(57)【要約】【課題】ネットワーク内で伝染するウィルスの対策を低コストにかつ確実に行う。【解決手段】このウィルス検知装置２０は、ＬＡＮ３に接続された通信端末Ａが通信を開始するにあたりブロードキャスト送信したＡＲＰリクエストパケットを受信する送受信部２２と、ＡＲＰリクエストパケットを基に送信元および宛先のアドレス情報を取得して各通信端末Ａ，Ｂのアドレス情報を記憶部２４に記憶し、ＡＲＰリクエストパケットに対して、予め設定された自身のＭＡＣアドレスＭＶを含めたＡＲＰリプライパケットを送信元の通信端末Ａへ返信し、アドレス解決後に通信端末Ａから受信されたパケットを基にウィルス検知部２６が行った結果、ウィルス感染の疑いがないとものと判定されたパケットを通信端末Ｂへ転送する制御部２３とを備える。【選択図】図１
2007243566.tif 000002
【特許請求の範囲】
【請求項１】
ネットワークに複数の通信端末とウィルス検知装置とを接続し、前記複数の通信端末が互いにネットワークを通じて通信を行うウィルス検知システムにおいて、
前記複数の通信端末の中の送信元の通信端末は、
他の通信端末との通信に先立ちアドレス解決のためのアドレス解決要求パケットをブロードキャスト送信する手段と、
前記アドレス解決要求パケットに対するアドレス解決応答パケットを受信する手段と、
受信されたアドレス解決要求パケットに含まれるアドレス情報をアドレス解決テーブルに登録する手段とを備え、
前記ウィルス検知装置は、
前記送信元の通信端末からブロードキャスト送信されたアドレス解決要求パケットを受信する手段と、
受信されたアドレス解決要求パケットを基に送信元および宛先のアドレス情報を取得して各通信端末のアドレス情報を記憶するアドレス情報記憶手段と、
受信されたアドレス解決要求パケットに対して、予め設定された自身のアドレス情報を含めたアドレス解決応答パケットを、少なくとも宛先の通信端末よりも遅く送信元の通信端末へ返信する手段と、
アドレス解決後に前記送信元の通信端末から受信されたパケットを基にウィルスチェックを行うウィルスチェック手段と、
前記ウィルスチェック手段によりウィルス感染の疑いがないとものと判定されたパケットを前記アドレス情報記憶手段に記憶された宛先の通信端末へ送信する手段とを備え、
前記複数の通信端末の中の宛先の通信端末は、
前記ネットワークからパケットを受信する手段と、
前記受信されたパケットのうち、アドレス解決要求パケットに対し、自身のアドレス情報を含むアドレス解決応答パケットを送信する手段と
を具備したことを特徴とするウィルス検知システム。
【請求項２】
ネットワークに接続された複数の通信端末が互いに通信を開始するにあたり、アドレス解決のために送信元の通信端末からブロードキャスト送信されたアドレス解決要求パケットを受信する手段と、
受信されたアドレス解決要求パケットを基に送信元および宛先のアドレス情報を取得して各通信端末のアドレス情報を記憶するアドレス情報記憶手段と、
受信されたアドレス解決要求パケットに対して、予め設定された自身のアドレス情報を含めたアドレス解決応答パケットを、少なくとも宛先の通信端末よりも遅く送信元の通信端末へ返信する手段と、
アドレス解決後に前記送信元の通信端末から受信されたパケットを基にウィルスチェックを行うウィルスチェック手段と、
前記ウィルスチェック手段によりウィルス感染の疑いがないとものと判定されたパケットを前記アドレス情報記憶手段に記憶された宛先の通信端末へ送信する手段と
を具備したことを特徴とするウィルス検知装置。
【請求項３】
ネットワークに接続された複数の通信端末が互いに通信を開始するにあたり、アドレス解決のために送信元の通信端末からブロードキャスト送信されたアドレス解決要求パケットを前記ネットワークに接続されたウィルス検知装置が受信するステップと、
前記ウィルス検知装置が、受信したアドレス解決要求パケットを基に送信元および宛先のアドレス情報を取得して各通信端末のアドレス情報を記憶するステップと、
前記ウィルス検知装置が、受信したアドレス解決要求パケットに対して、予め設定された自身のアドレス情報を含めたアドレス解決応答パケットを、少なくとも宛先の通信端末よりも遅く送信元の通信端末へ返信するステップと、
アドレス解決後に前記送信元の通信端末から前記ウィルス検知装置に受信されたパケットを基にウィルスチェックを行うステップと、
ウィルスチェックの結果、ウィルス感染の疑いがないとものと判定されたパケットを、前記ウィルス検知装置から宛先の通信端末へ送信するステップと
を有することを特徴とするウィルス検知方法。
【請求項４】
ネットワークに接続されたウィルス検知装置に処理を実行させるウィルス検知プログラムにおいて、
前記ウィルス検知装置を、
前記ネットワークに接続された複数の通信端末が互いに通信を開始するにあたり、アドレス解決のために送信元の通信端末からブロードキャスト送信されたアドレス解決要求パケットを受信する手段と、
受信されたアドレス解決要求パケットを基に送信元および宛先のアドレス情報を取得して各通信端末のアドレス情報を記憶するアドレス情報記憶手段と、
受信されたアドレス解決要求パケットに対して、予め設定された自身のアドレス情報を含めたアドレス解決応答パケットを、少なくとも宛先の通信端末よりも遅く送信元の通信端末へ返信する手段と、
アドレス解決後に前記送信元の通信端末から受信されたパケットを基にウィルスチェックを行うウィルスチェック手段と、
前記ウィルスチェック手段によりウィルス感染の疑いがないとものと判定されたパケットを前記アドレス情報記憶手段に記憶された宛先の通信端末へ送信する手段
として機能させることを特徴とするウィルス検知プログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、例えばローカルエリアネットワーク（以下、ＬＡＮと称す。）などのネットワークに接続されたコンピュータがウィルスに感染しているか否かを検知するウィルス検知システム、ウィルス検知装置およびウィルス検知方法およびウィルス検知プログラムに関する。
【背景技術】
【０００２】
ＬＡＮなどのネットワークでウィルス検知を行う枠組として、ＴＣＧ（Trusted Computing Group）の提唱するＴＮＣ（Trusted Network Connect, https://www.trustedcomputinggroup.org/downloads/TNC/）アーキテクチャがあるが、ＴＮＣは、実際の装置の実現方法までを規定したものではない。
【０００３】
実際に、ＬＡＮなどのネットワークに接続してウィルス検知を行うウィルス検知装置としては、ネットワークに挟み込み、そこを通過するパケットのコピーを入手してウィルス検知を行うパケット選別装置（特許文献１参照）や、ＨＵＢやルータなどの分岐装置のミラーリングポートに接続してウィルス検知を行う外付けのウィルス検知装置（非特許文献１参照）が知られている。
【０００４】
また、ＬＡＮとルータとの間に介在させてＬＡＮ内の機器と外部のネットワーク間の全てのトラフィックを通過させて、全てのパケットの検査を行うインライン型のウィルス検知装置もある（非特許文献２参照）。
【特許文献１】特開２００５−１５９５０１公報
【非特許文献１】学習型ネットワーク異常検知システム『FUDOKI ADP』，［2005年10月18日検索］，インターネット＜ＵＲＬ：http://www.fudoki.com/network/product_fudoki_adp.html＞
【非特許文献２】McAfee WebShield，［2005年10月18日検索］，インターネット＜ＵＲＬ：http://www.techmatrix.co.jp/products/securitウィルス検知システム/webshield/prod/ws.html＞
【発明の開示】
【発明が解決しようとする課題】
【０００５】
しかしながら、分岐装置のミラーリングポートに接続するミラーリングポート接続型のウィルス検知装置は、分岐装置の単位でしか検査できず、ネットワークに接続される全ての分岐装置をミラーリングポートを持つ特殊なものにするためには費用がかさむという問題があった。
【０００６】
また、インライン型のウィルス検知装置は、ネットワークを切り離して挟み込む必要があり、そこを通過するパケットしか検査できないため、外部のネットワークからウィルスが社内のネットワークに進入するような場合には有効であるものの、例えばネットワーク内にあるネットワーク端末がフレキシブルディスクなどの記憶媒体からウィルスに感染した場合、また、他所でウィルスに感染したモバイルＰＣをネットワークに接続された場合、同じネットワーク内の他のネットワーク端末へウィルスが拡散する場合があるという問題がある。
【０００７】
本発明はこのような課題を解決するためになされたもので、ネットワーク内で伝染するウィルスの対策を低コストにかつ確実に行うことのできるウィルス検知システム、ウィルス検知装置、ウィルス検知方法およびウィルス検知プログラムを提供することを目的としている。
【課題を解決するための手段】
【０００８】
上記した目的を達成するために、本発明のウィルス検知システムは、ネットワークに複数の通信端末とウィルス検知装置とを接続し、前記複数の通信端末が互いにネットワークを通じて通信を行うウィルス検知システムにおいて、前記複数の通信端末の中の送信元の通信端末は、他の通信端末との通信に先立ちアドレス解決のためのアドレス解決要求パケットをブロードキャスト送信する手段と、前記アドレス解決要求パケットに対するアドレス解決応答パケットを受信する手段と、受信されたアドレス解決要求パケットに含まれるアドレス情報をアドレス解決テーブルに登録する手段とを備え、前記ウィルス検知装置は、前記送信元の通信端末からブロードキャスト送信されたアドレス解決要求パケットを受信する手段と、受信されたアドレス解決要求パケットを基に送信元および宛先のアドレス情報を取得して各通信端末のアドレス情報を記憶するアドレス情報記憶手段と、受信されたアドレス解決要求パケットに対して、予め設定された自身のアドレス情報を含めたアドレス解決応答パケットを、少なくとも宛先の通信端末よりも遅く送信元の通信端末へ返信する手段と、アドレス解決後に前記送信元の通信端末から受信されたパケットを基にウィルスチェックを行うウィルスチェック手段と、前記ウィルスチェック手段によりウィルス感染の疑いがないとものと判定されたパケットを前記アドレス情報記憶手段に記憶された宛先の通信端末へ送信する手段とを備え、前記複数の通信端末の中の宛先の通信端末は、前記ネットワークからパケットを受信する手段と、前記受信されたパケットのうち、アドレス解決要求パケットに対し、自身のアドレス情報を含むアドレス解決応答パケットを送信する手段と具備したことを特徴とする。
【０００９】
本発明のウィルス検知装置は、ネットワークに接続された複数の通信端末が互いに通信を開始するにあたり、アドレス解決のために送信元の通信端末からブロードキャスト送信されたアドレス解決要求パケットを受信する手段と、受信されたアドレス解決要求パケットを基に送信元および宛先のアドレス情報を取得して各通信端末のアドレス情報を記憶するアドレス情報記憶手段と、受信されたアドレス解決要求パケットに対して、予め設定された自身のアドレス情報を含めたアドレス解決応答パケットを、少なくとも宛先の通信端末よりも遅く送信元の通信端末へ返信する手段と、アドレス解決後に前記送信元の通信端末から受信されたパケットを基にウィルスチェックを行うウィルスチェック手段と、前記ウィルスチェック手段によりウィルス感染の疑いがないとものと判定されたパケットを前記アドレス情報記憶手段に記憶された宛先の通信端末へ送信する手段とを具備したことを特徴とする。
【００１０】
本発明のウィルス検知方法は、ネットワークに接続された複数の通信端末が互いに通信を開始するにあたり、アドレス解決のために送信元の通信端末からブロードキャスト送信されたアドレス解決要求パケットを前記ネットワークに接続されたウィルス検知装置が受信するステップと、前記ウィルス検知装置が、受信したアドレス解決要求パケットを基に送信元および宛先のアドレス情報を取得して各通信端末のアドレス情報を記憶するステップと、前記ウィルス検知装置が、受信したアドレス解決要求パケットに対して、予め設定された自身のアドレス情報を含めたアドレス解決応答パケットを、少なくとも宛先の通信端末よりも遅く送信元の通信端末へ返信するステップと、アドレス解決後に前記送信元の通信端末から前記ウィルス検知装置に受信されたパケットを基にウィルスチェックを行うステップと、ウィルスチェックの結果、ウィルス感染の疑いがないとものと判定されたパケットを、前記ウィルス検知装置から宛先の通信端末へ送信するステップとを有することを特徴とする。
【００１１】
本発明のウィルス検知プログラムは、ネットワークに接続されたウィルス検知装置に処理を実行させるウィルス検知プログラムにおいて、前記ウィルス検知装置を、前記ネットワークに接続された複数の通信端末が互いに通信を開始するにあたり、アドレス解決のために送信元の通信端末からブロードキャスト送信されたアドレス解決要求パケットを受信する手段と、受信されたアドレス解決要求パケットを基に送信元および宛先のアドレス情報を取得して各通信端末のアドレス情報を記憶するアドレス情報記憶手段と、受信されたアドレス解決要求パケットに対して、予め設定された自身のアドレス情報を含めたアドレス解決応答パケットを、少なくとも宛先の通信端末よりも遅く送信元の通信端末へ返信する手段と、アドレス解決後に前記送信元の通信端末から受信されたパケットを基にウィルスチェックを行うウィルスチェック手段と、前記ウィルスチェック手段によりウィルス感染の疑いがないとものと判定されたパケットを前記アドレス情報記憶手段に記憶された宛先の通信端末へ送信する手段として機能させることを特徴とする。
【００１２】
本発明では、ネットワークに接続された複数の通信端末が互いに通信を開始するにあたり、アドレス解決のために送信元の通信端末からブロードキャスト送信されたアドレス解決要求パケットをウィルス検知装置が受信すると、ウィルス検知装置は、受信したアドレス解決要求パケットを基に送信元および宛先のアドレス情報を取得して各通信端末のアドレス情報を記憶する。
【００１３】
そして、ウィルス検知装置は、受信したアドレス解決要求パケットに対して、予め設定された自身のアドレス情報を含めたアドレス解決応答パケットを、少なくとも宛先の通信端末よりも遅く送信元の通信端末へ返信する。これにより、送信元の通信端末では、アドレス解決テーブルに既に登録されている本来の宛先の通信端末のアドレス情報がウィルス検知装置のアドレス情報に上書き、つまり書き換えられる。
【００１４】
このようにして送信元の通信端末がアドレス解決した後にアドレス解決テーブルを参照して宛先の通信端末へパケットを送信すると、そのパケットは、ウィルス検知装置によって受信されることになる。
【００１５】
ウィルス検知装置は、受信されたパケットを基にウィルスチェックを行い、ウィルスチェックの結果、ウィルス感染の疑いがないものと判定したパケットを宛先の通信端末へ送信することで、送信元の通信端末から送信されたウィルス感染のないパケットだけが宛先の通信端末へ届けられる。
【発明の効果】
【００１６】
以上説明したように本発明によれば、ネットワーク内で伝染するウィルスの対策を低コストにかつ確実に行うことができる。
【発明を実施するための最良の形態】
【００１７】
以下、本発明の実施の形態を図面を参照して詳細に説明する。
図１は本発明の一つの実施形態に係るウィルス検知システムの構成を示す図、図２は図１のウィルス検知システムのウィルス検知装置の構成を示す図である。
【００１８】
図１に示すように、このウィルス検知システムは、ワイドエリアネットワーク７（以下、ＷＡＮ７と称す。）などの外部ネットワークに接続された転送装置としてのルータ１と、このルータ１にＬＡＮ３などのネットワークおよびスイッチングハブ５（以下、ＳＷ５と称す。）を介して接続されたコンピュータなどの通信端末Ａ，Ｂ…およびウィルス検知装置２０などから構成されている。
【００１９】
ルータ１は、宛先に応じて通信を制御するものであり、ネットワーク内部、つまりＬＡＮ３から外部のＷＡＮ７への通信パケットはＷＡＮ７へ、また同じＬＡＮ３内で送受信される通信パケットは、ＬＡＮ３内部へ振り分けて伝送する。ルータ１以外の転送装置としては、ブルータ、ブリッジなどが適用可能である。
【００２０】
ＳＷ５は、ＬＡＮ３を分岐させる装置であり、通信パケットの宛先に応じて経路を切り替える機能を有している。
【００２１】
通信端末Ａ，Ｂ…は、メモリ、ＣＰＵ、ハードディスク装置などを備えた一般的にコンピュータ、ゲートウェイ装置、セットトップボックス、ＰＤＡなどを含むものである。通信端末Ａ，Ｂがコンピュータの場合、オペレーティングシステム（以下、ＯＳと称す。）の他、ウェブブラウザ、メールソフトウェアなどのプログラムがインストールされている。メモリには、ネットワーク接続のためのＡＲＰテーブルが設定される。
ＡＲＰテーブルは、ＯＳの一つの機能として予め備えられている、ＬＡＮ３における通信用に用いられるＩＰアドレスとＭＡＣアドレスとの対照表、つまりアドレス解決テーブルである。ＯＳには予め時刻を計時する時計機能が備えられている。
【００２２】
つまり、通信端末Ａ，Ｂ…は、コンピュータなどの狭義の端末という意味だけでなく、ネットワークから見た端末として、他のネットワークに接続するためのゲートウェイ装置なども含む広義の端末である。
【００２３】
ウィルス検知装置２０は、図２に示すように、ネットワーク接続部２１、送受信部２２、制御部２３、記憶部２４、ウィルス検知部２６、通信遮断部２７などを備えている。
【００２４】
ネットワーク接続部２１は、ハードウェアとしては、例えばＬＡＮインタフェースボードまたはＬＡＮインタフェースカードなどで実現され、ウィルス検知装置２０をネットワークに接続する部分である。
【００２５】
ネットワーク接続部２１は、ネットワークセグメントにブロードキャスト送信されたパケット、自らのＭＡＣアドレス（Media Access Control address）が指定されたユニキャスト送信パケットを受信し、またパケットを送信する。
【００２６】
送受信部２２は、パケットをネットワーク接続部２１を介してＬＡＮ３へ送信、またＬＡＮ３からのパケットをネットワーク接続部２１を通じて受信する。
【００２７】
送受信部２２は、ネットワークセグメントにブロードキャストされたアドレス解決要求パケット（以下、ＡＲＰ（Address Resolution Protocol）リクエストパケットと称す。）を受信してパケットの内容を解析し、必要に応じてＡＲＰリプライパケットを生成して送信元へユニキャストで返信し、新たにネットワークに接続しようとする対象端末の通信先を制御する。
【００２８】
つまり、送受信部２２は、ＬＡＮ３に接続された複数の通信端末Ａ、Ｂが互いに通信を開始するにあたり、つまり他の通信端末との通信に先立ち、アドレス解決のために送信元の通信端末Ａからブロードキャスト送信されたＡＲＰリクエストパケットを受信する手段として機能する。
【００２９】
制御部２３は、例えばＣＰＵなどで実現され、記憶部２４から読み込んだ制御プログラムに従ってこの装置の各部を統括制御する。つまり、制御部２３は、装置内の各部を制御および連携させ、対象端末がネットワークに接続しようとしてから、通信先の遮断制御（隔離）、ウィルス検知制御、必要な場合の治療、通信先の復元（隔離停止、完全接続）までの一連の処理動作を行う。
【００３０】
例えば制御部２３は、通信端末Ａから受信されたＡＲＰリクエストパケットに含まれる送信元および宛先のアドレス情報（ＩＰアドレス、ＭＡＣアドレス）を取得して各通信端末Ａ，Ｂのアドレス情報（ＩＰアドレス、ＭＡＣアドレス）を記憶部２４の端末状態テーブル２５へ記憶する。
【００３１】
つまり、この制御部２３と端末状態テーブル２５とで、受信されたアドレス解決要求パケットを基に送信元および宛先のアドレス情報（ＩＰアドレス、ＭＡＣアドレス）を取得して各通信端末Ａ，Ｂのアドレス情報を記憶するアドレス情報記憶手段が構成される。制御部２３を記憶制御部とし端末状態テーブル２５をアドレス情報記憶部としても良い。なお通信開始時には、受信パケットに含まれるべき宛先のＭＡＣアドレスは不明であり、端末状態テーブル２５の該当欄は空欄のままとなる。
【００３２】
制御部２３は、通信端末Ａから受信されたＡＲＰリクエストパケットに対して、予め記憶部２４に設定（記憶）された自身のアドレス情報の一つであるＭＡＣアドレスＭＶと、通信端末ＢのＩＰアドレスＩＢを含めたＡＲＰリプライパケットを、宛先の通信端末Ｂよりも遅く送信元の通信端末へ返信する手段として機能する。
【００３３】
制御部２３は、ウィルス検知部２６によりウィルス感染の疑いがないとものと判定されたパケットを記憶部２４から読み出し、端末状態テーブル２５を参照してパケットの宛先を決定して通信端末Ａからのパケットとして宛先（通信端末Ｂ）へ送信（転送）する手段として機能する。
【００３４】
記憶部２４は、例えばメモリなどで実現される。この記憶部２４には、制御部２３に制御動作を実行させるための制御プログラムが記憶されている。また、記憶部２４には、制御部２３がＬＡＮ３内の各通信端末Ａ、Ｂ…の状態を管理するための端末状態テーブル２５が設定（記憶）されている。
【００３５】
端末状態テーブル２５には、図３に示すように、このウィルス検知装置２０が現在通信を横取り（傍受）していること、つまりパケットを転送している送信元および宛先の通信端末のＩＰアドレスとＭＡＣアドレスと端末状態とが対応して登録される。端末状態としては、例えば停止、未チェック、検知中、検知済（未感染、異常なし）、通信遮断(感染)などのように、ウィルス検知状況を示す情報が都度設定される。
【００３６】
つまり、この端末状態テーブル２５は、各送信元毎に発生した通信イベントを登録し、通信端末からのパケット（データ）のウィルス処理状態を記憶するテーブルである。
【００３７】
ウィルス検知部２６は、ＡＲＰリプライによるアドレス解決後に送信元の通信端末Ａから受信されたパケットを基にウィルスチェックを行うウィルスチェック手段として機能する。
【００３８】
具体的には、ウィルス検知部２６は、対象端末Ａ，Ｂ…の間の通信を解析して、振る舞い検知、パターン検知などの手段でウィルス感染を検出（または検知）する。
【００３９】
振る舞い検知とは、予め設定されたウィルスによる通信の挙動パターンと同様な挙動を対象端末Ａ，Ｂ…が行っているかどうかを判定することである。通信の挙動パターンとは、対象端末Ａ，Ｂ…の特定のポートからデータが大量に送信されているなどの挙動である。
【００４０】
パターン検知とは、予め設定されたウィルスパターンのデータが通信されるパケットに含まれているか否かを検出することである。この他にもウィルス検知の方法はあり、本願発明は、ウィルス検知の仕方に限定されるものではない。
【００４１】
通信遮断部２７は、制御部２３により制御されて、パケットを送信する端末の通信を遮断する。
【００４２】
例えば制御部２３が横取りしたパケットを検査した結果、パケットがウィルスに感染していないと判断している間、通信遮断部２７は、該当パケットを通過させる一方、対象端末がウィルスに感染していると判断した場合に、横取りしたパケットを送信する端末の通信を遮断する。
【００４３】
次に、図４，図５を参照してこの実施形態のウィルス検知システムの動作を説明する。なお、動作説明を判りやすくするために、通信端末Ａは、ネットワークに新たに接続しようとする端末であるものとし、通信端末Ｂは、既にネットワークに接続して動作している端末であるものとする。また、通信端末Ａが有するＭＡＣアドレスをＭＡ、割り当てられたＩＰアドレスをＩＡ、通信端末ＢのＭＡＣアドレスをＭＢ、ＩＰアドレスをＩＢ、ウィルス検知装置２０のＭＡＣアドレスをＭＶ、ＩＰアドレスをＩＶとする。
【００４４】
この実施形態のウィルス検知システムの場合、通信端末ＡがＬＡＮ３に接続し、ＩＰアドレスＩＢを持つ通信端末Ｂと通信を始めようとする際には、通信端末Ａは、通信端末ＢのＭＡＣアドレスＭＢを知る必要がある。そこで、通信端末Ａは、まずＡＲＰリクエストパケットをブロードキャスト送信する（図５のＳ１０１）。
【００４５】
このときのＡＲＰリクエストパケットは、図４に示すように、宛先ＭＡＣアドレス（ブロードキャスト「ＦＦ ＦＦ ＦＦ ＦＦ ＦＦ ＦＦ」）、送信元ＭＡＣアドレス（ＭＡ）「００ １２ ３４ ５６ ７８ ９Ａ」をヘッダ情報として、ＡＲＰ｛プロトコルタイプ、ハードウェアタイプ、プロトコルタイプ、ＭＡＣアドレス長、ＩＰアドレス長、オペレーションコード、送信元ＭＡＣアドレス（ＭＡ）、送信元ＩＰ部トレス（ＩＡ）、宛先ＭＡＣアドレス（  ）、宛先ＩＰアドレス（ＩＢ）｝を含むイーサネット(登録商標）フレームである。
【００４６】
これにより、ＬＡＮ３に接続している通信端末は、通信端末Ｂだけに限らず全ての端末（この例の場合、通信端末Ｂとウィルス検知装置２０が該当）がＡＲＰリクエストパケットを受信して、通信端末Ａの各アドレスＩＡ，ＭＡを認識することになる。
【００４７】
通信端末ＢがＡＲＰリクエストパケットを受信すると（Ｓ１０２）、その応答として、自身のＩＰアドレスＩＢとＭＡＣアドレスＭＢを含むＡＲＰリプライパケットを生成し、送信元へユニキャスト送信する（Ｓ１０３）。
【００４８】
通信端末Ａは、通信端末Ｂから受信したＡＲＰリプライパケットに含まれる通信端末ＢのＩＰアドレスＩＢとＭＡＣアドレスＭＢを自身のＡＲＰテーブルに登録することで（Ｓ１０４）、アドレス解決し、通信端末Ｂとの通信が可能になる。
【００４９】
一方、ウィルス検知装置２０では、ネットワーク接続部２１を通じて送受信部２２がＡＲＰリクエストパケットを受信すると（Ｓ１０５）、制御部２３は、ＡＲＰリクエストパケットより抽出した通信端末ＡのＩＰアドレスＩＡとＭＡＣアドレスＭＡを自身の端末状態テーブル２５の送信元の欄に登録する（Ｓ１０６）。
【００５０】
このとき、制御部２３は、ＡＲＰリクエストパケットの送信先ＭＡＣアドレスをチェックし、宛先ＭＡＣアドレスが既知か未知かを判定する（Ｓ１０７）。
【００５１】
この場合、ＡＲＰリクエストパケットの宛先ＭＡＣアドレスは空欄（  ）、つまりＮＵＬＬのため、制御部２３は、宛先ＭＡＣアドレスが未知と判定し（Ｓ１０７のＹｅｓ）、通信端末ＢへのＡＲＰリクエストパケットを生成してブロードキャスト送信する（Ｓ１０８）。
【００５２】
ウィルス検知装置２０からのＡＲＰリクエストパケットを通信端末Ｂが受信すると（Ｓ１０９）、その応答として、自身のＩＰアドレスＩＢとＭＡＣアドレスＭＢを含むＡＲＰリプライパケットを生成し、送信元のウィルス検知装置２０へユニキャスト送信する（Ｓ１１０）。
【００５３】
一方、ウィルス検知装置２０からのＡＲＰリクエストパケットは、通信端末Ａにも受信されるが（Ｓ１１１）、通信端末Ａは、パケットを解析した結果、自身に宛てられたものではないため、その受信パケットを廃棄する（Ｓ１１２）。
【００５４】
ウィルス検知装置２０では、ネットワーク接続部２１を通じて送受信部２２が通信端末ＢからのＡＲＰリプライパケットを受信すると（Ｓ１１３）、制御部２３は、ＡＲＰリプライパケットより抽出した通信端末ＢのＩＰアドレスＩＢとＭＡＣアドレスＭＢを、端末状態テーブル２５の通信端末Ａの通信パケットの宛先の欄へ登録する（Ｓ１１４）。
【００５５】
通信端末ＢのＭＡＣアドレスを得た制御部２３は、通信端末ＡからのＡＲＰリクエストパケットに対する応答として、通信端末Ｂから得たＩＰアドレスＩＢと予め設定されている自身のＭＡＣアドレスＭＶを含むＡＲＰリプライパケットを生成し、通信端末Ｂから通信端末ＡへのＡＲＰリプライパケットよりも遅延させて、送信元の通信端末Ａへユニキャスト送信する（Ｓ１１５）。
【００５６】
このように通信端末Ｂから通信端末ＡへのＡＲＰリプライパケットよりも遅延させて通信端末ＡへＡＲＰリプライパケットを送ることで、通信端末Ａに設定されているＡＲＰテーブルの通信端末Ｂの情報を書き換えることができる。
【００５７】
但し、あまり遅くなりすぎると、アドレス解決した通信端末Ａが通信端末Ｂへパケットを送り始めてしまうため、この遅延時間を最適に設定することが重要である。
【００５８】
通信端末ＡへＡＲＰリプライパケットを送信するのとほぼ同時に、制御部２３は、端末状態テーブル２５の通信端末Ａの状態を「ウィルス検査中」へ変更する（Ｓ１１６）。
【００５９】
通信端末Ａは、ウィルス検知装置２０からのＡＲＰリプライパケットを受信すると（Ｓ１１７）、ウィルス検知装置２０から受信したＡＲＰリプライパケットに含まれるＩＰアドレスＩＢとＭＡＣアドレスＭＶを抽出し、既にＡＲＰテーブルに設定されている宛先（通信端末Ｂ）の情報欄に上書き登録する（Ｓ１１８）。
【００６０】
これにより、通信端末Ａの通信相手が通信端末Ｂではなくウィルス検知装置２０として登録され、通信端末Ａからのパケットをウィルス検知装置２０が受信可能になる。
【００６１】
したがって、アドレス解決後、通信端末Ａが、通信端末Ｂ宛（通信端末ＢのＩＰアドレス）でデータ（パケット）を送信すると、ウィルス検知装置２０のネットワーク接続部２１を通じて送受信部２２が通信端末Ａからのデータを受信する。
【００６２】
そして、制御部２３は、送受信部２２により受信された受信データを記憶部２４に一時記憶すると共にウィルス検知部２６に渡し、ウィルス検知部２６にウィルス検知処理を行わせる（Ｓ１２１）。
【００６３】
ウィルス検知部２６によるウィルス検知処理で受信データからウィルスが検知された場合（Ｓ１２２のＹｅｓ）、制御部２３は、通信遮断部２７を制御して、端末状態テーブル２５に登録されている通信端末Ａと通信端末Ｂとの通信を遮断すると共に（Ｓ１２３）、該当端末あるいは所定の端末へウィルス感染の旨の警報を出力する。
【００６４】
一方、ウィルス検知部２６によるウィルス検知処理で受信データからウィルスが検知されなかった場合（Ｓ１２２のＮｏ）、制御部２３は、記憶部２４に一時記憶しておいた受信データを読み出し、端末状態テーブル２５を参照してデータの宛先（通信端末Ｂ）のＭＡＣアドレスＭＢを設定したパケットを生成し、通信端末Ｂへ転送する（Ｓ１２４）。つまり制御部２３は、ウィルスが検知されない間、通信端末Ａから受信されたデータ（パケット）を中継する形で通信端末Ｂへ送る。
【００６５】
通信端末Ｂは、ウィルス検知装置２０からのデータ（パケット）を通信端末Ａからのデータとして受信する（Ｓ１２５）。
【００６６】
ウィルス検知装置２０では、ウィルス検知処理を行った後、通信端末Ａと通信端末Ｂとの通信に異常が検出されなかった場合、制御部２３は、所定のタイミングで通信傍受の状態をリセットする（Ｓ１２６）。通信傍受の状態とは、通信端末Ａと通信端末Ｂ間の通信を中継している状態である。
【００６７】
リセットとは、通信端末Ａと通信端末Ｂ間の通信を中継しない正常な通信状態に戻すことと、端末状態テーブル２５の該当通信のレコードを削除することである。正常な通信状態に戻すには、ウィルス検知装置２０から通信端末Ｂの正規のＩＰアドレスＩＢと正規のＭＡＣアドレスＭＢを含むＡＲＰリプライリクエストを生成して通信端末Ａへ送り、通信端末ＡのＡＲＰテーブルを通信端末Ｂの正規のＭＡＣアドレスＭＢで上書き登録することである。
【００６８】
リセットのタイミングを所定のタイミングにするのは、一回の通信を検査した程度ではウィルスが感染している状態かいなかを判定できない場合に、複数回の通信または所定時間だけ通信端末Ａ，Ｂ間の通信をウィルス検知装置２０が傍受してウィルスチェックするためである。
【００６９】
このようにこの実施形態のウィルス検知システムによれば、ウィルス検知装置２０を、ＬＡＮ３（ブロードキャストリクエストが行われるネットワークのセグメント）の任意の位置（ＳＷ５）に接続して、ウィルス感染が疑われるとき、または定期的なウィルス検査時などにウィルス検知装置２０を動作させると、同じネットワーク内の任意の通信をウィルス検知装置２０が中継しつつウィルス検知動作を実行し、ウィルス検出時には通信遮断を行うので、既存のネットワーク構成を変えることなく、同じネットワーク内のすべてのネットワーク端末のウィルスを検知できるようになる。
【００７０】
この結果、ＬＡＮ３に一台のウィルス検知装置２０を備えるだけで、ネットワーク内におけるウィルス感染の脅威を回避でき、安全性を確保できる。
【００７１】
なお、本発明は上記実施形態のみに限定されるものではない。以下のような変形が可能である。
【００７２】
図６を参照してウィルス検知装置２０の第１変形例について説明する。上記実施形態では、新たな通信端末ＡがＬＡＮ３に接続されたときに、ウィルスチェックを実施したが、以下では、予め設定されたスケジュールに基づいてウィルスチェックを実施する第１変形例について説明する。なお、上記実施形態と同様の構成には同一の符号を付しその説明は省略する。
【００７３】
図６に示すように、この第１変形例のウィルス検知装置２０は、記憶部２４にスケジュールテーブル２７が記憶されている。スケジュールテーブル２７には、例えば毎日夜間２：００などのウィルスチェック開始時間または一定のウィルスチェック時間帯（２：００−４：００）などの定期監視情報、または定量監視情報が設定されている。
【００７４】
この場合、ウィルス検知装置２０の制御部２３は、スケジュールテーブル２７を参照し、ウィルスチェック開始時間または一定のウィルスチェック時間帯が、ＯＳの時計機能による時刻に達した場合、ウィルスチェックを開始するため、図４に示したネットワーク上におけるブロードキャスト送信によるＡＲＰリクエストパケットの受信を開始する（Ｓ１０５以降の処理）。
また、制御部２３は、ウィルスチェック開始時間に達したことで、ウィルスチェックが開始されてから一定量のデータをウィルスチェックした場合、ウィルスチェックを終了させる。
【００７５】
この第１変形例では、ネットワーク負荷が集中する昼間の時間帯を避けてウィルスチェックを実行できる。
ここで、図７を参照してスケジュールテーブル２７による具体的な定期監視動作について説明する。
図７はＬＡＮ３上の複数の通信端末Ａ−Ｄに対してウィルス検知装置２０が行う定期監視動作を示すタイミングチャートであり、常時稼動している通信端末を通信端末Ａ、定期稼動する通信端末を通信端末Ｂ、不定期稼動の通信端末を通信端末Ｃ、Ｄとした場合に、これら複数の通信端末Ａ−Ｄに対してウィルス検知装置２０がいつ監視を行うかを示すものである。
【００７６】
通信端末Ａは常時稼動であるので、定期監視期間中のみ監視を受ける。通信端末Ｂは定期的に稼動し、起動するのが定期監視期間中であるが、起動してから一定時間監視を受けるため、監視終了は定期監視期間後になる。
【００７７】
通信端末Ｃは、不定期稼動であり、この図７では定期監視期間外に起動したため、その時点から一定時間監視を受けることになる。
【００７８】
通信端末Ｄも不定期稼動であるものの定期監視期間外に一度起動して一定時間の監視を受けたため、次の定期監視期間までに一旦停止、再起動したときには監視されず、次の定期監視期間に監視を受ける。
【００７９】
この例のような定期監視動作では、通信横取り型のウィルス検知装置２０を定期監視動作させることにより、ＬＡＮ３上の全通信端末Ａ−Ｄについて定期的に一定時間のウィルス監視を行いながら、不定期稼動端末を監視する時間帯を分散させることができる。
【００８０】
したがって、この例のスケジュールによる定期監視動作では、図２に示したものよりも通信速度の低下を抑えつつ定期的ウィルス監視の効果を得ることができる。
【００８１】
なお、図２に示したようにスケジュールテーブル２７を持たないウィルス検知装置２０についても監視開始のためのコマンドを入力することにより通常動作させることはできるので、ウィルス感染が疑われるときには、手動で通常動作させることが好ましい。
【００８２】
次に、図８を参照して具体的な定量監視動作について説明する。
上記定期監視動作の例では、各通信端末Ａ−Ｄを一定時間監視するのが基本動作であったが、図８に示す定量視動作の例では、監視期間を通信量で決めることにする。
【００８３】
すなわち、例えば夜間のある時刻にウィルス検知装置２０がネットワークの監視を始め、各通信端末Ａ−Ｄが一定量の送受信を行うまで監視を続け、通信量が一定値に達したところで監視対象から外す。監視開始時に動作していなかった通信端末については、通信を始めてから一定量の通信を行うまでを、監視対象期間とする。
【００８４】
図８はこの定量監視動作のタイミングチャートを示す図であり、常時稼動の通信端末を通信端末Ａ、定期稼動の通信端末を通信端末Ｂ、不定期稼動の通信端末を通信端末Ｃ，Ｄとし、これらの通信端末Ａ−Ｄに対し、いつ監視を行うかを示すものである。
通信端末Ａは常時稼動であるので、定期監視開始時から一定量の送受信を行うまで監視を受ける。監視開始は定期的だが、監視される時間は通信量に依存するので、一般には毎回異なる。通信端末Ｂは定期的に稼動し、起動するのが定期監視開始後である。監視時間は毎回異なる。
【００８５】
通信端末Ｃは不定期稼動の端末であり、起動時点から一定量の送受信を行うまで監視を受ける。通信端末Ｄも不定期稼動であるものの定期監視開始後に一度起動して一定量の監視を受けたため、次の定期監視開始までに一旦停止、再起動した時には監視されず、次の定期監視開始時から監視を受ける。むろん、それぞれの通信端末Ａ−Ｄが通信する相手の端末は、同時に監視対象となる。
【００８６】
この定量監視動作の例では、監視期間内の通信量が少ない通信端末に対しても充分なウィルス検知を行うことができる。
【００８７】
次に、図９を参照してウィルス検知装置２０の第２変形例について説明する。上記第１変形例では、記憶部２４にスケジュールテーブル２７を設定することで、ネットワーク負荷が集中しない夜間の時間帯にウィルスチェックを実行する例について説明したが、この第２変形例では、ウィルス検知部２６をウィルス検知装置２０とは別のハードウェアまたはネットワークサービスとして実現する例について説明する。
【００８８】
上記図２および図６に示した例では、ウィルス検知装置２０にウィルス検知部２６を内蔵した構成について説明したが、ウィルス検知部２６をウィルス検知装置２０の外部に設けても良い。
【００８９】
すなわち、図９に示すように、この第２変形例は、ウィルス検知装置２０の外部にウィルス検知部２６を備える。この例のウィルス検知部２６は、ＬＡＮ３に接続された専用のハードウェアでも良く、また、ＷＡＮ７上のウィルス検知サービスを提供するサーバであっても良い。
【００９０】
この例では、図５に示したＳ１１８の処理でウィルス検知装置２０が通信端末ＡのＡＲＰテーブルを自身のＭＡＣアドレスＭＶで上書き処理して通信端末Ａ，Ｂ間の通信の傍受を開始してから通信端末Ａからのパケットが受信されたときに、ウィルス検知装置２０の制御部２３は、受信パケットを外部のウィルス検知部２６へ送信してウィルスチェックを依頼し、この依頼に対してウィルス検知部２６から返信されてきたウィルスチェック結果、つまりウィルス検知の有無に応じて通信を遮断または通信端末Ｂへパケットを転送する。
【００９１】
この第２変形例では、ウィルス検知装置２０の外部にウィルス検知部２６を設けたことで、ウィルス検知部２６として汎用のものを利用すること、機能変更などが容易になり、例えば常に最新のウィルスチェックプログラム、ウィルスチェック機能またはウィルス検出パターンでウィルスチェックを行うことができる。
【図面の簡単な説明】
【００９２】
【図１】本発明の一つの実施形態のウィルス検知システムの構成を示す図である。
【図２】図１のウィルス検知システムのウィルス検知装置の構成を示す図である。
【図３】図２のウィルス検知装置の端末状況テーブルを示す図である。
【図４】ＬＡＮに新たに接続した通信端末Ａが、既にＬＡＮ３に接続している通信端末Ｂに対して通信するためにブロードキャストするＡＲＰリクエストパケットを示す図である。
【図５】このウィルス検知システムの動作を示すフローチャートである。
【図６】ウィルス検知装置の第１変形例を示す図である。
【図７】第１変形例において、定期監視動作を行う場合のタイミングチャートである。
【図８】第１変形例において、定量監視動作を行う場合のタイミングチャートである。
【図９】ウィルス検知装置の第２変形例を示す図である。
【符号の説明】
【００９３】
１…ルータ、３…ローカルエリアネットワーク（ＬＡＮ）、５…スイッチングハブ（ＳＷ）、７…ワイドエリアネットワーク（ＷＡＮ）、２０…ウィルス検知装置、２１…ネットワーク接続部、２２…送受信部、２３…制御部、２４…記憶部、２５…端末状態テーブル、２６…ウィルス検知部、２７…通信遮断部、２７…スケジュールテーブル、Ａ，Ｂ，Ｃ，Ｄ…通信端末。
【図１】
2007243566.tif 000003
【図２】
2007243566.tif 000004
【図３】
2007243566.tif 000005
【図４】
2007243566.tif 000006
【図５】
2007243566.tif 000007
【図６】
2007243566.tif 000008
【図７】
2007243566.tif 000009
【図８】
2007243566.tif 000010
【図９】
2007243566.tif 000011