(57)【要約】【課題】マルウェアに感染した疑いのある端末を特定する。【解決手段】検知装置１０は、加入者ネットワーク５からＣＰＥ４０を介してキャリアネットワークへ転送された通信データが、攻撃によるものであることを検知する。また、コントローラ３０は、検知装置１０によって攻撃によるものであることが検知された通信データを基に、通信データを転送したＣＰＥ４０に対し、通信データに関する情報を通知する。また、ＣＰＥ４０は、加入者ネットワーク５に接続された端末から送信された通信データをキャリアネットワークに転送する。また、ＣＰＥ４０は、コントローラ３０によって通知された通信データに関する情報を基に、加入者ネットワーク５に接続された端末のうち、通信データの送信元の端末を感染端末として特定する。【選択図】図１
2019145906.tif 000002
【特許請求の範囲】
【請求項１】
キャリアネットワークに備えられた制御システムと、加入者ネットワークに備えられた通信装置と、を有する通信システムであって、
前記制御システムは、
前記加入者ネットワークから前記通信装置を介して前記キャリアネットワークへ転送された通信データが、攻撃によるものであることを検知する検知部と、
前記検知部によって攻撃によるものであることが検知された通信データを基に、前記通信データを転送した通信装置に対し、前記通信データに関する情報を通知する通知部と、
を有し、
前記通信装置は、
前記加入者ネットワークに接続された端末から送信された通信データを前記キャリアネットワークに転送する転送部と、
前記通知部によって通知された前記通信データに関する情報を基に、前記加入者ネットワークに接続された端末のうち、前記通信データの送信元の端末を感染端末として特定する特定部と、
を有することを特徴とする通信システム。
【請求項２】
前記通信装置は、
前記感染端末から送信された通信データを、前記キャリアネットワークに対して遮断する遮断部をさらに有することを特徴とする請求項１に記載の通信システム。
【請求項３】
前記制御システムは、
前記通信装置によって転送された通信データを分析し、前記通信データが攻撃によるものであるか否かを判定する分析部をさらに有し、
前記転送部は、
前記加入者ネットワークに接続された端末のうち、前記感染端末以外の端末である非感染端末から送信された通信データを、前記キャリアネットワークに転送せずに前記分析部に転送することを特徴とする請求項１又は２に記載の通信システム。
【請求項４】
前記転送部は、前記分析部によって、前記非感染端末から送信された通信データが攻撃によるものでないと判定された場合、前記非感染端末から送信された通信データを、前記分析部に転送せずに前記キャリアネットワークに転送することを特徴とする請求項３に記載の通信システム。
【請求項５】
前記検知部は、ドメイン名を指定したＤＮＳクエリが前記通信装置によって転送された場合、あらかじめ設定された攻撃情報に前記ドメイン名が含まれることを検知し、
前記通知部は、前記検知部によって前記攻撃情報に前記ドメイン名が含まれることが検知された場合、前記ＤＮＳクエリに対する応答に所定のコードを含めて前記通信装置に対し通知し、
前記特定部は、前記通知部によって通知された応答に前記所定のコードが含まれている場合、前記ＤＮＳクエリの送信元の端末を感染端末として特定することを特徴とする請求項１に記載の通信システム。
【請求項６】
加入者ネットワークに接続された端末から送信された通信データをキャリアネットワークに転送する転送部と、
前記キャリアネットワークに備えられた制御システムによって、前記転送部によって転送された前記通信データが攻撃によるものであることが検知された場合、前記端末のうち前記通信データの送信元の端末を感染端末として特定する特定部と、
を有することを特徴とする通信装置。
【請求項７】
キャリアネットワークに備えられた制御システムと、加入者ネットワークに備えられた通信装置と、を有する通信システムで実行される通信方法であって、
前記通信装置が、前記加入者ネットワークに接続された端末から送信された通信データを前記キャリアネットワークに転送する転送工程と、
前記制御システムが、前記通信装置から転送された通信データが攻撃によるものであることを検知する検知工程と、
前記制御システムが、前記検知工程によって攻撃によるものであることが検知された通信データを基に、前記通信データを転送した通信装置に対し、前記通信データに関する情報を通知する通知工程と、
前記通信装置が、前記通知工程によって通知された前記通信データに関する情報を基に、前記加入者ネットワークに接続された端末のうち、前記通信データの送信元の端末を感染端末として特定する特定工程と、
を含んだことを特徴とする通信方法。
【請求項８】
コンピュータに、
加入者ネットワークに接続された端末から送信された通信データをキャリアネットワークに転送する転送ステップと、
前記キャリアネットワークに備えられた制御システムによって、前記転送ステップによって転送された前記通信データが攻撃によるものであることが検知された場合、前記端末のうち前記通信データの送信元の端末を感染端末として特定する特定ステップと、
を実行させることを特徴とする通信プログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、通信システム、通信装置、通信方法及び通信プログラムに関する。
【背景技術】
【０００２】
従来、マルウェアに感染した疑いのある端末からの通信を遮断し、当該端末の利用者に感染の疑いがある旨を通知するサービスが特定のＩＳＰ（Internet  Service  Provider）から提供されている。提供されているサービスでは、ＤＮＳ（Domain  Name  System）クエリを基に、ブラックリストに記載されたサイトへアクセスを行っている送信元のＩＰ（Internet  Protocol）アドレスを検知し、当該送信元ＩＰアドレスが割り当てられた加入者ネットワークを特定する技術が利用されている。
【先行技術文献】
【非特許文献】
【０００３】
【非特許文献１】NTTコミュニケーションズ、“OCN  マルウェア不正通信ブロックサービス”、［online］、［平成３０年１月２２日検索］、インターネット（http://www.ntt.com/personal/ocn-security/info/malware.html）
【非特許文献２】SoftBank、“マルウェアブロッキング”、［online］、［平成３０年１月２２日検索］、インターネット（https://www.softbank.jp/ybb/special/malware/）
【発明の概要】
【発明が解決しようとする課題】
【０００４】
しかしながら、従来の技術には、マルウェアに感染した疑いのある端末を特定することが困難な場合があるという問題がある。例えば、加入者ネットワークでＮＡＰＴ（Network  Address  and  Port  Translation）が使用されている場合、ＩＳＰ側では、感染端末を収容するＣＰＥ（Customer  Premises  Equipment）までしか特定することができない。つまり、この場合、ＩＳＰ側では、感染端末のグローバルＩＰアドレスを特定することはできるが、プライベートＩＰアドレスを特定することができないため、加入者ネットワーク内のどの端末が感染端末であるかを特定することができないことがある。
【課題を解決するための手段】
【０００５】
上述した課題を解決し、目的を達成するために、本発明の通信システムは、キャリアネットワークに備えられた制御システムと、加入者ネットワークに備えられた通信装置と、を有する通信システムであって、前記制御システムは、前記加入者ネットワークから前記通信装置を介して前記キャリアネットワークへ転送された通信データが、攻撃によるものであることを検知する検知部と、前記検知部によって攻撃によるものであることが検知された通信データを基に、前記通信データを転送した通信装置に対し、前記通信データに関する情報を通知する通知部と、を有し、前記通信装置は、前記加入者ネットワークに接続された端末から送信された通信データを前記キャリアネットワークに転送する転送部と、前記通知部によって通知された前記通信データに関する情報を基に、前記加入者ネットワークに接続された端末のうち、前記通信データの送信元の端末を感染端末として特定する特定部と、を有することを特徴とする。
【発明の効果】
【０００６】
本発明によれば、マルウェアに感染した疑いのある端末を特定することができる。
【図面の簡単な説明】
【０００７】
【図１】図１は、第１の実施形態に係る通信システムの概要を説明するための図である。
【図２】図２は、第１の実施形態に係る通信システムの概要を説明するための図である。
【図３】図３は、第１の実施形態に係る通信システムの概要を説明するための図である。
【図４】図４は、第１の実施形態に係る通信システムの概要を説明するための図である。
【図５】図５は、第１の実施形態に係るコントローラの構成例を示す図である。
【図６】図６は、第１の実施形態に係るコントローラの構成例を示す図である。
【図７】図７は、第１の実施形態に係るＣＰＥの構成例を示す図である。
【図８】図８は、第１の実施形態に係る分析装置の構成例を示す図である。
【図９】図９は、第１の実施形態に係る通信システムの処理の流れを示すシーケンス図である。
【図１０】図１０は、第１の実施形態に係る通信システムの処理の流れを示すシーケンス図である。
【図１１】図１１は、第１の実施形態に係る通信システムの処理の流れを示すシーケンス図である。
【図１２】図１２は、第２の実施形態に係る通信システムの概要を説明するための図である。
【図１３】図１３は、第２の実施形態に係る検知装置の構成例を示す図である。
【図１４】図１４は、第２の実施形態に係る通信システムの処理の流れを示すシーケンス図である。
【図１５】図１５は、第２の実施形態に係る通信システムの処理の流れを示すシーケンス図である。
【図１６】図１６は、実施形態に係るＣＰＥとして機能するコンピュータの一例を示す図である。
【発明を実施するための形態】
【０００８】
以下に、本願に係る通信システム、通信装置、通信方法及び通信プログラムの実施形態を図面に基づいて詳細に説明する。なお、本発明は、以下に説明する実施形態により限定されるものではない。
【０００９】
［第１の実施形態］
［第１の実施形態の構成］
まず、図１から４を用いて、第１の実施形態に係る通信システムの概要を説明する。図１から４は、第１の実施形態に係る通信システムの概要を説明するための図である。図１に示すように、通信システム１は、インターネットに接続されたＩＳＰ−ＮＷ（Network）３、アクセスＮＷ４及び加入者ネットワーク５に備えられた各装置を有する。通信システム１は、検知装置１０、コントローラ２０、コントローラ３０、ＣＰＥ４０及び検疫センタに備えられた分析装置５０を有する。また、例えば、ＩＳＰ−ＮＷ３及びアクセスＮＷ４は、ＡＳ（Autonomous  System）単位のネットワークである。
【００１０】
ここで、ＩＳＰ−ＮＷ３及びアクセスＮＷ４は、キャリアネットワークの一例である。また、検知装置１０、コントローラ２０、コントローラ３０及び分析装置５０を含んだシステムは、制御システムの一例である。また、ＣＰＥ４０は、通信装置の一例である。
【００１１】
まず、図１の（１）及び（２）に示すように、検知装置１０は、通信データを取得し、ＩＤＳ（Intrusion  Detection  System）等の検知手段を用いて攻撃を検知し、検知情報を外部コントローラであるコントローラ２０に通知する。
【００１２】
通信データには、加入者ネットワーク５からＣＰＥ４０を介してキャリアネットワークへ転送された通信データが含まれる。このため、検知装置１０は、加入者ネットワーク５からＣＰＥ４０を介してキャリアネットワークへ転送された通信データが、攻撃によるものであることを検知する。
【００１３】
次に、図１の（３）及び（４）に示すように、コントローラ２０は、検知情報に含まれる送信元アドレスから攻撃による通信データの依頼先のアクセスＮＷ４を特定し、特定したアクセスＮＷ４のコントローラ３０に情報を通知する。
【００１４】
そして、図１の（５）に示すように、コントローラ３０は、通知された情報に含まれる送信元ＩＰアドレスに該当するＣＰＥ４０を特定する。また、図１の（６）及び（７）に示すように、コントローラ３０は、ＣＰＥ４０へ感染端末の特定と通信遮断を指示し、さらに、非感染端末の通信の検疫センタへのステアリングを指示する。
【００１５】
ここで、図１の（８）に示すように、ＣＰＥ４０は、ＮＡＰＴ（Network  Address  and  Port  Translation）テーブル及びＡＲＰ（Address  Resolution  Protocol）テーブルを用いて感染端末を特定する。また、図１の（９）及び（１０）に示すように、ＣＰＥ４０は、感染端末の通信を遮断し、非感染端末の通信を検疫センタへステアリングする。
【００１６】
なお、図１の例では、端末４００ａが感染端末であり、端末４００ｂ及び４００ｃが非感染端末である。感染端末は、コントローラ３０によって通知された情報に含まれたポート番号等から特定される端末であって、検知装置１０によって検知された攻撃による通信データの送信元であることが推定される端末である。非感染端末は、ＣＰＥ４０に収容される端末のうちの、感染端末以外の端末である。
【００１７】
そして、図１の（１１）及び（１２）に示すように、検疫センタの分析装置５０は、ＣＰＥ４０からステアリングされた非感染端末の通信を分析し、分析結果をコントローラ３０へ通知する。つまり、分析装置５０は、ＣＰＥ４０によって転送された通信データを分析し、通信データが攻撃によるものであるか否かを判定する。
【００１８】
ここで、図２の（１３）に示すように、コントローラ３０は、分析装置５０から、ＯＫすなわち非感染端末がマルウェアに感染していないとの分析結果を通知された場合、非感染端末の通信のステアリングを停止し、通常ルートへ変更することをＣＰＥ４０に指示する。そして、図２の（１４）に示すように、ＣＰＥ４０は、指示を受けて非感染端末の通信を通常ルートへ変更する。
【００１９】
さらに、図３の（１５）に示すように、ＣＰＥ４０は、加入者が感染端末のマルウェアを駆除した後の通信再開に合わせて、感染端末の通信を検疫センタへステアリングする。そして、図３の（１６）及び（１７）に示すように、検疫センタの分析装置５０は、ステアリングされた感染端末の通信を分析し、コントローラ３０へ通信結果を通知する。
【００２０】
ここで、図４の（１８）に示すように、コントローラ３０は、分析装置５０から、ＯＫすなわち感染端末がマルウェアに感染していないとの分析結果を通知された場合、感染端末の通信のステアリングを停止し、通常ルートへ変更することをＣＰＥ４０に指示する。そして、図４の（１９）に示すように、ＣＰＥ４０は、指示を受けて感染端末の通信を通常ルートへ変更する。
【００２１】
以降の処理では、通信システム１では、感染端末又は非感染端末として扱われていた端末４００ａ、４００ｂ及び４００ｃを、感染端末及び非感染端末として扱わない。ただし、検知装置１０によって攻撃が検知された場合は、図１から４を用いて説明した処理が再度行われる。
【００２２】
図５を用いて、コントローラ２０の構成例について説明する。図５は、第１の実施形態に係るコントローラの構成例を示す図である。図５に示すように、コントローラ２０は、制御部２１及び記憶部２２を有する。
【００２３】
制御部２１は、コントローラ２０全体を制御する。制御部２１は、例えば、ＣＰＵ（Central  Processing  Unit）、ＭＰＵ（Micro  Processing  Unit）等の電子回路や、ＡＳＩＣ（Application  Specific  Integrated  Circuit）、ＦＰＧＡ（Field  Programmable  Gate  Array）等の集積回路である。また、制御部２１は、各種の処理手順を規定したプログラムや制御データを格納するための内部メモリを有し、内部メモリを用いて各処理を実行する。また、制御部２１は、各種のプログラムが動作することにより各種の処理部として機能する。例えば、制御部２１は、送受信部２１１、分析部２１２、取得部２１３及び通知部２１４を有する。
【００２４】
記憶部２２は、ＨＤＤ（Hard  Disk  Drive）、ＳＳＤ（Solid  State  Drive）、光ディスク等の記憶装置である。なお、記憶部２２は、ＲＡＭ（Random  Access  Memory）、フラッシュメモリ、ＮＶＳＲＡＭ（Non  Volatile  Static  Random  Access  Memory）等のデータを書き換え可能な半導体メモリであってもよい。記憶部２２は、コントローラ２０で実行されるＯＳ（Operating  System）や各種プログラムを記憶する。さらに、記憶部２２は、プログラムの実行で用いられる各種情報を記憶する。
【００２５】
ここで、送受信部２１１は、各装置とのデータの送受信を行う。送受信部２１１は、例えば、検知装置１０及びコントローラ３０とのデータの送受信を行う。分析部２１２は、検知装置１０によって検知された攻撃による通信データを基に、記憶部２２に記憶されたリストと照合すること等により、当該通信データの送信元のアクセスＮＷ４を特定する。
【００２６】
このとき、分析部２１２がアクセスＮＷ４を特定できない場合、取得部２１３は、ＩＡＮＡ（Internet  Assigned  Numbers  Authority）等の外部のシステムに問い合わせを行い、アクセスＮＷを特定するための情報を取得する。また、通知部２１４は、特定したアクセスＮＷ４のコントローラ３０に、通信データを通知する。例えば、通知部２１４は、コントローラ３０に、通信データに含まれる送信元ＩＰアドレス及びポート番号を通知する。
【００２７】
次に、図６を用いて、コントローラ３０の構成例について説明する。図６は、第１の実施形態に係るコントローラの構成例を示す図である。図６に示すように、コントローラ３０は、制御部３１及び記憶部３２を有する。
【００２８】
制御部３１は、コントローラ３０全体を制御する。制御部３１は、例えば、ＣＰＵ、ＭＰＵ等の電子回路や、ＡＳＩＣ、ＦＰＧＡ等の集積回路である。また、制御部３１は、各種の処理手順を規定したプログラムや制御データを格納するための内部メモリを有し、内部メモリを用いて各処理を実行する。また、制御部３１は、各種のプログラムが動作することにより各種の処理部として機能する。例えば、制御部３１は、送受信部３１１及び通知部３１２を有する。
【００２９】
記憶部３２は、ＨＤＤ、ＳＳＤ、光ディスク等の記憶装置である。なお、記憶部３２は、ＲＡＭ、フラッシュメモリ、ＮＶＳＲＡＭ等のデータを書き換え可能な半導体メモリであってもよい。記憶部３２は、コントローラ３０で実行されるＯＳや各種プログラムを記憶する。さらに、記憶部３２は、プログラムの実行で用いられる各種情報を記憶する。
【００３０】
ここで、送受信部３１１は、各装置とのデータの送受信を行う。送受信部３１１は、例えば、コントローラ２０、ＣＰＥ４０及び分析装置５０とのデータの送受信を行う。通知部３１２は、検知装置１０によって攻撃によるものであることが検知された通信データを基に、通信データを転送したＣＰＥ４０に対し、通信データに関する情報を通知する。
【００３１】
次に、図７を用いて、ＣＰＥ４０の構成例について説明する。図７は、第１の実施形態に係るＣＰＥの構成例を示す図である。図７に示すように、ＣＰＥ４０は、制御部４１及び記憶部４２を有する。
【００３２】
制御部４１は、ＣＰＥ４０全体を制御する。制御部４１は、例えば、ＣＰＵ、ＭＰＵ等の電子回路や、ＡＳＩＣ、ＦＰＧＡ等の集積回路である。また、制御部４１は、各種の処理手順を規定したプログラムや制御データを格納するための内部メモリを有し、内部メモリを用いて各処理を実行する。また、制御部４１は、各種のプログラムが動作することにより各種の処理部として機能する。例えば、制御部４１は、送受信部４１１、特定部４１２、転送部４１３及び遮断部４１４を有する。
【００３３】
記憶部４２は、ＨＤＤ、ＳＳＤ、光ディスク等の記憶装置である。なお、記憶部４２は、ＲＡＭ、フラッシュメモリ、ＮＶＳＲＡＭ等のデータを書き換え可能な半導体メモリであってもよい。記憶部４２は、コントローラ３０で実行されるＯＳや各種プログラムを記憶する。さらに、記憶部４２は、プログラムの実行で用いられる各種情報を記憶する。例えば、記憶部４２は、ＮＡＰＴテーブル４２１及びＡＲＰテーブル４２２を記憶する。
【００３４】
ここで、送受信部４１１は、各装置とのデータの送受信を行う。送受信部４１１は、例えば、コントローラ３０及び分析装置５０とのデータの送受信を行う。特定部４１２は、通知部３１２によって通知された通信データに関する情報を基に、加入者ネットワーク５に接続された端末のうち、通信データの送信元の端末を感染端末として特定する。
【００３５】
特定部４１２は、ＮＡＰＴテーブル４２１及びＡＲＰテーブル４２２を参照して感染端末を特定する。ここで、ＮＡＰＴテーブル４２１には、グローバルＩＰアドレスと、ローカルＩＰアドレス及びポート番号とが対応付けられて格納されている。また、ＡＲＰテーブル４２２には、ローカルＩＰアドレスとＭＡＣアドレスとが対応付けられて格納されている。
【００３６】
このため、コントローラ３０から通信データのグローバルＩＰアドレスとポート番号が通知されている場合、特定部４１２は、ＮＡＰＴテーブル４２１及びＡＲＰテーブル４２２を参照して端末のＭＡＣアドレスを抽出することができる。特定部４１２は、抽出したＭＡＣアドレスに対応する端末を感染端末として特定し、加入者ネットワーク５に接続された端末のうち、感染端末以外の端末を非感染端末として特定する。
【００３７】
転送部４１３は、加入者ネットワーク５に接続された端末から送信された通信データをキャリアネットワークに転送する。ここで、まず、転送部４１３は、加入者ネットワーク５に接続された端末のうち、感染端末以外の端末である非感染端末から送信された通信データを、キャリアネットワークに転送せずに分析装置５０に転送する。その後、転送部４１３は、非感染端末から送信された通信データが攻撃によるものでないと判定されたことが分析装置５０によって通知された場合、非感染端末から送信された通信データを、分析装置５０に転送せずにキャリアネットワークに転送する。
【００３８】
遮断部４１４は、感染端末から送信された通信データを、キャリアネットワークに対して遮断する。例えば、遮断部４１４は、感染端末から送信されたパケットを廃棄することにより通信を遮断する。
【００３９】
次に、図８を用いて、分析装置５０の構成例について説明する。図８は、第１の実施形態に係る分析装置の構成例を示す図である。図８に示すように、分析装置５０は、制御部５１及び記憶部５２を有する。
【００４０】
制御部５１は、分析装置５０全体を制御する。制御部５１は、例えば、ＣＰＵ、ＭＰＵ等の電子回路や、ＡＳＩＣ、ＦＰＧＡ等の集積回路である。また、制御部５１は、各種の処理手順を規定したプログラムや制御データを格納するための内部メモリを有し、内部メモリを用いて各処理を実行する。また、制御部５１は、各種のプログラムが動作することにより各種の処理部として機能する。例えば、制御部５１は、送受信部５１１、分析部５１２及び通知部５１３を有する。
【００４１】
記憶部５２は、ＨＤＤ、ＳＳＤ、光ディスク等の記憶装置である。なお、記憶部５２は、ＲＡＭ、フラッシュメモリ、ＮＶＳＲＡＭ等のデータを書き換え可能な半導体メモリであってもよい。記憶部５２は、コントローラ３０で実行されるＯＳや各種プログラムを記憶する。さらに、記憶部５２は、プログラムの実行で用いられる各種情報を記憶する。
【００４２】
ここで、送受信部５１１は、各装置とのデータの送受信を行う。送受信部５１１は、例えば、コントローラ３０及びＣＰＥ４０とのデータの送受信を行う。分析部５１２は、ＣＰＥ４０によって転送された通信データを分析し、通信データが攻撃によるものであるか否かを判定する。分析部５１２は、例えば、ＷＡＦ（Web  Application  Firewall）、ＩＰＳ及びＩＤＳ等を用いて分析を行う。
【００４３】
通知部５１３は、分析部５１２による分析結果を、コントローラ３０に通知する。ここで、分析部５１２によって、通信データが攻撃によるものでないと判定された場合、通知部５１３は、コントローラ３０にＯＫを通知する。また、分析部５１２によって、通信データが攻撃によるものであると判定された場合、通知部５１３は、コントローラ３０にＮＧを通知する。コントローラ３０は、非感染端末の通信データの判定結果として、通知部５１３によってＯＫが通知された場合、ＣＰＥ４０に対し、当該非感染端末の分析装置５０への転送を中止する指示を通知する。
【００４４】
［第１の実施形態の処理］
図９から１１は、第１の実施形態に係る通信システムの処理の流れを示すシーケンス図である。図９に示すように、まず、検知装置１０は、攻撃を検知し、検知結果をコントローラ２０に通知する（ステップＳ１０１）。次に、コントローラ２０は、アクセスＮＷ４を特定し（ステップＳ１０２）、アクセスＮＷ４のコントローラ３０に検知された攻撃に関する情報を通知する（ステップＳ１０３）。
【００４５】
ここで、コントローラ３０は、ＣＰＥ４０に攻撃に関する情報を通知し、感染端末の通信の停止及び非感染端末の通信のステアリングを指示する（ステップＳ１０４）。そして、ＣＰＥ４０は、感染端末を特定する（ステップＳ１０５）。
【００４６】
図１０に示すように、ＣＰＥ４０は、特定した感染端末の通信を遮断する（ステップＳ１１１）。そして、ＣＰＥ４０は、非感染端末の通信のステアリングを開始する（ステップＳ１１１２）。
【００４７】
分析装置５０は、非感染端末の通信を分析し（ステップＳ１１３）、分析結果をコントローラ３０に通知する（ステップＳ１１４）。そして、コントローラ３０は、感染端末の通信の遮断及び非感染端末の通信のステアリングの停止をＣＰＥ４０に指示する（ステップＳ１１５）。ここで、ＣＰＥ４０は、非感染端末の通信のステアリングを停止する（ステップＳ１１６）。
【００４８】
ＣＰＥ４０は、感染端末の通信が再開されたことを確認し（ステップＳ１２１）、感染端末の通信のステアリングを開始する（ステップＳ１２２）。次に、分析装置５０は、感染端末の通信を分析し（ステップＳ１２３）、分析結果をコントローラ３０に通知する（ステップＳ１２４）。
【００４９】
コントローラ３０は、分析結果を基に、感染端末の通信の遮断又はステアリングの停止をＣＰＥ４０に指示する（ステップＳ１２５）。例えば、分析結果がＯＫであった場合、コントローラ３０は、感染端末の通信のステアリングの停止をＣＰＥ４０に指示する。このとき、ＣＰＥ４０は、感染端末の通信のステアリングを停止する（ステップＳ１２６）。また、例えば、分析結果がＮＧであった場合、コントローラ３０は、感染端末の通信の遮断をＣＰＥ４０に指示する。
【００５０】
［第１の実施形態の効果］
検知装置１０は、加入者ネットワーク５からＣＰＥ４０を介してキャリアネットワークへ転送された通信データが、攻撃によるものであることを検知する。また、通知部３１２は、検知装置１０によって攻撃によるものであることが検知された通信データを基に、通信データを転送したＣＰＥ４０に対し、通信データに関する情報を通知する。また、転送部４１３は、加入者ネットワーク５に接続された端末から送信された通信データをキャリアネットワークに転送する。また、特定部４１２は、通知部３１２によって通知された通信データに関する情報を基に、加入者ネットワーク５に接続された端末のうち、通信データの送信元の端末を感染端末として特定する。
【００５１】
このように、本実施形態では、キャリアネットワークで攻撃を検知した場合に、ＣＰＥ４０に情報を提供し、感染端末を特定させている。このため、本実施形態よれば、キャリアネットワークで感染端末を特定できない場合であっても、ＣＰＥと連携することで感染端末を特定することができるようになる。
【００５２】
遮断部４１４は、感染端末から送信された通信データを、キャリアネットワークに対して遮断する。このように、本実施形態では、感染端末を特定するだけでなく通信の遮断を行うことも可能であるため、感染の拡大を抑止することができる。
【００５３】
分析装置５０は、ＣＰＥ４０によって転送された通信データを分析し、通信データが攻撃によるものであるか否かを判定する。また、転送部４１３は、加入者ネットワーク５に接続された端末のうち、感染端末以外の端末である非感染端末から送信された通信データを、キャリアネットワークに転送せずに分析装置５０に転送する。感染端末と同一の加入者ネットワークに接続している端末には、マルウェア等が感染している可能性がある。本実施形態によれば、感染端末と同一の加入者ネットワークに接続している端末の検疫を行うことができる。
【００５４】
転送部４１３は、非感染端末から送信された通信データが攻撃によるものでないと判定されたことが分析装置５０によって通知された場合、非感染端末から送信された通信データを、分析装置５０に転送せずにキャリアネットワークに転送する。このように、本実施形態によれば、感染の疑いが晴れた非感染端末について、自動的に通常の通信を再開させることができる。
【００５５】
［第２の実施形態］
第２の実施形態について説明する。第１の実施形態の通信システムは、コントローラを用いてキャリアネットワークとＣＰＥとを連携させ、感染端末を特定する。一方、第２の実施形態では、検知装置１０がＤＮＳ（Domain  Name  System）サーバとして機能し、ＣＰＥ４０から送信されるＤＮＳクエリを取得し、取得したＤＮＳクエリに応じてＣＰＥ４０への応答を行うことにより、感染端末の特定等が行われる。
【００５６】
［第２の実施形態の構成］
まず、図１２を用いて第２の実施形態に係る通信装置の構成について説明する。図１２は、第２の実施形態に係る通信システムの概要を説明するための図である。図１２に示すように、第２の実施形態における通信システム２の構成は、第１の実施形態における通信システム１の構成と同様である。
【００５７】
ここで、図１２の（１）に示すように、検知装置６０は、ＤＮＳサーバとして機能し、ドメイン名を指定したＤＮＳクエリを受信した場合、当該ＤＮＳクエリが攻撃サイトのドメイン名の問い合わせであることを検知する。なお、ＤＮＳクエリが攻撃サイトのドメイン名の問い合わせでない場合、検知装置６０は、指定されたドメイン名に対応するＩＰアドレスを返す。
【００５８】
一方、図１２の（２）に示すように、ＤＮＳクエリが攻撃サイトのドメイン名の問い合わせであることを検知した場合、検知装置６０は、特殊なＤＮＳコードを応答する。これは、ＤＮＳクエリに対する応答クエリの中の所定の領域に、あらかじめ設定されたコードを書き込むことにより実現できる。
【００５９】
ここで、図１２の（３）、（４）及び（５）に示すように、ＣＰＥ４０は、検知装置６０によって送信されたＤＮＳクエリへの応答クエリと、ＤＮＳ  Ｐｒｏｘｙに保存されたセッション情報から、当該ＤＮＳクエリの送信元の端末を感染端末として特定する。そして、図１２の（６）及び（７）に示すように、ＣＰＥ４０は、感染端末の通信を遮断し、非感染端末を検疫センタへステアリングする。
【００６０】
そして、図１２の（８）及び（９）に示すように、検疫センタの分析装置５０は、ＣＰＥ４０からステアリングされた非感染端末の通信を分析し、分析結果をＣＰＥ４０へ通知する。
【００６１】
ここで、図１２の（１０）に示すように、ＣＰＥ４０は、分析装置５０から、ＯＫすなわち非感染端末がマルウェアに感染していないとの分析結果を通知された場合、非感染端末の通信のステアリングを停止し、通常ルートへ変更する。
【００６２】
次に、図１３を用いて、検知装置６０の構成例について説明する。図１３は、第２の実施形態に係る検知装置の構成例を示す図である。図１３に示すように、検知装置６０は、制御部６１及び記憶部６２を有する。
【００６３】
制御部６１は、検知装置６０全体を制御する。制御部６１は、例えば、ＣＰＵ、ＭＰＵ等の電子回路や、ＡＳＩＣ、ＦＰＧＡ等の集積回路である。また、制御部６１は、各種の処理手順を規定したプログラムや制御データを格納するための内部メモリを有し、内部メモリを用いて各処理を実行する。また、制御部６１は、各種のプログラムが動作することにより各種の処理部として機能する。例えば、制御部６１は、送受信部６１１、判定部６１２、取得部６１３及び通知部６１４を有する。
【００６４】
記憶部６２は、ＨＤＤ、ＳＳＤ、光ディスク等の記憶装置である。なお、記憶部６２は、ＲＡＭ、フラッシュメモリ、ＮＶＳＲＡＭ等のデータを書き換え可能な半導体メモリであってもよい。記憶部６２は、コントローラ３０で実行されるＯＳや各種プログラムを記憶する。さらに、記憶部６２は、プログラムの実行で用いられる各種情報を記憶する。記憶部６２は、例えば攻撃情報６２１を記憶する。
【００６５】
ここで、送受信部６１１は、各装置とのデータの送受信を行う。送受信部６１１は、例えば、ＣＰＥ４０とのデータの送受信を行う。判定部６１２は、ＤＮＳクエリに含まれるドメイン名が、攻撃情報６２１に記憶されたものであるか否かを判定する。なお、攻撃情報６２１には、既知の攻撃サイトのドメイン名の一覧が記憶されている。
【００６６】
ＤＮＳクエリには、ＣＰＥ４０から転送されるものが含まれる。つまり、検知装置６０は、ドメイン名を指定したＤＮＳクエリがＣＰＥ４０によって転送された場合、あらかじめ設定された攻撃情報６２１にドメイン名が含まれることを検知する。
【００６７】
取得部６１３は、ＩＡＮＡ等の外部のシステムに問い合わせを行い、攻撃サイトのドメイン名を特定するための情報を取得する。このとき、判定部６１２は、取得部６１３が取得した情報を基にＤＮＳクエリが攻撃サイトのドメイン名の問い合わせであるか否かを判定してもよい。
【００６８】
また、通知部６１４は、検知装置１０によって攻撃情報６２１にドメイン名が含まれることが検知された場合、ＤＮＳクエリに対する応答に所定のコードを含めてＣＰＥ４０に対し通知する。この場合、ＣＰＥ４０の特定部４１２は、通知部６１４によって通知された応答に所定のコードが含まれている場合、ＤＮＳクエリの送信元の端末を感染端末として特定する。
【００６９】
［第２の実施形態の処理］
図１４から１６は、第２の実施形態に係る通信システムの処理の流れを示すシーケンス図である。図１４に示すように、まず、端末４００ａは、ＣＰＥ４０にＤＮＳクエリを送信し、攻撃サイトのドメイン名を問い合わせる（ステップＳ２０１）。次に、ＣＰＥ４０は、ＤＮＳクエリを検知装置６０に転送し、攻撃サイトのドメイン名を問い合わせる（ステップＳ２０２）。
【００７０】
検知装置６０は、ＤＮＳクエリが攻撃サイトの問い合わせであることを検知する（ステップＳ２０３）。そして、検知装置６０は、ＤＮＳの特殊応答コードを含めた応答クエリをＣＰＥ４０に通知する（ステップＳ２０４）。
【００７１】
ＣＰＥ４０は、特殊応答コードとセッション情報を照合し（ステップＳ２０５）、感染端末を特定する（ステップＳ２０６）。そして、ＣＰＥ４０は、感染端末の通信の停止及び非感染端末の通信のステアリングを行う（ステップＳ２０７）。
【００７２】
次に、図１５に示すように、ＣＰＥ４０は、感染端末の通信を遮断し（ステップＳ２１１）、非感染端末の通信のステアリングを開始する（ステップＳ２１２）。分析装置５０は、非感染端末の通信を分析し（ステップＳ２１３）、分析結果をＣＰＥ４０に通知する（ステップＳ２１４）。そして、ＣＰＥ４０は、分析結果を基に、非感染端末の通信の遮断及び非感染端末の通信のステアリングの停止のいずれかを判定する（ステップＳ２１５）。ここでは、ＣＰＥ４０は、非感染端末の通信のステアリングを停止する（ステップＳ２１６）。
【００７３】
［第２の実施形態の効果］
検知装置１０は、ドメイン名を指定したＤＮＳクエリがＣＰＥ４０によって転送された場合、あらかじめ設定された攻撃情報にドメイン名が含まれることを検知する。また、通知部６１４は、検知装置１０によって攻撃情報にドメイン名が含まれることが検知された場合、ＤＮＳクエリに対する応答に所定のコードを含めてＣＰＥ４０に対し通知する。また、特定部４１２は、通知部６１４によって通知された応答に所定のコードが含まれている場合、ＤＮＳクエリの送信元の端末を感染端末として特定する。
【００７４】
このように、第２の実施形態では、ＤＮＳ問い合わせの際に発生する端末とＤＮＳサーバとのやり取りを利用して感染端末を特定することができるため、既存の資源を生かしたシステムの構築が可能になる。また、本実施形態によれば、実際のファイルのやり取り等が発生する前の、ＤＮＳ問い合わせの時点で攻撃を検知し止めることができるため、攻撃による被害をより小さくすることができる。
【００７５】
［システム構成等］
また、図示した各装置の各構成要素は機能概念的なものであり、必ずしも物理的に図示のように構成されていることを要しない。すなわち、各装置の分散・統合の具体的形態は図示のものに限られず、その全部又は一部を、各種の負荷や使用状況等に応じて、任意の単位で機能的又は物理的に分散・統合して構成することができる。さらに、各装置にて行われる各処理機能は、その全部又は任意の一部が、ＣＰＵ及び当該ＣＰＵにて解析実行されるプログラムにて実現され、あるいは、ワイヤードロジックによるハードウェアとして実現され得る。
【００７６】
また、本実施形態において説明した各処理のうち、自動的に行われるものとして説明した処理の全部又は一部を手動的に行うこともでき、あるいは、手動的に行われるものとして説明した処理の全部又は一部を公知の方法で自動的に行うこともできる。この他、上記文書中や図面中で示した処理手順、制御手順、具体的名称、各種のデータやパラメータを含む情報については、特記する場合を除いて任意に変更することができる。
【００７７】
［プログラム］
一実施形態として、通信システム１及び２の各装置は、パッケージソフトウェアやオンラインソフトウェアとして上記の通信制御を実行する制御プログラムを所望のコンピュータにインストールさせることによって実装できる。例えば、上記の制御プログラムを情報処理装置に実行させることにより、ゲートウェイ装置等の各通信機器が含まれる。
【００７８】
図１６は、実施形態に係るＣＰＥとして機能するコンピュータの一例を示す図である。コンピュータ１０００は、例えば、メモリ１０１０、ＣＰＵ１０２０を有する。また、コンピュータ１０００は、ハードディスクドライブインタフェース１０３０、ディスクドライブインタフェース１０４０、シリアルポートインタフェース１０５０、ビデオアダプタ１０６０、ネットワークインタフェース１０７０を有する。これらの各部は、バス１０８０によって接続される。
【００７９】
メモリ１０１０は、ＲＯＭ（Read  Only  Memory）１０１１及びＲＡＭ１０１２を含む。ＲＯＭ１０１１は、例えば、ＢＩＯＳ（Basic  Input  Output  System）等のブートプログラムを記憶する。ハードディスクドライブインタフェース１０３０は、ハードディスクドライブ１０９０に接続される。ディスクドライブインタフェース１０４０は、ディスクドライブ１１００に接続される。例えば磁気ディスクや光ディスク等の着脱可能な記憶媒体が、ディスクドライブ１１００に挿入される。シリアルポートインタフェース１０５０は、例えばマウス１１１０、キーボード１１２０に接続される。ビデオアダプタ１０６０は、例えばディスプレイ１１３０に接続される。
【００８０】
ハードディスクドライブ１０９０は、例えば、ＯＳ１０９１、アプリケーションプログラム１０９２、プログラムモジュール１０９３、プログラムデータ１０９４を記憶する。すなわち、ＣＰＥ４０の各処理を規定するプログラムは、コンピュータにより実行可能なコードが記述されたプログラムモジュール１０９３として実装される。プログラムモジュール１０９３は、例えばハードディスクドライブ１０９０に記憶される。例えば、ＣＰＥ４０における機能構成と同様の処理を実行するためのプログラムモジュール１０９３が、ハードディスクドライブ１０９０に記憶される。なお、ハードディスクドライブ１０９０は、ＳＳＤにより代替されてもよい。
【００８１】
また、上述した実施形態の処理で用いられる設定データは、プログラムデータ１０９４として、例えばメモリ１０１０やハードディスクドライブ１０９０に記憶される。そして、ＣＰＵ１０２０は、メモリ１０１０やハードディスクドライブ１０９０に記憶されたプログラムモジュール１０９３やプログラムデータ１０９４を必要に応じてＲＡＭ１０１２に読み出して、上述した実施形態の処理を実行する。
【００８２】
なお、プログラムモジュール１０９３やプログラムデータ１０９４は、ハードディスクドライブ１０９０に記憶される場合に限らず、例えば着脱可能な記憶媒体に記憶され、ディスクドライブ１１００等を介してＣＰＵ１０２０によって読み出されてもよい。あるいは、プログラムモジュール１０９３及びプログラムデータ１０９４は、ネットワーク（ＬＡＮ（Local  Area  Network）、ＷＡＮ（Wide  Area  Network）等）を介して接続された他のコンピュータに記憶されてもよい。そして、プログラムモジュール１０９３及びプログラムデータ１０９４は、他のコンピュータから、ネットワークインタフェース１０７０を介してＣＰＵ１０２０によって読み出されてもよい。
【符号の説明】
【００８３】
１、２  通信システム
１０、６０  検知装置
２０、３０  コントローラ
２１、３１、４１、５１、６１  制御部
２２、３２、４２、５２、６２  記憶部
４０  ＣＰＥ
５０  分析装置
２１１、３１１、４１１、５１１、６１１  送受信部
２１２、５１２  分析部
２１３、６１３  取得部
２１４、３１２、５１３、６１４  通知部
４１２  特定部
４１３  転送部
４１４  遮断部
６１２  判定部
【図１】
2019145906.tif 000003
【図２】
2019145906.tif 000004
【図３】
2019145906.tif 000005
【図４】
2019145906.tif 000006
【図５】
2019145906.tif 000007
【図６】
2019145906.tif 000008
【図７】
2019145906.tif 000009
【図８】
2019145906.tif 000010
【図９】
2019145906.tif 000011
【図１０】
2019145906.tif 000012
【図１１】
2019145906.tif 000013
【図１２】
2019145906.tif 000014
【図１３】
2019145906.tif 000015
【図１４】
2019145906.tif 000016
【図１５】
2019145906.tif 000017
【図１６】
2019145906.tif 000018