WO2009110327A1 - ネットワーク監視システム、ネットワーク監視方法、及びネットワーク監視プログラム - Google Patents

ネットワーク監視システム、ネットワーク監視方法、及びネットワーク監視プログラム Download PDF

Info

Publication number
WO2009110327A1
WO2009110327A1 PCT/JP2009/052996 JP2009052996W WO2009110327A1 WO 2009110327 A1 WO2009110327 A1 WO 2009110327A1 JP 2009052996 W JP2009052996 W JP 2009052996W WO 2009110327 A1 WO2009110327 A1 WO 2009110327A1
Authority
WO
WIPO (PCT)
Prior art keywords
address
access
name
resolved
communication network
Prior art date
Application number
PCT/JP2009/052996
Other languages
English (en)
French (fr)
Inventor
靖士 佐藤
Original Assignee
日本電気株式会社
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 日本電気株式会社 filed Critical 日本電気株式会社
Priority to JP2010501849A priority Critical patent/JP5267893B2/ja
Publication of WO2009110327A1 publication Critical patent/WO2009110327A1/ja

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L61/00—Network arrangements, protocols or services for addressing or naming
    • H04L61/45—Network directories; Name-to-address mapping
    • H04L61/4505—Network directories; Name-to-address mapping using standardised directories; using standardised directory access protocols
    • H04L61/4511—Network directories; Name-to-address mapping using standardised directories; using standardised directory access protocols using domain name system [DNS]
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/10—Network architectures or network communication protocols for network security for controlling access to devices or network resources
    • H04L63/102—Entity profiles

Definitions

  • the present invention relates to a network monitoring system, a network monitoring method, and a network monitoring program.
  • IDS Intrusion Detection System
  • DNS Domain Name System
  • the detection system includes an IDS, a switch, a network management device, and a terminal.
  • the detection system operates as follows.
  • the location information of the terminal connection device used by the terminal to connect to the communication network and the communication packet generated from the terminal and flowing through the communication device are monitored based on a predetermined detection rule by IDS or the like, and the connection source information and detection are performed.
  • Infected terminals are detected by associating with information.
  • Japanese Patent Application Laid-Open No. 2007-266931 describes a communication cutoff device that does not transmit communication data transmitted from a communication terminal that performs unauthorized communication to other communication terminals.
  • Japanese Patent Application Laid-Open No. 2007-288531 describes a communication device that determines whether name resolution is possible when registering the address of a communication partner, and registers the address when name resolution is possible. ing.
  • malware For malware that does not perform self-infection activities (such as sending attack packets to surrounding terminal devices), connects to an external server, receives instructions, and relays mail, etc., there is no DNS entry for the external server connected to, or Even if the setting is made to return the loopback address, it is desirable that the infected terminal can be detected. That is, it is desirable that an infected terminal can be detected even when communication to the outside of a terminal where malware exists does not occur and a communication destination or the like cannot be specified.
  • the present invention solves the situation where the address for the host name of the external server to which the malware is connected cannot be actually resolved, and causes communication by the malware. Thereby, the node where the malware exists in the intranet is detected.
  • a network monitoring system for monitoring access between a communication network and another communication network.
  • the network monitoring system includes a DNS server and a monitoring device.
  • the DNS server In response to an address resolution request for a host name, the DNS server generates an address corresponding to the host name when the address cannot be resolved, or when the resolved address is an invalid address in another communication network. Sent to the address resolution requester.
  • the monitoring device monitors an access request to the generated address, and when an access request to the address is detected, generates an alarm based on information indicating an access destination of the access request.
  • a network monitoring system that relays access between a communication network and another communication network.
  • the network monitoring system includes a DNS server and a relay device.
  • the DNS server In response to an address resolution request for a host name, the DNS server generates an address corresponding to the host name when the address cannot be resolved, or when the resolved address is an invalid address in another communication network. Sent to the address resolution requester.
  • the relay device accepts an access to the generated address as a host, and generates an alarm based on the access content.
  • a network monitoring method for monitoring access between a communication network and another communication network is provided.
  • the network monitoring method generates an address corresponding to the host name when the address cannot be resolved in response to an address resolution request for the host name, or when the resolved address is an invalid address in another communication network. And a step of transmitting the generated address to the address resolution request source.
  • an access request to the generated address is monitored and an access request to the address is detected, an access destination of the access request is determined. Generating an alarm based on the indicated information.
  • a network monitoring method for relaying access between a communication network and another communication network.
  • the network monitoring method generates an address corresponding to the host name when the address cannot be resolved in response to an address resolution request for the host name, or when the resolved address is an invalid address in another communication network. And a step of transmitting the generated address to an address resolution request source, and a step of accepting access to the generated address as a host and generating an alarm based on the access contents.
  • a network monitoring program for causing a computer to monitor access between a communication network and another communication network.
  • the network monitoring program (A) monitors an access request to an address corresponding to a host name generated for an address resolution request for the host name, and corresponds to the host name here.
  • An address is generated for an address resolution request if the address cannot be resolved, or if the resolved address is an invalid address in another communication network, and is sent to the address resolution request source (B
  • the computer is caused to execute an alarm generation step based on information indicating an access destination of the access request.
  • a network monitoring program for causing a computer to relay access between a communication network and another communication network.
  • the network monitoring program (a) accepts an access to an address corresponding to the host name as an address that is generated in response to an address resolution request for the host name, and corresponds to the host name here.
  • An address is generated for an address resolution request when the address cannot be resolved, or when the resolved address is an invalid address in another communication network, and is sent to the address resolution request source (b And (b) generating an alarm based on the access contents.
  • the DNS server is configured to generate and return a valid address even for a server name that is originally invalid.
  • the server name that is originally invalid is, for example, a server name whose name cannot be resolved by a regular DNS server (an address cannot be specified from the name). Therefore, by generating communication that cannot be generated in the actual environment for the malware, it is possible to detect a device such as a terminal in which the malware exists from the port number or the like.
  • the relay device behaves so as to be able to connect communication to a server or the like that cannot be connected in the actual environment, so that by outputting communication data that cannot be detected by the malware in the actual environment, By determining the communication content, it is possible to detect a device such as a terminal in which malware exists.
  • FIG. 1 is a block diagram illustrating a configuration example of a malware detection system according to an embodiment of this invention.
  • FIG. 1 is also a block diagram showing a minimum configuration example of the malware detection system of the present invention.
  • a malware detection system includes a forged DNS server (DNS server) 2 connected to a terminal device 1 in an intranet, a forged DNS server 2, a terminal device 1, and an outside of the intranet.
  • DNS server forged DNS server
  • a transparent proxy server (monitoring device, relay device) 3 connected to the regular DNS server 4 and connected to an external communication network.
  • the malware is an autonomous program, and is not a simple command such as Exploit or Port / Address Scan.
  • a simple command such as Exploit or Port / Address Scan.
  • Windows registered trademark
  • UNIX registered trademark
  • the forged DNS server 2 sends the correct IP address for the server or host name or the IP address for which a part of the IP address for the server or host name is forged to the terminal device 1 arranged in the intranet. It has a function to solve.
  • a part of the IP address corresponding to the name of the server or the host is an address corresponding to a host name that cannot be resolved at least or an invalid address on the network.
  • a host name that cannot be actually resolved is, for example, a host name in which the DNS name entry is changed and the entry itself does not exist, or the DNS name entry exists but the address is not registered at all. is there.
  • the invalid address on the network is a host name when the DNS entry is set to return a local address or a specific private address.
  • the IP address for which a part of the IP address corresponding to the name of the server or the host is forged is a part of the IP address that responds to all DNS queries generated by the terminal device 1. It is different from (disguised).
  • the function for resolving a spoofed IP address refers to a function for generating and returning an address entry as if it exists externally when a DNS query response from which an address should not be correctly returned is viewed from the intranet. .
  • the transparent proxy server 3 terminates the communication from the inside to the outside without transferring it as it is at the entrance / exit of the intranet, and relays it after determining whether or not it can be passed.
  • the regular DNS server 4 resolves the regular address for the external server arranged outside the intranet.
  • FIG. 2 is a block diagram illustrating a configuration example of the forged DNS server 2 according to the embodiment of this invention.
  • the camouflaged DNS server 2 of this embodiment includes a packet transmission / reception function (packet transmission / reception means) 21, an address generation function 22, a name management function (name management means) 23, and an address management function (address). Management means) 24, a temporary address storage area 25, and an address rule management function 26.
  • the packet transmission / reception function 21 receives a DNS query from each device in the intranet and sends a response message.
  • the address rule management function 26 manages definition information for generating an address from a name and information (name information) about a name corresponding to the address. Management refers to registering information in a memory, file, or database, or reading out and outputting the registered information from a registration destination.
  • the definition information is information indicating that, for example, a host name including a certain domain returns an IP address partially hashed with the host name.
  • the hashing method is, for example, MD5, sha1, or the like, and a method in which IP address duplication is less likely to occur is preferable.
  • the address generation function 22 automatically generates at least one address from the name based on the definition information.
  • the temporary address storage area 25 stores information (map information) of a combination of an address and a name generated by the address generation function 22 and pseudonym information generated when a plurality of names are assigned to the generated address for a certain period of time. Hold.
  • the name management function 23 obtains address data (address information, for example, an IP address) from the information related to the name corresponding to the address managed by the address rule management function 26 and the map information stored in the temporary address storage area 25. Resolve name information (name resolution) based on the original. In the present embodiment, name resolution refers to specifying a host name corresponding to address data such as an IP address using map information stored in the temporary address storage area 25.
  • the address management function 24 manages the inquiry content and the inquiry source from the DNS query received by the packet reception function 21. Specifically, for example, the IP address of the inquiry source device and information indicating the content of the inquiry are stored in the storage means such as the temporary address storage area 25. Further, the address management function 24 uses the name data based on the name data from the information about the address corresponding to the name managed by the address rule management function 26 and the map information and pseudonym information recorded in the temporary address storage area 25. It has a function of resolving information (resolving an address).
  • the information related to the address corresponding to the name indicates, for example, that the address is extracted from the temporary address storage area 25 for the data once inquired.
  • the information regarding the address corresponding to the name indicates a range of addresses to be automatically generated and a method of automatically generating an address according to the host name or domain name of the inquiry source for the first inquiry.
  • the automatic address generation is performed by hashing the host name with MD5, sha1, or the like, for example.
  • the address management function 24 obtains a regular address corresponding to the name of the external server by using the regular DNS server 4 separately depending on the definition of the address rule managed by the address rule management function 26. Accordingly, it has a function of selecting whether the address is automatically generated by the address generation function 22 or whether the acquired regular address is transmitted as a response message.
  • the packet transmission / reception function 21 receives a DNS query packet from the terminal device 1 and extracts name or address data to be resolved included in the packet.
  • the packet transmission / reception function 21 transfers the data to the address management function 24 and calls the process.
  • the packet transmission / reception function 21 transfers data to the name management function 23 and calls a process.
  • the packet transmission / reception function 21 transmits such information to the terminal device 1 as a DNS response packet.
  • the address generation function 22 automatically generates a substantially unique address for each name using a hash or the like from the name included in the DNS query based on the definition of the address rule managed by the address rule management function 26.
  • the address rule definition defines, for example, the range and pattern of addresses generated for a specific name pattern.
  • the name management function 23 receives request data for resolving the name from the address from the packet transmission / reception function 21.
  • the name management function 23 refers to the address rule managed by the address rule management function 26 and the temporary address storage area 25. If the name to be returned uniquely is defined by the address rule, or if name / address map information exists (stores) in the temporary address storage area 25, the name management function 23 selects the corresponding name. Information is returned to the packet transmission / reception function. When there is no name information to be returned, the name management function 23 returns response data to the packet transmission / reception function 21 without a name.
  • the address management function 24 receives from the packet transmission / reception function 21 request data for resolving the address from the name.
  • the address management function 24 refers to the address rule managed by the address rule management function 26 and the temporary address storage area 25.
  • the address management function 24 sends the corresponding address information to the packet transmission / reception function. return.
  • the address management function 24 uses the address generation function 22 to automatically generate an address corresponding to the name. Further, the address management function 24 calls the packet transmission / reception function 21 and transmits it to the terminal device 1 as a response message to the DNS query. Further, the address management function 24 separately registers the generated address and the name used for generation in the temporary address storage area 25 as map information. In addition, the expiration date of the information can be specified for the map information registered at this time.
  • the address generated from the name already exists in the temporary address storage area 25 or is defined by the address rule it is registered as a pseudonym (CNAME in the alias / DNS) for the existing registration data.
  • the address rule management function 26 returns an appropriate rule from the managed address rule in response to a request for a rule corresponding to the name or address from each function in the forged DNS server.
  • the address rule management function 26 has a function of converting map information recorded in the temporary address storage area 25 into an address rule at some timing and storing it in an external storage means. Further, the address rule management function 26 has a function of reading rules stored in an external storage means. Note that returning an appropriate rule means returning a rule with a matching address pattern as an appropriate rule among a plurality of prepared rules, or taking a case of a Longest match. Say.
  • FIG. 3 is a block diagram illustrating a configuration example of the transparent proxy server 3 according to the embodiment of this invention.
  • the transparent proxy server 3 of this embodiment includes a packet transmission / reception function A31, a server name resolution function 32, a camouflaged server function 33, an IDS function 34, an error processing / notification function 30, a session information storage area 38, A packet relay function 39, a packet transmission / reception function B35, a server address resolution function 36, and a forged client function 37 are included.
  • the packet transmission / reception function A31 transmits / receives a packet such as an access to the external network from the terminal device 1 in the intranet.
  • the packet transmission / reception function B35 transmits / receives packets to / from the regular DNS server 4 on the external network and the server that the terminal device 1 is trying to access.
  • the server name resolution function 32 obtains a server name to be accessed from the destination address information included in the packet received by the packet transmission / reception function A31 by inquiring the forged DNS server 2.
  • the IDS function 34 checks the transmission data included in the packet received by the packet transmission / reception function A31 and determines whether or not it matches a specific pattern. Note that the IDS function 34 may make a determination based on pattern data called a signature, such as a snord of a general IDS (particularly, NIDS for examining communication data of a communication network). Alternatively, the IDS function 34 relays the communication and interprets the protocol at the same time, reproduces the communication data on a specific sandbox, and if the data is program data, it further executes it to monitor the behavior. The determination may be made. Further, when the communication data is compressed or encrypted, the IDS function 34 may execute a process of decompressing the communication data or explaining the encryption.
  • a signature such as a snord of a general IDS (particularly, NIDS for examining communication data of a communication network).
  • the IDS function 34 relays the communication and interprets the protocol at the same time, reproduces the communication data on a specific
  • the camouflaged server function 33 receives a packet transmitted by the terminal device 1 to connect to an external server by the packet transmission / reception function A31, and impersonates the external server to accept the connection.
  • the server name to which the terminal device 1 that should be resolved by the server name resolution function 32 should be connected, and the connection information (session information) received by impersonating the external server by the impersonation server function 33 And are recorded together.
  • the address information of the connection source terminal for example, the IP address of the node infected with malware
  • the port number of the connection source terminal for example, the malware is trying to connect
  • Node IP address the address information of the connection destination terminal
  • the session information may include information such as the host name and address of the connection destination terminal, and protocol information indicating a protocol used for communication (for example, information indicating a protocol number and an event). May be.
  • the server address resolution function 36 uses the server name recorded in the session information storage area 38 and uses the regular DNS server 4 to resolve the original address that the terminal device 1 should originally connect to. Specifically, address resolution refers to reverse name resolution processing, for example.
  • the forged client function 37 uses the data of the packet received by the forged server function 33 for the server address resolved by the server address resolution function 36, transmitted from the terminal device 1, and received by the packet transmission / reception function A31.
  • the camouflaged client function 37 impersonates the terminal device 1 to connect to an external server, and separately transfers a response message from the server to the camouflaged server function 33.
  • the packet relay function 39 relays communication between the terminal device 1 and the external server.
  • the error processing / notification function 30 performs processing related to an error in each function and notification thereof.
  • the camouflaged server function 33 transmits a response message to the terminal device 1 using a response message to the terminal device 1 from the external server acquired by the camouflaged client function 37.
  • the camouflaged client function 37 transmits data received by the camouflaged server function 33 from the terminal device 1 to the external server.
  • the camouflaged server function 33 transmits response data to the transmitted data to the terminal device 1.
  • the camouflaged server function 33 may be configured to appropriately rewrite data when the response data includes information indicating the transmission source and the transmission destination.
  • the packet relay function 39 transfers the data transmitted by the terminal device 1 received by the camouflaged server function 33 to the external server using the camouflage client function 37 based on the information recorded in the session information storage area 38.
  • the packet relay function 39 has a function of controlling each function so that the camouflaged client function 37 receives response data transmitted from an external server and transmits the response data to the terminal device 1 using the camouflaged server function 33.
  • the error processing / notification function 30 performs some condition processing on the number of times and information that causes the error according to the error for each function. Then, the error processing / notification function 30 separately determines the information related to the error and the error or the result of the error processing to an external device, server, etc. by using either or both of the packet transmission / reception function A31 and the packet transmission / reception function B35. The detected detection information is notified.
  • the error processing / notification function 30 is, for example, data itself that causes an error, information indicating a feature amount of data, or data that causes an error.
  • the error processing-notification function 30 indicates, as detection information, information indicating that a certain terminal is attempting to communicate with a host having a certain address using a certain protocol, and indicating that the host is originally a host that cannot be resolved by DNS. To be notified.
  • the error processing-notification function 30 notifies the information indicating that there is a possibility that the communication is caused by a certain malware, although the data is a certain protocol as detection information. .
  • the camouflaged server function 33 has a function of blocking the connection with the terminal device 1 based on the inspection result by the IDS function 34 or transferring the inspected data to the camouflaged client function 37.
  • the camouflage client function 37 is a function for notifying the camouflaged server function 33 of errors other than the received data from the packet transmission / reception function B35 according to specific conditions, such as the name cannot be resolved by the server address resolution function 36.
  • the transparent proxy server 3 is realized by a computer on which a network monitoring program is mounted, for example.
  • the network monitoring program monitors an access request to an address corresponding to the host name and generates an alarm based on information indicating an access destination of the access request when an access request to the address is detected Is executed by a computer.
  • the network monitoring program accepts an access to an address corresponding to the host name as a host, and causes the computer to execute a process for generating an alarm based on the access content.
  • FIG. 4 is a flowchart showing the operation of the camouflaged DNS server 2.
  • the packet transmission / reception function 21 waits for a DNS query from the terminal device 1 and the transparent proxy server 3 in the intranet in a DNS query wait process (step S101).
  • the packet transmission / reception function 21 transfers the received query and the information of the transmission source to the address management function 24 together.
  • the address management function 24 that has received the DNS query determines its contents.
  • the address management function 24 executes forward lookup processing (step S103).
  • the address management function 24 executes reverse lookup processing (step S113).
  • the address management function 24 searches the temporary address storage area 25 for the name included in the DNS query in the forward lookup process (step S103). If map information or pseudonym information already exists (step S104; Y), the address management function 24 extracts address information corresponding to the name of the DNS query from the map information. The process proceeds to address response setting (step S110).
  • Step S105 the address management function 24 inquires of the address generation rule corresponding to the query information (name included in the DNS query) from the address rule management function 26 in the rule confirmation process (step S105).
  • step S106 If there is an address generation rule corresponding to the query information (step S106; Y), the process proceeds to automatic address generation (step S107). If there is no address generation rule corresponding to the query information (step S106; N), the process proceeds to response message generation (step S111) in order to return a response with no corresponding address.
  • step S107 the address generation function 22 automatically generates an address corresponding to the query information according to the address generation rule returned by the address rule management function 26. If the generated address does not exist in the map information in the temporary address storage area 25 (step S108; N), the process proceeds to map information storage (step S109). If map information already exists (step S108; Y), the process proceeds to kana information storage (step S116).
  • step S109 the generated map information (the combination of the address generated in the process of step S107 and the name included in the DNS query received in the process of step S101) is stored in the temporary address storage area 25. Save to. Thereafter, the process proceeds to address response setting (step S110).
  • kana information saving process (step S116), kana information indicating the kana (CNAME in alias / DNS) for the address generated in the process of step S107 is generated and stored in the temporary address storage area 25. Thereafter, the process proceeds to address response setting (step S110).
  • step S110 the packet transmission / reception function A31 is set to include address information corresponding to the name in the response message. Thereafter, the process proceeds to response message creation (step S111).
  • the name management function 23 searches the map information in the temporary address storage area 25 for an address included in the DNS query.
  • the process proceeds to name response setting (step S115). If the address included in the DNS query does not exist in the map information of the temporary address storage area 25 (step S114; N), the process proceeds to response message creation (step S111).
  • step S115 the packet transmission / reception function A31 is set to include name information corresponding to the address in the response message. Thereafter, the process proceeds to response message creation (step S111).
  • the packet transmission / reception function A31 creates a response message corresponding to the data included in the response message set in the process of step S110 or the process of step S115. Thereafter, the processing shifts to a DNS response (step S112). If the response message is not set to include either the address resolved from the name or the name resolved from the address (if the name or address could not be resolved), the packet transmission / reception function A31 sends the resolved name, Alternatively, a response message for notifying that there is no address is created. Thereafter, the processing shifts to a DNS response (step S112).
  • the packet transmission / reception function 21 transmits the response message generated in the process of step S111 to the DNS query transmission source managed by the address management function 24.
  • FIG. 5 is a flowchart showing the operation of the transparent proxy server 3.
  • the packet transmission / reception function 1 is a process of waiting for external connection (step S201) to access an external network by the terminal device 1 in the intranet (transmitted from the terminal device 1 in the intranet to the communication terminal connected to the external communication network. Packet).
  • the packet transmission / reception function 1 stores the destination address information included in the packet as connection destination address information A in the session information storage area 38. Thereafter, the process proceeds to reception of a camouflaged server (step S202).
  • the camouflaged server function 33 accepts a connection by impersonating the connection destination server of the terminal device 1, and receives the first data transmitted from the terminal device 1. At this time, by setting the camouflaged server function 33, before receiving the data, the same data as the data initially output by the original connection destination server (the connection destination (packet transmission destination) server of the terminal device 1) is first displayed. It may be returned to the terminal device 1. Then, in order to resolve the original connection destination name, the process proceeds to the reverse lookup process (step S203).
  • the server name resolution function 32 uses the connection destination address information A stored in the session information storage area 38 in the process of step S201 to obtain a corresponding host name for the forged DNS server 2. Inquire. If the problem cannot be solved by reverse lookup (step S204; N), the process proceeds to the reverse lookup error process (step S212). If the server name resolution function 32 can resolve the problem by reverse lookup (step S204; Y), the server name resolution function 32 associates the name of the connection destination host as connection destination host name information with the connection destination address information 1 already recorded, and stores session information. Record in area 38. Thereafter, the process proceeds to connection data-rule check (step S205).
  • connection data-rule check process the IDS function 34 checks the data and session information received by the camouflaged server function 33. If a pattern to be monitored is detected (step S206; NG), the process proceeds to IDS detection determination (step S213).
  • step S206 If the pattern to be monitored is not detected (step S206; OK), the process proceeds to server address resolution (step S207).
  • the server address resolution function 36 inquires of the regular DNS server 4 about the address corresponding to the name of the connection destination host. At this time, the server address resolution function 36 uses connection destination host name information stored in the session information storage area 38 in the reverse lookup process (step S203). If the address information corresponding to the name of the connection destination host cannot be acquired (step S208; N), the process proceeds to the forward error process (step S214). On the other hand, when the address information corresponding to the name of the connection destination host can be acquired (step S208; Y), the server address resolution function 36 sets the acquired address as the connection destination address information B. Then, the server address resolution function 36 stores the connection destination address information B in the session information storage area 38 as session information in association with the connection destination address information A and the connection destination host information already recorded. Thereafter, the process proceeds to impersonation client connection (step S209).
  • the camouflaged client function 37 uses the packet transmission / reception function B035 by camouflaging the terminal device 1 to a server or the like corresponding to the connection destination address information B solved in the process of step S207. Connect. If the connection is impossible, the process proceeds to an error notification process (step S211). If connection is possible, the process proceeds to proxy process activation (step S210).
  • the packet relay function 39 uses the session information recorded in the session information storage area 38 as a basis, and the data transmitted by the terminal device 1 received by the camouflaged server function 33 is used as the camouflaged client function 37. To the external server. Further, the packet relay function 39 controls each function such that the response data transmitted from the external server is received by the camouflaged client function 37 and transmitted to the terminal device 1 using the camouflaged server function 33. And a process transfers to external connection waiting (step S201).
  • the error processing-notification function 30 performs conditional processing such as determination of the occurrence of an error more than a certain number of times for the connection destination address information A in which a reverse lookup error has occurred. In order to determine the result, the process proceeds to error notification determination (step S215).
  • the error processing-notification function 30 checks the access data, connection destination host name information, or connection destination address information A that is the cause of the check result by the IDS function 34. For one or both, condition processing such as determination such as detection more than a certain number of times is performed. When the condition is satisfied, that is, when it is determined that there is a possibility that the connection is illegal (step S213; NG), the process proceeds to error notification determination (step S215). If the condition is not satisfied (step S213; OK), the process proceeds to server address resolution (step S207).
  • step S214 the error processing-notification function 30 performs conditional processing such as the occurrence of an error more than a certain number of times for the connection destination host name information that has become a forward error. In order to determine the result, the process proceeds to error notification determination (step S215).
  • the error processing-notification function 30 performs processing based on the error processing results of step S212, step S213, and step S214. If the target error processing is based on the processing in step S212, the error processing-notification function 30 has already been notified within a certain period using the address of the access source terminal device 1 and the connection destination address information A. It is determined whether or not it is a notification target by determining whether or not it is present. If the target error process is based on the process in step S213, the error process-notification function 30 uses the address of the access source terminal device 1 and the target data detected in the IDS check process in step S206. .
  • the error process-notification function 30 uses the address of the access source terminal device 1 and the connection destination host name information. If it is determined that notification is necessary (step S215; Y), the process proceeds to an error notification process (step S211). On the other hand, when it is determined that notification is not required (step S215; N), the process proceeds to external connection waiting (step S201).
  • the error processing-notification function 30 uses any one or both of the packet transmission / reception function A031 and the packet transmission / reception function B035 to perform some kind of processing on any device or program inside or outside the system.
  • the detected information or error is notified by a method (for example, mail, SYSLOG, etc.).
  • the program for accessing the server on the external network operating on the terminal device 1, the function, etc. are generally accessed according to the following procedure. Assume something.
  • a program that accesses an external server first queries the DNS server for address information for the host name of the external server. 2. The program that accesses the external server tries to connect to the address obtained by the above inquiry.
  • the regular DNS server 4 in the present embodiment is a general DNS server.
  • This embodiment is configured such that an address (or name) is resolved by the forged DNS server 2 when a program on the external network is accessed by a program such as malware in the terminal device 1. ing. Therefore, when the address (or name) is already invalid on the regular DNS server 4 or the address (or name) is inappropriate as a communication target, such as a local communication address. In this case, a communicable address is returned even in a situation where communication by malware originally does not occur. As a result, communication by malware can be generated, and the presence of malware can be detected.
  • the presence of malware is determined by determining communication destinations from the inside of the intranet to a port that does not normally occur to the outside by determining the destination of communication by the malware generated above. Can be detected.
  • the transparent proxy server 3 impersonates a server on the external network.
  • communication can be accepted even in a situation where connection is impossible, such as when the server on the external network is actually closed or temporarily stopped. Accordingly, it is possible to inspect communication contents that should not be monitored and should not occur by IDS. In addition, it is possible to detect the presence of malware in the intranet, which is impossible with a normal communication network configuration.
  • the transparent proxy server 3 is configured to inquire the host name of the access destination address to the internal forged DNS server 2 once. Therefore, if the host name cannot be resolved at that time, it is possible to detect that the program in the terminal device 1 is attempting to directly generate communication to the target address without resolving the address from the host name by DNS. Further, when the target address is not a server or the like existing in an intranet, for example, it is determined as an unauthorized access to the outside. Thereby, it is possible to detect communication that is highly likely to be communication by malware.
  • the present invention can be applied to fields such as devices such as firewalls and routers that connect the intranet and the outside, and DNS servers installed in the intranet.

Abstract

　通信ネットワークと他の通信ネットワークとの間のアクセスを監視するネットワーク監視システムが提供される。そのネットワーク監視システムは、ＤＮＳサーバと監視装置とを備える。ＤＮＳサーバは、ホスト名に対するアドレス解決要求に対して、アドレスが解決できない場合、または、解決されたアドレスが他の通信ネットワークで無効なアドレスである場合に、ホスト名に対応するアドレスを生成してアドレス解決要求元に送信する。監視装置は、生成されたアドレスへのアクセス要求を監視して、当該アドレスへのアクセス要求を検出した場合に、アクセス要求のアクセス先を示す情報を元にアラームを生成する。

Description

ネットワーク監視システム、ネットワーク監視方法、及びネットワーク監視プログラム
　本発明は、ネットワーク監視システム、ネットワーク監視方法、及びネットワーク監視プログラムに関する。
　通信ネットワークの分野において、ＩＤＳ（Ｉｎｔｒｕｓｉｏｎ　Ｄｅｔｅｃｔｉｏｎ　Ｓｙｓｔｅｍ）が知られている。また、ＤＮＳ（Ｄｏｍａｉｎ　Ｎａｍｅ　Ｓｙｓｔｅｍ）が知られている。通信ネットワークの分野において、マルウェアによる通信を検知したり、マルウェアが存在する端末や装置を検知したりすることは重要である。
　マルウェアの感染端末の検知システムの一例が、特開２００７－２７４２６５号公報に記載されている。当該文献の図１に示されているように、当該検知システムは、ＩＤＳとスイッチ、ネットワーク管理装置及び端末から構成されている。当該検知システムは、次のように動作する。端末が通信ネットワークに接続するために利用する端末接続装置の位置情報と、端末から発生した通信装置を流れる通信パケットについて、ＩＤＳ等により所定の検出ルールに基づく監視を行い、その接続元情報と検知情報とを関連づけることにより、感染端末の検知を行う。
　特開２００７－２６６９３１号公報には、不正な通信を行う通信端末から送信された通信データを他の通信端末に送信させない通信遮断装置が記載されている。
　特開２００７－２８８５３１号公報には、通信の相手先のアドレスを登録する際に、名前解決が可能かどうかを判定し、名前解決が可能な場合に、当該アドレスを登録する通信装置が記載されている。
　自己感染活動（周囲の端末装置に対する攻撃パケットの送信等）を行わず、外部サーバに接続して命令を受け取りメール等の中継を行うマルウェアについて、接続先の外部サーバのＤＮＳエントリが存在しない、もしくはループバックアドレスを戻す設定がされている場合であっても、感染した端末を検知することができることが望ましい。つまり、マルウェアの存在する端末外部への通信が発生せず、通信先等が特定できない場合であっても、感染した端末を検知することができることが望ましい。
　また、上記の外部サーバへのアクセスがファイアウォール等により遮断、もしくは外部サーバ自体が休止している場合であっても、同様にマルウェアによる通信検知ができることが望ましい。つまり、マルウェアによる通信が本来成立しない場合であっても、上記同様ＩＤＳ等による通信データの監視が行えることが望ましい。
　本発明は、マルウェアが接続する外部サーバのホスト名に対するアドレスが実際には解決できない状況においても解決し、マルウェアによる通信を発生させる。それにより、イントラネット内におけるマルウェアの存在するノードを検知する。
　本発明の１つの観点において、通信ネットワークと他の通信ネットワークとの間のアクセスを監視するネットワーク監視システムが提供される。そのネットワーク監視システムは、ＤＮＳサーバと監視装置とを備える。ＤＮＳサーバは、ホスト名に対するアドレス解決要求に対して、アドレスが解決できない場合、または、解決されたアドレスが他の通信ネットワークで無効なアドレスである場合に、ホスト名に対応するアドレスを生成してアドレス解決要求元に送信する。監視装置は、生成されたアドレスへのアクセス要求を監視して、当該アドレスへのアクセス要求を検出した場合に、アクセス要求のアクセス先を示す情報を元にアラームを生成する。
　本発明の他の観点において、通信ネットワークと他の通信ネットワークとの間のアクセスを中継するネットワーク監視システムが提供される。そのネットワーク監視システムは、ＤＮＳサーバと中継装置とを備える。ＤＮＳサーバは、ホスト名に対するアドレス解決要求に対して、アドレスが解決できない場合、または、解決されたアドレスが他の通信ネットワークで無効なアドレスである場合に、ホスト名に対応するアドレスを生成してアドレス解決要求元に送信する。中継装置は、生成されたアドレスへのアクセスをホストとして受け付け、アクセス内容を元にアラームを生成する。
　本発明の更に他の観点において、通信ネットワークと他の通信ネットワークとの間のアクセスを監視するネットワーク監視方法が提供される。そのネットワーク監視方法は、ホスト名に対するアドレス解決要求に対して、アドレスが解決できない場合、または、解決されたアドレスが他の通信ネットワークで無効なアドレスである場合に、ホスト名に対応するアドレスを生成するステップと、生成されたアドレスをアドレス解決要求元に送信するステップと、生成されたアドレスへのアクセス要求を監視して、当該アドレスへのアクセス要求を検出した場合に、アクセス要求のアクセス先を示す情報を元にアラームを生成するステップと、を含む。
　本発明の更に他の観点において、通信ネットワークと他の通信ネットワークとの間のアクセスを中継するネットワーク監視方法が提供される。そのネットワーク監視方法は、ホスト名に対するアドレス解決要求に対して、アドレスが解決できない場合、または、解決されたアドレスが他の通信ネットワークで無効なアドレスである場合に、ホスト名に対応するアドレスを生成するステップと、生成されたアドレスをアドレス解決要求元に送信するステップと、生成されたアドレスへのアクセスをホストとして受け付け、アクセス内容を元にアラームを生成するステップと、を含む。
　本発明の更に他の観点において、コンピュータに、通信ネットワークと他の通信ネットワークとの間のアクセスを監視させるネットワーク監視プログラムが提供される。そのネットワーク監視プログラムは、（Ａ）ホスト名に対するアドレス解決要求に対して生成されるアドレスであって、ホスト名に対応するアドレスへのアクセス要求を監視するステップと、ここで、ホスト名に対応するアドレスは、アドレス解決要求に対して、アドレスが解決できない場合、または、解決されたアドレスが他の通信ネットワークで無効なアドレスである場合に生成され、また、アドレス解決要求元に送信され、（Ｂ）生成されたアドレスへのアクセス要求を検出した場合に、アクセス要求のアクセス先を示す情報を元にアラームを生成するステップと、をコンピュータに実行させる。
　本発明の更に他の観点において、コンピュータに、通信ネットワークと他の通信ネットワークとの間のアクセスを中継させるネットワーク監視プログラムが提供される。そのネットワーク監視プログラムは、（ａ）ホスト名に対するアドレス解決要求に対して生成されるアドレスであって、ホスト名に対応するアドレスへのアクセスをホストとして受け付けるステップと、ここで、ホスト名に対応するアドレスは、アドレス解決要求に対して、アドレスが解決できない場合、または、解決されたアドレスが他の通信ネットワークで無効なアドレスである場合に生成され、また、アドレス解決要求元に送信され、（ｂ）アクセス内容を元にアラームを生成するステップと、をコンピュータに実行させる。
　本発明によれば、ＤＮＳサーバが、本来無効となるサーバ名に対しても有効なアドレスを生成して戻すように構成されている。本来無効となるサーバ名とは、例えば、正規のＤＮＳサーバで名前が解決できない（名前からアドレスを特定できない）サーバ名である。従って、マルウェアに対して実際の環境では発生させられない通信を発生させることにより、そのポート番号等からマルウェアの存在する端末等の装置を検知することができる。
　また、本発明によれば、中継装置が、実際の環境では接続できなくなっているサーバ等に対する通信を接続できる様に振舞うので、マルウェアによって実際の環境では検知できない通信データを出力させることにより、その通信内容を判定することでマルウェアの存在する端末等の装置を検知することができる。
　上記及び他の目的、長所、特徴は、次の図面と共に説明される本発明の実施の形態により明らかになるであろう。
マルウェア検知システムの構成例を示すブロック図である。 偽装ＤＮＳサーバの構成例を示すブロック図である。 透過プロキシサーバの構成例を示すブロック図である。 偽装ＤＮＳサーバの動作を示すフローチャートである。 透過プロキシサーバの動作を示すフローチャートである。
　本発明の実施形態について、図面を参照して説明する。図１は、本発明の実施形態のマルウェア検知システムの構成例を示すブロック図である。なお、図１は、本発明のマルウェア検知システムの最小構成例を示すブロック図でもある。
　図１に示すように、本発明の実施形態のマルウェア検知システムは、イントラネット内で端末装置１に接続された偽装ＤＮＳサーバ（ＤＮＳサーバ）２と、偽装ＤＮＳサーバ２、端末装置１およびイントラネット外の正規ＤＮＳサーバ４に接続され、外部の通信ネットワークに接続された透過プロキシサーバ（監視装置、中継装置）３とを含む。
　なお、本実施形態において、マルウェアとは、自律的なプログラムであって、単なるＥｘｐｌｏｉｔやＰｏｒｔ／Ａｄｄｒｅｓｓ　Ｓｃａｎ等のコマンドではなく、例えば、Ｗｉｎｄｏｗｓ（登録商標）系であればサービス等の常駐プログラムとして、ＵＮＩＸ（登録商標）系であればｄａｅｍｏｎ的に常駐して、何らかの契機によって外部への通信を行うものをいう。
　偽装ＤＮＳサーバ２は、イントラネット内部に配置された端末装置１に対して、サーバやホストの名前に対する正しいＩＰアドレス、または、サーバやホストの名前に対するＩＰアドレスのうち一部が偽装されたＩＰアドレスを解決する機能を有する。サーバやホストの名前に対するＩＰアドレスのうち一部とは、少なくとも実際には解決できないホスト名に対応するアドレスや、該当ネットワーク上において無効となるアドレスである。実際には解決できないホスト名とは、例えば、ＤＮＳの名前のエントリが変更されたりしてエントリ自体が存在しなかったり、ＤＮＳの名前エントリは存在するものの、アドレスが一切登録されていないホスト名である。また、該当ネットワーク上において無効となるアドレスとは、ＤＮＳのエントリがローカルアドレスや特定のプライベートアドレスを戻す設定になっていたりする場合のホスト名である。サーバやホストの名前に対するＩＰアドレスのうち一部が偽装されたＩＰアドレスとは、端末装置１が生成した全ＤＮＳクエリに対して応答するＩＰアドレスのうち、一部のＩＰアドレスが本来の応答内容と異なる（偽装されている）ことをいう。また、偽装されたＩＰアドレスを解決する機能とは、例えば、正しくアドレスが帰らないはずのＤＮＳクエリの応答をイントラネットから見て外部に存在するかのようなアドレスエントリを生成して戻す機能をいう。
　透過プロキシサーバ３は、イントラネットの出入り口において、内部から外部への通信をそのまま転送せずに一旦終端し、通過の可否を判定したのち中継する。
　正規ＤＮＳサーバ４は、イントラネット外部に配置された外部サーバに対する正規のアドレスを解決する。
　図２は、本発明の実施形態の偽装ＤＮＳサーバ２の構成例を示すブロック図である。図２に示すように、本実施形態の偽装ＤＮＳサーバ２は、パケット送受信機能（パケット送受信手段）２１と、アドレス生成機能２２と、名前管理機能（名前管理手段）２３と、アドレス管理機能（アドレス管理手段）２４と、一時アドレス記憶領域２５と、アドレスルール管理機能２６とを含む。
　パケット送受信機能２１は、イントラネット内の各装置からＤＮＳクエリを受け取り、また応答メッセージを送出する。アドレスルール管理機能２６は、名前からアドレスを生成するための定義情報と、アドレスに対応する名前に関する情報（名前情報）を管理する。なお、管理とは、情報をメモリやファイルやデータベースに登録したり、登録した情報を登録先から読み出して出力したりすることをいう。定義情報とは、例えば、あるドメインを含むホスト名に対して、一部が当該ホスト名をハッシュ化されたＩＰアドレスを戻すことを示す情報である。ハッシュ化の方法は、例えば、ＭＤ５や、ｓｈａ１等であり、ＩＰアドレスの重複が発生しにくい方法が好ましい。
　アドレス生成機能２２は、定義情報に基づいて名前から自動的に少なくとも１つ以上のアドレスを生成する。一時アドレス記憶領域２５は、アドレス生成機能２２によって生成されたアドレスと名前との組み合わせの情報（マップ情報）、及び生成されたアドレスに複数の名前が割り当てられる場合に生成される仮名情報を一定時間保持する。
　名前管理機能２３は、アドレスルール管理機能２６によって管理されているアドレスに対応する名前に関する情報と、一時アドレス記憶領域２５に記憶されたマップ情報とからアドレスデータ（アドレス情報。例えば、ＩＰアドレス）を元に名前情報を解決（名前解決）する。なお、本実施形態において、名前解決とは、一時アドレス記憶領域２５に記憶されたマップ情報を用いて、ＩＰアドレス等のアドレスデータに対応するホスト名を特定することをいう。
　アドレス管理機能２４は、パケット受信機能２１が受け取ったＤＮＳクエリから、その問い合わせ内容と、問い合わせ元とを管理する。具体的には、例えば、問い合わせ元の装置のＩＰアドレスと、問い合わせの内容を示す情報とを一時アドレス記憶領域２５等の記憶手段に記憶させる。また、アドレス管理機能２４は、アドレスルール管理機能２６によって管理されている名前に対応するアドレスに関する情報と、一時アドレス記憶領域２５に記録されたマップ情報及び仮名情報とから名前データを元に、アドレス情報を解決する（アドレスを解決する）機能を有する。
　名前に対応するアドレスに関する情報は、例えば、一旦問い合わせのあったデータに対しては、一時アドレス記憶領域２５からアドレスを取り出すことを示す。また、名前に対応するアドレスに関する情報は、初めての問い合わせに対しては、問い合わせ元のホスト名またはドメイン名に応じて、自動生成するアドレスの範囲およびアドレスを自動生成する方法を示す。なお、アドレスの自動生成は、例えば、ＭＤ５や、ｓｈａ１等でホスト名をハッシュ化して行われる。
　また、アドレス管理機能２４は、アドレスルール管理機能２６によって管理されるアドレスルールの定義によっては、別途正規ＤＮＳサーバ４を用いて、外部サーバの名前に対応する正規のアドレスを取得し、その結果に応じてアドレス生成機能２２によって自動生成されるアドレスか、当該取得した正規のアドレスを応答メッセージとして送信するかを選択する機能を有する。
　偽装ＤＮＳサーバ２に含まれる各機能の動作を具体的に説明する。パケット送受信機能２１は、端末装置１からのＤＮＳクエリパケットを受信し、パケットに含まれる解決すべき名前、もしくはアドレスデータを抽出する。クエリが名前に対するアドレスを要求している場合には、パケット送受信機能２１は、アドレス管理機能２４にデータを転送し、処理を呼び出す。クエリがアドレスに対する名前を要求している場合には、パケット送受信機能２１は、名前管理機能２３にデータを転送し、処理を呼び出す。そして、アドレス管理機能２４または名前管理機能２３によって名前またはアドレスが解決された場合、パケット送受信機能２１は、それらの情報をＤＮＳの応答パケットとして端末装置１に送信する。
　アドレス生成機能２２は、アドレスルール管理機能２６によって管理されるアドレスルールの定義に基づいて、ＤＮＳクエリに含まれる名前からハッシュ等を利用して、名前毎に概ね一意となるアドレスを自動生成する。アドレスルールの定義は、例えば、特定の名前パターンに対して生成するアドレスの範囲やパターンを規定する。
　名前管理機能２３は、アドレスから名前を解決する要求データをパケット送受信機能２１から受け取る。名前管理機能２３は、アドレスルール管理機能２６によって管理されているアドレスルール、及び一時アドレス記憶領域２５を参照する。アドレスルールによって一意に返却すべき名前が規定されているか、または、一時アドレス記憶領域２５に、名前とアドレスのマップ情報が存在する（記憶されている）場合、名前管理機能２３は、該当する名前情報をパケット送受信機能に返却する。また、返却する名前情報が存在しない場合、名前管理機能２３は、名前無しで応答データをパケット送受信機能２１に返却する。
　アドレス管理機能２４は、名前からアドレスを解決する要求データをパケット送受信機能２１から受け取る。アドレス管理機能２４は、アドレスルール管理機能２６によって管理されているアドレスルール、及び一時アドレス記憶領域２５を参照する。アドレスルールによって一意に返却すべきアドレスが規定されているか、または、一時アドレス記憶領域２５に、名前とアドレスのマップ情報が存在する場合、アドレス管理機能２４は、該当するアドレス情報をパケット送受信機能に返却する。
　また、一時アドレス記憶領域２５に、名前に対応するアドレスが一意に登録されていないか、登録データの有効期限が切れている場合、アドレスルールにてクエリによって問い合わされた名前に対するアドレスの自動生成が定義されている場合、アドレス管理機能２４は、アドレス生成機能２２を利用して名前に対応するアドレスを自動生成する。また、アドレス管理機能２４は、パケット送受信機能２１を呼び出して、端末装置１にＤＮＳクエリに対する応答メッセージとして送信する。更に、アドレス管理機能２４は、生成したアドレスと生成に利用した名前をマップ情報として別途一時アドレス記憶領域２５に登録する。また、この時登録されるマップ情報には情報の有効期限を指定することもできる。
　名前から生成したアドレスが、既に一時アドレス記憶領域２５に存在するか、アドレスルールで定義されている場合は、既存の登録データに対して仮名（エイリアス／ＤＮＳではＣＮＡＭＥ）として登録される。
　アドレスルール管理機能２６は、偽装ＤＮＳサーバ内の各機能からの名前、またはアドレスに対応するルールの要求に対し、管理しているアドレスルール内から適切なルールを返却する。また、アドレスルール管理機能２６は、何らかのタイミングで一時アドレス記憶領域２５に記録されたマップ情報をアドレスルールに変換して、外部の記憶手段に保存する機能を有する。更に、アドレスルール管理機能２６は、外部の記憶手段に保存したルールを読み出す機能を有する。なお、適切なルールを返却するとは、予め用意された複数のルールのうち、アドレスパターンが一致したルールを適切なルールとして返却したり、Ｌｏｎｇｅｓｔ　ｍａｔｃｈのケースを取ったりして返却したりすることをいう。
　図３は、本発明の実施形態の透過プロキシサーバ３の構成例を示すブロック図である。図３に示すように、本実施形態の透過プロキシサーバ３は、パケット送受信機能Ａ３１、サーバ名解決機能３２、偽装サーバ機能３３、ＩＤＳ機能３４、エラー処理－通知機能３０、セッション情報記憶領域３８、パケット中継機能３９、パケット送受信機能Ｂ３５、サーバアドレス解決機能３６、および偽装クライアント機能３７を含む。
　パケット送受信機能Ａ３１は、イントラネット内の端末装置１から外部ネットワークへのアクセス等のパケットを送受信する。パケット送受信機能Ｂ３５は、外部ネットワーク上にある正規ＤＮＳサーバ４や、端末装置１がアクセスしようとしているサーバとのパケットの送受信を行う。サーバ名解決機能３２は、パケット送受信機能Ａ３１が受け取ったパケットに含まれる宛先アドレス情報から、アクセスすべきサーバ名を、偽装ＤＮＳサーバ２に問い合わせて取得する。
　ＩＤＳ機能３４は、パケット送受信機能Ａ３１が受け取ったパケットに含まれる送信データを検査し、特定のパターンに一致するかどうかを判定する。なお、ＩＤＳ機能３４は、一般的なＩＤＳ（特に、通信ネットワークの通信データを調査するＮＩＤＳ）のｓｎｏｒｔのように、シグネチャと呼ばれるパターンデータにもとづいて、判定を行ってもよい。あるいは、ＩＤＳ機能３４は、通信を中継すると同時にプロトコルを解釈して、通信データを特定のＳａｎｄｂｏｘ上に再現し、そこでそれらのデータがプログラムデータであれば、さらにそれを実行して振る舞いを監視し、判定を行ってもよい。また、ＩＤＳ機能３４は、通信データが圧縮されている場合や暗号化されている場合には、当該通信データを解凍したり、暗号化を説いたりする処理を実行してもよい。
　偽装サーバ機能３３は、端末装置１が外部サーバへ接続するために送信したパケットをパケット送受信機能Ａ３１によって受け取り、外部サーバになりすまして接続を受け付ける。セッション情報記憶領域３８には、サーバ名解決機能３２によって解決された端末装置１が本来接続するはずのサーバ名と、偽装サーバ機能３３によって外部サーバを偽装して受け付けられた接続情報（セッション情報）とが合わせて記録される。
　なお、セッション情報には、接続元端末のアドレス情報（例えば、マルウェアに感染されているノードのＩＰアドレス）、接続元端末のポート番号、接続先端末のアドレス情報（例えば、マルウェアが接続しようとしているノードのＩＰアドレス）、接続先端末のポート番号が含まれる。また、セッション情報には、接続先端末のホスト名やアドレス等の情報が含まれてもよいし、通信に用いられるプロトコルを示すプロトコル情報（例えば、プロトコル番号やイベントを示す情報）が含まれていてもよい。
　サーバアドレス解決機能３６は、セッション情報記憶領域３８に記録されたサーバ名を利用して、正規ＤＮＳサーバ４を用いて、端末装置１が本来接続するはずの本来のアドレスを解決する。アドレスを解決するとは、具体的には、例えば、名前解決の逆引きの処理をいう。
　偽装クライアント機能３７は、サーバアドレス解決機能３６によって解決されたサーバのアドレスに対して、偽装サーバ機能３３が受け付け、端末装置１から送信され、パケット送受信機能Ａ３１が受信したパケットのデータを用いる。そして、偽装クライアント機能３７は、外部のサーバに対し端末装置１になりすまして接続を行い、サーバからの応答メッセージを別途偽装サーバ機能３３に転送する。
　パケット中継機能３９は、端末装置１と外部サーバとの通信を中継する。エラー処理－通知機能３０は、各機能におけるエラーに関する処理と、その通知を行う。
　また、偽装サーバ機能３３は、偽装クライアント機能３７が取得した外部サーバによる端末装置１に対する応答メッセージを利用して、端末装置１に対し応答メッセージを送信する。具体的には、例えば、端末装置１から偽装サーバ機能３３が受信したデータを、偽装クライアント機能３７が、外部サーバに送信する。その送信したデータに対する応答のデータを、偽装サーバ機能３３が端末装置１に送信する。なお、偽装サーバ機能３３は、応答のデータに送信元や送信先を示す情報が含まれている場合に、適宜データを書き換えたりするように構成されていてもよい。
　また、パケット中継機能３９は、セッション情報記憶領域３８に記録された情報を元に、偽装サーバ機能３３が受信した端末装置１が送信したデータを、偽装クライアント機能３７を用いて外部サーバに転送する。更に、パケット中継機能３９は、外部サーバから送信された応答データを偽装クライアント機能３７に受信させ、偽装サーバ機能３３を利用して端末装置１に送信するように各機能を制御する機能を有する。
　また、エラー処理－通知機能３０は、各機能毎のエラーに応じてその回数やエラー原因となる情報について何らかの条件処理を行う。そして、エラー処理－通知機能３０は、別途パケット送受信機能Ａ３１またはパケット送受信機能Ｂ３５のいずれかまたは両方を用いて、外部の装置、サーバ等へエラーとエラーに関連する情報、またはエラー処理の結果判定された検知情報等を通知する。
　具体的には、エラー処理－通知機能３０は、エラーに関連する情報として、例えば、エラーの原因となったデータそのものや、データの特徴量を示す情報であったり、エラーの原因となったデータを送信した端末のアドレスや本来の接続先等を示す情報を通知したりする。また、エラー処理－通知機能３０は、検知情報等として、ある端末があるアドレスのホストに対してあるプロトコルで通信しようとしたことを示し、そのホストが本来ＤＮＳ解決できないホストであることを示す情報を通知する。また、エラー処理－通知機能３０は、検知情報等として、ある端末があるプロトコルであるデータを送信しようとしたが、その通信はあるマルウェアによる通信である可能性があることを示す情報を通知する。
　また、偽装サーバ機能３３は、ＩＤＳ機能３４による検査結果を元に端末装置１との接続を遮断、または、偽装クライアント機能３７に対して検査したデータを転送する機能を有する。
　また、偽装クライアント機能３７は、サーバアドレス解決機能３６によって名前が解決できない等、特定条件に応じて偽装サーバ機能３３に対し、パケット送受信機能Ｂ３５からの受信データ以外に、別途エラー等を通知する機能を有する。
　尚、ホスト名に対するアドレス解決要求に対して、アドレスが解決できない場合、または、解決されたアドレスが他の通信ネットワークで無効なアドレスである場合、そのホスト名に対応するアドレスが生成され、生成されたアドレスがアドレス解決要求元に送信される。透過プロキシサーバ３は、例えば、ネットワーク監視プログラムが搭載されたコンピュータによって実現される。ネットワーク監視プログラムは、上記ホスト名に対応するアドレスへのアクセス要求を監視して、当該アドレスへのアクセス要求を検出した場合に、そのアクセス要求のアクセス先を示す情報を元にアラームを生成する処理を、コンピュータに実行させる。あるいは、ネットワーク監視プログラムは、上記ホスト名に対応するアドレスへのアクセスをホストとして受け付け、アクセス内容を元にアラームを生成する処理を、コンピュータに実行させる。
　次に、偽装ＤＮＳサーバ２の動作について、図面を参照して説明する。図４は、偽装ＤＮＳサーバ２の動作を示すフローチャートである。
　パケット送受信機能２１は、ＤＮＳクエリ待ちの処理（ステップＳ１０１）で、イントラネット内の端末装置１及び透過プロキシサーバ３からのＤＮＳクエリを待ち合わせる。ＤＮＳクエリを受け取ると、パケット送受信機能２１は、受け取ったクエリ及びその送信元の情報を合わせてアドレス管理機能２４に転送する。ＤＮＳクエリを受け取ったアドレス管理機能２４は、その内容を判定する。クエリが名前からアドレス解決を要求している場合（ステップＳ１０２；Ｙ）、アドレス管理機能２４は、正引き処理を実行する（ステップＳ１０３）。クエリがアドレスから名前の解決を要求している場合（ステップＳ１０２；Ｎ）、アドレス管理機能２４は、逆引き処理を実行する（ステップＳ１１３）。
　アドレス管理機能２４は、正引き処理（ステップＳ１０３）で、ＤＮＳクエリに含まれる名前を一時アドレス記憶領域２５から検索する。既にマップ情報、または仮名情報が存在する場合（ステップＳ１０４；Ｙ）、アドレス管理機能２４は、マップ情報からＤＮＳクエリの名前に対応するアドレス情報を取り出す。処理は、アドレス応答設定（ステップＳ１１０）に移行する。
　アドレス管理機能２４は、一時アドレス記憶領域２５にマップ情報が存在しない場合に（ステップＳ１０４；Ｎ）、ルール確認の処理（ステップＳ１０５）を実行する。アドレス管理機能２４は、ルール確認の処理（ステップＳ１０５）で、アドレスルール管理機能２６に対して、クエリ情報（ＤＮＳクエリに含まれる名前）に対応するアドレス生成ルールを問い合わせる。
　そして、クエリ情報に対応するアドレス生成ルールの存在を確認する。クエリ情報に対応するアドレス生成ルールが存在する場合（ステップＳ１０６；Ｙ）、処理は、アドレス自動生成（ステップＳ１０７）に移行する。また、クエリ情報に対応するアドレス生成ルールが存在しない場合（ステップＳ１０６；Ｎ）、対応アドレスなしの応答を戻す為、処理は、応答メッセージ生成（ステップＳ１１１）に移行する。
　次に、アドレス自動生成の処理（ステップＳ１０７）では、アドレス生成機能２２が、アドレスルール管理機能２６によって戻されたアドレス生成ルールにしたがって、クエリ情報に対応するアドレスを自動生成する。そして、生成したアドレスが一時アドレス記憶領域２５のマップ情報に存在しない場合（ステップＳ１０８；Ｎ）、処理は、マップ情報保存（ステップＳ１０９）に移行する。また、既にマップ情報が存在する場合（ステップＳ１０８；Ｙ）、処理は、仮名情報保存（ステップＳ１１６）に移行する。
　マップ情報保存の処理（ステップＳ１０９）では、生成されたマップ情報（ステップＳ１０７の処理で生成されたアドレスとステップＳ１０１の処理で受信したＤＮＳクエリに含まれる名前との組み合わせ）を一時アドレス記憶領域２５に保存する。その後、処理は、アドレス応答設定（ステップＳ１１０）に移行する。
　仮名情報保存の処理（ステップＳ１１６）では、ステップＳ１０７の処理で生成されたアドレスに対する仮名（エイリアス／ＤＮＳではＣＮＡＭＥ）を示す仮名情報を生成し、一時アドレス記憶領域２５に保存する。その後、処理は、アドレス応答設定（ステップＳ１１０）に移行する。
　アドレス応答設定の処理（ステップＳ１１０）では、パケット送受信機能Ａ３１が、名前に対応するアドレス情報を応答メッセージに含めるように設定する。その後、処理は、応答メッセージ作成（ステップＳ１１１）に移行する。
　逆引き処理（ステップＳ１１３）では、名前管理機能２３が、ＤＮＳクエリに含まれるアドレスを、一時アドレス記憶領域２５のマップ情報から検索する。そして、ＤＮＳクエリに含まれるアドレスが一時アドレス記憶領域２５のマップ情報に存在する場合（ステップＳ１１４；Ｙ）、処理は、名前応答設定（ステップＳ１１５）に移行する。ＤＮＳクエリに含まれるアドレスが一時アドレス記憶領域２５のマップ情報に存在しない場合（ステップＳ１１４；Ｎ）、処理は、応答メッセージ作成（ステップＳ１１１）に移行する。
　名前応答設定の処理（ステップＳ１１５）では、パケット送受信機能Ａ３１が、アドレスに対応する名前情報を応答メッセージに含めるように設定する。その後、処理は、応答メッセージ作成（ステップＳ１１１）に移行する。
　応答メッセージ作成の処理（ステップＳ１１１）では、パケット送受信機能Ａ３１が、ステップＳ１１０の処理またはステップＳ１１５の処理で設定された応答メッセージに含めるデータに対応する応答メッセージを作成する。その後、処理は、ＤＮＳ応答（ステップＳ１１２）に移行する。なお、応答メッセージに名前から解決したアドレス、もしくはアドレスから解決した名前のいずれも含める設定でない場合（名前、もしくはアドレスの解決ができなかった場合）は、パケット送受信機能Ａ３１が、解決された名前、もしくはアドレスが無いことを通知するための応答メッセージを作成する。その後、処理は、ＤＮＳ応答（ステップＳ１１２）に移行する。
　ＤＮＳ応答の処理（ステップＳ１１２）では、パケット送受信機能２１が、ステップＳ１１１の処理で生成された応答メッセージを、アドレス管理機能２４が管理するＤＮＳクエリ送信元に送信する。
　なお、上記ステップＳ１０３およびステップＳ１１３における一時アドレス記憶領域２５に登録されたマップ情報及び仮名情報の参照時には、適宜情報の有効期限が確認される。有効期限を経過したものについては、削除あるいは登録されていないものとして処理が行われる。
　次に、透過プロキシサーバ３の動作について、図面を参照して説明する。図５は、透過プロキシサーバ３の動作を示すフローチャートである。
　パケット送受信機能１は、外部接続待ちの処理（ステップＳ２０１）で、イントラネット内の端末装置１による外部ネットワークへのアクセス（イントラネット内の端末装置１から外部の通信ネットワークに接続された通信端末に送信されたパケット）を受け取る。パケット送受信機能１は、パケットに含まれる宛先アドレスの情報を接続先アドレス情報Ａとして、セッション情報記憶領域３８に保存する。その後、処理は、偽装サーバ受付（ステップＳ２０２）に移行する。
　偽装サーバ受付の処理（ステップＳ２０２）では、偽装サーバ機能３３が、端末装置１の接続先サーバを偽装して接続を受け付け、端末装置１から送信された最初のデータの受信を行う。このとき、偽装サーバ機能３３の設定により、データを受け付ける前に、本来の接続先のサーバ（端末装置１の接続先（パケット送信先）サーバ）が最初に出力するデータと同様のデータを先に端末装置１に返却する場合もある。そして、本来の接続先の名前を解決するため、処理は、逆引き処理（ステップＳ２０３）に移行する。
　逆引き処理（ステップＳ２０３）では、サーバ名解決機能３２が、ステップＳ２０１の処理でセッション情報記憶領域３８に保存された接続先アドレス情報Ａを用いて、偽装ＤＮＳサーバ２に対し対応するホスト名を問い合わせる。そして、逆引きで解決できない場合（ステップＳ２０４；Ｎ）、処理は、逆引きエラー処理（ステップＳ２１２）に移行する。逆引きで解決できた場合（ステップＳ２０４；Ｙ）、サーバ名解決機能３２は、接続先ホストの名前を接続先ホスト名情報として、既に記録されている接続先アドレス情報１と関連付けてセッション情報記憶領域３８に記録する。その後、処理は、接続データ－ルールチェック（ステップＳ２０５）に移行する。
　接続データ－ルールチェックの処理（ステップＳ２０５）では、ＩＤＳ機能３４が、偽装サーバ機能３３が受け付けたデータやセッション情報をチェックする。そして、監視対象となるパターンが検出された場合（ステップＳ２０６；ＮＧ）、処理は、ＩＤＳ検知判定（ステップＳ２１３）に移行する。
　監視対象となるパターンが検出されなかった場合（ステップＳ２０６；ＯＫ）、処理は、サーバアドレス解決（ステップＳ２０７）に移行する。
　サーバアドレス解決の処理（ステップＳ２０７）では、サーバアドレス解決機能３６が、正規ＤＮＳサーバ４に対して、接続先ホストの名前に対応するアドレスを問合せる。このとき、サーバアドレス解決機能３６は、逆引き処理（ステップＳ２０３）でセッション情報記憶領域３８に保存された接続先ホスト名情報を利用する。そして、接続先ホストの名前に対応するアドレス情報が取得できなかった場合（ステップＳ２０８；Ｎ）、処理は、正引きエラー処理（ステップＳ２１４）に移行する。一方、接続先ホストの名前に対応するアドレス情報が取得できた場合（ステップＳ２０８；Ｙ）、サーバアドレス解決機能３６は、取得できたアドレスを接続先アドレス情報Ｂとする。そして、サーバアドレス解決機能３６は、セッション情報記憶領域３８に、接続先アドレス情報Ｂを、既に記録されている接続先アドレス情報Ａと接続先ホスト情報と関連付けてセッション情報として保存する。その後、処理は、偽装クライアント接続（ステップＳ２０９）に移行する。
　偽装クライアント接続（ステップＳ２０９）では、偽装クライアント機能３７が、ステップＳ２０７の処理で解決された接続先アドレス情報Ｂに対応するサーバ等に、端末装置１を偽装してパケット送受信機能Ｂ０３５を利用して接続を行う。接続不可の場合、処理は、エラー通知の処理（ステップＳ２１１）に移行する。接続可能な場合、処理は、プロキシ処理起動（ステップＳ２１０）に移行する。
　プロキシ処理起動（ステップＳ２１０）では、パケット中継機能３９が、セッション情報記憶領域３８に記録されたセッション情報を元に、偽装サーバ機能３３が受信した端末装置１が送信したデータを、偽装クライアント機能３７を用いて外部サーバに転送する。更に、パケット中継機能３９は、外部サーバから送信された応答データを偽装クライアント機能３７に受信させ、偽装サーバ機能３３を利用して端末装置１に送信するように各機能を制御する。そして、処理は、外部接続待ち（ステップＳ２０１）に移行する。
　逆引きエラー処理（ステップＳ２１２）では、エラー処理－通知機能３０が、逆引きエラーとなった接続先アドレス情報Ａについて、一定回数以上のエラー発生の判定等の条件処理を行う。その結果判定のため、処理は、エラー通知判定（ステップＳ２１５）に移行する。
　ＩＤＳ検知判定の処理（ステップＳ２１３）では、エラー処理－通知機能３０が、ＩＤＳ機能３４によるチェックの結果について、その原因となったアクセスデータ、及び接続先ホスト名情報、または接続先アドレス情報Ａの一方もしくは両方について、一定回数以上の検知等の判定等の条件処理を行う。条件を満たす場合、すなわち、接続が不正である可能性ありと判定された場合（ステップＳ２１３；ＮＧ）、処理は、エラー通知判定（ステップＳ２１５）に移行する。条件を満たさない場合（ステップＳ２１３；ＯＫ）、処理は、サーバアドレス解決（ステップＳ２０７）に移行する。
　正引きエラー処理（ステップＳ２１４）では、エラー処理－通知機能３０が、正引きエラーとなった接続先ホスト名情報について、一定回数以上のエラー発生等の条件処理を行う。その結果判定のため、処理は、エラー通知判定（ステップＳ２１５）に移行する。
　エラー通知判定の処理（ステップＳ２１５）では、エラー処理－通知機能３０が、ステップＳ２１２、ステップＳ２１３、ステップＳ２１４のエラー処理結果を元に処理を行う。対象エラー処理がステップＳ２１２の処理よるものである場合は、エラー処理－通知機能３０は、アクセス元の端末装置１のアドレスと接続先アドレス情報Ａとを利用して、一定期間以内に既に通知されているか等の条件判定により、通知対象であるかを判定する。対象エラー処理がステップＳ２１３の処理によるものである場合は、エラー処理－通知機能３０は、アクセス元の端末装置１のアドレスと、ステップＳ２０６のＩＤＳチェックの処理で検出された対象データとを利用する。対象エラー処理がステップＳ２１４の処理によるものである場合は、エラー処理－通知機能３０は、アクセス元の端末装置１のアドレスと、接続先ホスト名情報とを利用する。そして、通知する必要があると判定した場合（ステップＳ２１５；Ｙ）、処理は、エラー通知の処理（ステップＳ２１１）に移行する。一方、通知不要と判定された場合（ステップＳ２１５；Ｎ）、処理は、外部接続待ち（ステップＳ２０１）に移行する。
　エラー通知の処理（ステップＳ２１１）では、エラー処理－通知機能３０が、パケット送受信機能Ａ０３１またはパケット送受信機能Ｂ０３５のいずれか、あるいは両方を利用して、本システム内外の何らかの装置またはプログラムに対して何らかの方法（例えば、メールやＳＹＳＬＯＧ等）で、検知した情報またはエラーを通知する。
　なお、本実施形態において、端末装置１上で動作する外部ネットワーク上のサーバへのアクセスを行うプログラム（マルウェアを含む）、機能等については一般的に以下の手順にて外部サーバへのアクセスを行うものを想定する。
　１．外部サーバへのアクセスを行うプログラムは、初めに外部サーバのホスト名に対するアドレス情報をＤＮＳサーバに問い合わせる。
　２．外部サーバへのアクセスを行うプログラムは、上記の問い合わせにて得られたアドレスに対して接続を試みる。
　また、本実施形態における正規ＤＮＳサーバ４は、一般のＤＮＳサーバであるとする。
　本実施形態は、端末装置１内のマルウェア等のプログラムによって、外部ネットワーク上のサーバ等へのアクセスが行われる際に、偽装ＤＮＳサーバ２によってアドレス（または名前）の解決が行われるように構成されている。従って、正規ＤＮＳサーバ４上では既にアドレス（または名前）が無効になっている、あるいは、ローカルな通信用アドレスになっている等、通信対象として不適当なアドレス（または名前）になっている場合において、本来マルウェアによる通信が発生しない状況であっても、通信可能なアドレスが戻される。それにより、マルウェアによる通信を発生させることが可能になり、マルウェアの存在を検出することが可能になる。
　また、本実施形態では、上記で発生したマルウェアによる通信の宛先を判定することにより、通常イントラネット内部から外部に対しては発生することの無いポートへの通信等を判定することにより、マルウェアの存在を検知することが可能になる。
　また、本実施形態では、透過プロキシサーバ３において、外部ネットワーク上のサーバを偽装する。それにより、実際には外部ネットワーク上のサーバが既に閉鎖、もしくは一時的に停止しているといった接続不可である状況においても、通信を受け付けることが可能となる。従って、本来監視不可能な発生しないはずの通信内容をＩＤＳにより検査することが可能になる。そして、通常の通信ネットワーク構成では不可能なイントラネット内におけるマルウェアの存在を検知することが可能になる。
　また、本実施形態では、透過プロキシサーバ３において、一旦内部の偽装ＤＮＳサーバ２に対して、アクセス先のアドレスに対するホスト名の問い合わせを行う様に構成されている。従って、その時点でホスト名が解決できない場合、端末装置１内のプログラムがＤＮＳによりホスト名からアドレスを解決せずに、直接対象アドレスへの通信を発生させようとしていることを検知可能である。また、対象アドレスが、例えば、イントラネット内等に存在するサーバ等でない場合、外部への不正なアクセスとして判定する。これにより、マルウェアによる通信である可能性の高い通信を検知することが可能になる。
　本発明は、イントラネット内と外部を接続するファイアウォールやルータ等の装置、及びイントラネット内に設置するＤＮＳサーバといった分野に適用できる。
　以上、本発明の実施の形態が添付の図面を参照することにより説明された。但し、本発明は、上述の実施の形態に限定されず、要旨を逸脱しない範囲で当業者により適宜変更され得る。
　本出願は、２００８年３月４日に出願された日本国特許出願２００８－０５２７７０を基礎とする優先権を主張し、その開示の全てをここに取り込む。

Claims (14)

  1. 　通信ネットワークと他の通信ネットワークとの間のアクセスを監視するネットワーク監視システムであって、
    　ホスト名に対するアドレス解決要求に対して、アドレスが解決できない場合、または、解決されたアドレスが前記他の通信ネットワークで無効なアドレスである場合に、前記ホスト名に対応するアドレスを生成してアドレス解決要求元に送信するＤＮＳサーバと、
    　前記生成されたアドレスへのアクセス要求を監視して、前記生成されたアドレスへのアクセス要求を検出した場合に、前記アクセス要求のアクセス先を示す情報を元にアラームを生成する監視装置と
    　を備える
    　ネットワーク監視システム。
  2. 　前記監視装置は、前記ＤＮＳサーバによってアドレス解決が行われていない外部のサーバへの前記アクセス要求を監視し、前記アクセス要求を検出した場合に、前記アクセス要求のアクセス先の情報を元に前記アラームを生成する
    　請求の範囲１に記載のネットワーク監視システム。
  3. 　通信ネットワークと他の通信ネットワークとの間のアクセスを中継するネットワーク監視システムであって、
    　ホスト名に対するアドレス解決要求に対して、アドレスが解決できない場合、または、解決されたアドレスが前記他の通信ネットワークで無効なアドレスである場合に、前記ホスト名に対応するアドレスを生成してアドレス解決要求元に送信するＤＮＳサーバと、
    　前記生成されたアドレスへのアクセスをホストとして受け付け、アクセス内容を元にアラームを生成する中継装置と
    　を備える
    　ネットワーク監視システム。
  4. 　前記中継装置は、前記ＤＮＳサーバによってアドレス解決が行われていない外部のサーバへの前記アクセス内容を監視し、前記アクセス内容を元に前記アラームを生成する
    　請求の範囲３に記載のネットワーク監視システム。
  5. 　前記ＤＮＳサーバは、
    　パケットを送信および受信するパケット送受信手段と、
    　前記パケット送受信手段が受信したパケットに含まれる名前を示す情報にもとづいて、アドレス解決するアドレス管理手段と
    　を含む
    　請求の範囲１乃至４のいずれか一項に記載のネットワーク監視システム。
  6. 　前記ＤＮＳサーバは、
    　パケットを送信および受信するパケット送受信手段と、
    　前記パケット送受信手段が受信したパケットに含まれるアドレスを示す情報にもとづいて、名前解決する名前管理手段と
    　を含む
    　請求の範囲１乃至４のいずれか一項に記載のネットワーク監視システム。
  7. 　通信ネットワークと他の通信ネットワークとの間のアクセスを監視するネットワーク監視方法であって、
    　ホスト名に対するアドレス解決要求に対して、アドレスが解決できない場合、または、解決されたアドレスが前記他の通信ネットワークで無効なアドレスである場合に、前記ホスト名に対応するアドレスを生成するステップと、
    　前記生成されたアドレスをアドレス解決要求元に送信するステップと、
    　前記生成されたアドレスへのアクセス要求を監視して、前記生成されたアドレスへのアクセス要求を検出した場合に、前記アクセス要求のアクセス先を示す情報を元にアラームを生成するステップと
    　を含む
    　ネットワーク監視方法。
  8. 　前記アラームを生成するステップは、
    　前記アドレスを生成するステップでアドレス解決が行われていない外部のサーバへの前記アクセス要求を監視するステップと、
    　前記アクセス要求を検出した場合に、前記アクセス要求のアクセス先の情報を元に前記アラームを生成するステップと
    　を含む
    　請求の範囲７に記載のネットワーク監視方法。
  9. 　通信ネットワークと他の通信ネットワークとの間のアクセスを中継するネットワーク監視方法であって、
    　ホスト名に対するアドレス解決要求に対して、アドレスが解決できない場合、または、解決されたアドレスが前記他の通信ネットワークで無効なアドレスである場合に、前記ホスト名に対応するアドレスを生成するステップと、
    　前記生成されたアドレスをアドレス解決要求元に送信するステップと、
    　前記生成されたアドレスへのアクセスをホストとして受け付け、アクセス内容を元にアラームを生成するステップと
    　を含む
    　ネットワーク監視方法。
  10. 　前記アラームを生成するステップは、
    　前記アドレスを生成するステップでアドレス解決が行われていない外部のサーバへの前記アクセス内容を監視するステップと、
    　前記アクセス内容を元に前記アラームを生成するステップと
    　を含む
    　請求の範囲９に記載のネットワーク監視方法。
  11. 　前記アドレスを生成するステップは、
    　パケットを受信するステップと、
    　前記受信したパケットに含まれる名前を示す情報にもとづいて、アドレス解決するステップと
    　を含む
    　請求の範囲７乃至１０のいずれか一項に記載のネットワーク監視方法。
  12. 　前記アドレスを生成するステップは、
    　パケットを受信するステップと、
    　前記受信したパケットに含まれるアドレスを示す情報にもとづいて、名前解決するステップと
    　を含む
    　請求の範囲７乃至１０のいずれか一項に記載のネットワーク監視方法。
  13. 　コンピュータに、通信ネットワークと他の通信ネットワークとの間のアクセスを監視させるネットワーク監視プログラムであって、
    　ホスト名に対するアドレス解決要求に対して生成されるアドレスであって、前記ホスト名に対応するアドレスへのアクセス要求を監視するステップと、
    　ここで、前記ホスト名に対応するアドレスは、前記アドレス解決要求に対して、アドレスが解決できない場合、または、解決されたアドレスが前記他の通信ネットワークで無効なアドレスである場合に生成され、また、アドレス解決要求元に送信され、
    　前記生成されたアドレスへのアクセス要求を検出した場合に、前記アクセス要求のアクセス先を示す情報を元にアラームを生成するステップと
    　を前記コンピュータに実行させる
    　ネットワーク監視プログラム。
  14. 　コンピュータに、通信ネットワークと他の通信ネットワークとの間のアクセスを中継させるネットワーク監視プログラムであって、
    　ホスト名に対するアドレス解決要求に対して生成されるアドレスであって、前記ホスト名に対応するアドレスへのアクセスをホストとして受け付けるステップと、
    　ここで、前記ホスト名に対応するアドレスは、前記アドレス解決要求に対して、アドレスが解決できない場合、または、解決されたアドレスが前記他の通信ネットワークで無効なアドレスである場合に生成され、また、アドレス解決要求元に送信され、
    　前記アクセス内容を元にアラームを生成するステップと
    　を前記コンピュータに実行させる
    　ネットワーク監視プログラム。
PCT/JP2009/052996 2008-03-04 2009-02-20 ネットワーク監視システム、ネットワーク監視方法、及びネットワーク監視プログラム WO2009110327A1 (ja)

Priority Applications (1)

Application Number Priority Date Filing Date Title
JP2010501849A JP5267893B2 (ja) 2008-03-04 2009-02-20 ネットワーク監視システム、ネットワーク監視方法、及びネットワーク監視プログラム

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
JP2008052770 2008-03-04
JP2008-052770 2008-03-04

Publications (1)

Publication Number Publication Date
WO2009110327A1 true WO2009110327A1 (ja) 2009-09-11

Family

ID=41055888

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/JP2009/052996 WO2009110327A1 (ja) 2008-03-04 2009-02-20 ネットワーク監視システム、ネットワーク監視方法、及びネットワーク監視プログラム

Country Status (2)

Country Link
JP (1) JP5267893B2 (ja)
WO (1) WO2009110327A1 (ja)

Cited By (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2014175250A1 (ja) * 2013-04-23 2014-10-30 日本電気株式会社 通信端末、制御装置、通信システム、通信方法及びプログラム
JP2015177434A (ja) * 2014-03-17 2015-10-05 日本電気株式会社 マルウェア検知システム、マルウェア検知方法、ｄｎｓサーバ、及び名前解決プログラム。
WO2016056891A1 (en) * 2014-10-10 2016-04-14 Mimos Berhad System and method for automatic network switching in distributed communication network upon total network connection failure

Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2006228140A (ja) * 2005-02-21 2006-08-31 Fuji Xerox Co Ltd 情報処理装置
WO2007005868A2 (en) * 2005-07-01 2007-01-11 Markmonitor, Inc. Enhanced fraud monitoring systems
JP2007266931A (ja) * 2006-03-28 2007-10-11 Matsushita Electric Works Ltd 通信遮断装置、通信遮断プログラム
JP2007334536A (ja) * 2006-06-14 2007-12-27 Securebrain Corp マルウェアの挙動解析システム

Patent Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2006228140A (ja) * 2005-02-21 2006-08-31 Fuji Xerox Co Ltd 情報処理装置
WO2007005868A2 (en) * 2005-07-01 2007-01-11 Markmonitor, Inc. Enhanced fraud monitoring systems
JP2007266931A (ja) * 2006-03-28 2007-10-11 Matsushita Electric Works Ltd 通信遮断装置、通信遮断プログラム
JP2007334536A (ja) * 2006-06-14 2007-12-27 Securebrain Corp マルウェアの挙動解析システム

Non-Patent Citations (3)

* Cited by examiner, † Cited by third party
Title
"A Method of Detecting Bot infection using Botnet C&C Server domain name", IPSJ SIG TECHNICAL REPORTS 2006-CSEC-35-3, SYUSEI TOMONAGA, HIDEHIKO TANAKA, vol. 2006, no. 129, 8 December 2006 (2006-12-08), pages 13 - 18 *
"com to .net no Mishiyo Domain-mei o Jack? Bei VeriSign ga Uchi Machigae URL o Jisha Site ni Yudo suru Shikumi o Donyu", INTERNET MAGAZINE 2ND STAGE, 1 November 2003 (2003-11-01), pages 63 *
SAITO E.: "Bei VeriSign no Site Finder Mondai de Daikonran", NIKKEI NETWORK, vol. 43, 22 October 2003 (2003-10-22), pages 188 - 189 *

Cited By (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2014175250A1 (ja) * 2013-04-23 2014-10-30 日本電気株式会社 通信端末、制御装置、通信システム、通信方法及びプログラム
JP2015177434A (ja) * 2014-03-17 2015-10-05 日本電気株式会社 マルウェア検知システム、マルウェア検知方法、ｄｎｓサーバ、及び名前解決プログラム。
WO2016056891A1 (en) * 2014-10-10 2016-04-14 Mimos Berhad System and method for automatic network switching in distributed communication network upon total network connection failure

Also Published As

Publication number Publication date
JP5267893B2 (ja) 2013-08-21
JPWO2009110327A1 (ja) 2011-07-14

Similar Documents

Publication Publication Date Title
US20220294815A1 (en) Malware detection for proxy server networks
Whyte et al. DNS-based Detection of Scanning Worms in an Enterprise Network.
US7552478B2 (en) Network unauthorized access preventing system and network unauthorized access preventing apparatus
JP3596400B2 (ja) Ｄｎｓサーバフィルタ
US7849507B1 (en) Apparatus for filtering server responses
US8661544B2 (en) Detecting botnets
US7836501B2 (en) Client compliancy with self-policing clients
US7912048B2 (en) Apparatus and method for detecting network address translation device
US20180205573A1 (en) Network packet redirection device and method thereof
JP2008177714A (ja) ネットワークシステム、サーバ、ｄｄｎｓサーバおよびパケット中継装置
US20160330287A1 (en) Processing service requests for digital content
US20100027551A1 (en) Method and system for restricting a node from communicating with other nodes in a broadcast domain of an ip (internet protocol) network
US10097418B2 (en) Discovering network nodes
JP5267893B2 (ja) ネットワーク監視システム、ネットワーク監視方法、及びネットワーク監視プログラム
Li et al. TuDoor Attack: Systematically Exploring and Exploiting Logic Vulnerabilities in DNS Response Pre-processing with Malformed Packets
JP3590394B2 (ja) パケット転送装置、パケット転送方法およびプログラム
JP4921864B2 (ja) 通信制御装置、認証システムおよび通信制御プログラム
US10015179B2 (en) Interrogating malware
JP2009245301A (ja) セッション管理・制御装置、方法、及び、プログラム
JP6249015B2 (ja) 受信装置、受信装置制御方法、受信装置制御プログラム、ネットワークシステム、ネットワークシステム制御方法、及びネットワークシステム制御プログラム
JP5842128B2 (ja) 通信システム、機器通信サーバ、クライアント機器
JP3880530B2 (ja) 動的アドレス付与サーバを利用したクライアントの安全性検診システム
JP6382244B2 (ja) パケットフィルタリング装置
JP2007102747A (ja) パケット検知装置、メッセージ検知プログラム、不正メールの遮断プログラム
JP4319585B2 (ja) 被害拡散防止システム及びパケット転送装置及びパケット収集分析装置及びプログラム

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 09716703

Country of ref document: EP

Kind code of ref document: A1

WWE Wipo information: entry into national phase

Ref document number: 2010501849

Country of ref document: JP

NENP Non-entry into the national phase

Ref country code: DE

122 Ep: pct application non-entry in european phase

Ref document number: 09716703

Country of ref document: EP

Kind code of ref document: A1