JP2020201533A - 不正中継監査プログラム、不正中継監査方法および不正中継監査システム - Google Patents

Abstract

【課題】不正中継の監査にかかる処理時間を短縮できること。【解決手段】監査処理プログラムは、監査の対象となる複数のポートの内の特定のポートに対し、異なる処理速度のタイミングパラメータを用いて、それぞれの特定のポートがオープンの状態か否かをチェックする第一のオープンポートチェックを行い、第一のオープンポートチェックの結果により、タイミングパラメータを決定し、決定したタイミングパラメータを用いて監査の対象となる全てのポートに対して第二のオープンポートチェックを行い、抽出したオープンしているポートのみに対して監査処理を実施する。監査処理の前にオープンポートチェックを行うことで、オープンしていないポートに対してコマンド送出後に応答がない場合のタイムアウト時間相当を節約でき、その分全体の処理時間を短縮でき、例えば、１０ポートの場合、従来に比して１／１７の時間で済む。【選択図】図９

Description

本発明は、各種サーバが不正中継として使用されていないか監査する不正中継監査プログラム、不正中継監査方法および不正中継監査システムに関する。

インターネットに公開される顧客の各種サーバ環境は、不正中継の踏み台として不正利用される場合があり、この対策として監査ツールを用いてサーバにアクセスし、不正中継を監査する。監査ツールは、監査用のパーソナル・コンピュータ（ＰＣ）等にインストールされ、監査ツールからインターネットを経由して監査対象のサーバの公開ポートに通信接続した後、所定のコマンドを送信して監査を行う。監査対象のサーバは、例えば、メール、プロキシ、ＤＮＳ（Ｄｏｍａｉｎ Ｎａｍｅ Ｓｙｓｔｅｍ）等の各種サーバである。

不正中継の監査に関連する技術として、ターゲットネットワーク内のＩＰアドレス範囲のうち、稼働しているＩＰアドレス範囲のポートをポートスキャンする技術が開示されている（例えば、下記特許文献１参照。）。また、対象のＰＣの正規のサービスのポート番号を対象から除き、対象のポートにＳＹＮ（ＳＹＮｃｈｒｏｎｉｚｅ）パケットを送信した時の肯定応答の有無に基づき、対象ポートにコンピュータウィルスによるセキュリティホール発生の有無を判定する技術が開示されている（例えば、下記特許文献２参照。）。

特表２００５−５１５５４１号公報 特開２００５−２５２６９号公報

従来技術では、不正中継の監査にかかる処理時間を短縮できなかった。監査対象のサーバの公開ポートは、ＩＰプロトコルおよびサービスプロトコル別に複数あるが、従来の監査処理では、対象のポート全てに対して、監査ツールから所定のコマンドを送信するチェックを実施している。ここで、オープンしていないポートに対して送信したコマンドの応答がないため、タイムアウトに多くの時間が費やされてしまう。タイムアウト時間は、サーバのＯＳ（オペレーティング・システム）等の環境に依存する。

タイムアウト時間の変更は、ＯＳ上で動作する通信全体に影響を及ぼすため、設定を変更するのは現実的ではなく、タイムアウト時間を環境設定で速くすることは困難である。また、タイムアウト時間を変更できたとしても、毎回使用環境を構築する度に環境設定することは煩雑となり現実的ではない。

一つの側面では、本発明は、不正中継の監査にかかる処理時間を短縮できることを目的とする。

本発明の一側面によれば、監査の対象となる複数のポートの内の特定のポートに対し、異なる処理速度のタイミングパラメータを用いて、それぞれの前記特定のポートがオープンの状態か否かをチェックする第一のオープンポートチェックを行い、前記第一のオープンポートチェックの結果により、前記タイミングパラメータを決定し、決定した前記タイミングパラメータを用いて監査の対象となる全てのポートに対して第二のオープンポートチェックを行う、処理をコンピュータに実行させることを要件とする。

本発明の一態様によれば、不正中継の監査にかかる処理時間を短縮できるという効果を奏する。

図１は、本発明による不正中継監査処理の概要を説明する図である。 図２は、実施の形態にかかる不正中継監査システムの全体構成を示す図である。 図３は、実施の形態にかかる不正中継監査を行う対象ポート例を示す図表である。 図４は、実施の形態にかかる不正中継監査装置のハードウェア構成例を示す図である。 図５は、実施の形態にかかる不正中継監査装置の機能を示すブロック図である。 図６は、実施の形態にかかる不正中継監査の処理例を示すフローチャートである。 図７は、従来技術による監査処理を示すフローチャートである。 図８は、監査対象のポート全てがオープンしていない場合に従来技術で費やされる時間を示すタイムチャートである。 図９は、監査対象のポート全てがオープンしていない場合に実施の形態で費やされる時間を示すタイムチャートである。 図１０は、監査対象のポートの一部がオープンしている場合に従来技術で費やされる時間を示すタイムチャートである。 図１１は、監査対象のポートの一部がオープンしている場合に実施の形態で費やされる時間を示すタイムチャートである。 図１２は、実施の形態にかかるオープンポートチェックで用いる各タイミングパラメータの設定例を示す図表である。 図１３は、実施の形態にかかるオープンポートチェックのタイミングパラメータ選択例を説明する図表である。 図１４は、実施の形態にかかるオープンポートチェックのタイミングパラメータ選択の処理例を示すフローチャートである。

（実施の形態）
以下に図面を参照して、開示の不正中継監査プログラム、不正中継監査方法および不正中継監査システムの実施の形態を詳細に説明する。

図１は、本発明による不正中継監査処理の概要を説明する図である。不正中継監査システム１００は、不正中継監査装置１０１と、サーバ１１１とを含む。サーバ１１１は、インターネットプロトコル（ＩＰ）のネットワーク（インターネット）ＮＷ上に公開される各種のサーバである。サーバ１１１は、例えば、メールサーバ、プロキシサーバ、ＤＮＳサーバ等であり、図１では、簡略化して１台のみを記載してある。

不正中継監査装置１０１は、ネットワークＮＷを介してサーバ１１１に通信接続し、サーバ１１１が不正中継の踏み台として不正利用されているか否かを、監査ツールを用いて監査する。

不正中継監査装置１０１は、ＣＰＵやメモリ１０２等を有するＰＣ等のコンピュータ装置を用いて構成でき、監査ツールの一部である不正中継監査プログラムＰは、メモリ１０２に格納されている。ＣＰＵがメモリ１０２等の記憶部に格納されている不正中継監査プログラムＰをプログラム実行することで、所定の監査処理を実行する。実施の形態では、不正中継監査プログラムＰは、監査処理として下記の処理１．〜処理３．を順次実行する。

処理１ ネットワークＮＷを介してサーバ１１１の監査対象のポートに対し、オープンポートチェックを行う。
処理２ 上記の処理１のオープンポートチェックでオープンしているポートについてのみ、監査処理を実行する。
処理３ 上記の処理２の監査処理の結果を取得し、出力する。

処理１では、不正中継監査プログラムＰは、監査対象のサーバ１１１のサービスプロトコルに対応するポート番号を指定してオープンポートチェック用の所定コマンド（ポートチェックコマンド）を送信する。サーバ１１１は、ポートチェックコマンドに対応してポート番号のポートが開放（オープン）であるか、閉じているか（クローズ）であるかを応答する。

処理２では、不正中継監査プログラムＰは、上記の処理１．の処理応答がオープンであるポートに対してのみ、所定の監査コマンドを送信する。

処理３では、監査コマンドを受信したサーバ１１１の応答に基づき、監査対象のポートの状態を取得し、不正中継の有無等を監査処理する。そして、監査処理の結果（データ）を出力する。出力は、不正中継監査装置１０１上の表示出力や、外部装置へのデータ転送等がある。

実施の形態では、上記のように、処理１によりサーバ１１１の監査対象のポートのオープンポートチェックの実施後に処理２の監査処理を実行する。したがって、処理１のオープンポートチェックで監査対象のポートのうちオープンしていないポートに対しては、処理２の監査処理（監査コマンドの発行）を行わない。

これにより、実施の形態の不正中継監査処理では、監査対象のポートに対してのみ効率的に監査処理を実施できる。そして、監査対象のポートのうちオープンしていない（閉じた）ポートで生じるタイムアウトに費やされる無駄な時間を省き、短時間で監査処理を実行できるようになる。

図２は、実施の形態にかかる不正中継監査システムの全体構成を示す図である。不正中継監査システム１００を構成する不正中継監査装置１０１は、ネットワークＮＷを介してインターネットに公開されている顧客のサーバ環境にアクセスする。図２に示す例の顧客のサーバ環境は、Ｗｅｂサーバ１１１ａ、ＤＮＳサーバ１１１ｂ、メールサーバ１１１ｃである。

上述したように、不正中継監査装置１０１は、ＣＰＵが監査ツールの一部である不正中継監査プログラムＰをプログラム実行することで、各サーバ環境１１１ａ〜１１１ｃにそれぞれ通信接続する。

例えば、不正中継監査装置１０１は、はじめに、Ｗｅｂサーバ１１１ａの公開ポートに通信接続し（ステップＳ２０１）、上記処理１のオープンポートチェックを実行する。この後、ＤＮＳサーバ１１１ｂの公開ポートに通信接続し（ステップＳ２０２）、上記処理１のオープンポートチェックを実行する。この後、メールサーバ１１１ｃの公開ポートに通信接続し（ステップＳ２０３）、上記処理１のオープンポートチェックを実行する。

この後、不正中継監査装置１０１は、上記処理２として、各サーバ１１１（１１１ａ〜１１１ｃ）に対するオープンポートチェックでオープンしているポートについてのみ、監査処理を順次実行する。この後、不正中継監査装置１０１は、上記処理３による監査処理の結果の取得と出力を行う。

図３は、実施の形態にかかる不正中継監査を行う対象ポート例を示す図表である。不正中継監査装置１０１は、図３に示す不正中継監査の対象ポート設定表３００をメモリ１０２に保持する。不正中継監査の対象ポート設定表３００は、上記各サーバ１１１の対象ポートのポート番号、ＩＰプロトコル、サービスプロトコル、の各情報を一覧化したものである。

例えば、１行目のポート番号「２５」、ＩＰプロトコル「ｔｃｐ」、サービスプロトコル「ＳＭＴＰ」は、図２のメールサーバ１１１ｃの公開ポートである。この１行目〜３行目のポート番号「５８７」、ＩＰプロトコル「ｔｃｐ」、サービスプロトコル「ＳＭＴＰ Ｍｅｓｓａｇｅ Ｓｕｂｍｉｓｓｉｏｎ」迄が不正中継監査対象であるメールサーバ１１１ｃの公開ポートである。

また、４行目のポート番号「８０」、ＩＰプロトコル「ｔｃｐ」、サービスプロトコル「ＨＴＴＰ」は、図２のＷｅｂ（プロキシ）サーバ１１１ａの公開ポートである。この４行目〜８行目のポート番号「１０４４３」、ＩＰプロトコル「ｔｃｐ」、サービスプロトコル「ＨＴＴＰＳ」迄が不正中継監査対象であるＷｅｂサーバ１１１ａの公開ポートである。

また、９行目のポート番号「５３」、ＩＰプロトコル「ｔｃｐ」、サービスプロトコル「ＤＮＳ」は、図２のＤＮＳサーバ１１１ｂの公開ポートである。この９行目〜１０行目のポート番号「５３」、ＩＰプロトコル「ｕｄｐ」、サービスプロトコル「ＤＮＳ」迄が不正中継監査対象であるＤＮＳサーバ１１１ｂの公開ポートである。

図４は、実施の形態にかかる不正中継監査装置のハードウェア構成例を示す図である。不正中継監査装置１０１は、例えば、図４に示すハードウェアからなる汎用のＰＣ等で構成することができる。

不正中継監査装置１０１は、ＣＰＵ（Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）４０１、メモリ４０２、ネットワークインタフェース（ＩＦ）４０３、記録媒体ＩＦ４０４、記録媒体４０５、を含む。４００は各部を接続するバスである。

ＣＰＵ４０１は、不正中継監査装置１０１の全体の制御を司る制御部として機能する演算処理装置である。メモリ４０２（図１の符号１０２に相当）は、不揮発性メモリおよび揮発性メモリを含む。不揮発性メモリは、例えば、ＣＰＵ４０１のプログラムを格納するＲＯＭ（Ｒｅａｄ Ｏｎｌｙ Ｍｅｍｏｒｙ）である。揮発性メモリは、例えば、ＣＰＵ４０１のワークエリアとして使用されるＤＲＡＭ（Ｄｙｎａｍｉｃ Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）、ＳＲＡＭ（Ｓｔａｔｉｃ Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）等である。

ネットワークＩＦ４０３は、ＬＡＮ（Ｌｏｃａｌ Ａｒｅａ Ｎｅｔｗｏｒｋ）、ＷＡＮ（Ｗｉｄｅ Ａｒｅａ Ｎｅｔｗｏｒｋ）、インターネットなどのネットワークＮＷに対する通信インタフェースである。不正中継監査装置１０１は、ネットワークＩＦ４０３を介してネットワークＮＷに通信接続する。例えば、不正中継監査装置１０１は、ネットワークＮＷを介して、顧客のサーバ１１１にアクセスする。

記録媒体ＩＦ４０４は、ＣＰＵ４０１が処理した情報を記録媒体４０５との間で読み書きするためのインタフェースである。記録媒体４０５は、メモリ４０２を補助する記録装置であり、ＨＤＤ（Ｈａｒｄ Ｄｉｓｋ Ｄｒｉｖｅ）や、ＳＳＤ（Ｓｏｌｉｄ Ｓｔａｔｅ Ｄｒｉｖｅ）、ＵＳＢ（Ｕｎｉｖｅｒｓａｌ Ｓｅｒｉａｌ Ｂｕｓ）フラッシュドライブ等を用いることができる。

メモリ４０２または記録媒体４０５に記録されたプログラムをＣＰＵ４０１が実行することにより、不正中継監査の処理機能を実現する。また、メモリ４０２や記録媒体４０５は、不正中継監査装置１０１が扱う情報を記録保持する。

図５は、実施の形態にかかる不正中継監査装置の機能を示すブロック図である。例えば、図４に記載の制御部（ＣＰＵ）４０１が不正中継監査プログラムＰをプログラム実行することで実現される監査処理の制御部５００の機能例を示す。

制御部５００は、オープンポートチェック部５０１、監査処理実行部５０２、監査結果取得部５０３を含む。オープンポートチェック部５０１は、対象ポート設定表３００（図３参照）の設定に基づき、各サーバ１１１（１１１ａ〜１１１ｃ）のポートに順次通信接続し、オープンポートチェック（上記の処理１）を実行する。

監査処理実行部５０２は、各サーバ１１１（１１１ａ〜１１１ｃ）に対するオープンポートチェックでオープンしているポートについてのみ、監査処理を順次実行する（上記の処理２）。例えば、所定の監査コマンドを送信する。

監査結果取得部５０３は、監査処理の結果を取得し、出力する（上記の処理３）。例えば、監査コマンドを受信したサーバ１１１の応答に基づき、監査対象のポートの状態を取得し、不正中継の有無等を監査処理する。この後、監査処理の結果（データ）を表示データ等で出力する。

図６は、実施の形態にかかる不正中継監査の処理例を示すフローチャートである。例えば、図４に記載の制御部（ＣＰＵ）４０１が不正中継監査プログラムＰをプログラム実行することで実現される制御部５００の処理例を示す。

はじめに、ＣＰＵ４０１は、対象ポート設定表３００（図３参照）の設定に基づき、各サーバ１１１（１１１ａ〜１１１ｃ）の対象ポート全てに順次通信接続し、オープンポートチェック（上記の処理１）を実行する（ステップＳ６０１）。

次に、ＣＰＵ４０１は、ステップＳ６０１の実行により、各サーバ１１１（１１１ａ〜１１１ｃ）に対するオープンポートチェックでオープンしているポートについてのみ、監査ツールによる監査処理（上記の処理２）を順次実行する（ステップＳ６０２）。例えば、所定の監査コマンドを送信する。

その後、ＣＰＵ４０１は、監査処理の結果を取得し、出力する（上記の処理３、ステップＳ６０３）。例えば、監査コマンドを受信したサーバ１１１の応答に基づき、監査対象のポートの状態を取得し、不正中継の有無等を監査処理する。そして、監査処理の結果（データ）を出力する。

上記処理によれば、ステップＳ６０２の監査処理の実行前に、ステップＳ６０１でサーバ１１１の監査対象のポートのオープンポートチェックを実施する。この際、監査対象のポートのうちオープンしていないポートに対してステップＳ６０２の監査処理（監査コマンドの発行）を行わない。これにより、監査対象のポートに対してのみ効率的に監査処理を実施でき、監査対象のポートのうちオープンしていないポートで生じるタイムアウトに費やされる無駄な時間を省き、短時間で監査処理を実行できるようになる。

（実施の形態と従来技術の処理時間の対比）
図７は、従来技術による監査処理を示すフローチャートである。従来技術では、監査処理装置等の監査ツールは、監査対象の各サーバ（図２のサーバ１１１（１１１ａ〜１１１ｃ））の対象ポート全てに順次通信接続し、監査処理（実施の形態の上記処理２相当）を実行する（ステップＳ７０１）。例えば、所定の監査コマンドを送信する。

その後、監査ツールは、監査処理の結果を取得し、出力する（実施の形態の上記処理３相当、ステップＳ７０２）。例えば、監査コマンドを受信したサーバ１１１の応答に基づき、監査対象のポートの状態を取得し、不正中継の有無等を監査処理する。そして、監査処理の結果（データ）を出力する。

従来技術では、ポートのオープン状況に関わらず、対象のポート全てに対して、監査ツールでチェックを実施している。このため、オープンしていないポートに関しては、タイムアウトに時間を費やす。

図８は、監査対象のポート全てがオープンしていない場合に従来技術で費やされる時間を示すタイムチャートである。図８には、例えば、１ＩＰの全ポートがオープンしていなかった場合、タイムアウトに費やされる時間の目安を示す。縦軸は処理対象の各ポート、横軸は処理時間（秒）である。

ＳＭＴＰ（２５／ｔｃｐ，４６５／ｔｃｐ，５８７／ｔｃｐ）は、７５秒×３ポート＝２２５秒（３分４５秒〉
プロキシ（８０／ｔｃｐ，８０８０／ｔｃｐ，４４３／ｔｃｐ，８４４３／ｔｃｐ，１０４４３／ｔｃｐ）は、１５０秒×５ポート＝７５０秒（１２分３０秒）
ＤＮＳ（５３／ｔｃｐ，５３／ｕｄｐ）は、３０秒（５３／ｔｃｐ）＋１５秒（５３／ｕｄｐ）＝４５秒

上記の例では、１ＩＰのタイムアウト合計時間は、２２５秒＋７５０秒＋４５秒＝１０２０秒＝１７分である。このため、仮に、１０ＩＰの全ポートがオープンしていない場合、単に待機するタイムアウト時間だけで１７０分（２時間５０分）も費やされてしまうことになる。

これに対し、実施の形態にかかる処理（図６参照）によれば、処理２の監査処理を実行する以前に、処理１で対象ポート全てに対してオープンポートチェックを実行し、オープンポートにのみ、処理２の監査処理を実行している。このように、オープンポートチェックを事前に実行することにより、オープンしていないポートのタイムアウト時間を節約することができる。

図９は、監査対象のポート全てがオープンしていない場合に実施の形態で費やされる時間を示すタイムチャートである。図９には、例えば、１ＩＰに対してオープンポートチェックを全１０ポートに実施し、全ポートがオープンしていなかった場合に費やされる時間の目安を示す。縦軸は処理対象の各ポート、横軸は処理時間（秒）である。

チェック×１０ポート（２５／ｔｃｐ，４６５／ｔｃｐ，５８７／ｔｃｐ，８０／ｔｃｐ，８０８０／ｔｃｐ，４４３／ｔｃｐ，８４４３／ｔｃｐ，１０４４３／ｔｃｐ，５３／ｔｃｐ，５３／ｕｄｐ）

上記の場合、オープンポートチェックは、５秒×１０ポート＝５０秒
オープンポートチェック後の監査処理にかかる処理時間は、１ポートあたり１秒×１０ポート＝約１０秒
このため、監査処理全体にかかる処理の合計時間は、５０秒＋１０秒＝６０秒（１分）

このように、実施の形態によれば、監査処理の時間を含めても従来技術の１７分に比べて１分で済み、監査処理にかかる全体の処理時間を１／１７に短縮できる。ここで、監査処理対象のＩＰ数増加に対して、１ＩＰ追加あたり６０秒の追加で済むため、ＩＰ数が増加するほど、時間短縮の効果が大きくなる。また、仮に、監査対象が１０ＩＰの場合、単純に倍数となり、１０分で済むため、従来の１７０分に比べ１／１７に短縮できる。

次に、一部のポートがオープンされている場合における従来技術と、実施の形態とで費やされる時間について説明する。一部のポートとして、８０／ｔｃｐ、４４３／ｔｃｐのポートがオープンされている場合、監査ツールでの監査処理は１秒ほどで終わる場合がある。ここでは、８０／ｔｃｐ、４４３／ｔｃｐのポートがオープンしていて、その監査処理時間が１秒であったことを例にした場合の、従来技術と実施の形態とで費やされる時間について説明する。なお、８０／ｔｃｐ、４４３／ｔｃｐ以外のポートはオープンされていないものとする。

図１０は、監査対象のポートの一部がオープンしている場合に従来技術で費やされる時間を示すタイムチャートである。図１０に示すように、オープンしている８０／ｔｃｐ、４４３／ｔｃｐのポートの監査処理はそれぞれ１秒で終了する。

オープンしていないポートについては、ＳＭＴＰ（２５／ｔｃｐ，４６５／ｔｃｐ，５８７／ｔｃｐ）は、７５秒×３ポート＝２２５秒（３分４５秒）
プロキシ（８０８０／ｔｃｐ，８４４３／ｔｃｐ，１０４４３／ｔｃｐ）は、１５０秒×３ポート＝４５０秒（７分３０秒）
ＤＮＳ（５３／ｔｃｐ，５３／ｕｄｐ）は、３０秒（５３／ｔｃｐ）＋１５秒（５３／ｕｄｐ）＝４５秒
上記の例では、１ＩＰの合計時間は、２２５秒＋４５０秒＋４５秒＋２秒＝７２２秒（１２分２秒）である。この値には、オープンしていないポートの監査処理は含まれていない。

図１１は、監査対象のポートの一部がオープンしている場合に実施の形態で費やされる時間を示すタイムチャートである。上記図１０の説明と同様に、オープンしている８０／ｔｃｐ、４４３／ｔｃｐのポートの監査処理はそれぞれ１秒で終了する。

また、チェック×１０ポート（２５／ｔｃｐ，４６５／ｔｃｐ，５８７／ｔｃｐ，８０／ｔｃｐ，８０８０／ｔｃｐ，４４３／ｔｃｐ，８４４３／ｔｃｐ，１０４４３／ｔｃｐ，５３／ｔｃｐ，５３／ｕｄｐ）

上記の場合、オープンポートチェックは、５秒×１０ポート＝５０秒
オープンポートチェック後の監査処理にかかる処理時間は、１ポートあたり１秒×１０ポート＝約１０秒
このため、監査処理全体にかかる処理の合計時間は、２秒＋５０秒＋１０秒＝６２秒

このように、実施の形態によれば、一部のポートがオープンしている場合においても、従来技術の７２２秒に比べて６２秒で済み、監査処理にかかる全体の処理時間を約１／１１に短縮できる。

（オープンポートチェック時のスキャンパラメータの決定手法）
次に、上述したオープンポートチェックによりオープンポートをチェックする際に、高速にスキャンするためのタイミングパラメータの決定方法について説明する。

オープンポートチェックでは、待機する時間をタイミングパラメータとして設定して実行する。このタイミングパラメータの設定を変更することでオープンポートチェックの処理速度が変わってくる。しかし、単に処理速度が速いパラメータを使うと、オープンポート検出を取りこぼしてしまう可能性もある。

図１２は、実施の形態にかかるオープンポートチェックで用いる各タイミングパラメータの設定例を示す図表である。不正中継監査装置１０１は、例えば、不正中継監査プログラムＰの処理実行時に、図１２に示すタイミングパラメータの設定表１２００のいずれかを選択し、選択した設定に対応する時間だけ待機を行う。

図１２に示すタイミングパラメータの設定表１２００の例では、タイミングパラメータＰ１〜Ｐ４が設定され、Ｐ１がオープンポートチェックにかける処理時間が最も低速であり、Ｐ４が最も高速である。例えば、Ｐ１は各通信で１０００ミリ秒待機し、Ｐ４は各通信で５０ミリ秒待機する。Ｐ４は、処理は早い半面、オープンポート検出を取りこぼす（オープンしているポートをクローズと誤認識する）可能性を有する。実施の形態では、このように処理時間（待機時間）が異なるタイミングパラメータＰ１〜Ｐ４のうち適したものを選択する処理を行う。

発明者らは、不正中継監査でオープンされているポートとして、４４３／ｔｃｐがオープンしていることが多いことに注目した。実施の形態の不正中継監査装置１０１では、この注目に基づき、代表として４４３／ｔｃｐに対してＰ４〜Ｐ１のタイミングパラメータでオープンポートチェックを実行させる。この際、オープンポート検出の取りこぼしを考慮し、ポートをオープンできたタイミングパラメータで２番目に早いタイミングパラメータを採用することとした。

図１３は、実施の形態にかかるオープンポートチェックのタイミングパラメータ選択例を説明する図表である。４４３／ｔｃｐオープンポートチェック結果によるタイミングパラメータの選択例を示す。各タイミングパラメータＰ４〜Ｐ１を用いた場合にポートをオープンできた場合（〇印）、およびポートをオープンできなかった場合（×印）を示している。

例えば、最も早いＰ４でオープンポートチェックを行い、次第に遅いＰ３〜Ｐ１の順でオープンポートチェックを行う。これとは逆に、処理が最も遅いＰ１でオープンポートチェックを行い、次第に早いＰ２〜Ｐ４の順でオープンポートチェックを行ってもよい。

そして、１段目に示すように、タイミングパラメータＰ４，Ｐ３いずれでもポートをオープンできた場合には、ポートをオープンできたタイミングパラメータＰ４，Ｐ３のうち２番目に早いタイミングパラメータＰ３を選択することを決定する。この場合、残るタイミングパラメータＰ２，Ｐ１によるオープンポートチェックは実施不要にできる。

また、２段目に示すように、タイミングパラメータＰ３，Ｐ２いずれでもポートをオープンできたとする。この場合には、ポートをオープンできたタイミングパラメータＰ３，Ｐ２のうち２番目に早いタイミングパラメータＰ２を選択することを決定する。なお、この場合、残るタイミングパラメータＰ１によるオープンポートチェックは実施不要である。

また、タイミングパラメータＰ２でポートをオープンできたとする。この場合には、ポートをオープンできたタイミングパラメータＰ２の一つ下（２番目に早い）タイミングパラメータＰ１を選択することを決定する。この場合でも、タイミングパラメータＰ１によるオープンポートチェックは実施不要のまま選択決定できる。

また、４段目に示すように、例えば、タイミングパラメータＰ４，Ｐ３，Ｐ２ではいずれもポートをオープンできなかった場合、残るタイミングパラメータＰ１を選択することを決定する。この場合、タイミングパラメータＰ１によるオープンポートチェックは実施不要のまま選択決定する。

図１４は、実施の形態にかかるオープンポートチェックのタイミングパラメータ選択の処理例を示すフローチャートである。不正中継監査装置１０１の制御部５００（ＣＰＵ４０１）が実行する処理例を説明する。

以下の処理では、制御部５００は、監査の対象となる複数のポートの内の特定のポートに対し、異なる処理速度のタイミングパラメータを用いて、それぞれの特定のポートがオープンの状態か否かをチェックする第一のオープンポートチェックを行う。そして、第一のオープンポートチェックの結果により、タイミングパラメータを決定し、決定したタイミングパラメータを用いて監査の対象となる全てのポートに対して第二のオープンポートチェックを行う。

第一のオープンポートチェックでは、制御部５００は、タイミングパラメータの設定表１２００（図１２参照）で設定されたタイミングパラメータＰ１〜Ｐ４のうち最適なものを選択する。なお、この処理例では、タイミングパラメータ選択時において、タイミングパラメータＰ２〜Ｐ４によるオープンポートチェックを実施し、オープンポートチェックの処理が最も遅いタイミングパラメータＰ１についてはオープンポートチェックの処理を実施しない。

はじめに、制御部５００は、監査対象のサーバ１１１の特定のポート（上記の４４３／ｔｃｐ）にアクセスし、タイミングパラメータＰ２でオープンポートチェックを行う（ステップＳ１４０１）。そして、制御部５００は、タイミングパラメータＰ２でポートをオープンできたか判断する（ステップＳ１４０２）。タイミングパラメータＰ２でポートをオープンできれば（ステップＳ１４０２：Ｙｅｓ）、ステップＳ１４０３の処理に移行し、タイミングパラメータＰ２でポートをオープンできなければ（ステップＳ１４０２：Ｎｏ）、ステップＳ１４０９の処理に移行する。

ステップＳ１４０３では、制御部５００は、４４３／ｔｃｐのポートに対してタイミングパラメータＰ４でオープンポートチェックを行った後（ステップＳ１４０３）、タイミングパラメータＰ３でオープンポートチェックを行う（ステップＳ１４０４）。

そして、制御部５００は、タイミングパラメータＰ４とＰ３でポートをオープンできたかを判断する（ステップＳ１４０５）。タイミングパラメータＰ４とＰ３でポートをオープンできれば（ステップＳ１４０５：Ｙｅｓ）、制御部５００は、タイミングパラメータをＰ３に決定し（ステップＳ１４０６）、ステップＳ１４１０の処理に移行する。一方、タイミングパラメータＰ４とＰ３のいずれかでポートをオープンできなければ（ステップＳ１４０５：Ｎｏ）、制御部５００は、ステップＳ１４０７の処理に移行する。

ステップＳ１４０７では、制御部５００は、タイミングパラメータＰ３とＰ２でポートをオープンできたかを判断する（ステップＳ１４０７）。タイミングパラメータＰ３とＰ２でポートをオープンできれば（ステップＳ１４０７：Ｙｅｓ）、制御部５００は、タイミングパラメータをＰ２に決定し（ステップＳ１４０８）、ステップＳ１４１０の処理に移行する。一方、タイミングパラメータＰ３とＰ２のいずれかでポートをオープンできなければ（ステップＳ１４０７：Ｎｏ）、制御部５００は、ステップＳ１４０９の処理に移行する。ステップＳ１４０９では、制御部５００は、タイミングパラメータをＰ１に決定する（ステップＳ１４０９）。

次に、第二のオープンポートチェックとして、制御部５００は、以上の処理で決定したタイミングパラメータを用い、サーバ１１１の全対象ポート（この場合、上記処理済みの４４３／ｔｃｐ以外）に対してオープンポートチェックを実施する（ステップＳ１４１０）。

この後、制御部５００は、以上の処理でポートがオープンと判断されたオープンポートに対してのみ監査ツール（監査処理）を実施する（ステップＳ１４１１）。そして、制御部５００は、監査結果を取得し（ステップＳ１４１２）、以上の処理を終了する。

上記の処理実行により、１ＩＰに対して、処理速度が最も遅いタイミングパラメータＰ１が選択された状態で、全ポートがオープンしていなかった場合に費やされる時間は下記となる。

チェック×１０ポート（２５／ｔｃｐ，４６５／ｔｃｐ，５８７／ｔｃｐ，８０／ｔｃｐ，８０８０／ｔｃｐ，４４３／ｔｃｐ，８４４３／ｔｃｐ，１０４４３／ｔｃｐ，５３／ｔｃｐ，５３／ｕｄｐ）
５秒×１０ポート＝５０秒
オープンポートチェック後の監査処理にかかる処理時間は、約１０秒
合計時間５０秒＋１０秒＝６０秒＝１分

実施の形態によれば、処理速度が最も遅いタイミングパラメータＰ１が選択された状態で、全ポート（１０ポート）がオープンしていなかった場合でもオープンポートチェックおよび監査処理は１分で終了する。そして、従来技術の１７分に比べ、監査処理にかかる全体の処理時間を１／１７に短縮できる。ここで、監査処理対象のＩＰ数増加に対して、１ＩＰ追加あたり６０秒の追加で済むため、ＩＰ数が増加するほど、時間短縮の効果が大きくなる。また、仮に、監査対象が１０ＩＰの場合、単純に倍数となり、１０分で済むため、従来の１７０分に比べ１／１７に短縮できる。

また、上記の処理実行により、１ＩＰに対して、処理速度が２番目に遅いタイミングパラメータＰ２が選択された状態で、全ポートがオープンしていなかった場合に費やされる時間は下記となる。

チェック×１０ポート（２５／ｔｃｐ，４６５／ｔｃｐ，５８７／ｔｃｐ，８０／ｔｃｐ，８０８０／ｔｃｐ，４４３／ｔｃｐ，８４４３／ｔｃｐ，１０４４３／ｔｃｐ，５３／ｔｃｐ，５３／ｕｄｐ）
２．５秒×１０ポート＝２５秒
オープンポートチェック後の監査処理にかかる処理時間は、約１０秒
合計時間は、２５秒＋１０秒＝３５秒

実施の形態によれば、処理速度が２番目に遅いタイミングパラメータＰ２が選択された状態で、全ポート（１０ポート）がオープンしていなかった場合でもオープンポートチェックおよび監査処理は３５秒で終了する。そして、従来技術の１７分に比べ、監査処理にかかる全体の処理時間を１／２９に短縮できる。ここで、監査処理対象のＩＰ数増加に対して、１ＩＰ追加あたり３５秒の追加で済むため、ＩＰ数が増加するほど、時間短縮の効果が大きくなる。また、仮に、監査対象が１０ＩＰの場合、単純に倍数となり、３５０秒（５分５０秒）で済むため、従来の１７０分に比べ１／２９に短縮できる。

以上説明した実施の形態によれば、監査の対象となる複数のポートに対し、オープンしているか否かのオープンポートチェックを行い、オープンしている前記ポートを抽出し、抽出したオープンの前記ポートのみに対して監査処理を実施する。このように、監査処理を実行する以前に、対象ポート全てに対してオープンポートチェックを実行することにより、オープンしていないポートのタイムアウト時間を節約することができ、監査処理全体にかかる処理時間を短縮できるようになる。この点、従来技術では、オープンポートチェックを実行しない場合、オープンしていないポートに監査用の所定のコマンドを送信してもタイムアウト時間まで応答を待機することになり、監査処理に時間がかかり時間短縮できなかった。実施の形態によれば、監査の対象となるポート数が多いほど従来に比べて監査処理全体にかかる処理時間の短縮効果が大きい。

また、オープンポートチェックは、監査の対象となる複数のポートの内の特定のポートに対し、異なる処理速度のタイミングパラメータを用いてそれぞれ行い、オープンポートチェックの結果により、前記タイミングパラメータを決定する。そして、決定したタイミングパラメータを用いて監査の対象となる全てのポートに対するオープンポートチェックを行ってもよい。これにより、複数のポートの応答に対応した適切なタイミングパラメータを用いてオープンポートチェックを円滑に行うことができるようになる。

また、オープンポートチェックの結果、異なる処理速度のタイミングパラメータでそれぞれポートのオープンが抽出された場合、抽出されたタイミングパラメータのうち最も遅い処理速度のタイミングパラメータに決定してもよい。例えば、単に処理速度が速いタイミングパラメータを用いた場合にポートのオープン検出を取りこぼす可能性を未然に防ぐことができる。

また、監査の対象となるポートは、インターネット接続されたサーバの公開ポートである。インターネット接続されたサーバの公開ポートは、不正中継の踏み台として不正利用されるおそれがある。実施の形態では、これら複数のポートに対し、一括してオープンポートチェックを行うことができ、効率的に監査処理を行えるようになる。

また、インターネット接続された複数の種別のサーバの公開ポートに対して、それぞれ前記オープンポートチェックを行った後、オープンしているポートを抽出し、複数の種別のサーバの抽出したオープンのポートに対し順次、監査処理を実施してもよい。監査対象となるサーバの公開ポートは、ＩＰプロトコルおよびサービスプロトコル別に、メールサーバ、Ｗｅｂサーバ、プロキシサーバ、ＤＮＳサーバ等各種がある。実施の形態によれば、これら複数のサーバの複数のポートに対し、一括してオープンポートチェックを行うことができ、オープンしているポートを対象に効率的に監査処理を行えるようになる。

これらのことから、実施の形態によれば、不正中継の監査にかかる処理時間を短縮できるようになる。実施の形態では、オープンポートチェックを行いオープンしているポートに対して監査処理を実行している。この点、従来技術のように、対象のポート全てに対して、所定のコマンドを送信して監査処理を行った場合、オープンしていないポートに対して送信したコマンドの応答がない場合のタイムアウトを待つ必要がなく、高速にオープンポートチェックを終了できる。また、実施の形態によれば、サーバのＯＳ等の環境に依存するタイムアウト時間の変更を行う必要がなく、監査処理全体の処理時間を短縮できるようになる。

なお、本発明の実施の形態で説明した不正中継監査にかかる方法は、あらかじめ用意されたプログラムをサーバ等のプロセッサに実行させることにより実現することができる。本方法は、ハードディスク、フレキシブルディスク、ＣＤ−ＲＯＭ（Ｃｏｍｐａｃｔ Ｄｉｓｃ−Ｒｅａｄ Ｏｎｌｙ Ｍｅｍｏｒｙ）、ＤＶＤ（Ｄｉｇｉｔａｌ Ｖｅｒｓａｔｉｌｅ Ｄｉｓｋ）、フラッシュメモリ等のコンピュータで読み取り可能な記録媒体に記録され、コンピュータによって記録媒体から読み出されることによって実行される。また本方法は、インターネット等のネットワークを介して配布してもよい。

上述した実施の形態に関し、さらに以下の付記を開示する。

（付記１）監査の対象となる複数のポートの内の特定のポートに対し、異なる処理速度のタイミングパラメータを用いて、それぞれの前記特定のポートがオープンの状態か否かをチェックする第一のオープンポートチェックを行い、
前記第一のオープンポートチェックの結果により、前記タイミングパラメータを決定し、
決定した前記タイミングパラメータを用いて監査の対象となる全てのポートに対して第二のオープンポートチェックを行う、
処理をコンピュータに実行させることを特徴とする不正中継監査プログラム。

（付記２）前記第一のオープンポートチェックの結果、異なる処理速度のタイミングパラメータでそれぞれ前記ポートのオープンの状態が抽出された場合、抽出されたタイミングパラメータのうち最も遅い処理速度のタイミングパラメータに決定することを特徴とする付記１に記載の不正中継監査プログラム。

（付記３）監査の対象となる前記ポートは、インターネット接続されたサーバの公開ポートであることを特徴とする付記１または２に記載の不正中継監査プログラム。

（付記４）インターネット接続された複数の種別の前記サーバの公開ポートに対して、それぞれ前記第一のオープンポートチェックおよび前記第二のオープンポートチェックを行った後、
オープンしている前記ポートを抽出し、前記複数の種別のサーバの抽出したオープンしている前記ポートに対し順次、監査処理を実施する、
ことを特徴とする付記１〜３のいずれか一つに記載の不正中継監査プログラム。

（付記５）監査の対象となる複数のポートの内の特定のポートに対し、異なる処理速度のタイミングパラメータを用いて、それぞれの前記特定のポートがオープンの状態か否かをチェックする第一のオープンポートチェックを行い、
前記第一のオープンポートチェックの結果により、前記タイミングパラメータを決定し、
決定した前記タイミングパラメータを用いて監査の対象となる全てのポートに対して第二のオープンポートチェックを行う、
処理をコンピュータが実行することを特徴とする不正中継監査方法。

（付記６）監査処理装置が監査の対象となる複数のポートに通信接続し、前記ポートの不正中継の監査処理を実行する不正中継監査システムにおいて、
前記監査処理装置は、
監査の対象となる複数のポートの内の特定のポートに対し、異なる処理速度のタイミングパラメータを用いて、それぞれの前記特定のポートがオープンの状態か否かをチェックする第一のオープンポートチェックを行い、前記第一のオープンポートチェックの結果により、前記タイミングパラメータを決定し、決定した前記タイミングパラメータを用いて監査の対象となる全てのポートに対して第二のオープンポートチェックを行い、
オープンしている前記ポートを抽出し、抽出したオープンしている前記ポートのみに対して監査処理を実施する制御部、
を備えたことを特徴とする不正中継監査システム。

（付記７）前記制御部は、
前記ポートを有するサーバにそれぞれインターネットを介して通信接続し、所定のコマンドを送信することで、前記オープンポートチェックおよび前記監査処理を行う、
ことを特徴とする付記６に記載の不正中継監査システム。

１００ 不正中継監査システム
１０１ 不正中継監査装置
１０２ メモリ
１１１（１１１ａ〜１１１ｃ） サーバ
３００ 対象ポート設定表
４０１ ＣＰＵ
４０２ メモリ
４０３ ネットワークインタフェース
４０５ 記録媒体
５００ 制御部
５０１ オープンポートチェック部
５０２ 監査処理実行部
５０３ 監査結果取得部
１２００ タイミングパラメータの設定表
ＮＷ ネットワーク
Ｐ 不正中継監査プログラム
Ｐ１〜Ｐ４ タイミングパラメータ

Claims (6)

1. 監査の対象となる複数のポートの内の特定のポートに対し、異なる処理速度のタイミングパラメータを用いて、それぞれの前記特定のポートがオープンの状態か否かをチェックする第一のオープンポートチェックを行い、
   前記第一のオープンポートチェックの結果により、前記タイミングパラメータを決定し、
   決定した前記タイミングパラメータを用いて監査の対象となる全てのポートに対して第二のオープンポートチェックを行う、
   処理をコンピュータに実行させることを特徴とする不正中継監査プログラム。
2. 前記第一のオープンポートチェックの結果、異なる処理速度のタイミングパラメータでそれぞれ前記ポートのオープンの状態が抽出された場合、抽出されたタイミングパラメータのうち最も遅い処理速度のタイミングパラメータに決定することを特徴とする請求項１に記載の不正中継監査プログラム。
3. 監査の対象となる前記ポートは、インターネット接続されたサーバの公開ポートであることを特徴とする請求項１または２に記載の不正中継監査プログラム。
4. インターネット接続された複数の種別の前記サーバの公開ポートに対して、それぞれ前記第一のオープンポートチェックおよび前記第二のオープンポートチェックを行った後、
   オープンしている前記ポートを抽出し、前記複数の種別のサーバの抽出したオープンしている前記ポートに対し順次、監査処理を実施する、
   ことを特徴とする請求項１〜３のいずれか一つに記載の不正中継監査プログラム。
5. 監査の対象となる複数のポートの内の特定のポートに対し、異なる処理速度のタイミングパラメータを用いて、それぞれの前記特定のポートがオープンの状態か否かをチェックする第一のオープンポートチェックを行い、
   前記第一のオープンポートチェックの結果により、前記タイミングパラメータを決定し、
   決定した前記タイミングパラメータを用いて監査の対象となる全てのポートに対して第二のオープンポートチェックを行う、
   処理をコンピュータが実行することを特徴とする不正中継監査方法。
6. 監査処理装置が監査の対象となる複数のポートに通信接続し、前記ポートの不正中継の監査処理を実行する不正中継監査システムにおいて、
   前記監査処理装置は、
   監査の対象となる複数のポートの内の特定のポートに対し、異なる処理速度のタイミングパラメータを用いて、それぞれの前記特定のポートがオープンの状態か否かをチェックする第一のオープンポートチェックを行い、前記第一のオープンポートチェックの結果により、前記タイミングパラメータを決定し、決定した前記タイミングパラメータを用いて監査の対象となる全てのポートに対して第二のオープンポートチェックを行い、
   オープンしている前記ポートを抽出し、抽出したオープンしている前記ポートのみに対して監査処理を実施する制御部、
   を備えたことを特徴とする不正中継監査システム。

Images