(57)【要約】【課題】ネットワークへの接続が許可された正規端末であるか否かを問わず、ネットワーク増殖型ウィルスの２次感染を防止することを可能とする。【解決手段】ネットワーク監視部５１は、送信元端末情報及び通信相手端末情報を含むＡＲＰ要求パケットを収集する。端末判定部５２は、収集されたＡＲＰ要求パケットに含まれる通信相手端末情報によって示される通信相手端末が正規端末であるかを、端末情報管理ＤＢ４２を参照して判定する。不正ＡＲＰ回数管理ＤＢ４３には、通信相手端末が正規端末でないと判定された回数を示す回数情報が送信元端末情報毎に格納される。端末判定部５２は、送信元端末情報に対応付けられている回数情報によって示される回数が閾値以上であるかを判定する。通信妨害部５３は、通信相手端末のＭＡＣアドレスとは異なるＭＡＣアドレスを含むＡＲＰ応答パケットを送信元端末に対して送信する。【選択図】      図３
2008236415.tif 000002
【特許請求の範囲】
【請求項１】
パケットを通信可能なネットワークに接続されたウィルス感染防止装置において、
前記ネットワークへの接続が許可されている正規端末を示す正規端末情報を予め格納する正規端末情報格納手段と、
前記ネットワークに接続された送信元端末から送信された当該送信元端末を示す送信元端末情報及び当該送信元端末の通信相手となる通信相手端末を示す通信相手端末情報を含むＡＲＰ要求パケットを、前記ネットワーク上から収集する収集手段と、
前記収集されたＡＲＰ要求パケットに含まれる通信相手端末情報によって示される通信相手端末が正規端末であるかを、前記正規端末情報格納手段に格納されている正規端末情報に基づいて判定する第１の判定手段と、
前記収集されたＡＲＰ要求パケットに含まれる通信相手端末情報によって示される通信相手端末が正規端末でないと前記第１の判定手段によって判定された回数を示す回数情報を、当該ＡＲＰ要求パケットに含まれる送信元端末情報に対応付けて格納する回数情報格納手段と、
前記収集されたＡＲＰ要求パケットに含まれる送信元端末情報に対応付けて前記回数情報格納手段に格納されている回数情報によって示される回数が、予め定められた閾値以上であるかを判定する第２の判定手段と、
前記第２の判定手段によって前記閾値以上であると判定された回数を示す回数情報に対応付けて前記回数情報格納手段に格納されている送信元端末情報によって示される送信元端末に対して、当該送信元端末情報を含む前記ＡＲＰ要求パケットに含まれる通信相手端末情報によって示される通信相手端末のＭＡＣアドレスとは異なるＭＡＣアドレスを含むＡＲＰ応答パケットを送信する送信手段と
を具備することを特徴とするウィルス感染防止装置。
【請求項２】
通信相手端末を示すＩＰアドレスとして任意のＩＰアドレスが設定された通信相手端末情報を含むパケットを、前記ネットワークを介して送信する送信手段と、
前記送信されたパケットに対する返信となるパケットを受信する受信手段と、
前記返信となるパケットが受信された場合、前記任意のＩＰアドレスが設定された通信相手端末情報を前記正規端末情報として、前記正規端末情報格納手段に格納する格納処理手段と
を更に具備することを特徴とする請求項１記載のウィルス感染防止装置。
【請求項３】
前記収集手段によって収集されたＡＲＰ要求パケットに含まれる送信元端末情報によって示される送信元端末が正規端末であるかを、前記正規端末情報格納手段に格納されている正規端末情報に基づいて判定する第３の判定手段を更に具備し、
前記送信手段は、前記第３の判定手段によって前記正規端末でないと判定された送信元端末を示す送信元端末情報を含む前記ＡＲＰ要求パケットに含まれる通信相手端末情報によって示される通信相手端末のＭＡＣアドレスとは異なるＭＡＣアドレスを含むＡＲＰ応答パケットを、当該送信元端末に対して送信する
ことを特徴とする請求項１記載のウィルス感染防止装置。
【請求項４】
前記送信手段は、前記異なるＭＡＣアドレスとして、前記ウィルス感染防止装置のＭＡＣアドレスを用いて、前記ＡＲＰ応答パケットを送信し、
パケットに含まれるウィルスのパターンを示すウィルスパターン情報を予め格納するウィルスパターン格納手段と、
前記ＡＲＰ応答パケットが送信された送信元端末から送信されたパケットを受信する受信手段と、
前記受信手段によって受信されたパケットにウィルスが含まれるかを、前記ウィルスパターン格納手段に格納されているウィルスパターン情報に基づいて判定する第４の判定手段とを更に具備する
ことを特徴とする請求項１記載のウィルス感染防止装置。
【請求項５】
前記送信手段によって前記ＡＲＰ応答パケットが送信されたことにより、当該ＡＲＰ応答パケットが送信された送信元端末の通信が妨害されている旨を、当該送信元端末を操作するユーザに対して前記ネットワークを介して通知する通知手段と、
前記通知手段による通知を受けた前記ユーザの前記送信元端末に対する特定の操作に応じて、前記送信手段によって前記ＡＲＰ応答パケットが送信された送信元端末に対する通信の妨害を解除する解除手段と
を更に具備することを特徴とする請求項１記載のウィルス感染防止装置。
【請求項６】
パケットを通信可能な第１のネットワークに接続された第１のウィルス感染防止装置と、
前記第１のネットワークと接続された第２のネットワークに接続された第２のウィルス感染防止装置と
を具備し、
前記第１のウィルス感染防止装置は、
前記第２のネットワークに接続された送信元端末から送信された当該送信元端末を示す送信元端末情報及び当該送信元端末の通信相手となる通信相手端末を示す通信相手端末情報を含むＡＲＰ要求パケットを、前記第１のネットワーク上から収集する収集手段と、
前記第１のネットワークへの接続が許可されている正規端末を示す正規端末情報を予め格納する正規端末情報格納手段と、
前記収集されたＡＲＰ要求パケットに含まれる通信相手端末情報によって示される通信相手端末が正規端末であるかを、前記正規端末情報格納手段に格納されている正規端末情報に基づいて判定する判定手段と、
前記収集されたＡＲＰ要求パケットに含まれる通信相手端末情報によって示される通信相手端末が正規端末でないと前記判定手段によって判定された回数を示す回数情報を、当該ＡＲＰ要求パケットに含まれる送信元端末情報に対応付けて格納する第１の回数情報格納手段と、
前記回数情報格納手段に格納された送信元端末情報毎の回数情報を、前記第２のウィルス感染防止装置に対して送信する回数情報送信手段とを有し、
前記第２のウィルス感染防止装置は、
前記回数情報送信手段によって送信された送信元端末情報の回数情報を格納する第２の回数情報格納手段と、
前記送信元端末情報に対応付けて前記第２の回数情報格納手段に格納されている回数情報によって示される回数が予め定められた閾値以上である場合、当該送信元端末情報を含む前記ＡＲＰ要求パケットに含まれる通信相手端末情報によって示される通信相手端末のＭＡＣアドレスとは異なるＭＡＣアドレスを含むＡＲＰ応答パケットを、当該送信元端末情報によって示される送信元端末に対して送信するＡＲＰ応答パケット送信手段とを有する
ことを特徴とするウィルス感染防止システム。
【請求項７】
パケットを通信可能な第１のネットワークに接続された第１のウィルス感染防止装置と、
前記第１のネットワークとは異なる第２のネットワークに接続された第２のウィルス感染防止装置と、
前記第１のウィルス感染防止装置及び前記第２のウィルス感染防止装置と通信可能であり、前記第１のネットワークへの接続が許可されている正規端末を示す正規端末情報を予め格納する正規端末情報格納手段を含む中央管理装置と
を具備し、
前記第１のウィルス感染防止装置は、
前記第２のネットワークに接続された送信元端末から送信された当該送信元端末を示す送信元端末情報及び当該送信元端末の通信相手となる通信相手端末を示す通信相手端末情報を含むＡＲＰ要求パケットを、前記第１のネットワーク上から収集する収集手段と、
前記収集されたＡＲＰ要求パケットに含まれる通信相手端末情報によって示される通信相手端末が正規端末であるかを、前記正規端末情報格納手段に格納されている正規端末情報に基づいて判定する第１の判定手段と
を含み、
前記中央管理装置は、前記収集されたＡＲＰ要求パケットに含まれる通信相手端末情報によって示される通信相手端末が正規端末でないと前記第１の判定手段によって判定された回数を示す回数情報を、当該ＡＲＰ要求パケットに含まれる送信元端末情報に対応付けて格納する回数情報格納手段を更に含み、
前記第２のウィルス感染防止装置は、
前記収集されたＡＲＰ要求パケットに含まれる送信元端末情報に対応付けて前記回数情報格納手段に格納されている回数情報によって示される回数が、予め定められた閾値以上であるかを判定する第２の判定手段と、
前記第２の判定手段によって前記閾値以上であると判定された回数を示す回数情報に対応付けて前記回数情報格納手段に格納されている送信元端末情報によって示される送信元端末に対して、当該送信元端末情報を含む前記ＡＲＰ要求パケットに含まれる通信相手端末情報によって示される通信相手端末のＭＡＣアドレスとは異なるＭＡＣアドレスを含むＡＲＰ応答パケットを送信するＡＲＰ応答パケット送信手段と
を含む
ことを特徴とするウィルス感染防止システム。
【請求項８】
パケットを通信可能なネットワークへの接続が許可されている正規端末を示す正規端末情報を予め格納する正規端末情報格納手段と回数情報格納手段とを有する外部記憶装置と、前記ネットワークに接続され、当該外部記憶装置を利用するコンピュータとを備えるウィルス感染防止装置において、前記コンピュータによって実行されるウィルス感染防止プログラムであって、
前記コンピュータに、
前記ネットワークに接続された送信元端末から送信された当該送信元端末を示す送信元端末情報及び当該送信元端末の通信相手となる通信相手端末を示す通信相手端末情報を含むＡＲＰ要求パケットを、前記ネットワーク上から収集するステップと、
前記収集されたＡＲＰ要求パケットに含まれる通信相手端末情報によって示される通信相手端末が正規端末であるかを、前記正規端末情報格納手段に格納されている正規端末情報に基づいて判定するステップと、
前記収集されたＡＲＰ要求パケットに含まれる通信相手端末情報によって示される通信相手端末が正規端末でないと判定された回数を示す回数情報を、当該ＡＲＰ要求パケットに含まれる送信元端末情報に対応付けて前記回数情報格納手段に格納するステップと、
前記収集されたＡＲＰ要求パケットに含まれる送信元端末情報に対応付けて前記回数情報格納手段に格納されている回数情報によって示される回数が、予め定められた閾値以上であるかを判定するステップと、
前記閾値以上であると判定された回数を示す回数情報に対応付けて前記回数情報格納手段に格納されている送信元端末情報によって示される送信元端末に対して、当該送信元端末情報を含むＡＲＰ要求パケットに含まれる通信相手端末情報によって示される通信相手端末のＭＡＣアドレスとは異なるＭＡＣアドレスを含むＡＲＰ応答パケットを送信するステップと
を実行させることを特徴とするウィルス感染防止プログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、ウィルスに感染した端末がネットワークに接続された際に、当該端末から他の端末がウィルス感染することを防止するウィルス感染防止装置、ウィルス感染防止システム及びウィルス感染防止プログラムに関する。
【背景技術】
【０００２】
近年、ウィルス対策が万全でない端末（ＰＣ）が内部ネットワーク（コンピュータネットワーク）に持ち込まれ、不用意に接続されることによって、当該内部ネットワークにウィルスが蔓延し被害をもたらすことがある。
【０００３】
特に、ネットワーク増殖型ウィルスに感染した端末（以下、感染端末と表記）がネットワーク内に持ち込まれた場合、当該感染端末は、当該ネットワークに接続された直後から当該ネットワークに接続されている他の端末（またはサーバ）に対してウィルスが含まれるパケットを送出するケースが多い。感染端末が接続されたネットワークに接続されている端末は、当該感染端末から送出されたパケットを受け取るとウィルスに感染する可能性がある。これにより、感染端末が接続されたネットワーク内においては短時間でウィルス感染（２次感染）が拡大するおそれがある。
【０００４】
ネットワーク増殖型ウィルスの２次感染においては、例えばランダムまたはシーケンシャルに（ネットワーク上に存在するか否かは問わず）ＩＰ（Internet Protocol）アドレスを選択し、当該ＩＰアドレスが含まれるＡＲＰ（Address Resolution Protocol）要求パケットが送信される。なお、ＡＲＰ要求パケットは、当該ＡＲＰ要求パケットに含まれるＩＰアドレスが割り当てられている端末等のＭＡＣ（Media Access Control）アドレスを取得するために用いられる。
【０００５】
感染端末から送信されたＡＲＰ要求パケットに対して、例えば当該ＡＲＰ要求パケットに含まれるＩＰアドレスが割り当てられた端末が自身のＭＡＣアドレスを含むＡＲＰ応答パケットを返すことにより、感染端末は当該端末のＭＡＣアドレスを取得する。これにより、感染端末はその端末との通信が可能となる。その後、感染端末は、例えばネットワーク増殖型ウィルスが含まれるパケットを、取得されたＭＡＣアドレスを用いて端末に送信する。これがネットワークに接続されている複数の端末に対して実行されることにより、ネットワーク増殖型ウィルスの２次感染が拡大する。
【０００６】
そこで、例えばネットワークへの接続が許可された端末（以下、正規端末と表記）のみが当該ネットワークに接続できるシステムが必要であるのはもちろん、万が一、ネットワーク内に感染端末が持ち込まれた場合、当該感染端末が正規端末であるか否かを問わず即座に当該感染端末の通信を遮断することが必要とされる。なお、例えばネットワークへの接続が許可されていない端末を不正端末と称する。
【０００７】
ところで、正規端末のみをネットワークに接続可能とさせる技術として、検疫ネットワークと呼ばれる技術がある。この技術の例として、例えば以下に示す第１〜第４の方式が挙げられる。
【０００８】
第１の方式は、例えば８０２．１Ｘと呼ばれる認証プロトコルに対応したスイッチを用いて接続する端末のアクセスを制御する８０２．１Ｘ対応スイッチ方式である。この第１の方式の長所の１つとして、ネットワークに接続する端末自体に追加ソフトウェア等を必要としない点が挙げられる。一方、第１の方式の短所の１つとして、全てのスイッチ等の既存ネットワーク機器を８０２．１Ｘ対応の機器に置き換える必要がある点が挙げられる。
【０００９】
第２の方式は、例えばネットワークに接続される端末にファイアウォールソフトを入れ、ポリシーに即したアクセス制御を端末レベルで実施するパーソナルファイアウォール方式である。この第２の方式の長所の１つとして、例えばＷＥＢ、ＭＡＩＬ等のアプリケーションレベルで細かいアクセス制御を行うことができる点が挙げられる。一方、第２の方式の短所の１つとして、ネットワークに接続される端末全てに追加ソフトウェアが必要である点が挙げられる。
【００１０】
第３の方式は、例えば侵入検知装置または侵入防御装置を各ネットワークに配置し、不正な行為を検知または防御するＩＤＰ・ＩＤＳ方式である。この第３の方式の長所の１つとして、他の方式と比較して、高度な技術を用いた不正アクセスを検知または防御できる点が挙げられる。一方、第３の方式の短所の１つとして、正規端末か不正端末かの区別は、端末が不正行為を行わない限り発見することができない点が挙げられる。
【００１１】
第４の方式は、例えば予め正規端末の情報（ハードウェアアドレス、証明書等）を登録した認証サーバを用意し、端末が通信を行う際、認証を得られないと接続できないようにする正規端末登録（ＡＲＰ妨害方式、証明書認証）方式である。この第４の方式の長所の１つとして、ネットワークに接続される端末自体に追加ソフトウェア等を必要としない点が挙げられる。一方、第４の方式の短所の１つとして、事前に正規端末を全て登録する必要がある点が挙げられる。
【００１２】
例えば上記した第３の方式（ＩＤＰ・ＩＤＳ方式）を用いた技術として、不正アクセスに関わるパケットの転送を効率よく禁止する技術が開示されている（例えば、特許文献１を参照）。この技術によれば、コネクション識別情報記憶手段に不正アクセスに関わるパケットであると記憶されたコネクション識別情報を持つパケットを受信した場合、データ解析を行うことなく、直ちに不正アクセスに関わるパケットであることが判別される。
【００１３】
同様に、例えば上記した第３の方式を用いた技術として、例えばＩＤＳを利用したネットワークシステムにおいて、ＩＤＳを欺瞞させることを目的として、データ領域がオーバラップし、当該オーバラップ部分が運ぶデータが異なるパケットが送られてきた場合であっても、ＩＤＳが欺瞞されてしまう不都合を確実に防止できる技術が開示されている（例えば、特許文献２を参照）。
【００１４】
また、例えば上記した第４の方式（正規端末登録方式）を用いた技術として、通信端末のハードウェアの変更を行うことなく、不正端末が静的にＡＲＰテーブルを設定した場合でもアクセス制限を行う技術が開示されている（例えば、特許文献３を参照）。
【特許文献１】特開２００３−１７９６４７号公報
【特許文献２】特開２００２−３００２１９号公報
【特許文献３】特開２００４−１８５４９８号公報
【発明の開示】
【発明が解決しようとする課題】
【００１５】
ここで、上記した第１〜第４の方式が用いられたシステムにおいて、感染端末がネットワークに持ち込まれた（接続された）場合の各方式の課題について以下に述べる。
【００１６】
まず、第１の方式においては、感染端末がネットワークに持ち込まれた時点で、当該感染端末は正規のネットワークとＶＬＡＮ等で切り離されているので他の端末またはサーバへの感染を防ぐことは可能である。しかしながら、第１の方式においては、上記したように既存の全てのスイッチを同方式に対応したものにリプレースする必要がある。このため、実際の環境では導入が困難である。
【００１７】
第２の方式においては、ファイアウォールが入っていない感染端末が持ち込まれ、かつ、パーソナルファイアウォールで防御されていないサーバまたは端末がネットワークに存在した場合、ウィルス感染が拡大する。
【００１８】
第３の方式においては、例えば侵入検知装置または侵入防御装置が複数のネットワーク間に置かれるため、ネットワークを越えた感染を防ぐことは可能であるが、同一セグメント内の端末またはサーバへのウィルス感染を防ぐことはできない。
【００１９】
第４の方式においては、正規端末として予め登録した端末がウィルスに感染した場合は、ネットワークに接続されている他の端末へのウィルス感染を防ぐことはできない。しかしながら、この第４の方式は導入しやすいメリットがある。
【００２０】
本発明の目的は、ネットワーク増殖型ウィルスの２次感染の際の特徴を利用し、正規端末であるか否かを問わず、ネットワーク増殖型ウィルスの２次感染を防止するウィルス感染防止装置、ウィルス感染防止システム及びウィルス感染防止プログラムを提供することにある。
【課題を解決するための手段】
【００２１】
本発明の１つの態様によれば、パケットを通信可能なネットワークに接続されたウィルス感染防止装置が提供される。このウィルス感染防止装置は、前記ネットワークへの接続が許可されている正規端末を示す正規端末情報を予め格納する正規端末情報格納手段と、前記ネットワークに接続された送信元端末から送信された当該送信元端末を示す送信元端末情報及び当該送信元端末の通信相手となる通信相手端末を示す通信相手端末情報を含むＡＲＰ要求パケットを、前記ネットワーク上から収集する収集手段と、前記収集されたＡＲＰ要求パケットに含まれる通信相手端末情報によって示される通信相手端末が正規端末であるかを、前記正規端末情報格納手段に格納されている正規端末情報に基づいて判定する第１の判定手段と、前記収集されたＡＲＰ要求パケットに含まれる送信元端末情報に対応付けて、当該送信元端末情報が含まれるＡＲＰ要求パケットに含まれる通信相手端末情報によって示される通信相手端末が正規端末でないと前記第１の判定手段によって判定された回数を示す回数情報を格納する回数情報格納手段と、前記収集されたＡＲＰ要求パケットに含まれる送信元端末情報に対応付けて前記回数情報格納手段に格納されている回数情報によって示される回数が、予め定められた閾値以上であるかを判定する第２の判定手段と、前記第２の判定手段によって前記閾値以上であると判定された回数を示す回数情報に対応付けて前記回数情報格納手段に格納されている送信元端末情報によって示される送信元端末に対して、当該送信元端末情報を含む前記ＡＲＰ要求パケットに含まれる通信相手端末情報によって示される通信相手端末のＭＡＣアドレスとは異なるＭＡＣアドレスを含むＡＲＰ応答パケットを送信する送信手段とを具備する。
【発明の効果】
【００２２】
本発明によれば、ネットワーク増殖型ウィルスの２次感染の際の特徴を利用し、正規端末であるか否かを問わず、ネットワーク増殖型ウィルスの２次感染を防止することを可能とする。
【発明を実施するための最良の形態】
【００２３】
以下、図面を参照して、本発明の実施形態について説明する。
【００２４】
図１は、本実施形態に係るウィルス感染防止装置が接続されるネットワークシステムについて説明するための図である。
【００２５】
図１に示すように、複数の端末はネットワーク３０と接続されている。ネットワーク３０は、例えばＬＡＮ（Local Area Network）のようなパケットを通信可能なネットワークである。複数の端末は、端末２１及び端末２２を含む。なお、図１には端末２１及び端末２２以外の端末は省略されている。
【００２６】
ネットワーク３０には、コンピュータ１０が接続されている。コンピュータ１０は、例えばハードディスクドライブのような外部記憶装置４０と接続されている。この外部記憶装置４０は、コンピュータ１０によって実行されるプログラム４１を格納する。コンピュータ１０及び外部記憶装置４０はウィルス感染防止装置５０を構成する。
【００２７】
ここで、図２を参照して、例えばネットワーク増殖型ウィルス（以下、単にウィルスと表記）に感染している端末（以下、感染端末と表記）が上記したネットワーク３０に接続された際の当該感染端末の動作について説明する。
【００２８】
図２に示すように、ネットワーク３０には、例えば端末２１、端末２２、端末２３、ウィルス感染防止装置５０及び端末２４が接続されているものとする。以下、図２においては端末２４が感染端末であるものとし、端末２４を感染端末２４として説明する。
【００２９】
例えば感染端末２４がネットワーク３０に接続されると、当該感染端末２４は、ウィルスの感染対象となる端末を探すため、例えばランダムまたはシーケンシャルにＩＰ（Internet Protocol）アドレスを選択し、当該選択されたＩＰアドレスの各々を含むＡＲＰ（Address Resolution Protocol）要求（ARP Request）パケットを送信する。
【００３０】
ここで、ＡＲＰ要求パケットは、例えばＡＲＰ要求パケットの送信元となる端末（以下、送信元端末と表記）の通信相手（送信先）となる端末（以下、通信相手端末と表記）のＩＰアドレスから、当該通信相手端末のＭＡＣ（Media Access Control）アドレスを取得するために用いられる。また、ＡＲＰ要求パケットは、例えばネットワーク３０に接続される全ての端末等（ウィルス感染防止装置５０を含む）に送信されるブロードキャストパケットである。ＡＲＰ要求パケットには、送信元端末を示す送信元端末情報及び通信相手端末を示す通信相手端末情報が含まれる。送信元端末情報には、例えば送信元端末に割り当てられているＩＰアドレス及び当該送信元端末を特定するＭＡＣアドレスが含まれる。また、通信相手端末情報には、例えば通信相手端末に割り当てられているＩＰアドレスが含まれる。
【００３１】
ここで、ＡＲＰ要求パケットがブロードキャストにより送信元端末から送信された場合を想定する。この場合、送信元端末から送信されたＡＲＰ要求パケットに含まれる通信相手端末情報に含まれるＩＰアドレスが割り当てられている通信相手端末は、当該ＡＲＰ要求パケットに対する応答として、当該通信相手端末自身のＭＡＣアドレスを含むＡＲＰ応答（ARP Reply）パケットを発信元端末に対して送信する。このＡＲＰ応答パケットを受信することにより、発信元端末は、通信相手端末のＭＡＣアドレスを取得する。これにより発信元端末は、通信相手端末との通信が可能となる。
【００３２】
なお、このＡＲＰ応答パケットは、例えばＡＲＰ要求パケットを送信した送信元端末を指定して送信されるユニキャストパケットである。ＡＲＰ応答パケットには、例えば当該ＡＲＰ応答パケットを送信する端末（ＡＲＰ要求パケットにおける通信相手端末）のＭＡＣアドレス及びＩＰアドレスと、当該ＡＲＰ応答パケットの送信先となる端末（ＡＲＰ要求パケットにおける送信元端末）のＭＡＣアドレス及びＩＰアドレスとが含まれる。
【００３３】
さて、例えば感染端末２４によってＡＲＰ要求パケットが送信された場合を想定する。この場合、このＡＲＰ要求パケットには、送信元端末情報として感染端末２４のＩＰアドレス及びＭＡＣアドレスと、通信相手端末情報として例えばランダムまたはシーケンシャルに選択されたＩＰアドレスとが含まれている。
【００３４】
感染端末２４から送信されたＡＲＰ要求パケットの１つに例えば端末２１に割り当てられているＩＰアドレスが含まれているものとする。この場合、端末２１は、ＡＲＰ要求パケットを受信すると、当該ＡＲＰ要求パケットに対する応答として、自身のＭＡＣアドレスを含むＡＲＰ応答パケットを感染端末２４に送信する。感染端末２４は、このＡＲＰ応答パケットを受信することによって、端末２１のＭＡＣアドレスを取得する。これにより、感染端末２４は、端末２１との通信が可能となる。その後、感染端末２４が、例えばウィルスを含むパケットを端末２１に送信し、当該パケットを端末２１が受信した場合には、当該端末２１はウィルスに感染（２次感染）する。このような処理がネットワーク３０に接続されている端末２２及び端末２３等を含む複数の端末に対して実行されることによって、感染端末２４によるウィルスの２次感染はネットワーク３０内において拡大する。なお、感染端末２４は、ランダムまたはシーケンシャルにＩＰアドレスを選択しているため、上記したネットワーク３０に存在する端末（例えば端末２１、２２及び２３）に割り当てられているＩＰアドレスだけではなく、例えばネットワーク３０に存在しない（ＡＲＰ応答パケットが返されない）ＩＰアドレス（通信相手端末情報）を含むＡＲＰ要求パケットも多数送信する。
【００３５】
図３は、図１に示されるウィルス感染防止装置５０の主として機能構成を示すブロック図である。ウィルス感染防止装置５０は、ネットワーク監視部５１、端末判定部５２及び通信妨害部５３を有する。本実施形態において、これらの各部５１乃至５３は、図１に示されるコンピュータ１０が外部記憶装置４０に格納されているプログラム４１を実行することにより実現されるものとする。このプログラム４１は、コンピュータ読取可能な記憶媒体に予め格納して頒布可能である。また、このプログラム４１が、ネットワーク３０を介してコンピュータ１０にダウンロードされても構わない。
【００３６】
また、ウィルス感染防止装置５０は、端末情報管理データベース（ＤＢ）４２及び不正ＡＲＰ回数管理データベース（ＤＢ）４３を含む。本実施形態において、この情報管理データベース４２及び不正ＡＲＰ回数管理データベース４３は例えば外部記憶装置４０に格納される。
【００３７】
ネットワーク監視部５１は、例えばウィルス感染防止装置５０が接続されているネットワーク３０を監視する。ネットワーク監視部５１は、例えばネットワーク３０上の複数のＡＲＰ要求パケットを収集する。このＡＲＰ要求パケットは、例えばネットワーク３０に接続されている端末から送信されたブロードキャストパケットである。また、このＡＲＰ要求パケットには、当該ＡＲＰ要求パケットを送信した送信元端末を示す送信元端末情報及び当該送信元端末の通信相手となる通信相手端末を示す通信相手端末情報が含まれる。上記したように、送信元端末情報には送信元端末のＩＰアドレス及びＭＡＣアドレスが含まれており、通信相手端末情報には通信相手端末のＩＰアドレスが含まれている。
【００３８】
端末情報管理データベース４２には、例えばネットワーク３０への接続が許可されている（ネットワーク３０に存在する）端末（以下、正規端末と表記）を示す正規端末情報が予め格納（登録）されている。この正規端末情報には、例えば正規端末である端末のＭＡＣアドレス及びＩＰアドレスが含まれる。正規端末情報は、例えばウィルス感染防止装置５０の管理者によって格納（登録）される。なお、例えばネットワーク３０への接続が許可されていない端末を不正端末とする。
【００３９】
端末判定部５２は、ネットワーク監視部５１によって収集されたＡＲＰ要求パケットに含まれる送信元端末情報（送信元端末のＭＡＣアドレス）を取得する。端末判定部５２は、取得された送信元端末情報及び不正ＡＲＰ回数管理データベース４３に格納されている妨害フラグ（後述する）に応じて、当該送信元端末情報によって示される送信元端末の通信が妨害中であるか否かを判定する。また、端末判定部５２は、ネットワーク監視部５１によって収集されたＡＲＰ要求パケットに含まれる通信相手端末情報（通信相手端末のＩＰアドレス）を取得する。端末判定部５２は、取得された通信相手端末情報によって示される通信相手端末が正規端末であるか否かを、端末情報管理データベース４２に格納されている正規端末情報に基づいて判定する。なお、端末判定部５２は、例えば取得された通信相手端末情報に含まれるＩＰアドレスが端末情報管理データベース４２に存在するか否かに応じて判定する。
【００４０】
不正ＡＲＰ回数管理データベース４３には、ネットワーク監視部５１によって収集されたＡＲＰ要求パケットに含まれる送信元端末情報に対応付けて、当該送信元端末情報が含まれる当該ＡＲＰ要求パケットに含まれる通信相手端末情報によって示される通信相手端末が正規端末でないと判定された回数を示す回数情報が格納される。換言すると、不正ＡＲＰ回数管理データベース４３には、通信相手端末情報として正規端末でない端末のＩＰアドレス（端末情報管理データベース４２に存在しないＩＰアドレス）を含むＡＲＰ要求パケットを送信した回数（を示す情報）が、送信元端末毎に格納される。また、不正ＡＲＰ回数管理データベース４３には、送信元端末情報及び回数情報に対応付けて妨害フラグが格納されている。
【００４１】
端末判定部５２は、不正ＡＲＰ回数管理データベース４３を参照して、取得された送信元端末情報に対応付けて格納されている回数情報によって示される回数が、例えば管理者によって予め定められている閾値以上であるか否かを判定する。
【００４２】
通信妨害部５３は、端末判定部５２によって取得された通信相手端末情報によって示される通信相手端末のＭＡＣアドレスとは異なるＭＡＣアドレスを含むＡＲＰ応答パケットを、端末判定部５２によって取得された送信元端末情報によって示される送信元端末に対して送信する。つまり、通信妨害部５３は、通信相手端末情報に含まれるＩＰアドレスが割り当てられている端末に成りすまし、送信元端末に対してＡＲＰ応答パケットを送信する。なお、上記した通信相手端末のＭＡＣアドレスとは異なるＭＡＣアドレスとは、例えばネットワーク３０上に存在しない（架空の）ＭＡＣアドレスまたはウィルス感染防止装置５０自身のＭＡＣアドレス等を含む。このＡＲＰ応答パケットを受信した送信元端末は、例えば通信妨害部５３によって送信された架空のＭＡＣアドレスを通信相手端末のＭＡＣアドレスであると認識するため、当該通信相手端末とは通信することができない。
【００４３】
図４は、端末情報管理データベース４２のデータ構造の一例を示す。図４に示すように、端末情報管理データベース４２には、正規端末のＭＡＣアドレス及びＩＰアドレス（を含む正規端末情報）が格納されている。
【００４４】
図４に示す例では、端末情報管理データベース４２には、ＭＡＣアドレス「XX-XX-XX-XX-XX-X1」及びＩＰアドレス「ZZZ.ZZZ.ZZZ.ZZ1」を含む正規端末情報が格納されている。また、同様に、ＭＡＣアドレス「XX-XX-XX-XX-XX-X2」及びＩＰアドレス「ZZZ.ZZZ.ZZZ.ZZ2」を含む正規端末情報、ＭＡＣアドレス「XX-XX-XX-XX-XX-X3」及びＩＰアドレス「ZZZ.ZZZ.ZZZ.ZZ3」を含む正規端末情報が格納されている。
【００４５】
図５は、不正ＡＲＰ回数管理データベース４３のデータ構造の一例を示す。図５に示すように、不正ＡＲＰ回数管理データベース４３には、送信元端末のＭＡＣアドレス、正規端末でない端末のＩＰアドレス（端末情報管理データベース４２に存在しないＩＰアドレス）を含むＡＲＰ要求を送信した回数を示す回数情報及び妨害フラグが格納されている。
【００４６】
ここで、妨害フラグは、当該妨害フラグに対応付けられているＭＡＣアドレスによって示される送信元端末の通信が妨害されているか否かを示す。例えば妨害フラグが「０」である場合には、当該妨害フラグに対応付けられているＭＡＣアドレスによって示される送信元端末の通信は妨害されていないことを示す。一方、妨害フラグが「１」である場合には、当該妨害フラグに対応付けられているＭＡＣアドレスによって示される送信元端末の通信が妨害されていることを示す。
【００４７】
図５に示す例では、ＭＡＣアドレス「XX-XX-XX-XX-XX-X4」、回数情報「Ｘ回」及び妨害フラグ「０」が対応付けて格納されている。つまり、ＭＡＣアドレスが「XX-XX-XX-XX-XX-X4」である送信元端末の通信は、妨害されていないことが示される。同様に、ＭＡＣアドレス「XX-XX-XX-XX-XX-X5」、回数情報「Ｙ回」及び妨害フラグ「１」が対応付けて格納されており、ＭＡＣアドレスが「XX-XX-XX-XX-XX-X5」である送信元端末の通信は、妨害されていることが示される。
【００４８】
次に、図６のフローチャートを参照して、ウィルス感染防止装置５０の処理手順について説明する。
【００４９】
まず、ネットワーク監視部５１は、ネットワーク３０上のＡＲＰ要求パケットを収集する（ステップＳ１）。上記したようにＡＲＰ要求パケットは、ブロードキャストパケットである。また、ＡＲＰ要求パケットには、当該ＡＲＰ要求パケットを送信した送信元端末のＭＡＣアドレス及びＩＰアドレス（送信元端末情報）と、当該送信元端末の通信相手となる通信相手端末のＩＰアドレス（通信相手端末情報）とが含まれる。
【００５０】
次に、端末判定部５２は、ネットワーク監視部５１によって収集されたＡＲＰ要求パケットに含まれる送信元端末のＭＡＣアドレスを取得する（ステップＳ２）。
【００５１】
端末判定部５２は、取得されたＭＡＣアドレスによって示される送信元端末の通信が妨害中であるか否かを判定する（ステップＳ３）。端末判定部５２は、取得されたＭＡＣアドレスに対応付けて不正ＡＲＰ回数管理データベース４３に格納されている妨害フラグに基づいて判定する。端末判定部５２は、例えば妨害フラグが「０」であれば妨害中でないと判定し、妨害フラグが「１」であれば妨害中であると判定する。
【００５２】
送信元端末の通信が妨害中でないと判定された場合（ステップＳ３のＮＯ）、端末判定部５２は、ネットワーク監視部５１によって収集されたＡＲＰ要求パケットに含まれる通信相手端末のＩＰアドレスを取得する（ステップＳ４）。
【００５３】
端末判定部５２は、取得されたＩＰアドレスが端末情報管理データベース４２に存在する（格納されている）か否かを判定する（ステップＳ５）。つまり、端末判定部５２は、ネットワーク監視部５１によって収集されたＡＲＰ要求パケットを送信した送信元端末が正規端末のＩＰアドレスを含むＡＲＰ要求パケットを送信したか否かを判定する。
【００５４】
端末情報管理データベース４２に存在しないと判定された場合（ステップＳ５のＮＯ）、端末判定部５２は、ステップＳ２において取得されたＭＡＣアドレスに対応付けて不正ＡＲＰ回数管理データベース４３に格納されている回数情報によって示される回数を例えば「１」増加させる（ステップＳ６）。上記した図５の例を用いて説明すると、例えばステップＳ２において取得されたＭＡＣアドレスが「XX-XX-XX-XX-XX-X4」である場合、当該「XX-XX-XX-XX-XX-X4」に対応付けられている回数情報によって示される回数「Ｘ回」を「Ｘ＋１回」に増加させる。
【００５５】
次に、端末判定部５２は、不正ＡＲＰ回数管理データベース４３を参照して、ステップＳ２において取得されたＭＡＣアドレスに対応付けられている回数情報によって示される回数が閾値以上であるか否かを判定する（ステップＳ７）。この閾値は、例えばウィルス感染防止装置５０の管理者によって予め定められた値である。
【００５６】
閾値以上であると判定された場合（ステップＳ７のＹＥＳ）、端末判定部５２は、ステップＳ２において取得されたＭＡＣアドレスに対応付けて不正ＡＲＰ回数管理データベース４３に格納されている妨害フラグを例えば「０」から「１」に書き換える（ステップＳ８）。上述したように、感染端末は、ランダムまたはシーケンシャルにＩＰアドレスを選択するため、例えば端末情報管理データベース４２に存在しないＩＰアドレスを含むＡＲＰ要求パケットを多数送信する特徴がある。したがって、端末情報管理データベース４２に存在しないＩＰアドレスを含むＡＲＰ要求パケットを閾値以上の回数送信した送信元端末を例えばネットワーク増殖型ウィルスに感染した端末であるものとみなし、その通信を妨害する。
【００５７】
通信妨害部５３は、ステップＳ４において取得されたＩＰアドレスが割り当てられている通信相手端末のＭＡＣアドレスとは異なるＭＡＣアドレスを含むＡＲＰ応答パケットを、感染端末とみなされた送信元端末に対して送信する（ステップＳ９）。つまり、通信妨害部５３は、ステップＳ４において取得されたＩＰアドレスが割り当てられている端末に成りすまし、送信元端末に対してＡＲＰ応答パケットを送信する。なお、通信相手端末のＭＡＣアドレスとは異なるＭＡＣアドレスとは、例えばネットワーク３０上に存在しないＭＡＣアドレスまたはウィルス感染防止装置５０自身のＭＡＣアドレスである。
【００５８】
これにより、感染端末とみなされた送信元端末は、通信妨害部５３によって送信されたＡＲＰ応答パケットに含まれるＭＡＣアドレスに基づいて通信を実行しようとしても、当該ＭＡＣアドレスは例えばネットワーク３０に接続される端末のＭＡＣアドレスではないため通信することはできない。
【００５９】
一方、ステップＳ３において送信元端末の通信が妨害中であると判定された場合、ステップＳ９の処理が実行される。
【００６０】
また、ステップＳ５において端末情報管理データベース４２に存在すると判定された場合、ステップＳ１に戻って処理が繰り返される。
【００６１】
また、ステップＳ７において閾値以上でないと判定された場合についても同様に、ステップＳ１に戻って処理が繰り返される。
【００６２】
なお、上記したような処理において感染端末とみなされた送信元端末が、例えば更にＡＲＰ要求パケットを送信した場合、当該送信元端末のＭＡＣアドレスに対応付けて不正ＡＲＰ回数管理データベース４３に格納されている妨害装置が「１」に書き換えられているので、上記したステップＳ３の処理において当該送信元端末は妨害中であると判定され、引き続き通信は妨害されるため、ウィルスの２次感染は防止される。
【００６３】
上記したように本実施形態においては、端末情報管理データベース４２に存在しないＩＰアドレスを含むＡＲＰ要求パケットを送信する回数を、送信元端末毎に管理する。これにより、端末情報管理データベース４２に存在しないＩＰアドレスを含むＡＲＰ要求パケットを多数送信するという感染端末の特徴が見られる端末を感染端末とみなし、当該端末からのウィルスの２次感染を防止することが可能となる。
【００６４】
なお、本実施形態においては、端末情報管理データベース４２に格納されている正規端末情報は、例えばウィルス感染防止装置５０の管理者によって登録されるものとして説明したが、例えばPingを用いることによって、ウィルス感染防止装置５０が自らネットワーク３０に接続されている端末の情報（ＩＰアドレス等）を能動的に収集し、端末情報管理データベース４２に格納する構成であっても構わない。この場合、例えば通信相手端末を示すＩＰアドレスとして任意のＩＰアドレスが設定された（任意のＩＰアドレスを含む）通信相手端末情報を含むデータ（パケット）が送信され、当該データに対する応答（返信）があった場合には、当該ＩＰアドレスを含む通信相手端末情報が正規端末情報として登録（格納）される。つまり、応答があった端末が正規端末として登録される。このような構成にすることで、例えば管理者が予め登録作業を行うことなく情報を収集することが可能であるため、管理者による登録忘れまたは誤設定等を防ぐことが可能となる。
【００６５】
［第１の変形例］
次に、図７を参照して、本実施形態の第１の変形例について説明する。なお、本変形例に係るウィルス感染防止装置の構成については、前述した本実施形態に係るウィルス感染防止装置５０と同様の構成であるので、図１及び図３を用いて説明する。
【００６６】
本変形例においては、前述した本実施形態とは異なり、ＡＲＰ要求パケットを送出した送信元端末がネットワーク３０への接続が許可されている正規端末でない場合においても、当該送信元端末の通信が妨害される。
【００６７】
図７のフローチャートを参照して、本変形例に係るウィルス感染防止装置５０の処理手順について説明する。
【００６８】
まず、前述した図６のフローチャートのステップＳ１〜ステップＳ３に相当するステップＳ１１〜ステップＳ１３の処理が実行される。
【００６９】
次に、送信元端末の通信が妨害中でないと判定された場合（ステップＳ１３のＮＯ）、端末判定部５２は、当該送信元端末が正規端末であるか否かを判定する（ステップＳ１４）。端末判定部５２は、ステップＳ１２において取得された送信元端末のＭＡＣアドレスが端末情報管理データベース４２に存在するか否かに応じて、判定処理を実行する。端末情報管理データベース４２に送信元端末のＭＡＣアドレスが存在する場合、当該送信元端末が正規端末であると判定される。一方、端末情報管理データベース４２に送信元端末のＭＡＣアドレスが存在しない場合、当該送信元端末が正規端末でないと判定される。
【００７０】
端末判定部５２によって送信元端末が正規端末であると判定された場合（ステップＳ１４のＹＥＳ）、前述した図６のフローチャートのステップＳ４〜ステップＳ９に相当するステップＳ１５〜ステップＳ２０の処理が実行される。
【００７１】
一方、ステップＳ１４において送信元端末が正規端末でないと判定された場合、ステップＳ２０の処理が実行される。これにより、正規端末でないと判定された送信元端末の通信は妨害される。
【００７２】
上記したように本変形例においては、端末情報管理データベース４２に格納されている正規端末情報に基づいて、ＡＲＰ要求パケットを送信した送信元端末が正規端末であるか否かを判定する。これにより、感染端末とみなされた送信元端末だけでなく、ネットワーク３０への接続が許可されていない不正端末の通信も防止することが可能となる。
【００７３】
［第２の変形例］
次に、図９を参照して、本実施形態の第２の変形例について説明する。図９は、本変形例に係るウィルス感染防止装置６０の主として機能構成を示すブロック図である。なお、図３と同様の部分には同一参照符号を付してその詳しい説明を省略する。ここでは、図３と異なる部分について主に述べる。
【００７４】
ウィルス感染防止装置６０は、通信妨害部６１を含む。本変形例において、通信妨害部６１は、図１に示されるコンピュータ１０が外部記憶装置４０に格納されているプログラム４１を実行することにより実現されるものとする。また、ウィルス感染防止装置６０は、ウィルスパターンデータベース（ＤＢ）４４を含む。本変形例において、ウィルスパターンデータベース４４は、図１の外部記憶装置４０に格納される。
【００７５】
通信妨害部６１は、不正ＡＲＰ回数データベース４３に格納されている回数情報によって示される回数が閾値以上であると判定された端末（感染端末）に対して、ウィルス感染防止装置５０のＭＡＣアドレスを含むＡＲＰ応答パケットを送信する。通信妨害部６１は、送信されたＡＲＰ応答パケットに含まれるウィルス感染防止装置５０のＭＡＣアドレスを用いて、感染端末から送信される接続要求等に対して、例えば当該端末及びウィルス感染防止装置５０の間にセッションを張るための通信を実行する。また、通信妨害部６１は、セッションが張られた後に、感染端末から送信されたデータ（パケット）を解析することにより、当該データ（の内容）をチェックする。通信妨害部６１は、データをチェックした結果、当該データにウィルスが含まれているか否かを、ウィルスパターンデータベース４４を参照して判定する。
【００７６】
ウィルスパターンデータベース４４には、例えば複数種類のウィルスの各々に見られるウィルスパターンを示すウィルスパターン情報が記録（格納）されている。なお、ウィルスパターンは、一般的に、クライアント端末用またはサーバ用で異なる場合がある。このため、事前に、ウィルス感染防止装置６０内において、例えば正規端末毎に、当該端末の用途パラメータ（クライアント端末であるかサーバであるか）が登録されている構成であるとよい。この場合、用途パラメータは、例えば正規端末毎に対応付けて端末情報管理データベース４２に格納される。
【００７７】
次に、図９のシーケンスチャートを参照して、ウィルス感染防止装置６０の処理手順について説明する。
【００７８】
まず、例えば端末２４は、ネットワーク３０上にＡＲＰ要求パケットを送信する（ステップＳ３１）。なお、端末２４によって送信されたＡＲＰ要求パケットに含まれるＩＰアドレス（通信相手端末のＩＰアドレス）は、端末情報管理データベース４２に存在しないＩＰアドレスであるものとする。
【００７９】
ウィルス感染防止装置６０は、端末２４によって送信されたＡＲＰ要求パケットをネットワーク３０上から収集する。この後、例えば前述した図６に示す処理が実行されたものとする。また、この処理によって、端末２４は、感染端末であるものとみなされたものとする。
【００８０】
この場合、ウィルス感染防止装置６０の通信妨害部６１は、ウィルス感染防止装置６０のＭＡＣアドレスを含むＡＲＰ応答パケットを端末２４に対して送信する（ステップＳ３２）。つまり、通信妨害部６１は、端末２４によって送信されたＡＲＰ要求パケットに含まれるＩＰアドレスが割り当てられている端末（通信相手端末）に成りすまして、応答する。
【００８１】
ウィルス感染防止装置６０（通信妨害部６１）によって送信されたＡＲＰ応答パケットを受信した端末２４は、当該ＡＲＰ応答パケットに含まれるウィルス感染防止装置６０のＭＡＣアドレスを用いて、当該ウィルス感染防止装置６０と例えばＴＣＰ（Transmission Control Protocol）のセッションを張る（設定する）ために、例えばＳＹＮ（Synchronize）フラグがセットされたパケットを送信する（ステップＳ３３）。これにより、端末２４は、通信相手（ここでは、ウィルス感染防止装置６０）に対してＴＣＰセッションの確立を要求する。
【００８２】
端末２４によって送信されたパケットは、ウィルス感染防止装置６０のＭＡＣアドレスを用いて送信されているため、ウィルス感染防止装置６０によって受信される。端末２４によって送信されたパケットが受信されると、通信妨害部６１は、当該受信されたパケットに対する応答として例えばＳＹＮ／ＡＣＫ（Acknowledgement）フラグがセットされたパケットを端末２４に対して送信する（ステップＳ３４）。
【００８３】
端末２４は、ウィルス感染防止装置６０によって送信されたパケットを受信すると、例えばＡＣＫフラグがセットされたパケットをウィルス感染防止装置６０に対して送信する（ステップＳ３５）。
【００８４】
上記したような処理により、端末２４及びウィルス感染防止装置６０の間で、ＴＣＰセッション（コネクション）が確立される。これにより、端末２４及びウィルス感染防止装置６０間で、データのやり取りが実行される。
【００８５】
ここで、端末２４により、ウィルス感染防止装置６０に対してデータが送信されたものとする（ステップＳ３６）。
【００８６】
ウィルス感染防止装置６０は、端末２４により送信されたデータを受信する。このとき、ウィルス感染防止装置６０の通信妨害部６１は、受信されたデータを解析する。通信妨害部６１は、解析結果により、受信されたデータに例えばウィルスが含まれているかチェックする（ステップＳ３７）。通信妨害部６１は、ウィルスパターンデータベース４４に格納されているウィルスパターン情報に基づいて、受信されたデータにウィルス感染に見られるパターンが含まれるか否かを判定する。
【００８７】
通信妨害部６１による判定結果は、例えばウィルス感染防止装置６０の管理者等に通知される。例えば通知された結果に応じて、端末２４に対する妨害処理の停止または継続等が、管理者によって判断される。
【００８８】
なお、通信妨害部６１によってデータにウィルスパターンが見られない（含まれない）と判定された場合、端末２４に対する通信の妨害処理を停止する構成であってもよい。一方、ウィルスパターンが見られる場合には、引き続きＡＲＰレベルで妨害動作が実行される構成であってもよい。
【００８９】
上記したように本変形例においては、感染端末とみなされた端末２４と例えばＴＣＰセッションを確立し、当該端末２４から送信されるデータをチェックすることで、より正確にネットワーク増殖型ウィルスに感染された端末の妨害動作を行うことが可能となる。
【００９０】
また、例えば正規端末がクライアント端末であるかサーバであるかを示す用途パラメータを登録しておく構成とすることで、効率よくウィルスを発見することが可能となる。
【００９１】
なお、本変形例では、ＴＣＰの通信について説明したが、例えばＵＤＰ（User Datagram Protocol）の通信であっても同様である。しかしながら、ＵＤＰの通信の場合は、ＴＣＰの通信とは異なり、すぐにデータが送信されるので、当該送信されたデータの内容がチェックされる。
【００９２】
また、本変形例では、ウィルスパターンデータベース４４を備える構成であるものとして説明したが、ウィルス感染防止装置６０とは異なる例えばウィルス検知用サーバと連携し、当該ウィルス検知用サーバに含まれるウィルスパターンデータベースを用いる構成であっても構わない。
【００９３】
［第３の変形例］
次に、図１０を参照して、本実施形態の第３の変形例について説明する。なお、本変形例で用いられるウィルス感染防止装置の構成については、前述した本実施形態に係るウィルス感染防止装置５０と同様の構成であるので、図１及び図３を用いて説明する。以下の各変形例についても同様にして図１及び図３を用いて説明する。
【００９４】
図１０は、本変形例に係るウィルス感染防止システムが接続されるネットワークシステムについて説明するための図である。
【００９５】
本変形例に係るウィルス感染防止システムは、ウィルス感染防止装置５０１及び５０２を含む。このウィルス感染防止装置５０１及び５０２は、前述した本実施形態で説明したウィルス感染防止装置５０と同様の構成である。なお、ウィルス感染防止装置５０１及び５０２は、前述した第１の変形例または第２の変形例に係るウィルス感染防止装置５０と同様の構成であっても構わない。
【００９６】
本変形例においては、ウィルス感染防止装置５０１及び５０２に含まれる不正ＡＲＰ回数管理データベース４３間では、互いに同期がとられている。また、ウィルス感染防止装置５０１及び５０２は、例えば同期を取るために必要とされる、互いのＩＰアドレスまたはＭＡＣアドレス等の情報を当該ウィルス感染防止装置５０１及び５０２に備えられている外部記憶装置等の記憶領域に保持する。
【００９７】
図１０に示すように、ウィルス感染防止装置５０１は、ネットワーク３１に接続されている。また、ウィルス感染防止装置５０２は、ネットワーク３１とは異なるネットワーク３２に接続されている。また、ネットワーク３１及びネットワーク３２は、例えばルータ１００を介して接続されている。また、ネットワーク３２には、例えば端末２４が接続されているものとする。
【００９８】
ここで、図１１のシーケンスチャートを参照して、ネットワーク３２に接続されている端末２４が、例えばネットワーク３１に接続されている端末に対してＡＲＰ要求パケット（接続要求）を送信した場合のウィルス感染防止システムの処理手順について説明する。なお、ネットワーク３２に接続されている端末２４は、通信は妨害されていないものとする。
【００９９】
例えば端末２４によってネットワーク３１に存在しないＩＰアドレス（通信相手端末情報）を含むＡＲＰ要求パケットが送信された場合を想定する。このＡＲＰ要求パケットは、ブロードキャストパケットである。このＡＲＰ要求パケットには、端末２４のＭＡＣアドレス及びＩＰアドレス（送信元端末情報）が含まれている。
【０１００】
端末２４によって送信されたＡＲＰ要求パケットは、ネットワーク３１及びネットワーク３２を接続するルータ１００によって受信される（ステップＳ４１）。このとき、ルータ１００は、端末２４によって送信されたＡＲＰ要求パケットに対して代理応答する。ルータ１００は、端末２４によって送信されたＡＲＰ要求パケットをネットワーク３１側に送信する（ステップＳ４２）。このルータ１００から送信されるＡＲＰ要求パケットは、ブロードキャストパケットである。また、このＡＲＰ要求パケットには、ルータ１００のＭＡＣアドレス、端末２４のＩＰアドレス及びネットワーク３１に存在しないＩＰアドレスが含まれている。
【０１０１】
なお、端末２４によって送信されたＡＲＰ要求パケットは、ネットワーク３２に接続されているウィルス感染防止装置５０２によっても受信されるが、当該ウィルス感染防止装置５０２は、当該ＡＲＰ要求パケットに含まれるＩＰアドレスがネットワーク３１内に存在するＩＰアドレスであるか否かを知ることはできない。
【０１０２】
ルータ１００から送信されたＡＲＰ要求パケットは、ブロードキャストにより送信されているため、ネットワーク３１に接続されているウィルス感染防止装置５０１によって収集される（ステップＳ４３）。このとき、収集されたＡＲＰ要求パケットに含まれるＩＰアドレスは、ネットワーク３２に存在しないＩＰアドレスである。
【０１０３】
次に、前述した図６のステップＳ２〜Ｓ８の処理に相当する処理（感染端末判定処理）が実行される（ステップＳ４４）。ここで、ウィルス感染防止装置５０１によって収集されたＡＲＰ要求パケットに含まれるＩＰアドレスは、ネットワーク３２に存在しないＩＰアドレスである。このため、ウィルス感染防止装置５０１の不正ＡＲＰ回数管理データベースに格納されている回数情報によって示される回数が増加される。つまり、不正ＡＲＰ回数管理データベース内の情報が更新される。
【０１０４】
このとき、ネットワーク３１に接続されているウィルス感染防止装置５０１は、例えば端末２４のＩＰアドレス及び上記した予め保持されているウィルス感染防止装置５０２のＩＰアドレスに応じて、端末２４が接続されているネットワークと同一のネットワーク（ここではネットワーク３２）に接続されているウィルス感染防止装置（ここではウィルス感染防止装置５０２）を特定する（ステップＳ４５）。ウィルス感染防止装置５０１は、当該ウィルス感染防止装置５０１の不正ＡＲＰ回数管理データベース４３が更新された内容（更新内容）を、ルータ１００を介して特定されたウィルス感染防止装置５０２に送信する（ステップＳ４６、４７）。このとき、ウィルス感染防止装置５０１は、例えば予め保持されているウィルス感染防止装置５０２のＩＰアドレスまたはＭＡＣアドレスに応じて送信する。なお、上記した感染端末判定処理において、端末２４に対応付けられている回数情報によって示される回数が閾値以上となった場合には、ウィルス感染防止装置５０１は、その旨をウィルス感染防止装置５０２に通知する。
【０１０５】
ウィルス感染防止装置５０１によって送信された不正ＡＲＰ回数管理データベース４３の更新内容は、ウィルス感染防止装置５０２によって受信される。ウィルス感染防止装置５０２は、受信された更新内容に応じて、当該ウィルス感染防止装置５０に含まれる不正ＡＲＰ回数管理データベース４３を更新する。
【０１０６】
ここで、ウィルス感染防止装置５０１による端末２４に対応付けられている回数情報によって示される回数が閾値以上である旨の通知がある場合には、ウィルス感染防止装置５０２は、当該端末２４の通信を妨害する。この妨害処理については、前述した図６のステップＳ９の処理と同様である。
【０１０７】
上記したように本変形例においては、例えば端末２４が接続されているネットワーク３２以外のネットワーク（例えばネットワーク３１）に存在しないＩＰアドレスを含むＡＲＰ要求パケットが送信された場合であっても、ウィルス感染防止装置５０１及び５０２の不正ＡＲＰ回数管理データベース間で互いに同期がとられているため、その回数を管理することができる。これにより、端末２４が接続されているネットワーク３２以外のネットワーク３１に送信された当該ネットワーク３１に存在しないＩＰアドレスを含むＡＲＰ要求パケットの回数が閾値以上となった場合には、当該端末２４の通信を妨害することが可能となる。
【０１０８】
なお、本変形例では、ネットワーク３２に接続された感染端末２４によってネットワーク３２からネットワーク３１にＡＲＰ要求パケットが送信された場合について説明したが、逆に、ネットワーク３１に接続された端末からネットワーク３２にＡＲＰ要求パケットが送信された場合についても同様である。
【０１０９】
また、本変形例では、ネットワーク３１及びネットワーク３２の２つのネットワークにそれぞれウィルス感染防止装置がそれぞれ接続されているものとして説明したが、３以上の異なるネットワークのそれぞれにウィルス感染防止装置が接続されている場合であっても、上記した本変形例と同様にして実現することは可能である。
【０１１０】
［第４の変形例］
次に、図１２を参照して、本実施形態の第４の変形例について説明する。図１２は、本変形例に係るウィルス感染防止システムが接続されるネットワークシステムについて説明するための図である。なお、図１０と同様の部分には同一参照符号を付してその詳しい説明を省略する。ここでは、図１０と異なる部分について主に述べる。
【０１１１】
本変形例に係るウィルス感染防止システムは、上記した第３の変形例に係るウィルス感染防止システムとは異なり、ウィルス感染防止装置５０１及び５０２に加えて中央管理装置７０が設けられている。なお、ウィルス感染防止装置５０１及び５０２の各々は、上記した第３の変形例とは異なり、端末情報管理データベース及び不正ＡＲＰ回数管理データベースを備えていない。
【０１１２】
中央管理装置７０は、ウィルス感染防止装置５０１及び５０２の各々と通信可能である。また、中央管理装置７０は、端末情報管理データベース７１及び不正ＡＲＰ回数管理データベース７２を含む。
【０１１３】
端末情報管理データベース７１には、例えばウィルス感染防止装置５０１が接続されているネットワーク３１への接続が許可されている正規端末を示す正規端末情報（正規端末のＭＡＣアドレス及びＩＰアドレス）が格納されている。また、端末情報管理データベース７１には、例えばウィルス感染防止装置５０１が接続されているネットワーク３２への接続が許可されている正規端末を示す正規端末情報が格納されている。つまり、前述した第３の変形例において、ウィルス感染防止装置５０１及び５０２の各々によって管理されていた端末情報管理データベース４２が、中央管理装置７０において一元管理されている。
【０１１４】
不正ＡＲＰ回数管理データベース７２には、例えばウィルス感染防止装置５０１及び５０２の各々によって収集されたＡＲＰ要求パケットに含まれる送信元端末情報毎に対応付けて、当該送信元端末情報によって示される送信元端末がネットワーク３１及び３２に存在しないＩＰアドレスを含むＡＲＰ要求パケットを送信した回数を示す回数情報が格納されている。つまり、前述した第３の変形例におけるウィルス感染防止装置５０１及び５０２の間で互いに同期がとられた不正ＡＲＰ回数管理データベース４３が、中央管理装置７０において一元的に管理されている。
【０１１５】
この場合、ウィルス感染防止装置５０１及び５０２の各々の処理については、当該ウィルス感染防止装置５０１及び５０２の各々が端末情報管理データベース７１及び不正ＡＲＰ回数管理データベース７２を管理する中央管理装置７０に問い合わせ、その回答を得ることにより実行される。また、上記した第３の変形例において説明したようなウィルス感染防止装置５０１及び５０２との間の通信についても、中央管理装置７０を介して実行される。また、上記した第３の変形例で説明したような異なるネットワークにＡＲＰパケットが送信された場合であっても、ウィルス感染防止装置５０１及び５０２の各々が中央管理装置７０に通知することで、一元的に管理することができる。
【０１１６】
上記したように本変形例においては、中央管理装置７０によって端末情報管理データベース７１及び不正ＡＲＰ回数管理データベース７２が一元的に管理されている。これにより、ウィルス感染防止装置５０１及び５０２の各々が例えば不正ＡＲＰ回数管理データベースを管理し、互いの不正ＡＲＰ回数管理データベースの同期をとる構成と比べて、常に互いの不正ＡＲＰ回数管理データベースの整合性を取るための処理の煩雑さを解消できる。
【０１１７】
［第５の変形例］
次に、図１３及び図１４を参照して、本実施形態の第５の変形例について説明する。本変形例においては、例えば人為的なミス（ＩＰアドレス、ネットワークアドレスの設定ミス等）によってネットワーク内に存在しないＩＰアドレスを含むＡＲＰ要求パケットを多数送信し、通信が妨害される状況に陥った場合を想定している。
【０１１８】
このような場合、例えば端末がウィルスに感染していない場合であっても、前述した本実施形態及び第１〜第４の変形例においては、当該端末の通信は妨害される。
【０１１９】
本変形例では、例えば端末の通信を妨害する際に、ウィルス感染防止装置５０のＭＡＣアドレスを含むＡＲＰ応答パケットを当該端末に対して送信する。これにより、図１３に示すように、例えば端末２４が、ウィルス感染防止装置５０によって送信されたＡＲＰ応答パケットに応じて通信を開始した場合、当該端末２４からのパケットはネットワーク３０を介してウィルス感染防止装置５０に送信される。
【０１２０】
そこで、本変形例においては、例えばＷｅｂベースのＧＵＩ（Graphical User Interface）を用意する。これによって、例えば端末２４によりウィルス感染防止装置５０に対してＷｅｂアクセスが実行された場合、ウィルス感染防止装置５０は、端末２４を操作するユーザに例えば当該端末２４の通信が妨害されている旨を通知（例えば端末２４の表示画面に表示）する。
【０１２１】
図１４は、通信が妨害されている端末２４に対して、その旨が通知された場合の当該端末２４の表示画面の一例を示す。
【０１２２】
図１４に示すように、表示画面２４０には、例えば当該表示画面２４０の上部には「あなたの端末からのアクセスは妨害中です。」の文字列が表示されている。また、例えば表示画面２４０の中部には通信履歴が表示されている。この通信履歴に表示されている例えば「XXXXXXXX」または「YYYYYYYY」は、例えば端末２４から通信を行おうとした端末のＩＰアドレス等が表示される。また、例えば表示画面２４０の下部には「ネットワーク設定ミスなどによる場合は以下の解除ボタンを押した後、正常な設定に戻してください。」の文字列が表示されており、解除ボタン２４１が設けられている。この解除ボタン２４１が、例えばユーザが端末２４を操作することにより選択（押下）されると、その旨がウィルス感染防止装置５０に通知され、当該端末２４の通信の妨害が解除される。この場合、端末２４のＭＡＣアドレスに対応付けてウィルス感染防止装置５０の不正ＡＲＰ回数管理データベース４３に格納されている回数情報及び妨害フラグが例えばリセットされる。その後、端末２４により例えばネットワーク設定等が正常な設定に戻されると、端末２４からＡＲＰ要求パケットが送信された場合に当該端末２４の通信が妨害されることはない。
【０１２３】
上記したように本変形例においては、例えば端末２４を操作するユーザの設定ミス等により、当該端末２４の通信が妨害されるような状況に陥った場合に、その旨をユーザに通知し、ユーザが自ら当該通信の妨害を解除することができる。これにより、例えば人為的なミスによる通信の妨害状態を、ウィルス感染防止装置５０の管理者を煩わせることなく解除することができる。
【０１２４】
なお、本変形例において例えば端末２４のユーザが当該端末２４の通信の妨害を自ら解除した場合に、その旨をウィルス感染防止装置５０の管理者に通知することも可能である。
【０１２５】
また、ユーザが自ら解除せずとも、ウィルス感染防止装置５０の管理者に解除を促すための通知を送信する構成であってもよい。この場合では、ウィルス感染防止装置５０の管理者は、ユーザからの通知を受け取り、その状況に応じて解除するか否かを判断することが可能となる。
【０１２６】
なお、本願発明は、上記実施形態またはその各変形例そのままに限定されるものではなく、実施段階ではその要旨を逸脱しない範囲で構成要素を変形して具体化できる。また、上記実施形態またはその各変形例に開示されている複数の構成要素の適宜な組合せにより種々の発明を形成できる。例えば、実施形態またはその各変形例に示される全構成要素から幾つかの構成要素を削除してもよい。更に、実施形態またはその各変形例に亘る構成要素を適宜組合せてもよい。
【図面の簡単な説明】
【０１２７】
【図１】本発明の実施形態に係るウィルス感染防止装置が接続されるネットワークシステムについて説明するための図。
【図２】ネットワーク３０に接続された感染端末の動作について説明するための図。
【図３】図１に示されるウィルス感染防止装置５０の主として機能構成を示すブロック図。
【図４】端末情報管理データベース４２のデータ構造の一例を示す図。
【図５】不正ＡＲＰ回数管理データベース４３のデータ構造の一例を示す図。
【図６】ウィルス感染防止装置５０の処理手順を示すフローチャート。
【図７】本実施形態の第１の変形例に係るウィルス感染防止装置５０の処理手順を示すフローチャート。
【図８】本実施形態の第２の変形例に係るウィルス感染防止装置６０の主として機能構成を示すブロック図。
【図９】本変形例に係るウィルス感染防止装置６０の処理手順を示すシーケンスチャート。
【図１０】本実施形態の第３の変形例に係るウィルス感染防止システムが接続されるネットワークシステムについて説明するための図。
【図１１】本変形例に係るウィルス感染防止システムの処理手順を示すシーケンスチャート。
【図１２】本実施形態の第４の変形例に係るウィルス感染防止システムが接続されるネットワークシステムについて説明するための図。
【図１３】端末２４がウィルス感染防止装置５０に対してＷｅｂアクセスすることを示す図。
【図１４】通信が妨害されている端末２４に対して、当該妨害されている旨が通知された場合の当該端末２４の表示画面の一例を示す図。
【符号の説明】
【０１２８】
１０…コンピュータ、２１，２２，２３，２４…端末、３０，３１，３２…ネットワーク、４０…外部記憶装置、４２，７１…端末情報管理データベース（正規端末情報格納手段）、４３，７２…不正ＡＲＰ回数管理データベース（回数情報格納手段）、４４…ウィルスパターンデータベース、５０，６０，５０１，５０２…ウィルス感染防止装置、５１…ネットワーク監視部（収集手段）、５２…端末判定部、５３，６１…通信妨害部（送信手段）、７０…中央管理装置、１００…ルータ。
【図１】
2008236415.tif 000003
【図２】
2008236415.tif 000004
【図３】
2008236415.tif 000005
【図４】
2008236415.tif 000006
【図５】
2008236415.tif 000007
【図６】
2008236415.tif 000008
【図７】
2008236415.tif 000009
【図８】
2008236415.tif 000010
【図９】
2008236415.tif 000011
【図１０】
2008236415.tif 000012
【図１１】
2008236415.tif 000013
【図１２】
2008236415.tif 000014
【図１３】
2008236415.tif 000015
【図１４】
2008236415.tif 000016