JP5738042B2 - ゲートウェイ装置、情報処理装置、処理方法およびプログラム - Google Patents

Description

本発明は、ネットワークを介して行われるマルウェア（悪意のあるソフトウェア）の侵入を防止する装置、処理方法およびプログラムに関する。

コンピュータ・ウィルス等のマルウェアは、コンピュータ・システムに侵入して動作し、侵入したコンピュータ・システム自体やこのシステムに接続された他のシステムに、様々な被害を発生させる。マルウェアによる被害の発生を防止する方策として、コンピュータ・システムに侵入しようとするマルウェアを検出して侵入を防止することや、既にコンピュータ・システムに侵入したマルウェアを検出して除去することが行われる。マルウェアを検出する手法としては、一般に、既知のマルウェアに関する情報を集めたリスト（ブラックリスト）を用いたリストマッチングが行われる（例えば、特許文献１を参照）。

また、未知のマルウェアを検出したり、マルウェアの送信元を特定したりすることも行われる。例えば、ネットワーク上にマルウェアが侵入可能な囮端末（いわゆるハニーポット等）を設け、侵入したマルウェアの動作を検証したり、マルウェアの送信元を特定したりすることが行われている（例えば、特許文献２を参照）。

特開２００９−１８１２３３号公報 ＷＯ２００４／０８４０６３号公報

近年、マルウェアの侵入方法は高度化かつ巧妙化し、コンピュータへの侵入を未然に防ぐことが困難となっている。例えば、外部からコンピュータへマルウェアを送りつけて侵入させるのではなく、コンピュータから主体的にマルウェアを取得（ダウンロード）するような工夫が行われる場合がある。これには、ウェブページ等に設けられた仕掛けによって、コンピュータ等のユーザが、マルウェアを取得（ダウンロード）するようにコンピュータ等を操作することを誘導するような場合も含まれる。

本発明の目的は、上記のようなコンピュータから主体的にマルウェアを取得させる仕組みに対する防御手段を提供することにある。

上記の目的を達成するため、本発明は、次のような装置として実現される。この装置は、ＬＡＮ（Local Area Network）上の端末装置と外部ネットワーク上のサーバとの間のデータ交換を中継するゲートウェイ装置であって、アクセス先を特定するアクセス先情報を保持する情報保持手段と、このアクセス先情報に基づき、予め定められたタイミングで外部ネットワーク上のサーバにアクセスするアクセス制御手段と、このアクセス制御手段がアクセスしたサーバから受信した特定のソフトウェアに付加された、このサーバが特定のソフトウェアを送信した端末装置を識別するために用いる識別情報を抽出する抽出手段と、端末装置からのアクセス要求のアクセス先がアクセス先情報に含まれ、このアクセス先のサーバからアクセス要求に対する応答を受信した場合に、応答に、抽出手段により抽出された識別情報を付加する編集手段と、を備える。
より好ましくは、編集手段は、サーバから受信した応答に対して抽出手段により抽出された第１の識別情報と同一のまたは異なる第２の識別情報が付加されている場合に、この第２の識別情報を第１の識別情報に書き換え、この応答に対して第２の識別情報が付加されていない場合は、この応答に第１の識別情報を付加しない。

また、この編集手段は、サーバからの応答に対して識別情報を付加する代わりに、端末装置からのアクセス要求のアクセス先がアクセス先情報に含まれる場合に、アクセス要求に、抽出手段により抽出された識別情報を付加するようにしても良い。
この場合、より好ましくは、編集手段は、アクセス要求に対して抽出手段により抽出された第１の識別情報と同一のまたは異なる第２の識別情報が付加されている場合に、この第２の識別情報を第１の識別情報に書き換え、このアクセス要求に対して第２の識別情報が付加されていない場合は、このアクセス要求に第１の識別情報を付加しない。

また、上記の目的を達成する他の本発明は、次のような装置としても実現される。この装置は、ＬＡＮ（Local Area Network）上の端末装置と外部ネットワーク上のサーバとの間のデータ交換を中継するゲートウェイ装置であって、アクセス要求を受け付けてアクセス要求の送信元へ特定のソフトウェアを送信するサーバが含まれたアクセス先を特定するアクセス先情報を保持する第１の情報保持手段と、このサーバが特定のソフトウェアを送信した端末装置を識別するために用いる識別情報を保持する第２の情報保持手段と、端末装置からのアクセス要求のアクセス先がアクセス先情報に含まれ、このアクセス先のサーバからこのアクセス要求に対する応答を受信した場合に、この応答に、第２の情報保持手段に保持された識別情報を付加する編集手段と、を備える。
また、この編集手段は、サーバからの応答に対して識別情報を付加する代わりに、端末装置からのアクセス要求のアクセス先がアクセス先情報に含まれる場合に、アクセス要求に、抽出手段により抽出された識別情報を付加するようにしても良い。

さらにまた、本発明は、次のような方法としても実現される。この方法は、ＬＡＮ（Local Area Network）上の端末装置と外部ネットワーク上のサーバとの間のデータ交換を中継するゲートウェイ装置によるネットワーク通信の処理方法であって、アクセス先を特定するアクセス先情報に基づき、予め定められたタイミングで外部ネットワーク上のサーバにアクセスするステップと、アクセス先情報においてアクセス先として特定されたサーバにアクセスし、このサーバから特定のソフトウェアを受信し、この特定のソフトウェアに付加された、このサーバが特定のソフトウェアを送信した端末装置を識別するために用いる識別情報を抽出するステップと、端末装置からのアクセス要求のアクセス先がアクセス先情報に含まれ、このアクセス先のサーバからこのアクセス要求に対する応答を受信した場合に、この応答に、抽出された識別情報を付加するステップと、を含む。
ここで、サーバからの応答に対して識別情報を付加する代わりに、端末装置からのアクセス要求のアクセス先がアクセス先情報に含まれる場合に、アクセス要求に識別情報を付加する構成としても良い。

さらに本発明は、コンピュータを制御して上述した装置の各機能を実現するプログラム、またはコンピュータに上記の処理方法における各ステップに対応する処理を実行させるプログラムとしても実現される。このプログラムは、磁気ディスクや光ディスク、半導体メモリ、その他の記録媒体に格納して配布したり、ネットワークを介して配信したりすることにより、提供することができる。

本発明によれば、コンピュータから主体的にマルウェアを取得させる仕組みに対する防御を実現し、コンピュータを保護することができる。

本実施形態が適用されるコンピュータ・システムの全体構成例を示した図である。 インターネット上のウェブサイトがクライアント端末からのアクセスに応じてマルウェアを送信する仕組みを示す図である。 本実施形態の第１の構成例によるプロキシサーバの機能構成例を示す図である。 本実施形態の第１の構成例によるプロキシサーバの動作を示すフローチャートである。 本実施形態の第２の構成例によるプロキシサーバの機能構成例を示す図である。 第２の構成例のプロキシサーバによるクッキーに関する処理を示すフローチャートであり、クッキーの取得時の動作を示す図である。 第２の構成例のプロキシサーバによるクッキーに関する処理を示すフローチャートであり、クッキーの書き換え時の動作を示す図である。 本実施形態のプロキシサーバを実現するのに好適なコンピュータのハードウェア構成の一例を示す図である。

以下、添付図面を参照して、本発明の実施形態について詳細に説明する。
＜システム構成例＞
まず、本実施形態が適用されるネットワーク・システムについて説明する。
図１は、このようなネットワーク・システムの全体構成例を示した図である。
図示するように、このネットワーク・システムは、クライアント端末１０と、プロキシサーバ２０とがＬＡＮ（Local Area Network）１００に接続されて構成されている。また、ＬＡＮ１００に接続された各装置は、プロキシサーバ２０を介してインターネット２００に接続される。すなわち、ＬＡＮ１００内の装置から外部ネットワークへの通信は、必ずプロキシサーバ２０を介して行われる。

クライアント端末１０は、ユーザが使用するコンピュータである。例えば、パーソナルコンピュータやワークステーション、その他のコンピュータ装置にて実現される。上記のように、クライアント端末１０は、ＬＡＮ１００に接続されており、プロキシサーバ２０を介してインターネット２００上のサーバ（図示せず）にアクセスする。なお、図１には４台のクライアント端末１０が記載されているが、ＬＡＮ１００に接続されるクライアント端末１０の台数は図示の４台には限定されない。

インターネット２００上のサーバは、インターネット２００においてウェブページ等によりサービスを提供するウェブサイトを構築する。以下の説明では、クライアント端末１０およびプロキシサーバ２０によるアクセス先やインターネット２００上での動作（データ送信等の）主体として、サーバではなくウェブサイトを適宜用いる。なお、このサーバとウェブサイトとは、必ずしも１対１で対応していない。単一のサーバが複数のウェブサイトを提供する場合もあるし、複数のサーバに格納されたウェブページ等により一つのウェブサイトが構成される場合もある。

プロキシサーバ２０は、ＬＡＮ１００内のクライアント端末１０とインターネット２００上のサーバとの間の通信を中継するサーバ・コンピュータである。上記のように、クライアント端末１０は、必ずプロキシサーバ２０を介してインターネット２００にアクセスする。プロキシサーバ２０は、基本的な機能である中継機能の他、ファイア・ウォールや通信データのキャッシュ機能等、既存のプロキシサーバが備える一般的な機能を備えても良い。

本実施形態のプロキシサーバ２０は、上記の通常のプロキシサーバ２０としての機能に加え、所定のアクセス先リストに基づいて、インターネット２００上のウェブサイトを、自ら巡回アクセスする機能を有する。本実施形態におけるプロキシサーバ２０の機能および動作、またアクセス先リストの詳細については後述する。

ＬＡＮ１００は、クライアント端末１０やネットワーク・プリンタ（図示せず）等の端末装置を各種回線で接続し、これらの間でデータを送受信できるようにしたネットワークである。インターネット２００は、ＴＣＰ／ＩＰを用いて全世界のネットワークを相互に接続した巨大なネットワークである。

＜マルウェアを侵入させる仕組み＞
ここで、本実施形態が対象とする、マルウェアを侵入させる仕組みについて説明する。
図２は、インターネット上のウェブサイトがクライアント端末からのアクセスに応じてマルウェアを送信する仕組みを示す図である。
図２において、インターネット２００上に設けられたウェブサイト２１０は、マルウェアを配信するウェブサイト（マルウェア配信サイト）である。図２に示す仕組みでは、まず、クライアント端末１０からウェブサイト２１０へアクセス要求が行われる。そして、クライアント端末１０からウェブサイト２１０へのアクセス要求が行われると、ウェブサイト２１０は、アクセス要求を行ったクライアント端末１０へマルウェアを送信する。

インターネット２００上では、クライアント端末１０からウェブサイト２１０へのアクセス要求を行わせるための様々な仕掛けがなされている。例えば、他のウェブサイト（図示せず）のウェブページに、ウェブサイト２１０へアクセスするスクリプトを記述しておき、クライアント端末１０がそのウェブページをダウンロードした際に自動的にウェブサイト２１０へアクセスさせる仕組みがある。また、他のウェブサイト（図示せず）のウェブページ上に、ウェブサイト２１０へアクセスするためのリンクを設けておき、そのウェブページを閲覧したユーザが自らウェブサイト２１０へアクセスするように仕向けることもある。

従来、このような手法に対するセキュリティ上の対応策として、囮となるクライアント端末１０（囮端末）を用いて、このようなマルウェアの配信サイトを発見することが行われている。具体的には、クライアント端末１０からのアクセスを受け付けてマルウェアをダウンロードさせている可能性のあるウェブサイト２１０へ囮端末からアクセスし、そのウェブサイト２１０がマルウェアを送信するか否かを確認することが行われていた。

これに対し、そのような調査による発見を回避するため、マルウェア配信サイトであるウェブサイト２１０は、所定の条件を満たす場合にのみ、アクセス要求を行ったクライアント端末１０に対してマルウェアを送信することがあった。具体的には、マルウェアをダウンロードさせたクライアント端末１０を記憶しておき、例えば一定期間以内に、同じクライアント端末１０からのアクセス要求があった場合には、そのクライアント端末１０に対してマルウェアを送信しないウェブサイト２１０があった。

マルウェア配信サイトであるウェブサイト２１０を提供するサーバがクライアント端末１０を識別する手法としては、種々の手法が考えられるが、代表的な手法として、ＩＰアドレスを用いる手法とクッキー（Cookie）を用いる手法が挙げられる。前者の手法では、ウェブサイト２１０のサーバは、アクセス要求元のＩＰアドレスに基づいて、そのアクセス要求を行ったクライアント端末１０を特定する。後者の手法では、ウェブサイト２１０のサーバが、アクセス要求を受け付けた際に、クッキーを作成して、アクセス要求元のクライアント端末１０に対して送信する。そして、次にクライアント端末１０からアクセス要求を受け付けた際に、ウェブサイト２１０のサーバは、アクセス要求に付されたクッキーに基づいて、そのアクセス要求を行ったクライアント端末１０を特定する。

＜プロキシサーバによる巡回アクセスおよび偽装＞
本実施形態では、上記のように、一定期間以内に複数回のアクセス要求を行ったクライアント端末１０に対して２回目以降のアクセス要求に応じたマルウェアの送信を行わないウェブサイト２１０を対象として、プロキシサーバ２０による巡回アクセスを行う。そして、プロキシサーバ２０がウェブサイト２１０からマルウェアをダウンロードする。また、プロキシサーバ２０は、自身が設けられたＬＡＮ１００内のクライアント端末１０からウェブサイト２１０へのアクセス要求を、２回目以降のアクセス要求であるかのように偽装する。このようなプロキシサーバ２０を備えたＬＡＮ１００では、予めプロキシサーバ２０がウェブサイト２１０にアクセスしてマルウェアをダウンロードするため、その後、クライアント端末１０がウェブサイト２１０にアクセスしてもマルウェアをダウンロードすることがない。

上記のように、ウェブサイト２１０を提供するサーバがクライアント端末１０を識別するための代表的な手法として、ＩＰアドレスを用いる手法とクッキーを用いる手法が考えられる。そこで、以下では、各々の場合に分けて、本実施形態におけるプロキシサーバ２０の機能構成および動作について説明する。

＜第１の構成例＞
まず、ウェブサイト２１０のサーバがＩＰアドレスを用いてアクセス元のクライアント端末１０を識別する場合について、マルウェアの侵入を防ぐためのシステム構成およびその動作について説明する。本構成例では、プロキシサーバ２０の機能により本システムを実現する。

＜プロキシサーバの機能構成＞
図３は、本実施形態によるプロキシサーバ２０の機能構成例を示す図である。
図３に示すプロキシサーバ２０は、アクセス中継部２１と、リスト保持部２２と、アクセス制御部２３と、ソフトウェア解析部２４と、ソフトウェア処理部２５とを備える。なお、図３においては、アクセス中継部２１を除き、本実施形態における固有の機能のみを記載している。実際には、図３に示す機能の他、ファイア・ウォール機能やキャッシュ機能等の既存のプロキシサーバが備える種々の機能を設けることができる。

アクセス中継部２１は、ＬＡＮ１００に接続されたクライアント端末１０とインターネット２００上のウェブサイト２１０（サーバ）との間の通信を中継する。すなわち、クライアント端末１０から送信されたデータを受け付けて送信先のウェブサイト２１０へ送信し、ウェブサイト２１０から送信されたデータを受け付けて送信先のクライアント端末１０へ送信する。

リスト保持部２２は、プロキシサーバ２０がアクセスすべきアクセス先のリストを保持する情報保持手段である。本実施形態におけるプロキシサーバ２０のアクセス先は、アクセス元のクライアント端末１０に対してマルウェアを送信しているウェブサイト２１０またはその疑いのあるウェブサイト２１０である。特に、一定期間以内に複数回のアクセス要求を行ったクライアント端末１０に対して２回目以降のアクセス要求に応じたマルウェアの送信を行わないウェブサイト２１０を対象とする。このアクセス先リストは、例えば、情報セキュリティのサービス提供者等から取得したり、公開されたマルウェア配信サイトの情報を利用したりすることができる。

なお、アクセス先リストに登録されるウェブサイト２１０は、実際にマルウェアを送信するウェブサイト２１０の他、マルウェアを送信している可能性があると認識されたウェブサイト２１０、そのようなウェブサイト２１０へ自動的に遷移するウェブサイト２１０等を含むものとする。

アクセス制御部２３は、リスト保持部２２に保持されているアクセス先リストに基づき、ウェブサイト２１０にアクセスするアクセス制御手段である。ウェブサイト２１０へのアクセスは、予め定められたタイミングで行われる。例えば、定期的に（一日に一度、予め定められた時刻等）行っても良いし、システムが特定の状態になったことを契機として行っても良い。具体例を挙げると、時間帯によってＬＡＮ１００に接続されているクライアント端末１０が全て停止するようなシステムでは、全てのクライアント端末１０が停止した後、いずれかのクライアント端末１０が起動した際に、プロキシサーバ２０がウェブサイト２１０へアクセスすることが考えられる。また、アクセス先リストに登録された各ウェブサイト２１０に関して、ＬＡＮ１００に接続されているいずれかのクライアント端末１０がそのウェブサイト２１０に最後にアクセスしてから一定時間が経過した場合に、プロキシサーバ２０がウェブサイト２１０へアクセスすることも考えられる。

ソフトウェア解析部２４は、アクセス制御部２３の制御によるウェブサイト２１０へのアクセスでダウンロードされたソフトウェアを解析し、マルウェアか否かを判断する。この判断は、例えば、ブラックリストを用いたリストマッチング等の既存の手法を用いて良い。この場合、ブラックリストには、予め処理対象であるマルウェアとして定められたソフトウェアが登録されている。

ソフトウェア処理部２５は、ソフトウェア解析部２４によりマルウェアと判断されたソフトウェアを処理し、そのソフトウェアが実行されない状態とする。具体的には、対象のソフトウェアを削除したり、特別のフォルダに格納（隔離）して実行できないようにしたりする。

＜第１の構成例におけるプロキシサーバの動作＞
図４は、本実施形態によるプロキシサーバ２０の動作を示すフローチャートである。
上記のように構成されたシステムにおいて、プロキシサーバ２０は、アクセス制御部２３の制御により、リスト保持部２２に保持されているアクセス先リストにしたがって、所定のタイミングで（時間要件を満たす場合に）ウェブサイト２１０にアクセスする（ステップ４０１、４０２）。そして、ウェブサイト２１０からソフトウェアを取得（ダウンロード）したならば、ソフトウェア解析部２４が、取得したソフトウェアを解析する（ステップ４０３、４０４）。ソフトウェア解析部２４による解析の結果、取得したソフトウェアがマルウェアであると判断されたならば、次にソフトウェア処理部２５が、そのソフトウェアを処理（削除、隔離等）する（ステップ４０５、４０６）。

以上のようにして、本実施形態によれば、プロキシサーバ２０が、アクセス先リストに基づき、マルウェアの配信サイトであるウェブサイト２１０（またはその可能性のあるウェブサイト２１０）に、所定のタイミングでアクセスする。プロキシサーバ２０が設けられたＬＡＮ１００の特性上、ＬＡＮ１００に接続された端末装置（クライアント端末１０を含む）からアクセス要求が行われた場合、プロキシサーバ２０により中継された時点で、アクセス元のＩＰアドレスは、プロキシサーバ２０のＩＰアドレスとなる。このため、ウェブサイト２１０において、プロキシサーバ２０によってアクセスされた後、このＬＡＮ１００内のクライアント端末１０からのアクセスは、全て同じＩＰアドレス（同じ端末装置）からのアクセスと判断される。

ここで、ウェブサイト２１０が、一定期間以内に複数回のアクセス要求を行ったクライアント端末１０に対して２回目以降のアクセス要求に応じたマルウェアの送信を行わないものとする。すると、このウェブサイト２１０は、プロキシサーバ２０がアクセスした後、一定期間は、ＬＡＮ１００内のクライアント端末１０からのアクセス要求があっても、アクセス要求の送信元へマルウェアを送信しない。

＜第１の構成の変形例＞
上記のように、プロキシサーバ２０が設けられたＬＡＮ１００では、ＬＡＮ１００に接続された各端末装置からのアクセス要求におけるアクセス元のＩＰアドレスは、プロキシサーバ２０のＩＰアドレスとなる。したがって、上記構成例におけるプロキシサーバ２０のアクセス制御部２３の機能を、プロキシサーバ２０ではなく、ＬＡＮ１００に接続された特定のクライアント端末１０に設けても良い。

この場合、この特定のクライアント端末１０が、上記のリスト保持部２２に保持されたものと同様のアクセス先リストを保持する。そして、このアクセス先リストに基づいて、所定のタイミングでウェブサイト２１０にアクセスする。

＜第２の構成例＞
次に、ウェブサイト２１０のサーバがクッキーを用いてアクセス元のクライアント端末１０を識別する場合について、マルウェアの侵入を防ぐためのシステム構成およびその動作について説明する。本構成例では、プロキシサーバ２０の機能により本システムを実現する。

第２の構成例において、ウェブサイト２１０は、アクセス要求を行ったクライアント端末１０に対して応答する際に送信データにクッキーを付加するものとする。クッキーを受け取ったクライアント端末１０は、次回、同じウェブサイト２１０にアクセスする際に、アクセス要求や送信データに受け取ったクッキーを付加して送信する。ウェブサイト２１０は、受信したアクセス要求や送信データに自身が発行したクッキーが付加されていた場合、このクッキーに基づいて、アクセス要求の送信元のクライアント端末１０やその状態を識別する。

したがって、ウェブサイト２１０は、クライアント端末１０にマルウェアを送信する際、マルウェアの送信時に固有のクッキーを付加して送信すれば、その後に同じクライアント端末１０から受けたアクセス要求に付加されたクッキーに基づき、このクライアント端末１０にはマルウェアを既に送信済みであることを認識することができる。そこで、第２の構成例では、クライアント端末１０とウェブサイト２１０との間のデータ交換において、ウェブサイト２１０からの応答またはクライアント端末１０からのアクセス要求に付加されているクッキーを、マルウェア送信時のクッキーに書き換える。これにより、アクセス要求の送信元であるクライアント端末１０に対して既にマルウェアを送信していると、ウェブサイト２１０が認識するように偽装する。

＜プロキシサーバの機能構成＞
図５は、本実施形態によるプロキシサーバ２０の機能構成例を示す図である。
図５に示すプロキシサーバ２０は、アクセス中継部２１と、リスト保持部２２と、アクセス制御部２３と、ソフトウェア解析部２４と、ソフトウェア処理部２５と、情報編集部２６とを備える。ここで、アクセス中継部２１、リスト保持部２２、アクセス制御部２３、ソフトウェア解析部２４およびソフトウェア処理部２５は、図３に示した第１の構成例におけるプロキシサーバ２０の構成と同様である。したがって、同一の符号を付して説明を省略する。なお、図５においては、アクセス中継部２１を除き、本実施形態における固有の機能のみを記載している。実際には、図５に示す機能の他、ファイア・ウォール機能やキャッシュ機能等の既存のプロキシサーバが備える種々の機能を設けることができる。

図５に示す本構成例のプロキシサーバ２０において、情報編集部２６は、ウェブサイト２１０からＬＡＮ１００内のクライアント端末１０へ送信されたデータに付加されているクッキーの抽出および書き換えを行う。すなわち、情報編集部２６は、ウェブサイト２１０からの受信データからクッキーを抽出する抽出手段であり、受信データに付加されているクッキーを書き換える編集手段である。以下、情報編集部２６によるクッキーの書き換え処理の内容について、詳細に説明する。

前提として、図５に示す第２の構成例によるプロキシサーバ２０は、図３及び図４を参照して説明した第１の構成例によるプロキシサーバ２０と同様に、リスト保持部２２に保持されたアクセス先リストに基づき、所定のタイミングでウェブサイト２１０にアクセスする。そして、ソフトウェア解析部２４によりウェブサイト２１０からダウンロードされたソフトウェアを解析し、そのソフトウェアがマルウェアであった場合は、ソフトウェア処理部２５により処理（削除、隔離等）する。

ここで、ウェブサイト２１０からダウンロードしたソフトウェアがマルウェアであると判断された場合、本構成のプロキシサーバ２０では、情報編集部２６が、そのソフトウェアに付加されたクッキーのデータを抽出する。抽出されたクッキーのデータは、送信元のウェブサイト２１０を特定する情報に関連付けられて、所定の記憶手段に保持される。

そして、ＬＡＮ１００内のクライアント端末１０からウェブサイト２１０へのアクセス要求がなされ、ウェブサイト２１０からの応答があった場合に、情報編集部２６は、ウェブサイト２１０からの応答に付加されているクッキーを、保持しているクッキー（すなわち、マルウェアの送信時に付加されたクッキー）に書き換える。

＜第２の構成例におけるプロキシサーバの動作＞
図６および図７は、本実施形態のプロキシサーバ２０によるクッキーに関する処理を示すフローチャートである。図６はクッキーの取得時の動作を示し、図７はクッキーの書き換え時の動作を示す。
図６に示す動作において、プロキシサーバ２０がアクセス先リストに基づいてウェブサイト２１０にアクセスし、ダウンロードしたソフトウェアを解析するまでの動作（ステップ６０１〜６０４）は、図４に示した第１の構成例によるステップ４０１〜４０４までの動作と同様である。

本構成例におけるプロキシサーバ２０は、ソフトウェア解析部２４による解析の結果、取得したソフトウェアがマルウェアであると判断されたならば、そのソフトウェアを処理（削除、隔離等）し、さらにそのソフトウェアに付加されたクッキーを取得する（ステップ６０５、６０６）。すなわち、このときに取得されたクッキーは、ウェブサイト２１０がマルウェアを送信する際に付加するクッキーである。

次に、図７を参照する。まず、プロキシサーバ２０のアクセス中継部２１が、ＬＡＮ１００内のクライアント端末１０からのアクセス要求に対するウェブサイト２１０からの応答を受信する（ステップ７０１）。すると、情報編集部２６が、事前にこのウェブサイト２１０にアクセスして取得したクッキー（図６のステップ６０６で取得したクッキー）を保持しているか調べる（ステップ７０２）。そして、このウェブサイト２１０から取得したクッキーが保持されている場合、情報編集部２６は、ステップ７０１で受信した応答に付加されているクッキーを、ステップ７０２で検出したクッキーに書き換える（ステップ７０３）。そして、アクセス中継部２１は、情報編集部２６によりクッキーが書き換えられた応答を、このアクセス要求の送信元であるクライアント端末１０に送信する（ステップ７０４）。

この後、クライアント端末１０は、再度ウェブサイト２１０にアクセスする場合、ステップ７０３でプロキシサーバ２０により付加されたクッキーをアクセス要求に付加する。このため、このアクセス要求を受信したウェブサイト２１０は、クッキーに基づき、受信したアクセス要求が既にマルウェアを送信したクライアント端末１０からのアクセス要求であると判断する。

ここで、ウェブサイト２１０が、既にマルウェアを送信したクライアント端末１０に対して、一定期間はマルウェアを再送しないものとする。すると、このウェブサイト２１０は、上記のクッキーが付加されたアクセス要求の送信元であるクライアント端末１０にはマルウェアを送信しない。

なお、上記の動作例では、プロキシサーバ２０がウェブサイト２１０からの応答を受信した時点で、情報編集部２６がクッキーを書き換えることとした。これに対し、ＬＡＮ１００内のクライアント端末１０がアクセス先リストに登録されているウェブサイト２１０をアクセス先としてアクセス要求を行った場合に、そのアクセス要求に付加されているクッキーを情報編集部２６が保持しているクッキーに書き換える手順としても良い。

また、上記の動作例では、ウェブサイト２１０からの応答またはクライアント端末１０からのアクセス要求に付加されているクッキーを書き換える（すなわち、既に付加されているクッキーを削除してマルウェア送信時のクッキーを付加する）こととした。これに対し、ウェブサイト２１０からの応答またはクライアント端末１０からのアクセス要求にクッキーが付加されていない場合に、情報編集部２６がクッキーを単に付加する構成も考えられる。

＜第２の構成の変形例＞
上記の構成例では、プロキシサーバ２０がＬＡＮ１００内のクライアント端末１０に先立ってウェブサイト２１０にアクセスし、マルウェアの送信時に付加されるクッキーを取得した。これに対し、アクセス先リストに登録されているウェブサイト２１０がマルウェアを送信する際に付加するクッキーを予め他の手段で取得し、プロキシサーバ２０に保持しておく構成としても良い。この場合、クッキーは、例えばアクセス先リストと共に情報セキュリティサービス提供者が提供することが考えられる。ウェブサイト２１０からの応答またはクライアント端末１０からのアクセス要求に付加されているクッキーを書き換えたり、付加したりする手法および手順については、上記の構成例と同様である。

＜ハードウェアの構成例＞
最後に、本実施形態のプロキシサーバ２０を実現するのに好適なコンピュータのハードウェア構成について説明する。
図８は、このようなコンピュータのハードウェア構成の一例を示す図である。
図８に示すコンピュータは、演算手段であるＣＰＵ（Central Processing Unit）３００ａと、主記憶手段であるメモリ３００ｃを備える。また、外部デバイスとして、磁気ディスク装置（ＨＤＤ：Hard Disk Drive）３００ｇ、ネットワーク・インターフェイス３００ｆ、表示機構３００ｄ、音声機構３００ｈ、キーボードやマウス等の入力デバイス３００ｉ等を備える。

図８に示す構成例では、メモリ３００ｃおよび表示機構３００ｄは、システム・コントローラ３００ｂを介してＣＰＵ３００ａに接続されている。また、ネットワーク・インターフェイス３００ｆ、磁気ディスク装置３００ｇ、音声機構３００ｈおよび入力デバイス３００ｉは、Ｉ／Ｏコントローラ３００ｅを介してシステム・コントローラ３００ｂと接続されている。各構成要素は、システム・バスや入出力バス等の各種のバスによって接続される。

なお、図８は、本実施形態が適用されるのに好適なコンピュータのハードウェア構成を例示するに過ぎない。本実施形態は、ネットワーク・トラフィック等から得られるデータファイルを解析する情報処理システムに広く適用できるものであり、図示の構成においてのみ本実施例が実現されるのではない。

図８において、磁気ディスク装置３００ｇにはＯＳやアプリケーション・ソフトのプログラムが格納されている。そして、これらのプログラムがメモリ３００ｃに読み込まれてＣＰＵ３００ａに実行されることにより、図３および図５に示したアクセス中継部２１、アクセス制御部２３、ソフトウェア解析部２４、ソフトウェア処理部２５および情報編集部２６を含む各種の機能が実現される。また、磁気ディスク装置３００ｇやメモリ３００ｃ等の記憶手段により、リスト保持部２２や、情報編集部２６により抽出されたクッキーの保持手段が実現される。

なお、本実施形態の各構成例では、第１の構成の変形例を除き、プロキシサーバ２０がアクセス先リストに基づくウェブサイト２１０の巡回アクセスを行ったが、実際のシステムにおいては、かかる構成に限定されない。すなわち、ＬＡＮ１００とインターネット２００との間の通信経路上に設けられる各種のゲートウェイ装置によりウェブサイト２１０のアクセスを行う構成とすることができる。さらに、アクセス先リストに基づいてウェブサイト２１０を巡回アクセスする専用の情報処理装置をＬＡＮ１００内に設け、プロキシサーバ２０等のゲートウェイを介してインターネット２００上のウェブサイト２１０にアクセスするように構成しても良い。

１０…クライアント端末、２０…プロキシサーバ、２１…アクセス中継部、２２…リスト保持部、２３…アクセス制御部、２４…ソフトウェア解析部、２５…ソフトウェア処理部、２６…情報編集部、１００…ＬＡＮ（Local Area Network）、２００…インターネット

Claims (10)

1. ＬＡＮ（Local Area Network）上の端末装置と外部ネットワーク上のサーバとの間のデータ交換を中継するゲートウェイ装置であって、
   アクセス先を特定するアクセス先情報を保持する情報保持手段と、
   前記アクセス先情報に基づき、予め定められたタイミングで外部ネットワーク上のサーバにアクセスするアクセス制御手段と、
   前記アクセス制御手段がアクセスした前記サーバから受信した特定のソフトウェアに付加された、当該サーバが当該特定のソフトウェアを送信した端末装置を識別するために用いる識別情報を抽出する抽出手段と、
   前記端末装置からのアクセス要求のアクセス先が前記アクセス先情報に含まれ、当該アクセス先の前記サーバから当該アクセス要求に対する応答を受信した場合に、当該応答に、前記抽出手段により抽出された前記識別情報を付加する編集手段と、
   を備える、ゲートウェイ装置。
2. 前記編集手段は、前記サーバから受信した前記応答に対して前記抽出手段により抽出された第１の識別情報と同一のまたは異なる第２の識別情報が付加されている場合に、当該第２の識別情報を当該第１の識別情報に書き換え、当該応答に対して当該第２の識別情報が付加されていない場合に、当該第１の識別情報を付加しない、
   請求項１に記載のゲートウェイ装置。
3. ＬＡＮ（Local Area Network）上の端末装置と外部ネットワーク上のサーバとの間のデータ交換を中継するゲートウェイ装置であって、
   アクセス先を特定するアクセス先情報を保持する情報保持手段と、
   前記アクセス先情報に基づき、予め定められたタイミングで外部ネットワーク上のサーバにアクセスするアクセス制御手段と、
   前記アクセス制御手段がアクセスした前記サーバから受信した特定のソフトウェアに付加された、当該サーバが当該特定のソフトウェアを送信した端末装置を識別するために用いる識別情報を抽出する抽出手段と、
   前記端末装置からのアクセス要求のアクセス先が前記アクセス先情報に含まれる場合に、当該アクセス要求に、前記抽出手段により抽出された前記識別情報を付加する編集手段と、
   を備える、ゲートウェイ装置。
4. 前記編集手段は、前記アクセス要求に対して前記抽出手段により抽出された第１の識別情報と同一のまたは異なる第２の識別情報が付加されている場合に、当該第２の識別情報を当該第１の識別情報に書き換え、当該アクセス要求に対して当該第２の識別情報が付加されていない場合に、当該第１の識別情報を付加しない、
   請求項３に記載のゲートウェイ装置。
5. ＬＡＮ（Local Area Network）上の端末装置と外部ネットワーク上のサーバとの間のデータ交換を中継するゲートウェイ装置であって、
   アクセス要求を受け付けて当該アクセス要求の送信元へ特定のソフトウェアを送信するサーバが含まれたアクセス先を特定するアクセス先情報を保持する第１の情報保持手段と、
   前記サーバが前記特定のソフトウェアを送信した端末装置を識別するために用いる識別情報を保持する第２の情報保持手段と、
   前記端末装置からのアクセス要求のアクセス先が前記アクセス先情報に含まれ、当該アクセス先の前記サーバから当該アクセス要求に対する応答を受信した場合に、当該応答に、前記第２の情報保持手段に保持された前記識別情報を付加する編集手段と、
   を備える、ゲートウェイ装置。
6. ＬＡＮ（Local Area Network）上の端末装置と外部ネットワーク上のサーバとの間のデータ交換を中継するゲートウェイ装置であって、
   アクセス要求を受け付けて当該アクセス要求の送信元へ特定のソフトウェアを送信するサーバが含まれたアクセス先を特定するアクセス先情報を保持する第１の情報保持手段と、
   前記サーバが前記特定のソフトウェアを送信した端末装置を識別するために用いる識別情報を保持する第２の情報保持手段と、
   前記端末装置からのアクセス要求のアクセス先が前記アクセス先情報に含まれる場合に、当該アクセス要求に、前記第２の情報保持手段に保持された前記識別情報を付加する編集手段と、
   を備える、ゲートウェイ装置。
7. ＬＡＮ（Local Area Network）上の端末装置と外部ネットワーク上のサーバとの間のデータ交換を中継するゲートウェイ装置によるネットワーク通信の処理方法であって、
   アクセス先を特定するアクセス先情報に基づき、予め定められたタイミングで外部ネットワーク上のサーバにアクセスするステップと、
   前記アクセス先情報においてアクセス先として特定されたサーバにアクセスし、当該サーバから特定のソフトウェアを受信し、当該特定のソフトウェアに付加された、当該サーバが当該特定のソフトウェアを送信した端末装置を識別するために用いる識別情報を抽出するステップと、
   前記端末装置からのアクセス要求のアクセス先が前記アクセス先情報に含まれ、当該アクセス先の前記サーバから当該アクセス要求に対する応答を受信した場合に、当該応答に、抽出された前記識別情報を付加するステップと、
   を含む、処理方法。
8. ＬＡＮ（Local Area Network）上の端末装置と外部ネットワーク上のサーバとの間のデータ交換を中継するゲートウェイ装置によるネットワーク通信の処理方法であって、
   アクセス先を特定するアクセス先情報に基づき、予め定められたタイミングで外部ネットワーク上のサーバにアクセスするステップと、
   前記アクセス先情報においてアクセス先として特定されたサーバにアクセスし、当該サーバから、特定のソフトウェアを受信し、当該特定のソフトウェアに付加された、当該サーバが当該特定のソフトウェアを送信した端末装置を識別するために用いる識別情報を抽出するステップと、
   前記端末装置からのアクセス要求のアクセス先が前記アクセス先情報に含まれる場合に、当該アクセス要求に、抽出された前記識別情報を付加するステップと、
   を含む、処理方法。
9. ＬＡＮ（Local Area Network）上の端末装置と外部ネットワーク上のサーバとの間のデータ交換を中継するゲートウェイ装置として用いられるコンピュータを制御するプログラムにおいて、
   アクセス先を特定するアクセス先情報に基づき、予め定められたタイミングで外部ネットワーク上のサーバにアクセスするアクセス制御手段と、
   前記アクセス制御手段がアクセスした前記サーバから受信した特定のソフトウェアに付加された、当該サーバが当該特定のソフトウェアを送信した端末装置を識別するために用いる識別情報を抽出する抽出手段と、
   前記端末装置からのアクセス要求のアクセス先が前記アクセス先情報に含まれ、当該アクセス先の前記サーバから当該アクセス要求に対する応答を受信した場合に、当該応答に、前記抽出手段により抽出された前記識別情報を付加する編集手段として、
   前記コンピュータを機能させる、プログラム。
10. ＬＡＮ（Local Area Network）上の端末装置と外部ネットワーク上のサーバとの間のデータ交換を中継するゲートウェイ装置として用いられるコンピュータを制御するプログラムにおいて、
    アクセス先を特定するアクセス先情報に基づき、予め定められたタイミングで外部ネットワーク上のサーバにアクセスするアクセス制御手段と、
    前記アクセス制御手段がアクセスした前記サーバから、特定のソフトウェアと共に、当該サーバが当該特定のソフトウェアを送信した端末装置を識別するために用いる識別情報を受信した場合に、当該識別情報を抽出する抽出手段と、
    前記端末装置からのアクセス要求のアクセス先が前記アクセス先情報に含まれる場合に、当該アクセス要求に、前記抽出手段により抽出された前記識別情報を付加する編集手段として、
    前記コンピュータを機能させる、プログラム。

Images