(57)【要約】【課題】  ワームに感染した機器を自動的にネットワークから切断等することが可能なワーム監視対策システムを実現する。【解決手段】  ネットワークを流れる不正なパケットを監視することによりワームに感染した機器を特定するワーム監視対策システムにおいて、ネットワーク層のルーティング処理を行う第１のスイッチと、この第１のスイッチに接続されデータリンク層で動作する第２のスイッチと、第１のスイッチのミラーポートに接続されワームパケットを検知し記録して情報を通知するワーム侵入検知システムと、機器の接続先ポートの情報を管理するネットワーク管理システムと、ワーム侵入検知システムがワームパケットを検知した場合に、ネットワーク管理システムからワームに感染した機器の接続先ポートの情報を取得すると共に第２のスイッチを制御してワームに感染した機器が接続されているポートをネットワークから切断するワーム対策装置とを設ける。【選択図】                    図１
2005260612.tif 000002
【特許請求の範囲】
【請求項１】
ネットワークを流れる不正なパケットを監視することによりワームに感染した機器を特定するワーム監視対策システムにおいて、
ネットワーク層のルーティング処理を行う第１のスイッチと、
この第１のスイッチに接続されデータリンク層で動作する第２のスイッチと、
前記第１のスイッチのミラーポートに接続されワームパケットを検知し記録して情報を通知するワーム侵入検知システムと、
機器の接続先ポートの情報を管理するネットワーク管理システムと、
前記ワーム侵入検知システムがワームパケットを検知した場合に、前記ネットワーク管理システムからワームに感染した機器の接続先ポートの情報を取得すると共に前記第２のスイッチを制御してワームに感染した機器が接続されているポートをネットワークから切断するワーム対策装置と
を備えたことを特徴とするワーム監視対策システム。
【請求項２】
ネットワークを流れる不正なパケットを監視することによりワームに感染した機器を特定するワーム監視対策システムにおいて、
ネットワーク層のルーティング処理を行う第１のスイッチと、
この第１のスイッチに接続されデータリンク層で動作する第２のスイッチと、
前記第１のスイッチのミラーポートに接続されワームパケットを検知し記録して情報を通知するワーム侵入検知システムと、
機器の接続先ポートの情報を管理するネットワーク管理システムと、
前記ワーム侵入検知システムがワームパケットを検知した場合に、前記ネットワーク管理システムからワームに感染した機器の接続先ポートの情報を取得すると共に前記第２のスイッチを制御してワームに感染した機器が接続されているポートを仮想の隔離用ネットワークに接続して隔離するワーム対策装置と
を備えたことを特徴とするワーム監視対策システム。
【請求項３】
前記ワーム侵入検知システムが、
取得したパケットに関連する情報を格納する記憶手段と、
前記ワーム対策装置との間で通信を行う通信手段と、
ワームパケットを検知して情報を前記記憶手段に記録し情報を前記ワーム対策装置に通知する演算制御手段とから構成されたことを特徴とする
請求項１若しくは請求項２記載のワーム監視対策システム。
【請求項４】
前記演算制御手段が、
前記第１のスイッチを通過するパケットをミラーポートを介して取得し、
既知のワームのパターンファイルが登録されているリストを参照し取得したパケットが当該リストに登録されている場合に、当該パケットをワームパケットとして認識し、
ワームパケットから送信元の機器のＩＰアドレス、ＭＡＣアドレスの情報を抽出し、
ワームパケットのアラームを前記ワーム対策装置に送信することを特徴とする
請求項３記載のワーム監視対策システム。
【請求項５】
前記演算制御手段が、
前記第１のスイッチを通過するパケットをミラーポートを介して取得し、
同一パターンのパケットが多数伝播し、且つ、同一パターンのパケットの伝播数が予め設定されている閾値を超過している場合に、前記閾値を超過したパケットをワームパケットと認識し、
ワームパケットから送信元の機器のＩＰアドレス、ＭＡＣアドレスの情報を抽出し、
ワームパケットのアラームを前記ワーム対策装置に送信することを特徴とする
請求項３記載のワーム監視対策システム。
【請求項６】
前記演算制御手段が、
予めワームパケットではないと判明しているパターンのパケットを除くことを特徴とする
請求項５記載のワーム監視対策システム。
【請求項７】
前記ワーム対策装置が、
資産管理システムから各機器の情報を取得し、取得した情報に基づきワーム感染機器一覧を作成しネットワーク管理者が操作する管理端末に通知することを特徴とする
請求項１若しくは請求項２記載のワーム監視対策システム。
【請求項８】
前記ワーム対策装置が、
前記隔離用ネットワークに隔離されているワームに感染した機器の状況を監視し、
ワームの駆除が完了し、且つ、脆弱性に対して対応済みであると判断した場合に、当該対策済み機器を前記隔離用ネットワークから元のネットワークに復帰させることを特徴とする
請求項２記載のワーム監視対策システム。
【請求項９】
前記ワーム対策装置が、
前記隔離用ネットワークに隔離されているワームに感染した機器の状況を監視し、
ワームの駆除が完了し、且つ、脆弱性に対して対応済みであると判断した場合に、ワーム感染機器一覧から当該対策済み機器を削除して修正することを特徴とする
請求項２記載のワーム監視対策システム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、ネットワークを流れる不正なパケットを監視することによりワームに感染した機器を特定するワーム監視対策システムに関し、特にワームに感染した機器を自動的にネットワークから切断等することが可能なワーム監視対策システムに関する。
【背景技術】
【０００２】
従来のネットワークを流れる不正なパケットを監視することによりワームに感染した機器を特定や伝播経路を特定等するワーム監視システムに関連する先行技術文献としては次のようなものがある。
【０００３】
【特許文献１】特開２０００−０４９８５２号公報
【特許文献２】特開２０００−２６１４８３号公報
【特許文献３】特開２００１−２１７８３４号公報
【特許文献４】特開２００２−３３５２４６号公報
【特許文献５】特開２００３−２６４５９５号公報
【特許文献６】特開２００３−２９８６４８号公報
【特許文献７】特開２００３−２９８６５１号公報
【０００４】
近年のインターネットにおいては、”ＭＳ−ＳＱＬ  Ｓｌａｍｍｅｒ”や”Ｂｌａｓｔｅｒ”等と言った急速にサーバマシン等の装置に感染し拡大してゆくワーム（ネットワークを徘徊して感染するタイプのウイルス。単体で動作し、ほかのファイルへの感染は行わない。）が流行している。
【０００５】
そして、このようなワームにより世界的にネットワークの障害が起こる等、深刻な社会問題となっており、広範囲でのワームの活動の監視強化が望まれている。
【０００６】
一方、企業内部であってもワームの感染が拡大することによって企業内のネットワークが麻痺して業務に支障が生じると言った問題点がある。このため、企業のネットワーク管理者はワームに感染した機器に対してワームの駆除等の対策を適宜行うことが必要不可欠である。
【０００７】
図１０はこのような従来のワーム監視対策システムの一例を示す構成ブロック図である。図１０において１はネットワーク層（レイヤ３）のルーティング処理を行うルータ等のスイッチ、２，３，４及び５はデータリンク層（レイヤ２）で動作し、物理アドレス（ＭＡＣアドレス：Media Access Control Address）を学習して通信に必要なポート同士を接続するスイッチングハブ等のスイッチ、６，７，８，９及び１０はＮＩＤＳ（Network Intrusion Detection System：ネットワーク侵入検知システム：以下、単にＮＩＤＳと呼ぶ。）、１１は企業部のローカルなネットワーク（イントラネット）とインターネットとの間に外部からの不正なアクセスを防ぐ目的で設置されるファイヤウォール、１００はインターネットである。
【０００８】
企業内の中心に設置されたスイッチ１には企業内のビル、ビルのフロアや工場等の拠点毎に設置されたスイッチ２，３，４及び５がそれぞれ相互に接続され、各スイッチ２，３，４及び５のミラーポートにはＮＩＤＳ７，８，９及び１０がそれぞれ接続される。
【０００９】
そして、各拠点の内部ネットワークのセグメントはタギング方式の仮想ＬＡＮ（Virtual Local Area Network）としてグループ化され外部からは１つのＬＡＮとして取り扱うことができる。
【００１０】
また、スイッチ１は外部のインターネット１００とファイヤウォール１１を介して接続され、ファイヤウォール１１の内側（企業内）であってインターネット１００とスイッチ１との接続点にはＮＩＤＳ６が接続される。
【００１１】
ここで，図１０に示す従来例の動作を図１１，図１２及び図１３を用いて説明する。図１１はワーム対策のフローを説明するフロー図、図１２及び図１３は情報の流れやネットワーク管理者の作業等を説明する説明図である。
【００１２】
図１１中”Ｓ００１”においてネットワーク管理者は、ＮＩＤＳの何れかからワームパケットの情報を取得したか否かを判断し、もし、ワームパケット情報を取得したと判断した場合には、図１１中”Ｓ００２”においてネットワーク管理者は、ワームに感染した、言い換えれば、当該ワームパケットを送信しているコンピュータ等の機器のＩＰ（Internet Protocol）アドレスをＮＩＤＳから取得する。
【００１３】
例えば、図１２中”ＷＰ０１”に示すようなワームパケットがスイッチ４が設置された拠点で伝播し、ＮＩＤＳ９が当該ワームパケットを検出した場合、図１２中”ＡＤ０１”に示すネットワーク管理者には図１２中”ＲＰ０１”に示すようにワームパケットを検出した旨の通知と共にワームパケットに関する情報が送信される。
【００１４】
そして、図１１中”Ｓ００３”においてネットワーク管理者は、スイッチ１に対してワームパケットが使用しているプロトコルの通信を遮断するようにアクセスコントロールを設定する。
【００１５】
例えば、図１２中”ＡＤ０１”に示すネットワーク管理者は、取得したワームパケットの情報に基づき当該ワームパケットが使用しているプロトコルを特定し、図１２中”ＡＣ０１”に示すように中心に設置されたスイッチ１に対して特定されたプロトコルの通信を遮断するようにアクセスコントロールを設定する。
【００１６】
また、図１１中”Ｓ００４”においてネットワーク管理者は、ネットワーク管理ツール等からワームに感染した機器の設置位置に関する情報、ワームに感染した機器がスイッチ（レイヤ２）のどのポートに接続されているかの情報等を取得する。
【００１７】
最後に，図１１中”Ｓ００５”においてネットワーク管理者は、特定されたスイッチのポートからネットワークケーブルを引き抜く等により当該ワームに感染した機器を隔離し、隔離された機器に対してワーム駆除ツール等を用いてワームの駆除を行う。
【００１８】
例えば、図１３中”ＡＤ０１”に示すネットワーク管理者は、図１３中”ＭＶ１１”に示すようにワームに感染した機器の設置されている拠点に赴き、拠点に赴いた図１３中”ＡＤ１１”に示すネットワーク管理者は、図１３中”ＥＸ１１”に示すようにこの拠点に設置されているスイッチ４の特定のポートからネットワークケーブルを引き抜くことによりワームに感染した機器を隔離すると共に隔離された機器のワームの駆除を行う。
【００１９】
この結果、ネットワーク管理者が、ＮＩＤＳで検出されたワームパケットを送信しているワームに感染した機器をネットワーク管理ツール等を用いて特定し、当該特定された機器を隔離し、ワームの駆除を行うことにより、企業内部にワームの感染が拡大することを防止することが可能になる。
【発明の開示】
【発明が解決しようとする課題】
【００２０】
しかし、図１０に示す従来例では、ネットワーク層（レイヤ３）のルーティング処理を行うルータ等のスイッチにおいて、ワームパケットが使用しているプロトコルを遮断することによりワームパケットの伝播を防止しているものの、当該プロトコルと同一のプロトコルを使用するアプリケーションが企業内部のネットワーク全体で使用できなくなってしまうと言った問題点があった。
【００２１】
また、ネットワーク管理者がネットワーク管理ツール等を用いてワームに感染した機器を特定してワームを駆除しているが、問題を特定して完全に駆除するまでにはいくつかの段階があり、どの段階で機器のネットワークからの隔離を解除するのかは、各々のネットワーク管理者によって判断が分かれてしまうと言った問題点があった。
【００２２】
このため、もし、ネットワーク管理者が機器のネットワークからの隔離を解除の判断を誤った場合には、再びワームの感染が企業内に拡大してしまう。
【００２３】
また、ＮＩＤＳでは未知のワームパケットを検知できないので、未知のワームの感染拡大には対応できないと言った問題点があった。
【００２４】
また、ＩＰアドレスを詐称するタイプのワームの場合には、ＮＩＤＳでワームパケットを検出できたとしても、当該ワームに感染した機器のＩＰアドレスは詐称されているのでワームに感染した機器の特定が不可能であると言った問題点があった。
【００２５】
さらに、企業内のネットワークの監視対象とする場合には、デフォルトでパケットが伝播する経路にＮＩＤＳを設置するが、企業内の機器の間で伝播するワームパケットを検知することができないと言った問題点があり、これを解決するためには想定される全ての経路にＩＤＳを設置しなければならず、導入コストや保守コスト等が問題になってしまう。
従って本発明が解決しようとする課題は、ワームに感染した機器を自動的にネットワークから切断等することが可能なワーム監視対策システムを実現することにある。
【課題を解決するための手段】
【００２６】
このような課題を達成するために、本発明のうち請求項１記載の発明は、
ネットワークを流れる不正なパケットを監視することによりワームに感染した機器を特定するワーム監視対策システムにおいて、
ネットワーク層のルーティング処理を行う第１のスイッチと、この第１のスイッチに接続されデータリンク層で動作する第２のスイッチと、前記第１のスイッチのミラーポートに接続されワームパケットを検知し記録して情報を通知するワーム侵入検知システムと、機器の接続先ポートの情報を管理するネットワーク管理システムと、前記ワーム侵入検知システムがワームパケットを検知した場合に、前記ネットワーク管理システムからワームに感染した機器の接続先ポートの情報を取得すると共に前記第２のスイッチを制御してワームに感染した機器が接続されているポートをネットワークから切断するワーム対策装置とを備えたことにより、ワームに感染した機器を自動的にネットワークから切断等することが可能になる。また、未知のワームパケットであっても検知することができるので、未知のワームの感染拡大も防止することができる。また、ワームＩＤＳでは送信元のＭＡＣアドレスまで情報を取得することができるので、ＩＰアドレスを詐称するタイプのワームであっても、ワームに感染した機器の特定が可能になる。さらに、企業内の中心に設置されたスイッチのミラーポートにワームＩＤＳを接続することにより、従来例と比べて、企業内同士でパケットを送信し合うワームの検知がしやすくなり、また、従来例と比べて少ない台数のワームＩＤＳで良く導入コスト等も低減できる。
【００２７】
請求項２記載の発明は、
ネットワークを流れる不正なパケットを監視することによりワームに感染した機器を特定するワーム監視対策システムにおいて、
ネットワーク層のルーティング処理を行う第１のスイッチと、この第１のスイッチに接続されデータリンク層で動作する第２のスイッチと、前記第１のスイッチのミラーポートに接続されワームパケットを検知し記録して情報を通知するワーム侵入検知システムと、機器の接続先ポートの情報を管理するネットワーク管理システムと、前記ワーム侵入検知システムがワームパケットを検知した場合に、前記ネットワーク管理システムからワームに感染した機器の接続先ポートの情報を取得すると共に前記第２のスイッチを制御してワームに感染した機器が接続されているポートを仮想の隔離用ネットワークに接続して隔離するワーム対策装置とを備えたことにより、ワームに感染した機器を自動的にネットワークから切断等することが可能になる。また、未知のワームパケットであっても検知することができるので、未知のワームの感染拡大も防止することができる。また、ワームＩＤＳでは送信元のＭＡＣアドレスまで情報を取得することができるので、ＩＰアドレスを詐称するタイプのワームであっても、ワームに感染した機器の特定が可能になる。さらに、企業内の中心に設置されたスイッチのミラーポートにワームＩＤＳを接続することにより、従来例と比べて、企業内同士でパケットを送信し合うワームの検知がしやすくなり、また、従来例と比べて少ない台数のワームＩＤＳで良く導入コスト等も低減できる。
【００２８】
請求項３記載の発明は、
請求項１若しくは請求項２記載の発明であるワーム監視対策システムにおいて、
前記ワーム侵入検知システムが、
取得したパケットに関連する情報を格納する記憶手段と、前記ワーム対策装置との間で通信を行う通信手段と、ワームパケットを検知して情報を前記記憶手段に記録し情報を前記ワーム対策装置に通知する演算制御手段とから構成されたことにより、ワームに感染した機器を自動的にネットワークから切断等することが可能になる。また、未知のワームパケットであっても検知することができるので、未知のワームの感染拡大も防止することができる。また、ワームＩＤＳでは送信元のＭＡＣアドレスまで情報を取得することができるので、ＩＰアドレスを詐称するタイプのワームであっても、ワームに感染した機器の特定が可能になる。さらに、企業内の中心に設置されたスイッチのミラーポートにワームＩＤＳを接続することにより、従来例と比べて、企業内同士でパケットを送信し合うワームの検知がしやすくなり、また、従来例と比べて少ない台数のワームＩＤＳで良く導入コスト等も低減できる。
【００２９】
請求項４記載の発明は、
請求項３記載の発明であるワーム監視対策システムにおいて、
前記演算制御手段が、
前記第１のスイッチを通過するパケットをミラーポートを介して取得し、既知のワームのパターンファイルが登録されているリストを参照し取得したパケットが当該リストに登録されている場合に、当該パケットをワームパケットとして認識し、ワームパケットから送信元の機器のＩＰアドレス、ＭＡＣアドレスの情報を抽出し、ワームパケットのアラームを前記ワーム対策装置に送信することにより、ワームに感染した機器を自動的にネットワークから切断等することが可能になる。また、未知のワームパケットであっても検知することができるので、未知のワームの感染拡大も防止することができる。また、ワームＩＤＳでは送信元のＭＡＣアドレスまで情報を取得することができるので、ＩＰアドレスを詐称するタイプのワームであっても、ワームに感染した機器の特定が可能になる。さらに、企業内の中心に設置されたスイッチのミラーポートにワームＩＤＳを接続することにより、従来例と比べて、企業内同士でパケットを送信し合うワームの検知がしやすくなり、また、従来例と比べて少ない台数のワームＩＤＳで良く導入コスト等も低減できる。
【００３０】
請求項５記載の発明は、
請求項３記載の発明であるワーム監視対策システムにおいて、
前記演算制御手段が、
前記第１のスイッチを通過するパケットをミラーポートを介して取得し、同一パターンのパケットが多数伝播し、且つ、同一パターンのパケットの伝播数が予め設定されている閾値を超過している場合に、前記閾値を超過したパケットをワームパケットと認識し、ワームパケットから送信元の機器のＩＰアドレス、ＭＡＣアドレスの情報を抽出し、ワームパケットのアラームを前記ワーム対策装置に送信することにより、ワームに感染した機器を自動的にネットワークから切断等することが可能になる。また、未知のワームパケットであっても検知することができるので、未知のワームの感染拡大も防止することができる。また、ワームＩＤＳでは送信元のＭＡＣアドレスまで情報を取得することができるので、ＩＰアドレスを詐称するタイプのワームであっても、ワームに感染した機器の特定が可能になる。さらに、企業内の中心に設置されたスイッチのミラーポートにワームＩＤＳを接続することにより、従来例と比べて、企業内同士でパケットを送信し合うワームの検知がしやすくなり、また、従来例と比べて少ない台数のワームＩＤＳで良く導入コスト等も低減できる。
【００３１】
請求項６記載の発明は、
請求項５記載の発明であるワーム監視対策システムにおいて、
前記演算制御手段が、
予めワームパケットではないと判明しているパターンのパケットを除くことにより、ワームに感染した機器を自動的にネットワークから切断等することが可能になる。また、未知のワームパケットであっても検知することができるので、未知のワームの感染拡大も防止することができる。また、ワームＩＤＳでは送信元のＭＡＣアドレスまで情報を取得することができるので、ＩＰアドレスを詐称するタイプのワームであっても、ワームに感染した機器の特定が可能になる。さらに、企業内の中心に設置されたスイッチのミラーポートにワームＩＤＳを接続することにより、従来例と比べて、企業内同士でパケットを送信し合うワームの検知がしやすくなり、また、従来例と比べて少ない台数のワームＩＤＳで良く導入コスト等も低減できる。
【００３２】
請求項７記載の発明は、
請求項１若しくは請求項２記載の発明であるワーム監視対策システムにおいて、
前記ワーム対策装置が、
資産管理システムから各機器の情報を取得し、取得した情報に基づきワーム感染機器一覧を作成しネットワーク管理者が操作する管理端末に通知することにより、ワームに感染した機器を自動的にネットワークから切断等することが可能になる。また、未知のワームパケットであっても検知することができるので、未知のワームの感染拡大も防止することができる。また、ワームＩＤＳでは送信元のＭＡＣアドレスまで情報を取得することができるので、ＩＰアドレスを詐称するタイプのワームであっても、ワームに感染した機器の特定が可能になる。さらに、企業内の中心に設置されたスイッチのミラーポートにワームＩＤＳを接続することにより、従来例と比べて、企業内同士でパケットを送信し合うワームの検知がしやすくなり、また、従来例と比べて少ない台数のワームＩＤＳで良く導入コスト等も低減できる。
【００３３】
請求項８記載の発明は、
請求項２記載の発明であるワーム監視対策システムにおいて、
前記ワーム対策装置が、
前記隔離用ネットワークに隔離されているワームに感染した機器の状況を監視し、ワームの駆除が完了し、且つ、脆弱性に対して対応済みであると判断した場合に、当該対策済み機器を前記隔離用ネットワークから元のネットワークに復帰させることにより、ワームに感染した機器を自動的にネットワークから切断等することが可能になる。また、未知のワームパケットであっても検知することができるので、未知のワームの感染拡大も防止することができる。また、ワームＩＤＳでは送信元のＭＡＣアドレスまで情報を取得することができるので、ＩＰアドレスを詐称するタイプのワームであっても、ワームに感染した機器の特定が可能になる。さらに、企業内の中心に設置されたスイッチのミラーポートにワームＩＤＳを接続することにより、従来例と比べて、企業内同士でパケットを送信し合うワームの検知がしやすくなり、また、従来例と比べて少ない台数のワームＩＤＳで良く導入コスト等も低減できる。
【００３４】
請求項９記載の発明は、
請求項２記載の発明であるワーム監視対策システムにおいて、
前記ワーム対策装置が、
前記隔離用ネットワークに隔離されているワームに感染した機器の状況を監視し、ワームの駆除が完了し、且つ、脆弱性に対して対応済みであると判断した場合に、ワーム感染機器一覧から当該対策済み機器を削除して修正することにより、ワームに感染した機器を自動的にネットワークから切断等することが可能になる。また、未知のワームパケットであっても検知することができるので、未知のワームの感染拡大も防止することができる。また、ワームＩＤＳでは送信元のＭＡＣアドレスまで情報を取得することができるので、ＩＰアドレスを詐称するタイプのワームであっても、ワームに感染した機器の特定が可能になる。さらに、企業内の中心に設置されたスイッチのミラーポートにワームＩＤＳを接続することにより、従来例と比べて、企業内同士でパケットを送信し合うワームの検知がしやすくなり、また、従来例と比べて少ない台数のワームＩＤＳで良く導入コスト等も低減できる。
【発明の効果】
【００３５】
本発明によれば次のような効果がある。
請求項１，２，３，４，５，６，７，８及び請求項９の発明によれば、ネットワーク層のルーティング処理を行うスイッチのミラーポートにワームＩＤＳを接続し、ワームＩＤＳがワームパケットを検知した場合に、ワーム対策装置がネットワーク管理システムと連携してワームに感染した機器の接続先ポート等の情報を取得してワームに感染した機器が接続されているポートをネットワークから切断、或いは、仮想の隔離用ネットワークに隔離することにより、ワームに感染した機器を自動的にネットワークから切断等することが可能になる。また、ネットワーク全体に影響しなくて済む。
【００３６】
また、未知のワームパケットであっても検知することができるので、未知のワームの感染拡大も防止することができ、ワームＩＤＳでは送信元のＭＡＣアドレスまで情報を取得することができるので、ＩＰアドレスを詐称するタイプのワームであっても、ワームに感染した機器の特定が可能になる。
【００３７】
また、ワーム感染機器一覧を機器の状況によって変更することにより、ワームの管理ミスを防止することができる。
【００３８】
また、資産管理システムから各機器の情報を取得することにより、機器の物理的な設置位置や連絡先等を容易に把握できる。
【００３９】
さらに、企業内の中心に設置されたスイッチのミラーポートにワームＩＤＳを接続することにより、従来例と比べて、企業内同士でパケットを送信し合うワームの検知がしやすくなり、また、従来例と比べて少ない台数のワームＩＤＳで良く導入コスト等も低減できる。
【発明を実施するための最良の形態】
【００４０】
以下本発明を図面を用いて詳細に説明する。図１は本発明に係るワーム監視対策システムの一実施例を示す構成ブロック図である。図１において１１及び１００は図１０と同一符号を付してあり、１２はネットワーク層（レイヤ３）のルーティング処理を行うルータ等のスイッチ、１３，１４，１５及び１６はデータリンク層（レイヤ２）で動作し、物理アドレス（ＭＡＣアドレス：Media Access Control Address）を学習して通信に必要なポート同士を接続するスイッチングハブ等のスイッチ、１７はワームパケットを検知して記録し情報をワーム対策装置（後述）に通知するワームＩＤＳ（ワーム侵入検知システム：以下、単にワームＩＤＳと呼ぶ。）、１８はワームに感染した機器を自動的にネットワークから切断等するワーム対策装置、１９は各機器の設置場所や管理者の連絡先等の情報を管理する資産管理システム、２０は機器の接続先ポート等の情報を管理するネットワーク管理システムである。
【００４１】
企業内の中心に設置されたスイッチ１２には企業内のビル、ビルのフロアや工場等の拠点毎に設置されたスイッチ１３，１４，１５及び１６がそれぞれ相互に接続され、各拠点の内部ネットワークのセグメントはタギング方式の仮想ＬＡＮ（Virtual Local Area Network）としてグループ化され外部からは１つのＬＡＮとして取り扱うことができる。
【００４２】
また、スイッチ１２は外部のインターネット１００とファイヤウォール１１を介して接続され、スイッチ１２のミラーポートにはワームＩＤＳ１７が接続される。
【００４３】
さらに、ワーム対策装置１８がスイッチ１２に相互に接続され、資産管理システム１９及びネットワーク管理システム２０がワーム対策装置１８に接続される。
【００４４】
ここで，図１に示す実施例の動作を図２，図３，図４，図５，図６，図７及び図８を用いて説明する。図２はワームＩＤＳ１７の具体例を示す構成ブロック図、図３及び図４はワームＩＤＳ１７の動作を説明するフロー図、図５、図７及び図８は情報等の流れを説明する説明図、図６はワーム対策装置１８の動作を説明するフロー図である。
【００４５】
図２において、２１はＣＰＵ（Central Processing Unit）等の演算制御手段、２２は取得したパケットに関連する情報を格納すると共に既知のワームのパターンファイルが登録されているリストが格納されるＲＡＭ（Random Access Memory）等の記憶手段、２３はネットワークインターフェース等の通信手段である。
【００４６】
観測点であるスイッチ１２のミラーポートは演算制御手段２１の入力端子に接続され、演算制御手段２１の出力は記憶手段２２に接続される。また、演算制御手段２１の入出力は通信手段２３に相互に接続され、通信手段２３はスイッチ１等で構成される企業内のネットワークに接続される。
【００４７】
例えば、図２中”ＬＧ２１”に示すように観測点であるスイッチ１２のミラーポートから入力されたパケットは演算制御手段２１に取り込まれ、ＩＰパケットの中でワーム固有の特定のデータパターンを有しているデータ部分を抽出する。
【００４８】
そして、演算制御手段２１は抽出されたデータ部分と取得したパケットの通過時刻、送信元アドレス及び送信先アドレス（アドレスはＩＰアドレス及びＭＡＣアドレス）等の情報とを併せて図２中”ＤＴ２１”に示すように記憶手段２２に記録する。
【００４９】
また、通信手段２３は図２中”ＳＤ２１”に示すように企業内のネットワークを介してワーム対策装置１８との間で適宜通信を行う。
【００５０】
図３中”Ｓ１０１”においてワームＩＤＳ１７は、スイッチ１を通過するパケットをスイッチ１のミラーポートを介して取得すると共に図３中”Ｓ１０２”において既知のワームのパターンファイルが登録されているリストを参照し取得したパケットが当該リストに登録されているか否かを判断する。
【００５１】
もし、図３中”Ｓ１０２”において取得したパケットがリストに登録されていると判断した場合には、当該パケットをワームパケットとして認識し、図３中”Ｓ１０３”においてワームＩＤＳ１７は、ワームパケットから送信元の機器のＩＰアドレス、ＭＡＣアドレス等の情報を抽出する。
【００５２】
そして、図３中”Ｓ１０４”においてワームＩＤＳ１７は、ワームパケットのアラームをワーム対策装置１８に送信する。
【００５３】
或いは、図４中”Ｓ２０１”においてワームＩＤＳ１７は、スイッチ１を通過するパケットをスイッチ１のミラーポートを介して取得すると共に図４中”Ｓ２０２”において同一パターンのパケットが多数伝播しているか否かを判断し、もし、同一パターンのパケットが多数伝播していると判断した場合には、図４中”Ｓ２０３”においてワームＩＤＳ１７は、同一パターンのパケットの伝播数が予め設定されている閾値を超過しているか否かを判断する。
【００５４】
もし、図４中”Ｓ２０３”において同一パターンのパケットの伝播数が前記閾値を超過していると判断した場合には、図４中”Ｓ２０４”においてワームＩＤＳ１７は、前記閾値を超過したパケットをワームパケットと認識し、図４中”Ｓ２０５”においてワームＩＤＳ１７は、当該ワームパケットから送信元の機器のＩＰアドレス、ＭＡＣアドレス等の情報を抽出する。
【００５５】
そして、図４中”Ｓ２０６”においてワームＩＤＳ１７は、ワームパケットのアラームをワーム対策装置１８に送信する。
【００５６】
例えば、図５中”ＷＰ３１”に示すようなワームパケットが図５中”ＷＴ３１”に示すようにスイッチ１４が設置された拠点からスイッチ１３が設置された拠点に伝播した場合は、図５中”ＤＷ３１”に示すようにワームＩＤＳ１７はワームパケットを検出し、図５中”ＡＬ３１”に示すようにワーム対策装置１８に対してアラームを送信する。
【００５７】
一方、ワーム対策装置１８では、図６中”Ｓ３０１”においてワーム対策装置１８は、ワームＩＤＳからワームパケットのアラームを受信したか否かを判断し、もし、当該アラームを受信したと判断した場合には、図６中”Ｓ３０２”においてワーム対策装置１８は、ワームＩＤＳ１７からワームパケットの送信元の機器のＩＰアドレス、ＭＡＣアドレス等の情報を取得してワームに感染した機器を特定する。
【００５８】
例えば、図７中”ＧＩ４１”に示すようにワーム対策装置１８は、ワームＩＤＳ１７からワームパケットの送信元の機器（ワームに感染した機器）のＩＰアドレス、ＭＡＣアドレス等の情報を取得してワームに感染した機器（スイッチ１４のあるポートに接続されている機器）を特定する。
【００５９】
そして、図６中”Ｓ３０３”においてワーム対策装置１８は、ネットワーク管理システム２０から特定したワームに感染した機器の接続先ポート等の情報を取得すると共に図６中”Ｓ３０４”においてワームに感染した機器をネットワークから切断、若しくは、隔離する。
【００６０】
例えば、図７中”ＲＩ４１”に示すようにワーム対策装置１８は、ネットワーク管理システム２０に対して特定したワームに感染した機器に関する情報を要求し、図７中”ＧＩ４２”に示すように特定したワームに感染した機器の接続先ポート等の情報を取得する。
【００６１】
そして、図７中”ＰＣ４１”に示すようにスイッチ１４を制御してワームに感染した機器が接続されているポートをネットワークから切断する。或いは、スイッチ１４を制御してワームに感染した機器が予め各スイッチに用意しておいた仮想の隔離用ネットワークにのみ接続するようにして隔離する。
【００６２】
ここで、隔離用ネットワークとは、具体的には、タギング方式の仮想ＬＡＮとして用意され企業内の他のネットワークとの接続が不可能で、当該隔離用ネットワークに接続した機器同士の通信はできないようにスイッチにおいてアクセス制御されるネットワークである。
【００６３】
また、図６中”Ｓ３０５”においてワーム対策装置１８は、資産管理システム１９から各機器の設置場所や管理者の連絡先等の情報を取得し、図６中”Ｓ３０６”においてワーム対策装置１８は、前記取得した情報に基づきワーム感染機器一覧を作成しネットワーク管理者が操作する管理端末に通知する。
【００６４】
例えば、図８中”ＲＩ５１”に示すようにワーム対策装置１８は、資産管理システム１９に対して機器の設置場所等の情報を要求し、図８中”ＧＩ５１”に示すように機器の設置場所等の情報を取得する。そして、図８中”ＳＲ５１”に示すように図８中”ＡＴ５１”に示す管理端末にワーム感染機器一覧を送信する。
【００６５】
そして、このようなワーム感染機器一覧を取得したネットワーク管理者は、ネットワークから切断、或いは、隔離用ネットワークに隔離されているワームに感染した機器に赴きワームの駆除やＯＳ（Operating System）等の脆弱性に対する対応を行う。
【００６６】
この結果、ネットワーク層（レイヤ３）のルーティング処理を行うスイッチのミラーポートにワームＩＤＳを接続し、ワームＩＤＳがワームパケットを検知した場合に、ワーム対策装置がネットワーク管理システムと連携してワームに感染した機器の接続先ポート等の情報を取得してワームに感染した機器が接続されているポートをネットワークから切断、或いは、仮想の隔離用ネットワークに隔離することにより、ワームに感染した機器を自動的にネットワークから切断等することが可能になる。
【００６７】
また、ワームＩＤＳでは図４に示すフロー図に基づく動作をすることにより、未知のワームパケットであっても検知することができるので、未知のワームの感染拡大も防止することができる。
【００６８】
また、ワームＩＤＳでは送信元のＭＡＣアドレスまで情報を取得することができるので、ＩＰアドレスを詐称するタイプのワームであっても、ワームに感染した機器の特定が可能になる。
【００６９】
さらに、企業内の中心に設置されたスイッチのミラーポートにワームＩＤＳを接続することにより、従来例と比べて、企業内同士でパケットを送信し合うワームの検知がしやすくなり、また、従来例と比べて少ない台数のワームＩＤＳで良く導入コスト等も低減できる。
【００７０】
なお、図１等に示す実施例では、ワームに感染した機器を自動的にネットワークから切断等しているが、隔離用ネットワークに隔離された機器をワームの駆除の状況等に応じて自動的に元のネットワークに復帰させても構わない。
【００７１】
図９はワーム対策装置１８の動作を説明するフロー図であり、特に、ワームが駆除等された機器を元のネットワークに自動的に復帰させる動作を説明するフロー図である。
【００７２】
図９中”Ｓ４０１”においてワーク対策装置１８は、隔離用ネットワークに隔離されているワームに感染した機器の状況を監視し、図９中”Ｓ４０２”においてワームの駆除が完了しているか否かを判断する。
【００７３】
もし、図９中”Ｓ４０２”においてワームの駆除が完了していると判断した場合には、図９中”Ｓ４０３”においてワーム対策装置１８は、脆弱性に対して対応済みであるか否かを判断する。
【００７４】
そして、もし、図９中”Ｓ４０３”において脆弱性に対する対応済みであると判断した場合には、図９中”Ｓ４０４”においてワーム対策装置１８は、ワーム駆除及び脆弱性対策済みの機器を隔離用ネットワークから元のネットワークに復帰させると共に図９中”Ｓ４０５”においてワーム対策装置１８は、ワーム感染機器一覧からワーム駆除済等の機器を削除して修正する。
【００７５】
元のネットワークに復帰させる方法としては、具体的には、隔離用ネットワークを提供しているスイッチを制御してワーム駆除及び脆弱性対策済みの機器が接続されているポートを元のネットワークに接続変更させる。
【００７６】
この結果、ワーム対策装置が隔離用ネットワークに隔離された機器のワームの駆除の状況及び脆弱性対策の状況を監視し、対策済みと認識した機器を元のネットワークに復帰させることにより、対策済みの機器の自動復帰が可能になる。
【００７７】
また、図１に示す実施例では、スイッチ１２を中心としてデータリンク層（レイヤ２）で動作する４台のスイッチ１３〜１６が接続されているが、データリンク層（レイヤ２）で動作するスイッチの台数に関しては何ら４台に限定されるものではなく、任意台数で構わない。
【００７８】
また、図１に示す実施例では、インターネット１００と企業内のネットワークとの境界にファイヤウォールを例示しているが、勿論、ファイヤウォールはワーム監視対策システムにおいては必須の構成要素ではない。
【００７９】
また、図１に示す実施例では、ワームに感染した機器を自動的にネットワークから切断等すると共にワーム感染機器一覧を生成して管理端末に送信しているが、感染機器の切断等と、ワーム感染機器一覧の作成等を分離したシステムであっても勿論構わない。
【００８０】
また、図１に示す実施例では、同一パターンのパケットが多数伝播し、且つ、同一パターンのパケットの伝播数が予め設定されている閾値を超過している場合に、閾値を超過したパケットをワームパケットと認識しているが、予めワームパケットではないと判明しているパターンのパケットを除いても構わない。この場合には演算制御手段の処理の負荷が低減される。
【図面の簡単な説明】
【００８１】
【図１】本発明に係るワーム監視対策システムの一実施例を示す構成ブロック図である。
【図２】ワームＩＤＳの具体例を示す構成ブロック図である。
【図３】ワームＩＤＳの動作を説明するフロー図である。
【図４】ワームＩＤＳの動作を説明するフロー図である。
【図５】情報等の流れを説明する説明図である。
【図６】ワーム対策装置の動作を説明するフロー図である。
【図７】情報等の流れを説明する説明図である。
【図８】情報等の流れを説明する説明図である。
【図９】ワーム対策装置の動作を説明するフロー図である。
【図１０】従来のワーム監視対策システムの一例を示す構成ブロック図である。
【図１１】ワーム対策のフローを説明するフロー図である。
【図１２】情報の流れやネットワーク管理者の作業等を説明する説明図である。
【図１３】情報の流れやネットワーク管理者の作業等を説明する説明図である。
【符号の説明】
【００８２】
１，２，３，４，５，１２，１３，１４，１５，１６  スイッチ
６，７，８，９，１０  ＮＩＤＳ（ネットワーク侵入検知システム）
１１  ファイヤウォール
１７  ワームＩＤＳ
１８  ワーム対策装置
１９  資産管理システム
２０  ネットワーク管理システム
２１  演算制御手段
２２  記憶手段
２３  通信手段
１００  インターネット
【図１】
2005260612.tif 000003
【図２】
2005260612.tif 000004
【図３】
2005260612.tif 000005
【図４】
2005260612.tif 000006
【図５】
2005260612.tif 000007
【図６】
2005260612.tif 000008
【図７】
2005260612.tif 000009
【図８】
2005260612.tif 000010
【図９】
2005260612.tif 000011
【図１０】
2005260612.tif 000012
【図１１】
2005260612.tif 000013
【図１２】
2005260612.tif 000014
【図１３】
2005260612.tif 000015