JPH09128336A - ネットワークセキュリティシステム - Google Patents

Abstract

(57)【要約】 【課題】コンピュータ・ネットワークにおいて、不正行
為に対して、その影響部分を除去して、元の状態を維持
するという生物体の免疫機構の特徴を実現する。 【解決手段】ログ採取部１０１で採取したログを、ＬＡ
Ｎ６に接続されたコンピュータ１〜５に送り、各コンピ
ュータは、ログ診断部１０３で、知識ベース１０５を用
い、集めたログを診断し、不正を検出した場合、ネット
ワーク管理部１０４で、ネットワーク管理情報１０６を
更新し、あらかじめ決められたしきい値以上のコンピュ
ータで不正ありと判断したコンピュータが生じた場合、
そのコンピュータとの通信を中止する。

Description

【発明の詳細な説明】

【０００１】

【発明の属する技術分野】本発明は、コンピュータ・ネ
ットワークのセキュリティシステムに関し、特に、情報
の不正な更新を防止するのに好適なネットワークセキュ
リティシステムに関する。

【０００２】

【従来の技術】「インフォメーション・セキュリティ」
（日経マグロウヒル社、１９８７年）２４３ページ〜２
４９ページに記載されているように、コンピュータのオ
ペレーティングシステムには、セキュリティのための様
々なアクセス制御、ファイル保護、監査機能が備わって
いる。具体的には、パスワードを用いることにより、不
当なログインを防いだり、アクセス権限を設定すること
により、不当なファイル参照、更新を防いだりしてい
る。

【０００３】また、「エイズ型コンピュータウイルス」
（日刊工業新聞社、１９９４年）１０４５ページ〜１０
６７ページに記載されているように、コンピュータウイ
ルス対策に関しても、ウイルス対応に様々なワクチンソ
フトが開発されている。

【０００４】これらの技術は、いずれも一台のコンピュ
ータを対象にしたセキュリティ保全のための技術であ
る。

【０００５】

【発明が解決しようとする課題】上記で述べたように、
従来のセキュリティの考え方は未然防止が基本である。
すなわち、処理実行やファイルアクセスを開始する前に
チェックすることにより、不正行為を未然に防ぐことを
目的としていた。このため、そのチェックをたまたま通
過してしまった不正に関しては、これを有効に除去でき
ないという問題があった。

【０００６】また、コンピュータウイルス対策に関して
は、先に述べたように様々なワクチンソフトが開発され
ているが、これらは基本的に個別のウイルス対応である
ため、知られているウイルスすべてに対処するために
は、それぞれに有効なすべてのワクチンソフトを実行さ
せることになる。したがって、ウイルスチェックを１台
のコンピュータで完全に実行させようとすると負荷が大
きくなるという問題があった。

【０００７】本発明は上記各問題点に鑑み、コンピュー
タ・ネットワークにおいて、不正侵入者がネットワーク
に入り込んだ後でも、不正によって改変された部分をネ
ットワークから切り離して元の正常な状態を回復できる
ネットワークセキュリティシステムの提供を目的とす
る。また、１台のコンピュータにかかるウイルスチェッ
クの負荷が軽いネットワークセキュリティシステムの提
供を目的とする。

【０００８】

【課題を解決するための手段】上記目的を達成するた
め、本発明は、生物体の免疫機構に着目する。生物体の
免疫機構では、異物を体内に入れないようにするのでは
なく、一度体内に取り入れて、それを認識した後、除去
して、元の状態を維持する。また、ある特定の異物に反
応する細胞は、通常時、体内にそれほど多く存在するわ
けではないが、ひとたび異物が体内に侵入したことを認
識すると、大量に生成される。このような生物体の免疫
機構に着目し、本発明は以下のように構成される。

【０００９】すなわち、本発明のネットワークセキュリ
ティシステムは、複数のコンピュータと各コンピュータ
間の通信のための通信手段とを有するコンピュータ・ネ
ットワークにおける不正行為を防止するネットワークセ
キュリティシステムにおいて、各コンピュータは、動作
の来歴であるログを記録する手段と、ログをネットワー
ク上の他のコンピュータに通知する手段と、ログに基づ
きネットワーク上の各コンピュータでの各動作が不正で
あるか否かを判断するための知識ベースとを有し、各コ
ンピュータは、他のコンピュータからログが送られる度
に、知識ベースを参照してネットワーク上の各コンピュ
ータでの不正行為の有無を検査し、検査の結果各コンピ
ュータのうちのあるコンピュータで不正行為があったと
判断した場合、そのコンピュータにおいて不正行為のあ
った旨を表すメッセージを他のコンピュータに送信し、
そのメッセージを受信した各コンピュータは、所定の期
間内に所定のしきい値を超える台数のコンピュータが不
正行為に係るコンピュータに対して不正行為ありと判断
したことを検知したとき、以後、不正行為ありと判断さ
れたコンピュータとの通信を絶つことを特徴とする。

【００１０】ここで、上記のネットワークセキュリティ
システムにおいて、各コンピュータは、自コンピュータ
においてログイン、ログアウト、およびファイルアクセ
スが行われる度に、その時刻およびユーザ名をログとし
て採取し、各コンピュータが各自について採取したログ
をそれぞれ収集し、収集されたログに基づき、ログイ
ン、ログアウト、およびファイルアクセスの日時または
頻度について各コンピュータを相互に比較したとき、各
コンピュータのうちのあるコンピュータが他のコンピュ
ータに比して所定の基準より顕著な特徴を有する場合、
そのコンピュータに不正行為があったと判断するように
してもよい。

【００１１】また、本発明のネットワークセキュリティ
システムは、複数のコンピュータと各コンピュータ間の
通信のための通信手段とを有するコンピュータ・ネット
ワークにおける不正行為を防止するネットワークセキュ
リティシステムにおいて、各コンピュータは、動作の来
歴であるログを記録する手段と、ログをネットワーク上
の他のコンピュータに通知する手段とを有し、ネットワ
ークは複数のサブネットワークに分割され、各サブネッ
トワークは１台の代表コンピュータを有し、各代表コン
ピュータは、自らが所属するサブネットワーク上の全コ
ンピュータのログを収集し、所定のしきい値以上のコン
ピュータに共通するログを抽出し、抽出されたログをも
ってそのサブネットワークのログとみなしてそのログを
他のサブネットワークの代表コンピュータに通知すると
ともに、他のサブネットワークの代表コンピュータから
通知されたログを収集し、収集されたログに基づき、ロ
グイン、ログアウト、およびファイルアクセスの日時ま
たは頻度について各サブネットワークを相互に比較した
とき、各サブネットワークのうちのあるサブネットワー
クが他のサブネットワークに比して所定の基準より顕著
な特徴を有する場合、そのサブネットワーク全体に不正
行為があったと判断することを特徴とする。

【００１２】ここで、上記のネットワークセキュリティ
システムにおいて、各代表コンピュータは、サブネット
ワーク全体に不正行為があったと判断した場合、不正行
為があった旨を表すメッセージを他の代表コンピュータ
に送信し、そのメッセージを受信した各代表コンピュー
タは、所定の期間内に所定のしきい値を超える台数の代
表コンピュータが不正行為に係るサブネットワークに対
して不正行為ありと判断したことを検知したとき、以
後、自らの所属するサブネットワークのすべてのコンピ
ュータに対して、不正行為ありと判断されたサブネット
ワークに属するすべてのコンピュータとの通信を禁止す
る旨を通知するようにしてもよい。

【００１３】また、本発明のネットワークセキュリティ
システムは、複数のコンピュータと各コンピュータ間の
通信のための通信手段とを有するコンピュータ・ネット
ワークにおける不正行為を防止するネットワークセキュ
リティシステムにおいて、各コンピュータに属する各デ
ータは、それぞれそのデータを所定のサイズで分割して
できる複数のデータブロックから各コンピュータにつき
１つずつ選択されたデータブロックを組み合わせてなる
複数のパリティグループとして管理され、各パリティグ
ループは、それぞれ自グループに属するすべての単位デ
ータから作成されたパリティブロックを含み、パリティ
ブロックはネットワーク上のコンピュータのうちの１つ
に格納され、各コンピュータは自らに属するデータを更
新した後、その更新に係るデータブロックが属するパリ
ティグループのパリティブロックを保持するコンピュー
タに対して、更新前後の新旧データブロックを渡してパ
リティ更新を指示し、パリティ更新を指示されたコンピ
ュータは、自分の保持するパリティブロックと新旧デー
タブロックとから新パリティブロックを計算してパリテ
ィブロックを更新し、データの更新の日時または頻度の
情報に基づき、その更新が不正であるか否かを判断し、
不正であると判断した場合は、送られた旧データブロッ
クを保持しておき、不正更新があった旨を表すメッセー
ジを他のコンピュータに送信し、そのメッセージを受信
した各コンピュータは、不正更新を検出したコンピュー
タの台数が所定の期間内に所定のしきい値を超えなかっ
た場合は、保持しておいた旧データブロックを破棄し、
そのしきい値を超えた場合は、以後、不正更新に係るコ
ンピュータとの通信を絶つとともに、そのコンピュータ
に属する各データブロックについて、それぞれ対応する
パリティブロックを有するコンピュータが、旧データブ
ロックを保持していた場合は、その旧データブロックを
そのパリティブロックと置き換え、旧データブロックを
保持していない場合は、そのパリティブロックの属する
パリティグループの全データブロックから不正更新に係
るコンピュータの保持していたデータブロックを復元
し、復元されたデータブロックをそのパリティブロック
と置き換えることによって、不正更新に係るコンピュー
タとの通信を絶った状態でそのコンピュータが保持して
いたデータブロックをネットワーク上で修復することを
特徴とする。

【００１４】ここで、上記のネットワークセキュリティ
システムにおいて、各コンピュータは、他のコンピュー
タの保持しているデータを参照する場合、そのデータの
参照に係るデータブロックに対応するパリティブロック
を併せて参照し、そのデータブロックおよびそのパリテ
ィブロックの最終更新時刻を比較して、そのパリティブ
ロックの最終更新時刻がそのデータブロックの最終更新
時刻より古ければ、各コンピュータのうちのいずれかの
コンピュータに不正があったと判断して、参照しようと
したデータを保持しているコンピュータに属する他のデ
ータブロックについて、参照に係るデータブロックの場
合と同様の比較を行い、所定の基準値を超える割合のデ
ータブロックについて、対応するパリティブロックがそ
のデータブロックより古ければ、そのデータブロックを
保持するコンピュータでの不正、そうでなければ、その
パリティブロックを保持するコンピュータでの不正と判
断するとともに、他のコンピュータに対して、同様の比
較をするように指示し、比較した結果に基づく判断が所
定のしきい値を超えるコンピュータ間で一致したことを
検知したとき、不正と判断されたコンピュータとの通信
を絶つとともに、そのコンピュータが保持していたデー
タブロックを修復するようにしてもよい。

【００１５】また、本発明のネットワークセキュリティ
システムは、複数のコンピュータと各コンピュータ間の
通信のための通信手段とを有するコンピュータ・ネット
ワークにおける不正行為を防止するネットワークセキュ
リティシステムにおいて、各コンピュータは、それぞれ
異なったコンピュータウイルスに効果のある異なったワ
クチンソフトを有し、ネットワーク上のコンピュータの
うちの１台以上に対して自分の保持するファイルを送信
し、そのファイルを受信したコンピュータは、自分の保
持するワクチンソフトを用いてウイルスチェックを行
い、そのファイルについてウイルス感染を検出した場
合、そのファイルの送信元のコンピュータにそのワクチ
ンソフトを送信することを特徴とする。

【００１６】ここで、上記のネットワークセキュリティ
システムにおいて、各コンピュータは、ファイルを更新
する度にネットワーク上のコンピュータから１台以上の
コンピュータを選択し、選択されたコンピュータに対し
てファイルのウイルスチェックを依頼するようにしても
よい。また、ウイルス感染を検出したコンピュータは、
検出に用いたワクチンソフトをネットワーク上のすべて
のコンピュータに送信し、そのワクチンソフトを受信し
た各コンピュータは、そのワクチンソフトを実行させて
各自コンピュータに属するファイルに対してウイルスチ
ェックを行うようにしてもよい。

【００１７】本発明のネットワークセキュリティシステ
ムでは、各コンピュータの動作が不正であるか否かを判
断するための知識ベースを持ち、それによって各コンピ
ュータで不正が行われていないかを監視するので、ネッ
トワーク内のあるコンピュータが不正侵入されても、そ
れを検出できる。しかも、各コンピュータに関する知識
ベースは、ネットワーク上の別コンピュータが保持して
いるので、不正侵入を許したコンピュータの持つ知識ベ
ースが盗み見られたり、破壊されたりして、チェックを
無効にされることを防ぐことができる。また、不正を検
出したとき、そのコンピュータとの通信を行わなくなる
ので、あるコンピュータを通じて不正な侵入が行われて
も、ネットワークとしてのセキュリティを保つことがで
きる。

【００１８】また、本発明のネットワークセキュリティ
システムでは、ネットワーク上の全コンピュータのログ
情報を比較して、その相対的な差から不正検出を行う。
ネットワークとして、大学や企業の中のある一部署のコ
ンピュータを集めたものを考えた場合、各コンピュータ
での作業が行われる時間帯やファイルアクセス頻度には
ある程度同じような傾向がみられるのが普通である。従
って、絶対的な時刻や頻度では不正行為が行われている
か否か判断がつかないような場合でも、全コンピュータ
のログ情報を比較して、全体の傾向とは大きく逸脱した
ものを見つけることによって、より強固な不正検出機能
を構築できる。

【００１９】また、本発明のネットワークセキュリティ
システムでは、サブネットワークを定義して、その範囲
内で共通するログ情報を抜き出して、各サブネットワー
クの情報を比較して、不正の検出を行うので、万が一、
複数のコンピュータがまとめて不正な侵入を許してしま
っても、それを検出して、その影響範囲を局所化でき、
ネットワーク全体のセキュリティを確保できる。

【００２０】また、本発明のネットワークセキュリティ
システムでは、ネットワーク上でパリティグループを形
成して、データに冗長性を持たせているので、あるコン
ピュータの保持しているデータが不正改竄されたり、破
壊された時でも、その不正を検出した時点で、その不正
コンピュータのすべてのデータをネットワーク上の残り
のコンピュータ上に修復できる。従って、その不正コン
ピュータとの通信を絶っても、ネットワーク全体として
は、元の状態を維持することができる。

【００２１】また、本発明のネットワークセキュリティ
システムでは、データ更新の際にパリティ更新を他コン
ピュータに依頼するという、上記第４の観点による本発
明のデータ更新プロトコルを守らずにデータを更新する
という不正が行われても、データとパリティの最終更新
時刻を比較することにより、その不正を検出できる。ま
た、あるコンピュータの持つデータに対応するパリティ
データは、ネットワーク上のコンピュータに分散して存
在するので、あるデータに関して上記最終更新時刻チェ
ックによって不正検出されたときに、他のデータについ
てもチェックすることにより、データが不正に更新され
たのか、それともパリティが不正に更新されなかったの
かを識別することができる。これにより、あるコンピュ
ータが不正に侵入されて、パリティ更新を実行しないよ
うな細工をされても、的確にそれを検出できる。

【００２２】また、本発明のネットワークセキュリティ
システムでは、各コンピュータがそれぞれ異なったコン
ピュータウイルスに効果のあるワクチンソフトを有し、
各自の保持するファイルを定期的にネットワーク上の任
意のコンピュータでウイルスチェックしてもらうので、
ネットワーク上の全コンピュータで一通りチェックして
もらえば、ネットワーク上で対策している複数のウイル
スに対して防御できる。しかも、そのための複数のワク
チンソフトを一台のコンピュータで保持して、一度にま
とめてチェックする必要はなく、ウイルスチェックの負
荷分散を実現できる。

【００２３】また、本発明のネットワークセキュリティ
システムでは、ファイル更新を契機にウイルス感染のチ
ェックを行う。コンピュータウイルスがファイルに感染
したときには、必ずファイルが更新されるはずであるか
ら、そのタイミングでチェックをかけることにより、よ
り効率的なチェックが可能になる。

【００２４】また、本発明のネットワークセキュリティ
システムでは、あるコンピュータがあるウイルスに感染
したことがわかったとき、ネットワーク内のすべてのコ
ンピュータに対して、そのウイルスに感染していないか
をチェックする。あるコンピュータがウイルスに感染し
た場合、ネットワークでつながれた他のコンピュータに
も広まっている確率が高いので、すべてのコンピュータ
を調べることにより、一時的に負荷は大きくなるもの
の、確実にネットワークからそのウイルスを駆逐するこ
とができる。

【００２５】

【発明の実施の形態】以下、本発明の実施の形態（以下
「実施例」という）を図面により詳細に説明する。な
お、本発明は以下の各実施例により限定されるものでは
ない。

【００２６】＜第１の実施例＞図１は、本発明の第１の
実施例にかかるネットワークセキュリティシステムの構
成図である。本システムは、コンピュータ１〜５および
ＬＡＮ６から構成されている。本実施例では、コンピュ
ータが５台であるが、２台以上であれば、この台数に制
約はない。また、各コンピュータはＬＡＮ６により相互
通信が可能であるが、通信を実現する手段もＬＡＮに限
定されるわけではない。以下では、コンピュータ１の動
作を中心に説明するが、他のコンピュータ２〜５の動作
も同様である。

【００２７】コンピュータ１内にある四角で囲まれた各
部１０１〜１０４は、コンピュータ１に組み込まれたソ
フトウェアによって実現される機能を表している。ま
た、コンピュータ１は、ログ診断のための知識ベース１
０５と、ネットワーク管理情報１０６を持つ。ログ採取
部１０１は、コンピュータ１へのログイン、ログアウ
ト、およびファイルアクセスに関して、その日時、ユー
ザ名、および成否を記録する。

【００２８】図２はログ採取部１０１が採取するログの
一例を示す図である。ログ２０はレコード２０１、２０
２、２０３、２０４、…から構成される。例えば、レコ
ード２０２は、ユーザ“usr2”が１月１日１０時０５分
２５秒にログインしようとして拒否されたことを表す。
また、レコード２０３は、ユーザ“usr1”が１月１日１
０時１０分２５秒にファイル“fileＡ”を参照しようと
アクセスして受理されたことを表す。

【００２９】通信部１０２は、ログ採取部１０１が採取
したログ２０を一定の周期、例えば、一日に一回、所定
の時刻に他のコンピュータ２〜５に送信する。また、通
信部１０２は、他のコンピュータ２〜５が送信した各コ
ンピュータのログ（ログ２０と同様につき、図示せず）
を受信し、それをログ診断部１０３に渡す。送受信に際
しては、ネットワーク管理情報１０６を参照するが、そ
れについては後述する。

【００３０】ログ診断部１０３は、知識ベース１０５を
参照して、各コンピュータ２〜５のログをチェックし、
不正行為が行われていないかどうかを診断する。

【００３１】図３はログ診断部１０３が参照する知識ベ
ース１０５の一例を示す図である。知識ベース１０５
は、知識ベース１０５を有するコンピュータ１のログ２
０のみを不正行為の判断の根拠としてコンピュータ１を
不正有無判断の対象とするルールの集合（図３（ａ））
と、コンピュータ１〜５の複数のログを互いに比較して
他のログにはみられない１台だけの特徴を抽出し、それ
を不正行為の判断の根拠としてＬＡＮ６上のすべてのコ
ンピュータ１〜５を不正有無判断の対象とするルールの
集合（図３（ｂ））とを有する。例えば、rule1３０１
は、深夜１時から５時までという通常の業務形態では発
生し得ない時間帯にコンピュータ１でファイル更新が発
生した場合、コンピュータ１において不正更新があった
と判断するというルールである。また、rule2３０２
は、コンピュータ１でのログインに対する拒絶が１０分
間に５回以上発生、つまり不成功に終わった処理が連続
的に続いた場合、コンピュータ１において不正アクセス
があったと判断するというルールである。一方、rule11
３１１は、コンピュータ１〜５のうちの１台にログイン
ユーザが１名おり、かつ、それ以外のコンピュータには
いずれもログインユーザがいない、という状態が１時間
以上継続した場合、ログインユーザがいるそのコンピュ
ータに不正アクセスがあったと判断するというルールで
ある。また、rule12３１２は、コンピュータ１〜５のう
ちの１台で時刻τに構成情報のファイル更新があり、か
つ、それ以外のいずれのコンピュータにおいても時刻τ
を含む所定の幅の時間内に構成情報のファイル更新がな
かった場合、その１台のコンピュータにおいて発生した
ファイル更新は不正更新であると判断するというルール
である。以上のルールは、経験則に基づき不正行為であ
る蓋然性が高いと認められる事象を基に、ネットワーク
管理者等が予め設定しておく。

【００３２】ログ診断部１０３は、不正行為があると判
断した場合、そのコンピュータのＩＤ（ここでは、符号
１〜５をＩＤとする）を、ネットワーク管理部１０４に
報告するとともに、他のコンピュータ２〜５に通知する
ように、通信部１０２に依頼する。その際、不正行為が
あると判断されたコンピュータに対しての通知は行う必
要はない。むしろ、セキュリティの観点から、行わない
方が望ましい。

【００３３】ネットワーク管理部１０４は、コンピュー
タ１が検出した不正行為に関してはログ診断部１０３か
ら、他のコンピュータ２〜５が検出した不正行為に関し
ては通信部１０２から、それぞれ報告を受ける。そし
て、ネットワーク管理情報１０６を更新する。

【００３４】図１１はネットワーク管理情報１０６の内
容を示す図である。ネットワーク管理情報１０６は、診
断結果マトリクス１０６１、通信可否ビットマップ１０
６２、および不正検出時刻マップ１０６３からなる。

【００３５】診断結果マトリクス１０６１は、診断を行
ったコンピュータを行に、診断を受けたコンピュータを
列に、それぞれ配した表であり、各要素は‘０’または
‘１’の値を取り、‘０’は不正なし、‘１’は不正あ
りを表す。例えば、要素１０６５の‘１’は、コンピュ
ータ１がコンピュータ３を「不正あり」と診断したこと
を表す。ここで、上述のようにコンピュータ１について
の診断結果をコンピュータ１自身に報告しないように設
定した場合には、斜線部分１０６４は診断結果マトリク
ス１０６１に表示されない。

【００３６】通信可否ビットマップ１０６２は、コンピ
ュータ１と各コンピュータ２〜５との通信可否を表すも
ので、コンピュータ１台につき１ビットが対応し、
‘０’は通信可、‘１’は通信不可を表す。診断結果マ
トリクス１０６１における場合と同様に、斜線部分１０
６６は表示させないようにすることができるが、表示さ
せるようにした場合は、コンピュータ１同士の通信可否
を表すことになるので、常に‘０’が表示される。

【００３７】不正検出時刻マップ１０６３は、コンピュ
ータ１が各コンピュータ２〜５の不正を検出した時刻を
記録する。例えば、要素１０６８は、６月１０日１５時
にコンピュータ１がコンピュータ３の不正を検出したこ
とを表す。システムが立ち上がってから現在まで各コン
ピュータ２〜５に不正が検出されていないときは、それ
ぞれの要素に‘０’が表示される。診断結果マトリクス
１０６１における場合と同様に、斜線部分１０６７は表
示させないようにすることができるが、表示させるよう
にした場合は、コンピュータ１によるコンピュータ１自
身についての不正検出の有無に応じて‘０’または検出
時刻が表示される。

【００３８】システム立ち上げ時には、診断結果マトリ
クス１０６１、通信可否ビットマップ１０６２、および
不正検出時刻マップ１０６３のすべての要素をゼロクリ
アしておく。ネットワーク管理部１０４は、不正検出の
報告を受けると、まず、診断結果マトリクス１０６１の
対応する要素を‘１’にセットする。このとき、コンピ
ュータ１による他のコンピュータ２〜５についての不正
検出の報告の場合は、上記の診断結果マトリクス１０６
１の更新を行うとともに、不正検出時刻マップ１０６３
の対応する要素に現在時刻を記録する。そして、‘１’
をセットした要素の属する列をサーチして、‘１’の数
をカウントし、その数が所定のしきい値を超えた場合、
そのコンピュータに対応する、通信可否ビットマップ１
０６２上のビットを‘１’にセットする。

【００３９】例えば、既にコンピュータ４および５がコ
ンピュータ３を「不正あり」と診断したことにより診断
結果マトリクス１０６１の該当要素に‘１’が記録され
ていたとする。コンピュータ１〜３はまだコンピュータ
３についての不正を検出しておらず、診断結果マトリク
ス１０６１の該当要素には依然として‘０’が記録され
ていたとする。このとき、診断結果マトリクス１０６１
の第３列は上から‘０’‘０’‘０’‘１’‘１’とな
っている。いま、コンピュータ１がコンピュータ３の不
正を検出したとの報告をネットワーク管理部１０４が受
けたとすると、診断結果マトリクス１０６１の要素１０
６５の‘０’は‘１’に更新され、それとともに不正検
出時刻マップ１０６３の要素１０６８に現在時刻「Jun.
10 15:00」が記録される。そして、診断結果マトリクス
１０６１中の先の更新に係る要素１０６５の属する列、
すなわち第３列をサーチして‘１’の数をカウントし、
所定のしきい値と比較する。例えばしきい値が２に設定
されていたとすると、上記のカウント結果は３なので、
しきい値を超えていることになる。そこで、通信可否ビ
ットマップ１０６２の第３列のビットを‘１’にセット
し、コンピュータ１はコンピュータ３との通信を絶つ。
こうして更新されたネットワーク管理情報１０６は、図
１１のようになる。

【００４０】通信部１０２は、他のコンピュータ２〜５
との送受信を行う前に、通信可否ビットマップ１０６２
を参照して、通信相手のコンピュータに対応するビット
が‘１’であれば、そのコンピュータとの通信を中止す
る。

【００４１】ところで、ネットワーク管理部１０４は、
不正検出の報告を受けたとき以外にも、一定周期ごとに
機能させることができる。周期起動の場合は、通信可否
ビットマップ１０６２上のビットが‘０’で、かつ、診
断結果マトリクス１０６１上のコンピュータ１による診
断結果が‘１’であるコンピュータに関して、不正検出
時刻マップ１０６３に記録されている不正検出の時刻と
現在時刻とを比較して、所定の期間以上時間が経過して
いる場合には、そのコンピュータに対応する診断結果マ
トリクス１０６１の列のビットをすべて‘０’にクリア
する。これにより、一定期間で不正検出件数がしきい値
を超えなかった場合、その診断が誤りであったと判断し
てその誤診断を取り消すことができ、外乱により不必要
にネットワークが縮小するのを避けることができる。

【００４２】以上説明した第１の実施例によれば、ネッ
トワーク内のあるコンピュータへの不正侵入を許して
も、その不正を検出して、そのコンピュータとの通信を
絶つことにより、不正の影響がネットワーク全体に広が
ることを防ぐことができる。

【００４３】＜第２の実施例＞第１の実施例では、ネッ
トワーク内の全コンピュータ間で相互監視を行っていた
が、ネットワーク内のコンピュータ数が多くなると、全
コンピュータ間で相互監視を行っていたのでは各コンピ
ュータにかかる負荷が大きくなり、また、複数のコンピ
ュータがまとめて不正侵入されたときに不正の検出が困
難になる。そこで、第２の実施例では、サブネットワー
クの概念を導入し、不正監視負荷の軽減および複数コン
ピュータへの同時不正侵入に対する効率的検出を図る。

【００４４】図４は、本発明の第２の実施例に係るネッ
トワークセキュリティシステムの構成図である。本実施
例では、ネットワークを５つのサブネットワーク１００
０〜５０００に分割し、各サブネットワーク１０００〜
５０００にそれぞれ５台ずつのコンピュータが属するよ
うにする。なお、分割数や各サブネットワークに属する
コンピュータの台数はこれに限定されるものではない。
各サブネットワーク１０００〜５０００には、それぞれ
１台ずつの代表コンピュータを設ける。サブネットワー
ク１０００では、コンピュータ１Ｂが代表コンピュータ
である。

【００４５】図５はサブネットワーク１０００の代表コ
ンピュータであるコンピュータ１Ｂの構成図である。コ
ンピュータ１Ｂは、第１の実施例で説明した各機能に加
えて、共通ログ抽出部１０７、および共通ログ抽出のた
めの知識ベース１０８を有する。機能１０１〜１０４は
第１の実施例と同様の構成であるが、知識ベース１０５
Ｂおよびネットワーク管理情報１０６Ｂについては、本
実施例のネットワーク構成が第１の実施例のそれとは異
なるため、知識ベース１０５およびネットワーク管理情
報１０６とは格納されているデータの内容が異なる。な
お、代表コンピュータ１Ｂ以外のコンピュータ２Ｂ〜５
Ｂは、ログ採取部１０１、通信部１０２、およびネット
ワーク管理情報１０６の中の通信可否ビットマップ１０
６２だけを有すればよい。サブネットワーク１０００に
属する各コンピュータ１Ｂ〜５Ｂは、ログを採取した
ら、これをコンピュータ１Ｂへ送信する。コンピュータ
１Ｂは、各コンピュータ１Ｂ〜５Ｂからのログを受け取
ると、共通ログ抽出部１０７で、知識ベース１０８を用
いて、サブネットワーク１０００に共通するログを抽出
する。

【００４６】図６は、共通ログ抽出の際用いられる知識
ベース１０８の一例を示す図である。知識ベース１０８
の各ルールは、サブネットワーク１０００内のコンピュ
ータの台数に関するしきい値に基づき、そのしきい値以
上の台数のコンピュータがそのルールの条件を満たして
いるならば、サブネットワーク１０００は所定の共通ロ
グをもつとみなす、というルールである。例えば、rule
21６０１は、ログインしているユーザがしきい値ｎ以上
の台数のコンピュータに存在する時間帯［ｔ１，ｔ２］
を抽出し、１台のコンピュータに見立てたサブネットワ
ーク１０００において、時刻ｔ１にログインが受理さ
れ、時刻ｔ２にログアウトが受理されたとみなす、とい
うルールである。また、rule22６０２は、ネットワーク
構成情報ファイルに対する更新処理がしきい値ｎ以上の
台数のコンピュータで行われた時間帯［ｔ１，ｔ２］を
抽出し、１台のコンピュータに見立てたサブネットワー
ク１０００において、時間［ｔ１，ｔ２］でのネットワ
ーク構成情報ファイルに対する更新処理が受理されたと
みなす、というルールである。

【００４７】通信部１０２では、採取したログを一定の
周期、例えば、一日に一回、所定の時刻に他のサブネッ
トワーク２０００〜５０００のそれぞれの代表コンピュ
ータに送信する。また、通信部１０２は、他のサブネッ
トワーク２０００〜５０００の各代表コンピュータが送
信した各サブネットワーク２０００〜５０００の共通ロ
グを受信し、それをログ診断部１０３に渡す。

【００４８】ログ診断部１０３は、知識ベース１０５Ｂ
を参照して、各サブネットワーク２０００〜５０００の
共通ログをチェックして、サブネットワーク全体で不正
行為が行われているものがないかどうかを診断する。知
識ベース１０５Ｂの内容としては、サブネットワーク２
０００〜５０００をそれぞれ１台のコンピュータと見立
てて図３（ｂ）と同様のルールの集合を用意すればよ
い。このルール集合を参照することにより、ログ診断部
１０３は、渡された複数のログを比較して他のログには
見られない特徴のあるログを抽出し、これに対応するサ
ブネットワークを不正のあったサブネットワークと判断
する。

【００４９】ログ診断部１０３は、不正行為があると判
断した場合、そのサブネットワークのＩＤ（ここでは、
符号１０００〜５０００をＩＤとする）を、ネットワー
ク管理部１０４に報告するとともに、他のサブネットワ
ーク２０００〜５０００のそれぞれの代表コンピュータ
に通知するように、通信部１０２に依頼する。その際、
不正行為があると判断されたサブネットワークの代表コ
ンピュータに対しての通知は行う必要はない。むしろ、
セキュリティの観点から、行わない方が望ましい。

【００５０】ネットワーク管理部１０４は、コンピュー
タ１Ｂが検出した不正行為に関してはログ診断部１０３
から、他のサブネットワーク２０００〜５０００のそれ
ぞれの代表コンピュータが検出した不正行為に関しては
通信部１０２から、それぞれ報告を受ける。そして、ネ
ットワーク管理情報１０６Ｂを更新する。ネットワーク
管理情報１０６Ｂの内容は、基本的には図１１に示した
ネットワーク管理情報１０６と同様であるが、診断結果
マトリクス１０６１の行および列、ならびに不正検出時
刻マップ１０６３の列にサブネットワークのＩＤ１００
０〜５０００を配置する点が異なる。その他、通信可否
ビットマップ１０６２等については、図１１の通信可否
ビットマップ１０６２と同様である。

【００５１】システム立ち上げ時には、診断結果マトリ
クス１０６１、通信可否ビットマップ１０６２、および
不正検出時刻マップ１０６３のすべての要素をゼロクリ
アしておく。ネットワーク管理部１０４は、不正検出の
報告を受けると、まず、診断結果マトリクス１０６１の
対応する要素を‘１’にセットする。このとき、コンピ
ュータ１Ｂによる他のサブネットワーク２０００〜５０
００についての不正検出の報告の場合は、上記の診断結
果マトリクス１０６１の更新を行うとともに、不正検出
時刻マップ１０６３の対応する要素に現在時刻を記録す
る。そして、‘１’をセットした要素の属する列をサー
チして、‘１’の数をカウントし、その数が所定のしき
い値を超えた場合、そのサブネットワークに属するすべ
てのコンピュータに対応する、通信可否ビットマップ１
０６２上のビットを‘１’にセットする。そして、通信
部１０２を通じて、サブネットワーク１０００内の全コ
ンピュータ２Ｂ〜５Ｂに対して、上記サブネットワーク
との通信を中止するように通知する。これを受けた各コ
ンピュータ２Ｂ〜５Ｂは、各自の通信可否ビットマップ
１０６２を更新する。こうして、不正ありと判断された
サブネットワーク内のコンピュータとの通信はすべてス
トップする。

【００５２】なお、本実施例における各サブネットワー
ク１０００〜５０００内で、第１の実施例に示したネッ
トワークセキュリティシステムを構築して、第１と第２
の実施例を併用することも可能である。こうすることに
より、全ネットワーク内のコンピュータ台数が多くて
も、セキュリティのための負荷を軽減することができ
る。

【００５３】以上述べた第２の実施例によれば、サブネ
ットワーク内の多数のコンピュータがまとめて不正侵入
されても、ネットワーク全体でそれを検出して、そのサ
ブネットワークとの通信を絶つことにより、不正の影響
がネットワーク全体に広がることを防ぐことができる。

【００５４】＜第３の実施例＞第１および第２の実施例
では、不正が検出されたコンピュータとの通信を絶った
後は、そのコンピュータの保持するファイルをアクセス
することができなくなるが、第３の実施例ではこれを解
決し、不正が検出されたコンピュータとの通信を絶った
状態でそのコンピュータの保持するファイルと同一内容
の情報を利用できるようにする。本実施例のネットワー
ク構成に関しては、第１の実施例と同様である。

【００５５】図７は、本実施例のネットワークを構成す
る一コンピュータ１Ｃの構成を示す図である。コンピュ
ータ１Ｃは、第１の実施例で説明した通信部１０２、ネ
ットワーク管理部１０４に加えて、パリティ更新部１０
９およびファイル修復部１１０を有する。また、不正更
新を検出するための知識ベース１０５Ｃ、ネットワーク
管理情報１０６に加えて、パリティグループ構成管理表
１１１を有する。通信部１０２、ネットワーク管理部１
０４、およびネットワーク管理情報１０６は第１の実施
例と同様の構成であるが、知識ベース１０５Ｃについて
は、パリティ更新およびファイル修復に関する知識が格
納されている点で第１および第２の実施例の知識ベース
１０５および知識ベース１０５Ｂとは異なる。

【００５６】ネットワーク間で相互に参照可能とするフ
ァイルについては、あらかじめ、パリティグループを形
成しておく。その手順を以下に示す。

【００５７】まず、取り扱うファイルの集合を所定のサ
イズに分割しておく。このサイズには特に制約はない。
例えば、４Ｋバイトなど、実際の物理的なデータ収納単
位（セクタ単位）にあわせたり、取り扱うファイルの中
で容量が最大のものに設定したりする。当然、後者の場
合はファイル分割は必要なくなる。以下では、上記所定
サイズごとのデータの固まりをデータブロックと呼ぶ。

【００５８】次に、５台のうちの４台のコンピュータか
ら１つずつデータブロックを集めて、その４つのデータ
からパリティデータを作り、それをパリティブロックと
して残りの１台に格納しておく。１つのパリティグルー
プは、以上の５つのブロックから構成される。なお、コ
ンピュータ間で、対象となるブロック数にアンバランス
がある場合は、ダミーのデータブロックを用意して、数
をそろえる。そして、各パリティグループには、そのグ
ループ番号をつけておく。

【００５９】図１２は、パリティグループを管理するた
めのパリティグループ構成管理表１１１の一例を示す図
である。構成され付番された各パリティグループは、こ
のパリティグループ構成管理表１１１に登録される。本
実施例では、各コンピュータ１Ｃ〜５Ｃがそれぞれデー
タブロックを４つずつ有し、そのサイズは、各コンピュ
ータの持つファイルＦ１１〜Ｆ５５がそれぞれ１つのデ
ータブロックに収まるような大きさとする。また、取り
扱うファイルもコンピュータ１Ｃ〜５Ｃのそれぞれにつ
き４つずつとする。ここで、ＦｘｙはコンピュータｘＣ
に属するｙ番目のファイルを意味する。例えば、Ｆ２３
はコンピュータ２Ｃに属する３番目のファイルを意味す
る。パリティグループ構成管理表１１１は、パリティグ
ループ番号１１１１、パリティグループの構成ファイル
１１１２、およびデータ保持情報１１１３からなる。

【００６０】構成ファイル１１１２は、行に配置された
各パリティグループについて、列に配置された各コンピ
ュータ１Ｃ〜５Ｃがそのパリティグループ中のどのブロ
ックを保持しているかを表す。例えば、要素１１１２１
は、コンピュータ３Ｃがパリティグループ＃５に関して
そのデータブロックの１つであるファイルＦ３５を保持
していることを表す。また、要素１１１２２は、コンピ
ュータ２Ｃがパリティグループ＃４に関してそのパリテ
ィブロックを保持していることを表す。

【００６１】データ保持情報１１１３は、行に配置され
た各パリティグループについて、そのパリティブロック
を保持しているコンピュータにとって有効な情報で、当
該パリティグループの各データを自コンピュータ１Ｃが
保持しているか否かを表す。各要素はそれぞれ１ビット
の情報で、‘０’が保持なし、‘１’が保持を示す。例
えば、要素１１１３３の‘１’は、パリティグループ＃
５のデータのうちコンピュータ３Ｃに属するものをコン
ピュータ１Ｃが保持していることを表す。システム立ち
上げ時には、自コンピュータ１Ｃは自コンピュータ１Ｃ
に属するデータを保持しているだけであり、他のコンピ
ュータ２Ｃ〜５Ｃに属するデータは保持していないの
で、自コンピュータ１Ｃの対応ビット１１１３１は
‘１’で、その他のビット１１１３２はすべて‘０’に
設定しておく。

【００６２】以下、コンピュータ１Ｃの動作を説明す
る。コンピュータ１Ｃは、自分に属するファイルＦ１１
〜Ｆ１４のいずれかを更新した場合、パリティグループ
構成管理表１１１の構成ファイル１１１２を参照して、
当該ファイルが属するパリティグループのバリティブロ
ックを保持するコンピュータを見つける。そして、通信
部１０２を通じて、そのコンピュータに対して、更新前
後のデータを送り、パリティの更新を依頼する。例え
ば、Ｆ１３を更新した場合、構成ファイル１１１２を参
照すると、Ｆ１３が属するパリティグループ＃３のパリ
ティブロックを保持しているのはコンピュータ３Ｃであ
ることが分かるので、コンピュータ１Ｃは通信部１０２
を通じて、コンピュータ３Ｃに更新前後のＦ１３のデー
タを送り、パリティグループ＃３のパリティブロックの
更新を依頼する。

【００６３】一方、コンピュータ１Ｃは、パリティグル
ープ＃５のパリティブロックを保持しているので、パリ
ティグループ＃５に属するファイルの更新が各コンピュ
ータで発生する度に、パリティ更新の依頼を受ける。例
えば、コンピュータ４ＣにおいてＦ４５の更新が発生し
た場合、コンピュータ１Ｃはコンピュータ４Ｃからパリ
ティグループ＃５のパリティブロックの更新の依頼を受
ける。この依頼は、通信部１０２を通じて、パリティ更
新部１０９に渡される。

【００６４】図８は、パリティ更新部１０９の処理手順
を示すフローチャートである。パリティ更新部１０９
は、まず新しいパリティを計算して、パリティを更新す
る（ステップＳ１００）。具体的には、次式 新パリティ＝旧パリティ XOR 新データ XOR 旧データ （ただし、XORは排他的論理和を表す） で計算できるが、本発明はこれに限定されるものではな
く、パリティとしては、元のデータを復元するために利
用できるビット列であれば、いかなる方法で生成された
ものでもよい。そして、パリティを更新したことを依頼
元のコンピュータに報告する（ステップＳ１０５）。次
に、データ保持情報１１１３を参照して、自分が当該デ
ータの旧データをすでに保持しているか否かを調べる
（ステップＳ１１０）。保持している場合には、以下に
述べるように、すでにその依頼元コンピュータでのデー
タの不正更新をコンピュータ１Ｃが検出済みであること
を示すので、そこで処理を終了する（ステップＳ１６
０）。

【００６５】保持していない場合には、知識ベース１０
５Ｃを用いて、そのデータ更新に不正がないかどうかを
診断する（ステップＳ１２０）。ここで、知識ベース１
０５Ｃは、第１の実施例で示したようにアクセス時間や
ユーザ名に関するものに加え、更新内容に関するものも
含む。例えば、ファイルがコンピュータウイルスに感染
した場合、その更新内容には特定のバイトパターンを含
むケースが多い。そこで、そのバイトパターンが含まれ
ていないかをチェックする。

【００６６】診断の結果が「不正更新あり」か否かを調
べ（ステップＳ１２５）、不正更新がないと判断した場
合は、そこで処理を終了する（ステップＳ１６０）。不
正があると判断した場合は、送られた旧データを保存し
ておく（ステップＳ１３０）とともに、データ保持情報
１１１３の対応するビットを‘１’にセットする。そし
て、依頼元コンピュータのＩＤをネットワーク管理部１
０４に報告し（ステップＳ１４０）、依頼元コンピュー
タを除く他のコンピュータにこのＩＤを通知するよう
に、通信部１０２に依頼し（ステップＳ１５０）、処理
を終了する（ステップＳ１６０）。

【００６７】報告を受けたネットワーク管理部１０４
は、まず、ネットワーク管理情報１０６を更新する。こ
れに関しては、第１の実施例と同様である。そして、そ
の不正に係るコンピュータに対して不正ありと判断を下
した他のコンピュータの台数が所定のしきい値を超えた
場合、第１の実施例と同様に、そのコンピュータに対応
する通信可否ビットマップ１０６２上のビットを‘１’
にセットする。それと同時に、ファイル修復部１１０
で、その不正に係るコンピュータの保持していたデータ
（不正更新を行う前のデータ）を修復する。

【００６８】図９はファイル修復部１１０が行うデータ
修復処理の手順を示すフローチャートである。パリティ
グループ番号の若い順に、パリティグループ＃１から
（ステップＳ２００）、まず、パリティグループ構成管
理表１１１の構成ファイル１１１２を参照して当該パリ
ティグループのパリティデータを自分が保持しているか
否かを調べる（ステップＳ２１０）。

【００６９】パリティデータを保持していない場合は、
そのままステップＳ２６０へ移る。パリティデータを保
持している場合は、修復対象のデータを自分が保持して
いるか否かを調べる（ステップＳ２２０）。先に述べた
ように、パリティ更新の際に、不正更新ありと判断した
場合、コンピュータ１Ｃはその不正に係る旧データを保
持している。これが修復対象データとなる。従って、ス
テップＳ２２０は、パリティグループ構成管理表１１１
のデータ保持情報１１１３を参照することにより行う。

【００７０】修復対象のデータを保持している場合は、
そのデータをパリティブロックと置き換え（ステップＳ
２３０）、ステップＳ２６０に移る。修復対象のデータ
を保持していない場合は、当該パリティグループの修復
対象データを除く全データを各コンピュータから読み出
してくる（ステップＳ２４０）。そして、集めたデータ
及びパリティから不正コンピュータが保持していたデー
タを修復して、パリティブロックと置き換え（ステップ
Ｓ２５０）、ステップＳ２６０に移る。以上の処理をす
べてのパリティグループに対して行う（ステップＳ２６
０、Ｓ２７０、およびＳ２８０）。

【００７１】以上の処理が各コンピュータで行われる
と、不正コンピュータの保持していたデータは、その対
応するパリティを保持していたコンピュータ上で修復さ
れる。そこで、その後は、不正コンピュータの保持して
いたデータを参照したい場合には、パリティグループ構
成管理表１１１から、対応するパリティを保持していた
コンピュータを調べて、そのコンピュータに対して要求
を出せばよい。

【００７２】ところで、一定期間内に不正検出がしきい
値を超えなかった場合には、第１の実施例で述べた、不
正検出の情報をクリアする処理に加えて、保持していた
旧データを破棄して、パリティグループ構成管理表１１
１のデータ保持情報１１１３の対応する要素をゼロクリ
アする。

【００７３】次に、上記のパリティ更新処理の手順（以
下、「パリティ更新プロトコル」という）に違反して、
ファイル更新時にパリティ更新を依頼しなかったり、パ
リティ更新を実行しなかったりというような不正の検出
について述べる。

【００７４】まず、データを更新してから、パリティ更
新依頼に対する完了報告が来るまでの間は、当該データ
の参照を禁止する。これにより、上記パリティ更新プロ
トコルを守る限り、データを参照したときには、そのデ
ータの更新時刻は、対応するパリティの更新時刻より古
いはずである。

【００７５】そこで、他コンピュータの保持しているデ
ータを参照するときには、対応するパリティも読み出
し、それぞれの更新時刻を比較する。もし、パリティの
更新時刻の方がデータの更新時刻より古ければ、明らか
に不正が行われていることになる。その不正は、データ
が不正に更新されたか、あるいはパリティが不正に更新
されなかったかのいずれかである。

【００７６】これを識別するために、参照しようとした
データを保持するコンピュータの他のデータに関しても
同様のチェックを行う。そして、所定の割合を超えるデ
ータに関してパリティの方が古ければ、参照しようとし
たデータを保持するコンピュータでの不正と判断する。
また、超えなければ、参照しようとしたデータに対応す
るパリティを保持するコンピュータでの不正と判断す
る。不正と判断した後の処理に関しては、上述のものと
同様である。

【００７７】なお、本実施例では、ファイルの更新内容
または更新時刻に基づきそのファイルの不正更新を検出
していたが、本発明はこれに限定されるものではなく、
第１の実施例で述べたような、採取したログから不正を
検出する仕掛けと組み合わせてもよい。

【００７８】以上述べた第３の実施例によれば、不正を
行ったコンピュータとの通信を絶っても、そのコンピュ
ータが保持していたデータをネットワーク上で修復する
ことができる。

【００７９】＜第４の実施例＞不正としてコンピュータ
ウイルスに絞った実施例を述べる。ネットワーク構成に
関しては、第１の実施例と同様である。

【００８０】図１０は、ネットワークを構成する一コン
ピュータ１Ｄの構成を示す図である。コンピュータ１Ｄ
は、通信部１０２と、コンピュータウイルスチェック部
１１２、ウイルスチェック指示部１１３、およびウイル
スチェック表１１４を有する。通信部１０２について
は、第１の実施例と同様の構成である。コンピュータウ
イルスチェック部１１２は、具体的には、コンピュータ
ウイルスの感染を検出し、データを修復する機能を持つ
コンピュータワクチンソフトである。そのワクチンソフ
トは、各コンピュータ１Ｄ〜５Ｄで、それぞれ異なった
ものが格納されている。

【００８１】図１３はウイルスチェック表１１４を示す
図である。この表は、行に自コンピュータ１Ｄの保持す
るファイル名、列にネットワーク上のコンピュータ１Ｄ
〜５Ｄを配置し、各ファイルが各コンピュータでウイル
スチェックを行ったか否かを示す。各要素は‘０’また
は‘１’の値を取り、‘０’はチェック未済み、‘１’
はチェック済みを表す。立ち上げ時には、これらの要素
をゼロクリアしておく。

【００８２】コンピュータ１Ｄは、所定の周期ごとに、
ウイルスチェック指示部１１３に制御を渡す。ウイルス
チェック指示部１１３は、ウイルスチェック表１１４の
中から、‘０’の要素を一つ抜き出し、その対応するフ
ァイルを対応するコンピュータに送り、ウイルスチェッ
クを依頼する。そして、それが完了すれば、対応する要
素を‘１’にセットする。なお、すべての要素が‘１’
になったら、再び表全体をゼロクリアする。

【００８３】一方、ウイルスチェック指示を受けたら、
コンピュータウイルスチェック部１１２で、ワクチンソ
フトを起動してウイルスチェックを行う。もし、ウイル
スに感染していることを検出したら、ウイルスチェック
指示を送信してきたコンピュータに対して、そのファイ
ルがウイルスに感染していることを報告するとともに、
その検出を行ったワクチンソフトを送る。そして、上記
報告を受けたコンピュータは、併せて送られたワクチン
ソフトを用いて、自分の持つすべてのファイルについ
て、ウイルスチェックおよび修復処理を行う。

【００８４】なお、本実施例では、ウイルスチェックを
指示するのは、所定の一定周期ごとであったが、本発明
はこれに限定されるものではなく、ファイルを更新する
度に、そのファイルをチェック対象として選んでもよ
い。

【００８５】また、本実施例では、ウイルス感染を検出
したとき、そのワクチンソフトを指示のあったコンピュ
ータだけに送っているが、本発明はこれに限定されるも
のではなく、そのワクチンソフトをネットワーク上のす
べてのコンピュータに送ってもよい。

【００８６】以上述べた第４の実施例によれば、ネット
ワーク上の全コンピュータ上でファイルを一通りウイル
スチェックさせることにより、ネットワーク上で対策し
ている複数のウイルスに対して防御できる上、そのため
の複数のワクチンソフトを一台のコンピュータが保持し
て一度にまとめてチェックする必要はなく、ウイルスチ
ェックの負荷分散を実現できる。

【００８７】

【発明の効果】本発明のネットワークセキュリティシス
テムによれば、ネットワーク内のあるコンピュータで、
不正侵入、データ改竄、あるいはウイルス感染等の異常
が発生したとき、ネットワーク全体で協調してそれを検
出し、その異常部分を除去して元の正常な状態に回復さ
せることが可能である。

【図面の簡単な説明】

【図１】本発明の第１の実施例のネットワークセキュリ
ティシステムの構成図である。

【図２】本発明のログ採取の一例を示す図である。

【図３】本発明の第１の実施例の知識ベースの一例を示
す図である。

【図４】本発明の第２の実施例のネットワークセキュリ
ティシステムの構成図である。

【図５】本発明の第２の実施例のネットワークセキュリ
ティシステムを構成する代表コンピュータの構成図であ
る。

【図６】本発明の第２の実施例の知識ベースの一例を示
す図である。

【図７】本発明の第３の実施例のネットワークセキュリ
ティシステムを構成する一コンピュータの構成図であ
る。

【図８】本発明の第３の実施例におけるパリティ更新手
順を示すフローチャートである。

【図９】本発明の第３の実施例におけるデータ修復手順
を示すフローチャートである。

【図１０】本発明の第４の実施例のネットワークセキュ
リティシステムを構成する一コンピュータの構成図であ
る。

【図１１】本発明のネットワーク管理情報の内容を示す
図である。

【図１２】本発明の第３の実施例におけるパリティグル
ープ構成管理表を示す図である。

【図１３】本発明の第４の実施例におけるウイルスチェ
ック表を示す図である。

【符号の説明】

１〜５ コンピュータ ６ ＬＡＮ １０１ ログ採取部 １０２ 通信部 １０３ ログ診断部 １０４ ネットワーク管理部 １０５ 知識ベース １０６ ネットワーク管理情報 １０６１ 診断結果マトリクス １０６２ 通信可否ビットマップ １０６３ 不正検出時刻マップ １０７ 共通ログ抽出部 １０８ 知識ベース １０９ パリティ更新部 １１０ ファイル修復部 １１１ パリティグループ構成管理表 １１２ コンピュータウイルスチェック部 １１３ ウイルスチェック指示部 １１４ ウイルスチェック表

Claims (9)

【特許請求の範囲】
1. 【請求項１】複数のコンピュータと上記各コンピュータ
   間の通信のための通信手段とを有するコンピュータ・ネ
   ットワークにおける不正行為を防止するネットワークセ
   キュリティシステムにおいて、 上記各コンピュータは、動作の来歴であるログを記録す
   る手段と、上記ログを上記ネットワーク上の他のコンピ
   ュータに通知する手段と、上記ログに基づき上記ネット
   ワーク上の各コンピュータでの各動作が不正であるか否
   かを判断するための知識ベースとを有し、 上記各コンピュータは、上記他のコンピュータから上記
   ログが送られる度に、上記知識ベースを参照して上記ネ
   ットワーク上の各コンピュータでの不正行為の有無を検
   査し、検査の結果上記各コンピュータのうちのあるコン
   ピュータで不正行為があったと判断した場合、該コンピ
   ュータにおいて不正行為のあった旨を表すメッセージを
   上記他のコンピュータに送信し、 該メッセージを受信した上記各コンピュータは、所定の
   期間内に所定のしきい値を超える台数の上記コンピュー
   タが上記不正行為に係るコンピュータに対して不正行為
   ありと判断したことを検知したとき、以後、不正行為あ
   りと判断されたコンピュータとの通信を絶つことを特徴
   とするネットワークセキュリティシステム。
2. 【請求項２】請求項１に記載のネットワークセキュリテ
   ィシステムにおいて、 上記各コンピュータは、自コンピュータにおいてログイ
   ン、ログアウト、およびファイルアクセスが行われる度
   に、その時刻およびユーザ名をログとして採取し、上記
   各コンピュータが各自について採取したログをそれぞれ
   収集し、 収集されたログに基づき、ログイン、ログアウト、およ
   びファイルアクセスの日時または頻度について上記各コ
   ンピュータを相互に比較したとき、上記各コンピュータ
   のうちのあるコンピュータが他のコンピュータに比して
   所定の基準より顕著な特徴を有する場合、該コンピュー
   タに不正行為があったと判断することを特徴とするネッ
   トワークセキュリティシステム。
3. 【請求項３】複数のコンピュータと上記各コンピュータ
   間の通信のための通信手段とを有するコンピュータ・ネ
   ットワークにおける不正行為を防止するネットワークセ
   キュリティシステムにおいて、 上記各コンピュータは、動作の来歴であるログを記録す
   る手段と、上記ログを上記ネットワーク上の他のコンピ
   ュータに通知する手段とを有し、上記ネットワークは複
   数のサブネットワークに分割され、上記各サブネットワ
   ークは１台の代表コンピュータを有し、 上記各代表コンピュータは、自らが所属するサブネット
   ワーク上の全コンピュータの上記ログを収集し、所定の
   しきい値以上のコンピュータに共通するログを抽出し、
   抽出されたログをもって該サブネットワークのログとみ
   なして該ログを上記他のサブネットワークの代表コンピ
   ュータに通知するとともに、上記他のサブネットワーク
   の代表コンピュータから通知された上記ログを収集し、
   収集されたログに基づき、ログイン、ログアウト、およ
   びファイルアクセスの日時または頻度について上記各サ
   ブネットワークを相互に比較したとき、上記各サブネッ
   トワークのうちのあるサブネットワークが他のサブネッ
   トワークに比して所定の基準より顕著な特徴を有する場
   合、該サブネットワーク全体に不正行為があったと判断
   することを特徴とするネットワークセキュリティシステ
   ム。
4. 【請求項４】請求項３に記載のネットワークセキュリテ
   ィシステムにおいて、 上記各代表コンピュータは、上記サブネットワーク全体
   に不正行為があったと判断した場合、不正行為があった
   旨を表すメッセージを上記他の代表コンピュータに送信
   し、 該メッセージを受信した上記各代表コンピュータは、所
   定の期間内に所定のしきい値を超える台数の代表コンピ
   ュータが上記不正行為に係るサブネットワークに対して
   不正行為ありと判断したことを検知したとき、以後、自
   らの所属するサブネットワークのすべてのコンピュータ
   に対して、上記不正行為ありと判断されたサブネットワ
   ークに属するすべてのコンピュータとの通信を禁止する
   旨を通知することを特徴とするネットワークセキュリテ
   ィシステム。
5. 【請求項５】複数のコンピュータと上記各コンピュータ
   間の通信のための通信手段とを有するコンピュータ・ネ
   ットワークにおける不正行為を防止するネットワークセ
   キュリティシステムにおいて、 上記各コンピュータに属する各データは、それぞれ該デ
   ータを所定のサイズで分割してできる複数のデータブロ
   ックから上記各コンピュータにつき１つずつ選択された
   データブロックを組み合わせてなる複数のパリティグル
   ープとして管理され、 上記各パリティグループは、それぞれ自グループに属す
   るすべての単位データから作成されたパリティブロック
   を含み、 上記パリティブロックは上記ネットワーク上のコンピュ
   ータのうちの１つに格納され、 上記各コンピュータは自らに属するデータを更新した
   後、該更新に係るデータブロックが属するパリティグル
   ープのパリティブロックを保持するコンピュータに対し
   て、更新前後の新旧データブロックを渡してパリティ更
   新を指示し、 上記パリティ更新を指示されたコンピュータは、自分の
   保持するパリティブロックと上記新旧データブロックと
   から新パリティブロックを計算してパリティブロックを
   更新し、上記データの更新の日時または頻度の情報に基
   づき、該更新が不正であるか否かを判断し、不正である
   と判断した場合は、送られた旧データブロックを保持し
   ておき、不正更新があった旨を表すメッセージを他のコ
   ンピュータに送信し、 該メッセージを受信した上記各コンピュータは、上記不
   正更新を検出したコンピュータの台数が所定の期間内に
   所定のしきい値を超えなかった場合は、保持しておいた
   上記旧データブロックを破棄し、該しきい値を超えた場
   合は、以後、上記不正更新に係るコンピュータとの通信
   を絶つとともに、該コンピュータに属する各データブロ
   ックについて、それぞれ対応するパリティブロックを有
   するコンピュータが、上記旧データブロックを保持して
   いた場合は、該旧データブロックを該パリティブロック
   と置き換え、上記旧データブロックを保持していない場
   合は、該パリティブロックの属するパリティグループの
   全データブロックから上記不正更新に係るコンピュータ
   の保持していたデータブロックを復元し、復元されたデ
   ータブロックを該パリティブロックと置き換えることに
   よって、不正更新に係るコンピュータとの通信を絶った
   状態で該コンピュータが保持していたデータブロックを
   上記ネットワーク上で修復することを特徴とするネット
   ワークセキュリティシステム。
6. 【請求項６】請求項５に記載のネットワークセキュリテ
   ィシステムにおいて、 上記各コンピュータは、上記他のコンピュータの保持し
   ているデータを参照する場合、該データの参照に係るデ
   ータブロックに対応するパリティブロックを併せて参照
   し、該データブロックおよび該パリティブロックの最終
   更新時刻を比較して、該パリティブロックの最終更新時
   刻が該データブロックの最終更新時刻より古ければ、上
   記各コンピュータのうちのいずれかのコンピュータに不
   正があったと判断して、参照しようとしたデータを保持
   しているコンピュータに属する他のデータブロックにつ
   いて、上記参照に係るデータブロックの場合と同様の比
   較を行い、所定の基準値を超える割合のデータブロック
   について、対応するパリティブロックが該データブロッ
   クより古ければ、該データブロックを保持するコンピュ
   ータでの不正、そうでなければ、該パリティブロックを
   保持するコンピュータでの不正と判断するとともに、他
   のコンピュータに対して、同様の比較をするように指示
   し、比較した結果に基づく判断が所定のしきい値を超え
   るコンピュータ間で一致したことを検知したとき、不正
   と判断されたコンピュータとの通信を絶つとともに、該
   コンピュータが保持していたデータブロックを修復する
   ことを特徴とするネットワークセキュリティシステム。
7. 【請求項７】複数のコンピュータと上記各コンピュータ
   間の通信のための通信手段とを有するコンピュータ・ネ
   ットワークにおける不正行為を防止するネットワークセ
   キュリティシステムにおいて、 上記各コンピュータは、それぞれ異なったコンピュータ
   ウイルスに効果のある異なったワクチンソフトを有し、
   上記ネットワーク上のコンピュータのうちの１台以上に
   対して自分の保持するファイルを送信し、 該ファイルを受信したコンピュータは、自分の保持する
   ワクチンソフトを用いてウイルスチェックを行い、該フ
   ァイルについてウイルス感染を検出した場合、該ファイ
   ルの送信元のコンピュータに該ワクチンソフトを送信す
   ることを特徴とするネットワークセキュリティシステ
   ム。
8. 【請求項８】請求項７に記載のネットワークセキュリテ
   ィシステムにおいて、 上記各コンピュータは、ファイルを更新する度に上記ネ
   ットワーク上のコンピュータから１台以上のコンピュー
   タを選択し、選択されたコンピュータに対して上記ファ
   イルのウイルスチェックを依頼することを特徴とするネ
   ットワークセキュリティシステム。
9. 【請求項９】請求項７に記載のネットワークセキュリテ
   ィシステムにおいて、 上記ウイルス感染を検出したコンピュータは、検出に用
   いたワクチンソフトを上記ネットワーク上のすべてのコ
   ンピュータに送信し、 該ワクチンソフトを受信した各コンピュータは、該ワク
   チンソフトを実行させて各自コンピュータに属するファ
   イルに対して上記ウイルスチェックを行うことを特徴と
   するネットワークセキュリティシステム。