JP4358212B2 - 通信制御方法及び通信制御処理装置 - Google Patents

Description

本発明は、外部からの命令を待ち、その命令に従って悪質な動作をするプログラムであるボット（ＢＯＴ）による通信を遮断するための技術に関する。

従来から、迷惑メールやスパムメールについての対策については多数の技術が存在している。例えば、特開２００４−１９９５０５号公報、特開２００４−１７３３１５号公報や特開２００２−６４５３１号公報には、メールによる攻撃をサーバ側で対処する技術が開示されているが、これは送信されてしまったメールを宛先のユーザに届けないようにする技術である。
特開２００４−１９９５０５号公報 特開２００４−１７３３１５号公報 特開２００２−６４５３１号公報

例えば悪意のある者によって指示を受けたＢＯＴは、例えばメールサーバに対する攻撃を開始するが、ＢＯＴへの感染が広がるにつれ、メールサーバはＢＯＴへの対処のため高負荷となり通常のメールの配信が遅延するなどの問題が生ずる。しかしながら、ＢＯＴは明らかに攻撃と分かるような攻撃を行わない場合が多く、従来では十分に対処できなかった。また、ＢＯＴへの感染は、亜種が多く、変形したり自ら隠蔽したりするため、パーソナル・コンピュータ（ＰＣ）での駆除も困難である。

従って、本発明の目的は、ＢＯＴに対して有効に対処するための技術を提供することである。

また、本発明の他の目的は、ＢＯＴの特性に基づきＢＯＴによる攻撃を有効に遮断するための技術を提供することである。

本発明に係る通信制御方法は、ログ格納部に格納されている通信ログデータを解析して、任意の段階まで所定のプロトコルに従って通信を行って任意の段階より後ろの通信手順を明示的に又は非明示的に破棄する動作を行っている通信相手のアドレスを特定するステップと、当該特定された通信相手のアドレスを、通信を遮断する通信相手のリストである遮断対象リストに登録するステップとを含む。

ＢＯＴには様々な動作を行うものがあるが、例えば任意の段階で手続きを強制的に中止したり、タイムアウトになるまで放置したりする場合は、通常であればほとんど無いことなので、ＢＯＴに感染していると判断するものである。

また、予め設定されているアドレス範囲内において遮断対象リストに登録されているアドレスの割合又は数が予め設定されている閾値以上となったか判断する判断ステップと、判断ステップの判断結果が肯定的である場合、当該アドレス範囲又は当該アドレス範囲内の未登録アドレスを、遮断対象リストに登録するステップとをさらに含むようにしてもよい。

例えば、ＢＯＴに感染しているＰＣが、常時接続ではなく、インターネットに接続したり、切断したりする場合には、ＩＰアドレスがその都度振られるため、ＩＰアドレスを１つだけ特定したのでは効果が薄いことがある。上で述べたような処理を実施することによって、このようなケースに対応することができるようになる。

さらに、予め設定されているアドレス範囲より広い第２のアドレス範囲内において遮断対象リストに登録されているアドレス範囲又はアドレスの割合又は数が予め設定されている第２の閾値以上となったか判断する第２判断ステップと、第２判断ステップの判断結果が肯定的である場合、当該第２のアドレス範囲又は当該第２のアドレス範囲内の未登録アドレスを、遮断対象リストに登録するステップとをさらに含むようにしてもよい。

感染がさらに広がってきた場合にも、上で述べたような処理を実施することによって、不正な通信のために負荷が上がることが無くなる。

なお、遮断対象リストには、アドレス又はアドレス範囲と共に登録日時又は有効期限が登録されるようにしてもよい。その場合、遮断対象リストを走査して、登録日時又は有効期限と現在日時とに基づき遮断対象リストから除外すべきアドレス又はアドレス範囲を特定し、遮断対象リストから当該特定されたアドレス又はアドレス範囲を除外するステップをさらに含むようにしてもよい。ＢＯＴが駆除された場合に対処するためである。なお、遮断対象リスト内の有効期間は、アドレスによって可変の場合もある。

また、上で述べた閾値が、地域に基づき特定されるアドレス又はアドレス範囲毎に設定されている場合もある。ＢＯＴの感染には地域性があることが知られているためである。

本発明に係る方法は、コンピュータ・ハードウエアとプログラムとの組み合わせにより実施される場合があり、このプログラムは、例えばフレキシブルディスク、ＣＤ−ＲＯＭ、光磁気ディスク、半導体メモリ、ハードディスク等の記憶媒体又は記憶装置に格納される。また、ネットワークなどを介してデジタル信号として配信される場合もある。尚、中間的な処理結果はメインメモリ等の記憶装置に一時保管される。

本発明によれば、ＢＯＴに対して有効に対処することができるようになる。

また、本発明の他の側面によれば、ＢＯＴの特性に基づきＢＯＴによる攻撃を有効に遮断することができるようになる。

図１に本発明の一実施の形態に係るシステム概要図を示す。インターネットなどのネットワーク１には、ＢＯＴ３１に感染しているＰＣと、ＢＯＴ３１に感染していないＰＣと、メールサーバ７と、本実施の形態における主要な処理を実施する通信制御処理装置５とが接続されている。

通信制御処理装置５は、ＢＯＴ３１からの攻撃を検出するＢＯＴ攻撃検出部５１１を有する遮断リスト生成部５１と、遮断リスト更新部５２と、遮断リスト修正部５３とを有する。また、通信制御処理装置５は、遮断リストを格納する遮断リスト格納部５４を管理している。

メールサーバ７は、その動作のログを格納するログ格納部７１と、遮断リスト格納部７３とを管理している。メールサーバ７は、ネットワーク１に接続された例えばＰＣとの通信のログをログ格納部７１に格納する。また、接続要求元のＰＣのＩＰアドレスが、遮断リスト格納部７３内の遮断リストに登録されているか確認し、登録されていれば接続を拒否する。遮断リスト格納部７３には、通信制御処理装置５の遮断リスト格納部５４に格納された最新の遮断リストが格納される。

なお、メールサーバ７は、ルータなどの通信機器９を介してネットワーク１に接続されており、通信制御処理装置５の機能は、当該通信機器９又はメールサーバ７に含まれる場合もある。また、ログ格納部７１は、通信機器９に含まれる場合もある。さらに、同一ネットワーク内の他のログ集積用サーバに含まれる場合もある。なお、通信機器９が、遮断リスト格納部７３を有して通信の遮断又は通過の判断を行うようにしても良い。

次に、図２乃至図９を用いて、通信制御処理装置５の処理内容について説明する。まず、遮断リスト生成部５１は、ユーザからネットワーク分割率、閾値である汚染率及びネットワーク統合率の設定入力を受け付け、例えばメインメモリなどの記憶装置に格納する（図２：ステップＳ１）。

ネットワーク分割率は、１ネットワークを分割する割合である。例えば１／４である場合、２０２．２４８．２０．０／２４については、２０２．２４８．２０．０から６３と、２０２．２４８．２０．６４から１２７と、２０２．２４８．２０．１２８から１９１と、２０２．２４８．２０．１９２から２５５とに分けられる。

汚染率は、該当アドレス範囲の全体を遮断するかどうかを判断するための閾値である。例えば、図３に示すように、アドレス範囲毎に、汚染率が登録される。例えば、所定の地域からＢＯＴ３１による攻撃が多いという現実に対応して、当該所定の地域に割り当てられているＩＰアドレスの範囲については低めの汚染率を設定し、他の地域に割り当てられているＩＰアドレスの範囲については高めの汚染率を設定する場合もある。２種類ではなく１種類又は３種類以上汚染率を設定する場合もある。また、地域以外の要素に基づきアドレス範囲を設定する場合もある。

さらに、ネットワーク統合率は、１ネットワーク全体を遮断リストに登録するかどうかを判断するための、遮断リストに登録されたアドレス範囲の割合に対する閾値である。例えば、２０２．２４８．２０．０／２４について、１／２が設定され、２つのアドレス範囲が登録されると、２０２．２４８．２０．０／２４全体が遮断リストに登録される。

次に、遮断リスト生成部５１は、例えばメールサーバ７のログ格納部７１のデータを取得して、未処理ログ及び当該未処理ログに関連するログ（例えばＩＰアドレスが同じログ）を抽出する（ステップＳ３）。

そして、遮断リスト生成部５１のＢＯＴ攻撃検出部５１１は、ＢＯＴ３１による攻撃であるか判断する（ステップＳ５）。通常、通信ログを解析すると、ＢＯＴ３１に感染していないＰＣとメールサーバ７は、図４に示すような通信手順で通信を行ってことが分かる。但し、以下の説明は単に一例に過ぎない。すなわち、（１）ＰＣ側がメールサーバ７にＳＭＴＰ（Simple Mail Transfer Protocol）接続を行う。（２）そうすると、メールサーバ７は、２２０ ＜メールサーバ名＞ ＥＳＭＴＰを返信する。（３）次に、ＰＣ側はＨＥＬＯ ＜発信元ホスト名＞をメールサーバ７に送信する。（４）これに対してメールサーバ７は、２５０ ＜発信元ホスト名＞を返信する。（５）ＰＣ側は、ＭＡＩＬ ＦＲＯＭ：＜発信元メールアドレス＞をメールサーバ７に送信する。（６）これに対して、メールサーバ７は、２５０ ＜発信元メールアドレス＞ ．．．Ｓｅｎｄｅｒ ｏｋを返信する。（７）さらに、ＰＣ側は、ＲＣＰＴ ＴＯ：＜宛先メールアドレス＞をメールサーバ７に送信する。（８）これに対してメールサーバ７は、２５０ ＜宛先メールアドレス＞ ．．．Ｒｅｃｉｐｅｎｔ ｏｋを返信する。（９）そして、ＰＣ側は、ＤＡＴＡをメールサーバ７に送信する。（１０）これに対して、メールサーバ７は、３５４ Ｅｎｔｅｒ ｍａｉｌ， ｅｎｄ ｗｉｔｈ ”．” ｏｎ ａ ｌｉｎｅ ｂｙ ｉｔｓｅｌｆを返信する。（１１）そうすると、ＰＣ側は、Ｆｒｏｍ：＜発信元ヘッダアドレス＞、Ｔｏ：＜発信先ヘッダアドレス＞、Ｓｕｂｊｅｃｔ：＜題名＞、（空行）、（メール本文）、”．”をメールサーバ７に送信する。（１２）これに対してメールサーバ７は、２５０ Ｏｋを返信する。（１３）その後ＰＣ側は、ＱＵＩＴを送信する。（１４）これに対してメールサーバ７は、２２１ Ｂｙｅを返信する。このような手順にてメールの送信が行われる。

一方、ＢＯＴ３１による攻撃の場合には、あたかも通常の通信を装って、任意の段階まで通常どおり通信手順に従って通信を行い、任意の段階より後ろの段階の通信手順を明示的に又は非明示的に放棄する。すなわち、ＰＣ側で、急にＱＵＩＴを送信したり、放置してタイムアウトを生じさせる。さらに、ＰＣ側で、前触れもなくセッション自体を切断する場合もある。

具体的には、図５に示すような現象がログから抽出される。但し以下の説明は一例に過ぎない。（１）ＰＣ側がメールサーバ７にＳＭＴＰ（Simple Mail Transfer Protocol）接続を行う。（２）そうすると、メールサーバ７は、２２０ ＜メールサーバ名＞ ＥＳＭＴＰを返信する。（３）次に、ＰＣ側はＨＥＬＯ ＜発信元ホスト名＞をメールサーバ７に送信する。（４）これに対してメールサーバ７は、２５０ ＜発信元ホスト名＞を返信する。（５）ＰＣ側は、ＭＡＩＬ ＦＲＯＭ：＜発信元メールアドレス＞をメールサーバ７に送信する。（６）これに対して、メールサーバ７は、２５０ ＜発信元メールアドレス＞ ．．．Ｓｅｎｄｅｒ ｏｋを返信する。（７）さらに、ＰＣ側は、ＲＣＰＴ ＴＯ：＜宛先メールアドレス＞をメールサーバ７に送信する。（８）これに対してメールサーバ７は、２５０ ＜宛先メールアドレス＞ ．．．Ｒｅｃｉｐｅｎｔ ｏｋを返信する。ここまでは、上で述べた通常の場合と同様である。しかし、この後、ＢＯＴ３１は、セッションを保持したまま、次のコマンドを全く発行せず、時間経って、接続元であるＢＯＴ３１がＱＵＩＴを発行して切断する。この場合には、メールサーバ７側のタイムアウトにはならない程度の長さセッションを保持してメールサーバ７の資源を消費して、意味無く処理を明示的に終了させている。

また、図６に示すような現象もログから抽出される。但し以下の説明は一例に過ぎない。（１）ＰＣ側がメールサーバ７にＳＭＴＰ（Simple Mail Transfer Protocol）接続を行う。（２）そうすると、メールサーバ７は、２２０ ＜メールサーバ名＞ ＥＳＭＴＰを返信する。（３）次に、ＰＣ側はＨＥＬＯ ＜発信元ホスト名＞をメールサーバ７に送信する。（４）これに対してメールサーバ７は、２５０ ＜発信元ホスト名＞を返信する。ここまでは、上で述べた通常の場合と同様である。しかし、この後、ＢＯＴ３１は、セッションを保持し次のコマンドを全く発行しないため、時間が経ってメールサーバ７側のタイムアウト時間を過ぎて、メールサーバ７がセッションを切断する。

このように、任意の段階でそれより後ろの通信手順を放棄するため、無駄にメールサーバ７の資源が消費されるという現象を特定する。このような現象がログから抽出できれば、接続元のＩＰアドレスと現在時刻を遮断リスト格納部５４の遮断リストに登録する（ステップＳ７）。そしてステップＳ９に移行する。

遮断リストは、例えば図７のようなデータである。すなわち、開始アドレスと終了アドレスと登録時刻とを登録するようになっている。但し、ステップＳ７では、第１レコード乃至第４レコードに示すように、開始アドレスと登録時刻とが登録されて、終了アドレスは登録されない。

一方、ＢＯＴ攻撃検出部５１１が、未処理ログ及びその関連ログからＢＯＴ攻撃を特定できない場合にはステップＳ９に移行する。

すなわち、遮断リスト生成部５１は、例えば未処理のログが存在せず処理を終了させるべきか判断し（ステップＳ９）、処理終了でなければステップＳ３に戻る。処理終了であれば、処理を終了させる。

このようにすれば、ＢＯＴ攻撃の元となるＩＰアドレスが遮断リストに登録されるので、ルータなどの通信機器９やメールサーバ７で、当該遮断リストに従って、接続を遮断することができるようになる。すなわち、無駄な資源の消費を抑えることができるようになる。

次に、遮断リスト更新部５２による遮断リスト更新処理を図８を用いて説明する。まず、遮断リスト更新部５２は、処理対象のアドレス範囲を特定する（ステップＳ１１）。ステップＳ１で設定されたネットワーク分割率によって特定される各アドレス範囲であって、既に遮断リストに登録されているアドレス範囲（ネットワーク全体が登録されている場合はそのネットワークに含まれるアドレス範囲を含む）以外の未処理のアドレス範囲が処理対象となる。

そして、遮断リスト格納部５４内の遮断リストを走査して、特定されたアドレス範囲に含まれるＩＰアドレスをカウントして、ステップＳ１で設定された汚染率を超えるＩＰアドレスが遮断リストに登録されているか判断する（ステップＳ１３）。例えば、上で述べた例でネットワーク分割率が１／４であれば、１つのアドレス範囲には６４のＩＰアドレスが含まれる。そして、汚染率が１／２であれば、３３個以上のＩＰアドレスが遮断リストに登録されている場合、ステップＳ１３での判断ではＹｅｓルートに移行する。なお、汚染率は図３に示したように、アドレス範囲よって可変の場合もあるので、該当する汚染率に基づき判断する。

特定されたアドレス範囲において、遮断リストに汚染率を超えるＩＰアドレスが登録されていると判断された場合には、処理対象のアドレス範囲及び現在時刻を遮断リストに登録する（ステップＳ１５）。図７の例では、例えば第１レコード乃至第４レコードなどにおいて、２０２．２４８．２０．０から２０２．２４８．２０．６３までのアドレス範囲において汚染率を超えるだけＩＰアドレスが登録されていれば、第１１レコードのように開始アドレス２０２．２４８．２０．０、終了アドレス２０２．２４８．２０．６３及び登録時刻２００６０７２８１７００００が登録される。なお、特定されたアドレス範囲において、遮断リストに汚染率を超えるＩＰアドレスが登録されていない場合にはステップＳ２５に移行する。

さらに、処理対象のアドレス範囲に含まれ且つ遮断リストに登録されている該当ＩＰアドレスを、遮断リストから削除する（ステップＳ１７）。図７の例では、第１乃至第４レコードなどが削除される。

次に、遮断リストを走査して、処理対象のアドレス範囲が所属するネットワークに含まれるアドレス範囲のレコードを特定して、登録されているアドレス範囲が予め設定されているネットワーク統合率以上となっているか判断する（ステップＳ１９）。例えば、ネットワーク統合率が１／２であって、図７の第６及び第７レコードのようなデータが登録されている場合には、２０２．２４８．２１．０／２４において、ネットワーク統合率以上のアドレス範囲が登録されていることになる。

処理対象のアドレス範囲が所属するネットワークに含まれるアドレス範囲が、遮断リストにおいてネットワーク統合率以上となっている場合には、遮断リストに、当該ネットワーク全体及び現在時刻を追加する（ステップＳ２１）。例えば、図７の第６及び第７レコードのようなデータに対応して、第１３レコードのように２０２．２４８．２１．０／２４というネットワーク全体（２０２．２４８．２１．０から２０２．２４８．２１．２５５）及び現在時刻２００６０７２８１４３５５９が登録される。一方、処理対象のアドレス範囲が所属するネットワークに含まれるアドレス範囲が、遮断リストにおいてネットワーク統合率未満である場合には、ステップＳ２５に移行する。

そして、ステップＳ２１で追加されたネットワークに含まれるアドレス範囲のレコードを、遮断リストから削除する（ステップＳ２３）。第７の例では、第６及び第７レコードが削除される。

その後、処理終了が指示されるなど処理終了の事象が発生するまで、ステップＳ１１に戻って処理を繰り返す（ステップＳ２５）。

以上のような処理を実施することによって、ＢＯＴ３１に感染したＰＣの数が増えたり、ＢＯＴ３１に感染したＰＣのアドレスが変動する場合に対処することができるようになる。

但し、図８の処理のみでは、一度遮断リストに登録されると、メールサーバ７への接続が常に遮断されてしまい、ＢＯＴ３１を駆除できても通信できなくなってしまう。そこで、図９に示すような遮断リスト修正処理を実施する。

まず、遮断リスト修正部５３は、ユーザから有効期限の設定を受け付け、例えばメインメモリなどの記憶装置に格納する（ステップＳ３１）。有効期限についても複数種類設定してもよい。すなわち、初めて遮断リストに登録された個別ＩＰアドレスについては比較的短い有効期限を設定し、２回以上遮断リストに登録された個別ＩＰアドレス（例えばステップＳ３７で削除したレコードに係る個別ＩＰアドレスについては別途リストに保持しておく）については比較的長い有効期限を設定するようにしてもよい。

そして、遮断リスト格納部５４内の遮断リストにおいて、登録レコードを１つ読み出す（ステップＳ３３）。そして、登録レコードの登録時刻と現在時刻と有効期限のデータから、当該登録レコードがその有効期限を過ぎたか判断する（ステップＳ３５）。有効期限を過ぎたと判断された場合には、ステップＳ３３で取得された登録レコードを遮断リストから削除する（ステップＳ３７）。一方、有効期限内である場合には、ステップＳ３９に移行する。

そして、処理を終了する事象が発生するまでステップＳ３３に戻って処理を繰り返す（ステップＳ３９）。

このような処理を実施することによって、ＢＯＴ３１を駆除した場合にメールサーバ７への接続を再開させることができるようになる。

なお、遮断リスト生成処理、遮断リスト更新処理、遮断リスト修正処理は、非同期で実行される。

以上本発明の実施の形態を説明したが、本発明はこれに限定されるものではない。例えば、図７に示した遮断リストに登録される登録時刻は、有効期限そのものを登録するようにしてもよい。また、開始アドレスと終了アドレスとを明示する例を示したが、他の表現方法でアドレスを登録するようにしてもよい。さらに、遮断リスト更新処理については、実施しない場合もある。さらに、メールサーバ７への接続を遮断する例を示しているが、他のコンピュータについても本実施の形態は適用可能である。

なお、ＢＯＴ３１の攻撃は、他の種類もあり、可能であれば、ログ格納部７１に格納されているログデータを解析して、タイムアウト時間より短い所定時間以上の間隔をあけつつＳＭＴＰに従って所定数以上の通信手順を進める動作を行っている通信相手のアドレスを特定して、遮断リストに登録するようにしてもよい。

汚染率やネットワーク統合率については、割合ではなく数であってもよい。

また、ＰＣ、メールサーバ７、通信制御処理装置５は、図１０のようなコンピュータ装置であって、メモリ２５０１（記憶装置）とＣＰＵ２５０３（処理装置）とハードディスク・ドライブ（ＨＤＤ）２５０５と表示装置２５０９に接続される表示制御部２５０７とリムーバブル・ディスク２５１１用のドライブ装置２５１３と入力装置２５１５とネットワークに接続するための通信制御部２５１７とがバス２５１９で接続されている。オペレーティング・システム（ＯＳ：Operating System）及び本実施の形態における処理を実施するためのアプリケーション・プログラムは、ＨＤＤ２５０５に格納されており、ＣＰＵ２５０３により実行される際にはＨＤＤ２５０５からメモリ２５０１に読み出される。必要に応じてＣＰＵ２５０３は、表示制御部２５０７、通信制御部２５１７、ドライブ装置２５１３を制御して、必要な動作を行わせる。また、処理途中のデータについては、メモリ２５０１に格納され、必要があればＨＤＤ２５０５に格納される。本発明の実施の形態では、上で述べた処理を実施するためのアプリケーション・プログラムはリムーバブル・ディスク２５１１に格納されて頒布され、ドライブ装置２５１３からＨＤＤ２５０５にインストールされる。インターネットなどのネットワーク及び通信制御部２５１７を経由して、ＨＤＤ２５０５にインストールされる場合もある。このようなコンピュータ装置は、上で述べたＣＰＵ２５０３、メモリ２５０１などのハードウエアとＯＳ及び必要なアプリケーション・プログラムとが有機的に協働することにより、上で述べたような各種機能を実現する。

ルータなどの通信機器９についても、ＨＤＤ２５０５やドライブ装置２５１３などを有さず、他に通信機器９として必要なネットワークとの接続機能及びルーティング機能などを追加で保持する構成である。

本発明の実施の形態に係るシステム概要を説明するための図である。 遮断リスト生成処理の処理フローを示す図である。 汚染率テーブルの一例を示す図である。 通常のＳＭＴＰ処理の手順を示す図である。 ＢＯＴ攻撃時のＳＭＴＰ処理の手順の例を示す図である。 ＢＯＴ攻撃時のＳＭＴＰ処理の手順の他の例を示す図である。 遮断リストの一例を示す図である。 遮断リスト更新処理の処理フローを示す図である。 遮断リスト修正処理の処理フローを示す図である。 コンピュータの機能ブロック図である。

符号の説明

１ ネットワーク ３１ ＢＯＴ
５ 通信制御処理装置 ７ メールサーバ
９ 通信機器
５１ 遮断リスト生成部 ５２ 遮断リスト更新部 ５３ 遮断リスト修正部
５４ 遮断リスト格納部 ５１１ ＢＯＴ攻撃検出部
７１ ログ格納部 ７３ 遮断リスト格納部

Claims (6)

1. ログ格納部に格納されている通信ログデータを解析して、任意の段階まで所定のプロトコルに従って通信を行って前記任意の段階より後ろの通信手順を明示的に又は非明示的に破棄する動作を行っている通信相手のアドレスを特定するステップと、
   当該特定された通信相手のアドレスを、通信を遮断する通信相手のリストである遮断対象リストに登録するステップと、
   予め設定されているアドレス範囲内において前記遮断対象リストに登録されているアドレスの割合が、前記予め設定されているアドレス範囲が割り当てられている地域に基づき設定される閾値以上となったか判断する判断ステップと、
   前記判断ステップの判断結果が肯定的である場合、当該アドレス範囲又は当該アドレス範囲内の未登録アドレスを、前記遮断対象リストに登録するステップと、
   を含み、コンピュータにより実行される通信制御方法。
2. ログ格納部に格納されている通信ログデータを解析して、任意の段階まで所定のプロトコルに従って通信を行って前記任意の段階より後ろの通信手順を明示的に又は非明示的に破棄する動作を行っている通信相手のアドレスを特定するステップと、
   当該特定された通信相手のアドレスを、通信を遮断する通信相手のリストである遮断対象リストに登録するステップと、
   予め設定されているアドレス範囲内において前記遮断対象リストに登録されているアドレスの割合が、前記予め設定されているアドレス範囲が割り当てられている地域に基づき設定される閾値以上となったか判断する判断ステップと、
   前記判断ステップの判断結果が肯定的である場合、当該アドレス範囲又は当該アドレス範囲内の未登録アドレスを、前記遮断対象リストに登録するステップと、
   前記判断ステップの判断結果が肯定的である場合、前記予め設定されているアドレス範囲より広い第２のアドレス範囲内において前記遮断対象リストに登録されているアドレス範囲又はアドレスの割合が、前記第２のアドレス範囲が割り当てられている地域に基づき設定される第２の閾値以上となったか判断する第２判断ステップと、
   前記第２判断ステップの判断結果が肯定的である場合、当該第２のアドレス範囲又は当該第２のアドレス範囲内の未登録アドレスを、前記遮断対象リストに登録するステップと、
   を含み、コンピュータにより実行される通信制御方法。
3. 前記遮断対象リストには、前記アドレス又は前記アドレス範囲と共に登録日時又は有効期限が登録され、
   前記遮断対象リストを走査して、前記登録日時又は前記有効期限と現在日時とに基づき前記遮断対象リストから除外すべきアドレス又はアドレス範囲を特定し、前記遮断対象リストから当該特定されたアドレス又はアドレス範囲を除外するステップ
   をさらに含む請求項１又は２記載の通信制御方法。
4. 請求項１乃至３のいずれか１つ記載の通信制御方法をコンピュータに実行させるためのプログラム。
5. ログ格納部に格納されている通信ログデータを解析して、任意の段階まで所定のプロトコルに従って通信を行って前記任意の段階より後ろの通信手順を明示的に又は非明示的に破棄する動作を行っている通信相手のアドレスを特定する手段と、
   当該特定された通信相手のアドレスを、通信を遮断する通信相手のリストである遮断対象リストに登録する手段と、
   予め設定されているアドレス範囲内において前記遮断対象リストに登録されているアドレスの割合が、前記予め設定されているアドレス範囲が割り当てられている地域に基づき設定される閾値以上となったか判断する判断手段と、
   前記判断手段による判断の結果が肯定的である場合、当該アドレス範囲又は当該アドレス範囲内の未登録アドレスを、前記遮断対象リストに登録する手段と、
   を有する通信制御処理装置。
6. ログ格納部に格納されている通信ログデータを解析して、任意の段階まで所定のプロトコルに従って通信を行って前記任意の段階より後ろの通信手順を明示的に又は非明示的に破棄する動作を行っている通信相手のアドレスを特定する手段と、
   当該特定された通信相手のアドレスを、通信を遮断する通信相手のリストである遮断対象リストに登録する手段と、
   予め設定されているアドレス範囲内において前記遮断対象リストに登録されているアドレスの割合が、前記予め設定されているアドレス範囲が割り当てられている地域に基づき設定される閾値以上となったか判断する判断手段と、
   前記判断手段による判断の結果が肯定的である場合、当該アドレス範囲又は当該アドレス範囲内の未登録アドレスを、前記遮断対象リストに登録する手段と、
   前記判断手段による判断の結果が肯定的である場合、前記予め設定されているアドレス範囲より広い第２のアドレス範囲内において前記遮断対象リストに登録されているアドレス範囲又はアドレスの割合が、前記第２のアドレス範囲が割り当てられている地域に基づき設定される第２の閾値以上となったか判断する第２判断手段と、
   前記第２判断手段による判断の結果が肯定的である場合、当該第２のアドレス範囲又は当該第２のアドレス範囲内の未登録アドレスを、前記遮断対象リストに登録する手段と、
   を有する通信制御処理装置。

Images