JPH11167487A - ウィルスチェックネットワーク、ウィルスチェック装置、クライアント端末及びウィルス情報管理局 - Google Patents

Abstract

(57)【要約】 【課題】 ネットワーク側でウィルスを未然に防ぎ、ウ
ィルス対策効率の向上を図ったウィルスチェックネット
ワークを提供することを目的とする。 【解決手段】 ウィルスパターン格納手段１１は、ウィ
ルスパターンを格納する。ウィルスチェック手段１２
は、パケットをウィルスパターンにもとづいて、感染パ
ケットＰａか否かのウィルスチェックをネットワーク側
で行う。パケット送信手段１３は、感染パケットＰａ検
知時は、パケット内の感染を示すビットを立てて感染表
示パケットＰｂとして送信する。感染パケット検出手段
２１は、感染パケットＰａを検出する。ファイル実行制
御手段２２は、感染パケットに対応するファイルを実行
不可にする。ウィルスパターン情報配布手段３１は、ウ
ィルスパターン情報をマルチキャストでウィルスチェッ
ク装置１０ａ〜１０ｎに配布する。ウィルスパターン情
報管理手段３２はウィルスパターン情報を一元管理す
る。

Description

【発明の詳細な説明】

【０００１】

【発明の属する技術分野】本発明はウィルスチェックネ
ットワーク、ウィルスチェック装置、クライアント端末
及びウィルス情報管理局に関し、特にウィルスチェック
を行って、ウィルス侵入を防止するウィルスチェックネ
ットワーク、ウィルスチェックを行って、ウィルス侵入
を防止するウィルスチェック装置、ウィルスチェックを
受けたパケットを受信するクライアント端末及びネット
ワーク内のウィルス情報を管理するウィルス情報管理局
に関する。

【０００２】

【従来の技術】近年、マルチメディア通信などの情報通
信ネットワーク技術が急速に進歩している。また、イン
ターネット等の流行により、企業のみならず一般家庭に
対しても、ネットワークが提供するサービスが幅広く利
用されている。

【０００３】この反面、コンピュータウィルスの増加と
感染のスピードは、ネットワークの普及と共に加速して
おり、多くの企業ユーザがウィルスの被害に遭っている
現状が報告されている。

【０００４】従来、ネットワークをウィルスの感染から
守るには、クライアントやプロキシサーバ等にワクチン
・ソフトを導入していた。このワクチン・ソフトを用い
ることにより、ウィルスに感染しているファイルからウ
ィルスを取り去って、ファイルを修復することができ
る。

【０００５】

【発明が解決しようとする課題】しかし、上記のような
従来のウィルス対策は、クライアント側で行っているた
め、感染防止にはクライアントすべてに対して、個々に
ワクチン・ソフトを導入しなければならない。

【０００６】このため、新種ウィルスに対しては、バー
ジョンアップしたワクチン・ソフトを最初から逐一導入
しなければならず、時間が非常にかかり効率が悪いとい
った問題があった。

【０００７】また、従来のクライアント側でのウィルス
対策では、新種ウィルス発見時のパターンファイルの更
新などをはじめとする運用管理等は、各自ユーザに任さ
れるため、ウィルス監視を徹底させることが難しいとい
った問題があった。

【０００８】本発明はこのような点に鑑みてなされたも
のであり、ネットワーク側でウィルスを未然に防ぎ、ウ
ィルス対策効率の向上を図ったウィルスチェックネット
ワークを提供することを目的とする。

【０００９】また、本発明の他の目的は、ネットワーク
側でウィルスを未然に防ぎ、ウィルス対策効率の向上を
図ったウィルスチェック装置を提供することである。さ
らに、本発明の他の目的は、ウィルスに感染しているフ
ァイルを削除して、ウィルス対策効率の向上を図ったク
ライアント端末を提供することである。

【００１０】また、本発明の他の目的は、ネットワーク
内のウィルス情報を管理して、ウィルス対策効率の向上
を図ったウィルス情報管理局を提供することである。

【００１１】

【課題を解決するための手段】本発明では上記課題を解
決するために、図１に示すような、ウィルスチェックを
行って、ウィルス侵入を防止するウィルスチェックネッ
トワーク１において、ウィルスパターンを格納するウィ
ルスパターン格納手段１１と、受信したパケットをウィ
ルスパターンにもとづいて、ウィルスに感染している感
染パケットＰａか否かのウィルスチェックをネットワー
ク側で行うウィルスチェック手段１２と、感染パケット
Ｐａを検知した場合は、感染を示すパケット内のビット
を立てて感染表示パケットＰｂとして送信するパケット
送信手段１３と、から構成される複数のウィルスチェッ
ク装置１０ａ〜１０ｎと、ビットにもとづいて、感染パ
ケットＰａを検出する感染パケット検出手段２１と、感
染パケットＰａに対応するファイルを実行不可にするフ
ァイル実行制御手段２２と、から構成されるクライアン
ト端末２０ａ〜２０ｍと、ウィルスパターン情報をマル
チキャストでウィルスチェック装置１０ａ〜１０ｎに配
布するウィルスパターン情報配布手段３１と、ウィルス
パターン情報を一元管理するウィルスパターン情報管理
手段３２と、から構成されるウィルス情報管理局３０
と、を有することを特徴とするウィルスチェックネット
ワーク１が提供される。

【００１２】ここで、ウィルスパターン格納手段１１
は、ウィルスパターンを格納する。ウィルスチェック手
段１２は、受信したパケットをウィルスパターンにもと
づいて、ウィルスに感染している感染パケットＰａか否
かのウィルスチェックをネットワーク側で行う。パケッ
ト送信手段１３は、感染パケットＰａを検知した場合
は、感染を示すパケット内のビットを立てて感染表示パ
ケットＰｂとして送信する。感染パケット検出手段２１
は、ビットにもとづいて、感染パケットＰａを検出す
る。ファイル実行制御手段２２は、感染パケットに対応
するファイルを実行不可にする。ウィルスパターン情報
配布手段３１は、ウィルスパターン情報をマルチキャス
トでウィルスチェック装置１０ａ〜１０ｎに配布する。
ウィルスパターン情報管理手段３２は、ウィルスパター
ン情報を一元管理する。

【００１３】

【発明の実施の形態】以下、本発明の実施の形態を図面
を参照して説明する。図１は本発明のウィルスチェック
ネットワークの原理図である。

【００１４】ウィルスチェックネットワーク１は、ウィ
ルスチェック装置１０ａ〜１０ｎと、クライアント端末
２０ａ〜２０ｍと、ウィルス情報管理局３０と、から構
成され、ウィルスチェックを行って、ウィルス侵入を防
止する。

【００１５】ウィルスパターン格納手段１１は、ウィル
スパターンを格納する。ウィルスチェック手段１２は、
受信したパケットと、格納してあるウィルスパターン
と、を比較し、パケットがウィルスに感染している感染
パケットＰａか否かのウィルスチェックをネットワーク
側で行う。

【００１６】パケット送信手段１３は、感染パケットＰ
ａを検知した場合は、感染パケットＰａ内のあらかじめ
設定した感染を示すビットを立てて、感染表示パケット
Ｐｂとして送信する。

【００１７】感染パケット検出手段２１は、感染表示パ
ケットＰｂのビットにもとづいて、それが感染パケット
Ｐａと検出する。ファイル実行制御手段２２は、感染パ
ケットＰａに対応するファイルを実行不可にする。

【００１８】ウィルスパターン情報配布手段３１は、最
新のウィルスパターン情報をマルチキャストでウィルス
チェック装置１０ａ〜１０ｎに配布する。配布されたウ
ィルスパターンは、ウィルスパターン格納手段１１で格
納される。

【００１９】ウィルスパターン情報管理手段３２は、ウ
ィルスパターン情報の新規設定、更新等の管理を一元的
に行う。次に本発明のウィルスチェックネットワーク１
を、ルータで構成されているインターネット上のネット
ワークに適用した場合の実施の形態について以降説明す
る。本発明のウィルスチェック装置１０ａ〜１０ｎをい
くつかのルータに配置させ、ネットワーク側でウィルス
チェックを行う。

【００２０】なお、ウィルスチェック装置を配置したル
ータを以降では、ウィルスチェックルータと呼ぶ。図２
はウィルスチェックルータを配置したネットワークの概
要を示す図である。ネットワーク１は、ルータＲ１〜Ｒ
８と、クライアント端末２０ａ〜２０ｍと、ウィルス情
報管理局３０と、から構成される。

【００２１】図ではルータＲ１、Ｒ２、Ｒ３、Ｒ４がウ
ィルスチェックルータであり、その他は通常のルータ機
能のみを持つ。ウィルスチェックルータＲ２にウィルス
情報管理局３０が接続し、ウィルスチェックルータＲ４
にクライアント端末２０ａ〜２０ｍが接続する。

【００２２】ウィルスチェックルータＲ１〜Ｒ４はウィ
ルスのどの部分（先頭部、中間部、終端部）をチェック
をするかを分担させており、各担当を最低１回は通過す
るように配置させる。

【００２３】各ウィルスチェックルータＲ１〜Ｒ４は、
ウィルス情報管理局３０からマルチキャストで配布され
るウィルスパターンＶＰを受け取り、常に最新のウィル
ス情報を保持させておく。

【００２４】受信したパケットに対し、ウィルスチェッ
クルータＲ１〜Ｒ４は保持してあるウィルスパターンＶ
Ｐと比較する。もし感染している場合にはパケットにビ
ットを立てる。

【００２５】その際同時に送信元に対しては警告パケッ
トＰｗ１を返し、各ウィルスチェックルータＲ１〜Ｒ４
に対しては、警戒情報パケットＰｗ２をマルチキャスト
で配布する。

【００２６】警戒情報パケットＰｗ２を受け取った各ウ
ィルスチェックルータＲ１〜Ｒ４は、そのウィルスを優
先的に検出、あるいは感染元との通信の遮断を行う。ク
ライアント端末２０ａ〜２０ｍでは、パケットを常に監
視しており、感染を示すビットが立っている場合、ある
いは警告パケットＰｗ１だった場合にはユーザにメッセ
ージを表示し、受け取ったファイルの削除を促す。

【００２７】次にウィルスパターンＶＰについて説明す
る。ウィルスパターンＶＰは、マルチキャストにのせて
定期的に配布される。また新種のウィルスが発見された
ら、ウィルス情報管理局３０は新たに作成したウィルス
パターンＶＰをマルチキャストで各ウィルスチェックル
ータ１０ａ〜１０ｎに送り、各ウィルスチェックルータ
１０ａ〜１０ｎは変更があればウィルスパターンを更新
する。

【００２８】図３はウィルスパターンＶＰのフォーマッ
トを示す図である。ウィルスパターンＶＰは、ヘッダＶ
Ｐ−１にEther HedderとIP Hedder(Multicast)とを持
つ。そして、ウィルスパターン配布を示すコードＶＰ−
２と、ウィルスの種類を示すシリアル番号ＶＰ−３と、
そのバージョン（改版番号）ＶＰ−４を持つ。

【００２９】これらのあとに、実際のウィルスのバイナ
リから先頭部分（第１領域のウィルスパターン）ＶＰ−
６、中間部分（第２領域のウィルスパターン）ＶＰ−
７、終端部分（第３領域のウィルスパターン）ＶＰ−７
を固定長バイトごと抽出したものをつける。

【００３０】なお、抽出部分はウィルス情報管理局３０
によって任意に決められ、定期的に変更してバージョン
ＶＰ−４を更新する。また、ウィルスの危険度に応じて
脅威レベルＶＰ−５をウィルス情報管理局側３０で決定
しておく。これにより危険度に応じた対応を可能にす
る。

【００３１】ウィルスチェックルータ１０ａ〜１０ｎで
は、受け取ったデータを元に自分の持つウィルスパター
ンＶＰを後述の検索テ−ブルに追加する。その際、各ウ
ィルスチェックルータ１０ａ〜１０ｎはどの領域を分担
するか決められており、受信したパケットから自分の担
当するパターンのみを受け取る。

【００３２】次にウィルスパターンＶＰの格納形式につ
いて説明する。図４はウィルスパターン格納手段１１の
格納形式を示す図である。ウィルスパターン格納手段１
１は、ウィルスパターンＶＰを検索テ−ブル１１ａと、
シリアル番号保持情報１１ｂと、に分けて格納する。

【００３３】検索テ−ブル１１ａは、階層木構造をと
る。それぞれ木の深さに応じて第１次階層、第２次階
層、第３次階層…と呼ぶ。また、それぞれの枝部分とシ
リアル番号を対応させておく。

【００３４】シリアル番号保持情報１１ｂは、現在自分
の持っているシリアル番号とバージョンと脅威レベルを
保持しており、ウィルスパターンＶＰのマルチキャスト
パケットが来た際、これと比較して変更が必要かどうか
を判断する。

【００３５】次に検索テ−ブル１１ａに新規にウィルス
パケットＶＰを追加する場合の処理について説明する。
各ウィルスチェックルータ１０ａ〜１０ｎは、自分の保
持しているウィルスパターンＶＰのシリアル番号と、バ
ージョン番号と、をシリアル番号保持情報１１ｂに検索
テ−ブル１１ａとは別に保管している。

【００３６】マルチキャストによる新規のウィルスパタ
ーンＶＰから自分の担当分を受け取ると、ウィルスパタ
ーンＶＰ情報を記録したシリアル番号保持情報１１ｂを
もとにウィルスパターンＶＰの検索テ−ブル１１ａを更
新する。

【００３７】まず、シリアル番号とバージョンをチェッ
クして変更が必要か判断する。変更が必要と判断すると
検索テ−ブル１１ａの第１次階層、第２次階層、…と比
較していって重ならなくなる部分を探し、そこから新規
に枝を伸ばす。その後、新規追加した枝を最上位に移動
させ、登録を終了する。

【００３８】図５はウィルスパターン格納手段１１での
ウィルスパターンＶＰを新規登録する際の処理手順を示
すフローチャートである。 〔Ｓ１〕シリアル番号を自分のウィルスチェックルータ
内に持っているかどうかを判断する。持っている場合は
ステップＳ２へ、持っていない場合はステップＳ４へ行
く。 〔Ｓ２〕バージョン更新かどうかを判断する。更新なら
ばステップＳ３へ、更新でなければ終了する。 〔Ｓ３〕対象のシリアル番号の枝を削除する。 〔Ｓ４〕第１次階層と比較する。ステップＳ４の詳細は
図６で説明する。

【００３９】図６は第ｎ次階層と比較して、新たに枝を
作成する際の処理手順を示すフローチャートである。 〔Ｓ１０〕ウィルスパターンから１文字とる。 〔Ｓ１１〕既存の検索テ−ブル１１ａの第ｎ次階層と比
較する。 〔Ｓ１２〕ヒットした場合はステップＳ１３へ、そうで
なければステップＳ１４へ行く。 〔Ｓ１３〕次の第ｎ＋１次階層と比較する。 〔Ｓ１４〕枝を追加する。 〔Ｓ１５〕枝の優先順位を上にもってくる。

【００４０】以上説明したような処理手順で、新種のウ
ィルスパターンＶＰに対して対応する枝を作成していき
格納しておく。次にウィルスチェックルータ１０の構成
について説明する。図７はウィルスチェックルータ１０
の構成を示す図である。

【００４１】図に示す通常のパケットは、本発明のウィ
ルスチェック手段１２に該当するウィルスチェックフィ
ルタ１２でウィルスチェックが行われる。ここでウィル
スチェックを行うべきパケットは、パケットの中身がＴ
ＣＰかつｆｔｐ、ｈｔｔｐ、ｓｍｔｐのいずれかのパケ
ットで、かつまだチェックが完了していないパケットで
ある。

【００４２】ただし、それ以外のパケットは、負荷軽減
のためウィルスチェックフィルタ１２をウィルスチェッ
クせずに通過させる。また、オフセット値がある一定以
上のパケット、つまりフローの後ろの方のパケットも通
過させる。なお、この際ウィルスチェック済みのビット
を立てる。

【００４３】一方、マルチキャストのパケットは、シリ
アル番号保持情報１１ｂでウィルスパターンの更新処理
が行われ、検索テ−ブル１１ａに階層木構造形式で格納
される。

【００４４】そして、経路計算部１３ａで経路計算をし
た後、パケット生成送信部１３ｂは、ウィルスチェック
に引っかかったパケットに対して、後述のＩＰヘッダの
オプションのフィールドにビットを立てた感染表示パケ
ットＰｂを生成する。以降の同一のフローのパケットに
対してもビットを立てる。

【００４５】また、パケット生成送信部１３ｂは、ＩＰ
パケットの送信元に向けて警告パケットＰｗ１を生成す
る。その後、感染表示パケットＰｂ、警告パケットＰｗ
１を送信する。

【００４６】なお、警戒モードに設定して、感染元との
通信を遮断する警戒モード設定手段１４については後述
する。一方、クライアント端末２０では、ソフトウェア
によってＩＰヘッダのウィルス感染を示すビットを監視
している。ビットが立った感染表示パケットＰｂ及び警
告パケットＰｗ１を受け取ったクライアント端末２０
は，ユーザに対してウィルスに感染した旨のメッセージ
表示を行う。

【００４７】次にＩＰヘッダの構成について説明する。
図８はＩＰヘッダの構成を示す図である。バージョンは
４ビットで、インターネットヘッダの形式を示す。ＩＨ
Ｌ（Internet Header Length) は４ビットで、ヘッダ長
が３２ビットワード単位で示される。サービスタイプは
８ビットで、スループット等のサービス品質が示され
る。全長は１６ビットで、オクテット単位で図った長さ
を示す。なお、全長にはヘッダとデータとを含む。

【００４８】識別番号は１６ビットで、送信側を識別す
るために割り当てられた値でデータグラムのフラグメン
トを組み立てる際に使用される。Flagは３ビットで、フ
ラグメントの分割許可または継続等の制御を示す。フラ
グメントオフセットは１３ビットで、データグラム内で
フラグメントの占める位置を示す。

【００４９】ｔｔｌは８ビットでデータグラムがインタ
ーネットのシステムに留まっていられる時間の最小値を
示す。プロトコルは８ビットで、データグラムのデータ
部を渡すべきトランスポートレイヤプロトコルを示す。
ヘッダチェックサムは１６ビットでヘッダに対するチェ
ックサムを示す。

【００５０】始点アドレスは３２ビットで、始点のＩＰ
アドレスを示す。終点アドレスは３２ビットで終点のＩ
Ｐアドレスを示す。オプションは可変長で、ユーザが任
意に定義できる。本発明ではこのオプション領域を利用
して感染表示パケットＰｂ、、警告パケットＰｗ１及び
警戒情報パケットＰｗ２を生成する。

【００５１】次にウィルスチェック手段１２について説
明する。図９はウィルスチェックの処理手順を示すフロ
ーチャートである。 〔Ｓ２０〕すでに別のウィルスチェックルータでチェッ
ク済みかどうかを判断する。チェック済みならステップ
Ｓ３０へ、そうでない場合はステップＳ２１へ行く。 〔Ｓ２１〕オフセット値が一定以上かどうかを判断す
る。一定以上の場合はステップＳ３０へ、そうでなけれ
ばステップＳ２２へ行く。 〔Ｓ２２〕ＴＣＰパケットでかつｈｔｔｐ、ｆｔｐ、ｓ
ｍｔｐのいずれかのパケットかどうかを判断する。その
場合はステップＳ２３へ、そうでなければステップＳ３
０へ行く。 〔Ｓ２３〕ウィルスチェックを行う。なお、詳細は図１
０で説明する。 〔Ｓ２４〕感染しているかどうかを判断する。感染して
いる場合はステップＳ２８へ、そうでなければステップ
Ｓ２５へ行く。 〔Ｓ２５〕次のパケットの１バイトをとる。 〔Ｓ２６〕終了かどうかを判断する。終了の場合はステ
ップＳ２７へ、そうでなければステップＳ２３へ戻る。 〔Ｓ２７〕チェック済みのビットを立てる。 〔Ｓ２８〕ＩＰヘッダのオプションフィールドにビット
を立てる。 〔Ｓ２９〕警告パケットＰｗ１、警戒情報パケットＰｗ
２を発行する。 〔Ｓ３０〕経路計算を行う。

【００５２】次に上記のステップＳ２３のウィルスチェ
ックルーティンについて説明する。パケット内の１バイ
トをとり、まず検索テ−ブル１１ａ内の第１次階層と比
較する。同じものがあった場合は、パケットから次の１
バイトをとり、一致した枝の配下の第２次階層と比較す
る。

【００５３】もし当てはまらなくなったらパケットの次
の１バイトを取り出して最初から比較をやり直す。これ
を繰り返し最後まで当てはまる場合は、このバイトはウ
ィルスに感染したと判断しＩＰヘッダのオプションのフ
ィールドのビットを立てる。

【００５４】また、もし検索の途中でパケットが終了し
た場合は感染していないものとみなし、代わりに別の領
域を担当しているウィルスチェックルータにまかせる。
図１０はウィルスチェックルーティンの処理手順を示す
フローチャートである。 〔Ｓ４０〕パケットから１バイトを取り出す。 〔Ｓ４１〕パケット完了かどうかを判断する。パケット
完了の場合は終了し、そうでなければステップＳ４２へ
行く。 〔Ｓ４２〕ウィルスパターン第ｎ次階層と比較する。 〔Ｓ４３〕ヒットしたかどうかを判断する。ヒットした
場合はステップＳ４６へ、そうでなければステップＳ４
４へ行く。 〔Ｓ４４〕階層を１次に戻す。 〔Ｓ４５〕第１次階層をチェックする。 〔Ｓ４６〕階層をｎ＋１次にする。 〔Ｓ４７〕ウィルスチェック完了かどうかを判断する。
完了の場合はステップＳ４９へ、そうでなければステッ
プＳ４８へ行く。 〔Ｓ４８〕第ｎ＋１次階層をチェックする。 〔Ｓ４９〕ウィルス感染と判断する。

【００５５】次にウィルスチェック時に立てるビットに
ついて説明する。ウィルスチェックルータでウィルスチ
ェックを実施すると、まずＩＨＬフィールドを１増加し
てオプション領域を確保する。そして、確保されたオプ
ション領域にビットを立てる。

【００５６】図１１は感染表示パケットＰｂのＩＰパケ
ットのフォーマットを示す図である。まず、ＩＨＬフィ
ールドを１増加する。そして、オプション領域をThe Co
piedflag=0 、The option Classes=3（将来の予約用領
域）、 The option Number=1（感染表示パケットＰｂ：
ウィルスチェックをしたことを示すコード）、 Length=
5 と設定する。

【００５７】また、Option Valueとして第１ビットは第
１領域チェック未／済、第２ビットは第２領域チェック
未／済、第３ビットは第３領域チェック未／済と割り当
てる。すなわち、ウィルスチェックをしたかどうかの情
報を記す。

【００５８】そして、第４ビットはウィルス未感染／感
染を示し、未感染なら０、感染している場合は１を立て
て、感染表示パケットＰｂを表す。なお、第５ビット以
降はシリアル番号である。

【００５９】次に警告パケットＰｗ１について説明す
る。ウィルスチェックルータでウィルスを検知した際に
送信元には警告パケットＰｗ１を送信し、周囲のウィル
スチェックルータには警戒情報パケットＰｗ２をマルチ
キャストで送信する。これによってウィルスの早期発
見、拡大防止をはかる。

【００６０】警告パケットＰｗ１は、ウィルス検知時の
パケットと同様にＩＰヘッダのオプション領域のビット
を立て、以下のフォーマットで送信元に配送される。図
１２は警告パケットＰｗ１のフォーマットを示す図であ
る。まず、ＩＨＬフィールドを１増加する。そして、オ
プション領域をThe Copied flag=0 、The option Class
es=3（将来の予約用領域）、 The option Number=2（警
告パケットＰｗ１を示すコード）、 Length=3 と設定す
る。そして、図１１で説明したチェック未／済のオプシ
ョンを付加する。また、終点アドレスが感染元のアドレ
スとなる。

【００６１】次にクライアント側の処理について説明す
る。図１３はクライアント端末２０の構成を示す図であ
る。本発明の感染パケット検出手段２１はＬＡＮドライ
バ２１ａに、ファイル実行制御手段２２はＴＣＰ／ＩＰ
ドライバ２２ｂに含まれる。

【００６２】ＬＡＮドライバ２１ａは、送られてくる各
フローについて、各パケットのウィルスチェックビット
を見る。そして、ビットが立っているかどうかを判断
し、その結果をＴＣＰ／ＩＰドライバ２２ｂに通知す
る。

【００６３】ＴＣＰ／ＩＰドライ２２ｂは、ビットが立
っている旨の通知を受けると、対応するファイルを実行
不可にした後、ファイルを削除する旨のメッセージ２０
−１を表示する。

【００６４】次にクライアント端末２０でのビット監視
の流れについて説明する。図１４、図１５はクライアン
ト端末２０のビット監視の処理手順を示すフローチャー
トである。 〔Ｓ５０〕パケットを読み込む。 〔Ｓ５１〕新規のフローかどうかを判断する。新規のフ
ローの場合はステップＳ５２へ、そうでなければステッ
プＳ５３へ行く。 〔Ｓ５２〕フロー情報を追加する。 〔Ｓ５３〕終了フローかどうかを判断する。終了フロー
の場合はステップＳ５４へ、そうでなければステップＳ
５５へ行く。 〔Ｓ５４〕フロー情報から該当フローを削除する。 〔Ｓ５５〕ビットをチェックする。 〔Ｓ５６〕ヒットしたかどうかを判断する。ヒットした
場合はステップＳ５８へ、そうでなければステップＳ５
７へ行く。 〔Ｓ５７〕ＴＣＰ／ＩＰドライバ２２ｂに処理を渡す。 〔Ｓ５８〕警告パケットＰｗ１かどうかを判断する。警
告パケットの場合はステップＳ５９へ、そうでなければ
ステップＳ６０へ行く。 〔Ｓ５９〕警告の旨のメッセージを表示する。 〔Ｓ６０〕ファイルの実行権をなくす。 〔Ｓ６１〕警告メッセージ２０−１の表示を行う。

【００６５】次に警戒情報パケットＰｗ２について説明
する。ウィルスチェックルータでウィルス検知された
際、各ウィルスチェックルータにはマルチキャストで警
戒情報パケットＰｗ２を出す。警戒情報パケットＰｗ２
はウィルスパケットのシリアル番号と送信元ＩＰアドレ
スを情報として持ち、マルチキャストで配布される。

【００６６】警戒情報パケットＰｗ２を受け取った各ウ
ィルスチェックルータは受け取ったシリアル番号のウィ
ルスパターンＶＰの検索の優先順位を上げる。図１６は
警戒情報パケットＰｗ２のフォーマットを示す図であ
る。警戒情報パケットＰｗ２は、ヘッダＰｗ２−１にEt
her HedderとIP Hedder(Multicast)とを持つ。

【００６７】そして、警戒情報を示すコードＰｗ２−２
と、ウィルスの種類を示すシリアル番号Ｐｗ２−３と、
そのバージョン（改版番号）Ｐｗ２−４を持つ。さら
に、ウィルスの危険度に応じた脅威レベルＰｗ２−５
と、ウィルス感染元のＩＰアドレスＰｗ２−６をつけ
る。

【００６８】次に警戒情報パケットＰｗ２を受け取った
際の検索順番の処理手順について説明する。図１７は警
戒情報パケットＰｗ２を受け取った際の検索順番の処理
手順を示す図である。 〔Ｓ７０〕警戒情報パケットＰｗ２からシリアル番号を
取得する。 〔Ｓ７１〕第１次階層、第２次階層、…第ｎ次階層、の
検索順位を最上位に上げる。

【００６９】次に感染元との通信遮断を行うための警戒
モード設定手段１４について説明する。脅威レベルがあ
る一定以上の場合、拡大を防止するためウィルスチェッ
クルータ側でホストとの通信を一定時間遮断させる。

【００７０】警戒情報パケットＰｗ２の中の脅威レベル
を見て、ある一定以上の場合はＩＰアドレスをテ−ブル
に保存し、警戒モードに移行する。警戒モードでは通常
の処理の前にくるパケットをチェックし、テ−ブルにあ
るアドレスから来たパケットと、テ−ブルにあるアドレ
スに向かうパケットと、を一定時間だけすべて廃棄す
る。

【００７１】廃棄させる時間は、再送要求がタイムアウ
トする程度の時間とし、テ−ブルに保存された時にカウ
ンタが一緒に設定される。もしこの時間内にパケットが
来なかったらテ−ブルから削除し、警戒モードを解除す
る。逆にパケットが来たら時間（カウンタのカウント
値）を延長させる。

【００７２】図１８は警戒モード設定手段１４が行う警
戒モードの処理手順を示すフローチャートである。 〔Ｓ８０〕脅威レベルは一定以上かどうかを判断する。
一定以上の場合は、ステップＳ８１へ、そうでなければ
ステップＳ８９へ行く。 〔Ｓ８１〕警戒ＩＰアドレスを保持する警戒ＩＰアドレ
ステ−ブルにＩＰアドレスと、警戒モードにしておく時
間をカウントするカウンタ値と、を設定する。 〔Ｓ８２〕パケットを読み込む。 〔Ｓ８３〕始点／終点のアドレスがテ−ブルと一致する
かどうかを判断する。一致する場合はステップＳ８４
へ、そうでなければステップＳ８６へ行く。 〔Ｓ８４〕パケットを廃棄する。 〔Ｓ８５〕カウンタ値を延長する。すなわち、警戒モー
ドにする時間をさらに長くする。 〔Ｓ８６〕カウンタ値を減少する。すなわち、警戒モー
ドにする時間を短くする。 〔Ｓ８７〕カウンタを終了するかどうかを判断する。終
了の場合はステップＳ８８へ、終了しない場合はステッ
プＳ８２へ戻る。 〔Ｓ８８〕警戒ＩＰアドレステ−ブルからＩＰアドレス
と、カウンタ値を削除する。 〔Ｓ８９〕通常モードにする。

【００７３】次にウィルスチェックルータの協調による
負荷分散及びチェック精度向上について説明する。ウィ
ルスのバイナリデータは小さく、パケットをまたがって
バイナリが分割してしまう場合がある。したがって、各
ウィルスチェックルータ毎に担当するウィルスパターン
ＶＰを異なるように分担させ保持させる。

【００７４】これにより、もしある領域で仮りにパケッ
トの途中でウィルスのバイナリが切れてしまった場合で
も、別なパケットでは別の領域のチェックにかかるよう
になる。

【００７５】ウィルスチェックルータに対するウィルス
パターンの各分担は、手動でも自動でも設定可能とす
る。ただし、手動で設定する場合は、パケットは受信先
に到着するまでにはすべての領域がチェックされるよう
な構成、つまりそれぞれ分担しているウィルスチェック
ルータを最低１回ずつは通るような構成にする必要があ
る。

【００７６】次に自動で設定する場合について説明す
る。図１９は担当分担領域要求パケットのフォーマット
を示す図である。図に示すフォーマットを用いて自動設
定する。

【００７７】まず、新規のウィルスチェックルータは担
当分担領域要求パケット１００を自分が配布可能な全て
のウィルスチェックルータに配布する。この場合ｔｔｌ
領域は小さく設定して，余計な負荷は極力かけないよう
にしておく必要がある。

【００７８】また、自分が持つルーティング情報から自
分の接続している全ウィルスチェックルータそれぞれに
対して、終点アドレスを挿入したパケットを発行する。
オプション領域は、The Copied flag=0 、The option C
lasses=3（将来の予約用領域）、 The option Number=3
（担当分担領域要求パケット１００を示すコード）、 L
ength=3 、「空き」と設定する。

【００７９】この担当分担領域要求パケット１００を受
け取った各ウィルスチェックルータは、送信元に対して
自分の担当領域を以下のような担当領域要求応答パケッ
ト１０１にのせて返送する。図２０は担当分担領域要求
応答パケット１０１のフォーマットを示す図である。

【００８０】ｔｔｌがまだ残っていれば、自分が受け取
ったウィルスチェックルータ以外の配送できる範囲の全
てのウィルスチェックルータに対して同報する。担当分
担領域要求応答パケット１０１のオプション領域は、Th
e Copied flag=0 、The option Classes=3（将来の予約
用領域）、 The option Number=4（担当分担領域要求応
答パケット１０１を示すコード）、 Length=3 、「担当
領域」と設定する。

【００８１】また、送信側のウィルスチェックルータ
は、返ってきた担当分担領域要求応答パケット１０１か
ら各領域を担当しているルータの台数を集計して、最も
担当しているルータの少ない領域を自分の担当領域とす
る。

【００８２】以上説明したように、本発明のウィルスチ
ェックネットワーク１は、ウィルスチェックルータにウ
ィルスチェック機能を搭載させることにより、ネットワ
ーク側でウィルスを検知させることができ、ウィルス侵
入防止をより多くのクライアントに対して、またより確
実に行うことができる。

【００８３】また、常に最新のウィルスパターン情報を
ウィルスチェックルータ間でマルチキャストにより交換
通知し、またその更新方法もマルチキャストのパケット
を発行するだけであるので、新たなウィルスへの対応が
簡単にかつ迅速に行うことができる。またクライアント
側で更新をかける必要がない。

【００８４】さらに、検知したウィルスに対する警告を
各ウィルスチェックルータが同時に行うことで早期発
見、拡大防止を図る。そして、送信元に対しても警告パ
ケットを送ることでウィルス感染を通知することができ
る。

【００８５】また、各ウィルスチェックルータでウィル
スチェック領域を分担することで、各々ウィルスチェッ
クルータにかかる負荷を分散することができ、フレーム
間にまたがってウィルスが存在する場合においてもいず
れかを担当しているウィルスチェックルータでチェック
することができ、ウィルスチェックの精度が向上する。

【００８６】さらに、ウィルスが検知されたパケットを
落とすことはせずに、ＩＰヘッダにビットを立てて受信
側に通知することで再送などによる余計なトラヒックの
増加を防ぐことができる。そして、ウィルスの脅威レベ
ルに応じて通信を遮断させるため、感染の拡大を防止さ
せることができる。

【００８７】

【発明の効果】以上説明したように、本発明のウィルス
チェックネットワークは、複数のウィルスチェック装置
を設けて、ネットワーク側でウィルスチェックを行う構
成とした。これにより、ネットワーク側でウィルスを未
然に防ぐことができるので、ウィルスの感染及び拡大を
防止でき、ウィルスチェック対策効率の向上を図ること
が可能になる。

【図面の簡単な説明】

【図１】本発明のウィルスチェックネットワークの原理
図である。

【図２】ウィルスチェックルータを配置したネットワー
クの概要を示す図である。

【図３】ウィルスパターンＶＰのフォーマットを示す図
である。

【図４】ウィルスパターンＶＰ格納手段の格納形式を示
す図である。

【図５】ウィルスパターン格納手段でのウィルスパター
ンＶＰを新規登録する際の処理手順を示すフローチャー
トである。

【図６】第ｎ次階層と比較して、新たに枝を作成する際
の処理手順を示すフローチャートである。

【図７】ウィルスチェックルータの構成を示す図であ
る。

【図８】ＩＰヘッダの構成を示す図である。

【図９】ウィルスチェックの処理手順を示すフローチャ
ートである。

【図１０】ウィルスチェックルーティンの処理手順を示
すフローチャートである。

【図１１】感染表示パケットのＩＰパケットのフォーマ
ットを示す図である。

【図１２】警告パケットのフォーマットを示す図であ
る。

【図１３】クライアント端末の構成を示す図である。

【図１４】クライアント端末のビット監視の処理手順を
示すフローチャートである。

【図１５】クライアント端末のビット監視の処理手順を
示すフローチャートである。

【図１６】警戒情報パケットのフォーマットを示す図で
ある。

【図１７】警戒情報パケットを受け取った際の検索順番
の処理手順を示す図である。

【図１８】警戒モードの処理手順を示すフローチャート
である。

【図１９】担当分担領域要求パケットのフォーマットを
示す図である。

【図２０】担当分担領域要求応答パケットのフォーマッ
トを示す図である。

【符号の説明】

１ ウィルスチェックネットワーク １０ａ〜１０ｎ ウィルスチェック装置 １１ ウィルスパターン格納手段 １２ ウィルスチェック手段 １３ パケット送信手段 ２０ａ〜２０ｍ クライアント端末 ２１ 感染パケット検出手段 ２２ ファイル実行制御手段 ３０ ウィルス情報管理局 ３１ ウィルスパターン情報配布手段 ３２ ウィルスパターン情報管理手段 Ｐａ 感染パケット Ｐｂ 感染表示パケット

Claims (12)

【特許請求の範囲】
1. 【請求項１】 ウィルスチェックを行って、ウィルス侵
   入を防止するウィルスチェックネットワークにおいて、 ウィルスパターンを格納するウィルスパターン格納手段
   と、受信したパケットを前記ウィルスパターンにもとづ
   いて、ウィルスに感染している感染パケットか否かの前
   記ウィルスチェックをネットワーク側で行うウィルスチ
   ェック手段と、前記感染パケットを検知した場合は、感
   染を示すパケット内のビットを立てて感染表示パケット
   として送信するパケット送信手段と、から構成される複
   数のウィルスチェック装置と、 前記ビットにもとづいて、前記感染パケットを検出する
   感染パケット検出手段と、前記感染パケットに対応する
   ファイルを実行不可にするファイル実行制御手段と、か
   ら構成されるクライアント端末と、 ウィルスパターン情報をマルチキャストで前記ウィルス
   チェック装置に配布するウィルスパターン情報配布手段
   と、前記ウィルスパターン情報を一元管理するウィルス
   パターン情報管理手段と、から構成されるウィルス情報
   管理局と、 を有することを特徴とするウィルスチェックネットワー
   ク。
2. 【請求項２】 前記ウィルスチェック手段は、前記パケ
   ットのヘッダを見て前記ウィルスチェックすべき前記パ
   ケットを選定することを特徴とする請求項１記載のウィ
   ルスチェックネットワーク。
3. 【請求項３】 前記ウィルスチェック装置は、ルータに
   配置されることを特徴とする請求項１記載のウィルスチ
   ェックネットワーク。
4. 【請求項４】 前記ウィルスチェック装置は、前記ウィ
   ルスパターン情報を前記マルチキャストで互いに通知す
   ることを特徴とする請求項１記載のウィルスチェックネ
   ットワーク。
5. 【請求項５】 前記ウィルスチェック装置は、前記ウィ
   ルスの脅威レベルに応じて警戒モードを設定し、ホスト
   との通信を一定時間遮断させる警戒モード設定手段をさ
   らに含むことを特徴とする請求項１記載のウィルスチェ
   ックネットワーク。
6. 【請求項６】 前記ウィルスチェック装置は、前記ウィ
   ルスチェックを行う部位を複数設け、前記ウィルスチェ
   ック装置毎に担当するウィルスチェック領域を分担する
   ことを特徴とする請求項１記載のウィルスチェックネッ
   トワーク。
7. 【請求項７】 前記ウィルスチェック装置は、ネットワ
   ーク上新規に置かれた場合は、他の前記ウィルスチェッ
   ク装置から前記ウィルスチェックの担当領域情報を収集
   することを特徴とする請求項６記載のウィルスチェック
   ネットワーク。
8. 【請求項８】 前記パケット送信手段は、前記感染表示
   パケットの送信と共に、前記感染パケットの送信元に警
   告パケットを送信し、かつ他の前記ウィルスチェック装
   置に警戒すべき前記感染パケットの情報が記された警戒
   情報パケットをマルチキャストで配布することを特徴と
   する請求項１記載のウィルスチェックネットワーク。
9. 【請求項９】 前記ウィルスチェック手段は、前記警戒
   情報パケットに記された前記感染パケットの前記ウィル
   スパターンの優先順位を上げて、前記ウィルスチェック
   を行うことを特徴とする請求項８記載のウィルスチェッ
   クネットワーク。
10. 【請求項１０】 ウィルスチェックを行って、ウィルス
    侵入を防止するウィルスチェック装置において、 ウィルスパターンを格納するウィルスパターン格納手段
    と、 受信したパケットを前記ウィルスパターンにもとづい
    て、ウィルスに感染している感染パケットか否かの前記
    ウィルスチェックをネットワーク側で行うウィルスチェ
    ック手段と、 前記感染パケットの場合は、感染を示すパケット内のビ
    ットを立てて感染表示パケットとして送信するパケット
    送信手段と、 を有することを特徴するウィルスチェック装置。
11. 【請求項１１】 ウィルスチェックを受けたパケットを
    受信するクライアント端末において、 ウィルスに感染されていることを示すビットが立ってい
    るパケットを感染パケットとして検出する感染パケット
    検出手段と、 前記感染パケットを検出した場合は、対応するファイル
    を実行不可にするファイル実行制御手段と、 を有することを特徴するクライアント端末。
12. 【請求項１２】 ネットワーク内のウィルス情報を管理
    するウィルス情報管理局において、 ウィルスパターン情報を前記ネットワーク内に配置され
    たウィルスチェクを行うウィルスチェック装置にマルチ
    キャストで配布するウィルスパターン情報配布手段と、 前記ウィルスパターン情報を一元管理するウィルスパタ
    ーン情報管理手段と、 を有することを特徴するウィルス情報管理局。