感染シミュレーションシステム及び擬似感染プログラム
【課題】ネットワーク構成を色々変化させることによって、擬似的なネットワーク型ウィルスやネットワーク型ワームのネットワーク上での伝播状況をシミュレーションすることにより、ネットワーク構成の違いによる伝播状況のシミュレーション結果から伝播の広がりが遅く被害が最小となるネットワーク構成を発見する。
【解決手段】複数の端末装置のそれぞれは、不正プログラムを模擬する擬似攻撃データを受信すると前記不正プログラムに感染した状態に遷移して前記不正プログラムを模擬する新たな擬似攻撃データを生成し、新たな擬似攻撃データを所定の規則に従い他の前記端末装置に送信し、感染状態確認要求を受信すると前記感染状態確認要求に応答して自装置の状態を返信し、擬似攻撃管理装置５１は、前記感染状態確認要求を生成して各端末装置に送信するとともに、各端末装置から前記感染状態確認要求に応答する前記端末装置の前記状態を受信する。
【解決手段】複数の端末装置のそれぞれは、不正プログラムを模擬する擬似攻撃データを受信すると前記不正プログラムに感染した状態に遷移して前記不正プログラムを模擬する新たな擬似攻撃データを生成し、新たな擬似攻撃データを所定の規則に従い他の前記端末装置に送信し、感染状態確認要求を受信すると前記感染状態確認要求に応答して自装置の状態を返信し、擬似攻撃管理装置５１は、前記感染状態確認要求を生成して各端末装置に送信するとともに、各端末装置から前記感染状態確認要求に応答する前記端末装置の前記状態を受信する。
【発明の詳細な説明】
【技術分野】
【０００１】
この発明は、不正プログラムによるネットワークの感染をシミュレーションする感染シミュレーションシステム及び擬似感染プログラムに関する。
【背景技術】
【０００２】
従来のネットワークの擬似攻撃生成方式（例えば、特許文献１）は、監視対象ネットワークに対する不正侵入や、攻撃を、センサ系により感知し、不正侵入や攻撃により停止したあるネットワーク要素を起点に、当該ネットワークサービス管理情報データベースを検索することにより、被害関連範囲における被害評価を行う。被害評価装置は、被害が及ぶ関連範囲を関連範囲における各ネットワーク要素をノードとした依存関係に基づく被害グラフの形態で表現し、この被害グラフに示される依存関係をたどることにより、各ノードに定義された被害関係ルールに従い、あらかじめ定義された想定被害数値を累積演算している。
【０００３】
また、例えば、特許文献２では、ネットワークの状態を管理装置で監視し、管理装置がワームに感染した各端末の動作をルータから収集し、ワームの攻撃種別に一致した防御方法をいち早く適用するシステムが提案されている。
【０００４】
また、例えば、非特許文献１では、事前にウィルスの感染状況を評価する方法として、シミュレーションを用いた方法を示している。
【特許文献１】特開２００２−３２８８９３号公報 第３頁〜７頁、第１図
【特許文献２】特開２００６−６７０７８号公報 第３頁〜６頁、第１図
【非特許文献１】日本ソフトウェア科学会第２１回大会（２００４年度）論文集 「天敵への防衛概念を取り入れたワームの捕食モデルの提案」著者 小泉、他
【発明の開示】
【発明が解決しようとする課題】
【０００５】
特許文献１の場合、ネットワークの擬似攻撃生成方式は、不正侵入や攻撃を受けた端末が、時間経過に伴って他の端末にどのように攻撃を実行し、ネットワーク型ウィルスやネットワーク型ワームがどのようにネットワーク上を広がっていくのかを事前予測し、ネットワーク設計に役立てることが出来ないという課題があった。
【０００６】
また、特許文献２の場合、未知のワームや未知のウィルスについては、事前に対処方法が全く知られておらず、管理装置で状態を収集しても最適な対策を講ずることができなかった。さらに特許文献２では、実際のワームやウィルスによりどの程度の被害があるかを事前に評価できないという課題があった。
【０００７】
また、非特許文献１では、事前に評価する方法として、シミュレーションを用いた方法ではネットワーク構成の違いによる感染の経過を得ることができなかった。
【０００８】
この発明は、ネットワーク構成を色々変化させることによって、擬似的なネットワーク型ウィルスやネットワーク型ワームのネットワーク上での伝播状況をシミュレーションすることにより、ネットワーク構成の違いによる伝播状況のシミュレーション結果から伝播の広がりが遅く被害が最小となるネットワーク構成を発見し、実際のネットワークに適用可能な感染シミュレーションシステムの提供を目的とする。
【課題を解決するための手段】
【０００９】
この発明の感染シミュレーションシステムは、
不正プログラムによる感染シミュレーションの対象となる擬似ネットワークを構成する複数の端末装置と、前記複数の端末装置の感染状態を管理する管理装置とを備えた感染シミュレーションシステムにおいて、
前記複数の端末装置のそれぞれは、
前記不正プログラムを模擬する擬似攻撃データを受信すると未感染の状態から前記不正プログラムに感染した状態に遷移して前記不正プログラムを模擬する新たな擬似攻撃データを生成し、生成した前記新たな擬似攻撃データを所定の規則にしたがって自装置以外の少なくとも１台の前記端末装置に送信するとともに、感染状態の確認を求める感染状態確認要求を受信すると前記感染状態確認要求に応答して自装置の遷移履歴を返信し、
前記管理装置は、
前記感染状態確認要求を生成し、生成した前記感染状態確認要求をそれぞれの前記端末装置に送信するとともに、それぞれの前記端末装置から前記感染状態確認要求に応答する前記端末装置の前記遷移履歴を受信することを特徴とする。
【発明の効果】
【００１０】
この発明により、擬似的なネットワーク型ウィルスやネットワーク型ワームのネットワーク上での伝播状況を試験することができる。
【発明を実施するための最良の形態】
【００１１】
実施の形態１．
図１〜図１４を用いて実施の形態１を説明する。実施の形態１は、ネットワーク構成を色々と変化させることにより、「ネットワーク型のウィルスやワーム」（不正プログラムの一例）のネットワーク上における伝播をシミュレーションする感染シミュレーションシステムに関する。この感染シミュレーションシステムによって、ワームなどの伝播の広がりが遅く、被害が小さいネットワーク構成を見出し、実際のネットワークに適用することができる。
【００１２】
図１は、実施の形態１の感染シミュレーションシステム１０００のシミュレーション対象となる擬似的なネットワークの論理構成を示すネットワーク構成図である。
図１において、
（１）外部ネットワーク１は、組織ＡのＬＡＮ（Ｌｏｃａｌ Ａｒｅａ Ｎｅｔｗｏｒｋ）外のＴＣＰ／ＩＰ（Ｔｒａｎｓｍｉｓｓｉｏｎ Ｃｏｎｔｒｏｌ Ｐｒｏｔｏｃｏｌ／Ｉｎｔｅｒｎｅｔ Ｐｒｏｔｏｃｏｌ）公衆網である。
（２）ファイアウォール１１は、通信データを設定に従って透過中継するか廃棄するフィルター装置である。
（３）ルータ１２とルータ１３とは、いわゆるルーティング情報によって経路を決め透過中継するＩＰルータである。
（４）サーバ２１は、組織Ａの社外用の公開サーバである。
（５）ｐｒｏｘｙサーバ２２は、組織Ａ内のネットワークから組織Ａの社外サーバ宛てアクセスのためのプロキシサーバである。
（５）擬似攻撃用パッチサーバ２３（擬似プログラム更新サーバ）は、ネットワーク型ウィルスやネットワーク型ワームに対するプログラム更新用のサーバである。
（６）端末３１と端末３２と端末３３と端末３４は、パーソナルコンピュータなどの端末装置である。端末装置３１等は、以下、端末という。
（７）端末シミュレータ４１と端末シミュレータ４２は、複数台の端末を模擬する端末シミュレータ（端末装置の一例）である。
（８）擬似攻撃管理装置５１（管理装置）は、ネットワークの擬似攻撃生成を制御するための装置である。
【００１３】
図２は、端末、端末シミュレータ、あるいは擬似攻撃管理装置の外観の一例を示す図である。これらはいずれもコンピュータである。
【００１４】
図２は端末３１を想定して説明するが、端末シミュレータ４１、及び擬似攻撃管理装置５１もコンピュータであり、同様である。図２において、端末３１は、システムユニット８３０、ＣＲＴ（Ｃａｔｈｏｄｅ・Ｒａｙ・Ｔｕｂｅ）やＬＣＤ（液晶）の表示画面を有する表示装置８１３、キーボード８１４（Ｋｅｙ・Ｂｏａｒｄ：Ｋ／Ｂ）、マウス８１５、ＦＤＤ８１７（Ｆｌｅｘｉｂｌｅ・Ｄｉｓｋ・ Ｄｒｉｖｅ）、コンパクトディスク装置８１８（ＣＤＤ：Ｃｏｍｐａｃｔ Ｄｉｓｋ Ｄｒｉｖｅ）、プリンタ装置８１９などのハードウェア資源を備え、これらはケーブルや信号線で接続されている。システムユニット８３０は、コンピュータであり、また、ＬＡＮに接続されている。
【００１５】
図３は、図２の端末３１のハードウェア資源の一例を示す図である。図３において、端末３１は、プログラムを実行するＣＰＵ８１０（中央処理装置、処理装置、演算装置、マイクロプロセッサ、マイクロコンピュータ、プロセッサともいう）を備えている。ＣＰＵ８１０は、バス８２５を介してＲＯＭ（Ｒｅａｄ Ｏｎｌｙ Ｍｅｍｏｒｙ）８１１、ＲＡＭ（Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）８１２、表示装置８１３、キーボード８１４、マウス８１５、通信ボード８１６、ＦＤＤ８１７、ＣＤＤ８１８、プリンタ装置８１９、磁気ディスク装置８２０と接続され、これらのハードウェアデバイスを制御する。磁気ディスク装置８２０の代わりに、光ディスク装置、メモリカード読み書き装置などの記憶装置でもよい。
【００１６】
ＲＡＭ８１２は、揮発性メモリの一例である。ＲＯＭ８１１、ＦＤＤ８１７、ＣＤＤ８１８、磁気ディスク装置８２０等の記憶媒体は、不揮発性メモリの一例である。これらは、記憶装置あるいは記憶部、格納部の一例である。通信ボード８１６、キーボード８１４、ＦＤＤ８１７などは、入力部、入力装置の一例である。また、通信ボード８１６、表示装置８１３、プリンタ装置８１９などは、出力部、出力装置の一例である。通信ボード８１６は、ＬＡＮに接続されている。
【００１７】
磁気ディスク装置８２０には、オペレーティングシステム８２１（ＯＳ）、ウィンドウシステム８２２、プログラム群８２３、ファイル群８２４が記憶されている。プログラム群８２３のプログラムは、ＣＰＵ８１０、オペレーティングシステム８２１、ウィンドウシステム８２２により実行される。
【００１８】
上記プログラム群８２３には、以下に述べる実施の形態の説明において「〜部」、及び「プロトコルスタック」として説明する機能を実行するプログラムが記憶されている。プログラムは、ＣＰＵ８１０により読み出され実行される。
【００１９】
ファイル群８２４には、以下に述べる実施の形態の説明において、「〜の判定結果」、「〜の算出結果」、「〜の抽出結果」、「〜の生成結果」、「〜の処理結果」として説明する情報や、データや信号値や変数値やパラメータなどが、「〜ファイル」や「〜データベース」の各項目として記憶されている。「〜ファイル」や「〜データベース」は、ディスクやメモリなどの記録媒体に記憶される。ディスクやメモリなどの記憶媒体に記憶された情報やデータや信号値や変数値やパラメータは、読み書き回路を介してＣＰＵ８１０によりメインメモリやキャッシュメモリに読み出され、抽出・検索・参照・比較・演算・計算・処理・出力・印刷・表示などのＣＰＵの動作に用いられる。抽出・検索・参照・比較・演算・計算・処理・出力・印刷・表示のＣＰＵの動作の間、情報やデータや信号値や変数値やパラメータは、メインメモリやキャッシュメモリやバッファメモリに一時的に記憶される。
【００２０】
また、以下に述べる実施の形態の説明においては、データや信号値は、ＲＡＭ８１２のメモリ、ＦＤＤ８１７のフレキシブルディスク、ＣＤＤ８１８のコンパクトディスク、磁気ディスク装置８２０の磁気ディスク、その他光ディスク、ミニディスク、ＤＶＤ（Ｄｉｇｉｔａｌ・Ｖｅｒｓａｔｉｌｅ・Ｄｉｓｋ）等の記録媒体に記録される。また、データや信号は、バス８２５や信号線やケーブルその他の伝送媒体によりオンライン伝送される。
【００２１】
また、以下に述べる実施の形態の説明において「〜部」として説明するものは、「〜回路」、「〜装置」、「〜機器」、「手段」であってもよく、また、「〜ステップ」、「〜手順」、「〜処理」であってもよい。すなわち、「〜部」として説明するものは、ＲＯＭ８１１に記憶されたファームウェアで実現されていても構わない。或いは、ソフトウェアのみ、或いは、素子・デバイス・基板・配線などのハードウェアのみ、或いは、ソフトウェアとハードウェアとの組み合わせ、さらには、ファームウェアとの組み合わせで実施されても構わない。ファームウェアとソフトウェアは、プログラムとして、磁気ディスク、フレキシブルディスク、光ディスク、コンパクトディスク、ミニディスク、ＤＶＤ等の記録媒体に記憶される。プログラムはＣＰＵ８１０により読み出され、ＣＰＵ８１０により実行される。すなわち、プログラムは、以下に述べる「〜部」としてコンピュータを機能させるものである。あるいは、以下に述べる「〜部」の手順や方法をコンピュータに実行させるものである。
【００２２】
図４は、図１のネットワーク構成図にＩＰアドレスを付与したものである。
図４において、
ＩＰサブネットワークには
「１０．７４．１．０／２５５．２５５．２５５．０」
の表現のように、
「ＩＰサブネットワークアドレス／ＩＰアドレスマスク」
を記述した。
（１）サーバ２１が接続しているＩＰサブネットワークアドレスは、
「１３３．１４１．０．０／２５５．２５５．０．０」
である。
（２）ルータ１２とルータ１３とが接続しているＩＰサブネットワークアドレスは、
「１０．７４．１．０／２５５．２５５．２５５．０」
である。
（３）端末３１が接続しているＩＰサブネットワークアドレスは、
「１０．７４．５．０／２５５．２５５．２５５．０」
である。
（４）端末３３が接続しているＩＰサブネットワークアドレスは、
「１０．７４．６．０／２５５．２５５．２５５．０」である。
（５）端末シミュレータ４１は
「１０．７４．５．３」から「１０．７４．５．２５５」までのＩＰアドレスの端末の動作を一台で実行する。
（６）端末シミュレータ４２は
「１０．７４．６．３」から「１０．７４．６．２５５」までのＩＰアドレスの端末の動作を一台で実行する。
【００２３】
図５は、端末３１の内部モジュール構造を示す。端末３２と端末３３と端末３４の内部モジュール構造は、端末３１と同様である。
（１）ＬＡＮ制御部３１１は、ＬＡＮ（Ｌｏｃａｌ Ａｒｅａ Ｎｅｔｗｏｒｋ）の回線を制御するモジュールである。
（２）プロトコルスタック３１２は、端末に備わっているＴＣＰ／ＵＤＰ／ＩＰの通信プログラムである。
（３）擬似攻撃プログラム３１３は、ＴＣＰ／ＵＤＰのソケットを利用した擬似攻撃を実行するプログラムである。
【００２４】
図６は、端末シミュレータ４１の内部モジュール構造を示す。端末シミュレータ４２の内部モジュール構造は端末シミュレータ４１と同様である。
（１）ＬＡＮ制御部４１１は、ＬＡＮの回線を制御するモジュールである。
（２）プロトコルスタック４１２は、端末シミュレータに備わっているＴＣＰ／ＵＤＰ／ＩＰの通信プログラムである。プロトコルスタック４１２の自局ＩＰアドレスは、いわゆるマルチアサインにより複数のＩＰアドレスを設定する。
（３）端末シミュレータ用擬似攻撃プログラム４１３は、ＴＣＰ／ＵＤＰのソケットを利用した複数台の擬似攻撃を同時に実行するプログラムである。
【００２５】
図７は、各々の端末がネットワーク型ワームに感染した場合の状態の遷移を示す状態遷移図である。図７に示すように、各端末は、「未感染状態Ｓ１」、「更新なし感染状態Ｓ２」、「更新あり感染状態Ｓ３」、「免疫状態Ｓ４」のいずれかの状態を有する。全ての端末は、初期状態として、「未感染状態Ｓ１」である。端末は、ネットワーク上でワームに感染すると「更新なし感染状態Ｓ２」へ遷移する。また、「未感染状態Ｓ１」で障害のあるプログラムを更新してセキュリティホールをふさいだ時（パッチ適用時）は、「免疫状態Ｓ４」へ遷移する。
【００２６】
「更新なし感染状態Ｓ２」からは、次の（１）、（２）の二つの事象が発生した時に、「未感染状態Ｓ１」、あるいは「更新あり感染状態Ｓ３」のいずれかの状態に遷移する。
（１）最初の事象は、障害のあるプログラムを更新しセキュリティホールをふさいだ時（パッチ適用時）である。この場合は、「更新なし感染状態Ｓ２」から「更新あり感染状態Ｓ３」へ遷移する。「更新あり感染状態Ｓ３」は、障害のあるプログラムを更新しセキュリティホールをふさいでいる。しかし、ワームに感染した状態であるので、他の端末へワーム送信の攻撃を実行している状態である。「更新あり感染状態Ｓ３」でワーム駆除の事象が発生すると、「免疫状態Ｓ４」に遷移する。
（２）もうひとつの事象は、ワームを駆除した時であり、この場合は、「更新なし感染状態Ｓ２」から「未感染状態Ｓ１」へ遷移し、元の状態に戻る。
【００２７】
図７の感染状態の遷移図は、異なる種類のそれぞれのワームに対して適用される。感染シミュレーションでは、ワームを識別するためにワーム番号ごとに状態遷移図を適用する。
【００２８】
（動作の説明）
次に図８を参照して、感染シミュレーションの動作を説明する。図８は感染シミュレーションの動作を説明するシーケンス図である。図８において、端末３１と、端末３２と、端末３３と、端末３４と、端末シミュレータ４１内の仮想端末と、端末シミュレータ４２内の仮想端末とのワーム感染状態は、全て初期化時「未感染状態Ｓ１」であるとする。端末３１がワーム種別としてワーム番号＃１に感染したと仮定して感染シミュレーションを開始する。
【００２９】
（Ｓ１０１）
擬似攻撃管理装置５１は、端末３１をワーム種別としてワーム番号＃１に感染させる契機（トリガ）として、図９に示す「ワーム種別＝ワーム番号＃１」であるワーム攻撃データ６０（擬似攻撃データの一例）を、端末３１へ送信する。端末３１は、このワーム攻撃データ６０を受信すると、ワーム番号＃１に関して、「更新なし感染状態Ｓ２」へ遷移する。
【００３０】
図９のワーム攻撃データ６０を説明する。ワーム攻撃データ６０は、ＭＡＣヘッダ６１、ＩＰヘッダ６２、ＴＣＰヘッダ６３（あるいはＵＤＰヘッダ）、コマンドコード６４、ワーム種別６５のデータを含む。コマンドコード６４は、「０ｘ０００００００１」の場合、ワーム攻撃データである。また、ワーム種別６５は、ワームの種別を示す。
【００３１】
ワーム攻撃データ６０および以下で後述するプログラム更新指示７０、修正プログラム更新データ８０、ワーム駆除指示９０、試験結果収集１００などの感染シミュレーションの通信データは、一般的なＴＣＰ／ＵＤＰ／ＩＰのデータであり、ＴＣＰとＵＤＰのどちらのプロトコルを用いても良い。また、ＴＣＰとＵＤＰのそれぞれの送信元ポート番号とあて先ポート番号とは、システムとして固定で良く、通常のアプリケーションデータとして通信させれば良い。
【００３２】
（Ｓ１０２）
端末３１は「更新なし感染状態Ｓ２」へ遷移すると「ワーム種別＝ワーム番号＃１」であるワーム攻撃データ６０を、まず、端末３１のＩＰアドレスが属するＩＰサブネットワークの端末へ送信する。すなわち端末３１はワーム攻撃データ６０を、「１０．７４．５．０」、及び「１０．７４．５．２」から「１０．７４．５．２５５」までのＩＰアドレスの端末へ送りつけて攻撃する。
【００３３】
（Ｓ１０３）
例えば端末３２は、端末３１が発信した「ワーム種別＝ワーム番号＃１」のワーム攻撃データ６０を受信すると、「更新なし感染状態Ｓ２」へ遷移し、端末３１と同様の攻撃を開始する。
【００３４】
（Ｓ１０４）
端末シミュレータ４１内の「１０．７４．５．３」から「１０．７４．５．２５５」までのＩＰアドレスの仮想端末も、「ワーム種別＝ワーム番号＃１」のワーム攻撃データ６０を受信すると、「更新なし感染状態Ｓ２」へ遷移し、端末３１と同様の攻撃を開始する。
【００３５】
（Ｓ１０５）
次に、端末３１は、あて先ＩＰアドレスとしてＩＰアドレスマスク長を短くした範囲に該当するＩＰアドレスに対して攻撃するべく、攻撃するＩＰアドレスの範囲を拡大する。ＩＰアドレスマスク長を短くする方法としては、端末３１は、ビット幅を何ビットか短くする。
例えば、端末３１は、マスク長を最初の
「２５５．２５５．２５５．０」
より８ビット短くして
「２５５．２５５．０．０」
のマスク長まで攻撃範囲を広げる。これにより端末３１は、「ワーム種別＝ワーム番号＃１」のワーム攻撃データ６０を
「１０．７４．０．０」
から
「１０．７４．２５５．２５５」
までのＩＰアドレスの端末へ送りつけて攻撃する。
【００３６】
（Ｓ１０６）
さらに、端末３１は、ＩＰアドレスマスク長をさらに８ビット短くして、すなわち、ＩＰアドレスマスクを
「２５５．０．０．０」
として攻撃する。
すなわち、端末３１は、「ワーム種別＝ワーム番号＃１」のワーム攻撃データ６０を
「１０．０．０．０」
から
「１０．２５５．２５５．２５５」までのＩＰアドレスの端末へ送りつけて攻撃する。
【００３７】
「更新なし感染状態Ｓ２」である端末３２や、端末シミュレータ４１内の「１０．７４．５．３」から「１０．７４．５．２５５」までのＩＰアドレスの仮想端末も、「ワーム種別＝ワーム番号＃１」のワーム攻撃データ６０を、端末３１と同様に送りつける攻撃を開始する。
【００３８】
この状態遷移により、「ワーム種別＝ワーム番号＃１」のワームに関して、ネットワーク上で感染した端末の分布が分かる。
【００３９】
（Ｓ１１０〜Ｓ１１２：擬似攻撃管理装置の指示によるプログラム更新）
例えば、端末３２は、一定時間経過後、擬似攻撃管理装置５１から、図１０に示す「ワーム種別＝ワーム番号＃１」のプログラム更新指示７０（送信指示の一例）を受信する（Ｓ１１０）。なお、擬似攻撃管理装置５１から送信する他、プログラム更新指示７０は手動により端末３２に直接入力してもよい。図１０のプログラム更新指示７０を説明する。図１０に示すプログラム更新指示７０に含まれるデータは図９のワーム攻撃データ６０と同様にＭＡＣヘッダ６１〜ワーム種別６５を含む。ただしプログラム更新指示７０は、ワーム攻撃データ６０に対して、コマンドコード６４が「０ｘ０００００００２」であり、プログラム更新指示であることを示している。端末３２は、擬似攻撃管理装置５１からこのプログラム更新指示７０（送信指示）を受信すると、図１１に示すような、更新要求通知フラグ８１＝「０ｘ０００００００１」（更新要求）である「修正プログラム更新データ８０」（更新データ要求の一例）を、予め設定されている擬似攻撃用パッチサーバ２３宛てのＩＰアドレスへ送信する（Ｓ１１１）。
【００４０】
図１１の「修正プログラム更新データ８０」を説明する。「修正プログラム更新データ８０」はＭＡＣヘッダ６１〜ワーム種別６５、及び更新要求通知フラグ８１を含む。「修正プログラム更新データ８０」は、コマンドコード６４＝「０ｘ０００００００３」であり、「修正プログラム更新データ８０」自体が、修正プログラム更新データであることを示す。また、「修正プログラム更新データ８０」は、端末から擬似攻撃用パッチサーバ２３に送信される場合は更新要求であるので、更新要求通知フラグ８１＝「０ｘ０００００００１」である。また、「修正プログラム更新データ８０」は、擬似攻撃用パッチサーバ２３から端末に送信される場合には、更新データを模擬するため、更新要求通知フラグ８１＝「０ｘ０００００００２」となる。
【００４１】
擬似攻撃用パッチサーバ２３は、端末３２からの修正プログラム更新データ８０（更新要求通知フラグ＝１）を受信すると、図１１の修正プログラム更新データ８０（更新要求通知フラグ＝２）（擬似プログラム更新データの一例）を端末３２へ応答する（Ｓ１１２）。
【００４２】
（Ｓ１１３）
端末３２は、図１１の修正プログラム更新データ８０（更新要求通知フラグ＝２）を受信すると、「更新なし感染状態Ｓ２」から「更新あり感染状態Ｓ３」へ遷移する。
【００４３】
図８のＳ１１０、図１０に示した擬似攻撃管理装置５１から送信されるプログラム更新指示７０（ワーム番号＃１）は、実際のネットワーク環境では、メールや人の口頭伝達によるプログラム更新の指示を模擬したものである。端末と擬似攻撃用パッチサーバ２３間の往復の通信である図８の修正プログラム更新データ８０の１往復（Ｓ１１１，Ｓ１１２）は、ｗｉｎｄｏｗｓ（登録商標） ｕｐｄａｔｅなどのプログラム更新の通信を模擬したものである。
【００４４】
（Ｓ１１４：ワーク駆除）
端末３２は、さらに一定時間経過後、擬似攻撃管理装置５１から、図１２に示す、「ワーム種別＝ワーム番号＃１」であるワーム駆除指示９０（駆除指令の一例）を受信する（Ｓ１１４）。なお、擬似攻撃管理装置５１から送信する他、ワーム駆除指示９０は手動により端末３２に直接入力してもよい。図１２のワーム駆除指示９０を説明する。図１２に示すワーム駆除指示９０に含まれるデータは、図９のワーム攻撃データ６０と同様にＭＡＣヘッダ６１〜ワーム種別６５を含む。ただし、ワーム駆除指示９０は、ワーム攻撃データ６０に対して、コマンドコード６４が「０ｘ０００００００４」であり、ワーム駆除指示であることを示している。端末３２は、図１２の「ワーム種別＝ワーム番号＃１」であるワーム駆除指示９０を受信すると、受信後のワーム駆除の定期チェックにより、「ワーム種別＝ワーム番号＃１」のワームを駆除し（Ｓ１１５）、「更新あり感染状態Ｓ３」から「免疫状態Ｓ４」へ遷移する（Ｓ１１６）。ワームを駆除した端末３２は、今まで実行していたワーム攻撃データ６０を生成して他の端末へワーム攻撃データ６０を送信する動作を停止する。
【００４５】
（Ｓ１２０，Ｓ１２１：擬似攻撃用パッチサーバ２３からの定期更新または自動更新）
一定時間経過後、擬似攻撃用パッチサーバ２３は、図１１の「ワーム種別＝ワーム番号＃１、かつ、更新要求通知フラグ＝２」である修正プログラム更新データ８０（更新データ）を、送信先として予め設定されている端末３１へ送信する（Ｓ１２０）。この修正プログラム更新データ８０（更新データ）を受信した端末３１は、「更新なし感染状態Ｓ２」から「更新あり感染状態Ｓ３」へ遷移する（Ｓ１２１）。Ｓ１２０及びＳ１２１は、擬似攻撃用パッチサーバ２３からの定期更新または自動更新を示す。すなわちＳ１２０及びＳ１２１における、端末を擬似攻撃用パッチサーバ２３から定期更新または自動更新する処理は、人の手を介さないで端末のプログラムを自動更新する場合を模擬している。予め、擬似攻撃用パッチサーバ２３から定期更新または自動更新によってプログラム更新する端末（この例では端末３１）を、擬似攻撃用パッチサーバ２３に設定しておいてからシミュレーションを開始する。
【００４６】
（Ｓ１２２〜Ｓ１２４：ワーム駆除指令）
端末３１は、さらに一定時間経過後、擬似攻撃管理装置５１からの図１２に示す「ワーム種別＝ワーム番号＃１」のワーム駆除指示９０を受信する（Ｓ１２２）。端末３１は、このワーム駆除指示９０を受信すると、受信後のワーム駆除の定期チェックにより「ワーム種別＝ワーム番号＃１」のワームを駆除し（Ｓ１２３）、「更新あり感染状態Ｓ３」から「免疫状態Ｓ４」へ遷移する（Ｓ１２４）。ワームを駆除した端末３１は、今まで実行していた擬似攻撃データを生成して他の端末へ擬似攻撃データを送信する動作を停止する。
【００４７】
端末シミュレータ４１は、「１０．７４．５．３」から「１０．７４．５．２５５」までのＩＰアドレスの端末の動作を一台で実行しているが、個々の端末と同一の動作をＩＰアドレスごとに行う。端末シミュレータ４２は、「１０．７４．６．３」から「１０．７４．６．２５５」までのＩＰアドレスの端末の動作を一台で実行しているが、個々の端末と同一の動作をＩＰアドレスごとに行う。
【００４８】
端末３２に対して、擬似攻撃管理装置５１は、Ｓ１１０においてプログラム更新指示７０を送信し、ついで、Ｓ１１４においてワーム駆除指示９０を送信したが、逆の順番でも良い。逆の順場の場合、端末３２は、「更新なし感染状態Ｓ２」から「未感染状態Ｓ１」へ遷移し、次いで、「免疫状態Ｓ４」へ遷移することとなる。
【００４９】
これらそれぞれの端末の状態遷移により、「ワーム種別＝ワーム番号＃１」のワームに関してのネットワーク上で感染した端末の分布と免疫駆除した端末の分布が分かる。端末の状態の情報収集については、図１３、図１４の説明で後述する。
【００５０】
「更新なし感染状態Ｓ２」と「更新あり感染状態Ｓ３」の端末は、ワームに感染している状態を模擬している。このため、これらの状態にある端末は、他の端末に図９のワーム攻撃データ６０を送信して攻撃を続ける。攻撃する速度としては、実際の端末では、単一パケットの送信だけでは終了しないので、単位時間あたりで攻撃する端末の数に制限を加えても良い。例えば、１秒間あたり１００台まで攻撃するなどの制限を設けても良い。
【００５１】
図１３は、擬似攻撃管理装置５１が端末から試験経過収集するための試験結果収集１００の要求と、その応答を示す図である。図１３の試験結果収集１００を説明する。図１２に示す試験結果収集１００に含まれるデータは、図９のワーム攻撃データ６０と同様にＭＡＣヘッダ６１〜コマンドコード６４、これに加えて要求応答フラグ１０１及び試験結果データ１０２を含む。試験結果収集１００は、コマンドコード６４が「０ｘ０００００００５」であり、試験結果収集データであることを示している。「要求応答フラグ１０１＝収集要求」の試験結果収集１００（感染状態確認要求の一例）は、擬似攻撃管理装置５１から端末へ送信する。また、「要求応答フラグ１０１＝収集応答」の試験結果収集は、端末から擬似攻撃管理装置５１へ試験結果データを付加して返される。なお、図１３に示すように、試験結果データ１０２は、「要求応答フラグ１０１＝収集応答」の場合にのみ有効である。
【００５２】
図１４（ａ）は、図８の場合において、擬似攻撃管理装置５１が端末３２から収集した試験結果データ１０２（遷移履歴の一例）の例である。アスキー文字で返され、各イベントごとに、時刻、ワーム番号、ワーム感染状態、内容説明が記載されている。
（１）内容説明の「ＡＴＴＡＣＫ ｆｒｏｍ １０．７４．５．１」は、端末３２が端末３１からワーム攻撃データを受信したイベント（Ｓ１０２）である。
（２）内容説明の「ＣＯＭＭＡＮＤ ＵＰＤＡＴＥ ｆｒｏｍ １３３．１４１．１３．１００」は、端末３２が、擬似攻撃管理装置５１からプログラム更新指示７０を受信したイベント（Ｓ１１０）である。
（３）内容説明の「ＲＥＣＥＩＶＥ ＵＰＤＡＴＥ ｆｒｏｍ １０．７４．６．２３」は、端末３２が、擬似攻撃用パッチサーバ２３から更新データである修正プログラム更新データ８０を受信したイベント（Ｓ１１３）である。
（４）内容説明の「ＣＯＭＭＡＮＤ ＲＥＭＯＶＩＮＧ ｆｒｏｍ １３３．１４１．１３．１００」は、端末３２が、擬似攻撃管理装置５１からワーム駆除指示９０を受信したイベント（Ｓ１１４）である。
（５）内容説明の「ＤＯ ＲＥＭＯＶＩＮＧ ｂｙ ｓｅｌｆ」は、端末３２が、ワーム駆除を実行したイベント（Ｓ１１６）である。
【００５３】
同様に、図１４（ｂ）は、擬似攻撃管理装置５１が端末３１から収集した試験結果データ１０２の例を示している。
【００５４】
なお、実施の形態１の感染シミュレーションシステムは、複数の端末（端末シミュレータの仮想端末装置を含む）と擬似攻撃管理装置５１とが行う感染シミュレーション方法として把握することも可能である。すなわち、複数の端末装置のそれぞれは、不正プログラムを模擬する擬似攻撃データの受信を契機として未感染の状態から前記不正プログラムに感染した状態に遷移して前記不正プログラムを模擬する新たな擬似攻撃データを生成し、生成した前記新たな擬似攻撃データを所定の規則にしたがって自装置以外の少なくとも１台の前記端末装置に送信するとともに、感染状態の確認を求める感染状態確認要求を受信すると前記感染状態確認要求に応答して自装置の遷移履歴を返信し、擬似攻撃管理装置は、前記感染状態確認要求をそれぞれの前記端末装置に送信し、それぞれの前記端末装置から前記感染状態確認要求に応答する前記遷移履歴を受信する感染シミュレーション方法として把握することができる。
【００５５】
また、実施の形態１で説明した端末装置（端末シミュレータの仮想端末を含む）の動作は、コンピュータである端末装置に実行させる擬似感染プログラムとして把握することができる。すなわち、不正プログラムによる感染シミュレーションの対象となる擬似ネットワークを構成するコンピュータである端末装置に以下の処理を実行させる擬似感染プログラムとして把握可能である。
（１）不正プログラムを模擬する擬似攻撃データの受信を契機として、前記不正プログラムに感染した状態に遷移して前記不正プログラムを模擬する新たな擬似攻撃データを生成する処理
（２）前記擬似攻撃データの受信を契機として前記新たな擬似攻撃データを生成した場合に前記新たな擬似攻撃データを所定の規則にしたがって前記擬似ネットワークを構成する他の複数の端末装置のうち少なくとも１台の端末装置に送信するとともに、感染状態の確認を求める感染状態確認要求を受信すると前記感染状態確認要求に応答して自装置の状態を返信する処理
【００５６】
以上のように、ネットワーク型ワームに感染した端末の分布を時間経過とともに検証し、ネットワークワームの免疫駆除した端末の分布を時間経過とともに検証するようにしているので、ネットワーク構成の違いによる伝播状況の試験結果から伝播の広がりが遅く被害が最小となるネットワーク構成を実際のネットワークに適用することができ、ネットワークのセキュリティを強化（設定変更やネットワーク構成変更）することができる。
【００５７】
実施の形態２．
次に図１５を用いて実施の形態２を説明する。実施の形態２は、ワーム種別がワーム番号＃２の場合について説明する。ワーム番号＃２のワームは、他の端末を攻撃する手法がワーム番号＃１のワームとは異なる。システム構成は、実施の形態１と同様である。
【００５８】
（動作の説明）
次に、図１５を用いて動作を説明する。図１５は、図９のワーム攻撃データ６０においてワーム種別６５がワーム番号＃２の場合の感染シミュレーションのシーケンスを示す図である。
【００５９】
端末３１、端末３２、端末３３、端末３４、端末シミュレータ４１内の仮想端末、端末シミュレータ４２内の仮想端末のワーム感染状態は、ワーム番号＃２に関して全て初期化時の「未感染状態Ｓ１」であるものとする。実施の形態１の図８の場合に対して、端末３１がワーム種別として「ワーム番号＃２」に感染するものとする。
【００６０】
（Ｓ２０１、Ｓ２０２）
擬似攻撃管理装置５１は、端末３１をワーム種別として「ワーム番号＃２」に感染させる契機（トリガ）として、図９において「ワーム種別６５＝ワーム番号＃２」のワーム攻撃データ６０を、端末３１へ送信する（Ｓ２０１）。端末３１は、このワーム攻撃データ６０を受信すると、ワーム番号＃２に関して、「更新なし感染状態Ｓ２」へ遷移する（Ｓ２０２）。
【００６１】
（Ｓ２０３）
端末３１は、「ワーム種別＝ワーム番号＃２」のワーム攻撃データ６０を受信することにより「更新なし感染状態Ｓ２」へ遷移すると、端末３１内部で乱数を発生させ、発生させた乱数から宛先ＩＰアドレスを決定し（Ｓ２０３）、決定した宛先ＩＰアドレスの端末へ「ワーム種別＝ワーム番号＃２」のワーム攻撃データ６０を送りつけて攻撃する。端末３１は、図９に記載している「ワーム種別＝ワーム番号＃２」のワーム攻撃データ６０を、乱数を発生させて決定した宛先ＩＰアドレスへ次々と送信して攻撃する。図４に示すネットワーク上の端末へ偶然に端末３１からワーム攻撃データ６０が届いた場合には、その端末はワームに感染する。
【００６２】
（Ｓ２０４〜Ｓ２０７）
例えば、偶然に、端末３１からのワーム攻撃データ６０（ワーム番号＃２）が、端末シミュレータ４２内のＩＰアドレス「１０．７４．６．４９」の仮想端末に届いたとする（Ｓ２０４）。端末シミュレータ４２内のＩＰアドレス「１０．７４．６．４９」の仮想端末は、「ワーム種別＝ワーム番号＃２」に関して「更新なし感染状態Ｓ２」へ遷移する（Ｓ２０５）。そして、ＩＰアドレス「１０．７４．６．４９」の仮想端末は、端末シミュレータ４２内で乱数を発生させ、発生させた乱数からＩＰアドレスを決定し（Ｓ２０６）、この決定したＩＰアドレスの端末に対して、図９に記載している「ワーム種別＝ワーム番号＃２」のワーム攻撃データ６０を送信し攻撃する（Ｓ２０７）。
【００６３】
図９に記載している「ワーム種別＝ワーム番号＃２」のワーム攻撃データ６０を受信し、「更新なし感染状態Ｓ２」へ遷移した全ての端末は、内部で乱数を発生し、宛先ＩＰアドレスを算出し、攻撃を開始する。
【００６４】
（Ｓ２０８〜Ｓ２１１：プログラム更新）
端末シミュレータ４２内のＩＰアドレス「１０．７４．６．４９」の仮想端末は、一定時間経過後、擬似攻撃管理装置５１から図１０記載の「ワーム種別＝ワーム番号＃２」であるプログラム更新指示７０を受信する（Ｓ２０８）。端末シミュレータ４２内のＩＰアドレス「１０．７４．６．４９」の仮想端末は、このプログラム更新指示７０を受信すると、図１１記載の「ワーム種別＝ワーム番号＃２、かつ、更新要求通知フラグ＝更新要求」である修正プログラム更新データ８０を、予め設定してある擬似攻撃用パッチサーバ２３宛てのＩＰアドレスへ送信する（Ｓ２０９）。擬似攻撃用パッチサーバ２３は、端末シミュレータ４２内のＩＰアドレス「１０．７４．６．４９」の仮想端末からの修正プログラム更新データを受信すると、図１１において、「ワーム種別＝ワーム番号＃２、かつ、更新要求通知フラグ＝更新データ」である修正プログラム更新データ８０を、端末シミュレータ４２内のＩＰアドレス「１０．７４．６．４９」の仮想端末へ応答する（Ｓ２１０）。端末シミュレータ４２内のＩＰアドレス「１０．７４．６．４９」の仮想端末は、この修正プログラム更新データ８０を受信すると、「更新なし感染状態Ｓ２」から「更新あり感染状態Ｓ３」へ遷移する（Ｓ２１１）。
【００６５】
（Ｓ２１２〜Ｓ２１４：ワーム駆除）
端末シミュレータ４２内のＩＰアドレス「１０．７４．６．４９」の仮想端末は、さらに一定時間経過後、擬似攻撃管理装置５１から、図１２における、「ワーム種別＝ワーム番号＃２」のワーム駆除指示９０を受信する（Ｓ２１２）。このワーム駆除指示９０を受信すると、端末シミュレータ４２内のＩＰアドレス「１０．７４．６．４９」の仮想端末は、受信後のワーム駆除の定期チェックにより、「ワーム種別＝ワーム番号＃２」のワームを駆除し（Ｓ２１３）、「更新あり感染状態Ｓ３」から「免疫状態Ｓ４」へ遷移する（Ｓ２１４）。
【００６６】
図４のネットワーク上の端末や端末シミュレータ内の仮想端末が、「免疫状態Ｓ４」へ遷移する動作については、実施の形態１と同じである。
【００６７】
本実施の形態２では、ネットワークワームの攻撃のアルゴリズムが異なる場合を模擬したが、ネットワークワームの攻撃のアルゴリズムは、多数考えられる。例えば、ＡＲＰ（Ａｄｄｒｅｓｓ Ｒｅｓｏｌｕｔｉｏｎ Ｐｒｏｔｏｃｏｌ）キャッシュなどの情報の通信履歴から、ワームに感染した端末と通信している端末を攻撃するのを最優先で行うアルゴリズムもシミュレーション可能である。
【００６８】
擬似攻撃管理装置５１は、端末から試験経過収集する。擬似攻撃管理装置５１は、図１３における、「要求応答フラグ１０１＝収集要求」の試験結果収集１００を、各端末と端末シミュレータ内の仮想端末へ送信する（Ｓ２１５）。、各端末と端末シミュレータ内の仮想端末は、図１３における、「要求応答フラグ１０１＝収集応答」の試験結果収集１００を擬似攻撃管理装置５１へ応答する（Ｓ２１６）。擬似攻撃管理装置５１は、時刻経過とともに各端末と端末シミュレータ内の仮想端末の感染状態を取得する。
【００６９】
以上のように、ネットワーク型ワームの攻撃の特徴を加味して感染した端末の分布を時間経過とともに検証し、ネットワークワームの免疫駆除した端末の分布を時間経過とともに検証するようにしているので、ネットワーク構成の違いによる伝播状況の試験結果から伝播の広がりが遅く被害が最小となるネットワーク構成を実際のネットワークに適用することができ、ネットワークのセキュリティを強化（設定変更やネットワーク構成変更）することができる。
【００７０】
以上の実施の形態では、以下の手段を備えたネットワークの擬似攻撃生成方式を説明した。
（ａ）ネットワーク型ウィルスやネットワーク型ワームに擬似的に感染した状態の端末が擬似攻撃データを生成し、他の端末へ擬似攻撃データを送信する手段；
（ｂ）他の端末から擬似攻撃データを受信すると感染した状態へ遷移し、上記（ａ）の擬似攻撃を開始する手段；
（ｃ）管理装置が各端末の感染状態を収集するデータを送信し、各端末が感染状態の記録を管理装置へ返す手段；
【００７１】
以上の実施の形態では、以下の手段を備えたネットワークの擬似攻撃生成方式を説明した。
（ａ）擬似攻撃データによる感染の開始後一定時間経過後、各端末は管理装置からの指示あるいは人の指示により、擬似のプログラム更新サーバへ擬似プログラム更新データ（更新要求）を送信する手段；
（ｂ）プログラム更新データ（更新要求）を受信したプログラム更新サーバは擬似プログラム更新データ（更新要求）を応答する手段；
（ｃ）擬似プログラム更新データ（更新要求）を受信した端末はプログラムが更新された状態へ遷移する手段；
【００７２】
以上の実施の形態では、以下の手段を備えたネットワークの擬似攻撃生成方式を説明した。
（ａ）擬似攻撃データによる感染の開始後一定時間経過後、擬似プログラム更新サーバは擬似プログラム更新データ（更新要求）を予め決められた各端末へ送信する手段；
（ｂ）擬似プログラム更新データ（更新要求）を受信した端末はプログラムが更新された状態へ遷移する手段；
【００７３】
以上の実施の形態では、以下の手段を備えたネットワークの擬似攻撃生成方式を説明した。
（ａ）擬似攻撃データによる感染の開始後一定時間経過後、各端末は管理装置からの指示あるいは人の指示により、擬似ワームを駆除する手段；
（ｂ）擬似ワームを駆除した端末はワームを駆除した状態へ遷移し、擬似攻撃データを生成し他の端末へ擬似攻撃データの送信を停止する手段；
【図面の簡単な説明】
【００７４】
【図１】実施の形態１における感染シミュレーションシステム１０００の構成を示す図。
【図２】実施の形態１における端末装置３１、管理装置５１等の外観を示す図。
【図３】実施の形態１における端末装置３１、管理装置５１等のハードウェア構成を示す図。
【図４】実施の形態１における感染シミュレーションシステム１０００のＩＰアドレス構成を示す図。
【図５】実施の形態１における端末３１の構成ブロック図。
【図６】実施の形態１における端末シミュレータ４１の構成ブロック図。
【図７】実施の形態１における端末の状態遷移を示す図。
【図８】実施の形態１における感染シミュレーションシステム１０００のシーケンスを示す図。
【図９】実施の形態１におけるワーム攻撃データ６０を示す図。
【図１０】実施の形態１におけるプログラム更新指示７０を示す図。
【図１１】実施の形態１における修正プログラム更新データ８０を示す図。
【図１２】実施の形態１におけるワーム駆除指示９０を示す図。
【図１３】実施の形態１における試験結果収集１００を示す図。
【図１４】実施の形態１における試験結果データ１０２の例を示す図。
【図１５】実施の形態２における感染シミュレーションシステム１０００のシーケンスを示す図。
【符号の説明】
【００７５】
Ａ 組織、１ 外部ネットワーク、１１ ファイアウォール、１２，１３ ルータ、２１ サーバ、２２ ｐｒｏｘｙサーバ、２３ 擬似攻撃用パッチサーバ、３１，３２，３３，３４ 端末、４１，４２ 端末シミュレータ、５１ 擬似攻撃管理装置、６０ ワーム攻撃データ、６１ ＭＡＣヘッダ、６２ ＩＰヘッダ、６３ ＴＣＰヘッダ、６４ コマンドコード、６５ ワーム種別、７０ プログラム更新指示、８０ 修正プログラム更新データ、８１ 更新要求通知フラグ、９０ ワーム駆除指示、１００ 試験結果収集、１０１ 要求応答フラグ、１０２ 試験結果データ、３１１ ＬＡＮ制御部、３１２ プロトコルスタック、３１３ 擬似攻撃プログラム、４１１ ＬＡＮ制御部、４１２ プロトコルスタック、４１３ 端末シミュレータ用擬似攻撃プログラム、８１０ ＣＰＵ、８１１ ＲＯＭ、８１２ ＲＡＭ、８１３ 表示装置、８１４ Ｋ／Ｂ、８１５ マウス、８１６ 通信ボード、８１７ ＦＤＤ、８１８ ＣＤＤ、８１９ プリンタ装置、８２０ 磁気ディスク装置、８２１ ＯＳ、８２２ ウィンドウシステム、８２３ プログラム群、８２４ ファイル群、８２５ バス、８３０ システムユニット、１０００ 感染シミュレーションシステム。
【技術分野】
【０００１】
この発明は、不正プログラムによるネットワークの感染をシミュレーションする感染シミュレーションシステム及び擬似感染プログラムに関する。
【背景技術】
【０００２】
従来のネットワークの擬似攻撃生成方式（例えば、特許文献１）は、監視対象ネットワークに対する不正侵入や、攻撃を、センサ系により感知し、不正侵入や攻撃により停止したあるネットワーク要素を起点に、当該ネットワークサービス管理情報データベースを検索することにより、被害関連範囲における被害評価を行う。被害評価装置は、被害が及ぶ関連範囲を関連範囲における各ネットワーク要素をノードとした依存関係に基づく被害グラフの形態で表現し、この被害グラフに示される依存関係をたどることにより、各ノードに定義された被害関係ルールに従い、あらかじめ定義された想定被害数値を累積演算している。
【０００３】
また、例えば、特許文献２では、ネットワークの状態を管理装置で監視し、管理装置がワームに感染した各端末の動作をルータから収集し、ワームの攻撃種別に一致した防御方法をいち早く適用するシステムが提案されている。
【０００４】
また、例えば、非特許文献１では、事前にウィルスの感染状況を評価する方法として、シミュレーションを用いた方法を示している。
【特許文献１】特開２００２−３２８８９３号公報 第３頁〜７頁、第１図
【特許文献２】特開２００６−６７０７８号公報 第３頁〜６頁、第１図
【非特許文献１】日本ソフトウェア科学会第２１回大会（２００４年度）論文集 「天敵への防衛概念を取り入れたワームの捕食モデルの提案」著者 小泉、他
【発明の開示】
【発明が解決しようとする課題】
【０００５】
特許文献１の場合、ネットワークの擬似攻撃生成方式は、不正侵入や攻撃を受けた端末が、時間経過に伴って他の端末にどのように攻撃を実行し、ネットワーク型ウィルスやネットワーク型ワームがどのようにネットワーク上を広がっていくのかを事前予測し、ネットワーク設計に役立てることが出来ないという課題があった。
【０００６】
また、特許文献２の場合、未知のワームや未知のウィルスについては、事前に対処方法が全く知られておらず、管理装置で状態を収集しても最適な対策を講ずることができなかった。さらに特許文献２では、実際のワームやウィルスによりどの程度の被害があるかを事前に評価できないという課題があった。
【０００７】
また、非特許文献１では、事前に評価する方法として、シミュレーションを用いた方法ではネットワーク構成の違いによる感染の経過を得ることができなかった。
【０００８】
この発明は、ネットワーク構成を色々変化させることによって、擬似的なネットワーク型ウィルスやネットワーク型ワームのネットワーク上での伝播状況をシミュレーションすることにより、ネットワーク構成の違いによる伝播状況のシミュレーション結果から伝播の広がりが遅く被害が最小となるネットワーク構成を発見し、実際のネットワークに適用可能な感染シミュレーションシステムの提供を目的とする。
【課題を解決するための手段】
【０００９】
この発明の感染シミュレーションシステムは、
不正プログラムによる感染シミュレーションの対象となる擬似ネットワークを構成する複数の端末装置と、前記複数の端末装置の感染状態を管理する管理装置とを備えた感染シミュレーションシステムにおいて、
前記複数の端末装置のそれぞれは、
前記不正プログラムを模擬する擬似攻撃データを受信すると未感染の状態から前記不正プログラムに感染した状態に遷移して前記不正プログラムを模擬する新たな擬似攻撃データを生成し、生成した前記新たな擬似攻撃データを所定の規則にしたがって自装置以外の少なくとも１台の前記端末装置に送信するとともに、感染状態の確認を求める感染状態確認要求を受信すると前記感染状態確認要求に応答して自装置の遷移履歴を返信し、
前記管理装置は、
前記感染状態確認要求を生成し、生成した前記感染状態確認要求をそれぞれの前記端末装置に送信するとともに、それぞれの前記端末装置から前記感染状態確認要求に応答する前記端末装置の前記遷移履歴を受信することを特徴とする。
【発明の効果】
【００１０】
この発明により、擬似的なネットワーク型ウィルスやネットワーク型ワームのネットワーク上での伝播状況を試験することができる。
【発明を実施するための最良の形態】
【００１１】
実施の形態１．
図１〜図１４を用いて実施の形態１を説明する。実施の形態１は、ネットワーク構成を色々と変化させることにより、「ネットワーク型のウィルスやワーム」（不正プログラムの一例）のネットワーク上における伝播をシミュレーションする感染シミュレーションシステムに関する。この感染シミュレーションシステムによって、ワームなどの伝播の広がりが遅く、被害が小さいネットワーク構成を見出し、実際のネットワークに適用することができる。
【００１２】
図１は、実施の形態１の感染シミュレーションシステム１０００のシミュレーション対象となる擬似的なネットワークの論理構成を示すネットワーク構成図である。
図１において、
（１）外部ネットワーク１は、組織ＡのＬＡＮ（Ｌｏｃａｌ Ａｒｅａ Ｎｅｔｗｏｒｋ）外のＴＣＰ／ＩＰ（Ｔｒａｎｓｍｉｓｓｉｏｎ Ｃｏｎｔｒｏｌ Ｐｒｏｔｏｃｏｌ／Ｉｎｔｅｒｎｅｔ Ｐｒｏｔｏｃｏｌ）公衆網である。
（２）ファイアウォール１１は、通信データを設定に従って透過中継するか廃棄するフィルター装置である。
（３）ルータ１２とルータ１３とは、いわゆるルーティング情報によって経路を決め透過中継するＩＰルータである。
（４）サーバ２１は、組織Ａの社外用の公開サーバである。
（５）ｐｒｏｘｙサーバ２２は、組織Ａ内のネットワークから組織Ａの社外サーバ宛てアクセスのためのプロキシサーバである。
（５）擬似攻撃用パッチサーバ２３（擬似プログラム更新サーバ）は、ネットワーク型ウィルスやネットワーク型ワームに対するプログラム更新用のサーバである。
（６）端末３１と端末３２と端末３３と端末３４は、パーソナルコンピュータなどの端末装置である。端末装置３１等は、以下、端末という。
（７）端末シミュレータ４１と端末シミュレータ４２は、複数台の端末を模擬する端末シミュレータ（端末装置の一例）である。
（８）擬似攻撃管理装置５１（管理装置）は、ネットワークの擬似攻撃生成を制御するための装置である。
【００１３】
図２は、端末、端末シミュレータ、あるいは擬似攻撃管理装置の外観の一例を示す図である。これらはいずれもコンピュータである。
【００１４】
図２は端末３１を想定して説明するが、端末シミュレータ４１、及び擬似攻撃管理装置５１もコンピュータであり、同様である。図２において、端末３１は、システムユニット８３０、ＣＲＴ（Ｃａｔｈｏｄｅ・Ｒａｙ・Ｔｕｂｅ）やＬＣＤ（液晶）の表示画面を有する表示装置８１３、キーボード８１４（Ｋｅｙ・Ｂｏａｒｄ：Ｋ／Ｂ）、マウス８１５、ＦＤＤ８１７（Ｆｌｅｘｉｂｌｅ・Ｄｉｓｋ・ Ｄｒｉｖｅ）、コンパクトディスク装置８１８（ＣＤＤ：Ｃｏｍｐａｃｔ Ｄｉｓｋ Ｄｒｉｖｅ）、プリンタ装置８１９などのハードウェア資源を備え、これらはケーブルや信号線で接続されている。システムユニット８３０は、コンピュータであり、また、ＬＡＮに接続されている。
【００１５】
図３は、図２の端末３１のハードウェア資源の一例を示す図である。図３において、端末３１は、プログラムを実行するＣＰＵ８１０（中央処理装置、処理装置、演算装置、マイクロプロセッサ、マイクロコンピュータ、プロセッサともいう）を備えている。ＣＰＵ８１０は、バス８２５を介してＲＯＭ（Ｒｅａｄ Ｏｎｌｙ Ｍｅｍｏｒｙ）８１１、ＲＡＭ（Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）８１２、表示装置８１３、キーボード８１４、マウス８１５、通信ボード８１６、ＦＤＤ８１７、ＣＤＤ８１８、プリンタ装置８１９、磁気ディスク装置８２０と接続され、これらのハードウェアデバイスを制御する。磁気ディスク装置８２０の代わりに、光ディスク装置、メモリカード読み書き装置などの記憶装置でもよい。
【００１６】
ＲＡＭ８１２は、揮発性メモリの一例である。ＲＯＭ８１１、ＦＤＤ８１７、ＣＤＤ８１８、磁気ディスク装置８２０等の記憶媒体は、不揮発性メモリの一例である。これらは、記憶装置あるいは記憶部、格納部の一例である。通信ボード８１６、キーボード８１４、ＦＤＤ８１７などは、入力部、入力装置の一例である。また、通信ボード８１６、表示装置８１３、プリンタ装置８１９などは、出力部、出力装置の一例である。通信ボード８１６は、ＬＡＮに接続されている。
【００１７】
磁気ディスク装置８２０には、オペレーティングシステム８２１（ＯＳ）、ウィンドウシステム８２２、プログラム群８２３、ファイル群８２４が記憶されている。プログラム群８２３のプログラムは、ＣＰＵ８１０、オペレーティングシステム８２１、ウィンドウシステム８２２により実行される。
【００１８】
上記プログラム群８２３には、以下に述べる実施の形態の説明において「〜部」、及び「プロトコルスタック」として説明する機能を実行するプログラムが記憶されている。プログラムは、ＣＰＵ８１０により読み出され実行される。
【００１９】
ファイル群８２４には、以下に述べる実施の形態の説明において、「〜の判定結果」、「〜の算出結果」、「〜の抽出結果」、「〜の生成結果」、「〜の処理結果」として説明する情報や、データや信号値や変数値やパラメータなどが、「〜ファイル」や「〜データベース」の各項目として記憶されている。「〜ファイル」や「〜データベース」は、ディスクやメモリなどの記録媒体に記憶される。ディスクやメモリなどの記憶媒体に記憶された情報やデータや信号値や変数値やパラメータは、読み書き回路を介してＣＰＵ８１０によりメインメモリやキャッシュメモリに読み出され、抽出・検索・参照・比較・演算・計算・処理・出力・印刷・表示などのＣＰＵの動作に用いられる。抽出・検索・参照・比較・演算・計算・処理・出力・印刷・表示のＣＰＵの動作の間、情報やデータや信号値や変数値やパラメータは、メインメモリやキャッシュメモリやバッファメモリに一時的に記憶される。
【００２０】
また、以下に述べる実施の形態の説明においては、データや信号値は、ＲＡＭ８１２のメモリ、ＦＤＤ８１７のフレキシブルディスク、ＣＤＤ８１８のコンパクトディスク、磁気ディスク装置８２０の磁気ディスク、その他光ディスク、ミニディスク、ＤＶＤ（Ｄｉｇｉｔａｌ・Ｖｅｒｓａｔｉｌｅ・Ｄｉｓｋ）等の記録媒体に記録される。また、データや信号は、バス８２５や信号線やケーブルその他の伝送媒体によりオンライン伝送される。
【００２１】
また、以下に述べる実施の形態の説明において「〜部」として説明するものは、「〜回路」、「〜装置」、「〜機器」、「手段」であってもよく、また、「〜ステップ」、「〜手順」、「〜処理」であってもよい。すなわち、「〜部」として説明するものは、ＲＯＭ８１１に記憶されたファームウェアで実現されていても構わない。或いは、ソフトウェアのみ、或いは、素子・デバイス・基板・配線などのハードウェアのみ、或いは、ソフトウェアとハードウェアとの組み合わせ、さらには、ファームウェアとの組み合わせで実施されても構わない。ファームウェアとソフトウェアは、プログラムとして、磁気ディスク、フレキシブルディスク、光ディスク、コンパクトディスク、ミニディスク、ＤＶＤ等の記録媒体に記憶される。プログラムはＣＰＵ８１０により読み出され、ＣＰＵ８１０により実行される。すなわち、プログラムは、以下に述べる「〜部」としてコンピュータを機能させるものである。あるいは、以下に述べる「〜部」の手順や方法をコンピュータに実行させるものである。
【００２２】
図４は、図１のネットワーク構成図にＩＰアドレスを付与したものである。
図４において、
ＩＰサブネットワークには
「１０．７４．１．０／２５５．２５５．２５５．０」
の表現のように、
「ＩＰサブネットワークアドレス／ＩＰアドレスマスク」
を記述した。
（１）サーバ２１が接続しているＩＰサブネットワークアドレスは、
「１３３．１４１．０．０／２５５．２５５．０．０」
である。
（２）ルータ１２とルータ１３とが接続しているＩＰサブネットワークアドレスは、
「１０．７４．１．０／２５５．２５５．２５５．０」
である。
（３）端末３１が接続しているＩＰサブネットワークアドレスは、
「１０．７４．５．０／２５５．２５５．２５５．０」
である。
（４）端末３３が接続しているＩＰサブネットワークアドレスは、
「１０．７４．６．０／２５５．２５５．２５５．０」である。
（５）端末シミュレータ４１は
「１０．７４．５．３」から「１０．７４．５．２５５」までのＩＰアドレスの端末の動作を一台で実行する。
（６）端末シミュレータ４２は
「１０．７４．６．３」から「１０．７４．６．２５５」までのＩＰアドレスの端末の動作を一台で実行する。
【００２３】
図５は、端末３１の内部モジュール構造を示す。端末３２と端末３３と端末３４の内部モジュール構造は、端末３１と同様である。
（１）ＬＡＮ制御部３１１は、ＬＡＮ（Ｌｏｃａｌ Ａｒｅａ Ｎｅｔｗｏｒｋ）の回線を制御するモジュールである。
（２）プロトコルスタック３１２は、端末に備わっているＴＣＰ／ＵＤＰ／ＩＰの通信プログラムである。
（３）擬似攻撃プログラム３１３は、ＴＣＰ／ＵＤＰのソケットを利用した擬似攻撃を実行するプログラムである。
【００２４】
図６は、端末シミュレータ４１の内部モジュール構造を示す。端末シミュレータ４２の内部モジュール構造は端末シミュレータ４１と同様である。
（１）ＬＡＮ制御部４１１は、ＬＡＮの回線を制御するモジュールである。
（２）プロトコルスタック４１２は、端末シミュレータに備わっているＴＣＰ／ＵＤＰ／ＩＰの通信プログラムである。プロトコルスタック４１２の自局ＩＰアドレスは、いわゆるマルチアサインにより複数のＩＰアドレスを設定する。
（３）端末シミュレータ用擬似攻撃プログラム４１３は、ＴＣＰ／ＵＤＰのソケットを利用した複数台の擬似攻撃を同時に実行するプログラムである。
【００２５】
図７は、各々の端末がネットワーク型ワームに感染した場合の状態の遷移を示す状態遷移図である。図７に示すように、各端末は、「未感染状態Ｓ１」、「更新なし感染状態Ｓ２」、「更新あり感染状態Ｓ３」、「免疫状態Ｓ４」のいずれかの状態を有する。全ての端末は、初期状態として、「未感染状態Ｓ１」である。端末は、ネットワーク上でワームに感染すると「更新なし感染状態Ｓ２」へ遷移する。また、「未感染状態Ｓ１」で障害のあるプログラムを更新してセキュリティホールをふさいだ時（パッチ適用時）は、「免疫状態Ｓ４」へ遷移する。
【００２６】
「更新なし感染状態Ｓ２」からは、次の（１）、（２）の二つの事象が発生した時に、「未感染状態Ｓ１」、あるいは「更新あり感染状態Ｓ３」のいずれかの状態に遷移する。
（１）最初の事象は、障害のあるプログラムを更新しセキュリティホールをふさいだ時（パッチ適用時）である。この場合は、「更新なし感染状態Ｓ２」から「更新あり感染状態Ｓ３」へ遷移する。「更新あり感染状態Ｓ３」は、障害のあるプログラムを更新しセキュリティホールをふさいでいる。しかし、ワームに感染した状態であるので、他の端末へワーム送信の攻撃を実行している状態である。「更新あり感染状態Ｓ３」でワーム駆除の事象が発生すると、「免疫状態Ｓ４」に遷移する。
（２）もうひとつの事象は、ワームを駆除した時であり、この場合は、「更新なし感染状態Ｓ２」から「未感染状態Ｓ１」へ遷移し、元の状態に戻る。
【００２７】
図７の感染状態の遷移図は、異なる種類のそれぞれのワームに対して適用される。感染シミュレーションでは、ワームを識別するためにワーム番号ごとに状態遷移図を適用する。
【００２８】
（動作の説明）
次に図８を参照して、感染シミュレーションの動作を説明する。図８は感染シミュレーションの動作を説明するシーケンス図である。図８において、端末３１と、端末３２と、端末３３と、端末３４と、端末シミュレータ４１内の仮想端末と、端末シミュレータ４２内の仮想端末とのワーム感染状態は、全て初期化時「未感染状態Ｓ１」であるとする。端末３１がワーム種別としてワーム番号＃１に感染したと仮定して感染シミュレーションを開始する。
【００２９】
（Ｓ１０１）
擬似攻撃管理装置５１は、端末３１をワーム種別としてワーム番号＃１に感染させる契機（トリガ）として、図９に示す「ワーム種別＝ワーム番号＃１」であるワーム攻撃データ６０（擬似攻撃データの一例）を、端末３１へ送信する。端末３１は、このワーム攻撃データ６０を受信すると、ワーム番号＃１に関して、「更新なし感染状態Ｓ２」へ遷移する。
【００３０】
図９のワーム攻撃データ６０を説明する。ワーム攻撃データ６０は、ＭＡＣヘッダ６１、ＩＰヘッダ６２、ＴＣＰヘッダ６３（あるいはＵＤＰヘッダ）、コマンドコード６４、ワーム種別６５のデータを含む。コマンドコード６４は、「０ｘ０００００００１」の場合、ワーム攻撃データである。また、ワーム種別６５は、ワームの種別を示す。
【００３１】
ワーム攻撃データ６０および以下で後述するプログラム更新指示７０、修正プログラム更新データ８０、ワーム駆除指示９０、試験結果収集１００などの感染シミュレーションの通信データは、一般的なＴＣＰ／ＵＤＰ／ＩＰのデータであり、ＴＣＰとＵＤＰのどちらのプロトコルを用いても良い。また、ＴＣＰとＵＤＰのそれぞれの送信元ポート番号とあて先ポート番号とは、システムとして固定で良く、通常のアプリケーションデータとして通信させれば良い。
【００３２】
（Ｓ１０２）
端末３１は「更新なし感染状態Ｓ２」へ遷移すると「ワーム種別＝ワーム番号＃１」であるワーム攻撃データ６０を、まず、端末３１のＩＰアドレスが属するＩＰサブネットワークの端末へ送信する。すなわち端末３１はワーム攻撃データ６０を、「１０．７４．５．０」、及び「１０．７４．５．２」から「１０．７４．５．２５５」までのＩＰアドレスの端末へ送りつけて攻撃する。
【００３３】
（Ｓ１０３）
例えば端末３２は、端末３１が発信した「ワーム種別＝ワーム番号＃１」のワーム攻撃データ６０を受信すると、「更新なし感染状態Ｓ２」へ遷移し、端末３１と同様の攻撃を開始する。
【００３４】
（Ｓ１０４）
端末シミュレータ４１内の「１０．７４．５．３」から「１０．７４．５．２５５」までのＩＰアドレスの仮想端末も、「ワーム種別＝ワーム番号＃１」のワーム攻撃データ６０を受信すると、「更新なし感染状態Ｓ２」へ遷移し、端末３１と同様の攻撃を開始する。
【００３５】
（Ｓ１０５）
次に、端末３１は、あて先ＩＰアドレスとしてＩＰアドレスマスク長を短くした範囲に該当するＩＰアドレスに対して攻撃するべく、攻撃するＩＰアドレスの範囲を拡大する。ＩＰアドレスマスク長を短くする方法としては、端末３１は、ビット幅を何ビットか短くする。
例えば、端末３１は、マスク長を最初の
「２５５．２５５．２５５．０」
より８ビット短くして
「２５５．２５５．０．０」
のマスク長まで攻撃範囲を広げる。これにより端末３１は、「ワーム種別＝ワーム番号＃１」のワーム攻撃データ６０を
「１０．７４．０．０」
から
「１０．７４．２５５．２５５」
までのＩＰアドレスの端末へ送りつけて攻撃する。
【００３６】
（Ｓ１０６）
さらに、端末３１は、ＩＰアドレスマスク長をさらに８ビット短くして、すなわち、ＩＰアドレスマスクを
「２５５．０．０．０」
として攻撃する。
すなわち、端末３１は、「ワーム種別＝ワーム番号＃１」のワーム攻撃データ６０を
「１０．０．０．０」
から
「１０．２５５．２５５．２５５」までのＩＰアドレスの端末へ送りつけて攻撃する。
【００３７】
「更新なし感染状態Ｓ２」である端末３２や、端末シミュレータ４１内の「１０．７４．５．３」から「１０．７４．５．２５５」までのＩＰアドレスの仮想端末も、「ワーム種別＝ワーム番号＃１」のワーム攻撃データ６０を、端末３１と同様に送りつける攻撃を開始する。
【００３８】
この状態遷移により、「ワーム種別＝ワーム番号＃１」のワームに関して、ネットワーク上で感染した端末の分布が分かる。
【００３９】
（Ｓ１１０〜Ｓ１１２：擬似攻撃管理装置の指示によるプログラム更新）
例えば、端末３２は、一定時間経過後、擬似攻撃管理装置５１から、図１０に示す「ワーム種別＝ワーム番号＃１」のプログラム更新指示７０（送信指示の一例）を受信する（Ｓ１１０）。なお、擬似攻撃管理装置５１から送信する他、プログラム更新指示７０は手動により端末３２に直接入力してもよい。図１０のプログラム更新指示７０を説明する。図１０に示すプログラム更新指示７０に含まれるデータは図９のワーム攻撃データ６０と同様にＭＡＣヘッダ６１〜ワーム種別６５を含む。ただしプログラム更新指示７０は、ワーム攻撃データ６０に対して、コマンドコード６４が「０ｘ０００００００２」であり、プログラム更新指示であることを示している。端末３２は、擬似攻撃管理装置５１からこのプログラム更新指示７０（送信指示）を受信すると、図１１に示すような、更新要求通知フラグ８１＝「０ｘ０００００００１」（更新要求）である「修正プログラム更新データ８０」（更新データ要求の一例）を、予め設定されている擬似攻撃用パッチサーバ２３宛てのＩＰアドレスへ送信する（Ｓ１１１）。
【００４０】
図１１の「修正プログラム更新データ８０」を説明する。「修正プログラム更新データ８０」はＭＡＣヘッダ６１〜ワーム種別６５、及び更新要求通知フラグ８１を含む。「修正プログラム更新データ８０」は、コマンドコード６４＝「０ｘ０００００００３」であり、「修正プログラム更新データ８０」自体が、修正プログラム更新データであることを示す。また、「修正プログラム更新データ８０」は、端末から擬似攻撃用パッチサーバ２３に送信される場合は更新要求であるので、更新要求通知フラグ８１＝「０ｘ０００００００１」である。また、「修正プログラム更新データ８０」は、擬似攻撃用パッチサーバ２３から端末に送信される場合には、更新データを模擬するため、更新要求通知フラグ８１＝「０ｘ０００００００２」となる。
【００４１】
擬似攻撃用パッチサーバ２３は、端末３２からの修正プログラム更新データ８０（更新要求通知フラグ＝１）を受信すると、図１１の修正プログラム更新データ８０（更新要求通知フラグ＝２）（擬似プログラム更新データの一例）を端末３２へ応答する（Ｓ１１２）。
【００４２】
（Ｓ１１３）
端末３２は、図１１の修正プログラム更新データ８０（更新要求通知フラグ＝２）を受信すると、「更新なし感染状態Ｓ２」から「更新あり感染状態Ｓ３」へ遷移する。
【００４３】
図８のＳ１１０、図１０に示した擬似攻撃管理装置５１から送信されるプログラム更新指示７０（ワーム番号＃１）は、実際のネットワーク環境では、メールや人の口頭伝達によるプログラム更新の指示を模擬したものである。端末と擬似攻撃用パッチサーバ２３間の往復の通信である図８の修正プログラム更新データ８０の１往復（Ｓ１１１，Ｓ１１２）は、ｗｉｎｄｏｗｓ（登録商標） ｕｐｄａｔｅなどのプログラム更新の通信を模擬したものである。
【００４４】
（Ｓ１１４：ワーク駆除）
端末３２は、さらに一定時間経過後、擬似攻撃管理装置５１から、図１２に示す、「ワーム種別＝ワーム番号＃１」であるワーム駆除指示９０（駆除指令の一例）を受信する（Ｓ１１４）。なお、擬似攻撃管理装置５１から送信する他、ワーム駆除指示９０は手動により端末３２に直接入力してもよい。図１２のワーム駆除指示９０を説明する。図１２に示すワーム駆除指示９０に含まれるデータは、図９のワーム攻撃データ６０と同様にＭＡＣヘッダ６１〜ワーム種別６５を含む。ただし、ワーム駆除指示９０は、ワーム攻撃データ６０に対して、コマンドコード６４が「０ｘ０００００００４」であり、ワーム駆除指示であることを示している。端末３２は、図１２の「ワーム種別＝ワーム番号＃１」であるワーム駆除指示９０を受信すると、受信後のワーム駆除の定期チェックにより、「ワーム種別＝ワーム番号＃１」のワームを駆除し（Ｓ１１５）、「更新あり感染状態Ｓ３」から「免疫状態Ｓ４」へ遷移する（Ｓ１１６）。ワームを駆除した端末３２は、今まで実行していたワーム攻撃データ６０を生成して他の端末へワーム攻撃データ６０を送信する動作を停止する。
【００４５】
（Ｓ１２０，Ｓ１２１：擬似攻撃用パッチサーバ２３からの定期更新または自動更新）
一定時間経過後、擬似攻撃用パッチサーバ２３は、図１１の「ワーム種別＝ワーム番号＃１、かつ、更新要求通知フラグ＝２」である修正プログラム更新データ８０（更新データ）を、送信先として予め設定されている端末３１へ送信する（Ｓ１２０）。この修正プログラム更新データ８０（更新データ）を受信した端末３１は、「更新なし感染状態Ｓ２」から「更新あり感染状態Ｓ３」へ遷移する（Ｓ１２１）。Ｓ１２０及びＳ１２１は、擬似攻撃用パッチサーバ２３からの定期更新または自動更新を示す。すなわちＳ１２０及びＳ１２１における、端末を擬似攻撃用パッチサーバ２３から定期更新または自動更新する処理は、人の手を介さないで端末のプログラムを自動更新する場合を模擬している。予め、擬似攻撃用パッチサーバ２３から定期更新または自動更新によってプログラム更新する端末（この例では端末３１）を、擬似攻撃用パッチサーバ２３に設定しておいてからシミュレーションを開始する。
【００４６】
（Ｓ１２２〜Ｓ１２４：ワーム駆除指令）
端末３１は、さらに一定時間経過後、擬似攻撃管理装置５１からの図１２に示す「ワーム種別＝ワーム番号＃１」のワーム駆除指示９０を受信する（Ｓ１２２）。端末３１は、このワーム駆除指示９０を受信すると、受信後のワーム駆除の定期チェックにより「ワーム種別＝ワーム番号＃１」のワームを駆除し（Ｓ１２３）、「更新あり感染状態Ｓ３」から「免疫状態Ｓ４」へ遷移する（Ｓ１２４）。ワームを駆除した端末３１は、今まで実行していた擬似攻撃データを生成して他の端末へ擬似攻撃データを送信する動作を停止する。
【００４７】
端末シミュレータ４１は、「１０．７４．５．３」から「１０．７４．５．２５５」までのＩＰアドレスの端末の動作を一台で実行しているが、個々の端末と同一の動作をＩＰアドレスごとに行う。端末シミュレータ４２は、「１０．７４．６．３」から「１０．７４．６．２５５」までのＩＰアドレスの端末の動作を一台で実行しているが、個々の端末と同一の動作をＩＰアドレスごとに行う。
【００４８】
端末３２に対して、擬似攻撃管理装置５１は、Ｓ１１０においてプログラム更新指示７０を送信し、ついで、Ｓ１１４においてワーム駆除指示９０を送信したが、逆の順番でも良い。逆の順場の場合、端末３２は、「更新なし感染状態Ｓ２」から「未感染状態Ｓ１」へ遷移し、次いで、「免疫状態Ｓ４」へ遷移することとなる。
【００４９】
これらそれぞれの端末の状態遷移により、「ワーム種別＝ワーム番号＃１」のワームに関してのネットワーク上で感染した端末の分布と免疫駆除した端末の分布が分かる。端末の状態の情報収集については、図１３、図１４の説明で後述する。
【００５０】
「更新なし感染状態Ｓ２」と「更新あり感染状態Ｓ３」の端末は、ワームに感染している状態を模擬している。このため、これらの状態にある端末は、他の端末に図９のワーム攻撃データ６０を送信して攻撃を続ける。攻撃する速度としては、実際の端末では、単一パケットの送信だけでは終了しないので、単位時間あたりで攻撃する端末の数に制限を加えても良い。例えば、１秒間あたり１００台まで攻撃するなどの制限を設けても良い。
【００５１】
図１３は、擬似攻撃管理装置５１が端末から試験経過収集するための試験結果収集１００の要求と、その応答を示す図である。図１３の試験結果収集１００を説明する。図１２に示す試験結果収集１００に含まれるデータは、図９のワーム攻撃データ６０と同様にＭＡＣヘッダ６１〜コマンドコード６４、これに加えて要求応答フラグ１０１及び試験結果データ１０２を含む。試験結果収集１００は、コマンドコード６４が「０ｘ０００００００５」であり、試験結果収集データであることを示している。「要求応答フラグ１０１＝収集要求」の試験結果収集１００（感染状態確認要求の一例）は、擬似攻撃管理装置５１から端末へ送信する。また、「要求応答フラグ１０１＝収集応答」の試験結果収集は、端末から擬似攻撃管理装置５１へ試験結果データを付加して返される。なお、図１３に示すように、試験結果データ１０２は、「要求応答フラグ１０１＝収集応答」の場合にのみ有効である。
【００５２】
図１４（ａ）は、図８の場合において、擬似攻撃管理装置５１が端末３２から収集した試験結果データ１０２（遷移履歴の一例）の例である。アスキー文字で返され、各イベントごとに、時刻、ワーム番号、ワーム感染状態、内容説明が記載されている。
（１）内容説明の「ＡＴＴＡＣＫ ｆｒｏｍ １０．７４．５．１」は、端末３２が端末３１からワーム攻撃データを受信したイベント（Ｓ１０２）である。
（２）内容説明の「ＣＯＭＭＡＮＤ ＵＰＤＡＴＥ ｆｒｏｍ １３３．１４１．１３．１００」は、端末３２が、擬似攻撃管理装置５１からプログラム更新指示７０を受信したイベント（Ｓ１１０）である。
（３）内容説明の「ＲＥＣＥＩＶＥ ＵＰＤＡＴＥ ｆｒｏｍ １０．７４．６．２３」は、端末３２が、擬似攻撃用パッチサーバ２３から更新データである修正プログラム更新データ８０を受信したイベント（Ｓ１１３）である。
（４）内容説明の「ＣＯＭＭＡＮＤ ＲＥＭＯＶＩＮＧ ｆｒｏｍ １３３．１４１．１３．１００」は、端末３２が、擬似攻撃管理装置５１からワーム駆除指示９０を受信したイベント（Ｓ１１４）である。
（５）内容説明の「ＤＯ ＲＥＭＯＶＩＮＧ ｂｙ ｓｅｌｆ」は、端末３２が、ワーム駆除を実行したイベント（Ｓ１１６）である。
【００５３】
同様に、図１４（ｂ）は、擬似攻撃管理装置５１が端末３１から収集した試験結果データ１０２の例を示している。
【００５４】
なお、実施の形態１の感染シミュレーションシステムは、複数の端末（端末シミュレータの仮想端末装置を含む）と擬似攻撃管理装置５１とが行う感染シミュレーション方法として把握することも可能である。すなわち、複数の端末装置のそれぞれは、不正プログラムを模擬する擬似攻撃データの受信を契機として未感染の状態から前記不正プログラムに感染した状態に遷移して前記不正プログラムを模擬する新たな擬似攻撃データを生成し、生成した前記新たな擬似攻撃データを所定の規則にしたがって自装置以外の少なくとも１台の前記端末装置に送信するとともに、感染状態の確認を求める感染状態確認要求を受信すると前記感染状態確認要求に応答して自装置の遷移履歴を返信し、擬似攻撃管理装置は、前記感染状態確認要求をそれぞれの前記端末装置に送信し、それぞれの前記端末装置から前記感染状態確認要求に応答する前記遷移履歴を受信する感染シミュレーション方法として把握することができる。
【００５５】
また、実施の形態１で説明した端末装置（端末シミュレータの仮想端末を含む）の動作は、コンピュータである端末装置に実行させる擬似感染プログラムとして把握することができる。すなわち、不正プログラムによる感染シミュレーションの対象となる擬似ネットワークを構成するコンピュータである端末装置に以下の処理を実行させる擬似感染プログラムとして把握可能である。
（１）不正プログラムを模擬する擬似攻撃データの受信を契機として、前記不正プログラムに感染した状態に遷移して前記不正プログラムを模擬する新たな擬似攻撃データを生成する処理
（２）前記擬似攻撃データの受信を契機として前記新たな擬似攻撃データを生成した場合に前記新たな擬似攻撃データを所定の規則にしたがって前記擬似ネットワークを構成する他の複数の端末装置のうち少なくとも１台の端末装置に送信するとともに、感染状態の確認を求める感染状態確認要求を受信すると前記感染状態確認要求に応答して自装置の状態を返信する処理
【００５６】
以上のように、ネットワーク型ワームに感染した端末の分布を時間経過とともに検証し、ネットワークワームの免疫駆除した端末の分布を時間経過とともに検証するようにしているので、ネットワーク構成の違いによる伝播状況の試験結果から伝播の広がりが遅く被害が最小となるネットワーク構成を実際のネットワークに適用することができ、ネットワークのセキュリティを強化（設定変更やネットワーク構成変更）することができる。
【００５７】
実施の形態２．
次に図１５を用いて実施の形態２を説明する。実施の形態２は、ワーム種別がワーム番号＃２の場合について説明する。ワーム番号＃２のワームは、他の端末を攻撃する手法がワーム番号＃１のワームとは異なる。システム構成は、実施の形態１と同様である。
【００５８】
（動作の説明）
次に、図１５を用いて動作を説明する。図１５は、図９のワーム攻撃データ６０においてワーム種別６５がワーム番号＃２の場合の感染シミュレーションのシーケンスを示す図である。
【００５９】
端末３１、端末３２、端末３３、端末３４、端末シミュレータ４１内の仮想端末、端末シミュレータ４２内の仮想端末のワーム感染状態は、ワーム番号＃２に関して全て初期化時の「未感染状態Ｓ１」であるものとする。実施の形態１の図８の場合に対して、端末３１がワーム種別として「ワーム番号＃２」に感染するものとする。
【００６０】
（Ｓ２０１、Ｓ２０２）
擬似攻撃管理装置５１は、端末３１をワーム種別として「ワーム番号＃２」に感染させる契機（トリガ）として、図９において「ワーム種別６５＝ワーム番号＃２」のワーム攻撃データ６０を、端末３１へ送信する（Ｓ２０１）。端末３１は、このワーム攻撃データ６０を受信すると、ワーム番号＃２に関して、「更新なし感染状態Ｓ２」へ遷移する（Ｓ２０２）。
【００６１】
（Ｓ２０３）
端末３１は、「ワーム種別＝ワーム番号＃２」のワーム攻撃データ６０を受信することにより「更新なし感染状態Ｓ２」へ遷移すると、端末３１内部で乱数を発生させ、発生させた乱数から宛先ＩＰアドレスを決定し（Ｓ２０３）、決定した宛先ＩＰアドレスの端末へ「ワーム種別＝ワーム番号＃２」のワーム攻撃データ６０を送りつけて攻撃する。端末３１は、図９に記載している「ワーム種別＝ワーム番号＃２」のワーム攻撃データ６０を、乱数を発生させて決定した宛先ＩＰアドレスへ次々と送信して攻撃する。図４に示すネットワーク上の端末へ偶然に端末３１からワーム攻撃データ６０が届いた場合には、その端末はワームに感染する。
【００６２】
（Ｓ２０４〜Ｓ２０７）
例えば、偶然に、端末３１からのワーム攻撃データ６０（ワーム番号＃２）が、端末シミュレータ４２内のＩＰアドレス「１０．７４．６．４９」の仮想端末に届いたとする（Ｓ２０４）。端末シミュレータ４２内のＩＰアドレス「１０．７４．６．４９」の仮想端末は、「ワーム種別＝ワーム番号＃２」に関して「更新なし感染状態Ｓ２」へ遷移する（Ｓ２０５）。そして、ＩＰアドレス「１０．７４．６．４９」の仮想端末は、端末シミュレータ４２内で乱数を発生させ、発生させた乱数からＩＰアドレスを決定し（Ｓ２０６）、この決定したＩＰアドレスの端末に対して、図９に記載している「ワーム種別＝ワーム番号＃２」のワーム攻撃データ６０を送信し攻撃する（Ｓ２０７）。
【００６３】
図９に記載している「ワーム種別＝ワーム番号＃２」のワーム攻撃データ６０を受信し、「更新なし感染状態Ｓ２」へ遷移した全ての端末は、内部で乱数を発生し、宛先ＩＰアドレスを算出し、攻撃を開始する。
【００６４】
（Ｓ２０８〜Ｓ２１１：プログラム更新）
端末シミュレータ４２内のＩＰアドレス「１０．７４．６．４９」の仮想端末は、一定時間経過後、擬似攻撃管理装置５１から図１０記載の「ワーム種別＝ワーム番号＃２」であるプログラム更新指示７０を受信する（Ｓ２０８）。端末シミュレータ４２内のＩＰアドレス「１０．７４．６．４９」の仮想端末は、このプログラム更新指示７０を受信すると、図１１記載の「ワーム種別＝ワーム番号＃２、かつ、更新要求通知フラグ＝更新要求」である修正プログラム更新データ８０を、予め設定してある擬似攻撃用パッチサーバ２３宛てのＩＰアドレスへ送信する（Ｓ２０９）。擬似攻撃用パッチサーバ２３は、端末シミュレータ４２内のＩＰアドレス「１０．７４．６．４９」の仮想端末からの修正プログラム更新データを受信すると、図１１において、「ワーム種別＝ワーム番号＃２、かつ、更新要求通知フラグ＝更新データ」である修正プログラム更新データ８０を、端末シミュレータ４２内のＩＰアドレス「１０．７４．６．４９」の仮想端末へ応答する（Ｓ２１０）。端末シミュレータ４２内のＩＰアドレス「１０．７４．６．４９」の仮想端末は、この修正プログラム更新データ８０を受信すると、「更新なし感染状態Ｓ２」から「更新あり感染状態Ｓ３」へ遷移する（Ｓ２１１）。
【００６５】
（Ｓ２１２〜Ｓ２１４：ワーム駆除）
端末シミュレータ４２内のＩＰアドレス「１０．７４．６．４９」の仮想端末は、さらに一定時間経過後、擬似攻撃管理装置５１から、図１２における、「ワーム種別＝ワーム番号＃２」のワーム駆除指示９０を受信する（Ｓ２１２）。このワーム駆除指示９０を受信すると、端末シミュレータ４２内のＩＰアドレス「１０．７４．６．４９」の仮想端末は、受信後のワーム駆除の定期チェックにより、「ワーム種別＝ワーム番号＃２」のワームを駆除し（Ｓ２１３）、「更新あり感染状態Ｓ３」から「免疫状態Ｓ４」へ遷移する（Ｓ２１４）。
【００６６】
図４のネットワーク上の端末や端末シミュレータ内の仮想端末が、「免疫状態Ｓ４」へ遷移する動作については、実施の形態１と同じである。
【００６７】
本実施の形態２では、ネットワークワームの攻撃のアルゴリズムが異なる場合を模擬したが、ネットワークワームの攻撃のアルゴリズムは、多数考えられる。例えば、ＡＲＰ（Ａｄｄｒｅｓｓ Ｒｅｓｏｌｕｔｉｏｎ Ｐｒｏｔｏｃｏｌ）キャッシュなどの情報の通信履歴から、ワームに感染した端末と通信している端末を攻撃するのを最優先で行うアルゴリズムもシミュレーション可能である。
【００６８】
擬似攻撃管理装置５１は、端末から試験経過収集する。擬似攻撃管理装置５１は、図１３における、「要求応答フラグ１０１＝収集要求」の試験結果収集１００を、各端末と端末シミュレータ内の仮想端末へ送信する（Ｓ２１５）。、各端末と端末シミュレータ内の仮想端末は、図１３における、「要求応答フラグ１０１＝収集応答」の試験結果収集１００を擬似攻撃管理装置５１へ応答する（Ｓ２１６）。擬似攻撃管理装置５１は、時刻経過とともに各端末と端末シミュレータ内の仮想端末の感染状態を取得する。
【００６９】
以上のように、ネットワーク型ワームの攻撃の特徴を加味して感染した端末の分布を時間経過とともに検証し、ネットワークワームの免疫駆除した端末の分布を時間経過とともに検証するようにしているので、ネットワーク構成の違いによる伝播状況の試験結果から伝播の広がりが遅く被害が最小となるネットワーク構成を実際のネットワークに適用することができ、ネットワークのセキュリティを強化（設定変更やネットワーク構成変更）することができる。
【００７０】
以上の実施の形態では、以下の手段を備えたネットワークの擬似攻撃生成方式を説明した。
（ａ）ネットワーク型ウィルスやネットワーク型ワームに擬似的に感染した状態の端末が擬似攻撃データを生成し、他の端末へ擬似攻撃データを送信する手段；
（ｂ）他の端末から擬似攻撃データを受信すると感染した状態へ遷移し、上記（ａ）の擬似攻撃を開始する手段；
（ｃ）管理装置が各端末の感染状態を収集するデータを送信し、各端末が感染状態の記録を管理装置へ返す手段；
【００７１】
以上の実施の形態では、以下の手段を備えたネットワークの擬似攻撃生成方式を説明した。
（ａ）擬似攻撃データによる感染の開始後一定時間経過後、各端末は管理装置からの指示あるいは人の指示により、擬似のプログラム更新サーバへ擬似プログラム更新データ（更新要求）を送信する手段；
（ｂ）プログラム更新データ（更新要求）を受信したプログラム更新サーバは擬似プログラム更新データ（更新要求）を応答する手段；
（ｃ）擬似プログラム更新データ（更新要求）を受信した端末はプログラムが更新された状態へ遷移する手段；
【００７２】
以上の実施の形態では、以下の手段を備えたネットワークの擬似攻撃生成方式を説明した。
（ａ）擬似攻撃データによる感染の開始後一定時間経過後、擬似プログラム更新サーバは擬似プログラム更新データ（更新要求）を予め決められた各端末へ送信する手段；
（ｂ）擬似プログラム更新データ（更新要求）を受信した端末はプログラムが更新された状態へ遷移する手段；
【００７３】
以上の実施の形態では、以下の手段を備えたネットワークの擬似攻撃生成方式を説明した。
（ａ）擬似攻撃データによる感染の開始後一定時間経過後、各端末は管理装置からの指示あるいは人の指示により、擬似ワームを駆除する手段；
（ｂ）擬似ワームを駆除した端末はワームを駆除した状態へ遷移し、擬似攻撃データを生成し他の端末へ擬似攻撃データの送信を停止する手段；
【図面の簡単な説明】
【００７４】
【図１】実施の形態１における感染シミュレーションシステム１０００の構成を示す図。
【図２】実施の形態１における端末装置３１、管理装置５１等の外観を示す図。
【図３】実施の形態１における端末装置３１、管理装置５１等のハードウェア構成を示す図。
【図４】実施の形態１における感染シミュレーションシステム１０００のＩＰアドレス構成を示す図。
【図５】実施の形態１における端末３１の構成ブロック図。
【図６】実施の形態１における端末シミュレータ４１の構成ブロック図。
【図７】実施の形態１における端末の状態遷移を示す図。
【図８】実施の形態１における感染シミュレーションシステム１０００のシーケンスを示す図。
【図９】実施の形態１におけるワーム攻撃データ６０を示す図。
【図１０】実施の形態１におけるプログラム更新指示７０を示す図。
【図１１】実施の形態１における修正プログラム更新データ８０を示す図。
【図１２】実施の形態１におけるワーム駆除指示９０を示す図。
【図１３】実施の形態１における試験結果収集１００を示す図。
【図１４】実施の形態１における試験結果データ１０２の例を示す図。
【図１５】実施の形態２における感染シミュレーションシステム１０００のシーケンスを示す図。
【符号の説明】
【００７５】
Ａ 組織、１ 外部ネットワーク、１１ ファイアウォール、１２，１３ ルータ、２１ サーバ、２２ ｐｒｏｘｙサーバ、２３ 擬似攻撃用パッチサーバ、３１，３２，３３，３４ 端末、４１，４２ 端末シミュレータ、５１ 擬似攻撃管理装置、６０ ワーム攻撃データ、６１ ＭＡＣヘッダ、６２ ＩＰヘッダ、６３ ＴＣＰヘッダ、６４ コマンドコード、６５ ワーム種別、７０ プログラム更新指示、８０ 修正プログラム更新データ、８１ 更新要求通知フラグ、９０ ワーム駆除指示、１００ 試験結果収集、１０１ 要求応答フラグ、１０２ 試験結果データ、３１１ ＬＡＮ制御部、３１２ プロトコルスタック、３１３ 擬似攻撃プログラム、４１１ ＬＡＮ制御部、４１２ プロトコルスタック、４１３ 端末シミュレータ用擬似攻撃プログラム、８１０ ＣＰＵ、８１１ ＲＯＭ、８１２ ＲＡＭ、８１３ 表示装置、８１４ Ｋ／Ｂ、８１５ マウス、８１６ 通信ボード、８１７ ＦＤＤ、８１８ ＣＤＤ、８１９ プリンタ装置、８２０ 磁気ディスク装置、８２１ ＯＳ、８２２ ウィンドウシステム、８２３ プログラム群、８２４ ファイル群、８２５ バス、８３０ システムユニット、１０００ 感染シミュレーションシステム。
【特許請求の範囲】
【請求項１】
不正プログラムによる感染シミュレーションの対象となる擬似ネットワークを構成する複数の端末装置と、前記複数の端末装置の感染状態を管理する管理装置とを備えた感染シミュレーションシステムにおいて、
前記複数の端末装置のそれぞれは、
前記不正プログラムを模擬する擬似攻撃データを受信すると未感染の状態から前記不正プログラムに感染した状態に遷移して前記不正プログラムを模擬する新たな擬似攻撃データを生成し、生成した前記新たな擬似攻撃データを所定の規則にしたがって自装置以外の少なくとも１台の前記端末装置に送信するとともに、感染状態の確認を求める感染状態確認要求を受信すると前記感染状態確認要求に応答して自装置の遷移履歴を返信し、
前記管理装置は、
前記感染状態確認要求を生成し、生成した前記感染状態確認要求をそれぞれの前記端末装置に送信するとともに、それぞれの前記端末装置から前記感染状態確認要求に応答する前記端末装置の前記遷移履歴を受信することを特徴とする感染シミュレーションシステム。
【請求項２】
前記端末装置が前記新たな擬似攻撃データを送信する場合の前記所定の規則は、
前記端末装置が受信した前記擬似攻撃データに応じて定まることを特徴とする請求項１記載の感染シミュレーションシステム。
【請求項３】
前記感染シミュレーションシステムは、さらに、
更新プログラムを模擬する擬似プログラム更新データを要求する更新データ要求に応答して前記擬似プログラム更新データを送信する擬似プログラム更新サーバを備え、
前記複数の端末装置のそれぞれは、
前記更新データ要求の送信を指示する送信指示を受け付け、前記送信指示を受け付けると、受け付けた前記送信指示にしたがって前記更新データ要求を前記擬似プログラム更新サーバに送信し、
前記擬似プログラム更新サーバは、
前記更新データ要求を受信すると、受信した前記更新データ要求に応答して前記擬似プログラム更新データを前記更新データ要求を送信した前記端末装置である要求端末に送信し、
前記要求端末は、
前記擬似プログラム更新サーバから前記擬似プログラム更新データを受信すると、感染状態からプログラムが更新された状態に遷移するとともに、前記管理装置から前記感染状態確認要求を受信した場合には、自装置の前記遷移履歴に、前記プログラムが更新された状態を含めて返信することを特徴とする請求項１記載の感染シミュレーションシステム。
【請求項４】
前記感染シミュレーションシステムは、さらに、
更新プログラムを模擬する擬似プログラム更新データを前記複数の端末装置のうち予め定められた所定の端末装置に送信する擬似プログラム更新サーバを備え、
前記予め定められた所定の端末装置は、
前記擬似プログラム更新サーバから前記擬似プログラム更新データを受信すると、感染状態からプログラムが更新された状態に遷移するとともに、前記管理装置から前記感染状態確認要求を受信した場合には、自装置の前記遷移履歴に、前記プログラムが更新された状態を含めて返信することを特徴とする請求項１に記載の感染シミュレーションシステム。
【請求項５】
前記複数の端末装置のそれぞれは、
前記不正プログラムの駆除を指令する駆除指令を受け付け、前記駆除指令を受け付けると、感染状態から前記不正プログラムが駆除された状態に遷移するとともに、前記管理装置から前記感染状態確認要求を受信した場合には、自装置の前記遷移履歴に、前記不正プログラムが駆除された状態を含めて返信することを特徴とする請求項１記載の感染シミュレーションシステム。
【請求項６】
不正プログラムによる感染シミュレーションの対象となる擬似ネットワークを構成するコンピュータである端末装置に以下の処理を実行させる擬似感染プログラム
（１）不正プログラムを模擬する擬似攻撃データの受信を契機として、未感染の状態から前記不正プログラムに感染した状態に遷移して前記不正プログラムを模擬する新たな擬似攻撃データを生成する処理
（２）前記擬似攻撃データの受信を契機として前記新たな擬似攻撃データを生成した場合に前記新たな擬似攻撃データを所定の規則にしたがって前記擬似ネットワークを構成する他の複数の端末装置のうち少なくとも１台の端末装置に送信するとともに、感染状態の確認を求める感染状態確認要求を受信すると前記感染状態確認要求に応答して自装置の遷移履歴を返信する処理
【請求項１】
不正プログラムによる感染シミュレーションの対象となる擬似ネットワークを構成する複数の端末装置と、前記複数の端末装置の感染状態を管理する管理装置とを備えた感染シミュレーションシステムにおいて、
前記複数の端末装置のそれぞれは、
前記不正プログラムを模擬する擬似攻撃データを受信すると未感染の状態から前記不正プログラムに感染した状態に遷移して前記不正プログラムを模擬する新たな擬似攻撃データを生成し、生成した前記新たな擬似攻撃データを所定の規則にしたがって自装置以外の少なくとも１台の前記端末装置に送信するとともに、感染状態の確認を求める感染状態確認要求を受信すると前記感染状態確認要求に応答して自装置の遷移履歴を返信し、
前記管理装置は、
前記感染状態確認要求を生成し、生成した前記感染状態確認要求をそれぞれの前記端末装置に送信するとともに、それぞれの前記端末装置から前記感染状態確認要求に応答する前記端末装置の前記遷移履歴を受信することを特徴とする感染シミュレーションシステム。
【請求項２】
前記端末装置が前記新たな擬似攻撃データを送信する場合の前記所定の規則は、
前記端末装置が受信した前記擬似攻撃データに応じて定まることを特徴とする請求項１記載の感染シミュレーションシステム。
【請求項３】
前記感染シミュレーションシステムは、さらに、
更新プログラムを模擬する擬似プログラム更新データを要求する更新データ要求に応答して前記擬似プログラム更新データを送信する擬似プログラム更新サーバを備え、
前記複数の端末装置のそれぞれは、
前記更新データ要求の送信を指示する送信指示を受け付け、前記送信指示を受け付けると、受け付けた前記送信指示にしたがって前記更新データ要求を前記擬似プログラム更新サーバに送信し、
前記擬似プログラム更新サーバは、
前記更新データ要求を受信すると、受信した前記更新データ要求に応答して前記擬似プログラム更新データを前記更新データ要求を送信した前記端末装置である要求端末に送信し、
前記要求端末は、
前記擬似プログラム更新サーバから前記擬似プログラム更新データを受信すると、感染状態からプログラムが更新された状態に遷移するとともに、前記管理装置から前記感染状態確認要求を受信した場合には、自装置の前記遷移履歴に、前記プログラムが更新された状態を含めて返信することを特徴とする請求項１記載の感染シミュレーションシステム。
【請求項４】
前記感染シミュレーションシステムは、さらに、
更新プログラムを模擬する擬似プログラム更新データを前記複数の端末装置のうち予め定められた所定の端末装置に送信する擬似プログラム更新サーバを備え、
前記予め定められた所定の端末装置は、
前記擬似プログラム更新サーバから前記擬似プログラム更新データを受信すると、感染状態からプログラムが更新された状態に遷移するとともに、前記管理装置から前記感染状態確認要求を受信した場合には、自装置の前記遷移履歴に、前記プログラムが更新された状態を含めて返信することを特徴とする請求項１に記載の感染シミュレーションシステム。
【請求項５】
前記複数の端末装置のそれぞれは、
前記不正プログラムの駆除を指令する駆除指令を受け付け、前記駆除指令を受け付けると、感染状態から前記不正プログラムが駆除された状態に遷移するとともに、前記管理装置から前記感染状態確認要求を受信した場合には、自装置の前記遷移履歴に、前記不正プログラムが駆除された状態を含めて返信することを特徴とする請求項１記載の感染シミュレーションシステム。
【請求項６】
不正プログラムによる感染シミュレーションの対象となる擬似ネットワークを構成するコンピュータである端末装置に以下の処理を実行させる擬似感染プログラム
（１）不正プログラムを模擬する擬似攻撃データの受信を契機として、未感染の状態から前記不正プログラムに感染した状態に遷移して前記不正プログラムを模擬する新たな擬似攻撃データを生成する処理
（２）前記擬似攻撃データの受信を契機として前記新たな擬似攻撃データを生成した場合に前記新たな擬似攻撃データを所定の規則にしたがって前記擬似ネットワークを構成する他の複数の端末装置のうち少なくとも１台の端末装置に送信するとともに、感染状態の確認を求める感染状態確認要求を受信すると前記感染状態確認要求に応答して自装置の遷移履歴を返信する処理
【図１】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【図１０】
【図１１】
【図１２】
【図１３】
【図１４】
【図１５】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【図１０】
【図１１】
【図１２】
【図１３】
【図１４】
【図１５】
【公開番号】特開２００８−１０７８６９（Ｐ２００８−１０７８６９Ａ）
【公開日】平成２０年５月８日（２００８．５．８）
【国際特許分類】
【出願番号】特願２００６−２８７１３３（Ｐ２００６−２８７１３３）
【出願日】平成１８年１０月２３日（２００６．１０．２３）
【出願人】（０００００６０１３）三菱電機株式会社 (33,312)
【Ｆターム（参考）】
【公開日】平成２０年５月８日（２００８．５．８）
【国際特許分類】
【出願日】平成１８年１０月２３日（２００６．１０．２３）
【出願人】（０００００６０１３）三菱電機株式会社 (33,312)
【Ｆターム（参考）】
[ Back to top ]