ウィルス被害範囲予測システム
【課題】
コンピュータウィルスが感染した場合、その被害範囲を予測するウィルス被害範囲予測システムを提供することを目的とする。
【解決手段】
コンピュータウィルスの感染による被害範囲を予測するウィルス被害範囲予測システムであって、ウィルス被害範囲予測システムは、クライアント端末の操作ログ情報を記憶する操作ログ情報記憶部と、クライアント端末にてウィルスを検出したことを示すウィルス検出情報を取得するウィルス検出情報取得部と、ウィルスを検出したクライアント端末からほかのクライアント端末への出力操作を、操作ログ情報または所定のサーバのログ情報に基づいて特定することで、ウィルス感染の被害範囲予測を行う被害範囲予測処理部と、を有するウィルス被害範囲予測システムである。
コンピュータウィルスが感染した場合、その被害範囲を予測するウィルス被害範囲予測システムを提供することを目的とする。
【解決手段】
コンピュータウィルスの感染による被害範囲を予測するウィルス被害範囲予測システムであって、ウィルス被害範囲予測システムは、クライアント端末の操作ログ情報を記憶する操作ログ情報記憶部と、クライアント端末にてウィルスを検出したことを示すウィルス検出情報を取得するウィルス検出情報取得部と、ウィルスを検出したクライアント端末からほかのクライアント端末への出力操作を、操作ログ情報または所定のサーバのログ情報に基づいて特定することで、ウィルス感染の被害範囲予測を行う被害範囲予測処理部と、を有するウィルス被害範囲予測システムである。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、企業などの組織で使用しているコンピュータ端末にコンピュータウィルスが感染した場合、その被害範囲を予測するウィルス被害範囲予測システムに関する。更には、感染していると予測されるコンピュータ端末を、ネットワークから切り離すウィルス被害範囲予測システムに関する。
【背景技術】
【０００２】
企業などの組織ではその業務遂行のために多数のコンピュータ端末を使用している。しかし何らかの理由により、一部のコンピュータ端末がコンピュータウィルス（本明細書では「ウィルス」と呼ぶ。またウィルスとは、「自らまたはほかのコンピュータ端末に対して何らかの被害をもたらす不正なプログラムまたはプログラム断片（ほかのアプリケーションプログラム上で起動するプログラムの一部）」であればよく、電子メールやウェブブラウザなどを介して感染する、いわゆるコンピュータウィルスのほかにも、ワーム、ボット、ルートキットなど様々なものが含まれる。本明細書ではそれらを総称して「ウィルス」と称する）に感染してしまう場合もある。このような場合、システム管理者は、感染したコンピュータ端末からほかのコンピュータ端末へのウィルス感染を防止するために、ウィルス感染を検出したコンピュータ端末を直ちにネットワークから遮断するとともに、その感染経路を特定し、新たな感染を防止することが求められる。
【０００３】
下記特許文献１にウィルスの感染経路を特定するシステムの一例が記載されている。また特許文献２にはウィルスや不正アクセスがあった場合に、それを通知するシステムの一例が記載されている。
【０００４】
【特許文献１】特開２００２−２８７９９１号公報
【特許文献２】特開２００７−２０６７５０号公報
【発明の開示】
【発明が解決しようとする課題】
【０００５】
上記特許文献１の発明を用いた場合、どのような経路でコンピュータがウィルスに感染したか、その経路を特定することが出来る点で有益である。そしてシステム管理者は、特定した感染経路をたどることによって、ほかに感染している可能性のあるコンピュータ端末が存在しないか、を特定する作業を行う。
【０００６】
つまり感染経路を特定するような従来のシステムの場合、コンピュータ端末がウィルスに感染した経路を特定できたとしても、感染している可能性のあるほかのコンピュータ端末、つまりウィルス感染の被害範囲の予測を行うことは出来ない。そのため上述のように、システム管理者が、特定した感染経路をたどることによって、ほかに感染している可能性のあるコンピュータ端末が存在するかを、特定する必要がある。
【０００７】
ところがウィルスの場合、感染したコンピュータ端末が利用したファイルなどを、ほかのコンピュータ端末が利用することによって、ほかのコンピュータ端末へ感染し、被害が拡大することも多い。従って、ウィルス感染の経路を特定したのちに、システム管理者がその経路をたどることで、ほかに感染しているコンピュータ端末を特定し、そのコンピュータ端末のネットワーク接続を遮断する、といったプロセスを経ていたのでは時間を要してしまい、ほかのコンピュータ端末へ被害が拡大するおそれがある。
【０００８】
そこで被害拡大防止のために、上述の特許文献２のように、ウィルス感染や不正アクセスなどがあった場合、システム管理者が利用する所定の電話番号などにＦＡＸで通知するシステムがある。しかしこのシステムを用いたとしても、被害の可能性のある範囲を予測することは出来ない。そのため結局は従来と同様に、システム管理者が、逐次、ほかに感染している可能性のあるコンピュータ端末が存在するかを、特定する必要がある。
【０００９】
また被害拡大防止のためには、ウィルス感染を検出した段階で、ネットワークに接続しているほかのすべてのコンピュータ端末のネットワーク接続を遮断することで、被害拡大を防止することが出来るが、全く関係のないコンピュータ端末までネットワーク接続が遮断されてしまうと、日常業務に著しい支障を来してしまう。
【００１０】
そのため、一台のコンピュータ端末でウィルス感染を検出した場合、速やかにその感染範囲を適切に予測することが出来るシステムが望まれている。そして、予測した範囲のコンピュータ端末のネットワーク接続を遮断することで、被害拡大を防止するシステムが望まれている。
【課題を解決するための手段】
【００１１】
本発明者は上記課題に鑑み、本発明のウィルス被害範囲予測システムを発明した。
【００１２】
第１の発明は、コンピュータウィルスの感染による被害範囲を予測するウィルス被害範囲予測システムであって、前記ウィルス被害範囲予測システムは、クライアント端末の操作ログ情報を記憶する操作ログ情報記憶部と、クライアント端末にてウィルスを検出したことを示すウィルス検出情報を取得するウィルス検出情報取得部と、前記ウィルスを検出したクライアント端末からほかのクライアント端末への出力操作を、前記操作ログ情報または所定のサーバのログ情報に基づいて特定することで、ウィルス感染の被害範囲予測を行う被害範囲予測処理部と、を有するウィルス被害範囲予測システムである。
【００１３】
ウィルスに感染する可能性の一つとしては、ウィルス感染したクライアント端末が出力したファイルなどを、ほかのクライアント端末が受け取ることによる場合がある。そのため本発明のように構成することで、ウィルス感染の可能性がある被害範囲を予測することが可能となる。
【００１４】
また上述の発明は、以下の発明のように構成しても良い。すなわち、コンピュータウィルスの感染による被害範囲を予測するウィルス被害範囲予測システムであって、前記ウィルス被害範囲予測システムは、クライアント端末の操作ログ情報を記憶する操作ログ情報記憶部と、クライアント端末にてウィルスを検出したことを示すウィルス検出情報を取得するウィルス検出情報取得部と、前記ウィルスを検出したクライアント端末の出力操作による出力を受け取った、ほかのクライアント端末を前記操作ログ情報または所定のサーバのログ情報に基づいて特定することで、ウィルス感染の被害範囲予測を行う被害範囲予測処理部と、を有するウィルス被害範囲予測システムのように構成しても良い。
【００１５】
上述の各発明において、前記被害範囲予測処理部は、前記ウィルス検出情報を取得すると、そのウィルス検出情報のクライアント端末識別情報と、所定の出力操作を示す操作内容とに基づいて、そのクライアント端末における出力操作を操作内容として含む操作ログ情報を特定する出力操作特定部と、前記特定した操作ログ情報における出力操作の出力を受け取ったクライアント端末のクライアント端末識別情報を、前記操作ログ情報記憶部に記憶する操作ログ情報または所定のサーバにおけるログ情報により特定する端末特定部と、を有するウィルス被害範囲予測システムのように構成することも出来る。
【００１６】
被害範囲として予測されるクライアント端末の特定方法には様々な方法があるが、その一つとして本発明のような処理がある。
【００１７】
ウィルスに感染していると予測したクライアント端末については、その被害の拡大を防止するためにも、ネットワーク接続を遮断することが好ましい。そこで以下の発明のように構成することも出来る。すなわち、前記ウィルス被害範囲予測システムは、更に、前記ウィルス感染の被害が予測されるとして特定されたクライアント端末について、ネットワーク接続の遮断処理を実行するネットワーク接続遮断処理部、を有するウィルス被害範囲予測システムのように構成することも出来る。
【００１８】
本発明のプログラムをコンピュータ端末に読み込ませて実行することで、上述のシステムが構成できる。すなわち、クライアント端末の操作ログ情報を記憶装置に記憶するコンピュータ端末を、クライアント端末からウィルスを検出したことを示すウィルス検出情報を取得するウィルス検出情報取得部、前記ウィルスを検出したクライアント端末からほかのクライアント端末への出力操作を、前記操作ログ情報または所定のサーバのログ情報に基づいて特定することで、ウィルス感染の被害範囲予測を行う被害範囲予測処理部、として機能させるウィルス被害範囲予測プログラムのように構成しても良い。
【発明の効果】
【００１９】
本発明のウィルス被害範囲予測システムを用いることによって、従来のように単に感染経路を特定するのではなく、ウィルスに感染していそうなほかのコンピュータ端末が存在していないかを特定し、つまり被害範囲を予測し、その範囲内のコンピュータ端末のネットワーク接続を遮断することが可能となる。これによって、とりあえずの被害拡大を防止することが出来るとともに、ウィルスに感染していないコンピュータ端末のネットワーク接続はそのまま維持することが出来る。そのため日常業務にも著しい支障は来さない。
【発明を実施するための最良の形態】
【００２０】
本発明のウィルス被害範囲予測システム１の全体の概念図を図１に示す。またウィルス被害範囲予測システム１のシステム構成の一例の概念図を図２に示す。
【００２１】
本発明のウィルス被害範囲予測システム１は、各クライアント端末４を監視する管理者が利用するコンピュータ端末またはサーバ（以下、「管理サーバ２」という）において、所定のプログラムやモジュールが処理されることにより実現される。管理サーバ２は、複数のクライアント端末４においてどのようなファイルやプログラムが実行されているか、を記録、監視することが好ましい。そのため、各クライアント端末４には、当該クライアント端末４において実行されているプログラム名、ファイル名などの情報を定期的に、あるいは新たなプログラムやファイルが実行された場合または終了した場合などの所定のタイミングで、クライアント端末４から管理サーバ２にそのプログラム名やファイル名の情報を送信する機能を備えていることが好ましい。プログラム名やファイル名の情報を送信する機能は、クライアント端末４の演算装置２０で実行しているプログラム名やファイル名を抽出したり、メモリ内のプログラム名やファイル名を抽出して送信すればよい。つまりいわゆる操作ログ情報をクライアント端末４から管理サーバ２に送信すればよい。
【００２２】
またクライアント端末４には、定期的にまたは所定のタイミング（たとえば電子メールを受信した場合やウェブブラウザでウェブサイトを閲覧した場合、などネットワーク経由で何らかのデータを受信した場合、ＵＳＢメモリなどの記憶装置２１をクライアント端末４に接続した場合など）において、ウィルスに感染していないかをウィルススキャンするウィルス検出機能を備えている。このウィルス検出機能は公知の様々な製品を適用することが出来る。
【００２３】
なお本明細書において「クライアント端末」との記載には、ユーザが操作するコンピュータ端末のほか、「ファイルサーバ」なども含まれる。
【００２４】
管理者端末３は、管理サーバ２を利用するシステム管理者が利用するコンピュータ端末であって、管理サーバ２からの所定の通知などを受信する。また管理サーバ２に対して何らかの制御指示を送信することを可能にしてもよい。なお管理者端末３は管理サーバ２とは一体的に設けられていても良いし、別のコンピュータ端末として設けられていても良い。
【００２５】
管理サーバ２、クライアント端末４、管理者端末３は、プログラムの演算処理を実行するＣＰＵなどの演算装置２０と、情報を記憶するＲＡＭやハードディスクなどの記憶装置２１と、演算装置２０の処理結果や記憶装置２１に記憶する情報をインターネットやＬＡＮなどのネットワークを介して送受信する通信装置２４とを有している。またクライアント端末４、管理者端末３では、更に、ディスプレイなどの表示装置２２を有している。コンピュータ上で実現する各機能（各手段）は、その処理を実行する手段（プログラムやモジュールなど）が演算装置２０に読み込まれることでその処理が実行される。各機能は、記憶装置２１に記憶した情報をその処理において使用する場合には、該当する情報を当該記憶装置２１から読み出し、読み出した情報を適宜、演算装置２０における処理に用いる。当該コンピュータには、キーボードやマウスやテンキーなどの入力装置２３を有していても良い。図３に管理サーバ２のハードウェア構成の一例を模式的に示す。また、管理サーバ２は、複数のコンピュータ端末またはサーバに、その機能が分散配置されていても良い。
【００２６】
本発明における各手段は、その機能が論理的に区別されているのみであって、物理上あるいは事実上は同一の領域を為していても良い。
【００２７】
ウィルス被害範囲予測システム１は、操作ログ情報取得部５と操作ログ情報記憶部６とウィルス検出情報取得部７と被害範囲予測処理部８とネットワーク接続遮断処理部９とを有する。
【００２８】
操作ログ情報取得部５は、各クライアント端末４から定期的にまたは不定期に、当該クライアント端末４における操作ログ情報を取得する。取得した操作ログ情報は、後述する操作ログ情報記憶部６に、その日時、どのクライアント端末４における操作ログ情報であるかを識別する情報と共に、記憶させる。なお操作ログ情報としては、各クライアント端末４における操作内容やそのクライアント端末４における処理内容などを示す情報であればよく、例えば「ファイルコピー」、「ファイル貼り付け」、「ファイル選択」、「ファイルアクセス」など、当該クライアント端末４の操作者の操作を示す情報が該当する。また、管理サーバ２が各クライアント端末４から操作ログ情報を取得する際にはネットワークを介して取得しても良いし、操作ログ情報がクライアント端末４においてＤＶＤなどの記録媒体に記録され、その記録媒体が管理サーバ２に読み取られ、そこから操作ログ情報を読み込むことによって取得しても良い。
【００２９】
操作ログ情報記憶部６は、操作ログ情報取得部５で各クライアント端末４から取得した操作ログ情報を記憶する。操作ログ情報には、クライアント端末４を識別する情報、操作内容を示す情報、操作内容の操作対象となったファイルやアプリケーションの名称、当該ファイルやアプリケーションの所在位置を示す情報、日時または日時を数値化した情報などが含まれている。図６に操作ログ情報の一例を示す。なお操作ログ情報は、各クライアント端末４またはそのユーザ（ログイン名など）ごとに記憶することが好ましい。なお操作内容を示す情報を日時などに対応づける場合には、クライアント端末４で行っても良いし、操作ログ情報を管理サーバ２で取得した際に行っても良いし、或いは操作ログ情報記憶部６で記憶した際に行っても良い。また図７に操作ログ情報記憶部６の概念図の一例を模式的に示す。
【００３０】
ウィルス検出情報取得部７は、クライアント端末４でウィルスを検出した場合に、そのウィルス検出情報を取得する。ウィルス検出情報としては、ウィルスが検出されたことの通知とどのクライアント端末４で検出したかを識別するクライアント端末識別情報などが含まれる。
【００３１】
被害範囲予測処理部８は、ウィルス検出情報取得部７でウィルス検出情報を取得すると、ウィルス感染したクライアント端末４以外のほかのクライアント端末４で感染している可能性のあるクライアント端末４を予測する、つまりウィルス感染の被害範囲の予測を行う。被害範囲予測処理部８は、出力操作特定部８１と端末特定部８２とを有する。
【００３２】
出力操作特定部８１は、ウィルス感染したクライアント端末４で行われた出力操作を操作内容として含む操作ログ情報を、操作ログ情報記憶部６に記憶する操作ログ情報から特定する。
【００３３】
ウィルス検出情報取得部７で取得したウィルス検出情報に基づいて、ウィルス感染したクライアント端末４の識別情報を取得しているので、そのクライアント端末４の識別情報と、あらかじめ出力操作として定められている操作内容、例えば「ファイル貼り付け」（ＵＳＢメモリへのファイルの書き込み）、「電子メール送信」、「ファイル配信」、「ファイルアップロード」などを含む操作ログ情報を、操作ログ情報記憶部６に記憶する操作ログ情報から検索して特定する。この際に、所定時間前（例えば７２時間前）までの操作ログ情報から検索するなど、検索範囲を設定しても良い。
【００３４】
端末特定部８２は、出力操作特定部８１で特定した出力操作を操作内容として含む操作ログ情報に基づいて、その出力操作による出力を受け取ったクライアント端末４を、操作ログ情報記憶部６に記憶する操作ログ情報、または所定のサーバにおけるログ情報に基づいて特定する。ここで特定したクライアント端末４が、ウィルス感染の被害範囲として予測されるクライアント端末４になる。なお出力操作による出力を受け取ったクライアント端末４の特定処理は、あらかじめ出力操作に対応づけられて、どのような特定処理を行うか記憶されている。例えば出力操作がＵＳＢメモリなどの外部記憶装置への「ファイル貼り付け」である場合には、そのＵＳＢメモリにおける所定操作、「電子メール送信」である場合には、電子メールの送信先のクライアント端末４、「ファイル配信」、「ファイルアップロード」である場合には、ファイルが配信・アップロードされたクライアント端末４、といったように特定処理が、出力操作ごとに対応づけて記憶されている。
【００３５】
被害範囲予測処理部８における処理を説明する。
【００３６】
例えば操作ログ情報記憶部６に記憶する操作ログ情報が図７であり、クライアント端末４「ＡＢＣ１２３４５６７８」からウィルス検出情報をウィルス検出情報取得部７で取得した場合、出力操作特定部８１は、識別情報「ＡＢＣ１２３４５６７８」を含んでおり、操作内容があらかじめ定められた出力操作である操作ログ情報を、所定時間前（たとえば７２時間前）までの操作ログ情報から特定する。例えば出力操作として「ファイル貼り付け」が定められている場合、図７では、「ＵＳＢメモリ（ＸＹＺ１２３）」へのファイル「ＡＡＡＡＡＡＡ」の「ファイル貼り付け操作」が該当する。つまり、「ＵＳＢメモリ（ＸＹＺ１２３）」へのファイル「ＡＡＡＡＡＡＡ」の出力操作が行われていると特定できる。これを模式的に示すのが図８である。なお上述の「ＸＹＺ１２３」はＵＳＢメモリを識別する情報である。
【００３７】
このようにして出力操作を特定すると、その操作内容に応じた出力について、その出力を受け取ったクライアント端末４を、操作ログ情報記憶部６に記憶する操作ログ情報から、端末特定部８２が特定する。例えば出力操作の操作内容が「ファイル貼り付け」であり、保存場所がＵＳＢメモリなどの外部記憶装置の場合には、当該外部記憶装置を利用したクライアント端末４がその出力を受け取ったものとなる。また操作内容が「電子メール送信」の場合には、電子メールの送信先となる電子メールアドレスに対応づけられたユーザが利用するクライアント端末４（電子メールアドレスに、ユーザ識別情報またはクライアント端末識別情報が対応づけて記憶されている記憶部を備えており、それを参照する）がその出力を受け取ったものとなる。さらには「ファイル配信」、「ファイルアップロード」の操作内容の場合には、配信先またはアップロード先のクライアント端末４がその出力を受け取ったものとなる。
【００３８】
図８の場合には、出力操作の操作内容がＵＳＢメモリへの「ファイル貼り付け」であることから、出力操作特定部８１で特定した操作ログ情報におけるＵＳＢメモリを利用したクライアント端末４を、上記出力操作が行われた以降の操作ログ情報に基づいて特定する。つまり、保存場所が「ＵＳＢメモリ（ＸＹＺ１２３）」に記憶されているファイルにアクセスした操作ログ情報（操作内容が「ファイルアクセス」である操作ログ情報）、当該ＵＳＢメモリの挿入を検出した操作ログ情報（操作内容が「ＵＳＢメモリ挿入」を示す操作ログ情報）、など、ＵＳＢメモリを利用したことを示す操作内容を含む操作ログ情報を特定し、その操作ログ情報におけるクライアント端末識別情報を特定する。従って、「ＧＨＩ４５６９８７３３」、「ＳＤＦ１２３３３２１１」、「ＹＵＩ４５６５４４４」のクライアント端末識別情報であるクライアント端末４が被害範囲として予測されるクライアント端末４となる。
【００３９】
なお出力操作の操作内容が「電子メール送信」の場合、送信先の電子メールアドレスは、操作ログ情報に含まれていても良いし、クライアント端末４から別途、送信先の電子メールアドレスを取得しても良い。さらには、「電子メール送信」の操作内容を含む操作ログ情報における日時情報に基づいて、電子メールサーバに、当該日時に送信された電子メールの送信先を問い合わせることによって、送信先の電子メールアドレスを取得するように構成しても良い。この場合、電子メールサーバでは、電子メールサーバが送受信した電子メールのログ情報を記録しており、それを用いて上記問い合わせに対する結果を送信する。
【００４０】
また上記と同様に、出力操作の操作内容が「ファイル配信」、「ファイルアップロード」の場合にも、配信先、アップロード先のクライアント端末識別情報は、操作ログ情報に含まれていても良いし、クライアント端末４から別途、取得しても良い。またさらには、「ファイル配信」、「ファイルアップロード」の操作内容を含む操作ログ情報における日時情報に基づいて、ファイル配信やファイルアップロードを行ったサーバに、当該日時に配信、アップロードされたファイルの配信先、アップロード先を問い合わせることによって、配信先、アップロード先のクライアント端末識別情報を取得するように構成しても良い。この場合、上記サーバでは、サーバが配信、アップロードを受け付けたファイルのログ情報を記録しており、それを用いて上記問い合わせに対する結果を送信する。
【００４１】
ネットワーク接続遮断処理部９は、被害範囲予測処理部８においてウィルス感染の被害範囲であると予測したクライアント端末４について、そのネットワーク接続を遮断する。例えば予測したクライアント端末識別情報のクライアント端末４に対して、ネットワーク接続を遮断させる制御指示を送信する。ネットワーク接続の遮断方法としては、当該クライアント端末４のネットワークドライバの動作を停止させる、ＡＲＰ（アドレスレゾリューションプロトコル）応答パケットを偽装することにより、ネットワークにおいて当該クライアント端末４を認識できなくする、ＩＰアドレスを強制的に放棄させ、ＩＰアドレスの割り当てを停止する、などの方法がある。またほかにもウィルス感染していないと予測されるクライアント端末４（被害範囲予測処理部８で予測したクライアント端末識別情報のクライアント端末４以外のクライアント端末４）に対して、予測したクライアント端末４からのネットワーク接続要求をすべて拒否する制御指示を送信する、ＤＮＳサーバに対して、被害範囲予測処理部８で予測したクライアント端末４を、現在参加しているドメインから強制的にログオフさせ、以降はログイン不可とする制御指示を送信する、などにより行うことも出来る。
【００４２】
またネットワーク接続を遮断した場合には、ネットワーク接続遮断処理部９は、遮断したクライアント端末４について、ネットワーク接続を遮断したことを管理者端末３に通知しても良い。
【００４３】
なおネットワーク接続が遮断された各クライアント端末４については、ウィルス感染の確認、ウィルスの除去処理などが完了後、システム管理者の管理者端末３からの所定の制御指示により、ネットワーク接続が復活できるようにすることが好ましい。
【実施例１】
【００４４】
次に本発明のウィルス被害範囲予測システム１の処理プロセスの一例を図４及び図５のフローチャート、図２の概念図を用いて説明する。
【００４５】
各クライアント端末４から管理サーバ２に、当該クライアント端末４の操作ログ情報が、定期的にまたは所定のタイミングで送信されている。操作ログ情報については操作ログ情報取得部５で取得する。
【００４６】
操作ログ情報取得部５で取得した操作ログ情報は、操作ログ情報記憶部６に記憶させる。操作ログ情報には、当該クライアント端末４を識別する情報、日時の情報などが含まれていることが一般的ではあるが、含まれていない場合には、それらの情報をあわせて取得することによって、対応づけて操作ログ情報記憶部６に記憶させる。
【００４７】
また各クライアント端末４では、定期的にまたは所定のタイミングでウィルス検出機能を用いてウィルススキャンの処理が実行される。このウィルススキャンの処理において、何らかのウィルスが検出されると（Ｓ１００）、当該クライアント端末４は、管理サーバ２に対して、ウィルスが検出されたことを示す情報と当該クライアント端末４の識別情報とを含むウィルス検出情報を送信する（Ｓ１１０）。
【００４８】
このウィルス検出情報は、管理サーバ２のウィルス検出情報取得部７で取得する。そして被害範囲予測処理部８の出力操作特定部８１は、ウィルス感染しているクライアント端末４からの出力操作が行われた操作ログ情報を、操作ログ情報記憶部６に記憶する操作ログ情報から特定する（Ｓ１２０）。
【００４９】
被害範囲予測処理部８の端末特定部８２は、出力操作特定部８１が特定した操作ログ情報に基づいて、その出力操作による出力を受け取った、ウィルスに感染したクライアント端末４以外のクライアント端末４の識別情報を、操作ログ情報記憶部６に記憶する操作ログ情報に基づいて特定する（Ｓ１３０）。
【００５０】
このようにして特定したクライアント端末識別情報のクライアント端末４は、ウィルス感染の被害が予測されるクライアント端末４であるので、ネットワーク接続遮断処理部９は、端末特定部８２で特定したクライアント端末識別情報のクライアント端末４について、ネットワーク接続を遮断する制御を実行する（Ｓ１４０）。例えば特定したクライアント端末４に対して、ネットワーク接続を遮断する制御指示を送信したり、ＤＮＳサーバに対して、当該クライアント端末４のドメインからの強制ログオフの制御指示を送信したり、特定したクライアント端末４以外のクライアント端末４に対して、当該特定したクライアント端末４からのネットワーク接続を拒否する制御指示を送信するなどがある。
【００５１】
以上のような処理を実行することで、ウィルス感染を検出したクライアント端末４のみならず、その被害が予測されるほかのクライアント端末４についても、速やかにネットワーク接続を遮断することが出来る。一方で、その被害が予測されないクライアント端末４については従前通り、そのままネットワーク接続が維持されたままなので、日常業務にも支障を来さない。
【実施例２】
【００５２】
上述の実施例では管理サーバ２においてその処理の一部または全部が実行される場合を説明したが、これらの機能がクライアント端末４、管理サーバ２、管理者端末３において適宜、分散配置していても良い。
【００５３】
なお分散配置のバリエーションには様々なパターンがあり、如何なる配置形態であっても良い。これらの場合、各クライアント端末４や管理者端末３における処理の際に、管理サーバ２の各機能を利用する場合にはその問い合わせを当該クライアント端末４や管理者端末３から管理サーバ２に対して行い、その結果を当該クライアント端末４や管理者端末３における処理に用いる。そしてその処理結果をクライアント端末４や管理者端末３で実行することとなる。
【実施例３】
【００５４】
上述の各機能がクライアント端末４に備えられていても良い。すなわち操作ログ情報取得部５、操作ログ情報記憶部６、ウィルス検出情報取得部７、被害範囲予測処理部８、ネットワーク接続遮断処理部９をクライアント端末４に備えていても良い。
【００５５】
この場合、当該クライアント端末４は、ほかのクライアント端末４がウィルスに感染した場合、その情報をウィルス検出情報取得部７で取得する。そして被害範囲予測処理部８は、上述の各実施例の処理を実行することにより、当該クライアント端末４が、ウィルスに感染したクライアント端末４（ウィルス検出情報を送信したクライアント端末４）からの出力を受け取ったかを判定する。そしてウィルス感染したクライアント端末４から当該クライアント端末４が出力を受け取っていた場合には、当該クライアント端末４もウィルスに感染している可能性があるので、ネットワーク接続遮断処理部９が当該クライアント端末４のネットワーク接続を遮断する制御処理を実行したり、あるいはほかのクライアント端末４または所定のサーバなどに、ネットワーク接続を遮断させる制御指示を送信する。この制御指示を受け取ったほかのクライアント端末４や所定のサーバは、制御指示に従って、ウィルス感染が予測されるクライアント端末４とのネットワーク接続を遮断したり、ネットワーク接続要求を拒否するなどの処理を実行する。
【実施例４】
【００５６】
また上述の各機能がクライアント端末４に備えられている場合に、自らの端末がウィルスに感染する場合もある（自らの端末でウィルスを検出した場合）。この場合、当該クライアント端末４での出力操作による出力を受け取ったほかのクライアント端末４を、上述の各実施例の処理を実行することにより、被害範囲予測処理部８が判定する。そしてウィルス感染が予測されるクライアント端末４や所定のサーバに対して、ウィルス感染が予測されることの通知を送信したり、ネットワーク接続遮断処理部９によるネットワーク接続の遮断処理を実行させるための制御指示を送信する。
【００５７】
これにより、自らのクライアント端末４がウィルスに感染した場合でも、その端末にアクセスしたほかのクライアント端末４がウィルス感染が予測されることを判定し、対応することが可能となる。
【産業上の利用可能性】
【００５８】
上述の各発明を用いることによって、従来のように単に感染経路を特定するのではなく、ウィルスに感染していそうなほかのコンピュータ端末が存在していないかを特定し、つまり被害範囲を予測し、その範囲内のコンピュータ端末のネットワーク接続を遮断することが可能となる。これによって、とりあえずの被害拡大を防止することが出来るとともに、ウィルスに感染していないコンピュータ端末のネットワーク接続はそのまま維持することが出来る。そのため日常業務にも著しい支障は来さない。
【図面の簡単な説明】
【００５９】
【図１】本発明の全体の概念を示す概念図である。
【図２】本発明のシステム構成の一例を示す概念図である。
【図３】ハードウェア構成の一例を示す概念図である。
【図４】本発明の全体的な処理プロセスの一例を示すフローチャートである。
【図５】ウィルス感染の被害範囲を予測する処理プロセスの一例を示すフローチャートである。
【図６】操作ログ情報の一例を模式的に示す図である。
【図７】操作ログ情報記憶部の一例を模式的に示す図である。
【図８】被害範囲予測処理部における被害範囲を特定する処理を模式的に示す図である。
【符号の説明】
【００６０】
１：ウィルス被害範囲予測システム
２：管理サーバ
３：管理者端末
４：クライアント端末
５：操作ログ情報取得部
６：操作ログ情報記憶部
７：ウィルス検出情報取得部
８：被害範囲予測処理部
８１：出力操作特定部
８２：端末特定部
９：ネットワーク接続遮断処理部
２０：演算装置
２１：記憶装置
２２：表示装置
２３：入力装置
２４：通信装置
【技術分野】
【０００１】
本発明は、企業などの組織で使用しているコンピュータ端末にコンピュータウィルスが感染した場合、その被害範囲を予測するウィルス被害範囲予測システムに関する。更には、感染していると予測されるコンピュータ端末を、ネットワークから切り離すウィルス被害範囲予測システムに関する。
【背景技術】
【０００２】
企業などの組織ではその業務遂行のために多数のコンピュータ端末を使用している。しかし何らかの理由により、一部のコンピュータ端末がコンピュータウィルス（本明細書では「ウィルス」と呼ぶ。またウィルスとは、「自らまたはほかのコンピュータ端末に対して何らかの被害をもたらす不正なプログラムまたはプログラム断片（ほかのアプリケーションプログラム上で起動するプログラムの一部）」であればよく、電子メールやウェブブラウザなどを介して感染する、いわゆるコンピュータウィルスのほかにも、ワーム、ボット、ルートキットなど様々なものが含まれる。本明細書ではそれらを総称して「ウィルス」と称する）に感染してしまう場合もある。このような場合、システム管理者は、感染したコンピュータ端末からほかのコンピュータ端末へのウィルス感染を防止するために、ウィルス感染を検出したコンピュータ端末を直ちにネットワークから遮断するとともに、その感染経路を特定し、新たな感染を防止することが求められる。
【０００３】
下記特許文献１にウィルスの感染経路を特定するシステムの一例が記載されている。また特許文献２にはウィルスや不正アクセスがあった場合に、それを通知するシステムの一例が記載されている。
【０００４】
【特許文献１】特開２００２−２８７９９１号公報
【特許文献２】特開２００７−２０６７５０号公報
【発明の開示】
【発明が解決しようとする課題】
【０００５】
上記特許文献１の発明を用いた場合、どのような経路でコンピュータがウィルスに感染したか、その経路を特定することが出来る点で有益である。そしてシステム管理者は、特定した感染経路をたどることによって、ほかに感染している可能性のあるコンピュータ端末が存在しないか、を特定する作業を行う。
【０００６】
つまり感染経路を特定するような従来のシステムの場合、コンピュータ端末がウィルスに感染した経路を特定できたとしても、感染している可能性のあるほかのコンピュータ端末、つまりウィルス感染の被害範囲の予測を行うことは出来ない。そのため上述のように、システム管理者が、特定した感染経路をたどることによって、ほかに感染している可能性のあるコンピュータ端末が存在するかを、特定する必要がある。
【０００７】
ところがウィルスの場合、感染したコンピュータ端末が利用したファイルなどを、ほかのコンピュータ端末が利用することによって、ほかのコンピュータ端末へ感染し、被害が拡大することも多い。従って、ウィルス感染の経路を特定したのちに、システム管理者がその経路をたどることで、ほかに感染しているコンピュータ端末を特定し、そのコンピュータ端末のネットワーク接続を遮断する、といったプロセスを経ていたのでは時間を要してしまい、ほかのコンピュータ端末へ被害が拡大するおそれがある。
【０００８】
そこで被害拡大防止のために、上述の特許文献２のように、ウィルス感染や不正アクセスなどがあった場合、システム管理者が利用する所定の電話番号などにＦＡＸで通知するシステムがある。しかしこのシステムを用いたとしても、被害の可能性のある範囲を予測することは出来ない。そのため結局は従来と同様に、システム管理者が、逐次、ほかに感染している可能性のあるコンピュータ端末が存在するかを、特定する必要がある。
【０００９】
また被害拡大防止のためには、ウィルス感染を検出した段階で、ネットワークに接続しているほかのすべてのコンピュータ端末のネットワーク接続を遮断することで、被害拡大を防止することが出来るが、全く関係のないコンピュータ端末までネットワーク接続が遮断されてしまうと、日常業務に著しい支障を来してしまう。
【００１０】
そのため、一台のコンピュータ端末でウィルス感染を検出した場合、速やかにその感染範囲を適切に予測することが出来るシステムが望まれている。そして、予測した範囲のコンピュータ端末のネットワーク接続を遮断することで、被害拡大を防止するシステムが望まれている。
【課題を解決するための手段】
【００１１】
本発明者は上記課題に鑑み、本発明のウィルス被害範囲予測システムを発明した。
【００１２】
第１の発明は、コンピュータウィルスの感染による被害範囲を予測するウィルス被害範囲予測システムであって、前記ウィルス被害範囲予測システムは、クライアント端末の操作ログ情報を記憶する操作ログ情報記憶部と、クライアント端末にてウィルスを検出したことを示すウィルス検出情報を取得するウィルス検出情報取得部と、前記ウィルスを検出したクライアント端末からほかのクライアント端末への出力操作を、前記操作ログ情報または所定のサーバのログ情報に基づいて特定することで、ウィルス感染の被害範囲予測を行う被害範囲予測処理部と、を有するウィルス被害範囲予測システムである。
【００１３】
ウィルスに感染する可能性の一つとしては、ウィルス感染したクライアント端末が出力したファイルなどを、ほかのクライアント端末が受け取ることによる場合がある。そのため本発明のように構成することで、ウィルス感染の可能性がある被害範囲を予測することが可能となる。
【００１４】
また上述の発明は、以下の発明のように構成しても良い。すなわち、コンピュータウィルスの感染による被害範囲を予測するウィルス被害範囲予測システムであって、前記ウィルス被害範囲予測システムは、クライアント端末の操作ログ情報を記憶する操作ログ情報記憶部と、クライアント端末にてウィルスを検出したことを示すウィルス検出情報を取得するウィルス検出情報取得部と、前記ウィルスを検出したクライアント端末の出力操作による出力を受け取った、ほかのクライアント端末を前記操作ログ情報または所定のサーバのログ情報に基づいて特定することで、ウィルス感染の被害範囲予測を行う被害範囲予測処理部と、を有するウィルス被害範囲予測システムのように構成しても良い。
【００１５】
上述の各発明において、前記被害範囲予測処理部は、前記ウィルス検出情報を取得すると、そのウィルス検出情報のクライアント端末識別情報と、所定の出力操作を示す操作内容とに基づいて、そのクライアント端末における出力操作を操作内容として含む操作ログ情報を特定する出力操作特定部と、前記特定した操作ログ情報における出力操作の出力を受け取ったクライアント端末のクライアント端末識別情報を、前記操作ログ情報記憶部に記憶する操作ログ情報または所定のサーバにおけるログ情報により特定する端末特定部と、を有するウィルス被害範囲予測システムのように構成することも出来る。
【００１６】
被害範囲として予測されるクライアント端末の特定方法には様々な方法があるが、その一つとして本発明のような処理がある。
【００１７】
ウィルスに感染していると予測したクライアント端末については、その被害の拡大を防止するためにも、ネットワーク接続を遮断することが好ましい。そこで以下の発明のように構成することも出来る。すなわち、前記ウィルス被害範囲予測システムは、更に、前記ウィルス感染の被害が予測されるとして特定されたクライアント端末について、ネットワーク接続の遮断処理を実行するネットワーク接続遮断処理部、を有するウィルス被害範囲予測システムのように構成することも出来る。
【００１８】
本発明のプログラムをコンピュータ端末に読み込ませて実行することで、上述のシステムが構成できる。すなわち、クライアント端末の操作ログ情報を記憶装置に記憶するコンピュータ端末を、クライアント端末からウィルスを検出したことを示すウィルス検出情報を取得するウィルス検出情報取得部、前記ウィルスを検出したクライアント端末からほかのクライアント端末への出力操作を、前記操作ログ情報または所定のサーバのログ情報に基づいて特定することで、ウィルス感染の被害範囲予測を行う被害範囲予測処理部、として機能させるウィルス被害範囲予測プログラムのように構成しても良い。
【発明の効果】
【００１９】
本発明のウィルス被害範囲予測システムを用いることによって、従来のように単に感染経路を特定するのではなく、ウィルスに感染していそうなほかのコンピュータ端末が存在していないかを特定し、つまり被害範囲を予測し、その範囲内のコンピュータ端末のネットワーク接続を遮断することが可能となる。これによって、とりあえずの被害拡大を防止することが出来るとともに、ウィルスに感染していないコンピュータ端末のネットワーク接続はそのまま維持することが出来る。そのため日常業務にも著しい支障は来さない。
【発明を実施するための最良の形態】
【００２０】
本発明のウィルス被害範囲予測システム１の全体の概念図を図１に示す。またウィルス被害範囲予測システム１のシステム構成の一例の概念図を図２に示す。
【００２１】
本発明のウィルス被害範囲予測システム１は、各クライアント端末４を監視する管理者が利用するコンピュータ端末またはサーバ（以下、「管理サーバ２」という）において、所定のプログラムやモジュールが処理されることにより実現される。管理サーバ２は、複数のクライアント端末４においてどのようなファイルやプログラムが実行されているか、を記録、監視することが好ましい。そのため、各クライアント端末４には、当該クライアント端末４において実行されているプログラム名、ファイル名などの情報を定期的に、あるいは新たなプログラムやファイルが実行された場合または終了した場合などの所定のタイミングで、クライアント端末４から管理サーバ２にそのプログラム名やファイル名の情報を送信する機能を備えていることが好ましい。プログラム名やファイル名の情報を送信する機能は、クライアント端末４の演算装置２０で実行しているプログラム名やファイル名を抽出したり、メモリ内のプログラム名やファイル名を抽出して送信すればよい。つまりいわゆる操作ログ情報をクライアント端末４から管理サーバ２に送信すればよい。
【００２２】
またクライアント端末４には、定期的にまたは所定のタイミング（たとえば電子メールを受信した場合やウェブブラウザでウェブサイトを閲覧した場合、などネットワーク経由で何らかのデータを受信した場合、ＵＳＢメモリなどの記憶装置２１をクライアント端末４に接続した場合など）において、ウィルスに感染していないかをウィルススキャンするウィルス検出機能を備えている。このウィルス検出機能は公知の様々な製品を適用することが出来る。
【００２３】
なお本明細書において「クライアント端末」との記載には、ユーザが操作するコンピュータ端末のほか、「ファイルサーバ」なども含まれる。
【００２４】
管理者端末３は、管理サーバ２を利用するシステム管理者が利用するコンピュータ端末であって、管理サーバ２からの所定の通知などを受信する。また管理サーバ２に対して何らかの制御指示を送信することを可能にしてもよい。なお管理者端末３は管理サーバ２とは一体的に設けられていても良いし、別のコンピュータ端末として設けられていても良い。
【００２５】
管理サーバ２、クライアント端末４、管理者端末３は、プログラムの演算処理を実行するＣＰＵなどの演算装置２０と、情報を記憶するＲＡＭやハードディスクなどの記憶装置２１と、演算装置２０の処理結果や記憶装置２１に記憶する情報をインターネットやＬＡＮなどのネットワークを介して送受信する通信装置２４とを有している。またクライアント端末４、管理者端末３では、更に、ディスプレイなどの表示装置２２を有している。コンピュータ上で実現する各機能（各手段）は、その処理を実行する手段（プログラムやモジュールなど）が演算装置２０に読み込まれることでその処理が実行される。各機能は、記憶装置２１に記憶した情報をその処理において使用する場合には、該当する情報を当該記憶装置２１から読み出し、読み出した情報を適宜、演算装置２０における処理に用いる。当該コンピュータには、キーボードやマウスやテンキーなどの入力装置２３を有していても良い。図３に管理サーバ２のハードウェア構成の一例を模式的に示す。また、管理サーバ２は、複数のコンピュータ端末またはサーバに、その機能が分散配置されていても良い。
【００２６】
本発明における各手段は、その機能が論理的に区別されているのみであって、物理上あるいは事実上は同一の領域を為していても良い。
【００２７】
ウィルス被害範囲予測システム１は、操作ログ情報取得部５と操作ログ情報記憶部６とウィルス検出情報取得部７と被害範囲予測処理部８とネットワーク接続遮断処理部９とを有する。
【００２８】
操作ログ情報取得部５は、各クライアント端末４から定期的にまたは不定期に、当該クライアント端末４における操作ログ情報を取得する。取得した操作ログ情報は、後述する操作ログ情報記憶部６に、その日時、どのクライアント端末４における操作ログ情報であるかを識別する情報と共に、記憶させる。なお操作ログ情報としては、各クライアント端末４における操作内容やそのクライアント端末４における処理内容などを示す情報であればよく、例えば「ファイルコピー」、「ファイル貼り付け」、「ファイル選択」、「ファイルアクセス」など、当該クライアント端末４の操作者の操作を示す情報が該当する。また、管理サーバ２が各クライアント端末４から操作ログ情報を取得する際にはネットワークを介して取得しても良いし、操作ログ情報がクライアント端末４においてＤＶＤなどの記録媒体に記録され、その記録媒体が管理サーバ２に読み取られ、そこから操作ログ情報を読み込むことによって取得しても良い。
【００２９】
操作ログ情報記憶部６は、操作ログ情報取得部５で各クライアント端末４から取得した操作ログ情報を記憶する。操作ログ情報には、クライアント端末４を識別する情報、操作内容を示す情報、操作内容の操作対象となったファイルやアプリケーションの名称、当該ファイルやアプリケーションの所在位置を示す情報、日時または日時を数値化した情報などが含まれている。図６に操作ログ情報の一例を示す。なお操作ログ情報は、各クライアント端末４またはそのユーザ（ログイン名など）ごとに記憶することが好ましい。なお操作内容を示す情報を日時などに対応づける場合には、クライアント端末４で行っても良いし、操作ログ情報を管理サーバ２で取得した際に行っても良いし、或いは操作ログ情報記憶部６で記憶した際に行っても良い。また図７に操作ログ情報記憶部６の概念図の一例を模式的に示す。
【００３０】
ウィルス検出情報取得部７は、クライアント端末４でウィルスを検出した場合に、そのウィルス検出情報を取得する。ウィルス検出情報としては、ウィルスが検出されたことの通知とどのクライアント端末４で検出したかを識別するクライアント端末識別情報などが含まれる。
【００３１】
被害範囲予測処理部８は、ウィルス検出情報取得部７でウィルス検出情報を取得すると、ウィルス感染したクライアント端末４以外のほかのクライアント端末４で感染している可能性のあるクライアント端末４を予測する、つまりウィルス感染の被害範囲の予測を行う。被害範囲予測処理部８は、出力操作特定部８１と端末特定部８２とを有する。
【００３２】
出力操作特定部８１は、ウィルス感染したクライアント端末４で行われた出力操作を操作内容として含む操作ログ情報を、操作ログ情報記憶部６に記憶する操作ログ情報から特定する。
【００３３】
ウィルス検出情報取得部７で取得したウィルス検出情報に基づいて、ウィルス感染したクライアント端末４の識別情報を取得しているので、そのクライアント端末４の識別情報と、あらかじめ出力操作として定められている操作内容、例えば「ファイル貼り付け」（ＵＳＢメモリへのファイルの書き込み）、「電子メール送信」、「ファイル配信」、「ファイルアップロード」などを含む操作ログ情報を、操作ログ情報記憶部６に記憶する操作ログ情報から検索して特定する。この際に、所定時間前（例えば７２時間前）までの操作ログ情報から検索するなど、検索範囲を設定しても良い。
【００３４】
端末特定部８２は、出力操作特定部８１で特定した出力操作を操作内容として含む操作ログ情報に基づいて、その出力操作による出力を受け取ったクライアント端末４を、操作ログ情報記憶部６に記憶する操作ログ情報、または所定のサーバにおけるログ情報に基づいて特定する。ここで特定したクライアント端末４が、ウィルス感染の被害範囲として予測されるクライアント端末４になる。なお出力操作による出力を受け取ったクライアント端末４の特定処理は、あらかじめ出力操作に対応づけられて、どのような特定処理を行うか記憶されている。例えば出力操作がＵＳＢメモリなどの外部記憶装置への「ファイル貼り付け」である場合には、そのＵＳＢメモリにおける所定操作、「電子メール送信」である場合には、電子メールの送信先のクライアント端末４、「ファイル配信」、「ファイルアップロード」である場合には、ファイルが配信・アップロードされたクライアント端末４、といったように特定処理が、出力操作ごとに対応づけて記憶されている。
【００３５】
被害範囲予測処理部８における処理を説明する。
【００３６】
例えば操作ログ情報記憶部６に記憶する操作ログ情報が図７であり、クライアント端末４「ＡＢＣ１２３４５６７８」からウィルス検出情報をウィルス検出情報取得部７で取得した場合、出力操作特定部８１は、識別情報「ＡＢＣ１２３４５６７８」を含んでおり、操作内容があらかじめ定められた出力操作である操作ログ情報を、所定時間前（たとえば７２時間前）までの操作ログ情報から特定する。例えば出力操作として「ファイル貼り付け」が定められている場合、図７では、「ＵＳＢメモリ（ＸＹＺ１２３）」へのファイル「ＡＡＡＡＡＡＡ」の「ファイル貼り付け操作」が該当する。つまり、「ＵＳＢメモリ（ＸＹＺ１２３）」へのファイル「ＡＡＡＡＡＡＡ」の出力操作が行われていると特定できる。これを模式的に示すのが図８である。なお上述の「ＸＹＺ１２３」はＵＳＢメモリを識別する情報である。
【００３７】
このようにして出力操作を特定すると、その操作内容に応じた出力について、その出力を受け取ったクライアント端末４を、操作ログ情報記憶部６に記憶する操作ログ情報から、端末特定部８２が特定する。例えば出力操作の操作内容が「ファイル貼り付け」であり、保存場所がＵＳＢメモリなどの外部記憶装置の場合には、当該外部記憶装置を利用したクライアント端末４がその出力を受け取ったものとなる。また操作内容が「電子メール送信」の場合には、電子メールの送信先となる電子メールアドレスに対応づけられたユーザが利用するクライアント端末４（電子メールアドレスに、ユーザ識別情報またはクライアント端末識別情報が対応づけて記憶されている記憶部を備えており、それを参照する）がその出力を受け取ったものとなる。さらには「ファイル配信」、「ファイルアップロード」の操作内容の場合には、配信先またはアップロード先のクライアント端末４がその出力を受け取ったものとなる。
【００３８】
図８の場合には、出力操作の操作内容がＵＳＢメモリへの「ファイル貼り付け」であることから、出力操作特定部８１で特定した操作ログ情報におけるＵＳＢメモリを利用したクライアント端末４を、上記出力操作が行われた以降の操作ログ情報に基づいて特定する。つまり、保存場所が「ＵＳＢメモリ（ＸＹＺ１２３）」に記憶されているファイルにアクセスした操作ログ情報（操作内容が「ファイルアクセス」である操作ログ情報）、当該ＵＳＢメモリの挿入を検出した操作ログ情報（操作内容が「ＵＳＢメモリ挿入」を示す操作ログ情報）、など、ＵＳＢメモリを利用したことを示す操作内容を含む操作ログ情報を特定し、その操作ログ情報におけるクライアント端末識別情報を特定する。従って、「ＧＨＩ４５６９８７３３」、「ＳＤＦ１２３３３２１１」、「ＹＵＩ４５６５４４４」のクライアント端末識別情報であるクライアント端末４が被害範囲として予測されるクライアント端末４となる。
【００３９】
なお出力操作の操作内容が「電子メール送信」の場合、送信先の電子メールアドレスは、操作ログ情報に含まれていても良いし、クライアント端末４から別途、送信先の電子メールアドレスを取得しても良い。さらには、「電子メール送信」の操作内容を含む操作ログ情報における日時情報に基づいて、電子メールサーバに、当該日時に送信された電子メールの送信先を問い合わせることによって、送信先の電子メールアドレスを取得するように構成しても良い。この場合、電子メールサーバでは、電子メールサーバが送受信した電子メールのログ情報を記録しており、それを用いて上記問い合わせに対する結果を送信する。
【００４０】
また上記と同様に、出力操作の操作内容が「ファイル配信」、「ファイルアップロード」の場合にも、配信先、アップロード先のクライアント端末識別情報は、操作ログ情報に含まれていても良いし、クライアント端末４から別途、取得しても良い。またさらには、「ファイル配信」、「ファイルアップロード」の操作内容を含む操作ログ情報における日時情報に基づいて、ファイル配信やファイルアップロードを行ったサーバに、当該日時に配信、アップロードされたファイルの配信先、アップロード先を問い合わせることによって、配信先、アップロード先のクライアント端末識別情報を取得するように構成しても良い。この場合、上記サーバでは、サーバが配信、アップロードを受け付けたファイルのログ情報を記録しており、それを用いて上記問い合わせに対する結果を送信する。
【００４１】
ネットワーク接続遮断処理部９は、被害範囲予測処理部８においてウィルス感染の被害範囲であると予測したクライアント端末４について、そのネットワーク接続を遮断する。例えば予測したクライアント端末識別情報のクライアント端末４に対して、ネットワーク接続を遮断させる制御指示を送信する。ネットワーク接続の遮断方法としては、当該クライアント端末４のネットワークドライバの動作を停止させる、ＡＲＰ（アドレスレゾリューションプロトコル）応答パケットを偽装することにより、ネットワークにおいて当該クライアント端末４を認識できなくする、ＩＰアドレスを強制的に放棄させ、ＩＰアドレスの割り当てを停止する、などの方法がある。またほかにもウィルス感染していないと予測されるクライアント端末４（被害範囲予測処理部８で予測したクライアント端末識別情報のクライアント端末４以外のクライアント端末４）に対して、予測したクライアント端末４からのネットワーク接続要求をすべて拒否する制御指示を送信する、ＤＮＳサーバに対して、被害範囲予測処理部８で予測したクライアント端末４を、現在参加しているドメインから強制的にログオフさせ、以降はログイン不可とする制御指示を送信する、などにより行うことも出来る。
【００４２】
またネットワーク接続を遮断した場合には、ネットワーク接続遮断処理部９は、遮断したクライアント端末４について、ネットワーク接続を遮断したことを管理者端末３に通知しても良い。
【００４３】
なおネットワーク接続が遮断された各クライアント端末４については、ウィルス感染の確認、ウィルスの除去処理などが完了後、システム管理者の管理者端末３からの所定の制御指示により、ネットワーク接続が復活できるようにすることが好ましい。
【実施例１】
【００４４】
次に本発明のウィルス被害範囲予測システム１の処理プロセスの一例を図４及び図５のフローチャート、図２の概念図を用いて説明する。
【００４５】
各クライアント端末４から管理サーバ２に、当該クライアント端末４の操作ログ情報が、定期的にまたは所定のタイミングで送信されている。操作ログ情報については操作ログ情報取得部５で取得する。
【００４６】
操作ログ情報取得部５で取得した操作ログ情報は、操作ログ情報記憶部６に記憶させる。操作ログ情報には、当該クライアント端末４を識別する情報、日時の情報などが含まれていることが一般的ではあるが、含まれていない場合には、それらの情報をあわせて取得することによって、対応づけて操作ログ情報記憶部６に記憶させる。
【００４７】
また各クライアント端末４では、定期的にまたは所定のタイミングでウィルス検出機能を用いてウィルススキャンの処理が実行される。このウィルススキャンの処理において、何らかのウィルスが検出されると（Ｓ１００）、当該クライアント端末４は、管理サーバ２に対して、ウィルスが検出されたことを示す情報と当該クライアント端末４の識別情報とを含むウィルス検出情報を送信する（Ｓ１１０）。
【００４８】
このウィルス検出情報は、管理サーバ２のウィルス検出情報取得部７で取得する。そして被害範囲予測処理部８の出力操作特定部８１は、ウィルス感染しているクライアント端末４からの出力操作が行われた操作ログ情報を、操作ログ情報記憶部６に記憶する操作ログ情報から特定する（Ｓ１２０）。
【００４９】
被害範囲予測処理部８の端末特定部８２は、出力操作特定部８１が特定した操作ログ情報に基づいて、その出力操作による出力を受け取った、ウィルスに感染したクライアント端末４以外のクライアント端末４の識別情報を、操作ログ情報記憶部６に記憶する操作ログ情報に基づいて特定する（Ｓ１３０）。
【００５０】
このようにして特定したクライアント端末識別情報のクライアント端末４は、ウィルス感染の被害が予測されるクライアント端末４であるので、ネットワーク接続遮断処理部９は、端末特定部８２で特定したクライアント端末識別情報のクライアント端末４について、ネットワーク接続を遮断する制御を実行する（Ｓ１４０）。例えば特定したクライアント端末４に対して、ネットワーク接続を遮断する制御指示を送信したり、ＤＮＳサーバに対して、当該クライアント端末４のドメインからの強制ログオフの制御指示を送信したり、特定したクライアント端末４以外のクライアント端末４に対して、当該特定したクライアント端末４からのネットワーク接続を拒否する制御指示を送信するなどがある。
【００５１】
以上のような処理を実行することで、ウィルス感染を検出したクライアント端末４のみならず、その被害が予測されるほかのクライアント端末４についても、速やかにネットワーク接続を遮断することが出来る。一方で、その被害が予測されないクライアント端末４については従前通り、そのままネットワーク接続が維持されたままなので、日常業務にも支障を来さない。
【実施例２】
【００５２】
上述の実施例では管理サーバ２においてその処理の一部または全部が実行される場合を説明したが、これらの機能がクライアント端末４、管理サーバ２、管理者端末３において適宜、分散配置していても良い。
【００５３】
なお分散配置のバリエーションには様々なパターンがあり、如何なる配置形態であっても良い。これらの場合、各クライアント端末４や管理者端末３における処理の際に、管理サーバ２の各機能を利用する場合にはその問い合わせを当該クライアント端末４や管理者端末３から管理サーバ２に対して行い、その結果を当該クライアント端末４や管理者端末３における処理に用いる。そしてその処理結果をクライアント端末４や管理者端末３で実行することとなる。
【実施例３】
【００５４】
上述の各機能がクライアント端末４に備えられていても良い。すなわち操作ログ情報取得部５、操作ログ情報記憶部６、ウィルス検出情報取得部７、被害範囲予測処理部８、ネットワーク接続遮断処理部９をクライアント端末４に備えていても良い。
【００５５】
この場合、当該クライアント端末４は、ほかのクライアント端末４がウィルスに感染した場合、その情報をウィルス検出情報取得部７で取得する。そして被害範囲予測処理部８は、上述の各実施例の処理を実行することにより、当該クライアント端末４が、ウィルスに感染したクライアント端末４（ウィルス検出情報を送信したクライアント端末４）からの出力を受け取ったかを判定する。そしてウィルス感染したクライアント端末４から当該クライアント端末４が出力を受け取っていた場合には、当該クライアント端末４もウィルスに感染している可能性があるので、ネットワーク接続遮断処理部９が当該クライアント端末４のネットワーク接続を遮断する制御処理を実行したり、あるいはほかのクライアント端末４または所定のサーバなどに、ネットワーク接続を遮断させる制御指示を送信する。この制御指示を受け取ったほかのクライアント端末４や所定のサーバは、制御指示に従って、ウィルス感染が予測されるクライアント端末４とのネットワーク接続を遮断したり、ネットワーク接続要求を拒否するなどの処理を実行する。
【実施例４】
【００５６】
また上述の各機能がクライアント端末４に備えられている場合に、自らの端末がウィルスに感染する場合もある（自らの端末でウィルスを検出した場合）。この場合、当該クライアント端末４での出力操作による出力を受け取ったほかのクライアント端末４を、上述の各実施例の処理を実行することにより、被害範囲予測処理部８が判定する。そしてウィルス感染が予測されるクライアント端末４や所定のサーバに対して、ウィルス感染が予測されることの通知を送信したり、ネットワーク接続遮断処理部９によるネットワーク接続の遮断処理を実行させるための制御指示を送信する。
【００５７】
これにより、自らのクライアント端末４がウィルスに感染した場合でも、その端末にアクセスしたほかのクライアント端末４がウィルス感染が予測されることを判定し、対応することが可能となる。
【産業上の利用可能性】
【００５８】
上述の各発明を用いることによって、従来のように単に感染経路を特定するのではなく、ウィルスに感染していそうなほかのコンピュータ端末が存在していないかを特定し、つまり被害範囲を予測し、その範囲内のコンピュータ端末のネットワーク接続を遮断することが可能となる。これによって、とりあえずの被害拡大を防止することが出来るとともに、ウィルスに感染していないコンピュータ端末のネットワーク接続はそのまま維持することが出来る。そのため日常業務にも著しい支障は来さない。
【図面の簡単な説明】
【００５９】
【図１】本発明の全体の概念を示す概念図である。
【図２】本発明のシステム構成の一例を示す概念図である。
【図３】ハードウェア構成の一例を示す概念図である。
【図４】本発明の全体的な処理プロセスの一例を示すフローチャートである。
【図５】ウィルス感染の被害範囲を予測する処理プロセスの一例を示すフローチャートである。
【図６】操作ログ情報の一例を模式的に示す図である。
【図７】操作ログ情報記憶部の一例を模式的に示す図である。
【図８】被害範囲予測処理部における被害範囲を特定する処理を模式的に示す図である。
【符号の説明】
【００６０】
１：ウィルス被害範囲予測システム
２：管理サーバ
３：管理者端末
４：クライアント端末
５：操作ログ情報取得部
６：操作ログ情報記憶部
７：ウィルス検出情報取得部
８：被害範囲予測処理部
８１：出力操作特定部
８２：端末特定部
９：ネットワーク接続遮断処理部
２０：演算装置
２１：記憶装置
２２：表示装置
２３：入力装置
２４：通信装置
【特許請求の範囲】
【請求項１】
コンピュータウィルスの感染による被害範囲を予測するウィルス被害範囲予測システムであって、
前記ウィルス被害範囲予測システムは、
クライアント端末の操作ログ情報を記憶する操作ログ情報記憶部と、
クライアント端末にてウィルスを検出したことを示すウィルス検出情報を取得するウィルス検出情報取得部と、
前記ウィルスを検出したクライアント端末からほかのクライアント端末への出力操作を、前記操作ログ情報または所定のサーバのログ情報に基づいて特定することで、ウィルス感染の被害範囲予測を行う被害範囲予測処理部と、
を有することを特徴とするウィルス被害範囲予測システム。
【請求項２】
コンピュータウィルスの感染による被害範囲を予測するウィルス被害範囲予測システムであって、
前記ウィルス被害範囲予測システムは、
クライアント端末の操作ログ情報を記憶する操作ログ情報記憶部と、
クライアント端末にてウィルスを検出したことを示すウィルス検出情報を取得するウィルス検出情報取得部と、
前記ウィルスを検出したクライアント端末の出力操作による出力を受け取った、ほかのクライアント端末を前記操作ログ情報または所定のサーバのログ情報に基づいて特定することで、ウィルス感染の被害範囲予測を行う被害範囲予測処理部と、
を有することを特徴とするウィルス被害範囲予測システム。
【請求項３】
前記被害範囲予測処理部は、
前記ウィルス検出情報を取得すると、そのウィルス検出情報のクライアント端末識別情報と、所定の出力操作を示す操作内容とに基づいて、そのクライアント端末における出力操作を操作内容として含む操作ログ情報を特定する出力操作特定部と、
前記特定した操作ログ情報における出力操作の出力を受け取ったクライアント端末のクライアント端末識別情報を、前記操作ログ情報記憶部に記憶する操作ログ情報または所定のサーバにおけるログ情報により特定する端末特定部と、
を有することを特徴とする請求項２に記載のウィルス被害範囲予測システム。
【請求項４】
前記ウィルス被害範囲予測システムは、更に、
前記ウィルス感染の被害が予測されるとして特定されたクライアント端末について、ネットワーク接続の遮断処理を実行するネットワーク接続遮断処理部、
を有することを特徴とする請求項１から請求項３のいずれかに記載のウィルス被害範囲予測システム。
【請求項５】
クライアント端末の操作ログ情報を記憶装置に記憶するコンピュータ端末を、
クライアント端末からウィルスを検出したことを示すウィルス検出情報を取得するウィルス検出情報取得部、
前記ウィルスを検出したクライアント端末からほかのクライアント端末への出力操作を、前記操作ログ情報または所定のサーバのログ情報に基づいて特定することで、ウィルス感染の被害範囲予測を行う被害範囲予測処理部、
として機能させることを特徴とするウィルス被害範囲予測プログラム。
【請求項１】
コンピュータウィルスの感染による被害範囲を予測するウィルス被害範囲予測システムであって、
前記ウィルス被害範囲予測システムは、
クライアント端末の操作ログ情報を記憶する操作ログ情報記憶部と、
クライアント端末にてウィルスを検出したことを示すウィルス検出情報を取得するウィルス検出情報取得部と、
前記ウィルスを検出したクライアント端末からほかのクライアント端末への出力操作を、前記操作ログ情報または所定のサーバのログ情報に基づいて特定することで、ウィルス感染の被害範囲予測を行う被害範囲予測処理部と、
を有することを特徴とするウィルス被害範囲予測システム。
【請求項２】
コンピュータウィルスの感染による被害範囲を予測するウィルス被害範囲予測システムであって、
前記ウィルス被害範囲予測システムは、
クライアント端末の操作ログ情報を記憶する操作ログ情報記憶部と、
クライアント端末にてウィルスを検出したことを示すウィルス検出情報を取得するウィルス検出情報取得部と、
前記ウィルスを検出したクライアント端末の出力操作による出力を受け取った、ほかのクライアント端末を前記操作ログ情報または所定のサーバのログ情報に基づいて特定することで、ウィルス感染の被害範囲予測を行う被害範囲予測処理部と、
を有することを特徴とするウィルス被害範囲予測システム。
【請求項３】
前記被害範囲予測処理部は、
前記ウィルス検出情報を取得すると、そのウィルス検出情報のクライアント端末識別情報と、所定の出力操作を示す操作内容とに基づいて、そのクライアント端末における出力操作を操作内容として含む操作ログ情報を特定する出力操作特定部と、
前記特定した操作ログ情報における出力操作の出力を受け取ったクライアント端末のクライアント端末識別情報を、前記操作ログ情報記憶部に記憶する操作ログ情報または所定のサーバにおけるログ情報により特定する端末特定部と、
を有することを特徴とする請求項２に記載のウィルス被害範囲予測システム。
【請求項４】
前記ウィルス被害範囲予測システムは、更に、
前記ウィルス感染の被害が予測されるとして特定されたクライアント端末について、ネットワーク接続の遮断処理を実行するネットワーク接続遮断処理部、
を有することを特徴とする請求項１から請求項３のいずれかに記載のウィルス被害範囲予測システム。
【請求項５】
クライアント端末の操作ログ情報を記憶装置に記憶するコンピュータ端末を、
クライアント端末からウィルスを検出したことを示すウィルス検出情報を取得するウィルス検出情報取得部、
前記ウィルスを検出したクライアント端末からほかのクライアント端末への出力操作を、前記操作ログ情報または所定のサーバのログ情報に基づいて特定することで、ウィルス感染の被害範囲予測を行う被害範囲予測処理部、
として機能させることを特徴とするウィルス被害範囲予測プログラム。
【図１】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【公開番号】特開２００９−１７６１３７（Ｐ２００９−１７６１３７Ａ）
【公開日】平成２１年８月６日（２００９．８．６）
【国際特許分類】
【出願番号】特願２００８−１５２５５（Ｐ２００８−１５２５５）
【出願日】平成２０年１月２５日（２００８．１．２５）
【出願人】（５９９１０８２４２）Ｓｋｙ株式会社 (257)
【Ｆターム（参考）】
【公開日】平成２１年８月６日（２００９．８．６）
【国際特許分類】
【出願日】平成２０年１月２５日（２００８．１．２５）
【出願人】（５９９１０８２４２）Ｓｋｙ株式会社 (257)
【Ｆターム（参考）】
[ Back to top ]