(57)【要約】【課題】メールサーバ名を問い合わせるタイプの不正なウイルスの動作を防止する。【解決手段】コンピュータに、パケットに含まれるアプリケーションデータの種類を指定する識別子を検出するアプリケーション識別子検出機能と、識別子がホスト名をネットワーク層アドレスに変換するネームサービスのアプリケーションを示すものであるかを検出するアプリケーション種類特定機能と（Ｓ１，２，４，５）、アプリケーション種類がネームサービスであることが検出された場合パケットのアプリケーションデータにメールサーバのネットワーク層アドレスを問い合わせるデータが含まれているかを判定するアプリケーションデータ判定機能と（Ｓ６，８）、メールサーバのネットワーク層アドレスを問い合わせるデータが含まれている場合に、アプリケーションデータを含むパケットの送信を遮断するパケット遮断機能（Ｓ７，９，１０）とを実装させる。【選択図】図５
2007102747.tif 000002
【特許請求の範囲】
【請求項１】
ネットワーク上で伝送されるパケットのうち、メールサーバを特定する情報を問い合わせるパケットを検知するパケット検知装置であって、
前記ネットワーク上のクライアントコンピュータから送信されるパケットに含まれるアプリケーションデータの種類を指定する識別子を検出するアプリケーション識別子検出手段と、
前記アプリケーション識別子検出手段によって検出した識別子が、ホスト名をネットワーク層アドレスに変換するネームサービスのアプリケーションを示すものであるかを検出するアプリケーション種類特定手段と、
前記アプリケーション種類特定手段によって特定されたアプリケーション種類がネームサービスであることが検出された場合に、前記パケットのアプリケーションデータに、メールサーバのネットワーク層アドレスを問い合わせるデータが含まれているか否かを検知するデータ検知手段と
を備えることを特徴とするパケット検知装置。
【請求項２】
他のメールサーバのネットワーク層アドレスを問い合わせるメールサーバのネットワーク層におけるアドレスが格納されたサーバアドレス格納手段を備え、
前記ネットワークから送信されるパケットに含まれるネットワーク層の送信元アドレスと、前記サーバアドレス格納手段に格納されたアドレスとを比較して、当該送信元アドレスが前記サーバアドレス格納手段に格納されている場合に、当該パケットを検知対象とはしないことを特徴とする請求項１に記載のパケット検知装置。
【請求項３】
前記データ検知手段によってメールサーバのネットワーク層アドレスを問い合わせるデータが含まれていると検知された場合に、当該アプリケーションデータを含むパケットの送信を遮断するパケット遮断手段を更に備えること
を特徴とする請求項１又は請求項２に記載のパケット検知装置。
【請求項４】
前記データ検知手段によってメールサーバのネットワーク層アドレスを問い合わせるデータが含まれていると検知された場合に、当該アプリケーションデータを含むパケットが伝送されていることを警告する警告手段を更に備えること
を特徴とする請求項１又は請求項２に記載のパケット検知装置。
【請求項５】
メールサーバのネットワーク層におけるアドレスを問い合わせるメッセージに対して応答するサーバ装置、又は、当該サーバ装置宛に送信されたメッセージを転送するプロキシサーバ装置に格納され、ネットワークを介して受信したメッセージのうち、メールサーバを特定する情報を問い合わせるメッセージを検知するメッセージ検知プログラムであって、
受信したメッセージの送信元アドレスを取得し、当該送信元アドレスと、予めサーバアドレス格納手段に格納した他のメールサーバのネットワーク層アドレスを問い合わせるメールサーバのネットワーク層におけるアドレスとを比較して、前記サーバアドレス格納手段に格納されていない送信元アドレスで送信されたメッセージを検知するメッセージ検知機能と、
前記メッセージ検知機能によって検知された前記サーバアドレス格納手段に格納されていない送信元アドレスで送信されたメッセージが、前記メールサーバのネットワーク層アドレスを問い合わせるデータであるか否かを検知するデータ検知機能と
を前記サーバ装置又は前記プロキシサーバ装置に実装させることを特徴とするメッセージ検知プログラム。
【請求項６】
受信したメッセージの送信元アドレスが、サーバアドレス格納手段に格納したメールサーバのネットワーク層におけるアドレス以外であり、前記データ検知機能によって、前記メッセージが前記メールサーバのネットワーク層アドレスを問い合わせるデータであることが検知された場合に、当該メッセージに対する動作を停止するメッセージ遮断機能を更に前記サーバ装置又はプロキシサーバ装置に実装させることを特徴とする請求項５に記載のメッセージ検知プログラム。
【請求項７】
受信したメッセージの送信元アドレスが、サーバアドレス格納手段に格納したメールサーバのネットワーク層におけるアドレス以外であり、前記データ検知機能によって、前記メッセージが前記メールサーバのネットワーク層アドレスを問い合わせるデータであることが検知された場合に、当該メッセージが伝送されていることを警告する警告手段を更に備えること
を特徴とする請求項５に記載のメッセージ検知プログラム。
【請求項８】
コンピュータウィルスによって、コンピュータが不正な電子メールを送信することを防止する不正メールの検知プログラムであって、
コンピュータに、
当該コンピュータから送信されるパケットに含まれるアプリケーションデータの種類を指定する識別子を検出するアプリケーション識別子検出機能と、
前記アプリケーション識別子検出機能によって検出した識別子が、ホスト名をネットワーク層アドレスに変換するネームサービスのアプリケーションを示すものであるかを検出するアプリケーション種類特定機能と、
前記アプリケーション種類特定機能によって特定されたアプリケーション種類がネームサービスであることが検出された場合に、前記パケットのアプリケーションデータに、メールサーバのネットワーク層アドレスを問い合わせるデータが含まれているか否かを判定するアプリケーションデータ判定機能と、
前記アプリケーションデータ判定機能によってメールサーバのネットワーク層アドレスを問い合わせるデータが含まれていると判定された場合に、当該アプリケーションデータを含むパケットの送信を遮断するパケット遮断機能と
を実装させる不正メールの遮断プログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、ネットワーク上のウィルスのうち、不正なアプリケーションデータが添付されたメールデータの伝染を遮断するためのパケット検知装置、メッセージ検知プログラム、不正メールの遮断プログラムに関する。
【背景技術】
【０００２】
従来より、ウィルス検知技術としては、既知のウィルスについて定義ファイルと呼ばれる特徴情報を記述したデータを予め用意しておき、ウィルスに感染している可能性のあるファイルと定義ファイルとをパターンマッチングするものが知られている。この定義ファイルは、コンピュータウイルスに感染したファイルや、ネットワーク上で自己複製を繰り返すワームプログラムの特徴を収録したファイルであって、アンチウィルスソフト(ワクチンソフト)がコンピュータウイルスやワームを検出するために、定義ファイル内に収録された各ウイルスのパターンが検査対象のファイルと照合されて、パターンとの一致が見られるとそのファイルがウイルスに感染していると判断する。
【０００３】
また、従来から知られているウィルスの一種であるワーム対策としては、例えば、「http://www.nttdata.co.jp/netcom/pdf/nc04_ss_03.pdf」に記載されているようなものも挙げられる。
【発明の開示】
【発明が解決しようとする課題】
【０００４】
しかしながら、従来において、ウィルスの定義ファイルを用意しておくパターンマッチング型のウィルス検知技術では、定義ファイルがない新種のウィルスや亜種のウィルスを検知することができないといった問題がある。
【０００５】
そこで、本発明は、上述した実情に鑑みて提案されたものであり、メールサーバ名を問い合わせるタイプの不正なウイルスの動作を防止することができるパケット検知装置、メッセージ検知プログラム、不正メールの遮断プログラムを提供することを目的とする。
【課題を解決するための手段】
【０００６】
本発明は、コンピュータウィルスによって、コンピュータが不正な電子メールを送信することを防止するためのパケット検知装置、メッセージ検知プログラム、不正メールの遮断プログラムであり、あらゆるネットワーク上のコンピュータに格納できるものである。
【０００７】
本発明は、ネットワーク上で伝送されるパケットを検知するパケット検知装置であって、上述の課題を解決するために、ネットワーク上のクライアントコンピュータから送信されるパケットに含まれるアプリケーションデータの種類を指定する識別子を検出するアプリケーション識別子検出手段と、アプリケーション識別子検出手段によって検出した識別子が、ホスト名をネットワーク層アドレスに変換するネームサービスのアプリケーションを示すものであるかを検出するアプリケーション種類特定手段と、アプリケーション種類特定手段によって特定されたアプリケーション種類がネームサービスであることが検出された場合に、前記パケットのアプリケーションデータに、メールサーバのネットワーク層アドレスを問い合わせるデータが含まれているか否かを検知するデータ検知手段とを備える。
【０００８】
本発明は、メールサーバのネットワーク層におけるアドレスを問い合わせるメッセージに対して応答するサーバ装置、又は、当該サーバ装置宛に送信されたメッセージを転送するプロキシサーバ装置に格納され、ネットワークを介して受信したメッセージを検知するメッセージ検知プログラムであって、上述の課題を解決するために、受信したメッセージの送信元アドレスを取得し、当該送信元アドレスと、予めサーバアドレス格納手段に格納した前記メールサーバのネットワーク層におけるアドレスとを比較して、当該送信元アドレスが前記サーバアドレス格納手段に格納されていないメッセージを検知するメッセージ検知機能と、メッセージ検知機能によって送信元アドレスが前記サーバアドレス格納手段に格納されていないメッセージが、前記メールサーバのネットワーク層アドレスを問い合わせるデータであるか否かを検知するデータ検知機能とを、サーバ装置又は前記プロキシサーバ装置に実装させる。
【０００９】
本発明は、コンピュータウィルスによって、コンピュータが不正な電子メールを送信することを防止する不正メールの検知プログラムであって、上述の課題を解決するために、コンピュータに、当該コンピュータから送信されるパケットに含まれるアプリケーションデータの種類を指定する識別子を検出するアプリケーション識別子検出機能と、前記アプリケーション識別子検出機能によって検出した識別子が、ホスト名をネットワーク層アドレスに変換するネームサービスのアプリケーションを示すものであるかを検出するアプリケーション種類特定機能と、アプリケーション種類特定機能によって特定されたアプリケーション種類がネームサービスであることが検出された場合に、前記パケットのアプリケーションデータに、メールサーバのネットワーク層アドレスを問い合わせるデータが含まれているか否かを判定するアプリケーションデータ判定機能と、前記アプリケーションデータ判定機能によってメールサーバのネットワーク層アドレスを問い合わせるデータが含まれていると判定された場合に、当該アプリケーションデータを含むパケットの送信を遮断するパケット遮断機能とを実装させる。
【発明の効果】
【００１０】
本発明に係るパケット検知装置によれば、クライアントコンピュータから送信されるパケットに含まれるアプリケーションデータの種類を指定する識別子を見て、ホスト名をネットワーク層アドレスに変換するネームサービスのアプリケーションを示すものであることを検出し、且つ、パケットのアプリケーションデータに、メールサーバのネットワーク層アドレスを問い合わせるデータが含まれていることを検出できるので、メールサーバ名を問い合わせるタイプの不正なウイルスの動作を検知して、防止に利用できる。
【００１１】
本発明に係るメッセージ検知プログラムによれば、サーバ装置又はプロキシサーバ装置に格納されたメールサーバのネットワーク層におけるアドレスと、受信したメッセージの送信元アドレスとを比較して、当該送信元アドレスが前記サーバアドレス格納手段に格納されていないメッセージを検知し、当該メッセージがメールサーバのネットワーク層アドレスを問い合わせるデータであることを検知できるので、メールサーバ名を問い合わせるタイプの不正なウイルスの動作を検知して、当該不正なウイルスの動作によるメッセージに対する応答を防止できる。
【００１２】
本発明に係る不正メールの遮断プログラムよれば、コンピュータから送信されるパケットに含まれるアプリケーションデータの種類を指定する識別子を見て、ホスト名をネットワーク層アドレスに変換するネームサービスのアプリケーションを示すものであることを検出し、且つ、パケットのアプリケーションデータに、メールサーバのネットワーク層アドレスを問い合わせるデータが含まれている場合に、当該パケットの送信を遮断するので、メールサーバ名を問い合わせるタイプの不正なウイルスの動作を防止することができる。
【発明を実施するための最良の形態】
【００１３】
以下、本発明の実施の形態について図面を参照して説明する。
【００１４】
本発明は、例えば図１に示すように、端末１Ａ、１Ｂと、メールサーバ２，４と、ＤＮＳ（Domain Name System）サーバ３とを有するネットワークシステムにおいて、端末１Ａ、１Ｂに実装される不正メールの遮断プログラムに適用される。この実施形態では、例えば端末１Ａに不正メールの遮断プログラムがインストールされて、当該不正メールの遮断プログラムの機能を実装する。
【００１５】
通常、このネットワークシステムにおいて、図１に示すような手順（１）〜（８）が行われることによって、端末１Ａから端末１Ｂにメールデータを送信する。すなわち、先ず端末１Ａは、宛先メールアドレスを「hanako@abc.cdf.co.jp」とし、本文を「Hello!」としたメールデータＳ１を作成すると、当該端末１Ａのメールクライアント設定で登録されているホスト名「mail.cdf.co.jp」のメールサーバ（ＳＭＴＰ（Simple Mail Transfer Protocol）サーバ）２に、メールデータＳ１を送信する（手順（１））。
【００１６】
このメールデータＳ１は、ホスト名「mail.cdf.co.jp」のメールサーバ２で受信されると、メールサーバ２は、当該メールデータＳ１に含まれているメールデータの宛先を認識し、当該メールデータＳ１の宛先の端末１Ｂがアクセスできるメールサーバ４のＩＰ（Internet Protocol）アドレスを問い合わせるＭＸ（Mail eXchanger）レコード問い合わせＳ２を含むパケットをＤＮＳサーバ３に送信する（手順（２））。このＭＸレコード問い合わせＳ２には、メールデータの宛先となるメールアドレスのドメイン名「abc.cdf.co.jp」が含まれる。
【００１７】
ＭＸレコード問い合わせＳ２を含むパケットをＤＮＳサーバ３で受信すると、ＤＮＳサーバ３は、ＭＸレコード問い合わせＳ２と共に受信したメールデータのドメイン名「abc.cdf.co.jp」に対応したメールサーバ４のホスト名「server.abc.cdf.co.jp」及びＩＰアドレスをＤＮＳデータから取り出す。そして、ＤＮＳサーバ３は、取り出したメールサーバ４のホスト名及びＩＰアドレスを含むＭＸレコード情報Ｓ３をメールサーバ２に返信する（手順（３））。このようにＤＮＳサーバ３は、メールサーバ２に対してホスト名をネットワーク層アドレスに変換するネームサービスを提供する。
【００１８】
メールサーバ２は、ＤＮＳサーバ３からＭＸレコード情報Ｓ３を受信すると、当該ＭＸレコード情報Ｓ３に含まれているＩＰアドレス宛であってメールデータＳ１を含むメールデータＳ４を送信する（手順（４））。
【００１９】
メールサーバ４は、メールデータＳ４を受信すると、当該メールデータＳ４をメールボックスに記憶しておく。その後、端末１Ｂによってメールアドレスを指定したメールボックス確認Ｓ５の要求がなされると（手順（７））、メールサーバ４は、メールボックスに記憶しておいたメールデータを端末１Ｂに送信して、端末１Ｂによって端末１Ａから送信されたメールデータＳ１を受信できる。
【００２０】
このような通常のメール送信動作に対し、端末１Ａが、不正ソフトウェアのコピーを添付したメールを大量に送信する所謂マスメーリング型の不正ソフトウェアに感染されてしまうと、当該不正ソフトウェアの機能によって、図２に示すように、端末１Ａのアドレス帳に登録されているメールアドレスのドメイン名とＭＸレコード問い合わせを含むパケットをＤＮＳサーバ３に送信して（手順（１））、メールサーバ４のホスト名及びＩＰアドレスを含むＭＸレコード情報を受信してしまう（手順（２））。そして、端末１Ａの不正ソフトウェアによって、添付ファイル名称「ワーム．ｅｘｅ」の不正ソフトウェアを添付したメールデータをメールサーバ４に送信し（手順（３））、端末１Ｂのメールボックス確認Ｓ５によって（手順（４））、当該メールデータを端末１Ｂに送信させてしまう（手順（５））。
【００２１】
このような動作を行うネットワークシステムにおいて、端末１Ａには、図３に示すように、基本ソフトウェア実行部１１、メールアプリケーションを含むアプリケーションソフトウェア実行部１２が実装されている。基本ソフトウェア実行部１１は、ネットワーク１０と接続された通信インターフェース部２１とＴＣＰ（Transmission Control Protocol）／ＩＰ通信制御部２２とを備える。
【００２２】
このような端末１Ａは、図４に示すように、アプリケーションソフトウェア実行部１２によってアプリケーションデータ１１０を作成すると、当該アプリケーションデータ１１０を基本ソフトウェア実行部１１に渡す。基本ソフトウェア実行部１１は、ＴＣＰ／ＩＰ通信制御部２２によってアプリケーションデータ１１０の先頭にＴＣＰヘッダ又はＵＤＰヘッダのトランスポート層ヘッダ１１１，ＩＰ層ヘッダ１１２を付加したＩＰパケットを作成し、通信インターフェース部２１によって当該ＩＰパケットにリンク層ヘッダ等を付加して所定の変調処理等を施して、ネットワーク１０に送出する。上述のように、メールデータＳ１をメールサーバ２に送信する場合、メールの本文はアプリケーションデータ１１０として作成される。また、ネットワーク１０から端末１Ａ宛に送信されたＩＰパケットは、通信インターフェース部２１によって復調処理等が施された後に、ＴＣＰ／ＩＰ通信制御部２２で解析されて、アプリケーションソフトウェア実行部１２に渡される。
【００２３】
ところが、例えば他の端末から送信された不正なメール内容をプレビュー又は不正な添付ファイルを実行してしまった場合には、アプリケーション層に、不正ソフトウェア実行部１３が実装されてしまう。
【００２４】
この不正ソフトウェア実行部１３は、端末１Ａに実装されると、上述の図２に示した手順（１）〜手順（５）を実現させるために、ＭＸレコード問い合わせを含むＩＰパケットの送信を行う。このＩＰパケットは、後述のフィルタリング処理を実行しない場合、ＴＣＰ／ＩＰ通信制御部２２及び通信インターフェース部２１を経由して、ネットワーク１０を介してＤＮＳサーバ３に送出されてしまう。この不正ソフトウェア実行部１３で作成された図４におけるアプリケーションデータ１１０には、ＭＸレコード問い合わせを含んでいる。
【００２５】
このような不正ソフトウェア実行部１３で実現される機能に対し、本発明を適用した不正メールの遮断プログラムを実装した端末１Ａは、ＴＣＰ／ＩＰ通信制御部２２で作成されたパケットを監視して不正なパケットの送信を遮断するための機能として、ＭＸレコード問い合わせ遮断部３０を備えている。このＭＸレコード問い合わせ遮断部３０は、上述の不正メールの遮断プログラムを端末１Ａにインストールすることによって実現できる機能部である。
【００２６】
このＭＸレコード問い合わせ遮断部３０は、ＴＣＰ／ＩＰ通信制御部２２で作成されて、通信インターフェース部２１に渡されるべきＩＰパケットを横取りするパケットフック部３１と、当該パケットフック部３１で横取りしたＩＰパケットに対してフィルタリング処理を行うフィルタリング部３２とを備える。
【００２７】
パケットフック部３１は、端末１Ａから送信されるＩＰパケットを横取りすると、当該ＩＰパケットをフィルタリング部３２に渡し、フィルタリング部３２でフィルタリング処理がなされたＩＰパケットを受け取り、通信インターフェース部２１に渡す。
【００２８】
フィルタリング部３２は、パケットフック部３１からＩＰパケットを受け取ると、当該ＩＰパケットがＤＮＳサーバ３へのＭＸレコード問い合わせを含むものか否かを判定する。このとき、フィルタリング部３２は、アプリケーションデータ１１０の種類を指定する識別子であるポート番号をトランスポート層ヘッダ１１１から参照して、当該ポート番号がＭＸレコード問い合わせを含むアプリケーションデータがアプリケーションデータ１１０に格納されていることを示す値か否かを判定する。また、フィルタリング部３２は、アプリケーションデータ１１０の内容を解析して、ＭＸレコード問い合わせを示すデータであるか否かを判定する。そして、フィルタリング部３２は、ＩＰパケットがＤＮＳサーバ３へのＭＸレコード問い合わせを含むものである場合には、当該ＩＰパケットをパケットフック部３１に渡さない。これにより、フィルタリング部３２は、不正ソフトウェア実行部１３によって作成されたアプリケーションデータ１１０を含むＩＰパケットの送信を遮断する。
【００２９】
一方、フィルタリング部３２は、ＩＰパケットがＤＮＳサーバ３へのＭＸレコード問い合わせを含まない場合には、当該ＩＰパケットをパケットフック部３１に渡す。なお、メールデータのみならず、Ｗｅｂサイトを閲覧するためのＷｅｂサーバ名及びＩＰアドレスをＤＮＳサーバ３に問い合わせる場合には、ポート番号及びアプリケーションデータ１１０であった場合には、フィルタリング部３２によって受け取ったＩＰパケットをパケットフック部３１に戻すことは勿論のことである。
【００３０】
つぎに、上述したように構成された端末１Ａにおいて、端末１ＡからＤＮＳサーバ３に対するＭＸレコード問い合わせを含むＩＰパケットを遮断する処理手順について図５のフローチャートを参照して説明する。
【００３１】
先ずパケットフック部３１は、ＴＣＰ／ＩＰ通信制御部２２からＩＰパケットを横取りしてフィルタリング部３２に渡すと、ステップＳ１において、フィルタリング部３２は、当該ＩＰパケットのトランスポート層ヘッダ１１１がＵＤＰヘッダであるＵＤＰパケットか否かを判定し、ＵＤＰパケットであると判定した場合には、ステップＳ２において、ＵＤＰヘッダに格納されているポート番号を取り出す。そして、このポート番号がネームサービスへの問い合わせを示す番号（ＤＮＳポート宛）であった場合には、ステップＳ６に処理を進め、そうでない場合には、ステップＳ３において、当該ＩＰパケットをパケットフック部３１を介して通信インターフェース部２１に渡す。
【００３２】
ステップＳ６において、フィルタリング部３２は、ＵＤＰパケットのアプリケーションデータ１１０を解析して、当該アプリケーションデータ１１０が、ＤＮＳサーバ３へのＭＸレコード問い合わせであって、メールサーバ情報に対する問い合わせであるか否かを判定する。そして、ＭＸレコード問い合わせであると判定した場合には、ステップＳ７において当該ＵＤＰパケットを破棄し、ＭＸレコード問い合わせではない場合にはステップＳ３でＩＰパケットをＤＮＳサーバ３に渡す。
【００３３】
ここで、ＵＤＰパケットの場合、ＭＸレコード問い合わせは、単一のパケットのアプリケーションデータ１１０として格納されているので、当該アプリケーションデータ１１０そのものがメールサーバ情報に対する問い合わせなのかを解析することになる。
【００３４】
また、ステップＳ１でＵＤＰパケットではないと判定した場合には、ステップＳ４において、トランスポート層ヘッダ１１１がＴＣＰヘッダか否かを判定し、ＴＣＰヘッダである場合には、ステップＳ５において、ＴＣＰヘッダに含まれるポート番号がネームサービスへの問い合わせを示す番号（ＤＮＳポート宛）であるか否かを判定する。そして、ポート番号がネームサービスへの問い合わせを示す番号であった場合にはステップＳ８に処理を進る。一方、トランスポート層ヘッダ１１１がＴＣＰヘッダでない場合又はＴＣＰヘッダであってもポート番号がネームサービスへの問い合わせを示す番号でない場合にはステップＳ３に処理を進める。
【００３５】
フィルタリング部３２は、ステップＳ８において、アプリケーションデータ１１０にメールサーバのホスト名の問い合わせであるＭＸレコード問い合わせが含まれているか否かを判定する。そして、ＭＸレコード問い合わせを含んでいる場合には、ステップＳ９において当該ＩＰパケットを破棄し、ステップＳ１０において、通信インターフェース部２１からＤＮＳサーバ３宛にＦＩＮパケットを送信させて端末１ＡとＤＮＳサーバ３とのセッションを切断する。
【００３６】
ここで、ＴＣＰに従って端末１Ａの不正ソフトウェア実行部１３がＤＮＳサーバ３のＤＮＳデータを取得する場合には、複数のＩＰパケットを使用する可能性があるので、当該複数のＩＰパケットのうち何れかでＭＸレコード問い合わせを含むＩＰパケットを検出できた場合には、セッション自体を切断する必要がある。また、ステップＳ８において、単一のＩＰパケットでＭＸレコード問い合わせがアプリケーションデータ１１０に含まれていることが判定できなくても、複数のＩＰパケットに亘ってポート番号の判定及びアプリケーションデータ１１０の解析を行って、端末１ＡからＤＮＳサーバ３へのＭＸレコード問い合わせを検出しても良い。
【００３７】
なお、端末１ＡからＤＮＳサーバ３にメールサーバ情報を問い合わせる手法としては、ＭＸレコードのみを指定する手法と、ＤＮＳサーバ３が持つすべての情報を問い合わせ、当該ＤＮＳサーバ３が持つ情報からメールサーバ情報のみを抽出する手法とがあるが、その何れかであっても、ステップＳ６及びステップＳ８で検出できるようにする。
【００３８】
このように、本発明を適用した不正メールの遮断プログラムを実装した端末１Ａによれば、パケットフック部３１及びフィルタリング部３２が実行するステップＳ１〜ステップＳ１０の機能、すなわち、ステップＳ１，２とステップＳ４，５によって、パケットに含まれるアプリケーションデータの種類を指定する識別子を検出するアプリケーション識別子検出機能と、当該アプリケーション識別子検出機能によって検出した識別子が、ホスト名をネットワーク層アドレスに変換するネームサービスのアプリケーションを示すものであるかを検出するアプリケーション種類特定機能とを実現でき、ステップＳ６，８によって、当該アプリケーション種類特定機能によって特定されたアプリケーション種類がネームサービスであることが検出された場合に、パケットのアプリケーションデータに、メールサーバのネットワーク層アドレスを問い合わせるデータが含まれているか否かを判定するアプリケーションデータ判定機能を実現でき、ステップＳ７，９，１０によって、アプリケーションデータ判定機能によってメールサーバのネットワーク層アドレスを問い合わせるデータが含まれていると判定された場合に、当該アプリケーションデータを含むパケットの送信を遮断するパケット遮断機能を実現できる。
【００３９】
このように、不正メールの遮断プログラムによってパケットフック部３１及びフィルタリング部３２を構成することによって、不正ソフトウェア実行部１３によって、メールサーバ名を問い合わせるタイプの不正なウイルスの動作を防止することができる。すなわち、ウィルスの内容が未知であっても、端末１ＡからＤＮＳサーバ３へのＭＸレコード問い合わせを遮断でき、既知の不正ソフトウェアを定義ファイルとして格納しておかなくても、不正ソフトウェアの特徴的な動作を遮断することによって、不正メールの更なる伝染防止できる。また、この不正メールの遮断プログラムでは、通常のメールソフトの動作には影響を及ぼさずに、上記効果を実現できる。
【００４０】
つぎに、本発明を適用したパケットの検知機能及び遮断機能を、図６に示すように、端末とＤＮＳサーバ３との間のゲートウェイ等の中間機器２０１，２０２によって検知して遮断することについて説明する。
【００４１】
図７に示すように、通常、端末１Ａとメールサーバ２とＤＮＳサーバ３とを含むネットワークには、ネットワーク層アドレスを参照する中継装置であるルータ３０１，データリンク層アドレスを参照するブリッジ型機器３０２及びスイッチ３０３，スイッチ３０３で中継するデータを監視する横付け型機器３０４が存在する。また、ＤＮＳサーバ３の負荷を分散するために、ＤＮＳサーバ３の前段に、ＤＮＳサーバ３で送受信されるメッセージを中継するＤＮＳプロキシ３０５が挿入されていることもある。このＤＮＳプロキシ３０５は、アプリケーション層の処理を行う中継装置である。
【００４２】
このようなネットワークにおいて、コンピュータウイルスに端末１Ａが感染すると、端末１ＡからＤＮＳサーバ３宛にＭＸレコード問い合わせメッセージＱ１が送信される。この不正なＭＸレコード問い合わせメッセージＱ１は、図中点線で示すメッセージ伝送経路に沿って、ルータ３０１、ブリッジ型機器３０２、スイッチ３０３、ＤＮＳプロキシ３０５で中継されて、ＤＮＳサーバ３で受信されてしまう。また、不正なＭＸレコード問い合わせメッセージＱ１は、横付け型機器３０４でも受信される。これに対し、メールサーバ２からＤＮＳサーバ３宛の正当なＭＸレコード問い合わせメッセージＱ２は、ルータ３０１、ブリッジ型機器３０２、スイッチ３０３、ＤＮＳプロキシ３０５によって中継されて、ＤＮＳサーバ３で受信される。
【００４３】
このように、データリンク層で動作するブリッジ型機器３０２、スイッチ３０３、ネットワーク層で動作するルータ３０１、横付け型機器３０４、アプリケーション層で動作するＤＮＳプロキシ３０５は、正当なＭＸレコード問い合わせメッセージＱ２のみならず、不正なＭＸレコード問い合わせメッセージＱ１もＤＮＳサーバ３に受信させてしまう。
【００４４】
これに対し、上述の本発明を適用した不正な動作の検知機能及び遮断機能は、ルータ３０１，ブリッジ型機器３０２，スイッチ３０３，横付け型機器３０４，ＤＮＳプロキシ３０５，ＤＮＳサーバ３の何れかに実装しても、上述したようにメールサーバ名を問い合わせるタイプの不正なウイルスの動作を防止することができる。ここで、上述の端末１Ａに不正な動作の検知機能を実装する場合とは異なり、ルータ３０１，ブリッジ型機器３０２，スイッチ３０３，ＤＮＳプロキシ３０５の中継装置及び横付け型機器３０４は、正当なＭＸレコード問い合わせメッセージＱ２を確実に通過させるように設計する必要がある。
【００４５】
以下、ネットワークを構成する機器に少なくとも不正な動作の検知機能を実装した実施の形態について説明する。
【００４６】
先ず、ＤＮＳサーバ３（ＤＮＳプロキシ３０５）に不正な動作の検知機能を実装した場合について説明する。
【００４７】
ＤＮＳサーバ３は、図８に示すように、基本ソフトウェア実行部３１１、ＤＮＳサーバソフトウェア実行部３１２、設定インターフェース部３１３、ＭＸレコード問い合わせ遮断部３１４が実装されている。
【００４８】
ＤＮＳサーバソフトウェア実行部３１２は、メールサーバ２からＭＸレコード問い合わせメッセージを受信すると、当該ＭＸレコード問い合わせメッセージに含まれるメールデータのドメイン名に対応したメール送信先のメールサーバ４のホスト名及びＩＰアドレスをＤＮＳデータから取り出し、取り出したメールサーバ４のホスト名及びＩＰアドレスを含むＭＸレコード情報をメールサーバ２に返信させる。このようにＤＮＳサーバソフトウェア実行部３１２は、メールサーバ２に対してホスト名をネットワーク層アドレスに変換するネームサービスを提供する処理を行う。
【００４９】
通常、ＤＮＳサーバ３は、正当なＭＸレコード問い合わせメッセージＱ２を通信インターフェース部３２１及びＴＣＰ／ＩＰ通信制御部３２２を介して受信すると、正当なＭＸレコード問い合わせメッセージＱ２に対するＭＸレコード情報をＤＮＳサーバソフトウェア実行部３１２で作成し、当該ＭＸレコード情報を基本ソフトウェア実行部３１１に渡す。基本ソフトウェア実行部３１１は、ＴＣＰ／ＩＰ通信制御部３２２によってＭＸレコード情報の先頭にトランスポート層ヘッダ，ＩＰ層ヘッダを付加したＩＰパケットを作成し、通信インターフェース部３２１によって当該ＩＰパケットにリンク層ヘッダ等を付加して所定の変調処理等を施して、ネットワーク１０に送出する。
【００５０】
なお、ＤＮＳサーバソフトウェア実行部３１２をＤＮＳプロキシソフトウェア実行部とした場合には、基本ソフトウェア実行部３１１から受信したＭＸレコード問い合わせメッセージを、別のＤＮＳサーバ３に転送するために、通常、ＭＸレコード問い合わせメッセージの宛先を変更してＴＣＰ／ＩＰ通信制御部３２２に渡す処理を行う。
【００５１】
ＤＮＳサーバ３は、不正なＭＸレコード問い合わせメッセージＱ１を検知、遮断する機能部として、ＭＸレコード問い合わせ遮断部３１４を備える。このＭＸレコード問い合わせ遮断部３１４は、ＭＸレコード問い合わせメッセージがＤＮＳサーバソフトウェア実行部３１２に渡される前に、ＭＸレコード問い合わせメッセージを検知して、不正な場合に当該メッセージの通過、遮断又は管理者等への警告を行うかを判断する。このために、ＭＸレコード問い合わせ遮断部３１４は、通信インターフェース部３２１で受信したＭＸレコード問い合わせメッセージを横取りするパケットフック部３３１と、検知部３３２と、動作設定データ記憶部３３３とを備える。
【００５２】
ＭＸレコード問い合わせ遮断部３１４は、通信インターフェース部３２１でＭＸレコード問い合わせメッセージを受信すると、当該ＭＸレコード問い合わせメッセージを横取りし、検知部３３２で不正なものであるかの検知を行う。このとき、検知部３３２は、動作設定データ記憶部３３３に記憶された動作設定データを参照する。
【００５３】
この動作設定データは、図９に示すように、ＭＸレコード問い合わせメッセージの送信元アドレス、マスク、アクション（動作内容）を対応付けて複数記憶している。この動作設定データには、送信元アドレスとして、ＭＸレコード問い合わせメッセージを受け付けることを許可するメールサーバのアドレスを含んでいる。この動作設定データは、管理者の操作等によって設定インターフェース部３１３から入力されて、動作設定データ記憶部３３３に登録される。
【００５４】
検知部３３２は、通信インターフェース部３２１から横取りしたＭＸレコード問い合わせメッセージの宛先が、動作設定データの送信元アドレス及びマスクの何れかと合致するかを識別すると、当該送信元アドレス及びマスクに対応したアクションを識別する。
【００５５】
そして、検知部３３２は、ＭＸレコード問い合わせメッセージのＤＮＳサーバソフトウェア実行部３１２への受け渡しを許可する場合には当該ＭＸレコード問い合わせメッセージをパケットフック部３３１からＴＣＰ／ＩＰ通信制御部３２２を介してＤＮＳサーバソフトウェア実行部３１２に送る。一方、ＭＸレコード問い合わせメッセージのＤＮＳサーバソフトウェア実行部３１２への受け渡しを遮断する場合には、当該ＭＸレコード問い合わせメッセージをパケットフック部３３１に渡さずに破棄する。また、警告をすると判断した場合には、管理者へのメール送信等によってその旨を伝達する。
【００５６】
また、動作設定データは、ネットワーク上の端末からのＭＸレコード問い合わせメッセージを破棄するように設定しても良い。また、ＤＮＳサーバ３とメールサーバとの間に存在しないことが登録されている中継装置からＭＸレコード問い合わせメッセージが送信された場合には、全てのＭＸレコード問い合わせメッセージを破棄するように設定しても良い。すなわち、検知部３３２は、動作設定データに含まれていない送信元アドレスのＭＸレコード問い合わせメッセージを受信した場合には、当該ＭＸレコード問い合わせメッセージが不正なもので有るか否かの検知対象とはしないようにする。
【００５７】
このように構成されたＤＮＳサーバ３（又はＤＮＳプロキシ３０５）において、端末１ＡからＤＮＳサーバ３に対するＭＸレコード問い合わせを遮断する処理手順について図１０のフローチャートを参照して説明する。なお、以下のフローチャートの説明では、上述した処理と同じ処理については、同一のステップ番号を付することによりその詳細な説明を省略する。
【００５８】
先ずパケットフック部３３１は、通信インターフェース部３２１から受信パケットを横取りして検知部３３２に渡すと、ステップＳ１において、検知部３３２は、当該受信パケットのトランスポート層ヘッダがＵＤＰヘッダであるＵＤＰパケットか否かを判定し、ＵＤＰパケットであると判定した場合には、ステップＳ２において、ＵＤＰヘッダに格納されているポート番号を取り出す。そして、このポート番号がネームサービスへの問い合わせを示す番号（ＤＮＳポート宛）であった場合には、ステップＳ６に処理を進め、そうでない場合には、ステップＳ１４において、当該受信パケットをパケットフック部３３１を介してＴＣＰ／ＩＰ通信制御部３２２に渡す。
【００５９】
ステップＳ６において、検知部３３２は、ＵＤＰパケットのアプリケーションデータを解析して、当該アプリケーションデータが、ＭＸレコード問い合わせメッセージであって、メールサーバ情報に対する問い合わせであるか否かを判定する。そして、ＭＸレコード問い合わせメッセージであると判定した場合には、ステップＳ１１において、動作設定データを参照して、受信したＭＸレコード問い合わせメッセージの送信元アドレスに対する動作を判定する。
【００６０】
そして、検知部３３２は、ＭＸレコード問い合わせメッセージに対するＭＸレコード情報の返信を許可すると判定した場合には、当該ＵＤＰパケットをＴＣＰ／ＩＰ通信制御部３２２に受け渡して、ＭＸレコード問い合わせメッセージをＤＮＳサーバソフトウェア実行部３１２に渡させて処理を終了する。一方、当該ＭＸレコード問い合わせメッセージを破棄すると判定した場合にはステップＳ１３において、当該ＵＤＰパケットを破棄して処理を終了する。また、警告を発すると判定した場合には、ステップＳ１２において、管理者等に警告メール等を送信して、ＵＤＰパケットをＴＣＰ／ＩＰ通信制御部３２２に渡して、ＤＮＳサーバソフトウェア実行部３１２に渡させて処理を終了する。
【００６１】
一方、ステップＳ１で受信パケットがＵＤＰパケットではない場合には、ステップＳ４において受信パケットがＴＣＰパケットであるかを判定し、ステップＳ５において受信パケットのポート番号を取り出して、ＤＮＳポート宛であるかを判定する。そして、ステップＳ４で受信パケットがＴＣＰパケットではないと判定された場合、又は、ステップＳ５でＤＮＳポート宛ではないと判定した場合、受信パケットをパケットフック部３３１からＴＣＰ／ＩＰ通信制御部３２２に渡して処理を終了する。
【００６２】
また、検知部３３２は、ステップＳ４で受信パケットがＴＣＰパケットであり、ステップＳ５でＤＮＳポート宛であると判定した場合には、ステップＳ８において、ＴＣＰパケットのアプリケーションデータにメールサーバのホスト名の問い合わせであるＭＸレコード問い合わせが含まれているか否かを判定し、ＭＸレコード問い合わせメッセージを含んでいない場合には、ステップＳ１４でＭＸレコード問い合わせメッセージをパケットフック部３３１からＴＣＰ／ＩＰ通信制御部３２２に渡す。一方、ＭＸレコード問い合わせを含んでいる場合には、ステップＳ１５において、動作設定データを参照して送信元アドレスに対する動作を判定する。
【００６３】
そして、検知部３３２は、ＭＸレコード問い合わせメッセージに対するＭＸレコード情報の返信を許可すると判定した場合には、当該ＭＸレコード問い合わせメッセージをＴＣＰ／ＩＰ通信制御部３２２に受け渡して、ＤＮＳサーバソフトウェア実行部３１２に渡させて処理を終了する。一方、当該ＭＸレコード問い合わせメッセージを破棄すると判定した場合にはステップＳ１７において、当該ＴＣＰパケットを破棄し、更にステップＳ１８でＴＣＰセッションを切断して処理を終了する。また、警告を発すると判定した場合には、ステップＳ１６において、管理者等に警告メール等を送信して、ＭＸレコード問い合わせメッセージをＴＣＰ／ＩＰ通信制御部３２２に渡して、ＤＮＳサーバソフトウェア実行部３１２に渡させて処理を終了する。
【００６４】
なお、この処理では、先ず、全てのＭＸレコード問い合わせメッセージについてポート番号がＤＮＳポート宛であるかの確認、アプリケーションデータがＭＸレコード問い合わせメッセージであるかの確認をした後に、送信元アドレスと動作設定データの送信元アドレスとを比較してアクションを決定しているが、これに限らず、先ず、動作設定データにメールサーバ等の正当な送信元アドレスのみを登録しておき、ＭＸレコード問い合わせメッセージの送信元アドレスが動作設定データの送信元アドレスに含まれていない場合にはポート番号及びアプリケーションデータの検知対象から除外するようにしても良い。
【００６５】
このように、本発明を適用したＤＮＳサーバ３（又はＤＮＳプロキシ３０５）によれば、予め動作設定データ記憶部３３３に不正又は正当なＭＸレコード問い合わせメッセージを識別する動作設定データを記憶させておくので、不正な端末１ＡからのＭＸレコード問い合わせメッセージを検知及び遮断できる。
【００６６】
また、ＤＮＳサーバ３（又はＤＮＳプロキシ３０５）は、図１１に示すように、ＤＮＳサーバソフトウェア実行部３１２でＭＸレコード問い合わせメッセージを受信した時に、ＤＮＳサーバソフトウェア実行部３１２で動作設定データを参照して、ＭＸレコード問い合わせメッセージに対する動作を決定しても良い。
【００６７】
このＤＮＳサーバ３（又はＤＮＳプロキシ３０５）の動作は、図１２に示すように、先ず、ＤＮＳサーバソフトウェア実行部３１２でメッセージを受信すると、ステップＳ６において当該メッセージがＭＸレコード問い合わせメッセージであるか否かを判定し、そうである場合には、ステップＳ１１でＭＸレコード問い合わせメッセージの送信元アドレスをＴＣＰ／ＩＰ通信制御部３２２から取得し、当該送信元アドレスと動作設定データとを比較して、ＭＸレコード問い合わせメッセージに対する動作を判定する。
【００６８】
そして、ＤＮＳサーバソフトウェア実行部３１２は、受信した送信元アドレスが、ＭＸレコード問い合わせメッセージに対してＭＸレコード情報の返信が許可されたものであると判定した場合には、ステップＳ２１において、ＭＸレコード情報の応答を行う。一方、受信した送信元アドレスが、ＭＸレコード問い合わせメッセージを遮断するものであると判定した場合には、ステップＳ１３に処理を進めてＭＸレコード問い合わせメッセージを破棄して処理を終了する。更に、受信した送信元アドレスが、警告を発するものであると判定した場合にはステップＳ２１に処理を進めて、警告メール等を送信した上で、ＭＸレコード問い合わせメッセージの応答を行う。
【００６９】
このように、ＭＸレコード問い合わせ遮断部３１４でＭＸレコード問い合わせメッセージに対する処理を行うのみならず、ＤＮＳサーバ３及びアプリケーション層の中継装置によって、アプリケーション層でＭＸレコード問い合わせメッセージが不正であるかを判断する処理を行うこともでき、これによっても、上述と同様に不正なＭＸレコード問い合わせメッセージを検知及び遮断できることに加えて、ＭＸレコード情報の送信を遮断できる。また、このＤＮＳサーバ３及びＤＮＳプロキシ３０５は、不正な動作によって端末１ＡからＤＮＳサーバ３にＭＸレコード問い合わせメッセージが送信されている恐れがある場合に、当該端末１Ａの送信元アドレスを管理者等に通知することができる。
【００７０】
つぎに、ルータ３０１、ブリッジ型機器３０２、スイッチ３０３といったネットワーク層の中継装置、データリンク層の中継装置に不正なＭＸレコード問い合わせメッセージの検知機能を実装した場合について説明する。以下、ルータ３０１、ブリッジ型機器３０２、スイッチ３０３を総称して、単に中継装置と呼ぶ。
【００７１】
中継装置は、図１３に示すように、基本ソフトウェア実行部３４１、ＭＸレコード問い合わせ遮断部３４２、設定インターフェース部３４３が実装されている。この中継装置がルータ３０１である場合、基本ソフトウェア実行部３４１の通信インターフェース部３５１でパケットを受信すると、ＴＣＰ／ＩＰ通信制御部３５２によってルーティングテーブル等を参照してインターネット層のルーティング処理を行って通信インターフェース部３５１から転送させる。また、中継装置がブリッジ型機器３０２、スイッチ３０３のデータリンク層の中継装置である場合、基本ソフトウェア実行部３４１の通信インターフェース部３５１でパケットを受信すると、イーサネット（登録商標）通信制御部３５２によってアドレステーブル等を参照してデータリンク層の処理を行って通信インターフェース部３５１から転送させる。
【００７２】
このような中継装置は、ＭＸレコード問い合わせメッセージをパケットフック部３６１を介して検知部３６２で検知すると、動作設定データ記憶部３６３の動作設定データを参照して、ＭＸレコード問い合わせメッセージの送信元アドレスによって当該ＭＸレコード問い合わせメッセージに対する動作を決定する。また、この動作設定データも上述と同様に、設定インターフェース部３４３を介して設定される。
【００７３】
この動作設定データは、図９に示したように、ＭＸレコード問い合わせメッセージの送信元アドレス、マスク、アクション（動作内容）を対応付けて複数記憶している。この動作設定データには、送信元アドレスとして、ＭＸレコード問い合わせメッセージを受け付けることを許可するメールサーバのアドレスと、ネットワーク上の端末のアドレスとを含んでいる。また、メールサーバとＤＮＳサーバ３との間の経路上に存在しないとして登録されている他の中継装置からのＭＸレコード問い合わせメッセージについては、全てのＭＸレコード問い合わせメッセージを破棄するように設定しても良い。この動作設定データは、管理者の操作等によって設定インターフェース部３１３から入力されて、動作設定データ記憶部３３３に登録される。
【００７４】
また、この中継装置は、図１０に示したように、検知部３６２によって、トランスポート層のポート番号を検出して、当該ポート番号がＤＮＳポート宛かを判定し（ステップＳ１，２，４，５）、そうである場合に、パケットのアプリケーションデータとしてＭＸレコード問い合わせメッセージが格納されている場合に（ステップＳ６，８）、送信元アドレスを動作設定データで判定する（ステップＳ１１，１５）。そして、中継装置は、動作設定データを参照して得た動作によって、ＭＸレコード問い合わせメッセージの転送（ステップＳ１４）、パケットの破棄（ステップＳ１３，１７）、警告（ステップＳ１２，１６）を行う。
【００７５】
このように、ネットワーク層やデータリンク層の中継装置によって、不正なＭＸレコード問い合わせメッセージの検知及び遮断を行うこともでき、これによっても、上述と同様にＤＮＳサーバ３への不正なＭＸレコード問い合わせメッセージへの送信を検知及び転送の遮断ができる。また、この中継装置は、不正な動作によって端末１ＡからＤＮＳサーバ３にＭＸレコード問い合わせメッセージが送信されている恐れがある場合に、当該端末１Ａの送信元アドレスを管理者等に通知することができる。
【００７６】
つぎに、横付け型機器３０４に不正な動作の検知機能を実装した場合について説明する。
【００７７】
横付け型機器３０４は、図１４に示すように、基本ソフトウェア実行部３７１、ＭＸレコード問い合わせ遮断部３７２、設定インターフェース部３７３が実装されている。この横付け型機器３０４は、ブリッジ型機器３０２、スイッチ３０３等のデータリンク層の中継装置で転送するパケットを通信インターフェース部３８１で受信して、ＭＸレコード問い合わせ遮断部３７２のパケットキャプチャ部３９１で受信する。
【００７８】
この横付け型機器３０４は、パケットをパケットキャプチャ部３９１を介して検知部３９２で受け取ると、動作設定データ記憶部３９３の動作設定データを参照して、ＭＸレコード問い合わせメッセージの送信元アドレスによって当該ＭＸレコード問い合わせメッセージに対する動作を決定する。この動作設定データは、ＭＸレコード問い合わせメッセージを出力することが正当なメールサーバ等や、ＭＸレコード問い合わせメッセージを出力することが不正な端末等の送信元アドレスと、送信元アドレス及びマスクに対応した動作として、警告を発するか否かのみが設定されている。
【００７９】
この横付け型機器３０４は、図１５に示すように、検知部３９２によって、トランスポート層のポート番号を検出して、当該ポート番号がＤＮＳポート宛かを判定し（ステップＳ１，２，４，５）、そうである場合に、パケットのアプリケーションデータとしてＭＸレコード問い合わせメッセージが格納されている場合に（ステップＳ６，８）、送信元アドレスを動作設定データで判定する（ステップＳ１１，１５）。そして、横付け型機器３０４は、動作設定データを参照して、送信元アドレスが正当なものである場合には警告を発せずに処理を終了し、送信元アドレスが不正なものである場合には、ステップＳ３１，３２によって警告メール等を管理者宛に送信する。
【００８０】
このように、横付け型機器３０４によって、ＭＸレコード問い合わせメッセージに対する処理を行うこともでき、これによっても、上述と同様に端末１ＡからＤＮＳサーバ３への不正なＭＸレコード問い合わせメッセージへの送信を検知して、管理者等に不正な端末１Ａが存在し且つ当該端末１Ａの送信元アドレスを通知することができる。
【００８１】
なお、上述の実施の形態は本発明の一例である。このため、本発明は、上述の実施形態に限定されることはなく、この実施の形態以外であっても、本発明に係る技術的思想を逸脱しない範囲であれば、設計等に応じて種々の変更が可能であることは勿論である。
【００８２】
すなわち、上述した実施の形態では、ＤＮＳサーバ３、ＤＮＳプロキシ３０５、ルータ３０１、ブリッジ型機器３０２、スイッチ３０３、横付け型機器３０４に不正なＭＸレコード問い合わせメッセージを検知して遮断する機能を実装した場合について説明したが、当該ネットワーク上の機器に不正なＭＸレコード問い合わせメッセージを検知する機能のみを実装し、当該不正なＭＸレコード問い合わせメッセージの受信又は転送を禁止するように、他のネットワーク上の機器のポートと閉じる等の制御をするようにしても良い。これによっても、上述と同様の効果を発揮できる。
【００８３】
また、上述した実施形態における不正な電子メールが配信されることを防止するため機能は、家電機器群がネットワーク接続されたホームネットワークや、設備装置群がネットワーク接続された設備ネットワークなどにも適用できる。例えば、ホームネットワークに接続されてアプリケーションとしてメール機能を具備する家電機器がコンピュータウィルスに感染した場合であっても、当該家電機器から外部ネットワークへと不正なコンピュータウィルスを含む電子メールが送信されることを防止することができる。
【００８４】
ここで、ホームネットワークを構築する技術としては、ＥＣＨＯネットの他、エミット（ＥＭＩＴ（Embedded Micro Internetworking Technology））と称される機器組み込み型ネットワーク技術などがあげられる。この組み込み型ネットワーク技術は、ネットワーク機器にＥＭＩＴミドルウェアを組み込んでネットワークに接続できる機能を備え、ＥＭＩＴ技術と称されている。
【００８５】
より具体的には、上述した不正な電子メールが送信されることを防止する機能を有する端末、ネットワークを構成する中継装置、横付け型機器にＥＭＩＴ技術を実現するＥＭＩＴソフトウェアを搭載し、当該ＥＭＩＴソフトウェアを搭載した端末、中継装置、横付け機器と、当該端末、中継装置、横付け機器を遠隔で制御又は監視するユーザ機器とをインターネット上に設けられたセンターサーバ（図示せず）を介して通信接続する。このユーザ機器は、例えば、携帯電話、ＰＣ（Personal Computer）、ＰＤＡ（Personal Digital Assistant）、ＰＨＳ（Personal Handy phone System）等の外部端末（図示せず）である。
【００８６】
このようなＥＭＩＴ技術を実装したシステムによれば、ユーザ機器は、端末、中継装置、横付け機器によってメールサーバ名のネットワーク層アドレスを問い合わせるメッセージをどのくらいの頻度で検知したかを遠隔監視でき、不正な電子メールを遮断又は警報する送信元アドレスを追加制御したり、検知対象にしないメールサーバのアドレス情報を遠隔で追加することができる。
【図面の簡単な説明】
【００８７】
【図１】本発明を適用した不正メールの遮断プログラムがインストールされる端末が含まれるネットワーク構成及び通常のメール送信動作を示すシステム図である。
【図２】端末が不正ソフトウェア実行部によって動作した時のメール送信動作を説明するためのシステムズである。
【図３】本発明を適用した不正メールの遮断プログラムがインストールされた端末の機能的な構成を示すブロック図である。
【図４】端末からＤＮＳサーバに問い合わせを行うときのパケット構造を示す図である。
【図５】本発明を適用した端末による不正メールの遮断処理の処理手順を示すフローチャートである。
【図６】不正メールを遮断するための他の手法を説明するシステム図である。
【図７】不正な動作をする端末とＤＮＳサーバとの間に各種の中継装置が存在するネットワーク構成を示す図である。
【図８】本発明を適用した不正な動作を検知する機能を実装したＤＮＳサーバ又はＤＮＳプロキシのブロック図である。
【図９】動作設定データの構造を示す図である。
【図１０】本発明を適用したＤＮＳサーバ又はＤＮＳプロキシによって不正な動作を検知するときのフローチャートである。
【図１１】本発明を適用した不正な動作を検知する機能を実装したＤＮＳサーバ又はＤＮＳプロキシであって、アプリケーション層の処理によってＭＸレコード問い合わせメッセージに対する動作を行う一例のブロック図である。
【図１２】本発明を適用したＤＮＳサーバ又はＤＮＳプロキシによって不正な動作を検知するときのフローチャートである。
【図１３】本発明を適用した不正な動作を検知する機能を実装したルータ、ブリッジ型機器又はスイッチのブロック図である。
【図１４】本発明を適用した不正な動作を検知する機能を実装した横付け型機器のブロック図である。
【図１５】本発明を適用した横付け型機器によって不正な動作を検知するときのフローチャートである。
【符号の説明】
【００８８】
１  端末
２，４  メールサーバ
３  ＤＮＳサーバ
４  メールサーバ
１０  ネットワーク
１１  基本ソフトウェア実行部
１２  アプリケーションソフトウェア実行部
１３  不正ソフトウェア実行部
２１  通信インターフェース部
２２  ＴＣＰ／ＩＰ通信制御部
３１  パケットフック部
３２  フィルタリング部
【図１】
2007102747.tif 000003
【図２】
2007102747.tif 000004
【図３】
2007102747.tif 000005
【図４】
2007102747.tif 000006
【図５】
2007102747.tif 000007
【図６】
2007102747.tif 000008
【図７】
2007102747.tif 000009
【図８】
2007102747.tif 000010
【図９】
2007102747.tif 000011
【図１０】
2007102747.tif 000012
【図１１】
2007102747.tif 000013
【図１２】
2007102747.tif 000014
【図１３】
2007102747.tif 000015
【図１４】
2007102747.tif 000016
【図１５】
2007102747.tif 000017