WO2006043310A1 - 不正アクセスプログラム監視処理方法、不正アクセスプログラム検出プログラムおよび不正アクセスプログラム対策プログラム - Google Patents

不正アクセスプログラム監視処理方法、不正アクセスプログラム検出プログラムおよび不正アクセスプログラム対策プログラム Download PDF

Info

Publication number
WO2006043310A1
WO2006043310A1 PCT/JP2004/015406 JP2004015406W WO2006043310A1 WO 2006043310 A1 WO2006043310 A1 WO 2006043310A1 JP 2004015406 W JP2004015406 W JP 2004015406W WO 2006043310 A1 WO2006043310 A1 WO 2006043310A1
Authority
WO
WIPO (PCT)
Prior art keywords
information
network
unauthorized access
computer
access program
Prior art date
Application number
PCT/JP2004/015406
Other languages
English (en)
French (fr)
Inventor
Yoshiki Higashikado
Satoru Torii
Original Assignee
Fujitsu Limited
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Fujitsu Limited filed Critical Fujitsu Limited
Priority to JP2006542129A priority Critical patent/JP4680931B2/ja
Priority to PCT/JP2004/015406 priority patent/WO2006043310A1/ja
Publication of WO2006043310A1 publication Critical patent/WO2006043310A1/ja
Priority to US11/785,558 priority patent/US7832010B2/en

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1441—Countermeasures against malicious traffic
    • H04L63/145—Countermeasures against malicious traffic the attack involving the propagation of malware through the network, e.g. viruses, trojans or worms
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/55—Detecting local intrusion or implementing counter-measures
    • G06F21/552—Detecting local intrusion or implementing counter-measures involving long-term monitoring or reporting
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/55—Detecting local intrusion or implementing counter-measures
    • G06F21/56—Computer malware detection or handling, e.g. anti-virus arrangements
    • G06F21/566—Dynamic detection, i.e. detection performed at run-time, e.g. emulation, suspicious activities
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L41/00—Arrangements for maintenance, administration or management of data switching networks, e.g. of packet switching networks
    • H04L41/08—Configuration management of networks or network elements
    • H04L41/085—Retrieval of network configuration; Tracking network configuration history
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L41/00—Arrangements for maintenance, administration or management of data switching networks, e.g. of packet switching networks
    • H04L41/08—Configuration management of networks or network elements
    • H04L41/085—Retrieval of network configuration; Tracking network configuration history
    • H04L41/0853—Retrieval of network configuration; Tracking network configuration history by actively collecting configuration information or by backing up configuration information
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L41/00—Arrangements for maintenance, administration or management of data switching networks, e.g. of packet switching networks
    • H04L41/08—Configuration management of networks or network elements
    • H04L41/085—Retrieval of network configuration; Tracking network configuration history
    • H04L41/0853—Retrieval of network configuration; Tracking network configuration history by actively collecting configuration information or by backing up configuration information
    • H04L41/0856—Retrieval of network configuration; Tracking network configuration history by actively collecting configuration information or by backing up configuration information by backing up or archiving configuration information
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L41/00—Arrangements for maintenance, administration or management of data switching networks, e.g. of packet switching networks
    • H04L41/08—Configuration management of networks or network elements
    • H04L41/0866—Checking the configuration
    • H04L41/0869—Validating the configuration within one network element
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L43/00—Arrangements for monitoring or testing data switching networks
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F2221/00—Indexing scheme relating to security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F2221/21—Indexing scheme relating to G06F21/00 and subgroups addressing additional information or applications relating to security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F2221/2143—Clearing memory, e.g. to prevent the data from being stolen
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L41/00—Arrangements for maintenance, administration or management of data switching networks, e.g. of packet switching networks
    • H04L41/02—Standardisation; Integration
    • H04L41/0213—Standardised network management protocols, e.g. simple network management protocol [SNMP]
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L41/00—Arrangements for maintenance, administration or management of data switching networks, e.g. of packet switching networks
    • H04L41/04—Network management architectures or arrangements
    • H04L41/046—Network management architectures or arrangements comprising network management agents or mobile agents therefor
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L41/00—Arrangements for maintenance, administration or management of data switching networks, e.g. of packet switching networks
    • H04L41/06—Management of faults, events, alarms or notifications

Definitions

  • the present invention relates to a worm detection and isolation method and program, and a server connected to a network using an existing network management technology, for example, a network management technology of Simple Network Management Protocol (SNMP).
  • SNMP Simple Network Management Protocol
  • Nya relates to technology that prevents damage caused by viruses by detecting and isolating PC viruses and worm infections at an early stage.
  • Figure 9 shows an example of an unauthorized access program detection 'quarantine system.
  • the detection and isolation of unauthorized access programs can be implemented by installing anti-virus software 902 on each endpoint computer 901 to detect infection, or for networks, measures against unauthorized access programs installed on the network. (For example, see Non-Patent Document 1).
  • the anti-virus software 902 is a signature-based program based on a detection process based on matching of a specific binary pattern possessed by an unauthorized access program, and is therefore effective in detecting a known worm.
  • anti-virus software 902 has a function of detecting an unknown unauthorized access program and preventing infection, there is a problem of false detection, and there are only a few that can be detected.
  • the anti-worm appliance installed in the network Nodeware 903
  • Nodeware 903 has dedicated hardware for collecting and analyzing all packets flowing on the network. By detecting traffic that targets the network, it is detected that an unauthorized access program is operating on the network.
  • the anti-worm appliance “NODEWARE 903” is capable of detecting the activity of variants and new types of unauthorized access programs. In order to capture unauthorized access traffic, each network 'segment switch . All traffic on the intranet 906 (network) must be monitored from the mirroring port 905 of the router 904 to determine if it is fraudulent. For this reason, processing by software and hardware becomes heavy, and there is a disadvantage that processing cannot catch up when network traffic increases.
  • An object of the present invention is to provide a process capable of detecting the activity of a fraudulent access program without using conventional signature-based anti-virus software on each computer, appliance for each network segment, and hardware. To realize the method and program.
  • an object of the present invention is to provide a processing method and program capable of isolating a detected unauthorized access program so that the spread of infection due to the activity of the unauthorized access program does not occur. It is to realize the program.
  • the present invention is a processing method for monitoring the activity of an unauthorized access program in a network, and is specific to the activity of an unauthorized access program by analyzing management information of network information collected by a computer or network connection device capability.
  • Management information monitoring process for detecting a change in management information of network information, the type of device for which the management information of network information related to the detection of the change was collected, and the address information of the device suspected of being an unauthorized access program And an alert generation process for generating alert information.
  • network devices installed on a network and computers that perform information communication using the network have a network information management function.
  • the present invention uses the network information management information provided by the network information management processing unit used as the network information management function, and changes the management information of the network information specific to the activity of the unauthorized access program, that is, the illegal Analyzes changes in specific management information caused by a simple information transmission / reception process, detects signs of activity of a predetermined change force unauthorized access program, and generates an alert.
  • the present invention includes a management information collecting process for collecting the management information of the network information from the computer or the network connection device in real time when the above process is provided.
  • the present invention extracts error notification information accompanying unknown transmission destination from the management information collected from the network connection device in the management information monitoring process, and A state in which the amount of transmission time of the notification information shows a predetermined increasing tendency is detected as the change.
  • both the computer power and the management information power of the collected network information extract error notification information associated with an unknown transmission destination, and the state in which the amount of received information of the error notification information indicates a predetermined increase tendency is set as the change. To detect.
  • the amount of information discarded due to unknown transmission destination is extracted from the management information collected from the network connection device, and the state in which the amount of discarded information shows a predetermined increasing trend is detected as the change. To do.
  • the collected management information is analyzed, and the numerical value of either the number of endpoints indicating connection establishment or the number of endpoints indicating connection establishment failure is predetermined for the computer. A state showing an increasing tendency is detected as the change.
  • the type of device from which the management information of the network information related to the detection of the change is collected from the alert information, the address information of the computer or network connection device suspected of the activity of the unauthorized access program is collected from the alert information, the address information of the computer or network connection device suspected of the activity of the unauthorized access program.
  • a relay information deletion instruction is generated for the computer specified by the address information
  • the type of the device is a network connection device.
  • a countermeasure instruction generating process for generating a filter setting instruction for blocking communication of the unauthorized access program to the network connection device specified by the address information, and a relay information deletion instruction or a filter setting instruction. And a countermeasure instruction process to be transmitted.
  • the present invention further includes a network configuration management process for managing network configuration information indicating a network configuration, wherein the countermeasure instruction generation process refers to the activity of the unauthorized access program with reference to the network configuration information. Analyze the address information of the computer or network segment that is suspected or the network connection device that controls the network 'segment.
  • any computer power belonging to any network segment (subnetwork) on a large-scale network can determine whether an unauthorized access program performs unauthorized communications. And can prevent the spread of unauthorized access programs on a large-scale network.
  • the present invention provides a program for causing a computer to function as an apparatus for detecting an unauthorized access program by including the above processing means and components, and a computer as an apparatus for isolating the detected unauthorized access program. It is a program for functioning.
  • network management information of a computer or a network connection device that does not install special software in each system is used. Unauthorized access programs that perform unauthorized access can be detected.
  • the detected unauthorized access program can be quarantined by sending an instruction to the network setting information of the computer or the setting information of the filtering function of the network connection device.
  • FIG. 1 is a diagram showing a system configuration in an embodiment of the present invention.
  • FIG. 2 is a diagram illustrating a block configuration example of a worm detection unit.
  • FIG. 3 is a diagram illustrating an example of a block configuration of a worm countermeasure unit.
  • Figure 4 shows an example of changes in network management information related to connection establishment on a computer.
  • FIG. 5 is a diagram showing an example of a change in the discard amount of relay information in a network device.
  • FIG. 6 is a diagram showing a configuration example in an example of the present invention.
  • FIG. 7 is a diagram showing an example of a processing flow of worm detection processing.
  • FIG. 8 is a diagram showing an example of a processing flow of worm countermeasure processing.
  • FIG. 9 is a diagram showing an example of a worm detection / isolation system.
  • FIG. 1 shows a system configuration in the embodiment of the present invention.
  • Unauthorized access program monitoring device (worm monitoring device) 1 uses network information management information collected from network connection device (L ⁇ ) 2 and computer (host) 3 to detect unauthorized access such as viruses and worms. It is a device that detects and quarantines an accessing program (hereinafter simply referred to as a “worm”).
  • the worm monitoring device 1 includes a worm detection unit 11 that detects worm activity in the network, a worm countermeasure unit 12 that performs predetermined countermeasures against the detected worm activity, a network connection device 2 or a computer 3, respectively.
  • Management information collection unit (SNMP manager) 13 that collects management information of network information, and a management information database 14 that stores management information of collected network information.
  • the network connection device 2 is a device that controls the connection between the network segments, and is, for example, a router or a switch.
  • the network connection device 2 manages the network information of the filtering unit 21 that passes or blocks the network information according to predetermined conditions, and the network information of its own device, and manages the management information of the network information according to the request.
  • a network information management unit 22 that transmits to the information collection unit 13 is provided.
  • the computer 3 is a computer (PC) having a network information management function.
  • the computer 3 manages the network stack of the protocol stack unit 31 that processes the network protocol hierarchically, and transmits the management information of the network information to the management information collection unit 13 of the worm monitoring device 1 in response to the request.
  • a network information management unit 32 is provided.
  • FIG. 2 shows a block configuration example of the worm detection unit 11 of the worm monitoring device 1.
  • the worm detection unit 11 includes an item extraction unit 111, an error information monitoring unit 112, a discard information monitoring unit 113, an endpoint information monitoring unit 114, and an alert generation unit 115.
  • the item extraction unit 111 identifies the network transmission destination as an item necessary for detecting a worm from the management information of the network information stored in the management information database 14. Error notification information, the amount of information discarded due to unknown destination, and the end point information of computer 3 are extracted and sent to each information monitoring unit of error information monitoring unit 112, discard information monitoring unit 113, and endpoint information monitoring unit 114 Processing means to pass.
  • the error information monitoring unit 112 analyzes the error force of the error notification information in the management information of the network information, and analyzes whether the number of error notifications is continuously increasing and increases beyond a predetermined threshold. In this case, the processing means detects the change (increase state). The error information monitoring unit 112 measures the number of destination unknown error notifications based on the network information management information of the network connection device 2 or the computer 3, and determines whether the error notification is received or transmitted. When the number of error notifications exceeds a predetermined threshold, the alert generation unit 115 is notified.
  • the discard information monitoring unit 113 measures the amount of information discard from the discard information of the management information of the network information, analyzes the power / power of the information discard amount continuously increasing, This is a processing means to detect the change (increase state) when the amount of increase exceeds the threshold value.
  • the discard information monitoring unit 113 analyzes the amount of information discarded when relaying through each network connection device 2 because the destination is unknown, and generates an alert when the discard information amount exceeds a predetermined threshold. Section 115 is notified.
  • the endpoint information monitoring unit 114 measures the number of endpoints in the middle of connection from the endpoint information in the management information of the network information, and the number of endpoints in the middle of the connection is continuously increasing. This is a processing means for detecting the change (increase state) when the amount exceeds the predetermined threshold and increases.
  • the endpoint information monitoring unit 114 measures the number of endpoints that are in a connected state with unknown destinations when each computer 3 starts a connection, and the number of endpoints in the connected state increases. When the predetermined threshold is exceeded, the alert generation unit 115 is notified.
  • the alert generation unit 115 When the alert generation unit 115 receives a notification of a change in monitoring target information from any of the error information monitoring unit 112, the discard information monitoring unit 113, or the end point information monitoring unit 114, the alert generation unit 115 It is a processing means that generates alert information indicating that the worm is active.
  • the alert information includes the type of the device that generated the management information for the network information that caused the change (computer or network connection device) and the address of the device. Information etc. are included.
  • FIG. 3 shows a block configuration example of the worm countermeasure unit 12.
  • the worm countermeasure unit 12 includes an alert analysis unit 121, a countermeasure instruction generation unit 122, a network configuration management unit 123, and a countermeasure instruction unit 124.
  • the alert analysis unit 121 is a processing unit that analyzes the type of device for which management information of network information is collected and the address information of the device from the inputted alert information.
  • the alert analysis unit 121 displays the analyzed device type and address information as a countermeasure instruction generation unit 1
  • the countermeasure instruction generating unit 122 is processing means for generating a countermeasure instruction for the worm activity based on the analysis result of the alert information.
  • the countermeasure instruction generation unit 122 generates relay information for the computer 3 identified based on the address information of the alert information when the type of the analysis result device passed from the alert analysis unit 121 is “computer”. Generate delete instructions. Also, when the device type is “network connection device”, a filter setting instruction is generated to block unauthorized access program communication to the network connection device 2 specified based on the address information of the alert information.
  • the generated relay information deletion instruction or filter setting instruction is passed to the countermeasure instruction unit 124.
  • the countermeasure instruction generation unit 122 performs the above processing in cooperation with the network configuration management unit 123.
  • the network configuration management unit 123 is a processing unit that manages the configuration of the network to be monitored by the worm monitoring device 1.
  • the management information collection unit 13 is a processing unit that collects management information of network information from the network connection device 2 or the computer 3 and accumulates it in the management information database 14.
  • the management information collection unit 13 of the worm monitoring device 1 collects network information management information from each network connection device 2 and the computer 3 at regular intervals to obtain a management information database 14. To accumulate.
  • the worm detection unit 11 of the worm monitoring device 1 uses the item extraction unit 111 to determine the end point of the connection process in the computer 3 from the management information of the network information collected from the network information management unit 32 of the computer 3. Number or the number of notifications of error information indicating unknown destination.
  • the error information monitoring unit 112 analyzes the notification amount of error information with unknown connection destination, and the endpoint information monitoring unit 114 analyzes the number of connected endpoints. When it is determined that the information exceeds a predetermined threshold, it is detected that the worm is active.
  • the alert generation unit 115 generates alert information including the type of device to be detected (computer setting), the address information of the computer 3 in which the worm is active, that is, infected with the worm, and sends it to the worm countermeasure unit 12 hand over.
  • the worm countermeasure unit 12 receives the alert information from the alert generation unit 115 by the alert analysis unit 121, and when the alert information indicates that the device infected with the worm is the computer 3, generates a countermeasure instruction.
  • the unit 122 generates an instruction for deleting the relay information of the protocol stack unit 31 to the network information management unit 32 of the computer 3.
  • a connection request with a wide range of destination addresses is sent from the computer 3 infected with the worm, so that a large number of connection requests with no transmission destination are received. .
  • the number of notifications (number of transmissions) of error information indicating that the connection destination is unknown increases.
  • the number of relay information due to worm activity increases and the total number of relay information in the entire network connection device 2 increases, there is no connection destination, so the destination is unknown. The total number of information discarded due to relay increases.
  • the worm detection unit 11 of the worm monitoring device 1 uses the item extraction unit 111 to From the network information management information collected from the network information management unit 22 of the network connection device 2, the number of relay information discarded information due to unknown transmission destination or the number of error information notifications indicating unknown transmission destination is extracted. Then, the error information monitoring unit 112 analyzes the notification amount of the error information with unknown connection destination, and the discard information monitoring unit 113 analyzes the discard information amount of the relay information. If the information exceeds a predetermined threshold, When it is determined, it detects that the worm is active in the network segment under the network connection device 2.
  • the alert generator 115 sets the type of the device to be detected (sets the network connection device), the address information of the network connection device 2, the network connection device 2 under the active worm, that is, the virus. Alert information including the address information of the network 'segment is generated and passed to the worm countermeasure unit 12.
  • the worm countermeasure unit 12 receives the alert information from the alert generation unit 115 by the alert analysis unit 121, and the device that controls the network segment infected with the worm by the alert information is the network connection device 2.
  • the countermeasure instruction generation unit 122 sends a filter setting instruction to block the traffic generated by the worm activity to the filtering unit 21 of the network connection device 2, and the network connection device 2 Change the filter function setting.
  • FIG. 6 shows an embodiment of the present invention.
  • the worm monitoring device 1 is to monitor the activity of the worm in a plurality of networks' segments A to D, and one worm monitoring device 1 is installed in the segment D.
  • Network connection device 2 is a router
  • computer 3 is a host PC.
  • the network information management unit 22 of the network connection device (router) 2 and the network information management unit 32 of the computer (host) 3 implement an SNMP agent that supports S NMP (Simple Network Management Protocol) to manage network information. Information shall be managed as MIB (Management Information Base) information. Also, SNMP and TCP / IP are used as network protocols.
  • the management information collection unit 13 of the worm monitoring device 1 makes an inquiry to each host 3 and router 2 in the network at regular intervals, collects MIB information, and stores it in the management information database 14. . Or, when an abnormality is detected, the management information (MIB information) of the network information is sent by traps from the SNM P agents 22 and 32 of each router 2 or host 3 to the management information collection unit 13. To.
  • the MIB information collected by the management information collection unit 13 is sent to the worm detection unit 11.
  • the worm detection unit 11 performs worm detection processing for each router 2 and host 3, and checks for signs of worm activity. When an indication of worm activity is detected, the address of the corresponding router 2 or host 3 is passed to the worm countermeasure unit 12.
  • FIG. 7 shows a process flow of the worm detection process.
  • the worm detection unit 11 determines whether the address added to the MIB information is the router 2 or the host 3 (step S1).
  • step SI When the address of the MIB information is host 3 (step SI), ICMP and TCP information is extracted from the MIB information and analyzed (step S2).
  • step S3 When all the conditions are met (step S3), the worm countermeasure unit 12 is notified of the network address of the corresponding host 3 (step S4).
  • each information of ICMP and IP is extracted from the MIB information and analyzed (step S5).
  • the number of ICMP destination unreachable messages sent (icmpOutDestUnreachs) in the MIB object continuously increases, and the number of discarded IP datagrams (ipOutNoRoutes) due to the failure to detect the route to the destination continuously increases. (Step S6).
  • the worm countermeasure unit 12 is notified of the network address of the router 2 (step S7).
  • the worm countermeasure unit 12 performs worm countermeasure processing, and based on the address and device information of the host 3 notified from the worm detection unit 11, the routing entry is sent to the SNMP agent 32 of the corresponding host 3. Instruct to delete Also, based on the router 2 address and device information notified from the worm detection unit 11, the SNMP agent 22 of the corresponding router 2 is set to filter to block communication due to worm activity.
  • FIG. 8 shows a processing flow of worm countermeasure processing.
  • the worm countermeasure unit 12 determines whether the notified address is the router 2 or the host 3. Judgment is made (step S11).
  • the filter for blocking the worm traffic is set in the filtering unit (filter) 21 of the corresponding router (step S12).
  • the SNMP agent 32 of the corresponding host 3 is instructed to delete the routing information (step S13).
  • the present invention may use a network management function similar to the power described as using SNMP and TCPZIP.
  • packet communication such as SNA (Systems Network Architecture: IBM) and FNA (Fujitsu Network Architecture) can be used.
  • the computer 3 is implemented by a computer terminal (PC) having a network information management function and a host
  • the computer 3 may be a mobile terminal having a network information management function, an information home appliance, a printer, or the like. That's fine.
  • the network management information database 14 of the worm monitoring device 1 may be data on the force memory described as the static storage means.
  • the present invention is described as being implemented as a program that is read and executed by a computer.
  • a program that implements the present invention is a computer-readable medium such as a portable medium memory, a semiconductor memory, or a hard disk. It can be stored in an appropriate recording medium, provided by being recorded on these recording media, or via a communication interface. Thus, it is provided by transmission / reception using a network.
  • Management information monitoring process that analyzes the management information of the collected network information by computer or network connection device capability to detect changes in the management information of the network information specific to the activities of unauthorized access programs
  • the unauthorized access program monitoring processing method according to any one of Appendix 1 or Appendix 2 [0082] (Appendix 6)
  • the management information collected from the computer is prayed, and either the number of endpoints indicating that the connection is being established in the computer or the number of endpoints indicating that the connection has failed to be established.
  • a state in which the numerical value indicates a predetermined increasing trend is detected as the change.
  • a countermeasure instruction process for transmitting the relay information deletion instruction or the filter setting instruction for transmitting the relay information deletion instruction or the filter setting instruction.
  • the network configuration information is referred to, and the address information of the computer or the network segment or the network connection device that controls the network segment is suspected to be the activity of the unauthorized access program.
  • the management information of the collected network information is also collected by the computer or network connection device capabilities.
  • Management information monitoring means for analyzing the management information and detecting a change in management information of network information specific to the activity of the unauthorized access program
  • a device comprising a type of device from which management information of network information related to the detection of the change is collected, and an alert generation means for generating alert information including address information of a device suspected of an activity of the unauthorized access program
  • An unauthorized access program detection program for causing the computer to function.
  • appendix 10 The unauthorized access program according to appendix 9 for causing the computer to function as a device comprising management information collection means for collecting the management information of the network information from the computer or the network connection device in real time. Detection program.
  • the management information monitoring means extracts error notification information associated with unknown management information capability collected from the network connection device, and the transmission time of the error notification information is increased by a predetermined amount.
  • the unauthorized access program detection program according to any one of the appendix 9 or the appendix 10, which causes the computer to function as a device that detects a state indicating a tendency as the change.
  • the management information monitoring means extracts the error information associated with the management information power transmission destination unknown of the network information collected from the computer, and the received information amount of the error notification information is a predetermined amount.
  • the unauthorized access program detection program according to any one of the supplementary note 9 and the supplementary note 10 for causing the computer to function as a device that detects a state showing an increasing tendency as the change.
  • the management information monitoring means extracts the amount of information discarded due to unknown transmission destination from the management information collected from the network connection device, and the amount of discarded information shows a predetermined increasing tendency. As a device for detecting the state shown as the change,
  • the unauthorized access program detection program according to any one of the supplementary note 9 and the supplementary note 10 for causing the computer to function.
  • the management information monitoring means prays for management information collected from the computer, and the number of endpoints or connections indicating that the computer is establishing a connection.
  • the management information monitoring means prays for management information collected from the computer, and the number of endpoints or connections indicating that the computer is establishing a connection.
  • the unauthorized access program detection program according to any one of the supplementary note 9 and the supplementary note 10 for causing the computer to function.
  • the type of device that received alert information including the type of device suspected of unauthorized access program activity and address information, and from which the management information of network information related to the detection of the change was collected from the alert information, the unauthorized access
  • a relay information deletion instruction is generated for the computer specified by the address information.
  • the relay information is specified by the address information.
  • Countermeasure instruction generating means for generating a filter setting instruction for blocking communication of the unauthorized access program to the network connection device to be connected;
  • An unauthorized access program countermeasure program for causing the computer to function.
  • Network configuration information storage means for storing network configuration information indicating a network configuration
  • Network configuration management means for managing network configuration information indicating the network configuration
  • the countermeasure instruction generating means is a device that analyzes address information of a computer, a network segment, or a network connection device that controls the network segment that is suspected to be an activity of the unauthorized access program by referring to the network configuration information.
  • Network management information storage means for accumulating management information of collected network information of computer or network connection device power
  • Management information monitoring means for analyzing the management information and detecting a change in management information of network information specific to the activity of the unauthorized access program
  • Alert analysis means for analyzing the type of device from which the management information of the network information related to the detection of the change is collected from the alert information, the address information of the computer or network connection device suspected of the activity of the unauthorized access program,
  • a relay information deletion instruction is generated for the computer specified by the address information.
  • the relay information is specified by the address information.
  • Countermeasure instruction generating means for generating a filter setting instruction for blocking communication of the unauthorized access program to the network connection device to be connected;
  • An unauthorized access program monitoring system comprising a countermeasure instruction means for transmitting the relay information deletion instruction or the filter setting instruction.
  • the present invention can realize detection and countermeasures for programs that perform unauthorized access without introducing special software for each network and computer in a network system in which network management is introduced.

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computer Hardware Design (AREA)
  • General Engineering & Computer Science (AREA)
  • Software Systems (AREA)
  • Theoretical Computer Science (AREA)
  • General Physics & Mathematics (AREA)
  • Physics & Mathematics (AREA)
  • Health & Medical Sciences (AREA)
  • General Health & Medical Sciences (AREA)
  • Virology (AREA)
  • Computing Systems (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)
  • Computer And Data Communications (AREA)

Abstract

　本発明は、計算機やルータから収集されたネットワーク情報の管理情報を分析して不正アクセスプログラム（ワーム）の活動に特有な管理情報の変化を検出し、変化の検出にかかわる管理情報が収集された装置の種別やワームの活動が疑われる装置のアドレス情報を含むアラート情報を生成し、アラート情報の装置の種別が計算機である場合に、当該計算機に対する中継情報の削除指示を生成し、装置の種別がネットワーク接続装置である場合に、当該ネットワーク接続装置に対するワームの通信を遮断するフィルタの設定指示を生成し、これらの指示を送信する処理を行う。

Description

明 細 書
不正アクセスプログラム監視処理方法、不正アクセスプログラム検出プロ グラムおよび不正アクセスプログラム対策プログラム
技術分野
[0001] 本発明は、ワーム検出'隔離方法およびプログラムに関し、既存のネットワーク管理 技術、例えば簡易ネットワーク管理プロトコル（SNMP : Simple Network Manag ement Protocol)のネットワーク管理技術を用いてネットワークに接続されたサー バゃ PCのウィルスやワームの感染を早期に検出し隔離することにより、ウィルスゃヮ ームによる被害を防止する技術に関する。
背景技術
[0002] 近年、インターネットや企業内イントラネットでは、ワーム、ウィルスと!/、つた不正ァク セスを行うプログラムの被害が問題となっている。図 9に、不正アクセスプログラムの検 出'隔離システムの例を示す。従来、不正アクセスプログラムの検出'隔離処理には、 エンドポイントの各計算機 901上に、アンチウィルスソフト 902を導入して感染を検出 したり、または、ネットワークでは、ネットワーク上に設置された不正アクセスプログラム 対策用（ワーム対策用）アプライアンス'ノヽードウエア 903を用いてネットワークのトラフ イツクのモニタリングを行ったりという方法がとられてきた (例えば、非特許文献 1参照）
[0003] 非特許文献 1
チェック ·ポイント ·ソフトウェア ·テクノロジーズ株式会社
「Check Point InterSpect カタログ」 2004年 1月
発明の開示
発明が解決しょうとする課題
[0004] アンチウィルスソフト 902は、不正アクセスプログラムが持つ特定のバイナリパターン の一致による検出処理を基本とするシグ-チヤベースのプログラムであるため、既知 のワームの検出には有効である。
[0005] しかし、既知の不正アクセスプログラムの亜種や新種のものに対しては、バイナリパ ターンが異なるために検出処理が困難であり、アンチウィルスソフト 902のベンダから 、不正アクセスプログラム検出用の最新のバイナリパターンを迅速にアップデートしな ければならな ヽと ヽぅ問題があった。
[0006] また、一部のアンチウィルスソフト 902は、未知の不正アクセスプログラムを検出して 感染を防止できる機能を備えるが、誤検知の問題があり、検出できるものが限られて いた。
[0007] 一方、ネットワークに設置されたワーム対策用アプライアンス'ノヽードウエア 903は、 ネットワーク上を流れる全てのパケットを収集解析するための専用のハードウェアを 用意し、プロトコル規約に従わない通信、脆弱性を狙うようなトラフィックなどを検出す ることによって、不正アクセスプログラムがネットワーク上で動作していることを検知す る。
[0008] し力し、ワーム対策用アプライアンス'ノヽードウエア 903は、亜種や新種の不正ァク セスプログラムの活動を検知できる力 不正アクセスのトラフィックを捕捉するために、 各ネットワーク 'セグメントにあるスィッチ.ルータ 904のミラーリングポート 905から、ィ ントラネット 906 (ネットワーク）のトラフィックの全てをモニタリングして、不正なトラフイツ クか否かの判定をしなければならない。このため、ソフトウェアやハードでの処理が重 くなり、ネットワークのトラフィックが増大すると処理が追いつかなくなるという欠点があ つた o
[0009] また、ネットワークの各セグメント上に専用のハードウェアを必要とするため、大規模 なネットワークでは複数の監視システム（ワーム対策用アプライアンス'ノヽードウエア 9 03)を設置しなければならない。そのため、管理対象となるシステム数が増加し、管 理工数が肥大するという問題があった。
[0010] 本発明の目的は、従来の各計算機上のシグ-チヤベースのアンチウィルスソフト、 ネットワーク ·セグメントごとのアプライアンス ·ハードウェアを用いることなく、不正ァク セスプログラムの活動を検出することができる処理方法およびプログラムを実現するこ とである。
[0011] また、本発明の目的は、不正アクセスプログラムの活動による感染拡大が生じない ように、検出された不正アクセスプログラムを隔離することができる処理方法およびプ ログラムを実現することである。
課題を解決するための手段
[0012] 本発明は、ネットワーク内の不正アクセスプログラムの活動を監視する処理方法で あって、計算機またはネットワーク接続装置力も収集されたネットワーク情報の管理情 報を分析して不正アクセスプログラムの活動に特有なネットワーク情報の管理情報の 変化を検出する管理情報監視過程と、前記変化の検出にかかわるネットワーク情報 の管理情報が収集された装置の種別および前記不正アクセスプログラムの活動が疑 われる装置のアドレス情報を含むアラート情報を生成するァラート生成過程とを備え る。
[0013] ネットワーク上に設置されるネットワーク機器、およびネットワークを用いた情報通信 を行う計算機には、多くの場合、ネットワーク情報管理機能を備えている。本発明は、 ネットワーク情報管理機能として使用されるネットワーク情報管理処理部によって提 供されるネットワーク情報の管理情報を用いて、不正アクセスプログラムの活動に特 有なネットワーク情報の管理情報の変化、すなわち不正な情報送受信処理によって 生じる特定の管理情報の変化を分析し、所定の変化力 不正アクセスプログラムの 活動の兆候を検出してァラートを生成する。
[0014] よって、ネットワーク情報管理を導入しているネットワークシステムにおいて、ネットヮ ークごとに不正アクセスプログラム対策用アプライアンス'ノヽードウエアを設定したり、 各計算機に特別なソフトウェアを導入したりすることなぐ不正アクセスプログラムの活 動を検出することができる。
[0015] また、本発明は、上記の処理過程を備えるものである場合に、前記ネットワーク情報 の管理情報を前記計算機または前記ネットワーク接続装置からリアルタイムで収集す る管理情報収集過程を備える。
[0016] 本発明は、収集され格納された静的なネットワーク情報の管理情報だけでなぐリア ルタイムで収集されたネットワーク情報の管理情報を用いて不正アクセスプログラム の活動を検出することができる。
[0017] さらに、本発明は、前記管理情報監視過程において、前記ネットワーク接続装置か ら収集された管理情報から送信先不明に伴うエラー通知情報を抽出し、前記エラー 通知情報の送信時量が所定の増加傾向を示す状態を前記変化として検出する。
[0018] または、前記計算機力も収集されたネットワーク情報の管理情報力も送信先不明に 伴うエラー通知情報を抽出し、前記エラー通知情報の受信情報量が所定の増加傾 向を示す状態を前記変化として検出する。
[0019] または、前記ネットワーク接続装置から収集された管理情報から送信先不明に伴つ て廃棄された情報量を抽出し、前記廃棄情報量が所定の増加傾向を示す状態を前 記変化として検出する。
[0020] または、前記計算機力 収集された管理情報を解析し、前記計算機にお!、てコネク シヨン確立中を示すエンドポイント数もしくはコネクション確立失敗を示すエンドポイン ト数のいずれかの数値が所定の増加傾向を示す状態を前記変化として検出する。
[0021] このような、計算機やネットワーク接続装置力もの送信先不明に伴うエラー通知情 報の情報量、送信先不明に伴う廃棄情報量、前記計算機におけるコネクション確立 中を示すエンドポイント数もしくはコネクション確立失敗を示すエンドポイント数などの 継続的な増加傾向は、不正なトラフィックの増加を意味するので、かかる増加傾向を 不正アクセスプログラムの活動の検出に利用するものである。
[0022] さらに、本発明は、前記アラート情報から、前記変化の検出にかかわるネットワーク 情報の管理情報が収集された装置の種別、前記不正アクセスプログラムの活動が疑 われる計算機またはネットワーク接続装置のアドレス情報を解析するァラート解析過 程と、前記装置の種別が計算機である場合に、前記アドレス情報によって特定される 計算機に対する中継情報の削除指示を生成し、前記装置の種別がネットワーク接続 装置である場合に、前記アドレス情報によって特定されるネットワーク接続装置に対 する前記不正アクセスプログラムの通信を遮断するフィルタの設定指示を生成する対 策指示生成過程と、前記中継情報の削除指示または前記フィルタの設定指示を送 信する対策指示過程とを備える。
[0023] 計算機のネットワーク情報管理処理部に対して他のネットワーク 'セグメントへの中 継情報の削除を指示することにより、または、ネットワーク接続装置のネットワーク情 報管理処理部に対して、他のネットワーク ·セグメントへの通信を遮断するフィルタ情 報の設定を指示することにより、ネットワーク 'セグメント内で活動する不正アクセスプ ログラムが外部への不正なアクセスを行うことを停止させることができ、不正アクセスプ ログラムを隔離して感染拡大を防止することができる。
[0024] また、本発明は、ネットワークの構成を示すネットワーク構成情報を管理するネットヮ ーク構成管理過程を備え、前記対策指示生成過程は、前記ネットワーク構成情報を 参照して前記不正アクセスプログラムの活動が疑われる計算機またはネットワーク ·セ グメントまたは前記ネットワーク 'セグメントを制御するネットワーク接続装置のアドレス 情報を解析する。
[0025] 1台の不正アクセスプログラム監視装置によって、大規模ネットワーク上のどこのネッ トワーク.セグメント（サブネットワーク）に所属するどの計算機力も不正アクセスプログ ラムが不正な通信を行って 、るかと 、うことを特定することができ、大規模ネットワーク 上での不正アクセスプログラムの感染拡大を防止することができる。
[0026] また、本発明は、上記の処理手段、構成要素などを備えて不正アクセスプログラム を検出する装置としてコンピュータを機能させるためのプログラム、および検出した不 正アクセスプログラムを隔離する装置としてコンピュータを機能させるためのプロダラ ムである。
発明の効果
[0027] 本発明によれば、ネットワーク管理処理を導入しているネットワークシステムにおい て、ネットワークおよび各システムに特別なソフトウェアを導入することなぐ計算機ま たはネットワーク接続装置のネットワーク管理情報を利用して不正アクセスを行う不正 アクセスプログラムの検出を行うことができる。
[0028] また、本発明によれば、計算機のネットワーク設定情報、または、ネットワーク接続 装置のフィルタリング機能の設定情報に対する指示を送出することにより、検出した 不正アクセスプログラムの隔離処理を行うことができる。
[0029] また、本発明によれば、 1台の監視システムによって、大規模ネットワークにおいて、 ネットワーク ·セグメントまたは計算機での不正アクセスプログラムの不正な通信を検 出でき、また検出した不正アクセスプログラムを隔離することができるため、大規模ネ ットワーク上での不正アクセスプログラムの感染の拡大を防止することができる。
図面の簡単な説明 [0030] [図 1]図 1は、本発明の実施の形態におけるシステム構成を示す図である。
[図 2]図 2は、ワーム検出部のブロック構成例を示す図である。
[図 3]図 3は、ワーム対策部のブロック構成例を示す図である。
圆 4]図 4は、計算機での接続開設関連のネットワーク管理情報の変化例を示す図で ある。
[図 5]図 5は、ネットワーク機器での中継情報の廃棄量の変化例を示す図である。
[図 6]図 6は、本発明の実施例における構成例を示す図である。
[図 7]図 7は、ワーム検出処理の処理フロー例を示す図である。
[図 8]図 8は、ワーム対策処理の処理フロー例を示す図である。
[図 9]図 9は、ワームの検出'隔離システムの例を示す図である。
符号の説明
[0031] 1 ワーム監視装置
11 ワーム検出部
12 ワーム対策部
13 管理情報収集部
14 管理情報データベース
2 ネットワーク接続装置 (ルータ）
21 フィルタリング部（フィルタ）
22 ネットワーク情報管理部（SNMPエージヱント）
3 計算機 (ホスト）
31 プロトコノレスタック咅
32 ネットワーク情報管理部（SNMPエージヱント）
111 項目抽出部
112 エラー情報監視部
113 廃棄情報監視部
114 エンドポイント情報監視部
115 ァラート生成部
121 ァラート解析部 122 対策指示生成部
123 ネットワーク構成管理部
124 対策指示部
発明を実施するための最良の形態
[0032] 図 1に、本発明の実施の形態におけるシステム構成を示す。
[0033] 不正アクセスプログラム監視装置 (ワーム監視装置） 1は、ネットワーク接続装置 (ル →) 2および計算機 (ホスト） 3から収集されたネットワーク情報の管理情報を用いて 、ウィルス、ワームのような不正アクセスを行うプログラム（以下、単に「ワーム」とする） を検出'隔離する装置である。
[0034] ワーム監視装置 1は、ネットワーク内のワームの活動を検出するワーム検出部 11、 検出されたワームの活動に対する所定の対策を行うワーム対策部 12、ネットワーク接 続装置 2または計算機 3からそれぞれのネットワーク情報の管理情報を収集する管理 情報収集部（SNMPマネージャ） 13、および収集されたネットワーク情報の管理情報 を蓄積する管理情報データベース 14を備える。
[0035] ネットワーク接続装置 2は、ネットワーク 'セグメント間の接続を制御する装置であつ て、例えばルータ、スィッチなどである。ネットワーク接続装置 2は、所定の条件に従 つてネットワーク情報を通過または遮断するフィルタリング部 21、および自機のネット ワーク情報を管理し、要求に応じてネットワーク情報の管理情報をワーム監視装置 1 の管理情報収集部 13に送信するネットワーク情報管理部 22を備える。
[0036] 計算機 3は、ネットワーク情報管理機能を備えたコンピュータ (PC)である。計算機 3 は、ネットワークプロトコルを階層的に処理するプロトコルスタック部 31、および自機の ネットワーク情報を管理し、要求に応じてネットワーク情報の管理情報をワーム監視 装置 1の管理情報収集部 13に送信するネットワーク情報管理部 32を備える。
[0037] 図 2に、ワーム監視装置 1のワーム検出部 11のブロック構成例を示す。
[0038] ワーム検出部 11は、項目抽出部 111、エラー情報監視部 112、廃棄情報監視部 1 13、エンドポイント情報監視部 114、およびァラート生成部 115を備える。
[0039] 項目抽出部 111は、管理情報データベース 14に蓄積されたネットワーク情報の管 理情報から、ワームを検出するために必要な項目として、ネットワークの送信先不明 によるエラー通知情報、送信先不明による廃棄された情報量、計算機 3のエンドボイ ント情報を抽出し、エラー情報監視部 112、廃棄情報監視部 113およびエンドポイン ト情報監視部 114の各情報監視部へ渡す処理手段である。
[0040] エラー情報監視部 112は、ネットワーク情報の管理情報のエラー通知情報から、ェ ラー通知数が継続的に増カロしている力否力を分析し、所定の閾値を超過して増加し ている場合に、その変化 (増加状態)を検出する処理手段である。エラー情報監視部 112は、ネットワーク接続装置 2または計算機 3のネットワーク情報の管理情報をもと に送信先不明エラー通知数を計測し、エラー通知の受信側であつたか送信側であつ たかを判定し、エラー通知数が所定の閾値を超過した場合にァラート生成部 115へ 通知する。
[0041] 廃棄情報監視部 113は、ネットワーク情報の管理情報の廃棄情報から、情報の廃 棄量を計測し、情報の廃棄量が継続的に増カロしている力否力を分析し、所定の閾値 を超過して増カロしている場合に、その変化 (増加状態)を検出する処理手段である。 廃棄情報監視部 113は、各ネットワーク接続装置 2を中継する際に送信先不明で中 継できず廃棄した情報量を分析し、廃棄情報量が所定の閾値を超過した場合にァラ ート生成部 115へ通知する。
[0042] エンドポイント情報監視部 114は、ネットワーク情報の管理情報のエンドポイント情 報カゝら接続途中のエンドポイント数を計測し、接続途中のエンドポイント数が継続的 に増加している力否かを分析し、所定の閾値を超過して増加している場合に、その変 ィ匕 (増加状態)を検出する処理手段である。エンドポイント情報監視部 114は、各計 算機 3が接続を開始する際に送信先不明で接続中状態となっているエンドポイント数 を計測し、接続中状態のエンドポイント数が増力 Πして所定の閾値を超過した場合にァ ラート生成部 115へ通知する。
[0043] ァラート生成部 115は、エラー情報監視部 112、廃棄情報監視部 113、またはェン ドポイント情報監視部 114のいずれかの手段力 監視対象情報の変化の通知を受け ると、ネットワーク内でワームが活動中であることを示すアラート情報を生成する処理 手段である。ァラート情報には、変化の原因となったネットワーク情報の管理情報を 生成した装置の種別 (計算機か、ネットワーク接続装置か)およびその装置のアドレス 情報などが含まれる。
[0044] 図 3に、ワーム対策部 12のブロック構成例を示す。
[0045] ワーム対策部 12は、ァラート解析部 121、対策指示生成部 122、ネットワーク構成 管理部 123,および対策指示部 124を備える。
[0046] ァラート解析部 121は、入力したァラート情報から、ネットワーク情報の管理情報が 収集された装置の種別および前記装置のアドレス情報を解析する処理手段である。 ァラート解析部 121は、解析した装置の種別およびアドレス情報を対策指示生成部 1
22へ渡す。
[0047] 対策指示生成部 122は、ァラート情報の解析結果にもとづいて、ワームの活動に対 する対策指示を生成する処理手段である。対策指示生成部 122は、ァラート解析部 121から渡された解析結果の装置の種別が"計算機"である場合に、ァラート情報の アドレス情報にもとづ 、て特定された計算機 3に対する中継情報の削除指示を生成 する。また、装置の種別が"ネットワーク接続装置"である場合に、ァラート情報のアド レス情報にもとづいて特定されたネットワーク接続装置 2に対する不正アクセスプログ ラムの通信を遮断するフィルタの設定指示を生成する。生成した中継情報の削除指 示またはフィルタの設定指示を対策指示部 124へ渡す。
[0048] 対策指示生成部 122は、上記の処理を、ネットワーク構成管理部 123と連携して行 う。ネットワーク構成管理部 123は、ワーム監視装置 1が監視対象とするネットワーク の構成を管理する処理手段である。
[0049] 管理情報収集部 13は、ネットワーク接続装置 2または計算機 3からネットワーク情報 の管理情報を収集し、管理情報データベース 14に蓄積する処理手段である。
[0050] 図 1に示す構成のネットワークにおいて、ワーム監視装置 1の管理情報収集部 13は 、一定間隔で各ネットワーク接続装置 2および計算機 3からネットワーク情報の管理情 報を収集し、管理情報データベース 14に蓄積しておく。
[0051] 計算機 3でワームが活動しているとする。ワームは感染を効率よく行うために広範囲 のアドレスへの接続を試みる。このため、送信先が存在しない大量の接続要求バケツ トが計算機 3から送出される。このため、計算機 3では送信先不明を示すエラー情報 の通知数 (受信数）が増加する。また、ワームがコネクション指向の通信を使用する場 合には、図 4に示すように、ワームの活動による接続要求数が増加して計算機 3全体 のエンドポイントのオープン総数が増加するにつれて、接続の相手先が存在しない ために再送タイムアウト待ちとなるまでの接続過程 (接続途中）の状態のエンドポイン ト総数が増加する。
[0052] そこで、ワーム監視装置 1のワーム検出部 11は、項目抽出部 111によって、計算機 3のネットワーク情報管理部 32から収集したネットワーク情報の管理情報から、計算 機 3での接続過程のエンドポイント数、あるいは送信先不明を示すエラー情報の通知 数を抽出する。そして、エラー情報監視部 112によって接続先不明のエラー情報の 通知量を分析し、エンドポイント情報監視部 114によって接続中のエンドポイント数を 分析する。これらの情報が所定の閾値を超過していると判定した場合に、ワームが活 動中であると検出する。そして、ァラート生成部 115によって、検出対象とした装置の 種別 (計算機を設定)、ワームが活動中すなわちワームに感染された計算機 3のアド レス情報を含むアラート情報を生成し、ワーム対策部 12へ渡す。
[0053] ワーム対策部 12は、ァラート解析部 121によって、ァラート生成部 115からアラート 情報を受け取り、ァラート情報によってワームに感染している装置が計算機 3であるこ とが通知されると、対策指示生成部 122によって、計算機 3のネットワーク情報管理部 32に対する、プロトコルスタック部 31の中継情報を削除する指示を生成する。
[0054] これにより、計算機 3では、プロトコルスタック部 31の処理において自機が所属する ネットワーク ·セグメント以外への通信が遮断されることになり、他のネットワーク ·セグ メントへのワームの感染拡大を防止することができる。
[0055] また、ネットワーク接続装置 2では、ワームに感染した計算機 3から広範囲の宛先ァ ドレスの付いた接続要求が送出されることによって、送信先が存在しない大量の接続 要求を受信することになる。このため、ネットワーク接続装置 2では、接続先不明を示 すエラー情報の通知数 (送出数)が増加する。また、図 5に示すように、ワームの活動 による中継情報数が増カロしてネットワーク接続装置 2全体の中継情報総数が増加す るにつれて、接続の相手先が存在しな 、ために送信先不明による中継情報の廃棄 情報総数が増加する。
[0056] そこで、ワーム監視装置 1のワーム検出部 11は、項目抽出部 111によって、ネットヮ ーク接続装置 2のネットワーク情報管理部 22から収集したネットワーク情報の管理情 報から、送信先不明による中継情報の廃棄情報数、あるいは送信先不明を示すエラ 一情報の通知数を抽出する。そして、エラー情報監視部 112によって接続先不明の エラー情報の通知量を分析し、廃棄情報監視部 113によって中継情報の廃棄情報 量を分析し、これらの情報が所定の閾値を超過していると判定した場合に、ネットヮ ーク接続装置 2の配下のネットワーク 'セグメント内でワームが活動中であると検出す る。そして、ァラート生成部 115によって、検出対象とした装置の種別 (ネットワーク接 続装置を設定)、ネットワーク接続装置 2のアドレス情報、ワームが活動中すなわちヮ ームに感染されているネットワーク接続装置 2配下のネットワーク 'セグメントのァドレ ス情報を含むアラート情報を生成し、ワーム対策部 12へ渡す。
[0057] ワーム対策部 12は、ァラート解析部 121によって、ァラート生成部 115からアラート 情報を受け取り、ァラート情報によってワームに感染しているネットワーク 'セグメントを 制御する装置がネットワーク接続装置 2であることが通知されると、対策指示生成部 1 22によって、ネットワーク接続装置 2のフィルタリング部 21に対し、ワームの活動によ り生成されたトラフィックを遮断するフィルタ設定指示を送出して、ネットワーク接続装 置 2のフィルタ機能の設定を変更する。
[0058] これにより、ネットワーク接続装置 2では、自機が制御するネットワーク 'セグメントか ら他のネットワーク ·セグメントへの通信が遮断されることになり、他のネットワーク ·セ グメントへのワームの感染拡大を防止することができる。
[0059] 図 6に、本発明の実施例を示す。
[0060] ワーム監視装置 1は、複数のネットワーク 'セグメント A— Dでのワームの活動を監視 するものとし、 1台のワーム監視装置 1をセグメント D内に設置する。ネットワーク接続 装置 2はルータ、計算機 3はホスト PCとする。ネットワーク接続装置 (ルータ） 2のネット ワーク情報管理部 22および計算機 (ホスト） 3のネットワーク情報管理部 32として、 S NMP (Simple Network Management Protocol)に対応した SNMPエージェ ントを実装し、ネットワーク情報の管理情報は、 MIB (Management Information Base)情報として管理されるものとする。また、ネットワークのプロトコルとして SNMP と TCP/IPとを使用する。 [0061] ワーム監視装置 1の管理情報収集部 13は、一定間隔でネットワーク内の各ホスト 3 やルータ 2に対して問 ヽ合わせを行 ヽ、 MIB情報を収集して管理情報データベース 14に蓄積する。または、異常が検出された場合に、各ルータ 2またはホスト 3の SNM Pエージェント 22、 32から管理情報収集部 13に対して、トラップによりネットワーク情 報の管理情報 (MIB情報）が送信されるようにする。
[0062] ワーム監視装置 1において、管理情報収集部 13によって収集された MIB情報はヮ ーム検出部 11に送られる。ワーム検出部 11は、各ルータ 2およびホスト 3についてヮ ーム検出処理を行い、ワームの活動の兆候がチェックされる。ワームの活動の兆候が 検出された場合に、ワーム対策部 12へ該当するルータ 2またはホスト 3のアドレスが 渡される。
[0063] 図 7に、ワーム検出処理の処理フローを示す。
[0064] ワーム検出部 11は、 MIB情報に付加されたアドレスがルータ 2であるかホスト 3であ るかを判定する (ステップ S1)。
[0065] MIB情報のアドレスがホスト 3である場合に（ステップ SI)、 MIB情報から、 ICMP、 TCPの各情報を抽出し、分析処理を行う (ステップ S2)。そして、 MIBオブジェクトの I CMPの宛先到達不能メッセージ受信数（icmpInDestUnreachs)が継続的に増加し、 かつ、当該エンティティでのコネクション確立試行の失敗数 (tcpAttemptFails)が継続 的に増加し、かつ、 TCPコネクション状態 (tcpConnState)が接続要求送信状態（ synSent)であるエンドポイント数が複数存在するかどうかを判定する（ステップ S3)。 すべての条件が当てはまる場合に (ステップ S 3)、ワーム対策部 12に該当ホスト 3の ネットワークアドレスを通知する（ステップ S4)。
[0066] 一方、 MIB情報のアドレスがルータ 2である場合に（ステップ SI)、 MIB情報から、 I CMP、 IPの各情報を抽出し、分析処理を行う（ステップ S5)。そして、 MIBオブジェク トの ICMPの宛先到達不能メッセージ送信数（icmpOutDestUnreachs)が継続的に増 加し、かつ、宛先へのルート検出不能による廃棄 IPデータグラム数（ipOutNoRoutes) の値が継続的に増加するかどうかを判定する (ステップ S6)。すべての条件が当ては まる場合に (ステップ S6)、ワーム対策部 12に該当ルータ 2のネットワークアドレスを 通知する（ステップ S 7)。 [0067] そして、ワーム対策部 12は、ワーム対策処理を行い、ワーム検出部 11から通知さ れたホスト 3のアドレスおよび装置情報をもとに、該当するホスト 3の SNMPエージェ ント 32にルーティングエントリの削除を指示する。また、ワーム検出部 11から通知され たルータ 2のアドレスおよび装置情報をもとに、該当するルータ 2の SNMPエージェ ント 22に対して、ワームの活動による通信を遮断するようなフィルタ設定を行う。
[0068] 図 8に、ワーム対策処理の処理フローを示す。
[0069] ワーム対策部 12は、ワーム検出部 11から該当するホスト 3またはルータ 2のネットヮ ークアドレスを受け取ると（ステップ S 10)、通知されたアドレスがルータ 2であるかホス ト 3であるかを判定する（ステップ S 11)。
[0070] 通知されたアドレスがルータ 2の場合に、該当ルータのフィルタリング部（フィルタ） 2 1に、ワームのトラフィックを遮断するフィルタの設定を行う（ステップ S12)。一方、通 知されたアドレスがホスト 3の場合に、該当ホスト 3の SNMPエージェント 32に対して 、ルーティング情報の削除を指示する (ステップ S 13)。
[0071] 以上、本発明をその実施の形態および実施例により説明したが、本発明はその主 旨の範囲において種々の変形が可能であることは当然である。
[0072] 例えば、本発明は、 SNMPと TCPZIPとを使用するものとして説明した力 同様の ネットワーク管理機能を使用してもよい。例えば、 SNA (Systems Network Arch itecture： IBM社）、 FNA (Fujitsu Network Architecture)のようなパケット通 信によっても実施することができる。
[0073] また、計算機 3は、ネットワーク情報管理機能を備えたコンピュータ端末 (PC)、ホス トによって実施されると説明したが、ネットワーク情報管理機能を備える携帯端末、情 報家電、プリンタなどであればよい。
[0074] また、ワーム監視装置 1のネットワーク管理情報データベース 14は静的な記憶手段 として説明した力 メモリ上のデータであってもよい。
[0075] また、本発明は、コンピュータにより読み取られ実行されるプログラムとして実施する ものとして説明した力 本発明を実現するプログラムは、コンピュータが読み取り可能 な、可搬媒体メモリ、半導体メモリ、ハードディスクなどの適当な記録媒体に格納する ことができ、これらの記録媒体に記録して提供され、または、通信インタフェースを介 してネットワークを利用した送受信により提供されるものである。
[0076] 本発明の形態および実施例の特徴を列記すると以下のとおりである。
[0077] (付記 1) ネットワーク内の不正アクセスプログラムの活動を監視する処理方法であ つて、
計算機またはネットワーク接続装置力も収集されたネットワーク情報の管理情報を 分析して不正アクセスプログラムの活動に特有なネットワーク情報の管理情報の変化 を検出する管理情報監視過程と、
前記変化の検出にかかわるネットワーク情報の管理情報が収集された装置の種別 、前記不正アクセスプログラムの活動が疑われる装置のアドレス情報を含むアラート 情報を生成するァラート生成過程とを備える
不正アクセスプログラム監視処理方法。
[0078] (付記 2) 前記ネットワーク情報の管理情報を前記計算機または前記ネットワーク 接続装置からリアルタイムで収集する管理情報収集過程を備える
前記付記 1記載の不正アクセスプログラム監視処理方法。
[0079] (付記 3) 前記管理情報監視過程では、前記ネットワーク接続装置から収集された 管理情報力 送信先不明に伴うエラー通知情報を抽出し、前記エラー通知情報の送 信時量が所定の増加傾向を示す状態を前記変化として検出する
前記付記 1または付記 2のいずれかに記載の不正アクセスプログラム監視処理方法
[0080] (付記 4) 前記管理情報監視過程では、前記計算機から収集されたネットワーク情 報の管理情報力 送信先不明に伴うエラー通知情報を抽出し、前記エラー通知情報 の受信情報量が所定の増加傾向を示す状態を前記変化として検出する
前記付記 1または付記 2のいずれかに記載の不正アクセスプログラム監視処理方法
[0081] (付記 5) 前記管理情報監視過程では、前記ネットワーク接続装置から収集された 管理情報から送信先不明に伴って廃棄された情報量を抽出し、前記廃棄情報量が 所定の増加傾向を示す状態を前記変化として検出する
前記付記 1または付記 2のいずれかに記載の不正アクセスプログラム監視処理方法 [0082] (付記 6) 前記管理情報監視過程では、前記計算機から収集された管理情報を解 祈し、前記計算機においてコネクション確立中を示すエンドポイント数もしくはコネク シヨン確立失敗を示すエンドポイント数のいずれかの数値が所定の増加傾向を示す 状態を前記変化として検出する
前記付記 1または付記 2のいずれかに記載の不正アクセスプログラム監視処理方法
[0083] (付記 7) 前記アラート情報から、前記変化の検出にかかわるネットワーク情報の管 理情報が収集された装置の種別、前記不正アクセスプログラムの活動が疑われる計 算機またはネットワーク接続装置のアドレス情報を解析するァラート解析過程と、 前記装置の種別が計算機である場合に、前記アドレス情報によって特定される計 算機に対する中継情報の削除指示を生成し、前記装置の種別がネットワーク接続装 置である場合に、前記アドレス情報によって特定されるネットワーク接続装置に対す る前記不正アクセスプログラムの通信を遮断するフィルタの設定指示を生成する対策 指示生成過程と、
前記中継情報の削除指示または前記フィルタの設定指示を送信する対策指示過 程とを備える
前記付記 1または付記 2のいずれかに記載の不正アクセスプログラム監視処理方法
[0084] (付記 8) ネットワークの構成を示すネットワーク構成情報を管理するネットワーク構 成管理過程を備え、
前記対策指示生成過程は、前記ネットワーク構成情報を参照して前記不正ァクセ スプログラムの活動が疑われる計算機またはネットワーク ·セグメントまたは前記ネット ワーク ·セグメントを制御するネットワーク接続装置のアドレス情報を解析する
前記付記 7記載の不正アクセスプログラム監視処理方法。
[0085] (付記 9) ネットワーク内の不正アクセスプログラムの活動を検出する装置としてコン ピュータを機能させるためのプログラムであって、
計算機またはネットワーク接続装置力も収集されたネットワーク情報の管理情報を 蓄積するネットワーク管理情報記憶手段と、
前記管理情報を分析して不正アクセスプログラムの活動に特有なネットワーク情報 の管理情報の変化を検出する管理情報監視手段と、
前記変化の検出にかかわるネットワーク情報の管理情報が収集された装置の種別 、前記不正アクセスプログラムの活動が疑われる装置のアドレス情報を含むアラート 情報を生成するァラート生成手段とを備える装置として、
前記コンピュータを機能させるための不正アクセスプログラム検出プログラム。
[0086] (付記 10) 前記ネットワーク情報の管理情報を前記計算機または前記ネットワーク 接続装置からリアルタイムで収集する管理情報収集手段を備える装置として、 前記コンピュータを機能させるための前記付記 9記載の不正アクセスプログラム検 出プログラム。
[0087] (付記 11) 前記管理情報監視手段は、前記ネットワーク接続装置から収集された 管理情報力 送信先不明に伴うエラー通知情報を抽出し、前記エラー通知情報の送 信時量が所定の増加傾向を示す状態を前記変化として検出する装置として、 前記コンピュータを機能させるための前記付記 9または前記付記 10のいずれかに 記載の不正アクセスプログラム検出プログラム。
[0088] (付記 12) 前記管理情報監視手段は、前記計算機から収集されたネットワーク情 報の管理情報力 送信先不明に伴うエラー通知情報を抽出し、前記エラー通知情報 の受信情報量が所定の増加傾向を示す状態を前記変化として検出する装置として、 前記コンピュータを機能させるための前記付記 9または前記付記 10のいずれかに 記載の不正アクセスプログラム検出プログラム。
[0089] (付記 13) 前記管理情報監視手段は、前記ネットワーク接続装置から収集された 管理情報から送信先不明に伴って廃棄された情報量を抽出し、前記廃棄情報量が 所定の増加傾向を示す状態を前記変化として検出する装置として、
前記コンピュータを機能させるための前記付記 9または前記付記 10のいずれかに 記載の不正アクセスプログラム検出プログラム。
[0090] (付記 14) 前記管理情報監視手段は、前記計算機から収集された管理情報を解 祈し、前記計算機においてコネクション確立中を示すエンドポイント数もしくはコネク シヨン確立失敗を示すエンドポイント数のいずれかの数値が所定の増加傾向を示す 状態を前記変化として検出する装置として、
前記コンピュータを機能させるための前記付記 9または前記付記 10のいずれかに 記載の不正アクセスプログラム検出プログラム。
[0091] (付記 15) ネットワーク内で検出された不正アクセスプログラムを隔離する装置とし てコンピュータを機能させるためのプログラムであって、
不正アクセスプログラムの活動が疑われる装置の種類およびアドレス情報を含むァ ラート情報を受信し、前記アラート情報から、前記変化の検出にかかわるネットワーク 情報の管理情報が収集された装置の種別、前記不正アクセスプログラムの活動が疑 われる計算機またはネットワーク接続装置のアドレス情報を解析するァラート解析手 段と、
前記装置の種別が計算機である場合に、前記アドレス情報によって特定される計 算機に対する中継情報の削除指示を生成し、前記装置の種別がネットワーク接続装 置である場合に、前記アドレス情報によって特定されるネットワーク接続装置に対す る前記不正アクセスプログラムの通信を遮断するフィルタの設定指示を生成する対策 指示生成手段と、
前記中継情報の削除指示または前記フィルタの設定指示を送信する対策指示手 段とを備える装置として、
前記コンピュータを機能させるための不正アクセスプログラム対策プログラム。
[0092] (付記 16) ネットワークの構成を示すネットワーク構成情報を記憶するネットワーク 構成情報記憶手段と、
ネットワークの構成を示すネットワーク構成情報を管理するネットワーク構成管理手 段とを備え、
前記対策指示生成手段は、前記ネットワーク構成情報を参照して前記不正ァクセ スプログラムの活動が疑われる計算機またはネットワーク ·セグメントまたは前記ネット ワーク ·セグメントを制御するネットワーク接続装置のアドレス情報を解析する装置とし て、
前記コンピュータを機能させるための前記付記 15記載の不正アクセスプログラム対 策プログラム。
[0093] (付記 17) ネットワーク内の不正アクセスプログラムの活動を監視し、検出した不正 アクセスプログラムを隔離するシステムであって、
計算機またはネットワーク接続装置力も収集されたネットワーク情報の管理情報を 蓄積するネットワーク管理情報記憶手段と、
前記管理情報を分析して不正アクセスプログラムの活動に特有なネットワーク情報 の管理情報の変化を検出する管理情報監視手段と、
前記変化の検出にかかわるネットワーク情報の管理情報が収集された装置の種別 、前記不正アクセスプログラムの活動が疑われる装置のアドレス情報を含むアラート 情報を生成するァラート生成手段と、
前記アラート情報から、前記変化の検出にかかわるネットワーク情報の管理情報が 収集された装置の種別、前記不正アクセスプログラムの活動が疑われる計算機また はネットワーク接続装置のアドレス情報を解析するァラート解析手段と、
前記装置の種別が計算機である場合に、前記アドレス情報によって特定される計 算機に対する中継情報の削除指示を生成し、前記装置の種別がネットワーク接続装 置である場合に、前記アドレス情報によって特定されるネットワーク接続装置に対す る前記不正アクセスプログラムの通信を遮断するフィルタの設定指示を生成する対策 指示生成手段と、
前記中継情報の削除指示または前記フィルタの設定指示を送信する対策指示手 段とを備える不正アクセスプログラム監視システム。
産業上の利用可能性
[0094] 本発明は、ネットワーク管理を導入しているネットワークシステムにおいて、ネットヮ ークおよび計算機ごとに特別なソフトウェアを導入することなぐ不正アクセスを行うプ ログラムの検出および対策を実現できる。

Claims

請求の範囲
[1] ネットワーク内の不正アクセスプログラムの活動を監視する処理方法であって、 計算機またはネットワーク接続装置力も収集されたネットワーク情報の管理情報を 分析して不正アクセスプログラムの活動に特有なネットワーク情報の管理情報の変化 を検出する管理情報監視過程と、
前記変化の検出にかかわるネットワーク情報の管理情報が収集された装置の種別 、前記不正アクセスプログラムの活動が疑われる装置のアドレス情報を含むアラート 情報を生成するァラート生成過程とを備える
不正アクセスプログラム監視処理方法。
[2] 前記ネットワーク情報の管理情報を前記計算機または前記ネットワーク接続装置か らリアルタイムで収集する管理情報収集過程を備える
第 1項記載の不正アクセスプログラム監視処理方法。
[3] 前記管理情報監視過程では、前記ネットワーク接続装置から収集された管理情報 力 送信先不明に伴うエラー通知情報を抽出し、前記エラー通知情報の送信時量が 所定の増加傾向を示す状態を前記変化として検出する
第 1項または第 2項のいずれかに記載の不正アクセスプログラム監視処理方法。
[4] 前記管理情報監視過程では、前記計算機から収集されたネットワーク情報の管理 情報力 送信先不明に伴うエラー通知情報を抽出し、前記エラー通知情報の受信情 報量が所定の増加傾向を示す状態を前記変化として検出する
第 1項または第 2項のいずれかに記載の不正アクセスプログラム監視処理方法。
[5] 前記管理情報監視過程では、前記ネットワーク接続装置から収集された管理情報 力 送信先不明に伴って廃棄された情報量を抽出し、前記廃棄情報量が所定の増 加傾向を示す状態を前記変化として検出する
第 1項または第 2項のいずれかに記載の不正アクセスプログラム監視処理方法。
[6] 前記管理情報監視過程では、前記計算機から収集された管理情報を解析し、前記 計算機においてコネクション確立中を示すエンドポイント数もしくはコネクション確立 失敗を示すエンドポイント数のいずれかの数値が所定の増加傾向を示す状態を前記 変化として検出する 第 1項または第 2項のいずれかに記載の不正アクセスプログラム監視処理方法。
[7] 前記アラート情報から、前記変化の検出にかかわるネットワーク情報の管理情報が 収集された装置の種別、前記不正アクセスプログラムの活動が疑われる計算機また はネットワーク接続装置のアドレス情報を解析するァラート解析過程と、
前記装置の種別が計算機である場合に、前記アドレス情報によって特定される計 算機に対する中継情報の削除指示を生成し、前記装置の種別がネットワーク接続装 置である場合に、前記アドレス情報によって特定されるネットワーク接続装置に対す る前記不正アクセスプログラムの通信を遮断するフィルタの設定指示を生成する対策 指示生成過程と、
前記中継情報の削除指示または前記フィルタの設定指示を送信する対策指示過 程とを備える
第 1項または第 2項のいずれかに記載の不正アクセスプログラム監視処理方法。
[8] ネットワークの構成を示すネットワーク構成情報を管理するネットワーク構成管理過 程を備え、
前記対策指示生成過程は、前記ネットワーク構成情報を参照して前記不正ァクセ スプログラムの活動が疑われる計算機またはネットワーク ·セグメントまたは前記ネット ワーク ·セグメントを制御するネットワーク接続装置のアドレス情報を解析する
第 7項記載の不正アクセスプログラム監視処理方法。
[9] ネットワーク内の不正アクセスプログラムの活動を検出する装置としてコンピュータを 機能させるためのプログラムであって、
計算機またはネットワーク接続装置力も収集されたネットワーク情報の管理情報を 蓄積するネットワーク管理情報記憶手段と、
前記管理情報を分析して不正アクセスプログラムの活動に特有なネットワーク情報 の管理情報の変化を検出する管理情報監視手段と、
前記変化の検出にかかわるネットワーク情報の管理情報が収集された装置の種別 、前記不正アクセスプログラムの活動が疑われる装置のアドレス情報を含むアラート 情報を生成するァラート生成手段とを備える装置として、
前記コンピュータを機能させるための不正アクセスプログラム検出プログラム。 ネットワーク内で検出された不正アクセスプログラムを隔離する装置としてコンビュ ータを機能させるためのプログラムであって、
不正アクセスプログラムの活動が疑われる装置の種類およびアドレス情報を含むァ ラート情報を受信し、前記アラート情報から、前記変化の検出にかかわるネットワーク 情報の管理情報が収集された装置の種別、前記不正アクセスプログラムの活動が疑 われる計算機またはネットワーク接続装置のアドレス情報を解析するァラート解析手 段と、
前記装置の種別が計算機である場合に、前記アドレス情報によって特定される計 算機に対する中継情報の削除指示を生成し、前記装置の種別がネットワーク接続装 置である場合に、前記アドレス情報によって特定されるネットワーク接続装置に対す る前記不正アクセスプログラムの通信を遮断するフィルタの設定指示を生成する対策 指示生成手段と、
前記中継情報の削除指示または前記フィルタの設定指示を送信する対策指示手 段とを備える装置として、
前記コンピュータを機能させるための不正アクセスプログラム対策プログラム。
PCT/JP2004/015406 2004-10-19 2004-10-19 不正アクセスプログラム監視処理方法、不正アクセスプログラム検出プログラムおよび不正アクセスプログラム対策プログラム WO2006043310A1 (ja)

Priority Applications (3)

Application Number Priority Date Filing Date Title
JP2006542129A JP4680931B2 (ja) 2004-10-19 2004-10-19 不正アクセスプログラム監視処理方法、不正アクセスプログラム監視プログラムおよび不正アクセスプログラム監視装置
PCT/JP2004/015406 WO2006043310A1 (ja) 2004-10-19 2004-10-19 不正アクセスプログラム監視処理方法、不正アクセスプログラム検出プログラムおよび不正アクセスプログラム対策プログラム
US11/785,558 US7832010B2 (en) 2004-10-19 2007-04-18 Unauthorized access program monitoring method, unauthorized access program detecting apparatus, and unauthorized access program control apparatus

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
PCT/JP2004/015406 WO2006043310A1 (ja) 2004-10-19 2004-10-19 不正アクセスプログラム監視処理方法、不正アクセスプログラム検出プログラムおよび不正アクセスプログラム対策プログラム

Related Child Applications (1)

Application Number Title Priority Date Filing Date
US11/785,558 Continuation US7832010B2 (en) 2004-10-19 2007-04-18 Unauthorized access program monitoring method, unauthorized access program detecting apparatus, and unauthorized access program control apparatus

Publications (1)

Publication Number Publication Date
WO2006043310A1 true WO2006043310A1 (ja) 2006-04-27

Family

ID=36202735

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/JP2004/015406 WO2006043310A1 (ja) 2004-10-19 2004-10-19 不正アクセスプログラム監視処理方法、不正アクセスプログラム検出プログラムおよび不正アクセスプログラム対策プログラム

Country Status (3)

Country Link
US (1) US7832010B2 (ja)
JP (1) JP4680931B2 (ja)
WO (1) WO2006043310A1 (ja)

Cited By (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2008535304A (ja) * 2005-03-24 2008-08-28 インターナショナル・ビジネス・マシーンズ・コーポレーション ネットワーク攻撃を検出するための方法、装置、およびコンピュータ・プログラム（ネットワーク攻撃の検出）
JP2010524069A (ja) * 2007-04-05 2010-07-15 インターナショナル・ビジネス・マシーンズ・コーポレーション ファイアウォールを構成する方法、システム、およびコンピュータ・プログラム
JP2016148939A (ja) * 2015-02-10 2016-08-18 日本電信電話株式会社 検出システム、検出方法、検出プログラム、蓄積装置および蓄積方法
JP2018129712A (ja) * 2017-02-09 2018-08-16 Ｓｋｙ株式会社 ネットワーク監視システム
JPWO2020054818A1 (ja) * 2018-09-14 2021-04-30 株式会社東芝 通信制御装置

Families Citing this family (12)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US9230213B2 (en) 2013-03-15 2016-01-05 Extreme Networks, Inc. Device and related method for scoring applications running on a network
US9584393B2 (en) 2013-03-15 2017-02-28 Extreme Networks, Inc. Device and related method for dynamic traffic mirroring policy
US9172627B2 (en) 2013-03-15 2015-10-27 Extreme Networks, Inc. Device and related method for dynamic traffic mirroring
US9130826B2 (en) 2013-03-15 2015-09-08 Enterasys Networks, Inc. System and related method for network monitoring and control based on applications
US9813447B2 (en) 2013-03-15 2017-11-07 Extreme Networks, Inc. Device and related method for establishing network policy based on applications
US9256636B2 (en) 2013-03-15 2016-02-09 Extreme Networks, Inc. Device and related method for application identification
US11212255B2 (en) * 2015-10-30 2021-12-28 Melih Abdulhayoglu System and method of protecting a network
US20160253501A1 (en) * 2015-02-26 2016-09-01 Dell Products, Lp Method for Detecting a Unified Extensible Firmware Interface Protocol Reload Attack and System Therefor
JP2016181191A (ja) * 2015-03-25 2016-10-13 富士通株式会社 管理プログラム、管理装置及び管理方法
JP6441725B2 (ja) * 2015-03-26 2018-12-19 株式会社エヌ・ティ・ティ・データ ネットワーク情報出力システム及びネットワーク情報出力方法
JP6603782B2 (ja) * 2018-11-22 2019-11-06 株式会社エヌ・ティ・ティ・データ ネットワーク情報出力システム及びネットワーク情報出力方法
US11651089B2 (en) * 2021-07-13 2023-05-16 Graphcore Ltd. Terminating distributed trusted execution environment via self-isolation

Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2003241989A (ja) * 2002-02-15 2003-08-29 Toshiba Corp コンピュータウイルス発生検出装置、方法、およびプログラム
JP2004164270A (ja) * 2002-11-13 2004-06-10 Nec System Technologies Ltd ウイルス感染警告通知システム及び方法
JP2004260575A (ja) * 2003-02-26 2004-09-16 Fujitsu Ltd 異常検出方法、異常検出プログラム、サーバ、コンピュータ

Family Cites Families (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2003188986A (ja) * 2001-12-17 2003-07-04 Fujitsu Ltd ゲートウェイ装置
US6952779B1 (en) * 2002-10-01 2005-10-04 Gideon Cohen System and method for risk detection and analysis in a computer network
JP2004259060A (ja) * 2003-02-26 2004-09-16 Canon Inc データ受信方法及び画像形成装置

Patent Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2003241989A (ja) * 2002-02-15 2003-08-29 Toshiba Corp コンピュータウイルス発生検出装置、方法、およびプログラム
JP2004164270A (ja) * 2002-11-13 2004-06-10 Nec System Technologies Ltd ウイルス感染警告通知システム及び方法
JP2004260575A (ja) * 2003-02-26 2004-09-16 Fujitsu Ltd 異常検出方法、異常検出プログラム、サーバ、コンピュータ

Non-Patent Citations (2)

* Cited by examiner, † Cited by third party
Title
"Multivender-ka to Bunsanka ga Susumu Kigyo Network o Togo Kanri", NIKKEI COMMUNICATIONS, no. 229, 2 September 1996 (1996-09-02), pages 118 - 119, XP002998906 *
SANO & SAKURAI: "Network Worm no Jiko Zoshoku Kino ni Kansuru Jikken to Kaiseki. (Simulating Self-Reproduction Mechanisms of the Network Worm)", THE INSTITUTE OF ELECTRONICS, INFORMATION AND COMMUNICATION ENGINEERS GIJUTSU KENKYU HOKOKU, vol. 95, no. 240, 20 September 1995 (1995-09-20), pages 1 - 11, XP002998907 *

Cited By (7)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2008535304A (ja) * 2005-03-24 2008-08-28 インターナショナル・ビジネス・マシーンズ・コーポレーション ネットワーク攻撃を検出するための方法、装置、およびコンピュータ・プログラム（ネットワーク攻撃の検出）
JP4753264B2 (ja) * 2005-03-24 2011-08-24 インターナショナル・ビジネス・マシーンズ・コーポレーション ネットワーク攻撃を検出するための方法、装置、およびコンピュータ・プログラム（ネットワーク攻撃の検出）
JP2010524069A (ja) * 2007-04-05 2010-07-15 インターナショナル・ビジネス・マシーンズ・コーポレーション ファイアウォールを構成する方法、システム、およびコンピュータ・プログラム
JP2016148939A (ja) * 2015-02-10 2016-08-18 日本電信電話株式会社 検出システム、検出方法、検出プログラム、蓄積装置および蓄積方法
JP2018129712A (ja) * 2017-02-09 2018-08-16 Ｓｋｙ株式会社 ネットワーク監視システム
JPWO2020054818A1 (ja) * 2018-09-14 2021-04-30 株式会社東芝 通信制御装置
JP7068482B2 (ja) 2018-09-14 2022-05-16 株式会社東芝 通信制御システム

Also Published As

Publication number Publication date
JPWO2006043310A1 (ja) 2008-05-22
JP4680931B2 (ja) 2011-05-11
US7832010B2 (en) 2010-11-09
US20070256119A1 (en) 2007-11-01

Similar Documents

Publication Publication Date Title
US7832010B2 (en) Unauthorized access program monitoring method, unauthorized access program detecting apparatus, and unauthorized access program control apparatus
US7596807B2 (en) Method and system for reducing scope of self-propagating attack code in network
US8087085B2 (en) Wireless intrusion prevention system and method
CN100530208C (zh) 适于病毒防护的网络隔离技术
US7617533B1 (en) Self-quarantining network
US20060230456A1 (en) Methods and apparatus to maintain telecommunication system integrity
US7610624B1 (en) System and method for detecting and preventing attacks to a target computer system
US20050278779A1 (en) System and method for identifying the source of a denial-of-service attack
US10798061B2 (en) Automated learning of externally defined network assets by a network security device
US20060037075A1 (en) Dynamic network detection system and method
Bailey et al. Data reduction for the scalable automated analysis of distributed darknet traffic
JP2006319982A (ja) 通信ネットワーク内ワーム特定及び不活化方法及び装置
GB2382261A (en) Inserting an intrusion prevention system into a network stack
JP2012015684A (ja) 内部ネットワーク管理システム及び内部ネットワーク管理方法及びプログラム
JP2006119754A (ja) ネットワーク型ウィルス活動検出プログラム、処理方法およびシステム
JP6168977B2 (ja) 異常なインターネットプロトコル攻撃のリアルタイム報告を行うシステム及び方法
US20170070518A1 (en) Advanced persistent threat identification
US20200186557A1 (en) Network anomaly detection apparatus, network anomaly detection system, and network anomaly detection method
JP2008085819A (ja) ネットワーク異常検出システム、ネットワーク異常検出方法及びネットワーク異常検出プログラム
JP2011151514A (ja) トラフィック量監視システム
CN114172881B (zh) 基于预测的网络安全验证方法、装置及系统
CN114244610B (zh) 一种文件传输方法、装置，网络安全设备及存储介质
JP2004328307A (ja) 攻撃防御システム、攻撃防御制御サーバおよび攻撃防御方法
JP2006050442A (ja) トラヒック監視方法及びシステム
JP4753264B2 (ja) ネットワーク攻撃を検出するための方法、装置、およびコンピュータ・プログラム（ネットワーク攻撃の検出）

Legal Events

Date Code Title Description
AK Designated states

Kind code of ref document: A1

Designated state(s): AE AG AL AM AT AU AZ BA BB BG BR BW BY BZ CA CH CN CO CR CU CZ DE DK DM DZ EC EE EG ES FI GB GD GE GH GM HR HU ID IL IN IS JP KE KG KP KR KZ LC LK LR LS LT LU LV MA MD MG MK MN MW MX MZ NA NI NO NZ OM PG PH PL PT RO RU SC SD SE SG SK SL SY TJ TM TN TR TT TZ UA UG US UZ VC VN YU ZA ZM ZW

AL Designated countries for regional patents

Kind code of ref document: A1

Designated state(s): GM KE LS MW MZ NA SD SL SZ TZ UG ZM ZW AM AZ BY KG KZ MD RU TJ TM AT BE BG CH CY CZ DE DK EE ES FI FR GB GR HU IE IT LU MC NL PL PT RO SE SI SK TR BF BJ CF CG CI CM GA GN GQ GW ML MR NE SN TD TG

121 Ep: the epo has been informed by wipo that ep was designated in this application
WWE Wipo information: entry into national phase

Ref document number: 2006542129

Country of ref document: JP

WWE Wipo information: entry into national phase

Ref document number: 11785558

Country of ref document: US

NENP Non-entry into the national phase

Ref country code: DE

WWP Wipo information: published in national office

Ref document number: 11785558

Country of ref document: US

122 Ep: pct application non-entry in european phase

Ref document number: 04792575

Country of ref document: EP

Kind code of ref document: A1