JP2017062669A - セキュリティ制御装置、セキュリティ制御システム、セキュリティ制御方法およびプログラム - Google Patents

Abstract

【課題】管理者の負担を軽減しつつ、細やかなセキュリティ制御を行うことが可能なセキュリティ制御装置を提供する。【解決手段】通信部７０１は、監視対象のネットワークに接続された情報処理装置のうち不正な通信を行った不正装置を特定する識別情報を受信する。制御部７０３は、通信部７０１が受信した識別情報にて特定される不正装置に対して、ネットワークから隔離する隔離処理の実行を指示する隔離指示を送信する。【選択図】図３

Description

本発明は、内部ネットワークを保護するセキュリティ技術に関する。

ＬＡＮ（Local Area Network）などの内部ネットワークを保護するセキュリティ技術としては、従来、ＦＷ（Firewall：ファイアーウォール）装置、ＩＤＳ（Intrusion Detection System：侵入検知システム）またはプロキシ（Proxy）サーバなどを用いて、不正な通信データの内部ネットワークへの侵入を遮断する境界セキュリティ技術が使用されてきた。

しかしながら、近年、マルウェアと呼ばれる不正なプログラムによる標的型攻撃が頻繁に発生しており、それに伴い、内部セキュリティ技術の更なる強化が求められている。なお、標的型攻撃を行うマルウェアに内部ネットワーク内の端末が感染すると、そのマルウェアが感染した端末によって、秘密情報が勝手に外部へ送信されるなどの不正な通信が行われたり、内部ネットワーク内の他の端末にもマルウェアを感染させてしまったりする。

標的型攻撃に対する従来のセキュリティ技術としては、不正な通信を行っている端末を特定して、内部ネットワークの管理者などに通知するものが知られている。この場合、通知を受けた管理者は、不正な通信を行っている端末の設置場所に行き、その端末からＬＡＮケーブルなどを抜くなどして、端末の通信を遮断する必要があった。このため、不正な通信を行っている端末の数や設置場所によっては、管理者の負担が大きいという問題があった。

これに対して特許文献１に記載の通信管理装置は、不正な通信を行った端末を特定し、その特定した端末と接続されているネットワークスイッチ装置の通信を遮断している。このため、管理者が端末の設置場所に行かなくても、不正な通信を遮断することが可能になり、管理者の負担を軽減することが可能になる。

特開２０１０−２３３１５３号公報

しかしながら、ネットワークスイッチ装置には、通常、複数の端末が接続されているため、特許文献１に記載の技術において、不正な通信を行った不正端末と接続されているネットワークスイッチ装置の通信を遮断すると、そのネットワークスイッチ装置に接続されている不正端末以外の端末の通信まで遮断されてしまうことがある。このため、細やかなセキュリティ制御を行うことができないという問題がある。

本発明の目的は、管理者の負担を軽減しつつ、細やかなセキュリティ制御を行うことが可能なセキュリティ制御装置、セキュリティ制御システム、セキュリティ制御方法およびプログラムを提供することである。

本発明によるセキュリティ制御装置は、監視対象のネットワークに接続された情報処理装置のうち不正な通信を行った不正装置を特定する識別情報を受信する通信部と、前記通信部が受信した識別情報にて特定される不正装置に対して、前記ネットワークから隔離する隔離処理の実行を指示する隔離指示を送信する制御部と、を有する。

本発明によるセキュリティ制御システムは、監視対象のネットワークに接続された情報処理装置と、前記ネットワークのセキィリティを制御するセキュリティ制御装置とを含むセキュリティ制御システムであって、前記セキュリティ制御装置は、前記ネットワークに接続された情報処理装置のうち不正な通信を行った不正装置を特定する識別情報を受信する通信部と、前記通信部が受信した識別情報にて特定される不正装置に対して、前記ネットワークから隔離する隔離処理の実行を指示する隔離指示を送信する制御部と、を有し、前記情報処理装置は、前記隔離指示を受信する受信部と、前記受信部が前記隔離指示を受信した場合、前記隔離処理を実行する処理部と、を有する。

本発明によるセキュリティ制御方法は、監視対象のネットワークに接続された情報処理装置のうち不正な通信を行った不正装置を特定する識別情報を受信するステップと、前記受信された識別情報にて特定される不正装置に対して、前記ネットワークから隔離する隔離処理の実行を指示する隔離指示を送信するステップと、を含む。

本発明によるプログラムは、コンピュータに、監視対象のネットワークに接続された情報処理装置のうち不正な通信を行った不正装置を特定する識別情報を受信する手順と、前記受信された識別情報にて特定される不正装置に対して、前記ネットワークから隔離する隔離処理の実行を指示する隔離指示を送信する手順と、を実行させる。

本発明によれば、管理者の負担を軽減しつつ、細やかなセキュリティ制御を行うことが可能になる。

本発明の第１の実施形態のセキュリティ制御システムを示す図である。 資産管理サーバの構成例を示すブロック図である。 内部セキュリティ制御装置の構成例を示すブロック図である。 端末の構成例を示すブロック図である。 本発明の第１の実施形態のセキュリティ制御システムの動作の一例を説明するためのシーケンス図である。 本発明の第１の実施形態のセキュリティ制御システムの動作の他の例を説明するためのシーケンス図である。

以下、本発明の実施形態について図面を参照して説明する。なお、各図面において同じ機能を有するものには同じ符号を付け、その説明を省略する場合がある。

図１は、本発明の第１の実施形態のセキュリティ制御システムを示す図である。図１において、セキュリティ制御システムは、資産管理サーバ１と、駆除プログラム提供装置２と、ＦＷ装置３と、プロキシサーバ４と、制限プロキシサーバ５と、標的型攻撃監視装置６と、内部セキュリティ制御装置７と、端末８Ａ〜８Ｃとを有する。これらの装置は、専用装置やサーバで構成されてもよいし、汎用コンピュータなどで構成されてもよい。汎用コンピュータとしては、例えば、パーソナルコンピュータ、タブレット型コンピュータおよびスマートフォンなどが挙げられる。

また、資産管理サーバ１および駆除プログラム提供装置２は、外部ネットワーク１１に接続され、プロキシサーバ４、制限プロキシサーバ５、標的型攻撃監視装置６および内部セキュリティ制御装置７は、ＤＭＺ（DeMilitarized Zone）１２に接続され、端末８Ａ〜８Ｃは内部ネットワーク１３に接続される。外部ネットワーク１１は、例えば、インターネットなどである。内部ネットワーク１３は、例えば、ＬＡＮなどである。また、外部ネットワーク１１、ＤＭＺ１２および内部ネットワーク１３は、有線ネットワークでもよいし、無線ネットワークでもよい。

ＤＭＺ１２は、外部ネットワーク１１と内部ネットワーク１３間に設置され、ＦＷ装置３によって外部ネットワーク１１からも、内部ネットワーク１３からも隔離されたネットワークである。外部ネットワーク１１からの通信はＤＭＺ１２に入れるが、外部ネットワーク１１から内部ネットワーク１３へ直接通信はできない。また、内部ネットワーク１３からの通信はＤＭＺ１２に入れるが、内部ネットワーク１３から外部ネットワーク１１へ直接通信はできない。内部ネットワーク１３から外部ネットワーク１１へ通信する際は、プロキシサーバ４または制限プロキシサーバ５等を経由して通信する。具体的には、外部ネットワーク１１、ＤＭＺ１２および内部ネットワーク１３は、ＦＷ装置３によって、それぞれ他のネットワークと隔離されている。なお、ＤＭＺ１２および内部ネットワーク１３は、このようにＦＷ装置３によって互いに物理的に隔離されることが望ましいが、仮想ＬＡＮなどを用いて互いに論理的に隔離されていてもよいし、同一のネットワークでもよい。また、ＦＷ装置３を外部ネットワーク１１とＤＭＺ１２の間と、ＤＭＺ１２と内部ネットワーク１３間にそれぞれ設けても構わない。

資産管理サーバ１は、端末８Ａ〜８Ｃを管理する管理装置であり、内部セキュリティ制御装置７からの種々の指示を端末８Ａ〜８Ｃに転送する機能や、これらの指示に対する端末８Ａ〜８Ｃからの応答である種々の通知を内部セキュリティ制御装置７に転送する機能を有する。図２は、資産管理サーバ１の構成例を示すブロック図である。図２に示すように資産管理サーバ１は、サーバ通信部１０１と、管理部１０２とを有する。

サーバ通信部１０１は、内部セキュリティ制御装置７から、端末８Ａ〜８Ｃのうち不正な通信を行った端末である感染端末に対する種々の指示を受信する。指示としては、内部ネットワーク１３から隔離する隔離処理の実行を指示する隔離指示と、不正な通信を行う不正プログラムを駆除する駆除処理の実行を指示する駆除指示と、感染端末に対して内部ネットワーク１３からの隔離を解除する隔離解除処理の実行を指示する隔離解除指示とがある。また、サーバ通信部１０１は、感染端末から、上記の指示に対する応答として、隔離処理の処理結果を示す隔離処理結果通知と、駆除処理の処理結果を示す駆除処理結果通知と、隔離解除処理の処理結果を示す解除処理結果通知とを受信する。

感染端末は、不正プログラムがインストールされている可能性がある端末であり、不正装置と呼ばれることもある。隔離指示、駆除指示および隔離解除指示には、感染端末を特定する識別情報を含む。識別情報は、本実施形態では、ＩＰアドレスとするが、ＩＰアドレスの代わりに、ＭＡＣ（Media Access Control）アドレスやホスト名などの他の情報が使用されてもよい。隔離指示は、実行する隔離処理の種別をさらに指示してもよい。具体的には、隔離指示は、隔離処理の種別を示す種別情報を含み、実行する隔離処理の種別として種別情報が示す種別を指示する。隔離処理の種別についてのより詳細な説明は後述する。駆除指示は、不正プログラムを駆除するための駆除プログラムにより不正プログラムを駆除する駆除処理の実行を指示するであり、その駆除プログラムが記憶された記憶場所を示す記憶場所情報を含む。記憶場所情報は、本実施形態では、ＵＲＬ（Uniform Resource Locator）とするが、他の情報でもよい。

サーバ通信部１０１が隔離指示を受信した場合、管理部１０２は、隔離指示内のＩＰアドレスにて特定される感染端末に対して、その隔離指示を隔離命令として送信する。サーバ通信部１０１が駆除指示を受信した場合、管理部１０２は、駆除指示内のＩＰアドレスにて特定される感染端末に対して、駆除指示を駆除命令として送信する。サーバ通信部１０１が隔離解除指示を受信した場合、管理部１０２は、隔離解除指示内のＩＰアドレスにて特定される感染端末に対して、隔離解除指示を隔離解除命令として送信する。なお、隔離命令、駆除命令および隔離解除命令には、感染端末を特定するＩＰアドレスが含まれていてもよいし、感染端末を特定するＩＰアドレスが管理部１０２にて除かれて含めなくされてもよい。管理部１０２が、隔離命令、駆除命令および隔離解除命令などの各種命令を、感染端末を含む端末８Ａ〜８Ｃに送信するためには、例えば、ＦＷ装置３に対して資産管理サーバ１から端末８Ａ〜８Ｃへの通信を予め許可させておいたり、端末８Ａ〜８Ｃが既定のタイミング（例えば、定期的、既定の時間または起動時など）で資産管理サーバ１に各種命令を取得するように設定させておいたりする必要がある。しかしながら、本実施形態では、説明の簡略化のために、単に管理部１０２が各種命令を送信するものとして説明する。

サーバ通信部１０１が隔離処理結果通知を受信した場合、管理部１０２は、隔離処理結果通知の送信元である感染端末のＩＰアドレスを取得し、そのＩＰアドレスを含めた隔離処理結果通知を内部セキュリティ制御装置７に送信する。サーバ通信部１０１が駆除処理結果通知を受信した場合、管理部１０２は、駆除処理結果通知の送信元である感染端末のＩＰアドレスを取得し、そのＩＰアドレスを含めた駆除処理結果通知を内部セキュリティ制御装置７に送信する。サーバ通信部１０１が解除処理結果通知を受信した場合、管理部１０２は、解除処理結果通知の送信元である感染端末のＩＰアドレスを取得し、そのＩＰアドレスを含めた解除処理結果通知を内部セキュリティ制御装置７に送信する。

駆除プログラム提供装置２は、駆除プログラムを提供する提供装置である。具体的には、駆除プログラム提供装置２は、駆除プログラムを記憶し、内部セキュリティ制御装置７から、駆除プログラムを取得する旨の駆除プログラム要求を受信すると、記憶している駆除プログラムを内部セキュリティ制御装置７に送信する。

このとき、駆除プログラム提供装置２は、駆除プログラム要求の送信元を認証し、認証が成功した場合に駆除プログラムを送信してもよい。例えば、駆除プログラム提供装置２は、駆除プログラム要求の送信元を認証する認証情報を予め記憶し、その記憶された認証情報と、駆除プログラム要求に含まれる認証情報とを照合する。そして、駆除プログラム提供装置２は、それらの認証情報が一致していれば、認証を成功と判断し、それらの認証情報が一致していない場合、認証を失敗と判断する。認証情報は、特に限定されないが、例えば、内部セキュリティ制御装置７の管理者を特定するユーザＩＤと、パスワードとの組などである。

ＦＷ装置３は、外部ネットワーク１１、ＤＭＺ１２および内部ネットワーク１３を分離する。なお、ＦＷ装置３については、当業者にとって良く知られた技術であるため、その詳細な説明は省略する。

プロキシサーバ４および制限プロキシサーバ５は、端末８Ａ〜８Ｃの通信を中継する中継装置である。プロキシサーバ４および制限プロキシサーバ５は、端末８Ａ〜８Ｃの通信先を規定するポリシーを有し、端末８Ａ〜８Ｃの通信先をそのポリシーに適合した通信先に制限する。プロキシサーバ４のポリシーは、特に限定されない。例えば、プロキシサーバ４のポリシーは、端末８Ａ〜８Ｃの通信先を制限しない（全ての通信先を許可する）ものでもよいし、公序良俗に反するデータを提供するサーバのような所定の装置との通信を許可しないものでもよい。制限プロキシサーバ５は、端末８Ａ〜８Ｃの通信先を特定の装置に制限するポリシーを有する。特定の装置は、本実施形態では、資産管理サーバ１である。なお、プロキシサーバ４および制限プロキシサーバ５は、別々の装置で構成されてもよいし、同一の装置で構成され、ポリシーによって区別されてもよい。

標的型攻撃監視装置６は、監視対象のネットワークである内部ネットワーク１３における不正な通信を監視し、内部ネットワーク１３に接続された端末８Ａ〜８Ｃのうち不正な通信を行った端末である感染端末を特定する。具体的には、標的型攻撃監視装置６は、端末８Ａ〜８Ｃが送信し、ＦＷ装置３やルーター（図示せず）などのネットワーク装置を通る送信データを監視し、その送信データが不正なデータか否かを判断する。標的型攻撃監視装置６は、その送信データが不正なデータであると判断すると、その送信データを送信した端末を感染端末として特定する。標的型攻撃監視装置６は、感染端末を特定すると、不正な通信を検知した旨のアラートを内部セキュリティ制御装置７に送信する。アラートは、感染端末のＩＰアドレスを含む。

内部セキュリティ制御装置７は、内部ネットワーク１３のセキュリティを制御するセキュリティ制御装置である。図３は、内部セキュリティ制御装置７の構成例を示すブロック図である。図３に示す内部セキュリティ制御装置７は、通信部７０１と、記憶部７０２と、制御部７０３とを有する。

通信部７０１は、標的型攻撃監視装置６からアラートを受信し、資産管理サーバ１から隔離処理結果通知、駆除処理結果通知および解除処理結果通知を受信し、駆除プログラム提供装置２から駆除プログラムを受信し、端末８Ａ〜８Ｃから駆除プログラム要求を受信する。なお、アラートには感染端末のＩＰアドレスが含まれているため、通信部７０１は、感染端末を特定する識別情報であるＩＰアドレスを受信することになる。

記憶部７０２は、駆除プログラム提供装置２にて内部セキュリティ制御装置７を認証するための認証情報と、内部セキュリティ制御装置７の管理者の連絡先とを記憶する。連絡先は、例えば、電子メールアドレスなどである。

通信部７０１がアラートを受信した場合、制御部７０３は、そのアラート内のＩＰアドレスにて特定される感染端末に対して、資産管理サーバ１を介して隔離指示を送信する。このとき、制御部７０３は、隔離指示に、隔離処理の種別を示す種別情報を含ませることで、感染端末に対して、その感染端末が実行する隔離処理の種別を指示してもよい。

通信部７０１が隔離処理結果通知を受信した場合、制御部７０３は、隔離処理結果通知が隔離処理の成功を示すか否かを確認する。隔離処理が失敗の場合、制御部７０３は、記憶部７０２に記憶された管理者の連絡先宛に、隔離処理が失敗した旨の隔離エラー通知を送信する。なお、隔離エラー通知は、感染端末のＩＰアドレスなどの識別情報を含むことが望ましい。

隔離処理が成功の場合、制御部７０３は、駆除プログラムを感染端末に提供する。具体的には、先ず、制御部７０３は、駆除プログラム要求を駆除プログラム提供装置２に送信する。このとき、駆除プログラム提供装置２にて認証が行われる場合、制御部７０３は、記憶部７０２に記憶された認証情報を駆除プログラム要求に含ませる。

続いて、通信部７０１が駆除プログラムを受信すると、制御部７０３は、その駆除プログラムを所定の記憶場所に記憶し、その記憶場所を示すＵＲＬを取得する。そして、制御部７０３は、アラート内のＩＰアドレスにて特定される感染端末に対して駆除指示を、資産管理サーバ１を介して送信する。その後、通信部７０１が駆除プログラム要求を受信すると、制御部７０３は、記憶した駆除プログラムを感染端末に提供する。本実施形態では、駆除プログラムの記憶場所は、記憶部７０２であるとするが、この例に限らない。例えば、駆除プログラムを記憶する記憶装置が内部セキュリティ制御装置７とは別に設けられてもよい。

また、通信部７０１が駆除処理結果通知を受信した場合、制御部７０３は、その駆除処理結果通知が不正プログラムの非検出または駆除処理の成功を示すか否かを判断する。不正プログラムが非検出の場合、制御部７０３は、駆除処理結果通知内のＩＰアドレスにて特定される感染端末に対して、解除指示を、資産管理サーバ１を介して送信する。また、不正プログラムが検出、かつ駆除処理が失敗の場合、制御部７０３は、以下の第１の処理および第２の処理の少なくとも一方を行う。また、不正プログラムが検出、かつ駆除処理が成功の場合は、制御部７０３が、駆除処理結果通知内のＩＰアドレスにて特定される感染端末に対して、解除指示を、資産管理サーバ１を介して送信するようにしてもよいし、制御部７０３が、以下の第１の処理および第２の処理の少なくとも一方を行うようにしてもよい。

第１の処理では、制御部７０３は、隔離指示を、資産管理サーバ１を介して感染端末に再び送信することで、感染端末に対して隔離処理の実行を再び指示する。このとき、制御部７０３は、隔離指示に、所定の隔離処理を示す種別情報を含ませることで、所定の駆除処理の実行を感染端末に指示することが望ましい。所定の駆除処理は、感染端末を内部ネットワーク１３から隔離する強度である隔離強度が高い隔離処理であり、具体的には、後述するネットワークドライバを削除するドライバ削除処理である。

第２の処理では、制御部７０３は、記憶部７０２に記憶された管理者の連絡先宛に、駆除処理が失敗した旨の駆除エラー通知を送信する。なお、駆除エラー通知は、感染端末のＩＰアドレス（駆除処理結果通知内のＩＰアドレス）を含むことが望ましい。

通信部７０１が解除処理結果通知を受信した場合、制御部７０３は、その解除処理結果通知が隔離解除処理の成功を示すか否かを判断する。隔離解除処理が成功した場合、制御部７０３は、処理を終了する。隔離解除処理が失敗した場合、制御部７０３は、記憶部７０２に記憶された管理者の連絡先宛に、隔離解除処理が失敗した旨の解除エラー通知を送信する。なお、解除エラー通知は、感染端末のＩＰアドレス（解除処理結果通知内のＩＰアドレス）を含むことが望ましい。

端末８Ａ〜８Ｃは、内部ネットワーク１３に接続された情報処理装置である。なお、情報処理装置としては、端末８Ａ〜８Ｃに加えて、または、端末８Ａ〜８Ｃに代えて、サーバなどの他の装置が用いられてもよい。また、端末（情報処理装置）の数は、特に限定されない。

端末８Ａ〜８Ｃは全て同じ構成を有するものとする。このため、以下では、端末８Ａを例にとって、端末８Ａ〜８Ｃの構成を説明する。図４は、端末８Ａの構成例を示すブロック図である。図４に示す端末８Ａは、端末通信部８０１と、端末記憶部８０２と、処理部８０３とを有する。

端末通信部８０１は、資産管理サーバ１から隔離命令、駆除命令および隔離解除命令を受信する受信部である。また、端末通信部８０１は、内部セキュリティ制御装置７から駆除プログラムを受信する。

端末記憶部８０２は、端末８Ａが通信を行うための通信設定情報と、処理部８０３の動作を規定するプログラムであるエージェントとを記憶する。通信設定情報は、本実施形態では、端末８Ａの通信を中継するプロキシサーバを示すプロキシ設定情報、および、ネットワークドライバを含む。また、プロキシ設定情報は、レジストリにおけるプロキシサーバに関する設定ファイルや、ローカルネットワーク設定における現在の自動プロキシ構成ファイルなどである。

処理部８０３は、例えば、ＣＰＵ（Central Processing Unit）であり、端末記憶部８０２に記憶されたエージェントを読み取り、その読み取ったプログラムをＲＡＭ（図示せず）に展開して実行することで、以下の処理を行う。なお、エージェントは、端末８Ａの起動時に実行される常駐プログラムであることが望ましい。

端末通信部８０１が隔離命令を受信した場合、処理部８０３は、端末８Ａを内部ネットワーク１３から隔離する隔離処理を実行し、その処理結果を示す隔離処理結果通知を、資産管理サーバ１を介して内部セキュリティ制御装置７に送信する。隔離処理の種別としては、例えば、端末記憶部８０２に記憶されたプロキシ設定情報を所定の情報に変更する変更処理、プロキシ設定情報を削除する削除処理、所定の通信機能の実行を制限する制限処理、ネットワークドライバを削除するドライバ削除処理が挙げられる。処理部８０３は、複数種の隔離処理を実行してもよい。

変更処理では、処理部８０３は、レジストリにおけるプロキシサーバの設定ファイルに記載されているプロキシサーバの定義を変更してもよいし、ローカルネットワーク設定における現在の自動プロキシ構成ファイルに記載されているプロキシサーバの定義を変更してもよい。プロキシ設定情報は、変更処理にて変更される前は、プロキシサーバ４を示すものとする。変更後のプロキシ設定情報である所定の情報としては、制限プロキシサーバ５を示す情報、存在しない架空のプロキシサーバを示す情報、プロキシサーバの定義として意味をなさない所定の文字列などが挙げられる。なお、プロキシサーバの定義は、ＵＲＬやサーバ名（ProxyServername）などで表される。

削除処理は、レジストリにおけるプロキシサーバの設定ファイルに記載されているプロキシサーバの定義を削除してもよいし、ローカルネットワーク設定における現在の自動プロキシ構成ファイルに記載されているプロキシサーバの定義を削除してもよい。制限処理は、例えば、所定の機能として、ブラウザやメーラーのような通信を行うアプリケーションの実行や、Ｗｅｂページの取得や電子メールの送信のようなアプリケーションの通信に係る機能の実行などを制限（例えば、禁止）する。制限処理にて制限される機能は、予め定められてもよいし、処理部８０３が通信を行うアプリケーションを検索することで決定されてもよいし、資産管理サーバ１または内部セキュリティ制御装置７から指示されてもよい。

なお、制限処理では、不正なプログラムが直接通信をする場合に不正な通信を防止しづらく、削除処理では、別のプロキシサーバが自動的に選択されてしまう可能性があるため、感染端末を内部ネットワーク１３から隔離する強度である隔離強度が比較的低い。これに対して変更処理やドライバ削除処理では、隔離強度が高く、特にドライバ削除処理の隔離強度は高い。また、隔離処理において、処理部８０３は、変更または削除するプロキシ設定情報やネットワークドライバをバックアップ情報として端末記憶部８０２にバックアップすることが望ましい。

端末通信部８０１が駆除命令を受信した場合、処理部８０３は、駆除命令内のＵＲＬが示す記憶場所から駆除プログラムを取得し、その駆除プログラムを端末記憶部８０２に記憶する。本実施形態では、ＵＲＬが内部セキュリティ制御装置７を示すため、処理部８０３は、内部セキュリティ制御装置７に対して駆除プログラム要求を送信し、その後、端末通信部８０１が受信した駆除プログラムを取得する。

処理部８０３は、記憶した駆除プログラムを実行し、その駆除プログラムに従って動作することで、不正なプログラムを駆除する駆除処理を実行し、その処理結果を示す駆除処理結果通知を、資産管理サーバ１を介して内部セキュリティ制御装置７に送信する。駆除処理は、不正プログラムを検出する処理と、検出した不正プログラムを実際に駆除する処理とを含む。駆除処理結果通知は、不正プログラムが検出されたか否かと、検出された不正プログラムの駆除が成功したか否かとを示す。

不正なプログラムが非検出となる例としては、例えば、Ｗｅｂブラウザによって表示されたＷｅｂページに広告が含まれており、その広告が表示されている間にだけ、外部ネットワーク１１に向けて何らかの通信が行われ、その広告の表示が終了すると、その通信が停止する場合が挙げられる。この場合、不正プログラムが端末８Ａにインストールされていなくても、標的型攻撃監視装置６にて不正な通信が検出されることがあるが、不正プログラムが感染端末にインストールされてはいないので、駆除処理結果通知は、不正プログラムの非検出を示すことになる。

端末通信部８０１が隔離解除命令を受信した場合、処理部８０３は、端末８Ａの内部ネットワーク１３からの隔離を解除する隔離解除処理を実行し、その処理結果を示す解除処理結果通知を、資産管理サーバ１を介して内部セキュリティ制御装置７に送信する。隔離解除処理は、端末記憶部８０２にバックアップしたプロキシ設定情報やネットワークドライバに基づいて、プロキシ設定情報やネットワークドライバを隔離処理の前の状態に戻す処理である。

例えば、隔離処理として変更処理や削除処理が行われた場合、処理部８０３は、レジストリにおけるプロキシサーバの設定ファイルやローカルネットワーク設定における現在の自動プロキシ構成ファイルを、バックアップ情報として記憶したプロキシ設定情報に戻す。また、隔離処理として制限処理が行われた場合、処理部８０３は、通信機能の実行の制限を解除する。隔離処理としてドライバ削除処理が行われた場合、処理部８０３は、バックアップ情報として記憶したネットワークドライバを、通信に使用するネットワークドライバに戻す。なお、プロキシ設定情報やネットワークドライバが端末８Ａ〜８Ｃに共通の場合などでは、処理部８０３がプロキシ設定情報やネットワークドライバをバックアップする代わりに、端末８Ａ〜８Ｃが使用するプロキシ設定情報やネットワークドライバを資産管理サーバ１や内部セキュリティ制御装置７に予め記憶させておいてもよい。この場合、処理部８０３は、隔離解除処理において、資産管理サーバ１や内部セキュリティ制御装置７からプロキシ設定情報やネットワークドライバをダウンロードし、そのダウンロードしたプロキシ設定情報やネットワークドライバに基づいて、プロキシ設定情報やネットワークドライバを隔離処理の前の状態に戻す。

なお、処理部８０３は、端末８Ａ〜８Ｃのユーザを特定するユーザ名やＭＡＣアドレスなどのような資産情報や、端末８Ａが有するＵＳＢ（Universal Serial Bus）端子などを使う通信機能を示す機能情報やレジストリ設定情報のような種々の設定情報などの情報を取得して資産管理サーバ１に送信する機能を有してもよい。この場合、資産管理サーバ１の管理部１０２は、処理部８０３から送信されたこれらの情報を取得し、その情報の一部または全部を所定のタイミングで内部セキュリティ制御装置７に送信してもよい。所定のタイミングは、例えば、サーバ通信部１０１が隔離指示を受信したタイミングや、隔離処理結果通知、駆除処理結果通知や解除処理結果通知を送信するタイミングなどである。

次に動作を説明する。図５は、不正な通信が検出された際のセキュリティ制御システムの動作例を説明するためのシーケンス図である。

先ず、標的型攻撃監視装置６は、端末８Ａ〜８Ｃが送信した送信データを監視し、その送信データが不正なデータか否かを判断する。標的型攻撃監視装置６は、その送信データが不正なデータであると判断すると、不正な通信が行われたと判断し、その送信データから、その送信データの送信元のＩＰアドレスを感染端末のＩＰアドレスとして取得する（ステップＳ５０１）。そして、標的型攻撃監視装置６は、取得したＩＰアドレスを含むアラートを、ＤＭＺ１２を介して内部セキュリティ制御装置７に送信する（ステップＳ５０２）。なお、以下では、不正なデータを送信した端末である感染端末を端末８Ａとし、端末８Ａを感染端末８Ａと称する。

内部セキュリティ制御装置７の通信部７０１は、アラートを受信すると、そのアラートを制御部７０３に送信する。制御部７０３は、アラートを受信すると、そのアラートから感染端末のＩＰアドレスを取得し、そのＩＰアドレスを含む隔離指示を、通信部７０１、ＤＭＺ１２、ＦＷ装置３および外部ネットワーク１１を介して資産管理サーバ１に送信する（ステップＳ５０３）。

資産管理サーバ１のサーバ通信部１０１は、隔離指示を受信すると、その隔離指示を管理部１０２に送信する。管理部１０２は、隔離指示を受信すると、その隔離指示から感染端末のＩＰアドレスを取得する。管理部１０２は、取得した感染端末のＩＰアドレスにて特定される感染端末８Ａに対して、ＩＰアドレスを除いた隔離指示に基づいた隔離命令を、サーバ通信部１０１、外部ネットワーク１１、ＦＷ装置３および内部ネットワーク１３を介して送信する（ステップＳ５０４）。

感染端末８Ａの端末通信部８０１は、隔離命令を受信すると、その隔離命令を処理部８０３に送信する。処理部８０３は、隔離命令を受信すると、隔離処理を実行する（ステップＳ５０５）。なお、処理部８０３が行う隔離処理の種別は、処理部８０３に予め設定されていてもよいし、隔離命令に含まれる種別情報が示す種別でもよい。また、処理部８０３は、隔離命令に種別情報が含まれていない場合に、予め設定された隔離処理を実行し、隔離命令に種別情報が含まれている場合、その種別情報が示す種別の隔離処理を実行してもよい。

隔離処理が終了すると、処理部８０３は、隔離処理の処理結果を示す隔離処理結果通知を、端末通信部８０１、内部ネットワーク１３、ＦＷ装置３および外部ネットワーク１１を介して資産管理サーバ１に送信する（ステップＳ５０６）。

資産管理サーバ１のサーバ通信部１０１は、隔離処理結果通知を受信すると、その隔離処理結果通知を管理部１０２に送信する。管理部１０２は、隔離処理結果通知を受信すると、隔離処理結果通知の送信元のＩＰアドレスを感染端末８ＡのＩＰアドレスとして隔離処理結果通知に加え、そのＩＰアドレスを加えた隔離処理結果通知を、サーバ通信部１０１、外部ネットワーク１１、ＦＷ装置３およびＤＭＺ１２を介して内部セキュリティ制御装置７に送信する（ステップＳ５０７）。

内部セキュリティ制御装置７の通信部７０１は、隔離処理結果通知を受信すると、その隔離処理結果通知を制御部７０３に送信する。制御部７０３は、隔離処理結果通知を受信すると、その隔離処理結果通知が隔離処理の成功を示すか否かを確認し、その確認結果に応じた処理を行う（ステップＳ５０８）。ここで、隔離処理結果通知が隔離処理の失敗を示す場合、制御部７０３は、記憶部７０２から管理者の連絡先を取得し、その取得した連絡先宛に隔離エラー通知を送信し、処理を終了する。

以下、隔離処理結果通知が隔離処理の成功を示す場合について詳細に説明する。図６は、ステップＳ５０８において隔離処理結果通知が隔離処理の成功を示す場合のセキュリティ制御システムの動作例を説明するためのシーケンス図である。

隔離処理結果通知が隔離処理の成功を示す場合、制御部７０３は、記憶部７０２から認証情報を取得し、その認証情報を含む駆除プログラム要求を、通信部７０１、ＤＭＺ１２、ＦＷ装置３および外部ネットワーク１１を介して駆除プログラム提供装置２に送信する（ステップＳ６０１）。

駆除プログラム提供装置２は、駆除プログラム要求を受信すると、その駆除プログラム要求内の認証情報と、記憶している認証情報とを照合して、駆除プログラム要求の送信元の内部セキュリティ制御装置７を認証する。ここでは認証に成功したとする。この場合、駆除プログラム提供装置２は、記憶している駆除プログラムを、外部ネットワーク１１、ＦＷ装置３およびＤＭＺ１２を介して内部セキュリティ制御装置７に送信する（ステップＳ６０２）。

内部セキュリティ制御装置７の通信部７０１は、駆除プログラムを受信すると、その駆除プログラムを制御部７０３に送信する。制御部７０３は、駆除プログラムを受信すると、その駆除プログラムを記憶部７０２に記憶するとともに、その記憶場所を示すＵＲＬを生成する。そして、制御部７０３は、生成したＵＲＬとステップＳ５０８で受信した隔離処理結果通知内のＩＰアドレスとを含む駆除指示を、通信部７０１、ＤＭＺ１２、ＦＷ装置３および外部ネットワーク１１を介して資産管理サーバ１に送信する（ステップＳ６０３）。

資産管理サーバ１のサーバ通信部１０１は、駆除指示を受信すると、その駆除指示を管理部１０２に送信する。管理部１０２は、駆除指示を受信すると、その駆除指示からＩＰアドレスを取得する。管理部１０２は、取得したＩＰアドレスにて特定される感染端末８Ａに対して、ＩＰアドレスを除いた駆除指示に基づいた駆除命令を、サーバ通信部１０１、外部ネットワーク１１、ＦＷ装置３および内部ネットワーク１３を介して送信する（ステップＳ６０４）。

感染端末８Ａの端末通信部８０１は、駆除命令を受信すると、その駆除命令を処理部８０３に送信する。処理部８０３は、駆除命令を受信すると、その駆除命令からＵＲＬを取得し、そのＵＲＬが示す内部セキュリティ制御装置７に対して、駆除プログラム要求を、端末通信部８０１、内部ネットワーク１３、ＦＷ装置３およびＤＭＺ１２を介して送信する（ステップＳ６０５）。

内部セキュリティ制御装置７の通信部７０１は、駆除プログラム要求を受信すると、その駆除プログラム要求を制御部７０３に送信する。制御部７０３は、駆除プログラム要求を受信すると、記憶部７０２から駆除プログラムを取得し、その駆除プログラムを、駆除プログラム要求の送信元である感染端末８Ａに対して、通信部７０１、ＤＭＺ１２、ＦＷ装置３および内部ネットワーク１３を介して送信する（ステップＳ６０６）。

感染端末８Ａの端末通信部８０１は、駆除プログラムを受信すると、その駆除プログラムを処理部８０３に送信する。処理部８０３は、駆除プログラムを受信すると、駆除プログラムを端末記憶部８０２に記憶し、その記憶した駆除プログラムをＲＡＭ（図示せず）に展開して実行することで、駆除処理を実行する（ステップＳ６０７）。

駆除処理が終了すると、処理部８０３は、その駆除処理の処理結果を示す駆除処理結果通知を、端末通信部８０１、内部ネットワーク１３、ＦＷ装置３および外部ネットワーク１１を介して資産管理サーバ１に送信する（ステップＳ６０８）。

資産管理サーバ１のサーバ通信部１０１は、駆除処理結果通知を受信すると、その駆除処理結果通知を管理部１０２に送信する。管理部１０２は、駆除処理結果通知を受信すると、駆除処理結果通知の送信元のＩＰアドレスを感染端末８ＡのＩＰアドレスとして駆除処理結果通知に加え、そのＩＰアドレスを加えた駆除処理結果通知を、サーバ通信部１０１、外部ネットワーク１１、ＦＷ装置３およびＤＭＺ１２を介して内部セキュリティ制御装置７に送信する（ステップＳ６０９）。

内部セキュリティ制御装置７の通信部７０１は、駆除処理結果通知を受信すると、その駆除処理結果通知を制御部７０３に送信する。制御部７０３は、駆除処理結果通知を受信すると、その駆除処理結果通知が不正プログラムの非検出または駆除処理の成功を示すか否かを確認する。ここでは、駆除処理結果通知が不正プログラムの非検出を示したとする。この場合、制御部７０３は、駆除処理結果通知内のＩＰアドレスを含む隔離解除指示を、通信部７０１、ＤＭＺ１２、ＦＷ装置３および外部ネットワーク１１を介して資産管理サーバ１に送信する（ステップＳ６１０）。

なお、駆除処理結果通知が不正プログラムの検出かつ駆除処理の失敗を示す場合、制御部７０３は、記憶部７０２から管理者の連絡先を取得し、その取得した連絡先宛に駆除エラー通知を送信し、処理を終了する。また、制御部７０３は、隔離処理の種別として所定の隔離処理（具体的には、ドライバ削除処理）を示す種別情報を含む隔離指示を、資産管理サーバ１を介して感染端末８Ａに送信してもよい。この場合、感染端末８Ａの処理部８０３で隔離処理としてドライバ削除処理が実行される。このため、感染端末８Ａをより確実に隔離することが可能になる。また、駆除処理結果通知が不正プログラムの検出かつ駆除処理の成功を示す場合 、駆除処理結果通知が不正プログラムの非検出を示す場合と同様に、ステップＳ６１０の処理を行ってもよいし、駆除処理結果通知が不正プログラムの検出かつ駆除処理の失敗を示す場合の処理を行ってもよい。

資産管理サーバ１のサーバ通信部１０１は、隔離解除指示を受信すると、その隔離解除指示を管理部１０２に送信する。管理部１０２は、隔離解除指示を受信すると、その隔離解除指示からＩＰアドレスを取得する。管理部１０２は、取得したＩＰアドレスにて特定される感染端末８Ａに対して、ＩＰアドレスを除いた隔離解除指示に基づいた隔離解除命令を、サーバ通信部１０１、外部ネットワーク１１、ＦＷ装置３および内部ネットワーク１３を介して送信する（ステップＳ６１１）。

感染端末８Ａの端末通信部８０１は、隔離解除命令を受信すると、その隔離解除命令を処理部８０３に送信する。処理部８０３は、隔離解除命令を受信すると、隔離解除処理を実行する（ステップＳ６１２）。

隔離解除処理が終了すると、処理部８０３は、隔離解除処理の処理結果を示す解除処理結果通知を、端末通信部８０１、内部ネットワーク１３、ＦＷ装置３および外部ネットワーク１１を介して資産管理サーバ１に送信する（ステップＳ６１３）。

資産管理サーバ１のサーバ通信部１０１は、解除処理結果通知を受信すると、その解除処理結果通知を管理部１０２に送信する。管理部１０２は、解除処理結果通知を受信すると、解除処理結果通知の送信元のＩＰアドレスを感染端末８ＡのＩＰアドレスとして解除処理結果通知に加え、そのＩＰアドレスを加えた解除処理結果通知を、サーバ通信部１０１、外部ネットワーク１１、ＦＷ装置３およびＤＭＺ１２を介して内部セキュリティ制御装置７に送信する（ステップＳ６１４）。

内部セキュリティ制御装置７の通信部７０１は、解除処理結果通知を受信すると、その解除処理結果通知を制御部７０３に送信する。制御部７０３は、解除処理結果通知を受信すると、その解除処理結果通知が隔離解除処理の成功を示すか否かを確認する（ステップＳ６１５）。隔離解除処理が成功の場合、制御部７０３は、処理を終了する。一方、隔離解除処理が失敗の場合、制御部７０３は、記憶部７０２から管理者の連絡先を取得し、その取得した連絡先宛に解除エラー通知を送信し、処理を終了する。

以上説明したように本実施形態によれば、内部セキュリティ制御装置７の通信部７０１は、不正な通信が行われた感染端末８Ａを特定するＩＰアドレスを受信する。制御部７０３は、通信部７０１が受信したＩＰアドレスにて特定される感染端末８Ａに対して、内部ネットワーク１３から隔離する隔離処理の実行を指示する。また、感染端末８Ａの端末通信部８０１は、隔離処理の実行の指示を受け付ける。処理部８０３は、端末通信部８０１がその指示を受け付けた場合、隔離処理を実行する。

したがって、不正な通信が行われた感染端末８Ａ自身によって内部ネットワーク１３から隔離する隔離処理が実行されるため、管理者が感染端末８Ａの設置場所に行かずに、かつ、感染端末８Ａ以外の情報処理装置の通信を遮断せずに、感染端末８Ａによる不正な通信を遮断することが可能になる。したがって、管理者の負担を軽減しつつ、細やかなセキュリティ制御を行うことが可能になり、セキュリティが高まる。

次に第２の実施形態について説明する。
本実施形態では、内部セキュリティ制御装置７の制御部７０３は、通信部７０１によるアラートの受信回数、すなわち感染端末８ＡのＩＰアドレスの受信回数に応じて、隔離処理の種別を決定する。

例えば、記憶部７０２は、ＩＰアドレスごとに、そのＩＰアドレスを含むアラートの受信回数を示す制御情報を記憶する。制御部７０３は、通信部７０１がアラートを受信するたびに、そのアラートに含まれるＩＰアドレスに対応する受信回数をインクリメントする。そして、制御部７０３は、インクリメントした受信回数に応じて、隔離処理の種別を決定する。具体的には、制御部７０３は、受信回数が多いほど、隔離の強度が高い隔離処理を実行する。例えば、制御部７０３は、受信回数が１回の場合、隔離処理として制限処理を指定し、受信回数が２回以上の場合、隔離処理として削除処理を指定する。また、制御部７０３は、受信回数が１回の場合、隔離処理として制限処理を指定し、受信回数が２回の場合、削除処理を指定し、受信回数が３回以上の場合、ドライバ削除処理を実行してもよい。

また、受信回数は、所定の期間にアラートが受信された回数でもよい。この場合、例えば、制御部７０３は、隔離処理結果通知が隔離処理の成功を示してから駆除処理結果通知を受信するまでの期間にアラートを受信すると、受信回数をインクリメントする。

以上説明したように本実施形態によれば、アラートの受信回数に応じて隔離処理の種別が決定されるので、ある隔離処理では不正な通信を遮断することができなくても、別の隔離処理を用いて不正な通信を遮断することが可能になるため、より精度の高いセキュリティ制御が可能になる。

以上説明した各実施形態において、図示した構成は単なる一例であって、本発明はその構成に限定されるものではない。

例えば、セキュリティ制御システムの各装置の機能は、その機能を実現するためのプログラムを、コンピュータにて読み取り可能な記録媒体に記録して、この記録媒体に記録されたプログラムをコンピュータに読み込ませ実行させることで、実現されてもよい。

また、資産管理サーバ１は、外部ネットワーク１１上に配置されていたが、ＤＭＺ１２上または内部ネットワーク１３上に配置されてもよい。プロキシサーバ４と、制限プロキシサーバ５と、標的型攻撃監視装置６と、内部セキュリティ制御装置７は、ＤＭＺ１２上に配置されていたが、内部ネットワーク１３上に配置されてもよい。また、隔離指示、駆除指示および隔離解除指示は、内部セキュリティ制御装置７から資産管理サーバ１を介さずに感染端末へ直接送信されてもよい。同様に、隔離処理結果通知、駆除処理結果通知および解除処理結果通知は、感染端末から資産管理サーバ１を介さずに内部セキュリティ制御装置７へ直接送信されてもよい。

また、端末８Ａ〜８Ｃは、駆除プログラムを駆除プログラム提供装置２から取得してもよい。この場合、内部セキュリティ制御装置７の制御部７０３は、駆除プログラム要求を送信せずに、駆除プログラム提供装置２を示すＵＲＬを含む駆除指示を感染端末８Ａに送信する。

１ 資産管理サーバ
２ 駆除プログラム提供装置
３ ＦＷ装置
４ プロキシサーバ
５ 制限プロキシサーバ
６ 標的型攻撃監視装置
７ 内部セキュリティ制御装置
８Ａ〜８Ｃ 端末
１１ 外部ネットワーク
１２ ＤＭＺ
１３ 内部ネットワーク
１０１ サーバ通信部
１０２ 管理部
７０１ 通信部
７０２ 記憶部
７０３ 制御部
８０１ 端末通信部
８０２端末記憶部
８０３ 処理部

Claims (11)

1. 監視対象のネットワークに接続された情報処理装置のうち不正な通信を行った不正装置を特定する識別情報を受信する通信部と、
   前記通信部が受信した識別情報にて特定される不正装置に対して、前記ネットワークから隔離する隔離処理の実行を指示する隔離指示を送信する制御部と、を有するセキュリティ制御装置。
2. 前記隔離指示は、前記不正装置に実行させる隔離処理の種別を有し、
   前記制御部は、前記隔離処理の種別を、前記通信部による当該不正装置を特定する識別情報の受信回数に応じて決定する、請求項１に記載のセキュリティ装置。
3. 前記通信部は、前記不正装置から前記隔離処理の処理結果を示す通知を受信し、
   前記制御部は、前記処理結果が前記隔離処理の成功を示す場合、前記不正装置に対して、不正な通信を行うプログラムである不正プログラムを駆除する駆除プログラムを提供し、当該駆除プログラムにより前記不正プログラムを駆除する駆除処理の実行を指示する駆除指示を送信する、請求項１または２に記載のセキュリティ制御装置。
4. 前記通信部は、前記不正装置から前記駆除処理の処理結果を示す通知を受信し、
   前記制御部は、前記駆除処理の処理結果が前記不正プログラムの駆除の失敗を示す場合、前記不正装置に対して、前記隔離指示にて指示した隔離処理とは異なる所定の隔離処理の実行を指示する前記隔離指示を送信する、請求項３に記載のセキュリティ装置。
5. 前記通信部は、前記不正装置から前記駆除処理の処理結果を示す通知を受信し、
   前記制御部は、前記処理結果が前記不正プログラムの駆除の成功を示す場合、前記不正装置に対して、前記ネットワークからの隔離を解除する隔離解除処理の実行を指示する隔離解除指示を送信する、請求項３または４に記載のセキュリティ装置。
6. 監視対象のネットワークに接続された情報処理装置と、前記ネットワークのセキュリティを制御するセキュリティ制御装置と、を含むセキュリティ制御システムであって、
   前記セキュリティ制御装置は、
   前記ネットワークに接続された情報処理装置のうち不正な通信を行った不正装置を特定する識別情報を受信する通信部と、
   前記通信部が受信した識別情報にて特定される不正装置に対して、前記ネットワークから隔離する隔離処理の実行を指示する隔離指示を送信する制御部と、を有し、
   前記情報処理装置は、
   前記隔離指示を受信する受信部と、
   前記受信部が前記隔離指示を受信した場合、前記隔離処理を実行する処理部と、を有する、セキュリティ制御システム。
7. 前記処理部は、前記隔離処理として、当該不正装置の通信を中継するプロキシサーバを示すプロキシ設定情報を所定の情報に変更する変更処理を実行する、請求項６に記載のセキュリティ制御システム。
8. 前記処理部は、前記隔離処理として、ネットワークドライバを削除するドライバ削除処理を実行する、請求項６または７に記載のセキュリティ制御システム。
9. 前記隔離指示は、前記不正装置に実行させる隔離処理の種別を有し、
   前記処理部は、前記隔離指示内の種別の隔離処理を実行する、請求項６ないし８のいずれか１項に記載のセキュリティ制御システム。
10. 監視対象のネットワークに接続された情報処理装置のうち不正な通信を行った不正装置を特定する識別情報を受信するステップと、
    前記受信された識別情報にて特定される不正装置に対して、前記ネットワークから隔離する隔離処理の実行を指示する隔離指示を送信するステップと、を含むセキュリティ制御方法。
11. コンピュータに、
    監視対象のネットワークに接続された情報処理装置のうち不正な通信を行った不正装置を特定する識別情報を受信する手順と、
    前記受信された識別情報にて特定される不正装置に対して、前記ネットワークから隔離する隔離処理の実行を指示する隔離指示を送信する手順と、を実行させるためのプログラム。

Images