(57)【要約】【課題】標的型攻撃によってバックドアを開けられてしまった場合であっても、情報の漏洩を最小限に抑えることができる通信装置を提供する。【解決手段】セッション管理手段101は、内部ネットワークNW1上の端末と外部ネットワークNW2上の情報処理装置との間に確立されたセッション毎に、そのセッションで利用されるサービスのサービス種別を検出する。検出手段102は、セッション毎に、そのセッションを利用した通信の特徴を示す特徴量を検出する。判定手段104は、セッション毎に、セッション管理手段101で検出されたサービス種別に関連付けて閾値記憶部に記録されている閾値に基づいて、検出手段102で検出された特徴量が正常な通信において現れる値であるか否かを判定する。遮断手段105は、検出手段102で検出された特徴量が正常な通信において現れる値ではないと判定されたセッションによる通信を遮断する。【選択図】図１４
2014232923.tif 000002
【特許請求の範囲】
【請求項１】
内部ネットワークと外部ネットワークとの境界に設置される通信装置であって、
前記内部ネットワーク上の端末と前記外部ネットワーク上の情報処理装置との間に確立されたセッション毎に、そのセッションで利用されるサービスのサービス種別を検出するセッション管理手段と、
前記セッション毎に、そのセッションを利用した通信の特徴を示す特徴量であって、前記内部ネットワーク側から前記外部ネットワーク側に向かってデータが送信される通信の特徴を示す特徴量を検出する検出手段と、
サービス種別毎の閾値であって、前記検出手段で検出された特徴量がそのサービス種別のサービスを利用する正常な通信において現れる値であるか否かを判定するための閾値が記録された閾値記憶部と、
前記セッション毎に、前記セッション管理手段で検出されたサービス種別に関連付けて前記閾値記憶部に記録されている閾値に基づいて、前記検出手段で検出された特徴量が正常な通信において現れる値であるか否かを判定する判定手段と、
該判定手段において、前記検出手段で検出された特徴量が正常な通信において現れる値ではないと判定されたセッションによる通信を遮断する遮断手段とを備えたことを特徴とする通信装置。
【請求項２】
請求項１記載の通信装置において、
前記特徴量は、前記内部ネットワークから前記外部ネットワークへ送信されるパケットのパケットサイズであることを特徴とする通信装置。
【請求項３】
請求項１記載の通信装置において、
前記特徴量は、前記内部ネットワークから前記外部ネットワークへ送信されるデータの通信レートであることを特徴とする通信装置。
【請求項４】
請求項１，２または３記載の通信装置において、
学習期間において前記検出手段が検出した前記セッション毎の特徴量と、前記学習期間において前記セッション管理手段が検出した前記セッション毎のサービス種別とに基づいて、サービス種別毎の特徴量の最大値を求め、該求めたサービス種別毎の最大値を、サービス種別毎の閾値として前記閾値記憶部に記録する学習手段を備えたことを特徴とする通信装置。
【請求項５】
請求項１乃至４の何れか１項に記載の通信装置において、
前記判定手段は、前記検出手段で検出された特徴量が正常な通信において現れる値ではないと判定したセッションを利用して通信を行っている前記内部ネットワーク上の端末に対して、ウイルスに感染したことを示すウイルス感染通知を送信することを特徴とする通信装置。
【請求項６】
閾値記憶部と、セッション管理手段と、検出手段と、判定手段と、遮断手段とを備え、且つ、内部ネットワークと外部ネットワークとの境界に設置されるコンピュータが実行するサイバー攻撃検出方法であって、
前記セッション管理手段が、前記内部ネットワーク上の端末と前記外部ネットワーク上の情報処理装置との間に確立されたセッション毎に、そのセッションで利用されるサービスのサービス種別を検出し、
前記検出手段が、前記セッション毎に、そのセッションを利用した通信の特徴を示す特徴量であって、前記内部ネットワーク側から前記外部ネットワーク側に向かってデータが送信される通信の特徴を示す特徴量を検出し、
前記判定手段が、前記セッション毎に、前記セッション管理手段で検出されたサービス種別に関連付けて前記閾値記憶部に記録されている閾値であって、前記検出手段で検出された特徴量がそのサービス種別のサービスを利用する正常な通信において現れる値であるか否かを判定するための閾値に基づいて、前記検出手段で検出された特徴量が正常な通信において現れる値であるか否かを判定し、
前記遮断手段が、前記判定手段において、前記検出手段で検出された特徴量が正常な通信において現れる値ではないと判定されたセッションによる通信を遮断することを特徴とするサイバー攻撃検出方法。
【請求項７】
閾値記憶部を備え、内部ネットワークと外部ネットワークとの境界に設置されるコンピュータを、
前記内部ネットワーク上の端末と前記外部ネットワーク上の情報処理装置との間に確立されたセッション毎に、そのセッションで利用されるサービスのサービス種別を検出するセッション管理手段、
前記セッション毎に、そのセッションを利用した通信の特徴を示す特徴量であって、前記内部ネットワーク側から前記外部ネットワーク側に向かってデータが送信される通信の特徴を示す特徴量を検出する検出手段、
前記セッション毎に、前記セッション管理手段で検出されたサービス種別に関連付けて前記閾値記憶部に記録されている閾値であって、前記検出手段で検出された特徴量がそのサービス種別のサービスを利用する正常な通信において現れる値であるか否かを判定するための閾値に基づいて、前記検出手段で検出された特徴量が正常な通信において現れる値であるか否かを判定する判定手段、
該判定手段において、前記検出手段で検出された特徴量が正常な通信において現れる値ではないと判定されたセッションによる通信を遮断する遮断手段として機能させるためのプログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、サイバー攻撃による被害を最小限に抑える通信装置、サイバー攻撃検出方法、及びプログラムに関する。
【背景技術】
【０００２】
近年、ソフトウェアの脆弱性を悪用して個人情報を取得する攻撃や、ネットワーク上のトラフィックを増大させ、システムに大きな影響を及ぼすDoS(Denial of Service)攻撃などのサイバー攻撃による被害が増えてきている。このようなサイバー攻撃を防ぐために種々の技術が提案されている（例えば、特許文献１，２参照）。
【０００３】
特許文献１には、外部ネットワークから内部ネットワークへパケットが送られてきた場合、ネットワーク境界に設けられているファイアウォール装置が上記パケットの送信元アドレスと宛先アドレスとに基づいて、パケットを破棄するか否かを制御する技術が記載されている。
【０００４】
また、特許文献２には、インターネットとWWWサーバとの間に設けられたコンピュータウイルス発生検出装置が、上記WWWサーバへ送られるデータのデータ量を測定し、データ量が異常に増加した場合、インターネット上にコンピュータウイルスが発生したと判断し、インターネットとWWWサーバとの接続を遮断する技術が記載されている。
【先行技術文献】
【特許文献】
【０００５】
【特許文献１】特開２００７−３２５２９３号公報
【特許文献２】特開２００３−２４１９８９号公報
【発明の概要】
【発明が解決しようとする課題】
【０００６】
特許文献１，２に記載されている技術を利用することにより、サイバー攻撃により被害を受ける危険性を少なくすることができる。しかしながら、上述した特許文献１，２に記載されている技術では、標的型メールなどを利用した標的型攻撃によってバックドアを開けられてしまった場合、情報の漏洩を全く防ぐことができないという課題がある。
【０００７】
[発明の目的]
そこで、本発明の目的は、標的型攻撃によってバックドアを開けられてしまった場合、情報の漏洩を全く防ぐことができないという課題を解決した通信装置を提供することにある。
【課題を解決するための手段】
【０００８】
本発明に係る通信装置は、
内部ネットワークと外部ネットワークとの境界に設置される通信装置であって、
前記内部ネットワーク上の端末と前記外部ネットワーク上の情報処理装置との間に確立されたセッション毎に、そのセッションで利用されるサービスのサービス種別を検出するセッション管理手段と、
前記セッション毎に、そのセッションを利用した通信の特徴を示す特徴量であって、前記内部ネットワーク側から前記外部ネットワーク側に向かってデータが送信される通信の特徴を示す特徴量を検出する検出手段と、
サービス種別毎の閾値であって、前記検出手段で検出された特徴量がそのサービス種別のサービスを利用する正常な通信において現れる値であるか否かを判定するための閾値が記録された閾値記憶部と、
前記セッション毎に、前記セッション管理手段で検出されたサービス種別に関連付けて前記閾値記憶部に記録されている閾値に基づいて、前記検出手段で検出された特徴量が正常な通信において現れる値であるか否かを判定する判定手段と、
該判定手段において、前記検出手段で検出された特徴量が正常な通信において現れる値ではないと判定されたセッションによる通信を遮断する遮断手段とを備える。
【０００９】
本発明に係るサイバー攻撃検出方法は、
閾値記憶部と、セッション管理手段と、検出手段と、判定手段と、遮断手段とを備え、且つ、内部ネットワークと外部ネットワークとの境界に設置されるコンピュータが実行するサイバー攻撃検出方法であって、
前記セッション管理手段が、前記内部ネットワーク上の端末と前記外部ネットワーク上の情報処理装置との間に確立されたセッション毎に、そのセッションで利用されるサービスのサービス種別を検出し、
前記検出手段が、前記セッション毎に、そのセッションを利用した通信の特徴を示す特徴量であって、前記内部ネットワーク側から前記外部ネットワーク側に向かってデータが送信される通信の特徴を示す特徴量を検出し、
前記判定手段が、前記セッション毎に、前記セッション管理手段で検出されたサービス種別に関連付けて前記閾値記憶部に記録されている閾値であって、前記検出手段で検出された特徴量がそのサービス種別のサービスを利用する正常な通信において現れる値であるか否かを判定するための閾値に基づいて、前記検出手段で検出された特徴量が正常な通信において現れる値であるか否かを判定し、
前記遮断手段が、前記判定手段において、前記検出手段で検出された特徴量が正常な通信において現れる値ではないと判定されたセッションによる通信を遮断する。
【００１０】
本発明に係るプログラムは、
閾値記憶部を備え、内部ネットワークと外部ネットワークとの境界に設置されるコンピュータを、
前記内部ネットワーク上の端末と前記外部ネットワーク上の情報処理装置との間に確立されたセッション毎に、そのセッションで利用されるサービスのサービス種別を検出するセッション管理手段、
前記セッション毎に、そのセッションを利用した通信の特徴を示す特徴量であって、前記内部ネットワーク側から前記外部ネットワーク側に向かってデータが送信される通信の特徴を示す特徴量を検出する検出手段、
前記セッション毎に、前記セッション管理手段で検出されたサービス種別に関連付けて前記閾値記憶部に記録されている閾値であって、前記検出手段で検出された特徴量がそのサービス種別のサービスを利用する正常な通信において現れる値であるか否かを判定するための閾値に基づいて、前記検出手段で検出された特徴量が正常な通信において現れる値であるか否かを判定する判定手段、
該判定手段において、前記検出手段で検出された特徴量が正常な通信において現れる値ではないと判定されたセッションによる通信を遮断する遮断手段として機能させる。
【発明の効果】
【００１１】
本発明によれば、標的型攻撃によってバックドアを開けられてしまった場合であっても、情報の漏洩を最小限に抑えることができる。
【図面の簡単な説明】
【００１２】
【図１】本発明の第１の実施の形態に係る通信装置１の設置場所を示すブロック図である。
【図２】本発明の第１の実施の形態に係る通信装置１の構成例を示すブロック図である。
【図３】閾値記憶部１６１の内容例を示す図である。
【図４】セッション情報記憶部１６２の内容例を示す図である。
【図５】セッション管理手段１１の処理例を示すフローチャートである。
【図６】判定手段１４の処理例を示すフローチャートである。
【図７】判定手段１４の処理例を示すフローチャートである。
【図８】第１の実施の形態の動作を説明するためのブロック図である。
【図９】セッション情報記憶部１６２の内容例を示す図である。
【図１０】本発明の第２の実施の形態に係る通信装置１ａの構成例を示すブロック図である。
【図１１】判定手段１４ａの処理例を示すフローチャートである。
【図１２】判定手段１４ａの処理例を示すフローチャートである。
【図１３】学習手段１７の処理例を示すフローチャートである。
【図１４】本発明の第３の実施の形態に係る通信装置１００の構成例を示すブロック図である。
【発明を実施するための形態】
【００１３】
次に、本発明の実施の形態について詳細に説明する。
【００１４】
［本発明の第１の実施の形態］
図１を参照すると、本発明の第１の実施の形態に係るセッションボーダコントローラ（ＳＢＣ）等の通信装置１は、ＬＡＮ等の内部ネットワークＮＷ１とインターネット等の外部ネットワークＮＷ２との境界に設置される。内部ネットワークＮＷ１には、パーソナルコンピュータ等の利用者端末２−１〜２−Ｎが複数台接続されており、各利用者端末２−１〜２−Ｎは、内部ネットワークＮＷ１、通信装置１、外部ネットワークＮＷ２を介して、外部ネットワークＮＷ２上の情報処理装置（パーソナルコンピュータやサーバなど）と相互に通信可能に接続されている。
【００１５】
図２を参照すると、通信装置１は、セッション管理手段１１と、パケットサイズ検出手段１２と、通信レート検出手段１３と、判定手段１４と、遮断手段１５と、ディスク装置などの記憶装置１６とを備えている。
【００１６】
記憶装置１６は、閾値記憶部１６１と、セッション情報記憶部１６２とを備えている。
【００１７】
閾値記憶部１６１には、内部ネットワークＮＷ１上の利用者端末２−１〜２−Ｎと外部ネットワークＮＷ２上の情報処理装置との間に確立されているセッションが、バックドアを利用した通信（バックドア通信）に使用されているか否かを判定するために使用する、サービス種別毎のサイズ閾値およびレート閾値が記録されている。サイズ閾値はパケットサイズに基づいてバックドア通信が行われているか否かを判定するために使用する閾値であり、該当サービスを利用する正常な通信において現れるパケットサイズよりも大きな値或いは最大パケットサイズが設定される。また、レート閾値はデータの通信レートに基づいてバックドア通信が行われているか否かを判定するために使用する閾値であり、該当サービスを利用する正常な通信において現れるデータの通信レートより大きな通信レート或いは最大通信レートが設定される。
【００１８】
図３は閾値記憶部１６１の内容例を示す図である。同図の例は「音声サービス」、「映像サービス」、「Ｗｅｂサービス」を利用するために確立されたセッションがバックドア通信に利用されているか否かを判定するために使用するサイズ閾値がそれぞれ「１００byte」、「２０００byte」、「１０００byte」であり、レート閾値がそれぞれ「１００Kbps」、「１００００Kbps」、「１０００Kbps」であることを示している。
【００１９】
セッション情報記憶部１６２には、内部ネットワークＮＷ１上の利用者端末２−１〜２−Ｎと外部ネットワークＮＷ２上の情報処理装置（図示せず）との間に確立したセッションのセッションＩＤと、そのセッションで利用しているサービスのサービス種別とを含むセッション情報が記録される。
【００２０】
図４はセッション情報記憶部１６２の内容例を示した図である。同図の例は、セッションＩＤが「ＩＤ１００」、「ＩＤ２００」、「ＩＤ３００」のセッションで利用しているサービスが、それぞれ「音声サービス」、「映像サービス」、「映像サービス」であることを示している。
【００２１】
セッション管理手段１１は、内部ネットワークＮＷ１上の利用者端末２−１〜２−Ｎと外部ネットワークＮＷ２上の情報処理装置（図示せず）との間に確立したセッション毎に、そのセッションを一意に識別するセッションＩＤとそのセッションが利用するサービスのサービス種別とを含むセッション情報をセッション情報記憶部１６２に記録する機能を有する。例えば、ＳＩＰ（Session Initiation Protocol）を利用してセッションを確立している場合は、ＳＩＰメッセージからセッションＩＤとサービス種別（メディア情報）を抽出し、抽出したセッションＩＤとサービス種別とを含むセッション情報をセッション情報記憶部１６２に記録する。更に、セッション管理手段１１は、セッションが切断された場合、セッション情報記憶部１６２に記録されている該当するセッション情報を削除する機能や、判定手段１４からセッションＩＤを含む削除指示が送られてきた場合、セッション情報記憶部１６２に記録されている上記セッションＩＤを含んだセッション情報を削除する機能を有する。
【００２２】
パケットサイズ検出手段１２は、利用者端末２−１〜２−Ｎと外部ネットワークＮＷ２上の情報処理装置との間に確立されたセッション毎に、そのセッションを利用して内部ネットワークＮＷ１から外部ネットワークＮＷ２へ送信されるパケットのパケットサイズ(byte)を検出する機能や、検出したパケットサイズと検出対象となったセッションのセッションＩＤとを判定手段１４に渡す機能を有する。
【００２３】
通信レート検出手段１３は、利用者端末２−１〜２−Ｎと外部ネットワークＮＷ２上の情報処理装置との間に確立されたセッション毎に、そのセッションを利用して内部ネットワークＮＷ１から外部ネットワークＮＷ２へ送信されるデータの通信レート(Kbps)を検出する機能や、検出した通信レートと検出対象となったセッションのセッションＩＤとを判定手段１４に渡す機能を有する。
【００２４】
判定手段１４は、内部ネットワークＮＷ１上の利用者端末２−１〜２−Ｎと外部ネットワークＮＷ２上の情報処理装置との間に確立されたセッションがバックドア通信に利用されているか否かを判定する機能を有する。より具体的には、判定手段１４は、次の機能を有する。
【００２５】
・パケットサイズ検出手段１２からパケットサイズとセッションＩＤとが渡された場合、上記セッションＩＤを含むセッション情報をセッション情報記憶部１６２から検索する機能。
・検索したセッション情報中のサービス種別に関連付けて記録されているサイズ閾値を閾値記憶部１６１から検索する機能。
・検索したサイズ閾値よりもパケットサイズ検出手段１２から渡されたパケットサイズの方が大きい場合、パケットサイズ検出手段１２から渡されたセッションＩＤのセッションがバックドア通信に利用されていると判定し、遮断手段１５に対して上記セッションＩＤを含む遮断指示を出力すると共にセッション管理手段１１に対して上記セッションＩＤを含む削除指示を出力する機能。
・通信レート検出手段１３から通信レートとセッションＩＤとが渡された場合、上記セッションＩＤを含むセッション情報をセッション情報記憶部１６２から検索する機能。
・検索したセッション情報中のサービス種別に関連付けて記録されているレート閾値を閾値記憶部１６１から検索する機能。
・検索したレート閾値よりもレート検出手段１３から渡された通信レートの方が大きい場合、レート検出手段１３から渡されたセッションＩＤのセッションがバックドア通信に利用されていると判定し、遮断手段１５に対して上記セッションＩＤを含む遮断指示を出力すると共に、セッション管理手段１１に対して上記セッションＩＤを含む削除指示を出力する機能。
【００２６】
遮断手段１５は、判定手段１４から遮断指示が送られてきた場合、遮断指示に含まれているセッションＩＤが示すセッションによる通信を遮断する機能を有する。
【００２７】
なお、通信装置１はコンピュータによって実現可能であり、コンピュータによって実現する場合は、例えば、次のようにする。コンピュータをセッション管理手段１１、パケットサイズ検出手段１２、通信レート検出手段１３、判定手段１４、および遮断手段１５として機能させるためのプログラムを記録したディスク、半導体メモリ、その他の記録媒体を用意し、コンピュータに上記プログラムを読み取らせる。コンピュータは、読み取ったプログラムに従って自身の動作を制御することにより、自コンピュータ上に上記各手段１１〜１５を実現する。
【００２８】
次に、本実施の形態の動作について図面を参照して詳細に説明する。
【００２９】
先ず、セッション管理手段１１の動作について説明する。
【００３０】
図５を参照すると、セッション管理手段１１は、内部ネットワークＮＷ１上の利用者端末２−１〜２−Ｎと外部ネットワークＮＷ２上の情報処理装置との間にセッションが確立すると（ステップＳ５１がＹｅｓ）、上記セッションのセッションＩＤと上記セッションで利用されるサービスのサービス種別とを含むセッション情報をセッション情報記憶部１６２に記録する（ステップＳ５２）。
【００３１】
また、セッション管理手段１１は、セッションが切断された場合（ステップＳ５３がＹｅｓ）、上記セッションのセッションＩＤを含んだセッション情報をセッション情報記憶部１６２から削除する（ステップＳ５４）。また、セッション管理手段１１は、判定手段１４からセッションＩＤを含む削除指示が送られてくると（ステップＳ５５がＹｅｓ）、上記セッションのセッションＩＤを含むセッション情報をセッション情報記憶部１６２から削除する（ステップＳ５６）。
【００３２】
次に、判定手段１４の動作について説明する。
【００３３】
パケットサイズ検出手段１２は、前述したように、内部ネットワークＮＷ１から外部ネットワークＮＷ２へ送信されるパケットのパケットサイズを検出すると、検出したパケットサイズと、検出対象となったセッションのセッションＩＤとを判定手段１４に渡す。
【００３４】
これにより、判定手段１４は、図６のフローチャートに示すように、パケットサイズ検出手段１２から渡されたセッションＩＤを含んだセッション情報をセッション情報記憶部１６２から検索する（ステップＳ６１）。次に、判定手段１４は、上記セッション情報中のサービス種別に関連付けて記録されているサイズ閾値を閾値記憶部１６１から検索する（ステップＳ６２）。その後、判定手段１４は、パケットサイズ検出手段１２から渡されたパケットサイズと、ステップＳ６２で検索したサイズ閾値とを比較する（ステップＳ６３）。
【００３５】
そして、パケットサイズがサイズ閾値以下である場合（ステップＳ６３がＮｏ）は、上記セッションＩＤのセッションはバックドア通信に利用されていないと判定し、その処理を終了する。これに対して、パケットサイズがサイズ閾値よりも大きい場合（ステップＳ６３がＹｅｓ）は、上記セッションはバックドア通信に利用されていると判定し、ステップＳ６４の処理を行う。つまり、バックドア通信により送信されるパケットのパケットサイズは、該当するサービスで通常利用されるパケットのパケットサイズより大きいことが多いという特徴があるため、サイズ閾値よりもパケットサイズが大きいパケットが流れるセッションは、バックドア通信に利用されていると判定する。
【００３６】
ステップＳ６４では、遮断手段１５に対して、バックドア通信が行われていると判定したセッションのセッションＩＤを含んだ遮断指示を出力する。これにより、遮断手段１５は、例えば、上記セッションＩＤのセッションを切断することにより、上記セッションを利用した通信を遮断する。
【００３７】
その後、判定手段１４は、上記セッションＩＤを含んだ削除指示をセッション管理手段１１に出力する（ステップＳ６５）。これにより、セッション管理手段１１は、セッション情報記憶部１６２から上記セッションＩＤを含んだセッション情報を削除する。
【００３８】
また、通信レート検出手段１３は、前述したように、利用者端末２−１〜２−Ｎから外部ネットワークＮＷへ送信されるデータの通信レートを検出すると、検出した通信レートと検出対象にしたセッションのセッションＩＤとを判定手段１４に渡す。
【００３９】
これにより、判定手段１４は、図７のフローチャートに示すように、通信レート検出手段１３から渡されたセッションＩＤを含んだセッション情報をセッション情報記憶部１６２から検索する（ステップＳ７１）。次に、判定手段１４は、上記セッション情報中のサービス種別に関連付けて記録されているレート閾値を閾値記憶部１６１から検索する（ステップＳ７２）。その後、判定手段１４は、通信レート検出手段１２から渡された通信レートと、ステップＳ７２で検索したレート閾値とを比較する（ステップＳ７３）。
【００４０】
そして、通信レートがレート閾値以下である場合（ステップＳ７３がＮｏ）は、上記セッションＩＤのセッションはバックドア通信に利用されていないと判定し、その処理を終了する。これに対して、通信レートがレート閾値よりも大きい場合（ステップＳ７３がＹｅｓ）は、上記セッションはバックドア通信に利用されていると判定し、ステップＳ７４の処理を行う。つまり、バックドア通信に利用されるセッションの通信レートは、該当するサービスで通常利用される通信レートよりも大きいことが多いという特徴があるため、レート閾値よりも通信レートが大きいセッションは、バックドア通信に利用されていると判定する。
【００４１】
ステップＳ７４では、遮断手段１５に対して、バックドア通信が行われていると判定したセッションのセッションＩＤを含んだ遮断指示を出力する。これにより、遮断手段１５は、例えば、上記セッションＩＤのセッションを切断することにより、上記セッションを利用した通信を遮断する。
【００４２】
その後、判定手段１４は、上記セッションＩＤを含んだ削除指示をセッション管理手段１１に出力する（ステップＳ７５）。これにより、セッション管理手段１１は、セッション情報記憶部１６２から上記セッションＩＤを含んだセッション情報を削除する。
【００４３】
次に、具体例を挙げて、本実施の形態の動作を説明する。
【００４４】
今、例えば、図８に示すように、通信装置１を介して、利用者端末２−１と端末３−１との間にセッション４−１が張られ、利用者端末２−２とビデオオンデマンドサーバ（ＶｏＤサーバ）との間にセッション４−２が張られ、利用者端末２−３とＷｅｂサーバ３−３との間にセッション４−３が張られ、利用者端末２−１、２−２、２−３がそれぞれ音声サービス、映像サービス、Ｗｅｂサービスを利用しているとする。なお、セッション４−１、４−２、４−３のセッションＩＤは、それぞれＩＤ４１、ＩＤ４２、ＩＤ４３であるとする。また、閾値記憶部１６１の内容は、図３に示すものであり、セッション情報記憶部１６２の内容は、図９に示すものであるとする。
【００４５】
今、パケットサイズ検出手段１２が、セッション４−１を介して利用者端末２−１から端末３−１へ送信されるパケットのパケットサイズを検出し、判定手段１４にパケットサイズ「５０byte」とセッション４−１のセッションＩＤ「ＩＤ４1」とを渡したとする。これにより、判定手段１４は、図６のステップＳ６１において、セッション情報記憶部１６２からセッションＩＤ「ＩＤ４１」とサービス種別「音声」とを含んだセッション情報を検索し、ステップＳ６２において、閾値記憶部１６１からサービス種別「音声」に対応するサイズ閾値「１００byte」を検索する。
【００４６】
次のステップＳ６３では、パケットサイズ「５０byte」とサイズ閾値「１００byte」とを比較する。この例では、パケットサイズ≦サイズ閾値となるので（ステップＳ６３がＮｏ）、セッション４−１はバックドア通信に利用されていないと判定し、その処理を終了する。
【００４７】
その後、パケット検出手段１２が、セッション４−２を介して利用者端末２−２からＶｏＤサーバ３−２へ送信されるパケットのパケットサイズを検出し、パケットサイズ「４０００byte」とセッション４−２のセッションＩＤ「ＩＤ４２」とを判定手段１４に渡したとする。これにより、判定手段１４は、ステップＳ６１において、セッション情報記憶部１６２からセッションＩＤ「ＩＤ４２」とサービス種別「映像」とを含んだセッション情報を検索し、ステップＳ６２において、閾値記憶部１６１からサービス種別「映像」に対応するサイズ閾値「２０００byte」を検索する。
【００４８】
次のステップＳ６３では、パケットサイズ「４０００byte」とサイズ閾値「２０００byte」とを比較する。この例では、パケットサイズ＞サイズ閾値となるので（ステップＳ６３がＹｅｓ）、セッション４−２はバックドア通信に利用されていると判定し、前述したステップＳ６４以降の処理を行う。
【００４９】
また、例えば、通信レート検出手段１３がセッション４−３の通信レートを検出し、通信レート「２０００Kbps」とセッション４−３のセッションＩＤ「ＩＤ４３」とを判定手段１４に渡したとする。これにより、判定手段１４は、図７のステップＳ７１において、セッション情報記憶部１６２からセッションＩＤ「ＩＤ４３」とサービス種別「Ｗｅｂ」とを含むセッション情報を検索し、ステップＳ７２において、閾値記憶部１６１からサービス種別「Ｗｅｂ」に対応するレート閾値「１０００Kbps」検索する。
【００５０】
次のステップＳ７３では、通信レート「２０００Kbps」とレート閾値「１０００Kbps」とを比較する。この例では、通信レート＞レート閾値となるので、セッション４−３はバックドア通信に利用されていると判定し、ステップＳ７４以降の処理を行う。
【００５１】
［第１の実施の形態の効果］
本実施の形態によれば、標的型攻撃によってバックドアを開けられてしまった場合であっても、情報の漏洩を最小限に抑えることができる。その理由は、予め定められているサイズ閾値よりもパケットサイズが大きなパケットが送信されるセッションや、予め定められているレート閾値よりも通信レートが高いセッションは、バックドア通信に利用されていると判断し、そのセッションによる通信を遮断するようにしているからである。
【００５２】
[本発明の第２の実施の形態]
次に、本発明の第２の実施の形態について図面を参照して説明する。本実施の形態に係る通信装置は、サイズ閾値およびレート閾値を学習するようにした点と、ウイルスによってバックドアを開けられている利用者端末にウイルス感染通知を送信するようにした点とを特徴とする。
【００５３】
図１０を参照すると、本実施の形態に係る通信装置１ａは、判定手段１４の代わりに判定手段１４ａを備えている点、および学習手段１７を備えている点が、図２に示した第１の実施の形態の通信装置１と相違している。以下の説明では、第１の実施の形態との相違点を中心に説明する。
【００５４】
判定手段１４ａは、バックドア通信に利用されていると判断したセッションを利用して通信を行っている利用者端末（バックドアが開けられた利用者端末）に対してウイルス感染通知を送信する機能を有している点が、第１の実施の形態の判定手段１４と相違している。
【００５５】
学習手段１７は、管理者によって学習開始指示が入力されてから一定時間が経過するまでの期間（学習期間）において、パケットサイズ検出手段１２が検出したセッション毎のパケットサイズと、セッション情報記憶部１６２に記録されているセッション情報とに基づいて、サービス種別毎の最大パケットサイズを求め、求めたサービス種別毎の最大パケットサイズを、サービス種別毎のサイズ閾値として閾値記憶部１６１に記録する機能を有する。更に、学習手段１７は、学習期間において通信レート検出手段１３が検出したセッション毎の通信レートと、セッション情報記憶部１６２に記録されているセッション情報とに基づいて、サービス種別毎の最大通信レートを求め、求めたサービス種別毎の最大通信レートを、サービス種別毎のレート閾値として閾値記憶部１６１に記録する機能を有する。
【００５６】
なお、通信装置１ａは、コンピュータにより実現可能であり、コンピュータによって実現する場合は、例えば、次のようにする。コンピュータをセッション管理手段１１、パケットサイズ検出手段１２、通信レート検出手段１３、判定手段１４ａ、遮断手段１５、及び学習手段１７として機能させるためのプログラムを記録したディスク、半導体メモリ、その他の記録媒体を用意し、コンピュータに上記プログラムを読み取らせる。コンピュータは、読み取ったプログラムに従って自身の動作を制御することにより、自コンピュータ上に、上記各手段を実現する。
【００５７】
次に、本実施の形態の動作について説明する。
【００５８】
先ず、判定手段１４ａの動作を図１１及び図１２のフローチャートを参照して説明する。
【００５９】
図１１を参照すると、判定手段１４ａは、パケットサイズ検出手段１２からパケットサイズとセッションＩＤとが渡されると、前述したステップＳ６１〜Ｓ６３と同様の処理を行う。そして、パケットサイズの方がサイズ閾値よりも大きい場合（ステップＳ６３がＹｅｓ）は、上記セッションＩＤのセッションがバックドア通信に利用されていると判定し、前述したステップＳ６４、Ｓ６３の処理を行い、その後、ステップＳ１１１の処理を行う。ステップＳ１１１では、上記セッションを利用して通信を行っている内部ネットワークＮＷ１上の利用者端末に対して、ウイルスに感染し、バックドアが開けられていることを示すウイルス感染通知を送信する。なお、ウイルス感染通知の送信先にする利用者端末のアドレスは、上記セッションを利用して内部ネットワークＮＷ１から外部ネットワークＮＷ２へ送られるパケットの送信元アドレスから知ることができる。なお、ウイルス感染通知の送信先は、利用者端末２−１〜２−Ｎに限られるものではなく、利用者端末２−１〜２−Ｎの利用者によって指示された携帯端末などの他端末とすることもできる。そのようにする場合には、利用者端末のアドレスと、利用者によって指定された携帯端末などのアドレス（指定アドレス）とを関連付けて記憶装置１６に記憶しておく。そして、バックドア通信に利用されているセッションを検出した場合には、そのセッションを利用して通信を行っている利用者端末のアドレスに関連付けて記録されている指定アドレスへウイルス感染通知を送信するようにしてもよい。
【００６０】
また、図１２を参照すると、判定手段１４ａは、通信レート検出手段１３から通信レートとセッションＩＤとが渡されると、前述したステップＳ７１〜Ｓ７３と同様の処理を行う。そして、通信レートの方がレート閾値よりも大きい場合（ステップＳ７３がＹｅｓ）は、上記セッションＩＤのセッションがバックドア通信に利用されていると判断し、前述したステップＳ７４、Ｓ７５の処理を行い、その後、ステップＳ１２１の処理を行う。ステップＳ１２１では、上記セッションを利用して通信を行っている内部ネットワークＮＷ１上の利用者端末に対して、ウイルスに感染し、バックドアが開けられていることを示すウイルス感染通知を送信する。この通知を受けた利用者端末の利用者は、自身の利用者端末がウイルスに感染し、バックドアを開けられていることを認識できるので、ウイルス駆除などの適切な処置をとることができる。
【００６１】
次に、学習手段１７の動作を図１３のフローチャートを参照して説明する。
【００６２】
管理者は、学習手段１７を起動する場合、キー入力部などの入力部（図示せず）から学習手段１７に対して学習開始指示を入力する。
【００６３】
これにより、学習手段１７は図１３のフローチャートに示す処理を開始する。学習手段１７は、パケットサイズ検出手段１２からパケットサイズとセッションＩＤが渡されると（ステップＳ１３１がＹｅｓ）、セッション情報記憶部１６２に記録されているセッション情報に基づいて、上記セッションＩＤのセッションで利用しているサービスのサービス種別を求める（ステップＳ１３２）。その後、学習手段１７は、上記サービス種別に関連付けて保持している最大パケットサイズ（初期値は０とする）と、パケットサイズ検出手段１２から渡されたパケットサイズとを比較する（ステップＳ１３３）。
【００６４】
そして、パケットサイズ検出手段１２から渡されたパケットサイズの方が大きい場合（ステップＳ１３３がＹｅｓ）は、上記サービス種別に関連付けて保持している最大パケットサイズを、パケットサイズ検出手段１２から渡されたパケットサイズで置き換え（ステップＳ１３４）、その後、ステップＳ１３５の処理を行う。これに対して、最大パケットサイズがパケットサイズ以上である場合（ステップＳ１３３がＮｏ）は、ステップＳ１３５の処理を行う。
【００６５】
また、学習手段１７は、通信レート検出手段１３から通信レートとセッションＩＤが渡されると（ステップＳ１３５がＹｅｓ）、セッション情報記憶部１６２に記録されているセッション情報に基づいて、上記セッションＩＤのセッションで利用しているサービスのサービス種別を求める（ステップＳ１３６）。その後、学習手段１７は、上記サービス種別に関連付けて保持している最大通信レート（初期値は０）と通信レート検出手段１３から渡された通信レートとを比較する（ステップＳ１３７）。
【００６６】
そして、通信レート検出手段１３から渡された通信レートの方が大きい場合（ステップＳ１３７がＹｅｓ）は、上記サービス種別に関連付けて保持している最大通信レートを、通信レート検出手段１３から渡された通信レートで置き換え（ステップＳ１３８）、その後、ステップＳ１３９の処理を行う。これに対して、最大通信レートが通信レート以上である場合は（ステップＳ１３７がＮｏ）は、ステップＳ１３９の処理を行う。
【００６７】
学習手段１７は、学習期間（学習開始指示が入力されてから一定時間が経過するまでの期間）が終了するまで、前述した処理と同様の処理を繰り返し行う。そして、学習期間が終了すると（１３９がＹｅｓ）、学習手段１７は、保持しているサービス種別毎の最大パケットサイズを、サービス種別毎のサイズ閾値として閾値記憶部１６１に記録すると共に、保持しているサービス種別毎の最大通信レートを、サービス種別毎のレート閾値として閾値記憶部１６１に記録する（ステップＳ１４０）。
【００６８】
[第２の実施の形態の効果]
本実施の形態によれば、サイズ閾値およびレート閾値として適切な値を設定することができる。その理由は、学習手段１７により求めたサービス種別毎の最大パケットサイズ及び最大通信レートを、サービス種別毎のサイズ閾値およびレート閾値としているからである。
【００６９】
また、本実施の形態では、バックドア通信に利用されているセッションを用いて通信を行っている利用者端末に対してウイルス感染通知を送信するようにしているので、利用者端末でウイルス駆除などの適切な処置を行うことが可能になるという効果を得ることができる。
【００７０】
[本発明の第３の実施の形態]
次に、本発明に係る通信装置の第３の実施の形態について説明する。
【００７１】
図１４を参照すると、本実施の形態に係る通信装置１００は、内部ネットワークＮＷ１と外部ネットワークＮＷ２との境界に設置されており、セッション管理手段１０１と、検出手段１０２と、閾値記憶部１０３と、判定手段１０４と、遮断手段１０５とを備えている。
【００７２】
セッション管理手段１０１は、ＬＡＮ等の内部ネットワークＮＷ１上の端末とインターネット等の外部ネットワークＮＷ２上の情報処理装置との間に確立されたセッション毎に、そのセッションで利用されるサービスのサービス種別を検出する。
【００７３】
検出手段１０２は、上記セッション毎に、そのセッションを利用した通信の特徴を示す特徴量であって、内部ネットワークＮＷ１側から外部ネットワークＮＷ２側に向かってデータが送信される通信の特徴を示す特徴量を検出する。特徴量としては、パケットサイズや、データの通信レートなどを使用することができる。
【００７４】
閾値記憶部１０３には、サービス種別毎の閾値であって、検出手段１０２で検出された特徴量がそのサービス種別のサービスを利用する正常な通信において現れる値であるか否かを判定するための閾値が記録されている。
【００７５】
判定手段１０４は、上記セッション毎に、セッション管理手段１０１で検出されたサービス種別に関連付けて閾値記憶部１０３に記録されている閾値に基づいて、検出手段１０２で検出された特徴量が正常な通信において現れる値であるか否かを判定する。つまり、検出手段１０２で検出された特徴量が正常な通信において現れる値であるか否かを判定することにより、バックドア通信に利用されているか否かを判定する。
【００７６】
遮断手段１０５は、判定手段１０４において、検出手段１０２で検出された特徴量が正常な通信において現れる値ではないと判定されたセッションによる通信を遮断する。
【００７７】
[第３の実施の形態の効果]
本実施の形態によれば、標的型攻撃によってバックドアを開けられてしまった場合であっても、情報の漏洩を最小限に抑えることができる。その理由は、閾値記憶部に記録されている閾値に基づいて、検出手段で検出された特徴量が正常な通信では現れない値であると判定されたセッションは、バックドア通信に利用されていると判定し、そのセッションによる通信を遮断するようにしているからである。
【符号の説明】
【００７８】
１、１ａ…通信装置
１１…セッション管理手段
１２…パケットサイズ検出手段
１３…通信レート検出手段
１４、１４ａ…判定手段
１５…遮断手段
１６…記憶装置
１６１…閾値記憶部
１６２…セッション情報記憶部
１７…学習手段
２−１〜２−Ｎ…利用者端末
１００…通信装置
１０１…セッション管理手段
１０２…検出手段
１０３…閾値記憶部
１０４…判定手段
１０５…遮断手段
ＮＷ１…内部ネットワーク
ＮＷ２…外部ネットワーク
【図１】
2014232923.tif 000003
【図２】
2014232923.tif 000004
【図３】
2014232923.tif 000005
【図４】
2014232923.tif 000006
【図５】
2014232923.tif 000007
【図６】
2014232923.tif 000008
【図７】
2014232923.tif 000009
【図８】
2014232923.tif 000010
【図９】
2014232923.tif 000011
【図１０】
2014232923.tif 000012
【図１１】
2014232923.tif 000013
【図１２】
2014232923.tif 000014
【図１３】
2014232923.tif 000015
【図１４】
2014232923.tif 000016