JP2005242876A - ウイルス対策システム、プログラム、コンピュータ、及びそれを用いるウイルス対策方法 - Google Patents

Abstract

【課題】
対策コンピュータから被対策コンピュータを遠隔操作して該被対策コンピュータにウイルス対策を施している最中に、該被対策コンピュータが、セキュリティホールを感染経路とするウイルスに感染することを防止したい。
【解決手段】
第２手段００２は、被対策コンピュータＨ１００への入力データＤ００１を第１手段００１に与えて検査させ、検査結果Ｄ００６がウイルス感染経路となり得る通信を構成するときは入力データＤ００１を破棄し、そうでないときは被対策コンピュータＨ１００による処理に付する。
【選択図】図３

Description

本発明は、被対策コンピュータを遠隔操作して、コンピュータウイルス（以下「ウイルス」とする）の検査、予防及び修復をするためのコンピュータシステムに関するものである。

インターネットが整備されたことに伴って、ウイルスは、急速に深刻な被害をもたらすようになった。そして、エンドユーザの管理能力を補ったり、システムを効率よく管理したりするために、遠隔操作を用いたウイルス対策システムが求められている。

そこで、従来より、サーバマシンから多数のクライアントマシンに対してウイルス検査のためのコマンドを送り、その結果を一括管理することによって、ネットワークのウイルス対策を効率よく行うシステムが提案されている（例えば、特許文献１参照）。

また、遠隔操作による対策とは別に、ネットワーク境界でデータの透過を制限する手段としてファイアウォールが知られており（例えば、非特許文献１参照）、これも、ある種のウイルスの感染を予防するために用いることができた。
特開平９−２６０２６２号公報 Ｇｅｎｅ＋伊藤将人『基本ネットワーク技術』２３６頁（翔泳社、２００４）

しかしながら、ネットワークプログラムのセキュリティ上の脆弱性を用いて感染するようなウイルスの場合においては、該脆弱性を有するコンピュータは、ネットワークに接続しただけで感染の危険に曝される。そのため、従来の遠隔操作では、予防のための操作を行っている最中に、被対策コンピュータが感染して予防に失敗したり、検査から修復までの間にウイルスがバージョンアップして修復に失敗したりする恐れがあった。

もっとも、この種のウイルスはファイアウォールを適切に構築すれば予防し得る。しかし、適切に構築するのはまさに困難であり、感染経路を遮断する一方で、遠隔操作のための通信を透過させるには高い技術を要した。この問題は、遠隔操作によって、エンドユーザの管理能力を補ったり管理を効率化させたりすることを、大きく妨げていた。

そこで、本発明は、ユーザがその都度難しい設定をしなくても、遠隔操作中に被対策コンピュータが感染することを自動的に回避できる、遠隔操作を用いたウイルス対策システムを提供することを解決課題とする。

本発明のウイルス対策システムは、対策コンピュータと被対策コンピュータが接続されたネットワーク（もちろん、他のコンピュータが接続されていてもよい）において、該対策コンピュータから該被対策コンピュータを遠隔操作して、該被対策コンピュータにウイルス対策を施すためのシステムであって、
ウイルスの感染経路となり得る通信を認識する第１手段を備え、被対策コンピュータの通信のうちウイルスの感染経路となり得る通信を妨げる第２手段を備えていることを特徴とする。

これによって、ウイルスは該被対策コンピュータの脆弱性を用いて感染することができなくなるため、ユーザが難しい設定を行わなくても、遠隔操作中にウイルスに感染してしまう事態が自動的に回避され得る。

また、被対策コンピュータにウイルスを伝染させ得るコンピュータの機能を、停止させる手段を備えていることを特徴とする、ウイルス対策システムによっても、同様に課題を解決し得る。

本発明によれば、被対策コンピュータのユーザに高い管理能力を要することなく、ウイルス対策が可能となる。

また、遠隔地からのウイルス対策が可能となるため、管理の効率化が図れる。ことに大規模なネットワークでは顕著である。

以下、本発明に係る実施形態を添付図面に従って説明する。

まず、本発明の一実施形態としてのウイルス対策システムの外観を、図１と図２に従って説明する。

図１は、本実施形態におけるネットワーク構成図である。本実施形態のネットワークＨ１０００は、被対策コンピュータＨ１００、対策コンピュータＨ２００、コンピュータＨ００１〜Ｈ００３等を、相互に接続したものである。

図２に、本実施形態のウイルス対策システムを用いて、被対策コンピュータへウイルス対策を施す方法を例示する。ユーザＰ２００は、対策コンピュータＨ２００を通して被対策コンピュータＨ１００を遠隔操作する。そして、Ｈ１００を構成する情報記憶媒体Ｈ１０１内のファイルをリストアップし（ＲｅａｄＤｉｒ）、ファイルの内容を読み取り（Ｒｅａｄ）、ファイルがウイルスであるときは該ファイルを削除する（Ｄｅｌｅｔｅ）。また、必要なときは脆弱性を除去ためのパッチをインストールする。なお、一連の遠隔操作は、ユーザＰ２００が手動で行ってもよいし、スケジューリングに従って対策コンピュータＨ２００に自動的に行わせる等してもよい。

つぎに、図３のデータフローダイアグラムに従って、本発明の一実施形態としてのウイルス対策システムにおける各手段の連携を説明する。

本実施形態において、他のコンピュータＨＥ０１は、被対策コンピュータＨ１００へ入力データＤ００１を送る。第２手段００２は、入力データＤ００１を、第１手段００１へ検査対象Ｄ００５として与え、検査結果Ｄ００６を受け取る。そして、検査結果Ｄ００６をもとに、入力データＤ００１のうちからウイルスの感染経路となり得るものを破棄し、それ以外のデータは検査済み入力データＤ００２として、Ｈ１００のアプリケーションの処理００３に与える。

本発明の課題を解決するためには、入力データのみを制限すれば十分である。しかし、本実施形態では、より確実を期するために、Ｈ１００のアプリケーションの処理００３の出力データＤ００３についても同様に検査する。そして、ウイルスの感染経路となり得るものを破棄し、それ以外を検査済み出力データＤ００４として他のコンピュータＨＥ０１に送る。

続いて、図４と図５のフローチャートに従って、本発明の一実施形態としてのウイルス対策システムにおける各手段の処理の流れを説明する。

図４に、本実施形態における第２手段の処理を示す。まず、入力データＤ００１または出力データＤ００３を、検査対象Ｄ００５に代入し、第１手段の処理に渡す（Ｓ００２０１〜Ｓ００２０２）。そして、検査結果Ｄ００６を受け取り、第１手段によって検査対象Ｄ００５がウイルスの感染経路になり得ないと判断されたときは、検査対象Ｄ００５をＨ１００のアプリケーションの処理００３または他のコンピュータＨＥ０１に送る（Ｓ００２０３〜Ｓ００２０６）。

図５に、本実施形態における第１手段の処理を示す。まず、検査対象Ｄ００５を受け取り、Ｄ００５が、本システムの被遠隔操作プログラムの入力であるか否かを判断する（Ｓ００１０１〜Ｓ００１０２）。具体的な判断方法としては、ＴＣＰ／ＩＰの場合、パケットのヘッダを参照し、送り先ポート番号が被遠隔操作プログラムのものと同一であるときは真、そうでないときは偽とすればよい。その他の判断方法として、データの内容を参照し、正当な署名がある時は真、ない時は偽とする等の方法をとってもよい。

判断の結果が真の場合、検査結果Ｄ００６に感染経路になり得ないとの値を代入し、戻り値として返す（Ｓ００１０３）。偽の場合、検査結果Ｄ００６に、感染経路になり得るとの値を代入し、戻り値とする（Ｓ００１０４）。

最後に、図６の配置図にしたがって、本実施形態における主要なプログラムの配置例を説明する。対策コンピュータＨ２００には、遠隔操作プログラム００４を配置する。遠隔操作プログラム００４は、被対策コンピュータＨ１００に指令を送るためのプログラムである。被対策コンピュータＨ１００には、コンピュータを第１手段及び第２手段として機能させるためのプログラム、および被遠隔操作プログラムを配置する。被遠隔操作プログラム００５は、被対策コンピュータＨ１００に、遠隔操作プログラム００４の指令にしたがった処理をさせるためのプログラムである。

本実施形態の効果は、次のとおりである。被対策コンピュータが自律的に防御を行うため、防御のための機器を必ずしも追加しなくてもよい。したがって、ネットワークを複雑化させず、しかも安価に、ウイルス対策システムを構築し得る。

また、自律的防御ができることから、遠隔操作指令をブロードキャストしてウイルス対策を一括に行う等も可能となる。この特長は、管理効率を飛躍的に向上させる可能性に富んでいる。

発明を実施するための最良の形態では、被対策コンピュータの自律的防御によって、遠隔操作中のウイルス感染を回避するシステムを提案した。しかしながら、セキュリティ上の脆弱性が、第２手段の処理よりも下層に存在する場合、防御が不十分になる可能性がないではない。たとえば、第２手段の処理をネットワーク層で行う場合、データリンク層の処理の問題までは回避できないかもしれない。

そこで、本実施例では、この点を解決して、より確実な防御が可能なウイルス対策システムを提案する。方針としては、図７のように、被対策コンピュータＨ１００と他のコンピュータＨ００１〜Ｈ００３等との間に対策コンピュータＨ２００を置き、遠隔操作に必要なデータのみを被対策コンピュータＨ２００へ中継するものである。

本実施例のウイルス対策システムは、第１手段及び第２手段に加えて、ウイルスの種類に応じて、被対策コンピュータＨ１００に行わせるべき処理と、当該処理のために必要な通信の特徴とを定義する、第３手段を備えていることを特徴とする。該通信の特徴は、適正な署名の有無によって記述してもよいし、ＴＣＰ／ＩＰの場合はパケットの宛先アドレスとポートなどによって記述してもよい。本実施例では、プロトコルとアクセスするリソースのＵＲＩの組み合わせによって記述する。

まず、図８のデータフローダイアグラムに従って、本実施例における各手段の連携を説明する。

第１手段００１、第２手段００２、他のコンピュータＨＥ０１、及び、Ｈ１００のアプリケーションの処理００３の関係は、発明を実施するための最良の形態におけるものと同様とする。

第３手段の処理００６は、対策手順ストアＲ００１から、ウイルスの種類に応じた対策手順データＤ０１０を読み込む。そして、第１手段００１に、必要な通信の特徴Ｄ００７を与える。遠隔操作プログラム００４には、ウイルス対策プログラムＤ００８を与える。

遠隔操作プログラム００４は、ウイルス対策プログラムＤ００８の記述に従って、Ｈ１００のアプリケーションの処理００３に指令Ｄ００９を与える。こうして、被対策コンピュータＨ１００を遠隔操作して、ウイルスの検査、予防および修復を行う。

つぎに、図９と図１０のフローチャートに従って、主要な各手段の処理のうち、発明を実施するための最良の形態と本実施例とで異なるものについて説明する。

図９に、第１手段の処理を示す。まず、検査対象Ｄ００５受け取る（Ｓ００１０１）。そして、第３手段の処理００６から通信の特徴Ｄ００７受け取り、検査対象Ｄ００５が、通信の特徴Ｄ００７備えているか判断する（Ｓ００１０２．１〜Ｓ００１０２．２）。本実施例では、次のように通信の特徴Ｄ００７を定義する。すなわち、検査対象Ｄ００５がＨＴＴＰリクエストまたはＨＴＴＰレスポンスを構成するものであり、かつ、一定のＵＲＩにアクセスするときは、遠隔操作に必要な通信とみなす。

図１０に、第３手段の処理を示す。まず、本実施例のウイルス対策システムで対策をしようとするウイルスの種類を取得し、その種類に応じた対策手順データＤ０１０を、対策手順ストアＲ００１から読み込む（Ｓ００３０１〜Ｓ００３０２）。そして、第１手段００１には通信の特徴Ｄ００７を与え、遠隔操作プログラム００４にはウイルス対策プログラムＤ００８を与える（Ｓ００３０３〜Ｓ００３０４）。ウイルス対策プログラムＤ００８は、遠隔操作プログラム００４によって解釈され、これに従って被対策コンピュータＨ１００は遠隔操作される。

最後に、図１１の配置図にしたがって、本実施例における主要なプログラムの配置例を説明する。対策コンピュータＨ２００には、遠隔操作プログラム００４、コンピュータを第１手段００１、第２手段００２及び第３手段００６として機能させるためのプログラムを配置する。被対策コンピュータＨ１００には、被遠隔操作プログラム００５を配置する。

本実施形態の効果は、次のとおりである。本実施例によれば、脆弱性がＯＳＩ基本参照モデルのどの階層で生じているかにかかわらず、すべてのウイルス感染から被対策コンピュータを保護し得る。また、感染を防御する手段を、対策コンピュータのユーザの管理下に置くこともできる。そのため、被対策コンピュータのユーザの管理能力を補うという目的を達しやすい。

さらに、本実施例によれば、遠隔操作による検査、予防、修復と遠隔操作中の防御を容易に自動化できる。したがって、管理効率を大きく向上させる可能性がある。

実施例１のウイルス対策システムは、図１２のように、対策コンピュータＨ２００と被対策コンピュータＨ１００が異なるネットワークに属し、被対策コンピュータＨ１００側のローカルエリアネットワークに複数のコンピュータが接続されているような環境では、防御力を発揮することが難しいこともあり得る。本実施例のウイルス対策システムは、この点を解決し得る。方針としては、被対策コンピュータＨ１００への感染源となり得るコンピュータの機能を停止させるものである。

図１３のネットワーク構成を一例として、本実施例のウイルス対策システムの構成を説明する。

ネットワークＨ２０００は、被対策コンピュータＨ１００、コンピュータＨ００１、Ｈ００２及びルータＨ０１０を接続するものである。このうち、被対策コンピュータＨ１００とコンピュータＨ００１は、ウイルスに感染している可能性がある。他のコンピュータはその可能性がない。

ネットワークＨ３０００は、ルータＨ０１０と実施例１に示した対策コンピュータＨ２００を接続したものである。

ネットワークＨ４０００では、対策コンピュータＨ２００とコンピュータＨ００３、その他いくつかのコンピュータが接続されている。このうち、コンピュータＨ００３は、ウイルスに感染している可能性がある。

本発明の解決課題を本実施例に当てはめると、コンピュータＨ００２やコンピュータＨ００３のウイルスが、遠隔操作中に被対策コンピュータＨ１００へ感染することを、自動的に回避しなければならない。そのために、本実施例のシステムは、被対策コンピュータへウイルスを伝染させ得るコンピュータの機能を停止させる手段を備える。

その具体的方法として、本実施例では、対策コンピュータＨ２００からコンピュータＨ００１を遠隔操作し、一定時間、電源を停止させる。なお、ウイルスが他のコンピュータと通信できなくなる程度に機能を停止させれば十分なので、通信制御装置の機能のみを停止させてもよいし、ウイルスに感染するおそれのないＢＩＯＳなどの処理を続けさせたまま、他の機能を停止させる等してもよい。

なお、ウイルスを伝染させ得るコンピュータを認識する方法としては、事前に各コンピュータのシステム情報を記録する等してもよいし、すべてのコンピュータを被対策コンピュータとしてウイルス検査をし、未検査のコンピュータは、他のコンピュータにウイルスを伝染させ得るものとみなす等でもよい。

こうして、コンピュータＨ００１に感染しているウイルスが、他のコンピュータと通信できなくなっている間に、対策コンピュータＨ２００から被対策コンピュータＨ１００へ指令を送り、被対策コンピュータＨ１００にウイルス対策を施す。

本実施形態の効果は次のとおりである。本実施例によれば、対策コンピュータと被対策コンピュータを接続するネットワークは、より自由に構成できる。そのため、対策コンピュータと被対策コンピュータが異なる人に管理されていても、遠隔操作を用いたウイルス対策の利便を享受しやすい。

そのような状況は、インターネットサービスプロバイダーが対策コンピュータを設置し、顧客に対してサービスを提供するような場合には、大変多く生じると思われる。したがって、本実施例が提案する方法は、遠隔操作を用いた効率的なウイルス対策を広く利用できるようにし、ひいては産業基盤の整備に大きく貢献するであろう。

ネットワーク構成図 システムの使用方法例 第１手段と第２手段を中心としたデータフローダイアグラム 第２手段の処理のフローチャート 第１手段の処理のフローチャート プログラム配置図 ネットワーク構成図 第１手段〜第３手段を中心としたデータフローダイアグラム 第１手段の処理のフローチャート 第３手段の処理のフローチャート プログラム配置図 課題を明確にするためのネットワーク構成図 ネットワーク構成図

符号の説明

Ｈ１００ 被対策コンピュータ
Ｈ１０１ 被対策コンピュータＨ１００の情報記憶媒体
Ｈ２００ 対策コンピュータ
ＨＥ０１ 他のコンピュータ
Ｈ００１〜Ｈ００３ コンピュータ
Ｈ０１０ ルータ
Ｈ１０００、Ｈ２０００、Ｈ３０００、Ｈ４０００ ネットワーク
Ｐ２００ ユーザ
００１、００２ 第１手段、第２手段の処理
００３ 被対策コンピュータＨ１００のアプリケーションの処理
００４ 遠隔操作プログラム
００５ 被遠隔操作プログラム
００６ 第３手段の処理
Ｄ００１ 入力データ
Ｄ００２ 検査済み入力データ
Ｄ００３ 出力データ
Ｄ００４ 検査済み出力データ
Ｄ００５ 検査対象
Ｄ００６ 検査結果
Ｄ００７ 通信の特徴
Ｄ００８ ウイルス対策プログラム
Ｄ００９ 被対策コンピュータを遠隔操作するための指令
Ｄ０１０ 対策手順データ
Ｒ００１ 対策手順ストア
Ｓ００１０１〜Ｓ００１０３、Ｓ００２０１〜Ｓ００２０６、Ｓ００３０１〜Ｓ００３０４ 第１手段、第２手段、第３手段の処理の各ステップ

Claims (5)

1. 対策コンピュータと被対策コンピュータが接続されたネットワークにおいて、該対策コンピュータから該被対策コンピュータを遠隔操作して、該被対策コンピュータにウイルス対策を施すためのシステムであって、
   ウイルスの感染経路となり得る通信を認識する第１手段を備え、該被対策コンピュータの通信のうちウイルスの感染経路となり得る通信を妨げる第２手段を備えていることを特徴とするウイルス対策システム。
2. 前記第１手段は、対策コンピュータが被対策コンピュータを遠隔操作するための通信以外を、ウイルスの感染経路となり得る通信として認識することを特徴とする、請求項１に記載のウイルス対策システム。
3. ウイルスの種類に応じて、ウイルス対策のために被対策コンピュータが行うべき処理と、該処理のために必要な通信の特徴を、定義する第３手段を備え、前記対策コンピュータは、第３手段の定義するところにしたがって被対策コンピュータにウイルス対策のための処理を行わせ、前記第１手段は、第３手段によって定義された特徴を備えていない通信はウイルスの感染経路となり得る通信として認識することを特徴とする、請求項１に記載のウイルス対策システム。
4. 対策コンピュータと被対策コンピュータが接続されたネットワークにおいて、該対策コンピュータから該被対策コンピュータを遠隔操作して、該被対策コンピュータにウイルス対策を施すためのシステムであって、
   該被対策コンピュータにウイルスを伝染させ得るコンピュータの機能を停止させる手段を備えていることを特徴とするウイルス対策システム。
5. 請求項１から請求項４のいずれかに記載のウイルス対策システムを用いるウイルス対策方法。
   

Images