JP2020107019A - 報処理装置、情報処理方法、情報処理システム及びプログラム - Google Patents

Abstract

【課題】通信制限時においても、外部装置へのアクセスをプロセス毎に制御することを可能にする。【解決手段】外部装置と通信するプロセスが動作する情報処理装置であって、プロセスを識別する識別情報を取得する取得手段と、外部装置との通信を制限する通信制限手段と、通信制限手段にて通信が制限されている場合、前記プロセスを識別する識別情報に基づいて、予め定められたプロセスが外部装置へアクセスすることを許可する制御手段とを備える。【選択図】図７

Description

本発明は、情報処理装置、情報処理方法、情報処理システム及びプログラムに関する。

パーソナルコンピュータの普及や通信技術の進展などにより、インターネットは、子供を含む幅広い層に利用されるに至っている。その多くの利便性によって、インターネットへのアクセスは、ビジネス、学校、家庭生活において、我々の毎日の活動にほとんど不可欠のものになっている。しかし近年、コンピュータやコンピュータ利用者に害を成す、不正な動作を行うコンピュータウィルスが蔓延している。こうしたコンピュータウィルスに感染した際の対応として、感染したコンピュータをネットワークから遮断する方法が存在する。しかし、ウィルスの調査またはアンチウィルスの定義ファイルアップデートなどは、ネットワーク接続を行っていないと対処できない。このような問題に基づき、ネットワーク遮断とウィルス対策・調査を並行して行うために、特許文献１では、通信の中継を行う対策機器が取得するパケット情報により、ネットワーク接続を許可するか否かを判定し、遮断する構成を開示している。

特開２００６−７４７０５号公報

しかし、特許文献１の構成では、プロトコル、宛先、またはポート番号によるネットワークアクセスの判定および制御（禁止／許可）は可能であるが、どのプロセスが通信を行ったかまでは判定できず、通信サービス制限時に特定のプロセスの通信のみを行うことは出来ない。また、特許文献１の構成では、外部装置へのアクセス毎に通信先のネットワークアドレスを対策機器のネットワークアドレスへと変更および転送を行わなければならない。即ち、外部装置へのアクセス毎にネットワーク負荷がかかることになる。また、特許文献１の構成では、対策機器のような中継装置が必要になる。本発明は上記課題を解決したものであり、通信制限時においても、外部装置へのアクセスをプロセス毎に制御することが可能な技術を提供することを目的とする。

本発明の一側面によると、外部装置と通信するプロセスが動作する情報処理装置であって、前記プロセスを識別する識別情報を取得する取得手段と、前記外部装置との通信を制限する通信制限手段と、前記通信制限手段にて通信が制限されている場合、前記プロセスを識別する識別情報に基づいて、予め定められたプロセスが前記外部装置へアクセスすることを許可する制御手段とを備えることを特徴とする。

本発明によれば、通信制限時においても、外部装置へのアクセスをプロセス毎に制御することを可能にする。

一実施形態による情報処理システムの構成図である。 一実施形態による通信命令を受信したときの処理を示すフローチャートである。 一実施形態による各種情報の構成を示す図である。 一実施形態によるプログラム監視処理を示すフローチャートである。 一実施形態によるプロセスを識別する情報とポート情報の対応リストを作成する処理を示すフローチャートである。 一実施形態による通信可否設定によって、プロセス毎のネットワーク接続の通信制御を行う処理を示すフローチャートである。 一実施形態による通信制限時におけるネットワーク接続の通信制御を行う処理を示すフローチャートである。

以下、添付図面を参照して本発明の実施の形態を詳細に説明する。なお、以下の説明する実施形態は、本発明を具体的に実施した場合の一例を示すもので、特許請求の範囲に記載の構成の具体的な実施例の１つである。

（情報処理システム）
図１は、本発明の一実施形態に係る情報処理システムの構成図である。図１に示すように、情報処理システムは、クライアントとして動作する端末装置（以下、クライアント装置と呼ぶ）１００、サーバとして動作する端末装置（以下、サーバ装置と呼ぶ）１２０、及びネットワーク１４０を有している。各端末装置はパーソナルコンピュータ、携帯情報端末などの情報処理装置であり、本実施形態ではそれぞれパーソナルコンピュータにより実現した場合を説明する。クライアント装置１００は、サーバ装置１２０とネットワーク１４０を介して接続されている。

［クライアント装置］
クライアント装置１００は、たとえば、ＣＰＵ（Central Processing Unit）１０１、ＲＯＭ（Read Only Memory）１０２、ＲＡＭ（Random Access Memory）１０３、ＨＤＤ(Hard Disc Drive)１０４、入力装置１０５、表示装置１０６、インタフェース１０７を備えている。後述するように、クライアント装置１００においては、外部装置と通信するプロセスが動作する。

ＣＰＵ１０１は、ＲＯＭ１０２やＨＤＤ１０４に記憶されているコンピュータプログラムに基づいて各部を制御するプロセッサである。ＲＡＭ１０３は書き込み可能メモリであり、ワークエリアとして機能する。ＲＯＭ１０２は不揮発性の記憶素子であり、ファームウエアなどを記憶する。ＨＤＤ１０４は大容量記憶装置であり、オペレーティングシステム、アプリケーションプログラムなどが記憶されている。なお、セキュリティソフトウェア１１８などもＨＤＤ１０４に格納される。

セキュリティソフトウェア１１８は、その詳細については後述する様に、クライアント装置１００を監視し、外部装置へのアクセスの監視、アクセスの制御機能を提供する。ＣＰＵ１０１と各部は、システムバス１１９を介して命令やデータの送受信を実行する。インタフェース１０７は、他の端末装置とネットワーク１４０を介して通信するための通信回路である。

また、ＨＤＤ１０４には、通信可否設定１０９、通信許可リスト１１０、被アクセスポート情報リスト１１１、プロセス識別情報リスト１１２が格納されている。通信可否設定１０９は、外部装置との通信を制限／許可する設定情報が格納されている。通信許可リスト１１０は、通信制限時において、外部装置との通信を許可する送信先ＩＰアドレス、プロトコル、送信先ポート番号、プロセス名、ポート番号（送信元ポート番号、送信先ポート番号）などが格納されている。

セキュリティソフト１１８は、任意のプログラム（プロセス）を監視して、任意のプログラムからＴＣＰポート又はＵＤＰポートへのアクセスを検知する。そして、検知したＴＣＰ又はＵＤＰポートアクセスのポート情報を、アクセスの元となったプロセスと関連付けた被アクセスポート情報として、被アクセスポート情報リスト１１１に格納する。なお、ポート情報は、例えば、通信ポートの種類（ＴＣＰ、ＵＤＰ等）、通信ポートのポート番号を含んでおり、被アクセスポート情報は、ポートのポート情報と該ポートにアクセスしたプロセス（プロセスを識別する情報）との対応関係を含む情報である。被アクセスポート情報は、さらに、プロセスに関連するユーザの情報を含むものであってもよい。

プロセス識別情報リスト１１２は、プロセスを識別する情報（たとえば、プロセス名、プロセスＩＤ、セッションＩＤ、ハッシュ値、フルパス等）が格納されている。

［サーバ装置］
サーバ装置１２０は、たとえば、ＣＰＵ１２１、ＲＯＭ１２２、ＲＡＭ１２３、ＨＤＤ１２４、入力装置１２５、表示装置１２６、インタフェース１２７を備えている。サーバ装置１２０はクライアント装置１００の動作を管理する管理装置として動作する。クライアント装置１００が有する構成要素と同一名称の構成要素は、上述したクライアント装置１００の構成要素と同等の機能を有する。なお、サーバ装置１２０のＨＤＤ１２４には、クライアント設定情報１３３なども格納される。

クライアント設定情報１３３には、例えば、外部装置との通信を禁止するクライアントのユーザ情報（アカウント名、ドメイン名、ユーザ名、ＰＣ名など）が記録されているＰＣリストや、外部装置との通信を許可する通信許可リストなどについての情報が格納される。通信許可リストには、送信先ＩＰアドレス・プロトコル・プロセス名・ポート番号（送信元ポート番号、送信先ポート番号）などの情報が含まれている。クライアント設定情報１３３は、管理者が入力して記録してもよいし、ネットワーク１４０を介して他の端末装置から受信してもよい。また、クライアント設定情報１３３は、クライアント装置１００が備えてもよい。例えば、通信許可リストをクライアント装置に所定のタイミング（例えば、一定時間毎、クライアント装置の起動時、クライアント装置からのリクエスト時など）にて送付し、該クライアント装置に設定される。

なお、以下の説明では、クライアント装置１００、サーバ装置１２０がパーソナルコンピュータであることを前提にしているが、これに限られない。すなわち、クライアント装置１００、サーバ装置１２０が一般的なパーソナルコンピュータと同等以上、若しくはそれに準ずる演算処理能力を有する機器であるならばその種類、機種は限定されるものではない。

［通信命令受信時の処理］
図２は、サーバ装置１２０により送信される通信命令（通信制限命令／通信許可命令）を受信した際の、クライアント装置１００の処理を示すフローチャートである。なお、サーバ装置１２０が通信命令（通信制限命令／通信許可命令）を送信するタイミングは、管理者の望む任意のタイミングで送信してもよいし、他のシステムで検出された何らかの引き金を元に自動で送信されてもよい。例えば、ウィルス検知システムからウィルスが検知された通知を元に通信制限命令を送信してもよいし、ウィルス駆除システムからウィルスが駆除された通知を元に通信許可命令を送信してもよい。

ステップＳ２０１で、サーバ装置１２０から通信命令を受信する。ステップＳ２０２で、受信した通信命令は、通信制限命令、又は通信許可命令かどうかを判定し、通信制限命令の場合、ステップＳ２０３で、クライアント装置１００の通信可否設定１０９を制限状態にする。通信許可命令の場合、ステップＳ３０４で、クライアント装置１００の通信可否設定１０９を許可状態にする。なお、通信可否設定による通信制御（制限／許可）については、後述する。

［プログラム監視処理］
図４は、クライアント装置１００において実行される、プログラム監視処理を示すフローチャートである。
ステップＳ４０１で、クライアント装置１００は任意のプログラムを起動する。その際に、セキュリティソフトウェア１１８は、プログラムの起動を検知する。なお、プログラムの起動の検知は、自動アップデートによる起動、ウィルス感染による起動、クライアント端末１００の起動時に起動など起動の方法は問わない。

ステップＳ４０２で、セキュリティソフトウェア１１８は、ステップＳ４０１で起動したプログラムの情報を取得する。取得する情報にはプログラム名（プロセス名）、ハッシュ値、フルパス、プロセスＩＤ、セッションＩＤなどが含まれる。これらの情報から、プロセスを識別する情報（プロセス名、プロセスＩＤ、セッションＩＤ、ハッシュ値、フルパスなど）を取得し、図３（ｂ）に示すように、プロセス識別情報リスト１１２に追加する。なお、プログラムの情報を取得するのは起動時に限らず、被アクセスポート情報リスト１１１を作成時に取得することも可能である。

ステップＳ４０３で、クライアント装置１００は、起動したプログラムの実行によりＩＰ通信をするために使用するポートにアクセスする。このアクセスとは、ポート作成、書き込み、読み込み、破棄などの処理を指す。その際にセキュリティソフトウェア１１８は、アクセスされた通信ポートのポート情報を取得する。ポート情報は、通信ポートの種類(ＴＣＰ、ＵＤＰ等)、通信ポートのポート番号等のポート情報を含む情報である。詳細は後述するが、ＴＣＰポートドライバやＵＤＰポートドライバをフィルタリングすることでポート情報を取得できる。なお、後述する処理では、ＴＣＰポート／ＵＤＰポートドライバのフィルタリングにより、ポート情報を取得しているが、これに限定されず、ＡＰＩ（Application Programming Interface）フックによりポートにアクセスしたＡＰＩのフック、ＯＳ標準のポート監視インタフェース(Windows Filterling Platform等)を利用する等により、ポート情報を収集してもよい。

通信ポートの種類を取得することより、同時に複数のプロトコルを監視することができ、より詳細な分析が可能となる。たとえばＴＣＰポートの監視をしているとＨＴＴＰプロトコルの監視ができ、ＵＤＰポートの監視によりＤＮＳプロトコルの監視を行うことができる。これによって、ＤＮＳにより得られたマシン名などとＨＴＴＰリクエストを組み合わせて、ＩＰアドレスではなくマシン名を利用したＷｅｂアクセス等の詳細分析が可能となる。また、プロトコル毎にアクセス制限をかけることが可能になる。

このようにして、ステップＳ４０３では、プロセスが外部装置と通信するために使用する通信ポートにアクセスしたことに応じて、当該通信ポートの特性を示すポート情報を取得する。最後に、ステップＳ４０４で、ステップＳ４０３で取得したポート情報と、Ｓ４０２で作成したプロセス識別情報リストから、被アクセスポート情報を生成して、被アクセスポート情報リスト１１１に記録する。

［被アクセスポート情報リスト作成処理］
図５は、セキュリティソフトウェア１１８が、ＴＣＰポートドライバとＵＤＰポートドライバをフィルタリングし、プロセスを識別する情報とポート情報との対応リストを作成する処理の手順を示すフローチャートである。この処理では、プロセスが通信ポートを使用するために用いるドライバ・ソフトウェアの入出力をフィルタリングすることにより、被アクセスポート情報を取得する。以下の各工程はクライアント装置１００が実行する。なお、後述する処理は、ＴＣＰポートドライバとＵＤＰポートドライバを用いてフィルタリングを行う処理について説明するが、ＴＣＰポートドライバのみ、或いは、ＵＤＰポートドライバのみでフィルタリングを行ってもよい。

ステップＳ５０１で、セキュリティソフトウェア１１８が作成したフィルタドライバをＴＣＰポートドライバとＵＤＰポートドライバにアタッチする。アタッチするタイミングは監視を開始した際などである。フィルタドライバをＴＣＰポートドライバやＵＤＰポートドライバにアタッチするとは、ＴＣＰポートやＵＤＰポートを介したデータ伝送のフィルタリングを開始する処理をいう。

ステップＳ５０２で、任意のプログラムが外部の装置と通信する際に、外部の装置と通信するためのＴＣＰポートもしくはＵＤＰポートにアクセスする。そして、ステップＳ５０３で、セキュリティソフトウェア１１８において、アタッチしたフィルタドライバにファイルオブジェクトの作成、書き込み、読み込みなどのイベントが通知される。ここで、ファイルオブジェクトとは、ファイル、デバイス、ディレクトリの情報を格納しているオブジェクトをいう。例えば、ファイルパス、ファイル名、ファイルへのアクセス権、デバイス情報などが格納されている。

ステップＳ５０４で、上記のイベントの情報から、ファイルオブジェクトを作成したプロセスを識別する情報を取得し、ステップＳ５０５で、ファイルオブジェクトからポート情報を取得する。この場合のポート情報とはポート種類、送信先ＩＰアドレスや送信元ポート番号を指す。

ステップＳ５０６で、Ｓ５０４、Ｓ５０５で取得したプロセスを識別する情報、ポート情報及びファイルオブジェクトなどから、被アクセスポート情報を作成する。ステップＳ５０７で、被アクセスポート情報リスト１１１内に同一の被アクセスポート情報（送信先ＩＰアドレス、プロトコル、送信先ポート番号、プロセス名、送信元ポート番号など）が存在した場合、リストには追加しない、もしくはリストの情報を上書きし、ステップＳ５０９に移行する。なお、リストの情報の上書きとは、既に存在する情報を該情報に更新、既に存在する情報を削除後に該情報をリストに追加、リストに該情報を追加後に既に存在する情報を削除することを含む。リスト内に同一の被アクセスポート情報が存在した場合、時間もしくはシーケンス番号などを付加しリストに追加することで、新しく追加された情報を識別できるようにし、リスト内で検索を行った際は、新しいものを優先して使用するように実装してもよい。

ステップＳ５０７において、同一の被アクセスポート情報が存在しない場合は、ステップＳ５０８で、被アクセスポート情報リスト１１１に格納して、ステップＳ５０９に移行する。ステップＳ５０９で、起動した任意のプログラムが、ＴＣＰ/ＵＤＰポートを破棄すると、ステップＳ５１０で、セキュリティソフトウェア１１８がアタッチしたフィルタドライバに、ファイルオブジェクト破棄イベントが通知される。

ステップＳ５１１で、ファイルオブジェクト破棄イベントにより削除されるファイルオブジェクトから、削除される被アクセスポート情報を特定して、ステップＳ５１２で、被アクセスポート情報リスト１１１から、削除対象として特定した被アクセスポート情報を削除する。複数該当する情報が登録されていた場合は、該当する情報をすべて削除する。またはファイルオブジェクト破棄イベントでなく、一定間隔で被アクセスポート情報１１１を削除してもよい。

これにより、リアルタイムにポート情報と対応するプロセスを識別する情報のリストを作成することができる。なお、ここではＴＣＰ／ＵＤＰポートドライバについて記述したが、その他のドライバにおいても、対応リストを作成することができる。

上述した形態では、ファイルオブジェクト破棄イベントを監視し、被アクセスポート情報を被アクセスポート情報リスト１１１から削除していた。しかしながら、ファイルオブジェクト破棄イベントを監視しない形態とすることもできる。

なお、上記被アクセスポート情報リストを作成する方法は一例であり、ＡＰＩフックやＯＳ標準のポート監視インタフェースなどを使用し、被アクセスポート情報リストをしてもよい。

［通信可否設定による通信制御］
図６は、クライアント装置１００が保有する通信可否設定の設定によって、プロセス毎（プログラム毎）のネットワーク接続の通信制御（許可／禁止）を行う処理を示すフローチャートである。ステップＳ６０１で、クライアント装置１００の任意のプログラムが外部装置への通信を開始する。

ステップＳ６０２で、セキュリティソフトウェア１１８が通信のリクエストを受信する。ステップＳ６０３で、セキュリティソフトウェア１１８は、通信リクエストを受信時に、通信可否設定１０９の状態を調べ、通信可否設定１０９が制限状態か否かを判定する。

通信可否設定１０９が制限状態になっている場合（ステップＳ６０３のＹＥＳ）、ステップＳ６０４で、通信制御を行い、ネットワーク接続を遮断する。通信可否設定１０９が許可状態になっている場合（ステップＳ６０３のＮＯ）、ステップＳ６０５で、通信を許可してネットワーク接続を開始する。

［ネットワーク接続の制御］
図７は、通信制限時（通信可否設定１０９が制限状態）における、ネットワーク接続の通信制御（許可／遮禁止）を行う処理を示すフローチャートである。

ステップＳ７０１で、セキュリティソフトウェア１１８が、外部装置と通信するプロセスのパケット情報を取得する。パケット情報は、図３（ａ）に示すように、送信先ＩＰアドレス、プロトコル、送信先ポート番号、送信元ポート番号などが含まれている。

ステップＳ７０２で、セキュリティソフトウェア１１８は、通信が制限されているか否か（通信制限状態か否か）を判定する。通信が制限されていると判定された場合（ステップＳ７０２のＹＥＳ）、ステップＳ７０３で、ステップＳ７０１で取得したパケット情報と、被アクセスポート情報リスト１１１内の情報とを比較し、パケット情報がアクセスポート情報リスト１１１と一致するデータがあるか否か判定する。

一致するデータが存在する場合（ステップＳ７０３のＹＥＳ）、ステップＳ７０４で、ステップＳ７０３で取得したデータと、ステップＳ４０２で取得したプロセス識別情報とを、プロセス名に基づいて関連付ける。関連付けたデータは、ステップＳ７０５で、通信情報として格納される。通信情報は、図３（ｄ）に示すように、送信先ＩＰアドレス、プロトコル、送信先ポート番号、プロセス名、送信元ポート番号などである。

取得したパケット情報が被アクセスポート情報リストに含まれていない場合（ステップＳ７０３のＮＯ）、ステップＳ７１０で、通信は禁止される。すなわち、セキュリティソフトウェア１１８によって、パケットを破棄してネットワークを遮断する。

ステップＳ７０６で、セキュリティソフトウェア１１８は、通信情報と、通信許可リスト１１０内の情報を比較して、通信情報のＩＰアドレスが通信許可リスト１１０に存在するか否かを判定する。通信許可リスト１１０は、図３（ｅ）に示すように、送信先ＩＰアドレス、プロトコル、送信先ポート番号、プロセス名、送信元ポート番号などで構成されている。

一致するＩＰアドレスが存在した場合（ステップＳ７０６のＹＥＳ）、ステップＳ７０７で、セキュリティソフトウェア１１８が、通信情報のポート番号（送信先ポート番号、送信元ポート番号）及びプロトコルが通信許可リスト１１０に存在するか否かを判定する。

一致するポート番号・プロトコルが存在した場合（ステップＳ７０７のＹＥＳ）、ステップＳ７０８で、セキュリティソフトウェア１１８が、通信情報のプロセス名が通信許可リスト１１０に存在するか否かを判定する。

一致するプロセス名が存在した場合（ステップＳ７０８のＹＥＳ）、ステップＳ７０９で、セキュリティソフトウェア１１８は、通信を許可してネットワーク接続を開始する。なお、ステップＳ７０６、およびステップＳ７０７の処理は省略してもよい。また、通信許可リスト１１０に、送信先ＩＰアドレス、プロトコル、ポート番号（送信先ポート番号、送信元ポート番号）、またはプロセスを識別する情報の何れか１つ以上が存在する場合、ネットワーク接続を開始してもよい。

また、ステップＳ７０６、Ｓ７０７、Ｓ７０８で、通信情報と一致するデータが通信許可リスト１１０に含まれていなかった場合、ステップＳ７１０で、通信は禁止される。すなわち、セキュリティソフトウェア１１８によってパケットは破棄され、ネットワークが遮断される。

なお、ステップＳ７０６乃至Ｓ７０８の処理の順序は、これに限定されず、どのような順序でもよいし、各々並列に処理を実行してもよい。

以上のように、本実施形態によれば、通信制限時においても、外部装置へのアクセスをプロセス毎に制御することが可能となる。

＜その他の実施形態＞
また、本発明は、以下の処理を実行することによっても実現される。即ち、上述した実施形態の機能を実現するソフトウェア（プログラム）を、ネットワーク又は各種記憶媒体を介してシステム或いは装置に供給し、そのシステム或いは装置のコンピュータ（またはＣＰＵやＭＰＵなど）がプログラムを読み出して実行する処理である。

Claims (6)

1. 外部装置と通信するプロセスが動作する情報処理装置であって、
   前記プロセスを識別する識別情報を取得する取得手段と、
   前記外部装置との通信を制限する通信制限手段と、
   前記通信制限手段にて通信が制限されている場合、前記プロセスを識別する識別情報に基づいて、予め定められたプロセスが前記外部装置へアクセスすることを許可する制御手段と
   を備えることを特徴とする情報処理装置。
2. 前記制御手段は、
   前記プロセスを識別する識別情報に基づいて、該プロセスが前記外部装置へアクセスすることを禁止することを特徴とする請求項１に記載の情報処理装置。
3. 前記制御手段は、
   前記プロセスを識別する識別情報に関連付けられた、送信先ＩＰアドレス、プロトコル、もしくはポート情報の何れか、または組み合わせに基づいて、予め定められたプロセスが前記外部装置へアクセスすることを許可することを特徴とする請求項１または２に記載の情報処理装置。
4. 外部装置と通信するプロセスが動作する情報処理方法であって、
   前記プロセスを識別する識別情報を取得する取得工程と、
   前記外部装置との通信を制限する通信制限工程と、
   前記通信制限工程にて通信が制限されている場合、前記プロセスを識別する識別情報に基づいて、予め定められたプロセスが前記外部装置へアクセスすることを許可する制御工程と
   を備えることを特徴とする情報処理方法。
5. 外部装置と通信するプロセスが動作する情報処理システムであって、
   前記プロセスを識別する識別情報を取得する取得手段と、
   前記外部装置との通信を制限する通信制限手段と、
   前記通信制限手段にて通信が制限されている場合、前記プロセスを識別する識別情報に基づいて、予め定められたプロセスが前記外部装置へアクセスすることを許可する制御手段と
   を備えることを特徴とする情報処理システム。
6. コンピュータを請求項１から請求項３の何れか一項に記載された情報処理装置の各手段として機能させるためのプログラム。
   
   

Images