(57)【要約】【課題】未発見のコンピュータウィルスであってもコンピュータウィルスに感染しているネットワーク機器を確実に検出することができるとともに、コンピュータウィルスに感染しているネットワーク機器の誤検出がなく、コンピュータウィルスに感染しているネットワーク機器の検出精度が高く、信頼性が高いようにする。【解決手段】ネットワーク内で伝送されるパケットを監視することによってネットワーク機器の異常を検出する異常検出装置と、前記ネットワーク機器のコンピュータウィルスに対する脆弱性を判断する脆弱性検出装置とを有し、前記異常検出装置によって異常が検出されたネットワーク機器がコンピュータウィルスに対して脆弱であると、該ネットワーク機器がコンピュータウィルスに感染していると判断する。【選択図】図１
2007226365.tif 000002
【特許請求の範囲】
【請求項１】
（ａ）ネットワーク内で伝送されるパケットを監視することによってネットワーク機器の異常を検出する異常検出装置と、
（ｂ）前記ネットワーク機器のコンピュータウィルスに対する脆弱性を判断する脆弱性検出装置とを有し、
（ｃ）前記異常検出装置によって異常が検出されたネットワーク機器がコンピュータウィルスに対して脆弱であると、該ネットワーク機器がコンピュータウィルスに感染していると判断することを特徴とするウィルス検出システム。
【請求項２】
（ａ）前記ネットワーク機器のコンピュータウィルスに対する脆弱性調査の調査結果を記録する検査結果データベースを有し、
（ｂ）前記脆弱性検出装置は、前記検査結果データベースを参照して前記脆弱性を判断する請求項１に記載のウィルス検出システム。
【請求項３】
前記異常検出装置によって異常が検出されたネットワーク機器に関する調査結果が前記検査結果データベースに記録されていない場合、前記脆弱性検出装置は、前記ネットワーク機器に関して前記脆弱性調査を実施して前記脆弱性を判断する請求項２に記載のウィルス検出システム。
【請求項４】
前記脆弱性検出装置は、実施した前記脆弱性調査の調査結果を前記検査結果データベースに記録する請求項３に記載のウィルス検出システム。
【請求項５】
（ａ）前記ネットワークの管理者が操作する管理端末を有し、
（ｂ）前記ネットワーク機器がコンピュータウィルスに感染していると判断されると、アラートが前記管理端末に通知される請求項１〜４のいずれか１項に記載のウィルス検出システム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、ウィルス検出システムに関するものである。
【背景技術】
【０００２】
従来、企業等の組織内に配設されたコンピュータのネットワークをインターネット等の外部ネットワークに接続する場合、コンピュータウィルスの侵入を防ぐためにウィルスチェックを行うようになっている。前記ネットワークにコンピュータウィルスが侵入すると、前記ネットワークに接続されたパーソナルコンピュータ、サーバ等の端末がコンピュータウィルスに感染し、端末に格納されたファイルが改竄（ざん）されたり、重要なデータが電子メール等によって外部に送信されたり、端末の動作が不良になったりして、前記組織の業務等に重大な支障を来すことになる。
【０００３】
そこで、ウィルス検出システムを採用してコンピュータのネットワークに侵入したコンピュータウィルスを検出し、検出されたコンピュータウィルスの除去、改竄されたファイルの修復等の必要な措置を行うようになっている。そして、一般的に採用されているウィルス検出システムには、侵入したコンピュータウィルスを検出する機能を備えたウィルス検出ソフトをネットワークに接続された各端末にインストールするタイプや、ネットワーク内で伝送されるパケットを監視してコンピュータウィルスを検出するタイプのものが知られている（例えば、特許文献１及び２参照。）。
【特許文献１】特開平１１−１６７４８７号公報
【特許文献２】特開２００３−２４１９８９号公報
【発明の開示】
【発明が解決しようとする課題】
【０００４】
しかしながら、前記従来のウィルス検出システムにおいては、コンピュータのネットワークに侵入したコンピュータウィルスを適切に検出することができない恐れがある。例えば、ウィルス検出ソフトをネットワークに接続された各端末にインストールするタイプのウィルス検出システムの場合、ウィルス検出ソフトがインストールされていない端末をネットワークに接続すると、当該端末がコンピュータウィルスに感染していても検出することができないので、コンピュータウィルスがネットワークに侵入してしまう。
【０００５】
また、ネットワーク内で伝送されるパケットを監視するタイプのウィルス検出システムには、特許文献１に記載されているようなシグネチャによる検出方式を採用するものと、特許文献２に記載されているような異常検出方式を採用するものとが存在する。しかし、シグネチャによる検出方式を採用するウィルス検出システムの場合、あらかじめ発見されて記憶されているウィルスパターンに合致するコンピュータウィルスを検出するので、未発見の新種や亜種のコンピュータウィルスを検出することができない。
【０００６】
一方、異常検出方式を採用するウィルス検出システムの場合、通常と異なる通信、例えば、使用していないＩＰアドレス（Ｉｎｔｅｒｎｅｔ  Ｐｒｏｔｏｃｏｌ  Ａｄｄｒｅｓｓ）への通信、ポートスキャン、ＩＰスイープ等の通信やネットワークにおける通信トラフィック量の変動に基づいてコンピュータウィルスを検出するので、新種や亜種のコンピュータウィルスを検出することもできる。しかし、単にＩＰスイープや通信トラフィック量の変動を検出するだけであると、誤検出が多くなり、検出精度が低下し、検出結果の信頼性が低くなってしまう。
【０００７】
本発明は、前記従来のシステムの問題点を解決して、ネットワーク内で伝送されるパケットを監視することによってネットワーク機器の異常を検出する異常検出装置と、前記ネットワーク機器のコンピュータウィルスに対する脆（ぜい）弱性を判断する脆弱性検出装置とを有し、異常が検出されたネットワーク機器がコンピュータウィルスに対して脆弱であると該ネットワーク機器がコンピュータウィルスに感染していると判断するようにして、未発見のコンピュータウィルスであっても該コンピュータウィルスに感染しているネットワーク機器を確実に検出することができるとともに、コンピュータウィルスに感染しているネットワーク機器の誤検出がなく、コンピュータウィルスに感染しているネットワーク機器の検出精度が高く、信頼性の高いウィルス検出システムを提供することを目的とする。
【課題を解決するための手段】
【０００８】
そのために、本発明のウィルス検出システムにおいては、ネットワーク内で伝送されるパケットを監視することによってネットワーク機器の異常を検出する異常検出装置と、前記ネットワーク機器のコンピュータウィルスに対する脆弱性を判断する脆弱性検出装置とを有し、前記異常検出装置によって異常が検出されたネットワーク機器がコンピュータウィルスに対して脆弱であると、該ネットワーク機器がコンピュータウィルスに感染していると判断する。
【０００９】
本発明の他のウィルス検出システムにおいては、さらに、前記ネットワーク機器のコンピュータウィルスに対する脆弱性調査の調査結果を記録する検査結果データベースを有し、前記脆弱性検出装置は、前記検査結果データベースを参照して前記脆弱性を判断する。
【００１０】
本発明の更に他のウィルス検出システムにおいては、さらに、前記異常検出装置によって異常が検出されたネットワーク機器に関する調査結果が前記検査結果データベースに記録されていない場合、前記脆弱性検出装置は、前記ネットワーク機器に関して前記脆弱性調査を実施して前記脆弱性を判断する。
【００１１】
本発明の更に他のウィルス検出システムにおいては、さらに、前記脆弱性検出装置は、実施した前記脆弱性調査の調査結果を前記検査結果データベースに記録する。
【００１２】
本発明の更に他のウィルス検出システムにおいては、さらに、前記ネットワークの管理者が操作する管理端末を有し、前記ネットワーク機器がコンピュータウィルスに感染していると判断されると、アラートが前記管理端末に通知される。
【発明の効果】
【００１３】
本発明によれば、ウィルス検出システムにおいては、ネットワーク内で伝送されるパケットを監視することによってネットワーク機器の異常を検出する異常検出装置と、前記ネットワーク機器のコンピュータウィルスに対する脆弱性を判断する脆弱性検出装置とを有し、異常が検出されたネットワーク機器がコンピュータウィルスに対して脆弱であると該ネットワーク機器がコンピュータウィルスに感染していると判断するようになっている。これにより、未発見のコンピュータウィルスであっても該コンピュータウィルスに感染しているネットワーク機器を確実に検出することができる。そのため、コンピュータウィルスに感染しているネットワーク機器の誤検出がなく、コンピュータウィルスに感染しているネットワーク機器の検出精度が高く、信頼性を向上させることができる。
【発明を実施するための最良の形態】
【００１４】
以下、本発明の実施の形態について図面を参照しながら詳細に説明する。
【００１５】
図１は本発明の実施の形態におけるウィルス検出システムの構成を示す図、図２は本発明の実施の形態における検査結果データベースに記録される項目の例を示す図である。
【００１６】
図１において、１０はウィルス検出システムであり、ネットワーク１７に接続されたネットワーク機器がコンピュータウィルスに感染していることを検出するシステムである。ここで、前記ネットワーク１７は、例えば、企業、団体等の組織、個人の家庭等に配設されたＬＡＮ（Ｌｏｃａｌ  Ａｒｅａ  Ｎｅｔｗｏｒｋ）、ＷＡＮ（Ｗｉｄｅ  Ａｒｅａ  Ｎｅｔｗｏｒｋ）、イントラネット等の無線又は有線のネットワークであるが、いかなる場所に配設され、いかなる用途に用いられるものであってもよい。そして、前記ネットワーク１７には、スイッチングハブとしてのスイッチ１４及びルータ１６を介して、ネットワーク機器としての端末１５ａ及び端末１５ｂが接続されている。
【００１７】
なお、前記端末１５ａ及び端末１５ｂは、ＣＰＵ、ＭＰＵ等の演算手段、半導体メモリ、磁気ディスク等の記憶手段、ＣＲＴ、液晶ディスプレイ、ＬＥＤ（Ｌｉｇｈｔ  Ｅｍｉｔｔｉｎｇ  Ｄｉｏｄｅ）ディスプレイ等から成る表示手段、キーボード、マウス等の入力手段、通信インターフェイス等を備えるコンピュータであり、例えば、パーソナルコンピュータ、サーバ等であるが、いかなる種類のものであってもよい。また、前記端末１５ａ及び端末１５ｂを統合的に説明する場合には、端末１５として説明する。なお、該端末１５の数は、単数であってもよいし、三つ以上であってもよいし、いくつであってもよいが、ここでは、端末１５ａ及び端末１５ｂの二つであるものとして説明する。
【００１８】
また、前記スイッチ１４は、スイッチング機能を備えた集線装置、すなわち、ハブであり、送られてきたデータの中に含まれる送信先のアドレスを読み取って、該アドレスに対応する端末１５にデータを送る機能を備えている。さらに、前記スイッチ１４はミラーポート１４ａを備え、スイッチ１４を流れるすべてのデータのパケットのコピーが前記ミラーポート１４ａから送出されるようになっている。
【００１９】
そして、前記ウィルス検出システム１０は、前記スイッチ１４に加えて、異常検出装置１１、脆弱性検出装置としてのセキュリティチェック装置１２及び管理端末１３を有する。
【００２０】
ここで、前記異常検出装置１１は、ＣＰＵ、ＭＰＵ等の演算手段、半導体メモリ等の記憶手段、入出力インターフェイス等を備える一種のコンピュータである。そして、前記異常検出装置１１は、前記スイッチ１４のミラーポート１４ａに接続され、該ミラーポート１４ａから送出されるパケット、すなわち、スイッチ１４を流れるすべてのデータのパケットのコピーを監視して、ＩＰスイープや通信トラフィックの異常を検出する機能を有する。なお、ＩＰスイープとは、あるＩＰアドレス範囲に対して連続的にパケットを送信して、コンピュータネットワークに存在するネットワーク機器のアドレスを調べる攻撃のことであり、コンピュータウィルスが感染活動を行う際に、感染端末を探す場合にも行われる。
【００２１】
また、前記セキュリティチェック装置１２は、ＣＰＵ、ＭＰＵ等の演算手段、半導体メモリ等の記憶手段、入出力インターフェイス等を備える一種のコンピュータであり、前記異常検出装置１１、管理端末１３及びスイッチ１４に接続されている。そして、前記セキュリティチェック装置１２は、スイッチ１４に接続された端末１５に対して、ＯＳ（オペレーティングシステム）やアプリケーションプログラムの脆弱性調査、すなわち、セキュリティスチェックを実施する機能を有する。
【００２２】
なお、脆弱性調査とは、コンピュータネットワークに接続されているパーソナルコンピュータ等のネットワーク機器のＯＳやアプリケーションプログラムにセキュリティパッチ（Ｓｅｃｕｒｉｔｙ  Ｐａｔｃｈ）が当たっているか否かをコンピュータネットワーク越しに調査することである。具体的には、調査対象のＩＰアドレスに対して特殊なパケットを送信し、それに対するレスポンスに基づいてＩＰアドレスに対応するネットワーク機器のＯＳやアプリケーションプログラムのバージョン情報やセキュリティパッチ適用状況を調査する。そして、調査した結果、脆弱性が一般公開されているバージョンのＯＳやアプリケーションプログラムをネットワーク機器が使用している場合、又は、管理者が設定したバージョンより低いバージョンのＯＳやアプリケーションプログラムをネットワーク機器が使用している場合、当該ネットワーク機器には脆弱性があると判定する。なお、脆弱性調査を行うためのツールとしては、例えば、リモートからＷｉｎｄｏｗｓ（Ｒ）のセキュリティパッチ適用状況を確認するツール「ＫＢ８２４１４６  Ｓｃａｎｎｉｎｇ  Ｔｏｏｌ」（マイクロソフト社が無料配布）や、調査対象のネットワーク機器に疑似攻撃をかけてシステム情報を取得する「Ｎｅｓｓｕｓ」（Ｎｅｓｓｕｓ  プロジェクト  ｈｔｔｐ：／／ｗｗｗ．ｎｅｓｓｕｓ．ｏｒｇ／で配布）などがある。
【００２３】
さらに、前記セキュリティチェック装置１２は、脆弱性調査の調査結果を記録する検査結果データベース１２ａを備える。該検査結果データベース１２ａには、図２に示されるように、検査時刻、検査ＩＰアドレス、検査結果等の項目の結果が記録されている。
【００２４】
そして、前記管理端末１３は、ＣＰＵ、ＭＰＵ等の演算手段、磁気ディスク、半導体メモリ等の記憶手段、キーボード、マウス、押しボタン、タッチパネル等の入力手段、ＣＲＴ、液晶ディスプレイ、ＬＥＤディスプレイ等の表示手段、通信インターフェイス等を備えるコンピュータであり、システムオペレータ等のネットワーク１７の管理者によって操作される。ここで、前記管理端末１３は、前記異常検出装置１１及びセキュリティチェック装置１２に接続され、前記異常検出装置１１及びセキュリティチェック装置１２の上位装置として機能する。
【００２５】
次に、前記構成のウィルス検出システム１０の動作について説明する。
【００２６】
図３は本発明の実施の形態におけるウィルス検出システムの動作を示すフローチャートである。
【００２７】
ここで、端末１５ａが何らかの原因でコンピュータウィルスに感染したものとする。コンピュータウィルスに感染すると、前記端末１５ａは、コンピュータウィルスの感染パケットを他の端末１５ｂやネットワーク１７に対して送信し始める。感染パケットがスイッチ１４を通って端末１５ｂやネットワーク１７に対して送信されるので、前記感染パケットのコピーがミラーポート１４ａから異常検出装置１１に送出される。
【００２８】
一方、ウィルス検出システム１０においては、異常検出装置１１のネットワーク監視が行われ、異常検出装置１１は、スイッチ１４を流れるすべてのデータのパケットのコピーを監視し、異常があるか否かの判断を繰り返している。そして、前記ミラーポート１４ａから送出された感染パケットのコピーを受信すると、前記異常検出装置１１は異常ありと判断する、すなわち、通信トラフィックの異常を検出する。なお、感染パケットは、一般的に、ＩＰスイープを行う。そして、前記異常検出装置１１は、感染パケットの送信元である端末１５ａのＩＰアドレスをセキュリティチェック装置１２に通知する。
【００２９】
すると、該セキュリティチェック装置１２は、検査結果データベース１２ａを参照して、受け取ったＩＰアドレスが前記検査結果データベース１２ａに載っているか、すなわち、検査結果データベース１２ａに通知されたＩＰアドレスがあるか否かを判断する。そして、検査結果データベース１２ａに通知されたＩＰアドレスがない場合、前記セキュリティチェック装置１２は、通知されたＩＰアドレスである端末１５ａに対して、ＯＳやアプリケーションプログラムの脆弱性調査、すなわち、セキュリティチェックを実施し、その実施結果を検査結果データベース１２ａに記録する。
【００３０】
また、前記セキュリティチェック装置１２は、前記検査結果データベース１２ａを参照して、セキュリティチェックの実施結果が脆弱性ありか否かを判断する。そして、実施結果が脆弱性あり、すなわち、セキュリティチェックを実施した結果、端末１５ａに脆弱性が見つかった場合、該脆弱性を利用するコンピュータウィルスに端末１５ａが感染している可能性が高いので、前記セキュリティチェック装置１２は管理端末１３にアラート（警報：Ａｌｅｒｔ）を通知する。これにより、管理者は、端末１５ａがコンピュータウィルスに感染していることを把握する。また、実施結果が脆弱性なし、すなわち、セキュリティチェックを実施した結果、端末１５ａに脆弱性が見つからなかった場合、端末１５ａがコンピュータウィルスに感染している可能性が低いので、前記セキュリティチェック装置１２は管理端末１３にアラートを通知しない。これにより、コンピュータウィルスの誤検出によるアラートを大幅に減らすことができる。
【００３１】
続いて、前記セキュリティチェック装置１２は、実施結果が脆弱性あり又はなしに係わらず、検査結果データベース１２ａの古い情報をクリアする。これにより、検査結果データベース１２ａの情報がセキュリティチェックの実施結果によって更新される。そのため、同一のＩＰアドレス、すなわち、前記端末１５ａに対するセキュリティチェックを一定期間省略することができる。
【００３２】
一方、検査結果データベース１２ａに異常検出装置１１から通知されたＩＰアドレスがある場合、セキュリティチェック装置１２は、検査結果データベース１２ａの記録、すなわち、異常検出装置１１から通知されたＩＰアドレスに対応する検査結果の項目の内容が、脆弱性ありか否かを判断する。そして、検査結果データベース１２ａの記録が脆弱性ありの場合、該脆弱性を利用するコンピュータウィルスに端末１５ａが感染している可能性が高いので、前記セキュリティチェック装置１２は管理端末１３にアラートを通知する。また、検査結果データベース１２ａの記録が脆弱性なしの場合、端末１５ａがコンピュータウィルスに感染している可能性が低いので、前記セキュリティチェック装置１２は管理端末１３にアラートを通知しない。
【００３３】
次に、フローチャートについて説明する。
ステップＳ１  異常検出装置１１はネットワークの監視を行う。
ステップＳ２  異常があるか否かを判断する。異常がある場合はステップＳ３に進み、異常がない場合はステップＳ１に戻る。
ステップＳ３  ＩＰアドレスをセキュリティチェック装置１２に通知する。
ステップＳ４  検査結果データベース１２ａに通知されたＩＰアドレスがあるか否かを判断する。検査結果データベース１２ａに通知されたＩＰアドレスがある場合はステップＳ９に進み、検査結果データベース１２ａに通知されたＩＰアドレスがない場合はステップＳ５に進む。
ステップＳ５  通知されたＩＰアドレスである端末１５ａに対してセキュリティチェックを実施し、実施結果を検査結果データベース１２ａに記録する。
ステップＳ６  セキュリティチェックの実施結果が脆弱性ありか否かを判断する。セキュリティチェックの実施結果が脆弱性ありの場合はステップＳ７に進み、セキュリティチェックの実施結果が脆弱性なしの場合はステップＳ８に進む。
ステップＳ７  管理端末１３にアラートを通知する。
ステップＳ８  検査結果データベース１２ａの古い情報をクリアする。
ステップＳ９  検査結果データベース１２ａの記録が脆弱性ありか否かを判断する。検査結果データベース１２ａの記録が脆弱性ありの場合はステップＳ７に戻り、検査結果データベース１２ａの記録が脆弱性なしの場合はステップＳ８に戻る。
【００３４】
このように、本実施の形態において、ウィルス検出システム１０は、異常検出装置１１が異常を検出した端末１５に対し、セキュリティチェック装置１２が脆弱性調査を実施して前記端末１５がコンピュータウィルスに感染している可能性があるか否かを確認し、感染している可能性があると管理端末１３にアラートが通知されるようになっている。そのため、異常検出装置１１が異常を検出しただけで管理端末１３にアラートが通知される場合と比較して、誤検出がなく、信頼性の高いウィルス検出を行うことができる。
【００３５】
なお、本実施の形態においては、異常検出装置１１とセキュリティチェック装置１２とが各々別個に構成されている場合について説明したが、異常検出装置１１とセキュリティチェック装置１２とを一体的に構成することもできる。
【００３６】
また、本実施の形態においては、セキュリティチェック装置１２が検査結果データベース１２ａを備える場合について説明したが、セキュリティチェック装置１２以外の装置が検査結果データベース１２ａを備えるようにすることもできる。
【００３７】
さらに、本実施の形態においては、検査結果データベース１２ａをセキュリティチェック装置１２が参照する場合について説明したが、前記検査結果データベース１２ａを異常検出装置１１が参照して、過去の検査結果に基づいて管理端末１３にアラートを通知するか否かを決定するようにすることもできる。
【００３８】
なお、本発明は前記実施の形態に限定されるものではなく、本発明の趣旨に基づいて種々変形させることが可能であり、それらを本発明の範囲から排除するものではない。
【図面の簡単な説明】
【００３９】
【図１】本発明の実施の形態におけるウィルス検出システムの構成を示す図である。
【図２】本発明の実施の形態における検査結果データベースに記録される項目の例を示す図である。
【図３】本発明の実施の形態におけるウィルス検出システムの動作を示すフローチャートである。
【符号の説明】
【００４０】
１０    ウィルス検出システム
１１    異常検出装置
１２    セキュリティチェック装置
１２ａ    検査結果データベース
１３    管理端末
１５ａ、１５ｂ    端末
１７    ネットワーク
【図１】
2007226365.tif 000003
【図２】
2007226365.tif 000004
【図３】
2007226365.tif 000005