(57)【要約】【課題】ＣＴＩの安全な収集を支援する。【解決手段】実施形態のマルウェア検査支援プログラムは、受信する処理と、送信する処理とをコンピュータに実行させる。受信する処理は、第１のシステムまたは第２のシステムに属する情報処理装置が送信したパケットを受信する。送信する処理は、第１のシステムに属しマルウェアが検知された第１の情報処理装置から、第２の情報処理装置宛のパケットを受信した場合に、パケットの宛先アドレスを、所定のルールに基づいて宛先アドレスごとに選択的に第２のシステムに属する第３の情報処理装置に対応するアドレスに変更して、第３の情報処理装置へ送信する。【選択図】図３
2020108011.tif 000002
【特許請求の範囲】
【請求項１】
第１のシステムまたは第２のシステムに属する情報処理装置が送信したパケットを受信し、
前記第１のシステムに属しマルウェアが検知された第１の情報処理装置から、第２の情報処理装置宛のパケットを受信した場合に、前記パケットの宛先アドレスを、所定のルールに基づいて前記宛先アドレスごとに選択的に前記第２のシステムに属する第３の情報処理装置に対応するアドレスに変更して、前記第３の情報処理装置へ送信する、
処理をコンピュータに実行させることを特徴とするマルウェア検査支援プログラム。
【請求項２】
前記送信する処理は、前記第２の情報処理装置宛のパケットについて前記宛先アドレスの変更を行わずに送信する場合は、送信するパケットの中の一部のパケットを間引いて前記第２の情報処理装置へ送信する、
ことを特徴とする請求項１に記載のマルウェア検査支援プログラム。
【請求項３】
前記送信する処理は、前記パケットに含まれるデータの特徴が所定の条件を満たす場合に、前記パケットの宛先アドレスを、前記第３の情報処理装置に対応するアドレスに変更する、
ことを特徴とする請求項１または２に記載のマルウェア検査支援プログラム。
【請求項４】
第１のシステムまたは第２のシステムに属する情報処理装置が送信したパケットを受信し、
前記第１のシステムに属しマルウェアが検知された第１の情報処理装置から、第２の情報処理装置宛のパケットを受信した場合に、前記パケットの宛先アドレスを、所定のルールに基づいて前記宛先アドレスごとに選択的に、前記第２のシステムに属する第３の情報処理装置に対応するアドレスに変更して、前記第３の情報処理装置へ送信する、
処理をコンピュータが実行することを特徴とするマルウェア検査支援方法。
【請求項５】
第１のシステムまたは第２のシステムに属する情報処理装置が送信したパケットを受信する受信部と、
前記第１のシステムに属しマルウェアが検知された第１の情報処理装置から、第２の情報処理装置宛のパケットを受信した場合に、前記パケットの宛先アドレスを、所定のルールに基づいて前記宛先アドレスごとに選択的に、前記第２のシステムに属する第３の情報処理装置に対応するアドレスに変更して、前記第３の情報処理装置へ送信する送信部と、
を有することを特徴とする通信装置。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明の実施形態は、マルウェア検査支援プログラム、マルウェア検査支援方法および通信装置に関する。
【背景技術】
【０００２】
近年、ネットワークを経由した不正アクセスなどのサイバー攻撃が深刻な問題となっている。このサイバー攻撃への対処には、サイバー攻撃を観察して攻撃者や目的、攻撃手法・手口などをレポート等にまとめたサイバー脅威インテリジェンス（CTI:Cyber  Threat  Intelligence）を収集することが重要である。このＣＴＩを収集する従来技術として、ハニーネットへの不正アクセスを監視して不正アクセス情報を収集する不正アクセス情報システムが知られている。
【先行技術文献】
【特許文献】
【０００３】
【特許文献１】特開２００８−１７２５４８号公報
【特許文献２】特開２０１２−２１２３９１号公報
【発明の概要】
【発明が解決しようとする課題】
【０００４】
しかしながら、上記の従来技術では、不正アクセスがハニーネットへ一気に切り替わることになる。このため、ハニーネットのノードにおける情報の不整合などにより、ハニーネットへの切り替えに気づかれる場合があるという問題がある。例えば、攻撃者がハニーネットへの切り替えに気づいた場合には、攻撃を中断してしまうので、不正アクセス情報を継続して収集することが困難なものとなる。
【０００５】
１つの側面では、ＣＴＩの収集を支援可能とするマルウェア検査支援プログラム、マルウェア検査支援方法および通信装置を提供することを目的とする。
【課題を解決するための手段】
【０００６】
１つの案では、マルウェア検査支援プログラムは、受信する処理と、送信する処理とをコンピュータに実行させる。受信する処理は、第１のシステムまたは第２のシステムに属する情報処理装置が送信したパケットを受信する。送信する処理は、第１のシステムに属しマルウェアが検知された第１の情報処理装置から、第２の情報処理装置宛のパケットを受信した場合に、パケットの宛先アドレスを、所定のルールに基づいて宛先アドレスごとに選択的に第２のシステムに属する第３の情報処理装置に対応するアドレスに変更して、第３の情報処理装置へ送信する。
【発明の効果】
【０００７】
本発明の１実施態様によれば、ＣＴＩの収集を支援することができる。
【図面の簡単な説明】
【０００８】
【図１】図１は、システムの構成例を説明する説明図である。
【図２】図２は、実施形態にかかる通信装置の機能構成を例示するブロック図である。
【図３】図３は、実施形態にかかる通信装置の動作例を示すフローチャートである。
【図４】図４は、通常モード、デセプションモードでの動作を説明する説明図である。
【図５】図５は、通常モードでの通信を説明する説明図である。
【図６】図６は、デセプションモードでの通信を説明する説明図である。
【図７】図７は、隔離手順の一例を説明する説明図である。
【図８】図８は、実施形態にかかる情報処理装置のハードウエア構成例を示すブロック図である。
【発明を実施するための形態】
【０００９】
以下、図面を参照して、実施形態にかかるマルウェア検査支援プログラム、マルウェア検査支援方法および通信装置を説明する。実施形態において同一の機能を有する構成には同一の符号を付し、重複する説明は省略する。なお、以下の実施形態で説明するマルウェア検査支援プログラム、マルウェア検査支援方法および通信装置は、一例を示すに過ぎず、実施形態を限定するものではない。また、以下の各実施形態は、矛盾しない範囲内で適宜組みあわせてもよい。
【００１０】
図１は、システムの構成例を説明する説明図である。図１に示すように、実施形態のシステムは、企業等における企業ネットワークシステム１と、企業ネットワークシステム１のネットワーク構成を模したハニーネットワークシステム２とを有する。この企業ネットワークシステム１は第１のシステムの一例であり、ハニーネットワークシステム２は第２のシステムの一例である。
【００１１】
企業ネットワークシステム１は、例えばＣＩＤＲ（Classless  Inter-Domain  Routing）記法を「ｘｘｘ．ｘｘｘ．ｘｘｘ．０／２４」とする外部ネットワーク３とＮＡＴルータ５（NAT:Network  Address  Translation）およびインターネット６を介して接続する。外部ネットワーク３には、例えばマルウェアに感染した企業ネットワークシステム１内の端末に命令を出して制御する役割を担うＣ＆Ｃサーバ４を有する。
【００１２】
企業ネットワークシステム１は、オープンフロー・スイッチ１０、オープンフロー・コントローラー１１、記憶装置１１Ａ、ＮＡＴルータ１２、サーバ１４Ａ、１４Ｂ…および端末１５Ａ、１５Ｂ、１５Ｃ…を有する。
【００１３】
オープンフロー・スイッチ１０、１０ａは、オープンフロー・コントローラー１１の制御のもとで、ポートに接続された機器間におけるデータの中継・転送を行うネットワークスイッチであり、通信装置の一例である。なお、以後の説明では、オープンフロー・スイッチ１０、１０ａを特に区別しない場合はオープンフロー・スイッチ１０と称する場合がある。オープンフロー・コントローラー１１は、所定の条件のパケットに対する動作などの経路制御にかかるフローテーブルを、ＯｐｅｎＦｌｏｗプロトコルを用いてオープンフロー・スイッチ１０に配送し、設定する。記憶装置１１Ａは、経路制御にかかるフローテーブルおよび宛先アドレスを選択的に変更する場合の条件を示した条件情報などの各種情報を記憶する。記憶装置１１Ａは、は、オープンフロー・コントローラー１１からの読み出しに応じて、記憶するフローテーブルおよび条件情報などの各種情報を提供する。
【００１４】
オープンフロー・コントローラー１１がオープンフロー・スイッチ１０に配送して設定するフローテーブルおよび条件情報は、企業ネットワークシステム１のネットワーク管理者等の設定により作成され、記憶装置１１Ａに格納される。フローテーブルでは、物理ポート番号、送信元・宛先ＭＡＣアドレス、送信元・宛先ＩＰアドレス、ＴＣＰ／ＵＤＰポート番号等のフィールドにおけるパケットの通過／遮断、ＭＡＣアドレス・ＩＰアドレスの書き換え、出力ポートの変更などの動作が示される。条件情報では、企業ネットワークシステム１内におけるサーバ１４Ａ、１４Ｂ…および端末１５Ａ、１５Ｂ、１５Ｃ…の宛先アドレスごとに、ハニーネットワークシステム２への切り替えを行うか、ハニーネットワークシステム２への切り替えを行わずにそのままとするかのルールが示される。オープンフロー・スイッチ１０は、設定されたフローテーブルおよび条件情報に基づいて、データの転送、破棄、宛先の書き換えなどを実行する。
【００１５】
図２は、実施形態にかかる通信装置、すなわちオープンフロー・スイッチ１０の機能構成を例示するブロック図である。図２に示すように、オープンフロー・スイッチ１０は、通信部１０１、制御部１０２および記憶部１０３を有する。
【００１６】
通信部１０１は、制御部１０２の制御のもと、ポート１０１Ａ、１０１Ｂ…を介して接続する機器（例えば端末１５Ａ、１５Ｂ、１５Ｃ…）とパケットによるデータ通信を行う通信インタフェースである。
【００１７】
制御部１０２は、受信処理部１０２Ａおよび送信処理部１０２Ｂを有し、オープンフロー・スイッチ１０の動作を制御する。具体的には、制御部１０２は、記憶部１０３に格納されたフローテーブル１０３Ａおよび条件情報１０３Ｂに基づいて、ポート１０１Ａ、１０１Ｂ…に接続された機器間におけるデータの転送、破棄、宛先の書き換えなどを制御する。
【００１８】
記憶部１０３は、例えばＨＤＤ（Hard  Disk  Drive）や半導体メモリなどの記憶装置であり、オープンフロー・コントローラー１１より配送されたフローテーブル１０３Ａおよび条件情報１０３Ｂを格納する。
【００１９】
受信処理部１０２Ａは、ポート１０１Ａ、１０１Ｂ…に接続された機器（例えば企業ネットワークシステム１の端末１５Ａ、１５Ｂ、１５Ｃやハニーネットワークシステム２の端末２２Ａ、２２Ｂ…等）が送信したパケットを受信する受信処理を行う。すなわち、受信処理部１０２Ａは、受信部の一例である。
【００２０】
送信処理部１０２Ｂは、記憶部１０３に格納されたフローテーブル１０３Ａおよび条件情報１０３Ｂを参照し、フローテーブル１０３Ａに基づいて、受信処理部１０２Ａが受信したパケットを宛先の機器（例えば企業ネットワークシステム１の端末１５Ａ、１５Ｂ、１５Ｃやハニーネットワークシステム２の端末２２Ａ、２２Ｂ…等）へ送信する送信処理を行う。すなわち、送信処理部１０２Ｂは、送信部の一例である。
【００２１】
具体的には、送信処理部１０２Ｂは、フローテーブル１０３Ａに記述された条件とマッチするパケットについて、当該条件に対応して記述された動作（例えばパケットの通過／遮断、ＭＡＣアドレス・ＩＰアドレスの書き換え、出力ポートの変更）でポート１０１Ａ、１０１Ｂ…より出力（送信）する。
【００２２】
また、送信処理部１０２Ｂは、条件情報１０３Ｂの設定があり、パケットについて宛先アドレスを選択的に変更するモードである場合、条件情報１０３Ｂのルールに基づいて宛先アドレスごとに選択的にパケットの宛先アドレスを変更する。具体的には、送信処理部１０２Ｂは、条件情報１０３Ｂにおいてハニーネットワークシステム２への切り替えを行うルールが示された宛先アドレスのパケットについては、フローテーブル１０３Ａをもとに宛先アドレスの変更を行う。また、送信処理部１０２Ｂは、条件情報１０３Ｂにおいてハニーネットワークシステム２への切り替えを行わずにそのままとするルールが示された宛先アドレスのパケットについては、宛先アドレスの変更を行わないものとする。
【００２３】
ＮＡＴルータ１２は、ＩＰアドレスなどを変換して企業ネットワークシステム１におけるネットワーク１３Ａ〜１３Ｃと、外部ネットワーク３とを接続するルータ装置である。
【００２４】
ネットワーク１３Ａは、例えばＣＩＤＲ記法を「１９２．１６８．１．０／２４」とし、企業ネットワークシステム１内のＮＡＴルータ１２と、ハニーネットワークシステム２内のＮＡＴルータ２０とが属するネットワークである。ネットワーク１３Ｂは、例えばＣＩＤＲ記法を「１９２．１６８．３．０／２４」とし、企業ネットワークシステム１内のサーバ１４Ａ、１４Ｂ…が属するネットワークである。
【００２５】
ネットワーク１３Ｃは、例えばＣＩＤＲ記法を「１９２．１６８．２．０／２４」とし、企業ネットワークシステム１内の端末１５Ａ、１５Ｂ、１５Ｃ…が属するネットワークである。ネットワーク１３Ｄは、例えばＣＩＤＲ記法を「１９２．１６８．４．０／２４」とし、オープンフロー・コントローラー１１が属するネットワークである。
【００２６】
なお、オープンフロー・スイッチ１０は、各ポートにおいて端末１５Ａ、１５Ｂ、１５Ｃ…と接続するとともに、所定のポートでネットワーク１３Ｄおよびハニーネットワークシステム２のネットワーク２１Ｂと接続する。
【００２７】
サーバ１４Ａ、１４Ｂ…は、企業ネットワークシステム１に属するＷｅｂサーバなどのサーバ装置である。なお、以後の説明では、サーバ１４Ａ、１４Ｂ…を特に区別しない場合はサーバ１４と称する場合がある。
【００２８】
端末１５Ａ、１５Ｂ、１５Ｃ…は、企業ネットワークシステム１に属し、ユーザーが利用するＰＣ（Personal  Computer）などの情報処理装置である。すなわち、端末１５Ａ、１５Ｂ、１５Ｃ…は、第１のシステムに属する情報処理装置の一例である。なお、以後の説明では、端末１５Ａ、１５Ｂ、１５Ｃ…を特に区別しない場合は端末１５と称する場合がある。
【００２９】
ハニーネットワークシステム２は、ＮＡＴルータ２０、端末２２Ａ、２２Ｂ…およびサーバ２３Ａ、サーバ２３Ｂ…を有する。
【００３０】
ＮＡＴルータ２０は、ＩＰアドレスなどを変換してネットワーク１３Ａと、ハニーネットワークシステム２におけるネットワーク２１Ａ、２１Ｂとを接続するルータ装置である。
【００３１】
ネットワーク２１Ａは、例えばＣＩＤＲ記法を「１９２．１６８．３．０／２４」とし、ハニーネットワークシステム２内のサーバ２３Ａ、２３Ｂ…が属するネットワークである。ネットワーク２１Ｂは、例えばＣＩＤＲ記法を「１９２．１６８．２．０／２４」とし、ハニーネットワークシステム２内の端末２２Ａ、２２Ｂ…が属するネットワークである。
【００３２】
端末２２Ａ、２２Ｂ…は、ハニーネットワークシステム２に属し、企業ネットワークシステム１における端末１５Ａ、１５Ｂ…に対応して用意された情報処理装置である。具体的には、端末２２Ａ、２２Ｂ…は、端末１５Ａ、１５Ｂ…と同様の「１９２．１６８．２．０／２４」のネットワーク２１Ｂにおいて、端末１５Ａ、１５Ｂの各々と同じネットワーク名やＩＰアドレスが設定されている。例えば、端末２２Ａは端末１５Ａと同じネットワーク名、ＩＰアドレスとし、端末２２Ｂは端末１５Ｂと同じネットワーク名、ＩＰアドレスとしている。なお、ＭＡＣアドレスについては、端末２２Ａと端末１５Ａ、端末２２Ｂと端末１５Ｂともに、互いに異なるものとなっている。なお、ＩＰアドレスについては、ＩＰｖ４の例で示しているが、ＩＰｖ６も同様の考え方で実施可能である。
【００３３】
サーバ２３Ａ、２３Ｂは、ハニーネットワークシステム２に属し、企業ネットワークシステム１におけるサーバ１４Ａ、１４Ｂ…に対応して用意されたサーバ装置である。具体的には、サーバ２３Ａ、２３Ｂ…は、サーバ１４Ａ、１４Ｂ…と同様の「１９２．１６８．３．０／２４」のネットワーク２１Ａにおいて、サーバ１４Ａ、１４Ｂの各々と同じネットワーク名やＩＰアドレスが設定されている。例えば、サーバ２３Ａはサーバ１４Ａと同じネットワーク名、ＩＰアドレスとし、サーバ２３Ｂはサーバ１４Ｂと同じネットワーク名、ＩＰアドレスとしている。なお、ＭＡＣアドレスについては、サーバ２３Ａとサーバ１４Ａ、サーバ２３Ｂとサーバ１４Ｂともに、互いに異なるものとなっている。
【００３４】
このように、ハニーネットワークシステム２における端末２２Ａ、２２Ｂ…の各々は企業ネットワークシステム１の端末１５Ａ、１５Ｂ…の各々を模し、ハニーネットワークシステム２のサーバ２３Ａ、２３Ｂの各々は企業ネットワークシステム１のサーバ１４Ａ、１４Ｂ…の各々を模しており、ハニーネットワークシステム２は、企業ネットワークシステム１を模したシステムである。
【００３５】
企業ネットワークシステム１のユーザー（例えばネットワーク管理者）は、マルウェアに感染した端末１５を検知していない場合には、企業ネットワークシステム１とハニーネットワークシステム２との間のパケットの送受信を遮断する通常モードで動作を行うフローテーブル１０３Ａをオープンフロー・コントローラー１１よりオープンフロー・スイッチ１０に設定する。よって、通常モードでは、オープンフロー・スイッチ１０により企業ネットワークシステム１とハニーネットワークシステム２との間のパケットの送受信が遮断される。
【００３６】
なお、マルウェアの検知プログラムなどによりマルウェアに感染した端末１５を検知したものとする（本実施形態では端末１５Ｃがマルウェアに感染したものとする）。この場合、ユーザーは、マルウェアに感染した端末１５Ｃの送受信パケットをハニーネットワークシステム２に向ける、デセプションモードで動作を行うフローテーブル１０３Ａをオープンフロー・コントローラー１１よりオープンフロー・スイッチ１０に設定する。
【００３７】
具体的には、フローテーブル１０３Ａを以下のように設定する。
・ハニーネットワークシステム２の端末２２からマルウェアに感染した端末１５ＣへのＡＲＰ（Address  Resolution  Protocol）フレームは、送信元ＭＡＣアドレスおよびプロトコル内の送信元ＭＡＣアドレス情報を端末２２のものから端末１５のものへ書き換える。
・ハニーネットワークシステム２の端末２２からマルウェアに感染した端末１５ＣへのＮＤＰ（Neighbor  Discovery  Protocol）パケットは、送信元ＭＡＣアドレスを端末２２のものから端末１５のものへ書き換える。Ｎｅｉｇｈｂｏｒ  Ｓｏｌｉｃｉｔａｔｉｏｎの場合はプロトコル内の送信元ＭＡＣアドレス情報を端末２２のものから端末１５のものへ書き換える。Ｎｅｉｂｏｒ  Ａｄｖｅｒｔｉｓｅｍｅｎｔの場合はプロトコル内のターゲットＭＡＣアドレス情報を端末２２のものから端末１５のものへ書き換える。
・ハニーネットワークシステム２のＮＡＴルータ２０からマルウェアに感染した端末１５ＣへのＡＲＰフレームは、送信元ＭＡＣアドレスおよびプロトコル内の送信元ＭＡＣアドレス情報を端末２２のものからＮＡＴルータ１２のものへ書き換える。
・ハニーネットワークシステム２のＮＡＴルータ２０からマルウェアに感染した端末１５ＣへのＮＤＰパケットは、送信元ＭＡＣアドレスを端末２２のものからＮＡＴルータ１２のものへ書き換える。Ｎｅｉｇｈｂｏｒ  Ｓｏｌｉｃｉｔａｔｉｏｎの場合はプロトコル内の送信元ＭＡＣアドレス情報を端末２２のものからＮＡＴルータ１２のものへ書き換える。Ｎｅｉｂｏｒ  Ａｄｖｅｒｔｉｓｅｍｅｎｔの場合はプロトコル内のターゲットＭＡＣアドレス情報を端末２２のものからＮＡＴルータ１２のものへ書き換える。
・マルウェアに感染した端末１５Ｃから端末１５Ａ、１５Ｂ…へのＡＲＰフレームは、送信先ＭＡＣアドレスおよびプロトコル内の送信先ＭＡＣアドレス情報を端末１５のものから端末２２のものへ書き換えハニーネットワークシステム２の端末２２Ａ、２２Ｂへ転送（出力ポート変更）する。
・マルウェアに感染した端末１５ＣからＮＡＴルータ１２へのＡＲＰフレームは、コピーしＮＡＴルータ１２およびオープンフロー・スイッチ１０ａに転送する。オープンフロー・スイッチ１０ａは送信先ＭＡＣアドレスおよびプロトコル内の送信先ＭＡＣアドレス情報をＮＡＴルータ１２のものからＮＡＴルータ２０のものへ書き換える。
・マルウェアに感染した端末１５Ｃから端末１５Ａ、１５Ｂ…への通信は、ハニーネットワークシステム２の端末２２Ａ、２２Ｂへ転送（出力ポート変更）する。この際に、送信先ＭＡＣアドレスを端末１５Ａ、１５Ｂ…のものから端末２２Ａ、２２Ｂ…のものへ書き換える。
・ハニーネットワークシステム２の端末２２からマルウェアに感染した端末１５Ｃへの通信は、送信元ＭＡＣアドレスを端末２２のものから端末１５のものへ書き換える。
・マルウェアに感染した端末１５Ｃから企業ネットワークシステム１の他のサブネット（例えばサーバ１４）への通信は、ハニーネットワークシステム２のＮＡＴルータ２０へ転送（出力ポート変更）する。この際に、送信先ＭＡＣアドレスをＮＡＴルータ１２のものからＮＡＴルータ２０のものへ書き換える。
・ハニーネットワークシステム２のサーバ２３からマルウェアに感染した端末１５Ｃへの通信は、送信元ＭＡＣアドレスをＮＡＴルータ２０のものからＮＡＴルータ１２のものへ書き換える。
・マルウェアに感染した端末１５Ｃから外部ネットワーク３宛の通信は、そのまま通過させる（通常モードと同様に通信経路を維持する）。
【００３８】
これにより、デセプションモードでは、オープンフロー・スイッチ１０およびオープンフロー・スイッチ１０ａによりマルウェアに感染した端末１５Ｃがハニーネットワークシステム２内に隔離される。具体的には、マルウェアに感染した端末１５Ｃを企業ネットワークシステム１からハニーネットワークシステム２に物理的に移し替えることなく、端末１５Ｃをネットワーク上でハニーネットワークシステム２に有るように論理的に移し替える。
【００３９】
このように、マルウェアに感染した端末１５Ｃがハニーネットワークシステム２内に隔離されることから、端末１５Ｃを踏み台とした攻撃が企業ネットワークシステム１内の他の機器に及ぶことを抑止できる。したがって、企業ネットワークシステム１のユーザー（例えばネットワーク管理者）は、マルウェアに感染した端末１５Ｃの挙動を安全に監視することができ、ＣＴＩを安全に収集することができる。
【００４０】
また、デセプションモードには、ユーザー（例えばネットワーク管理者）によるフローテーブル１０３Ａおよび条件情報１０３Ｂの設定により、デセプションモード（全部）と、デセプションモード（一部）とがある。
【００４１】
デセプションモード（全部）は、条件情報１０３Ｂの設定がなく、マルウェアに感染した端末１５Ｃに関するパケットの宛先をフローテーブル１０３Ａに基づいて全て書き換えるモードである。デセプションモード（一部）は、条件情報１０３Ｂの設定があり、条件情報１０３Ｂのルールに基づいて宛先アドレスごとに選択的にパケットの宛先アドレスを書き換えるモードである。
【００４２】
デセプションモード（一部）では、送信処理部１０２Ｂは、マルウェアが検知された端末１５Ｃからのパケットの宛先アドレスを、条件情報１０３Ｂのルールに基づいて宛先アドレスごとに選択的に、ハニーネットワークシステム２に属するサーバ２３、端末２２Ａ、２２Ｂ…に対応するアドレスに変更して送信する。
【００４３】
例えば、条件情報１０３Ｂには、企業ネットワークシステム１内におけるサーバ１４Ａ、１４Ｂ…および端末１５Ａ、１５Ｂ、１５Ｃ…の宛先アドレスごとに、ハニーネットワークシステム２への切り替えを行うか、ハニーネットワークシステム２への切り替えを行わずにそのままとするかのルールが示される。また、条件情報１０３Ｂには、パケットに含まれるデータの特徴が所定の条件を満たす場合に、ハニーネットワークシステム２への切り替えを行う（又はハニーネットワークシステム２への切り替えを行わずにそのままとする）ルールが示されてもよい。例えば、パケットに含まれるデータの特徴としては、所定のノード宛の通信データ、所定の通信ポートに関連する通信データ、所定の文字列を含む通信データなどがある。
【００４４】
これにより、不正アクセス等に関連するパケットが条件情報１０３Ｂのルールに基づいて選択的にハニーネットワークシステム２へ切り替わることになるので、攻撃者がハニーネットワークシステム２のノードにおける情報の不整合などに気づく機会を減少させることができる。
【００４５】
なお、デセプションモード（一部）において、送信処理部１０２Ｂは、マルウェアが検知された端末１５Ｃからの、サーバ１４、端末１５Ａ、１５Ｂ…宛のパケットについて、宛先アドレスの変更を行わずに送信する場合、送信するパケットの中の一部のパケットを間引いて送信してもよい。具体的には、送信処理部１０２Ｂは、宛先アドレスの変更を行わずに送信するパケットの中からランダムに一部のパケットを間引いて送信する。これにより、不正アクセス等に関連するパケットについて、宛先アドレスの変更を行わない場合には、パケットの間引きによりパケットの再配送を頻発させ、転送時間を増加させることができる。
【００４６】
ここで、オープンフロー・スイッチ１０、１０ａの動作について詳細に説明する。図３は、実施形態にかかる通信装置（オープンフロー・スイッチ１０、１０ａ）の動作例を示すフローチャートである。図３に示すように、処理が開始されると、制御部１０２は、オープンフロー・コントローラー１１の指示（設定）を受信し（Ｓ１）、指示されたフローテーブル１０３Ａおよび条件情報１０３Ｂを記憶部１０３へ格納する。
【００４７】
なお、フローテーブル１０３Ａの設定については、通常モードに対応するフローテーブル１０３Ａと、端末１５ごとに、デセプションモードに切り替えるためのフローテーブル１０３Ａとを予め記憶部１０３に格納しておいてもよい。この場合、Ｓ１では、通常モードであるか、所定の端末１５をデセプションモードに切り替えるかの指示を受信する。
【００４８】
次いで、制御部１０２は、Ｓ１で受信した指示をもとに、マルウェアが検知された端末１５（例えば端末１５Ｃ）を隔離する指示の有無を判定する（Ｓ２）。
【００４９】
具体的には、受信した指示が通常モードに対応するフローテーブル１０３Ａである場合（Ｓ２：ＮＯ）、制御部１０２は、指示されたフローテーブル１０３Ａを参照して通常モードで動作する（Ｓ３）。
【００５０】
また、受信した指示がマルウェアに感染した端末１５Ｃを隔離するデセプションモードに対応するフローテーブル１０３Ａである場合（Ｓ２：ＹＥＳ）、制御部１０２は、Ｓ４へ処理を進め、指示されたフローテーブル１０３Ａを参照してデセプションモードで動作する。
【００５１】
ついで、制御部１０２は、条件情報１０３Ｂの設定の有無をもとに、デセプションモードでの動作がデセプションモード（全部）であるか否かを判定する（Ｓ４）。条件情報１０３Ｂの設定がなく、デセプションモード（全部）である場合（Ｓ４：ＹＥＳ）、制御部１０２は、フローテーブル１０３Ａに基づき、書き換え対象となるパケット全ての書き換えを行うデセプションモード（全部）で動作する（Ｓ５）。
【００５２】
条件情報１０３Ｂの設定があり、デセプションモード（全部）でない場合（Ｓ４：ＮＯ）、制御部１０２は、条件情報１０３Ｂのルールに基づいて宛先アドレスごとに選択的に、フローテーブル１０３Ａに基づく書き換えを行うデセプションモード（部分）で動作する（Ｓ６）。これにより、制御部１０２は、マルウェアが検知された端末１５Ｃからのパケットの宛先アドレスを、条件情報１０３Ｂのルールに基づいて宛先アドレスごとに選択的に、ハニーネットワークシステム２に属するサーバ２３、端末２２Ａ、２２Ｂ…に対応するアドレスに書き換える。
【００５３】
図４は、通常モード、デセプションモードでの動作を説明する説明図である。
【００５４】
図４に示すように、通常モード（Ｓ３）では、オープンフロー・スイッチ１０、１０ａにおいて企業ネットワークシステム１とハニーネットワークシステム２との間のパケットの送受信が遮断される。なお、企業ネットワークシステム１内におけるパケットの送受信は通過される。
【００５５】
図５は、通常モードでの通信を説明する説明図である。図５に示すように、通常モードでは、例えば端末１５Ｃからサーバ１４Ａ、１４Ｂ…、端末１５Ａ、１５Ｂ、…および外部ネットワーク３への通信は通過される。
【００５６】
図４に戻り、デセプションモード（Ｓ４）では、オープンフロー・スイッチ１０、１０ａは、ハニーネットワークシステム２の端末２２Ａ、２２Ｂ…、ＮＡＴルータ２０からマルウェアに感染した端末１５Ｃへの通信（Ｓ４３）は、送信元ＭＡＣアドレスを端末２２Ａ、２２Ｂ、ＮＡＴルータ２０のものから端末１５Ａ、１５Ｂ…、ＮＡＴルータ１２のものへ書き換えて端末１５Ｃへ転送する。ＡＲＰフレームの場合、プロトコル内の送信元ＭＡＣアドレス情報も端末２２Ａ、２２Ｂ、ＮＡＴルータ２０のものから端末１５Ａ、１５Ｂ、ＮＡＴルータ１２のものへ書き換える。ＮＤＰパケットの場合、Ｎｅｉｇｈｂｏｒ  Ｓｏｌｉｃｉｔａｔｉｏｎの場合はプロトコル内の送信元ＭＡＣアドレス情報を端末２２Ａ、２２Ｂ…、ＮＡＴルータ２０のものから端末１５Ａ、１５Ｂ…、ＮＡＴルータ１２のものへ書き換える。Ｎｅｉｇｈｂｏｒ  Ａｄｖｅｒｔｉｓｅｍｅｎｔの場合はプロトコル内のターゲットＭＡＣアドレス情報を端末２２Ａ、２２Ｂ…、ＮＡＴルータ２０のものから端末１５Ａ、１５Ｂ…、ＮＡＴルータ１２のものへ書き換える。
【００５７】
また、オープンフロー・スイッチ１０、１０ａは、マルウェアに感染した端末１５Ｃから端末１５Ａ、１５Ｂ…への通信（Ｓ４０）は、ハニーネットワークシステム２の端末２２Ａ、２２Ｂ…へ転送（出力ポート変更）する。この際に、送信先ＭＡＣアドレスを端末１５Ａ、１５Ｂ…のものから端末２２Ａ、２２Ｂ…のものへ書き換える。ＡＲＰフレームの場合、プロトコル内の送信先ＭＡＣアドレス情報も端末１５Ａ、１５Ｂ…のものから端末２２Ａ、２２Ｂ…のものへ書き換える。
【００５８】
また、オープンフロー・スイッチ１０、１０ａは、マルウェアに感染した端末１５ＣからＮＡＴルータ１２への通信（Ｓ４１）は、コピーされハニーネットワークシステム２のＮＡＴルータ２０へも転送（複数出力ポート）する。この際に、送信先ＭＡＣアドレスをＮＡＴルータ１２のものからＮＡＴルータ２０のものへ書き換える。ＡＲＰフレームの場合、プロトコル内の送信先ＭＡＣアドレス情報もＮＡＴルータ１２のものからＮＡＴルータ２０のものへ書き換える。
【００５９】
また、オープンフロー・スイッチ１０、１０ａは、マルウェアに感染した端末１５Ｃからサーバ１４への通信（Ｓ４２）は、ハニーネットワークシステム２のＮＡＴルータ２０へ転送（出力ポート変更）する。この際に、送信先ＭＡＣアドレスをＮＡＴルータ１２のものからＮＡＴルータ２０のものへ書き換える。この際に、送信先ＭＡＣアドレスをＮＡＴルータ１２のものからＮＡＴルータ２０のものへ書き換える。これにより、マルウェアに感染した端末１５Ｃからサーバ１４への通信は、サーバ２３へ転送される。
【００６０】
また、オープンフロー・スイッチ１０、１０ａは、ハニーネットワークシステム２のサーバ２３からマルウェアに感染した端末１５Ｃへの通信（Ｓ４４）は、送信元ＭＡＣアドレスをＮＡＴルータ２０のものからＮＡＴルータ１２のものへ書き換えて端末１５Ｃへ送信する。
【００６１】
なお、デセプションモード（一部）の場合、オープンフロー・スイッチ１０、１０ａは、マルウェアが検知された端末１５Ｃからのパケットの宛先アドレスを、条件情報１０３Ｂのルールに基づいて宛先アドレスごとに選択的に、ハニーネットワークシステム２に属するサーバ２３、端末２２Ａ、２２Ｂ…に対応するアドレスに変更する。
【００６２】
図６は、デセプションモードでの通信を説明する説明図である。図６に示すように、デセプションモードでは、マルウェアに感染した端末１５Ｃがネットワーク上でハニーネットワークシステム２に有るように論理的に移し替えられる。
【００６３】
具体的には、端末１５Ｃからサーバ１４Ａ、１４Ｂに向けた通信がハニーネットワークシステム２においてサーバ１４Ａ、１４Ｂに対応する端末２２Ａ、２２Ｂに転送される。また、端末１５Ｃから端末１５Ａ、１５Ｂに向けた通信がハニーネットワークシステム２において端末１５Ａ、１５Ｂに対応する端末２２Ａ、２２Ｂに転送される。なお、端末１５Ｃから外部ネットワーク３宛の通信（例えばＣ＆Ｃサーバ４への通信）は、そのまま通過される。
【００６４】
以上のように、オープンフロー・スイッチ１０、１０ａは、企業ネットワークシステム１またはハニーネットワークシステム２に属する情報処理装置（端末１５または端末２２）が送信したパケットを受信する受信処理部１０２Ａを有する。また、オープンフロー・スイッチ１０は、企業ネットワークシステム１に属しマルウェアが検知された端末１５Ｃからサーバ１４、端末１５Ａ、１５Ｂ…宛のパケットを受信した場合、パケットの宛先アドレスをハニーネットワークシステム２に属するサーバ２３、端末２２Ａ、２２Ｂ…に対応するアドレスに変更して送信する送信処理部１０２Ｂを有する。
【００６５】
これにより、オープンフロー・スイッチ１０、１０ａは、企業ネットワークシステム１においてマルウェアに感染した端末１５Ｃから企業ネットワークシステム１内へのアクセスをハニーネットワークシステム２へ転送することで、端末１５を踏み台とした攻撃が企業ネットワークシステム１内の他の機器に及ぶことを抑止できる。したがって、企業ネットワークシステム１のユーザー（例えばネットワーク管理者）は、マルウェアに感染した端末１５Ｃの挙動を安全に監視することができ、ＣＴＩを安全に収集することができる。
【００６６】
また、送信処理部１０２Ｂは、ハニーネットワークシステム２に属する端末２２Ａ、２２Ｂから端末１５Ｃ宛のパケットを受信した場合に、送り元アドレス（例えばＭＡＣアドレス）を、企業ネットワークシステム１に属する端末１５Ａ、１５Ｂに対応するアドレスに変更して、端末１５Ｃへ送信する。また、送信処理部１０２Ｂは、ハニーネットワークシステム２に属するサーバ２３からＮＡＴルータ２０を経由して端末１５Ｃ宛のパケットを受信した場合に、送り元アドレス（例えばＭＡＣアドレス）を、企業ネットワークシステム１に属するＮＡＴルータ１２に対応するアドレスに変更して、端末１５Ｃへ送信する。これにより、オープンフロー・スイッチ１０は、ハニーネットワークシステム２に属する端末２２Ａ、２２Ｂ、サーバ２３から端末１５Ｃへのアクセスを端末１５Ｃへ転送することができる。
【００６７】
また、送信処理部１０２Ｂは、企業ネットワークシステム１においてマルウェアに感染した端末１５Ｃから受信したパケットが外部ネットワーク３宛である場合、パケットの宛先アドレスを変更せずに送信する。これにより、オープンフロー・スイッチ１０は、マルウェアに感染した端末１５Ｃと、Ｃ＆Ｃサーバ４との通信を継続させることができる。したがって、企業ネットワークシステム１のユーザー（例えばネットワーク管理者）は、マルウェアに感染した端末１５Ｃと、Ｃ＆Ｃサーバ４との通信を継続させた状態で端末１５Ｃの挙動を監視することができる。
【００６８】
また、送信処理部１０２Ｂは、マルウェアが検知された端末１５Ｃから端末１５Ａ宛のパケットを受信した場合、パケットの宛先アドレス（例えばＭＡＣアドレス）を、端末１５Ａに模した端末２２Ａに対応するアドレスに変更して端末２２Ａへ送信する。これにより、ユーザー（例えばネットワーク管理者）は、マルウェアが検知された端末１５Ｃから企業ネットワークシステム１を模したハニーネットワークシステム２内へのアクセスを監視して、安全にＣＴＩを収集することができる。
【００６９】
また、送信処理部１０２Ｂは、マルウェアが検知された端末１５Ｃからのパケットの宛先アドレスを、条件情報１０３Ｂのルールに基づいて宛先アドレスごとに選択的に、ハニーネットワークシステム２に属するサーバ２３、端末２２Ａ、２２Ｂ…に対応するアドレスに変更して送信する。
【００７０】
これにより、不正アクセス等に関連するパケットが条件情報１０３Ｂのルールに基づいて選択的にハニーネットワークシステム２へ切り替わることになるので、攻撃者がハニーネットワークシステム２のノードにおける情報の不整合などに気づく機会を減少させることができる。また、不正アクセス等に関連するパケットが選択的にハニーネットワークシステム２へ切り替わることで、企業ネットワークシステム１のユーザー（例えばネットワーク管理者）は、マルウェアが検知された端末１５Ｃの挙動を安全に監視することができ、ＣＴＩを安全に収集することができる。
【００７１】
また、送信処理部１０２Ｂは、マルウェアが検知された端末１５Ｃからの、サーバ１４、端末１５Ａ、１５Ｂ…宛のパケットについて、宛先アドレスの変更を行わずに送信する場合、送信するパケットの中の一部のパケットを間引いてサーバ１４、端末１５Ａ、１５Ｂ…へ送信する。これにより、ハニーネットワークシステム２への切り替えを行わないパケットについては、パケットの間引きによって不達となるパケットが生じ、パケットの再配送が頻発することとなり、転送に要する時間が増大する。例えば、マルウェアが検知された端末１５Ｃよりハニーネットワークシステム２以外のノードにファイル転送が行われる場合であっても、転送時間が増大することとなり、攻撃を妨害することができる。
【００７２】
また、送信処理部１０２Ｂは、マルウェアが検知された端末１５Ｃからの、サーバ１４、端末１５Ａ、１５Ｂ…宛のパケットに含まれるデータの特徴が条件情報１０３Ｂに設定された条件を満たす場合に、パケットの宛先アドレスをハニーネットワークシステム２に属するサーバ２３、端末２２Ａ、２２Ｂ…に対応するアドレスに変更する。例えば、条件情報１０３Ｂとしては、所定のノードや通信ポートに関連するデータを宛先を変更する条件として設定する。これにより、送信処理部１０２Ｂは、条件情報１０３Ｂの条件に該当するノードおよび通信ポートに関するパケットの宛先アドレスを選択的に切り替えることができる。
【００７３】
一例として、ＨＴＴＰ（HyperText  Transfer  Protocol）の通信ポートに関するパケットについては宛先を変更せず、ＦＴＰ（File  Transfer  Protocol）の通信ポートに関するパケットについては宛先の変更を行うように条件情報１０３Ｂを設定してもよい。この場合、ＦＴＰによるファイル転送などはハニーネットワークシステム２へ切り替え、ＨＴＴＰによるウェブ閲覧などはハニーネットワークシステム２に切り替えることなくそのままとする運用を行うことができる。また、ウェブサービスに関連するサーバのＩＰアドレス宛のパケットについては宛先を変更せず、データベースに関連するサーバのＩＰアドレス宛のパケットについては宛先を変更するように条件情報１０３Ｂを設定してもよい。この場合、データベースの閲覧などはハニーネットワークシステム２へ切り替え、ホームページ閲覧などはハニーネットワークシステム２に切り替えることなくそのままとする運用を行うことができる。
【００７４】
また、オープンフロー・コントローラー１１は、デセプションモードで動作を行うフローテーブル１０３Ａに次の内容を加えてオープンフロー・スイッチ１０に設定する。これにより、オープンフロー・スイッチ１０は、マルウェアに感染した情報処理装置（例えば端末１５Ｃ）に関するブロードキャストパケットに対処する。
【００７５】
具体的には、前述したフローテーブル１０３Ａの設定に以下の内容を加える。
・マルウェアに感染した情報処理装置（例えば端末１５Ｃ）が接続されるポートとハニーネットワークシステム２が接続されるポートをグループ化する。
・マルウェアに感染した情報処理装置からＡＲＰフレーム等のブロードキャストパケットを受信した場合に、ブロードキャストパケットをグループ化したポートに送信する。
・ハニーネットワークシステム２に属する情報処理装置（例えば端末２２Ａ、２２Ｂ）からブロードキャストパケットを受信した場合に、ブロードキャストパケットの送り元アドレス（ＭＡＣアドレス）を企業ネットワークシステム１に属する情報処理装置（端末２２Ａ、２２Ｂに対応する端末１５Ａ、１５Ｂ）のアドレスに変更する。ブロードキャストパケットがＡＲＰの場合、プロトコル内の送信元ＭＡＣアドレスを企業ネットワークシステム１に属する情報処理装置のＭＡＣアドレスに変更する。ＮＤＰパケットの場合プロトコル内の送信元ＭＡＣアドレス情報を企業ネットワークシステム１に属する情報処理装置のＭＡＣアドレスに変更する。次いで、アドレス変更後のブロードキャストパケットをグループ化したポートに送信する。
【００７６】
これにより、デセプションモードでは、オープンフロー・スイッチ１０によりマルウェアに感染した情報処理装置（例えば端末１５Ｃ）に関するブロードキャストパケットについてもハニーネットワークシステム２内に隔離される。したがって、企業ネットワークシステム１のユーザー（例えばネットワーク管理者）は、マルウェアに感染した情報処理装置の挙動を安全に監視することができ、ＣＴＩを安全に収集することができる。
【００７７】
ここで、マルウェアに感染した情報処理装置に関するブロードキャストパケットを隔離するオープンフロー・スイッチ１０の動作の詳細を説明する。なお、変形例では、「１９２．１６８．２．０／２４」のネットワーク１３Ｃに企業ネットワークシステム１内の端末１５Ａ、１５Ｂ、１５Ｃ、１５Ｄ…が属しているものとする。また、端末１５Ｃは、マルウェアに感染している端末であるものとする。また、「１９２．１６８．２．０／２４」のネットワーク２１Ｂには、マルウェアに感染している端末１５Ｃ以外の端末１５Ａ、１５Ｂ、１５Ｄ…を模した、ハニーネットワークシステム２内の端末２２Ａ、２２Ｂ、２２Ｃ…が属しているものとする。
【００７８】
図４に示すように、オープンフロー・スイッチ１０の制御部１０２は、フローテーブル１０３Ａの設定をもとに、マルウェアに感染した端末１５Ｃに対処すべくデセプションモードによる処理を開始する。
【００７９】
デセプションモードでは、前述したＳ５、６の処理に加え、制御部１０２は、Ｓ５〜Ｓ７の処理を行う。具体的には、制御部１０２は、ポート１００ａ〜１００ｆの中でマルウェアに感染した端末１５Ｃのポート１００ｄと、ハニーネットワークシステム２側のオープンフロー・スイッチ１０ａが接続されるポート１００ｆとを、同一のグループに属するものとグループ化する（Ｓ５）。
【００８０】
また、制御部１０２は、ハニーネットワークシステム２に属する端末２２Ａ、２２Ｂ、２２Ｃからブロードキャストパケットを受信した場合（Ｓ７）、ブロードキャストパケットの送信元アドレス（ＭＡＣアドレス）を端末２２Ａ、２２Ｂ、２２Ｃに対応する端末１５Ａ、１５Ｂ、１５Ｃのアドレスに変更する。ブロードキャストパケットがＡＲＰの場合、プロトコル内の送信元ＭＡＣアドレスを端末２２Ａ、２２Ｂ、２２Ｃに対応する端末１５Ａ、１５Ｂ、１５Ｃのアドレスに変更する。ＮＤＰパケットの場合プロトコル内の送信元ＭＡＣアドレス情報を端末２２Ａ、２２Ｂ、２２Ｃに対応する端末１５Ａ、１５Ｂ、１５Ｃのアドレスに変更する。次いで、アドレス変更後のブロードキャストパケットをグループ化したポートに送信する。次いで、送信処理部１０２Ｂは、アドレス変更後のブロードキャストパケットをグループ化したポート１００ｄに送信する。
【００８１】
また、送信処理部１０２Ｂは、マルウェアに感染した端末１５Ｃからのブロードキャストパケットを受信した場合（Ｓ６）、端末１５Ｃのポート１００ｄとグループ化したポート１００ｆにブロードキャストパケットを送信する。このとき、送信処理部１０２Ｂは、端末１５Ｃのポート１００ｄとグループ化されていない端末１５Ａ、１５Ｂ、１５Ｄのポート１００ｂ、１００ｃ、１００ｅにはブロードキャストパケットを送信しない。
【００８２】
また、オープンフロー・コントローラー１１は、マルウェアに感染した端末１５を検知し、検知した端末１５のハニーネットワークシステム２への隔離を自動で行ってもよい。図７は、隔離手順の一例を説明する説明図であり、より具体的には、マルウェアに感染した端末１５の検知・隔離を自動で行う手順の一例を示す図である。
【００８３】
図７に示すように、オープンフロー・コントローラー１１は、例えば、マルウェアに対するデコイとしてファイルサーバ等に格納された所定のファイルへのファイルアクセスを検知する（Ｓ８０）。これにより、オープンフロー・コントローラー１１は、企業ネットワークシステム１内の端末１５がマルウェアに感染したことを検知する。
【００８４】
次いで、オープンフロー・コントローラー１１は、ログサーチエンジンなどを用いてマルウェアに感染した端末１５を特定する（Ｓ８１）。次いで、オープンフロー・コントローラー１１は、企業ネットワークシステム１に対応するハニーネットワークシステム２を立ち上げるなどして準備する（Ｓ８２）。次いで、オープンフロー・コントローラー１１は、企業ネットワークシステム１内より特定した端末１５に対応する、ハニーネットワークシステム２の端末２２をシャットダウンする（Ｓ８３）。
【００８５】
なお、ハニーネットワークシステム２の準備に関する処理や、ハニーネットワークシステム２の端末２２をシャットダウンする処理は、オープンフロー・コントローラー１１とは別のコントローラ（例えばデセプション・コントローラやハイパーバイザー）が行ってもよい。
【００８６】
次いで、オープンフロー・コントローラー１１は、マルウェアに感染した端末１５をハニーネットワークシステム２に有るように論理的に移し替えるための、フローテーブル１０３Ａ、１０３Ｂを作成する（Ｓ８４）。
【００８７】
このとき、オープンフロー・コントローラー１１は、マルウェアに感染した端末１５に関する通信ログをもとに、条件情報１０３Ｂを作成してもよい。例えば、オープンフロー・コントローラー１１は、マルウェアに感染した端末１５と所定期間内（例えば１周間程度）において通信を行ったノード（サーバ１４Ａ、１４Ｂ…および端末１５Ａ、１５Ｂ、１５Ｃ…）については、宛先アドレスの変更を行わないものとする条件情報１０３Ｂを作成する。これにより、攻撃者がマルウェアに感染した端末１５を介して通信したものと思われるノードについては宛先アドレスを変更せずに、より攻撃者に気づかれないような運用とすることができる。
【００８８】
次いで、オープンフロー・コントローラー１１は、作成したフローテーブル１０３Ａ、条件情報１０３Ｂをオープンフロー・スイッチ１０に設定する。これにより、オープンフロー・スイッチ１０では、マルウェアに感染した端末１５Ｃがハニーネットワークシステム２内に隔離されるように、上述したデセプションモード（全部または一部）におけるパケット処理が行われる（Ｓ８５）。
【００８９】
なお、図示した各装置の各構成要素は、必ずしも物理的に図示の如く構成されていることを要しない。すなわち、各装置の分散・統合の具体的形態は図示のものに限られず、その全部または一部を、各種の負荷や使用状況などに応じて、任意の単位で機能的または物理的に分散・統合して構成することができる。
【００９０】
また、オープンフロー・スイッチ１０、１０ａ、オープンフロー・コントローラー１１等で行われる各種処理機能は、ＣＰＵ（またはＭＰＵ、ＭＣＵ（Micro  Controller  Unit）等のマイクロ・コンピュータ）上で、その全部または任意の一部を実行するようにしてもよい。また、各種処理機能は、ＣＰＵ（またはＭＰＵ、ＭＣＵ等のマイクロ・コンピュータ）で解析実行されるプログラム上、またはワイヤードロジックによるハードウエア上で、その全部または任意の一部を実行するようにしてもよいことは言うまでもない。
【００９１】
ところで、上記の実施形態で説明した各種の処理は、予め用意されたプログラムをコンピュータで実行することで実現できる。そこで、以下では、上記の実施形態と同様の機能を有するプログラムを実行するコンピュータ（ハードウエア）の一例を説明する。図８は、実施形態にかかる情報処理装置（又は、オープンフロー・スイッチ１０等の通信装置）のハードウエア構成例を示すブロック図である。
【００９２】
図８に示すように、情報処理装置２００は、各種演算処理を実行するＣＰＵ２０１と、記憶媒体からプログラム等を読み取る媒体読取装置２０２とを有する。また、情報処理装置２００は、各種装置と接続するためのインタフェース装置２０３と、有線または無線により外部機器と通信接続するための通信装置２０４とを有する。また、情報処理装置２００は、各種情報を一時記憶するＲＡＭ２０５と、ハードディスク装置２０６とを有する。また、情報処理装置２００内の各部（２０１〜２０６）は、バス２０７に接続される。
【００９３】
ハードディスク装置２０６には、上記の実施形態で説明した制御部１０２における受信処理部１０２Ａ、送信処理部１０２Ｂなどで各種の処理を実行するためのプログラム２１１が記憶される。また、ハードディスク装置２０６には、プログラム２１１が参照する各種データ２１２が記憶される。通信装置２０４は、ＬＡＮ（Local  Area  Network）等のネットワーク１３Ｃ、１３Ｄ、２１Ｂなど接続され、ネットワーク１３Ｃ、１３Ｄ、２１Ｂを介して装置間で各種情報をやりとりする。
【００９４】
ＣＰＵ２０１は、ハードディスク装置２０６に記憶されたプログラム２１１を読み出して、ＲＡＭ２０５に展開して実行することで、各種の処理を行う。なお、プログラム２１１は、ハードディスク装置２０６に記憶されていなくてもよい。例えば、情報処理装置２００が読み取り可能な記憶媒体に記憶されたプログラム２１１を読み出して実行するようにしてもよい。情報処理装置２００が読み取り可能な記憶媒体は、例えば、ＣＤ−ＲＯＭやＤＶＤディスク、ＵＳＢ（Universal  Serial  Bus）メモリ等の可搬型記録媒体、フラッシュメモリ等の半導体メモリ、ハードディスクドライブ等が対応する。また、公衆回線、インターネット、ＬＡＮ等に接続された装置にこのプログラム２１１を記憶させておき、情報処理装置２００がこれらからプログラム２１１を読み出して実行するようにしてもよい。
【００９５】
以上の実施形態に関し、さらに以下の付記を開示する。
【００９６】
（付記１）第１のシステムまたは第２のシステムに属する情報処理装置が送信したパケットを受信し、
前記第１のシステムに属しマルウェアが検知された第１の情報処理装置から、第２の情報処理装置宛のパケットを受信した場合に、前記パケットの宛先アドレスを、所定のルールに基づいて前記宛先アドレスごとに選択的に前記第２のシステムに属する第３の情報処理装置に対応するアドレスに変更して、前記第３の情報処理装置へ送信する、
処理をコンピュータに実行させることを特徴とするマルウェア検査支援プログラム。
【００９７】
（付記２）前記送信する処理は、前記第２の情報処理装置宛のパケットについて前記宛先アドレスの変更を行わずに送信する場合は、送信するパケットの中の一部のパケットを間引いて前記第２の情報処理装置へ送信する、
ことを特徴とする付記１に記載のマルウェア検査支援プログラム。
【００９８】
（付記３）前記送信する処理は、前記パケットに含まれるデータの特徴が所定の条件を満たす場合に、前記パケットの宛先アドレスを、前記第３の情報処理装置に対応するアドレスに変更する、
ことを特徴とする付記１または２に記載のマルウェア検査支援プログラム。
【００９９】
（付記４）第１のシステムまたは第２のシステムに属する情報処理装置が送信したパケットを受信し、
前記第１のシステムに属しマルウェアが検知された第１の情報処理装置から、第２の情報処理装置宛のパケットを受信した場合に、前記パケットの宛先アドレスを、所定のルールに基づいて前記宛先アドレスごとに選択的に、前記第２のシステムに属する第３の情報処理装置に対応するアドレスに変更して、前記第３の情報処理装置へ送信する、
処理をコンピュータが実行することを特徴とするマルウェア検査支援方法。
【０１００】
（付記５）前記送信する処理は、前記第２の情報処理装置宛のパケットについて前記宛先アドレスの変更を行わずに送信する場合は、送信するパケットの中の一部のパケットを間引いて前記第２の情報処理装置へ送信する、
ことを特徴とする付記４に記載のマルウェア検査支援方法。
【０１０１】
（付記６）前記送信する処理は、前記パケットに含まれるデータの特徴が所定の条件を満たす場合に、前記パケットの宛先アドレスを、前記第３の情報処理装置に対応するアドレスに変更する、
ことを特徴とする付記４または５に記載のマルウェア検査支援方法。
【０１０２】
（付記７）第１のシステムまたは第２のシステムに属する情報処理装置が送信したパケットを受信する受信部と、
前記第１のシステムに属しマルウェアが検知された第１の情報処理装置から、第２の情報処理装置宛のパケットを受信した場合に、前記パケットの宛先アドレスを、所定のルールに基づいて前記宛先アドレスごとに選択的に、前記第２のシステムに属する第３の情報処理装置に対応するアドレスに変更して、前記第３の情報処理装置へ送信する送信部と、
を有することを特徴とする通信装置。
【０１０３】
（付記８）前記送信部は、前記第２の情報処理装置宛のパケットについて前記宛先アドレスの変更を行わずに送信する場合は、送信するパケットの中の一部のパケットを間引いて前記第２の情報処理装置へ送信する、
ことを特徴とする付記７に記載の通信装置。
【０１０４】
（付記９）前記送信部は、前記パケットに含まれるデータの特徴が所定の条件を満たす場合に、前記パケットの宛先アドレスを、前記第３の情報処理装置に対応するアドレスに変更する、
ことを特徴とする付記７または８に記載の通信装置。
【符号の説明】
【０１０５】
１…企業ネットワークシステム
２…ハニーネットワークシステム
３…外部ネットワーク
４…Ｃ＆Ｃサーバ
５…外部ルータ
６…インターネット
１０、１０ａ…オープンフロー・スイッチ
１１…オープンフロー・コントローラー
１２、２０…ＮＡＴルータ
１３Ａ、１３Ｂ、１３Ｃ、１３Ｄ、２１Ａ、２１Ｂ…ネットワーク
１４、１４Ａ、１４Ｂ、２３、２３Ａ，２３Ｂ…サーバ
１５、１５Ａ、１５Ｂ、１５Ｃ、１５Ｄ、２２、２２Ａ、２２Ｂ、２２Ｃ…端末
１００ａ〜１００ｆ、１０１Ａ、１０１Ｂ…ポート
１０１…通信部
１０２…制御部
１０２Ａ…受信処理部
１０２Ｂ…送信処理部
１０３…記憶部
１０３Ａ…フローテーブル
１０３Ｂ…条件情報
２０１…ＣＰＵ
２０２…媒体読取装置
２０３…インタフェース装置
２０４…通信装置
２０５…ＲＡＭ
２０６…ハードディスク装置
２０７…バス
２１１…プログラム
２１２…各種データ
【図１】
2020108011.tif 000003
【図２】
2020108011.tif 000004
【図３】
2020108011.tif 000005
【図４】
2020108011.tif 000006
【図５】
2020108011.tif 000007
【図６】
2020108011.tif 000008
【図７】
2020108011.tif 000009
【図８】
2020108011.tif 000010