JP3836472B2 - 通信妨害サーバ、通信妨害プログラム、通信妨害方法、情報通信システム及び情報通信方法 - Google Patents

Description

本発明は、コンピュータワームによる攻撃を受けた感染コンピュータから他のコンピュータへの攻撃を防ぐ通信妨害サーバ、通信妨害プログラム、通信妨害方法、情報通信システム及び情報通信方法に関する。

近年のコンピュータネットワークの発達に伴い、コンピュータワーム、ウィルス、ハッキングなどの不正アクセスも増加し、コンピュータネットワークを介して機密情報が流出したりサービス不能攻撃を受けたりする場合がある。コンピュータワームは、例えばＮｉｍｄａ、Ｃｏｄｅ Ｒｅｄ等が挙げられ、コンピュータにインストールされるオペレーションシステムやソフトウェアのセキュリティホールと呼ばれるバグを狙ってコンピュータを攻撃する。感染速度が早く危険度も高いコンピュータワームが度々発生され、莫大な損害を与える場合もある。

しかし、ネットワークの利便性を享受しながら安全性も確保するためには、適切なセキュリティ対策が不可欠である。特に企業や団体などの組織においては、この様に不正アクセスに対して、ファイアウォールを設けたりウィルス対策ソフトウェアをインストールすることにより不正アクセスを防御する対策が求められている。

しかし、ＴＣＰ／ＩＰを採用したコンピュータネットワークにおいてファイアウォールは、送信元のＩＰアドレスやポート番号によって通信を許可するか否かを判定しているので、ファイアウォールのみによるセキュリティ対策は安全性の確保が困難になっている。これを踏まえ、ファイアウォールを通過してきた通信を監視し、不正アクセスの侵入を検知するＩＤＳ（Intrusion Detection System）や更に保護対象となるサーバを侵入から保護するＩＤＰ（Intrusion Detection and Prevention）などへの期待が高まっている。

また、ＤＤｏＳなどの不正アクセスに対応するために、ＤＤｏＳ攻撃を検出した場合に、防御側ネットワークの管理者の指示により攻撃遮断機に通信制御の指示を出す不正アクセス防御システムがある（例えば特許文献１）。この特許文献１に記載の不正アクセス防御システムでは、ＤＤｏＳ攻撃のプログラムを仕組まれた踏み台ホストは、通信制御の指示を受け取ると通信を制御する。

一方、ＭＡＣアドレスの問合要求を受けると、ＡＲＰサーバとなって問合要求を受けたＭＡＣアドレスを返信することによって、ＬＡＮ内のトラフィックの軽減、セキュリティ対策を図ることのできるネットワークブリッジ装置がある（特許文献２）。この特許文献２に記載のネットワークブリッジ装置は、ＭＡＣアドレスとＩＰアドレスとを予め対応付けて登録したアドレステーブルを備えており、このアドレステーブルを参照して、ＭＡＣアドレスを返信する。
特開２００２−１５８６６０号公報 特開２００３−３１９９５５号公報

しかし、ＩＤＰは保護対象となるサーバを保護するものであるので、社内イントラネットなどの通信ネットワークに存在する全ての情報機器をＩＤＰによって保護することは不可能である。

例えば、コンピュータは、ウィルス対策ソフトウェアについて常に最新のウィルスパターンファイルを取得し、セキュリティホールを修正する修正ファイルを適用することにより、不正アクセスから防御できる場合も多い。しかし、組織の通信ネットワーク上に存在する全てのコンピュータを防御するためには、多大なコストと労力とを引換に厳密に管理されなければならない。従ってウィルスパターンファイルの管理や修正ファイルの管理によって全てのコンピュータを不正アクセスから防御することは事実上不可能で、管理されないコンピュータの脆弱性が高くなってしまう。

従って、通信ネットワークに不正アクセスが侵入しコンピュータに感染してしまうと、脆弱性の高いコンピュータが狙われ更に被害が拡大してしまう問題がある。

また、上述した特許文献１に記載のシステムにおいては、ＤＤｏＳ攻撃などの時間を要して被害を与える不正アクセスに対しては有効なシステムである。しかし、Ｎｉｍｄａ、Ｃｏｄｅ Ｒｅｄ等などのコンピュータワームは、自己増殖を繰り返しながら破壊活動を行うので、ひとたび感染すれば瞬時にその被害が広まってしまう問題がある。

また、上述した特許文献２に記載の装置においては、定期的にＭＡＣアドレスを問い合わせ、応答されたＭＡＣアドレスを抽出してアドレステーブルに登録されたものと一致しない場合、警告メールを送信することにより、セキュリティ対策を採っていると思料される。この特許文献２に記載の装置は、コンピュータのＭＡＣアドレスが変更された場合に有効なセキュリティ対策であって、コンピュータのワームに対するセキュリティ対策ではない。

従って本発明の目的は、コンピュータワームによる攻撃を受けた感染コンピュータから他のコンピュータへの攻撃を防ぐ通信妨害サーバ、通信妨害プログラム、通信妨害方法、情報通信システム及び情報通信方法を提供することである。

上記課題を解決するために、本発明の第１の特徴に係る通信妨害サーバは、コンピュータワームによる攻撃を受けた感染コンピュータのＩＰアドレスを受信し、感染コンピュータＩＰアドレスとして記憶装置に記憶する手段と、記憶装置から感染コンピュータＩＰアドレスを読み出して、感染コンピュータのＭＡＣアドレスをダミーＭＡＣアドレスに設定するダミーＭＡＣアドレス設定命令を作成して、ダミーＭＡＣアドレス設定命令を感染コンピュータと同一のネットワークセグメントに存在する情報機器に送信する手段と、感染コンピュータのＩＰアドレスと、感染コンピュータの真のＭＡＣアドレスと、感染コンピュータに割り当てたダミーＭＡＣアドレスとを対応付けたダミーＭＡＣアドレス対応テーブルを記憶装置に記憶する手段とを備える。これにより、本発明の第１の特徴に係る通信妨害サーバは、感染コンピュータと感染コンピュータと同一のネットワークセグメントに存在する機器との間の通信コネクションを確立させない。

ここで、ダミーＭＡＣアドレスは、ネットワークセグメントに存在する情報機器のいずれのＭＡＣアドレスにも該当しない文言、或いは通信妨害サーバのＭＡＣアドレスであることが好ましい。これにより、感染コンピュータから送信される攻撃パケットを他の情報機器に送信させることができなくなる。

更に、所定のＩＰアドレスに基づいてＭＡＣアドレスを問い合わせるリクエストを受信する手段と、記憶装置からダミーＭＡＣアドレス対応テーブルを読み出して、所定のＩＰアドレスが、感染コンピュータＩＰアドレスである場合、感染コンピュータＩＰアドレスとダミーＭＡＣアドレスとを関連づけるリクエストに対するリプライを生成して送信する手段とを更に備えることが好ましい。これによれば、複数のコンピュータが感染された場合にでも対応することができる。

本発明の第２の特徴に係る通信妨害サーバは、コンピュータワームによる攻撃を受けた感染コンピュータのＩＰアドレスを受信し、感染コンピュータＩＰアドレスとして記憶装置に記憶するステップと、記憶装置から感染コンピュータＩＰアドレスを読み出して、感染コンピュータのＭＡＣアドレスをダミーＭＡＣアドレスに設定するダミーＭＡＣアドレス設定命令を作成して、ダミーＭＡＣアドレス設定命令を感染コンピュータと同一のネットワークセグメントに存在する情報機器に送信するステップと、感染コンピュータのＩＰアドレスと、感染コンピュータの真のＭＡＣアドレスと、感染コンピュータに割り当てたダミーＭＡＣアドレスとを対応付けたダミーＭＡＣアドレス対応テーブルを記憶装置に記憶するステップとをコンピュータに実行させることにより、感染コンピュータと感染コンピュータと同一のネットワークセグメントに存在する機器との間の通信コネクションを確立させない。

更に、ダミーＭＡＣアドレスは、ネットワークセグメントに存在する情報機器のいずれのＭＡＣアドレスにも該当しない文言、或いは通信妨害サーバのＭＡＣアドレスであることが好ましい。

更に、所定のＩＰアドレスに基づいてＭＡＣアドレスを問い合わせるリクエストを受信するステップと、記憶装置からダミーＭＡＣアドレス対応テーブルを読み出して、所定のＩＰアドレスが、感染コンピュータＩＰアドレスである場合、感染コンピュータＩＰアドレスとダミーＭＡＣアドレスとを関連づけるリクエストに対するリプライを生成して送信するステップとを更にコンピュータに実行させることが好ましい。

本発明の第３の特徴に係る通信妨害方法は、コンピュータワームによる攻撃を受けた感染コンピュータのＩＰアドレスを受信し、感染コンピュータＩＰアドレスとして記憶装置に記憶するステップと、記憶装置から感染コンピュータＩＰアドレスを読み出して、感染コンピュータのＭＡＣアドレスをダミーＭＡＣアドレスに設定するダミーＭＡＣアドレス設定命令を作成して、ダミーＭＡＣアドレス設定命令を感染コンピュータと同一のネットワークセグメントに存在する情報機器に送信するステップと、感染コンピュータのＩＰアドレスと、感染コンピュータの真のＭＡＣアドレスと、感染コンピュータに割り当てたダミーＭＡＣアドレスとを対応付けたダミーＭＡＣアドレス対応テーブルを記憶装置に記憶するステップとを備え、感染コンピュータと感染コンピュータと同一のネットワークセグメントに存在する機器との間の通信コネクションを確立させない。

本発明の第４の特徴に係る情報通信システムは、ネットワークセグメントの識別子と、ネットワークセグメントに設置された通信妨害サーバの識別子とが関連づけられた通信妨害サーバリストを記憶装置から読み出すとともに、コンピュータワームによる攻撃を受けた感染コンピュータのＩＰアドレスを取得し、感染コンピュータのＩＰアドレスに基づいて感染コンピュータが設置されたネットワークセグメントを判定し、感染コンピュータが設置されたネットワークセグメントに設置された通信妨害サーバの識別子を抽出し、抽出された通信妨害サーバに対して感染コンピュータのＩＰアドレスを送信する手段を備えるコントローラサーバと、コントローラサーバから感染コンピュータのＩＰアドレスを受信し、感染コンピュータＩＰアドレスとして記憶装置に記憶する手段と、記憶装置から感染コンピュータＩＰアドレスを読み出して、感染コンピュータのＭＡＣアドレスをダミーＭＡＣアドレスに設定するダミーＭＡＣアドレス設定命令を作成して、ダミーＭＡＣアドレス設定命令を感染コンピュータと同一のネットワークセグメントに存在する情報機器に送信する手段と、感染コンピュータのＩＰアドレスと、感染コンピュータの真のＭＡＣアドレスと、感染コンピュータに割り当てたダミーＭＡＣアドレスとを対応付けたダミーＭＡＣアドレス対応テーブルを記憶装置に記憶する手段とを備える通信妨害サーバと、感染コンピュータと同一のネットワークセグメントに設置され、通信妨害サーバから送信されたダミーＭＡＣアドレス設定命令を受信すると、同一のネットワークセグメントに存在する情報機器のＩＰアドレスとＭＡＣアドレスとが対応付けられたＡＲＰテーブルを読み出し、感染コンピュータＩＰアドレスに対応するＭＡＣアドレスを、ダミーＭＡＣアドレスに書き換える手段を備える情報機器とを備える。

本発明の第５の特徴に係る情報通信方法は、コントローラサーバが、ネットワークセグメントの識別子と、ネットワークセグメントに設置された通信妨害サーバの識別子とが関連づけられた通信妨害サーバリストを記憶装置から読み出すとともに、コンピュータワームによる攻撃を受けた感染コンピュータのＩＰアドレスを取得するステップと、コントローラサーバが、感染コンピュータのＩＰアドレスに基づいて感染コンピュータが設置されたネットワークセグメントを判定し、感染コンピュータが設置されたネットワークセグメントに設置された通信妨害サーバの識別子を抽出するステップと、コントローラサーバが、抽出された通信妨害サーバに対して感染コンピュータのＩＰアドレスを送信するステップと、通信妨害サーバが、コントローラサーバから感染コンピュータのＩＰアドレスを受信するステップと、通信妨害サーバが、感染コンピュータＩＰアドレスとして記憶装置に記憶する手段と、記憶装置から感染コンピュータＩＰアドレスを読み出して、感染コンピュータのＭＡＣアドレスをダミーＭＡＣアドレスに設定するダミーＭＡＣアドレス設定命令を作成するステップと、通信妨害サーバが、ダミーＭＡＣアドレス設定命令を感染コンピュータと同一のネットワークセグメントに存在する情報機器に送信するステップと、通信妨害サーバが、感染コンピュータのＩＰアドレスと、感染コンピュータの真のＭＡＣアドレスと、感染コンピュータに割り当てたダミーＭＡＣアドレスとを対応付けたダミーＭＡＣアドレス対応テーブルを記憶装置に記憶するステップと、情報機器が、通信妨害サーバから送信されたダミーＭＡＣアドレス設定命令を受信するステップと、情報機器が、同一のネットワークセグメントに存在する情報機器のＩＰアドレスとＭＡＣアドレスとが対応付けられたＡＲＰテーブルを読み出し、感染コンピュータＩＰアドレスに対応するＭＡＣアドレスを、ダミーＭＡＣアドレスに書き換えるステップとを備える。

本発明によれば、コンピュータワームによる攻撃を受けた感染コンピュータから他のコンピュータへの攻撃を防ぐ通信妨害サーバ、通信妨害プログラム、通信妨害方法、情報通信システム及び情報通信方法を提供することができる。

次に、図面を参照して、本発明の実施の形態を説明する。以下の図面の記載において、同一又は類似の部分には同一又は類似の符号を付している。

（最良の実施の形態）
図１に示すように、本発明の最良の実施の形態に係る情報通信システムは、例えば、第１のネットワークセグメント１０ａと、第２のネットワークセグメント１０ｂを備えており、第１のネットワークセグメント１０ａには通信妨害サーバ１ｂが、第２のネットワークセグメント１０ｂには通信妨害サーバ１ａがそれぞれ接続されている。第１のネットワークセグメント１０ａ及び第２のネットワークセグメント１０ｂは、ルータ５を介して相互に接続されている。第１のネットワークセグメント１０ａ及び第２のネットワークセグメント１０ｂにおいては、それぞれＴＣＰ−ＩＰに基づいて通信される。

第１のネットワークセグメント１０ａには、第１のネットワークセグメント１０ａへの不正アクセスの侵入を検知するＩＤＳ装置７及びＩＤＰ装置８、コントローラサーバ６、妨害サーバ１ｂが接続されている。更に、ＩＤＰ装置８には、ＩＤＰ装置８によって保護されるウェブサーバ９が接続されている。第２のネットワークセグメント１０ｂには、侵入したコンピュータワームによって感染された感染コンピュータ２、セキュリティパッチやウィルスパターンファイルの管理が弱い脆弱コンピュータ３、コンピュータ４、通信妨害サーバ１ａが接続されている。

ここで、第１の通信妨害サーバ１ａにはＩＰアドレス「Ｍ」が、第２の通信妨害サーバ１ｂにはＩＰアドレス「Ｎ」が、感染コンピュータ２にはＩＰアドレス「Ａ」がそれぞれ割り当てられているとする。また、感染コンピュータ２のＭＡＣアドレスは、「ＭＡＣ＿Ａ」であるとする。第１のネットワークセグメント１０ａと第２のネットワークセグメント１０ｂとの境界に設置されたルータ５は、図２に示すようなＡＲＰテーブル５１ａを備えているとする。ＡＲＰテーブル５１ａでは、感染コンピュータ２のＩＰアドレス「Ａ」にＭＡＣアドレス「ＭＡＣ＿Ａ」が関連づけられている。その他の情報機器も図２に示すようなＡＲＰテーブルを備えている。

コントローラサーバ６は、ＩＤＳ装置７及びＩＤＰ装置８によって検出された不正アクセスの情報を取得し、通信妨害サーバ１ａ及び１ｂに通信を妨害する命令を出すサーバである。

コントローラサーバ６は、ネットワークセグメントの識別子と、ネットワークセグメントに設置された通信妨害サーバの識別子とが関連づけられた通信妨害サーバリスト６１を備えており、通信妨害サーバリスト６１は、コントローラサーバ６によって読み出し可能な内蔵又は外付けの記憶装置に記憶されている。通信妨害サーバリスト６１は、図３に示すように、「第１のネットワークセグメント」に通信妨害サーバ１ｂのＩＰアドレス「Ｎ」が関連づけられている。

コントローラサーバ６は、通信妨害サーバリスト６１を記憶装置から読み出すとともに、コンピュータワームによる攻撃を受けた感染コンピュータ２のＩＰアドレス（Ａ）を取得し、感染コンピュータのＩＰアドレス（Ａ）に基づいて感染コンピュータが設置されたネットワークセグメントを判定する。ここでは、コントローラサーバ６は、感染コンピュータ２が第２のネットワークセグメント１０ｂに設置されていると判定する。更に、コントローラサーバ６は、感染コンピュータ２が設置された第２のネットワークセグメント１０ｂに設置された通信妨害サーバ１ｂの識別子を抽出し、抽出された通信妨害サーバ１ｂに対して感染コンピュータ２のＩＰアドレス（Ａ）を送信する。

通信妨害サーバ１ａは、コントローラサーバ６から感染コンピュータ２のＩＰアドレス（Ａ）を受信し、感染コンピュータＩＰアドレス１１として記憶装置１０７に記憶する。通信妨害サーバ１ａは、記憶装置１０７から感染コンピュータＩＰアドレス１１を読み出して、感染コンピュータのＭＡＣアドレスをダミーＭＡＣアドレスに設定するダミーＭＡＣアドレス設定命令を作成して、感染コンピュータ２と同一のネットワークセグメント１０ｂに存在する感染コンピュータ２、脆弱コンピュータ３、ルータ５などの情報機器にダミーＭＡＣアドレス設定命令を送信する。

感染コンピュータ２、脆弱コンピュータ３、ルータ５などの情報機器は、通信妨害サーバ１ａから送信されたダミーＭＡＣアドレス設定命令を受信すると、同一のネットワークセグメント１０ｂに存在する情報機器のＩＰアドレスとＭＡＣアドレスとが対応付けられたＡＲＰテーブルを読み出し、感染コンピュータＩＰアドレスに対応するＭＡＣアドレスを、ダミーＭＡＣアドレスに書き換える。

ここで、図４を参照して、本発明の最良の実施の形態に係る情報通信システムの処理の流れを説明する。

ＩＤＳ装置７やＩＤＰ装置８によってコンピュータワームの侵入が検出されると、まず、ステップＳ１０１において、コントローラサーバ６は、コンピュータワームに感染された感染コンピュータ２のＩＰアドレス（Ａ）を取得する。更に、ステップＳ１０２において、感染コンピュータ２が属しているネットワークセグメントを特定し、通信妨害サーバリスト６１からそのネットワークセグメントに設置された通信妨害サーバ１ａを検索する。更に、コントローラサーバ６は、ステップＳ１０３において、ステップＳ１０２で検索された通信妨害サーバ１ａに感染コンピュータ２のＩＰアドレス（Ａ）を送信し、感染コンピュータ２の通信を妨害する命令を送信する。

妨害命令を受信すると通信妨害サーバ１ａは、ステップＳ１０４ａ及びステップＳ１０４ｂにおいて、同じネットワークセグメント１０ｂに設置された情報機器、即ち脆弱コンピュータ３、ルータ５などに妨害命令をブロードキャスト送信する。具体的には、感染コンピュータ２のＩＰアドレス（Ａ）に対応するＭＡＣアドレスをダミーＭＡＣアドレスである「ＭＡＣ＿Ｘ」に変更するようにＧｒａｔｕｉｔｏｕｓ ＡＲＰを送信する。

妨害命令を受信すると、脆弱コンピュータ３及びルータ５などは、ステップＳ１０５ａ及びステップＳ１０５ｂにおいて、予め記憶されたＡＲＰテーブルに対して、感染コンピュータ２のＩＰアドレス（Ａ）に対応するＭＡＣアドレスをダミーＭＡＣアドレスである「ＭＡＣ＿Ｘ」に変更する。例えば、ルータ５は、図５のＡＲＰテーブル５１ｂの様に、感染コンピュータ２のＩＰアドレス「Ａ」に対応するＭＡＣアドレスを「ＭＡＣ＿Ａ」に変更する。

一方、感染コンピュータ２は、新たな感染先となる脆弱コンピュータ３に攻撃パケットを送信しようとする。

詳細には、感染コンピュータ２は、ステップＳ１０６において、脆弱コンピュータ３に攻撃パケットを送信するために、ＳＹＮ（接続要求）パケットを送信し、感染コンピュータ２と脆弱コンピュータ３との間の通信コネクションを確立しようとする。

これに対し、脆弱コンピュータ３は、ステップＳ１０７において、ＳＹＮパケットに対する返答であるＳＹＮ＿ＡＣＫ（接続要求確認）パケットを感染コンピュータ２に送信しようとする。このとき、脆弱コンピュータ３は、脆弱コンピュータ３に備えられたＡＲＰテーブルを読み出し、感染コンピュータ２のＭＡＣアドレスが「ＭＡＣ＿Ｘ」に対してＳＹＮ＿ＡＣＫパケットを送信する。しかし、ＭＡＣアドレス「ＭＡＣ＿Ｘ」は、第２のネットワークセグメント１０ｂ上に存在しないため、ＳＹＮ＿ＡＣＫパケットは感染コンピュータ２に到達しない。

従って、感染コンピュータ２は、脆弱コンピュータ３にＡＣＫ（確認応答）パケットを送信することができないので、感染コンピュータ２と脆弱コンピュータ３との間で通信コネクションが確立されない。これにより、感染コンピュータ２は脆弱コンピュータ３に攻撃パケットを送信することができないので、脆弱コンピュータ３が感染コンピュータ２からコンピュータワームに感染することはない。感染コンピュータ２は、脆弱コンピュータ３以外の情報機器とも通信コネクションを確立できないので、感染コンピュータ２による二次感染を防ぐことができる。

また、通信妨害サーバ１ａは、ネットワークセグメント１０ｂ上で送信されたＡＲＰリクエストに対してその返答を行う。
図６に示すように、ネットワークセグメント１０ｂ上に存在するコンピュータ４は、ステップＳ２０１ａ乃至ステップＳ２０１ｄにおいて、ネットワークセグメント１０ｂ上に存在する全ての情報機器に感染コンピュータ２のＩＰアドレス「Ａ」に対応するＭＡＣアドレスを問い合わせるＡＲＰリクエストを送信する。そのとき通信妨害サーバ１ａは、感染コンピュータ２のＩＰアドレス「Ａ」に対応するＭＡＣアドレスをダミーＭＡＣアドレス「ＭＡＣ＿Ｘ」であるＡＲＰリプライをコンピュータ４に送信する。

これにより、コンピュータ４と感染コンピュータ２との間で通信コネクションを確立させなくすることができる。

ここで、本発明の最良の実施の形態に係る通信妨害サーバ１ａについて詳述する。

図７に示すように本発明の最良の実施の形態に係る通信妨害サーバ１ａは、感染コンピュータＩＰアドレス１１、ダミーＭＡＣアドレス対応テーブル１２、対象ＩＰアドレス１３、感染コンピュータアドレス通知受信手段３１、ダミーＭＡＣアドレス設定命令送信手段３２、ＡＲＰリクエスト受信手段３３及びＡＲＰリプライ送信手段３４を備えている。

図８に示すように、本発明の最良の実施の形態に係る通信妨害サーバ１ａは、中央処理制御装置１０１、ＲＯＭ（Read Only Memory）１０２、ＲＡＭ（Random Access Memory）１０３及び入出力インタフェース１０９が、バス１１０を介して接続されている。入出力インタフェース１０９には、入力装置１０４、表示装置１０５、通信制御装置１０６、記憶装置１０７及びリムーバブルディスク１０８が接続されている。

中央処理制御装置１０１は、入力装置１０４からの入力信号に基づいてＲＯＭ１０２から通信妨害サーバ１ａを起動するためのブートプログラムを読み出して実行し、更に記憶装置１０７に記憶されたオペレーティングシステムを読み出す。更に中央処理制御装置１０１は、入力装置１０４や通信制御装置１０６などの入力信号に基づいて、各種装置の制御を行ったり、ＲＡＭ１０３や記憶装置１０７などに記憶されたプログラム及びデータを読み出してＲＡＭ１０３にロードするとともに、ＲＡＭ１０３から読み出されたプログラムのコマンドに基づいて、データの計算又は加工など、後述する一連の処理を実現する処理装置である。

入力装置１０４は、操作者が各種の操作を入力するキーボード、マウスなどの入力デバイスにより構成されており、操作者の操作に基づいて入力信号を作成し、入出力インタフェース１０９及びバス１１０を介して中央処理制御装置１０１に送信される。表示装置１０５は、ＣＲＴ（Cathode Ray Tube）ディスプレイや液晶ディスプレイなどであり、中央処理制御装置１０１からバス１１０及び入出力インタフェース１０９を介して表示装置１０５において表示させる出力信号を受信し、例えば中央処理制御装置１０１の処理結果などを表示する装置である。通信制御装置１０６は、ＬＡＮカードやモデムなどの装置であり、通信妨害サーバ１ａをインターネットやＬＡＮなどの通信ネットワークに接続する装置である。通信制御装置１０６を介して通信ネットワークと送受信したデータは入力信号又は出力信号として、入出力インタフェース及びバス１１０を介して中央処理制御装置１０１に送受信される。

記憶装置１０７は磁気ディスク装置であって、中央処理制御装置１０１で実行されるプログラムやデータが記憶されている。リムーバブルディスク１０８は、光ディスクやフレキシブルディスクのことであり、ディスクドライブによって読み書きされた信号は、入出力インタフェース１０９及びバス１１０を介して中央処理制御装置１０１に送受信される。

本発明の第１の実施の形態に係る通信妨害サーバ１ａの記憶装置１０７には、通信妨害プログラムが記憶されるとともに、感染コンピュータＩＰアドレス１１、ダミーＭＡＣアドレス対応テーブル１２、対象ＩＰアドレス１３が記憶される。また、通信妨害プログラムが通信妨害サーバ１ａの中央処理制御装置１０１に読み込まれ実行されることによって、感染コンピュータアドレス通知受信手段３１、ダミーＭＡＣアドレス設定命令送信手段３２、ＡＲＰリクエスト受信手段３３及びＡＲＰリプライ送信手段３４が通信妨害サーバ１ａに実装される。

感染コンピュータアドレス通知受信手段３１は、コンピュータワームによる攻撃を受けた感染コンピュータ２のＩＰアドレス（Ａ）を受信し、感染コンピュータＩＰアドレス１１として記憶装置１０７に記憶する。

ダミーＭＡＣアドレス設定命令送信手段３２は、記憶装置１０７から感染コンピュータＩＰアドレス１１を読み出して、感染コンピュータ２のＭＡＣアドレスをダミーＭＡＣアドレス「ＭＡＣ＿Ｘ」に設定するダミーＭＡＣアドレス設定命令を作成して、ダミーＭＡＣアドレス設定命令を感染コンピュータと同一のネットワークセグメントに存在する情報機器に送信する。ここで、「ダミーＭＡＣアドレス」は、ネットワークセグメントに存在する情報機器のいずれのＭＡＣアドレスにも該当しない文言である。具体的には、ダミーＭＡＣアドレス設定命令送信手段３２は、感染コンピュータ２のＭＡＣアドレスをダミーＭＡＣアドレス「ＭＡＣ＿Ｘ」に設定するＧｒａｔｕｉｔｏｕｓ ＡＲＰ２１を生成して、ネットワークセグメント１０ｂに存在する情報機器にブロードキャスト送信する。

このとき、ダミーＭＡＣアドレス設定命令送信手段３２は、感染コンピュータ２のＩＰアドレスと、感染コンピュータ２に割り当てたＭＡＣアドレスとを対応付けたダミーＭＡＣアドレス対応テーブル１２を備えても良い。

具体的にダミーＭＡＣアドレス対応テーブル１２は、図９に示すように感染コンピュータ２のＩＰアドレス「Ａ」と、感染コンピュータ２の真のＭＡＣアドレス「ＭＡＣ＿Ａ」と、感染コンピュータ２に割り当てた「ＭＡＣ＿Ｘ」とが関連づけられて記憶装置１０７に記憶されている。このとき、Ｇｒａｔｕｉｔｏｕｓ ＡＲＰ２１を送信した時刻も関連づけられるのが好ましい。

ＡＲＰリクエスト受信手段３３は、所定のＩＰアドレスに基づいてＭＡＣアドレスを問い合わせるＡＲＰリクエスト２２を受信する。ＡＲＰリクエスト受信手段３３は、ＡＲＰリクエスト２２から対象となる対象ＩＰアドレス１３を抽出し、記憶装置１０７に記憶する。

ＡＲＰリプライ送信手段３４は、記憶装置１０７から対象ＩＰアドレス１３を読み出すとともに、所定のＩＰアドレス１３が、感染コンピュータＩＰアドレスである場合、感染コンピュータＩＰアドレスとダミーＭＡＣアドレスとを関連づけるリクエストに対するＡＲＰリプライ２３を生成して送信する。

このとき、記憶装置１０７からダミーＭＡＣアドレス対応テーブル１２を読み出して、対象ＩＰアドレス１３がダミーＭＡＣアドレス対応テーブル１２に登録されているか否かを判定する。登録されている場合、ＡＲＰリプライ送信手段３４は、対象ＩＰアドレス１３に対応付けられたダミーＭＡＣアドレスを返信する。一方、登録されていない場合、ＡＲＰリプライ送信手段３４は、自身が備えるＡＲＰテーブル（図示せず）に記憶された情報に基づいて、ＡＲＰリプライ２３を生成して送信する。

これにより、本発明の最良の実施の形態に係る通信妨害サーバ１ａは、感染コンピュータ２と感染コンピュータ２と同一のネットワークセグメントに存在する機器との間の通信コネクションを確立させなくすることができる。従って、本発明の最良の実施の形態に係る通信妨害サーバ１ａは、感染コンピュータ２からの二次被害を防止することができる。

また、本発明の最良の実施の形態における通信妨害サーバ１ａは、感染コンピュータ２のＩＰアドレスにダミーＭＡＣアドレスを対応付けさせることにより通信コネクションを確立させない。この様に、本発明の最良の実施の形態における通信妨害サーバ１ａは、ＭＡＣアドレスによって通信されるネットワークセグメント、即ちルータを超えないネットワークセグメント内において有効である。従って、ルータで区切られたネットワークセグメント毎に妨害サーバを設けるのが好ましい。

（最良の実施の形態の変形例）
本発明の最良の実施の形態の変形例に係る通信妨害サーバ１ａは、ダミーＭＡＣアドレスとして、通信妨害サーバ１ａ自身のＭＡＣアドレスを設定したＧｒａｔｕｉｔｏｕｓ ＡＲＰ２１を送信する。

本発明の最良の実施の形態の変形例に係る通信妨害サーバ１ａによれば、感染コンピュータ２は通信妨害サーバ１ａと通信コネクションを確立し、通信妨害サーバ１ａに攻撃パケットを送信する。通信妨害サーバ１ａ自身によって攻撃パケットが受信されるので、他の情報機器への攻撃パケットの送信を防止することができる。また、通信妨害サーバ１ａが攻撃パケットを受信することにより、攻撃パケットを受信した頻度や攻撃パケットの内容に基づいて、通信妨害サーバ１ａが対応しても良い。

（その他の実施の形態）
上記のように、本発明の最良の実施の形態によって記載したが、この開示の一部をなす論述及び図面はこの発明を限定するものであると理解すべきではない。この開示から当業者には様々な代替実施の形態、実施例及び運用技術が明らかとなる。

例えば、本発明の最良の実施の形態においては、コントローラサーバ、ＩＤＳ装置７、ＩＤＰ装置８、通信妨害サーバ１ａ、１ｂなどの情報機器は、それぞれ異なるハードウェア上に実現される様に記載したが、一つのハードウェア上に任意の複数の情報機器の機能を備えさせても良い。

本発明はここでは記載していない様々な実施の形態等を含むことは勿論である。従って、本発明の技術的範囲は上記の説明から妥当な特許請求の範囲に係る発明特定事項によってのみ定められるものである。

本発明の最良の実施の形態に係る情報通信システムのシステム構成図である。 本発明の最良の実施の形態に係る情報機器が備えるＡＲＰテーブルの一例であって、感染コンピュータが検知される前のＡＲＰテーブルの一例である。 本発明の最良の実施の形態に係るコントローラサーバが備える通信妨害サーバリストのデータ構造とデータの一例である。 本発明の最良の実施の形態に係る情報通信システムの処理を示すシーケンス図である。 本発明の最良の実施の形態に係る情報機器が備えるＡＲＰテーブルの一例であって、感染コンピュータが検知された後のＡＲＰテーブルの一例である。 本発明の最良の実施の形態に係る情報通信システムにおいて、所定のコンピュータからＡＲＰリクエストが送信された場合の処理を示すシーケンス図である。 本発明の最良の実施の形態に係る通信妨害サーバの機能ブロック図である。 本発明の最良の実施の形態に係る通信妨害サーバのハードウェア構成図である。 本発明の最良の実施の形態に係る通信妨害サーバが備えるダミーＭＡＣアドレス対応テーブルのデータ構造とデータの一例である

符号の説明

１ａ，１ｂ…通信妨害サーバ
２…感染コンピュータ
３…脆弱コンピュータ
４…コンピュータ
５…ルータ
６…コントローラサーバ
７…ＩＤＳ装置
８…ＩＤＰ装置
９…ウェブサーバ
１０ａ、１０ｂ…ネットワークセグメント
１１…感染コンピュータＩＰアドレス
１２…アドレス対応テーブル
１３…対象ＩＰアドレス
２１…Ｇｒａｔｕｉｔｏｕｓ ＡＲＰ
２２…ＡＲＰリクエスト
２３…ＡＲＰリプライ
３１…感染コンピュータアドレス通知受信手段
３２…アドレス設定命令送信手段
３３…ＡＲＰリクエスト受信手段
３４…ＡＲＰリプライ送信手段
５１ａ、５１ｎ…ＡＲＰテーブル
６１…通信妨害サーバリスト
１０１…中央処理制御装置
１０２…ＲＯＭ
１０３…ＲＡＭ
１０４…入力装置
１０５…表示装置
１０６…通信制御装置
１０７…記憶装置
１０８…リムーバブルディスク
１０９…入出力インタフェース
１１０…バス

Claims (9)

1. コンピュータワームによる攻撃を受けた感染コンピュータのＩＰアドレスを受信し、感染コンピュータＩＰアドレスとして記憶装置に記憶する手段と、
   前記記憶装置から前記感染コンピュータＩＰアドレスを読み出して、前記感染コンピュータのＭＡＣアドレスをダミーＭＡＣアドレスに設定するダミーＭＡＣアドレス設定命令を作成して、前記ダミーＭＡＣアドレス設定命令を前記感染コンピュータと同一のネットワークセグメントに存在する情報機器に送信する手段と、
   前記感染コンピュータのＩＰアドレスと、前記感染コンピュータの真のＭＡＣアドレスと、前記感染コンピュータに割り当てた前記ダミーＭＡＣアドレスとを対応付けたダミーＭＡＣアドレス対応テーブルを記憶装置に記憶する手段とを備え、
   前記感染コンピュータと前記感染コンピュータと同一のネットワークセグメントに存在する機器との間の通信コネクションを確立させない
   ことを特徴とする通信妨害サーバ。
2. 前記ダミーＭＡＣアドレスは、前記ネットワークセグメントに存在する情報機器のいずれのＭＡＣアドレスにも該当しない文言、或いは前記通信妨害サーバのＭＡＣアドレスであることを特徴とする請求項１に記載の通信妨害サーバ。
3. 所定のＩＰアドレスに基づいてＭＡＣアドレスを問い合わせるリクエストを受信する手段と、
   前記記憶装置から前記ダミーＭＡＣアドレス対応テーブルを読み出して、前記所定のＩＰアドレスが、前記感染コンピュータＩＰアドレスである場合、前記感染コンピュータＩＰアドレスと前記ダミーＭＡＣアドレスとを関連づける前記リクエストに対するリプライを生成して送信する手段
   とを更に備えることを特徴とする請求項１又は２に記載の通信妨害サーバ。
4. コンピュータワームによる攻撃を受けた感染コンピュータのＩＰアドレスを受信し、感染コンピュータＩＰアドレスとして記憶装置に記憶するステップと、
   前記記憶装置から前記感染コンピュータＩＰアドレスを読み出して、前記感染コンピュータのＭＡＣアドレスをダミーＭＡＣアドレスに設定するダミーＭＡＣアドレス設定命令を作成して、前記ダミーＭＡＣアドレス設定命令を前記感染コンピュータと同一のネットワークセグメントに存在する情報機器に送信するステップと、
   前記感染コンピュータのＩＰアドレスと、前記感染コンピュータの真のＭＡＣアドレスと、前記感染コンピュータに割り当てた前記ダミーＭＡＣアドレスとを対応付けたダミーＭＡＣアドレス対応テーブルを記憶装置に記憶するステップ
   とをコンピュータに実行させることにより、前記感染コンピュータと前記感染コンピュータと同一のネットワークセグメントに存在する機器との間の通信コネクションを確立させない
   ことを特徴とする通信妨害プログラム。
5. 前記ダミーＭＡＣアドレスは、前記ネットワークセグメントに存在する情報機器のいずれのＭＡＣアドレスにも該当しない文言、或いは前記通信妨害サーバのＭＡＣアドレスであることを特徴とする請求項４に記載の通信妨害プログラム。
6. 所定のＩＰアドレスに基づいてＭＡＣアドレスを問い合わせるリクエストを受信するステップと、
   前記記憶装置から前記ダミーＭＡＣアドレス対応テーブルを読み出して、前記所定のＩＰアドレスが、前記感染コンピュータＩＰアドレスである場合、前記感染コンピュータＩＰアドレスと前記ダミーＭＡＣアドレスとを関連づける前記リクエストに対するリプライを生成して送信するステップ
   とを更にコンピュータに実行させることを特徴とする請求項４又は５に記載の通信妨害プログラム。
7. コンピュータワームによる攻撃を受けた感染コンピュータのＩＰアドレスを受信し、感染コンピュータＩＰアドレスとして記憶装置に記憶するステップと、
   前記記憶装置から前記感染コンピュータＩＰアドレスを読み出して、前記感染コンピュータのＭＡＣアドレスをダミーＭＡＣアドレスに設定するダミーＭＡＣアドレス設定命令を作成して、前記ダミーＭＡＣアドレス設定命令を前記感染コンピュータと同一のネットワークセグメントに存在する情報機器に送信するステップと、
   前記感染コンピュータのＩＰアドレスと、前記感染コンピュータの真のＭＡＣアドレスと、前記感染コンピュータに割り当てた前記ダミーＭＡＣアドレスとを対応付けたダミーＭＡＣアドレス対応テーブルを記憶装置に記憶するステップとを備え、
   前記感染コンピュータと前記感染コンピュータと同一のネットワークセグメントに存在する機器との間の通信コネクションを確立させない
   ことを特徴とする通信妨害方法。
8. ネットワークセグメントの識別子と、前記ネットワークセグメントに設置された通信妨害サーバの識別子とが関連づけられた通信妨害サーバリストを記憶装置から読み出すとともに、コンピュータワームによる攻撃を受けた感染コンピュータのＩＰアドレスを取得し、前記感染コンピュータのＩＰアドレスに基づいて前記感染コンピュータが設置されたネットワークセグメントを判定し、前記感染コンピュータが設置されたネットワークセグメントに設置された通信妨害サーバの識別子を抽出し、抽出された前記通信妨害サーバに対して前記感染コンピュータのＩＰアドレスを送信する手段を備えるコントローラサーバと、
   前記コントローラサーバから前記感染コンピュータのＩＰアドレスを受信し、感染コンピュータＩＰアドレスとして記憶装置に記憶する手段と、前記記憶装置から前記感染コンピュータＩＰアドレスを読み出して、前記感染コンピュータのＭＡＣアドレスをダミーＭＡＣアドレスに設定するダミーＭＡＣアドレス設定命令を作成して、前記ダミーＭＡＣアドレス設定命令を前記感染コンピュータと同一のネットワークセグメントに存在する情報機器に送信する手段と、前記感染コンピュータのＩＰアドレスと、前記感染コンピュータの真のＭＡＣアドレスと、前記感染コンピュータに割り当てた前記ダミーＭＡＣアドレスとを対応付けたダミーＭＡＣアドレス対応テーブルを記憶装置に記憶する手段とを備える通信妨害サーバと、
   前記感染コンピュータと同一のネットワークセグメントに設置され、前記通信妨害サーバから送信された前記ダミーＭＡＣアドレス設定命令を受信すると、前記同一のネットワークセグメントに存在する情報機器のＩＰアドレスとＭＡＣアドレスとが対応付けられたＡＲＰテーブルを読み出し、前記感染コンピュータＩＰアドレスに対応するＭＡＣアドレスを、前記ダミーＭＡＣアドレスに書き換える手段を備える情報機器
   とを備えることを特徴とする情報通信システム。
9. コントローラサーバが、ネットワークセグメントの識別子と、前記ネットワークセグメントに設置された通信妨害サーバの識別子とが関連づけられた通信妨害サーバリストを記憶装置から読み出すとともに、コンピュータワームによる攻撃を受けた感染コンピュータのＩＰアドレスを取得するステップと、
   前記コントローラサーバが、前記感染コンピュータのＩＰアドレスに基づいて前記感染コンピュータが設置されたネットワークセグメントを判定し、前記感染コンピュータが設置されたネットワークセグメントに設置された通信妨害サーバの識別子を抽出するステップと、
   前記コントローラサーバが、抽出された前記通信妨害サーバに対して前記感染コンピュータのＩＰアドレスを送信するステップと、
   前記通信妨害サーバが、前記コントローラサーバから前記感染コンピュータのＩＰアドレスを受信するステップと、
   前記通信妨害サーバが、感染コンピュータＩＰアドレスとして記憶装置に記憶する手段と、前記記憶装置から前記感染コンピュータＩＰアドレスを読み出して、前記感染コンピュータのＭＡＣアドレスをダミーＭＡＣアドレスに設定するダミーＭＡＣアドレス設定命令を作成するステップと、
   前記通信妨害サーバが、前記ダミーＭＡＣアドレス設定命令を前記感染コンピュータと同一のネットワークセグメントに存在する情報機器に送信するステップと、
   前記通信妨害サーバが、前記感染コンピュータのＩＰアドレスと、前記感染コンピュータの真のＭＡＣアドレスと、前記感染コンピュータに割り当てた前記ダミーＭＡＣアドレスとを対応付けたダミーＭＡＣアドレス対応テーブルを記憶装置に記憶するステップと、
   前記情報機器が、前記通信妨害サーバから送信された前記ダミーＭＡＣアドレス設定命令を受信するステップと、
   前記情報機器が、前記同一のネットワークセグメントに存在する情報機器のＩＰアドレスとＭＡＣアドレスとが対応付けられたＡＲＰテーブルを読み出し、前記感染コンピュータＩＰアドレスに対応するＭＡＣアドレスを、前記ダミーＭＡＣアドレスに書き換えるステップ
   とを備えることを特徴とする情報通信方法。

Images