JP4084317B2 - ワーム検出方法 - Google Patents

Description

本発明は、ネットワークにおいて、不正に機器に感染するワームを検出及び防御する方法に関するものである

インターネット等のパブリックなＩＰネットワークの普及に伴い、ネットワークを経由して感染及び増殖するワームの問題が生じている。このワームにより、不正盗聴、破壊、改竄等が行われる脅威や、ネットワーク、サーバ等に異常負荷が与えられ、ネットワーク機器やサーバシステム等を事実上動作不能にする脅威も急増している。

そのため、これらの脅威に対処するため、ネットワークに流れるデータの内容や送信元のユーザ権限により通信を制御するアクセス制御方式が採用されている。この制御方式は、一般に、ファイヤウォールの機能をパケット処理装置に実装して実現するものである。このパケット処理装置は、インターネット等の外部ネットワークとイントラネット等の内部ネットワークとの境界に設置され、セキュリティポリシーに従った必要最小限の通信データのみを通過させるアクセス制御を行うように構成されている。

ファイヤウォールが行うアクセス制御機能には、ＩＰフィルタリングによるＩＰレベルでのアクセス制御機能、ＴＣＰ（Ｔｒａｎｓｐｏｒｔ Ｃｏｎｔｒｏｌ Ｐｒｏｔｏｃｏｌ）レベルでのＴＣＰポート毎のアクセス制御機能、通信の内容に応じてアクセス制御を行うアプリケーションレベルでのアクセス制御機能がある。これらの機能を備えた通信システムでは、通信の種別、内容及び方向により、通信のアクセスを制御することが可能となる。また、セキュリティポリシーに基づいた設計でアクセス制御方式を決定すると共にアクセス制御の各種パラメータを規定し、ファイヤウォール機能を有するパケット処理装置にこれらのパラメータを設定することにより、セキュリティポリシーに従ったネットワークの運用を行うことが可能となる。

しかし、上記のファイヤウォール機能では、セキュリティポリシーに従った通信データについて、パケット処理装置がネットワークの通過を許可してしまうため、この通過が許可された通信サービスを悪用することが可能になる。従って、このパケット処理装置では、ワームの攻撃を完全に分別することは困難であるという問題があった（特許文献１を参照。）。

この問題に対処するために、ＩＤＳ（Ｉｎｔｒｕｓｉｏｎ Ｄｅｔｅｃｔｉｏｎ Ｓｙｓｔｅｍ）として知られている、不正侵入の検知を目的としたセキュリティ監視装置が一般に採用されている。この監視装置は、ファイヤウォールを通過する全ての通信データを監視し、不正な通信の有無を常時監視する方式を採用している。例えば、既知の侵入の不正行為に関するデータをデータベース化し、受信データとデータベースに予め記憶された不正データとを比較し、両者が一致する場合に、トラヒックシェーピングによって不正アクセスのトラヒックを減少させるネットワークアタック制御システムを実現する（非特許文献１を参照）。

しかし、このような知識ベースのＩＤＳでは、過去の攻撃データに基づいて不正アクセスを検知するため、未知の攻撃を阻止することが困難であるという問題があった。これに対して、未知の攻撃を検知可能な振る舞いベースのＩＤＳが存在する（非特許文献２を参照。）。しかし、振る舞いベースのＩＤＳでは、通常状態の定義が難しいため手法として確立しておらず、検知率が上がらないという問題があった。

特開２００２−３４２２７６号公報（段落〔０００６〕） "Ｔｈｅ Ｏｐｅｎ Ｓｏｕｒｃｅ Ｎｅｔｗｏｒｋ Ｉｎｔｒｕｓｉｏｎ Ｄｅｔｅｃｔｉｏｎ Ｓｙｓｔｅｍ"、［online］、Ｓｏｕｒｃｅｆｉｒｅ ＩＮＣ．、［平成１６年２月３日検索］、インターネット＜http://www.snort.org/＞ "Ｓｙｍａｎｔｅｃ ＭａｎＨｕｎｔ"、［online］、Ｓｙｍａｎｔｅｃ Ｃｏｒｐｏｒａｔｉｏｎ、［平成１６年２月３日検索］、インターネット＜http://www.symantec.com/region/jp/products/manhunt/index.html＞

本発明は、上記の問題を解決するためになされたものであり、その目的は、未知のワームにより発生したトラフィックと通常のトラフィックとの区別を人手によらず自動的に行い、ワームにより発生したトラフィックのみを検出し、その発生源を特定することが可能なワーム検出方法を提供することにある。

本発明は、ワームがネットワーク上に送出した情報に対するネットワーク上の通信機器からの応答情報を観測することにより、ワームを検出することを特徴とする。従来はワームが送出する情報のみを検査対象としているのに対し、本発明は応答情報を検査対象としている点において相違する。

以下、応答情報の観測によりワームを検出する原理について説明する。ワームは、ネットワーク上の機器に感染し増殖する機能を有する。これは、通常のプログラムには存在しない機能であるため、この機能の有無によって正規なプログラムとワームが感染したプログラムとを分別することが可能となる。ワームが他の機器に対して感染を行うには、その機器のＩＰアドレスを知り、そのＩＰアドレスの機器に対して感染を行うための情報を送出する必要がある。この場合、従来は、この感染を行う情報のパケットを検出することを主眼としており、既知のワーム情報に基づいてこの感染を行うパケットを検出するようになっていた。従って、未知のワームによる感染を行うパケットの検出は、そのパケットの特徴も未知であるため、困難であった。

ワームは、感染可能な機器のＩＰアドレスや、実際に使用されているＩＰアドレスのリストを容易に取得することはできないが、感染対象のＩＰアドレスのリストをプログラムにより自動生成することができる。これにより生成されたリストのＩＰアドレスには、実際に使用されていないＩＰアドレスを多数含んでいる。従って、ワームは、自動生成したＩＰアドレスの宛先に感染を行うパケットを送出するが、その宛先の多数は存在しないため、送出したパケットの多数は宛先まで到達することはない。

これに対し、通常のプログラムでは、メールアドレスやＵＲＬ等を用いてより上位のレイヤで通信相手を特定して通信を行うため、送出したパケットの宛先アドレスが存在しない確率はワームのそれに比べて極めて低い。

これにより、存在しないＩＰアドレスの機器に対して大量に通信を行うプログラムはワームであると判断することが可能となる。パケットの送出に対して、その宛先であるＩＰアドレスの機器が存在した場合と存在しなかった場合とでは、ネットワークにおいて応答の違いが顕著に現れる。そこで、ワームが送出したパケットを観測するのではなく、その応答を観測することにより、ワームの検出が可能となる。

上記目的を達成するために、請求項１の発明は、ワームに感染した感染機器と、ネットワーク上で何らかの機能を有する０台以上の対象機器と、ワームの感染を検出する検出機器とがネットワークに接続され、前記検出機器が、感染機器から送出された情報に対する応答情報を観測し、前記応答情報の観測に基づいて、ワームに感染した感染機器を特定するワーム検出方法であって、前記検出機器が、感染機器から送出された情報に対して到達すべき宛先が存在しないことを示す宛先到達不可能の応答情報を検出するステップと、当該応答情報を検出した場合に、対象機器が存在することを示すダミーの応答情報を前記感染機器へ返答するステップと、前記感染機器からダミーの応答情報に基づいて送出された情報を検出し、記録するステップとを有することを特徴とする。ここで、ワームは、一般に、ネットワーク機器内のハードウェアやソフトウェアに寄生し、自らの複製をネットワークを介して複写し自己増殖を行なうソフトウェアである。また、ワームに感染した感染機器はハードウェア及びソフトウェアを含み、ワームの感染を検出する検出機器もハードウェア及びソフトウェアを含む概念である。

請求項２の発明は、請求項１に記載のワーム検出方法において、前記検出機器が、特定した感染機器から送出される情報に対して、フィルタリング、リダイレクション、情報量観測、帯域制御または記録のうちの少なくとも１つを行うように、ネットワーク上の通信機器に指示し、当該通信機器にワームの感染を防止させるステップを有することを特徴とする。

請求項３の発明は、ワームに感染した感染機器と、ネットワーク上で何らかの機能を有する０台以上の対象機器と、ワームの感染を検出する検出機器とがネットワークに接続され、前記検出機器が、感染機器から送出された情報に対する応答情報を観測し、前記応答情報の観測に基づいて、ワームに感染した感染機器を特定するワーム検出方法であって、前記検出機器が、感染機器から送出された情報に対する応答情報を、中継するネットワーク経路上の機器から当該検出機器へ転送させるステップと、前記転送された応答情報の中から、到達すべき宛先が存在しないことを示す宛先到達不可能の第１の応答情報を検出するステップと、当該検出した第１の応答情報の数に基づいて、感染機器を第１の応答情報の宛先と特定するステップと、特定した感染機器から送出された情報を、中継するネットワーク経路上の通信機器から当該検出機器へ転送させるステップと、前記転送された情報を記録し、当該情報を本来の宛先へ転送するステップと、前記情報に対して到達すべき宛先が存在しないことを示す宛先到達不可能の第２の応答情報を検出するステップと、前記第２の応答情報を検出した場合に、対象機器が存在することを示すダミーの応答情報を前記特定した感染機器へ返答するステップと、前記特定した感染機器からダミーの応答情報に基づいて送出された情報を検出し、記録するステップとを有することを特徴とする。

請求項４の発明は、請求項３に記載のワーム検出方法において、前記検出機器が、特定した感染機器から送出される情報に対して、フィルタリング、リダイレクション、情報量観測、帯域制御または記録のうちの少なくとも１つを行うように、ネットワーク上の通信機器に指示し、当該通信機器にワームの感染を防止させるステップを有することを特徴とする。

請求項５の発明は、請求項３または４に記載のワーム検出方法において、前記感染機器から送出された情報をＴＣＰによるＳｙｎパケットとし、前記第１および第２の応答情報をＩＣＭＰによるタイプ３の宛先到達不可能メッセージのパケットとし、前記ダミーの応答情報をＴＣＰによるＳｙｎ及びＡｃｋパケットとすることを特徴とする。

本発明によれば、ネットワーク上にトラフィックを発生するワームの発生源を、ワームに対する応答情報を観測することにより自動的に特定するようにした。これにより、既知のワームだけでなく新たな未知のワームの検出も可能となる。また、ワームが送出する情報をフィルタリング等することにより、ワームの感染拡大を自動的に防御することが可能となる。

以下、本発明の実施の形態について、図面を参照して説明する。
図１は、本発明のワーム検出方法及びワーム防御方法が適用されるネットワークを説明する概略構成図である。この通信システムは、サーバ１１、ルータ１２〜１５及びユーザ端末１６を備えている。サーバ１１及びルータ１２，１３は、ネットワーク１０を介して接続される。ユーザ端末１６とルータ１４とは、ルータ１５、ルータ１２、ネットワーク１０及びルータ１３を介して接続される。また、ユーザ端末１６は、ワームに感染しているものとし、ルータ１４は、ユーザ端末１６のワームにより送出される通信データの宛先までの系路上に存在するものとする。本発明のワーム検出方法及び防御方法は、サーバ１１、ルータ１２及びルータ１３により実現される。以下、図１に示した通信システムを具現化した実施例を用いて、本発明のワーム検出方法及びワーム防御方法について具体的に説明する。

図２は、本発明の第１の実施例を説明するための通信システムの概略構成図である。この通信システムは、ユーザ端末２１〜２４、スイッチ２５及びサーバ２６を備えている。ユーザ端末２１〜２４とサーバ２６とは、スイッチ２５を介して接続される。スイッチ２５は、スイッチング動作を行ってユーザ端末２１〜２４及びサーバ２６を接続し、サーバ２６は、スイッチ２５のミラーポートに接続されている。また、図示しないユーザ端末を含めた全てのユーザ端末において、ユーザ端末２１は、ワームに感染しており、他のユーザ端末等への感染活動を開始しているものとする。

ユーザ端末２１上のワームは、他のユーザ端末やサーバ等に対して感染を行うため、プログラムにより、感染対象となるユーザ端末等のアドレスを作成し、当該作成したアドレスのユーザ端末等に対し、感染を行うための情報を含む通信データを送出する。ここで、感染対象となるユーザ端末等が同一のＩＰサブネット上に存在する場合には、そのユーザ端末等のＩＰアドレスに対応するＭＡＣアドレスを知る必要がある。そのため、ユーザ端末２１は、ＡＲＰ（Ａｄｒｅｓｓ Ｒｅｓｏｌｕｔｉｏｎ Ｐｒｏｔｏｃｏｌ／アドレス解決プロトコル）要求をスイッチ２５に送出する。このＡＲＰ要求は、ブロードキャスト通信要求であるため、スイッチ２５を経由して、当該スイッチ２５に接続されているユーザ端末２２〜２５及びサーバ２６に送出される。

同一サブネット上に感染対象となるユーザ端末等のＩＰアドレスを有するホストが存在する場合には、そのユーザ端末等のホストは、ＡＲＰ要求を受信し、これに対応するＡＲＰ応答を返答する。これに対して、同一サブネット上に感染対象となるユーザ端末等のＩＰアドレスを有するホストが存在しない場合には、ＡＲＰ応答の返答は無い。

サーバ２６は、スイッチ２５のミラーポートに接続されているため、ＡＲＰ要求だけでなくＡＲＰ応答も観測することができる。そこで、サーバ２６は、同一のサブネット上に送出されるＡＲＰ要求と、この要求に対応するＡＲＰ応答とを観測し、対となるＡＲＰ応答が無いＡＲＰ要求を記録する。サーバ２６は、対となるＡＲＰ応答が無いＡＲＰ要求の数をカウントし、当該カウント値と予め定められた設定値とを比較し、カウント値が設定値以上になったことを判断した場合には、そのＡＲＰ要求の送信元であるユーザ端末をワームに感染したユーザ端末であると判定し、当該判定結果を記録し、ネットワーク管理者へ通知する。

図３は、本発明の第２の実施例を説明するための通信システムの概略構成図である。この通信システムは、ユーザ端末３１〜３４、スイッチ３５〜３７及びサーバ３８を備えている。ユーザ端末３１，３２とサーバ３８とは、スイッチ３６、スイッチ３５及びスイッチ３７を介して接続される。ユーザ端末３３，３４とサーバ３８とは、スイッチ３７を介して接続される。スイッチ３５〜３７は、スイッチング動作を行ってユーザ端末３１〜３４及びサーバ３８を接続する。サーバ３８は、図２に示した実施例１と異なり、必ずしもスイッチ３７のミラーポートに接続されている必要はない。また、ユーザ端末３１は、ワームに感染しており、他のユーザ端末等への感染活動を開始しているものとする。

ユーザ端末３１上のワームは、他のユーザ端末やサーバ等に対して感染を行うため、プログラムにより、感染対象となるユーザ端末等のアドレスを作成し、当該作成したアドレスのユーザ端末等に対し、感染を行うための情報を含む通信データを送出する。ここで、感染対象となるユーザ端末等が同一のＩＰサブネット上に存在する場合には、そのユーザ端末等のＩＰアドレスに対応するＭＡＣアドレスを知る必要がある。そのため、ユーザ端末３１は、ＡＲＰ要求をスイッチ３６に送出する。このＡＲＰ要求は、ブロードキャスト通信要求であるため、スイッチ３６を経由してユーザ端末３２に送出されると共に、スイッチ３６、スイッチ３５及びスイッチ３７を経由して、ユーザ端末３３，３４及びサーバ３８にも送出される。

サーバ３８は、ブロードキャストのＡＲＰ要求を受信すると、そのＡＲＰ要求の宛先と同一の宛先に対して、スイッチ３７経由でＡＲＰ要求を新たに送出する。これにより、同一サブネット上の何れかのユーザ端末がＡＲＰ応答を感染ホストであるユーザ端末３１に返答した場合には、そのユーザ端末は、サーバ３８により送出された新たなＡＲＰ要求を受信し、サーバ３８にもＡＲＰ応答を返答することになる。逆に、同一サブネット上の全てのユーザ端末がＡＲＰ応答を感染ホストであるユーザ端末３１に返答しない場合には、新たなＡＲＰ要求に対してサーバ３８にもＡＲＰ応答を返答しない。

ユーザ端末３１により送出されるＡＲＰ要求はブロードキャスト通信要求であるから、サーバ３８は、ユーザ端末３１により送出される全てのＡＲＰ要求を受信することができる。しかし、これに対する全てのＡＲＰ応答を必ずしも受信するはできない。従って、サーバ３８は、自らが送出した新たなＡＲＰ要求と、この要求に対応するＡＲＰ応答とを観測し、対となるＡＲＰ応答が無いＡＲＰ要求を記録する。サーバ３８は、対となるＡＲＰ応答が無いＡＲＰ要求の数をカウントし、当該カウント値と予め定められた設定値とを比較し、カウント値が設定値以上になったことを判断した場合には、そのＡＲＰ要求の送信元であるユーザ端末をワームに感染したユーザ端末であると判定し、当該判定結果を記録し、ネットワーク管理者へ通知する。

本実施例２において、同一サブネット上に複数のサーバが存在する場合には、各サーバは、他のサーバにより送出された新たなＡＲＲ要求を受信すると、さらに新たなＡＲＰ要求を送出し、このＡＲＰ要求に対するＡＲＰ応答がない場合には、ＡＲＰ要求の送信元である他のサーバがワームに感染しているものと誤って判定してしまう可能性がある。このような誤判定を避けるため、各サーバは、互いにワーム検出機能を備えたサーバであることを識別する手段が必要になる。すなわち、各サーバは、ワーム検出機能を備えたサーバからＡＲＰ要求を受信したことを判断し、更に新たなＡＲＰ要求を送出しないようにすることにより、誤判定を避けることができる。

また、ＩＰレイヤで中継するルータ等の装置により送出されるＡＲＰ要求は、ルータを経由するトラフィックによって引き起こされるものが大半である。ワームに感染したユーザ端末から送出された通信データが、サーバが接続されているサブネットに接続されているルータを経由して到着している場合には、当該通信データに対応するＡＲＰ要求はルータから送出されることになり、サーバは、そのルータがワームに感染していると誤って判定してしまう可能性がある。この場合、サーバは、誤検出される可能性のあるルータのアドレスを予め設定しておき、ワームの感染元からそのルータを除外することにより、誤判定を避けることができる。

図４は、本発明の第３の実施例を説明するための通信システムの概略構成図である。この通信システムは、ユーザ端末４１、ルータ４２，４３及びファイヤウォール４５を備えている。ファイヤウォール４５とルータ４３とは、ネットワーク４４を介して接続され、ユーザ端末４１とルータ４３とは、ルータ４２、ファイヤウォール４５及びネットワーク４４を介して接続される。また、図示しないユーザ端末を含めた全てのユーザ端末において、ユーザ端末４１は、ワームに感染しており、他のユーザ端末等への感染活動を開始しているものとする。

ユーザ端末４１上のワームは、他のユーザ端末やサーバ等に対して感染を行うため、プログラムにより、感染対象となるユーザ端末等のアドレスを作成し、当該作成したアドレスのユーザ端末等に対し、感染を行うための情報を含む通信データを送出する。ここで、感染対象となるユーザ端末等が他のＩＰサブネット上に存在する場合には、ルータ４２を経由して通信データを送出する。

この通信データは、ルータ４２、ファイヤウォール４５及びネットワーク４４を経由してルータ４３に到着する。ここで、ルータ４３は、ユーザ端末４１により送出された通信データの宛先への経路が存在しないと判断できる、経路上の最初のルータであるとする。ルータ４３は、ユーザ端末４１により送出された通信データを受信し、当該通信データの宛先への経路が存在しないことを判断すると、宛先到達不可能（ＩＣＭＰ（Ｉｎｔｅｒｎｅｔ Ｃｏｎｔｒｏｌ Ｍｅｓｓａｇｅ Ｐｒｏｔｏｃｏｌ） Ｄｅｓｔｉｎａｔｉｏｎ Ｕｎｒｅａｃｈａｂｌｅ）メッセージをユーザ端末４１へ送信する。この宛先到達不可能メッセージは、ネットワーク４４を経由してファイヤウォール４５に到着する。

ファイヤウォール４５は、通過する宛先到達不可能メッセージを監視し、記録する。すなわち、ファイヤウォール４５は、通過する宛先到達不可能メッセージの数をカウントし、当該カウント値と予め定められた設定値とを比較し、カウント値が設定値以上になったことを判断した場合には、その宛先到達不可能メッセージの宛先であるユーザ端末をワームに感染したユーザ端末であると判定し、当該判定結果を記録し、ネットワーク管理者へ通知する。また、ファイヤウォール４５は、ワームに感染していると判定したユーザ端末から送出される通信データ等のパケットを廃棄（フィルタリング）し、他のユーザ端末等に対するワームの感染を防ぐ。

図５は、本発明の第４の実施例を説明するための通信システムの概略構成図である。この通信システムは、ユーザ端末５１、ルータ５２〜５５及びサーバ５７を備えている。ルータ５３，５４及びサーバ５７は、ネットワーク５６を介して接続される。ユーザ端末５１とルータ５５とは、ルータ５２、ルータ５３、ネットワーク５６及びルータ５４を介して、ユーザ端末５１とサーバ５７とは、ルータ５２、ルータ５３及びネットワーク５６を介して、ルータ５５とサーバ５７とは、ルータ５４及びネットワーク５６を介してそれぞれ接続される。また、図示しないユーザ端末を含めた全てのユーザ端末において、ユーザ端末５１は、ワームに感染しており、他のユーザ端末等への感染活動を開始しているものとする。また、ルータ５３，５４は、ネットワーク５６に送出するパケットのうち、宛先到達不可能メッセージを含むＩＣＭＰパケットをその宛先アドレスにかかわらず、サーバ５７へ転送（リダイレクション）するように設定されているものとする。

ユーザ端末５１上のワームは、他のユーザ端末やサーバ等に対して感染を行うため、プログラムにより、感染対象となるユーザ端末等のアドレスを作成し、当該作成したアドレスのユーザ端末等に対し、感染を行うための情報を含む通信データを送出する。ここで、感染対象となるユーザ端末等が他のＩＰサブネット上に存在する場合には、ルータ５２を経由して通信データを送出する。

この通信データは、ルータ５２，５３、ネットワーク５６及びルータ５４を経由して、ルータ５５に到着する。ここで、ルータ５５は、ユーザ端末５１により送出された通信データの宛先への経路が存在しないと判断できる、経路上の最初のルータであるとする。ルータ５５は、ユーザ端末５１により送出された通信データを受信し、当該通信データの宛先への経路が存在しないと判断すると、ＩＣＭＰによる宛先到達不可能メッセージをユーザ端末５１へ送信する。この宛先到達不可能メッセージがルータ５４に到着すると、ルータ５４は、予めなされた設定に従って、当該メッセージをネットワーク５６を経由してサーバ５７へ転送する。

サーバ５７は、宛先到達不可能メッセージを受信すると、当該メッセージを記録し、本来の宛先であるユーザ端末５１へ転送する。宛先到達不可能メッセージは、ネットワーク５６、ルータ５３及びルータ５２を経由してユーザ端末５１に到着する。サーバ５７は、宛先到達不可能メッセージの受信を監視し、記録する。すなわち、サーバ５７は、本来の宛先に転送する宛先到達不可能メッセージの数をカウントし、当該カウント値と予め定められた設定値とを比較し、カウント値が設定値以上になったことを判断した場合には、その宛先到達不可能メッセージの宛先であるユーザ端末をワームに感染したユーザ端末であると判定し、当該判定結果を記録し、ネットワーク管理者へ通知する。また、サーバ５７は、ワームに感染していると判定したユーザ端末から送出される通信データ等のパケットを廃棄するように、ルータ５３，５４へ指示する。ルータ５３，５４は、そのユーザ端末により送出されたパケットを廃棄することにより、他のユーザ端末等に対するワームの感染を防ぐ。

尚、上記実施例では、ルータ５３，５４は、ＩＣＭＰパケットをサーバ５７へ転送するようにしたが、ＩＣＭＰパケットの中から、タイプ３の宛先到達不可能メッセージ（Ｔｙｐｅ３ Ｄｅｓｔｉｎａｔｉｏｎ Ｕｎｒｅａｃｈａｂｌｅ）を識別し、当該メッセージのみをサーバ５７へ転送するようにしてもよい。この場合、サーバ５７は、タイプ３の宛先到達不可能メッセージの数をカウントし、当該カウント値と予め定められた設定値とを比較し、カウント値が設定値以上になったことを判断した場合には、そのタイプ３の宛先到達不可能メッセージの宛先であるユーザ端末をワームに感染したユーザ端末であると判定し、当該判定結果を記録し、ネットワーク管理者へ通知する。また、サーバ５７は、ワームに感染していると判定したユーザ端末から送出される通信データ等のパケットを廃棄するように、ルータ５３，５４へ指示する。ルータ５３，５４は、そのユーザ端末により送出されたパケットを廃棄することにより、他のユーザ端末等に対するワームの感染を防ぐ。

次に、上記の実施例４を基本とした変形例について説明する。サーバ５７は、上記のように、宛先到達不可能メッセージを受信し、ユーザ端末５１を当該メッセージの本来の宛先であると判断した場合、送信元がユーザ端末５１である全てのパケットをサーバ５７に転送するように、ルータ５３，５４へ指示する。ユーザ端末５１上のワームが感染を行うための情報を含む通信データを送出すると、ルータ５３は、受信した通信データを、本来の宛先に送信しないで、ネットワーク５６を経由してサーバ５７へ転送する。

サーバ５７は、受信した通信データを記録し、ネットワーク５６を経由して通信データを本来の宛先へ転送する。ルータ５４は、当該通信データに対するＩＣＭＰによる宛先到達不可能メッセージを受信した場合には、本来の宛先であるユーザ端末５１へ送信しないで、サーバ５７へ転送する。サーバ５７は、当該メッセージを記録する。

サーバ５７は、宛先到達不可能メッセージに対応する通信データ（ユーザ端末５１により送出された通信データ）がＴＣＰによる通信データであったと判断した場合には、宛先到達不可能メッセージを本来の宛先であるユーザ端末５１へ転送しないで、ＴＣＰによる通信データに対する正常な応答情報を含む通信データをユーザ端末５１に返答するようにしてもよい。この場合、ユーザ端末５１は、既に送出した通信データの宛先が存在していると判断し、更に、ワームの感染を行う情報を含む通信データをその宛先へ送出する可能性が高い。サーバ５７は、ユーザ端末５１により送出され、ルータ５３により転送された通信データを引き続き受信し、記録する。これにより、サーバ５７は、ワームに感染したユーザ端末５１が送出した情報を記録することが可能となり、その情報に基づいてワームの解析や防御を行うことが可能となる。

上記に説明したサーバ１１、サーバ２６、サーバ３８、ファイヤウォール４５、サーバ５７は、中央処理装置（Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ／ＣＰＵ）、ＲＡＭ等の揮発性の記憶媒体、ＲＯＭ（Ｒｅａｄ Ｏｎｌｙ Ｍｅｍｏｒｙ）等の不揮発性の記憶媒体、キーボード等の入力装置、データを表示するモニタ装置、及び外部の装置と通信をするためのインターフェースを備えたコンピュータ装置によって構成される。サーバ１１、サーバ２６、サーバ３８、ファイヤウォール４５、サーバ５７の各機能は、当該機能を記述したプログラムをＣＰＵに実行させることにより実現される。また、これらのプログラムは、磁気ディスク（フロッピィーディスク、ハードディスク等）、光ディスク（ＣＤ−ＲＯＭ、ＤＶＤ等）、半導体メモリ等の記憶媒体に格納して頒布することもできる。

以上、実施例を挙げて本発明を説明したが、本発明は上記実施例に限定されるものではなく、本発明の精神及び意図を逸脱しない限り、種々変形が可能である。例えば、上記実施例では、ワームの感染を防御するために、ワームの感染を行うパケットを廃棄、転送または記録するようにしたが、ワームの感染を防御する手段はこれに限定されるものではない。例えば、ワームの感染を行うパケットの量を観測（流量観測）したり、帯域制御したりする手段であってもよい。流量制御する場合には、ワームに関してさらに詳細な調査が可能となる。また、帯域制御する場合には、例えば帯域を変更したり狭めたりすることにより、ワームの感染スピードを制御することが可能となる。

本発明のワーム検出方法が適用されるネットワークを説明する概略構成図である。 本発明の実施例１を示す説明図である。 本発明の実施例２を示す説明図である。 本発明の実施例３を示す説明図である。 本発明の実施例４を示す説明図である。

符号の説明

１０，４４，５６ ネットワーク
１１，２６，３８，５７ サーバ
１２〜１５，４２，４３，５２〜５５ ルータ
１６，２１〜２４，３１〜３４，４１，５１ ユーザ端末
２５，３５〜３７ スイッチ
４５ ファイヤウォール

Claims (5)

1. ワームに感染した感染機器と、ネットワーク上で何らかの機能を有する０台以上の対象機器と、ワームの感染を検出する検出機器とがネットワークに接続され、前記検出機器が、感染機器から送出された情報に対する応答情報を観測し、前記応答情報の観測に基づいて、ワームに感染した感染機器を特定するワーム検出方法であって、
   前記検出機器が、感染機器から送出された情報に対して到達すべき宛先が存在しないことを示す宛先到達不可能の応答情報を検出するステップと、
   当該応答情報を検出した場合に、対象機器が存在することを示すダミーの応答情報を前記感染機器へ返答するステップと、
   前記感染機器からダミーの応答情報に基づいて送出された情報を検出し、記録するステップとを有することを特徴とするワーム検出方法。
2. 請求項１に記載のワーム検出方法において、
   前記検出機器が、特定した感染機器から送出される情報に対して、フィルタリング、リダイレクション、情報量観測、帯域制御または記録のうちの少なくとも１つを行うように、ネットワーク上の通信機器に指示し、当該通信機器にワームの感染を防止させるステップを有することを特徴とするワーム検出方法。
3. ワームに感染した感染機器と、ネットワーク上で何らかの機能を有する０台以上の対象機器と、ワームの感染を検出する検出機器とがネットワークに接続され、前記検出機器が、感染機器から送出された情報に対する応答情報を観測し、前記応答情報の観測に基づいて、ワームに感染した感染機器を特定するワーム検出方法であって、
   前記検出機器が、
   感染機器から送出された情報に対する応答情報を、中継するネットワーク経路上の機器から当該検出機器へ転送させるステップと、
   前記転送された応答情報の中から、到達すべき宛先が存在しないことを示す宛先到達不可能の第１の応答情報を検出するステップと、
   当該検出した第１の応答情報の数に基づいて、感染機器を第１の応答情報の宛先と特定するステップと、
   特定した感染機器から送出された情報を、中継するネットワーク経路上の通信機器から当該検出機器へ転送させるステップと、
   前記転送された情報を記録し、当該情報を本来の宛先へ転送するステップと、
   前記情報に対して到達すべき宛先が存在しないことを示す宛先到達不可能の第２の応答情報を検出するステップと、
   前記第２の応答情報を検出した場合に、対象機器が存在することを示すダミーの応答情報を前記特定した感染機器へ返答するステップと、
   前記特定した感染機器からダミーの応答情報に基づいて送出された情報を検出し、記録するステップとを有することを特徴とするワーム検出方法。
4. 請求項３に記載のワーム検出方法において、
   前記検出機器が、特定した感染機器から送出される情報に対して、フィルタリング、リダイレクション、情報量観測、帯域制御または記録のうちの少なくとも１つを行うように、ネットワーク上の通信機器に指示し、当該通信機器にワームの感染を防止させるステップを有することを特徴とするワーム検出方法。
5. 請求項３または４に記載のワーム検出方法において、
   前記感染機器から送出された情報をＴＣＰによるＳｙｎパケットとし、前記第１および第２の応答情報をＩＣＭＰによるタイプ３の宛先到達不可能メッセージのパケットとし、前記ダミーの応答情報をＴＣＰによるＳｙｎ及びＡｃｋパケットとすることを特徴とするワーム検出方法。

Images