(57)【要約】【課題】ファイルのデータが受信されるときに、そのデータのうちの特定の部分を利用して、ファイルの危険性を早期に診断する。【解決手段】パケット抽出部３４は、キャプチャ部３１が捕獲したパケットのうちで、クライアントが送信した、ファイルの取得を要求するＨＴＴＰリクエストのデータを含むものを抽出する。ファイル種別取得部３５は、そのＨＴＴＰリクエストのリクエスト行から、取得が要求されたファイルの拡張子を取得する。次に、パケット抽出部３４は、上記のＨＴＴＰリクエストに対応するＨＴＴＰレスポンスのデータを含むパケットを抽出する。ファイル種別取得部３５は、そのＨＴＴＰレスポンスに含まれるファイルのデータの先頭から、そのファイルのマジックナンバーを取得する。危険性判定部３６は、そのファイルの拡張子とマジックナンバーとが同じ種別を表すか否かに応じて、ファイルの危険性の有無を判定する。【選択図】図２
2011138189.tif 000002
【特許請求の範囲】
【請求項１】
ネットワーク上を流れるデータを受信する受信手段と、
ファイルの名称を表す文字列に含まれる当該ファイルの拡張子を取得する拡張子取得手段と、
前記受信手段がファイルを構成するデータを受信するときに、当該データのうち特定の部分に含まれる、拡張子とは異なる当該ファイルの種別を表す種別データを取得する種別データ取得手段と、
前記拡張子取得手段が取得した前記ファイルの拡張子と、前記種別データ取得手段が取得した当該ファイルの前記種別データとが整合するか否かに応じて、当該ファイルの危険性の有無を判定する危険性判定手段と
を備えたことを特徴とする通信装置。
【請求項２】
前記受信手段は、クライアントコンピュータがネットワークを介してサーバコンピュータへ送信するファイル取得要求と、当該ファイル取得要求に対する応答として当該サーバコンピュータが当該クライアントコンピュータへ送信するファイルのデータとを受信し、
前記拡張子取得手段は、前記受信手段が受信した前記ファイル取得要求のデータから前記ファイルの拡張子を取得することを特徴とする請求項１に記載の通信装置。
【請求項３】
前記危険性判定手段が前記ファイルを危険性のあるものであると判定したときに、前記クライアントコンピュータによる前記サーバコンピュータからの当該ファイルの取得を中止させるファイル取得中止手段を更に備えたことを特徴とする請求項２に記載の通信装置。
【請求項４】
前記受信手段は、自装置がネットワークを介してサーバコンピュータへ送信したファイル取得要求に対する応答として、当該サーバコンピュータからファイルのデータを受信し、
前記拡張子取得手段は、前記自装置が前記サーバコンピュータへ送信する前記ファイル取得要求のデータから前記ファイルの拡張子を取得することを特徴とする請求項１に記載の通信装置。
【請求項５】
コンピュータに、
ネットワーク上を流れるデータを受信する機能と、
ファイルの名称を表す文字列に含まれる当該ファイルの拡張子を取得する機能と、
前記データを受信する機能がファイルを構成するデータを受信するときに、当該データのうち特定の部分に含まれる、拡張子とは異なる当該ファイルの種別を表す種別データを取得する機能と、
取得された前記ファイルの拡張子と当該ファイルの前記種別データとが整合するか否かに応じて、当該ファイルの危険性の有無を判定する機能と
を実現させるためのプログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、通信装置及びプログラムに関する。
【背景技術】
【０００２】
近年流行しているコンピュータウィルスの中には、攻撃者が用意したインターネット上のサーバから更に別のウイルスをダウンロードして、企業等のコンピュータに感染させる機能を持っているものがある。ウイルスへの感染が広まると、企業等は、個人情報等の機密情報が漏えいするといった深刻な被害を受けることになる。
【０００３】
これらのウイルスの中には、例えば、画像ファイルをダウンロードするように見せかけて、実際には実行形式のＥＸＥファイルをダウンロードするものがある。ここでダウンロードされるファイルは、ファイル名に付けられた拡張子とファイルの中身のデータが整合しておらず、拡張子を詐称するものである。このようなファイルは、ウイルスである可能性が極めて高い不審なものであると言える。
【０００４】
ここで、公報記載の技術として、特許文献１には、コンピュータウィルスの検出に用いられるコンピュータウィルス固有情報を抽出するコンピュータウィルス固有情報抽出装置であって、コンピュータウィルスであると特定された実行ファイルを取得する取得手段と、実行ファイルにおいて固有であるとみなし得る情報の格納領域であると予め決められた特定領域に含まれる情報を、前記取得手段により取得された実行ファイルからコンピュータウィルス固有情報として抽出する抽出手段とを有することを特徴とするコンピュータウィルス固有情報抽出装置が記載されている。
【先行技術文献】
【特許文献】
【０００５】
【特許文献１】再表２００５−１０３８９５号公報
【発明の概要】
【発明が解決しようとする課題】
【０００６】
この特許文献１の技術では、コンピュータウィルスであると特定された実行ファイルのヘッダ領域の一部から、コンピュータウィルス固有情報を抽出している。一般に、ファイルのヘッダ領域にはファイルの種別を表すデータも格納されており、ファイルが上記のような拡張子を詐称するものである否かを診断する際に、このデータを利用することも考えられる。しかしながら、これまでファイルのヘッダ領域の情報は、コンピュータウィルス固有情報の抽出には使われていても、拡張子を詐称する不審なファイルであるかというような、ファイルの危険性の診断には使われていなかった。
【０００７】
そこで本発明の目的は、ファイルのデータが受信されるときに、そのデータのうちの特定の部分を利用して、ファイルの危険性を早期に診断することにある。
【課題を解決するための手段】
【０００８】
かかる目的のもと、本発明は、ネットワーク上を流れるデータを受信する受信手段と、ファイルの名称を表す文字列に含まれる当該ファイルの拡張子を取得する拡張子取得手段と、前記受信手段がファイルを構成するデータを受信するときに、当該データのうち特定の部分に含まれる、拡張子とは異なる当該ファイルの種別を表す種別データを取得する種別データ取得手段と、前記拡張子取得手段が取得した前記ファイルの拡張子と、前記種別データ取得手段が取得した当該ファイルの前記種別データとが整合するか否かに応じて、当該ファイルの危険性の有無を判定する危険性判定手段とを備えたことを特徴とする通信装置を提供する。
【０００９】
ここで、この装置における前記受信手段は、クライアントコンピュータがネットワークを介してサーバコンピュータへ送信するファイル取得要求と、当該ファイル取得要求に対する応答として当該サーバコンピュータが当該クライアントコンピュータへ送信するファイルのデータとを受信し、前記拡張子取得手段は、前記受信手段が受信した前記ファイル取得要求のデータから前記ファイルの拡張子を取得するものであってよい。
【００１０】
また、この装置は、前記危険性判定手段が前記ファイルを危険性のあるものであると判定したときに、前記クライアントコンピュータによる前記サーバコンピュータからの当該ファイルの取得を中止させるファイル取得中止手段を更に備えたものであってよい。
【００１１】
更にまた、この装置における受信手段は、自装置がネットワークを介してサーバコンピュータへ送信したファイル取得要求に対する応答として、当該サーバコンピュータからファイルのデータを受信し、前記拡張子取得手段は、前記自装置が前記サーバコンピュータへ送信する前記ファイル取得要求のデータから前記ファイルの拡張子を取得するものであってもよい。
【００１２】
また、本発明は、コンピュータに、ネットワーク上を流れるデータを受信する機能と、ファイルの名称を表す文字列に含まれる当該ファイルの拡張子を取得する機能と、前記データを受信する機能がファイルを構成するデータを受信するときに、当該データのうち特定の部分に含まれる、拡張子とは異なる当該ファイルの種別を表す種別データを取得する機能と、取得された前記ファイルの拡張子と当該ファイルの前記種別データとが整合するか否かに応じて、当該ファイルの危険性の有無を判定する機能とを実現させるためのプログラムをも提供する。
【発明の効果】
【００１３】
本発明によれば、ファイルのデータが受信されるときに、そのデータのうちの特定の部分を利用して、ファイルの危険性を早期に診断することが可能になる。
【図面の簡単な説明】
【００１４】
【図１】本実施の形態が適用されるコンピュータシステムの全体構成図である。
【図２】本実施の形態におけるＬＡＮアナライザの機能構成例を示したブロック図である。
【図３】クライアントとサーバがＨＴＴＰ通信を行う際の通信シーケンスの概略を示した図である。
【図４】ＨＴＴＰリクエスト及びＨＴＴＰレスポンスのデータの例を示した図である。
【図５】本実施の形態においてダウンロードされるファイルの危険性を診断する際のＬＡＮアナライザの動作例を示したフローチャートである。
【図６】本実施の形態が適用されるコンピュータシステムの変形例の全体構成図である。
【図７】本実施の形態が適用されるコンピュータのハードウェア構成図である。
【発明を実施するための形態】
【００１５】
以下、添付図面を参照して、本発明の実施の形態について詳細に説明する。
まず、本実施の形態が適用されるコンピュータシステムについて説明する。
図１は、このようなコンピュータシステムの全体構成例を示した図である。図示するように、このコンピュータシステムは、クライアント１０ａ，１０ｂと、サーバ２０とが、ＬＡＮ（Local Area Network）７０、ルータ４０及び外部ネットワーク８０を介して接続されている。また、ＬＡＮ７０には、クライアント１０ａ，１０ｂと、ＬＡＮアナライザ３０とが接続されている。外部ネットワーク８０としては、インターネットが例示される。
【００１６】
本実施の形態では、通信プロトコルとして、ＴＣＰ／ＩＰ(Transmission Control Protocol/Internet Protocol)を用いる。また、本実施の形態において、クライアント１０ａ，１０ｂは、ＨＴＴＰ（HyperText Transfer Protocol）に従い、ＬＡＮ７０、ルータ４０及び外部ネットワーク８０を介してサーバ２０からファイルをダウンロードする。
【００１７】
クライアント１０ａ，１０ｂは、ユーザが使用するクライアントコンピュータである。例えば、パーソナルコンピュータやワークステーション、その他のコンピュータ装置にて実現される。以下の説明では、クライアント１０ａ，１０ｂは、クライアントコンピュータにインストールされたＷｅｂブラウザを指すこともある。尚、図１では、クライアント１０ａ，１０ｂを示したが、これらを区別する必要がない場合は、クライアント１０と称することもある。また、図１では、２台のクライアント１０しか示していないが、３台以上のクライアント１０を設けてもよい。
【００１８】
サーバ２０は、ＨＴＭＬ（HyperText Markup Language）文書や画像などの情報を蓄積しているＷｅｂサーバである。サーバ２０は、例えば、パーソナルコンピュータやワークステーション、その他のコンピュータ装置にて実現される。
【００１９】
ＬＡＮアナライザ３０（通信装置の一例）は、ＬＡＮ７０を流れるパケットを捕獲（キャプチャ）して記録するハードウェア又はソフトウェアである。ＬＡＮアナライザ３０は、トラフィックの監視専用の装置であってもよいし、パケット・キャプチャ・ソフトウェアがインストールされたパーソナルコンピュータ等であってもよい。本実施の形態では、クライアント１０がダウンロードするファイルの危険性の診断を、このＬＡＮアナライザ３０が行う。
【００２０】
次に、ＬＡＮアナライザ３０の機能構成について説明する。
図２は、ＬＡＮアナライザ３０の機能構成例を示したブロック図である。図示するように、ＬＡＮアナライザ３０は、キャプチャ部３１と、ログデータ記憶部３２と、制御情報記憶部３３と、パケット抽出部３４と、ファイル種別取得部３５と、危険性判定部３６と、ダウンロード制御部３７とを備えている。
【００２１】
キャプチャ部３１は、ＬＡＮ７０を流れるパケットを捕獲する。本実施の形態では、受信手段の一例として、キャプチャ部３１を設けている。
ログデータ記憶部３２は、キャプチャ部３１が捕獲したパケットをログデータとして記憶する。
【００２２】
制御情報記憶部３３は、ＬＡＮアナライザ３０がファイルの危険性の診断を行う際に必要となる、拡張子とマジックナンバー（後述）との対応関係や、クライアント１０のＩＰアドレス等を記憶する。
パケット抽出部３４は、制御情報記憶部３３に記憶されているクライアント１０のＩＰアドレス等を参照して、キャプチャ部３１が捕獲したパケットの中から、クライアント１０がファイルをダウンロードする際に送出されるＨＴＴＰリクエストのパケットと、それに対するＨＴＴＰレスポンスのパケットを抽出する。この抽出方法については後述する。
【００２３】
ファイル種別取得部３５は、パケット抽出部３４により抽出されたパケットに含まれるＨＴＴＰリクエストのデータから、クライアント１０がダウンロードしようとするファイルの拡張子を取得する。また、ファイル種別取得部３５は、パケット抽出部３４により抽出されたパケットに含まれるＨＴＴＰレスポンスのデータから、クライアント１０がダウンロードするファイルのデータに埋め込まれたそのファイルの種別を表すマジックナンバー（種別データの一例）を取得する。
本実施の形態では、拡張子取得手段及び種別データ取得手段の一例として、パケット抽出部３４及びファイル種別取得部３５を設けている。
【００２４】
危険性判定部３６は、ファイル種別取得部３５が取得したファイルの拡張子とそのファイルのマジックナンバーとがそれぞれ同じ種別を表す（即ち、整合する）場合は、そのファイルを安全であると判定する。逆に、ファイル種別取得部３５が取得したファイルの拡張子とそのファイルのマジックナンバーとが異なる種別を表す場合は、そのファイルを危険であると判定する。本実施の形態では、危険性判定手段の一例として、危険性判定部３６を設けている。
【００２５】
ダウンロード制御部３７は、クライアント１０がダウンロードするファイルが危険なものであると危険性判定部３６が判定したときに、クライアント１０に対してその旨の警告を送信し、ルータ４０に対してサーバ２０からクライアント１０へのパケットを遮断させる（即ち、ダウンロードを中止させる）指示を送信する。本実施の形態では、ファイル取得中止手段の一例として、ダウンロード制御部３７を設けている。
【００２６】
ここで、ファイルのマジックナンバーについて説明する。
電子ファイルの名称を表す文字列には、例えば、実行形式のファイルであれば“ｅｘｅ”、ＪＰＥＧ（Joint Photographic Experts Group）形式の画像ファイルであれば“ｊｐｇ”のように、通常そのファイルの種別を表す拡張子が付加されている。マジックナンバーは、この拡張子とは別に、ファイルの先頭部分の数バイトに埋め込まれたそのファイルの種別を表すデータである。例えば、実行形式のファイルには１６進表記で“4D 5A”（ＡＳＣＩＩコードで“ＭＺ”という文字列に相当する）の２バイトが、ＪＰＥＧ形式の画像ファイルには１６進表記で“FF D8 FF”の３バイトが、マジックナンバーとして埋め込まれている。
【００２７】
これらのうち、拡張子は上記のように詐称される可能性もあるが、マジックナンバーはそれを参照することによりそのファイルの種別を正しく認識できるものである。したがって、例えば、同じファイルの拡張子とマジックナンバーを調べた結果がそれぞれ“ｊｐｇ”と“FF D8 FF”であれば、両者は整合しておりそのファイルはＪＰＥＧ形式の画像ファイルであると判断できる。しかしながら、例えば、拡張子が“ｊｐｇ”であるにもかかわらずマジックナンバーが“4D 5A”（“ＭＺ”）であれば、そのファイルは実際には実行形式のファイルであり、拡張子が詐称されたものであると判断できる。
【００２８】
次に、本実施の形態においてファイルのダウンロードが行われる際のＨＴＴＰ通信の概略について説明する。
図３は、クライアントとサーバがＨＴＴＰ通信を行う際の通信シーケンスの概略を示した図である。また、図４は、ＨＴＴＰリクエスト及びＨＴＴＰレスポンスのデータの例を示した図である。
【００２９】
図３に示すように、最初にクライアント１０とサーバ２０との間でＴＣＰコネクションが確立される。これは、クライアント１０、サーバ２０間でＳＹＮパケット（コネクションの確立要求）とＡＣＫパケット（確認応答）をやり取りする３ウェイハンドシェイクにより行われる。
【００３０】
ＴＣＰコネクションが確立すると、クライアント１０とサーバ２０との間でデータの送受信を行うため、本実施の形態では、まずクライアント１０がサーバ２０へＨＴＴＰリクエストを送信する。図４（Ａ）は、ＨＴＴＰリクエストのデータの一部を示したものである。枠で囲んだ記述１５１は、“メソッド  パス名  ＨＴＴＰ／バージョン番号”の書式で表されるリクエスト行であり、図４（Ａ）の例では、ＧＥＴメソッドによりクライアント１０がサーバ２０に対して“notepad.jpg”というＪＰＥＧ形式の画像ファイルの取得を要求していることを表している。パス名には、ＵＲＬ（Uniform Resource Locator）が指定されることもある。
【００３１】
次に、これに対する応答としてサーバ２０がクライアント１０へＨＴＴＰレスポンスを送信する。図４（Ｂ）は、ＨＴＴＰレスポンスのデータの一部を示したものである。枠で囲んだ記述１５２は、“ＨＴＴＰ／バージョン番号  ステータス番号  メッセージ”の書式表されるレスポンス行であり、図４（Ｂ）の例では、上記のファイルの取得に成功した（“２００  ＯＫ”）ことを表している。
また、枠で囲んだ記述１５３以降が、ダウンロードされる“notepad.jpg”のファイルのデータである。記述１５３は実行形式のファイルのマジックナンバー“ＭＺ”であり、要求されたファイル名の拡張子“ｊｐｇ”とは整合していないことがわかる。
【００３２】
ＨＴＴＰによる一通りの通信が終わると、クライアント１０とサーバ２０との間でＦＩＮパケット（コネクションの切断要求）とＡＣＫパケットがやり取りされ、ＴＣＰコネクションが切断される（再び図３を参照）。
【００３３】
以下では、本実施の形態におけるＬＡＮアナライザ３０の動作について説明する。
図５は、本実施の形態においてダウンロードされるファイルの危険性を診断する際のＬＡＮアナライザ３０の動作例を示したフローチャートである。
【００３４】
まず、パケット抽出部３４は、キャプチャ部３１が捕獲したパケットのうちで、クライアント１０が送信した、ファイルの取得を要求するＨＴＴＰリクエストのデータを含むものを抽出する（ステップ１０１）。ファイルの取得を要求するＨＴＴＰリクエストであることは、パケットに載っているＨＴＴＰのデータが、記述１５１のようなＧＥＴメソッド又はＰＯＳＴメソッドのような、ファイルの取得に使われるメソッドのリクエスト行を含むことにより判断される。
【００３５】
対象となるパケットが抽出されると、更にパケット抽出部３４は、そのパケットのＩＰヘッダを参照し、送信元（クライアント１０）のＩＰアドレス及び送信先（サーバ２０）のＩＰアドレスを取得する。また、パケット抽出部３４は、そのパケットのＴＣＰヘッダを参照し、送信元のポート番号、送信先のポート番号及びＴＣＰのシーケンス番号を取得する（ステップ１０２）。取得されたＩＰアドレス、ポート番号及びシーケンス番号は、制御情報記憶部３３が記憶する。これらの情報は、捕獲されたパケットの中からＨＴＴＰリクエストと同一のＴＣＰコネクションにおけるＨＴＴＰレスポンスのパケットを抽出する際に参照される。
【００３６】
また、ファイル種別取得部３５は、パケット抽出部３４が抽出したパケットにおけるＨＴＴＰリクエストのリクエスト行から、取得が要求されたファイルの拡張子を取得する（ステップ１０３）。この拡張子も制御情報記憶部３３が記憶する。
【００３７】
次に、パケット抽出部３４は、キャプチャ部３１が捕獲したパケットのうちで、上記のＨＴＴＰリクエストに対応するＨＴＴＰレスポンスのデータを含むものを抽出する（ステップ１０４）。ＨＴＴＰレスポンスであることは、パケットに載っているＨＴＴＰのデータが記述１５２のようなレスポンス行を含むことにより判断される。また、上記のＨＴＴＰリクエストに対応するものであるか否かは、ＨＴＴＰリクエストと同一のＴＣＰコネクションにおけるものか否かにより判断される。そして、同一のＴＣＰコネクションか否かは、キャプチャ部３１が捕獲したＨＴＴＰレスポンスのパケットについて、ステップ１０２と同様に、パケット抽出部３４が送信元のＩＰアドレス、送信先のＩＰアドレス、送信元のポート番号、送信先のポート番号及びシーケンス番号を取得し、制御情報記憶部３３に記憶されているものと（送信元及び送信先が逆になっていることを除いて）同一であるか否かを調べることにより判断される。
【００３８】
対象となるパケットが抽出されると、ファイル種別取得部３５は、そのパケットにおけるＨＴＴＰレスポンスに含まれるファイルのデータの先頭から、そのファイルのマジックナンバーを取得する（ステップ１０５）。
【００３９】
そして、危険性判定部３６は、制御情報記憶部３３に記憶されているファイルの拡張子とファイル種別取得部３５が取得したそのファイルのマジックナンバーとがそれぞれ同じ種別を表すか（整合するか）否かを判定する（ステップ１０６）。拡張子とマジックナンバーが同じ種別を表している場合は、危険性判定部３６はそのファイルを安全であると判定し、処理を終了する。
【００４０】
逆に、拡張子とマジックナンバーが異なる種別を表している場合は、危険性判定部３６はそのファイルを危険であると判定する。図４の例では、“notepad.jpg”のファイルの拡張子“ｊｐｇ”とマジックナンバー“ＭＺ”とが異なる種別を表しているため、危険性判定部３６はそのファイルを危険であると判定する。このとき、ダウンロード制御部３７は、クライアント１０に対してその旨の警告を送信し（ステップ１０７）、ルータ４０に対してサーバ２０からクライアント１０へのパケットを遮断させる（ダウンロードを中止させる）指示を送信する（ステップ１０８）。
以上で、ＬＡＮアナライザ３０がファイルの危険性を診断する際の処理は終了する。
【００４１】
尚、ダウンロード制御部３７が行う上記の警告は、ＬＡＮアナライザ３０からクライアント１０に対してメールを送信することにより行ってもよいし、また、ＬＡＮアナライザ３０が有する表示部に表示される管理画面において警告を発してもよい。
更に、危険性判定部３６による判定結果は、ログデータ記憶部３２に記憶しておいてもよい。キャプチャ部３１がパケットを捕獲した日時、ダウンロード元及びダウンロード先のＩＰアドレス、拡張子、並びにマジックナンバー等をログとして記憶しておけば、不審なファイルのダウンロードがされたか否かを後から解析することができ、システム監査、セキュリティ監査のときの監査証跡としても利用できる。
【００４２】
また、上記のＬＡＮアナライザ３０の動作例では、危険性判定部３６により危険であると判定されたファイルのダウンロードを中止させる処理を行っているが（図５のステップ１０８を参照）、危険性判定部３６が判定を誤ることにより必要なファイルのダウンロードまでが中止される可能性があり、ユーザが煩わしく感じることも考えられる。このような場合は、ダウンロードを中止させる処理を行わないようにしてもよい。
【００４３】
また、図６は、本実施の形態が適用されるコンピュータシステムの変形例の全体構成図である。この変形例においても、上記と同様に、クライアント１０と、サーバ２０とが、ＬＡＮ７０、ルータ４０及び外部ネットワーク８０を介して接続されている。しかしながら、ここではＬＡＮアナライザ３０が、図示するようにＬＡＮ７０と外部ネットワーク８０との境界においてインラインに接続されている。この変形例の場合は、図５のステップ１０８において、危険であると判定されたファイルのダウンロードをＬＡＮアナライザ３０自体が中止させることができる。
【００４４】
ところで、以上の説明では、ファイルの危険性についての診断はＬＡＮアナライザ３０が行ったが、クライアント１０が自ら診断処理を行っても良い。その場合のクライアント１０は、図２に示したようなＬＡＮアナライザ３０と同様の構成を備える必要がある。ただしクライアント１０は、キャプチャ部３１に代えて、ＬＡＮ７０を介してデータを受信する受信部（不図示）を備える。この受信部は、受信手段の一例である。
【００４５】
そして、図５のステップ１０１においては、パケット抽出部３４は、自装置が出力したパケットの中からファイルの取得を要求するＨＴＴＰリクエストのデータを含むものを抽出する。またステップ１０７では、ダウンロード制御部３７が自装置の表示部（不図示）に警告を表示する。更にステップ１０８では、ダウンロード制御部３７が、受信部に対してサーバ２０からクライアント１０へのパケットの受信を遮断するように指示する。
【００４６】
尚、図６を用いて説明した変形例の場合は、ＬＡＮアナライザ３０に代えてＬＡＮ７０上の同じ位置にＩＰＳ（Intrusion Prevention System：侵入防御システム）を設け、そのＩＰＳに本実施の形態におけるＬＡＮアナライザ３０と同様の機能を持たせてもよい。
【００４７】
以上述べたように、本実施の形態では、ダウンロードされるファイルの拡張子をクライアント１０が送信したＨＴＴＰリクエストのデータから取得し、そのファイルのマジックナンバーをそのＨＴＴＰリクエストに対するＨＴＴＰレスポンスに含まれるファイルのデータから取得して、拡張子とマジックナンバーとが整合するか否かを判断するようにした。マジックナンバーはファイルの先頭に埋め込まれているため、ファイル全体のデータを受信する前でもそのファイルの危険性についての診断を行うことができる。このため、上記の構成により、ファイルのデータが受信されるときに、そのデータのうちの特定の部分を利用して、ファイルの危険性を早期に診断することが可能になった。
【００４８】
最後に、本実施の形態におけるクライアント１０及びＬＡＮアナライザ３０のハードウェア構成について説明する。図７は、このようなコンピュータのハードウェア構成の一例を示した図である。図示するように、コンピュータは、演算手段であるＣＰＵ（Central Processing Unit）９０と、Ｍ／Ｂ（マザーボード）チップセット９１を介してＣＰＵ９０に接続されたメインメモリ９２と、同じくＭ／Ｂチップセット９１を介してＣＰＵ９０に接続された表示機構９３とを備える。また、Ｍ／Ｂチップセット９１には、ブリッジ回路９４を介して、ネットワークインターフェイス９５と、磁気ディスク装置（ＨＤＤ）９６と、音声機構９７と、キーボード／マウス９８と、フレキシブルディスクドライブ９９とが接続されている。
【００４９】
尚、図７において、各構成要素は、バスを介して接続される。例えば、ＣＰＵ９０とＭ／Ｂチップセット９１の間や、Ｍ／Ｂチップセット９１とメインメモリ９２の間は、ＣＰＵバスを介して接続される。また、Ｍ／Ｂチップセット９１と表示機構９３との間は、ＡＧＰ（Accelerated Graphics Port）を介して接続されてもよいが、表示機構９３がＰＣＩ Ｅｘｐｒｅｓｓ対応のビデオカードを含む場合、Ｍ／Ｂチップセット９１とこのビデオカードの間は、ＰＣＩ Ｅｘｐｒｅｓｓ（ＰＣＩｅ）バスを介して接続される。また、ブリッジ回路９４と接続する場合、ネットワークインターフェイス９５については、例えば、ＰＣＩ Ｅｘｐｒｅｓｓを用いることができる。また、磁気ディスク装置９６については、例えば、シリアルＡＴＡ（AT Attachment）、パラレル転送のＡＴＡ、ＰＣＩ（Peripheral Components Interconnect）を用いることができる。更に、キーボード／マウス９８、及び、フレキシブルディスクドライブ９９については、ＵＳＢ（Universal Serial Bus）を用いることができる。
【００５０】
尚、クライアント１０及びＬＡＮアナライザ３０の各機能は、ソフトウェアとハードウェア資源とが協働することにより実現される。具体的には、ＣＰＵ９０が、キャプチャ部３１（受信部）と、パケット抽出部３４と、ファイル種別取得部３５と、危険性判定部３６と、ダウンロード制御部３７との各機能を実現するプログラムを、例えば磁気ディスク装置９６からメインメモリ９２に読み込んで処理を行う。また、ログデータ記憶部３２及び制御情報記憶部３３は、例えば磁気ディスク装置９６によって実現される。
【符号の説明】
【００５１】
１０…クライアント、２０…サーバ、３０…ＬＡＮアナライザ、３１…キャプチャ部、３２…ログデータ記憶部、３３…制御情報記憶部、３４…パケット抽出部、３５…ファイル種別取得部、３６…危険性判定部、３７…ダウンロード制御部、４０…ルータ
【図１】
2011138189.tif 000003
【図２】
2011138189.tif 000004
【図３】
2011138189.tif 000005
【図４】
2011138189.tif 000006
【図５】
2011138189.tif 000007
【図６】
2011138189.tif 000008
【図７】
2011138189.tif 000009