JP4754922B2 - ワーム感染装置の検出装置 - Google Patents

Description

本発明は、ネットワークを介してワームに感染した装置の検出を行う装置に関する。

近年IP技術をもちいたネットワークの普及に伴い、利用者に多くの便利なサービス（メール、音声、画像のリアルタイム配信、インターネットの利用によるＰＣと固定網との相互通話、携帯電話とＰＣとの相互接続など）の提供が進んでいる。

それに伴い、このような、サービス、機能を提供するネットワークを構成する装置は、これまで以上に多様なソフトウェアにて実現される機能を搭載している。さまざまな機能を互換性を維持しながら実現するためには、各メーカに特有の仕様に従って構成された装置ではなく、特定の標準に従った構成の装置を使ってネットワークを構築する必要がある。したがって、ネットワークを構成する装置の構成が共通となるため、装置が同様の弱点を持つことになり、ネットワークの攻撃者に攻撃された場合、すべての装置が同様の攻撃を受ける可能性を生じている。特に、装置に搭載されるソフトウェアの脆弱性を突いたワーム攻撃の懸念が高まっている。

ネットワークの構成装置がワームに感染した場合は、
・利用者からのクレーム：アクセス遅延、異常なデータ受信、ウイルス感染など、
・ネットワークトラヒック観測結果：急激なトラヒック増加・減少、
・ネットワーク構成装置の監視：構成装置の処理能力の急激な変化、利用可能なメモリ量の激減、
などから、保守者が、調査、分析し、ワーム感染の有無を判断し、感染と判断されて場合は、被害の拡大を最小限に抑える為、サービスを停止し、感染した装置の特定を手動で行っている。

その為、処置完了まで、多くの時間と、多大な工数を要し、保守コストの増加を招くと共に、利用者の利益を大きく損なう事が懸念される。更に、ネットワーク運用体制に脆弱性があるとなった場合は、ネットワークビジネス自体の信頼を失い、ビジネスとして撤退と言う事態も懸念される。

昨今のSIP（Session Initiation Protocol）技術を活用したVoIP、IPセントレックスサービス、更には、IMS（IP Multimedia Subsystem）による携帯、無線LAN、ブロードバンド、ＰＳＴＮネットワークを融合する動きも活発化してきている。

このようなネットワークを支える機器は、低価格で短期にネットワークを構成できるよう、機器に汎用製品を導入し、サービスを制御するソフトウェアも汎用品を使用する傾向が強く、ソフトウェアの脆弱性の懸念は、従来のネットワークより増すことが予想され、脆弱性を突いてくるワームに感染することも想定され、感染した場合の影響は、従来ネットワーク以上に、利用者へ多大な影響を与えるものと懸念される。

また、ネットワークが連携することで、更なる付加サービスを実現する事から、これまで、独自のネットワークを独自の装置、ソフトウェアで実現していた公共性の高いネットワーク（警察、消防、船舶、ハローワークなど）も被害の対象となることが予想される。

更に、多様なネットワークと融合する事から、感染装置の特定にはこれまで以上に時間を要するものと思われる。場合によっては、利用者からのクレームが上がらないワーム感染もありうると思われる。

そのようなことから、以下のような問題が生じる。
問題１）ワーム感染を早期に検出する必要があるし、処置することが必要となる。
問題２）感染装置が特定された場合は、被害の拡大を最小化するために、被疑装置をいち早く利用できなくする必要がある。
問題３）公共性の高い、警察、消防、船舶ネットワークへの影響は、人命に関わる事態となりやすいことからいち早くサービス開始を図る必要がある。

一般には、感染サーバからの違法アクセス、脆弱性情報の公開を元にした、脆弱ソフトへのアタックを契機に感染することが想定されるが、それ以外に、ネットワークの運用手番を突いて進入するケースが想定される。

すなわち、以下のような感染形態が考えられる。
１）保守端末より感染
保守端末が、何らかのウイルスに感染していて、若しくは悪意を持った保守者から意図的にウイルスを送り込まれ、ネットワークに接続され、FTP,SNMPなどの保守プロトコルを介在して感染するケース。
２）呼設定プロトコル悪用による感染
プロトコルのオプション設定にウイルスソフトを格納し、サーバに送りつけ、受け取ったサーバが、内容を解析する際に感染するケース。

このように、ワームに感染した場合、以下のような影響が考えられる。
１．サービス制御用ソフト部分に感染した場合。
１）ウイルスソフトが、感染した脆弱部分を持つ処理部を基点に独自に処理を行う事が想定される。その為、感染ソフトより前に実行される処理を偽った動作となることが想定される。よって、管理されない処理が、装置内に大量に発生し、装置内メモリを大量に使用されることから制御メモリの枯渇、性能の低下、装置外に向けた異常な処理要求の発生が、懸念される。
２）ウイルスソフトは、相手先の状態に関係なく処理開始要求を起動する事が想定される。通常着信は、相手先の状態をチェックして実行し、無駄な呼設定を抑止するのが一般的だが、システムへの影響を目的とするウイルスソフトの動作として、お構いなく通信が行われる事から、利用者装置の通信性能の低下、装置ダウンの発生が懸念される。
３）不特定多数へのサービス開始要求の通知
以下の仕組みを利用し、不特定多数の利用者に起動を掛ける。
（１）発着番号を機械的に生成し（たとえば、加入者番号0000から昇順に）、発信する。
（２）学習された特定の着番号宛に連続して発信する。
（３）ランダムな番号で大量発信の場合、サービス利用中の利用者の通信が妨害（切断）されたり、感染装置の輻輳を契機に、関連する装置の輻輳と、影響が伝播し、ネットワーク全体が輻輳する状態に陥ったりする可能性がある。
４）ウイルスソフトは、発信情報を詐称し、特定、並びに不特定多数の加入者に着信を試みる。このことから、成り済まし、警察、消防、船舶等の緊急性の高いサービスの麻痺などが発生する。
５）ウイルスソフトにより、外部からの全ての処理要求を受け付けなくしてしまう。したがって、一時的に利用者へのサービス停止、緊急性の高い要求ができなくなる。
２．保守制御ソフトに感染した場合。
１）ウイルスソフトは、保守コマンドを偽装し、コマンドイメージを生成し、大量コマンド投入を装い、システムリソースの枯渇、正常なコマンド投入の妨害を行う可能性がある。偽装の方法は、内部処理にて、保守端末の管理番号、ポート番号を偽装の可能性がある。
２）ウイルスソフトは、投入されたコマンドを勝手にコピーし、同時に複数回実行させ、保守動作を妨害することが可能である。更に、コピーした情報を元に自立で処理を実行し続ける事も想定される。IP関連コマンドの場合は、サーバがネットワークから切り離されることも想定される。処理を継続実施することで、正しい保守要求の受付がなされなくなる。保守機能が輻輳し、重要なシステム通知が、保守者に届かなくなり、保守業務停止となる事態を招く。
３）ウイルスソフトは、投入されたコマンドが、内部表現に変換される際、異常変換させる事で、投入コマンドを異常終了させ、保守動作を妨害する事が想定される。
４）ウイルスソフトは、保守を混乱させる為に、アラームを多量に発生させる事が想定される。

このような、ワームあるいはウイルスの発生を検出する従来技術として、特許文献１がある。特許文献１では、通常は使用されない例外ポートの使用、不完全なパケットの発生、通信量の異常な増加、エラー量の異常な増加等を検出することによって、ウイルスの発生の可能性を検出する技術が開示されている。
特開２００３−２４１９８９号公報

しかし、従来のワームあるいはウイルスの発生検出方法では、ウイルスがネットワークを介して、通信をしてしまい、障害が発生してからしか検出できていない。
本発明の課題は、いち早くワームへ感染した装置を検出することができ、他の装置への感染を防ぐことができるワーム感染装置の検出装置を提供することである。

本発明の検出装置は、プログラムを実行する装置にワームが感染したことを検出する検出装置において、プログラムの実行に際して、正しく処理が行われる場合の処理の流れる経路を格納する経路格納手段と、プログラムが実際に実行されている間に、実際に処理が流れた経路を記録する経路記録手段と、該経路記録手段が記録した経路と、該経路格納手段の格納する経路が一致するか否かにしたがって、装置がワームに感染したか否かを判断するワーム感染判断手段とを備えることを特徴とする。

本発明によれば、ネットワークを構成する装置がワームに感染したことをいち早く検出し、感染装置のネットワークからの切り離しを行う事でネットワーク全体の安定運用を実現することができる。

本発明の実施形態では、ソフトウェア制御によるネットワーク機器と、それらを用いて構成されるIP技術を基にした情報通信ネットワークを前提にする。ワームに感染する可能性のある装置としては、サーバやルータなどのネットワーク装置がある。

そして、ワーム感染に対し、以下のような対策を採る。
対処１：システム自律でワーム感染の有無を判断する機構を搭載し、検出の際は、保守者にその旨を通知する。
対処２：ワーム感染と特定された場合は、システム自律で、通信インフラであるIPネットワークから離脱し、その旨を保守者に通知する。

まず、ワームに感染する可能性のあるネットワーク装置内に、
・予め想定される処理経路情報を格納する経路情報データベース
・ワーム感染の通報を受け取り、サーバをネットワークから切り離す処理と保守者へ感染を通知する機能を有する、ワーム感染制御機能
を設ける。

装置上でソフトウェアが起動すると、モジュールで構成されるソフトウェアの動作を追跡し、処理動作がたどった処理経路の正常性を、予め格納された経路情報を基に分析する。分析の結果、異常と判断された場合は、保守端末に異常検出通知を行う為に、ワーム感染制御機能へ通知要求を行う。ワーム感染制御機能は、通知要求を基に、装置間の通信（たとえば、サーバーとルータの通信）に使用している通信ポートの遮断を実行し、保守端末に異常を通知する。

上記処理は、各ソフト制御部の先頭で行うことで、ワーム感染ソフトの拡大を抑える事も期待できる。ここで、経路情報として蓄積される情報は、処理の流れをトポロジー化し、トポロジーの開始、中継、分岐、完了に対応する処理を処理要求のパターン（呼処理手順による処理パターン、保守手順による処理パターン、再開処理手順による処理パターン、障害遭遇時の処理手順による処理パターン）に応じて、処理要求種別と組で管理される情報である。

図１は、本発明の第１の実施形態に従ったワーム感染装置の検出装置のブロック図である。
本発明の第１の実施形態に従った検出装置は、ワームの感染を監視したい装置にプログラムとしてインストールすることによって実現される。

再開・障害受付部１０は、システム監視処理部からワームに感染した装置の処理の再開や障害処理に関する指示を受け付ける。保守処理受付部１１は、保守端末から保守処理に関する指示を受け付ける。処理受付処理部１２は、再開・障害受付部１０、保守処理受付部１１からの指示を入力するとともに、SIPメッセージ受信・分析処理部１９よりSIPメッセージよって送られてきた要求の内容を分析し、制御シナリオ部１５に、どの処理を起動するか等の情報である起動シナリオ情報を通知し、起動テーブル情報を入手する。SIPメッセージ受信・分析処理部１９は、SIPメッセージを受信し、受信メッセージの正常性を分析してから、該メッセージを処理受付処理部１２に渡す。

処理実行部１３は、処理受付処理部１２で受信した起動テーブルに従い処理を実行する。処理実行部１３が実行する対象は、B2BUA（Back-to-Back User Agent）着制御、B2BUA発制御、呼制御、サービス制御、コネクション制御、処理経過判定処理、処理最終判定処理のほか、後述する擬似処理分析部１６−１、擬似処理生成部１６−２の制御である。SIPメッセージ組み立て・送信処理部２０は、B2BUA発制御の処理による要求に従い、SIPメッセージを組み立て、これを送信する。

処理経過判定処理と処理最終判定処理の実行結果にしたがって、ワーム感染制御部１４は、通信ポートの遮断、保守端末へのワーム感染に関する通知を行う。制御シナリオ部１５は、呼設定シナリオとして、処理起動テーブルを管理する。処理起動テーブルは、起動すべき処理の順序を記載したもので、図１の場合には、処理経過判定処理、B2BUA着制御、処理経過判定処理、呼制御、処理経過判定処理、サービス制御、処理経過判定処理、呼制御、処理経過判定処理、B2BUA発制御、処理最終判定処理を順に記載している。そのほか、制御シナリオ部１５は、保守処理シナリオとして、保守処理の処理順序及び起動処理の管理を行うテーブル、再開・障害処理シナリオとして、ワームに感染した場合の処理の再開や障害処理の順序や起動処理の管理を行うテーブル、後述する擬似処理のシナリオとして、擬似処理生成部１６−２と擬似処理分析部１６−１の起動とその順序を記載したテーブルを保持する。

データベース１７は、経路情報、異常経路情報、ＨＯＰ情報を格納し、処理最終判定処理において、ワームに感染しているか否かを判断するためのデータを提供する。データベース１８は、擬似処理監視情報と、擬似パターンを格納し、擬似処理分析部１６−１、擬似処理生成部１６−２に、擬似処理によるワームの検出試行のためのデータを提供する。

図２は、本発明の第１の実施形態に従った処理の流れの例を説明する図である。
図２（ａ）には、この例での処理の流れの経路パターン例を示している。一つ一つのブロックはそれぞれ処理単位を示し、以下のすべての実施形態の説明においても同様である。通常の処理の流れとして、SIPメッセージによる要求がB2BUA着制御処理に通知され、処理が、呼制御処理、サービス制御処理、呼制御処理、B2BUA発制御処理と流れていく例が示されている。また、サービス制御処理からは、処理がコネクション制御処理へも流れている。ここで、保守制御のための処理の流れが、処理受付処理を介して、サービス制御処理に行き、他の保守制御のための処理の流れが、再開／障害受付処理を介して、サービス制御処理に進んでいる。

図２（ｂ）は、図２（ａ）における経路パターンの場合の経路情報の例を示す図である。図２（ａ）の処理の流れの場合、経路のパターンとして、６種類の流れがある。各制御処理には、識別子がもうけられており、識別子の連番で経路を表現する。各制御処理においては、対応する経路情報データベースが設けられている。識別子が「１」のB2BUA着制御処理においては、これが処理の流れの最初に当たるので、登録される識別子はない。同様に、識別子「１０」の処理受付、識別子「２０」の再開／障害受付に対応する経路情報データにも識別子は登録されていない。一方、識別子「２」の呼制御処理に対応する経路情報データベースでは、経路内の前の制御処理の識別子が「１」であるため、識別子「１」が登録される。以下同様にして、識別子「３」のサービス制御処理にいたるまでのすべての経路を示す識別子の連番がサービス制御用経路情報データベースに、同様の情報が、識別子「４」の呼制御処理の場合には、呼制御用経路データベース、識別子「６」のコネクション制御処理の場合には、コネクション制御用経路情報データベース、識別子「５」のB2BUA発制御処理の場合には、B2BUA発制御用経路データベースに設定される。そして、処理の流れの最後の出口に対応して、B2BUA着制御用処理最終確認用情報データベース、コネクション制御用処理最終確認用情報データベースが設けられる。

これらの経路情報データベースは、監視の対象となるプログラムが装置にインストールされた時点で、プログラムの設計者等の知識に基づき、予め設けられるべきものである。
図３は、本発明の第１の実施形態に従った経路経過判定処理の流れを説明する図である。

図３においては、呼制御処理において、障害が発生したとした場合を示している。したがって、各処理の起動前に起動される本発明の処理は、サービス制御処理において起動する場合のみを示している。

通常処理が発生すると、識別子「１」のB2BUA着制御処理において、処理が正常に行われ、経路情報データベースに経路Ｃの経路情報として、識別子「１」が登録される。この経路情報データベースは、処理の流れに従って、順次経路情報を格納していく、処理の流れとともに制御処理間で受け渡されていくデータベースである。次の、識別子「２」の呼制御処理においては、障害が発生したものとする。この場合、ワームの影響により、経路情報データベースには、異常な経路情報が格納される。次の識別子「３」のサービス制御処理の前に、本発明の実施形態に従ったワーム感染の検出処理が行われる。まず、ステップＳ１０において、識別子「２」の呼制御処理において更新された経路情報を読み出す。ステップＳ１１において、サービス制御用経路情報データベースから経路情報パターンを読み出す。ステップＳ１２において、識別子「２」の呼制御処理の処理によって生成された経路情報とサービス制御用経路情報データベースから読み出した経路情報を比較し、経路パターンを解析する。ステップＳ１３において、経路パターンの分析結果を判定する。経路パターンが正常であった場合には、ステップＳ１４において、経路情報データベースの経路情報を更新し（新たに、連番からなる経路情報に、自身の識別子を加える）、ステップＳ１５において、サービス制御処理を起動する。ステップＳ１３において、経路パターンが違反したパターンとなっている、すなわち、サービス制御用経路情報データベースに格納されている正常動作時のパターンと異なっていると判断された場合には、ステップＳ１６において、違反経路パターン情報を編集し（違反経路パターンを正常な経路パターンに書き直し）、ステップＳ１７において、ワームに感染しているとして、ワーム感染制御処理を起動する。ワーム感染制御処理では、ステップＳ１８において、ワームに感染した自装置の通信ポートの遮断を実行し、ステップＳ１９において、保守端末に異常を通知する。

図４は、本発明の第１の実施形態に従った処理最終判定処理の流れを説明する図である。
処理の流れが最後まで到達すると、識別子「５」のB2BUA発制御処理において、最終的な経路情報が生成される。これをステップＳ２０において読み出し、ステップＳ２１において、正常な場合の経路情報を格納するB2BUA着制御用処理最終確認用情報データベースを読み出す。ステップＳ２２において、ステップＳ２０とＳ２１において読み出されたパターンを比較・分析し、ステップＳ２３において、分析結果を判断する。分析結果が正常であった場合には、ステップＳ２４において、正常終了する。分析結果がパターン違反であると判断された場合には、ステップＳ２５において、違反経路パターン情報を編集し、ステップＳ２６において、ワーム感染制御処理を起動する。ワーム感染制御処理では、ステップＳ２７において、通信ポートの遮断を実行し、ステップＳ２８において、保守端末に異常を通知する。

第２の実施形態においては、上記第１の実施形態において、被疑パターンを学習する「ワームパターンレコード機能」を有し、より短時間でワーム感染を検出するワーム感染装置の特定方法。

図５は、本発明の第２の実施形態に従った処理経過判定処理の流れを説明する図である。
図５においても、識別子「２」の呼制御処理において障害が発生しているとしている。第２の実施形態においても、各制御処理の前に本発明の第２の実施形態の検出処理が起動するが、識別子「３」のサービス制御処理に注目して説明をする。識別子「３」のサービス制御処理が起動される前に、本発明の第２の実施形態に従った検出処理が起動する。ステップＳ３０において、処理の流れに伴って生成された経路情報を読み出し、ステップＳ３１において、既知の異常パターンを格納しているサービス制御用経路異常情報データベースを読み出す。ステップＳ３２において、経路パターンを分析し、ステップＳ３０で読み込んだ経路情報が、ステップＳ３１で読み込んだ経路異常パターンに一致するか否かを調べる。ステップＳ３３において、分析結果を判定する。分析の結果、該当するパターンがあった場合には、ステップＳ３９に進む。分析の結果、該当するパターンがなかった場合には、ステップＳ３４において、正常時の経路パターンをサービス制御用経路情報データベースから読み出す。ステップＳ３５において、経路パターンを分析し、ステップＳ３６において、分析結果を判定する。判定の結果、正常であった場合には、ステップＳ３７において、経路情報を更新し、ステップＳ３８において、サービス制御処理を起動する。判定の結果、パターン違反が見つかった場合には、ステップＳ３９において、違反経路パターン情報を編集し、ステップＳ４０において、ワームに感染しているとして、ワーム感染制御処理を起動し、ステップＳ４１において、異常経路パターンをサービス制御用経路異常情報データベースに格納する。ワーム感染制御処理においては、ステップＳ４２において、ワームに感染した自装置の通信ポートの遮断を実行し、ステップＳ４３において、保守端末に異常を通知する。

以下の第３の実施形態においては、上記第１の実施形態において、処理の開始情報と処理ホップ数情報を用いる事で検出精度を上げ、加えて、ワーム感染を特定する。ホップは、各処理部にて更新処理を具備する事で、更新される。有効ホップ数の抽出は、経路情報を元に自動生成され、生成された最小値、最大値の範囲を有効性の判断を行う。

図６は、第２の実施形態における経路パターンの場合の経路情報の例を示す図である。
図６の処理の流れの場合、経路のパターンとして、６種類の流れがある。各制御処理には、識別子がもうけられており、識別子の連番で経路を表現する。各制御処理においては、対応する経路情報データベースが設けられている。識別子が「１」のB2BUA着制御処理においては、これが処理の流れの最初に当たるので、登録される識別子はないが、処理の流れの中で、いくつの制御処理を通過したかを示すＨＯＰ値が初期値に設定されている。ＨＯＰ値は、各制御処理を処理の流れが通過するたびに、１から順に１ずつ加算されていくべきものである。同様に、識別子「１０」の処理受付、識別子「２０」の再開／障害受付に対応する経路情報データにも識別子は登録されていないが、ＨＯＰ値が初期値に設定されている。一方、識別子「２」の呼制御処理に対応する経路情報データベースでは、経路内の前の制御処理の識別子が「１」であるため、識別子「１」が登録され、ＨＯＰ値が「１」に設定される。以下同様にして、識別子「３」のサービス制御処理にいたるまでのすべての経路を示す識別子の連番及び、各経路のＨＯＰ値がサービス制御用経路情報データベースに、同様の情報が、識別子「４」の呼制御処理の場合は、呼制御用経路データベース、識別子「６」のコネクション制御処理の場合は、コネクション制御用経路情報データベース、識別子「５」のB2BUA発制御処理の場合は、B2BUA発制御用経路データベースに設定される。そして、処理の流れの最後の出口に対応して、B2BUA着制御用処理最終確認用情報データベース、コネクション制御用処理最終確認用情報データベースが設けられ、また、ＨＯＰ値の範囲を設定する情報も格納される。

これらの経路情報データベースは、監視の対象となるプログラムが装置にインストールされた時点で、プログラムの設計者等の知識に基づき、予め設けられるべきものである。
図７は、本発明の第３の実施形態に従った処理経過判定処理の流れを説明する図である。

図７においても、図３及び図５のように、識別子「２」の呼制御処理で障害が生じ、サービス制御処理の前に起動される検出処理で、障害が検出される場合を示している。
まず、ステップＳ５０において、ＨＯＰ情報を読み出す。そして、ステップＳ５１において、ＨＯＰ値が妥当か否か、すなわち、ＨＯＰ値が規定の範囲内の数値となっているか否かを判断する。ステップＳ５２において、ＨＯＰ値の範囲が正常であると判断された場合には、ステップＳ５３において、経路情報を読み出し、ステップＳ５４において、サービス制御用経路情報データベースから経路情報パターンを読み出し、ステップＳ５５において、経路パターンを分析する。ステップＳ５６において、経路パターンが正常であると判定された場合には、ステップＳ５７において、経路情報とＨＯＰ値を更新し、ステップＳ５８において、サービス制御処理を起動する。ステップＳ５６において、経路パターンが異常であると判断された場合には、ステップＳ５９において、違反経路パターン情報を編集し、ステップＳ６０において、ワームに感染しているとして、ワーム感染制御処理を起動する。ステップＳ５２において、ＨＯＰ値が規定の範囲内にないと判断された場合には、ステップＳ６１において、違反経路パターン情報を編集し、ステップＳ６２において、ワームに感染しているとして、ワーム感染制御処理を起動する。ワーム感染制御処理では、ステップＳ６３において、ワームに感染している自装置の通信ポート遮断を実行し、ステップＳ６４において、保守端末に異常を通知する。

図８は、本発明の第３の実施形態に従った処理最終判定処理の流れを示す図である。
最終制御処理であるB2BUA発制御処理が終了した時点でのＨＯＰ情報を、ステップＳ７０において読み出す。ステップＳ７１において、ＨＯＰ値が規定の範囲内にあるか否かを判断する。ステップＳ７２において、ＨＯＰ値が規定の範囲内にないと判断された場合には、ステップＳ７８に進む。ステップＳ７２で、ＨＯＰ値が規定の範囲内にあると判断された場合には、ステップＳ７３において、経路情報データベースから経路情報を読み出し、ステップＳ７４において、B2BUA着制御用処理最終確認用情報データベースから、正常時の経路情報パターンを読み出し、ステップＳ７５において、経路パターンを分析する。ステップＳ７６において、分析の結果、経路情報が正常であると判断された場合には、ステップＳ７７において、正常終了する。ステップＳ７６において、経路情報が異常であると判断された場合には、ステップＳ７８において、違反経路パターンを編集して、正常なものに書き換え、ステップＳ７９において、ワーム感染制御処理を起動する。

ワーム感染制御処理では、ステップＳ８０において、自装置の通信ポートを遮断し、ステップＳ８１において、保守端末に異常を通知する。
第４の実施形態では、第３の実施形態において、定期的に処理の正常性を監視する目的で擬似処理を走行させる、擬似処理生成部とその結果を判断する分析部を具備し、処理を破棄するワームに感染した場合の、ワーム感染を検出する。

図９は、本発明の第４の実施形態に従った処理の流れを示す図である。
第４の実施形態では、ワームの検出を行う場合、実際の処理の流れを検査するのではなく、擬似的な処理を、ワームの感染を調べたいプログラムに実行させ、その結果を解析して、ワームの検出を行うものである。まず、擬似処理生成部１６−２が擬似処理要求を最初の処理であるB2BUA着制御処理に発行する。まず、ステップＳ８５において、擬似パターン設定をユーザが行う。擬似パターン設定は、ワームの感染を調べたいプログラムに実行させる処理内容を設定することである。次に、ステップＳ８６において、擬似処理管理情報を更新する。擬似処理管理情報は、処理情報の設定、実施の有無、開始時間、擬似パターン、折り返しポイント情報などである。折り返しポイントとは、識別子「１」のB2BUA着制御から識別子「５」のB2BUA発制御までの処理をすべてやらずに、たとえば、識別子「３」のサービス制御処理で処理を中止して、それまでの処理結果を取得して、分析し、再び、その分析結果を基に、最初から処理を繰り返すための処理の中止場所のことである。擬似処理生成部１６−２は、ステップＳ８７で、B2BUA着制御処理を起動する。

B2BUA着制御処理は、擬似処理生成部１６−２から起動をかけられると、ステップＳ８８において、処理要求種別を判定する。ステップＳ８８で、擬似処理なしと判断された場合には、ステップＳ９８において、呼制御処理を起動する。ステップＳ８８で、擬似処理要求ありと判断された場合には、ステップＳ８９において、折り返し情報を分析する。ステップＳ９０において、自処理において、折り返し指定がなされているか否かを判断する。ステップＳ９０で、自処理において折り返し指定がないと判断された場合には、ステップＳ９８に進む。ステップＳ９０において、折り返し指定がなされていると判断された場合には、ステップＳ９１で、擬似処理分析部１６−１を起動する。

擬似処理分析部１６−１が、折り返し指定によって起動されると、ステップＳ９５において、処理結果を分析し、ステップＳ９６において、結果を判定し、異常がある場合には、ステップＳ９７で、保守端末に異常を通知する。異常がない場合には、処理を終了する。

また、擬似処理分析部１６−１は、折り返し指定がなくても、擬似処理パターンの実行を監視しており、どこかの処理において、指定時間以上処理が進まない場合には、ワームに感染したと判断する。ステップＳ９２において、実施状況の監視、すなわち、各処理における監視タイマ（実行に係る時間にタイムアウトを設定するもの）を監視し、ステップＳ９３において、監視タイマが満了したか否かを判断する。満了していない場合には、監視タイマの監視を続ける。満了した場合には、ステップＳ９４において、保守端末に異常を通知する。

本発明の第１の実施形態に従ったワーム感染装置の検出装置のブロック図である。 本発明の第１の実施形態に従った処理の流れの例を説明する図である。 本発明の第１の実施形態に従った経路経過判定処理の流れを説明する図である。 本発明の第１の実施形態に従った処理最終判定処理の流れを説明する図である。 本発明の第２の実施形態に従った処理経過判定処理の流れを説明する図である。 第２の実施形態における経路パターンの場合の経路情報の例を示す図である。 本発明の第３の実施形態に従った処理経過判定処理の流れを説明する図である。 本発明の第３の実施形態に従った処理最終判定処理の流れを示す図である。 本発明の第４の実施形態に従った処理の流れを示す図である。

符号の説明

１０ 再開・障害受付部
１１ 保守処理受付部
１２ 処理受付処理部
１３ 処理実行部
１４ ワーム感染制御部
１５ 制御シナリオ部
１６−１ 擬似処理分析部
１６−２ 擬似処理生成部
１７、１８ データベース
１９ ＳＩＰメッセージ受信・分析処理部
２０ ＳＩＰメッセージ組み立て・送信処理部

Claims (9)

1. プログラムを実行する装置にワームが感染したことを検出する検出装置において、
   プログラムの実行に際して、正しく処理が行われる場合の処理の流れる経路を格納する経路格納手段と、
   プログラムが実際に実行されている間に、実際に処理が流れた経路を記録する経路記録手段と、
   該経路記録手段が記録した経路と、該経路格納手段の格納する経路が一致するか否かにしたがって、装置がワームに感染したか否かを判断するワーム感染判断手段と、
   前記プログラムが実行されることによって行われる処理が、該処理を構成する処理単位をいくつ通過したかを示すＨＯＰ値を格納するＨＯＰ値格納手段とを備え、
   前記ワーム感染判断手段は、該ＨＯＰ値が所定の範囲内にない場合に、装置がワームに感染したと判断することを特徴とする検出装置。
2. 装置がワームに感染したと判断された場合に、該装置の通信ポートを遮断する通信ポート遮断手段を更に備えることを特徴とする請求項１に記載の検出装置。
3. 装置がワームに感染したと判断された場合に、該装置の保守端末に、該装置がワームに感染した旨を通知する通知手段を更に備えることを特徴とする請求項１に記載の検出装置。
4. 装置がワームに感染した場合の処理の流れの経路を格納する異常経路格納手段を更に備え、
   前記ワーム感染判断手段は、該異常経路格納手段に格納された経路と前記経路記録手段で記録された経路とが一致した場合に、装置が感染したと判断することを特徴とする請求項１に記載の検出装置。
5. 前記プログラムに擬似的に処理要求を与える擬似処理要求手段を更に備え、
   前記ワーム感染判断手段は、該擬似処理要求手段が該プログラムに与えた処理要求について、装置がワームに感染されているか否かを判断することを特徴とする請求項１に記載の検出装置。
6. 前記プログラムが行う処理の処理単位ごとに、処理にかかる経過時間を計数するタイマを更に備え、
   該タイマがタイムアウトした場合に、装置の保守端末に、該装置がワームに感染したことを通知することを特徴とする請求項５に記載の検出装置。
7. 前記擬似的な処理要求は、前記プログラムが行う処理単位毎に、実行の中止を指定可能であり、実行中止前までの処理結果を取得して、分析することを特徴とする請求項５に記載の検出装置。
8. プログラムを実行する装置にワームが感染したことを検出する検出方法において、
   プログラムの実行に際して、正しく処理が行われる場合の処理の流れる経路を格納する経路格納手段を設け、
   プログラムが実際に実行されている間に、実際に処理が流れた経路を記録し、
   前記プログラムが実行されることによって行われる処理が、該処理を構成する処理単位をいくつ通過したかを示すＨＯＰ値を格納し、
   該記録された経路と、該経路格納手段の格納する経路が一致するか否かにしたがって、該ＨＯＰ値が所定の範囲内にない場合に、装置がワームに感染したと判断する、
   ことを特徴とする検出方法。
9. プログラムを実行する装置にワームが感染したことを検出する検出方法を実現させるプログラムにおいて、コンピュータに、
   プログラムの実行に際して、正しく処理が行われる場合の処理の流れる経路を格納する経路格納手段を設けさせ、
   プログラムが実際に実行されている間に、実際に処理が流れた経路を記録させ、
   前記プログラムが実行されることによって行われる処理が、該処理を構成する処理単位をいくつ通過したかを示すＨＯＰ値を格納させ、
   該記録された経路と、該経路格納手段の格納する経路が一致するか否かにしたがって、該ＨＯＰ値が所定の範囲内にない場合に、装置がワームに感染したと判断させる、
   ことを特徴とするプログラム。

Images