JP2019029939A - アドレス変更方法、ルート変更方法、サーバ装置およびセキュリティ装置 - Google Patents

Abstract

【課題】感染端末を適切に隔離する。【解決手段】ＤＨＣＰサーバ１０は、セキュリティ装置２０によってマルウェアの感染が検知された感染端末７０Ａのアドレス情報を取得する。そして、ＤＨＣＰサーバ１０は、取得した感染端末７０Ａのアドレス情報を用いて、感染端末７０Ａに対してアドレス情報の変更を通知する。続いて、ＤＨＣＰサーバ１０は、アドレス情報の変更を通知した感染端末７０Ａに対して、新しいアドレス情報を払い出す。【選択図】図１

Description

本発明は、アドレス変更方法、ルート変更方法、サーバ装置およびセキュリティ装置に関する。

近年、ワーム型のマルウェアはネットワーク内で増殖するため、脅威となっている。このようなマルウェアはネットワーク内で増殖する為、迅速に検知および対処を行うことが重要になる。従来、マルウェアを検知する為に企業ネットワーク内にセキュリティ装置を配備し、マルウェアを検知している。

また、感染端末を検知した際には通信をすぐに遮断することが感染拡大を防止する為に重要となる。迅速に対処する手法として、感染端末が収容されているスイッチに対してログインし、遠隔で対象装置を切り離す手法がある。

企業ネットワークでは末端の端末を収容しているスイッチは設定機能を持たない安価なスイッチが使用されている事が多い。このため、集約スイッチ（設定機能を持つスイッチ）を通過する感染通信に対しては対処を行う事が出来るが、安価なスイッチに収容されている端末に対しては対処を行う事が出来ず、この集約スイッチ配下で継続して感染が行われるケースがある。

また、遠隔で端末通信を遮断する手法としてＡＲＰ（Address Resolution Protocol）パケットを偽装する手法がある。具体的にはワーム遮断装置が感染端末へ偽装したＡＲＰパケットをユニキャストで送信することで、ＭＡＣテーブルを書き換えて感染端末の通信を遮断する手法である。つまり、宛先ＭＡＣアドレスを偽ったＡＲＰパケットを送信することで感染端末のＡＲＰテーブルを書き換え、感染端末から正常端末への通信をワーム遮断装置で引き込む事が出来る。

松谷健史、"ＡＲＰを利用したローカルエリアネットワークにおける不正接続の排除"、情報処理学会シンポジウム論文集 2004年12月1日、2004巻、15号、p.221-225

しかしながら、従来の技術では、感染端末を適切に隔離することが出来ない場合があるという課題があった。例えば、従来のＡＲＰパケットを偽装する手法は、ＡＲＰスプーフィングと同様の手法であり、攻撃にも利用されるため、セキュリティ対策としてスイッチがＡＲＰスプーフィングを禁止している場合が多く、使用できないケースがある。

上述した課題を解決し、目的を達成するために、本発明のアドレス変更方法は、サーバ装置によって実行されるアドレス変更方法であって、マルウェアの感染が検知された感染端末のアドレス情報を取得する取得工程と、前記取得工程によって取得された感染端末のアドレス情報を用いて、前記感染端末に対してアドレス情報の変更を通知する通知工程と、前記通知工程によってアドレス情報の変更を通知した感染端末に対して、新しいアドレス情報を払い出すアドレス払出工程とを含むことを特徴とする。

また、本発明のルート変更方法は、セキュリティ装置によって実行されるルート変更方法であって、マルウェアに感染した感染端末を検知する検知工程と、前記検知工程によって検知された感染端末のアドレス情報を用いて、前記感染端末と同一セグメントの正常端末を特定する特定工程と、前記特定工程によって特定された正常端末または前記感染端末に対して遠隔ログインし、前記正常端末と前記感染端末とが通信ができないようにスタティックルートを変更する変更工程とを含むことを特徴とする。

本発明によれば、感染端末を適切に隔離することができるという効果を奏する。

図１は、第一の実施の形態に係る通信システムの構成の一例を示す図である。 図２は、第一の実施の形態に係るＤＨＣＰサーバの構成を示すブロック図である。 図３は、感染端末アドレスデータのデータ構成の一例を示す図である。 図４は、ＡＲＰテーブルのデータ構成の一例を示す図である。 図５は、第一の実施の形態に係るＤＨＣＰサーバのアドレス変更処理を説明する図である。 図６は、第一の実施の形態に係るＤＨＣＰサーバのアドレス変更処理を説明する図である。 図７は、第一の実施の形態に係る通信システムによる処理を説明するシーケンス図である。 図８は、第二の実施の形態に係るセキュリティ装置の構成を示すブロック図である。 図９は、第二の実施の形態に係るセキュリティ装置のルート変更処理を説明する図である。 図１０は、第二の実施の形態に係るセキュリティ装置のルート変更処理を説明する図である。 図１１は、第二の実施の形態に係る通信システムによる処理を説明するシーケンス図である。 図１２は、第二の実施の形態に係る通信システムによる処理を説明するシーケンス図である。 図１３は、アドレス変更プログラムまたはルート変更プログラムを実行するコンピュータを示す図である。

以下に、本願に係るアドレス変更方法、ルート変更方法、サーバ装置およびセキュリティ装置の実施の形態を図面に基づいて詳細に説明する。なお、この実施の形態により本願に係るアドレス変更方法、ルート変更方法、サーバ装置およびセキュリティ装置が限定されるものではない。

［第一の実施の形態］
以下の実施の形態では、第一の実施の形態に係る通信システムの構成、ＤＨＣＰサーバの構成、通信システムにおける全体の処理の流れを順に説明し、最後に第一の実施の形態による効果を説明する。

［通信システムの構成］
まず、図１を用いて、第一の実施の形態に係る通信システムについて説明する。図１は、第一の実施の形態に係る通信システムの構成の一例を示す図である。第一の実施の形態に係る通信システム１は、企業ネットワークに配置されたＤＨＣＰサーバ１０、セキュリティ装置２０、ルータ３０、プロキシサーバ４０、集約スイッチ５０、複数のスイッチ６０Ａ〜６０Ｄ、および複数の端末７０Ａ〜７０Ｅを有する。企業ネットワークは、例えば企業内のＬＡＮ（Local Area Network）である。なお、本発明の対象となるネットワークは、企業ネットワークに限定されるものではない。

また、複数の端末７０Ａ〜７０Ｅのうち、端末７０Ａは、マルウェアに感染している端末であり、適宜「感染端末」と記載する。また、端末７０Ｂ〜７０Ｅは、マルウェアに感染していない端末であり、適宜「正常端末」と記載する。なお、各スイッチ６０Ａ〜６０Ｄおよび各端末７０Ａ〜７０Ｅは、それぞれ同様の構成を有しており、特に区別なく説明する場合には、スイッチ６０、端末７０と記載する。また、図１に示す各装置の数は、あくまで一例であり、これに限られるものではない。

ＤＨＣＰサーバ１０は、端末７０Ａ〜７０ＥにＩＰアドレス等の情報を発行するサーバ装置である。また、第一の実施の形態に係るＤＨＣＰサーバ１０は、マルウェアの感染が検知された感染端末７０ＡのＩＰアドレスを取得し、感染端末のＩＰアドレスを用いて、感染端末７０Ａに対してＩＰアドレスの変更を通知するためにＦｏｒｃｅ ｒｅｎｅｗを送信し、ＩＰアドレスの変更を通知した感染端末７０Ａに対して、新しいＩＰアドレスを払い出す。

セキュリティ装置２０は、マルウェアに感染した端末７０を検知する装置である。セキュリティ装置２０は、マルウェアに感染した感染端末７０Ａの送信元ＩＰアドレスをＤＨＣＰサーバ１０に通知する。

ルータ３０は、端末７０において送受信されるパケットを中継する中継装置である。また、ルータ３０は、端末７０のＩＰアドレスとＭＡＣアドレスとを対応付けて示した情報であるＡＲＰテーブルを有する。

プロキシサーバ４０は、端末７０のインターネット上のサーバ等へのＷｅｂアクセスを中継するサーバである。集約スイッチ５０は、端末７０の送受信パケットを中継する通信機器である。スイッチ６０Ａ〜６０Ｄは、配下の端末７０の送受信パケットを中継する通信機器である。なお、集約スイッチ５０が、感染通信に対して対処ができるように、接続を許可する条件を設定することができる設定機能を有しており、スイッチ６０が、集約スイッチ５０に比して安価なスイッチであり、設定機能を有していないものとする。

複数の端末７０Ａ〜７０Ｅは、企業ネットワークにおける部署Ａネットワークに配置された、企業における従業員等が使用するＰＣ（Personal Computer）等の端末である。また、図１の例では、端末７０Ａ〜７０Ｃが、スイッチ６０Ｂに収容されており、端末７０Ｄがスイッチ６０Ｃに収容されており、端末７０Ｅがスイッチ６０Ｄに収容されている。

［ＤＨＣＰサーバの構成］
次に、図２を用いて、図１に示したＤＨＣＰサーバ１０の構成を説明する。図２は、第一の実施の形態に係るＤＨＣＰサーバ１０の構成を示すブロック図である。図２に示すように、このＤＨＣＰサーバ１０は、送信部１１、受信部１２、記憶部１３、および制御部１４を有する。以下にこれらの各部の処理を説明する。

送信部１１は、他の装置にデータを送信する。また、受信部１２は、他の装置からデータを受信する。例えば、送信部１１及び受信部１２は、ＮＩＣ（Network Interface Card）である。例えば、送信部１１は、端末７０に対してＦｏｒｃｅ ｒｅｎｅｗを送信する。また、例えば、受信部１２は、セキュリティ装置２０から感染端末のＩＰアドレスを受信する。

記憶部１３は、ＨＤＤ（Hard Disk Drive）、ＳＳＤ（Solid State Drive）、光ディスク等の記憶装置である。なお、記憶部１３は、ＲＡＭ（Random Access Memory）、フラッシュメモリ、ＮＶＳＲＡＭ（Non Volatile Static Random Access Memory）等のデータを書き換え可能な半導体メモリであってもよい。記憶部１３は、制御部１４で実行されるＯＳや各種プログラムを記憶する。さらに、記憶部１３は、プログラムの実行で用いられる各種情報を記憶する。また、記憶部１３は、感染端末アドレスデータ１３１およびＡＲＰテーブル１３２を記憶する。

記憶部１３は、マルウェアに感染した端末７０のＩＰアドレスを示す感染端末アドレスデータ１３１を記憶する。図３は、感染端末アドレスデータのデータ構成の一例を示す図である。図３に例示するように、感染端末アドレスデータ１３１では、マルウェアに感染した端末７０を一意に識別する情報を示す「感染端末」と、感染端末のＩＰアドレスを示す「アドレス」とを対応付けて記憶されている。図３の例では、例えば、感染端末アドレスデータ１３１は、感染端末「端末Ａ」と、アドレス「192.168.1.1」とが対応付けて記憶されている。

また、記憶部１３は、ルータ３０から受信したＡＲＰテーブル１３２を記憶する。図４は、ＡＲＰテーブルのデータ構成の一例を示す図である。図４に例示するように、ＡＲＰテーブル１３２では、各端末７０のＩＰアドレスを示す「アドレス」と、各端末のインタフェースの通信規格を示す「インタフェース」を対応付けて記憶されている。図４の例では、例えば、ＡＲＰテーブル１３２は、アドレス「192.168.1.2」と、インタフェース「FastEthernet0」とが対応付けて記憶されている。

制御部１４は、例えば、ＣＰＵ（Central Processing Unit）、ＭＰＵ（Micro Processing Unit）等の電子回路や、ＡＳＩＣ（Application Specific Integrated Circuit）、ＦＰＧＡ（Field Programmable Gate Array）等の集積回路である。制御部１４は、各種の処理手順などを規定したプログラムおよび所要データを格納するための内部メモリを有し、これらによって種々の処理を実行するが、特に本発明に密接に関連するものとしては、取得部１４１、通知部１４２およびアドレス払出部１４３を有する。

取得部１４１は、マルウェアの感染が検知された感染端末のＩＰアドレスを取得する。例えば、取得部１４１は、マルウェアに感染した感染端末のＩＰアドレスと感染端末の識別情報とをセキュリティ装置２０から取得し、取得したＩＰアドレスおよび識別情報を感染端末アドレスデータとして、記憶部１３に格納する。

通知部１４２は、取得された感染端末のＩＰアドレスを用いて、感染端末に対してＩＰアドレスの変更を通知する。具体的には、通知部１４２は、感染端末のＩＰアドレスの再設定を指示するＦｏｒｃｅ ｒｅｎｅｗを通知する。Ｆｏｒｃｅ ｒｅｎｅｗは、ＤＨＣＰサーバ１０から端末７０へのＩＰアドレスの再構成要求メッセージであり、ＤＨＣＰサーバ１０から端末７０へＩＰアドレスの再設定を指示できるメッセージである。

アドレス払出部１４３は、ＩＰアドレスの変更を通知した感染端末に対して、新しいＩＰアドレスを払い出す。具体的には、アドレス払出部１４３は、感染端末の新しいＩＰアドレスが他の正常端末のＩＰアドレスと別セグメントとなるように、新しいＩＰアドレスを払い出す。

そして、アドレス払出部１４３は、ルータ３０のＡＲＰテーブルを更新するとともに、更新したＡＲＰテーブルを確認する確認信号をルータ３０に送信する。その後、アドレス払出部１４３は、ＡＲＰテーブルをルータ３０から受信すると、記憶部１３に格納する。そして、アドレス払出部１４３は、自身が払い出したアドレスが正しく感染端末に反映され、ルータ３０のＡＲＰテーブルから感染端末のＩＰアドレスが削除されたかを確認する。

ここで、図５および図６の例を用いて、第一の実施の形態に係るＤＨＣＰサーバ１０におけるアドレス変更処理を説明する。図５および図６は、第一の実施の形態に係るＤＨＣＰサーバのアドレス変更処理を説明する図である。図５に例示するように、まず、セキュリティ装置２０は、マルウェアに感染した感染端末７０Ａを検知すると、感染端末７０Ａの送信元ＩＰアドレス「192.168.1.1」をＤＨＣＰサーバ１０に通知する（図５の（１）参照）。そして、ＤＨＣＰサーバ１０は、感染端末７０Ａの送信元ＩＰアドレス「192.168.1.1」を受信すると、感染端末７０Ａに対してアドレス変更のための、ＤＨＣＰ Ｆｏｒｃｅｒｅｎｅｗを送信する（図５の（２）参照）。

続いて、図６に例示するように、感染端末７０Ａは、ＤＨＣＰ Ｆｏｒｃｅｒｅｎｅｗを受信して端末のＩＰアドレスを「192.168.1.1」から「172.30.203.1」へ変更する（図６の（３）参照）。そして、ＤＨＣＰサーバ１０は、ルータ３０のＡＲＰテーブルを更新するとともに、更新したＡＲＰテーブルを確認する確認信号をルータ３０に送信する（図６の（４）参照）。

その後、ＤＨＣＰサーバ１０は、ＡＲＰテーブルをルータ３０から受信すると、自身が新しく払い出したＩＰアドレスが正しく感染端末７０Ａに反映され、ルータ３０のＡＲＰテーブルから感染端末７０ＡのＩＰアドレスが削除されたかを確認する（図６の（５）参照）。つまり、ＤＨＣＰサーバ１０は、自身が払出したＩＰアドレスがルータ３０のＡＲＰテーブルから消失することで、感染端末７０Ａに新しく払い出したＩＰアドレスが正しく反映されたことを確認する。図６の例では、ＤＨＣＰサーバ１０は、感染端末７０ＡのＩＰアドレス「192.168.1.1」がＡＲＰテーブルから削除されたか否かを判定し、削除されていることを確認できた場合には、感染端末７０Ａに新しく払い出したＩＰアドレスが正しく反映されたものとして処理を終了する。

このように、第一の実施の形態に係るＤＨＣＰサーバ１０では、セキュリティ装置２０と連携して、強制的に感染端末７０ＡのＩＰアドレスを変更することで、ＡＲＰスプーフィングを行うことなく、感染端末７０Ａの通信を遮断することが可能である。

［通信システムの処理の流れ］
次に、図７を用いて、第一の実施の形態に係る通信システム１の処理の流れを説明する。図７は、第一の実施の形態に係る通信システムによる処理を説明するシーケンス図である。

図７に示すように、セキュリティ装置２０は、マルウェアに感染した感染端末７０Ａを検知すると（ステップＳ１０１）、感染端末７０Ａの送信元ＩＰアドレスをＤＨＣＰサーバ１０に通知する（ステップＳ１０２）。

そして、ＤＨＣＰサーバ１０は、感染端末７０Ａの送信元ＩＰアドレスを受信すると、感染端末７０Ａに対してアドレス変更のための、Ｆｏｒｃｅ ｒｅｎｅｗを送信する（ステップＳ１０３）。

感染端末７０Ａは、Ｆｏｒｃｅ ｒｅｎｅｗを受信すると、ＩＰアドレスの取得要求であるＤＨＣＰ ＲｅｑｕｅｓｔをＤＨＣＰサーバ１０に送信する。そして、ＤＨＣＰサーバ１０は、感染端末７０Ａへの取得拒否（エラー）メッセージであるＤＨＣＰ ＮＡＣＫを感染端末７０Ａに応答する。そして、感染端末７０Ａは、ＤＨＣＰサーバ１０の探索メッセージであるＤＨＣＰ Ｄｉｓｃｏｖｅｒを送信する（ステップＳ１０６）。

そして、ＤＨＣＰサーバ１０は、ＤＨＣＰ Ｄｉｓｃｏｖｅｒを受信すると、その応答として、ＤＨＣＰ Ｏｆｆｅｒを返信する（ステップＳ１０７）。そして、感染端末７０Ａは、ＤＨＣＰ Ｏｆｆｅｒを受信すると、応答として、ＤＨＣＰ ＲｅｑｕｅｓｔをＤＨＣＰサーバ１０に送信する。その後、ＤＨＣＰサーバ１０は、ＤＨＣＰ Ｒｅｑｕｅｓｔの応答として、ＤＨＣＰ Ａｃｋを感染端末７０Ａに送信する。このように、ステップＳ１０３〜Ｓ１０９の一連の処理により、感染端末７０Ａへ新しいＩＰアドレスが払い出される。

そして、感染端末７０Ａは、ＩＰアドレスの変更を行う（ステップＳ１１０）。また、ＤＨＣＰサーバ１０は、ルータ３０のＡＲＰテーブルを更新するとともに、更新したＡＲＰテーブルを確認する確認信号をルータ３０に送信する（ステップＳ１１１）。

その後、ＤＨＣＰサーバ１０は、ＡＲＰテーブルをルータ３０から受信すると、感染端末７０ＡのＩＰアドレス「192.168.1.1」がＡＲＰテーブルから削除されたか否かを判定し、削除されていることを確認できた場合には、感染端末７０Ａに新しく払い出したＩＰアドレスが正しく反映されたものとして処理を終了する（ステップＳ１１２）。

［第一の実施の形態の効果］
このように、第一の実施の形態に係るＤＨＣＰサーバ１０は、マルウェアの感染が検知された感染端末のアドレス情報を取得し、感染端末のアドレス情報を用いて、感染端末に対してアドレス情報の変更を通知し、アドレス情報の変更を通知した感染端末に対して、新しいアドレス情報を払い出す。このように、ＤＨＣＰサーバ１０は、強制的にアドレスを変更することで感染端末を適切に隔離することが可能である。

［第二の実施の形態］
上述した第一の実施の形態では、強制的にアドレスを変更することで感染端末を隔離する場合を説明したが、これに限定されるものではない。例えば、端末７０のルーティングを変更することで感染端末を隔離するようにしてもよい。

そこで、以下では、第二の実施の形態に係るセキュリティ装置２０Ａが、正常端末または感染端末に対して遠隔ログインし、正常端末と感染端末とが通信ができないようにスタティックルートを変更する場合について説明する。なお、第一の実施の形態に係る通信システムと同様の構成や処理については説明を適宜省略する。

図８は、第二の実施の形態に係るセキュリティ装置の構成を示すブロック図である。図８に示すように、第二の実施の形態に係るセキュリティ装置２０Ａは、送信部２１、受信部２２、記憶部２３、および制御部２４を有する。以下にこれらの各部の処理を説明する。

送信部２１は、他の装置にデータを送信する。また、受信部２２は、他の装置からデータを受信する。例えば、送信部２１および受信部２２は、ＮＩＣである。記憶部２３は、ＨＤＤ、ＳＳＤ、光ディスク等の記憶装置である。また、記憶部２３は、感染端末アドレスデータ２３１を記憶する。

制御部２４は、例えば、ＣＰＵ、ＭＰＵ等の電子回路や、ＡＳＩＣ、ＦＰＧＡ等の集積回路である。制御部２４は、各種の処理手順などを規定したプログラムおよび所要データを格納するための内部メモリを有し、これらによって種々の処理を実行するが、特に本発明に密接に関連するものとしては、検知部２４１、特定部２４２および変更部２４３を有する。

検知部２４１は、マルウェアに感染した感染端末を検知する。マルウェアの感染が検知された感染端末のＩＰアドレスを取得する。具体的には、検知部２４１は、マルウェアに感染した感染端末を検知し、検知した感染端末のＩＰアドレスおよび感染端末の識別情報を感染端末アドレスデータとして、記憶部２３に格納する。

特定部２４２は、検知部２４１によって検知された感染端末のＩＰアドレスを用いて、感染端末と同一セグメントの正常端末を特定する。なお、ＤＨＣＰサーバ１０は、各端末７０のＩＰアドレスをＤＢ（Data Base）に管理している（図示略）。セキュリティ装置２０Ａは、ＤＨＣＰサーバ１０ＡのＤＢを確認することで同一セグメントの端末７０を把握できるものとする。

変更部２４３は、特定部２４２によって特定された正常端末または感染端末に対して遠隔ログインし、正常端末と感染端末とが通信ができないようにスタティックルートを変更する。例えば、変更部２４３は、特定部２４２によって特定された正常端末または感染端末に対してＴｅｌｎｅｔを用いて遠隔ログインする。

ここで、変更部２４３は、正常端末または感染端末のいずれかに対して遠隔ログインし、正常端末と感染端末とが通信ができないようにスタティックルートを変更すればよい。なお、変更部２４３は、正常端末および感染端末のどちらに対して遠隔ログインを行うかは、例えば、ユーザの設定により選べるようにしてもよいし、初期設定の段階でどちらを遠隔ログインするかが予め決まっていてもよい。以下の説明では、正常端末に対して遠隔ログインを行う場合と、感染端末に対して遠隔ログインを行う場合とについて、それぞれ説明する。

ここで、図９および図１０の例を用いて、第二の実施の形態に係るセキュリティ装置２０Ａにおけるルート変更処理を説明する。図９および図１０は、第二の実施の形態に係るセキュリティ装置のルート変更処理を説明する図である。図９が、正常端末に対して遠隔ログインを行う場合の例を示す図であり、図１０が、異常端末に対して遠隔ログインを行う場合の例を示す図である。

図９に例示するように、まず、セキュリティ装置２０Ａは、マルウェアに感染した感染端末７０Ａを検知すると（図９の（１）参照）、感染端末７０Ａと同一セグメントの正常端末７０Ｂ、７０ＣのＩＰアドレスをＤＨＣＰサーバ１０ＡのＤＢから確認する（図９の（２）参照）。

続いて、セキュリティ装置２０Ａは、同一セグメント内の正常端末７０Ｂ、７０Ｃへ遠隔ログインを実施する（（図９の（３）参照）。例えば、セキュリティ装置２０Ａは、正常端末７０Ｂ、７０Ｃに対してＴｅｌｎｅｔを用いて遠隔ログインする。そして、セキュリティ装置２０Ａは、感染端末７０ＡへのＲｅｐｌｙを存在しないネットワークへ送信するようにスタティックルートを記述する（（図９の（４）参照）。例えば、セキュリティ装置２０Ａは、Ｒｏｕｔｅ ａｄｄコマンドにより、存在しないネットワークのＩＰアドレス「172.30.203.1」をスタティックルートに記述し、存在しないネットワークを経由して感染端末７０Ａと通信を行うように設定する。つまり、セキュリティ装置２０Ａは、正常端末７０Ｂ、７０Ｃに対して感染端末７０Ａへの応答を返さないように強制的にスタティックルートを記述する。

また、図１０に示すように、セキュリティ装置２０Ａは、マルウェアに感染した感染端末７０Ａを検知すると（図１０の（１）参照）、感染端末７０Ａの送信元ＩＰアドレス「192.168.1.1」をＤＨＣＰサーバ１０Ａに通知する（図１０の（１）参照）。そして、セキュリティ装置２０Ａは、感染端末７０ＡのＩＰアドレスへ遠隔ログインを実施する（図１０の（２）参照）。例えば、ＤＨＣＰサーバ１０Ａは、感染端末７０Ａに対してＴｅｌｎｅｔを用いて遠隔ログインする。

その後、セキュリティ装置２０Ａは、同一セグメントの正常端末７０Ｂ、７０ＣへのＲｅｑｕｅｓｔを存在しないネットワークへ送信するようにスタティックルートを記述する（（図１０の（３）参照）。例えば、セキュリティ装置２０Ａは、Ｒｏｕｔｅ ａｄｄコマンドにより、存在しないネットワークのＩＰアドレス「172.30.203.1」をスタティックルートに記述し、存在しないネットワークを経由して正常端末７０Ｂ、７０Ｃと通信を行うように設定する。つまり、セキュリティ装置２０Ａは、感染端末７０Ａが同一セグメントの正常端末７０Ｂ、７０Ｃと通信を実施できないようにスタティックルートを記述する。

続いて、図１１および図１２を用いて、第二の実施の形態に係る通信システムによる処理を説明する。図１１および図１２は、第二の実施の形態に係る通信システムによる処理を説明するシーケンス図である。図１１が、正常端末に対して遠隔ログインを行う場合の処理の流れを説明するシーケンス図であり、図１２が、異常端末に対して遠隔ログインを行う場合の処理の流れを説明するシーケンス図である。

図１１に示すように、セキュリティ装置２０Ａは、マルウェアに感染した感染端末を検知すると（ステップＳ２０１）、感染端末と同一セグメントの正常端末７０Ｂ、７０ＣのＩＰアドレスをＤＨＣＰサーバ１０Ａに確認する（ステップＳ２０２）。

そして、セキュリティ装置２０Ａは、同一セグメントの正常端末７０Ｂ、７０ＣのＩＰアドレスを確認すると、同一セグメント内の正常端末７０Ｃへ遠隔ログインを実施し（ステップＳ２０３）、感染端末７０ＡへのＲｅｐｌｙを存在しないネットワークへ送信するようにスタティックルートを設定する（ステップＳ２０４）。さらに、セキュリティ装置２０Ａは、同一セグメント内の正常端末７０Ｂへ遠隔ログインを実施し（ステップＳ２０５）、感染端末７０ＡへのＲｅｐｌｙを存在しないネットワークへ送信するようにスタティックルートを設定する（ステップＳ２０６）。

また、図１２に示すように、セキュリティ装置２０Ａは、マルウェアに感染した感染端末を検知すると（ステップＳ３０１）、感染端末７０Ａに対して遠隔ログインを実施する（ステップＳ３０２）。そして、セキュリティ装置２０Ａは、同一セグメントの正常端末７０Ｂ、７０ＣへのＲｅｑｕｅｓｔを存在しないネットワークへ送信するようにスタティックルートを設定する（ステップＳ３０３）。

［第二の実施の形態の効果］
このように、第二の実施の形態に係るセキュリティ装置２０Ａは、マルウェアに感染した感染端末を検知し、感染端末のＩＰアドレスを用いて、感染端末と同一セグメントの正常端末を特定し、正常端末または感染端末に対して遠隔ログインし、正常端末と感染端末とが通信ができないようにスタティックルートを変更する。このように、セキュリティ装置２０Ａは、正常端末または感染端末のルーティングを強制的に変更することで感染端末を適切に隔離することが可能である。

［システム構成等］
また、図示した各装置の各構成要素は機能概念的なものであり、必ずしも物理的に図示の如く構成されていることを要しない。すなわち、各装置の分散・統合の具体的形態は図示のものに限られず、その全部または一部を、各種の負荷や使用状況などに応じて、任意の単位で機能的または物理的に分散・統合して構成することができる。さらに、各装置にて行なわれる各処理機能は、その全部または任意の一部が、ＣＰＵおよび当該ＣＰＵにて解析実行されるプログラムにて実現され、あるいは、ワイヤードロジックによるハードウェアとして実現され得る。

また、本実施の形態において説明した各処理のうち、自動的におこなわれるものとして説明した処理の全部または一部を手動的におこなうこともでき、あるいは、手動的におこなわれるものとして説明した処理の全部または一部を公知の方法で自動的におこなうこともできる。この他、上記文書中や図面中で示した処理手順、制御手順、具体的名称、各種のデータやパラメータを含む情報については、特記する場合を除いて任意に変更することができる。

［プログラム］
図１３は、アドレス変更プログラムまたはルート変更プログラムを実行するコンピュータを示す図である。コンピュータ１０００は、例えば、メモリ１０１０、ＣＰＵ（Central Processing Unit）１０２０を有する。また、コンピュータ１０００は、ハードディスクドライブインタフェース１０３０、ディスクドライブインタフェース１０４０、シリアルポートインタフェース１０５０、ビデオアダプタ１０６０、ネットワークインタフェース１０７０を有する。これらの各部は、バス１０８０によって接続される。

メモリ１０１０は、ＲＯＭ（Read Only Memory）１０１１及びＲＡＭ（Random Access Memory）１０１２を含む。ＲＯＭ１０１１は、例えば、ＢＩＯＳ（Basic Input Output System）等のブートプログラムを記憶する。ハードディスクドライブインタフェース１０３０は、ハードディスクドライブ１０９０に接続される。ディスクドライブインタフェース１０４０は、ディスクドライブ１１００に接続される。例えば磁気ディスクや光ディスク等の着脱可能な記憶媒体が、ディスクドライブ１１００に挿入される。シリアルポートインタフェース１０５０は、例えばマウス１０５１、キーボード１０５２に接続される。ビデオアダプタ１０６０は、例えばディスプレイ１０６１に接続される。

ハードディスクドライブ１０９０は、例えば、ＯＳ１０９１、アプリケーションプログラム１０９２、プログラムモジュール１０９３、プログラムデータ１０９４を記憶する。すなわち、ＤＨＣＰサーバ１０の各処理を規定するプログラムは、コンピュータにより実行可能なコードが記述されたプログラムモジュール１０９３として実装される。プログラムモジュール１０９３は、例えばハードディスクドライブ１０９０に記憶される。例えば、装置における機能構成と同様の処理を実行するためのプログラムモジュール１０９３が、ハードディスクドライブ１０９０に記憶される。なお、ハードディスクドライブ１０９０は、ＳＳＤ（Solid State Drive）により代替されてもよい。

また、上述した実施の形態の処理で用いられる設定データは、プログラムデータ１０９４として、例えばメモリ１０１０やハードディスクドライブ１０９０に記憶される。そして、ＣＰＵ１０２０が、メモリ１０１０やハードディスクドライブ１０９０に記憶されたプログラムモジュール１０９３やプログラムデータ１０９４を必要に応じてＲＡＭ１０１２に読み出して実行する。

なお、プログラムモジュール１０９３やプログラムデータ１０９４は、ハードディスクドライブ１０９０に記憶される場合に限らず、例えば着脱可能な記憶媒体に記憶され、ディスクドライブ１１００等を介してＣＰＵ１０２０によって読み出されてもよい。あるいは、プログラムモジュール１０９３及びプログラムデータ１０９４は、ネットワーク、ＷＡＮを介して接続された他のコンピュータに記憶されてもよい。そして、プログラムモジュール１０９３及びプログラムデータ１０９４は、他のコンピュータから、ネットワークインタフェース１０７０を介してＣＰＵ１０２０によって読み出されてもよい。

１０、１０Ａ ＤＨＣＰサーバ
１１、２１ 送信部
１２、２２ 受信部
１３、２３ 記憶部
１４、２４ 制御部
２０、２０Ａ セキュリティ装置
３０ ルータ
４０ プロキシサーバ
５０ 集約スイッチ
６０Ａ〜６０Ｄ スイッチ
７０Ａ〜７０Ｅ 端末
１３１ 感染端末アドレスデータ
１３２ ＡＲＰテーブル
１４１ 取得部
１４２ 通知部
１４３ アドレス払出部
２４１ 検知部
２４２ 特定部
２４３ 変更部

Claims (7)

1. サーバ装置によって実行されるアドレス変更方法であって、
   マルウェアの感染が検知された感染端末のアドレス情報を取得する取得工程と、
   前記取得工程によって取得された感染端末のアドレス情報を用いて、前記感染端末に対してアドレス情報の変更を通知する通知工程と、
   前記通知工程によってアドレス情報の変更を通知した感染端末に対して、新しいアドレス情報を払い出すアドレス払出工程と
   を含むことを特徴とするアドレス変更方法。
2. 前記通知工程は、前記感染端末のＩＰアドレスの再設定を指示するＦｏｒｃｅ ｒｅｎｅｗを通知することを特徴とする請求項１に記載のアドレス変更方法。
3. 前記アドレス払出工程は、前記感染端末の新しいＩＰアドレスが他の正常端末のＩＰアドレスと別セグメントとなるように、新しいアドレス情報を払い出すことを特徴とする請求項１に記載のアドレス変更方法。
4. セキュリティ装置によって実行されるルート変更方法であって、
   マルウェアに感染した感染端末を検知する検知工程と、
   前記検知工程によって検知された感染端末のアドレス情報を用いて、前記感染端末と同一セグメントの正常端末を特定する特定工程と、
   前記特定工程によって特定された正常端末または前記感染端末に対して遠隔ログインし、前記正常端末と前記感染端末とが通信ができないようにスタティックルートを変更する変更工程と
   を含むことを特徴とするルート変更方法。
5. 前記変更工程は、前記特定工程によって特定された前記正常端末または前記感染端末に対してＴｅｌｎｅｔを用いて遠隔ログインすることを特徴とする請求項４に記載のルート変更方法。
6. マルウェアの感染が検知された感染端末のアドレス情報を取得する取得部と、
   前記取得部によって取得された感染端末のアドレス情報を用いて、前記感染端末に対してアドレス情報の変更を通知する通知部と、
   前記通知部によってアドレス情報の変更を通知した感染端末に対して、新しいアドレス情報を払い出すアドレス払出部と
   を有することを特徴とするサーバ装置。
7. マルウェアに感染した感染端末を検知する検知部と、
   前記検知部によって検知された感染端末のアドレス情報を用いて、前記感染端末と同一セグメントの正常端末を特定する特定部と、
   前記特定部によって特定された正常端末または前記感染端末に対して遠隔ログインし、前記正常端末と前記感染端末とが通信ができないようにスタティックルートを変更する変更部と
   を有することを特徴とするセキュリティ装置。

Images