(57)【要約】【課題】  宅内に設置するようなハードウェアスペックの低い小型のＧＷ装置においても、セキュリティ対策を実施可能とするウイルスチェックシステムを提供する。【解決手段】  パタンファイルが持つ重み情報に基づいて、ＧＷ装置は、自身が保存するパタンファイルと端末が保存するパタンファイルとに振り分けて配布し、ＧＷ装置と端末が異なるパタンファイルを保存し、それぞれのパタンファイルを参照し、パケットに対してそれぞれがウイルスチェックを行うことで、セキュリティ攻撃に対する処理を分散させることが可能となる。【選択図】  図２
2013157760.tif 000002
【特許請求の範囲】
【請求項１】
端末と、
複数のウイルスパタン定義情報を配布するサーバと、
前記端末と前記サーバとの間でパケットを転送する通信装置と
を有する通信システムであって、
前記通信装置は、
前記サーバからダウンロードした前記複数のウイルスパタン定義情報を自装置と前記端末とに振り分けるパタン情報管理手段と、
前記パタン情報管理手段にて前記端末に振り分けられた前記ウイルスパタン定義情報を前記端末に送信する送信手段と、
前記パタン情報管理手段にて自装置に振り分けられた前記ウイルスパタン定義情報を保持する第１のパタン情報管理テーブルと
を備え、
前記端末は、
前記通信装置から送信された前記ウイルスパタン定義情報を保持する第２のパタン情報管理テーブルと、
前記第２のパタン情報管理テーブルが保持する前記ウイルスパタン定義情報を参照して、前記パケットに対してウイルスチェックを行う第１のウイルスチェック処理手段と
を備えることを特徴とする通信システム。
【請求項２】
請求項１に記載の通信システムであって、
前記通信装置は、
前記第１のパタン情報管理テーブルが保持する前記ウイルスパタン定義情報を参照して、前記パケットに対してウイルスチェックを行う第２のウイルスチェック処理手段と、
前記パタン情報管理手段にて自装置に振り分ける前記複数のウイルスパタン定義情報を選択するインタフェースを前記端末に送信し、前記インタフェースを介して当該ウイルスパタン定義情報を選択する選択指示を前記端末から受信する受付手段をさらに備え、
前記パタン情報管理手段は、
前記受付手段にて前記選択指示を受信すると、前記選択指示によって選択された前記ウイルスパタン定義情報を前記サーバからダウンロードし、ダウンロードした当該ウイルスパタン定義情報を前記第１のパタン情報管理テーブルへ保存し、
前記端末は、
前記通信装置から送信された前記インタフェースを表示する表示部と
をさらに備えることを特徴とする通信システム。
【請求項３】
請求項２に記載の通信システムであって、
前記パタン情報管理手段は、
前記受付手段にて前記ウイルスパタン定義情報をダウンロードするダウンロード要求を前記端末から受信すると、前記複数のウイルスパタン定義情報のうち前記選択指示によって選択されていないウイルスパタン定義情報を前記サーバからダウンロードし、ダウンロードした当該ウイルスパタン定義情報を前記端末へ配布する
ことを特徴とする通信システム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、コンピュータネットワークにおいてパケットデータの中継、および転送を制御する通信装置、およびそのシステムに関するものであり、特にパケットデータに対してコンピュータウイルスの監視を行い、コンピュータウイルスに該当するパケットを破棄する、コンピュータウイルス監視・破棄方法および通信装置および通信システムに関する。
【背景技術】
【０００２】
ＰＣ（Ｐｅｒｓｏｎａｌ  Ｃｏｍｐｕｔｅｒ）の利用者増加と共に個人で複数台のＰＣを所有するケースも増え、企業のみでなく個人宅内においてもＬＡＮ（Ｌｏｃａｌ  Ａｒｅａ  Ｎｅｔｗｏｒｋ）を形成するケースも珍しくない。ネットワーク利用の普及にともなって、ネットワークを介しての不正アクセスやコンピュータウイルスが氾濫する問題が生じており、セキュリティ対策の重要性がより増している。
【０００３】
ＬＡＮ内への不正アクセスやコンピュータウイルス侵入の防止策として、特開２００１−２５６０４５号公報で示されるように、ＷＡＮ（Ｗｉｄｅ  Ａｒｅａ  Ｎｅｔｗｏｒｋ）と ＬＡＮの境界に設置されたＧＷ（ＧａｔｅＷａｙ）装置（ゲートウェイ装置）へアンチウイルスソフトを導入する方法がある。この方法では、ＧＷ装置が転送するパケットに対してウイルスパタンを記述したパタンファイルとのマッチングをインラインで実施するため、ＷＡＮとＬＡＮの境界で不正なパケットを破棄することができる。これによりＬＡＮ内への不正なパケットの侵入を阻止することが出来るため、ＬＡＮ内の端末で個々に不正なパケットに対する処理を行う必要がなく、端末への負荷を軽減することができる。
【先行技術文献】
【特許文献】
【０００４】
【特許文献１】特開２００１−２５６０４５号公報
【発明の概要】
【発明が解決しようとする課題】
【０００５】
特許文献１記載の技術によれば、ＷＡＮ−ＬＡＮの境界に設置されたＧＷ装置でセキュリティ対策を実施することによって、ＬＡＮ内への不正アクセスやウイルス侵入を防止できる。しかしながら宅内に設置するような小型のＧＷ装置においては、組み込みシステムという特性上メモリ容量やＣＰＵ（Ｃｅｎｔｒａｌ  Ｐｒｏｃｅｓｓｉｎｇ  Ｕｎｉｔ）処理能力に限りがあり、日々増加するウイルスパタン全てに対処することは困難である。
【課題を解決するための手段】
【０００６】
上述した課題は、ＧＷ装置とＬＡＮ内の端末が、異なるウイルスパタン定義ファイル（以下パタンファイル）を保持し、それぞれのパタンファイルを参照してパケットに対してウイルスチェックを行うことによって、セキュリティ攻撃に対する処理を分散させてＧＷ装置の負荷を下げることで、解決する。
【０００７】
本発明の通信システムは、端末と、複数のウイルスパタン定義情報を配布するサーバと、端末とサーバとの間でパケットを転送する通信装置とを有し、通信装置は、サーバからダウンロードした複数のウイルスパタン定義情報を自装置と端末とに振り分けるパタン情報管理手段と、パタン情報管理手段にて端末に振り分けられたウイルスパタン定義情報を端末に送信する送信手段と、パタン情報管理手段にて自装置に振り分けられたウイルスパタン定義情報を保持する第１のパタン情報管理テーブルとを備え、端末は、通信装置から送信されたウイルスパタン定義情報を保持する第２のパタン情報管理テーブルと、第２のパタン情報管理テーブルが保持するウイルスパタン定義情報を参照して、パケットに対してウイルスチェックを行う第１のウイルスチェック処理手段とを備えることを特徴とする。
【発明の効果】
【０００８】
上記解決手段により、ＧＷ装置では処理するウイルスパタンが記述してあるパタンファイルのみを保持すれば良いためファイル容量を減らすことができ、記憶媒体の消費量を低減することが出来る。また、ＧＷ装置上で全てのウイルスパタンに対する処理を行う必要がなくなるため、ＣＰＵ、メモリ等のリソースの消費も抑えることができる。さらに、ＧＷ装置で実施しているセキュリティ対策については、ＬＡＮ内の端末が個々に同様の処理を行う必要がないため、端末のリソース負荷を低減することが可能となる。
【図面の簡単な説明】
【０００９】
【図１】ネットワークシステムの構成例を表すブロック図である。
【図２】ＧＷ装置の構成例を説明するブロック図である。
【図３】ＧＷ装置のハードウェア構成例を説明するブロック図である。
【図４】本実施例で想定するパタンファイルが保持する情報の一例である。
【図５】端末の構成例を説明するブロック図である。
【図６】ＧＷ装置および端末へのパタンファイル適用シーケンス一例である。
【図７】ＧＷ装置および端末のパケット処理シーケンス一例である。
【図８】ＧＷ装置で処理するウイルスパタンを変更する場合のシーケンス一例である。
【図９】ＧＷ装置が保持するパタンファイル保存容量が上限に達した場合のシーケンス一例である。
【図１０】ＧＷ装置のパケット振り分け処理部の動作を説明するフロー図一例である。
【図１１】ＧＷ装置のパケット転送処理およびウイルスチェック処理の動作を説明するフロー図一例である。
【図１２】ＧＷ装置のパタンファイルダウンロード処理を説明するフロー図一例である。
【図１３】ＧＷ装置内のパタンファイル管理テーブルが保持する情報の一例である。
【図１４】ＧＷ装置内のパタンファイル管理テーブルが保持する情報の一例である。
【発明を実施するための形態】
【００１０】
以下、本発明の実施の形態について、実施例を用い図面を参照しながら説明する。
【実施例１】
【００１１】
図１を参照して、ネットワークシステムの構成例を説明する。ネットワークシステムは、ＬＡＮ１００に接続された複数台の端末４００、と、ＬＡＮ１００とＷＡＮ１０１を接続するＧＷ装置２００と、ＷＡＮ１０１に接続されパタンファイル（後述）の配布を行うパタンファイル配布サーバ１０２と端末４１０と悪意あるユーザの端末４２０から構成される。
【００１２】
図２を参照してＧＷ装置２００の構成例について説明する。ＧＷ装置２００は、パケット振り分け処理部２０１、パケット転送処理部２０２、ウイルスチェック処理部２０３、パタンファイル管理部２０４、パタンファイル管理テーブル２０５、受付部２０６、パケット受信部２０７、パケット送信部２０８から構成される。
【００１３】
パケット受信部２０７はパケットを受信する機能を持ち、パケット送信部２０８はパケットを送信する機能を持つ。
【００１４】
パケット振り分け処理部２０１はパケット受信部２０７で受信したパケットがＧＷ装置２００宛でかつパタンファイルのダウンロード（ＤＬ：ＤｏｗｎＬｏａｄ）か、または端末４００からパタンファイル配布サーバ１０２へのパタンファイルダウンロード要求か、それ以外のパケットかを判定し、パタンファイルのダウンロードかパタンファイルダウンロード要求であれば、パタンファイル管理部２０４へ、それ以外のパケットであればパケット転送処理部２０２へパケットを振り分ける。
【００１５】
パケット転送処理部２０２は、パケット振り分け処理部２０１で振り分けられたパケットをパケット送信部２０８へ転送する。
【００１６】
ウイルスチェック処理部２０３はパケット転送処理部２０２で転送されるパケットに対して、パタンファイル管理テーブル２０５に保持されるウイルスパタン（後述）とのマッチングを実施し、マッチしたパケットの破棄を行う。
【００１７】
パタンファイル管理テーブル２０５は、図１３に示すようなＧＷ装置２００に適用するパタンファイルのルール１３００およびＧＷ装置２００内に保持するパタンファイルの合計サイズ１３０１を持つ。またパタンファイル管理テーブル２０５は、図１４に示すようなパタンファイル個々が保持するウイルス名称１４００、危険度１４０１、発生頻度１４０２、対象ＯＳ種別１４０３、パタンファイルのサイズ１４０４、ウイルスパタン１４０５等の情報も束ね持ち、ウイルスチェック処理部２０３のウイルスチェック処理時に参照される。
パタンファイル管理部２０４は、パタンファイル配布サーバ１０２よりパタンファイルのダウンロードを実施する。加えてパタンファイル管理テーブル２０５を参照し、自装置に適用するパタンファイルと配下の端末４００へ配布するパタンファイルの振り分けを行う。配下の端末４００へパタンファイルを配布する際には、配下の端末４００からのパタンファイルダウンロード要求送信の契機となるパタンファイル変更通知を送信する機能を持つ。また、ダウンロードしたパタンファイルをパタンファイル管理テーブル２０５へ保存する機能を持つ。また、受付部２０６からの入力をパタンファイル管理テーブル２０５へ反映する機能を持つ。
【００１８】
受付部２０６は端末４００が保持する表示部（図示せず）に対し、ＧＷ装置２００に適用するパタンファイルを選択するインタフェースを提供する。パタンファイル選択のためのインタフェースの具体的な内容は、図１３に示した適用するパタンファイルのルール１３００のウイルス名称１３００−１、危険度１３００−２、発生頻度１３００−３、対象ＯＳ種別１３００−４等の項目が表示され、さらに項目毎に選択肢を提供する。選択肢の内容は、ウイルス名称と対象ＯＳ種別については具体的な名称を、危険度と発生頻度についてはそのレベルに応じた記号を想定してする。ユーザはこれらの選択肢から候補を選ぶことでＧＷ装置２００が適用するパタンファイルのルール１３００を決定することができる。
【００１９】
図３を参照しＧＷ装置２００のハードウェア構成例を説明する。ＧＷ装置２００はＢＵＳ３００によって相互に接続されたＣＰＵ３０３とメモリ３０２とＷＡＮ側ネットワークＩＦ（ＩｎｔｅｒＦａｃｅ：インタフェース)３０１とＬＡＮ側ネットワークＩＦ３０５と不揮発性記憶装置３０４から構成される。ＣＰＵ３０３は、不揮発性記憶装置３０４に格納された機能ブロックをメモリ３０２上にロードし、ロードした各機能を実現するためのプログラムを実行する。
【００２０】
図４を参照し本実施例で想定するパタンファイルの例を説明する。本実施例で想定しているパタンファイルは、セキュリティ攻撃に特徴的なバイトコードを記したウイルスパタン１２０５の他、ウイルス名称１２００、攻撃の危険度１２０１、発生頻度１２０２、攻撃の対象となるＯＳ種別１２０３、パタンファイルのサイズ１２０４などのパタンファイルの特性情報により重み付けされている。ユーザは端末４００が持つ表示部等からＧＷ装置２００の受付部２０６に対し、これらの重み情報に応じてＧＷ装置２００が処理するパタンファイルを設定することができる。
【００２１】
図５を参照し端末４００の構成例を説明する。端末４００はパケット受信部４０１とウイルスチェック処理部４０２と端末用パタンファイル管理テーブル４０３と端末用パタンファイル管理部４０４、パケット送信部４０５から構成される。
【００２２】
パケット受信部４０１はパケットを受信する機能を持つ。端末用パタンファイル管理テーブル４０３は、図４のパタンファイルとパタンファイルが持つ重み情報を管理する。
【００２３】
ウイルスチェック処理部４０２は端末用パタンファイル管理テーブル４０３を参照しウイルスパタンと受信パケットのパタンマッチングを実施する。
【００２４】
パタンファイル管理部４０４は、パタンファイル更新時およびＧＷ装置２００からパタンファイル変更通知受信時にパタンファイル管理サーバ１０２へパタンファイルダウンロード要求を送信する機能、ダウンロードしたパタンファイルを端末用パタンファイル管理テーブル４０３へ保存する機能を持つ。パケット送信部４０５はパケットを送信する機能を持つ。
【００２５】
端末４００は、一般的なＰＣやスマートフォンとして動作するための機能群も有するが、これについては省略し、本実施例に必要な機能のみを記述する。また、ハードウェア構成例についても一般的なＰＣ、スマートフォンの構成と同様となるため、省略する。
【００２６】
なお、ＧＷ装置や端末が、ウイルスチェック処理を行う際に参照するパタンファイル管理テーブルへ、ダウンロードしたパタンファイルを保存することで、ウイルスチェック処理を行うことが可能な状態にすることを、「パタンファイルを適用する」と定義する。また、ウイルスチェック処理を行うことが可能な状態になっていることを、「パタンファイルを適用している」と定義する。
【００２７】
図６を参照してパタンファイル適用時のシーケンス一例を説明する。ＧＷ装置２００が端末４００の表示部へインタフェースを提供し（Ｓ５０１）、危険度”高”のセキュリティ攻撃に対してウイルスチェック処理を行う設定を受付部２０６が受け付けた場合（Ｓ５０２）、ＧＷ装置２００は危険度”高”に該当するパタンファイルをパタンファイル配布サーバ１０２に要求する（Ｓ５０３）。パタンファイル配布サーバ１０２では保持しているパタンファイル（Ｓ５００）のうち、危険度”高”に該当するウイルスパタンが定義してあるパタンファイルＡをＧＷ装置２００へ配布し（Ｓ５０４）、ＧＷ装置２００はこれを自装置のパタンファイル管理テーブル２０５へ保存する（Ｓ５０５）。パタンファイルＡを取得したＧＷ装置２００は、端末４００がパタンファイルダウンロード要求を送信する契機となるパタンファイル変更通知を送信し（Ｓ５０６）、これを受けた端末４００はパタンファイル配布サーバ１０２宛にパタンファイルダウンロード要求を送信する（Ｓ５０７）。
【００２８】
パタンファイル配布サーバ１０２宛のパタンファイルのダウンロード要求（Ｓ５０７）を受けたＧＷ装置２００は、パタンファイル管理テーブル２０５を参照し（Ｓ５０８）、自装置が保持している危険度”高”に該当しないパタンファイルのダウンロード要求をパタンファイル配布サーバ１０２へ行う（Ｓ５０９）。パタンファイル配布サーバ１０２は、危険度”高”に該当しないパタンファイルＢをＧＷ装置２００へ配布し（Ｓ５１０）、ＧＷ装置２００は取得したパタンファイルＢを、配下の端末４００へ配布する（Ｓ５１１）。
【００２９】
パタンファイルＢを取得した端末４００はこれを端末用パタンファイル管理テーブル４０３へ保存する（Ｓ５１２）。
【００３０】
なお、パタンファイルは複数同時にダウンロードすることもでき、一度に複数のパタンファイルを適用できるものとする。また、パタンファイルダウンロード要求（Ｓ５０７）は、ＧＷ装置２００からのパタンファイル変更通知（Ｓ５０６）を受信した場合のみでなく、端末４００の起動時やネットワークへの接続時にパタンファイルの更新があるかどうかをサーバへ問い合わせるためにも送信されるものとする。これにより端末に保存されているパタンファイルとパタンファイル配布サーバが保持するパタンファイルの差分を埋めることができ、端末４００の移動により異なるＧＷ装置の配下に接続された場合にセキュリティリスクに曝されることを防ぐことができる。
【００３１】
また、例えばＧＷ装置２００の配下にスマートフォンのようなハードウェアリソースの少ない端末（”ＯＳ  Ａ”）とＰＣのようなハードウェアリソースの多い端末（”ＯＳ  Ｂ”）が混在した場合、ＧＷ装置２００が”ＯＳ  Ａ”向けのパタンファイル（対象ＯＳ種別１２０３が“ＯＳ  Ａ”に該当するパタンファイル）を適用することでハードウェアリソースの少ない端末（”ＯＳ  Ａ”）ではパタンマッチング等の処理を行う必要がなくなり、リソース負荷を軽減することができる。
【００３２】
図７を参照して悪意あるユーザの端末（４２０）からセキュリティ攻撃を受けた場合のパケット処理シーケンス一例を説明する。端末４００にはパタンファイルＢが適用中（Ｓ６００）、ＧＷ装置２００にはパタンファイルＡが適用中（Ｓ６０１）であり、パタンファイルＡ、Ｂは図６のＳ５００と同一パタンファイルである。危険度”高”に該当するセキュリティ攻撃を受けた場合（Ｓ６０２）、危険度”高”に該当するウイルスパタンを定義したパタンファイルＡを適用している（Ｓ６０１）ＧＷ装置２００により、不正なパケットは破棄される（Ｓ６０５）。危険度”中”や発生頻度”中”などに該当する危険度”高”以外のセキュリティ攻撃（Ｓ６０３、Ｓ６０４）は、ＧＷ装置２００が実施するパタンマッチングではマッチしないため、パケットはＧＷ装置２００で破棄されず通過し、危険度”中”や発生頻度”中”などに該当するウイルスパタンを定義したパタンファイルＢを適用している（Ｓ６００）配下の端末４００で破棄される（Ｓ６０５、Ｓ６０６）。これによりＬＡＮ内の端末４００が危険度の高いセキュリティ攻撃に曝されるのを防ぐことが出来る。
【００３３】
図８を参照してＧＷ装置２００で処理するセキュリティ攻撃の種別を変更する場合のシーケンス一例を説明する。端末４００にはパタンファイルＢが適用中（Ｓ７０１）、ＧＷ装置２００にはパタンファイルＡが適用中（Ｓ７０２）、パタンファイル配布サーバ１０２はパタンファイルＡ、Ｂ、Ｃ、Ｄを保持している（Ｓ７００）。
【００３４】
ＧＷ装置２００が端末４００の表示部へインタフェースを提供し（Ｓ７０３）、ＧＷ装置２００で処理するセキュリティ攻撃の種別を危険度”高”から発生頻度“高”へ変更するよう設定された場合（Ｓ７０４）、ＧＷ装置２００はパタンファイル配布サーバ１０２へ発生頻度“高”に該当するパタンファイルを要求する（Ｓ７０５）。要求を受けたパタンファイル配布サーバ１０２では、保持するパタンファイルのうち発生頻度“高”に該当するウイルスパタンが定義してあるパタンファイルＣをＧＷ装置２００へ配布する（Ｓ７０６）。
【００３５】
パタンファイルＣを取得したＧＷ装置２００は、端末４００へパタンファイル変更通知を送信し（Ｓ７０７）、これを受信した端末４００はパタンファイル配布サーバ１０２宛にパタンファイルダウンロード要求を送信する（Ｓ７０８）。パタンファイル配布サーバ１０２宛のパタンファイルのダウンロード要求を受けたＧＷ装置２００は、パタンファイル管理テーブル２０５を参照し（Ｓ７０９）自装置が保持している発生頻度”高”に該当しないパタンファイルのダウンロード要求をパタンファイル配布サーバ１０２へ行う（Ｓ７１０）。パタンファイル配布サーバ１０２は、発生頻度”高”に該当しないパタンファイルＡ、Ｂ、ＤをＧＷ装置２００へ配布し（Ｓ７１１）、ＧＷ装置２００は取得したパタンファイルＡ、Ｂ、Ｄを配下の端末４００へ配布する（Ｓ７１２）。
【００３６】
パタンファイルＡ、Ｂ、Ｄを取得した端末４００はパタンファイルＡ、Ｂ、Ｄを端末用パタンファイル管理テーブル４０３へ保存する（Ｓ７１３）。
【００３７】
パタンファイルＡ、Ｂ、Ｄを配下の端末４００へ配布した後、ＧＷ装置２００は既に適用済みのパタンファイルＡを削除し（Ｓ７１５）、パタンファイルＣをパタンファイル管理テーブル２０５へ保存する（Ｓ７１６）。
【００３８】
なお、パタンファイルＣのパタンファイル管理テーブル２０５への保存（Ｓ７１６）は、パタンファイル配布サーバ１０２からパタンファイルＣを配布（Ｓ７０６）された際に実行してもよい。
【００３９】
図９を参照してＧＷ装置２００のパタンファイル保持容量が上限に達した場合の処理シーケンスの一例を説明する。端末４００にはパタンファイルＡ、Ｂ、Ｄが適用中（Ｓ８０１）、ＧＷ装置２００にはパタンファイルＣが適用中（Ｓ８０２）であり、パタンファイル配布サーバはパタンファイルＡ、Ｂ、Ｃ、Ｄを保持している（Ｓ８００）。
【００４０】
パタンファイルの定期更新など（Ｓ８０３）でパタンファイルＣの更新ファイルをダウンロードした際に（Ｓ８０４）、パタンファイルのサイズ１４０４の合計値にパタンファイルＣの更新ファイルのサイズを加算した値が、ＧＷ装置２００が保持できるパタンファイル合計サイズ上限１３０１に達した場合（Ｓ８０５）、ＧＷ装置２００は端末４００へパタンファイル変更通知を送信し（Ｓ８０６）、これを受信した端末４００はパタンファイル配布サーバ１０２宛にパタンファイルダウンロード要求を送信する（Ｓ８０７）。
【００４１】
パタンファイル配布サーバ１０２宛のパタンファイルのダウンロード要求を受けた（Ｓ８０７）ＧＷ装置２００は、パタンファイル管理テーブル２０５を参照し（Ｓ８０８）、自装置が保持しているパタンファイルＣとその更新ファイルを配下の端末４００へ配布し（Ｓ８０９）、パタンファイル管理テーブル２０５からパタンファイルＣを削除する（Ｓ８１２）。
【００４２】
パタンファイルＣを受信した端末４００は端末用パタンファイル管理テーブル４０３へパタンファイルＣを保存し（Ｓ８１０）、保持しているパタンファイルＡ、Ｂ、Ｃ、Ｄが適用中となる（Ｓ８１１）。これによりＧＷ装置２００は保持するパタンファイルを配下の端末へ移動させることができ、自装置に適用してあったパタンファイルを削除することから、パタンファイル保持容量に余裕を作ることができる。
【００４３】
図１０を参照してＧＷ装置２００に構成されるパケット振り分け処理の動作例について説明する。このフローはパケット受信時に開始される。
【００４４】
パケットを受信（Ｓ９００）するとパケット振り分け処理部２０１は、ＧＷ装置２００宛でかつパタンファイルのダウンロードパケットか否か、もしくは端末４００からパタンファイル配布サーバ１０２へのパタンファイルダウンロード要求パケットか否かを判定する（Ｓ９０１）。
【００４５】
これらの条件に該当しない場合（Ｓ９０２のＮＯ）、パケットをパケット転送処理部２０２に転送し、ウイルスチェック処理部２０３にてウイルスチェック処理を行う（Ｓ９０４）（後述）。
【００４６】
該当する場合（Ｓ９０２のＹＥＳ）は、パタンファイル管理部２０４にてパタンファイル管理処理（後述）を行う（Ｓ９０３）。
【００４７】
図１１を参照してＧＷ装置２００のパケット転送処理およびウイルスチェック処理の動作例について説明する。このフローは図１０で示した条件のパケットに該当しないパケットを受信したときに開始される（Ｓ９０２のＮＯ）。
【００４８】
図１０で示す条件に該当しないパケットを受信すると、パケット転送処理部２０２は、パケットの転送方向を判定し（Ｓ１０００）、上り方向（ＬＡＮ１００→ＷＡＮ１０１）の場合（Ｓ１００１のＹＥＳ）はパケットを宛先へ転送する（Ｓ１００５）。下り方向（ＷＡＮ１０１→ＬＡＮ１００）の場合（Ｓ１００１のＮＯ）は、ウイルスチェック処理部２０３がパタンファイル管理テーブル２０５を参照し、受信したパケットとパタンファイル管理テーブル２０５が保持するパタンファイルのウイルスパタン１２０５とのマッチングを実施する（Ｓ１００２）。パケットがウイルスパタン１２０５とマッチした場合（Ｓ１００３のＹＥＳ）、ウイルスチェック処理部２０３はパケットを破棄し（Ｓ１００４）、マッチしない場合（Ｓ１００３のＮＯ）はパケットを宛先へ転送する（Ｓ１００５）。
【００４９】
図１２を参照してＧＷ装置２００のパタンファイル管理処理の動作例について説明する。このフローはパケット振り分け処理部２０１が図１０で示す条件に該当するパケットを受信した場合（Ｓ９０２のＹＥＳ）、および、受付部２０６を通してユーザから処理するセキュリティ攻撃種別を変更された場合、および、パタンファイルの定期更新時等に開始される。
【００５０】
この時、パタンファイル管理部２０４は、パタンファイル管理サーバ１０２へパタンファイルダウンロード要求を送信し（Ｓ１１００）、パタンファイルのダウンロードを実施する（Ｓ１１０１）。ダウンロードしたパタンファイルが自装置内で保持しているパタンファイルと重複があるか否かを判定し（Ｓ１１０２）、重複がある場合（Ｓ１１０３のＹＥＳ）は重複分を削除する（Ｓ１１０４）。その後、メモリチェックを実施し、自装置にパタンファイルを保持することによりパタンファイル保持容量の上限を超こさないか判定する（Ｓ１１０５）。
【００５１】
重複がなければ（Ｓ１１０３のＮＯ）、メモリチェックへ移行する。メモリオーバになる場合（Ｓ１１０６のＹＥＳ）は、自装置に適用するパタンファイルを再編成し、自装置に残すパタンファイルと配下の端末４００へ配布するパタンファイルを分ける（Ｓ１１０７）。メモリオーバにならない場合（Ｓ１１０６のＮｏ）は、パタンファイルの再編成（Ｓ１１０７）は行わない。
【００５２】
再編成のルールは受付部２０６からあらかじめ設定できるものとし、例えば危険度“高”に該当するパタンファイルは優先的にＧＷ装置２００で保持し、それ以外のものを配下の端末４００へ配布する、ということを可能とする。
【００５３】
次にダウンロードしたパタンファイルが配下端末４００への配布対象のファイルか否かを判定する（Ｓ１１０８）。ＧＷ装置２００で処理する必要のある重み情報を持つパタンファイルの場合（Ｓ１１０８のＮＯ）には、パタンファイル管理テーブル２０５へパタンファイルを保存する（Ｓ１１１２）。
【００５４】
ＧＷ装置２００で処理する必要のない重み情報を持つパタンファイルの場合（Ｓ１１０８のＹＥＳ）には、配下端末４００からのパタンファイルダウンロード要求契機のダウンロードだったか否かを判定（Ｓ１１０９）する。パタンファイルダウンロード要求契機のダウンロードだった場合（Ｓ１１０９のＹＥＳ）は、配下端末４００へパタンファイルを配布する（Ｓ１１１１）。
【００５５】
パタンファイルダウンロード要求契機のダウンロードではなかった場合（Ｓ１１０９のＮＯ）は、ＧＷ装置２００から端末４００へパタンファイル変更通知を送信することで端末４００からダウンロード要求を受信する契機を作り（Ｓ１１１０）、配下の端末４００へパタンファイルを配布する（Ｓ１１１１）。その後、パタンファイル管理テーブル２０５へＧＷ装置２００用のパタンファイルを保存する（Ｓ１１１２）。
【符号の説明】
【００５６】
１００  Ｌｏｃａｌ Ａｒｅａ Ｎｅｔｗｏｒｋ(ＬＡＮ)
１０１  Ｗｉｄｅ Ａｒｅａ Ｎｅｔｗｏｒｋ(ＷＡＮ)
１０２  パタンファイル配布サーバ
２００  ゲートウェイ装置（ＧＷ装置）
２０１  パケット振り分け処理部
２０２  パケット転送処理部
２０３  ウイルスチェック処理部
２０４  パタンファイル管理部
２０５  パタンファイル管理テーブル
２０６  受付部
２０７  パケット受信部
２０８  パケット送信部
３００  ＢＵＳ
３０１  ＷＡＮ側ネットワークＩｎｔｅｒｆａｃｅ(ＩＦ)
３０２  メモリ
３０３  Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ(ＣＰＵ）
３０４  不揮発性記憶装置
３０５  ＬＡＮ側ネットワークＩＦ
４００  本発明による実施例が適用される端末
４０１  パケット受信部
４０２  ウイルスチェック処理部
４０３  端末用パタンファイル管理テーブル
４０４  端末用パタンファイル管理部
４０５  パケット送信部
４１０  本発明による実施例が適用されない端末
４２０  悪意のあるユーザの端末
１２００  ウイルス名称
１２０１  危険度
１２０２  発生頻度
１２０３  対象ＯＳ種別
１２０４  パタンファイルのサイズ
１２０５  ウイルスパタン
１３００  適用するパタンファイルのルール
１３００−１  ウイルス名称
１３００−２  危険度
１３００−３  発生頻度
１３００−４  対象ＯＳ種別
１３０１  パタンファイル合計サイズ上限
１４００  ウイルス名称
１４０１  危険度
１４０２  発生頻度
１４０３  対象ＯＳ種別
１４０４  パタンファイルのサイズ
１４０５  ウイルスパタン
【図１】
2013157760.tif 000003
【図２】
2013157760.tif 000004
【図３】
2013157760.tif 000005
【図４】
2013157760.tif 000006
【図５】
2013157760.tif 000007
【図６】
2013157760.tif 000008
【図７】
2013157760.tif 000009
【図８】
2013157760.tif 000010
【図９】
2013157760.tif 000011
【図１０】
2013157760.tif 000012
【図１１】
2013157760.tif 000013
【図１２】
2013157760.tif 000014
【図１３】
2013157760.tif 000015
【図１４】
2013157760.tif 000016