(57)【要約】  【課題】  現在のシグネチャ型の不正アクセス検知やウィルス検知では、検知を行う機器が必要な全てのシグネチャをもつ必要があり、ネット家電などＣＰＵおよびメモリリソースの少ない機器では実施が困難であるという課題を解決する。  【解決手段】  コンピュータウィルスもしくは不正アクセスに対するシグネチャを配布するシグネチャ配布装置４０００において、通信を行うための通信制御部４００１と、コンピュータウィルスもしくは不正アクセスを検知したことを示す検知結果メッセージＡ０００に含まれる検知元アドレスＡ００１に基づいて、シグネチャの配布先を決定する配布端末決定部４００２とを備えた。  【選択図】  図１
2007011628.tif 000002
【特許請求の範囲】
【請求項１】
コンピュータウィルスもしくは不正アクセスを検知する情報解析装置から、該情報解析装置のアドレスである検知元アドレス、及び該情報解析装置が検知したコンピュータウィルスもしくは不正アクセスに関する情報を含む検知結果をネットワークを介して受け取り、前記コンピュータウィルスを検知・駆除もしくは不正アクセスを検知・防御するためのシグネチャをネットワークを介して配布するシグネチャ配布装置であって、
ネットワーク上の端末と通信を行うための通信制御部と、
前記コンピュータウィルスもしくは不正アクセスを検知した情報解析装置から検知結果を受け取り、該検知結果に含まれる検知元アドレスを元に、シグネチャの配布先である単数または複数のエンド機器を決定する配布端末決定部と、を備え、
前記通信制御部は、前記配布端末決定部によりシグネチャの配布先として決定した前記単数または複数のエンド機器に対し、シグネチャを配信する、
ことを特徴とするシグネチャ配布装置。
【請求項２】
請求項１に記載のシグネチャ配布装置において、
前記情報解析装置を含むネットワークに近隣するネットワークの情報を記憶する近隣ネットワーク情報記憶部をさらに備え、
前記配布端末決定部は、前記コンピュータウィルスもしくは不正アクセスを検知した情報解析装置を含むネットワークに近隣するネットワークを、前記近隣ネットワーク情報記憶部から検索し、該検索した近隣ネットワークに含まれる単数または複数のエンド機器を、シグネチャの配布先として決定する、
ことを特徴とするシグネチャ配布装置。
【請求項３】
請求項２に記載のシグネチャ配布装置において、
前記検知したコンピュータウィルスの感染力もしくは前記検知した不正アクセスの影響度に応じて、前記シグネチャの配布すべきネットワーク上での範囲を判定する影響範囲判定部をさらに備え、
前記配布端末決定部は、前記影響範囲判定部により判定したネットワーク上の範囲内の前記エンド機器を、シグネチャの配布先として決定する、
ことを特徴とするシグネチャ配布装置。
【請求項４】
請求項２に記載のシグネチャ配布装置において、
ネットワーク上の各エンド機器の固有の機器構成を示す機器固有情報を記憶するエンド機器情報記憶部をさらに備え、
前記検知結果は、前記検知したコンピュータウィルスの感染もしくは不正アクセスの影響を受ける機器構成を示す前記エンド機器の影響機器情報をも含むものであり、
前記配布端末決定部は、前記コンピュータウィルスもしくは不正アクセスを検知した前記情報解析装置にネットワーク上で近い前記エンド機器のうちの、前記検知結果中の影響機器情報が示す機器構成を有するエンド機器を前記エンド機器情報記憶部から検索し、該検索した単数または複数のエンド機器を、シグネチャの配布先として決定する、
ことを特徴とするシグネチャ配布装置。
【請求項５】
請求項１に記載のシグネチャ配布装置において、
特定のサービスに加入しているエンド機器を示す機器指示情報を記録するサービス登録端末記憶部をさらに備え、
前記配布端末決定部は、前記サービス登録端末記憶部に記憶されている機器指定情報が示すエンド機器の中から、シグネチャを配布すべき単数または複数のエンド機器を決定する、
ことを特徴とするシグネチャ配布装置。
【請求項６】
請求項１に記載のシグネチャ配布装置において、
指定されたアドレスを持つエンド機器で稼動しているサービスを検知する機器スキャン部をさらに備え、
前記検知結果は、前記検知したコンピュータウィルスもしくは不正アクセスの影響を受けるサービスを示す影響サービス情報をも含むものであり、
前記配布端末決定部は、前記機器スキャン部により検知した各エンド機器が行っているサービスのうちで、前記検知結果中の影響サービス情報が示すサービスと一致するサービスを行っている単数または複数のエンド機器を、シグネチャの配布先として決定する、
ことを特徴とするシグネチャ配布装置。
【請求項７】
請求項４に記載のシグネチャ配布装置において、
前記エンド機器情報記憶部は、前記エンド機器の物理的な位置情報を記憶するエンド機器物理位置情報記憶部を有し、
前記検知結果は、前記情報解析装置の物理的位置情報をも含むものであり、
前記配布端末決定部は、前記検知結果中に含まれる前記情報解析装置の物理的位置情報に基づいて、該情報解析装置に物理的に近い位置にある単数または複数のエンド機器を、前記エンド機器物理位置情報記憶部から検索し、該検索した単数または複数のエンド機器を、シグネチャの配布先として決定する、
ことを特徴とするシグネチャ配布装置。
【請求項８】
請求項１に記載のシグネチャ配布装置において、
前記検知結果は、前記コンピュータウィルスに感染している端末、あるいは前記不正アクセスの攻撃を受けている端末を特定するための感染・侵入端末情報をも含むものであり、
前記配布端末決定部は、前記検知結果に含まれる前記感染・侵入端末情報に基づいて、コンピュータウィルスに感染している、もしくは不正アクセスの攻撃を受けている単数または複数のエンド機器、及びその近隣のエンド機器を特定し、シグネチャの配布先として決定する、
ことを特徴とするシグネチャ配布装置。
【請求項９】
請求項２に記載のシグネチャ配布装置において、
前記エンド機器のリソース情報を記憶するエンド機器リソース情報記憶部を備え、
前記配布端末決定部は、前記エンド機器リソース情報記憶部に記憶されているリソース情報に基づいて、前記シグネチャの配布先として決定した前記単数または複数のエンド機器のうち、リソースの少ないエンド機器に対しては簡易シグネチャを、リソースが十分なエンド機器に対しては詳細シグネチャを配布することを決定する、
ことを特徴とするシグネチャ配布装置。
【請求項１０】
請求項２に記載のシグネチャ配布装置において、
前記エンド機器に対し該機器のリソースを測定するパケットを１回以上送信し、その応答結果及び応答時間によりエンド機器までのネットワークの状況を含んだエンド機器のリソースを測定する機器リソース測定部をさらに備え、
前記配布端末決定部は、前記機器リソース測定部による測定の結果に基づいて、前記シグネチャの配布先として決定した前記単数または複数のエンド機器のうち、リソースが少ないエンド機器に対しては簡易シグネチャを、リソースが十分であるエンド機器に対しては詳細シグネチャを配布することを決定する、
ことを特徴とするシグネチャ配布装置。
【請求項１１】
請求項２に記載のシグネチャ配布装置において、
前記エンド機器の通信の頻度および通信データ量を測定するエンド機器通信量測定部をさらに備え、
前記配布端末決定部は、前記エンド機器通信量測定部による測定の結果に基づいて、前記シグネチャの配布先として決定した前記単数または複数のエンド機器のうち、通信量が少ないエンド機器に対しては簡易シグネチャを、通信量の多いエンド機器に対しては詳細シグネチャを配布することを決定する、
ことを特徴とするシグネチャ配布装置。
【請求項１２】
請求項１に記載のシグネチャ配布装置において、
前記配布端末決定部は、配布済みのシグネチャの中で消去すべきシグネチャを決定し、該決定したシグネチャを持つ単数または複数のエンド機器を特定し、
前記通信制御部は、前記配布端末決定部により特定した単数または複数のエンド機器に対し、前記シグネチャの消去を指示するメッセージを送信する、
ことを特徴とするシグネチャ配布装置。
【請求項１３】
コンピュータウィルスもしくは不正アクセスを検知し、検知元アドレス及び検知したコンピュータウィルスもしくは不正アクセスに関する情報を含む検知結果をネットワークを介して送信する情報解析装置と、
コンピュータウィルスの検知・駆除を行う、あるいは不正アクセスの検知・防御を行うための配布用シグネチャを記憶する配布用シグネチャ記憶部と、
前記情報解析装置の検知結果に含まれる、検知したコンピュータウィルス若しくは不正アクセスに関する情報に基づいて、前記配布用シグネチャ記憶部から配布用シグネチャを選択する情報収集装置と、
前記情報解析装置の検知結果に含まれる検知元アドレスに基づいて、前記情報収集装置により選択された配布用シグネチャの送信先を決定するシグネチャ配布装置と、
前記シグネチャ配布装置から前記配布用シグネチャを受け取り、該配布用シグネチャを使用してコンピュータウィルスを検知・駆除及び不正アクセスの検知・防御を行う複数のエンド機器とを備え、
前記シグネチャ配布装置は、
ネットワーク上の端末と通信を行うための通信制御部と、
前記コンピュータウィルスもしくは不正アクセスを検知した情報解析装置から前記検知結果を受け取り、該検知結果に含まれる検知元アドレスを元に、シグネチャの配布先である単数または複数のエンド機器を決定する配布端末決定部とを備え、
前記通信制御部は、前記配布端末決定部によりシグネチャの配布先として決定した前記単数または複数のエンド機器に対し、シグネチャを配信する、
ことを特徴としたシグネチャ配布システム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、シグネチャ配布装置およびシグネチャ配布システムに関し、特に、ネットワークに接続可能な機器に対してＩＤＳやウィルススキャンプログラムで使用するシグネチャファイルを配布する方法に関するものである。
【背景技術】
【０００２】
近年、ＡＤＳＬ網や光ファイバ網の整備や、各種ネットワークサービスの充実を背景にして、ネットワークに接続される機器の数が飛躍的に増加している。
【０００３】
特に、今までのようなワークステーションやパーソナルコンピュータ以外にも携帯電話を初めとするモバイル端末やゲーム専用機、家電がネットワーク機能を持ったネット家電などもネットワークに接続され、データ通信を行うようになってきている。
【０００４】
このようなネットワーク機器の増加により、発見されるネットワーク機器の脆弱性の数も飛躍的に増加している。
【０００５】
また、ネットワークにネットワークセキュリティ機能が搭載されていない機器が接続されていたり、各機器のユーザがネットワークセキュリティに関する知識を持たずにネットワーク機器の設定や操作を行ってしまったりするため、これらに起因するネットワークセキュリティの問題が顕著になってきている。
【０００６】
ネットワークセキュリティの問題として挙げられるものとして、ネットワーク機器の脆弱性を突いて機器に感染・増殖するコンピュータウィルスや、機器の脆弱性とユーザの設定ミスなどにつけこんでネットワーク機器の制御を奪ったり、機器内に記録されているデータの窃盗や破壊を行ったりする不正アクセスがある。
【０００７】
現在、このようなセキュリティ問題に対しては、ルータやファイアウォール、侵入検知システムなどのネットワークの途中に位置する機器により検知やフィルタリングが行われている場合が多くなっている。これらはプロバイダなどのサービス会社がサービスとして提供することもある。
【０００８】
しかし、最近はＰ２Ｐ（Ｐｅｅｒ  ｔｏ  Ｐｅｅｒ）の普及や暗号化通信の増加、ＩＰｖ６（Ｉｎｔｅｒｎｅｔ  Ｐｒｏｔｏｃｏｌ  ｖｅｒｓｉｏｎ  ６）によるエンド機器同士の通信の増加が見込まれることから、エンド機器でもコンピュータウィルスの検知・駆除や不正アクセスの検知・防御を行う必要がある。
【０００９】
ワークステーションやパーソナルコンピュータなどリソースが豊富なエンド機器では、ウィルススキャンプログラムなどによりエンド機器側でも対策が行われることもある。
【００１０】
特開２００２−１８９６４３号公報（特許文献１）には、現在一般的に使用されているコンピュータウィルスや不正アクセスを検知する方法が開示されている。
【００１１】
この文献では、あらかじめコンピュータウィルスや不正アクセスを特徴付けるシグネチャデータ（文献内ではワードリストと呼ばれている）のテーブルを持つ。そして、装置がネットワークからデータを受信した際に、受信データに対してテーブル内のシグネチャデータと一致するデータが存在するかを走査する。もし、テーブル内のシグネチャデータと一致するものがあれば、セキュリティ警告を生成し、一致するものが無ければ問題なしと判定する。
【特許文献１】特開２００２−１８９６４３号公報
【発明の開示】
【発明が解決しようとする課題】
【００１２】
上で述べた特許文献１で開示されている方法を用いた場合、テーブル内に登録されているシグネチャデータに関しては検知が可能であるが、テーブル内に含まれるもの以外のコンピュータウィルスや不正アクセスに関してはセキュリティ警告が生成できないという問題がある。そのため、この検知漏れを少なくするために多量のシグネチャデータをテーブルに登録する必要があった。
【００１３】
しかし、ネット家電などを含むエンド機器の一部は、ワークステーションやパーソナルコンピュータなどとは異なり、非常に少ないメモリや記憶媒体上で動作するため、多量のシグネチャデータを持つことが困難であり、検知漏れが非常に多くなってしまうという問題があった。
【００１４】
また、たとえ検知のためのテーブルに多くのストレージを割くことができたとしても、受信したデータとテーブル内のシグネチャデータの走査には、テーブル内全てのシグネチャデータに対して走査を行わなければならず、非常に多くの計算リソースを必要とする。
【００１５】
ネット家電などを含むエンド機器の一部は、計算能力が乏しい演算装置で構成されることが多く、この走査のためにほとんどすべての計算リソースをつぎ込む事となり、ネット家電本来の機能や通信機能にさえも多大な影響を及ぼすという問題点もあった。
【００１６】
これらの問題点を解決するため、エンド機器で持つシグネチャデータを常に必要最低限にしなければならないという課題があった。
【００１７】
また、従来のウィルススキャナなどで採用されているシグネチャの配布方法は、サーバからありとあらゆるシグネチャが配信される構成となっており、エンド機器の種類によっては感染などの影響を及ぼさないコンピュータウィルスに関するシグネチャも記憶している。このため、エンド機器自身には関係ないシグネチャも保持することになり、無駄に記憶リソースを消費するという課題があった。
【００１８】
本発明は、上記問題点を解消するためになされたものであり、コンピュータウィルスの検知・駆除、あるいは不正アクセスの検知・防御をするためのシグネチャデータの配布を必要最小限にすることができるシグネチャ配布装置を提供することを目的とする。
【課題を解決するための手段】
【００１９】
上記課題を解決するために、本発明の請求項１にかかるシグネチャ配布装置は、コンピュータウィルスもしくは不正アクセスを検知する情報解析装置から、該情報解析装置のアドレスである検知元アドレス、及び該情報解析装置が検知したコンピュータウィルスもしくは不正アクセスに関する情報を含む検知結果をネットワークを介して受け取り、前記コンピュータウィルスを検知・駆除もしくは不正アクセスを検知・防御するためのシグネチャをネットワークを介して配布するシグネチャ配布装置であって、ネットワーク上の端末と通信を行うための通信制御部と、前記コンピュータウィルスもしくは不正アクセスを検知した情報解析装置から検知結果を受け取り、該検知結果に含まれる検知元アドレスを元に、シグネチャの配布先である単数または複数のエンド機器を決定する配布端末決定部と、を備え、前記通信制御部は、前記配布端末決定部によりシグネチャの配布先として決定した前記単数または複数のエンド機器に対し、シグネチャを配信する、ことを特徴とする。
【００２０】
これにより、コンピュータウィルスもしくは不正アクセスが一度以上検知されたエンド機器に対してシグネチャを配布することが可能となり、このため、コンピュータウィルスの検知・駆除、あるいは不正アクセスの検知・防御をするためのシグネチャデータの配布を必要最小限にすることができ、その結果、エンド機器が持つシグネチャを少なく抑え、エンド機器本来の機能に対する負荷を軽減させることができる。
【００２１】
また、本発明の請求項２にかかるシグネチャ配布装置は、請求項１に記載のシグネチャ配布装置において、前記情報解析装置を含むネットワークに近隣するネットワークの情報を記憶する近隣ネットワーク情報記憶部をさらに備え、前記配布端末決定部は、前記コンピュータウィルスもしくは不正アクセスを検知した情報解析装置を含むネットワークに近隣するネットワークを、前記近隣ネットワーク情報記憶部から検索し、該検索した近隣ネットワークに含まれる単数または複数のエンド機器を、シグネチャの配布先として決定する、ことを特徴とする。
【００２２】
これにより、エンド機器における効率的にコンピュータウィルスの検知・駆除、もしくは不正アクセスの検知・防御を行うことができる。つまり、コンピュータウィルスもしくは不正アクセスを検知した情報解析装置にネットワーク上で近いエンド機器においても、検知されたコンピュータウィルスもしくは不正アクセスが残留していることが予想されるが、前記情報解析装置にネットワーク上で近いエンド機器群に対してシグネチャを配布することにより、配布したシグネチャを利用して効率的にコンピュータウィルスの検知・駆除、もしくは不正アクセスの検知・防御を行うことができる。
【００２３】
また、本発明の請求項３にかかるシグネチャ配布装置は、請求項２に記載のシグネチャ配布装置において、前記検知したコンピュータウィルスの感染力もしくは前記検知した不正アクセスの影響度に応じて、前記シグネチャの配布すべきネットワーク上での範囲を判定する影響範囲判定部をさらに備え、前記配布端末決定部は、前記影響範囲判定部により判定したネットワーク上の範囲内の前記エンド機器を、シグネチャの配布先として決定する、ことを特徴とする。
【００２４】
これにより、検知されたコンピュータウィルスもしくは不正アクセスの影響度に応じてシグネチャの配布範囲を決定するため、必要度が高い位置にあるエンド機器に対してはシグネチャを配布し、必要ではないエンド機器にシグネチャの配布を行わないようにすることができる。その結果、エンド機器では必要度の高い場合のみシグネチャを記憶すれば良いこととなるため、エンド機器が持つシグネチャを最小限に抑えることができる。
【００２５】
また、本発明の請求項４にかかるシグネチャ配布装置は、請求項２に記載のシグネチャ配布装置において、ネットワーク上の各エンド機器の固有の機器構成を示す機器固有情報を記憶するエンド機器情報記憶部をさらに備え、前記検知結果は、前記検知したコンピュータウィルスの感染もしくは不正アクセスの影響を受ける機器構成を示す前記エンド機器の影響機器情報をも含むものであり、前記配布端末決定部は、前記コンピュータウィルスもしくは不正アクセスを検知した前記情報解析装置にネットワーク上で近い前記エンド機器のうちの、前記検知結果中の影響機器情報が示す機器構成を有するエンド機器を前記エンド機器情報記憶部から検索し、該検索した単数または複数のエンド機器を、シグネチャの配布先として決定する、ことを特徴とする。
【００２６】
これにより、検知されたコンピュータウィルスもしくは不正アクセスによる影響を受けやすいＯＳやハードウェアなどの機器構成を持つエンド機器に対してのみシグネチャを配布することができる。
【００２７】
また、本発明の請求項５にかかるシグネチャ配布装置は、請求項１に記載のシグネチャ配布装置において、特定のサービスに加入しているエンド機器を示す機器指示情報を記録するサービス登録端末記憶部をさらに備え、前記配布端末決定部は、前記サービス登録端末記憶部に記憶されている機器指定情報が示すエンド機器の中から、シグネチャを配布すべき単数または複数のエンド機器を決定する、ことを特徴とする。
【００２８】
これにより、特定のサービスに加入しているエンド機器に対してのみシグネチャを配布することができる。
【００２９】
また、本発明の請求項６にかかるシグネチャ配布装置は、請求項１に記載のシグネチャ配布装置において、指定されたアドレスを持つエンド機器で稼動しているサービスを検知する機器スキャン部をさらに備え、前記検知結果は、前記検知したコンピュータウィルスもしくは不正アクセスの影響を受けるサービスを示す影響サービス情報をも含むものであり、前記配布端末決定部は、前記機器スキャン部により検知した各エンド機器が行っているサービスのうちで、前記検知結果中の影響サービス情報が示すサービスと一致するサービスを行っている単数または複数のエンド機器を、シグネチャの配布先として決定する、ことを特徴とする。
【００３０】
これにより、検知されたコンピュータウィルスもしくは不正アクセスの影響を受けやすいサービスを行っているエンド機器に対してのみシグネチャを配布することができる。
【００３１】
また、本発明の請求項７にかかるシグネチャ配布装置は、請求項４に記載のシグネチャ配布装置において、前記エンド機器情報記憶部は、前記エンド機器の物理的な位置情報を記憶するエンド機器物理位置情報記憶部を有し、前記検知結果は、前記情報解析装置の物理的位置情報をも含むものであり、前記配布端末決定部は、前記検知結果中に含まれる前記情報解析装置の物理的位置情報に基づいて、該情報解析装置に物理的に近い位置にある単数または複数のエンド機器を、前記エンド機器物理位置情報記憶部から検索し、該検索した単数または複数のエンド機器を、シグネチャの配布先として決定する、ことを特徴とする。
【００３２】
これにより、検知結果に含まれる検知元アドレスからシグネチャの配布先として決定した単数または複数のエンド機器に物理的に近いエンド機器に対してもシグネチャを配布することができる。
【００３３】
また、本発明の請求項８にかかるシグネチャ配布装置は、請求項１に記載のシグネチャ配布装置において、前記検知結果は、前記コンピュータウィルスに感染している端末、あるいは前記不正アクセスの攻撃を受けている端末を特定するための感染・侵入端末情報をも含むものであり、前記配布端末決定部は、前記検知結果に含まれる前記感染・侵入端末情報に基づいて、コンピュータウィルスに感染している、もしくは不正アクセスの攻撃を受けている単数または複数のエンド機器、及びその近隣のエンド機器を特定し、シグネチャの配布先として決定する、ことを特徴とする。
【００３４】
これにより、すでにコンピュータウィルスに感染もしくは不正アクセスされてしまったエンド機器とその近隣のエンド機器にシグネチャを配布するため、コンピュータウィルスや不正アクセスの封じ込めを行うことができる。また、感染したエンド機器とその近隣のエンド機器で封じ込めを行うことで、それ以外のエンド機器に対してはシグネチャを配布する必要がないため、エンド機器のリソースを効率的に使用することができる。
【００３５】
また、本発明の請求項９にかかるシグネチャ配布装置は、前記エンド機器のリソース情報を記憶するエンド機器リソース情報記憶部を備え、前記配布端末決定部は、前記エンド機器リソース情報記憶部に記憶されているリソース情報に基づいて、前記シグネチャの配布先として決定した前記単数または複数のエンド機器のうち、リソースの少ないエンド機器に対しては簡易シグネチャを、リソースが十分なエンド機器に対しては詳細シグネチャを配布することを決定する、ことを特徴とする。
【００３６】
これにより、リソースが少ないエンド機器に対しては機器への負担が少ないシグネチャを配布することができるため、エンド機器本来の機能を損なうことなく、エンド機器側でコンピュータウィルスの検知・駆除もしくは不正アクセスの検知・防御を行うことができる。
【００３７】
また、本発明の請求項１０にかかるシグネチャ配布装置は、前記エンド機器に対し該機器のリソースを測定するパケットを１回以上送信し、その応答結果及び応答時間によりエンド機器までのネットワークの状況を含んだエンド機器のリソースを測定する機器リソース測定部をさらに備え、前記配布端末決定部は、前記機器リソース測定部による測定の結果に基づいて、前記シグネチャの配布先として決定した前記単数または複数のエンド機器のうち、リソースが少ないエンド機器に対しては簡易シグネチャを、リソースが十分であるエンド機器に対しては詳細シグネチャを配布することを決定する、ことを特徴とする。
【００３８】
これにより、エンド機器側で機器のアップグレードやダウングレード、機器自体のリプレイスなどが発生しても、シグネチャ配布装置側でデータの変更作業を行うことなく、機器のリソースに基づいたシグネチャを配布することができる。
【００３９】
また、本発明の請求項１１にかかるシグネチャ配布装置は、請求項２に記載のシグネチャ配布装置において、前記エンド機器の通信の頻度および通信データ量を測定するエンド機器通信量測定部をさらに備え、前記配布端末決定部は、前記エンド機器通信量測定部による測定の結果に基づいて、前記シグネチャの配布先として決定した前記単数または複数のエンド機器のうち、通信量が少ないエンド機器に対しては簡易シグネチャを、通信量の多いエンド機器に対しては詳細シグネチャを配布することを決定する、ことを特徴とする。
【００４０】
これにより、データの送受信が多く、その分コンピュータウィルスや不正アクセスに対するリスクが高いと思われる通信量が多いエンド機器に対し、詳細なシグネチャを配布することができる。
【００４１】
また、本発明の請求項１２にかかるシグネチャ配布装置は、請求項１に記載のシグネチャ配布装置において、前記配布端末決定部は、配布済みのシグネチャの中で消去すべきシグネチャを決定し、該決定したシグネチャを持つ単数または複数のエンド機器を特定し、前記通信制御部は、前記配布端末決定部により特定した単数または複数のエンド機器に対し、前記シグネチャの消去を指示するメッセージを送信する、ことを特徴とする。
【００４２】
これにより、エンド機器が持つシグネチャを必要最小限に抑えることができ、エンド機器のリソースをより効率的に使用することができる。
【００４３】
また、本発明の請求項１３にかかるシグネチャ配布システムは、コンピュータウィルスもしくは不正アクセスを検知し、検知元アドレス及び検知したコンピュータウィルスもしくは不正アクセスに関する情報を含む検知結果をネットワークを介して送信する情報解析装置と、コンピュータウィルスの検知・駆除を行う、あるいは不正アクセスの検知・防御を行うための配布用シグネチャを記憶する配布用シグネチャ記憶部と、前記情報解析装置の検知結果に含まれる、検知したコンピュータウィルス若しくは不正アクセスに関する情報に基づいて、前記配布用シグネチャ記憶部から配布用シグネチャを選択する情報収集装置と、前記情報解析装置の検知結果に含まれる検知元アドレスに基づいて、前記情報収集装置により選択された配布用シグネチャの送信先を決定するシグネチャ配布装置と、前記シグネチャ配布装置から前記配布用シグネチャを受け取り、該配布用シグネチャを使用してコンピュータウィルスを検知・駆除及び不正アクセスの検知・防御を行う複数のエンド機器とを備え、前記シグネチャ配布装置は、ネットワーク上の端末と通信を行うための通信制御部と、前記コンピュータウィルスもしくは不正アクセスを検知した情報解析装置から前記検知結果を受け取り、該検知結果に含まれる検知元アドレスを元に、シグネチャの配布先である単数または複数のエンド機器を決定する配布端末決定部とを備え、前記通信制御部は、前記配布端末決定部によりシグネチャの配布先として決定した前記単数または複数のエンド機器に対し、シグネチャを配信する、ことを特徴とする。
【００４４】
これにより、コンピュータウィルスもしくは不正アクセスが一度以上検知されたエンド機器に対してシグネチャを配布することが可能となり、このため、コンピュータウィルスの検知・駆除、あるいは不正アクセスの検知・防御をするためのシグネチャデータの配布を必要最小限にすることができ、その結果、エンド機器が持つシグネチャを少なく抑え、エンド機器本来の機能に対する負荷を軽減させることができる。
【発明の効果】
【００４５】
本発明のシグネチャ配布システムによれば、コンピュータウィルスや不正アクセスを検知・駆除・防御するためにエンド機器自身が持つシグネチャデータを少なく抑えることができ、エンド機器の本来の機能に対する負荷を軽減させることができる。
【００４６】
また、情報解析装置により一度以上検知されたコンピュータウィルスもしくは不正アクセスに対するシグネチャデータがエンド機器に配布されるため、エンド機器において無駄に記憶されるシグネチャが無くなり、検知漏れも少なくなる。
【００４７】
また、コンピュータウィルスや不正アクセスが検知された場所や、コンピュータウィルスや不正アクセスの種類、エンド機器の環境などの要因を考慮に入れたシグネチャの配布を行うため、各エンド機器で必要なシグネチャのみを選択的に持つことができ、エンド機器のリソースへの影響を最小限にすることができる。
【００４８】
また、エンド機器でのシグネチャの削除を、コンピュータウィルスや不正アクセスの検知実績や、その検知に関する時間要因を考慮して行うことで、エンド機器でのシグネチャの削除を、エンド機器の環境がより安全な状態になってから行うことができる。
【発明を実施するための最良の形態】
【００４９】
以下、本発明の実施の形態について、図面を参照しながら説明する。なお、この実施の形態により本発明が限定されるものではない。
（実施の形態１）
以下に、本発明の実施の形態１によるシグネチャ配布システムについて説明する。
【００５０】
図１に、本実施の形態１によるシグネチャ配布システムの基本的な構成について示す。
本実施の形態１のシグネチャ配布システムは、コンピュータウィルスもしくは不正アクセスを検知する情報解析装置１０００と、情報解析装置１０００の検知内容に基づいて配布用シグネチャを選択する情報収集装置２０００と、コンピュータウィルスの検知・駆除、もしくは不正アクセスの検知・防御をするための配布用シグネチャを記憶する配布用シグネチャ記憶部３０００と、情報収集装置２０００により選択された配布用シグネチャの配布先を決定するシグネチャ配布装置４０００と、シグネチャ配布装置４０００から送信されたシグネチャを使用して、コンピュータウィルスを検知・駆除、あるいは不正アクセスの検知・防御を行うエンド機器５０００とを備えたものである。
【００５１】
以下に、各構成要素について詳細に説明する。
まず、情報解析装置１０００について図３を用いて説明する。
【００５２】
図３に示す情報解析装置１０００は、外部のネットワークとの通信を行う通信制御部１００１と、コンピュータウィルスや不正アクセスを検知するためのデータ（検知用シグネチャ）を記録する感染・攻撃検知用シグネチャ記憶部１００３と、感染・攻撃検知用シグネチャ記憶部に記憶されているデータを用いて通信制御部で受信したデータにコンピュータウィルスや不正アクセスが含まれていないかの検知を行う感染・攻撃判定部１００２とを備えている。
【００５３】
このような構成の情報解析装置１０００の動作について説明する。
通信制御部１００１により通信データを受信すると、受信した通信データは、感染・攻撃判定部１００２に出力される。
【００５４】
感染・攻撃判定部１００２では、受信した通信データと感染・攻撃検知用シグネチャ記憶部１００３に記憶されているデータとを比較し、コンピュータウィルスや不正アクセスの検知を行う。その結果、感染・攻撃判定部１００２においてコンピュータウィルスや不正アクセスが検知された場合、通信制御部１００１から情報収集装置２０００に向けて検知結果メッセージＡ０００を送信する。
【００５５】
この検知結果メッセージＡ０００は、図２に示すように、検知元アドレスＡ００１と検知情報Ａ００２とを含むものである。
【００５６】
検知元アドレスＡ００１は、コンピュータウィルスや不正アクセスを検知した情報解析装置１０００のＩＰアドレスとサブネットマスク情報を含み、該情報解析装置１０００のネットワークアドレスを示す。
【００５７】
また、検知情報Ａ００２は、感染・攻撃判定部１００２が検知したコンピュータウィルスや不正アクセスの種類を表す符号である。なお、検知情報Ａ００２は、コンピュータウィルスや不正アクセスの種類を表す符号が複数含まれていても良い。
【００５８】
次に、配布用シグネチャ記憶部３０００について図４を用いて説明する。
配布用シグネチャ記憶部３０００は、シグネチャデータを記憶するデータベースであり、図４に示す構造のデータレコードをもつデータベースである。
【００５９】
上記データレコードは、シグネチャを一意に識別できるシグネチャＩＤを記憶するシグネチャＩＤフィールド３００１と、コンピュータウィルスの検知・駆除を行うためのデータもしくはプログラムコード、あるいは不正アクセスの検知・防御を行うためのデータもしくはプログラムコードを記憶するシグネチャデータフィールド３００３と、シグネチャデータが検知・駆除可能なコンピュータウィルスもしくは検知・防御可能な不正アクセスの情報を記憶するシグネチャ対応情報フィールド３００２を持つレコードの集合で構成される。
【００６０】
このような構成のデータレコードを持つ配布用シグネチャ記憶部３０００の動作について説明する。
情報収集装置２０００から配布用シグネチャの検索要求があると、その検索要求に応じてデータベース内の検索を行う。このとき、検索キーとしてはシグネチャ対応情報が主キーとなる。検索の結果、合致するレコードを情報収集装置２０００に応答する。
【００６１】
なお、シグネチャ対応情報フィールド３００２に、複数のコンピュータウィルスや不正アクセスに関する情報が、シグネチャデータフィールド３００３に、複数のシグネチャデータが記録されていても良い。また、配布用シグネチャ記憶部３０００のデータベース内の検索の結果、複数のレコードが検索された場合、全てのレコードの情報を情報収集装置２０００に応答するようにしても良い。
【００６２】
次に、情報収集装置２０００について図５を用いて説明する。
図５に示す情報収集装置２０００は、通信を行うための通信制御部２００１と、配布用シグネチャ記憶部３０００内のデータを検索する配布用シグネチャ判定部２００２とを備えている。
【００６３】
このような構成の情報収集装置２０００の動作について図８を用いて説明する。図８は、本発明のシグネチャ配布システムの具体例を示す。
【００６４】
通信制御部２００１では、情報解析手段１０００から検知結果メッセージＡ０００を受信し、配布用シグネチャ判定部２００２に出力する。
【００６５】
配布用シグネチャ判定部２００２では、検知結果メッセージＡ０００に含まれる、コンピュータウィルスもしくは不正アクセスの検知情報Ａ００２に基づいて、対応するコンピュータウィルスの検知・駆除、もしくは不正アクセスの検知・防御するための配布用シグネチャデータを配布用シグネチャ記憶部３０００から検索する。そして、検索したシグネチャデータと検知結果メッセージＡ０００をシグネチャ配布装置４０００に通知する。
【００６６】
次に、シグネチャ配布装置４０００について図６を用いて説明する。
図６に示すシグネチャ配布装置４０００は、通信を行うための通信制御部４００１と、情報収集装置２０００より受け取った配布用シグネチャデータの配布先を決定する配布端末決定部４００２とを備えている。
【００６７】
このような構成のシグネチャ配布装置４０００の動作について説明する。
配布用端末決定部４００２では、情報収集装置２０００から検知結果メッセージＡ０００、及びシグネチャデータを受信し、検知結果メッセージＡ０００に含まれる検知元アドレスＡ００１に基づいて、シグネチャデータの配布先を決定する。
【００６８】
通信制御部４００１では、配布用端末決定部４００２によりシグネチャの配布先として決定したエンド機器５０００に対し、シグネチャデータを送信する。
【００６９】
なお、検知結果メッセージＡ０００は、情報収集装置２０００からではなく、情報解析装置１０００から直接受信しても良い。
【００７０】
次に、エンド機器５０００について図７を用いて説明する。
図７に示すエンド機器５０００は、通信を行うための通信制御部５００１と、コンピュータウィルスを検知・駆除、もしくは不正アクセスを検知・防御するためのシグネチャデータを記憶するシグネチャ記憶部５００３と、シグネチャ記憶部５００３のデータの制御を行うシグネチャ制御部５００２と、シグネチャ記憶部５００３に記憶されているコンピュータウィルスを検知・駆除するためのシグネチャデータを使用してコンピュータウィルスを検知・駆除するコンピュータウィルス検知・駆除部５００４と、シグネチャ記憶部５００３に記憶されている不正アクセスを検知・防御するためのシグネチャデータを使用して不正アクセスを検知・防御する侵入検知・防御部５００５とを備えている。
【００７１】
このような構成のエンド機器５０００の動作について説明する。
通信制御部５００１では、シグネチャ配布装置４０００から配布されてきたシグネチャデータを受け取る。受け取ったシグネチャデータは、シグネチャ制御部５００２の制御によりシグネチャ記憶部５００３に記憶される。
【００７２】
コンピュータウィルス検知・駆除部５００４では、シグネチャ記憶部５００３に記憶されているコンピュータウィルスを検知・駆除するためのシグネチャデータを使用して、エンド機器５０００でのコンピュータウィルスの検知および駆除を行う。
【００７３】
また、侵入検知・防御部５００５では、シグネチャ記憶部５００３に記憶されている不正アクセスを検知・防御するためのシグネチャデータを使用して、エンド機器５０００での不正アクセスの検知及び防御を行う。
【００７４】
そして、コンピュータウィルスの駆除もしくは不正アクセスの防御を行った後、シグネチャ制御部５００２により必要が無いと判断したシグネチャ記憶部５００３内のデータを削除する。
【００７５】
なお、コンピュータウィルス検知・駆除部５００４と侵入検知・防御部５００５は、どちらか一方のみを備えている構成としても良い。
【００７６】
また、シグネチャ制御部５００２によるシグネチャ記憶部５００３内のデータの削除は、外部装置からの削除メッセージをトリガにしても良い。
【００７７】
また、シグネチャ制御部５００２によるシグネチャ記憶部５００３内のデータの削除は、ＦＩＦＯ（記憶された順で削除する方式）で削除しても良い。
【００７８】
また、シグネチャ制御部５００２によるシグネチャ記憶部５００３内のデータの削除は、ＬＲＵ（最も使用されていないものから削除する方式）で削除しても良い。
【００７９】
また、シグネチャ制御部５００２によるシグネチャ記憶部５００３内のデータの削除は、一定時間が経過したら削除する方式で削除しても良い。
【００８０】
また、シグネチャ制御部５００２によるシグネチャ記憶部５００３内のデータの削除は、コンピュータウィルス検知・駆除部５００４での処理が終わった（該当シグネチャデータによりウィルスが駆除された）のをトリガとして削除しても良い。
【００８１】
また、シグネチャ制御部５００２によるシグネチャ記憶部５００３内のデータの削除は、侵入検知・防御部５００５での処理が終わった（該当シグネチャデータにより侵入を検知・防御した）のをトリガとして削除しても良い。
【００８２】
以下に、本実施の形態１のシグネチャ配布システムの全体の流れを説明する。
情報解析装置１０００がコンピュータウィルスもしくは不正アクセスを検知して検知結果メッセージＡ０００を情報収集装置２０００に送信する。
【００８３】
情報収集装置２０００は、情報解析装置１０００から送信された検知結果メッセージＡ０００をもとに、配布用シグネチャ記憶部３０００から検索した対応するシグネチャデータをシグネチャ配布装置４０００に送信する。
【００８４】
そして、シグネチャ配布装置４０００は、情報収集装置２０００から送信されたシグネチャデータと検知結果メッセージＡ０００を受信し、検知結果メッセージＡ０００に含まれる検知元アドレスＡ００１から、シグネチャデータの配布先となるエンド機器５０００を決定する。このとき、シグネチャ配布装置４０００内の配布端末決定部４００２では、検知元アドレスＡ００１に含まれるＩＰアドレスとサブネットマスクの情報を組み合わせて、シグネチャの配布先アドレスを決定する。例えば、ＩＰアドレス＝ｘｘｘ．ｘｘｘ．ｘｘｘ．１００、サブネットマスク＝２５５．２５５．２５５．０である場合、シグネチャ配布先アドレスは、ｘｘｘ．ｘｘｘ．ｘｘｘ．１〜ｘｘｘ．ｘｘｘ．ｘｘｘ．２５４の範囲となる。なお、ｘｘｘ．ｘｘｘ．ｘｘｘ．０とｘｘｘ．ｘｘｘ．ｘｘｘ．２５５は特殊なアドレスであるため、配布対象には含まれない。
【００８５】
シグネチャデータを受信したエンド機器５０００は、受信したシグネチャデータをシグネチャ記憶部５００３に記憶し、該記憶したシグネチャデータを元に、コンピュータウィルスの検知・駆除および不正アクセスの検知・防御を行う。そして、必要が無くなれば、受信したシグネチャデータをシグネチャ記憶部５００３から削除する。シグネチャの削除を行うタイミングとしては、シグネチャ記憶部に記憶されてから一定時間が経過した場合、該シグネチャによるコンピュータウィルスや不正アクセスが検知されなくなってから一定時間が経過した場合などがある。これにより、エンド機器５０００自身が持つシグネチャデータ３００３を少なく抑えることができるため、エンド機器５０００の本来の機能に対する負荷を軽減することができる。また、情報解析装置１０００により一度以上検知されたコンピュータウィルスもしくは不正アクセスに対するシグネチャデータ３００３が配布されるため、エンド機器５０００において無駄に記憶されるシグネチャが無くなり、検知漏れも少なくなる。
【００８６】
ここで、図８にネットワークの構成の一例を示す。このような構成のネットワークにおける、シグネチャ配布システムについて以下に説明する。
【００８７】
図８に示すネットワークは、サーバ６０００、ルータ７０００、７１００、７２００、７３００、７４００、情報解析装置１０００、およびエンド機器５０００を備えている。また、サーバ６０００は、上述した情報収集装置２０００、配布用シグネチャ記憶部３０００、シグネチャ配布装置４０００を含むものである。
【００８８】
このような構成のネットワークにおいて、例えば、ルータ７１００に接続された情報解析装置１０００が、該ルータ７２００に接続されているエンド機器５０００のいずれかがコンピュータウィルスに感染している、もしくは不正アクセスの攻撃を受けていることを検知した場合、検知結果をルータ７１００およびルータ７０００を介してサーバ６０００に通知する。
【００８９】
サーバ６０００では、通知された検知結果を元に、ルータ７１００が属するネットワークＡ内のエンド機器５０００に対してシグネチャを配布する。
【００９０】
このような実施の形態１のシグネチャ配布システムでは、コンピュータウィルスもしくは不正アクセスを検知し、検知結果メッセージＡ０００を通知する情報解析装置１０００と、検知結果メッセージＡ０００を元に、配布用シグネチャ記憶部３０００から対応するシグネチャを検索する情報収集装置２０００と、検知結果メッセージＡ０００に含まれる検知元アドレスを元に、情報収集装置２０００により検索されたシグネチャの配布先を決定し、配布先として決定された単数または複数のエンド機器にシグネチャを送信するシグネチャ配布装置４０００とを備えているため、情報解析装置により一度以上検知されたコンピュータウィルスもしくは不正アクセスに対するシグネチャデータがエンド機器に配布される。このため、エンド機器において無駄に記憶されるシグネチャが無くなり、検知漏れも少なくなる。
【００９１】
また、エンド機器５０００において、記憶しているシグネチャを元にコンピュータウィルスの検知・駆除、及び不正アクセスの検知・防御を行い、必要が無くなれば記憶しているシグネチャを削除するようにしたので、エンド機器が持つシグネチャデータを少なく抑えることにより、エンド機器の本来の機能に対する負荷をより軽減することができる。
【００９２】
（実施の形態２）
以下に、本発明の実施の形態２のシグネチャ配布システムについて説明する。
本実施の形態２のシグネチャ配布システムは、上記実施の形態１のシグネチャ配布システムにおける、シグネチャ配布装置４０００に代えて、図９に示すシグネチャ配布装置４１００を備えたものである。
【００９３】
シグネチャ配布装置４１００の構成を図９に示す。図において、図６と同一の構成要素については同一符号を付している。
【００９４】
図９に示すシグネチャ配布装置４１００は、通信制御部４００１、配布端末決定部４１０１、及び近隣ネットワーク情報記憶部４１０２を備えたものである。
【００９５】
配布端末決定部４１０１は、情報収集装置２０００から通知された検知結果メッセージＡ０００、およびシグネチャデータを受け取り、該シグネチャデータの配布先を決定する。
【００９６】
近隣ネットワーク情報記憶部４１０２は、情報解析装置１０００を含むネットワークに近隣するネットワークの情報を記憶する。
【００９７】
このような構成のシグネチャ配布装置４１００の動作について説明する。
配布端末決定部４１０１では、情報収集装置２０００から検知結果メッセージＡ０００とシグネチャデータを受信する。そして、検知結果メッセージＡ０００に含まれる検知元アドレスＡ００１を元に、シグネチャデータの配布先となるエンド機器を決定する。さらに、コンピュータウィルスもしくは不正アクセスを検知した情報解析装置１０００を含むネットワークの近隣のネットワークを、近隣ネットワーク情報記憶部４１０２から検索し、検索した近隣のネットワークに含まれる単数または複数のエンド機器を、シグネチャデータの配布先として決定する。ここで決定したエンド機器５０００のアドレスに対し、通信制御部４００１を介してシグネチャデータを送信する。
【００９８】
なお、近隣ネットワーク情報記憶部４１０２から検索される近隣ネットワークは複数であっても良く、この場合、コンピュータウィルスや不正アクセスを検知した情報解析装置１０００を含むネットワークに近隣する複数のネットワークに含まれる複数のエンド機器に対し、シグネチャデータを配布することになる。
【００９９】
ここで、近隣ネットワーク情報について図８を用いて説明する。
例えば、ルータ７２００に接続されている情報解析装置１０００が、該ルータ７２００に接続されているエンド機器５０００のいずれかがコンピュータウィルスに感染している、もしくは不正アクセスの攻撃を受けていることを検知した場合、ルータ７１００およびルータ７０００を介してサーバ６０００に通知する。
【０１００】
サーバ６０００では、ルータ７２００に接続されている情報解析装置１０００から通知された検知結果を元に、ルータ７２００が属するネットワークＢだけでなく、該ルータ７２００から１ホップ以内で到達可能であるような該ネットワークＢに近隣するネットワーク、例えば、ネットワークＣあるいはネットワークＤに含まれるエンド機器５０００に対してもシグネチャを配布する。
【０１０１】
これにより、コンピュータウィルスや不正アクセスを検知し情報解析装置１０００にネットワーク上で近いエンド機器においても、上記コンピュータウィルスや不正アクセスが残留していることが予想されるが、配布したシグネチャを利用して、効率的に駆除・防御を行うことができる。
【０１０２】
このような本実施の形態２のシグネチャ配布システムでは、シグネチャ配布装置４１００が情報収集装置２０００から検知結果とシグネチャを受信した時、検知結果メッセージＡ０００に含まれる検知元アドレスＡ００１に近隣するネットワークを近隣ネットワーク記憶部４１０２から検索し、検索した近隣ネットワークに含まれる単数または複数のエンド機器を、シグネチャの配布先として決定するようにしたので、コンピュータウィルスや不正アクセスを検知した前記情報解析装置にネットワーク上で近いエンド機器群に対し、シグネチャを配布することができる。また、コンピュータウィルスや不正アクセスを検知した情報解析装置１０００にネットワーク上で近いエンド機器群では、検知されたコンピュータウィルスや不正アクセスが残留していることが予想されるが、配布されたシグネチャを利用して効率的に検知や駆除・防御を行うことができる。
【０１０３】
（実施の形態３）
以下に、本発明の実施の形態３のシグネチャ配布システムについて説明する。
本実施の形態３のシグネチャ配布システムは、上記実施の形態１のシグネチャ配布システムにおける、配布用シグネチャ記憶部３０００及びシグネチャ配布装置４０００に代えて、図１０に示す配布用シグネチャ記憶部３１００及び図１１に示すシグネチャ配布装置４２００を備えたものである。
【０１０４】
配布用シグネチャ記憶部３１００は、図１０に示す構造のデータレコードをもつデータベースであり、該データレコードは、シグネチャＩＤフィールド３００１、シグネチャ対応情報フィールド３００２、シグネチャデータフィールド３００３、及び感染力・影響度情報フィールド３１０１をもつレコードの集合で構成される。図において、図４と同一構成要素については同一符号を付している。
【０１０５】
感染力・影響度情報フィールド３１０１は、シグネチャ対応情報フィールド３００２に記載されているコンピュータウィルスの感染力や影響度もしくは不正アクセスの成功しやすさや影響度に関する情報を記憶する。例えば、低中高など数段階で表現されるアンチウィルスソフトベンダが公開しているコンピュータウィルスの危険度・感染力・ダメージ・感染報告数やＯＳベンダやセキュリティベンダ、公的機関が公開しているセキュリティホールの危険度・ダメージなどである。
【０１０６】
この実施の形態３のシグネチャ配布装置４２００の構成を図１１に示す。図において、図９と同一構成要素については同一符号を付している。
【０１０７】
図１１に示すシグネチャ配布装置４２００は、通信制御部４００１、近隣ネットワーク情報記憶部４１０２、配布端末決定部４２０１、及び影響範囲判定部４２０２を備えたものである。
【０１０８】
配布端末決定部４２０１は、情報収集装置２０００から通知された検知結果メッセージＡ０００、感染力・影響度情報、及びシグネチャデータを受け取り、該シグネチャデータの配布先を決定する。
【０１０９】
影響範囲判定部４２０２は、感染力・影響度情報３１０１から、前記シグネチャを配布すべき範囲を決定する。
【０１１０】
次に、動作について説明する。
配布端末決定部４２０１は、情報収集装置２０００から送信された、検知結果メッセージＡ０００、感染力・影響度情報、およびシグネチャデータを受信する。そして、影響範囲判定部４２０２は、受信した感染力・影響度情報を元に、コンピュータウィルスの感染力もしくは不正アクセスの影響の及ぶ範囲を判定する。影響範囲判定部４２０２により判定した、コンピュータウィルスの感染力もしくは不正アクセスの影響の及ぶ範囲内のエンド機器を、ネットワークにおける、シグネチャを配布すべきエンド機器と決定する。
【０１１１】
そして、通信制御部４００１では、配布端末決定部４２０１により配布先として決定したエンド機器５０００に対し、シグネチャを送信する。
【０１１２】
ここで、シグネチャの配布範囲について図８を用いて説明する。
例えば、ルータ７４００に接続されている情報解析装置１０００がコンピュータウィルスもしくは不正アクセスを検知した場合を考える。検知したコンピュータウィルスの感染力もしくは不正アクセスの影響が及ぶ範囲が狭いと判定したときは、ルータ７４００に接続されているエンド機器５０００に対してシグネチャを配布する。一方、検知したコンピュータウィルスの感染力もしくは不正アクセスの影響が及ぶ範囲が広いと判定したときは、ルータ７４００に接続されているエンド機器５０００だけでなく、ルータ７４００が属するネットワークＤに近いネットワーク、例えば、ネットワークＤの１つ上の階層に相当する、ルータ７２００が属するネットワークＢに含まれるエンド機器５０００に対してもシグネチャを配布する。例えば、ネットワークＤで検出したコンピュータウィルスの感染力が低である場合は、ネットワークＤに属するエンド機器５０００に対してのみシグネチャを配布する。また、ネットワークＤで検出したコンピュータウィルスの感染力が中である場合は、ネットワークＤに属するエンド端末５０００だけでなく、ルータ４７００が属するネットワークＢに属するエンド機器５０００に対してもシグネチャを配布する。さらに、ネットワークＤで検出したコンピュータウィルスの感染力が高である場合は、ネットワークＡからネットワークＤまで、全てのネットワークに属するエンド機器５０００に対してシグネチャを配布する。
【０１１３】
このような実施の形態３のシグネチャ配布システムでは、情報解析装置１０００が検知したコンピュータウィルスもしくは不正アクセスの感染力や影響の及ぶ範囲に応じてシグネチャを配布する範囲を変更するようにしたので、影響力が大きければより広範囲のエンド機器に、影響力が小さければ狭い範囲のエンド機器に対してシグネチャデータを配布することができる。これにより、検知されたコンピュータウィルスもしくは不正アクセスに応じて必要度が高い位置にあるエンド機器にシグネチャを配布し、必要ではないエンド機器に対してはシグネチャの配布を行わないため、各エンド機器では必要であるシグネチャを効率的に記憶することができる。
【０１１４】
（実施の形態４）
以下に、本発明の実施の形態４によるシグネチャ配布システムについて説明する。
本実施の形態４のシグネチャ配布システムは、上記実施の形態１のシグネチャ配布システムにおける、配布用シグネチャ記憶部３０００およびシグネチャ配布装置４０００に代えて、図１２に示す配布用シグネチャ記憶部３２００および図１３に示すシグネチャ配布装置４３００を備えたものである。
【０１１５】
配布用シグネチャ記憶部３２００は、図１２に示す構造のデータレコードをもつデータベースであり、該データレコードは、シグネチャＩＤフィールド３００１、シグネチャ対応情報フィールド３００２、シグネチャデータフィールド３００３、及び影響機器情報フィールド３２０１を持つレコードの集合で構成される。図において、図４と同一構成要素については同一符号を付している。
【０１１６】
影響機器情報フィールド３２０１は、シグネチャ対応情報に記載されているコンピュータウィルスもしくは不正アクセスの影響を受けるＯＳやそのバージョンもしくはアーキテクチャなどの影響機器情報を記憶する。
【０１１７】
シグネチャ配布装置４３００の構成を図１３に示す。図において、図９と同一構成要素については同一符号を付している。
【０１１８】
図１３に示すシグネチャ配布装置４３００は、通信制御部４００１、近隣ネットワーク情報記憶部４１０２、配布端末決定部４３０１、及びエンド機器情報記憶部４３１０を備えたものである。
【０１１９】
配布端末決定部４３０１は、情報収集装置２０００から通知された検知結果メッセージＡ０００、影響機器情報、およびシグネチャデータを受け取り、該シグネチャデータの配布先を決定する。
【０１２０】
エンド機器情報記憶部４３１０は、エンド機器のＯＳやそのバージョン、アーキテクチャなどの機器固有情報を記憶する。このエンド機器情報記憶部４３１０に記憶されるエンド機器情報は、図１４に示すように、エンド機器を一意に識別できるエンド機器ＩＤ４３１１、ＯＳ情報４３１２、及びアーキテクチャ情報４３１３を含むものである。
【０１２１】
次に、動作について説明する。
配布端末決定部４３０１は、情報収集装置２０００から、検知結果メッセージＡ０００、影響機器情報、およびシグネチャデータを受信する。そして、受信した検知結果メッセージＡ０００に含まれる検知元アドレスＡ００１を元に、コンピュータウィルスもしくは不正アクセスを検知した情報解析装置１０００にネットワーク上で近いエンド機器群を特定する。さらに、特定したエンド機器群の中で、エンド機器情報記憶部４３１０に記録されている機器固有情報と上記影響機器情報とに基づいて、コンピュータウィルスもしくは不正アクセスの影響を受けるエンド機器を検索し、検索したエンド機器をシグネチャの配布先として決定する。
【０１２２】
通信制御部４００１では、配布端末決定部４２０１により配布先として決定したエンド機器５０００に対し、シグネチャを送信する。
【０１２３】
このような実施の形態４のシグネチャ配布システムでは、コンピュータウィルスや不正アクセスを検知した情報解析装置１０００にネットワーク上で近い単数または複数のエンド機器の中で、コンピュータウィルスや不正アクセスの影響を受けるＯＳやハードウェアを有するエンド機器５０００を検索し、検索の結果得られたエンド機器５０００に対してのみ、シグネチャを配布するようにしたので、エンド機器は、必要最小限のシグネチャを持つだけで、感染や侵入を防止することができ、エンド機器のリソースが効率的に使用できる。
【０１２４】
（実施の形態５）
以下に、本発明の実施の形態５によるシグネチャ配布システムについて説明する。
本実施の形態５のシグネチャ配布システムは、上記実施の形態１のシグネチャ配布システムにおける、シグネチャ配布装置４０００に代えて、図１５に示すシグネチャ配布装置４４００を備えたものである。
【０１２５】
シグネチャ配布装置４４００の構成を図１５に示す。図において、図９と同一構成要素については同一符号を付している。
【０１２６】
図１５に示すシグネチャ配布装置４４００は、通信制御部４００１、配布端末決定部４４０１、及びサービス登録情報記憶部４４１０を備えたものである。
【０１２７】
配布端末決定部４４０１は、情報収集装置２０００から検知結果メッセージＡ０００、シグネチャデータを受信し、該シグネチャデータの配布先を決定する。
【０１２８】
サービス登録端末記憶部４４１０は、特定のサービスに加入しているエンド機器のネットワークアドレスなどの情報を記録する。
【０１２９】
なお、図１５では、サービス登録情報記憶部４４１０をシグネチャ配布装置４４００内に備えている場合について示しているが、シグネチャ配布装置４４００外部に備えるようにしても良い。
【０１３０】
次に、動作について説明する。
配布端末決定部４４０１では、情報収集装置２０００から検知結果メッセージＡ０００、およびシグネチャデータを受信する。そして、受信した検知結果メッセージＡ０００に含まれる検知元アドレスＡ００１を元に、サービス登録端末記憶部４４１０に記憶されている情報に基づいて、上記特定のサービスに加入しているエンド機器のうちで、コンピュータウィルスや不正アクセスを検知した情報解析装置１０００と同じネットワークアドレスを有する単数または複数のエンド機器を判定し、判定した単数または複数のエンド機器を、シグネチャデータの配布先として決定する。
【０１３１】
通信制御部４００１では、配布端末決定部４４０１により配布先として決定した前記エンド機器に対し、シグネチャデータを送信する。
【０１３２】
このような実施の形態５のシグネチャ配布システムでは、シグネチャ配布装置４４００内の配布端末決定部４４０１によりシグネチャの配布先を決定する際に、特定のサービスに加入しているエンド機器の中から、シグネチャを配布すべき単数または複数のエンド機器を決定するようにしたので、ＩＳＰやＡＳＰなどでサービスを提供し、そのサービスの加入者のみにシグネチャ配布のサービスを行うことができる。
【０１３３】
（実施の形態６）
以下に、本発明の実施の形態６によるシグネチャ配布システムについて説明する。
本実施の形態６のシグネチャ配布システムは、上記実施の形態１のシグネチャ配布システムにおける、配布用シグネチャ記憶部３０００およびシグネチャ配布装置４０００に代えて、図１６に示す配布用シグネチャ記憶部３３００および図１７に示すシグネチャ配布装置４５００を備えたものである。
【０１３４】
配布用シグネチャ記憶部３３００は、図１６に示す構造のデータレコードをもつデータベースであり、該データレコードは、シグネチャＩＤフィールド３００１、シグネチャ対応情報フィールド３００２、シグネチャデータフィールド３００３、及び影響サービス情報フィールド３３０１を持つレコードの集合で構成される。図において、図４と同一構成要素については同一符号を付している。
【０１３５】
影響サービス情報フィールド３３０１は、シグネチャ対応情報に記載されているコンピュータウィルスもしくは不正アクセスの影響を受けるサービスやそのバージョンを示す影響サービス情報を記憶する。
【０１３６】
シグネチャ配布装置４５００の構成を図１７に示す。図において、図８と同一構成要素については同一符号を付している。
【０１３７】
図１７に示すシグネチャ配布装置４５００は、通信制御部４００１、配布端末決定部４５０１、及び機器スキャン部４５０２を備えたものである。
【０１３８】
配布端末決定部４５０１は、情報収集装置２０００から通知された検知結果メッセージＡ０００、影響サービス情報、およびシグネチャデータを受け取り、該シグネチャデータの配布先を決定する。
【０１３９】
機器スキャン部４５０２は、配布端末決定部４５０１により決定したアドレスを持つエンド機器に対しポートスキャンなど該エンド機器が行っているサービスを検知する。
【０１４０】
次に、動作について説明する。
配布端末決定部４５０１では、情報収集装置２０００から、検知結果メッセージＡ０００、影響サービス情報、およびシグネチャデータを受信し、検知結果メッセージＡ０００に含まれる検知元アドレスを元に、シグネチャデータの配布先を特定する。
【０１４１】
そして、機器スキャン部４５０２では、配布端末決定部４５０１により特定したエンド機器の各々が行っているサービスを検出し、影響サービス情報が示すサービスと一致するサービスを行っている単数または複数のエンド機器を検索する。
【０１４２】
通信制御部４００１では、機器スキャン部４５０２により検索した単数または複数のエンド機器に対して、シグネチャを配布する。
【０１４３】
このような実施の形態６のシグネチャ配布システムでは、配布端末決定部４５０１によりシグネチャの配布先として決定した単数または複数のエンド機器５０００の各々が行っているサービスを検索し、情報収集装置２００から受け取った影響サービス情報が示すサービスと一致するサービスを行っている単数または複数のエンド機器に対してのみシグネチャを配布するようにしたので、情報解析装置１０００が検知したコンピュータウィルスや不正アクセスが本当に影響を受けるサービスを行っているエンド機器のみにシグネチャデータを配布することになる。これにより、エンド機器は、さらに効率よく必要なシグネチャのみを持つことになる。
【０１４４】
（実施の形態７）
以下に、本発明の実施の形態７によるシグネチャ配布システムについて説明する。
本実施の形態７のシグネチャ配布システムは、上記実施の形態１のシグネチャ配布システムにおける、シグネチャ配布装置４０００に代えて、図１８に示すシグネチャ配布装置４６００を備えたものである。
【０１４５】
シグネチャ配布装置４６００の構成を図１８に示す。図において、図９と同一構成要素については同一符号を付している。
【０１４６】
図１８に示すシグネチャ配布装置４６００は、通信制御部４００１、近隣ネットワーク情報記憶部４１０２、配布端末決定部４６０１、及びエンド機器物理位置情報記憶部４６１０を備えたものである。
【０１４７】
配布端末決定部４６０１は、情報収集装置２０００から検知結果メッセージＡ１００、およびシグネチャデータを受信し、該シグネチャデータの配布先を決定する。
【０１４８】
エンド機器物理位置情報記憶部４６１０は、エンド機器の物理的な位置を示す情報を記憶する。
【０１４９】
図１９に、情報解析装置１０００から情報収集装置２０００に通知される検知結果メッセージＡ１００を示す。この検知結果メッセージＡ１００は、検知元アドレスＡ００１、検知情報Ａ００２、検知元物理座標Ａ１０１を含むものである。
【０１５０】
図２０に、エンド機器物理位置情報記憶部４６１０に記憶されているエンド機器情報を示す。このエンド機器情報は、エンド機器ＩＤ４３１１、ＯＳ情報４３１２、アーキテクチャ情報４３１３、物理的位置情報４６１１を含むものである。
【０１５１】
物理的位置情報４６１１は、エンド機器の物理的な位置情報を表すものである。例えば、エンド機器が設置されている場所の住所やＧＰＳから得られる緯度経度情報である。なお、エンド機器ＩＤ４３１１、ＯＳ情報４３１２、アーキテクチャ情報４３１３は、図１４に示すエンド機器情報におけるものと同一のものである。
【０１５２】
次に、動作について説明する。
配布端末決定部４６０１では、情報収集装置２０００から、検知結果メッセージＡ１００、およびシグネチャデータを受信する。そして、受信した検知結果メッセージＡ１００に含まれる検知元物理座標Ａ１０１を元に、エンド機器物理位置情報記憶部４６１０から、コンピュータウィルスもしくは不正アクセスを検知した情報解析装置１０００に物理的に近い単数または複数のエンド機器を検索し、検索した単数または複数のエンド機器を、シグネチャの配布先として決定する。
【０１５３】
通信制御部４００１では、配布端末決定部４６０１により配布先として決定したエンド機器に対し、シグネチャデータを送信する。
【０１５４】
例えば、パソコンがコンピュータウィルスに感染した場合に、このパソコンと同一住所で登録されている携帯電話に対しシグネチャを配布する。このようにすることで、パソコンと携帯電話との間でメモリカードを用いてデータのやりとりを行う際に、パソコンからメモリカード経由で携帯電話にコンピュータウィルスが感染してしまうのを防止することができる。
【０１５５】
このような実施の形態７のシグネチャ配布システムでは、情報解析装置１０００から情報収集装置２０００に対して送信される検知結果に該情報解析装置１０００の物理的位置情報を加えて送信し、シグネチャの配布先を決定する際に検知元アドレスに物理的に近い単数または複数のエンド機器に対してシグネチャを配布するようにしたので、コンピュータウィルスもしくは不正アクセスを検知した情報解析装置１０００の近隣で蔓延しているコンピュータウィルスや不正アクセスに対するシグネチャを、該情報解析装置１０００に物理的に近いエンド機器が持つ事になり、コンピュータウィルスもしくは不正アクセスを検知した情報解析装置にネットワーク上では遠いが物理的に近いエンド機器がフロッピー（登録商標）ディスクやメモリカード、ＣＤ‐Ｒなどの物理メディアを介してコンピュータウィルス感染もしくは不正アクセスされるのを防止することができる。
【０１５６】
（実施の形態８）
以下に、本発明の実施の形態８によるシグネチャ配布システムについて説明する。
本実施の形態８のシグネチャ配布システムは、上記実施の形態１のシグネチャ配布システムにおける、情報解析装置１０００に代えて、図２２に示す情報解析装置１１００を備えたものである。
【０１５７】
情報解析装置１１００の構成を図２２に示す。図において、図３と同一構成要素については同一符号を付している。
【０１５８】
図２２に示す情報解析装置１１００は、通信制御部１００１、感染・攻撃判定部１００２、感染・攻撃検知用シグネチャ記憶部１００３、および感染・攻撃端末特定部１１０１を備えている。
【０１５９】
感染・攻撃端末特定部１１０１は、感染・攻撃判定部１００２においてコンピュータウィルスもしくは不正アクセスを検知したときに、コンピュータウィルスに感染している、もしくは不正アクセスの攻撃を受けている単数または複数のエンド機器、及びその近隣のエンド機器を特定する。
【０１６０】
情報解析装置１１００から情報収集装置２０００に通知される検知結果メッセージは、図２１に示すような構成となる。図において、図２と同一構成要素については同一符号を付している。
【０１６１】
図２１に示す検知結果メッセージＡ２００は、検知元アドレスＡ００１、検知情報Ａ００２、および感染・侵入端末情報Ａ２０１を含むものである。感染・端末情報Ａ２０１は、感染・攻撃端末特定部１１０１により特定した端末に関する情報を示している。
【０１６２】
次に、動作について説明する。
感染・攻撃端末特定部１１０１では、感染・攻撃判定部１００２によるコンピュータウィルスもしくは不正アクセスの検知と連動して、該コンピュータウィルスに感染した端末もしくは不正アクセスの攻撃を受けた端末を特定する。そして、特定した端末情報を感染・侵入端末情報Ａ２０１と、コンピュータウィルスもしくは不正アクセスの検知結果に関する情報Ａ００１，Ａ００２とを含む検知結果メッセージＡ２００を情報収集装置２０００に送信する。
【０１６３】
情報収集装置２０００では、検知結果メッセージＡ２００に含まれる検知情報Ａ００２を元にウィルスの除去もしくはルートキットの削除や端末機能のロックなど侵入に対する対策を行うためのシグネチャを配布用シグネチャ記憶部３０００から検索し、検索したシグネチャを、検知元アドレスＡ００１及び感染・侵入端末情報Ａ２０１と共にシグネチャ配布装置４０００に送信する。
【０１６４】
シグネチャ配布装置４０００では、情報収集装置２０００から受け取った検知アドレスを元に感染・侵入端末及びその近隣のエンド機器を特定し、該特定したエンド機器に対し、情報収集装置２０００から受け取ったシグネチャを配布する。
【０１６５】
このような実施の形態８のシグネチャ配布システムでは、すでに感染・侵入されてしまった単数または複数のエンド機器とその近隣のエンド機器に対してシグネチャを配布するようにしたので、コンピュータウィルスや不正アクセスの封じ込め(感染・拡散の防止)を行うことができる。
【０１６６】
さらに、感染したエンド機器とその近隣端末で封じ込めを行うことで、それ以外のエンド機器に対してはシグネチャを配布する必要が無く、エンド機器のリソースを効率的に使用することができる。
【０１６７】
（実施の形態９）
以下に、本発明の実施の形態９によるシグネチャ配布システムについて説明する。
本実施の形態９のシグネチャ配布システムは、上記実施の形態１のシグネチャ配布システムにおける、配布用シグネチャ記憶部３０００およびシグネチャ配布装置４０００に代えて、図２３に示す配布用シグネチャ記憶部３４００および図２４に示すシグネチャ配布装置４７００を備えたものである。
【０１６８】
配布用シグネチャ記憶部３４００は、図２３に示す構造のデータレコードをもつデータベースであり、該データレコードは、シグネチャＩＤ３００１、シグネチャ対応情報３００２、影響機器情報フィールド３２０１、簡易シグネチャ情報フィールド３４０１、及び詳細シグネチャ情報フィールド３４０２を持つレコードの集合で構成される。図において、図１２と同一構成要素については同一符号を付している。
【０１６９】
簡易シグネチャ情報フィールド３４０１は、該当のコンピュータウィルスもしくは不正アクセスに対して検知のみを行うような、メモリリソースやＣＰＵリソースを消費しない簡易シグネチャデータを記憶する。
【０１７０】
詳細シグネチャ情報フィールド３４０２は、該当のコンピュータウィルスもしくは不正アクセスに対して駆除や防御までを行うような、メモリリソースやＣＰＵリソースを消費するがより高度な処理を行う詳細シグネチャデータを記憶する。
【０１７１】
シグネチャ配布装置４７００の構成を図２４に示す。図において、図９と同一構成要素については同一符号を付している。
【０１７２】
図２４に示すシグネチャ配布装置４７００は、通信制御部４００１、近隣ネットワーク情報記憶部４１０２、配布端末決定部４７０１、及びエンド機器リソース情報記憶部４７１０を備えたものである。
【０１７３】
配布端末決定部４７０１は、情報収集装置２０００から通知された検知結果メッセージＡ０００、影響機器情報、及びシグネチャデータを受信し、該シグネチャデータの配布先を決定する。
【０１７４】
エンド機器リソース情報記憶部４７１０は、エンド機器の搭載メモリやＣＰＵの処理能力などのリソース情報を記憶する。このエンド機器リソース情報記憶部４７１０に記憶されるエンド機器情報は、図２５に示すように、エンド機器を一意に識別できるエンド機器ＩＤ４３１１、ＯＳ情報４３１２、アーキテクチャ情報４３１３、及び機器リソース情報４７１１を含むものである。
【０１７５】
機器リソース情報４７１１は、エンド機器の搭載メモリやＣＰＵの処理能力などのリソースを示す情報である。例えば、ＣＰＵのＭＩＰＳ値や動作クロック周波数、搭載メモリの容量やキャッシュ容量などの情報が格納される。なお、エンド機器ＩＤ４３１１、ＯＳ情報４３１２、アーキテクチャ情報４３１３は、図１４におけるものと同一のものである。
【０１７６】
次に、動作について説明する。
配布端末決定部４７０１では、情報収集装置２０００から、検知結果メッセージＡ０００、影響機器情報、簡易シグネチャデータ、および詳細シグネチャデータを受信する。そして、受信した検知結果メッセージＡ０００に含まれる検知元アドレスＡ００１を元に、コンピュータウィルスもしくは不正アクセスを検知した情報解析装置１０００にネットワーク上で近いエンド機器群を特定する。さらに、特定したエンド機器群の中で、エンド機器リソース情報記憶部４７１０に記憶されているリソース情報を元に、簡易シグネチャデータもしくは詳細シグネチャデータの配布先を決定する。リソースの少ないエンド機器に対しては簡易シグネチャデータを、リソースが十分であるエンド機器に対しては詳細シグネチャデータを配布することを決定する。例えば、使用可能なメモリ容量が１メガバイト以下のように少ない場合や、ＣＰＵの処理能力が乏しい場合エンド機器に対しては簡易シグネチャデータを送信し、使用可能なメモリが数百メガバイト以上でＣＰＵの処理能力も余裕がある場合のエンド機器に対しては詳細シグネチャデータを送信する。
【０１７７】
通信制御部４００１では、配布端末決定部４７０１の決定に基づいて、配布先であるエンド機器に対し、簡易シグネチャデータあるいは詳細シグネチャデータを送信する。
【０１７８】
このような実施の形態９のシグネチャ配布システムでは、配布端末決定部４７０１はエンド機器５０００のリソース情報を元に、リソースの少ないエンド機器に対しては簡易シグネチャデータフィールドに記憶されているデータを配布し、リソースが十分なエンド機器に対しては詳細シグネチャデータフィールドに記憶されているデータを配布することを決定するので、エンド機器本来の機能を損なうことなくエンド機器上でコンピュータウィルスの検知や駆除、不正アクセスの検知や防御ができる。
【０１７９】
（実施の形態１０）
以下に、本発明の実施の形態１０によるシグネチャ配布システムについて説明する。
本実施の形態１０のシグネチャ配布システムは、上記実施の形態９のシグネチャ配布システムにおける、シグネチャ配布装置４７００に代えて、図２６に示すシグネチャ配布装置４８００を備えたものである。
【０１８０】
シグネチャ配布装置４８００の構成を図２６に示す。
図２６に示すシグネチャ配布装置４８００は、通信制御部４００１、配布端末決定部４８０１、及び機器リソース測定部４８０２を備えたものである。
【０１８１】
配布端末決定部４８０１は、情報収集装置２０００から検知結果メッセージＡ０００、およびシグネチャデータを受信し、該シグネチャデータの配布先を決定する。
機器リソース測定部４８０２は、エンド機器のリソースを測定する。
【０１８２】
次に、動作について説明する。
配布端末決定部４８０１では、情報収集装置２０００から、検知結果メッセージＡ０００、およびシグネチャデータを受信する。そして、受信した検知結果メッセージＡ０００に含まれる検知元アドレスＡ００１を元に、シグネチャデータの配布先を決定する。
【０１８３】
機器リソース測定部４８０２では、配布端末決定部４８０１により配布先として決定したエンド機器に対し、該エンド機器のリソースを測定するパケットを一回以上送信し、その応答結果及び応答時間によりエンド機器までのネットワークの状況を含んだエンド機器のリソースを測定する。
【０１８４】
通信制御部４００１では、機器リソース測定部４８０２によるリソースの測定の結果、リソースが少ないエンド機器に対しては簡易シグネチャデータを、リソースが十分であるエンド機器に対しては詳細シグネチャデータを送信する。例えばリソース測定の結果、使用可能なメモリ容量が１メガバイト以下のように少ない場合や、一定の処理に標準の数倍以上の時間がかかる場合エンド機器に対しては簡易シグネチャデータを送信し、使用可能なメモリが数百メガバイト以上で一定の処理に標準の数分の１以下の時間で済むようなエンド機器に対しては詳細シグネチャデータを送信する。
【０１８５】
このような実施の形態１０のシグネチャ配布システムにおいて、配布先として決定したエンド機器に対して、機器リソース測定部４８０２によるリソースの測定を行い、その結果、リソースが少ないエンド機器に対しては簡易シグネチャデータを配布し、リソースが十分なエンド機器に対しては詳細シグネチャデータを配布するようにしたので、エンド機器側で機器のアップデートやダウングレード、機器自体のリプレイスなどが発生しても、シグネチャ配布装置側でデータの変更作業を行うことなく機器のリソースに基づいたシグネチャの配布を行うことができる。
【０１８６】
（実施の形態１１）
以下に、本発明の実施の形態１１によるシグネチャ配布システムについて説明する。
本実施の形態１１のシグネチャ配布システムは、上記実施の形態９のシグネチャ配布システムにおける、シグネチャ配布装置４７００に代えて、図２７に示すシグネチャ配布装置４９００を備えたものである。
【０１８７】
シグネチャ配布装置４９００の構成を図２７に示す。
図２７に示すシグネチャ配布装置４９００は、通信制御部４００１、配布端末決定部４９０１、機器通信量測定部４９０２を備えたものである。
【０１８８】
配布端末決定部４９０１は、情報収集装置２０００から検知結果メッセージＡ０００、およびシグネチャデータを受信し、該シグネチャデータの配布先を決定する。
機器通信量測定部４９０２は、エンド機器の通信量を測定する。
【０１８９】
次に、動作について説明する。
配布端末決定部４９０１は、情報収集装置２０００から、検知結果メッセージＡ０００、およびシグネチャデータを受信する。そして、受信した検知結果メッセージＡ０００に含まれる検知元アドレスＡ００１を元に、シグネチャデータの配布先と決定する。
【０１９０】
機器通信量測定部４９０２は、配布端末決定部４９０１により配布先として決定したエンド機器に対し、該エンド機器の通信量を測定する。
【０１９１】
通信制御部４００１は、機器通信量測定部４９０２による通信量の測定の結果、通信量の少ないエンド機器に対しては簡易シグネチャデータを、通信量の多いエンド機器に対しては詳細シグネチャデータを送信する。例えば、１日に数回程度の通信しか行なわず、通信データのサイズも数十キロバイト程度のエンド機器に対しては簡易シグネチャデータを送信し、１時間に何回も通信を行うようなエンド機器や、１回の通信で非常に大きなデータを通信する、もしくは通信を維持するようなエンド機器に対しては詳細なシグネチャデータを送信するようにする。
【０１９２】
このような実施の形態１１のシグネチャ配布システムでは、配布先として決定したエンド機器に対し、機器通信量測定部４９０２による通信量の測定を行い、その結果、通信量の多いエンド機器に対しては詳細シグネチャデータを、通信量が少ないエンド機器に対しては簡易シグネチャデータを配布するようにしたので、データの送受信が多くその分コンピュータウィルスや不正アクセスに対するリスクが高いと思われる通信量が多いエンド機器に対し、コンピュータウィルスもしくは不正アクセスに対して駆除や防御までを行うシグネチャを配布することができる。
【０１９３】
（実施の形態１２）
以下に、本発明の実施の形態１１によるシグネチャ配布システムについて説明する。
本実施の形態１１のシグネチャ配布システムは、上記実施の形態１のシグネチャ配布システムにおける、情報解析装置１０００に代えて、図２８に示す情報解析装置１２００を備えたものである。
【０１９４】
情報解析装置１２００の構成を図２８に示す。
図２８に示す情報解析装置１２００は、通信制御部１００１、感染・攻撃判定部１００２、感染・攻撃検知用シグネチャ記憶部１００３、及びシグネチャ消去判定部１２０１を備えている。
【０１９５】
シグネチャ消去判定部１２０１は、コンピュータウィルスもしくは不正アクセスに対するシグネチャを使用する必要が有るか否かを判定する。なお、通信制御部１００１、感染・攻撃判定部１００２、感染・攻撃検知用シグネチャ記憶部１００３は、図３に示すものと同一のものである。
【０１９６】
次に、動作について説明する。
情報解析装置１２００では、シグネチャ消去判定部１２０１において、以前に配布されたシグネチャを使用する必要があるか否かを判定する。そして、判定の結果、感染・攻撃判定部１００２により検知されなくなるなどして必要がないと判定したシグネチャを消去する旨の消去メッセージを、通信制御部１００１を介して情報収集装置２０００に送信する。
【０１９７】
情報収集装置２０００では、上記消去メッセージを受け取ると、シグネチャ配布装置４０００に送信する。
【０１９８】
シグネチャ配布装置４０００では、上記消去メッセージに含まれる消去すべきシグネチャを記憶しているエンド機器５０００を特定し、上記消去メッセージを送信する。
【０１９９】
エンド機器５０００では、上記消去メッセージを受け取ると、受信した消去メッセージに含まれるシグネチャをシグネチャ記憶部５００３から消去する。
【０２００】
このような実施の形態１２のシグネチャ配布システムでは、情報解析装置１２００のシグネチャ消去判定部１２０１により不要と判定したシグネチャを、エンド機器５０００のシグネチャ記憶部５００３から削除するようにしたので、エンド機器５０００が持つシグネチャを必要最小限に抑え、エンド機器のリソースをより効率的に使用することができる。
【０２０１】
（実施の形態１３）
以下に、本発明の実施の形態１３によるシグネチャ配布システムについて説明する。
本実施の形態１３のシグネチャ配布システムは、上記実施の形態１のシグネチャ配布システムにおける、情報解析装置１０００に代えて、図２９に示す情報解析装置１３００を備えたものである。
【０２０２】
情報解析装置１３００の構成を図２９に示す。図において、図３と同一構成要素については同一符号を付している。
【０２０３】
図２９に示す情報解析装置１３００は、通信制御部１００１、感染・攻撃判定部１００２、感染・攻撃検知用シグネチャ記憶部１００３、シグネチャ消去判定部１３０１、および継続検知判定部１３０２を備えたものである。
【０２０４】
シグネチャ消去判定部１３０１は、コンピュータウィルスもしくは不正アクセスに対するシグネチャを使用する必要が有るか否かを判定する。
【０２０５】
継続検知判定部１３０２は、感染・攻撃判定部１００２がコンピュータウィルスもしくは不正アクセスを継続的に検知しているか否かを判定する。
【０２０６】
次に、動作について、説明する。
情報解析装置１３００では、継続検知判定部１３０２において、以前に感染・攻撃判定部１００２により検知されていたコンピュータウィルスおよび不正アクセスが継続的に検知されているか否かを判定する。判定の結果、継続的に検知されていないと判定した場合、シグネチャ消去判定部１３０１では、該当のコンピュータウィルスもしくは不正アクセスに関するシグネチャを削除する旨の消去メッセージを、通信制御部１００１を介して情報収集装置２０００に送信する。
【０２０７】
情報収集装置２０００では、上記消去メッセージを受け取ると、シグネチャ配布装置４０００に送信する。
【０２０８】
シグネチャ配布装置４０００では、上記消去メッセージに含まれる、消去すべきシグネチャを記憶しているエンド機器５０００を特定し、上記消去メッセージを送信する。
【０２０９】
エンド機器５０００では、上記消去メッセージを受け取ると、受信した消去メッセージに含まれるシグネチャをシグネチャ記憶部５００３から消去する。
【０２１０】
このような実施の形態１３のシグネチャ配布システムでは、コンピュータウィルスもしくは不正アクセスが継続的に検知されず、不必要となったシグネチャを消去するようにしたので、エンド機器がより安全な状態で、エンド機器でのシグネチャの削除を行うことができる。また、エンド機器５０００が持つシグネチャを必要最小限に抑え、エンド機器のリソースをより効率的に使用することができる。
【０２１１】
（実施の形態１４）
以下に、本発明の実施の形態１４によるシグネチャ配布システムについて説明する。
本実施の形態１４のシグネチャ配布システムは、上記実施の形態１のシグネチャ配布システムにおける、情報解析装置１０００に代えて、図３０に示す情報解析装置１４００を備えたものである。
【０２１２】
情報解析装置１４００の構成を図３０に示す。図において、図２９と同一構成要素については同一符号を付している。
【０２１３】
図３０に示す情報解析装置１４００は、通信制御部１００１、感染・攻撃判定部１００２、感染・攻撃検知用シグネチャ記憶部１００３、継続検知判定部１３０２、シグネチャ消去判定部１４０１、および消去判定タイマー１４０２を備えたものである。
【０２１４】
シグネチャ消去判定部１４０１は、コンピュータウィルスもしくは不正アクセスに対するシグネチャを使用する必要が有るか否かを判定する。
【０２１５】
消去判定タイマー１４０２は、感染・攻撃判定部１００２がコンピュータウィルスもしくは不正アクセスを検知してからの経過時間を計測する。この消去判定タイマー１４０２に対しては、該タイマーの計測時間と比較される一定の参照時間が設定されている。
【０２１６】
次に、動作について説明する。
情報解析装置１４００では、感染・攻撃判定部１００２によりコンピュータウィルスおよび不正アクセスを検知すると、検知してからの経過時間を消去判定タイマー１４０２で計測する。また、継続検知判定部１３０２において、感染・攻撃判定部１００２によりコンピュータおよび不正アクセスが継続的に検知されているか否かを判定する。
【０２１７】
そして、シグネチャ消去判定部１４０１は、継続検知判定部１３０２により、コンピュータウィルスもしくは不正アクセスが継続的に検知されていないと判定されている状態で、消去判定タイマー１４０２により計測した、該コンピュータウィルスもしくは該不正アクセスを検知してからの経過時間が、該タイマーに対して設定されている参照時間以上となった場合、該当のコンピュータウィルスもしくは不正アクセスに関するシグネチャを削除する旨の消去メッセージを、通信制御部１００１を介して情報収集装置２０００に送信する。
【０２１８】
情報収集装置２０００では、上記消去メッセージを受け取ると、シグネチャ配布装置４０００に送信する。
【０２１９】
シグネチャ配布装置４０００では、上記消去メッセージに含まれる、消去すべきシグネチャを記憶しているエンド機器５０００を特定し、上記消去メッセージを送信する。
【０２２０】
エンド機器５０００では、上記消去メッセージを受け取ると、受信した消去メッセージに含まれるシグネチャをシグネチャ記憶部５００３から消去する。
【０２２１】
このような実施の形態１４のシグネチャ配布システムでは、潜伏期間を持つようなコンピュータウィルスや時限発症式のコンピュータウィルスに関しても、検知から安全となる時間間隔をあけた上でシグネチャの削除を行うので、エンド機器がより安全な状態でエンド機器でのシグネチャの削除を行うことができる。
【０２２２】
（実施の形態１５）
以下に、本発明の実施の形態１５によるシグネチャ配布システムについて説明する。
本実施の形態１５のシグネチャ配布システムは、上記実施の形態９のシグネチャ配布システムにおける、情報解析装置１０００に代えて、図３１に示す情報解析装置１５００を備えたものである。
【０２２３】
情報解析装置１５００の構成を図３１に示す。図において、図３０と同一構成要素については同一符号を付している。
【０２２４】
図３１に示す情報解析装置１５００は、通信制御部１００１、感染・攻撃判定部１００２、感染・攻撃検知用シグネチャ記憶部１００３、継続検知判定部１３０２、消去判定タイマー１４０２、シグネチャ消去判定部１５０１、及び警戒判定タイマー１５０２を備えたものである。
【０２２５】
シグネチャ消去判定部１５０１は、コンピュータウィルスもしくは不正アクセスに対するシグネチャを使用する必要が無いことを判定する。
【０２２６】
警戒判定タイマー１５０２は、感染・攻撃判定部１００２がコンピュータウィルスもしくは不正アクセスを検知してからの経過時間を計測する。なお、この警戒判定タイマー１５０２に対しては、該タイマーの計測時間と比較される一定の参照時間が設定されており、該タイマー１５０２に対する参照時間は、消去判定タイマー１４０２に対して設定されている参照時間より短い時間である。
【０２２７】
次に、動作について説明する。
この実施の形態のシステムでは、情報解析装置１５００が、感染・攻撃判定部１００２によりコンピュータウィルスおよび不正アクセスを検知すると、検知結果メッセージを情報収集装置２０００に通知し、シグネチャ配布装置４０００はエンド機器５０００に対して詳細シグネチャデータを配布する。
【０２２８】
そして、情報解析装置１５００は、継続検知判定部１３０２により、感染・攻撃判定部１００２によりコンピュータおよび不正アクセスが継続的に検知されているか否かを判定する。また、検知してからの経過時間を消去判定タイマー１４０２及び警戒判定タイマー１５０２で計測する。シグネチャ消去判定部１５０１では、継続検知判定部１３０２により、継続的に検知されていないと判定されている状態で、警戒判定タイマー１５０２により計測した、該コンピュータウィルスもしくは該不正アクセスを検知してからの経過時間が、該タイマーに対して設定されている参照時間以上となった場合、詳細シグネチャデータの必要が無くなったと判断し、簡易シグネチャデータと入れ替える旨の警戒メッセージを情報収集装置２０００に通知する。
【０２２９】
情報収集装置２０００では、上記警戒メッセージを受け取ると、該当する簡易シグネチャデータを配布用シグネチャ記憶部３０００より検索し、シグネチャ配布装置４０００に送信する。
【０２３０】
シグネチャ配布装置４０００では、情報収集装置２０００から受信した簡易シグネチャデータの配布先を、上記警戒メッセージに基づいて決定し、決定したエンド機器５０００に上記簡易シグネチャデータを配布する。
【０２３１】
エンド機器５０００は、簡易シグネチャデータを受け取ると、現在記憶している詳細シグネチャデータを消去した上で、簡易シグネチャデータを記憶する。
【０２３２】
また、情報解析装置１５００では、シグネチャ消去判定部１５０１において、継続検知判定部１３０２により、継続的に検知されていないと判定されている状態で、消去判定タイマー１４０２により計測した、該コンピュータウィルスもしくは該不正アクセスを検知してからの経過時間が、該タイマーに対して設定されている参照時間以上となった場合、該当のコンピュータウィルスもしくは不正アクセスに関するシグネチャを削除する旨の消去メッセージを、通信制御部１００１を介して情報収集装置２０００に送信する。
【０２３３】
情報収集装置２０００では、上記消去メッセージを受け取ると、シグネチャ配布装置４０００に送信する。
【０２３４】
シグネチャ配布装置４０００では、上記消去メッセージに含まれる、消去すべきシグネチャを記憶しているエンド機器５０００を特定し、上記消去メッセージを送信する。
【０２３５】
エンド機器５０００では、上記消去メッセージを受け取ると、受信した消去メッセージに含まれるシグネチャをシグネチャ記憶部５００３から消去する。
【０２３６】
このような実施の形態１５のシグネチャ配布システムでは、危険が遠のいたエンド機器に関しては、簡単なシグネチャでの検知を行い、危険度が高いエンド機器に関しては今までどおり詳細なシグネチャで検知・駆除・防御を行うため、より効率的にリソースを使用でき且つ安全にエンド機器を使用することができる。
【０２３７】
なお、上記実施の形態１〜１５では、エンド機器側で該エンド機器が有するシグネチャが不必要であるか否かを判断し、不必要であると判断したシグネチャを消去する場合について示しているが、シグネチャ配布装置４０００が、配布済みのシグネチャの中で消去すべきシグネチャを決定し、該決定したシグネチャを持つ単数または複数のエンド機器を特定し、前記シグネチャの消去を指示するメッセージを送信することにより、エンド機器がシグネチャの消去をするようにしても良い。
【産業上の利用可能性】
【０２３８】
本発明にかかるシグネチャ配布システムは、ネットワーク機器へのウィルススキャナの配布や侵入検知システムへのシグネチャ配布を、効率的なシグネチャの配布とできるものであり、ネット家電などを含むエンド機器をコンピュータウィルスや不正アクセスから防御する上で有用なものである。
【０２３９】
また、ネットワーク機器が持つシグネチャの選択方法とし、機器の消費リソースを最小にする方法としても有用である。
【図面の簡単な説明】
【０２４０】
【図１】本発明の実施の形態１のシグネチャ配布システムの基本的な構成図である。
【図２】本発明の実施の形態１のシグネチャ配布システムにおいて、情報解析装置から出力される検知結果メッセージを示す。
【図３】本発明の実施の形態１のシグネチャ配布システムにおける、情報解析装置の構成を示す図である。
【図４】本発明の実施の形態１のシグネチャ配布システムにおける、配布用シグネチャ記憶部を構成するデータベースを示す図である。
【図５】本発明の実施の形態１のシグネチャ配布システムにおける、情報収集装置の構成を示す図である。
【図６】本発明の実施の形態１のシグネチャ配布システムにおける、シグネチャ配布装置の構成を示す図である。
【図７】本発明の実施の形態１のシグネチャ配布システムにおける、エンド機器の構成を示す図である。
【図８】本発明の実施の形態１のシグネチャ配布システムの具体例を示す図である。
【図９】本発明の実施の形態２のシグネチャ配布システムにおける、シグネチャ配布装置の構成を示す図である。
【図１０】本発明の実施の形態３のシグネチャ配布システムにおける、配布用シグネチャ記憶部を構成するデータベースを示す図である。
【図１１】本発明の実施の形態３のシグネチャ配布システムにおける、シグネチャ配布装置の構成を示す図である。
【図１２】本発明の実施の形態４のシグネチャ配布システムにおける、配布用シグネチャ記憶部を構成するデータベースを示す図である。
【図１３】本発明の実施の形態４のシグネチャ配布システムにおける、シグネチャ配布装置の構成を示す図である。
【図１４】本発明の実施の形態４のシグネチャ配布装置を構成するエンド機器情報記憶部に記憶される、エンド機器情報を示す図である。
【図１５】本発明の実施の形態５のシグネチャ配布システムにおける、シグネチャ配布装置の構成を示す図である。
【図１６】本発明の実施の形態６のシグネチャ配布システムにおける、配布用シグネチャ記憶部を構成するデータベースを示す図である。
【図１７】本発明の実施の形態６のシグネチャ配布システムにおける、シグネチャ配布装置の構成を示す図である。
【図１８】本発明の実施の形態７のシグネチャ配布システムにおける、シグネチャ配布装置の構成を示す図である。
【図１９】本発明の実施の形態７のシグネチャ配布システムにおいて、情報解析装置から出力される検知結果メッセージを示す図である。
【図２０】本発明の実施の形態７のシグネチャ配布装置を構成するエンド機器物理位置情報記憶部に記憶される、エンド機器情報を示す図である。
【図２１】本発明の実施の形態８のシグネチャ配布システムにおいて、情報解析装置から出力される検知結果メッセージを示す図である。
【図２２】本発明の実施の形態８のシグネチャ配布システムにおける、情報解析装置の構成を示す図である。
【図２３】本発明の実施の形態９のシグネチャ配布システムにおける、配布用シグネチャ記憶部を構成するデータベースを示す図である。
【図２４】本発明の実施の形態９のシグネチャ配布システムにおける、シグネチャ配布装置の構成を示す図である。
【図２５】本発明の実施の形態９のシグネチャ配布装置を構成するエンド機器リソース情報記憶部に記憶される、エンド機器情報を示す図である。
【図２６】本発明の実施の形態１０のシグネチャ配布システムにおける、シグネチャ配布装置の構成を示す図である。
【図２７】本発明の実施の形態１１のシグネチャ配布システムにおける、シグネチャ配布装置の構成を示す図である。
【図２８】本発明の実施の形態１２のシグネチャ配布システムにおける、情報解析装置の構成を示す図である。
【図２９】本発明の実施の形態１３のシグネチャ配布システムにおける、情報解析装置の構成を示す図である。
【図３０】本発明の実施の形態１４のシグネチャ配布システムにおける、情報解析装置の構成を示す図である。
【図３１】本発明の実施の形態１５のシグネチャ配布システムにおける、情報解析装置の構成を示す図である。
【符号の説明】
【０２４１】
１０００  情報解析装置
１００１  通信制御部
１００２  感染・攻撃判定部
１００３  感染・攻撃検知用シグネチャ記憶部
１１００  感染済み機器を考慮に入れた配布を行うための情報解析装置
１１０１  感染・攻撃端末特定部
１２００  シグネチャの削除を行うための情報解析装置
１２０１  シグネチャ消去判定部
１３００  継続検知結果によりシグネチャの削除を行うための情報解析装置
１３０１  継続検知結果によりシグネチャの削除を行うためのシグネチャ消去判定部
１３０２  継続検知判定部
１４００  タイマーによりシグネチャの削除を行うための情報解析装置
１４０１  タイマーによりシグネチャの削除を行うためのシグネチャ消去判定部
１４０２  消去判定タイマー
１５００  段階的タイマーによりシグネチャの削除を行うための情報解析装置
１５０１  段階的タイマーによりシグネチャの削除を行うためのシグネチャ消去判定部
１５０２  警戒判定タイマー
２０００  情報収集装置
２００１  通信制御部
２００２  配布用シグネチャ判定部
３０００  配布用シグネチャ記憶部
３００１  シグネチャＩＤ
３００２  シグネチャ対応情報
３００３  シグネチャデータ
３１００  検知結果の影響を考慮した配布を行うための配布用シグネチャ記憶部
３１０１  感染力・影響度情報
３２００  検知結果の影響機器を考慮した配布を行うための配布用シグネチャ記憶部
３２０１  影響機器情報
３３００  機器での稼動サービスを考慮に入れた配布を行うための配布用シグネチャ記憶部
３３０１  影響サービス情報
３４００  機器リソースを考慮に入れた配布を行うための配布用シグネチャ記憶部
３４０１  簡易シグネチャデータ
３４０２  詳細シグネチャデータ
４０００  シグネチャ配布装置
４００１  通信制御部
４００２  配布端末決定部
４１００  検知元の近隣に配布を行うためのシグネチャ配布装置
４１０１  検知元の近隣に配布を行う配布端末決定部
４１０２  近隣ネットワーク情報記憶部
４２００  検知結果の影響を考慮した配布を行うためのシグネチャ配布装置
４２０１  検知結果の影響を考慮した配布を行うための配布端末決定部
４２０２  影響範囲判定部
４３００  検知結果の影響機器を考慮した配布を行うためのシグネチャ配布装置
４３０１  検知結果の影響機器を考慮した配布を行うための配布端末決定部
４３１０  エンド機器情報記憶部
４３１１  エンド機器ＩＤ
４３１２  ＯＳ情報
４３１３  アーキテクチャ情報
４４００  登録サービスを考慮に入れた配布を行うためのシグネチャ配布装置
４４０１  登録サービスを考慮に入れた配布を行うための配布端末決定部
４４１０  サービス登録端末記憶部
４５００  機器での稼動サービスを考慮に入れた配布を行うためのシグネチャ配布装置
４５０１  機器での稼動サービスを考慮に入れた配布を行うための配布端末決定部
４５０２  機器スキャン部
４６００  物理位置を考慮に入れた配布を行うためのシグネチャ配布装置
４６０１  物理位置を考慮に入れた配布を行うための配布端末決定部
４６１０  物理位置を考慮に入れた配布を行うためのエンド機器情報記憶部
４６１１  物理的位置情報
４７００  機器リソースを考慮に入れた配布を行うためのシグネチャ配布装置
４７０１  機器リソースを考慮に入れた配布を行うための配布端末決定部
４７１０  機器リソースを考慮に入れた配布を行うためのエンド機器情報記憶部
４７１１  機器リソース情報
４８００  機器リソースを考慮に入れた配布を行うためのシグネチャ配布装置その２
４８０１  機器リソースを考慮に入れた配布を行うための配布端末決定部その２
４８０２  機器リソース測定部
５０００  エンド機器
５００１  通信制御部
５００２  シグネチャ制御部
５００３  シグネチャ記憶部
５００４  コンピュータウィルス検知・駆除部
５００５  侵入検知・防御部
Ａ０００  検知結果メッセージ
Ａ００１  検知元アドレス
Ａ００２  検知情報
Ａ１００  物理位置を考慮に入れた配布を行うための検知結果メッセージ
Ａ１０１  検知元物理座標
Ａ２００  感染済み機器を考慮に入れた配布を行うための検知結果メッセージ
Ａ２０１  感染・侵入端末情報
【図１】
2007011628.tif 000003
【図２】
2007011628.tif 000004
【図３】
2007011628.tif 000005
【図４】
2007011628.tif 000006
【図５】
2007011628.tif 000007
【図６】
2007011628.tif 000008
【図７】
2007011628.tif 000009
【図８】
2007011628.tif 000010
【図９】
2007011628.tif 000011
【図１０】
2007011628.tif 000012
【図１１】
2007011628.tif 000013
【図１２】
2007011628.tif 000014
【図１３】
2007011628.tif 000015
【図１４】
2007011628.tif 000016
【図１５】
2007011628.tif 000017
【図１６】
2007011628.tif 000018
【図１７】
2007011628.tif 000019
【図１８】
2007011628.tif 000020
【図１９】
2007011628.tif 000021
【図２０】
2007011628.tif 000022
【図２１】
2007011628.tif 000023
【図２２】
2007011628.tif 000024
【図２３】
2007011628.tif 000025
【図２４】
2007011628.tif 000026
【図２５】
2007011628.tif 000027
【図２６】
2007011628.tif 000028
【図２７】
2007011628.tif 000029
【図２８】
2007011628.tif 000030
【図２９】
2007011628.tif 000031
【図３０】
2007011628.tif 000032
【図３１】
2007011628.tif 000033