(57)【要約】【課題】セキュリティ製品が行う通信は遮断する一方、検体（マルウェア）が行う通信は疎通させる状態で当該セキュリティ製品に検体を検査させる。【解決手段】セキュリティ製品がインストールされている第１端末4と、セキュリティ製品がインストールされていない第２端末6と、第２端末6からの通信は全て通過させるように設定する接続設定手段（ファイアウォール10）と、第２端末6で検査対象の実行ファイル、すなわち検体を実行した際に当該端末から発出されたＩＰパケットの宛先ＩＰアドレスを記録してアドレスリストを生成するＩＰアドレス記録手段（ファイアウォール10）と、第１端末4を送信元とするＩＰパケットの内、アドレスリストに記録されていない宛先ＩＰアドレスのＩＰパケットは遮断する通信遮断手段（ファイアウォール10）と、第１端末4が、アドレスリストに記録されているＩＰアドレスへの通信を実行することで第１端末4にインストールされているセキュリティ製品42により検体が検知されるかどうかを判定する。【選択図】図１
2018174471.tif 000002
【特許請求の範囲】
【請求項１】
ネットワークに配置され自身を経由する通信パケットを遮断する機能を有する通信制御装置であって、
第１のＩＰアドレスと第２のＩＰアドレスが入力として与えられ、前記第２のＩＰアドレスを送信元とする通信パケットを受信した際には当該通信パケットの宛先ＩＰアドレスを記録してアドレスリストに追加するＩＰアドレス記録手段と、
前記第１のＩＰアドレスを送信元とし、前記アドレスリストに含まれないＩＰアドレスを宛先とする通信パケットを受信した際には遮断する通信遮断手段と、
を備えることを特徴とする通信制御装置。
【請求項２】
前記第２のＩＰアドレスを送信元とするＤＮＳクエリパケットを受信した際には当該ＤＮＳクエリパケットにおいて名前解決の対象であるドメインをドメインリストに記録するドメイン記録手段と、
前記第１のＩＰアドレスを送信元とし、かつ、ドメインリストに記載のドメインの名前解決を要求するＤＮＳクエリパケットを受信した際には、当該ドメインの名前解決を行って取得したＩＰアドレスを前記アドレスリストに加えることを明記したリクエストパケットを前記通信制御装置に送信するリクエスト送信手段と、
を有するＤＮＳサーバの存在を前提とし、
前記ＩＰアドレス記録手段は、
前記ＤＮＳサーバからリクエストパケットがあった場合には当該リクエストパケットに記載のＩＰアドレスを前記アドレスリストに追加する、
請求項１に記載の通信制御装置。
【請求項３】
請求項２に記載の通信制御装置とＤＮＳサーバとで構成される通信制御システム。
【請求項４】
ネットワークに配置され自身を経由する通信パケットを遮断する機能を有する通信制御装置における通信制御方法であって、
第１のＩＰアドレスと第２のＩＰアドレスが入力として与えられ、前記第２のＩＰアドレスを送信元とする通信パケットを受信した際には当該通信パケットの宛先ＩＰアドレスを記録してアドレスリストに追加し、
前記第１のＩＰアドレスを送信元とし、前記アドレスリストに含まれないＩＰアドレスを宛先とする通信パケットを受信した際には遮断する、
ことを特徴とする通信制御方法。
【請求項５】
ネットワークに配置され自身を経由する通信パケットを遮断する機能を有する通信制御装置とＤＮＳサーバとで構成される通信制御システムにおける通信制御方法であって、
前記通信制御装置は、
第１のＩＰアドレスと第２のＩＰアドレスが入力として与えられ、前記第２のＩＰアドレスを送信元とする通信パケットを受信した際には当該通信パケットの宛先ＩＰアドレスを記録してアドレスリストに追加し、
前記第１のＩＰアドレスを送信元とし、前記アドレスリストに含まれないＩＰアドレスを宛先とする通信パケットを受信した際には遮断し、
前記ＤＮＳサーバは、
前記第２のＩＰアドレスを送信元とするＤＮＳクエリパケットを受信した際には当該ＤＮＳクエリパケットにおいて名前解決の対象であるドメインをドメインリストに記録し、
前記第１のＩＰアドレスを送信元とし、かつ、ドメインリストに記載のドメインの名前解決を要求するＤＮＳクエリパケットを受信した際には、当該ドメインの名前解決を行って取得したＩＰアドレスを前記アドレスリストに加えることを明記したリクエストパケットを前記通信制御装置に送信し、
前記通信制御装置は、前記リクエストパケットがあった場合には当該リクエストパケットのＩＰアドレスを前記アドレスリストに追加する、
ことを特徴とする通信制御方法。
【請求項６】
請求項1又は２に記載の通信制御装置をコンピュータで構成するための通信制御プログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、通信制御装置、通信制御システム、通信制御方法及び通信制御プログラムに関する。
【背景技術】
【０００２】
マルウェアは、コンピュータ利用者にとって好ましくない動作を行う悪意のあるソフトウェアの略称であり、ウィルスやスパイウェア、ワーム、ランサムウェア等種々のものが存在する。また、マルウェアには、セキュリティ対策製品がシグネチャによるパターンマッチングで検知することから、“既知のマルウェア”と、シグネチャによるパターンマッチングでは検知できない“未知のマルウェア”の２種類が存在する。
【０００３】
セキュリティ製品におけるマルウェアの検出には、シグネチャによるパターンマッチングが行われている。セキュリティ製品を利用した際の安全度を評価するにあたっては、どれだけのマルウェアがその製品にとって既知であるか（すなわち、シグネチャで検知できるか）を評価することも重要であるが、未知のマルウェアが続々と生成されている今日においては、シグネチャにマッチしない未知のマルウェアをその製品が検査した際の検知率を評価することが極めて重要である。
【０００４】
セキュリティ製品の評価を行う際に、シグネチャにマッチしない検体（マルウェア）を検査するときの検知率を評価したいなどの理由で、セキュリティ製品が外部に行う通信を遮断して検体の検査を実施したいことがある。一方で、セキュリティ製品がインストールされている端末からの通信自体は、セキュリティ製品が検体本来の挙動を観測できるように行わせたいと場合がある。
【０００５】
従来、ウインドウズＯＳにおいては、外部通信の可否を実行ファイルごとに設定することが可能であるので、本機能を用いてセキュリティ製品の実行ファイルの外部通信を遮断することで上記課題を実現する方法がある。しかしながら、セキュリティ製品は多数の実行ファイルで構成されていることがある。かかる場合に、実行ファイルを漏れなく登録することが容易でない場合がある。また、検体（マルウェア）の実行によりウインドウズファイアウォールの通信制御が無効化されるおそれもある。
【０００６】
非特許文献１には、仮想マシン上で動作する各プロセスの通信を、仮想マシンを動作させているハイパーバイザから制御する例が開示されている。この例では、ハイパーバイザから通信を制御するので、検体の実行により通信制御が無効化されるおそれがない。反面、仮想マシン上で検体の実行を行うことになる。また、近年のマルウェアは仮想マシン上では悪性動作を行わなくなるものも存在するため、実際の検体を利用したセキュリティ製品の評価には適さない。
【先行技術文献】
【非特許文献】
【０００７】
【非特許文献１】安積武志ら、「仮想マシンモニタによるきめ細かいパケットフィルタリング」、情報処理学会研究報告 、システムソフトウェアとオペレーティングシステム（OS）2010.12、pp1-7
【発明の概要】
【発明が解決しようとする課題】
【０００８】
本発明は上記事情に鑑み、セキュリティ製品が行う通信は遮断する一方、検体（マルウェア）が行う通信は疎通させた状態でのセキュリティ製品の検査を可能とする通信制御装置、通信制御システム、通信制御方法及び通信制御プログラムを提供することを目的としている。
【課題を解決するための手段】
【０００９】
上記目的を達成するための第１の態様は、ネットワークに配置され自身を経由する通信パケットを遮断する機能を有する通信制御装置であって、第１のＩＰアドレスと第２のＩＰアドレスが入力として与えられ、前記第２のＩＰアドレスを送信元とする通信パケットを受信した際には当該通信パケットの宛先ＩＰアドレスを記録してアドレスリストに追加するＩＰアドレス記録手段と、前記第１のＩＰアドレスを送信元とし、前記アドレスリストに含まれないＩＰアドレスを宛先とする通信パケットを受信した際には遮断する通信遮断手段と、を備えることを特徴とする通信制御装置である。
【００１０】
第２の態様は、通信制御装置とＤＮＳサーバとで構成される通信制御システムである。
【００１１】
第３の態様は、ネットワークに配置され自身を経由する通信パケットを遮断する機能を有する通信制御装置における通信制御方法であって、第１のＩＰアドレスと第２のＩＰアドレスが入力として与えられ、前記第２のＩＰアドレスを送信元とする通信パケットを受信した際には当該通信パケットの宛先ＩＰアドレスを記録してアドレスリストに追加し、前記第１のＩＰアドレスを送信元とし、前記アドレスリストに含まれないＩＰアドレスを宛先とする通信パケットを受信した際には遮断する、ことを特徴とする通信制御方法である。
【００１２】
第４態様は、ネットワークに配置され自身を経由する通信パケットを遮断する機能を有する通信制御装置とＤＮＳサーバとで構成される通信制御システムにおける通信制御方法であって、前記通信制御装置は、第１のＩＰアドレスと第２のＩＰアドレスが入力として与えられ、前記第２のＩＰアドレスを送信元とする通信パケットを受信した際には当該通信パケットの宛先ＩＰアドレスを記録してアドレスリストに追加し、前記第１のＩＰアドレスを送信元とし、前記アドレスリストに含まれないＩＰアドレスを宛先とする通信パケットを受信した際には遮断し、前記ＤＮＳサーバは、前記第２のＩＰアドレスを送信元とするＤＮＳクエリパケットを受信した際には当該クエリにおいて名前解決の対象であるドメインをドメインリストに記録し、前記第１のＩＰアドレスを送信元とし、かつ、ドメインリストに記載のドメインの名前解決を要求するＤＮＳクエリパケットを受信した際には、当該ドメインの名前解決を行って取得したＩＰアドレスを前記アドレスリストに加えることを明記したリクエストパケットを前記通信制御装置に送信し、前記通信制御装置は、前記リクエストパケットがあった場合には当該パケットにＩＰアドレスを前記アドレスリストに追加する、ことを特徴とする通信制御方法である。
【００１３】
第５の態様は、通信制御装置をコンピュータで構成するための通信制御プログラムである。
【発明の効果】
【００１４】
セキュリティ製品が行う通信は遮断する一方、検体（マルウェア）が行う通信は疎通させる状態で当該セキュリティ製品に検体を検査させることが可能になる。
【図面の簡単な説明】
【００１５】
【図１】本発明に係る通信制御装置が適用された第１実施形態の構成を示すブロック図である。
【図２】本発明に係る通信制御装置が適用された第１実施形態の動作を示すフローチャートである。
【図３】本発明に係る通信制御装置が適用された第２実施形態の構成を示すブロック図である。
【図４】本発明に係る通信制御装置が適用された第２実施形態の動作を示すフローチャートである。
【発明を実施するための形態】
【００１６】
＜第１実施形態＞
本発明に係る通信制御装置が適用された第１実施形態の通信制御装置２Ａは、第１端末４と、第２端末６と、インターネット８と、ファイアウォール１０とを備えている。
【００１７】
第１端末４は、ファイアウォール１０に接続され、評価対象となるセキュリティ製品４２がインストールされている端末である。
【００１８】
第２端末６は、ファイアウォール１０に接続され、セキュリティ製品がインストールされていない端末である。
【００１９】
ファイアウォール１０は、アクセス制御部１２と、宛先ＩＰアドレスリスト１４とを備えている。
【００２０】
アクセス制御部１２は、第２端末６からの通信は全て通過させるように設定する接続設定手段と、第２端末６から発出されたＩＰパケットの宛先ＩＰアドレスを記録してアドレスリストを生成するＩＰアドレス記録手段と、第１端末４を送信元とするＩＰパケットの内、アドレスリストに記録されていない宛先ＩＰアドレスのＩＰパケットは遮断する通信遮断手段とを有している。
【００２１】
宛先ＩＰアドレスリスト１４は、アクセス制御部１２によって作成され、第２端末６から送信された通信パケットに含まれる宛先ＩＰアドレスを記録したものであり、「ＩＰホワイトリスト」とも称する。
【００２２】
次に、第１実施形態の動作を図２のフローチャートを参照しつつ説明する。
【００２３】
先ず、セキュリティ製品がインストールされていない第２端末６上で検体を一定時間（１０分など）実行する。この処理では、検体の実行によって、第２端末６からインターネットに対して通信パケットを送信することがあり、その場合、当該通信パケットはファイアウォール１０で観測される（ＳＢ２）。ファイアウォール１０では、観測した通信パケットのうち第２端末６のＩＰアドレスを送信元とする通信パケットに含まれる宛先ＩＰアドレスを記録してＩＰアドレスリスト１４を作成する（ＳＦ２）。これは、受信パケットの宛先ＩＰアドレスリストをIPホワイトリストに追加する処理である。
【００２４】
ファイアウォール１０のアクセス制御部１２には、“第１端末４のＩＰアドレスを送信元とするパケットのうち、宛先ＩＰアドレスがＩＰホワイトリスト１４に含まれないパケットは遮断する”機能が設定されている。したがって、第１端末６から送信される通信パケットは、ＩＰホワイトリスト１４に含まれている宛先ＩＰアドレスを持つ通信パケットのみがインターネット８上に送信される（ＳＦ４）。
【００２５】
上記の処理で第２端末６上で検体を一定時間（１０分など）実行した後、第１端末４上で検体を実行させ、セキュリティ製品４２によって検体がマルウェアとして検知されるかどうかを確認する（ＳＡ４，ＳＡ６，ＳＡ８）。この間、第１端末４からは検体を実行しているプロセスから通信パケットがインターネットに向けて送信されることがあるが、この通信パケットの宛先ＩＰアドレスは上記処理によりＩＰホワイトリスト１４に含まれていることが期待できるため、検体が行う通信はアクセス制御部１２によって阻害されることはないことが期待できる。一方で、前記処理において第２端末６はセキュリティ製品４２をインストールしていないため、セキュリティ製品４２が行う通信の宛先ＩＰアドレスはホワイトリスト１４には含まれていないことが期待できる。そのため、セキュリティ製品を実行するプロセスが外部に向けて行う通信、たとえば当該セキュリティ製品を開発した組織が運用するサーバとやり取りをしてシグネチャの更新を行う通信などは、アクセス制御部１２によって遮断されることが期待できる。
【００２６】
このように、第１実施形態によれば、セキュリティ製品４２がインストールされていない第２端末６から送信された通信パケットと同じ宛先ＩＰアドレスを宛先とする通信パケットのみがアクセス制御部１２を通過することが期待できるため、セキュリティ製品４２が行う通信は遮断する一方、検体（マルウェア）が行う通信は疎通させる状態でセキュリティ製品４２に検体を検査させることが可能になる。
【００２７】
＜第２実施形態＞
第１実施形態では、ＩＰアドレスで構成されるＩＰホワイトリスト１４を作成することで、第１端末４上で検体が行う通信を疎通させることを実現している。しかし、第１実施形態の構成では、下記の理由で検体が行う通信を遮断してしまうことがある。
【００２８】
すなわち、検体が行う通信先は、検体のプログラムコードの中でＩＰアドレスとして記述されているのではなくＦＱＤＮ（Fully Qualified Domain Name、以下「ホスト名」）として記述されることがある。
【００２９】
また、ホスト名として記述された通信先に検体が通信を行う場合、まずＤＮＳサーバ１６にＤＮＳリクエストを送信してホスト名に対応するＩＰアドレスを取得し、そのＩＰアドレス宛に通信を行う。
【００３０】
さらに、ホスト名とＩＰアドレスが一対一に対応する場合には、第１実施形態の方法で目的を達することができる。しかし、ホスト名に対応するＩＰアドレスが複数存在したり、時間の経過とともにホスト名に対応するＩＰアドレスが変化したりする場合もある。
【００３１】
したがって、第２端末６で検体を実行した時と、第１端末４で検体を実行した時とで、同一のホスト名の名前解決に対し、異なるＩＰアドレスを取得することが起こり得る。この場合、第１端末４で実行された検体の通信が遮断されてしまうことになる。
【００３２】
以上の課題を解決するために、第２実施形態では、以下のように構成が採用されている。
【００３３】
図３に示すように、第２実施形態の通信制御装置２Ｂは、第１端末４と、第２端末６と、インターネット８と、ファイアウォール１０に加え、ＤＮＳサーバ１６を備えている。
【００３４】
ＤＮＳサーバ１６は、ドメイン名をＩＰアドレスに変換する機能を有している。第２実施形態では、第２端末６からＤＮＳクエリパケットが送信された場合、送信されたＤＮＳクエリパケットで名前解決要求があったすべてのドメインのリストを作成する機能を有している。
【００３５】
図４は、第２実施形態の処理手順を示すフローチャートである。
【００３６】
図４において、図２と同一ステップ番号が付されたステップは、第１実施形態の処理と同様の処理を意味している。
【００３７】
先ず、セキュリティ製品がインストールされていない第２端末６上で検体を一定時間（１０分など）実行する。この処理では、検体の実行によって、第２端末６からインターネットに対して通信パケットを送信することがあり、その場合、当該通信パケットはファイアウォール１０で観測される（ＳＢ２）。ファイアウォール１０では、観測した通信パケットのうち第２端末６のＩＰアドレスを送信元とする通信パケットに含まれる宛先ＩＰアドレスを記録してＩＰアドレスリスト１４を作成する（ＳＦ２）。これは、受信パケットの宛先ＩＰアドレスリストをIPホワイトリストに追加する処理である。
【００３８】
上述のように、第２端末６上で検体が一定時間（１０分など）実行されている間、第２端末６からＤＮＳクエリパケットが送信されると（ＳＢ８）、ＤＮＳサーバ１６では、送信されたＤＮＳクエリパケットで名前解決要求があったすべてのドメインのリストを作成（追加）する（ＳＤ２）。以下、作成されるドメインリスト１６２をＤＮＳホワイトリストとも称する。
【００３９】
ファイアウォール１０のアクセス制御部１２には、“第１端末４のＩＰアドレスを送信元とするパケットのうち、宛先ＩＰアドレスがＩＰホワイトリスト１４に含まれないパケットは遮断する”機能が設定されている。
【００４０】
ここで、第２実施形態では、ＤＮＳサーバ１６は、第１端末４から送信されたＤＮＳクエリパケット（ＳＡ１０）において、名前解決対象のドメインがＤＮＳホワイトリストに含まれる場合（ＳＤ４YES）には、第１端末４宛のＤＮＳ応答をいったん保留し、当該ドメインに対応するＩＰアドレスをＩＰホワイトリストに加えることを明記したリクエストパケットを送付（ＳＤ６）し、その後、第１端末４宛のＤＮＳ応答を送信する（ＳＤ８）。また、ファイアウォール１０は、ＤＮＳサーバ１６からリクエストパケットの送信（ＳＤ６）があった場合には、当該リクエストパケットに含まれるＩＰアドレスをＩＰホワイトリスト１４に追加する（ＳＦ８）。
【００４１】
したがって、第１端末６から送信される通信パケットは、当初その宛先ＩＰアドレスＸがＩＰホワイトリストに記載されていなかったとしても、それ以前にそのＩＰアドレスＸに対応するホスト名の名前解決を要求するＤＮＳクエリパケットを第１端末６からＤＮＳサーバ１６に送信しており、かつ、その応答としてＤＮＳサーバ１６からＩＰアドレスＸを受信しており、かつ、当該ホスト名が前記ＤＮＳホワイトリスト１６２に含まれる場合には、当該通信パケットがアクセス制御部１２に到達する前にＩＰアドレスＸがＩＰホワイトリストに記載されることになるので、アクセス制御部１２を通過することができる。
【００４２】
そして、前記処理の一定期間経過後、第１端末４上で検体を一定時間実行（ＳＡ４，ＳＡ６）し、セキュリティ製品４２で検体が検知されるかどうかを確認する（ＳＡ８）。
【００４３】
このように第２実施形態によれば、検査対象の検体が自身が行う通信の通信先をホスト名として記憶しており、かつ、当該ホスト名に対する名前解決によって得られるＩＰアドレスが異なりうる場合においても、第２端末６で検体を実行した際に作成されたＤＮＳホワイトリストに記載のホスト名に対して行われる通信は動的にＩＰホワイトリストが拡張されてアクセス制御部１２を通過することができるため、セキュリティ製品４２が行う通信は遮断する一方、検体（マルウェア）が行う通信は疎通させる状態でセキュリティ製品４２に検体を検査させることが可能になる。
【００４４】
なお、上記実施形態は、例として提示したものであり、発明の範囲を限定することは意図していないことは勿論である。
【符号の説明】
【００４５】
２Ａ，２Ｂ…通信制御装置、４…第１端末、６…第２端末、８…インターネット、１０…ファイアウォール、１２…アクセス制御部、１４…宛先ＩＰアドレスリスト（ＩＰホワイトリスト）、１６…ＤＮＳサーバ、４２…セキュリティ製品、１６２…ドメインリスト（ＤＮＳホワイトリスト）。
【図１】
2018174471.tif 000003
【図２】
2018174471.tif 000004
【図３】
2018174471.tif 000005
【図４】
2018174471.tif 000006
【手続補正書】
【提出日】平成30年2月1日(2018.2.1)
【手続補正１】
【補正対象書類名】特許請求の範囲
【補正対象項目名】全文
【補正方法】変更
【補正の内容】
【特許請求の範囲】
【請求項１】
ネットワークに配置されるとともに、セキュリティ製品がインストールされている第１端末と、前記セキュリティ製品がインストールされていない第２端末とに接続され、自身を経由する通信パケットを遮断する機能を有する通信制御装置であって、
前記第２端末からの通信は全て通過させるように設定する接続設定手段と、
前記第２端末から送出されたＩＰパケットの宛先ＩＰアドレスを記録してアドレスリストに追加するＩＰアドレス記録手段と、
前記第１端末を送信元とするＩＰパケットの内、前記アドレスリストに記録されていない宛先ＩＰアドレスのＩＰパケットは遮断する通信遮断手段と、
前記第１端末が、前記アドレスリストに記録されている宛先ＩＰアドレスへの通信を実行することで当該第１端末にインストールされている前記セキュリティ製品により検体が検知されるかどうかを判定する検体検知手段と、
を備えることを特徴とする通信制御装置。
【請求項２】
前記第２端末のＩＰアドレスを送信元とするＤＮＳクエリパケットを受信した際には当該ＤＮＳクエリパケットにおいて名前解決の対象であるドメインをドメインリストに記録するドメイン記録手段と、
前記第１端末のＩＰアドレスを送信元とし、かつ、ドメインリストに記載のドメインの名前解決を要求するＤＮＳクエリパケットを受信した際には、当該ドメインの名前解決を行って取得したＩＰアドレスを前記アドレスリストに加えることを明記したリクエストパケットを当該通信制御装置に送信するリクエスト送信手段と、を有するＤＮＳサーバの存在を前提とし、
前記ＩＰアドレス記録手段は、
前記ＤＮＳサーバから前記リクエストパケットがあった場合には当該リクエストパケットに記載のＩＰアドレスを前記アドレスリストに追加する、請求項１に記載の通信制御装置。
【請求項３】
請求項２に記載の通信制御装置とＤＮＳサーバとで構成される通信制御システム。
【請求項４】
ネットワークに配置されるとともに、セキュリティ製品がインストールされている第１端末と、前記セキュリティ製品がインストールされていない第２端末とに接続され、自身を経由する通信パケットを遮断する機能を有する通信制御装置における通信制御方法であって、
前記第２端末からの通信は全て通過させるように設定し、
前記第２端末から送出されたＩＰパケットの宛先ＩＰアドレスを記録してアドレスリストに追加し、
前記第１端末を送信元とするＩＰパケットの内、前記アドレスリストに記録されていない宛先ＩＰアドレスのＩＰパケットは遮断し、
前記第１端末が、前記アドレスリストに記録されている宛先ＩＰアドレスへの通信を実行することで当該第１端末にインストールされている前記セキュリティ製品により検体が検知されるかどうかを判定する、ことを特徴とする通信制御方法。
【請求項５】
ネットワークに配置されるとともに、セキュリティ製品がインストールされている第１端末と、前記セキュリティ製品がインストールされていない第２端末とに接続され、自身を経由する通信パケットを遮断する機能を有する通信制御装置とＤＮＳサーバとで構成される通信制御システムにおける通信制御方法であって、
前記通信制御装置は、
前記第２端末からの通信は全て通過させるように設定し、
前記第２端末から送出されたＩＰパケットの宛先ＩＰアドレスを記録してアドレスリストに追加し、
前記第１端末を送信元とするＩＰパケットの内、前記アドレスリストに記録されていない宛先ＩＰアドレスのＩＰパケットは遮断し、
前記第１端末が、前記アドレスリストに記録されている宛先ＩＰアドレスへの通信を実行することで当該第１端末にインストールされている前記セキュリティ製品により検体が検知されるかどうかを判定し、
前記ＤＮＳサーバは、
前記第２端末からのＩＰアドレスを送信元とするＤＮＳクエリパケットを受信した際には当該ＤＮＳクエリパケットにおいて名前解決の対象であるドメインをドメインリストに記録し、
前記第１端末からのＩＰアドレスを送信元とし、かつ、ドメインリストに記載のドメインの名前解決を要求するＤＮＳクエリパケットを受信した際には、当該ドメインの名前解決を行って取得したＩＰアドレスを前記アドレスリストに加えることを明記したリクエストパケットを前記通信制御装置に送信し、
前記通信制御装置は、前記リクエストパケットがあった場合には当該リクエストパケットのＩＰアドレスを前記アドレスリストに追加する、ことを特徴とする通信制御方法。
【請求項６】
請求項１又は２に記載の通信制御装置をコンピュータで構成するための通信制御プログラム。
【手続補正２】
【補正対象書類名】明細書
【補正対象項目名】０００４
【補正方法】変更
【補正の内容】
【０００４】
セキュリティ製品の評価を行う際に、シグネチャにマッチしない検体（マルウェア）を検査するときの検知率を評価したいなどの理由で、セキュリティ製品が外部に行う通信を遮断して検体の検査を実施したいことがある。一方で、セキュリティ製品がインストールされている端末からの通信自体は、セキュリティ製品が検体本来の挙動を観測できるように行わせたい場合がある。