(57)【特許請求の範囲】
【請求項１】
ネットワーク内の不正アクセスプログラムの活動を監視する処理方法であって、
ネットワーク接続装置から収集されたネットワーク情報の管理情報からルート検出不能に伴うエラー通知情報を抽出し、前記ネットワーク接続装置から収集された管理情報から前記ルート検出不能に伴って廃棄された情報量を抽出し、前記エラー通知情報の送信情報量が所定の増加傾向を示し、かつ、前記廃棄された情報量が所定の増加傾向を示す状態を、管理情報の変化として検出する管理情報監視過程と、
前記変化の検出にかかわるネットワーク情報の管理情報が収集された、前記不正アクセスプログラムの活動が疑われるネットワーク装置のアドレス情報を含むアラート情報を生成するアラート生成過程とを備える
不正アクセスプログラム監視処理方法。
【請求項２】
ネットワーク内の不正アクセスプログラムの活動を監視する処理方法であって、
計算機から収集されたネットワーク情報の管理情報から宛先到達不能に伴うエラー通知情報を抽出し、前記エラー通知情報の受信情報量が所定の増加傾向を示し、コネクション確立試行の失敗数が継続的に増加し、かつ、接続要求送信状態であるエンドポイント数が複数存在する状態を、管理情報の変化として検出する管理情報監視過程と、
前記変化の検出にかかわるネットワーク情報の管理情報が収集された、前記不正アクセスプログラムの活動が疑われる計算機のアドレス情報を含むアラート情報を生成するアラート生成過程とを備える
不正アクセスプログラム監視処理方法。
【請求項３】
前記アラート情報から、前記変化の検出にかかわるネットワーク情報の管理情報が収集されたネットワーク装置のアドレス情報を解析するアラート解析過程と、
前記アラート情報に含まれるアドレス情報によって特定されるネットワーク接続装置に対する前記不正アクセスプログラムの通信を遮断するフィルタの設定指示を生成する対策指示生成過程と、
前記中継情報の削除指示または前記フィルタの設定指示を送信する対策指示過程とを備える
請求項１に記載の不正アクセスプログラム監視処理方法。
【請求項４】
前記アラート情報から、前記変化の検出にかかわるネットワーク情報の管理情報が収集された計算機のアドレス情報を解析するアラート解析過程と、
前記計算機のアドレス情報によって特定される計算機に対する中継情報の削除指示を生成する対策指示生成過程と、
前記中継情報の削除指示または前記フィルタの設定指示を送信する対策指示過程とを備える
請求項２に記載の不正アクセスプログラム監視処理方法。
【請求項５】
ネットワークの構成を示すネットワーク構成情報を管理するネットワーク構成管理過程を備え、
前記対策指示生成過程は、前記ネットワーク構成情報を参照して、前記不正アクセスプログラムの活動が疑われる、ネットワーク・セグメントまたは前記ネットワーク・セグメントを制御するネットワーク接続装置のアドレス情報を解析する
請求項３に記載の不正アクセスプログラム監視処理方法。
【請求項６】
ネットワークの構成を示すネットワーク構成情報を管理するネットワーク構成管理過程を備え、
前記対策指示生成過程は、前記ネットワーク構成情報を参照して、前記不正アクセスプログラムの活動が疑われる、計算機またはネットワーク・セグメントのアドレス情報を解析する
請求項４に記載の不正アクセスプログラム監視処理方法。
【請求項７】
前記ネットワーク情報の管理情報を前記計算機または前記ネットワーク接続装置からリアルタイムで収集する管理情報収集過程を備える
請求項１または請求項２に記載の不正アクセスプログラム監視処理方法。
【請求項８】
ネットワーク内の不正アクセスプログラムの活動を検出する機能をコンピュータに実現させるためのプログラムであって、前記コンピュータに、
ネットワーク接続装置から収集されたネットワーク情報の管理情報からルート検出不能に伴うエラー通知情報を抽出し、前記ネットワーク接続装置から収集された管理情報から前記ルート検出不能に伴って廃棄された情報量を抽出し、前記エラー通知情報の送信情報量が所定の増加傾向を示し、かつ、前記廃棄された情報量が所定の増加傾向を示す状態を、管理情報の変化として検出する管理情報監視機能と、
前記変化の検出にかかわるネットワーク情報の管理情報が収集された、前記不正アクセスプログラムの活動が疑われるネットワーク装置のアドレス情報を含むアラート情報を生成するアラート生成機能とを実現させるための
不正アクセスプログラム監視プログラム。
【請求項９】
ネットワーク内の不正アクセスプログラムの活動を検出する機能をコンピュータに実現させるためのプログラムであって、前記コンピュータに、
計算機から収集されたネットワーク情報の管理情報から宛先到達不能に伴うエラー通知情報を抽出し、前記エラー通知情報の受信情報量が所定の増加傾向を示し、コネクション確立試行の失敗数が継続的に増加し、かつ、接続要求送信状態であるエンドポイント数が複数存在する状態を、管理情報の変化として検出する管理情報監視機能と、
前記変化の検出にかかわるネットワーク情報の管理情報が収集された、前記不正アクセスプログラムの活動が疑われる計算機のアドレス情報を含むアラート情報を生成するアラート生成機能とを実現させるための
不正アクセスプログラム監視プログラム。
【請求項１０】
ネットワーク内の不正アクセスプログラムの活動を監視する処理装置であって、
ネットワーク接続装置から収集されたネットワーク情報の管理情報からルート検出不能に伴うエラー通知情報を抽出し、前記ネットワーク接続装置から収集された管理情報から前記ルート検出不能に伴って廃棄された情報量を抽出し、前記エラー通知情報の送信情報量が所定の増加傾向を示し、かつ、前記廃棄された情報量が所定の増加傾向を示す状態を、管理情報の変化として検出する管理情報監視手段と、
前記変化の検出にかかわるネットワーク情報の管理情報が収集された、前記不正アクセスプログラムの活動が疑われるネットワーク装置のアドレス情報を含むアラート情報を生成するアラート生成手段とを備える
不正アクセスプログラム監視装置。
【請求項１１】
ネットワーク内の不正アクセスプログラムの活動を監視する処理装置であって、
計算機から収集されたネットワーク情報の管理情報から宛先到達不能に伴うエラー通知情報を抽出し、前記エラー通知情報の受信情報量が所定の増加傾向を示し、コネクション確立試行の失敗数が継続的に増加し、かつ、接続要求送信状態であるエンドポイント数が複数存在する状態を、管理情報の変化として検出する管理情報監視手段と、
前記変化の検出にかかわるネットワーク情報の管理情報が収集された、前記不正アクセスプログラムの活動が疑われる計算機のアドレス情報を含むアラート情報を生成するアラート生成手段とを備える
不正アクセスプログラム監視装置。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、ワーム検出・隔離方法およびプログラムに関し、既存のネットワーク管理技術、例えば簡易ネットワーク管理プロトコル（ＳＮＭＰ：Ｓｉｍｐｌｅ  Ｎｅｔｗｏｒｋ  Ｍａｎａｇｅｍｅｎｔ  Ｐｒｏｔｏｃｏｌ）のネットワーク管理技術を用いてネットワークに接続されたサーバやＰＣのウイルスやワームの感染を早期に検出し隔離することにより、ウイルスやワームによる被害を防止する技術に関する。
【背景技術】
【０００２】
近年、インターネットや企業内イントラネットでは、ワーム、ウイルスといった不正アクセスを行うプログラムの被害が問題となっている。図９に、不正アクセスプログラムの検出・隔離システムの例を示す。従来、不正アクセスプログラムの検出・隔離処理には、エンドポイントの各計算機９０１上に、アンチウイルスソフト９０２を導入して感染を検出したり、または、ネットワークでは、ネットワーク上に設置された不正アクセスプログラム対策用（ワーム対策用）アプライアンス・ハードウエア９０３を用いてネットワークのトラフィックのモニタリングを行ったりという方法がとられてきた（例えば、非特許文献１参照）。【０００３】
非特許文献１
チェック・ポイント・ソフトウェア・テクノロジーズ株式会社
「Ｃｈｅｃｋ  Ｐｏｉｎｔ  ＩｎｔｅｒＳｐｅｃｔ  カタログ」  ２００４年１月
【発明の開示】
【発明が解決しようとする課題】
【０００４】
アンチウイルスソフト９０２は、不正アクセスプログラムが持つ特定のバイナリパターンの一致による検出処理を基本とするシグニチャベースのプログラムであるため、既知のワームの検出には有効である。【０００５】
しかし、既知の不正アクセスプログラムの亜種や新種のものに対しては、バイナリパターンが異なるために検出処理が困難であり、アンチウイルスソフト９０２のベンダから、不正アクセスプログラム検出用の最新のバイナリパターンを迅速にアップデートしなければならないという問題があった。【０００６】
また、一部のアンチウイルスソフト９０２は、未知の不正アクセスプログラムを検出して感染を防止できる機能を備えるが、誤検知の問題があり、検出できるものが限られていた。【０００７】
一方、ネットワークに設置されたワーム対策用アプライアンス・ハードウエア９０３は、ネットワーク上を流れる全てのパケットを収集解析するための専用のハードウエアを用意し、プロトコル規約に従わない通信、脆弱性を狙うようなトラフィックなどを検出することによって、不正アクセスプログラムがネットワーク上で動作していることを検知する。【０００８】
しかし、ワーム対策用アプライアンス・ハードウエア９０３は、亜種や新種の不正アクセスプログラムの活動を検知できるが、不正アクセスのトラフィックを捕捉するために、各ネットワーク・セグメントにあるスイッチ・ルータ９０４のミラーリングポート９０５から、イントラネット９０６（ネットワーク）のトラフィックの全てをモニタリングして、不正なトラフィックか否かの判定をしなければならない。このため、ソフトウエアやハードでの処理が重くなり、ネットワークのトラフィックが増大すると処理が追いつかなくなるという欠点があった。【０００９】
また、ネットワークの各セグメント上に専用のハードウエアを必要とするため、大規模なネットワークでは複数の監視システム（ワーム対策用アプライアンス・ハードウエア９０３）を設置しなければならない。そのため、管理対象となるシステム数が増加し、管理工数が肥大するという問題があった。【００１０】
本発明の目的は、従来の各計算機上のシグニチャベースのアンチウイルスソフト、ネットワーク・セグメントごとのアプライアンス・ハードウエアを用いることなく、不正アクセスプログラムの活動を検出することができる処理方法およびプログラムを実現することである。【００１１】
また、本発明の目的は、不正アクセスプログラムの活動による感染拡大が生じないように、検出された不正アクセスプログラムを隔離することができる処理方法およびプログラムを実現することである。
【課題を解決するための手段】
【００１２】
本発明は、その一態様において、ネットワーク内の不正アクセスプログラムの活動を監視する処理方法であって、ネットワーク接続装置から収集されたネットワーク情報の管理情報からルート検出不能に伴うエラー通知情報を抽出し、前記ネットワーク接続装置から収集された管理情報から前記ルート検出不能に伴って廃棄された情報量を抽出し、前記エラー通知情報の送信情報量が所定の増加傾向を示し、かつ、前記廃棄された情報量が所定の増加傾向を示す状態を、管理情報の変化として検出する管理情報監視過程と、前記変化の検出にかかわるネットワーク情報の管理情報が収集された、前記不正アクセスプログラムの活動が疑われるネットワーク装置のアドレス情報を含むアラート情報を生成するアラート生成過程とを備える。
また、本発明は、別の態様において、ネットワーク内の不正アクセスプログラムの活動を監視する処理方法であって、計算機から収集されたネットワーク情報の管理情報から宛先到達不能に伴うエラー通知情報を抽出し、前記エラー通知情報の受信情報量が所定の増加傾向を示し、コネクション確立試行の失敗数が継続的に増加し、かつ、接続要求送信状態であるエンドポイント数が複数存在する状態を、管理情報の変化として検出する管理情報監視過程と、前記変化の検出にかかわるネットワーク情報の管理情報が収集された、前記不正アクセスプログラムの活動が疑われる計算機のアドレス情報を含むアラート情報を生成するアラート生成過程とを備える。
【００１３】
ネットワーク上に設置されるネットワーク機器、およびネットワークを用いた情報通信を行う計算機には、多くの場合、ネットワーク情報管理機能を備えている。本発明は、ネットワーク情報管理機能として使用されるネットワーク情報管理処理部によって提供されるネットワーク情報の管理情報を用いて、不正アクセスプログラムの活動に特有なネットワーク情報の管理情報の変化、すなわち不正な情報送受信処理によって生じる特定の管理情報の変化を分析し、所定の変化から不正アクセスプログラムの活動の兆候を検出してアラートを生成する。【００１４】
よって、ネットワーク情報管理を導入しているネットワークシステムにおいて、ネットワークごとに不正アクセスプログラム対策用アプライアンス・ハードウエアを設定したり、各計算機に特別なソフトウエアを導入したりすることなく、不正アクセスプログラムの活動を検出することができる。【００１５】
また、本発明は、上記の処理過程を備えるものである場合に、前記ネットワーク情報の管理情報を前記計算機または前記ネットワーク接続装置からリアルタイムで収集する管理情報収集過程を備える。【００１６】
本発明は、収集され格納された静的なネットワーク情報の管理情報だけでなく、リアルタイムで収集されたネットワーク情報の管理情報を用いて不正アクセスプログラムの活動を検出することができる。【００１７】
さらに、本発明は、前記管理情報監視過程において、前記ネットワーク接続装置から収集された管理情報から送信先不明に伴うエラー通知情報を抽出し、前記エラー通知情報の送信時量が所定の増加傾向を示す状態を前記変化として検出する。【００１８】
または、前記計算機から収集されたネットワーク情報の管理情報から送信先不明に伴うエラー通知情報を抽出し、前記エラー通知情報の受信情報量が所定の増加傾向を示す状態を前記変化として検出する。【００１９】
または、前記ネットワーク接続装置から収集された管理情報から送信先不明に伴って廃棄された情報量を抽出し、前記廃棄情報量が所定の増加傾向を示す状態を前記変化として検出する。【００２０】
または、前記計算機から収集された管理情報を解析し、前記計算機においてコネクション確立中を示すエンドポイント数もしくはコネクション確立失敗を示すエンドポイント数のいずれかの数値が所定の増加傾向を示す状態を前記変化として検出する。【００２１】
このような、計算機やネットワーク接続装置からの送信先不明に伴うエラー通知情報の情報量、送信先不明に伴う廃棄情報量、前記計算機におけるコネクション確立中を示すエンドポイント数もしくはコネクション確立失敗を示すエンドポイント数などの継続的な増加傾向は、不正なトラフィックの増加を意味するので、かかる増加傾向を不正アクセスプログラムの活動の検出に利用するものである。【００２２】
さらに、本発明は、前記アラート情報から、前記変化の検出にかかわるネットワーク情報の管理情報が収集された装置の種別、前記不正アクセスプログラムの活動が疑われる計算機またはネットワーク接続装置のアドレス情報を解析するアラート解析過程と、前記装置の種別が計算機である場合に、前記アドレス情報によって特定される計算機に対する中継情報の削除指示を生成し、前記装置の種別がネットワーク接続装置である場合に、前記アドレス情報によって特定されるネットワーク接続装置に対する前記不正アクセスプログラムの通信を遮断するフィルタの設定指示を生成する対策指示生成過程と、前記中継情報の削除指示または前記フィルタの設定指示を送信する対策指示過程とを備える。【００２３】
計算機のネットワーク情報管理処理部に対して他のネットワーク・セグメントへの中継情報の削除を指示することにより、または、ネットワーク接続装置のネットワーク情報管理処理部に対して、他のネットワーク・セグメントへの通信を遮断するフィルタ情報の設定を指示することにより、ネットワーク・セグメント内で活動する不正アクセスプログラムが外部への不正なアクセスを行うことを停止させることができ、不正アクセスプログラムを隔離して感染拡大を防止することができる。【００２４】
また、本発明は、ネットワークの構成を示すネットワーク構成情報を管理するネットワーク構成管理過程を備え、前記対策指示生成過程は、前記ネットワーク構成情報を参照して前記不正アクセスプログラムの活動が疑われる計算機またはネットワーク・セグメントまたは前記ネットワーク・セグメントを制御するネットワーク接続装置のアドレス情報を解析する。【００２５】
１台の不正アクセスプログラム監視装置によって、大規模ネットワーク上のどこのネットワーク・セグメント（サブネットワーク）に所属するどの計算機から不正アクセスプログラムが不正な通信を行っているかということを特定することができ、大規模ネットワーク上での不正アクセスプログラムの感染拡大を防止することができる。【００２６】
また、本発明は、上記の処理手段、構成要素などを備えて不正アクセスプログラムを検出する装置としてコンピュータを機能させるためのプログラム、および検出した不正アクセスプログラムを隔離する装置としてコンピュータを機能させるためのプログラムである。
【発明の効果】
【００２７】
本発明によれば、ネットワーク管理処理を導入しているネットワークシステムにおいて、ネットワークおよび各システムに特別なソフトウエアを導入することなく、計算機またはネットワーク接続装置のネットワーク管理情報を利用して不正アクセスを行う不正アクセスプログラムの検出を行うことができる。【００２８】
また、本発明によれば、計算機のネットワーク設定情報、または、ネットワーク接続装置のフィルタリング機能の設定情報に対する指示を送出することにより、検出した不正アクセスプログラムの隔離処理を行うことができる。【００２９】
また、本発明によれば、１台の監視システムによって、大規模ネットワークにおいて、ネットワーク・セグメントまたは計算機での不正アクセスプログラムの不正な通信を検出でき、また検出した不正アクセスプログラムを隔離することができるため、大規模ネットワーク上での不正アクセスプログラムの感染の拡大を防止することができる。
【図面の簡単な説明】
【００３０】
【図１】図１は、本発明の実施の形態におけるシステム構成を示す図である。
【図２】図２は、ワーム検出部のブロック構成例を示す図である。
【図３】図３は、ワーム対策部のブロック構成例を示す図である。
【図４】図４は、計算機での接続開設関連のネットワーク管理情報の変化例を示す図である。
【図５】図５は、ネットワーク機器での中継情報の廃棄量の変化例を示す図である。
【図６】図６は、本発明の実施例における構成例を示す図である。
【図７】図７は、ワーム検出処理の処理フロー例を示す図である。
【図８】図８は、ワーム対策処理の処理フロー例を示す図である。
【図９】図９は、ワームの検出・隔離システムの例を示す図である。
【符号の説明】
【００３１】
１  ワーム監視装置
１１  ワーム検出部
１２  ワーム対策部
１３  管理情報収集部
１４  管理情報データベース
２  ネットワーク接続装置（ルータ）
２１  フィルタリング部（フィルタ）
２２  ネットワーク情報管理部（ＳＮＭＰエージェント）
３  計算機（ホスト）
３１  プロトコルスタック部
３２  ネットワーク情報管理部（ＳＮＭＰエージェント）
１１１  項目抽出部
１１２  エラー情報監視部
１１３  廃棄情報監視部
１１４  エンドポイント情報監視部
１１５  アラート生成部
１２１  アラート解析部
１２２  対策指示生成部
１２３  ネットワーク構成管理部
１２４  対策指示部
【発明を実施するための最良の形態】
【００３２】
図１に、本発明の実施の形態におけるシステム構成を示す。【００３３】
不正アクセスプログラム監視装置（ワーム監視装置）１は、ネットワーク接続装置（ルータ）２および計算機（ホスト）３から収集されたネットワーク情報の管理情報を用いて、ウイルス、ワームのような不正アクセスを行うプログラム（以下、単に「ワーム」とする）を検出・隔離する装置である。【００３４】
ワーム監視装置１は、ネットワーク内のワームの活動を検出するワーム検出部１１、検出されたワームの活動に対する所定の対策を行うワーム対策部１２、ネットワーク接続装置２または計算機３からそれぞれのネットワーク情報の管理情報を収集する管理情報収集部（ＳＮＭＰマネージャ）１３、および収集されたネットワーク情報の管理情報を蓄積する管理情報データベース１４を備える。【００３５】
ネットワーク接続装置２は、ネットワーク・セグメント間の接続を制御する装置であって、例えばルータ、スイッチなどである。ネットワーク接続装置２は、所定の条件に従ってネットワーク情報を通過または遮断するフィルタリング部２１、および自機のネットワーク情報を管理し、要求に応じてネットワーク情報の管理情報をワーム監視装置１の管理情報収集部１３に送信するネットワーク情報管理部２２を備える。【００３６】
計算機３は、ネットワーク情報管理機能を備えたコンピュータ（ＰＣ）である。計算機３は、ネットワークプロトコルを階層的に処理するプロトコルスタック部３１、および自機のネットワーク情報を管理し、要求に応じてネットワーク情報の管理情報をワーム監視装置１の管理情報収集部１３に送信するネットワーク情報管理部３２を備える。【００３７】
図２に、ワーム監視装置１のワーム検出部１１のブロック構成例を示す。【００３８】
ワーム検出部１１は、項目抽出部１１１、エラー情報監視部１１２、廃棄情報監視部１１３、エンドポイント情報監視部１１４、およびアラート生成部１１５を備える。【００３９】
項目抽出部１１１は、管理情報データベース１４に蓄積されたネットワーク情報の管理情報から、ワームを検出するために必要な項目として、ネットワークの送信先不明によるエラー通知情報、送信先不明による廃棄された情報量、計算機３のエンドポイント情報を抽出し、エラー情報監視部１１２、廃棄情報監視部１１３およびエンドポイント情報監視部１１４の各情報監視部へ渡す処理手段である。【００４０】
エラー情報監視部１１２は、ネットワーク情報の管理情報のエラー通知情報から、エラー通知数が継続的に増加しているか否かを分析し、所定の閾値を超過して増加している場合に、その変化（増加状態）を検出する処理手段である。エラー情報監視部１１２は、ネットワーク接続装置２または計算機３のネットワーク情報の管理情報をもとに送信先不明エラー通知数を計測し、エラー通知の受信側であったか送信側であったかを判定し、エラー通知数が所定の閾値を超過した場合にアラート生成部１１５へ通知する。【００４１】
廃棄情報監視部１１３は、ネットワーク情報の管理情報の廃棄情報から、情報の廃棄量を計測し、情報の廃棄量が継続的に増加しているか否かを分析し、所定の閾値を超過して増加している場合に、その変化（増加状態）を検出する処理手段である。廃棄情報監視部１１３は、各ネットワーク接続装置２を中継する際に送信先不明で中継できず廃棄した情報量を分析し、廃棄情報量が所定の閾値を超過した場合にアラート生成部１１５へ通知する。【００４２】
エンドポイント情報監視部１１４は、ネットワーク情報の管理情報のエンドポイント情報から接続途中のエンドポイント数を計測し、接続途中のエンドポイント数が継続的に増加しているか否かを分析し、所定の閾値を超過して増加している場合に、その変化（増加状態）を検出する処理手段である。エンドポイント情報監視部１１４は、各計算機３が接続を開始する際に送信先不明で接続中状態となっているエンドポイント数を計測し、接続中状態のエンドポイント数が増加して所定の閾値を超過した場合にアラート生成部１１５へ通知する。【００４３】
アラート生成部１１５は、エラー情報監視部１１２、廃棄情報監視部１１３、またはエンドポイント情報監視部１１４のいずれかの手段から監視対象情報の変化の通知を受けると、ネットワーク内でワームが活動中であることを示すアラート情報を生成する処理手段である。アラート情報には、変化の原因となったネットワーク情報の管理情報を生成した装置の種別（計算機か、ネットワーク接続装置か）およびその装置のアドレス情報などが含まれる。【００４４】
図３に、ワーム対策部１２のブロック構成例を示す。【００４５】
ワーム対策部１２は、アラート解析部１２１、対策指示生成部１２２、ネットワーク構成管理部１２３，および対策指示部１２４を備える。【００４６】
アラート解析部１２１は、入力したアラート情報から、ネットワーク情報の管理情報が収集された装置の種別および前記装置のアドレス情報を解析する処理手段である。アラート解析部１２１は、解析した装置の種別およびアドレス情報を対策指示生成部１２２へ渡す。【００４７】
対策指示生成部１２２は、アラート情報の解析結果にもとづいて、ワームの活動に対する対策指示を生成する処理手段である。対策指示生成部１２２は、アラート解析部１２１から渡された解析結果の装置の種別が“計算機”である場合に、アラート情報のアドレス情報にもとづいて特定された計算機３に対する中継情報の削除指示を生成する。また、装置の種別が“ネットワーク接続装置”である場合に、アラート情報のアドレス情報にもとづいて特定されたネットワーク接続装置２に対する不正アクセスプログラムの通信を遮断するフィルタの設定指示を生成する。生成した中継情報の削除指示またはフィルタの設定指示を対策指示部１２４へ渡す。【００４８】
対策指示生成部１２２は、上記の処理を、ネットワーク構成管理部１２３と連携して行う。ネットワーク構成管理部１２３は、ワーム監視装置１が監視対象とするネットワークの構成を管理する処理手段である。【００４９】
管理情報収集部１３は、ネットワーク接続装置２または計算機３からネットワーク情報の管理情報を収集し、管理情報データベース１４に蓄積する処理手段である。【００５０】
図１に示す構成のネットワークにおいて、ワーム監視装置１の管理情報収集部１３は、一定間隔で各ネットワーク接続装置２および計算機３からネットワーク情報の管理情報を収集し、管理情報データベース１４に蓄積しておく。【００５１】
計算機３でワームが活動しているとする。ワームは感染を効率よく行うために広範囲のアドレスへの接続を試みる。このため、送信先が存在しない大量の接続要求パケットが計算機３から送出される。このため、計算機３では送信先不明を示すエラー情報の通知数（受信数）が増加する。また、ワームがコネクション指向の通信を使用する場合には、図４に示すように、ワームの活動による接続要求数が増加して計算機３全体のエンドポイントのオープン総数が増加するにつれて、接続の相手先が存在しないために再送タイムアウト待ちとなるまでの接続過程（接続途中）の状態のエンドポイント総数が増加する。【００５２】
そこで、ワーム監視装置１のワーム検出部１１は、項目抽出部１１１によって、計算機３のネットワーク情報管理部３２から収集したネットワーク情報の管理情報から、計算機３での接続過程のエンドポイント数、あるいは送信先不明を示すエラー情報の通知数を抽出する。そして、エラー情報監視部１１２によって接続先不明のエラー情報の通知量を分析し、エンドポイント情報監視部１１４によって接続中のエンドポイント数を分析する。これらの情報が所定の閾値を超過していると判定した場合に、ワームが活動中であると検出する。そして、アラート生成部１１５によって、検出対象とした装置の種別（計算機を設定）、ワームが活動中すなわちワームに感染された計算機３のアドレス情報を含むアラート情報を生成し、ワーム対策部１２へ渡す。【００５３】
ワーム対策部１２は、アラート解析部１２１によって、アラート生成部１１５からアラート情報を受け取り、アラート情報によってワームに感染している装置が計算機３であることが通知されると、対策指示生成部１２２によって、計算機３のネットワーク情報管理部３２に対する、プロトコルスタック部３１の中継情報を削除する指示を生成する。【００５４】
これにより、計算機３では、プロトコルスタック部３１の処理において自機が所属するネットワーク・セグメント以外への通信が遮断されることになり、他のネットワーク・セグメントへのワームの感染拡大を防止することができる。【００５５】
また、ネットワーク接続装置２では、ワームに感染した計算機３から広範囲の宛先アドレスの付いた接続要求が送出されることによって、送信先が存在しない大量の接続要求を受信することになる。このため、ネットワーク接続装置２では、接続先不明を示すエラー情報の通知数（送出数）が増加する。また、図５に示すように、ワームの活動による中継情報数が増加してネットワーク接続装置２全体の中継情報総数が増加するにつれて、接続の相手先が存在しないために送信先不明による中継情報の廃棄情報総数が増加する。【００５６】
そこで、ワーム監視装置１のワーム検出部１１は、項目抽出部１１１によって、ネットワーク接続装置２のネットワーク情報管理部２２から収集したネットワーク情報の管理情報から、送信先不明による中継情報の廃棄情報数、あるいは送信先不明を示すエラー情報の通知数を抽出する。そして、エラー情報監視部１１２によって接続先不明のエラー情報の通知量を分析し、廃棄情報監視部１１３によって中継情報の廃棄情報量を分析し、これらの情報が所定の閾値を超過していると判定した場合に、ネットワーク接続装置２の配下のネットワーク・セグメント内でワームが活動中であると検出する。そして、アラート生成部１１５によって、検出対象とした装置の種別（ネットワーク接続装置を設定）、ネットワーク接続装置２のアドレス情報、ワームが活動中すなわちワームに感染されているネットワーク接続装置２配下のネットワーク・セグメントのアドレス情報を含むアラート情報を生成し、ワーム対策部１２へ渡す。【００５７】
ワーム対策部１２は、アラート解析部１２１によって、アラート生成部１１５からアラート情報を受け取り、アラート情報によってワームに感染しているネットワーク・セグメントを制御する装置がネットワーク接続装置２であることが通知されると、対策指示生成部１２２によって、ネットワーク接続装置２のフィルタリング部２１に対し、ワームの活動により生成されたトラフィックを遮断するフィルタ設定指示を送出して、ネットワーク接続装置２のフィルタ機能の設定を変更する。【００５８】
これにより、ネットワーク接続装置２では、自機が制御するネットワーク・セグメントから他のネットワーク・セグメントへの通信が遮断されることになり、他のネットワーク・セグメントへのワームの感染拡大を防止することができる。【００５９】
図６に、本発明の実施例を示す。【００６０】
ワーム監視装置１は、複数のネットワーク・セグメントＡ〜Ｄでのワームの活動を監視するものとし、１台のワーム監視装置１をセグメントＤ内に設置する。ネットワーク接続装置２はルータ、計算機３はホストＰＣとする。ネットワーク接続装置（ルータ）２のネットワーク情報管理部２２および計算機（ホスト）３のネットワーク情報管理部３２として、ＳＮＭＰ（Ｓｉｍｐｌｅ  Ｎｅｔｗｏｒｋ  Ｍａｎａｇｅｍｅｎｔ  Ｐｒｏｔｏｃｏｌ）に対応したＳＮＭＰエージェントを実装し、ネットワーク情報の管理情報は、ＭＩＢ（Ｍａｎａｇｅｍｅｎｔ  Ｉｎｆｏｒｍａｔｉｏｎ  Ｂａｓｅ）情報として管理されるものとする。また、ネットワークのプロトコルとしてＳＮＭＰとＴＣＰ／ＩＰとを使用する。【００６１】
ワーム監視装置１の管理情報収集部１３は、一定間隔でネットワーク内の各ホスト３やルータ２に対して問い合わせを行い、ＭＩＢ情報を収集して管理情報データベース１４に蓄積する。または、異常が検出された場合に、各ルータ２またはホスト３のＳＮＭＰエージェント２２、３２から管理情報収集部１３に対して、トラップによりネットワーク情報の管理情報（ＭＩＢ情報）が送信されるようにする。【００６２】
ワーム監視装置１において、管理情報収集部１３によって収集されたＭＩＢ情報はワーム検出部１１に送られる。ワーム検出部１１は、各ルータ２およびホスト３についてワーム検出処理を行い、ワームの活動の兆候がチェックされる。ワームの活動の兆候が検出された場合に、ワーム対策部１２へ該当するルータ２またはホスト３のアドレスが渡される。【００６３】
図７に、ワーム検出処理の処理フローを示す。【００６４】
ワーム検出部１１は、ＭＩＢ情報に付加されたアドレスがルータ２であるかホスト３であるかを判定する（ステップＳ１）。【００６５】
ＭＩＢ情報のアドレスがホスト３である場合に（ステップＳ１）、ＭＩＢ情報から、ＩＣＭＰ、ＴＣＰの各情報を抽出し、分析処理を行う（ステップＳ２）。そして、ＭＩＢオブジェクトのＩＣＭＰの宛先到達不能メッセージ受信数（icmpInDestUnreachs）が継続的に増加し、かつ、当該エンティティでのコネクション確立試行の失敗数（tcpAttemptFails）が継続的に増加し、かつ、ＴＣＰコネクション状態（tcpConnState）が接続要求送信状態（synSent）であるエンドポイント数が複数存在するかどうかを判定する（ステップＳ３）。すべての条件が当てはまる場合に（ステップＳ３）、ワーム対策部１２に該当ホスト３のネットワークアドレスを通知する（ステップＳ４）。【００６６】
一方、ＭＩＢ情報のアドレスがルータ２である場合に（ステップＳ１）、ＭＩＢ情報から、ＩＣＭＰ、ＩＰの各情報を抽出し、分析処理を行う（ステップＳ５）。そして、ＭＩＢオブジェクトのＩＣＭＰの宛先到達不能メッセージ送信数（icmpOutDestUnreachs）が継続的に増加し、かつ、宛先へのルート検出不能による廃棄ＩＰデータグラム数（ipOutNoRoutes）の値が継続的に増加するかどうかを判定する（ステップＳ６）。すべての条件が当てはまる場合に（ステップＳ６）、ワーム対策部１２に該当ルータ２のネットワークアドレスを通知する（ステップＳ７）。【００６７】
そして、ワーム対策部１２は、ワーム対策処理を行い、ワーム検出部１１から通知されたホスト３のアドレスおよび装置情報をもとに、該当するホスト３のＳＮＭＰエージェント３２にルーティングエントリの削除を指示する。また、ワーム検出部１１から通知されたルータ２のアドレスおよび装置情報をもとに、該当するルータ２のＳＮＭＰエージェント２２に対して、ワームの活動による通信を遮断するようなフィルタ設定を行う。【００６８】
図８に、ワーム対策処理の処理フローを示す。【００６９】
ワーム対策部１２は、ワーム検出部１１から該当するホスト３またはルータ２のネットワークアドレスを受け取ると（ステップＳ１０）、通知されたアドレスがルータ２であるかホスト３であるかを判定する（ステップＳ１１）。【００７０】
通知されたアドレスがルータ２の場合に、該当ルータのフィルタリング部（フィルタ）２１に、ワームのトラフィックを遮断するフィルタの設定を行う（ステップＳ１２）。一方、通知されたアドレスがホスト３の場合に、該当ホスト３のＳＮＭＰエージェント３２に対して、ルーティング情報の削除を指示する（ステップＳ１３）。【００７１】
以上、本発明をその実施の形態および実施例により説明したが、本発明はその主旨の範囲において種々の変形が可能であることは当然である。【００７２】
例えば、本発明は、ＳＮＭＰとＴＣＰ／ＩＰとを使用するものとして説明したが、同様のネットワーク管理機能を使用してもよい。例えば、ＳＮＡ（Ｓｙｓｔｅｍｓ  Ｎｅｔｗｏｒｋ  Ａｒｃｈｉｔｅｃｔｕｒｅ：ＩＢＭ社）、ＦＮＡ（Ｆｕｊｉｔｓｕ  Ｎｅｔｗｏｒｋ  Ａｒｃｈｉｔｅｃｔｕｒｅ）のようなパケット通信によっても実施することができる。【００７３】
また、計算機３は、ネットワーク情報管理機能を備えたコンピュータ端末（ＰＣ）、ホストによって実施されると説明したが、ネットワーク情報管理機能を備える携帯端末、情報家電、プリンタなどであればよい。【００７４】
また、ワーム監視装置１のネットワーク管理情報データベース１４は静的な記憶手段として説明したが、メモリ上のデータであってもよい。【００７５】
また、本発明は、コンピュータにより読み取られ実行されるプログラムとして実施するものとして説明したが、本発明を実現するプログラムは、コンピュータが読み取り可能な、可搬媒体メモリ、半導体メモリ、ハードディスクなどの適当な記録媒体に格納することができ、これらの記録媒体に記録して提供され、または、通信インタフェースを介してネットワークを利用した送受信により提供されるものである。【００７６】
本発明の形態および実施例の特徴を列記すると以下のとおりである。【００７７】
（付記１）  ネットワーク内の不正アクセスプログラムの活動を監視する処理方法であって、
計算機またはネットワーク接続装置から収集されたネットワーク情報の管理情報を分析して不正アクセスプログラムの活動に特有なネットワーク情報の管理情報の変化を検出する管理情報監視過程と、
前記変化の検出にかかわるネットワーク情報の管理情報が収集された装置の種別、前記不正アクセスプログラムの活動が疑われる装置のアドレス情報を含むアラート情報を生成するアラート生成過程とを備える
不正アクセスプログラム監視処理方法。【００７８】
（付記２）  前記ネットワーク情報の管理情報を前記計算機または前記ネットワーク接続装置からリアルタイムで収集する管理情報収集過程を備える
前記付記１記載の不正アクセスプログラム監視処理方法。【００７９】
（付記３）  前記管理情報監視過程では、前記ネットワーク接続装置から収集された管理情報から送信先不明に伴うエラー通知情報を抽出し、前記エラー通知情報の送信時量が所定の増加傾向を示す状態を前記変化として検出する
前記付記１または付記２のいずれかに記載の不正アクセスプログラム監視処理方法。【００８０】
（付記４）  前記管理情報監視過程では、前記計算機から収集されたネットワーク情報の管理情報から送信先不明に伴うエラー通知情報を抽出し、前記エラー通知情報の受信情報量が所定の増加傾向を示す状態を前記変化として検出する
前記付記１または付記２のいずれかに記載の不正アクセスプログラム監視処理方法。【００８１】
（付記５）  前記管理情報監視過程では、前記ネットワーク接続装置から収集された管理情報から送信先不明に伴って廃棄された情報量を抽出し、前記廃棄情報量が所定の増加傾向を示す状態を前記変化として検出する
前記付記１または付記２のいずれかに記載の不正アクセスプログラム監視処理方法。【００８２】
（付記６）  前記管理情報監視過程では、前記計算機から収集された管理情報を解析し、前記計算機においてコネクション確立中を示すエンドポイント数もしくはコネクション確立失敗を示すエンドポイント数のいずれかの数値が所定の増加傾向を示す状態を前記変化として検出する
前記付記１または付記２のいずれかに記載の不正アクセスプログラム監視処理方法。【００８３】
（付記７）  前記アラート情報から、前記変化の検出にかかわるネットワーク情報の管理情報が収集された装置の種別、前記不正アクセスプログラムの活動が疑われる計算機またはネットワーク接続装置のアドレス情報を解析するアラート解析過程と、
前記装置の種別が計算機である場合に、前記アドレス情報によって特定される計算機に対する中継情報の削除指示を生成し、前記装置の種別がネットワーク接続装置である場合に、前記アドレス情報によって特定されるネットワーク接続装置に対する前記不正アクセスプログラムの通信を遮断するフィルタの設定指示を生成する対策指示生成過程と、
前記中継情報の削除指示または前記フィルタの設定指示を送信する対策指示過程とを備える
前記付記１または付記２のいずれかに記載の不正アクセスプログラム監視処理方法。【００８４】
（付記８）  ネットワークの構成を示すネットワーク構成情報を管理するネットワーク構成管理過程を備え、
前記対策指示生成過程は、前記ネットワーク構成情報を参照して前記不正アクセスプログラムの活動が疑われる計算機またはネットワーク・セグメントまたは前記ネットワーク・セグメントを制御するネットワーク接続装置のアドレス情報を解析する
前記付記７記載の不正アクセスプログラム監視処理方法。【００８５】
（付記９）  ネットワーク内の不正アクセスプログラムの活動を検出する装置としてコンピュータを機能させるためのプログラムであって、
計算機またはネットワーク接続装置から収集されたネットワーク情報の管理情報を蓄積するネットワーク管理情報記憶手段と、
前記管理情報を分析して不正アクセスプログラムの活動に特有なネットワーク情報の管理情報の変化を検出する管理情報監視手段と、
前記変化の検出にかかわるネットワーク情報の管理情報が収集された装置の種別、前記不正アクセスプログラムの活動が疑われる装置のアドレス情報を含むアラート情報を生成するアラート生成手段とを備える装置として、
前記コンピュータを機能させるための不正アクセスプログラム検出プログラム。【００８６】
（付記１０）  前記ネットワーク情報の管理情報を前記計算機または前記ネットワーク接続装置からリアルタイムで収集する管理情報収集手段を備える装置として、
前記コンピュータを機能させるための前記付記９記載の不正アクセスプログラム検出プログラム。【００８７】
（付記１１）  前記管理情報監視手段は、前記ネットワーク接続装置から収集された管理情報から送信先不明に伴うエラー通知情報を抽出し、前記エラー通知情報の送信時量が所定の増加傾向を示す状態を前記変化として検出する装置として、
前記コンピュータを機能させるための前記付記９または前記付記１０のいずれかに記載の不正アクセスプログラム検出プログラム。【００８８】
（付記１２）  前記管理情報監視手段は、前記計算機から収集されたネットワーク情報の管理情報から送信先不明に伴うエラー通知情報を抽出し、前記エラー通知情報の受信情報量が所定の増加傾向を示す状態を前記変化として検出する装置として、
前記コンピュータを機能させるための前記付記９または前記付記１０のいずれかに記載の不正アクセスプログラム検出プログラム。【００８９】
（付記１３）  前記管理情報監視手段は、前記ネットワーク接続装置から収集された管理情報から送信先不明に伴って廃棄された情報量を抽出し、前記廃棄情報量が所定の増加傾向を示す状態を前記変化として検出する装置として、
前記コンピュータを機能させるための前記付記９または前記付記１０のいずれかに記載の不正アクセスプログラム検出プログラム。【００９０】
（付記１４）  前記管理情報監視手段は、前記計算機から収集された管理情報を解析し、前記計算機においてコネクション確立中を示すエンドポイント数もしくはコネクション確立失敗を示すエンドポイント数のいずれかの数値が所定の増加傾向を示す状態を前記変化として検出する装置として、
前記コンピュータを機能させるための前記付記９または前記付記１０のいずれかに記載の不正アクセスプログラム検出プログラム。【００９１】
（付記１５）  ネットワーク内で検出された不正アクセスプログラムを隔離する装置としてコンピュータを機能させるためのプログラムであって、
不正アクセスプログラムの活動が疑われる装置の種類およびアドレス情報を含むアラート情報を受信し、前記アラート情報から、前記変化の検出にかかわるネットワーク情報の管理情報が収集された装置の種別、前記不正アクセスプログラムの活動が疑われる計算機またはネットワーク接続装置のアドレス情報を解析するアラート解析手段と、
前記装置の種別が計算機である場合に、前記アドレス情報によって特定される計算機に対する中継情報の削除指示を生成し、前記装置の種別がネットワーク接続装置である場合に、前記アドレス情報によって特定されるネットワーク接続装置に対する前記不正アクセスプログラムの通信を遮断するフィルタの設定指示を生成する対策指示生成手段と、
前記中継情報の削除指示または前記フィルタの設定指示を送信する対策指示手段とを備える装置として、
前記コンピュータを機能させるための不正アクセスプログラム対策プログラム。【００９２】
（付記１６）  ネットワークの構成を示すネットワーク構成情報を記憶するネットワーク構成情報記憶手段と、
ネットワークの構成を示すネットワーク構成情報を管理するネットワーク構成管理手段とを備え、
前記対策指示生成手段は、前記ネットワーク構成情報を参照して前記不正アクセスプログラムの活動が疑われる計算機またはネットワーク・セグメントまたは前記ネットワーク・セグメントを制御するネットワーク接続装置のアドレス情報を解析する装置として、
前記コンピュータを機能させるための前記付記１５記載の不正アクセスプログラム対策プログラム。【００９３】
（付記１７）  ネットワーク内の不正アクセスプログラムの活動を監視し、検出した不正アクセスプログラムを隔離するシステムであって、
計算機またはネットワーク接続装置から収集されたネットワーク情報の管理情報を蓄積するネットワーク管理情報記憶手段と、
前記管理情報を分析して不正アクセスプログラムの活動に特有なネットワーク情報の管理情報の変化を検出する管理情報監視手段と、
前記変化の検出にかかわるネットワーク情報の管理情報が収集された装置の種別、前記不正アクセスプログラムの活動が疑われる装置のアドレス情報を含むアラート情報を生成するアラート生成手段と、
前記アラート情報から、前記変化の検出にかかわるネットワーク情報の管理情報が収集された装置の種別、前記不正アクセスプログラムの活動が疑われる計算機またはネットワーク接続装置のアドレス情報を解析するアラート解析手段と、
前記装置の種別が計算機である場合に、前記アドレス情報によって特定される計算機に対する中継情報の削除指示を生成し、前記装置の種別がネットワーク接続装置である場合に、前記アドレス情報によって特定されるネットワーク接続装置に対する前記不正アクセスプログラムの通信を遮断するフィルタの設定指示を生成する対策指示生成手段と、
前記中継情報の削除指示または前記フィルタの設定指示を送信する対策指示手段とを備える不正アクセスプログラム監視システム。
【産業上の利用可能性】
【００９４】
本発明は、ネットワーク管理を導入しているネットワークシステムにおいて、ネットワークおよび計算機ごとに特別なソフトウエアを導入することなく、不正アクセスを行うプログラムの検出および対策を実現できる。
【図１】
0004680931.tif 000002
【図２】
0004680931.tif 000003
【図３】
0004680931.tif 000004
【図４】
0004680931.tif 000005
【図５】
0004680931.tif 000006
【図６】
0004680931.tif 000007
【図７】
0004680931.tif 000008
【図８】
0004680931.tif 000009
【図９】
0004680931.tif 000010