WO2004084063A1

WO2004084063A1 - ウィルスの感染を阻止する方法およびシステム

Info

Publication number: WO2004084063A1
Application number: PCT/JP2004/003520
Authority: WO
Inventors: Naoto Kuroda
Original assignee: Seiko Epson Corporation
Priority date: 2003-03-17
Filing date: 2004-03-17
Publication date: 2004-09-30
Also published as: CN1761939A; JP4196989B2; US20060288414A1; JPWO2004084063A1

Abstract

　ネットワークでのウィルスの感染を検出して、ウィルスの感染を阻止するシステムが開示される。ネットワーク（１）を介してアクセスが可能なおとり手段（１３，１４，１５）が記憶装置（１２）上に設けられる。おとり手段（１３，１４，１５）へのウィルスの侵入を検出し、かつ、ウィルスの侵入を検出した時、ウィルスの侵入時に取得した通信情報から当該ウィルスの送信元となっているコンピュータを検出する通信情報解析手段（１６）と、ウィルス送信元コンピュータに対して、ネットワークを介してウィルスの活動を抑制するウィルス攻撃処理を行うコンピュータ攻撃手段（１７）と、を備える。ウィルスに感染しているコンピュータ（５）を特定し、管理者がウィルスを除去する等の対策を終了するまでの間、監視コンピュータ（１０）のコンピュータ攻撃手段（１７）による攻撃を行う。

Description

明ウィルスの感染を阻止する方法およびシステム

技術分野本発明は、ネッ 1、ワークに接続されたコンピュータがウィルスに感染したとき、感染源を突き止めて、同じネットワークに接続された他のコ糸田

ンピュータへの感染を阻止する技術に関する。

背景技術コンピュータゥイノレスには、サーバ等のコンピュータの共有フオノレダに侵入して、所定のファイルやプログラムにアクセスをし、それを破壌したり、誤動作させるように書き換えたりするものがある。ウィルスの存在は、所定のプログラムを使って検出することができる。このプログラムは、ウィルスのフアイノレ名、ウィルスの行動パタン等から、ウイノレスであると判断をする。ウィルスを検出すると、コンピュータの管理者は必要な処置を施し、ウィルスを除去する。ウィルスを検出してヮクチンを配布する技術は、各種紹介されている（特許文献 1 ：特開 2 0 0 2 - 2 5 9 1 4 9号公報参照）。

ところで、上記のような従来の技術には、次のような解決すべき課題があった。

ウィルスを検出したときは、すみやかにその存在場所を突き止めて、ネットワークから切離し、ヮクチンを用いて駆除するという処理をしなければならない。しかしながら、ウィルスを検出してから対策処理を完了するまでの間に時間がかかる場合がある。時間がかかると、次々と被害が拡大して、ネットワークに重大な被害を及ぼす恐れもある。

また、ネットワーク上の別のコンピュータに潜んで、ネットワークを通じてファイルアクセスをしてくるようなウィルスは、活動を開始するまで検出が困難なことがある。そのウィルスが活動を開始し、ウィルスを検出したとしても、ウィルスの潜んでいるコンピュータを調べて、そのウイルスを駆除するまで時間がかかると、被害が拡大するという問題があった。発明の開示本発明は、ネットワークに接続されたコンピュータがウィルスに感染していることを突き止めると共に、同じネットワークに接続された他のコンピュータへの被害の拡大を阻止する技術を提供することを目的とする。

本発明の第 1 の態様によれば、

ネットワークでのウィルスの感染を検出して、ウィルスの感染を阻止する方法であって、

ネットワークを介してアクセス可能なおとりを、ウィルスの侵入を監視するコンピュータ上に設けて、ネットワークを介して前記おとりに対するアクセスを受け付けて、通信情報を取得すると共に、ウィルスの侵入を検出し、そのおとりにウィルスが侵入したとき、対応して取得した通信情報に基づいて、ウィルスの送信元となっているコンピュータを検出し、ウィルスの送信元となっているコンピュータに対して、ネットヮークを介してウィルスの活動を抑制するウイルス攻撃処理を行うこと、を特徴とするウイルスの感染を阻止する方法が提供される。

本発明の第 2の態様によれば、

ネットワークでのウィルスの感染を検出して、ウィルスの感染を阻止するシステムであって、

ネットワークを介してアクセスが可能なおとり手段と、

前記おとり手段へのウィルスの侵入を検出し、かつ、ウィルスの侵入を検出した時、ゥィルスの侵入時に取得した通信情報から当該ウイルスの送信元となっているコンピュータを検出する通信情報解析手段と、ウィルスの送信元となっているコンピュータに対して、ネットワークを介してウィルスの活動を抑制するウィルス攻撃処理を行うコンビユータ攻撃手段と、を備えることを特徴とするウイルスの感染を阻止するシステムが提供される。

本発明の第 3 の態様によれば、

ネットワークでのウイ /レスの感染を検出して、ウイノレスの感染を阻止するシステムであって、

ウィルスの送信元となっているコンピュータに対してウィルス攻撃処理を行うことについての依頼を受ける手段と、

前記受けた依頼に基づいて、前記ウィルスの送信元となっているコンピュータに対して、ネットワークを介してウィルスの活動を抑制するゥィルス攻撃処理を行うコンピュータ攻撃手段と、を備えることを特徴とするウイルスの感染を阻止するシステムが提供される。

本発明の第 4の態様によれば、

ネットワークでのウィルスの感染を検出して、ウィルスの感染の阻止をコンピュータに実行させるプログラムであって、

予め設けられたネットワークを介してアクセスが可能なおとり手段へのウィルスの侵入を検出し、かつ、ウィルスの侵入を検出した時、ウイルスの侵入時に取得した通信情報から当該ウイルスの送信元となっているコンピュータを検出する通信情報解析手段と、

ウィルスの送信元となっているコンピュータに対して、ネットワークを介してウィルスの活動を抑制するウィルス攻撃処理を行うコンビユータ攻撃手段と、をコンピュータに構築させる、ゥィルスの感染を阻止するプログラムが提供される。

また、本発明の第 5の態様によれば、

ウィルスの信元となっているコンピュータネットワークァドレスの通知を受けたとき、ウィルスの送信元となっているコンピュータからの通信を拒絶する処理を、コンピュータに実行させるウィルスの感染を阻止するプログラムが提供される。図面の簡単な説明図 1 は、ウィルスの感染を阻止するシステムの具体例を示すプロック図である。

図 2は、検出報告の例を示す説明図である。

図 3は、複数のコンピュータにより感染コンピュータを攻撃する例を示す説明図である。

図 4は、大規模なコンピュータネットワークの説明図である。

図 5は、監視コンピュータの基本動作を示すフローチャートである。図 6は、監視コンピュータの協力動作を示すフローチヤ一トである。

発明を実施するための最良の形態以下、発明を実施するための最良の形態について、その原理を含む概要について説明する。その後、詳細について説明する。

ネットワークを介してアクセス可能なおとりを、ウィルスの侵入を監視するコンピュータ（監視コンピュータ）上に設けて、ネットワークを介して前記おとりに対するアクセスを受け付けて、通信情報を取得すると共に、ウィルスの侵入を検出し、そのおとりにウィルスが侵入したとき、対応して取得した通信情報に基づいて、ウィルスの送信元となっているコンピュータを検出し、ウィルス送信元コンピュータ (感染コンピユータ）に対して、ネットワークを介してウィルスの活動を抑制するゥィルス攻撃処理を行う。また、ウィルスの送信元となっているコンビュータの管理者宛に検出報告を送信する。ここで、おとりには、セキュリティが低いものを用意して、ウィルスの侵入を促す。おとりのセキュリティを低くするには、ウィルスからの保護を想定している各種コンピュータにおけるセキュリティより、低くすることにより実現する。ただし、他のコンピュータよりセキュリティが低いかを調べることは必ずしも容易ではない。そこで、ゥィルス対策の程度によって、セキュリティの差を付けることが考えられる。例えば、一般的に行うべきウィルス対策を全く採らないことが考えられる。具体的には、ウイ /レス対策ソフトウェアをインスト一ノレしないこと、または、インストーノレされているウィルス対策ソフトウエアを無効とすること、オペレーティングシステム、アプリケーション等に、セキュリティホールがある場合には、そのまま放置すること等が挙げられる。

なお、このウィルス対策を、特定のコンピュータ群のために行う場合には、対象となるコンピュータのセキュリティレベルが既知であることが多い。このような場合、対象となるコンピュータ群の中で、セキユリティの最も低いコンピュータより低いセキュリティとなるように、おとりのセキュリティを設定する。このようにすることで、おとりを、ウイルス対策を行うべきコンピュータ群の中で最もウィルスに侵入され易くすることができる。

おとりとしては、例えば、図 1 に示すように、おとりフォルダ 1 4を設けること、おとりアプリケーション 1 5 を設けること、おとりサーバ 1 3を設けること等が挙げられる。これらを単独で、または、 2以上を併用することができる。おとりを複数のコンピュータに分散して設けることもできる。

おとりフォルダ 1 3は、ネットワーク 1 に接続されたコンピュータ 1 0 の記憶装置 1 2上に擬似的に形成した、おとりサーバ中に設けられたアプリケ一ションにより構成することができる。フオルダにおけるウイルスの侵入とは、ウイ /レスが、ネットワークを通じて、フォルダ中の任意のファイルを読み出したり、ファイルの書き替えを試みたりする状況をいう。ウィルスに感染するというのは、ウィルス自体がコンピュータの記憶装置のどこかに取り込まれていることをいう。

通信情報は、ウィルスがおとりフォルダに侵入をしたときにネットヮークから受信した通信経路等の情報である。この通信情報中に、ウィルスの送信元となっているコンピュータのネットワークァドレス等が含まれる。ウィルスの送信元となっているコンピュータは、ウィルスに感染したコンピュータである。おとりフォルダで待ち受けるので、侵入してきたウィルスを検出できる。検出報告の内容は任意である。報告方法も任意である。感染したコンピュータの管理者に通知すると同時にその感染源のコンピュータを攻撃する。

探索の対象となるウィルスが、共有フォルダへ侵入する性質を持つゥィルスであることもある。このような共有フォルダへ侵入するウィルスは、おとりフォルダを設けることで、その活動を検出できる。

おとりアプリケーション 1 5は、ネットワークに接続されたコンビュータの記憶装置上に擬似的に形成した、おとりサーバ中に設けられたァプリケーシヨンにより構成される。このおとりは、サーバへ侵入する性質を持つウィルス検出のための構成である。おとりフォルダの代わりにおとりアプリケーションを設けた例である。例えば、探索の対象となるウィルスがアプリケーションの誤動作を引き起こす性質を持つウィルスである場合、擬似的なおとりアプリケーションを設けることで、その活動を検出できる。

おとりサーバ 1 3は、サーバへ侵入する性質を持つウィルスを検出する。おとりサーバは、擬似的なアプリケーションにより構成され、みかけ上サーバの構成を持つデータを有する。おとりサーバ 1 3は、それに対してアクセスがあると、そのアクセスに対してサーバと同様の応答を返す機能を持つ。想定されるサーバの形式は、ァクセスの対象となるサーパであればよい。例えば、ウェブサーバ、メールサーバ等がある。いずれであってもよい。このおとりサーバは、サーバ攻撃型のウィルスに対応するための構成である。コンピュータの記憶装置上に擬似的に形成した、おとりサーバ中に、おとりフォルダを設けた構成としているので、ウィルスの攻撃を受けてもその影響を受けない。すなわち、被害は発生しない。同時に、攻撃を受けながら、その出所を突き止めることができる。おとりサーバとおとりフォルダとは、全く別のものでも、一体化したアプリケ一ションにより構成されるものでもよい。

おとりに、ウィルスが侵入をしたとき、直ちに感染源を突き止めて、被害の拡大を阻止した上で対策を施す。すなわち、感染コンピュータに対し、ウィルスの活動を抑制するウィルス攻擊処理を行う。ウィルス攻撃処理としては、高負荷を与えるための情報を、ネットワークを介して送信することが挙げられる。攻撃は、ウィルスの駆除が完了するまで継続する。ゥィルス対策とは、感染コンピュータをネットワークから切り離すこと、または、ウィルスを駆除することである。

主体から見た攻撃態様としては、単独攻撃、依頼攻撃、共同攻撃等がある。単独攻撃は、監視コンピュータが、単独で感染コンピュータを攻撃するものである。依頼攻擊は、監視コンピュータが、感染コンビユータの近くに所在する、攻撃能力を有するコンピュータに攻撃を依頼して、依頼されたコンピュータが感染コンピュータを攻撃するものである。共同攻撃は、複数のコンピュータにより感染コンピュータを攻撃するものである。これらの詳細については後述する。なお、依頼攻撃の際の攻撃方法、共同攻撃の場合の攻撃方法は、監視コンピュータが定めて、統一的に攻撃するようにすることができる。また、依頼先、共同の相手先の各コンピュータが有する攻撃能力に基づいて攻撃するよう依頼することもできる。

また、攻撃の内容としては、本発明では、前述したように、感染コンピュータにおいてウィルスの活動を抑圧するため、または、感染コンビユータ中のウィルスの活動を阻止するため、感染コンピュータに対して高い通信負荷をかける方法と、感染コンピュータの C P Uに高い負荷をかける方法とを用いる。いずれか一方、または、両者を組み合わせて用いてもよい。攻撃の仕方の詳細については後述する。

ウィルスの送信元となっている感染コンピュータを検出した場合、まず、感染コンピュータの管理者宛の検出報告を発する。その上で、当該ウィルスへの対策が完了するまで攻撃を行う。

また、感染コンピュータを攻撃するに当たり、攻撃開始を予告するための、メッセージを送信して、コンピュータの使用者、管理者に注意を促す。さらに、攻撃開始時もしくは攻擊開始以後、攻撃元の端末装置で警報音を発生させる。これにより、感染コンピュータとネットワークを共有している他の端末装置の使用者に注意を促すことができる。警報音の種類は任意である。また、ディスプレイに攻撃動作中の表示をしてもよい。

攻撃を行うため、監視コンピュータはもとより、依頼先のコンビユータ、共同攻撃に参加するコンピュータには、それぞれウィルスの送信元となっているコンピュータに負荷を与える処理を当該コンピュータに実行させるための攻撃プログラム（ウィルス対策プログラム）を持たせておく。このウィルス対策プログラムを、必要に応じて監視コンピュータから、適宜、他のコンピュータにインスト一ノレする構成としてもよい。

また、監視コンピュータ以外の攻撃に参加するコンピュータは、攻撃機能を有すれば足りる。従って、監視機能を持っていなくてもよい。

一方、感染コンピュータ以外のコンピュータの防御策も用意しておく。例えば、ウィルスの送信元となっているコンピュータネッ 1、ワークァドレスの通知を受けたとき、ウィルスの送信元となっているコンビユータからの通信を拒絶する処理を、コンピュータに実行させる。また、ネットワーク監視用のコンピュータから、感染コンピュータの通知を受けたとき、防御のためにウィルスの送信元となっているコンピュータからの通信を拒絶する処理を実行する。

次に、本発明の実施の形態について、それぞれ図面を参照して説明する。

図 1 は、ウィルス対策システムの具体例を示すブロック図である。ネッ 1、ワーク 1 には、ネットワークインタフェース 4を介してコンビユータ 5が接続されている。このコンピュータ 5には、記憶装置 6が設けられている。この記憶装置 6に、ウィルス 7が感染しているものとする。このコンピュータ 5を感染コンピュータと呼ぶことにする。

ネットワーク 1には、監視コンピュータ 1 0が接続されている。監視コンピュータ 1 0は、ネットワークインタフェース 1 1 と、記憶装置 1 2 とを備える。記憶装置 1 2には、おとりサーバ 1 3 と、おとりフオルダ 1 4 と、おとりアプリケーション 1 5 とが記憶されている。コンビュータ 1 0は、それが実現する機能として、ネットワークインタフェース 1 1で取得される通信情報を監視するために、通信情報解析手段 1 6が設けられている。通信情報解析手段 1 6の出力は、警報発生手段 1 9を駆動する。さらに、通信情報解析手段 1 6の出力に基づいて、コンビュータ攻撃手段 1 7 と検出報告送信手段 1 8 とが動作するように構成されている。通信情報解析手段 1 6 とコンピュータ攻撃手段 1 7 と検出報告送信手段 1 8 と警報発生手段 1 9 とは、いずれも、コンピュータ 1 0の図示していない C P Uにより実行されて、監視コンピュータ 1 0に所定の処理を実行させるコンピュータプログラムである。これらのプロダラムは、記憶装置 1 2にインストールされ、実行時に図示していない C P Uにロードされる。

この発明は、ウィルス 7に感染しているコンピュータ 5 を特定し、そのコンピュータ 5の管理者がウィルス 7を除去するまでの間、そのコンピュータ 5に高負荷を生じさせ、ウィルス 7の活動を抑制する。ウィルス 7に感染しているコンピュータ 5 を特定するために、おとりサーバ 1 3、おとりフォルダ 1 4およびおとりアプリケーション 1 5をネットヮーク 1中に構築する。おとりサーバ 1 3等は、監視コンピュータ 1 0中に擬似的に生成する。おとりフォルダ 1 4は、監視コンピュータ 1 0の記憶装置 1 2中の、任意の場所に生成するとよい。また、おとりサーバ 1 3中に一体に生成する。

[おとりサーバ等]

おとりのサーバ 1 3は、ネットワーク 1上で最先にゥィルス 7が攻撃してくるような環境となるように環境設定を行うことが好ましい。セキユリティのレベルを最も低くするとともに、例えば、コンピュータ名は、ネットワークコンピュータリストの最も上位に表示されるような名称に選定する。また、ウィルスを受け入れるための共有フォルダ名は、ゥィルスがァタックしゃすい性質のフォルダ名とする。これも、共有フォルダリス 1、の最も上位に表示されるような名称に選定するとよい。また

、コンピュータ名もフォルダ名も、ウィルスの性質から最適なものを決定するとよい。例えば、おとりサーバ 1 3は、ウィルス 7が実在のサーバに対して侵入を試みた場合の応答と全く同様の応答をするように動作するアプリケーションプログラムからなる。実在のサーバとは異なるから、破壌活動に対しては何の影響もない。例えば、フォルダ 1 4は、ゥィルス 7が実在のフォルダに対してアクセスした場合の応答と全く同様の応答をするように動作するアプリケーションプログラムからなる。実在のフォルダとは異なるからファイルの削除といつた破壊活動に対して何の影響もない。おとりアプリケーション 1 5は、実際のアプリケーションとは異なるから、誤動作を引き起こされる恐れはない。

[感染コンピュータの特定]

通信情報解析手段 1 6には、ウィルスの侵入を検出すると、直ちにその通信情報中から発信源のコンピュータ名を解析して、特定する機能を持つ。この情報には、誰がログオンしたコンピュータ力、そのコンビュ一タのァドレスは何か、コンピュータを使用している社員の社員コードは何か、といった情報が含まれる。

なお、コンピュータウィルスを発見した場合に、感染しているコンビユータを、無条件で直ちに攻撃すると、使用者がとまどって様々な弊害が生じる。そこで、警報発生手段 1 9 を設ける。警報発生手段 1 9は、例えば、ポップアップメッセージなどの通知手段を使って、感染コンビユータに対し、「このコンピュータはウィルスに感染しています。早急にネットワークから切り離してください」といった対策開始を予告するメッセージを送信する機能を持つ。さらに、周辺のコンピュータ利用者に対し、ネットワークを通じて、ウィルス 7が侵入する恐れがある旨の警告を発するために、例えば、スピーカ 2を鳴らしたりディスプレイ 3 に警報画面を表示したりする機能を持つ。

図 2 ( a ) および図 2 ( b ) は、検出報告の例を示す説明図である。通信情報解析手段 1 6 (図 1参照）は、通信情報から取得した送信元 I P アドレス 8 を検出報告送信手段 1 8に転送する。検出報告送信手段 1 8は、感染コンピュータ 5の管理者に対して、例えば、電子メールゃファクシミリを利用して、検出報告を送信する。図 2 ( a ) は拡散型のゥィルスを検出したときの検出報告例である。図 2 ( b ) は、ネットヮーク共有型のゥィルスを検出したときの検出報告例である。例えば、図 2 ( a ) では、 I Pアドレスが「 192. 168. 10. 15」のコンピュータに、同図のようなパタンのウィルスによる攻撃がされている。といった報告である。

[ウィルスの侵入と感染コンピュータの検出]

ゥイノレスが、ネットワーク上のいずれかのコンピュータに取り込まれると、所定のタイミングで活動を開始する。例えば、ウィルスは、ネットワークを通じて他のコンピュータの共有フォルダをァクセスして、そこに格納されたファイルを書き換えたり、破壌したりする。ウィルスが侵入するとい'うのは、このように、共有フォルダをアクセスする行為のことをいう。ウィルスファイルが実際にコピーされるとは限らない。従つて、ウィルスが侵入されたコンピュータでは、通常の状態では、ウイルスの侵入によるファイルのアクセスか、正常なファイルのアクセスかを区別できず、ウィルスを検出できないこともある。

そこで、おとりサーバ、および、おとりフォルダを設ける。通常のァプリケーシヨンは、予め特定したサーバ、または、フォルダにのみァクセスする。擬似的に作成された、おとりサーバまたはおとりフォルダにアクセスするのは、ウィルスである確率が極めて高い。さらに、そのァクセスパターンを確認することで、ウィルスであるとの確証を得ることができる。その後は、その通信情報から、どのコンピュータがそのウイルスに感染したかを突き止める。感染コンピュータでのウィルスの活動を阻止しなければ、このウィルスがネットワークを通じて様々なコンビユータに被害を及ぼす。

[感染コンピュータに対する攻撃]

コンピュータ攻擊手段 1 7 (図 1 ) は、感染コンピュータに対して所定の攻撃動作をする機能を持つ。このコンピュータ攻撃手段 1 7は、感染コンピュータ 5に対して、高い負荷をかける。感染コンピュータ中のゥィルスの活動を阻止するためであるから、感染コンピュータ 5に対して高い通信負荷をかける方法と、感染コンピュータの C P Uに高い負荷をかける方法がある。

感染コンピュータ 5に対して高い通信負荷をかけると、ネットワーク 1 と感染コンピュータ 5 との間を結ぶネットワークインタフェース 1 1 等の通信路でトラフィックが増大して、感染コンピュータ 5からネットワーク 1 に対する通信の通信速度が著しく低下する。従って、感染コンピュータ 5内部からネットワーク 1 を経由して他のコンピュータに向かうウィルスの侵入活動が抑制される。具体的には、 1 0 0 B A S E— T 程度の帯域を持つネットワークならば、 5メガバイト程度もある大きなパケットを感染コンピュータ宛に送信するとよい。しかしながら、この場合、 C P U自体にはさほどの負荷はかからない。

一方、感染コンピュータ 5 の C P Uに高い負荷をかけると、感染コンピュータ 5の内部でデータの破壌活動をしょうとするウィルスの活動速度が著しく低下する。従って、感染コンピュータ 5中にウィルス被害が広がることを防止できる。例えば、 P i n gバケツトを大量に連続的に送信する。これにより、 C P Uが過負荷になるので、コンピュータの内部でのウィルスの活動を阻止し、被害の拡大を抑制できる。具体的には、 2バイト程度の P i n gバケツトを感染コンピュータ 5 に向けて大量に連続的に送信する。感染コンピュータ 5の C P Uは、パケットを受信する度に応答を返すための制御をしなければならないので、 C P Uが過負荷になる。

従って、上記の一方または両方の方法を併用するとよい。もちろん、上記以外の既知の任意の方法で、感染コンピュータに対して、高い負荷をかけるようにしてもよレ、。

[複数のコンピュータによる攻撃]

図 3は、複数のコンピュータにより、感染コンピュータ 5を攻擊する例を示す説明図である。図 3 のネットワーク 1 には、監視コンピュータ 1 0およぴ感染コンピュータ 5 と、端末装置 2 0 と、端末装置 2 2 と、端末装置 2 4 とが接続されている。端末装置 2 0は、ネットワークインタフエース 2 1 を介してネットワーク 1 に接続されている。端末装置 2 2は、ネットワークインタフェース 2 3を介してネットワーク 1 に接続されている。端末装置 2 4は、ネットワークインタフェース 2 5を介してネットワーク 1に接続されている。

端末装置 2 0は、コンピュータ攻撃手段 3 1 を備えている。端末装置 2 2は、コンピュータ攻撃手段 3 2を備えている。端末装置 2 4は、コンピュータ攻擊手段 3 3を備えている。コンピュータ攻撃手段 3 1 、コンピュータ攻擊手段 3 2およびコンピュータ攻撃手段 3 3は、いずれも、監視コンピュータ 1 0 のコンピュータ攻撃手段 1 7 と同様の機能を持つ。

1台のコンピュータでは、感染コンピュータを攻撃するのが不十分な場合がある。この場合には、図 3に示すように、監視コンピュータ 1 0 は、別のコンピュータ、例えば、端末装置 2 0、 2 2および 2 4に対して、攻撃を依頼する。そして、複数台のコンピュータ 1 0、 2 0、 2 2 および 2 4の協力によって、 1台のコンピュータ 5を共同で攻撃する。これによつて、ウィルスが感染したコンピュータの機能を制限する。一方、その間に、管理者に通知して、ウィルスを削除するための時間を稼ぐ。

端末装置 2 0等は、攻搫専用のコンピュータでもよいし、一般ユーザの使用しているコンピュータにコンピュータ攻撃手段 3 1等をインストールしたものでもよい。監視コンピュータ 1 0は、ネットワーク 1 中に 1台だけ設けること、複数台設けることのいずれであってもよい。なお、監視コンピュータ 1 0からコンピュータ攻撃手段 3 1等に送信する攻撃依頼には、感染コンピュータの I Pアドレス（ネットワークァドレス）を含める。また、コンピュータ攻撃手段 3 1等を起動するコマンドを含めるとよい。コンピュータ攻撃手段を持つコンピュータは、監視コンピュータと同様の機能を持つコンピュータでもよいし、攻撃手段のみを持つコンピュータでもよレ、。

図 4は、大規模なコンピュータネットワークの説明図である。図 4に示すように、ルータ 5 0 とルータ 5 1 とにより、相互に接続されたネットワーク 5 2 とネットワーク 5 3 とネットワーク 5 4 とには、それぞれ、多数のコンピュータが接続されている。ネットワーク 5 2に接続されたコンピュータ 6 1 と 6 2のうち、コンピュータ 6 2は監視コンビユータである。ネットワーク 5 3に接続されたコンピュータ 6 3 と 6 4 と 6 5のうち、コンピュータ 6 3は監視コンピュータである。ネットワーク 5 4に接続されたコンピュータ 6 6 と 6 7 と 6 8のうち、コンピュータ 6 8は監視コンピュータである。

例えば、コンピュータ 6 7が感染コンピュータであって、コンビユータ 6 2がそのウィルスの侵入を検知することがある。このときは、コンピュータ 6 2から攻撃をしても、ルータ 5 0やルータ 5 1がボトノレネックになって、効果的な攻撃が難しい。そこで、コンピュータ 6 2は、コンピュータ 6 7 の所属するネットワーク 5 4に接続された最寄りのコンピュータ 6 8に対して、コンピュータ 6 7への攻撃を依頼する。コンビユータ 6 8は、先に説明したスピーカ等による警報を発して、周困のコンピュータ 6 6等に注意を促してから、コンピュータ 6 7 への攻撃を開始する。こうして、大規模なネットワークにおける監視動作も可能になる。

[動作フローチヤ一ト ]

図 5は監視コンピュータの基本動作を示すフローチヤ一トである。具体的には、監視コンピュータ 1 0は、プログラムを実行して、各種機能を実現する。それによつて、監視コンピュータ 1 0は、通信情報解析手段 1 6 、コンピュータ攻撃手段 1 7、検出報告手段 1 8および警報発生手段 1 9 として機能する。

まず、監視コンピュータ 1 0は、おとりサーバ 1 3、おとりフォルダ 1 4、および、おとりアプリケーション 1 5を有効にする初期設定を行う (ステップ S 1 ) 。この状態で、ウィルスの待ち受けを開始する (ステツプ S 2 ) 。通信情報解析手段 1 6は、ネットワークインタフェース 1 1の処理する通信情報を監視する。

ウィルスの侵入を検知すると、通信情報解析手段 1 6は、通信情報の解析をして、送信元 I Pアドレス 8を取得し、感染コンピュータを特定する（ステップ S 3、 S 4、 S 5 ) 。検出報告送信手段 1 8は、管理者へ検出報告をする（ステップ S 6 ) 。

警報発生手段 1 9は、スピーカ 2による警報音を鳴らす（ステップ 7 ) 。また、攻撃中である旨の動画等を、監視コンピュータ 1 0のデイスプレイ 3に表示する。さらに、警報発生手段 1 9は、感染コンピュータ 5に対して攻撃開始メッセージを送信する（ステップ S 8 ) 。

コンピュータ攻撃手段 1 7は、攻撃を開始する (ステップ S 9 ) 。その後、任意のルートでウィルス対策が完了した旨の報告を受けかを判断する（ステップ S 1 0 ) 。ウィルス対策が完了した旨の報告を受けた場合、コンピュータ攻撃手段 1 7による攻撃を終了する（ステップ S 1 1 ) ₀

図 6は、監視コンピュータの協力動作を示すフローチャートである。複数のコンピュータの協力を得て幹線コンピュータの攻撃を行う場合にも、前述した監視コンピュータ 1 0 の各種機能により、感染コンビユータの発見処理と、攻搫協力のための依頼処理と、強調攻撃処理とが行われる。

監視コンピュータ 1 0は、まず、感染コンピュータを特定する (ステップ S 2 1 —ステップ S 2 4 ) 。この感染コンピュータを特定するための処理は、前述した図 5に示す（ステップ S 2 —ステップ S 5 ) の処理と同様である。感染コンピュータを特定されたら、コンピュータ攻撃手段 1 7が、ネットワークの調査をする（ステップ S 2 5 ) 。最寄りの監視コンビユータを探すためである。最寄りの監視コンピュータを探すには、予め用意した監視コンピュータのリストから、感染コンピュータと I Pアドレスの一部が共通している監視コンピュータを検索する (ステップ S 2 6 ) 最寄りの監視コンピュータが、自分自身である場合と、図 4で説明したように、ノレータのような幾つかのネットワークコンポーネントを介して接続された監視コンピュータである場合とがある。そこで、最寄りの監視コンピュータが自分自身かどうかを判断する（ステップ S 2 7 ) 。自分自身でなかったら、攻撃依頼先を決定する（ステップ S 2 8 ) 。該当する監視コンピュータが複数ある場合は、複数の監視コンピュータに同報送信で攻撃依頼を発信すればよい。

続いて、該当する監視コンピュータに対して、攻撃依頼の発信をする (ステップ S 2 9 ) 。その後は、攻撃依頼先において、図 5のステップ S 6以降の処理が実行される。

[感染コンピュータの処置]

感染コンピュータは被害を受けている可能性が高いので、すみやかにネットワークから切り離すことが最も効果的な対策である。この対策が完了すれば、感染コンピュータへの攻搫は終了してよい。

感染コンピュータについては、その後、ウィルスの除去処理をして、被害があった部分を修復する。また、 O S (オペレーティングシステム

) 、アプリケーション等の再インストールをして復旧させる。このために、図 3に示すように、記憶装置 6には、その旨のメッセージを含む画面 4 0をディスプレイに表示する。この画面 4 0は、必要な対応措置が終了後、ボタン 4 1がクリックされるまで表示される。

この発明は、ネットワークを通じて拡散するタィプのゥィルスの拡散スピードを低下させる機能を持つ。すなわち、ウィルスが感染したコンピュータに大きな負荷をかけることによって、ウィルスの拡散を阻止する。また、ウィルスが、あるコンピュータの共有ファイルに侵入しても、その動作だけでは侵入を直ちに確認することができない場合に適する。すなわち、ウィルスが活動したとき、そのウィルスの攻撃を真っ先に受けるようにおとりのコンピュータを設定する。これによつて、ウィルスを発見し、ウィルスがどのコンピュータに感染しているかを確認し、該当する攻撃対象のコンピュータを特定する。すなわち、単にフォルダ内に侵入しただけでは、発見の難しいウィルスの検出と排除に有効である。

なお、上記のコンピュータプログラムは、それぞれ独立したプログラムモジュールを組み合わせて構成してもよいし、全体を一体化したプログラムにより構成してもよい。コンピュータプログラムにより制御される処理の全部または一部を同等の機能を備えるハードウェアで構成しても構わない。また、上記のコンピュータプログラムは、既存のアプリケーションプロダラムに組み込んで使用してもよい。上記のような本発明を実現するためのコンピュータプログラムは、例えば、 C D— R O Mのようなコンピュータで読み取り可能な記録媒体に記録して、任意の情報処理装置にィンストールして利用することができる。また、ネットヮークを通じて任意のコンピュータのメモリ中にダウンロードして利用することもできる。

Claims

請求の範囲

1 . ネットワークでのウィルスの感染を検出して、ウィルスの感染を阻止する方法であって、

ネットワークを介してアクセス可能なおとりを、ウィルスの侵入を監視するコンピュータ上に設けて、ネットワークを介して前記おとりに対するアクセスを受け付けて、通信情報を取得すると共に、ウィルスの侵入を検出し、そのおとりにウィルスが侵入したとき、対応して取得した通信情報に基づいて、ウィルスの送信元となっているコンピュータを検出し、ウィルスの送信元となっているコンピュータに対して、ネットヮークを介してウィルスの活動を抑制するウィルス攻撃処理を行うこと、を特徴とするゥィルスの感染を阻止する方法。

2 . 請求項 1 に記載のウイルスの感染を阻止する方法において、前記おとりは、おとりフォルダを記憶装置に記憶させたもの、おとりアプリケーションを記憶装置に記憶させたもの、および、記憶装置に擬似的に形成したサーバ、のうち 1以上であるウィルスの感染を阻止する方法。

3 . 請求項 1 に記載のウィルスの感染を阻止する方法において、前記ウィルス攻撃は、前記ウィルスの送信元となっているコンビユータに高負荷を与えるものであるウイルスの感染を阻止する方法。

4 . 請求項 3に記載のウイルスの感染を阻止する方法において、前記ウィルスの送信元となっているコンピュータに与える高負荷は、当該コンピュータのトラフィックを増大させることであるウィルスの感染を阻止する方法。

5 . 請求項 3に記載のウイルスの感染を阻止する方法において、前記ウィルスの送信元となっているコンピュータに与える高負荷は、当該コンピュータの C P Uが応答動作をすべき処理を大量に要求することであるウイルスの感染を阻止する方法。

6 . ネットワークでのウィルスの感染を検出して、ウィルスの感染を阻止するシステムであって、

ネットワークを介してアクセスが可能なおとり手段と、

前記おとり手段へのウィルスの侵入を検出し、かつ、ウィルスの侵入を検出した時、ゥィルスの侵入時に取得した通信情報から当該ウイルスの送信元となっているコンピュータを検出する通信情報解析手段と、ゥイノレスの送信元となっているコンピュータに対して、ネットワークを介してウィルスの活動を抑制するウィルス攻擊処理を行うコンビユータ攻撃手段と、を備えることを特徴とするウイルスの感染を阻止するシステム。

7 . 請求項 6に記載のウィルスの感染を阻止するシステムにおいて、前記おとり手段は、おとりフォルダを記憶装置に記憶させたもの、おとりアプリケーションを記憶装置に記憶させたもの、および、記憶装置に擬似的に形成したサーバ、のうち 1以上であるウィルスの感染を阻止するシステム。

8 . 請求項 6に記載のウィルスの感染を阻止するシステムにおいて、前記コンピュータ攻撃手段は、前記ウィルスの送信元となっているコンピュータに高負荷を与えるものであるウィルスの感染を阻止するシステム。

9 . 請求項 8に記載のウィルスの感染を阻止するシステムにおいて、前記コンピュータ攻撃手段は、前記ウィルスの送信元となっているコンピュータのトラフィックを増大させて、当該コンピュータ高負荷を与えることであるウイルスの感染を阻止する方法。

1 0 · 請求項 8に記載のウィルスの感染を阻止するシステムにおいて前記コンピュータ攻擊手段は、前記ウィルスの送信元となっているコンピュータの C P Uが応答動作をすべき処理を大量に要求して、当該コンピュータに高負荷を与えることであるウィルスの感染を阻止するシステム。

1 1 . 請求項 8、 9および 1 0のいずれか一項に記載のウィルスの感染を阻止するシステムにおいて、

ウィルスの送信元となっているコンピュータの管理者宛の検出報告を発する手段をさらに備え、

前記コンピュータ攻撃手段は、当該ウィルスへの対策が完了するまで、当該コンピュータへの攻撃を継続するウイルスの感染を阻止するシステム。

1 2 . 請求項 6に記載のウィルスの感染を阻止するシステムにおいて前記おとり手段は、ネットワークに接続されたコンピュータの記憶装置上に擬似的に形成した、おとりサーバ中に設けられたアプリケーションにより構成されるおとりフォルダであるゥィルスの感染を阻止するシステム。

1 3 . 請求項 6に記載のウィルスの感染を阻止するシステムにおいて前記おとり手段は、ネットワークに接続されたコンピュータの記憶装置上に擬似的に形成した、おとりサーバ中に設けられたアプリケーションにより構成されるおとりアプリケーションであるウィルスの感染を阻止するシステム。

1 4 . 請求項 8、 9およぴ 1 0のいずれか一項に記載のウイノレスの感染を阻止するシステムにおいて、

感染したコンピュータに対して、高負荷を与える攻撃開始を予告するためのメッセージを送信する手段をさらに備えるウィルスの感染を阻止するシステム。

1 5 . 請求項 8、 9および 1 0のいずれか一項に記載のウィルスの感染を阻止するシステムにおいて、

攻撃開始時もしくは攻撃開始以後、攻撃元の端末装置で警報音を発生する手段をさらに備えるウイルスの感染を阻止するシステム。

1 6 . 請求項 8、 9および 1 0のいずれか一項に記載のウィルスの感染を阻止するシステムにおいて、

ネッ 1、ワークに接続された別のコンピュータに対して、ウィルス送信元となっているコンピュータのネットワークァドレスを通知するとともに、ウィルスの送信元となっているコンピュータに対してウィルス攻撃処理を行うことを依頼する手段をさらに備えるウイルスの感染を阻止するシステム。

1 7 . ネットワークでのウィルスの感染を検出して、ウィルスの感染を阻止するシステムであって、

前記受けた依頼に基づいて、前記ウィルスの送信元となっているコンピュータに対して、ネットワークを介してウィルスの活動を抑制するゥィルス攻撃処理を行うコンピュータ攻撃手段と、を備えることを特徴とするウイルスの感染を阻止するシステム。 1 8 · ネットワークでのウィルスの感染を検出して、ウィルスの感染の阻止をコンピュータに実行させるプログラムであって、

ウィルス送信元コンピュータに対して、ネットワークを介してウイノレスの活動を抑制するウィルス攻撃処理を行うコンピュータ攻撃手段とをコンピュータに構築させる、ウィルスの感染を阻止するプログラム。

1 9 . ネットワークでのウィルスの感染を検出して、ウィルスの感染の阻止をコンピュータに実行させるプログラムであって、

ゥイノレスの送信元となってレヽるコンピュータネットワークァドレスの通知を受けたとき、ウィルスの送信元となっているコンピュータからの通信を拒絶する処理を、コンピュータに実行させるウイルスの感染を阻止するプログラム。