JP6101525B2 - 通信制御装置、通信制御方法、通信制御プログラム - Google Patents

Description

本発明は、不正な通信に対する対策を行う技術に関する。

ネットワークを介して接続されたコンピュータ端末等の通信装置にアクセスし、不正に情報を取得することを試みる攻撃が存在する。例えば、企業等の組織の内部ＬＡＮ（Local Area Network）等に接続された通信装置に外部のネットワークから情報を送信し、その応答によって内部ＬＡＮの状況や通信装置の情報等を不正に解析するなどの攻撃が考えられる。このような攻撃への対策として、例えば内部ＬＡＮに囮となる通信装置を用意してその通信装置に攻撃させ、そこに攻撃してくる通信を解析したり、内部ＬＡＮ内の重要な部分に攻撃させないように目を逸らせたりするハニーポットなどともよばれる手法が存在する（例えば、特許文献１参照）。

特開２０１２−２１２３９１号公報

しかしながら、上述のような手法は、外部から内部へのアクセスに対する対策としてはある程度有効であるものの、内部から外部へのアクセスについての対策にはならない。例えば、内部ＬＡＮ内の通信装置にスパイウェアのような不正プログラムをインストールさせ、その不正プログラムによって内部の通信装置から外部にアクセスさせるような攻撃に対しては、上述のような手法をそのまま適用することはできない。また近年では、このような不正プログラムは、内部ＬＡＮの情報を一度に外部に対して送信するのではなく、一見すると通常の通信であるような送信情報を、長期間に亘って外部に送信し続けるような攻撃も存在する。そこで、このように内部の通信装置から外部に対して意図しない送信情報が送信されることに対する有効な対策を行うことが望ましい。

本発明は、このような状況に鑑みてなされたもので、不正な通信に対する対策を行う通信制御装置、通信制御方法、通信制御プログラムを提供する。

上述した課題を解決するために、本発明の一態様は、ネットワークを介して接続された攻撃側コンピュータ装置を宛先として被攻撃側コンピュータ装置が送信する送信情報のパケットを取得する送信情報監視部と、前記送信情報監視部が取得した前記送信情報が、所定の条件を満たすと判定された場合に、当該送信情報のパケットを複製し、送信元アドレスを置き換えた少なくとも一つの疑似情報のパケットを生成する疑似情報生成部と、前記疑似情報生成部が生成した前記疑似情報のパケットを、前記攻撃側コンピュータ装置を宛先として送信する疑似情報送信部と、を備えることを特徴とする通信制御装置である。

また、本発明の一態様は、前記被攻撃側コンピュータ装置と前記攻撃側コンピュータ装置との通信を遮断する通信遮断部と、応答情報受信部とを備え、前記疑似情報送信部は、所定の条件を満たすと判定された場合に、前記通信遮断部が前記被攻撃側コンピュータ装置と前記攻撃側コンピュータ装置との通信を遮断させた後に、前記疑似情報のパケットを前記攻撃側コンピュータ装置に送信し、前記応答情報受信部は、前記疑似情報のパケットに対する前記攻撃側コンピュータ装置からの応答を受信する。

また、本発明の一態様は、通信制御装置が、
ネットワークを介して接続された攻撃側コンピュータ装置を宛先として被攻撃側コンピュータ装置が送信する送信情報のパケットを取得するステップと、取得した前記送信情報が、所定の条件を満たすと判定された場合に、当該送信情報のパケットを複製し、送信元アドレスを置き換えた少なくとも一つの疑似情報のパケットを生成するステップと、生成した前記疑似情報のパケットを、前記攻撃側コンピュータ装置を宛先として送信するステップと、を備えることを特徴とする通信制御方法である。

また、本発明の一態様は、通信制御装置のコンピュータに、ネットワークを介して接続された攻撃側コンピュータ装置を宛先として被攻撃側コンピュータ装置が送信する送信情報のパケットを取得するステップと、取得した前記送信情報が、所定の条件を満たすと判定された場合に、当該送信情報を複製し、送信元アドレスを置き換えた少なくとも一つの疑似情報のパケットを生成するステップと、生成した前記疑似情報のパケットを、前記攻撃側コンピュータ装置を宛先として送信するステップと、を実行させる通信制御プログラムである。

以上説明したように、本発明によれば、通信制御装置が、ネットワークを介して接続された第１のコンピュータ装置を宛先として第２のコンピュータ装置が送信する送信情報を取得する送信情報監視部と、送信情報監視部が取得した送信情報が、所定の条件を満たすと判定された場合に、送信情報を複製した疑似情報を生成する疑似情報生成部と、疑似情報生成部が生成した疑似情報を、第１のコンピュータ装置を宛先として送信する疑似情報送信部と、を備えるようにしたので、不正な通信に対する対策を行うことができる。

本発明の第１の実施形態による通信制御装置の構成例を示すブロック図である。 本発明の第１の実施形態による通信制御装置の動作例を示すシーケンス図である。 本発明の第２の実施形態による通信制御装置の構成を示すブロック図である。 本発明の第２の実施形態による通信制御装置の動作概要を示す図である。 本発明の第３の実施形態による通信制御装置の構成を示すブロック図である。 本発明の第３の実施形態による通信制御装置の動作例を示すシーケンス図である。

以下、本発明の一実施形態について、図面を参照して説明する。
＜第１の実施形態＞
まず、本発明の第１の実施形態を説明する。図１は、本実施形態による通信制御装置３０の構成を示すブロック図である。通信制御装置３０は、ネットワーク機器１５を介して、第２のコンピュータ装置である被攻撃側コンピュータ装置１０と、第１のコンピュータ装置である攻撃側コンピュータ装置２０とに接続されている。

被攻撃側コンピュータ装置１０は、通信制御装置３０による監視対象のコンピュータ装置である。被攻撃側コンピュータ装置１０は、例えば、企業等の組織内の内部ＬＡＮに接続されているＰＣ（Personal computer）である。ここでは、一台の被攻撃側コンピュータ装置１０を図示して説明するが、内部ＬＡＮには複数台の被攻撃側コンピュータ装置１０が接続されていてよく、通信制御装置３０は複数台の被攻撃側コンピュータ装置１０を監視対象としてよい。またここでは、被攻撃側コンピュータ装置１０には、何らかの方法により不正プログラムがインストールされており、その不正プログラムは、インターネット等のネットワーク５を介して接続された攻撃側コンピュータ装置２０を宛先として送信情報を送信する。

ネットワーク機器１５は、被攻撃側コンピュータ装置１０と攻撃側コンピュータ装置２０との通信経路上の転送装置である。ネットワーク機器１５としては、例えば、スイッチングハブやルータ等が適用できる。例えば、ネットワーク機器１５は、被攻撃側コンピュータ装置１０が接続されている内部ＬＡＮと、攻撃側コンピュータ装置２０が接続されている外部のネットワーク５とを接続する。

攻撃側コンピュータ装置２０は、不正プログラムがインストールされた被攻撃側コンピュータ装置１０からネットワーク５を介して送信される送信情報を受信して、被攻撃側コンピュータ装置１０や、被攻撃側コンピュータ装置１０が接続される内部ＬＡＮ等についての情報を不正に取得しようとするコンピュータ装置である。

通信制御装置３０は、送信情報監視部３１と、不審通信判定部３２と、疑似情報生成部３３と、疑似情報送信部３４と、応答情報受信部３５とを備えている。
送信情報監視部３１は、被攻撃側コンピュータ装置１０が攻撃側コンピュータ装置２０を宛先として送信する送信情報を取得する。例えば、送信情報監視部３１は、ネットワーク機器１５から、攻撃側コンピュータ装置２０に対して転送される送信情報を取得する。送信情報監視部３１が送信情報を取得する方法と、その方法を用いた際の通信制御装置３０の配置の例としては、以下（Ａ１）、（Ａ２）、（Ａ３）の３つが考えられる。

（Ａ１）被攻撃側コンピュータ装置１０が送信情報監視部３１に情報を転送する機能を持つ方法。
例えば、被攻撃側コンピュータ装置１０にパケット転送アプリをインストールしておき、送信情報監視部３１に情報を転送する機能を持つ方法である。
この場合、ネットワーク内での通信制御装置３０の配置に制限はない。

（Ａ２）ネットワーク機器１５が送信情報監視部３１に情報を転送する機能を持つ方法。
例えば、ネットワーク機器１５は、自身が処理した全ての通信、もしくは指定した通信を送信情報監視部３１へ転送する。この転送には、以下の２つの方法がある。
（Ａ２−１）攻撃側コンピュータ装置２０からあるＩＰアドレス宛の通信をコピーして、送信情報監視部３１へ送る方法。攻撃側コンピュータ装置２０からあるＩＰアドレス宛の通信は、そのまま送信される。
（Ａ２−２）攻撃側コンピュータ装置２０からあるＩＰアドレス宛の通信を宛先を変えて、送信情報監視部３１へ送る方法。攻撃側コンピュータ装置２０からあるＩＰアドレス宛の通信は、消去される。
この場合、ネットワーク内での通信制御装置３０の配置に制限はない。

（Ａ３）攻撃側コンピュータ装置２０と、被攻撃側コンピュータ装置１０との間の通信経路上のネットワーク機器１５自体を通信制御装置３０とする方法。
ネットワーク機器１５自体に、送信情報監視部３１その他の通信制御装置３０が備える各機能部を実装し、ネットワーク機器１５が転送する情報を送信情報監視部３１が取得可能とする。
この場合、通信制御装置３０は、攻撃側コンピュータ装置２０と、被攻撃側コンピュータ装置１０との間の通信経路上のネットワーク機器内の実装に限定される。
本実施形態では、上記（Ａ２−１）の例で説明するが、他の方法をとってもよい。

上記（Ａ２）や（Ａ３）の方法においては、被攻撃側コンピュータ装置１０が接続された内部ＬＡＮと外部のネットワーク５とを接続する境界のネットワーク機器１５において、内部ＬＡＮから外部に対して転送される全ての送信情報を取得すれば、内部ＬＡＮに接続された全ての被攻撃側コンピュータ装置１０から送信される送信情報を監視することができる。あるいは、例えば、送信情報監視部３１は、監視対象である被攻撃側コンピュータ装置１０のＩＰアドレスを予め記憶しておき、被攻撃側コンピュータ装置１０から送信されたＩＰ（Internet Protocol）パケットである送信情報を取得すると、そのＩＰパケットのヘッダ部分に示されている送信元ＩＰアドレスと、予め記憶していた被攻撃側コンピュータ装置１０のＩＰアドレスとを比較して、一致する場合にはその送信情報を取得し、一致しない場合には監視対象でないとしてその送信情報を取得しないようにすることもできる。

不審通信判定部３２は、送信情報監視部３１が取得した送信情報が、所定の条件を満たすか否かを判定することにより、不審な通信による送信情報であるか否かを判定する。不審な通信による送信情報とは、例えば被攻撃側コンピュータ装置１０にインストールされた不正プログラムにより送信された送信情報をいう。例えば、不審通信判定部３２は、不審でない宛先のＩＰアドレスを示すホワイトリストを予め記憶しておき、送信情報監視部３１が取得した送信情報であるＩＰパケットのヘッダ部分に示されている宛先ＩＰアドレスが、ホワイトリストに含まれていない場合、不審であると判定し、含まれている場合、不審でないと判定することができる。

あるいは、不審通信判定部３２は、不審である宛先のＩＰアドレスを示すブラックリストを予め記憶しておき、送信情報監視部３１が取得した送信情報であるＩＰパケットのヘッダ部分に示されている宛先ＩＰアドレスが、ブラックリストに含まれている場合、不審であると判定し、含まれていない場合、不審でないと判定することができる。あるいは、不審通信判定部３２は、例えば、不正プログラムが送信する送信情報に含まれる特徴的な情報を予め記憶しておき、送信情報監視部３１が取得した送信情報であるＩＰパケットのデータ部分に、不正プログラムが送信する送信情報に含まれる特徴的な情報と一致した情報が含まれると判定した場合に不審であると判定することができる。不審通信判定部３２は、これらの判定を組み合わせることもできるし、この他にも、従来技術によるあらゆる判定方法を適用して、送信情報監視部３１が取得した送信情報が、不審な通信による送信情報であるか否かを判定することができる。

疑似情報生成部３３は、送信情報監視部３１が取得した送信情報が、不審通信判定部３２によって所定の条件を満たすと判定され、不審な通信であると判定された場合に、その送信情報を複製した疑似情報を生成する。本実施形態では、疑似情報生成部３３は、ＩＰパケットである送信情報のヘッダ部分に含まれる送信元を識別する送信元識別情報である送信元ＩＰアドレスに示される被攻撃側コンピュータ装置１０のＩＰアドレスを、他のＩＰアドレスに書き換える。通信制御装置３０が書き換え後のＩＰアドレスを受信可能な仕組みとすることが望ましい。このような仕組みとして、例えば、以下（Ｂ１）、（Ｂ２）のような例が考えられる。

（Ｂ１）通信制御装置３０が予めストックしている通信制御装置３０以外のＩＰアドレスで送信元ＩＰアドレスを書き換え、各ネットワーク機器１５が、ストックされたＩＰアドレス宛のパケットは通信制御装置３０に転送するよう設定しておく。この場合、ネットワーク機器１５は、予めストックされたＩＰアドレスを記憶しておく。
（Ｂ２）通信制御装置３０自体のＩＰアドレスを送信元ＩＰとして使う。この場合、疑似情報生成部３３は、被攻撃側コンピュータ装置１０から送信されるＩＰパケットの送信元ＩＰアドレスを自装置のＩＰアドレスに書き換えたＩＰパケットを、疑似情報として生成する。このようにすれば、各ネットワーク機器１５に特別な転送規則を追加せずとも通信制御装置３０が受信可能となる。

このように、被攻撃側コンピュータ装置１０から送信されるＩＰパケットの送信元ＩＰアドレスを他のＩＰアドレスに書き換えた疑似情報により、不正な通信に対する対策を行うことができる。例えば、偽のＩＰアドレスの情報を攻撃者に与えて、攻撃者を撹乱することによって、攻撃者の情報収集を妨害することができる。
すなわち、疑似情報生成部３３で生成された送信情報を複製して送信元ＩＰアドレスを書き換えた疑似情報を攻撃側コンピュータ装置２０に送信することにより、攻撃を撹乱することができる。撹乱の内容としては、例えば、攻撃側コンピュータ装置２０のプログラムが正常に動作しない可能性を高めることができる。さらに、被攻撃側コンピュータ装置１０が多数ある様に見えるために、被攻撃側コンピュータ装置１０のＩＰアドレスを特定する確率が下がり、攻撃者が被攻撃側コンピュータ装置１０上で不正プログラムが正常に動作しているかどうか不審に感じるように仕向け、被攻撃側コンピュータ装置１０を攻撃対象として選定しないと判断させることができる。

疑似情報送信部３４は、疑似情報生成部３３が生成した疑似情報を、攻撃側コンピュータ装置２０を宛先として送信する。これにより、被攻撃側コンピュータ装置１０の不正プログラムから送信された送信情報と類似した疑似情報が、攻撃側コンピュータ装置２０に対して複数送信されることになる。すなわち、被攻撃側コンピュータ装置１０が送信した、送信元ＩＰアドレスが被攻撃側コンピュータ装置１０である送信情報と、通信制御装置３０が送信した、送信元ＩＰアドレスが被攻撃側コンピュータ装置１０以外のＩＰアドレスである疑似情報とが、攻撃側コンピュータ装置２０に対して送信される。したがって、実際には不正プログラムがインストールされている被攻撃側コンピュータ装置１０は１台であるにも関わらず、攻撃側コンピュータ装置２０には、送信情報と疑似情報とが送信されてくるため、不正に情報を取得しようとする攻撃者を撹乱することができる。これにより、不正プログラムを用いて不正に情報を得ようとする攻撃者にとって、情報を解析することを困難にすることができ、不正に情報を取得される可能性を減らすことができる。
応答情報受信部３５は、疑似情報送信部３４が攻撃側コンピュータ装置２０に送信した疑似情報に応じて攻撃側コンピュータ装置２０から送信される応答や、被攻撃側コンピュータ装置１０から攻撃側コンピュータ装置２０に送信した不審であると判定された送信情報に対する応答を受信する。

次に、図面を参照して、本実施形態による通信制御装置３０の動作例を説明する。図２は、本実施形態による通信制御装置３０の動作例を示すシーケンス図である。
ここでは、被攻撃側コンピュータ装置１０のＩＰアドレスをＡとし、被攻撃側コンピュータ装置１０以外のあるＩＰアドレスをＢとし、攻撃側コンピュータ装置２０のＩＰアドレスをＸとして例を説明する。ここでは上記（Ｂ２）の仕組みを適用した例を示すが、上述した他の仕組みを適用することもできる。ＩＰアドレス（Ｂ）は、通信制御装置３０が受信可能なＩＰアドレス（例えば、通信制御装置３０のＩＰアドレスや通信制御装置３０が属するＩＰセグメント内のＩＰアドレス）とすることができる。通信制御装置３０の送信情報監視部３１が、被攻撃側コンピュータ装置１０と攻撃側コンピュータ装置２０との通信と、ＩＰアドレス（Ｂ）と攻撃側コンピュータ装置２０との間の通信の双方を傍受可能である場合、ＩＰアドレス（Ｂ）は任意である。

まず、被攻撃側コンピュータ装置１０の不正プログラムは、攻撃側コンピュータ装置２０を宛先とする送信情報を送信する。ここでは、送信元ＩＰアドレスをＡとし、宛先ＩＰアドレスをＸとする送信情報であるＳＹＮパケットａを送信する（ステップＳ１）。通信制御装置３０の送信情報監視部３１は、被攻撃側コンピュータ装置１０から送信される送信情報を監視し、ステップＳ１において送信されたＳＹＮパケットａを取得する（ステップＳ２）。不審通信判定部３２が、送信情報監視部３１が取得した送信情報が所定の条件を満たすか否かを判定し、所定の条件を満たし不審であると判定すると、疑似情報生成部３３は、送信情報監視部３１が取得したＳＹＮパケットａのヘッダ部分における送信元ＩＰアドレスを、被攻撃側コンピュータ装置１０以外のＩＰアドレス（Ｂ）に書き換えた疑似情報であるＳＹＮパケットａ´を生成する。疑似情報送信部３４は、疑似情報生成部３３が生成した疑似情報を攻撃側コンピュータ装置２０に送信する（ステップＳ３）。

攻撃側コンピュータ装置２０は、ステップＳ１において被攻撃側コンピュータ装置１０から送信されたＳＹＮパケットａを受信すると、応答としてＳＹＮ／ＡＣＫパケットｂを被攻撃側コンピュータ装置１０に送信する（ステップＳ４）。同様に、攻撃側コンピュータ装置２０は、ステップＳ３において通信制御装置３０から送信されたＳＹＮパケットａ´を受信すると、応答としてＳＹＮ／ＡＣＫパケットｂ´を、ＩＰアドレス（Ｂ）を宛先として送信する（ステップＳ５）。被攻撃側コンピュータ装置１０は、攻撃側コンピュータ装置２０から送信されたＳＹＮ／ＡＣＫパケットｂを受信すると、ＡＣＫパケットｃを攻撃側コンピュータ装置２０に送信する（ステップＳ６）。通信制御装置３０は、攻撃側コンピュータ装置２０から送信されたＳＹＮ／ＡＣＫパケットｂ´を受信すると、ＡＣＫパケットｃ´を攻撃側コンピュータ装置２０に送信する（ステップＳ７）。

このようにして被攻撃側コンピュータ装置１０と攻撃側コンピュータ装置２０、通信制御装置３０と攻撃側コンピュータ装置２０のセッションが確立すると、被攻撃側コンピュータ装置１０の不正プログラムは、送信元ＩＰアドレスをＡとし、宛先ＩＰアドレスをＸとし、データ部分にデータｄ１を含むデータパケットｄを、攻撃側コンピュータ装置２０に送信する（ステップＳ８）。通信制御装置３０の送信情報監視部３１は、被攻撃側コンピュータ装置１０から送信されるデータパケットｄを取得する（ステップＳ９）。疑似情報生成部３３は、送信情報監視部３１が取得したデータパケットｄのヘッダ部分における送信元ＩＰアドレスを、ＩＰアドレス（Ｂ）に書き換えたデータパケットであるデータパケットｄ´を生成する。疑似情報送信部３４は、疑似情報生成部３３が生成したデータパケットｄ´を攻撃側コンピュータ装置２０に送信する（ステップＳ１０）。ここで、通信制御装置３０には不正プログラムがインストールされていないため、通信制御装置３０は、被攻撃側コンピュータ装置１０が行っている通信の真似をして通信し、攻撃側コンピュータ装置２０に対して、あたかも不正プログラムがインストールされたもう１台の通信装置が存在するかのようにみせかけることができる。

攻撃側コンピュータ装置２０は、ステップＳ８において被攻撃側コンピュータ装置１０から送信されたデータパケットｄを受信すると、ＡＣＫパケットｅを被攻撃側コンピュータ装置１０に送信する（ステップＳ１１）。同様に、攻撃側コンピュータ装置２０は、ステップＳ１０において通信制御装置３０から送信されたデータパケットｄ´を受信すると、ＡＣＫパケットｅ´を通信制御装置３０に送信する（ステップＳ１２）。被攻撃側コンピュータ装置１０が、攻撃側コンピュータ装置２０から送信されたＡＣＫパケットｅを受信すると、被攻撃側コンピュータ装置１０の不正プログラムは、送信元ＩＰアドレスをＡとし、宛先ＩＰアドレスをＸとし、データ部分にデータｄ２を含むデータパケットｆを、攻撃側コンピュータ装置２０に送信する（ステップＳ１３）。通信制御装置３０の送信情報監視部３１は、被攻撃側コンピュータ装置１０から送信されるデータパケットｆを取得する（ステップＳ１４）。疑似情報生成部３３は、送信情報監視部３１が取得したデータパケットｆのヘッダ部分における送信元ＩＰアドレスを、ＩＰアドレス（Ｂ）に書き換えたデータパケットｆ´を生成する。疑似情報送信部３４は、疑似情報生成部３３が生成したデータパケットｆ´を攻撃側コンピュータ装置２０に送信する（ステップＳ１５）。

攻撃側コンピュータ装置２０は、ステップＳ１３において被攻撃側コンピュータ装置１０から送信されたデータパケットｆを受信すると、ＡＣＫパケットｇを被攻撃側コンピュータ装置１０に送信する（ステップＳ１６）。同様に、攻撃側コンピュータ装置２０は、ステップＳ１５において通信制御装置３０から送信されたデータパケットｆ´を受信すると、ＡＣＫパケットｇ´を通信制御装置３０に送信する（ステップＳ１７）。

このように、攻撃側コンピュータ装置２０と被攻撃側コンピュータ装置１０との間や、攻撃側コンピュータ装置２０と通信制御装置３０との間の３ウェイハンドシェイクが終了し、セッションが確立した後のデータ通信の段階において、通信制御装置３０は、予め設定されたルールに従い、両装置間の通信タイミングに沿った擬似パケットの生成、送信処理を行う。

この際、例えば、被攻撃側コンピュータ装置１０から攻撃側コンピュータ装置２０へ送信したデータパケットの応答パケットにあたる、攻撃側コンピュータ装置２０から被攻撃側コンピュータ装置１０へ送信されるＡＣＫパケットｇよりも、通信制御装置３０から攻撃側コンピュータ装置２０へ送信したデータパケットの応答パケットにあたる、攻撃側コンピュータ装置２０から通信制御装置３０へ送信されるＡＣＫパケットｇ´の方が早く届いた場合、通信制御装置３０は、あらかじめ通信制御装置３０に設定されたルールにしたがって、以下（Ｃ１）、（Ｃ２）の２通りの処理のうち、一方の処理を選択して処理する。

（Ｃ１）同期（Ｗａｉｔ）設定の場合
通信制御装置３０は、被攻撃側コンピュータ装置１０から攻撃側コンピュータ装置２０への送信情報（データパケット）の送信タイミングにあわせて、この送信情報を取得して複製し、複製した送信情報の一部を書き換えるなどして擬似情報（加工されたデータパケット）を生成し、攻撃側コンピュータ装置２０へ送信する。したがって、被攻撃側コンピュータ装置１０から攻撃側コンピュータ装置２０へ送信する送信情報と、通信制御装置３０から攻撃側コンピュータ装置２０へ送信する擬似情報は同期する。
もし、被攻撃側コンピュータ装置１０から攻撃側コンピュータ装置２０へ送信情報が送信される前に、攻撃側コンピュータ装置２０から通信制御装置３０へ送信されるＡＣＫパケットのほうが早く届いた場合、通信制御装置３０は、被攻撃側コンピュータ装置１０から攻撃側コンピュータ装置２０へ送信情報が送信されるまで、擬似情報の生成、送信などの処理を一旦保留する。
通信制御装置３０は、被攻撃側コンピュータ装置１０から攻撃側コンピュータ装置２０へ送信情報が送信されたならば、その送信情報を取得して複製し、複製した送信情報の一部を書き換えるなどして擬似情報を生成する。生成した擬似情報は、攻撃側コンピュータ装置２０へ送信される。

（Ｃ２）非同期設定の場合
被攻撃側コンピュータ装置１０から攻撃側コンピュータ装置２０へ送信情報が送信されるタイミングにかかわらず、通信制御装置３０は、攻撃側コンピュータ装置２０から通信制御装置３０へＡＣＫパケットが届いたら、擬似情報を生成し、攻撃側コンピュータ装置２０へ送信する。
つまり、セッションが確立した後のデータ通信の段階では、被攻撃側コンピュータ装置10から攻撃側コンピュータ装置２０へ送信する送信情報と、通信制御装置３０から攻撃側コンピュータ装置２０へ送信する擬似情報は非同期で通信される。

このとき、擬似情報は、例えば以下の方法を用いて生成する。
・既に取得してある送信情報の一部を書き換えるなどして擬似情報を生成する。
・予め通信制御装置３０に設定されたルールやアルゴリズムにしたがって生成する。
・０や１など、特定のデータで埋めた擬似情報を生成する。
・ランダムなデータで構成された疑似情報を生成する。

そして、被攻撃側コンピュータ装置１０の不正プログラムは、送信元ＩＰアドレスをＡとし、宛先ＩＰアドレスをＸとするＦＩＮパケットｈを、攻撃側コンピュータ装置２０に送信する（ステップＳ１８）。通信制御装置３０の送信情報監視部３１は、被攻撃側コンピュータ装置１０から送信されるＦＩＮパケットｈを取得する（ステップＳ１９）。疑似情報生成部３３は、送信情報監視部３１が取得したＦＩＮパケットｈのヘッダ部分における送信元ＩＰアドレスを、ＩＰアドレス（Ｂ）に書き換えたＦＩＮパケットｈ´を生成する。疑似情報送信部３４は、疑似情報生成部３３が生成したＦＩＮパケットｈ´を攻撃側コンピュータ装置２０に送信する（ステップＳ２０）。

攻撃側コンピュータ装置２０は、ステップＳ１８において被攻撃側コンピュータ装置１０から送信されたＦＩＮパケットｈを受信すると、ＦＩＮ／ＡＣＫパケットｉを被攻撃側コンピュータ装置１０に送信する（ステップＳ２１）。同様に、攻撃側コンピュータ装置２０は、ステップＳ２０において通信制御装置３０から送信されたＦＩＮパケットｈ´を受信すると、ＦＩＮ／ＡＣＫパケットｉ´を通信制御装置３０に送信する（ステップＳ２２）。被攻撃側コンピュータ装置１０は、攻撃側コンピュータ装置２０から送信されたＦＩＮ／ＡＣＫパケットｉを受信すると、ＡＣＫパケットｊを攻撃側コンピュータ装置２０に送信する（ステップＳ２３）。通信制御装置３０は、攻撃側コンピュータ装置２０から送信されたＦＩＮ／ＡＣＫパケットｉ´を受信すると、ＡＣＫパケットｊ´を攻撃側コンピュータ装置２０に送信する（ステップＳ２４）。

以上説明したように、本実施形態によれば、被攻撃側コンピュータ装置１０の不正プログラムから送信される送信情報が、通信制御装置３０によって複製され、攻撃側コンピュータ装置２０に対して送信情報と疑似情報とが送信される。これにより、実際に不正プログラムがインストールされ送信情報を送信しているのは被攻撃側コンピュータ装置１０だけであるにも関わらず、複数のＩＰパケットが攻撃側コンピュータ装置２０に送信されることになる。したがって、攻撃側コンピュータ装置２０に対して送信される送信情報を収集する攻撃者は、送信情報と疑似情報との選別や価値の評価が難しくなる。また、攻撃側コンピュータ装置２０に送信される情報量が多くなるため、攻撃者が全ての送信情報を解析することが困難になる。このようにして、不正プログラムによる攻撃者による攻撃行動を妨害することができる。

またここで、例えば従来技術におけるハニーポットの仕組みをクライアント側に応用し、内部ＬＡＮ内の複数の通信装置に、囮としてわざと不正プログラムをインストールさせて、攻撃側コンピュータ装置２０に対して送信情報を送信させるようなことも考えられる。ただしこの場合、囮の被攻撃側コンピュータ装置１０を用意しなければならないとともに、囮の被攻撃側コンピュータ装置１０に不正プログラムをインストールするため、囮による攻撃行動の妨害を行った後には、被攻撃側コンピュータ装置１０にＯＳ（Operating System）等を再インストールする等の安全処置のための作業が必要になる。これに対し、本実施形態によれば、実際に通信装置に不正プログラムをインストールさせなくても、実際に不正プログラムが送信する送信情報と同様のふるまいの通信を疑似的に行うことができる。

また、近年のウィルスなどの不正プログラムによる高度な攻撃は、攻撃の通信に気付かせないように通常の通信と同様の形式で行われ、かつ通信量が少ない場合がある。このため、被攻撃側コンピュータ装置１０から外部のネットワーク５に送信される送信情報が不審通信であるか否かを判定することが難しく、通信を遮断できない場合がある。そこで、不審であることを判断できない通信は、すぐに遮断せずに通信させるが、本実施形態によれば、送信先が攻撃者の攻撃側コンピュータ装置２０である場合にその処理を妨害したり、攻撃者による情報の分析や評価を妨害したりすることができ、被害の発生を最小限に抑えることが可能となる。また、本実施形態によれば、複数のＩＰパケットが攻撃側コンピュータ装置２０に対して送信されるものの、実際に外部に送信される情報内容の実体は通信制御装置３０から送信される、存在しないコンピュータの欺瞞情報（疑似情報）のみであるため、そのコンピュータにウィルスが感染したり、そのコンピュータが乗っ取られて悪用されるなどの不測の被害が発生する可能性も低い。このように、本実施形態によれば、安価に、効率よく攻撃行動の妨害をすることができ、複数台の囮のコンピュータを用意する必要がなく、リソースが少なくて済むため、同時に大量の運用も可能である。

なお、本実施形態では、送信情報監視部３１が取得した送信情報の送信元ＩＰアドレスを書き換えた疑似情報を攻撃側コンピュータ装置２０に送信することとしたが、送信情報監視部３１が取得した送信情報の複製を、送信元ＩＰアドレス等の書き換えを行わずに、そのまま疑似情報として攻撃側コンピュータ装置２０に送信することとしてもよい。この場合、攻撃側コンピュータ装置２０には、被攻撃側コンピュータ装置１０を送信元として、攻撃者側が想定するよりも多い数の情報が送信される。このため、攻撃側コンピュータ装置２０上で動作する攻撃用プログラムが正常に動作しなくなる可能性や、被攻撃側コンピュータ装置１０の動作が一般的ではない様にみえるため、攻撃者が、被攻撃側コンピュータ装置１０の不正プログラムが正常に動作しているのか不審に考える可能性があり、攻撃者を撹乱することができる。

なお、通信制御装置３０の疑似情報生成部３３は、送信情報監視部３１が取得した送信情報の送信元ＩＰアドレスを、通信制御装置３０のＩＰアドレスや、他の装置のＩＰアドレス、架空のＩＰアドレス等に書き換えることもできる。あるいは、疑似情報送信部３４は、それぞれ異なる複数のＩＰアドレスに書き換えた複数（例えば、１０個）の疑似情報を攻撃側コンピュータ装置２０に送信することもできる。疑似情報生成部３３は、複数のＩＰアドレスを予め設定しておき、その複数のＩＰアドレスの中から必要なＩＰアドレスを取り出して利用することもできる。このようにすれば、より攻撃者を撹乱することができる。

＜第２の実施形態＞
次に、本発明の第２の実施形態を説明する。第１の実施形態では、通信制御装置３０の送信情報監視部３１が取得したＩＰパケットが、不審通信判定部３２によって不審な通信であると判定された場合、疑似情報生成部３３は、ＩＰパケットの送信元ＩＰアドレスを他のＩＰアドレスに書き換えた疑似情報を生成する例を示した。これに対し、本実施形態では、ＩＰパケットの送信元ＩＰアドレスを書き換えるのみならず、ＩＰパケットのデータ部分の内容を他のデータに書き換えた疑似情報を生成し、攻撃側コンピュータ装置２０に送信する。送信情報のうち、攻撃側コンピュータ装置２０へ通信が届かなくなるような影響のある部分を除き、送信情報のさまざまな部分を書き換える事によって、攻撃側コンピュータ装置２０および攻撃者を撹乱できる。

このようにすれば、通信制御装置３０がデータ部分の異なる複数の擬似情報を生成し、攻撃側コンピュータ装置２０へ送信した場合、攻撃側コンピュータ装置２０は、その異なる複数の擬似情報を処理して、その処理結果を通信制御装置３０へ送信する。通信制御装置３０は、攻撃側コンピュータ装置２０がデータ部分の異なる複数の擬似情報に対応して出力した複数の結果を取得することができる。すなわち、攻撃側コンピュータ装置２０からの応答サンプル数が増えるため、攻撃側コンピュータ装置２０において攻撃のために使用している不正プログラムのふるまいやその不正プログラムのコマンドの種類等を調査することができる。このようなファジング手法を用いて、攻撃側が使用している不正プログラムの解析を行うことが可能となる。

図３は、本実施形態による通信制御装置３０の構成を示すブロック図である。本実施形態の攻撃側コンピュータ装置２０の構成は第１の実施形態と同様であるが、第１の実施形態の攻撃側コンピュータ装置２０が備える処理部に加えて、分析部３６を備えている。
分析部３６は、疑似情報送信部３４が攻撃側コンピュータ装置２０に対して送信した送信情報に対して攻撃側コンピュータ装置２０から送信される応答を応答情報受信部３５が受信すると、応答情報受信部３５が受信した情報を分析する。

図４は、本実施形態による通信制御装置３０の動作概要を示す図である。
第１の実施形態と同様にして、被攻撃側コンピュータ装置１０と攻撃側コンピュータ装置２０、通信制御装置３０と攻撃側コンピュータ装置２０のセッションが確立すると、被攻撃側コンピュータ装置１０の不正プログラムは、送信元ＩＰアドレスをＡとし、宛先ＩＰアドレスをＸとし、データ部分にデータｄ１を含むデータパケットを、攻撃側コンピュータ装置２０に送信する（ステップＳ３１）。通信制御装置３０の送信情報監視部３１は、被攻撃側コンピュータ装置１０から送信されるデータパケットを取得する（ステップＳ３２）。疑似情報生成部３３は、送信情報監視部３１が取得した送信情報のヘッダ部分における送信元ＩＰアドレスを、被攻撃側コンピュータ装置１０以外のＩＰアドレス（Ｂ、Ｃ、Ｄ）に書き換え、さらに、データｄ１をデータｄ１´、データｄ１´´、データｄ１´´´に書き換えたデータパケットである疑似情報を生成する。ここで、データｄ１´、データｄ１´´、データｄ１´´´は、例えば、予め記憶していたなんらかの情報でもよいし、予め記憶している規則とデータｄ１に基づいて生成してもよい。例えば、データｄ１を所定の数ビット数（例えば、１ビット）ずらした情報でもよいし、データｄ１に所定の乱数を乗じて生成した情報でもよい。

疑似情報送信部３４は、疑似情報生成部３３によって生成された複数の疑似情報を、攻撃側コンピュータ装置２０に送信する（ステップＳ３３〜Ｓ３５）。攻撃側コンピュータ装置２０は、ステップＳ３１において被攻撃側コンピュータ装置１０から送信されたデータパケットを受信すると、データ部分に応答ｒ１を含む応答パケットを被攻撃側コンピュータ装置１０に送信する（ステップＳ３６）。また、攻撃側コンピュータ装置２０は、ステップＳ３３〜Ｓ３５において通信制御装置３０から送信されたデータパケットのそれぞれの内容に応じて、応答ｒ１´、応答ｒ１´´、応答ｒ１´´´をそれぞれに含む応答パケットを、書き換え後のＩＰアドレス（Ｂ、Ｃ、Ｄ）を宛先として送信する（ステップＳ３７〜３９）。ここでは、攻撃側コンピュータ装置２０は、送信されるデータパケットの内容に応じて応答パケットを送信することを想定して説明したが、データパケットの内容が異なっても同じ応答を返す場合があっても良い。

このようにすれば、不正プログラムから攻撃側コンピュータ装置２０に送信するデータと、通信制御装置３０から攻撃側コンピュータ装置２０に送信するデータが異なる場合に、攻撃側コンピュータ装置２０からどのような応答が送信されるかを調査することができ、攻撃側の調査、分析を行うことができる。
また、近年のウィルスなどの不正プログラムによる高度な攻撃は、攻撃の通信に気付かせないように通信量が少ない場合がある。このため、被攻撃側コンピュータ装置１０と攻撃側コンピュータ装置２０の間で送受信される情報から、不審な通信であるか否かを判断したり、攻撃側コンピュータ装置２０から送付される情報から、その攻撃方法を解析したりすることが難しくなってきている。そこで、疑わしい通信については、本実施形態のように様々なバリエーションの疑似情報を変化させて送信し、宛先の攻撃側コンピュータ装置がそれに対応して応答してきた複数パターンの通信内容から、不正な通信であるか否かを判定しやすくすることができる。また、攻撃側のサーバがＣ＆Ｃ（Command and Control）サーバである場合は、そのふるまいや使用されているコマンドを調査することが可能になる。

以上説明したように、通信制御装置３０の疑似情報生成部３３が、被攻撃側コンピュータ装置１０が送信する送信情報の少なくとも一部を書き換えて疑似情報を生成し、攻撃側コンピュータ装置２０に対して送信することにより、攻撃者を錯乱することに加えて、攻撃者の分析に必要な情報を取得することができる。ここで、送信情報の少なくとも一部とは、例えば送信元ＩＰアドレスでもよく、データ部分でもよく、その双方でもよい。

＜第３の実施形態＞
次に、本発明の第３の実施形態を説明する。第１の実施形態では、被攻撃側コンピュータ装置１０の不正プログラムが攻撃側コンピュータ装置２０に送信情報を送信する処理と並行して、通信制御装置３０が攻撃側コンピュータ装置２０に疑似情報を送信する例を示した。これに対し、本実施形態では、被攻撃側コンピュータ装置１０が攻撃側コンピュータ装置２０とのセッションを確立し、データの含まれる送信情報を送信し始めた後に、通信遮断部３７が、不審通信判定部３２からの指示に基づいて被攻撃側コンピュータ装置１０から攻撃側コンピュータ装置２０への通信を遮断し、通信制御装置３０が被攻撃側コンピュータ装置１０に代わって攻撃側コンピュータ装置２０と通信する。これにより、標的型攻撃などの不正な通信が行われていても、すぐにその通信を完全に遮断せずに通信を継続させておき、攻撃側コンピュータ装置２０から送信される応答情報を収集したり、監視したりすることができる。

図５は、本実施形態による通信制御装置３０の構成を示すブロック図である。本実施形態の攻撃側コンピュータ装置２０の構成は第１の実施形態と同様であるが、第１の実施形態の攻撃側コンピュータ装置２０が備える処理部に加えて、通信遮断部３７を備えている。
通信遮断部３７は、不審通信判定部３２からの指示に基づいて、被攻撃側コンピュータ装置１０と攻撃側コンピュータ装置２０との通信を遮断する。例えば、送信情報監視部３１は、被攻撃側コンピュータ装置１０から攻撃側コンピュータ装置２０への送信情報を取得して不審通信判定部３２に渡し、不審通信判定部３２が、その送信情報に予め設定された情報が含まれており、かつその通信が所定回数（例えば、２回）送信されると、不審通信判定部３２は、遮断の条件を満たしたと判定し、通信遮断部３７へ被攻撃側コンピュータ装置１０から攻撃側コンピュータ装置２０への通信を遮断するよう指示する。これにより、通信遮断部３７は、被攻撃側コンピュータ装置１０から攻撃側コンピュータ装置２０への通信を遮断する。通信遮断部３７が、被攻撃側コンピュータ装置１０から攻撃側コンピュータ装置２０への通信を遮断する方法として、例えば、以下（Ｄ１）、（Ｄ２）のような例が考えられる。

（Ｄ１）通信遮断部３７は、攻撃側コンピュータ装置２０から被攻撃側コンピュータ装置１０へ向けて送信したように見せかけたＦＩＮパケットを送信し、被攻撃側コンピュータ装置１０から攻撃側コンピュータ装置２０へ張られた通信を遮断する。この時、通信遮断部３７は、被攻撃側コンピュータ装置１０から攻撃側コンピュータ装置２０へＦＩＮ／ＡＣＫパケットが送信されたことを検知し、攻撃側コンピュータ装置２０から被攻撃側コンピュータ装置１０へ向けて送信したように見せかけたＡＣＫパケットも送信する。

この際、攻撃側コンピュータ装置２０は、被攻撃側コンピュータ装置１０へＦＩＮパケットを送信していない状態なので、被攻撃側コンピュータ装置１０が攻撃側コンピュータ装置２０へＦＩＮ／ＡＣＫパケットを送信し、攻撃側コンピュータ装置２０がこれを受信しても、正規のプロトコルに沿っていないため、ＴＣＰセッションは終了されず、継続されると考えられる。したがって、被攻撃側コンピュータ装置１０から攻撃側コンピュータ装置２０へ向けて送信されたＦＩＮ／ＡＣＫパケットを攻撃側コンピュータ装置２０へ届かないように遮断する必要はないと考えられる。

（Ｄ２）被攻撃側コンピュータ装置１０と攻撃側コンピュータ装置２０との間のどこかにあるネットワーク機器１５、もしくは被攻撃側コンピュータ装置１０の上で動作しているファイヤーウォールなどの通信を制御するソフトウェアをコントロールして、被攻撃側コンピュータ装置１０と攻撃側コンピュータ装置２０の間の通信を遮断する。
あるいは、ネットワーク機器１５が、ＯｐｅｎＦｌｏｗに対応した機器である場合は、被攻撃側コンピュータ装置１０と攻撃側コンピュータ装置２０との間の通信の経路を強制的に変更し、攻撃側コンピュータ装置２０から被攻撃側コンピュータ装置１０への通信を通信制御装置３０のみへ届くように経路を変更する。被攻撃側コンピュータ装置１０から攻撃側コンピュータ装置２０への通信は遮断する。

本実施形態の疑似情報送信部３４は、通信遮断部３７が被攻撃側コンピュータ装置１０と攻撃側コンピュータ装置２０との通信を遮断するまでは、疑似情報を送信しない。本実施形態の疑似情報送信部３４は、通信遮断部３７が被攻撃側コンピュータ装置１０と攻撃側コンピュータ装置２０との通信を遮断させた後に、攻撃側コンピュータ装置２０を宛先として疑似情報を送信する。
疑似情報生成部３３は、被攻撃側コンピュータ装置１０が攻撃側コンピュータ装置２０に対して送信した送信情報を複製して疑似情報として記憶しておく。また、疑似情報生成部３３は、送信情報を複製した後にデータ部分を変更した疑似情報を生成して、自身の記憶領域に記憶させてもよい。そして、疑似情報送信部３４は、疑似情報生成部３３が記憶している疑似情報を、攻撃側コンピュータ装置２０に送信する。

次に、図面を参照して、本実施形態による通信制御装置３０の動作例を説明する。図６は、本実施形態による通信制御装置３０の動作例を示すシーケンス図である。
第１の実施形態と同様に、被攻撃側コンピュータ装置１０の不正プログラムは、攻撃側コンピュータ装置２０を宛先とするＳＹＮパケットである送信情報を送信する（ステップＳ４１）。攻撃側コンピュータ装置２０は、被攻撃側コンピュータ装置１０から送信されたＳＹＮパケットを受信すると、応答としてＳＹＮ／ＡＣＫパケットを被攻撃側コンピュータ装置１０に送信する（ステップＳ４２）。被攻撃側コンピュータ装置１０は、攻撃側コンピュータ装置２０から送信されたＳＹＮ／ＡＣＫパケットを受信すると、ＡＣＫパケットを攻撃側コンピュータ装置２０に送信する（ステップＳ４３）。

被攻撃側コンピュータ装置１０と攻撃側コンピュータ装置２０とのセッションが確立すると、被攻撃側コンピュータ装置１０の不正プログラムは、送信元ＩＰアドレスをＡとし、宛先ＩＰアドレスをＸとし、データ部分にデータｄ１を含むデータパケットを、攻撃側コンピュータ装置２０に送信する（ステップＳ４４）。通信制御装置３０の送信情報監視部３１は、被攻撃側コンピュータ装置１０から送信されるデータパケットを取得する（ステップＳ４５）。疑似情報生成部３３は、送信情報監視部３１が取得した送信情報を複製して疑似情報を生成し、自身の記憶領域に記憶させる。攻撃側コンピュータ装置２０は、被攻撃側コンピュータ装置１０から送信されたデータパケットを受信すると、応答パケットを被攻撃側コンピュータ装置１０に送信する（ステップＳ４６）。

被攻撃側コンピュータ装置１０が、攻撃側コンピュータ装置２０から送信された応答パケットを受信すると、被攻撃側コンピュータ装置１０の不正プログラムは、送信元ＩＰアドレスをＡとし、宛先ＩＰアドレスをＸとし、データ部分にデータｄ２を含むデータパケットを、攻撃側コンピュータ装置２０に送信する（ステップＳ４７）。通信制御装置３０の送信情報監視部３１が、被攻撃側コンピュータ装置１０から送信されるデータパケットを取得し、疑似情報生成部３３が、データパケットを複製して自身の記憶領域に記憶させる（ステップＳ４８）。通信遮断部３７が被攻撃側コンピュータ装置１０から攻撃側コンピュータ装置２０への通信を遮断するまで、送信情報監視部３１はデータパケットを取得し、疑似情報生成部３３がデータパケットを複製して自身の記憶領域に記憶させる。不審通信判定部３２は、遮断の条件を満たしたと判定したときに、通信遮断部３７へ被攻撃側コンピュータ装置１０から攻撃側コンピュータ装置２０への通信の遮断を指示する。

通信遮断部３７は、被攻撃側コンピュータ装置１０から攻撃側コンピュータ装置２０へ送信される送信情報を遮断する。通信遮断部３７は、攻撃側コンピュータ装置２０から被攻撃側コンピュータ装置１０へ向けて送信したように見せかけたＦＩＮパケットを送信し（ステップＳ４９）、被攻撃側コンピュータ装置１０から攻撃側コンピュータ装置２０へ張られた通信を遮断する。ここで、通信制御装置３０は、ステップＳ４７において被攻撃側コンピュータ装置１０から送信されたＡＣＫパケットが攻撃側コンピュータ装置２０へ届かないように廃棄してもよい。

被攻撃側コンピュータ装置１０は、通信制御装置３０から送信されたＦＩＮパケットを受信すると、ＦＩＮ／ＡＣＫパケットを送信する（ステップＳ５０）。通信制御装置３０は、被攻撃側コンピュータ装置１０から送信されたＦＩＮ／ＡＣＫパケットを受信すると、ＡＣＫパケットを被攻撃側コンピュータ装置１０に送信し、被攻撃側コンピュータ装置１０の通信を終了させる（ステップＳ５１）。また、通信制御装置３０は、被攻撃側コンピュータ装置１０から送信されたＦＩＮ／ＡＣＫパケットが攻撃側コンピュータ装置２０へ届かないように廃棄してもよい。

一方、通信制御装置３０の通信遮断部３７が、ステップＳ４７において被攻撃側コンピュータ装置１０から送信されたデータパケットを遮断すると、疑似情報送信部３４は、疑似情報生成部３３に記憶されている疑似情報を読み出し、攻撃側コンピュータ装置２０に送信する（ステップＳ５２）。以後、疑似情報送信部３４は、攻撃側コンピュータ装置２０から送信される応答パケットを受信すると、疑似情報生成部３３に記憶されている疑似情報を読み出して送信する処理を繰り返す（ステップＳ５３〜Ｓ５７）。

以上説明したように、本実施形態によれば、被攻撃側コンピュータ装置１０と攻撃側コンピュータ装置２０との通信をしばらく継続させておき、これ以上通信を続けると危険であると不審通信判定部３２が判断した場合に、被攻撃側コンピュータ装置１０と攻撃側コンピュータ装置２０との通信を遮断するとともに、通信制御装置３０が攻撃側コンピュータ装置２０との通信を継続することができる。これにより、被攻撃側コンピュータ装置１０から送信される送信情報の量を制限することができるとともに、攻撃側に気付かれずに攻撃側コンピュータ装置２０から、被攻撃側コンピュータ装置１０のみが単純に攻撃側コンピュータ装置２０に情報を送信した場合よりも多い応答を得ることができ、より多くの情報を基にして攻撃型の分析を行うことができる。また、実際に被攻撃側コンピュータ装置１０の不正プログラムから送信された送信情報を複製して疑似情報として記憶しておいて送信するため、データ部分の複雑なデータ等を独自に生成することなく、送信情報と同様の情報を攻撃側コンピュータ装置２０に送信することができる。

このように、本実施形態によれば、内部ＬＡＮ内の通信装置に不正プログラムがインストールされた場合で、意図しない送信情報が外部に送信される場合でも、攻撃者を撹乱したり、漏えいする情報を低減したりすることができる。これにより、不正アクセス等による攻撃により機密情報が漏えいするリスクや、漏えいした情報に基づいて内部ＬＡＮの通信装置が乗っ取られたり、踏み台として利用されたりするリスクを低減することが可能となる。

なお、上述の実施形態では、１台のコンピュータ装置である通信制御装置３０が、送信情報監視部３１から通信遮断部３７のような処理部を備える例を示したが、これらの処理部は、複数台のコンピュータ装置に分散して構成することもできる。ただし、一般的に、１台の装置として構成した方が、各処理部の連携等の処理速度が速くなると考えられるため、早い処理速度が求められる場合には、１台で構成することが望ましいと考えられる。

なお、本発明における処理部の機能を実現するためのプログラムをコンピュータ読み取り可能な記録媒体に記録して、この記録媒体に記録されたプログラムをコンピュータシステムに読み込ませ、実行することにより通信制御を行ってもよい。なお、ここでいう「コンピュータシステム」とは、ＯＳや周辺機器等のハードウェアを含むものとする。また、「コンピュータシステム」は、インターネットやＷＡＮ、ＬＡＮ、専用回線等の通信回線を含むネットワークを介して接続された複数のコンピュータ装置を含んでもよい。また、「コンピュータ読み取り可能な記録媒体」とは、フレキシブルディスク、光磁気ディスク、ＲＯＭ、ＣＤ−ＲＯＭ等の可搬媒体、コンピュータシステムに内蔵されるハードディスク等の記憶装置のことをいう。さらに「コンピュータ読み取り可能な記録媒体」とは、ネットワークを介してプログラムが送信された場合のサーバやクライアントとなるコンピュータシステム内部の揮発性メモリ（ＲＡＭ）のように、一定時間プログラムを保持しているものも含むものとする。また、上記プログラムは、上述した機能の一部を実現するためのものであってもよい。さらに、上述した機能をコンピュータシステムにすでに記録されているプログラムとの組み合わせで実現できるもの、いわゆる差分ファイル（差分プログラム）であってもよい。

また、上述した機能の一部または全部を、ＬＳＩ（Ｌａｒｇｅ Ｓｃａｌｅ Ｉｎｔｅｇｒａｔｉｏｎ）等の集積回路として実現してもよい。上述した各機能は個別にプロセッサ化してもよいし、一部、または全部を集積してプロセッサ化してもよい。また、集積回路化の手法はＬＳＩに限らず専用回路、または汎用プロセッサで実現してもよい。また、半導体技術の進歩によりＬＳＩに代替する集積回路化の技術が出現した場合、当該技術による集積回路を用いてもよい。

１０ 被攻撃側コンピュータ装置
２０ 攻撃側コンピュータ装置
３０ 通信制御装置
３１ 送信情報監視部
３２ 不審通信判定部
３３ 疑似情報生成部
３４ 疑似情報送信部
３５ 応答情報受信部
３６ 分析部
３７ 通信遮断部

Claims (4)

1. ネットワークを介して接続された攻撃側コンピュータ装置を宛先として被攻撃側コンピュータ装置が送信する送信情報のパケットを取得する送信情報監視部と、
   前記送信情報監視部が取得した前記送信情報が、所定の条件を満たすと判定された場合に、当該送信情報のパケットを複製し、送信元アドレスを置き換えた少なくとも一つの疑似情報のパケットを生成する疑似情報生成部と、
   前記疑似情報生成部が生成した前記疑似情報のパケットを、前記攻撃側コンピュータ装置を宛先として送信する疑似情報送信部と、
   を備えることを特徴とする通信制御装置。
2. 前記被攻撃側コンピュータ装置と前記攻撃側コンピュータ装置との通信を遮断する通信遮断部と、
   応答情報受信部と
   を備え、
   前記疑似情報送信部は、所定の条件を満たすと判定された場合に、前記通信遮断部が前記被攻撃側コンピュータ装置と前記攻撃側コンピュータ装置との通信を遮断させた後に、前記疑似情報のパケットを前記攻撃側コンピュータ装置に送信し、
   前記応答情報受信部は、前記疑似情報のパケットに対する前記攻撃側コンピュータ装置からの応答を受信する
   ことを特徴とする請求項１に記載の通信制御装置。
3. 通信制御装置が、
   ネットワークを介して接続された攻撃側コンピュータ装置を宛先として被攻撃側コンピュータ装置が送信する送信情報のパケットを取得するステップと、
   取得した前記送信情報が、所定の条件を満たすと判定された場合に、当該送信情報のパケットを複製し、送信元アドレスを置き換えた少なくとも一つの疑似情報のパケットを生成するステップと、
   生成した前記疑似情報のパケットを、前記攻撃側コンピュータ装置を宛先として送信するステップと、
   を備えることを特徴とする通信制御方法。
4. 通信制御装置のコンピュータに、
   ネットワークを介して接続された攻撃側コンピュータ装置を宛先として被攻撃側コンピュータ装置が送信する送信情報のパケットを取得するステップと、
   取得した前記送信情報が、所定の条件を満たすと判定された場合に、当該送信情報を複製し、送信元アドレスを置き換えた少なくとも一つの疑似情報のパケットを生成するステップと、
   生成した前記疑似情報のパケットを、前記攻撃側コンピュータ装置を宛先として送信するステップと、
   を実行させる通信制御プログラム。

Images