(57)【要約】【課題】不正な通信を行った端末のネットワーク層における通信アドレスから容易に当該不正な通信を行った通信端末のメールアドレスを取得する。【解決手段】ワーム遮断装置３は、不正な通信を検知するワーム検知装置３４によって、感染端末１が不正な通信をしたことが検知された場合に、当該感染端末１のアドレスを取得するものであり、ワーム検知装置３４から、当該感染端末１のネットワーク層の通信アドレス（ＩＰアドレス）を取得し、当該感染端末１宛のメールデータを蓄積するメールサーバに対して、その蓄積されたメールデータの取得を要求する通信データから、ＩＰアドレスを読み出し、そのＩＰアドレスが、感染端末１のＩＰアドレスである場合に、当該通信データに含まれる情報に基づいてメールアドレスを取得する。【選択図】図２
2007266934.tif 000002
【特許請求の範囲】
【請求項１】
不正な通信を検知する不正通信検知手段によって、ネットワークに接続された通信端末が不正な通信をしたことが検知された場合に、当該通信端末のアドレスを取得するアドレス取得装置であって、
前記不正通信検知手段から、当該不正な通信を行った通信端末のネットワーク層の通信アドレスを取得するアドレス取得手段と、
当該通信端末宛のメールデータを蓄積するメールサーバに対して、その蓄積されたメールデータの取得を要求する通信データから、ネットワーク層の通信アドレスを読み出し、その通信アドレスが、前記アドレス取得手段で取得した前記不正な通信を行った通信端末のネットワーク層の通信アドレスである場合に、当該通信データに含まれる情報に基づいてメールアドレスを取得するメールアドレス取得手段と
を備えることを特徴とするアドレス取得装置。
【請求項２】
前記メールアドレス取得手段は、前記メールデータを取得するための通信データのうち、メール本文に含まれるヘッダの情報を解析して、複数のメールアドレスを取得した場合に、当該メールアドレスごとの出現頻度情報を作成することを特徴とする請求項１に記載のアドレス取得装置。
【請求項３】
前記メールアドレス取得手段は、
前記メールデータを取得するための通信データから、前記不正な通信を行った通信端末のユーザ名及びパスワードを取得し、
前記メールアドレス取得手段で取得したメールアドレスを宛先とし、前記メールアドレス取得手段で取得したユーザ名及びパスワードを用いてテストメールを送信し、当該不正な通信を行った通信端末からの応答があることを判定するテストメール送信手段を備えることを特徴とする請求項１に記載のアドレス取得装置。
【請求項４】
前記メールアドレス取得手段は、前記メールデータを取得するための通信データを、時間的に前後して複数取得した場合に、最新に取得したメールアドレスと、当該メールアドレスに対応したネットワーク層の通信アドレスとの対応関係を内部に保持しておくことを特徴とする請求項１に記載のアドレス取得装置。
【請求項５】
前記通信端末間を接続する通信線、又は、前記通信端末間で通信される通信データを中継する中継装置に接続され、当該通信線又は中継装置を通過する通信データを監視する横付け機器からなることを特徴とする請求項１乃至請求項４の何れか一項に記載のアドレス取得装置。
【請求項６】
不正な通信を検知する不正通信検知モジュールによって、ネットワークに接続された通信端末が不正な通信をしたことが検知された場合に、当該通信端末のアドレスを取得するアドレス取得プログラムであって、
前記不正通信検知モジュールから、当該不正な通信を行った通信端末のネットワーク層の通信アドレスを取得するアドレス取得機能と、
当該通信端末宛のメールデータを蓄積するメールサーバに対して、その蓄積されたメールデータの取得を要求する通信データから、ネットワーク層の通信アドレスを読み出し、その通信アドレスが、前記アドレス取得機能で取得した前記不正な通信を行った通信端末のネットワーク層の通信アドレスである場合に、当該通信データに含まれる情報に基づいてメールアドレスを取得するメールアドレス取得機能と
をコンピュータに実装させることを特徴とするアドレス取得プログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、端末がワームに感染していることが検知された場合に、当該感染を他の端末に拡大されることを防止するために感染端末のアドレスを取得するアドレス取得装置、アドレス取得プログラムに関する。
【背景技術】
【０００２】
従来より、ウィルス検知技術としては、既知のウィルスについて定義ファイルと呼ばれる特徴情報を記述したデータを予め用意しておき、ウィルスに感染している可能性のあるファイルと定義ファイルとをパターンマッチングするものが知られている。この定義ファイルは、コンピュータウイルスに感染したファイルや、ネットワーク上で自己複製を繰り返すワームプログラムの特徴を収録したファイルであって、アンチウィルスソフト(ワクチンソフト)がコンピュータウイルスやワームを検出するために、定義ファイル内に収録された各ウイルスのパターンが検査対象のファイルと照合されて、パターンとの一致が見られるとそのファイルがウイルスに感染していると判断する。
【０００３】
また、従来から知られているウィルスの一種であるワーム対策としては、例えば、下記の非特許文献１に記載されているようなものも挙げられる。
【非特許文献１】http://www.nttdata.co.jp/netcom/pdf/nc04_ss_03.pdf
【発明の開示】
【発明が解決しようとする課題】
【０００４】
上述したワーム（ウィルス）の検知技術によって感染端末を検知すると、従来においては、当該感染端末のアドレス情報などをネットワーク管理者に通知している。その後、ネットワーク管理者によって感染端末の利用者と連絡を取って感染拡大の防止や復旧の指示を与えたい場合に、利用者端末のＩＰアドレスから利用者の連絡先を割り出す必要がある。しかしながら、ネットワーク管理者側でＩＰアドレスと利用者の連絡先との対応関係を作成・維持にはある程度の労力が必要であるといった課題がある。
【０００５】
そこで、本発明は、上述した実情に鑑みて提案されたものであり、不正な通信を行った端末のネットワーク層における通信アドレスから容易に当該不正な通信を行った通信端末のメールアドレスを取得できるアドレス取得装置、アドレス取得プログラムを提供することを目的とする。
【課題を解決するための手段】
【０００６】
本発明は、不正な通信を検知する不正通信検知手段によって、ネットワークに接続された通信端末が不正な通信をしたことが検知された場合に、当該通信端末のアドレスを取得するアドレス取得装置であって、上述の課題を解決するために、不正通信検知手段から、当該不正な通信を行った通信端末のネットワーク層の通信アドレスを取得するアドレス取得手段と、当該通信端末宛のメールデータを蓄積するメールサーバに対して、その蓄積されたメールデータの取得を要求する通信データから、ネットワーク層の通信アドレスを読み出し、その通信アドレスが、アドレス取得手段で取得した不正な通信を行った通信端末のネットワーク層の通信アドレスである場合に、当該通信データに含まれる情報に基づいてメールアドレスを取得するメールアドレス取得手段とを備える。
【０００７】
また、本発明は、不正な通信を検知する不正通信検知モジュールによって、ネットワークに接続された通信端末が不正な通信をしたことが検知された場合に、当該通信端末のアドレスを取得するアドレス取得プログラムであって、上述の課題を解決するために、不正通信検知モジュールから、当該不正な通信を行った通信端末のネットワーク層の通信アドレスを取得するアドレス取得機能と、当該通信端末宛のメールデータを蓄積するメールサーバに対して、その蓄積されたメールデータの取得を要求する通信データから、ネットワーク層の通信アドレスを読み出し、その通信アドレスが、アドレス取得機能で取得した不正な通信を行った通信端末のネットワーク層の通信アドレスである場合に、当該通信データに含まれる情報に基づいてメールアドレスを取得するメールアドレス取得機能とをコンピュータに実装させる。
【発明の効果】
【０００８】
本発明に係るアドレス取得装置、アドレス取得プログラムは、不正な通信を行った通信端末のネットワーク層の通信アドレスを取得しておき、当該通信端末宛のメールデータを蓄積するメールサーバに対して、その蓄積されたメールデータの取得を要求する通信データから、ネットワーク層の通信アドレスを読み出し、その通信アドレスが不正な通信を行った通信端末のネットワーク層の通信アドレスである場合に、当該通信データに含まれる情報に基づいてメールアドレスを取得するので、不正な通信を行った端末のネットワーク層における通信アドレスから容易に当該不正な通信を行った通信端末のメールアドレスを取得できる。
【発明を実施するための最良の形態】
【０００９】
以下、本発明の実施の形態について図面を参照して説明する。
【００１０】
本発明は、例えば図１に示すように、通信端末１がメールサーバ２に蓄積された自己のメールデータを取得するに際して、中継装置としての機能を有するワーム遮断装置３を介して通信端末１からメールサーバ２にアクセスする通信システムにおいて、当該通信端末１がワームに感染したことに対して、当該感染した通信端末１（以下、感染端末１と呼ぶ）のメールアドレスを取得するワーム遮断装置３に適用される。このワーム遮断装置３は、取得したメールアドレスをネットワーク管理者が操作するネットワーク管理者端末４に通知する。これによって、ワーム遮断装置３は、ネットワーク管理者端末４に感染端末１のＩＰアドレスとメールアドレスとを対応付けて記憶させて、感染端末１の利用者に対するワームの拡大防止や復旧などの連絡を取りやすくさせる。
【００１１】
このようなワーム遮断装置３は、例えば図２に示すように、感染端末１が、複数の中継装置であるスイッチ３１，ルータ３２，スイッチ３３を介してメールサーバ２に接続する通信システムであって、ワーム検知装置３４及び管理装置３５（不正通信検知手段）でワームによる不正な通信の検知がなされたことが通知された場合に、当該感染端末１のメールアドレスを取得してネットワーク管理者端末４に通知すると共に、当該ワームによる感染活動を遮断する。
【００１２】
なお、ワーム遮断装置３は、感染端末１の通信を遮断する機能を有せずとも、感染端末１のメールアドレスを取得してネットワーク管理者端末４に通知する機能のみであっても良い。また、ワーム遮断装置３は、感染端末１から送信される通信データを傍受できる配置となっていればよく、図１のように通信データを中継する機器であっても良く、図２のようにスイッチ３１を通過する通信データをコピーして取得するものであっても良い。
【００１３】
このような図１及び図２に示す通信システムにおいて、ワーム遮断装置３は、管理装置３５から、当該不正な通信を行った感染端末１のネットワーク層の通信アドレスを取得し、当該感染端末１宛のメールデータを蓄積するメールサーバに対して、その蓄積されたメールデータの取得を要求する通信データから、ネットワーク層の通信アドレスを読み出し、その通信アドレスが、感染端末１の通信アドレスである場合に、当該通信データに含まれる情報に基づいてメールアドレスを取得することを特徴とするものである。
【００１４】
このような通信システムにおいて、感染端末１のワームの動作としては、メールサーバ２やウェブサーバに対するポートスキャン、メールサーバ２等に対する不正パケットの送信、他の通信端末に対するウィルスを添付ファイルとして含む不正なメールの送信などが挙げられる。
【００１５】
例えば、感染端末１から送信された不正な通信データＳ１は、メールサーバ２のＩＰアドレスを宛先とし、スイッチ３１、ルータ３２及びスイッチ３３を経由して、メールサーバ２に送信される。すると、ワーム検知装置３４は、スイッチ３３を通過する通信データＳ１をコピーした通信データＳ２を取得し、当該コピーした通信データＳ２が不正な通信データであるか否かを判定する。ワーム検知装置３４は、コピーした通信データＳ２から、感染端末１の特有の振る舞いを検知することによって、感染端末１がワームに感染しているかを検知する。例えば、感染端末１から直接的にネームサービスを受けるＭＸレコードを含む通信データＳ２を検知した場合や、感染していない通信端末などであれば送信されない宛先を含む通信データＳ２を検知した場合に、当該通信データＳ２を送信した感染端末１を検知する。そして、ワーム検知装置３４は、通信データＳ２に含まれるＩＰアドレスを取得し、感染端末１のＩＰアドレスを含むワーム検知報告メッセージＳ３を管理装置３５に通知する。
【００１６】
具体的には、ワーム検知装置３４は、通信データＳ２に含まれるアプリケーションデータの種類を指定するポート番号を取得し、当該ポート番号がホスト名をネットワーク層アドレスに変換するネームサービスのアプリケーションを示すものであり、且つ、当該通信データＳ２のアプリケーションデータに、メールサーバ２のネットワーク層アドレスを問い合わせるデータが含まれている場合に、不正にメールサーバ２にアクセスしようとしている感染端末１を検知できる。更に他の具体例を挙げると、ワーム検知装置３４は、コンピュータウィルスによって、不正な通信データが配信されることを検知するために、感染端末１に予め正規の設定情報に加えて、ダミーの設定情報を記憶させておき、ワームによる動作によって、ダミーの設定情報を用いて通信データを作成されて送信された場合には、感染端末１がワームに感染していることを判断できる。
【００１７】
管理装置３５は、ネットワーク管理者が運営するサーバであり、ワーム検知装置３４からのワーム検知報告メッセージＳ３を受けて、当該ワーム検知報告メッセージＳ３に含まれる感染端末１のＩＰアドレスを蓄積すると共に、ネットワーク管理者端末４に通知する。管理装置３５は、ワーム検知報告メッセージＳ３を受信したことに応じて、感染端末１のＩＰアドレスを含む通信遮断命令Ｓ４をワーム遮断装置３に通知する。
【００１８】
このワーム遮断装置３は、その内部構成を図３に示すように、基本ソフトウェアとメールアドレス取得アプリケーションがインストールされることによって、基本ソフトウェア処理部１１と、メールアドレス取得アプリケーション処理部１２とを備えて構成されている。
【００１９】
基本ソフトウェア処理部１１は、ネットワークと接続された通信インターフェース部２１とＴＣＰ（Transmission Control Protocol）／ＩＰ（Internet Protocol）通信制御部２２とを備える。基本ソフトウェア処理部１１は、スイッチ３１やルータ３２等を介してネットワークから通信データを通信インターフェース部２１で受信すると、ＴＣＰ／ＩＰ通信制御部２２によって、ＴＣＰヘッダのポート番号に応じてメールアドレス取得アプリケーション処理部１２に通信データを渡す。また、基本ソフトウェア処理部１１は、メールアドレス取得アプリケーション処理部１２からアプリケーションデータが渡されると、ＴＣＰ／ＩＰ通信制御部２２によって、当該アプリケーションデータにＴＣＰヘッダ及びＩＰヘッダを付加して、通信インターフェース部２１からネットワークに送信させる。なお、基本ソフトウェア処理部１１は、図１に示すように、ワーム遮断装置３が通信データを中継するタイプの通信機器である場合には、通信インターフェース部２１及びＴＣＰ／ＩＰ通信制御部２２によって中継先を決定して、転送を行う。
【００２０】
ワーム遮断装置３は、図２におけるスイッチ３１を通過する通信データをコピーして傍受するように配置されて、基本ソフトウェア処理部１１で受信できるようになっている。ＴＣＰ／ＩＰ通信制御部２２は、受信した通信データのうち管理装置３５からの通信遮断命令Ｓ４、及び、メールサーバ２に対して感染端末１宛のメールデータを送信を要求するＰＯＰ３（Post Office Protocol Version 3）等のメール転送プロトコルに準拠した通信データをメールアドレス取得アプリケーション処理部１２に渡す。
【００２１】
メールアドレス取得アプリケーション処理部１２は、感染端末１のメールアドレスを取得するための処理を行う。メールアドレス取得アプリケーション処理部１２は、メール通信解析部２３と、メールアドレス情報送信部２４と、感染端末情報受信部２５とを備える。
【００２２】
メールアドレス取得アプリケーション処理部１２は、基本ソフトウェア処理部１１によって管理装置７からの通信遮断命令Ｓ４を受信した場合に、通信遮断命令Ｓ４を感染端末情報受信部２５で受信する。感染端末情報受信部２５は、通信遮断命令Ｓ４を受け取ると、通信遮断命令Ｓ４に含まれる感染端末１のＩＰアドレスをメール通信解析部２３に渡す。これによって、メール通信解析部２３には、感染端末１のＩＰアドレスを含むＰＯＰ３に準拠したメール受信用通信に関わる通信データの監視を開始する。同時に、ＴＣＰ／ＩＰ通信制御部２２は、トランスポート層プロトコルがＴＣＰであり、且つＰＯＰ３等のメール受信用プロトコルのポート番号がトランスポート層ヘッダに含まれた通信データをメール通信解析部２３に渡す処理を開始する。
【００２３】
なお、メール通信解析部２３は、感染端末情報受信部２５からのＩＰアドレスをワームに感染したＩＰアドレスとしてリスト化した情報を蓄積しても良い。リストは、感染端末１のＩＰアドレスに、当該感染端末１のＭＡＣアドレスやメールアドレス、時刻情報などが対応付けられる。
【００２４】
メール通信解析部２３は、ＴＣＰ／ＩＰ通信制御部２２から渡された通信データに含まれるＰＯＰ３に準拠した通信データに、感染端末情報受信部２５から通知された感染端末１のＩＰアドレスが送信元ＩＰアドレスとして格納されているか否かを判定する。そして、メール通信解析部２３は、感染端末１のＩＰアドレスが格納されている場合には、当該通信データを解析して、感染端末１のメールアドレスを割り出す。
【００２５】
このとき、メール通信解析部２３は、ＰＯＰ３の認証過程において感染端末１とメールサーバ２との間でやりとりされる通信データを受信して、当該通信データに含まれる感染端末１の利用者のユーザＩＤ（ユーザ名）を取得し、当該認証時のＩＰパケットからメールサーバ２のＩＰアドレスを取得する。そして、メール通信解析部２３は、「ユーザ名＠メールサーバ２のＩＰアドレス」を感染端末１の利用者のメールアドレスとして作成する。また、感染端末１のメールアドレスを取得する他の処理としては、ＰＯＰ３において感染端末１とメールサーバ２との間でユーザー名とパスワードによる認証処理を完了した後に、メール本文を含む通信データがメールサーバ２から感染端末１に送信された場合に、当該通信データを取得して、メール本文のヘッダを解析する。これによって、例えばメール本文内の宛先フィールドを示す文字列「Ｔｏ：」に続く文字列を感染端末１のメールアドレスとして取得する。
【００２６】
このように感染端末１のメールアドレスを取得すると、メール通信解析部２３は、メールアドレス情報送信部２４にメールアドレスを渡す。メールアドレス情報送信部２４は、受け渡されたメールアドレスをネットワーク管理者端末４に送信するようにＴＣＰ／ＩＰ通信制御部２２及び通信インターフェース部２１を制御する。これによって、ワーム遮断装置３は、ＰＯＰ３によって感染端末１とメールサーバ２との間での通信を傍受して割り出した感染端末１のメールアドレスをネットワーク管理者に通知して、ネットワーク管理者端末４によって感染端末１のＩＰアドレスとメールアドレスとの対応表を作成させることができる。
【００２７】
また、メール本文から感染端末１のメールアドレスを割り出す場合に、感染端末１の利用者のメールアドレスが含まれていないこともある。例えば、メール本文の宛先フィールドに感染端末１の利用者とは異なる他人のメールアドレスが含まれている場合や、宛先フィールドにメーリングリスト宛のメールアドレスが格納されている場合である。これに対し、メール通信解析部２３は、複数のメールデータを解析して、メールアドレスごとの出現頻度情報を付加してネットワーク管理者端末４に通知する。これによって、例えば感染端末１の通信において出現頻度がもっとも高いといった判断をネットワーク管理者にさせることができ、どのメールアドレスが真の感染端末１のメールアドレスかの判断をネットワーク管理者に委ねることができる。
【００２８】
更に、ワーム遮断装置３は、メール通信解析部２３によって感染端末１のメールアドレスを割り出した後、メール通信解析部２３によって割り出したメールアドレスが真に感染端末１のメールアドレスか否かを確認するための処理を行っても良い。例えば、メール通信解析部２３で割り出したメールアドレスを宛先としたテストメールをメールサーバ２に送信して、当該メールサーバ２からの応答によって感染端末１のメールアドレスが真のものであるかの確認を行う。なお、メールサーバ２へテストメールを送信するに際して必要となるユーザ名とパスワードは、傍受したＰＯＰ３通信から取得しておく。
【００２９】
更にまた、ワーム遮断装置３は、端末とメールサーバ２との間の通信を常時傍受できるように配置されている場合は、常に感染端末１のＩＰアドレスとメールアドレスの対応関係をＰＯＰ３の通信から割り出しておいて対応表を内部に保持しておく。すなわち、ワーム遮断装置３は、メールデータを取得するための通信データを、時間的に前後して複数取得した場合には、最新に取得したメールアドレスと、ＩＰアドレスとの対応関係を内部に保持しておく。そして、管理装置３５から感染端末１のＩＰアドレスが供給された場合に、当該対応表を参照して即座にメールアドレスをネットワーク管理者端末４に送信できる。
【００３０】
なお、上述の実施の形態は本発明の一例である。このため、本発明は、上述の実施形態に限定されることはなく、この実施の形態以外であっても、本発明に係る技術的思想を逸脱しない範囲であれば、設計等に応じて種々の変更が可能であることは勿論である。
【００３１】
すなわち、上述したワーム遮断装置３は、感染端末１とメールサーバ２との間に設けられた配置や、スイッチ３１と接続された配置を示したが、これに限らず、図４に示すように、スイッチ５１、ブリッジ装置５２，ルータ５３，横付け型機器５４に、ワーム遮断装置３と同じ機能を実装させるためのアドレス取得プログラムをインストールしても、上述の不正な通信を行った通信端末のメールアドレスを簡単に取得できるという効果を発揮させることができる。特に、通信装置間を接続する通信線、又は、通信装置間で通信される通信データを中継するスイッチ等の中継装置に接続され、当該通信線又は中継装置を通過する通信データを監視する横付け機器としてワーム遮断装置３を構成する場合には、不正な通信を行った通信端末のメールアドレスを取得する機能をシステムに導入するコスト等を低減できる。
【００３２】
また、上述した実施形態における感染端末１のメールアドレスを取得する機能は、家電機器群がネットワーク接続されたホームネットワークや、設備装置群がネットワーク接続された設備ネットワークなどにも適用できる。例えば、ホームネットワークに接続されてアプリケーションとしてウェブ機能やメール機能を具備する家電機器がワームに感染した場合であっても、当該家電機器によって不正な通信がなされることを防止することができる。
【００３３】
ここで、ホームネットワークを構築する技術としては、ＥＣＨＯネットの他、エミット（ＥＭＩＴ（Embedded Micro Internetworking Technology））と称される機器組み込み型ネットワーク技術などがあげられる。この組み込み型ネットワーク技術は、ネットワーク機器にＥＭＩＴミドルウェアを組み込んでネットワークに接続できる機能を備え、ＥＭＩＴ技術と称されている。
【００３４】
より具体的には、上述した感染端末１のメールアドレスを取得する機能を有するワーム遮断装置３，管理装置３５や、スイッチ、ルータ等のネットワーク機器にＥＭＩＴ技術を実現するＥＭＩＴソフトウェアを搭載して、当該ＥＭＩＴソフトウェアを搭載した通信端末や管理装置３５、ワーム遮断装置３と、当該端末、中継装置、横付け機器を遠隔で制御又は監視するユーザ機器とをインターネット上に設けられたセンターサーバ（図示せず）を介して通信接続する。このユーザ機器は、例えば、携帯電話、ＰＣ（Personal Computer）、ＰＤＡ（Personal Digital Assistant）、ＰＨＳ（Personal Handy phone System）等の外部端末（図示せず）である。
【図面の簡単な説明】
【００３５】
【図１】本発明を適用したワーム遮断装置を含む通信システムの構成を示すブロック図である。
【図２】本発明を適用したワーム遮断装置を含む通信システムの他の一構成例を示すブロック図である。
【図３】本発明を適用したワーム遮断装置の内部構成を示すブロック図である。
【図４】本発明を適用したワーム遮断装置が実装される他の形態を説明するための図である。
【符号の説明】
【００３６】
１  感染端末
２  メールサーバ
３  ワーム遮断装置
４  ネットワーク管理者端末
１１  基本ソフトウェア処理部
１２  メールアドレス取得アプリケーション処理部
２１  通信インターフェース部
２２  ＴＣＰ／ＩＰ通信制御部
２３  メール通信解析部
２４  メールアドレス情報送信部
２５  感染端末情報受信部
３１  スイッチ
３２  ルータ
３３  スイッチ
３４  ワーム検知装置
３５  管理装置
【図１】
2007266934.tif 000003
【図２】
2007266934.tif 000004
【図３】
2007266934.tif 000005
【図４】
2007266934.tif 000006