(57)【要約】【課題】  コンピュータウィルスの監視を行っていない位置でも、ウィルス感染エリアを検知することが可能なコンピュータウィルス感染エリア検出方法及びその方法を用いたネットワークシステムを提供する。【解決手段】  ネットワーク管理プログラムによって管理しているネットワークシステムにおいて、コンピュータウィルスに感染したＰＣが他の装置に攻撃している情報をＩＤＳ５００が検出すると、ネットワークを構成する各機器の接続情報に基づいてＩＤＳ５００が監視しているスイッチを特定し、また、接続情報に基づいて特定したスイッチの各接続先の構成を示すサブネットワークの中からコンピュータウィルスの攻撃元が含まれているサブネットワークを見つけ、コンピュータウィルスの感染エリア或いはウィルス感染の疑いのあるエリアとして検知する。【選択図】        図２
2006252277.tif 000002
【特許請求の範囲】
【請求項１】
スイッチを流れるＩＰパケットを監視してコンピュータウィルスによる攻撃元を検知する手段と、ネットワークを構成する各機器の接続情報を保持する手段と、前記接続情報に基づいて前記検知手段が監視しているスイッチを特定する手段と、前記接続情報に基づいて当該特定したスイッチの各接続先の構成を示すサブネットワークの中から前記コンピュータウィルスの攻撃元が含まれているサブネットワークを見つけ、コンピュータウィルスの感染エリア或いはウィルス感染の疑いのあるエリアとして検知する手段とを備えたことを特徴とするネットワークシステム。
【請求項２】
前記攻撃元を検知する手段は、ＩＤＳであることを特徴とする請求項１に記載のネットワークシステム。
【請求項３】
コンピュータウィルスの攻撃元を検知する攻撃元検知手段がスイッチを流れるＩＰパケットを監視してコンピュータウィルスによる攻撃元を検知するステップと、前記検知手段が監視するスイッチを特定する特定手段がネットワークを構成する各機器の接続情報に基づいて前記検知手段が監視しているスイッチを特定するステップと、コンピュータウィルスの感染エリアを検知する検知手段が前記接続情報に基づいて前記特定したスイッチの各接続先の構成を示すサブネットワークの中から前記コンピュータウィルスの攻撃元が含まれているサブネットワークを見つけ、コンピュータウィルスの感染エリア或いはウィルス感染の疑いのあるエリアとして検知するステップとを含むことを特徴とするコンピュータウィルス感染エリア検出方法。
【請求項４】
前記攻撃元を検知する手段は、ＩＤＳであることを特徴とする請求項３に記載のコンピュータウィルス感染エリア検出方法。
【請求項５】
コンピュータを、コンピュータウィルスによる攻撃元を受信する手段と、ネットワークを構成する各機器の接続情報を保持する手段と、前記接続情報に基づいて前記検知手段が監視しているスイッチを特定する手段と、前記接続情報に基づいて当該特定したスイッチの各接続先の構成を示すサブネットワークの中から前記コンピュータウィルスによる攻撃元が含まれているサブネットワークを見つけ、コンピュータウィルスの感染エリア或いはウィルス感染の疑いのあるエリアとして検知する手段として機能させるためのプログラム。
【請求項６】
前記コンピュータウィルスによる攻撃元は、ＩＤＳで検知されることを特徴とする請求項５に記載のプログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、コンピュータウィルスの感染エリアを検出する方法及びその方法を用いたネットワークシステムに関するものである。
【背景技術】
【０００２】
従来、ＩＤＳを用いてネットワーク上の特定の位置を流れるＩＰパケットを監視することにより、コンピュータウィルスの検出を行う方法がある。この方法では、ネットワーク上の全ての位置の監視を行うことはできないため、コンピュータウィルスに感染したＰＣからの攻撃のＩＰパケットがＩＤＳでの監視点を通る前に、コンピュータウィルス感染ＰＣの近くに存在する他のＰＣが攻撃を受け、コンピュータウィルスに感染する場合がある。
【０００３】
また、コンピュータウィルスの防止方法として、例えば、特開平１１−１６７４８７号公報に記載されているようにウィルスパターンを格納し、パケットをウィルスパターンに基づいて感染パケットか否かをチェックし、感染パケットを検出した場合には、感染パケットに対応するファイルを実行不可にする方法がある（特許文献１）。
【特許文献１】特開平１１−１６７４８７号公報（段落００１５〜００１７、図１等）
【発明の開示】
【発明が解決しようとする課題】
【０００４】
従来のＩＤＳを用いた方法では、ネットワークシステムの特定の位置を流れるデータの監視を行い、コンピュータウィルスによる攻撃等の検出を行っているため、ＩＤＳで監視を行っている位置より末端に位置するネットワーク内は監視対象とはなっていない。そのため、ＩＤＳにおいてコンピュータウィルスの攻撃等を検出した時点で既にこの末端に位置するネットワーク内の他の装置にコンピュータウィルスが感染している場合があった。
【０００５】
また、特許文献１には、ウィルスパターンに基づいて感染パケットか否かを検知し、感染パケットを検知した場合には、感染パケットに対応するファイルを実行不可にすることが記載されているが、これは、主にウィルス駆除等を目的としており、コンピュータウィルスの感染エリアを検知するものではなかった。
【０００６】
本発明の目的は、コンピュータウィルスの監視を行っていない位置でもウィルス感染エリアを検知することが可能なコンピュータウィルス感染エリア検出方法及びその方法を用いたネットワークシステムを提供することにある。
【課題を解決するための手段】
【０００７】
本発明のネットワークシステムは、上記目的を達成するため、スイッチを流れるＩＰパケットを監視してコンピュータウィルスによる攻撃元を検知する手段と、ネットワークを構成する各機器の接続情報を保持する手段と、前記接続情報に基づいて前記検知手段が監視しているスイッチを特定する手段と、前記接続情報に基づいて当該特定したスイッチの各接続先の構成を示すサブネットワークの中から前記コンピュータウィルスの攻撃元が含まれているサブネットワークを見つけ、コンピュータウィルスの感染エリア或いはウィルス感染の疑いのあるエリアとして検知する手段とを備えたことを特徴とする。
【０００８】
また、本発明のコンピュータウィルス感染エリア検出方法は、コンピュータウィルスの攻撃元を検知する攻撃元検知手段がスイッチを流れるＩＰパケットを監視してコンピュータウィルスによる攻撃元を検知するステップと、前記検知手段が監視するスイッチを特定する特定手段がネットワークを構成する各機器の接続情報に基づいて前記検知手段が監視しているスイッチを特定するステップと、コンピュータウィルスの感染エリアを検知する検知手段が前記接続情報に基づいて前記特定したスイッチの各接続先の構成を示すサブネットワークの中から前記コンピュータウィルスの攻撃元が含まれているサブネットワークを見つけ、コンピュータウィルスの感染エリア或いはウィスル感染の疑いのあるエリアとして検知するステップとを含むことを特徴とする。
【発明の効果】
【０００９】
本発明によれば、ネットワークの接続情報を持ち、その情報とコンピュータウィルスによる攻撃元情報に基づいてネットワーク範囲を特定するため、ＩＤＳが監視できないネットワーク範囲についてもコンピュータウィルス感染の可能性のあるネットワーク範囲を特定でき、コンピュータウィルスの感染エリアを確実に検出することができる。
【発明を実施するための最良の形態】
【００１０】
次に、発明を実施するための最良の形態について図面を参照して詳細に説明する。本発明は、ネットワーク管理プログラムによって管理しているネットワークシステムにおいて、コンピュータウィルスに感染したＰＣが他の装置へ攻撃している情報をＩＤＳで検出した場合に、ＩＤＳで検出したコンピュータウィルス感染情報をもとにネットワーク管理プログラムで管理しているネットワークの中で攻撃を行ったＰＣ以外にコンピュータウィルスに感染している可能性のあるネットワークの範囲を特定し、ネットワーク管理プログラム上に表示する。
【００１１】
（第１の実施形態）
図１は本発明の第１の実施形態を示すブロック図である。図中１００はＩＰネットワークシステム１００であり、ＰＣ２００、ＰＣ２ｎ０、ＰＣ３００、ＰＣ３ｎ０、スイッチ４００、スイッチ４１０、スイッチ４ｎ０、ＩＤＳ５００、管理サーバ６００、管理サーバ６００を制御するための管理プログラム７００から構成されている。
【００１２】
ＰＣ２００は他のＰＣとＩＰ通信を行う。ＰＣ２ｎ０は他のＰＣとＩＰ通信を行う。ＰＣ３００は他のＰＣとＩＰ通信を行う。ＰＣ３ｎ０は他のＰＣとＩＰ通信を行う。スイッチ４００は、スイッチ４１０と、スイッチ４ｎ０と、ＩＤＳ５００と、管理サーバ６００をＩＰネットワークで接続する。
【００１３】
スイッチ４１０は、ＰＣ２００と、ＰＣ２ｎ０と、スイッチ４００をＩＰネットワークで接続する。スイッチ４ｎ０は、ＰＣ３００と、ＰＣ３ｎ０と、スイッチ４００をＩＰネットワークで接続する。
【００１４】
ＩＤＳ５００はスイッチ４００を流れるＩＰパケットを監視し、コンピュータウィルスによる攻撃を検知する。また、ＩＤＳ５００はコンピュータウィルスによる攻撃を検知すると、攻撃元の装置のＩＰアドレスをＳＹＳＬＯＧやＴＲＡＰにより管理サーバ６００へ通知する。管理サーバ６００は管理プログラム７００を実行する。
【００１５】
管理プログラム７００はＩＤＳ５００からのＳＹＳＬＯＧやＴＲＡＰによる通知を受信する機能を持つ。また、管理プログラム７００はＩＰネットワークシステム１００を構成するＰＣと、スイッチと、ＩＤＳと、管理サーバそれぞれについて他の装置との接続情報を保持し、構成を表示する機能を持つ。
【００１６】
次に、図１及び図２のフローチャートを参照して本実施形態の動作について詳細に説明する。まず、ネットワークの中のＰＣ２００がコンピュータウィルスに感染しており、コンピュータウィルスがＰＣ３００へ攻撃を行うものとする（図２のステップＡ１）。この攻撃のＩＰパケットがスイッチ４００を通る時にＩＤＳ５００がコンピュータウィルスの攻撃を検知する(ステップＡ２)。
【００１７】
ＩＤＳ５００は検知した攻撃元がＰＣ２００であることを管理プログラム７００へ通知する（ステップＡ３）。ＩＤＳ５００は周知のようにパケットの送信元、送信先情報等によりウィルスの攻撃元を検知する機能持つ。管理プログラム７００はＩＤＳ５００からの通知を受信すると、保持しているＩＰネットワーク１００の機器の接続情報（図３に示す）を調べて、ＩＤＳ５００がスイッチ４００に接続されていることを特定する（ステップＡ４）。
【００１８】
また、接続情報に基づいてスイッチ４００に関してサブネットワーク単位の機器情報（図４に示す）を取り出す（ステップＡ５）。即ち、後述するように図３の接続情報に基づいてスイッチ４００の各接続先におけるネットワーク構成をサブネットワークとし、スイッチ４００の全ての接続先におけるサブネットワークを作成する。
【００１９】
図３はＩＰネットワーク１００内の各機器の接続情報を示す。ＰＣやスイッチ等の各機器毎に接続先１、接続先２、…、の接続情報を保持している。例えば、ＰＣ２００の接続先は図１に示すようにスイッチ４１０である。また、スイッチ４００の接続先は４つあり、接続先１はスイッチ４１０、接続先２はスイッチ４ｎ０、接続先３はＩＤＳ５００、接続先４は管理サーバ６００である。このように各機器毎に全ての接続先を保持している。
【００２０】
また、図４はスイッチ４００のサブネットワークを示す。スイッチ４００は接続先が４つあり、それぞれの接続先に繋がるネットワーク構成をサブネットワークとする。例えば、サブネットワーク１として、スイッチ４１０、ＰＣ２００、ＰＣ２ｎ０がある。また、サブネットワーク２として、スイッチ４ｎ０、ＰＣ３００、ＰＣ３ｎ０がある。このように管理プログラム７００は、図３の接続情報に基づいてスイッチ４００に繋がる全てのサブネットワークを作成する。
【００２１】
図２に戻る。次に、得られたサブネットワークの中からＰＣ２００が含まれているサブネットワークを調べる（ステップＡ６）。この場合には、図４に示すようにＰＣ２００はサブネットワーク１に含まれているので、該当するサブネットワーク１が見つかる。次いで、見つかったサブネットワーク１をコンピュータウィルスに感染しているネットワーク或いはウィルスに感染している疑いのあるネットワークとして管理プログラム７００上に表示を行う（ステップＡ７）。
【００２２】
（第２の実施形態）
図５は本発明の第２の実施形態を示すブロック図である。図５では図１と同一部分には同一符号を付している。図５ではスイッチ４１０にスイッチ９００とスイッチ９ｎ０が接続され、スイッチ９００にＰＣ２００とＰｃ２ｎ０が接続され、スイッチ９ｎ０にＰＣ８００とＰＣ８ｎ０が接続されている。この点が図１と異なっている。
【００２３】
即ち、ＩＰネットワークシステム１００は、ＰＣ２００、ＰＣ２ｎ０、ＰＣ３００、ＰＣ３ｎ０、ＰＣ８００、ＰＣ８ｎ０、スイッチ４００、スイッチ４１０、スイッチ４ｎ０、スイッチ９００、スイッチ９ｎ０、ＩＤＳ５００、管理サーバ６００、管理プログラム７００から構成されている。
【００２４】
ＰＣ２００は他のＰＣとＩＰ通信を行う。ＰＣ２ｎ０は他のＰＣとＩＰ通信を行う。ＰＣ３００は他のＰＣとＩＰ通信を行う。ＰＣ３ｎ０は他のＰＣとＩＰ通信を行う。ＰＣ８００は他のＰＣとＩＰ通信を行う。ＰＣ８ｎ０は他のＰＣとＩＰ通信を行う。
【００２５】
スイッチ４００は、スイッチ４１０と、スイッチ４ｎ０と、ＩＤＳ５００と、管理サーバ６００をＩＰネットワークで接続する。スイッチ４１０は、スイッチ４００と、スイッチ９００と、スイッチ９ｎ０をＩＰネットワークで接続する。スイッチ４ｎ０は、ＰＣ３００と、ＰＣ３ｎ０と、スイッチ４００をＩＰネットワークで接続する。スイッチ９００は、ＰＣ２００と、ＰＣ２ｎ０と、スイッチ４１０をＩＰネットワークで接続する。スイッチ９ｎ０は、ＰＣ８００と、ＰＣ８ｎ０と、スイッチ４１０をＩＰネットワークで接続する。
【００２６】
ＩＤＳ５００はスイッチ４００を流れるＩＰパケットを監視してコンピュータウィルスによる攻撃を検知する。また、ＩＤＳ５００はコンピュータウィルスによる攻撃を検知すると攻撃元の装置のＩＰアドレスをＳＹＳＬＯＧやＴＲＡＰにより管理サーバ６００へ通知する。
【００２７】
管理サーバ６００は管理プログラム７００を実行する。管理プログラム７００はＩＤＳ５００からのＳＹＳＬＯＧやＴＲＡＰによる通知を受信する機能を持つ。また、ＩＰネットワークシステム１０を構成するＰＣと、スイッチと、ＩＤＳと、管理サーバそれぞれについて他の装置との接続情報を保持し、構成を表示する機能を持つ。
【００２８】
次に、図５及び図２のフローチャートを参照して本実施形態の動作について詳細に説明する。まず、ＰＣ２００がコンピュータウィルスに感染しており、コンピュータウィルスがＰＣ３００へ攻撃を行うものとする（図２のステップＡ１）。この攻撃のＩＰパケットがスイッチ４００を通る時にＩＤＳ５００が攻撃を検知する(ステップＡ２)。ＩＤＳ５００は検知した攻撃の攻撃元がＰＣ２００であることを管理プログラム７００へ通知する（ステップＡ３）。
【００２９】
管理プログラム７００はＩＤＳ５００からの通知を受信すると、保持しているＩＰネットワーク１００の機器の接続情報（図６に示す）を調べて、ＩＤＳ５００がスイッチ４００に接続されていることを特定する（ステップＡ４）。また、接続情報（図６に示す）からスイッチ４００の各接続先における全てのサブネットワークを作成する（ステップＡ５）。
【００３０】
図６はＩＰネットワーク１００内の各機器の接続情報を示す。図３と同様にＰＣやスイッチ等の各機器毎に接続先１、接続先２、…、の接続情報を保持している。例えば、スイッチ４００の接続先は４つあり、接続先１はスイッチ４１０、接続先２はスイッチ４ｎ０、接続先３はＩＤＳ５００、接続先４は管理サーバ６００である。
【００３１】
また、図７はスイッチ４００のサブネットワークを示す。スイッチ４００は接続先が４つあり、それぞれの接続先に繋がる構成をサブネットワークとする。例えば、サブネットワーク１として、スイッチ４１０、スイッチ９００、スイッチ９ｎ０、ＰＣ２００、ＰＣ２ｎ０、ＰＣ８００、ＰＣ８ｎ０がある。また、サブネットワーク２として、スイッチ４ｎ０、ＰＣ３００、ＰＣ３ｎ０がある。
【００３２】
次に、得られたサブネットワークの中から攻撃元のＰＣ２００が含まれているサブネットワークを調べ、、ＰＣ２００が含まれているサブネットワーク１を見つける（ステップＡ６）。見つかったサブネットワーク１をコンピュータウィルスに感染しているネットワーク或いはウィルスに感染している疑いのあるネットワークとして管理プログラム７００上に表示を行う（ステップＡ７）。
【００３３】
以上のように第１及び第２の実施形態では、管理プログラム上にネットワーク内の接続情報を持ち、その接続情報とＩＤＳ５００で検知されたコンピュータウィルスによる攻撃元情報に基づいてウィルス感染エリア等のネットワーク範囲を特定しているので、ＩＤＳ５００では監視できていないネットワーク範囲に関しても、コンピュータウィルスの感染エリア或いはウィルス感染の疑いのあるエリアとして検知することが可能となる。
【００３４】
なお、図１、図５で説明した管理プログラム７００は管理サーバ６００上の図示しないＲＯＭ等の記憶手段に電子的に格納されており、管理サーバ６００がそれを実行することによって図２の処理手順が可能となる。
【産業上の利用可能性】
【００３５】
本発明は、スイッチの設定変更を行うプログラムと連携することにより、ＩＤＳでのコンピュータウィルス検出時にコンピュータウィルス感染の疑いのあるネットワークエリアを隔離するといった用途に適用できる。
【図面の簡単な説明】
【００３６】
【図１】本発明の第１の実施形態を示すブロック図である。
【図２】第１の実施形態の動作を示すフローチャートである。
【図３】第１の実施形態のＩＰネットワークの接続情報を示す図である。
【図４】第１の実施形態のサブネットワークを示す図である。
【図５】本発明の第２の実施形態を示すブロック図である。
【図６】第２の実施形態のＩＰネットワークの接続情報を示す図である。
【図７】第２の実施形態のサブネットワークを示す図である。
【符号の説明】
【００３７】
１００  ＩＰネットワークシステム
２００  ＰＣ
２ｎ０  ＰＣ
３００  ＰＣ
３ｎ０  ＰＣ
４００  スイッチ
４１０  スイッチ
４ｎ０  スイッチ
５００  ＩＤＳ
６００  管理サーバ
７００  管理プログラム
８００  ＰＣ
８ｎ０  ＰＣ
９００  スイッチ
９ｎ０  スイッチ
【図１】
2006252277.tif 000003
【図２】
2006252277.tif 000004
【図３】
2006252277.tif 000005
【図４】
2006252277.tif 000006
【図５】
2006252277.tif 000007
【図６】
2006252277.tif 000008
【図７】
2006252277.tif 000009