データ処理装置
【課題】簡易な構成でイントラネット内のメールサーバを経由しない不正なアクセスを防止することができるデータ処理装置を提供する。
【解決手段】ドメイン名とＩＰ（Internet Protocol）アドレスとを対応させて名前解決処理を行うＤＮＳサーバ１０３Ａにおいて、所定の問い合わせ内容に対して回答すべき所定のホストのアドレス情報を登録したポリシーファイル１０３４と、問い合わせの内容がポリシーファイル１０３４に登録されている所定の問い合わせ内容に一致するか否かを判定する判定部１０３２と、一致すると判定された場合に当該問い合わせに対して登録されている所定のホストのアドレス情報を回答する回答部１０３３とを備えている。
【解決手段】ドメイン名とＩＰ（Internet Protocol）アドレスとを対応させて名前解決処理を行うＤＮＳサーバ１０３Ａにおいて、所定の問い合わせ内容に対して回答すべき所定のホストのアドレス情報を登録したポリシーファイル１０３４と、問い合わせの内容がポリシーファイル１０３４に登録されている所定の問い合わせ内容に一致するか否かを判定する判定部１０３２と、一致すると判定された場合に当該問い合わせに対して登録されている所定のホストのアドレス情報を回答する回答部１０３３とを備えている。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、イントラネット等のネットワークにおいてワームメールの送信等の不正なアクセスの発生を防止する際に用いて好適なデータ処理装置に関する。
【背景技術】
【０００２】
現在、社会に大きな被害を与えているものの１つにネットワーク経由で感染するワームがある。ワームの感染手段には様々なものがあるが、中でも大きな割合を占めているものとしてメール感染型ワームがある。メール感染型ワームは、ワームプログラムをメール（電子メール）に添付し、感染したマシンのディスクに保存されている複数のメールアドレスに対して一斉に送信することによって感染を広げる。
【０００３】
このメール感染型ワームに対抗するために、メールサーバなどにインストールするタイプのゲートウェイ型アンチウイルスソフトが多く利用されている。ゲートウェイ型アンチウイルスソフトは、メールサーバが受信するメールの内容をチェックし、添付ファイルなどに不正な特徴が見つかった場合に、それがワームメール（ワームプログラムが添付されているメール）であると判断し、ワームの駆除や管理者などへの通知を行う。
【０００４】
また、トラフィックを監視してワームを検知する装置をネットワーク上に設置することで、ワームプログラムの含まれたメールを検出し、遮断や駆除などの処理を行う方法も利用されている。
【０００５】
また、不正なアクセスを防止するため、不正なアクセスを所定の端末（仮想おとりサーバ）に転送させるようにしたものがある。特許文献１には、正規サーバと仮想おとりサーバの２つを動作させ、不正アクセスを検知した場合に、そのアクセスを仮想おとりサーバに誘導する構成が記載されている。仮想おとりサーバで不正アクセスが成功したかのように振る舞うことで、正規サーバに対して不正アクセスを行わせないようにする。
【特許文献１】特開２００２−１１１７２７号公報
【発明の開示】
【発明が解決しようとする課題】
【０００６】
一方、メール感染型ワームがメールを送信する際に使用するメールサーバの選択の方法としては、主に以下の３パターンが存在する。
【０００７】
（１）あるメール感染型ワームは、ある特定のメーラー（Microsoft Outlook（登録商標）など）の設定を検索し、送信先として設定されているメールサーバに対してワームメールを送信する（図５）。図５のシステムでは、ある企業のイントラネット内にメールサーバ１０２が設けられていて、イントラネット内の端末１０１のメーラーには送信先のメールサーバとしてローカルのメールサーバ１０２が設定されている。例えば、インターネット２０に接続されている他のメールサーバ３０を送信相手側とする場合、端末１０１から送信されたメールはローカルメールサーバ１０２を介して送信される。
【０００８】
（２）他のメール感染型ワームは、ＤＮＳ（Domain Name System）でワームメールの送信先メールアドレスのドメイン名部分に対するＭＸ（Mail eXchanger）レコードを検索することで、送信先メールサーバを特定し、ローカルのメールサーバを経由せず、ワーム感染端末から相手側のメールサーバに直接送信する（図６）。図６のシステムでは、イントラネット内にＤＮＳサーバ１０３が設けられている。イントラネット内の端末１０１に感染したワームは、送信先メールアドレス（“baba@example.com”）に対してワームメールを送信する際に、まず、ＤＮＳサーバ１０３にアクセスし、ドメイン名（“example.com”）に対するMXレコードを検索することで、送信先メールサーバ３０のホスト名（“mail”）を含むドメイン名（“mail.example.com”）を特定する（ステップＳ１０１）。次に、ローカルのメールサーバ１０２を経由せずに、外部のメールサーバ３０に対してワームメールを直接送信する（ステップＳ１０２）。
【０００９】
（３）また、他のメール感染型ワームは、メールサーバのホスト名を推測して相手組織のメールサーバに直接ワームメールを送信する。この場合、メール感染型ワームは、送信先メールアドレスのドメイン名部分の前に、メールサーバのホスト名として付与することの多い、“smtp”や“mail”などのラベルを付加したものに対して、ＤＮＳで名前解決（Ａ（Address）レコードの検索）を行い、名前解決に成功すれば、返答されたＩＰ（Internet Protocol）アドレスに対してメールを送信する（図７）。図７に示す例では、イントラネット内の端末１０１に感染したワームは、送信先メールアドレス（“baba@example.com”）に対してワームメールを送信する際に、まず、ＤＮＳサーバ１０３にアクセスし、ドメイン名（“smtp.example.com”）に対するＡレコードを検索する（ステップＳ２０１）。ドメイン名（“smtp.example.com”）に対するＡレコードが取得できなかったとすると、次に、ドメイン名（“mail.example.com”）に対するＡレコードを検索する（ステップＳ２０２）。ここで、ドメイン名（“mail.example.com”）に対するＡレコードが取得できたとすると、送信先メールサーバ３０（“mail.example.com”）に対して、ローカルのメールサーバ１０２を経由せずに、ワームメールを直接送信する（ステップＳ２０３）。
【００１０】
上記（１）については、ワームメールが、例えば、イントラネット内のローカルメールサーバ１０２に対して送信されることになるため、そのメールサーバ上でゲートウェイ型アンチウイルスソフトなどを常駐させておくことで、外部に送信されるワームを駆除することができる。しかし、（２）および（３）については、ローカルのメールサーバ１０２を経由せずに、ワーム感染端末１０１から相手組織のメールサーバ３０に直接送信されるため、メールサーバ１０２上のゲートウェイ型アンチウイルスソフトでは駆除することができないという問題がある。
【００１１】
また、トラフィックを監視してワームを検知する装置を、インターネットとの接続点付近に設置することで、ワームメールの送信を遮断することも可能であるが、正常なアクセスも含めてすべてのトラフィックを検査しなければならないため、処理速度の面で問題となる。そして、インターネットとの接続点にファイアウォールが設置されている場合には、ファイアウォールでメールサーバ以外の端末からのメール送信を遮断するように設定することも可能であるが、ファイアウォール自身はワーム検知機能を備えているわけではないため、それがワーム感染によるものなのかどうかは判断できず、管理者はその後の対応を迅速に行うことが難しいという問題がある。
【００１２】
本発明は、上記のような事情を考慮してなされたものであり、簡易な構成でイントラネット等の所定のネットワーク内のメールサーバを経由しない不正なアクセスを防止することができるデータ処理装置を提供することを目的とする。
【課題を解決するための手段】
【００１３】
上記課題を解決するため、請求項１記載の発明は、ドメイン名とＩＰ（Internet Protocol）アドレスとを対応させて名前解決処理を行う装置であって、所定の問い合わせ内容に対して回答すべき所定のホストの情報を記憶した記憶手段と、各問い合わせが記憶手段に記憶されている所定の問い合わせ内容に一致するか否かを判定する判定手段と、判定手段によって一致すると判定された場合に当該問い合わせに対して記憶手段に記憶されている所定のホストの情報を回答する回答手段とを備えることを特徴とする。
【００１４】
請求項２記載の発明は、前記当該問い合わせが、メールサーバのホスト名についての問い合わせであり、その問い合わせ元が所定のメールサーバ以外である場合に、所定の誘導先ホストの情報を回答することを特徴とする。
【００１５】
請求項３記載の発明は、前記当該問い合わせが、ＭＸ（Mail Exchange）レコードについての問い合わせであり、その問い合わせ元が所定のメールサーバ以外である場合に、所定の誘導先ホストのドメイン名を回答することを特徴とする。
【００１６】
請求項４記載の発明は、前記当該問い合わせが、任意のドメイン名のＩＰアドレスについての問い合わせであり、その処理結果がエラーとなった場合に、所定の誘導先ホストの情報を回答することを特徴とする。
【００１７】
請求項５記載の発明は、前記当該問い合わせが、任意のホスト名のＡ（Address）レコード又はＡＡＡＡレコードについての問い合わせであり、その処理結果がエラーとなった場合に、所定の誘導先ホストのＩＰアドレスを回答することを特徴とする。
【発明の効果】
【００１８】
上記構成によれば、例えばワームプログラム自身がＳＭＴＰ（Simple Mail Transfer Protocol）エンジンを持ち、相手のメールサーバに直接ワームメールを送信するようなタイプのワームであっても、記憶手段に、ワームによるアクセスの性質に基づく問い合わせ内容と、不正アクセス対策を実施したホスト（あるいはサーバ、コンピュータ、ノード等）のアドレス等の情報を記憶させておき、その内容に一致するアクセスに対してはそのホストの情報を回答することで、不正アクセス対策を実施したサーバ宛にアクセスさせることが可能となり、例えば外部へのワームメールの流出を防ぐと共に、例えばその送信元ＩＰアドレスから、ワーム感染端末をいち早く隔離することが可能となる。
【発明を実施するための最良の形態】
【００１９】
以下、図面を参照して本発明の実施の形態について説明する。図１は本発明の実施の形態を説明するためのブロック図である。図１においてイントラネット等のＬＡＮ（Local Area Network）１０には、端末１０１、メールサーバ１０２およびＤＮＳサーバ１０３Ａ（情報処理装置）が設けられている。ＬＡＮ１０は、例えば図示していないファイアウォールを介してインターネット２０に接続されている。そしてインターネット２０には、メールサーバ３０とＤＮＳサーバ４０とが接続されている。この場合、メールサーバ１０２上ではゲートウェイ型アンチウイルスソフトが実行されていて、メールサーバが受信するメールの内容をチェックし、添付ファイルなどに不正な特徴が見つかった場合に、それがワームメールなどであると判断し、ワームの駆除や管理者などへの通知を行う。ＤＮＳサーバ４０は、ＤＮＳサーバ１０３Ａの上位のＤＮＳサーバである。
【００２０】
ＤＮＳサーバ１０３Ａは、ドメイン名とＩＰアドレスとを対応させることで名前解決処理を行うＤＮＳ処理部１０３１と、名前解決処理の内容に係る所定の定義情報を事前に内部のハードディスクなどの記憶領域に登録したポリシーファイル１０３４とを備えている。本実施の形態において、ＤＮＳ処理部１０３１には、判定部１０３２と回答部１０３３が設けられており、これらの機能ブロックはＣＰＵ（Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）によって構成されている。判定部１０３２は、ＤＮＳサーバ１０３Ａが受信した各ＤＮＳ問い合わせが、ポリシーファイル１０３４に登録されている所定の問い合わせ内容に一致するか否かを記憶領域からポリシーファイル１０３４を読み出して判定する。回答部１０３３は、判定部１０３２によって問い合わせ内容が一致したと判定された場合、当該問い合わせ内容に対してポリシーファイル１０３４に登録されている所定のホストの情報を、本来の回答内容に代えて、問い合わせ元に対して回答するための処理を行う。
【００２１】
図６および図７を参照して説明したように、上記（２）および（３）の方法で送信先メールサーバを検索するメール感染型ワームは、送信先メールサーバを検索するために、必ずＤＮＳを使用するという性質がある。本実施の形態では、この性質を利用して対策を行うため、例えば企業ネットワーク１０で使用されているＤＮＳサーバ１０３Ａ上で、ワームが送信先メールサーバ３０を検索するためのものと思われる名前解決が発生した場合に、本来のＩＰアドレスではなく、ゲートウェイ型アンチウイルスソフトがインストールされているような、ローカルのワーム対策機能付メールサーバ（メールサーバ１０２）のＩＰアドレスを返答する。これにより、ワームメールの可能性があるメールをローカルのワーム対策機能付メールサーバ１０２に送信させる。そして、ワーム対策機能付メールサーバ１０２は、それがワームメールであると判断すれば駆除し、ワームメールでなければ、そのメールを通常のメールサーバと同様に中継することで、ワームメールが外部に流出しないようにすることが可能となる。この際、ＤＮＳサーバ１０３Ａは、他のホスト（コンピュータ、ノード、サーバ）からのＤＮＳ問い合わせの内容を監視し、ポリシーファイル１０３４（定義ファイル）にあらかじめ登録されたポリシー（定義内容）に従って誘導処理を行う。
【００２２】
なお、ポリシーファイル１０３４には、誘導すべきＤＮＳ問い合わせの内容（判定の基準となる条件）と、内容が一致した場合の誘導先ホスト名／ＩＰアドレスが事前に登録されている。図２はその一例を示すものである。この場合、ポリシーファイル１０３４には、所定の問い合わせ内容を表す各要素（「監視対象レコード」、「ＤＮＳ回答の条件」および「監視除外ＩＰアドレス」）と、その内容が一致した場合に回答すべき所定のホストの情報（「誘導先ホスト名又はＩＰアドレス」）とが記述されている。
【００２３】
図２に示す例は、あらかじめ登録されたメールサーバ（192.168.0.10）以外からのＭＸ（Mail Exchange）レコード問い合わせが行われた場合と、存在しないＡレコード又はＡＡＡＡレコードの問い合わせが行われた場合に、当該問い合わせに基づくアクセスを、不正アクセス対策サーバ（ホスト名：secure.local.dom、ＩＰｖ４（Internet Protocol version 4）アドレス：192.168.0.20、ＩＰｖ６（Internet Protocol version 6）アドレス：3cfe:28ac:3efa::20）（図１ではメールサーバ１０２）に誘導したいときの設定を記述したものである。
【００２４】
ここで、ＤＮＳサーバ１０３Ａにおいてワームメールの可能性があるメールをワーム対策機能付メールサーバ１０２に誘導する際の処理の概要について説明する。
【００２５】
［ＭＸレコードの問い合わせが発生した場合］： ＭＸレコードは、メールの送信先となるメールサーバを検索するためのレコードであり、メールサーバ以外のホストがこのＭＸレコードを問い合わせることはない。このため、あらかじめ設定したメールサーバ（例えばメールサーバ１０２）以外のホストからＭＸレコードの問い合わせがあった場合には、ワーム対策機能付メールサーバ１０２のアドレスを返答する。
【００２６】
［Ａ（Address）レコードまたはＡＡＡＡ（クワッドＡ）レコードの問い合わせが発生した場合］： ＡレコードおよびＡＡＡＡレコードは、ホスト名からＩＰアドレス（ＩＰｖ４アドレスはＡレコード、ＩＰｖ６アドレスはＡＡＡＡレコード）を得るためのレコードであり、多くのホストが利用するレコードである。このため、ＡレコードおよびＡＡＡＡレコードの問い合わせ自体は怪しいものではないが、存在しないホスト名に対する問い合わせであった場合には、それは、ワームが送信先メールサーバのホスト名を推測してＤＮＳサーバ１０３Ａに問い合わせた可能性がある。このため、ＤＮＳサーバ１０３ＡがＡレコードまたはＡＡＡＡレコードの問い合わせを受信し、その結果が「Non-Existent Domain」のようなエラーであった場合には、クライアントにはエラーを返却せずに、代わりにワーム対策機能付メールサーバ１０２のＩＰアドレスを返答することで、その後のワーム感染端末からのアクセスをワーム対策機能付メールサーバ１０２に振り向けることが可能となる。
【００２７】
なお、図２のポリシーファイル１０３４において、「監視対象レコード」は、監視対象とすべきＤＮＳサーバ１０３Ａに対する各問い合わせが対象とするレコード（ＤＮＳの設定ファイル内の記述）の種別を表している。監視対象レコードには、「ＭＸ」、「Ａ」、「ＡＡＡＡ」等のレコードの種別が記述される。
【００２８】
「ＤＮＳ回答条件」は、各問い合わせに対する名前解決処理を行った場合の処理結果の内容を表している。この場合、「なし」は、「ＤＮＳ回答条件」を不定とする（特に定めない）場合である。また、「エラー発生時のみ」と設定した場合は、何らかのエラーが発生したときにのみ、この項目についての判定条件が満足されたことになる。
【００２９】
「監視対象除外ＩＰアドレス」は、監視の対象外とする問い合わせ元のＩＰアドレスを表している。ここにＩＰアドレスが記述されている問い合わせ元コンピュータ（サーバ、ホスト、ノード）からの問い合わせについては、誘導対象から外されることになる。本実施の形態では、ＬＡＮ１０内の各端末（端末１０１等）からの正規のメール送信が、メールサーバ１０２を介して行われるように設定されているものとすると、メールサーバ１０２からのＭＸレコードの問い合わせ以外を不正なアクセスとすることができる。この場合、「監視対象除外ＩＰアドレス」には正当なＭＸレコードの問い合わせ元となるメールサーバ１０２のアドレスを記述することになる。
【００３０】
「誘導先ホスト名／ＩＰアドレス」は、ワーム対策機能付きサーバ等、不正アクセスに対する対策がなされた誘導先ホスト（コンピュータ、サーバ、ノード）のアドレスを、問い合わせ内容（問い合わせ条件）毎に表すものである。図２の例では、ＭＸレコードを監視対象レコードとする場合には誘導先ホストのドメイン名（メールサーバ１０２のドメイン名）が、Ａレコード又はＡＡＡＡレコードを監視対象レコードとする場合には誘導先ホストのＩＰｖ４アドレス又はＩＰｖ６アドレス（メールサーバ１０２のＩＰアドレス）が登録されている。
【００３１】
次に図３および図４を参照して、図１および図２に示す構成による具体的な処理の流れについて説明する。本実施の形態による仕組みは、メール感染型ワームの場合に非常に有効であるが、最初にＤＮＳを利用して情報収集を行う不正アクセス全般に対しても有効である。このため、本発明では、特にメール感染型ワームだけを対象とせず、不正アクセス全般を対象とする。なお、本願において不正アクセスとは、正当でないアクセス全般を含むものとする。すなわち、不正アクセス行為の禁止等に関する法律で定められているような識別符号を利用したアクセス制御機能の制限を解除するようなものに限定されない。
【００３２】
［ＭＸレコード問い合わせが行われた場合（図３）]： （ａ）ＤＮＳサーバ１０３Ａは、ＭＸレコードの問い合わせ元ＩＰアドレスがポリシーファイル１０３４で登録されている許可されたＩＰアドレス（メールサーバ１０２のＩＰアドレス）である場合には、通常通り上位ＤＮＳサーバ４０に対して名前解決を行い、結果を返却する。一方、端末（クライアント）１０１上で起動しているワームが外部メールサーバ３０（ドメイン名：example.com）のＭＸレコードを検索した場合のように、ＭＸレコードの問い合わせ元ＩＰアドレス（すなわちクライアント１０１のＩＰアドレス）がポリシーファイル１０３４に登録されている許可されたＩＰアドレスではなかった場合には、上位ＤＮＳサーバ４０に対して名前解決を行わず、誘導先となる不正アクセス対策サーバ１０２のホスト名（secure.local.dom）を返却する（ステップＳ１１〜Ｓ１２）。
【００３３】
（ｂ）不正アクセス対策サーバ１０２のホスト名が返却されたクライアント１０１は、不正アクセス対策サーバ１０２のホスト名（secure.local.dom）に対するＡレコードを問い合わせ、不正アクセス対策サーバ１０２のＩＰアドレス（192.168.0.20）を取得する（ステップＳ１１〜Ｓ１２）。
【００３４】
（ｃ）問い合わせ元のクライアント１０１は、ＳＭＴＰによって、取得したＩＰアドレスを用いて不正アクセス対策サーバ１０２に対して、外部メールサーバ３０向けのメール（アドレス：baba@example.com）を送信する（ステップＳ１３）。ここで、メールサーバ１０２においてワームメールの検知が可能となる。
【００３５】
[ＡレコードまたはＡＡＡＡレコードの問い合わせが行われた場合（図４）］：（ａ）端末（クライアント）１０１上で起動しているワームが外部メールサーバ３０のホスト名を「smtp.example.com」と推定してワームメールを送信しようとした場合に、「smtp.example.com」が誤ったドメイン名であったとき、クライアント１０１から「smtp.example.com」に対する問い合わせが発生したとすると（ステップＳ２１）、ＤＮＳサーバ１０３Ａでは、通常通り上位ＤＮＳサーバ４０に対して名前解決を行う（ステップＳ２２）。
【００３６】
（ｂ）ＤＮＳサーバ１０３Ａは、名前解決の結果、ＩＰアドレスが得られれば、通常通りその結果を問い合わせ元に返却する。名前解決の結果、「Non-Existent Domain」エラーとなった場合には（ステップＳ２３）、問い合わせ元にはエラーを返却せずに、誘導先となる不正アクセス対策サーバ１０２のＩＰアドレス（192.168.0.20）を返却する（ステップＳ２４）。ただし、この偽造したＡレコードまたはＡＡＡＡレコードのＴＴＬ（Time To Live）値は、ネガティブキャッシュ値と同等の短い値とする。
【００３７】
（ｃ）問い合わせ元のクライアント１０１は、ＳＭＴＰによって、取得したＩＰアドレスを用いて不正アクセス対策サーバ１０２に対してアクセスを行う（ステップＳ２５）。ここで、メールサーバ１０２においてワームメールの検知が可能となる。
【００３８】
また、不正アクセス対策サーバ１０２での処理は特に規定しないが、メール感染型ワームへの対策を行う場合には、以下のような処理を行うことができる。
【００３９】
（ア）ＳＭＴＰを使用してアクセスが行われた場合には、アクセス元ＩＰアドレスを記録する。
【００４０】
（イ）受信したメールの内容について、既存のゲートウェイ型アンチウイルスソフトなどの機能を使用してチェックする。
【００４１】
（ウ）もし、それがワームメールでなければ、そのメールをあらかじめ設定された正規のメールサーバに転送する。もし、それがワームメールであれば、メールを破棄し、管理者にそのアクセス元ＩＰアドレスを通知する。管理者に通知したＩＰアドレスは、ワーム感染端末を特定し、ネットワークから隔離するためなどに使用される。
【００４２】
なお、不正アクセス対策サーバに対してＳＭＴＰ以外のプロトコルを使用してアクセスしてきた場合には、そのアクセスを拒否するか、既存のハニーポットツールを使用するなどして、その後のアクセス情報を収集する。
【００４３】
以上のように、メール感染型ワームは、ゲートウェイ型アンチウイルスがインストールされたメールサーバを通過しないと検知および駆除が行えないため、従来の手法ではメールサーバを通過しないワームメールの検知ができないという問題があった。しかし、本実施の形態によれば、ワームプログラム自身がＳＭＴＰエンジンを持ち、相手のメールサーバに直接ワームメールを送信するようなタイプのワームであっても、ローカルの不正アクセス対策サーバ宛にメールを送信させてチェックを行うことが可能となり、外部へのワームメールの流出を防ぐと共に、その送信元ＩＰアドレスから、ワーム感染端末をいち早く隔離することが可能となる。
【００４４】
なお、本発明の実施の形態は、上記に限定されず、各構成を分散して配置したり、各構成を統合して配置したりすることが可能である。また、本発明は、装置に限定されず、下記のような特徴を有する方法またはプログラムの発明としてとらえることも可能である。
【００４５】
すなわち、本発明は、ドメイン名とＩＰアドレスとを対応させて名前解決処理を行う方法であって、所定の問い合わせ内容に対して回答すべき所定のホストの情報を記憶した記憶手段を用い、各問い合わせが記憶手段に記憶されている所定の問い合わせ内容に一致するか否かを判定する判定過程と、判定過程で一致すると判定された場合に当該問い合わせに対して記憶手段に記憶されている所定のホストの情報を回答する回答過程とを有することを特徴とするデータ処理方法としてとらえることができる。また、上記各過程をコンピュータで実行するための記述を含むことを特徴とするデータ処理プログラムとしてとらえることもできる。
【図面の簡単な説明】
【００４６】
【図１】本発明の一実施の形態を説明するためのシステム図。
【図２】図１のポリシーファイル１０３４の構成例を示す図。
【図３】図１の構成における処理の流れを説明するためのシステム図（メールサーバ以外のホストからＭＸレコードの問い合わせがあった場合）。
【図４】図１の構成における他の処理の流れを説明するためのシステム図（存在しないＡレコードへの問い合わせがあった場合）。
【図５】従来の構成におけるワームメールの送信過程の一例を示す図（特定のメーラーで送信先として設定されているメールサーバに対してワームメールを送信する場合）。
【図６】従来の構成におけるワームメールの送信過程の一例を示す図（ＭＸレコードを検索して相手組織のメールサーバに直接ワームメールを送信する場合）。
【図７】従来の構成におけるワームメールの送信過程の一例を示す図（メールサーバのホスト名を推測して相手組織のメールサーバに直接ワームメールを送信する場合）。
【符号の説明】
【００４７】
１０ ＬＡＮ（イントラネット）
２０ インターネット
３０ 外部メールサーバ
４０ 上位ＤＮＳサーバ
１０１ 端末
１０２ メールサーバ
１０３Ａ ＤＮＳサーバ
１０３１ ＤＮＳ処理部
１０３２ ポリシーファイル
１０３３ 回答部
１０３４ 判定部
【技術分野】
【０００１】
本発明は、イントラネット等のネットワークにおいてワームメールの送信等の不正なアクセスの発生を防止する際に用いて好適なデータ処理装置に関する。
【背景技術】
【０００２】
現在、社会に大きな被害を与えているものの１つにネットワーク経由で感染するワームがある。ワームの感染手段には様々なものがあるが、中でも大きな割合を占めているものとしてメール感染型ワームがある。メール感染型ワームは、ワームプログラムをメール（電子メール）に添付し、感染したマシンのディスクに保存されている複数のメールアドレスに対して一斉に送信することによって感染を広げる。
【０００３】
このメール感染型ワームに対抗するために、メールサーバなどにインストールするタイプのゲートウェイ型アンチウイルスソフトが多く利用されている。ゲートウェイ型アンチウイルスソフトは、メールサーバが受信するメールの内容をチェックし、添付ファイルなどに不正な特徴が見つかった場合に、それがワームメール（ワームプログラムが添付されているメール）であると判断し、ワームの駆除や管理者などへの通知を行う。
【０００４】
また、トラフィックを監視してワームを検知する装置をネットワーク上に設置することで、ワームプログラムの含まれたメールを検出し、遮断や駆除などの処理を行う方法も利用されている。
【０００５】
また、不正なアクセスを防止するため、不正なアクセスを所定の端末（仮想おとりサーバ）に転送させるようにしたものがある。特許文献１には、正規サーバと仮想おとりサーバの２つを動作させ、不正アクセスを検知した場合に、そのアクセスを仮想おとりサーバに誘導する構成が記載されている。仮想おとりサーバで不正アクセスが成功したかのように振る舞うことで、正規サーバに対して不正アクセスを行わせないようにする。
【特許文献１】特開２００２−１１１７２７号公報
【発明の開示】
【発明が解決しようとする課題】
【０００６】
一方、メール感染型ワームがメールを送信する際に使用するメールサーバの選択の方法としては、主に以下の３パターンが存在する。
【０００７】
（１）あるメール感染型ワームは、ある特定のメーラー（Microsoft Outlook（登録商標）など）の設定を検索し、送信先として設定されているメールサーバに対してワームメールを送信する（図５）。図５のシステムでは、ある企業のイントラネット内にメールサーバ１０２が設けられていて、イントラネット内の端末１０１のメーラーには送信先のメールサーバとしてローカルのメールサーバ１０２が設定されている。例えば、インターネット２０に接続されている他のメールサーバ３０を送信相手側とする場合、端末１０１から送信されたメールはローカルメールサーバ１０２を介して送信される。
【０００８】
（２）他のメール感染型ワームは、ＤＮＳ（Domain Name System）でワームメールの送信先メールアドレスのドメイン名部分に対するＭＸ（Mail eXchanger）レコードを検索することで、送信先メールサーバを特定し、ローカルのメールサーバを経由せず、ワーム感染端末から相手側のメールサーバに直接送信する（図６）。図６のシステムでは、イントラネット内にＤＮＳサーバ１０３が設けられている。イントラネット内の端末１０１に感染したワームは、送信先メールアドレス（“baba@example.com”）に対してワームメールを送信する際に、まず、ＤＮＳサーバ１０３にアクセスし、ドメイン名（“example.com”）に対するMXレコードを検索することで、送信先メールサーバ３０のホスト名（“mail”）を含むドメイン名（“mail.example.com”）を特定する（ステップＳ１０１）。次に、ローカルのメールサーバ１０２を経由せずに、外部のメールサーバ３０に対してワームメールを直接送信する（ステップＳ１０２）。
【０００９】
（３）また、他のメール感染型ワームは、メールサーバのホスト名を推測して相手組織のメールサーバに直接ワームメールを送信する。この場合、メール感染型ワームは、送信先メールアドレスのドメイン名部分の前に、メールサーバのホスト名として付与することの多い、“smtp”や“mail”などのラベルを付加したものに対して、ＤＮＳで名前解決（Ａ（Address）レコードの検索）を行い、名前解決に成功すれば、返答されたＩＰ（Internet Protocol）アドレスに対してメールを送信する（図７）。図７に示す例では、イントラネット内の端末１０１に感染したワームは、送信先メールアドレス（“baba@example.com”）に対してワームメールを送信する際に、まず、ＤＮＳサーバ１０３にアクセスし、ドメイン名（“smtp.example.com”）に対するＡレコードを検索する（ステップＳ２０１）。ドメイン名（“smtp.example.com”）に対するＡレコードが取得できなかったとすると、次に、ドメイン名（“mail.example.com”）に対するＡレコードを検索する（ステップＳ２０２）。ここで、ドメイン名（“mail.example.com”）に対するＡレコードが取得できたとすると、送信先メールサーバ３０（“mail.example.com”）に対して、ローカルのメールサーバ１０２を経由せずに、ワームメールを直接送信する（ステップＳ２０３）。
【００１０】
上記（１）については、ワームメールが、例えば、イントラネット内のローカルメールサーバ１０２に対して送信されることになるため、そのメールサーバ上でゲートウェイ型アンチウイルスソフトなどを常駐させておくことで、外部に送信されるワームを駆除することができる。しかし、（２）および（３）については、ローカルのメールサーバ１０２を経由せずに、ワーム感染端末１０１から相手組織のメールサーバ３０に直接送信されるため、メールサーバ１０２上のゲートウェイ型アンチウイルスソフトでは駆除することができないという問題がある。
【００１１】
また、トラフィックを監視してワームを検知する装置を、インターネットとの接続点付近に設置することで、ワームメールの送信を遮断することも可能であるが、正常なアクセスも含めてすべてのトラフィックを検査しなければならないため、処理速度の面で問題となる。そして、インターネットとの接続点にファイアウォールが設置されている場合には、ファイアウォールでメールサーバ以外の端末からのメール送信を遮断するように設定することも可能であるが、ファイアウォール自身はワーム検知機能を備えているわけではないため、それがワーム感染によるものなのかどうかは判断できず、管理者はその後の対応を迅速に行うことが難しいという問題がある。
【００１２】
本発明は、上記のような事情を考慮してなされたものであり、簡易な構成でイントラネット等の所定のネットワーク内のメールサーバを経由しない不正なアクセスを防止することができるデータ処理装置を提供することを目的とする。
【課題を解決するための手段】
【００１３】
上記課題を解決するため、請求項１記載の発明は、ドメイン名とＩＰ（Internet Protocol）アドレスとを対応させて名前解決処理を行う装置であって、所定の問い合わせ内容に対して回答すべき所定のホストの情報を記憶した記憶手段と、各問い合わせが記憶手段に記憶されている所定の問い合わせ内容に一致するか否かを判定する判定手段と、判定手段によって一致すると判定された場合に当該問い合わせに対して記憶手段に記憶されている所定のホストの情報を回答する回答手段とを備えることを特徴とする。
【００１４】
請求項２記載の発明は、前記当該問い合わせが、メールサーバのホスト名についての問い合わせであり、その問い合わせ元が所定のメールサーバ以外である場合に、所定の誘導先ホストの情報を回答することを特徴とする。
【００１５】
請求項３記載の発明は、前記当該問い合わせが、ＭＸ（Mail Exchange）レコードについての問い合わせであり、その問い合わせ元が所定のメールサーバ以外である場合に、所定の誘導先ホストのドメイン名を回答することを特徴とする。
【００１６】
請求項４記載の発明は、前記当該問い合わせが、任意のドメイン名のＩＰアドレスについての問い合わせであり、その処理結果がエラーとなった場合に、所定の誘導先ホストの情報を回答することを特徴とする。
【００１７】
請求項５記載の発明は、前記当該問い合わせが、任意のホスト名のＡ（Address）レコード又はＡＡＡＡレコードについての問い合わせであり、その処理結果がエラーとなった場合に、所定の誘導先ホストのＩＰアドレスを回答することを特徴とする。
【発明の効果】
【００１８】
上記構成によれば、例えばワームプログラム自身がＳＭＴＰ（Simple Mail Transfer Protocol）エンジンを持ち、相手のメールサーバに直接ワームメールを送信するようなタイプのワームであっても、記憶手段に、ワームによるアクセスの性質に基づく問い合わせ内容と、不正アクセス対策を実施したホスト（あるいはサーバ、コンピュータ、ノード等）のアドレス等の情報を記憶させておき、その内容に一致するアクセスに対してはそのホストの情報を回答することで、不正アクセス対策を実施したサーバ宛にアクセスさせることが可能となり、例えば外部へのワームメールの流出を防ぐと共に、例えばその送信元ＩＰアドレスから、ワーム感染端末をいち早く隔離することが可能となる。
【発明を実施するための最良の形態】
【００１９】
以下、図面を参照して本発明の実施の形態について説明する。図１は本発明の実施の形態を説明するためのブロック図である。図１においてイントラネット等のＬＡＮ（Local Area Network）１０には、端末１０１、メールサーバ１０２およびＤＮＳサーバ１０３Ａ（情報処理装置）が設けられている。ＬＡＮ１０は、例えば図示していないファイアウォールを介してインターネット２０に接続されている。そしてインターネット２０には、メールサーバ３０とＤＮＳサーバ４０とが接続されている。この場合、メールサーバ１０２上ではゲートウェイ型アンチウイルスソフトが実行されていて、メールサーバが受信するメールの内容をチェックし、添付ファイルなどに不正な特徴が見つかった場合に、それがワームメールなどであると判断し、ワームの駆除や管理者などへの通知を行う。ＤＮＳサーバ４０は、ＤＮＳサーバ１０３Ａの上位のＤＮＳサーバである。
【００２０】
ＤＮＳサーバ１０３Ａは、ドメイン名とＩＰアドレスとを対応させることで名前解決処理を行うＤＮＳ処理部１０３１と、名前解決処理の内容に係る所定の定義情報を事前に内部のハードディスクなどの記憶領域に登録したポリシーファイル１０３４とを備えている。本実施の形態において、ＤＮＳ処理部１０３１には、判定部１０３２と回答部１０３３が設けられており、これらの機能ブロックはＣＰＵ（Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）によって構成されている。判定部１０３２は、ＤＮＳサーバ１０３Ａが受信した各ＤＮＳ問い合わせが、ポリシーファイル１０３４に登録されている所定の問い合わせ内容に一致するか否かを記憶領域からポリシーファイル１０３４を読み出して判定する。回答部１０３３は、判定部１０３２によって問い合わせ内容が一致したと判定された場合、当該問い合わせ内容に対してポリシーファイル１０３４に登録されている所定のホストの情報を、本来の回答内容に代えて、問い合わせ元に対して回答するための処理を行う。
【００２１】
図６および図７を参照して説明したように、上記（２）および（３）の方法で送信先メールサーバを検索するメール感染型ワームは、送信先メールサーバを検索するために、必ずＤＮＳを使用するという性質がある。本実施の形態では、この性質を利用して対策を行うため、例えば企業ネットワーク１０で使用されているＤＮＳサーバ１０３Ａ上で、ワームが送信先メールサーバ３０を検索するためのものと思われる名前解決が発生した場合に、本来のＩＰアドレスではなく、ゲートウェイ型アンチウイルスソフトがインストールされているような、ローカルのワーム対策機能付メールサーバ（メールサーバ１０２）のＩＰアドレスを返答する。これにより、ワームメールの可能性があるメールをローカルのワーム対策機能付メールサーバ１０２に送信させる。そして、ワーム対策機能付メールサーバ１０２は、それがワームメールであると判断すれば駆除し、ワームメールでなければ、そのメールを通常のメールサーバと同様に中継することで、ワームメールが外部に流出しないようにすることが可能となる。この際、ＤＮＳサーバ１０３Ａは、他のホスト（コンピュータ、ノード、サーバ）からのＤＮＳ問い合わせの内容を監視し、ポリシーファイル１０３４（定義ファイル）にあらかじめ登録されたポリシー（定義内容）に従って誘導処理を行う。
【００２２】
なお、ポリシーファイル１０３４には、誘導すべきＤＮＳ問い合わせの内容（判定の基準となる条件）と、内容が一致した場合の誘導先ホスト名／ＩＰアドレスが事前に登録されている。図２はその一例を示すものである。この場合、ポリシーファイル１０３４には、所定の問い合わせ内容を表す各要素（「監視対象レコード」、「ＤＮＳ回答の条件」および「監視除外ＩＰアドレス」）と、その内容が一致した場合に回答すべき所定のホストの情報（「誘導先ホスト名又はＩＰアドレス」）とが記述されている。
【００２３】
図２に示す例は、あらかじめ登録されたメールサーバ（192.168.0.10）以外からのＭＸ（Mail Exchange）レコード問い合わせが行われた場合と、存在しないＡレコード又はＡＡＡＡレコードの問い合わせが行われた場合に、当該問い合わせに基づくアクセスを、不正アクセス対策サーバ（ホスト名：secure.local.dom、ＩＰｖ４（Internet Protocol version 4）アドレス：192.168.0.20、ＩＰｖ６（Internet Protocol version 6）アドレス：3cfe:28ac:3efa::20）（図１ではメールサーバ１０２）に誘導したいときの設定を記述したものである。
【００２４】
ここで、ＤＮＳサーバ１０３Ａにおいてワームメールの可能性があるメールをワーム対策機能付メールサーバ１０２に誘導する際の処理の概要について説明する。
【００２５】
［ＭＸレコードの問い合わせが発生した場合］： ＭＸレコードは、メールの送信先となるメールサーバを検索するためのレコードであり、メールサーバ以外のホストがこのＭＸレコードを問い合わせることはない。このため、あらかじめ設定したメールサーバ（例えばメールサーバ１０２）以外のホストからＭＸレコードの問い合わせがあった場合には、ワーム対策機能付メールサーバ１０２のアドレスを返答する。
【００２６】
［Ａ（Address）レコードまたはＡＡＡＡ（クワッドＡ）レコードの問い合わせが発生した場合］： ＡレコードおよびＡＡＡＡレコードは、ホスト名からＩＰアドレス（ＩＰｖ４アドレスはＡレコード、ＩＰｖ６アドレスはＡＡＡＡレコード）を得るためのレコードであり、多くのホストが利用するレコードである。このため、ＡレコードおよびＡＡＡＡレコードの問い合わせ自体は怪しいものではないが、存在しないホスト名に対する問い合わせであった場合には、それは、ワームが送信先メールサーバのホスト名を推測してＤＮＳサーバ１０３Ａに問い合わせた可能性がある。このため、ＤＮＳサーバ１０３ＡがＡレコードまたはＡＡＡＡレコードの問い合わせを受信し、その結果が「Non-Existent Domain」のようなエラーであった場合には、クライアントにはエラーを返却せずに、代わりにワーム対策機能付メールサーバ１０２のＩＰアドレスを返答することで、その後のワーム感染端末からのアクセスをワーム対策機能付メールサーバ１０２に振り向けることが可能となる。
【００２７】
なお、図２のポリシーファイル１０３４において、「監視対象レコード」は、監視対象とすべきＤＮＳサーバ１０３Ａに対する各問い合わせが対象とするレコード（ＤＮＳの設定ファイル内の記述）の種別を表している。監視対象レコードには、「ＭＸ」、「Ａ」、「ＡＡＡＡ」等のレコードの種別が記述される。
【００２８】
「ＤＮＳ回答条件」は、各問い合わせに対する名前解決処理を行った場合の処理結果の内容を表している。この場合、「なし」は、「ＤＮＳ回答条件」を不定とする（特に定めない）場合である。また、「エラー発生時のみ」と設定した場合は、何らかのエラーが発生したときにのみ、この項目についての判定条件が満足されたことになる。
【００２９】
「監視対象除外ＩＰアドレス」は、監視の対象外とする問い合わせ元のＩＰアドレスを表している。ここにＩＰアドレスが記述されている問い合わせ元コンピュータ（サーバ、ホスト、ノード）からの問い合わせについては、誘導対象から外されることになる。本実施の形態では、ＬＡＮ１０内の各端末（端末１０１等）からの正規のメール送信が、メールサーバ１０２を介して行われるように設定されているものとすると、メールサーバ１０２からのＭＸレコードの問い合わせ以外を不正なアクセスとすることができる。この場合、「監視対象除外ＩＰアドレス」には正当なＭＸレコードの問い合わせ元となるメールサーバ１０２のアドレスを記述することになる。
【００３０】
「誘導先ホスト名／ＩＰアドレス」は、ワーム対策機能付きサーバ等、不正アクセスに対する対策がなされた誘導先ホスト（コンピュータ、サーバ、ノード）のアドレスを、問い合わせ内容（問い合わせ条件）毎に表すものである。図２の例では、ＭＸレコードを監視対象レコードとする場合には誘導先ホストのドメイン名（メールサーバ１０２のドメイン名）が、Ａレコード又はＡＡＡＡレコードを監視対象レコードとする場合には誘導先ホストのＩＰｖ４アドレス又はＩＰｖ６アドレス（メールサーバ１０２のＩＰアドレス）が登録されている。
【００３１】
次に図３および図４を参照して、図１および図２に示す構成による具体的な処理の流れについて説明する。本実施の形態による仕組みは、メール感染型ワームの場合に非常に有効であるが、最初にＤＮＳを利用して情報収集を行う不正アクセス全般に対しても有効である。このため、本発明では、特にメール感染型ワームだけを対象とせず、不正アクセス全般を対象とする。なお、本願において不正アクセスとは、正当でないアクセス全般を含むものとする。すなわち、不正アクセス行為の禁止等に関する法律で定められているような識別符号を利用したアクセス制御機能の制限を解除するようなものに限定されない。
【００３２】
［ＭＸレコード問い合わせが行われた場合（図３）]： （ａ）ＤＮＳサーバ１０３Ａは、ＭＸレコードの問い合わせ元ＩＰアドレスがポリシーファイル１０３４で登録されている許可されたＩＰアドレス（メールサーバ１０２のＩＰアドレス）である場合には、通常通り上位ＤＮＳサーバ４０に対して名前解決を行い、結果を返却する。一方、端末（クライアント）１０１上で起動しているワームが外部メールサーバ３０（ドメイン名：example.com）のＭＸレコードを検索した場合のように、ＭＸレコードの問い合わせ元ＩＰアドレス（すなわちクライアント１０１のＩＰアドレス）がポリシーファイル１０３４に登録されている許可されたＩＰアドレスではなかった場合には、上位ＤＮＳサーバ４０に対して名前解決を行わず、誘導先となる不正アクセス対策サーバ１０２のホスト名（secure.local.dom）を返却する（ステップＳ１１〜Ｓ１２）。
【００３３】
（ｂ）不正アクセス対策サーバ１０２のホスト名が返却されたクライアント１０１は、不正アクセス対策サーバ１０２のホスト名（secure.local.dom）に対するＡレコードを問い合わせ、不正アクセス対策サーバ１０２のＩＰアドレス（192.168.0.20）を取得する（ステップＳ１１〜Ｓ１２）。
【００３４】
（ｃ）問い合わせ元のクライアント１０１は、ＳＭＴＰによって、取得したＩＰアドレスを用いて不正アクセス対策サーバ１０２に対して、外部メールサーバ３０向けのメール（アドレス：baba@example.com）を送信する（ステップＳ１３）。ここで、メールサーバ１０２においてワームメールの検知が可能となる。
【００３５】
[ＡレコードまたはＡＡＡＡレコードの問い合わせが行われた場合（図４）］：（ａ）端末（クライアント）１０１上で起動しているワームが外部メールサーバ３０のホスト名を「smtp.example.com」と推定してワームメールを送信しようとした場合に、「smtp.example.com」が誤ったドメイン名であったとき、クライアント１０１から「smtp.example.com」に対する問い合わせが発生したとすると（ステップＳ２１）、ＤＮＳサーバ１０３Ａでは、通常通り上位ＤＮＳサーバ４０に対して名前解決を行う（ステップＳ２２）。
【００３６】
（ｂ）ＤＮＳサーバ１０３Ａは、名前解決の結果、ＩＰアドレスが得られれば、通常通りその結果を問い合わせ元に返却する。名前解決の結果、「Non-Existent Domain」エラーとなった場合には（ステップＳ２３）、問い合わせ元にはエラーを返却せずに、誘導先となる不正アクセス対策サーバ１０２のＩＰアドレス（192.168.0.20）を返却する（ステップＳ２４）。ただし、この偽造したＡレコードまたはＡＡＡＡレコードのＴＴＬ（Time To Live）値は、ネガティブキャッシュ値と同等の短い値とする。
【００３７】
（ｃ）問い合わせ元のクライアント１０１は、ＳＭＴＰによって、取得したＩＰアドレスを用いて不正アクセス対策サーバ１０２に対してアクセスを行う（ステップＳ２５）。ここで、メールサーバ１０２においてワームメールの検知が可能となる。
【００３８】
また、不正アクセス対策サーバ１０２での処理は特に規定しないが、メール感染型ワームへの対策を行う場合には、以下のような処理を行うことができる。
【００３９】
（ア）ＳＭＴＰを使用してアクセスが行われた場合には、アクセス元ＩＰアドレスを記録する。
【００４０】
（イ）受信したメールの内容について、既存のゲートウェイ型アンチウイルスソフトなどの機能を使用してチェックする。
【００４１】
（ウ）もし、それがワームメールでなければ、そのメールをあらかじめ設定された正規のメールサーバに転送する。もし、それがワームメールであれば、メールを破棄し、管理者にそのアクセス元ＩＰアドレスを通知する。管理者に通知したＩＰアドレスは、ワーム感染端末を特定し、ネットワークから隔離するためなどに使用される。
【００４２】
なお、不正アクセス対策サーバに対してＳＭＴＰ以外のプロトコルを使用してアクセスしてきた場合には、そのアクセスを拒否するか、既存のハニーポットツールを使用するなどして、その後のアクセス情報を収集する。
【００４３】
以上のように、メール感染型ワームは、ゲートウェイ型アンチウイルスがインストールされたメールサーバを通過しないと検知および駆除が行えないため、従来の手法ではメールサーバを通過しないワームメールの検知ができないという問題があった。しかし、本実施の形態によれば、ワームプログラム自身がＳＭＴＰエンジンを持ち、相手のメールサーバに直接ワームメールを送信するようなタイプのワームであっても、ローカルの不正アクセス対策サーバ宛にメールを送信させてチェックを行うことが可能となり、外部へのワームメールの流出を防ぐと共に、その送信元ＩＰアドレスから、ワーム感染端末をいち早く隔離することが可能となる。
【００４４】
なお、本発明の実施の形態は、上記に限定されず、各構成を分散して配置したり、各構成を統合して配置したりすることが可能である。また、本発明は、装置に限定されず、下記のような特徴を有する方法またはプログラムの発明としてとらえることも可能である。
【００４５】
すなわち、本発明は、ドメイン名とＩＰアドレスとを対応させて名前解決処理を行う方法であって、所定の問い合わせ内容に対して回答すべき所定のホストの情報を記憶した記憶手段を用い、各問い合わせが記憶手段に記憶されている所定の問い合わせ内容に一致するか否かを判定する判定過程と、判定過程で一致すると判定された場合に当該問い合わせに対して記憶手段に記憶されている所定のホストの情報を回答する回答過程とを有することを特徴とするデータ処理方法としてとらえることができる。また、上記各過程をコンピュータで実行するための記述を含むことを特徴とするデータ処理プログラムとしてとらえることもできる。
【図面の簡単な説明】
【００４６】
【図１】本発明の一実施の形態を説明するためのシステム図。
【図２】図１のポリシーファイル１０３４の構成例を示す図。
【図３】図１の構成における処理の流れを説明するためのシステム図（メールサーバ以外のホストからＭＸレコードの問い合わせがあった場合）。
【図４】図１の構成における他の処理の流れを説明するためのシステム図（存在しないＡレコードへの問い合わせがあった場合）。
【図５】従来の構成におけるワームメールの送信過程の一例を示す図（特定のメーラーで送信先として設定されているメールサーバに対してワームメールを送信する場合）。
【図６】従来の構成におけるワームメールの送信過程の一例を示す図（ＭＸレコードを検索して相手組織のメールサーバに直接ワームメールを送信する場合）。
【図７】従来の構成におけるワームメールの送信過程の一例を示す図（メールサーバのホスト名を推測して相手組織のメールサーバに直接ワームメールを送信する場合）。
【符号の説明】
【００４７】
１０ ＬＡＮ（イントラネット）
２０ インターネット
３０ 外部メールサーバ
４０ 上位ＤＮＳサーバ
１０１ 端末
１０２ メールサーバ
１０３Ａ ＤＮＳサーバ
１０３１ ＤＮＳ処理部
１０３２ ポリシーファイル
１０３３ 回答部
１０３４ 判定部
【特許請求の範囲】
【請求項１】
ドメイン名とＩＰ（Internet Protocol）アドレスとを対応させて名前解決処理を行う装置であって、
所定の問い合わせ内容に対して回答すべき所定のホストの情報を記憶した記憶手段と、
各問い合わせが記憶手段に記憶されている所定の問い合わせ内容に一致するか否かを判定する判定手段と、
判定手段によって一致すると判定された場合に当該問い合わせに対して記憶手段に記憶されている所定のホストの情報を回答する回答手段と
を備えることを特徴とするデータ処理装置。
【請求項２】
前記当該問い合わせが、メールサーバのホスト名についての問い合わせであり、その問い合わせ元が所定のメールサーバ以外である場合に、所定の誘導先ホストの情報を回答することを特徴とする請求項１記載のデータ処理装置。
【請求項３】
前記当該問い合わせが、ＭＸ（Mail Exchange）レコードについての問い合わせであり、その問い合わせ元が所定のメールサーバ以外である場合に、所定の誘導先ホストのドメイン名を回答することを特徴とする請求項１記載のデータ処理装置。
【請求項４】
前記当該問い合わせが、任意のドメイン名のＩＰアドレスについての問い合わせであり、その処理結果がエラーとなった場合に、所定の誘導先ホストの情報を回答することを特徴とする請求項１記載のデータ処理装置。
【請求項５】
前記当該問い合わせが、任意のホスト名のＡ（Address）レコード又はＡＡＡＡレコードについての問い合わせであり、その処理結果がエラーとなった場合に、所定の誘導先ホストのＩＰアドレスを回答することを特徴とする請求項１記載のデータ処理装置。
【請求項１】
ドメイン名とＩＰ（Internet Protocol）アドレスとを対応させて名前解決処理を行う装置であって、
所定の問い合わせ内容に対して回答すべき所定のホストの情報を記憶した記憶手段と、
各問い合わせが記憶手段に記憶されている所定の問い合わせ内容に一致するか否かを判定する判定手段と、
判定手段によって一致すると判定された場合に当該問い合わせに対して記憶手段に記憶されている所定のホストの情報を回答する回答手段と
を備えることを特徴とするデータ処理装置。
【請求項２】
前記当該問い合わせが、メールサーバのホスト名についての問い合わせであり、その問い合わせ元が所定のメールサーバ以外である場合に、所定の誘導先ホストの情報を回答することを特徴とする請求項１記載のデータ処理装置。
【請求項３】
前記当該問い合わせが、ＭＸ（Mail Exchange）レコードについての問い合わせであり、その問い合わせ元が所定のメールサーバ以外である場合に、所定の誘導先ホストのドメイン名を回答することを特徴とする請求項１記載のデータ処理装置。
【請求項４】
前記当該問い合わせが、任意のドメイン名のＩＰアドレスについての問い合わせであり、その処理結果がエラーとなった場合に、所定の誘導先ホストの情報を回答することを特徴とする請求項１記載のデータ処理装置。
【請求項５】
前記当該問い合わせが、任意のホスト名のＡ（Address）レコード又はＡＡＡＡレコードについての問い合わせであり、その処理結果がエラーとなった場合に、所定の誘導先ホストのＩＰアドレスを回答することを特徴とする請求項１記載のデータ処理装置。
【図１】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【公開番号】特開２００６−２１１０８８（Ｐ２００６−２１１０８８Ａ）
【公開日】平成１８年８月１０日（２００６．８．１０）
【国際特許分類】
【出願番号】特願２００５−１７９３９（Ｐ２００５−１７９３９）
【出願日】平成１７年１月２６日（２００５．１．２６）
【出願人】（０００１０２７２８）株式会社エヌ・ティ・ティ・データ (438)
【Ｆターム（参考）】
【公開日】平成１８年８月１０日（２００６．８．１０）
【国際特許分類】
【出願日】平成１７年１月２６日（２００５．１．２６）
【出願人】（０００１０２７２８）株式会社エヌ・ティ・ティ・データ (438)
【Ｆターム（参考）】
[ Back to top ]