JP7102780B2 - 不正通信対処システム及び方法 - Google Patents

Description

本発明はマルウェアによって起こされる不正通信に対処する不正通信対処システム及び方法に関する。

マルウェアの中には、ユーザ端末内のプログラムに感染してそのプログラムの動作を妨げたり、ユーザの意図に反する有害な作用を及ぼすものがある。このようなマルウェアは、実行されると、インターネット内に配置されたＣ＆Ｃサーバ（コマンド＆コントロールサーバ）などの不正サーバと不正通信を行って不正サーバからインターネットを介してユーザ端末などのマルウェア感染装置を遠隔操作するボットネットを構成する。遠隔操作の指令者は指令者装置を操作してマルウェア感染装置に対して不正サーバ経由で指令を送信することが行われる。不正サーバから命令が送信されると、遠隔操作されるマルウェア感染装置はそのユーザの意図とは関係なく、他の端末やサーバを攻撃したり、個人情報を盗み出したりする。このようなマルウェアが拡散して多数の端末やコンピュータ装置が感染すると、それら多数のマルウェア感染装置は不正サーバと接続して不正通信を行うことになる。

このような不正通信に対処する方法としては、従来、特許文献１に開示されたように、インターネットに接続する複数のＬＡＮを有するネットワークにおいて各ＬＡＮに接続した端末装置へのインターネットからのアクセスは、全て不正侵入検知代理サーバを経由するようにしてネットワークへの不正侵入に対して警告と反撃を実行する技術がある。

特開２００３－１８６７６３号公報

しかしながら、かかる従来技術では、不正サーバに対して反撃を行うことで抑止力とすることを狙いとしているが、インターネットに接続されたネットワーク毎に不正侵入検知代理サーバ等の不正通信対処設備を構築する必要があり、不正通信対処設備やネットワーク構築のためにコスト高となるという問題があった。

そこで、本発明の目的は、インターネットに接続されたネットワーク毎に不正通信対処設備を構築することなくマルウェアによって起こされる不正通信に迅速に対処することができる不正通信対処システム及び方法を提供することである。

本発明の不正通信対処システムは、インターネットを介して転送されるファイルを取り込むファイル取込手段と、前記ファイル取込手段によって取り込まれた前記ファイルを仮想環境下で実行し、当該実行内容に基づいて前記ファイルがマルウェアであるか否かを判定するマルウェア判定手段と、前記マルウェア判定手段によって前記ファイルがマルウェアであると判定されたとき前記ファイルの前記仮想環境下での前記実行内容から不正サーバのアドレスを検出するサーバアドレス検出手段と、対抗措置手段とを備え、前記対抗措置手段は、マルウェアによる不正通信挙動に対応して、前記不正サーバのアドレス宛に特定のパケットを連続して発信する輻輳トラフィック発信機能部を動作させ、前記対抗措置手段は、前記マルウェアによる前記不正通信挙動をログとして蓄積する通信挙動ＤＢ（データベース）装置を備え、前記通信挙動ＤＢ装置は、前記マルウェア判定手段によって前記ファイルがマルウェアであると判定されたとき当該マルウェアによる前記不正通信挙動が新手法であるか否かを判定し、前記新手法である場合に前記新手法の前記ログを蓄積することを特徴としている。
本発明の不正通信対処システムは、インターネットを介して転送されるファイルを取り込むファイル取込手段と、前記ファイル取込手段によって取り込まれた前記ファイルを仮想環境下で実行し、当該実行内容に基づいて前記ファイルがマルウェアであるか否かを判定するマルウェア判定手段と、前記マルウェア判定手段によって前記ファイルがマルウェアであると判定されたとき前記ファイルの前記仮想環境下での前記実行内容から不正サーバのアドレスを検出するサーバアドレス検出手段と、対抗措置手段とを備え、前記対抗措置手段は、マルウェアによる不正通信挙動に対応して、前記不正サーバのソフトウェアの脆弱性に対応したコードを含んだパケットを前記不正サーバのアドレス宛に発信する脆弱性コード発信機能部を動作させ、前記対抗措置手段は、前記マルウェアによる前記不正通信挙動をログとして蓄積する通信挙動ＤＢ（データベース）装置を備え、前記通信挙動ＤＢ装置は、前記マルウェア判定手段によって前記ファイルがマルウェアであると判定されたとき当該マルウェアによる前記不正通信挙動が新手法であるか否かを判定し、前記新手法である場合に前記新手法の前記ログを蓄積することを特徴としている。
本発明の不正通信対処システムは、インターネットを介して転送されるファイルを取り込むファイル取込手段と、前記ファイル取込手段によって取り込まれた前記ファイルを仮想環境下で実行し、当該実行内容に基づいて前記ファイルがマルウェアであるか否かを判定するマルウェア判定手段と、前記マルウェア判定手段によって前記ファイルがマルウェアであると判定されたとき前記ファイルの前記仮想環境下での前記実行内容から不正サーバのアドレスを検出するサーバアドレス検出手段と、対抗措置手段とを備え、前記対抗措置手段は、マルウェアによる不正通信挙動に対応して、ＲＡＴ（Remote Access Tool）型のプログラムを含むパケットを前記不正サーバのアドレス宛に発信するＲＡＴ型プログラム発信機能部を動作させ、前記対抗措置手段は、前記マルウェアによる前記不正通信挙動をログとして蓄積する通信挙動ＤＢ（データベース）装置を備え、前記通信挙動ＤＢ装置は、前記マルウェア判定手段によって前記ファイルがマルウェアであると判定されたとき当該マルウェアによる前記不正通信挙動が新手法であるか否かを判定し、前記新手法である場合に前記新手法の前記ログを蓄積することを特徴としている。

本発明の不正通信対処方法は、不正通信対処システムにおける不正通信対処方法であって、前記不正通信対処システムは、ファイル取込手段と、マルウェア判定手段と、サーバアドレス検出手段と、対抗措置手段とを備え、前記対抗措置手段は、通信挙動ＤＢ（データベース）装置を備え、前記ファイル取込手段は、インターネットを介して転送されるファイルを取り込むステップを有し、前記マルウェア判定手段は、前記ファイル取込手段によって取り込まれた前記ファイルを仮想環境下で実行し、当該実行内容に基づいて前記ファイルがマルウェアであるか否かを判定するステップを有し、前記サーバアドレス検出手段は、前記マルウェア判定手段によって前記ファイルがマルウェアであると判定されたとき前記ファイルの前記仮想環境下での前記実行内容から不正サーバのアドレスを検出するステップを有し、前記対抗措置手段は、マルウェアによる不正通信挙動に対応して、前記不正サーバのアドレス宛に特定のパケットを連続して発信する輻輳トラフィック発信機能ステップを動作させ、前記対抗措置手段は、前記通信挙動ＤＢ装置に、前記マルウェアによる前記不正通信挙動をログとして蓄積する第１の蓄積ステップを有し、前記通信挙動ＤＢ装置は、前記マルウェア判定手段によって前記ファイルがマルウェアであると判定されたとき当該マルウェアによる前記不正通信挙動が新手法であるか否かを判定し、前記新手法である場合に前記新手法の前記ログを蓄積する第２の蓄積ステップを有することを特徴としている。
本発明の不正通信対処方法は、不正通信対処システムにおける不正通信対処方法であって、前記不正通信対処システムは、ファイル取込手段と、マルウェア判定手段と、サーバアドレス検出手段と、対抗措置手段とを備え、前記対抗措置手段は、通信挙動ＤＢ（データベース）装置を備え、前記ファイル取込手段は、インターネットを介して転送されるファイルを取り込むステップを有し、前記マルウェア判定手段は、前記ファイル取込手段によって取り込まれた前記ファイルを仮想環境下で実行し、当該実行内容に基づいて前記ファイルがマルウェアであるか否かを判定するステップを有し、前記サーバアドレス検出手段は、前記マルウェア判定手段によって前記ファイルがマルウェアであると判定されたとき前記ファイルの前記仮想環境下での前記実行内容から不正サーバのアドレスを検出するステップを有し、前記対抗措置手段は、マルウェアによる不正通信挙動に対応して、前記不正サーバのソフトウェアの脆弱性に対応したコードを含んだパケットを前記不正サーバのアドレス宛に発信する脆弱性コード発信機能ステップを動作させ、前記対抗措置手段は、前記通信挙動ＤＢ装置に、前記マルウェアによる前記不正通信挙動をログとして蓄積する第１の蓄積ステップを有し、前記通信挙動ＤＢ装置は、前記マルウェア判定手段によって前記ファイルがマルウェアであると判定されたとき当該マルウェアによる前記不正通信挙動が新手法であるか否かを判定し、前記新手法である場合に前記新手法の前記ログを蓄積する第２の蓄積ステップを有することを特徴としている。
本発明の不正通信対処方法は、不正通信対処システムにおける不正通信対処方法であって、前記不正通信対処システムは、ファイル取込手段と、マルウェア判定手段と、サーバアドレス検出手段と、対抗措置手段とを備え、前記対抗措置手段は、通信挙動ＤＢ（データベース）装置を備え、前記ファイル取込手段は、インターネットを介して転送されるファイルを取り込むステップを有し、前記マルウェア判定手段は、前記ファイル取込手段によって取り込まれた前記ファイルを仮想環境下で実行し、当該実行内容に基づいて前記ファイルがマルウェアであるか否かを判定するステップを有し、前記サーバアドレス検出手段は、前記マルウェア判定手段によって前記ファイルがマルウェアであると判定されたとき前記ファイルの前記仮想環境下での前記実行内容から不正サーバのアドレスを検出するステップを有し、前記対抗措置手段は、マルウェアによる不正通信挙動に対応して、ＲＡＴ（Remote Access Tool）型のプログラムを含むパケットを前記不正サーバのアドレス宛に発信するＲＡＴ型プログラム発信機能ステップを動作させ、前記対抗措置手段は、前記通信挙動ＤＢ装置に、前記マルウェアによる前記不正通信挙動をログとして蓄積する第１の蓄積ステップを有し、前記通信挙動ＤＢ装置は、前記マルウェア判定手段によって前記ファイルがマルウェアであると判定されたとき当該マルウェアによる前記不正通信挙動が新手法であるか否かを判定し、前記新手法である場合に前記新手法の前記ログを蓄積する第２の蓄積ステップを有することを特徴としている。

本発明の不正通信対処システム及び方法によれば、マルウェアによって起こされる不正通信を検出して不正通信を行う不正サーバに向けてマルウェアによる不正通信挙動の手法に応じた対抗措置を生成するパケットを送信するので、不正通信を確実に停止或いは遮断させることができる。よって、不正通信に迅速に対処することができる。また、本発明の不正通信対処システムや方法を用いた装置をインターネット上に配置させることができるので、ネットワーク毎に不正通信対処設備を特に構築する必要がない。

本発明による不正通信対処システムの構成を示す図である。 図１のシステム中の各装置の具体的構成を示すブロック図である。 図１のシステム中の対抗措置装置が有する機能部を示すブロック図である。 図１のシステムの通信監視動作を示すフローチャートである。 図１のシステムの不正通信対処動作を示すフローチャートである。

以下、本発明の実施例を、図面を参照しつつ詳細に説明する。

図１は本発明による不正通信対処システムの構成を示している。このシステムでは、ＩＸ(Internet eXchange)１１、ＡＳＰ(Application Service Provider)１２、及びＩＳＰ(Internet Service Provider)１３、１４、１５がインターネット１０に接続されている。なお、ＩＸ１１、ＡＳＰ１２、及びＩＳＰ１３、１４、１５各々は本実施例では装置として示している。

ＩＳＰ１３、１４、１５にはユーザネットワーク１６、１７、１８が各々接続されている。ＩＳＰ１３、１４、１５はインターネット１０と、ローカルネットワークであるユーザネットワーク１６、１７、１８との間の通信を各々中継する中継装置である。ユーザネットワーク１６、１７、１８各々には各種のユーザ端末が接続されている。

ＩＸ１１はサンドボックス装置１０１、不正サーバリストＤＢ（データベース）装置１０２、及び不正サーバ検知装置１０３を含んでいる。サンドボックス装置１０１、不正サーバリストＤＢ装置１０２、及び不正サーバ検知装置１０３はインターネット１０に接続されている。

サンドボックス装置１０１はファイル取込手段、マルウェア判定手段、及びサーバアドレス検出手段を構成し、不正サーバ検知装置１０３は不正サーバ通信検出手段及び通信相手アドレス検出手段を構成する。

サンドボックス装置１０１は、インターネット１０をパケットの形式で転送されるプログラム等のファイルを取り込み、そのファイルを仮想環境下で実行し、実行中の通信挙動からファイルがマルウェアか否かを判定する。仮想環境はサンドボックス装置１０１内に形成され、マルウェアであるファイルを実行しても装置外のインターネットに何ら影響を与えない隔離された領域である。また、サンドボックス装置１０１は、ファイルがマルウェアであると判断した場合には送信先の不正サーバのＩＰアドレスを取得し、取得したＩＰアドレスを不正サーバリストＤＢ装置１０２に供給する。

不正サーバリストＤＢ装置１０２は、サンドボックス装置１０１から供給された不正サーバのＩＰアドレスを蓄積する。不正サーバ検知装置１０３は、インターネット１０からユーザネットワーク１６、１７、１８に至るラインの通信を監視してそれらのユーザネットワークを介した不正サーバの通信を検出する。

ＡＳＰ１２は、不正通信ユーザ通知装置１０４、ユーザ課金装置１０５、オーダ受付装置１０６、対抗措置装置１０７、及び通信挙動ＤＢ装置１０８を含んでいる。それらの装置１０５～１０８の各々はインターネット１０に接続されている。

不正通信ユーザ通知装置１０４はネットワーク特定手段及び不正通信通知手段を構成し、ユーザ課金装置１０５は課金手段を構成する。オーダ受付装置１０６はオーダ受信手段を構成し、対抗措置装置１０７は対抗措置手段を構成する。

不正通信ユーザ通知装置１０４は、ユーザネットワークの管理者に対して、不正通信の検知をメールで通知する。オーダ受付装置１０６はユーザネットワークの管理者からの不正通信に対する対抗措置オーダをメール又は特定のＷｅｂページで受け付ける。対抗措置装置１０７は、オーダ受付装置１０６がオーダ受付を行うと、対抗措置対象の不正サーバとユーザネットワークの端末との各々に対してリセットコマンドであるＲＳＴパケットを発信して通信を遮断し、更に、対抗措置対象の不正サーバに対しては対抗措置を生成するパケットを送信する。ユーザ課金装置１０５は対抗措置オーダを発信した管理者に対して課金を行う。また、通信挙動ＤＢ装置１０８はマルウェアによる不正通信挙動をログとして蓄積する。

サンドボックス装置１０１、不正サーバ検知装置１０３、不正通信ユーザ通知装置１０４、ユーザ課金装置１０５、オーダ受付装置１０６、対抗措置装置１０７、及び通信挙動ＤＢ装置１０８の各々は、例えば、図２に示すように、ＣＰＵ(Central Processing Unit)２０１、メモリ２０２、補助記憶部２０３、表示部２０４、通信ＩＦ部２０５、及び入力部２０６が共通の内部バス２０７に接続されたコンピュータ装置２００からなる。通信ＩＦ部２０５は上記したインターネット１０等のネットワーク回線に接続される。ＣＰＵ２０１がメモリ２０２又は補助記憶部２０３に記憶されたプログラムを実行することにより、各装置の動作を実行する。また、ユーザは入力部２０６より入力操作を行ってＣＰＵ２０１に対して指令し、また、ＣＰＵ２０１は表示部２０４に動作結果等の情報を表示させる。このような構成により、サンドボックス装置１０１、不正サーバリストＤＢ装置１０２、不正サーバ検知装置１０３、不正通信ユーザ通知装置１０４、ユーザ課金装置１０５、オーダ受付装置１０６、対抗措置装置１０７、及び通信挙動ＤＢ装置１０８の各々は、以下に示す動作を行い、また、それら装置間において通信可能にされている。

対抗措置装置１０７は、機能的には図３に示すように、送信元アドレス選択機能部２１１、ＲＳＴパケット発信機能部２１２、輻輳トラフィック発信機能部２１３、脆弱性コード発信機能部２１４、及びＲＡＴ型プログラム発信機能部２１５を備えている。

送信元アドレス選択機能部２１１は対抗措置装置１０７が送信するパケットの送信元ＩＰアドレスを予め定められた複数のＩＰアドレスの中からランダムに選択する。ＲＳＴパケット発信機能部２１２はＲＳＴパケットを対抗措置対象の不正サーバとユーザネットワークの端末との各々に対してＲＳＴパケットを発信する。輻輳トラフィック発信機能部２１３は、ＴＣＰのＳＹＮパケットやＩＣＭＰパケットを不正サーバ又は不正サーバが存在するネットワークのアドレス宛に連続して発信する。脆弱性コード発信機能部２１４はサーバのＯＳ等のソフトウェアの脆弱性に対応したコードを含んだパケットを不正サーバに対して発信する。ＲＡＴ型プログラム発信機能部２１５はＲＡＴ（Remote Access Tool）型のプログラムを含むパケットを不正サーバに向けて発信する。

対抗措置装置１０７は、不正サーバに対して対抗措置を実行する際には使用されたマルウェアの手法に対応して輻輳トラフィック発信機能部２１３、脆弱性コード発信機能部２１４、及びＲＡＴ型プログラム発信機能部２１５のうちの少なくとも１つを動作させる。輻輳トラフィック発信機能部２１３、脆弱性コード発信機能部２１４、及びＲＡＴ型プログラム発信機能部２１５各々の発信パケットの送信元アドレスには送信元アドレス選択機能部２１１によってランダムに選択されたＩＰアドレスが用いられる。

次に、かかる不正通信対処システムの通信監視動作の流れについて図４のフローチャートを用いて説明する。

先ず、サンドボックス装置１０１がＩＸ１１に転送されるファイルを受信する（ステップＳ１００）。これはファイル取込ステップであり、例えば、メールの添付ファイルやＷＥＢデータに含まれているスクリプトファイルである。サンドボックス装置１０１は、このようなファイルを受信すると、予め定められた仮想環境下でその受信ファイルを実行し（ステップＳ１０１）、実行内容である実行中の挙動を分析してファイルがマルウェアか否かを判定する（ステップＳ１０２）。ステップＳ１０１及びＳ１０２はマルウェア判定ステップである。挙動としては不正サーバとの不正通信挙動が挙げられ、スパムメールやＤＤｏｓ攻撃の発生源となるような遠隔操作のコマンド及び制御を不正サーバから受ける通信である。マルウェアと判定した場合には、サンドボックス装置１０１は、そのマルウェアによる不正通信挙動をログとして記録し、その不正通信挙動ログを通信挙動ＤＢ装置１０８に通知する（ステップＳ１０３）。

通信挙動ＤＢ装置１０８は、通知された不正通信挙動ログを内部メモリ（図示せず）に蓄積し（ステップＳ２０１）、今回通知された不正通信挙動ログが表すマルウェアの種類を分類する（ステップＳ２０２）。内部メモリには過去の不正通信挙動ログが記録されており、過去の不正通信挙動ログに基づいて今回通知された不正通信挙動ログが表すマルウェアの種類を判断することができる。例えば、過去の不正通信挙動ログ各々と今回通知された不正通信挙動ログとを比較し、その類似度が最も高いいずれか１つの過去の不正通信挙動ログを検出し、その過去の不正通信挙動ログが表すマルウェアの種類を今回通知された不正通信挙動ログが表すマルウェアの種類とすることができる。一方、過去の不正通信挙動ログ各々と今回通知された不正通信挙動ログと類似度がいずも既定値以下であるならば、今回通知された不正通信挙動ログが表すマルウェアの種類は新手法として分類される（ステップＳ２０３）。新手法であるならば、今回通知された不正通信挙動ログを対抗措置装置１０７に通知する（ステップＳ２０４）。

対抗措置装置１０７は、通知された新手法の不正通信挙動ログを内部メモリ（図示せず）に蓄積し（ステップＳ３０１）、その不正通信挙動ログ、すなわち新手法に対応して機能部２１３～２１５の動作設定を行う（ステップＳ３０２）。これにより新手法のマルウェアに対抗措置の動作が決定される。よって、このような通信監視動作によって対抗措置装置１０７ではマルウェアの種類毎に適した対抗措置動作が設定されることになる。

更に、かかる不正通信対処システムの不正通信対処動作の流れについて図５のフローチャートを用いて説明する。

先ず、サンドボックス装置１０１はＩＸ１１に転送されるファイルを受信すると（ステップＳ４００）、予め定められた仮想環境下でその受信ファイルを実行し（ステップＳ４０１）、実行内容である実行中の挙動を分析してファイルがマルウェアか否かを判定する（ステップＳ４０２）。ステップＳ４００～Ｓ４０２は上述の通信監視動作のステップＳ１００～Ｓ１０２と同一である。ステップＳ４０１及びＳ４０２はマルウェア判定ステップである。マルウェアと判定した場合には、サンドボックス装置１０１は、仮想環境下における不正サーバとの通信挙動から不正サーバのＩＰアドレスを取得し（ステップＳ４０３）、取得したＩＰアドレスを不正サーバリストＤＢ装置１０２に供給する（ステップＳ４０４）。サーバアドレス検出ステップであるステップＳ４０３では例えば、遠隔操作を行う不正サーバとの通信際においてマルウェアの実行マシンの送信パケットの送信先となるＩＰアドレスが不正サーバのＩＰアドレスとして検出される。ステップＳ４０４により不正サーバリストＤＢ装置１０２には不正サーバのＩＰアドレスが蓄積される。

不正サーバ検知装置１０３は、例えば、予め定められた周期で又はサンドボックス装置１０１からの指令を受けて、不正サーバリストＤＢ装置１０２にアクセスして不正サーバリストＤＢ装置１０２から不正サーバのＩＰアドレスを取り出す（ステップＳ５０１）。その取り出したＩＰアドレスを用いた通信を監視する（ステップＳ５０２）。不正サーバ検知装置１０３はインターネット１０の本体とＩＳＰ１３、１４、１５との間の通信回線に接続されているので、監視はこの通信回線を転送されるパケットを受信することになり、その受信パケットに含まれる送信先のＩＰアドレスをステップＳ２０１で取り出したＩＰアドレスと比較することにより行われる。監視の結果、不正サーバの通信を検出すると（ステップＳ５０３）、当該受信パケットに含まれる送信元のＩＰアドレス（不正サーバの通信相手のＩＰアドレス）を不正通信ユーザ通知装置１０４に送出する（ステップＳ５０４）。ステップＳ５０１～Ｓ５０４はサーバ通信検出ステップである。

不正通信ユーザ通知装置１０４は、不正サーバ検知装置１０３から送信元のＩＰアドレスを受信すると、送信元のＩＰアドレスに応じてユーザネットワークを特定する（ステップＳ６０１）。不正通信ユーザ通知装置１０４は、例えば、予めＩＰアドレスとユーザネットワークとの関係をデータテーブルとして保有しており、ＩＰアドレスが分かればデータテーブルを用いてどこのユーザネットワークに割当たられたアドレスであるかを特定することができる。また、不正通信ユーザ通知装置１０４は、各ユーザネットワークの管理者のメールアドレスをデータとして保有しているので、特定されたユーザネットワークの管理者宛にメールで不正通信の検知を通知する（ステップＳ６０２）。当該メールには、例えば、管理者の管理下のユーザネットワークを介した不正通信を検知したこと、その不正通信を遮断し、かつ対抗措置を施す有料サービスを提供していること、及びその有料サービスのオーダ、すなわち対抗措置オーダをメール又は特定のＷｅｂページで受け付けることが記載されている。

オーダ受付装置１０６は、例えば、予め定められた周期で又はサンドボックス装置１０１からの指令を受けて、不正サーバリストＤＢ装置１０２にアクセスして不正サーバリストＤＢ装置１０２から不正サーバのＩＰアドレスを取り出す（ステップＳ７０１）。そして、管理者から対抗措置オーダを受信するまで待機する（ステップＳ７０２）。

オーダ受付装置１０６は、対抗措置オーダを受信すると（ステップＳ７０３）、対抗措置装置１０７に対して、取り出したＩＰアドレスが割り当てられた不正サーバへの対抗措置を指令する（ステップＳ７０４）。

対抗措置装置１０７は、対抗措置指令を受信すると、不正サーバリストＤＢ装置１０２にアクセスして不正サーバリストＤＢ装置１０２から該当する不正サーバのＩＰアドレスを取り出す（ステップＳ８０１）。また、該当不正サーバと不正通信中の送信元のＩＰアドレス、すなわち対抗措置オーダを発した管理者のネットワークに接続されたユーザ端末のＩＰアドレスを得る（ステップＳ８０２）。これは対抗措置装置１０７が、不正サーバ検知装置１０３又は不正通信ユーザ通知装置１０４と通信して得ることができる。また、対抗措置オーダを受けた不正通信の不正サーバ及びユーザ端末各々のＩＰアドレス等の不正通信情報をＡＳＰ１２内の図示しない記憶装置で共有し、その記憶装置にＡＳＰ１２内の装置１０４～１０８が適宜アクセスして不正通信情報を読み出すことができるようにしても良い。

対抗措置装置１０７は、不正通信の不正サーバ及びユーザ端末各々のＩＰアドレスを得ると、ＲＳＴパケット発信機能部２１２を使用してそれらのＩＰアドレスを送信先アドレスとしたＲＳＴパケットをインターネット１０に各々送出する（ステップＳ８０３）。一方のＲＳＴパケットは不正通信中のユーザ端末に転送され、他方のＲＳＴパケットは不正通信中の不正サーバに転送される。これにより、不正サーバとユーザ端末との間の不正通信が強制的に遮断される。

また、対抗措置装置１０７は、送信元アドレス選択機能部２１１を使用して送信元アドレスを複数のＩＰアドレスの中からランダムに選択して設定する（ステップＳ８０４）。そして、設定した送信元アドレスを用いて輻輳トラフィック発信機能部２１３、脆弱性コード発信機能部２１４、及びＲＡＴ型プログラム発信機能部２１５のうちの少なくとも１を動作させることにより対抗措置を行う（ステップＳ８０５）。機能部２１３～２１５のうちのいずれの機能部を動作させるかについては不正通信挙動ログに記録された手法の種類（「ウィルス」、「ワーム」、「トロイの木馬」等）に対応して予め設定することができる。

よって、輻輳トラフィック発信機能部２１３が動作すると、ＴＣＰのＳＹＮパケットやＩＣＭＰパケットなどの特定のパケットが不正サーバ又は不正サーバの存在するネットワークに対して連続して発信され、不正サーバが存在するネットワークの回線や不正サーバのプロセッサ（図示せず）の処理の負荷を上昇させて不正通信を抑制することが行われる。脆弱性コード発信機能部２１４が動作すると、サーバのＯＳ等のソフトウェアの脆弱性に対応したコードを含んだパケットが不正サーバに向けて発信され、それにより不正サーバをハングアップさせて不正サーバの処理を停止させることが行われる。ＲＡＴ型プログラム発信機能部２１５が動作するならば、ＲＡＴ型のプログラムを含むパケットが不正サーバに向けて発信され、それによりＲＡＴ型のプログラムが不正サーバに入り込むとプロセスとして常駐する。常駐した場合には遠隔操作で不正サーバの処理やログの監視を行い、不正サーバの管理者や操作者を特定したり、不正通信の処理を停止させることが行われる。各機能部２１３～２１５はマルウェアの種類毎に不正通信が停止或いは遮断されるように動作する。

ユーザ課金装置１０５は、例えば、オーダ受付装置１０６からは対抗措置オーダの受信があったことが通知される。また、対抗措置装置１０７が対抗措置の処理後、対抗措置装置１０７からは対抗措置終了通知を受ける。対抗措置終了通知に応答してユーザ課金装置１０５は、対抗措置オーダを発した管理者に対して課金処理を実行する（ステップＳ９０１）。課金処理は例えば、予め登録された管理者のクレジットカード口座からの自動引き落とし、或いは管理者のメールアドレスに銀行口座振込依頼を記したメールを送信することにより行われる。

図１に示したように、ユーザ端末１０９はユーザネットワーク１７に接続された端末であり、マルウェア１１０に感染されている。不正サーバ２１は例えば、海外のネットワーク２０に配置され、そのネットワーク２０を介してインターネット１０に接続されている。また、不正サーバ２１はユーザ端末１０９に侵入したマルウェア１１０の実行によりユーザ端末１０９との間で不正通信を実行するサーバである。

ユーザ端末１０９がマルウェア１１０の実行を開始すると、不正サーバ２１との間でＴＣＰコネクションが確立する。ＴＣＰコネクションが確立すると、ユーザ端末１０９と不正サーバ２１との間でＨＴＴＰデータ＋ＡＣＫを含むパケットが交互に転送され、これにより図１に示した不正通信１１１が実行される。

この不正通信１１１の実行中に、上記した不正通信対処システムの動作が開始されると、ＲＳＴパケット（図１の１１２、１１３）がユーザ端末１０９及び不正サーバ２１の各々に送信される。ユーザ端末１０９及び不正サーバ２１の各々はＲＳＴパケット１１２、１１３を受信すると、ユーザ端末１０９と不正サーバ２１との間の通信を終了してＴＣＰコネクションを強制的に切断する。また、対抗措置装置１０７から不正サーバ２１に向けて図１の経路１１３で対抗措置を生成するパケットが送り込まれ、そのパケットにより不正サーバ２１に対して反撃を実行し、不正サーバ２１によるユーザ端末１０９への攻撃の停止が可能となる。

このように、本発明による不正通信対処システムはインターネットに配置されたＩＸ及びＡＳＰに構築されており、ユーザネットワーク内に不正通信対処設備を配置する必要はなく、更に、ユーザネットワークを接続するＩＳＰに依存せず、ＡＳＰのサービスとして、不正通信の検知、遮断、そして不正サーバへの対抗措置が可能となる。また、上述したように各ユーザネットワーク内に不正通信対処設備を配置する必要がないので、不正通信対処システムの構築コストを低減することができる。

更に、ＡＳＰの有料サービスとして対抗措置を行い、その対抗措置では送信元ＩＰアドレスをランダムに設定するので、不正サーバからのＡＳＰへの再攻撃を回避させることができる。

また、不正サーバが海外のネットワークに存在する場合でも不正通信の検知、遮断、そして不正サーバへの対抗措置が可能となる。

なお、上記した実施例においては、インターネット１０に接続されたサンドボックス装置１０１、不正サーバ検知装置１０３、不正通信ユーザ通知装置１０４、ユーザ課金装置１０５、オーダ受付装置１０６、対抗措置装置１０７、及び通信挙動ＤＢ装置１０８によって分散動作が行われているが、これに限らず、適宜の数の装置に分散することができる。また、インターネット１０に接続された、図２に示した如き構成を有する単一のネットワーク監視装置によって全ての動作が実行されても良い。

１０ インターネット
１１ ＩＸ
１２ ＡＳＰ
１３、１４、１５ ＩＳＰ
２０ 海外ネットワーク
２１ 不正サーバ
１０１ サンドボックス装置
１０２ 不正サーバリストＤＢ装置
１０３ 不正サーバ検知装置
１０４ 不正通信ユーザ通知装置
１０５ ユーザ課金装置
１０６ オーダ受付装置
１０７ 対抗措置装置
１０８ 通信挙動ＤＢ装置
１０９ ユーザ端末
１１０ マルウェア

Claims (13)

1. インターネットを介して転送されるファイルを取り込むファイル取込手段と、
   前記ファイル取込手段によって取り込まれた前記ファイルを仮想環境下で実行し、当該実行内容に基づいて前記ファイルがマルウェアであるか否かを判定するマルウェア判定手段と、
   前記マルウェア判定手段によって前記ファイルがマルウェアであると判定されたとき前記ファイルの前記仮想環境下での前記実行内容から不正サーバのアドレスを検出するサーバアドレス検出手段と、
   対抗措置手段とを備え、
   前記対抗措置手段は、マルウェアによる不正通信挙動に対応して、前記不正サーバのアドレス宛に特定のパケットを連続して発信する輻輳トラフィック発信機能部を動作させ、
   前記対抗措置手段は、前記マルウェアによる前記不正通信挙動をログとして蓄積する通信挙動ＤＢ（データベース）装置を備え、
   前記通信挙動ＤＢ装置は、前記マルウェア判定手段によって前記ファイルがマルウェアであると判定されたとき当該マルウェアによる前記不正通信挙動が新手法であるか否かを判定し、前記新手法である場合に前記新手法の前記ログを蓄積することを特徴とする不正通信対処システム。
2. インターネットを介して転送されるファイルを取り込むファイル取込手段と、
   前記ファイル取込手段によって取り込まれた前記ファイルを仮想環境下で実行し、当該実行内容に基づいて前記ファイルがマルウェアであるか否かを判定するマルウェア判定手段と、
   前記マルウェア判定手段によって前記ファイルがマルウェアであると判定されたとき前記ファイルの前記仮想環境下での前記実行内容から不正サーバのアドレスを検出するサーバアドレス検出手段と、
   対抗措置手段とを備え、
   前記対抗措置手段は、マルウェアによる不正通信挙動に対応して、前記不正サーバのソフトウェアの脆弱性に対応したコードを含んだパケットを前記不正サーバのアドレス宛に発信する脆弱性コード発信機能部を動作させ、
   前記対抗措置手段は、前記マルウェアによる前記不正通信挙動をログとして蓄積する通信挙動ＤＢ（データベース）装置を備え、
   前記通信挙動ＤＢ装置は、前記マルウェア判定手段によって前記ファイルがマルウェアであると判定されたとき当該マルウェアによる前記不正通信挙動が新手法であるか否かを判定し、前記新手法である場合に前記新手法の前記ログを蓄積することを特徴とする不正通信対処システム。
3. インターネットを介して転送されるファイルを取り込むファイル取込手段と、
   前記ファイル取込手段によって取り込まれた前記ファイルを仮想環境下で実行し、当該実行内容に基づいて前記ファイルがマルウェアであるか否かを判定するマルウェア判定手段と、
   前記マルウェア判定手段によって前記ファイルがマルウェアであると判定されたとき前記ファイルの前記仮想環境下での前記実行内容から不正サーバのアドレスを検出するサーバアドレス検出手段と、
   対抗措置手段とを備え、
   前記対抗措置手段は、マルウェアによる不正通信挙動に対応して、ＲＡＴ（Remote Access Tool）型のプログラムを含むパケットを前記不正サーバのアドレス宛に発信するＲＡＴ型プログラム発信機能部を動作させ、
   前記対抗措置手段は、前記マルウェアによる前記不正通信挙動をログとして蓄積する通信挙動ＤＢ（データベース）装置を備え、
   前記通信挙動ＤＢ装置は、前記マルウェア判定手段によって前記ファイルがマルウェアであると判定されたとき当該マルウェアによる前記不正通信挙動が新手法であるか否かを判定し、前記新手法である場合に前記新手法の前記ログを蓄積することを特徴とする不正通信対処システム。
4. 前記不正サーバのアドレスに基づいて前記インターネットを介した前記不正サーバとの通信を検出する不正サーバ通信検出手段と、
   前記不正サーバ通信検出手段によって前記不正サーバとの通信が検出されたとき前記不正サーバの通信相手のアドレスを検出する通信相手アドレス検出手段と、
   前記不正サーバの通信相手のアドレスが割り当てられたローカルネットワークを特定するネットワーク特定手段と、
   前記ローカルネットワークの管理者宛に不正通信の検知を前記インターネットを介して通知する不正通信通知手段と、
   前記不正通信の検知通知に対する対抗措置オーダを前記インターネットを介して受信するオーダ受信手段と、を含み、
   前記ローカルネットワークは、前記インターネットに中継装置を介して接続されており、
   前記対抗措置手段は、前記対抗措置オーダを受信すると、前記パケットの他に前記不正サーバのアドレス及び前記通信相手のアドレスの各々に向けて通信強制終了コマンドを含むパケットを前記インターネットに送出することを特徴とする請求項１乃至３のいずれか１記載の不正通信対処システム。
5. 前記対抗措置手段による前記通信強制終了コマンドを含むパケット及び前記パケットの送出後、前記管理者に対する課金処理を行う課金手段を含むことを特徴とする請求項４記載の不正通信対処システム。
6. 前記ローカルネットワークはインターネットプロバイダ管理下のネットワークであり、
   前記中継装置はインターネットサービスプロバイダ装置であることを特徴とする請求項４記載の不正通信対処システム。
7. 前記輻輳トラフィック発信機能部の動作は前記通信挙動ＤＢ装置に蓄積された前記ログに基づいて設定されることを特徴とする請求項１記載の不正通信対処システム。
8. 前記脆弱性コード発信機能部の動作は前記通信挙動ＤＢ装置に蓄積された前記ログに基づいて設定されることを特徴とする請求項２記載の不正通信対処システム。
9. 前記ＲＡＴ型プログラム発信機能部の動作は前記通信挙動ＤＢ装置に蓄積された前記ログに基づいて設定されることを特徴とする請求項３記載の不正通信対処システム。
10. 前記ネットワーク特定手段及び前記不正通信通知手段は不正通信ユーザ通知装置によって構成され、前記オーダ受信手段はオーダ受付装置によって構成され、前記対抗措置手段は対抗措置装置によって構成され、前記課金手段はユーザ課金装置によって構成され、
    前記不正通信ユーザ通知装置、前記オーダ受付装置、前記対抗措置装置、及び前記ユーザ課金装置はＡＳＰ（アプリケーションサービスプロバイダ）に含まれることを特徴とする請求項５記載の不正通信対処システム。
11. 不正通信対処システムにおける不正通信対処方法であって、
    前記不正通信対処システムは、ファイル取込手段と、マルウェア判定手段と、サーバアドレス検出手段と、対抗措置手段とを備え、
    前記対抗措置手段は、通信挙動ＤＢ（データベース）装置を備え、
    前記ファイル取込手段は、インターネットを介して転送されるファイルを取り込むステップを有し、
    前記マルウェア判定手段は、前記ファイル取込手段によって取り込まれた前記ファイルを仮想環境下で実行し、当該実行内容に基づいて前記ファイルがマルウェアであるか否かを判定するステップを有し、
    前記サーバアドレス検出手段は、前記マルウェア判定手段によって前記ファイルがマルウェアであると判定されたとき前記ファイルの前記仮想環境下での前記実行内容から不正サーバのアドレスを検出するステップを有し、
    前記対抗措置手段は、マルウェアによる不正通信挙動に対応して、前記不正サーバのアドレス宛に特定のパケットを連続して発信する輻輳トラフィック発信機能ステップを動作させ、
    前記対抗措置手段は、前記通信挙動ＤＢ装置に、前記マルウェアによる前記不正通信挙動をログとして蓄積する第１の蓄積ステップを有し、
    前記通信挙動ＤＢ装置は、前記マルウェア判定手段によって前記ファイルがマルウェアであると判定されたとき当該マルウェアによる前記不正通信挙動が新手法であるか否かを判定し、前記新手法である場合に前記新手法の前記ログを蓄積する第２の蓄積ステップを有することを特徴とする不正通信対処方法。
12. 不正通信対処システムにおける不正通信対処方法であって、
    前記不正通信対処システムは、ファイル取込手段と、マルウェア判定手段と、サーバアドレス検出手段と、対抗措置手段とを備え、
    前記対抗措置手段は、通信挙動ＤＢ（データベース）装置を備え、
    前記ファイル取込手段は、インターネットを介して転送されるファイルを取り込むステップを有し、
    前記マルウェア判定手段は、前記ファイル取込手段によって取り込まれた前記ファイルを仮想環境下で実行し、当該実行内容に基づいて前記ファイルがマルウェアであるか否かを判定するステップを有し、
    前記サーバアドレス検出手段は、前記マルウェア判定手段によって前記ファイルがマルウェアであると判定されたとき前記ファイルの前記仮想環境下での前記実行内容から不正サーバのアドレスを検出するステップを有し、
    前記対抗措置手段は、マルウェアによる不正通信挙動に対応して、前記不正サーバのソフトウェアの脆弱性に対応したコードを含んだパケットを前記不正サーバのアドレス宛に発信する脆弱性コード発信機能ステップを動作させ、
    前記対抗措置手段は、前記通信挙動ＤＢ装置に、前記マルウェアによる前記不正通信挙動をログとして蓄積する第１の蓄積ステップを有し、
    前記通信挙動ＤＢ装置は、前記マルウェア判定手段によって前記ファイルがマルウェアであると判定されたとき当該マルウェアによる前記不正通信挙動が新手法であるか否かを判定し、前記新手法である場合に前記新手法の前記ログを蓄積する第２の蓄積ステップを有することを特徴とする不正通信対処方法。
13. 不正通信対処システムにおける不正通信対処方法であって、
    前記不正通信対処システムは、ファイル取込手段と、マルウェア判定手段と、サーバアドレス検出手段と、対抗措置手段とを備え、
    前記対抗措置手段は、通信挙動ＤＢ（データベース）装置を備え、
    前記ファイル取込手段は、インターネットを介して転送されるファイルを取り込むステップを有し、
    前記マルウェア判定手段は、前記ファイル取込手段によって取り込まれた前記ファイルを仮想環境下で実行し、当該実行内容に基づいて前記ファイルがマルウェアであるか否かを判定するステップを有し、
    前記サーバアドレス検出手段は、前記マルウェア判定手段によって前記ファイルがマルウェアであると判定されたとき前記ファイルの前記仮想環境下での前記実行内容から不正サーバのアドレスを検出するステップを有し、
    前記対抗措置手段は、マルウェアによる不正通信挙動に対応して、ＲＡＴ（Remote Access Tool）型のプログラムを含むパケットを前記不正サーバのアドレス宛に発信するＲＡＴ型プログラム発信機能ステップを動作させ、
    前記対抗措置手段は、前記通信挙動ＤＢ装置に、前記マルウェアによる前記不正通信挙動をログとして蓄積する第１の蓄積ステップを有し、
    前記通信挙動ＤＢ装置は、前記マルウェア判定手段によって前記ファイルがマルウェアであると判定されたとき当該マルウェアによる前記不正通信挙動が新手法であるか否かを判定し、前記新手法である場合に前記新手法の前記ログを蓄積する第２の蓄積ステップを有することを特徴とする不正通信対処方法。

Images