特開 2024-38784 情報処理システム、サーバ装置、サーバ装置の制御方法、クライアント端末装置、クライアント端末装置の制御方法およびプログラム

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】公開特許公報(A)

(11)【公開番号】P2024038784

(43)【公開日】2024-03-21

(54)【発明の名称】情報処理システム、サーバ装置、サーバ装置の制御方法、クライアント端末装置、クライアント端末装置の制御方法およびプログラム

(51)【国際特許分類】

   G06F 21/55 20130101AFI20240313BHJP

【ＦＩ】

G06F21/55

【審査請求】未請求

【請求項の数】18

【出願形態】ＯＬ

(21)【出願番号】P 2022143060

(22)【出願日】2022-09-08

(71)【出願人】

【識別番号】000104652

【氏名又は名称】キヤノン電子株式会社

(72)【発明者】

【氏名】高野 和希

(57)【要約】      （修正有）

【課題】簡便に通信の送信元を特定する情報処理システム、サーバ装置及びクライアント端末装置並びにそれらの制御方法及びプログラムを提供する。
【解決手段】情報処理装置において、サーバ装置は、クライアント端末装置からリクエストパケットを受信し、受信したパケットに、特定のパケットの宛先を示す情報が含まれるか否かを判定し、特定のパケットの宛先を示す情報が含まれると判定した場合、特定の情報を付加したパケットを、クライアント端末装置に送信する。クライアント端末装置は、サーバ装置からパケットを受信し、受信したパケットに、特定の情報が含まれるか否かを判定し、特定の情報が含まれると判定した場合、パケットにクライアント固有の情報を付加して、サーバ装置に送信する。サーバ装置はさらに、クライアント端末から送信されたパケットを受信し、受信したパケットから、クライアント固有の情報を抽出する。
【選択図】図１

【特許請求の範囲】

【請求項1】

情報処理システムであって、
クライアント端末装置と、情報機器と、サーバ装置とを有し、
前記サーバ装置は、
前記情報機器を介して前記クライアント端末装置からリクエストパケットを受信する第一の受信手段と、
前記第一の受信手段にて受信したリクエストパケットに、特定のパケットの宛先を示す情報が含まれるか否かを判定する第一の判定手段と、
前記第一の判定手段にて特定のパケットの宛先を示す情報が含まれると判定された場合、特定の情報を付加したパケットを、前記情報機器を介して前記クライアント端末装置に送信する第一の送信手段と
を備え、
前記クライアント端末装置は、
前記情報機器を介して前記サーバ装置からパケットを受信する第二の受信手段と、
前記第二の受信手段にて受信したパケットに、前記特定の情報が含まれるか否かを判定する第二の判定手段と、
前記第二の判定手段にて特定の情報が含まれると判定された場合、パケットにクライアント固有の情報を付加して、前記サーバ装置に前記情報機器を介して送信する第二の送信手段と
を備え、
前記サーバ装置は、さらに、
前記情報機器を介して前記クライアント端末から送信されたパケットを受信する第三の受信手段と、
前記第三の受信手段にて受信したパケットから、前記クライアント固有の情報を抽出する抽出手段と
を備えることを特徴とする情報処理システム。

【請求項2】

前記サーバ装置は、プロキシサーバであることを特徴とする請求項１に記載の情報処理システム。

【請求項3】

前記情報機器は、ルータ、ファイアウォール、またはＵＴＭであることを特徴とする請求項１または２に記載の情報処理システム。

【請求項4】

前記クライアント固有の情報は、前記クライアント端末装置を示す情報、ユーザを示す情報、及び前記パケットを送信したプログラムを示す情報のいずれか、または組み合わせであることを特徴とする請求項１に記載の情報処理システム。

【請求項5】

前記サーバ装置は、更に、前記クライアント固有の情報である前記パケットを送信したプログラムを示す情報が、所定のプログラムを示す情報か否かを判定する第三の判定手段を備えることを特徴とする請求項１に記載の情報処理システム。

【請求項6】

前記監視手段は、前記クライアント端末装置の操作を監視し、前記クライアント端末装置は、更に、前記監視手段にて監視された操作を操作履歴として出力する出力手段を備えることを特徴とする請求項１に記載の情報処理システム。

【請求項7】

前記操作履歴には、前記パケットの宛先を示す情報が含まれ、
前記サーバ装置は、更に、前記操作履歴に特定のパケットの宛先を示す情報があるか否かを判定する第四の判定手段を備えることを特徴とする請求項６に記載の情報処理システム。

【請求項8】

前記操作履歴には、前記クライアント端末装置の変更前の時刻と、変更後の時刻との差であるオフセットの値が含まれ、
前記サーバ装置は、更に、前記オフセットの値に基づいて、前記クライアント端末装置の時刻を算出する算出手段を備え、
前記第四の判定手段は、前記算出手段にて算出された時刻に基づいて判定することを特徴とする請求項７に記載の情報処理システム。

【請求項9】

前記操作履歴には、前記パケットを送信したプログラムのハッシュ値が含まれ、
前記サーバ装置は、更に、前記操作履歴に特定のハッシュ値があるか否かを判定する第五の判定手段を備えることを特徴とする請求項６に記載の情報処理システム。

【請求項10】

前記クライアント固有の情報は、ユーザを示す情報であり、
前記抽出手段は、前記第三の受信手段にて受信したパケットから、前記ユーザを示す情報を抽出し、前記ユーザを示す情報と、前記クライアント端末装置へのログインの制限に関する情報とが対応付けられたテーブルに、該ユーザを示す情報を記録することを特徴とする請求項１に記載の情報処理システム。

【請求項11】

前記クライアント端末装置は、
前記クライアント端末装置へのログインが試みられた時に、前記クライアント端末装置のユーザを示す情報を含めた情報を、前記サーバ装置に送信し、
前記サーバ装置は、
前記テーブルに基づいて、受信した前記クライアント端末装置のユーザを示す情報における前記クライアント端末装置へのログインの制限を判定することを特徴とする請求項１０に記載の情報処理システム。

【請求項12】

前記特定の情報は、前記第一の判定手段の判定に関する情報、ウイルススキャン命令、及び転送命令のいずれか、または組み合わせであることを特徴とする請求項１に記載の情報処理システム。

【請求項13】

情報機器を介してクライアント端末装置からリクエストパケットを受信する第一の受信手段と、
前記第一の受信手段にて受信したリクエストパケットに、特定のパケットの宛先を示す情報が含まれるか否かを判定する第一の判定手段と、
前記第一の判定手段にて特定のパケットの宛先を示す情報が含まれると判定された場合、特定の情報を付加したパケットを、前記情報機器を介して前記クライアント端末装置に送信する送信手段と、
前記情報機器を介して前記クライアント端末から送信されたパケットを受信する第二の受信手段と、
前記第二の受信手段にて受信したパケットから、クライアント固有の情報を抽出する抽出手段と
を備えることを特徴とするサーバ装置。

【請求項14】

情報機器を介してクライアント端末装置からリクエストパケットを受信する第一の受信工程と、
前記第一の受信工程にて受信したリクエストパケットに、特定のパケットの宛先を示す情報が含まれるか否かを判定する第一の判定工程と、
前記第一の判定工程にて特定のパケットの宛先を示す情報が含まれると判定された場合、特定の情報を付加したパケットを、前記情報機器を介して前記クライアント端末装置に送信する送信工程と、
前記情報機器を介して前記クライアント端末から送信されたパケットを受信する第二の受信工程と、
前記第二の受信工程にて受信したパケットから、クライアント固有の情報を抽出する抽出工程と
を備えることを特徴とするサーバ装置の制御方法。

【請求項15】

コンピュータを、
情報機器を介してクライアント端末装置からリクエストパケットを受信する第一の受信手段と、
前記第一の受信手段にて受信したリクエストパケットに、特定のパケットの宛先を示す情報が含まれるか否かを判定する第一の判定手段と、
前記第一の判定手段にて特定のパケットの宛先を示す情報が含まれると判定された場合、特定の情報を付加したパケットを、前記情報機器を介して前記クライアント端末装置に送信する送信手段と、
前記情報機器を介して前記クライアント端末から送信されたパケットを受信する第二の受信手段と、
前記第二の受信手段にて受信したパケットから、クライアント固有の情報を抽出する抽出手段
として機能させるためのプログラム。

【請求項16】

情報機器を介してサーバ装置からパケットを受信する受信手段と、
前記受信手段にて受信したパケットに、特定の情報が含まれるか否かを判定する判定手段と、
前記判定手段にて特定の情報が含まれると判定された場合、パケットにクライアント固有の情報を付加して、前記サーバ装置に前記情報機器を介して送信する送信手段と
を備えることを特徴とするクライアント端末装置。

【請求項17】

情報機器を介してサーバ装置からパケットを受信する受信工程と、
前記受信工程にて受信したパケットに、特定の情報が含まれるか否かを判定する判定工程と、
前記判定工程にて特定の情報が含まれると判定された場合、パケットにクライアント固有の情報を付加して、前記サーバ装置に前記情報機器を介して送信する送信工程と
を備えることを特徴とするクライアント端末装置の制御方法。

【請求項18】

コンピュータを、
情報機器を介してサーバ装置からパケットを受信する受信手段と、
前記受信手段にて受信したパケットに、特定の情報が含まれるか否かを判定する判定手段と、
前記判定手段にて特定の情報が含まれると判定された場合、パケットにクライアント固有の情報を付加して、前記サーバ装置に前記情報機器を介して送信する送信手段
として機能させるためのプログラム。

【発明の詳細な説明】

【技術分野】

【0001】

本発明は、情報処理システム、サーバ装置、サーバ装置の制御方法、クライアント端末装置、クライアント端末装置の制御方法およびプログラムに関する。

【背景技術】

【0002】

マルウェアの中には、Ｃ＆Ｃ（ｃｏｍｍａｎｄ ａｎｄ ｃｏｎｔｒｏｌ）サーバなどの危険な接続先と通信を行い、ハッカーからの指示を受けたり、盗み出した機密情報を送信したりするものがある。これに対して、予め危険な接続先の接続先情報（ＵＲＬやＩＰアドレスなど）をリストアップしておき、リスト上にある宛先への通信を遮断することで、マルウェアによる被害を防ぐといった対策が取られている。この方法によれば、マルウェアによる直接的な被害を防ぐことはできるが、クライアント側に残っているマルウェアに対しては対策が打てないという問題がある。そのため、通信の送信元を特定し、対策を打つことが必要となる。

【0003】

そこで、ネットワーク通信の送信元を特定する手法としては、イーサネット（登録商標）フレームにおけるＭＡＣアドレスを参照するという技術がある。ただし、ＭＡＣアドレスは同一セグメント内でのみ伝達可能な情報であるため、送信元のクライアントと特定を行うネットワーク機器との間に、別のネットワーク機器が存在しないことが前提となる。しかし、企業や官公庁内における一般的なネットワーク構成の場合、ネットワークの途中にはルータやファイアウォールなど様々な外部機器が存在する。そのため、そういった環境においては、ネットワーク通信の送信元が外部機器のＭＡＣアドレスとなってしまい、クライアントを特定することができない。また、外部機器にてネットワーク通信の送信元を管理する方法もあるが、管理が煩雑となる。

【0004】

また、別の手法として、送信元ＩＰアドレスを参照するという技術がある。しかし、ＩＰアドレスは1つのコンピュータに常に固定されているわけではないため、たとえば１か月前の通信に関して、ＩＰアドレスからコンピュータ名を特定しようとしても、既にIPアドレスが変更されてしまっており、特定できない場合が多い。そこで、先行技術文献１には、リクエストＵＲＬ内にクライアントの情報を埋め込むことで、送信元であるクライアントを特定するという技術が開示されている。

【先行技術文献】

【特許文献】

【0005】

【特許文献1】特開2004-240559号公報

【発明の概要】

【発明が解決しようとする課題】

【0006】

しかし、先行技術文献１では、ＵＲＬを解析する場所をＷｅｂサーバとしているため、ユーザや管理者が管理できない範囲となり、管理外の通信に関しては適用できない。たとえば、マルウェアが利用するＣ＆Ｃサーバは、サイバー犯罪者が設置・管理しているため、この技術は適用できない。そこで、本発明は、簡便かつ正確に通信の送信元を特定することを目的とする。

【課題を解決するための手段】

【0007】

本発明は、たとえば、情報処理システムであって、
クライアント端末装置と、情報機器と、サーバ装置とを有し、
前記サーバ装置は、
前記情報機器を介して前記クライアント端末装置からリクエストパケットを受信する第一の受信手段と、
前記第一の受信手段にて受信したリクエストパケットに、特定のパケットの宛先を示す情報が含まれるか否かを判定する第一の判定手段と、
前記第一の判定手段にて特定のパケットの宛先を示す情報が含まれると判定された場合、特定の情報を付加したパケットを、前記情報機器を介して前記クライアント端末装置に送信する第一の送信手段と
を備え、
前記クライアント端末装置は、
前記情報機器を介して前記サーバ装置からパケットを受信する第二の受信手段と、
前記第二の受信手段にて受信したパケットに、前記特定の情報が含まれるか否かを判定する第二の判定手段と、
前記第二の判定手段にて特定の情報が含まれると判定された場合、パケットにクライアント固有の情報を付加して、前記サーバ装置に前記情報機器を介して送信する第二の送信手段と
を備え、
前記サーバ装置は、さらに、
前記情報機器を介して前記クライアント端末から送信されたパケットを受信する第三の受信手段と、
前記第三の受信手段にて受信したパケットから、前記クライアント固有の情報を抽出する抽出手段と
を備えることを特徴とする。

【発明の効果】

【0008】

本発明によれば、簡便に通信の送信元を特定することができる。

【図面の簡単な説明】

【0009】

【図1】情報処理システムの構成例を示すシステム構成図である。

【図2】サーバ装置２０の処理を示すフローチャートである。

【図3】クライント端末装置１０の処理を示すフローチャートである。

【図4】サーバ装置２０の処理を示すフローチャートである。

【図5】パケットの一例を示す図である。

【図6】パケットの一例を示す図である。

【図7】データベースに記録される情報の一例を示すである。

【図8】サーバ装置２０の処理を示すフローチャートである

【図9】操作履歴の一例を示す図である。

【図10】サーバ装置２０の処理を示すフローチャートである。

【図11】操作履歴の一例を示す図である。

【図12】サーバ装置２０の処理を示すフローチャートである。

【図13】操作履歴の一例を示す図である。

【図14】サーバ装置２０の処理を示すフローチャートである。

【図15】情報処理システムの構成例を示すシステム構成図である。

【図16】ログイン制限を示したシーケンス図である。

【図17】アカウント管理テーブルの一例を示す図である。

【発明を実施するための形態】

【0010】

［第一の実施形態］
＜システム構成図＞
先ず、本実施形態に係る情報処理システム構成について、図１のシステム構成図を用いて説明する。図１に示す如く、本実施形態に係る情報処理システムは、コンピュータすなわち情報処理装置１０、２０、５０を有しており、それぞれの情報処理装置はＬＡＮやインターネットなどのネットワーク３０に接続されている。以下、情報処理装置１０をクライアント端末装置、情報処理装置２０を、クライアント端末装置１０を管理するサーバ装置（たとえば、プロキシサーバ）、情報処理装置５０を情報機器（たとえば、ルータ、ファイアウォールなど）と呼称する。なお、クライアント端末装置１０、情報機器５０は複数でもよい。また、クライアント端末装置１０、サーバ装置２０、情報機器５０は、ＰＣ・携帯端末装置などの情報処理装置が行うものとして後述する各処理を実行可能な装置であれば、如何なる装置であっても構わない。

【0011】

＜クライアント端末装置＞
クライアント端末装置１０において、演算装置１０Ｃはプロセッサ（ＣＰＵ）である。演算装置１０Ｃは、メモリ１０ＥのＲＯＭに格納されたＢＩＯＳなどのブートプログラムに従い、記憶装置１０Ｂに格納されたオペレーティングシステム（ＯＳ）を起動し、さらにＯＳまたはユーザの操作に従い各種のプログラムを起動する。この記憶装置１０Ｂには、ＯＳや本装置が行うものとして後述する各処理を演算装置１０Ｃに実行させるためのコンピュータプログラムやデータが保存されている。このコンピュータプログラムには、クライアントプログラム１０Ｆ、ブラウザ１０Ｇが含まれている。

【0012】

クライアントプログラム１０Ｆは、クライアント端末装置１０のデータやプログラムなどを管理するためのプログラムであり、たとえば、パケットを監視する、パケットのＨＴＴＰリクエストのメッセージヘッダにクライアント固有の情報（たとえば、コンピュータ名、パケットを送信したプログラム名など）を付加する、パケットを送信する機能を有する。また、クライアントプログラム１０Ｆは、ネットワークＩ／Ｆ１０Ｄを介してサーバ装置２０から受け取ったリクエストパケットを、ＨＴＴＰリクエストのメッセージヘッダごとに分割して、サーバ装置２０上のサーバプログラム２０Fが、後述の方法によってパケットの内部に記録した情報を抽出する。また、クライアントプログラム１０Ｆは、クライアント端末装置１０の操作を操作履歴として記憶装置１０Ｂに記憶する機能、サーバ装置２０からの命令（たとえば、修正プログラムの適用命令、ウイルススキャン命令、隔離命令など）に従う制御機能を有していてもよい。

【0013】

図９は、操作履歴の一例を示す図である。この図では、クライアント端末装置10から、何らかの通信リクエストがなされた際に、リクエストを行った日付や時刻、ログインしていたユーザー名、リクエスト先のURLなどが記録されている。例えば、レコード９０１には、2020/08/10の14:00:00に、userAがログインしていたPC-Aから、「http://aaa.com」に対して通信のリクエストが発せられたことを表している。なお、記録される情報としては、この図に限定されるものではない。記憶装置１０Ｂに保存されているコンピュータプログラムやデータは、演算装置１０Ｃによる制御に従って適宜メモリ１０ＥのＲＡＭにロードされ、演算装置１０Ｃによる処理対象となる。また、ＯＳはたとえばＷｉｎｄｏｗｓ（登録商標）、ＭａｃＯＳ（登録商標）、Ｌｉｎｕｘ（登録商標）、ｉＯＳ（登録商標）、Ａｎｄｒｏｉｄ（登録商標）などである。

【0014】

記憶装置１０Ｂは、ハードディスクドライブ（ＨＤＤ）やソリッドステートドライブ（ＳＳＤ）などであり、ＯＳのほかにクライアント端末装置１０上で稼働するクライアントプログラム１０Ｆなどを格納する。Ｉ／Ｏデバイス１０Ａは、ポインティングデバイス（マウスなど）やキーボードに接続するための入出力インタフェース（Ｉ／Ｆ）、または、タッチパネルを組み込んだディスプレイなどである。なお、キーボードはソフトウェアキーボードでもよい。また、Ｉ／Ｏデバイス１０Ａは、入力された操作者の音声を音声認識機能によって認識し、認識した音声を演算装置１０Ｃへ伝達する、マイク等を含む音声式入力部でもよい。また、Ｉ／Ｏデバイス１０Ａは、情報を表示するためのユーザインタフェース（ＵＩ）としても機能する。

【0015】

ネットワークＩ／Ｆ１０Ｄは、ネットワーク３０とのインタフェースであり、他の情報処理装置（たとえば、Ｗｅｂサーバなど）と通信するための通信回路である。演算装置１０Ｃは、ネットワークＩ／Ｆ１０Ｄを介して、ブラウザ１０Ｇなどのプログラムから発せられるリクエストパケットを宛先である他の情報処理装置（たとえば、Ｗｅｂサーバなど）に送信する。

【0016】

＜サーバ装置＞
サーバ装置のハードウェア構成は、図１に示す如く、上記で説明したクライアント端末装置１０のハードウェア構成と同様であるとする。即ち、サーバ装置２０の演算装置２０Ｃは、サーバ装置２０の記憶装置２０Ｂに保存されているコンピュータプログラムやデータを用いて、サーバ装置２０のネットワークＩ／Ｆ２０Ｄを介して、他の情報処理装置とのデータ通信を行うと共に、サーバ装置２０が行うものとして後述する各処理を実行する。また、サーバ装置２０の記憶装置２０Ｂには、サーバプログラム２０Ｆが保存されている。

【0017】

サーバ装置２０において、演算装置２０Ｃはマイクロプロセッサ（ＣＰＵ）である。演算装置２０Ｃは、メモリ２０EのＲＯＭに格納されたＢＩＯＳなどのブートプログラムに従い記憶装置２０Ｂに格納されたＯＳを起動する。そして、ネットワーク３０を介して接続されたクライアント端末装置１０からのリクエストパケットを受信し、インターネット上にある宛先である他の情報処理装置（たとえば、Ｗｅｂサーバなど）にリクエストパケットを送信する。

【0018】

記憶装置２０Ｂは、ＨＤＤやＳＳＤなどであり、サーバ装置２０上で稼働するサーバプログラム２０Ｆを格納する。ネットワークＩ／Ｆ２０Ｄは、ネットワーク３０とのインタフェースであり、クライアント端末装置１０など他の情報処理装置と通信するための通信回路である。

【0019】

サーバプログラム２０Ｆは、ネットワークＩ／Ｆ２０Ｄを介して複数のクライアント端末装置１０から受け取ったリクエストパケットを、ＨＴＴＰリクエストのメッセージヘッダごとに分割して、クライアント端末装置１０上のクライアントプログラム１０Ｆによって付加されたクライアント端末装置１０の情報を抽出する。また、クライアント端末装置１０からのリクエストを拒否した場合、その理由を返答パケット内に付加する。

【0020】

また、ネットワーク３０を介して接続されたクライアント端末装置１０から送信されるクライアント端末装置１０の操作履歴を記憶装置２０Ｂに記憶させ、管理することもできるし、クライアント端末装置１０に対して修正プログラムの適用命令、ウイルススキャン命令、隔離命令などを送信することもできる。

【0021】

データベース２０Gは、クライアント端末装置１０からのリクエストを拒否した場合に、同端末から送信されてくるクライアント固有の情報を蓄積する。

【0022】

サーバ装置２０は、クライアント端末装置１０側のネットワーク３０とインターネット４０との境界上に設置されている。この構成をとることにより、ネットワーク３０内とインターネット４０の間でやりとりされるすべてのパケットをサーバ装置２０経由にすることができ、やりとりされるすべてのパケットに対して本発明を適用することができる。

【0023】

また、サーバ装置２０とクライアント端末装置１０は、図１では共にＬＡＮの内部に設置されているが、サーバ装置２０は、クライアント端末装置１０とネットワーク３０を介して接続可能であれば、インターネット４０上に設置してもよい。

【0024】

＜情報機器＞
企業や官公庁などの一般的なネットワーク環境においては、クライアント端末装置１０とサーバ装置２０との間に、情報機器５０が設置される。情報機器５０は、クライアント端末装置１０からサーバ装置２０への通信を中継する機器であり、例えば、ルータ、ファイアウォール、ＵＴＭ（Ｕｎｉｆｉｅｄ Ｔｈｒｅａｔ Ｍａｎａｇｅｍｅｎｔ）など、他のネットワーク機器である。なお、図１の構成の場合、情報機器５０とサーバ装置２０との間でやり取りされるイーサネット（登録商標）フレームのパケットの場合、送信元ＭＡＣアドレスが情報機器５０のものになるため、ＭＡＣアドレスを用いた送信元クライアントの特定は不可能になる。

【0025】

＜サーバ装置の付加処理＞
図２は、本実施形態に係るサーバ装置２０が行う付加処理のフローチャートである。

【0026】

サーバ装置２０の演算装置２０Cは、ネットワーク30によって接続されたクライアント端末装置１０から、リクエストパケットが送信されてくるのを監視している（S-２０１）。

【0027】

クライアント端末装置１０からリクエストパケットが送信されると、インターネット４０に到達する前に、情報機器５０を介して、サーバ装置２０にパケットが到達する。サーバ装置２０にパケットが到達すると、演算装置２０Ｃは、受信したパケットが危険なＷｅｂサイトへのリクエストか否か（遮断対象か否か）を判定する（S-202）。なお、パケットが危険なＷｅｂサイトへのアクセスのものかどうかの判断は、記憶装置２０Ｂに予め記憶されている危険なＷｅｂサイトのホスト名のリストと、ＨＴＴＰリクエストヘッダの標準ヘッダに含まれる「Ｈｏｓｔ」とを、比較して判断する。なお、「Ｈｏｓｔ」は一例であって、「Ｒｅｆｅｒｅｒ」など、危険なＷｅｂサイトへのアクセスがわかれば、これに限定されない。

【0028】

演算装置２０Ｃによって、接続先が危険なwebサイトであると判断された場合（S-202のYES）、リクエストパケットを破棄する等して、接続を拒否する（S-204）。危険なwebサイトではないと判断した場合（S-202のNO）、そのリクエストを通過させ、webサイトへの接続を許可する（S-203）。

【0029】

これにより、クライアント端末装置１０が危険なwebサイトに接続することを防ぐことができ、コンピュータウィルスに感染するなどの被害を防ぐ効果を得ることができる。しかし、パケットを破棄した場合、クライアント端末装置１０では、単純に接続ができない状態になるのみであり、接続できない理由を知ることができない。そのため、演算装置２０Cは、返答パケットのヘッダ部分に、接続を拒否した理由（「危険なwebサイトに接続した」等）を付加して（S-205）、クライアント端末１０に送信する（S-206）。これにより、クライアント端末装置１０において、接続が拒否された理由を知ることができる。

【0030】

図５は、パケットの一例を示す図であり、演算装置２０Cによって編集されたパケット内のＨＴＴＰレスポンスのメッセージヘッダの一例である。この例では、Content-Typeなどの通常のヘッダのほかに、演算装置２０Cによって付加された「DenyReason」ヘッダがあり、その中には接続を拒否した理由「malicious web site」が記録されている。

【0031】

演算装置２０Cによって付加される情報は、接続を拒否した理由（特定の情報）に限定されず、例えば、クライアント端末装置１０に対するウィルススキャン命令や、返答パケットを他のコンピュータへ転送する命令などを付加してもよい。

【0032】

また、演算装置２０Cが情報を付加する箇所についても、HTTPリクエストのメッセージヘッダに限定されず、例えばTCPパケットのヘッダ部やデータ部などを用いてもよい。

【0033】

＜クライアント端末装置の処理＞
図３は、本実施形態に係るおよびクライアント端末装置１０が行う処理のフローチャートである。サーバ装置２０から送信されたパケットがクライアント端末装置１０に到達すると、演算装置１０Ｃが、パケットを受信する(S-301)。

【0034】

演算装置１０Ｃは、受け取った全てのパケットに対して、その接続リクエストが拒否されたかどうかを判定する。具体的には、受け取った全てのパケットに対して、以下の処理を行う。

【0035】

演算装置１０Ｃは、パケット内のＨTＴＰリクエストのメッセージヘッダのデータを、ヘッダ名単位に分割する（S-302）。次に、演算装置１０Cは、返答パケットに、遮断されたことを示す情報があるか否かを判定する（S-303)。すなわち、分割したヘッダの中に、サーバ装置２０のサーバプログラム２０Ｆ（演算装置２０Ｃ）が追記したヘッダ名が存在するかどうかを判定する。判定は、ヘッダ名が、サーバプログラム２０Ｆ（演算装置２０Ｃ）が付加する固有のものかどうかなど、予め記憶装置１０Ｂに記憶されているテーブルを用いて判定を行う。

【0036】

リクエストが拒否されたかどうかの判定方法は、上記のような独自ヘッダとして記述された部分を用いる方法に限定されず、例えばサーバ装置２０が返答パケットを返す際のレスポンスコードを独自のものに変更するなどの方法を用いてもよい。また、サーバ装置２０をプロキシサーバとした場合、プロキシサーバの性質上、SSL等の暗号化通信の場合は、基本的にはHTTPパケットのヘッダ部やデータ部を参照できないため、そのような問題を回避するために、TCPパケットのヘッダ部分などに情報を記録してもよい。

【0037】

図５に示すように、パケットには「DenyReason」など、接続を拒否した理由が記録されている。また、前記の「DenyReason」は、RFC（Request For Comments）で規定されたHTTPの標準ヘッダではないため、受信パケットに該当ヘッダを残したまま、ブラウザ等のアプリケーションへ該当パケットを渡したとすると、アプリケーション側が該当ヘッダを読み取れず、エラーが発生する危険性がある。そのため、演算装置１０Cは、該当ヘッダを削除してから、リクエスト元のアプリケーションに該当パケットを渡す(S-304)。

【0038】

上述した処理によって、接続を拒否されたことが分かった場合、演算装置１０Cは、前記の「DenyReason」に記録された理由をもとに、クライアント端末装置１０に適切な処置（ネットワーク遮断等）を行う（S-305)。例えば、拒否理由が危険なwebサイトへのアクセスを行ったためであった場合、クライアント端末装置１０はマルウェアに感染している危険性が高いといえる。そのため、演算装置１０Cは、マルウェアが拡散しないようにするために、クライアント端末装置１０をネットワークから遮断する。

【0039】

サーバ装置２０に対して送信するパケットを作成し（S-306）、該当パケットに、クライアント端末装置１０の情報を示すクライアント固有の情報および、該当パケットがクライアント固有の情報を伝達する目的で送信されたことを表す識別情報を付加して（S-307）、該当パケットをサーバ装置２０へ送信する（S-308）。

【0040】

クライアント固有の情報とは、たとえば、クライアント端末装置を示す情報（コンピュータ名、ユーザ名など）、パケットを送信したプログラムを示す情報（リクエストを行ったプログラム名、プロセス名など）である。これらの情報は、パケット内の任意の箇所に記述する。例えば、パケットのヘッダ部分に記述してもよいし、POSTパケットのデータ部分に記述するような形をとってもよい。

【0041】

一例として、パケットのヘッダ部分にクライアント固有の情報および、クライアント固有の情報を伝達する目的で送信されたことを表す識別情報を記述する方法を説明する。図６は、パケットの一例を示す図であり、演算装置１０Ｃによって編集されたパケット内のＨＴＴＰリクエストのメッセージヘッダの一例である。この例では、Ｕｓｅｒ－Ａｇｅｎｔなどの通常のヘッダのほかに、クライアントプログラム１０Ｆによって付加された「ＡＤＤＨＥＡＤＥＲ」ヘッダがあり、その中にはクライアント端末装置１０のコンピュータ名「ＴｅｓｔＰＣＮＡＭＥ．ｔｅｓｔ．ｃｏｍ」と、リクエストを行ったプログラム名「ｉｅｘｐｌｏｒｅ.ｅｘｅ」が記録されている。なお、リクエストパケットを送信したプログラム名と宛先ＵＲＬとを特定する方法は、公知の技術（たとえば、特開２０１２－１８５７９９号公報）であるため説明を省略する。

【0042】

また、図６に示すパケットには「IsBlock」ヘッダがあるが、このヘッダが、クライアント固有の情報を伝達する目的で送信されたことを表す識別情報となる。パケットに該当情報を付加した後、演算装置１０Cはサーバ装置２０へパケットを送信する。

【0043】

＜サーバ装置の抽出処理＞
図４は、本実施形態に係るサーバ装置２０が行う抽出処理のフローチャートである。演算装置１０Cから送信されたパケットがサーバ装置２０に到達すると、演算装置２０Ｃは、パケットを受信する（S-401）。

【0044】

次に、演算装置２０Ｃは、該当パケットがクライアント固有の情報を伝達する目的で送信されたものであるか否かを判定し、また、そうであれば送信元のクライアント固有の情報を抽出しようと試みる。具体的には、該当パケットに対して、以下の処理を行う。演算装置２０Ｃは、パケット内のＨTＴＰリクエストのメッセージヘッダのデータを、ヘッダ名単位に分割する（S-402）。次に、分割したヘッダの中に、クライアント端末装置１０のクライアントプログラム１０Ｆ（演算装置１０Ｃ）が付加した、クライアント固有の情報を伝達する目的で送信されたことを示す識別情報が存在するかどうかを判定する（S-403）。

【0045】

存在する場合は（S-403のYES）、分割したヘッダの中から、クライアント固有の情報（コンピュータ名、プログラム名など）を表すヘッダがあるかどうかを探し、ヘッダの値に記録された文字列を、該当のクライアント固有の情報として抽出する（S-404）。

【0046】

図6を用いて具体的に説明する。たとえば、図6に示されるようなパケットをサーバプログラム２０Ｆが受け取った場合、まずヘッダ名単位に分割する。ヘッダの中には、クライアントプログラム１０Ｆが付加した「IsBlock」ヘッダが存在するので、このパケットは、クライアント固有の情報を伝達する目的で送信されたものであると判断できる。また、「ＡＤＤＨＥＡＤＥＲ」ヘッダが存在するので、その内容の文字列「ＴｅｓｔＰＣＮＡＭＥ．ｔｅｓｔ．ｃｏ；ｉｅｘｐｌｏｒｅ.ｅｘｅ」を取得し、セミコロンで分割する。すると、送信元のコンピュータ名が「ＴｅｓｔＰＣＮＡＭＥ．ｔｅｓｔ．ｃｏ」であることがわかり、かつパケットの送信を行ったプログラム名が「ｉｅｘｐｌｏｒｅ.ｅｘｅ」であることがわかる。

【0047】

この結果、危険なＷｅｂサイトへのリクエストパケットを送信したクライアントの情報をサーバ装置上で特定することができる（S-405）。次に、演算装置２０Cは、該当のクライアントがリクエストを拒否されたという情報をデータベース２０Gに記録する（S-406）。

【0048】

また、図7に、データベース２０Gに記録する情報の例を示す。ここでは、アクセスを試みた時刻、コンピュータ名、プロセス名、ユーザ名などが記録されており、例えば日付をキーにして集計すれば、日別のアクセス数を、コンピュータ名をキーにして集計すれば、危険なアクセスを試みたコンピュータのランキングを算出することなどが可能になる。

【0049】

なお、クライアントプログラム１０Ｆが付加するヘッダ名およびヘッダのフォーマットに関しては、予めサーバプログラム２０Ｆと、クライアントプログラム１０Ｆの間で取り決めておき、記憶装置１０Ｂ、２０Ｂに各々記憶しておく。

【0050】

上述したように、本発明においては、パケットを解析する場所（例えば、通信の送信元を特定する場所）を通信経路の終端（Ｗｅｂサーバなど）ではなく、通信経路の途中かつ管理者が管理できる場所（プロキシサーバなど）に設置する。これにより、通信の宛先に影響されることなく、全てのパケットの解析を行い、簡便かつ正確に通信の送信元を特定することができる。

【0051】

また、クライアントの情報を特定することにより、例えば、危険な接続先への通信を遮断してマルウェアによる被害を防ぐ場合に、クライアント端末装置に残っているマルウェアに対しても対策を打つことができる。また、データベース２０Gに記録された情報を参照することで、例えば頻繁に危険なサイトにアクセスを試みている端末を特定することができ、セキュリティ監査などの際に有効なデータを提供することができる。

【0052】

［第二の実施形態］
パケットの送信元クライアントを特定することにより、たとえば、以下のような効果を得ることができる。受信したパケットに付加されたクライアント固有の情報から、危険なＷｅｂサイトへアクセスリクエストを行ったコンピュータおよびプログラムを特定することができる。以下では、パケットの送信元クライアントとプログラムをサーバ装置にて特定した後の処理について説明する。なお、本実施形態の動作の大部分が第一の実施形態の動作と共通するため、ここでは、第一の実施形態と異なる動作についてのみ説明し、共通の動作については説明を省略する。

【0053】

図８は、サーバ装置２０の処理を示すフローチャートである。演算装置２０Ｃは、受信したパケットが危険なＷｅｂサイトへのリクエストか否かを判定する（S-801）。なお、パケットが危険なＷｅｂサイトへのアクセスのものかどうかの判断は、ＨＴＴＰリクエストヘッダの標準ヘッダに含まれる「Ｈｏｓｔ」と、記憶装置２０Ｂに予め記憶されている危険なＷｅｂサイトのホスト名のリストとを比較して判断する。危険なＷｅｂサイトではないと判定された場合（S-801のＮＯ）、パケットを宛先に送信し処理を終了する。なお、上述した説明では、サーバ装置２０にて受信したパケットが危険なＷｅｂサイトへのリクエストか否かを判定しているが、ネットワーク３０に接続されている不図示の装置（たとえば、ＵＴＭ）にて判定を行ってもよい。その場合、ステップS-801は省略される。

【0054】

また、危険なＷｅｂサイトへのアクセスだと判断された場合(S-801のYES)、クライアント装置１０およびサーバ装置２０は、図２のS-204～S-206、図３のS-301～S-208、および図４のS-401～S-406に記載の処理を行い、クライアントの特定（コンピュータ名、プログラム名など）を行う(S-802)。これらの処理は実施形態１に記述されているため、本実施形態での記述は省略する。

【0055】

演算装置２０Ｃは、S-802にて特定したプログラムが、Ｗｅｂブラウザか否かを判定する（S-803）。Ｗｅｂブラウザか否かの判定は、記憶装置２０Ｂに予め記憶されているＷｅｂブラウザを示すプログラム情報に基づいて判定される。特定したプログラムがＷｅｂブラウザである場合、たとえば、フィッシングメールに記載されている危険なＵＲＬからジャンプしたことが推測できる。そこで、Ｗｅｂブラウザと判定された場合（S-803のＹＥＳ）、演算装置２０Ｃは、クライアントのメールの設定を変更する（S-804）。たとえば、フィッシングメールが届かないようにするために、ステップS-803にて特定したクライアントの操作履歴からフィッシングメールを送信した宛先を調べ、その宛先からのメールを受信しない設定にする。なお、メール設定は、サーバ装置２０に記憶されていてもよいし、クライアント端末装置１０、不図示のメールサーバに記憶されてもよい。

【0056】

演算装置２０Ｃは、特定したプログラムが、一般的なアプリケーションか否かを判定する（S-805）。一般的なアプリケーションか否かの判定は、記憶装置２０Ｂに予め記憶されている一般的なアプリケーションを示すプログラム情報に基づいて判定される。一般的なアプリケーション（たとえば、表計算ソフト、文書作成ソフトなど）である場合、一般的なアプリケーションの脆弱性を利用したリクエストと推測される。そこで、一般的なアプリケーションと判定された場合（S-805のＹＥＳ）、演算装置２０Ｃは、クライアント端末装置１０に脆弱性を修正する修正プログラムを適用する（S-806）。なお、一般的なアプリケーションと修正プログラムの取得先（ダウンロードサーバ）を対応付けて記憶装置２０Ｂに予め記憶しておき、該当する取得先にアクセスして修正プログラムを取得し、クライアント端末装置１０に修正プログラムを適用してもよい。また、修正プログラムを一般的なアプリケーションと対応付けて記憶装置２０Ｂに予め記憶していてもよい。

【0057】

演算装置２０Ｃは、特定したプログラムが一般的なアプリケーションではないと判定された場合（S-805のＮＯ）、ウイルススキャンまたは隔離命令をクライアント端末装置１０に送信する（S-807）。特定したプログラムがＷｅｂブラウザや一般的なアプリケーションではない場合、マルウェア自身がＣ＆Ｃサーバなど危険な接続先と通信していることが推測できる。そこで、クライアント端末装置１０内のウイルススキャンを行ったり、ネットワークから隔離したり、感染が拡大しないようにするといった対策が必要である。なお、ステップS-803やステップS-805にて、判定基準とした所定のプログラムであるＷｅｂブラウザや一般的なアプリケーションは一例であって、これに限定されない。

【0058】

上述したように、クライアント固有の情報（クライアント情報）を付加することで、通常のパケットだけではわからない、クライアント端末装置側の状況を把握でき、かつ即座に適切な対策を講じることができる。

【0059】

［第三の実施形態］
本実施形態では、操作履歴を用いることによって、一見無害であるＷｅｂサイトからの被害を発見して対処する処理について説明する。なお、本実施形態の動作の大部分が第一の実施形態および第二の実施形態の動作と共通するため、ここでは、第一の実施形態および第二の実施形態と異なる動作についてのみ説明し、共通の動作については説明を省略する。

【0060】

図９は、操作履歴の一例を示す図である。図9の操作履歴を参照すると、レコード9０２にて、日付「２０２０／１１／１８」、時刻「１１：００：００」に、ユーザ名「ｕｓｅｒＣ」がＰＣ名「ＰＣ－Ｃ」において、「ｈｔｔｐ://ａａａ.ｃｏｍ」というＵＲＬにアクセスしたことが記録されている。もし、「ｈｔｔｐ://ａａａ.ｃｏｍ」が危険なＷｅｂサイトであると判明した場合、まずは該当のＵＲＬ「ｈｔｔｐ://ａａａ.ｃｏｍ」にアクセスした「ＰＣ－Ｃ」に対してウイルススキャンをかける、または、該当のＵＲＬへのアクセスを禁止にするなどの処置を行うことが必要となる。

【0061】

ただ、危険なＷｅｂサイトは、全て悪意のある者によって作られたわけではなく、通常のＷｅｂサイトであったＵＲＬが、悪意ある第三者に乗っ取られ、マルウェアを配布するなどの危険な動きをするように改ざんされるという場合もある。また、該当のＵＲＬが危険かどうかの判定は、アンチウィルスベンダーによる調査が行われた後に行われるので、Ｗｅｂサイトが改ざんされた瞬間ではなく、しばらく時間が経過した後になる。そのため、無害であると判定されている時期でも、実際にはすでに危険なＷｅｂサイトに改ざんされている可能性があるので、危険であると判定される以前に該当のＵＲＬにアクセスしたＰＣに対しても、ウイルススキャンなどの処置を行う必要がある。

【0062】

図１０は、サーバ装置２０の処理を示すフローチャートである。なお、図１０のフローチャートにおいて図８に示した処理ステップと同じ処理ステップには同じステップ番号を付しており、この処理ステップに係る説明は省略する。

【0063】

まず、ステップS-801において、演算装置２０Ｃが、あるクライアント端末装置１０（たとえば、「ＰＣ－Ｃ」）がアクセスしようとしたＵＲＬ（たとえば、「ｈｔｔｐ://ａａａ.ｃｏｍ」）が危険であると判定したとする。その後、演算装置２０Ｃは、記憶装置２０Ｂに記録されている全てのクライアント端末装置１０にて記録された操作履歴を参照する（S-1001）。次に、演算装置２０Ｃは、危険であると判定されたＵＲＬに対して、ステップS-801において検出されたパケットを発信したクライアント端末装置１０（たとえば、「ＰＣ－Ｃ」）以外からのアクセスが、操作履歴に存在するかどうかを判定する（S-1002）。

【0064】

図９の操作履歴を参照すると、レコード9０１にて、ＵＲＬ「ｈｔｔｐ://ａａａ.ｃｏｍ」に対しては、日付「２０２０／０８／１０」、時刻「１４：００：００」にも、ＰＣ名「ＰＣ－Ａ」がアクセスしていることがわかる。演算装置２０Ｃは、他のクライアント端末装置１０によるアクセスが確認されない場合（S-1002のＮＯ）、何もせずに処理をステップS-803へ移行する。アクセスが確認された場合（S-1002のＹＥＳ）、演算装置２０Ｃは、該当クライアント端末装置１０（たとえば、「ＰＣ－Ａ」）に対して、ウイルススキャンまたは隔離命令を送信する(S-1003)。たとえば、図９の操作履歴の場合、「ＰＣ－Ａ」による該当ＵＲＬ「ｈｔｔｐ://ａａａ.ｃｏｍ」へのアクセスが確認されたため、演算装置２０Ｃは、「ＰＣ－Ａ」に対してウイルススキャンなどの命令を発行する。

【0065】

上述したように、操作履歴を参照することで、一見無害であるＷｅｂサイトからの被害を発見し、その対処を行うことができる。

【0066】

［第四の実施形態］
本実施形態では、クライアント端末装置１０においてローカル時刻が変更された場合でも、Ｗｅｂサイトからの被害を発見して対処する処理について説明する。

【0067】

第三の実施形態では、演算装置２０Ｃが操作履歴を参照することによって、危険なＵＲＬに対して、過去に他のクライアント端末装置１０からのアクセスが存在したかどうかを判定する処理を行っていた。しかし、操作履歴の「時刻」を、クライアント端末装置１０のローカルの時刻を基に記録している場合、ローカル時刻を基の時刻から変更してしまうと、操作履歴の時刻も変わってしまう。

【0068】

ローカル時刻の変更自体を禁止すれば、上述した問題の発生を防止することができるが、プログラムのテスト等、悪意のない目的での時刻変更を阻害し、利便性を損なうことにもなるため、一概に時刻の変更を禁止することは適切ではない。そのため、ローカル時刻の変更を許容しつつ、操作履歴の正しい時刻を取得できるような手段が必要となる。そこで、クライアント端末装置１０のローカル時刻が変更された際、演算装置１０Ｃは、変更前と変更後の時間差を記憶して、その差（オフセット）を操作履歴に記録しておく。時間差（オフセット）を操作履歴に記録する例を、図１１に示す。図１１は、操作履歴の一例を示す図である。

【0069】

図１２は、サーバ装置２０の処理を示すフローチャートである。なお、図１２のフローチャートにおいて図８に示した処理ステップと同じ処理ステップには同じステップ番号を付しており、この処理ステップに係る説明は省略する。

【0070】

ステップS-801において、日付「２０２０／１１／１８」、時刻「１１：００：００」に、ＰＣ名「ＰＣ－Ｃ」がアクセスしたＵＲＬ「ｈｔｔｐ://ａａａ.ｃｏｍ」が、演算装置２０Ｃによって危険であるＷｅｂサイトであると判定したとする。演算装置２０Ｃは、以前に他のクライアント端末装置１０にて同一のＵＲＬ「ｈｔｔｐ://ａａａ.ｃｏｍ」にアクセスしたかどうかを判定するために、記憶装置２０Ｂに記憶されている全てのクライアント端末装置１０にて記録された操作履歴を参照する（S-1201）。

【0071】

演算装置２０Ｃは、オフセットの値を用いた時刻の再計算を行う（S-1202）。たとえば、図11のレコード１１０１には、「ＰＣ－Ａ」が日付「２０２０／１１／１９」時刻「１４：００：００」に「ｈｔｔｐ://ａａａ.ｃｏｍ」へアクセスした操作履歴が存在するが、時刻のオフセットには、この操作履歴が本来の時刻から４８時間進んだものであることが記録されているため、オフセットを加味して時刻を再計算すると、日付「２０２０／１１／１７」、時刻「１４：００：００」となる。

【0072】

演算装置２０Ｃは、ステップS-1202にて再計算された時刻を適用し、過去に該当のＵＲＬ「ｈｔｔｐ://ａａａ.ｃｏｍ」にアクセスした履歴があるか否かを判定する（S-1203）。たとえば、図１１のレコード１１０１は、ステップS-1202にて再計算された日付「２０２０／１１／１７」、時刻「１４：００：００」に、「ＰＣ－Ａ」において、「ｈｔｔｐ://ａａａ.ｃｏｍ」にアクセスがあったことが確認できる。

【0073】

演算装置２０Ｃは、他のクライアント端末装置１０によるアクセスが確認されない場合（S-1203のＮＯ）、何もせずに処理をステップS-803へ移行する。アクセスが確認された場合（S-1203のＹＥＳ）、演算装置２０Ｃは、該当クライアント端末装置１０（たとえば、「ＰＣ－Ａ」）に対して、ウイルススキャンまたは隔離命令を送信する(S-1204)。

【0074】

たとえば、図１１の操作履歴の場合、「ＰＣ－Ａ」による該当ＵＲＬ「ｈｔｔｐ://ａａａ.ｃｏｍ」へのアクセスが確認されたため、演算装置２０Ｃは、「ＰＣ－Ａ」に対してウイルススキャンなどの命令を発行する。従って、「ＰＣ－Ａ」に対しても、ウイルススキャン命令を出すなどの対処を行うことができる。

【0075】

上述したように、クライアント端末装置１０においてローカル時刻が変更された場合でも、変更された時刻のオフセットの値を操作履歴に記録しておくことで、第三の実施形態と同様な対処を行うことができる。

【0076】

［第五の実施形態］
本実施形態では、ハッシュ値を用いることによって、潜伏しているマルウェアが存在するクライアント端末装置を発見して対処する処理について説明する。なお、本実施形態の動作の大部分が第一の実施形態ないし第四の実施形態の動作と共通するため、ここでは、第一の実施形態ないし第四の実施形態と異なる動作についてのみ説明し、共通の動作については説明を省略する。

【0077】

第三及び第四の実施形態では、演算装置２０Ｃが操作履歴を参照することによって、危険なＷｅｂサイトに対して、過去に他のクライアント端末装置１０からのアクセスが存在したかどうかを判定する処理を行っていた。本実施形態では、クライアント端末装置１０からパケットを送信したプログラム（クライアント端末装置１０上で動作し、ネットワークＩ／Ｆ１０Ｄおよびネットワーク３０を介して、リクエストパケットを外部に送信するプログラムのハッシュ値を、クライアント固有の情報として、図３に示すS-306～S-308の操作にて作成する、クライアント固有の情報を伝達するパケットを介して、クライアント端末装置１０からサーバ装置２０へ伝達する。また、操作履歴に、パケットを送信したプログラム（通信のリクエストを行ったプログラム）のハッシュ値を記録する。

【0078】

操作履歴にハッシュ値を付加した例として、図１３を示す。図１３は、操作履歴の一例を示す図である。図９および図１１に表される操作履歴と同様の意味を持つが、図１１に加えて、通信のリクエストを行ったプログラムのハッシュ値が記録されている。ハッシュ値は、クライアントプログラム１０Ｆによって、プログラムのバイナリの値をキーとして、ＳＨＡ－１やＳＨＡ－２５６といったアルゴリズムによって算出され、その後操作履歴として記憶装置１０Ｂに記録される。

【0079】

レコード１３０１には、ハッシュ値として「ＡＡＡＡＡＡ．．．」という値が記録されているが、これは、ハッシュ値「 ＡＡＡＡＡＡ．．．」のプログラムが通信リクエストを行ったことを表している。また、レコード１３０１とレコード１３０２のハッシュの値が「 ＡＡＡＡＡＡ．．．」で一致しているが、これは、２つの通信リクエストが、別々のクライアント端末装置１０（ＰＣ－Ａ、ＰＣ－Ｃ）から発せられているにも拘らず、全く同一のプログラムから行われたことを表している。

【0080】

図１４は、サーバ装置２０の処理を示すフローチャートである。以下では、一例として、図１３に示す操作履歴が記録されているものとして説明を行う。

【0081】

まず、ステップS-801において、演算装置２０Ｃが、あるクライアント端末装置１０がアクセスしようとしたＵＲＬ（たとえば、「ｈｔｔｐ://０１２３４.ｃｏｍ」）が危険であると判定したとする。以下では、日付「２０２０／１１／２１」時刻「１６：００：００」に、「ＰＣ－Ｘ」から、ハッシュ値「ＡＡＡＡＡＡ．．．」のプログラムが、「ｈｔｔｐ://０１２３４.ｃｏｍ」というＵＲＬに対してアクセスを行ったものとして説明する。

【0082】

その後、演算装置２０Ｃは、記憶装置２０Ｂに記録されている全てのクライアント端末装置１０にて記録された操作履歴を参照する（S-1401）。

【0083】

次に、クライアント装置１０およびサーバ装置２０は、図３および図４の処理を行い、クライアントの特定（ハッシュ値）を行う（S-802）。次に、演算装置２０Ｃは、ステップS-1401にて参照した操作履歴の中から、S-802で取得したハッシュ値と同一のハッシュ値を持つプログラムによる通信が存在するかどうかを判定する（S-1402）。

【0084】

過去に同一のハッシュ値を持つプログラムによる通信が存在する場合（ステップS-1402のＹＥＳ）、危険なＵＲＬ（「ｈｔｔｐ://０１２３４.ｃｏｍ）へアクセスしたものと全く同一のプログラムが存在するということになる。図１３に示す操作履歴の場合、ＵＲＬ「ｈｔｔｐ://０１２３４.ｃｏｍ」に対しては過去にアクセスした痕跡が無いが、ハッシュ値「ＡＡＡＡＡＡ．．．」による通信は、操作履歴のレコード１３０１とレコード１３０２の２件が該当する。

【0085】

仮に、ハッシュ値「 ＡＡＡＡＡＡ．．．」のプログラムがマルウェアである場合、操作履歴に記憶されているＵＲＬ「ｈｔｔｐ://ａａａ.ｃｏｍ」および「ｈｔｔｐ://ｄｄｄ.ｃｏｍ」が危険ではないと判定されていたとしても、これらは未知のＣ＆Ｃサーバなどの危険なサイトである可能性が高い。従って、ＰＣ名「ＰＣ－Ａ」とＰＣ名「ＰＣ－Ｃ」にも、既に同じマルウェアが侵入していることがわかるため、演算装置２０Ｃから、これらのクライアント端末装置１０に対して、ウイルススキャンまたは隔離命令を送信する（S-1403）。

【0086】

上述したように、ハッシュ値を用いることで、危険なＵＲＬにアクセスすることなく潜伏しているマルウェアが存在するクライアント端末装置を発見し、そのクライアント端末装置に対しても対処を行うことができる。

【0087】

［第六の実施形態］
本実施形態では、ユーザアカウントを用いることによって、危険なＷｅｂサイトへアクセスを行おうとした同一ユーザによる、他のクライアント端末装置でのログインを制限する処理について説明する。

【0088】

第一の実施形態では、クライアント端末装置１０から送信されるＨＴＴＰリクエストのメッセージヘッダに、クライアント固有の情報として、クライアント端末装置１０のコンピュータ名を付加することで、危険なＷｅｂサイトへのアクセスを行おうとしたクライアント端末装置１０を特定し、ネットワークから隔離する等の処置を行った。しかし、クライアント端末装置１０に対して何らかの処置を施したとしても、そのクライアント端末装置１０を使用したユーザが別のクライアント端末装置１０を使用した場合、同じような危険なＷｅｂサイトに接続を試みる可能性がある。そこで、本実施形態では、演算装置１０Ｃが、クライアント固有の情報として、ログインしているユーザを示す情報である、ユーザアカウント（ユーザ名）を付加することにより、サーバ装置２０は、危険なＷｅｂサイトへのアクセス時にクライアント端末装置１０にログインしていたユーザアカウントを特定でき、特定したユーザアカウントを用いて、同一のユーザによるクライアント端末装置１０へのログインを制限することができる。

【0089】

図１５は、情報処理システムの構成例を示すシステム構成図である。図１５に示す情報処理システムは、図１に示す情報処理システムの構成に加えて、サーバ装置６０、複数のクライアント端末装置１１を含む。サーバ装置６０の大部分は、サーバ管理装置２０と共通するため、以下では説明を省略し、異なる部分のみ説明する。なお、本実施形態の動作の大部分が第一の実施形態ないし第五の実施形態の動作と共通するため、ここでは、第一の実施形態ないし第五の実施形態と異なる動作についてのみ説明し、共通の動作については説明を省略する。

【0090】

サーバ装置６０には、ネットワーク３０内に存在するすべてのクライアント端末装置１０のログインを管理する、ログイン管理プログラム６０Ｆが格納されている。なお、ログイン管理プログラム６０Ｆと、サーバプログラム２０Ｆは同一のサーバ装置上で実現する構成でもよい。

【0091】

また、記憶装置６０Ｂには、ネットワーク３０内に存在するすべてのクライアント端末装置１０のユーザアカウント（アカウント名）とログイン制限（許可／拒否）が対応付けられたアカウント管理テーブルが記録されている。図１７に、アカウント管理テーブルの一例を示す。アカウント管理テーブルは、後述するように、危険なＷｅｂサイトにアクセスしたユーザアカウントを特定することで記録される。なお、アカウント管理テーブルは、管理者によって記録されてもよい。ログインを管理するログイン管理プログラム６０Fは、演算装置６０Ｃによる制御に従って適宜メモリ６０ＥのＲＡＭにロードされ、演算装置６０Ｃによる処理対象となる。

【0092】

また、本実施形態では、クライアント端末装置１０にログインを行う際、図１６に示す処理が行われる。図１６は、ログイン制限を示したシーケンス図である。任意のクライアント端末装置１０において、ユーザによってログインが試みられたことをクライアント装置１０の演算装置１０Ｃが検知する（S-1601）。

【0093】

演算装置１０Ｃは、ネットワークＩ／Ｆ１０Ｄおよびネットワーク３０を介して、サーバ装置６０に、ログインが可能かどうかの問い合わせを行う（S-1602）。また、問い合わせの際には、ログインしようとしているユーザアカウントも一緒に送信されるものとする。

【0094】

問い合わせを受け取った演算装置６０Ｃは、記憶装置６０Ｂに記憶されているアカウント管理テーブルに基づいて、ロードしたユーザアカウントと、問い合わせに含まれるユーザアカウントとを比較し、ログイン可能かどうかを判定する（S-1603）。

【0095】

演算装置６０Ｃは、問い合わせ元のクライアント端末装置１０に、判定の結果（ログインの許可または拒否）の返答を返す（S-1604）。クライアント端末装置１０の演算装置１０Ｃは、受信した判定結果に基づいて、ログインの許可／拒否を行う。たとえば、図１７に示すように、ｕｓｅｒＡからのログインは許可され、ｕｓｅｒＢからのログインは拒否される、ということになる。

【0096】

あるユーザが、危険なＷｅｂサイトへのアクセスを行ったとする（図８のステップS-801にてＹＥＳと判定されたとする）。上述したように、本実施形態では、演算装置１０Ｃにより、リクエストパケットにログインしているユーザアカウントが付加されているため、演算装置２０Ｃは、リクエストを行ったユーザアカウントを特定できる。そこで、演算装置２０Ｃは、ネットワークＩ／Ｆ２０Ｄおよびネットワーク３０を介し、サーバ装置６０の記憶装置６０Ｂに記録されているアカウント管理テーブルの、危険なＷｅｂサイトへのアクセスを行ったユーザのユーザアカウントに対応するログイン制限を「拒否」と記録する。

【0097】

上述したように、危険なＷｅｂサイトへのアクセスを試みたユーザが、別のクライアント端末装置からログインしようとした際に、そのログインを禁止することができる。これにより、同一ユーザによる危険なＷｅｂサイトへのアクセスを抑止することができる。

【0098】

［その他の実施形態］
本発明は、上述の実施形態の１以上の機能を実現するプログラムを、ネットワーク又は記憶媒体を介してシステム又は装置に供給し、そのシステム又は装置のコンピュータにおける１つ以上のプロセッサがプログラムを読出し実行する処理でも実現可能である。また、１以上の機能を実現する回路（たとえば、ＡＳＩＣ）によっても実現可能である。

【図1】

【図2】

【図3】

【図4】

【図5】

【図6】

【図7】

【図8】

【図9】

【図10】

【図11】

【図12】

【図13】

【図14】

【図15】

【図16】

【図17】