JP4416630B2 - 監視装置、通信システム、監視方法、および監視プログラム - Google Patents

Description

本発明は監視装置、通信システム、監視方法、および監視プログラムに関し、例えば、ネットワーク内のノードが未知のワームに感染したことを早期に検知する場合などに適用して好適なものである。

不正アクセスに対する防御技術を記載した従来の文献としては、下記の非特許文献１があげられる。

非特許文献１の技術では、ネットワークを流れるパケットをマシン語の命令列として解析することにより、マシン語（シェルコード）をパケットで送り付けて侵入者の意図する処理をサーバに実行させるタイプのバッファオーバフロー攻撃を検出している。
北條 孝佳、外２名、"シェルコード解析による不正アクセス検出手法"社団法人情報処理学会研究報告、２００３年１２月１９日、２００３−ＣＳＥＣ−２３、ｐ．１−６

ところが、上述した非特許文献１の技術では、マシン語（シェルコード）をパケットで送り付けて侵入者の意図する処理をサーバに実行させるタイプのバッファオーバフロー攻撃を検出することはできても、それ以外の不正アクセス（例えば、ワームの感染など）には対応することができない。このため、適用範囲が狭く、セキュリティ性を十分に高めることが難しい。

例えば、サーバが未知ワームに感染した場合、感染したことが検出できないまま長時間に渡ってワームの活動の踏み台として利用されてしまう可能性がある。

かかる課題を解決するために、第１の本発明では、第１の通信ネットワークと第２の通信ネットワークのあいだに配置され、前記第１の通信ネットワークと前記第２の通信ネットワークとの間でやり取りされるパケットを監視し、ワームに関連するパケットを検出する監視装置において、（１）前記第１の通信ネットワークと前記第２の通信ネットワークとの間でやり取りされるパケットのヘッダから、所定の特徴情報を抽出する特徴情報抽出手段と、（２）前記特徴情報抽出手段により抽出された各パケットの特徴情報を所定時間記憶する特徴情報記憶手段と、（３）ネットワークアドレス単位で監視対象を特定する１又は複数の監視対象特定情報を保持する監視対象特定情報保持手段と、（４）前記第１の通信ネットワークと前記第２の通信ネットワークとの間でやり取りされるパケットのうち、前記各監視対象特定情報に該当するパケットの特徴情報を抽出し、この抽出した特徴情報と、前記特徴情報記憶手段に記憶されている所定時間内の過去にやり取りされた当該監視対象特定情報に対応するパケットの特徴情報とが近似しているか否かを判定する情報近似判定手段と、（５）前記情報近似判定手段が、前記特徴情報記憶手段の特徴情報と近似する判定した当該パケットの特徴情報を、ワームに関連する特徴情報として保持させるワームデータベース手段とを備えたことを特徴とする。第２の本発明の通信システムは、第１の本発明の複数の監視装置と、センタノードとを有する通信システムであって、前記センタノードが、前記各監視装置のワームデータベース手段に保持されているワームに関連する特徴情報を収集して保持する情報収集保持手段と、前記情報収集保持手段に保持されているワームに関連する特徴情報に対して統計的な解析を実行する統計解析手段とを有することを特徴とする。

また、第３の本発明では、第１の通信ネットワークと第２の通信ネットワークのあいだに配置され、前記第１の通信ネットワークと前記第２の通信ネットワークとの間でやり取りされるパケットを監視し、ワームに関連するパケットを検出する監視方法において、（１）特徴情報抽出手段が、前記第１の通信ネットワークと前記第２の通信ネットワークとの間でやり取りされるパケットのヘッダから、所定の特徴情報を抽出する特徴情報抽出工程と、（２）特徴情報記憶手段が、前記特徴情報抽出手段により抽出された各パケットの特徴情報を所定時間記憶する特徴情報記憶工程と、（３）監視対象特定情報保持手段が、ネットワークアドレス単位で監視対象を特定する１又は複数の監視対象特定情報を保持する監視対象特定情報保持工程と、（４）情報近似判定手段が、前記第１の通信ネットワークと前記第２の通信ネットワークとの間でやり取りされるパケットのうち、前記各監視対象特定情報に該当するパケットの特徴情報を抽出し、この抽出した特徴情報と、前記特徴情報記憶手段に記憶されている所定時間内の過去にやり取りされた当該監視対象特定情報に対応するパケットの特徴情報とが近似しているか否かを判定する情報近似判定工程と、（５）ワームデータベース手段が、前記情報近似判定手段が、前記特徴情報記憶手段の特徴情報と近似する判定した当該パケットの特徴情報を、ワームに関連する特徴情報として保持させるワームデータベース保持工程とを含むことを特徴とする。

さらに、第４の本発明では、第１の通信ネットワークと第２の通信ネットワークのあいだに配置され、前記第１の通信ネットワークと前記第２の通信ネットワークとの間でやり取りされるパケットを監視し、ワームに関連するパケットを検出する監視プログラムにおいて、コンピュータに、（１）前記第１の通信ネットワークと前記第２の通信ネットワークとの間でやり取りされるパケットのヘッダから、所定の特徴情報を抽出する特徴情報抽出手段、（２）前記特徴情報抽出手段により抽出された各パケットの特徴情報を所定時間記憶する特徴情報記憶手段、（３）ネットワークアドレス単位で監視対象を特定する１又は複数の監視対象特定情報を保持する監視対象特定情報保持手段、（４）前記第１の通信ネットワークと前記第２の通信ネットワークとの間でやり取りされるパケットのうち、前記各監視対象特定情報に該当するパケットの特徴情報を抽出し、この抽出した特徴情報と、前記特徴情報記憶手段に記憶されている所定時間内の過去にやり取りされた当該監視対象特定情報に対応するパケットの特徴情報とが近似しているか否かを判定する情報近似判定手段、（５）前記情報近似判定手段が、前記特徴情報記憶手段の特徴情報と近似する判定した当該パケットの特徴情報を、ワームに関連する特徴情報として保持させるワームデータベース手段として機能させるものである。

本発明によれば、適用範囲が広く、セキュリティ性を十分に高めることができる。

（Ａ）第１の実施形態
以下、本発明にかかる監視装置、通信システム、監視方法、および監視プログラムを、インターネットを含む通信システムに適用した場合を例に、第１の実施形態について説明する。

（Ａ−１）第１の実施形態の構成
本実施形態にかかる通信システム１０の全体構成例を図２に示す。

図２において、当該通信システム１０は、ネットワーク１１，１２と、ノード１３〜１７とを備えている。

このうちネットワーク１１は、管理ネットワーク１２からみて、管理ノード１３を介して接続される外部のネットワークであればどのようなものであってもよいが、ここでは、インターネットを想定する。

このインターネット１１には、外部ノード１５〜１７が接続されている。これらの外部ノード１５〜１７は、コンピュータウイルスの感染元または感染先となり得るノードであり、例えば、ＦＴＰサーバやＷｅｂサーバなどのサーバであってよい。広義のコンピュータウイルスには、ワームやトロイの木馬なども含まれるが、ここでは、主としてワームを想定する。ワームは自己の複製を送り付けることによって感染範囲を拡大する。

管理ネットワーク１２は、管理ノード１３によって管理される内部のネットワークである。内部か外部かは管理ノード１３に対していずれの側に配置されているかによって決まる相対的な概念である。したがって、例えば、社内ＬＡＮなどにおいても、社内ＬＡＮのなかに管理ノード１３を設置した場合、社内ＬＡＮ自体を内部ネットワーク（内部セグメント）と外部ネットワーク（外部セグメント）に分けることができるが、図２の例では、外部ネットワークがインターネット１１，内部ネットワークは管理ネットワーク１２（例えば、ある企業の各拠点のうちの１つを構成するＬＡＮなどに対応）となっている。

前記インターネット１１と管理ネットワーク１２を接続する管理ノード１３は、外部から内部へ向かう内向きのパケットＰＫ１と、内部から外部へ向かう外向きのパケットＰＫ２の中継を監視する監視装置である。具体的には、例えば、ファイアウォール装置などの形で、当該管理ノード１３の機能を実装することができる。ただし、管理ノード１３の役割はワームに関連するパケットの遮断ではなく、ワームに関連するパケットの検出であるから、パケットＰＫ１やＰＫ２が当該管理ノード１３を経なければ他のネットワークへ到達できない構成となっていることは必ずしも必須ではない。例えば、リピータ型のハブなどを利用して、パケットＰＫ１，ＰＫ２が確実に管理ノード１３に受信される構成となっていれば十分である。

ここで、前記内向きのパケットＰＫ１は、外部ノード１５から内部ノード１４に宛てて送信されたものである。外部ノード１５はワームＷＭ１に感染しており、このワームＷＭ１が感染範囲を拡大するため、自己の複製をパケットＰＫ１を用いて内部ノード１４へ送り付けたものとする。不正アクセスが成功し、内部ノード１４が当該ワームＷＭ１に感染すると、外向きのパケットＰＫ２を送信して他のノード（ここでは、１６とする）へワームＷＭ１の複製を収容したパケットＰＫ２を送り付ける。このような動作が繰り返されることによってワームＷＭ１の感染範囲が拡大されて行く。

ここで、外部ノード１５に割り当てられているＩＰアドレスをＩＡ５とする。同様に、外部ノード１６に割り当てられているＩＰアドレスをＩＡ６、外部ノード１７に割り当てられているＩＰアドレスをＩＡ７、内部ノード１４に割り当てられているＩＰアドレスをＩＡ４とする。この場合、前記内向きパケットＰＫ１の宛先ＩＰアドレスはＩＡ４，送信元ＩＰアドレスはＩＡ５となり、外向きパケットＰＫ２の宛先ＩＰアドレスはＩＡ６、送信元ＩＰアドレスはＩＡ４となる。もしも、内部ノード１４が外部ノード１６だけでなく外部ノード１７へも外向きパケットを送信するものとすると、宛先ＩＰアドレスがＩＡ７で送信元ＩＰアドレスがＩＡ４のパケットが送信されることになる。

パケットＰＫ１，ＰＫ２の宛先は予めワームＷＭ１のプログラムに記述されている場合もあるし、擬似乱数などを利用して動的に決定される場合もある。いずれにしても、感染範囲を拡大するため、パケットＰＫ１，ＰＫ２を届ける宛先は複数となるのが普通である。したがって、例えば、内部ノード１４がワームＷＭ１に感染した場合、ワームＷＭ１を収容したパケットＰＫ２は前記外部ノード１６に届けられたあと、１または複数の他のノード（例えば、外部ノード１７）へも届けられる。

なお、通常、ワームの複製は１パケットでは収容しきれないため、１度、複製を送信するために多数のパケットが送られるのが普通であるが、図２の例では説明を簡単にするために内向きのパケットと外向きのパケットを１つずつ図示している。

また、パケットは、ＯＳＩ参照モデルの各階層におけるプロトコルデータ単位（ＰＤＵ）であってよいが、ここでは、ネットワーク層のＰＤＵであるものとする。ネットワーク層の通信プロトコルには様々なものがあるため、ネットワーク層のＰＤＵとしてのパケットにも様々なものがあるが、ここでは、インターネット１１を前提とするので、パケットＰＫ１，ＰＫ２はＩＰパケットである。

前記管理ノード１３の内部構成は例えば図１に示す通りである。

（Ａ−１−１）管理ノードの内部構成例
図１において、当該管理ノード１３は、ネットワーク入出力部（ＮＷ入出力部）２０と、振分部２１と、特徴抽出部２２と、近似判定部２３と、データベース制御部（ＤＢ制御部）２４、２５と、特徴情報データベース部２６と、ワームデータベース（ワームＤＢ）部２７と、設定情報保持部２８とを備えている。

このうちネットワーク入出力部２０は、前記内向き及び外向きのパケットＰＫ１，ＰＫ２の入出力を行う部分で、具体的には、例えば、ＬＡＮカードなどに相当し得る。

振分部２１は、内向きのパケットＰＫ１と外向きのパケットＰＫ２の振り分けを行う部分である。内向きのパケットＰＫ１は特徴抽出部２２へ、外向きのパケットＰＫ２は近似判定部２３へ振り分ける。

すべての外向きのパケットとすべての内向きのパケットを検査するのではない場合、当該振分部２１は、検査の対象となるパケットを指定するための設定情報を、設定情報保持部２８から取得し、その設定情報に適合しないパケットは、特徴抽出部２２への振り分けも行わず、近似判定部２３への振り分けも行わないようにするとよい。例えば、パケットのヘッダに含まれる宛先ＩＰアドレスや送信元ＩＰアドレスをもとに、検査の対象となるパケットを特定することができる。検査の対象となるパケットは、他の任意のノード（例えば、１５）から管理の対象となるノード（ここでは、１４）へ宛てて送信されたパケットか、管理の対象となるノードから他のノード（例えば、１６）へ宛てて送信されたパケットである。

なお、検査の対象となるパケットを指定するための設定情報としては、宛先ＩＰアドレスや送信元ＩＰアドレス以外にも、ＩＰヘッダに含まれる様々な制御情報を利用できる可能性がある。例えば、上位プロトコルに関するプロトコル識別情報である「プロトコル番号」などの値を利用してもよい。また、管理の対象をホスト単位で指定せず、例えば、ネットワーク単位（ネットワークアドレス単位）で指定するようにしてもよいことは当然である。

さらに、管理ノード１３の資源（例えば、特徴情報データベース部２６の記憶容量など）に比べて、単位時間内に管理ノード１３で受信されるパケットの量が多すぎる場合などには、適切な間引き処理を行うようにしてもよい。一例として、この間引き処理では、５００パケットごとに１パケットをサンプリングし、サンプリングしたパケットだけを振分部２１による振り分けの対象とするものであってよい。ただし、パケットのデータ部分（ペイロード部分）が暗号化されているパケットの場合など、宛先ＩＰアドレスや送信元ＩＰアドレス等、ＩＰヘッダなどに含まれる制御情報だけに基づいた解析になるため、できるだけ多くのパケットを処理するように工夫することが望ましい。

特徴抽出部２２は、前記振分部２１から振り分けられた内向きのパケットＰＫ１から所定の特徴情報を抽出する部分である。抽出した特徴情報はデータベース制御部２４を介して特徴情報データベース部２６に蓄積される。

特徴抽出部２２は、前記特徴情報を抽出するときの抽出手法を前記設定情報保持部２８から読み出した設定情報に基づいて決める。設定情報は例えばパケットの特定の場所を指定する情報であってよい。一例として、ＩＰヘッダ中で前記プロトコル番号を記述する場所（フィールド）を指定しておけば、特徴情報としてプロトコル番号の値を抽出することができる。また、データベース制御部２４に渡す前に特徴情報に変換処理を施す場合にはその変換処理方法なども、当該設定情報で指定しておくことができる。一例として、パケットのデータ部分を抽出したあと、ハッシュ関数を用いてそのハッシュ値を求めることをこの変換処理としてもよい。ハッシュ値は元のデータよりもデータサイズを小さくできるため、記憶容量を節約することができる。

設定情報保持部２８は、上述した各種設定情報を保持していて、求められたときに各構成要素へ渡す部分である。そのため、当該設定情報保持部２８は、図３（Ａ）および（Ｂ）に示すテーブルＴＢ１，ＴＢ２を有するものであってよい。

図３（Ａ）の管理対象テーブルＴＢ１には、管理対象を示している。ただしこの例では、管理対象を上述したようにホスト単位ではなくネットワーク単位（ネットワークアドレス単位）で管理対象を指定している。

図３（Ｂ）の抽出手法テーブルＴＢ２は、データ項目として、番号と、抽出手法を備えている。番号は、当該抽出手法テーブルＴＢ２内で各行を一意に識別するための識別情報で、抽出手法は、上述した抽出手法の具体例を示す。

ここで、行とは、テーブル中でデータ項目を除く横の並びのことである。図３（Ｂ）の場合、「１ プロトコル番号，フラグ，ＴＴＬ，…」の行Ｌ１は１つの行である。

抽出手法テーブルＴＢ２の各行のうち行Ｌ１には、抽出手法として、上述した特徴情報を抽出する場所（例えば、プロトコル番号（のフィールド）など）を指定しているが、行Ｌ２などでは、特徴情報を抽出する場所（データ部分）と、上述した変換処理方法（ＭＤ５などのハッシュ関数）を指定している。

特徴情報データベース部２６は、図４の特徴情報テーブルＴＢ３を備えている。当該特徴情報テーブルＴＢ３は、データ項目として、宛先と、特徴情報と、タイムアウト時間とを備えている。

宛先は、前記内向きパケットＰＫ１の宛先ＩＰアドレスであるＩＡ４を登録する。

特徴情報は、それぞれ該当する特徴情報を登録する。図示の例では、「ＤｓｔＰｏｒｔ：３１３３７」すなわち、宛先ポート番号が３１３３７であると登録されているが、これは特徴情報として宛先ポート番号を抽出した場合の例である。図３（Ｂ）に示したプロトコル番号、データ部分のハッシュ値などが、特徴情報としてここに登録されるものであってよいことは当然である。したがって、特徴情報に対応するデータ項目は図４の例では１つであるが、複数になってもよいし、データ項目の内容が図４の例と異なるものとなってもよい。このようなデータ項目の組み合わせ（特徴情報のフォーマット）が変化した場合、その変化に対応する新しいデータ項目の組み合わせを持つ特徴情報テーブルを作成することになる。新しいデータ項目の組み合わせを持つ特徴情報テーブルの作成は、例えば、前記データベース制御部２４が実行するものであってよい。

タイムアウト時間は、特徴情報テーブルＴＢ３上の該当する行（例えば、ＬＮ１）を特徴情報データベース部２６に登録しておく時間を示している。実際の運用では、膨大な数のパケットが管理ノード１３で受信されるのが普通であるため、特徴情報テーブルＴＢ３の行数も膨大なものとなるが、タイムアウト時間を設定しておくことにより、記憶資源を節約することができる。

また、本実施形態では基本的に、外向きのパケットと内向きのパケットの特徴情報が近似しているか否かだけをもとにワームが収容されているか否かを判定するため、ワームを含まない何らかのファイル（例えば、文書ファイルなど）を収容したパケットを内部ノード１４に送信し、内部ノード１４からそのファイルの複製を収容したパケットを外部ノード（例えば、１６）に送信した場合、ワームを含むものと誤判定してしまう可能性があるが、タイムアウト時間の設定などにより、そのような誤判定の発生確率を低下させることも可能になる。

例えば、人間の操作によって文書ファイルの複製を作成し、その複製を収容したパケットが送信されるケースなどでは、管理ノード１３で、内向きのパケットＰＫ１が受信されてから外向きのパケットＰＫ２が受信されるまでの時間はかなり長くなるはずなので、タイムアウト時間を例えば６０秒程度に設定しておけば、文書ファイルの複製を収容した外向きのパケットＰＫ２を受信するときには、すでに、文書ファイルのオリジナルを収容した内向きのパケットＰＫ１から抽出した特徴情報は特徴情報テーブルＴＢ３上から削除されていて、誤判定が行われなくなる可能性が高いからである。

誤判定の発生確率を低下させる方法には、ほかにも様々なものがある。例えば、同じ送信元から多数の宛先に次々とパケットを送信するワーム特有の動作などに着目して、ワームの機能によって送信されたパケットであることを特定するようにしてもよい。

データベース制御部２４は、データベースである特徴情報データベース部２６を管理するＤＢＭＳ（データベース管理システム）に相当する構成要素である。データベース制御部２４は、前記特徴抽出部２２からの要求に応じて、特徴抽出部２２がパケットから抽出した特徴情報（例えば、前記プロトコル番号など）や、抽出した特徴情報の変換処理結果（例えば、データ部分のハッシュ値（このハッシュ値自体も特徴情報））を、特徴情報データベース部２６に登録し、逆に、近似判定部２３からの要求に応じて、すでに登録してある特徴情報を検索して近似判定部２３に供給する。

近似判定部２３は、内向きのパケットＰＫ１と、外向きのパケットＰＫ２の近似度を調べ、ワームを収容したパケットであるか否かを判定（すなわち、近似するか否かを判定）する部分である。近似判定部２３は特徴抽出部２２と同等な特徴情報の抽出や変換処理などを実行する機能を備え、外向きのパケットＰＫ２から特徴情報を抽出する。抽出の際、前記管理対象テーブルＴＢ１や抽出手法テーブルＴＢ２を検索して、これらのテーブルＴＢ１、ＴＢ２に登録されている設定情報に応じた抽出や変換処理を実行する。

なお、前記特徴抽出部２２が特徴情報の抽出などを行うときには、宛先ＩＰアドレスが前記管理対象テーブルＴＢ１に登録されたＩＰアドレス（ネットワークアドレス）に該当するパケットとして、前記内向きのパケットＰＫ１を選択し、近似判定部２３が特徴情報の抽出などを行うときには、送信元ＩＰアドレスが前記管理対象テーブルＴＢ１に登録されたＩＰアドレス（ネットワークアドレス）に該当するパケットとして、前記外向きのパケットＰＫ２を選択することになる。

近似度の判定では様々な判定方法を用いることができる可能性があるが、例えば、該当する特徴情報（または、その変換処理結果）が一致するか否かをもとに判定を行ってもよい。この場合、近似というよりも、ほぼ一致不一致の判定になる。例えば、プロトコル番号間の比較やハッシュ値間の比較では近似ということはなく、一致か不一致かしかないからである。ただし、例えば、前記ＴＴＬの値などは、通常、一致してもしなくても、この判定には影響を与えない。ＴＴＬの値はそのパケットがルータを経由するたびにデクリメントされるものであり、ワームの複製の検出に影響する可能性は低いからである。

もちろん、もっと複雑な判定方法を用いて内向きのパケットＰＫ１と外向きのパケットＰＫ２の近似度を算出し、近似度の値が所定値以上であれば近似するものと判定し、所定値未満であれば、近似しないものと判定するようにしてもよい。ハッシュ値を算出せず、パケットから抽出したデータ部分を直接比較するような判定方法の場合には、所定値以上であれば近似と判定する方法が有効となる可能性がある。また、例えば、複数の特徴情報に関する一致不一致の結果を集計し、一致した特徴情報の割合が所定値（例えば、８０％）以上であるとき、前記近似判定部２３がそのパケットをワームを収容したパケットである（すなわち、近似する）と判定するようにしてもよい。

上述したように、ワームは自己の複製を送り付けることによって感染範囲を拡大するものであるため、検出しようとしているワームＷＭ１が未知のもので、まだ対応するウイルス定義ファイルなどが作成されていない場合でも、本実施形態のように、内向きのパケットＰＫ１と外向きのパケットＰＫ２の特徴情報を比較する方法によれば、ワームＷＭ１の検出が可能になる。

また、近似度は、パケット単位で調べるだけでなく、複数のパケットの流れによって構成されるトラフィックパターンとしての近似度を調べることもできる。

ワームデータベース部２７は、前記近似判定部２３がワームを収容したパケットと判定した場合、そのパケットから抽出した特徴情報（ワームに対応）を蓄積するデータベースである。この場合、特徴情報をそのまま蓄積するようにしてもよく、前記変換処理を行ったあとの特徴情報を蓄積するようにしてもよい。また、例えば次のような方法によれば、ワームデータベース部２７には、既知のワームを示す特徴情報を蓄積せず、未知のワームを示す特徴情報を蓄積することが可能である。

すなわち、内部ノード１４など、管理ネットワーク１２内の既知のワームに対する対策（例えば、ウイルス定義ファイルの更新など）を適切に行って、内部ノード１４などが、既知のワームを感染前に検出し、駆除すること等ができるようにしておけば、外向きのパケットＰＫ２に収容されて送信されるワームは既存の方法（例えば、前記ウイルス定義ファイルを用いたパターンマッチング法）で検出することが難しい未知のワームとなるから、ワームデータベース部２７には既知のワームの特徴情報は蓄積されず、未知のワームの特徴情報が蓄積される。

データベース制御部２５は、前記データベース制御部２４に対応する構成要素であるので、その詳しい説明は省略する。

ただし当該データベース制御部２５は、近似判定部２３が、ワームを収容していると判定したパケットＰＫ２から抽出した特徴情報をワームデータベース部２７に蓄積するときに利用される。

ワームデータベース部２７は、図５に示すワームテーブルＴＢ４を備えている。図５において、当該ワームテーブルＴＢ４は、データ項目として、登録日時と、ワーム特徴情報とを備えている。

このうち登録日時は、該当する特徴情報（ワーム特徴情報）を当該ワームテーブルＴＢ４に登録した日時を示す。

ワーム特徴情報は、登録された特徴情報の内容を示す。

上述した誤判定の発生確率を低く抑制すれば、当該ワームテーブルＴＢ４の各行ＬＭ１、ＬＭ２などには、前記文書ファイルなどが登録されることが少なくなり、ほとんどがワームを示す特徴情報となる。

以下、上記のような構成を有する本実施形態の動作について説明する。

（Ａ−２）第１の実施形態の動作
前記外部ノード１５がワームＷＭ１に感染し、当該ワームＷＭ１の機能に応じて、自己の複製を含む前記パケットＰＫ１をＩＰアドレスＩＡ４に宛てて送信したものとする。このパケットＰＫ１は、インターネット１１経由で伝送され、前記管理ノード１３による受信を経て管理ネットワーク１２内の内部ノード１４に到達することになる。

受信の際、管理ノード１３内では、前記ネットワーク入出力部２０を経て当該パケットＰＫ１を受け取った振分部２１が、その宛先ＩＰアドレスがＩＡ４であること等から、当該パケットＰＫ１が内向きのパケットであって、なおかつ、図３（Ａ）に示す管理対象テーブルＴＢ１の管理対象であるネットワークに含まれていることも分かるため、前記特徴抽出部２２へ振り分ける。

当該パケットＰＫ１を受け取った特徴抽出部２２は、図３（Ｂ）に示す抽出手法テーブルＴＢ２の登録内容に基づいて当該パケットＰＫ１から特徴情報の抽出を行い、抽出した特徴情報をデータベース制御部２４を介して特徴情報データベース部２６に登録する。

一方、前記パケットＰＫ１を受け取った内部ノード１４では、既存の方法によってワームの検出や駆除を常時、行っているものとする。パケットＰＫ１に含まれるワームＷＭ１が、既知のものであれば、対応するウイルス定義ファイルなども存在し、検出可能であるため、通常は、感染する前に検出され、駆除される。

ただし当該ワームＷＭ１が未知のものである場合には、このような検出や駆除を行うことが難しいため、内部ノード１４に感染する可能性が高い。感染に成功すると、内部ノード１４の資源は当該ワームＷＭ１によって利用される。ワームＷＭ１は通常、自身の複製を送信して感染範囲を拡大するようにプログラムされているため、内部ノード１４の資源を利用してワームＷＭ１の複製を含む前記パケットＰＫ２を送信する。

パケットＰＫ２の宛先ＩＰアドレスが前記ＩＡ６であるものとすると、当該パケットＰＫ２は、管理ネットワーク１２内のルータ（図示せず）によって管理ノード１３まで届けられ、管理ノード１３と、インターネット１１を経由して前記外部ノード１６まで届けられようとする。内部ノード１４が送信したパケットであるから、当該パケットＰＫ２の送信元ＩＰアドレスは前記ＩＡ４である。

管理ノード１３の内部において、前記ネットワーク入出力部２０経由で当該パケットＰＫ２を受け取った振分部２１は、その宛先ＩＰアドレスがＩＡ６であること等から当該パケットＰＫ２が外向きのパケットであることを特定できるので、当該パケットＰＫ２を近似判定部２３に振り分ける。ただしこのとき、上述したように、設定情報保持部２８の設定情報を利用して、すべての外向きパケットでなく、一部の外向きパケットのみを近似判定部２３に振り分けるようにしてもよい。例えば、設定情報として、実際に所定時間前に管理ノード１３が処理した内向きパケット（例えば、ＰＫ１）の宛先ＩＰアドレスを登録しておけば、内向きパケットを受け取った内部ノード（例えば、１４）が所定時間内に送信した外向きパケットのみを近似判定部２３に振り分けることもできる。

いずれにしても、近似判定部２３がパケットＰＫ２を受け取ると、前記特徴抽出部２２がパケットＰＫ１を処理した場合と同様に、前記抽出手法テーブルＴＢ２の登録内容に基づいて当該パケットＰＫ２から特徴情報の抽出を行い、特徴情報テーブルＴＢ３の該当する行に含まれる特徴情報との近似度を判定する。外向きパケットＰＫ２の送信元ＩＰアドレスであるＩＡ４に合致する値の宛先（宛先ＩＰアドレス）を持つ行が、この該当する行にあたる。

近似度の判定方法として、単純に、上述したプロトコル番号やハッシュ値間の一致不一致を判定するものとすると、一致した場合のみ、近似判定部２３は、前記パケットＰＫ２から抽出した特徴情報はワームの特徴情報であると判定し、その特徴情報を前記データベース制御部２５経由でワームデータベース部２７に登録する。

この方法によれば、ワームＷＭ１が未知のものであっても、その特徴情報を収集することができる。

ワームによる感染を検出することのみが目的である場合には、外向きのパケットＰＫ２はそのままインターネット１１に送信してかまわないが、近似判定部２３が、パケットＰＫ２から抽出した特徴情報がワームの特徴情報であると判定した時点で、そのパケットＰＫ２の中継を中止させて、外部へ送信しないようにしてもよいことは当然である。これにより、管理ネットワーク１２内の内部ノード１４が踏み台となって、ワームＷＭ１の感染範囲が拡大することを防止できる。ただし、実際に中継の中止を行う場合、上述した誤判定の発生確率を十分に低いものとしておくことが望ましい。

また、別に用意した手段を用いて、管理者などが、前記ワームデータベース部２７に蓄積されている特徴情報が真にワームを示すものであるか否かを確認するようにしてもよいことは当然である。この場合、管理ノード１３は、管理者などが未知のワームを検出する場合の支援ツールとして機能することになる。

（Ａ−３）第１の実施形態の効果
本実施形態によれば、未知のワーム（ＷＭ１）を検出することや、未知のワームの検出を支援することが可能となるので、セキュリティ性が高まる。

（Ｂ）第２の実施形態
以下では、本実施形態が第１の実施形態と相違する点についてのみ説明する。

本実施形態では、第１の実施形態で単独で用いた管理ノードを多数分散配置し、それらの管理ノードの機能を利用して、上述した誤判定の発生確率の低減を含む信頼性の向上をはかるものである。

（Ｂ−１）第２の実施形態の構成および動作
本実施形態にかかる通信システム３０の全体構成例を図６に示す。

図６において、当該通信システム３０は、インターネット１１と、管理ノード１３Ａ〜１３Ｅと、センタノード３１とを備えている。

このうち管理ノード１３Ａ〜１３Ｅは基本的に第１の実施形態の管理ノード１３とほぼ同じ機能を持つノードである。ただし、前記ワームデータベース部２７に蓄積したワーム特徴情報をセンタノード３１に定期的にまたは不定期に送信する機能を持つ点が相違する。

図６上では図示していないが、前記管理ネットワーク１２に相当するネットワークが、各管理ノード１３Ａ〜１３Ｅごとに配置されていることは当然である。

各管理ノード１３Ａ〜１３Ｅは物理的に離れた位置に配置されているため、センタノード３１では、各管理ノード１３Ａ〜１３Ｅが送信してくるワーム特徴情報をもとに、物理的な広がりを持つ大きな通信システム３０の内部で起きている現象を正確に高い精度で判定することが可能となる。

前記センタノード３１は、ネットワーク入出力部３２と、データベース制御部３３と、情報収集データベース部（情報収集ＤＢ部）３４と、結果出力部３５と、統計解析部３６とを備えている。

このうちネットワーク入出力部３２は、前記ネットワーク入出力部２０に対応し、データベース制御部３３は前記データベース制御部２４に対応するので、その詳しい説明は省略する。

ただし、ネットワーク入出力部３２は、内向きパケットと外向きパケットの入出力を行う必要はなく、各管理ノード１３Ａ〜１３Ｅが送信してくるパケット（前記ワーム特徴情報などが収容されたパケット）を受信すること等ができればよい。

また、データベース制御部３３は情報収集データベース部３４を管理するＤＢＭＳである。

当該情報収集データベース部３４には、前記管理ノード１３Ａ〜１３Ｅが送信してきたパケットに収容されていたワーム特徴情報を蓄積するデータベースである。

統計解析部３６は、当該情報収集データベース部３４内に蓄積されているワーム特徴情報を統計的に解析する部分で、解析結果は結果出力部３５に供給する。重要度が高いと判定した解析結果だけを、結果出力部３５へ供給するようにしてもよい。

結果出力部３５は、統計解析部３６から供給を受けた当該解析結果を出力する部分である。この出力には様々な態様があるが、例えば、管理者のパソコンや携帯電話機などに宛てた電子メールなどの形で出力するようにしてもよい。

出力先も、管理者だけでなく、例えば、セキュリティ関連技術者、ＩＤＳ（侵入検知システム）のシグネチャ開発者や、ウイルス定義ファイルの開発者など、様々なものがあり得る。

未知のワームの感染範囲が当該通信システム３０中の広い範囲に拡大している場合などは、この解析結果によってそれを正確に捕らえることが可能であるし、ワームの感染範囲拡大に限らず、通信システム３０中の広い範囲で起きている現象を正確に捕らえることが容易になる。

また、通信システム３０を管理する管理者の負担は、個々の管理ノード１３Ａ〜１３Ｅのワームデータベース部２７に蓄積されたワーム特徴情報を管理ノード１３Ａ〜１３Ｅごとに調べる場合に比べて、著しく軽減される。これにより、例えば、未知のワームの検出なども容易になる。

（Ｂ−２）第２の実施形態の効果
本実施形態によれば、第１の実施形態の効果と同等な効果を得ることができる。

加えて、本実施形態では、複数の管理ノード（１３Ａ〜１３Ｅ）を含む大きな通信システム（３０）内で起きている現象を正確に捕らえることが容易になり、管理者の負担も軽減することが可能である。

（Ｃ）他の実施形態
上記第１、第２の実施形態において、１つのノード（１つの通信装置）上に配置した機能は別な通信装置に分けて配置することができ、別なノード上に配置した機能は１つの通信装置上にまとめて配置することができる。

１つのノード（１つの通信装置）上に配置した機能を別な通信装置に分けて配置する方法には様々なものがあり得るが、一例として、図１の管理ノード１３上に配置されていた各機能（各構成要素）を、図７および図８に示すように通信装置４０〜４３上に分けて配置してもよい。図７、図８上で図１と同じ符号を付与した各構成要素の機能は基本的に第１の実施形態と同じである。

また、上記第１、第２の実施形態にかかわらず、特徴情報などとして蓄積すべきデータの量がわずかである場合、各データベース制御部（例えば、２４）やデータベース（例えば、２６）はキャッシュなどに置換できる可能性がある。

さらに、上記第１、第２の実施形態では、ワームを例に説明したが、本発明は、ワーム以外の広義のコンピュータウイルスに適用可能である。

なお、上記第１、第２の実施形態で利用した各階層の通信プロトコルは他の通信プロトコルに置換できることは当然である。

例えば、ＩＰプロトコルは、ＯＳＩ参照モデルのネットワーク層またはその他の階層に位置する他の通信プロトコルに置換可能である。一例として、ＩＰＸプロトコルなどを利用できる可能性もある。

以上の説明でハードウエア的に実現した機能の大部分はソフトウエア的に実現することができ、ソフトウエア的に実現した機能のほとんど全てはハードウエア的に実現することが可能である。

第１の実施形態で使用する管理ノードの内部構成例を示す概略図である。 第１の実施形態にかかる通信システムの全体構成例を示す概略図である。 第１および第２の実施形態で使用するテーブルの構成例を示す概略図である。 第１および第２の実施形態で使用するテーブルの構成例を示す概略図である。 第１および第２の実施形態で使用するテーブルの構成例を示す概略図である。 第２の実施形態にかかる通信システムの全体構成例を示す概略図である。 他の実施形態にかかる通信装置の内部構成例を示す概略図である。 他の実施形態にかかる通信装置の内部構成例を示す概略図である。

符号の説明

１０、３０…通信システム、１１…インターネット、１２…管理ネットワーク、１３、１３Ａ〜１３Ｅ…管理ノード、１４…内部ノード、１５〜１７…外部ノード、２１…振分部、２２…特徴抽出部、２３…近似判定部、２４、２５…データベース制御部、２６…特徴情報データベース部、２７…ワームデータベース部、２８…設定情報保持部、３１…センタノード、ＰＫ１…パケット（内向きパケット）、ＰＫ２…パケット（外向きパケット）。

Claims (5)

1. 第１の通信ネットワークと第２の通信ネットワークのあいだに配置され、前記第１の通信ネットワークと前記第２の通信ネットワークとの間でやり取りされるパケットを監視し、ワームに関連するパケットを検出する監視装置において、
   前記第１の通信ネットワークと前記第２の通信ネットワークとの間でやり取りされるパケットのヘッダから、所定の特徴情報を抽出する特徴情報抽出手段と、
   前記特徴情報抽出手段により抽出された各パケットの特徴情報を所定時間記憶する特徴情報記憶手段と、
   ネットワークアドレス単位で監視対象を特定する１又は複数の監視対象特定情報を保持する監視対象特定情報保持手段と、
   前記第１の通信ネットワークと前記第２の通信ネットワークとの間でやり取りされるパケットのうち、前記各監視対象特定情報に該当するパケットの特徴情報を抽出し、この抽出した特徴情報と、前記特徴情報記憶手段に記憶されている所定時間内の過去にやり取りされた当該監視対象特定情報に対応するパケットの特徴情報とが近似しているか否かを判定する情報近似判定手段と、
   前記情報近似判定手段が、前記特徴情報記憶手段の特徴情報と近似する判定した当該パケットの特徴情報を、ワームに関連する特徴情報として保持させるワームデータベース手段と
   を備えたことを特徴とする監視装置。
2. 前記情報近似判定手段が、前記特徴情報記憶手段の特徴情報と近似する判定した当該パケットの特徴情報を、所定の変換方法により変換し、この変換後の変換特徴情報を前記ワームデータベース手段に保持させることを特徴とする請求項１に記載の監視装置。
3. 請求項１に記載の複数の監視装置と、センタノードとを有する通信システムであって、
   前記センタノードが、
   前記各監視装置のワームデータベース手段に保持されているワームに関連する特徴情報を収集して保持する情報収集保持手段と、
   前記情報収集保持手段に保持されているワームに関連する特徴情報に対して統計的な解析を実行する統計解析手段とを有する
   ことを特徴とする通信システム。
4. 第１の通信ネットワークと第２の通信ネットワークのあいだに配置され、前記第１の通信ネットワークと前記第２の通信ネットワークとの間でやり取りされるパケットを監視し、ワームに関連するパケットを検出する監視方法において、
   特徴情報抽出手段が、前記第１の通信ネットワークと前記第２の通信ネットワークとの間でやり取りされるパケットのヘッダから、所定の特徴情報を抽出する特徴情報抽出工程と、
   特徴情報記憶手段が、前記特徴情報抽出手段により抽出された各パケットの特徴情報を所定時間記憶する特徴情報記憶工程と、
   監視対象特定情報保持手段が、ネットワークアドレス単位で監視対象を特定する１又は複数の監視対象特定情報を保持する監視対象特定情報保持工程と、
   情報近似判定手段が、前記第１の通信ネットワークと前記第２の通信ネットワークとの間でやり取りされるパケットのうち、前記各監視対象特定情報に該当するパケットの特徴情報を抽出し、この抽出した特徴情報と、前記特徴情報記憶手段に記憶されている所定時間内の過去にやり取りされた当該監視対象特定情報に対応するパケットの特徴情報とが近似しているか否かを判定する情報近似判定工程と、
   ワームデータベース手段が、前記情報近似判定手段が、前記特徴情報記憶手段の特徴情報と近似する判定した当該パケットの特徴情報を、ワームに関連する特徴情報として保持させるワームデータベース保持工程と
   を含むことを特徴とする監視方法。
5. 第１の通信ネットワークと第２の通信ネットワークのあいだに配置され、前記第１の通信ネットワークと前記第２の通信ネットワークとの間でやり取りされるパケットを監視し、ワームに関連するパケットを検出する監視プログラムにおいて、
   コンピュータに、
   前記第１の通信ネットワークと前記第２の通信ネットワークとの間でやり取りされるパケットのヘッダから、所定の特徴情報を抽出する特徴情報抽出手段、
   前記特徴情報抽出手段により抽出された各パケットの特徴情報を所定時間記憶する特徴情報記憶手段、
   ネットワークアドレス単位で監視対象を特定する１又は複数の監視対象特定情報を保持する監視対象特定情報保持手段、
   前記第１の通信ネットワークと前記第２の通信ネットワークとの間でやり取りされるパケットのうち、前記各監視対象特定情報に該当するパケットの特徴情報を抽出し、この抽出した特徴情報と、前記特徴情報記憶手段に記憶されている所定時間内の過去にやり取りされた当該監視対象特定情報に対応するパケットの特徴情報とが近似しているか否かを判定する情報近似判定手段、
   前記情報近似判定手段が、前記特徴情報記憶手段の特徴情報と近似する判定した当該パケットの特徴情報を、ワームに関連する特徴情報として保持させるワームデータベース手段
   として機能させる監視プログラム。

Images