JP7363503B2

JP7363503B2 - Information processing device, information processing method, and information processing system

Info

Publication number: JP7363503B2
Application number: JP2020005384A
Authority: JP
Inventors: 卓謙町田; 由紀藤嶌
Original assignee: Fujitsu Ltd
Current assignee: Fujitsu Ltd
Priority date: 2020-01-16
Filing date: 2020-01-16
Publication date: 2023-10-18
Anticipated expiration: 2040-01-16
Also published as: JP2021114047A

Description

本発明は、情報処理装置、情報処理方法、および情報処理システムに係わる。 The present invention relates to an information processing device, an information processing method, and an information processing system.

ネットワークには、様々な種類の端末が接続されることが多く、セキュリティ対策が十分でない端末が残っていることがある。たとえば、工場内ネットワークには、脆弱性の残るＯＳを使用する端末が接続されていることがある。そして、このような端末にマルウェアが侵入すると、ネットワークに接続される他の端末にも感染が及ぶことがある。特に、「ワーム」と呼ばれるマルウェアは、自分自身を複製して他の端末に感染を拡大させる。このため、ネットワーク内にワームが侵入したときには、短い時間内に感染が拡大するおそれがある。 Various types of terminals are often connected to a network, and some terminals may not have sufficient security measures. For example, a factory network may be connected to a terminal that uses a vulnerable OS. When malware infiltrates such a terminal, other terminals connected to the network may also be infected. In particular, malware called ``worms'' replicates itself and spreads infection to other devices. Therefore, when a worm invades a network, the infection may spread within a short period of time.

ワームの侵入が検知されたときには、感染の拡大を遅らせることが重要である。このため、感染が拡大する速度を低下させる方法が提案されている。例えば、攻撃対象サイトと異なる所在へ通信を導き、この攻撃対象サイトへの攻撃を回避させるおとりサイトを設ける方法が提案されている（例えば、特許文献１）。悪性サイトを検知するために、ハニークライアントと呼ばれるおとりのシステムを設ける方法が提案されている（例えば、特許文献２）。おとりシステムを用いて真のサーバが攻撃されるまでの時間を稼ぐ方法が提案されている（例えば、特許文献３）。 When a worm intrusion is detected, it is important to slow the spread of infection. For this reason, methods have been proposed to slow down the rate at which the infection spreads. For example, a method has been proposed in which a decoy site is provided to guide communications to a location different from the attack target site and avoid attacks on the attack target site (for example, Patent Document 1). In order to detect malicious sites, a method of providing a decoy system called a honey client has been proposed (for example, Patent Document 2). A method has been proposed that uses a decoy system to buy time until the real server is attacked (for example, Patent Document 3).

特開２００２－２５１３７４号公報Japanese Patent Application Publication No. 2002-251374 ＷＯ２０１８／０６６２２１WO2018/066221 特開２００２－３４２２７９号公報Japanese Patent Application Publication No. 2002-342279

上述のように、おとりシステムを用いて感染拡大の速度を抑制する方法が提案されている。ただし、従来技術では、おとりシステムを用いても、感染拡大の速度を十分に抑制できていない。ここで、この問題は、おとりシステムの数を増加させれば解決または緩和され得る。ところが、おとりシステムの数を増加させると、ネットワーク全体として効率が悪くなり、可用性が低下するおそれがある。特に、工場内ネットワークは可用性が重要視されるので、おとりシステムの数を増加させる構成は好ましくない。 As mentioned above, methods have been proposed to suppress the speed of infection spread using decoy systems. However, with conventional technology, even with the use of decoy systems, the speed of infection spread cannot be sufficiently suppressed. Here, this problem can be solved or alleviated by increasing the number of decoy systems. However, increasing the number of decoy systems may reduce the efficiency and availability of the network as a whole. In particular, since availability is important in a factory network, a configuration that increases the number of decoy systems is not preferable.

本発明の１つの側面に係わる目的は、マルウェアの感染拡大を遅延させることである。 An objective of one aspect of the present invention is to delay the spread of malware infection.

本発明の１つの態様の情報処理装置は、複数の情報処理装置が接続されたネットワークシステムにおいて使用される。この情報処理装置は、マルウェアに感染した感染端末から受信するパケットおよび再送パケットに基づいて、前記マルウェアまたは前記感染端末の再送パターンを検出する検出部と、前記検出部により検出された再送パターンを、前記複数の情報処理装置のうちの少なくとも１つの他の情報処理装置に通知する通信部と、を備える。 An information processing device according to one aspect of the present invention is used in a network system in which a plurality of information processing devices are connected. The information processing device includes a detection unit that detects a retransmission pattern of the malware or the infected terminal based on packets and retransmission packets received from an infected terminal infected with malware, and a detection unit that detects a retransmission pattern detected by the detection unit, and a communication unit that notifies at least one other information processing device among the plurality of information processing devices.

上述の態様によれば、マルウェアの感染拡大を遅延させることができる。 According to the above aspect, the spread of malware infection can be delayed.

本発明の実施形態に係わるネットワークシステムの一例を示す図である。1 is a diagram showing an example of a network system according to an embodiment of the present invention. 囮端末による遅延処理の例を示す図である。FIG. 7 is a diagram illustrating an example of delay processing by a decoy terminal. 本発明の実施形態に係わる情報処理システムの一例を示す図である。1 is a diagram showing an example of an information processing system according to an embodiment of the present invention. 囮端末の動作を示すシーケンス図である。FIG. 2 is a sequence diagram showing the operation of a decoy terminal. 感染端末が再送を行わないケースでの囮端末の動作を示すシーケンス図である。FIG. 7 is a sequence diagram showing the operation of a decoy terminal in a case where an infected terminal does not perform retransmission. 囮端末の処理の一例を示すフローチャート（その１）である。12 is a flowchart (Part 1) showing an example of processing of a decoy terminal. 囮端末の処理の一例を示すフローチャート（その２）である。12 is a flowchart (Part 2) illustrating an example of processing of a decoy terminal. マルウェア毎に管理されるステート情報および応答時間設定値の一例を示す図である。FIG. 3 is a diagram illustrating an example of state information and response time setting values managed for each piece of malware. 複数の囮端末に順番に再送パターンを通知する方法の一例を示す図である。FIG. 6 is a diagram illustrating an example of a method of sequentially notifying a plurality of decoy terminals of a retransmission pattern. 情報処理システムのハードウェア構成の一例を示す図である。1 is a diagram illustrating an example of a hardware configuration of an information processing system.

図１は、本発明の実施形態に係わるネットワークシステムの一例を示す。本発明の実施形態に係わるネットワークシステム１００は、ネットワークを介して相互に接続された複数の端末１を備える。ネットワークシステム１００は、特に限定されるものではないが、例えば、工場内に構築される工場内ネットワークである。 FIG. 1 shows an example of a network system according to an embodiment of the present invention. A network system 100 according to an embodiment of the present invention includes a plurality of terminals 1 interconnected via a network. The network system 100 is, for example, an in-factory network constructed within a factory, although it is not particularly limited.

上記構成のネットワークシステム１００において、ある端末１がマルウェアに感染したものとする。マルウェアは、特に限定されるものではないが、例えば、ワームである。ワームは、自分自身を複製して他の端末に感染を拡大させることが可能である。なお、以下の記載では、マルウェアに感染した端末を「感染端末１Ｍ」と呼ぶことがある。 Assume that in the network system 100 having the above configuration, a certain terminal 1 is infected with malware. Malware is, for example, a worm, although it is not particularly limited. Worms can replicate themselves and spread infection to other devices. Note that in the following description, a terminal infected with malware may be referred to as an "infected terminal 1M."

ネットワークシステム１００は、マルウェアの感染拡大を遅延させるために、複数の囮端末２（２ａ～２ｃ）を備える。各囮端末２は、この実施例では、サーバコンピュータ３上に実装される仮想マシンにより実現される。この場合、サーバコンピュータ３は、ネットワークに接続される。ただし、本発明はこの構成に限定されるものではない。例えば、各囮端末２は、互いに物理的に独立したコンピュータであってもよい。 The network system 100 includes a plurality of decoy terminals 2 (2a to 2c) in order to delay the spread of malware infection. In this embodiment, each decoy terminal 2 is realized by a virtual machine installed on the server computer 3. In this case, the server computer 3 is connected to the network. However, the present invention is not limited to this configuration. For example, each decoy terminal 2 may be a computer that is physically independent from each other.

各囮端末２は、サーバコンピュータ３のプロセッサ資源およびメモリ資源を利用して実現されるが、独立した情報処理装置として動作できる。また、各囮端末２には、ＩＰアドレス等の識別情報が付与されている。よって、各端末１は、囮端末２あてにパケットを送信することができる。 Each decoy terminal 2 is realized using the processor resources and memory resources of the server computer 3, but can operate as an independent information processing device. Further, each decoy terminal 2 is given identification information such as an IP address. Therefore, each terminal 1 can transmit packets to the decoy terminal 2.

図２は、囮端末による遅延処理の例を示す。この例では、感染端末１Ｍから囮端末２に対してマルウェアによる感染試行が行われるものとする。感染試行は、この実施例では、対象端末（図２では、囮端末２）にワームを送り込んで、その対象端末を感染状態にする処理を表す。 FIG. 2 shows an example of delay processing by a decoy terminal. In this example, it is assumed that an infected terminal 1M attempts to infect the decoy terminal 2 with malware. In this embodiment, the infection attempt represents a process in which a worm is sent to a target terminal (decoy terminal 2 in FIG. 2) to cause the target terminal to become infected.

図２（ａ）に示す例では、感染端末１Ｍは、囮端末２にＳＹＮパケットを送信する。この後、感染端末１Ｍは、ＳＹＮパケットの送信時刻から所定のタイムアウト時間Ｔ０が経過するまで、囮端末２から送信される応答パケットを待ち受ける。 In the example shown in FIG. 2(a), the infected terminal 1M transmits a SYN packet to the decoy terminal 2. Thereafter, the infected terminal 1M waits for a response packet transmitted from the decoy terminal 2 until a predetermined timeout period T0 has elapsed from the transmission time of the SYN packet.

この例では、囮端末２は、応答パケットを感染端末１Ｍに送信する。そして、感染端末１Ｍは、タイムアウト時間が経過する前に、その応答パケットを受信する。そうすると、感染端末１Ｍに実装されているマルウェアは、感染試行を実行する。この結果、囮端末２は、マルウェアに感染する。 In this example, the decoy terminal 2 sends a response packet to the infected terminal 1M. Then, the infected terminal 1M receives the response packet before the timeout period elapses. Then, the malware installed on the infected terminal 1M performs an infection attempt. As a result, the decoy terminal 2 is infected with malware.

このように、囮端末２が感染端末１Ｍからの攻撃を受けると、その分だけ他の端末１への感染の拡大が遅延する。ここで、囮端末２が感染端末１ＭからＳＹＮパケットを受信したときから、囮端末２が感染端末１Ｍに応答パケットを送信するまでの時間を「Ｒ」とする。また、マルウェアによる感染試行の実行時間を「Ｍ」とする。この場合、囮端末２を設けたことにより、時間「Ｒ＋Ｍ」だけ他の端末１への感染拡大が遅延することになる。 In this way, when the decoy terminal 2 is attacked by the infected terminal 1M, the spread of infection to other terminals 1 is delayed by that amount. Here, the time from when the decoy terminal 2 receives the SYN packet from the infected terminal 1M to when the decoy terminal 2 transmits the response packet to the infected terminal 1M is defined as "R". Further, the execution time of an infection attempt by malware is assumed to be "M". In this case, by providing the decoy terminal 2, the spread of infection to other terminals 1 will be delayed by the time "R+M".

図２（ｂ）に示す例でも、感染端末１Ｍは、囮端末２にＳＹＮパケットを送信する。ここで、囮端末２が感染端末１Ｍに応答パケットを送信しないものとする。そして、感染端末１Ｍは、ＳＹＮパケットの送信時刻からタイムアウト時間Ｔ０が経過するまでの間に、囮端末２から応答パケットを受信しないものとする。この場合、感染端末１Ｍは、再送手順を実行する。すなわち、感染端末１Ｍは、ＳＹＮパケットの再送を実行する。 Also in the example shown in FIG. 2(b), the infected terminal 1M transmits a SYN packet to the decoy terminal 2. Here, it is assumed that the decoy terminal 2 does not transmit a response packet to the infected terminal 1M. It is assumed that the infected terminal 1M does not receive a response packet from the decoy terminal 2 from the transmission time of the SYN packet until the timeout period T0 elapses. In this case, the infected terminal 1M executes a retransmission procedure. That is, the infected terminal 1M retransmits the SYN packet.

再送パターンは、例えば、パケットの送信元端末（図２（ｂ）に示す例では、感染端末１Ｍ）のＯＳに設定されている。或いは、再送パターンは、パケットの送信元端末において動作するアプリケーション（図２（ｂ）に示す例では、マルウェア）に設定されていることもある。ここでは、下記の再送パターンが設定されているものとする。
（１）再送回数は、２回である。
（２）１回目の再送に対するタイムアウト時間はＴ１である。
（３）２回目の再送に対するタイムアウト時間はＴ２である。 The retransmission pattern is set, for example, in the OS of the packet transmission source terminal (in the example shown in FIG. 2B, the infected terminal 1M). Alternatively, the retransmission pattern may be set in an application (malware in the example shown in FIG. 2(b)) running on the packet source terminal. Here, it is assumed that the following retransmission pattern is set.
(1) The number of retransmissions is two.
(2) The timeout period for the first retransmission is T1.
(3) The timeout period for the second retransmission is T2.

このような状況において、囮端末２は、他の端末１への感染の拡大を遅らせるために、応答パケットの送信タイミングを遅らせる。ここで、他の端末１への感染の拡大を出来るだけ遅らせるためには、感染端末１Ｍによる最後の再送に対するタイムアウト時間が満了する直前に、囮端末２から感染端末１Ｍに応答パケットが送信されることが好ましい。具体的には、囮端末２は、最初のＳＹＮパケットを受信した時刻から「Ｔ０＋Ｔ１＋Ｔ２」が経過する直前に、感染端末１Ｍに応答パケットを送信することが好ましい。図２（ｂ）では、囮端末２は、最初のＳＹＮパケットを受信した時刻から待ち時間Ｒ２が経過したタイミングで、感染端末１Ｍに応答パケットを送信している。この場合、囮端末２を設けたことにより、時間「Ｒ２＋Ｍ」だけ他の端末１への感染拡大が遅延することになる。 In such a situation, the decoy terminal 2 delays the transmission timing of the response packet in order to delay the spread of infection to other terminals 1. Here, in order to delay the spread of infection to other terminals 1 as much as possible, a response packet is sent from the decoy terminal 2 to the infected terminal 1M immediately before the timeout period for the last retransmission by the infected terminal 1M expires. It is preferable. Specifically, it is preferable that the decoy terminal 2 transmits a response packet to the infected terminal 1M immediately before "T0+T1+T2" has elapsed from the time when the first SYN packet was received. In FIG. 2(b), the decoy terminal 2 transmits a response packet to the infected terminal 1M at a timing when a waiting time R2 has elapsed from the time when the first SYN packet was received. In this case, by providing the decoy terminal 2, the spread of infection to other terminals 1 will be delayed by the time "R2+M".

このように、再送パターンが既知であれば、各囮端末２において、他の端末１への感染拡大を大きく遅延させることが可能である。ところが、再送パターンは、パケットの送信元端末のＯＳに設定されることがある。すなわち、再送パターンは、送信元端末のＯＳに依存するので、必ずしも既知ではない。また、マルウェアが再送手順を実行するケースでは、囮端末２は、事前に再送パターンを認識することは困難である。そして、再送パターンを認識していない状況では、囮端末２は、他の端末１への感染拡大を十分に遅延させることは困難である。 In this way, if the retransmission pattern is known, it is possible for each decoy terminal 2 to significantly delay the spread of infection to other terminals 1. However, the retransmission pattern may be set in the OS of the packet source terminal. That is, the retransmission pattern is not necessarily known because it depends on the OS of the source terminal. Furthermore, in a case where malware executes a retransmission procedure, it is difficult for the decoy terminal 2 to recognize the retransmission pattern in advance. In a situation where the retransmission pattern is not recognized, it is difficult for the decoy terminal 2 to sufficiently delay the spread of infection to other terminals 1.

例えば、図２（ｂ）において、待ち時間Ｒ２が「Ｔ０＋Ｔ１＋Ｔ２」より長いときは、感染端末１Ｍは、感染試行手順を実行することなく、他の端末１への攻撃を実行する。この場合、図２（ｂ）に示すケースと比較して、マルウェアによる感染試行手順の実行時間Ｍの分だけ遅延時間が短くなる。一方、感染端末１Ｍに感染試行手順を確実に実行させるためには、囮端末２は、待ち時間Ｒ２として、様々な再送パターンの中で最も短いと考えられるタイムアウト時間より短い値を使用することになる。しかし、この場合は、最初のＳＹＮパケットが送信された時刻から感染試行手順が開始されるまでの時間が短くなるので、結局、他の端末１への感染拡大が早まってしまう。 For example, in FIG. 2(b), when the waiting time R2 is longer than "T0+T1+T2", the infected terminal 1M executes an attack on the other terminal 1 without executing the infection attempt procedure. In this case, compared to the case shown in FIG. 2(b), the delay time is shortened by the execution time M of the malware infection attempt procedure. On the other hand, in order to ensure that the infected terminal 1M executes the infection attempt procedure, the decoy terminal 2 uses a value shorter than the timeout time considered to be the shortest among various retransmission patterns as the waiting time R2. Become. However, in this case, the time from the time when the first SYN packet is transmitted until the infection attempt procedure is started is shortened, so that the spread of infection to other terminals 1 ends up being accelerated.

そこで、本発明の実施形態に係わる情報処理方法では、複数の囮端末が連携して、他の端末１への感染拡大を遅延させる。具体的には、複数の囮端末のうちの１つの囮端末が、マルウェアまたはマルウェアに感染した感染端末の再送パターンを検出する。再送パターンは、タイムアウト時間および再送回数を表す。そして、この囮端末は、検出した再送パターンを他の１または複数の囮端末に通知する。そうすると、他の１または複数の囮端末は、通知された再送パターンに基づいて、他の端末１への感染拡大を遅延させる処理を実行する。具体的には、再送パターンが知らされた各囮端末は、感染端末１Ｍからアクセスを受けたときに、図２（ｂ）に示す手順を実行する。この結果、感染拡大の遅延が大きくなる。 Therefore, in the information processing method according to the embodiment of the present invention, a plurality of decoy terminals cooperate to delay the spread of infection to other terminals 1. Specifically, one of the plurality of decoy terminals detects a retransmission pattern of malware or an infected terminal infected with malware. The retransmission pattern represents the timeout period and the number of retransmissions. Then, this decoy terminal notifies one or more other decoy terminals of the detected retransmission pattern. Then, one or more other decoy terminals execute processing to delay the spread of infection to other terminals 1 based on the notified retransmission pattern. Specifically, each decoy terminal that has been informed of the retransmission pattern executes the procedure shown in FIG. 2(b) when accessed by the infected terminal 1M. As a result, the spread of infection will be delayed significantly.

図３は、本発明の実施形態に係わる情報処理システムの一例を示す。本発明の実施形態に係わる情報処理システム２００は、複数の囮端末２および管理部３０を備える。図３に示す囮端末２は、図１に示す囮端末２に相当する。図３においては、２台の囮端末２（２ａ、２ｂ）が描かれているが、情報処理システム２００は、３台以上の囮端末２を備えてもよい。また、情報処理システム２００は、図１に示す例では、サーバコンピュータ３により実現される。すなわち、この実施例でも、各囮端末２は、サーバコンピュータ３上に実装される仮想マシンにより実現される。なお、情報処理システム２００は、図３に示していない他の装置または機能を備えてもよい。 FIG. 3 shows an example of an information processing system according to an embodiment of the present invention. An information processing system 200 according to an embodiment of the present invention includes a plurality of decoy terminals 2 and a management section 30. The decoy terminal 2 shown in FIG. 3 corresponds to the decoy terminal 2 shown in FIG. Although two decoy terminals 2 (2a, 2b) are depicted in FIG. 3, the information processing system 200 may include three or more decoy terminals 2. Further, the information processing system 200 is realized by the server computer 3 in the example shown in FIG. That is, in this embodiment as well, each decoy terminal 2 is realized by a virtual machine installed on the server computer 3. Note that the information processing system 200 may include other devices or functions not shown in FIG. 3.

囮端末２は、ネットワークＩＦ２１、検出部２２、通信部２３を備える。また、囮端末２は、ステート情報および応答時間設定値を保存するためのメモリを備える。なお、囮端末２は、図３に示していない他の機能を備えてもよい。 The decoy terminal 2 includes a network IF 21, a detection section 22, and a communication section 23. The decoy terminal 2 also includes a memory for storing state information and response time settings. Note that the decoy terminal 2 may have other functions not shown in FIG.

ネットワークＩＦ２１は、ネットワークとのインタフェースを提供する。すなわち、ネットワークＩＦ２１は、図１に示す端末１（感染端末１Ｍを含む）から送信されるパケットを受信することができる。各パケットは、送信元アドレスおよび宛先アドレスを含む。そして、ネットワークＩＦ２１は、受信パケットの宛先アドレスに基づいて、そのパケットを取り込むか廃棄するかを判定する。また、ネットワークＩＦ２１は、受信パケットの送信元アドレスに基づいて、そのパケットが感染端末１Ｍから送信されたか否かを判定してもよい。 The network IF 21 provides an interface with the network. That is, the network IF 21 can receive packets transmitted from the terminal 1 (including the infected terminal 1M) shown in FIG. Each packet includes a source address and a destination address. Then, the network IF 21 determines whether to capture or discard the received packet based on the destination address of the received packet. Further, the network IF 21 may determine whether the packet was transmitted from the infected terminal 1M based on the source address of the received packet.

ただし、囮端末２は、マルウェアの感染拡大を抑制するために設けられた情報処理装置であり、ネットワークシステム１００の本来の処理を実行するための端末ではない。よって、ブロードキャストパケットを除けば、ネットワークシステム１００の本来の処理に係わるパケットは、囮端末２に到着しないはずである。換言すれば、ブロードキャストパケットを除けば、囮端末２に到着するパケットは、マルウェアの感染が疑わしい端末から送信されたパケットであると考えられる。そこで、囮端末２は、宛先アドレスが当該囮端末２であるパケットを受信したとき、そのパケットの送信元の端末を「疑わしい端末」と推定する。以下では、このような疑わしい端末を、ワームに感染した可能性がある「感染端末（または、感染端末１Ｍ）」と呼ぶことにする。 However, the decoy terminal 2 is an information processing device provided to suppress the spread of malware infection, and is not a terminal for executing the original processing of the network system 100. Therefore, except for broadcast packets, packets related to the original processing of the network system 100 should not arrive at the decoy terminal 2. In other words, except for broadcast packets, the packets arriving at the decoy terminal 2 are considered to be packets transmitted from a terminal suspected of being infected with malware. Therefore, when the decoy terminal 2 receives a packet whose destination address is the decoy terminal 2, the decoy terminal 2 estimates that the source terminal of the packet is a "suspicious terminal." In the following, such a suspicious terminal will be referred to as an "infected terminal (or infected terminal 1M)" that may have been infected with a worm.

そして、ネットワークＩＦ２１は、感染端末１Ｍからパケットを受信したときは、アクセス情報を生成する。アクセス情報は、感染端末１Ｍから当該囮端末２にパケットが到着したこと、およびその受信時刻を表す。 Then, when the network IF 21 receives a packet from the infected terminal 1M, it generates access information. The access information indicates that a packet has arrived at the decoy terminal 2 from the infected terminal 1M and the time of reception thereof.

また、ネットワークＩＦ２１は、受信パケットに対して応答パケットを返送する機能を有する。但し、感染端末１Ｍからパケットを受信したときは、ネットワークＩＦ２１は、検出部２２から与えられる応答指示に基づいて応答処理を行う。 Further, the network IF 21 has a function of returning a response packet to a received packet. However, when receiving a packet from the infected terminal 1M, the network IF 21 performs response processing based on a response instruction given from the detection unit 22.

検出部２２は、ネットワークＩＦ２１から与えられるアクセス情報に基づいて、感染端末１Ｍまたは感染端末１Ｍに侵入したマルウェアの再送パターンを検出する。また、検出部２２は、他の囮端末から受信するアクセス情報を利用して再送パターンを検出することもある。そして、ネットワークＩＦ２１から与えられるアクセス情報および検出部２２において検出された再送パターンは、通信部２３を介して管理部３０に通知される。通信部２３は、検出部２２と管理部３０との間のインタフェースを提供する。なお、再送パターンを検出する方法は、後で詳しく説明する。 The detection unit 22 detects the retransmission pattern of the infected terminal 1M or the malware that has invaded the infected terminal 1M, based on the access information given from the network IF 21. The detection unit 22 may also detect a retransmission pattern using access information received from other decoy terminals. Then, the access information given from the network IF 21 and the retransmission pattern detected by the detection unit 22 are notified to the management unit 30 via the communication unit 23. The communication unit 23 provides an interface between the detection unit 22 and the management unit 30. Note that a method for detecting a retransmission pattern will be explained in detail later.

ステート情報は、囮端末２の動作状態を表す。ここで、囮端末２は、初期状態または応答制限状態のいずれか一方で動作する。初期状態においては、囮端末２は、感染端末１Ｍからのアクセスに対して応答パケットを返送しない。すなわち、囮端末２は、感染端末１Ｍに再送手順を実行させる。そして、囮端末２は、マルウェアまたは感染端末１Ｍの再送パターンを検出する。この場合、囮端末２は、検出した再送パターンを、管理部３０を介して他の囮端末に通知する。また、応答制限状態においては、囮端末２は、他の囮端末から通知される再送パターンに基づいて、感染端末１Ｍから受信するパケットに対する応答を制限する。 The state information represents the operating state of the decoy terminal 2. Here, the decoy terminal 2 operates in either the initial state or the response limited state. In the initial state, the decoy terminal 2 does not return a response packet to the access from the infected terminal 1M. That is, the decoy terminal 2 causes the infected terminal 1M to execute a retransmission procedure. Then, the decoy terminal 2 detects the retransmission pattern of the malware or the infected terminal 1M. In this case, the decoy terminal 2 notifies the other decoy terminals of the detected retransmission pattern via the management unit 30. Furthermore, in the response restriction state, the decoy terminal 2 limits responses to packets received from the infected terminal 1M based on retransmission patterns notified from other decoy terminals.

応答時間設定値は、感染端末１Ｍから受信するパケットに対する応答時間を表す。具体的には、応答時間設定値は、囮端末２が応答制限状態で動作するときに、感染端末１ＭからＳＹＮパケットを受信した時刻から応答パケットを返送するタイミングまでの待ち時間を表す。なお、応答時間設定値は、後で説明するが、マルウェアまたは感染端末１Ｍの再送パターンに基づいて算出される。 The response time setting value represents the response time to a packet received from the infected terminal 1M. Specifically, the response time setting value represents the waiting time from the time when the SYN packet is received from the infected terminal 1M to the time when the response packet is sent back when the decoy terminal 2 operates in a response limited state. Note that, as will be explained later, the response time setting value is calculated based on the retransmission pattern of the malware or the infected terminal 1M.

次に、図３を参照して情報処理システム２００の動作を説明する。なお、特に限定されるものではないが、各囮端末２は、感染端末１Ｍから攻撃を受けやすいように構成されていてもよい。例えば、囮端末２は、脆弱性の残るＯＳを使用しているように見せかけてもよい。この場合、囮端末２は、例えば、ログインメッセージを書き換えることで、実際とは異なるＯＳを使用している状態を他の端末に認識させてもよい。 Next, the operation of the information processing system 200 will be explained with reference to FIG. 3. Note that, although not particularly limited, each decoy terminal 2 may be configured to be easily attacked by the infected terminal 1M. For example, the decoy terminal 2 may appear to be using a vulnerable OS. In this case, the decoy terminal 2 may make the other terminals recognize that it is using a different OS from the actual one by rewriting the login message, for example.

この実施例では、感染端末１Ｍが、まず、囮端末２ａにアクセスするものとする。すなわち、感染端末１Ｍから送信されるＳＹＮパケットが囮端末２ａに到着する。このとき、各囮端末２（２ａ、２ｂ）は、初期状態で動作しているものとする。 In this embodiment, it is assumed that the infected terminal 1M first accesses the decoy terminal 2a. That is, the SYN packet transmitted from the infected terminal 1M arrives at the decoy terminal 2a. At this time, each decoy terminal 2 (2a, 2b) is assumed to be operating in an initial state.

囮端末２ａは、感染端末１Ｍから送信されるＳＹＮパケットを受信する。そして、囮端末２ａは、このＳＹＮパケットの送信元アドレスを解析することにより、受信パケットの送信元（すなわち、感染端末１Ｍ）が疑わしい端末であると判定するものとする。このとき、囮端末２ａは、初期状態で動作している。この場合、囮端末２ａは、ＳＹＮパケットに応答することなく、感染端末１Ｍの再送パターンを検出する手順を実行する。なお、再送パターンを検出する方法は、後で詳しく説明する。 The decoy terminal 2a receives the SYN packet transmitted from the infected terminal 1M. Then, by analyzing the source address of this SYN packet, the decoy terminal 2a determines that the source of the received packet (that is, the infected terminal 1M) is a suspicious terminal. At this time, the decoy terminal 2a is operating in an initial state. In this case, the decoy terminal 2a executes a procedure for detecting the retransmission pattern of the infected terminal 1M without responding to the SYN packet. Note that a method for detecting a retransmission pattern will be explained in detail later.

なお、再送パターンは、上述したように、例えば、感染端末１ＭのＯＳまたは感染端末１Ｍに進入したマルウェアに依存する。ただし、以下の記載では、「感染端末１Ｍの再送パターン」は、感染端末１Ｍに進入したマルウェアの再送パターンを含むものとする。 Note that, as described above, the retransmission pattern depends on, for example, the OS of the infected terminal 1M or the malware that has entered the infected terminal 1M. However, in the following description, the "retransmission pattern of the infected terminal 1M" includes the retransmission pattern of malware that has entered the infected terminal 1M.

囮端末２ａは、感染端末１Ｍの再送パターンを検出すると、その検出結果を管理部３０に通知する。再送パターンは、タイムアウト時間および再送回数を含む。タイムアウト時間は、感染端末１Ｍがあるパケットを送信したときからそのパケットに対応する再送パケットを送信するまでの期間を表す。再送回数は、感染端末１Ｍが再送パケットを送信する回数の最大値を表す。なお、この例では、各再送に対するタイムアウト時間は、最初のＳＹＮパケット（即ち、再送前のＳＹＮパケット）に対するタイムアウト時間Ｔ０に基づいて決まるものとする。例えば、１回目の再送に対するタイムアウト時間Ｔ１は「Ｔ０×２」で表される。２回目の再送に対するタイムアウト時間Ｔ２は「Ｔ０×２×２」で表される。すなわち、ｉ回目の再送に対するタイムアウト時間Ｔｉは、「Ｔ０×２ⁱ」で表される。したがって、この場合、再送パターンは、最初のＳＹＮパケットに対する再送のタイムアウト時間Ｔ０および再送回数ｎで表される。 When the decoy terminal 2a detects the retransmission pattern of the infected terminal 1M, the decoy terminal 2a notifies the management unit 30 of the detection result. The retransmission pattern includes a timeout period and the number of retransmissions. The timeout period represents the period from when the infected terminal 1M transmits a certain packet until it transmits a retransmission packet corresponding to that packet. The number of retransmissions represents the maximum number of times the infected terminal 1M transmits retransmission packets. Note that in this example, the timeout time for each retransmission is determined based on the timeout time T0 for the first SYN packet (ie, the SYN packet before retransmission). For example, the timeout time T1 for the first retransmission is expressed as "T0x2". The timeout time T2 for the second retransmission is expressed as "T0x2x2". That is, the timeout time Ti for the i-th retransmission is expressed as "T0×2 ⁱ ". Therefore, in this case, the retransmission pattern is expressed by the retransmission timeout time T0 and the number of retransmissions n for the first SYN packet.

管理部３０は、囮端末２ａから再送パターンを表す情報を受信すると、他の１以上の囮端末にその再送パターンを通知する。このとき、管理部３０は、すべての囮端末に再送パターンを通知してもよい。図３に示す例では、囮端末２ａにより検出された再送パターンが、管理部３０を介して、囮端末２ｂに通知される。すなわち、再送パターンを検出した囮端末２ａは、実質的に、その再送パターンを他の各囮端末２（図３では、囮端末２ｂ）に通知する。 Upon receiving the information representing the retransmission pattern from the decoy terminal 2a, the management unit 30 notifies one or more other decoy terminals of the retransmission pattern. At this time, the management unit 30 may notify all the decoy terminals of the retransmission pattern. In the example shown in FIG. 3, the retransmission pattern detected by the decoy terminal 2a is notified to the decoy terminal 2b via the management unit 30. That is, the decoy terminal 2a that has detected the retransmission pattern essentially notifies each of the other decoy terminals 2 (in FIG. 3, the decoy terminal 2b) of the retransmission pattern.

囮端末２ｂは、囮端末２ａから管理部３０を介して再送パターンが通知されると、応答時間設定値ＲＴを計算する。応答時間設定値ＲＴは、例えば、タイムアウト時間Ｔ０および再送回数ｎに基づいて（１）式で計算される。

但し、応答時間設定値ＲＴは、実際には、（１）式で計算される値より僅かに小さい値であることが好ましい。即ち、応答時間設定値ＲＴは、各タイムアウト時間Ｔ０～Ｔｎの和よりも僅かに小さい値であることが好ましい。以下の記載では、応答時間設定値ＲＴは、（１）式で計算される値より僅かに小さい値であるものとする。 When the decoy terminal 2b is notified of the retransmission pattern from the decoy terminal 2a via the management unit 30, the decoy terminal 2b calculates the response time setting value RT. The response time setting value RT is calculated, for example, using equation (1) based on the timeout time T0 and the number of retransmissions n.

However, the response time setting value RT is actually preferably a value slightly smaller than the value calculated by equation (1). That is, the response time setting value RT is preferably a value slightly smaller than the sum of the respective timeout times T0 to Tn. In the following description, it is assumed that the response time setting value RT is a value slightly smaller than the value calculated using equation (1).

そして、計算された応答時間設定値ＲＴは、囮端末２ｂが備えるメモリに保存される。なお、この実施例では、再送パターンが通知された囮端末２ｂがその再送パターンに基づいて応答時間設定値ＲＴを計算するが、本発明はこの方法に限定されるものではない。例えば、再送パターンを検出した囮端末２ａが応答時間設定値ＲＴを計算し、囮端末２ａから囮端末２ｂに応答時間設定値ＲＴが通知されるようにしてもよい。或いは、管理部３０が再送パターンに基づいて応答時間設定値ＲＴを計算し、管理部３０から囮端末２ｂに応答時間設定値ＲＴが通知されるようにしてもよい。 Then, the calculated response time setting value RT is stored in the memory included in the decoy terminal 2b. In this embodiment, the decoy terminal 2b that has been notified of the retransmission pattern calculates the response time setting value RT based on the retransmission pattern, but the present invention is not limited to this method. For example, the decoy terminal 2a that has detected the retransmission pattern may calculate the response time setting value RT, and the response time setting value RT may be notified from the decoy terminal 2a to the decoy terminal 2b. Alternatively, the management unit 30 may calculate the response time setting value RT based on the retransmission pattern, and the management unit 30 may notify the decoy terminal 2b of the response time setting value RT.

加えて、囮端末２ｂは、囮端末２ａから管理部３０を介して再送パターンが通知されると、囮端末２ｂのステート情報を初期状態から応答制限状態に更新する。なお、この実施例では、囮端末２ｂが再送パターンの受信を契機としてステート情報を更新するが、本発明はこの方法に限定されるものではない。例えば、管理部３０が囮端末２ｂのステート情報を更新してもよい。 In addition, when the decoy terminal 2b is notified of the retransmission pattern from the decoy terminal 2a via the management unit 30, the decoy terminal 2b updates the state information of the decoy terminal 2b from the initial state to the response restriction state. In this embodiment, the decoy terminal 2b updates the state information upon receiving the retransmission pattern, but the present invention is not limited to this method. For example, the management unit 30 may update the state information of the decoy terminal 2b.

この後、感染端末１Ｍが、囮端末２ｂにアクセスするものとする。すなわち、感染端末１Ｍから送信されるＳＹＮパケットが囮端末２ｂに到着するものとする。このとき、囮端末２ｂは、応答制限状態で動作している。この場合、囮端末２ｂは、メモリに保存されている応答時間設定値ＲＴに基づいて、ＳＹＮパケットに対して応答パケットを返送する。具体的には、囮端末２ｂは、感染端末１Ｍから送信されるＳＹＮパケットまたは再送パケットを受信しても、即座には応答パケットを返送しない。そして、囮端末２ｂは、感染端末１Ｍから送信されるＳＹＮパケットを受信した時刻から応答時間設定値ＲＴが経過したタイミングで、感染パケット１Ｍに応答パケットを送信する。 After this, it is assumed that the infected terminal 1M accesses the decoy terminal 2b. That is, it is assumed that the SYN packet transmitted from the infected terminal 1M arrives at the decoy terminal 2b. At this time, the decoy terminal 2b is operating in a response limited state. In this case, the decoy terminal 2b returns a response packet to the SYN packet based on the response time setting value RT stored in the memory. Specifically, even if the decoy terminal 2b receives a SYN packet or a retransmission packet transmitted from the infected terminal 1M, it does not immediately return a response packet. Then, the decoy terminal 2b transmits a response packet to the infected packet 1M at a timing when the response time setting value RT has elapsed from the time when it received the SYN packet transmitted from the infected terminal 1M.

なお、感染端末１Ｍは、囮端末２ｂから応答パケットを受信すると、感染試行手順を実行する。この結果、囮端末２ｂは、マルウェアに感染することになる。 Note that when the infected terminal 1M receives the response packet from the decoy terminal 2b, it executes the infection attempt procedure. As a result, the decoy terminal 2b becomes infected with malware.

図４は、囮端末２の動作を示すシーケンス図である。この例では、感染端末１Ｍ（または、感染端末１Ｍに侵入したマルウェア）の最初の再送タイムアウト時間は「Ｔ０」であり、再送回数は「２回」である。すなわち、感染端末１Ｍは、ターゲット端末にＳＹＮパケットを送信したときからタイムアウト時間Ｔ０が経過するまでに応答パケットを受信しないと、１回目の再送を行う。また、感染端末１Ｍは、ターゲット端末に１回目の再送ＳＹＮパケットを送信したときからタイムアウト時間Ｔ１が経過するまでに応答パケットを受信しないと、２回目の再送を行う。そして、感染端末１Ｍは、ターゲット端末に２回目の再送ＳＹＮパケットを送信したときからタイムアウト時間Ｔ２が経過するまでに応答パケットを受信しないと、そのターゲット端末へのアクセスを終了し、他のターゲット端末へのアクセスを実行する。 FIG. 4 is a sequence diagram showing the operation of the decoy terminal 2. In this example, the first retransmission timeout time of the infected terminal 1M (or the malware that has invaded the infected terminal 1M) is "T0", and the number of retransmissions is "2 times". That is, if the infected terminal 1M does not receive a response packet by the time the timeout period T0 elapses after transmitting the SYN packet to the target terminal, the infected terminal 1M performs the first retransmission. Furthermore, if the infected terminal 1M does not receive a response packet by the time the timeout period T1 elapses after transmitting the first retransmission SYN packet to the target terminal, it retransmits the second retransmission. If the infected terminal 1M does not receive a response packet by the time the timeout period T2 has elapsed after sending the second retransmission SYN packet to the target terminal, the infected terminal 1M terminates access to the target terminal and transfers the SYN packet to the other target terminal. Execute access to.

図４（ａ）は、感染端末１Ｍから初期状態の囮端末２ａにアクセスが行われたときのシーケンスを示す。すなわち、感染端末１Ｍは、ＳＹＮパケットを囮端末２ａに送信する。 FIG. 4A shows a sequence when the infected terminal 1M accesses the decoy terminal 2a in the initial state. That is, the infected terminal 1M transmits a SYN packet to the decoy terminal 2a.

この場合、囮端末２ａは、ＳＹＮパケットの受信時刻を記録する。ただし、囮端末２ａは、初期状態で動作しているので、受信したＳＹＮパケットに対して応答パケットを返送しない。そうすると、感染端末１Ｍは、最初のＳＹＮパケットの送信時刻からタイムアウト時間Ｔ０内に応答パケットを受信できないので、再送手順を実行する。すなわち、感染端末１Ｍは、最初のＳＹＮパケットの送信時刻からタイムアウト時間Ｔ０が経過したタイミングで、再送ＳＹＮパケットを送信する。 In this case, the decoy terminal 2a records the reception time of the SYN packet. However, since the decoy terminal 2a is operating in the initial state, it does not return a response packet to the received SYN packet. Then, the infected terminal 1M cannot receive the response packet within the timeout period T0 from the transmission time of the first SYN packet, so it executes the retransmission procedure. That is, the infected terminal 1M transmits a retransmitted SYN packet at the timing when the timeout period T0 has elapsed from the transmission time of the first SYN packet.

囮端末２ａは、１回目の再送ＳＹＮパケットを受信する。そして、囮端末２ａは、最初のＳＹＮパケットの受信時刻および１回目の再送ＳＹＮパケットの受信時刻からタイムアウト時間Ｔ０を計算する。ただし、囮端末２ａは、再送ＳＹＮパケットに対しても応答パケットを返送しない。そうすると、感染端末１Ｍは、１回目の再送ＳＹＮパケットの送信時刻からタイムアウト時間Ｔ１内に応答パケットを受信できないので、再送手順を繰り返す。すなわち、感染端末１Ｍは、１回目の再送ＳＹＮパケットの送信時刻からタイムアウト時間Ｔ１が経過したタイミングで、２回目の再送ＳＹＮパケットを送信する。 The decoy terminal 2a receives the first retransmitted SYN packet. Then, the decoy terminal 2a calculates the timeout time T0 from the reception time of the first SYN packet and the reception time of the first retransmitted SYN packet. However, the decoy terminal 2a does not return a response packet to the retransmitted SYN packet either. Then, the infected terminal 1M cannot receive the response packet within the timeout period T1 from the transmission time of the first retransmitted SYN packet, and therefore repeats the retransmission procedure. That is, the infected terminal 1M transmits the second retransmitted SYN packet at the timing when the timeout period T1 has elapsed from the transmission time of the first retransmitted SYN packet.

囮端末２ａは、２回目の再送ＳＹＮパケットを受信する。ところが、囮端末２ａは、２回目の再送ＳＹＮパケットに対しても応答パケットを返送しない。そうすると、感染端末１Ｍは、２回目の再送ＳＹＮパケットの送信時刻からタイムアウト時間Ｔ２内に応答パケットを受信できないので、囮端末２ａへのアクセスを終了する。この場合、感染端末１Ｍは、他の端末へアクセスを行う。 The decoy terminal 2a receives the second retransmitted SYN packet. However, the decoy terminal 2a does not return a response packet to the second retransmitted SYN packet. Then, since the infected terminal 1M cannot receive the response packet within the timeout period T2 from the transmission time of the second retransmitted SYN packet, it terminates access to the decoy terminal 2a. In this case, the infected terminal 1M accesses other terminals.

囮端末２ａは、２回目の再送ＳＹＮパケットの受信時刻から所定時間が経過するまでに３回目の再送ＳＹＮパケットを受信しない。この場合、囮端末２ａは、感染端末１Ｍ（或いは、感染端末１Ｍに侵入したマルウェア）の再送パターンを検出する。この例では、再送パターンとして、「タイムアウト時間：Ｔ０」および「再送回数：２回」が得られる。 The decoy terminal 2a does not receive the third retransmitted SYN packet until a predetermined period of time has elapsed from the reception time of the second retransmitted SYN packet. In this case, the decoy terminal 2a detects the retransmission pattern of the infected terminal 1M (or the malware that has invaded the infected terminal 1M). In this example, "timeout time: T0" and "number of retransmissions: 2 times" are obtained as the retransmission pattern.

囮端末２ａは、検出した再送パターンを管理部３０に通知する。このとき、囮端末２ａは、アクセス情報として、検出した再送パターンに係わる送信元端末（すなわち、感染端末１Ｍ）を識別する情報も管理部３０に通知する。そうすると、管理部３０は、この再送パターンおよびアクセス情報を各囮端末２に通知する。すなわち、囮端末２ａにおいて検出された再送パターンおよび感染端末１Ｍを識別するアクセス情報は、囮端末２ａから管理部３０を介して囮端末２ｂに通知される。なお、囮端末２ｂは、再送パターンの通知を受けると、その動作状態が初期状態から応答制限状態に更新される。 The decoy terminal 2a notifies the management unit 30 of the detected retransmission pattern. At this time, the decoy terminal 2a also notifies the management unit 30, as access information, of information identifying the transmission source terminal (that is, the infected terminal 1M) related to the detected retransmission pattern. Then, the management unit 30 notifies each decoy terminal 2 of this retransmission pattern and access information. That is, the retransmission pattern detected at the decoy terminal 2a and the access information identifying the infected terminal 1M are notified from the decoy terminal 2a to the decoy terminal 2b via the management unit 30. Note that when the decoy terminal 2b receives the notification of the retransmission pattern, its operating state is updated from the initial state to the response restriction state.

図４（ｂ）は、感染端末１Ｍから応答制限状態の囮端末２ｂにアクセスが行われたときのシーケンスを示す。すなわち、感染端末１Ｍは、ＳＹＮパケットを囮端末２ｂに送信する。 FIG. 4(b) shows a sequence when the infected terminal 1M accesses the decoy terminal 2b which is in a response restricted state. That is, the infected terminal 1M transmits a SYN packet to the decoy terminal 2b.

なお、囮端末２ｂのメモリには、感染端末１Ｍに対応づけて、囮端末２ａにおいて検出された再送パターンに対応する応答時間設定値ＲＴが設定される。この応答時間設定値ＲＴは、図４（ａ）に示す手順で再送パターンが検出された場合、「Ｔ０＋Ｔ１＋Ｔ２」より僅かに小さい値である。 Note that a response time setting value RT corresponding to the retransmission pattern detected in the decoy terminal 2a is set in the memory of the decoy terminal 2b in association with the infected terminal 1M. This response time setting value RT is a value slightly smaller than "T0+T1+T2" when a retransmission pattern is detected in the procedure shown in FIG. 4(a).

囮端末２ｂは、感染端末１Ｍから送信されるＳＹＮパケットを受信すると、その受信時刻を記録する。ここで、囮端末２ｂは、応答制限状態で動作しているので、受信したＳＹＮパケットに対して即座には応答パケットを返送しない。具体的には、囮端末２ｂは、ＳＹＮパケットの受信時刻から応答時間設定値ＲＴが経過するまでの期間、応答パケットの送信を行わない。 Upon receiving the SYN packet transmitted from the infected terminal 1M, the decoy terminal 2b records the reception time. Here, since the decoy terminal 2b operates in a response limited state, it does not immediately return a response packet to the received SYN packet. Specifically, the decoy terminal 2b does not transmit a response packet for a period from the reception time of the SYN packet until the response time setting value RT has elapsed.

そうすると、感染端末１Ｍは、最初のＳＹＮパケットの送信時刻からタイムアウト時間Ｔ０内に応答パケットを受信できないので、囮端末２ｂに１回目の再送ＳＹＮパケットを送信する。また、感染端末１Ｍは、１回目の再送ＳＹＮパケットの送信時刻からタイムアウト時間Ｔ１内に応答パケットを受信できないので、囮端末２ｂに２回目の再送ＳＹＮパケットを送信する。 Then, since the infected terminal 1M cannot receive the response packet within the timeout period T0 from the transmission time of the first SYN packet, it transmits the first retransmitted SYN packet to the decoy terminal 2b. Furthermore, since the infected terminal 1M cannot receive a response packet within the timeout period T1 from the transmission time of the first retransmitted SYN packet, it transmits the second retransmitted SYN packet to the decoy terminal 2b.

囮端末２ｂは、１回目の再送ＳＹＮパケットおよび２回目の再送ＳＹＮパケットに対して応答しないが、最初のＳＹＮパケットの受信時刻から応答時間設定値ＲＴが経過したタイミングで、感染端末１Ｍに応答パケットを送信する。ここで、応答時間設定値ＲＴは、上述した（１）式で計算される値より僅かに小さい値である。よって、囮端末２ｂが感染端末１Ｍに応答パケットを送信するタイミングは、２回目の再送に対するタイムアウト時間Ｔ２が終了する時刻より前である。すなわち、感染端末１Ｍは、２回目の再送に対するタイムアウトが発生する前に、応答パケットを受信する。したがって、感染端末１Ｍは、感染試行手順を実行する。この結果、囮端末２ｂは、感染端末１Ｍに侵入したマルウェアに感染することになる。なお、図４（ｂ）に示す「Ｍ」は、感染端末１Ｍに侵入したマルウェアにより囮端末２ｂが感染するまでに要する時間を表す。 The decoy terminal 2b does not respond to the first retransmitted SYN packet and the second retransmitted SYN packet, but sends a response packet to the infected terminal 1M at the timing when the response time setting value RT has elapsed from the reception time of the first SYN packet. Send. Here, the response time setting value RT is a value slightly smaller than the value calculated by the above-mentioned equation (1). Therefore, the timing at which the decoy terminal 2b transmits the response packet to the infected terminal 1M is before the time when the timeout period T2 for the second retransmission ends. That is, the infected terminal 1M receives the response packet before the timeout for the second retransmission occurs. Therefore, the infected terminal 1M executes the infection attempt procedure. As a result, the decoy terminal 2b becomes infected with the malware that has invaded the infected terminal 1M. Note that "M" shown in FIG. 4(b) represents the time required until the decoy terminal 2b is infected by the malware that has invaded the infected terminal 1M.

このように、図４に示す例では、初期状態で動作する囮端末２ａにおいて、マルウェアの感染拡大を「Ｔ０＋Ｔ１＋Ｔ２」だけ遅延させることができる。また、応答制限状態で動作する囮端末２ｂにおいて、マルウェアの感染拡大を「ＲＴ＋Ｍ」だけ遅延させることができる。ここで、応答時間設定値ＲＴは「Ｔ０＋Ｔ１＋Ｔ２」とほぼ同じである。よって、囮端末２ｂにおいて、マルウェアの感染拡大がほぼ「Ｔ０＋Ｔ１＋Ｔ２＋Ｍ」だけ遅延する。 In this way, in the example shown in FIG. 4, the spread of malware infection can be delayed by "T0+T1+T2" in the decoy terminal 2a operating in the initial state. Further, in the decoy terminal 2b operating in a response limited state, the spread of malware infection can be delayed by "RT+M". Here, the response time setting value RT is almost the same as "T0+T1+T2". Therefore, in the decoy terminal 2b, the spread of malware infection is delayed by approximately "T0+T1+T2+M".

一例として、タイムアウト時間Ｔ０が３秒であるものとする。また、ｉ回目の再送に対するタイムアウト時間Ｔｉが「Ｔ０×２ⁱ」で表されるものとする。この場合、タイムアウト時間Ｔ１は６秒であり、タイムアウト時間Ｔ２は１２秒である。さらに、マルウェアによる感染試行手順に要する時間Ｍが１０秒であるものとする。この場合、初期状態で動作する囮端末２ａにおいて、２１（＝３＋６＋１２）秒の遅延が発生する。また、応答制限状態で動作する囮端末２ｂにおいて、約３１（＝３＋６＋１２＋１０）秒の遅延が発生する。 As an example, assume that the timeout period T0 is 3 seconds. Further, it is assumed that the timeout time Ti for the i-th retransmission is expressed as "T0x2 ⁱ ". In this case, timeout time T1 is 6 seconds and timeout time T2 is 12 seconds. Furthermore, it is assumed that the time M required for the malware infection attempt procedure is 10 seconds. In this case, a delay of 21 (=3+6+12) seconds occurs in the decoy terminal 2a operating in the initial state. Furthermore, a delay of approximately 31 (=3+6+12+10) seconds occurs in the decoy terminal 2b operating in the response limited state.

なお、図４に示す例では、感染端末１Ｍが応答パケットを受信しないときに再送手順が実行されるが、本発明はこのケースに限定されるものではない。すなわち、感染端末１Ｍは、ＳＹＮパケットの送信時刻からタイムアウト時間Ｔ０が経過するまでに応答パケットを受信できない場合、再送を行うことなく、他の端末へのアクセスを実行してもよい。 Note that in the example shown in FIG. 4, the retransmission procedure is executed when the infected terminal 1M does not receive a response packet, but the present invention is not limited to this case. That is, if the infected terminal 1M cannot receive a response packet before the timeout period T0 elapses from the transmission time of the SYN packet, the infected terminal 1M may access another terminal without retransmitting.

図５は、感染端末１Ｍが再送を行わないケースでの囮端末２の動作を示すシーケンス図である。この例では、感染端末１Ｍは、まず、囮端末２ａにマルウェアを侵入させるために、囮端末２ａにＳＹＮパケットを送信する。この後、感染端末１Ｍは、ＳＹＮパケットの送信時刻からタイムアウト時間Ｔ０が経過するまでに囮端末２ａから応答パケットを受信しないものとする。そうすると、感染端末１Ｍは、囮端末２ａへのアクセスを終了し、囮端末２ｂにマルウェアを侵入させるために、囮端末２ｂにＳＹＮパケットを送信する。 FIG. 5 is a sequence diagram showing the operation of the decoy terminal 2 in a case where the infected terminal 1M does not perform retransmission. In this example, the infected terminal 1M first transmits a SYN packet to the decoy terminal 2a in order to infiltrate the decoy terminal 2a with malware. After this, it is assumed that the infected terminal 1M does not receive a response packet from the decoy terminal 2a until the timeout period T0 elapses from the transmission time of the SYN packet. Then, the infected terminal 1M ends the access to the decoy terminal 2a and transmits a SYN packet to the decoy terminal 2b in order to infiltrate the decoy terminal 2b with malware.

囮端末２ａは、時刻Ｘにおいて感染端末１ＭからＳＹＮパケットを受信する。そうすると、囮端末２ａは、感染端末１Ｍを識別する情報および受信時刻Ｘを含むアクセス情報を囮端末２ｂに通知する。 The decoy terminal 2a receives the SYN packet from the infected terminal 1M at time X. Then, the decoy terminal 2a notifies the decoy terminal 2b of access information including information identifying the infected terminal 1M and reception time X.

一方、囮端末２ｂは、時刻Ｙにおいて感染端末１ＭからＳＹＮパケットを受信する。そうすると、囮端末２ｂは、感染端末１Ｍを識別する情報および受信時刻Ｙを含むアクセス情報を囮端末２ａに通知する。 On the other hand, the decoy terminal 2b receives the SYN packet from the infected terminal 1M at time Y. Then, the decoy terminal 2b notifies the decoy terminal 2a of access information including information identifying the infected terminal 1M and reception time Y.

囮端末２ａは、囮端末２ａがＳＹＮパケットを受信した時刻Ｘおよび囮端末２ｂがＳＹＮパケットを受信した時刻Ｙに基づいて感染端末１Ｍまたは感染端末１Ｍに侵入したマルウェアの再送パターンを検出する。すなわち、このケースでは、囮端末２ａが感染端末１ＭからＳＹＮパケットを受信した後、感染端末１Ｍから囮端末２ａへの再送パケットが送信されることなく、感染端末１Ｍから他の端末（ここでは、囮端末２ｂ）へＳＹＮパケットが送信されている。したがって、囮端末２ａは、再送回数がゼロ回であると判定する。また、囮端末２ａがＳＹＮパケットを受信した時刻Ｘと囮端末２ｂがＳＹＮパケットを受信した時刻Ｙとの差分を算出することでタイムアウト時間Ｔ０が検出される。 The decoy terminal 2a detects the retransmission pattern of the infected terminal 1M or the malware that has invaded the infected terminal 1M based on the time X when the decoy terminal 2a receives the SYN packet and the time Y when the decoy terminal 2b receives the SYN packet. That is, in this case, after the decoy terminal 2a receives the SYN packet from the infected terminal 1M, the retransmission packet is not sent from the infected terminal 1M to the decoy terminal 2a, and the decoy terminal 2a receives the SYN packet from the infected terminal 1M to another terminal (here, A SYN packet is being sent to the decoy terminal 2b). Therefore, the decoy terminal 2a determines that the number of retransmissions is zero. Further, the timeout time T0 is detected by calculating the difference between the time X when the decoy terminal 2a receives the SYN packet and the time Y when the decoy terminal 2b receives the SYN packet.

このように、図５に示す実施例では、感染端末１Ｍから送信されるＳＹＮパケットが最初に到着した囮端末だけでなく、各囮端末が再送パターンを検出できる。この場合、各囮端末は、再送パターンを検出したときに、自分の動作状態を初期状態から応答制限状態に更新してもよい。そうすると、各囮端末（感染端末１Ｍから送信されるＳＹＮパケットが最初に到着した囮端末を除く）において、タイムアウト時間Ｔ０および感染試行に要する時間Ｍの和の分だけ、感染拡大を遅延させることが可能になる。 In this way, in the embodiment shown in FIG. 5, not only the decoy terminal to which the SYN packet transmitted from the infected terminal 1M arrives first, but also each decoy terminal can detect the retransmission pattern. In this case, each decoy terminal may update its own operating state from the initial state to the response limited state when detecting the retransmission pattern. Then, at each decoy terminal (excluding the decoy terminal to which the SYN packet sent from the infected terminal 1M arrives first), the spread of infection can be delayed by the sum of the timeout time T0 and the time M required for the infection attempt. It becomes possible.

図６～図７は、囮端末の処理の一例を示すフローチャートである。なお、この実施例では、マルウェアに感染した感染端末１Ｍが、ネットワークに接続する端末にアクセスするものとする。 FIGS. 6 and 7 are flowcharts showing an example of the processing of the decoy terminal. In this embodiment, it is assumed that an infected terminal 1M infected with malware accesses a terminal connected to the network.

Ｓ１において、囮端末２は、自分宛のＳＹＮパケットを待ち受ける。そして、囮端末２にＳＹＮパケットが到着すると、囮端末２は、Ｓ２において、そのパケットの受信時刻およびそのパケットの送信元を識別する情報をメモリに記録する。なお、送信元を識別する情報は、例えば、ＩＰアドレスであってもよい。この場合、ＩＰアドレスは、受信パケットのヘッダから抽出される。また、送信元を識別する情報は、ＩＰアドレスおよびポート番号の組合せであってもよい。この場合、ＩＰアドレスおよびポート番号は、受信パケットのヘッダから抽出される。 In S1, the decoy terminal 2 waits for a SYN packet addressed to itself. When the SYN packet arrives at the decoy terminal 2, the decoy terminal 2 records the reception time of the packet and information identifying the source of the packet in the memory in S2. Note that the information identifying the sender may be, for example, an IP address. In this case, the IP address is extracted from the header of the received packet. Further, the information identifying the sender may be a combination of an IP address and a port number. In this case, the IP address and port number are extracted from the header of the received packet.

Ｓ３において、囮端末２は、アクセス情報を生成して管理部３０に送信する。アクセス情報は、Ｓ２でメモリに記録した、ＳＹＮパケットの受信時刻およびそのＳＹＮパケットの送信元を識別する情報を含む。なお、このアクセス情報は、管理部３０から他の各囮端末に転送される。 In S3, the decoy terminal 2 generates access information and transmits it to the management unit 30. The access information includes information that identifies the reception time of the SYN packet and the source of the SYN packet, which was recorded in the memory in S2. Note that this access information is transferred from the management unit 30 to each other decoy terminal.

Ｓ４において、囮端末２は、自分の動作状態が初期状態であるか否かを判定する。自分の動作状態は、ステート情報としてメモリに保存されている。そして、自分の動作状態が初期状態であるときは、囮端末２の処理はＳ５に進む。 In S4, the decoy terminal 2 determines whether its own operating state is in the initial state. Your operating state is stored in memory as state information. When the operating state of the decoy terminal 2 is the initial state, the process of the decoy terminal 2 proceeds to S5.

Ｓ５～Ｓ６において、囮端末２は、Ｓ１で受信したＳＹＮパケットの再送ＳＹＮパケットまたは他の囮端末にＳＹＮパケットが到着したことを表すアクセス情報を待ち受ける。Ｓ５において待ち受ける再送ＳＹＮパケットは、Ｓ１で受信したＳＹＮパケットに対応する再送ＳＹＮパケットであり、送信元およびシーケンス番号は互いに同じである。なお、Ｓ５で待ち受ける再送ＳＹＮパケットは、Ｓ１で受信したＳＹＮパケットに対する最初の再送パケットである。また、Ｓ６で待ち受けるアクセス情報は、他の囮端末で図６に示すフローチャートが実行されるときに、Ｓ３において送信される。 In S5 and S6, the decoy terminal 2 waits for a retransmission SYN packet of the SYN packet received in S1 or access information indicating that the SYN packet has arrived at another decoy terminal. The retransmitted SYN packets awaited in S5 are retransmitted SYN packets corresponding to the SYN packets received in S1, and have the same transmission source and sequence number. Note that the retransmitted SYN packet awaited in S5 is the first retransmitted packet for the SYN packet received in S1. Further, the access information awaited in S6 is transmitted in S3 when the flowchart shown in FIG. 6 is executed in another decoy terminal.

Ｓ５において再送ＳＹＮパケットを受信したときは、囮端末２の処理はＳ７に進む。Ｓ７において、囮端末２は、タイムアウト時間Ｔ０を算出する。タイムアウト時間Ｔ０は、Ｓ１で検出されるＳＹＮパケットの受信時刻とＳ５で検出される再送ＳＹＮパケットの受信時刻との差分を表す。Ｓ８において、囮端末２は、変数ｉを「１」に初期化する。変数ｉは、感染端末１Ｍまたは感染端末１Ｍに侵入したマルウェアによる再送回数をカウントする。 When the retransmission SYN packet is received in S5, the process of the decoy terminal 2 proceeds to S7. In S7, the decoy terminal 2 calculates a timeout period T0. The timeout time T0 represents the difference between the reception time of the SYN packet detected in S1 and the reception time of the retransmitted SYN packet detected in S5. In S8, the decoy terminal 2 initializes the variable i to "1". The variable i counts the number of retransmissions caused by the infected terminal 1M or malware that has invaded the infected terminal 1M.

Ｓ９において、囮端末２は、ｉ回目の再送に対するタイムアウト時間Ｔｉを計算する。この実施例では、ｉ回目の再送に対するタイムアウト時間Ｔｉは、「Ｔ０×２ⁱ」で表される。そして、囮端末２は、タイムアウト時間Ｔｉだけスリープモードで待機する。 In S9, the decoy terminal 2 calculates a timeout time Ti for the i-th retransmission. In this embodiment, the timeout time Ti for the i-th retransmission is expressed as "T0x2 ⁱ ". Then, the decoy terminal 2 waits in sleep mode for a timeout period Ti.

Ｓ１０において、囮端末２は、Ｓ９で設定したスリープモードが終了するまでに、Ｓ１で受信したＳＹＮパケットの再送ＳＹＮパケットを受信したか否かを判定する。即ち、前回の再送ＳＹＮパケットの受信時刻からタイムアウト時間Ｔｉが経過するまでに新たな再送ＳＹＮパケットを受信したか否かが判定される。そして、新たな再送ＳＹＮパケットを受信したときは、囮端末２は、Ｓ１１において変数ｉを１だけインクリメントする。この後、囮端末２の処理はＳ９に戻る。すなわち、囮端末２は、Ｓ９～Ｓ１１において、再送回数を表す変数ｉをインクリメントしながら新たな再送ＳＹＮパケットを待ち受ける。 In S10, the decoy terminal 2 determines whether a retransmitted SYN packet of the SYN packet received in S1 has been received before the sleep mode set in S9 ends. That is, it is determined whether a new retransmitted SYN packet has been received before the timeout time Ti has elapsed from the reception time of the previous retransmitted SYN packet. Then, when receiving a new retransmission SYN packet, the decoy terminal 2 increments the variable i by 1 in S11. After this, the process of the decoy terminal 2 returns to S9. That is, in S9 to S11, the decoy terminal 2 waits for a new retransmitted SYN packet while incrementing the variable i representing the number of retransmissions.

新たな再送ＳＹＮパケットを受信しないときは、囮端末２は、Ｓ１２において、感染端末１Ｍまたは感染端末１Ｍに侵入したマルウェアの再送パターンを検出する。この実施例では、再送パターンは、Ｓ７で算出されたタイムアウト時間Ｔ０およびＳ９～Ｓ１１の処理が終了した時点での変数ｉの値で表される。このとき、囮端末２は、上述した（１）式を利用して応答時間設定値ＲＴを計算してもよい。この場合、再送パターンは、応答時間設定値ＲＴを含んでもよい。 When the new retransmission SYN packet is not received, the decoy terminal 2 detects the retransmission pattern of the infected terminal 1M or the malware that has invaded the infected terminal 1M in S12. In this embodiment, the retransmission pattern is represented by the timeout time T0 calculated in S7 and the value of the variable i at the time when the processing in S9 to S11 is completed. At this time, the decoy terminal 2 may calculate the response time setting value RT using the above-mentioned equation (1). In this case, the retransmission pattern may include a response time setting value RT.

Ｓ１４において、囮端末２は、再送パターンを管理部３０に送信する。この場合、管理部３０は、この再送パターンを他の囮端末に通知する。即ち、Ｓ１４において、囮端末２において検出された再送パターンが、管理部３０を介して他の囮端末に通知される。 In S14, the decoy terminal 2 transmits the retransmission pattern to the management unit 30. In this case, the management unit 30 notifies other decoy terminals of this retransmission pattern. That is, in S14, the retransmission pattern detected in the decoy terminal 2 is notified to other decoy terminals via the management unit 30.

Ｓ６においてアクセス情報を受信したときは、囮端末２は、Ｓ１３において、感染端末１Ｍまたは感染端末１Ｍに侵入したマルウェアの再送パターンを検出する。ここで、Ｓ６で受信するアクセス情報は、他の囮端末にＳＹＮパケットが到着した時刻を表す情報を含むものとする。この場合、囮端末２は、Ｓ１で検出されるＳＹＮパケットの受信時刻と他の囮端末にＳＹＮパケットが到着した時刻との差分を計算することで、タイムアウト時間Ｔ０を得る。また、囮端末２は再送ＳＹＮパケットを受信しないので、再送回数がゼロ回であると判定する。そして、Ｓ１３において再送パターンが検出された場合も、その再送パターンは、Ｓ１４において管理部３０を介して他の囮端末に通知される。 When the access information is received in S6, the decoy terminal 2 detects the retransmission pattern of the infected terminal 1M or the malware that has invaded the infected terminal 1M in S13. Here, it is assumed that the access information received in S6 includes information representing the time when the SYN packet arrived at another decoy terminal. In this case, the decoy terminal 2 obtains the timeout time T0 by calculating the difference between the reception time of the SYN packet detected in S1 and the time when the SYN packet arrives at another decoy terminal. Furthermore, since the decoy terminal 2 does not receive the retransmitted SYN packet, it determines that the number of retransmissions is zero. Then, even if a retransmission pattern is detected in S13, the retransmission pattern is notified to other decoy terminals via the management unit 30 in S14.

この後、管理部３０は、マルウェアによる感染拡大の終了をモニタする。このとき、管理部３０は、たとえば、各囮端末により生成されるアクセス情報に基づいて、感染端末１Ｍからいずれかの囮端末への最後のアクセス時刻からの経過時間が所定の閾値を越えていれば、マルウェアによる感染拡大が終了したと判定する。そして、管理部３０は、マルウェアによる感染拡大が終了すると、その旨を各囮端末に通知する。そうすると、各囮端末は、Ｓ１５においてマルウェアによる感染拡大の終了を表す通知を受け取るので、Ｓ１６においてステート情報を「初期状態」に更新する。 Thereafter, the management unit 30 monitors the end of the spread of infection by the malware. At this time, the management unit 30 determines whether the elapsed time from the last access time from the infected terminal 1M to any of the decoy terminals exceeds a predetermined threshold, for example, based on the access information generated by each decoy terminal. For example, it is determined that the spread of infection by malware has ended. Then, when the spread of infection by the malware ends, the management unit 30 notifies each decoy terminal to that effect. Then, each decoy terminal receives a notification indicating the end of the spread of infection by the malware in S15, and therefore updates the state information to the "initial state" in S16.

囮端末２の動作状態が初期状態でないときは（Ｓ４：Ｎｏ）、囮端末２は、図７に示すＳ２１～Ｓ２３の処理を実行する。すなわち、Ｓ２１において、囮端末２は、応答時間設定値ＲＴを計算する。応答時間設定値ＲＴは、例えば、他の囮端末において検出された再送パターンに基づいて、上述した（１）式を利用して計算される。なお、他の囮端末または管理部３０から応答時間設定値ＲＴが通知されるときには、囮端末２は、応答時間設定値ＲＴを計算する必要はない。そして、囮端末２は、応答時間設定値ＲＴにより指定される期間、スリープモードで待機する。 If the operating state of the decoy terminal 2 is not the initial state (S4: No), the decoy terminal 2 executes the processes of S21 to S23 shown in FIG. That is, in S21, the decoy terminal 2 calculates the response time setting value RT. The response time setting value RT is calculated, for example, using the above-mentioned equation (1) based on the retransmission patterns detected in other decoy terminals. Note that when the response time setting value RT is notified from another decoy terminal or the management unit 30, the decoy terminal 2 does not need to calculate the response time setting value RT. Then, the decoy terminal 2 waits in sleep mode for a period specified by the response time setting value RT.

Ｓ２１で設定したスリープモードが終了すると、囮端末２は、Ｓ２２において、Ｓ１で受信したＳＹＮパケットに対して応答パケットを返送する。この応答パケットは、感染端末１Ｍに送信される。そうすると、感染端末１Ｍは、感染試行手順を開始する。そして、囮端末２は、Ｓ２３において、感染端末１Ｍからの感染試行により、マルウェアに感染する。 When the sleep mode set in S21 ends, the decoy terminal 2, in S22, returns a response packet to the SYN packet received in S1. This response packet is sent to the infected terminal 1M. Then, the infected terminal 1M starts an infection trial procedure. Then, in S23, the decoy terminal 2 is infected with malware through an infection attempt from the infected terminal 1M.

ここで、図４に示す実施例を参照して図６～図７に示すフローチャートの処理を説明する。まず、図４（ａ）に示すように、感染端末１Ｍから囮端末２ａにアクセスがあったときは、以下の手順が実行される。 Here, the processing of the flowcharts shown in FIGS. 6 to 7 will be explained with reference to the embodiment shown in FIG. First, as shown in FIG. 4(a), when the infected terminal 1M accesses the decoy terminal 2a, the following procedure is executed.

最初のＳＹＮパケットが囮端末２ａに到着すると、Ｓ２において、受信時刻および送信元（即ち、感染端末１Ｍ）を識別する情報が記録される。１番目の再送ＳＹＮパケットが囮端末２ａに到着すると、Ｓ７においてタイムアウト時間Ｔ０が算出され、Ｓ８において変数ｉに「１」が設定される。囮端末２ａは、時間Ｔ１が経過するまでの期間、スリープモードで待機する。２番目の再送ＳＹＮパケットが囮端末２ａに到着すると、Ｓ１１において変数ｉが「２」に更新される。囮端末２ａは、時間Ｔ２が経過するまでの期間、スリープモードで待機する。この後、囮端末２ａは、再送ＳＹＮパケットを受信しないので、Ｓ１２において再送パターンが検出される。このとき、変数ｉの値は「２」なので、再送パターンとして「タイムアウト時間：Ｔ０、再送回数：２回」が得られる。 When the first SYN packet arrives at the decoy terminal 2a, the reception time and information identifying the transmission source (ie, the infected terminal 1M) are recorded in S2. When the first retransmitted SYN packet arrives at the decoy terminal 2a, the timeout time T0 is calculated in S7, and the variable i is set to "1" in S8. The decoy terminal 2a waits in sleep mode until time T1 elapses. When the second retransmitted SYN packet arrives at the decoy terminal 2a, the variable i is updated to "2" in S11. The decoy terminal 2a waits in sleep mode until time T2 elapses. After this, the decoy terminal 2a does not receive the retransmission SYN packet, so a retransmission pattern is detected in S12. At this time, since the value of the variable i is "2", "timeout time: T0, number of retransmissions: 2" is obtained as the retransmission pattern.

図４（ｂ）に示すように、感染端末１Ｍから囮端末２ｂにアクセスがあったときは、以下の手順が実行される。なお、囮端末２ｂは、図４（ａ）に示す囮端末２ａにより検出された再送パターンを認識しているものとする。また、囮端末２ｂの動作状態は、応答制限状態であるものとする。 As shown in FIG. 4(b), when the infected terminal 1M accesses the decoy terminal 2b, the following procedure is executed. It is assumed that the decoy terminal 2b recognizes the retransmission pattern detected by the decoy terminal 2a shown in FIG. 4(a). Further, it is assumed that the operating state of the decoy terminal 2b is a response limited state.

最初のＳＹＮパケットが囮端末２ｂに到着すると、Ｓ２において、受信時刻および送信元（即ち、感染端末１Ｍ）を識別する情報が記録される。このとき、囮端末２ｂは、受信したＳＹＮパケットに対して応答パケットを返送しない。また、囮端末２ｂの動作状態は応答制限状態なので、囮端末２ｂは、Ｓ２１～Ｓ２３の処理を実行する。すなわち、囮端末２ｂは、感染端末１Ｍから再送ＳＹＮパケットが到着しても、応答パケットを返送しない。そして、Ｓ１で検出したＳＹＮパケットの受信時刻から応答時間設定値ＲＴが経過したタイミングで、囮端末２ｂは、感染端末１Ｍに応答パケットを送信する。ここで、応答時間設定値ＲＴは、Ｔ０＋Ｔ１＋Ｔ２より僅かに短い時間である。すなわち、感染端末１Ｍは、２回目の再送に対するタイムアウト時間が終了する前に応答パケットを受信する。よって、感染端末１Ｍに侵入しているマルウェアは、囮端末２ｂに対する感染試行手順を実行する。この結果、囮端末２ｂはマルウェアに感染する。 When the first SYN packet arrives at the decoy terminal 2b, the reception time and information identifying the transmission source (namely, the infected terminal 1M) are recorded in S2. At this time, the decoy terminal 2b does not return a response packet to the received SYN packet. Furthermore, since the operating state of the decoy terminal 2b is the response restriction state, the decoy terminal 2b executes the processes of S21 to S23. That is, even if the retransmitted SYN packet arrives from the infected terminal 1M, the decoy terminal 2b does not return a response packet. Then, the decoy terminal 2b transmits a response packet to the infected terminal 1M at a timing when the response time setting value RT has elapsed from the reception time of the SYN packet detected in S1. Here, the response time setting value RT is a slightly shorter time than T0+T1+T2. That is, the infected terminal 1M receives the response packet before the timeout period for the second retransmission ends. Therefore, the malware that has infiltrated the infected terminal 1M executes the infection attempt procedure for the decoy terminal 2b. As a result, the decoy terminal 2b is infected with malware.

なお、図４に示す例において、タイムアウト時間Ｔ０が「３秒」であり、ｉ回目の再送に対するタイムアウト時間Ｔｉが「Ｔ０×２ⁱ」で表されるものとする。この場合は、図４（ａ）に示す囮端末２ａにおいて、マルウェアの感染拡大を２１（＝３＋６＋１２）秒遅らせることができる。また、マルウェアの感染試行手順の実行に要する時間が１０秒であるものとする。この場合、図４（ｂ）に示す囮端末２ｂにおいて、マルウェアの感染拡大を約３１（＝３＋６＋１２＋１０）秒遅らせることができる。 In the example shown in FIG. 4, it is assumed that the timeout time T0 is "3 seconds" and the timeout time Ti for the i-th retransmission is expressed as "T0×2 ⁱ ". In this case, the spread of malware infection can be delayed by 21 (=3+6+12) seconds in the decoy terminal 2a shown in FIG. 4(a). Further, it is assumed that the time required to execute the malware infection attempt procedure is 10 seconds. In this case, the spread of malware infection can be delayed by approximately 31 (=3+6+12+10) seconds in the decoy terminal 2b shown in FIG. 4(b).

このように、本発明の実施形態によれば、ある１つの囮端末において検出される感染端末またはマルウェアの再送パターンが他の囮端末に通知される。よって、再送パターンが通知された囮端末において、感染端末またはマルウェアによる再送手順に係わる時間を最大限消費させ、且つ、感染試行に係わる時間を消費させるので、マルウェアの感染拡大を大幅に遅らせることができる。 As described above, according to the embodiment of the present invention, the retransmission pattern of an infected terminal or malware detected in one decoy terminal is notified to other decoy terminals. Therefore, on the decoy terminal that has been notified of the retransmission pattern, the infected terminal or malware consumes the maximum amount of time involved in the retransmission procedure, and also the time involved in the infection attempt, which greatly slows down the spread of malware infection. can.

＜バリエーション１＞
ネットワークシステム１００に複数のマルウェアが侵入した場合には、情報処理システム２００は、マルウェア毎に図６～図７に示すフローチャートの処理を実行することで、各マルウェアの感染拡大をそれぞれ遅延させる。この場合、マルウェア毎に各囮端末の動作状態が管理され、マルウェア毎に再送パターンが検出される。 <Variation 1>
When a plurality of malware infiltrates the network system 100, the information processing system 200 delays the spread of infection of each malware by executing the processes shown in the flowcharts shown in FIGS. 6 to 7 for each malware. In this case, the operating state of each decoy terminal is managed for each malware, and a retransmission pattern is detected for each malware.

図８は、各囮端末においてマルウェア毎に管理されるステート情報および応答時間設定値の一例を示す。この例では、各マルウェアは、ＩＰアドレスおよびポート番号の組合せで識別される。ＩＰアドレスおよびポート番号は、受信パケットのヘッダに設定されている送信元アドレスおよび送信先ポート番号に相当する。例えば、マルウェアが特定のサービスにアクセスするケースでは、そのマルウェアから送信されるパケットのヘッダに同じ送信先ポート番号が設定される可能性が高い。そして、各囮端末は、図８（ａ）に示すように、マルウェア毎に自分の動作状態を表すステート情報を管理する。また、ある囮端末において再送パターンが検出された後は、図８（ｂ）に示すように、各囮端末においてマルウェア毎に再送パターン（ここでは、応答時間設定値）が管理される。 FIG. 8 shows an example of state information and response time setting values managed for each malware in each decoy terminal. In this example, each malware is identified by a combination of IP address and port number. The IP address and port number correspond to the source address and destination port number set in the header of the received packet. For example, in a case where malware accesses a specific service, there is a high possibility that the same destination port number will be set in the header of the packet sent from the malware. Each decoy terminal manages state information representing its own operating state for each malware, as shown in FIG. 8(a). Furthermore, after a retransmission pattern is detected at a certain decoy terminal, the retransmission pattern (here, response time setting value) is managed for each malware at each decoy terminal, as shown in FIG. 8(b).

囮端末は、感染端末からアクセスを受けた際に、受信パケットのヘッダに基づいてマルウェアを識別する。そして、囮端末２は、識別したマルウェアに対応するステート情報が応答制限状態であれば、対応する応答時間設定値に基づいて図７に示す手順を実行する。これにより、各囮端末において各マルウェアの感染拡大をそれぞれ大きく遅らせることができる。 When a decoy terminal receives access from an infected terminal, it identifies malware based on the header of the received packet. Then, if the state information corresponding to the identified malware is a response restriction state, the decoy terminal 2 executes the procedure shown in FIG. 7 based on the corresponding response time setting value. This makes it possible to significantly delay the spread of infection of each malware on each decoy terminal.

＜バリエーション２＞
ネットワークシステム１００において、ハンドシェイク手順の終了後にデータ通信が行われるケースでは、ハンドシェイク手順およびデータ通信の再送パターンが互いに異なることがある。たとえば、ハンドシェイク手順においてタイムアウト時間「３秒」および再送回数「２回」が設定され、データ通信においてタイムアウト時間「３秒」および再送回数「５回」が設定さる。このような場合には、ハンドシェイク手順の再送パターンおよびデータ通信の再送パターンをそれぞれ検出して各囮端末に通知することが好ましい。そして、通知を受けた囮端末は、感染端末との間のハンドシェイク時には、ハンドシェイク手順の再送パターンに基づいて図７に示す手順を実行し、感染端末との間のデータ通信時には、データ通信の再送パターンに基づいて図７に示す手順を実行する。 <Variation 2>
In the network system 100, in a case where data communication is performed after the handshake procedure is completed, the handshake procedure and the retransmission pattern of the data communication may be different from each other. For example, in the handshake procedure, a timeout period of "3 seconds" and a number of retransmissions of "2 times" are set, and in data communication, a timeout period of "3 seconds" and a number of retransmissions of "5 times" are set. In such a case, it is preferable to detect the retransmission pattern of the handshake procedure and the retransmission pattern of data communication and notify each decoy terminal. The decoy terminal that has received the notification executes the procedure shown in Figure 7 based on the retransmission pattern of the handshake procedure when handshaking with the infected terminal, and when communicating data with the infected terminal, the decoy terminal The procedure shown in FIG. 7 is executed based on the retransmission pattern.

＜バリエーション３＞
情報処理システム２００が３以上の囮端末を備える場合、ある囮端末で検出された再送パターンは、管理部３０から他の囮端末に順番に通知される。ところが、マルウェアの感染拡大の速度が速い場合、囮端末によっては、再送パターンの通知を受ける前にマルウェアからのアクセスを受けるかも知れない。この場合、この囮端末は、例えば、マルウェアからのアクセスに対して即座に応答パケットを返送するので、感染拡大の遅延効果が小さくなってしまう。 <Variation 3>
When the information processing system 200 includes three or more decoy terminals, the retransmission pattern detected at one decoy terminal is sequentially notified from the management unit 30 to the other decoy terminals. However, if the malware spreads quickly, some decoy terminals may be accessed by the malware before receiving notification of the retransmission pattern. In this case, for example, the decoy terminal immediately returns a response packet in response to an access from malware, which reduces the effect of delaying the spread of infection.

そこで、管理部３０は、情報処理システム２００が３以上の囮端末を備える場合、各囮端末がマルウェアからアクセスされる順番を推定する。そして、管理部３０は、マルウェアから早くアクセスされやすい囮端末から順番に再送パターンを通知する。 Therefore, when the information processing system 200 includes three or more decoy terminals, the management unit 30 estimates the order in which each decoy terminal is accessed by the malware. Then, the management unit 30 notifies the retransmission pattern in order from the decoy terminal that is easily accessed by malware.

例えば、図９に示すように、情報処理システム２００は、４個の囮端末２ａ～２ｄを備える。囮端末２ａ～２ｄには、昇順にＩＰアドレス（x.y.z.01～x.y.z.04）が割り当てられている。他方、マルウェアは、所定のポリシに従った順番でネットワークシステム１００内の端末にアクセスしていく。一例として、マルウェアは、宛先ＩＰアドレスの値をインクリメントまたはデクリメントしながら対応する端末にアクセスしていく。 For example, as shown in FIG. 9, the information processing system 200 includes four decoy terminals 2a to 2d. IP addresses (x.y.z.01 to x.y.z.04) are assigned to the decoy terminals 2a to 2d in ascending order. On the other hand, malware accesses terminals within the network system 100 in an order according to a predetermined policy. As an example, malware accesses the corresponding terminal while incrementing or decrementing the value of the destination IP address.

ここで、マルウェアから囮端末２ａにアクセスがあったものとする。そうすると、囮端末２ａは、再送パターンを検出して管理部３０に通知する。ここで、囮端末２ａのＩアドレス値は、囮端末２ａ～２ｄのＩＰアドレス値の中で最も小さい。したがって、管理部３０は、マルウェアが宛先ＩＰアドレスの値をインクリメントしながら対応する端末にアクセスしていると推定する。この場合、管理部３０は、囮端末２ｂ～２ｃのうちで、ＩＰアドレスの値が小さい囮端末から順番に再送パターンを通知する。すなわち、図９に示すように、最初に囮端末２ｂに再送パターンが通知され、次に囮端末２ｃに再送パターンが通知され、最後に囮端末２ｄに再送パターンが通知される。 Here, it is assumed that the decoy terminal 2a is accessed by malware. Then, the decoy terminal 2a detects the retransmission pattern and notifies the management unit 30. Here, the I address value of the decoy terminal 2a is the smallest among the IP address values of the decoy terminals 2a to 2d. Therefore, the management unit 30 estimates that the malware is accessing the corresponding terminal while incrementing the value of the destination IP address. In this case, the management unit 30 notifies the retransmission pattern among the decoy terminals 2b to 2c in order from the decoy terminal with the smallest IP address value. That is, as shown in FIG. 9, first the decoy terminal 2b is notified of the retransmission pattern, then the decoy terminal 2c is notified of the retransmission pattern, and finally the decoy terminal 2d is notified of the retransmission pattern.

このように、バリエーション３においては、マルウェアからアクセスされるタイミングが早いと推定される囮端末から順番に再送パターンが通知される。よって、囮端末が再送パターンの通知を受ける前にマルウェアからアクセスされる可能性が低くなる。したがって、各囮端末で図７に示す手順が実行されやすくなり、マルウェアの感染拡大を遅延させる効果が高くなる。 In this manner, in variation 3, the retransmission pattern is notified in order from the decoy terminal that is estimated to be accessed by malware earlier. Therefore, the possibility that the decoy terminal is accessed by malware before receiving notification of the retransmission pattern is reduced. Therefore, the procedure shown in FIG. 7 is more likely to be executed on each decoy terminal, and the effect of delaying the spread of malware infection is increased.

＜バリエーション４＞
ネットワークシステム１００に囮端末が接続されると、ネットワークの可用性が低下するおそれがある。そこで、バリエーション４においては、囮端末は、ネットワークに常時接続されるのではなく、マルウェアの感染の予兆が検知されたときにネットワークに接続される。すなわち、管理部３０は、マルウェアの感染の予兆をモニタする。そして、管理部３０は、マルウェアの感染の予兆を検知したときに、囮端末を起動してネットワークに接続させる。この結果、囮端末によるネットワークの可用性の低下が抑制される。 <Variation 4>
When a decoy terminal is connected to the network system 100, the availability of the network may decrease. Therefore, in variation 4, the decoy terminal is not always connected to the network, but is connected to the network when a sign of malware infection is detected. That is, the management unit 30 monitors signs of malware infection. Then, when the management unit 30 detects a sign of malware infection, it activates the decoy terminal and connects it to the network. As a result, a decrease in network availability due to the decoy terminal is suppressed.

なお、バリエーション１～４は、矛盾のない範囲で、図３～図７に示す実施形態の中で採用される。或いは、バリエーション１～４は、矛盾のない範囲で、図３～図７に示す実施形態と組み合わせて実行される。 Note that variations 1 to 4 are adopted within the embodiments shown in FIGS. 3 to 7 to the extent that they are consistent. Alternatively, variations 1 to 4 are executed in combination with the embodiments shown in FIGS. 3 to 7 to the extent that there is no contradiction.

また、上述の実施例では、最初に送信されるＳＹＮパケットに対するタイムアウト時間Ｔ０に基づいて再送に対するタイムアウト時間Ｔｉ（ｉ＝１、２、．．．）が算出されるが、本発明はこの構成に限定されるものではない。例えば、囮端末２は、再送に対するタイムアウト時間Ｔｉ（ｉ＝１、２、．．．）を個々に測定してもよい。 Furthermore, in the above-described embodiment, the timeout time Ti (i=1, 2,...) for retransmission is calculated based on the timeout time T0 for the first transmitted SYN packet, but the present invention applies to this configuration. It is not limited. For example, the decoy terminal 2 may individually measure the timeout time Ti (i=1, 2, . . . ) for retransmission.

＜ハードウェア構成＞
図１０は、情報処理システム２００のハードウェア構成の一例を示す。情報処理システム２００は、プロセッサ５１、メモリ５２、ネットワークＩＦ５３を備える。なお、情報処理システム２００は、図１に示すネットワークシステム１００においては、サーバコンピュータ３に相当する。また、情報処理システム２００は、図１０に示していない他のデバイスを備えてもよい。 <Hardware configuration>
FIG. 10 shows an example of the hardware configuration of the information processing system 200. The information processing system 200 includes a processor 51, a memory 52, and a network IF 53. Note that the information processing system 200 corresponds to the server computer 3 in the network system 100 shown in FIG. Further, the information processing system 200 may include other devices not shown in FIG. 10.

プロセッサ５１は、メモリ５２に格納されている情報処理プログラムを実行することにより、囮端末２および管理部３０の機能を提供する。なお、プロセッサ５１は、複数のプロセッサエレメントを備えてもよい。メモリ５２は、プロセッサ５１の作業領域として使用される半導体メモリおよび情報処理プログラムを格納する記憶装置を含む。なお、囮端末２は、プロセッサ５１およびメモリ５２のリソースを仮想マシンに割り当てることで実現され得る。ネットワークＩＦ５３は、ネットワークシステム１００に接続するためのインタフェースを提供する。 The processor 51 provides the functions of the decoy terminal 2 and the management unit 30 by executing an information processing program stored in the memory 52. Note that the processor 51 may include a plurality of processor elements. The memory 52 includes a semiconductor memory used as a work area for the processor 51 and a storage device that stores an information processing program. Note that the decoy terminal 2 can be realized by allocating the resources of the processor 51 and memory 52 to a virtual machine. Network IF 53 provides an interface for connecting to network system 100.

本発明の実施形態に係わる情報処理プログラムは、図６～図７に示すフローチャートの処理を記述したプログラムを含む。また、情報処理プログラムは、管理部３０の処理を記述したプログラムを含む。なお、情報処理プログラムは、予めメモリ５２にインストールされてもよいし、不図示の可搬型記録媒体からメモリ５２に提供されてもよいし、不図示のプログラムサーバから情報処理システム２００に提供されてもよい。 The information processing program according to the embodiment of the present invention includes a program that describes the processing of the flowcharts shown in FIGS. 6 to 7. Further, the information processing program includes a program that describes the processing of the management unit 30. Note that the information processing program may be installed in the memory 52 in advance, provided to the memory 52 from a portable recording medium (not shown), or provided to the information processing system 200 from a program server (not shown). Good too.

上述の実施例を含む実施形態に関し、さらに下記の付記を開示する。
（付記１）
複数の情報処理装置が接続されたネットワークシステムにおいて使用される情報処理装置であって、
マルウェアに感染した感染端末から受信するパケットおよび再送パケットに基づいて、前記マルウェアまたは前記感染端末の再送パターンを検出する検出部と、
前記検出部により検出された再送パターンを、前記複数の情報処理装置のうちの少なくとも１つの他の情報処理装置に通知する通信部と、
を備える情報処理装置。
（付記２）
ネットワークに接続するネットワークインタフェースをさらに備え、
前記ネットワークインタフェースは、前記感染端末から受信するパケットに対して応答パケットを返送しないことにより、前記感染端末から再送パケットを受信する
ことを特徴とする付記１に記載の情報処理装置。
（付記３）
前記再送パターンは、前記感染端末がパケットを送信したときからそのパケットに対応する再送パケットを送信するまでの期間を表すタイムアウト時間、及び、前記感染端末が再送パケットを送信する回数の最大値を表す再送回数を含む
ことを特徴とする付記１に記載の情報処理装置。
（付記４）
前記検出部は、前記感染端末から送信されるパケットおよびそのパケットに対応する再送パケットの受信時刻に基づいて前記タイムアウト時間を検出すると共に、前記感染端末から受信する再送パケットの個数に基づいて前記再送回数を検出する
ことを特徴とする付記３に記載の情報処理装置。
（付記５）
前記検出部は、前記タイムアウト時間および前記再送回数に基づいて、前記少なくとも１つの他の情報処理装置が前記感染端末からの受信パケットに対して応答パケットを返送するまでの待ち時間を表す応答時間を計算し、
前記通信部は、前記応答時間を前記少なくとも１つの他の情報処理装置に通知する
ことを特徴とする付記４に記載の情報処理装置。
（付記６）
ネットワークシステムに接続された複数の情報処理装置の中の１つの情報処理装置により使用される情報処理方法であって、
マルウェアに感染した感染端末から受信するパケットおよび再送パケットに基づいて、前記マルウェアまたは前記感染端末の再送パターンを検出し、
前記再送パターンを、前記複数の情報処理装置のうちの少なくとも１つの他の情報処理装置に通知する
ことを特徴とする情報処理方法。
（付記７）
ネットワークシステムに接続された複数の情報処理装置の中の１つの情報処理装置において、
マルウェアに感染した感染端末から受信するパケットおよび再送パケットに基づいて、前記マルウェアまたは前記感染端末の再送パターンを検出し、
前記再送パターンを、前記複数の情報処理装置のうちの少なくとも１つの他の情報処理装置に通知する
処理を前記１つの情報処理装置が備えるプロセッサに実行させる情報処理プログラム。
（付記８）
複数の情報処理装置と、
前記複数の情報処理装置を管理する管理部と、を備え、
前記複数の情報処理装置の中の第１の情報処理装置は、
マルウェアに感染した感染端末から受信するパケットおよび再送パケットに基づいて、前記マルウェアまたは前記感染端末の再送パターンを検出し、
前記再送パターンを前記管理部に通知し、
前記管理部は、前記再送パターンを前記複数の情報処理装置の中の第２の情報処理装置に通知し、
前記第２の情報処理装置は、前記感染端末からアクセスがあったときに、前記再送パターンに基づいて決まるタイミングで、前記感染端末に応答パケットを送信する
ことを特徴とする情報処理システム。
（付記９）
前記第１の情報処理装置は、マルウェア毎に再送パターンを検出し、
前記第２の情報処理装置は、あるマルウェアからアクセスがあったときに、そのマルウェアに対応する再送パターンに基づいて応答パケットを送信するタイミングを制御する
ことを特徴とする付記８に記載の情報処理システム。
（付記１０）
前記第１の情報処理装置は、前記感染端末との間のハンドシェイク時に第１の再送パターンを検出すると共に、前記感染端末との間のデータ通信時に第２の再送パターンを検出し、
前記第２の情報処理装置は、前記感染端末との間のハンドシェイク時には前記第１の再送パターンに基づいて前記感染端末に応答パケットを送信するタイミングを制御すると共に、前記感染端末との間のデータ通信時には前記第２の再送パターンに基づいて前記感染端末に応答パケットを送信するタイミングを制御する
ことを特徴とする付記８に記載の情報処理システム。
（付記１１）
前記管理部は、前記複数の情報処理装置についてマルウェアからアクセスされる順番を推定し、前記マルウェアから早くアクセスされると推定される情報処理装置から順番に前記再送パターンを通知する
ことを特徴とする付記８に記載の情報処理システム。
（付記１２）
前記管理部は、マルウェアによる感染が検知されたときに、前記複数の情報処理装置をネットワークに接続する
ことを特徴とする付記８に記載の情報処理システム。 Regarding the embodiments including the above-mentioned examples, the following additional notes are further disclosed.
(Additional note 1)
An information processing device used in a network system in which a plurality of information processing devices are connected,
a detection unit that detects a retransmission pattern of the malware or the infected terminal based on packets and retransmitted packets received from the infected terminal infected with the malware;
a communication unit that notifies at least one other information processing device among the plurality of information processing devices of the retransmission pattern detected by the detection unit;
An information processing device comprising:
(Additional note 2)
It further includes a network interface to connect to the network,
The information processing device according to appendix 1, wherein the network interface receives retransmitted packets from the infected terminal by not returning a response packet to the packets received from the infected terminal.
(Additional note 3)
The retransmission pattern represents a timeout period representing a period from when the infected terminal transmits a packet until it transmits a retransmission packet corresponding to that packet, and a maximum value of the number of times the infected terminal transmits a retransmission packet. The information processing device according to supplementary note 1, characterized in that the information processing device includes the number of retransmissions.
(Additional note 4)
The detection unit detects the timeout time based on the reception time of a packet transmitted from the infected terminal and a retransmission packet corresponding to the packet, and detects the retransmission time based on the number of retransmission packets received from the infected terminal. The information processing device according to supplementary note 3, wherein the information processing device detects the number of times.
(Appendix 5)
The detection unit determines a response time representing a waiting time until the at least one other information processing device returns a response packet in response to a packet received from the infected terminal, based on the timeout period and the number of retransmissions. calculate,
The information processing device according to appendix 4, wherein the communication unit notifies the at least one other information processing device of the response time.
(Appendix 6)
An information processing method used by one information processing device among a plurality of information processing devices connected to a network system, the method comprising:
detecting a retransmission pattern of the malware or the infected terminal based on packets and retransmitted packets received from the infected terminal infected with the malware;
An information processing method, comprising: notifying at least one other information processing apparatus among the plurality of information processing apparatuses of the retransmission pattern.
(Appendix 7)
In one information processing device among a plurality of information processing devices connected to a network system,
detecting a retransmission pattern of the malware or the infected terminal based on packets and retransmitted packets received from the infected terminal infected with the malware;
An information processing program that causes a processor included in the one information processing apparatus to execute a process of notifying at least one other information processing apparatus among the plurality of information processing apparatuses of the retransmission pattern.
(Appendix 8)
multiple information processing devices;
a management unit that manages the plurality of information processing devices;
The first information processing device among the plurality of information processing devices is
detecting a retransmission pattern of the malware or the infected terminal based on packets and retransmitted packets received from the infected terminal infected with the malware;
Notifying the management unit of the retransmission pattern;
The management unit notifies a second information processing device among the plurality of information processing devices of the retransmission pattern,
The information processing system is characterized in that the second information processing device transmits a response packet to the infected terminal at a timing determined based on the retransmission pattern when there is an access from the infected terminal.
(Appendix 9)
The first information processing device detects a retransmission pattern for each malware,
The information processing according to appendix 8, wherein the second information processing device controls the timing of transmitting a response packet based on a retransmission pattern corresponding to the malware when there is an access from a certain malware. system.
(Appendix 10)
The first information processing device detects a first retransmission pattern during handshake with the infected terminal, and detects a second retransmission pattern during data communication with the infected terminal,
The second information processing device controls the timing of transmitting a response packet to the infected terminal based on the first retransmission pattern during a handshake with the infected terminal, and controls the timing of transmitting a response packet to the infected terminal based on the first retransmission pattern. The information processing system according to appendix 8, wherein during data communication, the timing of transmitting a response packet to the infected terminal is controlled based on the second retransmission pattern.
(Appendix 11)
The management unit estimates the order in which the plurality of information processing devices will be accessed by the malware, and notifies the retransmission pattern in the order of information processing devices that are estimated to be accessed by the malware first. The information processing system described in Appendix 8.
(Appendix 12)
The information processing system according to appendix 8, wherein the management unit connects the plurality of information processing devices to a network when infection by malware is detected.

１端末
１Ｍ感染端末
２（２ａ～２ｄ）囮端末
３サーバコンピュータ
２１ネットワークＩＦ
２２検出部
２３通信部
３０管理部
５１プロセッサ
５２メモリ
１００ネットワークシステム
２００情報処理システム 1 Terminal 1M Infected terminal 2 (2a-2d) Decoy terminal 3 Server computer 21 Network IF
22 Detection unit 23 Communication unit 30 Management unit 51 Processor 52 Memory 100 Network system 200 Information processing system

Claims

ネットワークシステムに接続された複数の情報処理装置により使用される情報処理方法であって、
前記複数の情報処理装置のうちの第１の情報処理装置は、マルウェアに感染した感染端末から受信するパケットおよび再送パケットに基づいて、前記マルウェアまたは前記感染端末の再送パターンを検出し、
前記再送パターンは、前記複数の情報処理装置のうちの第２の情報処理装置に通知され、
前記第２の情報処理装置は、前記感染端末からアクセスがあったときに、前記再送パターンに基づいて決まるタイミングで、前記感染端末に応答パケットを返送する
ことを特徴とする情報処理方法。 An information processing method used by a plurality of information processing devices connected to a network system, the method comprising:
A first information processing device among the plurality of information processing devices detects a retransmission pattern of the malware or the infected terminal based on a packet and a retransmission packet received from the infected terminal infected with the malware,
The retransmission pattern is notified to a second information processing device among the plurality of information processing devices,
The second information processing device, when accessed by the infected terminal, returns a response packet to the infected terminal at a timing determined based on the retransmission pattern.
An information processing method characterized by:

ネットワークシステムに接続された複数の端末を備えるコンピュータにおいて、
前記複数の端末のうちの第１の端末が、マルウェアに感染した感染端末から受信するパケットおよび再送パケットに基づいて、前記マルウェアまたは前記感染端末の再送パターンを検出し、
前記再送パターンを、前記複数の端末のうちの第２の端末に通知し、
前記第２の端末が、前記感染端末からアクセスがあったときに、前記再送パターンに基づいて決まるタイミングで、前記感染端末に応答パケットを返送する
処理を前記コンピュータに実行させる情報処理プログラム。 In a computer equipped with multiple terminals connected to a network system,
a first terminal among the plurality of terminals detects a retransmission pattern of the malware or the infected terminal based on packets and retransmission packets received from the infected terminal infected with the malware;
Notifying a second terminal of the plurality of terminals of the retransmission pattern ;
When the second terminal receives access from the infected terminal, the second terminal returns a response packet to the infected terminal at a timing determined based on the retransmission pattern.
An information processing program that causes the computer to execute processing.

複数の情報処理装置と、
前記複数の情報処理装置を管理する管理部と、を備え、
前記複数の情報処理装置の中の第１の情報処理装置は、
マルウェアに感染した感染端末から受信するパケットおよび再送パケットに基づいて、前記マルウェアまたは前記感染端末の再送パターンを検出し、
前記再送パターンを前記管理部に通知し、
前記管理部は、前記再送パターンを前記複数の情報処理装置の中の第２の情報処理装置に通知し、
前記第２の情報処理装置は、前記感染端末からアクセスがあったときに、前記再送パターンに基づいて決まるタイミングで、前記感染端末に応答パケットを送信する
ことを特徴とする情報処理システム。 multiple information processing devices;
a management unit that manages the plurality of information processing devices,
The first information processing device among the plurality of information processing devices is
detecting a retransmission pattern of the malware or the infected terminal based on packets and retransmitted packets received from the infected terminal infected with the malware;
Notifying the management unit of the retransmission pattern;
The management unit notifies a second information processing device among the plurality of information processing devices of the retransmission pattern,
The information processing system is characterized in that the second information processing device transmits a response packet to the infected terminal at a timing determined based on the retransmission pattern when there is an access from the infected terminal.

前記第１の情報処理装置は、マルウェア毎に再送パターンを検出し、The first information processing device detects a retransmission pattern for each malware,
前記第２の情報処理装置は、あるマルウェアからアクセスがあったときに、そのマルウェアに対応する再送パターンに基づいて応答パケットを送信するタイミングを制御するThe second information processing device controls the timing of transmitting a response packet when there is an access from a certain malware based on a retransmission pattern corresponding to the malware.
ことを特徴とする請求項３に記載の情報処理システム。The information processing system according to claim 3, characterized in that:

前記第１の情報処理装置は、前記感染端末との間のハンドシェイク時に第１の再送パターンを検出すると共に、前記感染端末との間のデータ通信時に第２の再送パターンを検出し、The first information processing device detects a first retransmission pattern during handshake with the infected terminal, and detects a second retransmission pattern during data communication with the infected terminal,
前記第２の情報処理装置は、前記感染端末との間のハンドシェイク時には前記第１の再送パターンに基づいて前記感染端末に応答パケットを送信するタイミングを制御すると共に、前記感染端末との間のデータ通信時には前記第２の再送パターンに基づいて前記感染端末に応答パケットを送信するタイミングを制御するThe second information processing device controls the timing of transmitting a response packet to the infected terminal based on the first retransmission pattern during a handshake with the infected terminal, and controls the timing of transmitting a response packet to the infected terminal based on the first retransmission pattern. During data communication, the timing of transmitting a response packet to the infected terminal is controlled based on the second retransmission pattern.
ことを特徴とする請求項３に記載の情報処理システム。The information processing system according to claim 3, characterized in that:

前記管理部は、前記複数の情報処理装置についてマルウェアからアクセスされる順番を推定し、前記マルウェアから早くアクセスされると推定される情報処理装置から順番に前記再送パターンを通知するThe management unit estimates the order in which the plurality of information processing devices will be accessed by malware, and notifies the retransmission pattern in the order of information processing devices that are estimated to be accessed by the malware first.
ことを特徴とする請求項３に記載の情報処理システム。The information processing system according to claim 3, characterized in that:

前記管理部は、マルウェアによる感染が検知されたときに、前記複数の情報処理装置をネットワークに接続するThe management unit connects the plurality of information processing devices to a network when infection by malware is detected.
ことを特徴とする請求項３に記載の情報処理システム。The information processing system according to claim 3, characterized in that:

前記再送パターンは、前記感染端末がパケットを送信したときからそのパケットに対応する再送パケットを送信するまでの期間を表すタイムアウト時間、及び、前記感染端末が再送パケットを送信する回数の最大値を表す再送回数を含む
ことを特徴とする請求項３に記載の情報処理システム。 The retransmission pattern represents a timeout period representing a period from when the infected terminal transmits a packet until it transmits a retransmission packet corresponding to that packet, and a maximum value of the number of times the infected terminal transmits a retransmission packet. The information processing system according to claim 3 , wherein the information processing system includes the number of retransmissions.

前記第１の情報処理装置は、前記感染端末から送信されるパケットおよびそのパケットに対応する再送パケットの受信時刻に基づいて前記タイムアウト時間を検出すると共に、前記感染端末から受信する再送パケットの個数に基づいて前記再送回数を検出する
ことを特徴とする請求項８に記載の情報処理システム。 The first information processing device detects the timeout time based on the reception time of a packet transmitted from the infected terminal and a retransmitted packet corresponding to the packet, and detects the timeout time based on the number of retransmitted packets received from the infected terminal. The information processing system according to claim 8 , wherein the number of retransmissions is detected based on the number of retransmissions.

前記第１の情報処理装置は、前記タイムアウト時間および前記再送回数に基づいて、前記第２の情報処理装置が前記感染端末からの受信パケットに対して応答パケットを返送するまでの待ち時間を表す応答時間を計算し、
前記第１の情報処理装置は、前記応答時間を前記管理部に通知する
ことを特徴とする請求項９に記載の情報処理システム。 The first information processing device generates a response representing a waiting time until the second information processing device returns a response packet in response to the packet received from the infected terminal, based on the timeout period and the number of retransmissions. calculate the time,
The information processing system according to claim 9 , wherein the first information processing device notifies the management unit of the response time.

複数の情報処理装置が接続されたネットワークシステムにおいて使用される情報処理装置であって、An information processing device used in a network system in which a plurality of information processing devices are connected,
マルウェアに感染した感染端末から受信するパケットおよび再送パケットに基づいて、前記マルウェアまたは前記感染端末の再送パターンを検出する検出部と、a detection unit that detects a retransmission pattern of the malware or the infected terminal based on packets and retransmitted packets received from the infected terminal infected with the malware;
前記検出部により検出された再送パターンを、前記複数の情報処理装置のうちの少なくとも１つの他の情報処理装置に通知する通信部と、を備え、a communication unit that notifies at least one other information processing device among the plurality of information processing devices of the retransmission pattern detected by the detection unit;
前記複数の情報処理装置のうちの他のいずれかの情報処理装置において検出された再送パターンを受信した後に、前記感染端末からアクセスがあったときに、前記通信部は、前記他のいずれかの情報処理装置から受信した再送パターンに基づいて決まるタイミングで、前記感染端末に応答パケットを送信するWhen access is made from the infected terminal after receiving a retransmission pattern detected in any other information processing device among the plurality of information processing devices, the communication unit Send a response packet to the infected terminal at a timing determined based on the retransmission pattern received from the information processing device.
ことを特徴とする情報処理装置。An information processing device characterized by: