(57)【要約】    【課題】パターンファイルの登録を必要とすることなくウィルスを発見してネットワーク内への蔓延を確実に阻止する。    【解決手段】  ウィルス隔離システムは、ネットワーク装置１６−１を介してネットワーク１４に接続したパーソナルコンピュータ１０−１，１０−２，１０−３に設けられ、資源（リソース）の使用状況を監視し、資源の使用が急激に増加した場合にウィルス感染と判定して外部に通知するウィルス監視部１８と、ネットワーク装置１６−１に設けられ、ウィルス監視部１８からの通知を受信した際に、通知元のパーソナルコンピュータをネットワークから遮断する遮断部３４と備える。    【選択図】        図２
2005025679.tif 000002
【特許請求の範囲】
【請求項１】
ネットワーク装置を介してネットワークに接続した前記情報処理装置に設けられ、資源の使用状況を監視し、資源の使用量が急激に増加した場合にウィルス感染と判定して外部に通知するウィルス監視部と、
前記ネットワーク装置に設けられ、前記ウィルス監視部からの通知を受信した際に、通知元の情報処理装置をネットワークから遮断する遮断部と、
備えたことを特徴とするウィルス隔離システム。
【請求項２】
請求項１のウィルス隔離システムに於いて、前記ウィルス監視部は、前記情報処理装置で使用している複数種類の資源毎にウィルス感染を判定し、所定の組合せに対応した複数の資源の使用量が急激に増加した場合に、ウィルス感染と判定して通知することを特徴とするウィルス隔離システム。
【請求項３】
請求項１のウィルス隔離システムに於いて、前記ウィルス監視部は、前記情報処理装置で監視対象とする資源とウィルス監視対象から除外する資源を事前登録することを特徴とするウィルス隔離システム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、ウィルスが侵入した装置のネットワークからの遮断によりウィルスを隔離するウィルス隔離システム、方法及びプログラムに関し、特に、ウィルスパターンファイルを必要とすることなくウィルスの侵入を発見して隔離するウィルス隔離システムに関する。
【背景技術】
【０００２】
従来、ＬＡＮなどのローカルネットワークに接続されているコンピュータは、インターネットなどの外部から侵入したウィルスの被害を受ける危険性が高い。特に、大量にメールを配信したり、ファイルを作成するウィルスは、ネットワーク内のコンピュータのリソースを食いつぶし、ネットワークシステム全体を機能停止に追い込むことになる。
【０００３】
従来のウィルス対策は、ネットワークに接続している各コンピュータにウィルス対策ソフトをインストールし、予め登録されているウィルスパターンと照合してウィルスを発見し、捕獲するようにしている。
【特許文献１】特開平１１−１６１５１７号公報
【発明の開示】
【発明が解決しようとする課題】
【０００４】
しかしながら、このような従来のウィルス対策ソフトを使用した場合にあっては、新種のウィルスが発生すると、パターンファイルが登録されるまでに、ウィルスが蔓延してしまう危険があった。また、急激なウィルス増殖を前に、それぞれの管理者が手動でウィルスの拡散を防がなければならない大変さがあった。
【０００５】
本発明は、パターンファイルの登録を必要とすることなくウィルスを発見してネットワーク内への蔓延を確実に阻止するようにしたウィルス隔離システム、方法及びプログラムを提供することを目的とする。
【課題を解決するための手段】
【０００６】
本発明はウィルス隔離システムを提供する。このウィルス隔離システムは、ネットワーク装置を介してネットワークに接続した情報処理装置に設けられ、資源（リソース）の使用状況を監視し、資源の使用量が急激に増加した場合にウィルス感染と判定して外部に通知するウィルス監視部と、ネットワーク装置に設けられ、ウィルス監視部からの通知を受信した際に、通知元の情報処理装置をネットワークから遮断する遮断部とを備えたことを特徴とする。
【０００７】
このように本発明は、既存のウィルスパターンによる照合ではなく、ウィルスの被害症状であるハードウェア資源（リソース）の急激な使用状況変化をもとに、ウィルスの発生を検知するため、新種のウィルスに対しても、効力を発揮する。またウィルス検知時に、感染装置をネットワークから遮断することができるため、ウィルスの蔓延を防ぐことができる。
【０００８】
ここで、ウィルス監視部は、情報処理装置の資源を複数種類に分けて各資源毎に使用状況を監視し、複数の資源の少なくとも１つで急激に使用量が増加した場合に、ウィルス感染と判定して外部に通知する。
【０００９】
またウィルス監視部は、情報処理装置で使用している複数種類の資源毎にウィルス感染を判定し、所定の組合せに対応した複数の資源の使用量が急激に増加した場合に、ウィルス感染と判定して通知する。
【００１０】
ウィルス監視部は、具体的には、情報処理装置の資源をネットワーク資源、ＣＰＵ資源及び入出力資源に分類し、資源の使用状況として、ネットワーク資源のデータ転送量、ＣＰＵ資源の負荷及び入出力資源の負荷を監視し、資源の使用量が所定の閾値を越え且つ所定時間継続したときに、ウィルス感染と判定して外部に通知する。このように複数種類の資源使用状況につきウィルス感染による異常を監視することで、メール配信ウィルスやハードディスク占拠ウィルスといったウィルスの性質に対応して感染を確実に検知する。
【００１１】
またウィルス監視部は、情報処理装置で監視対象とする資源とウィルス監視対象から除外する資源を事前登録することを特徴とする。本発明は、リソースの急激な変動に基づいて、ウィルスの発生を判断するため、一般処理の中にウィルスと誤認される可能性がある処理が含まれることがあるが、事前登録により切りわけることができ、一般処理をウイルス感染と誤認することを防ぐ。
【００１２】
更に情報処理装置のウィルス監視部は、定期的に監視処理を実行してウィルス感染を判定しないときは正常使用を通知し、ネットワーク装置の遮断部は、情報処理装置からの正常使用の定期通知が断たれた際に、ウィルス感染と判定して対応する情報処理装置のネットワーク接続を遮断することを特徴とする。このため管理対象となっているパーソナルコンピュータやサーバがウィルス感染により動作できなくなっている場合にも、定期的な正常使用通知が途切れることで、ウィルス感染とみなしてネットワークとの接続を遮断して確実に隔離できる。
【００１３】
本発明は、ウィルス隔離方法を提供するものであり、このウィルス隔離方法は、
ネットワーク装置を介してネットワークに接続された情報処理装置の資源の使用状況を監視し、資源の使用量が急激に増加した場合にウィルス感染と判定して外部に通知するウィルス監視ステップと、
ウィルス感染通知を前記ネットワーク装置から受信した際に、通知元の情報処理装置をネットワークから遮断する遮断ステップと、
を備えたことを特徴とする。
【００１４】
またウィルス隔離方法に於いて、ウィルス監視ステップは、定期的に監視処理を実行してウィルス感染を判定しないときは正常使用を通知し、遮断ステップは、正常使用の定期通知が断たれた際に、ウィルス感染と判定して対応する情報処理装置のネットワーク接続を遮断する。
【００１５】
本発明は、ウィルス隔離のため情報処理装置で実行されるプログラムを提供する。このプログラムは、ネットワーク装置を介してネットワークに接続されたコンピュータに、
コンピュータ内の監視対象とする資源と監視対象から除外する資源を事前登録する事前登録ステップと、
監視対象とした資源の使用状況を定期的に監視し、資源の使用量が急激に増加した場合にウィルス感染と判定してネットワーク装置にネットワークからの遮断要求を通知し、ウィルス感染を判定しない場合は、正常使用を通知するウィルス監視ステップと、
を実行させることを特徴とする。
【００１６】
本発明は、ウィルス隔離のためネットワークのネットワーク装置で実行されるプログラムを提供する。このプログラムは、情報処理装置をネットワークに接続するネットワーク装置のコンピュータに、
情報処理装置からの資源使用の急激な増加に基づくウィルス感染通知を受信した際に送信元の情報処理装置のネットワーク接続を遮断する第１遮断ステップと、
情報処理装置から資源の正常使用通知を定期的に受信し、定期的な正常使用通知が断たれた際に、ウィルス感染と判定して対応する情報処理装置のネットワーク接続を遮断する第２遮断ステップと、
を実行させることを特徴とする。
【００１７】
なお、本発明におけるウィルス隔離方法及びプログラムの詳細は、ウィルス隔離システムの場合と基本的に同じになる。
【発明の効果】
【００１８】
本発明によれば、既存のウィルスパターンによる照合ではなく、ウィルスの被害症状であるコンピュータやサーバにおけるリソースの急激な使用状況の変化を基にウィルスの発生を検知しているため、新種のウィルスに対しても適切に対応することができる。
【００１９】
またウィルス発生を検知した際に、感染したパーソナルコンピュータやサーバの接続がネットワーク装置により遮断され、ＬＡＮなどのネットワークを経由して感染した装置から他の装置にウィルスが蔓延してネットワークシステム全体を機能停止に追い込む事態を確実に防止できる。
【００２０】
また本発明にあっては、リソースの急激な変動に基づいてウィルスの発生を判断しているため、一般の処理の中にウィルスと誤認される可能性のある処理が含まれることがあるが、これに対しては事前登録によりウィルスの可能性が誤認されるリソースにつき監視対象から除外する登録処理を行っておくことで、ウィルスの発生によるリソースの急激な変動のみを判定してウィルス感染を確実に検知することができる。
【００２１】
またパーソナルコンピュータなどの情報処理装置における定期的なウィルス監視処理によりウィルスが判別されなかった場合には、正常使用通知をネットワーク装置側に行っており、ウィルス感染により情報処理装置が動作できなくなった場合には定期的な正常使用通知が受信できなくなることから、これを認識してネットワーク装置側で、ウィルスにより動作できなくなった監視対象となる情報処理装置を確実に見つけてネットワークから遮断することができる。
【００２２】
更に、ウィルスの特性に応じて、監視対象とするリソースの組合せ条件を予め指定することにより、例えばネットワークを介して外部に大きな影響を与えるウィルスだけを選んで、ネットワークからの遮断により隔離することができる。
【発明を実施するための最良の形態】
【００２３】
図１は本発明のウィルス隔離処理が適用されるネットワーク構成の説明図である。図１において、情報処理装置として使用されるパーソナルコンピュータ１０−１〜１０−６及びサーバ１２は、ネットワーク装置１６−１〜１６−３によりＬＡＮ１４などのネットワークに接続されている。
【００２４】
ネットワーク装置１６−１〜１６−３としてはネットワークスイッチやルータが使用される。この例では、ネットワーク装置１６−１にパーソナルコンピュータ１０−１〜１０−４が接続され、ネットワーク装置１６−２にパーソナルコンピュータ１０−５が接続され、ネットワーク装置１６−３にパーソナルコンピュータ１０−６とサーバ１２が接続されている。もちろんＬＡＮ１４は、図示しない系統により外部のインターネットに接続されている。
【００２５】
図２は図１のパーソナルコンピュータとネットワーク装置に設けられる本発明のウィルス隔離処理のための機能構成を示したブロック図である。この例では、ネットワーク装置１６−１に接続したパーソナルコンピュータ１０−１〜１０−３を例にとっており、パーソナルコンピュータ１０−１について代表して示すように、そこにはウィルス監視部１８、事前登録部２８、監視条件定義ファイル３０、更に測定データファイル３２が設けられている。
【００２６】
パーソナルコンピュータ１０−１は、そのハードウェア構成による資源２０を備えており、本発明のウィルス隔離処理にあっては、このパーソナルコンピュータの資源２０をネットワークリソース２２、ＣＰＵリソース２４、更に入出力リソース（Ｉ／Ｏリソース）２６の３つの資源に分けて監視するようにしている。
【００２７】
一方、パーソナルコンピュータ１０−１をＬＡＮ１４に接続するネットワーク装置１６−１には、遮断部３４とウィルス判定部３６が設けられている。パーソナルコンピュータ１０−１に設けたウィルス監視部１８は、資源２０の使用状況を監視し、資源の使用が急激に増加した場合にウィルスの感染と判定して、ネットワーク装置１６−１にウィルス発生警告を通知する。
【００２８】
ネットワーク装置１６−１に設けた遮断部３４は、パーソナルコンピュータ１０−１のウィルス監視部１８からのウィルス感染通知を受信した際に、通知元となるパーソナルコンピュータ１０−１をＬＡＮ１４から遮断する。
【００２９】
この実施形態において、ウィルス監視部１８は資源２０の中をネットワークリソース２２、ＣＰＵリソース２４及び入出力リソース２６の３つに分けてリソースの使用状態を監視し、少なくともいずれか１つで急激に使用量が増加した場合にウィルス感染と判定して、ネットワーク装置１６−１にウィルス感染警告通知を送信する。
【００３０】
ウィルス監視部１８によるネットワークリソース２２の監視は、単位時間当たりのデータ転送量を監視し、このデータ転送量が所定の閾値を超えたときに異常と判断し、この異常が監視周期により決まる所定時間継続したときにウィルス感染と判定して、ウィルス感染警告をネットワーク装置１６−１に送信する。
【００３１】
またウィルス監視部１８は、ＣＰＵリソース２４についてはＣＰＵの負荷（％）を監視しており、ＣＰＵ負荷が所定の閾値を超え、且つ監視周期で決まる所定時間継続したときに、ウィルス感染と判定してネットワーク装置１６−１にウィルス感染警告通知を送信する。
【００３２】
更にウィルス監視部１８は、入出力リソース２６の単位時間当たりの負荷として入出力回数を監視しており、入出力回数が所定の閾値を超え、且つ監視周期で決まる一定時間継続したときに、ウィルス感染と判定してネットワーク装置１６−１にウィルス感染警告を通知する。
【００３３】
ウィルス監視部１８からネットワーク装置１６−１に対するウィルス警告通知は、遮断部３４でポートに対するパーソナルコンピュータのＬＡＮへの接続を遮断するネットワーク装置１６−１の制御コマンドを送ってもよいし、特定のメッセージを送ることでネットワーク装置１６−１側でメッセージを解読し、ポート接続を切り離す遮断用の制御コマンドを実行するようにしてもよい。
【００３４】
ここでウィルス監視部１８は、予め定めた監視周期例えば３秒間隔で資源２０の使用状況を判断する監視処理を実行しており、ウィルス感染を判定しないときには、リソースの正常使用をネットワーク装置１６−１に通知している。
【００３５】
ネットワーク装置１６−１のウィルス判定部３６は、パーソナルコンピュータ１０−１からの定期的に行われる正常使用通知を受信して、各パーソナルコンピュータごとに対応して設けたタイマをリセットスタートしている。
【００３６】
そして、パーソナルコンピュータ１０−１でウィルス感染により動作不能となって定期的な正常使用通知が送れなくなった場合、ウィルス判定部３６はタイマの設定時間経過によるタイムアウトに基づき、定期的な正常使用通知が断たれたパーソナルコンピュータ１０−１がウィルスに感染して正常に動作できなくなったものとして、遮断部３４に対しウィルス感染警告通知を行い、パーソナルコンピュータ１０−１をＬＡＮ１４から遮断する。
【００３７】
更に、パーソナルコンピュータ１０−１に設けた事前登録部２８は、パーソナルコンピュータ１０−１で監視対象とする資源２０について、ウィルス監視対象とする資源とウィルス監視対象から除外する資源を事前に登録し、これを監視条件定義ファイル３０として作成している。
【００３８】
このためウィルス監視部１８は、事前登録部２８により設定された監視条件定義ファイル３０の定義情報に従って、資源２０の各リソースを対象にウィルス監視処理を実行することになる。
【００３９】
このようなパーソナルコンピュータ１０−１における本発明のウィルス監視機能は、図１における他のパーソナルコンピュータ１０−２〜１０−６及びサーバ１２にも同様に設けられている。
【００４０】
図１におけるパーソナルコンピュータ１０−１〜１０−６及びサーバ１２は、例えば図３のようなコンピュータのハードウェア資源により実現される。
【００４１】
図３のコンピュータにおいて、ＣＰＵ１００のバス１０１にはＲＡＭ１０２、ハードディスクコントローラ（ソフト）１０４、フロッピィディスクドライバ（ソフト）１１０、ＣＤ−ＲＯＭドライバ（ソフト）１１４、マウスコントローラ１１８、キーボードコントローラ１２２、ディスプレイコントローラ１２６、通信用ボード１３０が接続される。
【００４２】
ハードディスクコントローラ１０４はハードディスクドライブ１０６を接続し、本発明のウィルス監視処理を実行するプログラムをローディングしており、コンピュータの起動時にハードディスクドライブ１０６から必要なプログラムを呼び出して、ＲＡＭ１０２上に展開し、ＣＰＵ１００により実行する。
【００４３】
フロッピィディスクドライバ１１０にはフロッピィディスクドライブ（ハード）１１２が接続され、フロッピィディスク（Ｒ）に対する読み書きができる。ＣＤ−ＲＯＭドライバ１１４に対しては、ＣＤドライブ（ハード）１１６が接続され、ＣＤに記憶されたデータやプログラムを読み込むことができる。
【００４４】
マウスコントローラ１１８はマウス１２０の入力操作をＣＰＵ１００に伝える。キーボードコントローラ１２２はキーボード１２４の入力操作をＣＰＵ１００に伝える。ディスプレイコントローラ１２６は表示部１２８に対して表示を行う。通信用ボード１３０は無線を含む通信回線１３２を使用し、ＬＡＮ１４を介してネットワーク内の装置や外部のインターネット上の装置との間で通信を行う。
【００４５】
図４は、図２のパーソナルコンピュータ１０−１に設けた監視条件定義ファイル３０の説明図である。図４において、監視条件定義ファイル３０は監視対象として、ネットワークリソース、ＣＰＵリソース及びＩ／Ｏリソースの３つに分けている。ネットワークリソースについては、監視項目の「監視ポート」として例えば設定例に示すように、ポート番号２５番を監視対象となるポートとして設定している。
【００４６】
このポート番号２５番となるＴＣＰ−ＩＰポートはメールアドレスの使用ポートである。この監視ポートとして設定したメール用のポート番号２５番につき、監視項目として
（１）測定単位時間
ネットワーク転送量Ｘを測定する単位時間を設定し、例えば１秒を設定する。
（２）異常判定閾値。
単位時間当たりのネットワーク転送する。
（３）警告判定閾値回数
監視周期で異常判定閾値Ｘｔｈを超えるネットワーク転送量Ｘが何回連続したら警告対象とするかの閾値回数Ｃｔｈ１を設定し、例えばＣｔｈ１＝３回を設定する。
（４）監視周期
監視処理を実行する時間間隔を設定する。例えば監視周期として３秒を設定する。
【００４７】
このような監視対象の設定項目に続いて、この例では３つの監視除外ポートを設定可能としており、設定例に示すようにポート番号２３番のテレネットポート、ポート番号２１番のｆｔｐポートを監視除外ポートとしている。
【００４８】
次のＣＰＵリソースについては、ネットワークリソースの監視対象となるポート番号２５番の場合と同様、
（１）測定単位時間
ＣＰＵ負荷Ｙ（％）を測定する単位時間を設定するもので、例えば１秒を設定する。
（２）異常判定閾値
単位時間当たりのＣＰＵ負荷Ｙ（％）を異常と判定する閾値Ｙｔｈ（％）を設定する。例えば閾値Ｙｔｈ＝９０％を設定する。
（３）警告判定閾値回数
監視周期で異常判定閾値Ｙｔｈを超えるＣＰＵ負荷Ｙｔｈが何回連続したら警告対象とするかの閾値回数Ｃｔｈ２を設定する。例えば閾値回数Ｃｔｈ２＝３回を設定する。
（４）監視周期
監視処理を実行する時間間隔設定であり、例えば３秒を設定している。
【００４９】
次のＩ／Ｏリソースについても、次の４つの監視項目が設定される。
（１）測定単位時間
Ｉ／Ｏ負荷Ｚ（入出力回数）を測定する単位時間を例えば１秒と設定する。
（２）異常判定閾値
単位時間当たりのＩ／Ｏ負荷Ｚを異常と判定する閾値Ｚｔｈを設定する。例えば閾値Ｚｔｈ＝２００回を設定する。
（３）警告判定閾値回数
監視周期で異常判定閾値Ｚｔｈを超えるＩ／Ｏ負荷が何回連続したら警告対象とするかの閾値回数Ｃｔｈ３を設定する。この例ではＣｔｈ３＝３回としている。
（４）監視周期
監視処理を実行する時間間隔を設定するもので、例えば３秒を設定する。
【００５０】
図５は、図２のパーソナルコンピュータ１０−１に設けた測定データファイル３２の説明図である。測定データファイル３２は、監視対象としてネットワークリソース、ＣＰＵリソース及びＩ／Ｏリソースの３つを持ち、それぞれ取得時刻と測定データ内容を設けている。
【００５１】
この測定データファイル３２の内容は、図４の監視条件定義ファイル３０の設定に従って行われている。即ちネットワークリソースについては、監視周期として設定した３秒間隔でポート番号２５番の単位時間当りのネットワーク転送量Ｘ（Ｍｂｐｓ）を測定して格納している。なお、ネットワーク転送量の数値の左側には監視対象となるポート番号２５番が示されている。
【００５２】
ＣＰＵリソースについては、同じく監視周期３秒ごとに作成されたＣＰＵ負荷Ｙ（％）の値が格納されている。更にＩ／Ｏリソースについては、同じく監視周期３秒で測定された１秒当たりのＩ／Ｏ負荷Ｚ（回／ｓ）を格納している。
【００５３】
図６は、図５の測定データファイル３２の測定データ内容から、急激な使用量の増加についての判定結果が格納されたリソース使用状況判定テーブル３８の説明図である。
【００５４】
リソース使用状況判定テーブル３８は、監視対象としてのネットワークリソース、ＣＰＵリソース、Ｉ／Ｏリソースのそれぞれについて、図２の監視条件定義ファイル３０で設定した異常判定閾値Ｘｔｈ，Ｙｔｈ，Ｚｔｈによる図５の測定データファイル３２の測定データ内容との比較による判定結果を登録している。
【００５５】
例えばネットワークリソースを例に取ると、図５にあっては単位時間当りの異常判定閾値Ｘｔｈ＝４．０Ｍｂｐｓを超える測定結果が４周期連続している。したがって、リソース使用状況判定テーブル３８の異常カウンタには、異常判定閾値Ｘｔｈ＝４．０Ｍｂｐｓとなった異常判定結果のカウンタによる値即ち異常カウンタの値として「４回」が格納されている。
【００５６】
この異常カウンタの値をＣ１とすると、リソース状態フラグはカウンタ回数Ｃ＝４回が、図４の監視条件定義ファイル３０に設定している警告判定閾値回数Ｃｔｈ１＝３回を超えたときに、リソース状態フラグとして異常フラグをセットする。
【００５７】
次のＣＰＵリソースにあっては、図５の測定データファイル３２の測定データ内容から、異常判定閾値Ｙｔｈ＝９０％を超えた測定結果は１回であり、これが異常カウンタのカウンタ値Ｃ２となり、異常カウンタ値Ｃ２は図４の監視条件定義ファイル３０で設定した警告判定閾値回数Ｃｔｈ２未満であることから、リソース状態フラグは正常フラグがセットされている。
【００５８】
次のＩ／Ｏリソースにあっては、図５の測定データファイル３２における測定データ内容は全て図４の監視条件データファイル３０に設定した異常判定閾値Ｚｔｈ＝２００回／ｓ未満であり、このときの異常カウンタ値Ｃ３はＣ３＝０回であることから、当然に警告判定閾値回数Ｃｔｈ３＝３回に達しておらず、リソース状態フラグは正常フラグが登録されている。
【００５９】
このため、図５の測定データファイル３２における監視時刻「２００３．０１．０１．１０：００：１２」の時刻にあっては、図６のリソース使用状況判定テーブル３８の異常フラグが設定されているネットワークリソースにおいてウィルス感染が発生したものと判定し、ネットワーク装置１６−１に対しウィルス発生警告を通知し、ネットワークとの接続を遮断させる。
【００６０】
図７は、本発明のパーソナルコンピュータにおけるウィルス監視処理の基本処理のフローチャートであり、次の処理手順からなる。
ステップＳ１：図４のような監視条件定義ファイル３０の登録内容に示すように、監視対象とするリソースと監視対象から除外するリソースを登録し、監視対象としたリソースについては測定単位時間、異常判定閾値、警告判定閾値回数、監視周期などの条件を事前登録する。
ステップＳ２：監視条件定義ファイル３０に設定した監視周期に達したかどうか判断し、達した場合にはステップＳ３に進む。
ステップＳ３：監視対象とするリソースの監視パラメータ、例えばネットワークリソースであればネットワーク転送量、ＣＰＵリソースであればＣＰＵ負荷、またＩ／Ｏリソースであれば単位時間当たりの入出力回数を測定する。
ステップＳ４：リソースの急激な変化の有無を判定する。急激な変化があればステップＳ５に進み、なければステップＳ７に進む。
ステップＳ５：リソースの急激な変化が継続しているか否か判定する。継続している場合にはステップＳ６に進み、継続していなければステップＳ７に進む。
ステップＳ６：リソースの急激な変化が判別され且つ継続している場合であり、ウィルス発生警告を、自分をネットワークに接続しているネットワーク装置に通知する。
ステップＳ７：リソースの急激な変化がなかった場合であり、リソース正常使用を、自分をネットワークに接続しているネットワーク装置に通知する。
【００６１】
図８及び図９は、本発明におけるウィルス監視処理の詳細な処理手順を示したフローチャートであり、このフローチャートの内容が図１のパーソナルコンピュータ１０−１〜１０−６及びサーバ１２にインストールして実行されるウィルス監視用のプログラムとしての内容を持つ。このウィルス監視処理の詳細は次の処理手順で行われる。
ステップＳ１：図４の監視条件定義ファイル３０のように、監視条件の事前登録を行う。
ステップＳ２：監視周期か否か判別し、監視周期に達すればステップＳ３に進む。
ステップＳ３：リソースの監視パラメータを測定する。
ステップＳ４：ネットワークリソースにおけるネットワーク転送量Ｘの異常判定を行う。即ち、ネットワーク転送量Ｘが異常判定閾値Ｘｔｈ以上か否か判別し、以上であればステップＳ５に進み、Ｘｔｈ未満であればステップＳ８に進む。
ステップＳ５：ネットワークリソースにつき設けている異常カウンタＣ１を１つカウントアップする。
ステップＳ６：異常継続を判定する。即ち、異常カウンタの値Ｃ１が警告判定閾値回数Ｃｔｈ１以上か否か判別する。警告判定閾値回数Ｃｔｈ１以上であればステップＳ７に進み、そうでなければステップＳ８に進む。
ステップＳ７：ネットワークリソースのリソース状態フラグを異常にセットする。
ステップＳ８：ＣＰＵ負荷Ｙの測定結果を取得する。
ステップＳ９：ＣＰＵ負荷Ｙ（％）の異常判定を行う。即ちＣＰＵ負荷Ｙ（％）が異常判定閾値Ｙｔｈ（％）以上か否か判別し、Ｙｔｈ以上であればステップＳ１０に進み、そうでなければ図９のステップＳ１３に進む。
ステップＳ１０：ＣＰＵリソースに対応して設けている異常カウンタＣ２を１つカウントアップする。
ステップＳ１１：異常カウンタの値Ｃ２と警告判定閾値回数Ｃｔｈ２とを比較し、警告判定閾値回数Ｃｔｈ２以上であればステップＳ１２に進み、Ｃｔｈ未満であれば図９のステップＳ１３に進む。
ステップＳ１２：ＣＰＵリソースのリソース状態フラグを異常フラグにセットする。
ステップＳ１３：入出力負荷Ｚの測定結果を取得する。
ステップＳ１４：入出力負荷Ｚが異常判定閾値Ｚｔｈ以上かどうかの異常判定を行う。Ｚｔｈ以上であればステップＳ１５に進み、そうでなければステップＳ１８に進む。
ステップＳ１５：入出力リソースに対応した異常カウンタＣ３の値を１つカウントアップする。
ステップＳ１６：異常カウンタの値Ｃ３が警告判定閾値回数Ｃｔｈ３以上か否か判定し、Ｃｔｈ３以上であればステップＳ１７に進み、Ｃｔｈ３未満であればステップＳ１８に進む。
ステップＳ１７：入出力リソースのリソース状態フラグを異常フラグにセットする。
ステップＳ１８：ステップＳ１７までの処理でリソース状態フラグの中に異常フラグがあるか否か判定し、異常フラグがあればステップＳ１９に進み、異常フラグがなければステップＳ２０に進む。
ステップＳ１９：ウィルスの発生警告を、自分をネットワークに接続しているネットワーク装置に通知する。
ステップＳ２０：リソースの正常使用を、自分をネットワークに接続しているネットワーク装置に通知する。
【００６２】
図１０は本発明におけるネットワーク装置の処理のフローチャートであり、このフローチャートの内容がネットワーク装置側で実行されるプログラムの内容に対応している。このネットワーク装置の処理手順は次のようになる。
ステップＳ１：イベント受信の有無をチェックしており、受信があればステップＳ２に進む。
ステップＳ２：受信したイベントの送信元を認識する。
ステップＳ３：受信内容はリソース正常使用通知か否か判別する。正常使用通知でなければステップＳ４に進み、そうであればステップＳ６に進む。
ステップＳ４：受信内容がウィルス発生警告通知か否か判別する。そうであればステップＳ５に進み、違っていればステップＳ７に進む。
ステップＳ５：ウィルス発生警告通知であることから、送信元をネットワークから切り離す遮断処理を行う。
ステップＳ６：リソース正常使用通知であることから、送信元の割当タイマをリセットスタートする。
ステップＳ７：既にリセットスタートしているタイマの中にタイムアウトしたものがあるか否か判別し、あればステップＳ８に進み、なければステップＳ１に戻る。
ステップＳ８：タイムアウトした割当タイマの送信元がウィルス感染によりリソース正常使用通知を定期的に送ることができなくなったことから、ウィルス感染と判定し、送信元をネットワークから切り離す遮断処理を実行する。
【００６３】
図１１は複数種類のリソースを組み合わせてウィルス感染を監視する組合せ条件テーブル４２の説明図である。即ち図６のリソース使用状況判定テーブル３８にあっては、ネットワークリソース、ＣＰＵリソース、Ｉ／Ｏリソースというそれぞれのリソースにつき、単独でリソース状態フラグに異常がセットされると、これに基づき直ちにウィルス発生と判断してネットワーク装置側にウィルス発生警告を通知してネットワークから遮断させているが、ウィルスの性質から確実にウィルス感染を判断するため、異なったリソースの組合せによりウィルス感染を判断すれば、ウィルス感染の判断精度を高めることができる。
【００６４】
これは、ウィルスの中にはメールを多量に配信するウィルスやハードディスクドライブをファイルコピーの多発により占拠してしまうといったものがあり、このようなウィルスの性質を判別するため、例えば図１１のリソース組合せ条件テーブル４２にあっては、
（１）ネットワークリソースとＣＰＵリソース
（２）ＣＰＵリソースとＩ／Ｏリソース
（３）ネットワークリソースとＩ／Ｏリソース
といった組合せ条件をセットしている。
【００６５】
そして、このような２種類のリソースに対するウィルス監視処理で、組み合せた両方のリソースについてリソース状態フラグに異常フラグが割り当てられた場合に、リソース組合せ条件テーブル４２の組合せリソース状態フラグに異常をセットし、ネットワーク装置側にウィルス発生警告を通知してネットワークから遮断させる。
【００６６】
図１２は、図１１のリソース組合せ条件テーブルに従った図８に続くウィルス監視処理のフローチャートである。図１２において、ステップＳ１３〜Ｓ１８は図９の場合と同じであるが、それ以降の処理が次のようにリソース組合せ条件テーブル４２に従った固有の処理となる。
ステップＳ１９：図１１のリソース組合せ条件テーブル４２から警告リソースの組合せ条件を取得する。
ステップＳ２０：組合せリソースの全てのリソース状態フラグに異常フラグがあればステップＳ２１に進み、なければステップＳ２２に進む。
ステップＳ２１：ウィルス発生警告をネットワーク装置側に通知する。
ステップＳ２２：リソースの正常使用をネットワーク装置側に通知する。
【００６７】
なお図１１のリソース組合せ条件テーブル４２にあっては、図６のように各リソースごとに異常カウンタをカウントし、カウンタの値が警告判定閾値回数以上となったときに、リソース状態フラグに異常フラグをセットし、この結果に基づき、リソース組合せ条件を得ているが、警告リソースの組合せ条件に対応した測定値の両方が異常判定閾値を超えたときに異常カウンタをカウントアップし、異常カウンタの値が警告判定閾値回数以上となったときにウィルス感染を判定してネットワーク装置側に通知するようにしてもよい。
【００６８】
また本発明は上記の実施形態に限定されず、その目的と利点を損なうことのない適宜の変形を含む。また本発明は上記の実施形態に示した数値による限定は受けない。
【００６９】
ここで本発明の特徴をまとめて列挙すると次の付記のようになる。
（付記）
（付記１）
ネットワーク装置を介してネットワークに接続した情報処理装置に設けられ、資源の使用状況を監視し、資源の使用量が急激に増加した場合にウィルス感染と判定して外部に通知するウィルス監視部と、
前記ネットワーク装置に設けられ、前記ウィルス監視部からの通知を受信した際に、通知元の情報処理装置をネットワークから遮断する遮断部と、
を備えたことを特徴とするウィルス隔離システム。（１）
【００７０】
（付記２）
付記１のウィルス隔離システムに於いて、前記ウィルス監視部は、前記情報処理装置で使用している複数種類の資源毎にウィルス感染を判定し、所定の組合せに対応した複数の資源の使用量が急激に増加した場合に、ウィルス感染と判定して通知することを特徴とするウィルス隔離システム。（２）
【００７１】
（付記３）
付記１のウィルス隔離システムに於いて、前記ウィルス監視部は、前記情報処理装置で監視対象とする資源とウィルス監視対象から除外する資源を事前登録することを特徴とするウィルス隔離システム。（３）
【００７２】
（付記４）
ネットワーク装置を介してネットワークに接続された情報処理装置の資源の使用状況を監視し、資源の使用量が急激に増加した場合にウィルス感染と判定して外部に通知するウィルス監視ステップと、
ウィルス感染通知を前記ネットワーク装置から受信した際に、通知元の情報処理装置をネットワークから遮断する遮断ステップと、
を備えたことを特徴とするウィルス隔離方法。
【００７３】
（付記５）
ネットワーク装置を介してネットワークに接続されたコンピュータに、
前記コンピュータ内の監視対象とする資源と監視対象から除外する資源を事前登録する事前登録ステップと、
監視対象とした資源の使用状況を定期的に監視し、資源の使用量が急激に増加した場合にウィルス感染と判定して前記ネットワーク装置にネットワークからの遮断要求を通知し、ウィルス感染を判定しない場合は、正常使用を通知するウィルス監視ステップと、
を実行させることを特徴とするプログラム。
【図面の簡単な説明】
【００７４】
【図１】本発明が適用されるネットワーク構成の説明図
【図２】図１のパーソナルコンピュータとネットワーク装置に設けられる本発明のウィルス隔離のため機能構成を示したブロック図
【図３】図２のパーソナルコンピュータに使用するコンピュータのハードウェア資源のブロック図
【図４】図２のパーソナルコンピュータに設けた監視条件定義ファイルの説明図
【図５】図２のパーソナルコンピュータに設けた測定データファイルの説明図
【図６】図５の測定データから判定されたリソース使用状況判定テーブルの説明図
【図７】本発明おけるウィルス監視処理のフローチャート
【図８】本発明におけるウィルス監視処理の詳細な手順を示したフローチャート
【図９】図８に続くウィルス監視処理のフローチャート
【図１０】本発明におけるネットワーク側処理のフローチャート
【図１１】複数種類のリソースを組み合わせてウィルス感染を監視する組合せ条件テーブルの説明図
【図１２】図１１のリソースの組合せ条件に従った図８に続くウィルス監視処理のフローチャート
【符号の説明】
【００７５】
１０−１〜１０−６：パーソナルコンピュータ
１２：サーバ
１４：ＬＡＮ
１６−１〜１６−３：ネットワーク装置
１８：ウィルス監視部
２０：資源
２２：ネットワークリソース
２４：ＣＰＵリソース
２６：入出力リソース
２８：事前登録部
３０：監視条件定義ファイル
３２：測定データファイル
３４：遮断部
３６：ウィルス判定部
３８：リソース使用状況判定テーブル
４０：リソース組合せ条件テーブル
【図１】
2005025679.tif 000003
【図２】
2005025679.tif 000004
【図３】
2005025679.tif 000005
【図４】
2005025679.tif 000006
【図５】
2005025679.tif 000007
【図６】
2005025679.tif 000008
【図７】
2005025679.tif 000009
【図８】
2005025679.tif 000010
【図９】
2005025679.tif 000011
【図１０】
2005025679.tif 000012
【図１１】
2005025679.tif 000013
【図１２】
2005025679.tif 000014