JP3914757B2 - ウィルス検査のための装置と方法とシステム - Google Patents
ウィルス検査のための装置と方法とシステム Download PDFInfo
- Publication number
- JP3914757B2 JP3914757B2 JP2001366884A JP2001366884A JP3914757B2 JP 3914757 B2 JP3914757 B2 JP 3914757B2 JP 2001366884 A JP2001366884 A JP 2001366884A JP 2001366884 A JP2001366884 A JP 2001366884A JP 3914757 B2 JP3914757 B2 JP 3914757B2
- Authority
- JP
- Japan
- Prior art keywords
- virus
- mail server
- port
- inspection
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Expired - Fee Related
Links
Images
Classifications
-
- G—PHYSICS
- G06—COMPUTING; CALCULATING OR COUNTING
- G06F—ELECTRIC DIGITAL DATA PROCESSING
- G06F9/00—Arrangements for program control, e.g. control units
- G06F9/06—Arrangements for program control, e.g. control units using stored programs, i.e. using an internal store of processing equipment to receive or retain programs
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L63/00—Network architectures or network communication protocols for network security
- H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
- H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
- H04L63/1416—Event detection, e.g. attack signature detection
-
- G—PHYSICS
- G06—COMPUTING; CALCULATING OR COUNTING
- G06F—ELECTRIC DIGITAL DATA PROCESSING
- G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
- G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
- G06F21/55—Detecting local intrusion or implementing counter-measures
- G06F21/56—Computer malware detection or handling, e.g. anti-virus arrangements
- G06F21/567—Computer malware detection or handling, e.g. anti-virus arrangements using dedicated hardware
-
- G—PHYSICS
- G06—COMPUTING; CALCULATING OR COUNTING
- G06F—ELECTRIC DIGITAL DATA PROCESSING
- G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
- G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
- G06F21/55—Detecting local intrusion or implementing counter-measures
- G06F21/56—Computer malware detection or handling, e.g. anti-virus arrangements
- G06F21/568—Computer malware detection or handling, e.g. anti-virus arrangements eliminating virus, restoring damaged files
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L63/00—Network architectures or network communication protocols for network security
- H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
- H04L63/1441—Countermeasures against malicious traffic
- H04L63/145—Countermeasures against malicious traffic the attack involving the propagation of malware through the network, e.g. viruses, trojans or worms
Description
【０００１】
【発明の属する技術分野】
本発明は、電子メールに添付されたファイルに含まれるマクロウィルスを検出するための装置と方法とシステムに関する。
【０００２】
【従来の技術】
近年、パソコンおよびインターネットの普及により、電子メールによる情報交換が盛んに行われている。ところが、悪意を持った者が電子メールの添付ファイルにウィルスを潜ませて、これを知らないユーザが添付ファイルを開くことにより、ウィルスのパソコン内への侵入を許してしまうケースが多く発生するようになった。このようなウィルスは、特定のアプリケーションソフトに付着して、このソフトの手順を実行することにより感染するもので、マクロウィルスと呼ばれている。パソコン内にマクロウィルスが侵入すると、文書ファイルの内容が勝手に改ざんされたり、システム起動時に意図しない画面が表示されたりする。企業内パソコンのように多数のパソコンがＬＡＮにより接続されている場合には、一度に多数のパソコンがウィルスの攻撃に曝されることになる。
【０００３】
このようなコンピュータウィルスからコンピュータシステムを保護する方法として、いわゆるワクチンを用いる方法が知られている。ワクチンは専用ソフトウェアの一種で、これまで発見され報告されたウィルスのパターンを定義したデータベースを備え、ウィルスが侵入した場合にそのウィルスのパターンを、データベースに格納されたウィルスのパターンと照合することにより、侵入したウィルスを特定するものである。
【０００４】
【発明が解決しょうとする課題】
しかしながら、上記ワクチンソフトによるウィルスの検査は、既知のウィルスに対しては有効であるが、未知のウィルスに対してはほとんど役に立たない。また、新種のウィルスが発見、報告される度にデータベースを書き換える必要があり、ワクチンユーザはワクチンソフトを絶えずアップデートしてデータを更新する必要がある。また、このようなワクチンソフトは、コンピュータのＯＳ（オペレーティングシステム）に依存しており、ＯＳが異なると使用できないという問題があった。
【０００５】
本発明は、このような従来の問題を解決するものであり、未知のウィルスでも容易に発見することができ、かつＯＳに依存することのないウィルス検査のための装置と方法とシステムを提供することを目的とする。
【０００６】
【課題を解決するための手段】
本発明のウイルス検出装置は、電子メールを受信するメールサーバと、 前記メールサーバとは別に接続され、受信した電子メールをメールサーバ から受け取る検査コンピュータと、検査コンピュータに設けられ前記メー ルサーバから転送した電子メールの添付ファイルを開くファイルオープン 手段と、前記検査コンピュータと周辺機器とをインターフェイス接続する Ｉ／Ｏポートと、前記ファイルオープン手段により開いた添付ファイルの データにより前記Ｉ／Ｏポートへアクセスが行われているかどうかの有無 を検出することによりウィルスの侵入を検査するウィルス検査手段と、前 記Ｉ／Ｏポートへのアクセスが検出された場合に前記ウィルス検査手段か ら警告信号を出力する警告手段とを備えたものである。ウィルスは各種周 辺装置を通して外部に伝染したり、内部メモリや外部入出力装置の内容を 書き換えたり、他のサーバーに不要なメールを送りつけたりする機能を有 する為、Ｉ／Ｏポートにマッピングされている各種周辺装置を駆動する事 になるので、Ｉ／Ｏポートを監視しＩ／Ｏポートへのアクセスを検出する ことにより、新種のウィルスでも容易に発見することができ、かつＯＳに 依存することのないウィルス検査装置を実現することができる。
【０００７】
また、本発明のウィルス検査装置は、前記警告手段により、ユーザは直ちにウィルスが侵入したことを知ることができ、ウィルスの伝染防止措置を講じることができる。
【０００８】
また、本発明のウィルス検査装置は、ウィルス検査手段が、バウンダリスキャン通信をサポートし、前記添付ファイルのデータによりＩ／Ｏポートへアクセスが行われているかどうかのアクセス情報を取得してメールサーバに送出するものである。この構成により、侵入したウィルスがＩ／Ｏポートのどのポートに対してアクセスしたかを知ることができる。
【０００９】
また、本発明のウィルス検査装置は、ウイルス検出手段で取得した添付ファイルによりＩ／Ｏポートへアクセスが行われているかどうかの有無の判定をウイルス検出手段とメールサーバとの間での通信により行い、該通信を、メールサーバに備えられたプリンタポート、パラレル入出力装置、シリアル入出力装置、及びバウンダリスキャン通信装置のうち何れかを経由して通信を行うものである。この構成により、検査コンピュータとは独立したルートおよびクロックで前記Ｉ／Ｏポートへのアクセス情報を送受信することができる。
【００１０】
また、本発明のウィルス検査装置は、添付ファイルのデータにより周辺機器であるメモリまたは外部入出力装置に対するアクセスが行われているかどうかの有無を検出する手段を備えたものである。この構成により、ウィルスが内部メモリまたはＯＳなどの特定ファイルにアクセスしようとした場合にもウィルスを検出することができる。
前記添付ファイルのデータから周辺機器であるメモリまたは外部入出力装置に対するアクセスの有無を検出する手段を備えた
【００１１】
また、本発明のウィルス検査装置は、検査コンピュータのメモリアクセスを禁止設定する手段を備えたものである。この構成により、ウィルスのメモリへのアクセスを禁止してメモリ内のデータ破壊を防止することができる。
【００１２】
また、本発明のウィルス検査方法は、メールサーバから転送された電子メールの添付ファイルを検査コンピュータ内で開き、添付ファイルのマクロを動作させ、添付ファイルのデータにより検査コンピュータと周辺機器とをインターフェース接続するＩ／Ｏポートへアクセスが行われているかどうかの有無をＩ／Ｏポートチェックボードにより判定するものであり、この方法により、新種のウィルスでも容易に発見することができ、かつＯＳに依存することのないウィルス検査方法を実現することができる。
【００１３】
また、本発明のウィルス検査方法は、Ｉ／Ｏポートへの書き込みアクセスの有無をＩ／Ｏポートチェックボードにより判定し、判定した結果をメールサーバに転送するものである。この方法により、メールサーバ側においてウィルスの付着した添付ファイルを修復することができる。
【００１４】
また、本発明のウィルス検査方法は、添付ファイルのデータによりパソコンに備えられている周辺機器であるメモリまたはハードディスクへアクセスが行われているかどうかの有無を検査するものである。この方法により、ウィルスが内部メモリまたはＯＳなどの特定ファイルにアクセスしようとした場合にもウィルスを検出することができる。
【００１５】
また、本発明のウィルス検査システムは、電子メールを受信するメールサーバと、メールサーバとは別に接続され、受信した電子メールをメールサーバから受け取る検査コンピュータと、検査コンピュータに設けられメールサーバから転送した電子メールの添付ファイルを開くファイルオープン手段と、検査コンピュータとパソコンに備えられている周辺機器とをインターフェース接続するＩ／Ｏポートと、ファイルオープン手段により開いた添付ファイルのデータによりＩ／Ｏポートへアクセスが行われているかどうかの有無を検出することによりウィルスの侵入を検査するＩ／Ｏポートチェックボードとからなるウィルス検査システムであって、ファイルオープン手段がメールサーバから転送されてきた電子メールの添付ファイルを開くとともに、Ｉ／Ｏポートチェックボードが、前記添付ファイルによりＩ／Ｏポートへアクセスが行われているかどうかの有無を検査、判定し、アクセスがあった時に前記メールサーバへアクセスがあった旨の情報を送出し、ウィルス感染の有無を判定させるものである。この構成により、電子メールの添付ファイルに付着した未知のウィルスを簡単なシステム構成により検査することができる。
【００１６】
また、本発明のウィルス検査システムは、メールサーバが、ウィルス感染の有無を判定した結果、ウィルスに感染している可能性のある場合には、該当する添付ファイルからウィルスを除去した後に、正規の宛先へ前記添付ファイルを有する電子メールを送信するものである。この構成により、添付ファイルからウィルスを除去した安全な電子メールをユーザに送信することができる。
【００１７】
【発明の実施の形態】
以下、本発明の実施の形態について図面を参照して説明する。
（実施の形態１）
図１は本発明の実施の形態１におけるウィルス検査装置の構成を示している。図１において、検査コンピュータ１には、ＭＰＵ２と、入出力インターフェイス３と、メール受信手段４ａおよびメールオープン手段４ｂを備えたメール受信部４と、Ｉ／Ｏポートチェックボード５と、Ｉ／Ｏポート６と、ＬＥＤ７等が備えられており、これらは、それぞれＰＣＩバス８によって接続されている。
【００１８】
ＭＰＵ２には検査コンピュータ１と周辺機器とを接続するＩ／Ｏポート６が備えられている。Ｉ／Ｏポート６は、ＲＳ２３２Ｃ、キーボード、マウス、ディスプレイ、ディスク装置、ＧＰ−ＩＢ（ジェネラル・パーパス・インターフェイス・バス）、ＮＩＣ（ネットワーク・インターフェイス・カード）、ＲＴＣ（リアル・タイム・クロック）等（図示しない）に接続するためのインターフェイスであり、それぞれアドレスが割り当てられているものである。また、ＭＰＵ２には、各種演算を行って装置全体を制御するＣＰＵと、ＯＳやアプリケーションプログラムを格納したＲＯＭと、データを一時的に保持するＳＲＡＭと、ＣＰＵの動作を制御する命令または他のデータを格納するフラッシュメモリ（ＥＥＰＲＯＭ）等が備えられている。なお、検査コンピュータ１のＯＳはウィンドウズ（登録商標）２０００等の所定の基本ソフトが採用される。
【００１９】
メール受信部４のメール受信手段４ａは、入出力インターフェイス３を通じてメールサーバ１０からファイル付きの電子メールまたは添付ファイルのみを受信するものであり、メールオープン手段４ｂは、受信した添付ファイルを開くことにより添付ファイルのマクロを実行させるものであり、これらはＭＰＵ２の制御の下に行われる。
【００２０】
Ｉ／Ｏポートチェックボード５はＭＰＵ２内に備えられたＩ／Ｏポート６への特定の書き込みアクセスを検出してウィルスの侵入を検査するものである。特定の書き込みアクセスがＩ／Ｏポートチェックボード５で検出された場合には、ウィルスの疑いがあることを示す信号が、Ｉ／Ｏポートチェックボード５からＬＥＤ７へと出力される。これにより、ＬＥＤ７が点灯した際にユーザはウィルスに感染した疑いがあることを容易に確認することができる。また、Ｉ／Ｏポート６への書き込みアクセスの判定結果、すなわち、ウイルスの有無の検査結果については、Ｉ／Ｏポートチェックボード５からメールサーバ１０に転送され、ウイルスの有無を検査する。また他のＣＰＵ、例えばＬＡＮでつながれたＣＰＵ１００にもウィルスに感染する恐れがあることを知らせる信号が転送される。
【００２１】
次に、本実施の形態１に用いるウィルス検査装置の動作について図２のフロー図を参照して説明する。
【００２２】
本実施の形態では、ウイルスに感染した添付ファイル付きの電子メールを受信した場合について説明する。図２において、まず電源をオンにして検査コンピュータ１を立ち上げ（ステップＳ１）、メールサーバ１０からメールを受信し（ステップＳ２）、受信した添付ファイルの拡張子により起動アプリケーションを決定し、添付ファイルを開く（ステップＳ３）。添付ファイルがウイルスに感染していれば、この添付ファイルを開いたときに、ウイルスのマクロが実行されるとともにＩ／Ｏポート６への書き込みアクセスが行なわれる。するとＩ／Ｏポートチェックボード５は、添付ファイルのマクロがＩ／Ｏポート６への書き込みアクセスを行ったかどうかを検出し（ステップＳ４）、書き込みアクセスがあった場合には、その旨を示す信号をメールサーバ１０と他のＬＡＮで接続された他のＣＰＵ１００に通知するとともに、ＬＥＤ７を点灯させてウィルスに感染した疑いがあることをユーザに知らせる（ステップＳ５）。この間、タイマーによる監視を行い、一定時間経過後に起動したアプリケーションを終了し（タイマー設定時間前にアプリケーションが終了した場合はタイマーをキャンセルする。）、オブジェクトの開放を行う。そして、最後に、マクロを実行したことにより検査コンピュータがウィルスに感染している場合があるので、この場合には汚染されたアプリケーションまたは必要な全てのファイルを再インストールしてファイルを修復する（ステップＳ６）。
【００２３】
なお、本実施の形態では、ウイルスに感染した場合を想定して説明したが、ウイルスに感染していない正規のプログラムが含まれた添付ファイルを受信してメール受信部のメールオープン手段４ｂで開いた場合にもＬＥＤ７は点灯し、ウイルスに感染した疑いがあることをユーザに知らせる。そして、この場合はその後の処理でウイルス感染しているか否かを検査することにより、正規のプログラムであると判定される。
【００２４】
また、本実施の形態で用いる、検査コンピュータ１によりウィルスチェックを行うために起動させるアプリケーションプログラムには、マイクロソフト社製のワードとエクセルに限定するものとする。また、未来スケジュール型のウィルスに対処するために、システム時刻を所定時間進めて設定しておくものとする。
【００２５】
このように、本実施の形態１によれば、検査コンピュータ内にメールサーバから受信した電子メールの添付ファイルを開いてマクロを実行するメール受信部と、開いたファイルのデータからＩ／Ｏポートへの書き込みアクセスを検出することによりウィルスの侵入を検査するＩ／Ｏポートチェックボードと、Ｉ／Ｏポートへの書き込みアクセスが検出された場合に警告を出力するＬＥＤとを備えているので、新種のウィルスでも容易に発見することができ、かつＯＳに依存することのないウィルス検査装置を実現することができる。
【００２６】
（実施の形態２）
図３は本発明の実施の形態２におけるウィルス検査システムの構成を示している。図３において、メールサーバ１０はインターネット３０に接続されており、ＭＰＵ１１と、通信部１２と、入出力インターフェイス１３と、メール送受信部１４と、チェック結果判定部１５と、プリンタポート１６と、ログファイル１７と、モニター１８等を備えており、それぞれＰＣＩバス１９に接続されている。ＭＰＵ１１は、各種演算を行って装置全体を制御するＣＰＵと、ＯＳやアプリケーションプログラムを格納したＲＯＭと、データを一時的に保持するＳＲＡＭと、ＣＰＵの動作を制御する命令または他のデータを格納するフラッシュメモリ（ＥＥＰＲＯＭ）等から構成されている。なお、本実施の形態２では、メールサーバ１０のＯＳとしてＬＩＮＵＸを採用している。通信部１２はインターネット３０にアクセス可能な通信プロトコルを備えている。メール送受信部１４は、通信部１２を通じて電子メールを送受信するものである。チェック結果判定部１５は、添付ファイルがウイルスに感染しているものか否かを判定するものであり、その判定結果をモニター１８に表示するとともにログファイル１７に格納する。プリンタポート１６は、電子メールの添付ファイルにウイルスが感染している恐れがある場合にＩ／Ｏポートチェックボード２４との間で通信を行うものであり、プリンタドライバインターフェイスを備えている。なお、本実施の形態ではメールサーバにプリンタポートを用いたが、パラレル入出力装置やシリアル入出力装置、バウンダリスキャン通信装置等を用いても同様の効果が得られる。
【００２７】
一方、検査コンピュータ２０には、ＭＰＵ２１と、入出力インターフェイス２２と、メール受信手段２３ａおよびメールオープン手段２３ｂを備えたメール受信部２３と、バウンダリスキャンテスト対応のＩ／Ｏポートチェックボード２４と、Ｉ／Ｏポート２５と、ＬＥＤ２６、プリンタポート２７等が備えられており、それぞれＰＣＩバス２８によって接続されている。ＭＰＵ２１には検査コンピュータ２０と周辺機器とを接続するＩ／Ｏポート２５が備えられている。Ｉ／Ｏポート２５は、ＲＳ２３２Ｃ、キーボード、マウス、ディスプレイ、ディスク装置、ＧＰ−ＩＢ（ジェネラル・パーパス・インターフェイス・バス）、ＮＩＣ（ネットワーク・インターフェイス・カード）、ＲＴＣ（リアル・タイム・クロック）等に接続するためのインターフェイスであり、それぞれアドレスが割り当てられているものである。また、ＭＰＵ２１には、各種演算を行って装置全体を制御するＣＰＵと、ＯＳやアプリケーションプログラムを格納したＲＯＭと、データを一時的に保持するＳＲＡＭと、ＣＰＵの動作を制御する命令または他のデータを格納するフラッシュメモリ（ＥＥＰＲＯＭ）等が備えられている。なお、本実施の形態でも検査コンピュータ２０のＯＳとしてウィンドウズ（登録商標）２０００等の所定の基本ソフトが採用される。
【００２８】
メール受信部２３のメール受信手段２３ａは、入出力インターフェイス２２を通じてメールサーバからファイル付きの電子メールまたは添付ファイルのみを受信するものであり、また、メールオープン手段２３ｂは、受信した添付ファイルを開くことによりマクロを実行させるものであり、これらはＭＰＵ２１の制御の下に行われる。
【００２９】
Ｉ／Ｏポートチェックボード２４はＭＰＵ２１内に備えられたＩ／Ｏポート２５への特定の書き込みアクセスを検出してウィルスの侵入を検査するものである。特定の書き込みアクセスがＩ／Ｏポートチェックボード２４で検出された場合は、ウィルスの疑いがあることを示す信号が、Ｉ／Ｏポートチェックボード２４からＬＥＤ２６へと出力される。これにより、ＬＥＤ２６が点灯した際にユーザはウィルスに感染した疑いがあることを容易に確認することができる。また、Ｉ／Ｏポート２５への書き込みアクセスの判定結果、すなわち、ウイルスの有無の検査結果については、Ｉ／Ｏポートチェックボード２４からメールサーバ１０に転送され、ウイルスの有無を検査する。また他のＣＰＵ、例えばＬＡＮでつながれたＣＰＵ（図１参照）にもウィルスに感染する恐れがあることを知らせる信号が転送される。また、プリンタポート２７は、プリンタポート１６との間で通信を行うものであり、プリンタドライバインターフェイスを備えている。
【００３０】
次に、本実施の形態２におけるウィルス検査システムの動作について図４のフロー図を参照して説明する。また、未来スケジュール型のウイルスに対処するために、システム時刻を所定時間進めて設定しておくものとする。まず、メールサーバ２０がインターネット１０から通信部１２を介して受信した電子メールについて、メールにファイルが添付されていればこれを取得し、ＭＰＵ１１内のメモリに格納する。次いで、入出力インターフェイス１３が検査コンピュータ２０の入出力インターフェイス２２との間で通信手順のやり取りを行い、メールサーバ１０から送信された添付ファイルデータを検査コンピュータ２０のメール受信部２３で受信する（ステップＳ１１）。ファイルデータの受信終了後、検査コンピュータ２０は、メール受信部２３のメールオープン手段２３ｂが、受信した添付ファイルの拡張子により起動アプリケーションを決定し、マクロを実行して添付ファイルを開く（ステップＳ１２）。次いで、Ｉ／Ｏポートチェックボード２４で添付ファイルがＩ／Ｏポート２５にアクセスしたかどうかをチェックし（ステップＳ１３）、そのチェック結果はプリンタポート２７を通じてメールサーバ１０のプリンタポート１６に送出される。同時に、セレクト情報が存在する場合には、ウィルスに感染した可能性があるので、その旨をディスプレイに表示したり、ＬＥＤ２６を点灯してユーザに警告する（ステップＳ１４）。この間、タイマーによる監視を行い、一定時間経過後に起動したアプリケーションを終了し（タイマー設定時間前にアプリケーションが終了した場合はタイマーをキャンセルする。）そして、最後に、マクロを実行したことにより検査コンピュータ２０がウィルスに感染している場合があるので、この場合には汚染されたアプリケーションまたは必要な全てのファイルを再インストールしてファイルを修復する（ステップＳ１５）。
【００３１】
検査コンピュータ２０からチェック結果がメールサーバ１０に送信される際に、メールサーバ１０側においてタイマーによる監視を行い、所定時間内にチェック結果を受信できない場合は、検査コンピュータ２０にアラーム通知を行うとともに、所定回数のリトライを最初から繰り返す。メールサーバ１０のチェック結果判定部１５は、受信したチェック結果の中のＩ／Ｏポートチェックボード２４で取得したＩ／Ｏポート２５へのアクセス情報を基に、ウィルスがＩ／Ｏポート２５にアクセスしたか否か、またアクセスした場合にはウィルスがＩ／Ｏポート２５の中のどのポートにアクセスしたかを判定して、検査コンピュータ２０に対しチェック終了通知を行う（ステップＳ２１）。メールサーバ１０は、判定結果をログファイル１７に格納するとともに、モニター１８の画面に「添付ファイル×××はウィルスに感染している可能性があります。修復ソフトを起動して下さい」等のメッセージを表示する。そして修復ソフトを立ち上げて、ガイダンスに従って添付ファイルを修復した後（ステップＳ２２）、回復した添付ファイルを含む電子メールを正規の宛先に送信する（ステップＳ２３）。
【００３２】
チェック判定結果を格納するログファイル１７には、ログ出力日付、ログＩＤ、ログタイプ（障害、警告、通常）、ログ種別（システム、アプリケーション）、緊急度（１、２、３、４、５）、メッセージ、メール情報（メールＩＤ、差出人、宛先、送信日時、コンテンツタイプ、検証結果（０：検出なし、１：検出あり））などの情報が格納される。
【００３３】
このように、本実施の形態２によれば、検査コンピュータ内にメールサーバから受信した電子メールの添付ファイルを開いてマクロを実行するメール受信部と、開いたファイルのデータからＩ／Ｏポートへの書き込みアクセスを検出することによりウィルスの侵入を検査するＩ／Ｏポートチェックボードと、Ｉ／Ｏポートへの書き込みアクセスの判定結果をプリンタポートを介してメールサーバに送信するとともに、メールサーバのチェック結果判定部によりウイルスの感染の有無を判定し、ウィルスに感染している場合には、その該当する添付ファイルからウィルスを除去した後に、正規の宛先に電子メールを送信するようにしたので、新種のウィルスでも容易に発見することができ、かつＯＳに依存することのないウィルス検査システムを実現することができる。さらに、Ｉ／Ｏポートへのアクセス情報をプリンタポートを通じて検査コンピュータからメールサーバに送信するようにしたものである。
【００３４】
なお、上記各実施の形態において、検査コンピュータにおけるウィルス感染の恐れがある場合に警告手段としてＬＥＤを用いているが、他の光や音、文字による警告でもよく、これらの組み合わせでもよい。また、実施の形態２におけるＩ／Ｏポートチェックボードで取得したＩ／Ｏポートへのアクセス情報のメールサーバへの送信は、プリンタポートを使用するのではなく、パラレル入出力装置やシリアル入出力装置やバウンダリスキャン通信装置を使用してもよい。
【００３５】
【発明の効果】
以上説明したように、本発明のウィルス検査装置は、メールサーバに接続された検査コンピュータ内に、メールサーバから受信した電子メールの添付ファイルを開くファイルオープン手段と、開いたファイルのデータによりＩ／Ｏポートへアクセスが行われているかどうかの有無を検出することによりウィルスの侵入を検査するウィルス検査手段と、Ｉ／Ｏポートへのアクセスが検出された場合に警告を出力する警告手段とを備えているので、Ｉ／Ｏポートへのアクセスを検出することにより、新種のウィルスでも容易に発見することができ、かつＯＳに依存することのないウィルス検査装置を実現することができる。
【００３６】
また、本発明のウィルス検査方法は、メールサーバから受信した電子メールの添付ファイルを開くことにより添付ファイルのマクロを動作させ、添付ファイルのデータからＩ／Ｏポートチェックボードにより、特定のＩ／Ｏポートへの書き込みアクセスを判定するので、新種のウィルスでも容易に発見することができ、かつＯＳに依存することのないウィルス検査方法を実現することができる。
【００３７】
また、本発明のウィルス検査システムは、メールサーバから受信した電子メールの添付ファイルを開いてマクロを実行するとともに、Ｉ／Ｏポートチェックボードによる特定のＩ／Ｏポートへのアクセスを検査し、検査結果をメールサーバへ送信する検査コンピュータと、検査コンピュータから検査結果を受信して、ウィルス感染の有無を判定するメールサーバとを備えているので、電子メールの添付ファイルに付着した未知のウィルスを簡単なシステム構成により検査でき、ウィルスを除去した安全な添付ファイルを正規の宛先に送信することができる。
【図面の簡単な説明】
【図１】本発明の実施の形態１におけるウィルス検査装置の構成を示すブロック図
【図２】本発明の実施の形態１におけるウィルス検査装置の動作を示すフロー図
【図３】本発明の実施の形態２におけるウィルス検査システムの構成を示すブロック図
【図４】本発明の実施の形態２におけるウィルス検査システムの動作を示すフロー図
【符号の説明】
１，２０ 検査コンピュータ
２，２１ ＭＰＵ
３，２２ 入出力インターフェイス
４，２３ メール受信部
４ｂ，２３ｂ メールオープン手段
５，２４ Ｉ／Ｏポートチェックボード
６，２５ Ｉ／Ｏポート
７，２６ ＬＥＤ
８，２８ ＰＣＩバス
１０ メールサーバ
１１ ＭＰＵ
１２ 通信部
１３ 入出力インターフェイス
１４ メール送受信部
１５ チェック結果判定部
１６ プリンタポート
１７ ログファイル
１８ モニター
２７ プリンタポート
【発明の属する技術分野】
本発明は、電子メールに添付されたファイルに含まれるマクロウィルスを検出するための装置と方法とシステムに関する。
【０００２】
【従来の技術】
近年、パソコンおよびインターネットの普及により、電子メールによる情報交換が盛んに行われている。ところが、悪意を持った者が電子メールの添付ファイルにウィルスを潜ませて、これを知らないユーザが添付ファイルを開くことにより、ウィルスのパソコン内への侵入を許してしまうケースが多く発生するようになった。このようなウィルスは、特定のアプリケーションソフトに付着して、このソフトの手順を実行することにより感染するもので、マクロウィルスと呼ばれている。パソコン内にマクロウィルスが侵入すると、文書ファイルの内容が勝手に改ざんされたり、システム起動時に意図しない画面が表示されたりする。企業内パソコンのように多数のパソコンがＬＡＮにより接続されている場合には、一度に多数のパソコンがウィルスの攻撃に曝されることになる。
【０００３】
このようなコンピュータウィルスからコンピュータシステムを保護する方法として、いわゆるワクチンを用いる方法が知られている。ワクチンは専用ソフトウェアの一種で、これまで発見され報告されたウィルスのパターンを定義したデータベースを備え、ウィルスが侵入した場合にそのウィルスのパターンを、データベースに格納されたウィルスのパターンと照合することにより、侵入したウィルスを特定するものである。
【０００４】
【発明が解決しょうとする課題】
しかしながら、上記ワクチンソフトによるウィルスの検査は、既知のウィルスに対しては有効であるが、未知のウィルスに対してはほとんど役に立たない。また、新種のウィルスが発見、報告される度にデータベースを書き換える必要があり、ワクチンユーザはワクチンソフトを絶えずアップデートしてデータを更新する必要がある。また、このようなワクチンソフトは、コンピュータのＯＳ（オペレーティングシステム）に依存しており、ＯＳが異なると使用できないという問題があった。
【０００５】
本発明は、このような従来の問題を解決するものであり、未知のウィルスでも容易に発見することができ、かつＯＳに依存することのないウィルス検査のための装置と方法とシステムを提供することを目的とする。
【０００６】
【課題を解決するための手段】
本発明のウイルス検出装置は、電子メールを受信するメールサーバと、 前記メールサーバとは別に接続され、受信した電子メールをメールサーバ から受け取る検査コンピュータと、検査コンピュータに設けられ前記メー ルサーバから転送した電子メールの添付ファイルを開くファイルオープン 手段と、前記検査コンピュータと周辺機器とをインターフェイス接続する Ｉ／Ｏポートと、前記ファイルオープン手段により開いた添付ファイルの データにより前記Ｉ／Ｏポートへアクセスが行われているかどうかの有無 を検出することによりウィルスの侵入を検査するウィルス検査手段と、前 記Ｉ／Ｏポートへのアクセスが検出された場合に前記ウィルス検査手段か ら警告信号を出力する警告手段とを備えたものである。ウィルスは各種周 辺装置を通して外部に伝染したり、内部メモリや外部入出力装置の内容を 書き換えたり、他のサーバーに不要なメールを送りつけたりする機能を有 する為、Ｉ／Ｏポートにマッピングされている各種周辺装置を駆動する事 になるので、Ｉ／Ｏポートを監視しＩ／Ｏポートへのアクセスを検出する ことにより、新種のウィルスでも容易に発見することができ、かつＯＳに 依存することのないウィルス検査装置を実現することができる。
【０００７】
また、本発明のウィルス検査装置は、前記警告手段により、ユーザは直ちにウィルスが侵入したことを知ることができ、ウィルスの伝染防止措置を講じることができる。
【０００８】
また、本発明のウィルス検査装置は、ウィルス検査手段が、バウンダリスキャン通信をサポートし、前記添付ファイルのデータによりＩ／Ｏポートへアクセスが行われているかどうかのアクセス情報を取得してメールサーバに送出するものである。この構成により、侵入したウィルスがＩ／Ｏポートのどのポートに対してアクセスしたかを知ることができる。
【０００９】
また、本発明のウィルス検査装置は、ウイルス検出手段で取得した添付ファイルによりＩ／Ｏポートへアクセスが行われているかどうかの有無の判定をウイルス検出手段とメールサーバとの間での通信により行い、該通信を、メールサーバに備えられたプリンタポート、パラレル入出力装置、シリアル入出力装置、及びバウンダリスキャン通信装置のうち何れかを経由して通信を行うものである。この構成により、検査コンピュータとは独立したルートおよびクロックで前記Ｉ／Ｏポートへのアクセス情報を送受信することができる。
【００１０】
また、本発明のウィルス検査装置は、添付ファイルのデータにより周辺機器であるメモリまたは外部入出力装置に対するアクセスが行われているかどうかの有無を検出する手段を備えたものである。この構成により、ウィルスが内部メモリまたはＯＳなどの特定ファイルにアクセスしようとした場合にもウィルスを検出することができる。
前記添付ファイルのデータから周辺機器であるメモリまたは外部入出力装置に対するアクセスの有無を検出する手段を備えた
【００１１】
また、本発明のウィルス検査装置は、検査コンピュータのメモリアクセスを禁止設定する手段を備えたものである。この構成により、ウィルスのメモリへのアクセスを禁止してメモリ内のデータ破壊を防止することができる。
【００１２】
また、本発明のウィルス検査方法は、メールサーバから転送された電子メールの添付ファイルを検査コンピュータ内で開き、添付ファイルのマクロを動作させ、添付ファイルのデータにより検査コンピュータと周辺機器とをインターフェース接続するＩ／Ｏポートへアクセスが行われているかどうかの有無をＩ／Ｏポートチェックボードにより判定するものであり、この方法により、新種のウィルスでも容易に発見することができ、かつＯＳに依存することのないウィルス検査方法を実現することができる。
【００１３】
また、本発明のウィルス検査方法は、Ｉ／Ｏポートへの書き込みアクセスの有無をＩ／Ｏポートチェックボードにより判定し、判定した結果をメールサーバに転送するものである。この方法により、メールサーバ側においてウィルスの付着した添付ファイルを修復することができる。
【００１４】
また、本発明のウィルス検査方法は、添付ファイルのデータによりパソコンに備えられている周辺機器であるメモリまたはハードディスクへアクセスが行われているかどうかの有無を検査するものである。この方法により、ウィルスが内部メモリまたはＯＳなどの特定ファイルにアクセスしようとした場合にもウィルスを検出することができる。
【００１５】
また、本発明のウィルス検査システムは、電子メールを受信するメールサーバと、メールサーバとは別に接続され、受信した電子メールをメールサーバから受け取る検査コンピュータと、検査コンピュータに設けられメールサーバから転送した電子メールの添付ファイルを開くファイルオープン手段と、検査コンピュータとパソコンに備えられている周辺機器とをインターフェース接続するＩ／Ｏポートと、ファイルオープン手段により開いた添付ファイルのデータによりＩ／Ｏポートへアクセスが行われているかどうかの有無を検出することによりウィルスの侵入を検査するＩ／Ｏポートチェックボードとからなるウィルス検査システムであって、ファイルオープン手段がメールサーバから転送されてきた電子メールの添付ファイルを開くとともに、Ｉ／Ｏポートチェックボードが、前記添付ファイルによりＩ／Ｏポートへアクセスが行われているかどうかの有無を検査、判定し、アクセスがあった時に前記メールサーバへアクセスがあった旨の情報を送出し、ウィルス感染の有無を判定させるものである。この構成により、電子メールの添付ファイルに付着した未知のウィルスを簡単なシステム構成により検査することができる。
【００１６】
また、本発明のウィルス検査システムは、メールサーバが、ウィルス感染の有無を判定した結果、ウィルスに感染している可能性のある場合には、該当する添付ファイルからウィルスを除去した後に、正規の宛先へ前記添付ファイルを有する電子メールを送信するものである。この構成により、添付ファイルからウィルスを除去した安全な電子メールをユーザに送信することができる。
【００１７】
【発明の実施の形態】
以下、本発明の実施の形態について図面を参照して説明する。
（実施の形態１）
図１は本発明の実施の形態１におけるウィルス検査装置の構成を示している。図１において、検査コンピュータ１には、ＭＰＵ２と、入出力インターフェイス３と、メール受信手段４ａおよびメールオープン手段４ｂを備えたメール受信部４と、Ｉ／Ｏポートチェックボード５と、Ｉ／Ｏポート６と、ＬＥＤ７等が備えられており、これらは、それぞれＰＣＩバス８によって接続されている。
【００１８】
ＭＰＵ２には検査コンピュータ１と周辺機器とを接続するＩ／Ｏポート６が備えられている。Ｉ／Ｏポート６は、ＲＳ２３２Ｃ、キーボード、マウス、ディスプレイ、ディスク装置、ＧＰ−ＩＢ（ジェネラル・パーパス・インターフェイス・バス）、ＮＩＣ（ネットワーク・インターフェイス・カード）、ＲＴＣ（リアル・タイム・クロック）等（図示しない）に接続するためのインターフェイスであり、それぞれアドレスが割り当てられているものである。また、ＭＰＵ２には、各種演算を行って装置全体を制御するＣＰＵと、ＯＳやアプリケーションプログラムを格納したＲＯＭと、データを一時的に保持するＳＲＡＭと、ＣＰＵの動作を制御する命令または他のデータを格納するフラッシュメモリ（ＥＥＰＲＯＭ）等が備えられている。なお、検査コンピュータ１のＯＳはウィンドウズ（登録商標）２０００等の所定の基本ソフトが採用される。
【００１９】
メール受信部４のメール受信手段４ａは、入出力インターフェイス３を通じてメールサーバ１０からファイル付きの電子メールまたは添付ファイルのみを受信するものであり、メールオープン手段４ｂは、受信した添付ファイルを開くことにより添付ファイルのマクロを実行させるものであり、これらはＭＰＵ２の制御の下に行われる。
【００２０】
Ｉ／Ｏポートチェックボード５はＭＰＵ２内に備えられたＩ／Ｏポート６への特定の書き込みアクセスを検出してウィルスの侵入を検査するものである。特定の書き込みアクセスがＩ／Ｏポートチェックボード５で検出された場合には、ウィルスの疑いがあることを示す信号が、Ｉ／Ｏポートチェックボード５からＬＥＤ７へと出力される。これにより、ＬＥＤ７が点灯した際にユーザはウィルスに感染した疑いがあることを容易に確認することができる。また、Ｉ／Ｏポート６への書き込みアクセスの判定結果、すなわち、ウイルスの有無の検査結果については、Ｉ／Ｏポートチェックボード５からメールサーバ１０に転送され、ウイルスの有無を検査する。また他のＣＰＵ、例えばＬＡＮでつながれたＣＰＵ１００にもウィルスに感染する恐れがあることを知らせる信号が転送される。
【００２１】
次に、本実施の形態１に用いるウィルス検査装置の動作について図２のフロー図を参照して説明する。
【００２２】
本実施の形態では、ウイルスに感染した添付ファイル付きの電子メールを受信した場合について説明する。図２において、まず電源をオンにして検査コンピュータ１を立ち上げ（ステップＳ１）、メールサーバ１０からメールを受信し（ステップＳ２）、受信した添付ファイルの拡張子により起動アプリケーションを決定し、添付ファイルを開く（ステップＳ３）。添付ファイルがウイルスに感染していれば、この添付ファイルを開いたときに、ウイルスのマクロが実行されるとともにＩ／Ｏポート６への書き込みアクセスが行なわれる。するとＩ／Ｏポートチェックボード５は、添付ファイルのマクロがＩ／Ｏポート６への書き込みアクセスを行ったかどうかを検出し（ステップＳ４）、書き込みアクセスがあった場合には、その旨を示す信号をメールサーバ１０と他のＬＡＮで接続された他のＣＰＵ１００に通知するとともに、ＬＥＤ７を点灯させてウィルスに感染した疑いがあることをユーザに知らせる（ステップＳ５）。この間、タイマーによる監視を行い、一定時間経過後に起動したアプリケーションを終了し（タイマー設定時間前にアプリケーションが終了した場合はタイマーをキャンセルする。）、オブジェクトの開放を行う。そして、最後に、マクロを実行したことにより検査コンピュータがウィルスに感染している場合があるので、この場合には汚染されたアプリケーションまたは必要な全てのファイルを再インストールしてファイルを修復する（ステップＳ６）。
【００２３】
なお、本実施の形態では、ウイルスに感染した場合を想定して説明したが、ウイルスに感染していない正規のプログラムが含まれた添付ファイルを受信してメール受信部のメールオープン手段４ｂで開いた場合にもＬＥＤ７は点灯し、ウイルスに感染した疑いがあることをユーザに知らせる。そして、この場合はその後の処理でウイルス感染しているか否かを検査することにより、正規のプログラムであると判定される。
【００２４】
また、本実施の形態で用いる、検査コンピュータ１によりウィルスチェックを行うために起動させるアプリケーションプログラムには、マイクロソフト社製のワードとエクセルに限定するものとする。また、未来スケジュール型のウィルスに対処するために、システム時刻を所定時間進めて設定しておくものとする。
【００２５】
このように、本実施の形態１によれば、検査コンピュータ内にメールサーバから受信した電子メールの添付ファイルを開いてマクロを実行するメール受信部と、開いたファイルのデータからＩ／Ｏポートへの書き込みアクセスを検出することによりウィルスの侵入を検査するＩ／Ｏポートチェックボードと、Ｉ／Ｏポートへの書き込みアクセスが検出された場合に警告を出力するＬＥＤとを備えているので、新種のウィルスでも容易に発見することができ、かつＯＳに依存することのないウィルス検査装置を実現することができる。
【００２６】
（実施の形態２）
図３は本発明の実施の形態２におけるウィルス検査システムの構成を示している。図３において、メールサーバ１０はインターネット３０に接続されており、ＭＰＵ１１と、通信部１２と、入出力インターフェイス１３と、メール送受信部１４と、チェック結果判定部１５と、プリンタポート１６と、ログファイル１７と、モニター１８等を備えており、それぞれＰＣＩバス１９に接続されている。ＭＰＵ１１は、各種演算を行って装置全体を制御するＣＰＵと、ＯＳやアプリケーションプログラムを格納したＲＯＭと、データを一時的に保持するＳＲＡＭと、ＣＰＵの動作を制御する命令または他のデータを格納するフラッシュメモリ（ＥＥＰＲＯＭ）等から構成されている。なお、本実施の形態２では、メールサーバ１０のＯＳとしてＬＩＮＵＸを採用している。通信部１２はインターネット３０にアクセス可能な通信プロトコルを備えている。メール送受信部１４は、通信部１２を通じて電子メールを送受信するものである。チェック結果判定部１５は、添付ファイルがウイルスに感染しているものか否かを判定するものであり、その判定結果をモニター１８に表示するとともにログファイル１７に格納する。プリンタポート１６は、電子メールの添付ファイルにウイルスが感染している恐れがある場合にＩ／Ｏポートチェックボード２４との間で通信を行うものであり、プリンタドライバインターフェイスを備えている。なお、本実施の形態ではメールサーバにプリンタポートを用いたが、パラレル入出力装置やシリアル入出力装置、バウンダリスキャン通信装置等を用いても同様の効果が得られる。
【００２７】
一方、検査コンピュータ２０には、ＭＰＵ２１と、入出力インターフェイス２２と、メール受信手段２３ａおよびメールオープン手段２３ｂを備えたメール受信部２３と、バウンダリスキャンテスト対応のＩ／Ｏポートチェックボード２４と、Ｉ／Ｏポート２５と、ＬＥＤ２６、プリンタポート２７等が備えられており、それぞれＰＣＩバス２８によって接続されている。ＭＰＵ２１には検査コンピュータ２０と周辺機器とを接続するＩ／Ｏポート２５が備えられている。Ｉ／Ｏポート２５は、ＲＳ２３２Ｃ、キーボード、マウス、ディスプレイ、ディスク装置、ＧＰ−ＩＢ（ジェネラル・パーパス・インターフェイス・バス）、ＮＩＣ（ネットワーク・インターフェイス・カード）、ＲＴＣ（リアル・タイム・クロック）等に接続するためのインターフェイスであり、それぞれアドレスが割り当てられているものである。また、ＭＰＵ２１には、各種演算を行って装置全体を制御するＣＰＵと、ＯＳやアプリケーションプログラムを格納したＲＯＭと、データを一時的に保持するＳＲＡＭと、ＣＰＵの動作を制御する命令または他のデータを格納するフラッシュメモリ（ＥＥＰＲＯＭ）等が備えられている。なお、本実施の形態でも検査コンピュータ２０のＯＳとしてウィンドウズ（登録商標）２０００等の所定の基本ソフトが採用される。
【００２８】
メール受信部２３のメール受信手段２３ａは、入出力インターフェイス２２を通じてメールサーバからファイル付きの電子メールまたは添付ファイルのみを受信するものであり、また、メールオープン手段２３ｂは、受信した添付ファイルを開くことによりマクロを実行させるものであり、これらはＭＰＵ２１の制御の下に行われる。
【００２９】
Ｉ／Ｏポートチェックボード２４はＭＰＵ２１内に備えられたＩ／Ｏポート２５への特定の書き込みアクセスを検出してウィルスの侵入を検査するものである。特定の書き込みアクセスがＩ／Ｏポートチェックボード２４で検出された場合は、ウィルスの疑いがあることを示す信号が、Ｉ／Ｏポートチェックボード２４からＬＥＤ２６へと出力される。これにより、ＬＥＤ２６が点灯した際にユーザはウィルスに感染した疑いがあることを容易に確認することができる。また、Ｉ／Ｏポート２５への書き込みアクセスの判定結果、すなわち、ウイルスの有無の検査結果については、Ｉ／Ｏポートチェックボード２４からメールサーバ１０に転送され、ウイルスの有無を検査する。また他のＣＰＵ、例えばＬＡＮでつながれたＣＰＵ（図１参照）にもウィルスに感染する恐れがあることを知らせる信号が転送される。また、プリンタポート２７は、プリンタポート１６との間で通信を行うものであり、プリンタドライバインターフェイスを備えている。
【００３０】
次に、本実施の形態２におけるウィルス検査システムの動作について図４のフロー図を参照して説明する。また、未来スケジュール型のウイルスに対処するために、システム時刻を所定時間進めて設定しておくものとする。まず、メールサーバ２０がインターネット１０から通信部１２を介して受信した電子メールについて、メールにファイルが添付されていればこれを取得し、ＭＰＵ１１内のメモリに格納する。次いで、入出力インターフェイス１３が検査コンピュータ２０の入出力インターフェイス２２との間で通信手順のやり取りを行い、メールサーバ１０から送信された添付ファイルデータを検査コンピュータ２０のメール受信部２３で受信する（ステップＳ１１）。ファイルデータの受信終了後、検査コンピュータ２０は、メール受信部２３のメールオープン手段２３ｂが、受信した添付ファイルの拡張子により起動アプリケーションを決定し、マクロを実行して添付ファイルを開く（ステップＳ１２）。次いで、Ｉ／Ｏポートチェックボード２４で添付ファイルがＩ／Ｏポート２５にアクセスしたかどうかをチェックし（ステップＳ１３）、そのチェック結果はプリンタポート２７を通じてメールサーバ１０のプリンタポート１６に送出される。同時に、セレクト情報が存在する場合には、ウィルスに感染した可能性があるので、その旨をディスプレイに表示したり、ＬＥＤ２６を点灯してユーザに警告する（ステップＳ１４）。この間、タイマーによる監視を行い、一定時間経過後に起動したアプリケーションを終了し（タイマー設定時間前にアプリケーションが終了した場合はタイマーをキャンセルする。）そして、最後に、マクロを実行したことにより検査コンピュータ２０がウィルスに感染している場合があるので、この場合には汚染されたアプリケーションまたは必要な全てのファイルを再インストールしてファイルを修復する（ステップＳ１５）。
【００３１】
検査コンピュータ２０からチェック結果がメールサーバ１０に送信される際に、メールサーバ１０側においてタイマーによる監視を行い、所定時間内にチェック結果を受信できない場合は、検査コンピュータ２０にアラーム通知を行うとともに、所定回数のリトライを最初から繰り返す。メールサーバ１０のチェック結果判定部１５は、受信したチェック結果の中のＩ／Ｏポートチェックボード２４で取得したＩ／Ｏポート２５へのアクセス情報を基に、ウィルスがＩ／Ｏポート２５にアクセスしたか否か、またアクセスした場合にはウィルスがＩ／Ｏポート２５の中のどのポートにアクセスしたかを判定して、検査コンピュータ２０に対しチェック終了通知を行う（ステップＳ２１）。メールサーバ１０は、判定結果をログファイル１７に格納するとともに、モニター１８の画面に「添付ファイル×××はウィルスに感染している可能性があります。修復ソフトを起動して下さい」等のメッセージを表示する。そして修復ソフトを立ち上げて、ガイダンスに従って添付ファイルを修復した後（ステップＳ２２）、回復した添付ファイルを含む電子メールを正規の宛先に送信する（ステップＳ２３）。
【００３２】
チェック判定結果を格納するログファイル１７には、ログ出力日付、ログＩＤ、ログタイプ（障害、警告、通常）、ログ種別（システム、アプリケーション）、緊急度（１、２、３、４、５）、メッセージ、メール情報（メールＩＤ、差出人、宛先、送信日時、コンテンツタイプ、検証結果（０：検出なし、１：検出あり））などの情報が格納される。
【００３３】
このように、本実施の形態２によれば、検査コンピュータ内にメールサーバから受信した電子メールの添付ファイルを開いてマクロを実行するメール受信部と、開いたファイルのデータからＩ／Ｏポートへの書き込みアクセスを検出することによりウィルスの侵入を検査するＩ／Ｏポートチェックボードと、Ｉ／Ｏポートへの書き込みアクセスの判定結果をプリンタポートを介してメールサーバに送信するとともに、メールサーバのチェック結果判定部によりウイルスの感染の有無を判定し、ウィルスに感染している場合には、その該当する添付ファイルからウィルスを除去した後に、正規の宛先に電子メールを送信するようにしたので、新種のウィルスでも容易に発見することができ、かつＯＳに依存することのないウィルス検査システムを実現することができる。さらに、Ｉ／Ｏポートへのアクセス情報をプリンタポートを通じて検査コンピュータからメールサーバに送信するようにしたものである。
【００３４】
なお、上記各実施の形態において、検査コンピュータにおけるウィルス感染の恐れがある場合に警告手段としてＬＥＤを用いているが、他の光や音、文字による警告でもよく、これらの組み合わせでもよい。また、実施の形態２におけるＩ／Ｏポートチェックボードで取得したＩ／Ｏポートへのアクセス情報のメールサーバへの送信は、プリンタポートを使用するのではなく、パラレル入出力装置やシリアル入出力装置やバウンダリスキャン通信装置を使用してもよい。
【００３５】
【発明の効果】
以上説明したように、本発明のウィルス検査装置は、メールサーバに接続された検査コンピュータ内に、メールサーバから受信した電子メールの添付ファイルを開くファイルオープン手段と、開いたファイルのデータによりＩ／Ｏポートへアクセスが行われているかどうかの有無を検出することによりウィルスの侵入を検査するウィルス検査手段と、Ｉ／Ｏポートへのアクセスが検出された場合に警告を出力する警告手段とを備えているので、Ｉ／Ｏポートへのアクセスを検出することにより、新種のウィルスでも容易に発見することができ、かつＯＳに依存することのないウィルス検査装置を実現することができる。
【００３６】
また、本発明のウィルス検査方法は、メールサーバから受信した電子メールの添付ファイルを開くことにより添付ファイルのマクロを動作させ、添付ファイルのデータからＩ／Ｏポートチェックボードにより、特定のＩ／Ｏポートへの書き込みアクセスを判定するので、新種のウィルスでも容易に発見することができ、かつＯＳに依存することのないウィルス検査方法を実現することができる。
【００３７】
また、本発明のウィルス検査システムは、メールサーバから受信した電子メールの添付ファイルを開いてマクロを実行するとともに、Ｉ／Ｏポートチェックボードによる特定のＩ／Ｏポートへのアクセスを検査し、検査結果をメールサーバへ送信する検査コンピュータと、検査コンピュータから検査結果を受信して、ウィルス感染の有無を判定するメールサーバとを備えているので、電子メールの添付ファイルに付着した未知のウィルスを簡単なシステム構成により検査でき、ウィルスを除去した安全な添付ファイルを正規の宛先に送信することができる。
【図面の簡単な説明】
【図１】本発明の実施の形態１におけるウィルス検査装置の構成を示すブロック図
【図２】本発明の実施の形態１におけるウィルス検査装置の動作を示すフロー図
【図３】本発明の実施の形態２におけるウィルス検査システムの構成を示すブロック図
【図４】本発明の実施の形態２におけるウィルス検査システムの動作を示すフロー図
【符号の説明】
１，２０ 検査コンピュータ
２，２１ ＭＰＵ
３，２２ 入出力インターフェイス
４，２３ メール受信部
４ｂ，２３ｂ メールオープン手段
５，２４ Ｉ／Ｏポートチェックボード
６，２５ Ｉ／Ｏポート
７，２６ ＬＥＤ
８，２８ ＰＣＩバス
１０ メールサーバ
１１ ＭＰＵ
１２ 通信部
１３ 入出力インターフェイス
１４ メール送受信部
１５ チェック結果判定部
１６ プリンタポート
１７ ログファイル
１８ モニター
２７ プリンタポート
Claims (11)
- 電子メールを受信するメールサーバと、
前記メールサーバとは別に接続され、受信した電子メールをメールサーバから受け取る検査コンピュータと、
該検査コンピュータに設けられ前記メールサーバから転送した電子メールの添付ファイルを開くファイルオープン手段と、
前記検査コンピュータと周辺機器とをインターフェイス接続するＩ／Ｏポートと、
前記ファイルオープン手段により開いた添付ファイルのデータにより前記Ｉ／Ｏポートへアクセスが行われているかどうかの有無を検出することによりウィルスの侵入を検査するウィルス検査手段と、
前記Ｉ／Ｏポートへのアクセスが検出された場合に前記ウィルス検査手段から警告信号を出力する警告手段と
を備えたことを特徴とするウィルス検査装置。 - 前記メールサーバから前記検査コンピュータに電子メールの添付ファイルを転送する転送手段を有することを特徴とした請求項１に記載のウィルス検査装置。
- 前記ウィルス検査手段が、バウンダリスキャン通信をサポートし、前記添付ファイルのデータにより前記Ｉ／Ｏポートへアクセスが行われているかどうかのアクセス情報を取得して前記メールサーバに送出することを特徴とする請求項１または２に記載のウィルス検査装置。
- 前記ウイルス検出手段で取得した添付ファイルにより前記Ｉ／Ｏポートへアクセスが行われているかどうかの有無の判定を、前記ウイルス検出手段と前記メールサーバとの間での通信により行い、該通信を、前記メールサーバに備えられたプリンタポート、パラレル入出力装置、シリアル入出力装置、及びバウンダリスキャン通信装置のうち何れかを経由して行うことを特徴とする請求項３に記載のウィルス検査装置。
- 前記添付ファイルのデータにより周辺機器であるメモリまたは外部入出力装置に対するアクセスが行われているかどうかの有無を検出する手段を備えた請求項１から４のいずれかに記載のウィルス検査装置。
- 前記検査コンピュータのメモリアクセスを禁止設定する手段を備えた請求項５記載のウィルス検査装置。
- メールサーバから転送された電子メールの添付ファイルを検査コンピュータ内で開き、前記添付ファイルのマクロを動作させ、前記添付ファイルのデータにより前記検査コンピュータと周辺機器とをインターフェース接続するＩ／Ｏポートへアクセスが行われているかどうかの有無をＩ／Ｏポートチェックボードにより判定するウィルス検査方法。
- 前記Ｉ／Ｏポートへの書き込みアクセスの有無をＩ／Ｏポートチェックボードにより判定し、判定した結果を前記メールサーバに転送することを特徴とする請求項７に記載のウィルス検査方法。
- 前記添付ファイルのデータにより周辺機器であるメモリまたはハードディスクへアクセスが行われているかどうかの有無を検査する請求項７または８に記載のウィルス検査方法。
- 電子メールを受信するメールサーバと、
前記メールサーバとは別に接続され、受信した電子メールをメールサーバから受け取る検査コンピュータと、
該検査コンピュータに設けられ前記メールサーバから転送した電子メールの添付ファイルを開くファイルオープン手段と、
前記検査コンピュータと周辺機器とをインターフェース接続するＩ／Ｏポートと、
前記ファイルオープン手段により開いた添付ファイルのデータにより前記Ｉ／Ｏポートへアクセスが行われているかどうかの有無を検出することによりウィルスの侵入を検査するＩ／Ｏポートチェックボードとからなるウィルス検査システムであって、
前記ファイルオープン手段が前記メールサーバから転送されてきた電子メールの添付ファイルを開くとともに、前記Ｉ／Ｏポートチェックボードが、前記添付ファイルにより前記Ｉ／Ｏポートへアクセスが行われているかどうかの有無を検査、判定し、アクセスがあった時に前記メールサーバへアクセスがあった旨の情報を送出し、ウィルス感染の有無を判定させることを特徴とするウィルス検査システム。 - 前記メールサーバが、前記ウィルス感染の有無を判定した結果、ウィルスに感染している可能性のある場合には、該当する添付ファイルからウィルスを除去した後に、正規の宛先へ前記添付ファイルを有する電子メールを送信することを特徴とする請求項１０記載のウィルス検査システム。
Priority Applications (6)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP2001366884A JP3914757B2 (ja) | 2001-11-30 | 2001-11-30 | ウィルス検査のための装置と方法とシステム |
| US10/302,943 US7484244B2 (en) | 2001-11-30 | 2002-11-25 | Apparatus, method, and system for virus detection |
| CA002413606A CA2413606A1 (en) | 2001-11-30 | 2002-11-27 | Apparatus, method, and system for virus detection |
| KR1020020074401A KR100606478B1 (ko) | 2001-11-30 | 2002-11-27 | 바이러스 검출 장치, 바이러스 검출 방법, 및 바이러스검출 시스템 |
| DE60224497T DE60224497T2 (de) | 2001-11-30 | 2002-11-29 | Vorrichtung, Verfahren und System zur Viruserkennug |
| EP02258247A EP1331540B1 (en) | 2001-11-30 | 2002-11-29 | Apparatus, method, and system for virus detection |
Applications Claiming Priority (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP2001366884A JP3914757B2 (ja) | 2001-11-30 | 2001-11-30 | ウィルス検査のための装置と方法とシステム |
Publications (2)
| Publication Number | Publication Date |
|---|---|
| JP2003169096A JP2003169096A (ja) | 2003-06-13 |
| JP3914757B2 true JP3914757B2 (ja) | 2007-05-16 |
Family
ID=19176719
Family Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| JP2001366884A Expired - Fee Related JP3914757B2 (ja) | 2001-11-30 | 2001-11-30 | ウィルス検査のための装置と方法とシステム |
Country Status (6)
| Country | Link |
|---|---|
| US (1) | US7484244B2 (ja) |
| EP (1) | EP1331540B1 (ja) |
| JP (1) | JP3914757B2 (ja) |
| KR (1) | KR100606478B1 (ja) |
| CA (1) | CA2413606A1 (ja) |
| DE (1) | DE60224497T2 (ja) |
Cited By (1)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| CN105793103A (zh) * | 2013-12-06 | 2016-07-20 | 日本发条株式会社 | 车辆用座席 |
Families Citing this family (21)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| IN172208B (ja) * | 1990-04-02 | 1993-05-01 | Sint Sa | |
| KR100684986B1 (ko) * | 1999-12-31 | 2007-02-22 | 주식회사 잉카인터넷 | 온라인상에서의 실시간 유해 정보 차단 시스템 및 방법 |
| FI113499B (fi) * | 2002-09-12 | 2004-04-30 | Jarmo Talvitie | Turvajärjestelmä, menetelmä ja laite tietokonevirusten torjumiseksi sekä tiedon eristämiseksi |
| US20060101277A1 (en) * | 2004-11-10 | 2006-05-11 | Meenan Patrick A | Detecting and remedying unauthorized computer programs |
| US20060156397A1 (en) * | 2005-01-13 | 2006-07-13 | Steven Dai | A New Anti-spy method without using scan |
| US7895651B2 (en) | 2005-07-29 | 2011-02-22 | Bit 9, Inc. | Content tracking in a network security system |
| US8272058B2 (en) | 2005-07-29 | 2012-09-18 | Bit 9, Inc. | Centralized timed analysis in a network security system |
| US8984636B2 (en) | 2005-07-29 | 2015-03-17 | Bit9, Inc. | Content extractor and analysis system |
| JP2007053699A (ja) * | 2005-08-19 | 2007-03-01 | Brother Ind Ltd | メール受信システム及びインターネットファクシミリ |
| US20070094731A1 (en) * | 2005-10-25 | 2007-04-26 | Microsoft Corporation | Integrated functionality for detecting and treating undesirable activities |
| US20080222728A1 (en) * | 2007-03-05 | 2008-09-11 | Paula Natasha Chavez | Methods and interfaces for executable code analysis |
| KR100974886B1 (ko) * | 2007-12-10 | 2010-08-11 | 한국전자통신연구원 | 파일에 삽입된 악성 코드 제거 장치 및 방법 |
| US9544273B2 (en) * | 2012-07-31 | 2017-01-10 | Trend Micro Incorporated | Network traffic processing system |
| FR2997529B1 (fr) * | 2012-10-29 | 2015-12-25 | Pradeo Security Systems | Procede et systeme de verification de la securite d’une application en vue de son utilisation sur un appareil utilisateur. |
| US10713356B2 (en) * | 2013-03-04 | 2020-07-14 | Crowdstrike, Inc. | Deception-based responses to security attacks |
| JP5606599B1 (ja) * | 2013-07-29 | 2014-10-15 | デジタルア−ツ株式会社 | 情報処理装置、プログラム及び情報処理方法 |
| CN103955645B (zh) * | 2014-04-28 | 2017-03-08 | 百度在线网络技术（北京）有限公司 | 恶意进程行为的检测方法、装置及系统 |
| US10032027B2 (en) * | 2014-07-29 | 2018-07-24 | Digital Arts Inc. | Information processing apparatus and program for executing an electronic data in an execution environment |
| WO2018123061A1 (ja) | 2016-12-28 | 2018-07-05 | デジタルア－ツ株式会社 | 情報処理装置及びプログラム |
| CN109165506B (zh) * | 2018-07-05 | 2021-07-20 | 河南中烟工业有限责任公司 | 一种工控容错服务器在线病毒查杀和病毒防护的方法 |
| CN111885069B (zh) * | 2020-07-28 | 2021-11-02 | 上海易帆数据科技有限公司 | 一种计算机网络安全系统 |
Family Cites Families (10)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| DE69511556D1 (de) | 1994-06-01 | 1999-09-23 | Quantum Leap Innovations Inc | Computervirenfalle |
| US5832208A (en) | 1996-09-05 | 1998-11-03 | Cheyenne Software International Sales Corp. | Anti-virus agent for use with databases and mail servers |
| IL120632A0 (en) | 1997-04-08 | 1997-08-14 | Zuta Marc | Multiprocessor system and method |
| JPH11134190A (ja) | 1997-10-31 | 1999-05-21 | Hitachi Ltd | ウイルス検出通知システム、方法、および該方法に係るプログラムを格納した記憶媒体 |
| JPH11252158A (ja) * | 1998-02-27 | 1999-09-17 | Seiko Epson Corp | 電子メール情報管理方法及び装置並びに電子メール情報管理処理プログラムを記録した記録媒体 |
| JP2001111824A (ja) | 1999-10-06 | 2001-04-20 | Canon Inc | 記録装置 |
| TW452733B (en) * | 1999-11-26 | 2001-09-01 | Inventec Corp | Method for preventing BIOS from viruses infection |
| KR100392879B1 (ko) * | 2000-06-02 | 2003-08-06 | 주식회사 인터넷엑스퍼트시스템 | 전자 메일에 의한 기업비밀 유출 방지 및 바이러스 확산방지 기능을 갖는 전자 메일 보안 시스템 |
| US6901519B1 (en) * | 2000-06-22 | 2005-05-31 | Infobahn, Inc. | E-mail virus protection system and method |
| US7107618B1 (en) * | 2001-09-25 | 2006-09-12 | Mcafee, Inc. | System and method for certifying that data received over a computer network has been checked for viruses |
-
2001
- 2001-11-30 JP JP2001366884A patent/JP3914757B2/ja not_active Expired - Fee Related
-
2002
- 2002-11-25 US US10/302,943 patent/US7484244B2/en not_active Expired - Fee Related
- 2002-11-27 KR KR1020020074401A patent/KR100606478B1/ko not_active IP Right Cessation
- 2002-11-27 CA CA002413606A patent/CA2413606A1/en not_active Abandoned
- 2002-11-29 EP EP02258247A patent/EP1331540B1/en not_active Expired - Fee Related
- 2002-11-29 DE DE60224497T patent/DE60224497T2/de not_active Expired - Fee Related
Cited By (1)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| CN105793103A (zh) * | 2013-12-06 | 2016-07-20 | 日本发条株式会社 | 车辆用座席 |
Also Published As
| Publication number | Publication date |
|---|---|
| KR20030044817A (ko) | 2003-06-09 |
| EP1331540B1 (en) | 2008-01-09 |
| JP2003169096A (ja) | 2003-06-13 |
| DE60224497T2 (de) | 2009-01-08 |
| CA2413606A1 (en) | 2003-05-30 |
| DE60224497D1 (de) | 2008-02-21 |
| US7484244B2 (en) | 2009-01-27 |
| EP1331540A2 (en) | 2003-07-30 |
| US20030105975A1 (en) | 2003-06-05 |
| EP1331540A3 (en) | 2004-10-20 |
| KR100606478B1 (ko) | 2006-07-31 |
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| JP3914757B2 (ja) | ウィルス検査のための装置と方法とシステム | |
| US11947674B2 (en) | Systems and methods for providing security services during power management mode | |
| US10757120B1 (en) | Malicious network content detection | |
| US7607171B1 (en) | Virus detection by executing e-mail code in a virtual machine | |
| US20040088565A1 (en) | Method of identifying software vulnerabilities on a computer system | |
| US9886576B2 (en) | Security box | |
| US20050278178A1 (en) | System and method for intrusion decision-making in autonomic computing environments | |
| US20080229416A1 (en) | Computer Network Virus Protection System and Method | |
| US10121005B2 (en) | Virus detection by executing electronic message code in a virtual machine | |
| JPWO2006092931A1 (ja) | ネットワーク接続制御プログラム、ネットワーク接続の制御方法及びネットワーク接続制御システム | |
| US7673343B1 (en) | Anti-virus scanning co-processor | |
| CN106663176A (zh) | 检测装置、检测方法以及检测程序 | |
| US20060015939A1 (en) | Method and system to protect a file system from viral infections | |
| GB2469322A (en) | Detecting malware at a client device | |
| JP2011008730A (ja) | コンピュータシステム、コンピュータ装置、ファイルオープン方法、及びプログラム | |
| US8458797B1 (en) | System and method for securing computers against computer viruses | |
| JP2009053824A (ja) | 情報処理装置及びメッセージ認証方法及びプログラム | |
| JP6984114B2 (ja) | 電子メール監視装置、端末装置、電子メール監視方法、及び、電子メール監視プログラム | |
| JP2007226365A (ja) | ウィルス検出システム |
Legal Events
| Date | Code | Title | Description |
|---|---|---|---|
| A621 | Written request for application examination |
Free format text: JAPANESE INTERMEDIATE CODE: A621 Effective date: 20041007 |
|
| A977 | Report on retrieval |
Free format text: JAPANESE INTERMEDIATE CODE: A971007 Effective date: 20060929 |
|
| A131 | Notification of reasons for refusal |
Free format text: JAPANESE INTERMEDIATE CODE: A131 Effective date: 20061003 |
|
| A521 | Request for written amendment filed |
Free format text: JAPANESE INTERMEDIATE CODE: A523 Effective date: 20061204 |
|
| TRDD | Decision of grant or rejection written | ||
| A01 | Written decision to grant a patent or to grant a registration (utility model) |
Free format text: JAPANESE INTERMEDIATE CODE: A01 Effective date: 20070109 |
|
| A61 | First payment of annual fees (during grant procedure) |
Free format text: JAPANESE INTERMEDIATE CODE: A61 Effective date: 20070205 |
|
| R150 | Certificate of patent or registration of utility model |
Free format text: JAPANESE INTERMEDIATE CODE: R150 |
|
| S303 | Written request for registration of pledge or change of pledge |
Free format text: JAPANESE INTERMEDIATE CODE: R316303 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20100209 Year of fee payment: 3 |
|
| R371 | Transfer withdrawn |
Free format text: JAPANESE INTERMEDIATE CODE: R371 |
|
| S303 | Written request for registration of pledge or change of pledge |
Free format text: JAPANESE INTERMEDIATE CODE: R316303 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20100209 Year of fee payment: 3 |
|
| R350 | Written notification of registration of transfer |
Free format text: JAPANESE INTERMEDIATE CODE: R350 |
|
| LAPS | Cancellation because of no payment of annual fees |