(57)【要約】      （修正有）【課題】ｈｔｔｐプロトコルなどの日常の業務に用いられる通信プロトコルを利用して攻撃指令が行われる場合であっても、マルウェアに感染した端末装置を特定することができる特定装置および特定方法を提供する。【解決手段】特定装置１は、Ｃ＆Ｃサーバ４から通信ネットワークＮＷ１を介して送信されたレスポンスメッセージａ２を端末装置３が受信したことを検知する。特定装置１は、レスポンスメッセージの受信を検知した後に、レスポンスメッセージを受信した端末装置３と、通信ネットワークＮＷ２を介して接続されている他の端末装置との間で行われる通信に関する情報ａ３を取得する。特定装置は、取得された通信に関する情報が、所定の条件を満たす場合に、レスポンスメッセージを受信した端末装置に異常が発生していると判断する。【選択図】図１
2020123004.tif 000002
【特許請求の範囲】
【請求項１】
サーバから第１通信ネットワークを介して送信されたメッセージを、対向装置が受信したことを検知するように構成された検知部と、
前記検知部が、前記メッセージの受信を検知した後に、前記メッセージを受信した前記対向装置と、第２通信ネットワークを介して接続されている複数の端末装置との間で行われる通信に関する情報を取得するように構成された通信情報取得部と、
取得された前記通信に関する情報が、所定の条件を満たす場合に、前記対向装置に異常が発生していると判断するように構成された判断部と
を備える特定装置。
【請求項２】
請求項１に記載の特定装置において、
前記判断部は、前記検知部が前記メッセージの受信を検知してから一定期間内に、前記所定の条件を満たす場合に、前記対向装置に異常が発生していると判断することを特徴とする特定装置。
【請求項３】
請求項１または請求項２に記載の特定装置において、
前記所定の条件は、前記対向装置と前記複数の端末装置との間で行われる前記第２通信ネットワークを介したデータの通信量に関する条件であることを特徴とする特定装置。
【請求項４】
請求項１から３のいずれか１項に記載の特定装置において、
前記所定の条件は、前記対向装置が前記第２通信ネットワークを介して一定数以上のパケットを送信したことを含むことを特徴とする特定装置。
【請求項５】
請求項４に記載の特定装置において、
前記対向装置が送信した前記一定数以上のパケット各々の送信先が異なることを特徴とする特定装置。
【請求項６】
請求項１から５のいずれか１項に記載の特定装置において、
前記所定の条件は、前記対向装置が前記第２通信ネットワークを介して一定数以上のパケットを受信したことを含むことを特徴とする特定装置。
【請求項７】
請求項６に記載の特定装置において、
前記対向装置が受信した前記一定数以上のパケット各々の送信元が異なることを特徴とする特定装置。
【請求項８】
請求項１から７のいずれか１項に記載の特定装置において、
前記サーバは、Ｃ＆Ｃサーバであり、
前記判断部は、前記異常が発生していると判断した前記対向装置が、マルウェアに感染している装置であると特定することを特徴とする特定装置。
【請求項９】
請求項１から８のいずれか１項に記載の特定装置において、
前記メッセージは、ｈｔｔｐプロトコルに基づくメッセージであることを特徴とする特定装置。
【請求項１０】
サーバから第１通信ネットワークを介して送信されたメッセージを、対向装置が受信したことを検知する検知ステップと、
前記検知ステップで、前記メッセージの受信が検知された後に、前記メッセージを受信した前記対向装置と、第２通信ネットワークを介して接続されている複数の端末装置との間で行われる通信に関する情報を取得する通信情報取得ステップと、
取得された前記通信に関する情報が、所定の条件を満たす場合に、前記対向装置に異常が発生していると判断する判断ステップと
を備える特定方法。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、特定装置および特定方法に関し、特にマルウェアに感染した端末装置を特定する技術に関する。
【背景技術】
【０００２】
近年、ボット（Ｂｏｔ）と呼ばれるマルウェアに感染したコンピュータが、攻撃者からの指令により、他のコンピュータ等に対して有害な動作を行う被害が増加している。また、Ｂｏｔによる攻撃の態様も巧妙化しており、その攻撃を検知することが困難になってきている。
【０００３】
従来、Ｂｏｔによる被害を防ぐために、Ｂｏｔに対して指令や制御を行うＣ＆Ｃ（Ｃｏｍｍａｎｄ  ａｎｄ  Ｃｏｎｔｒｏｌ）サーバなどの攻撃サーバのＩＰアドレスなどを調査してブラックリストを作成するアンチウイルス対策が用いられてきた。しかし、ブラックリストを用いた従来のアンチウイルス対策では、リストにない脅威には対応できないという問題があった。
【０００４】
そこで、攻撃者の多くが、Ｂｏｔに感染した端末装置に対して、Ｉｎｔｅｒｎｅｔ  Ｒｅｌａｙ  Ｃｈａｔ（ＩＲＣ）プロトコルを使用して攻撃指令を出していたことに着目したＢｏｔによる被害の防止技術が提案されている。
【０００５】
例えば、非特許文献１は、ＩＲＣプロトコルの特徴を利用して、Ｂｏｔの通信を監視し、ＩＲＣプロトコルを使用しているＢｏｔがＩＲＣサーバに接続する際にＩＲＣプロトコルで定められたコマンドを送信する特徴などを利用して、Ｂｏｔに感染した端末装置を特定する技術を開示している。
【先行技術文献】
【非特許文献】
【０００６】
【非特許文献１】荒谷  光，本間  将紘，金井  敦，斎藤  典明「ＩＲＣプロトコルを利用した攻撃者と感染端末の探索手法」コンピュータセキュリティシンポジウム２０１３論文集，２０１３（４），１３９−１４６（２０１３−１０−１４）
【発明の概要】
【発明が解決しようとする課題】
【０００７】
しかし、攻撃者がＩＲＣメッセージとは異なるプロトコル、例えば、ｈｔｔｐプロトコルなど日常の業務に用いられるプロトコルを利用するケースも存在してきている。このような場合、非特許文献１に開示された、ＩＲＣプロトコルが用いられることを前提とした技術では、Ｂｏｔなどのマルウェアに感染した端末装置を特定することが困難になってきている。
【０００８】
本発明は、上述した課題を解決するためになされたものであり、ｈｔｔｐプロトコルなどの日常の業務に用いられる通信プロトコルを利用して攻撃指令が行われる場合であっても、マルウェアに感染した端末装置を特定することができる特定装置および特定方法を提供することを目的とする。
【課題を解決するための手段】
【０００９】
上述した課題を解決するために、本発明に係る特定装置は、サーバから第１通信ネットワークを介して送信されたメッセージを、対向装置が受信したことを検知するように構成された検知部と、前記検知部が、前記メッセージの受信を検知した後に、前記メッセージを受信した前記対向装置と、第２通信ネットワークを介して接続されている複数の端末装置との間で行われる通信に関する情報を取得するように構成された通信情報取得部と、取得された前記通信に関する情報が、所定の条件を満たす場合に、前記対向装置に異常が発生していると判断するように構成された判断部とを備える。
【００１０】
また、本発明に係る特定装置において、前記判断部は、前記検知部が前記メッセージの受信を検知してから一定期間内に、前記所定の条件を満たす場合に、前記対向装置に異常が発生していると判断してもよい。
【００１１】
また、本発明に係る特定装置において、前記所定の条件は、前記対向装置と前記複数の端末装置との間で行われる前記第２通信ネットワークを介したデータの通信量に関する条件であってもよい。
【００１２】
また、本発明に係る特定装置において、前記所定の条件は、前記対向装置が前記第２通信ネットワークを介して一定数以上のパケットを送信したことを含んでいてもよい。
【００１３】
また、本発明に係る特定装置において、前記対向装置が送信した前記一定数以上のパケット各々の送信先が異なっていてもよい。
【００１４】
また、本発明に係る特定装置において、前記所定の条件は、前記対向装置が前記第２通信ネットワークを介して一定数以上のパケットを受信したことを含んでいてもよい。
【００１５】
また、本発明に係る特定装置において、前記対向装置が受信した前記一定数以上のパケット各々の送信元が異なっていてもよい。
【００１６】
また、本発明に係る特定装置において、前記サーバは、Ｃ＆Ｃサーバであり、前記判断部は、前記異常が発生していると判断した前記対向装置が、マルウェアに感染している装置であると特定してもよい。
【００１７】
また、本発明に係る特定装置において、前記メッセージは、ｈｔｔｐプロトコルに基づくメッセージであってもよい。
【００１８】
上述した課題を解決するために、本発明に係る特定方法は、サーバから第１通信ネットワークを介して送信されたメッセージを、対向装置が受信したことを検知する検知ステップと、前記検知ステップで、前記メッセージの受信が検知された後に、前記メッセージを受信した前記対向装置と、第２通信ネットワークを介して接続されている複数の端末装置との間で行われる通信に関する情報を取得する通信情報取得ステップと、取得された前記通信に関する情報が、所定の条件を満たす場合に、前記対向装置に異常が発生していると判断する判断ステップとを備える。
【発明の効果】
【００１９】
本発明によれば、サーバからのメッセージを対向装置が受信した後に、対向装置と複数の端末装置との間で行われる通信に関する情報が、所定の条件を満たす場合に、対向装置に異常が発生していると判断する。そのため、ｈｔｔｐプロトコルなどの日常の業務に用いられる通信プロトコルを利用して攻撃指令が行われる場合であっても、マルウェアに感染した端末装置を特定することができる。
【図面の簡単な説明】
【００２０】
【図１】図１は、本発明の実施の形態に係る特定装置を含む特定システムの構成を示すブロック図である。
【図２】図２は、本実施の形態に係る特定装置の構成を示すブロック図である。
【図３】図３は、本実施の形態に係る特定装置のハードウェア構成を示すブロック図である。
【図４】図４は、本実施の形態に係る特定装置の動作を説明するためのフローチャートである。
【発明を実施するための形態】
【００２１】
以下、本発明の好適な実施の形態について、図１から図４を参照して詳細に説明する。
［特定システムの構成］
本発明の実施の形態に係るマルウェアに感染した端末装置を特定する特定システムは、図１に示すように、特定装置１、通信装置２、端末装置３、およびＣ＆Ｃサーバ（サーバ）４を備える。
【００２２】
特定装置１、通信装置２、および端末装置３はＬＡＮなどの通信ネットワーク（第２通信ネットワーク）ＮＷ２を介して互いに接続されている。Ｂｏｔなどのマルウェアに感染し、踏み台ＰＣとなっている端末装置３と攻撃サーバであるＣ＆Ｃサーバ４とは、ＷＡＮ（例えばインターネット）などの通信ネットワーク（第１通信ネットワーク）ＮＷ１に接続されている。Ｃ＆Ｃサーバ４は、対向装置であるＢｏｔに感染した端末装置３（踏み台ＰＣ）との一対一の通信を行うことができる。
【００２３】
通信装置２は、例えば、ルータ、スイッチなどで構成され、ファイヤーウォール機器としての機能を有する。通信装置２は、ＬＡＮなど内部ネットワークである通信ネットワークＮＷ２内に設置された端末装置３を、インターネットなどの通信ネットワークＮＷ１側からの攻撃や不正アクセスから保護する。なお、本実施の形態では、通信装置２が備えるファイヤーウォールは、攻撃サーバであるＣ＆Ｃサーバ４とマルウェアに感染した端末装置３とのバックドア通信などの秘密裡に行われる通信を、不正アクセスとして検出することができないものとする。
【００２４】
本実施の形態では、攻撃者は、図１の破線の矢印ａ２に示すように、Ｃ＆Ｃサーバ４を経由して踏み台ＰＣとなっている端末装置３（対向装置）に指令情報を送る。この場合、まず攻撃者が通信装置２上のファイヤーウォールを突破するために、Ｂｏｔに感染した端末装置３は、Ｃ＆Ｃサーバ４に対して、ｈｔｔｐプロトコルを利用して独自に暗号化したリクエストメッセージを送信する（矢印ａ１）。Ｂｏｔに感染した端末装置３は、例えば、自身が通信可能であることを示すメッセージをＣ＆Ｃサーバ４に送り続ける。
【００２５】
攻撃サーバであるＣ＆Ｃサーバ４は、踏み台ＰＣである端末装置３から送信されたリクエストメッセージに対するｈｔｔｐプロトコルによるレスポンスメッセージを生成し、通信装置２が備えるファイヤーウォールを突破して、踏み台ＰＣである端末装置３にレスポンスメッセージを送信することができる（矢印ａ２）。
【００２６】
Ｃ＆Ｃサーバ４を介して送信されるレスポンスメッセージは、例えば、踏み台ＰＣである端末装置３と通信ネットワークＮＷ２で接続されている周辺の業務用のＰＣやファイルサーバなどの端末装置３のなかに、重要な情報を有する端末やサーバが無いかを調査する指令を含む。また、レスポンスメッセージは、踏み台ＰＣである端末装置３を介して通信ネットワークＮＷ２上に脆弱な端末が無いかどうかの調査を行う指令等を含む。このように、Ｃ＆Ｃサーバ４は、攻撃基盤を構築するために、踏み台ＰＣとなっている端末装置３との通信経路を確保し、通信ネットワークＮＷ２内の内部調査を行い、システム内の情報を収集して目的の情報を窃取するための捜索を行う。
【００２７】
Ｂｏｔに感染した端末装置３は、Ｃ＆Ｃサーバ４からのレスポンスメッセージを受信すると、通信ネットワークＮＷ２上の端末装置３に対して、レスポンスメッセージに含まれる指令に応じた調査のためのパケットを送信する（矢印ａ３）。このように、Ｃ＆Ｃサーバ４からのレスポンスメッセージを踏み台ＰＣである端末装置３が受信すると、受信後の一定の短い期間内に、通信ネットワークＮＷ２を介した他の端末装置３とのデータ通信量が増加する。これは、上述した攻撃者による踏み台ＰＣの遠隔操作に起因する。
【００２８】
本実施の形態に係る特定装置１は、攻撃サーバが踏み台ＰＣを遠隔操作して攻撃を行う際の上述したネットワークの動きを踏まえて、Ｂｏｔなどのマルウェアに感染した端末装置３を特定する。
【００２９】
より詳細には、特定装置１は、通信ネットワークＮＷ２上のいずれかの端末装置３が、ＷＡＮなどの通信ネットワークＮＷ１側からのｈｔｔｐプロトコルによるレスポンスメッセージを受信したことを検知する。このレスポンスメッセージは、端末装置３が通信装置２を介して通信ネットワークＮＷ１上のサーバなどにｈｔｔｐプロトコルを用いたリクエストメッセージを送信（図１の矢印ａ１）した際の応答である（図１の矢印ａ２）。
【００３０】
特定装置１は、レスポンスメッセージの検知から一定期間内にレスポンスメッセージを受信した端末装置３と他の端末装置３との間で一定数以上のパケットの送受信があった場合に（図１の矢印ａ３）、レスポンスメッセージを受信した端末装置３に異常が発生していると判断する。特定装置１は、異常が発生している端末装置３がＢｏｔなどのマルウェアに感染した踏み台ＰＣであると特定する。
【００３１】
［特定装置の構成］
次に、特定装置１の構成について図２を参照して説明する。
特定装置１は、応答検知部（検知部）１０、計時部１１、通信情報取得部１２、判断部１３、記憶部１４、および通知部１５を備える。
【００３２】
応答検知部１０は、Ｃ＆Ｃサーバ４から通信ネットワークＮＷ１を介して送信されたｈｔｔｐプロトコルによるレスポンスメッセージを対向装置である端末装置３が受信したことを検知する。応答検知部１０は、例えば、ルータなどで構成される通信装置２を介して送受信されるすべてのパケットをキャプチャする。応答検知部１０は、キャプチャしたパケットを解析して、ｈｔｔｐによるレスポンスメッセージを検知する。また、応答検知部１０は、検知したレスポンスメッセージに基づいて、そのレスポンスメッセージを受信した端末装置３に固有の識別情報を取得する。
【００３３】
応答検知部１０は、例えば、ｈｔｔｐによるレスポンスメッセージのパケットをキャプチャした場合、ＩＰパケットのヘッダに含まれるＩＰアドレスから、レスポンスメッセージを受信した端末装置３を識別することができる。
【００３４】
計時部１１は、応答検知部１０がレスポンスメッセージを検知した時刻を計時する。また、計時部１１は、レスポンスメッセージが検知された時刻から、予め設定された一定の期間を計時する。なお、レスポンスメッセージが検知された時刻とは、応答検知部１０が通信装置２においてレスポンスメッセージを検知した時刻、または、端末装置３がレスポンスメッセージを実際に受信した時刻である。
【００３５】
通信情報取得部１２は、応答検知部１０がレスポンスメッセージの受信を検知した後に、レスポンスメッセージを受信した端末装置３と、通信ネットワークＮＷ２を介して接続されている他の端末装置３との間で行われる通信に関する情報を取得する。より詳細には、通信情報取得部１２は、レスポンスメッセージを受信した端末装置３が、通信ネットワークＮＷ２を介して他の端末装置３と送受信するパケットをキャプチャして、レスポンスメッセージを受信した後に、他の端末装置３と送受信したパケット数などデータ通信量を解析する。
【００３６】
通信情報取得部１２は、キャプチャしたパケットを解析して、送信先や送信元となっている端末装置３に関する情報を取得することができる。
【００３７】
判断部１３は、通信情報取得部１２が取得した通信に関する情報が、所定の条件を満たす場合に、Ｃ＆Ｃサーバ４からのレスポンスメッセージを受信した対向装置である端末装置３に異常が発生していると判断する。例えば、判断部１３は、応答検知部１０がレスポンスメッセージを検知してから一定期間内に、データ通信量に関する所定の条件を満たす場合に、レスポンスメッセージを受信した端末装置３に異常が発生していると判断する。また、判断部１３は、異常が発生していると判断した端末装置３がＢｏｔなどのマルウェアに感染した踏み台ＰＣであることを特定する。
【００３８】
ここで、所定の条件とは、レスポンスメッセージを受信した端末装置３と他の端末装置３との間で行われる通信ネットワークＮＷ２を介したデータの通信量に関する条件である。例えば、応答検知部１０がレスポンスメッセージを検知してから一定期間内に、レスポンスメッセージを受信した端末装置３が通信ネットワークＮＷ２を介して一定数以上のパケットを受信したことを所定の条件として用いることができる。また、一定数以上のパケット各々の送信先が異なることを上記所定の条件に加えてもよい。
【００３９】
また、応答検知部１０がレスポンスメッセージを検知してから一定期間内に、レスポンスメッセージを受信した端末装置３が通信ネットワークＮＷ２を介して一定数以上のパケットを受信したことを所定の条件として用いてもよい。この場合、さらに、受信した一定数以上のパケット各々の送信元が異なることを上記所定の条件に加えてもよい。
【００４０】
判断部１３は、上記に例示した４つの所定の条件のうちのいずれか１つ、または、これらを組み合わせて、レスポンスメッセージを受信した端末装置３に異常が発生しているか否かを判断してもよい。また、判断部１３が判断に用いる、レスポンスメッセージを検知してからの一定期間内とは、例えば、数ｍｓなど比較的短い期間をいう。しかし、判断の基準とする期間の長さは各条件およびシステムの規模などに応じて最適な長さを設定すればよい。システムの規模によっては、例えば、１秒間などを一定期間として設定することができる。
【００４１】
記憶部１４は、応答検知部１０によってレスポンスメッセージが検知された時刻およびレスポンスメッセージを受信した端末装置３の識別情報を紐づけて記憶する。また、記憶部１４は、判断部１３が用いる所定の条件を記憶する。また、記憶部１４は、通信情報取得部１２が取得した通信ネットワークＮＷ２内での通信情報を記憶する。
【００４２】
通知部１５は、判断部１３によって異常が発生したものと判断された端末装置３が存在する場合に、その端末装置３に関する情報を含む通知を出力する。より詳細には、通知部１５は、特定装置１が備える図示されない表示画面等に、特定された端末装置３がＢｏｔなどのマルウェアに感染した踏み台ＰＣの恐れがあることを示す情報を表示させる。通知部１５は、通信ネットワークＮＷ２に設置されている図示されない管理サーバなどに通知を送信してもよい。
【００４３】
［特定装置のハードウェア構成］
次に、上述した構成を有する特定装置１のハードウェア構成の一例について、図３を参照して説明する。
【００４４】
図３に示すように、特定装置１は、例えば、バス１０１を介して接続されるＣＰＵ１０２、主記憶装置１０３、通信インターフェース１０４、補助記憶装置１０５、入出力インターフェース１０６を備えるコンピュータと、これらのハードウェア資源を制御するプログラムによって実現することができる。
【００４５】
主記憶装置１０３には、ＣＰＵ１０２が各種制御や演算を行うためのプログラムが予め格納されている。ＣＰＵ１０２と主記憶装置１０３とによって、図２に示した判断部１３など、特定装置１の各機能が実現される。
【００４６】
通信インターフェース１０４は、特定装置１と通信装置２や端末装置３などの各種外部電子機器との間をネットワーク接続するためのインターフェース回路である。
【００４７】
補助記憶装置１０５は、読み書き可能な記憶媒体と、その記憶媒体に対してプログラムやデータなどの各種情報を読み書きするための駆動装置とで構成されている。補助記憶装置１０５には、記憶媒体としてハードディスクやフラッシュメモリなどの半導体メモリを使用することができる。
【００４８】
補助記憶装置１０５は、特定装置１がＢｏｔに感染した端末装置３を特定するためのプログラムを格納するプログラム格納領域を有する。補助記憶装置１０５によって、図２で説明した記憶部１４が実現される。さらには、例えば、上述したデータやプログラムやなどをバックアップするためのバックアップ領域などを有していてもよい。
【００４９】
入出力インターフェース１０６は、外部機器からの信号を入力したり、外部機器へ信号を出力したりするＩ／Ｏ端子により構成される。
【００５０】
内蔵時計１０７は、現在時刻を計時する。内蔵時計１０７によって図２で説明した計時部１１が実現される。なお、内蔵時計１０７の代わりに図示されない外部のタイムサーバから現在時刻を取得する構成を用いてもよい。
【００５１】
［特定装置の動作］
次に上述した構成を有する特定装置１の動作について図４のフローチャートを参照して説明する。以下前提として、記憶部１４には、予め設定された所定の条件が記憶されているものとする。
【００５２】
まず、応答検知部１０は、通信ネットワークＮＷ２に設置された端末装置３に対して通信ネットワークＮＷ１側から送信されるｈｔｔｐによるレスポンスメッセージを検知する（ステップＳ１）。より詳細には、応答検知部１０は、通信装置２で送受信されるパケットをキャプチャしてレスポンスメッセージが端末装置３において受信されたことを検知する。また、応答検知部１０は、計時部１１を参照し、端末装置３がレスポンスメッセージを受信した時刻を取得する。
【００５３】
次に、応答検知部１０は、検知したレスポンスメッセージについてのＩＰパケットに含まれる宛先情報から、レスポンスメッセージを受信した端末装置３の識別情報を取得する（ステップＳ２）。応答検知部１０は、レスポンスメッセージを検知した時刻およびレスポンスメッセージを受信した端末装置３の識別情報を紐づけて記憶部１４に記憶する。
【００５４】
その後、通信情報取得部１２は、通信ネットワークＮＷ２において、レスポンスメッセージを受信した端末装置３と他の端末装置３との間で行われるデータの送受信に関する情報を取得する（ステップＳ３）。より詳細には、通信情報取得部１２は、通信ネットワークＮＷ２を流れるパケットをキャプチャして、レスポンスメッセージを受信した端末装置３から他の端末装置３に送信されるパケット数を示す情報を取得する。また、通信情報取得部１２は、キャプチャしたパケットのタイムタンプから各パケットの送信時刻を取得する。
【００５５】
次に、判断部１３は、ステップＳ３で取得されたパケット数を示す情報に基づいて、端末装置３がレスポンスメッセージを受信した時刻から一定期間内に、その端末装置３が一定数以上のパケットを送信した場合には（ステップＳ４：ＹＥＳ）、その端末装置３に異常が発生したと判断する（ステップＳ５）。すなわち、判断部１３は、ステップＳ１で応答検知部１０が通信ネットワークＮＷ１側からのレスポンスメッセージを検知した時刻から一定の短い期間内に、上記所定の条件を満たすか否かを判断する。また、判断部１３は、異常が発生していると判断した端末装置３がＢｏｔに感染した踏み台ＰＣであると特定する。
【００５６】
その後、通知部１５は、判断部１３によって異常が発生していると判断された端末装置３がＢｏｔに感染した踏み台ＰＣであることを示す通知を出力する（ステップＳ６）。例えば、通知部１５は、特定装置１が備える図示されない表示画面に通知を表示することができる。また、通知部１５は、通信ネットワークＮＷ２内に設置された管理サーバなど特定のＰＣに通知を送信してもよい。
【００５７】
なお、上記の例では、ステップＳ４において、判断部１３は、レスポンスメッセージを受信した端末装置３が一定期間内に一定数以上のパケットを送信したか否かを所定の条件として用いる場合について説明した。しかし、判断部１３は、上記に例示したデータ通信量に関する条件とは異なる条件を用いてもよい。例えば、判断部１３は、レスポンスメッセージを受信した端末装置３が一定期間内に一定数以上のパケットを受信したか否かを所定の条件として用いてもよい。
【００５８】
さらに、判断部１３は、一定数以上のパケットの送受信について、それらのパケット各々が異なる端末装置３への送信または受信であることを上記条件に加えてもよい。また、判断部１３は複数の条件を組み合わせてもよい。
【００５９】
また、判断部１３がステップＳ４において判断の基準とするレスポンスメッセージの受信が検知されてからの一定期間は、実際のシステムの規模や通信速度、実際に用いられる条件の詳細を考慮して適宜設定することができる。
【００６０】
以上説明したように、本実施の形態に係る特定装置１によれば、端末装置３がＷＡＮなどの通信ネットワークＮＷ１側からのレスポンスメッセージを受信してから一定の短い期間内でのパケットの送受信が増加した場合に、その端末装置３に異常が発生したと判断する。そのため、ＩＲＣプロトコル以外の日常の業務に用いられる通信プロトコルを利用して、攻撃サーバから踏み台ＰＣに指令情報が送信された場合であっても、Ｂｏｔに感染した踏み台ＰＣを特定することができる。
【００６１】
以上、本発明の特定装置および特定方法における実施の形態について説明したが、本発明は説明した実施の形態に限定されるものではなく、請求項に記載した発明の範囲において当業者が想定し得る各種の変形を行うことが可能である。
【００６２】
例えば、上述した実施の形態では、Ｃ＆Ｃサーバ４とＢｏｔなどのマルウェアに感染した踏み台ＰＣとは、ｈｔｔｐプロトコルによるリクエストおよびレスポンスをやり取りする具体例を挙げて説明した。しかし、Ｃ＆Ｃサーバ４から踏み台ＰＣに対して送信される指令情報が、ｈｔｔｐプロトコル以外のプロトコルを用いた場合であっても同様に本発明を適用することができる。
【００６３】
また、説明した実施の形態では、Ｂｏｔに感染した踏み台ＰＣがＣ＆Ｃサーバ４に対して送信するｈｔｔｐによるリクエストに対するレスポンスメッセージの受信を検知する場合について説明した（図４のステップＳ１）。しかし、特定装置１は、レスポンスメッセージの検知だけでなく、ＷＡＮ側に送信されるリクエストメッセージとそれに対するＷＡＮ側からのレスポンスメッセージの受信の両方のメッセージを検知してもよい。
【００６４】
また、説明した実施の形態では、特定装置１が備える各機能が１つのコンピュータによって実現され、ＬＡＮなどの通信ネットワークＮＷ２上に設置されている場合を例示した。しかし、特定装置１の各機能は、ネットワーク上に分散して構成されていてもよい。例えば、ＷＡＮ側からのｈｔｔｐによるレスポンスメッセージを検知する応答検知部１０をルータで構成される通信装置２に設けることができる。また、ＬＡＮ内の踏み台ＰＣと他の端末装置３とのデータ通信量に関する情報を取得する通信情報取得部１２の機能を、別途、ＬＡＮ内のコンピュータに設けてもよい。
【符号の説明】
【００６５】
１…特定装置、２…通信装置、３…端末装置、４…Ｃ＆Ｃサーバ、１０…応答検知部、１１…計時部、１２…通信情報取得部、１３…判断部、１４…記憶部、１５…通知部、１０１…バス、１０２…ＣＰＵ、１０３…主記憶装置、１０４…通信インターフェース、１０５…補助記憶装置、１０６…入出力インターフェース、１０７…内蔵時計、ＮＷ、ＮＷ１、ＮＷ２…通信ネットワーク。
【図１】
2020123004.tif 000003
【図２】
2020123004.tif 000004
【図３】
2020123004.tif 000005
【図４】
2020123004.tif 000006