(57)【要約】【課題】  ワームに感染したコンピュータから別のコンピュータへの攻撃を早期に発見可能な不正通信監視装置、及び不正通信監視プログラムを提供する。【解決手段】  ＮＩＤＳ８は、ＤＨＣＰサーバ７から通知された未使用のＩＰアドレスをインタフェースハードウェアに割り当て、該ＩＰアドレス宛に送信されるパケット信号の監視を開始する。例えば、ワームに感染したホストコンピュータ２が未使用のＩＰアドレスを指定したＡＲＰリクエスト信号を送信すると、ＮＩＤＳ８は該当するＩＰアドレスがインタフェースハードウェアに割り当てられていた場合、固有のＭＡＣアドレスをホストコンピュータ２に返答する。これにより、ホストコンピュータ２がＮＩＤＳ８のＭＡＣアドレス宛に攻撃パケット信号を送信するので、ＮＩＤＳ８は不正なパケット信号であるか否かを判定し、取得したパケット信号が不正な信号であれば、管理者にセキュリティ侵害の発生を通知する。【選択図】  図１
2005333200.tif 000002
【特許請求の範囲】
【請求項１】
コンピュータネットワーク上に接続された任意のコンピュータから別のコンピュータへの不正アクセスを監視する不正通信監視装置であって、
前記コンピュータネットワーク上で前記コンピュータを識別するために前記コンピュータに一意に割り当てられるネットワーク層アドレスの内、未使用の前記ネットワーク層アドレスを記憶する未使用アドレス管理手段と、
前記コンピュータネットワークとのインタフェース装置と、
未使用の前記ネットワーク層アドレスを前記インタフェース装置に割り当てる未使用アドレス設定手段と、
前記コンピュータネットワーク上の前記任意のコンピュータから前記ネットワーク層アドレスを指定して送信された通信要求信号を受信し、前記インタフェース装置に割り当てられた未使用の前記ネットワーク層アドレスと前記通信要求信号で指定された前記ネットワーク層アドレスとを比較するアドレス比較手段と、
前記アドレス比較手段による比較の結果、前記インタフェース装置に割り当てられた未使用の前記ネットワーク層アドレスの中に、前記通信要求信号で指定された前記ネットワーク層アドレスが含まれる場合、前記通信要求信号を送信した前記任意のコンピュータに対して、前記インタフェース装置に固有に割り当てられたハードウェアを識別するための物理アドレスを通知する物理アドレス通知手段と、
前記任意のコンピュータから前記物理アドレスを指定して送信された通信信号を受信し、該通信信号が適正な通信信号であるか否かを判定する不正通信判定手段と
を備えたことを特徴とする不正通信監視装置。
【請求項２】
前記未使用アドレス管理手段が、前記コンピュータネットワークに接続された前記コンピュータに前記ネットワーク層アドレスを割り当てるサーバから、所定時間以内に割り当てる予定のない割り当て予定なしネットワーク層アドレスを、未使用の前記ネットワーク層アドレスとして取得する
ことを特徴とする請求項１に記載の不正通信監視装置。
【請求項３】
前記未使用アドレス管理手段が、前記コンピュータネットワークに接続された前記コンピュータに前記ネットワーク層アドレスを割り当てるアドレス割り当て手段を備え、前記アドレス割り当て手段により所定時間以内に割り当てる予定のない割り当て予定なしネットワーク層アドレスを、未使用の前記ネットワーク層アドレスとして記憶する
ことを特徴とする請求項１に記載の不正通信監視装置。
【請求項４】
前記アドレス割り当て手段が、前記ネットワーク層アドレスの中の所定数を前記コンピュータに割り当て可能な割り当て可能ネットワーク層アドレスとして管理すると共に、前記所定数を超える余分なものは前記割り当て予定なしネットワーク層アドレスとして管理し、前記割り当て可能ネットワーク層アドレスの数が足りなくなった場合には、前記割り当て可能ネットワーク層アドレスの数が足りなくなってから少なくとも前記所定時間経過した後に、前記割り当て予定なしネットワーク層アドレスを前記割り当て可能ネットワーク層アドレスとして管理する
ことを特徴とする請求項３に記載の不正通信監視装置。
【請求項５】
前記アドレス割り当て手段は、既に前記コンピュータに割り当てられていた前記ネットワーク層アドレスが返却された場合には、返却されてから少なくとも前記所定時間経過した後に、前記返却されたネットワーク層アドレスを前記割り当て可能ネットワーク層アドレスとして管理する
ことを特徴とする請求項４に記載の不正通信監視装置。
【請求項６】
コンピュータネットワーク上に接続された任意のコンピュータから別のコンピュータへの不正アクセスを監視するための処理を、監視装置とするコンピュータに実行させる不正通信監視プログラムであって、
前記コンピュータネットワーク上で前記コンピュータを識別するために前記コンピュータに一意に割り当てられるネットワーク層アドレスの内、未使用の前記ネットワーク層アドレスを前記コンピュータネットワークとのインタフェース装置に割り当てる未使用アドレス設定処理と、
前記コンピュータネットワーク上の前記任意のコンピュータから前記ネットワーク層アドレスを指定して送信された通信要求信号を受信し、前記インタフェース装置に割り当てられた未使用の前記ネットワーク層アドレスと前記通信要求信号で指定された前記ネットワーク層アドレスとを比較するアドレス比較処理と、
前記アドレス比較処理による比較の結果、前記インタフェース装置に割り当てられた未使用の前記ネットワーク層アドレスの中に、前記通信要求信号で指定された前記ネットワーク層アドレスが含まれる場合、前記通信要求信号を送信した前記任意のコンピュータに対して、前記インタフェース装置に固有に割り当てられたハードウェアを識別するための物理アドレスを通知する物理アドレス通知処理と、
前記任意のコンピュータから前記物理アドレスを指定して送信された通信信号を受信し、該通信信号が適正な通信信号であるか否かを判定する不正通信判定処理と
を監視装置とするコンピュータに実行させることを特徴とする不正通信監視プログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、コンピュータネットワーク上に接続された任意のコンピュータから別のコンピュータへの不正アクセスを監視する不正通信監視装置、及び不正通信監視プログラムに関する。
【背景技術】
【０００２】
従来、例えばコンピュータネットワーク経由で行われるセキュリティ侵害を監視するために、ネットワークベースの侵入検知システムであるＮＩＤＳ（Network Intrusion Detection system）が多く利用されている。ＮＩＤＳはコンピュータネットワークを通過するパケット信号を監視すると共に、該パケット信号に不正な特徴が発見された場合にはセキュリティ侵害が発生したと判断し、例えば管理者などにセキュリティ侵害の発生を通知する。また、セキュリティ侵害が発生したと判断した場合に、不正アクセスによる被害を最小限に抑えるために、各種の対策を実行するものもある。
【０００３】
具体的には、例えば特許文献１に記載の技術では、内部ネットワークに罠端末を設置すると共に、ゲートウェイにおいて、受信された接続要求パケットが正規ユーザによるアクセスか否かを判断し、該接続要求パケットが正規ユーザによるアクセスではなかった場合、すなわち外部ネットワークからの不正アクセスを検知した場合には、その接続要求パケット（不正アクセス）を通常のホストではなく、罠端末に誘導させる。これにより、罠端末では、不正アクセス端末の情報を収集することで、不正アクセス端末を特定することができる。
【０００４】
また、例えば特許文献２に記載の技術では、ネットワーク上で正規サーバと仮想おとりサーバの２つを動作させると共に、正規サーバの不正侵入監視部において、入力されたデータパケットを監視して通信セッションが不正侵入者によるものか否かを判定し、該通信セッションが不正侵入者によるものであった場合、すなわち正規サーバに対する不正アクセスを検知した場合には、該通信セッションを仮想おとりサーバに引き継ぐ。このように、仮想おとりサーバを用いて、不正侵入者に対して不正アクセスが成功したかのように振る舞うことによって、正規サーバに対する不正アクセスを行わせないようにすることができる。
【０００５】
また、例えば特許文献３に記載の技術では、ネットワーク上に擬似サーバを配置すると共に、監視装置において、ネットワーク上のトラフィックを監視し、不正トラフィックを検知した場合、ルータに対して、その後に到着する不正パケットを全て擬似サーバに転送するように指示する。また、擬似サーバは、不正アクセスに対しては取得されても問題のないデータを返答する。これにより、長時間セッションを継続させることができ、その間に不正パケットの経路を辿って送信元の追跡を行うことが可能となる。
【０００６】
更に、例えば特許文献４に記載の技術では、スイッチングハブの初期状態として、クライアントが接続してきたポートからの入力信号は、全てＤＨＣＰサーバが接続されたポートのみに出力されるように設定しておき、ＤＨＣＰサーバにおいて、クライアントが接続してきたポートからの入力信号が、接続を許可されたＭＡＣ（Media Access Control）アドレスからの信号であると確認されれば、ＩＰ（Internet Protocol ）アドレス等のネットワーク情報を該クライアントに与え、他のポートとの通信を許可し、一方、クライアントが接続してきたポートからの入力信号が、接続を許可されたＭＡＣアドレスからの信号であると確認できない場合には、何も応答を返さず、他のポートとの通信を禁止する方法が開示されている。これにより、ＤＨＣＰサーバで認証されていないクライアントは、他のポートにアクセスすることができなくなる。
【特許文献１】特開２００２−１９９０２４号公報
【特許文献２】特開２００２−１１１７２７号公報
【特許文献３】特開２０００−２６１４８３号公報
【特許文献４】特開２００３−３３８８２６号公報
【発明の開示】
【発明が解決しようとする課題】
【０００７】
ところで、従来のＮＩＤＳで検知するべきものの１つに、コンピュータネットワーク経由で感染するワームがある。ワームは、あるホストコンピュータに感染すると、次の感染対象とするホストコンピュータを探すために、ある規則で攻撃対象ＩＰアドレスを順次生成し、そのＩＰアドレスのワームが感染に利用するポートに対して接続要求を行うことによって、感染に使用するポートが開いているホストコンピュータを調査する（この行為を水平ポートスキャンと言う）。そして、感染に利用するポートが開いているホストコンピュータを見つけると、そのポートに対して感染のための攻撃を行う。
【０００８】
しかし、従来のＮＩＤＳでは、ＮＩＤＳが接続されているポートに、このような水平ポートスキャンパケット信号（多数のホストコンピュータに対する特定ポートを使用した接続要求パケット信号）や、感染に使用する攻撃パケット信号が流れなければ、ワームを検知することができないという問題がある。
【０００９】
すなわち、上述の特許文献１から特許文献３に開示された技術では、不正アクセスを監視する監視部や監視装置において不正なアクセスを検知することができた場合には、それ以降の動作において、不正アクセスの送信元を特定するための対策や、正規サーバから重要な情報を漏洩させないための対策を実行することができるものの、ワームの攻撃を検知することができなければ上記対策を実行するに至らず、従ってワームの感染をくい止めることができないという問題がある。なお、上述の特許文献４に開示された技術では、ＤＨＣＰサーバを利用して認証を行い、不正なアクセスを遮断して正当な信号を取得することを目的としているため、積極的にワームの攻撃を検知しようとはしておらず、ワームの感染をくい止めることはできても、最初に感染したワームは気づかれないまま放置されてしまう可能性がある。
【００１０】
また、従来技術によりワームの攻撃を検知することができない理由を更に詳細に説明すると、以下に示すようになる。具体的には、図７に示すように、ワーム感染ホストコンピュータ５１が、例えばハブ６２を中心とする別の外部コンピュータネットワークＢのホストコンピュータ５８、５９、６０、６１宛に攻撃を行う場合は、水平ポートスキャン用のパケット信号が、まずワーム感染ホストコンピュータが接続されたハブ５５を中心とするローカルコンピュータネットワークＡと外部コンピュータネットワークＢとを接続するルータ５７まで到達するため、ＮＩＤＳ５６をハブ５５とルータ５７との間に接続すれば、ワーム感染ホストコンピュータ５１が送信する接続要求パケット信号を全てＮＩＤＳ５６において捕獲することができるので、ワームを検知することが可能となる。
【００１１】
一方、図８に示すように、ワーム感染ホストコンピュータ５１が接続されているローカルコンピュータネットワークＡのホストコンピュータ５２、５３、５４宛に攻撃を行う場合は、接続用のハブ５５にシェアドハブを使用していれば、存在するホストコンピュータ５２、５３、５４への攻撃パケット信号がＮＩＤＳ５６のネットワークインタフェースまで到達するが、接続用のハブ５５にスイッチングハブを使用している場合には、攻撃パケット信号がＮＩＤＳ５６のネットワークインタフェースまで到達しないため、ワーム感染ホストコンピュータ５１による攻撃が発生しているにもかかわらず、攻撃パケット信号を検知することができないという問題が発生する。
【００１２】
また、ワーム感染ホストコンピュータ５１は、ランダムにＩＰアドレスを生成して攻撃を行うため、存在しないホストコンピュータ宛のパケット信号も送信しようとする性質があり、ＮＩＤＳでは、多数のＩＰアドレス宛の接続要求が発生したかどうかでワームの存在を検知することが可能となる。このため、使用していないＩＰアドレス宛の接続要求パケット信号もＮＩＤＳにおいて捕獲できる方が望ましい。しかし、接続用のハブにシェアドハブを使用していたとしても、ワーム感染ホストコンピュータ５１がローカルコンピュータネットワークＡに対して攻撃を行う場合には、使用していないＩＰアドレスに対するアクセスは最初のＡＲＰ（Address Resolution Protocol ）解決（アドレス解決プロトコルによるアドレス解決）の段階で、ＩＰアドレスに対応する次の感染対象とするホストコンピュータのＭＡＣアドレスが得られないため、ワーム感染ホストコンピュータ５１から攻撃パケット信号が送出されず、ＮＩＤＳ５６でワームの感染行為を判断するための情報が少なくなってしまい、ワームの検知が難しくなるという問題がある。
【００１３】
本発明は、上記課題に鑑みてなされたもので、コンピュータネットワークの形態に拘わらず、ワームに感染したコンピュータから別のコンピュータへの攻撃を早期に発見可能な不正通信監視装置、及び不正通信監視プログラムを提供することを目的とする。
【課題を解決するための手段】
【００１４】
上記課題を解決するために、請求項１の発明に係る不正通信監視装置は、コンピュータネットワーク上に接続された任意のコンピュータから別のコンピュータへの不正アクセスを監視する不正通信監視装置であって、前記コンピュータネットワーク上で前記コンピュータを識別するために前記コンピュータに一意に割り当てられるネットワーク層アドレスの内、未使用の前記ネットワーク層アドレスを記憶する未使用アドレス管理手段と、前記コンピュータネットワークとのインタフェース装置と、未使用の前記ネットワーク層アドレスを前記インタフェース装置に割り当てる未使用アドレス設定手段と、前記コンピュータネットワーク上の前記任意のコンピュータから前記ネットワーク層アドレスを指定して送信された通信要求信号を受信し、前記インタフェース装置に割り当てられた未使用の前記ネットワーク層アドレスと前記通信要求信号で指定された前記ネットワーク層アドレスとを比較するアドレス比較手段と、前記アドレス比較手段による比較の結果、前記インタフェース装置に割り当てられた未使用の前記ネットワーク層アドレスの中に、前記通信要求信号で指定された前記ネットワーク層アドレスが含まれる場合、前記通信要求信号を送信した前記任意のコンピュータに対して、前記インタフェース装置に固有に割り当てられたハードウェアを識別するための物理アドレスを通知する物理アドレス通知手段と、前記任意のコンピュータから前記物理アドレスを指定して送信された通信信号を受信し、該通信信号が適正な通信信号であるか否かを判定する不正通信判定手段とを備えたことを特徴とする。
【００１５】
以上の構成を備えた不正通信監視装置は、未使用アドレス設定手段が、コンピュータネットワークとのインタフェース装置に、未使用アドレス管理手段に記憶された未使用のネットワーク層アドレスを割り当てるので、コンピュータネットワーク上の任意のコンピュータからネットワーク層アドレスを指定して送信された通信要求信号を受信した場合、インタフェース装置に割り当てられた未使用のネットワーク層アドレスと通信要求信号で指定されたネットワーク層アドレスとをアドレス比較手段により比較する。そして、アドレス比較手段による比較の結果、インタフェース装置に割り当てられた未使用のネットワーク層アドレスの中に、通信要求信号で指定されたネットワーク層アドレスが含まれる場合、物理アドレス通知手段が、通信要求信号を送信した任意のコンピュータに対して、インタフェース装置に固有に割り当てられたハードウェアを識別するための物理アドレスを通知すると共に、該任意のコンピュータから該物理アドレスを指定して送信された通信信号を受信したら、不正通信判定手段により該通信信号が適正な通信信号であるか否かを判定する。これにより、未使用のネットワーク層アドレスに対する通信信号が適正な通信信号であるか否か、未使用のネットワーク層アドレスに対する全ての通信信号を不正通信判定手段により判定することができる。
【００１６】
請求項２の発明に係る不正通信監視装置は、請求項１に記載の不正通信監視装置において、前記未使用アドレス管理手段が、前記コンピュータネットワークに接続された前記コンピュータに前記ネットワーク層アドレスを割り当てるサーバから、所定時間以内に割り当てる予定のない割り当て予定なしネットワーク層アドレスを、未使用の前記ネットワーク層アドレスとして取得することを特徴とする。
【００１７】
以上の構成を備えた不正通信監視装置は、未使用アドレス管理手段が、所定時間以内にコンピュータに割り当てる予定のないネットワーク層アドレスを、外部のサーバから未使用のネットワーク層アドレスとして取得し、この未使用のネットワーク層アドレスに対する通信信号を監視することで、正当にコンピュータに割り当てられたネットワーク層アドレスに対する通信信号と、未使用のネットワーク層アドレスに対する監視対象の通信信号とを的確に区別して監視することができる。
【００１８】
請求項３の発明に係る不正通信監視装置は、請求項１に記載の不正通信監視装置において、前記未使用アドレス管理手段が、前記コンピュータネットワークに接続された前記コンピュータに前記ネットワーク層アドレスを割り当てるアドレス割り当て手段を備え、前記アドレス割り当て手段により所定時間以内に割り当てる予定のない割り当て予定なしネットワーク層アドレスを、未使用の前記ネットワーク層アドレスとして記憶することを特徴とする。
【００１９】
以上の構成を備えた不正通信監視装置は、未使用アドレス管理手段が、アドレス割り当て手段により所定時間以内にコンピュータに割り当てる予定のないネットワーク層アドレスを、未使用のネットワーク層アドレスとして記憶し、この未使用のネットワーク層アドレスに対する通信信号を監視することで、正当にコンピュータに割り当てられたネットワーク層アドレスに対する通信信号と、未使用のネットワーク層アドレスに対する監視対象の通信信号とを的確に区別して監視することができる。
【００２０】
請求項４の発明に係る不正通信監視装置は、請求項３に記載の不正通信監視装置において、前記アドレス割り当て手段が、前記ネットワーク層アドレスの中の所定数を前記コンピュータに割り当て可能な割り当て可能ネットワーク層アドレスとして管理すると共に、前記所定数を超える余分なものは前記割り当て予定なしネットワーク層アドレスとして管理し、前記割り当て可能ネットワーク層アドレスの数が足りなくなった場合には、前記割り当て可能ネットワーク層アドレスの数が足りなくなってから少なくとも前記所定時間経過した後に、前記割り当て予定なしネットワーク層アドレスを前記割り当て可能ネットワーク層アドレスとして管理することを特徴とする。
【００２１】
以上の構成を備えた不正通信監視装置は、コンピュータに割り当て可能なネットワーク層アドレスの数が足りなくなってから少なくとも所定時間経過した後に、コンピュータに割り当てる予定のなかったネットワーク層アドレスをコンピュータに割り当て可能なネットワーク層アドレスとすることで、正当にコンピュータに割り当てられたネットワーク層アドレスに対する通信信号が、コンピュータネットワークに接続された各機器におけるネットワーク層アドレスのキャッシュ機能により不正通信監視装置に送信されることを防止することができる。
【００２２】
請求項５の発明に係る不正通信監視装置は、請求項４に記載の不正通信監視装置において、前記アドレス割り当て手段は、既に前記コンピュータに割り当てられていた前記ネットワーク層アドレスが返却された場合には、返却されてから少なくとも前記所定時間経過した後に、前記返却されたネットワーク層アドレスを前記割り当て可能ネットワーク層アドレスとして管理することを特徴とする。
【００２３】
以上の構成を備えた不正通信監視装置は、既にコンピュータに割り当てられていたネットワーク層アドレスが返却された場合、返却された後に少なくとも所定時間経過してから、返却されたネットワーク層アドレスを別のコンピュータに割り当て可能なネットワーク層アドレスとして管理することで、コンピュータネットワークに接続された各機器におけるネットワーク層アドレスのキャッシュ機能により発生する通信障害を防ぐことが可能となる。
【００２４】
請求項６の発明に係る不正通信監視プログラムは、コンピュータネットワーク上に接続された任意のコンピュータから別のコンピュータへの不正アクセスを監視するための処理を、監視装置とするコンピュータに実行させる不正通信監視プログラムであって、前記コンピュータネットワーク上で前記コンピュータを識別するために前記コンピュータに一意に割り当てられるネットワーク層アドレスの内、未使用の前記ネットワーク層アドレスを前記コンピュータネットワークとのインタフェース装置に割り当てる未使用アドレス設定処理と、前記コンピュータネットワーク上の前記任意のコンピュータから前記ネットワーク層アドレスを指定して送信された通信要求信号を受信し、前記インタフェース装置に割り当てられた未使用の前記ネットワーク層アドレスと前記通信要求信号で指定された前記ネットワーク層アドレスとを比較するアドレス比較処理と、前記アドレス比較処理による比較の結果、前記インタフェース装置に割り当てられた未使用の前記ネットワーク層アドレスの中に、前記通信要求信号で指定された前記ネットワーク層アドレスが含まれる場合、前記通信要求信号を送信した前記任意のコンピュータに対して、前記インタフェース装置に固有に割り当てられたハードウェアを識別するための物理アドレスを通知する物理アドレス通知処理と、前記任意のコンピュータから前記物理アドレスを指定して送信された通信信号を受信し、該通信信号が適正な通信信号であるか否かを判定する不正通信判定処理とを監視装置とするコンピュータに実行させることを特徴とする。
【発明の効果】
【００２５】
請求項１に記載の不正通信監視装置、及び請求項６に記載の不正通信監視プログラムによれば、未使用のネットワーク層アドレスに対する通信信号が適正な通信信号であるか否か、未使用のネットワーク層アドレスに対する全ての通信信号を不正通信判定手段あるいは不正通信判定処理により判定することができる。
従って、ワームに感染したコンピュータから別のコンピュータへの攻撃には、未使用のネットワーク層アドレスを指定した攻撃も多数含まれるという性質から、未使用のネットワーク層アドレスに対する不正アクセスを検知することで、コンピュータネットワークの形態に拘わらず、ワームに感染したコンピュータから別のコンピュータへの攻撃を早期に発見可能な不正通信監視装置、及び不正通信監視プログラムを実現することができるという効果が得られる。
【００２６】
請求項２に記載の不正通信監視装置、及び請求項３に記載の不正通信監視装置によれば、正当にコンピュータに割り当てられたネットワーク層アドレスに対する通信信号と、未使用のネットワーク層アドレスに対する監視対象の通信信号とを的確に区別して監視することができる。
従って、未使用のネットワーク層アドレスに対する不正アクセスを正確に検知することが可能な不正通信監視装置を実現することができるという効果が得られる。また、特に請求項２に記載の不正通信監視装置によれば、未使用のネットワーク層アドレスに対する情報を外部のサーバから取得することで、通信信号の判定に特化し、効率よく短時間にワームに感染したコンピュータから別のコンピュータへの攻撃を発見可能な不正通信監視装置を実現することができるという効果が得られる。
【００２７】
請求項４に記載の不正通信監視装置によれば、正当にコンピュータに割り当てられたネットワーク層アドレスに対する通信信号が、コンピュータネットワークに接続された各機器におけるネットワーク層アドレスのキャッシュ機能により不正通信監視装置に送信されることを防止することができる。
従って、適正であるか否かを判定するべき未使用のネットワーク層アドレスに対する監視対象の通信信号だけを的確に取得して、不正通信監視装置における監視動作の効率の低下を防止すると共に、正確かつ短時間に未使用のネットワーク層アドレスに対する通信信号の判定を行い、ワームに感染したコンピュータから別のコンピュータへの攻撃を早期に発見可能な不正通信監視装置を実現することができるという効果が得られる。
【００２８】
請求項５に記載の不正通信監視装置によれば、コンピュータネットワークに接続された各機器におけるネットワーク層アドレスのキャッシュ機能により発生する通信障害を防ぐことが可能となる。
従って、通信障害により未使用のネットワーク層アドレスに対する通信信号の監視が妨害されることを防ぎ、ワームに感染したコンピュータから別のコンピュータへの攻撃を正確に発見可能な不正通信監視装置を実現することができるという効果が得られる。
【発明を実施するための最良の形態】
【００２９】
以下、図面を参照して本発明の実施例について説明する。
【実施例】
【００３０】
図１は、本発明の一実施例の不正通信監視装置を含むローカルコンピュータネットワーク１の構成を示すブロック図である。
図１において、本実施例の不正通信監視装置を含むローカルコンピュータネットワーク１は、ローカルコンピュータネットワーク１を構成するホストコンピュータ２、３、４、５と、スター型ＬＡＮを形成するためにホストコンピュータ２、３、４、５からの信号線を集線するハブ６と、ローカルコンピュータネットワーク１を構成するホストコンピュータにＩＰ（Internet Protocol ）アドレスを動的に割り当てると共に、ローカルコンピュータネットワーク１において既にホストコンピュータに割り当てられて使用中のＩＰアドレスと、使用されていないＩＰアドレスとを管理するＤＨＣＰ（Dynamic Host Configuration Protocol ）サーバ７とを備えている。なお、ＩＰアドレスは、ＯＳＩ参照モデルのネットワーク層のプロトコルにおいてコンピュータネットワーク上のホストコンピュータを識別するためのネットワーク層アドレスの１つであって、ネットワーク層のプロトコルにインターネットプロトコルを用いた場合に用いられる。
【００３１】
また、ローカルコンピュータネットワーク１は、通常のＮＩＤＳ（Network Intrusion Detection system）と同様に、ローカルコンピュータネットワーク１を通過するパケット信号を監視して、該通過するパケット信号に不正な特徴が発見された場合にはセキュリティ侵害が発生したと判断すると共に、更にホストコンピュータ２、３、４、５に割り当てられていない未使用のＩＰアドレス宛のパケット信号を全て取得して、該取得したパケット信号に不正な特徴が発見された場合にはセキュリティ侵害が発生したと判断し、セキュリティ侵害が発生したと判断した場合には、管理者などにセキュリティ侵害の発生を通知するＮＩＤＳ８を備えている。
【００３２】
なお、説明の簡単化のためにローカルコンピュータネットワーク１を構成するホストコンピュータは４台としたが、ホストコンピュータは利用可能なＩＰアドレスの数だけローカルコンピュータネットワーク１に接続することができる。
また、ローカルコンピュータネットワーク１の形態は、有線通信によるコンピュータネットワークに限らず、無線通信によるコンピュータネットワークを含んでいても良い。
【００３３】
次に、本実施例の不正通信監視装置を含むローカルコンピュータネットワーク１の動作について説明する。
まず始めに、ＤＨＣＰサーバ７によるＩＰアドレスの管理方法について説明する。通常のＤＨＣＰサーバでは、ホストコンピュータ２、３、４、５等のクライアントホストからＩＰアドレスの割り当て要求があった場合に割り当てることが可能なＩＰアドレスの範囲（割り当て可能ＩＰアドレス）と、既に割り当てているＩＰアドレス（割り当て済ＩＰアドレス）を管理している。しかし、ＤＨＣＰサーバ７は、通常のＤＨＣＰサーバの機能に加えて、更にＤＨＣＰサーバ７が持つ割り当て可能ＩＰアドレスの中で、しばらく割り当てる予定のないものを「割り当て予定なしＩＰアドレス」として管理すると共に、「割り当て予定なしＩＰアドレス」を「割り当て可能ＩＰアドレス」に変更する場合の中間状態として「割り当て予定ＩＰアドレス」という状態を導入して管理する機能を備えている。
【００３４】
すなわち、ＤＨＣＰサーバ７では、ＩＰアドレスは次の４つの状態を持ち、ＤＨＣＰサーバ７においてその状態を管理する。
（１）「割り当て済ＩＰアドレス」＝既にホストコンピュータに割り当ててあり、ローカルコンピュータネットワーク１上で利用されている（使用中の）ＩＰアドレス。
（２）「割り当て可能ＩＰアドレス」＝まだホストコンピュータに割り当てていないが、ホストコンピュータからのＩＰアドレスの割り当て要求があれば、すぐに割り当てることが可能なＩＰアドレス。
（３）「割り当て予定ＩＰアドレス」＝まだホストコンピュータに割り当てることができないが、一定時間経過後に「割り当て可能ＩＰアドレス」とするＩＰアドレス。
（４）「割り当て予定なしＩＰアドレス」＝ある時間以内（少なくとも上述の一定時間以内）に割り当てる予定のないＩＰアドレス。
なお、上述のＤＨＣＰサーバ７におけるＩＰアドレスの管理状態の（３）において説明した「一定時間」については、詳細を後述する。
【００３５】
また、ＤＨＣＰサーバ７において管理されるＩＰアドレスの状態遷移を図２に示す。図２において、「割り当て済ＩＰアドレス：ＩＰ１」、「割り当て可能ＩＰアドレス：ＩＰ２」、「割り当て予定ＩＰアドレス：ＩＰ３」、「割り当て予定なしＩＰアドレス：ＩＰ４」の間の状態遷移は、クライアントホストからＤＨＣＰサーバ７に対してＩＰアドレスの割り当て要求があった場合、「割り当て可能ＩＰアドレス：ＩＰ２」の中から１つを選択して要求したクライアントホストに割り当てる。この割り当てたＩＰアドレスは、ＤＨＣＰサーバ７の中では「割り当て済ＩＰアドレス：ＩＰ１」として、割り当てたクライアントホストの情報（例えば、ＭＡＣアドレス等）と共に管理する。なお、ＭＡＣ（Media Access Control）アドレスとは、コンピュータネットワーク接続用のインタフェースハードウェア（インタフェース装置）に固有に割り当てられた該ハードウェアを識別するための物理アドレスのことである。
【００３６】
一方、クライアントホストがＩＰアドレスを返却した場合は、ローカルコンピュータネットワーク１を構成する各機器のＡＲＰ（Address Resolution Protocol ）キャッシュの内容がクリアされる時間（例えば、３０分程度）が経過した後に、「割り当て済ＩＰアドレス：ＩＰ１」を「割り当て可能ＩＰアドレス：ＩＰ２」に変更する。なお、ＡＲＰキャッシュとは、各機器が直近のＡＲＰ解決により得られたＩＰアドレスとそれに対応するＭＡＣアドレスを記憶するテーブルのことである。また、上述のＤＨＣＰサーバ７におけるＩＰアドレスの管理状態の（３）において説明した「一定時間」は、この各機器のＡＲＰキャッシュの内容がクリアされる時間（例えば、３０分程度）以上の時間とする。
【００３７】
このように、「割り当て済ＩＰアドレス：ＩＰ１」を即座に「割り当て可能ＩＰアドレス：ＩＰ２」に変更せず、一定時間経過後に「割り当て可能ＩＰアドレス：ＩＰ２」に変更することで、ローカルコンピュータネットワーク１を構成する各機器のＡＲＰキャッシュの内容をクリアすることが可能となり、ＡＲＰキャッシュに以前のＩＰアドレスとＭＡＣアドレスとの対応が記憶されている間に、該ＩＰアドレスをクライアントホストに割り当ててしまうことによる通信障害を防ぐことが可能となる。
【００３８】
一方、ＤＨＣＰサーバ７において、クライアントホストからＩＰアドレスが返却されるなどして「割り当て可能ＩＰアドレス：ＩＰ２」の数が増えた場合には、余分な「割り当て可能ＩＰアドレス：ＩＰ２」を「割り当て予定なしＩＰアドレス：ＩＰ４」の状態に変更する。なお、この場合は、即座にＩＰアドレスの状態を変更することが可能である。
【００３９】
具体的には、「割り当て可能ＩＰアドレス：ＩＰ２」と「割り当て予定なしＩＰアドレス：ＩＰ４」との分類方法は様々な方法が考えられるが、単純な方法としては、ＤＨＣＰサーバ７で割り当てる範囲のＩＰアドレス（以下、ＤＨＣＰアドレスとする）の中から、所定数のＩＰアドレスのみを常に「割り当て可能ＩＰアドレス：ＩＰ２」としておく方法がある。この方法では、クライアントホストからＩＰアドレスの割り当て要求があった場合には、「割り当て可能ＩＰアドレス：ＩＰ２」の中から即座に割り当てを行い、「割り当て可能ＩＰアドレス：ＩＰ２」の数が所定数を下回ると「割り当て予定なしＩＰアドレス：ＩＰ４」の内の１つを「割り当て可能ＩＰアドレス：ＩＰ２」に変更することにより不足を補う。
【００４０】
しかし、「割り当て可能ＩＰアドレス：ＩＰ２」の数が所定数を下回り、「割り当て予定なしＩＰアドレス：ＩＰ４」を「割り当て可能ＩＰアドレス：ＩＰ２」に変更したい場合には、「割り当て予定なしＩＰアドレス：ＩＰ４」を一度「割り当て予定ＩＰアドレス：ＩＰ３」の状態に変更し、ＡＲＰキャッシュがクリアされるまでの時間（例えば、３０分程度）待った上で「割り当て可能ＩＰアドレス：ＩＰ２」の状態に変更する。
【００４１】
このように、「割り当て予定なしＩＰアドレス：ＩＰ４」を即座に「割り当て可能ＩＰアドレス：ＩＰ２」にせず、一定時間「割り当て予定ＩＰアドレス：ＩＰ３」の状態にすることで、ローカルコンピュータネットワーク１を構成する各機器のＡＲＰキャッシュの内容をクリアすることが可能となり、ＡＲＰキャッシュに以前のＩＰアドレスとＭＡＣアドレスとの対応が記憶されていることで、正当にクライアントホストに割り当てられたＩＰアドレスに対するパケット信号が、ＮＩＤＳ８宛に送信されて未使用のＩＰアドレスに対する監視対象のパケット信号として扱われることを防止することができる。
【００４２】
次に、本実施例の不正通信監視装置を含むローカルコンピュータネットワーク１における初期設定処理について具体的に説明する。図３は、本実施例の不正通信監視装置を含むローカルコンピュータネットワーク１における初期設定処理動作を示すシーケンス図である。
図３において、まずＤＨＣＰサーバ７は、ローカルコンピュータネットワーク１の管理者により入力された下記表１に示すＤＨＣＰアドレスと割り当て可能ＩＰアドレス数とを記憶する（ステップＳ１）。
【００４３】
【表１】
2005333200.tif 000003
【００４４】
次に、ＤＨＣＰサーバ７は、入力されたＤＨＣＰアドレスを、下記表２に示すように、所定数の「割り当て可能ＩＰアドレス」とそれ以外の「割り当て予定なしＩＰアドレス」とに分割する（ステップＳ２）。
【００４５】
【表２】
2005333200.tif 000004
【００４６】
そして、ＤＨＣＰサーバ７は、「割り当て予定なしＩＰアドレス」のリストをＮＩＤＳ８に通知する（ステップＳ３）。
一方、ＮＩＤＳ８は、下記表３に示すＤＨＣＰサーバ７から通知された「割り当て予定なしＩＰアドレス」を、ＮＩＤＳ８のコンピュータネットワーク接続用のインタフェースハードウェアに割り当て（ステップＳ４）、未使用のＩＰアドレス宛（存在しないホストコンピュータ宛）に送信されるパケット信号の監視を開始する（ステップＳ５）。
【００４７】
【表３】
2005333200.tif 000005
【００４８】
次に、本実施例の不正通信監視装置を含むローカルコンピュータネットワーク１におけるクライアントホストへのＩＰアドレス割り当て処理について具体的に説明する。図４は、本実施例の不正通信監視装置を含むローカルコンピュータネットワーク１におけるクライアントホストへのＩＰアドレス割り当て処理動作を示すシーケンス図である。
図４において、ＤＨＣＰサーバ７は、ホストコンピュータ２、３、４、５等のクライアントホストからＩＰアドレスの割り当て要求があった場合（ステップＳ１１）、例えば割り当て可能ＩＰアドレスから（１９２．１６８．０．１０）を割り当てる（ステップＳ１２）。
【００４９】
そして、ＤＨＣＰサーバ７は、下記表４に示すように、「割り当て可能ＩＰアドレス」の（１９２．１６８．０．１０）を「割り当て済ＩＰアドレス」に変更する（ステップＳ１３）と共に、「割り当て予定なしＩＰアドレス」の内の（１９２．１６８．０．２０）を「割り当て予定ＩＰアドレス」に変更し（ステップＳ１４）、４つの状態「割り当て可能ＩＰアドレス」、「割り当て予定なしＩＰアドレス」、「割り当て予定ＩＰアドレス」、「割り当て済ＩＰアドレス」を管理する。
【００５０】
【表４】
2005333200.tif 000006
【００５１】
一方、ＤＨＣＰサーバ７は、「割り当て予定ＩＰアドレス」に変更されたＩＰアドレス（１９２．１６８．０．２０）の情報をＮＩＤＳ８に通知する（ステップＳ１５）。
そして、ＮＩＤＳ８は、下記表５に示すように、ＤＨＣＰサーバ７から通知された「割り当て予定ＩＰアドレス」（１９２．１６８．０．２０）を、ＮＩＤＳ８のコンピュータネットワーク接続用のインタフェースハードウェアから削除し（ステップＳ１６）、「割り当て予定ＩＰアドレス」（１９２．１６８．０．２０）に送信されるパケット信号の監視を中止する（ステップＳ１７）。
【００５２】
【表５】
2005333200.tif 000007
【００５３】
なお、ＤＨＣＰサーバ７は、下記表６に示すように、一定時間（ＡＲＰキャッシュの有効期間）経過後、「割り当て予定ＩＰアドレス」（１９２．１６８．０．２０）を「割り当て可能ＩＰアドレス」に変更する（ステップＳ１８）ことにより、「割り当て可能ＩＰアドレス」の数を１０個に保つ。
【００５４】
【表６】
2005333200.tif 000008
【００５５】
次に、本実施例の不正通信監視装置を含むローカルコンピュータネットワーク１におけるクライアントホストからのＩＰアドレス返却処理について具体的に説明する。図５は、本実施例の不正通信監視装置を含むローカルコンピュータネットワーク１におけるクライアントホストからのＩＰアドレス返却処理動作を示すシーケンス図である。
図５において、ＤＨＣＰサーバ７は、ホストコンピュータ２、３、４、５等のクライアントホストから、例えばＩＰアドレス（１９２．１６８．０．１０）の返却があった場合（ステップＳ２１）、下記表７に示すように、一定時間（ＡＲＰキャッシュの有効期間）経過後、「割り当て済ＩＰアドレス」（１９２．１６８．０．１０）を「割り当て可能ＩＰアドレス」に変更する（ステップＳ２２）。
【００５６】
【表７】
2005333200.tif 000009
【００５７】
また、ＤＨＣＰサーバ７は、「割り当て可能ＩＰアドレス」の数が１１個となったために、下記表８に示すように、「割り当て可能ＩＰアドレス」（１９２．１６８．０．２０）を「割り当て予定なしＩＰアドレス」に変更する（ステップＳ２３）。
【００５８】
【表８】
2005333200.tif 000010
【００５９】
一方、ＤＨＣＰサーバ７は、「割り当て予定なしＩＰアドレス」に変更されたＩＰアドレス（１９２．１６８．０．２０）の情報をＮＩＤＳ８に通知する（ステップＳ２４）。  そして、ＮＩＤＳ８は、下記表９に示すように、ＤＨＣＰサーバ７から通知された「割り当て予定なしＩＰアドレス」（１９２．１６８．０．２０）を、ＮＩＤＳ８のコンピュータネットワーク接続用のインタフェースハードウェアに割り当て（ステップＳ２５）、「割り当て予定なしＩＰアドレス」（１９２．１６８．０．２０）に送信されるパケット信号の監視を再開する（ステップＳ２６）。
【００６０】
【表９】
2005333200.tif 000011
【００６１】
次に、本実施例の不正通信監視装置を含むローカルコンピュータネットワーク１における不正パケット信号の監視処理について具体的に説明する。図６は、本実施例の不正通信監視装置を含むローカルコンピュータネットワーク１における不正パケット信号の監視処理動作を示すシーケンス図である。
図６において、例えばワームに感染したホストコンピュータ２は、例えば未使用のＩＰアドレス（１９２．１６８．０．２０）を指定したＡＲＰリクエストパケット信号を、ホストコンピュータ３〜５及びＮＩＤＳ８を含むローカルコンピュータネットワーク１に接続された機器にブロードキャストで送信する（ステップＳ３１、Ｓ３２）。
【００６２】
この時、ワームに感染したホストコンピュータ２から、ＩＰアドレス（１９２．１６８．０．２０）を指定したＡＲＰリクエストパケット信号を受信したＮＩＤＳ８は、自身のインタフェースハードウェアに割り当てられているＩＰアドレスをチェックする（ステップＳ３３）。
そして、下記表１０に示すように、該当するＩＰアドレスが自身のインタフェースハードウェアに割り当てられていた場合、ＮＩＤＳ８は、インタフェースハードウェアに固有のＭＡＣアドレス（ａｂ：１２：３４：５６：７８：９０）を設定したＡＲＰリプライパケット信号を、要求元のホストコンピュータ２に返答する（ステップＳ３４）。
【００６３】
【表１０】
2005333200.tif 000012
【００６４】
なお、この時ホストコンピュータ３〜５は、自身のインタフェースハードウェアに割り当てられているＩＰアドレスに対するＡＲＰリクエストではないため、受信したＡＲＰリクエストパケット信号を無視する（ステップＳ３５）。
【００６５】
一方、ＮＩＤＳ８からＡＲＰリプライパケット信号を受信したホストコンピュータ２は、感染を目的として送信する攻撃パケット信号の宛先ＭＡＣアドレスにＮＩＤＳ８のＭＡＣアドレスをセットして該攻撃パケット信号を送信する（ステップＳ３６）。
ＮＩＤＳ８は、ホストコンピュータ２から送信された「割り当て予定なしＩＰアドレス」、すなわち未使用のＩＰアドレス宛（存在しないホストコンピュータ宛）に送信された攻撃パケット信号を取得し、不正なパケット信号であるか否かを判定する（ステップＳ３７）。
そして、取得した攻撃パケット信号を不正なパケット信号であると判定した場合、ワームに感染したホストコンピュータ２からの攻撃であると認識して、管理者などにセキュリティ侵害の発生を通知するための警報を出力する（ステップＳ３８）。
【００６６】
なお、上述の実施例では、ワームの送出する不正パケット信号の監視を行うＮＩＤＳ８と、コンピュータネットワーク上のＩＰアドレスの管理を行うＤＨＣＰサーバ７とで不正通信監視装置を構成する。また、不正通信監視装置は、ＤＨＣＰサーバ７とＮＩＤＳ８のように複数のコンピュータにより実現しても良いし、あるいは全ての機能を１つにまとめて１つのコンピュータにより実現しても良い。
【００６７】
また、上述の実施例では、ＮＩＤＳ８は、未使用のＩＰアドレスに関する情報をＤＨＣＰサーバ７から取得する構成としたが、ＩＰアドレスのホストコンピュータへの割り当てを動的に行う必要のないコンピュータネットワークでは、ＤＨＣＰサーバ７の機能は必要なくなるため、ＮＩＤＳ８は、未使用のＩＰアドレスに関する情報をＤＨＣＰサーバ７から取得せずに、予めＮＩＤＳ８内に記憶しておくようにし、不正通信監視装置をＮＩＤＳ８だけで実現しても良い。
【００６８】
また、上述の実施例では、ＮＩＤＳ８に、通常のＮＩＤＳの機能と、ホストコンピュータに割り当てられていない未使用のＩＰアドレス宛のパケット信号を監視する機能とを両方割り当てたが、ＮＩＤＳ８はホストコンピュータに割り当てられていない未使用のＩＰアドレス宛のパケット信号を監視する機能のみとし、通常のＮＩＤＳの機能は専用の不正侵入検知システムに実行させても良い。
【００６９】
また、上述の実施例では、上述のステップＳ３、Ｓ１５、Ｓ２４の処理に対応するＮＩＤＳ８の処理が、未使用アドレス管理手段に相当する。また、上述のステップＳ４、Ｓ１６、Ｓ２５の処理が、未使用アドレス設定手段に相当する。また、上述のステップＳ３１の処理に対応して実行される上述のステップＳ３３の処理が、アドレス比較手段に相当する。また、上述のステップＳ３４の処理が、物理アドレス通知手段に相当する。また、上述のステップＳ５、Ｓ１７、Ｓ２６の処理、そして上述のステップＳ３６の処理に対応して実行されるステップＳ３７の処理が、不正通信判定手段に相当する。また、上述のステップＳ１、Ｓ２の処理、そして上述のステップＳ１１、あるいはステップＳ２１の処理に対応して実行されるステップＳ１２、Ｓ１３、Ｓ１４、Ｓ１８、Ｓ２２、Ｓ２３の処理が、アドレス割り当て手段に相当する。
【００７０】
更に、上述のＤＨＣＰサーバ７、及びＮＩＤＳ８の機能を実現するためのプログラムをコンピュータ読み取り可能な記録媒体に記録して、この記録媒体に記録されたプログラムをコンピュータシステムに読み込ませ、実行することによりＤＨＣＰサーバ７、及びＮＩＤＳ８の機能を実現するようにしても良い。なお、ここでいう「コンピュータシステム」とは、ＯＳや周辺機器等のハードウェアを含むものとする。また、「コンピュータシステム」は、ホームページ提供環境（あるいは表示環境）を備えたＷＷＷシステムも含むものとする。
【００７１】
また、「コンピュータ読み取り可能な記録媒体」とは、フレキシブルディスク、光磁気ディスク、ＲＯＭ、ＣＤ−ＲＯＭ等の可搬媒体、コンピュータシステムに内蔵されるハードディスク等の記憶装置のことをいう。更に「コンピュータ読み取り可能な記録媒体」とは、インターネット等のネットワークや電話回線等の通信回線を介してプログラムが送信された場合のサーバやクライアントとなるコンピュータシステム内部の揮発性メモリ（ＲＡＭ）のように、一定時間プログラムを保持しているものも含むものとする。
【００７２】
また、上記プログラムは、このプログラムを記憶装置等に格納したコンピュータシステムから、伝送媒体を介して、あるいは、伝送媒体中の伝送波により他のコンピュータシステムに伝送されてもよい。ここで、プログラムを伝送する「伝送媒体」は、インターネット等のネットワーク（通信網）や電話回線等の通信回線（通信線）のように情報を伝送する機能を有する媒体のことをいう。また、上記プログラムは、前述した機能の一部を実現するためのものであっても良い。更に、前述した機能をコンピュータシステムにすでに記録されているプログラムとの組み合わせで実現できるもの、いわゆる差分ファイル（差分プログラム）であっても良い。
【００７３】
以上説明したように、本実施例の不正通信監視装置によれば、ＤＨＣＰサーバ７は、ホストコンピュータ２、３、４、５等のクライアントホストからＩＰアドレスの割り当て要求があった場合、例えば「割り当て可能ＩＰアドレス」から１つのＩＰアドレスを割り当てる。また、ＤＨＣＰサーバ７は、未使用のＩＰアドレスに対するパケット信号を監視するＮＩＤＳ８に、所定時間以内に割り当てる予定のない「割り当て予定なしＩＰアドレス」を未使用のＩＰアドレスとして通知する。そして、ＮＩＤＳ８は、ＤＨＣＰサーバ７から通知された「割り当て予定なしＩＰアドレス」を、ＮＩＤＳ８のコンピュータネットワーク接続用のインタフェースハードウェアに割り当て、未使用のＩＰアドレス宛（存在しないホストコンピュータ宛）に送信されるパケット信号の監視を開始する。
【００７４】
一方、ワームに感染したホストコンピュータ２が、未使用のＩＰアドレスを指定したＡＲＰリクエストパケット信号を、ホストコンピュータ３〜５及びＮＩＤＳ８を含むローカルコンピュータネットワーク１に接続された機器にブロードキャストで送信するので、未使用のＩＰアドレスを指定したＡＲＰリクエストパケット信号を受信したＮＩＤＳ８は、自身のインタフェースハードウェアに割り当てられているＩＰアドレスをチェックし、該当するＩＰアドレスが自身のインタフェースハードウェアに割り当てられていた場合、インタフェースハードウェアに固有のＭＡＣアドレスを設定したＡＲＰリプライパケット信号を、要求元のホストコンピュータ２に返答する。
【００７５】
これにより、ＮＩＤＳ８からＡＲＰリプライパケット信号を受信したホストコンピュータ２が、感染を目的として送信する攻撃パケット信号にＮＩＤＳ８のＭＡＣアドレスをセットして送信するので、ＮＩＤＳ８は、「割り当て予定なしＩＰアドレス」、すなわち未使用のＩＰアドレス宛（存在しないホストコンピュータ宛）に送信された攻撃パケット信号を取得し、不正なパケット信号であるか否かを判定することができるようになる。また、取得した攻撃パケット信号が不正なパケット信号であれば、ワームに感染したホストコンピュータ２からの攻撃であると認識して、管理者などにセキュリティ侵害の発生を通知するための警報を出力することができるようになる。
【００７６】
従って、例えばワームに感染したホストコンピュータ２から別のコンピュータへの攻撃には、未使用のネットワーク層アドレスを指定した攻撃も多数含まれるという性質から、未使用のネットワーク層アドレスに対する不正アクセスを検知することで、コンピュータネットワークの形態に拘わらず、ワームに感染したコンピュータから別のコンピュータへの攻撃を早期に発見することができるという効果が得られる。
【００７７】
また、ＤＨＣＰサーバ７が、ＤＨＣＰアドレスの中の所定数をクライアントホストに割り当て可能な「割り当て可能ＩＰアドレス」として管理すると共に、所定数を超える余分なものは「割り当て予定なしＩＰアドレス」として管理し、「割り当て可能ＩＰアドレス」の数が足りなくなった場合には、「割り当て予定なしＩＰアドレス」を「割り当て予定ＩＰアドレス」とし、一定時間経過した後に、「割り当て予定ＩＰアドレス」を「割り当て可能ＩＰアドレス」とすることで、正当にクライアントホストに割り当てられたＩＰアドレスに対する通信信号が、ローカルコンピュータネットワーク１に接続された各機器におけるＩＰアドレスのキャッシュ機能によりＮＩＤＳ８に送信されることを防止することができる。
【００７８】
更に、既にクライアントホストに割り当てられていたＩＰアドレスが返却された場合には、返却されてから一定時間経過した後に、返却されたＩＰアドレスを「割り当て可能ＩＰアドレス」とすることで、ローカルコンピュータネットワーク１に接続された各機器におけるＩＰアドレスのキャッシュ機能により発生する通信障害を防ぐことが可能となる。
【００７９】
従って、適正であるか否かを判定するべき未使用のＩＰアドレスに対する監視対象の通信信号だけを的確に取得して、監視動作の効率の低下を防止すると共に、正確かつ短時間に未使用のＩＰアドレスに対する通信信号の判定を行い、ワームに感染したコンピュータから別のコンピュータへの攻撃を早期に発見することができるという効果が得られる。更に、通信障害により未使用のＩＰアドレスに対する通信信号の監視が妨害されることを防ぎ、ワームに感染したコンピュータから別のコンピュータへの攻撃を正確に発見することができるという効果が得られる。
【図面の簡単な説明】
【００８０】
【図１】本発明の一実施例の不正通信監視装置を含むローカルコンピュータネットワーク１の構成を示すブロック図である。
【図２】同実施例のＤＨＣＰサーバ７において管理されるＩＰアドレスの状態遷移を示す図である。
【図３】同実施例の不正通信監視装置を含むローカルコンピュータネットワーク１における初期設定処理動作を示すシーケンス図である。
【図４】同実施例の不正通信監視装置を含むローカルコンピュータネットワーク１におけるクライアントホストへのＩＰアドレス割り当て処理動作を示すシーケンス図である。
【図５】同実施例の不正通信監視装置を含むローカルコンピュータネットワーク１におけるクライアントホストからのＩＰアドレス返却処理動作を示すシーケンス図である。
【図６】同実施例の不正通信監視装置を含むローカルコンピュータネットワーク１における不正パケット信号の監視処理動作を示すシーケンス図である。
【図７】別のネットワークセグメントに対するワームの感染行為を示す図である。
【図８】ローカルコンピュータネットワークに対するワームの感染行為を示す図である。
【符号の説明】
【００８１】
１・・・ローカルコンピュータネットワーク
２、３、４、５・・・ホストコンピュータ
６・・・ハブ
７・・・ＤＨＣＰサーバ
８・・・ＮＩＤＳ
【図１】
2005333200.tif 000013
【図２】
2005333200.tif 000014
【図３】
2005333200.tif 000015
【図４】
2005333200.tif 000016
【図５】
2005333200.tif 000017
【図６】
2005333200.tif 000018
【図７】
2005333200.tif 000019
【図８】
2005333200.tif 000020