(57)【要約】【課題】内部端末のユーザの利便性を向上させつつ、マルウェアに感染した内部端末が他の内部端末への感染を拡大するリスクを低減する。【解決手段】通信システムにおいて、メールサーバ５０は、端末１０へのメールに添付ファイルがある場合、添付ファイルをサンドボックス４０に転送する。そして、メールサーバ５０は、添付ファイルを含むメールを端末１０に転送し、当該端末１０の識別情報を含むファイルの検査開始通知をコントローラ７０に送信する。この検査開始通知を受信したコントローラ７０は、検査開始通知に示される端末１０に接続するスイッチ２０のポートを特定し、特定したスイッチ２０のポートに対し、当該端末１０で送受信するパケットのサンプリングのサンプリングレートを、検査開始通知の受信前よりも高くするよう設定する。【選択図】図４
2018022944.tif 000002
【特許請求の範囲】
【請求項１】
端末へデータを送信するサーバと、前記端末で送受信するパケットの監視強化を行うコントローラとを備える通信システムであって、
前記サーバは、
インターネットから前記端末へのデータにファイルが含まれる場合、前記ファイルを、動的解析によりファイルの検査を行う解析装置に転送し、前記ファイルを含むデータを前記端末に転送し、当該端末の識別情報を含む前記ファイルの検査開始通知を前記コントローラに送信し、
前記コントローラは、
前記検査開始通知を受信した場合、前記検査開始通知の受信前よりも、当該端末で送受信するパケットの監視を強化することを特徴とする通信システム。
【請求項２】
前記コントローラは、
前記解析装置による前記ファイルの検査の結果、前記ファイルが悪性ではないと判定された場合、当該端末で送受信するパケットの監視強化を解除することを特徴とする請求項１に記載の通信システム。
【請求項３】
前記通信システムは、さらに
前記端末で送受信されるデータの中継を行うスイッチと、前記スイッチからサンプリングされたパケットを検査するコレクタとを備え、
前記コントローラは、
前記検査開始通知を受信した場合、前記検査開始通知に示される端末に接続するスイッチを特定し、特定した前記スイッチに対し、当該端末で送受信するパケットのサンプリングのサンプリングレートを、前記検査開始通知の受信前よりも高く設定することにより前記監視強化を行うことを特徴とする請求項１に記載の通信システム。
【請求項４】
前記コントローラは、
前記解析装置による前記ファイルの検査の結果、前記ファイルが悪性ではないと判定された場合、前記スイッチに対し、当該端末で送受信するパケットのサンプリングレートを前記検査開始通知の受信前の値に戻すことを特徴とする請求項３に記載の通信システム。
【請求項５】
前記コントローラは、
前記解析装置による前記ファイルの検査の結果が、前記ファイルが悪性である旨の判定である場合、前記スイッチに対し、当該端末に接続するポートを遮断するよう指示することを特徴とする請求項３に記載の通信システム。
【請求項６】
前記サーバは、メールサーバであることを特徴とする請求項１に記載の通信システム。
【請求項７】
前記サーバは、前記端末からウェブサーバへのＨＴＴＰリクエストを前記ウェブサーバに転送し、当該ウェブサーバからの当該端末へのＨＴＴＰレスポンスを当該端末に転送するウェブプロキシサーバであり、当該ＨＴＴＰレスポンスにファイルが含まれる場合、前記ファイルを、前記解析装置に転送することを特徴とする請求項１に記載の通信システム。
【請求項８】
前記サーバは、前記端末へのデータに所定の種類のファイルが含まれる場合、前記所定の種類のファイルを、前記解析装置に転送することを特徴とする請求項１に記載の通信システム。
【請求項９】
端末へデータを送信するサーバと、前記端末で送受信するパケットの監視強化を行うコントローラとを備える通信システムを用いた通信方法であって、
前記サーバが、
インターネットから前記端末へのデータにファイルが含まれる場合、前記ファイルを、動的解析によりファイルの検査を行う解析装置に転送するステップと、
前記ファイルを含むデータを前記端末に転送するステップと、
当該端末の識別情報を含む前記ファイルの検査開始通知を前記コントローラに送信するステップと、
前記コントローラが、
前記検査開始通知を受信した場合、前記検査開始通知の受信前よりも、当該端末で送受信するパケットの監視を強化するステップと、
を含んだことを特徴とする通信方法。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、通信システム、および、通信方法に関する。
【背景技術】
【０００２】
多数の業務用端末が接続し、内外の端末と通信を行う企業内ネットワーク等では、通常、外部ネットワークとの接続点にファイアウォールやＩＰＳ（Intrusion  Prevention  System）、ＩＤＳ（Intrusion  Detection  System）等のセキュリティ機器を配置し、内部端末が外部からの脅威にさらされることを防ぐ。
【０００３】
例えば、内部端末が外部ネットワークから既知のマルウェアをダウンロードしようとした場合、上記のセキュリティ機器において当該マルウェアのシグネチャとの一致をみること等でマルウェアのダウンロードを検知し、当該通信を遮断する。
【０００４】
ここで、未知のマルウェアのダウンロード等を上記セキュリティ機器で確実に防ぐことは難しい。そのため、マルウェアに感染した内部端末から他の内部端末への感染を防ぐため、外部との通信だけでなく、内部端末同士の通信（以降、内部通信）を監視することがセキュリティ上重要である。
【０００５】
内部通信を監視するためには、ネットワーク上のスイッチにミラーリング設定を施し、当該スイッチを経由するパケットをコピーし、あるいは、パケット数等の統計情報を生成し、ネットワーク中に存在するコレクタに送信する必要がある。
【０００６】
ネットワーク中のすべての内部通信をコレクタに送信することは、スイッチの負荷や通信路の帯域の増大に繋がるため、通常、一部のパケットをサンプリングし、コピーしてコレクタに送付する、あるいはサンプリングしたパケットに関する統計情報を生成してコレクタに送付することが一般的である。なお、パケットのサンプリングは、例えば、非特許文献１、非特許文献２に記載の技術により行われる。
【０００７】
また、外部との通信による内部端末の感染をより高い確度で防ぐため、サンドボックスと呼ばれる動的解析技術が存在する。
【０００８】
サンドボックスは、メールサーバやウェブプロキシサーバに配置され、内部端末が受信するメールの添付ファイルや内部端末がWebでダウンロードしようとするファイルを、内部端末に転送する前に実際に動作させ、当該ファイルが不正な挙動を示すか否かを検査する。ここで、不正な挙動が確認された場合は、当該ファイルは内部端末に転送されることなく削除される。
【先行技術文献】
【非特許文献】
【０００９】
【非特許文献１】Flexible  NetFlow  コンフィギュレーション  ガイド  Cisco  IOS  XE  Release  3S、［平成28年7月14日検索］、インターネット＜URL：http://www.cisco.com/cisco/web/support/JP/docs/CIAN/IOSXE/IOSXE3S/CG/007/fnetflow_overview_xe.html?bid=0900e4b182529dc2＞
【非特許文献２】OpenFlow  Switch  Specification  Version  1.3.0  (Wire  Protocol  0x04)、［平成28年7月14日検索］、インターネット＜URL：https://www.opennetworking.org/images/stories/downloads/sdn-resources/onf-specifications/openflow/openflow-spec-v1.3.0.pdf＞
【発明の概要】
【発明が解決しようとする課題】
【００１０】
ここで、上記のようにコレクタにより、内部通信をサンプリングして収集して解析を行う場合、サンプリングにより情報が一部欠落するため、内部端末の不正行為（例えば、他の内部端末へのマルウェアの拡散等）を見逃すおそれがある。
【００１１】
また、サンドボックスについては、ファイルの検査に時間がかかる。そのため、内部端末がファイルを実際に取得できるまでに相当の時間を要し、内部端末のユーザの利便性が低下するおそれがある。そこで、内部端末のユーザの利便性を向上させるため、サンドボックスでのファイルの検査が完了する前に当該ファイルを内部端末に転送し、検査により不正な挙動が見つかった場合には、内部端末の隔離等の事後対処をする場合もある。しかしながら、このような場合、ファイルの検査が完了する前にマルウェアに感染した内部端末が、他の内部端末への感染を拡大させるリスクがある。
【００１２】
そこで、本発明は、前記した問題を解決し、内部端末のユーザの利便性を向上させつつ、マルウェアに感染した内部端末が他の内部端末への感染を拡大させるリスクを低減することを課題とする。
【課題を解決するための手段】
【００１３】
前記した課題を解決するため、本発明は、端末へデータを送信するサーバと、前記端末で送受信するパケットの監視強化を行うコントローラとを備える通信システムであって、前記サーバは、インターネットから前記端末へのデータにファイルが含まれる場合、前記ファイルを、動的解析によりファイルの検査を行う解析装置に転送し、前記ファイルを含むデータを前記端末に転送し、当該端末の識別情報を含む前記ファイルの検査開始通知を前記コントローラに送信し、前記コントローラは、前記検査開始通知を受信した場合、前記検査開始通知の受信前よりも、当該端末で送受信するパケットの監視を強化することを特徴とする。
【発明の効果】
【００１４】
本発明によれば、内部端末のユーザの利便性を向上させつつ、マルウェアに感染した内部端末が他の内部端末への感染を拡大させるリスクを低減することができる。
【図面の簡単な説明】
【００１５】
【図１】図１は、第１の実施形態の通信システムの構成例を示す図である。
【図２】図２は、図１のメールサーバの構成例を示す図である。
【図３】図３は、図１のコントローラの構成例を示す図である。
【図４】図４は、図１の通信システムの処理手順の例を示すシーケンス図である。
【図５】図５は、第２の実施形態の通信システムの構成例を示す図である。
【図６】図６は、図５のウェブプロキシサーバの構成例を示す図である。
【図７】図７は、図５の通信システムの処理手順の例を示すシーケンス図である。
【図８】図８は、メールゲートウェイおよびメールサーバの構成例を示す図である。
【図９】図９は、プログラムを実行するコンピュータを示す図である。
【発明を実施するための形態】
【００１６】
以下、図面を参照しながら、本発明を実施するための形態（実施形態）を、第１の実施形態および第２の実施形態に分けて説明する。
【００１７】
［第１の実施形態］
（概要）
まず、図１を用いて第１の実施形態の通信システム（システム）の構成例および概要を説明する。第１の実施形態の通信システムは、端末１０へのメールによるマルウェア侵入への対処を行う。
【００１８】
この通信システムは、端末１０と、スイッチ２０と、ファイアウォール３０と、サンドボックス（解析装置）４０と、メールサーバ５０と、コレクタ６０と、コントローラ７０とを備える。なお、内部ネットワークには、上記の端末１０、スイッチ２０、サンドボックス４０、メールサーバ５０、コレクタ６０、コントローラ７０等が設置される。
【００１９】
端末１０は、スイッチ２０およびファイアウォール３０経由でインターネットに接続し通信を行うコンピュータである。このコンピュータは、例えば、パーソナルコンピュータ等である。メールサーバ５０は、インターネット等から端末１０宛のメールを受信すると、このメールを宛先の端末１０へ配信する。
【００２０】
スイッチ２０は、各装置を接続し、装置間のデータの中継を行う。このスイッチ２０は、例えば、物理ポート（ポート）に接続される端末１０とインターネットとの間のデータの中継を行う。また、スイッチ２０は、コントローラ７０からの指示に基づき、各ポートで送受信されるパケットを所定のサンプリングレートでサンプリングし、コレクタ６０に送信する。
【００２１】
ファイアウォール３０は、内部ネットワークと、インターネットとの境界に設置され、所定の基準に基づき、不正な通信と判断した通信を遮断する。
【００２２】
サンドボックス４０は、外部から受け取ったファイル（プログラム）を、保護された領域で動作させることにより当該ファイルが不正な挙動を示すか否かを検査する。つまり、サンドボックス４０は、当該ファイルに対し動的解析を行うことにより、当該ファイルが悪性（マルウェア）か、良性（マルウェアではない）かの検査を行う。
【００２３】
メールサーバ５０は、端末１０へメールを配信する。例えば、メールサーバ５０は、インターネットから端末１０宛のメールを受信すると、このメールを当該端末１０宛に配信する。また、このメールサーバ５０は、端末１０宛のメールにファイルが添付されている場合、このファイルをサンドボックス４０に転送する。なお、メールサーバ５０は、端末１０宛のメールにファイルが添付されている場合でも、サンドボックス４０におけるファイルの検査終了を待たず、当該ファイルが添付されたメールを宛先の端末１０へ配信する。
【００２４】
コレクタ６０は、スイッチ２０においてサンプリングされたパケットを検査する。例えば、コレクタ６０は、スイッチ２０でサンプリングされたパケットまたはその統計情報を取得し、検査する。
【００２５】
コントローラ７０は、スイッチ２０それぞれを制御し、サンドボックス４０がファイルを検査中の場合、当該ファイルの宛先となる端末１０に関するトラフィックの監視を強化する。
【００２６】
ここでの監視強化の方法は様々な方法がある。例えば、サンドボックス４０がファイルを検査中の場合（監視強化期間中の場合）、コントローラ７０は、当該ファイルの宛先となる端末１０に接続するスイッチ２０に対し、当該端末１０で送受信するパケットのサンプリングレートを、通常よりも高くするよう設定する方法がある。また、コントローラ７０が、当該ファイルの宛先となる端末１０に関するトラフィックを、ＩＰＳ（侵入防止システム:Intrusion  Prevention  System）あるいは、ＵＴＭ（統合脅威管理:Unified  Threat  Management）を通過するように変更する方法もある。さらに、上記と同様の監視機能をもったシステムをクラウド上に構築し、また、端末１０に繋がるスイッチ２０をOpenFlowで構成することで、コントローラ７０は、当該ファイルの宛先となる端末１０に関するトラフィックを、クラウド上の上記システムに強制的に通過させる方法もある。
【００２７】
以下では、コントローラ７０は、サンドボックス４０がファイルを検査中の場合、当該ファイルの宛先となる端末１０に接続するスイッチ２０に対し、当該端末１０で送受信するパケットのサンプリングレートを、通常よりも高くするよう設定する場合を例に説明するが、これに限定されるものではない。
【００２８】
このような通信システムによれば、端末１０のユーザは、メールに添付されたファイルがサンドボックス４０で検査中であっても、当該ファイルをすぐに利用できる。また、コントローラ７０は、サンドボックス４０での当該ファイルの検査中、当該ファイルの送信先の端末１０におけるパケットのサンプリングレートを高くする等の監視強化を行うので、当該端末１０が、当該ファイルによりマルウェアに感染した場合であっても、内部ネットワークの他の端末１０への感染を拡大させるリスクを低減することができる。よって、内部ネットワークの端末１０のユーザの利便性を向上させつつ、マルウェアに感染した端末１０が内部ネットワークの他の端末１０への感染を拡大させるリスクを低減することができる。また、サンプリングレートの増大は検査中のファイルを受信した端末１０における送受信パケットに限定して行われるため、スイッチ２０の負荷や通信路の帯域の増加を限定的なものとすることができる。
【００２９】
（メールサーバ）
次に、図２を用いて、メールサーバ５０を詳細に説明する。メールサーバ５０は、端末１０へのメールの配信を行う。また、メールサーバ５０は、メールに添付されたファイルをサンドボックス４０へ転送し、またコントローラ７０へ当該ファイルの検査開始通知を行う。このメールサーバ５０は、入出力部５１と、制御部５２とを備える。
【００３０】
入出力部５１は、各種データの入出力を司り、例えば、インターネットから端末１０宛のメールを受信したり、受信したメールを宛先の端末１０へ送信したりするときのインタフェースを司る。
【００３１】
制御部５２は、メールサーバ５０全体の制御を司る。制御部５２は、メール受信部５２１と、添付ファイル転送部５２２と、メール配信部５２３と、検査通知部５２４とを備える。
【００３２】
メール受信部５２１は、インターネットから端末１０宛のメールを受信する。添付ファイル転送部５２２は、メール受信部５２１で受信したメールにファイルが添付されていた場合、当該ファイルを、サンドボックス４０に転送する。例えば、添付ファイル転送部５２２は、メールに特定種類のファイル（拡張子が.doc、.xls、.exe、.zip等のファイル）が添付されていた場合、当該ファイルを、サンドボックス４０に転送する。
【００３３】
メール配信部５２３は、メール受信部５２１で受信したメールを当該メールの宛先の端末１０へ配信する。
【００３４】
検査通知部５２４は、添付ファイル転送部５２２がサンドボックス４０へファイルを転送し、メール配信部５２３が当該ファイルを含むメールを端末１０へ配信すると、当該端末１０の識別情報（例えば、ＩＰ（Internet  Protocol）アドレスやＭＡＣ（Media  Access  Control）アドレス）と、当該ファイルの識別情報とを含むファイルの検査開始通知をコントローラ７０に送信する。つまり、検査通知部５２４は、サンドボックス４０での検査が開始されたファイル、およびこのファイルが配信された端末１０をコントローラ７０に通知する。
【００３５】
（コントローラ）
次に、図３を用いて、コントローラ７０を詳細に説明する。コントローラ７０は、スイッチ２０それぞれを制御し、ここでは主に、スイッチ２０それぞれに対し、端末１０が送受信するパケットのサンプリングレートの設定を行う。コントローラ７０は、入出力部７１と、記憶部７２と、制御部７３とを備える。
【００３６】
入出力部７１は、各種データの入出力を司り、例えば、メールサーバ５０からファイルの検査開始通知を受信したり、スイッチ２０へサンプリングレートの設定を行ったりするときのインタフェースを司る。
【００３７】
記憶部７２は、端末管理情報を記憶する。この端末管理情報は、端末１０の識別情報ごとに、当該端末１０がどのスイッチ２０のどのポートに接続しているかを示した情報である。なお、この端末管理情報は、コントローラ７０の記憶部７２に記憶されていてもよいし、コントローラ７０の外部の装置に記憶されていてもよい。
【００３８】
制御部７３は、コントローラ７０全体の制御を司る。この制御部７３は、制御対象特定部７３１と、検査結果受信部７３２と、スイッチ制御部７３３とを備える。
【００３９】
制御対象特定部７３１は、メールサーバ５０からファイルの検査開始通知を受信した場合、端末管理情報を参照して、当該検査開始通知に示される端末１０がどのスイッチ２０のどのポートに接続されているかを特定する。
【００４０】
検査結果受信部７３２は、サンドボックス４０からファイルの検査結果を受信する。スイッチ制御部７３３は、スイッチ２０の各ポートにおけるサンプリングレートの設定を行う。
【００４１】
ここで、スイッチ制御部７３３は、メールサーバ５０からファイルの検査開始通知を受信する前は、スイッチ２０のポートにおけるサンプリングレートを、例えば、αに設定するが、ファイルの検査開始通知の受信後は、制御対象特定部７３１により特定されたスイッチ２０のポートに対して、サンプリングレートをβ（αよりも高い値）に設定する。
【００４２】
また、スイッチ制御部７３３は、検査結果受信部７３２で受信した、当該ファイルの検査結果が良性であった場合、当該ファイルの宛先の端末１０に接続するスイッチ２０のポートに対して、サンプリングレートをαに戻すよう設定する。一方、スイッチ制御部７３３は、サンドボックス４０からの当該ファイルの検査結果が悪性であった場合、例えば、当該ファイルの宛先の端末１０に接続するスイッチ２０のポートを遮断する等の措置をとる。
【００４３】
なお、スイッチ制御部７３３が、スイッチ２０に対し上記のサンプリングレートの設定を行う際には、例えば、非特許文献１に記載のFlexible  NetFlowや、非特許文献２に記載のOpenFlow  1.3.0等のプロトコルを用いる。
【００４４】
例えば、Flexible  NetFlowを用いる場合、スイッチ制御部７３３は、サンプリングレートを含むパケットのサンプリング方法を「フローサンプラ」として定義する。そして、スイッチ制御部７３３は、スイッチ２０の各ポートにフローサンプラを割り当てることで、各ポートに個別のサンプリングレートでパケットをサンプリングして統計情報を生成し、コレクタ６０に送信させることができる。
【００４５】
また、例えば、OpenFlow  1.3.0を用いる場合、スイッチ制御部７３３は、Group  tableのselect機能を使うことで、個々のポートで受信したパケットを任意のサンプリングレートでサンプリングして転送させることができる。転送先としては、スイッチ２０を制御するコントローラ７０であってもよいし、ＧＲＥ（Generic  Routing  Encapsulation）を用いた仮想ポートを指定すれば任意の装置とすることもできる。前者の場合、転送されてきたパケットをコントローラ７０がコレクタ６０に転送することで、後者の場合、任意の装置をコレクタ６０とすることで、サンプリングしたパケットをコレクタ６０に到達させることができる。
【００４６】
（処理手順）
次に、図４を用いて、第１の実施形態の通信システムの処理手順の例を説明する。通信システムのスイッチ２０は、コントローラ７０により設定されたサンプリングレートαで個々のポートで受信したパケットのサンプリングを行い、サンプリングパケットをコレクタ６０に送信する（Ｓ１）。
【００４７】
また、メールサーバ５０のメール受信部５２１は、端末１０宛のメールを受信し（Ｓ２）、このメールに添付ファイルが含まれる場合、添付ファイル転送部５２２は、この添付ファイルをサンドボックス４０に転送する（Ｓ３）。また、メールサーバ５０のメール配信部５２３は、メール受信部５２１で受信したメールについて、当該メールの宛先の端末１０からの受信要求に応じて、当該端末１０へ配信する（Ｓ４）。また、サンドボックス４０は、Ｓ３でメールサーバ５０から転送された添付ファイルの解析を開始する（Ｓ５）。
【００４８】
Ｓ３でメールサーバ５０が添付ファイルをサンドボックス４０に転送してから、サンドボックス４０からの解析終了通知メッセージを受信する（Ｓ１２）までの期間を、メールサーバ５０におけるメールの監視期間とする。そして、この監視期間中に、メール配信部５２３が、上記の添付ファイルを含むメールを当該メールの宛先の端末１０へ配信すると、検査通知部５２４は、当該ファイルの検査開始通知をコントローラ７０へ送信する（Ｓ６）。なお、このファイルの検査開始通知は、当該メールの宛先の端末１０の識別情報と、当該ファイルの識別情報とを含む。
【００４９】
Ｓ６の後、コントローラ７０が、メールサーバ５０から、ファイルの検査開始通知を受信すると、制御対象特定部７３１は、端末管理情報を参照して、当該検査開始通知に示される端末１０に接続しているスイッチ２０およびポートを特定する（Ｓ７）。そして、スイッチ制御部７３３は、当該スイッチ２０のポートに対し、パケットのサンプリングレートを高くするよう設定する（Ｓ８）。例えば、スイッチ制御部７３３は、当該スイッチ２０のポートに対し、パケットのサンプリングレートをαよりも高いβに変更するよう設定する。
【００５０】
このような設定により、スイッチ２０は、当該ポートにおけるサンプリングレートを変更し（Ｓ９）、例えば、サンプリングレートをαからβに変更する。その後、スイッチ２０は、変更後のサンプリングレートで当該ポートにおけるパケットのサンプリングを行い、サンプリングパケットをコレクタ６０へ送信する（Ｓ１０）。
【００５１】
その後、サンドボックス４０が、ファイルの解析を終了すると（Ｓ１１）、メールサーバ５０へ解析終了通知メッセージを送信し（Ｓ１２）、当該解析によるファイルの検査結果をコントローラ７０へ送信する（Ｓ１３）。
【００５２】
Ｓ１３の後、コントローラ７０の検査結果受信部７３２が、ファイルの検査結果を受信し、検査結果が良性であれば（Ｓ１４でＹｅｓ）、スイッチ制御部７３３は、当該スイッチ２０のポート（Ｓ８でサンプリングレートを高くするよう設定したスイッチ２０のポート）に対し、パケットのサンプリングレートを元に戻すよう設定する（Ｓ１５）。例えば、スイッチ制御部７３３は、パケットのサンプリングレートをβからαに戻すよう設定する。
【００５３】
このような設定により、スイッチ２０は、当該ポートにおけるサンプリングレートを変更し（Ｓ１６）、例えば、サンプリングレートをβからαに戻す。その後、スイッチ２０は、変更後のサンプリングレートで当該ポートにおけるパケットのサンプリングを行い、サンプリングパケットをコレクタ６０へ送信する（Ｓ１７）。
【００５４】
一方、Ｓ１４において、コントローラ７０の検査結果受信部７３２の受信した検査結果が悪性であれば（Ｓ１４でＮｏ）、スイッチ制御部７３３は、当該スイッチ２０に対し当該スイッチ２０のポート（Ｓ８でサンプリングレートを高くするよう設定したスイッチ２０のポート）の遮断を指示する（Ｓ１８）。
【００５５】
なお、ここでは説明を省略したが、コレクタ６０がスイッチ２０によりサンプリングされたパケットを検査した結果、端末１０の不正行為（例えば、他の端末１０へのマルウェアの拡散等）を検知した場合、コントローラ７０が当該端末１０の接続するスイッチ２０のポートの遮断を指示する等の措置をとってもよい。
【００５６】
このような通信システムによれば、内部ネットワークの端末１０のユーザは、サンドボックス４０でメールの添付ファイルの検査中であっても、当該添付ファイルをすぐに利用できる。また、コントローラ７０は、サンドボックス４０での添付ファイルの検査中、当該添付ファイルの送信先の端末１０におけるパケットのサンプリングレートを高くするので、当該端末１０が、当該添付ファイルによりマルウェアに感染した場合であっても、内部ネットワークの他の端末１０への感染を拡大させるリスクを低減することができる。よって、内部ネットワークの端末１０のユーザの利便性を向上させつつ、マルウェアに感染した端末１０が内部ネットワークの他の端末１０への感染を拡大させるリスクを低減することができる。
【００５７】
［第２の実施形態］
（概要）
次に、図５を用いて、本発明の第２の実施形態の通信システムの構成例および概要を説明する。第２の実施形態の通信システムは、端末１０のウェブサイトの閲覧によるマルウェア侵入への対処を行う。前記した第１の実施形態と同じ構成は、同じ符号を付して説明を省略する。
【００５８】
図５に示すように第２の実施形態の通信システム（システム）は、内部ネットワーク内に、メールサーバ５０（図１参照）に代えて、ウェブプロキシサーバ８０を備える。
【００５９】
そして、システムの管理者は、端末１０に、当該端末１０がウェブサイトの閲覧（ウェブサーバ９０へのアクセス）を行う際には、ウェブプロキシサーバ８０を経由するよう設定しておく。また、ファイアウォール３０に、送信元または宛先がウェブプロキシサーバ８０ではないＨＴＴＰ（HyperText  Transfer  Protocol）通信（またはＨＴＴＰＳ（HyperText  Transfer  Protocol  Secure）通信）を受け付けた場合、当該通信を遮断するよう設定しておく。
【００６０】
ウェブプロキシサーバ８０は、端末１０がウェブサイトを閲覧する際に代理でＨＴＴＰ通信を行う。例えば、ウェブプロキシサーバ８０は、端末１０からウェブサーバ９０へのＨＴＴＰリクエストを受信すると、このＨＴＴＰリクエストをウェブサーバ９０へ転送し、ウェブサーバ９０から端末１０へのＨＴＴＰレスポンスを受信すると、このＨＴＴＰレスポンスを端末１０へ転送する。
【００６１】
ここで、ウェブプロキシサーバ８０は、ウェブサーバ９０からのＨＴＴＰレスポンスにファイルが含まれる場合、このファイルをサンドボックス４０に転送する。例えば、ウェブプロキシサーバ８０は、ＨＴＴＰレスポンスに特定種類のファイル（拡張子が.doc、.xls、.exe、.zip等のファイル）が含まれる場合、このファイルをサンドボックス４０に転送する。そして、ウェブプロキシサーバ８０は、当該ＨＴＴＰレスポンスを端末１０へ転送する。
【００６２】
また、コントローラ７０は、ウェブプロキシサーバ８０からファイルの検査開始通知を受信した後、サンドボックス４０から当該ファイルの検査結果を受信するまでの間、当該ファイルの宛先の端末１０に接続するスイッチ２０のポートに対して、サンプリングレートを高く設定する。
【００６３】
このような通信システムによれば、端末１０のユーザは、ウェブサイトから取得したファイルがサンドボックス４０で検査中であっても、当該ファイルをすぐに利用できる。また、端末１０がウェブサイトの閲覧によりマルウェアに感染した場合であっても、内部ネットワークの他の端末１０への感染を拡大させるリスクを低減することができる。
【００６４】
（ウェブプロキシサーバ）
次に、図６を用いて、ウェブプロキシサーバ８０を詳細に説明する。ウェブプロキシサーバ８０は、端末１０とウェブサーバ９０との間のＨＴＴＰ通信の中継を行う。また、ウェブプロキシサーバ８０は、ウェブサーバ９０からのＨＴＴＰレスポンスに含まれるファイルをサンドボックス４０へ転送し、コントローラ７０へ当該ファイルの検査開始通知を行う。このウェブプロキシサーバ８０は、入出力部８１と、制御部８２とを備える。
【００６５】
入出力部８１は、各種データの入出力を司る。例えば、入出力部８１は、ウェブサーバ９０から端末１０へのＨＴＴＰ通信を受信したり、当該ＨＴＴＰ通信を端末１０へ転送したりするときのインタフェースを司る。
【００６６】
制御部８２は、ウェブプロキシサーバ８０全体の制御を司る。制御部８２は、プロキシ処理部８２１と、ファイル転送部８２２と、検査通知部８２３とを備える。
【００６７】
プロキシ処理部８２１は、端末１０とウェブサーバ９０との間のＨＴＴＰ通信の中継を行う。具体的には、端末１０からのＨＴＴＰリクエストを宛先のウェブサーバ９０へ転送し、当該ウェブサーバ９０からのＨＴＴＰレスポンスを当該端末１０へ転送する。
【００６８】
ファイル転送部８２２は、プロキシ処理部８２１で受信したＨＴＴＰレスポンスにファイルが含まれる場合、当該ファイルをサンドボックス４０に転送する。
【００６９】
検査通知部８２３は、ファイル転送部８２２がサンドボックス４０へファイルを転送し、プロキシ処理部８２１が当該ファイルを含むＨＴＴＰレスポンスを端末１０へ送信すると、当該端末１０の識別情報と、当該ファイルの識別情報とを含むファイルの検査開始通知をコントローラ７０に送信する。つまり、検査通知部８２３は、サンドボックス４０での検査が開始されたファイル、およびこのファイルが送信された端末１０をコントローラ７０に通知する。
【００７０】
（処理手順）
次に、図７を用いて、第２の実施形態の通信システムの処理手順の例を説明する。図７におけるＳ１の処理は、図４におけるＳ１の処理と同じなので、説明を省略し、Ｓ２１から説明する。
【００７１】
ウェブプロキシサーバ８０のプロキシ処理部８２１は、端末１０からのＨＴＴＰリクエストを受信すると（Ｓ２１）、このＨＴＴＰリクエストを宛先のウェブサーバ９０へ転送する（Ｓ２２）。その後、プロキシ処理部８２１は、当該ウェブサーバ９０からＨＴＴＰレスポンスを受信し（Ｓ２３）、このＨＴＴＰレスポンスにファイルが含まれていれば、ファイル転送部８２２は、当該ファイルをサンドボックス４０に転送する（Ｓ２４）。なお、このファイルの検査開始通知は、当該メールの宛先の端末１０の識別情報と、ファイルの識別情報とを含む。
【００７２】
Ｓ２４の後、サンドボックス４０は、図４のＳ５と同様に、ウェブプロキシサーバ８０から転送されたファイルの解析を開始する（Ｓ５）。また、ウェブプロキシサーバ８０のプロキシ処理部８２１は、Ｓ２３で受信したＨＴＴＰレスポンスを宛先の端末１０へ転送する（Ｓ２５）。また、検査通知部８２３は、Ｓ２４でサンドボックス４０に転送したファイルの検査開始通知をコントローラ７０へ送信する（Ｓ２６）。なお、このファイルの検査開始通知は、当該ファイルの宛先の端末１０の識別情報と、当該ファイルの識別情報とを含む。
【００７３】
Ｓ２６の後、コントローラ７０が、ウェブプロキシサーバ８０から、ファイルの検査開始通知を受信すると、図４のＳ７と同様に、制御対象特定部７３１は、端末管理情報を参照して、当該検査開始通知に示される端末１０に接続しているスイッチ２０およびポートを特定する（Ｓ７）。そして、スイッチ制御部７３３は、図４のＳ８と同様に、当該スイッチ２０のポートに対し、パケットのサンプリングレートを高くするよう設定する（Ｓ８）。その後のＳ９〜Ｓ１８の処理は、図７のＳ９〜Ｓ１８の処理と同様なので説明を省略する。
【００７４】
このような通信システムによれば、端末１０のユーザは、ウェブ閲覧により取得されたファイルがサンドボックス４０で検査中であっても、当該ファイルをすぐに利用できる。また、コントローラ７０は、サンドボックス４０での当該ファイルの検査中、当該ファイルの送信先の端末１０におけるパケットのサンプリングレートを高くする等の監視強化を行うので、当該端末１０が、当該ファイルによりマルウェアに感染した場合であっても、内部ネットワークの他の端末１０への感染を拡大させるリスクを低減することができる。よって、内部ネットワークの端末１０のユーザの利便性を向上させつつ、マルウェアに感染した端末１０が内部ネットワークの他の端末１０への感染を拡大させるリスクを低減することができる。また、サンプリングレートの増大は検査中のファイルを受信した端末１０における送受信パケットに限定して行われるため、スイッチ２０の負荷や通信路の帯域の増加を限定的なものとすることができる。
【００７５】
［その他の実施形態］
なお、第１の実施形態で述べたメールサーバ５０の機能を、通常のメールサーバとメールゲートウェイとの組み合わせで実現してもよい。例えば、図８に示すメールゲートウェイ５０ａとメールサーバ５０ｂとの組み合わせにより実現してもよい。なお、通信システムの管理者は、内部ネットワークのドメイン宛のメールが、メールサーバ５０ｂではなくメールゲートウェイ５０ａへ届くように、ＤＮＳ（Domain  Name  System）の公開情報を変更しておくものとする。また、メールゲートウェイ５０ａとメールサーバ５０ｂとは、例えば、スイッチ２０により接続されるものとする。
【００７６】
メールゲートウェイ５０ａは、図８に示すように入出力部５１ａと制御部５２ａとを備え、制御部５２ａは、メール受信部５２１ａと、添付ファイル転送部５２２と、検査通知部５２４ａとを備える。メール受信部５２１ａは、インターネットからメールを受信すると、このメールをメールサーバ５０ｂに転送する。添付ファイル転送部５２２は、メールに添付ファイルがある場合、当該添付ファイルをサンドボックス４０へ送信する。検査通知部５２４ａは、所定期間ごとにメールサーバ５０ｂにおけるメールの送信ログを監視し、監視期間中にメールサーバ５０ｂが上記の添付ファイルの宛先の端末１０へメールを配信したことを検知すると、当該添付ファイルの検査開始通知をコントローラ７０へ送信する。
【００７７】
また、メールサーバ５０ｂは、通常のメールサーバと同様の機能を備える。つまり、図８に示すようにメールサーバ５０ｂは、入出力部５１ｂと制御部５２ｂとを備え、制御部５２ｂは、メール配信部５２３を備える。このメール配信部５２３は、入出力部５１ｂ経由でメールゲートウェイ５０ａから転送されたメールを受信すると、このメールを宛先の端末１０へ配信する。
【００７８】
このようにすることで、通常のメールサーバを用いて、第１の実施形態の通信システムの機能を実現することができる。
【００７９】
なお、通信システムは、第１の実施形態で述べたメールサーバ５０と、第２の実施形態で述べたウェブプロキシサーバ８０とを備え、端末１０へのメールによるマルウェア侵入への対処と、端末１０のウェブサイトの閲覧によるマルウェア侵入への対処との両方を行うようにしてもよい。
【００８０】
また、コントローラ７０のスイッチ制御部７３３は、端末１０に接続するスイッチ２０のポートごとにサンプリングレートを変更することとしたが、これに限定されない。例えば、前記したOpenFlow  1.3.0では、パケットの処理方法を５ｔｕｐｌｅ（送信元ＩＰアドレス、宛先ＩＰアドレス、送信元ポート番号、宛先ポート番号およびプロトコル番号の組）で特定されるフローごとに指定することができる。そのため、スイッチ制御部７３３は、例えば、特定のＩＰアドレス（サンドボックス４０で検査中のファイルを受信した端末１０のＩＰアドレス）を宛先アドレスまたは送信元アドレスとするＩＰパケットに高いサンプリングレートを設定してもよい。
【００８１】
（プログラム）
また、各実施形態で述べたメールサーバ５０、コントローラ７０、ウェブプロキシサーバ８０の機能を実現するプログラムを所望の情報処理装置（コンピュータ）にインストールすることによって実現できる。例えば、パッケージソフトウェアやオンラインソフトウェアとして提供される上記のプログラムを情報処理装置に実行させることにより、情報処理装置をメールサーバ５０、コントローラ７０、ウェブプロキシサーバ８０として機能させることができる。ここで言う情報処理装置は、デスクトップ型またはノート型のパーソナルコンピュータが含まれる。また、その他にも、情報処理装置にはスマートフォン、携帯電話機やＰＨＳ（Personal  Handyphone  System）等の移動体通信端末、さらには、ＰＤＡ（Personal  Digital  Assistants）であってもよい。
【００８２】
以下に、上記のプログラムを実行するコンピュータの一例を説明する。図９は、プログラムを実行するコンピュータを示す図である。図９に示すように、コンピュータ１０００は、例えば、メモリ１０１０と、ＣＰＵ（Central  Processing  Unit）１０２０と、ハードディスクドライブインタフェース１０３０と、ディスクドライブインタフェース１０４０と、シリアルポートインタフェース１０５０と、ビデオアダプタ１０６０と、ネットワークインタフェース１０７０とを有する。これらの各部は、バス１０８０によって接続される。
【００８３】
メモリ１０１０は、ＲＯＭ（Read  Only  Memory）１０１１およびＲＡＭ（Random  Access  Memory）１０１２を含む。ＲＯＭ１０１１は、例えば、ＢＩＯＳ（Basic  Input  Output  System）等のブートプログラムを記憶する。ハードディスクドライブインタフェース１０３０は、ハードディスクドライブ１０９０に接続される。ディスクドライブインタフェース１０４０は、ディスクドライブ１１００に接続される。ディスクドライブ１１００には、例えば、磁気ディスクや光ディスク等の着脱可能な記憶媒体が挿入される。シリアルポートインタフェース１０５０には、例えば、マウス１１１０およびキーボード１１２０が接続される。ビデオアダプタ１０６０には、例えば、ディスプレイ１１３０が接続される。
【００８４】
ここで、図９に示すように、ハードディスクドライブ１０９０は、例えば、ＯＳ１０９１、アプリケーションプログラム１０９２、プログラムモジュール１０９３およびプログラムデータ１０９４を記憶する。前記した各実施形態で説明した各種データや情報は、例えばハードディスクドライブ１０９０やメモリ１０１０に記憶される。
【００８５】
そして、ＣＰＵ１０２０が、ハードディスクドライブ１０９０に記憶されたプログラムモジュール１０９３やプログラムデータ１０９４を必要に応じてＲＡＭ１０１２に読み出して、上述した各手順を実行する。
【００８６】
なお、上記のプログラムに係るプログラムモジュール１０９３やプログラムデータ１０９４は、ハードディスクドライブ１０９０に記憶される場合に限られず、例えば、着脱可能な記憶媒体に記憶されて、ディスクドライブ１１００等を介してＣＰＵ１０２０によって読み出されてもよい。あるいは、上記のプログラムに係るプログラムモジュール１０９３やプログラムデータ１０９４は、ＬＡＮやＷＡＮ（Wide  Area  Network）等のネットワークを介して接続された他のコンピュータに記憶され、ネットワークインタフェース１０７０を介してＣＰＵ１０２０によって読み出されてもよい。
【符号の説明】
【００８７】
１０    端末
２０    スイッチ
３０    ファイアウォール
４０    サンドボックス
５０，５０ｂ    メールサーバ
５０ａ  メールゲートウェイ
６０    コレクタ
７０    コントローラ
８０    ウェブプロキシサーバ
９０    ウェブサーバ
５２１，５２１ａ  メール受信部
５２２  ファイル転送部
５２３  メール配信部
５２４，５２４ａ，８２３  検査通知部
７３１  制御対象特定部
７３２  検査結果受信部
７３３  スイッチ制御部
８２１  プロキシ処理部
８２２  ファイル転送部
【図１】
2018022944.tif 000003
【図２】
2018022944.tif 000004
【図３】
2018022944.tif 000005
【図４】
2018022944.tif 000006
【図５】
2018022944.tif 000007
【図６】
2018022944.tif 000008
【図７】
2018022944.tif 000009
【図８】
2018022944.tif 000010
【図９】
2018022944.tif 000011