JP2021077051A

JP2021077051A - 不正侵入検出システムおよび不正侵入検出装置

Info

Publication number: JP2021077051A
Application number: JP2019202797A
Authority: JP
Inventors: 信隆川口; Nobutaka Kawaguchi; 克哉西嶋; Katsuya Nishijima; 倫宏重本; Michihiro Shigemoto
Original assignee: Hitachi Ltd
Current assignee: Hitachi Ltd
Priority date: 2019-11-07
Filing date: 2019-11-07
Publication date: 2021-05-20

Abstract

【課題】端末に不正に侵入したプログラムを効率よく検出する不正侵入検出システムを提供する。
【解決手段】偽アドレスを端末に配布する配布部と、配布部から受信した偽アドレスを入力として端末の外部と通信を行う所定のプログラムを実行する通信制御部と、オペレーティングシステムは、所定のプログラムにより偽アドレス宛てにパケットが発出された場合、通信先アドレス情報に偽アドレスを登録し、所定のプログラムが行う規定の通信の手順および内容が含まれる規定通信情報をもとに、通信制御部により発出されたパケットに対する応答を返す応答部と、端末からの偽アドレス宛ての通信を監視し、通信の手順および内容と規定の通信の手順および内容とを比較して端末に不正に侵入したプログラムを検出する通信監視部と、を設けるようにした。
【選択図】図１

Description

本発明は、不正侵入検出システムおよび不正侵入検出装置に関し、例えば、端末に不正に侵入したプログラムを検出する不正侵入検出システムおよび不正侵入検出装置に適用して好適なものである。

近年、破壊型攻撃、制御システムを狙った標的型攻撃、ランサムウエア等のサイバー攻撃は、ますます高度化および多様化している。これに伴い、サイバー攻撃に用いられるマルウエアが具備する機能も複雑化の傾向にある。

従来から、端末内、組織のネットワーク等から取得した情報をもとに拡散を広げるマルウエアが知られている。これを受けて、「マルウエアを騙し、おとりにおびき寄せる」ことで、前述の拡散行動に対抗しようとする技術が存在する。特許文献１では、端末内に「おとり」ファイル、「おとり」フォルダ等を作成し、これに対する攻撃者のアクセス挙動と、攻撃挙動を記録したパターンデータベースとを比較し、攻撃を検出する技術を開示している。また、特許文献２では、ＷＥＢサーバ、メールサーバといった、複数のおとりとなる模擬リソースを組織内のネットワークで立ち上げることで、マルウエアをおびき寄せて検出する技術を開示している。

特開２０１６−３３６９０号公報国際公開第２０１６／１８９８４３号

近年、新種のマルウエアが発生している。新種のマルウエアは、組織内のネットワークへの高度な拡散機能を有する。従来、マルウエアが組織内のネットワークに拡散する際は、ＩＰアドレスをスキャンして拡散先の端末を特定する方法が一般的であった。これに対して新種のマルウエアは、ＩＰアドレスのスキャンに加え、感染した端末内のＡＲＰＣａｃｈｅ、ＤＨＣＰアドレスの割当リスト、感染した端末の現在の通信先のＩＰアドレスおよびポート番号に関する情報（以下、通信先アドレス情報）等を悪用して効率的に拡散を行うことで従来の検出手段の多くを回避することができる。

例えば、新種のマルウエアは、通信先アドレス情報テーブルから通信先の端末を抽出することで、サブネット内外の端末に効率的に拡散することができる。この方法は、ＩＰアドレスのスキャンと異なり、未使用のＩＰアドレスに対してＩＰパケットを送信しないため、ダークネット観測、ＴＣＰ接続の失敗回数に基づく検出、ファイアーウォール等の端末間のアクセス制御ルールを回避できる可能性が高い。このようなことから、特に、オペレーティングシステムが保持する通信先アドレス情報テーブルを悪用した組織内のネットワークへの拡散が問題となっている。

この点、特許文献１および特許文献２に記載の技術では、端末内のファイル、サーバ等のおとりにマルウエアが騙されるのを待たなければならい。つまり、感染した端末の通信先アドレス情報を悪用して拡散する新種のマルウエアは、現在、通信が行われている通信先のＩＰアドレスおよびポート番号を用いるので、ファイル、サーバ等のおとりにアクセスしないため、特許文献１および特許文献２に記載の技術では、新種のマルウエアを検出することが困難である。

本発明は、以上の点を考慮してなされたもので、端末に不正に侵入したプログラムを効率よく検出する不正侵入検出システム等を提案しようとするものである。

かかる課題を解決するため本発明においては、端末に不正に侵入したプログラムを検出する不正侵入検出システムであって、前記端末のオペレーティングシステムが保持する通信先アドレス情報に含まれる通信先のアドレスを取得し、取得したアドレスをもとに、未使用のアドレスが管理される未使用アドレス情報から１つ以上のアドレスを選択し、選択したアドレスを偽アドレスとして前記端末に配布する配布部と、前記配布部から受信した偽アドレスを入力として前記端末の外部と通信を行う所定のプログラムを実行する通信制御部と、前記オペレーティングシステムは、前記所定のプログラムにより前記偽アドレス宛てにパケットが発出された場合、前記通信先アドレス情報に前記偽アドレスを登録し、前記所定のプログラムが行う規定の通信の手順および内容が含まれる規定通信情報をもとに、前記通信制御部により発出されたパケットに対する応答を返す応答部と、前記端末からの偽アドレス宛ての通信を監視し、前記通信の手順および内容と前記規定の通信の手順および内容とを比較して前記端末に不正に侵入したプログラムを検出する通信監視部と、を設けるようにした。

上記構成では、端末からの偽アドレス宛ての通信を監視し、当該通信の手順および内容と規定の通信の手順および内容とを比較することで、端末に不正に侵入したプログラム（以下、「不正侵入プログラム」と記す）を検出することができる。例えば、不正侵入プログラムが通信先アドレス情報を用いて通信先を決定するプログラムである場合、通信先アドレス情報に偽アドレスを登録しておくことで、不正侵入プログラムが偽アドレス宛てにアクセスする確率が高まるので、効率よく不正侵入プログラムを検出することができる。

本発明によれば、端末に不正に侵入したプログラムを効率よく検出することができる。

第１の実施の形態による不正侵入検出システムに係る構成の一例を示す図である。第１の実施の形態による偽アドレス配布装置のハードウェアの構成の一例を示す図である。第１の実施の形態による未使用アドレス帯ＤＢの構成の一例を示す図である。第１の実施の形態による規定通信プロファイルＤＢの構成の一例を示す図である。第１の実施の形態による規定プログラムプロファイルＤＢの構成の一例を示す図である。第１の実施の形態による配布処理の一例を示す図である。第１の実施の形態による偽通信処理の一例を示す図である。第１の実施の形態による偽応答処理の一例を示す図である。第１の実施の形態による監視処理の一例を示す図である。第１の実施の形態による配布するアドレスの選択を説明するための図である。

以下図面について、本発明の一実施の形態を詳述する。本実施の形態では、偽のアドレスを通信先アドレス情報に付加することで、侵入した端末の通信先アドレス情報を悪用して組織内外に拡散するマルウエアを検出し、当該マルウエアの拡散および抑制を実現する技術に関する。

（１）第１の実施の形態
（システム概要）
図１において、１００は全体として第１の実施の形態による不正侵入検出システムを示す。

図１は、不正侵入検出システム１００に係る構成の一例を示す図である。不正侵入検出システム１００は、偽アドレス配布装置１１０、端末Ａ１２０、端末Ｂ１３０、および偽応答装置１４０を含んで構成される。以下では、端末Ａ１２０および端末Ｂ１３０の区別を要しない場合、「端末」と記すことがある。

不正侵入検出システム１００において、偽の通信先（接続先、宛て先）のアドレス（以下、「偽アドレス」と記す）および偽の通信先のポート番号（以下、「偽ポート番号」と記す）を端末に設定し、マルウエアを騙すという構成（行為）は、偽アドレス配布装置１１０と端末Ａ１２０との組み合わせ、または、偽アドレス配布装置１１０と端末Ｂ１３０と偽応答装置１４０との組み合わせ、により実現する。前者の組み合わせを第１の組合せ１０１と記し、後者の組み合わせを第２の組合せ１０２と記す。

第１の組合せ１０１と第２の組合せ１０２とは共存できる。第１の組合せ１０１の利点としては、偽アドレスとして組織内と組織外との両方を使用できること、通信の遮断が端末Ａ１２０の内部で俊敏に実施できることが挙げられる。なお、端末Ｂ１３０の通信を止めるためには、マルウエアを検出してから、端末Ｂ１３０の通信を閉じるように、端末Ｂ１３０の通信に係るルータ、スイッチ等の機器に命令を出さなければならないので、端末Ａ１２０の通信を止めるときよりも時間を要する。一方、第２の組合せ１０２の利点としては、端末Ｂ１３０に導入する必要がある機能部とデータベースとを少なくできるため、リソースに制約がある端末への導入が比較的容易となることが挙げられる。

第１の組合せ１０１では、端末Ａ１２０を例に挙げているが、端末Ａ１２０と同様に検出抑制部１２１を備える他の端末が１以上、含まれていてもよい。また、第２の組合せ１０２では、端末Ｂ１３０を例に挙げているが、端末Ｂ１３０と同様に検出抑制部１３１を備える他の端末が１以上、含まれていてもよい。

偽アドレス配布装置１１０と端末Ａ１２０との間の通信、偽アドレス配布装置１１０と端末Ｂ１３０との間の通信、端末Ｂ１３０と偽応答装置１４０との間の通信は、通信ネットワーク１５０を介して行われる。通信ネットワーク１５０は、ＷＡＮ（Wide Area Network）、携帯電話、ＰＨＳ（Personal Handy-phone System）等で利用される公衆回線網等である。

不正侵入検出システム１００では、偽アドレス配布装置１１０から端末に偽アドレス偽ポート番号メッセージ１６１が配布（送信）される。偽アドレス偽ポート番号メッセージ１６１は、偽アドレス配布装置１１０から端末Ａ１２０の偽通信制御部１２２および端末Ｂ１３０の偽通信制御部１３２に送られる電文である。偽アドレス偽ポート番号メッセージ１６１には、端末Ａ１２０または端末Ｂ１３０に設定する偽アドレスおよび偽ポート番号に関する情報が含まれる。

また、不正侵入検出システム１００では、偽アドレスおよび偽ポート番号をもとに端末Ａ１２０内で、規定通信メッセージ１７１と偽応答メッセージ１７２とによる通信（偽通信）が行われている。規定通信メッセージ１７１は、端末Ａ１２０に属する規定プログラム１２７から偽応答部１２３に送信される電文である。電文内の通信先のアドレスおよび通信先のポート番号は、偽アドレス偽ポート番号メッセージ１６１にて指定されたものである。偽応答メッセージ１７２は、偽応答部１２３から規定プログラム１２７に送信される電文である。偽応答メッセージ１７２は、規定通信メッセージ１７１に対する返信である。

また、不正侵入検出システム１００では、偽アドレスおよび偽ポート番号をもとに端末Ｂ１３０内で、規定通信メッセージ１８１と偽応答メッセージ１８２とによる通信（偽通信）が行われている。規定通信メッセージ１８１は、端末Ｂ１３０内の規定プログラム１３４から偽応答装置１４０内のサーバ側偽応答部１４１に送信される電文である。電文内の通信先のアドレスおよび通信先のポート番号は、偽アドレス偽ポート番号メッセージ１６１にて指定されたものである。偽応答メッセージ１８２は、サーバ側偽応答部１４１から規定プログラム１３４に送信される電文である。偽応答メッセージ１８２は、規定通信メッセージ１８１に対する返信である。

偽アドレス配布装置１１０は、偽アドレスを端末に配布（送信）するサーバである。偽アドレス配布装置１１０は、偽アドレス配布部１１１および未使用アドレス帯ＤＢ１１２を備える。

偽アドレス配布部１１１は、端末に配布する偽アドレス偽ポート番号メッセージ１６１を作成する。未使用アドレス帯ＤＢ１１２は、偽アドレス偽ポート番号メッセージ１６１を作成するに当たり参照されるデータベース（ＤＢ）である。未使用アドレス帯ＤＢ１１２は、偽アドレスに使用可能なアドレス帯、例えば、業務で未使用のアドレス帯を保持する（図３参照）。

端末Ａ１２０は、偽アドレス配布装置１１０から受信した偽アドレス偽ポート番号メッセージ１６１を用いて偽通信を発生させ、オペレーティングシステム１２８が保持する通信先アドレス情報テーブル１２９に通信に係る情報を登録する。更に、端末Ａ１２０は、通信先アドレス情報テーブル１２９を参照して拡散を試みるマルウエアの検出および遮断を行う。通信に係る情報には、送信元のアドレス（端末Ａ１２０のアドレス）と、送信先のアドレス（偽アドレス）と、送信先のポート番号（偽ポート番号）とが含まれる。

端末Ａ１２０は、検出抑制部１２１を備える。検出抑制部１２１は、偽通信制御部１２２、偽応答部１２３、通信監視部１２４、規定通信プロファイルＤＢ１２５、および規定プログラムプロファイルＤＢ１２６を備える。なお、検出抑制部１２１は、端末Ｂ１３０の検出抑制部１３１と偽応答装置１４０が有する機能に相当する機能を有している。

また、端末Ａ１２０は、規定プログラム１２７およびオペレーティングシステム１２８を備える。検出抑制部１２１および規定プログラム１２７は、何れもオペレーティングシステム１２８上で動作する。なお、規定プログラム１２７およびオペレーティングシステム１２８は、端末Ａ１２０が予め備えている機能であり、その他の機能およびＤＢは、マルウエアの対策用に新たに導入されたものである。

偽通信制御部１２２は、偽アドレス偽ポート番号メッセージ１６１を受信するとともに、規定プログラム１２７を実行することで、偽アドレスおよび偽ポート番号に対する偽通信を発生させる。

規定プログラム１２７は、オペレーティングシステム１２８上に予め備わっている標準的な通信プログラム（Microsoft WINDOWS（登録商標）である場合、net.exe、telnet.exe等が相当）であり、偽通信制御部１２２により実行され、偽アドレス偽ポート番号メッセージ１６１に対して、規定通信メッセージ１７１を発生させる。発生した規定通信メッセージ１７１（通信に係る情報）は、自動的に、オペレーティングシステム１２８の通信先アドレス情報テーブル１２９に登録される。これにより、通信先アドレス情報テーブル１２９を参照して拡散先を決定するマルウエアを騙すことが可能になる。

規定プログラム１２７が行う通信の手順および通信の内容は、検出抑制部１２１にとって既知であり、規定通信プロファイルＤＢ１２５に記録されている（図４参照）。規定プログラム１２７は、複数存在してもよく、その場合、偽ポート番号に応じてどの規定プログラム１２７を使用するべきかが規定プログラムプロファイルＤＢ１２６で指定されている（図５参照）。

検出抑制部１２１内に端末Ａ１２０の外部（偽アドレスおよび偽ポート番号）に対して通信する通信プログラムを独自に設けるのではなく、オペレーティングシステム１２８に予め備わっている規定プログラム１２７を使用するのは、マルウエアが実際の業務に関連する通信と偽通信とを見分けることを困難にするためである。独自の通信プログラムによる通信は、マルウエアにとって警戒され、拡散先の対象から外されてしまう可能性がある。

偽応答部１２３は、規定プログラム１２７からの規定通信メッセージ１７１に対して偽応答メッセージ１７２を返す。規定通信メッセージ１７１の通信先のアドレスは、端末Ａ１２０以外のものである。このため、偽応答部１２３は、本来の通信先のアドレスになり替わって応答を返す。例えば、端末Ａ１２０のアドレスが１９２．１６８．１００．１０であり、規定通信メッセージ１７１のアドレスが１９２．１６８．１００．２０である場合、偽応答部１２３は、送信元のアドレスが１９２．１６８．１００．２０となる偽応答メッセージ１７２を作成して返信する。偽応答部１２３は、偽応答メッセージ１７２の作成に際しては、規定通信プロファイルＤＢ１２５を参照する。

規定通信メッセージ１７１に対して偽応答メッセージ１７２を返すのは、ＴＣＰ（Transmission Control Protocol）等の双方向の通信を正しく確立させ、通信先アドレス情報テーブル１２９に反映させるためである。仮に、偽応答メッセージ１７２がない場合、通信先アドレス情報テーブル１２９では、規定通信メッセージ１７１が確立に失敗した通信として挙げられるため、マルウエアに偽通信であると見抜かれるおそれがある。

通信監視部１２４は、端末Ａ１２０の通信を監視する。例えば、通信監視部１２４は、偽アドレスおよび偽ポート番号宛ての通信を発見した場合、規定通信プロファイルＤＢ１２５を参照しながら、当該通信が規定プログラム１２７に起因するものであるか否か（規定の通信であるか否か）を分析する。通信監視部１２４は、分析の結果、規定プログラム１２７に起因するものではないと判定した場合、マルウエアの感染の可能性があると見做し、アラートの発出および／または通信の遮断を行う。

端末Ｂ１３０は、偽アドレス配布装置１１０から受信した偽アドレス偽ポート番号メッセージ１６１を用いて偽通信を発生させ、オペレーティングシステム１３５が保持する通信先アドレス情報テーブル１３６に通信に係る情報を登録する。更に、端末Ｂ１３０は、通信先アドレス情報テーブル１３６を参照して拡散を試みるマルウエアの検出および遮断を行う。

端末Ｂ１３０は、検出抑制部１３１を備える。検出抑制部１３１は、偽通信制御部１３２および規定プログラムプロファイルＤＢ１３３を備える。また、端末Ｂ１３０は、規定プログラム１３４およびオペレーティングシステム１３５を備える。検出抑制部１３１および規定プログラム１３４は、何れもオペレーティングシステム１３５上で動作する。なお、オペレーティングシステム１３５および規定プログラム１３４は、端末Ｂ１３０が予め備えている機能であり、その他の機能およびＤＢは、マルウエアの対策用に新たに導入されたものである。

偽通信制御部１３２は、偽アドレス偽ポート番号メッセージ１６１を受信するとともに、規定プログラム１３４を実行することで、偽アドレスおよび偽ポート番号に対する偽通信を発生させる。

規定プログラム１３４は、オペレーティングシステム１３５上に予め備わっている標準的な通信プログラム（Microsoft WINDOWS（登録商標）である場合、net.exe、telnet.exe等が相当）であり、偽通信制御部１３２により実行され、偽アドレス偽ポート番号メッセージ１６１に対して、規定通信メッセージ１８１を発生させる。発生した規定通信メッセージ１８１（通信に係る情報）は、自動的に、オペレーティングシステム１３５の通信先アドレス情報テーブル１３６に登録される。これにより、通信先アドレス情報テーブル１３６を参照して拡散先を決定するマルウエアを騙すことが可能になる。

規定通信メッセージ１８１は、規定通信メッセージ１７１とは異なり、実際に端末Ｂ１３０の外に発出される。規定プログラム１３４が行う通信の手順および通信の内容は、偽応答装置１４０にとって既知であり、規定通信プロファイルＤＢ１４４に記録されている。規定プログラム１３４は、複数存在してもよく、その場合、偽ポート番号に応じてどの規定プログラム１３４を使用するべきかが規定プログラムプロファイルＤＢ１３３で指定されている。

偽応答装置１４０は、通信ネットワーク１５０上に設置され、サーバ側偽応答部１４１およびサーバ側通信監視部１４２を備える。

サーバ側偽応答部１４１は、規定プログラム１３４から未使用アドレス帯ＤＢ１４３に記載されているアドレス宛ての規定通信メッセージ１８１に対して偽応答メッセージ１８２を返す。

サーバ側偽応答部１４１は、偽応答メッセージ１８２の作成に際しては、規定通信プロファイルＤＢ１４４を参照する。規定通信メッセージ１８１に対して偽応答メッセージ１８２を返すのは、ＴＣＰ等の双方向通信を正しく確立させ、通信先アドレス情報テーブル１３６に反映させるためである。仮に、偽応答メッセージ１８２がない場合、通信先アドレス情報テーブル１３６では、規定通信メッセージ１８１が確立に失敗した通信として挙げられるため、マルウエアに偽通信であると見抜かれるおそれがある。

偽応答装置１４０が通信ネットワーク１５０にある関係から、第２の組合せ１０２では、規定プログラム１３４の通信先のアドレスのアドレス帯は、通信ネットワーク１５０に属する組織内のものに限定される。一方、第１の組合せ１０１では、規定プログラム１２７の通信は、すべて偽応答部１２３により扱われるため、組織内および組織外の何れのアドレス帯も通信先として使用可能である。

サーバ側通信監視部１４２は、端末Ｂ１３０の通信を監視する。例えば、サーバ側通信監視部１４２は、未使用アドレス帯ＤＢ１４３に記載されているアドレス宛ての通信を監視し、当該通信を発見した場合、規定通信プロファイルＤＢ１４４を参照しながら、当該通信が規定プログラム１３４に起因するものであるか否かを分析する。サーバ側通信監視部１４２は、分析の結果、規定プログラム１３４に起因するものではないと判定した場合、マルウエアの感染の可能性があると見做し、アラートの発出および／または通信の遮断を行う。

（ハードウェア構成）
図２は、偽アドレス配布装置１１０のハードウェアの構成の一例を示す図である。なお、他の装置（端末Ａ１２０、端末Ｂ１３０、および偽応答装置１４０）のハードウェアの構成も同様である。

偽アドレス配布装置１１０は、ＣＰＵ２０１、メモリ２０２、外部記憶装置２０３、インタフェース（ＩＦ）２０４、入出力装置２０５、およびバス２０６を含んで構成される。

ＣＰＵ２０１は、メモリ２０２内に保存されたプログラムを実行し、偽アドレス配布部１１１の処理ルーチンとして具現化させる。

メモリ２０２は、各機能部を実現するのに必要な実行プログラムを含んでいる。

外部記憶装置２０３は、ＨＤＤ（Hard Disk Drive）等から構成され、データの長期記憶を行うのに用いられる。外部記憶装置２０３は、未使用アドレス帯ＤＢ１１２ＤＢを格納する。

ＩＦ２０４は、偽アドレス配布装置１１０を通信ネットワーク１５０に接続する。

入出力装置２０５は、偽アドレス配布装置１１０をユーザおよび管理者による各種情報の入力を行い、格納されている情報の出力を行う。

バス２０６は、ＣＰＵ２０１、メモリ２０２、外部記憶装置２０３、ＩＦ２０４、および入出力装置２０５を接続し、機能間の情報のやりとりを実現する。

偽アドレス配布装置１１０の機能（例えば、偽アドレス配布部１１１）は、例えば、ＣＰＵ２０１が外部記憶装置２０３に格納されたプログラムをメモリ２０２に読み出して実行すること（ソフトウェア）により実現されてもよいし、専用の回路等のハードウェアにより実現されてもよいし、ソフトウェアとハードウェアとが組み合わされて実現されてもよい。また、偽アドレス配布装置１１０の機能の一部は、偽アドレス配布装置１１０と通信可能な他のコンピュータにより実現されてもよい。

付言するならば、端末Ａ１２０の機能（偽通信制御部１２２、偽応答部１２３、通信監視部１２４等）は、例えば、ＣＰＵが外部記憶装置に格納されたプログラムをメモリに読み出して実行すること（ソフトウェア）により実現されてもよいし、専用の回路等のハードウェアにより実現されてもよいし、ソフトウェアとハードウェアとが組み合わされて実現されてもよい。また、端末Ａ１２０の機能の一部は、端末Ａ１２０と通信可能な他のコンピュータにより実現されてもよい。

端末Ｂ１３０の機能（例えば、偽通信制御部１３２）は、例えば、ＣＰＵが外部記憶装置に格納されたプログラムをメモリに読み出して実行すること（ソフトウェア）により実現されてもよいし、専用の回路等のハードウェアにより実現されてもよいし、ソフトウェアとハードウェアとが組み合わされて実現されてもよい。また、端末Ｂ１３０の機能の一部は、端末Ｂ１３０と通信可能な他のコンピュータにより実現されてもよい。

偽応答装置１４０の機能（サーバ側偽応答部１４１、サーバ側通信監視部１４２等）は、例えば、ＣＰＵが外部記憶装置に格納されたプログラムをメモリに読み出して実行すること（ソフトウェア）により実現されてもよいし、専用の回路等のハードウェアにより実現されてもよいし、ソフトウェアとハードウェアとが組み合わされて実現されてもよい。また、偽応答装置１４０の機能の一部は、偽応答装置１４０と通信可能な他のコンピュータにより実現されてもよい。

（データベース構成）
図３は、未使用アドレス帯ＤＢ１１２の構成の一例を示す図である。未使用アドレス帯ＤＢ１１２の各レコードは、端末に送信する偽アドレス偽ポート番号メッセージ１６１に設定可能なアドレス帯を示している。各レコードには、ＩＤ３０１と種類３０２と配布可能アドレス帯３０３と配布対象端末３０４とが対応付けられた情報が含まれる。

ＩＤ３０１は、各レコードを一意に識別するための識別子である。

種類３０２は、アドレス帯の種類を示す。種類３０２としては、主に、「組織内」と「組織外」とがある。「組織内」は、通信ネットワーク１５０に代表される、組織内のシステム上で使用されるアドレス帯であり、通常、プライベートＩＰアドレスとなることが多い。ただし、種類３０２は、グローバルＩＰアドレスである場合もある。他方、「組織外」は、自組織以外に割り当てられたアドレス帯であり、通常、グローバルＩＰアドレスとなる。

配布可能アドレス帯３０３は、端末に対して偽アドレスとして配布可能なアドレスのレンジを示す。

配布対象端末３０４は、配布可能アドレス帯３０３の中のアドレスを配布することが可能な端末を示す。

ＩＤ３０１が「１」のレコードは、種類３０２が「組織内」であり、配布可能アドレス帯３０３が「ａ．０．０．０／２４、ｂ．０．０．０／２４」であり、配布対象端末３０４が「端末Ａ、端末Ｂ」である。種類３０２が「組織内」である場合、配布可能アドレス帯３０３に記述されるアドレスは、組織内で使用可能なアドレス帯のうち、業務で未使用のものである。付言するならば、偽応答装置１４０には、例えば、複数のＩＰアドレスが割り当てられていて、端末Ｂ１３０に関しては、配布可能アドレス帯３０３には、当該複数のＩＰアドレスのアドレス帯が保持されている。

ＩＤ３０１が「２」のレコードは、種類３０２が「組織外」であり、配布可能アドレス帯３０３が「ｃ．０．０．０／２４、ｄ．０．０．０／２４」であり、配布対象端末３０４が「端末Ａ」である。種類３０２が「組織外」である場合、配布可能アドレス帯３０３に記述されるアドレスは、インターネット等の組織外で使用可能なアドレス帯のうち、業務で未使用のものである。ＩＤ３０１が「１」のレコードと異なり、種類３０２が「組織外」であるため、配布対象端末３０４には「端末Ｂ」は含まれていない。

図４は、規定通信プロファイルＤＢ１２５の構成の一例を示す図である。規定通信プロファイルＤＢ１２５の各レコードは、規定プログラム１２７が発信する規定通信メッセージ１７１と、規定通信メッセージ１７１に対する偽応答部１２３からの応答である偽応答メッセージ１７２との手順（順序）および内容を規定している。

偽応答部１２３は、規定通信プロファイルＤＢ１２５を参照しながら偽応答メッセージ１７２を返す。同様に、通信監視部１２４は、規定通信プロファイルＤＢ１２５を参照しながらマルウエアの通信を検出する。

ＩＤ４０１は、各レコードを一意に識別するための識別子である。

プロファイル４０２は、規定通信メッセージ１７１および偽応答メッセージ１７２の手順および内容を状態遷移図の形式で規定する。状態遷移図は、例えば、図４に示すように、通信の状態の移り変わり（遷移）を表現した図であり、通信の状態を図形で表し、通信の状態の移り変わりを矢印で表している。

状態４０３は、規定の通信の現在の実施の状態を指し示す。状態４０３が指し示す通信が、規定プログラム１２７または偽応答部１２３が次に発信することが期待される通信である。

ＩＤ４０１が「１」の例では、まず、ｓｔａｔｅ０において規定プログラム１２７からＳＹＮ通信が発生する。次いで、ｓｔａｔｅ１において偽応答部１２３から規定プログラム１２７にＳＹＮ／ＡＣＫ通信が返信される。次に、ｓｔａｔｅ２において規定プログラム１２７からＡＣＫ通信が発生する。

次に、ｓｔａｔｅ３において規定プログラム１２７からＮｅｇｏｔｉａｔｅＲｅｑｕｅｓｔ通信（Ｃｏｍｍａｎｄ＝０ｘ７２）が発生する。次いで、ｓｔａｔｅ４において偽応答部１２３から規定プログラム１２７にＮｅｇｏｔｉａｔｅＲｅｓｐｏｎｓｅ通信が返信される。

次に、ｓｔａｔｅ５において規定プログラム１２７からＮｅｇｏｔｉａｔｅＲｅｑｕｅｓｔ通信（ｃｏｍｍａｎｄ＝０ｘ００）が発生する。次いで、ｓｔａｔｅ６において偽応答部１２３から規定プログラム１２７にＮｅｇｏｔｉａｔｅＲｅｓｐｏｎｓｅ通信が返信される。

次に、ｓｔａｔｅ７において規定プログラム１２７からＳｅｓｓｉｏｎＳｅｔｕｐＲｅｑｕｅｓｔ通信が発生する。次いで、ｓｔａｔｅ８において偽応答部１２３から規定プログラム１２７にＳｅｓｓｉｏｎＳｅｔｕｐＲｅｓｐｏｎｓｅ通信が返信される。

次に、ｓｔａｔｅ９において規定プログラム１２７から再度、ＳｅｓｓｉｏｎＳｅｔｕｐＲｅｑｕｅｓｔ通信が発生する。次いで、ｓｔａｔｅ１０において偽応答部１２３から規定プログラム１２７にＳｅｓｓｉｏｎＳｅｔｕｐＲｅｓｐｏｎｓｅ通信が返信される。

次に、ｓｔａｔｅ１１において規定プログラム１２７からＴｒｅｅＣｏｎｎｅｃｔＲｅｑｕｅｓｔ通信が発生する。次いで、ｓｔａｔｅ１２において偽応答部１２３から規定プログラム１２７にＴｒｅｅＣｏｎｎｅｃｔＲｅｓｐｏｎｓｅ通信が返信される。

次に、ｓｔａｔｅ１３において規定プログラム１２７からＫｅｅｐＡｌｉｖｅ通信が発生する。次いで、ｓｔａｔｅ１４において偽応答部１２３から規定プログラム１２７にＫｅｅｐＡｌｉｖｅＡｃｋ通信が返信される。

以降は、ｓｔａｔｅ１３とｓｔａｔｅ１４とが繰り返し発生する。

規定通信プロファイルＤＢ１４４も規定通信プロファイルＤＢ１２５と同様の構成のデータベースである。規定通信プロファイルＤＢ１４４は、規定プログラム１３４が発信する規定通信メッセージ１８１と、規定通信メッセージ１８１に対するサーバ側偽応答部１４１からの応答である偽応答メッセージ１８２との手順および内容を規定している。サーバ側偽応答部１４１は、規定通信プロファイルＤＢ１４４を参照しながら偽応答メッセージ１８２を返す。同様に、サーバ側通信監視部１４２は、規定通信プロファイルＤＢ１４４を参照しながらマルウエアの通信を検出する。

図５は、規定プログラムプロファイルＤＢ１２６の構成の一例を示す図である。規定プログラムプロファイルＤＢ１２６は、偽アドレス偽ポート番号メッセージ１６１にある通信先のポート番号（偽ポート番号）に応じて、規定通信メッセージ１７１を発生可能な規定プログラム１２７を規定している。

ＩＤ５０１は、各レコードを一意に識別するための識別子である。

ポート番号５０２は、偽アドレス偽ポート番号メッセージ１６１に指定される通信先のポート番号を示す。

対応規定プログラム５０３は、ポート番号５０２で示されたポート番号に対して規定通信メッセージ１７１を発生させるための規定プログラム１２７を規定する。

ＩＤ５０１が「１」のレコードは、ポート番号５０２が「４４５」である規定通信メッセージ１７１を発生させるには、対応規定プログラム５０３として「ｎｅｔ．ｅｘｅ」を使用することを規定している。

ＩＤ５０１が「２」のレコードは、ポート番号５０２が「２３」である規定通信メッセージ１７１を発生させるには、対応規定プログラム５０３として「ｔｅｌｎｅｔ．ｅｘｅ」を使用することを規定している。

ＩＤ５０１が「３」のレコードは、ポート番号５０２が「８０」である規定通信メッセージ１７１を発生させるには、対応規定プログラム５０３として「ｉｅｘｐｌｏｒｅ．ｅｘｅ」を使用することを規定している。

ＩＤ５０１が「４」のレコードは、ポート番号５０２が「デフォルト」、すなわちＩＤ５０１が「１」〜「３」で指定されたポート番号以外である規定通信メッセージ１７１を発生させるには、対応規定プログラム５０３として「ｔｅｌｎｅｔ．ｅｘｅ」を使用することを規定している。

なお、規定プログラムプロファイルＤＢ１３３も規定プログラムプロファイルＤＢ１２６と同様の構成を備え、規定通信メッセージ１８１を発生可能な規定プログラム１３４を規定している。

（各種処理）
図６は、偽アドレス配布部１１１が実行する処理（配布処理）の一例を示す図である。配布処理は、例えば、偽アドレス配布装置１１０が起動したことを契機に実行され、定期的（一定の時間ごと）に実行される。なお、配布処理を具体的に説明する際に、図１０を参照する。

ステップＳ６０１において、偽アドレス配布部１１１は、端末より、現在の通信先のアドレスおよびポート番号を取得する。ここで、現在の通信先のアドレスとは、当該端末が取得時に通信を行っている相手の端末のアドレスのことを指し、ポート番号は、相手の端末のポート番号を指す。端末は、現在の通信先のアドレスおよびポート番号を、通信先アドレス情報テーブル１２９または通信先アドレス情報テーブル１３６を参照することで取得できる。

ここで、通信ネットワーク１５０のアドレス空間が図１０に示される複数のアドレスブロックを含むアドレス空間１０１０であるとする。アドレスブロックは、アドレス空間１０１０におけるアドレスのかたまりである。アドレスブロックは、業務で実際に使用されている空間である業務使用１０１１および業務使用１０１２と、業務で未使用である未使用１０１３、未使用１０１４および未使用１０１５とに分かれているとする。配布可能アドレス帯３０３に示されるのは、業務で未使用である、未使用１０１３、未使用１０１４、未使用１０１５であるとする。また、各アドレスブロックは、下位アドレス帯および上位アドレス帯の２つに当分割されている。

ステップＳ６０１において、端末から取得される通信先のアドレスを、本例では、アドレス空間１０２０に示すように、第１通信先アドレス１０２１、第２通信先アドレス１０２２、第３通信先アドレス１０２３、第４通信先アドレス１０２４、および第５通信先アドレス１０２５の５つであるとする。５つの通信先のアドレスは、業務使用１０１１または業務使用１０１２に属する。

ステップＳ６０２において、偽アドレス配布部１１１は、デセプション率αを設定する。デセプション率αは、ステップＳ６０１で取得した通信先のアドレスおよびポート番号と比べて、何倍の偽アドレスおよび偽ポート番号を配布するかを決定するための係数である。

マルウエアがランダムに通信先アドレス情報テーブル１２９（または通信先アドレス情報テーブル１３６）から選んだアドレスおよびポート番号が、偽アドレスおよび偽ポート番号である確率Ｐｄは、Ｐｄ＝α／（１＋α）で記述される。Ｐｄが高いほど、実在する端末に拡散が及ぶ前にマルウエアを検出して遮断することができる。αが大きいほど、Ｐｄは、高くなる。一方で、αが多いほど、配布する必要があるアドレスおよびポート番号が多くなり、通信および通信先アドレス情報テーブル１２９（または通信先アドレス情報テーブル１３６）に負荷がかかる。

さらに、明らかに通信先アドレス情報テーブル１２９（または通信先アドレス情報テーブル１３６）に登録されているアドレスおよびポート番号が多いと、検出抑制部１２１（または検出抑制部１３１）の存在をマルウエアに察知される可能性がある。

以上の要因をもとに、例えば、専門家によりαの具体的な値が設定されるものとする。

ステップＳ６０３において、偽アドレス配布部１１１は、配布するアドレスおよびポート番号を格納する配布アドレスセットを初期化する。

ステップＳ６０４において、偽アドレス配布部１１１は、ステップＳ６０４〜ステップＳ６０８の処理を、ステップＳ６０１で取得した通信先のアドレスおよびポート番号毎に、ステップＳ６０２で設定したα回繰り返す。例えば、図１０の例では、ステップＳ６０１で取得される通信先のアドレスおよびポート番号の個数は、「５」であるため、αが「２」である場合、１０回繰り返されることになる。

ステップＳ６０５において、偽アドレス配布部１１１は、対象となる通信先のアドレスが組織内のもの（組織内ＮＷ）であるか否かを、同アドレスが通信ネットワーク１５０に属するかどうか（管理者により設定されている組織内のアドレスの情報）をもとに判定する。偽アドレス配布部１１１は、対象となる通信先のアドレスが組織内のものであると判定した場合（ＹＥＳ）、ステップＳ６０６に処理を移し、対象となる通信先のアドレスが組織外のものであると判定した場合（ＮＯ）、ステップＳ６０７に処理を移す。

ステップＳ６０６において、偽アドレス配布部１１１は、組織内で未使用のアドレスから、通信先のアドレスに近く、配布アドレスセットに含まれないアドレスおよびポート番号を、偽アドレスおよび偽ポート番号として選択する。通信先のアドレスに近い未使用のアドレスを偽アドレスとして選択することで、マルウエアが偽アドレスと実際の通信先のアドレスとを分別するのを困難にする。

ここで、図１０のアドレス空間１０３０を参照してαが「１」であるケースを例に挙げて説明する。

第１通信先アドレス１０２１に最も近い未使用アドレス帯は、未使用１０１３の上位アドレス帯である。このため、未使用１０１３の上位アドレス帯からランダムに選択されたアドレスが配布アドレスセットに偽アドレスとして設定される。なお、このとき、対応する偽ポート番号は、第１通信先アドレス１０２１の通信先のポート番号となる。

同様に、第２通信先アドレス１０２２および第３通信先アドレス１０２３に対しては、未使用１０１４の下位アドレス帯からランダムに選ばれたアドレスが偽アドレスとして設定される。第４通信先アドレス１０２４に対しては、未使用１０１４の上位アドレス帯が使用される。第５通信先アドレス１０２５に対しては、未使用１０１５の下位アドレス帯が使用される。

ステップＳ６０７では、偽アドレス配布部１１１は、組織外の未使用のアドレスから配布対象となるアドレスを選択する。なお、ステップＳ６０７を適用可能な端末は、未使用アドレス帯ＤＢ１１２において、種類３０２が「組織外」であるレコードの配布対象端末３０４に記載されている端末に限定される。

ステップＳ６０８では、偽アドレス配布部１１１は、ステップＳ６０６とステップＳ６０７とで選択された偽アドレスおよび偽ポート番号を配布アドレスセットに登録する。

ステップＳ６０９では、偽アドレス配布部１１１は、配布アドレスセットを偽アドレス偽ポート番号メッセージ１６１として対象の端末に対して配布する。

偽アドレス配布部１１１は、配布処理を、端末ごとに起動時に１回実施してもよいし、定期的（例えば、１時間ごと）に偽アドレス偽ポート番号メッセージ１６１（配布アドレスセット）を再配布してもよい。再配布を行う場合、端末の通信の状況に応じて偽アドレスおよび偽ポート番号のアドレス帯が追随するため、マルウエアにとっては、一層どれが偽アドレスであるかを見破りづらくなるという効果がある。

図７は、偽通信制御部１２２が実行する処理（偽通信処理）の一例を示す図である。偽通信処理は、端末Ａ１２０のオペレーティングシステム１２８の起動時に実行されてもよいし、現在の通信先のアドレスおよびポート番号を取得する偽アドレス配布装置１１０からの要求を契機に実行されてもよいし、その他のタイミングで実行されてもよい。

ステップＳ７０１において、偽通信制御部１２２は、偽アドレス配布装置１１０に対して、端末Ａ１２０の現在の通信先のアドレスおよびポート番号を送信する。

ステップＳ７０２において、偽通信制御部１２２は、偽アドレス配布装置１１０から配布アドレスセットを、偽アドレス偽ポート番号メッセージ１６１として受信する。

ステップＳ７０３において、偽通信制御部１２２は、配布アドレスセットを通信監視部１２４および偽応答部１２３に登録（設定）する。これにより、通信監視部１２４は、配布アドレスセットに含まれる偽アドレスおよび偽ポート番号を監視の対象とし、偽応答部１２３は、当該偽アドレスおよび偽ポート番号を応答の対象とする。

ステップＳ７０４において、偽通信制御部１２２は、偽アドレスおよび偽ポート番号毎にステップＳ７０５およびステップＳ７０６の処理を実行する。

ステップＳ７０５において、偽通信制御部１２２は、規定プログラムプロファイルＤＢ１２６を参照し、偽ポート番号に対応する規定プログラム５０３の規定プログラム１２７を選択する。

ステップＳ７０６において、偽通信制御部１２２は、偽アドレスおよび偽ポート番号を入力として、選択した規定プログラム１２７を実行する。規定プログラム１２７は、偽アドレスおよび偽ポート番号に対して規定通信メッセージ１７１を発信する。この際、例えば、オペレーティングシステム１２８により、端末Ａ１２０のアドレスと偽アドレスと偽ポート番号とが通信先アドレス情報テーブル１２９に登録される。

偽通信制御部１３２も同様の偽通信処理を実施する。ただし、サーバ側偽応答部１４１およびサーバ側通信監視部１４２は、未使用アドレス帯ＤＢ１４３を参照して、規定通信メッセージ１８１に対して応答および監視を行うため、ステップＳ７０３に対応する処理は実施されない。

図８は、偽応答部１２３が実行する処理（偽応答処理）の一例を示す図である。偽応答処理は、例えば、端末Ａ１２０のオペレーティングシステム１２８の起動時に実行され、定期的に実行される。

ステップＳ８０１において、偽応答部１２３は、偽通信制御部１２２から偽アドレスおよび偽ポート番号を取得する。取得方法としては、ファイルでの受け渡し、ローカル通信による受け渡し、プロセス間通信等、一般的な方法を用いればよい。

ステップＳ８０２において、偽応答部１２３は、端末Ａ１２０からの外向きのパケットを捕捉する。捕捉手段としては、ネットワークドライバ等を使用する。

ステップＳ８０３において、偽応答部１２３は、ステップＳ８０１で捕捉したパケットの通信先のアドレスがステップＳ８０１で取得した偽アドレスであるか否かを判定する。偽応答部１２３は、判定の結果が「ＹＥＳ」である場合、ステップＳ８０４に処理を移し、判定の結果が「ＮＯ」である場合、ステップＳ８０９に処理を移す。

ステップＳ８０４において、偽応答部１２３は、規定通信プロファイルＤＢ１２５を参照して、取得したパケットに一致するプロファイルがあるかを検索する。より具体的には、偽応答部１２３は、規定通信プロファイルＤＢ１２５の各レコードにおいて、状態４０３で指定されている位置にある通信と捕捉したパケットの中身とを比較し、合致するプロファイルを特定する。ＩＤ４０１が「１」のレコードの例では、ｓｔａｔｅ０のＳＹＮ通信とパケットとを比較する。

ステップＳ８０５において、偽応答部１２３は、該当するプロファイルがあったか否かを判定し、判定の結果が「ＹＥＳ」である場合（捕捉したパケットが規定通信メッセージ１７１である場合）、ステップＳ８０６に処理を移し、判定の結果が「ＮＯ」である場合、ステップＳ８０８に処理を移す。

ステップＳ８０６において、偽応答部１２３は、規定通信プロファイルＤＢ１２５の状態４０３で指定された通信の次に当たる通信を応答のパケット（偽応答メッセージ１７２）として作成する。その後、偽応答部１２３は、状態４０３をさらに１つ進ませる。ＩＤ４０１が「１」のレコード例では、ｓｔａｔｅ１のＳＹＮ／ＡＣＫ通信をもとに応答のパケットを作成し、さらに状態４０３を「ｓｔａｔｅ２」に設定する。

ステップＳ８０７において、偽応答部１２３は、応答のパケット（偽応答メッセージ１７２）を端末Ａ１２０に送信し、規定プログラム１２７に受信させる。パケットの送信には、ネットワークドライバ等を使用する。

ステップＳ８０８において、偽応答部１２３は、ステップＳ８０２にて捕捉したパケットを破棄する。

ステップＳ８０９において、偽応答部１２３は、捕捉したパケットをＩＦ２０４を通じて通信ネットワーク１５０に送出する。

サーバ側偽応答部１４１も偽応答部１２３と同様の偽応答処理を実施する。主な違いとしては、ステップＳ８０１では、ネットワークドライバにてパケットを取得するのに対し、サーバ側偽応答部１４１は、通常の通信プログラムとしてパケットを取得する。ステップＳ８０７も同様である。また、偽アドレス宛て以外のパケットがサーバ側偽応答部１４１に届くことはないので、ステップＳ８０９は実施しない。

図９は、通信監視部１２４が実行する処理（監視処理）の一例を示す図である。監視処理は、例えば、ステップＳ７０３で配布アドレスセットが登録されたことを契機に実行される。

ステップＳ９０１において、通信監視部１２４は、偽通信制御部１２２から偽アドレスおよび偽ポート番号を取得する。取得方法としては、ファイルでの受け渡し、ローカル通信による受け渡し、プロセス間通信等、一般的な方法を用いればよい。

ステップＳ９０２において、通信監視部１２４は、アラートカウントをゼロに初期化する。アラートカウントは、端末Ａ１２０において一定の期間内に発生したアラートの回数を記録するのに使用される。

ステップＳ９０３において、通信監視部１２４は、端末Ａ１２０からの外向きのパケットのコピーを取得する。ステップＳ８０２とは異なりコピーを取得するだけであるので、パケット自体は本来の通信先に送信される。取得手段としては、ネットワークドライバ等を使用する。

ステップＳ９０４において、通信監視部１２４は、ステップＳ９０３で取得したパケットの通信先のアドレスがステップＳ９０１で取得した偽アドレスであるか否かを判定する。通信監視部１２４は、判定の結果が「ＹＥＳ」である場合、ステップＳ９０５に処理を移し、判定の結果が「ＮＯ」である場合、ステップＳ９０３に処理を移す。

ステップＳ９０５において、通信監視部１２４は、規定通信プロファイルＤＢ１２５を参照し、取得したパケットに一致するプロファイルを検索する。より具体的には、通信監視部１２４は、規定通信プロファイルＤＢ１２５の各レコードにおいて、状態４０３で指定されている位置にある通信と取得したパケットの中身とを比較し、合致するプロファイルを特定する。ＩＤ４０１が「１」のレコードの例では、通信監視部１２４は、ｓｔａｔｅ０のＳＹＮ通信とパケットとを比較する。

ステップＳ９０６において、通信監視部１２４は、該当するプロファイルがあったかを判定し、判定の結果が「ＹＥＳ」である場合（取得したパケットが規定通信メッセージ１７１である場合）、ステップＳ９０３に、判定の結果が「ＮＯ」である場合、ステップＳ９０７に処理を移す。

ステップＳ９０７において、通信監視部１２４は、取得したパケットに最も近いプロファイルとの距離を計算する。例えば、通信監視部１２４は、規定通信プロファイルＤＢ１２５の各レコードにおいて、状態４０３で指定されている位置にある通信のペイロードと、取得したパケットのペイロードとの距離を算出し、取得したパケットに最も近いプロファイルとの距離を特定する。

ここでの距離は、パケットと、プロファイル内の通信との類似度に基づき求めてよい。類似度の算出については、パケットのペイロードとプロファイル内の通信のペイロードとの最小編集距離、パケット長の違い等を用いてよい。例えば、取得したパケットのペイロードが「０ｘ０１０ｘ０００ｘ０４０ｘ１３０ｘ３１」であり、プロファイル内の通信のペイロードが「０ｘ０１０ｘ０５０ｘ０４０ｘ１３０ｘ３１」であったとする。この場合、５バイト中４バイトが一致するため、距離は１／５＝０．２と算出される。

ステップＳ９０８において、通信監視部１２４は、ステップＳ９０７で算出した距離が決められたしきい値内であるか否かを判定する。上記の例では、しきい値は、「０．０」〜「１．０」までの値をとり得る。通信監視部１２４は、判定の結果が「ＹＥＳ」である場合、ステップＳ９０３に処理を移し、判定の結果が「ＮＯ」である場合、ステップＳ９０９に処理を移す。

このように、取得したパケットに合致するプロファイルが見つからなかった場合に距離を計算して判断するのは、規定プログラム１２７がパケットを再送したり、事前の定義が難しい挙動を示す場合に対応したりするためである。

ステップＳ９０９において、通信監視部１２４は、マルウエアを検出したと判断し、マルウエアを検出した旨のアラートを発出する。アラートの発出先としては、組織のセキュリティ担当者、他のセキュリティ機器等が該当する。

ステップＳ９１０において、通信監視部１２４は、アラートカウントを「１」加算（＋１）する。

ステップＳ９１１において、通信監視部１２４は、アラートカウントがしきい値以上であるか否かを判定する。通信監視部１２４は、判定の結果が「ＹＥＳ」である場合、ステップＳ９１２に処理を移し、判定の結果が「ＮＯ」である場合、ステップＳ９０３に処理を移す。しきい値は、ゼロ以上の整数値をとる。より具体的な値は、専門家が決定するものとする。

ステップＳ９１２において、通信監視部１２４は、端末Ａ１２０の通信を遮断する。遮断には、ネットワークドライバ等を用いてもよい。なお、遮断の対象は、すべての通信であってもよいし、特定の通信先への通信を遮断の対象から外してもよい。端末Ａ１２０の通信を遮断することで、マルウエアの攻撃を完全にまたは効果的に止めることができる。

サーバ側通信監視部１４２も通信監視部１２４と同様の監視処理を行う。ただし、ステップＳ９１２にある通信の遮断に際しては、通信ネットワーク１５０に通信を遮断する旨のコマンド等を送信することで実現される。

本実施の形態によれば、侵入した端末の通信先アドレス情報を悪用して組織内外に拡散するマルウエアを効率よく検出することができる。

（２）他の実施の形態
なお、上述の実施の形態においては、本発明を不正侵入検出装置に適用するようにした場合について述べたが、本発明はこれに限らず、この他種々のシステム、装置、方法、プログラムに広く適用することができる。

また、上述の実施の形態においては、配布処理を定期的に実行する場合について述べたが、本発明はこれに限らず、偽通信以外の通信により通信先アドレス情報テーブル１２９が更新される毎に配布処理を実行するようにしてもよい。

また、上述の実施の形態においては、取得したパケットが規定の通信でないと判定したときに、パケットに最も近いプロファイルとの距離がしきい値を判定する場合について述べたが、本発明はこれに限らず、取得したパケットが規定の通信でないと判定したときに、かかる判定を行わないようにしてもよい。

また、上述の実施の形態においては、通信の遮断がアラートカウントがしきい値を超えた場合に実行される場合について述べたが、本発明はこれに限らず、マルウエアが検出されたときに、即ち、マルウエアを検出した回数にかかわらず、通信の遮断が実行されるようにしてもよい。

また、上述の実施の形態においては、第１の組合せ１０１において偽アドレス配布装置１１０と端末Ａ１２０とを別体とする場合について述べたが、本発明はこれに限らず、偽アドレス配布装置１１０と端末Ａ１２０とを１つの装置（端末Ａ１２０が偽アドレス配布部１１１および未使用アドレス帯ＤＢを備える構成）とするようにしてもよい。なお、第２の組合せ１０２でも同様に、アドレス配布装置１１０と偽応答装置１４０とを１つの装置としてもよい。

また、上述の実施の形態において、各テーブルの構成は一例であり、１つのテーブルは、２以上のテーブルに分割されてもよいし、２以上のテーブルの全部または一部が１つのテーブルであってもよい。

また、上述の実施の形態において、説明の便宜上、ＸＸテーブル、ＸＸＤＢを用いて各種のデータを説明したが、データ構造は限定されるものではなく、ＸＸ情報等と表現してもよい。

また、上記の説明において、各機能を実現するプログラム、テーブル、ファイル等の情報は、メモリや、ハードディスク、ＳＳＤ（Solid State Drive）等の記憶装置、または、ＩＣカード、ＳＤカード、ＤＶＤ等の記録媒体に置くことができる。

上述した実施の形態は、例えば、以下の特徴的な構成を有する。

端末（例えば、端末Ａ１２０、端末Ｂ１３０）に不正に侵入したプログラムを検出する不正侵入検出システム（例えば、不正侵入検出システム１００の第１の組合せ１０１、不正侵入検出システム１００の第２の組合せ１０２）は、上記端末のオペレーティングシステム（例えば、オペレーティングシステム１２８）が保持する通信先アドレス情報（例えば、通信先アドレス情報テーブル１２９）に含まれる通信先のアドレスを取得し（例えば、ＩＰアドレスを取得するが、ポート番号については取得してもよいし、取得しなくてもよい。なお、ポート番号を取得しない場合は、後述の所定のプログラムでは、デフォルトのポート番号が用いられてもよいし、所定のポート番号が用いられてもよい）、取得したアドレスをもとに、未使用のアドレスが管理される未使用アドレス情報（例えば、未使用アドレス帯ＤＢ１１２）から１つ以上のアドレスを選択し、選択したアドレスを偽アドレスとして上記端末に配布する配布部（例えば、偽アドレス配布部１１１）と、上記配布部から受信した偽アドレスを入力として上記端末の外部と通信を行う所定のプログラム（例えば、規定プログラム１２７、偽通信を実行するように端末に新たに導入された専用の通信プログラム）を実行する通信制御部（例えば、偽通信制御部１２２）と、上記オペレーティングシステムは、上記所定のプログラムにより上記偽アドレス宛てにパケットが発出された場合、上記通信先アドレス情報に上記偽アドレスを登録し、上記所定のプログラムが行う規定の通信の手順および内容が含まれる規定通信情報（例えば、規定通信プロファイルＤＢ１２５）をもとに、上記通信制御部により発出されたパケットに対する応答を返す応答部（例えば、偽応答部１２３）と、上記端末からの偽アドレス宛ての通信を監視し、上記通信の手順および内容と上記規定の通信の手順および内容とを比較して上記端末に不正に侵入したプログラムを検出する通信監視部（例えば、通信監視部１２４）と、を備える。

上記配布部は、上記端末の現在の通信先のアドレスの数量に応じて、上記端末に配布する偽アドレスの数量を決定する（例えば、アドレスの数量×デセプション率αを偽アドレスの数量とする）。

上記構成では、端末の現在の通信先のアドレスの数量に応じて偽アドレスの数量が決定される。例えば、現在の通信先のアドレスの数量が多いときは偽アドレスの数量を多くすることで、不正侵入プログラムが偽アドレス宛てにアクセスする確率を一定に保つことができ、効率よく不正侵入プログラムを検出することができる。

上記配布部は、一定の時間ごとに、上記端末の通信先のアドレスを取得し、取得した通信先のアドレスをもとに、上記未使用アドレス情報から１つ以上のアドレスを選択し、選択した偽アドレスを上記端末に配布する（図６参照）。

上記構成によれば、一定の時間ごとに偽アドレスが配布されるので、例えば、端末の現在の状況に応じて通信先アドレス情報の偽アドレスが追随するようになり、不正侵入プログラムにより偽アドレスが見破られる可能性を低減することができる。

上記配布部は、上記端末の通信先のアドレスおよびポート番号を取得し、取得した通信先のアドレスをもとに、上記未使用アドレス情報から１つ以上のアドレスを選択し、選択したアドレスを偽アドレスとし、上記ポート番号を偽ポート番号とし、上記端末に配布し（図６のステップＳ６０６〜ステップＳ６０９参照）、上記通信制御部は、上記端末の外部と通信を行うプログラムと上記通信で用いられるポート番号とが対応付けられた規定プログラム情報をもとに、上記所定のプログラムとして、上記配布部により配布された偽ポート番号に応じてプログラムを選択し、選択したプログラムを実行する（図７のステップＳ７０４〜ステップＳ７０６参照）。

上記構成では、例えば、ポート番号ごとに当該ポート番号でよく使用されるプログラムが選択されることで、不正侵入プログラムから見たときの違和感をなくすことができ、不正侵入プログラムにより偽アドレスおよび偽ポート番号が見破られる可能性を低減することができる。

上記未使用アドレス情報のアドレスは、複数のアドレス帯に分けられ（例えば、図１０のアドレス空間１０１０参照）、上記配布部は、上記通信先アドレス情報に含まれる通信先のアドレスに最も近いアドレス帯から１つ以上のアドレスを選択し、選択したアドレスを偽アドレスとして上記端末に配布する（図６のステップＳ６０６、ステップＳ６０７）。

上記構成によれば、通信先のアドレスに最も近いアドレス帯から偽アドレスが選択されるので、本物のアドレスと偽アドレスとの見分けをつけ難くすることができ、不正侵入プログラムにより偽アドレスが見破られる可能性を低減することができる。

上記通信監視部は、上記端末に不正に侵入したプログラムを検出した場合、上記端末からの通信を遮断する（例えば、図９のステップＳ９１２を参照。なお、ステップＳ９１１の判定については、行ってもよいし、行われなくてもよい）。

上記構成では、端末からの通信が遮断されるので、例えば、不正侵入プログラムによる他の端末への被害を抑えることができる。

上記通信監視部は、上記偽アドレス宛ての通信であって、上記規定の通信に該当しない通信が発生した回数を計数し（例えば、図９のステップＳ９１０）、計数した値がしきい値を超えた場合に、上記端末からの通信を遮断する。

上記構成では、例えば、端末の利用者が偽アドレスに通信を出すような端末の操作をしたとしても、しきい値を超えるまでは通信が遮断されない。このように、しきい値を設けることで、誤操作等による誤検出を無くすことができる。

上記通信監視部および上記応答部は、上記端末とは異なる装置である偽応答装置（例えば、偽応答装置１４０）に設けられ（例えば、不正侵入検出システム１００の第２の組合せ１０２）、上記所定のプログラムは、上記通信制御部により偽アドレスが入力された場合、上記偽応答装置に対してパケットを発出する。

上記構成では、例えば、通信監視部および応答部を端末に導入する必要がないので、端末にリソースの制限があったとしても、不正侵入検出システムを比較的容易に構築することができる。

上記通信監視部は、監視している上記偽アドレス宛ての通信のペイロードと、上記規定の通信の内容に含まれるペイロードとの類似度または距離を算出し（例えば、図９のステップＳ９０７）、算出した類似度または距離がしきい値を超えている場合、上記端末に不正に侵入したプログラムを検出する。

上記構成によれば、例えば、監視するパケットに合致する通信の手順および内容が見つからなかった場合に、類似度または距離を計算して判定することで、所定のプログラムがパケットを再送したり、事前に定義が困難な挙動を示したりする事態に対応することができるようになる。

上記規定通信情報では、上記所定のプログラムと上記応答部との通信の手順および内容が状態遷移の形式で記述されている（例えば、図４参照）。

上記構成では、通信の手順および内容が状態遷移の形式で記述されているので、例えば、システムの管理者は、規定通信情報を容易にメンテナンスすることができる。

上記規定通信情報は、上記所定のプログラムと上記応答部との通信の状態が管理される状態の項目を含み（例えば、図４参照）、上記応答部は、上記通信制御部により発出されたパケットに対する応答を返す際に、上記規定通信情報の状態の項目を更新する（例えば、図８のステップＳ８０６）。

上記構成によれば、例えば、応答のパケットが返される毎に状態の項目が更新されるので、通信監視部は、所定のプログラムと応答部との通信の状態を適切に判断することができるようになる。

上記所定のプログラムは、上記オペレーティングシステムが備える規定のプログラム（例えば、規定プログラム１２７）である。

不正侵入プログラムの中には、どういうプログラムがどういう通信をしているかを分析するものがある。当該不正侵入プログラムは、自分が知らないプログラムが動いていると、自分をだまそうとしていると判断して、挙動を変えてしまう可能性がある。この点、なるべく自然な状態で不正侵入プログラムをだますために、上記構成では、オペレーティングシステムにデフォルトで入っているものを使うことによって、不正侵入プログラムが不信感を覚え難くすることができる。

また上述した構成については、本発明の要旨を超えない範囲において、適宜に、変更したり、組み替えたり、組み合わせたり、省略したりしてもよい。

１００……不正侵入検出システム、１１１……偽アドレス配布部、１２２……偽通信制御部、１２３……偽応答部、１２４……通信監視部。

Claims

端末に不正に侵入したプログラムを検出する不正侵入検出システムであって、
前記端末のオペレーティングシステムが保持する通信先アドレス情報に含まれる通信先のアドレスを取得し、取得したアドレスをもとに、未使用のアドレスが管理される未使用アドレス情報から１つ以上のアドレスを選択し、選択したアドレスを偽アドレスとして前記端末に配布する配布部と、
前記配布部から受信した偽アドレスを入力として前記端末の外部と通信を行う所定のプログラムを実行する通信制御部と、
前記オペレーティングシステムは、前記所定のプログラムにより前記偽アドレス宛てにパケットが発出された場合、前記通信先アドレス情報に前記偽アドレスを登録し、
前記所定のプログラムが行う規定の通信の手順および内容が含まれる規定通信情報をもとに、前記通信制御部により発出されたパケットに対する応答を返す応答部と、
前記端末からの偽アドレス宛ての通信を監視し、前記通信の手順および内容と前記規定の通信の手順および内容とを比較して前記端末に不正に侵入したプログラムを検出する通信監視部と、
を備える不正侵入検出システム。
前記配布部は、前記端末の現在の通信先のアドレスの数量に応じて、前記端末に配布する偽アドレスの数量を決定する、
請求項１に記載の不正侵入検出システム。
前記配布部は、一定の時間ごとに、前記端末の通信先のアドレスを取得し、取得した通信先のアドレスをもとに、前記未使用アドレス情報から１つ以上のアドレスを選択し、選択した偽アドレスを前記端末に配布する、
請求項１に記載の不正侵入検出システム。
前記配布部は、前記端末の通信先のアドレスおよびポート番号を取得し、取得した通信先のアドレスをもとに、前記未使用アドレス情報から１つ以上のアドレスを選択し、選択したアドレスを偽アドレスとし、前記ポート番号を偽ポート番号とし、前記端末に配布し、
前記通信制御部は、前記端末の外部と通信を行うプログラムと前記通信で用いられるポート番号とが対応付けられた規定プログラム情報をもとに、前記所定のプログラムとして、前記配布部により配布された偽ポート番号に応じてプログラムを選択し、選択したプログラムを実行する、
請求項１に記載の不正侵入検出システム。
前記未使用アドレス情報のアドレスは、複数のアドレス帯に分けられ、
前記配布部は、前記通信先アドレス情報に含まれる通信先のアドレスに最も近いアドレス帯から１つ以上のアドレスを選択し、選択したアドレスを偽アドレスとして前記端末に配布する、
請求項１に記載の不正侵入検出システム。
前記通信監視部は、前記端末に不正に侵入したプログラムを検出した場合、前記端末からの通信を遮断する、
請求項１に記載の不正侵入検出システム。
前記通信監視部は、前記偽アドレス宛ての通信であって、前記規定の通信に該当しない通信が発生した回数を計数し、計数した値がしきい値を超えた場合に、前記端末からの通信を遮断する、
請求項６に記載の不正侵入検出システム。
前記通信監視部および前記応答部は、前記端末とは異なる装置である偽応答装置に設けられ、
前記所定のプログラムは、前記通信制御部により偽アドレスが入力された場合、前記偽応答装置に対してパケットを発出する、
請求項１に記載の不正侵入検出システム。
前記通信監視部は、監視している前記偽アドレス宛ての通信のペイロードと、前記規定の通信の内容に含まれるペイロードとの類似度または距離を算出し、算出した類似度または距離がしきい値を超えている場合、前記端末に不正に侵入したプログラムを検出する、
請求項１に記載の不正侵入検出システム。
前記規定通信情報では、前記所定のプログラムと前記応答部との通信の手順および内容が状態遷移の形式で記述されている、
請求項１に記載の不正侵入検出システム。
前記規定通信情報は、前記所定のプログラムと前記応答部との通信の状態が管理される状態の項目を含み、
前記応答部は、前記通信制御部により発出されたパケットに対する応答を返す際に、前記規定通信情報の状態の項目を更新する、
請求項１０に記載の不正侵入検出システム。
前記所定のプログラムは、前記オペレーティングシステムが備える規定のプログラムである、
請求項１に記載の不正侵入検出システム。
端末に不正に侵入したプログラムを検出する不正侵入検出装置であって、
前記端末のオペレーティングシステムが保持する通信先アドレス情報に含まれる通信先のアドレスを取得し、取得したアドレスをもとに、未使用のアドレスが管理される未使用アドレス情報から１つ以上のアドレスを選択し、選択したアドレスを偽アドレスとして前記端末に配布する配布部と、
前記配布部から受信した偽アドレスを入力として前記端末の外部と通信を行う所定のプログラムを実行する通信制御部と、
前記オペレーティングシステムは、前記所定のプログラムにより前記偽アドレス宛てにパケットが発出された場合、前記通信先アドレス情報に前記偽アドレスを登録し、
前記所定のプログラムが行う規定の通信の手順および内容が含まれる規定通信情報をもとに、前記通信制御部により発出されたパケットに対する応答を返す応答部と、
前記端末からの偽アドレス宛ての通信を監視し、前記通信の手順および内容と前記規定の通信の手順および内容とを比較して前記端末に不正に侵入したプログラムを検出する通信監視部と、
を備える不正侵入検出装置。