(57)【要約】【目的】ＩＰ電話システムにおけるコンピュータウィルスの発生を早期に判定し感染被害の拡大を未然に防止または最小限度に抑えることができるコンピュータウィルス発生判定装置、方法及びプログラムを提供する。【構成】複数の電話機端末とＩＰ電話機能を奏する呼制御装置とを含むＩＰ電話システムにおけるコンピュータウィルス感染の有無を判定するコンピュータウィルス感染判定方法、装置及びプログラムであり、該電話機端末と該呼制御装置との間で伝送される少なくとも１つの呼制御パケットを取り込み、該呼制御パケットのデータ形態の非正常性に基づいて該電話機端末毎の感染蓋然性の高低を表す指標データを抽出し、該指標データに対して所定判定条件を適用して該電話機端末毎の感染の有無を判定する。【選択図】図１
2007233831.tif 000002
【特許請求の範囲】
【請求項１】
複数の電話機端末とＩＰ電話機能を奏する呼制御装置とを含むＩＰ電話システムにおけるコンピュータウィルス感染の有無を判定するコンピュータウィルス感染判定方法であって、
前記電話機端末と前記呼制御装置との間で伝送される少なくとも１つの呼制御パケットを取り込む呼制御パケット取込ステップと、
前記呼制御パケットのデータ形態の非正常性に基づいて前記電話機端末毎の感染蓋然性の高低を表す指標データを抽出する指標データ抽出ステップと、
前記指標データに対して所定判定条件を適用して前記電話機端末毎の感染の有無を判定する感染有無判定ステップと、
を含むことを特徴とするコンピュータウィルス感染判定方法。
【請求項２】
前記電話機端末のうちの何れか少なくとも１が感染していると判定された場合に、前記１と前記呼制御装置との間で伝送される呼制御パケットを破棄するか、またはその伝送路を遮断するステップをさらに含むことを特徴とする請求項１記載のコンピュータウィルス感染判定方法。
【請求項３】
複数の電話機端末とＩＰ電話機能を奏する呼制御装置とを含むＩＰ電話システムに含まれるコンピュータウィルス感染判定装置であって、
前記電話機端末と前記呼制御装置との間で伝送される少なくとも１つの呼制御パケットを取り込む呼制御パケット取込手段と、
前記呼制御パケットのデータ形態の非正常性に基づいて前記電話機端末毎の感染蓋然性の高低を表す指標データを抽出する指標データ抽出手段と、
前記指標データに対して所定判定条件を適用して前記電話機端末毎の感染の有無を判定する感染有無判定手段と、
を含むことを特徴とするコンピュータウィルス感染判定装置。
【請求項４】
前記電話機端末のうちの何れか少なくとも１が感染していると判定された場合に、前記１と前記呼制御装置との間で伝送される呼制御パケットを破棄するか、またはその伝送路を遮断する手段をさらに含むことを特徴とする請求項３記載のコンピュータウィルス感染判定装置。
【請求項５】
複数の電話機端末とＩＰ電話機能を奏する呼制御装置とを含むＩＰ電話システムにおけるコンピュータウィルス感染の有無を判定する機能をコンピュータにより実現するコンピュータウィルス感染判定プログラムであって、
前記電話機端末と前記呼制御装置との間で伝送される少なくとも１つの呼制御パケットを取り込む呼制御パケット取込手段と、
前記呼制御パケットのデータ形態の非正常性に基づいて前記電話機端末毎の感染蓋然性の高低を表す指標データを抽出する指標データ抽出手段と、
前記指標データに対して所定判定条件を適用して前記電話機端末毎の感染の有無を判定する感染有無判定手段と、
を機能させることを特徴とするコンピュータウィルス感染判定プログラム。
【請求項６】
前記電話機端末のうちの何れか少なくとも１が感染していると判定された場合に、前記１と前記呼制御装置との間で伝送される呼制御パケットを破棄するか、またはその伝送路を遮断する手段をさらに機能させることを特徴とする請求項５記載のコンピュータウィルス感染判定プログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、コンピュータを用いてＩＰ電話機能を奏する電話機端末を含むＩＰ電話システムにおけるコンピュータウィルスの感染を判定するコンピュータウィルス発生判定装置、方法及びプログラムに関する。
【背景技術】
【０００２】
近年、コンピュータシステムあるいは個々のハードウエアやソフトウエアを、災害や故障のみならず、不正な浸入やコンピュータウィルスなどによる破壊または改変から守るためのセキュリティ技術が注目を集めている。特に、インターネットやイントラネットの急速な普及に応じて、ネットワークを介したコンピュータウィルスに対するセキュリティが重要視されている。
【０００３】
いわゆる社内ネットワークと称されるイントラネット内部へのコンピュータウィルス感染は、コンピュータウィルスを含んだ電子メールの受信や、社外ホームページへのアクセスなどといった人の操作を契機として発生する。このため、イントラネット内部におけるウィルス発生は、インターネットの如き外部での発生よりも１〜１０時間程遅れを生じるのが普通である。また、コンピュータウィルスは、メールサービスのようにネットワーク接続を実行するサービスを媒介として感染するものが非常に多い。
【０００４】
従来、コンピュータウィルスの感染を防ぐためには、例えば、トレンドマイクロ社が提供するウィルスバスターの如く、いわゆるフィルタリングソフトを利用した対策を講じるのが主流である。このフィルタリングソフトでは、ワクチンあるいはパターンファイルと呼ばれる対策データによりコンピュータウィルスを検知し、これを駆除するようにしている。
【０００５】
また、オペレーティングシステム（ＯＳ）のセキュリティホールをついて被害をもたらす類のコンピュータウィルスに対しては、セキュリティホールを埋めるような手当てをする修正プログラムを適用し、コンピュータウィルスの被害を防止することも行われている。
【０００６】
例えば、特許文献１に開示される技術は、業務処理装置における修正プログラムの登録情報や自動更新の状態を業務処理サーバ装置に送信することにより、業務処理を行うユーザが意識せずセキュリティ対策を簡単かつ有効的に行うことができるとしている。
【０００７】
ところで、ＶｏＩＰ技術の発展とともに、電話網がＩＰネットワークに統合されるようになることで、かかる電話網がコンピュータウィルスの感染経路に利用され、コンピュータウィルスの被害を受けるようになって来た。そのため、交換機や端末個別にコンピュータウィルスへの対策を図られている。
【特許文献１】特開２００５−２０２６２０号公報
【発明の開示】
【発明が解決しようとする課題】
【０００８】
しかしながら、従来の交換機は、交換機自体がコンピュータウィルス感染を防護する機能は付いていても、交換対象となるＩＰ電話機端末の感染を予防する機能は付加されていなかった。また、例えば、交換機がウィルス感染端末からの呼を無条件に処理した場合、かかる呼を媒介にコンピュータウィルスの感染がＩＰ電話システム全体に広がってしまうことが予想される。さらに、ＩＰ電話の場合にはＩＰ電話機能のために専用に作られた専用端末が使用されることも多いためにその仕様及び性能上の制約から必ずしもアンチウィルスソフトを実装できないという問題がある。
【０００９】
また、たとえアンチウィルスソフトを実装できたとしても、未知のコンピュータウィルスに対しては無力であるという問題がある。すなわち、ワクチンや修正プログラムなどの対策データは、コンピュータウィルスが発見され特定された後に配布されるものであり、コンピュータウィルス被害に対して常に後手に回ってしまっている。これは、コンピュータウィルスの発生からその対策に至るまでに相当の期間を要することになり、この間に急速にコンピュータウィルスがシステム全体に蔓延し、多大な被害をもたらすという問題がある。
【００１０】
本発明は以上の点に鑑みてなされたものであり、その目的は、ＩＰ電話システムにおけるコンピュータウィルスの発生を早期に判定し感染被害の拡大を未然に防止または最小限度に抑えることができるコンピュータウィルス発生判定装置、方法及びプログラムを提供することである。ここで、コンピュータウィルスの発生とは、ウィルスの感染を意味する。
【課題を解決するための手段】
【００１１】
本発明によるコンピュータウィルス感染判定方法は、複数の電話機端末とＩＰ電話機能を有する呼制御装置とを含むＩＰ電話システムにおけるコンピュータウィルス感染の有無を判定するコンピュータウィルス感染判定方法であり、該電話機端末と該呼制御装置との間で伝送される少なくとも１つの呼制御パケットを取り込む呼制御パケット取込ステップと、該呼制御パケットのデータ形態の非正常性に基づいて該電話機端末毎の感染蓋然性の高低を表す指標データを抽出する指標データ抽出ステップと、該指標データに対して所定判定条件を適用して該電話機端末毎の感染の有無を判定する感染有無判定ステップとを含むことを特徴とする。
【００１２】
本発明によるコンピュータウィルス感染判定装置は、複数の電話機端末とＩＰ電話機能を有する呼制御装置とを含むＩＰ電話システムに含まれるコンピュータウィルス感染判定装置であり、該電話機端末と該呼制御装置との間で伝送される少なくとも１つの呼制御パケットを取り込む呼制御パケット取込手段と、該呼制御パケットのデータ形態の非正常性に基づいて該電話機端末毎の感染蓋然性の高低を表す指標データを抽出する指標データ抽出手段と、該指標データに対して所定判定条件を適用して該電話機端末毎の感染の有無を判定する感染有無判定手段とを含むことを特徴とする。
【００１３】
本発明によるコンピュータウィルス感染判定プログラムは、複数の電話機端末とＩＰ電話機能を奏する呼制御装置とを含むＩＰ電話システムにおけるコンピュータウィルス感染の有無を判定する機能をコンピュータにより実現するコンピュータウィルス感染判定プログラムであり、該電話機端末と該呼制御装置との間で伝送される少なくとも１つの呼制御パケットを取り込む呼制御パケット取込手段と、該呼制御パケットのデータ形態の非正常性に基づいて該電話機端末毎の感染蓋然性の高低を表す指標データを抽出する指標データ抽出手段と、該指標データに対して所定判定条件を適用して該電話機端末毎の感染の有無を判定する感染有無判定手段とを機能させることを特徴とする。
【発明の効果】
【００１４】
本発明によるコンピュータウィルス発生判定装置、方法及びプログラムによれば、ＩＰ電話システムにおけるコンピュータウィルスの発生を早期に判定し感染被害の拡大を未然に防止することができる。
【発明を実施するための最良の形態】
【００１５】
本発明の実施例について添付の図面を参照しつつ詳細に説明する。
【００１６】
図１は、本発明の実施例を示し、本発明に係るコンピュータウィルス発生判定装置を含む全体の構成を示している。
【００１７】
ここで、ＩＰネットワーク１００に複数の電話機端末４−１〜４−ｎ（ｎは正数）が接続されている。電話機端末４−１〜４−ｎの各々は、音声呼制御装置２が提供する呼制御サービスにより他の端末とのＩＰ電話機能を奏する電話機である。ＩＰネットワーク１００、電話機端末４−１〜４−ｎ及び音声呼制御装置２によりＩＰ電話システムが構成されている。
【００１８】
音声呼制御装置２は、コンピュータウィルス発生判定装置１を介してＩＰネットワーク１００に接続されている。音声呼制御装置２は、ＩＰネットワーク１００上に発生する呼を制御する音声呼制御部２１と、該呼の経過記録（ログとも称する）を保存するログ記録部２３と、このログ記録部２３に記録されているログを参照し、同装置２１への呼接続に関して発生したエラーを判定するエラー判定部２２とを備えている。
【００１９】
コンピュータウィルス発生判定装置１は、ＩＰネットワーク１００と音声呼制御装置２とのとの間に接続され、ＩＰネットワーク１００上におけるコンピュータウィルスの発生の蓋然性を表す指標データを収集する手段として、非許可ポート通信判定部１１、呼量測定部１２、異常パケット判定部１３、およびエラー量測定部１５を備えている。また、コンピュータウィルス発生判定装置１は、これら判定部１１及び１２や測定部１３及び１５から得られた指標データに基づいてコンピュータウィルス発生の有無を総合的に判定するコンピュータウィルス発生判定部１７と、呼の発信元を識別する発信元識別部１４と、コンピュータウィルス発生判定部１７による判定結果に基づき異常と判断された呼を制限するパケットフィルタ部１６とを備えている。
【００２０】
コンピュータウィルス発生判定装置１を構成する上記に述べた各部は、各種コンピュータ上で動作するソフトウエアとして実現され得る。
【００２１】
尚、本明細書でいう「コンピュータウィルス」とは、記録媒体や通信媒体等を通じて伝達し得るプログラム、データ、或いはその組み合わせからなる電子的な情報であって、その情報の受信者が通常想定しない内容または形式のものである。例えば、害意をもって情報の受信者のコンピュータの動作を異常とする目的の情報が典型的であるが、必ずしも、害意が無くとも不本意に作成されたりまたは不本意な使用法をするなどして想定外のふるまいが起こるもの全てを含む。また、伝達形態や媒体に関して特に制約は無く、記憶媒体に存在したり、ファイルの共有や電子メールによる送信により伝達したり、通常「ワーム」と呼ばれるインターネットを介して増殖する形式のものなど、さまざまな形態が考えられる。また、伝達される個々の情報そのものは通常想定されるものであるが、その組み合わせや伝達の順番、速度などによって同様の効果を生じるものも全体としてコンピュータウィルスと呼ぶものとする。
【００２２】
また、ここでいう指標データとは、電話機端末４−１〜４−ｎと音声呼制御装置２との間で伝送される呼制御パケットのデータ形態（例えば、内容、量、または順序）の非正常性に基づいて抽出されるデータであり、電話機端末４−１〜４−ｎ毎の感染蓋然性の高低を表す指標を与えるデータである。かかる指標の選択は、ＩＰ電話を媒介としたウィルスの感染事例を基にしてなされる。感染事例としては、第１に、感染した端末において交換機に感染するように動作するタイプのウィルスがある。第２に、感染した端末において無作為に他の端末への接続を試み、成功した場合接続した端末への感染を実行するタイプのウィルスがある。第３に、感染した端末において無作為に呼を発生させ、トラフィックの輻輳を発生させるタイプのウィルスがある。第４に、感染した端末において利用者の発信番号や利用状況などを詐取するタイプのウィルスがある。
【００２３】
そこで、本実施例においては、指標データとして、ＩＰ電話システムにおいて通常は使用されない非許可ポートを使用したＴＣＰ／ＩＰ通信が行われたことを示す指標、異常なＴＣＰ／ＩＰ通信が行われたことによる異常なパケットの発生を示す指標、呼量の異常な増加を示す指標、さらに、エラー量の異常な増加等を示す指標を含むデータが選択される。
【００２４】
図２は、本実施形態に係るコンピュータウィルス発生判定装置の概略動作を示すフローチャートである。
【００２５】
先ず、ステップＳ１において、コンピュータウィルス発生判定装置１は、ＩＰネットワーク１００への接続処理を行う。該接続処理の後に、コンピュータウィルス発生判定装置１は、エラー量の測定（ステップＳ２）、非許可ポート通信の判定（ステップＳ３）、異常パケットの判定（ステップＳ４）、呼量の測定（ステップＳ５）、および発信元の電話機端末の識別（ステップＳ６）を行う。ステップＳ２〜Ｓ６の各処理においてコンピュータウィルスの発生の蓋然性を示す指標データが収集され、該指標データがコンピュータウィルス発生判定部１７に送られる。尚、図２においては、ステップＳ２〜Ｓ６の処理が並列に実行されるものとして示されているが、これら各処理は任意の順番で逐次実行されても良い。
【００２６】
次に、ステップＳ７において、コンピュータウィルス発生判定部１７は、ステップＳ２〜Ｓ６のそれぞれから得られた指標データに対して所定判定条件を適用して該電話機端末毎の感染の有無を判定する。かかる判定は、例えば、測定されたエラー量や通信量を所定の閾値と比較する処理や、統計学的な処理、装置化されたヒューリスティック（heuristics）な処理を含み得る。尚、この場合の閾値は、システム管理者が任意に設定変更できるようユーザインタフェースを設けることが好ましい。
【００２７】
次に、ステップＳ８において、コンピュータウィルス発生判定装置１の動作は、コンピュータウィルスが発生したと判定した場合にステップＳ９に移行する。そうでない場合にステップＳ２〜Ｓ６の処理に戻る。
【００２８】
次に、ステップＳ９において、コンピュータウィルス発生判定部１７は、未知コンピュータウィルスが発生したと判定した該当端末の隔離処理を行う。すなわち、コンピュータウィルス発生判定部１７は、ウィルス感染を告知する異常発生通知をパケットフィルタ部１６及び音声呼制御部２１に対して送信する。異常発生通知には、発信元識別部１４が取得した感染と判断された電話機端末のＩＰアドレス情報と電話番号とが含まれている。パケットフィルタ部１６は、かかる異常発生通知の情報に従って感染電話機端末からのパケットを遮蔽または破棄する。また、音声呼制御部２１は、ある電話機端末から感染電話機端末に向けた呼接続が要求された場合、当該呼接続を終了する呼切断処理を行うと共に、かかる接続を要求してきた電話機端末に対して接続不可である旨のメッセージをガイダンス送信部２４を通じて送信する。
【００２９】
次に、ステップＳ１０において動作終了判定を行い、終了しない場合はステップＳ２〜Ｓ６の処理を繰り返す。終了する場合には以上の一連の処理を終了する。
【００３０】
図３は、図２に示されたエラー量測定処理（ステップＳ２）のより詳細の処理手順を示している。
【００３１】
先ず、コンピュータウィルス発生判定装置１のエラー量測定部１５は、音声呼制御装置２にアクセスする（ステップＳ１１）。かかるアクセスは、ＩＰ電話システムにおいてコンピュータウィルスの発生を最先で発見できるのは呼接続を実行する音声呼制御装置２であるという理由に基づいて行われる。
【００３２】
次に、エラー量測定部１５は、音声呼制御装置２のログ記録部２３に対して、保存されているアクセスログのうちからエラーログを要求する（ステップＳ１２）。次いで、エラー量測定部１５は取得したエラーログを解析する（ステップＳ１３）。
【００３３】
エラー量測定部１５は、かかるエラーログの解析から、異質なアクセスであるか否かを判定する（ステップＳ１４）。異質なアクセスであるか否かは、メッセージ中の文字列長や特殊文字の有無を検査することで容易に判定される。例えば、異常に長い文字列や通常使用されない特殊文字などのシステム規定外のメッセージが指定されたアクセスは、異質なアクセスであると判定される。異質なアクセスでないと判定された場合にはエラー量測定処理を終了する。
【００３４】
ステップＳ１４における異質なアクセスであるか否かを判定する方法ついて、近頃問題となった「Ｎｉｍｄａ」のようなコンピュータウィルスの場合を例として補足説明する。
【００３５】
かかるコンピュータウィルスの発生があると、Ｗｅｂサーバのセキュリティホールを狙った通常とは異質なアクセスがなされ、エラーログとして記録される。かかるアクセスは、非常に長い文字列を含んだＵＲＬを送ることにより、任意のプログラムをスタックに積んで、これを、例えばＵＮＩＸ（登録商標）システムにおけるｒｏｏｔ権限の如き管理者権限で実行されることを企てるものであり、一般に「アタック（攻撃）」と呼ばれている。かかるアタックは、人間によるコマンド入力操作により行われたり、或いはプログラムにより自動的に行われたりする。
【００３６】
かかるアタックは、ＩＰ電話の場合もＷｅｂサーバのケースと同様の手法を用いて行われるものと予測される。ＩＰ電話の場合に、ＳＩＰ（Session Initiation Protocol）が呼制御のプロトコルとして広く使用されている。ＳＩＰは、ＨＴＴＰ（HyperText Transfer Protocol）と同様に端末と音声呼制御部との間でメッセージのやり取りを行うことで動作する。そこで、ＳＩＰが動作する場合におけるアタックの実行は、呼接続の一番初めにやり取りされるＩＮＶＩＴＥメッセージ（図４参照）において、通常では入り得ない大量の文字列（例えば、１２８Ｋｂｙｔｅを超える量）や特殊な文字列（例えば、％Ｓ％Ｓ％Ｓや％．４０９７ｄ等）を入れるように細工することにより行われる。
【００３７】
このようなアタックによる異質なアクセスであると判定された場合には、コンピュータウィルスが発生し、一時的にコンピュータウィルスに感染した電話機端末からのアタックによる伝送エラーが急増すると想定される。そこで、エラー量測定部１５は、単位時間あたりのエラーの異常増をエラー量測定部１５により測定し、かかる測定結果をウィルス感染の指標データとしてコンピュータウィルス発生判定部１７に供給する（ステップＳ１５）。
【００３８】
尚、図３に示されたステップＳ１４において異質なアクセスである旨判定された場合に速やかにエラー量測定処理を終了し、図２に示されたステップＳ２のコンピュータウィルス発生有無判定に移行しているが、これに移行する前にエラー量の異常増を判定しても良い。あるいは、異質なアクセスであるか否かを判定せず、単にエラーの異常増のみを判定するようにしても良い。
【００３９】
以上の実施例において、コンピュータウィルス発生判定装置１は、コンピュータウィルスがＩＰネットワーク上に発生したか否かを、コンピュータウィルス不特定のまま早期に判定することができる。すなわち、コンピュータウィルス発生判定装置１は、ウイルスの種別やその仕組みが明らかとなってワクチン等の対策データが提供される以前の状態、つまり未知コンピュータウィルスの状態でその発生を判定することができる特徴を有する。かかる特徴は、セキュリティ対策上極めて効果的であって、コンピュータウィルス感染が蔓延して被害が急速に拡大する前に適切な対策を講じることを可能としている。
【００４０】
例えば、コンピュータウィルスに感染した端末４−１がＩＰネットワーク１００を介して他の端末４−２〜４−ｎにその感染を拡大しようとした場合、かかるコンピュータウィルスの発生をコンピュータウィルス発生判定装置２によって判定することができる。さらに、該コンピュータウィルスの発生を判定した時点で、コンピュータウィルス発生判定装置２は感染したと思われる端末４−１の切り離しを行う。これにより、ＩＰ電話サービスの稼働率を最大限維持したままコンピュータウィルスの感染を抑え込むことができる。そして、当該コンピュータウィルスに関する詳細情報や対策情報が明らかとなるまでの期間に必要に応じて呼の制限を実施する運用が可能となる。
【００４１】
尚、未知コンピュータウィルスの発生が判定された場合、これが危険なコンピュータウィルスであるか否かについて最終的に人間が判断を下すように構成することもできる。これは、コンピュータウィルス発生判定部１７、パケットフィルタ部１６及び音声呼制御部２１の各々にシステム管理者等の操作介入を受け付ける機能を設けることで実現し得る。
【００４２】
尚、本発明は上述した形態に限定されず種々変形して実施可能である。例えば、ファイル感染型、マクロ感染などの既知コンピュータウィルスの判定及び対策を本発明の形態と併用することで、セキュリティ対策をより強固なものとすることができる。
【図面の簡単な説明】
【００４３】
【図１】本発明の実施例を示し、本発明に係わるコンピュータウィルス発生判定装置の概略構成を示すブロック図である。
【図２】図１に示されたコンピュータウィルス発生判定装置の概略動作を示すフローチャートである。
【図３】図２に示されたエラー量測定処理のより詳細の処理手順を示すフローチャートである。
【図４】呼制御メッセージの１例を示す図である。
【符号の説明】
【００４４】
１  コンピュータウイルス発生判定装置
２  音声呼制御装置
１１  非許可ポート通信判定部
１２  呼量判定部
１３  異常パケット判定部
１４  発信元識別部
１５  エラー量測定部
１６  パケットフィルタ部
１７  コンピュータウイルス発生判定部
２１  音声呼制御部
２２  エラー判定部
２３  ログ記録部
２４  ガイダンス送信部
４−１〜４−ｎ  電話機端末
【図１】
2007233831.tif 000003
【図２】
2007233831.tif 000004
【図３】
2007233831.tif 000005
【図４】
2007233831.tif 000006