JP2007266960A - 通信制御装置、通信制御プログラム - Google Patents

Abstract

【課題】 感染端末を検知した場合に、当該感染端末による感染活動に関わる通信のみを制限する。
【解決手段】 ワーム検知装置３５及び管理装置３６から、当該感染端末１のネットワーク層の通信アドレスを取得した後、ワーム遮断装置２によって受信した通信パケットの送信元アドレスが、感染端末１のＩＰアドレスである場合に、当該通信パケットに含まれる情報に、予め設定されたセキュリティポリシーに合致する情報が含まれていると判別された場合に、当該通信パケットの宛先への転送を停止する。
【選択図】 図２

Description

本発明は、端末がワームに感染していることが検知された場合に、当該感染を他の端末に拡大されることを防止するために当該端末の通信を制御する通信制御装置、通信制御プログラムに関する。

従来より、ウィルス検知技術としては、既知のウィルスについて定義ファイルと呼ばれる特徴情報を記述したデータを予め用意しておき、ウィルスに感染している可能性のあるファイルと定義ファイルとをパターンマッチングするものが知られている。この定義ファイルは、コンピュータウイルスに感染したファイルや、ネットワーク上で自己複製を繰り返すワームプログラムの特徴を収録したファイルであって、アンチウィルスソフト(ワクチンソフト)がコンピュータウイルスやワームを検出するために、定義ファイル内に収録された各ウイルスのパターンが検査対象のファイルと照合されて、パターンとの一致が見られるとそのファイルがウイルスに感染していると判断する。

また、従来から知られているウィルスの一種であるワーム対策としては、例えば、下記の非特許文献１に記載されているようなものも挙げられる。
http://www.nttdata.co.jp/netcom/pdf/nc04_ss_03.pdf

しかしながら、端末がワームに感染していることが検知された場合に、ネットワーク内の他の端末への感染の拡大を防ぐために感染端末の通信を遮断又は制限する必要があるが、感染を検知したと同時に感染端末の通信の全てを遮断してしまうと、感染端末の利用者の業務を妨げてしまう。

また、感染端末が検知された場合に、ファイアウォールによって当該感染端末の通信を遮断・制限する技術があるものの、一般的なファイアウォールでは、通過する全てのパケットについて遮断・制限を行ってしまうために、高い処理能力が必要となる。

そこで、本発明は、上述した実情に鑑みて提案されたものであり、感染端末を検知した場合に、当該感染端末による感染活動に関わる通信のみを制限することができる通信制御装置、通信制御プログラムを提供することを目的とする。

本発明は、不正な通信を検知する不正通信検知手段によって、ネットワークに接続された通信端末が不正な通信をしたことが検知された場合に、当該通信端末の通信を制御する通信制御装置であって、上述の課題を解決するために、不正通信検知手段から、当該不正な通信を行った通信端末のネットワーク層の通信アドレスを取得するネットワーク層アドレス取得手段と、受信した通信パケットの送信元アドレスが、ネットワーク層アドレス取得手段で取得されたネットワーク層の通信アドレスである場合に、当該通信パケットに含まれる情報に、予め設定されたセキュリティポリシーに合致する情報が含まれているかを判別する判別手段と、判別手段によって、通信パケットに含まれる情報がセキュリティポリシーに合致すると判別された場合に、当該通信パケットの宛先への転送を停止する通信制限手段とを備える。

本発明は、不正な通信を検知する不正通信検知モジュールによって、ネットワークに接続された通信端末が不正な通信をしたことが検知された場合に、当該通信端末の通信を制御する機能をコンピュータに実装させる通信制御プログラムであって、上述の課題を解決するために、不正通信検知モジュールから、当該不正な通信を行った通信端末のネットワーク層の通信アドレスを取得するネットワーク層アドレス取得機能と、受信した通信パケットの送信元アドレスが、ネットワーク層アドレス取得機能で取得されたネットワーク層の通信アドレスである場合に、当該通信パケットに含まれる情報に、予め設定されたセキュリティポリシーに合致する情報が含まれているかを判別する判別機能と、判別機能によって、通信パケットに含まれる情報がセキュリティポリシーに合致する場合に、当該通信パケットの宛先への転送を停止する通信制限機能とをコンピュータに実装させる。

本発明に係る通信制御装置、通信制御プログラムによれば、受信した通信パケットの送信元アドレスが不正な通信を行った通信端末の通信アドレスであり、通信パケットに含まれる情報がセキュリティポリシーに合致する場合に、当該通信パケットの宛先への転送を停止するので、不正な通信を行った通信端末を検知した場合に、当該不正な通信を行った通信端末による感染活動に関わる通信のみを制限することができる。

以下、本発明の実施の形態について図面を参照して説明する。

本発明は、図１に示すように、通信端末１によるＨＴＴＰ（HyperText Transfer Protocol）通信、ＰＯＰ３（Post Office Protocol Version 3）通信、ＳＭＴＰ（Simple Mail Transfer Protocol）通信といった所定種類の通信を傍受でき、図２に示すように、通信端末１がスイッチ３１，ルータ３２，スイッチ３３を介してセグメント外部のメールサーバやウェブサーバ等のサーバ群３４と通信する通信システムにおいて、当該通信端末１がワームに感染したことに対して、当該感染した通信端末１（以下、感染端末１と呼ぶ）の通信を制限するワーム遮断装置２に適用される。このワーム遮断装置２は、図１に示すように、感染端末１とＷｅｂサーバ３、ＰＯＰ３サーバ４、ＳＭＴＰサーバ５との間に設けられて、感染端末１のサーバ群３４であるＷｅｂサーバ３、ＰＯＰ３サーバ４、ＳＭＴＰサーバ５に対する通信を傍受できるようになっている。なお、ワーム遮断装置２は、感染端末１の通信パケットを全て傍受できなくても、後述するように感染端末１の通信を誘導できるように構成されていても良い。

このような図２に示す通信システムにおいて、ワーム遮断装置２は、管理装置３６から、当該不正な通信を行った感染端末１のネットワーク層通信アドレスであるＩＰアドレスを取得し、傍受している通信パケットの送信元アドレスが、感染端末１のＩＰアドレスである場合に、当該通信パケットに含まれる情報に、予め設定されたセキュリティポリシーに合致する情報が含まれているかを判別し、含まれている場合には当該通信パケットの宛先への転送を停止する通信制限を行う。このセキュリティポリシーとしては、アプリケーションの種類、宛先、ファイルデータの種類などが挙げられ、ワームによる感染活動を拡大させるようなパラメータが設定されている。

例えば、ワーム遮断装置２は、セキュリティポリシーとして通信を停止するアプリケーションの種類を設定しておき、管理装置３６から感染端末１のＩＰアドレスが通知された場合に、送信元アドレスが感染端末１のＩＰアドレスである通信パケットに含まれるトランスポート層ヘッダの情報から、アプリケーションの種類を指定するポート番号（識別子）を検出して、当該アプリケーションの種類が、予め設定されたアプリケーションの種類である場合に、当該通信パケットの転送を停止する。また、ワーム遮断装置２は、セキュリティポリシーとして通信パケットの宛先、すなわち感染端末１の通信相手を設定しておき、管理装置３６から感染端末１のＩＰアドレスが通知された場合に、送信先アドレスが感染端末１のＩＰアドレスである通信パケットに含まれる送信先ＩＰアドレスが予め設定されたＩＰアドレスである場合に、当該通信パケットの転送を停止する。更に、ワーム遮断装置２は、セキュリティポリシーとして通信を停止するファイルデータの種類を設定しておき、管理装置３６から感染端末１のＩＰアドレスが通知された場合に、感染端末１で送受されるファイルデータが予め設定されたファイルデータである場合に、当該通信パケットの転送を停止する。これによって、ワーム遮断装置２は、感染端末１の通信のうち、予め設定された特定の通信のみを制限する。

この通信システムにおいて、感染端末１のワームの動作としては、サーバ群３４に対するポートスキャン、サーバ群３４等に対する不正パケットの送信、他の通信端末に対するウィルスを添付ファイルとして含む不正なメールの送信などが挙げられる。

例えば、感染端末１から送信された不正な通信データＳ１は、サーバ群３４のＩＰアドレスを宛先とし、スイッチ３１、ルータ３２及びスイッチ３３を経由して、サーバ群３４に送信される。すると、ワーム検知装置３５は、スイッチ３３を通過する通信データＳ１をコピーした通信データＳ２を取得し、当該コピーした通信データＳ２が不正な通信データであるか否かを判定する。ワーム検知装置３５は、コピーした通信データＳ２から、感染端末１の特有の振る舞いを検知することによって、感染端末１がワームに感染しているかを検知する。例えば、感染端末１から直接的にネームサービスを受けるＭＸレコードを含む通信データＳ２を検知した場合や、感染していない通信端末などであれば送信されない宛先を含む通信データＳ２を検知した場合に、当該通信データＳ２を送信した感染端末１を検知する。そして、ワーム検知装置３５は、通信データＳ２に含まれるＩＰアドレスを取得し、感染端末１のＩＰアドレスを含むワーム検知報告メッセージＳ３を管理装置３６に通知する。

具体的には、ワーム検知装置３５は、通信データＳ２に含まれるアプリケーションデータの種類を指定するポート番号を取得し、当該ポート番号がホスト名をネットワーク層アドレスに変換するネームサービスのアプリケーションを示すものであり、且つ、当該通信データＳ２のアプリケーションデータに、サーバ群３４のネットワーク層アドレスを問い合わせるデータが含まれている場合に、不正にサーバ群３４にアクセスしようとしている感染端末１を検知できる。更に他の具体例を挙げると、ワーム検知装置３５は、コンピュータウィルスによって、不正な通信データが配信されることを検知するために、感染端末１に予め正規の設定情報に加えて、ダミーの設定情報を記憶させておき、ワームによる動作によって、ダミーの設定情報を用いて通信データを作成されて送信された場合には、感染端末１がワームに感染していることを判断できる。

管理装置３６は、ネットワーク管理者が運営するサーバであり、ワーム検知装置３５からのワーム検知報告メッセージＳ３を受けて、当該ワーム検知報告メッセージＳ３に含まれる感染端末１のＩＰアドレスを蓄積すると共に、ワーム遮断装置２に通知する。管理装置３６は、ワーム検知報告メッセージＳ３を受信したことに応じて、感染端末１のＩＰアドレスを含む通信遮断命令Ｓ４をワーム遮断装置２に通知する。

このワーム遮断装置２は、その内部構成を図３に示すように、基本ソフトウェアと通信制限アプリケーションがインストールされることによって、基本ソフトウェア処理部１１と、通信制限アプリケーション処理部１２とを備えて構成されている。

基本ソフトウェア処理部１１は、ネットワークと接続された通信インターフェース部２１とＴＣＰ（Transmission Control Protocol）／ＩＰ（Internet Protocol）通信制御部２２とを備える。基本ソフトウェア処理部１１は、スイッチ３１やルータ３２等を介してネットワークから通信データを通信インターフェース部２１で受信すると、ＴＣＰ／ＩＰ通信制御部２２によって、ＴＣＰヘッダのポート番号に応じて通信制限アプリケーション処理部１２に通信データを渡す。また、基本ソフトウェア処理部１１は、通信制限アプリケーション処理部１２からアプリケーションデータが渡されると、ＴＣＰ／ＩＰ通信制御部２２によって、当該アプリケーションデータにＴＣＰヘッダ及びＩＰヘッダを付加して、通信インターフェース部２１からネットワークに送信させる。

ワーム遮断装置２は、図２におけるスイッチ３１を通過する通信データをコピーして傍受するように配置されており、感染端末１からの通信データを傍受すると、当該通信データを基本ソフトウェア処理部１１で受信できるようになっている。また、ＴＣＰ／ＩＰ通信制御部２２は、外部ネットワークの管理装置３６からの通信遮断命令Ｓ４を通信制限アプリケーション処理部１２に渡す。

通信制限アプリケーション処理部１２は、感染端末１の通信のうち予め設定されたセキュリティポリシーに合致する通信のみを停止する通信制限を行う。通信制限アプリケーション処理部１２は、通信制限モジュール２３と、感染端末情報受信部２４と、通信制限ポリシー情報記憶部２５と、感染端末情報リスト２６とを備える。

通信制限アプリケーション処理部１２は、基本ソフトウェア処理部１１によって管理装置３６からの通信遮断命令Ｓ４を受信した場合に、通信遮断命令Ｓ４を感染端末情報受信部２４で受信する。感染端末情報受信部２４は、通信遮断命令Ｓ４を受け取ると、通信遮断命令Ｓ４に含まれる感染端末１のＩＰアドレスを感染端末情報リスト２６に追加する。

感染端末情報リスト２６は、記憶媒体に格納されたリストデータであり、通信遮断命令Ｓ４に含まれるＩＰアドレスをリスト化してなる。なお、この感染端末情報リスト２６には、感染端末１と通信するために感染端末１のＩＰアドレスとＭＡＣアドレスとの対応関係、メールアドレス、時刻情報等も記憶していても良い。

このように感染端末情報リスト２６に感染端末１のＩＰアドレスが格納されると、通信制限モジュール２３は、送信元ＩＰアドレスが感染端末１のＩＰアドレスであって、所定のセキュリティポリシーに合致する通信パケットの監視を行う。通信制限モジュール２３は、送信元ＩＰアドレスが感染端末１のＩＰアドレスで送信されている通信パケットを検知した場合に、当該通信パケットにセキュリティポリシーに合致する情報が含まれているか否かを判定する。このセキュリティポリシーの情報は、予めネットワーク管理者等によって通信制限ポリシー情報記憶部２５に格納されている。

通信制限ポリシー情報記憶部２５には、通信を停止するセキュリティポリシーとして、サーバ群３４への転送を停止するアプリケーションの種類を示すポート番号、基幹サーバであるサーバ群３４のＩＰアドレス、メール送信時の添付ファイルを削除すること、ファイルデータの種類などが記憶されている。なお、このセキュリティポリシーの情報としては、送信元ＩＰアドレスが感染端末１であってもサーバ群３４に転送しても良い条件を記載し、実質的に通信を停止するセキュリティポリシーの情報としても良い。

そして、通信制限モジュール２３は、基本ソフトウェア処理部１１からの通信パケットの送信元ＩＰアドレスが感染端末情報リスト２６に登録されている場合に、通信制限ポリシー情報記憶部２５を参照して、当該通信パケットにセキュリティポリシーに合致する情報が含まれているか否かを判定する。当該通信パケットにセキュリティポリシーに合致する情報が含まれている場合、通信制限モジュール２３は、当該通信パケットを転送させないように基本ソフトウェア処理部１１を制御する。一方、当該通信パケットにセキュリティポリシーに合致する情報が含まれていない場合、当該通信パケットを転送するように基本ソフトウェア処理部１１を制御する。これによって、通信制限モジュール２３は、感染端末１のＩＰアドレスが送信元ＩＰアドレスとなっている通信パケットのうち、感染を拡大させるような通信パケットのみを遮断する。

このように、通信制限アプリケーション処理部１２は、感染端末１を検知した場合に、当該感染端末１による感染活動に関わる通信のみを制限することができる。したがって、端末が感染したと同時に全ての通信を遮断することなく、利用者の業務を完全に停止させることを回避できる。また、感染端末１から送信された全ての通信について遮断・制限することなく、高い処理能力を必要とすることなく感染活動の拡大を防止できる。

また、ワーム遮断装置２によって通信遮断命令Ｓ４を受信した後の感染端末１の通信をサーバ群３４以外に誘導する場合、通信制限アプリケーション処理部１２は、感染端末１がＤＮＳ（Domain Name System）サーバ（図示せず）にアクセスして通信相手のホスト名からＩＰアドレスを取得する処理、ＩＣＭＰ（Internet Control Message Protocol）の仕組みにおけるＩＣＭＰ Ｒｅｄｉｒｅｃｔメッセージを利用して感染端末１が通信相手のＩＰアドレスから最適経路のルータのＩＰアドレスを取得する処理、ＡＲＰ（Address Resolution Protocol）の仕組みを利用して通信相手のＩＰアドレスからＭＡＣアドレスを取得する処理のうち、何れかによって、感染端末１の通信パケットを誘導して、不正な通信を遮断する。すなわち、感染端末１からのＤＮＳ問い合わせを受けた場合には、感染端末１が知りたいＩＰアドレスとしてワーム遮断装置２のＩＰアドレスを応答し、感染端末１からのＩＣＭＰ Ｒｅｄｉｒｅｃｔメッセージに対してワーム遮断装置２が最適経路のゲートウェイルータであることを偽装し、感染端末１からのＡＲＰリクエストに対してワーム遮断装置２のＭＡＣアドレスを含むＡＲＰリプライを返信する。これによって、ワーム遮断装置２は、感染端末１からの所定のセキュリティポリシーに合致する情報を含む通信パケットを自己宛に誘導できる。

なお、上述の実施の形態は本発明の一例である。このため、本発明は、上述の実施形態に限定されることはなく、この実施の形態以外であっても、本発明に係る技術的思想を逸脱しない範囲であれば、設計等に応じて種々の変更が可能であることは勿論である。

すなわち、上述したワーム遮断装置２は、スイッチ３１と接続された配置を示したが、これに限らず、図４に示すように、スイッチ５１、ブリッジ装置５２，ルータ５３，横付け型機器５４に、ワーム遮断装置２と同じ機能を実装させるための通信制御プログラムをインストールしても、上述の感染端末１による感染活動に関わる通信のみを停止するという効果を発揮させることができる。特に、通信装置間を接続する通信線、又は、通信装置間で通信される通信データを中継するスイッチ等の中継装置に接続され、当該通信線又は中継装置を通過する通信データを監視する横付け機器としてワーム遮断装置２を構成する場合には、不正な通信を行った通信端末の感染活動に関わる通信のみを停止する機能をシステムに導入するコスト等を低減できる。

また、上述した実施形態における感染端末１の感染活動に関わる通信のみを停止する機能は、家電機器群がネットワーク接続されたホームネットワークや、設備装置群がネットワーク接続された設備ネットワークなどにも適用できる。例えば、ホームネットワークに接続されてアプリケーションとしてウェブ機能やメール機能を具備する家電機器がワームに感染した場合であっても、当該家電機器によって不正な通信がなされることを防止することができる。

ここで、ホームネットワークを構築する技術としては、ＥＣＨＯネットの他、エミット（ＥＭＩＴ（Embedded Micro Internetworking Technology））と称される機器組み込み型ネットワーク技術などがあげられる。この組み込み型ネットワーク技術は、ネットワーク機器にＥＭＩＴミドルウェアを組み込んでネットワークに接続できる機能を備え、ＥＭＩＴ技術と称されている。

より具体的には、上述した感染端末１の感染活動に関わる通信のみを停止する機能を有するワーム遮断装置２，管理装置３６や、スイッチ、ルータ等のネットワーク機器にＥＭＩＴ技術を実現するＥＭＩＴソフトウェアを搭載して、当該ＥＭＩＴソフトウェアを搭載した通信端末や管理装置３６、ワーム遮断装置２と、当該端末、中継装置、横付け機器を遠隔で制御又は監視するユーザ機器とをインターネット上に設けられたセンターサーバ（図示せず）を介して通信接続する。このユーザ機器は、例えば、携帯電話、ＰＣ（Personal Computer）、ＰＤＡ（Personal Digital Assistant）、ＰＨＳ（Personal Handy phone System）等の外部端末（図示せず）である。

本発明を適用したワーム遮断装置を含む通信システムの構成を示すブロック図である。 本発明を適用したワーム遮断装置を含む通信システムの他の一構成例を示すブロック図である。 本発明を適用したワーム遮断装置の内部構成を示すブロック図である。 本発明を適用したワーム遮断装置が実装される他の形態を説明するための図である。

符号の説明

１ 感染端末
２ ワーム遮断装置
３ Ｗｅｂサーバ
４ ＰＯＰ３サーバ
５ ＳＭＴＰサーバ
１１ 基本ソフトウェア処理部
１２ 通信制限アプリケーション処理部
２１ 通信インターフェース部
２２ ＴＣＰ／ＩＰ通信制御部
２３ 通信制限モジュール
２４ 感染端末情報受信部
２５ 通信制限ポリシー情報記憶部
２６ 感染端末情報リスト
３１ スイッチ
３２ ルータ
３３ スイッチ
３４ サーバ群
３５ ワーム検知装置
３６ 管理装置

Claims (6)

1. 不正な通信を検知する不正通信検知手段によって、ネットワークに接続された通信端末が不正な通信をしたことが検知された場合に、当該通信端末の通信を制御する通信制御装置であって、
   前記不正通信検知手段から、当該不正な通信を行った通信端末のネットワーク層の通信アドレスを取得するネットワーク層アドレス取得手段と、
   受信した通信パケットの送信元アドレスが、前記ネットワーク層アドレス取得手段で取得されたネットワーク層の通信アドレスである場合に、当該通信パケットに含まれる情報に、予め設定されたセキュリティポリシーに合致する情報が含まれているかを判別する判別手段と、
   前記判別手段によって、通信パケットに含まれる情報がセキュリティポリシーに合致すると判別された場合に、当該通信パケットの宛先への転送を停止する通信制限手段と
   を備えることを特徴とする通信制御装置。
2. 前記判別手段は、前記ネットワーク層アドレス取得手段で取得した通信アドレスが送信元アドレスである通信パケットに含まれるトランスポート層ヘッダの情報から、アプリケーションの種類を指定する識別子を検出して、当該アプリケーションの種類が、予め設定されたアプリケーションの種類である場合に、当該通信パケットに含まれる情報がセキュリティポリシーに合致すると判別することを特徴とする請求項１に記載の通信制御装置。
3. 前記判別手段は、前記ネットワーク層アドレス取得手段で取得した通信アドレスが送信元アドレスである通信パケットに含まれる宛先情報が、予め設定された宛先である場合に、当該通信パケットに含まれる情報がセキュリティポリシーに合致すると判別することを特徴とする請求項１に記載の通信制御装置。
4. 前記判別手段は、前記ネットワーク層アドレス取得手段で取得した通信アドレスが送信元アドレスである通信パケットに含まれるファイルデータの種類が、予め設定されたファイルデータの種類である場合に、当該通信パケットに含まれる情報がセキュリティポリシーに合致すると判別することを特徴とする請求項１に記載の通信制御装置。
5. 前記通信端末間を接続する通信線、又は、前記通信端末間で通信される通信パケットを中継する中継装置に接続され、当該通信線又は中継装置を通過する通信パケットを監視する横付け機器からなることを特徴とする請求項１乃至請求項４の何れか一項に記載の通信制御装置。
6. 不正な通信を検知する不正通信検知モジュールによって、ネットワークに接続された通信端末が不正な通信をしたことが検知された場合に、当該通信端末の通信を制御する機能をコンピュータに実装させる通信制御プログラムであって、
   前記不正通信検知モジュールから、当該不正な通信を行った通信端末のネットワーク層の通信アドレスを取得するネットワーク層アドレス取得機能と、
   受信した通信パケットの送信元アドレスが、前記ネットワーク層アドレス取得機能で取得されたネットワーク層の通信アドレスである場合に、当該通信パケットに含まれる情報に、予め設定されたセキュリティポリシーに合致する情報が含まれているかを判別する判別機能と、
   前記判別機能によって、通信パケットに含まれる情報がセキュリティポリシーに合致する場合に、当該通信パケットの宛先への転送を停止する通信制限機能と
   をコンピュータに実装させることを特徴とする通信制御プログラム。

Images