(57)【特許請求の範囲】
【請求項１】
コンピュータウィルスの感染による被害範囲を予測するウィルス被害範囲予測システムであって、
前記ウィルス被害範囲予測システムは、
クライアント端末の操作ログ情報を記憶する操作ログ情報記憶部と、
クライアント端末からウィルスを検出したことを示すウィルス検出情報を取得するウィルス検出情報取得部と、
前記ウィルスを検出したクライアント端末に記憶しているファイルにアクセスしたクライアント端末を、前記操作ログ情報に基づいて特定することで、ウィルス感染の被害範囲予測を行う被害範囲予測処理部と、
を有することを特徴とするウィルス被害範囲予測システム。
【請求項２】
前記被害範囲予測処理部は、
前記感染したクライアント端末のクライアント端末識別情報とファイルアクセスを示す操作内容とに基づいて、前記操作ログ情報記憶部に記憶する操作ログ情報を検索し、
前記検索により特定した操作ログ情報のクライアント端末識別情報を抽出することで、感染したクライアント端末に記憶するファイルにアクセスしたクライアント端末を特定する、
ことを特徴とする請求項１に記載のウィルス被害範囲予測システム。
【請求項３】
コンピュータウィルスの感染による被害範囲を予測するウィルス被害範囲予測システムであって、
前記ウィルス被害範囲予測システムは、
クライアント端末の操作ログ情報を記憶する操作ログ情報記憶部と、
クライアント端末で記憶しているファイルのファイル識別情報を少なくとも記憶しているファイル情報記憶部と、
クライアント端末からウィルスを検出したことを示すウィルス検出情報を取得するウィルス検出情報取得部と、
前記ウィルス検出情報を取得すると、そのクライアント端末が記憶しているファイルを、前記ファイル情報記憶部に基づいて特定するファイル特定部と、
前記ファイル特定部で特定したファイルに対してアクセスしたクライアント端末を、前記操作ログ情報記憶部に記憶する操作ログ情報に基づいて特定することで、ウィルス感染の被害範囲予測を行う端末特定部と、
を有することを特徴とするウィルス被害範囲予測システム。
【請求項４】
前記ファイル特定部は、
前記ウィルス検出情報を取得すると、そのウィルス検出情報のクライアント端末識別情報に基づいて、そのクライアント端末で記憶するファイルのファイル識別情報を、前記ファイル情報記憶部から特定し、
前記端末特定部は、
前記ファイル特定部で特定したファイル識別情報とファイルアクセスを示す操作内容とに基づいて、前記操作ログ情報記憶部に記憶する操作ログ情報を検索し、
前記検索により特定した操作ログ情報のクライアント端末識別情報を抽出することで、感染したクライアント端末に記憶するファイルにアクセスしたクライアント端末を特定する、
ことを特徴とする請求項３に記載のウィルス被害範囲予測システム。
【請求項５】
コンピュータウィルスの感染による被害範囲を予測するウィルス被害範囲予測システムであって、
前記ウィルス被害範囲予測システムは、
各クライアント端末の操作ログ情報を記憶する操作ログ情報記憶部と、
クライアント端末からウィルスを検出したことを示すウィルス検出情報を取得するウィルス検出情報取得部と、
前記ウィルスを検出したクライアント端末がアクセスしたファイルに、アクセスしたクライアント端末を前記操作ログ情報に基づいて特定することで、ウィルス感染の被害範囲予測を行う被害範囲予測処理部と、
を有することを特徴とするウィルス被害範囲予測システム。
【請求項６】
コンピュータウィルスの感染による被害範囲を予測するウィルス被害範囲予測システムであって、
前記ウィルス被害範囲予測システムは、
クライアント端末の操作ログ情報を記憶する操作ログ情報記憶部と、
クライアント端末からウィルスを検出したことを示すウィルス検出情報を取得するウィルス検出情報取得部と、
前記ウィルス検出情報を取得すると、そのクライアント端末がアクセスしたファイルを、前記操作ログ情報記憶部に記憶する操作ログ情報に基づいて特定するファイル特定部と、
前記ファイル特定部で特定したファイルに対してアクセスしたクライアント端末を、前記操作ログ情報記憶部に記憶する操作ログ情報に基づいて特定することで、ウィルス感染の被害範囲予測を行う端末特定部と、
を有することを特徴とするウィルス被害範囲予測システム。
【請求項７】
前記ファイル特定部は、
前記ウィルス検出情報を取得すると、そのウィルス検出情報のクライアント端末識別情報とファイルアクセスを示す操作内容とに基づいて、そのクライアント端末がアクセスしたファイルのファイル識別情報とその保存場所の情報とを、前記操作ログ情報記憶部に記憶する操作ログ情報に基づいて特定し、
前記端末特定部は、
前記ファイル特定部で特定したファイル識別情報とその保存場所の情報とファイルアクセスを示す操作内容とに基づいて、前記操作ログ情報記憶部に記憶する操作ログ情報を検索し、
前記検索により特定した操作ログ情報のクライアント端末識別情報を抽出することで、感染したクライアント端末に記憶するファイルにアクセスしたクライアント端末を特定する、
ことを特徴とする請求項６に記載のウィルス被害範囲予測システム。
【請求項８】
前記ウィルス被害範囲予測システムは、更に、
前記ウィルス感染の被害が予測されるとして特定されたクライアント端末について、ネットワーク接続の遮断処理を実行するネットワーク接続遮断処理部、
を有することを特徴とする請求項１から請求項７のいずれかに記載のウィルス被害範囲予測システム。
【請求項９】
クライアント端末の操作ログ情報を記憶装置に記憶するコンピュータ端末を、
クライアント端末からウィルスを検出したことを示すウィルス検出情報を取得するウィルス検出情報取得部、
前記ウィルスを検出したクライアント端末に記憶しているファイルにアクセスしたクライアント端末を前記記憶装置に記憶した操作ログ情報に基づいて特定することで、ウィルス感染の被害範囲予測を行う被害範囲予測処理部、
として機能させることを特徴とするウィルス被害範囲予測プログラム。
【請求項１０】
クライアント端末の操作ログ情報を記憶装置に記憶するコンピュータ端末を、
クライアント端末からウィルスを検出したことを示すウィルス検出情報を取得するウィルス検出情報取得部、
前記ウィルスを検出したクライアント端末がアクセスしたファイルに、アクセスしたクライアント端末を前記記憶装置に記憶した操作ログ情報に基づいて特定することで、ウィルス感染の被害範囲予測を行う被害範囲予測処理部、
として機能させることを特徴とするウィルス被害範囲予測プログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、企業などの組織で使用しているコンピュータ端末にコンピュータウィルスが感染した場合、その被害範囲を予測するウィルス被害範囲予測システムに関する。更には、感染していると予測されるコンピュータ端末を、ネットワークから切り離すウィルス被害範囲予測システムに関する。
【背景技術】
【０００２】
企業などの組織ではその業務遂行のために多数のコンピュータ端末を使用している。しかし何らかの理由により、一部のコンピュータ端末がコンピュータウィルス（本明細書では「ウィルス」と呼ぶ。またウィルスとは、「自らまたはほかのコンピュータ端末に対して何らかの被害をもたらす不正なプログラムまたはプログラム断片（ほかのアプリケーションプログラム上で起動するプログラムの一部）」であればよく、いわゆる電子メールやウェブブラウザなどを介して感染するコンピュータウィルスのほかにも、ワーム、ボット、ルートキットなど様々なものが含まれる。本明細書ではそれらを総称して「ウィルス」と称する）に感染してしまう場合もある。このような場合、システム管理者は、感染したコンピュータ端末からほかのコンピュータ端末へのウィルス感染を防止するために、ウィルス感染を検出したコンピュータ端末を直ちにネットワークから遮断するとともに、その感染経路を特定し、新たな感染を防止することが求められる。
【０００３】
下記特許文献１にウィルスの感染経路を特定するシステムの一例が記載されている。また特許文献２にはウィルスや不正アクセスがあった場合に、それを通知するシステムの一例が記載されている。
【０００４】
【特許文献１】特開２００２−２８７９９１号公報
【特許文献２】特開２００７−２０６７５０号公報
【発明の開示】
【発明が解決しようとする課題】
【０００５】
上記特許文献１の発明を用いた場合、どのような経路でコンピュータがウィルスに感染したか、その経路を特定することが出来る点で有益である。そしてシステム管理者は、特定した感染経路をたどることによって、ほかに感染している可能性のあるコンピュータ端末が存在しないか、を特定する作業を行う。
【０００６】
つまり感染経路を特定するような従来のシステムの場合、コンピュータ端末がウィルスに感染した経路を特定できたとしても、感染している可能性のあるほかのコンピュータ端末、つまりウィルス感染の被害範囲の予測を行うことは出来ない。そのため上述のように、システム管理者が、特定した感染経路をたどることによって、ほかに感染している可能性のあるコンピュータ端末が存在するかを、特定する必要がある。
【０００７】
ところがウィルスの場合、感染したコンピュータ端末が利用したファイルなどを、ほかのコンピュータ端末が利用することによって、ほかのコンピュータ端末へ感染し、被害が拡大することも多い。従って、ウィルス感染の経路を特定したのちに、システム管理者がその経路をたどることで、ほかに感染しているコンピュータ端末を特定し、そのコンピュータ端末のネットワーク接続を遮断する、といったプロセスを経ていたのでは時間を要してしまい、ほかのコンピュータ端末へ被害が拡大するおそれがある。
【０００８】
そこで被害拡大防止のために、上述の特許文献２のように、ウィルス感染や不正アクセスなどがあった場合、システム管理者が利用する所定の電話番号などにＦＡＸで通知するシステムがある。しかしこのシステムを用いたとしても、被害の可能性のある範囲を予測することは出来ない。そのため結局は従来と同様に、システム管理者が、逐次、ほかに感染している可能性のあるコンピュータ端末が存在するかを、特定する必要がある。
【０００９】
また被害拡大防止のためには、ウィルス感染を検出した段階で、ほかのすべてのコンピュータ端末のネットワーク接続を遮断することで、被害拡大を防止することが出来るが、全く関係のないコンピュータ端末までネットワーク接続が遮断されてしまうと、日常業務に著しい支障を来してしまう。
【００１０】
そのため、一台のコンピュータ端末でウィルス感染を検出した場合、速やかにその感染範囲を適切に予測することが出来るシステムが望まれている。そして、予測した範囲のコンピュータ端末のネットワーク接続を遮断することで、被害拡大を防止するシステムが望まれている。
【課題を解決するための手段】
【００１１】
本発明者は上記課題に鑑み、本発明のウィルス被害範囲予測システムを発明した。
【００１２】
第１の発明は、コンピュータウィルスの感染による被害範囲を予測するウィルス被害範囲予測システムであって、前記ウィルス被害範囲予測システムは、クライアント端末の操作ログ情報を記憶する操作ログ情報記憶部と、クライアント端末からウィルスを検出したことを示すウィルス検出情報を取得するウィルス検出情報取得部と、前記ウィルスを検出したクライアント端末に記憶しているファイルにアクセスしたクライアント端末を、前記操作ログ情報に基づいて特定することで、ウィルス感染の被害範囲予測を行う被害範囲予測処理部と、を有するウィルス被害範囲予測システムである。
【００１３】
ウィルスに感染する可能性の第一は、ほかのクライアント端末が、ウィルス感染したクライアント端末に記憶しているファイルにアクセスする場合である。そのため本発明のように構成することで、ウィルスを検出したクライアント端末に記憶するファイルにアクセスしたほかのクライアント端末を、ウィルス感染の可能性がある被害範囲として予測することが可能となる。
【００１４】
また上述の発明において、前記被害範囲予測処理部は、前記感染したクライアント端末のクライアント端末識別情報とファイルアクセスを示す操作内容とに基づいて、前記操作ログ情報記憶部に記憶する操作ログ情報を検索し、前記検索により特定した操作ログ情報のクライアント端末識別情報を抽出することで、感染したクライアント端末に記憶するファイルにアクセスしたクライアント端末を特定する、ウィルス被害範囲予測システムのように構成することが出来る。
【００１５】
上述の発明は、以下の発明のように構成することも出来る。すなわち、コンピュータウィルスの感染による被害範囲を予測するウィルス被害範囲予測システムであって、前記ウィルス被害範囲予測システムは、クライアント端末の操作ログ情報を記憶する操作ログ情報記憶部と、クライアント端末で記憶しているファイルのファイル識別情報を少なくとも記憶しているファイル情報記憶部と、クライアント端末からウィルスを検出したことを示すウィルス検出情報を取得するウィルス検出情報取得部と、前記ウィルス検出情報を取得すると、そのクライアント端末が記憶しているファイルを、前記ファイル情報記憶部に基づいて特定するファイル特定部と、前記ファイル特定部で特定したファイルに対してアクセスしたクライアント端末を、前記操作ログ情報記憶部に記憶する操作ログ情報に基づいて特定することで、ウィルス感染の被害範囲予測を行う端末特定部と、を有するウィルス被害範囲予測システムのように構成することも出来る。
【００１６】
また上述の発明において、前記ファイル特定部は、前記ウィルス検出情報を取得すると、そのウィルス検出情報のクライアント端末識別情報に基づいて、そのクライアント端末で記憶するファイルのファイル識別情報を、前記ファイル情報記憶部から特定し、前記端末特定部は、前記ファイル特定部で特定したファイル識別情報とファイルアクセスを示す操作内容とに基づいて、前記操作ログ情報記憶部に記憶する操作ログ情報を検索し、前記検索により特定した操作ログ情報のクライアント端末識別情報を抽出することで、感染したクライアント端末に記憶するファイルにアクセスしたクライアント端末を特定する、ウィルス被害範囲予測システムのように構成することも出来る。
【００１７】
更に、上述の発明では、ウィルス感染したクライアント端末に記憶するファイルにアクセスしたほかのクライアント端末を特定することで、ウィルス感染の被害範囲を予測したが、以下の発明のように構成しても、ウィルス感染の被害範囲を予測することも出来る。すなわち、コンピュータウィルスの感染による被害範囲を予測するウィルス被害範囲予測システムであって、前記ウィルス被害範囲予測システムは、各クライアント端末の操作ログ情報を記憶する操作ログ情報記憶部と、クライアント端末からウィルスを検出したことを示すウィルス検出情報を取得するウィルス検出情報取得部と、前記ウィルスを検出したクライアント端末がアクセスしたファイルに、アクセスしたクライアント端末を前記操作ログ情報に基づいて特定することで、ウィルス感染の被害範囲予測を行う被害範囲予測処理部と、を有するウィルス被害範囲予測システムのように構成しても良い。
【００１８】
ウィルス感染したクライアント端末がアクセスしたファイルに、ほかのクライアント端末がアクセスしたことによって、そのほかのクライアント端末がウィルスに感染することもある。そこで本発明のように構成することで、ウィルスを検出したクライアント端末がアクセスしたファイルに、アクセスしたほかのクライアント端末を、ウィルス感染の可能性がある被害範囲として予測することが可能となる。
【００１９】
上述の発明は、以下の発明のように構成することも出来る。すなわち、コンピュータウィルスの感染による被害範囲を予測するウィルス被害範囲予測システムであって、前記ウィルス被害範囲予測システムは、クライアント端末の操作ログ情報を記憶する操作ログ情報記憶部と、クライアント端末からウィルスを検出したことを示すウィルス検出情報を取得するウィルス検出情報取得部と、前記ウィルス検出情報を取得すると、そのクライアント端末がアクセスしたファイルを、前記操作ログ情報記憶部に記憶する操作ログ情報に基づいて特定するファイル特定部と、前記ファイル特定部で特定したファイルに対してアクセスしたクライアント端末を、前記操作ログ情報記憶部に記憶する操作ログ情報に基づいて特定することで、ウィルス感染の被害範囲予測を行う端末特定部と、を有するウィルス被害範囲予測システムのように構成することも出来る。
【００２０】
また上述の発明において、前記ファイル特定部は、前記ウィルス検出情報を取得すると、そのウィルス検出情報のクライアント端末識別情報とファイルアクセスを示す操作内容とに基づいて、そのクライアント端末がアクセスしたファイルのファイル識別情報とその保存場所の情報とを、前記操作ログ情報記憶部に記憶する操作ログ情報に基づいて特定し、前記端末特定部は、前記ファイル特定部で特定したファイル識別情報とその保存場所の情報とファイルアクセスを示す操作内容とに基づいて、前記操作ログ情報記憶部に記憶する操作ログ情報を検索し、前記検索により特定した操作ログ情報のクライアント端末識別情報を抽出することで、感染したクライアント端末に記憶するファイルにアクセスしたクライアント端末を特定する、ウィルス被害範囲予測システムのように構成することも出来る。
【００２１】
ウィルスに感染していると予測したクライアント端末については、その被害の拡大を防止するためにも、ネットワーク接続を遮断することが好ましい。そこで以下の発明のように構成することで、ネットワーク接続を遮断させることが可能となる。すなわち、前記ウィルス被害範囲予測システムは、更に、前記ウィルス感染の被害が予測されるとして特定されたクライアント端末について、ネットワーク接続の遮断処理を実行するネットワーク接続遮断処理部、を有するウィルス被害範囲予測システムのように構成しても良い。
【００２２】
本発明のプログラムをコンピュータ端末に読み込ませて実行することで、上述のシステムが構成できる。すなわち、クライアント端末の操作ログ情報を記憶装置に記憶するコンピュータ端末を、クライアント端末からウィルスを検出したことを示すウィルス検出情報を取得するウィルス検出情報取得部、前記ウィルスを検出したクライアント端末に記憶しているファイルにアクセスしたクライアント端末を前記記憶装置に記憶した操作ログ情報に基づいて特定することで、ウィルス感染の被害範囲予測を行う被害範囲予測処理部、として機能させるウィルス被害範囲予測プログラムのように構成しても良い。
【００２３】
更に、本発明のプログラムをコンピュータ端末に読み込ませて実行することで、上述のシステムを構成できる。すなわち、クライアント端末の操作ログ情報を記憶装置に記憶するコンピュータ端末を、クライアント端末からウィルスを検出したことを示すウィルス検出情報を取得するウィルス検出情報取得部、前記ウィルスを検出したクライアント端末がアクセスしたファイルに、アクセスしたクライアント端末を前記記憶装置に記憶した操作ログ情報に基づいて特定することで、ウィルス感染の被害範囲予測を行う被害範囲予測処理部、として機能させるウィルス被害範囲予測プログラムのように構成しても良い。
【発明の効果】
【００２４】
本発明のウィルス被害範囲予測システムを用いることによって、従来のように単に感染経路を特定するのではなく、ウィルスに感染していそうなほかのコンピュータ端末が存在していないかを特定し、つまり被害範囲を予測し、その範囲内のコンピュータ端末のネットワーク接続を遮断することが可能となる。これによって、被害拡大を防止することが出来るとともに、ウィルスに感染していないコンピュータ端末のネットワーク接続はそのまま維持することが出来る。そのため日常業務にも著しい支障は来さない。
【発明を実施するための最良の形態】
【００２５】
本発明のウィルス被害範囲予測システム１の全体の概念図を図１に示す。またウィルス被害範囲予測システム１のシステム構成の一例の概念図を図２に示す。
【００２６】
本発明のウィルス被害範囲予測システム１は、各クライアント端末４を監視する管理者が利用するコンピュータ端末またはサーバ（以下、「管理サーバ２」という）において、所定のプログラムやモジュールが処理されることにより実現される。管理サーバ２は、複数のクライアント端末４においてどのようなファイルやプログラムが実行されているか、を記録、監視することが好ましい。そのため、各クライアント端末４には、当該クライアント端末４において実行されているプログラム名、ファイル名などの情報を定期的に、あるいは新たなプログラムやファイルが実行された場合または終了した場合などの所定のタイミングで、クライアント端末４から管理サーバ２にそのプログラム名やファイル名の情報を送信する機能を備えていることが好ましい。プログラム名やファイル名の情報を送信する機能は、クライアント端末４の演算装置２０で実行しているプログラム名やファイル名を抽出したり、メモリ内のプログラム名やファイル名を抽出して送信すればよい。つまりいわゆる操作ログ情報をクライアント端末４から管理サーバ２に送信すればよい。
【００２７】
またクライアント端末４には、定期的にまたは所定のタイミング（たとえば電子メールを受信した場合やウェブブラウザでウェブサイトを閲覧した場合、などネットワーク経由で何らかのデータを受信した場合、ＵＳＢメモリなどの記憶装置２１をクライアント端末４に接続した場合など）において、ウィルスに感染していないかをウィルススキャンするウィルス検出機能を備えている。このウィルス検出機能は公知の様々な製品を適用することが出来る。
【００２８】
なお本明細書において「クライアント端末４」との記載には、ユーザが操作するコンピュータ端末のほか、「ファイルサーバ」なども含まれる。
【００２９】
管理者端末３は、管理サーバ２を利用するシステム管理者が利用するコンピュータ端末であって、管理サーバ２からの所定の通知などを受信し、また管理サーバ２に対して何らかの制御指示を送信することを可能にしてもよい。なお管理者端末３は管理サーバ２とは一体的に設けられていても良いし、別のコンピュータ端末として設けられていても良い。
【００３０】
管理サーバ２、クライアント端末４、管理者端末３は、プログラムの演算処理を実行するＣＰＵなどの演算装置２０と、情報を記憶するＲＡＭやハードディスクなどの記憶装置２１と、演算装置２０の処理結果や記憶装置２１に記憶する情報をインターネットやＬＡＮなどのネットワークを介して送受信する通信装置２４とを有している。またクライアント端末４、管理者端末３では、更に、ディスプレイなどの表示装置２２を有している。コンピュータ上で実現する各機能（各手段）は、その処理を実行する手段（プログラムやモジュールなど）が演算装置２０に読み込まれることでその処理が実行される。各機能は、記憶装置２１に記憶した情報をその処理において使用する場合には、該当する情報を当該記憶装置２１から読み出し、読み出した情報を適宜、演算装置２０における処理に用いる。当該コンピュータには、キーボードやマウスやテンキーなどの入力装置２３を有していても良い。図３に管理サーバ２のハードウェア構成の一例を模式的に示す。また、管理サーバ２は、複数のコンピュータ端末またはサーバに、その機能が分散配置されていても良い。
【００３１】
本発明における各手段は、その機能が論理的に区別されているのみであって、物理上あるいは事実上は同一の領域を為していても良い。
【００３２】
ウィルス被害範囲予測システム１は、操作ログ情報取得部５と操作ログ情報記憶部６とファイル情報取得部７とファイル情報記憶部８とウィルス検出情報取得部９と被害範囲予測処理部１０とネットワーク接続遮断処理部１１とを有する。
【００３３】
操作ログ情報取得部５は、各クライアント端末４から定期的にまたは不定期に、当該クライアント端末４における操作ログ情報を取得する。取得した操作ログ情報は、後述する操作ログ情報記憶部６に、その日時、どのクライアント端末４における操作ログ情報であるかを識別する情報と共に、記憶させる。なお操作ログ情報としては、各クライアント端末４における操作内容やそのクライアント端末４における処理内容などを示す情報であればよく、例えば「ファイルコピー」、「ファイル選択」、「ファイルアクセス」など、当該クライアント端末４の操作者の操作を示す情報が該当する。また、管理サーバ２が各クライアント端末４から操作ログ情報を取得する際にはネットワークを介して取得しても良いし、操作ログ情報がクライアント端末４においてＤＶＤなどの記録媒体に記録され、その記録媒体が管理サーバ２に読み取られ、そこから操作ログ情報を読み込むことによって取得しても良い。
【００３４】
操作ログ情報記憶部６は、操作ログ情報取得部５で各クライアント端末４から取得した操作ログ情報を記憶する。操作ログ情報には、クライアント端末４を識別する情報、操作内容を示す情報、操作内容の操作対象となったファイルやアプリケーションの名称、当該ファイルやアプリケーションの所在位置を示す情報、日時または日時を数値化した情報などが含まれている。図６に操作ログ情報の一例を示す。なお操作ログ情報は、各クライアント端末４またはそのユーザ（ログイン名など）ごとに記憶することが好ましい。なお操作内容を示す情報を日時などに対応づける場合には、クライアント端末４で行っても良いし、操作ログ情報を管理サーバ２で取得した際に行っても良いし、或いは操作ログ情報記憶部６で記憶した際に行っても良い。また図７に操作ログ情報記憶部６の概念図の一例を模式的に示す。
【００３５】
ファイル情報取得部７は、各クライアント端末４などで記憶しているファイル情報を、クライアント端末４などから取得して後述するファイル情報記憶部８に記憶させる。
【００３６】
これは定期的に各クライアント端末４に、それらで記憶しているファイルの、ファイル識別情報（ファイル名など）、保存場所などの情報を問い合わせて、その結果を取得すればよい。またほかにも、操作ログ情報取得部５や操作ログ情報記憶部６における操作ログ情報を監視し、その操作内容が「ファイル作成」などを含む操作ログ情報であると、そのファイル名と保存場所の情報とを取得することによって、それを後述するファイル情報記憶部８に記憶させる。更に操作内容が「ファイル名変更」などの場合にはファイル名（変更前と変更後のファイル名）と保存場所の情報とに基づいて、ファイル名を変更してもよいし、「ファイル削除」の場合にはファイル名と保存場所の情報とに基づいて、ファイル名を削除してもよい。更に「ファイル貼り付け」などの場合には、操作内容が「ファイルコピー」である操作ログ情報（「ファイル貼り付け」に対応する操作ログ情報）を特定し、そのファイル名と、「ファイル貼り付け」の保存場所の情報とに基づいてファイル情報をファイル情報記憶部８に記憶させてもよい。
【００３７】
すなわちファイル情報取得部７は様々な方法により、各クライアント端末４などで記憶しているファイル情報、少なくともウィルス感染しているクライアント端末４に記憶しているファイル情報をファイル情報記憶部８に記憶させればよい。
【００３８】
ファイル情報記憶部８は、各クライアント端末４に記憶しているファイル情報を記憶している。このファイル情報としては、少なくともファイル識別情報を、ファイルを記憶しているクライアント端末４ごとに記憶していることが好ましい。またファイル識別情報のほかに、ファイルが作成された日時などを記憶していてもよい。図８にファイル情報記憶部８の一例の概念図を模式的に示す。
【００３９】
なおファイル情報取得部７、ファイル情報記憶部８をウィルス被害範囲予測システム１に備えずに、後述するウィルス検出情報取得部９でウィルス検出の情報を取得したのちに、当該クライアント端末４に記憶されていたファイル情報を取得してもよい。
【００４０】
ウィルス検出情報取得部９は、クライアント端末４でウィルスを検出した場合に、そのウィルス検出情報を取得する。ウィルス検出情報としては、ウィルスが検出されたことの通知とどのクライアント端末４で検出したかを識別するクライアント端末識別情報などが含まれる。また場合によっては検出日時の情報、ウィルス感染を検出したファイルのファイル識別情報などが含まれてもよい。
【００４１】
被害範囲予測処理部１０は、ウィルス検出情報取得部９でウィルス検出情報を取得すると、ウィルス感染したクライアント端末４以外のほかのクライアント端末４で感染している可能性のあるクライアント端末４を予測する、つまりウィルス感染の被害範囲の予測を行う。被害範囲予測処理部１０は、ファイル特定部１０１と端末特定部１０２とを有する。
【００４２】
ファイル特定部１０１は、ウィルス感染したクライアント端末４で記憶しているファイル、またはウィルス感染したクライアント端末４がアクセスしたファイルを特定する。
【００４３】
まず前者（第一の方法）の場合、ウィルス検出情報取得部９で取得したウィルス検出情報に基づいて、ウィルス感染したクライアント端末４の識別情報を取得しているので、そのクライアント端末識別情報を用いて、当該ウィルス感染したクライアント端末４で記憶しているファイルのファイル識別情報をファイル情報記憶部８から特定する。つまりウィルス感染したクライアント端末４のクライアント端末識別情報に基づいてファイル情報記憶部８を検索し、当該クライアント端末４が記憶しているファイル識別情報を特定する。
【００４４】
また後者（第二の方法）の場合、ウィルス検出情報取得部９で取得したウィルス検出情報に基づいて、ウィルス感染したクライアント端末４の識別情報を取得しているので、そのクライアント端末識別情報を用いて、当該ウィルス感染したクライアント端末４がアクセスしたファイルのファイル識別情報を操作ログ情報記憶部６から特定する。つまりウィルス感染したクライアント端末４のクライアント端末識別情報に基づいて操作ログ情報記憶部６を検索し、当該クライアント端末識別情報と「ファイルアクセス」を示す操作内容とを含む操作ログ情報を特定し、その特定した操作ログ情報から、ファイル識別情報を抽出することで、当該クライアント端末４がアクセスしたファイル識別情報とそのファイルの保存場所を特定する。なおこの場合、当該操作から一定期間前までの操作ログ情報を検索対象とすることがよい。一定期間は任意に設定できるが、たとえばクライアント端末４におけるウィルス検出機能によるウィルススキャンのタイミングの間隔（３日ごとにウィルススキャンをするのであれば、３日を一定期間とする。あるいは前回のウィルス検索のタイミング以降などとしても良い）としてもよいし、２４時間、４８時間、７２時間といったように、適宜設定してもよい。
【００４５】
端末特定部１０２は、ファイル特定部１０１で特定したファイル識別情報のファイルに対して、所定時間内にアクセスしたほかのクライアント端末４の識別情報を、操作ログ情報記憶部６に基づいて特定する。
【００４６】
たとえばファイル特定部１０１で第一の方法を用いた場合であって、ウィルス感染したクライアント端末４の識別情報が「ＡＢＣ１２３４５６７８」であり、そこに記憶しているファイルのファイル識別情報が「ＡＡＡＡＡＡＡ」、「ＢＢＢＢＢＢＢ」、「ＣＣＣＣＣＣＣ」、「ＤＤＤＤＤＤＤ」であったとする。この場合、操作ログ情報記憶部６に記憶する操作ログ情報が図７であり、所定期間前（たとえば７２時間前）までの操作ログ情報を処理対象とすると、ファイル識別情報「ＡＡＡＡＡＡＡ」、「ＢＢＢＢＢＢＢ」、「ＣＣＣＣＣＣＣ」、「ＤＤＤＤＤＤＤ」にアクセスしたクライアント端末識別情報「ＡＢＣ１２３４５６７８」以外のクライアント端末４を、操作ログ情報に基づいて特定する。これは、たとえば７２時間前までの操作ログ情報のうち、「ファイルアクセス」を示す操作内容であり、ファイル識別情報「ＡＡＡＡＡＡＡ」、「ＢＢＢＢＢＢＢ」、「ＣＣＣＣＣＣＣ」、「ＤＤＤＤＤＤＤ」のいずれかであって、そのファイルの保存場所がウィルス感染したクライアント端末４の識別情報「ＡＢＣ１２３４５６７８」である操作ログ情報を特定し、特定した操作ログ情報のクライアント端末識別情報を、抽出することで行える。この処理を図９に示す。
【００４７】
従って図９の場合、クライアント端末識別情報が「ＤＥＦ３３３３４４４４」、「ＧＨＩ４５６９８７３３」、「ＳＤＦ１２３３３２１１」、「ＹＵＩ４５６５４４４」の各クライアント端末４がウィルス感染の被害範囲であると予測する。
【００４８】
なおファイル識別情報により特定するのではなく、ウィルス感染したクライアント端末４のクライアント端末識別情報と「ファイルアクセス」を示す操作内容とに基づいて、所定期間前までの操作ログ情報を検索することで、それらにアクセスしたほかのクライアント端末４を特定するように構成しても良い。
【００４９】
またファイル特定部１０１で第二の方法を用いた場合であって、ウィルス感染したクライアント端末４の識別情報が「ＡＢＣ１２３４５６７８」であり、そのクライアント端末４が一定期間内にアクセスしたファイルのファイル識別情報が「ＡＡＡＡＡＡＡ」（保存場所「クライアント端末ＡＢＣ１２３４５６７８」）、「ＢＢＢＢＢＢＢ」（保存場所「File server3」）、「ＣＣＣＣＣＣＣ」（保存場所「File server4」）、「ＤＤＤＤＤＤＤ」（保存場所「File server2」）であったとする。この場合、操作ログ情報記憶部６に記憶する操作ログ情報が図１０であり、所定期間前（たとえば７２時間前）までの操作ログ情報を処理対象とすると、「ＡＡＡＡＡＡＡ」（保存場所「クライアント端末ＡＢＣ１２３４５６７８」）、「ＢＢＢＢＢＢＢ」（保存場所「File server3」）、「ＣＣＣＣＣＣＣ」（保存場所「File server4」）、「ＤＤＤＤＤＤＤ」（保存場所「File server2」）にアクセスしたクライアント端末識別情報「ＡＢＣ１２３４５６７８」以外のクライアント端末４を、操作ログ情報に基づいて特定する。これは、たとえば７２時間前までの操作ログ情報のうち、「ファイルアクセス」を示す操作内容であり、ファイル識別情報「ＡＡＡＡＡＡＡ」（保存場所「クライアント端末ＡＢＣ１２３４５６７８」）、「ＢＢＢＢＢＢＢ」（保存場所「File server3」）、「ＣＣＣＣＣＣＣ」（保存場所「File server4」）、「ＤＤＤＤＤＤＤ」（保存場所「File server2」）のいずれかであって、そのファイルの保存場所がウィルス感染したクライアント端末４がアクセスしたファイルの保存場所である操作ログ情報を特定し、特定した操作ログ情報のクライアント端末識別情報を、抽出することで行える。この処理を図１１に示す。
【００５０】
従って図１１の場合、クライアント端末識別情報が「ＤＥＦ３３３３４４４４」、「ＧＨＩ４５６９８７３３」、「ＳＤＦ１２３３３２１１」、「ＹＵＩ４５６５４４４」の各クライアント端末４がウィルス感染の被害範囲であると予測する。
【００５１】
なお被害範囲予測処理部１０において第一の方法、第二の方法のいずれを用いてもよいし、あるいは双方を用いてもよい。
【００５２】
更に被害範囲予測処理部１０は、ファイル特定部１０１、端末特定部１０２の双方を用いずとも良い。すなわち、被害範囲予測処理部１０は、上述のファイル特定部１０１における第一の方法により、ウィルス感染したクライアント端末４で記憶しているファイルを特定し、あるいは第二の方法により、ウィルス感染したクライアント端末がアクセスしたファイルを特定している。この際に、ファイルは操作ログ情報により特定しているが、この操作ログ情報には、そのファイルの保存場所の情報も記憶されている。従って、このファイルの保存場所の情報により、ウィルス感染している可能性のあるクライアント端末４を特定することも出来る。この場合、ファイル特定部１０１及び端末特定部１０２の処理を実質的にワンプロセスで行ってしまうので、処理の簡略化が図れる。
【００５３】
ネットワーク接続遮断処理部１１は、被害範囲予測処理部１０においてウィルス感染の被害範囲であると予測したクライアント端末４について、そのネットワーク接続を遮断する。例えば予測したクライアント端末識別情報のクライアント端末４に対して、ネットワーク接続を遮断させる制御指示を送信する。ネットワーク接続の遮断方法としては、当該クライアント端末４のネットワークドライバの動作を停止させる、ＡＲＰ（アドレスレゾリューションプロトコル）応答パケットを偽装することにより、ネットワークにおいて当該クライアント端末４を認識できなくする、ＩＰアドレスを強制的に放棄させ、ＩＰアドレスの割り当てを停止する、などの方法がある。またほかにもウィルス感染していないと予測されるクライアント端末４（被害範囲予測処理部１０で予測したクライアント端末識別情報のクライアント端末４以外のクライアント端末４）に対して、予測したクライアント端末４からのネットワーク接続要求をすべて拒否する制御指示を送信する、ＤＮＳサーバに対して、被害範囲予測処理部１０で予測したクライアント端末４を、現在参加しているドメインから強制的にログオフさせ、以降はログイン不可とする制御指示を送信する、などにより行うことも出来る。
【００５４】
またネットワーク接続を遮断した場合には、ネットワーク接続遮断処理部１１は、遮断したクライアント端末４について、ネットワーク接続を遮断したことを管理者端末３に通知しても良い。
【００５５】
なおネットワーク接続が遮断された各クライアント端末４については、ウィルス感染の確認、ウィルスの除去処理などが完了後、システム管理者の管理者端末３からの所定の制御指示により、ネットワーク接続が復活できるようにすることが好ましい。
【実施例１】
【００５６】
次に本発明のウィルス被害範囲予測システム１の処理プロセスの一例を図４及び図５のフローチャート、図２の概念図を用いて説明する。
【００５７】
各クライアント端末４から管理サーバ２に、当該クライアント端末４の操作ログ情報が、定期的にまたは所定のタイミングで送信されている。操作ログ情報については操作ログ情報取得部５で取得する。
【００５８】
操作ログ情報取得部５で取得した操作ログ情報は、操作ログ情報記憶部６に記憶させる。操作ログ情報には、当該クライアント端末４を識別する情報、日時の情報などが含まれていることが一般的ではあるが、含まれていない場合には、それらの情報をあわせて取得することによって、対応づけて操作ログ情報記憶部６に記憶させる。
【００５９】
また各クライアント端末４では、定期的にまたは所定のタイミングでウィルス検出機能を用いてウィルススキャンの処理が実行される。このウィルススキャンの処理において、何らかのウィルスが検出されると（Ｓ１００）、当該クライアント端末４は、管理サーバ２に対して、ウィルスが検出されたことを示す情報と当該クライアント端末４の識別情報とを含むウィルス検出情報を送信する（Ｓ１１０）。
【００６０】
このウィルス検出情報は、管理サーバ２のウィルス検出情報取得部９で取得する。そして被害範囲予測処理部１０のファイル特定部１０１は、上述の第一の方法により、ウィルス感染しているクライアント端末４に記憶しているファイルのファイル識別情報を特定し、または上述の第二の方法により、ウィルス感染しているクライアント端末４がアクセスしたファイルのファイル識別情報を特定する（Ｓ１２０）。
【００６１】
被害範囲予測処理部１０の端末特定部１０２は、ファイル特定部１０１が特定したファイル識別情報のファイルにアクセスした、ウィルスに感染したクライアント端末４以外のクライアント端末４の識別情報を、操作ログ情報記憶部６に記憶する操作ログ情報に基づいて特定する（Ｓ１３０）。
【００６２】
このようにして特定したクライアント端末識別情報のクライアント端末４は、ウィルス感染の被害が予測されるクライアント端末４であるので、ネットワーク接続遮断処理部１１は、端末特定部１０２で特定したクライアント端末識別情報のクライアント端末４について、ネットワーク接続を遮断する制御を実行する（Ｓ１４０）。例えば特定したクライアント端末４に対して、ネットワーク接続を遮断する制御指示を送信したり、ＤＮＳサーバに対して、当該クライアント端末４のドメインからの強制ログオフの制御指示を送信したり、特定したクライアント端末４以外のクライアント端末４に対して、当該特定したクライアント端末４からのネットワーク接続を拒否する制御指示を送信するなどがある。
【００６３】
以上のような処理を実行することで、ウィルス感染を検出したクライアント端末４のみならず、その被害が予測されるほかのクライアント端末４についても、速やかにネットワーク接続を遮断することが出来る。一方で、その被害が予測されないクライアント端末４については従前通り、そのままネットワーク接続が維持されたままなので、日常業務にも支障を来さない。
【実施例２】
【００６４】
上述の実施例では管理サーバ２においてその処理の一部または全部が実行される場合を説明したが、これらの機能がクライアント端末４、管理サーバ２、管理者端末３において適宜、分散配置していても良い。
【００６５】
なお分散配置のバリエーションには様々なパターンがあり、如何なる配置形態であっても良い。これらの場合、各クライアント端末４や管理者端末３における処理の際に、管理サーバ２の各機能を利用する場合にはその問い合わせを当該クライアント端末４や管理者端末３から管理サーバ２に対して行い、その結果を当該クライアント端末４や管理者端末３における処理に用いる。そしてその処理結果をクライアント端末４や管理者端末３で実行することとなる。
【実施例３】
【００６６】
上述の各機能がクライアント端末４に備えられていても良い。すなわち操作ログ情報取得部５、操作ログ情報記憶部６、ファイル情報取得部７、ファイル情報記憶部８、ウィルス検出情報取得部９、被害範囲予測処理部１０、ネットワーク接続遮断処理部１１をクライアント端末４に備えていても良い。
【００６７】
この場合、当該クライアント端末４は、ほかのクライアント端末４がウィルスに感染した場合、その情報をウィルス検出情報取得部９で取得する。そして被害範囲予測処理部１０は、上述の各実施例の処理を実行することにより、当該クライアント端末４が、ウィルスに感染したクライアント端末４（ウィルス検出情報を送信したクライアント端末４）にアクセスしたかを判定する。そしてウィルス感染したクライアント端末４に当該クライアント端末４がアクセスしていた場合には、当該クライアント端末４もウィルスに感染している可能性があるので、ネットワーク接続遮断処理部１１が当該クライアント端末４のネットワーク接続を遮断する制御処理を実行したり、あるいはほかのクライアント端末４または所定のサーバなどに、ネットワーク接続を遮断させる制御指示を送信する。この制御指示を受け取ったほかのクライアント端末４や所定のサーバは、制御指示に従って、ウィルス感染が予測されるクライアント端末４とのネットワーク接続を遮断したり、ネットワーク接続要求を拒否するなどの処理を実行する。
【実施例４】
【００６８】
また上述の各機能がクライアント端末４に備えられている場合に、自らの端末がウィルスに感染する場合もある（自らの端末でウィルスを検出した場合）。この場合、当該クライアント端末４にアクセスしてきたほかのクライアント端末４を、上述の各実施例の処理を実行することにより、被害範囲予測処理部１０が判定する。そしてウィルス感染が予測されるクライアント端末４や所定のサーバに対して、ウィルス感染が予測されることの通知を送信したり、ネットワーク接続遮断処理部１１によるネットワーク接続の遮断処理を実行させるための制御指示を送信する。
【００６９】
これにより、自らのクライアント端末４がウィルスに感染した場合でも、その端末にアクセスしたほかのクライアント端末４がウィルス感染が予測されることを判定し、対応することが可能となる。
【産業上の利用可能性】
【００７０】
上述の各発明を用いることによって、従来のように単に感染経路を特定するのではなく、ウィルスに感染していそうなほかのコンピュータ端末が存在していないかを特定し、つまり被害範囲を予測し、その範囲内のコンピュータ端末のネットワーク接続を遮断することが可能となる。これによって、とりあえずの被害拡大を防止することが出来るとともに、ウィルスに感染していないコンピュータ端末のネットワーク接続はそのまま維持することが出来る。そのため日常業務にも著しい支障は来さない。
【図面の簡単な説明】
【００７１】
【図１】本発明の全体の概念を示す概念図である。
【図２】本発明のシステム構成の一例を示す概念図である。
【図３】ハードウェア構成の一例を示す概念図である。
【図４】本発明の全体的な処理プロセスの一例を示すフローチャートである。
【図５】ウィルス感染の被害範囲を予測する処理プロセスの一例を示すフローチャートである。
【図６】操作ログ情報の一例を模式的に示す図である。
【図７】操作ログ情報記憶部の一例を模式的に示す図である。
【図８】ファイル情報記憶部の一例を模式的に示す図である。
【図９】ファイル特定部における第一の方法を模式的に示す図である。
【図１０】操作ログ情報記憶部のほかの一例を模式的に示す図である。
【図１１】ファイル特定部における第二の方法を模式的に示す図である。
【符号の説明】
【００７２】
１：ウィルス被害範囲予測システム
２：管理サーバ
３：管理者端末
４：クライアント端末
５：操作ログ情報取得部
６：操作ログ情報記憶部
７：ファイル情報取得部
８：ファイル情報記憶部
９：ウィルス検出情報取得部
１０：被害範囲予測処理部
１０１：ファイル特定部
１０２：端末特定部
１１：ネットワーク接続遮断処理部
２０：演算装置
２１：記憶装置
２２：表示装置
２３：入力装置
２４：通信装置
【図１】
0004705961.tif 000002
【図２】
0004705961.tif 000003
【図３】
0004705961.tif 000004
【図４】
0004705961.tif 000005
【図５】
0004705961.tif 000006
【図６】
0004705961.tif 000007
【図７】
0004705961.tif 000008
【図８】
0004705961.tif 000009
【図９】
0004705961.tif 000010
【図１０】
0004705961.tif 000011
【図１１】
0004705961.tif 000012