づいて、感染コンピュータ２０３及び標的コンピュータ２０５を判別する。

図２２に、第２判別処理フローの例を示す。抽出部１０２３は、Ｓ１５１１で特定したレコードにおける属性データのフィールドから、ファイル名を抽出する（Ｓ２２０１）。つまり、抽出部１０２３は、不正と見込まれるリモート操作における属性データに含まれるファイル名を得る。

検索部１０２５は、Ｓ２２０１で抽出されたファイル名と同じファイル名を用いたリモート操作に関するレコードを、操作ログにおいて検索する（Ｓ２２０３）。

図２３に、不正なリモート操作時と同じファイル名を用いたリモート操作に関するレコードの例を示す。この例では、Ｓ２２０３において、図２１に示した第１レコードに基づき特定されたファイル名「ｍｗａｒｅ．ｅｘｅ」を含む属性パラメータが属性データのフィールドに設定されているレコードが検索され、検索結果として４つのレコードが得られたものとする。

図２３に示した第１レコードは、図２１に示した第１レコードと同一である。図２３に示した第２レコード乃至第４レコードは、新たに特定されたものである。

第２レコードは、ＩＰアドレス「ｘ．ｘ．ｘ．２」のコンピュータ１０１が、感染コンピュータ２０３が使用したファイル名と同じ「ｍｗａｒｅ．ｅｘｅ」を含むファイルパスを用いて、ＩＰアドレス「ｘ．ｘ．ｘ．８」のコンピュータ１０１に対してファイルライトを実行したことを示している。この場合のファイルライトは、検出部１０１３によって検出された感染コンピュータ２０３に潜んでいたマルウェア２０１と同種のマルウェア２０１による攻撃に起因する疑いがある。従って、ＩＰアドレス「ｘ．ｘ．ｘ．２」のコンピュータ１０１は、潜伏していた感染コンピュータ２０３であり、ＩＰアドレス「ｘ．ｘ．ｘ．８」のコンピュータ１０１は、潜伏していた標的コンピュータ２０５であると推定される。

第３レコードは、ＩＰアドレス「ｘ．ｘ．ｘ．５」のコンピュータ１０１が、感染コンピュータ２０３が使用したファイル名と同じ「ｍｗａｒｅ．ｅｘｅ」を含むファイルパスを用いて、ＩＰアドレス「ｘ．ｘ．ｘ．９」のコンピュータ１０１に対してファイルライトを実行したことを示している。この場合のファイルライトは、検出部１０１３によって検出された感染コンピュータ２０３に潜んでいたマルウェア２０１と同種のマルウェア２０１による攻撃に起因する疑いがある。従って、ＩＰアドレス「ｘ．ｘ．ｘ．５」のコンピュータ１０１は、潜伏していた感染コンピュータ２０３であり、ＩＰアドレス「ｘ．ｘ．ｘ．９」のコンピュータ１０１は、潜伏していた標的コンピュータ２０５であると推定される。

第４レコードは、ＩＰアドレス「ｘ．ｘ．ｘ．５」のコンピュータ１０１が、感染コンピュータ２０３が使用したファイル名と同じ「ｍｗａｒｅ．ｅｘｅ」を含むスケジュールパスを用いて、ＩＰアドレス「ｘ．ｘ．ｘ．９」のコンピュータ１０１に対してタスクのスケジュールを実行したことを示している。この場合のタスクのスケジュールは、検出部１０１３によって検出された感染コンピュータ２０３に潜んでいたマルウェア２０１と同種のマルウェア２０１による攻撃に起因する疑いがある。従って、ＩＰアドレス「ｘ．ｘ．ｘ．５」のコンピュータ１０１は、潜伏していた感染コンピュータ２０３であり、ＩＰアドレス「ｘ．ｘ．ｘ．９」のコンピュータ１０１は、潜伏していた標的コンピュータ２０５であると推定される。

図２２の説明に戻る。特定部１０２１は、検索されたレコードに設定されている送信元ＩＰアドレスを、Ｓ１７０５の処理の場合と同様に、感染リストに加える（Ｓ２２０５）。複数のレコードが検索された場合には、特定部１０２１は、各レコードに設定されている送信元ＩＰアドレスを感染リストに加える。

更に、特定部１０２１は、検索されたレコードに設定されている宛先ＩＰアドレスを、Ｓ１７０７の処理の場合と同様に、標的リストに加える（Ｓ２２０７）。複数のレコードが検索された場合には、特定部１０２１は、各レコードに設定されている宛先ＩＰアドレスを標的リストに加える。

更に、検索部１０２５は、Ｓ２２０１で抽出されたファイル名と同じファイル名を用いたイベントに関するレコードを、Ｓ１７１５で収集した各コンピュータログにおいて検索する（Ｓ２２０９）。

図２４に、不正なリモート操作時と同じファイル名を用いたイベントに関するレコードの例を示す。この例では、Ｓ２２０９において、図２１に示した第１レコードに基づいて特定されたファイル名「ｍｗａｒｅ．ｅｘｅ」を含む属性パラメータが属性データのフィールドに設定されているレコードが検索され、検索結果として１つのレコードが得られたものとする。また、図２４に示したレコードは、ＩＰアドレス「ｘ．ｘ．ｘ．９」のコンピュータ１０１におけるコンピュータログに含まれていたものとする。

このレコードは、検出部１０１３によって検出された感染コンピュータ２０３が使用したファイル名と同じ「ｍｗａｒｅ．ｅｘｅ」によって特定されるプロセスが起動されたことを示している。但し、リモート操作によって当該プロセスが起動されたか否かは不明である。

但し、検出部１０１３によって検出された感染コンピュータ２０３に潜んでいたマルウェア２０１と同種のマルウェア２０１による攻撃に起因する疑いがある。ここでは、ＩＰアドレス「ｘ．ｘ．ｘ．９」のコンピュータ１０１は、潜伏していた標的コンピュータ２０５であると推定する。尚、上述の例と同様に、ここでは推定の確度について、これ以上述べない。

図２２の説明に戻る。特定部１０２１は、Ｓ２２０９で検索されたレコードに設定されている要求元ＩＰアドレスを、感染リストに加える（Ｓ２２１１）。複数のレコードが検索された場合には、特定部１０２１は、各レコードに設定されている要求元ＩＰアドレスを感染リストに加える。検索されたレコードに要求元ＩＰアドレスが設定されていない場合には、Ｓ２２１１の処理は省いてもよい。

更に、特定部１０２１は、Ｓ２２０９で検索されたレコードを含むコンピュータログを生成したコンピュータ１０１、つまり当該レコードに示されたイベントを実行したコンピュータ１０１のＩＰアドレスを標的リストに加える（Ｓ２２１３）。複数のレコードが検索された場合には、特定部１０２１は、各レコードについて上記コンピュータ１０１のＩＰアドレスを標的リストに加える。第２判別処理を終えると、図１５に示したＳ１５１７の処理に戻る。

図１５の説明に戻る。判別部１０１７は、第３判別処理を実行する（Ｓ１５１７）。第３判別処理において、判別部１０１７は、サービス名に基づいて、感染コンピュータ２０３及び標的コンピュータ２０５を判別する。

図２５に、第３判別処理フローの例を示す。抽出部１０２３は、Ｓ１５１１で特定したレコードにおける属性データのフィールドから、サービス名を抽出する。つまり、抽出部１０２３は、不正と見込まれるリモート操作における属性データに含まれるサービス名を得る（Ｓ２５０１）。

検索部１０２５は、Ｓ２５０１で抽出されたサービス名と同じサービス名を用いたリモート操作に関するレコードを、操作ログにおいて検索する（Ｓ２５０３）。

図２６に、不正なリモート操作時と同じサービス名を用いたリモート操作に関するレコードの例を示す。この例では、Ｓ２５０３において、図２１に示した第２レコードに基づいて特定されたサービス名「ＳｅｒｖｉｃｅＹ」が属性データのフィールドに設定されているレコードが検索され、検索結果として３つのレコードが得られたものとする。

図２６に示した第１レコードは、図２１に示した第２レコードと同一である。図２６に示した第２レコード及び第３レコードは、新たに特定されたものである。

第２レコードは、ＩＰアドレス「ｘ．ｘ．ｘ．３」のコンピュータ１０１が、感染コンピュータ２０３が使用したサービス名と同じ「ＳｅｒｖｉｃｅＹ」を用いて、ＩＰアドレス「ｘ．ｘ．ｘ．６」のコンピュータ１０１に対してサービス登録を実行したことを示している。この場合のサービス登録は、検出部１０１３によって検出された感染コンピュータ２０３に潜んでいたマルウェア２０１と同種のマルウェア２０１による攻撃に起因する疑いがある。従って、ＩＰアドレス「ｘ．ｘ．ｘ．３」のコンピュータ１０１は、潜伏していた感染コンピュータ２０３であり、ＩＰアドレス「ｘ．ｘ．ｘ．６」のコンピュータ１０１は、潜伏していた標的コンピュータ２０５であると推定される。

第３レコードは、ＩＰアドレス「ｘ．ｘ．ｘ．３」のコンピュータ１０１が、感染コンピュータ２０３が使用したサービス名と同じ「ＳｅｒｖｉｃｅＹ」を用いて、ＩＰアドレス「ｘ．ｘ．ｘ．６」のコンピュータ１０１に対してサービス起動を実行したことを示している。この場合のサービス起動は、検出部１０１３によって検出された感染コンピュータ２０３に潜んでいたマルウェア２０１と同種のマルウェア２０１による攻撃に起因する疑いがある。従って、ＩＰアドレス「ｘ．ｘ．ｘ．３」のコンピュータ１０１は、潜伏していた感染コンピュータ２０３であり、ＩＰアドレス「ｘ．ｘ．ｘ．６」のコンピュータ１０１は、潜伏していた標的コンピュータ２０５であると推定される。

図２５の説明に戻る。特定部１０２１は、検索されたレコードに設定されている送信元ＩＰアドレスを、Ｓ１７０５の処理の場合と同様に、感染リストに加える（Ｓ２５０５）。複数のレコードが検索された場合には、特定部１０２１は、各レコードに設定されている送信元ＩＰアドレスを感染リストに加える。

更に、特定部１０２１は、検索されたレコードに設定されている宛先ＩＰアドレスを、Ｓ１７０７の処理の場合と同様に、標的リストに加える（Ｓ２５０７）。複数のレコードが検索された場合には、特定部１０２１は、各レコードに設定されている宛先ＩＰアドレスを標的リストに加える。

また、検索部１０２５は、Ｓ２５０１で抽出されたサービス名と同じサービス名を用いたイベントに関するレコードを、Ｓ１７１５で収集した各コンピュータログにおいて検索する（Ｓ２５０９）。

特定部１０２１は、検索されたレコードに設定されている要求元ＩＰアドレスを、感染リストに加える（Ｓ２５１１）。複数のレコードが検索された場合には、特定部１０２１は、各レコードに設定されている要求元ＩＰアドレスを感染リストに加える。検索されたレコードに要求元ＩＰアドレスが設定されていない場合には、Ｓ２５１１の処理は省いてもよい。

更に、特定部１０２１は、Ｓ２５０９で検索されたレコードを含むコンピュータログを生成したコンピュータ１０１、つまり当該レコードに示されたイベントを実行したコンピュータ１０１のＩＰアドレスを標的リストに加える（Ｓ２５１３）。複数のレコードが検索された場合には、特定部１０２１は、各レコードについて上記コンピュータ１０１のＩＰアドレスを標的リストに加える。第３判別処理を終えると、図１５に示したＳ１５１９の処理に戻る。

図１５の説明に戻る。出力部１０３１は、感染リスト及び／又は標的リストを出力する（Ｓ１５１９）。この例では、感染リストに含まれる感染コンピュータ２０３のＩＰアドレス及び／又は標的リストに含まれる感染コンピュータ２０３のＩＰアドレスの一部又は全部を出力する。出力の形態は、任意であり、例えば画面への表示、通知などの送信、記憶媒体への書き込み又はレポートの印刷などである。出力部１０３１は、例えば感染リストにより特定される感染コンピュータ２０３にアラートを通知するようにしてもよい。出力部１０３１は、同様に標的リストにより特定される標的コンピュータ２０５にアラートを通知するようにしてもよい。

図２７に、上述した判別結果の例を模式的に示す。検出した認証及びリモート操作について、発生順に述べる。（１）時刻Ｔ₁に、ＩＰアドレス「ｘ．ｘ．ｘ．１」のコンピュータ１０１が、ＩＰアドレス「ｘ．ｘ．ｘ．２」のコンピュータ１０１に対して、ＳＭＢ認証を要求した。（２）時刻Ｔ₂に、ＩＰアドレス「ｘ．ｘ．ｘ．２」のコンピュータ１０１が、ＩＰアドレス「ｘ．ｘ．ｘ．７」のコンピュータ１０１に対して、ファイルリードを実行した。（３）時刻Ｔ₃に、ＩＰアドレス「ｘ．ｘ．ｘ．１」のコンピュータ１０１が、ＩＰアドレス「ｘ．ｘ．ｘ．３」のコンピュータ１０１に対して、タスク登録を実行した。（４）時刻Ｔ₄に、ＩＰアドレス「ｘ．ｘ．ｘ．１」のコンピュータ１０１が、ＩＰアドレス「ｘ．ｘ．ｘ．４」のコンピュータ１０１に対して、サービス登録を実行した。（５）時刻Ｔ₅に、ＩＰアドレス「ｘ．ｘ．ｘ．２」のコンピュータ１０１が、ＩＰアドレス「ｘ．ｘ．ｘ．５」のコンピュータ１０１に対して、ＳＭＢ認証を要求した。（６）時刻Ｔ₆に、ＩＰアドレス「ｘ．ｘ．ｘ．３」のコンピュータ１０１が、ＩＰアドレス「ｘ．ｘ．ｘ．６」のコンピュータ１０１に対して、ＤＣＥ／ＲＰＣ認証を要求した。（７）時刻Ｔ₇に、ＩＰアドレス「ｘ．ｘ．ｘ．２」のコンピュータ１０１が、ＩＰアドレス「ｘ．ｘ．ｘ．８」のコンピュータ１０１に対して、ファイルライトを実行した。（８）時刻Ｔ₈に、ＩＰアドレス「ｘ．ｘ．ｘ．５」のコンピュータ１０１が、ＩＰアドレス「ｘ．ｘ．ｘ．９」のコンピュータ１０１に対して、ファイルライトを実行した。（９）時刻Ｔ₉に、ＩＰアドレス「ｘ．ｘ．ｘ．３」のコンピュータ１０１が、ＩＰアドレス「ｘ．ｘ．ｘ．６」のコンピュータ１０１に対して、サービス登録を実行した。（１０）時刻Ｔ₁₀に、ＩＰアドレス「ｘ．ｘ．ｘ．３」のコンピュータ１０１が、ＩＰアドレス「ｘ．ｘ．ｘ．６」のコンピュータ１０１に対して、サービス起動を実行した。（１１）時刻Ｔ₁₁に、ＩＰアドレス「ｘ．ｘ．ｘ．５」のコンピュータ１０１が、ＩＰアドレス「ｘ．ｘ．ｘ．９」のコンピュータ１０１に対して、タスクのスケジュールを実行した。（１２）時刻Ｔ₁₂に、ＩＰアドレス「ｘ．ｘ．ｘ．１２」のコンピュータ１０１が、プロセス起動を実行した。但し、リモート操作によるプロセス起動であるか否かは不明である。

尚、以上の例は、実際の事象を示したものではない。説明の便宜のため採用した例である。従って、実際の事象とは異なる面があるかも知れない。

そして、これらの事象に基づいて、ＩＰアドレス「ｘ．ｘ．ｘ．１」のコンピュータ１０１、ＩＰアドレス「ｘ．ｘ．ｘ．２」のコンピュータ１０１、ＩＰアドレス「ｘ．ｘ．ｘ．３」のコンピュータ１０１及びＩＰアドレス「ｘ．ｘ．ｘ．５」のコンピュータ１０１が感染コンピュータ２０３に該当する疑いがあると判定された。また、ＩＰアドレス「ｘ．ｘ．ｘ．４」のコンピュータ１０１、ＩＰアドレス「ｘ．ｘ．ｘ．６」のコンピュータ１０１、ＩＰアドレス「ｘ．ｘ．ｘ．７」のコンピュータ１０１、ＩＰアドレス「ｘ．ｘ．ｘ．８」のコンピュータ１０１、及びＩＰアドレス「ｘ．ｘ．ｘ．９」のコンピュータ１０１が標的コンピュータ２０５に該当する疑いがあると判定された。

以上の例で、上述した第１判別処理では、アカウント名によって、不正の疑いがある認証のレコード及びリモート操作のレコードを検索した。上述した第２判別処理では、ファイル名によって、不正の疑いがあるリモート操作のレコードを検索した。また、上述した第３判別処理では、サービス名によって、不正の疑いがあるリモート操作のレコードを検索した。但し、他の属性項目によって、認証のレコード及び／又はリモート操作のレコードを検索するようにしてもよい。例えば、属性データに含まれるドメイン名、ファイルパス、ファイルのハッシュ値、タスク名、レジストリキー名又はレジストリに設定されるパラメータなどを、検索キーとしてもよい。尚、ドメイン名及びアカウント名は、認証又はリモート操作の要求元を特定する属性項目の例である。また、ファイルパス、ファイル名、ファイルのハッシュ値、サービス名、タスク名、レジストリキー名及びレジストリに設定されるパラメータは、リモート操作の対象又は内容を特定する属性項目の例である。

また、特定のコマンドに係るレコードに限って、検索対象とするようにしてもよい。

更に、再帰的に判別処理を行うようにしてもよい。例えば、感染リストに加えられた感染コンピュータ２０３のＩＰアドレスに基づいて、改めて図１５に示したＳ１５０５乃至Ｓ１５１７の処理を行うようにしてもよい。このようにすれば、当初抽出されなかった検索キーに基づいて、更に感染コンピュータ２０３及び標的コンピュータ２０５を見つけ出すことができる。

コンピュータ１０１を識別するデータとして、ＩＰアドレスに代えて、ＭＡＣアドレス又はホスト名を用いるようにしてもよい。ＩＰアドレス及びＭＡＣアドレスを用いるようにしてもよい。ＩＰアドレス及びホスト名を用いるようにしてもよい。ＩＰアドレス、ＭＡＣアドレス及びホスト名を用いるようにしてもよい。

本実施の形態によれば、サイバー攻撃による侵害範囲を特定しやすくなる。具体的には、感染コンピュータ２０３と類似する動きに基づいて、他の感染コンピュータ２０３及び／又は標的コンピュータ２０５を判別できる。

また、不正の可能性が高いコマンドの実行時に送られたリクエストメッセージから検索キーとなる属性パラメータを抽出するので、判別の精度がより高まる。

また、アカウント名を検索キーとするので、比較的広範にマルウェア２０１による攻撃を監視できる。

また、ファイル名を検索キーとするので、例えばデータ共有に基づくマルウェア２０１の攻撃を監視することができる。

また、サービスを検索キーとするので、各種のサービスを利用するマルウェア２０１の攻撃を監視することができる。

［実施の形態２］
本実施の形態では、不正と見込まれるコマンドと属性項目との組み合わせを検索キーとして抽出し、操作ログのレコードを検索する例について説明する。

図２８に、実施の形態２に係る第２判別処理フローの例を示す。本実施の形態では、図２２に示した第２判別処理に代えて、図２８に示した第２判別処理を実行する。

抽出部１０２３は、Ｓ１５１１で特定したレコードにおける属性データのフィールドからファイル名を抽出し、更に当該レコードからコマンド名を抽出する（Ｓ２８０１）。

検索部１０２５は、Ｓ２８０１で抽出されたファイル名と同じファイル名を属性データのフィールドに含み、且つＳ２８０１で抽出されたコマンド名と同じコマンド名を含むレコードを、操作ログにおいて検索する（Ｓ２８０３）。

Ｓ２２０５乃至Ｓ２２１３における処理は、図２２の場合と同様である。

図２９に、実施の形態２に係る第３判別処理フローの例を示す。本実施の形態では、図２５に示した第３判別処理に代えて、図２９に示した第３判別処理を実行する。

抽出部１０２３は、Ｓ１５１１で特定したレコードにおける属性データのフィールドからサービス名を抽出し、更に当該レコードからコマンド名を抽出する（Ｓ２９０１）。

検索部１０２５は、Ｓ２９０１で抽出されたサービス名と同じサービス名を属性データのフィールドに含み、且つＳ２９０１で抽出されたコマンド名と同じコマンド名を含むレコードを、操作ログにおいて検索する（Ｓ２９０３）。

Ｓ２５０５乃至Ｓ２５１３における処理は、図２５の場合と同様である。

本実施の形態によれば、マルウェア２０１の特性として、コマンドと属性パラメータとの間に関連性がある場合に、判別の精度がより高まる。

以上本発明の実施の形態を説明したが、本発明はこれに限定されるものではない。例えば、上述の機能ブロック構成はプログラムモジュール構成に一致しない場合もある。

また、上で説明した各記憶領域の構成は一例であって、上記のような構成でなければならないわけではない。さらに、処理フローにおいても、処理結果が変わらなければ、処理の順番を入れ替えることや複数の処理を並列に実行させるようにしても良い。

なお、上で述べた監視装置１０３は、コンピュータ装置であって、図３０に示すように、メモリ２５０１とＣＰＵ（Central Processing Unit）２５０３とハードディスク・ドライブ（ＨＤＤ：Hard Disk Drive）２５０５と表示装置２５０９に接続される表示制御部２５０７とリムーバブル・ディスク２５１１用のドライブ装置２５１３と入力装置２５１５とネットワークに接続するための通信制御部２５１７とがバス２５１９で接続されている。オペレーティング・システム（ＯＳ：Operating System）及び本実施例における処理を実施するためのアプリケーション・プログラムは、ＨＤＤ２５０５に格納されており、ＣＰＵ２５０３により実行される際にはＨＤＤ２５０５からメモリ２５０１に読み出される。ＣＰＵ２５０３は、アプリケーション・プログラムの処理内容に応じて表示制御部２５０７、通信制御部２５１７、ドライブ装置２５１３を制御して、所定の動作を行わせる。また、処理途中のデータについては、主としてメモリ２５０１に格納されるが、ＨＤＤ２５０５に格納されるようにしてもよい。本発明の実施例では、上で述べた処理を実施するためのアプリケーション・プログラムはコンピュータ読み取り可能なリムーバブル・ディスク２５１１に格納されて頒布され、ドライブ装置２５１３からＨＤＤ２５０５にインストールされる。インターネットなどのネットワーク及び通信制御部２５１７を経由して、ＨＤＤ２５０５にインストールされる場合もある。このようなコンピュータ装置は、上で述べたＣＰＵ２５０３、メモリ２５０１などのハードウエアとＯＳ及びアプリケーション・プログラムなどのプログラムとが有機的に協働することにより、上で述べたような各種機能を実現する。

以上述べた本発明の実施の形態をまとめると、以下のようになる。

本実施の形態に係るネットワーク監視方法は、（Ａ）ネットワークからキャプチャされたパケットから、送信元コンピュータの識別子と、宛先コンピュータの識別子とを抽出し、当該送信元コンピュータによる当該宛先コンピュータに対するリモート操作における属性パラメータを特定し、当該送信元コンピュータの識別子、当該宛先コンピュータの識別子及び当該属性パラメータを含む記録を蓄積する蓄積処理と、（Ｂ）送信元コンピュータの識別子が感染コンピュータの識別子に該当している記録から、属性パラメータを抽出する抽出処理と、（Ｃ）抽出された属性パラメータを含む記録を検索する検索処理と、（Ｄ）検索された上記記録に含まれる送信元コンピュータの識別子又は宛先コンピュータの識別子を特定する処理とを含む。

このようにすれば、サイバー攻撃による侵害範囲を特定しやすくなる。

更に、上記蓄積処理において、上記パケットから属性パラメータを抽出するようにしてもよい。

このようにすれば、例えば認証要求のリクエストメッセージに相当するパケットからアカウント名を抽出できる。

更に、上記蓄積処理において、リモート操作のプロトコルに従って上記パケットより先行したパケットから予め抽出しておいた属性パラメータを用いるようにしてもよい。

このようにすれば、例えばファイルリードのリクエストメッセージに相当するパケットからアカウント名を抽出できる。

更に、上記蓄積処理において、リモート操作によって実行されたコマンドを特定し、特定された当該コマンドの識別データを上記記録に含めるようにしてもよい。また、上記抽出処理において、所定のコマンドの識別データを含み、且つ送信元コンピュータの識別子が感染コンピュータの識別子に該当している記録から、属性パラメータを抽出するようにしてもよい。

このようにすれば、不正の可能性が高いコマンドの実行時に送られたリクエストメッセージから検索キーとなる属性パラメータを抽出するので、判別の精度がより高まる。

更に、上記抽出処理において、属性パラメータとともに、上記識別データを抽出するようにしてもよい。また、上記検索処理において、抽出された属性パラメータとともに、抽出された上記識別データを含む記録を検索するようにしてもよい。

このようにすれば、マルウェアの特性として、コマンドと属性パラメータとの間に関連性がある場合に、判別の精度がより高まる。

更に、属性パラメータは、アカウント名であってもよい。

このようにすれば、リモート操作においてアカウント名を用いる機会は多いので、比較的広範にマルウェアによる攻撃を監視できる。

更に、属性パラメータは、ファイル名であってもよい。

このようにすれば、例えばデータ共有に基づくマルウェアの攻撃を監視することができる。

更に、属性パラメータは、サービス名であってもよい。

このようにすれば、各種のサービスを利用するマルウェアの攻撃を監視することができる。

なお、上記方法による処理をコンピュータに行わせるためのプログラムを作成することができ、当該プログラムは、例えばフレキシブルディスク、ＣＤ−ＲＯＭ、光磁気ディスク、半導体メモリ、ハードディスク等のコンピュータ読み取り可能な記憶媒体又は記憶装置に格納されるようにしてもよい。尚、中間的な処理結果は、一般的にメインメモリ等の記憶装置に一時保管される。

以上の実施例を含む実施形態に関し、さらに以下の付記を開示する。

（付記１）
ネットワークからキャプチャされたパケットから、送信元コンピュータの識別子と、宛先コンピュータの識別子とを抽出し、当該送信元コンピュータによる当該宛先コンピュータに対するリモート操作における属性パラメータを特定し、当該送信元コンピュータの識別子、当該宛先コンピュータの識別子及び当該属性パラメータを含む記録を蓄積する蓄積処理と、
前記送信元コンピュータの識別子が感染コンピュータの識別子に該当している記録から、前記属性パラメータを抽出する抽出処理と、
抽出された前記属性パラメータを含む記録を検索する検索処理と、
検索された前記記録に含まれる前記送信元コンピュータの識別子又は前記宛先コンピュータの識別子を特定する処理と
を含み、コンピュータにより実行されるネットワーク監視方法。

（付記２）
前記蓄積処理において、前記パケットから前記属性パラメータを抽出する
付記１記載のネットワーク監視方法。

（付記３）
前記蓄積処理において、前記リモート操作のプロトコルに従って前記パケットより先行したパケットから予め抽出しておいた前記属性パラメータを用いる
付記１記載のネットワーク監視方法。

（付記４）
前記蓄積処理において、前記リモート操作によって実行されたコマンドを特定し、特定された当該コマンドの識別データを前記記録に含め、
前記抽出処理において、所定のコマンドの識別データを含み、且つ前記送信元コンピュータの識別子が前記感染コンピュータの識別子に該当している記録から、前記属性パラメータを抽出する
付記１乃至３のいずれか１つ記載のネットワーク監視方法。

（付記５）
前記抽出処理において、前記属性パラメータとともに、前記識別データを抽出し、
前記検索処理において、抽出された前記属性パラメータとともに、抽出された前記識別データを含む記録を検索する
付記４記載のネットワーク監視方法。

（付記６）
前記属性パラメータは、アカウント名である
付記１乃至５いずれか１つ記載のネットワーク監視方法。

（付記７）
前記属性パラメータは、ファイル名である
付記１又は２記載のネットワーク監視方法。

（付記８）
前記属性パラメータは、サービス名である
付記１又は２記載のネットワーク監視方法。

（付記９）
ネットワークからキャプチャされたパケットから、送信元コンピュータの識別子と、宛先コンピュータの識別子とを抽出し、当該送信元コンピュータによる当該宛先コンピュータに対するリモート操作における属性パラメータを特定し、当該送信元コンピュータの識別子、当該宛先コンピュータの識別子及び当該属性パラメータを含む記録を蓄積し、
前記送信元コンピュータの識別子が感染コンピュータの識別子に該当している記録から、前記属性パラメータを抽出し、
抽出された前記属性パラメータを含む記録を検索し、
検索された前記記録に含まれる前記送信元コンピュータの識別子又は前記宛先コンピュータの識別子を特定する
処理をコンピュータに実行させるネットワーク監視プログラム。

（付記１０）
ネットワークからキャプチャされたパケットから、送信元コンピュータの識別子と、宛先コンピュータの識別子とを抽出し、当該送信元コンピュータによる当該宛先コンピュータに対するリモート操作における属性パラメータを特定し、当該送信元コンピュータの識別子、当該宛先コンピュータの識別子及び当該属性パラメータを含む記録を蓄積する蓄積部と、
前記送信元コンピュータの識別子が感染コンピュータの識別子に該当している記録から、前記属性パラメータを抽出する抽出部と、
抽出された前記属性パラメータを含む記録を検索する検索部と、
検索された前記記録に含まれる前記送信元コンピュータの識別子又は前記宛先コンピュータの識別子を特定する特定部と
を有するネットワーク監視装置。

１０１ コンピュータ １０３ 監視装置
１０５ ファイアウォール ２０１ マルウェア
２０３ 感染コンピュータ ２０５ 標的コンピュータ
３０１ コマンド実行部 ３０３ サービス部
１００１ ロガー １００３ キャプチャ部
１００４ パケット格納部 １００５ 分析部
１００７ 記録処理部 １００８ ルール記憶部
１００９ 認証ログ記憶部 １０１１ 操作ログ記憶部
１０１３ 検出部 １０１５ 構成記憶部
１０１７ 判別部 １０１９ 受付部
１０２１ 特定部 １０２３ 抽出部
１０２５ 検索部 １０２７ 感染リスト記憶部
１０２９ 標的リスト記憶部 １０３１ 出力部

Claims (5)

1. ネットワークからキャプチャされたパケットから、送信元コンピュータの識別子と、宛先コンピュータの識別子とを抽出し、当該送信元コンピュータによる当該宛先コンピュータに対するリモート操作における属性パラメータを特定し、当該送信元コンピュータの識別子、当該宛先コンピュータの識別子及び当該属性パラメータを含む記録を蓄積する蓄積処理と、
   前記送信元コンピュータの識別子が感染コンピュータの識別子に該当している記録から、前記属性パラメータを抽出する抽出処理と、
   抽出された前記属性パラメータを含む記録を検索する検索処理と、
   検索された前記記録に含まれる前記送信元コンピュータの識別子又は前記宛先コンピュータの識別子を特定する処理と
   を含み、コンピュータにより実行されるネットワーク監視方法。
2. 前記蓄積処理において、前記リモート操作によって実行されたコマンドを特定し、特定された当該コマンドの識別データを前記記録に含め、
   前記抽出処理において、所定のコマンドの識別データを含み、且つ前記送信元コンピュータの識別子が前記感染コンピュータの識別子に該当している記録から、前記属性パラメータを抽出する
   請求項１記載のネットワーク監視方法。
3. 前記抽出処理において、前記属性パラメータとともに、前記識別データを抽出し、
   前記検索処理において、抽出された前記属性パラメータとともに、抽出された前記識別データを含む記録を検索する
   請求項２記載のネットワーク監視方法。
4. ネットワークからキャプチャされたパケットから、送信元コンピュータの識別子と、宛先コンピュータの識別子とを抽出し、当該送信元コンピュータによる当該宛先コンピュータに対するリモート操作における属性パラメータを特定し、当該送信元コンピュータの識別子、当該宛先コンピュータの識別子及び当該属性パラメータを含む記録を蓄積し、
   前記送信元コンピュータの識別子が感染コンピュータの識別子に該当している記録から、前記属性パラメータを抽出し、
   抽出された前記属性パラメータを含む記録を検索し、
   検索された前記記録に含まれる前記送信元コンピュータの識別子又は前記宛先コンピュータの識別子を特定する
   処理をコンピュータに実行させるネットワーク監視プログラム。
5. ネットワークからキャプチャされたパケットから、送信元コンピュータの識別子と、宛先コンピュータの識別子とを抽出し、当該送信元コンピュータによる当該宛先コンピュータに対するリモート操作における属性パラメータを特定し、当該送信元コンピュータの識別子、当該宛先コンピュータの識別子及び当該属性パラメータを含む記録を蓄積する蓄積部と、
   前記送信元コンピュータの識別子が感染コンピュータの識別子に該当している記録から、前記属性パラメータを抽出する抽出部と、
   抽出された前記属性パラメータを含む記録を検索する検索部と、
   検索された前記記録に含まれる前記送信元コンピュータの識別子又は前記宛先コンピュータの識別子を特定する特定部と
   を有するネットワーク監視装置。

Images