JP7456331B2

JP7456331B2 - ネットワークシステム

Info

Publication number: JP7456331B2
Application number: JP2020141584A
Authority: JP
Inventors: 一水橋間; 晃司菅谷; 純平関東; 健太郎竹下
Original assignee: サクサ株式会社
Priority date: 2020-08-25
Filing date: 2020-08-25
Publication date: 2024-03-27
Anticipated expiration: 2040-08-25
Also published as: JP2022037442A

Description

本発明は、電話システムでやり取りする電子メールからメール監視装置で検出したセキュリティの脅威を、電話システムで報知するための脅威報知技術に関する。

複数の電話端末を通信網に交換接続するビジネスホンシステムやＰＢＸシステムなどの電話システムでは、電話システムの配下に接続された電話端末やＰＣなどの情報処理端末を用いて、電子メールを送受信するシステムがある。一方、電子メールには、悪意のあるソフトウェア、いわゆるウィルス（コンピュータウィルス）が含まれている場合がある。このような感染メールによるセキュリティの脅威に対応するため、電話システムと通信網との間に、電子メールを監視する装置として、ＵＴＭ（Unified Threat Management：統合脅威管理）装置などのメール監視装置を接続した、いわゆるネットワークシステムが用いられている。

従来、電子メールに関する情報を報知する技術として、メールシステムで受信したメールの数を示す通数を、予め設定されている利用者や管理者に対して、データ通信、ＤＴＭＦ信号、音声信号などを用いて通知する技術が提案されている（例えば、特許文献１など参照）。

特開平７－１５４４１８号公報

一般に、ウィルスは電子メールの添付ファイルに含まれており、利用者が知らずに添付ファイルを開くとウィルスが動作して、重要情報の窃取、改ざん、削除、破壊など、甚大な被害が発生する。このため、感染メールが検出された場合、このようなウィルス動作を抑止して被害を最小限に抑えるため、感染メールをやり取りした情報処理端末を遮断するなどの感染対応を、適切かつ迅速に実施する必要がある。
前述した従来技術を利用して、ネットワークシステムに含まれる電話システムを用いて、感染メールの検出を報知することは可能である。しかしながら、従来技術によれば、感染メールの検出を単に報知することになるため、報知を受けた利用者や管理者が、前述したような感染対応を、適切かつ迅速に実施することは難しいという問題点があった。

本発明はこのような課題を解決するためのものであり、脅威検出を報知するとともに、必要な脅威対応を適切かつ迅速に実施できる脅威報知技術を提供することを目的としている。

このような目的を達成するために、本発明にかかるネットワークシステムは、複数の電話端末を通信網に交換接続する電話制御装置と、前記電話制御装置がやり取りする電子メールを監視するメール監視装置とを備え、前記メール監視装置は、前記電子メールからセキュリティの脅威が検出された場合、脅威検出を前記電話制御装置に通知し、前記電話制御装置は、前記脅威検出の通知に応じて、当該電子メールと対応する利用者の電話端末で脅威発生を報知するとともに、当該電話端末と対応する情報処理端末との接続を強制切断するように構成したものである。

また、本発明にかかる上記ネットワークシステムの一構成例は、前記電話制御装置が、前記電話端末で脅威発生を報知した後、当該電話端末でのオフフック操作に応じて、予め設定されている連絡先へ自動発信するように構成したものである。

また、本発明にかかる上記ネットワークシステムの一構成例は、前記メール監視装置が、脅威が検出された電子メールを一時的に保存し、前記電話制御装置からの削除指示に応じて当該電子メールを削除し、脅威削除を前記電話制御装置に通知し、前記電話制御装置は、前記脅威削除の通知に応じて、前記電話端末で脅威解消を報知するとともに、当該電話端末と対応する情報処理端末との接続を自動復旧するように構成したものである。

本発明によれば、脅威が検出された電子メールを送受信した利用者に対して、脅威検出を電話システムを用いて報知できるとともに、感染の可能性が高い情報処理端末を電話システムから即座に切り離すことができ、必要な脅威対応を適切かつ迅速に実施することが可能となる。したがって、利用者や管理者が脅威対応作業を行う場合と比較して、データ通信による拡がりを抑止でき、これら脅威による被害を最小限に抑制することが可能となる。

ネットワークシステムの構成を示すブロック図である。脅威対応動作を示すシーケンス図である。利用者情報の構成例を示す説明図である。脅威対応動作（続き）を示すシーケンス図である。

次に、本発明の一実施の形態について図面を参照して説明する。
［ネットワークシステム］
まず、図１を参照して、本実施の形態にかかるネットワークシステム１について説明する。図１は、ネットワークシステムの構成を示すブロック図である。
このネットワークシステム１は、電話システム１０とメール監視装置２０とを備え、通信網ＮＷを介して電話システム１０でやり取りする電子メールを、メール監視装置２０で監視し、電子メールからウィルス感染が検出された場合は、電話システム１０で報知するシステムである。

［電話システム］
電話システム１０は、ビジネスホンシステムやＰＢＸシステムなどの電話システムからなり、配下に接続する複数の電話端末Ｔを通信網ＮＷに交換接続することにより、これら電話端末Ｔを用いた電話サービスを利用者に提供するように構成されている。また、電話システム１０は、配下に接続したＰＣ、スマートホン、タブレットなどの情報通信端末Ｄを通信網ＮＷに接続することにより、これら情報通信端末Ｄを用いたデータ通信サービスを利用者に提供するように構成されている。

図１に示すように、電話システム１０は、主な構成として、電話制御装置１１、ＨＵＢ１２、電話端末Ｔ、および情報処理端末Ｄを備えている。
［電話制御装置］
電話制御装置１１は、全体としてビジネスホンシステムの主装置やＰＢＸシステムのＰＢＸ装置からなり、通信網ＮＷや電話端末Ｔと制御メッセージをやり取りすることにより、通信網ＮＷや電話端末Ｔを呼制御するように構成されている。また、電話制御装置１１は、電話端末Ｔや情報処理端末Ｄと通信網ＮＷとの間における、電子メールやＷＥＢアクセスなどのデータ通信を中継接続するように構成されている。

また、電話制御装置１１は、メール監視装置２０からの脅威検出の通知に応じて、脅威を検出した電子メールと対応する利用者の電話端末Ｔで脅威発生を報知するとともに、当該電話端末Ｔと対応する情報処理端末Ｄとの接続を強制切断し、電話端末Ｔで脅威発生を報知した後、当該電話端末Ｔでのオフフック操作に応じて、予め設定されている連絡先へ自動発信するように構成されている。
また、電話制御装置１１は、メール監視装置２０からの脅威削除の通知に応じて、脅威を検出した電子メールと対応する利用者の電話端末Ｔに脅威解消を報知するとともに、当該電話端末Ｔと対応する情報処理端末Ｄとの接続を自動復旧するように構成されている。

［ＨＵＢ］
ＨＵＢ１２は、一般的なハブ装置からなり、電話端末Ｔや情報処理端末Ｄを、ＬＡＮ回線を介して電話制御装置１１に中継接続するように構成されている。
また、ＨＵＢ１２は、電話制御装置１１からの切断指示に応じて、指定された情報処理端末Ｄとの接続を切断し、電話制御装置１１からの復旧指示に応じて、指定された情報処理端末Ｄとの接続を復旧するように構成されている。

電話端末Ｔの接続形態については、ＬＡＮ回線または専用回線を介して電話制御装置１１に直接接続する形態と、ＨＵＢ１２およびＬＡＮ回線を介して電話制御装置１１に接続する形態がある。また、情報処理端末Ｄの接続形態については、ＨＵＢ１２およびＬＡＮ回線を介して電話制御装置１１に接続する形態と、電話端末Ｔを介して電話制御装置１１に接続する形態がある。

図１には、３人の利用者Ｕ１，Ｕ２，Ｕ３ごとに、電話端末Ｔと情報通信端末Ｄとを１つずつ割り当てた構成例が示されている。利用者Ｕ１の電話端末Ｔ１は、電話制御装置１１に直接接続されており、利用者Ｕ１の情報通信端末Ｄ１は、ＨＵＢ１２を介して電話制御装置１１に接続されている。また、利用者Ｕ２の電話端末Ｔ２と情報通信端末Ｄ２は、いずれもＨＵＢ１２を介して電話制御装置１１に接続されている。また、利用者Ｕ３の電話端末Ｔ３は、ＨＵＢ１２を介して電話制御装置１１に接続されており、利用者Ｕ３の情報通信端末Ｄ３は、電話端末Ｔ３を介して電話制御装置１１に接続されている。

また、電話制御装置１１は、配下に接続する電話端末Ｔを、例えば利用者の所属に合わせてグループ管理する機能を有している。図１の例では、電話端末Ｔ１，Ｔ２が、利用者Ｕ１，Ｕ２が属するグループＡに割り当てられており、電話端末Ｔ３が、利用者Ｕ３が属するグループＢに割り当てられている。なお、電話端末Ｔおよび情報通信端末Ｄの接続数、接続形態、グループ割り当てについては、これに限定されるものではなく、アプリケーションに応じて電話端末Ｔおよび情報通信端末Ｄの接続数、接続形態、グループ割り当てを、適宜変更してもよい。

［電話端末］
電話端末Ｔは、全体として、ビジネスホンシステムやＰＢＸシステムの内線電話端末として用いられる一般的な電話端末であり、電話制御装置１１の配下に接続されて、電話制御装置１１とデータ通信を行うことにより、音声通話や各種情報表示を行うように構成されている。電話端末Ｔには、電子メールの送受信機能やインターネットにアクセスするブラウザ機能を有するものや、配下に情報処理端末Ｄを接続する機能を有するものもある。

［メール監視装置］
メール監視装置２０は、全体としてＵＴＭ（Unified Threat Management：統合脅威管理）装置やルータなどの通信制御装置からなり、インターネットなどの通信網ＮＷと電話システム１０の電話制御装置１１との間に接続されて、電話端末Ｔや情報通信端末Ｄが電話制御装置１１を介してやり取りする電子メールを監視し、電子メールからセキュリティの脅威、例えばウィルス感染が検出された場合、電話制御装置１１に脅威検出を通知するように構成されている。
また、メール監視装置２０は、ウィルスが検出された電子メール、すなわち感染メールを一時的に保存し、電話制御装置１１からの削除指示に応じて当該電子メールを削除し、脅威削除を電話制御装置１１に通知するように構成されている。

［管理者端末］
管理者端末３０は、ネットワークシステム１のセキュリティを管理する管理者の電話端末である。管理者端末３０は、ネットワークシステム１を管理するコールセンターであってもよいし、電話システム１０内の内線端末であってもよい。例えば、ネットワークシステム１がセキュリティの脅威にさらされた際、ネットワークシステム１の利用者からの電話での問い合わせに応じて、管理者は、管理者端末３０から脅威対応のための適切な処置を指示することができる。

［本実施の形態の動作］
次に、図２、図３、および図４を参照して、本実施の形態にかかるネットワークシステム１の動作について説明する。図２は、脅威対応動作を示すシーケンス図である。図３は、利用者情報の構成例を示す説明図である。図４は、脅威対応動作（続き）を示すシーケンス図である。
ここでは、ネットワークシステム１において、受信した電子メールにウィルスやマルウェアなどのセキュリティの脅威が含まれていた場合に実行される、脅威対応動作について説明する。

図２に示すように、電話システム１０が、通信網ＮＷから電子メールを受信した場合（ステップＳ１００）、メール監視装置２０は、その受信メールにウィルスやマルウェアなどのセキュリティの脅威が含まれているかどうかを確認する（ステップＳ１０１）。ここで、脅威が検出された場合、メール監視装置２０は、脅威検出を電話制御装置１１へ通知する（ステップＳ１０２）。この脅威検出通知には、当該電子メールから抽出された、関連する利用者や情報処理端末Ｄを特定するための、メールアドレスが含まれている。

電話制御装置１１は、メール監視装置２０から脅威検出が通知された場合、予め設定されている利用者端末情報を参照することにより、脅威検出に含まれるメールアドレスから、脅威処理の対象となる電話端末Ｔおよび情報処理端末Ｄを特定する（ステップＳ１０３）。ここでは、利用者の電話端末Ｔに割り当てられている内線番号を特定されるとともに、電話端末Ｔに対応する情報処理端末ＤのＭＡＣアドレスおよび接続形態が特定される。

図３に示す利用者情報には、利用者の名前ごとに、当該利用者が利用する電話端末の内線番号、当該利用者が属するグループ、当該利用者のメールアドレス、当該利用者が利用する（当該電話端末と対応する）情報処理端末ＤのＭＡＣアドレス、および当該情報処理端末Ｄの接続形態が、組として登録されている。接続形態のうち、「ＨＵＢ」は、ＨＵＢ１２経由で情報処理端末Ｄが電話制御装置１１に接続されていることを示している。また、「ＫＴ」は、電話端末Ｔ経由で情報処理端末Ｄが電話制御装置１１に接続されていることを示している。

次に、電話制御装置１１は、特定した内線番号に基づいて、脅威を検出した電子メールと対応する利用者の電話端末Ｔで脅威発生を報知し（ステップＳ１１０，Ｓ１２０，Ｓ１３０）、取得した情報処理端末ＤのＭＡＣアドレスに基づいて、当該電話端末Ｔと対応する情報処理端末Ｄとの接続を強制切断する（ステップＳ１１２，Ｓ１２２，Ｓ１３２）。

例えば、脅威検出に含まれるメールアドレス「[email protected]」であった場合、電話制御装置１１は、図３の利用者情報により内線番号「１１」を特定し、対応する利用者Ｕ１の電話端末Ｔ１に脅威発生を直接通知する（ステップＳ１１０）。これにより、電話端末Ｔ１で、例えば着信ランプの点滅表示やＬＣＤでのメッセージ表示により、利用者Ｕ１が送受信した電子メールにより脅威が発生したことが、利用者Ｕ１に報知される（ステップＳ１１１）。この際、脅威発生は、即時に報知してもよく、システム設定時間帯や人感センサー検知時に限って報知してもよい。

また、脅威検出に含まれるメールアドレス「[email protected]」であった場合、電話制御装置１１は、図３の利用者情報により、ＭＡＣアドレス「AA-AA-AA-AA-AA-11」と接続形態「ＨＵＢ」を特定し、対応する情報処理端末Ｄ１の切断指示を、ＨＵＢ１２に通知する（ステップＳ１１２）。これにより、ＨＵＢ１２において、情報処理端末Ｄ１との接続が強制切断されて、情報処理端末Ｄ１でのデータ通信が不可能となる（ステップＳ１１３）。したがって、情報処理端末Ｄ１がウィルスやマルウェアなどの悪意のあるソフトウェアに感染していた場合でも、データ通信による拡がりを抑止でき、これら脅威による被害を最小限に抑制することができる。

また、脅威検出に含まれるメールアドレス「[email protected]」であった場合、電話制御装置１１は、図３の利用者情報により内線番号「１２」を特定し、対応する利用者Ｕ２の電話端末Ｔ２に脅威発生をＨＵＢ１２経由で通知する（ステップＳ１２０）。これにより、電話端末Ｔ２で、例えば着信ランプの点滅表示やＬＣＤでのメッセージ表示により、利用者Ｕ２が送受信した電子メールにより脅威が発生したことが、利用者Ｕ２に報知される（ステップＳ１２１）。この際、脅威発生は、即時に報知してもよく、システム設定時間帯や人感センサー検知時に限って報知してもよい。

また、脅威検出に含まれるメールアドレス「[email protected]」であった場合、電話制御装置１１は、図３の利用者情報により、ＭＡＣアドレス「AA-AA-AA-AA-AA-12」と接続形態「ＨＵＢ」を特定し、対応する情報処理端末Ｄ２の切断指示を、ＨＵＢ１２に通知する（ステップＳ１２２）。これにより、ＨＵＢ１２において、情報処理端末Ｄ２との接続が強制切断されて、情報処理端末Ｄ２でのデータ通信が不可能となる（ステップＳ１２３）。したがって、情報処理端末Ｄ２がウィルスやマルウェアなどの悪意のあるソフトウェアに感染していた場合でも、データ通信による拡がりを抑止でき、これら脅威による被害を最小限に抑制することができる。

また、脅威検出に含まれるメールアドレス「[email protected]」であった場合、電話制御装置１１は、図３の利用者情報により内線番号「１３」を特定し、対応する利用者Ｕ３の電話端末Ｔ３に脅威発生をＨＵＢ１２経由で通知する（ステップＳ１３０）。これにより、電話端末Ｔ３で、例えば着信ランプの点滅表示やＬＣＤでのメッセージ表示により、利用者Ｕ３が送受信した電子メールにより脅威が発生したことが、利用者Ｕ３に報知される（ステップＳ１３１）。この際、脅威発生は、即時に報知してもよく、システム設定時間帯や人感センサー検知時に限って報知してもよい。

また、脅威検出に含まれるメールアドレス「[email protected]」であった場合、電話制御装置１１は、図３の利用者情報により、ＭＡＣアドレス「AA-AA-AA-AA-AA-13」と接続形態「ＫＴ」を特定し、対応する情報処理端末Ｄ３の切断指示を、ＨＵＢ１２経由で電話端末Ｔ３に通知する（ステップＳ１３２）。これにより、電話端末Ｔ３において、情報処理端末Ｄ３との接続が強制切断されて、情報処理端末Ｄ３でのデータ通信が不可能となる（ステップＳ１３３）。したがって、情報処理端末Ｄ３がウィルスやマルウェアなどの悪意のあるソフトウェアに感染していた場合でも、データ通信による拡がりを抑止でき、これら脅威による被害を最小限に抑制することができる。

このようにして、電話端末Ｔへの脅威発生通知および情報処理端末Ｄの切断を行った後、電話制御装置１１は、当該電話端末Ｔを対象として、予め設定されている管理者端末３０への自動発信の待ち受けを開始する（ステップＳ１４０）。
例えば、脅威発生の通知先が電話端末Ｔ１である場合、電話端末Ｔ１でのオフフック操作に応じて（ステップＳ１４１）、電話制御装置１１は、管理者端末３０への自動発信を実行する（ステップＳ１４２）。

これに応じて、電話制御装置１１から通信網ＮＷに対して、管理者端末３０を相手先とする発信要求が通知され（ステップＳ１４３）、管理者端末３０からの応答に応じて（ステップＳ１４４）、管理者端末３０と電話端末Ｔ１との音声通話が開始される（ステップＳ１４５）。これにより、利用者Ｕ１からの問い合わせに応じて、管理者から脅威対応のための適切な処置が指示されることになる。

この後、管理者からの指示に応じて、利用者Ｕ１が、保存中の感染メールの削除を指示した場合（ステップＳ１５０）、この削除指示が、電話制御装置１１からメール監視装置２０に通知される。
メール監視装置２０は、この削除指示に応じて、保存中の感染メールを削除し（ステップＳ１５１）、脅威を削除したことを示す脅威削除を電話制御装置１１へ通知する（ステップＳ１５２）。

電話制御装置１１は、メール監視装置２０からの脅威削除の通知に応じて、予め設定されている利用者端末情報を参照することにより、脅威検出に含まれるメールアドレスから、脅威処理の対象となる電話端末Ｔおよび情報処理端末Ｄを特定する（ステップＳ１５３）。
ここで、例えば、利用者Ｕ１の電話端末Ｔ１と情報処理端末Ｄ１が特定された場合、電話制御装置１１は、電話端末Ｔ１で脅威解消を報知する（ステップＳ１５４）。これにより、電話端末Ｔ１で、例えば着信ランプの点滅表示やＬＣＤでのメッセージ表示により、脅威が解消したことが、利用者Ｕ１に報知される（ステップＳ１５５）。

また、電話制御装置１１は、情報処理端末Ｄ１の復旧指示を、ＨＵＢ１２に通知する（ステップＳ１５６）。これにより、ＨＵＢ１２において、情報処理端末Ｄ１との接続が復旧されて、情報処理端末Ｄ１でのデータ通信が可能となる（ステップＳ１５７）。したがって、対応作業を必要とすることなく、感染メールの削除に応じて、脅威解消が自動的に利用者に通知されるとともに、情報処理端末Ｄ１が自動的に再接続されることになる。

［本実施の形態の効果］
このように、本実施の形態は、メール監視装置２０が、電子メールからセキュリティの脅威が検出された場合、脅威検出を電話制御装置１１に通知し、電話制御装置１１が、脅威検出の通知に応じて、当該電子メールと対応する利用者の電話端末Ｔで脅威発生を報知するとともに、当該電話端末Ｔと対応する情報処理端末Ｄとの接続を強制切断するようにしたものである。

これにより、脅威が検出された電子メールを送受信した利用者に対して、脅威検出を電話システム１０を用いて報知できるとともに、感染の可能性が高い情報処理端末Ｄを電話システム１０から即座に切り離すことができ、必要な脅威対応を適切かつ迅速に実施することが可能となる。
したがって、利用者や管理者が脅威対応作業を行う場合と比較して、データ通信による拡がりを抑止でき、これら脅威による被害を最小限に抑制することが可能となる。

また、本実施の形態において、電話制御装置１１が、電話端末Ｔで脅威発生を報知した後、当該電話端末Ｔでのオフフック操作に応じて、予め設定されている連絡先へ自動発信するようにしてもよい。これにより、利用者が管理者の電話番号を調べる必要がなくなり、より迅速に脅威発生を管理者に連絡することができる。

また、本実施の形態において、メール監視装置２０が、脅威が検出された電子メールを一時的に保存し、電話制御装置１１からの削除指示に応じて当該電子メールを削除し、脅威削除を電話制御装置１１に通知し、電話制御装置１１が、脅威削除の通知に応じて、電話端末Ｔで脅威解消を報知するとともに、当該電話端末Ｔと対応する情報処理端末Ｄとの接続を自動復旧するようにしてもよい。これにより、対応作業を必要とすることなく、感染メールの削除に応じて、脅威解消が自動的に利用者に通知されるとともに、情報処理端末Ｄが自動的に再接続されて、データ通信可能となる。

［実施の形態の拡張］
以上、実施形態を参照して本発明を説明したが、本発明は上記実施形態に限定されるものではない。本発明の構成や詳細には、本発明のスコープ内で当業者が理解しうる様々な変更をすることができる。

以上では、脅威発生および脅威解消を、脅威が検出された電子メールを送受信した利用者の電話端末Ｔでのみ報知する場合を例として説明したが、これに限定されるものではない。例えば、図３の利用者情報に設定されているグループを参照し、対応する利用者が属するグループの電話端末Ｔで報知するようにしてもよい。これにより、脅威発生および脅威解消を、グループに属する利用者で共有することができ、効率よく脅威対応を行うことができる。

１…ネットワークシステム、１０…電話システム、１１…電話制御装置、１２…ＨＵＢ、２０…メール監視装置、３０…管理者端末、Ｔ，Ｔ１，Ｔ２，Ｔ３…電話端末、Ｄ，Ｄ１，Ｄ２，Ｄ３…情報処理端末、ＮＷ…通信網。

Claims

複数の電話端末を通信網に交換接続する電話制御装置と、
前記電話制御装置がやり取りする電子メールを監視するメール監視装置とを備え、
前記メール監視装置は、前記電子メールからセキュリティの脅威が検出された場合、脅威検出を前記電話制御装置に通知し、
前記電話制御装置は、前記脅威検出の通知に応じて、当該電子メールと対応する利用者の電話端末で脅威発生を報知するとともに、当該電話端末と対応する情報処理端末との接続を強制切断する
ことを特徴とするネットワークシステム。
請求項１に記載のネットワークシステムにおいて、
前記電話制御装置は、前記電話端末で脅威発生を報知した後、当該電話端末でのオフフック操作に応じて、予め設定されている連絡先へ自動発信することを特徴とするネットワークシステム。
請求項１または請求項２に記載のネットワークシステムにおいて、
前記メール監視装置は、脅威が検出された電子メールを一時的に保存し、前記電話制御装置からの削除指示に応じて当該電子メールを削除し、脅威削除を前記電話制御装置に通知し、
前記電話制御装置は、前記脅威削除の通知に応じて、前記電話端末で脅威解消を報知するとともに、当該電話端末と対応する情報処理端末との接続を自動復旧する
ことを特徴とするネットワークシステム。