JP3971353B2

JP3971353B2 - ウィルス隔離システム

Info

Publication number: JP3971353B2
Application number: JP2003270558A
Authority: JP
Inventors: 正輝粟津; 一弥馬場
Original assignee: Fujitsu Ltd
Current assignee: Fujitsu Ltd
Priority date: 2003-07-03
Filing date: 2003-07-03
Publication date: 2007-09-05
Anticipated expiration: 2023-07-03
Also published as: JP2005025679A

Description

本発明は、ウィルスが侵入した装置のネットワークからの遮断によりウィルスを隔離するウィルス隔離システム、方法及びプログラムに関し、特に、ウィルスパターンファイルを必要とすることなくウィルスの侵入を発見して隔離するウィルス隔離システムに関する。

従来、ＬＡＮなどのローカルネットワークに接続されているコンピュータは、インターネットなどの外部から侵入したウィルスの被害を受ける危険性が高い。特に、大量にメールを配信したり、ファイルを作成するウィルスは、ネットワーク内のコンピュータのリソースを食いつぶし、ネットワークシステム全体を機能停止に追い込むことになる。

従来のウィルス対策は、ネットワークに接続している各コンピュータにウィルス対策ソフトをインストールし、予め登録されているウィルスパターンと照合してウィルスを発見し、捕獲するようにしている。
特開平１１−１６１５１７号公報

しかしながら、このような従来のウィルス対策ソフトを使用した場合にあっては、新種のウィルスが発生すると、パターンファイルが登録されるまでに、ウィルスが蔓延してしまう危険があった。また、急激なウィルス増殖を前に、それぞれの管理者が手動でウィルスの拡散を防がなければならない大変さがあった。

本発明は、パターンファイルの登録を必要とすることなくウィルスを発見してネットワーク内への蔓延を確実に阻止するようにしたウィルス隔離システム、方法及びプログラムを提供することを目的とする。

本発明はウィルス感染通知方法を提供する。このウィルス感染通知方法は、
情報処理装置に存在する複数の資源の使用量を監視し、使用量の変化に基づいて、情報処理装置のウィルス感染を他の装置へ通知するウィルス感染通知方法であって、
コンピュータが、
各資源の所定時間当たりの使用量を監視し、特定の資源の所定時間当たり使用量が所定値に達した場合に、各資源に対応付けて、資源の状態を示す状態情報が登録できる資源状況テーブルに対して、特定の資源に対応付けて資源が異常であることを示す異常状態情報を登録するステップと、
複数の資源の内、少なくとも２以上の資源を対応付けた組合せ条件テーブルを参照し、対応付けられた複数の資源を識別した上で、資源状況テーブルを参照し、識別した全ての資源について、異常情報が対応付けられているか否かを判定する判定ステップと、
判定ステップによる判定の結果、識別した全ての資源に異常状態情報が対応付けられている場合は、資源が存在する情報処理装置がウィルスに感染したことを警告するウィルス発生警告通知を他の装置に送信する通知ステップと、を備えたことを特徴とする。

このように本発明は、既存のウィルスパターンによる照合ではなく、複数のリソースの組合せに対してリソース使用量が異常増加したときにウィルス感染と判断しているため、新種のウィルスに対しても効力を発揮する。

本発明は、前記登録ステップにおいて、前記コンピュータは、監視対象とする対象資源が指定されている監視定義テーブルを参照し、該対象資源を識別し、該対象資源の所定時問当たりの使用量を監視することを特徴とする。

本発明は、コンピュータに、
各資源の所定時間当たりの使用量を監視し、特定の資源の該所定時間当たりの使用量が所定値に達した場合に、各資源に対応付けて、該資源の状態を示す状態情報が登録できる資源状況テーブルに対して、該特定の資源に対応付けて該資源が異常であることを示す異常状態情報を登録する登録機能と
前記複数の資源の内、少なくと２以上の資源を対応付けた組合せ条件テーブルを参照し、対応付けられた該複数の資源を識別した上で、前記資源状況テーブルを参照し、該識別した全ての資源について、前記異常状態情報が対応付けられているか否かを判定する判定機能と、
前記判定機能による判定の結果、前記識別した全ての資源に前記異常状態情報が対応付けられている場合は、該資源が存在する前記情報処理装置がウィルスに感染したことを警告するウィルス発生敬告通知を前記他の装置に送信する通知機能と、
を実行させることを特徴とする。

本発明によれば、資源の組合せを定義しておき、その組合せの各資源が全て異常増加した時点で初めてウィルス感染と判定するようにしているので、ウィルス感染の判断精度を高めることができ、例えばデータの大きい画像・映像情報を再生／加工編集する場合にＣＰＵ負荷が極端に大きくなるが、このような場合でもウィルス感染とは判断せず、判断精度を向上させることができる。

図１は本発明のウィルス隔離処理が適用されるネットワーク構成の説明図である。図１において、情報処理装置として使用されるパーソナルコンピュータ１０−１〜１０−６及びサーバ１２は、ネットワーク装置１６−１〜１６−３によりＬＡＮ１４などのネットワークに接続されている。

ネットワーク装置１６−１〜１６−３としてはネットワークスイッチやルータが使用される。この例では、ネットワーク装置１６−１にパーソナルコンピュータ１０−１〜１０−４が接続され、ネットワーク装置１６−２にパーソナルコンピュータ１０−５が接続され、ネットワーク装置１６−３にパーソナルコンピュータ１０−６とサーバ１２が接続されている。もちろんＬＡＮ１４は、図示しない系統により外部のインターネットに接続されている。

図２は図１のパーソナルコンピュータとネットワーク装置に設けられる本発明のウィルス隔離処理のための機能構成を示したブロック図である。この例では、ネットワーク装置１６−１に接続したパーソナルコンピュータ１０−１〜１０−３を例にとっており、パーソナルコンピュータ１０−１について代表して示すように、そこにはウィルス監視部１８、事前登録部２８、監視条件定義ファイル３０、更に測定データファイル３２が設けられている。

パーソナルコンピュータ１０−１は、そのハードウェア構成による資源２０を備えており、本発明のウィルス隔離処理にあっては、このパーソナルコンピュータの資源２０をネットワークリソース２２、ＣＰＵリソース２４、更に入出力リソース（Ｉ／Ｏリソース）２６の３つの資源に分けて監視するようにしている。

一方、パーソナルコンピュータ１０−１をＬＡＮ１４に接続するネットワーク装置１６−１には、遮断部３４とウィルス判定部３６が設けられている。パーソナルコンピュータ１０−１に設けたウィルス監視部１８は、資源２０の使用状況を監視し、資源の使用が急激に増加した場合にウィルスの感染と判定して、ネットワーク装置１６−１にウィルス発生警告を通知する。

ネットワーク装置１６−１に設けた遮断部３４は、パーソナルコンピュータ１０−１のウィルス監視部１８からのウィルス感染通知を受信した際に、通知元となるパーソナルコンピュータ１０−１をＬＡＮ１４から遮断する。

この実施形態において、ウィルス監視部１８は資源２０の中をネットワークリソース２２、ＣＰＵリソース２４及び入出力リソース２６の３つに分けてリソースの使用状態を監視し、少なくともいずれか１つで急激に使用量が増加した場合にウィルス感染と判定して、ネットワーク装置１６−１にウィルス感染警告通知を送信する。

ウィルス監視部１８によるネットワークリソース２２の監視は、単位時間当たりのデータ転送量を監視し、このデータ転送量が所定の閾値を超えたときに異常と判断し、この異常が監視周期により決まる所定時間継続したときにウィルス感染と判定して、ウィルス感染警告をネットワーク装置１６−１に送信する。

またウィルス監視部１８は、ＣＰＵリソース２４についてはＣＰＵの負荷（％）を監視しており、ＣＰＵ負荷が所定の閾値を超え、且つ監視周期で決まる所定時間継続したときに、ウィルス感染と判定してネットワーク装置１６−１にウィルス感染警告通知を送信する。

更にウィルス監視部１８は、入出力リソース２６の単位時間当たりの負荷として入出力回数を監視しており、入出力回数が所定の閾値を超え、且つ監視周期で決まる一定時間継続したときに、ウィルス感染と判定してネットワーク装置１６−１にウィルス感染警告を通知する。

ウィルス監視部１８からネットワーク装置１６−１に対するウィルス警告通知は、遮断部３４でポートに対するパーソナルコンピュータのＬＡＮへの接続を遮断するネットワーク装置１６−１の制御コマンドを送ってもよいし、特定のメッセージを送ることでネットワーク装置１６−１側でメッセージを解読し、ポート接続を切り離す遮断用の制御コマンドを実行するようにしてもよい。

ここでウィルス監視部１８は、予め定めた監視周期例えば３秒間隔で資源２０の使用状況を判断する監視処理を実行しており、ウィルス感染を判定しないときには、リソースの正常使用をネットワーク装置１６−１に通知している。

ネットワーク装置１６−１のウィルス判定部３６は、パーソナルコンピュータ１０−１からの定期的に行われる正常使用通知を受信して、各パーソナルコンピュータごとに対応して設けたタイマをリセットスタートしている。

そして、パーソナルコンピュータ１０−１でウィルス感染により動作不能となって定期的な正常使用通知が送れなくなった場合、ウィルス判定部３６はタイマの設定時間経過によるタイムアウトに基づき、定期的な正常使用通知が断たれたパーソナルコンピュータ１０−１がウィルスに感染して正常に動作できなくなったものとして、遮断部３４に対しウィルス感染警告通知を行い、パーソナルコンピュータ１０−１をＬＡＮ１４から遮断する。

更に、パーソナルコンピュータ１０−１に設けた事前登録部２８は、パーソナルコンピュータ１０−１で監視対象とする資源２０について、ウィルス監視対象とする資源とウィルス監視対象から除外する資源を事前に登録し、これを監視条件定義ファイル３０として作成している。

このためウィルス監視部１８は、事前登録部２８により設定された監視条件定義ファイル３０の定義情報に従って、資源２０の各リソースを対象にウィルス監視処理を実行することになる。

このようなパーソナルコンピュータ１０−１における本発明のウィルス監視機能は、図１における他のパーソナルコンピュータ１０−２〜１０−６及びサーバ１２にも同様に設けられている。

図１におけるパーソナルコンピュータ１０−１〜１０−６及びサーバ１２は、例えば図３のようなコンピュータのハードウェア資源により実現される。

図３のコンピュータにおいて、ＣＰＵ１００のバス１０１にはＲＡＭ１０２、ハードディスクコントローラ（ソフト）１０４、フロッピィディスクドライバ（ソフト）１１０、ＣＤ−ＲＯＭドライバ（ソフト）１１４、マウスコントローラ１１８、キーボードコントローラ１２２、ディスプレイコントローラ１２６、通信用ボード１３０が接続される。

ハードディスクコントローラ１０４はハードディスクドライブ１０６を接続し、本発明のウィルス監視処理を実行するプログラムをローディングしており、コンピュータの起動時にハードディスクドライブ１０６から必要なプログラムを呼び出して、ＲＡＭ１０２上に展開し、ＣＰＵ１００により実行する。

フロッピィディスクドライバ１１０にはフロッピィディスクドライブ（ハード）１１２が接続され、フロッピィディスク（Ｒ）に対する読み書きができる。ＣＤ−ＲＯＭドライバ１１４に対しては、ＣＤドライブ（ハード）１１６が接続され、ＣＤに記憶されたデータやプログラムを読み込むことができる。

マウスコントローラ１１８はマウス１２０の入力操作をＣＰＵ１００に伝える。キーボードコントローラ１２２はキーボード１２４の入力操作をＣＰＵ１００に伝える。ディスプレイコントローラ１２６は表示部１２８に対して表示を行う。通信用ボード１３０は無線を含む通信回線１３２を使用し、ＬＡＮ１４を介してネットワーク内の装置や外部のインターネット上の装置との間で通信を行う。

図４は、図２のパーソナルコンピュータ１０−１に設けた監視条件定義ファイル３０の説明図である。図４において、監視条件定義ファイル３０は監視対象として、ネットワークリソース、ＣＰＵリソース及びＩ／Ｏリソースの３つに分けている。ネットワークリソースについては、監視項目の「監視ポート」として例えば設定例に示すように、ポート番号２５番を監視対象となるポートとして設定している。

このポート番号２５番となるＴＣＰ−ＩＰポートはメールアドレスの使用ポートである。この監視ポートとして設定したメール用のポート番号２５番につき、監視項目として
（１）測定単位時間
ネットワーク転送量Ｘを測定する単位時間を設定し、例えば１秒を設定する。
（２）異常判定閾値。
単位時間当たりのネットワーク転送する。
（３）警告判定閾値回数
監視周期で異常判定閾値Ｘｔｈを超えるネットワーク転送量Ｘが何回連続したら警告対象とするかの閾値回数Ｃｔｈ１を設定し、例えばＣｔｈ１＝３回を設定する。
（４）監視周期
監視処理を実行する時間間隔を設定する。例えば監視周期として３秒を設定する。

このような監視対象の設定項目に続いて、この例では３つの監視除外ポートを設定可能としており、設定例に示すようにポート番号２３番のテレネットポート、ポート番号２１番のｆｔｐポートを監視除外ポートとしている。

次のＣＰＵリソースについては、ネットワークリソースの監視対象となるポート番号２５番の場合と同様、
（１）測定単位時間
ＣＰＵ負荷Ｙ（％）を測定する単位時間を設定するもので、例えば１秒を設定する。
（２）異常判定閾値
単位時間当たりのＣＰＵ負荷Ｙ（％）を異常と判定する閾値Ｙｔｈ（％）を設定する。例えば閾値Ｙｔｈ＝９０％を設定する。
（３）警告判定閾値回数
監視周期で異常判定閾値Ｙｔｈを超えるＣＰＵ負荷Ｙｔｈが何回連続したら警告対象とするかの閾値回数Ｃｔｈ２を設定する。例えば閾値回数Ｃｔｈ２＝３回を設定する。
（４）監視周期
監視処理を実行する時間間隔設定であり、例えば３秒を設定している。

次のＩ／Ｏリソースについても、次の４つの監視項目が設定される。
（１）測定単位時間
Ｉ／Ｏ負荷Ｚ（入出力回数）を測定する単位時間を例えば１秒と設定する。
（２）異常判定閾値
単位時間当たりのＩ／Ｏ負荷Ｚを異常と判定する閾値Ｚｔｈを設定する。例えば閾値Ｚｔｈ＝２００回を設定する。
（３）警告判定閾値回数
監視周期で異常判定閾値Ｚｔｈを超えるＩ／Ｏ負荷が何回連続したら警告対象とするかの閾値回数Ｃｔｈ３を設定する。この例ではＣｔｈ３＝３回としている。
（４）監視周期
監視処理を実行する時間間隔を設定するもので、例えば３秒を設定する。

図５は、図２のパーソナルコンピュータ１０−１に設けた測定データファイル３２の説明図である。測定データファイル３２は、監視対象としてネットワークリソース、ＣＰＵリソース及びＩ／Ｏリソースの３つを持ち、それぞれ取得時刻と測定データ内容を設けている。

この測定データファイル３２の内容は、図４の監視条件定義ファイル３０の設定に従って行われている。即ちネットワークリソースについては、監視周期として設定した３秒間隔でポート番号２５番の単位時間当りのネットワーク転送量Ｘ（Ｍｂｐｓ）を測定して格納している。なお、ネットワーク転送量の数値の左側には監視対象となるポート番号２５番が示されている。

ＣＰＵリソースについては、同じく監視周期３秒ごとに作成されたＣＰＵ負荷Ｙ（％）の値が格納されている。更にＩ／Ｏリソースについては、同じく監視周期３秒で測定された１秒当たりのＩ／Ｏ負荷Ｚ（回／ｓ）を格納している。

図６は、図５の測定データファイル３２の測定データ内容から、急激な使用量の増加についての判定結果が格納されたリソース使用状況判定テーブル３８の説明図である。

リソース使用状況判定テーブル３８は、監視対象としてのネットワークリソース、ＣＰＵリソース、Ｉ／Ｏリソースのそれぞれについて、図２の監視条件定義ファイル３０で設定した異常判定閾値Ｘｔｈ，Ｙｔｈ，Ｚｔｈによる図５の測定データファイル３２の測定データ内容との比較による判定結果を登録している。

例えばネットワークリソースを例に取ると、図５にあっては単位時間当りの異常判定閾値Ｘｔｈ＝４．０Ｍｂｐｓを超える測定結果が４周期連続している。したがって、リソース使用状況判定テーブル３８の異常カウンタには、異常判定閾値Ｘｔｈ＝４．０Ｍｂｐｓとなった異常判定結果のカウンタによる値即ち異常カウンタの値として「４回」が格納されている。

この異常カウンタの値をＣ１とすると、リソース状態フラグはカウンタ回数Ｃ＝４回が、図４の監視条件定義ファイル３０に設定している警告判定閾値回数Ｃｔｈ１＝３回を超えたときに、リソース状態フラグとして異常フラグをセットする。

次のＣＰＵリソースにあっては、図５の測定データファイル３２の測定データ内容から、異常判定閾値Ｙｔｈ＝９０％を超えた測定結果は１回であり、これが異常カウンタのカウンタ値Ｃ２となり、異常カウンタ値Ｃ２は図４の監視条件定義ファイル３０で設定した警告判定閾値回数Ｃｔｈ２未満であることから、リソース状態フラグは正常フラグがセットされている。

次のＩ／Ｏリソースにあっては、図５の測定データファイル３２における測定データ内容は全て図４の監視条件データファイル３０に設定した異常判定閾値Ｚｔｈ＝２００回／ｓ未満であり、このときの異常カウンタ値Ｃ３はＣ３＝０回であることから、当然に警告判定閾値回数Ｃｔｈ３＝３回に達しておらず、リソース状態フラグは正常フラグが登録されている。

このため、図５の測定データファイル３２における監視時刻「２００３．０１．０１．１０：００：１２」の時刻にあっては、図６のリソース使用状況判定テーブル３８の異常フラグが設定されているネットワークリソースにおいてウィルス感染が発生したものと判定し、ネットワーク装置１６−１に対しウィルス発生警告を通知し、ネットワークとの接続を遮断させる。

図７は、本発明のパーソナルコンピュータにおけるウィルス監視処理の基本処理のフローチャートであり、次の処理手順からなる。

ステップＳ１：図４のような監視条件定義ファイル３０の登録内容に示すように、監視対象とするリソースと監視対象から除外するリソースを登録し、監視対象としたリソースについては測定単位時間、異常判定閾値、警告判定閾値回数、監視周期などの条件を事前登録する。
ステップＳ２：監視条件定義ファイル３０に設定した監視周期に達したかどうか判断し、達した場合にはステップＳ３に進む。
ステップＳ３：監視対象とするリソースの監視パラメータ、例えばネットワークリソースであればネットワーク転送量、ＣＰＵリソースであればＣＰＵ負荷、またＩ／Ｏリソースであれば単位時間当たりの入出力回数を測定する。
ステップＳ４：リソースの急激な変化の有無を判定する。急激な変化があればステップＳ５に進み、なければステップＳ７に進む。
ステップＳ５：リソースの急激な変化が継続しているか否か判定する。継続している場合にはステップＳ６に進み、継続していなければステップＳ７に進む。
ステップＳ６：リソースの急激な変化が判別され且つ継続している場合であり、ウィルス発生警告を、自分をネットワークに接続しているネットワーク装置に通知する。
ステップＳ７：リソースの急激な変化がなかった場合であり、リソース正常使用を、自分をネットワークに接続しているネットワーク装置に通知する。

図８及び図９は、本発明におけるウィルス監視処理の詳細な処理手順を示したフローチャートであり、このフローチャートの内容が図１のパーソナルコンピュータ１０−１〜１０−６及びサーバ１２にインストールして実行されるウィルス監視用のプログラムとしての内容を持つ。このウィルス監視処理の詳細は次の処理手順で行われる。

ステップＳ１：図４の監視条件定義ファイル３０のように、監視条件の事前登録を行う。
ステップＳ２：監視周期か否か判別し、監視周期に達すればステップＳ３に進む。
ステップＳ３：リソースの監視パラメータを測定する。
ステップＳ４：ネットワークリソースにおけるネットワーク転送量Ｘの異常判定を行う。即ち、ネットワーク転送量Ｘが異常判定閾値Ｘｔｈ以上か否か判別し、以上であればステップＳ５に進み、Ｘｔｈ未満であればステップＳ８に進む。
ステップＳ５：ネットワークリソースにつき設けている異常カウンタＣ１を１つカウントアップする。
ステップＳ６：異常継続を判定する。即ち、異常カウンタの値Ｃ１が警告判定閾値回数Ｃｔｈ１以上か否か判別する。警告判定閾値回数Ｃｔｈ１以上であればステップＳ７に進み、そうでなければステップＳ８に進む。
ステップＳ７：ネットワークリソースのリソース状態フラグを異常にセットする。
ステップＳ８：ＣＰＵ負荷Ｙの測定結果を取得する。
ステップＳ９：ＣＰＵ負荷Ｙ（％）の異常判定を行う。即ちＣＰＵ負荷Ｙ（％）が異常判定閾値Ｙｔｈ（％）以上か否か判別し、Ｙｔｈ以上であればステップＳ１０に進み、そうでなければ図９のステップＳ１３に進む。
ステップＳ１０：ＣＰＵリソースに対応して設けている異常カウンタＣ２を１つカウントアップする。
ステップＳ１１：異常カウンタの値Ｃ２と警告判定閾値回数Ｃｔｈ２とを比較し、警告判定閾値回数Ｃｔｈ２以上であればステップＳ１２に進み、Ｃｔｈ未満であれば図９のステップＳ１３に進む。
ステップＳ１２：ＣＰＵリソースのリソース状態フラグを異常フラグにセットする。
ステップＳ１３：入出力負荷Ｚの測定結果を取得する。
ステップＳ１４：入出力負荷Ｚが異常判定閾値Ｚｔｈ以上かどうかの異常判定を行う。Ｚｔｈ以上であればステップＳ１５に進み、そうでなければステップＳ１８に進む。
ステップＳ１５：入出力リソースに対応した異常カウンタＣ３の値を１つカウントアップする。
ステップＳ１６：異常カウンタの値Ｃ３が警告判定閾値回数Ｃｔｈ３以上か否か判定し、Ｃｔｈ３以上であればステップＳ１７に進み、Ｃｔｈ３未満であればステップＳ１８に進む。
ステップＳ１７：入出力リソースのリソース状態フラグを異常フラグにセットする。
ステップＳ１８：ステップＳ１７までの処理でリソース状態フラグの中に異常フラグがあるか否か判定し、異常フラグがあればステップＳ１９に進み、異常フラグがなければステップＳ２０に進む。
ステップＳ１９：ウィルスの発生警告を、自分をネットワークに接続しているネットワーク装置に通知する。
ステップＳ２０：リソースの正常使用を、自分をネットワークに接続しているネットワーク装置に通知する。

図１０は本発明におけるネットワーク装置の処理のフローチャートであり、このフローチャートの内容がネットワーク装置側で実行されるプログラムの内容に対応している。このネットワーク装置の処理手順は次のようになる。

ステップＳ１：イベント受信の有無をチェックしており、受信があればステップＳ２に進む。
ステップＳ２：受信したイベントの送信元を認識する。
ステップＳ３：受信内容はリソース正常使用通知か否か判別する。正常使用通知でなければステップＳ４に進み、そうであればステップＳ６に進む。
ステップＳ４：受信内容がウィルス発生警告通知か否か判別する。そうであればステップＳ５に進み、違っていればステップＳ７に進む。
ステップＳ５：ウィルス発生警告通知であることから、送信元をネットワークから切り離す遮断処理を行う。
ステップＳ６：リソース正常使用通知であることから、送信元の割当タイマをリセットスタートする。
ステップＳ７：既にリセットスタートしているタイマの中にタイムアウトしたものがあるか否か判別し、あればステップＳ８に進み、なければステップＳ１に戻る。
ステップＳ８：タイムアウトした割当タイマの送信元がウィルス感染によりリソース正常使用通知を定期的に送ることができなくなったことから、ウィルス感染と判定し、送信元をネットワークから切り離す遮断処理を実行する。

図１１は複数種類のリソースを組み合わせてウィルス感染を監視する組合せ条件テーブル４２の説明図である。即ち図６のリソース使用状況判定テーブル３８にあっては、ネットワークリソース、ＣＰＵリソース、Ｉ／Ｏリソースというそれぞれのリソースにつき、単独でリソース状態フラグに異常がセットされると、これに基づき直ちにウィルス発生と判断してネットワーク装置側にウィルス発生警告を通知してネットワークから遮断させているが、ウィルスの性質から確実にウィルス感染を判断するため、異なったリソースの組合せによりウィルス感染を判断すれば、ウィルス感染の判断精度を高めることができる。

これは、ウィルスの中にはメールを多量に配信するウィルスやハードディスクドライブをファイルコピーの多発により占拠してしまうといったものがあり、このようなウィルスの性質を判別するため、例えば図１１のリソース組合せ条件テーブル４２にあっては、
（１）ネットワークリソースとＣＰＵリソース
（２）ＣＰＵリソースとＩ／Ｏリソース
（３）ネットワークリソースとＩ／Ｏリソース
といった組合せ条件をセットしている。

そして、このような２種類のリソースに対するウィルス監視処理で、組み合せた両方のリソースについてリソース状態フラグに異常フラグが割り当てられた場合に、リソース組合せ条件テーブル４２の組合せリソース状態フラグに異常をセットし、ネットワーク装置側にウィルス発生警告を通知してネットワークから遮断させる。

図１２は、図１１のリソース組合せ条件テーブルに従った図８に続くウィルス監視処理のフローチャートである。図１２において、ステップＳ１３〜Ｓ１８は図９の場合と同じであるが、それ以降の処理が次のようにリソース組合せ条件テーブル４２に従った固有の処理となる。

ステップＳ１９：図１１のリソース組合せ条件テーブル４２から警告リソースの組合せ条件を取得する。
ステップＳ２０：組合せリソースの全てのリソース状態フラグに異常フラグがあればステップＳ２１に進み、なければステップＳ２２に進む。
ステップＳ２１：ウィルス発生警告をネットワーク装置側に通知する。
ステップＳ２２：リソースの正常使用をネットワーク装置側に通知する。

なお図１１のリソース組合せ条件テーブル４２にあっては、図６のように各リソースごとに異常カウンタをカウントし、カウンタの値が警告判定閾値回数以上となったときに、リソース状態フラグに異常フラグをセットし、この結果に基づき、リソース組合せ条件を得ているが、警告リソースの組合せ条件に対応した測定値の両方が異常判定閾値を超えたときに異常カウンタをカウントアップし、異常カウンタの値が警告判定閾値回数以上となったときにウィルス感染を判定してネットワーク装置側に通知するようにしてもよい。

また本発明は上記の実施形態に限定されず、その目的と利点を損なうことのない適宜の変形を含む。また本発明は上記の実施形態に示した数値による限定は受けない。

ここで本発明の特徴をまとめて列挙すると次の付記のようになる。
（付記）
（付記１）
ネットワーク装置を介してネットワークに接続した情報処理装置に設けられ、資源の使用状況を監視し、資源の使用量が急激に増加した場合にウィルス感染と判定して外部に通知するウィルス監視部と、
前記ネットワーク装置に設けられ、前記ウィルス監視部からの通知を受信した際に、通知元の情報処理装置をネットワークから遮断する遮断部と、
を備えたことを特徴とするウィルス隔離システム。（１）

（付記２）
付記１のウィルス隔離システムに於いて、前記ウィルス監視部は、前記情報処理装置で使用している複数種類の資源毎にウィルス感染を判定し、所定の組合せに対応した複数の資源の使用量が急激に増加した場合に、ウィルス感染と判定して通知することを特徴とするウィルス隔離システム。（２）

（付記３）
付記１のウィルス隔離システムに於いて、前記ウィルス監視部は、前記情報処理装置で監視対象とする資源とウィルス監視対象から除外する資源を事前登録することを特徴とするウィルス隔離システム。（３）

（付記４）
ネットワーク装置を介してネットワークに接続された情報処理装置の資源の使用状況を監視し、資源の使用量が急激に増加した場合にウィルス感染と判定して外部に通知するウィルス監視ステップと、
ウィルス感染通知を前記ネットワーク装置から受信した際に、通知元の情報処理装置をネットワークから遮断する遮断ステップと、
を備えたことを特徴とするウィルス隔離方法。

（付記５）
ネットワーク装置を介してネットワークに接続されたコンピュータに、
前記コンピュータ内の監視対象とする資源と監視対象から除外する資源を事前登録する事前登録ステップと、
監視対象とした資源の使用状況を定期的に監視し、資源の使用量が急激に増加した場合にウィルス感染と判定して前記ネットワーク装置にネットワークからの遮断要求を通知し、ウィルス感染を判定しない場合は、正常使用を通知するウィルス監視ステップと、
を実行させることを特徴とするプログラム。

本発明が適用されるネットワーク構成の説明図図１のパーソナルコンピュータとネットワーク装置に設けられる本発明のウィルス隔離のため機能構成を示したブロック図図２のパーソナルコンピュータに使用するコンピュータのハードウェア資源のブロック図図２のパーソナルコンピュータに設けた監視条件定義ファイルの説明図図２のパーソナルコンピュータに設けた測定データファイルの説明図図５の測定データから判定されたリソース使用状況判定テーブルの説明図本発明おけるウィルス監視処理のフローチャート本発明におけるウィルス監視処理の詳細な手順を示したフローチャート図８に続くウィルス監視処理のフローチャート本発明におけるネットワーク側処理のフローチャート複数種類のリソースを組み合わせてウィルス感染を監視する組合せ条件テーブルの説明図図１１のリソースの組合せ条件に従った図８に続くウィルス監視処理のフローチャート

符号の説明

１０−１〜１０−６：パーソナルコンピュータ
１２：サーバ
１４：ＬＡＮ
１６−１〜１６−３：ネットワーク装置
１８：ウィルス監視部
２０：資源
２２：ネットワークリソース
２４：ＣＰＵリソース
２６：入出力リソース
２８：事前登録部
３０：監視条件定義ファイル
３２：測定データファイル
３４：遮断部
３６：ウィルス判定部
３８：リソース使用状況判定テーブル
４０：リソース組合せ条件テーブル

Claims

情報処理装置に存在する複数の資源の使用量を監視し、該使用量の変化に基づいて、該情報処理装置のウィルス感染を他の装置へ通知するウィルス感染通知方法であって、
コンピュータが、
前記各資源の所定時間当たりの使用量を監視し、特定の資源の該所定時間当たりの使用量が所定値に達した場合に、各資源に対応付けて、該資源の状態を示す状態情報が登録できる資源状況テーブルに対して、該特定の資源に対応付けて該資源が異常であることを示す異常状態情報を登録するステップと、
前記複数の資源の内、少なくとも２以上の資源を対応付けた組合せ条件テーブルを参照し、対応付けられた該複数の資源を識別した上で、前記資源状況テーブルを参照し、該識別した全ての資源について、前記異常情報が対応付けられているか否かを判定する判定ステップと、
前記判定ステップによる判定の結果、前記識別した全ての資源に前記異常状態情報が対応付けられている場合は、該資源が存在する前記情報処理装置がウィルスに感染したことを警告するウィルス発生警告通知を前記他の装置に送信する通知ステップと、
を備えたことを特徴とするウィルス感染通知方法。
請求項１記載のウィルス感染通知方法に於いて、
前記登録ステップにおいて、前記コンピュータは、監視対象とする対象資源が指定されている監視定義テーブルを参照し、該対象資源を識別し、該対象資源の所定時問当たりの使用量を監視する
ことを特徴とするウィルス感染通知方法。
コンピュータに、
各資源の所定時間当たりの使用量を監視し、特定の資源の該所定時間当たりの使用量が所定値に達した場合に、各資源に対応付けて、該資源の状態を示す状態情報が登録できる資源状況テーブルに対して、該特定の資源に対応付けて該資源が異常であることを示す異常状態情報を登録する登録機能と
前記複数の資源の内、少なくと２以上の資源を対応付けた組合せ条件テーブルを参照し、対応付けられた該複数の資源を識別した上で、前記資源状況テーブルを参照し、該識別した全ての資源について、前記異常状態情報が対応付けられているか否かを判定する判定機能と、
前記判定機能による判定の結果、前記識別した全ての資源に前記異常状態情報が対応付けられている場合は、該資源が存在する前記情報処理装置がウィルスに感染したことを警告するウィルス発生警告通知を前記他の装置に送信する通知機能と、
を実行させることを特徴とするウィルス感染通知プログラム。