JP2021051481A - 制御装置、制御プログラム、制御方法、支援装置、支援プログラム、支援方法、及び支援システム - Google Patents

Abstract

【課題】 不正装置からの攻撃に対する抑止力を備える制御装置を提供する。【解決手段】 本発明の制御装置は、少なくとも不正通信を行う不正装置のアドレスを蓄積する不正装置情報蓄積手段と、前記不正装置の不正通信に対抗するための対抗措置を行う支援装置に対して、少なくとも前記不正装置のアドレスと、対抗措置の指令とを通知する不正装置情報通知手段とを備えることを特徴とする。これにより、上記不正装置からの攻撃に対する抑止力を発揮できる。【選択図】 図１

Description

本発明は、制御装置、制御プログラム、制御方法、支援装置、支援プログラム、支援方法、及び支援システムに関する。

近年、サービスの妨害や、営業秘密情報等を不正に取得することなどを目的とした、情報処理装置（情報処理システム）への不正アクセスが増加している。

上記のような不正アクセスへの防御手段として、例えば、特許文献１では、情報処理装置に対する不正アクセスを検出する検出部と、情報処理装置のモードを遷移させる制御部とを備えるシステムが開示されている。特許文献１において、コンピュータは、第１の仮想マシンおよび第２の仮想マシンを実行し、制御部は、正常に動作している場合において、第１の仮想マシンにより実現される情報処理装置を正常モードで動作させ、第２の仮想マシンにより実現される情報処理装置をスタンバイモードで動作させ、不正アクセスを検出した場合、第１の仮想マシンにより実現される情報処理装置をデコイモードに遷移させ、第２の仮想マシンにより実現される情報処理装置を正常モードに遷移させている。さらに、デコイモードに遷移した第１の仮想マシンは、ハニーポッドネットワークに接続される。

特開２０１２−２１２３９１号公報

上記特許文献１のシステムでは、不正アクセスに対して、ハニーポッドネットワークへの隔離を行うことで防御する。

しかしながら、上記特許文献１のシステムでは、一旦は攻撃を防御できても、攻撃者は攻撃を再開したり、別のネットワークへの攻撃を継続することが可能である。つまり、不正アクセスによる攻撃を抑止することができない。

また、ハニーポッドネットワーク及びコンピュータの設備の保有及び運用の負担があり、不正サーバからの攻撃が大規模化した場合は、迅速に設備を拡張することが困難であり、また拡張したとしても更に負担が増大することになる。

そのため、不正装置からの攻撃に対する抑止力を備える制御装置、制御プログラム、制御方法、支援装置、支援プログラム、支援方法、及び支援システムが望まれている。

第１の本発明の制御装置は、（１）少なくとも不正通信を行う不正装置のアドレスを蓄積する不正装置情報蓄積手段と、（２）前記不正装置の不正通信に対抗するための対抗措置を行う支援装置に対して、少なくとも前記不正装置のアドレスと、対抗措置の指令とを通知する不正装置情報通知手段とを備えることを特徴とする。

第２の本発明の支援装置は、制御装置の指令に基づいて、不正通信を行う不正装置に対抗するための支援を行う支援装置であって、（１）複数のアドレスから通信に使用するアドレスをランダムに選択するアドレス選択手段と、（２）前記不正装置のアドレスに向けて通信強制終了を示すコマンドを発信するリセット発信手段と、（３）前記不正装置のアドレスに向けて通信パケットを連続して発信して輻輳トラフィックを発生させる輻輳トラフィック発信手段と、（４）前記不正装置のアドレスに向けてプログラムの脆弱性に対応したコードを含んだ通信パケットを発信する脆弱性コード発信手段と、（５）前記不正装置のアドレスに向けて遠隔操作を可能にするためのプログラムを含む通信パケットを発信する遠隔操作プログラム発信手段とを備えることを特徴とする。

第３の本発明の制御プログラムは、制御装置に搭載されるコンピュータを、（１）少なくとも不正通信を行う不正装置のアドレスを蓄積する不正装置情報蓄積手段と、（２）前記不正装置の不正通信に対抗するための対抗措置を行う支援装置に対して、少なくとも前記不正装置のアドレスと、対抗措置の指令とを通知する不正装置情報通知手段として機能させることを特徴とする。

第４の本発明の支援プログラムは、制御装置の指令に基づいて、不正通信を行う不正装置に対抗するための支援を行う支援装置に搭載されるコンピュータを、（１）複数のアドレスから通信に使用するアドレスをランダムに選択するアドレス選択手段と、（２）前記不正装置のアドレスに向けて通信強制終了を示すコマンドを発信するリセット発信手段と、（３）前記不正装置のアドレスに向けて通信パケットを連続して発信して輻輳トラフィックを発生させる輻輳トラフィック発信手段と、（４）前記不正装置のアドレスに向けてプログラムの脆弱性に対応したコードを含んだ通信パケットを発信する脆弱性コード発信手段と、（５）前記不正装置のアドレスに向けて遠隔操作を可能にするためのプログラムを含む通信パケットを発信する遠隔操作プログラム発信手段として機能させることを特徴とする。

第５の本発明は、制御装置の制御方法であって、前記制御装置は、（１）少なくとも不正通信を行う不正装置のアドレスを蓄積する不正装置情報蓄積ステップと、（２）前記不正装置の不正通信に対抗するための対抗措置を行う支援装置に対して、少なくとも前記不正装置のアドレスと、対抗措置の指令とを通知する不正装置情報通知ステップとを備えることを特徴とする。

第６の本発明は、制御装置の指令に基づいて、不正通信を行う不正装置に対抗するための支援を行う支援装置の支援方法であって、前記支援装置は、（１）複数のアドレスから通信に使用するアドレスをランダムに選択するアドレス選択ステップと、（２）前記不正装置のアドレスに向けて通信強制終了を示すコマンドを発信するリセット発信ステップと、（３）前記不正装置のアドレスに向けて通信パケットを連続して発信して輻輳トラフィックを発生させる輻輳トラフィック発信ステップと、（４）前記不正装置のアドレスに向けてプログラムの脆弱性に対応したコードを含んだ通信パケットを発信する脆弱性コード発信ステップと、（５）前記不正装置のアドレスに向けて遠隔操作を可能にするためのプログラムを含む通信パケットを発信する遠隔操作プログラム発信ステップとを備えることを特徴とする。

第７の本発明は、制御装置と、複数の支援装置とを備える支援システムであって、前記制御装置には、第１の本発明の制御装置が適用され、前記各支援装置には第２の本発明の支援装置が適用されることを特徴とする。

本発明によれば、不正装置からの攻撃に対する抑止力を提供できる。

実施形態に係る不正サーバ検出及び対抗措置支援ネットワークシステムの構成例について示すブロック図である。 実施形態に係るデコイソフトの機能的構成を示すブロック図である。 実施形態に係る支援ソフトの機能的構成を示すブロック図である。 実施形態に係る支援サーバ及びＡＳＰの各装置のハードウェア構成例について示すブロック図である。 実施形態に係る支援サーバが不正サーバ検出及び対抗措置支援ネットワークへ参加する手順を示すシーケンス図である。 実施形態に係る支援サーバへの支援ソフト及びデコイソフトの配信に関する通信イメージ（図５の具体例）を示す図である。 実施形態に係る不正サーバ検出及び対抗措置支援ネットワークシステムの動作（不正サーバ検出支援処理及び対抗措置支援処理）を示すフローチャートである。

（Ａ）主たる実施形態
以下、本発明による制御装置、制御プログラム、制御方法、支援装置、支援プログラム、支援方法、及び支援システムの一実施形態を、図面を参照しながら詳述する。

（Ａ−１）実施形態の構成
（Ａ−１−１）全体構成
図１は、実施形態に係る不正サーバ検出及び対抗措置支援ネットワークシステムの構成例について示すブロック図である。不正サーバ検出及び対抗措置支援ネットワークシステム１では、ＩＸ（Ｉｎｔｅｒｎｅｔ ｅＸｃｈａｎｇｅ）１１、ＡＳＰ（Ａｐｐｌｉｃａｔｉｏｎ Ｓｅｒｖｉｃｅ Ｐｒｏｖｉｄｅｒ）１２、及びＩＳＰ（Ｉｎｔｅｒｎｅｔ Ｓｅｒｖｉｃｅ Ｐｒｏｖｉｄｅｒ）１３（１３−１〜１３−３）、及びネットワーク２０がインターネット１０に接続されている。また、ＩＳＰ１３（１３−１〜１３−３）には支援サーバ１４（１４−１〜１４−３）が各々接続されている。

ＩＳＰ１３−１〜１３−３は、インターネット１０と、ローカルネットワークに配置される支援サーバ１４−１〜１４−３との間の通信を各々中継する中継装置である。

ネットワーク２０に配置される不正サーバ１００は、支援サーバ１４内部への侵入を試みるアクセス権限を持たない装置である（図１では、不正通信Ｒを行う不正サーバ１００−１〜１００−Ｎが例示されている）。また、図１では、不正サーバ１００は、ネットワーク２０に配置されている例が示されているが、当該装置が配置される場所は限定されず、例えば、国内のネットワークでも、海外のネットワークでも良い。また、図１では、支援サーバ１４への不正通信を行う装置として、サーバを例に挙げているが、不正通信を試みる装置であればサーバに限定されるものではない。

ＡＳＰ１２は、インターネット１０上で不正通信を行う不正サーバ１００の検出及び検出した不正サーバ１００の攻撃を遮断、停止するための機能を提供する装置である。具体的に、ＡＳＰ１２は、不正サーバ１００に対抗するための支援ネットワーク（不正サーバ１００の検出及び検出した不正サーバ１００への対抗措置を行う支援サーバ１４のグループ）を形成し、各支援サーバ１４に後述するデコイソフト３０及び又は支援ソフト４０を提供する。ＡＳＰ１２は、デコイソフト３０を保持する各支援サーバ１４から通知された不正サーバ１００のＩＰアドレスを記憶・管理し、支援ソフト４０を保持する各支援サーバ１４に対して、不正サーバ１００のＩＰアドレスの通知と、不正サーバ１００のへの対抗措置の実施を指令（命令）する。

支援サーバ１４は、ＩＳＰ１３を通じて、インターネット１０にアクセス可能な情報処理装置であって、不正サーバ１００に対抗するための支援ネットワークに参加し、ＡＳＰ１２からの指令（命令）に基づいて、デコイソフト３０による不正サーバ１００の検出、及び又は支援ソフト４０による不正アクセスの発信元（不正サーバ１００）への攻撃を行う（図１では、ＩＰアドレス通知通信Ｉを行っている支援サーバ１４−２、及び対抗措置通信Ａ１、Ａ２を行っている支援サーバ１４−１、１４−３が例示されている）。なお、この実施形態では、各支援サーバ１４には、各ＩＳＰ１３から１又は２以上のグローバルＩＰアドレスが付与されているものとする。

また、支援サーバ１４は、支援者となる企業や個人などが保有するコンピュータ装置であり、ラック搭載のサーバ装置に限らず、インターネット１０にアクセスできればノートＰＣ、スマートフォンのような情報処理装置でも良い。

（Ａ−１−２）ＡＳＰ１２の詳細な構成
図１に示すように、ＡＳＰ１２は、対抗措置支援制御装置１０４、支援／デコイソフト配信装置１０５、不正サーバリストＤＢ装置１０７、及び報酬支払装置１０６を備える。図１に示すＡＳＰ１２の各装置の機能は、ハードウェア及び又はソフトウェアとして構成して良い。

支援／デコイソフト配信装置１０５は、支援サーバ１４から不正サーバ１００に対抗するための支援ネットワークへの参加要求（不正サーバ１００の検出支援、対抗措置支援）を受け付けると、支援サーバ１４からの要求に応じて、デコイソフト３０及び又は支援ソフト４０を配信する。

なお、支援／デコイソフト配信装置１０５は、支援ネットワークへ参加中の各支援サーバ１４の情報を管理するが、管理の仕方は限定されるものではなく、例えば、各支援サーバ１４のＩＰアドレス、ユーザＩＤ、各支援サーバ１４に配信したソフトウェアの情報、不正サーバ１００のＩＰアドレスを通知したか否かの情報、不正サーバ１００へ対抗措置を行ったか否かの情報、報酬を支払ったか否かの情報等の項目を備える表形式で管理しても良い。

対抗措置支援制御装置１０４は、不正サーバ１００への対抗措置を実施する支援ソフトを備える支援サーバ１４に対して、不正サーバ１００（不正サーバ１００−１〜１００−Ｎのいずれか）のＩＰアドレスを通知し、対抗措置の実施を指令することで支援ソフト４０を制御する。

ここで、対抗措置支援制御装置１０４が通知するＩＰアドレスの決定方法は限定されるものではなく、例えば、ラウンドロビン方式等、種々様々な手法を適用することができる。

不正サーバリストＤＢ装置１０７は、デコイソフト３０で取得した不正サーバ１００のＩＰアドレスを蓄積するものである。蓄積する情報は、不正サーバ１００のＩＰアドレスのＩＰ情報に限らず、例えば、セッション情報も同時に蓄積しても良い。

報酬支払装置１０６は、ＩＰアドレス通知を実施したデコイソフト３０、及び対抗措置を実施した支援ソフトのユーザ（支援サーバ１４）に対して、現金、暗号通貨、又は電子マネー等の報酬の支払処理を実施する。

（Ａ−１−３）支援サーバ１４の詳細な構成
支援サーバ１４は、大別すると、図１に示すように、デコイソフト３０及び又は支援ソフト４０を備える。図１に示す支援サーバ１４の各構成の機能は、ハードウェア及び又はソフトウェアとして構成して良い。

図２は、実施形態に係るデコイソフトの機能的構成を示すブロック図である。

図２に示すように、デコイソフト３０は、仮想化機能部３１、デコイＯＳ部３２、デコイアプリケーション部３３、通信挙動判定部３４、及び不正サーバＩＰアドレス通知部３５を備える。

仮想化機能部３１は、支援サーバ１４のハードウェア（後述するＣＰＵ５１、メモリ５２、通信ＩＦ部５５等）をエミュレートし、デコイソフト３０が必要とするメモリ空間を隔離する。仮想化機能部３１は、デコイＯＳ部３２に対して、仮想ＣＰＵ、仮想メモリ、仮想ＮＩＣを具備し、ハードウェアの物理的なリソースを制御することで仮想マシンとしての機能を提供する。

デコイＯＳ部３２は、仮想マシン上で動作するＯＳであるが、ＴＣＰ／ＩＰで提供するＷｅｂサービスのポート番号である８０番や４４３番だけでなく、通常は、セキュリティ上、閉じておくべきポート番号である、ＳＳＨ（Ｓｅｃｕｒｅ Ｓｈｅｌｌ）の２２番、Ｔｅｌｎｅｔ（Ｔｅｌｅｔｙｐｅ ｎｅｔｗｏｒｋ）の２３番、ＮＥＴＢＩＯＳ（Ｎｅｔｗｏｒｋ Ｂａｓｉｃ Ｉｎｐｕｔ Ｏｕｔｐｕｔ Ｓｙｓｔｅｍ）の１３９番、ＳＭＢ（Ｓｅｒｖｅｒ Ｍｅｓｓａｇｅ Ｂｌｏｃｋ）の４４５番、リモートデスクトップの３３８９番などが開かれている。

デコイアプリケーション部３３は、Ｗｅｂ、Ｔｅｌｎｅｔ、ＮＥＴＢＩＯＳ、ＳＭＢ、リモートデスクトップなどの各種サービスの応答する機能を提供する。例えば、デコイアプリケーション部３３は、予め任意のディレクトリに顧客リスト等のような機密情報を模した擬似的なデータ（おとり）を配置した上で応答する。

通信挙動判定部３４は、デコイアプリケーション部３３の通信を監視し、通信挙動が不正通信であれば、送信元のＩＰアドレスを取得する。例えば、通信挙動判定部３４は、パターンマッチング等により、通信パケット内に脆弱性コードが確認されれば、不正通信であると判定しても良い。また、通信挙動判定部３４は、上述の擬似的なデータへのアクセスがあった場合（例えば、所定時間内に複数回のアクセスがあった場合等）に、不正通信であると判定しても良い。

不正サーバＩＰアドレス通知部３５は、通信挙動判定部３４で取得したＩＰアドレスを不正サーバリストＤＢ装置１０７に通知する。

図３は、実施形態に係る支援ソフトの機能的構成を示すブロック図である。

図３に示すように、支援ソフト４０は、送信元ＩＰアドレス選択機能部４１、ＲＳＴ発信機能部４２、輻輳トラフィック発信機能部４３、脆弱性コード発信機能部４４、及びＲＡＴ型プログラム発信機能部４５を備える。

送信元ＩＰアドレス選択機能部４１は、ＲＳＴ（ＲＥＳＥＴ）発信を除く対抗措置通信の送信元ＩＰアドレスをランダムに選択するものである。例えば、送信元ＩＰアドレス選択機能部４１は、複数の選択可能なグローバルＩＰアドレスを保持している場合には、その内からランダムなＩＰアドレスを出力する所定の関数を利用しても良い。

ＲＳＴ発信機能部４２は、ＴＣＰのＲＳＴパケットを不正サーバ１００に発信して不正通信を遮断する。

輻輳トラフィック発信機能部４３は、ＴＣＰのＳＹＮパケットやＩＣＭＰパケットを連続して発信して輻輳トラフィックを発生させる。不正サーバ１００のネットワークの回線やプロセッサの処理の負荷を上昇させて不正通信を抑制する。

脆弱性コード発信機能部４４は、ＯＳ等の脆弱性に対応したコードを含んだパケットを発信することで、不正サーバ１００をハングアップさせて処理を停止させる。

ＲＡＴ型プログラム発信機能部４５は、ＲＡＴ（Ｒｅｍｏｔｅ Ａｃｃｅｓｓ Ｔｏｏｌ）型のプログラムを不正サーバ１００に発信して、サーバ内でプロセスとして常駐させる。遠隔で不正サーバ１００の処理やログの監視を行い、不正サーバ１００の管理者や操作者を特定したり、不正通信の処理を終了させて停止させる。

（Ａ−１−４）ハードウェアの詳細な構成
次に、支援サーバ１４及びＡＳＰ１２の各装置のハードウェア構成の例について図４を用いて説明する。

図４に示すように、支援サーバ１４及びＡＳＰ１２の各装置は、ＣＰＵ５１、メモリ５２、補助記憶部５３、入力機能部５４、通信ＩＦ部５５、及び表示機能部５６を有している。

ＣＰＵ５１は、プログラム（後述する補助記憶部５３に記録されたＯＳやアプリケーションプログラム等）を実行するものである。

メモリ５２は、ＣＰＵ５１がプログラムを実行する際に、当該プログラムや、当該プログラムを実行する過程で発生する各種データを一時的に保存するメモリである。

補助記憶部５３は、ＣＰＵ５１が実行するプログラム（例えば、ＯＳやアプリケーションプログラム等）や、各種設定データが記録される記憶部である。

入力機能部５４は、ユーザが情報を入力することができるものであれば特に限定されないものであるが、例えば、キーボードやマウス等である。

通信ＩＦ部５５は、インターネット１０に接続するための通信インタフェース（ＮＩＣ）である。

表示機能部５６は、ユーザに対して情報を出力する装置であって、例えば、液晶ディスプレイ等である。

（Ａ−２）実施形態の動作
次に、以上のような構成を有するこの実施形態に係る不正サーバ検出及び対抗措置支援ネットワークシステム１の動作を説明する。

図５は、実施形態に係る支援サーバが不正サーバ検出及び対抗措置支援ネットワークへ参加する手順を示すシーケンス図である。

まず、支援サーバ１４は、支援／デコイソフト配信装置１０５に対して、不正サーバ検出及び又は対抗措置支援を実行するために、支援ネットワークへの参加要求（支援／デコイソフトのダウンロード要求）を行う（Ｓ１０１）。

支援／デコイソフト配信装置１０５は、参加要求のあった支援サーバ１４の情報を記憶する（Ｓ１０２）。例えば、支援／デコイソフト配信装置１０５は、現在、不正サーバ検出及び対抗措置支援ネットワークへ参加している支援サーバ１４を一元管理している表に参加要求のあった支援サーバ１４の情報を新たに記憶する。

支援／デコイソフト配信装置１０５は、支援サーバ１４が所望する支援に応じて、支援ソフト４０及び又はデコイソフト３０を配信する（Ｓ１０３）。

支援サーバ１４は、ダウンロードしたデコイソフト３０及び又は支援ソフト４０を起動して、不正サーバ検出及び又は対抗措置支援処理を開始する（Ｓ１０４）。

図６は、実施形態に係る支援サーバへの支援ソフト及びデコイソフトの配信に関する通信（図５の具体例）を示す図である。図６の各構成は、図１と同一であるので、詳しい説明は省略する。

図６に示すように、対抗措置支援を所望する支援サーバ１４−１は、支援／デコイソフト配信装置１０５にアクセスし、支援ソフト４０をダウンロードする（ソフト配信通信Ｔ１）。また、不正サーバ検出支援を所望する支援サーバ１４−２は、支援／デコイソフト配信装置１０５にアクセスし、デコイソフト３０をダウンロードする（ソフト配信通信Ｔ２）。さらに、対抗措置支援及び不正サーバ検出支援を所望する支援サーバ１４−３は、支援／デコイソフト配信装置１０５にアクセスし、デコイソフト３０及び支援ソフト４０をダウンロードする（ソフト配信通信Ｔ３）。

支援ソフト４０は、支援サーバ１４−１にて起動されると、対抗措置支援制御装置１０４にポーリング通信（ポーリング通信Ｐ１）を開始し、対抗措置支援制御装置１０４からの指令を待つ待機状態となる。一方、デコイソフト３０は、支援サーバ１４−２にて起動されると、インターネット１０からの通信を受信して通信挙動を監視する状態となる。支援サーバ１４−３でも上記同様に、支援ソフト４０及びデコイソフト３０が起動される。

図７は、実施形態に係る不正サーバ検出及び対抗措置支援ネットワークシステムの動作（不正サーバ検出支援処理及び対抗措置支援処理）を示すフローチャートである。

インターネット１０上の不正サーバ１００からの通信を受信したデコイソフト３０は、デコイＯＳ部３２が受信したポート番号に従いデコイアプリケーション部３３に通信を振り分ける（Ｓ２０１）。

通信を受信したデコイアプリケーション部３３は、不正サーバ１００への応答を行う（Ｓ２０２）。

通信挙動判定部３４は、不正サーバ１００との通信挙動を監視し、不正通信であれば、通信パケットから不正サーバ１００のＩＰアドレスを取得して、不正サーバリストＤＢ装置１０７に通知する（Ｓ２０４）。不正サーバリストＤＢ装置１０７は、通知された不正サーバ１００のＩＰアドレスを蓄積する。

報酬支払装置１０６は、ＩＰアドレスを通知したデコイソフト３０のユーザに対して報酬支払処理（図６のポーリング通信Ｐ２）を実施する（Ｓ２０５）。

対抗措置支援制御装置１０４は、不正サーバリストＤＢ装置１０７から不正サーバ１００のＩＰアドレスを取得して（Ｓ３０１）、待機している支援ソフト４０からのポーリング通信に対して、不正サーバ１００のＩＰアドレス及び対抗措置の指令を通知する（Ｓ３０２〜Ｓ３０４）。

ここで、対抗措置の指令は、支援ソフト４０で実行される所定の対抗措置（ＲＳＴパケットを発信、輻輳トラフィック発信、脆弱性コード発信、及びＲＡＴ型プログラム発信の全部又は一部）である。また、対抗措置の指令には、支援ソフト４０で、不正サーバ１００に送信する対抗措置パケットの送信元ＩＰアドレスをランダムに選択して設定するように、当該送信元ＩＰアドレスが含まれていてもよい。

支援ソフト４０は、不正サーバ１００のＩＰアドレス及び対抗措置の指令を受信すると、以下の処理を実行する（Ｓ４０１）。以下のステップＳ４０２〜Ｓ４０４の処理は一例であって、実行する順番は以下に限らず、また全てを実施する必要もなく、一部の処理のみ実施しても良い。

支援ソフト４０（ＲＳＴ発信機能部４２）は、通知を受けたＩＰアドレスの不正サーバ１００に対してＲＳＴパケットを発信して不正通信を遮断する（Ｓ４０２）。

支援ソフト４０（送信元ＩＰアドレス選択機能部４１）は、不正サーバ１００に送信する対抗措置パケットの送信元ＩＰアドレスをランダムに選択して設定するようにする（Ｓ４０３）。

支援ソフト４０は、通知された対抗措置の指令に応じて、所定の対抗措置（輻輳トラフィック発信、脆弱性コード発信、及びＲＡＴ型プログラム発信の全部又は一部）を行う（Ｓ４０４）。

報酬支払装置１０６は、対抗措置を実施した支援ソフト４０のユーザに対して報酬支払処理を実施する（Ｓ４０５）。

（Ａ−３）実施形態の効果
以上のように、この実施形態によれば、以下の効果を奏する。

インターネット１０上では、攻撃者は、攻撃をしかける対象を常時走査しているが、囮となるデコイソフト３０を導入することで、不正通信による攻撃を誘い込むことができ、攻撃者を効果的に検出することができる。そして、検出された攻撃者に対して、支援ソフト４０により対抗措置を実施することで、攻撃者の不正通信による攻撃を停止させたり、以降の攻撃を中止させる抑止力となり、繰り返される攻撃への効果的な対策となる。

デコイソフト３０は、コンピュータリソースを提供する支援者（ユーザー）が保有する支援サーバ１４にて稼働する。これによりＡＳＰ１２は、不正サーバ１００を検出するためのネットワークやコンピュータの設備を保有及び運用する負担が軽減される。

さらに、不正サーバ１００からの攻撃が大規模化した場合でも、これに対応する設備をあらかじめ保有する必要が無く、支援者を募ることで支援サーバを増加させることができるため、効率的に拡張できる。また、デコイソフトで不正サーバ１００を検出したユーザに報酬支払を可能とすることで、デコイソフトをダウンロードする動機が高まり、攻撃者を検出する能力の拡張が容易となる。

（Ｂ）他の実施形態
本発明は、上記実施形態に限定されるものではなく、以下に例示するような変形実施形態も挙げることができる。

（Ｂ−１）上記実施形態では、不正サーバ検支援及び対抗措置実施支援を行う例を示したが、不正サーバ１００のＩＰアドレスを既に取得している場合には、対抗措置実施支援のみを実施する構成としても良い。

（Ｂ−２）上記実施形態では、支援サーバ１４（支援ソフト４０）の送信元ＩＰアドレスが複数のグローバルＩＰアドレスからランダムなＩＰアドレスを選択する例を示したが、この機能は、ＡＳＰ１２の対抗措置支援制御装置１０４が保持し、制御下の支援サーバ１４が、対抗措置通信を実施する度にランダムなグローバルＩＰアドレスを通知しても良い。支援サーバ１４（支援ソフト４０）は、通知されたグローバルＩＰアドレスを送信元アドレスとして対抗措置通信を実施することになる。

（Ｂ−３）上記実施形態では、支援サーバ１４は、グローバルＩＰアドレスを用いる例を示したが、プライベート（ローカル）ＩＰアドレスを用いても良い。この場合、支援ソフト４０は、送信元ＩＰアドレス選択機能部４１及びＲＳＴ発信機能部４２の機能を実行しない。

（Ｂ−４）上記実施形態では、ＡＳＰ１２が、対抗措置支援制御装置１０４、不正サーバリストＤＢ装置１０７、支援／デコイソフト配信装置１０５、及び報酬支払装置１０６の４つの装置を備える例を示したが、１個の情報処理装置に上記各装置の機能を実装しても良い。

（Ｂ−５）上記実施形態では、ＡＳＰ１２が報酬支払装置１０６を備える構成を示したが、変形例として、本装置を省略して良い。即ち、報酬を目的としたユーザ（支援サーバ１４）の参加は無くなってしまうが、ボランティアとして参加する支援サーバ１４による支援ネットワークを形成できる。

１…対抗措置支援ネットワークシステム、１０…インターネット、１２…ＡＳＰ、１３…ＩＳＰ、１４…支援サーバ、２０…ネットワーク、３０…デコイソフト、３１…仮想化機能部、３２…デコイＯＳ部、３３…デコイアプリケーション部、３４…通信挙動判定部、３５…不正サーバＩＰアドレス通知部、４０…支援ソフト、４１…送信元ＩＰアドレス選択機能部、４２…ＲＳＴ発信機能部、４３…輻輳トラフィック発信機能部、４４…脆弱性コード発信機能部、４５…ＲＡＴ型プログラム発信機能部、５１…ＣＰＵ、５２…メモリ、５３…補助記憶部、５４…入力機能部、５５…通信ＩＦ部、５６…表示機能部、１００…不正サーバ、１０４…対抗措置支援制御装置、１０５…支援／デコイソフト配信装置、１０６…報酬支払装置、１０７…不正サーバリストＤＢ装置。

Claims (14)

1. 少なくとも不正通信を行う不正装置のアドレスを蓄積する不正装置情報蓄積手段と、
   前記不正装置の不正通信に対抗するための対抗措置を行う支援装置に対して、少なくとも前記不正装置のアドレスと、対抗措置の指令とを通知する不正装置情報通知手段と
   を備えることを特徴とする制御装置。
2. 前記不正装置のアドレスの取得を行う及び又は前記不正装置への対抗措置を行う前記支援装置の情報を管理する支援装置情報管理手段と、
   前記支援装置に対して、当該支援装置で前記不正装置のアドレスを取得するためのデコイ機能を提供するデコイソフト及び又は対抗措置の機能を提供する支援ソフトを配信するソフト配信手段と
   をさらに備えることを特徴とする請求項１に記載の制御装置。
3. 前記不正装置情報蓄積手段で蓄積される前記不正装置のアドレスは、前記デコイソフトを備える前記支援装置から通知されたアドレスであることを特徴とする請求項２に記載の制御装置。
4. 前記不正装置情報通知手段により、前記不正装置のアドレスと対抗措置の指令とが通知される支援装置は、前記支援ソフトを備える支援装置であることを特徴とする請求項２又は３に記載の制御装置。
5. 前記不正装置のアドレスの通知及び又は前記対抗措置を実施した前記支援装置を有するユーザに対して、報酬の支払いを実施する報酬支払手段をさらに備えることを特徴とする請求項１〜４のいずれかに記載の制御装置。
6. 前記対抗措置の指令は、前記不正装置と前記不正装置から攻撃を受けている装置との間の通信を強制終了するリセット発信、輻輳トラフィック発信、脆弱性コード発信、及びＲＡＴ型プログラム発信の全部又は一部を含むことを特徴とする請求項１〜５のいずれかに記載の制御装置。
7. 制御装置の指令に基づいて、不正通信を行う不正装置に対抗するための支援を行う支援装置であって、
   複数のアドレスから通信に使用するアドレスをランダムに選択するアドレス選択手段と、
   前記不正装置のアドレスに向けて通信強制終了を示すコマンドを発信するリセット発信手段と、
   前記不正装置のアドレスに向けて通信パケットを連続して発信して輻輳トラフィックを発生させる輻輳トラフィック発信手段と、
   前記不正装置のアドレスに向けてプログラムの脆弱性に対応したコードを含んだ通信パケットを発信する脆弱性コード発信手段と、
   前記不正装置のアドレスに向けて遠隔操作を可能にするためのプログラムを含む通信パケットを発信する遠隔操作プログラム発信手段と
   を備えることを特徴とする支援装置。
8. 前記不正装置からの通信に応答し、通信挙動を監視する通信挙動判定手段と、
   前記通信挙動が不正であると判定された前記不正装置のアドレスを取得し、該アドレスを含む前記不正装置に関する情報を前記制御装置に通知する不正装置情報通知部と
   をさらに備えることを特徴とする請求項７に記載の支援装置。
9. 前記通信挙動判定手段は、仮想化機能によりハードウェアをエミュレートし、支援サーバのメモリ空間を隔離して、囮となる
   ことを特徴とする請求項８に記載の支援装置。
10. 制御装置に搭載されるコンピュータを、
    少なくとも不正通信を行う不正装置のアドレスを蓄積する不正装置情報蓄積手段と、
    前記不正装置の不正通信に対抗するための対抗措置を行う支援装置に対して、少なくとも前記不正装置のアドレスと、対抗措置の指令とを通知する不正装置情報通知手段と
    して機能させることを特徴とする制御プログラム。
11. 制御装置の指令に基づいて、不正通信を行う不正装置に対抗するための支援を行う支援装置に搭載されるコンピュータを、
    複数のアドレスから通信に使用するアドレスをランダムに選択するアドレス選択手段と、
    前記不正装置のアドレスに向けて通信強制終了を示すコマンドを発信するリセット発信手段と、
    前記不正装置のアドレスに向けて通信パケットを連続して発信して輻輳トラフィックを発生させる輻輳トラフィック発信手段と、
    前記不正装置のアドレスに向けてプログラムの脆弱性に対応したコードを含んだ通信パケットを発信する脆弱性コード発信手段と、
    前記不正装置のアドレスに向けて遠隔操作を可能にするためのプログラムを含む通信パケットを発信する遠隔操作プログラム発信手段と
    して機能させることを特徴とする支援プログラム。
12. 制御装置の制御方法であって、
    前記制御装置は、
    少なくとも不正通信を行う不正装置のアドレスを蓄積する不正装置情報蓄積ステップと、
    前記不正装置の不正通信に対抗するための対抗措置を行う支援装置に対して、少なくとも前記不正装置のアドレスと、対抗措置の指令とを通知する不正装置情報通知ステップと
    を備えることを特徴とする制御方法。
13. 制御装置の指令に基づいて、不正通信を行う不正装置に対抗するための支援を行う支援装置の支援方法であって、
    前記支援装置は、
    複数のアドレスから通信に使用するアドレスをランダムに選択するアドレス選択ステップと、
    前記不正装置のアドレスに向けて通信強制終了を示すコマンドを発信するリセット発信ステップと、
    前記不正装置のアドレスに向けて通信パケットを連続して発信して輻輳トラフィックを発生させる輻輳トラフィック発信ステップと、
    前記不正装置のアドレスに向けてプログラムの脆弱性に対応したコードを含んだ通信パケットを発信する脆弱性コード発信ステップと、
    前記不正装置のアドレスに向けて遠隔操作を可能にするためのプログラムを含む通信パケットを発信する遠隔操作プログラム発信ステップと
    を備えることを特徴とする支援方法。
14. 制御装置と、複数の支援装置とを備える支援システムであって、
    前記制御装置には、請求項１〜６のいずれかに記載の制御装置が適用され、
    前記各支援装置には請求項７〜９のいずれかに記載の支援装置が適用される
    ことを特徴とする支援システム。

Images