(57)【要約】【課題】ネットワーク上に発生したマルウェアの感染源を正確かつ効率的に特定することを課題とする。【解決手段】ＡＲＰ要求パケットに対する応答がない場合には、エッジルータ１０は、ＡＲＰ要求パケットの送信契機となった受信パケットに含まれるデータグラムを抽出する。さらに、抽出されたデータグラムを挿入するとともに、ＡＲＰ要求パケットの送信契機となった受信パケットの送信元アドレスを宛先としたＩＣＭＰパケットを生成して送信する。ＩＣＭＰパケットを受信したエッジルータ１０は、ＩＣＭＰパケットに挿入されたデータグラムに含まれる送信元アドレスごとにＩＣＭＰパケット数を集計して、例えば、ＩＣＭＰパケット数の集計結果が閾値を超えている場合には、ＩＣＭＰパケットに紐づく送信元アドレスをマルウェアの感染源として特定する。【選択図】        図１
2009212985.tif 000002
【特許請求の範囲】
【請求項１】
ネットワーク機器間で送受信されるパケットを用いて、マルウェアの感染源を特定する処理を行うマルウェア特定処理システムであって、
ＡＲＰ要求パケットに対する応答がない場合には、ＡＲＰ要求パケットの送信契機となった受信パケットに含まれるデータグラムを抽出して、抽出されたデータグラムを挿入したＩＣＭＰパケットを送信するパケット送信部と、
前記パケット送信部により送信されるＩＣＭＰパケットをモニタして、ＩＣＭＰパケットに挿入されたデータグラムに、前記受信パケットの送信元として含まれる送信元アドレスごとに、ＩＣＭＰパケット数を集計するパケット集計部と、
前記パケット集計部によるＩＣＭＰパケット数の集計結果を用いて、ＡＲＰ要求パケットの送信契機となった受信パケットの送信元をマルウェアの感染源として特定する感染源特定部と、
を備えたことを特徴とするマルウェア特定処理システム。
【請求項２】
サブネットワークを介して通信可能に接続された複数の計算機を配下に従えるエッジルータは、バックボーンネットワークを介して他のエッジルータと通信可能に接続されるとともに、前記パケット送信部、前記パケット収集部および前記感染源特定部を備え、
前記エッジルータのパケット送信部は、配下に従える各計算機および他のエッジルータに対してブロードキャストしたＡＲＰ要求パケットに対する応答がない場合には、ＡＲＰ要求パケットの送信契機となった受信パケットの送信元である計算機に対して、前記ＩＣＭＰパケットを返信し、
前記エッジルータのパケット集計部は、他のエッジルータから受信したＩＣＭＰパケットが、配下に従える計算機宛のものである場合には、ＩＣＭＰパケットに挿入されたデータグラムに、前記受信パケットの送信元として含まれる計算機のＩＰアドレスごとにＩＣＭＰパケット数を集計し、
前記エッジルータの感染源特定部は、前記受信パケットの送信元として含まれる計算機のＩＰアドレスごとに、前記パケット集計部により集計されたＩＣＭＰパケット数を用いて、ＡＲＰ要求パケットの送信契機となった受信パケットの送信元である計算機をマルウェアの感染源として特定することを特徴とする請求項１に記載のマルウェア特定処理システム。
【請求項３】
サブネットワークを介して通信可能に接続された複数の計算機を配下に従えるエッジルータは、バックボーンネットワークを介して他のエッジルータ、およびネットワークをモニタするネットワーク監視システムと通信可能に接続されるとともに、前記パケット送信部を備え、前記ネットワーク監視システムは、バックボーンネットワークを介して前記エッジルータと通信可能に接続されるとともに、前記パケット収集部および前記感染源特定部を備え、
前記エッジルータのパケット送信部は、配下に従える各計算機および他のエッジルータに対してブロードキャストしたＡＲＰ要求パケットに対する応答がない場合には、前記ネットワーク監視システムに対して前記ＩＣＭＰパケットを送信し、
前記ネットワーク監視システムのパケット集計部は、前記エッジルータから受信したＩＣＭＰパケットに挿入されたデータグラムに、前記受信パケットの送信元として含まれる計算機のＩＰアドレスごとにＩＣＭＰパケット数を集計し、
前記ネットワーク監視システムの感染源特定部は、前記受信パケットの送信元として含まれる計算機のＩＰアドレスごとに、前記パケット集計部により集計されたＩＣＭＰパケット数を用いて、ＡＲＰ要求パケットの送信契機となった受信パケットの送信元である計算機をマルウェアの感染源として特定することを特徴とする請求項１に記載のマルウェア特定処理システム。
【請求項４】
前記エッジルータの感染源特定部により、ＡＲＰ要求パケットの送信契機となった受信パケットの送信元である計算機がマルウェアの感染源として特定された場合には、前記エッジルータは、マルウェアの感染源に関するアラートメッセージを前記ネットワーク監視システムに送信するアラートメッセージ送信部をさらに備えたことを特徴とする請求項２に記載のマルウェア特定処理システム。
【請求項５】
配下に従える複数の計算機とサブネットワークを介して通信可能に接続されるとともに、同様に複数の計算機を配下に従えて同一の機能を有する他の装置とバックボーンネットワークを介して通信可能に接続され、他の装置との間で送受信されるパケットを用いて、マルウェアの感染源を特定する処理を行うマルウェア特定処理装置であって、
配下に従える各計算機および他の装置に対してブロードキャストしたＡＲＰ要求パケットに対する応答がない場合には、ＡＲＰ要求パケットの送信契機となった受信パケットの送信元である計算機に対して、前記ＩＣＭＰパケットを返信するパケット送信部と、
他の装置から受信したＩＣＭＰパケットが、配下に従える計算機宛のものである場合には、ＩＣＭＰパケットに挿入されたデータグラムに、前記受信パケットの送信元として含まれる計算機のＩＰアドレスごとにＩＣＭＰパケット数を集計するパケット集計部と、
前記受信パケットの送信元として含まれる計算機のＩＰアドレスごとに、前記パケット集計部により集計されたＩＣＭＰパケット数を用いて、ＡＲＰ要求パケットの送信契機となった受信パケットの送信元である計算機をマルウェアの感染源として特定する感染源特定部と、
を備えたことを特徴とするマルウェア特定処理装置。
【請求項６】
ネットワーク機器間で送受信されるパケットを用いて、マルウェアの感染源を特定する処理を実行するためのマルウェア特定処理方法であって、
ＡＲＰ要求パケットに対する応答がない場合には、ＡＲＰ要求パケットの送信契機となった受信パケットに含まれるデータグラムを抽出して、抽出されたデータグラムを挿入したＩＣＭＰパケットを送信するパケット送信ステップと、
前記パケット送信ステップにより送信されるＩＣＭＰパケットをモニタして、ＩＣＭＰパケットに挿入されたデータグラムに、前記受信パケットの送信元として含まれる送信元アドレスごとに、ＩＣＭＰパケット数を集計するパケット集計ステップと、
前記パケット集計ステップによる集計結果を用いて、ＡＲＰ要求パケットの送信契機となった受信パケットの送信元をマルウェアの感染源として特定する感染源特定ステップと、
を含んだことを特徴とするマルウェア特定処理方法。
【請求項７】
配下に従える複数の計算機とサブネットワークを介して通信可能に接続されるとともに、同様に複数の計算機を配下に従えて同一の機能を有する他の装置とバックボーンネットワークを介して通信可能に接続され、他の装置との間で送受信されるパケットを用いて、マルウェアの感染源を特定する処理をコンピュータに実行させる行うマルウェア特定処理プログラムであって、
配下に従える各計算機および他の装置に対してブロードキャストしたＡＲＰ要求パケットに対する応答がない場合には、ＡＲＰ要求パケットの送信契機となった受信パケットの送信元である計算機に対して、前記ＩＣＭＰパケットを返信するパケット送信手順と、
他の装置から受信したＩＣＭＰパケットが、配下に従える計算機宛のものである場合には、ＩＣＭＰパケットに挿入されたデータグラムに、前記受信パケットの送信元として含まれる計算機のＩＰアドレスごとにＩＣＭＰパケット数を集計するパケット集計手順と、
前記受信パケットの送信元として含まれる計算機のＩＰアドレスごとに、前記パケット集計手順により集計されたＩＣＭＰパケット数を用いて、ＡＲＰ要求パケットの送信契機となった受信パケットの送信元である計算機をマルウェアの感染源として特定する感染源特定手順と、
をコンピュータに実行させることを特徴とするマルウェア特定処理プログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
この発明は、ネットワーク機器間で送受信されるパケットを用いて、マルウェアの感染源を特定する処理を行うマルウェア特定処理システム等に関する。
【背景技術】
【０００２】
従来より、ネットワークにおいて、不正に機器に感染するコンピュータウィルス、ワーム、スパイウェアなどのマルウェアを検出する方法が存在する。例えば、特許文献１では、ワームに感染したユーザ端末を発生源としてネットワーク上に送出されるＡＲＰ（Address  Resolution  Protocol）要求と、この要求に対するＡＲＰ応答とを観測することにより、ワームに感染したユーザ端末を特定する技術が開示されている。
【０００３】
また、ネットワーク上に存在しないノードのアドレスをネットワーク管理者がデータベース化しておき、データベースに登録されているアドレスを送信先ノードとして通信を試みた送信元ノードを検出することで、送信元ノードがマルウェアに感染しているものと判断する技術も提案されている。
【０００４】
【特許文献１】特開２００５−２２８２３０号公報
【発明の開示】
【発明が解決しようとする課題】
【０００５】
しかしながら、上記した特許文献１に開示の技術は、仮に、サブネット上に存在するマルウェアの感染源から、外部ネットワーク上のルータへＡＲＰ要求が到達した場合には、そのルータから配下のノードに対してＡＲＰ要求が改めて送信されるので、そのルータをマルウェアの感染源として誤検知してしまうことが考えられるという問題点があった。
【０００６】
また、大規模なネットワーク上に存在しないノードのアドレスをネットワーク管理者がデータベース化するのは事実上困難であるので、上記した他の従来技術も実現可能性が低いという問題点があった。
【０００７】
そこで、この発明は、上述した従来技術の課題を解決するためになされたものであり、ネットワーク上に発生したマルウェアの感染源を正確かつ効率的に特定することが可能なマルウェア特定処理システム、マルウェア特定処理装置、マルウェア特定処理方法およびマルウェア特定処理プログラムを提供することを目的とする。
【課題を解決するための手段】
【０００８】
上述した課題を解決し、目的を達成するため、開示のシステムは、ネットワーク機器間で送受信されるパケットを用いて、マルウェアの感染源を特定する処理を行うマルウェア特定処理システムであって、ＡＲＰ要求パケットに対する応答がない場合には、ＡＲＰ要求パケットの送信契機となった受信パケットに含まれるデータグラムを抽出して、抽出されたデータグラムを挿入したＩＣＭＰパケットを送信するパケット送信部と、前記パケット送信部により送信されるＩＣＭＰパケットをモニタして、ＩＣＭＰパケットに挿入されたデータグラムに、前記受信パケットの送信元として含まれる送信元アドレスごとに、ＩＣＭＰパケット数を集計するパケット集計部と、前記パケット集計部によるＩＣＭＰパケット数の集計結果を用いて、ＡＲＰ要求パケットの送信契機となった受信パケットの送信元をマルウェアの感染源として特定する感染源特定部と、を備えたことを要件とする。
【０００９】
また、この方法は、ネットワーク機器間で送受信されるパケットを用いて、マルウェアの感染源を特定する処理を実行するためのマルウェア特定処理方法であって、ＡＲＰ要求パケットに対する応答がない場合には、ＡＲＰ要求パケットの送信契機となった受信パケットに含まれるデータグラムを抽出して、抽出されたデータグラムを挿入したＩＣＭＰパケットを送信するパケット送信ステップと、前記パケット送信ステップにより送信されるＩＣＭＰパケットをモニタして、ＩＣＭＰパケットに挿入されたデータグラムに、前記受信パケットの送信元として含まれる送信元アドレスごとに、ＩＣＭＰパケット数を集計するパケット集計ステップと、前記パケット集計ステップによる集計結果を用いて、ＡＲＰ要求パケットの送信契機となった受信パケットの送信元をマルウェアの感染源として特定する感染源特定ステップと、を含んだことを要件とする。
【００１０】
また、このプログラムは、配下に従える複数の計算機とサブネットワークを介して通信可能に接続されるとともに、同様に複数の計算機を配下に従えて同一の機能を有する他の装置とバックボーンネットワークを介して通信可能に接続され、他の装置との間で送受信されるパケットを用いて、マルウェアの感染源を特定する処理をコンピュータに実行させるマルウェア特定処理プログラムであって、配下に従える各計算機および他の装置に対してブロードキャストしたＡＲＰ要求パケットに対する応答がない場合には、ＡＲＰ要求パケットの送信契機となった受信パケットの送信元である計算機に対して、前記ＩＣＭＰパケットを返信するパケット送信手順と、他の装置から受信したＩＣＭＰパケットが、配下に従える計算機宛のものである場合には、ＩＣＭＰパケットに挿入されたデータグラムに、前記受信パケットの送信元として含まれる計算機のＩＰアドレスごとにＩＣＭＰパケット数を集計するパケット集計手順と、前記受信パケットの送信元として含まれる計算機のＩＰアドレスごとに、前記パケット集計手順により集計されたＩＣＭＰパケット数を用いて、ＡＲＰ要求パケットの送信契機となった受信パケットの送信元である計算機をマルウェアの感染源として特定する感染源特定手順と、をコンピュータに実行させることを要件とする。
【発明の効果】
【００１１】
開示のシステムによれば、ネットワーク上に発生したマルウェアの感染源を正確かつ効率的に特定することができるという効果を奏する。
【００１２】
また、開示のシステムによれば、マルウェアの感染源に一番近いネットワーク機器において、マルウェアの感染源を特定することができるという効果を奏する。
【００１３】
また、開示のシステムによれば、ネットワーク上のマルウェアの感染源を一括管理することができるという効果を奏する。
【００１４】
また、開示のシステムによれば、例えば、ネットワークを集中管理する監視装置に、マルウェアの感染源を通知することができるという効果を奏する。
【００１５】
また、開示のシステムによれば、例えば、ネットワーク監視するオペレータに、マルウェアの感染源を知らせることができるという効果を奏する。
【発明を実施するための最良の形態】
【００１６】
以下に添付図面を参照して、この発明に係るマルウェア特定処理システム、マルウェア特定処理装置、マルウェア特定処理方法およびマルウェア特定処理プログラムを実施するための実施の形態を詳細に説明する。なお、以下では、本発明に係るマルウェア特定処理システムの一実施形態として実施例１を説明した後に、本発明を実施するための他の実施形態について他の実施例を説明する。
【実施例１】
【００１７】
以下の実施例１では、実施例１に係るマルウェア特定処理システムの概要および特徴、かかるマルウェア処理システムの構成および処理を順に説明し、最後に実施例１による効果を説明する。
【００１８】
［マルウェア特定処理システムの概要および特徴（実施例１）］
まず、図１を用いて、実施例１に係るマルウェア特定処理システムの概要および特徴を説明する。図１は、実施例１に係るエッジルータの概要および特徴を説明するための図である。
【００１９】
実施例１に係るマルウェア特定処理システムは、ネットワーク機器間で送受信されるパケットを用いて、マルウェアの感染源を特定する処理を行うことを概要とするが、ネットワーク上に発生したマルウェアの感染源を正確かつ効率的に特定することができる点に主たる特徴がある。
【００２０】
この主たる特徴について簡単に説明すると、実施例１に係るマルウェア特定処理システムは、図１に示すように、エッジルータ１０および計算機２０を含んで構成され、エッジルータ１０は、サブネットワーク上に設置された複数の計算機２０を自己の配下に従え、サブネットワークを介して通信可能な状態に接続されている。
【００２１】
自己の配下である複数の計算機２０から、ＡＲＰ（Address  Resolution  Protocol）要求パケットに対する応答がない場合には、エッジルータ１０は、ＡＲＰ要求パケットの送信契機となった受信パケットに含まれるデータグラムを抽出する。
【００２２】
さらに、エッジルータ１０は、抽出されたデータグラムを挿入するとともに、ＡＲＰ要求パケットの送信契機となった受信パケットの送信元アドレスをデータグラム内から抽出して、抽出された送信元アドレスを宛先としたＩＣＭＰ（Internet  Control  Message  Protocol）パケットを生成する。
【００２３】
そして、エッジルータ１０は、ＡＲＰ要求パケットの送信契機となった受信パケットの送信元アドレスをデータグラム内から抽出して、抽出された送信元アドレスを宛先としてＩＣＭＰ（ＴＹＰＥ３）パケット（以下、適宜「ＩＣＭＰパケット」と記載する）を送信する。
【００２４】
ＩＣＭＰパケットを受信したエッジルータ１０は、ＩＣＭＰパケットに挿入されたデータグラムに含まれる送信元アドレスごとにＩＣＭＰパケット数を集計して、例えば、ＩＣＭＰパケット数の集計結果が閾値を超えている場合には、ＩＣＭＰパケットに紐づく送信元アドレスをマルウェアの感染源として特定する。
【００２５】
このようなことから、実施例１に係るマルウェア特定処理システムは、上述した主たる特徴のように、ネットワーク上に発生したマルウェアの感染源を正確かつ効率的に特定することができる。
【００２６】
［マルウェア特定処理システムの構成（実施例１）］
次に、図２〜図６を用いて、実施例１に係るマルウェア特定処理システムの構成を説明する。図２は、実施例１に係るネットワーク構成例を示す図である。図３は、実施例１に係るエッジルータの構成を示すブロック図である。図４は、実施例１に係るＩＰ−ＭＡＣテーブルの構成例を示す図である。図５は、実施例１に係るカウンタテーブルの構成例を示す図である。図６は、実施例１に係るネットワーク監視システムの構成を示すブロック図である。
【００２７】
図２に示すように、実施例１に係るマルウェア特定処理システムは、エッジルータ１０、計算機２０およびネットワーク監視システムを含んで構成される。そして、エッジルータ１０は、サブネットワーク上に設置された複数の計算機２０を自己の配下に従えて、サブネットワークを介して相互に通信可能な状態で接続されるとともに、複数のルータを含んだバックボーンネットワークを介して、他のエッジルータ１０およびネットワーク監視システム３０と相互に通信可能な状態で接続される。
【００２８】
エッジルータ１０は、図３に示すように、ＮＩＣ１１と、ＡＲＰ解決部１２と、ＡＲＰタイムアウト通知部１３と、ＩＣＭＰ生成部１４と、パケット中継部１５と、ＩＣＭＰ受信カウンタ１６と、アラート生成部１７とを備えて構成される。
【００２９】
ＮＩＣ（Network  Interface  Card）１１は、サブネットワークやバックボーンネットワークにエッジルータ１０を接続する。
【００３０】
ＡＲＰ解決部１２は、ＡＲＰ（Address  Resolution  Protocol）要求パケットを送信する。具体的に説明すると、ＡＲＰ解決部１２は、ＮＩＣ１１を介してパケットを受信すると、キャッシュされているＩＰ−ＭＡＣテーブルを参照して、受信パケットの宛先ＩＰアドレスが存在するかどうかを判定する。判定の結果、ＩＰ−ＭＡＣテーブルに受信パケットの宛先ＩＰアドレスが存在しなかった場合には、配下に従える各計算機２０、および他のエッジルータに対して、ＡＲＰ要求パケットをブロードキャストする。
【００３１】
ＡＲＰ解決部１２により参照されるキャッシュには、例えば、図４に示すように、サブネットワークを介して通信可能な状態で接続された各計算機２０のＩＰアドレスと、ＭＡＣアドレスとを対応付けて記憶するＩＰ−ＭＡＣテーブルがキャッシュされている。
【００３２】
ＡＲＰタイムアウト通知部１３は、ＡＲＰタイムアウト通知部１３ＡＲＰ解決部１２によりブロードキャストされたＡＲＰ要求パケットに対する応答の受信を待機し、応答を受信する前にタイムアウトした場合には、ＡＲＰがタイムアウトしたことをＩＣＭＰ生成部１４に通知する。
【００３３】
ＩＣＭＰ生成部１３は、ＡＲＰタイムアウト通知部１３からＡＲＰのタイムアウトについて通知を受け付けると、ＩＣＭＰ（Internet  Control  Message  Protocol）パケットを生成する。具体的に説明すると、ＩＣＭＰ生成部１３は、ＡＲＰタイムアウト通知部１３からＡＲＰのタイムアウトについて通知を受け付けると、ＡＲＰ要求パケットを送信する契機となった受信パケットからデータグラムを抽出する。
【００３４】
そして、ＩＣＭＰ生成部１３は、抽出したデータグラムを挿入して、そのデータグラムに含まれる送信元アドレス（受信パケットの送信元アドレス）を宛先としてしたＩＣＭＰパケットを生成して、パケット中継部１５に送出する。
【００３５】
パケット中継部１５は、ＩＣＭＰ生成部１３から受け付けたＩＣＭＰパケットを送信する。具体的に説明すると、パケット中継部１５は、ＩＣＭＰパケットをＩＣＭＰ生成部１３から受け付けると、ＮＩＣ１１を介して、データグラムに含まれる送信元アドレスを宛先としたＩＣＭＰパケット送信する。
【００３６】
また、パケット中継部１５は、ＮＩＣ１１を介してＩＣＭＰパケットを受信すると、そのＩＣＭＰパケットが、自己の配下宛（配下に従える計算機２０宛）のものであるかどうかを判定する。判定の結果、自己の配下宛のパケットである場合には、パケット中継部１５は、受信したＩＣＭＰパケットに挿入されたデータグラムの中から送信元アドレスを抽出して、ＩＣＭＰ受信カウンタ１６に送出する。
【００３７】
また、パケット中継部１５は、後述するアラート生成部１７からアラートメッセージを受け付けると、ＮＩＣ１１を介して、ネットワーク監視システム３０にアラートメッセージを送信する。
【００３８】
なお、パケット中継部１５は、受信したＩＣＭＰパケットが自己の配下宛のものであるかどうかを、ＩＣＭＰパケットの宛先アドレスと、ＮＩＣ１１に割り当てられたアドレスとを比較することにより判定してもよいし、ＩＣＭＰパケットの宛先アドレスと、キャッシュされたＩＰ−ＭＡＣテーブルのＩＰアドレスとを比較することにより判定してもよい。
【００３９】
ＩＣＭＰ受信カウンタ１６は、パケット中継部１５から送信元アドレスを受け付けて、送信元アドレスに対応するカウンタをアップさせる。具体的に説明すると、ＩＣＭＰ受信カウンタ１６は、パケット中継部１５から送信元アドレスを受け付けると、カウンタテーブルを参照して、該当アドレスがカウンタテーブル内に存在するかどうかを判定する。
【００４０】
判定の結果、カウンタテーブル内に該当アドレスが存在する場合には、ＩＣＭＰ受信カウンタ１６は、該当アドレスに対応するＩＣＭＰパケット受信カウンタ値のカウンタをアップさせる。一方、判定の結果、カウンタテーブル内に該当アドレスが存在しない場合には、ＩＣＭＰ受信カウンタ１６は、該当アドレスをカウンタテーブルに追加して、ＩＣＭＰパケット受信カウンタ値のカウンタをアップさせる。
【００４１】
そして、ＩＣＭＰ受信カウンタ１６は、カウンタをアップさせた後のＩＣＭＰパケット受信カウンタ値が、閾値を越えているかどうかを判定し、閾値を超えている場合には、該当アドレスに対応する計算機２０がマルウェアに感染しているものとして、アラートメッセージの生成をアラート生成部１７に指示する。
【００４２】
ＩＣＭＰ受信カウンタ１６により参照されるカウンタテーブルは、例えば、図５に示すように、ＩＰアドレスと、ＩＣＭＰパケット受信カウンタ数とを対応付けて記憶する。なお、アラートメッセージの生成を指示することとなった該当アドレスに対応するＩＣＭＰパケット受信カウンタ値は、装置管理者により一旦リセットされる。
【００４３】
アラート生成部１７は、ＩＣＭＰ受信カウンタ１６からアラートメッセージの生成指示を受け付けると、マルウェアに感染している計算機２０のアドレスを含んだアラートメッセージを生成して、パケット中継部１５に送出する。
【００４４】
ネットワーク監視システム３０は、図６に示すように、ＮＩＣ３１と、ＴＣＰ／ＩＰプロトコルスタック３２と、アラート受信部３３と、アラート表示部３４とを備えて構成される。ＮＩＣ３１は、バックボーンネットワークに接続する。ＴＣＰ／ＩＰプロトコルスタック３２は、ＮＩＣ３１を介して受信したアラートメッセージをアラート受信部３３へリンクさせる。
【００４５】
アラート受信部３３は、ＴＣＰ／ＩＰプロトコルスタック３２を介してアラートメッセージを受け付けると、アラートメッセージに含まれるアドレスに対応した計算機２０がマルウェアに感染していることを示すアラートを表示するように、アラート表示部３４に指示する。
【００４６】
アラート表示部３４は、アラート受信部３３からの指示に応じて、マルウェアに感染した計算機２０に関するアラートを表示する。
【００４７】
［マルウェア特定処理システムの処理（実施例１）］
続いて、図７〜図９を用いて、実施例１に係るマルウェア特定処理システムの処理を説明する。図７は、実施例１に係るＩＣＭＰパケット送信処理の流れを示す図である。図８は、実施例１に係るアラートメッセージ送信処理の流れを示す図である。図９は、実施例１に係るアラート表示処理の流れを示す図である。
【００４８】
まず、図７を用いて、実施例１に係るＩＣＭＰパケット送信処理の流れを説明する。同図に示すように、ＡＲＰ解決部１２は、ＮＩＣ１１を介してパケットを受信すると（ステップＳ７０１肯定）、キャッシュされているＩＰ−ＭＡＣテーブルを参照して、受信パケットの宛先ＩＰアドレスが存在するかどうかを判定する（ステップＳ７０２）。判定の結果、ＩＰ−ＭＡＣテーブルに受信パケットの宛先ＩＰアドレスが存在しなかった場合には（ステップＳ７０２否定）、配下に従える各計算機２０、および他のエッジルータに対して、ＡＲＰ要求パケットをブロードキャストする（ステップＳ７０３）。
【００４９】
ＡＲＰタイムアウト通知部１３は、ＡＲＰタイムアウト通知部１３ＡＲＰ解決部１２によりブロードキャストされたＡＲＰ要求パケットに対する応答の受信を待機する（ステップＳ７０４）。そして、応答を受信する前にタイムアウトした場合には（ステップＳ７０４肯定）、ＡＲＰタイムアウト通知部１３は、ＡＲＰがタイムアウトしたことをＩＣＭＰ生成部１４に通知する。
【００５０】
ＩＣＭＰ生成部１３は、ＡＲＰタイムアウト通知部１３からＡＲＰのタイムアウトについて通知を受け付けると、ＡＲＰ要求パケットを送信する契機となった受信パケットからデータグラムを抽出する（ステップＳ７０５）。
【００５１】
そして、ＩＣＭＰ生成部１３は、抽出したデータグラムを挿入して、そのデータグラムに含まれる送信元アドレス（受信パケットの送信元アドレス）を宛先としてしたＩＣＭＰ（ＴＹＰＥ３）パケットを生成して（ステップＳ７０６）、パケット中継部１５に送出する。
【００５２】
パケット中継部１５は、ＩＣＭＰ（ＴＹＰＥ３）パケットをＩＣＭＰ生成部１３から受け付けると、ＮＩＣ１１を介して、データグラムに含まれる送信元アドレスを宛先としたＩＣＭＰ（ＴＹＰＥ３）パケット送信する（ステップＳ７０７）。
【００５３】
ここで、ステップＳ７０３およびステップＳ７０４の説明に戻ると、ＩＰ−ＭＡＣテーブルに受信パケットの宛先ＩＰアドレスが存在する場合（ステップＳ７０２肯定）、あるいは、ＡＲＰ要求パケットに対する応答を受信する前にタイムアウトしなかった場合には（ステップＳ７０４否定）、ＡＲＰ解決部１２は、受信パケットのＩＰアドレスに対応するＭＡＣアドレスをＩＰ−ＭＡＣテーブルから取得することにより、ＭＡＣアドレスを解決して通常の送信を実行する（ステップＳ７０８）。
【００５４】
なお、上述してきたＩＣＭＰパケット送信処理は、パケットを受信するたびに再帰的に実行される。
【００５５】
次に、図８を用いて、実施例１に係るアラートメッセージ送信処理の流れを説明する。同図に示すように、パケット中継部１５は、ＮＩＣ１１を介してＩＣＭＰパケットを受信すると（ステップＳ８０１肯定）、そのＩＣＭＰパケットが、自己の配下宛（配下に従える計算機２０宛）のものであるかどうかを判定する（ステップＳ８０２）。判定の結果、自己の配下宛のパケットである場合には（ステップＳ８０２肯定）、パケット中継部１５は、受信したＩＣＭＰパケットに挿入されたデータグラムの中から送信元アドレスを抽出して（ステップＳ８０３）、ＩＣＭＰ受信カウンタ１６に送出する。
【００５６】
ＩＣＭＰ受信カウンタ１６は、パケット中継部１５から送信元アドレスを受け付けると、カウンタテーブルを参照して、該当アドレスがカウンタテーブル内に存在するかどうかを判定する（ステップＳ８０４）。
【００５７】
判定の結果、カウンタテーブル内に該当アドレスが存在する場合には（ステップＳ８０４肯定）、ＩＣＭＰ受信カウンタ１６は、該当アドレスに対応するＩＣＭＰパケット受信カウンタ値のカウンタをアップさせる（ステップＳ８０５）。一方、判定の結果、カウンタテーブル内に該当アドレスが存在しない場合には（ステップＳ８０４否定）、ＩＣＭＰ受信カウンタ１６は、該当アドレスをカウンタテーブルに追加して、ＩＣＭＰパケット受信カウンタ値のカウンタをアップさせる（ステップＳ８０６）。
【００５８】
そして、ＩＣＭＰ受信カウンタ１６は、カウンタをアップさせた後のＩＣＭＰパケット受信カウンタ値が、閾値を越えているかどうかを判定する（ステップＳ８０７）。判定の結果、ＩＣＭＰパケット受信カウンタ値が閾値を超えている場合には（ステップＳ８０７肯定）、ＩＣＭＰ受信カウンタ１６は、該当アドレスに対応する計算機２０がマルウェアに感染しているものとして、アラートメッセージの生成をアラート生成部１７に指示し、アラート生成部１７は、マルウェアに感染している計算機２０のアドレスを含んだアラートメッセージを生成してパケット中継部１５に送出し、パケット中継部１５は、ＮＩＣ１１を介して、ネットワーク監視システム３０にアラートメッセージを送信する（ステップＳ８０８）。
【００５９】
一方、判定の結果、ＩＣＭＰパケット受信カウンタ値が閾値を超えていない場合には（ステップＳ８０７否定）、再び、ＩＣＭＰパケットの受信を待機する。
【００６０】
続いて、図９を用いて、実施例１に係るアラート表示処理の流れを説明する。同図に示すように、アラートメッセージをエッジルータ１０から受信すると（ステップＳ９０１）、アラート受信部３３は、アラートメッセージに含まれるアドレスに対応した計算機２０がマルウェアに感染していることを示すアラートを表示するように、アラート表示部３４に指示し、アラート表示部３４は、アラート受信部３３からの指示に応じて、マルウェアに感染した計算機２０に関するアラートを表示する（ステップＳ９０２）。
【００６１】
なお、上述したアラート表示処理は、アラートメッセージを受信するたびに再帰的に実行される。
【００６２】
［実施例１による効果］
上述してきたように、実施例１によれば、ＡＲＰ要求パケットに対する応答がない場合には、ＡＲＰ要求パケットの送信契機となった受信パケットに含まれるデータグラムを抽出して、抽出されたデータグラムを挿入したＩＣＭＰパケットを送信し、ＩＣＭＰパケットをモニタして、ＩＣＭＰパケットに挿入されたデータグラムに含まれる送信元アドレスごとに、ＩＣＭＰパケット数を集計し、ＩＣＭＰパケット数の集計結果を用いて、ＡＲＰ要求パケットの送信契機となった受信パケットの送信元をマルウェアの感染源として特定するので、ネットワーク上に発生したマルウェアの感染源を正確かつ効率的に特定することができるという効果を奏する。
【００６３】
また、実施例１によれば、ＡＲＰ要求パケットの送信契機となった受信パケットの送信元にＩＣＭＰパケットを返信するので、マルウェアの感染源に一番近いエッジルータ１０において、マルウェアの感染源を特定することができるという効果を奏する。
【００６４】
また、実施例１によれば、ＡＲＰ要求パケットの送信契機となった受信パケットの送信元がマルウェアの感染源として特定された場合には、ネットワークをモニタするネットワーク監視システム３０にマルウェアの感染源に関するアラートメッセージを送信するので、マルウェアの感染源をネットワーク監視システム３０に通知することができるという効果を奏する。
【実施例２】
【００６５】
上記の実施例１では、エージルータ１０においてＩＣＭＰパケットを集計して、マルウェア感染源を特定する場合を説明したが、本発明はこれに限定されるものではなく、ネットワーク監視システム３０においてＩＣＭＰパケットを集計して、マルウェア感染源を特定するようにしてもよい。そこで、以下の実施例２では、実施例２に係るエッジルータおよびネットワーク管理システムの構成、および実施例２に係るマルウェア特定処理システムの処理を順に説明し、最後に実施例２による効果を説明する。
【００６６】
［エッジルータおよびネットワーク管理システムの構成（実施例２）］
図１０〜図１２を用いて、実施例２に係るエッジルータおよびネットワーク管理システムの構成について説明する。図１０は、実施例２に係るエッジルータの構成を示すブロック図である。図１１は、実施例２に係るネットワーク監視システムの構成を示すブロック図である。図１２は、実施例２に係るカウンタテーブルの構成例を示す図である。
【００６７】
まず、図１０を用いて、実施例２に係るエッジルータ１０の構成を説明する。実施例２に係るエッジルータは、実施例１に係るエッジルータと基本的には同様の構成であるが、ＩＣＭＰ（ＴＹＰＥ３）送信先設定ＤＢ１８を新たに備える点が異なる。
【００６８】
ＩＣＭＰ（ＴＹＰＥ３）送信先設定ＤＢ１８は、ＩＣＭＰパケットの送信先として、ネットワーク監視システム３０のアドレスが設定されている。
【００６９】
そして、ＩＣＭＰ生成部１３は、ＡＲＰ要求パケットを送信する契機となった受信パケットからデータグラムを抽出すると、抽出したデータグラムを挿入するとともに、ＩＣＭＰ（ＴＹＰＥ３）送信先設定ＤＢ１８から読み込んだネットワーク監視システム３０のアドレスを宛先としたＩＣＭＰパケットを生成する。
【００７０】
次に、図１１を用いて、実施例２に係るネットワーク管理システム３０の構成を説明する。実施例２に係るネットワーク管理システム３０は、以下に説明する点が実施例１とは異なる。
【００７１】
すなわち、実施例２に係るネットワーク管理システム３０は、ＩＣＭＰ（ＴＹＰＥ３）受信部３５を備える。ＩＣＭＰ（ＴＹＰＥ３）受信部３５は、ＮＩＣ１１を介して、ＩＣＭＰパケットを受信すると、ＩＣＭＰパケットに挿入されたデータグラムの中から送信元アドレスを抽出し、カウンタテーブルを参照して、該当アドレスがカウンタテーブル内に存在するかどうかを判定する。
【００７２】
なお、カウンタテーブルは、例えば、図１２に示すように、ＩＰアドレスと、ＩＣＭＰパケット受信カウンタ数とを対応付けて記憶し、上記の実施例１と同様の構成を有する。
【００７３】
判定の結果、ＩＣＭＰ（ＴＹＰＥ３）受信部３５は、カウンタテーブル内に該当アドレスが存在する場合には、該当アドレスに対応するＩＣＭＰパケット受信カウンタ値のカウンタをアップさせる。一方、判定の結果、カウンタテーブル内に該当アドレスが存在しない場合には、ＩＣＭＰ（ＴＹＰＥ３）受信部３５は、該当アドレスをカウンタテーブルに追加して、ＩＣＭＰパケット受信カウンタ値のカウンタをアップさせる。
【００７４】
そして、ＩＣＭＰ（ＴＹＰＥ３）受信部３５は、カウンタをアップさせた後のＩＣＭＰパケット受信カウンタ値が、閾値を越えているかどうかを判定する。判定の結果、ＩＣＭＰパケット受信カウンタ値が閾値を超えている場合には、ＩＣＭＰ（ＴＹＰＥ３）受信部３５は、該当アドレスに対応する計算機２０がマルウェアに感染していることを示すアラートを表示するように、アラート表示部３４に指示する。
【００７５】
［マルウェア特定システムの処理（実施例２）］
続いて、図１３および図１４を用いて、実施例２に係るマルウェア特定処理システムの処理を説明する。図１３は、実施例２に係るＩＣＭＰパケット送信処理の流れを示す図である。図１４は、実施例２に係るアラート表示処理の流れを示す図である。
【００７６】
まず、図１３を用いて、実施例２に係るＩＣＭＰパケット送信処理の流れを説明する。実施例２に係るＩＣＭＰパケット送信処理は、実施例１に係るＩＣＭＰパケット送信処理と以下に説明する点が異なる。
【００７７】
すなわち、図１３に示すように、ＡＲＰ要求パケットを送信する契機となった受信パケットからデータグラムを抽出すると（ステップＳ１３０５）、ＩＣＭＰ生成部１３は、抽出したデータグラムを挿入するとともに、ＩＣＭＰ（ＴＹＰＥ３）送信先設定ＤＢ１８から読み込んだネットワーク監視システム３０のアドレスを宛先としたＩＣＭＰパケットを生成する（ステップＳ１３０６）。
【００７８】
次に、図１４を用いて、実施例２に係るアラート表示処理の流れを説明する。同図に示すように、ＮＩＣ１１を介して、ＩＣＭＰパケットを受信すると（ステップＳ１４０１肯定）、ＩＣＭＰ（ＴＹＰＥ３）受信部３５は、ＩＣＭＰパケットに挿入されたデータグラムの中から送信元アドレスを抽出し（ステップＳ１４０２）、カウンタテーブルを参照して、該当アドレスがカウンタテーブル内に存在するかどうかを判定する（ステップＳ１４０３）。
【００７９】
判定の結果、ＩＣＭＰ（ＴＹＰＥ３）受信部３５は、カウンタテーブル内に該当アドレスが存在する場合には（ステップＳ１４０３肯定）、該当アドレスに対応するＩＣＭＰパケット受信カウンタ値のカウンタをアップさせる（ステップＳ１４０４）。一方、判定の結果、カウンタテーブル内に該当アドレスが存在しない場合には（ステップＳ１４０３否定）、ＩＣＭＰ（ＴＹＰＥ３）受信部３５は、該当アドレスをカウンタテーブルに追加して、ＩＣＭＰパケット受信カウンタ値のカウンタをアップさせる（ステップＳ１４０５）。
【００８０】
そして、ＩＣＭＰ（ＴＹＰＥ３）受信部３５は、カウンタをアップさせた後のＩＣＭＰパケット受信カウンタ値が、閾値を越えているかどうかを判定する（ステップＳ１４０６）。判定の結果、ＩＣＭＰパケット受信カウンタ値が閾値を超えている場合には（ステップＳ１４０６肯定）、ＩＣＭＰ（ＴＹＰＥ３）受信部３５は、該当アドレスに対応する計算機２０がマルウェアに感染していることを示すアラートを表示するように、アラート表示部３４に指示し、アラート表示部３４は、ＩＣＭＰ（ＴＹＰＥ３）受信部３５の指示に応じて、マルウェアに感染した計算機２０に関するアラートを表示する（ステップＳ１４０７）。
【００８１】
一方、判定の結果、ＩＣＭＰパケット受信カウンタ値が閾値を超えていない場合には（ステップＳ１４０６否定）、再び、ＩＣＭＰパケットの受信を待機する。
【００８２】
［実施例２による効果］
上述してきたように、実施例２によれば、ネットワークをモニタするネットワーク監視システム３０にＩＣＭＰパケットを送信するので、ネットワーク上のマルウェアの感染源を一括管理することができるという効果を奏する。
【００８３】
また、実施例２によれば、例えば、ネットワーク監視するオペレータに、マルウェアの感染源を知らせることができるという効果を奏する。
【実施例３】
【００８４】
さて、これまで本発明に係るマルウェア特定処理システムの一実施形態として実施例１について説明したが、本発明は上述した実施例以外にも、種々の異なる形態にて実施されてよいものである。そこで、以下では、本発明を実施するための他の実施形態について異なる実施例を説明する。
【００８５】
（１）システム構成等
図２に示したマルウェア特定処理システムの各構成要素は機能概念的なものであり、必ずしも物理的に図示の如く構成されていることを要しない。すなわち、図２に示すシステムの分散・統合の具体的形態は図示のものに限られず、例えば、エッジルータ１０の各機能とネットワーク監視システム３０の各機能と統合して、アラート表示機能をエッジルータに搭載するなど、その全部または一部を、各種の負荷や使用状況などに応じて、任意の単位で機能的または物理的に分散・統合して構成することができる。
【００８６】
また、図３に示したエッジルータ１０の各構成要素は機能概念的なものであり、必ずしも物理的に図示の如く構成されていることを要しない。すなわち、エッジルータ１０の分散・統合の具体的形態は図示のものに限られず、例えば、ＡＲＰ解決部１２とＡＲＰタイムアウト通知部１３とを統合するなど、その全部または一部を、各種の負荷や使用状況などに応じて、任意の単位で機能的または物理的に分散・統合して構成することができる。さらに、エッジルータ１０にて行なわれる各処理機能（図７、図８、図１３等参照）は、その全部または任意の一部が、ＣＰＵおよび当該ＣＰＵにて解析実行されるプログラムにて実現され、あるいは、ワイヤードロジックによるハードウェアとして実現され得る。
【００８７】
（２）マルウェア特定処理プログラム
ところで、上記の実施例１または実施例２で説明したエッジルータ１０の各種の処理（図７、図８、図１３等参照）は、あらかじめ用意されたプログラムをパーソナルコンピュータやワークステーションなどのコンピュータシステムで実行することによって実現することができる。そこで、以下では、図１５を用いて、上記の実施例１または実施例２と同様の機能を有するマルウェア特定処理プログラムを実行するコンピュータの一例を説明する。図１５は、マルウェア特定処理プログラムを実行するコンピュータを示す図である。
【００８８】
同図に示すように、エッジルータとしてコンピュータ４０は、入力部４１、出力部４２、ＨＤＤ４３、ＲＡＭ４４およびＣＰＵ４５をバス５０で接続して構成される。
【００８９】
ここで、入力部４１は、ユーザから各種データの入力を受け付ける。出力部４２は、各種情報を表示する。ＨＤＤ４３は、ＣＰＵ４５による各種処理の実行に必要な情報を記憶する。ＲＡＭ４４は、各種情報を一時的に記憶する。ＣＰＵ４５は、各種演算処理を実行する。
【００９０】
そして、ＨＤＤ４３には、図１５に示すように、上記の実施例１または実施例２に示したエッジルータ１０の各処理部と同様の機能を発揮するマルウェア特定処理プログラム４３ａと、マルウェア特定処理用データ４３ｂとがあらかじめ記憶されている。なお、このマルウェア特定処理プログラム４３ａを適宜分散させて、ネットワークを介して通信可能に接続された他のコンピュータの記憶部に記憶させておくこともできる。
【００９１】
そして、ＣＰＵ４５が、このマルウェア特定処理プログラム４３ａをＨＤＤ４３から読み出してＲＡＭ４４に展開することにより、図１５に示すように、マルウェア特定処理プログラム４３ａはマルウェア特定処理プロセス４４ａとして機能するようになる。そして、マルウェア特定処理プロセス４４ａは、マルウェア特定処理用データ４３ｂ等をＨＤＤ４３から読み出して、ＲＡＭ４４において自身に割り当てられた領域に展開し、この展開したデータ等に基づいて各種処理を実行する。なお、マルウェア特定処理プロセス４４ａは、図３に示したエッジルータ１０の各処理機能部（ＡＲＰ解決部１２、ＡＲＰタイムアウト通知部１３、ＩＣＭＰ生成部１４、パケット中継部１５、ＩＣＭＰ受信カウンタ１６、アラート生成部１７等）において実行される処理にそれぞれ対応する。
【００９２】
なお、上記したマルウェア特定処理プログラム４３ａについては、必ずしも最初からＨＤＤ４３に記憶させておく必要はなく、例えば、コンピュータ４０に挿入されるフレキシブルディスク（ＦＤ）、ＣＤ−ＲＯＭ、ＤＶＤディスク、光磁気ディスク、ＩＣカードなどの「可搬用の物理媒体」、さらには、公衆回線、インターネット、ＬＡＮ、ＷＡＮなどを介してコンピュータ４０に接続される「他のコンピュータ（またはサーバ）」などに各プログラムを記憶させておき、コンピュータ４０がこれらから各プログラムを読み出して実行するようにしてもよい。
【００９３】
（３）マルウェア特定処理方法
上記の実施例１または実施例２で説明したマルウェア特定処理システムにより、以下のようなマルウェア特定処理方法が実現される。
【００９４】
すなわち、ＡＲＰ要求パケットに対する応答がない場合には、ＡＲＰ要求パケットの送信契機となった受信パケットに含まれるデータグラムを抽出して、抽出されたデータグラムを挿入したＩＣＭＰパケットを送信するパケット送信ステップと（図７、図１３等参照）、前記パケット送信ステップにより送信されるＩＣＭＰパケットをモニタして、ＩＣＭＰパケットに挿入されたデータグラムに含まれる送信元アドレスごとに、ＩＣＭＰパケット数を集計するパケット集計ステップと（図８、図１４等参照）、前記パケット集計ステップによる集計結果を用いて、ＡＲＰ要求パケットの送信契機となった受信パケットの送信元をマルウェアの感染源として特定する感染源特定ステップと（図８、図１４等参照）、を含んだマルウェア特定処理方法を実現する。
【００９５】
以上の実施例を含む実施形態に関し、さらに以下の付記を開示する。
【００９６】
（付記１）ネットワーク機器間で送受信されるパケットを用いて、マルウェアの感染源を特定する処理を行うマルウェア特定処理システムであって、
ＡＲＰ要求パケットに対する応答がない場合には、ＡＲＰ要求パケットの送信契機となった受信パケットに含まれるデータグラムを抽出して、抽出されたデータグラムを挿入したＩＣＭＰパケットを送信するパケット送信部と、
前記パケット送信部により送信されるＩＣＭＰパケットをモニタして、ＩＣＭＰパケットに挿入されたデータグラムに、前記受信パケットの送信元として含まれる送信元アドレスごとに、ＩＣＭＰパケット数を集計するパケット集計部と、
前記パケット集計部によるＩＣＭＰパケット数の集計結果を用いて、ＡＲＰ要求パケットの送信契機となった受信パケットの送信元をマルウェアの感染源として特定する感染源特定部と、
を備えたことを特徴とするマルウェア特定処理システム。
【００９７】
（付記２）サブネットワークを介して通信可能に接続された複数の計算機を配下に従えるエッジルータは、バックボーンネットワークを介して他のエッジルータと通信可能に接続されるとともに、前記パケット送信部、前記パケット収集部および前記感染源特定部を備え、
前記エッジルータのパケット送信部は、配下に従える各計算機および他のエッジルータに対してブロードキャストしたＡＲＰ要求パケットに対する応答がない場合には、ＡＲＰ要求パケットの送信契機となった受信パケットの送信元である計算機に対して、前記ＩＣＭＰパケットを返信し、
前記エッジルータのパケット集計部は、他のエッジルータから受信したＩＣＭＰパケットが、配下に従える計算機宛のものである場合には、ＩＣＭＰパケットに挿入されたデータグラムに、前記受信パケットの送信元として含まれる計算機のＩＰアドレスごとにＩＣＭＰパケット数を集計し、
前記エッジルータの感染源特定部は、前記受信パケットの送信元として含まれる計算機のＩＰアドレスごとに、前記パケット集計部により集計されたＩＣＭＰパケット数を用いて、ＡＲＰ要求パケットの送信契機となった受信パケットの送信元である計算機をマルウェアの感染源として特定することを特徴とする付記１に記載のマルウェア特定処理システム。
【００９８】
（付記３）サブネットワークを介して通信可能に接続された複数の計算機を配下に従えるエッジルータは、バックボーンネットワークを介して他のエッジルータ、およびネットワークをモニタするネットワーク監視システムと通信可能に接続されるとともに、前記パケット送信部を備え、前記ネットワーク監視システムは、バックボーンネットワークを介して前記エッジルータと通信可能に接続されるとともに、前記パケット収集部および前記感染源特定部を備え、
前記エッジルータのパケット送信部は、配下に従える各計算機および他のエッジルータに対してブロードキャストしたＡＲＰ要求パケットに対する応答がない場合には、前記ネットワーク監視システムに対して前記ＩＣＭＰパケットを送信し、
前記ネットワーク監視システムのパケット集計部は、前記エッジルータから受信したＩＣＭＰパケットに挿入されたデータグラムに、前記受信パケットの送信元として含まれる計算機のＩＰアドレスごとにＩＣＭＰパケット数を集計し、
前記ネットワーク監視システムの感染源特定部は、前記受信パケットの送信元として含まれる計算機のＩＰアドレスごとに、前記パケット集計部により集計されたＩＣＭＰパケット数を用いて、ＡＲＰ要求パケットの送信契機となった受信パケットの送信元である計算機をマルウェアの感染源として特定することを特徴とする付記１に記載のマルウェア特定処理システム。
【００９９】
（付記４）前記エッジルータの感染源特定部により、ＡＲＰ要求パケットの送信契機となった受信パケットの送信元である計算機がマルウェアの感染源として特定された場合には、前記エッジルータは、マルウェアの感染源に関するアラートメッセージを前記ネットワーク監視システムに送信するアラートメッセージ送信部をさらに備えたことを特徴とする付記２に記載のマルウェア特定処理システム。
【０１００】
（付記５）前記ネットワーク監視システムの感染源特定部により、ＡＲＰ要求パケットの送信契機となった受信パケットの送信元である計算機がマルウェアの感染源として特定された場合には、前記ネットワーク監視システムは、前記マルウェアの感染源に関するアラートを表示するアラート表示部をさらに備えたことを特徴とする付記３に記載のマルウェア特定処理システム。
【０１０１】
（付記６）配下に従える複数の計算機とサブネットワークを介して通信可能に接続されるとともに、同様に複数の計算機を配下に従えて同一の機能を有する他の装置とバックボーンネットワークを介して通信可能に接続され、他の装置との間で送受信されるパケットを用いて、マルウェアの感染源を特定する処理を行うマルウェア特定処理装置であって、
配下に従える各計算機および他の装置に対してブロードキャストしたＡＲＰ要求パケットに対する応答がない場合には、ＡＲＰ要求パケットの送信契機となった受信パケットの送信元である計算機に対して、前記ＩＣＭＰパケットを返信するパケット送信部と、
他の装置から受信したＩＣＭＰパケットが、配下に従える計算機宛のものである場合には、ＩＣＭＰパケットに挿入されたデータグラムに、前記受信パケットの送信元として含まれる計算機のＩＰアドレスごとにＩＣＭＰパケット数を集計するパケット集計部と、
前記受信パケットの送信元として含まれる計算機のＩＰアドレスごとに、前記パケット集計部により集計されたＩＣＭＰパケット数を用いて、ＡＲＰ要求パケットの送信契機となった受信パケットの送信元である計算機をマルウェアの感染源として特定する感染源特定部と、
を備えたことを特徴とするマルウェア特定処理装置。
【０１０２】
（付記７）ネットワーク機器間で送受信されるパケットを用いて、マルウェアの感染源を特定する処理を実行するためのマルウェア特定処理方法であって、
ＡＲＰ要求パケットに対する応答がない場合には、ＡＲＰ要求パケットの送信契機となった受信パケットに含まれるデータグラムを抽出して、抽出されたデータグラムを挿入したＩＣＭＰパケットを送信するパケット送信ステップと、
前記パケット送信ステップにより送信されるＩＣＭＰパケットをモニタして、ＩＣＭＰパケットに挿入されたデータグラムに、前記受信パケットの送信元として含まれる送信元アドレスごとに、ＩＣＭＰパケット数を集計するパケット集計ステップと、
前記パケット集計ステップによる集計結果を用いて、ＡＲＰ要求パケットの送信契機となった受信パケットの送信元をマルウェアの感染源として特定する感染源特定ステップと、
を含んだことを特徴とするマルウェア特定処理方法。
【０１０３】
（付記８）配下に従える複数の計算機とサブネットワークを介して通信可能に接続されるとともに、同様に複数の計算機を配下に従えて同一の機能を有する他の装置とバックボーンネットワークを介して通信可能に接続され、他の装置との間で送受信されるパケットを用いて、マルウェアの感染源を特定する処理をコンピュータに実行させる行うマルウェア特定処理プログラムであって、
配下に従える各計算機および他の装置に対してブロードキャストしたＡＲＰ要求パケットに対する応答がない場合には、ＡＲＰ要求パケットの送信契機となった受信パケットの送信元である計算機に対して、前記ＩＣＭＰパケットを返信するパケット送信手順と、
他の装置から受信したＩＣＭＰパケットが、配下に従える計算機宛のものである場合には、ＩＣＭＰパケットに挿入されたデータグラムに、前記受信パケットの送信元として含まれる計算機のＩＰアドレスごとにＩＣＭＰパケット数を集計するパケット集計手順と、
前記受信パケットの送信元として含まれる計算機のＩＰアドレスごとに、前記パケット集計手順により集計されたＩＣＭＰパケット数を用いて、ＡＲＰ要求パケットの送信契機となった受信パケットの送信元である計算機をマルウェアの感染源として特定する感染源特定手順と、
をコンピュータに実行させることを特徴とするマルウェア特定処理プログラム。
【図面の簡単な説明】
【０１０４】
【図１】実施例１に係るエッジルータの概要および特徴を説明するための図である。
【図２】実施例１に係るネットワーク構成例を示す図である。
【図３】実施例１に係るエッジルータの構成を示すブロック図である。
【図４】実施例１に係るＩＰ−ＭＡＣテーブルの構成例を示す図である。
【図５】実施例１に係るカウンタテーブルの構成例を示す図である。
【図６】実施例１に係るネットワーク監視システムの構成を示すブロック図である。
【図７】実施例１に係るＩＣＭＰパケット送信処理の流れを示す図である。
【図８】実施例１に係るアラートメッセージ送信処理の流れを示す図である。
【図９】実施例１に係るアラート表示処理の流れを示す図である。
【図１０】実施例２に係るエッジルータの構成を示すブロック図である。
【図１１】実施例２に係るネットワーク監視システムの構成を示すブロック図である。
【図１２】実施例２に係るカウンタテーブルの構成例を示す図である。
【図１３】実施例２に係るＩＣＭＰパケット送信処理の流れを示す図である。
【図１４】実施例２に係るアラート表示処理の流れを示す図である。
【図１５】マルウェア特定処理プログラムを実行するコンピュータを示す図である。
【符号の説明】
【０１０５】
１０  エッジルータ
１１  ＮＩＣ
１２  ＡＲＰ解決部
１３  ＡＲＰタイムアウト通知部
１４  ＩＣＭＰ生成部
１５  パケット中継部
１６  ＩＣＭＰ受信カウンタ
１７  アラート生成部
１８  ＩＣＭＰ（ＴＹＰＥ３）送信先設定ＤＢ
２０  計算機
３０  ネットワーク監視システム
３１  ＮＩＣ
３２  ＴＣＰ／ＩＰプロトコルスタック
３３  アラート受信部
３４  アラート表示部
３５  ＩＣＭＰ（ＴＹＰＥ３）受信部
４０  コンピュータ（エッジルータ）
４１  入力部
４２  出力部
４３  ＨＤＤ（Hard Disk Drive）
４３ａ  マルウェア特定処理プログラム
４３ｂ  マルウェア特定処理用データ
４４  ＲＡＭ（Random Access Memory）
４４ａ  マルウェア特定処理プロセス
４５  ＣＰＵ（Central Processing Unit）
５０  バス
【図１】
2009212985.tif 000003
【図２】
2009212985.tif 000004
【図３】
2009212985.tif 000005
【図４】
2009212985.tif 000006
【図５】
2009212985.tif 000007
【図６】
2009212985.tif 000008
【図７】
2009212985.tif 000009
【図８】
2009212985.tif 000010
【図９】
2009212985.tif 000011
【図１０】
2009212985.tif 000012
【図１１】
2009212985.tif 000013
【図１２】
2009212985.tif 000014
【図１３】
2009212985.tif 000015
【図１４】
2009212985.tif 000016
【図１５】
2009212985.tif 000017