(57)【要約】【課題】ＬＡＮシステム内におけるウィルス感染源を検知するウィルス感染元検知システムの提供。【解決手段】クライアントコンピュータ２が、外部から自己にアクセスした発信元ＩＰアドレス及び発信元ポート番号を含むアクセス履歴を格納するアクセス履歴データベース４と、外部からコンピュータウィルスが侵入したことを検知するウィルス対策ソフト６とを備え、サーバコンピュータ１が、前記ウィルス侵入の報告に基づいて、そのクライアントコンピュータ２のアクセス履歴データベース７を検索し、ウィルス侵入の報告を受けた時刻を基点とした複数のアクセス履歴を収集するアクセス履歴取得プログラム５とを備え、ウィルスが侵入したクライアントコンピュータ２がサーバコンピュータ１にウィルス侵入をメール報告したとき、サーバコンピュータ１のアクセス履歴取得プログラム９が、ウィルスが侵入したクライアントコンピュータ２のアクセス履歴データベース７からアクセス履歴を収集して分析するもの。【選択図】　図１
2004086241.tif 000002
【特許請求の範囲】
【請求項１】
複数のクライアントコンピュータと該複数のクライアントコンピュータとサーバコンピュータとをネットワーク接続したコンピュータシステムにおけるコンピュータウィルス感染元検知システムにおいて、前記クライアントコンピュータが、外部から自己にアクセスした発信元ＩＰアドレス及び発信元ポート番号を含むアクセス履歴を格納するアクセス履歴データベースと、外部からコンピュータウィルスが侵入したことを検知するウィルス対策ソフトとを含み、前記サーバコンピュータが、ウィルスが侵入したクライアントコンピュータからの報告に基づいて該クライアントコンピュータのアクセス履歴データベースを検索し、ウィルス侵入の報告を受けた時刻を基点とした複数のアクセス履歴を収集するアクセス履歴取得プログラムとを含み、ウィルスが侵入したクライアントコンピュータがサーバコンピュータにウィルス侵入を報告したとき、サーバコンピュータのアクセス履歴取得プログラムが、ウィルスが侵入したクライアントコンピュータのアクセス履歴データベースからウィルス侵入の報告を受けた時刻を基点とした複数のアクセス履歴を収集することを特徴とするコンピュータウィルス感染元検知システム。
【発明の詳細な説明】
【０００１】
【産業上の利用分野】
本発明は、例えばＬＡＮ上のコンピュータウィルスに感染したコンピュータを検知することができるコンピュータウィルス感染元検知システムに関し、特に管理者がウィルス感染元となったクライアントコンピュータを特定することができるコンピュータウィルス感染元検知システムに関する。
【０００２】
【従来の技術】
一般に企業内におけるコンピュータシステムは、ＬＡＮ又はＷＡＮと呼ばれるコンピュータネットワーク網を介して複数のクランアントコンピュータと該クライアントコンピュータを管理するサーバコンピュータとをネットワーク接続し、各クライアントコンピュータ間でのデータの転送及び共有並びにプリンタ及び外部との接続を行うルータの共有等が行われている。
【０００３】
この様に構成されたコンピュータシステムは、例えば外部からのメールに所謂コンピュータウィルスが添付され、そのメールを受信したクライアントコンピュータがまずウィルスに感染し、次いで当該ウィルスの他への感染プログラムによってＬＡＮ等を介して他の多数のクランアントコンピュータに増殖することが考えられる。
【０００４】
従来技術によるコンピュータシステムは、前記コンピュータウィルス対策として、例えば複数のクランアントコンピュータ及びサーバコンピュータにウィルス対策ソフトをインストールし、ウィルス感染を検知したクライアントコンピュータがサーバコンピュータに当該感染を報告するものや、新たに不正侵入検知コンピュータをＬＡＮ上に用意し、この不正侵入検知コンピュータが検知対象の不正パターンとしてウィルス情報を登録しておき、ＬＡＮ上を伝送するデータを監視してウィルスを検知し、サーバコンピュータに報告することが行われている。
【０００５】
【発明が解決しようとする課題】
従来技術によるコンピュータシステムにおけるウィルス対策は、あるクライアントコンピュータが感染した場合、前者の各クライアントにウィルス対策ソフトをインストールしたシステムにあっては、当該ウィルス対策ソフトが入手した情報だけでは感染元となったクライアントコンピュータを特定することができない場合があり、後者の不正侵入検知コンピュータを適用したシステムにあっては、ＬＡＮシステム上の全ての多岐にわたるネットワーク経由箇所を監視しなければならず、実際のシステムにおいてはネットワーク上のルーティング機能により攻撃対象毎に変化するため、その通信路上に設置しなくてはならない不正侵入検知サーバでは、すべてを検知するのには限界があると言う不具合があった。
【０００６】
本発明の目的は、前述の従来技術による不具合を除去することであり、管理者が感染元クライアントコンピュータを容易に特定するために十分な情報（送信元情報）を取得することができるコンピュータウィルス感染元検知システムを提供することである。
【０００７】
【課題を解決するための手段】
前記目的を達成するために本発明は、複数のクライアントコンピュータと該複数のクライアントコンピュータとサーバコンピュータとをネットワーク接続したコンピュータシステムにおけるコンピュータウィルス感染元検知システムにおいて、前記クライアントコンピュータが、外部から自己にアクセスした発信元ＩＰアドレス及び発信元ポート番号を含むアクセス履歴を格納するアクセス履歴データベースと、外部からコンピュータウィルスが侵入したことを検知するウィルス対策ソフトとを含み、前記サーバコンピュータが、ウィルスが侵入したクライアントコンピュータからの報告に基づいて該クライアントコンピュータのアクセス履歴データベースを検索し、ウィルス侵入の報告を受けた時刻を基点とした複数のアクセス履歴を収集するアクセス履歴取得プログラムとを含み、ウィルスが侵入したクライアントコンピュータがサーバコンピュータにウィルス侵入を報告したとき、サーバコンピュータのアクセス履歴取得プログラムが、ウィルスが侵入したクライアントコンピュータのアクセス履歴データベースからウィルス侵入の報告を受けた時刻を基点とした複数のアクセス履歴を収集することを特徴とするコンピュータウィルス感染元検知システム。
【０００８】
【発明の実施の形態】
以下、本発明の一実施形態によるコンピュータウィルス感染元検知システムを図面を参照して詳細に説明する。図１は本発明の一実施形態によるコンピュータウィルス感染元検知システムを適用したコンピュータシステムを示す図、図２は本実施形態によるウィルス感染元検知システムの機能ブロック図である。
【０００９】
図１に示すコンピュータシステムは、本コンピュータシステムの全体を管理するサーバコンピュータ１と、該サーバコンピュータ１にＬＡＮ４（又はＷＡＮ）を介して接続される複数のクライアントコンピュータ、例えばウィルスに感染していないクライアントコンピュータ２と、既にウィルスに感染したクライアントコンピュータ３とがネットワーク接続されているものとし、前記ウィルスに感染したクライアントコンピュータ３は、そのウィルスが他のコンピュータにネットワーク越しに攻撃を試みるものとする。
【００１０】
また、本実施形態によるコンピュータシステムは、前記クライアントコンピュータ２に、自己に対するアクセス履歴を蓄積するアクセス履歴蓄積プログラム５と、一般のウィルス対策ソフト（プログラム）６とをメモリに格納すると共に、前記アクセス履歴蓄積プログラム５により取得したアクセス履歴を格納するアクセス履歴データベース７とを備える。また前記サーバコンピュータ１は、後述する動作に基づくメールの受信を行うためのメール自動受付プログラム８と、このメール受付を契機として前記クライアントコンピュータ２のアクセス履歴データベース２に格納された当該コンピユータのアクセス履歴を取得し分析するためのアクセス履歴分析プログラム９と、該アクセス履歴分析プログラム９によって分析した分析結果を格納する履歴データベース１１と、該履歴データベース１１の内容を検索するためのアクセス履歴検索インタフェースプログラム１０とを備える。尚、前記クライアントコンピュータ２のアクセス履歴データベース７は、その容量が許す限りアクセス履歴を記憶する様に構成しても良いが、例えばシステムの過去の駆動時間が所定時間、例えば３時間で過去データの上書きを行う様にしても良い。
【００１１】
図２は本実施形態によるウィルス感染元検知システムの機能ブロック図であり、本図を用いて本実施形態によるウィルス感染元検知システムの動作を説明する。まず、あるクライアントコンピュータ２に他のウィルスに感染したクライアントコンピュータからのウィルス侵入が試みられた場合、当該クライアントコンピュータ２は、アクセス履歴蓄積プログラム５によってそのアクセス履歴、具体的には発信元のＩＰアドレス、発信元のコンピュータ名、送信先ポート番号、そのアクセス時刻／時間等のアクセス履歴をアクセス履歴データベース７に格納し、ここで当該侵入がウィルス対策ソフト６によって検知された場合、そのウィルス侵入を例えばウスルス対策ソフト６がサーバコンピュータ１に対してＬＡＮ４を経由してメール発信を行う。
【００１２】
このウィルス侵入のメールを受けたサーバコンピュータ１は、メール自動受付プログラム８により当該メールを受信し、アクセス履歴取得プログラム９を起動する。このアクセス履歴取得プログラム９は、その受信メールを発したクライアントコンピュータ２をメールアドレスやＩＰアドレス番号によって特定し、そのクライアントコンピュータ２のアクセス履歴データベース７をサーチし、ウィスルス侵入のメールが発せられた時刻前後の複数のアクセス履歴を取得し、履歴データベース１１に格納する。従って本システムは、このアクセス履歴をアクセス履歴検索インタフェースプログラム１０が解析することによって、当該侵入が試みられたクランアントコンピュータを検知することができる。この解析は、発信元ＩＰアドレスやポート番号を回析し、ウィスルスに感染している可能性のあるクライアントコンピュータに対する検疫を行う事や、ウィルスが多数のクライアントに対して同時に侵入を試みる特性を利用し、複数の侵入が試みられたクライアントに同時刻にアクセスを行ったコンピュータを選択することや、ウィルスが特定のポート番号を固定して開き、このポートから侵入を試みる特性を利用して当該共通のポート番号を選択することによって行われる。
【００１３】
従って本実施形態によるウィルス感染元検知システムは、サーバコンピュータ１がメールを契機として侵入又は汚染されたクライアントコンピュータのアクセス履歴を収集し、そのアクセス履歴を解析することによって、容易に感染源であるクライアントコンピュータを管理者に報告することができる。従って、管理者が攻撃元となるウィルス感染クライアントを特定するための情報をすばやく参照し分析することができる。これにより、ウィルス感染拡大の早期対策を行うことが可能となる。
【００１４】
尚、前記実施形態においてはＬＡＮを経由したシステムを例にとって説明したが、ＷＡＮによるネットワークシステムにおいても、侵入源となったプロバイタやメールサーバのＩＰアドレスを検知することができ、メールのヘッダ情報等を解析することにより、ウィルスの発信元を調査する情報を入手することができる。
【００１５】
【発明の効果】
以上説明したように本発明によれば、ウィルスが侵入したクライアントコンピュータがサーバコンピュータにウィルス侵入を報告したとき、サーバコンピュータのアクセス履歴取得プログラムが、ウィルスが侵入したクライアントコンピュータのアクセス履歴データベースからウィルス侵入の報告を受けた時刻を基点とした複数のアクセス履歴を収集することにより、ウィルスの感染源であるクライアントコンピュータ他を管理者が容易に分析することができる。
【図面の簡単な説明】
【図１】本発明によるコンピュータウィルス感染元検知システムを適用したコンピュータシステムを示す図。
【図２】本実施形態によるウィルス感染元検知システムの機能ブロック図
【符号の説明】
１：運用サーバコンピュータ、２：クライアントコンピュータ、３：ウィルス感染元クライアントコンピュータ、４：ＬＡＮ又はＷＡＮ、５：アクセス履歴蓄積プログラム、６：ウィルス対策ソフト、７：アクセス履歴データベース、８：メール自動受プログラム、９…アクセス履歴取得プログラム、１０…アクセス履歴検索インタフェースプログラム、１１…履歴データベース。
【図１】
2004086241.tif 000003
【図２】
2004086241.tif 000004