JP2021093595A - マルウェア検査支援プログラム、マルウェア検査支援方法および通信装置 - Google Patents

マルウェア検査支援プログラム、マルウェア検査支援方法および通信装置 Download PDF

Info

Publication number
JP2021093595A
JP2021093595A JP2019222168A JP2019222168A JP2021093595A JP 2021093595 A JP2021093595 A JP 2021093595A JP 2019222168 A JP2019222168 A JP 2019222168A JP 2019222168 A JP2019222168 A JP 2019222168A JP 2021093595 A JP2021093595 A JP 2021093595A
Authority
JP
Japan
Prior art keywords
fake
file
information
communication
mail
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Ceased
Application number
JP2019222168A
Other languages
English (en)
Inventor
邦彦 吉村
Kunihiko Yoshimura
邦彦 吉村
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Fujitsu Ltd
Original Assignee
Fujitsu Ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Fujitsu Ltd filed Critical Fujitsu Ltd
Priority to JP2019222168A priority Critical patent/JP2021093595A/ja
Priority to US17/101,293 priority patent/US20210176271A1/en
Publication of JP2021093595A publication Critical patent/JP2021093595A/ja
Ceased legal-status Critical Current

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1441—Countermeasures against malicious traffic
    • H04L63/1458—Denial of Service
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
    • H04L63/1416—Event detection, e.g. attack signature detection
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1441—Countermeasures against malicious traffic
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1441—Countermeasures against malicious traffic
    • H04L63/145—Countermeasures against malicious traffic the attack involving the propagation of malware through the network, e.g. viruses, trojans or worms

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Signal Processing (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Computer Hardware Design (AREA)
  • Health & Medical Sciences (AREA)
  • General Health & Medical Sciences (AREA)
  • Virology (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)
  • Computer And Data Communications (AREA)
  • Information Transfer Between Computers (AREA)

Abstract

【課題】ＣＴＩの安全な収集を支援する。【解決手段】実施形態のマルウェア検査支援プログラムは、第１のシステムに属する第１の情報処理装置でマルウェアが検知された場合、第１の情報処理装置から送信されるパケットの宛先アドレスを、所定のルールに基づいて第２のシステムに属する第２の情報処理装置に対応するアドレスに変更して、パケットを第２のシステムに属する第２の情報処理装置へ送信するとともに、第１のシステムで生成されるログ情報に基づき、第１のシステムに関するファイルの偽ファイル、第１のシステムに関するメールの偽メールおよび第１のシステムに関する通信情報の偽通信情報の少なくともいずれかを生成して、第２の情報処理装置に送信する処理をコンピュータに実行させる。【選択図】図８

Description

本発明の実施形態は、マルウェア検査支援プログラム、マルウェア検査支援方法および通信装置に関する。
近年、ネットワークを経由した不正アクセスなどのサイバー攻撃が深刻な問題となっている。このサイバー攻撃への対処には、サイバー攻撃を観察して攻撃者や目的、攻撃手法・手口などをレポート等にまとめたサイバー脅威インテリジェンス（CTI:Cyber Threat Intelligence）を収集することが重要である。このＣＴＩを収集する従来技術として、不正プログラムを動作させ、その挙動や攻撃手法を観測するために構築された模擬環境であるハニーネットへの不正アクセスを監視し、不正アクセス情報を収集する不正アクセス情報システムが知られている。
国際公開第２０１６／４２５８７号
しかしながら、上記の従来技術では、ハニーネットにおいて、人が通常業務を行っているかのようなファイル送信や、メール送信などの通信が生じない。このため、ハニーネットで観測されていることに攻撃者が気づく場合があるという問題がある。
例えば、攻撃者がハニーネットで観測されていることに気づいた場合には、攻撃を中断してしまうので、不正アクセス情報を継続して安全に収集することが困難なものとなる。
１つの側面では、ＣＴＩへの安全な不正アクセス情報の送信を支援可能とするマルウェア検査支援プログラム、マルウェア検査支援方法および通信装置を提供することを目的とする。
１つの案では、マルウェア検査支援プログラムは、第１のシステムに属する第１の情報処理装置でマルウェアが検知された場合、第１の情報処理装置から送信されるパケットの宛先アドレスを、所定のルールに基づいて第２のシステムに属する第２の情報処理装置に対応するアドレスに変更して、パケットを第２のシステムに属する第２の情報処理装置へ送信するとともに、第１のシステムで生成されるログ情報に基づき、第１のシステムに関するファイルの偽ファイル、第１のシステムに関するメールの偽メールおよび第１のシステムに関する通信情報の偽通信情報の少なくともいずれかを生成して、第２の情報処理装置に送信する処理をコンピュータに実行させる。
本発明の１実施態様によれば、ＣＴＩの安全な収集を支援できる。
図１は、システムの構成例を説明する説明図である。 図２は、実施形態にかかる通信装置の機能構成を例示するブロック図である。 図３は、実施形態にかかる通信装置の動作例を示すフローチャートである。 図４は、通常モードでの通信を説明する説明図である。 図５は、デセプションモードでの通信を説明する説明図である。 図６は、デセプションモードでの動作例を示すフローチャートである。 図７−１は、デセプションモードでの偽装通信例を示すフローチャートである。 図７−２は、デセプションモードでの偽装通信例を示すフローチャートである。 図７−３は、デセプションモードでの偽装通信例を示すフローチャートである。 図８は、デセプションモードでの偽装通信を説明する説明図である。 図９は、実施形態にかかる情報処理装置のハードウエア構成例を示すブロック図である。
以下、図面を参照して、実施形態にかかるマルウェア検査支援プログラム、マルウェア検査支援方法および通信装置を説明する。実施形態において同一の機能を有する構成には同一の符号を付し、重複する説明は省略する。なお、以下の実施形態で説明するマルウェア検査支援プログラム、マルウェア検査支援方法および通信装置は、一例を示すに過ぎず、実施形態を限定するものではない。また、以下の各実施形態は、矛盾しない範囲内で適宜組みあわせてもよい。
図１は、システムの構成例を説明する説明図である。図１に示すように、実施形態のシステムは、企業等における企業ネットワークシステム１と、企業ネットワークシステム１のネットワーク構成を模したハニーネットワークシステム２とを有する。この企業ネットワークシステム１は第１のシステムの一例であり、ハニーネットワークシステム２は第２のシステムの一例である。
企業ネットワークシステム１は、例えばＣＩＤＲ（Classless Inter-Domain Routing）記法を「ｘｘｘ．ｘｘｘ．ｘｘｘ．０／２４」とする外部ネットワーク３とＮＡＴルータ５（NAT:Network Address Translation）およびインターネット６を介して接続する。外部ネットワーク３は、例えばマルウェアに感染した企業ネットワークシステム１内の端末に命令を出して制御する役割を担うＣ＆Ｃサーバ４を有する。
企業ネットワークシステム１は、オープンフロー・スイッチ１０、オープンフロー・コントローラー１１、記憶装置１１Ａ、ＮＡＴルータ１２、サーバ１４Ａ、１４Ｂ…および端末１５Ａ、１５Ｂ、１５Ｃ…を有する。
オープンフロー・スイッチ１０、１０ａは、オープンフロー・コントローラー１１の制御のもとで、ポートに接続された機器間におけるデータの中継・転送を行うネットワークスイッチであり、通信装置の一例である。なお、以後の説明では、オープンフロー・スイッチ１０、１０ａを特に区別しない場合はオープンフロー・スイッチ１０と称する場合がある。オープンフロー・コントローラー１１は、所定の条件のパケットに対する動作などの経路制御にかかるフローテーブルを、ＯｐｅｎＦｌｏｗプロトコルを用いてオープンフロー・スイッチ１０に配送し、設定する。記憶装置１１Ａは、経路制御にかかるフローテーブルなどの各種情報を記憶する。
オープンフロー・コントローラー１１がオープンフロー・スイッチ１０に配送して設定するフローテーブルは、企業ネットワークシステム１のネットワーク管理者等の設定により作成され、記憶装置１１Ａに格納される。フローテーブルでは、物理ポート番号、送信元・宛先ＭＡＣアドレス、送信元・宛先ＩＰアドレス、ＴＣＰ／ＵＤＰポート番号等のフィールドにおけるパケットの通過／遮断、ＭＡＣアドレス・ＩＰアドレスの書き換え、出力ポートの変更などの動作が示される。なお、このフローテーブルには、企業ネットワークシステム１内におけるサーバ１４Ａ、１４Ｂ…および端末１５Ａ、１５Ｂ、１５Ｃ…の宛先アドレスごとに、ハニーネットワークシステム２への切り替えを行うか、ハニーネットワークシステム２への切り替えを行わずにそのままとするかのルールが示されてもよい。オープンフロー・スイッチ１０は、設定されたフローテーブルに基づいて、データの転送、破棄、宛先の書き換えなどを実行する。
図２は、実施形態にかかる通信装置、すなわちオープンフロー・スイッチ１０の機能構成を例示するブロック図である。図２に示すように、オープンフロー・スイッチ１０は、通信部１０１、制御部１０２および記憶部１０３を有する。
通信部１０１は、制御部１０２の制御のもと、ポート１０１Ａ、１０１Ｂ…を介して接続する企業ネットワークシステム１およびハニーネットワークシステム２の機器（例えばサーバ１４Ａ、１４Ｂ…、２３Ａ、２３Ｂ…、端末１５Ａ、１５Ｂ…、２２Ａ、２２Ｂ…など）とパケットによるデータ通信を行う通信インタフェースである。
制御部１０２は、受信処理部１０２Ａおよび送信処理部１０２Ｂを有し、オープンフロー・スイッチ１０の動作を制御する。具体的には、制御部１０２は、記憶部１０３に格納されたフローテーブル１０３Ａに基づいて、ポート１０１Ａ、１０１Ｂ…に接続された機器間におけるデータの転送、破棄、宛先の書き換えなどを制御する。
記憶部１０３は、例えばＨＤＤ（Hard Disk Drive）や半導体メモリなどの記憶装置である。記憶部１０３は、オープンフロー・コントローラー１１より配送されたフローテーブル１０３Ａ、企業ネットワークシステム１の各機器より収集したログ情報１０３Ｂ、予め設定されたテンプレート情報１０３Ｃなどを格納する。
受信処理部１０２Ａは、ポート１０１Ａ、１０１Ｂ…に接続された機器（例えば企業ネットワークシステム１の端末１５Ａ、１５Ｂ…やハニーネットワークシステム２の端末２２Ａ、２２Ｂ…等）が送信したパケットを受信する受信処理を行う。すなわち、受信処理部１０２Ａは、受信部の一例である。
具体的には、受信処理部１０２Ａは、企業ネットワークシステム１のファイルサーバやメールサーバなどであるサーバ１４Ａ、１４Ｂ…および端末１５Ａ、１５Ｂ、１５Ｃ…などが生成したログ情報を受信し、企業ネットワークシステム１の機器ごとのログ情報１０３Ｂとして記憶部１０３に格納する。
送信処理部１０２Ｂは、記憶部１０３に格納されたフローテーブル１０３Ａを参照し、フローテーブル１０３Ａに基づいて、受信処理部１０２Ａが受信したパケットを宛先の機器（例えば企業ネットワークシステム１の端末１５Ａ、１５Ｂ、１５Ｃ…やハニーネットワークシステム２の端末２２Ａ、２２Ｂ…等）へ送信する送信処理を行う。すなわち、送信処理部１０２Ｂは、送信部の一例である。
具体的には、送信処理部１０２Ｂは、フローテーブル１０３Ａに記述された条件とマッチするパケットについて、当該条件に対応して記述された動作（例えばパケットの通過／遮断、ＭＡＣアドレス・ＩＰアドレスの書き換え、出力ポートの変更）でポート１０１Ａ、１０１Ｂ…より出力（送信）する。
また、送信処理部１０２Ｂは、フローテーブル１０３Ａのルールに基づいて宛先アドレスごとに選択的にパケットの宛先アドレスを変更する。具体的には、送信処理部１０２Ｂは、ハニーネットワークシステム２への切り替えを行うルールが示された宛先アドレスのパケットについては、フローテーブル１０３Ａをもとに宛先アドレスの変更を行う。また、送信処理部１０２Ｂは、ハニーネットワークシステム２への切り替えを行わずにそのままとするルールが示された宛先アドレスのパケットについては、宛先アドレスの変更を行わないものとする。
また、送信処理部１０２Ｂは、企業ネットワークシステム１で生成されるログ情報１０３Ｂに基づき、人が通常業務を行っているかのようなファイル送信や、メール送信などの通信をハニーネットワークシステム２に生じさせる送信処理を行う。
具体的には、送信処理部１０２Ｂは、ログ情報１０３Ｂに基づき、企業ネットワークシステム１に関するファイルの偽ファイル、企業ネットワークシステム１に関するメールの偽メールおよび企業ネットワークシステム１に関する通信情報の偽通信情報の少なくともいずれかを生成する。なお、送信処理部１０２Ｂは、ログ情報１０３Ｂに基づいて偽ファイル、偽メールおよび偽通信情報の全てを生成してもよいし、いずれか１つを生成してもよい。
次いで、送信処理部１０２Ｂは、生成した偽ファイル、偽メールおよび偽通信情報をハニーネットワークシステム２に属する情報処理装置（例えばサーバ２３Ａ、２３Ｂ…、端末２２Ａ、２２Ｂ…など）に送信する。
ＮＡＴルータ１２は、ＩＰアドレスなどを変換して企業ネットワークシステム１におけるネットワーク１３Ａ〜１３Ｃと、外部ネットワーク３とを接続するルータ装置である。
ネットワーク１３Ａは、例えばＣＩＤＲ記法を「１９２．１６８．１．０／２４」とし、企業ネットワークシステム１内のＮＡＴルータ１２と、ハニーネットワークシステム２内のＮＡＴルータ２０とが属するネットワークである。ネットワーク１３Ｂは、例えばＣＩＤＲ記法を「１９２．１６８．３．０／２４」とし、企業ネットワークシステム１内のサーバ１４Ａ、１４Ｂ…が属するネットワークである。
ネットワーク１３Ｃは、例えばＣＩＤＲ記法を「１９２．１６８．２．０／２４」とし、企業ネットワークシステム１内の端末１５Ａ、１５Ｂ、１５Ｃ…が属するネットワークである。ネットワーク１３Ｄは、例えばＣＩＤＲ記法を「１９２．１６８．４．０／２４」とし、オープンフロー・コントローラー１１が属するネットワークである。
なお、オープンフロー・スイッチ１０は、各ポートにおいて端末１５Ａ、１５Ｂ、１５Ｃ…と接続するとともに、所定のポートでネットワーク１３Ｄおよびハニーネットワークシステム２のネットワーク２１Ｂと接続する。
サーバ１４Ａ、１４Ｂ…は、企業ネットワークシステム１に属するＷｅｂサーバ、ファイルサーバ、メールサーバなどのサーバ装置である。なお、以後の説明では、サーバ１４Ａ、１４Ｂ…を特に区別しない場合はサーバ１４と称する場合がある。
端末１５Ａ、１５Ｂ、１５Ｃ…は、企業ネットワークシステム１に属し、ユーザーが利用するＰＣ（Personal Computer）などの情報処理装置である。すなわち、端末１５Ａ、１５Ｂ、１５Ｃ…は、第１のシステムに属する情報処理装置の一例である。なお、以後の説明では、端末１５Ａ、１５Ｂ、１５Ｃ…を特に区別しない場合は端末１５と称する場合がある。
ハニーネットワークシステム２は、ＮＡＴルータ２０、端末２２Ａ、２２Ｂ…およびサーバ２３Ａ、サーバ２３Ｂ…を有する。
ＮＡＴルータ２０は、ＩＰアドレスなどを変換してネットワーク１３Ａと、ハニーネットワークシステム２におけるネットワーク２１Ａ、２１Ｂとを接続するルータ装置である。
ネットワーク２１Ａは、例えばＣＩＤＲ記法を「１９２．１６８．３．０／２４」とし、ハニーネットワークシステム２内のサーバ２３Ａ、２３Ｂ…が属するネットワークである。ネットワーク２１Ｂは、例えばＣＩＤＲ記法を「１９２．１６８．２．０／２４」とし、ハニーネットワークシステム２内の端末２２Ａ、２２Ｂ…が属するネットワークである。
端末２２Ａ、２２Ｂ…は、ハニーネットワークシステム２に属し、企業ネットワークシステム１における端末１５Ａ、１５Ｂ…に対応して用意された情報処理装置である。具体的には、端末２２Ａ、２２Ｂ…は、端末１５Ａ、１５Ｂ…と同様の「１９２．１６８．２．０／２４」のネットワーク２１Ｂにおいて、端末１５Ａ、１５Ｂの各々と同じネットワーク名やＩＰアドレスが設定されている。例えば、端末２２Ａは端末１５Ａと同じネットワーク名、ＩＰアドレスとし、端末２２Ｂは端末１５Ｂと同じネットワーク名、ＩＰアドレスとしている。なお、ＭＡＣアドレスについては、端末２２Ａと端末１５Ａ、端末２２Ｂと端末１５Ｂともに、互いに異なるものとなっている。なお、ＩＰアドレスについては、ＩＰｖ４の例で示しているが、ＩＰｖ６も同様の考え方で実施可能である。
サーバ２３Ａ、２３Ｂは、ハニーネットワークシステム２に属し、企業ネットワークシステム１におけるサーバ１４Ａ、１４Ｂ…に対応して用意されたサーバ装置である。具体的には、サーバ２３Ａ、２３Ｂ…は、サーバ１４Ａ、１４Ｂ…と同様の「１９２．１６８．３．０／２４」のネットワーク２１Ａにおいて、サーバ１４Ａ、１４Ｂの各々と同じネットワーク名やＩＰアドレスが設定されている。例えば、サーバ２３Ａはサーバ１４Ａと同じネットワーク名、ＩＰアドレスとし、サーバ２３Ｂはサーバ１４Ｂと同じネットワーク名、ＩＰアドレスとしている。なお、ＭＡＣアドレスについては、サーバ２３Ａとサーバ１４Ａ、サーバ２３Ｂとサーバ１４Ｂともに、互いに異なるものとなっている。
このように、ハニーネットワークシステム２における端末２２Ａ、２２Ｂ…の各々は企業ネットワークシステム１の端末１５Ａ、１５Ｂ…の各々を模し、ハニーネットワークシステム２のサーバ２３Ａ、２３Ｂの各々は企業ネットワークシステム１のサーバ１４Ａ、１４Ｂ…の各々を模しており、ハニーネットワークシステム２は、企業ネットワークシステム１を模したシステムである。
企業ネットワークシステム１のユーザー（例えばネットワーク管理者）は、マルウェアに感染した端末１５を検知していない場合には、企業ネットワークシステム１とハニーネットワークシステム２との間のパケットの送受信を遮断する通常モードで動作を行うフローテーブル１０３Ａをオープンフロー・コントローラー１１よりオープンフロー・スイッチ１０に設定する。よって、通常モードでは、オープンフロー・スイッチ１０により企業ネットワークシステム１とハニーネットワークシステム２との間のパケットの送受信が遮断される。
なお、マルウェアの検知プログラムなどによりマルウェアに感染した端末１５を検知したものとする（本実施形態では端末１５Ｃがマルウェアに感染したものとする）。この場合、ユーザーは、マルウェアに感染した端末１５Ｃの送受信パケットをハニーネットワークシステム２に向ける、デセプションモードで動作を行うフローテーブル１０３Ａをオープンフロー・コントローラー１１よりオープンフロー・スイッチ１０に設定する。
具体的には、フローテーブル１０３Ａを以下のように設定する。
・ハニーネットワークシステム２の端末２２からマルウェアに感染した端末１５ＣへのＡＲＰ（Address Resolution Protocol）フレームは、送信元ＭＡＣアドレスおよびプロトコル内の送信元ＭＡＣアドレス情報を端末２２のものから端末１５のものへ書き換える。
・ハニーネットワークシステム２の端末２２からマルウェアに感染した端末１５ＣへのＮＤＰ（Neighbor Discovery Protocol）パケットは、送信元ＭＡＣアドレスを端末２２のものから端末１５のものへ書き換える。Ｎｅｉｇｈｂｏｒ Ｓｏｌｉｃｉｔａｔｉｏｎの場合はプロトコル内の送信元ＭＡＣアドレス情報を端末２２のものから端末１５のものへ書き換える。Ｎｅｉｂｏｒ Ａｄｖｅｒｔｉｓｅｍｅｎｔの場合はプロトコル内のターゲットＭＡＣアドレス情報を端末２２のものから端末１５のものへ書き換える。
・ハニーネットワークシステム２のＮＡＴルータ２０からマルウェアに感染した端末１５ＣへのＡＲＰフレームは、送信元ＭＡＣアドレスおよびプロトコル内の送信元ＭＡＣアドレス情報を端末２２のものからＮＡＴルータ１２のものへ書き換える。
・ハニーネットワークシステム２のＮＡＴルータ２０からマルウェアに感染した端末１５ＣへのＮＤＰパケットは、送信元ＭＡＣアドレスを端末２２のものからＮＡＴルータ１２のものへ書き換える。Ｎｅｉｇｈｂｏｒ Ｓｏｌｉｃｉｔａｔｉｏｎの場合はプロトコル内の送信元ＭＡＣアドレス情報を端末２２のものからＮＡＴルータ１２のものへ書き換える。Ｎｅｉｂｏｒ Ａｄｖｅｒｔｉｓｅｍｅｎｔの場合はプロトコル内のターゲットＭＡＣアドレス情報を端末２２のものからＮＡＴルータ１２のものへ書き換える。
・マルウェアに感染した端末１５Ｃから端末１５Ａ、１５Ｂ…へのＡＲＰフレームは、送信先ＭＡＣアドレスおよびプロトコル内の送信先ＭＡＣアドレス情報を端末１５のものから端末２２のものへ書き換えハニーネットワークシステム２の端末２２Ａ、２２Ｂへ転送（出力ポート変更）する。
・マルウェアに感染した端末１５ＣからＮＡＴルータ１２へのＡＲＰフレームは、コピーしＮＡＴルータ１２およびオープンフロー・スイッチ１０ａに転送する。
・オープンフロー・スイッチ１０ａは送信先ＭＡＣアドレスおよびプロトコル内の送信先ＭＡＣアドレス情報をＮＡＴルータ１２のものからＮＡＴルータ２０のものへ書き換える。
・マルウェアに感染した端末１５Ｃから端末１５Ａ、１５Ｂ…への通信は、ハニーネットワークシステム２の端末２２Ａ、２２Ｂへ転送（出力ポート変更）する。この際に、送信先ＭＡＣアドレスを端末１５Ａ、１５Ｂ…のものから端末２２Ａ、２２Ｂ…のものへ書き換える。
・ハニーネットワークシステム２の端末２２からマルウェアに感染した端末１５Ｃへの通信は、送信元ＭＡＣアドレスを端末２２のものから端末１５のものへ書き換える。
・マルウェアに感染した端末１５Ｃから企業ネットワークシステム１の他のサブネット（例えばサーバ１４）への通信は、ハニーネットワークシステム２のＮＡＴルータ２０へ転送（出力ポート変更）する。この際に、送信先ＭＡＣアドレスをＮＡＴルータ１２のものからＮＡＴルータ２０のものへ書き換える。
・ハニーネットワークシステム２のサーバ２３からマルウェアに感染した端末１５Ｃへの通信は、送信元ＭＡＣアドレスをＮＡＴルータ２０のものからＮＡＴルータ１２のものへ書き換える。
・マルウェアに感染した端末１５Ｃから外部ネットワーク３宛の通信は、そのまま通過させる（通常モードと同様に通信経路を維持する）。
これにより、デセプションモードでは、オープンフロー・スイッチ１０およびオープンフロー・スイッチ１０ａによりマルウェアに感染した端末１５Ｃがハニーネットワークシステム２内に隔離される。具体的には、マルウェアに感染した端末１５Ｃを企業ネットワークシステム１からハニーネットワークシステム２に物理的に移し替えることなく、端末１５Ｃをネットワーク上でハニーネットワークシステム２に有るように論理的に移し替える。
このように、マルウェアに感染した端末１５Ｃがハニーネットワークシステム２内に隔離されることから、端末１５Ｃを踏み台とした攻撃が企業ネットワークシステム１内の他の機器に及ぶことを抑止できる。したがって、企業ネットワークシステム１のユーザー（例えばネットワーク管理者）は、マルウェアに感染した端末１５Ｃの挙動を安全に監視することができ、ＣＴＩを安全に収集することができる。
ここで、オープンフロー・スイッチ１０、１０ａの動作について詳細に説明する。図３は、実施形態にかかる通信装置（オープンフロー・スイッチ１０、１０ａ）の動作例を示すフローチャートである。図３に示すように、処理が開始されると、制御部１０２は、オープンフロー・コントローラー１１の指示（設定）を受信し（Ｓ１）、指示されたフローテーブル１０３Ａおよびログ情報１０３Ｂを記憶部１０３へ格納する。
なお、フローテーブル１０３Ａの設定については、通常モードに対応するフローテーブル１０３Ａと、端末１５ごとに、デセプションモードに切り替えるためのフローテーブル１０３Ａとを予め記憶部１０３に格納しておいてもよい。この場合、Ｓ１では、通常モードであるか、所定の端末１５をデセプションモードに切り替えるかの指示を受信する。
次いで、制御部１０２は、Ｓ１で受信した指示をもとに、マルウェアが検知された端末１５（例えば端末１５Ｃ）を隔離する指示の有無を判定する（Ｓ２）。
具体的には、受信した指示が通常モードに対応するフローテーブル１０３Ａである場合（Ｓ２：ＮＯ）、制御部１０２は、指示されたフローテーブル１０３Ａを参照して通常モードで動作する（Ｓ３）。
また、受信した指示がマルウェアに感染した端末１５Ｃを隔離するデセプションモードに対応するフローテーブル１０３Ａである場合（Ｓ２：ＹＥＳ）、制御部１０２は、Ｓ４へ処理を進め、指示されたフローテーブル１０３Ａを参照してデセプションモードで動作する。
次いで、制御部１０２は、フローテーブル１０３Ａに基づき、書き換え対象となるパケットの書き換えを行うデセプションモードで動作する（Ｓ４）。ここで、制御部１０２は、マルウェアが検知された端末１５Ｃからのパケットの宛先アドレスを、ログ情報１０３Ｂのルールに基づいて宛先アドレスごとに選択的に、ハニーネットワークシステム２に属するサーバ２３、端末２２Ａ、２２Ｂ…に対応するアドレスに書き換えてもよい。
図５は、通常モードでの通信を説明する説明図である。図５に示すように、通常モードでは、例えば端末１５Ｃからサーバ１４Ａ、１４Ｂ…、端末１５Ａ、１５Ｂ、…および外部ネットワーク３への通信は通過される。
デセプションモード（Ｓ４）では、オープンフロー・スイッチ１０、１０ａは、ハニーネットワークシステム２の端末２２Ａ、２２Ｂ…、ＮＡＴルータ２０からマルウェアに感染した端末１５Ｃへの通信は、送信元ＭＡＣアドレスを端末２２Ａ、２２Ｂ、ＮＡＴルータ２０のものから端末１５Ａ、１５Ｂ…、ＮＡＴルータ１２のものへ書き換えて端末１５Ｃへ転送する。ＡＲＰフレームの場合、プロトコル内の送信元ＭＡＣアドレス情報も端末２２Ａ、２２Ｂ、ＮＡＴルータ２０のものから端末１５Ａ、１５Ｂ、ＮＡＴルータ１２のものへ書き換える。ＮＤＰパケットの場合、Ｎｅｉｇｈｂｏｒ Ｓｏｌｉｃｉｔａｔｉｏｎの場合はプロトコル内の送信元ＭＡＣアドレス情報を端末２２Ａ、２２Ｂ…、ＮＡＴルータ２０のものから端末１５Ａ、１５Ｂ…、ＮＡＴルータ１２のものへ書き換える。Ｎｅｉｂｏｒ Ａｄｖｅｒｔｉｓｅｍｅｎｔの場合はプロトコル内のターゲットＭＡＣアドレス情報を端末２２Ａ、２２Ｂ…、ＮＡＴルータ２０のものから端末１５Ａ、１５Ｂ…、ＮＡＴルータ１２のものへ書き換える。
また、オープンフロー・スイッチ１０、１０ａは、マルウェアに感染した端末１５Ｃから端末１５Ａ、１５Ｂ…への通信は、ハニーネットワークシステム２の端末２２Ａ、２２Ｂ…へ転送（出力ポート変更）する。この際に、送信先ＭＡＣアドレスを端末１５Ａ、１５Ｂ…のものから端末２２Ａ、２２Ｂ…のものへ書き換える。ＡＲＰフレームの場合、プロトコル内の送信先ＭＡＣアドレス情報も端末１５Ａ、１５Ｂ…のものから端末２２Ａ、２２Ｂ…のものへ書き換える。
また、オープンフロー・スイッチ１０、１０ａは、マルウェアに感染した端末１５ＣからＮＡＴルータ１２への通信は、コピーされハニーネットワークシステム２のＮＡＴルータ２０へも転送（複数出力ポート）する。この際に、送信先ＭＡＣアドレスをＮＡＴルータ１２のものからＮＡＴルータ２０のものへ書き換える。ＡＲＰフレームの場合、プロトコル内の送信先ＭＡＣアドレス情報もＮＡＴルータ１２のものからＮＡＴルータ２０のものへ書き換える。
また、オープンフロー・スイッチ１０、１０ａは、マルウェアに感染した端末１５Ｃからサーバ１４への通信は、ハニーネットワークシステム２のＮＡＴルータ２０へ転送（出力ポート変更）する。この際に、送信先ＭＡＣアドレスをＮＡＴルータ１２のものからＮＡＴルータ２０のものへ書き換える。この際に、送信先ＭＡＣアドレスをＮＡＴルータ１２のものからＮＡＴルータ２０のものへ書き換える。これにより、マルウェアに感染した端末１５Ｃからサーバ１４への通信は、サーバ２３へ転送される。
また、オープンフロー・スイッチ１０、１０ａは、ハニーネットワークシステム２のサーバ２３からマルウェアに感染した端末１５Ｃへの通信は、送信元ＭＡＣアドレスをＮＡＴルータ２０のものからＮＡＴルータ１２のものへ書き換えて端末１５Ｃへ送信する。
図５は、デセプションモードでの通信を説明する説明図である。図５に示すように、デセプションモードでは、マルウェアに感染した端末１５Ｃがネットワーク上でハニーネットワークシステム２に有るように論理的に移し替えられる。
具体的には、端末１５Ｃからサーバ１４Ａ、１４Ｂに向けた通信がハニーネットワークシステム２においてサーバ１４Ａ、１４Ｂに対応する端末２２Ａ、２２Ｂに転送される。また、端末１５Ｃから端末１５Ａ、１５Ｂに向けた通信がハニーネットワークシステム２において端末１５Ａ、１５Ｂに対応する端末２２Ａ、２２Ｂに転送される。なお、端末１５Ｃから外部ネットワーク３宛の通信（例えばＣ＆Ｃサーバ４への通信）は、そのまま通過される。
次に、デセプションモードにおいて、ログ情報１０３Ｂに基づいて、偽ファイル、偽メールおよび偽通信情報の少なくともいずれかを送信処理部１０２Ｂが生成し、送信する処理の動作例を説明する。
図６は、デセプションモードでの動作例を示すフローチャートである。図６に示すように、企業ネットワークシステム１では、企業ネットワークシステム１における運用環境での行動、例えばファイルサーバ、メールサーバなどのサーバ１４の動作、端末１５における各端末の動作により（Ｓ１０）、動作内容を記述したログが生成される（Ｓ１１）。
受信処理部１０２Ａは、Ｓ１１で生成された、企業ネットワークシステム１のファイルサーバやメールサーバなどのサーバ１４および各端末１５のログ情報を受信し、企業ネットワークシステム１の機器ごとのログ情報１０３Ｂとして記憶部１０３に格納する。
次いで、送信処理部１０２Ｂは、ログ情報１０３Ｂに基づき、企業ネットワークシステム１における運用環境での事象の再構成を行う（Ｓ１２）。具体的には、送信処理部１０２Ｂが行う事象の再構成には、企業ネットワークシステム１のファイルサーバに関するファイルに対応する偽ファイルの生成がある。また、メールサーバに関するメールに対応する偽メールの生成がある。また、各端末１５に関する通信情報（例えば通信パケット）に対応する偽通信情報の生成がある。
この送信処理部１０２Ｂにおける事象の再構成は、偽ファイル、偽メール、偽通信情報となる雛形（テンプレート）をテンプレート情報１０３Ｃとして予め複数用意しておき、このテンプレート情報１０３Ｃを利用する。具体的には、送信処理部１０２Ｂは、ログ情報１０３Ｂに記述された事象、例えばファイルサーバで生成されたファイル、メールサーバで送受信されたメール、通信された通信パケットなどを読み出す。
次いで、送信処理部１０２Ｂは、テンプレート情報１０３Ｃにおける複数のテンプレートの中から、読み出した事象に対応するものを選出する。例えば、送信処理部１０２Ｂは、テンプレート情報１０３Ｃに示された、ファイルサーバにおけるファイルのテンプレート集の中から企業ネットワークシステム１のファイルサーバで実際に生成されたファイルのファイル名に対応するものを選出する。また、送信処理部１０２Ｂは、テンプレート情報１０３Ｃに示された、メールサーバにおけるメールのテンプレート集の中から企業ネットワークシステム１のメールサーバで実際に送受信されたメールの件名に対応するものを選出する。また、送信処理部１０２Ｂは、テンプレート情報１０３Ｃに示された、各端末１５における通信パケットのテンプレート集の中から企業ネットワークシステム１の各端末１５で実際に送受信された通信パケットに対応するものを選出する。
なお、テンプレート情報１０３Ｃにおけるテンプレート集からの選出について、送信処理部１０２Ｂは、機械学習などにより、予め学習した学習モデルを用いてもよい。
次いで、送信処理部１０２Ｂは、再構成したデータ、すなわち偽ファイル、偽メールおよび偽通信情報の少なくともいずれかを疑似情報としてハニーネットワークシステム２へ流す（Ｓ１３）。具体的には、ログ情報１０３Ｂに示されたファイルの生成元、メールの送受信先、通信パケットの送受信先などをもとに、送信処理部１０２Ｂは、企業ネットワークシステム１における宛先に対応するハニーネットワークシステム２の機器にアドレスを変換した上で、再構成したデータ（疑似情報）を送信する。
図７−１〜図７−３は、デセプションモードでの偽装通信例を示すフローチャートである。具体的には、図７−１は、通信パケットの偽装通信を例示するフローチャートである。また、図７−２は、ハニーネットワークシステム２における偽ファイルサーバへの偽ファイルの設置を例示するフローチャートである。また、図７−３は、偽メールの送信を例示するフローチャートである。
まず、通信パケットの偽装通信を説明する。図７−１に示すように、企業ネットワークシステム１では、企業ネットワークシステム１における各端末１５の通信の発生により（Ｓ２０）、通信内容を記述した通信ログが生成される（Ｓ２１）。
受信処理部１０２Ａは、Ｓ２１で生成された、企業ネットワークシステム１の各端末１５の通信ログを受信し、企業ネットワークシステム１の機器ごとのログ情報１０３Ｂとして記憶部１０３に格納する。
次いで、送信処理部１０２Ｂは、ログ情報１０３Ｂに基づき、テンプレート情報１０３Ｃに示された通信パケットのテンプレート集の中から企業ネットワークシステム１の各端末１５で実際に送受信された通信パケットに対応するものを選出し、偽の通信パケットを生成する（Ｓ２２）。具体的には、送信処理部１０２Ｂは、テンプレート集の中で、実際に送受信された通信パケットと内容が類似するものを選出して偽の通信パケットを生成する。
なお、送信処理部１０２Ｂは、ログ情報１０３Ｂに示された通信ポートにより、暗号化または平文を判断し、判断した内容に応じて偽の通信パケットを生成してもよい。例えば、平文の場合、送信処理部１０２Ｂは、プロトコルにあったテンプレートを選び、偽の通信データ（通信パケット）を生成する。また、暗号化されている場合、送信処理部１０２Ｂは、復号不能なランダムなバイナリを通信データ（通信パケット）としてもよい。
次いで、送信処理部１０２Ｂは、生成した偽の通信パケットを偽環境（ハニーネットワークシステム２）へ送信する（Ｓ２３）。
次に、偽ファイルサーバへの偽ファイルの設置を説明する。図７−２に示すように、企業ネットワークシステム１では、企業ネットワークシステム１のファイルサーバにおけるファイルの作成、変更により（Ｓ３０）、ファイル作成、変更の内容を記述したファイルサーバログが生成される（Ｓ３１）。
受信処理部１０２Ａは、Ｓ３１で生成された、企業ネットワークシステム１のファイルサーバログを受信し、企業ネットワークシステム１のファイルサーバにおけるファイルに関するログ情報１０３Ｂとして記憶部１０３に格納する。
次いで、送信処理部１０２Ｂは、ログ情報１０３Ｂに基づき、テンプレート情報１０３Ｃに示されたファイルのテンプレート集の中から企業ネットワークシステム１のファイルサーバで実際に作成、変更されたファイルに対応するものを選出し、偽のファイルを生成する（Ｓ３２）。具体的には、送信処理部１０２Ｂは、テンプレート集の中で、実際に作成、変更されたファイルと内容が類似するものを選出して偽のファイルを生成する。
例えば、送信処理部１０２Ｂは、ファイル作成の場合、ファイル名（拡張子を含む）から学習モデルなどを用いて内容を予測し、予測した内容に対応するファイルテンプレートをテンプレート集の中から選出する。このとき、送信処理部１０２Ｂは、選出したファイルテンプレート内の一部の内容（例えば日付など）について、現状に合わせて補足を行ってもよい。なお、ファイル更新の場合、送信処理部１０２Ｂは、ファイルのタイムスタンプの変更のみを行ってもよい。
次いで、送信処理部１０２Ｂは、生成した偽ファイルを、偽ファイルサーバ（企業ネットワークシステム１のファイルサーバに対応するハニーネットワークシステム２のファイルサーバ）へ送信して設置する（Ｓ３３）。
次に、偽メールの送信を説明する。図７−３に示すように、企業ネットワークシステム１では、企業ネットワークシステム１のメールサーバにおけるメールの送受信により（Ｓ４０）、メールの送受信を記述したメールサーバログが生成される（Ｓ４１）。
受信処理部１０２Ａは、Ｓ４１で生成された、企業ネットワークシステム１のメールサーバログを受信し、企業ネットワークシステム１のメールサーバにおけるメールに関するログ情報１０３Ｂとして記憶部１０３に格納する。
次いで、送信処理部１０２Ｂは、ログ情報１０３Ｂに基づき、テンプレート情報１０３Ｃに示されたメールのテンプレート集の中から企業ネットワークシステム１のメールサーバで実際に送受信されたメールに対応するものを選出し、偽のメールの本文を構成する（Ｓ４２）。具体的には、送信処理部１０２Ｂは、テンプレート集の中で、実際に送受信されたメールと内容が類似するものを選出して偽のメールを生成する。
例えば、送信処理部１０２Ｂは、メールの件名から学習モデルなどを用いて内容を予測し、予測した内容に対応するメールテンプレートをテンプレート集の中から選出する。このとき、送信処理部１０２Ｂは、選出したメールテンプレート内の一部の内容（例えば日付など）について、現状に合わせて補足を行ってもよい。
なお、送信処理部１０２Ｂは、機密情報を排除（別の文字列へ変換）するためのフィルターを通して偽のメールの本文を構成してもよい。これにより、送信処理部１０２Ｂは、例えば件名に機密情報がある場合は、フィルターにより機密情報を排除した上で、偽メールを生成することができる。
次いで、送信処理部１０２Ｂは、ログ情報１０３Ｂに示された企業ネットワークシステム１におけるメールの送受信先に対応するハニーネットワークシステム２の送受信先へ、生成した偽メールを送信する（Ｓ４３）。
図８は、デセプションモードでの偽装通信を説明する説明図である。図８に示すように、オープンフロー・スイッチ１０は、企業ネットワークシステム１におけるログ情報１０３Ｂ（ファイルサーバログ、メールログ、通信ログ…）をもとに、企業ネットワークシステム１の活動に応じた偽ファイル、偽メールおよび偽通信情報をハニーネットワークシステム２に生じさせる。これにより、企業ネットワークシステム１のユーザー（例えばネットワーク管理者）は、ハニーネットワークシステム２で観測されていることに気づかせることなく攻撃者の挙動を監視することができる。
以上のように、オープンフロー・スイッチ１０、１０ａは、通信部１０１と、送信処理部１０２Ｂとを有する。通信部１０１は、企業ネットワークシステム１またはハニーネットワークシステム２に属する情報処理装置（例えばサーバ１４、２３、端末１５、２２）と通信する。送信処理部１０２Ｂは、企業ネットワークシステム１に属する情報処理装置（例えば端末１５Ｃ）でマルウェアが検知された場合、情報処理装置から送信されるパケットの宛先アドレスをフローテーブル１０３Ａに基づいてハニーネットワークシステム２に属する情報処理装置（例えばサーバ２３、端末２２）に対応するアドレスに変更して送信する。また、送信処理部１０２Ｂは、企業ネットワークシステム１で生成されるログ情報１０３Ｂに基づき、企業ネットワークシステム１に関するファイルの偽ファイル、企業ネットワークシステム１に関するメールの偽メールおよび企業ネットワークシステム１に関する通信情報の偽通信情報の少なくともいずれかを生成する。次いで、送信処理部１０２Ｂは、生成した偽ファイル、偽メールおよび偽通信情報の少なくともいずれかをハニーネットワークシステム２に属する情報処理装置（例えばサーバ２３、端末２２）に送信する。
これにより、企業ネットワークシステム１のユーザー（例えばネットワーク管理者）は、例えば企業ネットワークシステム１においてマルウェアに感染した端末１５Ｃに関するパケットをハニーネットワークシステム２内に隔離し、マルウェアに感染した端末１５Ｃの影響が企業ネットワークシステム１内の他の機器に及ぶことを抑止できる。また、企業ネットワークシステム１の活動に応じた偽ファイル、偽メールおよび偽通信情報をハニーネットワークシステム２に生じさせることで、ユーザーは、ハニーネットワークシステム２で観測されていることに気づかせることなく攻撃者の挙動を監視することができる。このように、ユーザーは、マルウェアに感染した端末１５Ｃの挙動を攻撃者に気づかせることなく、安全に監視することができ、ＣＴＩを安全に収集することができる。
また、送信処理部１０２Ｂは、企業ネットワークシステム１に属するファイルサーバで生成されるログ情報１０３Ｂに基づき、企業ネットワークシステム１に属するファイルサーバのファイルの偽ファイルを生成して、ハニーネットワークシステム２に属するファイルサーバに送信する。これにより、企業ネットワークシステム１のファイルサーバの活動に応じた偽ファイルをハニーネットワークシステム２のファイルサーバにも生じさせることができ、ハニーネットワークシステム２において、人が通常業務を行っているかのような状態を再現できる。
また、送信処理部１０２Ｂは、企業ネットワークシステム１に属するファイルサーバのファイルのファイル名に基づいてテンプレート情報１０３Ｃにおける複数のテンプレートの中から選出したデータをもとに、偽ファイルを生成する。これにより、ユーザーは、予め用意したテンプレートの中より企業ネットワークシステム１のファイルサーバの活動に合わせた、通常業務に似せた偽ファイルを生成することができる。
また、送信処理部１０２Ｂは、企業ネットワークシステム１に属するメールサーバで生成されるログ情報１０３Ｂに基づき、企業ネットワークシステム１に属するメールサーバのメールの偽メールを生成して、ハニーネットワークシステム２に属するメールサーバに送信する。これにより、企業ネットワークシステム１のメールサーバの活動に応じた偽メールをハニーネットワークシステム２のメールサーバにも生じさせることができ、ハニーネットワークシステム２において、人が通常業務を行っているかのような状態を再現できる。
また、送信処理部１０２Ｂは、企業ネットワークシステム１に属するメールサーバのメールの件名に基づいて複数のテンプレートの中から選出したデータをもとに、偽メールを生成する。これにより、ユーザーは、予め用意したテンプレートの中より企業ネットワークシステム１のメールサーバの活動に合わせた、通常業務に似せた偽メールを生成することができる。
また、送信処理部１０２Ｂは、企業ネットワークシステム１の通信に応じて生成されるログ情報１０３Ｂに基づき、企業ネットワークシステム１の通信のパケットに基づいて複数のテンプレートの中から選出したデータをもとに、偽通信情報を生成する。これにより、企業ネットワークシステム１の通信に応じた偽通信情報をハニーネットワークシステム２にも生じさせることができ、ハニーネットワークシステム２において、人が通常業務を行っているかのような状態を再現できる。
なお、図示した各装置の各構成要素は、必ずしも物理的に図示の如く構成されていることを要しない。すなわち、各装置の分散・統合の具体的形態は図示のものに限られず、その全部または一部を、各種の負荷や使用状況などに応じて、任意の単位で機能的または物理的に分散・統合して構成することができる。
また、オープンフロー・スイッチ１０、１０ａ、オープンフロー・コントローラー１１等で行われる各種処理機能は、ＣＰＵ（またはＭＰＵ、ＭＣＵ（Micro Controller Unit）等のマイクロ・コンピュータ）上で、その全部または任意の一部を実行するようにしてもよい。また、各種処理機能は、ＣＰＵ（またはＭＰＵ、ＭＣＵ等のマイクロ・コンピュータ）で解析実行されるプログラム上、またはワイヤードロジックによるハードウエア上で、その全部または任意の一部を実行するようにしてもよいことは言うまでもない。
ところで、上記の実施形態で説明した各種の処理は、予め用意されたプログラムをコンピュータで実行することで実現できる。そこで、以下では、上記の実施形態と同様の機能を有するプログラムを実行するコンピュータ（ハードウエア）の一例を説明する。図９は、実施形態にかかる情報処理装置（又は、オープンフロー・スイッチ１０等の通信装置）のハードウエア構成例を示すブロック図である。
図９に示すように、情報処理装置２００は、各種演算処理を実行するＣＰＵ２０１と、記憶媒体からプログラム等を読み取る媒体読取装置２０２とを有する。また、情報処理装置２００は、各種装置と接続するためのインタフェース装置２０３と、有線または無線により外部機器と通信接続するための通信装置２０４とを有する。また、情報処理装置２００は、各種情報を一時記憶するＲＡＭ２０５と、ハードディスク装置２０６とを有する。また、情報処理装置２００内の各部（２０１〜２０６）は、バス２０７に接続される。
ハードディスク装置２０６には、上記の実施形態で説明した制御部１０２における受信処理部１０２Ａ、送信処理部１０２Ｂなどで各種の処理を実行するためのプログラム２１１が記憶される。また、ハードディスク装置２０６には、プログラム２１１が参照する各種データ２１２が記憶される。通信装置２０４は、ＬＡＮ（Local Area Network）等のネットワーク１３Ｃ、１３Ｄ、２１Ｂなど接続され、ネットワーク１３Ｃ、１３Ｄ、２１Ｂを介して装置間で各種情報をやりとりする。
ＣＰＵ２０１は、ハードディスク装置２０６に記憶されたプログラム２１１を読み出して、ＲＡＭ２０５に展開して実行することで、各種の処理を行う。なお、プログラム２１１は、ハードディスク装置２０６に記憶されていなくてもよい。例えば、情報処理装置２００が読み取り可能な記憶媒体に記憶されたプログラム２１１を読み出して実行するようにしてもよい。情報処理装置２００が読み取り可能な記憶媒体は、例えば、ＣＤ−ＲＯＭやＤＶＤディスク、ＵＳＢ（Universal Serial Bus）メモリ等の可搬型記録媒体、フラッシュメモリ等の半導体メモリ、ハードディスクドライブ等が対応する。また、公衆回線、インターネット、ＬＡＮ等に接続された装置にこのプログラム２１１を記憶させておき、情報処理装置２００がこれらからプログラム２１１を読み出して実行するようにしてもよい。
以上の実施形態に関し、さらに以下の付記を開示する。
（付記１）第１のシステムに属する第１の情報処理装置でマルウェアが検知された場合、前記第１の情報処理装置から送信されるパケットの宛先アドレスを、所定のルールに基づいて第２のシステムに属する第２の情報処理装置に対応するアドレスに変更して、前記パケットを前記第２のシステムに属する前記第２の情報処理装置へ送信するとともに、
前記第１のシステムで生成されるログ情報に基づき、前記第１のシステムに関するファイルの偽ファイル、前記第１のシステムに関するメールの偽メールおよび前記第１のシステムに関する通信情報の偽通信情報の少なくともいずれかを生成して、前記第２の情報処理装置に送信する、
処理をコンピュータに実行させることを特徴とするマルウェア検査支援プログラム。
（付記２）前記送信する処理は、前記第１のシステムに属するファイルサーバで生成されるログ情報に基づき、前記第１のシステムに属するファイルサーバのファイルの偽ファイルを生成して、前記第２のシステムに属するファイルサーバに送信する、
ことを特徴とする付記１に記載のマルウェア検査支援プログラム。
（付記３）前記生成して送信する処理は、前記第１のシステムに属するファイルサーバのファイルのファイル名に基づいて複数のテンプレートの中から選出したデータをもとに、前記偽ファイルを生成する、
ことを特徴とする付記２に記載のマルウェア検査支援プログラム。
（付記４）前記送信する処理は、前記第１のシステムに属するメールサーバで生成されるログ情報に基づき、前記第１のシステムに属するメールサーバのメールの偽メールを生成して、前記第２のシステムに属するメールサーバに送信する、
ことを特徴とする付記１に記載のマルウェア検査支援プログラム。
（付記５）前記送信する処理は、前記第１のシステムに属するメールサーバのメールの件名に基づいて複数のテンプレートの中から選出したデータをもとに、前記偽メールを生成する、
ことを特徴とする付記４に記載のマルウェア検査支援プログラム。
（付記６）前記送信する処理は、前記第１のシステムの通信に応じて生成されるログ情報に基づき、前記通信のパケットに基づいて複数のテンプレートの中から選出したデータをもとに、前記偽通信情報を生成する、
ことを特徴とする付記１に記載のマルウェア検査支援プログラム。
（付記７）第１のシステムに属する第１の情報処理装置でマルウェアが検知された場合、前記第１の情報処理装置から送信されるパケットの宛先アドレスを、所定のルールに基づいて第２のシステムに属する第２の情報処理装置に対応するアドレスに変更して、前記パケットを前記第２のシステムに属する前記第２の情報処理装置へ送信するとともに、
前記第１のシステムで生成されるログ情報に基づき、前記第１のシステムに関するファイルの偽ファイル、前記第１のシステムに関するメールの偽メールおよび前記第１のシステムに関する通信情報の偽通信情報の少なくともいずれかを生成して、前記第２の情報処理装置に送信する、
処理をコンピュータが実行することを特徴とするマルウェア検査支援方法。
（付記８）前記送信する処理は、前記第１のシステムに属するファイルサーバで生成されるログ情報に基づき、前記第１のシステムに属するファイルサーバのファイルの偽ファイルを生成して、前記第２のシステムに属するファイルサーバに送信する、
ことを特徴とする付記７に記載のマルウェア検査支援方法。
（付記９）前記送信する処理は、前記第１のシステムに属するファイルサーバのファイルのファイル名に基づいて複数のテンプレートの中から選出したデータをもとに、前記偽ファイルを生成する、
ことを特徴とする付記８に記載のマルウェア検査支援方法。
（付記１０）前記送信する処理は、前記第１のシステムに属するメールサーバで生成されるログ情報に基づき、前記第１のシステムに属するメールサーバのメールの偽メールを生成して、前記第２のシステムに属するメールサーバに送信する、
ことを特徴とする付記７に記載のマルウェア検査支援方法。
（付記１１）前記送信する処理は、前記第１のシステムに属するメールサーバのメールの件名に基づいて複数のテンプレートの中から選出したデータをもとに、前記偽メールを生成する、
ことを特徴とする付記１０に記載のマルウェア検査支援方法。
（付記１２）前記送信する処理は、前記第１のシステムの通信に応じて生成されるログ情報に基づき、前記通信のパケットに基づいて複数のテンプレートの中から選出したデータをもとに、前記偽通信情報を生成する、
ことを特徴とする付記７に記載のマルウェア検査支援方法。
（付記１３）第１のシステムまたは第２のシステムに属する情報処理装置と通信する通信部と、
前記第１のシステムに属する第１の情報処理装置でマルウェアが検知された場合、前記第１の情報処理装置から送信されるパケットの宛先アドレスを、所定のルールに基づいて前記第２のシステムに属する第２の情報処理装置に対応するアドレスに変更して、前記パケットを前記第２のシステムに属する前記第２の情報処理装置へ送信するとともに、前記第１のシステムで生成されるログ情報に基づき、前記第１のシステムに関するファイルの偽ファイル、前記第１のシステムに関するメールの偽メールおよび前記第１のシステムに関する通信情報の偽通信情報の少なくともいずれかを生成して、前記第２の情報処理装置に送信する送信処理部と、
を有することを特徴とする通信装置。
（付記１４）前記送信処理部は、前記第１のシステムに属するファイルサーバで生成されるログ情報に基づき、前記第１のシステムに属するファイルサーバのファイルの偽ファイルを生成して、前記第２のシステムに属するファイルサーバに送信する、
ことを特徴とする付記１３に記載の通信装置。
（付記１５）前記送信処理部は、前記第１のシステムに属するファイルサーバのファイルのファイル名に基づいて複数のテンプレートの中から選出したデータをもとに、前記偽ファイルを生成する、
ことを特徴とする付記１４に記載の通信装置。
（付記１６）前記送信処理部は、前記第１のシステムに属するメールサーバで生成されるログ情報に基づき、前記第１のシステムに属するメールサーバのメールの偽メールを生成して、前記第２のシステムに属するメールサーバに送信する、
ことを特徴とする付記１３に記載の通信装置。
（付記１７）前記送信処理部は、前記第１のシステムに属するメールサーバのメールの件名に基づいて複数のテンプレートの中から選出したデータをもとに、前記偽メールを生成する、
ことを特徴とする付記１６に記載の通信装置。
（付記１８）前記送信処理部は、前記第１のシステムの通信に応じて生成されるログ情報に基づき、前記通信のパケットに基づいて複数のテンプレートの中から選出したデータをもとに、前記偽通信情報を生成する、
ことを特徴とする付記１３に記載の通信装置。
１…企業ネットワークシステム
２…ハニーネットワークシステム
３…外部ネットワーク
４…Ｃ＆Ｃサーバ
５…外部ルータ
６…インターネット
１０、１０ａ…オープンフロー・スイッチ
１１…オープンフロー・コントローラー
１２、２０…ＮＡＴルータ
１３Ａ、１３Ｂ、１３Ｃ、１３Ｄ、２１Ａ、２１Ｂ…ネットワーク
１４、１４Ａ、１４Ｂ、２３、２３Ａ，２３Ｂ…サーバ
１５、１５Ａ、１５Ｂ、１５Ｃ、１５Ｄ、２２、２２Ａ、２２Ｂ、２２Ｃ…端末
１０１…通信部
１０２…制御部
１０２Ａ…受信処理部
１０２Ｂ…送信処理部
１０３…記憶部
１０３Ａ…フローテーブル
１０３Ｂ…ログ情報
１０３Ｃ…テンプレート情報
２００…情報処理装置
２０１…ＣＰＵ
２０２…媒体読取装置
２０３…インタフェース装置
２０４…通信装置
２０５…ＲＡＭ
２０６…ハードディスク装置
２０７…バス
２１１…プログラム
２１２…各種データ

Claims (8)

  1. 第１のシステムに属する第１の情報処理装置でマルウェアが検知された場合、前記第１の情報処理装置から送信されるパケットの宛先アドレスを、所定のルールに基づいて第２のシステムに属する第２の情報処理装置に対応するアドレスに変更して、前記パケットを前記第２のシステムに属する前記第２の情報処理装置へ送信するとともに、
    前記第１のシステムで生成されるログ情報に基づき、前記第１のシステムに関するファイルの偽ファイル、前記第１のシステムに関するメールの偽メールおよび前記第１のシステムに関する通信情報の偽通信情報の少なくともいずれかを生成して、前記第２の情報処理装置に送信する、
    処理をコンピュータに実行させることを特徴とするマルウェア検査支援プログラム。
  2. 前記送信する処理は、前記第１のシステムに属するファイルサーバで生成されるログ情報に基づき、前記第１のシステムに属するファイルサーバのファイルの偽ファイルを生成して、前記第２のシステムに属するファイルサーバに送信する、
    ことを特徴とする請求項１に記載のマルウェア検査支援プログラム。
  3. 前記送信する処理は、前記第１のシステムに属するファイルサーバのファイルのファイル名に基づいて複数のテンプレートの中から選出したデータをもとに、前記偽ファイルを生成する、
    ことを特徴とする請求項２に記載のマルウェア検査支援プログラム。
  4. 前記送信する処理は、前記第１のシステムに属するメールサーバで生成されるログ情報に基づき、前記第１のシステムに属するメールサーバのメールの偽メールを生成して、前記第２のシステムに属するメールサーバに送信する、
    ことを特徴とする請求項１に記載のマルウェア検査支援プログラム。
  5. 前記送信する処理は、前記第１のシステムに属するメールサーバのメールの件名に基づいて複数のテンプレートの中から選出したデータをもとに、前記偽メールを生成する、
    ことを特徴とする請求項４に記載のマルウェア検査支援プログラム。
  6. 前記送信する処理は、前記第１のシステムの通信に応じて生成されるログ情報に基づき、前記通信のパケットに基づいて複数のテンプレートの中から選出したデータをもとに、前記偽通信情報を生成する、
    ことを特徴とする請求項１に記載のマルウェア検査支援プログラム。
  7. 第１のシステムに属する第１の情報処理装置でマルウェアが検知された場合、前記第１の情報処理装置から送信されるパケットの宛先アドレスを、所定のルールに基づいて第２のシステムに属する第２の情報処理装置に対応するアドレスに変更して、前記パケットを前記第２のシステムに属する前記第２の情報処理装置へ送信するとともに、
    前記第１のシステムで生成されるログ情報に基づき、前記第１のシステムに関するファイルの偽ファイル、前記第１のシステムに関するメールの偽メールおよび前記第１のシステムに関する通信情報の偽通信情報の少なくともいずれかを生成して、前記第２の情報処理装置に送信する、
    処理をコンピュータが実行することを特徴とするマルウェア検査支援方法。
  8. 第１のシステムまたは第２のシステムに属する情報処理装置と通信する通信部と、
    前記第１のシステムに属する第１の情報処理装置でマルウェアが検知された場合、前記第１の情報処理装置から送信されるパケットの宛先アドレスを、所定のルールに基づいて前記第２のシステムに属する第２の情報処理装置に対応するアドレスに変更して、前記パケットを前記第２のシステムに属する前記第２の情報処理装置へ送信するとともに、前記第１のシステムで生成されるログ情報に基づき、前記第１のシステムに関するファイルの偽ファイル、前記第１のシステムに関するメールの偽メールおよび前記第１のシステムに関する通信情報の偽通信情報の少なくともいずれかを生成して、前記第２の情報処理装置に送信する送信処理部と、
    を有することを特徴とする通信装置。
JP2019222168A 2019-12-09 2019-12-09 マルウェア検査支援プログラム、マルウェア検査支援方法および通信装置 Ceased JP2021093595A (ja)

Priority Applications (2)

Application Number Priority Date Filing Date Title
JP2019222168A JP2021093595A (ja) 2019-12-09 2019-12-09 マルウェア検査支援プログラム、マルウェア検査支援方法および通信装置
US17/101,293 US20210176271A1 (en) 2019-12-09 2020-11-23 Non-transitory computer-readable storage medium, malware inspection support method, and communication device

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
JP2019222168A JP2021093595A (ja) 2019-12-09 2019-12-09 マルウェア検査支援プログラム、マルウェア検査支援方法および通信装置

Publications (1)

Publication Number Publication Date
JP2021093595A true JP2021093595A (ja) 2021-06-17

Family

ID=76210766

Family Applications (1)

Application Number Title Priority Date Filing Date
JP2019222168A Ceased JP2021093595A (ja) 2019-12-09 2019-12-09 マルウェア検査支援プログラム、マルウェア検査支援方法および通信装置

Country Status (2)

Country Link
US (1) US20210176271A1 (ja)
JP (1) JP2021093595A (ja)

Families Citing this family (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US11195170B1 (en) * 2021-05-31 2021-12-07 BehavioSec Inc Method and a system for creating a behavioral user profile

Family Cites Families (6)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US8839417B1 (en) * 2003-11-17 2014-09-16 Mcafee, Inc. Device, system and method for defending a computer network
US10298598B1 (en) * 2013-12-16 2019-05-21 Amazon Technologies, Inc. Countering service enumeration through imposter-driven response
US11316895B1 (en) * 2016-10-20 2022-04-26 United Services Automobile Association (Usaa) Method of generating and using credentials to detect the source of account takeovers
US10542006B2 (en) * 2016-11-22 2020-01-21 Daniel Chien Network security based on redirection of questionable network access
US10587652B2 (en) * 2017-11-29 2020-03-10 International Business Machines Corporation Generating false data for suspicious users
US20210021637A1 (en) * 2019-07-15 2021-01-21 Kumar Srivastava Method and system for detecting and mitigating network breaches

Also Published As

Publication number Publication date
US20210176271A1 (en) 2021-06-10

Similar Documents

Publication Publication Date Title
TWI496446B (zh) 一動態電腦網路中用於通信之雜訊、加密及誘餌
KR101723715B1 (ko) 컴퓨터 네트워크의 엔터프라이즈 미션 관리를 위한 시스템 및 방법
CN105743878B (zh) 使用蜜罐的动态服务处理
US8898782B2 (en) Systems and methods for spontaneously configuring a computer network
Bhatia et al. A framework for generating realistic traffic for Distributed Denial-of-Service attacks and Flash Events
WO2014063110A1 (en) Network infrastructure obfuscation
TWI464618B (zh) 於動態電腦網路中用於交流資料之路由器
TWI510956B (zh) 交換器及用於在將複數個裝置連接至動態電腦網路之交換器中使用之方法
Ashraf et al. Challenges and Mitigation Strategies for Transition from IPv4 Network to Virtualized Next-Generation IPv6 Network.
US20210176271A1 (en) Non-transitory computer-readable storage medium, malware inspection support method, and communication device
Macwan et al. Investigation of moving target defense technique to prevent poisoning attacks in SDN
Nuhu et al. Mitigating DHCP starvation attack using snooping technique
Salazar et al. Enhancing the resiliency of cyber-physical systems with software-defined networks
JP7000863B2 (ja) マルウェア検査支援プログラム、マルウェア検査支援方法および通信装置
JP2020108011A (ja) マルウェア検査支援プログラム、マルウェア検査支援方法および通信装置
Yamanoue et al. Capturing malicious bots using a beneficial bot and wiki
JP7107153B2 (ja) マルウェア検査支援プログラム、マルウェア検査支援方法および通信装置
US9264496B2 (en) Session hopping
JP2002236627A (ja) ファイアウォールの動的ポート変更方法
MUNTHER SECURE ADDRESS RESOLUTION PROTOCOL PROXY IN SOFTWARE DEFINED NETWORK
JP2005328281A (ja) ネットワークシステム及び通信方法
Parameswari et al. ARP Protocol Sequence Analysis for Intrusion Detection System
THORAT Secure Arp Protocol For Intrusion Detection System

Legal Events

Date Code Title Description
A621 Written request for application examination

Free format text: JAPANESE INTERMEDIATE CODE: A621

Effective date: 20220809

A977 Report on retrieval

Free format text: JAPANESE INTERMEDIATE CODE: A971007

Effective date: 20230616

A131 Notification of reasons for refusal

Free format text: JAPANESE INTERMEDIATE CODE: A131

Effective date: 20230711

A521 Request for written amendment filed

Free format text: JAPANESE INTERMEDIATE CODE: A523

Effective date: 20230821

A01 Written decision to grant a patent or to grant a registration (utility model)

Free format text: JAPANESE INTERMEDIATE CODE: A01

Effective date: 20231121

A045 Written measure of dismissal of application [lapsed due to lack of payment]

Free format text: JAPANESE INTERMEDIATE CODE: A045

Effective date: 20240326