JP6360221B1 - 通信制御装置、通信制御システム、通信制御方法及び通信制御プログラム - Google Patents

Abstract

【課題】セキュリティ製品が行う通信は遮断する一方、検体（マルウェア）が行う通信は疎通させる状態で当該セキュリティ製品に検体を検査させる。【解決手段】セキュリティ製品がインストールされている第１端末4と、セキュリティ製品がインストールされていない第２端末6と、第２端末6からの通信は全て通過させるように設定する接続設定手段（ファイアウォール10）と、第２端末6で検査対象の実行ファイル、すなわち検体を実行した際に当該端末から発出されたＩＰパケットの宛先ＩＰアドレスを記録してアドレスリストを生成するＩＰアドレス記録手段（ファイアウォール10）と、第１端末4を送信元とするＩＰパケットの内、アドレスリストに記録されていない宛先ＩＰアドレスのＩＰパケットは遮断する通信遮断手段（ファイアウォール10）と、第１端末4が、アドレスリストに記録されているＩＰアドレスへの通信を実行することで第１端末4にインストールされているセキュリティ製品42により検体が検知されるかどうかを判定する。【選択図】図１

Description

本発明は、通信制御装置、通信制御システム、通信制御方法及び通信制御プログラムに関する。

マルウェアは、コンピュータ利用者にとって好ましくない動作を行う悪意のあるソフトウェアの略称であり、ウィルスやスパイウェア、ワーム、ランサムウェア等種々のものが存在する。また、マルウェアには、セキュリティ対策製品がシグネチャによるパターンマッチングで検知することから、“既知のマルウェア”と、シグネチャによるパターンマッチングでは検知できない“未知のマルウェア”の２種類が存在する。

セキュリティ製品におけるマルウェアの検出には、シグネチャによるパターンマッチングが行われている。セキュリティ製品を利用した際の安全度を評価するにあたっては、どれだけのマルウェアがその製品にとって既知であるか（すなわち、シグネチャで検知できるか）を評価することも重要であるが、未知のマルウェアが続々と生成されている今日においては、シグネチャにマッチしない未知のマルウェアをその製品が検査した際の検知率を評価することが極めて重要である。

セキュリティ製品の評価を行う際に、シグネチャにマッチしない検体（マルウェア）を検査するときの検知率を評価したいなどの理由で、セキュリティ製品が外部に行う通信を遮断して検体の検査を実施したいことがある。一方で、セキュリティ製品がインストールされている端末からの通信自体は、セキュリティ製品が検体本来の挙動を観測できるように行わせたい場合がある。

従来、ウインドウズＯＳにおいては、外部通信の可否を実行ファイルごとに設定することが可能であるので、本機能を用いてセキュリティ製品の実行ファイルの外部通信を遮断することで上記課題を実現する方法がある。しかしながら、セキュリティ製品は多数の実行ファイルで構成されていることがある。かかる場合に、実行ファイルを漏れなく登録することが容易でない場合がある。また、検体（マルウェア）の実行によりウインドウズファイアウォールの通信制御が無効化されるおそれもある。

非特許文献１には、仮想マシン上で動作する各プロセスの通信を、仮想マシンを動作させているハイパーバイザから制御する例が開示されている。この例では、ハイパーバイザから通信を制御するので、検体の実行により通信制御が無効化されるおそれがない。反面、仮想マシン上で検体の実行を行うことになる。また、近年のマルウェアは仮想マシン上では悪性動作を行わなくなるものも存在するため、実際の検体を利用したセキュリティ製品の評価には適さない。

安積武志ら、「仮想マシンモニタによるきめ細かいパケットフィルタリング」、情報処理学会研究報告 、システムソフトウェアとオペレーティングシステム（OS）2010.12、pp1-7

本発明は上記事情に鑑み、セキュリティ製品が行う通信は遮断する一方、検体（マルウェア）が行う通信は疎通させた状態でのセキュリティ製品の検査を可能とする通信制御装置、通信制御システム、通信制御方法及び通信制御プログラムを提供することを目的としている。

上記目的を達成するための第１の態様は、ネットワークに配置され自身を経由する通信パケットを遮断する機能を有する通信制御装置であって、第１のＩＰアドレスと第２のＩＰアドレスが入力として与えられ、前記第２のＩＰアドレスを送信元とする通信パケットを受信した際には当該通信パケットの宛先ＩＰアドレスを記録してアドレスリストに追加するＩＰアドレス記録手段と、前記第１のＩＰアドレスを送信元とし、前記アドレスリストに含まれないＩＰアドレスを宛先とする通信パケットを受信した際には遮断する通信遮断手段と、を備えることを特徴とする通信制御装置である。

第２の態様は、通信制御装置とＤＮＳサーバとで構成される通信制御システムである。

第３の態様は、ネットワークに配置され自身を経由する通信パケットを遮断する機能を有する通信制御装置における通信制御方法であって、第１のＩＰアドレスと第２のＩＰアドレスが入力として与えられ、前記第２のＩＰアドレスを送信元とする通信パケットを受信した際には当該通信パケットの宛先ＩＰアドレスを記録してアドレスリストに追加し、前記第１のＩＰアドレスを送信元とし、前記アドレスリストに含まれないＩＰアドレスを宛先とする通信パケットを受信した際には遮断する、ことを特徴とする通信制御方法である。

第４態様は、ネットワークに配置され自身を経由する通信パケットを遮断する機能を有する通信制御装置とＤＮＳサーバとで構成される通信制御システムにおける通信制御方法であって、前記通信制御装置は、第１のＩＰアドレスと第２のＩＰアドレスが入力として与えられ、前記第２のＩＰアドレスを送信元とする通信パケットを受信した際には当該通信パケットの宛先ＩＰアドレスを記録してアドレスリストに追加し、前記第１のＩＰアドレスを送信元とし、前記アドレスリストに含まれないＩＰアドレスを宛先とする通信パケットを受信した際には遮断し、前記ＤＮＳサーバは、前記第２のＩＰアドレスを送信元とするＤＮＳクエリパケットを受信した際には当該クエリにおいて名前解決の対象であるドメインをドメインリストに記録し、前記第１のＩＰアドレスを送信元とし、かつ、ドメインリストに記載のドメインの名前解決を要求するＤＮＳクエリパケットを受信した際には、当該ドメインの名前解決を行って取得したＩＰアドレスを前記アドレスリストに加えることを明記したリクエストパケットを前記通信制御装置に送信し、前記通信制御装置は、前記リクエストパケットがあった場合には当該パケットにＩＰアドレスを前記アドレスリストに追加する、ことを特徴とする通信制御方法である。

第５の態様は、通信制御装置をコンピュータで構成するための通信制御プログラムである。

セキュリティ製品が行う通信は遮断する一方、検体（マルウェア）が行う通信は疎通させる状態で当該セキュリティ製品に検体を検査させることが可能になる。

本発明に係る通信制御装置が適用された第１実施形態の構成を示すブロック図である。 本発明に係る通信制御装置が適用された第１実施形態の動作を示すフローチャートである。 本発明に係る通信制御装置が適用された第２実施形態の構成を示すブロック図である。 本発明に係る通信制御装置が適用された第２実施形態の動作を示すフローチャートである。

＜第１実施形態＞
本発明に係る通信制御装置が適用された第１実施形態の通信制御装置２Ａは、第１端末４と、第２端末６と、インターネット８と、ファイアウォール１０とを備えている。

第１端末４は、ファイアウォール１０に接続され、評価対象となるセキュリティ製品４２がインストールされている端末である。

第２端末６は、ファイアウォール１０に接続され、セキュリティ製品がインストールされていない端末である。

ファイアウォール１０は、アクセス制御部１２と、宛先ＩＰアドレスリスト１４とを備えている。

アクセス制御部１２は、第２端末６からの通信は全て通過させるように設定する接続設定手段と、第２端末６から発出されたＩＰパケットの宛先ＩＰアドレスを記録してアドレスリストを生成するＩＰアドレス記録手段と、第１端末４を送信元とするＩＰパケットの内、アドレスリストに記録されていない宛先ＩＰアドレスのＩＰパケットは遮断する通信遮断手段とを有している。

宛先ＩＰアドレスリスト１４は、アクセス制御部１２によって作成され、第２端末６から送信された通信パケットに含まれる宛先ＩＰアドレスを記録したものであり、「ＩＰホワイトリスト」とも称する。

次に、第１実施形態の動作を図２のフローチャートを参照しつつ説明する。

先ず、セキュリティ製品がインストールされていない第２端末６上で検体を一定時間（１０分など）実行する。この処理では、検体の実行によって、第２端末６からインターネットに対して通信パケットを送信することがあり、その場合、当該通信パケットはファイアウォール１０で観測される（ＳＢ２）。ファイアウォール１０では、観測した通信パケットのうち第２端末６のＩＰアドレスを送信元とする通信パケットに含まれる宛先ＩＰアドレスを記録してＩＰアドレスリスト１４を作成する（ＳＦ２）。これは、受信パケットの宛先ＩＰアドレスリストをIPホワイトリストに追加する処理である。

ファイアウォール１０のアクセス制御部１２には、“第１端末４のＩＰアドレスを送信元とするパケットのうち、宛先ＩＰアドレスがＩＰホワイトリスト１４に含まれないパケットは遮断する”機能が設定されている。したがって、第１端末６から送信される通信パケットは、ＩＰホワイトリスト１４に含まれている宛先ＩＰアドレスを持つ通信パケットのみがインターネット８上に送信される（ＳＦ４）。

上記の処理で第２端末６上で検体を一定時間（１０分など）実行した後、第１端末４上で検体を実行させ、セキュリティ製品４２によって検体がマルウェアとして検知されるかどうかを確認する（ＳＡ４，ＳＡ６，ＳＡ８）。この間、第１端末４からは検体を実行しているプロセスから通信パケットがインターネットに向けて送信されることがあるが、この通信パケットの宛先ＩＰアドレスは上記処理によりＩＰホワイトリスト１４に含まれていることが期待できるため、検体が行う通信はアクセス制御部１２によって阻害されることはないことが期待できる。一方で、前記処理において第２端末６はセキュリティ製品４２をインストールしていないため、セキュリティ製品４２が行う通信の宛先ＩＰアドレスはホワイトリスト１４には含まれていないことが期待できる。そのため、セキュリティ製品を実行するプロセスが外部に向けて行う通信、たとえば当該セキュリティ製品を開発した組織が運用するサーバとやり取りをしてシグネチャの更新を行う通信などは、アクセス制御部１２によって遮断されることが期待できる。

このように、第１実施形態によれば、セキュリティ製品４２がインストールされていない第２端末６から送信された通信パケットと同じ宛先ＩＰアドレスを宛先とする通信パケットのみがアクセス制御部１２を通過することが期待できるため、セキュリティ製品４２が行う通信は遮断する一方、検体（マルウェア）が行う通信は疎通させる状態でセキュリティ製品４２に検体を検査させることが可能になる。

＜第２実施形態＞
第１実施形態では、ＩＰアドレスで構成されるＩＰホワイトリスト１４を作成することで、第１端末４上で検体が行う通信を疎通させることを実現している。しかし、第１実施形態の構成では、下記の理由で検体が行う通信を遮断してしまうことがある。

すなわち、検体が行う通信先は、検体のプログラムコードの中でＩＰアドレスとして記述されているのではなくＦＱＤＮ（Fully Qualified Domain Name、以下「ホスト名」）として記述されることがある。

また、ホスト名として記述された通信先に検体が通信を行う場合、まずＤＮＳサーバ１６にＤＮＳリクエストを送信してホスト名に対応するＩＰアドレスを取得し、そのＩＰアドレス宛に通信を行う。

さらに、ホスト名とＩＰアドレスが一対一に対応する場合には、第１実施形態の方法で目的を達することができる。しかし、ホスト名に対応するＩＰアドレスが複数存在したり、時間の経過とともにホスト名に対応するＩＰアドレスが変化したりする場合もある。

したがって、第２端末６で検体を実行した時と、第１端末４で検体を実行した時とで、同一のホスト名の名前解決に対し、異なるＩＰアドレスを取得することが起こり得る。この場合、第１端末４で実行された検体の通信が遮断されてしまうことになる。

以上の課題を解決するために、第２実施形態では、以下のように構成が採用されている。

図３に示すように、第２実施形態の通信制御装置２Ｂは、第１端末４と、第２端末６と、インターネット８と、ファイアウォール１０に加え、ＤＮＳサーバ１６を備えている。

ＤＮＳサーバ１６は、ドメイン名をＩＰアドレスに変換する機能を有している。第２実施形態では、第２端末６からＤＮＳクエリパケットが送信された場合、送信されたＤＮＳクエリパケットで名前解決要求があったすべてのドメインのリストを作成する機能を有している。

図４は、第２実施形態の処理手順を示すフローチャートである。

図４において、図２と同一ステップ番号が付されたステップは、第１実施形態の処理と同様の処理を意味している。

先ず、セキュリティ製品がインストールされていない第２端末６上で検体を一定時間（１０分など）実行する。この処理では、検体の実行によって、第２端末６からインターネットに対して通信パケットを送信することがあり、その場合、当該通信パケットはファイアウォール１０で観測される（ＳＢ２）。ファイアウォール１０では、観測した通信パケットのうち第２端末６のＩＰアドレスを送信元とする通信パケットに含まれる宛先ＩＰアドレスを記録してＩＰアドレスリスト１４を作成する（ＳＦ２）。これは、受信パケットの宛先ＩＰアドレスリストをIPホワイトリストに追加する処理である。

上述のように、第２端末６上で検体が一定時間（１０分など）実行されている間、第２端末６からＤＮＳクエリパケットが送信されると（ＳＢ８）、ＤＮＳサーバ１６では、送信されたＤＮＳクエリパケットで名前解決要求があったすべてのドメインのリストを作成（追加）する（ＳＤ２）。以下、作成されるドメインリスト１６２をＤＮＳホワイトリストとも称する。

ファイアウォール１０のアクセス制御部１２には、“第１端末４のＩＰアドレスを送信元とするパケットのうち、宛先ＩＰアドレスがＩＰホワイトリスト１４に含まれないパケットは遮断する”機能が設定されている。

ここで、第２実施形態では、ＤＮＳサーバ１６は、第１端末４から送信されたＤＮＳクエリパケット（ＳＡ１０）において、名前解決対象のドメインがＤＮＳホワイトリストに含まれる場合（ＳＤ４YES）には、第１端末４宛のＤＮＳ応答をいったん保留し、当該ドメインに対応するＩＰアドレスをＩＰホワイトリストに加えることを明記したリクエストパケットを送付（ＳＤ６）し、その後、第１端末４宛のＤＮＳ応答を送信する（ＳＤ８）。また、ファイアウォール１０は、ＤＮＳサーバ１６からリクエストパケットの送信（ＳＤ６）があった場合には、当該リクエストパケットに含まれるＩＰアドレスをＩＰホワイトリスト１４に追加する（ＳＦ８）。

したがって、第１端末６から送信される通信パケットは、当初その宛先ＩＰアドレスＸがＩＰホワイトリストに記載されていなかったとしても、それ以前にそのＩＰアドレスＸに対応するホスト名の名前解決を要求するＤＮＳクエリパケットを第１端末６からＤＮＳサーバ１６に送信しており、かつ、その応答としてＤＮＳサーバ１６からＩＰアドレスＸを受信しており、かつ、当該ホスト名が前記ＤＮＳホワイトリスト１６２に含まれる場合には、当該通信パケットがアクセス制御部１２に到達する前にＩＰアドレスＸがＩＰホワイトリストに記載されることになるので、アクセス制御部１２を通過することができる。

そして、前記処理の一定期間経過後、第１端末４上で検体を一定時間実行（ＳＡ４，ＳＡ６）し、セキュリティ製品４２で検体が検知されるかどうかを確認する（ＳＡ８）。

このように第２実施形態によれば、検査対象の検体が自身が行う通信の通信先をホスト名として記憶しており、かつ、当該ホスト名に対する名前解決によって得られるＩＰアドレスが異なりうる場合においても、第２端末６で検体を実行した際に作成されたＤＮＳホワイトリストに記載のホスト名に対して行われる通信は動的にＩＰホワイトリストが拡張されてアクセス制御部１２を通過することができるため、セキュリティ製品４２が行う通信は遮断する一方、検体（マルウェア）が行う通信は疎通させる状態でセキュリティ製品４２に検体を検査させることが可能になる。

なお、上記実施形態は、例として提示したものであり、発明の範囲を限定することは意図していないことは勿論である。

２Ａ，２Ｂ…通信制御装置、４…第１端末、６…第２端末、８…インターネット、１０…ファイアウォール、１２…アクセス制御部、１４…宛先ＩＰアドレスリスト（ＩＰホワイトリスト）、１６…ＤＮＳサーバ、４２…セキュリティ製品、１６２…ドメインリスト（ＤＮＳホワイトリスト）。

Claims (6)

1. ネットワークに配置されるとともに、セキュリティ製品がインストールされている第１端末と、前記セキュリティ製品がインストールされていない第２端末とに接続され、自身を経由する通信パケットを遮断する機能を有する通信制御装置であって、
   前記第２端末からの通信は全て通過させるように設定する接続設定手段と、
   前記第２端末から送出されたＩＰパケットの宛先ＩＰアドレスを記録してアドレスリストに追加するＩＰアドレス記録手段と、
   前記第１端末を送信元とするＩＰパケットの内、前記アドレスリストに記録されていない宛先ＩＰアドレスのＩＰパケットは遮断する通信遮断手段と、
   前記第１端末が、前記アドレスリストに記録されている宛先ＩＰアドレスへの通信を実行することで当該第１端末にインストールされている前記セキュリティ製品により検体が検知されるかどうかを判定する検体検知手段と、
   を備えることを特徴とする通信制御装置。
2. 前記第２端末のＩＰアドレスを送信元とするＤＮＳクエリパケットを受信した際には当該ＤＮＳクエリパケットにおいて名前解決の対象であるドメインをドメインリストに記録するドメイン記録手段と、
   前記第１端末のＩＰアドレスを送信元とし、かつ、ドメインリストに記載のドメインの名前解決を要求するＤＮＳクエリパケットを受信した際には、当該ドメインの名前解決を行って取得したＩＰアドレスを前記アドレスリストに加えることを明記したリクエストパケットを当該通信制御装置に送信するリクエスト送信手段と、を有するＤＮＳサーバの存在を前提とし、
   前記ＩＰアドレス記録手段は、
   前記ＤＮＳサーバから前記リクエストパケットがあった場合には当該リクエストパケットに記載のＩＰアドレスを前記アドレスリストに追加する、請求項１に記載の通信制御装置。
3. 請求項２に記載の通信制御装置とＤＮＳサーバとで構成される通信制御システム。
4. ネットワークに配置されるとともに、セキュリティ製品がインストールされている第１端末と、前記セキュリティ製品がインストールされていない第２端末とに接続され、自身を経由する通信パケットを遮断する機能を有する通信制御装置における通信制御方法であって、
   前記第２端末からの通信は全て通過させるように設定し、
   前記第２端末から送出されたＩＰパケットの宛先ＩＰアドレスを記録してアドレスリストに追加し、
   前記第１端末を送信元とするＩＰパケットの内、前記アドレスリストに記録されていない宛先ＩＰアドレスのＩＰパケットは遮断し、
   前記第１端末が、前記アドレスリストに記録されている宛先ＩＰアドレスへの通信を実行することで当該第１端末にインストールされている前記セキュリティ製品により検体が検知されるかどうかを判定する、ことを特徴とする通信制御方法。
5. ネットワークに配置されるとともに、セキュリティ製品がインストールされている第１端末と、前記セキュリティ製品がインストールされていない第２端末とに接続され、自身を経由する通信パケットを遮断する機能を有する通信制御装置とＤＮＳサーバとで構成される通信制御システムにおける通信制御方法であって、
   前記通信制御装置は、
   前記第２端末からの通信は全て通過させるように設定し、
   前記第２端末から送出されたＩＰパケットの宛先ＩＰアドレスを記録してアドレスリストに追加し、
   前記第１端末を送信元とするＩＰパケットの内、前記アドレスリストに記録されていない宛先ＩＰアドレスのＩＰパケットは遮断し、
   前記第１端末が、前記アドレスリストに記録されている宛先ＩＰアドレスへの通信を実行することで当該第１端末にインストールされている前記セキュリティ製品により検体が検知されるかどうかを判定し、
   前記ＤＮＳサーバは、
   前記第２端末からのＩＰアドレスを送信元とするＤＮＳクエリパケットを受信した際には当該ＤＮＳクエリパケットにおいて名前解決の対象であるドメインをドメインリストに記録し、
   前記第１端末からのＩＰアドレスを送信元とし、かつ、ドメインリストに記載のドメインの名前解決を要求するＤＮＳクエリパケットを受信した際には、当該ドメインの名前解決を行って取得したＩＰアドレスを前記アドレスリストに加えることを明記したリクエストパケットを前記通信制御装置に送信し、
   前記通信制御装置は、前記リクエストパケットがあった場合には当該リクエストパケットのＩＰアドレスを前記アドレスリストに追加する、ことを特徴とする通信制御方法。
6. 請求項１又は２に記載の通信制御装置をコンピュータで構成するための通信制御プログラム。

Images