JP2017092755A

JP2017092755A - ネットワーク監視装置及びネットワーク監視装置におけるウイルス検知方法。

Info

Publication number: JP2017092755A
Application number: JP2015221971A
Authority: JP
Inventors: 敦剛小熊; Atsutake Oguma
Original assignee: Saxa Inc
Current assignee: Saxa Inc
Priority date: 2015-11-12
Filing date: 2015-11-12
Publication date: 2017-05-25
Anticipated expiration: 2035-11-12
Also published as: JP6623702B2

Abstract

【課題】利用シーンに応じてセキュリティレベルを動的に変更可能にする装置及び方法を提供する。【解決手段】ネットワーク監視装置（ＵＴＭ）１０は、複数のアクセス先を記憶する記憶部１００と、複数のアクセス先が提供するコンテンツのカテゴリが制限対象であるか否かについて判定する第１判定部１０１と、制限対象でないことが判定されたアクセス先が提供するコンテンツを受信し、コンテンツの属するカテゴリが危険か安全かを判定する第２判定部１０２と、安全と判定されたコンテンツのファイルタイプを判定する第３判定部１０３と、アクセス可能と判定されたコンテンツのウイルスを検知する検知部１０４とを備える。検知部が、アクセス先が提供するコンテンツのカテゴリ及び／又はファイルタイプに応じて、ウイルスの検知方式を、第１検知方式と第２検知方式に切り替える。【選択図】図３

Description

本発明は、ネットワーク監視装置及びネットワーク監視装置におけるウイルス検知方法に関する。

ウイルス検知等、複数のセキュリティ機能を１台の筐体に収納したＵＴＭ（統合脅威管理：Unified Threat Management）は、例えば、企業内ＬＡＮ（Local Area Network）と、インターネット等外部ネットワークとの境界に設置し、セキュリティゲートウエイとして使用されるネットワーク監視装置である。

ところで、ウイルス検知方式には２種類ある。一つはプロキシ方式と称され、パケットからファイルを構築してウイルス検知を行う方式である。他の一つはストリーム方式と称され、パケット単位でウイルス検知を行う方式である。

プロキシ方式は、ファイル単位でウイルス検知を行うため、ウイルス検知率が高い反面、パケットを一旦バッファリングしてからファイルを構築するため、多くのメモリ資源を必要としウイルス検知に要する時間が長くなる。一方、ストリーム方式は、パケット単位でウイルス検知を行うため、短時間で多くのデータ量のウイルス検知を行うことができる反面、パケット間に跨るウイルス、つまり、ファイルを構築した際にウイルスとして機能するウイルスの検知ができない。

このため、従来のネットワーク監視装置は、セキュリティを優先してプロキシ方式に設定するか、処理速度等の性能を優先してプロキシ方式に設定するかの二者択一で運用せざるを得なかった。したがって、安全性か性能のいずれかを犠牲にすることになる。

このため、例えば、特許文献１に、ユーザの意志によりセキュリティレベルを変更可能とし、汎用ソフト等の実行時に効率的なウイルスチェックが可能な再生装置が提案されている。

特開２００６−８５８１６号公報

特許文献１に開示された技術によれば、ウイルスチェックを複数段階に分けて行うことができる再生装置について説明されているが、ユーザがそのセキュリティレベルを設定するものであり、再生装置に予め記憶されたソフトウエアを実行する際に、設定されたセキュリティレベルに応じた認証動作を行う。したがって、利用シーンに応じて動的にセキュリティレベルを変更することはできない。

本発明は上記課題を解決するためになされたものであり、利用シーンに応じてセキュリティレベルを動的に変更可能なネットワーク監視装置及びネットワーク監視装置におけるウイルス検知方法を提供することを目的とする。

上記課題を解決するため、本発明のネットワーク監視装置及びネットワーク監視装置におけるウイルス検知方法は、以下のような解決手段を提供する。

（１）本発明に係る第１の態様は、ネットワーク監視装置であって、複数のアクセス先を記憶する記憶部と、前記複数のアクセス先が提供するコンテンツのカテゴリが制限対象であるか否かについて、前記記憶部又はネットワークを介して接続される外部サーバを参照して判定する第１判定部と、前記第１判定部によって制限対象でないことが判定されたアクセス先が提供するコンテンツを受信し、前記コンテンツの属するカテゴリが危険か安全かを判定する第２判定部と、前記第２判定部によって安全と判定された前記コンテンツのファイルタイプを判定する第３判定部と、前記第２判定部、又は前記第３判定部によってアクセス可能と判定された前記コンテンツのウイルスを検知する検知部とを備え、前記検知部が、前記アクセス先が提供する前記コンテンツのカテゴリ及び／又はファイルタイプに応じて、前記ウイルスの検知方式を、第１検知方式と第２検知方式に切り替えることを特徴とする。

（２）また、本発明は、（１）のネットワーク監視装置において、前記検知部が、前記第２判定部によってアクセス先のカテゴリが危険と判定された場合は、前記ウイルスを前記第１検知方式によって検知し、安全と判定された場合は、更に、前記第３判定部によってアクセス先のファイルタイプを判定し、その判定結果からリアルタイム性を要すると判定された場合に前記第２検知方式により検知し、リアルタイム性を要しないと判定された場合に前記第１検知方式により検知することを特徴とする。

（３）また、本発明は、（１）又は（２）のネットワーク監視装置において、前記第１検知方式が、パケットからファイルを構築してウイルスを検知するプロキシ方式であり、前記第２検知方式が、パケット単位でウイルスを検知するストリーム方式であることを特徴とする。

（４）また、本発明は、（１）〜（３）のいずれか１項に記載のネットワーク監視装置において、前記第３判定部が、前記アクセス先のファイルタイプが動画又は音声である場合に、前記アクセス先が提供するコンテンツにリアルタイム性があると判定することを特徴とする。

（５）また、本発明は、（１）〜（４）のいずれか１項に記載のネットワーク監視装置において、前記第１判定部が、制限対象であると判定した前記アクセス先が提供するコンテンツを一定期間記憶し、以降、前記コンテンツに対する前記検知部によるウイルス検知を前記一定期間だけ禁止することを特徴とする。

（６）本発明の第２の態様は、ネットワーク監視装置におけるウイルス検知方法であって、記憶部に記憶された複数のアクセス先が提供するコンテンツのカテゴリが制限対象であるか否かを、前記記憶部又はネットワークを介して接続される外部サーバを参照して判定する第１のステップと、前記第１のステップで制限対象でないことが判定されたアクセス先が提供するコンテンツを受信し、前記コンテンツの属するカテゴリが危険か安全かを判定する第２のステップと、前記第２のステップで安全と判定された前記コンテンツのファイルタイプを判定する第３のステップと、前記第２のステップ又は前記第３のステップでアクセス可能と判定された前記コンテンツのウイルスを検知する第４のステップとを有し、前記第４のステップが、前記アクセス先が提供する前記コンテンツのカテゴリ及び／又はファイルタイプに応じて、前記ウイルスの検知方式を、第１検知方式と第２検知方式に切り替えることを特徴とする。

本発明によれば、利用シーンに応じてセキュリティレベルを動的に変更可能なネットワーク監視装置及びネットワーク監視装置におけるウイルス検知方法を提供することができる。

本発明の実施の形態に係るネットワーク監視装置を含むシステムの構成及びその動作シーケンスを示す図である。本発明の実施の形態に係るネットワーク監視装置の基本的な処理の流れを示すフローチャートである。本発明の実施の形態に係るネットワーク監視装置の構成を示すブロック図である。本発明の実施の形態に係るネットワーク監視装置の詳細な処理の流れを示すフローチャートである。プロキシ方式によるウイルスチェックとストリーム方式によるウイルスチェックの手順を説明するために引用した動作概念図である。

以下、添付図面を参照して、本発明を実施するための形態（以下、実施形態と称する）について、詳細に説明する。なお、実施形態の説明の全体を通して同じ要素には同じ番号を付している。

（実施形態の構成）
図１に示すように、ネットワーク監視システムは、本実施形態に係るネットワーク監視装置（ＵＴＭ１０）と、複数のユーザ端末（ＰＣ２０）と、ＵＴＭ１０に記憶されたアクセス先のＵＲＬ（Uniform Resource Locator）が示す複数のコンテンツサーバ４０と、コンテンツサーバ４０が提供するコンテンツのカテゴリチェックを行う外部サーバ５０と、からなる。ＵＴＭ１０、複数のコンテンツサーバ４０、外部サーバ５０は、共にインターネット３０（ネットワーク）に接続され、ＰＣ２０は、セキュリティゲートウエイとして機能するＵＴＭ１０を介してインターネット３０に接続されている。

図１と図２を用いてネットワーク監視システムの概略動作シーケンス及び基本動作の流れについて説明する。

最初にＰＣ２０がＨＴＴＰ（Hyper Text Transfer Protocol）を使用してインターネットに接続するときＵＴＭ１０がウイルス検知を行う（図１のａ）。これを受けてＵＴＭ１０は、内蔵ＤＢ（後述する記憶部１００）を参照してアクセス先のＵＲＬを取得し、実装されているＵＲＬのフィルタリング機能により、アクセス先のＵＲＬのカテゴリチェックを行う（図２のステップＳ１０）。ここで、アダルト、ギャンブル、ゲーム等、ＵＴＭ１０が設置された企業の業務に関係のないサイト等、アクセスが制限されているサイトが提供するコンテンツであれば、アクセスを終了する。

ＵＴＭ１０は、更に、外部サーバ５０を使用してアクセス先のＵＲＬのカテゴリチェックを依頼し（図１のｂ）、外部サーバ５０からアクセス先のＵＲＬのカテゴリチェックの結果を受信する（図１のｃ，図２のステップＳ２０）。ここで、アクセス先のＵＲＬが禁止されているカテゴリに属していれば、アクセスを終了する。続いてＵＴＭ１０は、アクセス先のＵＲＬのコンテンツサーバ４０にＨＴＴＰ（Hyper Text Transfer Protocol）によるアクセスを行い（図１のｄ，図２のステップＳ３０）、該当のコンテンツサーバ４０から要求コンテンツを受信し（図１のｅ）、受信したコンテンツに対してカテゴリやファイルタイプの判定を行う（図２のステップＳ４０）。

最後にＵＴＭ１０は、アクセス先のＵＲＬのカテゴリが危険と判定された場合及び安全並びにコンテンツがリアルタイム性を要しないと判定された場合は、パケットからファイルを構築してウイルスを検知するプロキシ方式を選択し、一方、コンテンツが安全及びリアルタイム性を要するコンテンツであると判定された場合は、パケット単位でウイルスを検知するストリーム方式によるウイルスチェック方式を選択する（図２のステップＳ５０）。そして、それぞれの方式に従うウイルスチェックを行い、その結果によりＰＣ２０にコンテンツとウイルス検知結果を提供する（図１のｆ）。

図３に示すように、本実施形態に係るＵＴＭ１０は、例えば、マイクロプロセッサを制御中枢とし、メモリを含むデータ送受信のための周辺ＬＳＩとを実装し、マイクロプロセッサがメモリに記憶されたプログラムに従い周辺ＬＳＩを制御することにより、図２に示した基本的な処理内容を実行する。このため、ＵＴＭ１０は、記憶部１００と、第１判定部１０１と、第２判定部１０２と、第３判定部１０３と、検知部１０４とを含む。

記憶部１００には、複数のアクセス先であるＵＲＬが記憶されている。第１判定部１０１は、複数のアクセス先（コンテンツサーバ４０）が提供するコンテンツのカテゴリが制限対象であるか否かについて、記憶部１００及び／又は図１におけるネットワーク（インターネット３０）経由で接続される外部サーバ５０を参照して判定する。

第２判定部１０２は、第１判定部１０１によって制限対象でないことが判定されたアクセス先が提供するコンテンツを受信し、当該コンテンツの属するカテゴリが危険か安全かを判定する。第２判定部１０２は、アクセス先のカテゴリがアダルト系又は犯罪系である場合には、アクセス先を危険であると判定する。

第３判定部１０３は、第２判定部１０２によって安全と判定されたコンテンツのファイルタイプを判定し、当該コンテンツがリアルタイム性を有するコンテンツか否かを判定する。第３判定部１０３は、アクセス先のファイルタイプが動画又は音声である場合にアクセス先が提供するコンテンツにリアルタイム性があると判定する。

検知部１０４は、第２判定部１０２又は第３判定部１０３によってアクセス可能と判定されたコンテンツのウイルスを検知する。検知部１０４は、アクセス先が提供するコンテンツのカテゴリ及び／又はファイルタイプに応じて、ウイルスの検知方式を、パケットからファイルを構築してウイルスを検知するプロキシ方式（第１検知方式）と、パケット単位でウイルスを検知するストリーム方式（第２検知方式）に切り替える。

検知部１０４は、第２判定部１０２によってアクセス先のカテゴリが危険と判定された場合は、ウイルスをプロキシ方式によって検知し、安全と判定された場合は、更に第３判定部１０３によってアクセス先のファイルタイプを判定し、判定したファイルタイプからリアルタイム性を要すると判定された場合、ストリーム方式により検知し、リアルタイム性を要しないと判定された場合は、プロキシ方式により検知する。

なお、第１判定部１０１は、制限対象であると判定したアクセス先が提供するコンテンツを一定期間記憶し、以降、当該コンテンツに対する検知部１０４によるウイルス検知を一定期間だけ禁止してもよい。

（実施形態の動作）
以下、図４のフローチャート及び図５の動作概念図を参照しながら、図２に示した本実施形態に係るＵＴＭ１０の動作について詳細に説明する。

ＵＴＭ１０は、まず、第１判定部１０１が、記憶部１００に記憶されたアクセス先のＵＲＬ情報を取得し（ステップＳ１０１）、記憶部１００（装置内ＤＢ）を参照してアクセス先のＵＲＬに相当するコンテンツサーバ４０が提供するコンテンツのカテゴリチェックを行う（ステップＳ１０２）。ここで、アクセス制限対象のカテゴリに属すると判定されると（ステップＳ１０３“ＹＥＳ”）、以降、ＵＴＭ１０は、当該コンテンツサーバ４０へのアクセスを禁止し、アクセスが禁止されていることをユーザ（ＰＣ２０）へ通知する（ステップＳ１１４）。

一方、アクセス制限対象のカテゴリに属さないと判定されると（ステップＳ１０３“ＮＯ”）、第１判定部１０１は、更に、外部サーバ５０を参照してアクセス先のＵＲＬのカテゴリチェックを行う（ステップＳ１０４）。第１判定部１０１は、外部サーバ５０からアクセス先のＵＲＬのカテゴリチェックの結果を受信すると、そのアクセス先のＵＲＬに該当するコンテンツサーバ４０が提供するコンテンツはアクセス制限対象のカテゴリに属するか否かを判定する（ステップＳ１０５）。

ここで、アクセス制限対象のカテゴリに属すると判定されると（ステップＳ１０５“ＹＥＳ”）、第１判定部１０１は、以降、当該コンテンツサーバ４０に対するアクセスを禁止し、当該アクセスが禁止されていることをユーザ（ＰＣ２０）へ通知する（ステップＳ１１４）。一方、アクセス制限対象のカテゴリに属さないと判定されると（ステップＳ１０５“ＮＯ”）、第１判定部１０１は、そのアクセス先のＵＲＬを用いて該当のコンテンツサーバ４０へＨＴＴＰによる接続を行い、該当コンテンツを受信する（ステップＳ１０６）。

ここで、ＵＴＭ１０は、第１判定部１０１から第２判定部１０２に制御を移す。第２判定部１０２は、受信したコンテンツのカテゴリが危険か否かを判定する（ステップＳ１０７）。第２判定部１０２は、アクセス先のＵＲＬに相当するコンテンツサーバ４０が提供するコンテンツのカテゴリがアダルト系又は犯罪系である場合にアクセス先を危険であると判定する。ここで、危険であると判定されると（ステップＳ１０７“ＹＥＳ”）、検知部１０４に制御が移る。検知部１０４は、第２判定部１０２の判定結果（危険なカテゴリに属する）に従い、パケットからファイルを構築してウイルスを検知する、セキュリティ重視のプロキシ方式によるウイルス検知を実行する（ステップＳ１１０）。

一方、受信したコンテンツのカテゴリがアダルト系又は犯罪系に属さず、安全であると判定されると（ステップＳ１０７“ＮＯ”）、ＵＴＭ１０は、第２判定部１０２から第３判定部１０３に制御を移す。第３判定部１０３は、受信したコンテンツのファイルタイプをチェックし、そのファイルタイプから、例えば、動画コンテンツや音声コンテンツ等のリアルタイム性を有するコンテンツか否かを判定する（ステップＳ１０８）。ここで、リアルタイム性を有するコンテンツであると判定されれば（ステップＳ１０８“ＹＥＳ”）、検知部１０４に制御が移る。

検知部１０４は、第３判定部１０３でリアルタイム性を有すると判定されたコンテンツに対し、パケット単位でウイルスを検知する、性能重視のストリーム方式によるウイルスチェック方式を実行する（ステップＳ１０９）。なお、リアルタイム性を有しないと判定されたコンテンツについては（ステップＳ１０８“ＮＯ”）、パケットからファイルを構築してウイルスを検知する、セキュリティ重視のプロキシ方式によるウイルスチェックが実行される（ステップＳ１１０）。

プロキシ方式によるウイルスチェック（ステップＳ１１０）の手順が図５（ａ）に、ストリーム方式によるウイルスチェック（ステップＳ１０９）の手順が図５（ｂ）に、それぞれ動作概念図として示されている。いずれの方式も検知部１０４がウイルスチェックを行うために、メモリと、検索エンジンとをハードウエア資源として要するものとする。

図５（ａ）に示すように、プロキシ方式によれば、検知部１０４は、ファイルからパケットに分解し（ステップＳ１１０ａ）、所定量内蔵のメモリに保存した後に（ステップＳ１１０ｂ）、パケットを再構築する（ステップＳ１１０ｃ）。そして、検索エンジンがファイルのウイルスチェックを行い（ステップＳ１１０ｄ）、パケットに分解して送信する（ステップＳ１１０ｅ）。このため、パケットの再構築のために多くのリソースを必要とし、また、チェック可能なファイルサイズに制限があるという欠点を持つ。但し、セキュリティ性能はストリーム方式より高い。

一方、図５（ｂ）に示すように、ストリーム方式によれば、ファイルをパケットに分解して（ステップＳ１０９ａ）、順次メモリに格納し（ステップＳ１０９ｂ）、検索エンジンがメモリから読み出されるパケットを単位にウイルスチェックを行い（ステップＳ１０９ｃ）、送信する（ステップＳ１０９ｄ）。このため、ファイルサイズに依存しないウイルスチェックが可能であり、検査対象プロトコルが多く、チェック速度が速いという利点がある。但し、セキュリティ性能はプロキシ方式より低い。

説明を図４のフローチャートに戻す。検知部１０４による、ストリーム方式、あるいはプロキシ方式によるウイルスチェックの結果、受信したコンテンツへのウイルス混入の有無が判定される。ウイルスが検知されなかった場合（ステップＳ１１１“ＮＯ”）、検知部１０４は、ＰＣ２０へそのコンテンツを送信し（ステップＳ１１２）、ウイルスが検知された場合（ステップＳ１１１“ＹＥＳ”）、ＰＣ２０へそのコンテンツの送信を禁止し、ユーザにウイルスが検知されたことを通知する（ステップＳ１１３）。

なお、図２及び図４のフローチャートでは図示省略したが、第１判定部１０１は、制限対象であると判定したアクセス先が提供するコンテンツ（のインデックス）を記憶部１００に一定期間記憶し、以降、そのコンテンツに対する検知部１０４によるウイルス検知を、一定期間だけ禁止する学習処理を行ってもよい。このことにより、検知部１０４による不要なウイルス検知のための処理を省略でき、リソースの有効活用が図れる。また、本実施形態に係るネットワーク監視装置（ＵＴＭ１０）によれば、アダルト系又は犯罪系に属するコンテンツを危険なカテゴリとして振り分けたが、アクセス先のＵＲＬのドメインで振り分けることも可能である。

（実施形態の効果）
以上の説明のように、本実施形態に係るネットワーク監視装置（ＵＴＭ１０）によれば、複数のアクセス先のＵＲＬのカテゴリが制限対象であるか否かを判定し、制限対象でないと判定されたアクセス先が提供するコンテンツを受信し、そのコンテンツが属するカテゴリが安全と判定された場合の当該コンテンツのファイルタイプに基づき、第１検知方式（プロキシ方式）と第２検知方式（ストリーム方式）に切り替える。具体的に、動画や音声等のリアルタイム性を有するコンテンツの場合、性能を優先してウイルスの検知方式を、パケットからファイルを構築してウイルスを検知するプロキシ方式を選択し、リアルタイム性を要しない場合、パケット単位でウイルスを検知するストリーム方式に切り替える。

このため、本実施形態に係るネットワーク監視装置（ＵＴＭ１０）によれば、利用シーンに応じて動的にウイルス検知方式を切り替えることができ、サイトが安全か否かに合わせてセキュリティレベルを変更し、安全なサイトにおいては比較的高速にウイルス検知が可能になる。特に、リアルタイム性が要求される動画コンテンツの再生及び比較的サイズが大きなファイルサイズを持つコンテンツのダウンロードに対し、実際に処理が開始されるまでに多くの時間を必要としていたものが、安全なサイトである場合に限りユーザに与えるストレスを解消することができる。

以上、実施形態を用いて本発明を説明したが、本発明の技術的範囲は上記実施形態に記載の範囲には限定されないことはいうまでもない。上記実施形態に、多様な変更又は改良を加えることが可能であることが当業者に明らかである。また、そのような変更又は改良を加えた形態も本発明の技術的範囲に含まれ得ることが、特許請求の範囲の記載から明らかである。なお、上記の実施形態では、本発明を物の発明として、ネットワーク監視システム（ＵＴＭ１０）について説明したが、本発明は、方法の発明（ネットワーク監視装置におけるウイルス検知方法）として捉えることもできる。

その場合、例えば、図１，図２に示すネットワーク監視装置（ＵＴＭ１０）に適用され、そしてそのウイルス検知方法は、図４のフローチャートに示すように、記憶部１００に記憶された複数のアクセス先が提供するコンテンツのカテゴリが制限対象であるか否かを、前記記憶部１００又はネットワーク（インターネット３０）経由で接続される外部サーバ５０を参照して判定する第１のステップ（ステップＳ１０２，ステップＳ１０４）と、前記第１のステップで制限対象でないことが判定されたアクセス先が提供するコンテンツを受信し、前記コンテンツの属するカテゴリが危険か安全かを判定する第２のステップ（ステップＳ１０７）と、前記第２のステップで安全と判定された前記コンテンツのファイルタイプを判定する第３のステップ（ステップＳ１０８）と、前記第２のステップ又は前記第３のステップでアクセス可能と判定された前記コンテンツのウイルスを検知する第４のステップ（ステップＳ１１１）とを有し、前記第４のステップが、前記アクセス先が提供する前記コンテンツのカテゴリ及び／又はファイルタイプに応じて、前記ウイルスの検知方式を、第１検知方式と第２検知方式に切り替える（ステップＳ１０９，ステップＳ１１０）ことを特徴とする。

本実施形態に係るネットワーク監視装置におけるウイルス検知方法によれば、利用シーンに応じてセキュリティレベルを動的に変更することができる。

１０ネットワーク監視装置（ＵＴＭ）、２０ユーザ端末（ＰＣ）、３０ネットワーク（インターネット）、４０コンテンツサーバ、５０外部サーバ、１００記憶部、１０１第１判定部、１０２第２判定部、１０３第３判定部、１０４検知部

Claims

ネットワーク監視装置であって、
複数のアクセス先を記憶する記憶部と、
前記複数のアクセス先が提供するコンテンツのカテゴリが制限対象であるか否かについて、前記記憶部又はネットワークを介して接続される外部サーバを参照して判定する第１判定部と、
前記第１判定部によって制限対象でないことが判定されたアクセス先が提供するコンテンツを受信し、前記コンテンツの属するカテゴリが危険か安全かを判定する第２判定部と、
前記第２判定部によって安全と判定された前記コンテンツのファイルタイプを判定する第３判定部と、
前記第２判定部又は前記第３判定部によってアクセス可能と判定された前記コンテンツのウイルスを検知する検知部とを備え、
前記検知部が、
前記アクセス先が提供する前記コンテンツのカテゴリ及び／又はファイルタイプに応じて、前記ウイルスの検知方式を、第１検知方式と第２検知方式に切り替えることを特徴とするネットワーク監視装置。
前記検知部が、
前記第２判定部によってアクセス先のカテゴリが危険と判定された場合は、前記ウイルスを前記第１検知方式によって検知し、安全と判定された場合は、更に、前記第３判定部によってアクセス先のファイルタイプを判定し、その判定結果からリアルタイム性を要すると判定された場合に前記第２検知方式により検知し、リアルタイム性を要しないと判定された場合に前記第１検知方式により検知することを特徴とする請求項１記載のネットワーク監視装置。
前記第１検知方式が、パケットからファイルを構築してウイルスを検知するプロキシ方式であり、前記第２検知方式が、パケット単位でウイルスを検知するストリーム方式であることを特徴とする請求項１または２に記載のネットワーク監視装置。
前記第３判定部が、前記アクセス先のファイルタイプが動画又は音声である場合に、前記アクセス先が提供するコンテンツにリアルタイム性があると判定することを特徴とする請求項１〜３のいずれか１項に記載のネットワーク監視装置。
前記第１判定部が、制限対象であると判定した前記アクセス先が提供するコンテンツを一定期間記憶し、以降、前記コンテンツに対する前記検知部によるウイルス検知を前記一定期間だけ禁止することを特徴とする請求項１〜４のいずれか１項に記載のネットワーク監視装置。
ネットワーク監視装置におけるウイルス検知方法であって、
記憶部に記憶された複数のアクセス先が提供するコンテンツのカテゴリが制限対象であるか否かを、前記記憶部又はネットワークを介して接続される外部サーバを参照して判定する第１のステップと、
前記第１のステップで制限対象でないことが判定されたアクセス先が提供するコンテンツを受信し、前記コンテンツの属するカテゴリが危険か安全かを判定する第２のステップと、
前記第２のステップで安全と判定された前記コンテンツのファイルタイプを判定する第３のステップと、
前記第２のステップ又は前記第３のステップでアクセス可能と判定された前記コンテンツのウイルスを検知する第４のステップとを有し、
前記第４のステップが、
前記アクセス先が提供する前記コンテンツのカテゴリ及び／又はファイルタイプに応じて、前記ウイルスの検知方式を、第１検知方式と第２検知方式に切り替えることを特徴とするネットワーク監視装置におけるウイルス検知方法。