(57)【要約】【課題】不正中継の監査にかかる処理時間を短縮できること。【解決手段】監査処理プログラムは、監査の対象となる複数のポートの内の特定のポートに対し、異なる処理速度のタイミングパラメータを用いて、それぞれの特定のポートがオープンの状態か否かをチェックする第一のオープンポートチェックを行い、第一のオープンポートチェックの結果により、タイミングパラメータを決定し、決定したタイミングパラメータを用いて監査の対象となる全てのポートに対して第二のオープンポートチェックを行い、抽出したオープンしているポートのみに対して監査処理を実施する。監査処理の前にオープンポートチェックを行うことで、オープンしていないポートに対してコマンド送出後に応答がない場合のタイムアウト時間相当を節約でき、その分全体の処理時間を短縮でき、例えば、１０ポートの場合、従来に比して１／１７の時間で済む。【選択図】図９
2020201533.tif 000002
【特許請求の範囲】
【請求項１】
監査の対象となる複数のポートの内の特定のポートに対し、異なる処理速度のタイミングパラメータを用いて、それぞれの前記特定のポートがオープンの状態か否かをチェックする第一のオープンポートチェックを行い、
前記第一のオープンポートチェックの結果により、前記タイミングパラメータを決定し、
決定した前記タイミングパラメータを用いて監査の対象となる全てのポートに対して第二のオープンポートチェックを行う、
処理をコンピュータに実行させることを特徴とする不正中継監査プログラム。
【請求項２】
前記第一のオープンポートチェックの結果、異なる処理速度のタイミングパラメータでそれぞれ前記ポートのオープンの状態が抽出された場合、抽出されたタイミングパラメータのうち最も遅い処理速度のタイミングパラメータに決定することを特徴とする請求項１に記載の不正中継監査プログラム。
【請求項３】
監査の対象となる前記ポートは、インターネット接続されたサーバの公開ポートであることを特徴とする請求項１または２に記載の不正中継監査プログラム。
【請求項４】
インターネット接続された複数の種別の前記サーバの公開ポートに対して、それぞれ前記第一のオープンポートチェックおよび前記第二のオープンポートチェックを行った後、
オープンしている前記ポートを抽出し、前記複数の種別のサーバの抽出したオープンしている前記ポートに対し順次、監査処理を実施する、
ことを特徴とする請求項１〜３のいずれか一つに記載の不正中継監査プログラム。
【請求項５】
監査の対象となる複数のポートの内の特定のポートに対し、異なる処理速度のタイミングパラメータを用いて、それぞれの前記特定のポートがオープンの状態か否かをチェックする第一のオープンポートチェックを行い、
前記第一のオープンポートチェックの結果により、前記タイミングパラメータを決定し、
決定した前記タイミングパラメータを用いて監査の対象となる全てのポートに対して第二のオープンポートチェックを行う、
処理をコンピュータが実行することを特徴とする不正中継監査方法。
【請求項６】
監査処理装置が監査の対象となる複数のポートに通信接続し、前記ポートの不正中継の監査処理を実行する不正中継監査システムにおいて、
前記監査処理装置は、
監査の対象となる複数のポートの内の特定のポートに対し、異なる処理速度のタイミングパラメータを用いて、それぞれの前記特定のポートがオープンの状態か否かをチェックする第一のオープンポートチェックを行い、前記第一のオープンポートチェックの結果により、前記タイミングパラメータを決定し、決定した前記タイミングパラメータを用いて監査の対象となる全てのポートに対して第二のオープンポートチェックを行い、
オープンしている前記ポートを抽出し、抽出したオープンしている前記ポートのみに対して監査処理を実施する制御部、
を備えたことを特徴とする不正中継監査システム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、各種サーバが不正中継として使用されていないか監査する不正中継監査プログラム、不正中継監査方法および不正中継監査システムに関する。
【背景技術】
【０００２】
インターネットに公開される顧客の各種サーバ環境は、不正中継の踏み台として不正利用される場合があり、この対策として監査ツールを用いてサーバにアクセスし、不正中継を監査する。監査ツールは、監査用のパーソナル・コンピュータ（ＰＣ）等にインストールされ、監査ツールからインターネットを経由して監査対象のサーバの公開ポートに通信接続した後、所定のコマンドを送信して監査を行う。監査対象のサーバは、例えば、メール、プロキシ、ＤＮＳ（Ｄｏｍａｉｎ  Ｎａｍｅ  Ｓｙｓｔｅｍ）等の各種サーバである。
【０００３】
不正中継の監査に関連する技術として、ターゲットネットワーク内のＩＰアドレス範囲のうち、稼働しているＩＰアドレス範囲のポートをポートスキャンする技術が開示されている（例えば、下記特許文献１参照。）。また、対象のＰＣの正規のサービスのポート番号を対象から除き、対象のポートにＳＹＮ（ＳＹＮｃｈｒｏｎｉｚｅ）パケットを送信した時の肯定応答の有無に基づき、対象ポートにコンピュータウィルスによるセキュリティホール発生の有無を判定する技術が開示されている（例えば、下記特許文献２参照。）。
【先行技術文献】
【特許文献】
【０００４】
【特許文献１】特表２００５−５１５５４１号公報
【特許文献２】特開２００５−２５２６９号公報
【発明の概要】
【発明が解決しようとする課題】
【０００５】
従来技術では、不正中継の監査にかかる処理時間を短縮できなかった。監査対象のサーバの公開ポートは、ＩＰプロトコルおよびサービスプロトコル別に複数あるが、従来の監査処理では、対象のポート全てに対して、監査ツールから所定のコマンドを送信するチェックを実施している。ここで、オープンしていないポートに対して送信したコマンドの応答がないため、タイムアウトに多くの時間が費やされてしまう。タイムアウト時間は、サーバのＯＳ（オペレーティング・システム）等の環境に依存する。
【０００６】
タイムアウト時間の変更は、ＯＳ上で動作する通信全体に影響を及ぼすため、設定を変更するのは現実的ではなく、タイムアウト時間を環境設定で速くすることは困難である。また、タイムアウト時間を変更できたとしても、毎回使用環境を構築する度に環境設定することは煩雑となり現実的ではない。
【０００７】
一つの側面では、本発明は、不正中継の監査にかかる処理時間を短縮できることを目的とする。
【課題を解決するための手段】
【０００８】
本発明の一側面によれば、監査の対象となる複数のポートの内の特定のポートに対し、異なる処理速度のタイミングパラメータを用いて、それぞれの前記特定のポートがオープンの状態か否かをチェックする第一のオープンポートチェックを行い、前記第一のオープンポートチェックの結果により、前記タイミングパラメータを決定し、決定した前記タイミングパラメータを用いて監査の対象となる全てのポートに対して第二のオープンポートチェックを行う、処理をコンピュータに実行させることを要件とする。
【発明の効果】
【０００９】
本発明の一態様によれば、不正中継の監査にかかる処理時間を短縮できるという効果を奏する。
【図面の簡単な説明】
【００１０】
【図１】図１は、本発明による不正中継監査処理の概要を説明する図である。
【図２】図２は、実施の形態にかかる不正中継監査システムの全体構成を示す図である。
【図３】図３は、実施の形態にかかる不正中継監査を行う対象ポート例を示す図表である。
【図４】図４は、実施の形態にかかる不正中継監査装置のハードウェア構成例を示す図である。
【図５】図５は、実施の形態にかかる不正中継監査装置の機能を示すブロック図である。
【図６】図６は、実施の形態にかかる不正中継監査の処理例を示すフローチャートである。
【図７】図７は、従来技術による監査処理を示すフローチャートである。
【図８】図８は、監査対象のポート全てがオープンしていない場合に従来技術で費やされる時間を示すタイムチャートである。
【図９】図９は、監査対象のポート全てがオープンしていない場合に実施の形態で費やされる時間を示すタイムチャートである。
【図１０】図１０は、監査対象のポートの一部がオープンしている場合に従来技術で費やされる時間を示すタイムチャートである。
【図１１】図１１は、監査対象のポートの一部がオープンしている場合に実施の形態で費やされる時間を示すタイムチャートである。
【図１２】図１２は、実施の形態にかかるオープンポートチェックで用いる各タイミングパラメータの設定例を示す図表である。
【図１３】図１３は、実施の形態にかかるオープンポートチェックのタイミングパラメータ選択例を説明する図表である。
【図１４】図１４は、実施の形態にかかるオープンポートチェックのタイミングパラメータ選択の処理例を示すフローチャートである。
【発明を実施するための形態】
【００１１】
（実施の形態）
以下に図面を参照して、開示の不正中継監査プログラム、不正中継監査方法および不正中継監査システムの実施の形態を詳細に説明する。
【００１２】
図１は、本発明による不正中継監査処理の概要を説明する図である。不正中継監査システム１００は、不正中継監査装置１０１と、サーバ１１１とを含む。サーバ１１１は、インターネットプロトコル（ＩＰ）のネットワーク（インターネット）ＮＷ上に公開される各種のサーバである。サーバ１１１は、例えば、メールサーバ、プロキシサーバ、ＤＮＳサーバ等であり、図１では、簡略化して１台のみを記載してある。
【００１３】
不正中継監査装置１０１は、ネットワークＮＷを介してサーバ１１１に通信接続し、サーバ１１１が不正中継の踏み台として不正利用されているか否かを、監査ツールを用いて監査する。
【００１４】
不正中継監査装置１０１は、ＣＰＵやメモリ１０２等を有するＰＣ等のコンピュータ装置を用いて構成でき、監査ツールの一部である不正中継監査プログラムＰは、メモリ１０２に格納されている。ＣＰＵがメモリ１０２等の記憶部に格納されている不正中継監査プログラムＰをプログラム実行することで、所定の監査処理を実行する。実施の形態では、不正中継監査プログラムＰは、監査処理として下記の処理１．〜処理３．を順次実行する。
【００１５】
処理１  ネットワークＮＷを介してサーバ１１１の監査対象のポートに対し、オープンポートチェックを行う。
処理２  上記の処理１のオープンポートチェックでオープンしているポートについてのみ、監査処理を実行する。
処理３  上記の処理２の監査処理の結果を取得し、出力する。
【００１６】
処理１では、不正中継監査プログラムＰは、監査対象のサーバ１１１のサービスプロトコルに対応するポート番号を指定してオープンポートチェック用の所定コマンド（ポートチェックコマンド）を送信する。サーバ１１１は、ポートチェックコマンドに対応してポート番号のポートが開放（オープン）であるか、閉じているか（クローズ）であるかを応答する。
【００１７】
処理２では、不正中継監査プログラムＰは、上記の処理１．の処理応答がオープンであるポートに対してのみ、所定の監査コマンドを送信する。
【００１８】
処理３では、監査コマンドを受信したサーバ１１１の応答に基づき、監査対象のポートの状態を取得し、不正中継の有無等を監査処理する。そして、監査処理の結果（データ）を出力する。出力は、不正中継監査装置１０１上の表示出力や、外部装置へのデータ転送等がある。
【００１９】
実施の形態では、上記のように、処理１によりサーバ１１１の監査対象のポートのオープンポートチェックの実施後に処理２の監査処理を実行する。したがって、処理１のオープンポートチェックで監査対象のポートのうちオープンしていないポートに対しては、処理２の監査処理（監査コマンドの発行）を行わない。
【００２０】
これにより、実施の形態の不正中継監査処理では、監査対象のポートに対してのみ効率的に監査処理を実施できる。そして、監査対象のポートのうちオープンしていない（閉じた）ポートで生じるタイムアウトに費やされる無駄な時間を省き、短時間で監査処理を実行できるようになる。
【００２１】
図２は、実施の形態にかかる不正中継監査システムの全体構成を示す図である。不正中継監査システム１００を構成する不正中継監査装置１０１は、ネットワークＮＷを介してインターネットに公開されている顧客のサーバ環境にアクセスする。図２に示す例の顧客のサーバ環境は、Ｗｅｂサーバ１１１ａ、ＤＮＳサーバ１１１ｂ、メールサーバ１１１ｃである。
【００２２】
上述したように、不正中継監査装置１０１は、ＣＰＵが監査ツールの一部である不正中継監査プログラムＰをプログラム実行することで、各サーバ環境１１１ａ〜１１１ｃにそれぞれ通信接続する。
【００２３】
例えば、不正中継監査装置１０１は、はじめに、Ｗｅｂサーバ１１１ａの公開ポートに通信接続し（ステップＳ２０１）、上記処理１のオープンポートチェックを実行する。この後、ＤＮＳサーバ１１１ｂの公開ポートに通信接続し（ステップＳ２０２）、上記処理１のオープンポートチェックを実行する。この後、メールサーバ１１１ｃの公開ポートに通信接続し（ステップＳ２０３）、上記処理１のオープンポートチェックを実行する。
【００２４】
この後、不正中継監査装置１０１は、上記処理２として、各サーバ１１１（１１１ａ〜１１１ｃ）に対するオープンポートチェックでオープンしているポートについてのみ、監査処理を順次実行する。この後、不正中継監査装置１０１は、上記処理３による監査処理の結果の取得と出力を行う。
【００２５】
図３は、実施の形態にかかる不正中継監査を行う対象ポート例を示す図表である。不正中継監査装置１０１は、図３に示す不正中継監査の対象ポート設定表３００をメモリ１０２に保持する。不正中継監査の対象ポート設定表３００は、上記各サーバ１１１の対象ポートのポート番号、ＩＰプロトコル、サービスプロトコル、の各情報を一覧化したものである。
【００２６】
例えば、１行目のポート番号「２５」、ＩＰプロトコル「ｔｃｐ」、サービスプロトコル「ＳＭＴＰ」は、図２のメールサーバ１１１ｃの公開ポートである。この１行目〜３行目のポート番号「５８７」、ＩＰプロトコル「ｔｃｐ」、サービスプロトコル「ＳＭＴＰ  Ｍｅｓｓａｇｅ  Ｓｕｂｍｉｓｓｉｏｎ」迄が不正中継監査対象であるメールサーバ１１１ｃの公開ポートである。
【００２７】
また、４行目のポート番号「８０」、ＩＰプロトコル「ｔｃｐ」、サービスプロトコル「ＨＴＴＰ」は、図２のＷｅｂ（プロキシ）サーバ１１１ａの公開ポートである。この４行目〜８行目のポート番号「１０４４３」、ＩＰプロトコル「ｔｃｐ」、サービスプロトコル「ＨＴＴＰＳ」迄が不正中継監査対象であるＷｅｂサーバ１１１ａの公開ポートである。
【００２８】
また、９行目のポート番号「５３」、ＩＰプロトコル「ｔｃｐ」、サービスプロトコル「ＤＮＳ」は、図２のＤＮＳサーバ１１１ｂの公開ポートである。この９行目〜１０行目のポート番号「５３」、ＩＰプロトコル「ｕｄｐ」、サービスプロトコル「ＤＮＳ」迄が不正中継監査対象であるＤＮＳサーバ１１１ｂの公開ポートである。
【００２９】
図４は、実施の形態にかかる不正中継監査装置のハードウェア構成例を示す図である。不正中継監査装置１０１は、例えば、図４に示すハードウェアからなる汎用のＰＣ等で構成することができる。
【００３０】
不正中継監査装置１０１は、ＣＰＵ（Ｃｅｎｔｒａｌ  Ｐｒｏｃｅｓｓｉｎｇ  Ｕｎｉｔ）４０１、メモリ４０２、ネットワークインタフェース（ＩＦ）４０３、記録媒体ＩＦ４０４、記録媒体４０５、を含む。４００は各部を接続するバスである。
【００３１】
ＣＰＵ４０１は、不正中継監査装置１０１の全体の制御を司る制御部として機能する演算処理装置である。メモリ４０２（図１の符号１０２に相当）は、不揮発性メモリおよび揮発性メモリを含む。不揮発性メモリは、例えば、ＣＰＵ４０１のプログラムを格納するＲＯＭ（Ｒｅａｄ  Ｏｎｌｙ  Ｍｅｍｏｒｙ）である。揮発性メモリは、例えば、ＣＰＵ４０１のワークエリアとして使用されるＤＲＡＭ（Ｄｙｎａｍｉｃ  Ｒａｎｄｏｍ  Ａｃｃｅｓｓ  Ｍｅｍｏｒｙ）、ＳＲＡＭ（Ｓｔａｔｉｃ  Ｒａｎｄｏｍ  Ａｃｃｅｓｓ  Ｍｅｍｏｒｙ）等である。
【００３２】
ネットワークＩＦ４０３は、ＬＡＮ（Ｌｏｃａｌ  Ａｒｅａ  Ｎｅｔｗｏｒｋ）、ＷＡＮ（Ｗｉｄｅ  Ａｒｅａ  Ｎｅｔｗｏｒｋ）、インターネットなどのネットワークＮＷに対する通信インタフェースである。不正中継監査装置１０１は、ネットワークＩＦ４０３を介してネットワークＮＷに通信接続する。例えば、不正中継監査装置１０１は、ネットワークＮＷを介して、顧客のサーバ１１１にアクセスする。
【００３３】
記録媒体ＩＦ４０４は、ＣＰＵ４０１が処理した情報を記録媒体４０５との間で読み書きするためのインタフェースである。記録媒体４０５は、メモリ４０２を補助する記録装置であり、ＨＤＤ（Ｈａｒｄ  Ｄｉｓｋ  Ｄｒｉｖｅ）や、ＳＳＤ（Ｓｏｌｉｄ  Ｓｔａｔｅ  Ｄｒｉｖｅ）、ＵＳＢ（Ｕｎｉｖｅｒｓａｌ  Ｓｅｒｉａｌ  Ｂｕｓ）フラッシュドライブ等を用いることができる。
【００３４】
メモリ４０２または記録媒体４０５に記録されたプログラムをＣＰＵ４０１が実行することにより、不正中継監査の処理機能を実現する。また、メモリ４０２や記録媒体４０５は、不正中継監査装置１０１が扱う情報を記録保持する。
【００３５】
図５は、実施の形態にかかる不正中継監査装置の機能を示すブロック図である。例えば、図４に記載の制御部（ＣＰＵ）４０１が不正中継監査プログラムＰをプログラム実行することで実現される監査処理の制御部５００の機能例を示す。
【００３６】
制御部５００は、オープンポートチェック部５０１、監査処理実行部５０２、監査結果取得部５０３を含む。オープンポートチェック部５０１は、対象ポート設定表３００（図３参照）の設定に基づき、各サーバ１１１（１１１ａ〜１１１ｃ）のポートに順次通信接続し、オープンポートチェック（上記の処理１）を実行する。
【００３７】
監査処理実行部５０２は、各サーバ１１１（１１１ａ〜１１１ｃ）に対するオープンポートチェックでオープンしているポートについてのみ、監査処理を順次実行する（上記の処理２）。例えば、所定の監査コマンドを送信する。
【００３８】
監査結果取得部５０３は、監査処理の結果を取得し、出力する（上記の処理３）。例えば、監査コマンドを受信したサーバ１１１の応答に基づき、監査対象のポートの状態を取得し、不正中継の有無等を監査処理する。この後、監査処理の結果（データ）を表示データ等で出力する。
【００３９】
図６は、実施の形態にかかる不正中継監査の処理例を示すフローチャートである。例えば、図４に記載の制御部（ＣＰＵ）４０１が不正中継監査プログラムＰをプログラム実行することで実現される制御部５００の処理例を示す。
【００４０】
はじめに、ＣＰＵ４０１は、対象ポート設定表３００（図３参照）の設定に基づき、各サーバ１１１（１１１ａ〜１１１ｃ）の対象ポート全てに順次通信接続し、オープンポートチェック（上記の処理１）を実行する（ステップＳ６０１）。
【００４１】
次に、ＣＰＵ４０１は、ステップＳ６０１の実行により、各サーバ１１１（１１１ａ〜１１１ｃ）に対するオープンポートチェックでオープンしているポートについてのみ、監査ツールによる監査処理（上記の処理２）を順次実行する（ステップＳ６０２）。例えば、所定の監査コマンドを送信する。
【００４２】
その後、ＣＰＵ４０１は、監査処理の結果を取得し、出力する（上記の処理３、ステップＳ６０３）。例えば、監査コマンドを受信したサーバ１１１の応答に基づき、監査対象のポートの状態を取得し、不正中継の有無等を監査処理する。そして、監査処理の結果（データ）を出力する。
【００４３】
上記処理によれば、ステップＳ６０２の監査処理の実行前に、ステップＳ６０１でサーバ１１１の監査対象のポートのオープンポートチェックを実施する。この際、監査対象のポートのうちオープンしていないポートに対してステップＳ６０２の監査処理（監査コマンドの発行）を行わない。これにより、監査対象のポートに対してのみ効率的に監査処理を実施でき、監査対象のポートのうちオープンしていないポートで生じるタイムアウトに費やされる無駄な時間を省き、短時間で監査処理を実行できるようになる。
【００４４】
（実施の形態と従来技術の処理時間の対比）
図７は、従来技術による監査処理を示すフローチャートである。従来技術では、監査処理装置等の監査ツールは、監査対象の各サーバ（図２のサーバ１１１（１１１ａ〜１１１ｃ））の対象ポート全てに順次通信接続し、監査処理（実施の形態の上記処理２相当）を実行する（ステップＳ７０１）。例えば、所定の監査コマンドを送信する。
【００４５】
その後、監査ツールは、監査処理の結果を取得し、出力する（実施の形態の上記処理３相当、ステップＳ７０２）。例えば、監査コマンドを受信したサーバ１１１の応答に基づき、監査対象のポートの状態を取得し、不正中継の有無等を監査処理する。そして、監査処理の結果（データ）を出力する。
【００４６】
従来技術では、ポートのオープン状況に関わらず、対象のポート全てに対して、監査ツールでチェックを実施している。このため、オープンしていないポートに関しては、タイムアウトに時間を費やす。
【００４７】
図８は、監査対象のポート全てがオープンしていない場合に従来技術で費やされる時間を示すタイムチャートである。図８には、例えば、１ＩＰの全ポートがオープンしていなかった場合、タイムアウトに費やされる時間の目安を示す。縦軸は処理対象の各ポート、横軸は処理時間（秒）である。
【００４８】
ＳＭＴＰ（２５／ｔｃｐ，４６５／ｔｃｐ，５８７／ｔｃｐ）は、７５秒×３ポート＝２２５秒（３分４５秒〉
プロキシ（８０／ｔｃｐ，８０８０／ｔｃｐ，４４３／ｔｃｐ，８４４３／ｔｃｐ，１０４４３／ｔｃｐ）は、１５０秒×５ポート＝７５０秒（１２分３０秒）
ＤＮＳ（５３／ｔｃｐ，５３／ｕｄｐ）は、３０秒（５３／ｔｃｐ）＋１５秒（５３／ｕｄｐ）＝４５秒
【００４９】
上記の例では、１ＩＰのタイムアウト合計時間は、２２５秒＋７５０秒＋４５秒＝１０２０秒＝１７分である。このため、仮に、１０ＩＰの全ポートがオープンしていない場合、単に待機するタイムアウト時間だけで１７０分（２時間５０分）も費やされてしまうことになる。
【００５０】
これに対し、実施の形態にかかる処理（図６参照）によれば、処理２の監査処理を実行する以前に、処理１で対象ポート全てに対してオープンポートチェックを実行し、オープンポートにのみ、処理２の監査処理を実行している。このように、オープンポートチェックを事前に実行することにより、オープンしていないポートのタイムアウト時間を節約することができる。
【００５１】
図９は、監査対象のポート全てがオープンしていない場合に実施の形態で費やされる時間を示すタイムチャートである。図９には、例えば、１ＩＰに対してオープンポートチェックを全１０ポートに実施し、全ポートがオープンしていなかった場合に費やされる時間の目安を示す。縦軸は処理対象の各ポート、横軸は処理時間（秒）である。
【００５２】
チェック×１０ポート（２５／ｔｃｐ，４６５／ｔｃｐ，５８７／ｔｃｐ，８０／ｔｃｐ，８０８０／ｔｃｐ，４４３／ｔｃｐ，８４４３／ｔｃｐ，１０４４３／ｔｃｐ，５３／ｔｃｐ，５３／ｕｄｐ）
【００５３】
上記の場合、オープンポートチェックは、５秒×１０ポート＝５０秒
オープンポートチェック後の監査処理にかかる処理時間は、１ポートあたり１秒×１０ポート＝約１０秒
このため、監査処理全体にかかる処理の合計時間は、５０秒＋１０秒＝６０秒（１分）
【００５４】
このように、実施の形態によれば、監査処理の時間を含めても従来技術の１７分に比べて１分で済み、監査処理にかかる全体の処理時間を１／１７に短縮できる。ここで、監査処理対象のＩＰ数増加に対して、１ＩＰ追加あたり６０秒の追加で済むため、ＩＰ数が増加するほど、時間短縮の効果が大きくなる。また、仮に、監査対象が１０ＩＰの場合、単純に倍数となり、１０分で済むため、従来の１７０分に比べ１／１７に短縮できる。
【００５５】
次に、一部のポートがオープンされている場合における従来技術と、実施の形態とで費やされる時間について説明する。一部のポートとして、８０／ｔｃｐ、４４３／ｔｃｐのポートがオープンされている場合、監査ツールでの監査処理は１秒ほどで終わる場合がある。ここでは、８０／ｔｃｐ、４４３／ｔｃｐのポートがオープンしていて、その監査処理時間が１秒であったことを例にした場合の、従来技術と実施の形態とで費やされる時間について説明する。なお、８０／ｔｃｐ、４４３／ｔｃｐ以外のポートはオープンされていないものとする。
【００５６】
図１０は、監査対象のポートの一部がオープンしている場合に従来技術で費やされる時間を示すタイムチャートである。図１０に示すように、オープンしている８０／ｔｃｐ、４４３／ｔｃｐのポートの監査処理はそれぞれ１秒で終了する。
【００５７】
オープンしていないポートについては、ＳＭＴＰ（２５／ｔｃｐ，４６５／ｔｃｐ，５８７／ｔｃｐ）は、７５秒×３ポート＝２２５秒（３分４５秒）
プロキシ（８０８０／ｔｃｐ，８４４３／ｔｃｐ，１０４４３／ｔｃｐ）は、１５０秒×３ポート＝４５０秒（７分３０秒）
ＤＮＳ（５３／ｔｃｐ，５３／ｕｄｐ）は、３０秒（５３／ｔｃｐ）＋１５秒（５３／ｕｄｐ）＝４５秒
上記の例では、１ＩＰの合計時間は、２２５秒＋４５０秒＋４５秒＋２秒＝７２２秒（１２分２秒）である。この値には、オープンしていないポートの監査処理は含まれていない。
【００５８】
図１１は、監査対象のポートの一部がオープンしている場合に実施の形態で費やされる時間を示すタイムチャートである。上記図１０の説明と同様に、オープンしている８０／ｔｃｐ、４４３／ｔｃｐのポートの監査処理はそれぞれ１秒で終了する。
【００５９】
また、チェック×１０ポート（２５／ｔｃｐ，４６５／ｔｃｐ，５８７／ｔｃｐ，８０／ｔｃｐ，８０８０／ｔｃｐ，４４３／ｔｃｐ，８４４３／ｔｃｐ，１０４４３／ｔｃｐ，５３／ｔｃｐ，５３／ｕｄｐ）
【００６０】
上記の場合、オープンポートチェックは、５秒×１０ポート＝５０秒
オープンポートチェック後の監査処理にかかる処理時間は、１ポートあたり１秒×１０ポート＝約１０秒
このため、監査処理全体にかかる処理の合計時間は、２秒＋５０秒＋１０秒＝６２秒
【００６１】
このように、実施の形態によれば、一部のポートがオープンしている場合においても、従来技術の７２２秒に比べて６２秒で済み、監査処理にかかる全体の処理時間を約１／１１に短縮できる。
【００６２】
（オープンポートチェック時のスキャンパラメータの決定手法）
次に、上述したオープンポートチェックによりオープンポートをチェックする際に、高速にスキャンするためのタイミングパラメータの決定方法について説明する。
【００６３】
オープンポートチェックでは、待機する時間をタイミングパラメータとして設定して実行する。このタイミングパラメータの設定を変更することでオープンポートチェックの処理速度が変わってくる。しかし、単に処理速度が速いパラメータを使うと、オープンポート検出を取りこぼしてしまう可能性もある。
【００６４】
図１２は、実施の形態にかかるオープンポートチェックで用いる各タイミングパラメータの設定例を示す図表である。不正中継監査装置１０１は、例えば、不正中継監査プログラムＰの処理実行時に、図１２に示すタイミングパラメータの設定表１２００のいずれかを選択し、選択した設定に対応する時間だけ待機を行う。
【００６５】
図１２に示すタイミングパラメータの設定表１２００の例では、タイミングパラメータＰ１〜Ｐ４が設定され、Ｐ１がオープンポートチェックにかける処理時間が最も低速であり、Ｐ４が最も高速である。例えば、Ｐ１は各通信で１０００ミリ秒待機し、Ｐ４は各通信で５０ミリ秒待機する。Ｐ４は、処理は早い半面、オープンポート検出を取りこぼす（オープンしているポートをクローズと誤認識する）可能性を有する。実施の形態では、このように処理時間（待機時間）が異なるタイミングパラメータＰ１〜Ｐ４のうち適したものを選択する処理を行う。
【００６６】
発明者らは、不正中継監査でオープンされているポートとして、４４３／ｔｃｐがオープンしていることが多いことに注目した。実施の形態の不正中継監査装置１０１では、この注目に基づき、代表として４４３／ｔｃｐに対してＰ４〜Ｐ１のタイミングパラメータでオープンポートチェックを実行させる。この際、オープンポート検出の取りこぼしを考慮し、ポートをオープンできたタイミングパラメータで２番目に早いタイミングパラメータを採用することとした。
【００６７】
図１３は、実施の形態にかかるオープンポートチェックのタイミングパラメータ選択例を説明する図表である。４４３／ｔｃｐオープンポートチェック結果によるタイミングパラメータの選択例を示す。各タイミングパラメータＰ４〜Ｐ１を用いた場合にポートをオープンできた場合（〇印）、およびポートをオープンできなかった場合（×印）を示している。
【００６８】
例えば、最も早いＰ４でオープンポートチェックを行い、次第に遅いＰ３〜Ｐ１の順でオープンポートチェックを行う。これとは逆に、処理が最も遅いＰ１でオープンポートチェックを行い、次第に早いＰ２〜Ｐ４の順でオープンポートチェックを行ってもよい。
【００６９】
そして、１段目に示すように、タイミングパラメータＰ４，Ｐ３いずれでもポートをオープンできた場合には、ポートをオープンできたタイミングパラメータＰ４，Ｐ３のうち２番目に早いタイミングパラメータＰ３を選択することを決定する。この場合、残るタイミングパラメータＰ２，Ｐ１によるオープンポートチェックは実施不要にできる。
【００７０】
また、２段目に示すように、タイミングパラメータＰ３，Ｐ２いずれでもポートをオープンできたとする。この場合には、ポートをオープンできたタイミングパラメータＰ３，Ｐ２のうち２番目に早いタイミングパラメータＰ２を選択することを決定する。なお、この場合、残るタイミングパラメータＰ１によるオープンポートチェックは実施不要である。
【００７１】
また、タイミングパラメータＰ２でポートをオープンできたとする。この場合には、ポートをオープンできたタイミングパラメータＰ２の一つ下（２番目に早い）タイミングパラメータＰ１を選択することを決定する。この場合でも、タイミングパラメータＰ１によるオープンポートチェックは実施不要のまま選択決定できる。
【００７２】
また、４段目に示すように、例えば、タイミングパラメータＰ４，Ｐ３，Ｐ２ではいずれもポートをオープンできなかった場合、残るタイミングパラメータＰ１を選択することを決定する。この場合、タイミングパラメータＰ１によるオープンポートチェックは実施不要のまま選択決定する。
【００７３】
図１４は、実施の形態にかかるオープンポートチェックのタイミングパラメータ選択の処理例を示すフローチャートである。不正中継監査装置１０１の制御部５００（ＣＰＵ４０１）が実行する処理例を説明する。
【００７４】
以下の処理では、制御部５００は、監査の対象となる複数のポートの内の特定のポートに対し、異なる処理速度のタイミングパラメータを用いて、それぞれの特定のポートがオープンの状態か否かをチェックする第一のオープンポートチェックを行う。そして、第一のオープンポートチェックの結果により、タイミングパラメータを決定し、決定したタイミングパラメータを用いて監査の対象となる全てのポートに対して第二のオープンポートチェックを行う。
【００７５】
第一のオープンポートチェックでは、制御部５００は、タイミングパラメータの設定表１２００（図１２参照）で設定されたタイミングパラメータＰ１〜Ｐ４のうち最適なものを選択する。なお、この処理例では、タイミングパラメータ選択時において、タイミングパラメータＰ２〜Ｐ４によるオープンポートチェックを実施し、オープンポートチェックの処理が最も遅いタイミングパラメータＰ１についてはオープンポートチェックの処理を実施しない。
【００７６】
はじめに、制御部５００は、監査対象のサーバ１１１の特定のポート（上記の４４３／ｔｃｐ）にアクセスし、タイミングパラメータＰ２でオープンポートチェックを行う（ステップＳ１４０１）。そして、制御部５００は、タイミングパラメータＰ２でポートをオープンできたか判断する（ステップＳ１４０２）。タイミングパラメータＰ２でポートをオープンできれば（ステップＳ１４０２：Ｙｅｓ）、ステップＳ１４０３の処理に移行し、タイミングパラメータＰ２でポートをオープンできなければ（ステップＳ１４０２：Ｎｏ）、ステップＳ１４０９の処理に移行する。
【００７７】
ステップＳ１４０３では、制御部５００は、４４３／ｔｃｐのポートに対してタイミングパラメータＰ４でオープンポートチェックを行った後（ステップＳ１４０３）、タイミングパラメータＰ３でオープンポートチェックを行う（ステップＳ１４０４）。
【００７８】
そして、制御部５００は、タイミングパラメータＰ４とＰ３でポートをオープンできたかを判断する（ステップＳ１４０５）。タイミングパラメータＰ４とＰ３でポートをオープンできれば（ステップＳ１４０５：Ｙｅｓ）、制御部５００は、タイミングパラメータをＰ３に決定し（ステップＳ１４０６）、ステップＳ１４１０の処理に移行する。一方、タイミングパラメータＰ４とＰ３のいずれかでポートをオープンできなければ（ステップＳ１４０５：Ｎｏ）、制御部５００は、ステップＳ１４０７の処理に移行する。
【００７９】
ステップＳ１４０７では、制御部５００は、タイミングパラメータＰ３とＰ２でポートをオープンできたかを判断する（ステップＳ１４０７）。タイミングパラメータＰ３とＰ２でポートをオープンできれば（ステップＳ１４０７：Ｙｅｓ）、制御部５００は、タイミングパラメータをＰ２に決定し（ステップＳ１４０８）、ステップＳ１４１０の処理に移行する。一方、タイミングパラメータＰ３とＰ２のいずれかでポートをオープンできなければ（ステップＳ１４０７：Ｎｏ）、制御部５００は、ステップＳ１４０９の処理に移行する。ステップＳ１４０９では、制御部５００は、タイミングパラメータをＰ１に決定する（ステップＳ１４０９）。
【００８０】
次に、第二のオープンポートチェックとして、制御部５００は、以上の処理で決定したタイミングパラメータを用い、サーバ１１１の全対象ポート（この場合、上記処理済みの４４３／ｔｃｐ以外）に対してオープンポートチェックを実施する（ステップＳ１４１０）。
【００８１】
この後、制御部５００は、以上の処理でポートがオープンと判断されたオープンポートに対してのみ監査ツール（監査処理）を実施する（ステップＳ１４１１）。そして、制御部５００は、監査結果を取得し（ステップＳ１４１２）、以上の処理を終了する。
【００８２】
上記の処理実行により、１ＩＰに対して、処理速度が最も遅いタイミングパラメータＰ１が選択された状態で、全ポートがオープンしていなかった場合に費やされる時間は下記となる。
【００８３】
チェック×１０ポート（２５／ｔｃｐ，４６５／ｔｃｐ，５８７／ｔｃｐ，８０／ｔｃｐ，８０８０／ｔｃｐ，４４３／ｔｃｐ，８４４３／ｔｃｐ，１０４４３／ｔｃｐ，５３／ｔｃｐ，５３／ｕｄｐ）
５秒×１０ポート＝５０秒
オープンポートチェック後の監査処理にかかる処理時間は、約１０秒
合計時間５０秒＋１０秒＝６０秒＝１分
【００８４】
実施の形態によれば、処理速度が最も遅いタイミングパラメータＰ１が選択された状態で、全ポート（１０ポート）がオープンしていなかった場合でもオープンポートチェックおよび監査処理は１分で終了する。そして、従来技術の１７分に比べ、監査処理にかかる全体の処理時間を１／１７に短縮できる。ここで、監査処理対象のＩＰ数増加に対して、１ＩＰ追加あたり６０秒の追加で済むため、ＩＰ数が増加するほど、時間短縮の効果が大きくなる。また、仮に、監査対象が１０ＩＰの場合、単純に倍数となり、１０分で済むため、従来の１７０分に比べ１／１７に短縮できる。
【００８５】
また、上記の処理実行により、１ＩＰに対して、処理速度が２番目に遅いタイミングパラメータＰ２が選択された状態で、全ポートがオープンしていなかった場合に費やされる時間は下記となる。
【００８６】
チェック×１０ポート（２５／ｔｃｐ，４６５／ｔｃｐ，５８７／ｔｃｐ，８０／ｔｃｐ，８０８０／ｔｃｐ，４４３／ｔｃｐ，８４４３／ｔｃｐ，１０４４３／ｔｃｐ，５３／ｔｃｐ，５３／ｕｄｐ）
２．５秒×１０ポート＝２５秒
オープンポートチェック後の監査処理にかかる処理時間は、約１０秒
合計時間は、２５秒＋１０秒＝３５秒
【００８７】
実施の形態によれば、処理速度が２番目に遅いタイミングパラメータＰ２が選択された状態で、全ポート（１０ポート）がオープンしていなかった場合でもオープンポートチェックおよび監査処理は３５秒で終了する。そして、従来技術の１７分に比べ、監査処理にかかる全体の処理時間を１／２９に短縮できる。ここで、監査処理対象のＩＰ数増加に対して、１ＩＰ追加あたり３５秒の追加で済むため、ＩＰ数が増加するほど、時間短縮の効果が大きくなる。また、仮に、監査対象が１０ＩＰの場合、単純に倍数となり、３５０秒（５分５０秒）で済むため、従来の１７０分に比べ１／２９に短縮できる。
【００８８】
以上説明した実施の形態によれば、監査の対象となる複数のポートに対し、オープンしているか否かのオープンポートチェックを行い、オープンしている前記ポートを抽出し、抽出したオープンの前記ポートのみに対して監査処理を実施する。このように、監査処理を実行する以前に、対象ポート全てに対してオープンポートチェックを実行することにより、オープンしていないポートのタイムアウト時間を節約することができ、監査処理全体にかかる処理時間を短縮できるようになる。この点、従来技術では、オープンポートチェックを実行しない場合、オープンしていないポートに監査用の所定のコマンドを送信してもタイムアウト時間まで応答を待機することになり、監査処理に時間がかかり時間短縮できなかった。実施の形態によれば、監査の対象となるポート数が多いほど従来に比べて監査処理全体にかかる処理時間の短縮効果が大きい。
【００８９】
また、オープンポートチェックは、監査の対象となる複数のポートの内の特定のポートに対し、異なる処理速度のタイミングパラメータを用いてそれぞれ行い、オープンポートチェックの結果により、前記タイミングパラメータを決定する。そして、決定したタイミングパラメータを用いて監査の対象となる全てのポートに対するオープンポートチェックを行ってもよい。これにより、複数のポートの応答に対応した適切なタイミングパラメータを用いてオープンポートチェックを円滑に行うことができるようになる。
【００９０】
また、オープンポートチェックの結果、異なる処理速度のタイミングパラメータでそれぞれポートのオープンが抽出された場合、抽出されたタイミングパラメータのうち最も遅い処理速度のタイミングパラメータに決定してもよい。例えば、単に処理速度が速いタイミングパラメータを用いた場合にポートのオープン検出を取りこぼす可能性を未然に防ぐことができる。
【００９１】
また、監査の対象となるポートは、インターネット接続されたサーバの公開ポートである。インターネット接続されたサーバの公開ポートは、不正中継の踏み台として不正利用されるおそれがある。実施の形態では、これら複数のポートに対し、一括してオープンポートチェックを行うことができ、効率的に監査処理を行えるようになる。
【００９２】
また、インターネット接続された複数の種別のサーバの公開ポートに対して、それぞれ前記オープンポートチェックを行った後、オープンしているポートを抽出し、複数の種別のサーバの抽出したオープンのポートに対し順次、監査処理を実施してもよい。監査対象となるサーバの公開ポートは、ＩＰプロトコルおよびサービスプロトコル別に、メールサーバ、Ｗｅｂサーバ、プロキシサーバ、ＤＮＳサーバ等各種がある。実施の形態によれば、これら複数のサーバの複数のポートに対し、一括してオープンポートチェックを行うことができ、オープンしているポートを対象に効率的に監査処理を行えるようになる。
【００９３】
これらのことから、実施の形態によれば、不正中継の監査にかかる処理時間を短縮できるようになる。実施の形態では、オープンポートチェックを行いオープンしているポートに対して監査処理を実行している。この点、従来技術のように、対象のポート全てに対して、所定のコマンドを送信して監査処理を行った場合、オープンしていないポートに対して送信したコマンドの応答がない場合のタイムアウトを待つ必要がなく、高速にオープンポートチェックを終了できる。また、実施の形態によれば、サーバのＯＳ等の環境に依存するタイムアウト時間の変更を行う必要がなく、監査処理全体の処理時間を短縮できるようになる。
【００９４】
なお、本発明の実施の形態で説明した不正中継監査にかかる方法は、あらかじめ用意されたプログラムをサーバ等のプロセッサに実行させることにより実現することができる。本方法は、ハードディスク、フレキシブルディスク、ＣＤ−ＲＯＭ（Ｃｏｍｐａｃｔ  Ｄｉｓｃ−Ｒｅａｄ  Ｏｎｌｙ  Ｍｅｍｏｒｙ）、ＤＶＤ（Ｄｉｇｉｔａｌ  Ｖｅｒｓａｔｉｌｅ  Ｄｉｓｋ）、フラッシュメモリ等のコンピュータで読み取り可能な記録媒体に記録され、コンピュータによって記録媒体から読み出されることによって実行される。また本方法は、インターネット等のネットワークを介して配布してもよい。
【００９５】
上述した実施の形態に関し、さらに以下の付記を開示する。
【００９６】
（付記１）監査の対象となる複数のポートの内の特定のポートに対し、異なる処理速度のタイミングパラメータを用いて、それぞれの前記特定のポートがオープンの状態か否かをチェックする第一のオープンポートチェックを行い、
前記第一のオープンポートチェックの結果により、前記タイミングパラメータを決定し、
決定した前記タイミングパラメータを用いて監査の対象となる全てのポートに対して第二のオープンポートチェックを行う、
処理をコンピュータに実行させることを特徴とする不正中継監査プログラム。
【００９７】
（付記２）前記第一のオープンポートチェックの結果、異なる処理速度のタイミングパラメータでそれぞれ前記ポートのオープンの状態が抽出された場合、抽出されたタイミングパラメータのうち最も遅い処理速度のタイミングパラメータに決定することを特徴とする付記１に記載の不正中継監査プログラム。
【００９８】
（付記３）監査の対象となる前記ポートは、インターネット接続されたサーバの公開ポートであることを特徴とする付記１または２に記載の不正中継監査プログラム。
【００９９】
（付記４）インターネット接続された複数の種別の前記サーバの公開ポートに対して、それぞれ前記第一のオープンポートチェックおよび前記第二のオープンポートチェックを行った後、
オープンしている前記ポートを抽出し、前記複数の種別のサーバの抽出したオープンしている前記ポートに対し順次、監査処理を実施する、
ことを特徴とする付記１〜３のいずれか一つに記載の不正中継監査プログラム。
【０１００】
（付記５）監査の対象となる複数のポートの内の特定のポートに対し、異なる処理速度のタイミングパラメータを用いて、それぞれの前記特定のポートがオープンの状態か否かをチェックする第一のオープンポートチェックを行い、
前記第一のオープンポートチェックの結果により、前記タイミングパラメータを決定し、
決定した前記タイミングパラメータを用いて監査の対象となる全てのポートに対して第二のオープンポートチェックを行う、
処理をコンピュータが実行することを特徴とする不正中継監査方法。
【０１０１】
（付記６）監査処理装置が監査の対象となる複数のポートに通信接続し、前記ポートの不正中継の監査処理を実行する不正中継監査システムにおいて、
前記監査処理装置は、
監査の対象となる複数のポートの内の特定のポートに対し、異なる処理速度のタイミングパラメータを用いて、それぞれの前記特定のポートがオープンの状態か否かをチェックする第一のオープンポートチェックを行い、前記第一のオープンポートチェックの結果により、前記タイミングパラメータを決定し、決定した前記タイミングパラメータを用いて監査の対象となる全てのポートに対して第二のオープンポートチェックを行い、
オープンしている前記ポートを抽出し、抽出したオープンしている前記ポートのみに対して監査処理を実施する制御部、
を備えたことを特徴とする不正中継監査システム。
【０１０２】
（付記７）前記制御部は、
前記ポートを有するサーバにそれぞれインターネットを介して通信接続し、所定のコマンドを送信することで、前記オープンポートチェックおよび前記監査処理を行う、
ことを特徴とする付記６に記載の不正中継監査システム。
【符号の説明】
【０１０３】
１００  不正中継監査システム
１０１  不正中継監査装置
１０２  メモリ
１１１（１１１ａ〜１１１ｃ）  サーバ
３００  対象ポート設定表
４０１  ＣＰＵ
４０２  メモリ
４０３  ネットワークインタフェース
４０５  記録媒体
５００  制御部
５０１  オープンポートチェック部
５０２  監査処理実行部
５０３  監査結果取得部
１２００  タイミングパラメータの設定表
ＮＷ  ネットワーク
Ｐ  不正中継監査プログラム
Ｐ１〜Ｐ４  タイミングパラメータ
【図１】
2020201533.tif 000003
【図２】
2020201533.tif 000004
【図３】
2020201533.tif 000005
【図４】
2020201533.tif 000006
【図５】
2020201533.tif 000007
【図６】
2020201533.tif 000008
【図７】
2020201533.tif 000009
【図８】
2020201533.tif 000010
【図９】
2020201533.tif 000011
【図１０】
2020201533.tif 000012
【図１１】
2020201533.tif 000013
【図１２】
2020201533.tif 000014
【図１３】
2020201533.tif 000015
【図１４】
2020201533.tif 000016