(57)【要約】【課題】  電子メールを媒体として感染を拡大するコンピュータウイルスに対して、ワクチンベンダから発行される新種ウイルスの情報を基に迅速に対応し、社内への侵入・感染拡大を防止すると共に、管理者が対応状況を把握できる様にする。【解決手段】  ワクチンベンダから送付される新種コンピュータウイルスの情報が記載された電子メールからウイルス名、危険度を示す値を抽出する。社内における基準値と比較し、危険度が高い場合は危険なウイルスと判定し、新種ウイルス名と社内におけるウイルス定義ファイル内にあるウイルス名を比較し、同じものがあれば社内において新種ウイルスに対応すると判定し、対応状況をメールで管理者の移動通信機器等に通知する。【選択図】  図１
2006120024.tif 000002
【特許請求の範囲】
【請求項１】
電子メールを媒体として感染するコンピュータウイルスの侵入・拡散を防止するコンピュータウイルス侵入・拡大防止システムにおいて、
コンピュータウイルスの発生が検知された場合、ワクチンベンダが用いるワクチンベンダ装置からウイルス名、危険度を含むウイルス情報を受信する手段と、
前記ウイルス情報の値をキー解析して、社内ウイルス定義ファイルが対応済か否かを判断する手段と、
前記判断の結果未対応の場合は、予め定められた電子メールサーバに対して、電子メール配信プロセスを停止する情報を送信する手段とを有することを特徴としたコンピュータウイルス侵入・拡大防止システム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、新種コンピュータウイルスが発生した場合における対応方法に関し、特に、電子メールを媒体として感染するコンピュータウイルスが社内ネットワークへ侵入・拡大するのを防止する事に好適なシステム及び防止方法
【背景技術】
【０００２】
近年、電子メール技術の発展、普及の成熟により、電子メールを媒体として感染拡大するコンピュータウイルス被害の大規模化・感染拡大の高速化の事実があり、対応する防止策も考案されている。
【０００３】
この種の対策システムは、例えば特開２００２−２２３２５６号に記載されているように、メール内の不振な宛先を検知するために、コンピュータウイルスに感染したメール動作を検出するものである。本発明においては、ワクチンベンダの最新の情報を解析し、社内の対応状況を確認してから社外とのメール送受信を停止する等の侵入、拡大防止策を講じている。
【０００４】
【特許文献１】特開２００２−２２３２５６  号公報
【発明の開示】
【発明が解決しようとする課題】
【０００５】
従来の技術は、コンピュータウイルスに対する定義ファイルを基に検知、感染防止を行ってきた。現在のウイルスは感染範囲の拡大が高速化している事実があり、新種ウイルスの発生から対応するウイルス定義ファイルがワクチンベンダから提供されるまでにタイムラグが発生し、その間にウイルスが社内に侵入、拡大してしまう恐れがある。本発明の目的は、危険度が高いウイルスについては、定義ファイルが対応するまで、感染した電子メールが入り込む前に、全ての侵入経路を一時的に遮断し、ウイルス定義ファイルの対応後に再開する事であり、それらの操作を管理者が把握し、必要に応じて追加操作を加えるシステムを提供する事にある。
【課題を解決するための手段】
【０００６】
電子メールを媒体として感染する新種コンピュータウイルスが発生した場合において、社内のウイルス定義ファイルが対応しているかどうかをチェックし、未対応であれば社外とのメール配信プロセスを停止する事で、感染した電子メールが社内に入る事を防ぐシステムである。新種ウイルスの社内における対応状況の確認は、ワクチンベンダから送付される新種ウイルス情報メールからウイルス名を抽出し、それを基に社内ウイルス定義ファイルＤＢを検索し一致するものがあったら対応済みとする。更に未対応の場合でも、危険度が低いものについては、メール配信プロセスの停止までは行わない。
【０００７】
危険度の判定については、上記新種ウイルス情報メールの中から危険度を表す値を抽出し、予め管理者が設定しておいた基準値と比較し、基準値を上回る様であれば社内にとって危険なウイルスと判定する。これら新種ウイルスに対する社内ウイルス定義ファイルの対応状況等を管理者の移動通信機器等に送信する事で管理者が状況を把握すると共に、必要に応じて追加処理を行うことで新種ウイルスの侵入・拡大を防止する事が可能である。
【発明の効果】
【０００８】
以上、説明したように本発明によれば、電子メールを利用したコンピュータウイルスの感染拡大速度がいかに速い場合においても、社外において新種ウイルスの発生が確認された時点で社内への侵入経路を遮断するので社内へウイルスが侵入・拡大する事を防止する事が可能になる。更に、社内の対応の状況を管理者の移動通信機器に通知するため、必要に応じてメール配信の再開や遮断を早めるといった柔軟な対応が可能になる。
【発明を実施するための最良の形態】
【０００９】
以下、本発明によるコンピュータウイルス・侵入拡大防止システム及び防止方法の実施形態を図１〜４により、順に詳細を説明する。なお、以下に説明する本発明の実施形態は、ワクチンベンダから送付された新種ウイルス情報メールを解析し社内の新種ウイルスに対する対応状況を確認し、危険なものについてはメール配信のプロセスを一時停止する処理行う一連の処理の流れを示すものである。処理の流れの中で、システムから管理者への通知、管理者からシステムへの対応状況の確認方法や、追加的な処理についても記載している。
【００１０】
図１は、本発明の一実施形態の全体構成図である。図１において、１０１はワクチンベンダ、１０２は新種ウイルス情報メール、１０３は正式版定義ファイル、１０４はβ版ウイルス定義ファイル、１０５はワクチンベンダの新種ウイルス情報メール発信処理、１０７は社内情報システム部門の管理者、１０８は１０７が所有するＰＣなどの情報機器端末等、１０９は１０７が所有する携帯電話などの移動通信端末等、１１０は社内に設置してある解析専用サーバ、１１１は解析プログラム、１１２は社内のウイルス定義ファイルチェックプログラム、１１３は１１０のサーバ内で動作している１１１と１１２間でのデータの処理、１１４は１１２と社内ウイルス定義ファイルＤＢ間でのデータの処理、１１５は１１１が処理を行った結果の管理者への通知処理、１１６は管理者から解析プログラムへウイルスの対応状況の問い合わせ処理、１１７はワクチンベンダから更新されるウイルス定義ファイルの更新処理、１１８はウイルス定義ファイルサーバ、１１９は社内ウイルス定義ファイルＤＢ、１２０は社内における正式版ウイルス定義ファイル、１２１は社内ウイルス定義ファイルテーブル（β版）、１２２はメールウイルスチェックサーバへのβ版ウイルス定義ファイルの更新処理、１２３はメールウイルスチェックサーバ、１２４はメール配信プロセス、１２５は１１１による１２４の一時停止・開始処理、１２６は１０７による１２４の一時停止・開始処理、１２７は１０７によるβ版ウイルス定義ファイルのクライアントＰＣへの配信開始処理、１２８はβ版ウイルス定義ファイル配信プログラム、１２９はクライアントＰＣへのβ版プログラム更新処理、１３０はクライアントＰＣへの正式版定義ファイルの更新処理、１３１はクライアントＰＣである。
【００１１】
１０１は、新種ウイルスが発生した時に新種ウイルスのウイルス名、危険度が記載された情報メールと、新種ウイルスに対抗するための最新正式版ウイルス定義ファイル、β版ウイルス定義ファイルを有している。
【００１２】
１０７は、新種ウイルスに対して社内ウイルス定義ファイルが対応しているかどうか、危険度はどの程度かの情報を受け取るためのＰＣ等の情報機器端末、携帯電話等の移動通信端末を有している。
【００１３】
１１０は、１０２を解析する解析プログラム、新種ウイルスに対してウイルス定義ファイルが対応しているかどうかを１１９のテーブルを参照してチェックするウイルス定義ファイルチェックプログラムを有している。
１１８は１２３や１３１及びその他のウイルスチェックサービスがウイルスに対抗するために使用するウイルス定義ファイルを格納する１１９と緊急時にクライアントＰＣへβ版ウイルス定義ファイルを配信するプログラム１２８を有している。
１２３は、社内と社外のメールの送受信を行う１２４を有している。
【００１４】
図１に示す構成の中で、新種ウイルス発生時の流れを以下に示す。
（１）新種ウイルスが発生するとワクチンベンダ１０１は、新種ウイルスのウイルス名、危険度を決定し、それらの情報が格納された新種ウイルス情報メール１０２を社内情報システム管理者１０７が有するＰＣ等の情報端末１０８と携帯電話等の移動通信機器１０９、及び解析専用サーバ１１０へ送付処理１０５、１０６を実行する。
【００１５】
（２）解析専用サーバ１１０は新種ウイルス情報メール１０２を受信すると、解析プログラム１１１を実行し新種ウイルスの危険度を分析すると共に、ウイルス定義ファイルチェックプログラム１１２と連携１１３し、社内における定義ファイルの対応状況を確認する。ウイルス定義ファイルチェックプログラム１１２は、社内ウイルス定義ファイルサーバ１１８が有する社内ウイルス定義ファイルＤＢ１１９内の社内ウイルス定義ファイルテーブル（β版）１２１内の定義ファイルに記載されているウイルス名と新種ウイルス名を比較処理１１４し、定義ファイルが対応済みかどうかのチェックを行う。
【００１６】
（３）解析プログラム１１１は、上記（２）の処理において社内で危険であると判定された場合には、管理者１０７のＰＣ１０８や移動通信機器１０９等に対応状況をメールにて通知処理１１５する。メールには、ウイルス名、危険度、対応状況が記載され、対応済みの場合には、対応した定義ファイルの世代ＮＯも記載する。
【００１７】
（４）定義ファイルが未対応の場合は、メールウイルスチェックサーバ１２３が有するメール配信プロセス１２４を一時停止処理１２５させ、社内と社外とのメールの送受信を全て停止する事で、新種ウイルスの侵入・拡大を防止する。
【００１８】
（５）その間も、ワクチンベンダ１０１によって作成されたβ版ウイルス定義ファイル１０４は、社内ウイルス定義ファイルテーブル（β版）１２１に対して更新処理１１７が続けられている。ウイルス定義ファイルチェックプログラム１１２は、更新される定義ファイルのウイルス名と新種ウイルス名の比較処理１１４を行う事で対応状況を確認し、新種ウイルスに対応する社内ウイルス定義ファイルが更新されるとメール配信プロセスの再開処理１２５を実行する。
【００１９】
（６）メール配信プロセス１２４が一時停止されている間も、管理者１０７の判断によりウイルス定義ファイルの対応を待たずして、メール配信プロセスの再開処理１２６をメールにて行う事ができる。
【００２０】
（７）社内における危険度が低いと判定されたウイルスに関しても、管理者１０７は解析専用サーバ１１０が有する解析プログラム１１１にメールし、確認処理１１６を行うことで社内における新種ウイルスの対応状況を把握する事ができる。そこで未対応の場合は、管理者１０７の判断により、メールウイルスチェックサーバ１２７が有するメール配信プロセス１２４への一時停止処理１２６をメールにて行う事もできる。その後、上記（５）の処理同様、ウイルス定義ファイルチェックプログラム１１２にて社内ウイルス定義ファイルが対応された事を検知すると解析プログラム１１１がメールの配信プロセス１２４の再開処理１２５を行う。これについても上記（３）同様、管理者１０７が再開処理１２６をメールにて行う事ができる。
【００２１】
（８）社内における、クライアントＰＣ１３１は正式版ウイルス定義ファイルによって更新１３０され、ウイルス対策を行っている。正式版ウイルス定義ファイルは定義ファイルとして完全な形になってから発行されるため、β版ウイルス定義ファイルに比べてワクチンベンダより遅い。上記（３）の処理にて、管理者１０７へ対応状況の通知が届いた際、対応済みであっても定義ファイルの世代ＮＯの値が小さい（定義ファイルが対応したばかり）場合、既に社内に侵入してしまっている事も想定される。その場合は、管理者１０７の判断で、メールウイルスチェックサーバ１２３用のβ版ウイルス定義ファイルのクライアントＰＣへの配信ジョブ１２７をβ版ウイルス定義ファイル配信プログラム１２８へ発行する。β版ウイルス定義ファイル配信プログラム１２８は、その処理を受けると社内ウイルス定義ファイルテーブル（β版）からβ版ウイルス定義ファイルを抽出し、クライアントＰＣへ配信１２９する。
【００２２】
図１に示す上記一連の処理の中にある解析プログラムの処理フローについて、図２に示す。図１の全体図の流れ同様、解析プログラムについても新種ウイルスが発生した場合は、多重処理が行われる。以下に、図２の詳細を説明する。
（１）ワクチンベンダから送付される新種ウイルス情報メールを解析専用サーバが受信する。この当該解析専用サーバが受信を検知すると、解析プログラムが開始する。すなわち、ステップ２０２〜２１８の処理を実行する。（ステップ２０１）
（２）そのメールの中に含まれるウイルス名及び危険度を表す値を抽出する。この抽出方法としては、メール内の特定の文字列と所定の位置関係にあるウイルス名及び危険度を抽出する。例えば、特定の文字列の後もしくは前に配置されたウイルス名及び危険度を抽出する。尚、特定の文字列はワクチンベンダから送付される新種ウイルス情報メールの形態に応じて管理者が予め設定しておく。特定の文字列から抽出する方法の例として、特定の文字列を「Name：」、「Level:」を設定したとする。「Name：」に続く文字から改行コードを検出するまでの文字列をウイルス名とし、「Level:」に続く数値の1文字を危険度にするといった方法がある。(ステップ２０２)
（３）管理者は予めサーバ側に社内において危険とされる基準値を設定しておく。ステップ２０２で抽出された危険度と基準値を比較する。（ステップ２０３）
（４）危険度が基準値未満の場合には処理を終了する。危険度が基準値以上の場合は、ステップ２０５を行う。（ステップ２０４）
（５）新種ウイルスの社内における対応状況を調べるために、ウイルス名の文字列をウイルス定義ファイルチェックプログラムへ渡す。（ステップ２０５）
（６）ウイルス定義ファイルチェックプログラムより、社内ウイルス定義ファイルの対応状況を受け取る。対応している場合は、対応が確認された定義ファイルの世代ＮＯの値も受け取る。（ステップ２０６）
（７）受け取った値を基に対応済みか未対応かを判定する。対応済みであれば、ステップ２０８へ移行する。未対応であれば、ステップ２０９へ移行する。（ステップ２０７）
（８）管理者の移動通信機器等へ「ウイルス名」、「対応済み」の文字列、「危険度」、「世代ＮＯ」の値が記載されたメールを発行し、処理を終了する。（２０８）
（９）管理者の移動通信機器等へ「ウイルス名」、「未対応」の文字列、「危険度」の値が記載されたメールを発行する。（ステップ２０９）
（１０）ステップ２１１以降の処理は、危険度が低い未対応ウイルス等があった場合において、管理者の判断によりメール配信処理を止めたい場合にも開始される。その際、管理者の移動通信機器等からウイルス名及びメール配信停止のコマンドが記載されたメールを発行され、解析専用サーバが受信を検知すると、メールに記載されているウイルス名を抽出し、ステップ２１１以降の処理を開始する。(ステップ２１０)
（１１）危険ウイルステーブルにウイルス名（何かしらの文字列）があるかどうかをチェックする。ウイルス名があればメール配信プロセスが停止しているということになる。ウイルス名が無い場合は、ステップ２１２を行う。ある場合はステップ２１３を行う。（ステップ２１１）
（１２）メール配信プロセスを停止するためのコマンドをメールウイルスチェックサーバに対して発行し、プロセスを一時停止する。（ステップ２１２）
（１３）未対応の当該ウイルス名を危険ウイルステーブルに追加する。(ステップ２１３)
（１４）一定時間経過後、再度該当ウイルス名をウイルス定義ファイルチェックプログラムへ渡し、社内ウイルス定義ファイルの更新により該当ウイルスに対応したかどうかのチェックを行い、結果を受け取る。（ステップ２１４）
（１５）受け取った値を基に対応済みか未対応かを判定する。対応済みの場合は、ステップ２１６へ移行する。未対応の場合は、再度ステップ２１４の処理を行う。（ステップ２１５）
（１６）危険ウイルステーブルの該当のウイルス名を削除する。（ステップ２１６）
（１７）一定時間経過後、再度危険ウイルステーブルを参照し、ウイルス名があるかどうかをチェックする。ある場合は、一定時間経過後再度、チェックする。無い場合は、ステップ２１８へ移行する。（ステップ２１７）
（１８）メールウイルスチェックサーバ内で動作しているメール配信プロセスを再開して処理を終了する。（ステップ２１８）
図１において、管理者１０７がワクチンベンダ１０１より新種ウイルス情報メール１０２を受信した際、危険度の低い新種ウイルスであった場合、社内の解析プログラムからは、社内のウイルス定義ファイルが対応しているかどうかの結果が送られて来ない。そこで、管理者１０７は、社内のウイルス定義ファイルが対応しているかどうかの確認処理１１６において、解析プログラムに対応状況を手動で問い合わせる。この流れについて図３に示す。以下に、図３の詳細を説明する。
（１）管理者より対応状況のウイルス名と対応状況のチェックするためのコマンドが記載されたメールを受信する。（ステップ３０１）
（２）そのメールの中からウイルス名を抽出する。（ステップ３０２）
（３）ウイルス名をウイルス定義ファイルチェックプログラムへ渡す。(ステップ３０３)
（４）ウイルス定義ファイルチェックプログラムより、社内ウイルス定義ファイルの対応結果を受け取る。対応している場合は、対応が確認された定義ファイルの世代ＮＯの値も受け取る。（ステップ３０４）
（５）管理者の移動通信機器等へ「ウイルス名」、「対応状況の結果」の文字列、「危険度」、対応している場合は「世代ＮＯ」の値が記載されたメールを発行し、処理を終了する。（ステップ３０５）
同様に、図１、図２及び図３に示す上記一連の処理の中にあるウイルス定義ファイルチェックプログラムの処理フローについて、図４に示す。ウイルス定義ファイルチェックプログラムの役割は、解析プログラムよりウイルス名を受け取り、社内ウイルス定義ファイルが対応しているかどうかをチェックするプログラムである。以下に、図４の詳細を説明する。
（１）解析プログラムより、ウイルス名を受け取る。（ステップ４０１）
（２）受け取ったウイルス名を変数Ｖに代入する。管理者が予め設定した、社内ウイルス定義ファイルＤＢ内の社内ウイルス定義ファイルテーブル（β版）の最大世代ＮＯの値を変数Ｘに代入する。変数Ｘの定義ファイル内に記載されているウイルス名を変数Ｙに代入する。対応済みフラグとして変数Ｚを定義する。（ステップ４０２）
（３）変数Ｚに「０」を代入する。（ステップ４０３）
（４）社内ウイルス定義ファイルチェックのループ処理を開始する。（ステップ４０３）
（５）変数Ｖの文字列と変数Ｙの文字列を比較する。同じであれば、ステップ４０７へ移行する。異なるものであればステップ４０８へ移行する。（ステップ４０５）
（６）ワクチンベンダから更新されるβ版ウイルス定義ファイルは、社内ウイルス定義ファイルテーブル（β版）によって世代管理されている。世代ＮＯが「０」の定義ファイルが最も新しく更新された定義ファイルであり、世代ＮＯが大きくなるにつれ古いものになっていく。その世代ＮＯの値が代入された変数Ｘの値をマイナス１する事で一つ前の世代のウイルス定義ファイルに移行する。（ステップ４０６）
（７）新種ウイルスを示す変数Ｖと、社内のウイルス定義ファイル内のウイルス名を示す変数Ｙが同じものが発見された場合、対応済みフラグである「１」を変数Ｚに代入する。（ステップ４０７）
（８）「Ｚ＝１」又は、「Ｘ＝−１」になるまでステップ４０３から始まるループ処理を繰り返す。同値が検出されたら、ステップ４０９へ移行する。（ステップ４０８）
（９）「Ｚ＝１」つまり、新種ウイルス名に対応したウイルス定義ファイルがあったかどうかを判定する。「Ｚ＝１」の場合は、ステップ４１１へ移行する。そうでない場合は、ステップ４１０へ移行する。
（１０）「未対応」を示す文字列又は値を解析専用サーバへ返す。（ステップ４１０）
（１１）「対応済み」を示す文字列又は値を解析専用サーバへ返す。（ステップ４１１）
処理を終了する。
【００２３】
以上が、処理の流れを示したものである。図５では、処理を行う上で必要になるテーブルを示している。以下に、図５について詳細を説明する。
社内ウイルス定義ファイルテーブル（β版）５０１については、ウイルス定義ファイルのバージョン５０３とその定義ファイルで対応するウイルス名５０４、ウイルスに対応するコードが記載されたパターン５０５が記載されたウイルス定義ファイルと、それを世代管理するための世代ＮＯ５０２を１つのレコードとして、管理者が指定した最大レコード数分有している。
【００２４】
危険ウイルステーブル５０６については、ウイルス定義ファイルチェックプログラムで未対応とされた新種ウイルスについて、解析プログラムが一時的にウイルス名５０７を格納するテーブルである。ウイルス定義ファイルチェックプログラムにて、対応済みとされると解析プログラムにてテーブルのウイルス名が削除される。解析プログラムは、メール配信プロセスについて管理者が手動で再開処理を行わない限り、このテーブルにウイルス名が存在する間はメール配信を停止し続ける。
【図面の簡単な説明】
【００２５】
【図１】本発明の全体構成図である。
【図２】新種ウイルスの発生から場合に応じてメール配信の停止・再開を行う解析プログラムの主な処理フローを示したものである。
【図３】管理者からウイルスに対する社内ウイルス定義ファイル対応状況を確認するための解析プログラム処理フローである。
【図４】社内ウイルス定義ファイルが新種ウイルスに対応しているかどうかをかくにんするための、ウイルス定義ファイルチェックプログラムの処理フローである。
【図５】解析プログラム及びウイルス定義ファイルチェックプログラムが処理の際に用いる社内ウイルス定義ファイルテーブル（β版）と危険ウイルステーブルを示したものである。
【符号の説明】
【００２６】
１０１・・・ワクチンベンダ
１０２・・・新種ウイルス情報メール
１０３・・・正式版ウイルス定義ファイル
１０４・・・β版ウイルス定義ファイル
１０５・・・管理者へのメール送信（新種ウイルス情報メール）
１０６・・・解析プログラムへのメール送信（新種ウイルス情報メール）
１０７・・・管理者（社内情報システム部門担当者等）
１０８・・・管理者が利用しているＰＣ
１０９・・・管理者が利用している移動通信機器
１１０・・・解析専用サーバ
１１１・・・解析プログラム
１１２・・・ウイルス定義ファイルチェックプログラム
１１３・・・データの送受信（ウイルス名、対応状況、世代ＮＯ）
１１４・・・データの送受信（社内ウイルス定義ファイルテーブル（β版））
１１５・・・管理者へのメール送信（ウイルス名、対応状況、危険度、世代ＮＯ）
１１６・・・解析プログラムへのメール送信（ウイルス名、対応状況確認コマンド）
１１７・・・データの送信（正式版ウイルス定義ファイル、β版ウイルス定義ファイル）
１１８・・・ウイルス定義ファイルサーバ
１１９・・・社内ウイルス定義ファイルＤＢ
１２０・・・正式版ウイルス定義ファイル
１２１・・・社内ウイルス定義ファイルテーブル（β版）
１２２・・・データの送信（β版ウイルス定義ファイル）
１２３・・・メールウイルスチェックサーバ
１２４・・・メール配信プロセス
１２５・・・データの送信（メール配信プロセス停止コマンド）
１２６・・・メールの送信（ウイルス名、メール配信プロセス停止コマンド）
１２７・・・メールの送信（β版ウイルス定義ファイル配信コマンド）
１２８・・・β版ウイルス定義ファイル配信プログラム
１２９・・・データの送信（β版ウイルス定義ファイル）
１３０・・・データの送信（正式版ウイルス定義ファイル）
１３１・・・クライアントＰＣ
【図１】
2006120024.tif 000003
【図２】
2006120024.tif 000004
【図３】
2006120024.tif 000005
【図４】
2006120024.tif 000006
【図５】
2006120024.tif 000007