(57)【要約】【課題】  大規模ネットワークに対しても好適に利用可能であり、少ない情報でワームに感染した通信を判定する。【解決手段】  ワーム判定装置６は、例えば、スイッチングハブの機能を有するものであり、ネットワーク接続口である５つの物理ポートａ〜ｅと、通信情報取得手段３と、ワーム判定手段４とを有している。通信情報取得手段３は、物理ポートａに出力されるＩＣＭＰ  Ｔｙｐｅ３（宛先到達不能メッセージ）パケットを取得する。ワーム判定手段４は、通信情報取得手段３により取得された送信元ＭＡＣアドレス毎のＩＣＭＰ  Ｔｙｐｅ３パケット情報および通信がワームによりなされた通信か否かを判定する判定基準に基づいて、通信がワームによりなされた通信か否かを判定する。【選択図】  図１
2007013263.tif 000002
【特許請求の範囲】
【請求項１】
ネットワークに接続された所定のネットワークセグメントに係る通信を監視して、前記通信がワームによりなされた通信か否かを判定するワーム判定プログラムにおいて、
コンピュータを、
送信元ＭＡＣアドレス毎に、パケットの宛先アドレス不在信号に係る情報を取得する通信情報取得手段、
前記通信情報取得手段により取得された前記パケットの宛先アドレス不在信号に係る情報および前記通信がワームによりなされた通信か否かを判定する判定基準に基づいて、前記通信がワームによりなされた通信か否かを判定するワーム判定手段、
として機能させることを特徴とするワーム判定プログラム。
【請求項２】
前記宛先アドレス不在信号は、前記ＭＡＣアドレスを有する送信元から出力された信号に対する応答信号であることを特徴とする請求項１記載のワーム判定プログラム。
【請求項３】
前記宛先アドレス不在信号は、前記ＭＡＣアドレスを有する送信元から出力されたＩＣＭＰのエコー要求に対する応答信号であることを特徴とする請求項１記載のワーム判定プログラム。
【請求項４】
前記通信情報取得手段は、前記パケットのヘッダ部分の情報を取得することを特徴とする請求項１記載のワーム判定プログラム。
【請求項５】
前記ワーム判定手段は、
単位時間当たりの前記宛先アドレス不在信号の出現回数が所定値以上のとき、前記通信がワームによりなされた通信であると判定することを特徴とする請求項１記載のワーム判定プログラム。
【請求項６】
前記送信元ＭＡＣアドレス毎に、前記所定値を設定し得ることを特徴とする請求項５記載のワーム判定プログラム。
【請求項７】
前記ワーム判定手段により前記通信がワームによりなされた通信と判定された場合に、前記ワームによりなされる通信を遮断する通信遮断手段を有することを特徴とする請求項１記載のワーム判定プログラム。
【請求項８】
ネットワークに接続された所定のネットワークセグメントに係る通信を監視して、前記通信がワームによりなされた通信か否かを判定するワーム判定方法において、
通信情報取得手段が、送信元ＭＡＣアドレス毎に、パケットの宛先アドレス不在信号に係る情報を取得し、
ワーム判定手段が、前記通信情報取得手段により取得された前記パケットの宛先アドレス不在信号に係る情報および前記通信がワームによりなされた通信か否かを判定する判定基準に基づいて、前記通信がワームによりなされた通信か否かを判定する、
ことを特徴とするワーム判定方法。
【請求項９】
ネットワークに接続された所定のネットワークセグメントに係る通信を監視して、前記通信がワームによりなされた通信か否かを判定するワーム判定装置において、
送信元ＭＡＣアドレス毎に、パケットの宛先アドレス不在信号に係る情報を取得する通信情報取得手段と、
前記通信情報取得手段により取得された前記パケットの宛先アドレス不在信号に係る情報および前記通信がワームによりなされた通信か否かを判定する判定基準に基づいて、前記通信がワームによりなされた通信か否かを判定するワーム判定手段と、
を有することを特徴とするワーム判定装置。
【請求項１０】
さらに、前記ネットワークに接続される複数の物理ポートを有し、
前記物理ポート毎に、前記ワーム判定手段によるワーム判定を実行するか否かを設定し得ることを特徴とする請求項９記載のワーム判定装置。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明はワーム判定プログラム、ワーム判定方法およびワーム判定装置に関し、特に、ネットワークに接続された所定のネットワークセグメントに係る通信を監視して、通信がワームによりなされた通信か否かを判定するワーム判定プログラム、ワーム判定方法およびワーム判定装置に関する。
【背景技術】
【０００２】
他のプログラムに依存せず、自己増殖を目的とした不正プログラムであるワームを判定する方法が知られている。
この判定方法の一例として、ＬＡＮ（Local Area Network）に存在しないサブネットワークに所定回数以上アクセスしているか否かでワーム感染端末を判定する方法が知られている（例えば、特許文献１、２参照）。
【０００３】
特許文献１、２では、通信アクセスした宛先ＩＰ（Internet Protocol）アドレスが、ネットワーク構成ＤＢ内に存在しない場合、送信元端末がＬＡＮに存在しないサブネットワークにアクセスしていると判断している。ここでネットワーク構成ＤＢとは、ネットワーク境界のＩＰアドレスやネットワーク内の端末のＩＰアドレス、およびネットワークがどのように接続されているか、などを管理しているＤＢである。
【０００４】
また、ワームを判定する他の方法として、ワームがランダムにスキャンを行う特徴に着目してワームによる通信を特定するために、ＩＣＭＰ（Internet Control Message Protocol）プロトコルのタイプに３（Destination Unreachable）がセットされたメッセージ、すなわちＩＣＭＰ  Ｔｙｐｅ３メッセージのパケット情報を利用する方法が知られている（例えば、非特許文献１参照）。
【０００５】
非特許文献１では、ＩＣＭＰ  Ｔｙｐｅ３のパケットのペイロード部分の情報、すなわち宛先ＩＰアドレス、送信元ＩＰアドレス、宛先ポート、プロトコルなどの情報を取得し、１つの送信元ＩＰアドレスから単位時間当たりに同じ宛先ポートに対して、宛先ＩＰアドレスの種類数が所定数以上ある場合に、その送信元ＩＰアドレスからの通信がワームであると判定している。
【特許文献１】特開２００５−５６２４３号公報
【特許文献２】特開２００５−５６２５０号公報
【非特許文献１】George Bakos and Vincent Berk, "Early Detection of Internet Worm Activity by Metering ICMP Destination Unreachable Messages", Proceedings of the SPIE Aerosense 2002
【発明の開示】
【発明が解決しようとする課題】
【０００６】
しかしながら、特許文献１、２に記載のワーム判定方法は、ネットワーク構成ＤＢを予め用意しておく必要があり、これは、ネットワーク構成が変わりやすい大規模ネットワークには適さないという問題があった。また、非特許文献１に記載のワーム判定方法は、ＩＣＭＰパケットのペイロード部分を参照する必要があり、特に、判定方法が複雑であるという問題があった。さらに、判定を行うために多くの情報が必要となり、その結果通信のログデータに記録すべき内容が複雑になってしまうという問題があった。
【０００７】
本発明はこのような点に鑑みてなされたものであり、大規模ネットワークに対しても好適に利用可能であり、少ない情報でワームに感染した通信を判定することができるワーム判定プログラム、ワーム判定方法およびワーム判定装置を提供することを目的とする。
【課題を解決するための手段】
【０００８】
本発明では上記問題を解決するために、図１に示すようなワーム判定プログラムが提供される。本発明に係るワーム判定プログラムは、ネットワーク１に接続されたネットワークセグメント２に係る通信を監視して、その通信がワームによりなされた通信か否かを判定するプログラムである。ワーム判定プログラムを実行するコンピュータは以下の機能を有する。
【０００９】
通信情報取得手段３は、送信元ＭＡＣ（Media Access Control）アドレス毎に、パケットの宛先アドレス不在信号に係る情報を取得する。ワーム判定手段４は、通信情報取得手段３により取得されたパケットの宛先アドレス不在信号に係る情報および通信がワームによりなされた通信か否かを判定する判定基準に基づいて、通信がワームによりなされた通信か否かを判定する。
【００１０】
このようなワーム判定プログラムによれば、通信情報取得手段３により、送信元ＭＡＣアドレス毎に、パケットの宛先アドレス不在信号に係る情報が取得される。次に、ワーム判定手段４により、通信情報取得手段３により取得されたパケットの宛先アドレス不在信号に係る情報および通信がワームによりなされた通信か否かを判定する判定基準に基づいて、通信がワームによりなされた通信か否かが判定される。
【００１１】
また、上記課題を解決するために、ネットワークに接続された所定のネットワークセグメントに係る通信を監視して、前記通信がワームによりなされた通信か否かを判定するワーム判定方法において、通信情報取得手段が、送信元ＭＡＣアドレス毎に、パケットの宛先アドレス不在信号に係る情報を取得し、ワーム判定手段が、前記通信情報取得手段により取得された前記パケットの宛先アドレス不在信号に係る情報および前記通信がワームによりなされた通信か否かを判定する判定基準に基づいて、前記通信がワームによりなされた通信か否かを判定する、ことを特徴とするワーム判定方法が提供される。
【００１２】
このようなワーム判定方法によれば、通信情報取得手段により、送信元ＭＡＣアドレス毎に、パケットの宛先アドレス不在信号に係る情報が取得される。次に、ワーム判定手段により、通信情報取得手段により取得されたパケットの宛先アドレス不在信号に係る情報および通信がワームによりなされた通信か否かを判定する判定基準に基づいて、通信がワームによりなされた通信か否かが判定される。
【００１３】
また、上記問題を解決するために、ネットワークに接続された所定のネットワークセグメントに係る通信を監視して、前記通信がワームによりなされた通信か否かを判定するワーム判定装置において、送信元ＭＡＣアドレス毎に、パケットの宛先アドレス不在信号に係る情報を取得する通信情報取得手段と、前記通信情報取得手段により取得された前記パケットの宛先アドレス不在信号に係る情報および前記通信がワームによりなされた通信か否かを判定する判定基準に基づいて、前記通信がワームによりなされた通信か否かを判定するワーム判定手段と、を有することを特徴とするワーム判定装置が提供される。
【００１４】
このようなワーム判定装置によれば、通信情報取得手段により、送信元ＭＡＣアドレス毎に、パケットの宛先アドレス不在信号に係る情報が取得される。次に、ワーム判定手段により、通信情報取得手段により取得されたパケットの宛先アドレス不在信号に係る情報および通信がワームによりなされた通信か否かを判定する判定基準に基づいて、通信がワームによりなされた通信か否かが判定される。
【発明の効果】
【００１５】
本発明によれば、送信元ＭＡＣアドレス毎に、パケットの宛先アドレス不在信号を取得することにより、ワームによりなされた通信か否かの判定を行うことができるため、少ない情報でワームによりなされた通信か否かを判定することができる。
【００１６】
また、宛先アドレス不在信号に係る情報を取得することにより、ワーム判定手段は、ネットワーク構成ＤＢを用いなくても送信元端末がネットワークに存在しないサブネットワークにアクセスしているか否かを判定することができるため、ネットワーク構成が変化しやすい大規模ネットワークに対しても好適に利用することができる。
【発明を実施するための最良の形態】
【００１７】
以下、本発明の実施の形態を図面を参照して詳細に説明する。
まず、実施の形態に適用される発明の概要について説明し、その後、実施の形態の具体的な内容を説明する。
【００１８】
図１は、ワーム判定装置の概念について説明する概念図である。
ワーム判定システム３００は、サーバ装置やクライアント装置などを少なくとも１つ以上含むネットワークセグメント、すなわち２つのネットワークセグメント２およびネットワークセグメント５が、ワーム判定装置６およびルータ（router）８を介してネットワーク１に接続された構成となっている。ここで、ネットワーク１は、インターネット、イントラネット、ＩＳＰ（Internet Services Provider）のネットワークを含む概念である。
【００１９】
ワーム判定装置６は、例えば、スイッチングハブ（Switching Hub）の機能を有するものであり、ネットワーク接続口である１つ以上の物理ポート（図１では５つの物理ポートａ〜ｅ）と、通信情報取得手段３と、ワーム判定手段４とを有している。
【００２０】
ネットワークセグメント２は、端末２ａ、端末２ｂと、端末２ａおよび端末２ｂが接続されるＨＵＢ７とを有している。
ＨＵＢ７は、ワーム判定装置６に接続されている。このように、物理ポートａ〜ｅにはＨＵＢ７等の集線装置を介して複数の端末が接続される。
【００２１】
物理ポートａ〜ｅに入力されるパケットは、ワーム判定装置６に設けられた通信情報取得手段３によって監視されており、例えば、物理ポートａ以外から物理ポートａを介した端末２ａへの通信は、物理ポートａに入力されるパケットを通信情報取得手段３が監視して、ワーム判定手段４が、その通信パケットによる通信がワームによりなされた通信であるか否かを判定する。ただし、物理ポートａを介さずにＨＵＢ７を介して端末２ｂから端末２ａへの通信は物理ポートａでは監視しない。
【００２２】
具体的には、通信情報取得手段３は、物理ポートａに出力されるＩＣＭＰ  Ｔｙｐｅ３（宛先到達不能メッセージ）パケットを取得する。
このＩＣＭＰ  Ｔｙｐｅ３パケットは、ルータ８等の中継ノードが、何らかの要因によってパケットを送信できない状況になった場合、送信元のＭＡＣアドレスに対して送信するメッセージを含むパケットである。
【００２３】
ワーム判定手段４は、取得した情報に基づいて、ネットワークセグメント２内から他のネットワークセグメント（図１ではネットワークセグメント５やネットワーク１）内のコンピュータに対してワームの攻撃がなされているか否かを判定する。
【００２４】
ここで、ワームに感染した場合に生じる通信パケットの単位時間当たりのパケット数の変化は顕著に現れるため、このワーム判定装置６においては、検出対象が、容易かつ効率的にワームを検出することができる。
【００２５】
以下、本発明の実施の形態を具体的に説明する。
図２は、ワーム判定装置のハードウェア構成例を示す図である。
ワーム判定装置１００は、ＣＰＵ（Central Processing Unit）１０１によって装置全体が制御されている。ＣＰＵ１０１には、バス１０７を介してＲＡＭ（Random Access Memory）１０２、ハードディスクドライブ（ＨＤＤ:Hard Disk Drive）１０３、グラフィック処理装置１０４、入力インタフェース１０５、および通信インタフェース１０６が接続されている。
【００２６】
ＲＡＭ１０２には、ＣＰＵ１０１に実行させるＯＳ（Operating System）のプログラムやアプリケーションプログラムの少なくとも一部が一時的に格納される。また、ＲＡＭ１０２には、ＣＰＵ１０１による処理に必要な各種データが格納される。ＨＤＤ１０３には、ＯＳやアプリケーションプログラムが格納される。また、ＨＤＤ１０３内には、データベース１０９が構築される。
【００２７】
グラフィック処理装置１０４には、モニタ１１が接続されている。グラフィック処理装置１０４は、ＣＰＵ１０１からの命令に従って、画像をモニタ１１の画面に表示させる。入力インタフェース１０５には、キーボード１２とマウス１３とが接続されている。入力インタフェース１０５は、キーボード１２やマウス１３から送られてくる信号を、バス１０７を介してＣＰＵ１０１に送信する。
【００２８】
通信インタフェース１０６は、ネットワーク１４０およびＬＡＮ１５０に接続されている。通信インタフェース１０６は、ネットワーク１４０およびＬＡＮ１５０を介して、他のコンピュータとの間でデータの送受信を行う。ここで、ＬＡＮ１５０は、例えば、イントラネットなどのネットワークである。
【００２９】
以上のようなハードウェア構成によって、本実施の形態の処理機能を実現することができる。このようなハードウェア構成のシステムにおいてワームの判定を行うために、ワーム判定装置１００内には、以下のような機能が設けられる。
【００３０】
図３は、ワーム判定装置の機能的構成について説明する機能ブロック図である。
図３に示すように、このワーム判定装置１００は、ネットワークセグメント１０（図１のネットワークセグメント２に対応）およびネットワークセグメント１０を除いたネットワークセグメント２０、すなわち前述したネットワークセグメント５や、ルータ８を介したネットワーク１に接続されている。
【００３１】
ワーム判定装置１００は、情報の取得に係る設定データ１２１に基づいて通信パケットからＩＣＭＰパケットのタイプと宛先ＭＡＣアドレスに係る情報を取得し、取得した情報と、通信がワームによりなされた通信か否かを規定する判定基準に係る情報とに基づいて通信がワームによりなされた通信か否かを判定する。
【００３２】
ここで、通信パケットについて説明する。
図４は、通信パケットの構成の一例を示す図である。
パケット２００は、先頭側からイーサヘッダ（Ether Header）、ＩＰヘッダ（IP Header）、ＩＣＭＰヘッダおよびデータで構成されている。
【００３３】
図５は、イーサヘッダの構成図である。
なお、図５では、見やすいように、１行３２ビットで表現している（図６、図７も同様）。
【００３４】
イーサヘッダは、先頭から順番に、プリアンブル（Preamble）、送信元ＭＡＣアドレス（Source MAC Address）、宛先ＭＡＣアドレス（Destination MAC Address）、タイプフィールド（Type Field）で構成されている。
【００３５】
図６は、ＩＰヘッダの構成図である。
ＩＰヘッダは、先頭から順番に、バージョン／ヘッダ長（Version/IHL）、サービスタイプ（Service Type）、パケット長（TL）、フラグ（Flag）、フラグメントオフセット（Fragment Offset）、生存時間（TTL）、プロトコル（Protocol）、ヘッダチェックサム（Check Sum）、送信元ＩＰアドレス（Source IP Address）、宛先ＩＰアドレス（Destination IP Address）、オプション（Option）、パディング（Padding）で構成されている。
【００３６】
図７は、ＩＣＭＰヘッダの構成図である。
ＩＣＭＰヘッダは、タイプフィールド（Type Field）、コード（Code）、チェックサム（Check Sum）で構成されている。
【００３７】
再び図３に戻って説明を行う。
このワーム判定装置１００は、制御部１１０、入力部１４、モニタ１１、記憶部１２０およびインタフェース部１３０を有する。
【００３８】
制御部１１０は、通信情報取得部１１１、ワーム判定部１１２および通信遮断部１１３を有する。また、制御部１１０には、入力部１４およびモニタ１１が接続されている。入力部１４は、キーボード１２やマウス１３などの入力デバイスで構成される。
【００３９】
記憶部１２０は、ＲＡＭ１０２やＨＤＤ１０３などの記憶デバイスであり、この記憶部１２０には、設定データ１２１、通信ログデータ１２２、遮断データ１２３および遮断データ１２４が記憶されている。
【００４０】
インタフェース部１３０は、後述する物理ポート１（図示せず）や物理ポート２（図示せず）等の複数の物理ポートを有し、ネットワークセグメント１０とネットワークセグメント２０との間の通信データの授受を、ネットワーク１４０、ＬＡＮ１５０を介して中継するネットワークインタフェースである。
【００４１】
通信情報取得部１１１は、記憶部１２０に記憶された設定データ１２１に基づいて、通信パケットの通信アドレスおよび通信プロトコルに係る情報を取得する取得部である。具体的には、この通信情報取得部１１１は、パケット２００の先頭の固定長部分すなわち、イーサヘッダ、ＩＰヘッダおよびＩＣＭＰヘッダを含む部分からＩＣＭＰパケットのタイプフィールドにセットされた値と宛先ＭＡＣアドレスに係る情報を取得し、宛先ＭＡＣアドレス毎に、ＩＣＭＰ  Ｔｙｐｅ３であるパケットのパケット数を通信ログデータ１２２に記憶する等の処理を行う。ここで、通信ログデータ１２２はＲＡＭ１０２上のデータでもよい。
【００４２】
ワーム判定部１１２は、通信情報取得部１１１により取得された情報および記憶部１２０に記憶された設定データ１２１に基づいて、送信元ＭＡＣアドレス毎に、ＩＣＭＰ  Ｔｙｐｅ３であるパケットのパケット数を集計し、所定のＭＡＣアドレスからの通信が、ワームによりなされた通信のものであるか否かを判定する。
【００４３】
通信遮断部１１３は、所定の通信が、ワーム判定部１１２によってワームによりなされたパケット通信であると判定された場合に、ワームによりなされるパケット通信を遮断する。通信遮断部１１３は、後述するワーム判定処理の結果から得られる宛先ＭＡＣアドレスおよび物理ポートに基づいて、２通りの遮断を行う。１通り目は、ＭＡＣアドレス単位で遮断を行う。具体的には、ワームに感染したＭＡＣアドレスを備える端末（以下、「感染端末」という）からの通信を遮断する。これにより、１つの物理ポートに複数の端末が接続されている場合、感染端末からの通信のみをブロックすることができる一方、感染端末と同じ物理ポートを利用する他の端末の通信は継続させることができる。２通り目は、物理ポート単位で遮断を行う。これにより、感染端末と同じ物理ポートを利用する他の端末がワームに感染した場合、そのワームによりなされるパケット通信をあらかじめ遮断することができる。
【００４４】
設定データ１２１は、通信パケットの通信アドレスおよび通信プロトコルに係る情報の取得に係る設定情報や、監視している通信がワームによりなされた通信か否かを規定する判定基準に係る情報等、種々の設定情報を記憶したデータである。
【００４５】
図８は、設定データを示す図である。
設定データ１２１には、設定項目、設定内容の欄が設けられており、各欄の横方向に並べられた情報同士が互いに関連づけられている。設定項目は、設定データ１２１において設定される各項目であり、設定内容は、設定データ１２１の設定受け付け時に参照される設定情報である。
【００４６】
上記設定項目には、具体的には、「ＩＣＭＰ  Ｔｙｐｅ３パケットの集計単位時間」、「ＩＣＭＰ  Ｔｙｐｅ３パケットの閾値」、「物理ポートの集計機能」、「集計除外宛先ＭＡＣアドレス」、「宛先ＭＡＣアドレスの個別閾値」、「遮断単位」の欄が設定されている。
【００４７】
「ＩＣＭＰ  Ｔｙｐｅ３パケットの集計単位時間」は、ＩＣＭＰ  Ｔｙｐｅ３パケットのパケット数を集計する単位時間である。
例えば、この集計単位時間が１秒であるということは、宛先ＭＡＣアドレス毎に、１秒間の上記パケット数を集計することを意味する。
【００４８】
「ＩＣＭＰ  Ｔｙｐｅ３パケットの閾値」は、ワーム判定部１１２により、ワームによりなされた通信がおこなわれているか否かを判定する際に使用される宛先ＭＡＣアドレス毎の閾値情報である。図８では一例として、「ＩＣＭＰ  Ｔｙｐｅ３パケットの閾値」が２０に設定されている。
【００４９】
「物理ポートの集計機能」は、ワーム判定装置１００の各物理ポートに対してそれぞれ設定される。図８では一例として所定の物理ポートＡの設定内容が記載されている。各物理ポートは、この物理ポートの集計機能がＯＮに設定されているとき集計を行い、ＯＦＦに設定されているとき集計を行わない。これにより、物理ポート単位で、集計するか否かを決定することができる。
【００５０】
「集計除外宛先ＭＡＣアドレス」は、集計を除外したい宛先ＭＡＣアドレスを１つ以上設定することができる。図８では一例としてＭＡＣアドレス「００：１１：２２：ａａ：ｂｂ：ｚｚ」が設定されている。
【００５１】
ここで、「集計除外宛先ＭＡＣアドレス」の設定内容の欄に設定されたＭＡＣアドレスは、通信ログデータ１２２の新規宛先ＭＡＣアドレスに追加しない、または新規宛先ＭＡＣアドレスに追加したとしてもワーム判定から除外する。これにより、例えば、管理端末が端末の存在確認を行うために、ネットワーク内のアドレス空間に対してエコー要求メッセージ（ＩＣＭＰ  Ｔｙｐｅ８）を送信し、短時間に複数のＩＣＭＰ  Ｔｙｐｅ３のパケットが出現するような場合、この管理端末のＭＡＣアドレスを「集計除外宛先ＭＡＣアドレス」設定内容の欄に設定しておくことで、事前に集計から除外することができる。よって、ワームの誤判定を容易かつ確実に防止することができる。
【００５２】
「宛先ＭＡＣアドレスの個別閾値」は、必要に応じて宛先ＭＡＣアドレス毎に個別の閾値を１つ以上設定することができる。この欄の設定内容に設定されたプロトコルにおける宛先ポートの閾値は、「ＩＣＭＰ  Ｔｙｐｅ３パケットの閾値」の設定内容にかかわらず、この欄に設定された設定内容となる。図８では、一例として宛先ＭＡＣアドレス「００：１１：２２：ａａ：ｂｂ：ｘｘ」の個別閾値に３０が設定されており、宛先ＭＡＣアドレス「００：１１：２２：ａａ：ｂｂ：ｘｘ」の閾値は、「ＩＣＭＰ  Ｔｙｐｅ３パケットの閾値」の設定内容２０にかかわらず、３０となる。
【００５３】
「遮断単位」は、前述した通信遮断部１１３による２通りの遮断を設定することができる。この欄に設定された設定内容が「ＭＡＣアドレス」である場合は、通信遮断部１１３はＭＡＣアドレス単位で遮断を行う。また、この欄に設定された設定内容が「物理ポート」である場合は、通信遮断部１１３は物理ポート単位で遮断を行う。図８では、「ＭＡＣアドレス」が設定されている。
【００５４】
再び図３に戻って説明を行う。
通信ログデータ１２２は、物理ポートと宛先ＭＡＣアドレスとの組み合わせ毎に、ＩＣＭＰ  Ｔｙｐｅ３パケットのパケット数を集計するためのテーブルを示すデータである。
【００５５】
図９は、通信ログデータのデータ構造例を示す図である。
通信ログデータ１２２には、物理ポート、宛先ＭＡＣアドレス、数量の欄が設けられており、各欄の横方向に並べられた情報同士が、互いに関連づけられている。
【００５６】
数量の欄には、単位時間分だけの各種情報が記憶され、単位時間における物理ポート、宛先ＭＡＣアドレス毎の、ＩＣＭＰ  Ｔｙｐｅ３パケットが所定の閾値以上でワームと判定される。例えば、新たにネットワークセグメント１０に対して送信するパケット３００に含まれる情報のうち、物理ポートが１、宛先ＭＡＣアドレスが「００：１１：２２：ａａ：ｂｂ：ｃｃ」、タイプフィールドが３であった場合、既に通信ログデータ１２２に、物理ポートが１、宛先ＭＡＣアドレスが「００：１１：２２：ａａ：ｂｂ：ｃｃ」の情報が格納されているため、その数量をインクリメントさせる。その結果、数量が１９から２０になる。
【００５７】
ここで、設定データ１２１に記載されている「ＩＣＭＰ  Ｔｙｐｅ３パケット数の閾値」が「２０」に設定されているとき、数量が閾値以上となり、ワーム判定部１１２により、宛先ＭＡＣアドレスが「００：１１：２２：ａａ：ｂｂ：ｃｃ」である端末Ａが、ワーム感染端末として判定される。また、端末Ａは、物理ポート１に接続されていることから、感染物理ポートは１となる。また、宛先ＭＡＣアドレスが、感染元ＭＡＣアドレスとなる。このとき、ワーム感染情報として、感染元ＭＡＣアドレス「００：１１：２２：ａａ：ｂｂ：ｃｃ」、感染物理ポート１が出力され、モニタ１１に表示される。
【００５８】
再び図３に戻って説明を行う。
遮断データ１２３は、遮断を実施した感染元ＭＡＣアドレス（宛先ＭＡＣアドレス）に係る情報を格納している。また、遮断データ１２４は、遮断を実施した物理ポートに係る情報を格納している。
【００５９】
新規のワーム感染情報が得られたとき、ワーム判定部１１２は、設定データ１２１の「遮断単位」の設定内容を参照することにより、遮断データ１２３と遮断データ１２４とのどちらの情報を更新するのかを判断する。
【００６０】
遮断データ１２３および遮断データ１２４は、その判断結果に応じて、新たなワーム感染情報が追加されて更新される。また、遮断が解除されると該当するワーム感染情報が削除されて更新される。
【００６１】
図１０は、遮断データのデータ構造例を示す図である。
遮断データ１２３には、遮断元ＭＡＣアドレスの欄が設けられている。
ワーム判定部１１２が出力する新規のワーム感染情報が送られてくると、遮断元ＭＡＣアドレスの欄に、新たに感染元ＭＡＣアドレスが設定される。
【００６２】
図１０の例では、遮断元ＭＡＣアドレス「００：１１：２２：ａａ：ｂｂ：ｙｙ」の下部に新たにＭＡＣアドレス「００：１１：２２：ａａ：ｂｂ：ｃｃ」が設定される。
なお、ワーム判定部１１２からのワーム感染情報が、遮断データ１２３に既に設定されている遮断元ＭＡＣアドレスと完全に一致する場合は、遮断データ１２３は、更新されない。
【００６３】
図１１は、遮断データのデータ構造例を示す図である。
遮断データ１２４には、物理ポートの欄が設けられている。
ワーム判定部１１２が出力する新規のワーム感染情報が送られてくると、物理ポートの欄に、新たに感染物理ポートが設定される。
【００６４】
図１１の例では、物理ポート「２」の下部に新たに物理ポート「１」が設定される。
なお、ワーム判定部１１２からのワーム感染情報が、遮断データ１２４に既に設定されている物理ポートの番号と完全に一致する場合は、遮断データ１２４は更新されない。
【００６５】
次に、ワーム判定装置１００によるワーム判定処理について説明する。
図１２は、ワーム判定処理の処理手順を示すフローチャートである。
まず、通信情報取得部１１１は設定データ１２１の設定を受け付ける（ステップＳ１１）。続いて、通信情報取得部１１１は、ネットワークセグメント１０内のコンピュータとネットワークセグメント２０との間のネットワーク通信を監視し、パケットの先頭から固定長部分のパケット情報すなわち、宛先ＭＡＣアドレスやＩＣＭＰパケットのタイプフィールドにセットされた値などが含まれるパケットヘッダ情報を取得する（ステップＳ１２）。そして、通信情報取得部１１１は、通信ログデータ１２２に登録されているか否かを判断する（ステップＳ１３）。
【００６６】
取得したパケットヘッダ情報が、通信ログデータ１２２に登録されているときは（ステップＳ１３のＹｅｓ）、ステップＳ１９に移行する。一方、取得したパケットヘッダ情報が、通信ログデータ１２２に登録されていないときは（ステップＳ１３のＮｏ）、パケットヘッダ情報を通信ログデータ１２２へ追加する（ステップＳ１４）。その後、ワーム判定部１１２は、設定データ１２１に設定された集計単位時間に基づいて、宛先ＭＡＣアドレス毎にＩＣＭＰ  Ｔｙｐｅ３パケットのパケット数を集計し（ステップＳ１５）、このパケット数が閾値以上か否かを判断する（ステップＳ１６）。パケット数が閾値以上のときは、（ステップＳ１６のＹｅｓ）、ワーム判定部１１２は、パケット通信がワームによるものと判断し、感染元ＭＡＣアドレス、などのワーム感染情報を取得して、遮断データ１２３または遮断データ１２４に出力する（ステップＳ１７）。
【００６７】
その後、通信遮断部１１３は、通信遮断処理、すなわちワームによりなされたと判定される送信元ＭＡＣアドレスからのパケット通信を遮断する処理を行う（ステップＳ１８）。
【００６８】
一方、パケット数が閾値未満のときは、（ステップＳ１６のＮｏ）パケット通信がワームによるものと判断せず、ステップＳ１９に移行する。
その後、ワーム判定装置１００は、通信が継続されているか否かを判断する（ステップＳ１９）。
【００６９】
通信が継続されている場合は（ステップＳ１９のＹｅｓ）、ステップＳ１２に移行してそれ以降の処理を継続する。
通信が継続されていない場合は（ステップＳ１９のＮｏ）、ワーム判定処理を終了する。
【００７０】
次に、ワーム判定装置１００による通信遮断処理について説明する。
図１３は、通信遮断処理の処理手順を示すフローチャートである。
まず、通信遮断部１１３は、ワーム判定部１１２が出力したワーム感染情報（感染元ＭＡＣアドレス、感染物理ポート）および遮断データ１２３と遮断データ１２４とのどちらの情報を更新するのかについての情報を取得する（ステップＳ２１）。
【００７１】
次に、通信遮断部１１３は、取得したワーム感染情報が、選択された遮断データ（遮断データ１２３または遮断データ１２４）に登録されているか否かを判断する（ステップＳ２２）。
【００７２】
取得したワーム感染情報が、選択された遮断データに登録されているときは（ステップＳ２２のＹｅｓ）、通信遮断処理を終了する。
一方、取得したワーム感染情報が、選択された遮断データに登録されていないときは（ステップＳ２２のＮｏ）、ワームによる通信を遮断する（ステップＳ２３）。
【００７３】
次に、通信遮断部１１３は、感染情報を選択された遮断データに格納する（ステップＳ２４）。
その後、通信遮断処理を終了する。
【００７４】
以上説明したように、本実施の形態のワーム判定装置１００によれば、宛先ＭＡＣアドレス毎に、ＩＣＭＰ  Ｔｙｐｅ３パケットのパケット数を集計することにより、ワームによりなされた通信か否かを判定することができるため、少ない情報で、ワームによりなされた通信か否かを判定することができる。
【００７５】
また、ＩＣＭＰ  Ｔｙｐｅ３パケットを取得することにより、ワーム判定手段は、ネットワーク構成ＤＢを用いなくても送信元端末がネットワークに存在しないサブネットワークにアクセスしているか否かを判定することができるため、ネットワーク構成が変化しやすい大規模ネットワークに対しても好適に利用することができる。
【００７６】
また、レイヤー（Layer）３以上の情報を得ることなく、ワームの判定を行うことができるため、ワーム判定装置１００をレイヤー２スイッチ（Layer2 switch）で構成した場合においてもワームの判定を容易かつ確実に行うことができる。この結果、複雑なソフトウェア処理を行うことなく、ワーム判定装置１００を簡易なハードウェアで構成とすることができるため、ワーム判定処理の高速化を図ることができ、高いスループットが得られる。
【００７７】
また、宛先ＭＡＣアドレス毎に、ＩＣＭＰ  Ｔｙｐｅ３パケットのパケット数という少ない情報を取得するだけでワームが送出されている送信元ＭＡＣアドレスを判定することができるため、遮断データ１２３の小容量化を図ることができる。
【００７８】
さらに、遮断データ１２３に、ワーム感染情報が更新されるため、最新の遮断元ＭＡＣアドレスまたは遮断する物理ポートの情報を取得することができる。よって、ワームの感染の拡大をより確実に抑制または防止することができる。
【００７９】
また、パケット２００およびパケット２１０の先頭から固定長部分の情報のみを取得することにより、ワームの判定を行うことができる、すなわち、ヘッダ部分を除いた、本来転送したいデータ本体（ペイロード部分）を読み込むことなくワームの判定を行うことができるため、ワーム判定処理におけるパケット２００およびパケット２１０の読み込み時間が短縮され、より高速な処理を行うことができる。
【００８０】
以上、本発明の好適な実施の形態について詳述したが、本発明は、その特定の実施の形態に限定されるものではない。
なお、上記の処理機能は、コンピュータによって実現することができる。その場合、ワーム判定装置１００が有すべき機能の処理内容を記述したワーム判定プログラムが提供される。そのプログラムをコンピュータで実行することにより、上記処理機能がコンピュータ上で実現される。処理内容を記述したプログラムは、コンピュータで読み取り可能な記録媒体に記録しておくことができる。コンピュータで読み取り可能な記録媒体としては、磁気記録装置、光ディスク、光磁気記録媒体、半導体メモリなどがある。磁気記録装置には、ハードディスク装置（ＨＤＤ）、フレキシブルディスク（ＦＤ）、磁気テープなどがある。光ディスクには、ＤＶＤ（Digital Versatile Disc）、ＤＶＤ−ＲＡＭ（Random Access Memory）、ＣＤ−ＲＯＭ（Compact Disc Read Only Memory）、ＣＤ−Ｒ（Recordable）／ＲＷ（ReWritable）などがある。光磁気記録媒体には、ＭＯ（Magneto-Optical disk）などがある。
【００８１】
プログラムを流通させる場合には、例えば、そのプログラムが記録されたＤＶＤ、ＣＤ−ＲＯＭなどの可搬型記録媒体が販売される。また、プログラムをサーバコンピュータの記憶装置に格納しておき、ネットワークを介して、サーバコンピュータから他のコンピュータにそのプログラムを転送することもできる。
【００８２】
プログラムを実行するコンピュータは、例えば、可搬型記録媒体に記録されたプログラムもしくはサーバコンピュータから転送されたプログラムを、自己の記憶装置に格納する。そして、コンピュータは、自己の記憶装置からプログラムを読み取り、プログラムに従った処理を実行する。なお、コンピュータは、可搬型記録媒体から直接プログラムを読み取り、そのプログラムに従った処理を実行することもできる。また、コンピュータは、サーバコンピュータからプログラムが転送される毎に、逐次、受け取ったプログラムに従った処理を実行することもできる。
【００８３】
（付記１）  ネットワークに接続された所定のネットワークセグメントに係る通信を監視して、前記通信がワームによりなされた通信か否かを判定するワーム判定プログラムにおいて、
コンピュータを、
送信元ＭＡＣアドレス毎に、パケットの宛先アドレス不在信号に係る情報を取得する通信情報取得手段、
前記通信情報取得手段により取得された前記パケットの宛先アドレス不在信号に係る情報および前記通信がワームによりなされた通信か否かを判定する判定基準に基づいて、前記通信がワームによりなされた通信か否かを判定するワーム判定手段、
として機能させることを特徴とするワーム判定プログラム。
【００８４】
（付記２）  前記宛先アドレス不在信号は、前記ＭＡＣアドレスを有する送信元から出力された信号に対する応答信号であることを特徴とする付記１記載のワーム判定プログラム。
【００８５】
（付記３）  前記宛先アドレス不在信号は、前記ＭＡＣアドレスを有する送信元から出力されたＩＣＭＰのエコー要求に対する応答信号であることを特徴とする付記１記載のワーム判定プログラム。
【００８６】
（付記４）  前記通信情報取得手段は、前記パケットのヘッダ部分の情報を取得することを特徴とする付記１記載のワーム判定プログラム。
（付記５）  前記ワーム判定手段は、
単位時間当たりの前記宛先アドレス不在信号の出現回数が所定値以上のとき、前記通信がワームによりなされた通信であると判定することを特徴とする付記１記載のワーム判定プログラム。
【００８７】
（付記６）  前記送信元ＭＡＣアドレス毎に、前記所定値を設定し得ることを特徴とする付記５記載のワーム判定プログラム。
（付記７）  前記送信元ＭＡＣアドレス毎に、前記ワーム判定手段による判定を行うか否かを設定し得ることを特徴とする付記５記載のワーム判定プログラム。
【００８８】
（付記８）  前記ワーム判定手段により前記通信がワームによりなされた通信と判定された場合に、前記ワームによりなされる通信を遮断する通信遮断手段を有することを特徴とする付記１記載のワーム判定プログラム。
【００８９】
（付記９）  ネットワークに接続された所定のネットワークセグメントに係る通信を監視して、前記通信がワームによりなされた通信か否かを判定するワーム判定方法において、
通信情報取得手段が、送信元ＭＡＣアドレス毎に、パケットの宛先アドレス不在信号に係る情報を取得し、
ワーム判定手段が、前記通信情報取得手段により取得された前記パケットの宛先アドレス不在信号に係る情報および前記通信がワームによりなされた通信か否かを判定する判定基準に基づいて、前記通信がワームによりなされた通信か否かを判定する、
ことを特徴とするワーム判定方法。
【００９０】
（付記１０）  ネットワークに接続された所定のネットワークセグメントに係る通信を監視して、前記通信がワームによりなされた通信か否かを判定するワーム判定装置において、
送信元ＭＡＣアドレス毎に、パケットの宛先アドレス不在信号に係る情報を取得する通信情報取得手段と、
前記通信情報取得手段により取得された前記パケットの宛先アドレス不在信号に係る情報および前記通信がワームによりなされた通信か否かを判定する判定基準に基づいて、前記通信がワームによりなされた通信か否かを判定するワーム判定手段と、
を有することを特徴とするワーム判定装置。
【００９１】
（付記１１）  さらに、前記ネットワークに接続される複数の物理ポートを有し、
前記物理ポート毎に、前記ワーム判定手段によるワーム判定を実行するか否かを設定し得ることを特徴とする付記１０記載のワーム判定装置。
【００９２】
（付記１２）  前記ワーム判定手段により前記通信がワームによりなされた通信と判定された場合に、前記ワームによりなされる通信を遮断する通信遮断手段を有し、
前記通信遮断手段は、前記ワームを前記送信元ＭＡＣアドレス毎または前記物理ポート毎に遮断し得ることを特徴とする付記１１記載のワーム判定装置。
【図面の簡単な説明】
【００９３】
【図１】ワーム判定装置の概念について説明する概念図である。
【図２】ワーム判定装置のハードウェア構成例を示す図である。
【図３】ワーム判定装置の機能的構成について説明する機能ブロック図である。
【図４】通信パケットの構成の一例を示す図である。
【図５】イーサヘッダの構成図である。
【図６】ＩＰヘッダの構成図である。
【図７】ＩＣＭＰヘッダの構成図である。
【図８】設定データを示す図である。
【図９】通信ログデータのデータ構造例を示す図である。
【図１０】遮断データのデータ構造例を示す図である。
【図１１】遮断データのデータ構造例を示す図である。
【図１２】ワーム判定処理の処理手順を示すフローチャートである。
【図１３】通信遮断処理の処理手順を示すフローチャートである。
【符号の説明】
【００９４】
１  ネットワーク
２  ネットワークセグメント
３  通信情報取得手段
４  ワーム判定手段
５  ネットワークセグメント
６  ワーム判定装置
１０  ネットワークセグメント
２０  ネットワークセグメント
１００  ワーム判定装置
１１１  通信情報取得部
１１２  ワーム判定部
１１３  通信遮断部
ａ〜ｅ、Ａ  物理ポート
【図１】
2007013263.tif 000003
【図２】
2007013263.tif 000004
【図３】
2007013263.tif 000005
【図４】
2007013263.tif 000006
【図５】
2007013263.tif 000007
【図６】
2007013263.tif 000008
【図７】
2007013263.tif 000009
【図８】
2007013263.tif 000010
【図９】
2007013263.tif 000011
【図１０】
2007013263.tif 000012
【図１１】
2007013263.tif 000013
【図１２】
2007013263.tif 000014
【図１３】
2007013263.tif 000015