通信遮断装置、通信遮断プログラム
【課題】不正な通信を行う通信端末から送信された通信データを他の通信端末に送信させないようにすることで、不正な通信を行う通信端末の拡大を防止する。
【解決手段】感染端末１Ａが不正な通信をしたことがワーム検知装置６で検知された場合に、ワーム遮断装置８は、当該感染端末１Ａのデータリンク層又はネットワーク層の通信アドレスを取得し、感染端末１Ａから、通信端末１Ｂと通信をする際に必要となるデータリンク層又はネットワーク層の通信アドレスを通知する要求を検知したことに対して、感染端末１Ａ宛に、自己の通信アドレス又は予め設定された他の通信装置のアドレスを感染端末１Ａに通知する。
【解決手段】感染端末１Ａが不正な通信をしたことがワーム検知装置６で検知された場合に、ワーム遮断装置８は、当該感染端末１Ａのデータリンク層又はネットワーク層の通信アドレスを取得し、感染端末１Ａから、通信端末１Ｂと通信をする際に必要となるデータリンク層又はネットワーク層の通信アドレスを通知する要求を検知したことに対して、感染端末１Ａ宛に、自己の通信アドレス又は予め設定された他の通信装置のアドレスを感染端末１Ａに通知する。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、端末がワームに感染していることが検知された場合に、当該感染を他の端末に拡大されることを防止する通信遮断装置、通信遮断プログラムに関する。
【背景技術】
【０００２】
従来より、ワーム検知技術としては、既知のウィルスについて定義ファイルと呼ばれる特徴情報を記述したデータを予め用意しておき、ウィルスに感染している可能性のあるファイルと定義ファイルとをパターンマッチングするものが知られている。この定義ファイルは、コンピュータウイルスに感染したファイルや、ネットワーク上で自己複製を繰り返すワームプログラムの特徴を収録したファイルであって、アンチウィルスソフト(ワクチンソフト)がコンピュータウイルスやワームを検出するために、定義ファイル内に収録された各ウイルスのパターンが検査対象のファイルと照合されて、パターンとの一致が見られるとそのファイルがウイルスに感染していると判断する。
【０００３】
また、従来から知られているウィルスの一種であるワーム対策としては、例えば、下記の非特許文献１に記載されているようなものも挙げられる。
【０００４】
このようなワーム（ウィルス）の検知技術によって感染端末を検知すると、従来においては、当該感染端末のアドレス情報などをネットワーク管理者に通知している。
【非特許文献１】http://www.nttdata.co.jp/netcom/pdf/nc04_ss_03.pdf
【発明の開示】
【発明が解決しようとする課題】
【０００５】
上述したように感染端末をネットワーク管理者に通知した後には、ネットワーク内の他の端末へのワーム感染を防ぐために、感染端末の通信を遮断又は制限する必要がある。しかしながら、感染端末によるワームの拡大活動を完全に停止させて拡大を防止することができないのが現状である。
【０００６】
例えばワーム検知装置が感染端末の通信データのコピーを受信して、当該通信データに該当する通信データを監視している場合には、当該ワーム検知装置によって通信を遮断できない。また、ワームが複数の感染手段を持っている場合、ワーム検知装置が感染端末を検知した後に、感染端末の特定種類の通信データを遮断しても、他の手段によって感染拡大させる通信データが送信されてしまう場合がある。したがって、ワーム検知装置のみでは、ワームの感染活動を完全に止めることはできないのが現状であり、ワームの感染活動を検知して感染端末を特定した後、ワームの感染活動を防ぐ手段がワーム検知装置とは別に必要となる。
【０００７】
そこで、本発明は、上述した実情に鑑みて提案されたものであり、不正な通信を行う通信端末から送信された通信データを他の通信端末に送信させないようにすることで、不正な通信を行う通信端末の拡大を防止できる通信遮断装置、通信遮断プログラムを提供することを目的とする。
【課題を解決するための手段】
【０００８】
本発明は、不正な通信を検知する不正通信検知手段によって、ネットワークに接続された通信端末が不正な通信をしたことが検知された場合に、当該通信端末が他の通信端末と通信することを遮断する通信遮断装置であって、上述の課題を解決するために、不正通信検知手段から、当該不正な通信を行った通信端末のデータリンク層又はネットワーク層の通信アドレスを取得するアドレス取得手段と、不正な通信を行った通信端末から、他の通信端末と通信をする際に必要となる当該他の通信端末のデータリンク層又はネットワーク層の通信アドレスを通知する要求を検知したことに対して、又は、前記不正な通信が検知されたことに対して、アドレス取得手段によって取得した通信アドレス宛に、自己の通信アドレス又は予め設定された他の通信装置のアドレスを不正な通信を行った通信端末に通知するアドレス通知手段とを備える。
【０００９】
本発明は、不正な通信を検知する不正通信検知モジュールによって、ネットワークに接続された通信端末が不正な通信をしたことが検知された場合に、当該通信端末が他の通信端末と通信することを遮断する機能をコンピュータに実装させる通信遮断プログラムであって、上述の課題を解決するために、不正通信検知モジュールから、当該不正な通信を行った通信端末のデータリンク層又はネットワーク層の通信アドレスを取得するアドレス取得機能と、不正な通信を行った通信端末から、他の通信端末と通信をする際に必要となるデータリンク層又はネットワーク層の通信アドレスを通知する要求を検知したことに対して、又は、不正な通信が検知されたことに対して、アドレス取得機能によって取得した通信アドレス宛に、自己の通信アドレス又は予め設定された他の通信装置のアドレスを通知するアドレス通知機能とをコンピュータに実装させる。
【発明の効果】
【００１０】
本発明に係る通信遮断装置、通信遮断プログラムによれば、不正な通信を行った通信端末のデータリンク層又はネットワーク層の通信アドレスを取得し、不正な通信を行った通信端末から、他の通信端末と通信をする際に必要となる当該他の通信端末のデータリンク層又はネットワーク層の通信アドレスを通知する要求を検知したことに対して、又は、不正な通信が検知されたことに対して、取得した通信アドレス宛に、自己の通信アドレス又は予め設定された他の通信装置のアドレスを不正な通信を行った通信端末に通知するので、不正な通信を行った通信端末によって正しいアドレスを取得することを防止でき、不正な通信を遮断でき、不正な通信を行う通信端末の拡大を防止できる。
【発明を実施するための最良の形態】
【００１１】
以下、本発明の実施の形態について図面を参照して説明する。
【００１２】
本発明は、例えば図１に示すように、通信端末１Ａ、１Ｂが、複数の中継装置であるスイッチ２，ルータ３，スイッチ４を介してウェブサーバ等のサーバ５に接続する通信システムにおいて、ワーム検知装置６及び管理装置７（不正通信検知手段）でワームによる不正な通信の検知がなされたことが通知された場合に、当該ワームによる感染活動を遮断するワーム遮断装置８に適用される。この実施形態では、例えば通信端末１Ａがワームに感染してしまい、通信端末１Ａ（以下、感染端末１Ａと呼ぶ。）から送信される不正な通信データを遮断する場合について説明する。
【００１３】
このワーム遮断装置８は、先ず不正な通信を行った感染端末１Ａのデータリンク層又はネットワーク層のアドレスを管理装置７から取得しておき、当該感染端末１Ａから、他の通信端末１Ｂと通信をする際に必要となる当該通信端末１Ｂのデータリンク層又はネットワーク層の通信アドレスを通知する要求を検知したことに対して、又は、不正な通信が検知されたことに対して、感染端末１Ａの通信アドレス宛に、自己の通信アドレス又は予め設定された通信端末１Ｂとも異なる他の通信装置のアドレスを通知することを特徴とするものである。このようなアドレス取得手段、アドレス通知手段を有することにより、ワーム遮断装置８は、感染端末１Ａが通信をしたい通信相手を偽装した通知を行い、感染端末１Ａが非感染の通信相手と通信することを遮断する。
【００１４】
このような通信システムにおいて、感染端末１Ａのワームの動作としては、サーバ５に対するポートスキャン、サーバ５や通信端末１Ｂに対する不正パケットの送信、通信端末１Ｂに対するウィルスを添付ファイルとして含む不正なメールの送信などが挙げられる。ここで、サーバ５としては、ウェブサーバのみならず、メールサーバも挙げられる。
【００１５】
例えば、感染端末１Ａから送信された不正な通信データＳ１は、サーバ５のＩＰアドレスを宛先とし、スイッチ２、ルータ３及びスイッチ４を経由して、サーバ５に送信される。すると、ワーム検知装置６は、スイッチ４を通過する通信データＳ１をコピーした通信データＳ２を取得し、当該コピーした通信データＳ２が不正な通信データであるか否かを判定する。ワーム検知装置６は、コピーした通信データＳ２から、感染端末１Ａの特有の振る舞いを検知することによって、感染端末１Ａがワームに感染しているかを検知する。例えば、感染端末１Ａから直接的にネームサービスを受けるＭＸレコードを含む通信データＳ２を検知した場合や、感染していない通信端末１Ｂなどであれば送信されない宛先を含む通信データＳ２を検知した場合に、当該通信データＳ２を送信した感染端末１Ａを検知する。そして、ワーム検知装置６は、通信データＳ２に含まれるＩＰアドレスを取得し、感染端末１ＡのＩＰアドレスを含むワーム検知報告メッセージＳ３を管理装置７に通知する。
【００１６】
具体的には、ワーム検知装置６は、通信データＳ２に含まれるアプリケーションデータの種類を指定するポート番号を取得し、当該ポート番号がホスト名をネットワーク層アドレスに変換するネームサービスのアプリケーションを示すものであり、且つ、当該通信データＳ２のアプリケーションデータに、メールサーバのネットワーク層アドレスを問い合わせるデータが含まれている場合に、不正にメールサーバにアクセスしようとしている感染端末１Ａを検知できる。更に他の具体例を挙げると、ワーム検知装置６は、コンピュータウィルスによって、不正な通信データが配信されることを検知するために、感染端末１Ａに予め正規の設定情報に加えて、ダミーの設定情報を記憶させておき、ワームによる動作によって、ダミーの設定情報を用いて通信データを作成されて送信された場合には、感染端末１Ａがワームに感染していることを判断できる。
【００１７】
管理装置７は、ネットワーク管理者が運営するサーバであり、ワーム検知装置６からのワーム検知報告メッセージＳ３を受けて、当該ワーム検知報告メッセージＳ３に含まれる感染端末１ＡのＩＰアドレスを蓄積すると共に、ネットワーク管理者に通知する。管理装置７は、ワーム検知報告メッセージＳ３を受信したことに応じて、感染端末１ＡのＩＰアドレスを含む通信遮断命令Ｓ４をワーム遮断装置８に通知する。
【００１８】
ワーム遮断装置８は、感染端末１ＡのＩＰアドレスを含む通信遮断命令Ｓ４が管理装置７から通知されると、当該ＩＰアドレスを宛先とし、感染端末１Ａがサーバ５や通信端末１Ｂなどにワームの感染を拡大させないための通信データＳ５を感染端末１Ａに送信できる状態となる。ワーム遮断装置８は、図２に示すように、通信データを送信する通信端末である送信端末１Ａと、当該通信データを受信する受信端末１Ｂとの間で通信をする場合に、送信端末１ＡがＤＮＳ（Domain Name System）サーバ（図示せず）にアクセスして受信端末１Ｂのホスト名からＩＰアドレスを取得する処理（図３のステップＳＴ１）、ＩＣＭＰ（Internet Control Message Protocol）の仕組みにおけるＩＣＭＰ Ｒｅｄｉｒｅｃｔメッセージを利用して、受信端末１ＢのＩＰアドレスから適切なルータのＩＰアドレスを取得する処理（図３のステップＳＴ２）、ＡＲＰ（Address Resolution Protocol）の仕組みを利用して通信相手のＩＰアドレスからＭＡＣアドレスを取得する処理（図３のステップＳＴ３）の何れかによって、ワームによって感染した送信端末１Ａの通信データを遮断又は誘導して、不正な通信を遮断する。
【００１９】
つぎに、上述した感染端末１Ａの動作に応じて、当該感染端末１Ａの不正な通信を遮断する処理について説明する。
【００２０】
先ず、感染端末１Ａが実在のＤＮＳサーバであるサーバ５にアクセスして、通信端末１Ｂや、ワームの感染状況を管理するサーバ等の他の通信装置のＩＰアドレスを取得する活動を遮断する処理について、図４及び図５を参照して説明する。
【００２１】
ワーム遮断装置８は、図４に示すように、感染端末１Ａからルータ３を介して、ＤＮＳサーバであるサーバ５（図示せず）にネームサービスの要求が送信されると、ルータ３で中継される要求をコピーして受信する。ここで、感染端末１Ａが通信相手としたい通信端末１Ｂの端末名（ホスト名）が「host1.sample.com」、ＩＰアドレスが「10.20.30.40」であり、ワーム遮断装置８の端末名（ホスト名）が「wormfw.sample.com」であり、ＩＰアドレスが「192.168.1.1」である場合、ワーム遮断装置８は、自己のＩＰアドレスを、通信端末１Ｂのホスト名に対応したＩＰアドレスとして感染端末１Ａに通知する。すなわち、ワーム遮断装置８は、偽装ＤＮＳサーバとなって、感染端末１Ａが要求した通信端末１ＢのＩＰアドレスを通知しないようにして、感染端末１Ａから通信端末１Ｂへの通信を遮断する。また、ワーム遮断装置８は、自己のＩＰアドレスを感染端末１Ａに通知することによって、感染端末１Ａからの通信データを自己に誘導できる。
【００２２】
このようなワーム遮断装置８は、その内部概略構成を図５に示すように、基本ソフトウェアと通信制御アプリケーションがインストールされることによって、基本ソフトウェア処理部１１と、通信制御アプリケーション処理部１２とを備えて構成されている。
【００２３】
基本ソフトウェア処理部１１は、ネットワークと接続された通信インターフェース部２１とＴＣＰ（Transmission Control Protocol）／ＩＰ（Internet Protocol）通信制御部２２とを備える。基本ソフトウェア処理部１１は、スイッチ２やルータ３等を介してネットワークから通信データを通信インターフェース部２１で受信すると、ＴＣＰ／ＩＰ通信制御部２２によって、ＴＣＰヘッダのポート番号に応じて通信制御アプリケーション処理部１２に通信データを渡す。また、基本ソフトウェア処理部１１は、通信制御アプリケーション処理部１２からアプリケーションデータが渡されると、ＴＣＰ／ＩＰ通信制御部２２によって、当該アプリケーションデータにＴＣＰヘッダ及びＩＰヘッダを付加して、通信インターフェース部２１からネットワークに送信させる。
【００２４】
ワーム遮断装置８は、図１におけるスイッチ２を通過する通信データをコピーして傍受するように配置されて、基本ソフトウェア処理部１１で受信できるようになっている。ＴＣＰ／ＩＰ通信制御部２２は、受信した通信データのうち管理装置７からの通信遮断命令Ｓ４、及び、トランスポート層プロトコルがＵＤＰ又はＴＣＰであってトランスポート層ヘッダにＤＮＳサーバにＩＰアドレスを問い合わせるサービスを表すポート番号が格納されている通信データを通信制御アプリケーション処理部１２に渡す。
【００２５】
通信制御アプリケーション処理部１２は、ワーム遮断装置８がＤＮＳサーバに偽装して、感染端末１Ａの通信を遮断又は誘導するための処理を行う。通信制御アプリケーション処理部１２は、感染端末情報受信部２３と、感染端末情報リスト２４と、偽装ＤＮＳメッセージ生成部２５とを備える。
【００２６】
通信制御アプリケーション処理部１２は、基本ソフトウェア処理部１１によって管理装置７からの通信遮断命令Ｓ４を受信した場合に、通信遮断命令Ｓ４を感染端末情報受信部２３で受信する。感染端末情報受信部２３は、通信遮断命令Ｓ４を受け取ると、通信遮断命令Ｓ４に含まれる感染端末１ＡのＩＰアドレスを感染端末情報リスト２４に格納する。
【００２７】
感染端末情報リスト２４は、記憶媒体に格納されたリストデータであり、感染端末情報受信部２３からのＩＰアドレスをワームに感染したＩＰアドレスとしてリスト化してなる。この感染端末情報リスト２４は、感染端末１ＡのＩＰアドレスに、当該感染端末１ＡのＭＡＣアドレス、時刻情報などが対応付けられる。
【００２８】
偽装ＤＮＳメッセージ生成部２５は、トランスポート層プロトコルがＵＤＰ又はＴＣＰであり、且つトランスポート層ヘッダにＤＮＳサーバにＩＰアドレスを問い合わせるサービスを表すポート番号が格納されている通信データがＴＣＰ／ＩＰ通信制御部２２から渡される。偽装ＤＮＳメッセージ生成部２５は、当該通信データを監視することによって、感染端末情報リスト２４にＩＰアドレスが格納された感染端末１Ａが、実在するＤＮＳサーバにホスト名からＩＰアドレスを問い合わせる要求を含む通信データ、又は、不正な通信に関わる通信データを送信したか否かを監視する。そして、偽装ＤＮＳメッセージ生成部２５は、当該ＤＮＳサーバによるサービスを受ける通信データ又は不正な通信に関わる通信データの送信元ＩＰアドレスが、感染端末情報リスト２４に格納されたＩＰアドレスと合致した場合には、偽装したＤＮＳサーバの応答パケットを生成する。このとき、偽装ＤＮＳメッセージ生成部２５は、ＤＮＳサーバの応答パケットとして、アプリケーションデータ格納領域に、自己のＩＰアドレス又は予め設定された他の通信装置のＩＰアドレスを格納して、ＴＣＰ／ＩＰ通信制御部２２に渡す。
【００２９】
また、基本ソフトウェア処理部１１は、通信制御アプリケーション処理部１２の制御にしたがって、ＤＮＳサーバの応答パケットであることを示すトランスポート層ヘッダのポート番号を格納し、ＩＰアドレスの宛先を感染端末１Ａとした通信データを作成して、ネットワークに送信する。
【００３０】
このように、ワーム遮断装置８によれば、感染端末１ＡのＩＰアドレスを含み、ホスト名からＩＰアドレスを問い合わせＤＮＳの通信データ、又は、不正な通信に関わる通信データを受信した場合、当該通信データに含まれるホスト名に拘わらず、偽のＩＰアドレスとして自己のＩＰアドレスを応答するので、感染端末１Ａによって正しいＩＰアドレスを取得することを防止でき、ＤＮＳを利用した通信を遮断できる。また、感染端末１ＡからのＤＮＳの問い合わせ、又は、不正な通信に対して、ワーム遮断装置８自身のＩＰアドレスではなく、ワームの感染状況を管理するサーバなどの他の通信装置のＩＰアドレスをＤＮＳの応答とすることによって、感染端末１Ａの通信先を当該他の通信装置に誘導することができる。これによって、感染端末１Ａによる感染の拡大を防止できる。
【００３１】
なお、上述の偽装したＤＮＳサーバとして振る舞うワーム遮断装置８の設置場所としては、通信の傍受さえできればブリッジ型、スイッチ型、ルータ型、横付け型のいずれの形態でも良い。ただし、通信端末間を接続する通信線、又は、通信端末間で通信される通信データを中継するスイッチ２等の中継装置に接続され、当該通信線又は中継装置を通過する通信データを監視する横付け機器としてワーム遮断装置８を構成する場合には、感染端末１Ａの後述の偽装したＩＣＭＰ Ｒｅｄｉｒｅｃｔメッセージを利用する技術又は後述の偽装したＡＲＰメッセージを利用する技術を用いることで、感染端末１Ａの通信をワーム遮断装置８に誘導する必要がある。また、図１においてはスイッチ２を介して感染端末１Ａとワーム遮断装置８とが同一のサブネット（セグメント）に接続されている例を示しているが、別のサブネットに配置されていても、偽装したＤＮＳサーバとして動作して感染端末１Ａの通信を遮断できる。
【００３２】
次に、感染端末１Ａに、ネットワークにおいて最適な通信経路による通信を要求する経路変更要求通知（ＩＣＭＰ Ｒｅｄｉｒｅｃｔメッセージ）に対して、又は、不正な通信に関わる通信データに対して、自己の通信アドレス又は予め設定された他の通信装置のアドレスを通知する処理について、図６及び図７を参照して説明する。なお、上述と同様の部分については、同一符号を付することによって、その詳細な説明を省略する。
【００３３】
このＩＣＭＰ Ｒｅｄｉｒｅｃｔメッセージは、通信端末の通信経路にゲートウェイルータが２台以上存在するネットワークにおいて、最適なゲートウェイルータを通信端末に通知するためのメッセージである。ワーム遮断装置８は、このＩＣＭＰ Ｒｅｄｉｒｅｃｔメッセージを利用して、感染端末１Ａの通信を遮断又は誘導することによって、感染端末１Ａによる感染の拡大を防止する。
【００３４】
このＩＣＭＰ Ｒｅｄｉｒｅｃｔメッセージを感染端末１Ａで受信すると、感染端末１Ａは、当該ＩＣＭＰ Ｒｅｄｉｒｅｃｔメッセージに含まれる最適経路のゲートウェイルータのＩＰアドレスに通信データの送信を行うように自己のルーティングテーブルを変更する。このような動作を利用して、ワーム遮断装置８は、自己のＩＰアドレス又は他の通信装置のＩＰアドレスをＩＣＭＰ Ｒｅｄｉｒｅｃｔメッセージに含めて、自己又は他の通信装置に感染端末１Ａからの通信データを誘導する。
【００３５】
このワーム遮断装置８は、図６に示すように、感染端末１Ａとスイッチ２を介して同一セグメント（同一サブネット）に設置されおり、管理装置７から通信遮断命令Ｓ４を受信して、感染端末１ＡのＩＰアドレスを取得して、図７の感染端末情報リスト２４に追加する。ここで、感染端末１Ａには、デフォルトゲートウェイとして、ルータ３のＩＰアドレスが設定されている。
【００３６】
これに対し、ワーム遮断装置８は、ＩＣＭＰ Ｒｅｄｉｒｅｃｔメッセージに、偽のＩＰアドレスとして自己のＩＰアドレス又は他の通信装置のＩＰアドレスを格納して、感染端末１Ａに送信して、最適経路における偽装のゲートウェイルータとなる。この処理は、図７に示す偽装ＩＣＭＰ Ｒｅｄｉｒｅｃｔ生成部３１によって行われる。
【００３７】
偽装ＩＣＭＰ Ｒｅｄｉｒｅｃｔ生成部３１は、予め設定した時間間隔ごとに、管理装置７からの通信遮断命令Ｓ４に含まれるＩＰアドレスが感染端末情報リスト２４に追加されたかを判定して、新たなＩＰアドレスが追加された場合に、当該感染端末１ＡのＩＰアドレスを宛先とし、自己のＩＰアドレス又は他の通信装置のＩＰアドレスを含む偽装したＩＣＭＰ Ｒｅｄｉｒｅｃｔメッセージを生成する。これによって、例えば感染端末１Ａに、最適経路のゲートウェイルータのＩＰアドレスが自己のＩＰアドレス「１９２．１６８．１．１」であることを通知して、感染端末１Ａのルーティングテーブルを更新させて、以降の感染端末１Ａからの通信データを自己に誘導できる。
【００３８】
また、ワーム遮断装置８は、特定のＩＰアドレスだけに対するゲートウェイルータを偽のＩＰアドレスにするようにＩＣＭＰ Ｒｅｄｉｒｅｃｔメッセージを感染端末１Ａに送信しても良い。例えば、感染端末１Ａが重要なサーバに対して通信するために必要なゲートウェイルータに感染端末１Ａがアクセスしないようにすることができる。
【００３９】
更に、このワーム遮断装置８は、感染端末１ＡのＩＰアドレスが感染端末情報リスト２４に追加されて、当該感染端末１Ａが通信を行ったことを傍受した場合に、当該感染端末１Ａが通信を行おうとしたＩＰアドレスに対するゲートウェイルータを偽のＩＰアドレスにするＩＣＭＰ Ｒｅｄｉｒｅｃｔメッセージを送信しても良い。これによって、感染端末１Ａがネットワークに不正な通信データを送信しても、ゲートウェイルータによって中継されないようにできる。なお、通信装置のＯＳ（Operation System）によっては宛先となるＩＰアドレスを指定していないＩＣＭＰ Ｒｅｄｉｒｅｃｔを受け取らない設定になっているものもある。この場合、ワーム遮断装置８は、感染端末１Ａの通信を予め傍受できる場所に設置されているか、別の手段で感染端末１Ａの通信を自身に誘導できる機能が必要である。ワーム遮断装置８は、感染端末１Ａが新しいＩＰアドレス宛に通信パケットを送信する度に、当該ＩＰアドレス宛の通信パケットのゲートウェイを偽のＩＰアドレスにするためにＩＣＭＰ Ｒｅｄｉｒｅｃｔメッセージを送信する。これによって、感染端末１Ａが通信しようとするゲートウェイルータを偽のＩＰアドレスに随時更新させて、感染端末１Ａからの通信データがゲートウェイルータを通じて外部に送信されることを抑制する。
【００４０】
次に、ワーム遮断装置８によって、感染端末１Ａのネットワーク層の通信アドレスに対応したデータリンク層の通信アドレスを取得しておき、感染端末１Ａから送信された他の通信端末のデータリンク層の通信アドレスを要求するメッセージ、又は、不正な通信を検知したことに対して、自己の通信アドレス又は予め設定された他の通信装置のアドレスを感染端末１Ａに通知する処理ついて、図８及び図９を参照して説明する。なお、上述と同様の部分については、同一符号を付することによって、その詳細な説明を省略する。
【００４１】
このワーム遮断装置８及び感染端末１Ａは、同一ネットワーク内で通信を行うためには、通信相手のＭＡＣアドレスを取得する必要があり、当該ＭＡＣアドレスを取得するためのプロトコルであるＡＲＰを利用して、偽装したＡＲＰに準拠したＡＲＰパケットをワーム遮断装置８によって感染端末１Ａに送信することにより、感染端末１Ａの通信を遮断又は誘導して、感染端末１Ａによる感染の拡大を防止する。
【００４２】
ワーム遮断装置８が感染端末１Ａと同じセグメント（同一サブネット）に設置されている場合において、ワーム遮断装置８によって管理装置７から通信遮断命令Ｓ４が通知されて感染端末情報リスト２４に感染端末１ＡのＩＰアドレスを追加する。この状態において、ワーム遮断装置８は、同一セグメント内の全てのＩＰアドレスについて、当該各ＩＰアドレスに対応するＭＡＣアドレスが偽のＭＡＣアドレスであることを感染端末１Ａに通知するＡＲＰリクエストを定期的に送信する処理、又は、感染端末１ＡからのＡＲＰリクエストに対するＡＲＰリプライに含めるＭＡＣアドレスを偽のＭＡＣアドレスとする。これによって、ワーム遮断装置８は、感染端末１Ａから偽のＭＡＣアドレス宛に感染端末１Ａの通信を誘導できる。
【００４３】
具体的には、図８に示すように、ワーム遮断装置８と感染端末１Ａと通信端末１Ｂとが同一セグメント内に存在する場合において、ワーム遮断装置８は、通信端末１ＢのＩＰアドレス「192.168.10.1」に対応したＭＡＣアドレスが自身のＭＡＣアドレス「AA:AA:AA:AA:AA:AA」であることを通知するＡＲＰリクエストを感染端末１Ａに送信する処理、又は、感染端末１ＡからのＡＲＰリクエストに対して通信端末１ＢのＩＰアドレスに対応したＭＡＣアドレスが自身のＭＡＣアドレス「AA:AA:AA:AA:AA:AA」であることを通知するＡＲＰリプライを感染端末１Ａに送信する。
【００４４】
なお、通常、ＡＲＰに対応した通信装置は、ＩＰアドレスとＭＡＣアドレスとの対応表を持っているが、ＯＳによってＡＲＰリクエストとＡＲＰリプライの何れかを受信したときに対応表が書き換わるかは通信装置によって様々であるが、ＡＲＰプロトコルの性質上、ＡＲＰリクエストを送信した直後に偽造されたＡＲＰリプライを受け取ると、対応表が書き換わるので、感染端末１Ａの対応表を偽のＡＲＰパケットで変更させることができる。
【００４５】
このようなワーム遮断装置８は、図９に示すように、偽装したＡＲＰパケットを生成する偽装ＡＲＰパケット生成部４１を備えている。この偽装ＡＲＰパケット生成部４１は、予め設定した時間間隔ごとに、管理装置７からの通信遮断命令Ｓ４に含まれるＩＰアドレスが感染端末情報リスト２４に追加されたかを判定して、新たなＩＰアドレスが追加された場合に、自己のＭＡＣアドレス又は他の通信装置のＭＡＣアドレスを含む偽装したＡＲＰパケットを生成する。これによって、例えば感染端末１Ａに偽装したＭＡＣアドレスを含むＡＲＰテーブルを作成させて、以降の感染端末１Ａからの通信データを自己又は他の通信装置に誘導できる。
【００４６】
また、このワーム遮断装置８は、ネットワーク負荷を考慮して送信するＡＲＰパケットの数を少なくするために、特定のＩＰアドレスだけに対するＭＡＣアドレスを偽のＭＡＣアドレスにしても良い。例えばゲートウェイルータのＭＡＣアドレスを偽とすることで、感染端末１Ａがサブネット外に不正な通信データを送信すること遮断あるいは制限することができ、感染端末１Ａによる感染活動がサブネットワーク外に拡大することを防止できる。
【００４７】
なお、上述の実施の形態は本発明の一例である。このため、本発明は、上述の実施形態に限定されることはなく、この実施の形態以外であっても、本発明に係る技術的思想を逸脱しない範囲であれば、設計等に応じて種々の変更が可能であることは勿論である。
【００４８】
すなわち、上述したワーム遮断装置８は、スイッチ２と接続されて配置されたものを示したが、これに限らず、図１０に示すように、スイッチ５１、ブリッジ装置５２，ルータ５３，横付け型機器５４に、ワーム遮断装置８と同じ機能を実装させるための通信制御プログラムをインストールしても、上述の不正な通信を行った通信端末による感染活動を遮断するという効果を発揮させることができる。特に、通信装置間を接続する通信線、又は、通信装置間で通信される通信データを中継するスイッチ等の中継装置に接続され、当該通信線又は中継装置を通過する通信データを監視する横付け機器としてワーム遮断装置８を構成する場合には、不正な通信を行った通信端末の通信を遮断する機能をシステムに導入するコスト等を低減できる。
【００４９】
また、上述した実施形態における不正な通信を遮断するため機能は、家電機器群がネットワーク接続されたホームネットワークや、設備装置群がネットワーク接続された設備ネットワークなどにも適用できる。例えば、ホームネットワークに接続されてアプリケーションとしてウェブ機能やメール機能を具備する家電機器がワームに感染した場合であっても、当該家電機器によって不正な通信がなされることを防止することができる。
【００５０】
ここで、ホームネットワークを構築する技術としては、ＥＣＨＯネットの他、エミット（ＥＭＩＴ（Embedded Micro Internetworking Technology））と称される機器組み込み型ネットワーク技術などがあげられる。この組み込み型ネットワーク技術は、ネットワーク機器にＥＭＩＴミドルウェアを組み込んでネットワークに接続できる機能を備え、ＥＭＩＴ技術と称されている。
【００５１】
より具体的には、上述した不正な通信を遮断する機能を有する通信端末、管理装置７、ワーム遮断装置８や、スイッチ２、ルータ３等のネットワーク機器にＥＭＩＴ技術を実現するＥＭＩＴソフトウェアを搭載して、当該ＥＭＩＴソフトウェアを搭載した通信端末や管理装置７、ワーム遮断装置８と、当該端末、中継装置、横付け機器を遠隔で制御又は監視するユーザ機器とをインターネット上に設けられたセンターサーバ（図示せず）を介して通信接続する。このユーザ機器は、例えば、携帯電話、ＰＣ（Personal Computer）、ＰＤＡ（Personal Digital Assistant）、ＰＨＳ（Personal Handy phone System）等の外部端末（図示せず）である。
【図面の簡単な説明】
【００５２】
【図１】本発明を適用したワーム遮断装置を備えた通信システムの一構成例を示すブロック図である。
【図２】通信端末の通信処理を説明するシステム図である。
【図３】通信端末の通信処理を説明するフローチャートである。
【図４】本発明を適用したワーム遮断装置が偽装したＤＮＳサーバとして振る舞う動作を説明するシステム図である。
【図５】本発明を適用したワーム遮断装置が偽装したＤＮＳサーバとして振る舞うための構成を示すブロック図である。
【図６】本発明を適用したワーム遮断装置によって、偽装したＩＣＭＰ Ｒｅｄｉｒｅｃｔメッセージを感染端末に送信する動作を説明するシステム図である。
【図７】本発明を適用したワーム遮断装置が偽装したＩＣＭＰ Ｒｅｄｉｒｅｃｔメッセージを送信するための構成を示すブロック図である。
【図８】本発明を適用したワーム遮断装置によって、偽装したＡＲＰパケットを感染端末に送信する動作を説明するシステム図である。
【図９】本発明を適用したワーム遮断装置が偽装したＡＲＰパケットを送信するための構成を示すブロック図である。
【図１０】本発明を適用したワーム遮断装置が実装される他の形態を説明するための図である。
【符号の説明】
【００５３】
１Ａ 感染端末
１Ａ，１Ｂ 通信端末
２ スイッチ
３ ルータ
４ スイッチ
５ サーバ
６ ワーム検知装置
７ 管理装置
８ ワーム遮断装置
１１ 基本ソフトウェア処理部
１２ 通信制御アプリケーション処理部
２１ 通信インターフェース部
２２ ＴＣＰ／ＩＰ通信制御部
２３ 感染端末情報受信部
２４ 感染端末情報リスト
２５ 偽装ＤＮＳメッセージ生成部
３１ 偽装ＩＣＭＰ Ｒｅｄｉｒｅｃｔ生成部
４１ 偽装ＡＲＰパケット生成部
【技術分野】
【０００１】
本発明は、端末がワームに感染していることが検知された場合に、当該感染を他の端末に拡大されることを防止する通信遮断装置、通信遮断プログラムに関する。
【背景技術】
【０００２】
従来より、ワーム検知技術としては、既知のウィルスについて定義ファイルと呼ばれる特徴情報を記述したデータを予め用意しておき、ウィルスに感染している可能性のあるファイルと定義ファイルとをパターンマッチングするものが知られている。この定義ファイルは、コンピュータウイルスに感染したファイルや、ネットワーク上で自己複製を繰り返すワームプログラムの特徴を収録したファイルであって、アンチウィルスソフト(ワクチンソフト)がコンピュータウイルスやワームを検出するために、定義ファイル内に収録された各ウイルスのパターンが検査対象のファイルと照合されて、パターンとの一致が見られるとそのファイルがウイルスに感染していると判断する。
【０００３】
また、従来から知られているウィルスの一種であるワーム対策としては、例えば、下記の非特許文献１に記載されているようなものも挙げられる。
【０００４】
このようなワーム（ウィルス）の検知技術によって感染端末を検知すると、従来においては、当該感染端末のアドレス情報などをネットワーク管理者に通知している。
【非特許文献１】http://www.nttdata.co.jp/netcom/pdf/nc04_ss_03.pdf
【発明の開示】
【発明が解決しようとする課題】
【０００５】
上述したように感染端末をネットワーク管理者に通知した後には、ネットワーク内の他の端末へのワーム感染を防ぐために、感染端末の通信を遮断又は制限する必要がある。しかしながら、感染端末によるワームの拡大活動を完全に停止させて拡大を防止することができないのが現状である。
【０００６】
例えばワーム検知装置が感染端末の通信データのコピーを受信して、当該通信データに該当する通信データを監視している場合には、当該ワーム検知装置によって通信を遮断できない。また、ワームが複数の感染手段を持っている場合、ワーム検知装置が感染端末を検知した後に、感染端末の特定種類の通信データを遮断しても、他の手段によって感染拡大させる通信データが送信されてしまう場合がある。したがって、ワーム検知装置のみでは、ワームの感染活動を完全に止めることはできないのが現状であり、ワームの感染活動を検知して感染端末を特定した後、ワームの感染活動を防ぐ手段がワーム検知装置とは別に必要となる。
【０００７】
そこで、本発明は、上述した実情に鑑みて提案されたものであり、不正な通信を行う通信端末から送信された通信データを他の通信端末に送信させないようにすることで、不正な通信を行う通信端末の拡大を防止できる通信遮断装置、通信遮断プログラムを提供することを目的とする。
【課題を解決するための手段】
【０００８】
本発明は、不正な通信を検知する不正通信検知手段によって、ネットワークに接続された通信端末が不正な通信をしたことが検知された場合に、当該通信端末が他の通信端末と通信することを遮断する通信遮断装置であって、上述の課題を解決するために、不正通信検知手段から、当該不正な通信を行った通信端末のデータリンク層又はネットワーク層の通信アドレスを取得するアドレス取得手段と、不正な通信を行った通信端末から、他の通信端末と通信をする際に必要となる当該他の通信端末のデータリンク層又はネットワーク層の通信アドレスを通知する要求を検知したことに対して、又は、前記不正な通信が検知されたことに対して、アドレス取得手段によって取得した通信アドレス宛に、自己の通信アドレス又は予め設定された他の通信装置のアドレスを不正な通信を行った通信端末に通知するアドレス通知手段とを備える。
【０００９】
本発明は、不正な通信を検知する不正通信検知モジュールによって、ネットワークに接続された通信端末が不正な通信をしたことが検知された場合に、当該通信端末が他の通信端末と通信することを遮断する機能をコンピュータに実装させる通信遮断プログラムであって、上述の課題を解決するために、不正通信検知モジュールから、当該不正な通信を行った通信端末のデータリンク層又はネットワーク層の通信アドレスを取得するアドレス取得機能と、不正な通信を行った通信端末から、他の通信端末と通信をする際に必要となるデータリンク層又はネットワーク層の通信アドレスを通知する要求を検知したことに対して、又は、不正な通信が検知されたことに対して、アドレス取得機能によって取得した通信アドレス宛に、自己の通信アドレス又は予め設定された他の通信装置のアドレスを通知するアドレス通知機能とをコンピュータに実装させる。
【発明の効果】
【００１０】
本発明に係る通信遮断装置、通信遮断プログラムによれば、不正な通信を行った通信端末のデータリンク層又はネットワーク層の通信アドレスを取得し、不正な通信を行った通信端末から、他の通信端末と通信をする際に必要となる当該他の通信端末のデータリンク層又はネットワーク層の通信アドレスを通知する要求を検知したことに対して、又は、不正な通信が検知されたことに対して、取得した通信アドレス宛に、自己の通信アドレス又は予め設定された他の通信装置のアドレスを不正な通信を行った通信端末に通知するので、不正な通信を行った通信端末によって正しいアドレスを取得することを防止でき、不正な通信を遮断でき、不正な通信を行う通信端末の拡大を防止できる。
【発明を実施するための最良の形態】
【００１１】
以下、本発明の実施の形態について図面を参照して説明する。
【００１２】
本発明は、例えば図１に示すように、通信端末１Ａ、１Ｂが、複数の中継装置であるスイッチ２，ルータ３，スイッチ４を介してウェブサーバ等のサーバ５に接続する通信システムにおいて、ワーム検知装置６及び管理装置７（不正通信検知手段）でワームによる不正な通信の検知がなされたことが通知された場合に、当該ワームによる感染活動を遮断するワーム遮断装置８に適用される。この実施形態では、例えば通信端末１Ａがワームに感染してしまい、通信端末１Ａ（以下、感染端末１Ａと呼ぶ。）から送信される不正な通信データを遮断する場合について説明する。
【００１３】
このワーム遮断装置８は、先ず不正な通信を行った感染端末１Ａのデータリンク層又はネットワーク層のアドレスを管理装置７から取得しておき、当該感染端末１Ａから、他の通信端末１Ｂと通信をする際に必要となる当該通信端末１Ｂのデータリンク層又はネットワーク層の通信アドレスを通知する要求を検知したことに対して、又は、不正な通信が検知されたことに対して、感染端末１Ａの通信アドレス宛に、自己の通信アドレス又は予め設定された通信端末１Ｂとも異なる他の通信装置のアドレスを通知することを特徴とするものである。このようなアドレス取得手段、アドレス通知手段を有することにより、ワーム遮断装置８は、感染端末１Ａが通信をしたい通信相手を偽装した通知を行い、感染端末１Ａが非感染の通信相手と通信することを遮断する。
【００１４】
このような通信システムにおいて、感染端末１Ａのワームの動作としては、サーバ５に対するポートスキャン、サーバ５や通信端末１Ｂに対する不正パケットの送信、通信端末１Ｂに対するウィルスを添付ファイルとして含む不正なメールの送信などが挙げられる。ここで、サーバ５としては、ウェブサーバのみならず、メールサーバも挙げられる。
【００１５】
例えば、感染端末１Ａから送信された不正な通信データＳ１は、サーバ５のＩＰアドレスを宛先とし、スイッチ２、ルータ３及びスイッチ４を経由して、サーバ５に送信される。すると、ワーム検知装置６は、スイッチ４を通過する通信データＳ１をコピーした通信データＳ２を取得し、当該コピーした通信データＳ２が不正な通信データであるか否かを判定する。ワーム検知装置６は、コピーした通信データＳ２から、感染端末１Ａの特有の振る舞いを検知することによって、感染端末１Ａがワームに感染しているかを検知する。例えば、感染端末１Ａから直接的にネームサービスを受けるＭＸレコードを含む通信データＳ２を検知した場合や、感染していない通信端末１Ｂなどであれば送信されない宛先を含む通信データＳ２を検知した場合に、当該通信データＳ２を送信した感染端末１Ａを検知する。そして、ワーム検知装置６は、通信データＳ２に含まれるＩＰアドレスを取得し、感染端末１ＡのＩＰアドレスを含むワーム検知報告メッセージＳ３を管理装置７に通知する。
【００１６】
具体的には、ワーム検知装置６は、通信データＳ２に含まれるアプリケーションデータの種類を指定するポート番号を取得し、当該ポート番号がホスト名をネットワーク層アドレスに変換するネームサービスのアプリケーションを示すものであり、且つ、当該通信データＳ２のアプリケーションデータに、メールサーバのネットワーク層アドレスを問い合わせるデータが含まれている場合に、不正にメールサーバにアクセスしようとしている感染端末１Ａを検知できる。更に他の具体例を挙げると、ワーム検知装置６は、コンピュータウィルスによって、不正な通信データが配信されることを検知するために、感染端末１Ａに予め正規の設定情報に加えて、ダミーの設定情報を記憶させておき、ワームによる動作によって、ダミーの設定情報を用いて通信データを作成されて送信された場合には、感染端末１Ａがワームに感染していることを判断できる。
【００１７】
管理装置７は、ネットワーク管理者が運営するサーバであり、ワーム検知装置６からのワーム検知報告メッセージＳ３を受けて、当該ワーム検知報告メッセージＳ３に含まれる感染端末１ＡのＩＰアドレスを蓄積すると共に、ネットワーク管理者に通知する。管理装置７は、ワーム検知報告メッセージＳ３を受信したことに応じて、感染端末１ＡのＩＰアドレスを含む通信遮断命令Ｓ４をワーム遮断装置８に通知する。
【００１８】
ワーム遮断装置８は、感染端末１ＡのＩＰアドレスを含む通信遮断命令Ｓ４が管理装置７から通知されると、当該ＩＰアドレスを宛先とし、感染端末１Ａがサーバ５や通信端末１Ｂなどにワームの感染を拡大させないための通信データＳ５を感染端末１Ａに送信できる状態となる。ワーム遮断装置８は、図２に示すように、通信データを送信する通信端末である送信端末１Ａと、当該通信データを受信する受信端末１Ｂとの間で通信をする場合に、送信端末１ＡがＤＮＳ（Domain Name System）サーバ（図示せず）にアクセスして受信端末１Ｂのホスト名からＩＰアドレスを取得する処理（図３のステップＳＴ１）、ＩＣＭＰ（Internet Control Message Protocol）の仕組みにおけるＩＣＭＰ Ｒｅｄｉｒｅｃｔメッセージを利用して、受信端末１ＢのＩＰアドレスから適切なルータのＩＰアドレスを取得する処理（図３のステップＳＴ２）、ＡＲＰ（Address Resolution Protocol）の仕組みを利用して通信相手のＩＰアドレスからＭＡＣアドレスを取得する処理（図３のステップＳＴ３）の何れかによって、ワームによって感染した送信端末１Ａの通信データを遮断又は誘導して、不正な通信を遮断する。
【００１９】
つぎに、上述した感染端末１Ａの動作に応じて、当該感染端末１Ａの不正な通信を遮断する処理について説明する。
【００２０】
先ず、感染端末１Ａが実在のＤＮＳサーバであるサーバ５にアクセスして、通信端末１Ｂや、ワームの感染状況を管理するサーバ等の他の通信装置のＩＰアドレスを取得する活動を遮断する処理について、図４及び図５を参照して説明する。
【００２１】
ワーム遮断装置８は、図４に示すように、感染端末１Ａからルータ３を介して、ＤＮＳサーバであるサーバ５（図示せず）にネームサービスの要求が送信されると、ルータ３で中継される要求をコピーして受信する。ここで、感染端末１Ａが通信相手としたい通信端末１Ｂの端末名（ホスト名）が「host1.sample.com」、ＩＰアドレスが「10.20.30.40」であり、ワーム遮断装置８の端末名（ホスト名）が「wormfw.sample.com」であり、ＩＰアドレスが「192.168.1.1」である場合、ワーム遮断装置８は、自己のＩＰアドレスを、通信端末１Ｂのホスト名に対応したＩＰアドレスとして感染端末１Ａに通知する。すなわち、ワーム遮断装置８は、偽装ＤＮＳサーバとなって、感染端末１Ａが要求した通信端末１ＢのＩＰアドレスを通知しないようにして、感染端末１Ａから通信端末１Ｂへの通信を遮断する。また、ワーム遮断装置８は、自己のＩＰアドレスを感染端末１Ａに通知することによって、感染端末１Ａからの通信データを自己に誘導できる。
【００２２】
このようなワーム遮断装置８は、その内部概略構成を図５に示すように、基本ソフトウェアと通信制御アプリケーションがインストールされることによって、基本ソフトウェア処理部１１と、通信制御アプリケーション処理部１２とを備えて構成されている。
【００２３】
基本ソフトウェア処理部１１は、ネットワークと接続された通信インターフェース部２１とＴＣＰ（Transmission Control Protocol）／ＩＰ（Internet Protocol）通信制御部２２とを備える。基本ソフトウェア処理部１１は、スイッチ２やルータ３等を介してネットワークから通信データを通信インターフェース部２１で受信すると、ＴＣＰ／ＩＰ通信制御部２２によって、ＴＣＰヘッダのポート番号に応じて通信制御アプリケーション処理部１２に通信データを渡す。また、基本ソフトウェア処理部１１は、通信制御アプリケーション処理部１２からアプリケーションデータが渡されると、ＴＣＰ／ＩＰ通信制御部２２によって、当該アプリケーションデータにＴＣＰヘッダ及びＩＰヘッダを付加して、通信インターフェース部２１からネットワークに送信させる。
【００２４】
ワーム遮断装置８は、図１におけるスイッチ２を通過する通信データをコピーして傍受するように配置されて、基本ソフトウェア処理部１１で受信できるようになっている。ＴＣＰ／ＩＰ通信制御部２２は、受信した通信データのうち管理装置７からの通信遮断命令Ｓ４、及び、トランスポート層プロトコルがＵＤＰ又はＴＣＰであってトランスポート層ヘッダにＤＮＳサーバにＩＰアドレスを問い合わせるサービスを表すポート番号が格納されている通信データを通信制御アプリケーション処理部１２に渡す。
【００２５】
通信制御アプリケーション処理部１２は、ワーム遮断装置８がＤＮＳサーバに偽装して、感染端末１Ａの通信を遮断又は誘導するための処理を行う。通信制御アプリケーション処理部１２は、感染端末情報受信部２３と、感染端末情報リスト２４と、偽装ＤＮＳメッセージ生成部２５とを備える。
【００２６】
通信制御アプリケーション処理部１２は、基本ソフトウェア処理部１１によって管理装置７からの通信遮断命令Ｓ４を受信した場合に、通信遮断命令Ｓ４を感染端末情報受信部２３で受信する。感染端末情報受信部２３は、通信遮断命令Ｓ４を受け取ると、通信遮断命令Ｓ４に含まれる感染端末１ＡのＩＰアドレスを感染端末情報リスト２４に格納する。
【００２７】
感染端末情報リスト２４は、記憶媒体に格納されたリストデータであり、感染端末情報受信部２３からのＩＰアドレスをワームに感染したＩＰアドレスとしてリスト化してなる。この感染端末情報リスト２４は、感染端末１ＡのＩＰアドレスに、当該感染端末１ＡのＭＡＣアドレス、時刻情報などが対応付けられる。
【００２８】
偽装ＤＮＳメッセージ生成部２５は、トランスポート層プロトコルがＵＤＰ又はＴＣＰであり、且つトランスポート層ヘッダにＤＮＳサーバにＩＰアドレスを問い合わせるサービスを表すポート番号が格納されている通信データがＴＣＰ／ＩＰ通信制御部２２から渡される。偽装ＤＮＳメッセージ生成部２５は、当該通信データを監視することによって、感染端末情報リスト２４にＩＰアドレスが格納された感染端末１Ａが、実在するＤＮＳサーバにホスト名からＩＰアドレスを問い合わせる要求を含む通信データ、又は、不正な通信に関わる通信データを送信したか否かを監視する。そして、偽装ＤＮＳメッセージ生成部２５は、当該ＤＮＳサーバによるサービスを受ける通信データ又は不正な通信に関わる通信データの送信元ＩＰアドレスが、感染端末情報リスト２４に格納されたＩＰアドレスと合致した場合には、偽装したＤＮＳサーバの応答パケットを生成する。このとき、偽装ＤＮＳメッセージ生成部２５は、ＤＮＳサーバの応答パケットとして、アプリケーションデータ格納領域に、自己のＩＰアドレス又は予め設定された他の通信装置のＩＰアドレスを格納して、ＴＣＰ／ＩＰ通信制御部２２に渡す。
【００２９】
また、基本ソフトウェア処理部１１は、通信制御アプリケーション処理部１２の制御にしたがって、ＤＮＳサーバの応答パケットであることを示すトランスポート層ヘッダのポート番号を格納し、ＩＰアドレスの宛先を感染端末１Ａとした通信データを作成して、ネットワークに送信する。
【００３０】
このように、ワーム遮断装置８によれば、感染端末１ＡのＩＰアドレスを含み、ホスト名からＩＰアドレスを問い合わせＤＮＳの通信データ、又は、不正な通信に関わる通信データを受信した場合、当該通信データに含まれるホスト名に拘わらず、偽のＩＰアドレスとして自己のＩＰアドレスを応答するので、感染端末１Ａによって正しいＩＰアドレスを取得することを防止でき、ＤＮＳを利用した通信を遮断できる。また、感染端末１ＡからのＤＮＳの問い合わせ、又は、不正な通信に対して、ワーム遮断装置８自身のＩＰアドレスではなく、ワームの感染状況を管理するサーバなどの他の通信装置のＩＰアドレスをＤＮＳの応答とすることによって、感染端末１Ａの通信先を当該他の通信装置に誘導することができる。これによって、感染端末１Ａによる感染の拡大を防止できる。
【００３１】
なお、上述の偽装したＤＮＳサーバとして振る舞うワーム遮断装置８の設置場所としては、通信の傍受さえできればブリッジ型、スイッチ型、ルータ型、横付け型のいずれの形態でも良い。ただし、通信端末間を接続する通信線、又は、通信端末間で通信される通信データを中継するスイッチ２等の中継装置に接続され、当該通信線又は中継装置を通過する通信データを監視する横付け機器としてワーム遮断装置８を構成する場合には、感染端末１Ａの後述の偽装したＩＣＭＰ Ｒｅｄｉｒｅｃｔメッセージを利用する技術又は後述の偽装したＡＲＰメッセージを利用する技術を用いることで、感染端末１Ａの通信をワーム遮断装置８に誘導する必要がある。また、図１においてはスイッチ２を介して感染端末１Ａとワーム遮断装置８とが同一のサブネット（セグメント）に接続されている例を示しているが、別のサブネットに配置されていても、偽装したＤＮＳサーバとして動作して感染端末１Ａの通信を遮断できる。
【００３２】
次に、感染端末１Ａに、ネットワークにおいて最適な通信経路による通信を要求する経路変更要求通知（ＩＣＭＰ Ｒｅｄｉｒｅｃｔメッセージ）に対して、又は、不正な通信に関わる通信データに対して、自己の通信アドレス又は予め設定された他の通信装置のアドレスを通知する処理について、図６及び図７を参照して説明する。なお、上述と同様の部分については、同一符号を付することによって、その詳細な説明を省略する。
【００３３】
このＩＣＭＰ Ｒｅｄｉｒｅｃｔメッセージは、通信端末の通信経路にゲートウェイルータが２台以上存在するネットワークにおいて、最適なゲートウェイルータを通信端末に通知するためのメッセージである。ワーム遮断装置８は、このＩＣＭＰ Ｒｅｄｉｒｅｃｔメッセージを利用して、感染端末１Ａの通信を遮断又は誘導することによって、感染端末１Ａによる感染の拡大を防止する。
【００３４】
このＩＣＭＰ Ｒｅｄｉｒｅｃｔメッセージを感染端末１Ａで受信すると、感染端末１Ａは、当該ＩＣＭＰ Ｒｅｄｉｒｅｃｔメッセージに含まれる最適経路のゲートウェイルータのＩＰアドレスに通信データの送信を行うように自己のルーティングテーブルを変更する。このような動作を利用して、ワーム遮断装置８は、自己のＩＰアドレス又は他の通信装置のＩＰアドレスをＩＣＭＰ Ｒｅｄｉｒｅｃｔメッセージに含めて、自己又は他の通信装置に感染端末１Ａからの通信データを誘導する。
【００３５】
このワーム遮断装置８は、図６に示すように、感染端末１Ａとスイッチ２を介して同一セグメント（同一サブネット）に設置されおり、管理装置７から通信遮断命令Ｓ４を受信して、感染端末１ＡのＩＰアドレスを取得して、図７の感染端末情報リスト２４に追加する。ここで、感染端末１Ａには、デフォルトゲートウェイとして、ルータ３のＩＰアドレスが設定されている。
【００３６】
これに対し、ワーム遮断装置８は、ＩＣＭＰ Ｒｅｄｉｒｅｃｔメッセージに、偽のＩＰアドレスとして自己のＩＰアドレス又は他の通信装置のＩＰアドレスを格納して、感染端末１Ａに送信して、最適経路における偽装のゲートウェイルータとなる。この処理は、図７に示す偽装ＩＣＭＰ Ｒｅｄｉｒｅｃｔ生成部３１によって行われる。
【００３７】
偽装ＩＣＭＰ Ｒｅｄｉｒｅｃｔ生成部３１は、予め設定した時間間隔ごとに、管理装置７からの通信遮断命令Ｓ４に含まれるＩＰアドレスが感染端末情報リスト２４に追加されたかを判定して、新たなＩＰアドレスが追加された場合に、当該感染端末１ＡのＩＰアドレスを宛先とし、自己のＩＰアドレス又は他の通信装置のＩＰアドレスを含む偽装したＩＣＭＰ Ｒｅｄｉｒｅｃｔメッセージを生成する。これによって、例えば感染端末１Ａに、最適経路のゲートウェイルータのＩＰアドレスが自己のＩＰアドレス「１９２．１６８．１．１」であることを通知して、感染端末１Ａのルーティングテーブルを更新させて、以降の感染端末１Ａからの通信データを自己に誘導できる。
【００３８】
また、ワーム遮断装置８は、特定のＩＰアドレスだけに対するゲートウェイルータを偽のＩＰアドレスにするようにＩＣＭＰ Ｒｅｄｉｒｅｃｔメッセージを感染端末１Ａに送信しても良い。例えば、感染端末１Ａが重要なサーバに対して通信するために必要なゲートウェイルータに感染端末１Ａがアクセスしないようにすることができる。
【００３９】
更に、このワーム遮断装置８は、感染端末１ＡのＩＰアドレスが感染端末情報リスト２４に追加されて、当該感染端末１Ａが通信を行ったことを傍受した場合に、当該感染端末１Ａが通信を行おうとしたＩＰアドレスに対するゲートウェイルータを偽のＩＰアドレスにするＩＣＭＰ Ｒｅｄｉｒｅｃｔメッセージを送信しても良い。これによって、感染端末１Ａがネットワークに不正な通信データを送信しても、ゲートウェイルータによって中継されないようにできる。なお、通信装置のＯＳ（Operation System）によっては宛先となるＩＰアドレスを指定していないＩＣＭＰ Ｒｅｄｉｒｅｃｔを受け取らない設定になっているものもある。この場合、ワーム遮断装置８は、感染端末１Ａの通信を予め傍受できる場所に設置されているか、別の手段で感染端末１Ａの通信を自身に誘導できる機能が必要である。ワーム遮断装置８は、感染端末１Ａが新しいＩＰアドレス宛に通信パケットを送信する度に、当該ＩＰアドレス宛の通信パケットのゲートウェイを偽のＩＰアドレスにするためにＩＣＭＰ Ｒｅｄｉｒｅｃｔメッセージを送信する。これによって、感染端末１Ａが通信しようとするゲートウェイルータを偽のＩＰアドレスに随時更新させて、感染端末１Ａからの通信データがゲートウェイルータを通じて外部に送信されることを抑制する。
【００４０】
次に、ワーム遮断装置８によって、感染端末１Ａのネットワーク層の通信アドレスに対応したデータリンク層の通信アドレスを取得しておき、感染端末１Ａから送信された他の通信端末のデータリンク層の通信アドレスを要求するメッセージ、又は、不正な通信を検知したことに対して、自己の通信アドレス又は予め設定された他の通信装置のアドレスを感染端末１Ａに通知する処理ついて、図８及び図９を参照して説明する。なお、上述と同様の部分については、同一符号を付することによって、その詳細な説明を省略する。
【００４１】
このワーム遮断装置８及び感染端末１Ａは、同一ネットワーク内で通信を行うためには、通信相手のＭＡＣアドレスを取得する必要があり、当該ＭＡＣアドレスを取得するためのプロトコルであるＡＲＰを利用して、偽装したＡＲＰに準拠したＡＲＰパケットをワーム遮断装置８によって感染端末１Ａに送信することにより、感染端末１Ａの通信を遮断又は誘導して、感染端末１Ａによる感染の拡大を防止する。
【００４２】
ワーム遮断装置８が感染端末１Ａと同じセグメント（同一サブネット）に設置されている場合において、ワーム遮断装置８によって管理装置７から通信遮断命令Ｓ４が通知されて感染端末情報リスト２４に感染端末１ＡのＩＰアドレスを追加する。この状態において、ワーム遮断装置８は、同一セグメント内の全てのＩＰアドレスについて、当該各ＩＰアドレスに対応するＭＡＣアドレスが偽のＭＡＣアドレスであることを感染端末１Ａに通知するＡＲＰリクエストを定期的に送信する処理、又は、感染端末１ＡからのＡＲＰリクエストに対するＡＲＰリプライに含めるＭＡＣアドレスを偽のＭＡＣアドレスとする。これによって、ワーム遮断装置８は、感染端末１Ａから偽のＭＡＣアドレス宛に感染端末１Ａの通信を誘導できる。
【００４３】
具体的には、図８に示すように、ワーム遮断装置８と感染端末１Ａと通信端末１Ｂとが同一セグメント内に存在する場合において、ワーム遮断装置８は、通信端末１ＢのＩＰアドレス「192.168.10.1」に対応したＭＡＣアドレスが自身のＭＡＣアドレス「AA:AA:AA:AA:AA:AA」であることを通知するＡＲＰリクエストを感染端末１Ａに送信する処理、又は、感染端末１ＡからのＡＲＰリクエストに対して通信端末１ＢのＩＰアドレスに対応したＭＡＣアドレスが自身のＭＡＣアドレス「AA:AA:AA:AA:AA:AA」であることを通知するＡＲＰリプライを感染端末１Ａに送信する。
【００４４】
なお、通常、ＡＲＰに対応した通信装置は、ＩＰアドレスとＭＡＣアドレスとの対応表を持っているが、ＯＳによってＡＲＰリクエストとＡＲＰリプライの何れかを受信したときに対応表が書き換わるかは通信装置によって様々であるが、ＡＲＰプロトコルの性質上、ＡＲＰリクエストを送信した直後に偽造されたＡＲＰリプライを受け取ると、対応表が書き換わるので、感染端末１Ａの対応表を偽のＡＲＰパケットで変更させることができる。
【００４５】
このようなワーム遮断装置８は、図９に示すように、偽装したＡＲＰパケットを生成する偽装ＡＲＰパケット生成部４１を備えている。この偽装ＡＲＰパケット生成部４１は、予め設定した時間間隔ごとに、管理装置７からの通信遮断命令Ｓ４に含まれるＩＰアドレスが感染端末情報リスト２４に追加されたかを判定して、新たなＩＰアドレスが追加された場合に、自己のＭＡＣアドレス又は他の通信装置のＭＡＣアドレスを含む偽装したＡＲＰパケットを生成する。これによって、例えば感染端末１Ａに偽装したＭＡＣアドレスを含むＡＲＰテーブルを作成させて、以降の感染端末１Ａからの通信データを自己又は他の通信装置に誘導できる。
【００４６】
また、このワーム遮断装置８は、ネットワーク負荷を考慮して送信するＡＲＰパケットの数を少なくするために、特定のＩＰアドレスだけに対するＭＡＣアドレスを偽のＭＡＣアドレスにしても良い。例えばゲートウェイルータのＭＡＣアドレスを偽とすることで、感染端末１Ａがサブネット外に不正な通信データを送信すること遮断あるいは制限することができ、感染端末１Ａによる感染活動がサブネットワーク外に拡大することを防止できる。
【００４７】
なお、上述の実施の形態は本発明の一例である。このため、本発明は、上述の実施形態に限定されることはなく、この実施の形態以外であっても、本発明に係る技術的思想を逸脱しない範囲であれば、設計等に応じて種々の変更が可能であることは勿論である。
【００４８】
すなわち、上述したワーム遮断装置８は、スイッチ２と接続されて配置されたものを示したが、これに限らず、図１０に示すように、スイッチ５１、ブリッジ装置５２，ルータ５３，横付け型機器５４に、ワーム遮断装置８と同じ機能を実装させるための通信制御プログラムをインストールしても、上述の不正な通信を行った通信端末による感染活動を遮断するという効果を発揮させることができる。特に、通信装置間を接続する通信線、又は、通信装置間で通信される通信データを中継するスイッチ等の中継装置に接続され、当該通信線又は中継装置を通過する通信データを監視する横付け機器としてワーム遮断装置８を構成する場合には、不正な通信を行った通信端末の通信を遮断する機能をシステムに導入するコスト等を低減できる。
【００４９】
また、上述した実施形態における不正な通信を遮断するため機能は、家電機器群がネットワーク接続されたホームネットワークや、設備装置群がネットワーク接続された設備ネットワークなどにも適用できる。例えば、ホームネットワークに接続されてアプリケーションとしてウェブ機能やメール機能を具備する家電機器がワームに感染した場合であっても、当該家電機器によって不正な通信がなされることを防止することができる。
【００５０】
ここで、ホームネットワークを構築する技術としては、ＥＣＨＯネットの他、エミット（ＥＭＩＴ（Embedded Micro Internetworking Technology））と称される機器組み込み型ネットワーク技術などがあげられる。この組み込み型ネットワーク技術は、ネットワーク機器にＥＭＩＴミドルウェアを組み込んでネットワークに接続できる機能を備え、ＥＭＩＴ技術と称されている。
【００５１】
より具体的には、上述した不正な通信を遮断する機能を有する通信端末、管理装置７、ワーム遮断装置８や、スイッチ２、ルータ３等のネットワーク機器にＥＭＩＴ技術を実現するＥＭＩＴソフトウェアを搭載して、当該ＥＭＩＴソフトウェアを搭載した通信端末や管理装置７、ワーム遮断装置８と、当該端末、中継装置、横付け機器を遠隔で制御又は監視するユーザ機器とをインターネット上に設けられたセンターサーバ（図示せず）を介して通信接続する。このユーザ機器は、例えば、携帯電話、ＰＣ（Personal Computer）、ＰＤＡ（Personal Digital Assistant）、ＰＨＳ（Personal Handy phone System）等の外部端末（図示せず）である。
【図面の簡単な説明】
【００５２】
【図１】本発明を適用したワーム遮断装置を備えた通信システムの一構成例を示すブロック図である。
【図２】通信端末の通信処理を説明するシステム図である。
【図３】通信端末の通信処理を説明するフローチャートである。
【図４】本発明を適用したワーム遮断装置が偽装したＤＮＳサーバとして振る舞う動作を説明するシステム図である。
【図５】本発明を適用したワーム遮断装置が偽装したＤＮＳサーバとして振る舞うための構成を示すブロック図である。
【図６】本発明を適用したワーム遮断装置によって、偽装したＩＣＭＰ Ｒｅｄｉｒｅｃｔメッセージを感染端末に送信する動作を説明するシステム図である。
【図７】本発明を適用したワーム遮断装置が偽装したＩＣＭＰ Ｒｅｄｉｒｅｃｔメッセージを送信するための構成を示すブロック図である。
【図８】本発明を適用したワーム遮断装置によって、偽装したＡＲＰパケットを感染端末に送信する動作を説明するシステム図である。
【図９】本発明を適用したワーム遮断装置が偽装したＡＲＰパケットを送信するための構成を示すブロック図である。
【図１０】本発明を適用したワーム遮断装置が実装される他の形態を説明するための図である。
【符号の説明】
【００５３】
１Ａ 感染端末
１Ａ，１Ｂ 通信端末
２ スイッチ
３ ルータ
４ スイッチ
５ サーバ
６ ワーム検知装置
７ 管理装置
８ ワーム遮断装置
１１ 基本ソフトウェア処理部
１２ 通信制御アプリケーション処理部
２１ 通信インターフェース部
２２ ＴＣＰ／ＩＰ通信制御部
２３ 感染端末情報受信部
２４ 感染端末情報リスト
２５ 偽装ＤＮＳメッセージ生成部
３１ 偽装ＩＣＭＰ Ｒｅｄｉｒｅｃｔ生成部
４１ 偽装ＡＲＰパケット生成部
【特許請求の範囲】
【請求項１】
不正な通信を検知する不正通信検知手段によって、ネットワークに接続された通信端末が不正な通信をしたことが検知された場合に、当該通信端末が他の通信端末と通信することを遮断する通信遮断装置であって、
前記不正通信検知手段から、当該不正な通信を行った通信端末のデータリンク層又はネットワーク層の通信アドレスを取得するアドレス取得手段と、
前記不正な通信を行った通信端末から、他の通信端末と通信をする際に必要となる当該他の通信端末のデータリンク層又はネットワーク層の通信アドレスを通知する要求を検知したことに対して、又は、前記不正な通信が検知されたことに対して、前記アドレス取得手段によって取得した通信アドレス宛に、自己の通信アドレス又は予め設定された他の通信装置のアドレスを前記不正な通信を行った通信端末に通知するアドレス通知手段と
を備えることを特徴とする通信遮断装置。
【請求項２】
前記アドレス通知手段は、
前記不正な通信を行った通信端末から送信された通信パケットに含まれるトランスポート層ヘッダの情報から、アプリケーションの種類を指定する識別子を検出するアプリケーション検出手段と、
前記アプリケーション検出手段によって検出されたアプリケーションの種類が、他の通信端末のホスト名をネットワーク層の通信アドレスに変換する種類であるかを判別するアプリケーション判別手段と、
前記アプリケーション判別手段によって、アプリケーションの種類が他の通信端末のホスト名をネットワーク層の通信アドレスに変換する種類であることが判別された場合に、当該ホスト名に対するネットワーク層の通信アドレスとして、自己の通信アドレス又は予め設定された他の通信装置のアドレスを前記不正な通信を行った通信端末に通知することを特徴とする請求項１に記載の通信遮断装置。
【請求項３】
前記アドレス通知手段は、前記不正な通信を行った通信端末に、当該ネットワークにおいて最適な通信経路による通信を要求する経路変更要求通知に対して、又は、前記不正な通信が検知されたことに対して、自己の通信アドレス又は予め設定された他の通信装置のアドレスを通知することを特徴とする請求項１に記載の通信遮断装置。
【請求項４】
前記アドレス取得手段は、前記不正な通信を行った通信端末のネットワーク層の通信アドレスに対応したデータリンク層の通信アドレスを取得しておき、
前記アドレス通知手段は、前記不正な通信を行った通信端末から送信された前記他の通信端末のデータリンク層の通信アドレスを要求するメッセージを検知したことに対して、又は、前記不正な通信が検知されたことに対して、自己の通信アドレス又は予め設定された他の通信装置のアドレスを前記不正な通信を行った通信端末に通知すること
を特徴とする請求項１に記載の通信遮断装置。
【請求項５】
前記通信端末間を接続する通信線、又は、前記通信端末間で通信される通信データを中継する中継装置に接続され、当該通信線又は中継装置を通過する通信データを監視する横付け機器からなることを特徴とする請求項１乃至請求項４の何れか一項に記載の通信遮断装置。
【請求項６】
不正な通信を検知する不正通信検知モジュールによって、ネットワークに接続された通信端末が不正な通信をしたことが検知された場合に、当該通信端末が他の通信端末と通信することを遮断する機能をコンピュータに実装させる通信遮断プログラムであって、
前記不正通信検知モジュールから、当該不正な通信を行った通信端末のデータリンク層又はネットワーク層の通信アドレスを取得するアドレス取得機能と、
前記不正な通信を行った通信端末から、他の通信端末と通信をする際に必要となるデータリンク層又はネットワーク層の通信アドレスを通知する要求を検知したことに対して、又は、前記不正な通信が検知されたことに対して、前記アドレス取得機能によって取得した通信アドレス宛に、自己の通信アドレス又は予め設定された他の通信装置のアドレスを通知するアドレス通知機能と
をコンピュータに実装させることを特徴とする通信遮断プログラム。
【請求項１】
不正な通信を検知する不正通信検知手段によって、ネットワークに接続された通信端末が不正な通信をしたことが検知された場合に、当該通信端末が他の通信端末と通信することを遮断する通信遮断装置であって、
前記不正通信検知手段から、当該不正な通信を行った通信端末のデータリンク層又はネットワーク層の通信アドレスを取得するアドレス取得手段と、
前記不正な通信を行った通信端末から、他の通信端末と通信をする際に必要となる当該他の通信端末のデータリンク層又はネットワーク層の通信アドレスを通知する要求を検知したことに対して、又は、前記不正な通信が検知されたことに対して、前記アドレス取得手段によって取得した通信アドレス宛に、自己の通信アドレス又は予め設定された他の通信装置のアドレスを前記不正な通信を行った通信端末に通知するアドレス通知手段と
を備えることを特徴とする通信遮断装置。
【請求項２】
前記アドレス通知手段は、
前記不正な通信を行った通信端末から送信された通信パケットに含まれるトランスポート層ヘッダの情報から、アプリケーションの種類を指定する識別子を検出するアプリケーション検出手段と、
前記アプリケーション検出手段によって検出されたアプリケーションの種類が、他の通信端末のホスト名をネットワーク層の通信アドレスに変換する種類であるかを判別するアプリケーション判別手段と、
前記アプリケーション判別手段によって、アプリケーションの種類が他の通信端末のホスト名をネットワーク層の通信アドレスに変換する種類であることが判別された場合に、当該ホスト名に対するネットワーク層の通信アドレスとして、自己の通信アドレス又は予め設定された他の通信装置のアドレスを前記不正な通信を行った通信端末に通知することを特徴とする請求項１に記載の通信遮断装置。
【請求項３】
前記アドレス通知手段は、前記不正な通信を行った通信端末に、当該ネットワークにおいて最適な通信経路による通信を要求する経路変更要求通知に対して、又は、前記不正な通信が検知されたことに対して、自己の通信アドレス又は予め設定された他の通信装置のアドレスを通知することを特徴とする請求項１に記載の通信遮断装置。
【請求項４】
前記アドレス取得手段は、前記不正な通信を行った通信端末のネットワーク層の通信アドレスに対応したデータリンク層の通信アドレスを取得しておき、
前記アドレス通知手段は、前記不正な通信を行った通信端末から送信された前記他の通信端末のデータリンク層の通信アドレスを要求するメッセージを検知したことに対して、又は、前記不正な通信が検知されたことに対して、自己の通信アドレス又は予め設定された他の通信装置のアドレスを前記不正な通信を行った通信端末に通知すること
を特徴とする請求項１に記載の通信遮断装置。
【請求項５】
前記通信端末間を接続する通信線、又は、前記通信端末間で通信される通信データを中継する中継装置に接続され、当該通信線又は中継装置を通過する通信データを監視する横付け機器からなることを特徴とする請求項１乃至請求項４の何れか一項に記載の通信遮断装置。
【請求項６】
不正な通信を検知する不正通信検知モジュールによって、ネットワークに接続された通信端末が不正な通信をしたことが検知された場合に、当該通信端末が他の通信端末と通信することを遮断する機能をコンピュータに実装させる通信遮断プログラムであって、
前記不正通信検知モジュールから、当該不正な通信を行った通信端末のデータリンク層又はネットワーク層の通信アドレスを取得するアドレス取得機能と、
前記不正な通信を行った通信端末から、他の通信端末と通信をする際に必要となるデータリンク層又はネットワーク層の通信アドレスを通知する要求を検知したことに対して、又は、前記不正な通信が検知されたことに対して、前記アドレス取得機能によって取得した通信アドレス宛に、自己の通信アドレス又は予め設定された他の通信装置のアドレスを通知するアドレス通知機能と
をコンピュータに実装させることを特徴とする通信遮断プログラム。
【図１】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【図１０】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【図１０】
【公開番号】特開２００７−２６６９３１（Ｐ２００７−２６６９３１Ａ）
【公開日】平成１９年１０月１１日（２００７．１０．１１）
【国際特許分類】
【出願番号】特願２００６−８８４６１（Ｐ２００６−８８４６１）
【出願日】平成１８年３月２８日（２００６．３．２８）
【出願人】（０００００５８３２）松下電工株式会社 (17,916)
【Ｆターム（参考）】
【公開日】平成１９年１０月１１日（２００７．１０．１１）
【国際特許分類】
【出願日】平成１８年３月２８日（２００６．３．２８）
【出願人】（０００００５８３２）松下電工株式会社 (17,916)
【Ｆターム（参考）】
[ Back to top ]