WO2006035928A1

WO2006035928A1 - Ｉｐ電話端末装置、呼制御サーバ、ワクチンサーバ、保守用装置、ｉｐ電話システム、これらの制御方法及びプログラム

Info

Publication number: WO2006035928A1
Application number: PCT/JP2005/018103
Authority: WO
Inventors: Nobuyuki Matsumoto
Original assignee: Tamura Corporation
Priority date: 2004-09-30
Filing date: 2005-09-30
Publication date: 2006-04-06
Also published as: JPWO2006035928A1

Abstract

　ＩＰ電話の技術において、端末の振舞いを監視することにより、ウイルス発症による外向きの攻撃を含めウィルスの活動を容易に検出し効果的な駆除等の対処を容易にすることにより、ウィルスの活動や拡大を抑制し、安全かつ安定した電話サービスの提供を可能とするＩＰ電話の技術を提供する。　プロセッサ２１による検出通知部２１２は、インタフェース制御部２７からの送信の送出情報量を監視し所定の基準に基づく超過すなわち利用者に提供すべき情報量を定常的に逸脱していることを検出すると所定の通知先へ異状通知する。

Description

明細書

IP電話端末装置、呼制御サーバ、ワクチンサーバ、保守用装置、 IP電話システム、これらの制御方法及びプログラム

技術分野

[0001] 本発明は、 IP電話技術の改良に関するもので、端末の振舞いを監視することにより

、ウィルス発症による外向きの攻撃を含めウィルスの活動を容易に検出し効果的な駆除等の対処を容易にすることにより、ウィルスの活動や拡大を抑制し、安全かつ安定した電話サービスの提供を可能とするものである。

背景技術

[0002] 近年、インターネット及びパソコン (パーソナルコンピュータ）に代表される情報処理及び通信技術の普及発達を背景に、設備の合理化のため IP電話の技術が急速に普及している。 IP電話は、音声をデジタルパケットとして IP (Internet Protocol )ネットワーク経由で伝達する VoIP技術の応用で、端末間のパケット伝送路設定等の呼制御は SIP等の呼制御サーバが行い (例えば、特許文献 1参照）、インターネット経由の V、わゆるインターネット電話を含む。

[0003] ところで、不特定多数の利用するインターネットにおけるセキュリティの問題として、パソコンに感染するコンピュータ ·ウィルスにつ、ては、検出や駆除のための、わゆるワクチンなど各種の対策技術が提案されているが、同 I ンターネットを利用する技術であっても、 IP電話におけるウィルス対策技術は知られて、な、。

特許文献 1 :特開 2004— 222147

発明の開示

発明が解決しょうとする課題

[0004] しかし、 IP電話はパソコンと比べ、電話という応用分野特有の特徴として、例えば、端末間や利用者間の通信が主目的かつ頻繁であり、常時接続も必須なうえ、フアイァウォールや NATがあっても、それを越えて LANの外部から内部への着信時の呼制御メッセージや RTPの音声パケット等の通信を受け付けるなどの特徴があり、これらはセキュリティ上は大きな脆弱性となる。このため、これらの特徴を悪用される可能性を考えると、従来のように無防備なままの状態では、どのような形のウィルスであるにしても、感染のリスクはパソコン以上に大きぐ通信の機会に乗じた感染の伝播も迅速かつ広汎で社会的影響も甚大と考えられる。

[0005] なお、パソコン用のセキュリティ対策技術の応用を考えるとしても、例えば、外部からの通信を監視する技術では、外部からの DoS (サービス拒否)攻撃などは検出できても、感染したウィルスによる外部へのそのような攻撃は検出できない限界があった。また、 IP電話端末装置を、パソコンをプログラムで制御することで実現している場合、 IP 電話で使用してヽな、ポートでの送受信を監視するのでは、他のアプリケーションによる正常な使用があっただけでも異常検出となる問題がある。

[0006] 本発明は、上記のような従来技術の課題を解決するもので、その目的は、 IP電話の技術において、端末の振舞いを監視することにより、ウィルス発症による外向きの攻撃を含めウィルスの活動を容易に検出し効果的な駆除等の対処を容易にすることにより、ウィルスの活動や拡大を抑制し、安全かつ安定した電話サービスの提供を可能とするちのである。

課題を解決するための手段

[0007] 上記の目的を達成するため、本発明は、電話操作の受付手段と、音声用の入出力手段及び CODEC手段と、通信ネットワークとの接続部と、前記接続部の制御を含む情報処理を行う制御部と、を備えた IP電話端末装置において、前記受付手段の受け付ける電話操作に応じ、前記入出力手段及び CODEC手段と前記接続部と前記制御部により、 IPネットワーク経由で呼制御情報の授受及び音声パケットの伝送を行う I P電話手段と、前記制御部により、前記接続部からの送出情報量を監視し所定の基準に基づく超過を検出すると所定の通知先へ異状通知する検出通知手段と、を備えたことを特徴とする。なお、本発明は、上記の各機能を処理する制御方法及びそれらの処理をコンピュータに実行させるプログラムという見方力も捉えることもできる。

[0008] これらの態様では、送信情報量の監視という単純な手法により、ウィルスによる外向きの攻撃を含む活動を容易に検出し効果的な駆除等の対処が容易になり、ウィルスの活動や拡大の抑制により安全かつ安定した電話サービスの提供が可能となる。

[0009] 他の態様では、電話操作の受付手段と、音声用の入出力手段及び CODEC手段と、通信ネットワークとの接続部と、前記接続部の制御を含む情報処理を行う制御部と、を備えた IP電話端末装置において、前記受付手段の受け付ける電話操作に応じ、前記入出力手段及び CODEC手段と前記接続部と前記制御部により、 IPネットヮーク経由で呼制御情報の授受及び音声パケットの伝送を行う IP電話手段と、前記制御部により、接続部における送信の負荷を監視し所定の基準に基づく超過を検出すると所定の通知先へ異状通知する検出通知手段と、を備えたことを特徴とする。なお、この態様は、上記の各機能を処理する制御方法及びそれらの処理をコンピュータに実行させるプログラムという見方力も捉えることもできる。

[0010] これらの態様では、送信のための CPU等の負荷を監視するという単純な手法により、ウィルスによる外向きの攻撃を含む活動を容易に検出し効果的な駆除等の対処が容易になり、ウィルスの活動や拡大の抑制により安全かつ安定した電話サービスの提供が可能となる。

[0011] 他の態様では、前記検出通知手段は、呼制御シーケンス上で授受するパラメータに基づいて、前記接続部における送信の情報量又は CPU負荷の少なくとも一方にっ、て対応する基準値を計算及び設定し、実際の送信の情報量又は CPU負荷を随時検出し、その情報量又は CPU負荷が所定時間以上又は所定時間割合以上続けて、前記対応する基準値を超過し又は基準値を所定の許容割合もしくは許容幅以上超過したことを、前記異状通知の条件とすることを特徴とする。なお、この態様は、上記の各機能を処理する制御方法及びそれらの処理をコンピュータに実行させるプログラムという見方力捉えることもできる。

[0012] これらの態様では、さらに、送信の情報量や CPU負荷について、呼制御メッセージに含まれるパラメータ力基準値を計算して設定し、それを基準に超過の判断を行うので、利用する CODECの種類や設定などに応じ最適な判定が可能となり、ウィルス挙動の誤検出や見落としが減少する。

[0013] 他の態様では、前記検出通知手段は、実際の送信及び受信の情報量又は CPU 負荷を随時検出し、所定時間以上又は所定時間割合以上続けて、送信の情報量又は CPU負荷が受信の情報量又は CPU負荷を所定の許容割合もしくは許容幅以上超過したことを、前記異状通知の条件とすることを特徴とする。なお、この態様は、上記の各機能を処理する制御方法及びそれらの処理をコンピュータに実行させるプログラムという見方力捉えることもできる。

[0014] これらの態様では、さらに、送信と受信の情報量や CPU負荷の割合力相対的に超過の判断を行うので、予め呼制御メッセージからパラメータを得て基準値を計算するまでもなぐ利用する CODECの種類や設定などを問わず最適な判定が容易になる。

[0015] 他の態様では、前記検出通知手段は、前記超過に加え、前記 CODEC手段以外 ©CODEC,他のソフトウェアプロセス又は通信セッションが存在する場合にそれぞれについて、（1)通信相手の確認、（2)オペレーティングシステムへの照会又は（3) 他の予め決められた正常又は異常を表す属性、基準値、コード、送受信データ内容もしくは動作のパターンとの照合により、正当性を確認し正当性を確認できないものが存在することを、前記異状通知の条件とすることを特徴とする。なお、この態様は、上記の各機能を処理する制御方法及びそれらの処理をコンピュータに実行させるプログラムと、う見方力捉えることもできる。

[0016] これらの態様では、さらに、通話に使っている以外の CODECや、ソフトウェアプロセス、通信セッションなどで正当性が確認できな、ものが存在するときに通知を行うので、アプリケーションなど他の何らかの正当な理由がある場合の誤報が最小限で済み、通知の精度と信頼性が維持される。

[0017] 他の態様では、前記制御部及び前記接続部により、所定の基準値又はパターンとの照合により所定の疑わしいアクセスを検出すると所定の通知先へ異状通知する検出通知手段、を備えたことを特徴とする。なお、この態様は、上記の各機能を処理する制御方法及びそれらの処理をコンピュータに実行させるプログラムという見方から捉免ることちでさる。

[0018] これらの態様では、さらに、送信の情報量や負荷だけでなぐ疑わしいアクセスを検出したときも通知を行うことにより、ウィルスの検出精度とセキュリティの実効性が改善される。

[0019] 他の態様では、前記接続部及び前記制御部により、前記異状通知もしくは所定の呼制御サーバと授受する前記呼制御情報をトリガとして、又は、前記呼制御情報と共に、コンピュータウィルス対策用ワクチンのプログラム又はファイルをダウンロードする手段、を備えたことを特徴とする。なお、この態様は、上記の各機能を処理する制御方法及びそれらの処理をコンピュータに実行させるプログラムという見方力捉えることちでさる。

[0020] これらの態様では、さらに、ワクチンのプログラムやウィルス検出用パターンなどのフアイルをネットワーク経由で外部力ダウンロードすることにより、異常の検出や通知で終わらず実効性ある駆除等の対応策を迅速かつ自動的にもれなく実施可能となる

[0021] 他の態様では、通信ネットワークとの接続部と、前記接続部の制御を含む情報処理を行う制御部と、を備えた IP電話用の呼制御サーバにおいて、前記接続部及び前記制御部により、 IP電話端末装置に対して IPネットワーク経由で、各 IP電話端末装置から送信される電話操作に応じ、呼制御情報の授受を行う呼制御手段と、前記接続部及び前記制御部により、前記 IP電話端末装置から送信における情報量、制御部の負荷又は他の事項に関する異常が通知されると、所定のワクチンサーバへァクセスすることにより、そのワクチンサーバからコンピュータウイノレス用ワクチンのプログラム又はファイルをその IP電話端末装置へ中継転送し、又は、そのワクチンサーバとその IP電話端末装置との間で転送用の IPアドレス又はポート番号の一方又は両方を含む識別情報を伝達又は交換することにより直接のパケット伝送路を設定させて前記プログラム又はファイルを端末装置へ直接転送させる手段と、を備えたことを特徴とする。なお、この態様は、上記の各機能を処理する制御方法及びそれらの処理をコンピュータに実行させるプログラムという見方力も捉えることもできる。

[0022] 他の態様では、通信ネットワークとの接続部と、前記接続部の制御を含む情報処理を行う制御部と、コンピュータウィルス用ワクチンのプログラム又はファイルを予め格納する記憶部と、を備えた IP電話端末装置のためのワクチンサーバにおいて、前記接続部及び前記制御部により IPネットワーク経由で、 IP電話用の所定の呼制御サーバ力端末装置の異常が通知されると、前記記憶部の前記プログラム又はファイルを前記呼制御サーバ経由でその IP電話端末装置へ中継転送し、又は、その IP電話端末装置との間で転送用の IPアドレス又はポート番号の一方又は両方を含む識別情報を前記呼制御サーバ経由で伝達又は交換することにより直接のパケット伝送路を設定するとともに前記プログラム又はファイルを端末装置へ直接転送する手段と、を備えたことを特徴とする。なお、この態様は、上記の各機能を処理する制御方法及びそれらの処理をコンピュータに実行させるプログラムという見方力も捉えることもできる。

[0023] これらの態様では、さらに、呼制御サーノくからワクチンサーバへアクセスし、ヮクチンのプログラムやファイルを端末装置へ中継転送する力、又は、音声パケットの要領で識別情報を仲介してワクチンサーバから端末へ直接に伝送路を設定させ転送させるので、端末装置は予めワクチンサーバの情報を保持する必要がなぐ簡便かつ効果的なシステム運用が可能となる。

[0024] 他の態様では、電話操作の受付手段と、音声用の入出力手段及び CODEC手段と、通信ネットワークとの接続部と、前記接続部の制御を含む情報処理を行う制御部と、を備えた IP電話端末装置において、前記受付手段の受け付ける電話操作に応じ、前記入出力手段及び CODEC手段と前記接続部と前記制御部により、 IPネットヮーク経由で呼制御情報の授受及び音声パケットの伝送を行う IP電話手段と、前記制御部により、その IP電話端末装置の各部分の稼動状態について監視するとともに、予め設定された条件が成立すると、 IPネットワーク経由で所定の保守用装置に対して、自端末装置の正常性の診断要求メッセージを送信する手段と、を備えたことを特徴とする。なお、この態様は、上記の各機能を処理する制御方法及びそれらの処理をコンピュータに実行させるプログラムという見方力も捉えることもできる。

[0025] 他の態様では、通信ネットワークとの接続部と、前記接続部の制御を含む情報処理を行う制御部と、を備えた IP電話端末装置のための保守用装置において、前記接続部及び前記制御部により IPネットワーク経由で、 IP電話端末装置から診断要求メッセージを受信すると、その IP電話端末装置力その稼動状態、保持しているプログラム又はデータ、設定値、の少なくともいずれかを含む情報を取得すると共にそれを予め決められた正常又は異常のパターンと照合することにより、正常又は異常の診断を行う手段と、を備えたことを特徴とする。なお、この態様は、上記の各機能を処理する制御方法及びそれらの処理をコンピュータに実行させるプログラムという見方力捉えることちでさる。 [0026] これらの態様では、さらに、ウィルスが疑われる状況の場合に、ネットワーク経由で所定の保守用装置へ要求して診断を行わせることにより、判定精度が改善して誤報や見落としが減少し、しかも、保守用装置で診断結果や新たなウィルスのパターンなどの情報を蓄積可能となるので、 IP電話のセキュリティが効果的に改善される。

[0027] 他の態様の IP電話システムは、上記の IP電話端末装置と、呼制御サーバ、又は、呼制御サーバ及びワクチンサーノ、と、を備えたことを特徴とする。この態様は、これらの各機能を処理する制御方法及びそれらの処理をコンピュータに実行させるプログラムという見方力捉えることもできる。

[0028] 他の態様の IP電話システムは、上記の IP電話端末装置と、保守用装置と、を備えたことを特徴とする。この態様は、これらの各機能を処理する制御方法及びそれらの処理をコンピュータに実行させるプログラムという見方力も捉えることもできる。発明の効果

[0029] 以上のように、本発明によれば、 IP電話の技術にお!、て、端末の振舞!、を監視することにより、ウィルス発症による外向きの攻撃を含めウィルスの活動を容易に検出し効果的な駆除等の対処を容易にすることにより、ウィルスの活動や拡大を抑制し、安全かつ安定した電話サービスの提供を可能とする IP電話の技術を提供することが可能となる。

図面の簡単な説明

[0030] [図 1]本発明の実施形態における IP電話システムの構成を示す機能ブロック図。

[図 2]本発明の実施形態における処理手順の一例を示すフローチャート。

符号の説明

[0031] 1· ··ソフトスィッチ

15…呼制御部

16· ··仲介転送部

₃…インターネット

A, B—IP電話端末

21…プロセッサ

22· ··プロセスカウンタ 23· ··マイク

24· · 'スピーカ

25- --CODEC

26· ··フレーマ

27· ··インタフェース制御部

211· "IP電話部

212…検出通知部

213· "ダウンロードお

5…ワクチンサーバ

51…記憶部

52…提供処理部

6…保守用装置

61…診断部

発明を実施するための最良の形態

[0032] 以下、本発明を実施するための最良の実施形態 (以下「本実施形態」と呼ぶ）について図に沿って説明する。なお、背景技術や課題で説明し本発明と共通の前提事項は繰り返さない。

〔1.構成〕

本実施形態は、図 1の構成図に示すように、電話サービスの提供を受ける IP電話端末装置 (単に「IP電話端末」や「端末」とも呼ぶものとする) A, Bと、これら端末 A, B 間に通話路を設定する呼制御サーバであるソフトスィッチ 1と、ワクチンサーバ 5と、保守用装置 6とを、代表的な IPネットワークであるインターネット 3を介して接続することにより、電話サービスを実現する IP電話システムで、各装置や全体システムに対応する制御方法やプログラムとしても把握可能である。

[0033] このうち、端末 A, Bは二つを例示したが、電話サービスの利用者数に応じ多数設ければよい。また、端末装置は、電話機形の専用装置などのほか、 ADSLや光のモデムに組み込んで従来のアナログ電話機を接続するもの、汎用のパソコン (パーソナルコンピュータ）にプログラムとマイクやスピーカなどを組み合わせ構成したものなど、どのような態様でもよい。

[0034] A, Bなどの各端末は互いに同様の構成で、その構成要素も図 1に示す。例えば、端末 Aは、音声用の入出力手段であるマイク (マイクロフォン） 23及びスピーカ 24と、音声用の CODEC手段である CODEC25を備え、この CODEC25は、マイク 23力ら入力された送話分のアナログ音声信号をエンコードすなわちデジタル化し、通話の相手方端末力到着する受話分の RTPデジタル音声パケットはデコードしてアナ口グ音声信号に戻す部分である。

[0035] また、フレーマ 26は、順次デジタル化される音声のデータストリームを送信用にパケットイヒしたり、また逆に、到着するパケットのデータを本来の順序通りに並べ直してつなぎ合わせることにより再生用のデータストリームを再構築する部分である。インタフェース制御部 27は、通信ネットワークとの接続部であり、インターネット 3との間でやり取りされるパケットの情報にっ、て監視および制御する部分で、例えば有線や無線のネットワークカードやネットワークボードなどを含む。

[0036] プロセッサ 21及びプロセスカウンタ 22は、インタフェース制御部 27を含む端末各部の制御を含む情報処理を行うメインの制御部であり、特にプロセスカウンタ 22は、インタフエース制御部 27の動作について正常性を確認するのに用いる。プロセッサ 21は、例えば、パソコンのメイン CPU、 IP電話専用端末装置の組込マイコンといった中央処理部となっている。

[0037] また、端末装置において、図示しない電話操作の受付手段の役割を果たすのは、電話機型の専用装置のダイヤルボタンやフックボタンなどであり、また、例えば IP電話機能を持つ ADSLモデムに従来力ゝらのアナログ電話機を接続する場合は、その電話機のダイヤルボタンやフックボタンなどである。

[0038] そして、プロセッサ 21はプログラムにしたがって、プロセスカウンタ 22の機能も利用しながら、 IP電話部 211と、検出通知部 212と、ダウンロード部 213と、の機能を実現する。このうち、 IP電話部 211は、図示しない前記受付手段の受け付ける電話操作に応じ、入出力手段（23, 24)、 CODEC25、フレーマ 26並びにインタフェース制御部 27を用いて、インターネット 3経由で呼制御情報の授受及び音声パケットの伝送を行うことにより IP電話の機能を実現する IP電話手段 (クライアント側)である。 [0039] これに対応して、ソフトスィッチ 1は、 IP電話用の呼制御サーバで、通信ネットワークとの接続部と、この接続部の制御を含む情報処理を行う制御部と、を備え（図示せず )、これら接続部及び制御部により、 IP電話端末装置に対してインターネット 3経由で、各端末装置から送信される電話操作に応じ、呼制御情報の授受を行う呼制御手段 (サーバ側）である呼制御部 15 (図 1)を備えている。

[0040] [2.作用〕

各装置の他の構成と、本実施形態の作用は、以下のようになる。ここで、図 2は、本実施形態における処理手順を示すフローチャートである。

〔2— 1.概略〕

まず、大まかな例としては、 IP電話端末 A, B間において、ソフトスィッチ 1の仲介により通信セッションを確立し、電話サービスを受ける際、セッションの確立を行うためにやり取りされる呼制御メッセージ内の CODEC種類等の情報から、予測される付加等の基準値を予め計算し設定のうえ、 IP電話端末 A内のインタフェース制御部 27にお

V、て送受信されるパケットにつ、て監視を行、、その流量にっ、てプロセスカウンタ 2

2において、セッション確立時に設定した負荷等の基準値と実際の負荷の比較を行い、異常が無いかの確認を行う。

[0041] 具体的には、プロセッサ 21による検出通知部 212は、インタフェース制御部 27からの送信の情報量 (送出情報量)を監視し所定の基準に基づく超過すなわち利用者に提供すべき情報量を定常的に逸脱していることを検出すると所定の通知先へ異状通知する。また、本実施形態では、プロセッサ 21及びプロセスカウンタ 22は、異状通知の条件として、インタフェース制御部 27からの送信について、 CPU利用率、システムリソース等メモリ利用量などの負荷についても監視し所定の基準に基づく超過すなわちサービスの提供に関連する処理における負荷を定常的に逸脱していることも検出する。なお、送信における送出量と負荷は、厳密に区別せず、送出データ量の容量を負荷とみなしてもよい。

[0042] [2- 2.基準値の計算と設定〕

したがって、例えば、より具体的な例として検出通知部 212は、あら力じめ、呼制御シーケンス上で授受するパラメータに基づいて、インタフェース制御部 27における送信の情報量を負荷として、その基準値を計算及び設定するようにしてもよい。たとえば、確立するセッションにおいて用いる音声用 CODECカ TU— T G. 711であり、それが 20ミリ秒間隔で送受信されるように決定した場合、そこ力もオーバヘッドとなるヘッダの量を計算し、音声情報量に付与して、負荷基準値を 88. 8kbpsと想定する（図 2のステップ 01)。

[0043] そのうえで、検出通知部 212は、実際の送信の情報量を負荷として随時検出し、それが所定時間以上又は所定時間割合以上続けて、前記対応する基準値を超過し又は基準値を所定の許容割合もしくは許容幅以上超過したことを、前記異状通知の条件とする。

[0044] [2- 3.監視手法の併用〕

また、これに代替又は併用可能な手法として、実際の送信及び受信の情報量や C PU負荷を随時検出し、所定時間以上又は所定時間割合以上続けて、送信の情報量や CPU負荷が受信の情報量や CPU負荷を所定の許容割合もしくは許容幅以上超過したことを、前記異状通知の条件としてもよい。

[0045] さらに、上記のような超過に加え、 CODEC25以外の CODEC、他のソフトウェアプロセス又は通信セッションが存在する場合にそれぞれについて、（1)通信相手の確認、（2)オペレーティングシステムへの照会又は（3)他の予め決められた正常又は異常を表す属性、基準値、コード、送受信データ内容もしくは動作のパターンとの照合により、正当性を確認し正当性を確認できないものが存在することを、前記異状通知の条件としてもよい。

[0046] 具体例として、インタフェース制御部 27において確認された負荷について、プロセスカウンタ 22で送信量が基準値より一定時間連続して多いと判断された場合、送信量と受信量を比較し (ステップ 02)、さらに、受信量の 8割増と比較しても多いと判断した場合、未確認のセッションがあると判断する (ステップ 06)。また、送信量が受信量の 8割増より少ない場合においても (ステップ 03)、現時点で音声セッションを確立するために必要となる最低量と考えられる、 ITU—T G. 729使用時の 23kbps以上の差力送受信量の間に見られる場合にも未確認の CODECやセッションがあると判断する。 [0047] これらの具体的な判断の基準や順序、アルゴリズム等は自由に変更可能であるが、例えば、送受信量の差が 23kbps以上、であり、基準受信量の 8割増を下回る場合（ステップ 04)、本来の通信に使用している CODEC以外の CODECが起動されていると判断し、 CODECの動作確認を行った後に (ステップ 05)、セッション情報の確認を行う（ステップ 06)。

[0048] セッション情報の確認は、設定されている TCPならびに UDPのセッション情報について、通信相手の確認などによる正当性の判断を行い、一つでも確認の取れないセッシヨンが存在した場合、ウィルスの感染が発生した可能性があると判断し、インターネット 3を介して、電話サービスの提供を行っているソフトスィッチ 1を経てワクチンサーバ 5に対しウィルスワクチンの要求を行い、ダウンロードしたウィルスワクチンを用いて IP電話端末 Aの正常性確認を行う。ワクチンサーバ 5はソフトスィッチ 1に別プロセスとして一体に収容してもよ、。

[0049] [2-4.ポートの監視〕

また、検出通知部 212は、所定の基準値又はパターンとの照合により、予め決められたポート番号範囲へのアクセスやポートスキャンなど、所定の疑わ U、アクセスを検出すると (ステップ 09)、所定通知先へ異状通知する (ステップ 10)。このように、送信の情報量や負荷だけでなぐ疑わしいアクセスを検出したときも通知を行うことにより、ウィルスの検出精度とセキュリティの実効性が改善される。

[0050] より具体的な例として、検出通知部 212は、インタフェース制御部 27に TCPおよび UDPの使用ポート番号の監視を行わせ、特に通信相手である IP電話端末 B力電話サービスに関連する以外の、例えば TCPポート 445といったウィルスに狙われやすいポートに対するスキャンが行われた場合、ウィルスによる攻撃を受けているとみなし、 IP電話端末 Aの利用者に対して攻撃を受けた可能性を通知するセキュリティァラートの通知を行い（ステップ 10)、インターネット 3を介して、電話サービスの提供を行つて!/ヽるソフトスィッチ 1に、接続又は収容されてヽるワクチンサーバ 5からのウィルスワクチンの要求を行、、ダウンロードしたウィルスワクチンを用いて IP電話端末 Aの正常性確認を行う。

[0051] [2- 5.ワクチンのダウンロード〕そして、端末 Aは、ダウンロード部 213を備え、このダウンロード部 213は、プロセッサ 21及びインタフェース制御部 27により、前記異状通知もしくは所定の呼制御サーノと授受する前記呼制御情報をトリガとしてワクチンのプログラム又はファイルをダウンロードする。ここで、ウィルスは、端末 Aに悪影響を及ぼすプログラムや設定などを広く意味し、ワクチンは、このようなコンピュータウィルスを検出、駆除するために用いる対策用のプログラム又はファイルである。

[0052] これに対し、ソフトスィッチ 1は仲介転送部 16を備え、この仲介転送部 16は、ソフトスィッチ 1の前記接続部及び制御部により、 IP電話端末装置 (例えば A)から送信における情報量、制御部の負荷又は他の事項に関する異状通知を受けると、所定のヮクチンサーバ 5へアクセスすることにより、そのワクチンサーバ 5力もコンピュータウィルス用ワクチンのプログラム又はファイルをその端末装置 Aへ中継転送し、又は、そのワクチンサーバ 5とその端末装置 Aとの間で転送用の IPアドレス又はポート番号の一方又は両方を含む識別情報を伝達又は交換することにより直接のパケット伝送路を設定させて前記プログラム又はファイルを端末装置 Aへ直接転送させる。

[0053] これに対応して、ワクチンサーバ 5は、図示はしないが、通信ネットワークとの接続部と、この接続部の制御を含む情報処理を行う制御部と、を備える。また、ワクチンサーノ 5は、コンピュータウィルス用ワクチンのプログラム又はファイルを予め格納する記憶部 51 (図 1)を備える。また、ワクチンサーバ 5の前記接続部及び制御部は、プログラムにしたがって、提供処理部 52の機能を実現する。

[0054] すなわち、この提供処理部 52は、前記接続部及び制御部によりインターネット 3経由で、ソフトスィッチ 1から端末装置の異常が通知されると、記憶部 51の前記プロダラム又はファイルをその前記呼制御サーバ経由でその端末装置へ中継転送し、又は、その端末装置との間で転送用の IPアドレス又はポート番号の一方又は両方を含む識別情報を前記呼制御サーバ経由で伝達又は交換することにより直接のパケット伝送路を設定するとともに前記プログラム又はファイルを端末装置へ直接転送する。

[0055] このように、ワクチンのプログラムやウィルス検出用パターンなどのファイルをネットヮーク経由で外部力ダウンロードすることにより、異常の検出や通知で終わらず実効性ある駆除等の対応策を迅速かつ自動的にもれなく実施可能となる。 [0056] 特に、呼制御サーバであるソフトスィッチ 1からワクチンサーバ 5へアクセスし、ヮクチンのプログラムやファイルを端末装置へ中継転送する力、又は、音声パケットの要領で識別情報を仲介してワクチンサーバ 5から端末へ直接に伝送路を設定させ転送させることにより、端末装置は予めワクチンサーノ 5の IPアドレスやポート番号等の情報を保持する必要がなく、簡便かつ効果的なシステム運用が可能となる。

[0057] [2-6.診断要求〕

また、異状が検出された場合に具体的な診断を、他の装置へ要求するようにしてもよい。この場合の例としては、例えば、検出通知部 212は、その端末装置の各部分の稼動状態について監視するとともに、予め設定された条件が成立すると、例えばインターネット電話のサービスを提供する事業者などによりインターネット 3上に配置された所定の保守用装置 6に対して、インターネット 3経由で、自端末装置の正常性の診断要求メッセージを送信する。

[0058] この場合の保守用装置 6は、通信ネットワークとの接続部とこの接続部の制御を含む情報処理を行う制御部とを備えたもので（図示せず)、また、診断部 61を備える。この診断部 61は、前記接続部及び前記制御部により、インターネット 3経由で、 IP電話端末装置力診断要求メッセージを受信すると、その端末装置からその稼動状態、保持しているプログラム又はデータ、設定値、の少なくともいずれかを含む情報を取得すると共にそれを予め決められた正常又は異常のパターンと照合することにより、正常又は異常の診断を行う。

[0059] このように、ウィルスが疑われる状況の場合に、ネットワーク経由で所定の保守用装置へ要求して診断を行わせることにより、判定精度が改善して誤報や見落としが減少し、しかも、保守用装置で診断結果や新たなウィルスのパターンなどの情報を蓄積可能となるので、 IP電話のセキュリティが効果的に改善される。保守用装置を含め、 IP 電話システムとして把握してょ、。

[0060] 〔3.効果〕

以上のように、本実施形態では、送信の情報量及び CPU等の負荷を監視するという単純な手法により、ウィルスによる外向きの攻撃を含む活動を容易に検出し効果的な駆除等の対処が容易になり、ウィルスの活動や拡大の抑制により安全かつ安定した電話サービスの提供が可能となる。なお、送信の情報量又は CPU等の負荷のうち一方のみを監視してもよ、。

[0061] また、本実施形態では、さらに、送信の情報量や CPU負荷にっ、て、呼制御メッセージに含まれるパラメータ力基準値を計算して設定し、それを基準に超過の判断を行うので、利用する CODECの種類や設定などに応じ最適な判定が可能となり、ウイルス挙動の誤検出や見落としが減少する。

[0062] また、本実施形態では、さらに、送信と受信の情報量や CPU負荷の割合力相対的に超過の判断を行うので (ステップ 03)、予め呼制御メッセージ力もパラメータを得て基準値を計算するまでもなぐ利用する CODECの種類や設定などを問わず最適な判定が容易になる。

[0063] また、本実施形態では、さらに、通話に使っている以外の CODECや (ステップ 05) 、ソフトウェアプロセス、通信セッションなどで正当性が確認できないものが存在するときに通知を行うので (ステップ 06)、アプリケーションなど他の何らかの正当な理由がある場合の誤報が最小限で済み、通知の精度と信頼性が維持される。

[0064] 〔4.他の実施形態〕

なお、本発明は、上記実施形態に限定されるものではなぐ以下に例示するもの及びそれ以外のものを含む他の実施形態も含むものである。例えば、ワクチンサーバ 5 や保守用装置 6は省略可能であり、また、異状検出の条件は自由に変更実施可能である。

Claims

請求の範囲

[1] 電話操作の受付手段と、音声用の入出力手段及び CODEC手段と、通信ネットヮークとの接続部と、前記接続部の制御を含む情報処理を行う制御部と、を備えた IP 電話端末装置において、

前記受付手段の受け付ける電話操作に応じ、前記入出力手段及び CODEC手段と前記接続部と前記制御部により、 IPネットワーク経由で呼制御情報の授受及び音声パケットの伝送を行う IP電話手段と、

前記制御部により、前記接続部からの送出情報量を監視し所定の基準に基づく超過を検出すると所定の通知先へ異状通知する検出通知手段と、

を備えたことを特徴とする IP電話端末装置。

[2] 電話操作の受付手段と、音声用の入出力手段及び CODEC手段と、通信ネットヮークとの接続部と、前記接続部の制御を含む情報処理を行う制御部と、を備えた IP 電話端末装置において、

前記制御部により、接続部における送信の負荷を監視し所定の基準に基づく超過を検出すると所定の通知先へ異状通知する検出通知手段と、

を備えたことを特徴とする IP電話端末装置。

[3] 前記検出通知手段は、

呼制御シーケンス上で授受するパラメータに基づヽて、前記接続部における送信の情報量又は CPU負荷の少なくとも一方について対応する基準値を計算及び設定し、

実際の送信の情報量又は CPU負荷を随時検出し、その情報量又は CPU負荷が所定時間以上又は所定時間割合以上続けて、前記対応する基準値を超過し又は基準値を所定の許容割合もしくは許容幅以上超過したことを、前記異状通知の条件とする

ことを特徴とする請求項 1又は 2記載の IP電話端末装置。

[4] 前記検出通知手段は、

実際の送信及び受信の情報量又は CPU負荷を随時検出し、所定時間以上又は所定時間割合以上続けて、送信の情報量又は CPU負荷が受信の情報量又は CPU 負荷を所定の許容割合もしくは許容幅以上超過したことを、前記異状通知の条件とする

ことを特徴とする請求項 1又は 2記載の IP電話端末装置。

[5] 前記検出通知手段は、前記超過に加え、

前記 CODEC手段以外の CODEC、他のソフトウェアプロセス又は通信セッションが存在する場合にそれぞれについて、（1)通信相手の確認、（2)オペレーティングシステムへの照会又は（3)他の予め決められた正常又は異常を表す属性、基準値、コード、送受信データ内容もしくは動作のパターンとの照合により、正当性を確認し正当性を確認できないものが存在することを、前記異状通知の条件とする

ことを特徴とする請求項 1又は 2記載の IP電話端末装置。

[6] 前記制御部及び前記接続部により、所定の基準値又はパターンとの照合により所定の疑わしいアクセスを検出すると所定の通知先へ異状通知する検出通知手段、を備えたことを特徴とする請求項 1又は 2記載の IP電話端末装置。

[7] 前記接続部及び前記制御部により、前記異状通知もしくは所定の呼制御サーバと授受する前記呼制御情報をトリガとして、又は、前記呼制御情報と共に、コンピュータウィルス対策用ワクチンのプログラム又はファイルをダウンロードする手段、

を備えたことを特徴とする請求項 1又は 2記載の IP電話端末装置。

[8] 通信ネットワークとの接続部と、前記接続部の制御を含む情報処理を行う制御部と、を備えた IP電話用の呼制御サーバにおいて、

前記接続部及び前記制御部により、 IP電話端末装置に対して IPネットワーク経由で、各 IP電話端末装置から送信される電話操作に応じ、呼制御情報の授受を行う呼制御手段と、

前記接続部及び前記制御部により、前記 IP電話端末装置力送信における情報量、制御部の負荷又は他の事項に関する異常が通知されると、所定のワクチンサーバへアクセスすることにより、そのワクチンサーバからコンピュータウィルス用ワクチンのプログラム又はファイルをその IP電話端末装置へ中継転送し、又は、そのワクチンサーバとその IP電話端末装置との間で転送用の IPアドレス又はポート番号の一方又は両方を含む識別情報を伝達又は交換することにより直接のパケット伝送路を設定させて前記プログラム又はファイルを端末装置へ直接転送させる手段と、

を備えたことを特徴とする呼制御サーバ。

[9] 通信ネットワークとの接続部と、前記接続部の制御を含む情報処理を行う制御部と、コンピュータウィルス用ワクチンのプログラム又はファイルを予め格納する記憶部と、を備えた IP電話端末装置のためのワクチンサーバにおいて、

前記接続部及び前記制御部により IPネットワーク経由で、 IP電話用の所定の呼制御サーバから端末装置の異常が通知されると、前記記憶部の前記プログラム又はフアイルを前記呼制御サーバ経由でその IP電話端末装置へ中継転送し、又は、その I P電話端末装置との間で転送用の IPアドレス又はポート番号の一方又は両方を含む識別情報を前記呼制御サーバ経由で伝達又は交換することにより直接のパケット伝送路を設定するとともに前記プログラム又はファイルを端末装置へ直接転送する手段と、

を備えたことを特徴とするワクチンサーバ。

[10] 電話操作の受付手段と、音声用の入出力手段及び CODEC手段と、通信ネットヮークとの接続部と、前記接続部の制御を含む情報処理を行う制御部と、を備えた IP 電話端末装置において、

前記制御部により、その IP電話端末装置の各部分の稼動状態について監視するとともに、予め設定された条件が成立すると、 IPネットワーク経由で所定の保守用装置に対して、自端末装置の正常性の診断要求メッセージを送信する手段と、

を備えたことを特徴とする IP電話端末装置。

[11] 通信ネットワークとの接続部と、前記接続部の制御を含む情報処理を行う制御部と、を備えた IP電話端末装置のための保守用装置において、前記接続部及び前記制御部により IPネットワーク経由で、 IP電話端末装置から診断要求メッセージを受信すると、その IP電話端末装置カゝらその稼動状態、保持しているプログラム又はデータ、設定値、の少なくともいずれかを含む情報を取得すると共にそれを予め決められた正常又は異常のパターンと照合することにより、正常又は異常の診断を行う手段と、

を備えたことを特徴とする保守用装置。

[12] 請求項 1から 7の、ずれか一項に記載の IP電話端末装置と、

請求項 8記載の呼制御サーバ、又は、請求項 8記載の呼制御サーバ及び請求項 9 記載のワクチンサーバ、と、

を備えたことを特徴とする IP電話システム。

[13] 請求項 10記載の IP電話端末装置と、

請求項 11記載の保守用装置と、

を備えたことを特徴とする IP電話システム。

[14] 電話操作の受付手段と、音声用の入出力手段及び CODEC手段と、通信ネットヮークとの接続部と、前記接続部の制御を含む情報処理を行う制御部と、を備えた IP 電話端末装置の制御方法にぉ、て、

前記受付手段の受け付ける電話操作に応じ、前記入出力手段及び CODEC手段と前記接続部と前記制御部により、 IPネットワーク経由で呼制御情報の授受及び音声パケットの伝送を行う IP電話処理と、

前記制御部により、前記接続部からの送出情報量を監視し所定の基準に基づく超過を検出すると所定の通知先へ異状通知する検出通知処理と、

を含むことを特徴とする IP電話端末装置の制御方法。

[15] 電話操作の受付手段と、音声用の入出力手段及び CODEC手段と、通信ネットヮークとの接続部と、前記接続部の制御を含む情報処理を行う制御部と、を備えた IP 電話端末装置の制御方法にぉ、て、

前記受付手段の受け付ける電話操作に応じ、前記入出力手段及び CODEC手段と前記接続部と前記制御部により、 IPネットワーク経由で呼制御情報の授受及び音声パケットの伝送を行う IP電話処理と、前記制御部により、接続部における送信の負荷を監視し所定の基準に基づく超過を検出すると所定の通知先へ異状通知する検出通知処理と、

を含むことを特徴とする IP電話端末装置の制御方法。

[16] 前記検出通知処理は、

ことを特徴とする請求項 14又は 15記載の IP電話端末装置の制御方法。

[17] 前記検出通知処理は、

[18] 前記検出通知処理は、前記超過に加え、

[19] 前記制御部及び前記接続部により、所定の基準値又はパターンとの照合により所定の疑わしいアクセスを検出すると所定の通知先へ異状通知する検出通知処理、を含むことを特徴とする請求項 14又は 15記載の IP電話端末装置の制御方法。

[20] 前記接続部及び前記制御部により、前記異状通知もしくは所定の呼制御サーバと授受する前記呼制御情報をトリガとして、又は、前記呼制御情報と共に、コンピュータウィルス対策用ワクチンのプログラム又はファイルをダウンロードする処理、

を含むことを特徴とする請求項 14又は 15記載の IP電話端末装置の制御方法。

[21] 通信ネットワークとの接続部と、前記接続部の制御を含む情報処理を行う制御部と、を備えた IP電話用の呼制御サーバの制御方法にぉ、て、

前記接続部及び前記制御部により、 IP電話端末装置に対して IPネットワーク経由で、各 IP電話端末装置から送信される電話操作に応じ、呼制御情報の授受を行う呼制御処理と、

前記接続部及び前記制御部により、前記 IP電話端末装置力送信における情報量、制御部の負荷又は他の事項に関する異常が通知されると、所定のワクチンサーバへアクセスすることにより、そのワクチンサーバからコンピュータウィルス用ワクチンのプログラム又はファイルをその IP電話端末装置へ中継転送し、又は、そのワクチンサーバとその IP電話端末装置との間で転送用の IPアドレス又はポート番号の一方又は両方を含む識別情報を伝達又は交換することにより直接のパケット伝送路を設定させて前記プログラム又はファイルを端末装置へ直接転送させる処理と、

を含むことを特徴とする呼制御サーバの制御方法。

[22] 通信ネットワークとの接続部と、前記接続部の制御を含む情報処理を行う制御部と、コンピュータウィルス用ワクチンのプログラム又はファイルを予め格納する記憶部と、を備えた IP電話端末装置のためのワクチンサーバの制御方法において、

前記接続部及び前記制御部により IPネットワーク経由で、 IP電話用の所定の呼制御サーバから端末装置の異常が通知されると、前記記憶部の前記プログラム又はフアイルを前記呼制御サーバ経由でその IP電話端末装置へ中継転送し、又は、その I P電話端末装置との間で転送用の IPアドレス又はポート番号の一方又は両方を含む識別情報を前記呼制御サーバ経由で伝達又は交換することにより直接のパケット伝送路を設定するとともに前記プログラム又はファイルを端末装置へ直接転送する処理と、

を含むことを特徴とするワクチンサーバの制御方法。

[23] 電話操作の受付手段と、音声用の入出力手段及び CODEC手段と、通信ネットヮークとの接続部と、前記接続部の制御を含む情報処理を行う制御部と、を備えた IP 電話端末装置の制御方法にぉ、て、

前記制御部により、その IP電話端末装置の各部分の稼動状態について監視するとともに、予め設定された条件が成立すると、 IPネットワーク経由で所定の保守用装置に対して、自端末装置の正常性の診断要求メッセージを送信する処理と、

を含むことを特徴とする IP電話端末装置の制御方法。

[24] 通信ネットワークとの接続部と、前記接続部の制御を含む情報処理を行う制御部と、を備えた IP電話端末装置のための保守用装置の制御方法において、

前記接続部及び前記制御部により IPネットワーク経由で、 IP電話端末装置から診断要求メッセージを受信すると、その IP電話端末装置カゝらその稼動状態、保持しているプログラム又はデータ、設定値、の少なくともいずれかを含む情報を取得すると共にそれを予め決められた正常又は異常のパターンと照合することにより、正常又は異常の診断を行う処理と、

を含むことを特徴とする保守用装置の制御方法。

[25] 請求項 14から 20の、ずれか一項に記載の IP電話端末装置の制御方法と、

請求項 21記載の呼制御サーバの制御方法、又は、請求項 21記載の呼制御サーバの制御方法及び請求項 22記載のワクチンサーバの制御方法、と、

を組み合わせることを特徴とする IP電話システムの制御方法。

[26] 請求項 23記載の IP電話端末装置の制御方法と、

請求項 24記載の保守用装置の制御方法と、

[27] 電話操作の受付手段と、音声用の入出力手段及び CODEC手段と、通信ネットヮークとの接続部と、前記接続部の制御を含む情報処理を行う制御部と、を備えた IP 電話端末装置の制御プログラムにお、て、前記受付手段の受け付ける電話操作に応じ、前記入出力手段及び CODEC手段と前記接続部と前記制御部により、 IPネットワーク経由で呼制御情報の授受及び音声パケットの伝送を行う IP電話処理と、

を行わせることを特徴とする IP電話端末装置の制御プログラム。

[28] 電話操作の受付手段と、音声用の入出力手段及び CODEC手段と、通信ネットヮークとの接続部と、前記接続部の制御を含む情報処理を行う制御部と、を備えた IP 電話端末装置の制御プログラムにお、て、

前記制御部により、接続部における送信の負荷を監視し所定の基準に基づく超過を検出すると所定の通知先へ異状通知する検出通知処理と、

[29] 前記検出通知処理は、

ことを特徴とする請求項 27又は 28記載の IP電話端末装置の制御プログラム。

[30] 前記検出通知処理は、

[31] 前記検出通知処理は、前記超過に加え、

[32] 前記制御部及び前記接続部により、所定の基準値又はパターンとの照合により所定の疑わしいアクセスを検出すると所定の通知先へ異状通知する検出通知処理、を行わせることを特徴とする請求項 27又は 28記載の IP電話端末装置の制御プログラム。

[33] 前記接続部及び前記制御部により、前記異状通知もしくは所定の呼制御サーバと授受する前記呼制御情報をトリガとして、又は、前記呼制御情報と共に、コンピュータウィルス対策用ワクチンのプログラム又はファイルをダウンロードする処理、

を行わせることを特徴とする請求項 27又は 28記載の IP電話端末装置の制御プログラム。

[34] 通信ネットワークとの接続部と、前記接続部の制御を含む情報処理を行う制御部と、を備えた IP電話用の呼制御サーバの制御プログラムにお、て、

を行わせることを特徴とする呼制御サーバの制御プログラム。

[35] 通信ネットワークとの接続部と、前記接続部の制御を含む情報処理を行う制御部と、コンピュータウィルス用ワクチンのプログラム又はファイルを予め格納する記憶部と、を備えた IP電話端末装置のためのワクチンサーバの制御プログラムにおいて、前記接続部及び前記制御部により IPネットワーク経由で、 IP電話用の所定の呼制御サーバから端末装置の異常が通知されると、前記記憶部の前記プログラム又はフアイルを前記呼制御サーバ経由でその IP電話端末装置へ中継転送し、又は、その I P電話端末装置との間で転送用の IPアドレス又はポート番号の一方又は両方を含む識別情報を前記呼制御サーバ経由で伝達又は交換することにより直接のパケット伝送路を設定するとともに前記プログラム又はファイルを端末装置へ直接転送する処理と、

を行わせることを特徴とするワクチンサーバの制御プログラム。

[36] 電話操作の受付手段と、音声用の入出力手段及び CODEC手段と、通信ネットヮークとの接続部と、前記接続部の制御を含む情報処理を行う制御部と、を備えた IP 電話端末装置の制御プログラムにお、て、

[37] 通信ネットワークとの接続部と、前記接続部の制御を含む情報処理を行う制御部と、を備えた IP電話端末装置のための保守用装置の制御プログラムにお、て、前記接続部及び前記制御部により IPネットワーク経由で、 IP電話端末装置から診断要求メッセージを受信すると、その IP電話端末装置カゝらその稼動状態、保持しているプログラム又はデータ、設定値、の少なくともいずれかを含む情報を取得すると共にそれを予め決められた正常又は異常のパターンと照合することにより、正常又は異常の診断を行う処理と、

を行わせることを特徴とする保守用装置の制御プログラム。

[38] 請求項 27から 33の、ずれか一項に記載の IP電話端末装置の制御プログラムと、請求項 34記載の呼制御サーバの制御プログラム、又は、請求項 34記載の呼制御サーバの制御プログラム及び請求項 35記載のワクチンサーバの制御プログラム、と、を組み合わせることを特徴とする IP電話システムの制御プログラム。

[39] 請求項 36記載の IP電話端末装置の制御プログラムと、

請求項 37記載の保守用装置の制御プログラムと、

を組み合わせることを特徴とする IP電話システムの制御プログラム。