JP4249174B2 - スパイウェア通信管理装置およびスパイウェア通信管理プログラム - Google Patents

Description

本発明は、スパイウェア通信管理装置およびスパイウェア通信管理プログラムに関する。

従来より、ユーザが意識しないうちに、端末内の個人情報を収集してインターネット上の特定の場所（端末）に送信したり、マイクロプロセッサの空き時間を利用して計算させたりしてしまう、端末に組み込まれたプログラム、いわゆるスパイウェアプログラム（以下、スパイウェアという）の被害が広がっている。スパイウェアは、例えば、何らかのソフトウェアに付属し、該ソフトウェアを端末にインストールするときに、一緒にインストールされてしまう。一般に、これを「感染」しているという。

そこで、スパイウェアによる被害を防ぐために、スパイウェア対策技術が提案されている。例えば、外部に送信することを想定していない情報の送信を防ぐために、端末から外部への送信情報をチェックして、情報の暗号化の有無、パケット長、受信日時、通信先、送信内容などの情報を取得し、予め設定された判定ルール（同じパケット長のパケットが何度も送信されている、送信内容に個人情報が含まれているなど）に従って、ルールに抵触する場合には、送信しない、あるいは、ダミーデータを外部に送信する技術が提案されている（例えば、特許文献１参照）。

また、ネットワークの入出力部に中継装置におけるファイアウォールプロセッサを設け、送信されてきたデータについて、当該データの重要度に関するデータや通信先に関するデータを抽出して、ファイアウォールプロセッサにより、予め用意したテーブルを参照して通信先の信頼性を判断し、さらにデータの重要度と通信先の信頼性に応じた対応（送信の可否）を決定する技術が提案されている（例えば、特許文献２参照）。

また、内部ネットワークから外部ネットワークへの情報の送信を情報管理システムによって監視し、内部ネットワークの端末からの送信情報を外部に送信する前に、送信情報の送信日時、送信者、送信先、添付ファイルのデータ形式、データ量を取得し、送信情報の使用言語、データ圧縮方式、暗号化方式、テキストの内容、添付画像の内容などを解析して、予め設定された条件に不適合と判断した場合、送信者に警告メールを送信し、警告回数に応じて送信情報を停止させる技術が提案されている（例えば、特許文献３参照）。

また、端末に格納された実行形式のファイルについて、ファイルアクセス判定部によりレジストリの書き換え、システムファイルの書き換えといった動作を検知して、ウィルスやスパイウェアなどの悪意のあるプログラムの可能性があると判別し、ユーザに警告表示し、さらに、当該実行形式のファイルの動作を停止させる技術が提案されている（例えば、特許文献４参照）。
特開２００５−１６７７９３号公報 特開２００４−１３９１７８号公報 特開２００２−３５９６４８号公報 特開２００５−１４８８１４号公報

しかしながら、個人ユーザはともかく、法人のように多くの端末を管理しなければならない場合には、全ての端末にスパイウェア対策プログラムを導入するのは非常に困難である。また、スパイウェア対策プログラムの定義ファイルなどが更新されていない場合には、スパイウェアを検知できず、対処することもできない。そこで、定期的、あるいは随時、スパイウェア対策プログラムのメンテナンス（更新）をしなければならないが、各端末を管理することが難しい場合、スパイウェアに対して十分に対処することができない。

また、スパイウェアは、ウィルスやワームと比べると、短時間で大きな脅威となることが少なく、各端末上にスパイウェア対策プログラムを常駐させた場合には、その処理にかかるＣＰＵの使用コストに対して、スパイウェア対策プログラムによる対策効果が低い。一方、スパイウェア対策プログラムを常駐させずに、手動でプログラムを起動してチェックした場合には、スパイウェアの検知、対策が遅れてしまう危険性がある。

さらに、上述した特許文献１〜３に記載されている従来技術では、端末から送信される情報について通信先、送信内容、ファイル形式などを解析し、疑わしい送信情報であると判定されると、送信自体を中止したり、ダミー情報を送信したり、送信情報に対する外部のサーバからのレスポンス情報を解析して利用者に警告を発するようにしているが、疑わしい送信情報が本当にスパイウェアによる漏洩情報であるとは限らない。このため、正当なＷｅｂアクセスであっても通信が遮断されてしまう可能性がある。

本発明は、このような事情を考慮してなされたものであり、その目的は、個々の端末へ導入することなく、また、ユーザの作業効率を低下させることなく、スパイウェアプログラムによる内部情報の外部への漏洩をより確実に防ぐことができるスパイウェア通信管理装置およびスパイウェア通信管理プログラムを提供することにある。

上述した課題を解決するために、本発明は、ネットワークを介して情報を送受信可能な端末による外部ネットワークへの通信を管理するスパイウェア通信管理装置であって、前記端末から外部ネットワークへの通信を監視し、スパイウェアプログラムによる特徴的な通信形態を検知する通信検知手段と、前記通信検知手段によって前記スパイウェアプログラムによる特徴的な通信形態が検知されると、前記端末から外部ネットワークへの通信の通信先アドレスを、特定のアドレスに変換するアドレス変換手段とを具備し、前記アドレス変換手段は、前記通信検知手段によって前記スパイウェアプログラムによる特徴的な通信形態が検知されると、前記端末から送信が行われた際の通信情報から前記端末のアドレスを特定する内部アドレス特定手段と、前記検知された通信形態に係る第１の通信先アドレスを特定する通信先アドレス特定手段と、前記内部アドレス特定手段によって特定された前記端末のアドレスと前記通信先アドレス特定手段によって特定された第１の通信先アドレスとに基づいて、前記外部ネットワークから送信された情報を特定する情報特定手段と、前記情報特定手段によって特定された情報に含まれている前記外部ネットワークへの第２の通信先アドレスを検索する通信先アドレス検索手段と、前記通信先アドレス検索手段によって検索された前記第２の通信先アドレスを前記特定のアドレスに書き換え、前記端末に送信する通信先アドレス書き換え手段とを具備する、ことを特徴とする。

また、本発明は、上記の発明において、前記端末から前記特定のアドレスへの通信を検出した場合、前記通信があった旨の通知を前記端末に送信し、解除処理の可否の確認を求める確認提示手段を具備することを特徴とする。

本発明は、上記の発明において、前記確認提示手段からの前記通信があった旨の通知に対して前記端末から解除処理要求を受信し、当該通信に係る送信元および送信先の情報を対応付けて記憶手段に記録する記録手段を備え、前記通信検知手段は、前記記憶手段に記憶されている送信元および送信先の情報に基づく前記外部ネットワークへの通信を検知対象外とすることを特徴とする。

また、上述した課題を解決するために、本発明は、ネットワークを介して情報を送受信可能な端末による外部ネットワークへの通信を管理するスパイウェア通信管理装置であって、前記端末から外部ネットワークへの通信を監視し、スパイウェアプログラムによる特徴的な通信形態を検知する通信検知手段と、前記通信検知手段によって前記スパイウェアプログラムによる特徴的な通信形態が検知されると、前記端末から外部ネットワークへの通信の通信先アドレスを、特定のアドレスに変換するアドレス変換手段と、前記端末から前記特定のアドレスへの通信を検出した場合、前記通信があった旨の通知を前記端末に送信し、解除処理の可否の確認を求める確認提示手段と、前記確認提示手段からの前記通信があった旨の通知に対して前記端末から解除処理要求を受信し、当該通信に係る送信元および送信先の情報を対応付けて記憶手段に記録する記録手段とを具備し、前記通信検知手段は、前記記憶手段に記憶されている送信元および送信先の情報に基づく前記外部ネットワークへの通信を検知対象外とすることを特徴とする。
また、上述した課題を解決するために、本発明は、ネットワークを介して情報を送受信可能な端末による外部ネットワークへの通信を管理するスパイウェア通信管理装置のコンピュータに、前記端末から外部ネットワークへの通信を監視し、スパイウェアプログラムによる特徴的な通信形態を検知する通信検知ステップと、前記スパイウェアプログラムによる特徴的な通信形態が検知されると、前記端末から外部ネットワークへの通信の通信先アドレスを、特定のアドレスに変換するアドレス変換ステップとを実行させ、前記アドレス変換ステップにおいては、前記通信検知ステップにおいて前記スパイウェアプログラムによる特徴的な通信形態が検知されると、前記端末から送信が行われた際の通信情報から前記端末のアドレスを特定する内部アドレス特定ステップと、前記検知された通信形態に係る第１の通信先アドレスを特定する通信先アドレス特定ステップと、前記内部アドレス特定ステップにおいて特定された前記端末のアドレスと前記通信先アドレス特定ステップにおいて特定された第１の通信先アドレスとに基づいて、前記外部ネットワークから送信された情報を特定する情報特定ステップと、前記情報特定ステップにおいて特定された情報に含まれている前記外部ネットワークへの第２の通信先アドレスを検索する通信先アドレス検索ステップと、前記通信先アドレス検索ステップにおいて検索された前記第２の通信先アドレスを前記特定のアドレスに書き換え、前記端末に送信する通信先アドレス書き換ステップとを実行させる、ことを特徴とするスパイウェア通信管理プログラムである。
また、本発明は、上述の発明において、前記スパイウェア通信管理装置のコンピュータに、前記端末から前記特定のアドレスへの通信を検出した場合、前記通信があった旨の通知を前記端末に送信し、解除処理の可否の確認を求めるステップをさらに実行させることを特徴とするスパイウェア通信プログラムである。
また、本発明は、上記の発明において、前記スパイウェア通信管理装置のコンピュータに、前記通信があった旨の通知に対して前記端末から解除処理要求を受信し、当該通信に係る送信元および送信先の情報を対応付けて記憶手段に記録するステップと、前記記憶手段に記憶されている送信元および送信先の情報に基づく前記外部ネットワークへの通信を検知対象外とするステップとをさらに実行させることを特徴とする。
また、上述した課題を解決するために、本発明は、ネットワークを介して情報を送受信可能な端末による外部ネットワークへの通信を管理するスパイウェア通信管理装置のコンピュータに、前記端末から外部ネットワークへの通信を監視し、スパイウェアプログラムによる特徴的な通信形態を検知する通信検知ステップと、前記スパイウェアプログラムによる特徴的な通信形態が検知されると、前記端末から外部ネットワークへの通信の通信先アドレスを、特定のアドレスに変換するアドレス変換ステップと、前記端末から前記特定のアドレスへの通信を検出した場合、前記通信があった旨の通知を前記端末に送信し、解除処理の可否の確認を求める確認提示ステップと、前記通信があった旨の通知に対して前記端末から解除処理要求を受信し、当該通信に係る送信元および送信先の情報を対応付けて記憶手段に記録する記録ステップとを実行させ、前記通信検知ステップにおいては、前記記憶手段に記憶されている送信元および送信先の情報に基づく前記外部ネットワークへの通信を検知対象外とすることを特徴とするスパイウェア通信プログラムである。

この発明によれば、個々の端末へスパイウェア対策プログラムを導入することなく、また、ユーザの作業効率を低下させることなく、スパイウェアプログラムが組み込まれた端末を特定することができ、スパイウェアプログラムが組み込まれた端末から送信される内部情報を内部ネットワーク上の特定のアドレスに送信させることができ、スパイウェアプログラムによる内部情報の外部への漏洩をより確実に防ぐことができ、また、通常のＷｅｂアクセスをスパイウェアによる通信と判定してしまった場合であっても、ユーザに解除処理の可否の確認し、解除処理の指示が合った場合には、２回目以降の同一アクセスを正常なウェブアクセスを検出対象としないようにすることができるという利点が得られる。

以下、本発明の一実施形態によるスパイウェア通信管理装置を、図面を参照して説明する。なお、本実施形態に係るスパイウェアは、８０、８０８０などＨＴＴＰ（Hyper Text Transfer Protocol）と同じポートを利用するスパイウェアを対象とした実装例である。

図１は、本第１実施形態によるスパイウェア通信管理装置を適用したネットワークの構成を示すブロック図である。図１において、複数の端末がローカルネットワークを介して接続され、ワークグループや、ドメインなどのグループ１−１〜１−４を構成している。複数のグループ１−１〜１−４の各々は、リピータ２−１、２−２やブリッジ３などを介して相互に接続されている。本第１実施形態では、グループ１−１の端末４とグループ１−４の端末５がスパイウェアに感染しているものとする（感染ＰＣ）。これら各グループ１−１〜１−４は、境界ルータ６を介してインターネット７に接続されている。スパイウェア通信監視装置８は、ブリッジ３と境界ルータ６との間における通信を監視し、スパイウェア（感染ＰＣ）による特徴的な通信形態（パケットの内容、通信手順など）を検知する。

次に、スパイウェア通信書き換え装置９は、ブリッジ３と境界ルータ６との間にバイパスするように設置されており、後述するスパイウェア管理サーバ１１からスパイウェアに感染している端末に送信されてくる、パケットのデータ領域（ペイロード、内部）に記述されている情報の通信先アドレス（第２の通信先アドレス）を検索し、該情報の通信先アドレスをある特定のアドレスＸ、すなわち後述する偽装情報収集サーバ１０のアドレスに書き換え、スパイウェア（感染ＰＣ）に対して送信する。これにより、スパイウェア（感染ＰＣ）は、通知された特定のアドレスＸに対して通信をすることになる。偽装情報収集サーバ１０は、内部ネットワークに設置され、上記のある特定のアドレスＸを有し、スパイウェア（感染ＰＣ）から送信される内部情報を回収する。内部情報としては、キーロガーなどを用いて収集したパスワード、クレジットカード番号などの情報や、その他、端末に保存された情報、あるいは端末からインターネットやファイルへアクセスした履歴情報などが含まれる。

インターネット７上には、スパイウェア管理サーバ１１や、情報収集サーバ１２、一般のＷｅｂサーバ１３などが存在する。スパイウェア管理サーバ１１および情報収集サーバ１２は、スパイウェアを使用する意図を持っている者によって管理されているサーバである。スパイウェア管理サーバ１１は、端末４、５でスパイウェアが起動したときなどに行われる初期登録や状態通知を受信すると、端末４、５において、キーボードからの入力を監視して記録するキーロガーなどのプログラムを用いて取り込んだ内部情報（パスワードやクレジットカード番号など）の通信先アドレス（情報収集サーバ１２のアドレス；第２の通信先アドレス）をスパイウェア（感染ＰＣ）に通知する。情報収集サーバ１２は、スパイウェア（感染ＰＣ）から送信されてくる内部情報を収集する。一般のＷｅｂサーバ１３は、本発明に直接関係しない通常のサーバである。

なお、本発明によるスパイウェア通信管理装置とは、上記スパイウェア通信監視装置８、スパイウェア通信書き換え装置９および偽装情報収集サーバ１０を総称したものであり、スパイウェアに感染した端末が内部情報をインターネット７上のサーバ（この場合、スパイウェア管理サーバ１１、情報収集サーバ１２）に送信するのを防ぐための装置である。また、スパイウェアは、内部による犯行でなければ、一般的にインターネット上の情報収集サーバ１２に対して、端末内の内部情報を送信するため、その通信は、モデムなどの迂回路を設置しない限り、必ず境界ルータ６を通過する。よって、境界ルータ６付近が、スパイウェアによる通信を監視するための効率的な対策ポイントとなる。

なお、内部情報の漏洩に注目した場合、境界ルータ６より外側のインターネット７に内部情報が送信されることが問題となる。ゆえに、本発明では、境界ルータ６を境に端末側のネットワークを内部ネットワーク、インターネット７側のネットワークを外部ネットワークと定義する。

次に、図２は、図１に示すスパイウェア通信管理装置の実装形態を示すブロック図である。なお、図１に対応する部分には同一の符号を付けて説明を省略する。図２において、内部ネットワーク２０は、図１に示す端末４や端末５が接続されているネットワークである。該内部ネットワーク２０は、タッピング装置２１、通信中継装置２２、ネットワーク機器２３を介して、外部ネットワーク２４に接続されている。

タッピング装置２１は、内部ネットワーク２０からの通信情報を転送する際に、転送する通信情報をコピーしてスパイウェア通信監視装置８に出力する。タッピング装置２１は、図１において、境界ルータ６とブリッジ３を接続する線と、スパイウェア通信監視装置８とが接続している点に存在する。

次に、通信中継装置２２は、外部ネットワーク２４から送信された通信情報を転送する際に、スパイウェア通信書き換え装置９の制御を受けてレイヤ２レベルにて通信情報を取り込んでアドレスを書き換えて出力するインライン方式を具備する。通信中継装置２２には、ＩＰアドレスが割り当てられておらず、レイヤ２レベルで転送している。すなわち、通信中継装置２２は、後述する通信先アドレス書き換え部９−３の実際の書き換え処理を行うようになっている。該通信中継装置２２は、図１において、境界ルータ６とスパイウェア通信書き換え装置９とを接続する通信線の間、あるいはスパイウェア通信書き換え装置９内に存在する。

ネットワーク機器２３は、一般的な構成を有し、プロキシ２３−１、ファイアウォール２３−２および境界ルータ２３−３からなる。なお、境界ルータ２３−３は、図１に示す境界ルータ６に相当する。また、外部ネットワーク２４は、図１に示すインターネット７に相当する。

次に、上述したスパイウェア通信監視装置８、スパイウェア通信書き換え装置９および偽装情報収集サーバ１０の構成について説明する。スパイウェア通信監視装置８は、図３に示すように、スパイウェア通信検知部８−１、アドレス特定部８−２、通信先アドレス特定部８−３およびスパイウェア通信書き換え装置起動部８−４からなる。スパイウェア通信検知部８−１は、ブリッジ３と境界ルータ６との間における通信を監視し、スパイウェア（感染ＰＣ）による特徴的な通信形態（パケットの内容、通信手順など）を検知する。より具体的には、スパイウェアによる特徴的な通信形態を予めルールとして記憶しておき、当該記憶したルールに従ってスパイウェアによる初期通信であるか否かを判定する。

アドレス特定部８−２は、スパイウェア（感染ＰＣ）による特徴的な通信形態が検出されると、該通信情報に基づいてスパイウェアに感染した端末４、５のＩＰアドレスを特定し、スパイウェア通信書き換え装置９に送信する。通信先アドレス特定部８−３は、通信先のアドレス（本実施形態ではスパイウェア管理サーバ１１のアドレス；第１の通信先アドレス）を特定し、スパイウェア通信書き換え装置９に送信する。スパイウェア通信書き換え装置起動部８−４は、外部ネットワーク上のスパイウェア管理サーバ１１や情報収集サーバ１２から感染ＰＣへ送信されるパケットを横取りするためにスパイウェア通信書き換え装置９を起動するために起動指示をスパイウェア通信書き換え装置９に送信する。

スパイウェア通信書き換え装置９は、図４に示すように、情報特定部９−１、通信先アドレス検索部９−２および通信先アドレス書き換え部９−３からなる。情報特定部９−１は、アドレス特定部８−２によって特定された端末のアドレスと通信先アドレス特定部８−３によって特定された通信先アドレス（スパイウェア管理サーバ１１のアドレス）とに基づいて、インターネット７上のスパイウェア管理サーバ１１からスパイウェア（感染ＰＣ）へ送信された情報を特定する。該情報には、端末の内部情報を送信すべき通信先アドレス（本実施形態では情報収集サーバ１２のアドレス；第２の通信先アドレス）が記述され、スパイウェアの種類によっては、スパイウェア（感染ＰＣ）に通信の開始をさせるための指示情報が含まれている。

通信先アドレス検索部９−２は、情報特定部９−１が特定した情報のデータ領域（ペイロード、内部）に記述されている情報の通信先アドレス（本実施形態では情報収集サーバ１２のアドレス）を検索する。通信先アドレス書き換え部９−３は、通信先アドレス検索部９−２が検索した通信先アドレス（情報収集サーバ１２のアドレス；第２の通信先アドレス）を特定のアドレスＸ、すなわち偽装情報収集サーバ１０のＩＰアドレスに書き換え、スパイウェア（感染ＰＣ）に対して送信する。

偽装情報収集サーバ１０は、図５に示すように、情報受信部１０−１、情報データベース１０−２、ホワイトリスト１０−３およびウェブ処理部１０−４からなる。情報受信部１０−１は、スパイウェア（感染ＰＣ）が書き換えられた特定のアドレスに従って送信してきた情報を受信する。情報データベース１０−２は、情報受信部１０−１により受信された情報を保持する。ホワイトリスト１０−３は、正常なウェブアクセスがスパイウェアによるものと検出された場合に、これを解除すべく対象となる通信に係る送信元ＩＰアドレス、通信先ＩＰアドレス、またはＵＲＬのペアを記憶する。なお、ホワイトリスト１０−３は、必ずしも偽装情報収集サーバ１０に備えられなくてもよく、スパイウェア通信監視装置８によって参照されることから、スパイウェア通信監視装置８に設けられていても、独立して設けられていてもよい。

ウェブ処理部１０−４は、実際にスパイウェアによる不正アクセスであるか、正常なＷｅｂアクセスであるかに拘らず、情報受信部１０−１が情報を受信した場合、端末に対して外部ネットワークへの通信があったことを通知し、ユーザに解除処理の可否の確認を求め、解除処理が指示された場合には、スパイウェアによる不正アクセスでないとして、上記ホワイトリスト１０−３へ送信元ＩＰアドレス、通信先ＩＰアドレス、またはＵＲＬのペアを記憶させる一方、一定時間応答がない場合には、スパイウェアによる不正アクセスであったと判定する（すなわち、ホワイトリスト１０−３には記憶しない）。

次に、上述したネットワークにおいて、スパイウェアに感染した端末による情報漏洩の仕組みについて図６を参照して説明する。
Ｓａ１：スパイウェア（感染ＰＣ）は、スパイウェア自身が初めて起動したときや、端末４、５の起動にあわせてスパイウェアが起動したときなど、スパイウェア管理サーバ１１へ初期登録や状態通知のための通信を行う。但し、ＨＴＴＰを使用するため、パケット的には他のＷｅｂアクセスと見分けがつきにくい。ゆえに、ファイアウォールで防ぐことは難しい。ＩＤＳ（Intrusion Detection System）／ＩＰＳ（Intrusion Prevention System）でも検出が困難なスパイウェアもある。

Ｓａ２：上記通信を受けて、スパイウェア管理サーバ１１からスパイウェア（感染ＰＣ）にキーロガーなどのプログラムを用いて取り込んだ内部情報の通信先ＩＰアドレス（情報収集サーバ１２のアドレス）／命令が通知される。なお、キーロガーなどの悪意のあるプログラムのダウンロード先が通知され、スパイウェアがそのダウンロード先にアクセスしてプログラムのダウンロードとインストールを行い、もう一度、Ｓａ１を行ってからＳａ２→Ｓａ３と進む場合もある。

Ｓａ３：スパイウェア（感染ＰＣ）は、通知された通信先のアドレスに対して内部情報を送信し、情報収集サーバ１２は、スパイウェア（感染ＰＣ）から送信されてくる内部情報を収集する。

Ｓａ４：上記Ｓａ３の通信が繰り返し発生する。

Ｓａ５：さらに、上記Ｓａ２→Ｓａ３→Ｓａ４の順で処理が繰り返される。

次に、主に図１を参照して、本第１実施形態によるスパイウェア通信管理装置の動作について説明する。
ＳＡ１：スパイウェア通信監視装置８は、スパイウェア通信検知部８−１により、上記Ｓａ１の通信の特徴を捉えて、すなわち、予めルールとして記憶しておいた、スパイウェアによる特徴的な通信形態に合致するか否かを判定してスパイウェア（感染ＰＣ）による通信を検出し、アドレス特定部８−２により、感染ＰＣ（図示の例では端末４）のアドレスを特定する。

例えば、図７に示すように、スパイウェアの１つである「ＷｅｂＨａｎｃｅｒ」の場合には、初期設定において、ｈｔｔｐ ＧＥＴを送らず、ｈｔｔｐ ＰＯＳＴを送信するが、通常ホームページを閲覧する場合は、ＧＥＴを送らずに、ＰＯＳＴを送ることはあり得ない動作である。このような場合、スパイウェア（感染ＰＣ）がインターネット７上のスパイウェア管理サーバ１１と通信した可能性が高いと判定することができる。

また、例えば、図８に示すように、スパイウェアの１つである「Ｌｏｏｋ２Ｍｅ」の場合には、初期設定において、ｈｔｔｐ ＡＣＫで、ＨＴＴＰに適合しないフォーマットによって、命令が送信される。

なお、上述したように初期設定においてスパイウェアから送信される情報により判定を行う方法以外に、スパイウェアによる通信は、ｈｔｔｐ ＡＣＫに含まれる情報が少ないという特徴に着目し、ｈｔｔｐアクセス中の応答メッセージ中に含まれる複雑度合いを判定し、複雑度合いが通常のｈｔｔｐアクセスよりも低ければスパイウェアによる通信であると判定することもできる。

また、上記の通常のｈｔｔｐ ＡＣＫに含まれる情報に基づく他の判定方法として、スパイウェアによる通信では、画像取得などを行わないことから、ＩｍｇタグがＨＴＭＬに含まれないという特徴に着目し、ｈｔｔｐ ＡＣＫのＨＴＭＬにＩｍｇタグが含まれない場合には、スパイウェアによる通信であると判定することもできる。

ＳＡ２：スパイウェア通信監視装置８は、上記Ｓａ２の通信が発生することを予測し、スパイウェア通信書き換え装置起動部８−４により、その通信のパケットを横取りするための準備（スパイウェア通信書き換え装置９の起動など）を行う。具体的には、感染ＰＣのアドレス情報と共に、スパイウェア通信監視装置８が検知したスパイウェアからの通信から取得した初期通信における通信先情報（スパイウェア管理サーバ１１のＩＰアドレス）を保持しておいて、当該スパイウェア管理サーバ１１から感染ＰＣ宛の通信情報を受信するように設定しておき、当該スパイウェア管理サーバ１１からの通信を待ち受ける。すなわち、スパイウェア通信監視装置８のスパイウェア通信検知部８−１が検知したスパイウェアの初期設定等の通信からアドレス特定部８−２が、感染ＰＣのＩＰアドレスを特定し、スパイウェア通信書き換え装置９に送信する。また、通信先アドレス特定部８−３が、通信先のアドレス、すなわちスパイウェア管理サーバ１１のＩＰアドレスを特定し、スパイウェア通信書き換え装置９に送信する。

但し、上記Ｓａ１の通信から上記Ｓａ２の通信が発生するまでの間、初期設定などのための通信が何回も行われたり、上記Ｓａ２とは関係のない、その他の情報取得のための通信が行われたりする場合がある。スパイウェア通信監視装置８は、予めルールとして記憶しておいた、スパイウェアによる特徴的な通信形態に合致するか否かを判定して、上記Ｓａ１がスパイウェアによるものなのかどうかを判定する。

例えば、図８に示す例のように、初期設定のｈｔｔｐ ＧＥＴの後にポップアップ広告表示のｈｔｔｐ ＧＥＴが発生する場合、あるいは初期設定のｈｔｔｐ ＧＥＴの後にアプリケーションインストールのｈｔｔｐ ＧＥＴが発生する場合など、スパイウェアによって外部とのやり取りの順序が異なっていたり、複数回の初期設定の通信が含まれていたりする場合がある。これらの事前に行われる複数の通信を監視することによって、スパイウェアによる通信であるか否を判定してもよい。

ＳＡ３：スパイウェア通信書き換え装置９は、情報特定部９−１によりスパイウェア通信監視装置８から通知された感染ＰＣのＩＰアドレスとスパイウェア管理サーバ１１のＩＰアドレスに基づいて、上記Ｓａ２の通信のパケットを横取りし、通信先アドレス検索部９−２により、パケットのデータ領域（ペイロード、内部）に記述されている情報の通信先アドレスを検索する。

ＳＡ４：スパイウェア通信書き換え装置９は、通信先アドレス書き換え部９−３により、情報の通信先アドレスを特定のアドレスＸ、すなわち偽装情報収集サーバのＩＰアドレスに書き換え、スパイウェア（感染ＰＣ）に対して送信する。

例えば、上述した図７に示す「ＷｅｂＨａｎｃｅｒ」の場合には、初期設定のｈｔｔｐ ＡＣＫにおいて情報の通知先が通知される（吹き出しの下線部分）。したがって、通信先を強制的に偽装情報収集サーバのＩＰアドレスに変更すればよい。また、上述した図８に示す「Ｌｏｏｋ２Ｍｅ」の場合には、ポップアップ広告表示のｈｔｔｐ ＡＣＫにおいて広告取得先が通知されたり、プログラムのダウンロード先が通知されたりする（吹き出しの下線部分）。したがって、それらの取得先を強制的に偽装情報収集サーバのＩＰアドレスに変更すればよい。

ＳＡ５：偽装情報収集サーバ１０は、情報受信部１０−１により、特定のアドレスＸへの接続要求を検出し、当該接続要求とともにスパイウェア（感染ＰＣ）から送信された情報を受信した場合には、当該情報を回収し、情報データベース１０―２に保存する。この結果、スパイウェアが送信する情報を偽装情報収集サーバ１０に集めることができ、外部に情報が漏洩することを防ぐことができる。

ＳＡ６：状況によっては、正常なＷｅｂアクセスがスパイウェアによる不正アクセスと検出されてしまう可能性がある。そこで、実際にスパイウェアによる不正アクセスであるか、正常なＷｅｂアクセスであるかに拘らず、情報受信部１０−１が情報を受信した場合、偽装情報収集サーバ１０上のウェブ処理部１０−４が端末に対して外部ネットワークへの通信があったことを通知し、ユーザに解除処理の可否の確認を求める。

ＳＡ７：偽装情報収集サーバ１０は、上記解除処理の可否の確認に対してユーザが解除処理の可を選択し、端末から解除処理要求が送信された場合、当該外部ネットワークへのアクセスに対して、検出／アドレス書き換え処理の解除処理を行う。

上記解除処理では、ある送信元ＩＰアドレス（Ｓｏｕｒｃｅ ＩＰ）、通信先ＩＰアドレス（Ｄｅｓｔｉｎａｔｉｏｎ ＩＰ）、または、ＨＴＴＰの要求先アドレス（ＵＲＬ）のペアを除外リストとして登録する。これにより、２回目以降のアクセスは検出されない。スパイウェアは、ウェブ処理部１０−４からの予期しない返答に対しては反応することができないため、解除処理を行うことはできない。

次に、上述したＳＡ６〜ＳＡ７における、正常なウェブアクセスを検出対象としないための回避方法の詳細について説明する。ここで、図９は、本第１実施形態のスパイウェア通信監視装置８による正常なウェブアクセスを検出対象としないための回避方法を説明するためのブロック図である。

ＳＢ１：スパイウェア通信書き換え装置９は、スパイウェアによる不正アクセスと検出すると、その不正アクセスが実際にスパイウェアによる不正アクセスであるか、正常なＷｅｂアクセスであるかに拘らず、偽装情報収集サーバ１０のＩＰアドレスを端末４に通知する。

ＳＢ２：このため、端末４は、上記ＩＰアドレスに従って偽装情報収集サーバ１０にアクセスする。

ＳＢ３：偽装情報収集サーバ１０のウェブ処理部１０−４は、図示の画面１００に示すように、端末４に対してスパイウェアによる通信であると判定されたことを提示し、解除処理の有無を求める。該画面１００を見たユーザは、不正なＨＴＴＰアクセスでないことを確認した場合、リセットボタンを押下する。

ＳＢ４：これにより、端末４から偽装情報収集サーバ１０にリセット（解除処理要求）が送信される。

ＳＢ５：偽装情報収集サーバ１０は、リセット（解除処理要求）を受信すると、ホワイトリスト１０−３に送信元ＩＰアドレス、通信先ＩＰアドレス、またはＵＲＬのペアを登録する。スパイウェア通信監視装置８は、通信を監視する際に、ホワイトリスト１０−３を参照するので、ホワイトリスト１０−３に登録された送信元ＩＰアドレスおよび通信先ＩＰアドレス、または、ＵＲＬのペアを、今後、検知対象外として除外することになる。一方、一定時間応答がない場合には、スパイウェアによる不正アクセスであったとする（すなわち、ホワイトリスト１０−３には記憶しない）。

Ｂ．第２実施形態
次に、本発明の第２実施形態について説明する。ここで、図１０は、本第２実施形態によるスパイウェア通信管理装置を適用したネットワークの構成を示すブロック図である。本第２実施形態では、図１に示すスパイウェア通信監視装置８、スパイウェア通信書き換え装置９および偽装情報収集サーバ１０を一体として構成したことを特徴とする。なお、個々の機能は、前述した第１実施形態と同様である。このように一体化することで、システム構成を簡略化することができ、スパイウェア通信管理装置を容易に管理、運用することができる。

次に、図１１は、図１０に示す本第２実施形態によるスパイウェア通信管理装置の実装形態を示すブロック図である。なお、図２、図１０に対応する部分には同一の符号を付けて説明を省略する。図１１において、通信中継装置２５は、レイヤ３（ＩＰアドレス）の通信情報を中継時する際にアドレスを書き換えるプロキシ方式を具備する。技術的な観点での違いは、図２に示す通信中継装置２２には、ＩＰアドレスが付与されておらず、レイヤ２レベルで転送しているのに対して、図１１では、スパイウェア通信監視装置８、スパイウェア通信書き換え装置９、偽装情報収集サーバ１０、通信中継装置２５が組み合わされた装置にＩＰアドレスが付与されているという違いがある。

上述した第１、第２実施形態によれば、各端末のスパイウェア対策プログラムの導入有無や管理状態に依らず、境界ルータ６などのインターネット７との接続点１箇所においてスパイウェアによる特徴的な通信形態を捉えることで、スパイウェアによる情報漏洩を内部のネットワーク上で阻止することができる。

また、全端末上にスパイウェア対策プログラムを導入するのではなく、内部のネットワークに対策を導入すればよいので、コスト的、管理的に有利である。また、感染ＰＣからの初期登録や状態通知のための外部への通信をスパイウェア監視装置８で検知した時点では、感染ＰＣのユーザに対し、都度通知をせず、その後、感染ＰＣから偽装情報収集サーバ１０への通信があって初めて確認のための通知を行うことで、ユーザの作業効率の著しい低下を防ぎつつ、情報流出となる通信を防ぐことができる。さらに、通常のＷｅｂアクセスを誤ってスパイウェアによる通信と判定し、偽装情報収集サーバ１０にアクセスされてしまった場合であっても、ユーザに検出結果の確認と解除処理の有無とを求めて、２回目以降のアクセスを正常なウェブアクセスとして検出対象としない仕組みを提供することができる。

なお、上述した実施形態においては、上述したスパイウェア通信監視装置８、スパイウェア通信書き換え装置９および偽装情報収集サーバ１０などによる一連の処理の過程は、プログラムの形式でコンピュータ読み取り可能な記録媒体に記憶されており、このプログラムをコンピュータが読み出して実行することによって、上記処理が行われる。すなわち、スパイウェア通信監視装置８、スパイウェア通信書き換え装置９および偽装情報収集サーバ１０などにおける、各処理手段、処理部は、ＣＰＵ等の中央演算処理装置がＲＯＭやＲＡＭ等の主記憶装置に上記プログラムを読み出して、情報の加工・演算処理を実行することにより、実現されるものである。

ここでコンピュータ読み取り可能な記録媒体とは、磁気ディスク、光磁気ディスク、ＣＤ−ＲＯＭ、ＤＶＤ−ＲＯＭ、半導体メモリ等をいう。また、このコンピュータプログラムを通信回線によってコンピュータに配信し、この配信を受けたコンピュータが当該プログラムを実行するようにしても良い。

本発明の第１実施形態によるスパイウェア通信管理装置を適用したネットワークの構成を示すブロック図である。 図１に示すスパイウェア通信管理装置の実装形態を示すブロック図である。 スパイウェア通信監視装置８の構成を示すブロック図である。 スパイウェア通信書き換え装置９の構成を示すブロック図である。 偽装情報収集サーバ１０の構成を示すブロック図である。 スパイウェアに感染した端末による情報漏洩の仕組みを説明するためのフローチャートである。 スパイウェアの１つである「ＷｅｂＨａｎｃｅｒ」の動作概要を説明するためのシーケンス図である。 スパイウェアの１つである「Ｌｏｏｋ２Ｍｅ」の動作概要を説明するためのシーケンス図である。 本第１実施形態のスパイウェア通信監視装置８による正常なウェブアクセスを検出対象としないための回避方法を説明するためのブロック図である。 本発明の第２実施形態によるスパイウェア通信管理装置を適用したネットワークの構成を示すブロック図である。 図１０に示す本第２実施形態によるスパイウェア通信管理装置の実装形態を示すブロック図である。

符号の説明

１−１〜１−４ グループ
２−１、２−２ リピータ
３ ブリッジ
４、５ 感染ＰＣ
６ 境界ルータ
７ インターネット
８ スパイウェア通信監視装置
８−１ スパイウェア通信検知部（通信検知手段）
８−２ アドレス特定部（内部アドレス特定手段）
８−３ 通信先アドレス特定部（通信先アドレス特定手段）
８−４ スパイウェア通信書き換え装置起動部
９ スパイウェア通信書き換え装置
９−１ 情報特定部（情報特定手段）
９−２ 通信先アドレス検索部（通信先アドレス検索手段）
９−３ 通信先アドレス書き換え部（アドレス変換手段）
１０ 偽装情報収集サーバ
１０−１ 情報受信部（収集手段、記録手段）
１０−２ 情報データベース（収集手段）
１０−３ ホワイトリスト
１０−４ ウェブ処理部（確認提示手段）
１１ スパイウェア管理サーバ
１２ 情報収集サーバ
１３ 一般のＷｅｂサーバ
２０ 内部ネットワーク
２１ タッピング装置
２２、２５ 通信中継装置
２３ ネットワーク機器
２３−１ プロキシサーバ
２３−２ ファイアウォール
２３−３ 境界ルータ
２４ 外部ネットワーク

Claims (8)

1. ネットワークを介して情報を送受信可能な端末による外部ネットワークへの通信を管理するスパイウェア通信管理装置であって、
   前記端末から外部ネットワークへの通信を監視し、スパイウェアプログラムによる特徴的な通信形態を検知する通信検知手段と、
   前記通信検知手段によって前記スパイウェアプログラムによる特徴的な通信形態が検知されると、前記端末から外部ネットワークへの通信の通信先アドレスを、特定のアドレスに変換するアドレス変換手段と
   を具備し、
   前記アドレス変換手段は、
   前記通信検知手段によって前記スパイウェアプログラムによる特徴的な通信形態が検知されると、前記端末から送信が行われた際の通信情報から前記端末のアドレスを特定する内部アドレス特定手段と、
   前記検知された通信形態に係る第１の通信先アドレスを特定する通信先アドレス特定手段と、
   前記内部アドレス特定手段によって特定された前記端末のアドレスと前記通信先アドレス特定手段によって特定された第１の通信先アドレスとに基づいて、前記外部ネットワークから送信された情報を特定する情報特定手段と、
   前記情報特定手段によって特定された情報に含まれている前記外部ネットワークへの第２の通信先アドレスを検索する通信先アドレス検索手段と、
   前記通信先アドレス検索手段によって検索された前記第２の通信先アドレスを前記特定のアドレスに書き換え、前記端末に送信する通信先アドレス書き換え手段と
   を具備する、
   ことを特徴とするスパイウェア通信管理装置。
2. 前記端末から前記特定のアドレスへの通信を検出した場合、前記通信があった旨の通知を前記端末に送信し、解除処理の可否の確認を求める確認提示手段を具備することを特徴とする請求項１に記載のスパイウェア通信管理装置。
3. 前記確認提示手段からの前記通信があった旨の通知に対して前記端末から解除処理要求を受信し、当該通信に係る送信元および送信先の情報を対応付けて記憶手段に記録する記録手段を備え、
   前記通信検知手段は、
   前記記憶手段に記憶されている送信元および送信先の情報に基づく前記外部ネットワークへの通信を検知対象外とすることを特徴とする請求項２に記載のスパイウェア通信管理装置。
4. ネットワークを介して情報を送受信可能な端末による外部ネットワークへの通信を管理するスパイウェア通信管理装置であって、
   前記端末から外部ネットワークへの通信を監視し、スパイウェアプログラムによる特徴的な通信形態を検知する通信検知手段と、
   前記通信検知手段によって前記スパイウェアプログラムによる特徴的な通信形態が検知されると、前記端末から外部ネットワークへの通信の通信先アドレスを、特定のアドレスに変換するアドレス変換手段と、
   前記端末から前記特定のアドレスへの通信を検出した場合、前記通信があった旨の通知を前記端末に送信し、解除処理の可否の確認を求める確認提示手段と、
   前記確認提示手段からの前記通信があった旨の通知に対して前記端末から解除処理要求を受信し、当該通信に係る送信元および送信先の情報を対応付けて記憶手段に記録する記録手段とを具備し、
   前記通信検知手段は、
   前記記憶手段に記憶されている送信元および送信先の情報に基づく前記外部ネットワークへの通信を検知対象外とすることを特徴とするスパイウェア通信管理装置。
5. ネットワークを介して情報を送受信可能な端末による外部ネットワークへの通信を管理するスパイウェア通信管理装置のコンピュータに、
   前記端末から外部ネットワークへの通信を監視し、スパイウェアプログラムによる特徴的な通信形態を検知する通信検知ステップと、
   前記スパイウェアプログラムによる特徴的な通信形態が検知されると、前記端末から外部ネットワークへの通信の通信先アドレスを、特定のアドレスに変換するアドレス変換ステップと
   を実行させ、
   前記アドレス変換ステップにおいては、
   前記通信検知ステップにおいて前記スパイウェアプログラムによる特徴的な通信形態が検知されると、前記端末から送信が行われた際の通信情報から前記端末のアドレスを特定する内部アドレス特定ステップと、
   前記検知された通信形態に係る第１の通信先アドレスを特定する通信先アドレス特定ステップと、
   前記内部アドレス特定ステップにおいて特定された前記端末のアドレスと前記通信先アドレス特定ステップにおいて特定された第１の通信先アドレスとに基づいて、前記外部ネットワークから送信された情報を特定する情報特定ステップと、
   前記情報特定ステップにおいて特定された情報に含まれている前記外部ネットワークへの第２の通信先アドレスを検索する通信先アドレス検索ステップと、
   前記通信先アドレス検索ステップにおいて検索された前記第２の通信先アドレスを前記特定のアドレスに書き換え、前記端末に送信する通信先アドレス書き換ステップとを実行させる、
   ことを特徴とするスパイウェア通信管理プログラム。
6. 前記スパイウェア通信管理装置のコンピュータに、
   前記端末から前記特定のアドレスへの通信を検出した場合、前記通信があった旨の通知を前記端末に送信し、解除処理の可否の確認を求めるステップをさらに実行させる、
   ことを特徴とする請求項５に記載のスパイウェア通信管理プログラム。
   
7. 前記スパイウェア通信管理装置のコンピュータに、
   前記通信があった旨の通知に対して前記端末から解除処理要求を受信し、当該通信に係る送信元および送信先の情報を対応付けて記憶手段に記録するステップと、
   前記記憶手段に記憶されている送信元および送信先の情報に基づく前記外部ネットワークへの通信を検知対象外とするステップと
   をさらに実行させることを特徴とする請求項６に記載のスパイウェア通信プログラム。
8. ネットワークを介して情報を送受信可能な端末による外部ネットワークへの通信を管理するスパイウェア通信管理装置のコンピュータに、
   前記端末から外部ネットワークへの通信を監視し、スパイウェアプログラムによる特徴的な通信形態を検知する通信検知ステップと、
   前記スパイウェアプログラムによる特徴的な通信形態が検知されると、前記端末から外部ネットワークへの通信の通信先アドレスを、特定のアドレスに変換するアドレス変換ステップと、
   前記端末から前記特定のアドレスへの通信を検出した場合、前記通信があった旨の通知を前記端末に送信し、解除処理の可否の確認を求める確認提示ステップと、
   前記通信があった旨の通知に対して前記端末から解除処理要求を受信し、当該通信に係る送信元および送信先の情報を対応付けて記憶手段に記録する記録ステップとを実行させ、
   前記通信検知ステップにおいては、
   前記記憶手段に記憶されている送信元および送信先の情報に基づく前記外部ネットワークへの通信を検知対象外とすることを特徴とするスパイウェア通信プログラム。

Images