(57)【要約】  【課題】  大量メール送信型ワーム等の不正なコンピュータプログラムが実行されている装置を特定する監視方法、監視装置及びコンピュータプログラムを提供する。  【解決手段】  監視装置１０は、監視の対象となるパケットの中からから電子メールのドメイン名に関する情報を照会するパケットの内容を取得し（Ｓ３）、内容を取得したパケットの送信元の装置を示す送信元情報を検出し（Ｓ４）、検出した送信元情報を、予め記録しているＳＭＴＰサーバを示す情報と照合し（Ｓ５）、所定の送信元情報ではないと判定した場合（Ｓ６：ＮＯ）、送信元情報により示される送信元の装置から、位置情報に対応するドメイン名を照会するパケットが送信されているか否かを判定し（Ｓ７）、送信されていないと判定した場合（Ｓ７：ＮＯ）、メール送信型ワームの感染に対する異常処置を行う（Ｓ８）。【選択図】      図４
2006086655.tif 000002
【特許請求の範囲】
【請求項１】
通信に関する照会に対して応答するドメイン名システムへ送信されたパケットを監視する監視装置を用いた監視方法において、
前記監視装置は、
監視の対象となるパケットの中から電子メールのドメイン名に関する情報を照会するパケットの内容を取得し、
内容を取得したパケットの送信元の装置を示す送信元情報を検出し、
検出した送信元情報を、予め記録している情報と照合し、
該照合により、所定の送信元情報ではないと判定した場合に、該送信元情報に関する異常処置を実施する
ことを特徴とする監視方法。
【請求項２】
通信に関する照会に対して応答するドメイン名システムへ送信されたパケットを監視する監視装置において、
監視の対象となるパケットの中から電子メールのドメイン名に関する情報を照会するパケットの内容を取得する手段と、
内容を取得したパケットの送信元の装置を示す送信元情報を検出する手段と、
検出した送信元情報を、予め記録している情報と照合する手段と、
該照合により、所定の送信元情報ではないと判定した場合に、該送信元情報に関する異常処置を実施する手段と
を備えることを特徴とする監視装置。
【請求項３】
通信網を介しての通信に関する照会に対して応答するドメイン名システムへ送信されたパケットを監視する監視装置において、
監視の対象となるパケットの中から電子メールのドメイン名に関する情報を照会するパケットの内容を取得する手段と、
内容を取得したパケットの送信元の装置を示す送信元情報を検出する手段と、
検出した送信元情報を、予め記録している情報と照合する手段と、
該照合により、所定の送信元情報ではないと判定した場合に、該送信元情報により示される送信元の装置から、通信網上の位置を示す位置情報に対応するドメイン名を照会するパケットが送信されたか否かを判定する手段と、
ドメイン名を照会するパケットが送信されたと判定したときに、該パケットの送信元の装置に関する異常処置を実施する異常処置手段と
を備えることを特徴とする監視装置。
【請求項４】
前記異常処置手段は、メール送信型ワームの感染を通知する通知情報を送信元情報が示す送信元の装置へ送信するように構成していることを特徴とする請求項２又は請求項３に記載の監視装置。
【請求項５】
通信網に接続するコンピュータに、通信に関する照会に対して応答するドメイン名システムへ送信されたパケットを監視させるコンピュータプログラムにおいて、
コンピュータに、監視の対象となるパケットの中から電子メールのドメイン名に関する情報を照会するパケットの内容を取得させる手順と、
コンピュータに、内容を取得したパケットの送信元の装置を示す送信元情報を検出させる手順と、
コンピュータに、検出した送信元情報を、予め記録している情報と照合させる手順と、
コンピュータに、照合により、所定の送信元情報ではないと判定した場合に、該送信元情報に関する異常処置を実施させる手順と
を実行させることを特徴とするコンピュータプログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、通信に関する照会に対して応答するドメイン名システムへ送信されたパケットを監視する監視装置を用いた監視方法、該監視方法に用いられる監視装置、及び該監視装置を実現するためのコンピュータプログラムに関し、特に大量メール送信型ワームに感染した通信装置を特定する監視方法、監視装置及びコンピュータプログラムに関する。
【背景技術】
【０００２】
近年、インターネット等の通信網の発達が著しく、ビジネスシーンにおいて、また日常生活において不可欠なものとなっている。そしてインターネットの普及に伴い、ウィルス及びワームに代表される不正なプログラムの攻撃による被害が加速度的に増加している。最近増加しているワームの一種としてＮｅｔｓｋｙ等の大量メール送信型ワームがある（例えば非特許文献１及び非特許文献２参照。）。
【０００３】
大量メール送信型ワームの一種であるＮｅｔｓｋｙは、電子メール送信用サーバに搭載されるＳＭＴＰ(Simple Mail Transfer Protocol) エンジンの機能を備えており、感染しているパーソナルコンピュータ等の通信装置から収集した電子メールアドレスに対して、自己を複製したコンピュータプログラム等の不正なコンピュータプログラムを実行させる電子メールを送信するという破壊活動を行う。
【０００４】
ウィルス及びワームの感染を検出し駆除する方法としてはワクチンプログラムと呼ばれるアプリケーションプログラムを用いることが一般に行われている。ワクチンプログラムでは、ウィルス、ワーム等の不正なコンピュータプログラムの特徴を示すパターンファイルと電子メール及び記録しているファイルとのマッチングを行うことによりウィルス及びワームの検出を行う。
【非特許文献１】“最新メール型ウィルス事情（３）−ｎｉｋｋｅｉｉｂｐ−専門家の眼”、[online]、平成１６年７月２３日、日経ＢＰ社、［平成１６年９月１４日検索］、インターネット＜URL: http://nikkeibp.jp/wcs/leaf/CID/onair/jp/rep02/320720＞
【非特許文献２】“Ｗ３２．Ｎｅｔｓｋｙ．Ｑ＠ｍｍ”、[online]、平成１６年４月２２日、Symantec Corporation、［平成１６年９月１４日検索］、インターネット＜URL: http://www.symantec.com/region/jp/sarcj/data/w/w32.netsky.q@mm.html＞
【発明の開示】
【発明が解決しようとする課題】
【０００５】
しかしながらワクチンプログラムにて用いられるパターンファイルは、発見された不正プログラムに対する解析が完了後、解析結果に基づいて作成され、例えばインターネットを通じて提供される。従ってパターンファイルが提供されるまでの間は、新種のウィルス、ワーム等の不正なコンピュータプログラムが電子メールにて送信されてきたとしても、これらの不正なコンピュータプログラムを検知することができず被害を拡大させるという問題がある。またパターンファイルの更新は手動で行われる場合が多いため、パターンファイルが更新されていたとしても通信装置のユーザがパターンファイルを更新していない場合には不正なコンピュータプログラムを検知することができず被害を拡大させるという問題がある。
【０００６】
さらにＮｅｔｓｋｙ等の大量メール送信型ワームは、電子メールで不正なコンピュータプログラムを送信する場合に送信者を偽装するため、実際に感染している通信装置を特定することが困難であるという問題がある。
【０００７】
本発明は斯かる事情に鑑みてなされたものであり、通信に関する照会に対して応答するＤＮＳサーバコンピュータを用いたドメイン名システムへ送信される様々なパケットの中から電子メールのドメイン名に関する情報を照会するＭＸ(Mail Exchanger)レコードを含むパケットの内容を取得し、当該パケットの送信元の装置が予め登録されている装置でない場合に、送信元の装置を大量メール送信型ワーム等の不正なコンピュータプログラムが実行されている可能性の高い装置と判断し、異常処置を実施することにより、例えばパターンファイルの更新が行われていない場合にでも大量メール送信型ワームによる被害の拡大を防止することが可能であり、しかも不正なコンピュータプログラムが実行されている装置を特定することが可能な監視方法、該監視方法に用いられる監視装置、該監視装置を実現するためのコンピュータプログラムの提供を目的とする。
【課題を解決するための手段】
【０００８】
第１発明に係る監視方法は、通信に関する照会に対して応答するドメイン名システムへ送信されたパケットを監視する監視装置を用いた監視方法において、前記監視装置は、監視の対象となるパケットの中から電子メールのドメイン名に関する情報を照会するパケットの内容を取得し、内容を取得したパケットの送信元の装置を示す送信元情報を検出し、検出した送信元情報を、予め記録している情報と照合し、該照合により、所定の送信元情報ではないと判定した場合に、該送信元情報に関する異常処置を実施することを特徴とする。
【０００９】
本発明では、電子メールのドメイン名に関する情報を照会するＭＸレコードを含むパケットの内容を取得し、かつその送信元が予め記録している電子メール送信用サーバコンピュータと異なる装置であると判定した場合、当該パケットは、例えば大量メール送信型ワームに感染した装置からワームの機能により送信される不正な目的のパケットであると判断することにより、大量メール送信型ワーム等の不正なコンピュータプログラムが実行されている装置を特定することが可能であり、ワクチンプログラムのパターンファイルの更新が行われていない場合にでも大量メール送信型ワームによる被害の様な不正なプログラムによる被害の拡大を防止することが可能である。
【００１０】
第２発明に係る監視装置は、通信に関する照会に対して応答するドメイン名システムへ送信されたパケットを監視する監視装置において、監視の対象となるパケットの中から電子メールのドメイン名に関する情報を照会するパケットの内容を取得する手段と、内容を取得したパケットの送信元の装置を示す送信元情報を検出する手段と、検出した送信元情報を、予め記録している情報と照合する手段と、該照合により、所定の送信元情報ではないと判定した場合に、該送信元情報に関する異常処置を実施する手段とを備えることを特徴とする。
【００１１】
本発明では、電子メールのドメイン名に関する情報を照会するＭＸレコードを含むパケットの内容を取得し、かつその送信元が予め記録している電子メール送信用サーバコンピュータと異なる装置であると判定した場合、当該パケットは、例えば大量メール送信型ワームに感染した装置からワームの機能により送信される不正な目的のパケットであると判断することにより、大量メール送信型ワーム等の不正なコンピュータプログラムが実行されている装置を特定することが可能であり、ワクチンプログラムのパターンファイルの更新が行われていない場合にでも大量メール送信型ワームによる被害の様な不正なプログラムによる被害の拡大を防止することが可能である。
【００１２】
第３発明に係る監視装置は、通信網を介しての通信に関する照会に対して応答するドメイン名システムへ送信されたパケットを監視する監視装置において、監視の対象となるパケットの中から電子メールのドメイン名に関する情報を照会するパケットの内容を取得する手段と、内容を取得したパケットの送信元の装置を示す送信元情報を検出する手段と、検出した送信元情報を、予め記録している情報と照合する手段と、該照合により、所定の送信元情報ではないと判定した場合に、該送信元情報により示される送信元の装置から、通信網上の位置を示す位置情報に対応するドメイン名を照会するパケットが送信されたか否かを判定する手段と、ドメイン名を照会するパケットが送信されたと判定したときに、該パケットの送信元の装置に関する異常処置を実施する異常処置手段とを備えることを特徴とする。
【００１３】
本発明では、ＭＸレコードを含むパケットの内容を取得し、かつその送信元が予め記録している電子メール送信用サーバコンピュータと異なる装置であると判定した場合で、更にその送信元の装置が位置情報に対応するドメイン名を照会するＰＴＲ(Pointer) レコードを含むパケットを送信してないと判定したとき、当該パケットは大量メール送信型ワームに感染した装置から、ワームの機能により送信されたパケットであると判断することにより、大量メール送信型ワームが実行されている装置を特定することが可能であり、ワクチンプログラムのパターンファイルの更新が行われていない場合にでも大量メール送信型ワームによる被害の拡大を防止することが可能である。なおＰＴＲレコードを伴っていると判定したとき、当該パケットの送信元の装置は、スパムメール中継サーバコンピュータであると判断する。
【００１４】
第４発明に係る監視装置は、第２発明又は第３発明において、前記異常処置手段は、メール送信型ワームの感染を通知する通知情報を送信元情報が示す送信元の装置へ送信するように構成していることを特徴とする。
【００１５】
本発明では、大量メール送信型ワーム等の不正なプログラムが実行されている装置を操作する操作者が、不正なプログラムが実行されていることに気付いていない場合であっても、通知情報を送信することにより、不正なプログラムの実行を操作者に確認させることが可能である。
【００１６】
第５発明に係るコンピュータプログラムは、通信網に接続するコンピュータに、通信に関する照会に対して応答するドメイン名システムへ送信されたパケットを監視させるコンピュータプログラムにおいて、コンピュータに、監視の対象となるパケットの中から電子メールのドメイン名に関する情報を照会するパケットの内容を取得させる手順と、コンピュータに、内容を取得したパケットの送信元の装置を示す送信元情報を検出させる手順と、コンピュータに、検出した送信元情報を、予め記録している情報と照合させる手順と、コンピュータに、照合により、所定の送信元情報ではないと判定した場合に、該送信元情報に関する異常処置を実施させる手順とを実行させることを特徴とする。
【００１７】
本発明では、コンピュータにて実行することにより、コンピュータが本発明の監視装置として動作し、電子メールのドメイン名に関する情報を照会するＭＸレコードを含むパケットの内容を取得し、かつその送信元が予め記録している電子メール送信用サーバコンピュータと異なる装置であると判定した場合、当該パケットは、例えば大量メール送信型ワームに感染した装置から、ワームの機能により送信される不正な目的のパケットであると判断することにより、大量メール送信型ワーム等の不正なコンピュータプログラムが実行されている装置を特定することが可能であり、ワクチンプログラムのパターンファイルの更新が行われていない場合にでも大量メール送信型ワームによる被害の様な不正なプログラムによる被害の拡大を防止することが可能である。
【発明の効果】
【００１８】
本発明に係る監視方法、監視装置及びコンピュータプログラムは、通信に関する照会に対して応答するドメイン名システムへ送信されたパケットの中から、電子メールのドメイン名に関する情報を照会するＭＸレコードを含むパケットの内容を取得し、内容を取得したパケットの送信元の装置が予め登録している電子メール送信用サーバコンピュータではないと判定した場合で、当該送信元の装置から位置情報に対応するドメイン名を照会するＰＴＲレコードを送信してないと判定したとき、送信元の装置に対する通知、送信元の装置から送信されるパケットのフィルタリング等の異常処置を実施する。
【００１９】
本発明では、予め登録されている電子メール送信用サーバコンピュータ以外の装置は、ドメイン名システムのサーバコンピュータへＭＸレコードに関するパケットを送信することが通常では考えられないことから、異常な状態に陥っていると判断する。電子メール送信用サーバコンピュータ以外の装置がＭＸレコードに関するパケットを送信する状況としては、大量メール送信型のワームに感染している装置が、ワームにて実行されるＳＭＴＰエンジンとしての機能により、収集した電子メールアドレスに対して電子メールを送信するという破壊活動を実行する前段階として、電子メールアドレスのドメイン名に対応するＩＰアドレス等の位置情報を収集すべくＭＸレコードに関するパケットを送信するという状況が想定される。なおＭＸレコードに関するパケットを送信している装置が、スパムメールを中継するスパムメール中継サーバとして利用されているという状況も想定することができるが、いずれにしても異常な状態であると判断することによる支障はない。また大量メール送信型ワームの感染と、スパムメール中継サーバとは、ＭＸレコードと共にＰＴＲレコードに関するパケットが送信されているか否かにより判定することができる。大量メール送信型ワームに感染している装置が、ＰＴＲレコードに関するパケットを送信することは考え難いからである。
【００２０】
本発明では、この構成により、大量メール送信型ワーム等の不正なコンピュータプログラムが実行されている装置を特定することが可能であり、ワクチンプログラムのパターンファイルの更新が行われていない場合にでも大量メール送信型ワームによる被害の様な不正なプログラムによる被害の拡大を防止することが可能である等、優れた効果を奏する。しかも大量メール送信型ワームに感染している装置を特定することができるので、当該装置を操作する操作者に対して通知等の処置を行うことにより、ワームの早期駆除を実施することが可能であり、また当該装置から送信される電子メールの受信を制限することも可能である等、優れた効果を奏する。
【発明を実施するための最良の形態】
【００２１】
以下、本発明をその実施の形態を示す図面に基づいて詳述する。
【００２２】
図１は、本発明の監視方法を適用した通信システムの構成を示すブロック図である。図１中１０は、ドメイン名システムサーバコンピュータ（以下、ＤＮＳサーバという）を用いた本発明の監視装置であり、監視装置１０は、ＬＡＮ等の内部通信網１０１に接続している。内部通信網１０１には、ファイアウォールサーバコンピュータを用いた制限装置２０、ルーティングを行う経路決定装置３０等の様々な装置が接続されており、経路設定装置３０は、インターネット等の外部通信網１０２に接続している。外部通信網１０２には、パーソナルコンピュータ、電子メール送信用サーバコンピュータ（以下ＳＭＴＰサーバという）等の様々な通信装置４０，４０，…が接続されている。なお内部通信網１０１にも図示しない様々な通信装置が接続されている。
【００２３】
監視装置１０として用いられるＤＮＳサーバは、内部通信網１０１又は外部通信網１０２上の位置を示す位置情報であるＩＰアドレスと、ドメイン名とを対応付けて記録しており、通信に関する様々な照会に対して応答する。ＤＮＳサーバに対する照会としては、ドメイン名を位置情報に対応付けるＡ(Address) レコードによる照会、位置情報をドメイン名に対応付けるＰＴＲレコードによる照会、電子メールアドレスのドメイン名を受信用メールサーバコンピュータ（以下、ＰＯＰ(Post Office Protocol)サーバという）に関する位置情報等の情報に対応付けるＭＸレコードによる照会等の照会を例示列挙することができる。そしてＤＮＳサーバとして実行した処理の記録を元に、本発明の監視装置１０として、不正なプログラムが実行されている装置の特定等の各種処理を行う。
【００２４】
図２は、本発明の監視装置１０の構成を示すブロック図である。監視装置１０は、装置全体を制御するＣＰＵ等の制御手段１１、本発明の監視装置用のコンピュータプログラム２０１及びデータ等の各種情報を記録したＣＤ−ＲＯＭ等の記録媒体２０２から各種情報を読み取るＣＤ−ＲＯＭドライブ等の補助記憶手段１２、補助記憶手段１２により読み取った各種情報を記録するハードディスク、ＲＡＩＤ(Redundant Arrays of Inexpensive Disks) 等の記録手段１３、情報を一時的に記憶するＲＡＭ等の記憶手段１４、時刻を示す時計手段１５、並びに内部通信網１０１に接続するＬＡＮポート等の通信手段１６を備えている。そして記録手段１３から本発明のコンピュータプログラム２０１及びデータ等の各種情報を読み取り、記憶手段１４に記憶させてコンピュータプログラム２０１に含まれる各種手順を実行することで、コンピュータは本発明の監視装置１０として動作する。
【００２５】
監視装置１０が備える記録手段１３の記録領域の一部は、ＤＮＳサーバとしての機能を実現するためＩＰアドレスの位置情報及びドメイン名を対応付ける各種レコードを記録するドメイン名データベース（ＤＮＳ  ＤＢ）１３ａ、受信したパケットの内容を記録する記録データベース（Ｌｏｇ  ＤＢ）１３ｂ、予め登録されているＳＭＴＰサーバの位置情報を記録する登録サーバデータベース（Ａｕｔｈ  ＤＢ）１３ｃ等の各種データベースとして用いられる。なお監視装置１０が備える記録手段１３の記録領域の一部をドメイン名データベース１３ａ、記録データベース１３ｂ、登録サーバデータベース１３ｃ等の各種データベースとして用いるのではなく、監視装置１０に接続された他の装置を各種データベースとして用い、必要に応じてアクセスする様にしても良い。
【００２６】
図３は、本発明の監視装置１０が備える記録データベース１３ｂの記録内容を概念的に示す説明図である。記録データベース１３ｂには、監視装置１０がＤＮＳサーバコンピュータとして受信したパケットの内容が記録されており、図中「Ａ」として示した箇所は、受信日時を示し、「Ｂ」として示した箇所は、ホスト名、プロセス名及びプロセスＩＤを示しており、「Ｃ」として示した箇所は、パケットの送信元の位置を示すＩＰアドレスである送信元情報を示しており、「Ｄ」として示した箇所は、当該パケットの照会内容を示している。照会内容の末尾が「ＩＮ  ＰＴＲ」であるパケットは、「１８．ＡＡＡ．ＢＢＢ．ＣＣＣ」等の位置情報に対応するドメイン名を照会するＰＴＲレコードである。照会内容の末尾が「ＩＮ  ＭＸ」であるパケットは、「＊＊＊＊＊＊．ｊｐ」等のドメイン名に対応する位置情報を照会するＭＸレコードである。照会内容の末尾が「ＩＮ  Ａ」であるパケットは、「ｍｘ１．＊＊＊＊＊＊．ｊｐ」等のドメイン名に対応する位置情報を照会するＡレコードである。なお本発明の説明においてＩＰアドレスである位置情報の例示に一部符号を用いているが、実際の位置情報、例えばＶｅｒｓｉｏｎ４として規定される位置情報は、３２ビットの数列を８ビットごとに区切った数列、即ち０〜２５５の数値を４つ並べた数列として示される。また例示したドメイン名も実在しない架空のものであり、実際には、数字、英字及び使用可能な記号により示される。
【００２７】
次に電子メールの配送について説明する。電子メールは、送信側の端末装置から受信側の端末装置へ、電子メールアドレスに基づいて送信される。電子メールアドレスは、アカウント名、区切り記号及びドメイン名を組み合わせた符号列として構成されている。例えば電子メールアドレスが「webmaster@jp.fujitsu.com」である場合、アカウント名が「webmaster 」、区切り記号が「@ 」、そしてドメイン名が「jp.fujitsu.com」となる。送信側の端末装置は、ＳＭＴＰサーバへ電子メールを送信する。ＳＭＴＰサーバでは、受信した電子メールの電子メールアドレスに示されているアカウント名に対応する位置情報の照会を、ＤＮＳサーバに対して行う。ＤＮＳサーバでは照会に対してＭＸレコードとして記録されている位置情報を送信し、ＳＭＴＰサーバでは、位置情報に基づいて、ＰＯＰサーバへ電子メールを送信する。そして受信側の端末装置は、ＰＯＰサーバに対して問い合わせを行い、ＰＯＰサーバでは、問い合わせに対してＳＭＴＰサーバから受信した電子メールを受信側の端末装置へ送信する。
【００２８】
次に本発明の監視方法にて用いられる各種装置の処理について説明する。図４は、本発明の監視装置１０の異常装置特定処理を示すフローチャートである。監視装置１０では、１０秒等の所定時間毎にＤＮＳサーバが受信した監視の対象となるパケットの内容を取得し、取得した内容に基づいて異常な状態となっている通信装置４０を特定する異常装置特定処理を実行する。監視装置１０は、記憶手段１４に記憶させたコンピュータプログラム２０１を実行する制御手段１１の制御により、１０秒等の所定の時間間隔で、記録データベース１３ｂから監視の対象となるパケットの記録を読み取り（ステップＳ１）、読み取った記録から電子メールのドメイン名に関する情報を照会するパケット、即ちＭＸレコードに関するパケットの有無を判定する（ステップＳ２）。
【００２９】
ステップＳ２において、ＭＸレコードに関するパケットが有ると判定した場合（ステップＳ２：ＹＥＳ）、監視装置１０は、制御手段１１の制御により、ＭＸレコードに関するパケットの内容を取得し（ステップＳ３）、内容を取得したパケットの送信元の装置を示す送信元情報を検出し（ステップＳ４）、検出した送信元情報を、登録サーバデータベース１３ｃに記録しているＳＭＴＰサーバを示す情報と照合する（ステップＳ５）。
【００３０】
前述した様にＭＸレコードは、電子メールの配送時に電子メールアドレスのドメイン名に対応する位置情報を照会するＳＭＴＰサーバから送信されるパケットに含まれる。従って、通常、ＭＸレコードに関するパケットは、登録サーバデータベース１３ｃに記録している位置情報を送信元情報とするＳＭＴＰサーバから送信されるものであり、ＳＭＴＰサーバ以外の装置、例えばパーソナルコンピュータから送信されることはない。このことからＭＸレコードに関するパケットの送信元が登録サーバデータベース１３ｃに記録しているＳＭＴＰサーバ以外の装置から送信されている場合、その装置が何らかの異常な状態に陥っていると判断することができる。
【００３１】
ステップＳ５の照合により、登録サーバデータベース１３ｃに記録しているＳＭＴＰサーバを示す所定の送信元情報ではないと判定した場合（ステップＳ６：ＮＯ）、監視装置１０は、制御手段１１の制御により、該送信元情報により示される送信元の装置から、位置情報に対応するドメイン名を照会するパケット、即ちＰＴＲレコードに関するパケットが送信されているか否かを、記録データベース１３ｂの記録内容に基づいて判定する（ステップＳ７）。
【００３２】
ＳＭＴＰサーバ以外の装置がＭＸレコードに関するパケットを送信する状況としては、送信元の装置がＮｅｔｓｋｙ等の大量メール送信型のワームに感染している状況及び送信元の装置がスパムメールを中継するスパムメール中継サーバとして利用されている状況が考えられる。大量メール送信型ワームに感染している装置は、ワームにて実行されるＳＭＴＰエンジンとしての機能により、収集した電子メールアドレスに対して電子メールを送信するという破壊活動を実行する前段階として、電子メールアドレスのドメイン名に対応するＩＰアドレス等の位置情報を収集すべくＭＸレコードに関するパケットを送信する。またスパムメール中継サーバとして利用された装置においても同様であり、ＭＸレコードに関するパケットを送信する。ただしスパムメール中継サーバとして利用された装置は、ＭＸレコードに関するパケットと共に、詳細にはＭＸレコードに関するパケットの直前にＰＴＲレコードに関するパケットを送信する。従ってステップＳ７において、ＰＴＲレコードに関するパケットが送信されているか否かを判定することにより、ＭＸレコードに関するパケットの送信元の装置が大量メール送信型のワームに感染しているか、スパムメール中継サーバとして利用されているかを判定することができる。
【００３３】
ステップＳ７において、ＰＴＲレコードに関するパケットが送信されていないと判定した場合（ステップＳ７：ＮＯ）、監視装置１０は、制御手段１１の制御により、異常処置として、メール送信型ワームの感染を通知する通知情報を送信元情報が示す送信元の通信装置４０へ送信する（ステップＳ８）。なお通知情報とは、メール送信型ワームに感染していることを通知する電子メールである。また異常処置としては、通知情報の送信に限るものではなく、制限装置２０による当該通信装置４０から送信される電子メールの制限、システム管理者への通知、モニタ及びプリンタへの出力等、様々な処置方法を提案することができる。従って通信装置４０の操作者の立場、システム全体の運用状況等の様々な要因を加味して適切な異常処置を行う事が好ましい。
【００３４】
ステップＳ７において、ＰＴＲレコードに関するパケットが送信されていると判定した場合（ステップＳ７：ＹＥＳ）、監視装置１０は、制御手段１１の制御により、スパムメール中継サーバに対する所定の異常処置を実行する（ステップＳ９）。
【００３５】
ステップＳ２において、ＭＸレコードに関するパケットが無いと判定した場合（ステップＳ２：ＮＯ）、異常装置特定処理を終了する。
【００３６】
ステップ５の照合により、登録サーバデータベース１３ｃに記録しているＳＭＴＰサーバを示す所定の送信情報であると判定した場合（ステップＳ６：ＹＥＳ）、異常装置特定処理を終了する。
【００３７】
このように本発明の監視装置１０が実行する異常装置特定処理は、異常な状態が発生している装置を特定し、特定した装置に対する異常処置を実施する処理である。なお説明の便宜上、異常装置特定処理は一続きの処理として示したが、互いに関連し合う複数のプログラムモジュールとして構成する様にしても良い。例えばＭＸレコードに関するパケットの送信元の装置を示す送信元情報を照合し、その結果を返す処理を別モジュールとして構成する様にしても良い。
【００３８】
前記実施の形態では、システム構成を図１に示したが、図１は、無数に存在する形態の一例を示したものであり、本発明の通信制限システムは図１に例示した構成に限るものではなく、目的、費用、規模等の種々の要因に応じて様々な形態に展開することが可能である。例えば監視装置をＤＮＳサーバコンピュータと異なる装置として構成しても良く、また監視装置と制限装置とを一体化しても良い。さらに内部通信網の伝送線を伝送される電気信号を検知することでパケットの内容を取得することが可能な装置を設置し、監視装置として用いる様にしても良い。
【００３９】
以上の実施の形態に関し、更に以下の付記を開示する。
【００４０】
（付記１）通信に関する照会に対して応答するドメイン名システムへ送信されたパケットを監視する監視装置を用いた監視方法において、前記監視装置は、監視の対象となるパケットの中から電子メールのドメイン名に関する情報を照会するパケットの内容を取得し、内容を取得したパケットの送信元の装置を示す送信元情報を検出し、検出した送信元情報を、予め記録している情報と照合し、該照合により、所定の送信元情報ではないと判定した場合に、該送信元情報に関する異常処置を実施することを特徴とする監視方法。
（付記２）通信に関する照会に対して応答するドメイン名システムへ送信されたパケットを監視する監視装置において、監視の対象となるパケットの中から電子メールのドメイン名に関する情報を照会するパケットの内容を取得する手段と、内容を取得したパケットの送信元の装置を示す送信元情報を検出する手段と、検出した送信元情報を、予め記録している情報と照合する手段と、該照合により、所定の送信元情報ではないと判定した場合に、該送信元情報に関する異常処置を実施する手段とを備えることを特徴とする監視装置。
（付記３）通信網を介しての通信に関する照会に対して応答するドメイン名システムへ送信されたパケットを監視する監視装置において、監視の対象となるパケットの中から電子メールのドメイン名に関する情報を照会するパケットの内容を取得する手段と、内容を取得したパケットの送信元の装置を示す送信元情報を検出する手段と、検出した送信元情報を、予め記録している情報と照合する手段と、該照合により、所定の送信元情報ではないと判定した場合に、該送信元情報により示される送信元の装置から、通信網上の位置を示す位置情報に対応するドメイン名を照会するパケットが送信されたか否かを判定する手段と、ドメイン名を照会するパケットが送信されたと判定したときに、該パケットの送信元の装置に関する異常処置を実施する異常処置手段とを備えることを特徴とする監視装置。
（付記４）前記異常処置手段は、メール送信型ワームの感染を通知する通知情報を送信元情報が示す送信元の装置へ送信するように構成していることを特徴とする付記２又は付記３に記載の監視装置。
（付記５）前記照合により判定する所定の送信元情報とは、予め登録している電子メール送信用サーバコンピュータを示す送信元情報であることを特徴とする付記２乃至付記４のいずれかに記載の監視装置。
（付記６）通信網に接続するコンピュータに、通信に関する照会に対して応答するドメイン名システムへ送信されたパケットを監視させるコンピュータプログラムにおいて、コンピュータに、監視の対象となるパケットの中から電子メールのドメイン名に関する情報を照会するパケットの内容を取得させる手順と、コンピュータに、内容を取得したパケットの送信元の装置を示す送信元情報を検出させる手順と、コンピュータに、検出した送信元情報を、予め記録している情報と照合させる手順と、コンピュータに、照合により、所定の送信元情報ではないと判定した場合に、該送信元情報に関する異常処置を実施させる手順とを実行させることを特徴とするコンピュータプログラム。
【図面の簡単な説明】
【００４１】
【図１】本発明の監視方法を適用した通信システムの構成を示すブロック図である。
【図２】本発明の監視装置の構成を示すブロック図である。
【図３】本発明の監視装置が備える記録データベースの記録内容を概念的に示す説明図である。
【図４】本発明の監視装置の異常装置特定処理を示すフローチャートである。
【符号の説明】
【００４２】
１０  監視装置
１３ａ  ドメイン名データベース
１３ｂ  記録データベース
１３ｃ  登録サーバデータベース
２０  制限装置
３０  経路設定装置
４０  通信装置
１０１  内部通信網
１０２  外部通信網
２０１  コンピュータプログラム
２０２  記録媒体
【図１】
2006086655.tif 000003
【図２】
2006086655.tif 000004
【図３】
2006086655.tif 000005
【図４】
2006086655.tif 000006