(57)【要約】【課題】  ＤＨＣＰ環境下でも、感染拡大防止機能を損なうことなく、隔離対象と一旦でもなったアドレスを有効に再利用できるようにする。【解決手段】  本発明は、ＤＨＣＰ環境下で、内部保持している隔離用アドレスに基づいて検疫するネットワーク検疫システムに関する。そして、隔離用アドレスを保持する隔離用アドレス保持手段と、受信パケットが不正なパケットか否かを判定する不正パケット検出判定手段と、隔離用アドレスでないアドレスを送信元とする不正パケットが検出された際に、隔離用アドレスにそのアドレスを追加させる隔離用アドレス追加手段と、追加されたアドレスに関するガーベージタイマを設定して起動するガーベージタイマ設定起動手段と、ガーベージタイマの満了時に隔離用アドレスからそのアドレスを解放する隔離用アドレス解放手段とを有する。【選択図】      図１
2008022322.tif 000002
【特許請求の範囲】
【請求項１】
クライアントが使用するアドレスを動的に割り当てるＤＨＣＰ環境下で、内部保持している隔離用アドレスに基づいて、不正トラフィックのパケットを検疫するネットワーク検疫システムにおいて、
隔離用アドレスを保持する隔離用アドレス保持手段と、
受信パケットが不正トラフィックのパケットか否かを、その送信元アドレスのパケットの出現割合情報と閾値との比較により、判定する不正パケット検出判定手段と、
上記隔離用アドレス保持手段に保持されていないアドレスを送信元とする不正トラフィックのパケットが検出された際に、上記隔離用アドレス保持手段にそのアドレスを追加させる隔離用アドレス追加手段と、
上記隔離用アドレス保持手段に追加されたアドレスに関する、所定時間を計時するガーベージタイマを設定して起動するガーベージタイマ設定起動手段と、
ガーベージタイマが満了したときに、上記隔離用アドレス保持手段から、そのアドレスを解放する隔離用アドレス解放手段と
を有することを特徴とするネットワーク検疫システム。
【請求項２】
上記ガーベージタイマが計時する所定時間を外部から変更できることを特徴とする請求項１に記載のネットワーク検疫システム。
【請求項３】
上記隔離用アドレス解放手段は、隔離用アドレスを解放させるときに、上記不正パケット検出判定手段が利用する閾値を、不正トラフィックのパケットと判定し易くなる解放後用閾値に変更させることを特徴とする請求項１又は２に記載のネットワーク検疫システム。
【請求項４】
上記隔離用アドレス解放手段は、隔離用アドレスを解放させるときに、解放されるアドレスを利用しているクライアントに応答を求めるメッセージを送出し、応答がなければ、隔離用アドレスを解放させ、応答があれば、そのアドレスに係る不正トラフィックが現在存在するかを確認し、存在すれば、上記ガーベージタイマによる計時時間を延長させ、存在しなければ、隔離用アドレスを解放させることを特徴とする請求項１又は２に記載のネットワーク検疫システム。
【請求項５】
上記隔離用アドレス解放手段は、不正トラフィックが現在存在しないで隔離用アドレスを解放させるときには、上記不正パケット検出判定手段が利用する閾値を、不正トラフィックのパケットと判定し易くなる解放後用閾値に変更させることを特徴とする請求項４に記載のネットワーク検疫システム。
【請求項６】
上記隔離用アドレス解放手段は、上記不正パケット検出判定手段が解放後用閾値を適用するようになってから、所定時間経過しても、そのアドレスを送信元とする不正トラフィックのパケットが検出されなとときに、閾値を通常の閾値に復帰させることを特徴とする請求項３又は５に記載のネットワーク検疫システム。
【請求項７】
クライアントが使用するアドレスを動的に割り当てるＤＨＣＰ環境下で、内部保持している隔離用アドレスに基づいて、不正トラフィックのパケットを検疫するネットワーク検疫方法において、
隔離用アドレス保持手段、不正パケット検出判定手段、隔離用アドレス追加手段、ガーベージタイマ設定起動手段、及び、隔離用アドレス解放手段を有し、
上記隔離用アドレス保持手段は、隔離用アドレスを保持し、
上記不正パケット検出判定手段は、受信パケットが不正トラフィックのパケットか否かを、その送信元アドレスのパケットの出現割合情報と閾値との比較により、判定し、
上記隔離用アドレス追加手段は、上記隔離用アドレス保持手段に保持されていないアドレスを送信元とする不正トラフィックのパケットが検出された際に、上記隔離用アドレス保持手段にそのアドレスを追加させ、
上記ガーベージタイマ設定起動手段は、上記隔離用アドレス保持手段に追加されたアドレスに関する、所定時間を計時するガーベージタイマを設定して起動し、
上記隔離用アドレス解放手段は、ガーベージタイマが満了したときに、上記隔離用アドレス保持手段から、そのアドレスを解放する
ことを特徴とするネットワーク検疫方法。
【請求項８】
クライアントが使用するアドレスを動的に割り当てるＤＨＣＰ環境下で、内部保持している隔離用アドレスに基づいて、不正トラフィックのパケットを検疫するネットワーク検疫プログラムであって、
コンピュータを、
隔離用アドレスを保持する隔離用アドレス保持手段と、
受信パケットが不正トラフィックのパケットか否かを、その送信元アドレスのパケットの出現割合情報と閾値との比較により、判定する不正パケット検出判定手段と、
上記隔離用アドレス保持手段に保持されていないアドレスを送信元とする不正トラフィックのパケットが検出された際に、上記隔離用アドレス保持手段にそのアドレスを追加させる隔離用アドレス追加手段と、
上記隔離用アドレス保持手段に追加されたアドレスに関する、所定時間を計時するガーベージタイマを設定して起動するガーベージタイマ設定起動手段と、
ガーベージタイマが満了したときに、上記隔離用アドレス保持手段から、そのアドレスを解放する隔離用アドレス解放手段として
機能させることを特徴とするネットワーク検疫プログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明はネットワーク検疫システム、方法及びプログラムに関し、例えば、ワーム隔離機能を有するシステムに適用し得るものである。
【背景技術】
【０００２】
ＤＨＣＰサーバは、個々のマシン（以下、クライアントと呼ぶ）に対して、ＩＰアドレスその他のＴＣＰ／ＩＰ設定情報を割り付けるものである。ＤＨＣＰサーバは、クライアントのＭＡＣアドレスとＩＰアドレスとを固定化して、異なるＩＰアドレスの付与を禁止し、ＤＨＣＰサーバによるＩＰアドレスの再付与によるＭＡＣアドレスの安全性が失われることを防止するようにしている。
【０００３】
ところで、今日においては、例えば、ネットワーク間の境界点に設けられるネットワーク検疫システム（以下、単に検疫システムと呼ぶ）が種々提案されており（特許文献１〜３参照）、検疫システムの中には、ネットワーク型ワームを検出して隔離する機能を有するものもある（特許文献１参照）。検疫システムのワーム隔離機能では、検疫システム内において、不正パケットの送信元のＩＰアドレスを保持し、そのようなＩＰアドレスに基づいて、ワーム（ワームパケット）を検出して隔離するようになされている。
【特許文献１】特開２００５−２６０６１２号公報
【特許文献２】特開２００６−０６５４１４号公報
【特許文献２】特開２００５−３１８６１５号公報
【発明の開示】
【発明が解決しようとする課題】
【０００４】
しかしながら、ワーム隔離機能を有する従来の検疫システムにおいては、上述のようなＩＰアドレスをＤＨＣＰサーバが動的に付与するＤＨＣＰ環境では、ＤＨＣＰサーバが付与したＩＰアドレスを隔離対象のＩＰアドレスとして保持したままとなり、再使用できなくなる。
【０００５】
図５を用いて、かかる課題を詳述する。図５において、クライアント１に対しＤＨＣＰサーバ３によって付与されたＩＰアドレスＡを有するパケットが、検疫システム２によってワームと検出され、隔離用のＩＰアドレスとして登録されたとする。ＤＨＣＰサーバ３は、一般的には、ＩＰアドレスＡを割り当てるときにはリース期間を設定し、リース期間が満了したときやクライアント１がリースを返上したときでも、クライアント１への割当てを解放し、図示しない他のクライアントなどにＩＰアドレスＡを割当可能となる。仮に、解放後に、他のクライアントにＩＰアドレスＡが割り当てられても、ＩＰアドレスＡが検疫システム２に隔離対象として登録されていて隔離されるので、他のクライアントに割り当てられたＩＰアドレスＡは有効に機能しないものとなっている。
【０００６】
また、クライアント１のリブートにより、ＤＨＣＰサーバ３によって新たに割り当てられたＩＰアドレスＢも、クライアント１のワーム感染が継続している場合には、検疫システム２に隔離対象として登録される。そのため、上述したＩＰアドレスＡと同様に、リース期間の満了後などで、有効なＩＰアドレスとして機能しない。
【０００７】
このような隔離ＩＰアドレスの継続保持による課題を回避しようとすると、検疫システムに保持されている隔離ＩＰアドレスを、管理者などが手作業で消去しなければならず、その際、どの隔離ＩＰアドレスを消去対象にするかを管理者などが決定しなければならない。しかし、このような対策で、隔離ＩＰアドレスとして継続保持すべきものを消去した場合には、感染拡大防止機能が大きく損なわれることになる。
【０００８】
そのため、アドレスを動的に割り当てる環境下でも、感染拡大防止機能を損なうことなく、隔離対象と一旦でもなったアドレスを有効に再利用できるようにし得るネットワーク検疫システム、方法及びプログラムが望まれている。
【課題を解決するための手段】
【０００９】
かかる課題を解決するため、第１の本発明は、クライアントが使用するアドレスを動的に割り当てるＤＨＣＰ環境下で、内部保持している隔離用アドレスに基づいて、不正トラフィックのパケットを検疫するネットワーク検疫システムにおいて、（１）隔離用アドレスを保持する隔離用アドレス保持手段と、（２）受信パケットが不正トラフィックのパケットか否かを、その送信元アドレスのパケットの出現割合情報と閾値との比較により、判定する不正パケット検出判定手段と、（３）上記隔離用アドレス保持手段に保持されていないアドレスを送信元とする不正トラフィックのパケットが検出された際に、上記隔離用アドレス保持手段にそのアドレスを追加させる隔離用アドレス追加手段と、（４）上記隔離用アドレス保持手段に追加されたアドレスに関する、所定時間を計時するガーベージタイマを設定して起動するガーベージタイマ設定起動手段と、（５）ガーベージタイマが満了したときに、上記隔離用アドレス保持手段から、そのアドレスを解放する隔離用アドレス解放手段とを有することを特徴とする。
【００１０】
また、第２の本発明は、クライアントが使用するアドレスを動的に割り当てるＤＨＣＰ環境下で、内部保持している隔離用アドレスに基づいて、不正トラフィックのパケットを検疫するネットワーク検疫方法において、（０）隔離用アドレス保持手段、不正パケット検出判定手段、隔離用アドレス追加手段、ガーベージタイマ設定起動手段、及び、隔離用アドレス解放手段を有し、（１）上記隔離用アドレス保持手段は、隔離用アドレスを保持し、（２）上記不正パケット検出判定手段は、受信パケットが不正トラフィックのパケットか否かを、その送信元アドレスのパケットの出現割合情報と閾値との比較により、判定し、（３）上記隔離用アドレス追加手段は、上記隔離用アドレス保持手段に保持されていないアドレスを送信元とする不正トラフィックのパケットが検出された際に、上記隔離用アドレス保持手段にそのアドレスを追加させ、（４）上記ガーベージタイマ設定起動手段は、上記隔離用アドレス保持手段に追加されたアドレスに関する、所定時間を計時するガーベージタイマを設定して起動し、（５）上記隔離用アドレス解放手段は、ガーベージタイマが満了したときに、上記隔離用アドレス保持手段から、そのアドレスを解放することを特徴とする。
【００１１】
さらに、第３の本発明は、クライアントが使用するアドレスを動的に割り当てるＤＨＣＰ環境下で、内部保持している隔離用アドレスに基づいて、不正トラフィックのパケットを検疫するネットワーク検疫プログラムであって、（０）コンピュータを、（１）隔離用アドレスを保持する隔離用アドレス保持手段と、（２）受信パケットが不正トラフィックのパケットか否かを、その送信元アドレスのパケットの出現割合情報と閾値との比較により、判定する不正パケット検出判定手段と、（３）上記隔離用アドレス保持手段に保持されていないアドレスを送信元とする不正トラフィックのパケットが検出された際に、上記隔離用アドレス保持手段にそのアドレスを追加させる隔離用アドレス追加手段と、（４）上記隔離用アドレス保持手段に追加されたアドレスに関する、所定時間を計時するガーベージタイマを設定して起動するガーベージタイマ設定起動手段と、（５）ガーベージタイマが満了したときに、上記隔離用アドレス保持手段から、そのアドレスを解放する隔離用アドレス解放手段として機能させることを特徴とする。
【発明の効果】
【００１２】
本発明によれば、アドレスを動的に割り当てる環境下でも、感染拡大防止機能を損なうことなく、隔離対象と一旦でもなったアドレスを有効に再利用できるようになる。
【発明を実施するための最良の形態】
【００１３】
（Ａ）第１の実施形態
以下、本発明によるネットワーク検疫システム、方法及びプログラムの第１の実施形態を、図面を参照しながら詳述する。
【００１４】
（Ａ−１）第１の実施形態の構成
図１は、第１の実施形態のネットワーク検疫システム（検疫システム）の詳細構成を示すブロック図である。第１の実施形態の検疫システムは、例えば、ＣＰＵ、ＲＯＭ、ＲＡＭなどでなる信号処理部や、通信部などを有するゲートウェイ装置上に搭載されるものであるが、機能的には、図１に示す詳細構成を有する。すなわち、通信部が受信し、通信部から送信させるＩＰパケットの処理機能は、ＣＰＵが実行するネットワーク検疫プログラム（記憶データなどを含む概念とする）によって実現されているが、機能的には、図１に示すように表すことができる。
【００１５】
図１において、第１の実施形態の検疫システム１０は、クライアント１とＤＨＣＰサーバ３との間の通信や、クライアント１と他のネットワークの構成要素（図示せず）との間の通信などに介在する位置（例えば、ネットワーク境界）に設けられたものであり、大きくは、転送制御部２０、ワーム検出部３０及び隔離処理部４０を有する。
【００１６】
転送制御部２０は、隔離ポリシーなどの転送ポリシーが設定され、その転送ポリシーに従った転送制御を行うものであり、パケットミラーリング部２１や隔離ポリシー部２２などを有する。
【００１７】
パケットミラーリング部２１は、例えば、当該検疫システム１０に到来し、バッファリングされたＩＰパケットの複製であるミラーパケットを生成して、ワーム検出部３０に与えるものである。ここで、どのような受信ＩＰパケットをミラーリングするかの情報を設定しておき、それに従ってミラーパケットの生成を行うようにしても良い。例えば、隔離しない（当該検疫システム１０の通過を許可する）受信ＩＰパケットに対してはミラーパケットを生成し、隔離する受信ＩＰパケットに対してはミラーパケットを生成しないようにしても良く、隔離の有無に関係なく、全ての受信ＩＰパケットのミラーパケットを生成するようにしても良い。
【００１８】
隔離ポリシー部２２は、隔離処理部４０によって設定されたＩＰアドレス毎の隔離ポリシーに従い、受信ＩＰパケット（バッファリングされているＩＰパケット）の隔離若しくは転送を行うものである。隔離ポリシーは、例えば、受信ＩＰパケットの廃棄であっても良く、これに加えて、さらなる処理を行うものであっても良い。さらなる処理としては、例えば、受信ＩＰパケットの送信元クライアント１への警告送信であっても良い。また、隔離ポリシーは、他の検疫システムへの通知を含むものであっても良い。
【００１９】
ワーム検出部３０は、受信ＩＰパケットのミラーパケットに基づいて、ネットワーク型ワームを検出するものであり、ミラーパケット受信部３１及びワーム検出判定部３２を有する。
【００２０】
ミラーパケット受信部３１は、パケットミラーリング部２１が生成したミラーパケットを受信し、ワーム検出に必要な送信元ＩＰアドレスなどの情報を抽出するものである。抽出情報には、宛先ＩＰアドレスの情報や、宛先ＩＰアドレス以外が同一であることを判別できる情報が含まれていても良い。
【００２１】
ワーム検出判定部３２は、例えば、隔離対象でないＩＰアドレス毎に、そのＩＰアドレスを送信元とするＩＰパケットの送信間隔情報や適用する閾値の情報を内部記憶しており（このような情報を後述するＩＰアドレス保持部４２が、隔離対象と対象外とを区別して保持するようにしても良い）、今回の受信によりその送信間隔情報を更新し、更新した送信間隔情報と閾値との照合により、ワームを検出するものである。なお、ワームが既に検出された隔離対象のＩＰアドレスについて、ワーム検出判定部３２が、ワームの継続検出を行うようにしても良い。
【００２２】
ワーム検出判定部３２は、ワームの検出結果を含むワーム検出情報を隔離処理部４０に与える。
【００２３】
ネットワーク型ワームは、ある送信元端末から、異なる宛先端末へＩＰパケットをばらまくものであり、そのばらまきは短時間に実行される。そこで、例えば、「何秒当たり何個」（例えば、３．４秒で６個）という情報を記憶しておく送信間隔情報とし、閾値との照合では、「何秒当たり何個」を１秒当たり何個に変換した後に行う。個数を１だけ受信させる受信は、前回の受信より所定時間（例えば５秒）以内に限定し、前回の受信より所定時間を越えても同じ送信元からのＩＰパケットを受信しなくなったときには、送信間隔情報をクリアするようにしても良い。ここで、送信間隔情報は、宛先ＩＰアドレスが異なることを条件に計数するようにしても良く、また、宛先アドレス以外の同一性を確認して計数するようにしても良い。例えば、同じ送信元端末からの異なる宛先のＩＰパケットが、所定時間以内に次々と受信し始めた開始時刻から、「何秒当たり何個」の何秒当たりを計時する。なお、ネットワーク型ワームの検出判定方法は、上記の方法に限定されない。
【００２４】
ワーム検出判定部３２は、ワーム検出に用いる閾値として、通常判定用の閾値と、隔離解除後用の閾値とがあり、後者の方がワーム検出と判定することが多くなるシビアな閾値である。ワーム検出判定部３２には、後者の閾値の適用開始を、後述するガーベージ処理部４３から指示される。ワーム検出判定部３２は、隔離解除後用の閾値を適用したワーム検出判定しても、所定時間（例えば１２時間）、ワームが検出されない場合には、適用する閾値を、通常判定用の閾値に戻す。
【００２５】
隔離処理部４０は、受信ＩＰパケットを隔離するＩＰパケットの管理を行うものであり、ワーム検出情報受信部４１、ＩＰアドレス保持部４２、ガーベージ処理部４３、ポリシー設定／解除部４４及びクライアント警告部４５を有する。
【００２６】
ワーム検出情報受信部４１は、ワーム検出部３０からのワーム検出情報を受信し、その受信情報に応じて、ＩＰアドレス保持部４２の保持情報を更新するものである。ワーム検出情報受信部４１は、例えば、ワームが検出された送信元ＩＰアドレスを、隔離ＩＰアドレスとしてＩＰアドレス保持部４２に追加させる。
【００２７】
ＩＰアドレス保持部４２は、基本機能として、隔離ＩＰアドレスを保持するものである。隔離ＩＰアドレスの追加は、ワーム検出情報受信部４１によってなされ、保持している隔離ＩＰアドレスの消去は、後述するガーベージ処理部４３によってなされる。ＩＰアドレス保持部４２への隔離ＩＰアドレスの追加や解除は、ガーベージ処理部４３やポリシー設定／解除部４４に通知される。
【００２８】
ガーベージ処理部４３は、ＩＰアドレス保持部４２に隔離ＩＰアドレスが追加された際に、そのＩＰアドレスについてのガーベージタイマ（例えば、１２時間を計時する）を起動し、ガーベージタイマが満了したときに、そのＩＰアドレスの隔離を解除するものである。ガーベージ処理部４３は、隔離ＩＰアドレスを解除した際には、ワーム検出判定部３２で用いるそのＩＰアドレスについての閾値を、隔離解除後用の閾値に切り替えるようにさせる。なお、ワーム検出判定部３２が、隔離ＩＰアドレスに設定されているＩＰアドレスについてのワームの継続を判定するものである場合には、ガーベージ処理部４３は、ワームの検出毎にガーベージタイマを起動し直すものであっても良い。
【００２９】
ガーベージ処理部４３におけるガーベージタイマの計時時間は、当該検疫システム１０に適宜接続された保守端末や、遠隔の管理装置などからの外部指示によって、適宜、可変設定できるようにすることが好ましい。例えば、当該検疫システムを通過するトラフィックに係るＤＨＣＰサーバ３のリース期間に応じて、管理者が、ガーベージタイマの計時時間を設定すれば、リース終了と、後述する隔離の解放とを同期させることができるようになる。
【００３０】
ポリシー設定／解除部４４は、ＩＰアドレス保持部４２への隔離ＩＰアドレスの追加に応じて、転送制御部２０に対し、そのＩＰアドレスを送信元とするＩＰパケットを隔離させる情報（隔離ポリシー）を設定し、一方、ＩＰアドレス保持部４２に保持されている隔離ＩＰアドレスの解除に応じ、転送制御部２０に対し、そのＩＰアドレスを送信元とするＩＰパケットを通過（転送）させる状態にする。また、ポリシー設定／解除部４４は、クライアント警告部４５から与えられた警告用ＩＰパケットを転送制御部２０に与えて送信させるものである。
【００３１】
クライアント警告部４５は、転送制御部２０が受信ＩＰパケットに対して隔離を行った際に、そのＩＰパケットの送信元のクライアントに送信させる警告用ＩＰパケットを生成してポリシー設定／解除部４４に与えるものである（送信先のクライアントにも送信するようにしても良い）。
【００３２】
（Ａ−２）第１の実施形態の動作
次に、第１の実施形態のネットワーク検疫システムの動作（ネットワーク検疫方法）を説明する。
【００３３】
以下では、図２のフローチャートを参照しながら、あるＩＰアドレスを隔離ＩＰアドレスとして保持し始めるときから、そのＩＰアドレスの隔離を完全に解除するまでの流れを説明する。なお、図２は、概ね、ワーム検出部３０及び隔離処理部４０の動作を示している。
【００３４】
ワーム検出部３０は、受信ＩＰパケットのミラーパケットを受信すると（Ｓ１００）、そのミラーパケットの送信元ＩＰアドレスに係るその時点の閾値（通常判定用閾値、又は、隔離解除後用閾値）を用いて、上述したようにワーム検出判定を行う（Ｓ１０１）。
【００３５】
図１では信号の流れを明確に記述していないが、ワームでないと判定された場合には、転送制御部２０にその旨が通知され、バッファリングされていたＩＰパケットが宛先側に送信（転送）される。また、ワーム検出部３０及び隔離処理部４０は今回の一連の処理を終了する（Ｓ１０２）。
【００３６】
これに対して、ワームと判定された場合には、隔離処理部４０に、ワームと判定されたミラーパケットにおけるＩＰアドレスが隔離ＩＰアドレスとして追加され、転送制御部２０にバッファリングされていたＩＰパケットを隔離し、これ以降もその送信元ＩＰアドレスに係るＩＰパケットを隔離できるように、転送制御部２０に隔離ポリシーを設定する（Ｓ１０３）。
【００３７】
また、隔離処理部４０は、隔離対象としたＩＰアドレスに関し、ガーベージタイマを設定して起動させる（Ｓ１０４）。
【００３８】
このようにして設定、起動させたガーベージタイマが満了（タイムアップ）すると、隔離処理部４０は、そのＩＰアドレスを、隔離ＩＰアドレスとして保持している状態を解放すると共に、そのＩＰアドレスに関し、転送制御部２０に設定していた隔離ポリシーを解除し（Ｓ１０５）、ワーム検出部３０及び隔離処理部４０は今回の処理を終了する（Ｓ１０２）。
【００３９】
なお、隔離処理部４０によって、隔離ＩＰアドレスからの解放、隔離ポリシーの解除がなされたときには、ワーム検出部３０は、その解除に係るＩＰアドレスのワーム検出判定に用いる閾値を隔離解除後用閾値にする（Ｓ２００）。すなわち、通常判定用の閾値よりワームと判定され易いシビアな隔離解除後用の閾値を適用することにより、隔離ＩＰアドレスから解放しても、警戒対象として登録したことになる。
【００４０】
警戒ＩＰアドレスに関しては、ワーム検出部３０が、その警戒対象になってから、例えば、所定時間（例えば１２時間）内にワーム判定がなされない場合には、ＩＰアドレスのワーム検出判定に用いる閾値を通常判定用閾値に復帰させ、一方、所定時間内にワーム判定された場合には、隔離解除後用の閾値を継続させる（Ｓ２０１）。
【００４１】
（Ａ−３）第１の実施形態の効果
第１の実施形態によれば、ガーベージタイマを持たせ、ガーベージタイマの満了によって隔離ＩＰアドレスを解放するようにしたので、ＤＨＣＰ環境で検疫システムを導入しても、ＩＰアドレスの再付与を可能とすることができる。すなわち、ＤＨＣＰ使用による柔軟性及び安全性と、検疫システムにおけるワーム感染防止拡大とを両立させることができる。
【００４２】
ここで、隔離ＩＰアドレスを解放しても、そのＩＰアドレスについては、ワームと判定し易くしたので、ワームが再開したときには、迅速にワームと認識し、隔離状態に迅速に移行させることができる。
【００４３】
（Ｂ）第２の実施形態
次に、本発明によるネットワーク検疫システム、方法及びプログラムの第２の実施形態を、図面を参照しながら詳述する。
【００４４】
図３は、第２の実施形態のネットワーク検疫システム（検疫システム）の詳細構成を示すブロック図であり、第１の実施形態に係る図１との同一、対応部分には同一、対応符号を付して示している。
【００４５】
図３において、第２の実施形態の検疫システム１０Ａも、大きくは、転送制御部２０、ワーム検出部３０及び隔離処理部４０Ａを有する。転送制御部２０及びワーム検出部３０は、第１の実施形態のものとほぼ同様であり、隔離処理部４０Ａが、第１の実施形態のものと異なっている。
【００４６】
第２の実施形態の隔離処理部４０Ａは、ワーム検出情報受信部４１、ＩＰアドレス保持部４２、ガーベージ処理部４３、ポリシー設定／解除部４４及びクライアント警告部４５に加え、ＡＲＰ確認部４６を有する。
【００４７】
新たに設けられたＡＲＰ確認部４６は、ガーベージ処理部４３が、あるＩＰアドレスについてのガーベージタイマの満了を認識したときに、そのＩＰアドレスに対するＭＡＣアドレスを問い合わせるＡＲＰリクエストを送信（ブロードキャスト）し、その応答の有無を認識するものである。ＡＲＰリクエストに応答があることは、そのＩＰアドレスが割り当てられているクライアントが存在することを意味し、ＡＲＰリクエストに応答がないことは、その時点で、そのＩＰアドレスが割り当てられているクライアントが存在しないことを意味している。
【００４８】
第２の実施形態は、隔離状態にあったＩＰアドレスを解放する際の動作が第１の実施形態とは異なっており、以下では、図４を参照しながら、ＩＰアドレスを解放する際の動作を説明する。なお、ＩＰアドレスを解放する際の動作は、主として、隔離処理部４０Ａにおけるガーベージ処理部４３、ポリシー設定／解除部４４及びＡＲＰ確認部４６が実行する。
【００４９】
図４は、あるＩＰアドレスを隔離ＩＰアドレスとして保持し始めるときから、そのＩＰアドレスの隔離を完全に解除するまでの第２の実施形態における流れを示すものであり、第１の実施形態に係る図２との同一、対応ステップには同一符号を付して示している。
【００５０】
第２の実施形態においても、隔離処理部４０Ａが、隔離対象としたＩＰアドレスに関し、ガーベージタイマを設定して起動させるまでの処理（Ｓ１００、Ｓ１０１、Ｓ１０３、Ｓ１０４）は、第１の実施形態と同様である。
【００５１】
第２の実施形態の場合、ガーベージタイマが満了すると（Ｓ３００）、隔離処理部４０Ａは、そのＩＰアドレスに係るＡＲＰリクエストを送信（ブロードキャスト）し、その応答の有無を判別する（Ｓ３０１）。
【００５２】
ＡＲＰリクエストに対する応答が戻ってこない場合には、隔離処理部４０Ａは、そのＩＰアドレスを、隔離ＩＰアドレスとして保持している状態を解放すると共に、そのＩＰアドレスに関し、転送制御部２０に設定していた隔離ポリシーを解除し（Ｓ３０２）、ワーム検出部３０及び隔離処理部４０Ａは今回の処理を終了する（Ｓ１０２）。
【００５３】
このときの隔離ＩＰアドレスの解放では、ワーム検出部３０がワーム検出判定に用いる閾値を操作しない。すなわち、通常判定用の閾値のままとする。
【００５４】
これに対して、ＡＲＰリクエストに対する応答が戻ってきた場合には、隔離処理部４０Ａは、ワーム検出部３０と協働し、現状、そのＩＰアドレスを送信元とするワームトラフィックが送出されているか否かを判別する（Ｓ３０３）。例えば、ワームトラフィックを間欠的に送信するような不正なクライアントであれば、この判別でワームトラフィックの検出となる。
【００５５】
ＡＲＰリクエストに対する応答を返信したクライアント１からのワームを検出したときには、隔離処理部４０Ａは、ガーベージタイマによる計時時間を延長させて（満了時点を延期させて）、ガーベージタイマの満了を待ち受ける状態に戻る（Ｓ３０４）。
【００５６】
一方、ＡＲＰリクエストに対する応答を返信したクライアントがあっても、現状、ワームを検出できない場合には、隔離処理部４０Ａは、そのＩＰアドレスを、隔離ＩＰアドレスとして保持している状態を解放すると共に、そのＩＰアドレスに関し、転送制御部２０に設定していた隔離ポリシーを解除し（Ｓ３０５）、ワーム検出部３０及び隔離処理部４０Ａは今回の処理を終了する（Ｓ１０２）。
【００５７】
なお、このときの隔離ＩＰアドレスの解放では、ワーム検出部３０がワーム検出判定に用いる閾値を、通常判定用の閾値から、隔離解除後用閾値に変化させ（Ｓ２００）、第１の実施形態で説明した警戒状態に移行する。
【００５８】
第２の実施形態によっても、第１の実施形態と同様な効果を奏すると共に、さらに、以下の効果を奏することができる。すなわち、第２の実施形態によれば、隔離していたＩＰアドレスを解放する際に、ワームが休止中であるか、送信元の端末（クライアント）自体が停止又は離脱しているかを判断でき、ワーム感染拡大の機会を狭めることにより、感染拡大の防止効果を高めることができる。
【００５９】
（Ｃ）他の実施形態
上記各実施形態では、不正トラフィックがワームトラフィックである場合を示したが、他の不正トラフィックに対するネットワーク検疫システムに対しても本発明を適用することができる。
【００６０】
また、上記各実施形態では、ネットワーク検疫システムが他のサーバと別体で構成されているイメージで説明したが、他のサーバとハードウェア的には同一の装置上に構成されたものであっても良い。また逆に、転送制御部２０、ワーム検出部３０、隔離処理部４０、４０Ａの一部を異なる装置に搭載するようにしても良い。
【図面の簡単な説明】
【００６１】
【図１】第１の実施形態のネットワーク検疫システムにおける機能的な詳細構成を示すブロック図である。
【図２】第１の実施形態のネットワーク検疫システムにおける動作を示すフローチャートである。
【図３】第２の実施形態のネットワーク検疫システムにおける機能的な詳細構成を示すブロック図である。
【図４】第２の実施形態のネットワーク検疫システムにおける動作を示すフローチャートである。
【図５】従来の課題の説明図である。
【符号の説明】
【００６２】
１…クライアント、３…ＤＨＣＰサーバ、１０、１０Ａ…検疫システム、２０…転送制御部、２１…パケットミラーリング部、２２…隔離ポリシー部、３０…ワーム検出部、３１…ミラーパケット受信部、３２…ワーム検出判定部、４０、４０Ａ…隔離処理部、４１…ワーム検出情報受信部、４２…ＩＰアドレス保持部、４３…ガーベージ処理部、４４…ポリシー設定／解除部、４５…クライアント警告部、４６…ＡＲＰ確認部。
【図１】
2008022322.tif 000003
【図２】
2008022322.tif 000004
【図３】
2008022322.tif 000005
【図４】
2008022322.tif 000006
【図５】
2008022322.tif 000007