ソフトウェア監視システムおよび監視方法
【課題】 脆弱性のある又はマルウェアの感染したソフトウェアを持つ端末装置を効率的に検出して、的確な対策を講じる。
【解決手段】 監視装置によりネットワークに接続された端末装置のソフトウェアの状態を監視するシステムにおいて、監視装置は、脆弱性の原因となるファイルやマルウェア感染時に生成されるファイルの特徴情報などを含んで定義されたソフトウェアの特徴情報を格納する第１DBを有し、また、端末装置は自ら有するファイルの特徴情報を逐次取得して保持する第２ＤＢを有する。監視装置は、ネットワークを介して検証要求と共に、上記第１DBに格納された特徴情報を端末装置へ送信する。端末装置では、第２ＤＢを検索して上記特徴情報に関連するファイルの有無を検証し、検証結果を監視装置へ送信する。監視装置では受信した検証結果に基づいて、端末装置の脆弱性又はマルウェア感染状況を判断し、アクセス制御を実施し、被害の拡大を防止する。
【解決手段】 監視装置によりネットワークに接続された端末装置のソフトウェアの状態を監視するシステムにおいて、監視装置は、脆弱性の原因となるファイルやマルウェア感染時に生成されるファイルの特徴情報などを含んで定義されたソフトウェアの特徴情報を格納する第１DBを有し、また、端末装置は自ら有するファイルの特徴情報を逐次取得して保持する第２ＤＢを有する。監視装置は、ネットワークを介して検証要求と共に、上記第１DBに格納された特徴情報を端末装置へ送信する。端末装置では、第２ＤＢを検索して上記特徴情報に関連するファイルの有無を検証し、検証結果を監視装置へ送信する。監視装置では受信した検証結果に基づいて、端末装置の脆弱性又はマルウェア感染状況を判断し、アクセス制御を実施し、被害の拡大を防止する。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、ソフトウェア監視システムおよび監視方法に係り、さらに詳しくは、ネットワークに接続された端末装置の状態を監視装置で監視するシステムにおいて、端末装置が有するソフトウェア情報に基づいてセキュリティレベルの低い端末装置を検出するソフトウェア監視システム及び監視方法に関するものである。
【背景技術】
【０００２】
複数の端末装置がネットワークに接続されて構成されるネットワークシステムにおいて、端末装置が有するソフトウェア情報を監視することによって、脆弱性の有無や、ウイルスの感染の有無等のソフトウェアの安全性を検証し、セキュリティレベルの低い端末装置を検出することが知られている。その検証結果に従って端末装置に対策を講じ、これによりネットワーク全体のセキュリティレベルを向上させることができる。
【０００３】
セキュリティレベルの低い端末装置を発見するための技術としては、脆弱性検証処理方法や、ウイルスおよびワーム等（以下、単にマルウェアとも称する）感染検証処理方法によるものが知られている。
【０００４】
前者の脆弱性検証処理に関しては、例えば、特開２００３−２７１４６９号公報（特許文献１）に、検査コンソールが、ネットワークに接続されたクライアント装置であるコンピュータからファイル情報やレジストリ情報を収集して、クライアント装置の状況や脆弱性を検出する技術が開示されている。
【０００５】
また、後者のマルウェア感染検証処理に関しては、例えば、特開２００２−２２２０９４号公報（特許文献２）に、サーバが、複数のクライアントからウイルスの検出、消去に関する処理情報を収集して、ウイルス対策の実行指示と管理を一元的に行なう技術が開示されている。
【０００６】
【特許文献１】特開２００３−２７１４６９号公報
【特許文献２】特開２００２−２２２０９４号公報
【発明の開示】
【発明が解決しようとする課題】
【０００７】
上記のような従来の技術によってセキュリティレベルの低い端末装置を発見するには、脆弱性検証処理を実施するソフトウェアと、マルウェア感染検証処理を実施するソフトウェアの２つのソフトウェアを用意する必要がある。
【０００８】
また、マルウェア感染検証処理においては、監視対象の端末装置が持つファイルを全て検索して処理するために多大な時間がかかり、かつ多くのリソースを消費する。更に、マルウェアの感染を検証するための処理に時間がかかることからマルウェアの二次的感染、破壊活動、情報漏洩などといった不正活動を助長することになり被害拡大の危険性が高くなる。
【０００９】
本発明の目的は、ソフトウェアの安全性を検証して、セキュリティレベルの低い端末装置を検出することにある。
本発明は、より具体的には、脆弱性のあるソフトウェアを持つ端末装置、又はマルウェアに感染した端末装置を効率的に検出して、的確な対策を講じることができるソフトウェアの監視システム及び方法を提供することにある。
【課題を解決するための手段】
【００１０】
本発明にかかるソフトウェア監視システムは、監視装置によりネットワークに接続された端末装置のソフトウェアの状態を監視するシステムにおいて、監視装置は、システムで使用されるソフトウェアの特徴を含む特徴情報を格納する第1のデータベース（第1DB）と、少なくとも端末装置のソフトウェアを監視するための処理を行うサーバプログラムを実行する処理装置とを有し、端末装置は、自らが有するファイルに関する情報を取得して格納する第２のデータベース（第２DB）と、前記ファイルに関する情報を取得して該第２DBへ格納するため処理、及び監視装置からの検証要求に基づいて検証のための処理を行なう該エージェントプログラムを実行する処理装置を有し、監視装置は、サーバプログラムの実行により、対象とする端末装置に特徴情報と共に検証要求を送信し、端末装置は、検証要求を受信した後、エージェントプログラムの実行により第２DBを検索して特徴情報に関連するファイルの存在を検証して、検証結果を監視装置に送信し、監視装置は、サーバプログラムの実行により、受信した検証結果に基づいて端末装置のソフトウェアの状態を判断する処理を行う。
【００１１】
また、このシステムは、更に、ネットワークに接続されたネットワーク制御装置を含み、ネットワーク制御装置は、アクセス制御に関する情報を登録するアクセス管理情報ＤＢと、ネットワークに対するアクセス制御を行なうアクセス制御プログラムを実行する処理装置を備え、監視装置が、検証結果に基づく判断の処理した後、ネットワークを介して関係するネットワーク制御装置へアクセス制御指示を送信した時、アクセス制御プログラムは、アクセス制御指示を受信して、関連する端末装置に対する通信のアクセス制御を行なう。
好ましい例では、上記第１ＤＢは、特徴情報として、マルウェア感染時に生成されるファイルの特徴情報、又は脆弱性の原因となるファイルの特徴情報、又は使用が制限されているソフトウェアを特定することできる特徴情報の少なく１つを含む。
例えば、特徴情報として、ファイルの名前、ファイルサイズ、タイムスタンプ、ロケーション、ファイル名のハッシュ値、データハッシュ値、ソフトウェアのインストールによって書き換えられるレジストリ情報の１又はそれらの組合わせを含む。
監視装置のサーバプログラムは、また、検証結果に基づいて判断した後、端末装置に対して不具合なファイルの処置を含む対策支援を行なうための処理を実行する機能を有し、端末装置は、監視装置から対策支援の指示があった場合、対策支援に関する情報を表示装置に表示する。
本発明は、上記監視システムにおける監視装置としての構成、又は上記システムにおける監視装置で実行されるサーバプログラム、及び端末装置で実行されるエージェントプログラムについても新規な発明として把握される。
【００１２】
本発明にかかるソフトウェアの監視方法は、監視装置によってネットワークに接続された端末装置のソフトウェアの状態を監視する方法において、監視装置では、ソフトウェアの特徴を含む特徴情報を第1DBに格納するステップと、端末装置では、自らが有するファイルに関する情報を取得して第２DBに格納するステップと、監視装置から端末装置に、特徴情報を伴ってソフトウェアの検証要求を送信するステップと、端末装置では、検証要求を受信した後、第２DBを検索して特徴情報に関連するファイルの存在を検証するステップと、端末装置から監視装置に、検証結果を送信するステップと、監視装置では、受信した検証結果に基づいて、端末装置のソフトウェアの状態を判断するステップと、を有する。
好ましい例では、監視装置は、検証結果に基づいて判断した後、端末装置に対して不具合なファイルの処置を含む対策支援情報を送信するステップと、端末装置では、対策支援情報を受信して対策の内容を表示装置に表示するステップとを含む。
また、一例として、前記対策支援情報は、端末装置に対するアクション、表示データ、送受信情報、ファイルパス等うちの少なくとも１つ又はそれらの組み合わせを含む。
【発明の効果】
【００１３】
本発明によれば、監視装置からの要求に応じて、端末装置が取得したソフトウェア構成情報をチェックすることにより、比較的容易にセキュリティレベルの低い端末装置を検出することができ、またそれらの端末装置に対して的確な対策を講じることができる。また、従来の検証方法に比べて、高速に検証処理を行なうことができるため、二次感染を最小限に抑えることが可能となる。
【発明を実施するための最良の形態】
【００１４】
以下、図面を用いて、本発明の一実施形態について説明する。
図１は、一実施形態によるソフトウェア監視システムのネットワーク構成図である。
このソフトウェア監視システムは、ローカルネットワーク５０を介して、監視装置１０と、複数の端末装置２０と、及びネットワーク制御装置３０、４０とが互いに接続され、また、ネットワーク制御装置３０は、更にインターネットなどのワールドエリアネットワーク６０に接続されて構成される。
【００１５】
各装置１０〜４０を構成するハードウェアについては、図２に示すように、実質的に同様のユニットを有して構成される。
即ち、監視装置１０は、バス１７に接続された、ＣＰＵ１１と、メモリ１２と、通信装置１３と、表示装置１４と、入力装置１５と、記憶装置１６とを有して構成される。端末装置２０は、パーソナルコンピュータ（PC）のようなクライアントであり、それぞれバス２７に接続された、ＣＰＵ２１と、メモリ２２と、通信装置２３と、表示装置２４と、入力装置２５と、記憶装置２６とを有して構成される。また、ネットワーク制御装置３０は、バス３７に接続された、ＣＰＵ３１と、メモリ３２と、通信装置３３と、表示装置３４と、入力装置３５と、記憶装置３６と、通信装置３８とを有して構成される。ネットワーク制御装置４０は、バス４７に接続された、ＣＰＵ４１と、メモリ４２と、通信装置４３と、表示装置４４と、入力装置４５と、記憶装置４６とを有して構成される。
【００１６】
次に、図３を参照して、各装置１０〜４０の機能、およびそれらに関連するソフトウェア情報について説明する。
【００１７】
監視装置１０は、ソフトウェアの制御情報等を格納するためのソフトウェア制御情報データベース（ＤＢ）１１０と、端末装置２０の検証結果等を含む状態情報を格納する監視情報ＤＢ１２０と、ソフトウェア検索要求、検証結果、対策支援情報などの情報を送受信するデータ送受信部１０２と、それらを制御するサーバプログラム１０１を有する。尚、ＤＢ１１０、１２０は記憶装置１６に形成される。
【００１８】
ソフトウェア制御情報ＤＢ１１０は、マルウェア感染時に生成されるファイルの特徴情報を格納するマルウェア特徴情報１１１や、脆弱性の原因となるファイルの特徴情報を格納する脆弱性特徴情報１１２や、ライセンス制限などの理由により使用が制限されているソフトウェアを一意に特定することが可能なファイルの特徴情報を格納する使用制限情報１１３などを格納する。また、監視情報ＤＢ１２０は、端末装置２０から収集された検証結果に関する情報を格納する。即ち、検証要求の応答として端末装置２０から取得された、脆弱性在り又はマルウェア感染在りのファイルの特徴情報を、端末装置２０の例えばIPアドレスやホスト名に対応させて格納する。
【００１９】
ここで、特徴情報とは、ソフトウェアの種類やバージョンなどを特定するための情報であり、ファイルの名前やファイルサイズ、タイムスタンプ、ロケーション、ファイル名のハッシュ値、データハッシュ値に代表されるファイルを特定するための複数の情報を組み合わせた情報を言う。例えば、ウイルスに感染すると特定のファイルが生成されて、その時にハッシュ値が残る。また、脆弱性の在るソフトウェアには原因となる不具合のあるファイルが含まれており、インストール時にそのファイルのハッシュ値が残る。従ってこれらの特徴情報をキーにして,各端末装置２０が持つ情報を検索すれば、脆弱性のあるファイル等を探し出せる。
【００２０】
本実施例では、監視装置１０のサーバプログラム１０１の実行により、端末装置２０に収集された特徴情報を検索して脆弱性のあるファイルを検出して収集し、そのファイルに対して監視装置１０から対策指示を行なう。即ち、監視装置１０は、ローカルエリアネットワーク５０に脆弱性などの問題を有する不適切な端末装置が接続されているか否かを検査するために、端末装置２０に対して脆弱性などの問題を有するソフトウェアの保有状態を確認する検証要求を送信する。さらに、監視装置１０は、検証要求に対する応答として、端末装置２０から検証結果を収集し管理する。
【００２１】
また、監視装置１０は、端末装置２０から取得した検証結果に基づきネットワーク制御装置３０，４０にアクセス制御要求を送信したり、端末装置２０に対策支援情報を送信する。ここで対策支援情報とは、脆弱性やマルウェアを排除するプログラムや制御情報あるいは、脆弱性やマルウェアを排除する方法が記述されたデータ、及び注意喚起するための表示用データである。またネットワーク制御装置３０，４０は、受信したアクセス制御要求に従って、脆弱性の在る特定の端末装置２０に対してアクセスを禁止するなどの制御を行なう。
【００２２】
図５に、対策支援情報の例を示す。対策支援情報は、端末装置２０に対するアクション、表示データ、送受信情報、ファイルパス、等々、図示のような情報を含む。端末装置２０の表示装置２４には、受信した対策支援情報が表示され、その表示に従って処置するように促される。
【００２３】
端末装置２０は、通常時は記憶装置２６に記憶されたプログラムをＣＰＵ２１で実行して所期の機能を実現している。本実施例においては、端末装置２０は、端末装置２０内のソフトウェアの特徴情報を格納するソフトウェア構成情報ＤＢ２０３と、監視装置１０との間でソフトウェア検索要求、検証結果、対策支援情報などの情報を送受信するデータ送受信部２０１と、それらを制御するエージェントプログラム２０２を有する。尚、ソフトウェア構成情報ＤＢ２０３は記憶装置２６内に形成される。
【００２４】
図４に示すように、ソフトウェア構成情報ＤＢ２０３に格納されるソフトウェア特徴情報には、ファイル名、ファイルサイズ、タイムスタンプ、ロケーション、ファイル名のハッシュ値、データハッシュ値、ソフトウェアのインストールによって書き換えられるレジストリ情報等が含まれる。これらの情報の１又は複数の組合わせた情報によってＤＢ２０３を検索することにより、該当するファイル等が捜し出される。
【００２５】
エージェントプログラム２０２は、端末装置２０における通常のプログラムの実行により生成されるファイルやソフトウェアに関する特徴情報を、リアルタイムで収集してソフトウェア構成情報ＤＢ２０３に登録する機能を有する。更に、監視装置１０のサーバプログラム１０１からの検証要求に従って、このエージェントプログラム２０２を実行させ、ソフトウェア構成情報ＤＢ２０３を検索して、脆弱性を有するソフトウェアやマルウェア感染時に生成されるファイルを捜し出し、その検証結果を監視装置１０へ送信する機能を有する。さらに、エージェントプログラム２０２は、監視装置１０から送信される対策支援情報に基づき対策を実施する。例えば、表示装置２４に表示される対策支援情報に従って、脆弱性の原因となるファイルやマルウェア感染時に生成されるファイルを認識して、これらのファイルを記憶装置２６から削除したり、検疫することができる。
【００２６】
このように、通常のプログラムの実行時に、エージェントプログラム２０２の実行によってファイルやソフトウェアに関する特徴情報をリアルタイムで収集してソフトウェア構成情報ＤＢ２０３に収集しておくことにより、監視装置１０からの検証要求に対してＤＢ２０３を検索して、脆弱性の在るファイル等を即座に求めて応答することができる。これにより短時間で脆弱性検証処理やマルウェア感染検証処理を実施できる。
【００２７】
ネットワーク制御装置３０は、ローカルエリアネットワーク５０に接続された不適切な端末装置による被害拡大を防止するために、アクセス制御や端末装置のネットワーク通信遮断などを実施する。
図３に示すように、ネットワーク制御装置３０は、アクセス管理情報ＤＢ３０４と、データ送受信部３０２と、データ送受信部３０１と、それらを制御するアクセス制御プログラム３０３を有する。
【００２８】
アクセス管理情報ＤＢ３０４は、端末装置２０のアクセス制御に関する情報を格納する。データ送受信部３０２は、監視装置１０から送信されるアクセス制御指示情報やアクセス管理情報を送受信すると共に、ローカルエリアネットワーク５０からワイドエリアネットワーク６０に向けた通信データや、ローカルエリアネットワーク５０からワイドエリアネットワーク６０に向けた通信データなどを送受信する。データ送受信部３０１は、ローカルエリアネットワーク５０からワイドエリアネットワーク６０に向けた通信データや、ローカルエリアネットワーク５０からワイドエリアネットワーク６０に向けた通信データなどを送受信する。
【００２９】
ネットワーク制御装置４０は、ローカルエリアネットワーク５０に接続された不適切な端末装置による被害拡大を防止するために、アクセス制御などを実施する。
図３に示すように、ネットワーク制御装置４０は、端末装置のアクセス制御に関する情報が格納されるアクセス管理情報ＤＢ４０３と、監視装置１０からアクセス制御指示情報や、アクセス管理情報や、ローカルエリアネットワーク５０に接続している端末装置の送信する通信データなどを送受信するデータ送受信部４０１と、それらを制御するアクセス制御プログラム４０２を有する。
【００３０】
次に、図６を参照して、このソフトウェア監視システムの動作の概略を説明する。
最初に各端末装置２０は、エージェントプログラム２０２の実行によって、自ら保有するファイルの情報をリアルタイムでソフトウェア構成情報ＤＢ２０３に記録する（ＳＴ０１）。並行して又は逐次、監視装置１０は、ソフトウェアを特定するためのソフトウェア特徴情報（マルウェア特徴情報および脆弱性情報）、及びソフトウェア検出時の処理を定義した情報（使用制限情報）を、ソフトウェア制御情報ＤＢ１１０に記録する（ＳＴ０２）。
【００３１】
次に、監視装置１０は、サーバプログラム１０１の実行の下、端末装置２０に対してソフトウェア検証要求を送信する（ＳＴ１）。この検証要求による検査は、例えば毎日午前０時１０分のように一定時間毎に実行される。端末装置２０はソフトウェア検証要求を受信すると、ソフトウェア構成情報ＤＢ２０３を検索して、上記特徴情報によって指定されたソフトウェア情報を格納しているかを検証し、その検証結果を監視装置１０に送信する（ＳＴ２）。
【００３２】
監視装置１０は,各端末装置２０から送信される検証結果を受信し、必要に応じて該当する端末装置２０に対して対策支援情報を送信する（ＳＴ３）。更に、監視装置１０は検証結果に基づき、必要に応じて該当するネットワーク制御装置３０、４０に対して、アクセス制御指示を送信する（ＳＴ４）。アクセス制御指示を受信したネットワーク制御装置３０、４０は、端末装置２０のネットワーク通信のアクセス制御を実施する。アクセス制御指示に基づいて例えば、ネットワークの通信遮断を行なう。監視装置１０は端末装置２０に対してもアクセス制御指示を送信して同様の処理を実施することがある。
【００３３】
次に、図７を参照して、ソフトウェア監視システムにおける各装置の処理動作について説明する。
まず、監視装置１０はネットワークに接続された端末装置２０を監視するために、サーバプログラム１０１を起動する（Ｓ００１）。そして監視装置１０はソフトウェア特徴情報を定義する（Ｓ００２）。
ここでは、データハッシュ値＝“2B9327351AC421E2B67E13A18A31F0BF72EA2323”に一致するファイル１をマルウェア感染時に生成されるファイルとして、ファイル名＝“system.dll”、データハッシュ値＝“481EA981C7E8F546AE12143EE7D08011BF9F3728”に一致するファイル２を脆弱性のある古いシステムファイルと仮定する。
【００３４】
次に、監視装置１０はソフトウェアが検出された場合の動作などをポリシー情報として定義する（Ｓ００３）。ポリシー情報として、例えばS００２で定義されたファイル１が検出された端末装置のネットワーク接続を切断し、ファイル２が検出された端末装置にはファイルの更新を促すメッセージを表示するように定義するものとする。
【００３５】
サーバプログラム１０１は、ローカルエリアネットワーク５０に接続されている監視対象となる端末装置２０の状態情報の一覧を表示する（Ｓ００４）。表示装置１４には、例えば、監視対象となる端末装置２０のIPアドレスやホスト名と共に、監視情報ＤＢ１２０に格納して蓄積されたその端末装置２０に関する脆弱性保有状態やマルウェア感染状態に関する検証結果の情報が表示される。システム保守員は、表示内容から判断して監視対象とする端末装置を選択して入力装置１５から指定する。
【００３６】
次に、サーバプログラム１０１はソフトウェア検証要求を作成し、データ送受信部１０２を介してそれを監視対象の端末装置２０に送信する（Ｓ００５）。このソフトウェア検証要求は、マルウェア感染時に生成されるファイルや脆弱性を有するソフトウェアや保安上の問題により使用を制限したいソフトウェアなど、セキュリティを確保する上で不適切なソフトウェアの保有状態を検証するために送信されるものである。この検証要求には、ソフトウェア制御情報ＤＢ１１０から取得したマルウェア特徴情報１１１や脆弱性特徴情報１１２や使用制限情報１１３などのソフトウェア特徴情報を伴って送信される。この例では、ソフトウェア検証要求に、上記ファイル１とファイル２を検索するための情報が付加されて送信される。
【００３７】
一方、端末装置２０では、端末装置２０が起動されると、その直後にエージェントプログラム２０２を起動する（Ｓ００６）。そして、エージェントプログラム２０２は、端末装置の保有するファイルの最新の特徴情報を取得して、ソフトウェア構成情報ＤＢ２０３に格納する（Ｓ００７）。ＤＢ２０３に格納されるソフトウェア構成情報に関しては、例えば、マルウェア感染したある端末装置２０は、マルウェア感染時に生成されたファイル（ファイル名＝“malicious.exe”、”データハッシュ値＝“2B9327351AC421E2B67E13A18A31F0BF72EA2323”）も含む情報をＤＢ２０３に格納している。また、脆弱性のある古いソフトウェアを使用しているある端末装置２０のエージェントプログラム２０２は、ファイル（ファイル名＝“system.dll”、データハッシュ値＝“481EA981C7E8F546AE12143EE7D08011BF9F3728”）も含む情報をＤＢ２０３に格納している（Ｓ００７）。
【００３８】
端末装置２０は監視装置１０から送信される、ファイル１およびファイル２に関する特徴情報を含むソフトウェア検証要求を受信すると（Ｓ００８）、エージェントプログラム２０２に処理を引き継ぐ。エージェントプログラム２０２は、ソフトウェア検証要求に基づいてソフトウェア構成情報ＤＢ２０３を検索して、ファイル１およびファイル２と一致するファイルがＤＢ２０３に存在するか否かを判定する（Ｓ００９）。
【００３９】
ソフトウェア構成情報ＤＢ２０３の検索した結果、ファイル１又はファイル２の存在を検知すると、エージェントプログラム２０２は、その検証結果即ちファイル１又はファイル２の情報を含むソフトウェア構成情報を、端末装置２０の状態情報（即ちIPアドレス及びホスト名を含む情報）と共にデータ送受信部２０１を経由して監視装置１０に送信する（Ｓ０１０）。
【００４０】
監視装置１０は、監視対象の端末装置２０から送信された検証結果の情報を受信すると（Ｓ０１１）、サーバプログラム１０１は、取得した検証結果からポリシーに基づいて判断する（Ｓ０１２）。例えば、検証結果と、それを取得した端末装置の状態、及び予め策定されたポリシーを表示装置１４に表示し、システム管理者によってアクセス制御、脆弱性除去、マルウェア対策、ソフトウェア使用制限などの対策手段が決定されて、対策のための指示が入力装置１５から入力される。対策としては、例えばファイル１を保有していた端末装置２０に対してはネットワーク接続の切断が指示される。またファイル２を保有していたある端末装置２０に対してはソフトウェアの更新を要請するためのメッセージの表示が指示される。そして、サーバプログラム１０１は、データ送受信部１０２を経由して、ネットワーク制御装置３０、４０に対してアクセス制御指示を送信する（Ｓ０１３）。この場合の指示とは、例えば端末装置２０のネットワーク接続を切断するための指示である。
【００４１】
ネットワーク制御装置３０では、監視装置１０より送信されたアクセス制御指示を、データ送受信部３０２を介して受信する（Ｓ０１４）。同様にして、ネットワーク制御装置４０でも、データ送受信部４０１を介して、このアクセス制御指示を受信することがある。ネットワーク制御装置３０のアクセス制御プログラム３０３は、受信したアクセス制御指示をアクセス管理情報ＤＢ３０４に反映し、端末装置２０のネットワーク接続切断の処理を実施する（Ｓ０１５）。
【００４２】
また、サーバプログラム１０１は、データ送受信部１０２を介して特定の端末装置２０に対策支援情報を送信する（Ｓ０１６）。この対策支援情報としては、脆弱性除去、マルウェア対策、ソフトウェア使用制限の強制実行、及び注意喚起や対策手法のための情報が含まれる。
【００４３】
特定の端末装置２０は、送信された対策支援情報を受信して（Ｓ０１７）、エージェントプログラム２０２は、その対策支援情報に関する内容を表示装置２４に表示する。表示内容としては、例えば古くなったソフトウェアのバージョンを更新する旨を促すメッセージである。その表示に従って、その端末装置２０の利用者は対策を講じる（Ｓ０１８）。即ち、指摘された古いソフトウェアのバージョンを最新のものに更新する。
【００４４】
対策が済むと、エージェントプログラム２０２は、監視装置１０に対して、対策結果、即ちメッセージの閲覧完了通知を送信する（Ｓ０１９）。監視装置１０のサーバプログラム１０１は、対策の対象となった端末装置２０から対策結果を受信すると（Ｓ０２０）、その対策結果を監視情報ＤＢ１２０に格納して端末装置の状態情報を更新する（Ｓ０２１）。かつ更新された端末装置２０の状態情報を含む一覧を表示装置１４に表示する。この表示を見て、システム管理者は、脆弱性やマルウェアに感染した端末装置の状況、及びそれらの端末装置に対する対策の状況を把握することができる。
【００４５】
上記したように本実施形態によれば、監視装置は、端末装置に内在する脆弱性、利用規則にそぐわないソフトウェアの利用行為、ならびにマルウェア感染状況を検証できる。また、端末装置は自ら保有するファイルの情報を逐次取得してソフトウェア構成情報ＤＢに格納しておくので、監視装置からの検証要求に対して即このソフトウェア構成情報ＤＢを検索することにより、指定された特徴情報に合致したファイルの存否を高速に検証することができる。脆弱性対策やマルウェア対策についてはネットワーク制御装置に対するアクセス制御と連携させることにより、マルウェアの二次感染に対する危険性を低減させることが可能となる。
【図面の簡単な説明】
【００４６】
【図１】一実施形態におけるソフトウェア監視システムのネットワーク構成を示す図。
【図２】図１のソフトウェア監視システムを構成する各装置のハードウェアの構成例を示す図。
【図３】図１のソフトウェア監視システムを構成する各装置のソフトウェアの構成例を示す図。
【図４】一実施形態によるソフトウェア監視システムにおけるソフトウェア特徴情報の構成を示す図。
【図５】一実施形態によるソフトウェア監視システムにおける対策支援情報の構成を示す図。
【図６】一実施形態によるソフトウェア監視システムの全体動作の概略を説明するための図。
【図７】一実施形態によるソフトウェア監視システムにおける各装置の動作を説明するためのフロー図。
【符号の説明】
【００４７】
１０：監視装置、 １１、２１，３１，４１：ＣＰＵ、
１２、２２，３２，４２：メモリ、 １３、２３，３３，３８,４３：通信装置、
１４、２４，３４，４４：表示装置、 １５、５，３５，４５：入力装置、
１６、２６，３６，４６：記憶装置、 １７、２７，３７，４７：バス、
２０：端末装置、 ３０：ネットワーク制御装置、
４０：ネットワーク制御装置、 ５０：ローカルエリアネットワーク、
６０：ワールドエリアネットワーク、 １０１：サーバプログラム、
１０２：データ送受信部、 １１０：ソフトウェア制御情報ＤＢ、
１１１：マルウェア特徴情報、 １１２：脆弱性特徴情報、
１１３：使用制限情報、 １２０：監視情報ＤＢ、
２０１：データ送受信部、 ２０２：エージェントプログラム、
２０３：ソフトウェア構成情報ＤＢ、 ３０１、３０２：データ送受信部、
３０３：アクセス制御プログラム、 ３０４：アクセス管理情報ＤＢ、
４０１：データ送受信部、 ４０２：アクセス制御プログラム、
４０３：アクセス管理情報ＤＢ。
【技術分野】
【０００１】
本発明は、ソフトウェア監視システムおよび監視方法に係り、さらに詳しくは、ネットワークに接続された端末装置の状態を監視装置で監視するシステムにおいて、端末装置が有するソフトウェア情報に基づいてセキュリティレベルの低い端末装置を検出するソフトウェア監視システム及び監視方法に関するものである。
【背景技術】
【０００２】
複数の端末装置がネットワークに接続されて構成されるネットワークシステムにおいて、端末装置が有するソフトウェア情報を監視することによって、脆弱性の有無や、ウイルスの感染の有無等のソフトウェアの安全性を検証し、セキュリティレベルの低い端末装置を検出することが知られている。その検証結果に従って端末装置に対策を講じ、これによりネットワーク全体のセキュリティレベルを向上させることができる。
【０００３】
セキュリティレベルの低い端末装置を発見するための技術としては、脆弱性検証処理方法や、ウイルスおよびワーム等（以下、単にマルウェアとも称する）感染検証処理方法によるものが知られている。
【０００４】
前者の脆弱性検証処理に関しては、例えば、特開２００３−２７１４６９号公報（特許文献１）に、検査コンソールが、ネットワークに接続されたクライアント装置であるコンピュータからファイル情報やレジストリ情報を収集して、クライアント装置の状況や脆弱性を検出する技術が開示されている。
【０００５】
また、後者のマルウェア感染検証処理に関しては、例えば、特開２００２−２２２０９４号公報（特許文献２）に、サーバが、複数のクライアントからウイルスの検出、消去に関する処理情報を収集して、ウイルス対策の実行指示と管理を一元的に行なう技術が開示されている。
【０００６】
【特許文献１】特開２００３−２７１４６９号公報
【特許文献２】特開２００２−２２２０９４号公報
【発明の開示】
【発明が解決しようとする課題】
【０００７】
上記のような従来の技術によってセキュリティレベルの低い端末装置を発見するには、脆弱性検証処理を実施するソフトウェアと、マルウェア感染検証処理を実施するソフトウェアの２つのソフトウェアを用意する必要がある。
【０００８】
また、マルウェア感染検証処理においては、監視対象の端末装置が持つファイルを全て検索して処理するために多大な時間がかかり、かつ多くのリソースを消費する。更に、マルウェアの感染を検証するための処理に時間がかかることからマルウェアの二次的感染、破壊活動、情報漏洩などといった不正活動を助長することになり被害拡大の危険性が高くなる。
【０００９】
本発明の目的は、ソフトウェアの安全性を検証して、セキュリティレベルの低い端末装置を検出することにある。
本発明は、より具体的には、脆弱性のあるソフトウェアを持つ端末装置、又はマルウェアに感染した端末装置を効率的に検出して、的確な対策を講じることができるソフトウェアの監視システム及び方法を提供することにある。
【課題を解決するための手段】
【００１０】
本発明にかかるソフトウェア監視システムは、監視装置によりネットワークに接続された端末装置のソフトウェアの状態を監視するシステムにおいて、監視装置は、システムで使用されるソフトウェアの特徴を含む特徴情報を格納する第1のデータベース（第1DB）と、少なくとも端末装置のソフトウェアを監視するための処理を行うサーバプログラムを実行する処理装置とを有し、端末装置は、自らが有するファイルに関する情報を取得して格納する第２のデータベース（第２DB）と、前記ファイルに関する情報を取得して該第２DBへ格納するため処理、及び監視装置からの検証要求に基づいて検証のための処理を行なう該エージェントプログラムを実行する処理装置を有し、監視装置は、サーバプログラムの実行により、対象とする端末装置に特徴情報と共に検証要求を送信し、端末装置は、検証要求を受信した後、エージェントプログラムの実行により第２DBを検索して特徴情報に関連するファイルの存在を検証して、検証結果を監視装置に送信し、監視装置は、サーバプログラムの実行により、受信した検証結果に基づいて端末装置のソフトウェアの状態を判断する処理を行う。
【００１１】
また、このシステムは、更に、ネットワークに接続されたネットワーク制御装置を含み、ネットワーク制御装置は、アクセス制御に関する情報を登録するアクセス管理情報ＤＢと、ネットワークに対するアクセス制御を行なうアクセス制御プログラムを実行する処理装置を備え、監視装置が、検証結果に基づく判断の処理した後、ネットワークを介して関係するネットワーク制御装置へアクセス制御指示を送信した時、アクセス制御プログラムは、アクセス制御指示を受信して、関連する端末装置に対する通信のアクセス制御を行なう。
好ましい例では、上記第１ＤＢは、特徴情報として、マルウェア感染時に生成されるファイルの特徴情報、又は脆弱性の原因となるファイルの特徴情報、又は使用が制限されているソフトウェアを特定することできる特徴情報の少なく１つを含む。
例えば、特徴情報として、ファイルの名前、ファイルサイズ、タイムスタンプ、ロケーション、ファイル名のハッシュ値、データハッシュ値、ソフトウェアのインストールによって書き換えられるレジストリ情報の１又はそれらの組合わせを含む。
監視装置のサーバプログラムは、また、検証結果に基づいて判断した後、端末装置に対して不具合なファイルの処置を含む対策支援を行なうための処理を実行する機能を有し、端末装置は、監視装置から対策支援の指示があった場合、対策支援に関する情報を表示装置に表示する。
本発明は、上記監視システムにおける監視装置としての構成、又は上記システムにおける監視装置で実行されるサーバプログラム、及び端末装置で実行されるエージェントプログラムについても新規な発明として把握される。
【００１２】
本発明にかかるソフトウェアの監視方法は、監視装置によってネットワークに接続された端末装置のソフトウェアの状態を監視する方法において、監視装置では、ソフトウェアの特徴を含む特徴情報を第1DBに格納するステップと、端末装置では、自らが有するファイルに関する情報を取得して第２DBに格納するステップと、監視装置から端末装置に、特徴情報を伴ってソフトウェアの検証要求を送信するステップと、端末装置では、検証要求を受信した後、第２DBを検索して特徴情報に関連するファイルの存在を検証するステップと、端末装置から監視装置に、検証結果を送信するステップと、監視装置では、受信した検証結果に基づいて、端末装置のソフトウェアの状態を判断するステップと、を有する。
好ましい例では、監視装置は、検証結果に基づいて判断した後、端末装置に対して不具合なファイルの処置を含む対策支援情報を送信するステップと、端末装置では、対策支援情報を受信して対策の内容を表示装置に表示するステップとを含む。
また、一例として、前記対策支援情報は、端末装置に対するアクション、表示データ、送受信情報、ファイルパス等うちの少なくとも１つ又はそれらの組み合わせを含む。
【発明の効果】
【００１３】
本発明によれば、監視装置からの要求に応じて、端末装置が取得したソフトウェア構成情報をチェックすることにより、比較的容易にセキュリティレベルの低い端末装置を検出することができ、またそれらの端末装置に対して的確な対策を講じることができる。また、従来の検証方法に比べて、高速に検証処理を行なうことができるため、二次感染を最小限に抑えることが可能となる。
【発明を実施するための最良の形態】
【００１４】
以下、図面を用いて、本発明の一実施形態について説明する。
図１は、一実施形態によるソフトウェア監視システムのネットワーク構成図である。
このソフトウェア監視システムは、ローカルネットワーク５０を介して、監視装置１０と、複数の端末装置２０と、及びネットワーク制御装置３０、４０とが互いに接続され、また、ネットワーク制御装置３０は、更にインターネットなどのワールドエリアネットワーク６０に接続されて構成される。
【００１５】
各装置１０〜４０を構成するハードウェアについては、図２に示すように、実質的に同様のユニットを有して構成される。
即ち、監視装置１０は、バス１７に接続された、ＣＰＵ１１と、メモリ１２と、通信装置１３と、表示装置１４と、入力装置１５と、記憶装置１６とを有して構成される。端末装置２０は、パーソナルコンピュータ（PC）のようなクライアントであり、それぞれバス２７に接続された、ＣＰＵ２１と、メモリ２２と、通信装置２３と、表示装置２４と、入力装置２５と、記憶装置２６とを有して構成される。また、ネットワーク制御装置３０は、バス３７に接続された、ＣＰＵ３１と、メモリ３２と、通信装置３３と、表示装置３４と、入力装置３５と、記憶装置３６と、通信装置３８とを有して構成される。ネットワーク制御装置４０は、バス４７に接続された、ＣＰＵ４１と、メモリ４２と、通信装置４３と、表示装置４４と、入力装置４５と、記憶装置４６とを有して構成される。
【００１６】
次に、図３を参照して、各装置１０〜４０の機能、およびそれらに関連するソフトウェア情報について説明する。
【００１７】
監視装置１０は、ソフトウェアの制御情報等を格納するためのソフトウェア制御情報データベース（ＤＢ）１１０と、端末装置２０の検証結果等を含む状態情報を格納する監視情報ＤＢ１２０と、ソフトウェア検索要求、検証結果、対策支援情報などの情報を送受信するデータ送受信部１０２と、それらを制御するサーバプログラム１０１を有する。尚、ＤＢ１１０、１２０は記憶装置１６に形成される。
【００１８】
ソフトウェア制御情報ＤＢ１１０は、マルウェア感染時に生成されるファイルの特徴情報を格納するマルウェア特徴情報１１１や、脆弱性の原因となるファイルの特徴情報を格納する脆弱性特徴情報１１２や、ライセンス制限などの理由により使用が制限されているソフトウェアを一意に特定することが可能なファイルの特徴情報を格納する使用制限情報１１３などを格納する。また、監視情報ＤＢ１２０は、端末装置２０から収集された検証結果に関する情報を格納する。即ち、検証要求の応答として端末装置２０から取得された、脆弱性在り又はマルウェア感染在りのファイルの特徴情報を、端末装置２０の例えばIPアドレスやホスト名に対応させて格納する。
【００１９】
ここで、特徴情報とは、ソフトウェアの種類やバージョンなどを特定するための情報であり、ファイルの名前やファイルサイズ、タイムスタンプ、ロケーション、ファイル名のハッシュ値、データハッシュ値に代表されるファイルを特定するための複数の情報を組み合わせた情報を言う。例えば、ウイルスに感染すると特定のファイルが生成されて、その時にハッシュ値が残る。また、脆弱性の在るソフトウェアには原因となる不具合のあるファイルが含まれており、インストール時にそのファイルのハッシュ値が残る。従ってこれらの特徴情報をキーにして,各端末装置２０が持つ情報を検索すれば、脆弱性のあるファイル等を探し出せる。
【００２０】
本実施例では、監視装置１０のサーバプログラム１０１の実行により、端末装置２０に収集された特徴情報を検索して脆弱性のあるファイルを検出して収集し、そのファイルに対して監視装置１０から対策指示を行なう。即ち、監視装置１０は、ローカルエリアネットワーク５０に脆弱性などの問題を有する不適切な端末装置が接続されているか否かを検査するために、端末装置２０に対して脆弱性などの問題を有するソフトウェアの保有状態を確認する検証要求を送信する。さらに、監視装置１０は、検証要求に対する応答として、端末装置２０から検証結果を収集し管理する。
【００２１】
また、監視装置１０は、端末装置２０から取得した検証結果に基づきネットワーク制御装置３０，４０にアクセス制御要求を送信したり、端末装置２０に対策支援情報を送信する。ここで対策支援情報とは、脆弱性やマルウェアを排除するプログラムや制御情報あるいは、脆弱性やマルウェアを排除する方法が記述されたデータ、及び注意喚起するための表示用データである。またネットワーク制御装置３０，４０は、受信したアクセス制御要求に従って、脆弱性の在る特定の端末装置２０に対してアクセスを禁止するなどの制御を行なう。
【００２２】
図５に、対策支援情報の例を示す。対策支援情報は、端末装置２０に対するアクション、表示データ、送受信情報、ファイルパス、等々、図示のような情報を含む。端末装置２０の表示装置２４には、受信した対策支援情報が表示され、その表示に従って処置するように促される。
【００２３】
端末装置２０は、通常時は記憶装置２６に記憶されたプログラムをＣＰＵ２１で実行して所期の機能を実現している。本実施例においては、端末装置２０は、端末装置２０内のソフトウェアの特徴情報を格納するソフトウェア構成情報ＤＢ２０３と、監視装置１０との間でソフトウェア検索要求、検証結果、対策支援情報などの情報を送受信するデータ送受信部２０１と、それらを制御するエージェントプログラム２０２を有する。尚、ソフトウェア構成情報ＤＢ２０３は記憶装置２６内に形成される。
【００２４】
図４に示すように、ソフトウェア構成情報ＤＢ２０３に格納されるソフトウェア特徴情報には、ファイル名、ファイルサイズ、タイムスタンプ、ロケーション、ファイル名のハッシュ値、データハッシュ値、ソフトウェアのインストールによって書き換えられるレジストリ情報等が含まれる。これらの情報の１又は複数の組合わせた情報によってＤＢ２０３を検索することにより、該当するファイル等が捜し出される。
【００２５】
エージェントプログラム２０２は、端末装置２０における通常のプログラムの実行により生成されるファイルやソフトウェアに関する特徴情報を、リアルタイムで収集してソフトウェア構成情報ＤＢ２０３に登録する機能を有する。更に、監視装置１０のサーバプログラム１０１からの検証要求に従って、このエージェントプログラム２０２を実行させ、ソフトウェア構成情報ＤＢ２０３を検索して、脆弱性を有するソフトウェアやマルウェア感染時に生成されるファイルを捜し出し、その検証結果を監視装置１０へ送信する機能を有する。さらに、エージェントプログラム２０２は、監視装置１０から送信される対策支援情報に基づき対策を実施する。例えば、表示装置２４に表示される対策支援情報に従って、脆弱性の原因となるファイルやマルウェア感染時に生成されるファイルを認識して、これらのファイルを記憶装置２６から削除したり、検疫することができる。
【００２６】
このように、通常のプログラムの実行時に、エージェントプログラム２０２の実行によってファイルやソフトウェアに関する特徴情報をリアルタイムで収集してソフトウェア構成情報ＤＢ２０３に収集しておくことにより、監視装置１０からの検証要求に対してＤＢ２０３を検索して、脆弱性の在るファイル等を即座に求めて応答することができる。これにより短時間で脆弱性検証処理やマルウェア感染検証処理を実施できる。
【００２７】
ネットワーク制御装置３０は、ローカルエリアネットワーク５０に接続された不適切な端末装置による被害拡大を防止するために、アクセス制御や端末装置のネットワーク通信遮断などを実施する。
図３に示すように、ネットワーク制御装置３０は、アクセス管理情報ＤＢ３０４と、データ送受信部３０２と、データ送受信部３０１と、それらを制御するアクセス制御プログラム３０３を有する。
【００２８】
アクセス管理情報ＤＢ３０４は、端末装置２０のアクセス制御に関する情報を格納する。データ送受信部３０２は、監視装置１０から送信されるアクセス制御指示情報やアクセス管理情報を送受信すると共に、ローカルエリアネットワーク５０からワイドエリアネットワーク６０に向けた通信データや、ローカルエリアネットワーク５０からワイドエリアネットワーク６０に向けた通信データなどを送受信する。データ送受信部３０１は、ローカルエリアネットワーク５０からワイドエリアネットワーク６０に向けた通信データや、ローカルエリアネットワーク５０からワイドエリアネットワーク６０に向けた通信データなどを送受信する。
【００２９】
ネットワーク制御装置４０は、ローカルエリアネットワーク５０に接続された不適切な端末装置による被害拡大を防止するために、アクセス制御などを実施する。
図３に示すように、ネットワーク制御装置４０は、端末装置のアクセス制御に関する情報が格納されるアクセス管理情報ＤＢ４０３と、監視装置１０からアクセス制御指示情報や、アクセス管理情報や、ローカルエリアネットワーク５０に接続している端末装置の送信する通信データなどを送受信するデータ送受信部４０１と、それらを制御するアクセス制御プログラム４０２を有する。
【００３０】
次に、図６を参照して、このソフトウェア監視システムの動作の概略を説明する。
最初に各端末装置２０は、エージェントプログラム２０２の実行によって、自ら保有するファイルの情報をリアルタイムでソフトウェア構成情報ＤＢ２０３に記録する（ＳＴ０１）。並行して又は逐次、監視装置１０は、ソフトウェアを特定するためのソフトウェア特徴情報（マルウェア特徴情報および脆弱性情報）、及びソフトウェア検出時の処理を定義した情報（使用制限情報）を、ソフトウェア制御情報ＤＢ１１０に記録する（ＳＴ０２）。
【００３１】
次に、監視装置１０は、サーバプログラム１０１の実行の下、端末装置２０に対してソフトウェア検証要求を送信する（ＳＴ１）。この検証要求による検査は、例えば毎日午前０時１０分のように一定時間毎に実行される。端末装置２０はソフトウェア検証要求を受信すると、ソフトウェア構成情報ＤＢ２０３を検索して、上記特徴情報によって指定されたソフトウェア情報を格納しているかを検証し、その検証結果を監視装置１０に送信する（ＳＴ２）。
【００３２】
監視装置１０は,各端末装置２０から送信される検証結果を受信し、必要に応じて該当する端末装置２０に対して対策支援情報を送信する（ＳＴ３）。更に、監視装置１０は検証結果に基づき、必要に応じて該当するネットワーク制御装置３０、４０に対して、アクセス制御指示を送信する（ＳＴ４）。アクセス制御指示を受信したネットワーク制御装置３０、４０は、端末装置２０のネットワーク通信のアクセス制御を実施する。アクセス制御指示に基づいて例えば、ネットワークの通信遮断を行なう。監視装置１０は端末装置２０に対してもアクセス制御指示を送信して同様の処理を実施することがある。
【００３３】
次に、図７を参照して、ソフトウェア監視システムにおける各装置の処理動作について説明する。
まず、監視装置１０はネットワークに接続された端末装置２０を監視するために、サーバプログラム１０１を起動する（Ｓ００１）。そして監視装置１０はソフトウェア特徴情報を定義する（Ｓ００２）。
ここでは、データハッシュ値＝“2B9327351AC421E2B67E13A18A31F0BF72EA2323”に一致するファイル１をマルウェア感染時に生成されるファイルとして、ファイル名＝“system.dll”、データハッシュ値＝“481EA981C7E8F546AE12143EE7D08011BF9F3728”に一致するファイル２を脆弱性のある古いシステムファイルと仮定する。
【００３４】
次に、監視装置１０はソフトウェアが検出された場合の動作などをポリシー情報として定義する（Ｓ００３）。ポリシー情報として、例えばS００２で定義されたファイル１が検出された端末装置のネットワーク接続を切断し、ファイル２が検出された端末装置にはファイルの更新を促すメッセージを表示するように定義するものとする。
【００３５】
サーバプログラム１０１は、ローカルエリアネットワーク５０に接続されている監視対象となる端末装置２０の状態情報の一覧を表示する（Ｓ００４）。表示装置１４には、例えば、監視対象となる端末装置２０のIPアドレスやホスト名と共に、監視情報ＤＢ１２０に格納して蓄積されたその端末装置２０に関する脆弱性保有状態やマルウェア感染状態に関する検証結果の情報が表示される。システム保守員は、表示内容から判断して監視対象とする端末装置を選択して入力装置１５から指定する。
【００３６】
次に、サーバプログラム１０１はソフトウェア検証要求を作成し、データ送受信部１０２を介してそれを監視対象の端末装置２０に送信する（Ｓ００５）。このソフトウェア検証要求は、マルウェア感染時に生成されるファイルや脆弱性を有するソフトウェアや保安上の問題により使用を制限したいソフトウェアなど、セキュリティを確保する上で不適切なソフトウェアの保有状態を検証するために送信されるものである。この検証要求には、ソフトウェア制御情報ＤＢ１１０から取得したマルウェア特徴情報１１１や脆弱性特徴情報１１２や使用制限情報１１３などのソフトウェア特徴情報を伴って送信される。この例では、ソフトウェア検証要求に、上記ファイル１とファイル２を検索するための情報が付加されて送信される。
【００３７】
一方、端末装置２０では、端末装置２０が起動されると、その直後にエージェントプログラム２０２を起動する（Ｓ００６）。そして、エージェントプログラム２０２は、端末装置の保有するファイルの最新の特徴情報を取得して、ソフトウェア構成情報ＤＢ２０３に格納する（Ｓ００７）。ＤＢ２０３に格納されるソフトウェア構成情報に関しては、例えば、マルウェア感染したある端末装置２０は、マルウェア感染時に生成されたファイル（ファイル名＝“malicious.exe”、”データハッシュ値＝“2B9327351AC421E2B67E13A18A31F0BF72EA2323”）も含む情報をＤＢ２０３に格納している。また、脆弱性のある古いソフトウェアを使用しているある端末装置２０のエージェントプログラム２０２は、ファイル（ファイル名＝“system.dll”、データハッシュ値＝“481EA981C7E8F546AE12143EE7D08011BF9F3728”）も含む情報をＤＢ２０３に格納している（Ｓ００７）。
【００３８】
端末装置２０は監視装置１０から送信される、ファイル１およびファイル２に関する特徴情報を含むソフトウェア検証要求を受信すると（Ｓ００８）、エージェントプログラム２０２に処理を引き継ぐ。エージェントプログラム２０２は、ソフトウェア検証要求に基づいてソフトウェア構成情報ＤＢ２０３を検索して、ファイル１およびファイル２と一致するファイルがＤＢ２０３に存在するか否かを判定する（Ｓ００９）。
【００３９】
ソフトウェア構成情報ＤＢ２０３の検索した結果、ファイル１又はファイル２の存在を検知すると、エージェントプログラム２０２は、その検証結果即ちファイル１又はファイル２の情報を含むソフトウェア構成情報を、端末装置２０の状態情報（即ちIPアドレス及びホスト名を含む情報）と共にデータ送受信部２０１を経由して監視装置１０に送信する（Ｓ０１０）。
【００４０】
監視装置１０は、監視対象の端末装置２０から送信された検証結果の情報を受信すると（Ｓ０１１）、サーバプログラム１０１は、取得した検証結果からポリシーに基づいて判断する（Ｓ０１２）。例えば、検証結果と、それを取得した端末装置の状態、及び予め策定されたポリシーを表示装置１４に表示し、システム管理者によってアクセス制御、脆弱性除去、マルウェア対策、ソフトウェア使用制限などの対策手段が決定されて、対策のための指示が入力装置１５から入力される。対策としては、例えばファイル１を保有していた端末装置２０に対してはネットワーク接続の切断が指示される。またファイル２を保有していたある端末装置２０に対してはソフトウェアの更新を要請するためのメッセージの表示が指示される。そして、サーバプログラム１０１は、データ送受信部１０２を経由して、ネットワーク制御装置３０、４０に対してアクセス制御指示を送信する（Ｓ０１３）。この場合の指示とは、例えば端末装置２０のネットワーク接続を切断するための指示である。
【００４１】
ネットワーク制御装置３０では、監視装置１０より送信されたアクセス制御指示を、データ送受信部３０２を介して受信する（Ｓ０１４）。同様にして、ネットワーク制御装置４０でも、データ送受信部４０１を介して、このアクセス制御指示を受信することがある。ネットワーク制御装置３０のアクセス制御プログラム３０３は、受信したアクセス制御指示をアクセス管理情報ＤＢ３０４に反映し、端末装置２０のネットワーク接続切断の処理を実施する（Ｓ０１５）。
【００４２】
また、サーバプログラム１０１は、データ送受信部１０２を介して特定の端末装置２０に対策支援情報を送信する（Ｓ０１６）。この対策支援情報としては、脆弱性除去、マルウェア対策、ソフトウェア使用制限の強制実行、及び注意喚起や対策手法のための情報が含まれる。
【００４３】
特定の端末装置２０は、送信された対策支援情報を受信して（Ｓ０１７）、エージェントプログラム２０２は、その対策支援情報に関する内容を表示装置２４に表示する。表示内容としては、例えば古くなったソフトウェアのバージョンを更新する旨を促すメッセージである。その表示に従って、その端末装置２０の利用者は対策を講じる（Ｓ０１８）。即ち、指摘された古いソフトウェアのバージョンを最新のものに更新する。
【００４４】
対策が済むと、エージェントプログラム２０２は、監視装置１０に対して、対策結果、即ちメッセージの閲覧完了通知を送信する（Ｓ０１９）。監視装置１０のサーバプログラム１０１は、対策の対象となった端末装置２０から対策結果を受信すると（Ｓ０２０）、その対策結果を監視情報ＤＢ１２０に格納して端末装置の状態情報を更新する（Ｓ０２１）。かつ更新された端末装置２０の状態情報を含む一覧を表示装置１４に表示する。この表示を見て、システム管理者は、脆弱性やマルウェアに感染した端末装置の状況、及びそれらの端末装置に対する対策の状況を把握することができる。
【００４５】
上記したように本実施形態によれば、監視装置は、端末装置に内在する脆弱性、利用規則にそぐわないソフトウェアの利用行為、ならびにマルウェア感染状況を検証できる。また、端末装置は自ら保有するファイルの情報を逐次取得してソフトウェア構成情報ＤＢに格納しておくので、監視装置からの検証要求に対して即このソフトウェア構成情報ＤＢを検索することにより、指定された特徴情報に合致したファイルの存否を高速に検証することができる。脆弱性対策やマルウェア対策についてはネットワーク制御装置に対するアクセス制御と連携させることにより、マルウェアの二次感染に対する危険性を低減させることが可能となる。
【図面の簡単な説明】
【００４６】
【図１】一実施形態におけるソフトウェア監視システムのネットワーク構成を示す図。
【図２】図１のソフトウェア監視システムを構成する各装置のハードウェアの構成例を示す図。
【図３】図１のソフトウェア監視システムを構成する各装置のソフトウェアの構成例を示す図。
【図４】一実施形態によるソフトウェア監視システムにおけるソフトウェア特徴情報の構成を示す図。
【図５】一実施形態によるソフトウェア監視システムにおける対策支援情報の構成を示す図。
【図６】一実施形態によるソフトウェア監視システムの全体動作の概略を説明するための図。
【図７】一実施形態によるソフトウェア監視システムにおける各装置の動作を説明するためのフロー図。
【符号の説明】
【００４７】
１０：監視装置、 １１、２１，３１，４１：ＣＰＵ、
１２、２２，３２，４２：メモリ、 １３、２３，３３，３８,４３：通信装置、
１４、２４，３４，４４：表示装置、 １５、５，３５，４５：入力装置、
１６、２６，３６，４６：記憶装置、 １７、２７，３７，４７：バス、
２０：端末装置、 ３０：ネットワーク制御装置、
４０：ネットワーク制御装置、 ５０：ローカルエリアネットワーク、
６０：ワールドエリアネットワーク、 １０１：サーバプログラム、
１０２：データ送受信部、 １１０：ソフトウェア制御情報ＤＢ、
１１１：マルウェア特徴情報、 １１２：脆弱性特徴情報、
１１３：使用制限情報、 １２０：監視情報ＤＢ、
２０１：データ送受信部、 ２０２：エージェントプログラム、
２０３：ソフトウェア構成情報ＤＢ、 ３０１、３０２：データ送受信部、
３０３：アクセス制御プログラム、 ３０４：アクセス管理情報ＤＢ、
４０１：データ送受信部、 ４０２：アクセス制御プログラム、
４０３：アクセス管理情報ＤＢ。
【特許請求の範囲】
【請求項１】
監視装置によりネットワークに接続された端末装置のソフトウェアの状態を監視するシステムにおいて、
該監視装置は、該システムで使用されるソフトウェアの特徴を含む特徴情報を格納する第1のデータベース（第1DB）と、少なくとも端末装置のソフトウェアを監視するための処理を行うサーバプログラムを実行する処理装置と、を有し、
該端末装置は、自らが有するファイルに関する情報を取得して格納する第２のデータベース（第２DB）と、前記ファイルに関する情報を取得して該第２DBへ格納するため処理、及び該監視装置からの検証要求に基づいて検証のための処理を行なう該エージェントプログラムを実行する処理装置を有し、
該監視装置は、該サーバプログラムの実行により、対象とする該端末装置に該特徴情報と共に検証要求を送信し、
該端末装置は、該検証要求を受信した後、該エージェントプログラムの実行により該第２DBを検索して該特徴情報に関連するファイルの存在を検証して、検証結果を該監視装置に送信し、
該監視装置は、該サーバプログラムの実行により、受信した該検証結果に基づいて該端末装置のソフトウェアの状態を判断する処理を行うことを特徴とするソフトウェア監視システム。
【請求項２】
更に、該ネットワークに接続されたネットワーク制御装置を含み、該ネットワーク制御装置は、アクセス制御に関する情報を登録するアクセス管理情報ＤＢと、ネットワークに対するアクセス制御を行なうアクセス制御プログラムを実行する処理装置を備え、
該監視装置が、該検証結果に基づく判断の処理した後、ネットワークを介して関係するネットワーク制御装置へアクセス制御指示を送信した時、該アクセス制御プログラムは、該アクセス制御指示を受信して、関連する該端末装置に対する通信のアクセス制御を行なうことを特徴とする請求項１のソフトウェア監視システム。
【請求項３】
前記第１ＤＢは、前記特徴情報として、マルウェア感染時に生成されるファイルの特徴情報、又は脆弱性の原因となるファイルの特徴情報、又は使用が制限されているソフトウェアを特定することできる特徴情報の少なく１つを含むことを特徴とする請求項１又は２のソフトウェア監視システム。
【請求項４】
該監視装置の前記サーバプログラムは、更に、該検証結果に基づいて判断した後、該端末装置に対して不具合なファイルの処置を含む対策支援を行なうための処理を実行する機能を有し、
該端末装置は、該監視装置から該対策支援の指示があった場合、該対策支援に関する情報を表示装置に表示することを特徴とする請求項１乃至３のいずれかのソフトウェア監視システム。
【請求項５】
監視装置によってネットワークに接続された端末装置のソフトウェアの状態を監視する方法において、
該監視装置では、ソフトウェアの特徴を含む特徴情報を第1DBに格納するステップと、
該端末装置では、自らが有するファイルに関する情報を取得して第２DBに格納するステップと、
該監視装置から該端末装置に、該特徴情報を伴ってソフトウェアの検証要求を送信するステップと、
該端末装置では、該検証要求を受信した後、該第２DBを検索して該特徴情報に関連するファイルの存在を検証するステップと、
該端末装置から該監視装置に、検証結果を送信するステップと、
該監視装置では、受信した検証結果に基づいて、該端末装置のソフトウェアの状態を判断するステップと、
を有することを特徴とするソフトウェアの監視方法。
【請求項６】
該監視装置は、該検証結果に基づいて判断した後、該端末装置に対して不具合なファイルの処置を含む対策支援情報を送信するステップと、
該端末装置では、該対策支援情報を受信して対策の内容を表示装置に表示するステップと、
を更に含むことを特徴とする請求項５のソフトウェアの監視方法。
【請求項７】
前記第１のDBは、前記特徴情報として、マルウェア感染時に生成されるファイルの特徴情報、又は脆弱性の原因となるファイルの特徴情報、又は使用が制限されているソフトウェアを特定することできる特徴情報の少なく１つを含むことを特徴とする請求項５のソフトウェアの監視方法。
【請求項８】
前記特徴情報として、ファイルの名前、ファイルサイズ、タイムスタンプ、ロケーション、ファイル名のハッシュ値、データハッシュ値、ソフトウェアによって書き換えられるレジストリ情報の１又はそれらの組合わせを含むことを特徴とする請求項７のソフトウェアの監視方法。
【請求項９】
前記対策支援情報は、端末装置に対するアクション、表示データ、送受信情報、ファイルパス等うちの少なくとも１つ又はそれらの組み合わせを含むことを特徴とする請求項６のソフトウェアの監視方法。
【請求項１０】
前記監視装置は、該検証結果に基づいて判断した後、ネットワークを介して関係するネットワーク制御装置へアクセス制御指示を送信するステップと、
該ネットワーク制御装置は、該アクセス制御指示を受信して、関連する該端末装置に対する通信のアクセス制御を行なうステップと、
を更に有することを特徴とする請求項５乃至９のいずれかのソフトウェアの監視方法。
【請求項１１】
該端末装置は、記憶装置内にエージェントプログラムを有し、該エージェントプログラムの実行により、該第２DBへ格納するための前記ファイルに関する情報を取得する処理、及び該監視装置からの検証要求に基づいて、該第２DBを検索して関連するファイルを検証する処理を行なうことを特徴とする請求項５乃至１０のいずれかのソフトウェアの監視方法。
【請求項１２】
該監視装置は、記憶装置内にサーバプログラムを有し、該サーバプログラムの実行により、ソフトウェアの特徴を含む該特徴情報を取得する処理、端末装置に対して該検証要求を発して端末装置の検証を行なう一連の処理を行なうことを特徴とする請求項５乃至１１のいずれかのソフトウェアの監視方法。
【請求項１３】
請求項１乃至４のいずれかに記載のシステムにおける監視装置。
【請求項１４】
請求項１乃至４のいずれかに記載のシステムにおける監視装置で実行されるサーバプログラム。
【請求項１５】
請求項１乃至４のいずれかに記載のシステムにおける端末装置で実行されるエージェントプログラム。
【請求項１】
監視装置によりネットワークに接続された端末装置のソフトウェアの状態を監視するシステムにおいて、
該監視装置は、該システムで使用されるソフトウェアの特徴を含む特徴情報を格納する第1のデータベース（第1DB）と、少なくとも端末装置のソフトウェアを監視するための処理を行うサーバプログラムを実行する処理装置と、を有し、
該端末装置は、自らが有するファイルに関する情報を取得して格納する第２のデータベース（第２DB）と、前記ファイルに関する情報を取得して該第２DBへ格納するため処理、及び該監視装置からの検証要求に基づいて検証のための処理を行なう該エージェントプログラムを実行する処理装置を有し、
該監視装置は、該サーバプログラムの実行により、対象とする該端末装置に該特徴情報と共に検証要求を送信し、
該端末装置は、該検証要求を受信した後、該エージェントプログラムの実行により該第２DBを検索して該特徴情報に関連するファイルの存在を検証して、検証結果を該監視装置に送信し、
該監視装置は、該サーバプログラムの実行により、受信した該検証結果に基づいて該端末装置のソフトウェアの状態を判断する処理を行うことを特徴とするソフトウェア監視システム。
【請求項２】
更に、該ネットワークに接続されたネットワーク制御装置を含み、該ネットワーク制御装置は、アクセス制御に関する情報を登録するアクセス管理情報ＤＢと、ネットワークに対するアクセス制御を行なうアクセス制御プログラムを実行する処理装置を備え、
該監視装置が、該検証結果に基づく判断の処理した後、ネットワークを介して関係するネットワーク制御装置へアクセス制御指示を送信した時、該アクセス制御プログラムは、該アクセス制御指示を受信して、関連する該端末装置に対する通信のアクセス制御を行なうことを特徴とする請求項１のソフトウェア監視システム。
【請求項３】
前記第１ＤＢは、前記特徴情報として、マルウェア感染時に生成されるファイルの特徴情報、又は脆弱性の原因となるファイルの特徴情報、又は使用が制限されているソフトウェアを特定することできる特徴情報の少なく１つを含むことを特徴とする請求項１又は２のソフトウェア監視システム。
【請求項４】
該監視装置の前記サーバプログラムは、更に、該検証結果に基づいて判断した後、該端末装置に対して不具合なファイルの処置を含む対策支援を行なうための処理を実行する機能を有し、
該端末装置は、該監視装置から該対策支援の指示があった場合、該対策支援に関する情報を表示装置に表示することを特徴とする請求項１乃至３のいずれかのソフトウェア監視システム。
【請求項５】
監視装置によってネットワークに接続された端末装置のソフトウェアの状態を監視する方法において、
該監視装置では、ソフトウェアの特徴を含む特徴情報を第1DBに格納するステップと、
該端末装置では、自らが有するファイルに関する情報を取得して第２DBに格納するステップと、
該監視装置から該端末装置に、該特徴情報を伴ってソフトウェアの検証要求を送信するステップと、
該端末装置では、該検証要求を受信した後、該第２DBを検索して該特徴情報に関連するファイルの存在を検証するステップと、
該端末装置から該監視装置に、検証結果を送信するステップと、
該監視装置では、受信した検証結果に基づいて、該端末装置のソフトウェアの状態を判断するステップと、
を有することを特徴とするソフトウェアの監視方法。
【請求項６】
該監視装置は、該検証結果に基づいて判断した後、該端末装置に対して不具合なファイルの処置を含む対策支援情報を送信するステップと、
該端末装置では、該対策支援情報を受信して対策の内容を表示装置に表示するステップと、
を更に含むことを特徴とする請求項５のソフトウェアの監視方法。
【請求項７】
前記第１のDBは、前記特徴情報として、マルウェア感染時に生成されるファイルの特徴情報、又は脆弱性の原因となるファイルの特徴情報、又は使用が制限されているソフトウェアを特定することできる特徴情報の少なく１つを含むことを特徴とする請求項５のソフトウェアの監視方法。
【請求項８】
前記特徴情報として、ファイルの名前、ファイルサイズ、タイムスタンプ、ロケーション、ファイル名のハッシュ値、データハッシュ値、ソフトウェアによって書き換えられるレジストリ情報の１又はそれらの組合わせを含むことを特徴とする請求項７のソフトウェアの監視方法。
【請求項９】
前記対策支援情報は、端末装置に対するアクション、表示データ、送受信情報、ファイルパス等うちの少なくとも１つ又はそれらの組み合わせを含むことを特徴とする請求項６のソフトウェアの監視方法。
【請求項１０】
前記監視装置は、該検証結果に基づいて判断した後、ネットワークを介して関係するネットワーク制御装置へアクセス制御指示を送信するステップと、
該ネットワーク制御装置は、該アクセス制御指示を受信して、関連する該端末装置に対する通信のアクセス制御を行なうステップと、
を更に有することを特徴とする請求項５乃至９のいずれかのソフトウェアの監視方法。
【請求項１１】
該端末装置は、記憶装置内にエージェントプログラムを有し、該エージェントプログラムの実行により、該第２DBへ格納するための前記ファイルに関する情報を取得する処理、及び該監視装置からの検証要求に基づいて、該第２DBを検索して関連するファイルを検証する処理を行なうことを特徴とする請求項５乃至１０のいずれかのソフトウェアの監視方法。
【請求項１２】
該監視装置は、記憶装置内にサーバプログラムを有し、該サーバプログラムの実行により、ソフトウェアの特徴を含む該特徴情報を取得する処理、端末装置に対して該検証要求を発して端末装置の検証を行なう一連の処理を行なうことを特徴とする請求項５乃至１１のいずれかのソフトウェアの監視方法。
【請求項１３】
請求項１乃至４のいずれかに記載のシステムにおける監視装置。
【請求項１４】
請求項１乃至４のいずれかに記載のシステムにおける監視装置で実行されるサーバプログラム。
【請求項１５】
請求項１乃至４のいずれかに記載のシステムにおける端末装置で実行されるエージェントプログラム。
【図１】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【公開番号】特開２００６−４０１９６（Ｐ２００６−４０１９６Ａ）
【公開日】平成１８年２月９日（２００６．２．９）
【国際特許分類】
【出願番号】特願２００４−２２２８１９（Ｐ２００４−２２２８１９）
【出願日】平成１６年７月３０日（２００４．７．３０）
【出願人】（０００１５３４４３）株式会社 日立ハイコス (359)
【Ｆターム（参考）】
【公開日】平成１８年２月９日（２００６．２．９）
【国際特許分類】
【出願日】平成１６年７月３０日（２００４．７．３０）
【出願人】（０００１５３４４３）株式会社 日立ハイコス (359)
【Ｆターム（参考）】
[ Back to top ]