(57)【要約】【課題】  ワームによる感染活動に関わる通信と正規の利用者による通信とを区別して感染端末を検知する。【解決手段】  不正な通信をしている感染端末を検知するワーム遮断装置２であって、通信端末から通信データを基本ソフトウェア処理部１１で受信すると、Ｗｅｂチェックモジュール２３及びメールチェックモジュール２４は、通信端末との間で予め設定した感染の有無を識別するための識別情報が含まれているかを確認し、含まれている場合には正規な通信データであるとし、含まれていない場合に、当該通信端末が不正な通信を行う感染端末であることを判別する。【選択図】      図２
2007266979.tif 000002
【特許請求の範囲】
【請求項１】
不正な通信をしている感染端末を検知する感染端末検知装置であって、
通信端末から通信データを受信する受信手段と、
前記受信手段により受信された通信データに、当該通信データを送信した通信端末との間で予め設定した感染の有無を識別するための識別情報を含まない場合に、当該通信端末が不正な通信を行う感染端末であることを判別し、当該通信データに識別情報を含む場合には、当該通信端末が感染端末ではないことを判別する判別手段と
を備えることを特徴とする感染端末検知装置。
【請求項２】
前記識別情報は、所定の文字列からなるキーフレーズであり、
前記判別手段は、前記受信手段により受信された通信データにキーフレーズを含まない場合に、当該通信端末が不正な通信を行う感染端末であることを判別することを特徴とする請求項１に記載の感染端末検知装置。
【請求項３】
前記識別情報は、アプリケーションの種類を特定するトランスポート層ヘッダに格納するポート番号であり、
前記判別手段は、前記通信端末との間で予め設定したポート番号の変換規則で規定された変換前のポート番号とは異なるポート番号を通信データに含んでいる場合に、当該通信端末が不正な通信を行う感染端末であることを判別することを特徴とする請求項１に記載の感染端末検知装置。
【請求項４】
前記通信端末間を接続する通信線、又は、前記通信端末間で通信される通信パケットを中継する中継装置に接続され、当該通信線又は中継装置を通過する通信パケットを監視する横付け機器からなることを特徴とする請求項１乃至請求項３の何れか一項に記載の感染端末検知装置。
【請求項５】
不正な通信をしている感染端末を検知する機能をコンピュータに実装させる感染端末検知プログラムであって、
通信端末から通信データを受信する受信機能と、
前記受信機能により受信された通信データに、当該通信データを送信した通信端末との間で予め設定した感染の有無を識別するための識別情報を含まない場合に、当該通信端末が不正な通信を行う感染端末であることを判別し、当該通信データに識別情報を含む場合には、当該通信端末が感染端末ではないことを判別する判別機能と
をコンピュータに実装させることを特徴とする感染端末検知プログラム。
【請求項６】
不正な通信をしている感染端末の通信を制限する通信制御装置であって、
通信端末から通信データを受信する受信手段と、
前記受信手段により受信された通信データに、当該通信データを送信した通信端末との間で予め設定した感染の有無を識別するための識別情報を含まない場合に、当該通信端末が不正な通信を行う感染端末であることを判別し、当該通信データに識別情報を含む場合には、当該通信端末が感染端末ではないことを判別する判別手段と、
前記判別手段によって通信データに識別情報を含むと判別された場合に、当該識別情報を削除又は変換して通信データを中継する中継手段と
を備えることを特徴とする通信制御装置。
【請求項７】
不正な通信をしている感染端末の通信を制限する通信制御装置による通信制限を回避する通信端末であって、
通信データを送信する送信手段と、
前記送信手段により送信する通信データに、前記通信制御装置との間で予め設定した感染の有無を識別するための識別情報を付加して、前記送信手段から送信させる通信データ生成手段と
を備えることを特徴とする通信端末。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、ワームなどによる感染を他の端末に拡大されることを防止するために、端末がワームに感染していることを検知するための感染端末検知装置、感染端末検知プログラム、通信制御装置、通信端末に関する。
【背景技術】
【０００２】
従来より、ウィルス検知技術としては、既知のウィルスについて定義ファイルと呼ばれる特徴情報を記述したデータを予め用意しておき、ウィルスに感染している可能性のあるファイルと定義ファイルとをパターンマッチングするものが知られている。この定義ファイルは、コンピュータウイルスに感染したファイルや、ネットワーク上で自己複製を繰り返すワームプログラムの特徴を収録したファイルであって、アンチウィルスソフト(ワクチンソフト)がコンピュータウイルスやワームを検出するために、定義ファイル内に収録された各ウイルスのパターンが検査対象のファイルと照合されて、パターンとの一致が見られるとそのファイルがウイルスに感染していると判断する。
【０００３】
また、従来から知られているウィルスの一種であるワーム対策としては、例えば、下記の非特許文献１に記載されているようなものも挙げられる。
【非特許文献１】http://www.nttdata.co.jp/netcom/pdf/nc04_ss_03.pdf
【発明の開示】
【発明が解決しようとする課題】
【０００４】
しかしながら、上述のワーム対策において、ワームによる感染活動を阻止するために当該感染端末の通信を遮断又は制限すると、ワームによる感染活動ではない正規の通信までもが遮断又は制限されてしまう。したがって、ワームによる感染活動による通信と、当該端末の正規の利用者によってなされる通信とを区別して、通信を遮断又は制限することが望ましい。
【０００５】
そこで、本発明は、上述した実情に鑑みて提案されたものであり、ワームによる感染活動に関わる通信と正規の利用者による通信とを区別して感染端末を検知できる感染端末検知装置、感染端末検知プログラム、通信制御装置、通信端末を提供することを目的とする。
【課題を解決するための手段】
【０００６】
本発明は、不正な通信をしている感染端末を検知する感染端末検知装置であって、上述の課題を解決するために、通信端末から通信データを受信する受信手段と、受信手段により受信された通信データに、当該通信データを送信した通信端末との間で予め設定した感染の有無を識別するための識別情報を含まない場合に、当該通信端末が不正な通信を行う感染端末であることを判別し、当該通信データに識別情報を含む場合には、当該通信端末が感染端末ではないことを判別する判別手段とを備える。
【０００７】
本発明は、不正な通信をしている感染端末を検知する機能をコンピュータに実装させる感染端末検知プログラムであって、上述の課題を解決するために、通信端末から通信データを受信する受信機能と、受信機能により受信された通信データに、当該通信データを送信した通信端末との間で予め設定した感染の有無を識別するための識別情報を含まない場合に、当該通信端末が不正な通信を行う感染端末であることを判別し、当該通信データに識別情報を含む場合には、当該通信端末が感染端末ではないことを判別する判別機能とをコンピュータに実装させる。
【０００８】
本発明は、不正な通信をしている感染端末の通信を制限する通信制御装置であって、上述の課題を解決するために、通信端末から通信データを受信する受信手段と、受信手段により受信された通信データに、当該通信データを送信した通信端末との間で予め設定した感染の有無を識別するための識別情報を含まない場合に、当該通信端末が不正な通信を行う感染端末であることを判別し、当該通信データに識別情報を含む場合には、当該通信端末が感染端末ではないことを判別する判別手段と、判別手段によって通信データに識別情報を含むと判別された場合に、当該識別情報を削除又は変換して通信データを中継する中継手段とを備える。
【０００９】
本発明は、不正な通信をしている感染端末の通信を制限する通信制御装置による通信制限を回避する通信端末であって、上述の課題を解決するために、通信データを送信する送信手段と、送信手段により送信する通信データに、通信制御装置との間で予め設定した感染の有無を識別するための識別情報を付加して、送信手段から送信させる通信データ生成手段とを備える。
【発明の効果】
【００１０】
本発明によれば、通信データに識別情報を含む場合には不正な通信ではないと判別し、通信データに識別情報を含まない場合には不正な通信を行う感染端末であることを判別できるので、ワームによる感染活動に関わる通信と正規の利用者による通信とを区別して感染端末を検知できる。
【発明を実施するための最良の形態】
【００１１】
以下、本発明の実施の形態について図面を参照して説明する。
【００１２】
本発明は、図１に示すような通信端末１と接続され、通信端末１とメールサーバ３との間に設けられたワーム遮断装置２に適用され、通信端末１がワームに感染した場合に、当該感染端末１のワームによる感染活動による通信と感染端末１の正規の利用者による通信とを区別して、感染端末１の検知及び感染端末１の通信遮断・制限を行うものである。
【００１３】
このワーム遮断装置２は、不正な通信をしている感染端末１を検知する感染端末検知装置として機能し、感染端末１との間で予め感染の有無を識別するための識別情報を設定し、当該識別情報を含んで送信された通信データについてはワームによる感染活動に関わりがない通信データであると判別して、通信データの転送を許可する。一方、受信した通信データに識別情報が含まれていない場合には、感染端末１に感染したワームによる感染活動によって送信された通信データであると検知する。また、図１に示すように配置された場合に、ワーム遮断装置２は、受信した通信データに識別情報がある場合には、当該識別情報を削除又は変換してメールサーバ３に転送し、識別情報がない場合にはワームによる感染活動による通信データとして転送をしない中継手段を有する通信制御装置としても動作する。
【００１４】
また、この通信システムにおいて、通信端末１は、予めワーム遮断装置２との間で設定された識別情報を付加して通信データを送信する動作を正規な動作とすることによって、ワーム等の不正な通信を行うプログラムでは識別情報を付加せずに通信データを送信する動作と異なる動作を行うことができる。
【００１５】
例えば、図１（ａ）に示すように、感染端末１との間で予め識別情報が設定されている場合において、感染端末１内のワームの動作によって識別情報を含まないメールデータがワーム遮断装置２に送信されると、ワーム遮断装置２は、当該メールデータに識別情報が含まれていないことを検知して、ワームによる感染活動を検知する。そして、ワーム遮断装置２は、メールデータに添付ファイルが含まれている場合には当該添付ファイルを削除して、メール本文１０１を含むが添付ファイル１０２を含まないメールデータをメールサーバ３に送信する。
【００１６】
また、図１（ｂ）に示すように、識別情報を感染端末１とワーム遮断装置２との間で設定する動作は、先ずワーム遮断装置２から感染端末１に所定の文字列からなるキーフレーズを識別情報として通知し、以降の感染端末１から外部への通信データについては識別情報を付加するようにする。そして、ワーム遮断装置２は、感染端末１からのメールデータにキーフレーズが含まれている場合には、正規のメールソフトウェアによって生成されたメールデータであることを判別して、メール本文１０１と添付ファイル１０２の双方を含むメールデータをメールサーバ３に転送することができる。
【００１７】
このようなワーム遮断装置２は、その内部構成を図２に示すように、基本ソフトウェアと識別情報チェックアプリケーションがインストールされることによって、基本ソフトウェア処理部１１と、識別情報チェックアプリケーション処理部１２とを備えて構成されている。
【００１８】
基本ソフトウェア処理部１１は、ネットワークと接続された通信インターフェース部２１とＴＣＰ（Transmission Control Protocol）／ＩＰ（Internet Protocol）通信制御部２２とを備える。基本ソフトウェア処理部１１は、ネットワークから通信データを通信インターフェース部２１で受信すると、ＴＣＰ／ＩＰ通信制御部２２によって、ＴＣＰヘッダのポート番号に応じて識別情報チェックアプリケーション処理部１２に通信データを渡す。また、基本ソフトウェア処理部１１は、識別情報チェックアプリケーション処理部１２からアプリケーションデータが渡されると、ＴＣＰ／ＩＰ通信制御部２２によって、当該アプリケーションデータにＴＣＰヘッダ及びＩＰヘッダを付加して、通信インターフェース部２１からネットワークに送信させる。
【００１９】
識別情報チェックアプリケーション処理部１２は、受信した通信パケットに識別情報を含むか否かを判定して、当該通信パケットがワームによる感染活動によって生成されたものか、正規のアプリケーションソフトウェアによって生成されたものかを判定する。この識別情報チェックアプリケーション処理部１２は、Ｗｅｂチェックモジュール２３と、メールチェックモジュール２４とを備える。
【００２０】
Ｗｅｂチェックモジュール２３は、ＴＣＰ／ＩＰ通信制御部２２によってワーム遮断装置２で受信した通信パケットにＷｅｂページを閲覧するためのアプリケーションデータが格納されている場合に、当該通信パケットを受け取る。このとき、ＴＣＰ／ＩＰ通信制御部２２は、識別情報としてキーフレーズを使用している場合において、トランスポート層プロトコルがＴＣＰであり、且つトランスポート層ヘッダに含まれるポート番号がＷｅｂページ閲覧用プロトコル（ＨＴＴＰ（HyperText Transfer Protocol）等）であることを識別した場合に、当該通信パケットをＷｅｂチェックモジュール２３に渡す。
【００２１】
Ｗｅｂチェックモジュール２３は、例えば通信パケットに含まれるＷｅｂページ取得要求のＵＲＬ（Uniform Resource Locator）に予め設定した識別情報が含まれているか否かを判定する。この識別情報としては、例えば所定の文字列からなるキーフレーズであり、当該キーフレーズがＵＲＬに含まれている場合には当該通信パケットをＷｅｂサーバに転送し、含まれていない場合には当該通信パケットをＷｅｂサーバには転送せずに破棄する。
【００２２】
メールチェックモジュール２４は、ＴＣＰ／ＩＰ通信制御部２２によってワーム遮断装置２で受信した通信パケットにメール転送するためのアプリケーションデータが格納されている場合に、当該通信パケットを受け取る。このとき、ＴＣＰ／ＩＰ通信制御部２２は、識別情報としてキーフレーズを使用している場合において、トランスポート層プロトコルがＴＣＰであり、且つトランスポート層ヘッダに含まれるポート番号がメール転送用プロトコル（ＰＯＰ３（Post Office Protocol Version 3）、ＳＭＴＰ（Simple Mail Transfer Protocol）等）であることを識別した場合に、当該通信パケットをメールチェックモジュール２４に渡す。
【００２３】
メールチェックモジュール２４は、例えば通信パケットに含まれるメール転送要求の宛先メールアドレス等に予め設定した識別情報が含まれているか否かを判定し、識別情報であるキーフレーズが宛先メールアドレスに含まれている場合には当該通信パケットをメールサーバ３に転送し、含まれていない場合には当該通信パケットをメールサーバ３には転送せずに破棄する。
【００２４】
このような識別情報チェックアプリケーション処理部１２において、予め感染端末１との間で設定しておく識別情報としては、上述のキーフレーズのみならず、通信パケットのアプリケーション種類を特定するトランスポート層ヘッダ（ＴＣＰヘッダ、ＵＤＰヘッダ）に格納するポート番号であっても良い。ポート番号を識別情報とする場合、ワーム遮断装置２と感染端末１との間で予めポート番号の変換規則を設定しておく。
【００２５】
このポート番号の変換規則は、変換前のポート番号と変換後のポート番号とが規定されており、ワーム遮断装置２から感染端末１に通知されることによって感染端末１の正規のアプリケーションソフトウェアにより変換後のポート番号を使用するように設定される。これにより、感染端末１は、変換後のポート番号で通信パケットを送信し、ワーム遮断装置２によって変換後のポート番号が通信パケットに格納されている場合には、感染端末１の正規なアプリケーションソフトウェアによって送信された通信パケットであると判定する。一方、変換前のポート番号が通信パケットに格納されている場合には、正規なアプリケーションソフトウェアではなく、ワームによる感染活動によって送信された通信パケットであると判定する。
【００２６】
例えば、ポート番号の変換規則が変更前のポート番号を２３番とし変換後のポート番号を１２３番と規定し、また、変換前のポート番号を８０番とし変換後のポート番号を１８０と規定した場合において、感染端末１によって、telnetのアプリケーションソフトウェアで生成したアプリケーションデータを送信する場合には、トランスポート層ヘッダのポート番号を２３番ではなく変換後のポート番号の１２３番として送信し、ワーム遮断装置２は、トランスポート層ヘッダのポート番号が１２３番であると判定した場合には感染端末１の正規なアプリケーションソフトウェアによって生成された通信パケットであると判定し、ポート番号を２３番に変換してサーバに転送する。一方、感染端末１からトランスポート層ヘッダのポート番号が２３番である通信パケットをワーム遮断装置２で受信した場合、ワームによる感染活動によって生成された通信パケットであると判定してサーバへの転送をしない。
【００２７】
以上のように、本発明を適用したワーム遮断装置２によれば、予め端末との間で設定しておいた識別情報を含んでいるか否かを判定して、当該端末がワームに感染しているか否かを判定することができるので、ワームによる感染活動に関わる通信と正規の利用者による通信とを区別して感染端末１を検知できる。
【００２８】
また、ワーム遮断装置２によれば、識別情報を含んだ通信パケットを端末から受信した場合には当該識別情報を削除又は変換してサーバに中継でき、識別情報を含んでいない通信パケットを端末から受信した場合には当該通信パケットを中継しないことにより、感染端末１による感染の拡大を防止できる。
【００２９】
なお、ワーム遮断装置２は、図３に示すような通信システムによって管理装置３６からワームに感染した感染端末１のＩＰアドレスが通知される場合には、当該感染端末１のＩＰアドレスが通知されたことに応じて、その都度感染端末１に識別情報を通知しても良い。図３に示す通信システムにおいて、感染端末１から送信された不正な通信データＳ１は、サーバ群３４のＩＰアドレスを宛先とし、スイッチ３１、ルータ３２及びスイッチ３３を経由して、サーバ群３４に送信されると、ワーム検知装置３５は、スイッチ３３を通過する通信データＳ１をコピーした通信データＳ２を取得し、当該コピーした通信データＳ２が不正な通信データであるか否かを判定する。ワーム検知装置３５は、コピーした通信データＳ２から、感染端末１の特有の振る舞いを検知することによって、感染端末１がワームに感染しているかを検知する。例えば、感染端末１から直接的にネームサービスを受けるＭＸレコードを含む通信データＳ２を検知した場合や、感染していない通信端末などであれば送信されない宛先を含む通信データＳ２を検知した場合に、当該通信データＳ２を送信した感染端末１を検知する。そして、ワーム検知装置３５は、通信データＳ２に含まれるＩＰアドレスを取得し、感染端末１のＩＰアドレスを含むワーム検知報告メッセージＳ３を管理装置３６に通知する。
【００３０】
具体的には、ワーム検知装置３５は、通信データＳ２に含まれるアプリケーションデータの種類を指定するポート番号を取得し、当該ポート番号がホスト名をネットワーク層アドレスに変換するネームサービスのアプリケーションを示すものであり、且つ、当該通信データＳ２のアプリケーションデータに、サーバ群３４のネットワーク層アドレスを問い合わせるデータが含まれている場合に、不正にサーバ群３４にアクセスしようとしている感染端末１を検知できる。更に他の具体例を挙げると、ワーム検知装置３５は、コンピュータウィルスによって、不正な通信データが配信されることを検知するために、感染端末１に予め正規の設定情報に加えて、ダミーの設定情報を記憶させておき、ワームによる動作によって、ダミーの設定情報を用いて通信データを作成されて送信された場合には、感染端末１がワームに感染していることを判断できる。
【００３１】
管理装置３６は、ネットワーク管理者が運営するサーバであり、ワーム検知装置３５からのワーム検知報告メッセージＳ３を受けて、当該ワーム検知報告メッセージＳ３に含まれる感染端末１のＩＰアドレスを蓄積すると共に、ワーム遮断装置２に通知する。管理装置３６は、ワーム検知報告メッセージＳ３を受信したことに応じて、感染端末１のＩＰアドレスを含む通信遮断命令Ｓ４をワーム遮断装置２に通知する。
【００３２】
そして、ワーム遮断装置２は、通信遮断命令Ｓ４を受信したことによって、当該通信遮断命令Ｓ４に含まれるＩＰアドレスに識別情報を通知する。これに対し、感染端末１は、正規なアプリケーションソフトウェアによって、以後の通信パケットに識別情報を含めて送信することとなる。これにより、ワーム遮断装置２は、感染端末１のワームによる感染活動によって生成された通信パケットと、正規なアプリケーションソフトウェアによって生成された通信パケットとを区別することができる。
【００３３】
また、識別情報をワーム遮断装置２から感染端末１に通知する手法としては、ワーム遮断装置２によって管理装置３６から通信遮断命令Ｓ４が通知され、当該感染端末１から通信パケットを受信した場合には、当該通信パケットを正規のサーバ群３４には転送をせずに、他のサーバに感染端末１にリダイレクトして、当該他のサーバから感染端末１に識別情報を通知するＷｅｂページ又はメールデータを送信しても良い。これによって、予め端末に識別情報を記憶しておく必要や、常に識別情報を使用した通信パケットを生成する必要がなく、予め識別情報を記憶しておくことによってワームに当該識別情報が利用される可能性を少なくできる。
【００３４】
なお、上述の実施の形態は本発明の一例である。このため、本発明は、上述の実施形態に限定されることはなく、この実施の形態以外であっても、本発明に係る技術的思想を逸脱しない範囲であれば、設計等に応じて種々の変更が可能であることは勿論である。
【００３５】
すなわち、上述したワーム遮断装置２は、スイッチ３１と接続された配置を示したが、これに限らず、図４に示すように、スイッチ５１、ブリッジ装置５２，ルータ５３，横付け型機器５４に、ワーム遮断装置２と同じ機能を実装させるための識別情報チェックプログラムをインストールしても、上述の識別情報によって正規の通信とワームによる通信を区別できるという効果を発揮させることができる。特に、通信装置間を接続する通信線、又は、通信装置間で通信される通信データを中継するスイッチ等の中継装置に接続され、当該通信線又は中継装置を通過する通信データを監視する横付け機器としてワーム遮断装置２を構成する場合には、識別情報によって正規の通信とワームによる通信を区別できる機能をシステムに導入するコスト等を低減できる。このように横付け機器としてワーム遮断装置２を構成して感染端末１を検知した場合、スイッチ５１で受信した感染端末１からの通信パケットをワーム遮断装置２に誘導する必要がある。
【００３６】
また、上述した実施形態における識別情報によって正規の通信とワームによる通信を区別できる機能は、家電機器群がネットワーク接続されたホームネットワークや、設備装置群がネットワーク接続された設備ネットワークなどにも適用できる。例えば、ホームネットワークに接続されてアプリケーションとしてウェブ機能やメール機能を具備する家電機器がワームに感染した場合であっても、当該家電機器によって不正な通信がなされることを防止することができる。
【００３７】
ここで、ホームネットワークを構築する技術としては、ＥＣＨＯネットの他、エミット（ＥＭＩＴ（Embedded Micro Internetworking Technology））と称される機器組み込み型ネットワーク技術などがあげられる。この組み込み型ネットワーク技術は、ネットワーク機器にＥＭＩＴミドルウェアを組み込んでネットワークに接続できる機能を備え、ＥＭＩＴ技術と称されている。
【００３８】
より具体的には、上述した識別情報によって正規の通信とワームによる通信を区別できるワーム遮断装置２，管理装置３６や、スイッチ、ルータ等のネットワーク機器にＥＭＩＴ技術を実現するＥＭＩＴソフトウェアを搭載して、当該ＥＭＩＴソフトウェアを搭載した通信端末や管理装置３６、ワーム遮断装置２と、当該端末、中継装置、横付け機器を遠隔で制御又は監視するユーザ機器とをインターネット上に設けられたセンターサーバ（図示せず）を介して通信接続する。このユーザ機器は、例えば、携帯電話、ＰＣ（Personal Computer）、ＰＤＡ（Personal Digital Assistant）、ＰＨＳ（Personal Handy phone System）等の外部端末（図示せず）である。
【図面の簡単な説明】
【００３９】
【図１】本発明を適用したワーム遮断装置を含む通信システムの構成を示すブロック図である。
【図２】本発明を適用したワーム遮断装置の内部構成を示すブロック図である。
【図３】本発明を適用したワーム遮断装置を含む通信システムの他の一構成例を示すブロック図である。
【図４】本発明を適用したワーム遮断装置が実装される他の形態を説明するための図である。
【符号の説明】
【００４０】
１  感染端末
２  ワーム遮断装置
３  メールサーバ
１１  基本ソフトウェア処理部
１２  識別情報チェックアプリケーション処理部
２１  通信インターフェース部
２２  ＴＣＰ／ＩＰ通信制御部
２３  Ｗｅｂチェックモジュール
２４  メールチェックモジュール
３１  スイッチ
３２  ルータ
３３  スイッチ
３４  サーバ群
３５  ワーム検知装置
３６  管理装置
【図１】
2007266979.tif 000003
【図２】
2007266979.tif 000004
【図３】
2007266979.tif 000005
【図４】
2007266979.tif 000006