JP4855420B2 - 不正通信プログラムの規制システム及びそのプログラム - Google Patents

Description

本発明は、不正な通信を規制するコンピュータシステムに関し、特に、自己のコンピュータ上で稼動する通信モジュール（各種の通信プログラム）を監視して、自己のコンピュータから外部コンピュータにアクセスする前に不正な通信を自動的に規制するコンピュータシステム及びそのプログラムに関するものである。

近年、違法な音楽ファイル交換ソフトウェアなどが市場に流通している。著作権の侵害を始めとする違法な情報流通の温床となる通信プログラムの規制を行おうとした場合、従来は、ＬＡＮ（Ｌｏｃａｌ Ａｒｅａ Ｎｅｔｗｏｒｋ）とインターネット網との間にフィルタリング装置（ゲートウェイ装置等）を設置し、その装置にて通信データの解析を行い、通信内容から不正通信プログラムと判断すると規制を行っていた。例えば、ゲートウェイ装置で規制するようにしたものとしては、１つ１つのパケットを個別に判断して、これまで管理者を悩ませてきた不要な通信を検出し、コンピュータ内部からのＷｉｎｎｙ等による通信を必要に応じてブロックするようにしたものが知られている（非特許文献１を参照）。
一方、自己のコンピュータで規制するようにしたものとしては、指定したポートでの通信を遮断することで規制するようにしたものの他に、スパイウェア等の悪意のある特定のアプリケーションを実行不能にする機能を備えるようにしたもの（ソフトウェアツール）が知られている（非特許文献２を参照）。
＜文献一覧＞
ネットエージェント株式会社のホームページ（製品名「Ｏｎｅ Ｐｏｉｎｔ Ｗａｌｌ」の特徴を説明したウェブページ）、［２００５年１０月２０日検索］、インターネット〈ＵＲＬ ： ｈｔｔｐ：／／ｗｗｗ．ｏｎｅｐｏｉｎｔｗａｌｌ．ｊｐ／〉 ウエブセンス インコーポレイテッド（Ｗｅｂｓｅｎｓｅ，Ｉｎｃ）の製品（製品名「製品Ｗｅｂｓｅｎｓｅ Ｅｎｔｅｒｐｒｉｓｅ Ｃｌｉｅｎｔ Ｐｏｌｉｃｙ Ｍａｎａｇｅｒ（ＣＰＭ）」を紹介したウェブページ）、［２００５年１０月２０日検索］、インターネット〈ｈｔｔｐ：／／ｗｗｗ．ａｔｍａｒｋｉｔ．ｃｏ．ｊｐ／ｎｅｗｓ／２００４０５／２０／ｗｅｂｓｅｎｓｅ．ｈｔｍｌ〉

上述したように、違法な情報流通の温床となる通信プログラムや、業務等で不要な通信プログラム（以下、「不正通信プログラム」と言う）を制限する場合、ＬＡＮとインターネット網との間に設置されたフィルタリング装置で規制する方法と、自己のコンピュータで規制する方法とがある。フィルタリング装置で規制する場合は、ＬＡＮ内からインターネット網へのアクセスを監視することはできるが、例えば会社の資産でもあるノートパソコンを社外に持ち出した場合、そのノートパソコンで使用される不正通信プログラムの規制を行うことはできないという欠点がある。また、非特許文献１に記載のものは、通信内容を解析する必要があるため、ゲートウェイ装置のＣＰＵの負荷が大きくなり、外部のコンピュータと通信する際にネックとなって、クライアントコンピュータの通信速度が低下するなどの欠点がある。
一方、非特許文献２に記載のものは、自己のコンピュータで規制するようにしているため、コンピュータがＬＡＮの外に持ち出されても、通信を規制することができるという利点がある。しかしながら、非特許文献２に記載の方法では、アプリケーションを実行させないようにすることはできるが、そのアプリケーションによる通信だけを遮断することはできない。そのため、オフラインでの使用なら許可させたいアプリケーションには使用できないなどの欠点がある。
本発明は上述のような事情から成されたものであり、本発明の目的は、構内ネットワーク内に設置したサーバを用いて管理下にある全てのコンピュータの監視及び規制に係る設定を行うことができると共に、管理下にあるコンピュータのネットワーク環境に関係なく、不正通信プログラムの監視及び規制を行うことが可能な不正通信プログラムの規制システム及びその方法を提供することにある。

本発明は、クライアントコンピュータを管理するための集中管理サーバを構内ネットワーク内に備えたクライアントサーバシステムにおける不正通信プログラムの規制システム及びプログラムに関するものであり、本発明の上記目的はシステムに関しては、前記集中管理サーバは、各種の不正通信プログラムを特定するためのファイルパターンを管理下の各クライアントコンピュータに前記構内ネットワークを介して配信する配信手段を備え、前記クライアントコンピュータは、該コンピュータから生じる通信の監視及び規制処理をするフィルタリングモジュールを備え、前記フィルタリングモジュールは、前記集中管理サーバから取得した前記ファイルパターンを格納するデータベースと、前記クライアントコンピュータで起動された通信モジュールから発生する通信のイベントを監視し、他のコンピュータへの通信開始要求の発生を検知する通信検知手段と、前記通信開始要求の要求元通信モジュールのファイルパターンと前記データベースのファイルパターンとを照合して前記通信モジュールが不正通信プログラムであるか否かを検査する検査手段と、前記検査手段が不正通信プログラムと判定した場合に、前記通信モジュールの通信を前記通信開始要求の実行前に規制する通信規制手段とを備えることによって達成される。
さらに、前記集中管理サーバは、各通信モジュールの規制の有無に関する情報を含む規制ルールを設定する設定手段を更に備え、前記通信規制手段は、前記設定手段によって規制有りと指定されている通信モジュールを対象として前記通信の規制処理を行うこと、前記設定手段は、前記ファイルパターンが登録されている前記不正通信プログラムの一覧を設定画面として管理端末の表示部に表示し、その一覧の中から選択されたものを規制対象として設定する機能を有すること、によってそれぞれ一層効果的に達成される。
さらに、前記通信開始要求は、他のコンピュータへの接続要求又はデータ送信要求であること、前記ファイルパターンを一元管理するデータセンタを備え、前記配信手段は、前記データセンタから受信した最新のファイルパターンを各クライアントコンピュータに適時配信する機能を有すること、前記フィルタリングモジュールは、前記不正通信プログラムの監視が始まると、前記クライアントコンピュータが前記集中管理サーバと通信できない状況においても、前記不正通信プログラムの監視処理および規制処理を継続すること、前記集中管理サーバが保有する前記ファイルパターンは、不正通信プログラムではない通常のアプリケーションを特定するためのファイルパターン含み、前記通信規制手段は、前記設定手段によって規制無しと指定されているアプリケーションの通信のみを許可する機能を有すること、によってそれぞれ一層効果的に達成される。
また、プログラムに関しては、前記クライアントコンピュータに、各種の不正通信プログラムを特定するためのファイルパターンを受信すると共にデータベースに記憶させる機能と、前記クライアントコンピュータで起動された通信モジュールから発生する通信のイベントを監視し、他のコンピュータへの通信開始要求の発生を検知する機能と、前記通信開始要求の要求元通信モジュールのファイルパターンと前記データベースのファイルパターンとを照合して前記通信モジュールが不正通信プログラムであるか否かを検査する機能と、前記通信モジュールが不正通信プログラムであると判定した場合に、前記通信モジュールの通信を前記通信開始要求の実行前に規制する機能と、を実現させるプログラムとすることよって達成される。
また、前記クライアントコンピュータに、更に、前記集中管理サーバ側に登録された各通信モジュールの規制の有無に関する情報を含む規制ルールの設定情報を受信する機能と、前記設定手段によって規制有りと指定されている通信モジュールを対象として前記通信の規制処理を行う機能と、を実現させるプログラムとすることよって、一層効果的に達成される。

本発明によれば、クライアントコンピュータ内において、通信モジュールから発生する通信のイベントを監視し、通信モジュール（各種の通信プログラム）から発生する通信開始要求のファイルパターンと集中管理サーバから予め取得したファイルパターンとを照合して不正通信プログラムを判別すると共に、その通信の開始前に規制するようにしている。そのため、次のような優れた効果を奏することができる。
（１） 管理下にあるコンピュータのネットワーク環境に関係なく、不正通信プログラムの監視及び規制を行うことが可能となる。
（２） 集中管理サーバの管理下にある全てのコンピュータの監視及び規制に係る処理を行うことができる。
（３） 構内ネットワークの外にコンピュータが持ち出された場合でも、不正通信プログラムの通信を規制することができる。そのため、構内ネットワークの外に持ち出されたコンピュータが不正通信プログラムを経由して個人情報を流出させたり、ウイルス感染の原因になったりすることがなくなる。
（４） 通信内容を解析する必要がないので、通信内容を解析して判別する方式と比較して、ＣＰＵへの負荷が少ない。
（５） 不正通信プログラム単位で規制できるので不正通信プログラム以外の通信モジュールへの影響が生じない。
（６） 不正通信プログラムが接続を行う前に通信を規制できるので、不正を未然に防止することができると共に、構内ネットワークの無駄なトラフイック量を軽減することができる。
さらに、ファイルパターンを一元管理すると共に、集中管理サーバに最新のファイルパターンを配信するデータセンタを備えた構成とすることで、（７）新規の不正通信プログラムへの対応が柔軟且つ迅速に行うことが可能になり、また、管理者が自らファイルパターンを作成する必要がなく、その分管理者の負担も少ない。

図１は、本発明に係る不正通信プログラムの規制システムの全体構成の一例を示す模式図である。
図２は、図１中の不正通信プログラム監視システム１０の構成例を示す概略ブロック図である。
図３は、本発明に係る不正通信プログラム監視システムの基本的な動作例を示すフローチャートである。
図４は、本発明における不正通信プログラムの監視／規制処理の概要を示すフローチャートである。
図５は、本発明に係る規制ルール及びファイルパターンの取得時の動作例を示すフローチャートである。
図６は、本発明に係る不正通信プログラム監視時の動作例を示すフローチャートである。

符号の説明

１ 構内ネットワーク
２ インターネット
３ クライアントコンピュータ
１０ 不正通信プログラム監視システム
１１ 通信モジュール
１２ フィルタリングモジュール
１３ ファイルパターンデータベース
２０ 集中管理サーバ

以下、図面に基づいてこの発明の実施の形態について詳細に説明する。本発明は、企業や公共団体、学校などに導入されているコンピュータネットワークシステムに好適に適用されるものであり、以下、クライアントサーバ型のコンピュータシステムに本発明を適用した場合を例として説明する。
図１は、本発明に係る不正通信プログラムの規制システム（以下、「不正通信規制システム」と呼ぶ）の全体構成の一例を模式図で示している。図１において、各クライアントコンピュータ３は、通常は構内ネットワーク２（以下「ＬＡＮ」とする）に接続されており、ＬＡＮ２を経由してインターネット１に接続される。ＬＡＮ２内には、各利用者端末３を管理するための集中管理サーバ２０が１台以上存在する。集中管理サーバ２０は、本発明に係る機能として、各種の不正通信プログラムを特定するためのファイルパターンの情報（以下、「ファイルパターン」と呼ぶ）の配布機能２１ａと、規制時の処理形態を含む規制ルールの設定機能２１ｂとを有している。これらの機能２１ａ，２１ｂをコンピュータに実現させるための手段は、本実施の形態ではコンピュータプログラムであり、当該プログラムを所定の管理用コンピュータにインストールして稼動させることで、ファイルパターンの配布機能２１ａ、及び規制ルールの設定機能２１ｂを有する集中管理サーバ２０として動作させるようにしている。
上記配布機能２１ａは、ファイルパターンを管理下の各クライアントコンピュータ３に構内ネットワーク１を介して配布（配信）する機能である。また、配布機能２１ａとして、規制ルールについても同様に各クライアントコンピュータ３に構内ネットワーク１を介して配布（配信）する機能を備えている。本実施の形態では、ファイルパターンは、図示されないデータセンタで一元管理されており、データセンタでは、今までのファイルパターンで検出できない新種の不正通信プログラムを発見された場合は、そのプログラムの検出が可能なパターンデータを追加登録してファイルパターンを逐次更新しておき、集中管理サーバ２０からの要求に応じて最新のファイルパターンを送信、あるいは、適時集中管理サーバ２０に適時送信するようにしている。
規制ルールの設定機能２１ａで設定される「規制ルール」は、どのような通信モジュールを規制対象若しくは非規制対象とし、どのような規制処理をするかなど、不正通信プログラムの規制に関するルールを規定したものであり、規制の有無に関する情報、規制時の処理形態などの設定情報から構成される。この規制ルールは、利用者毎、グループ毎、あるいはシステム毎に設定可能な情報であり、具体例については後述する。
なお、集中管理サーバ２０の数は任意であり、ＬＡＮ２内に存在する既存の管理用コンピュータが利用可能である。例えば、企業においては管理者のコンピュータ若しくは所定のサーバ、学校においては各教師のコンピュータ若しくは所定のサーバを集中管理サーバ２０とすることができる。
クライアントコンピュータ３（以下、「利用者端末」と呼ぶ）は、ＰＣ（Ｐｅｒｓｏｎａｌ Ｃｏｍｐｕｔｅｒ）やＷＳ（Ｗｏｒｋ Ｓｔａｔｉｏｎ）等の可搬型又は据置型の汎用コンピュータ、あるいは、携帯電話機やＰＤＡ（Ｐｅｒｓｏｎａｌ Ｄｉｇｉｔａｌ Ａｓｓｉｓｔａｎｔｓ）等の携帯型情報通信機器など、インターネット１上のウェブサイト（携帯サイトを含む）とのデータ通信が可能で且つアプリケーションの実行が可能な任意の情報処理装置である。
利用者端末３で稼動する不正通信プログラム監視システム１０は、不正通信規制システムの主要部を構成するシステムであり、本実施の形態においては、ＯＳ（オペレーティングシステム）の制御の下で動作するクライアントモジュールであり、各利用者端末３にそれぞれ搭載される。
図２は、図１中の不正通信プログラム監視システム１０の構成の一例を概略ブロック図で示しており、不正通信プログラム監視システム１０は、通信モジュール１１とフィルタリングモジュール１２とから構成される。通信モジュール１１は、Ｉｎｔｅｒｎｅｔ Ｅｘｐｌｏｒｅｒ（登録商標）等のウェブブラウザやＰ２Ｐ（ピア・ツー・ピア）プログラムなど、他のコンピュータとの通信を行う各種の通信プログラムであり、フィルタリングモジュール１２は、通信モジュール１１での通信処理を監視及び規制する機能を有するクライアントモジュールである。
フィルタリングモジュール１２は、例えば、クライアントコンピュータ３で起動された通信モジュール１１から発生する通信のイベントを監視し、他のコンピュータへの通信開始要求の発生を検知する「通信検知手段」と、通信開始要求の要求元通信モジュールのファイルパターンとファイルパターンデータベース１３に格納されているファイルパターンとを照合して上記通信モジュール１１が不正通信プログラムであるか否かを検査する「検査手段」と、検査手段が不正通信プログラムと判定した場合に、通信モジュールの通信を通信開始要求の実行前に規制する「通信規制手段」とを備えている。なお、これらの手段の名称は、フィルタリングモジュール１２が有する機能に対応させて付けた便宜上の名称であり、以下の説明では省略する。
本実施の形態では、フィルタリングモジュール１２は、コンピュータプログラムで構成されており、フィルタリングモジュール１２が有する後述の各ステップを処理するプログラムを利用者端末３にインストールして稼動させることで、不正通信プログラムの自己監視機能及び自己規制機能を有する利用者端末３としてコンピュータを動作させるようにしている。
上述のような構成において、本発明に係る不正通信規制システムの動作について、その概要を説明する。
ＬＡＮ２内の利用者端末３で稼動するフィルタリングモジュール１２は、
そして、フィルタリングモジュール１２では、集中管理サーバ２０と通信して、不正通信プログラムのファイルパターンと規制ルールとを取得する。これらを取得した時点で、不正通信プログラムの監視が始まる。監視対象の通信モジュール１１は、例えば、「違法性が高い通信を行うもの（著作権侵害の疑いがあるもの）」や「秘匿性が高い通信を行うもの」、「業務等で不要な通信を行うもの」、「悪意のある通信を行うもの」など、不正な通信を行う可能性のある通信モジュールであり、規制ルールに予め設定された通信モジュール（例えば、「Ｗｉｎｎｙ」等のＰ２Ｐプログラム）である。
フィルタリングモジュール１２による不正通信プログラムの監視が始まると、その利用者端末３が集中管理サーバ２０と通信できないネットワーク環境に持ち出されても、不正通信プログラムの監視処理および規制処理は継続される。
フィルタリングモジュール１２が稼動する利用者端末３は、ＬＡＮ２内に存在する場合、すなわちＬＡＮ２と接続されている間は、適時（本例では一定時間ごとに）、不正通信プログラムのファイルパターン（及び規制ルール）を集中管理サーバ２０から取得する。
フィルタリングモジュール１２は、利用者端末３で起動された通信モジュール１１から発生する通信のイベントを監視し、他のコンピュータとの接続要求又は他のコンピュータへのデータ送信要求の発生を検知すると共に、ファイルパターンデータベース１３を利用して、要求元の通信モジュール１１のファイルパターンと、不正通信プログラムのファイルパターンとの一致検索を行い、要求元の通信モジュール１１が不正通信プログラムであるか否かを判定する。そして、当該通信モジュール１１が不正通信プログラムであると判定した場合には、規制ルールで規定された処理形態に応じて該当の規制プロセスを発動させる。そして、例えば、通信を遮断すると共に、利用者端末の画面上に警告ウィンドウを表示したり、通知情報を送信して集中管理サーバ２０経由で管理者へ通知したりするなど、該当の規制プロセスを実行する。
集中管理サーバ２０は、フィルタリングモジュール１２から通知を受けると、例えば、通知情報（発生元の端末ＩＤ又は利用者ＩＤ、不正通信プログラムのＩＤ、通信先等の情報）を保存すると共に、管理者端末にメールを送信したり、管理者が集中管理サーバ２０にログインした時にメッセージを表示したりする。
以下、本発明に係る不正通信規制システムについて詳細に説明する。
先ず、不正通信プログラム監視システム１０の構成について説明する。
不正通信プログラム監視システムは、図２に例示したように、「通信モジュール１１」と、「フィルタリングモジュール１２」とから構成され、通信モジュール１１（各通信プログラム）のファイルパターンを記憶する手段として、集中管理サーバ２０から取得したファイルパターン（各通信プログラムのパターン情報群）を各通信プログラムのパターン情報で検索可能に格納する「ファイルパターンデータベース１３」を備えている。
フィルタリングモジュール１２は、通信モジュール１１と対になって動作するクライアントモジュールであり、ＬＳＰ（Ｌａｙｅｒｅｄ Ｓｅｒｖｉｃｅ Ｐｒｏｖｉｄｅｒｓ）の形態であるフィルタリングモジュール１２では、ＴＣＰ／ＩＰソケットインターフェース等の通信制御に係るＡＰＩ（Ａｐｐｌｉｃａｔｉｏｎ Ｐｒｏｇｒａｍ Ｉｎｔｅｒｆａｃｅ）を利用して、本発明に係る不正通信プログラムの監視処理及び規制処理を実行する。なお、ＬＳＰは、ＯＳＩ（Ｏｐｅｎ Ｓｙｓｔｅｍｓ Ｉｎｔｅｒｃｏｎｎｅｃｔｉｏｎ）の参照モデルのトランスポート層の通信データ処理において独自のアプリケーション処理を行うことが可能なシステムドライバである。
ＴＣＰ／ＩＰソケットインターフェース等のＡＰＩは、近年では汎用コンピュータに搭載される殆どのＯＳで提供され、例えばＯＳがＷｉｎｄｏｗｓ（登録商標）の場合は、「Ｗｉｎｓｏｃｋ」と呼ばれるソケットインターフェース等のＡＰＩを有する通信制御用ソフトウェアが用意されている。そして、通信が開始される前にアプリケーション独自の処理を実行できるようになっている。本実施の形態では、そのようなＡＰＩを利用して、通信を行うための準備処理の段階で通信を検知し、不正通信プログラムの監視処理や規制処理を実行する形態としている。
ここで、通信モジュール１１とフィルタリングモジュール１２の基本的な動作について、図３のフローチャートを参照して説明する。
図３は、本発明に係る不正通信プログラム監視システムの基本的な動作例を示すフローチャートであり、ブラウザ等の通信モジュールとフィルタリングモジュールとが対になって動作する態様を示したものである。図３のフローチャートに示すように、通信モジュール１１が利用者によって起動されると、ＬＳＰの形態であるフィルタリングモジュール１２がロードされる（ステップＳ１１）。
そして、通信モジュール１１が通信相手との接続を開始する段階で、フィルタリングモジュール１２が、通信モジュール１１から発生する接続要求を検知し（ステップＳ１２）、必要に応じて独自の処理を行った後（ステップＳ１３）、接続処理を実施して通信相手と接続する（ステップＳ１４、Ｓ１５）。以降は、ステップＳ１６〜ステップＳ３１に示すように、データの送信、データの受信、接続断の時点で、フィルタリングモジュール１２がそれらの要求メッセージを検知して、独自の処理（ステップＳ１９、Ｓ２５、Ｓ２９）をそれぞれ必要に応じて実施した後に、該当の処理を実行する動作形態となっている。
本発明に係るフィルタリングモジュール１２は、接続要求又は送信要求を検知した時点（通信処理を行う前の時点）で、接続要求又は送信要求（以下、「通信開始要求」と呼ぶ）の要求元の通信モジュール１１のファイルパターンとファイルパターンデータベース１３のファイルパターンとを照合して当該通信モジュール１１が不正通信プログラムであるか否かを検査すると共に、不正通信プログラムを検出した場合に前述の「規制ルール」に従って規制処理を行う方式としている。なお、本実施の形態のように、ＯＳと協働して動作する通信制御ソフトウェアの一部（例えば、ＷｉｎｓｏｃｋのＬＳＰ）として、フィルタリングモジュール１２を実装する構成とすることで、通信モジュールに依存しないフィルタリングモジュールを提供することができる。
次に、本発明における不正通信プログラムの監視／規制処理の概要を図４のフローチャートに従って説明する。
各利用者端末３の通信モジュール１１が、他のコンピュータとの接続又はデータの送信を開始しようとすると（ステップＳ１）、フィルタリングモジュール１２では、その通信モジュール１１の通信開始要求（接続要求又は送信要求）の発生を検知すると共に、その通信モジュール（通信開始要求の要求元の通信プログラム）１１のファイルパスを取得し（ステップＳ２）、その通信モジュール１１の実行ファイルのファイルパターンと、ファイルパターンデータベース１３内のファイルパターン（各通信プログラムのパターン情報）との一致検索を行う（ステップＳ３）。
そして、パターンが一致するものを検出した場合は、その通信モジュール１１が、規制対象（規制ルールに規定されている規制対象の通信プログラム）であるか否かを判定し（ステップＳ４）、規制対象であると判定した場合には、規制ルールに設定されている規制時の処理形態に応じて、他のコンピュータへの接続又はデータの送受信を規制（通信を遮断）すると共に、利用者又は管理者若しくは両者に対する警告処理（例えば画面表示による通知処理）をリアルタイムに発動させる（ステップＳ５）。
一方、ステップＳ３においてパターンが一致するものが検出されなかった場合、あるいは、ステップＳ４において規制対象でないと判定した場合には、通信開始要求を許可して他のコンピュータへの接続又はデータの送受信の処理を実行する（ステップＳ６）。以降、通信モジュール１１が稼動している間は、前記ステップＳ１〜Ｓ６の処理を繰り返す。
次に、本発明における不正通信プログラムの監視／規制処理について、具体例を示して詳細に説明する。
先ず、規制ルール及びファイルパターンの取得時の動作例を図５のフローチャートに従って説明する。
利用者端末３の電源のオン等によりＯＳ（オペレーティングシステム）が起動され、利用者がログインすると（ステップＳ４１）、フィルタリングモジュール１２がログインを検知して、集中管理サーバ２０との接続処理を実行する（ステップＳ４２）。フィルタリングモジュール１２は、集中管理サーバ２０との接続が成功したか否かを判定し（ステップＳ４３）、接続が成功した場合は、規制ルールの取得要求メッセージとして利用者情報を集中管理サーバ２０へ送信する（ステップＳ４４）。利用者情報を受信した集中管理サーバ２０は、利用者情報から規制ルールを特定し（ステップＳ４５）、現時点で最新の規制ルールを利用者端末３に送信する（ステップＳ４６）。利用者端末３のフィルタリングモジュール１２は、規制ルールを取得すると、その規制ルールをメモリ等の記憶媒体に保存する（ステップＳ４７）。続いて、ファイルパターンの取得要求メッセージを集中管理サーバ２０へ送信する（ステップＳ４８）。集中管理サーバ２０は、例えば、利用者端末３側のバージョンをチェックして最新のバージョンでない場合には、当該ファイルパターンを送信する（ステップＳ４９）。利用者端末３のフィルタリングモジュール１２は、集中管理サーバ２０から受信したファイルパターンをファイルパターンデータベース１３に保存する（ステップＳ５０、Ｓ５１）。
以降、利用者端末３のフィルタリングモジュール１２は、適時（本例では一定時間ごとに）、規制ルールの取得要求メッセージ、及びファイルパターンの取得要求メッセージを集中管理サーバ２０に送信し、最新の規制ルール、及び最新のファイルパターンを取得して保存する。なお、ステップＳ４３において、集中管理サーバ２０との接続が失敗した場合、例えば、可搬型の利用者端末３を外部に持ち出して使用しているときなど、利用者端末３がＬＡＮ２内に存在しない場合は、前回取得した規制ルール、ファイルパターンを使用する。
次に、規制ルールで設定されている内容について、具体例を示して説明する。
規制ルールは、利用者毎（又はグループ毎、又はシステム毎）に設定可能であり、例えば、管理者が管理端末（所定の通信端末）から集中管理サーバ２０にログインして、規制の有無に関する情報を規制ルールとして設定する。集中管理サーバ２０は、規制ルールの設定機能として、通信モジュール１１（各種の通信プログラム）の一覧を設定画面として管理端末（管理者用の端末）の表示部に表示し、その一覧の中から選択されたものを規制対象として設定する機能を備えている。
その場合、一覧として表示される通信モジュール１１は、好ましい実施の形態では、ファイルパターンデータベース１３にファイルパターンが登録されている通信モジュール１１であり、例えば、匿名性の高いファイル交換（共有）ソフトウェアの一種である「Ｗｉｎｎｙ」、「ＷｉｎＭＸ」、「Ｓｈａｒｅａｚａ」等のＰ２Ｐプログラムを含む不正通信プログラムの候補群である。管理者が、これらの不正通信プログラムの候補群の中から規制対象を選択して指定すると、その情報が規制ルールの要素として設定され、当該利用者（又はグループ、又はシステム）の規制ルールとして記憶される。
なお、上記のように、（ａ）ファイルパターンが登録されている通信モジュールを単位として、指定された通信モジュールを規制対象とする形態の他に、ＴＣＰ／ＩＰレベルでの通信内容を解析して次のような処理を行う形態としても良い。
（ｂ）指定されたアプリケーションのみの通信を許可する形態：
この形態の場合、例えば、利用者端末のフィルタリングモジュール１２によって、許可対象のアプリケーション以外の全てのアプリケーションの通信を遮断し、指定されたアプリケーション（例えば有名ブラウザ）のみの通信を許可させる処理形態とすることができる。
（ｃ）指定されたアプリケーションの指定されたポート番号を使用した通信のみを許可（あるいは規制）する形態：
この形態の場合、利用者端末のフィルタリングモジュール１２によって、指定されたポート番号以外のポートを用いた通信は全て遮断（あるいは許可）させる処理形態とすることができる。更に、例えばブラウザ（Ｉｎｔｅｒｎｅｔ Ｅｘｐｌｏｒｅｒ（登録商標）等）でのＨＴＴＰ（Ｈｙｐｅｒｔｅｘｔ Ｔｒａｎｓｆｅｒ Ｐｒｏｔｏｃｏｌ）／ＨＴＴＰＳ（Ｈｙｐｅｒｔｅｘｔ Ｔｒａｎｓｆｅｒ Ｐｒｏｔｏｃｏｌ Ｓｅｃｕｒｉｔｙ）だけを許可し、その他のＦＴＰ（Ｆｉｌｅ Ｔｒａｎｓｆｅｒ Ｐｒｏｔｏｃｏｌ）接続などを規制することが可能となる。
（ｄ）指定されたＴＣＰ（Ｔｒａｎｓｍｉｓｓｉｏｎ Ｃｏｎｔｒｏｌ Ｐｒｏｔｏｃｏｌ）、ＵＤＰ（Ｕｓｅｒ Ｄａｔａｇｒａｍ Ｐｒｏｔｏｃｏｌ）レベルで許可（あるいは規制）する形態：
この形態の場合、接続先を限定できるため、特定のアプリケーションを指定した上で、管理者が指定したＩＰアドレス以外への通信は遮断したりすることも可能となる。
また、規制ルールとして、「アラートの形態」を設定できるようにしても良い。アラートの形態としては、例えば、不正通信プログラムの通信を検出した場合に、（ｂ１）電子メールで管理者に通知する形態（集中管理サーバを経由して管理者にアラートメールを送信する形態）、（ｂ２）管理画面へのメッセージ表示で管理者に通知する形態（集中管理サーバのログイン後の画面に表示する形態）、（ｂ３）警告画面を表示して利用者に通知する形態（利用者端末３のディスプレイに警告ウィンドウを表示する形態）など、複数のアラート形態がある。
管理者は、不正通信プログラムによる通信が検出された場合に、誰（アクセス元の利用者のみ、利用者と管理者、管理者のみ）に対してどのような通知形態で通知するのかを、上記のような複数のアラート形態の中から１つ又は複数を選択することで指定する。
次に、本発明に係る不正通信プログラム監視時の動作例を図６のフローチャートに従って詳細に説明する。なお、ここでは、不正通信プログラムによる通信相手との接続時の動作を例として説明するが、他の通信開始要求（例えばデータ送信要求）の発生時の動作も同様となる。
利用者端末において、通信モジュール１１（本例では、不正通信プログラム）が起動された後（ステップＳ６１）、不正通信プログラムが通信を行うための準備処理を行うと（ステップＳ６２）、その不正通信プログラムによる通信が実行される前にフィルタリングモジュール１２がロードされる。なお、ここでは、不正通信プログラムに限らず、通信を行う全てのプログラムが対象であり、通信モジュール１１が起動されると、フィルタリングモジュール１２がロードされる（ステップＳ６３）。
そして、不正通信プログラムが通信相手に接続を開始しようとすると（ステップＳ６４）、フィルタリングモジュール１２は、その接続要求を検知する。なお、通信モジュール１１が１度ロードされると、その通信モジュール１１で何かイベントが発生すると、そのイベントを検知することができる（ステップＳ６５）。
通信相手への接続要求を検知したフィルタリングモジュール１２は、ロード元（接続要求元）の不正通信プログラムのファイルパスを取得し、実行ファイルを読込む（ステップＳ６６）。そして、集中管理サーバから予め取得したファイルパターンが格納されているファイルパターンデータベース１３を利用して、接続要求元の不正通信プログラムのファイルパターンと、ファイルパターンデータベース１３内に格納されている各不正通信プログラムのパターンとの一致検索を行う。なお、照合するファイルパターンは、不正通信プログラムの実行ファイルのバイナリパターンの一部又は全体のパターンであり、不正通信プログラムの種類に応じて設定されている。例えば、実行ファイル内の第１のビット列のパターンと第２のビット列のパターンとが両方一致したら、他の内容が一致しなくても不正通信プログラム（例えばＷｉｎＭＸ）と見なしたい場合には、第１及び第２のビット列以外の箇所（一致検索を行わない情報）は、わざと空にしておいて、パターンマッチングの処理を行う（ステップＳ６７）。
そして、上記ステップＳ６７の検索処理によりファイルパターンが一致するものがあるか否かを判定し（ステップＳ６８）、一致するものがあった場合は、そのファイルパターンの不正通信プログラムが、規制対象として規制ルールに設定されているか否かを判定し、規制対象であれば、規制ルールの規定に従って該当の規制処理を行う。本例では、接続要求を受付けず、通信相手との接続処理を実行しない（ステップＳ６９）。そして、その通信開始要求の処理を終了し、通信の監視処理を継続する。一方、ステップＳ６８において、ファイルパターンが一致するものが存在せず、不正通信プログラムでないと判定した場合には、その通信開始要求（本例では接続要求）を実行し（ステップＳ７０）、通信の監視処理を継続する。なお、ステップＳ６９においては、規制処理を行うと共に、規制ルールにアラートの形態が設定されているか否かを判定し、設定されている場合には、アラートの形態に応じて、利用者又は管理者若しくは両者に対する通知処理を実行する。
なお、上述した実施の形態においては、集中管理サーバを構内ネットワーク内に設けた場合を例として説明したが、インターネット上に設ける形態としても良い。また、フィルタリングモジュールは、コンピュータプログラムで構成される場合を例として説明したが、フィルタリングモジュールが有する各ステップを処理する手段の一部をハードウェアで構成する形態としても良い。

本発明は、企業や公共団体、学校などに導入されているコンピュータネットワークシステムに好適に適用することができる。また、親の目が行き届かない家庭環境にある一般家庭においても効果的に活用することができる。さらに、例えば、音楽や映画等のコンテンツを提供するウェブサイトを利用して、ユーザがコンピュータの記憶媒体にダウンロードしたコンテンツを、他のコンピュータに転送することを防止することが可能となるので、悪意のある行為や犯罪を防止するシステム、情報処理装置、又はプログラムに適用することができる。

Claims (6)

1. クライアントコンピュータを管理するための集中管理サーバを構内ネットワーク内に備えたクライアントサーバシステムにおける不正通信プログラムの規制システムであって、
   前記集中管理サーバは、各種の不正通信プログラムを特定するためのファイルパターンを管理下の各クライアントコンピュータに前記構内ネットワークを介して配信する配信手段と、各通信プログラムの規制の有無に関する情報を含む規制ルールを設定する設定手段と、を備え、
   前記クライアントコンピュータは、該コンピュータから生じる通信の監視及び規制処理をするフィルタリングモジュールを備え、
   前記フィルタリングモジュールは、前記集中管理サーバから取得した前記ファイルパターンを格納するデータベースと、前記クライアントコンピュータで起動された通信プログラムから発生する通信のイベントを監視し、他のコンピュータへのデータ送信要求の発生を検知する通信検知手段と、通信内容を解析することなく、前記データ送信要求の要求元通信プログラムのファイルパスから得た実行ファイルのファイルパターンと前記データベースのファイルパターンとを照合して前記通信プログラムが不正通信プログラムであるか否かを検査する検査手段と、前記検査手段が不正通信プログラムと判定した場合に、前記通信プログラムの通信を前記データ送信要求の実行前に規制する通信規制手段と、前記不正通信プログラムの監視が始まると、前記集中管理サーバと適時通信して最新のファイルパターンを取得し、その最新のファイルパターンを用いて前記不正通信プログラムの監視処理および規制処理を実行すると共に、前記最新のファイルパターンを取得するための前記集中管理サーバとの接続に失敗した場合は、前記集中管理サーバから前回取得したファイルパターンを用いて前記不正通信プログラムの監視処理および規制処理を継続する制御を行う手段と、を備え、
   更に、前記設定手段は、前記データベースに当該通信プログラムのファイルパターンが登録されており、ファイル交換プログラムを含む不正な通信を行う可能性のある各種の通信プログラムを前記不正通信プログラムの候補群として利用者に提示し、その候補群の中から利用者によって任意に指定された通信プログラムを規制対象として前記規制ルールに通信プログラム単位で設定する不正候補指定機能を有し、
   前記検査手段は、前記照合によりファイルパターンが一致し且つそのパターンを有する通信プログラムが前記不正候補指定機能により規制対象として前記規制ルールに設定されている場合に、前記要求元通信プログラムが不正通信プログラムであると判定することを特徴とする不正通信プログラムの規制システム。
2. 前記設定手段は、前記不正通信プログラムの候補群の一覧を設定画面として管理端末の表示部に表示し、その一覧の中から選択されたものを前記規制対象として設定することを特徴とする請求項１に記載の不正通信プログラムの規制システム。
3. 前記検査手段は、前記ファイルパターンの照合を行う際に特定のビット列のみを照合し、前記特定のビット列が一致している場合には他の部分が一致しなくても不正通信プログラムと判定する手段を有することを特徴とする請求項１に記載の不正通信プログラムの規制システム。
4. 前記不正通信プログラムの候補群のファイルパターンを一元管理するデータセンタを備え、前記配信手段は、前記データセンタから受信した前記不正通信プログラムの候補群の最新のファイルパターンを各クライアントコンピュータに適時配信する機能を有することを特徴とする請求項１に記載の不正通信プログラムの規制システム。
5. 前記集中管理サーバが保有する前記ファイルパターンは、不正通信プログラムではない通常のアプリケーションを特定するためのファイルパターン含み、前記通信規制手段は、前記設定手段によって規制無しと指定されているアプリケーションの通信のみを許可する機能を有することを特徴とする請求項１に記載の不正通信プログラムの規制システム。
6. クライアントコンピュータを管理するための集中管理サーバを構内ネットワーク内に備えたクライアントサーバシステムにおける不正通信プログラムの規制処理プログラムであって、
   前記クライアントコンピュータを、
   各種の不正通信プログラムを特定するためのファイルパターンを受信すると共にデータベースに記憶させる記憶手段と、前記クライアントコンピュータで起動された通信プログラムから発生する通信のイベントを監視し、他のコンピュータへのデータ送信要求の発生を検知する通信検知手段と、通信内容を解析することなく、前記データ送信要求の要求元通信プログラムのファイルパスから得た実行ファイルのファイルパターンと前記データベースのファイルパターンとを照合して前記通信プログラムが不正通信プログラムであるか否かを検査する検査手段と、前記通信プログラムが不正通信プログラムであると判定した場合に、前記通信プログラムの通信を前記データ送信要求の実行前に規制する通信規制手段と、前記不正通信プログラムの監視が始まると、前記集中管理サーバと適時通信して最新のファイルパターンを取得し、その最新のファイルパターンを用いて前記不正通信プログラムの監視処理および規制処理を実行すると共に、前記最新のファイルパターンを取得するための前記集中管理サーバとの接続に失敗した場合は、前記集中管理サーバから前回取得したファイルパターンを用いて前記不正通信プログラムの監視処理および規制処理を継続する制御を行う手段と、を有するフィルタリングモジュールとして機能させるとともに、
   前記クライアントコンピュータを、更に、前記集中管理サーバ側に登録された各通信プログラムの規制の有無に関する情報を含む規制ルールの設定情報を受信する手段、及び、設定手段によって規制有りと指定されている通信プログラムを対象として前記通信の規制処理を行う手段、として機能させ、
   更に、前記設定手段は、前記データベースに当該通信プログラムのファイルパターンが登録されており、ファイル交換プログラムを含む不正な通信を行う可能性のある各種の通信プログラムを前記不正通信プログラムの候補群として利用者に提示し、その候補群の中から利用者によって任意に指定された通信プログラムを規制対象として前記規制ルールに通信プログラム単位で設定する不正候補指定機能を有し、
   前記検査手段は、前記照合によりファイルパターンが一致し且つそのパターンを有する通信プログラムが前記不正候補指定機能により規制対象として前記規制ルールに設定されている場合に、前記要求元通信プログラムが不正通信プログラムであると判定することを特徴とする不正通信プログラムの規制処理プログラム。

Images