ボット検出装置、ボット検出方法、およびプログラム
【課題】ボットに感染している可能性の高いコンピュータを確実に検出することができる通信システムを提供する。
【解決手段】本発明の通信システム１０は、外部ネットワーク１２から内部ネットワーク１２へ同時期に流入した通信データであって、同一の送信元から複数のコンピュータ１５へ送信された通信データを仮の指令通信情報として保持し、保持した仮の指令通信情報の宛先となっているコンピュータ１５の中で、内部ネットワーク１４から外部ネットワーク１２へ同時期に通信データを送信したコンピュータ１５をボットに感染している可能性の高いコンピュータと判定する。
【解決手段】本発明の通信システム１０は、外部ネットワーク１２から内部ネットワーク１２へ同時期に流入した通信データであって、同一の送信元から複数のコンピュータ１５へ送信された通信データを仮の指令通信情報として保持し、保持した仮の指令通信情報の宛先となっているコンピュータ１５の中で、内部ネットワーク１４から外部ネットワーク１２へ同時期に通信データを送信したコンピュータ１５をボットに感染している可能性の高いコンピュータと判定する。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、不正なプログラムが埋め込まれたコンピュータを検出する技術に関する。
【背景技術】
【０００２】
特許文献１には、現在知られているコンピュータウイルスの全データパターンを保持し、通信データを受信した場合に、受信した通信データを一旦バッファに取り込み、取り込んだ通信データを、保持しているコンピュータウイルスのデータパターンと比較することによって、コンピュータ内にコンピュータウイルスが侵入しないようにする技術が開示されている。この技術では、新しいコンピュータウイルスが出現した場合に、対応する新しいデータパターンを入手することにより、新たなコンピュータウイルスの侵入を防止することができる。
【０００３】
また、特許文献２には、監視対象となるネットワークにＩＤＳ（侵入検知装置）を設置し、当該ＩＤＳ内に予め不正侵入の複数のパターン（手口）を登録しておき、ネットワークを流れる通信データを監視して、登録されている不正侵入パターンと一致する場合に、不正侵入者からの通信を遮断したり、管理者に警告を通知したりする技術が開示されている。
【０００４】
また、コンピュータに対して不正な処理を行うプログラムとしては、ウイルスやワーム等が知られているが、近年、ボットと呼ばれる新たな不正プログラムが出現してきている。ボットは、隠匿機能や自己更新機能を有するという特徴や、感染規模が小さい、亜種が多い、悪意を持った指令者によって遠隔操作されるといった特徴がある。ボットに感染したコンピュータは、指令者が操作するコンピュータによって、スパムメールの送信や中継、ＤｏＳ（Denial of Services）やＤＤｏＳ（Distributed Denial of Service）攻撃、あるいはフィッシングサイトを公開するためのｗｅｂサーバに扮したりする等の不正行為に使われるため、大きな社会的な問題となっている。
【０００５】
【特許文献１】特開平６−３３７７８１号公報
【特許文献２】特開２００２−３４２２７６号公報
【発明の開示】
【発明が解決しようとする課題】
【０００６】
ボットを検知するためには、日々大量に発生する亜種に対応したデータパターンを作成する必要がある。データパターンを作成するためにはボットの検体が必要となる場合が多いが、感染規模の小さいことを特徴とするボットは検体の提供が少なく、数多くの亜種を検出するためのデータパターンが提供されないという問題がある。そのため、データパターンの作成がボット発生の後手に回ってしまい、データパターンが作成された頃には、ボットは自己を新しいボットに更新している場合があり、そのデータパターンでは検出できなくなってしまう。このように、従来のウイルスやワームと同様の対策では、ボットに感染したコンピュータを発見することができない場合があった。
【０００７】
本発明は上記事情に鑑みてなされたものであり、本発明の目的は、ボットに感染している可能性の高いコンピュータを確実に検出することにある。
【課題を解決するための手段】
【０００８】
上記課題を解決するために、本発明は、外部ネットワークから内部ネットワークへ同時期に流入した通信データであって、同一の送信元から複数のコンピュータへ送信された通信データを仮の指令通信情報として保持し、保持した仮の指令通信情報の宛先となっているコンピュータの中で、内部ネットワークから外部ネットワークへ同時期に通信データを送信したコンピュータをボットに感染している可能性の高いコンピュータと判定する。
【０００９】
例えば、本発明の第１の態様は、外部のネットワークと内部のネットワークとの間に設けられるボット検知装置であって、外部ネットワークから内部ネットワークへ流入する通信データである内向きデータを取得し、取得した内向きデータを、当該内向きデータを取得した日時を示す情報である内向きデータ取得日時と共に出力する内向きデータ取得手段と、同一の送信元から所定の時間差以内に送信された内向きデータをグループ化して、当該内向きデータに含まれる宛先ＩＰアドレスである内向き宛先アドレスを、グループを識別するグループＩＤに対応付けて格納する内向き通信情報格納手段と、内部ネットワークから外部ネットワークへ流出する通信データである外向きデータを取得し、取得した外向きデータを、当該外向きデータを取得した日時を示す情報である外向きデータ取得日時と共に出力する外内向きデータ取得手段と、外向きデータ取得手段から外向きデータおよび外向きデータ取得日時が出力された場合に、内向き通信情報格納手段を参照して、外向きデータに含まれる送信元ＩＰアドレスが内向き通信情報格納手段内に内向き宛先アドレスとして格納されている場合に、当該内向き宛先アドレスと共に格納されている内向きデータ取得日時と、当該外向きデータ取得日時との差である応答時間を算出する応答時間算出手段と、算出された応答時間を、当該内向き宛先アドレス、当該外向きデータの宛先を示す情報を含む外向き宛先情報、および当該内向き宛先アドレスに対応付けられて内向き通信情報格納手段内に格納されているグループＩＤに対応付けて格納する応答時間格納手段と、応答時間格納手段を参照して、グループＩＤおよび外向き宛先情報が同一であり、かつ、応答時間の差が所定値以内の内向き宛先アドレスを抽出し、抽出した内向き宛先アドレスを、ボットに感染している可能性の高いコンピュータであるボット感染コンピュータのＩＰアドレスとして出力するボット情報出力手段とを備えることを特徴とするボット検知装置を提供する。
【００１０】
また、本発明の第２の態様は、外部のネットワークと内部のネットワークとの間に設けられるボット検知装置におけるボット検出方法であって、ボット検出装置は、外部ネットワークから内部ネットワークへ流入する通信データである内向きデータを取得し、取得した内向きデータを、当該内向きデータを取得した日時を示す情報である内向きデータ取得日時と共に出力する内向きデータ取得ステップと、同一の送信元から所定の時間差以内に送信された内向きデータをグループ化して、当該内向きデータに含まれる宛先ＩＰアドレスである内向き宛先アドレスを、グループを識別するグループＩＤに対応付けて内向き通信情報格納手段に格納する内向き通信情報格納ステップと、内部ネットワークから外部ネットワークへ流出する通信データである外向きデータを取得し、取得した外向きデータを、当該外向きデータを取得した日時を示す情報である外向きデータ取得日時と共に出力する外内向きデータ取得ステップと、外向きデータ取得ステップにおいて外向きデータおよび外向きデータ取得日時を出力した場合に、内向き通信情報格納手段を参照して、外向きデータに含まれる送信元ＩＰアドレスが内向き通信情報格納手段内に内向き宛先アドレスとして格納されている場合に、当該内向き宛先アドレスと共に格納されている内向きデータ取得日時と、当該外向きデータ取得日時との差である応答時間を算出する応答時間算出ステップと、算出した応答時間を、当該内向き宛先アドレス、当該外向きデータの宛先を示す情報を含む外向き宛先情報、および当該内向き宛先アドレスに対応付けられて内向き通信情報格納手段内に格納されているグループＩＤに対応付けて応答時間格納手段に格納する応答時間格納ステップと、応答時間格納手段を参照して、グループＩＤおよび外向き宛先情報が同一であり、かつ、応答時間の差が所定値以内の内向き宛先アドレスを抽出し、抽出した内向き宛先アドレスを、ボットに感染している可能性の高いコンピュータのＩＰアドレスとして出力するボット情報出力ステップとを実行することを特徴とするボット検知方法を提供する。
【００１１】
また、本発明の第３の態様は、外部のネットワークと内部のネットワークとの間に設けられるボット検知装置を制御するプログラムであって、ボット検知装置を、外部ネットワークから内部ネットワークへ流入する通信データである内向きデータを取得し、取得した内向きデータを、当該内向きデータを取得した日時を示す情報である内向きデータ取得日時と共に出力する内向きデータ取得手段、同一の送信元から所定の時間差以内に送信された内向きデータをグループ化して、当該内向きデータに含まれる宛先ＩＰアドレスである内向き宛先アドレスを、グループを識別するグループＩＤに対応付けて格納する内向き通信情報格納手段、内部ネットワークから外部ネットワークへ流出する通信データである外向きデータを取得し、取得した外向きデータを、当該外向きデータを取得した日時を示す情報である外向きデータ取得日時と共に出力する外内向きデータ取得手段、外向きデータ取得手段から外向きデータおよび外向きデータ取得日時が出力された場合に、内向き通信情報格納手段を参照して、外向きデータに含まれる送信元ＩＰアドレスが内向き通信情報格納手段内に内向き宛先アドレスとして格納されている場合に、当該内向き宛先アドレスと共に格納されている内向きデータ取得日時と、当該外向きデータ取得日時との差である応答時間を算出する応答時間算出手段、算出された応答時間を、当該内向き宛先アドレス、当該外向きデータの宛先を示す情報を含む外向き宛先情報、および当該内向き宛先アドレスに対応付けられて内向き通信情報格納手段内に格納されているグループＩＤに対応付けて格納する応答時間格納手段、および応答時間格納手段を参照して、グループＩＤおよび外向き宛先情報が同一であり、かつ、応答時間の差が所定値以内の内向き宛先アドレスを抽出し、抽出した内向き宛先アドレスを、ボットに感染している可能性の高いコンピュータであるボット感染コンピュータのＩＰアドレスとして出力するボット情報出力手段として機能させることを特徴とするプログラムを提供する。
【発明の効果】
【００１２】
本発明によれば、ボットに感染している可能性の高いコンピュータを確実に検出することができる。
【発明を実施するための最良の形態】
【００１３】
以下に、本発明の実施の形態について説明する。
【００１４】
図１は、本発明の一実施形態に係る通信システム１０の構成を例示するシステム構成図である。通信システム１０は、インターネット等の外部ネットワーク１２と社内ＬＡＮ（Local Area Network）等の内部ネットワーク１４との間に設けられるボット検知装置２０を備える。内部ネットワーク１４には、複数のコンピュータ１５が接続され、それぞれのコンピュータ１５は、内部ネットワーク１４およびボット検知装置２０を介して、外部ネットワーク１２に接続された他の通信機器と通信データの送受信を行う。
【００１５】
指令コンピュータ１１は、外部ネットワーク１２を介して、ボットを埋め込むためのプログラムを含む通信データをコンピュータ１５に送り込むことにより、コンピュータ１５をボットに感染させる。また、指令コンピュータ１１は、外部ネットワーク１２を介してＩＲＣ（Internet Relay Chat）サーバ１３等を不正に制御し、不正な処理を開始させるための指令を含む通信データをボットに感染しているコンピュータ１５に送信する。なお、指令コンピュータ１１は、ＩＲＣサーバ１３以外のＷｅｂサーバ等を不正に制御することにより、ボットに感染しているコンピュータに指令を送る指令サーバに仕立てる場合もある。
【００１６】
ボットに感染したコンピュータ１５は、ボットのプログラムに従って所定のＩＲＣサーバ１３にアクセスすることにより、指令コンピュータ１１からの指令を待ち受ける。そして、ボットに感染したコンピュータ１５は、指令コンピュータ１１からの指令に応じて、他のコンピュータ１５をボットに感染させる、特定のＷｅｂサーバに対するＤｏＳ攻撃をおこなう、または不特定の電子メールアドレス宛にスパムメールを送信する等の不正な行為を実行する。
【００１７】
ボット検知装置２０は、外部ネットワーク１２と内部ネットワーク１４との間の通信データを監視することにより、外部ネットワーク１２から内部ネットワーク１４へ流入する指令通信と、当該指令通信に応答して内部ネットワーク１４から外部ネットワーク１２へ流出する応答通信との関係から、ボットに感染している可能性の高いコンピュータ１５を検知し、検知結果を出力する。
【００１８】
図２は、ボット検知装置２０の詳細な機能構成を例示するブロック図である。ボット検知装置２０は、内向きデータ取得部２１、通信情報登録部２２、通信情報格納部２３、外向きデータ取得部２４、応答時間算出部２５、応答時間格納部２６、およびボット情報出力部２７を備える。
【００１９】
内向きデータ取得部２１は、外部ネットワーク１２から内部ネットワーク１４へ流入する通信データである内向きデータを取得し、取得した内向きデータを、当該内向きデータを取得した日時を示す情報である内向きデータ取得日時と共に通信情報登録部２２へ出力する。
【００２０】
通信情報格納部２３は、例えば図３に示すように、内向きの通信をグループ化するための識別子であるＩＤ２３０および内向きデータの送信元を示す情報を含む内向き送信元情報２３１毎に、内向きデータ取得日時２３２および内向きデータに含まれる宛先ＩＰアドレスである内向き宛先アドレス２３３を１つ以上格納する。
【００２１】
本実施形態において、内向き送信元情報には、内向きデータに含まれる送信元ＩＰアドレスである内向き送信元アドレス、内向きデータに含まれる送信元ポート番号である内向き送信元ポート番号、および当該内向きデータに含まれるペイロードに関する情報である内向きデータ情報が含まれる。内向きデータ情報とは、内向きデータに含まれるペイロードの先頭から所定量（例えば５バイト）のデータである。
【００２２】
通信情報登録部２２は、内向きデータ取得部２１から内向きデータおよび内向きデータ取得日時を取得した場合に、通信情報格納部２３を参照して、当該データ取得日時との時間差が所定値（本例では５秒）以内の内向きデータ取得日時が通信情報格納部２３内に格納されているか否かを判定する。
【００２３】
内向きデータ取得部２１から取得したデータ取得日時との時間差が所定値以内の内向きデータ取得日時が通信情報格納部２３内に格納されている場合、通信情報登録部２２は、当該内向きデータ取得日時に対応付けられて通信情報格納部２３に格納されている内向き送信元情報が、内向きデータ取得部２１から取得した内向きデータに含まれる内向き送信元情報と一致するか否かを判定する。
【００２４】
通信情報格納部２３に格納されている内向き送信元情報が、内向きデータ取得部２１から取得した内向きデータに含まれる内向き送信元情報と一致する場合、通信情報登録部２２は、内向きデータ取得部２１から取得した内向きデータに含まれる内向き送信元情報および当該内向き送信元情報に対応するＩＤに対応付けて、当該内向きデータと共に受信した内向きデータ取得日時および当該内向きデータに含まれる内向き宛先アドレスを通信情報格納部２３内に追加登録する。
【００２５】
一方、内向きデータ取得部２１から取得したデータ取得日時との時間差が所定値以内の内向きデータ取得日時が通信情報格納部２３内に格納されていない場合、または、通信情報格納部２３に格納されている内向き送信元情報が、内向きデータ取得部２１から取得した内向きデータに含まれる内向き送信元情報と一致しない場合、通信情報登録部２２は、内向きデータ取得部２１から取得した内向きデータ取得日時および内向きデータに含まれる内向き宛先アドレスを、内向きデータ取得部２１から取得した内向きデータに含まれる内向き送信元情報および新たに割り当てたＩＤに対応付けて通信情報格納部２３に新規登録する。
【００２６】
このように、通信情報登録部２２は、同時期に外部ネットワーク１２から内部ネットワーク１４へ流入した、内向き送信元情報が等しい内向きデータの内向きデータ取得日時および内向き宛先アドレスを、共通のＩＤでグループ化する。これにより、通信情報登録部２２は、同一の送信元から同時期に内部ネットワーク１４内のコンピュータ１５へ送信された内向きデータに関する情報を収集することができる。このようにして収集された情報の中には、ＩＲＣサーバ１３からボットに感染したコンピュータ１５へ送信された指令情報が含まれている可能性が高い。以下では、通信情報格納部２３に格納された情報を基に、さらにボットに感染している可能性の高いコンピュータ１５を検出するための処理が行われる。
【００２７】
なお、本実施形態では、内向きデータに含まれるペイロードの先頭から所定量（例えば５バイト）のデータを、内向きデータ情報の一例として説明している。これは、ペイロードの先頭数バイトには、バージョン情報等のアプリケーション毎に決まったデータが格納されることが多く、ペイロードの先頭から所定量のデータが一致するということは、同質の通信データである可能性が高いという理由からである。
【００２８】
また、他の例として、内向きデータ情報は、内向きデータのペイロードの一部のデータ、内向きデータのペイロードの全データ、内向きデータのペイロードの全データに所定の演算を施すことによって得られた特徴値（例えばハッシュ値）、または内向きデータのペイロードのデータ量を示す値等であってもよい。
【００２９】
また、本実施形態において、内向き送信元情報には、内向き送信元アドレス、内向き送信元ポート番号、および内向きデータ情報が含まれるが、他の例として、内向き送信元情報には、内向きデータ情報が含まれないようにしてもよい。これにより、ペイロードの一部を変えることにより、異なる通信データであることを偽装した場合であっても、通信情報登録部２２は、同時期に外部ネットワーク１２から内部ネットワーク１４へ流入した、内向き送信元アドレスおよび内向き送信元ポート番号が等しい内向きデータを、同一の送信元から送信された通信データとしてグループ化することができる。
【００３０】
外向きデータ取得部２４は、内部ネットワーク１４から外部ネットワーク１２へ流出する通信データである外向きデータを取得し、取得した外向きデータを、当該外向きデータを取得した日時を示す情報である外向きデータ取得日時と共に応答時間算出部２５へ出力する。
【００３１】
応答時間算出部２５は、外向きデータ取得部２４から外向きデータおよび外向きデータ取得日時を取得した場合に、通信情報格納部２３を参照して、取得した外向きデータに含まれる送信元ＩＰアドレスが通信情報格納部２３に内向き宛先アドレスとして格納されているか否かを判定する。
【００３２】
取得した外向きデータに含まれる送信元ＩＰアドレスが通信情報格納部２３に内向き宛先アドレスとして格納されている場合、応答時間算出部２５は、当該内向き宛先アドレスに対応付けられて通信情報格納部２３に格納されている内向きデータ取得日時と、当該外向きデータ取得日時との差である応答時間を算出する。
【００３３】
そして、応答時間算出部２５は、算出した応答時間を、当該内向き宛先アドレス、当該外向きデータの宛先を示す情報を含む外向き宛先情報、当該内向き宛先アドレスに対応付けられて内向き通信情報格納手段２３内に格納されているＩＤ、および外向きデータ取得日時と共に応答時間格納部２６に格納する。
【００３４】
応答時間格納部２６は、例えば図４に示すように、複数のレコード２６５を有する。それぞれのレコード２６５は、ＩＤを格納するフィールド２６０、内向き宛先アドレスを格納するフィールド２６１、外向き宛先情報を格納するフィールド２６２、応答時間を格納するフィールド２６３、および外向きデータ取得日時を格納するフィールド２６４を有する。なお、応答時間格納部２６には、外向きデータ取得日時の古い順に各レコードが格納されている。
【００３５】
本実施形態において、外向き宛先情報には、外向きデータに含まれる宛先ＩＰアドレスである外向き宛先アドレス、外向きデータに含まれる宛先ポート番号である外向き宛先ポート番号、および当該外向きデータに含まれるペイロードに関する情報である外向きデータ情報が含まれる。外向きデータ情報とは、外向きデータに含まれるペイロードの先頭から所定量（例えば５バイト）のデータである。
【００３６】
ボット情報出力部２７は、応答時間格納部２６を参照して、ＩＤおよび外向き宛先情報が同一であり、かつ、応答時間の差が所定値以内（例えば５秒以内）のレコードに格納されている内向き宛先アドレスを抽出し、抽出した内向き宛先アドレスを、ボットに感染している可能性の高いコンピュータ１５であるボット感染コンピュータのＩＰアドレスとして、内部ネットワーク１４の管理者等へ出力する。
【００３７】
ボット情報出力部２７は、例えば、表示装置への表示、印字装置を介した紙等への印字、またはハードディスク等の外部記録装置への格納等により、ボット感染コンピュータのＩＰアドレスを外部へ出力してもよい。
【００３８】
このように、ボット検知装置２０は、同時期に同一の送信元から内向きデータを受信したコンピュータ１５の中で、同時期に、同一の宛先へ外向きデータを送信するコンピュータ１５をボット感染コンピュータと判定する。これにより、ボット検知装置２０は、指令を受けてから、特定のサーバに対してＤｏＳ攻撃を行う等の、ボット感染コンピュータに特有の挙動を示すコンピュータ１５を特定することができる。
【００３９】
なお、本実施形態では、外向きデータに含まれるペイロードの先頭から所定量（例えば５バイト）のデータを、外向きデータ情報の一例として説明したが、本発明はこれに限られない。外向きデータ情報は、例えば、外向きデータのペイロードの一部のデータ、外向きデータのペイロードの全データ、外向きデータのペイロードの全データに所定の演算を施すことによって得られた特徴値（例えばハッシュ値）、または外向きデータのペイロードのデータ量を示す値等であってもよい。
【００４０】
また、本実施形態において、外向き宛先情報には、外向き宛先アドレス、外向き宛先ポート番号、および外向きデータ情報が含まれるが、他の例として、外向き宛先情報には、外向きデータ情報が含まれないようにしてもよい。これにより、ペイロードの一部を変えることにより、異なる通信データであることを偽装した場合や、特定のサーバに対してパスワードの入力を複数回試みるパスワード総当り攻撃等であっても、ボット情報出力部２７は、外向き宛先アドレスおよび外向き宛先ポート番号が一致した外向きデータを、ボット感染コンピュータから同一の宛先へ送信された外向きデータとして判定することができる。
【００４１】
また、本実施形態において、ボット情報出力部２７は、ＩＤおよび外向き宛先情報が同一であり、かつ、応答時間の差が所定値以内の内向き宛先アドレスをボット感染コンピュータのＩＰアドレスとして判定したが、他の例として、ボット情報出力部２７は、ＩＤが同一であり、かつ、応答時間の差が所定値以内の内向き宛先アドレスをボット感染コンピュータのＩＰアドレスとして判定してもよい。これにより、複数のボット感染コンピュータが、それぞれ異なるメールサーバを介してスパムメールを送信する場合であっても、ボット情報出力部２７は、ボット感染コンピュータのＩＰアドレスを検出することができる。
【００４２】
図５は、ボット検知装置２０の機能を実現する情報処理装置３０のハードウェア構成を例示するハードウェア構成図である。情報処理装置３０は、ＣＰＵ（Central Processing Unit）３１、ＲＡＭ（Random Access Memory）３２、ＲＯＭ（Read Only Memory）３３、ＨＤＤ（Hard Disk Drive）３４、通信インターフェイス３５、入出力インターフェイス３６、メディアインターフェイス３７を備える。
【００４３】
ＣＰＵ３１は、ＲＯＭ３３およびＨＤＤ３４に格納されたプログラムに基づいて動作し、各部の制御を行う。ＲＯＭ３３は、情報処理装置３０の起動時にＣＰＵ３１が実行するブートプログラムや、情報処理装置３０のハードウェアに依存するプログラム等を格納する。
【００４４】
ＨＤＤ３４は、ＣＰＵ３１が実行するプログラムおよびＣＰＵ３１が使用するデータ等を格納する。通信インターフェイス３５は、外部ネットワーク１２または内部ネットワーク１４を介して他の機器からデータを受信してＣＰＵ３１へ送ると共に、ＣＰＵ３１が生成したデータを、これらのネットワークを介して他の機器へ送信する。
【００４５】
ＣＰＵ３１は、入出力インターフェイス３６を介して、キーボードやマウス、ＬＣＤ（Liquid Crystal Display）等の入出力装置を制御する。ＣＰＵ３１は、入出力インターフェイス３６を介して、キーボードやマウス等からデータを取得する。また、ＣＰＵ３１は、生成したデータを、入出力インターフェイス３６を介してＬＣＤ等へ出力する。
【００４６】
メディアインターフェイス３７は、記録媒体３８に格納されたプログラムまたはデータを読み取り、ＲＡＭ３２に提供する。ＲＡＭ３２を介してＣＰＵ３１に提供されるプログラムは、記録媒体３８に格納されている。当該プログラムは、記録媒体３８から読み出されて、ＲＡＭ３２を介して情報処理装置３０にインストールされ、ＣＰＵ３１によって実行される。
【００４７】
ＨＤＤ３４には、通信情報格納部２３および応答時間格納部２６内のデータが格納される。情報処理装置３０にインストールされて実行されるプログラムは、情報処理装置３０を、内向きデータ取得部２１、通信情報登録部２２、外向きデータ取得部２４、応答時間算出部２５、およびボット情報出力部２７として機能させる。
【００４８】
記録媒体３８は、例えばＤＶＤ、ＰＤ等の光学記録媒体、ＭＯ等の光磁気記録媒体、テープ媒体、磁気記録媒体、または半導体メモリ等である。情報処理装置３０は、これらのプログラムを、記録媒体３８から読み取って実行するが、他の例として、他の装置から、通信媒体を介して、これらのプログラムを取得してもよい。通信媒体とは、外部ネットワーク１２または内部ネットワーク１４、またはこれらを伝搬するディジタル信号または搬送波を指す。
【００４９】
図６は、ボット検知装置２０による内向きデータ登録処理を例示するフローチャートである。例えば、電源を投入される等の所定のタイミングで、ボット検知装置２０は、本フローチャートに示す内向きデータ登録処理を開始する。
【００５０】
まず、内向きデータ取得部２１は、内向きデータを受信したか否かを判定する（Ｓ１００）。内向きデータを受信していない場合（Ｓ１００：Ｎｏ）、内向きデータ取得部２１は、内向きデータを受信するまでステップ１００を繰り返す。内向きデータを受信した場合（Ｓ１００：Ｙｅｓ）、内向きデータ取得部２１は、受信した内向きデータと共に、内向きデータ取得日時を通信情報登録部２２へ出力する（Ｓ１０１）。
【００５１】
次に、通信情報登録部２２は、内向きデータ取得部２１から受信した内向きデータ取得日時に基づいて通信情報格納部２３を参照し、当該内向きデータ取得日時との時間差が所定値（例えば５秒）以内のデータ取得日時が存在するか否かを判定する（Ｓ１０２）。内向きデータ取得部２１から取得した内向きデータ取得日時との時間差が所定値以内のデータ取得日時が通信情報格納部２３内に存在する場合（Ｓ１０２：Ｙｅｓ）、通信情報登録部２２は、当該内向きデータ取得日時に対応付けられて通信情報格納部２３に格納されている内向き送信元情報が、内向きデータ取得部２１から取得した内向きデータに含まれる内向き送信元情報と一致するか否かを判定する（Ｓ１０３）。
【００５２】
通信情報格納部２３に格納されている内向き送信元情報が、内向きデータ取得部２１から取得した内向きデータに含まれる内向き送信元情報と一致する場合（Ｓ１０３：Ｙｅｓ）、通信情報登録部２２は、内向きデータ取得部２１から取得した内向きデータに含まれる内向き送信元情報および当該内向き送信元情報に対応するＩＤに対応付けて、当該内向きデータと共に受信した内向きデータ取得日時および当該内向きデータに含まれる内向き宛先アドレスを、通信情報格納部２３内に追加登録し（Ｓ１０４）、内向きデータ取得部２１は、再びステップ１００に示した処理を実行する。
【００５３】
一方、内向きデータ取得部２１から取得した内向きデータ取得日時との時間差が所定値以内のデータ取得日時が通信情報格納部２３内に存在しない場合（Ｓ１０２：Ｎｏ）、または、通信情報格納部２３に格納されている内向き送信元情報が、内向きデータ取得部２１から取得した内向きデータに含まれる内向き送信元情報と一致しない場合（Ｓ１０３：Ｎｏ）、通信情報登録部２２は、内向きデータ取得部２１から取得した内向きデータ取得日時および内向きデータに含まれる内向き宛先アドレスを、内向きデータ取得部２１から取得した内向きデータに含まれる内向き送信元情報および新たに割り当てたＩＤに対応付けて通信情報格納部２３に新規登録し（Ｓ１０７）、内向きデータ取得部２１は、再びステップ１００に示した処理を実行する。
【００５４】
図７は、ボット検知装置２０による応答時間算出処理を例示するフローチャートである。例えば、電源を投入される等の所定のタイミングで、ボット検知装置２０は、本フローチャートに示す応答時間算出処理を開始する。
【００５５】
まず、外向きデータ取得部２４は、外向きデータを受信したか否かを判定する（Ｓ２００）。外向きデータを受信していない場合（Ｓ２００：Ｎｏ）、外向きデータ取得部２４は、外向きデータを受信するまでステップ２００を繰り返す。外向きデータを受信した場合（Ｓ２００：Ｙｅｓ）、外向きデータ取得部２４は、受信した外向きデータと共に、外向きデータ取得日時を応答時間算出部２５へ出力する（Ｓ２０１）。
【００５６】
次に、応答時間算出部２５は、通信情報格納部２３を参照して、外向きデータ取得部２４から取得した外向きデータに含まれる送信元ＩＰアドレスが通信情報格納部２３に内向き宛先アドレスとして格納されているか否かを判定する（Ｓ２０２）。外向きデータ取得部２４から取得した外向きデータに含まれる送信元ＩＰアドレスが通信情報格納部２３に内向き宛先アドレスとして格納されていない場合（Ｓ２０２：Ｎｏ）、外向きデータ取得部２４は、再びステップ２００に示した処理を実行する。
【００５７】
外向きデータ取得部２４から取得した外向きデータに含まれる送信元ＩＰアドレスが通信情報格納部２３に内向き宛先アドレスとして格納されている場合（Ｓ２０２：Ｙｅｓ）、応答時間算出部２５は、当該内向き宛先アドレスに対応付けられて通信情報格納部２３に格納されている内向きデータ取得日時と、当該外向きデータ取得日時との差である応答時間を算出する（Ｓ２０３）。
【００５８】
そして、応答時間算出部２５は、算出した応答時間を、当該内向き宛先アドレス、当該外向きデータの宛先を示す情報を含む外向き宛先情報、当該内向き宛先アドレスに対応付けられて内向き通信情報格納手段２３内に格納されているＩＤ、および外向きデータ取得日時と共に応答時間格納部２６に格納し（Ｓ２０４）、外向きデータ取得部２４は、再びステップ２００に示した処理を実行する。
【００５９】
図８は、ボット検知装置２０によるボット判定処理を例示するフローチャートである。所定時間（１時間）毎、または、応答時間格納部２６内のデータ量が所定値（応答時間格納部２６の記憶容量の８０％）以上になった場合等の所定のタイミングで、ボット検知装置２０は、本フローチャートに示すボット判定処理を開始する。
【００６０】
まず、ボット情報出力部２７は、応答時間格納部２６に格納されているそれぞれのレコードの外向きデータ取得日時を参照して、前回応答時間格納部２６から読み出したレコードの中で、最新のレコードから所定時間（例えば５秒）以内のレコードを特定する（Ｓ３００）。そして、ボット情報出力部２７は、特定したレコードの中で最も古いレコードから所定数のレコードを応答時間格納部２６から読み出す（Ｓ３０１）。
【００６１】
このように、所定時間分さかのぼってレコードを読み出すことにより、ボット情報出力部２７は、応答時間の差が所定時間以内のレコードを確実に検出することができる。なお、最新のレコードから所定時間（例えば５秒）以内のレコードが存在しない場合、ボット情報出力部２７は、ステップ３０１において、前回読み出したレコードの中の最新のレコードから所定数のレコードを読み出す。
【００６２】
次に、ボット情報出力部２７は、読み出したレコードの中で、未選択のレコードを１つ選択し（Ｓ３０２）、選択したレコードに含まれる応答時間との差が所定値（例えば５秒）以内の応答時間を有するレコードが応答時間格納部２６内に存在するか否かを判定する（Ｓ３０３）。選択したレコードに含まれる応答時間との差が所定値以内の応答時間を有するレコードが応答時間格納部２６内に存在しない場合（Ｓ３０３：Ｎｏ）、ボット情報出力部２７は、ステップ３０７に示す処理を実行する。
【００６３】
選択したレコードに含まれる応答時間との差が所定値以内の応答時間を有するレコードが応答時間格納部２６内に存在する場合（Ｓ３０３：Ｙｅｓ）、ボット情報出力部２７は、該当するレコードを抽出し（Ｓ３０４）、抽出したレコードが、ステップ３０２において選択したレコードと同一のＩＤおよび外向き宛先情報を有するか否かを判定する（Ｓ３０５）。抽出したレコードが、ステップ３０２において選択したレコードと同一のＩＤおよび外向き宛先情報を有しない場合（Ｓ３０５：Ｎｏ）、ボット情報出力部２７は、ステップ３０７に示す処理を実行する。
【００６４】
抽出したレコードが、ステップ３０２において選択したレコードと同一のＩＤおよび外向き宛先情報を有する場合（Ｓ３０５：Ｙｅｓ）、ボット情報出力部２７は、該当するレコードに含まれる内向き宛先アドレスをボット感染コンピュータのＩＰアドレスとして出力し（Ｓ３０６）、ステップ３０１において読み出したレコードの中に未選択のレコードが存在するか否かを判定する（Ｓ３０７）。
【００６５】
ステップ３０１において読み出したレコードの中に未選択のレコードが存在する場合（Ｓ３０７：Ｙｅｓ）、ボット情報出力部２７は、再びステップ３０２に示した処理を実行する。未選択のレコードが存在しない場合（Ｓ３０７：Ｎｏ）、ボット検知装置２０は、本フローチャートに示すボット判定処理を終了する。
【００６６】
上記説明から明らかなように、本実施形態の通信システム１０によれば、ボットに感染している可能性の高いコンピュータを確実に検出することができる。
【００６７】
なお、本発明は、上記の各実施形態に限定されるものではなく、その要旨の範囲内で数々の変形が可能である。
【００６８】
図９は、通信システム１０の他の形態を例示するシステム構成図である。なお、以下に説明する点を除き、図９において、図１と同じ符号を付した構成は、図１における構成と同一または同様の機能を有するため説明を省略する。
【００６９】
複数のデータ収集装置５０は、内部ネットワーク１４毎に設けられ、対応する内部ネットワーク１４と外部ネットワーク１２との間の通信データを監視する。ボット判定装置４０は、外部ネットワーク１２を介してそれぞれのデータ収集装置５０から受信した情報に基づいて、ボット感染コンピュータのＩＰアドレスを特定する。
【００７０】
図１０は、データ収集装置５０の詳細な機能構成を例示するブロック図である。データ収集装置５０は、内向きデータ取得部５１および外向きデータ取得部５２を有する。
【００７１】
内向きデータ取得部５１は、外部ネットワーク１２から内部ネットワーク１４へ流入する内向きデータを取得し、取得した内向きデータを、当該内向きデータに対応する内向きデータ取得日時と共に、外部ネットワーク１２を介してボット判定装置４０へ送信する。
【００７２】
外向きデータ取得部５２は、内部ネットワーク１４から外部ネットワーク１２へ流出する外向きデータを取得し、取得した外向きデータを、当該外向きデータに対応する外向きデータ取得日時と共に、外部ネットワーク１２を介してボット判定装置４０へ送信する。
【００７３】
図１１は、ボット判定装置４０の詳細な機能構成を例示するブロック図である。ボット判定装置４０は、通信情報登録部２２、通信情報格納部２３、応答時間算出部２５、応答時間格納部２６、およびボット情報出力部２７を有する。なお、以下に説明する点を除き、図１１において、図２と同じ符号を付した構成は、図２における構成と同一または同様の機能を有するため説明を省略する。
【００７４】
通信情報登録部２２は、外部ネットワーク１２を介して、それぞれのデータ収集装置５０から内向きデータおよび内向きデータ取得日時を受信する。そして、通信情報登録部２２は、図２において説明したように、受信した内向きデータおよび内向きデータ取得日時を通信情報格納部２３に登録する処理を行う。
【００７５】
応答時間算出部２５は、外部ネットワーク１２を介して、それぞれのデータ収集装置５０から外向きデータおよび外向きデータ取得日時を受信する。そして、応答時間算出部２５は、図２において説明したように、受信した外向きデータおよび外向きデータ取得日時を用いて、応答時間算出処理を行う。
【００７６】
本実施形態では、複数のデータ収集装置５０から取得した情報に基づいて、ボット感染コンピュータのＩＰアドレスを検出するので、それぞれの内部ネットワーク１４内にボット感染コンピュータが１台しか存在しない場合であっても、通信システム１０全体でボット感染コンピュータが複数台存在する場合には、ボット判定装置４０は、ボット感染コンピュータのＩＰアドレスを検出することができる。
【００７７】
なお、上記した実施形態において、ボット情報出力部２７は、ボット感染コンピュータのＩＰアドレスを出力したが、他の例として、ボット情報出力部２７は、当該ＩＰアドレスと共に応答時間格納部２６内に格納されているＩＤに基づいて通信情報格納部２３を参照し、当該ＩＤに対応付けられて通信情報格納部２３内に格納されている内向き送信元情報に含まれる内向き送信元アドレスを、指令コンピュータ１１または指令コンピュータ１１に制御されているＩＲＣサーバ１３のＩＰアドレスとしてさらに出力するようにしてもよい。
【００７８】
また、この場合、ボット検知装置２０は、外部ネットワーク１２と内部ネットワーク１４との間に設けられたファイアウォールに指示して、指令コンピュータ１１または指令コンピュータ１１に制御されているＩＲＣサーバ１３のＩＰアドレスを送信元とする内向きデータを遮断させるように、当該ファイアウォールの通信制御ルールを変更させる内向きルール変更機能をさらに備えるようにしてもよい。これにより、ボット検知装置２０は、指令コンピュータからボット感染コンピュータへ送信される指令通信を遮断することができ、ボット感染コンピュータを無害化することができる。
【００７９】
また、ボット検知装置２０は、外部ネットワーク１２と内部ネットワーク１４との間に設けられたファイアウォールに指示して、ボット感染コンピュータから外部ネットワーク１２へ送信される外向けデータを遮断させるように、当該ファイアウォールの通信制御ルールを変更させる外向きルール変更機能をさらに備えるようにしてもよい。これにより、ボット検知装置２０は、指令コンピュータからの指示に応じてボット感染コンピュータから送信された外向きデータを遮断することができ、ボット感染コンピュータを無害化することができる。
【００８０】
また、他の例として、ボット検知装置２０は、ボット情報出力部２７からボット感染コンピュータのＩＰアドレスが出力された場合に、当該ＩＰアドレスに対応するコンピュータへ、ボットに感染している旨を示す警告メッセージを通知する警告機能をさらに備えるようにしてもよい。内部ネットワーク内のコンピュータは、例えば、Ｗｉｎｄｏｗｓ（登録商標）の標準機能であるメッセンジャーサービスを常時起動しておくことにより、ボット検知装置２０から送信された警告メッセージを画面に表示することができる。これにより、ボット感染コンピュータのユーザは、自分が使用しているコンピュータがボットに感染していることを知ることができ、通信ケーブルを外すことにより、ボットに起因する不正アクセスを防止する、あるいは、ハードディスクをフォーマットして、ＯＳやアプリケーションソフトウェア等を再インストールすることによってボットを駆除する等の対策を実施することができる。
【００８１】
また、上記した実施形態では、ボット検知装置２０が、外部ネットワーク１２と内部ネットワーク１４との間に設けられる構成を例に説明したが、本発明はこれに限られない。他の形態として、ボット検知装置２０は、内部ネットワークにのみ接続され、内部ネットワーク内を流れる通信データをモニタリングすることにより、ボットに感染している可能性の高いコンピュータ１５を検知するようにしてもよい。これにより、ボット検知装置２０の処理性能がボトルネックとなることによる通信速度の低下やボット検知装置２０の故障による外部ネットワーク１２と内部ネットワーク１４との間の通信の遮断等のリスクを回避することができる。
【図面の簡単な説明】
【００８２】
【図１】本発明の一実施形態に係る通信システム１０の構成を例示するシステム構成図である。
【図２】ボット検知装置２０の詳細な機能構成を例示するブロック図である。
【図３】通信情報格納部２３に格納されるデータ構造を例示する説明図である。
【図４】応答時間格納部２６に格納されるデータ構造を例示する説明図である。
【図５】ボット検知装置２０の機能を実現する情報処理装置３０のハードウェア構成を例示するハードウェア構成図である。
【図６】ボット検知装置２０による内向きデータ登録処理を例示するフローチャートである。
【図７】ボット検知装置２０による応答時間算出処理を例示するフローチャートである。
【図８】ボット検知装置２０によるボット判定処理を例示するフローチャートである。
【図９】通信システム１０の他の形態を例示するシステム構成図である。
【図１０】データ収集装置５０の詳細な機能構成を例示するブロック図である。
【図１１】ボット判定装置４０の詳細な機能構成を例示するブロック図である。
【符号の説明】
【００８３】
１０・・・通信システム、１１・・・指令コンピュータ、１２・・・外部ネットワーク、１３・・・ＩＲＣサーバ、１４・・・内部ネットワーク、１５・・・コンピュータ、２０・・・ボット検知装置、２１・・・内向きデータ取得部、２２・・・通信情報登録部、２３・・・通信情報格納部、２３０・・・ＩＤ、２３１・・・内向き送信元情報、２３２・・・内向きデータ取得日時、２３３・・・内向き宛先アドレス、２４・・・外向きデータ取得部、２５・・・応答時間算出部、２６・・・応答時間格納部、２７・・・ボット情報出力部、３０・・・情報処理装置、３１・・・ＣＰＵ、３２・・・ＲＡＭ、３３・・・ＲＯＭ、３４・・・ＨＤＤ、３５・・・通信インターフェイス、３６・・・入出力インターフェイス、３７・・・メディアインターフェイス、３８・・・記録媒体、４０・・・ボット判定装置、５０・・・データ収集装置、５１・・・内向きデータ取得部、５２・・・外向きデータ取得部
【技術分野】
【０００１】
本発明は、不正なプログラムが埋め込まれたコンピュータを検出する技術に関する。
【背景技術】
【０００２】
特許文献１には、現在知られているコンピュータウイルスの全データパターンを保持し、通信データを受信した場合に、受信した通信データを一旦バッファに取り込み、取り込んだ通信データを、保持しているコンピュータウイルスのデータパターンと比較することによって、コンピュータ内にコンピュータウイルスが侵入しないようにする技術が開示されている。この技術では、新しいコンピュータウイルスが出現した場合に、対応する新しいデータパターンを入手することにより、新たなコンピュータウイルスの侵入を防止することができる。
【０００３】
また、特許文献２には、監視対象となるネットワークにＩＤＳ（侵入検知装置）を設置し、当該ＩＤＳ内に予め不正侵入の複数のパターン（手口）を登録しておき、ネットワークを流れる通信データを監視して、登録されている不正侵入パターンと一致する場合に、不正侵入者からの通信を遮断したり、管理者に警告を通知したりする技術が開示されている。
【０００４】
また、コンピュータに対して不正な処理を行うプログラムとしては、ウイルスやワーム等が知られているが、近年、ボットと呼ばれる新たな不正プログラムが出現してきている。ボットは、隠匿機能や自己更新機能を有するという特徴や、感染規模が小さい、亜種が多い、悪意を持った指令者によって遠隔操作されるといった特徴がある。ボットに感染したコンピュータは、指令者が操作するコンピュータによって、スパムメールの送信や中継、ＤｏＳ（Denial of Services）やＤＤｏＳ（Distributed Denial of Service）攻撃、あるいはフィッシングサイトを公開するためのｗｅｂサーバに扮したりする等の不正行為に使われるため、大きな社会的な問題となっている。
【０００５】
【特許文献１】特開平６−３３７７８１号公報
【特許文献２】特開２００２−３４２２７６号公報
【発明の開示】
【発明が解決しようとする課題】
【０００６】
ボットを検知するためには、日々大量に発生する亜種に対応したデータパターンを作成する必要がある。データパターンを作成するためにはボットの検体が必要となる場合が多いが、感染規模の小さいことを特徴とするボットは検体の提供が少なく、数多くの亜種を検出するためのデータパターンが提供されないという問題がある。そのため、データパターンの作成がボット発生の後手に回ってしまい、データパターンが作成された頃には、ボットは自己を新しいボットに更新している場合があり、そのデータパターンでは検出できなくなってしまう。このように、従来のウイルスやワームと同様の対策では、ボットに感染したコンピュータを発見することができない場合があった。
【０００７】
本発明は上記事情に鑑みてなされたものであり、本発明の目的は、ボットに感染している可能性の高いコンピュータを確実に検出することにある。
【課題を解決するための手段】
【０００８】
上記課題を解決するために、本発明は、外部ネットワークから内部ネットワークへ同時期に流入した通信データであって、同一の送信元から複数のコンピュータへ送信された通信データを仮の指令通信情報として保持し、保持した仮の指令通信情報の宛先となっているコンピュータの中で、内部ネットワークから外部ネットワークへ同時期に通信データを送信したコンピュータをボットに感染している可能性の高いコンピュータと判定する。
【０００９】
例えば、本発明の第１の態様は、外部のネットワークと内部のネットワークとの間に設けられるボット検知装置であって、外部ネットワークから内部ネットワークへ流入する通信データである内向きデータを取得し、取得した内向きデータを、当該内向きデータを取得した日時を示す情報である内向きデータ取得日時と共に出力する内向きデータ取得手段と、同一の送信元から所定の時間差以内に送信された内向きデータをグループ化して、当該内向きデータに含まれる宛先ＩＰアドレスである内向き宛先アドレスを、グループを識別するグループＩＤに対応付けて格納する内向き通信情報格納手段と、内部ネットワークから外部ネットワークへ流出する通信データである外向きデータを取得し、取得した外向きデータを、当該外向きデータを取得した日時を示す情報である外向きデータ取得日時と共に出力する外内向きデータ取得手段と、外向きデータ取得手段から外向きデータおよび外向きデータ取得日時が出力された場合に、内向き通信情報格納手段を参照して、外向きデータに含まれる送信元ＩＰアドレスが内向き通信情報格納手段内に内向き宛先アドレスとして格納されている場合に、当該内向き宛先アドレスと共に格納されている内向きデータ取得日時と、当該外向きデータ取得日時との差である応答時間を算出する応答時間算出手段と、算出された応答時間を、当該内向き宛先アドレス、当該外向きデータの宛先を示す情報を含む外向き宛先情報、および当該内向き宛先アドレスに対応付けられて内向き通信情報格納手段内に格納されているグループＩＤに対応付けて格納する応答時間格納手段と、応答時間格納手段を参照して、グループＩＤおよび外向き宛先情報が同一であり、かつ、応答時間の差が所定値以内の内向き宛先アドレスを抽出し、抽出した内向き宛先アドレスを、ボットに感染している可能性の高いコンピュータであるボット感染コンピュータのＩＰアドレスとして出力するボット情報出力手段とを備えることを特徴とするボット検知装置を提供する。
【００１０】
また、本発明の第２の態様は、外部のネットワークと内部のネットワークとの間に設けられるボット検知装置におけるボット検出方法であって、ボット検出装置は、外部ネットワークから内部ネットワークへ流入する通信データである内向きデータを取得し、取得した内向きデータを、当該内向きデータを取得した日時を示す情報である内向きデータ取得日時と共に出力する内向きデータ取得ステップと、同一の送信元から所定の時間差以内に送信された内向きデータをグループ化して、当該内向きデータに含まれる宛先ＩＰアドレスである内向き宛先アドレスを、グループを識別するグループＩＤに対応付けて内向き通信情報格納手段に格納する内向き通信情報格納ステップと、内部ネットワークから外部ネットワークへ流出する通信データである外向きデータを取得し、取得した外向きデータを、当該外向きデータを取得した日時を示す情報である外向きデータ取得日時と共に出力する外内向きデータ取得ステップと、外向きデータ取得ステップにおいて外向きデータおよび外向きデータ取得日時を出力した場合に、内向き通信情報格納手段を参照して、外向きデータに含まれる送信元ＩＰアドレスが内向き通信情報格納手段内に内向き宛先アドレスとして格納されている場合に、当該内向き宛先アドレスと共に格納されている内向きデータ取得日時と、当該外向きデータ取得日時との差である応答時間を算出する応答時間算出ステップと、算出した応答時間を、当該内向き宛先アドレス、当該外向きデータの宛先を示す情報を含む外向き宛先情報、および当該内向き宛先アドレスに対応付けられて内向き通信情報格納手段内に格納されているグループＩＤに対応付けて応答時間格納手段に格納する応答時間格納ステップと、応答時間格納手段を参照して、グループＩＤおよび外向き宛先情報が同一であり、かつ、応答時間の差が所定値以内の内向き宛先アドレスを抽出し、抽出した内向き宛先アドレスを、ボットに感染している可能性の高いコンピュータのＩＰアドレスとして出力するボット情報出力ステップとを実行することを特徴とするボット検知方法を提供する。
【００１１】
また、本発明の第３の態様は、外部のネットワークと内部のネットワークとの間に設けられるボット検知装置を制御するプログラムであって、ボット検知装置を、外部ネットワークから内部ネットワークへ流入する通信データである内向きデータを取得し、取得した内向きデータを、当該内向きデータを取得した日時を示す情報である内向きデータ取得日時と共に出力する内向きデータ取得手段、同一の送信元から所定の時間差以内に送信された内向きデータをグループ化して、当該内向きデータに含まれる宛先ＩＰアドレスである内向き宛先アドレスを、グループを識別するグループＩＤに対応付けて格納する内向き通信情報格納手段、内部ネットワークから外部ネットワークへ流出する通信データである外向きデータを取得し、取得した外向きデータを、当該外向きデータを取得した日時を示す情報である外向きデータ取得日時と共に出力する外内向きデータ取得手段、外向きデータ取得手段から外向きデータおよび外向きデータ取得日時が出力された場合に、内向き通信情報格納手段を参照して、外向きデータに含まれる送信元ＩＰアドレスが内向き通信情報格納手段内に内向き宛先アドレスとして格納されている場合に、当該内向き宛先アドレスと共に格納されている内向きデータ取得日時と、当該外向きデータ取得日時との差である応答時間を算出する応答時間算出手段、算出された応答時間を、当該内向き宛先アドレス、当該外向きデータの宛先を示す情報を含む外向き宛先情報、および当該内向き宛先アドレスに対応付けられて内向き通信情報格納手段内に格納されているグループＩＤに対応付けて格納する応答時間格納手段、および応答時間格納手段を参照して、グループＩＤおよび外向き宛先情報が同一であり、かつ、応答時間の差が所定値以内の内向き宛先アドレスを抽出し、抽出した内向き宛先アドレスを、ボットに感染している可能性の高いコンピュータであるボット感染コンピュータのＩＰアドレスとして出力するボット情報出力手段として機能させることを特徴とするプログラムを提供する。
【発明の効果】
【００１２】
本発明によれば、ボットに感染している可能性の高いコンピュータを確実に検出することができる。
【発明を実施するための最良の形態】
【００１３】
以下に、本発明の実施の形態について説明する。
【００１４】
図１は、本発明の一実施形態に係る通信システム１０の構成を例示するシステム構成図である。通信システム１０は、インターネット等の外部ネットワーク１２と社内ＬＡＮ（Local Area Network）等の内部ネットワーク１４との間に設けられるボット検知装置２０を備える。内部ネットワーク１４には、複数のコンピュータ１５が接続され、それぞれのコンピュータ１５は、内部ネットワーク１４およびボット検知装置２０を介して、外部ネットワーク１２に接続された他の通信機器と通信データの送受信を行う。
【００１５】
指令コンピュータ１１は、外部ネットワーク１２を介して、ボットを埋め込むためのプログラムを含む通信データをコンピュータ１５に送り込むことにより、コンピュータ１５をボットに感染させる。また、指令コンピュータ１１は、外部ネットワーク１２を介してＩＲＣ（Internet Relay Chat）サーバ１３等を不正に制御し、不正な処理を開始させるための指令を含む通信データをボットに感染しているコンピュータ１５に送信する。なお、指令コンピュータ１１は、ＩＲＣサーバ１３以外のＷｅｂサーバ等を不正に制御することにより、ボットに感染しているコンピュータに指令を送る指令サーバに仕立てる場合もある。
【００１６】
ボットに感染したコンピュータ１５は、ボットのプログラムに従って所定のＩＲＣサーバ１３にアクセスすることにより、指令コンピュータ１１からの指令を待ち受ける。そして、ボットに感染したコンピュータ１５は、指令コンピュータ１１からの指令に応じて、他のコンピュータ１５をボットに感染させる、特定のＷｅｂサーバに対するＤｏＳ攻撃をおこなう、または不特定の電子メールアドレス宛にスパムメールを送信する等の不正な行為を実行する。
【００１７】
ボット検知装置２０は、外部ネットワーク１２と内部ネットワーク１４との間の通信データを監視することにより、外部ネットワーク１２から内部ネットワーク１４へ流入する指令通信と、当該指令通信に応答して内部ネットワーク１４から外部ネットワーク１２へ流出する応答通信との関係から、ボットに感染している可能性の高いコンピュータ１５を検知し、検知結果を出力する。
【００１８】
図２は、ボット検知装置２０の詳細な機能構成を例示するブロック図である。ボット検知装置２０は、内向きデータ取得部２１、通信情報登録部２２、通信情報格納部２３、外向きデータ取得部２４、応答時間算出部２５、応答時間格納部２６、およびボット情報出力部２７を備える。
【００１９】
内向きデータ取得部２１は、外部ネットワーク１２から内部ネットワーク１４へ流入する通信データである内向きデータを取得し、取得した内向きデータを、当該内向きデータを取得した日時を示す情報である内向きデータ取得日時と共に通信情報登録部２２へ出力する。
【００２０】
通信情報格納部２３は、例えば図３に示すように、内向きの通信をグループ化するための識別子であるＩＤ２３０および内向きデータの送信元を示す情報を含む内向き送信元情報２３１毎に、内向きデータ取得日時２３２および内向きデータに含まれる宛先ＩＰアドレスである内向き宛先アドレス２３３を１つ以上格納する。
【００２１】
本実施形態において、内向き送信元情報には、内向きデータに含まれる送信元ＩＰアドレスである内向き送信元アドレス、内向きデータに含まれる送信元ポート番号である内向き送信元ポート番号、および当該内向きデータに含まれるペイロードに関する情報である内向きデータ情報が含まれる。内向きデータ情報とは、内向きデータに含まれるペイロードの先頭から所定量（例えば５バイト）のデータである。
【００２２】
通信情報登録部２２は、内向きデータ取得部２１から内向きデータおよび内向きデータ取得日時を取得した場合に、通信情報格納部２３を参照して、当該データ取得日時との時間差が所定値（本例では５秒）以内の内向きデータ取得日時が通信情報格納部２３内に格納されているか否かを判定する。
【００２３】
内向きデータ取得部２１から取得したデータ取得日時との時間差が所定値以内の内向きデータ取得日時が通信情報格納部２３内に格納されている場合、通信情報登録部２２は、当該内向きデータ取得日時に対応付けられて通信情報格納部２３に格納されている内向き送信元情報が、内向きデータ取得部２１から取得した内向きデータに含まれる内向き送信元情報と一致するか否かを判定する。
【００２４】
通信情報格納部２３に格納されている内向き送信元情報が、内向きデータ取得部２１から取得した内向きデータに含まれる内向き送信元情報と一致する場合、通信情報登録部２２は、内向きデータ取得部２１から取得した内向きデータに含まれる内向き送信元情報および当該内向き送信元情報に対応するＩＤに対応付けて、当該内向きデータと共に受信した内向きデータ取得日時および当該内向きデータに含まれる内向き宛先アドレスを通信情報格納部２３内に追加登録する。
【００２５】
一方、内向きデータ取得部２１から取得したデータ取得日時との時間差が所定値以内の内向きデータ取得日時が通信情報格納部２３内に格納されていない場合、または、通信情報格納部２３に格納されている内向き送信元情報が、内向きデータ取得部２１から取得した内向きデータに含まれる内向き送信元情報と一致しない場合、通信情報登録部２２は、内向きデータ取得部２１から取得した内向きデータ取得日時および内向きデータに含まれる内向き宛先アドレスを、内向きデータ取得部２１から取得した内向きデータに含まれる内向き送信元情報および新たに割り当てたＩＤに対応付けて通信情報格納部２３に新規登録する。
【００２６】
このように、通信情報登録部２２は、同時期に外部ネットワーク１２から内部ネットワーク１４へ流入した、内向き送信元情報が等しい内向きデータの内向きデータ取得日時および内向き宛先アドレスを、共通のＩＤでグループ化する。これにより、通信情報登録部２２は、同一の送信元から同時期に内部ネットワーク１４内のコンピュータ１５へ送信された内向きデータに関する情報を収集することができる。このようにして収集された情報の中には、ＩＲＣサーバ１３からボットに感染したコンピュータ１５へ送信された指令情報が含まれている可能性が高い。以下では、通信情報格納部２３に格納された情報を基に、さらにボットに感染している可能性の高いコンピュータ１５を検出するための処理が行われる。
【００２７】
なお、本実施形態では、内向きデータに含まれるペイロードの先頭から所定量（例えば５バイト）のデータを、内向きデータ情報の一例として説明している。これは、ペイロードの先頭数バイトには、バージョン情報等のアプリケーション毎に決まったデータが格納されることが多く、ペイロードの先頭から所定量のデータが一致するということは、同質の通信データである可能性が高いという理由からである。
【００２８】
また、他の例として、内向きデータ情報は、内向きデータのペイロードの一部のデータ、内向きデータのペイロードの全データ、内向きデータのペイロードの全データに所定の演算を施すことによって得られた特徴値（例えばハッシュ値）、または内向きデータのペイロードのデータ量を示す値等であってもよい。
【００２９】
また、本実施形態において、内向き送信元情報には、内向き送信元アドレス、内向き送信元ポート番号、および内向きデータ情報が含まれるが、他の例として、内向き送信元情報には、内向きデータ情報が含まれないようにしてもよい。これにより、ペイロードの一部を変えることにより、異なる通信データであることを偽装した場合であっても、通信情報登録部２２は、同時期に外部ネットワーク１２から内部ネットワーク１４へ流入した、内向き送信元アドレスおよび内向き送信元ポート番号が等しい内向きデータを、同一の送信元から送信された通信データとしてグループ化することができる。
【００３０】
外向きデータ取得部２４は、内部ネットワーク１４から外部ネットワーク１２へ流出する通信データである外向きデータを取得し、取得した外向きデータを、当該外向きデータを取得した日時を示す情報である外向きデータ取得日時と共に応答時間算出部２５へ出力する。
【００３１】
応答時間算出部２５は、外向きデータ取得部２４から外向きデータおよび外向きデータ取得日時を取得した場合に、通信情報格納部２３を参照して、取得した外向きデータに含まれる送信元ＩＰアドレスが通信情報格納部２３に内向き宛先アドレスとして格納されているか否かを判定する。
【００３２】
取得した外向きデータに含まれる送信元ＩＰアドレスが通信情報格納部２３に内向き宛先アドレスとして格納されている場合、応答時間算出部２５は、当該内向き宛先アドレスに対応付けられて通信情報格納部２３に格納されている内向きデータ取得日時と、当該外向きデータ取得日時との差である応答時間を算出する。
【００３３】
そして、応答時間算出部２５は、算出した応答時間を、当該内向き宛先アドレス、当該外向きデータの宛先を示す情報を含む外向き宛先情報、当該内向き宛先アドレスに対応付けられて内向き通信情報格納手段２３内に格納されているＩＤ、および外向きデータ取得日時と共に応答時間格納部２６に格納する。
【００３４】
応答時間格納部２６は、例えば図４に示すように、複数のレコード２６５を有する。それぞれのレコード２６５は、ＩＤを格納するフィールド２６０、内向き宛先アドレスを格納するフィールド２６１、外向き宛先情報を格納するフィールド２６２、応答時間を格納するフィールド２６３、および外向きデータ取得日時を格納するフィールド２６４を有する。なお、応答時間格納部２６には、外向きデータ取得日時の古い順に各レコードが格納されている。
【００３５】
本実施形態において、外向き宛先情報には、外向きデータに含まれる宛先ＩＰアドレスである外向き宛先アドレス、外向きデータに含まれる宛先ポート番号である外向き宛先ポート番号、および当該外向きデータに含まれるペイロードに関する情報である外向きデータ情報が含まれる。外向きデータ情報とは、外向きデータに含まれるペイロードの先頭から所定量（例えば５バイト）のデータである。
【００３６】
ボット情報出力部２７は、応答時間格納部２６を参照して、ＩＤおよび外向き宛先情報が同一であり、かつ、応答時間の差が所定値以内（例えば５秒以内）のレコードに格納されている内向き宛先アドレスを抽出し、抽出した内向き宛先アドレスを、ボットに感染している可能性の高いコンピュータ１５であるボット感染コンピュータのＩＰアドレスとして、内部ネットワーク１４の管理者等へ出力する。
【００３７】
ボット情報出力部２７は、例えば、表示装置への表示、印字装置を介した紙等への印字、またはハードディスク等の外部記録装置への格納等により、ボット感染コンピュータのＩＰアドレスを外部へ出力してもよい。
【００３８】
このように、ボット検知装置２０は、同時期に同一の送信元から内向きデータを受信したコンピュータ１５の中で、同時期に、同一の宛先へ外向きデータを送信するコンピュータ１５をボット感染コンピュータと判定する。これにより、ボット検知装置２０は、指令を受けてから、特定のサーバに対してＤｏＳ攻撃を行う等の、ボット感染コンピュータに特有の挙動を示すコンピュータ１５を特定することができる。
【００３９】
なお、本実施形態では、外向きデータに含まれるペイロードの先頭から所定量（例えば５バイト）のデータを、外向きデータ情報の一例として説明したが、本発明はこれに限られない。外向きデータ情報は、例えば、外向きデータのペイロードの一部のデータ、外向きデータのペイロードの全データ、外向きデータのペイロードの全データに所定の演算を施すことによって得られた特徴値（例えばハッシュ値）、または外向きデータのペイロードのデータ量を示す値等であってもよい。
【００４０】
また、本実施形態において、外向き宛先情報には、外向き宛先アドレス、外向き宛先ポート番号、および外向きデータ情報が含まれるが、他の例として、外向き宛先情報には、外向きデータ情報が含まれないようにしてもよい。これにより、ペイロードの一部を変えることにより、異なる通信データであることを偽装した場合や、特定のサーバに対してパスワードの入力を複数回試みるパスワード総当り攻撃等であっても、ボット情報出力部２７は、外向き宛先アドレスおよび外向き宛先ポート番号が一致した外向きデータを、ボット感染コンピュータから同一の宛先へ送信された外向きデータとして判定することができる。
【００４１】
また、本実施形態において、ボット情報出力部２７は、ＩＤおよび外向き宛先情報が同一であり、かつ、応答時間の差が所定値以内の内向き宛先アドレスをボット感染コンピュータのＩＰアドレスとして判定したが、他の例として、ボット情報出力部２７は、ＩＤが同一であり、かつ、応答時間の差が所定値以内の内向き宛先アドレスをボット感染コンピュータのＩＰアドレスとして判定してもよい。これにより、複数のボット感染コンピュータが、それぞれ異なるメールサーバを介してスパムメールを送信する場合であっても、ボット情報出力部２７は、ボット感染コンピュータのＩＰアドレスを検出することができる。
【００４２】
図５は、ボット検知装置２０の機能を実現する情報処理装置３０のハードウェア構成を例示するハードウェア構成図である。情報処理装置３０は、ＣＰＵ（Central Processing Unit）３１、ＲＡＭ（Random Access Memory）３２、ＲＯＭ（Read Only Memory）３３、ＨＤＤ（Hard Disk Drive）３４、通信インターフェイス３５、入出力インターフェイス３６、メディアインターフェイス３７を備える。
【００４３】
ＣＰＵ３１は、ＲＯＭ３３およびＨＤＤ３４に格納されたプログラムに基づいて動作し、各部の制御を行う。ＲＯＭ３３は、情報処理装置３０の起動時にＣＰＵ３１が実行するブートプログラムや、情報処理装置３０のハードウェアに依存するプログラム等を格納する。
【００４４】
ＨＤＤ３４は、ＣＰＵ３１が実行するプログラムおよびＣＰＵ３１が使用するデータ等を格納する。通信インターフェイス３５は、外部ネットワーク１２または内部ネットワーク１４を介して他の機器からデータを受信してＣＰＵ３１へ送ると共に、ＣＰＵ３１が生成したデータを、これらのネットワークを介して他の機器へ送信する。
【００４５】
ＣＰＵ３１は、入出力インターフェイス３６を介して、キーボードやマウス、ＬＣＤ（Liquid Crystal Display）等の入出力装置を制御する。ＣＰＵ３１は、入出力インターフェイス３６を介して、キーボードやマウス等からデータを取得する。また、ＣＰＵ３１は、生成したデータを、入出力インターフェイス３６を介してＬＣＤ等へ出力する。
【００４６】
メディアインターフェイス３７は、記録媒体３８に格納されたプログラムまたはデータを読み取り、ＲＡＭ３２に提供する。ＲＡＭ３２を介してＣＰＵ３１に提供されるプログラムは、記録媒体３８に格納されている。当該プログラムは、記録媒体３８から読み出されて、ＲＡＭ３２を介して情報処理装置３０にインストールされ、ＣＰＵ３１によって実行される。
【００４７】
ＨＤＤ３４には、通信情報格納部２３および応答時間格納部２６内のデータが格納される。情報処理装置３０にインストールされて実行されるプログラムは、情報処理装置３０を、内向きデータ取得部２１、通信情報登録部２２、外向きデータ取得部２４、応答時間算出部２５、およびボット情報出力部２７として機能させる。
【００４８】
記録媒体３８は、例えばＤＶＤ、ＰＤ等の光学記録媒体、ＭＯ等の光磁気記録媒体、テープ媒体、磁気記録媒体、または半導体メモリ等である。情報処理装置３０は、これらのプログラムを、記録媒体３８から読み取って実行するが、他の例として、他の装置から、通信媒体を介して、これらのプログラムを取得してもよい。通信媒体とは、外部ネットワーク１２または内部ネットワーク１４、またはこれらを伝搬するディジタル信号または搬送波を指す。
【００４９】
図６は、ボット検知装置２０による内向きデータ登録処理を例示するフローチャートである。例えば、電源を投入される等の所定のタイミングで、ボット検知装置２０は、本フローチャートに示す内向きデータ登録処理を開始する。
【００５０】
まず、内向きデータ取得部２１は、内向きデータを受信したか否かを判定する（Ｓ１００）。内向きデータを受信していない場合（Ｓ１００：Ｎｏ）、内向きデータ取得部２１は、内向きデータを受信するまでステップ１００を繰り返す。内向きデータを受信した場合（Ｓ１００：Ｙｅｓ）、内向きデータ取得部２１は、受信した内向きデータと共に、内向きデータ取得日時を通信情報登録部２２へ出力する（Ｓ１０１）。
【００５１】
次に、通信情報登録部２２は、内向きデータ取得部２１から受信した内向きデータ取得日時に基づいて通信情報格納部２３を参照し、当該内向きデータ取得日時との時間差が所定値（例えば５秒）以内のデータ取得日時が存在するか否かを判定する（Ｓ１０２）。内向きデータ取得部２１から取得した内向きデータ取得日時との時間差が所定値以内のデータ取得日時が通信情報格納部２３内に存在する場合（Ｓ１０２：Ｙｅｓ）、通信情報登録部２２は、当該内向きデータ取得日時に対応付けられて通信情報格納部２３に格納されている内向き送信元情報が、内向きデータ取得部２１から取得した内向きデータに含まれる内向き送信元情報と一致するか否かを判定する（Ｓ１０３）。
【００５２】
通信情報格納部２３に格納されている内向き送信元情報が、内向きデータ取得部２１から取得した内向きデータに含まれる内向き送信元情報と一致する場合（Ｓ１０３：Ｙｅｓ）、通信情報登録部２２は、内向きデータ取得部２１から取得した内向きデータに含まれる内向き送信元情報および当該内向き送信元情報に対応するＩＤに対応付けて、当該内向きデータと共に受信した内向きデータ取得日時および当該内向きデータに含まれる内向き宛先アドレスを、通信情報格納部２３内に追加登録し（Ｓ１０４）、内向きデータ取得部２１は、再びステップ１００に示した処理を実行する。
【００５３】
一方、内向きデータ取得部２１から取得した内向きデータ取得日時との時間差が所定値以内のデータ取得日時が通信情報格納部２３内に存在しない場合（Ｓ１０２：Ｎｏ）、または、通信情報格納部２３に格納されている内向き送信元情報が、内向きデータ取得部２１から取得した内向きデータに含まれる内向き送信元情報と一致しない場合（Ｓ１０３：Ｎｏ）、通信情報登録部２２は、内向きデータ取得部２１から取得した内向きデータ取得日時および内向きデータに含まれる内向き宛先アドレスを、内向きデータ取得部２１から取得した内向きデータに含まれる内向き送信元情報および新たに割り当てたＩＤに対応付けて通信情報格納部２３に新規登録し（Ｓ１０７）、内向きデータ取得部２１は、再びステップ１００に示した処理を実行する。
【００５４】
図７は、ボット検知装置２０による応答時間算出処理を例示するフローチャートである。例えば、電源を投入される等の所定のタイミングで、ボット検知装置２０は、本フローチャートに示す応答時間算出処理を開始する。
【００５５】
まず、外向きデータ取得部２４は、外向きデータを受信したか否かを判定する（Ｓ２００）。外向きデータを受信していない場合（Ｓ２００：Ｎｏ）、外向きデータ取得部２４は、外向きデータを受信するまでステップ２００を繰り返す。外向きデータを受信した場合（Ｓ２００：Ｙｅｓ）、外向きデータ取得部２４は、受信した外向きデータと共に、外向きデータ取得日時を応答時間算出部２５へ出力する（Ｓ２０１）。
【００５６】
次に、応答時間算出部２５は、通信情報格納部２３を参照して、外向きデータ取得部２４から取得した外向きデータに含まれる送信元ＩＰアドレスが通信情報格納部２３に内向き宛先アドレスとして格納されているか否かを判定する（Ｓ２０２）。外向きデータ取得部２４から取得した外向きデータに含まれる送信元ＩＰアドレスが通信情報格納部２３に内向き宛先アドレスとして格納されていない場合（Ｓ２０２：Ｎｏ）、外向きデータ取得部２４は、再びステップ２００に示した処理を実行する。
【００５７】
外向きデータ取得部２４から取得した外向きデータに含まれる送信元ＩＰアドレスが通信情報格納部２３に内向き宛先アドレスとして格納されている場合（Ｓ２０２：Ｙｅｓ）、応答時間算出部２５は、当該内向き宛先アドレスに対応付けられて通信情報格納部２３に格納されている内向きデータ取得日時と、当該外向きデータ取得日時との差である応答時間を算出する（Ｓ２０３）。
【００５８】
そして、応答時間算出部２５は、算出した応答時間を、当該内向き宛先アドレス、当該外向きデータの宛先を示す情報を含む外向き宛先情報、当該内向き宛先アドレスに対応付けられて内向き通信情報格納手段２３内に格納されているＩＤ、および外向きデータ取得日時と共に応答時間格納部２６に格納し（Ｓ２０４）、外向きデータ取得部２４は、再びステップ２００に示した処理を実行する。
【００５９】
図８は、ボット検知装置２０によるボット判定処理を例示するフローチャートである。所定時間（１時間）毎、または、応答時間格納部２６内のデータ量が所定値（応答時間格納部２６の記憶容量の８０％）以上になった場合等の所定のタイミングで、ボット検知装置２０は、本フローチャートに示すボット判定処理を開始する。
【００６０】
まず、ボット情報出力部２７は、応答時間格納部２６に格納されているそれぞれのレコードの外向きデータ取得日時を参照して、前回応答時間格納部２６から読み出したレコードの中で、最新のレコードから所定時間（例えば５秒）以内のレコードを特定する（Ｓ３００）。そして、ボット情報出力部２７は、特定したレコードの中で最も古いレコードから所定数のレコードを応答時間格納部２６から読み出す（Ｓ３０１）。
【００６１】
このように、所定時間分さかのぼってレコードを読み出すことにより、ボット情報出力部２７は、応答時間の差が所定時間以内のレコードを確実に検出することができる。なお、最新のレコードから所定時間（例えば５秒）以内のレコードが存在しない場合、ボット情報出力部２７は、ステップ３０１において、前回読み出したレコードの中の最新のレコードから所定数のレコードを読み出す。
【００６２】
次に、ボット情報出力部２７は、読み出したレコードの中で、未選択のレコードを１つ選択し（Ｓ３０２）、選択したレコードに含まれる応答時間との差が所定値（例えば５秒）以内の応答時間を有するレコードが応答時間格納部２６内に存在するか否かを判定する（Ｓ３０３）。選択したレコードに含まれる応答時間との差が所定値以内の応答時間を有するレコードが応答時間格納部２６内に存在しない場合（Ｓ３０３：Ｎｏ）、ボット情報出力部２７は、ステップ３０７に示す処理を実行する。
【００６３】
選択したレコードに含まれる応答時間との差が所定値以内の応答時間を有するレコードが応答時間格納部２６内に存在する場合（Ｓ３０３：Ｙｅｓ）、ボット情報出力部２７は、該当するレコードを抽出し（Ｓ３０４）、抽出したレコードが、ステップ３０２において選択したレコードと同一のＩＤおよび外向き宛先情報を有するか否かを判定する（Ｓ３０５）。抽出したレコードが、ステップ３０２において選択したレコードと同一のＩＤおよび外向き宛先情報を有しない場合（Ｓ３０５：Ｎｏ）、ボット情報出力部２７は、ステップ３０７に示す処理を実行する。
【００６４】
抽出したレコードが、ステップ３０２において選択したレコードと同一のＩＤおよび外向き宛先情報を有する場合（Ｓ３０５：Ｙｅｓ）、ボット情報出力部２７は、該当するレコードに含まれる内向き宛先アドレスをボット感染コンピュータのＩＰアドレスとして出力し（Ｓ３０６）、ステップ３０１において読み出したレコードの中に未選択のレコードが存在するか否かを判定する（Ｓ３０７）。
【００６５】
ステップ３０１において読み出したレコードの中に未選択のレコードが存在する場合（Ｓ３０７：Ｙｅｓ）、ボット情報出力部２７は、再びステップ３０２に示した処理を実行する。未選択のレコードが存在しない場合（Ｓ３０７：Ｎｏ）、ボット検知装置２０は、本フローチャートに示すボット判定処理を終了する。
【００６６】
上記説明から明らかなように、本実施形態の通信システム１０によれば、ボットに感染している可能性の高いコンピュータを確実に検出することができる。
【００６７】
なお、本発明は、上記の各実施形態に限定されるものではなく、その要旨の範囲内で数々の変形が可能である。
【００６８】
図９は、通信システム１０の他の形態を例示するシステム構成図である。なお、以下に説明する点を除き、図９において、図１と同じ符号を付した構成は、図１における構成と同一または同様の機能を有するため説明を省略する。
【００６９】
複数のデータ収集装置５０は、内部ネットワーク１４毎に設けられ、対応する内部ネットワーク１４と外部ネットワーク１２との間の通信データを監視する。ボット判定装置４０は、外部ネットワーク１２を介してそれぞれのデータ収集装置５０から受信した情報に基づいて、ボット感染コンピュータのＩＰアドレスを特定する。
【００７０】
図１０は、データ収集装置５０の詳細な機能構成を例示するブロック図である。データ収集装置５０は、内向きデータ取得部５１および外向きデータ取得部５２を有する。
【００７１】
内向きデータ取得部５１は、外部ネットワーク１２から内部ネットワーク１４へ流入する内向きデータを取得し、取得した内向きデータを、当該内向きデータに対応する内向きデータ取得日時と共に、外部ネットワーク１２を介してボット判定装置４０へ送信する。
【００７２】
外向きデータ取得部５２は、内部ネットワーク１４から外部ネットワーク１２へ流出する外向きデータを取得し、取得した外向きデータを、当該外向きデータに対応する外向きデータ取得日時と共に、外部ネットワーク１２を介してボット判定装置４０へ送信する。
【００７３】
図１１は、ボット判定装置４０の詳細な機能構成を例示するブロック図である。ボット判定装置４０は、通信情報登録部２２、通信情報格納部２３、応答時間算出部２５、応答時間格納部２６、およびボット情報出力部２７を有する。なお、以下に説明する点を除き、図１１において、図２と同じ符号を付した構成は、図２における構成と同一または同様の機能を有するため説明を省略する。
【００７４】
通信情報登録部２２は、外部ネットワーク１２を介して、それぞれのデータ収集装置５０から内向きデータおよび内向きデータ取得日時を受信する。そして、通信情報登録部２２は、図２において説明したように、受信した内向きデータおよび内向きデータ取得日時を通信情報格納部２３に登録する処理を行う。
【００７５】
応答時間算出部２５は、外部ネットワーク１２を介して、それぞれのデータ収集装置５０から外向きデータおよび外向きデータ取得日時を受信する。そして、応答時間算出部２５は、図２において説明したように、受信した外向きデータおよび外向きデータ取得日時を用いて、応答時間算出処理を行う。
【００７６】
本実施形態では、複数のデータ収集装置５０から取得した情報に基づいて、ボット感染コンピュータのＩＰアドレスを検出するので、それぞれの内部ネットワーク１４内にボット感染コンピュータが１台しか存在しない場合であっても、通信システム１０全体でボット感染コンピュータが複数台存在する場合には、ボット判定装置４０は、ボット感染コンピュータのＩＰアドレスを検出することができる。
【００７７】
なお、上記した実施形態において、ボット情報出力部２７は、ボット感染コンピュータのＩＰアドレスを出力したが、他の例として、ボット情報出力部２７は、当該ＩＰアドレスと共に応答時間格納部２６内に格納されているＩＤに基づいて通信情報格納部２３を参照し、当該ＩＤに対応付けられて通信情報格納部２３内に格納されている内向き送信元情報に含まれる内向き送信元アドレスを、指令コンピュータ１１または指令コンピュータ１１に制御されているＩＲＣサーバ１３のＩＰアドレスとしてさらに出力するようにしてもよい。
【００７８】
また、この場合、ボット検知装置２０は、外部ネットワーク１２と内部ネットワーク１４との間に設けられたファイアウォールに指示して、指令コンピュータ１１または指令コンピュータ１１に制御されているＩＲＣサーバ１３のＩＰアドレスを送信元とする内向きデータを遮断させるように、当該ファイアウォールの通信制御ルールを変更させる内向きルール変更機能をさらに備えるようにしてもよい。これにより、ボット検知装置２０は、指令コンピュータからボット感染コンピュータへ送信される指令通信を遮断することができ、ボット感染コンピュータを無害化することができる。
【００７９】
また、ボット検知装置２０は、外部ネットワーク１２と内部ネットワーク１４との間に設けられたファイアウォールに指示して、ボット感染コンピュータから外部ネットワーク１２へ送信される外向けデータを遮断させるように、当該ファイアウォールの通信制御ルールを変更させる外向きルール変更機能をさらに備えるようにしてもよい。これにより、ボット検知装置２０は、指令コンピュータからの指示に応じてボット感染コンピュータから送信された外向きデータを遮断することができ、ボット感染コンピュータを無害化することができる。
【００８０】
また、他の例として、ボット検知装置２０は、ボット情報出力部２７からボット感染コンピュータのＩＰアドレスが出力された場合に、当該ＩＰアドレスに対応するコンピュータへ、ボットに感染している旨を示す警告メッセージを通知する警告機能をさらに備えるようにしてもよい。内部ネットワーク内のコンピュータは、例えば、Ｗｉｎｄｏｗｓ（登録商標）の標準機能であるメッセンジャーサービスを常時起動しておくことにより、ボット検知装置２０から送信された警告メッセージを画面に表示することができる。これにより、ボット感染コンピュータのユーザは、自分が使用しているコンピュータがボットに感染していることを知ることができ、通信ケーブルを外すことにより、ボットに起因する不正アクセスを防止する、あるいは、ハードディスクをフォーマットして、ＯＳやアプリケーションソフトウェア等を再インストールすることによってボットを駆除する等の対策を実施することができる。
【００８１】
また、上記した実施形態では、ボット検知装置２０が、外部ネットワーク１２と内部ネットワーク１４との間に設けられる構成を例に説明したが、本発明はこれに限られない。他の形態として、ボット検知装置２０は、内部ネットワークにのみ接続され、内部ネットワーク内を流れる通信データをモニタリングすることにより、ボットに感染している可能性の高いコンピュータ１５を検知するようにしてもよい。これにより、ボット検知装置２０の処理性能がボトルネックとなることによる通信速度の低下やボット検知装置２０の故障による外部ネットワーク１２と内部ネットワーク１４との間の通信の遮断等のリスクを回避することができる。
【図面の簡単な説明】
【００８２】
【図１】本発明の一実施形態に係る通信システム１０の構成を例示するシステム構成図である。
【図２】ボット検知装置２０の詳細な機能構成を例示するブロック図である。
【図３】通信情報格納部２３に格納されるデータ構造を例示する説明図である。
【図４】応答時間格納部２６に格納されるデータ構造を例示する説明図である。
【図５】ボット検知装置２０の機能を実現する情報処理装置３０のハードウェア構成を例示するハードウェア構成図である。
【図６】ボット検知装置２０による内向きデータ登録処理を例示するフローチャートである。
【図７】ボット検知装置２０による応答時間算出処理を例示するフローチャートである。
【図８】ボット検知装置２０によるボット判定処理を例示するフローチャートである。
【図９】通信システム１０の他の形態を例示するシステム構成図である。
【図１０】データ収集装置５０の詳細な機能構成を例示するブロック図である。
【図１１】ボット判定装置４０の詳細な機能構成を例示するブロック図である。
【符号の説明】
【００８３】
１０・・・通信システム、１１・・・指令コンピュータ、１２・・・外部ネットワーク、１３・・・ＩＲＣサーバ、１４・・・内部ネットワーク、１５・・・コンピュータ、２０・・・ボット検知装置、２１・・・内向きデータ取得部、２２・・・通信情報登録部、２３・・・通信情報格納部、２３０・・・ＩＤ、２３１・・・内向き送信元情報、２３２・・・内向きデータ取得日時、２３３・・・内向き宛先アドレス、２４・・・外向きデータ取得部、２５・・・応答時間算出部、２６・・・応答時間格納部、２７・・・ボット情報出力部、３０・・・情報処理装置、３１・・・ＣＰＵ、３２・・・ＲＡＭ、３３・・・ＲＯＭ、３４・・・ＨＤＤ、３５・・・通信インターフェイス、３６・・・入出力インターフェイス、３７・・・メディアインターフェイス、３８・・・記録媒体、４０・・・ボット判定装置、５０・・・データ収集装置、５１・・・内向きデータ取得部、５２・・・外向きデータ取得部
【特許請求の範囲】
【請求項１】
外部のネットワークと内部のネットワークとの間に設けられるボット検知装置であって、
前記外部ネットワークから前記内部ネットワークへ流入する通信データである内向きデータを取得し、取得した内向きデータを、当該内向きデータを取得した日時を示す情報である内向きデータ取得日時と共に出力する内向きデータ取得手段と、
同一の送信元から所定の時間差以内に送信された内向きデータをグループ化して、当該内向きデータに含まれる宛先ＩＰアドレスである内向き宛先アドレスを、グループを識別するグループＩＤに対応付けて格納する内向き通信情報格納手段と、
前記内部ネットワークから前記外部ネットワークへ流出する通信データである外向きデータを取得し、取得した外向きデータを、当該外向きデータを取得した日時を示す情報である外向きデータ取得日時と共に出力する外内向きデータ取得手段と、
前記外向きデータ取得手段から前記外向きデータおよび前記外向きデータ取得日時が出力された場合に、前記内向き通信情報格納手段を参照して、前記外向きデータに含まれる送信元ＩＰアドレスが前記内向き通信情報格納手段内に内向き宛先アドレスとして格納されている場合に、当該内向き宛先アドレスと共に格納されている内向きデータ取得日時と、当該外向きデータ取得日時との差である応答時間を算出する応答時間算出手段と、
算出された応答時間を、当該内向き宛先アドレス、当該外向きデータの宛先を示す情報を含む外向き宛先情報、および当該内向き宛先アドレスに対応付けられて前記内向き通信情報格納手段内に格納されているグループＩＤに対応付けて格納する応答時間格納手段と、
前記応答時間格納手段を参照して、前記グループＩＤおよび前記外向き宛先情報が同一であり、かつ、応答時間の差が所定値以内の内向き宛先アドレスを抽出し、抽出した内向き宛先アドレスを、ボットに感染している可能性の高いコンピュータであるボット感染コンピュータのＩＰアドレスとして出力するボット情報出力手段と
を備えることを特徴とするボット検知装置。
【請求項２】
請求項１に記載のボット検知装置であって、
前記内向き通信情報格納手段は、
前記内向き宛先アドレスと共に、当該内向き宛先アドレスが含まれる内向きデータの送信元を示す情報を含む内向き送信元情報を、グループＩＤに対応付けてさらに格納し、
ボット検知装置は、
前記内向きデータ取得手段から前記内向きデータおよび前記内向きデータ取得日時が出力された場合に、前記内向き通信情報格納手段を参照して、
前記内向きデータの内向き送信元情報が前記内向き通信情報格納手段内に存在し、かつ、前記内向きデータ取得日時と、当該内向き送信元情報に対応付けられて前記内向き通信情報格納手段に格納されている内向きデータ取得日時のいずれかとの差が所定値以内の場合に、前記内向きデータに含まれる内向き宛先アドレスおよび内向きデータ取得日時を、当該内向きデータの内向き送信元情報および当該内向き送信元情報に対応するグループＩＤに対応付けて前記内向き通信情報格納手段に追加登録し、
前記内向きデータの内向き送信元情報が前記内向き通信情報格納手段内に存在しない場合、または、前記内向きデータ取得日時と、当該内向き送信元情報に対応付けられて前記内向き通信情報格納手段に格納されている内向きデータ取得日時のいずれとの差も所定値以内にない場合のいずれかの場合に、前記内向きデータに含まれる内向き宛先アドレスおよび内向きデータ取得日時を、当該内向きデータの内向き送信元情報および新たに割り当てたグループＩＤに対応付けて前記内向き通信情報格納手段内に新規に登録する内向き通信情報登録手段をさらに備えることを特徴とするボット検知装置。
【請求項３】
請求項２に記載のボット検知装置であって、
前記内向き送信元情報は、
前記内向きデータの送信元ＩＰアドレスおよび送信元ポート番号を含むこと
を特徴とするボット検知装置。
【請求項４】
請求項２に記載のボット検知装置であって、
前記内向き送信元情報は、
前記内向きデータの送信元ＩＰアドレス、送信元ポート番号、および、当該内向きデータのペイロードの一部または特徴値を含むこと
を特徴とするボット検知装置。
【請求項５】
請求項３または４に記載のボット検知装置であって、
前記ボット情報出力手段は、
当該ＩＰアドレスと共に前記応答時間格納手段内に格納されているグループＩＤに対応付けられて、前記内向き通信情報格納手段内に格納されている内向き送信元情報に含まれる送信元ＩＰアドレスを、前記ボット感染コンピュータを制御する指令コンピュータのＩＰアドレスとしてさらに出力すること
を特徴とするボット検知装置。
【請求項６】
請求項５に記載のボット検知装置であって、
前記ボット情報出力手段から前記指令コンピュータのＩＰアドレスが出力された場合に、前記外部ネットワークと前記内部ネットワークとの間に設けられたファイアウォールに指示して、当該ＩＰアドレスを送信元とする内向きデータを遮断させるように前記ファイアウォールの通信制御ルールを変更させる内向きルール変更手段をさらに備えることを特徴とするボット検知装置。
【請求項７】
請求項１から６のいずれか一項に記載のボット検知装置であって、
前記外向き宛先情報は、
前記外向きデータの宛先ＩＰアドレス、宛先ポート番号、および、当該外向きデータペイロードの一部または特徴値を含むこと
を特徴とするボット検知装置。
【請求項８】
請求項１から７のいずれか一項に記載のボット検知装置であって、
前記ボット情報出力手段から前記ボット感染コンピュータのＩＰアドレスが出力された場合に、当該ＩＰアドレスに対応するコンピュータへ、ボットに感染している旨を示す警告メッセージを通知する警告手段をさらに備えることを特徴とするボット検知装置。
【請求項９】
請求項１から８のいずれか一項に記載のボット検知装置であって、
前記ボット情報出力手段から前記ボット感染コンピュータのＩＰアドレスが出力された場合に、前記外部ネットワークと前記内部ネットワークとの間に設けられたファイアウォールに指示して、当該ＩＰアドレスを送信元とする外向きデータを遮断させるように前記ファイアウォールの通信制御ルールを変更させる外向きルール変更手段をさらに備えることを特徴とするボット検知装置。
【請求項１０】
外部のネットワークと内部のネットワークとの間に設けられるボット検知装置におけるボット検出方法であって、
前記ボット検出装置は、
前記外部ネットワークから前記内部ネットワークへ流入する通信データである内向きデータを取得し、取得した内向きデータを、当該内向きデータを取得した日時を示す情報である内向きデータ取得日時と共に出力する内向きデータ取得ステップと、
同一の送信元から所定の時間差以内に送信された内向きデータをグループ化して、当該内向きデータに含まれる宛先ＩＰアドレスである内向き宛先アドレスを、グループを識別するグループＩＤに対応付けて内向き通信情報格納手段に１つ以上格納する内向き通信情報格納ステップと、
前記内部ネットワークから前記外部ネットワークへ流出する通信データである外向きデータを取得し、取得した外向きデータを、当該外向きデータを取得した日時を示す情報である外向きデータ取得日時と共に出力する外内向きデータ取得ステップと、
前記外向きデータ取得ステップにおいて前記外向きデータおよび前記外向きデータ取得日時を出力した場合に、前記内向き通信情報格納手段を参照して、前記外向きデータに含まれる送信元ＩＰアドレスが前記内向き通信情報格納手段内に内向き宛先アドレスとして格納されている場合に、当該内向き宛先アドレスと共に格納されている内向きデータ取得日時と、当該外向きデータ取得日時との差である応答時間を算出する応答時間算出ステップと、
算出した応答時間を、当該内向き宛先アドレス、当該外向きデータの宛先を示す情報を含む外向き宛先情報、および当該内向き宛先アドレスに対応付けられて前記内向き通信情報格納手段内に格納されているグループＩＤに対応付けて応答時間格納手段に格納する応答時間格納ステップと、
前記応答時間格納手段を参照して、前記グループＩＤおよび前記外向き宛先情報が同一であり、かつ、応答時間の差が所定値以内の内向き宛先アドレスを抽出し、抽出した内向き宛先アドレスを、ボットに感染している可能性の高いコンピュータのＩＰアドレスとして出力するボット情報出力ステップと
を実行することを特徴とするボット検知方法。
【請求項１１】
外部のネットワークと内部のネットワークとの間に設けられるボット検知装置を制御するプログラムであって、
前記ボット検知装置を、
前記外部ネットワークから前記内部ネットワークへ流入する通信データである内向きデータを取得し、取得した内向きデータを、当該内向きデータを取得した日時を示す情報である内向きデータ取得日時と共に出力する内向きデータ取得手段、
同一の送信元から所定の時間差以内に送信された内向きデータをグループ化して、当該内向きデータに含まれる宛先ＩＰアドレスである内向き宛先アドレスを、グループを識別するグループＩＤに対応付けて格納する内向き通信情報格納手段、
前記内部ネットワークから前記外部ネットワークへ流出する通信データである外向きデータを取得し、取得した外向きデータを、当該外向きデータを取得した日時を示す情報である外向きデータ取得日時と共に出力する外内向きデータ取得手段、
前記外向きデータ取得手段から前記外向きデータおよび前記外向きデータ取得日時が出力された場合に、前記内向き通信情報格納手段を参照して、前記外向きデータに含まれる送信元ＩＰアドレスが前記内向き通信情報格納手段内に内向き宛先アドレスとして格納されている場合に、当該内向き宛先アドレスと共に格納されている内向きデータ取得日時と、当該外向きデータ取得日時との差である応答時間を算出する応答時間算出手段、
算出された応答時間を、当該内向き宛先アドレス、当該外向きデータの宛先を示す情報を含む外向き宛先情報、および当該内向き宛先アドレスに対応付けられて前記内向き通信情報格納手段内に格納されているグループＩＤに対応付けて格納する応答時間格納手段、および
前記応答時間格納手段を参照して、前記グループＩＤおよび前記外向き宛先情報が同一であり、かつ、応答時間の差が所定値以内の内向き宛先アドレスを抽出し、抽出した内向き宛先アドレスを、ボットに感染している可能性の高いコンピュータであるボット感染コンピュータのＩＰアドレスとして出力するボット情報出力手段
として機能させることを特徴とするプログラム。
【請求項１】
外部のネットワークと内部のネットワークとの間に設けられるボット検知装置であって、
前記外部ネットワークから前記内部ネットワークへ流入する通信データである内向きデータを取得し、取得した内向きデータを、当該内向きデータを取得した日時を示す情報である内向きデータ取得日時と共に出力する内向きデータ取得手段と、
同一の送信元から所定の時間差以内に送信された内向きデータをグループ化して、当該内向きデータに含まれる宛先ＩＰアドレスである内向き宛先アドレスを、グループを識別するグループＩＤに対応付けて格納する内向き通信情報格納手段と、
前記内部ネットワークから前記外部ネットワークへ流出する通信データである外向きデータを取得し、取得した外向きデータを、当該外向きデータを取得した日時を示す情報である外向きデータ取得日時と共に出力する外内向きデータ取得手段と、
前記外向きデータ取得手段から前記外向きデータおよび前記外向きデータ取得日時が出力された場合に、前記内向き通信情報格納手段を参照して、前記外向きデータに含まれる送信元ＩＰアドレスが前記内向き通信情報格納手段内に内向き宛先アドレスとして格納されている場合に、当該内向き宛先アドレスと共に格納されている内向きデータ取得日時と、当該外向きデータ取得日時との差である応答時間を算出する応答時間算出手段と、
算出された応答時間を、当該内向き宛先アドレス、当該外向きデータの宛先を示す情報を含む外向き宛先情報、および当該内向き宛先アドレスに対応付けられて前記内向き通信情報格納手段内に格納されているグループＩＤに対応付けて格納する応答時間格納手段と、
前記応答時間格納手段を参照して、前記グループＩＤおよび前記外向き宛先情報が同一であり、かつ、応答時間の差が所定値以内の内向き宛先アドレスを抽出し、抽出した内向き宛先アドレスを、ボットに感染している可能性の高いコンピュータであるボット感染コンピュータのＩＰアドレスとして出力するボット情報出力手段と
を備えることを特徴とするボット検知装置。
【請求項２】
請求項１に記載のボット検知装置であって、
前記内向き通信情報格納手段は、
前記内向き宛先アドレスと共に、当該内向き宛先アドレスが含まれる内向きデータの送信元を示す情報を含む内向き送信元情報を、グループＩＤに対応付けてさらに格納し、
ボット検知装置は、
前記内向きデータ取得手段から前記内向きデータおよび前記内向きデータ取得日時が出力された場合に、前記内向き通信情報格納手段を参照して、
前記内向きデータの内向き送信元情報が前記内向き通信情報格納手段内に存在し、かつ、前記内向きデータ取得日時と、当該内向き送信元情報に対応付けられて前記内向き通信情報格納手段に格納されている内向きデータ取得日時のいずれかとの差が所定値以内の場合に、前記内向きデータに含まれる内向き宛先アドレスおよび内向きデータ取得日時を、当該内向きデータの内向き送信元情報および当該内向き送信元情報に対応するグループＩＤに対応付けて前記内向き通信情報格納手段に追加登録し、
前記内向きデータの内向き送信元情報が前記内向き通信情報格納手段内に存在しない場合、または、前記内向きデータ取得日時と、当該内向き送信元情報に対応付けられて前記内向き通信情報格納手段に格納されている内向きデータ取得日時のいずれとの差も所定値以内にない場合のいずれかの場合に、前記内向きデータに含まれる内向き宛先アドレスおよび内向きデータ取得日時を、当該内向きデータの内向き送信元情報および新たに割り当てたグループＩＤに対応付けて前記内向き通信情報格納手段内に新規に登録する内向き通信情報登録手段をさらに備えることを特徴とするボット検知装置。
【請求項３】
請求項２に記載のボット検知装置であって、
前記内向き送信元情報は、
前記内向きデータの送信元ＩＰアドレスおよび送信元ポート番号を含むこと
を特徴とするボット検知装置。
【請求項４】
請求項２に記載のボット検知装置であって、
前記内向き送信元情報は、
前記内向きデータの送信元ＩＰアドレス、送信元ポート番号、および、当該内向きデータのペイロードの一部または特徴値を含むこと
を特徴とするボット検知装置。
【請求項５】
請求項３または４に記載のボット検知装置であって、
前記ボット情報出力手段は、
当該ＩＰアドレスと共に前記応答時間格納手段内に格納されているグループＩＤに対応付けられて、前記内向き通信情報格納手段内に格納されている内向き送信元情報に含まれる送信元ＩＰアドレスを、前記ボット感染コンピュータを制御する指令コンピュータのＩＰアドレスとしてさらに出力すること
を特徴とするボット検知装置。
【請求項６】
請求項５に記載のボット検知装置であって、
前記ボット情報出力手段から前記指令コンピュータのＩＰアドレスが出力された場合に、前記外部ネットワークと前記内部ネットワークとの間に設けられたファイアウォールに指示して、当該ＩＰアドレスを送信元とする内向きデータを遮断させるように前記ファイアウォールの通信制御ルールを変更させる内向きルール変更手段をさらに備えることを特徴とするボット検知装置。
【請求項７】
請求項１から６のいずれか一項に記載のボット検知装置であって、
前記外向き宛先情報は、
前記外向きデータの宛先ＩＰアドレス、宛先ポート番号、および、当該外向きデータペイロードの一部または特徴値を含むこと
を特徴とするボット検知装置。
【請求項８】
請求項１から７のいずれか一項に記載のボット検知装置であって、
前記ボット情報出力手段から前記ボット感染コンピュータのＩＰアドレスが出力された場合に、当該ＩＰアドレスに対応するコンピュータへ、ボットに感染している旨を示す警告メッセージを通知する警告手段をさらに備えることを特徴とするボット検知装置。
【請求項９】
請求項１から８のいずれか一項に記載のボット検知装置であって、
前記ボット情報出力手段から前記ボット感染コンピュータのＩＰアドレスが出力された場合に、前記外部ネットワークと前記内部ネットワークとの間に設けられたファイアウォールに指示して、当該ＩＰアドレスを送信元とする外向きデータを遮断させるように前記ファイアウォールの通信制御ルールを変更させる外向きルール変更手段をさらに備えることを特徴とするボット検知装置。
【請求項１０】
外部のネットワークと内部のネットワークとの間に設けられるボット検知装置におけるボット検出方法であって、
前記ボット検出装置は、
前記外部ネットワークから前記内部ネットワークへ流入する通信データである内向きデータを取得し、取得した内向きデータを、当該内向きデータを取得した日時を示す情報である内向きデータ取得日時と共に出力する内向きデータ取得ステップと、
同一の送信元から所定の時間差以内に送信された内向きデータをグループ化して、当該内向きデータに含まれる宛先ＩＰアドレスである内向き宛先アドレスを、グループを識別するグループＩＤに対応付けて内向き通信情報格納手段に１つ以上格納する内向き通信情報格納ステップと、
前記内部ネットワークから前記外部ネットワークへ流出する通信データである外向きデータを取得し、取得した外向きデータを、当該外向きデータを取得した日時を示す情報である外向きデータ取得日時と共に出力する外内向きデータ取得ステップと、
前記外向きデータ取得ステップにおいて前記外向きデータおよび前記外向きデータ取得日時を出力した場合に、前記内向き通信情報格納手段を参照して、前記外向きデータに含まれる送信元ＩＰアドレスが前記内向き通信情報格納手段内に内向き宛先アドレスとして格納されている場合に、当該内向き宛先アドレスと共に格納されている内向きデータ取得日時と、当該外向きデータ取得日時との差である応答時間を算出する応答時間算出ステップと、
算出した応答時間を、当該内向き宛先アドレス、当該外向きデータの宛先を示す情報を含む外向き宛先情報、および当該内向き宛先アドレスに対応付けられて前記内向き通信情報格納手段内に格納されているグループＩＤに対応付けて応答時間格納手段に格納する応答時間格納ステップと、
前記応答時間格納手段を参照して、前記グループＩＤおよび前記外向き宛先情報が同一であり、かつ、応答時間の差が所定値以内の内向き宛先アドレスを抽出し、抽出した内向き宛先アドレスを、ボットに感染している可能性の高いコンピュータのＩＰアドレスとして出力するボット情報出力ステップと
を実行することを特徴とするボット検知方法。
【請求項１１】
外部のネットワークと内部のネットワークとの間に設けられるボット検知装置を制御するプログラムであって、
前記ボット検知装置を、
前記外部ネットワークから前記内部ネットワークへ流入する通信データである内向きデータを取得し、取得した内向きデータを、当該内向きデータを取得した日時を示す情報である内向きデータ取得日時と共に出力する内向きデータ取得手段、
同一の送信元から所定の時間差以内に送信された内向きデータをグループ化して、当該内向きデータに含まれる宛先ＩＰアドレスである内向き宛先アドレスを、グループを識別するグループＩＤに対応付けて格納する内向き通信情報格納手段、
前記内部ネットワークから前記外部ネットワークへ流出する通信データである外向きデータを取得し、取得した外向きデータを、当該外向きデータを取得した日時を示す情報である外向きデータ取得日時と共に出力する外内向きデータ取得手段、
前記外向きデータ取得手段から前記外向きデータおよび前記外向きデータ取得日時が出力された場合に、前記内向き通信情報格納手段を参照して、前記外向きデータに含まれる送信元ＩＰアドレスが前記内向き通信情報格納手段内に内向き宛先アドレスとして格納されている場合に、当該内向き宛先アドレスと共に格納されている内向きデータ取得日時と、当該外向きデータ取得日時との差である応答時間を算出する応答時間算出手段、
算出された応答時間を、当該内向き宛先アドレス、当該外向きデータの宛先を示す情報を含む外向き宛先情報、および当該内向き宛先アドレスに対応付けられて前記内向き通信情報格納手段内に格納されているグループＩＤに対応付けて格納する応答時間格納手段、および
前記応答時間格納手段を参照して、前記グループＩＤおよび前記外向き宛先情報が同一であり、かつ、応答時間の差が所定値以内の内向き宛先アドレスを抽出し、抽出した内向き宛先アドレスを、ボットに感染している可能性の高いコンピュータであるボット感染コンピュータのＩＰアドレスとして出力するボット情報出力手段
として機能させることを特徴とするプログラム。
【図１】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【図１０】
【図１１】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【図１０】
【図１１】
【公開番号】特開２００７−３２３４２８（Ｐ２００７−３２３４２８Ａ）
【公開日】平成１９年１２月１３日（２００７．１２．１３）
【国際特許分類】
【出願番号】特願２００６−１５３７９５（Ｐ２００６−１５３７９５）
【出願日】平成１８年６月１日（２００６．６．１）
【国等の委託研究の成果に係る記載事項】（出願人による申告）国等の委託研究の成果に係る特許出願（平成１６年度情報通信研究機構「ネットワーク環境の脆弱性レベルをリアルタイムで定量評価し、情報流通をセキュアに運用するための意志決定システムの研究開発」委託研究、産業活力再生特別措置法第３０条の適用を受けるもの）
【出願人】（０００００５１０８）株式会社日立製作所 (27,607)
【Ｆターム（参考）】
【公開日】平成１９年１２月１３日（２００７．１２．１３）
【国際特許分類】
【出願日】平成１８年６月１日（２００６．６．１）
【国等の委託研究の成果に係る記載事項】（出願人による申告）国等の委託研究の成果に係る特許出願（平成１６年度情報通信研究機構「ネットワーク環境の脆弱性レベルをリアルタイムで定量評価し、情報流通をセキュアに運用するための意志決定システムの研究開発」委託研究、産業活力再生特別措置法第３０条の適用を受けるもの）
【出願人】（０００００５１０８）株式会社日立製作所 (27,607)
【Ｆターム（参考）】
[ Back to top ]