(57)【要約】      （修正有）【課題】クライアントがウイルスに感染した場合に防御措置を即時に行うことでウイルスの拡散を効果的に阻止する。【解決手段】クライアント２１のネットワークトラフィックを分析することにより、前記クライアント２１によるネットワーク通信サービスの取得過程において前記クライアントトラフィックに疑わしいファイルがあるかどうかを検知し、その存在を検知した場合、前記疑わしいファイルサンプル２１１を捕獲し、ネットワークウイルス及びそのウイルス動作が存在するかどうかを分析し、ネットワークウイルス動作分析報告２２１を生成し、前記疑わしいファイルサンプル２１１及びネットワークウイルス動作分析報告２２１を、ウイルス駆除プログラムの製作のためにウイルス対策業者２３に提供し、ウイルス対策業者２３から返送されたウイルス駆除プログラム２３１を受信した後、対応するウイルス検査駆除作業を行う。【選択図】図３
2012064208.tif 000002
【特許請求の範囲】
【請求項１】
ネットワークシステムを介して各クライアント及びウイルス対策業者ウイルス分析センターに接続されたネットワークウイルス防止システムであって、
前記各クライアントがネットワーク通信サービスを取得する過程においてそのクライアントトラフィックに疑わしいファイルが存在するかどうかを検知するための検知モジュールと、
前記検知モジュールが前記ネットワーク通信サービスの取得過程における前記クライアントトラフィックに前記疑わしいファイルが存在することを検知した場合、前記クライアントトラフィックにおける前記疑わしいファイルの疑わしいファイルサンプルを捕獲することにより、前記疑わしいファイルサンプルにネットワークウイルスが存在するかどうか及び前記ネットワークウイルスが実行し得る悪質動作を分析するとともに、前記疑わしいファイルサンプルに対応するネットワークウイルス動作分析報告を生成するための分析モジュールと、
前記検知モジュールによって捕獲された前記疑わしいファイルサンプル及び前記分析モジュールによって生成された前記疑わしいファイルサンプルに対応する前記ネットワークウイルス動作分析報告を、前記ウイルス対策業者ウイルス分析センターに伝送することにより、前記ウイルス対策業者ウイルス分析センターが対応するウイルス駆除プログラムを製作するようにするための伝送モジュールと、
前記検知モジュールによって捕獲された前記疑わしいファイルサンプル及び前記分析モジュールによって生成された前記疑わしいファイルサンプルに対応する前記ネットワークウイルス動作分析報告に基づいて、前記ネットワークシステムを介して前記疑わしいファイルサンプルによって感染したクライアントに対してネットワーク端ウイルス防止サービスを提供することにより、感染した前記クライアントがウイルス防止状態操作モードを実行するようにするための防御モジュールと、
前記ウイルス対策業者ウイルス分析センターによって製作され返送された前記ウイルス駆除プログラムを受信することにより、ウイルス防止状態操作モードにあるクライアントに対して対応するウイルス検査駆除作業を行うためのウイルス検査駆除モジュールと、
を備えることを特徴とするネットワークウイルス防止システム。
【請求項２】
前記ネットワークウイルスは、ゾンビネットワークウイルス（ＢＯＴＮＥＴ）又はウイルス攻撃対象に対して指向性を有するターゲット型攻撃ウイルスであることを特徴とする請求項１に記載のネットワークウイルス防止システム。
【請求項３】
ＩＳＰ又はＩＤＣネットワークに構築されていることを特徴とする請求項１に記載のネットワークウイルス防止システム。
【請求項４】
前記分析モジュールは、捕獲された前記疑わしいファイルサンプルをサンドボックス（ｓａｎｄｂｏｘ）に移動することにより、前記サンドボックスにおいて前記疑わしいファイルサンプルを開き、さらに前記疑わしいファイルサンプルにおいて実行可能なプログラム又は攻撃プログラムコードが存在するかどうかを分析するとともにセキュリティ分析を行い、危険性のある前記疑わしいファイルサンプルを悪質ファイルと確定し、前記悪質ファイルに存在したネットワークウイルス及びそのウイルス動作パターンを記録するとともに、前記悪質ファイルからのネットワークアクセス要求をモニターし、前記悪質ファイルのネットワークアクセスルートを記録することにより、前記悪質ファイルに関連するネットワーク悪質サイト及びウイルス制御メインフレームのアドレス情報を確定することを特徴とする請求項１に記載のネットワークウイルス防止システム。
【請求項５】
前記防御モジュールは、前記分析モジュールによって分析された前記悪質ファイルにおいて存在した前記ネットワークウイルス及びそのウイルス動作パターン、前記悪質ファイルに関連するネットワーク悪質サイト、及びウイルス制御メインフレームのアドレス情報データを、前記防御モジュールのウイルスデータベースに導入するとともに、前記ネットワークシステムを介して前記悪質ファイルによってウイルスに感染したクライアントに対して対応するネットワーク端ウイルス防止サービスを提供することを特徴とする請求項４に記載のネットワークウイルス防止システム。
【請求項６】
ネットワークウイルス防止システムがネットワークシステムを介して各クライアント及びウイルス対策業者ウイルス分析センターに接続することにより、前記ネットワークウイルス防止システムがクライアントに対してウイルス防止処理を行うようにするためのネットワークウイルス防止方法であって、
（１）    前記ネットワークウイルス防止システムがネットワーク通信サービスの取得過程におけるクライアントに疑わしいファイルが存在するかどうかを検知する工程と、
（２）    前記ネットワークウイルス防止システムが疑わしいファイルが存在したクライアントの疑わしいファイルサンプルを捕獲することにより、前記疑わしいファイルサンプルにネットワークウイルスが存在するかどうか及び前記ネットワークウイルスが実行し得る悪質動作を分析するとともに、対応するネットワークウイルス動作分析報告を生成する工程と、
（３）    前記ネットワークウイルス防止システムが捕獲された前記疑わしいファイルサンプル及びそれに対応する前記ネットワークウイルス動作分析報告を前記ウイルス対策業者ウイルス分析センターに伝送することにより、前記ウイルス対策業者ウイルス分析センターが対応するウイルス駆除プログラムを製作するとともに、前記ネットワークウイルス防止システムが捕獲された前記疑わしいファイルサンプル及びそれに対応する前記ネットワークウイルス動作分析報告に基づいて、前記疑わしいファイルサンプルによって感染した前記クライアントに対してネットワーク端ウイルス防止サービスを提供することで、感染した前記クライアントがウイルス防止状態操作モードを実行するようにする工程と、
（４）    前記ネットワークウイルス防止システムが前記ウイルス対策業者ウイルス分析センターによって製作され返送されたウイルス駆除プログラムを受信することにより、ウイルス防止状態操作モードにあるクライアントに対して対応するウイルス検査駆除作業を行うようにする工程と、
を備えることを特徴とするネットワークウイルス防止方法。
【請求項７】
前記工程（１）において、前記ネットワーク通信サービスの取得過程において前記疑わしいファイルをダウンロードしているかどうかを検知するための根拠として、前記各クライアントのネットワークトラフィックをモニターすることを特徴とする請求項６に記載のネットワークウイルス防止方法。
【請求項８】
前記工程（２）は、
（２−１）捕獲された前記疑わしいファイルサンプルをサンドボックス（ｓａｎｄｂｏｘ）に移動することにより、前記サンドボックスにおいて前記疑わしいファイルサンプルを開く工程と、
（２−２）前記疑わしいファイルサンプルにおいて実行可能なプログラムが存在するかどうかを分析する工程と、
（２−３）前記疑わしいファイルサンプルにおいて存在した実行可能なプログラムに対してセキュリティ分析を行うことにより、危険性のある実行可能なプログラムを悪質ファイルと確定するとともに、前記悪質ファイルにおいて存在したネットワークウイルス及びそのウイルス動作パターンを記録する工程と、
（２−４）前記悪質ファイルからネットワークアクセス要求があるかどうかをモニターし、要求があれば、前記悪質ファイルのネットワークアクセスルートを記録することにより、前記悪質ファイルに関連するネットワーク悪質サイト及びウイルス制御メインフレームのアドレス情報を確定する工程と
をさらに備えることを特徴とする請求項６に記載のネットワークウイルス防止方法。
【請求項９】
前記ネットワークウイルスは、ゾンビネットワークウイルス（ＢＯＴＮＥＴ）又はウイルス攻撃対象に対して指向性を有するターゲット型攻撃ウイルスであることを特徴とする請求項６に記載のネットワークウイルス防止方法。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、ネットワークウイルス検知及び遮断技術に関し、より詳しくは、例えばゾンビネットワーク（ｚｏｍｂｉｅ  ｎｅｔｗｏｒｋ）ウイルス（Ｂｏｔｎｅｔ）又はウイルス攻撃対象に対して指向性を有するターゲット型攻撃ウイルスに感染したクライアントに対するウイルスの拡散又はウイルスの制御を防止するためのネットワークウイルス保護方法及びシステムに関するものである。
【背景技術】
【０００２】
ＢＯＴＮＥＴとはゾンビネットワークであり、このゾンビネットワークにおけるウイルスは、通常、電子メール（ｅｍａｉｌ）、インスタントメッセンジャー又はコンピュータシステムの弱点を介してネットワーククライアント端末に侵入し、いずれかのプログラムに隠れる。図１を参照して、ゾンビネットワークは、通常３つの部分からなり、制御端１１、ゾンビネットワークメンバー（１２ａ、１２ｂ、１２ｃ）及びコマンド送出端１３を備える。コマンド送出端１３は、ハッカー自体であり、コマンドをゾンビネットワークメンバー（１２ａ、１２ｂ、１２ｃ）に送出する。ゾンビネットワークメンバー（１２ａ、１２ｂ、１２ｃ）とは、遠隔操作された被害コンピュータであり、当該被害コンピュータは、一般的に、それ自体がウイルスに感染していることに気付かずに、ゾンビネットワークの一員となる。制御端１１は、ゾンビネットワーク全体の管理制御を担うとともに、コマンド送出端１３からのコマンドをゾンビネットワークメンバーに伝送する。
【０００３】
現在のウイルス防止方法では、主にクライアント端末にウイルス対策ソフトウェアをインストールするが、ウイルス対策プログラムのウイルスの特徴コードは、世界全体のトラフィックに対してサンプリングを行うため、一般化されたウイルスコードしか提供することができない（特許文献１）。また、ウイルス分析システムの殆どは、特徴コードを分析の基礎とし、自己更新能力を有するゾンビウイルスが変異した後の動作に対して即時に防御することができず、且つ特定のネットワーク領域範囲内にのみ現われたターゲット型攻撃ウイルスに対して防御を行うことができないため、多数のクライアント端末にウイルス対策ソフトウェアがインストールされているにもかかわらず、ゾンビネットワークからの侵入を阻止することができず、世界全体の経済に多大な損害を与えている。
【先行技術文献】
【特許文献】
【０００４】
【特許文献１】米国特許出願公開第２００８／０３０７５２６号明細書
【発明の概要】
【発明が解決しようとする課題】
【０００５】
そこで、上述した従来技術の欠点を解決するために、本発明は、クライアントの通信ネットワークにおいて悪質ファイル又はゾンビネットワークウイルス動作の存在が検知された場合、悪質トラフィックを即時に遮断することにより、ウイルスがさらに拡散すること、そして感染したクライアントがハッカーにコントロールされることを回避するネットワークウイルス防止システム及び方法を提供することを課題とする。
【０００６】
また、本発明は、悪質ファイルに関連するネットワーク悪質サイト及びゾンビウイルスに制御されたメインフレームのネットワークチャネルを即時に遮断することにより、ゾンビウイルスが変異することでウイルス駆除プログラムが失効する問題を克服するネットワークウイルス防止システム及び方法を提供することを課題とする。
【０００７】
また、本発明は、ＩＳＰ／ＩＤＣネットワークに配置することにより、特定範囲内のクライアントネットワークにおける特有の悪質動作及びファイルを完全に分析し、専用ウイルス駆除プログラムを生成し、一般のウイルス対策ソフトウェアに比べ特定のクライアントネットワークにのみ生成されたターゲット型攻撃に対して検知及び駆除を行うことができるネットワークウイルス防止システム及び方法を提供することを課題とする。
【０００８】
また、一般のウイルス対策ソフトウェアでは提供できない未知のウイルス及び特殊なウイルスに対する検知能力を強化するとともに、クライアントがウイルスから攻撃されるリスクを効果的に低減することができるネットワークウイルス防止システム及び方法を提供することを課題とする。
【課題を解決するための手段】
【０００９】
上記の課題を解決するために、本発明は、ネットワークシステムを介して各クライアント及びウイルス対策業者ウイルス分析センターに接続されたネットワークウイルス防止システムであって、各クライアントがネットワーク通信サービスを取得する過程において該クライアントトラフィックに疑わしいファイルが存在するかどうかを検知するための検知モジュールと、前記検知モジュールがネットワーク通信サービスの取得過程におけるクライアントトラフィックに疑わしいファイルが存在することを検知した場合、前記クライアントトラフィックにおける疑わしいファイルのサンプルを捕獲することにより、前記疑わしいファイルサンプルにネットワークウイルスが存在するかどうか及び前記ネットワークウイルスが実行し得る悪質動作を分析するとともに、前記疑わしいファイルサンプルに対応するネットワークウイルス動作分析報告を生成するための分析モジュールと、前記検知モジュールによって捕獲された疑わしいファイルサンプル及び前記分析モジュールによって生成された当該疑わしいファイルサンプルに対応するネットワークウイルス動作分析報告を、前記ウイルス対策業者ウイルス分析センターに伝送することにより、前記ウイルス対策業者ウイルス分析センターが対応するウイルス駆除プログラムを製作するようにするための伝送モジュールと、前記検知モジュールによって捕獲された疑わしいファイルサンプル及び前記分析モジュールによって生成された疑わしいファイルサンプルに対応するネットワークウイルス動作分析報告に基づいて、分析結果を集約して前記疑わしいファイルサンプルによって感染したクライアントに対してネットワーク端ウイルス防止サービスを提供することにより、感染した前記クライアントが、ウイルス駆除プログラムによってウイルスが検査駆除される前にウイルスを変異させたり又はウイルス制御メインフレームによって制御されることを回避するための防御モジュールと、前記ウイルス対策業者ウイルス分析センターによって製作され返送されたウイルス駆除プログラムを受信することにより、ウイルスに感染したクライアントに対して対応するウイルス検査駆除作業を行うためのウイルス検査駆除モジュールと、を備えることを特徴とするネットワークウイルス防止システムを提供する。
【００１０】
本発明の一つの実施形態において、前記検知モジュールは、各クライアントによるネットワーク通信サービスの取得過程において各クライアントが疑わしいファイルをダウンロードしているかどうかを検知するための根拠として、前記各クライアントのネットワークトラフィックをモニターする。前記分析モジュールは、捕獲された疑わしいファイルサンプルをサンドボックス（ｓａｎｄｂｏｘ）に移動することにより、前記サンドボックスにおいて前記疑わしいファイルサンプルを開き、さらに前記疑わしいファイルサンプルにおいて実行可能なプログラム又は攻撃プログラムコードが存在するかどうかを分析するとともに前記実行可能なプログラム又は攻撃プログラムコードに対してセキュリティ分析を行うことにより、危険性のある疑わしいファイルサンプルを悪質ファイルと確定し、前記悪質ファイルに存在したネットワークウイルス及びそのウイルス動作パターンを記録するとともに、前記悪質ファイルからネットワークアクセス要求があるかどうかをモニターし、前記悪質ファイルのネットワークアクセスルートを記録することにより、前記悪質ファイルに関連するネットワーク悪質サイト及びウイルス制御メインフレームのアドレス情報を確定する。前記防御モジュールは、前記分析モジュールによって分析された前記悪質ファイルにおいて存在したネットワークウイルス及びそのウイルス動作パターン、前記悪質ファイルに関連するネットワーク悪質サイト、及びウイルス制御メインフレームのアドレス情報データを、防御モジュールのウイルスデータベースに導入するとともに、クライアントトラフィックに対して防御を行うことにより、クライアントＰＣが悪質サイト及びウイルス制御メインフレームと接続することによってウイルスが変異し又はハッカーによって制御されることを回避する。
【００１１】
また、本発明は、さらに、ネットワークウイルス防止システムがネットワークシステムを介して各クライアント及びウイルス対策業者ウイルス分析センターに接続することにより、前記ネットワークウイルス防止システムがクライアントに対してウイルス防止処理を行うようにするためのネットワークウイルス防止方法であって、（１）前記ネットワークウイルス防止システムがネットワーク通信サービスの取得過程におけるクライアントトラフィックに疑わしいファイルが存在するかどうかを検知する工程と、（２）前記ネットワークウイルス防止システムがクライアントトラフィックにおける疑わしいファイルサンプルを捕獲することにより、前記疑わしいファイルサンプルにネットワークウイルスが存在するかどうか及び前記ネットワークウイルスが実行し得る悪質動作を分析するとともに、対応するネットワークウイルス動作分析報告を生成する工程と、（３）前記ネットワークウイルス防止システムがウイルス動作分析報告に基づいて前記疑わしいファイルサンプルによって感染したクライアントに対してネットワーク端ウイルス防止サービスを提供することにより、ウイルスのネットワーク動作をネットワーク端から遮断し、感染した前記クライアントが、ウイルス駆除プログラムによってウイルスが検査駆除される前にウイルスを変異させたり又はウイルス制御メインフレームによって制御されることで、更なる被害を蒙ることを回避し、かつ前記ネットワークウイルス防止システムが捕獲された疑わしいファイルサンプル及びそれに対応するネットワークウイルス動作分析報告を前記ウイルス対策業者ウイルス分析センターに伝送することにより、前記ウイルス対策業者ウイルス分析センターが対応するウイルス駆除プログラムを製作する工程と、（４）前記ネットワークウイルス防止システムが前記ウイルス対策業者ウイルス分析センターによって製作され返送されたウイルス駆除プログラムを受信することにより、ウイルス防止状態操作モードにあるクライアントに対して対応するウイルス検査駆除作業を行うようにする工程と、を備えることを特徴とするネットワークウイルス防止方法を提供する。
【００１２】
また、本発明の一つの実施例において、前記工程（１）では、ネットワーク通信サービスの取得過程において各クライアントが疑わしいファイルをダウンロードしているかどうかを検知するための根拠として、前記各クライアントのネットワークトラフィックをモニターする。
【００１３】
また、前記工程（２）は、（２−１）捕獲された疑わしいファイルサンプルをサンドボックス（ｓａｎｄｂｏｘ）に移動することにより、前記サンドボックスにおいて前記疑わしいファイルサンプルを開く工程と、（２−２）前記疑わしいファイルサンプルにおいて実行可能なプログラム又は悪質攻撃プログラムコードが存在するかどうかを分析する工程と、（２−３）前記疑わしいファイルサンプルにおいて存在した実行可能なプログラム又は悪質攻撃プログラムコードに対してセキュリティ分析を行うことにより、危険性のある疑わしいファイルサンプルを悪質ファイルと確定するとともに、前記悪質ファイルにおいて存在したネットワークウイルス及びそのウイルス動作パターンを記録する工程と、（２−４）前記悪質ファイルからネットワークアクセスの要求があるかどうかをモニターし、要求があれば、前記悪質ファイルのネットワークアクセスルートを記録することにより、前記悪質ファイルに関連するネットワーク悪質サイト及びウイルス制御メインフレームのアドレス情報を確定する工程とをさらに備える。
【００１４】
また、工程（３）において、前記分析により得られた前記悪質ファイルにおいて存在したネットワークウイルス及びそのウイルス動作パターン、前記悪質ファイルに関連するネットワーク悪質サイト及びウイルス制御メインフレームのアドレス情報データを前記防御モジュールのウイルスデータベースに導入することにより、ウイルスのネットワーク動作をネットワーク端から遮断し、感染したクライアントが、ウイルス駆除プログラムによってウイルスが検査駆除される前にウイルスを変異させたり、又はウイルス制御メインフレームによって制御されることで、更なる被害を蒙ることを回避する。
【００１５】
本発明に係るネットワークウイルス防止システム及び方法によれば、ネットワークにおける各種の既知又は未知のネットワーク攻撃及び悪質ファイルに対して即時に分析及び遮断防御処理を行うことができるため、ウイルス検査駆除の成功率を向上させることができるのみならず、クライアントがウイルスから攻撃されるリスクを効果的に低減することができる。また、本発明をＩＳＰ／ＩＤＣネットワークに配置することにより、ゾンビネットワークウイルス又はウイルス攻撃対象に対して指向性を有するターゲット型攻撃ウイルスに対する分析及び検査駆除を行うことができるため、一般のウイルス対策ソフトウェアよりも指向性に優れている。
【図面の簡単な説明】
【００１６】
【図１】従来のゾンビネットワークウイルスのシステム構造模式図である。
【図２】本発明に係るネットワークウイルス防止システムがネットワーク環境に適用された場合の一つの実施形態の構造模式図である。
【図３】本発明に係るネットワークウイルス防止システムのシステム基本構造及び図２に示すネットワーク環境を応用した一つの実施形態の構造ブロック図である。
【図４】本発明に係るネットワークウイルス防止方法の処理フローである。
【図５】図４に示す工程Ｓ１３０におけるネットワークウイルス分析を詳しく説明するための処理フローである。
【発明を実施するための形態】
【００１７】
以下、特定の具体的な実施例を用いて本発明の実施形態を説明する。この技術分野に精通した者は、本明細書に記載の内容によって簡単に本発明のその他の利点や効果が理解できる。本発明は、その他の異なる実施例によって施行や応用を加えることが可能であり、本明細書に記載の内容も異なる観点や応用に基づき、本発明の主旨を逸脱しない範囲で様々な修正や変更が可能であり、そうした修正や変更は本発明の特許請求の範囲に入るものである。
【００１８】
図２は、本発明に係るネットワークウイルス防止システムがネットワーク環境に適用される一つの実施形態の構造模式図である。このネットワークウイルス防止システムは、インターネットサービスプロバイダー（Ｉｎｔｅｒｎｅｔ  Ｓｅｒｖｉｃｅ  Ｐｒｏｖｉｄｅｒ、ＩＳＰ）又はインターネットデータセンター（Ｉｎｔｅｒｎｅｔ  Ｄａｔａ  Ｃｅｎｔｅｒ、ＩＤＣ）のネットワーク２０に配置され、該ＩＳＰ／ＩＤＣネットワーク２０及びウイルス対策業者ウイルス分析センター２３と結合されることにより構築されてなり、主に特定の領域にのみ現われる新型ネットワーク攻撃又は悪質ファイルをモニター分析する。ここで、ＩＳＰ／ＩＤＣネットワーク２０がネットワークアクセスサービスプラットフォームを提供することにより、クライアント２１は、該ＩＳＰ／ＩＤＣネットワーク２０を介してインターネット（Ｉｎｔｅｒｎｅｔ）２２に接続され、該クライアント２１の通信ネットワークトラフィックに対してモニターを行い、クライアント２１がネットワーク通信サービスを取得する過程において該クライアント２１のローカルに悪質ファイル又はウイルス動作が存在することを検知した場合、該通信サービスの接続を即時に遮断し、感染したクライアント２１が自らインターネット２２における悪質サイトに接続し、ウイルスの更新及び拡散を行うことを回避する（詳細は後述する）。
【００１９】
また、上述ネットワークウイルスが上述の先行技術に記載のゾンビネットワークウイルスであるほか、本発明に係るネットワークウイルス防止システムは、ウイルス攻撃対象に対して指向性を有するターゲット型攻撃ウイルスに適用されてもよく、一般に、前記ターゲット型攻撃ウイルスは、ソーシャルエンジニアリングの手段により、電子メール及びインスタントメッセンジャーを介してある企業又はある特定のグループ、例えば政府機関、軍事機関又は電気通信機関等の組織ネットワークに対して攻撃を行う。このようなターゲット型攻撃ウイルスによる攻撃事件は、いずれも攻撃された組織ネットワーク内に発生し、一般のウイルスのように外部へ拡散することはないため、一般のウイルス対策メーカのウイルス分析構造では、このようなターゲット型攻撃ウイルスによって攻撃された疑わしいファイルサンプルを収集・分析することができない。しかしながら、本発明に係るネットワークウイルス防止システム及び方法によれば、防御されたクライアントトラフィックからこのようなターゲット型攻撃ウイルスによって攻撃された疑わしいファイルサンプルを直接収集・分析することができ、これにより、感染したクライアントによってウイルスの検査駆除前に組織ネットワーク内において持続的にウイルスが散布され、組織ネットワーク内部に更なる損害をもたらすことを回避することができる。図３は、本発明に係るネットワークウイルス防止システムのシステム基本構造及び図２に示すネットワーク環境に適用される一つの実施形態の構造ブロック図である。図３に示すように、ＩＳＰ／ＩＤＣネットワーク２０に構築されたネットワークウイルス防止システム２００は、ネットワークシステムを介してクライアント２１及びウイルス対策業者ウイルス分析センター２３と相互に接続通信し、検知モジュール２１０、分析モジュール２２０、伝送モジュール２３０、防御モジュール２４０、ウイルス検査駆除モジュール２５０、及びデータ情報を蓄積するためのデータベース２０１を備える。
【００２０】
検知モジュール２１０は、各クライアント２１がインターネット通信サービスを取得する過程において該クライアント２１のトラフィックに疑わしいファイルが存在するかどうかを検知する。検知モジュール２１０は、疑わしいファイルをダウンロードしているかどうかを検知するための根拠として、前記各クライアント２１のネットワークトラフィックをモニターする。前記通信サービスは、例えば電子メールの送受信、ウェブページのブラウジング、リアルタイムコミュニケーション、ピアツーピアソフトウェア（Ｐ２Ｐ）によるファイル共有及びＦＴＰファイル伝送等である。
【００２１】
分析モジュール２２０は、検知モジュール２１０によってクライアント２１がネットワーク通信サービスを取得する過程において該クライアント２１のトラフィックに疑わしいファイルが存在することが検知された場合、例えばネットワーク通信サービスを取得する過程においてクライアントにネットワークトラフィックの異常が生じた場合、クライアント２１がネットワーク通信サービスを取得する過程における疑わしいファイルのサンプル２１１を捕獲し、データベース２０１に一時保存することで、該疑わしいファイルサンプル２１１にネットワークウイルスが存在するかどうか及び該ネットワークウイルスが実行し得る悪質動作を判断するとともに、該疑わしいファイルサンプル２１１に対応するネットワークウイルス動作分析報告２２１を生成する。該分析モジュール２２０は、まず、捕獲された各クライアント２１がネットワーク通信サービスを取得する過程において存在した疑わしいファイルサンプル２１１をサンドボックス（ｓａｎｄｂｏｘ）に移動し、さらに該サンドボックスにおいて該疑わしいファイルサンプル２１１を開くことにより、該疑わしいファイルサンプル２１１にシステムに対して攻撃を行う実行可能な攻撃プログラムが存在するかどうかを分析し、存在すれば、該実行可能な攻撃プログラムの安全性に対して分析を行い、例えば該プログラムがシステムの設定の変更、弱点への攻撃、システムデータの窃取や外部からのより多くの攻撃プログラムのダウンロード等の悪質プログラムの動作を行うかどうかを分析する。これにより、危険性のある実行可能なプログラムを含む疑わしいファイルサンプル２１１を悪質ファイルと確定することができる。次に、分析モジュール２２０は、該悪質ファイルを開くことによりそれに対応するウイルス動作パターン、例えば実施されたウイルス動作、進行しているウイルス動作及び実行されようとしているウイルス等を識別する。次に、分析モジュール２２０は、該悪質ファイルからのネットワークアクセス要求を分析し、要求があれば該悪質ファイルのネットワークアクセスルート、アクセスプログラム名称等の情報を取得するとともに、該悪質ファイルのネットワークアクセス要求に対してモニターを行うことにより、該悪質ファイルに関連するネットワーク悪質サイト及びウイルス制御メインフレームを確定し（このネットワーク悪質サイト及びウイルス制御メインフレームは図１に示す制御端１１のアドレス情報である）、ネットワークウイルス制御メインフレームのアドレスを主体的に確定することにより、引き続いて関連する防御措置を即時且つ効果的に実行することができる。上述の各工程の分析が完了した後、分析モジュール２２０は、該悪質ファイルにおいて存在したネットワークウイルス及びそのウイルス動作パターン（例えば制御又は感染された動作）、該悪質ファイルに関連するネットワーク悪質サイト及びウイルス制御メインフレームのアドレス情報等を記録するとともに、前記ネットワークウイルス動作分析報告２２１を生成する。
【００２２】
伝送モジュール２３０は、検知モジュール２１０によって捕獲された疑わしいファイルサンプル２１１及び分析モジュール２２０によって生成された対応するネットワークウイルス動作分析報告２２１をウイルス対策業者ウイルス分析センター２３に伝送することにより、対応するウイルス駆除プログラム２３１を製作する。
【００２３】
防御モジュール２４０は、分析モジュール２２０によって分析された該悪質ファイルにおいて存在したネットワークウイルス及びそのウイルス動作パターンと、該悪質ファイルに関連するネットワーク悪質サイト及びゾンビウイルス制御メインフレームのアドレス情報データとをウイルスデータベースに導入することにより、該悪質ファイルに感染した各クライアント２１のみに対して関連するウイルス防止サービスを行うことができる。例えば、各感染したクライアント２１のネットワーク接続経路を遮断し、当該クライアント２１が自ら悪質サイトに接続しウイルスを変異させることを回避し、ネットワークウイルス動作分析報告２２１において記録された悪質サイト及びウイルス制御メインフレームのアドレスに対して遮断を実行することにより、ネットワークにおけるその他のクライアント２１が該ウイルスに感染することを回避し、ウイルスが当該特定ネットワーク領域において更に拡散することを防止することができる。言い換えれば、ウイルスのネットワーク動作をネットワーク端から遮断することにより、感染したクライアントが、ウイルス駆除プログラムによってウイルスが検査駆除される前にウイルスを変異させたり、又はウイルス制御メインフレームによって制御されることで、更なる被害を蒙ることを回避することができる。
【００２４】
ウイルス検査駆除モジュール２５０は、ウイルス対策業者ウイルス分析センター２３によって製作され返送されたウイルス駆除プログラム２３１を受信することにより、ウイルス防止状態操作モードにあるクライアント２１に対して対応するウイルス検査駆除作業を行う。ここで、防御モジュール２４０が各感染したクライアント２１に対してリアルタイムで防御措置を行うため、感染したクライアント２１に存在したウイルスがウイルス駆除プログラム製作過程において変異して、該ウイルス駆除プログラム２３１と不一致となり検査駆除できなくなることを回避できるため、そのウイルス検査駆除の成功率を効果的に向上させるとともに、従来のウイルス対策ソフトウェアにおいてウイルスコードの更新だけでは変異の速いウイルスを検査駆除できないという問題を解決することができる。
【００２５】
図４は、本発明に係るネットワークウイルス防止方法の処理フローである。図４に示すように、まず、ステップＳ１１０において、各クライアント２１がネットワーク通信サービスを取得する過程において該クライアント２１のローカルに疑わしいファイルが存在するかどうかを検知する。具体的には、各クライアント２１のネットワークトラフィックにおいて、例えばクライアントによる電子メールの送受信、ウェブページのブラウジング、リアルタイムコミュニケーション、ピアツーピア（Ｐ２Ｐ）ファイル共有及びＦＴＰファイル伝送等の過程において疑わしいファイルがクライアント２１に保存されるかどうかをモニターし、ＹＥＳであればステップＳ１２０に進む。ＮＯであればステップＳ１１０を繰り返し実行する。
【００２６】
ステップＳ１２０において、前記ネットワーク通信サービス過程において存在した疑わしいファイルの疑わしいファイルサンプル２１１を捕獲し、データベース２０１に一時保存し、そしてステップＳ１３０に進む。
【００２７】
ステップＳ１３０において、データベース２０１における疑わしいファイルサンプル２１１にネットワークウイルスが存在するかどうか及び該ネットワークウイルスが実行し得るウイルス動作を分析するとともに、対応するネットワークウイルス動作分析報告２２１を生成し、そしてステップＳ１４１及びステップＳ１４２に進む。
【００２８】
ステップＳ１４１において、捕獲された疑わしいファイルサンプル２１１及びそれに対応するネットワークウイルス動作分析報告２２１をウイルス対策業者ウイルス分析センター２３に伝送することにより、対応するウイルス駆除プログラム２３１を製作し、そしてステップＳ１５１に進む。
【００２９】
ステップＳ１５１において、ウイルス対策業者ウイルス分析センター２３により製作され返送されたウイルス駆除プログラム２３１を受信し、そしてステップＳ１６０に進む。
【００３０】
ステップＳ１４２において、データベース２０１における疑わしいファイルサンプル２１１にネットワークウイルスが存在したこと及び該ネットワークウイルスが実行し得る悪質動作を分析によって導き出し、対応するネットワークウイルス動作分析報告２２１を生成した後、疑わしいファイルサンプル２１１及びネットワークウイルス動作分析報告２２１のデータをウイルス防御モジュールに導入し、そしてステップＳ１５２に進む。
【００３１】
ステップＳ１５２において、防御モジュールは、ネットワークウイルス動作分析報告２２１に記録された該悪質ファイルに存在したネットワークウイルス及びそのウイルス動作パターンデータに基づいて、各感染したクライアント２１のネットワーク接続経路を遮断し、当該クライアント２１が自ら悪質サイトに接続しウイルスを変異させることを回避し、該ネットワークウイルス動作分析報告２２１に記録された該悪質ファイルに関連するネットワーク悪質サイト及びウイルス制御メインフレームのアドレスに対して遮断を行うことにより、ネットワークにおけるその他のクライアント２１が該ウイルスに感染することを回避し、ウイルスが当該特定ネットワーク領域において更に拡散することを防止し、そしてステップＳ１６０に進む。
【００３２】
ステップＳ１６０において、ウイルス対策業者ウイルス分析センター２３によって製作され返送されたウイルス駆除プログラム２３１を利用することにより、ウイルス防止状態操作モードにある各クライアントに対して対応するウイルス検査駆除作業を行う。
【００３３】
ここで注意すべき点は、従来技術のようにウイルス特徴コードを利用することにより疑わしいファイルにおいてネットワークウイルスが存在するかどうかを判断するのとは異なり、本発明は、該疑わしいファイルを開くことによりその中に実行可能なプログラム、システムデータに対する変更、システムの弱点への攻撃が存在するかどうか及び該疑わしいファイルにネットワークアクセス要求等の情報が存在するかどうかに基づいてそれが悪質ファイル又は動作に属するかどうかを判断する。そのため、一般のウイルス対策ソフトウェアでは提供できない未知ウイルス及び特殊ウイルスを検知する能力を強化することができる。図５は、図４に示すステップＳ１３０におけるネットワークウイルス分析の処理フローである。下記のネットワークウイルスは、例えばゾンビネットワークウイルス（ＢＯＴＮＥＴ）又はウイルス攻撃対象に対して指向性を有するターゲット型攻撃ウイルスである。まずステップＳ１３１を行い、捕獲された各クライアント２１のネットワーク通信サービスにおいて存在した疑わしいファイルサンプルをサンドボックスに移動するとともに、該サンドボックスにおいて該疑わしいファイルサンプルを開き、そしてステップＳ１３２に進む。
【００３４】
ステップＳ１３２において、開かれた該疑わしいファイルサンプルにおいて実行可能なプログラム又は攻撃プログラムコードが存在するかどうかを判断し、ＹＥＳであればステップＳ１３３に進む。ＮＯであれば本発明に係るネットワークウイルス防止方法におけるネットワークウイルス実行分析の処理工程を終了し、図４に示すステップＳ１１０を行うことができる。
【００３５】
ステップＳ１３３において、該実行可能なプログラム又は攻撃プログラムコードによって実行される動作パターンが安全であるかどうか、例えば疑わしいファイルサンプルがシステムの弱点に対する攻撃、ブートセクター又はファイルシステムへの不法アクセスを行うかどうかを判断することで、実行可能なプログラムが悪質ファイルであるかどうかを判断し、ＹＥＳであればステップＳ１３４に進む。ＮＯであれば本発明に係るネットワークウイルス防止方法におけるネットワークウイルス実行分析の処理工程を終了し、図４に示すステップＳ１１０を行うことができる。
【００３６】
ステップＳ１３４において、該悪質ファイルにおいて存在したネットワークウイルス及びそのウイルス動作パターンを記録し、そしてステップＳ１３５に進む。
【００３７】
ステップＳ１３５において、該悪質ファイルのネットワークアクセスルート、アクセスプログラム名称等の情報を記録するとともに、該悪質ファイルのネットワークアクセス要求に対してモニターを行うことにより、該悪質ファイルに関連するネットワーク悪質サイト及びウイルス制御メインフレームのアドレス情報を確定し、ウイルス制御メインフレームの位置を主体的に確定することにより、引き続いて関連する防御措置を即時且つ効果的に実行できるようにする。次に、本発明に係るネットワークウイルス防止方法におけるネットワークウイルス実行分析の処理工程を終了し、図４に示すステップＳ１４１及びＳ１４２を行うことができる。
【００３８】
上述のように、本発明に係るネットワークウイルス防止システム及び方法は下記の効果を奏することができる。
【００３９】
（１）    クライアントがネットワーク通信サービスを取得する過程において疑わしいファイルが存在することを検知した場合、防御措置を即時に行うことにより、感染していないクライアントが悪質サイト又はネットワークウイルス制御メインフレームに接続することによる被害を蒙ること、又は感染したクライアントがハッカーによって制御され悪質な動作を行うことを回避することができ、ネットワークウイルスの拡散を防止することができる。
【００４０】
（２）    感染したコンピュータが悪質サイト又はウイルス制御メインフレームの通信ネットワークに接続することを即時に切断するため、感染したコンピュータにおけるウイルスが自ら更新を行い、製作されたウイルス駆除プログラムがウイルスと不一致となり、ウイルスの検査駆除が失効してしまうことを防止することができる。
【００４１】
（３）    本発明をＩＳＰ／ＩＤＣネットワークに配置することにより、特定の領域にのみ現われた新型ネットワーク攻撃及び悪質ファイルに対して分析を行うとともに、ウイルス駆除プログラムを生成することにより該特有の悪質プログラムを駆除することができるため、一般のウイルス対策ソフトウェアよりも指向性がある。
【００４２】
（４）    本発明は、ネットワークトラフィックのモニター、且つ疑わしいファイルを直接開くことによりその中に実行可能なプログラム、システムデータに対する変更、システムの弱点への攻撃及びネットワークアクセス要求があるかどうかに対して分析モニターを行うため、一般のウイルス対策ソフトウェアのようにウイルス特徴コードに基づいて判断を行うものと比較すると、本発明は、一般のウイルス対策ソフトウェアでは提供できない未知ウイルス及び特殊ウイルスを検知する能力を強化することともに、クライアントがウイルスから攻撃されるリスクを効果的に低減することができる。
【００４３】
上記のように、これらの実施形態は本発明に係るネットワークウイルス防止システム及び方法の原理および効果・機能を例示的に説明するに過ぎず、本発明は、これらによって限定されるものではない。本発明に係るネットワークウイルス防止システム及び方法の実質的な技術内容は、特許請求の範囲に定義される。本発明は、この技術分野に精通した者により本発明の主旨を逸脱しない範囲で種々に修正や変更されることが可能であり、そうした修正や変更は、本発明の特許請求の範囲に入るものである。
【符号の説明】
【００４４】
１１  制御端
１２ａ、１２ｂ、１２ｃ  ゾンビネットワークメンバー
１３  コマンド送出端
２０  ＩＳＰ／ＩＤＣネットワーク
２００  ネットワークウイルス防止システム
２０１  データベース
２１０  検知モジュール
２１１  疑わしいファイルサンプル
２２０  分析モジュール
２２１  ネットワークウイルス動作分析報告
２３０  伝送モジュール
２４０  防御モジュール
２５０  ウイルス検査駆除モジュール
２１  クライアント
２２  インターネット
２３  ウイルス対策業者ウイルス分析センター
２３１  ウイルス駆除プログラム
Ｓ１１０、Ｓ１２０、Ｓ１３０、Ｓ１３１、Ｓ１３２、Ｓ１３３、Ｓ１３４、Ｓ１３５、Ｓ１４１、Ｓ１４２、Ｓ１５１、Ｓ１５２、Ｓ１６０  ステップ
【図１】
2012064208.tif 000003
【図２】
2012064208.tif 000004
【図３】
2012064208.tif 000005
【図４】
2012064208.tif 000006
【図５】
2012064208.tif 000007