JP2019028810A - プログラム、情報処理方法及び情報処理装置 - Google Patents

Abstract

【課題】適切にマルウェアの拡散を防止することが可能となるプログラム等を提供する。【解決手段】コンピュータ２でマルウェアを検知した場合、コンピュータ２を管理するサーバコンピュータ１へ前記マルウェアを検知したことを示す検知情報を出力し、前記検知情報を出力した後に、コンピュータ２が外部ネットワークと接続するインタフェースを閉塞する。また、あらかじめ記憶されたセキュリティポリシーを参照し、検知したマルウェアに応じて、複数のインタフェースの内閉塞するインタフェースを決定する。【選択図】図１

Description

本発明は、プログラム、情報処理方法及び情報処理装置に関する。

従来、インターネットと、セキュリティ保護の対象となる社内イントラネットの外部に設けられる特定のサーバ装置との間に接続され、社内イントラネットへの未知のコンピュータウイルスの感染を防止する装置が知られている（例えば特許文献１〜３参照）。

特許第４０８８０８２号 特許第３９７１３５３号 特許第４９６１１５３号

しかしながら、従来の技術では適切にマルウェアの拡散を防止することができないという問題がある。

一つの側面では、適切にマルウェアの拡散を防止することが可能となるプログラム等を提供することにある。

一つの案では、情報処理装置でマルウェアを検知した場合、前記情報処理装置を管理する管理装置へ前記マルウェアを検知したことを示す検知情報を出力し、前記検知情報を出力した後に、前記情報処理装置が外部ネットワークと接続するインタフェースを閉塞する処理を前記情報処理装置に実行させる。

一つの側面では、適切にマルウェアの拡散を防止することが可能となる。

情報処理システムの概要を示す説明図である。 コンピュータのハードウェア群を示すブロック図である。 報告情報の表示イメージを示す説明図である。 サーバコンピュータのハードウェア群を示すブロック図である。 端末装置のハードウェア群を示すブロック図である。 状態ＤＢのレコードレイアウトを示す説明図である。 閉塞状態の表示イメージを示す説明図である。 検知情報の出力処理手順を示すフローチャートである。 検知情報の出力処理手順を示すフローチャートである。 実施の形態２に係るサーバコンピュータのハードウェア群を示すブロック図である。 実施の形態２に係るハードウェア群を示すブロック図である。 セキュリティポリシーテーブルのレコードレイアウトを示す説明図である。 閉塞処理の手順を示すフローチャートである。 閉塞処理の手順を示すフローチャートである。 表示処理手順を示すフローチャートである。 閉塞状態のイメージを示す説明図である。 実施の形態４に係るサーバコンピュータのハードウェア群を示すブロック図である。 状態ＤＢのレコードレイアウトを示す説明図である。 閉塞情報及び解除情報の出力処理手順を示すフローチャートである。 閉塞情報及び解除情報の出力処理手順を示すフローチャートである。 閉塞情報及び解除情報の表示イメージを示す説明図である。 状態ＤＢのレコードレイアウトを示す説明図である。 閉塞処理の手順を示すフローチャートである。 閉塞処理の手順を示すフローチャートである。 閉塞処理の手順を示すフローチャートである。 閉塞処理の手順を示すフローチャートである。 上述した形態のコンピュータの機能ブロック図である。 上述した形態のサーバコンピュータの動作を示す機能ブロック図である。 実施の形態６に係るコンピュータのハードウェア群を示すブロック図である。 実施の形態６に係るサーバコンピュータのハードウェア群を示すブロック図である。 検知情報の出力処理手順を示すフローチャートである 検知情報の出力処理手順を示すフローチャートである 閉塞処理の手順を示すフローチャートである。 閉塞処理の手順を示すフローチャートである。 閉塞処理の手順を示すフローチャートである。 閉塞処理の手順を示すフローチャートである。 閉塞処理の手順を示すフローチャートである。

実施の形態１
以下実施の形態を、図面を参照して説明する。図１は情報処理システムの概要を示す説明図である。情報処理システムは情報処理装置２、管理装置１及び管理装置３を含む。情報処理装置２を管理する管理装置１は例えば、サーバコンピュータまたはパーソナルコンピュータ等である。実施形態では管理装置１をサーバコンピュータ１と読み替えて説明する。情報処理装置２は例えば、パーソナルコンピュータ、スマートフォン、携帯電話機またはタブレット等である。以下では情報処理装置２をコンピュータ２と読み替えて説明する。

サーバコンピュータ１を通じて、コンピュータ２を管理する管理装置３はパーソナルコンピュータ、スマートフォン、携帯電話機またはタブレット等である。サーバコンピュータ１、各コンピュータ２及び端末装置３は外部ネットワークであるインターネット、ＬＡＮ（Local Area Network）、Wi-Fi網、Bluetooth(登録商標)等の近距離無線通信網、公衆回線網等の通信網Ｎを介して相互に接続されている。なお、実施形態１ではサーバコンピュータ１と管理装置３の２つを設ける例を示したが、サーバコンピュータ１または管理装置３のいずれか一つでコンピュータ２を管理するようにしても良い。

コンピュータ２はインストールされたウィルス対策ソフトウェアによりマルウェアを検知する。コンピュータ２はマルウェアを検知した場合、マルウェアを検知したことを示す検知情報をサーバコンピュータ１へ送信する。その後コンピュータ２は、外部ネットワークである通信網Ｎと接続するためのインタフェースを閉塞する。サーバコンピュータ１は検知情報を管理者の管理装置３へ送信する。以下詳細を説明する。

図２はコンピュータ２のハードウェア群を示すブロック図である。コンピュータ２は制御部としてのＣＰＵ（Central Processing Unit）２１、ＲＡＭ（Random Access Memory）２２、入力部２３、表示部２４、記憶部２５、時計部２８、及び、通信部２６等を含む。ＣＰＵ２１は、バス２７を介してハードウェア各部と接続されている。ＣＰＵ２１は記憶部２５に記憶された制御プログラム２５Ｐ及びＯＳ（Operating System）２５１に従いハードウェア各部を制御する。なお、ＣＰＵ２１は複数のプロセッサコアを搭載したマルチコアプロセッサであっても良い。ＲＡＭ２２は例えばＳＲＡＭ（Static RAM）、ＤＲＡＭ(Dynamic RAM)、フラッシュメモリ等である。ＲＡＭ２２は、記憶部としても機能し、ＣＰＵ２１による各種プログラムの実行時に発生する種々のデータを一時的に記憶する。

入力部２３はマウス、キーボード、タッチパネル、ボタン等の入力デバイスであり、受け付けた操作情報をＣＰＵ２１へ出力する。表示部２４は液晶ディスプレイまたは有機ＥＬ（electroluminescence）ディスプレイ等であり、ＣＰＵ２１の指示に従い各種情報を表示する。通信部２６はインタフェースである通信モジュールであり、サーバコンピュータ１等と間で情報の送受信を行う。通信部２６は例えば、通信網Ｎに接続されるＬＡＮモジュール２６１、Wi-Fiモジュール等の無線通信部２６２、及び、Bluetooth規格に基づく近距離通信、または赤外線通信等を行う近距離通信モジュールである近距離通信部２６３である。時計部２８は日時情報をＣＰＵ２１へ出力する。記憶部２５は大容量メモリまたはハードディスクであり、制御プログラム２５Ｐ等を記憶している。

ＣＰＵ２１は、記憶部２５に記憶したウィルス対策ソフトウェアによりマルウェアを検知する。ＣＰＵ２１は、マルウェアを検知した場合、ＬＡＮモジュール２６１を介してサーバコンピュータ１へマルウェアを検知したことを示す検知情報を送信する。ＣＰＵ２１は、その後、ＬＡＮモジュール２６１、無線通信部２６２及び近距離通信部２６３を含むすべてのインタフェースを閉塞する。具体的には、ＯＳ２５１から通信部２６へインタフェースの閉塞を命じるコマンドを出力する。この場合、閉塞命令により、各通信部２６の送受信が禁止され、または、電源供給が遮断され、情報の送受信が不可能となる。その他、閉塞命令を受けた場合、各通信部２６は、各通信部２６からの情報の送信先を、書き換える処理を行うことによって、通信を不能にしてもよい。

ＣＰＵ２１は、閉塞を行った後に、表示部２４にアクセス先、プロセス情報及び通信部２６を閉塞した閉塞日時を表示部２４に表示する。図３は報告情報の表示イメージを示す説明図である。ＣＰＵ２１は、報告情報としてコンピュータ２のＩＰアドレス、マルウェアの検知日時、検知したマルウェア、及び通信部２６の閉塞日時を表示部２４に表示する。ＣＰＵ２１は、ウィルス対策ソフトウェアから出力された日時を検知日時として表示する。また通信部２６の閉塞が完了した段階で時計部２８の出力を参照し、閉塞日時を表示する。

さらにＣＰＵ２１は、ＲＡＭ２２または記憶部２５に記憶された過去の通信ログに基づき、プロトコル、ローカルアドレス、外部アドレス及びプロセス情報等を表示する。プロトコルとしてはＴＣＰ(Transmission Control Protocol)等の通信の種別が表示される。プロセス情報は、実行ファイルであるＸＸ.exe、System等のプロセスを特定するための情報が表示される。ローカルアドレスはプロセス実行時のコンピュータ２のＩＰアドレスである。外部アドレスとしては、プロセス実行時のアクセス先のＩＰアドレスまたはＵＲＬ等が表示される。

図４はサーバコンピュータ１のハードウェア群を示すブロック図である。サーバコンピュータ１は制御部としてのＣＰＵ１１、ＲＡＭ１２、入力部１３、表示部１４、記憶部１５、時計部１８、及び、通信部１６等を含む。ＣＰＵ１１は、バス１７を介してハードウェア各部と接続されている。ＣＰＵ１１は記憶部１５に記憶された制御プログラム１５Ｐに従いハードウェア各部を制御する。なお、ＣＰＵ１１は複数のプロセッサコアを搭載したマルチコアプロセッサであっても良い。ＲＡＭ１２は例えばＳＲＡＭ（Static RAM）、ＤＲＡＭ(Dynamic RAM)、フラッシュメモリ等である。ＲＡＭ１２は、記憶部としても機能し、ＣＰＵ１１による各種プログラムの実行時に発生する種々のデータを一時的に記憶する。

入力部１３はマウス、キーボード、タッチパネル、ボタン等の入力デバイスであり、受け付けた操作情報をＣＰＵ１１へ出力する。表示部１４は液晶ディスプレイまたは有機ＥＬディスプレイ等であり、ＣＰＵ１１の指示に従い各種情報を表示する。通信部１６は通信モジュールであり、コンピュータ２等と間で情報の送受信を行う。時計部１８は日時情報をＣＰＵ１１へ出力する。記憶部１５は大容量メモリまたはハードディスクであり、制御プログラム１５Ｐ等を記憶している。

また実施形態では、サーバコンピュータ１は単体のものとして説明するがこれに限るものではない。例えば物理的に複数のサーバコンピュータ１、１、・・・により構成されていてもよく、また複数の仮想マシンにより構成されていてもよい。サーバコンピュータ１のＣＰＵ１１は、コンピュータ２から検知情報及びコンピュータ２を特定するための識別情報を受信する。

コンピュータ１は、検知情報を送信したコンピュータ２に対しpingコマンド等の応答要求コマンドを出力する。ＣＰＵ１１は、応答要求コマンドに対する応答がない場合、コンピュータ２の通信部２６の閉塞が完了したと判断する。ＣＰＵ１１は、受信した識別情報、検知情報及びコンピュータ２の通信部２６が閉塞したことを示す閉塞情報を端末装置３へ送信する。なお、識別情報は、例えばコンピュータ名、ＩＰアドレス、またはＭＡＣ(Media Access Control)アドレス等であればよい。本実施形態ではコンピュータ名であるものとして説明する。また、実施形態では検知情報及び閉塞情報を管理装置３に送信する例を示すがこれに限るものではない。ＣＰＵ１１は、検知情報または閉塞情報のいずれかを送信するようにしても良い。

図５は端末装置３のハードウェア群を示すブロック図である。端末装置３は制御部としてのＣＰＵ３１、ＲＡＭ３２、入力部３３、表示部３４、記憶部３５、時計部３８、及び、通信部３６等を含む。ＣＰＵ３１は、バス３７を介してハードウェア各部と接続されている。ＣＰＵ３１は記憶部３５に記憶された制御プログラム３５Ｐに従いハードウェア各部を制御する。なお、ＣＰＵ３１は複数のプロセッサコアを搭載したマルチコアプロセッサであっても良い。ＲＡＭ３２は例えばＳＲＡＭ、ＤＲＡＭ、フラッシュメモリ等である。ＲＡＭ３２は、記憶部としても機能し、ＣＰＵ３１による各種プログラムの実行時に発生する種々のデータを一時的に記憶する。

入力部３３はマウス、キーボード、タッチパネル、ボタン等の入力デバイスであり、受け付けた操作情報をＣＰＵ３１へ出力する。表示部３４は液晶ディスプレイまたは有機ＥＬディスプレイ等であり、ＣＰＵ３１の指示に従い各種情報を表示する。通信部３６は通信モジュールであり、サーバコンピュータ１等と間で情報の送受信を行う。時計部３８は日時情報をＣＰＵ３１へ出力する。記憶部３５は大容量メモリまたはハードディスクであり、制御プログラム３５Ｐ及び状態ＤＢ３５１等を記憶している。

図６は状態ＤＢ３５１のレコードレイアウトを示す説明図である。状態ＤＢ３５１は、監視対象端末フィールド、検知情報フィールド及び閉塞情報フィールド等を含む。監視対象端末フィールドには、監視対象となっているコンピュータ２のコンピュータ名が記憶されている。検知情報フィールドには、コンピュータ名に対応付けて検知情報を受信したか否かの情報が記憶されている。閉塞情報フィールドには、コンピュータ名に対応付けて対応するコンピュータ２の通信部２６が閉塞されているか否かの情報が記憶されている。

図６の例では端末２は検知情報が未検知であり、閉塞情報が非閉塞と記憶されている。一方、端末１はマルウェアの検知に伴い、検知情報は検知と記憶されており、閉塞情報も閉塞と記憶されている。端末装置３のＣＰＵ３１は、サーバコンピュータ１からコンピュータ名、検知情報及び閉塞情報を受信した場合、状態ＤＢ３５１にコンピュータ名に対応付けて検知情報を非検知から検知へと変更し、閉塞情報を非閉塞から閉塞へ変更する。

図７は閉塞状態の表示イメージを示す説明図である。管理装置３のＣＰＵ３１は、状態ＤＢ３５１を参照し、表示部３４にコンピュータ名、検知情報及び閉塞情報を表示する。

以上のハードウェア群において、各種ソフトウェア処理を、フローチャートを用いて説明する。図８及び図９は検知情報の出力処理手順を示すフローチャートである。コンピュータ２のＣＰＵ２１は、マルウェアを検知したか否かを判断する(ステップＳ８１)。ＣＰＵ２１は、検知していないと判断した場合(ステップＳ８１でＮＯ)、ステップＳ８１の処理を繰り返す。ＣＰＵ２１は、マルウェアを検知したと判断した場合(ステップＳ８１でＹＥＳ)、処理をステップＳ８２へ移行させる。

ＣＰＵ２１は、検知情報及びコンピュータ名をサーバコンピュータ１へ送信する(ステップＳ８２)。ＣＰＵ２１は、通信部２６を閉塞すべき旨のＯＳコマンドを発行し通信部２６を閉塞する(ステップＳ８４)。サーバコンピュータ１のＣＰＵ１１は、検知情報及びコンピュータ名を受信する(ステップＳ８３)。ＣＰＵ１１は、応答要求コマンドをコンピュータ２へ送信する(ステップＳ８５)。ＣＰＵ１１は、応答要求コマンドに対する応答がないか否かを判断する(ステップＳ８６)。ＣＰＵ１１は、応答があると判断した場合(ステップＳ８６でＮＯ)、処理をステップＳ８５へ戻し、処理を繰り返す。

ＣＰＵ１１は、応答がないと判断した場合(ステップＳ８６でＹＥＳ)、処理をステップＳ８７へ移行させる。ＣＰＵ１１は、管理装置３へコンピュータ名、検知情報、及び閉塞情報を送信する(ステップＳ８７)。管理装置３のＣＰＵ３１は、コンピュータ名、検知情報及び閉塞情報を受信する(ステップＳ８８)。ＣＰＵ３１は、コンピュータ名、検知情報及び閉塞情報を、状態ＤＢ３５１に記憶する(ステップＳ８９)。ＣＰＵ３１は、状態ＤＢ３５１に記憶したコンピュータ名、検知情報及び閉塞情報を表示部３４に表示する(ステップＳ９１)。

コンピュータ２は報告情報として、ＩＰアドレス、マルウェア検知日時、及び検知したマルウェアを表示部２４に表示する(ステップＳ９２)。マルウェア検知日時及び検知したマルウェアに関しては、ウィルス対策ソフトウェアから出力される情報をもとに表示すれば良い。ＣＰＵ２１は、ＲＡＭ２２に記憶したプロセス情報、各プロセス時におけるプロトコル、ローカルアドレス及び外部アドレスの時系列データを表示部２４に表示する(ステップＳ９３)。これにより、マルウェアの拡散を未然に防止することができる。またＯＳコマンドを利用することで、適切に通信部２６の閉塞を行うことが可能となる。またコンピュータ２側においてユーザがマルウェア検知時の状態を容易に把握することが可能となる。さらに、管理装置３側においても現在の検知及び閉塞状況を適切に把握することが可能となる。

実施の形態２
実施の形態２はセキュリティポリシーに基づき閉塞する通信部２６を決定する形態に関する。図１０は実施の形態２に係るサーバコンピュータ１のハードウェア群を示すブロック図である。記憶部１５にセキュリティポリシーテーブル３５２が新たに設けられている。図１１は実施の形態２に係るハードウェア群を示すブロック図である。記憶部２５にセキュリティポリシーテーブル２５２が新たに設けられている。

図１２はセキュリティポリシーテーブル３５２のレコードレイアウトを示す説明図である。セキュリティポリシーテーブル３５２は、ＩＤフィールド及びポリシーフィールド等を含む。ＩＤフィールドには、検知したマルウェアに対応するイベントを特定するための識別情報（ＩＤ）が記憶されている。図１２の例では、ＩＤとして「Ｍ０１」、「Ｍ０２」が記憶されている。例えばマルウェアＡに対してはＩＤ「Ｍ０１」が発行され、マルウェアＡとは異なるマルウェアＢについてはＩＤ「Ｍ０２」が発行される。ポリシーフィールドには、通信部２６の種類ごとに、ＩＤに対応付けて閉塞または非閉塞の情報が記憶されている。

図１２の例では、ＬＡＮモジュール２６１、無線通信部２６２、および、近距離通信部２６３についてＩＤに対応付けて、閉塞または非閉塞の情報が記憶されている。例えばＩＤ「Ｍ０１」については、ＬＡＮモジュール２６１は閉塞、無線通信部２６２は閉塞、近距離通信部２６３は非閉塞と記憶されている。またＩＤ「Ｍ０２」については、本実施形態ではＬＡＮモジュール２６１、無線通信部２６２、および、近距離通信部２６３の全てが非閉塞と記憶されている。このセキュリティポリシーテーブル３５２の記憶内容は、入力部３３を通じて管理者が適宜変更することができる。

管理装置３で作成したセキュリティポリシーテーブル３５２の記憶内容はサーバコンピュータ１およびコンピュータ２へ送信される。コンピュータ２のＣＰＵ２１は、管理装置３からセキュリティポリシーテーブル３５２の記憶内容が送信された場合、同様の内容をセキュリティポリシーテーブル２５２に記憶する。ＣＰＵ２１は、マルウェアを検知した場合、ウィルス対策ソフトウェアから出力されるマルウェアに対応して発行されたＩＤを取得する。ＣＰＵ２１は、セキュリティポリシーテーブル２５２を参照し、ＩＤに対応する各通信部２６の閉塞または非閉塞の情報を読み出す。ＣＰＵ２１は、読み出した情報に基づき、各通信部２６を閉塞または非閉塞とする。なお、セキュリティポリシーテーブルをサーバコンピュータ１の記憶部１５に記憶するようにしてもよい。

図１３及び図１４は閉塞処理の手順を示すフローチャートである。管理装置３のＣＰＵ３１は、入力部３３を通じてセキュリティポリシーを受け付け、受け付けたセキュリティポリシーをセキュリティポリシーテーブル３５２に記憶する(ステップＳ１３１)。ＣＰＵ３１は、コンピュータ２へセキュリティポリシーテーブル３５２に記憶したセキュリティポリシーを送信する(ステップＳ１３２)。ＣＰＵ２１は、送信されたセキュリティポリシーを受信し、セキュリティポリシーテーブル２５２に記憶する(ステップＳ１３３)。

コンピュータ２のＣＰＵ２１は、マルウェアを検知したか否かを判断する(ステップＳ１３４)。ＣＰＵ２１は、検知していないと判断した場合(ステップＳ１３４でＮＯ)、ステップＳ１３４の処理を繰り返す。ＣＰＵ２１は、マルウェアを検知したと判断した場合(ステップＳ１３４でＹＥＳ)、処理をステップＳ１３５へ移行させる。

ＣＰＵ２１は、検知情報及びコンピュータ名をサーバコンピュータ１へ送信する(ステップＳ１３５)。サーバコンピュータ１のＣＰＵ１１は、検知情報及びコンピュータ名を受信する(ステップＳ１３６)。

ＣＰＵ２１は、マルウェア名に対応して発行されたＩＤに対応するセキュリティポリシーを、セキュリティポリシーテーブル２５２から読み出す(ステップＳ１３７)。ＣＰＵ２１は、セキュリティポリシーに応じて各通信部２６を閉塞、または非閉塞とする(ステップＳ１３８)。具体的には、ＣＰＵ２１は、閉塞対象とする通信部２６に対し、ＯＳコマンドを個別に発行する。通信部２６は閉塞すべき旨のＯＳコマンドを受け付けた場合に、閉塞処理を行う。

サーバコンピュータ１のＣＰＵ１１は、応答要求コマンドをコンピュータ２へ送信する(ステップＳ１３９)。以降の処理は実施の形態１で述べたとおりであるので詳細な説明は省略する。これにより、セキュリティポリシーに応じて閉塞対象とする通信部２６を特定した運用が可能となる。

実施の形態３
実施の形態３は、閉塞した通信部２６及びアクセス先を表示する形態に関する。図１５は表示処理手順を示すフローチャートである。ＣＰＵ２１は、セキュリティポリシーに基づき閉塞した通信部２６のマルウェア検知時のアクセス先を取得する(ステップＳ１５１)。またＣＰＵ２１は、閉塞した通信部２６の閉塞時のアクセス先を取得する(ステップＳ１５２)。図３に示す報告情報について説明したように、ＣＰＵ２１は、通信時のプロトコル、ローカルアドレス、アクセス先及びプロセス情報等を時系列でＲＡＭ２２に記憶しており、マルウェア検知時におけるアクセス先及び閉塞時におけるアクセス先を読み出す。なお、実施形態ではアクセス先はＩＰアドレスであるものとするが、ＵＲＬ、ＭＡＣアドレス等であってもよい。

ＣＰＵ２１は、閉塞した通信部２６を表示部２４に表示する(ステップＳ１５３)。ＣＰＵ２１は、マルウェア検知時のアクセス先及び閉塞時のアクセス先を表示部２４に、閉塞した通信部２６に対応付けて表示する(ステップＳ１５４)。図１６は閉塞状態のイメージを示す説明図である。図１６の例では閉塞状況が示されており、閉塞している通信部２６が、ＬＡＮモジュール２６１及び無線通信部２６２であることが分かる。またＬＡＮモジュール２６１についてはマルウェア検知時のアクセス先及び閉塞時のアクセス先がそれぞれ表示されている。同様に無線通信部２６２のマルウェア検知時のアクセス先及び閉塞時のアクセス先が表示されている。なお、マルウェア検知時のアクセス先及び閉塞時のアクセス先の双方を記載する例を示したが、いずれか一方でもよい。

続いてＣＰＵ２１は、閉塞していない通信部２６及びアクセス先を表示する(ステップＳ１５５)。図１６の例では、閉塞していない通信部２６として近距離通信部２６３が表示されており、通信中のアクセス先が同時に表示されている。これにより、閉塞状況を容易に把握することが可能となる。またマルウェア検知時または閉塞時のアクセス先を容易に特定することが可能となる。

本実施の形態３は以上の如きであり、その他は実施の形態１または２と同様であるので、対応する部分には同一の参照番号を付してその詳細な説明を省略する。

実施の形態４
実施の形態４は閉塞を解除したことを示す解除情報を表示する形態に関する。図１７は実施の形態４に係るサーバコンピュータ１のハードウェア群を示すブロック図である。記憶部１５にはさらに状態ＤＢ１５１が設けられている。

図１８は状態ＤＢ１５１のレコードレイアウトを示す説明図である。状態ＤＢ１５１は、監視対象端末フィールド、検知情報フィールド、日時フィールド、閉塞情報フィールド及び解除情報フィールド等を含む。監視対象端末フィールドには、同一ネットワークに属するコンピュータ２のコンピュータ名が記憶されている。なお、具体的にはＩＰアドレスのうち、相互に同一のネットワークアドレスを有するコンピュータ２、２・・・のコンピュータ名が、同一ネットワークに属するコンピュータ２として記憶されている。なお、オペレータが入力部１３または通信部１６を介して同一ネットワークに属するコンピュータ２を状態ＤＢ１５１に登録するようにしてもよい。また同一セグメントに属するコンピュータ２、２・・・だけではなく、あらかじめ特定した複数のセグメントに属するコンピュータ２、２・・・を同一ネットワークに属するコンピュータ２として登録としても良い。また本実施形態では他のネットワークに属するコンピュータ２の閉塞情報及び解除情報を記憶するようにしてもよい。

検知情報フィールドには、コンピュータ名に対応付けてマルウェアを検知したか否かの情報が記憶されている。日時フィールドには、コンピュータ名に対応付けて、マルウェアを検知した検知日時または閉塞を解除した閉塞日時が記憶されている。なお、マルウェアの検知日時に代えて閉塞した日時を記憶するようにしてもよい。閉塞情報フィールドには、コンピュータ名及び検知日時に対応付けて閉塞または非閉塞の情報が記憶されている。解除情報フィールドには、コンピュータ名及び解除日時に対応付けて解除したか否かの情報が記憶されている。

図１９及び図２０は閉塞情報及び解除情報の出力処理手順を示すフローチャートである。コンピュータ２のＣＰＵ２１は、マルウェアを検知したか否かを判断する(ステップＳ１９１)。ＣＰＵ２１は、検知していないと判断した場合(ステップＳ１９１でＮＯ)、ステップＳ１９１の処理を繰り返す。ＣＰＵ２１は、マルウェアを検知したと判断した場合(ステップＳ１９１でＹＥＳ)、処理をステップＳ１９２へ移行させる。

ＣＰＵ２１は、検知情報及びコンピュータ名をサーバコンピュータ１へ送信する(ステップＳ１９２)。ＣＰＵ２１は、通信部２６を閉塞する(ステップＳ１９５)。サーバコンピュータ１のＣＰＵ１１は、検知情報及びコンピュータ名を受信する(ステップＳ１９３)。ＣＰＵ１１は、コンピュータ名、検知情報及び検知日時を状態ＤＢ１５１に記憶する(ステップＳ１９４)。なお、検知日時は検知情報を受信時に時計部１８から出力された日時の他、コンピュータ２から検知情報とともに送信された検知日時を用いてもよい。

ＣＰＵ１１は、応答要求コマンドをコンピュータ２へ送信する(ステップＳ１９６)。ＣＰＵ１１は、応答要求コマンドに対する応答がないか否かを判断する(ステップＳ１９７)。ＣＰＵ１１は、応答があると判断した場合(ステップＳ１９７でＮＯ)、処理をステップＳ１９６へ戻し、処理を繰り返す。

ＣＰＵ１１は、応答がないと判断した場合(ステップＳ１９７でＹＥＳ)、処理をステップＳ１９８へ移行させる。ＣＰＵ１１は、閉塞情報をコンピュータ名及び検知日時に対応付けて状態ＤＢ１５１に記憶する(ステップＳ１９８)。その後、コンピュータ２の修復作業が進み、管理者は、入力部２３等を通じて、閉塞を解除する解除処理を入力する。ＣＰＵ２１は、入力部２３を通じて解除処理を受け付けたか否かを判断する(ステップＳ１９９)。

ＣＰＵ２１は、解除処理を受け付けていないと判断した場合(ステップＳ１９９でＮＯ)、解除処理を受け付けるまで当該処理を繰り返す。ＣＰＵ２１は、解除処理を受け付けたと判断した場合(ステップＳ１９９でＹＥＳ)、処理をステップＳ２０１へ移行させる。ＣＰＵ２１は、コンピュータ名、解除情報をサーバコンピュータ１へ送信する(ステップＳ２０１)。ＣＰＵ２１は、通信部２６の閉塞を解除する(ステップＳ２０１１)。サーバコンピュータ１のＣＰＵ１１は、コンピュータ名及び解除情報を受信する(ステップＳ２０２)。ＣＰＵ１１は、コンピュータ名に対応付けて解除日時及び解除情報を状態ＤＢ１５１に記憶する(ステップＳ２０３)。

ＣＰＵ１１は、管理装置３へ状態ＤＢ１５１の記憶内容を送信する(ステップＳ２０４)。なお、状態ＤＢ１５１の記憶内容は、記憶内容について更新がある度に、または、所定時間毎に管理装置３へ送信するようにしてもよい。また、ＣＰＵ１１は、解除情報を記憶してから、数日経過した場合、当該コンピュータ名に関するレコードを消去し、検知情報として未検知、閉塞情報を非閉塞と書き換えるようにしてもよい。

管理装置３のＣＰＵ３１は、状態ＤＢ１５１の記憶内容を受信する(ステップＳ２０５)。ＣＰＵ３１は、状態ＤＢ１５１の記憶内容を表示部３４に表示する(ステップＳ２０６)。図２１は閉塞情報及び解除情報の表示イメージを示す説明図である。ＣＰＵ３１は、管理者の入力部２３を通じた表示指示を受け付けた場合、記憶部３５に記憶した状態ＤＢ１５１の内容を読み出し、表示部３４に表示する。具体的には、ＣＰＵ１１は、コンピュータ名、検知情報、日時、閉塞情報及び解除情報を表示する。

ＣＰＵ３１は、閉塞中のコンピュータ名が存在する場合、閉塞中のコンピュータ名を抽出して、注意を喚起する情報を表示するようにしてもよい。図２１の例では「端末１が閉塞中です。」と閉塞中のコンピュータ名が抽出されて表示されている。これにより、管理者は同一ネットワークに属するコンピュータ２の閉塞、解除状態を容易に確認することができる。

本実施の形態４は以上の如きであり、その他は実施の形態１から３と同様であるので、対応する部分には同一の参照番号を付してその詳細な説明を省略する。

実施の形態５
実施の形態５は予防的に閉塞する形態に関する。図２２は状態ＤＢ１５１のレコードレイアウトを示す説明図である。状態ＤＢ１５１の閉塞情報フィールドには、閉塞及び予防閉塞の２つが記憶されている。予防閉塞は、マルウェアを検知したコンピュータ２（以下、場合により第１コンピュータ２という）を通じて検知情報を取得した同一ネットワークに属する他のコンピュータ２（以下、場合により第２コンピュータ２という）が予防的に閉塞したことを示す。

図２２の例では端末１がマルウェアを検知し通信部２６を閉塞している。端末２及び端末３は、端末１からの検知情報を通じて通信部２６を予防的に閉塞していることを示す。なお、その他の記憶内容は他の実施形態と同様であるので詳細な説明は省略する。

図２３から図２６は閉塞処理の手順を示すフローチャートである。第１コンピュータ２のＣＰＵ２１は、マルウェアを検知したか否かを判断する(ステップＳ２３１)。ＣＰＵ２１は、検知していないと判断した場合(ステップＳ２３１でＮＯ)、ステップＳ２３１の処理を繰り返す。ＣＰＵ２１は、マルウェアを検知したと判断した場合(ステップＳ２３１でＹＥＳ)、処理をステップＳ２３２へ移行させる。

ＣＰＵ２１は、検知情報及び第１コンピュータ名を第２コンピュータ２及びサーバコンピュータ１へ送信する(ステップＳ２３２)。具体的には、第１コンピュータ２のＣＰＵ２１は、記憶部２５にあらかじめ記憶した同一ネットワークに属するコンピュータ２のアドレスを読み出し、読み出したコンピュータ２へ第１コンピュータ名及び検知情報を送信すればよい。そのほか、検知情報及び第１コンピュータ名を受信したサーバコンピュータ１または管理装置３から、同一ネットワークアドレスを有する第２コンピュータ２へ検知情報及び第１コンピュータ名を送信するようにしてもよい。

第１コンピュータ２のＣＰＵ２１は、通信部２６を閉塞する(ステップＳ２３３)。第２コンピュータ２のＣＰＵ２１は、検知情報及び第１コンピュータ名を受信する(ステップＳ２３４)。サーバコンピュータ１のＣＰＵ１１は、検知情報及び第１コンピュータ名を受信する(ステップＳ２３５)。ＣＰＵ１１は、第１コンピュータ名、検知情報及び検知日時を状態ＤＢ１５１に記憶する(ステップＳ２３６)。

サーバコンピュータ１のＣＰＵ１１は、第１コンピュータ２へ応答要求コマンドを送信する(ステップＳ２３７)。ＣＰＵ１１は、応答要求コマンドに対する応答がないか否かを判断する(ステップＳ２３８)。ＣＰＵ１１は、応答があると判断した場合(ステップＳ２３８でＮＯ)、処理をステップＳ２３７へ戻し、処理を繰り返す。

ＣＰＵ１１は、応答がないと判断した場合(ステップＳ２３８でＹＥＳ)、処理をステップＳ２３９へ移行させる。ＣＰＵ１１は、閉塞情報を第１コンピュータ名及び検知日時に対応付けて状態ＤＢ１５１に記憶する(ステップＳ２３９)。

第２コンピュータ２のＣＰＵ２１は、第２コンピュータ名及び予防閉塞情報を、サーバコンピュータ１へ送信する(ステップＳ２４１)。第２コンピュータ２のＣＰＵ２１は、通信部２６を閉塞する(ステップＳ２４２)。これにより、同一ネットワークに属する複数のコンピュータ２の通信部２６が閉塞されることとなる。

サーバコンピュータ１のＣＰＵ１１は、第２コンピュータ名及び予防閉塞情報を受信する(ステップＳ２４３)。サーバコンピュータ１のＣＰＵ１１は、第２コンピュータ２へ応答要求コマンドを送信する(ステップＳ２４３１)。ＣＰＵ１１は、応答要求コマンドに対する応答がないか否かを判断する(ステップＳ２４３２)。ＣＰＵ１１は、応答があると判断した場合(ステップＳ２４３２でＮＯ)、処理をステップＳ２４３１へ戻し、処理を繰り返す。ＣＰＵ１１は、応答がないと判断した場合(ステップＳ２４３２でＹＥＳ)、処理をステップＳ２４４へ移行させる。ＣＰＵ１１は、第２コンピュータ名、閉塞日時及び予防閉塞情報を状態ＤＢ１５１に記憶する(ステップＳ２４４)。なお、閉塞日時に代えて、ステップＳ２３６で記憶した検知日時を記憶するようにしてもよい。その後、第１コンピュータ２の修復作業が進み、管理者は、入力部２３等を通じて、閉塞を解除する解除処理を入力する。第１コンピュータ２のＣＰＵ２１は、入力部２３を通じて解除処理を受け付けたか否かを判断する(ステップＳ２４５)。

ＣＰＵ２１は、解除処理を受け付けていないと判断した場合(ステップＳ２４５でＮＯ)、解除処理を受け付けるまで当該処理を繰り返す。ＣＰＵ２１は、解除処理を受け付けたと判断した場合(ステップＳ２４５でＹＥＳ)、処理をステップＳ２４６へ移行させる。第１コンピュータ２のＣＰＵ２１は、第１コンピュータ名、解除情報を第２コンピュータ２及びサーバコンピュータ１へ送信する(ステップＳ２４６)。ＣＰＵ２１は、通信部２６の閉塞を解除する(ステップＳ２４７)。

第２コンピュータ２のＣＰＵ２１は、第１コンピュータ名及び解除情報を受信する(ステップＳ２４８)。ＣＰＵ２１は、通信部２６の閉塞を解除する(ステップＳ２４９)。ＣＰＵ２１は、第２コンピュータ名及び解除情報を送信する(ステップＳ２５１)。サーバコンピュータ１のＣＰＵ１１は、第１コンピュータ名、第２コンピュータ名及び解除情報を受信する(ステップＳ２５２)。ＣＰＵ１１は、各コンピュータ名に対応付けて解除日時及び解除情報を状態ＤＢ１５１に記憶する(ステップＳ２５３)。

ＣＰＵ１１は、管理装置３へ状態ＤＢ１５１の記憶内容を送信する(ステップＳ２５４)。管理装置３のＣＰＵ３１は、状態ＤＢ１５１の記憶内容を受信する(ステップＳ２５５)。ＣＰＵ３１は、状態ＤＢ１５１の記憶内容を表示部３４に表示する(ステップＳ２５６)。これにより、同一ネットワークに属するコンピュータ２へのマルウェアの拡散を未然に予防することが可能となる。また権利者はどのコンピュータ２が閉塞したのか、どのコンピュータ２が予防的に閉塞したのかを把握することが可能となる。

本実施の形態５は以上の如きであり、その他は実施の形態１から４と同様であるので、対応する部分には同一の参照番号を付してその詳細な説明を省略する。

実施の形態６
図２７は上述した形態のコンピュータ２の機能ブロック図である。ＣＰＵ２１が制御プログラム２５Ｐを実行することにより、コンピュータ２は以下のように動作する。出力部２７１は、マルウェアを検知した場合、管理装置３へ前記マルウェアを検知したことを示す検知情報を出力する。閉塞部２７２は、前記検知情報を出力した後に、外部ネットワークと接続する通信部２６を閉塞する。

図２８は上述した形態のサーバコンピュータ１の動作を示す機能ブロック図である。ＣＰＵ１１が制御プログラム１５Ｐを実行することにより、サーバコンピュータ１は以下のように動作する。取得部２８１は、マルウェアを検知した場合に、外部ネットワークと接続する通信部２６を閉塞するコンピュータ２から、閉塞前に送信されたマルウェアを検知したことを示す検知情報を取得する。出力部２８２は、検知情報を受信した場合に、検知情報及び閉塞したことを示す閉塞情報を出力する。

図２９は実施の形態６に係るコンピュータ２のハードウェア群を示すブロック図である。コンピュータ２を動作させるためのプログラムは、ディスクドライブ、メモリーカードスロット等の読み取り部２０ＡにＣＤ−ＲＯＭ、ＤＶＤディスク、メモリーカード、またはＵＳＢメモリ等の可搬型記録媒体２Ａを読み取らせて記憶部２５に記憶しても良い。また当該プログラムを記憶したフラッシュメモリ等の半導体メモリ２Ｂをコンピュータ２内に実装しても良い。さらに、当該プログラムは、インターネット等の通信網Ｎを介して接続される他のサーバコンピュータ（図示せず）からダウンロードすることも可能である。以下に、その内容を説明する。

図２９に示すコンピュータ２は、上述した各種ソフトウェア処理を実行するプログラムを、可搬型記録媒体２Ａまたは半導体メモリ２Ｂから読み取り、或いは、通信網Ｎを介して他のサーバコンピュータ（図示せず）からダウンロードする。当該プログラムは、制御プログラム２５Ｐとしてインストールされ、ＲＡＭ２２にロードして実行される。これにより、上述したコンピュータ２として機能する。

図３０は実施の形態６に係るサーバコンピュータ１のハードウェア群を示すブロック図である。サーバコンピュータ１を動作させるためのプログラムは、ディスクドライブ、メモリーカードスロット等の読み取り部１０ＡにＣＤ−ＲＯＭ、ＤＶＤディスク、メモリーカード、またはＵＳＢメモリ等の可搬型記録媒体１Ａを読み取らせて記憶部１５に記憶しても良い。また当該プログラムを記憶したフラッシュメモリ等の半導体メモリ１Ｂをコンピュータ１内に実装しても良い。さらに、当該プログラムは、インターネット等の通信網Ｎを介して接続される他のサーバコンピュータ（図示せず）からダウンロードすることも可能である。以下に、その内容を説明する。

図３０に示すサーバコンピュータ１は、上述した各種ソフトウェア処理を実行するプログラムを、可搬型記録媒体１Ａまたは半導体メモリ１Ｂから読み取り、或いは、通信網Ｎを介して他のサーバコンピュータ（図示せず）からダウンロードする。当該プログラムは、制御プログラム１５Ｐとしてインストールされ、ＲＡＭ１２にロードして実行される。これにより、上述したサーバコンピュータ１として機能する。

本実施の形態６は以上の如きであり、その他は実施の形態１から５と同様であるので、対応する部分には同一の参照番号を付してその詳細な説明を省略する。

実施の形態７
実施の形態７はサーバコンピュータ１にて状態ＤＢ１５１を設ける形態に関する。実施の形態１では、状態ＤＢ３５３を管理装置３に設ける例を示したが、状態ＤＢ１５１をサーバコンピュータ１に設けても良い。図３１及び図３２は検知情報の出力処理手順を示すフローチャートである。コンピュータ２のＣＰＵ２１は、マルウェアを検知したか否かを判断する(ステップＳ３１１)。ＣＰＵ２１は、検知していないと判断した場合(ステップＳ３１１でＮＯ)、ステップＳ３１１の処理を繰り返す。ＣＰＵ２１は、マルウェアを検知したと判断した場合(ステップＳ３１１でＹＥＳ)、処理をステップＳ３１２へ移行させる。

ＣＰＵ２１は、検知情報及びコンピュータ名をサーバコンピュータ１へ送信する(ステップＳ３１２)。ＣＰＵ２１は、通信部２６を閉塞すべき旨のＯＳコマンドを発行し通信部２６を閉塞する(ステップＳ３１４)。サーバコンピュータ１のＣＰＵ１１は、検知情報及びコンピュータ名を受信する(ステップＳ３１３)。ＣＰＵ１１は、応答要求コマンドをコンピュータ２へ送信する(ステップＳ３１５)。ＣＰＵ１１は、応答要求コマンドに対する応答がないか否かを判断する(ステップＳ３１６)。ＣＰＵ１１は、応答があると判断した場合(ステップＳ３１６でＮＯ)、処理をステップＳ３１５へ戻し、処理を繰り返す。

ＣＰＵ１１は、応答がないと判断した場合(ステップＳ３１６でＹＥＳ)、処理をステップＳ３１７へ移行させる。ＣＰＵ１１は、コンピュータ名、検知情報及び閉塞情報を、状態ＤＢ１５１に記憶する(ステップＳ３１７)。ＣＰＵ１１は、管理装置３へコンピュータ名、検知情報、及び閉塞情報を送信する(ステップＳ３１８)。管理装置３のＣＰＵ３１は、コンピュータ名、検知情報及び閉塞情報を受信する(ステップＳ３１９)。ＣＰＵ３１は、受信したコンピュータ名、検知情報及び閉塞情報を表示部３４に表示する(ステップＳ３２１)。

コンピュータ２は報告情報として、ＩＰアドレス、マルウェア検知日時、及び検知したマルウェアを表示部２４に表示する(ステップＳ３２２)。マルウェア検知日時及び検知したマルウェアに関しては、ウィルス対策ソフトウェアから出力される情報をもとに表示すれば良い。ＣＰＵ２１は、ＲＡＭ２２に記憶したプロセス情報、各プロセス時におけるプロトコル、ローカルアドレス及び外部アドレスの時系列データを表示部２４に表示する(ステップＳ３２３)。これにより、マルウェアの拡散を未然に防止することが可能となる。

本実施の形態７は以上の如きであり、その他は実施の形態１から６と同様であるので、対応する部分には同一の参照番号を付してその詳細な説明を省略する。

実施の形態８
実施の形態８は検知情報を、サーバコンピュータ１を通じて他のコンピュータ２へ送信する形態に関する。図３３から図３７は閉塞処理の手順を示すフローチャートである。第１コンピュータ２のＣＰＵ２１は、マルウェアを検知したか否かを判断する(ステップＳ３３１)。ＣＰＵ２１は、検知していないと判断した場合(ステップＳ３３１でＮＯ)、ステップＳ３３１の処理を繰り返す。ＣＰＵ２１は、マルウェアを検知したと判断した場合(ステップＳ３３１でＹＥＳ)、処理をステップＳ３３２へ移行させる。

ＣＰＵ２１は、検知情報及び第１コンピュータ名をサーバコンピュータ１へ送信する(ステップＳ３３２)。第１コンピュータ２のＣＰＵ２１は、通信部２６を閉塞する(ステップＳ３３３)。サーバコンピュータ１のＣＰＵ１１は、検知情報及び第１コンピュータ名を受信する(ステップＳ３３４)。ＣＰＵ１１は、第１コンピュータ名、検知情報及び検知日時を状態ＤＢ１５１に記憶する(ステップＳ３３５)。

サーバコンピュータ１のＣＰＵ１１は、第１コンピュータ２へ応答要求コマンドを送信する(ステップＳ３３６)。ＣＰＵ１１は、応答要求コマンドに対する応答がないか否かを判断する(ステップＳ３３７)。ＣＰＵ１１は、応答があると判断した場合(ステップＳ３３７でＮＯ)、処理をステップＳ３３６へ戻し、処理を繰り返す。

ＣＰＵ１１は、応答がないと判断した場合(ステップＳ３３７でＹＥＳ)、処理をステップＳ３３８へ移行させる。ＣＰＵ１１は、閉塞情報を第１コンピュータ名及び検知日時に対応付けて状態ＤＢ１５１に記憶する(ステップＳ３３８)。

ＣＰＵ１１は、第１コンピュータ２と同一ネットワークに属する第２コンピュータ２へ通信部２６を閉塞させることを示す閉塞命令を出力する(ステップＳ３３９)。第２コンピュータ２のＣＰＵ２１は、閉塞命令を受信する(ステップＳ３４１)。ＣＰＵ２１は、第２コンピュータ名及び予防閉塞情報を、サーバコンピュータ１へ送信する(ステップＳ３４２)。第２コンピュータ２のＣＰＵ２１は、通信部２６を閉塞する(ステップＳ３４３)。なお、実施形態では説明を容易にするために、一つの第２コンピュータ２に閉塞命令を出力する例を示したがこれに限るものではない。複数の他の第３コンピュータ２、第４コンピュータ２・・・等へ同様に閉塞命令を出力してもよい。これにより、同一ネットワークに属する複数のコンピュータ２の通信部２６が閉塞されることとなる。

サーバコンピュータ１のＣＰＵ１１は、第２コンピュータ名及び予防閉塞情報を受信する(ステップＳ３４４)。サーバコンピュータ１のＣＰＵ１１は、第２コンピュータ２へ応答要求コマンドを送信する(ステップＳ３４５)。ＣＰＵ１１は、応答要求コマンドに対する応答がないか否かを判断する(ステップＳ３４６)。ＣＰＵ１１は、応答があると判断した場合(ステップＳ３４６でＮＯ)、処理をステップＳ３４５へ戻し、処理を繰り返す。ＣＰＵ１１は、応答がないと判断した場合(ステップＳ３４６でＹＥＳ)、処理をステップＳ３４７へ移行させる。ＣＰＵ１１は、第２コンピュータ名、閉塞日時及び予防閉塞情報を状態ＤＢ１５１に記憶する(ステップＳ３４７)。その後、第１コンピュータ２の修復作業が進み、管理者は、入力部２３等を通じて、閉塞を解除する解除処理を入力する。第１コンピュータ２のＣＰＵ２１は、入力部２３を通じて解除処理を受け付けたか否かを判断する(ステップＳ３４８)。

ＣＰＵ２１は、解除処理を受け付けていないと判断した場合(ステップＳ３４８でＮＯ)、解除処理を受け付けるまで当該処理を繰り返す。ＣＰＵ２１は、解除処理を受け付けたと判断した場合(ステップＳ３４８でＹＥＳ)、処理をステップＳ３４９へ移行させる。第１コンピュータ２のＣＰＵ２１は、第１コンピュータ名、解除情報をサーバコンピュータ１へ送信する(ステップＳ３４９)。ＣＰＵ２１は、通信部２６の閉塞を解除する(ステップＳ３５１)。

サーバコンピュータ１のＣＰＵ１１は、第１コンピュータ名及び解除情報を受信する(ステップＳ３５２)。ＣＰＵ１１は解除命令を第２コンピュータ２へ送信する(ステップＳ３５３)。第２コンピュータ２のＣＰＵ２１は解除命令を受信する(ステップＳ３５４)。第２コンピュータ２のＣＰＵ２１は通信部２６の閉塞を解除する(ステップＳ３５５)。ＣＰＵ２１は第２コンピュータ名及び解除情報を送信する(ステップＳ３５６)。ＣＰＵ１１は第２コンピュータ名及び解除情報を受信する(ステップＳ３５７)。ＣＰＵ１１は、各コンピュータ名に対応付けて解除日時及び解除情報を状態ＤＢ１５１に記憶する(ステップＳ３５８)。

ＣＰＵ１１は、管理装置３へ状態ＤＢ１５１の記憶内容を送信する(ステップＳ３５９)。管理装置３のＣＰＵ３１は、状態ＤＢ１５１の記憶内容を受信する(ステップＳ３６１)。ＣＰＵ３１は、状態ＤＢ１５１の記憶内容を表示部３４に表示する(ステップＳ３６２)。これにより、同一ネットワークに属するコンピュータ２間でのマルウェアの拡散を未然に防止することが可能となる。また解除もコンピュータ２間で容易に実行することが可能となる。

本実施の形態８は以上の如きであり、その他は実施の形態１から７と同様であるので、対応する部分には同一の参照番号を付してその詳細な説明を省略する。なお、以上述べた各実施形態は適宜組み合わせることが可能である。

以上の実施の形態１から８を含む実施形態に関し、さらに以下の付記を開示する。
（付記１）
情報処理装置でマルウェアを検知した場合、前記情報処理装置を管理する管理装置へ前記マルウェアを検知したことを示す検知情報を出力し、
前記検知情報を出力した後に、前記情報処理装置が外部ネットワークと接続するインタフェースを閉塞する
処理を前記情報処理装置に実行させるプログラム。
（付記２）
あらかじめ記憶されたセキュリティポリシーを参照し、検知したマルウェアに応じて、複数のインタフェースの内閉塞するインタフェースを決定する
付記１に記載のプログラム。
（付記３）
ＯＳコマンドの発行により閉塞する処理を行う
付記１または２に記載のプログラム。
（付記４）
閉塞を行った後に、アクセス先、プロセス情報及び前記インタフェースを閉塞した日時を含む報告情報を出力する
付記１から３のいずれか一つに記載のプログラム。
（付記５）
閉塞を行った後に閉塞したインタフェース及びアクセス先を出力する
付記１から４のいずれか一つに記載のプログラム。
（付記６）
閉塞を行った後に閉塞したインタフェース及びアクセス先と、閉塞を行っていないインタフェース及びアクセス先を出力する
付記１から４のいずれか一つに記載のプログラム。
（付記７）
同一のネットワークに属する他の情報処理装置を通じて検知情報を取得し、
前記検知情報を取得した場合に、前記インタフェースを閉塞する
付記１から６のいずれか一つに記載のプログラム。
（付記８）
マルウェアを検知した場合に、外部ネットワークと接続するインタフェースを閉塞する情報処理装置から、閉塞前に送信されたマルウェアを検知したことを示す検知情報を取得し、
検知情報を受信した場合に、検知情報及び閉塞したことを示す閉塞情報を出力する
処理をコンピュータに実行させるプログラム。
（付記９）
前記情報処理装置を特定するための識別情報、前記検知情報及び閉塞情報を出力する
付記８に記載のプログラム。
（付記１０）
前記情報処理装置からインタフェースの閉塞を解除したことを示す解除情報を取得し、
前記解除情報を取得した場合、前記情報処理装置の識別情報及び解除情報を出力する
付記８または９に記載のプログラム。
（付記１１）
前記情報処理装置と同一のネットワークに属する他の情報処理装置から前記検知情報を取得し、
前記他のコンピュータの識別情報、検知情報及び閉塞情報を出力する
付記８から１０のいずれか一つに記載のプログラム。
（付記１２）
前記他の情報処理装置からインタフェースの閉塞を解除したことを示す第２解除情報を取得し、
前記第２解除情報を取得した場合、前記他の情報処理装置の識別情報及び前記第２解除情報を出力する
付記１１に記載のプログラム。
（付記１３）
同一のネットワークに属する他の情報処理装置から検知情報を取得したことに伴い、前記情報処理装置のインタフェースを閉塞することを示す第２閉塞情報を、前記情報書処理装置から取得した場合に、前記情報処置装置の識別情報及び第２閉塞情報を出力する
付記８から１２のいずれか一つに記載のプログラム。
（付記１４）
前記情報処理装置から検知情報を取得した場合に、該情報処理装置と同一のネットワークに属する他の情報処理装置へインタフェースを閉塞させる閉塞命令を出力する
付記８から１２のいずれか一つに記載のプログラム。
（付記１５）
情報処理装置でマルウェアを検知した場合、前記情報処理装置を管理する管理装置へ前記マルウェアを検知したことを示す検知情報を出力し、
前記検知情報を出力した後に、前記情報処理装置が外部ネットワークと接続するインタフェースを閉塞する
処理を前記情報処理装置に実行させる情報処理方法。
（付記１６）
マルウェアを検知した場合、管理装置へ前記マルウェアを検知したことを示す検知情報を出力する出力部と、
前記検知情報を出力した後に、外部ネットワークと接続するインタフェースを閉塞する閉塞部と
を備える情報処理装置。
（付記１７）
マルウェアを検知した場合に、外部ネットワークと接続するインタフェースを閉塞する情報処理装置から、閉塞前に送信されたマルウェアを検知したことを示す検知情報を取得し、
検知情報を受信した場合に、検知情報及び閉塞したことを示す閉塞情報を出力する
処理をコンピュータに実行させる情報処理方法。
（付記１８）
マルウェアを検知した場合に、外部ネットワークと接続するインタフェースを閉塞する情報処理装置から、閉塞前に送信されたマルウェアを検知したことを示す検知情報を取得する取得部と、
検知情報を受信した場合に、検知情報及び閉塞したことを示す閉塞情報を出力する出力部と
を備える情報処理装置。

１ サーバコンピュータ（情報処理装置）
２ コンピュータ
３ 管理装置
１Ａ 可搬型記録媒体
１Ｂ 半導体メモリ
１０Ａ 読み取り部
２Ａ 可搬型記録媒体
２Ｂ 半導体メモリ
２０Ａ 読み取り部
１１ ＣＰＵ
１２ ＲＡＭ
１３ 入力部
１４ 表示部
１５ 記憶部
１５Ｐ 制御プログラム
１６ 通信部
１８ 時計部
２１ ＣＰＵ
２２ ＲＡＭ
２３ 入力部
２４ 表示部
２５ 記憶部
２５Ｐ 制御プログラム
２６ 通信部
２８ 時計部
３１ ＣＰＵ
３２ ＲＡＭ
３３ 入力部
３４ 表示部
３５ 記憶部
３５Ｐ 制御プログラム
３６ 通信部
３８ 時計部
１５１ 状態ＤＢ
２５１ ＯＳ
２５２ セキュリティポリシーテーブル
２６１ ＬＡＮモジュール
２６２ 無線通信部
２６３ 近距離通信部
２７１ 出力部
２７２ 閉塞部
２８１ 取得部
２８２ 出力部
３５１ 状態ＤＢ
３５２ セキュリティポリシーテーブル
Ｎ 通信網

Claims (9)

1. 情報処理装置でマルウェアを検知した場合、前記情報処理装置を管理する管理装置へ前記マルウェアを検知したことを示す検知情報を出力し、
   前記検知情報を出力した後に、前記情報処理装置が外部ネットワークと接続するインタフェースを閉塞する
   処理を前記情報処理装置に実行させるプログラム。
2. あらかじめ記憶されたセキュリティポリシーを参照し、検知したマルウェアに応じて、複数のインタフェースの内閉塞するインタフェースを決定する
   請求項１に記載のプログラム。
3. ＯＳコマンドの発行により閉塞する処理を行う
   請求項１または２に記載のプログラム。
4. 閉塞を行った後に、アクセス先、プロセス情報及び前記インタフェースを閉塞した日時を含む報告情報を出力する
   請求項１から３のいずれか一つに記載のプログラム。
5. マルウェアを検知した場合に、外部ネットワークと接続するインタフェースを閉塞する情報処理装置から、閉塞前に送信されたマルウェアを検知したことを示す検知情報を取得し、
   検知情報を受信した場合に、検知情報及び閉塞したことを示す閉塞情報を出力する
   処理をコンピュータに実行させるプログラム。
6. 情報処理装置でマルウェアを検知した場合、前記情報処理装置を管理する管理装置へ前記マルウェアを検知したことを示す検知情報を出力し、
   前記検知情報を出力した後に、前記情報処理装置が外部ネットワークと接続するインタフェースを閉塞する
   処理を前記情報処理装置に実行させる情報処理方法。
7. マルウェアを検知した場合、管理装置へ前記マルウェアを検知したことを示す検知情報を出力する出力部と、
   前記検知情報を出力した後に、外部ネットワークと接続するインタフェースを閉塞する閉塞部と
   を備える情報処理装置。
8. マルウェアを検知した場合に、外部ネットワークと接続するインタフェースを閉塞する情報処理装置から、閉塞前に送信されたマルウェアを検知したことを示す検知情報を取得し、
   検知情報を受信した場合に、検知情報及び閉塞したことを示す閉塞情報を出力する
   処理をコンピュータに実行させる情報処理方法。
9. マルウェアを検知した場合に、外部ネットワークと接続するインタフェースを閉塞する情報処理装置から、閉塞前に送信されたマルウェアを検知したことを示す検知情報を取得する取得部と、
   検知情報を受信した場合に、検知情報及び閉塞したことを示す閉塞情報を出力する出力部と
   を備える情報処理装置。

Images