JP4777366B2 - ワーム対策プログラム、ワーム対策装置、ワーム対策方法 - Google Patents

Description

本発明は、ネットワークにおいてワームの対策を行うワーム対策プログラム、ワーム対策装置、ワーム対策方法に関するものである。

ワームとは、ネットワーク内の脆弱なホストコンピュータに対する感染行為を繰り返すことにより、ネットワークを麻痺させるプログラムの総称である。従来、ワームの通信か否かの判定は二値判定であり、その判定結果に対する対処も通信の許可と遮断の二種類であった。

なお、本発明の関連ある従来技術として、例えば、監視期間におけるパケットの宛先数の閾値に基づいてワームを検出することにより、未知のワームを早期に検出できる技術がある（例えば、特許文献１）。
特開２００５−１３４９７４号公報

しかしながら、上述した判定において誤判定が発生すると、これに伴う誤対処が行われ、次のような問題が生じていた。例えば、ワームの通信であるにも関わらずワームの通信ではないと判断された場合、ワームはネットワーク上に蔓延していった。また、正規の通信であるにも関わらず、ワームの通信であると判定された場合、正規の通信を行うことができなくなり、業務に支障をきたしていた。

本発明は上述した問題点を解決するためになされたものであり、ワームの二値判定により生じる誤った対処を防ぐためのワーム対策プログラム、ワーム対策装置、ワーム対策方法を提供することを目的とする。

上述した課題を解決するため、本発明は、ワーム通信の可能性のある通信の制御をコンピュータに実行させるワーム対策プログラムであって、対象とする発信元からの通信に関する情報である通信情報の取得を行う通信情報取得ステップと、前記通信情報を用いて前記対象とする発信元からの通信の制御量を算出するための制御量算出式を有し、該制御量算出式により得られる前記通信の制御量に基づいて、前記対象とする発信元からの通信の制御を行う通信制御ステップとをコンピュータに実行させるものである。

また、本発明に係るワーム対策プログラムにおいて、前記制御量は、前記対象とする発信元からの通信の制限を表し、前記通信制御ステップは、前記制限量に基づいて前記対象とする発信元からの通信の制限を行うことを特徴とするものである。

また、本発明に係るワーム対策プログラムにおいて、更に、前記統計データ取得ステップの前に、予め取得された正常通信時の通信情報とワーム通信時の通信情報とを用いた統計データに基づいて、前記通信情報から前記対象とする発信元からの通信の制御量を算出するための制御量算出式を生成する制御量算出式生成ステップをコンピュータに実行させることを特徴とするものである。

また、本発明に係るワーム対策プログラムにおいて、前記統計データは、前記正常通信と前記ワーム通信における所定の発信元から単位時間に送信された宛先アドレスの数の分布であることを特徴とするものである。

また、本発明に係るワーム対策プログラムにおいて、前記制御量算出式は、通信情報の変化に対して制御量が段階的または連続的に変化することを特徴とするものである。

また、本発明に係るワーム対策プログラムにおいて、前記通信情報は、前記対象とする発信元から単位時間に送信された宛先アドレスの数であることを特徴とするものである。

また、本発明は、ワーム通信の可能性のある通信の制御を行うワーム対策装置であって、対象とする発信元からの通信に関する情報である通信情報の取得を行う通信情報取得部と、前記通信情報を用いて前記対象とする発信元からの通信の制御量を算出するための制御量算出式を有し、該制御量算出式により得られる前記通信の制御量に基づいて、前記対象とする発信元からの通信の制御を行う通信制御部とを備えたものである。

また、本発明に係るワーム対策装置において、前記制御量は、前記対象とする発信元からの通信の制限を表し、前記通信制御部は、前記制限量に基づいて前記対象とする発信元からの通信の制限を行うことを特徴とするものである。

また、本発明に係るワーム対策装置において、更に、予め取得された正常通信時の通信情報とワーム通信時の通信情報とを用いた統計データに基づいて、前記通信情報から前記対象とする発信元からの通信の制御量を算出するための制御量算出式を生成する制御量算出式生成ステップを備えることを特徴とするものである。

また、本発明に係るワーム対策装置において、前記統計データは、前記正常通信と前記ワーム通信における所定の発信元から単位時間に送信された宛先アドレスの数の分布であることを特徴とするものである。

また、本発明に係るワーム対策装置において、前記制御量算出式は、通信情報の変化に対して制御量が段階的または連続的に変化することを特徴とするものである。

また、本発明に係るワーム対策装置において、前記通信情報は、前記対象とする発信元から単位時間に送信された宛先アドレスの数であることを特徴とするものである。

また、本発明は、ワーム通信の可能性のある通信の制御を行うワーム対策方法であって、対象とする発信元からの通信に関する情報である通信情報の取得を行う通信情報取得ステップと、前記通信情報を用いて前記対象とする発信元からの通信の制御量を算出するための制御量算出式を有し、該制御量算出式により得られる前記通信の制御量に基づいて、前記対象とする発信元からの通信の制御を行う通信制御ステップとを実行するものである。

本実施の形態に係るワーム対策装置の構成の一例を示すブロック図である。 本実施の形態に係る通信制御処理の動作の一例を示すフローチャートである。

以下、本発明の実施の形態について図面を参照しつつ説明する。

まず、本実施の形態に係るワーム対策装置の構成について説明する。

図１は、本実施の形態に係るワーム対策装置の構成の一例を示すブロック図である。このワーム対策装置１は、制御部１１、記憶部１２、インタフェース部１３、通信データキュー１４を備える。ワーム対策装置１は、ネットワークセグメント２ａ、２ｂの出入口に設置され、ワーム通信の検出および通信の段階的遮断や復旧を行う。ネットワークセグメント２ａ，２ｂは、閉じたネットワーク環境であり、イントラネットや一台のコンピュータなどを表す。インタフェース部１３は、ネットワークを介してネットワークセグメント２ａ、２ｂに接続されている。制御部１１は、インタフェース部１３を介してネットワークセグメント２ａ、２ｂの間の中継を行う。このとき、通信データは、一旦通信データキュー１４に蓄えられる。また、制御部１１は、記憶部１２に格納された設定データに基づいて、後述する制御量算出処理や通信制御処理を行う。

次に、ワーム対策装置１の制御量算出式生成処理について説明する。

制御量算出式生成処理において、制御部１１は、予め、通常通信の通信ログ、および実際にワームを動作させた（またはワームが動作した）ワーム通信の通信ログを採取し、通信ログから通信情報を算出し、収集した通信情報から統計データを算出する。通信情報の取得には、例えば、特許文献１の技術を用いる。

具体的には、検出対象となるネットワークについて、一定期間、通信ログを採取する。通信ログは、パケット毎のエントリを持つ。各エントリには、発信元／宛先アドレス、発信元／宛先ポート、プロトコル、等、通信に関わるデータが含まれている。

次に、制御部１１は、通信ログの各エントリを通信内容に応じたカテゴリに分類する。カテゴリとは例えば、プロトコル（ＴＣＰ，ＵＤＰ，ＩＣＭＰ）、サービス（宛先ポート番号など）、パケットに含まれる各種フラグ（ＴＣＰの場合のＳＹＮパケットのみなど）、その他のパケットの特徴などで分類することができる。分類は、ワームが種々の通信を無作為に行うわけではなく、同種のワームは同種のカテゴリに分類される通信を大量に行うことが多いという性質に基づいて行われる。

次に、制御部１１は、カテゴリ分類されたエントリについて、所定の単位時間当たりのワーム検出パラメータの値を算出し、通信情報とする。ワーム検出パラメータは、通常時と比較してワームが蔓延した場合に大きく変化するデータとする。例えば、ワーム検出パラメータは、パケット数（通信ログのエントリ数）、通信量（単位時間あたりのデータ転送量）、宛先アドレス数、発信元アドレス数であり、このようなパラメータから１または複数が選択されて用いられる。なお、カテゴリ分類を行わず、全てのエントリを処理するようにしても良い。

ここで、制御部１１は、所定のネットワークセグメント毎に、通信情報の値の範囲ごとの出現頻度を集計し、頻度分布を作成し、統計データとする。本実施の形態において、制御部１１は、単位時間内のエントリのうち、発信元アドレスが同じエントリ毎に集計する。

ここで、特許文献１の技術は、上述した統計データに基づいて、二値判定を行うための閾値を求めているが、本実施の形態のワーム対策装置１は、上述した統計データに基づいて、対象がワームに感染している危険性を算出する危険性算出式、および通信制御を行うための制御量を算出する制御量算出式を求める。

本実施の形態では、危険性算出式の具体例として、単位時間当たりの通信相手ＩＰアドレス数から、ワームに感染している危険性を求める式について述べる。ここで、対象のＰＣ（Personal Computer）が１秒間に送信する宛先ＩＰアドレスの数をＮ（Ｎは０以上の整数）、対象のＰＣがワームに感染している危険性をＲ（Ｒは０以上１以下の実数）とする。Ｒ＝０は確実に感染していないことを表し、Ｒ＝１は確実に感染していることを表す。

ワーム対策装置１は、予め正常通信とワーム通信を行わせることにより、正常通信とワーム通信におけるＮの頻度分布を統計データとして取得し、この統計データに基づいてＮからＲを算出する危険性算出式を生成する。例えば、ワーム対策装置１は、Ｎの頻度分布からＲ＝０となるＮの値とＲ＝１となるＮの値を求め、０＜Ｒ＜１となるＮの値の範囲では、Ｎに対するＲの近似式を生成し、これらを危険性算出式とする。ここで、生成された危険性算出式の一例を以下に示す。ここで、生成された危険性算出式の一例を以下に示す。

・Ｎ＜＝１００のとき Ｒ＝０
・１００＜Ｎ＜＝１５０のとき Ｒ＝（Ｎ−１００）＾２／５０００
・１５０＜Ｎ＜＝２００のとき Ｒ＝１−（２００−Ｎ）＾２／５０００
・２００＜Ｎのとき Ｒ＝１

ここでは対象をＰＣとしたが、対象をネットワークセグメントなど、複数のノードとし、通信ログにおける発信元ＩＰアドレスが所定の範囲に含まれるものを対象としても良い。

更に、通信制御処理の制御量として、対象のコンピュータの通信許可率をＰ（Ｐは０以上１以下の実数）とする。Ｐ＝０は完全に通信を遮断することを表し、Ｐ＝１は完全に通信を許可することを表す。ワーム対策装置１は、危険性算出式を用いて、ＮからＰを算出する制御量算出式を生成する。ここで、制御量算出式の一例を以下に示す。

Ｐ＝１−Ｒ

ここで、制御量Ｐは、Ｎの変化に対して段階的に変化させても良いし、Ｎの変化に対して連続的に変化させても良い。

次に、ワーム対策装置１の通信制御処理について説明する。

図２は、本実施の形態に係るワーム対策装置の通信制御処理の動作の一例を示すフローチャートである。まず、制御部１１は、現在の通信ログから上述した通信情報を取得する（Ｓ１１）。本実施の形態における通信情報は、対象のＰＣから単位時間に送信された宛先アドレスの数Ｎである。次に、制御部１１は、ワームに感染している危険性を計算する（Ｓ１２）。ここで、制御部１１は、上述した制御量算出式によりＮから危険性Ｒと制御量Ｐを算出する。

次に、制御部１１は、制御量に応じた通信制御を行う（Ｓ１３）。ここで、制御部１１は、上述した通信許可率Ｐに従って単位時間当たりの通信量の制限を行う。次に、制御部１１は、危険性Ｒ＞０であるか否かの判断を行う（Ｓ１５）。危険性が全くない場合（Ｓ１５，Ｎ）、このフローを終了する。一方、危険性が少しでもある場合（Ｓ１５、Ｙ）、制御部１１は、危険性または通信制御の結果を管理者へ通知し（Ｓ１６）、このフローを終了する。制御部１１は、このフローを繰り返す。

ワーム対策装置１がこのフローを繰り返すことにより、ワームの危険性が増加すると通信量が減少し、ワームの危険性が減少すると通信量が増加することになる。また、本実施の形態において、ワーム対策装置１は通信制御として単位時間当たりの通信量を制限するとしたが、ワーム対策装置１は通信制御として発信元の制限、宛先の制限、通信可能ポートの制限を行っても良い。

ワーム対策装置１が、ワーム通信であるか否かを二値判定するのではなく、予め作成した統計データと現在の通信情報に基づいて、危険性や制御量を算出し、制御量に基づいて通信の制御を行うことにより、従来の誤った二値判定による誤った対処を防止することができる。また、ワーム対策装置１が単位時間当たりの宛先の数から制御量を求めることにより、容易に通信ログから取得することができる。

また、本実施の形態に係るワーム対策装置は、ネットワーク中継装置に容易に適用することができ、ネットワーク中継装置の性能をより高めることができる。ここで、ネットワーク中継装置には、例えばプロキシサーバ、ルータ、ブリッジ等が含まれ得る。

更に、ワーム対策装置を構成するコンピュータにおいて上述した各ステップを実行させるプログラムを、ワーム対策プログラムとして提供することができる。上述したプログラムは、コンピュータにより読取り可能な記録媒体に記憶させることによって、ワーム対策装置を構成するコンピュータに実行させることが可能となる。ここで、上記コンピュータにより読取り可能な記録媒体としては、ＲＯＭやＲＡＭ等のコンピュータに内部実装される内部記憶装置、ＣＤ−ＲＯＭやフレキシブルディスク、ＤＶＤディスク、光磁気ディスク、ＩＣカード等の可搬型記憶媒体や、コンピュータプログラムを保持するデータベース、或いは、他のコンピュータ並びにそのデータベースや、更に回線上の伝送媒体をも含むものである。

なお、通信情報取得ステップは、実施の形態における通信制御処理中の処理Ｓ１１に対応する。また、通信制御ステップは、実施の形態における通信制御処理中の処理Ｓ１２〜Ｓ１６に対応する。また、制御量算出式生成ステップは、実施の形態における制御量算出式生成処理に対応する。また、通信情報取得部、通信制御部、制御量算出式生成部は、実施の形態における制御部に対応する。

以上説明したように、本発明によれば、ワームの二値判定により生じる誤った対処を防ぐことができるとともに、危険性に応じた柔軟な通信制御を行うことができる。

Claims (4)

1. ワーム通信の可能性のある通信の制御を行うワーム対策装置であって、
   対象とする発信元から単位時間に送信された宛先アドレスの数である通信情報の取得を行う通信情報取得部と、
   正常通信とワーム通信との宛先アドレス数の頻度分布データを基に予め生成された制御量算出式を基に、前記通信情報を用いて前記対象とする発信元からの通信の制御量を算出し、算出された前記通信の制御量に基づいて、前記対象とする発信元からの通信の制御を行う通信制御部と
   を備えるワーム対策装置。
2. 請求項１に記載のワーム対策装置において、
   前記制御量は、前記対象とする発信元からの通信の制限を表し、前記通信制御部は、前記制限量に基づいて前記対象とする発信元からの通信の制限を行うことを特徴とするワーム対策装置。
3. 請求項１または請求項２に記載のワーム対策装置において、
   前記頻度分布データは、前記正常通信と前記ワーム通信における所定の発信元から単位時間に送信された宛先アドレスの数の分布であることを特徴とするワーム対策装置。
4. 請求項１乃至請求項３のいずれかに記載のワーム対策装置において、
   前記制御量算出式は、通信情報の変化に対して制御量が段階的または連続的に変化することを特徴とするワーム対策装置。

Images