特許 7298438 情報処理プログラム、情報処理方法、および、情報処理装置

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】特許公報(B2)

(11)【特許番号】

(24)【登録日】2023-06-19

(45)【発行日】2023-06-27

(54)【発明の名称】情報処理プログラム、情報処理方法、および、情報処理装置

(51)【国際特許分類】

   H04L 43/02 20220101AFI20230620BHJP

   G06F 21/56 20130101ALI20230620BHJP

   H04L 41/0895 20220101ALI20230620BHJP

【ＦＩ】

H04L43/02

G06F21/56

H04L41/0895

【請求項の数】 8

(21)【出願番号】P 2019190105

(22)【出願日】2019-10-17

(65)【公開番号】P2021064918

(43)【公開日】2021-04-22

【審査請求日】2022-07-08

(73)【特許権者】

【識別番号】000005223

【氏名又は名称】富士通株式会社

(74)【代理人】

【識別番号】100074099

【弁理士】

【氏名又は名称】大菅 義之

(74)【代理人】

【識別番号】100121083

【弁理士】

【氏名又は名称】青木 宏義

(74)【代理人】

【識別番号】100138391

【弁理士】

【氏名又は名称】天田 昌行

(72)【発明者】

【氏名】町田 卓謙

(72)【発明者】

【氏名】山本 大

【審査官】小林 義晴

(56)【参考文献】

【文献】特開２０１６－２１３７９９（ＪＰ，Ａ）

【文献】特開２０１６－０９２７６３（ＪＰ，Ａ）

(58)【調査した分野】(Int.Cl.，ＤＢ名)

Ｈ０４Ｌ １２／００－１２／６６

４１／００－１０１／６９５

Ｇ０６Ｆ ２１／５６

(57)【特許請求の範囲】

【請求項1】

ネットワーク内の複数の端末へのマルウェアの感染を検出した場合に、前記感染を検出した端末に関連するパケットの情報に基づいて、前記マルウェアの端末への感染順の傾向を特定し、
特定した前記傾向の情報、及び、複数の仮想端末それぞれのＩＰアドレスとホスト名との少なくともいずれかの情報に基づいて、前記ネットワークと通信可能とする仮想端末を決定する
処理をコンピュータに実行させることを特徴とする情報処理プログラム。

【請求項2】

前記ネットワークと通信可能とする仮想端末の候補である仮想端末の情報を含むパケットの送信指示を送る処理をコンピュータに実行させる
ことを特徴とする請求項１に記載の情報処理プログラム。

【請求項3】

前記送信指示は、前記ネットワークと通信可能とする仮想端末の候補に割り当てられているホスト名を前記複数の端末へ通知する通知パケットの送信に対する指示である
ことを特徴とする請求項２に記載の情報処理プログラム。

【請求項4】

前記送信指示は、前記複数の端末のいずれかで使用されているＭＡＣアドレスを問い合わせるための問い合わせパケットの送信に対する指示であり、
前記問い合わせパケット内の送信元の情報として、前記ネットワークと通信可能とする仮想端末の候補の情報が含まれる
ことを特徴とする請求項２に記載の情報処理プログラム。

【請求項5】

前記コンピュータに、
前記感染の原因となったパケットの受信時刻から所定の期間内に送受信された複数のパケットを分析対象パケットとして抽出し、
前記分析対象パケットの間での送信順序と、前記分析対象パケットの間での宛先ＩＰアドレスの値の順序の関係を分析した結果を前記傾向として特定する
処理を行わせることを特徴とする請求項１～４のいずれか１項に記載の情報処理プログラム。

【請求項6】

前記コンピュータに、
前記感染の原因となったパケットの受信時刻から所定の期間内に送受信された複数のパケットを分析対象パケットとして抽出し、
前記分析対象パケットの間での送信順序と、前記分析対象パケットの間での宛先ホスト名のアルファベット順の関係を分析した結果を前記傾向として特定する
処理を行わせることを特徴とする請求項１～４のいずれか１項に記載の情報処理プログラム。

【請求項7】

ネットワーク内の複数の端末へのマルウェアの感染を検出した場合に、前記感染を検出した端末に関連するパケットの情報に基づいて、前記マルウェアの端末への感染順の傾向を特定し、
特定した前記傾向の情報、及び、複数の仮想端末それぞれのＩＰアドレスとホスト名との少なくともいずれかの情報に基づいて、前記ネットワークと通信可能とする仮想端末を決定する
処理をコンピュータが実行することを特徴とする情報処理方法。

【請求項8】

ネットワーク内の複数の端末へのマルウェアの感染を検出する検知部と、
前記検知部が前記マルウェアの感染を検出した場合に、前記感染を検出した端末に関連するパケットの情報に基づいて、前記マルウェアの端末への感染順の傾向を特定する特定部と、
特定した前記傾向の情報、及び、複数の仮想端末それぞれのＩＰアドレスとホスト名との少なくともいずれかの情報に基づいて、前記ネットワークと通信可能とする仮想端末を決定する決定部
ことを特徴とする情報処理装置。

【発明の詳細な説明】

【技術分野】

【0001】

本明細書は、情報処理プログラム、情報処理方法、および、情報処理装置に関する。

【背景技術】

【0002】

近年、機械の制御や管理等のために工場内で利用される端末へのマルウェアの感染が問題になっている。また、マルウェアの感染に起因して端末の利用が妨げられたことによって、生産ラインが停止するケースも発生している。このため、工場でマルウェア感染への対策を行うことが求められている。しかし、工場では管理対象の機械との関係などから、既知の脆弱性が残っている端末が使用されることもある。また、工場内の作業者によって、セキュリティ対策の施されていない外部端末やＵＳＢ（Universal Serial Bus）がネットワークに接続されることもあり得る。このため、外部端末やＵＳＢの接続に起因して、工場内の端末がマルウェアに感染（１次感染）することを防ぐことは難しい。

【0003】

ここで、ワーム型のマルウェア（ワーム）は、ネットワーク中の端末に感染した後で、自身を複製してネットワーク内の他の端末にも感染（２次感染）することで被害を拡大する。このため、工場ネットワーク中の端末などへのワームの２次感染を遅らせることにより、被害の拡大を防ぐことが考えられる。

【0004】

関連する技術として、おとり手段へのウイルスの侵入を検出すると、ウイルスの侵入時に取得した通信情報からウイルスの送信元の装置を検出して、ウイルスの活動を抑制する処理を行うシステムが提案されている（例えば、特許文献１）。ダミーコンピュータに対するアクセスを行ったコンピュータのＩＰ（Internet Protocol）アドレスを、ウイルスを拡散している可能性があるコンピュータのアドレスとして管理サーバに通知する装置も知られている（例えば、特許文献２）。さらに、入力された被検査ファイルを仮想ホスト上で実行したときの結果に基づいて、被検査ファイルがコンピュータウイルスに感染しているかを判定する方法も提案されている（例えば、特許文献３）。

【先行技術文献】

【特許文献】

【0005】

【文献】国際公開第２００４－０８４０６３号

【文献】特開２００６－３３０９２６号公報

【文献】特開２００４－３８２７３号公報

【発明の概要】

【発明が解決しようとする課題】

【0006】

ネットワーク中の端末などへのマルウェアの感染拡大を遅らせるために、マルウェアが感染可能なおとり端末をネットワーク中に含めることが考えられる。マルウェアがネットワーク中の端末の代わりにおとり端末を感染先に選択すると、おとり端末への感染の処理が行われる期間分、ネットワーク中の装置へのマルウェアの感染を遅らせることができる。しかし、ネットワークにおとり端末を接続しても、接続したおとり端末が感染対象としてマルウェアに選択されなければ、おとり端末によってマルウェアの２次感染を遅らせることは困難である。このような問題は、工場ネットワーク以外でも、マルウェアへの１次感染を防ぐことが難しいネットワークで発生し得る。また、関連する技術を用いても、この問題は解決されない。

【0007】

本発明は、１つの側面として、マルウェアの感染拡大を遅らせることを目的とする。

【課題を解決するための手段】

【0008】

ある１つの態様にかかる情報処理プログラムは、コンピュータで実行される。コンピュータは、ネットワーク内の複数の端末へのマルウェアの感染を検出した場合に、前記感染を検出した端末に関連するパケットの情報に基づいて、前記マルウェアの端末への感染順の傾向を特定する。コンピュータは、特定した前記傾向の情報、及び、複数の仮想端末それぞれのＩＰアドレスとホスト名との少なくともいずれかの情報に基づいて、前記ネットワークと通信可能とする仮想端末を決定する。

【発明の効果】

【0009】

マルウェアの感染拡大を遅らせることができる。

【図面の簡単な説明】

【0010】

【図1】実施形態にかかる情報処理方法の例を説明する図である。

【図2】情報処理装置の構成の例を説明する図である。

【図3】情報処理装置のハードウェア構成の例を説明する図である。

【図4】ネットワークの監視処理の例を説明するフローチャートである。

【図5】使用ＩＰテーブルと使用ホストテーブルの例を説明する図である。

【図6】ＶＭの作成処理の例を説明するフローチャートである。

【図7】作成済みＶＭリストの例を説明する図である。

【図8】第１の実施形態にかかる情報処理装置で行われる処理の例を説明する図である。

【図9】感染拡大戦略の推定方法と接続対象のＶＭの決定方法の例を説明するフローチャートである。

【図10】ホスト名リストの例を説明する図である。

【図11】１次感染の発生前に情報処理装置で行われる処理の例を説明する図である。

【図12】第２の実施形態でのネットワークの監視処理の例を説明するフローチャートである。

【図13】リスト設定部で行われる処理の例を説明するフローチャートである。

【図14】第２の実施形態にかかる情報処理装置で行われる処理の例を説明する図である。

【図15】第２の実施形態での感染戦略の推定方法と接続対象のＶＭの決定方法の例を説明するフローチャートである。

【図16】第３の実施形態で用いられる作成済みＶＭリストの例を説明する図である。

【図17】第３の実施形態でのリスト設定部の処理の例を説明するフローチャートである。

【発明を実施するための形態】

【0011】

図１は、実施形態にかかる情報処理方法の例を説明する図である。図１を参照しながら、ネットワークに参加していない情報処理装置２０がマルウェアの感染拡大を遅らせるためのおとり端末を管理する場合を例として説明する。情報処理装置２０は、ネットワークスイッチ１０のミラーポート１１に接続されているため、ネットワーク中で送受信される全てのパケットを取得できるものとする。

【0012】

情報処理装置２０は、予め、ネットワークに接続可能で、マルウェアが感染可能な脆弱性を有する仮想マシン（ＶＭ、virtual machine）を生成しているが、生成した仮想マシンをネットワークに接続していないものとする。図１の例では、感染可能ＶＭ５２ａ～５２ｃが感染可能な脆弱性を有する仮想マシンである。また、感染可能ＶＭ５２ａ～５２ｃのＩＰアドレスの値の大きさは、感染可能ＶＭ５２ａ＜感染可能ＶＭ５２ｂ＜感染可能ＶＭ５２ｃの順に大きくなるとする。なお、図１には情報処理装置２０が生成した感染可能ＶＭ５２のうちの３台だけが示されている。

【0013】

情報処理装置２０は、ミラーポート１１を介して取得したパケットを解析することにより、マルウェアへの感染が発生したかを判定する。ネットワーク中の端末へのマルウェアの感染を検出すると、情報処理装置２０は、マルウェアの感染拡大の予兆を検知したと判定する（ステップＳ１）。すると、情報処理装置２０は、マルウェアへの感染の発生を検出するために使用したパケットや、マルウェアへの感染の検出の前後に送受信されたパケットを解析することにより、マルウェアの感染拡大戦略を推定する（ステップＳ２）。ここで、感染拡大戦略は、マルウェアの端末への感染順の傾向である。例えば、情報処理装置２０は、マルウェアがＩＰアドレス値の小さな端末からＩＰアドレスの昇順に無作為に感染を拡大している場合、無作為型昇順の戦略でマルウェアが感染を拡大していると判定する。一方、マルウェアがＩＰアドレス値の大きな端末からＩＰアドレスの降順に無作為に感染を拡大している場合、情報処理装置２０は、無作為型降順の戦略でマルウェアが感染を拡大していると判定する。さらに、ランダムに感染対象が選択されている場合、情報処理装置２０は、マルウェアが無作為型ランダムの戦略で感染を拡大していると判定する。情報処理装置２０は、生成済みの感染可能ＶＭ５２のうちで、マルウェアが感染対象として選択する可能性の高い感染可能ＶＭ５２をネットワークに接続する（ステップＳ３）。ネットワークに接続する感染可能ＶＭ５２を選択する際に、情報処理装置２０は、マルウェアの採る感染拡大戦略を使用する。

【0014】

例えば、マルウェアが無作為型昇順の拡大戦略をとっており、マルウェアの感染はＩＰアドレスが小さい端末から優先的に行われるとする。また、マルウェアの感染が検出された端末のＩＰアドレスを感染の開始位置とする。ここでは、感染の開始位置となった端末に割り当てられたＩＰアドレスは、感染可能ＶＭ５２ａのＩＰアドレスよりも小さな値であるとする。すると、情報処理装置２０は、生成済みの感染可能ＶＭ５２のうちで、開始位置よりも大きなＩＰアドレス値であり、かつ、開始位置に近い値を有するＶＭを接続対象に選択する。このため、情報処理装置２０が備えるＶＭ管理部４０は、図１のケースＣ１に示すように、感染可能ＶＭ５２ａから感染可能ＶＭ５２ｂまでの感染可能ＶＭ５２をネットワークに接続する。

【0015】

次に、マルウェアが無作為型降順の拡大戦略をとっており、ＩＰアドレスが大きい端末から順にマルウェアの感染が起こっているとする。また、感染の開始位置となった端末に割り当てられたＩＰアドレスは、感染可能ＶＭ５２ｃのＩＰアドレスよりも大きな値であるとする。すると、情報処理装置２０は、生成済みの感染可能ＶＭ５２のうちで、開始位置よりも小さなＩＰアドレス値であり、かつ、開始位置に近い値を有するＶＭを接続対象に選択する。このため、ＶＭ管理部４０は、ケースＣ２に示すように、感染可能ＶＭ５２ｃから感染可能ＶＭ５２ｂまでの感染可能ＶＭ５２をネットワークに接続する。

【0016】

さらに、マルウェアが無作為型ランダムの拡大戦略をとっているとする。この場合、情報処理装置２０は、生成済みの感染可能ＶＭ５２からランダムに選択した感染可能ＶＭ５２をネットワークに接続する。ケースＣ３に示す例では、ＶＭ管理部４０は、感染可能ＶＭ５２ａ～５２ｃのうちで、感染可能ＶＭ５２ａと感染可能ＶＭ５２ｃをネットワークに接続している。

【0017】

このように、情報処理装置２０は、マルウェアが採る感染拡大戦略に応じて、ネットワーク中の端末よりも感染可能ＶＭ５２がマルウェアに感染しやすくなるように、接続する感染可能ＶＭ５２を選択する。このため、情報処理装置２０を用いたシステムでは、マルウェアが感染可能ＶＭ５２への感染処理を行っている期間の分だけ、ネットワーク中の端末へのマルウェアの感染を遅らせることができる。

【0018】

＜装置構成＞
図２は、情報処理装置２０の構成の例を説明する図である。情報処理装置２０は、通信部２１、制御部３０、および、記憶部６０を備える。通信部２１は、送信部２２と受信部２３を備える。送信部２２は、ネットワーク中の端末やサーバなどの他の装置にパケットを送信する。受信部２３は、ネットワーク中の端末やサーバなどの他の装置からパケットを受信する。例えば、受信部２３は、ミラーポート１１から送信されたパケットを受信する。

【0019】

記憶部６０は、使用ＩＰテーブル６１、使用ホストテーブル６２、および、作成済みＶＭリスト６３を有する。使用ＩＰテーブル６１は、ネットワーク中で使用されているＩＰアドレスを記録する。使用ホストテーブル６２は、ネットワーク中で使用されているホスト名を記録する。作成済みＶＭリスト６３は、情報処理装置２０で生成されている感染可能ＶＭ５２の各々について、その感染可能ＶＭ５２に割り当てられているＩＰアドレスやホスト名などの情報を記録する。記憶部６０は、さらに、監視対象のネットワークで使用され得るＩＰアドレスの範囲に関する情報も記憶している。

【0020】

制御部３０は、観測部３１、予兆検知部３２、戦略特定部３３、ＶＭ管理部４０、および、ゲストＯＳ（Operating System）処理部５０を備え、オプションとして、リスト設定部３４を備える。観測部３１は、ミラーポート１１から送信されたパケットを観測することにより、使用ＩＰテーブル６１と使用ホストテーブル６２を更新する。予兆検知部３２は、ネットワークを送受信されているパケットを解析することにより、マルウェアへの感染を検出する。戦略特定部３３は、マルウェアの感染拡大戦略を推定する。リスト設定部３４は、ネットワーク中の装置についてサーバ等で生成されているホスト名リストなどのリストに感染可能ＶＭ５２の情報を含めるための設定処理を行う。

【0021】

ＶＭ管理部４０は、生成部４１と決定部４２を有する。生成部４１は、ＶＭ５１や感染可能ＶＭ５２を生成する。生成部４１は、ＶＭ５１や感染可能ＶＭ５２の生成に際して、適宜、ネットワークで使用可能なＩＰアドレスの範囲の情報を記憶部６０から取得する。決定部４２は、戦略特定部３３で決定された感染拡大戦略に応じて、ネットワークに接続する感染可能ＶＭ５２を決定する。

【0022】

ゲストＯＳ処理部５０は、観測部３１、予兆検知部３２、戦略特定部３３、リスト設定部３４、およびＶＭ管理部４０として動作するＯＳ上で動作するゲストＯＳの処理を行う。ゲストＯＳ処理部５０は、１つ以上の感染可能ＶＭ５２を有し、さらに、オプションとしてＶＭ５１を有する。ＶＭ５１は、ネットワークに常時接続する仮想マシンであり、リスト設定部３４から入力されたパケットを所定の周期ごとにネットワーク中の装置に送信する。ＶＭ５１は、マルウェアが感染するための脆弱性を備えていてもよく、脆弱性を備えていなくても良い。感染可能ＶＭ５２は、マルウェアが感染するための脆弱性を備えている仮想マシンである。

【0023】

図３は、情報処理装置２０のハードウェア構成の例を説明する図である。情報処理装置２０は、プロセッサ１０１、メモリ１０２、バス１０３、ネットワーク接続装置１０４を有する。プロセッサ１０１は、任意の処理回路であり、例えば、ＣＰＵ（Central Processing Unit）とすることができる。プロセッサ１０１は、メモリ１０２をワーキングメモリとして使用して、プログラムを実行することにより、様々な処理を実行する。メモリ１０２には、ＲＡＭ（Random Access Memory）が含まれ、さらに、ＲＯＭ（Read Only Memory）等の不揮発性のメモリも含まれる。メモリ１０２は、プログラムやプロセッサ１０１での処理に使用されるデータを格納する。ネットワーク接続装置１０４は、ネットワークを介した他の装置との通信に使用される。バス１０３は、プロセッサ１０１、メモリ１０２、ネットワーク接続装置１０４を、互いにデータの入出力が可能になるように接続する。

【0024】

情報処理装置２０において、制御部３０はプロセッサ１０１によって実現される。通信部２１は、ネットワーク接続装置１０４によって実現される。さらに、記憶部６０は、メモリ１０２により実現される。情報処理装置２０は、コンピュータ、ゲートウェイ装置などとして実現され得る。

【0025】

＜第１の実施形態＞
以下、第１の実施形態を、マルウェアの１次感染の発生前とマルウェアの１次感染の発生後に分けて説明する。以下の説明では、ワーム型のマルウェア（ワーム）の感染が発生する場合の例を説明する。なお、第１の実施形態では、情報処理装置２０はリスト設定部３４を備えていなくてもよく、さらに、ＶＭ５１を生成しなくてもよい。以下の説明では、分かりやすくするために、生成部４１はＶＭ５１を生成せず、感染可能ＶＭ５２を生成しているとする。感染可能ＶＭ５２は、いずれも生成された時点ではネットワークに接続されない。

【0026】

（１．１）ワームの感染の発生前に行う処理
ワームの感染が起こる前の段階では、ネットワークの監視による感染可能ＶＭ５２に使用可能なＩＰアドレスやホスト名の特定、および、感染可能ＶＭ５２の生成が行われる。

【0027】

図４は、ネットワークの監視処理の例を説明するフローチャートである。観測部３１は、ミラーポート１１と受信部２３を介して、ネットワーク中で送受信されているパケットを取得することにより、ネットワークを監視する（ステップＳ１１）。観測部３１は、ネットワーク中で使用されているＩＰアドレス（使用ＩＰアドレス）、もしくは、ネットワーク中で使用されているホスト名（使用ホスト名）を含むパケットを観測したかを判定する（ステップＳ１２）。例えば、観測部３１は、ＩＰアドレスが含まれる任意のパケットを、ネットワーク中で使用されているＩＰアドレスを特定するための観測対象とすることができる。また、ホスト名が含まれている任意のパケットが、ホスト名の特定に使用されうる。例えば、ホスト名の特定の際に、Ｈｏｓｔ Ａｎｎｏｕｎｃｅｍｅｎｔパケットが使用されても良い。ＩＰアドレスやホスト名を含むパケットを受信していない場合、ステップＳ１１以降の処理が繰り返される（ステップＳ１２でＮｏ）。

【0028】

一方、観測部３１は、ＩＰアドレスまたはホスト名を含むパケットを観測すると、観測したパケット中のＩＰアドレスやホスト名が記録されているかを判定する（ステップＳ１２でＹｅｓ、ステップＳ１３）。ここで、観測部３１は、観測対象のパケットからＩＰアドレスを抽出した場合、抽出したＩＰアドレスが使用ＩＰテーブル６１に記録されているかを判定する。一方、観測対象のパケットからホスト名を抽出した場合、観測部３１は、抽出したホスト名が使用ホストテーブル６２に記録されているかを判定する。観測したパケット中のＩＰアドレスやホスト名が既に使用ＩＰテーブル６１か使用ホストテーブル６２に記録されている場合、ステップＳ１１以降の処理が繰り返される（ステップＳ１３でＹｅｓ）。一方、観測したパケット中のＩＰアドレスが使用ＩＰテーブル６１に記録されていない場合、観測部３１は、抽出したＩＰアドレスを使用ＩＰテーブル６１に記録する（ステップＳ１３でＮｏ、ステップＳ１４）。同様に、観測したパケット中のホスト名が使用ホストテーブル６２に記録されていない場合、観測部３１は、抽出したホスト名を使用ホストテーブル６２に記録する。ステップＳ１４の処理後、ステップＳ１１以降の処理が繰り返される。

【0029】

図５は、使用ＩＰテーブル６１と使用ホストテーブル６２の例を説明する図である。以下の説明では、情報処理装置２０が図５に示す使用ＩＰテーブル６１と使用ホストテーブル６２を有しているとする。また、監視対象のネットワークで使用され得るＩＰアドレスの範囲は、１９２．１６８．１０．０／２４であるとする。

【0030】

図４を参照しながら説明したとおり、図４の処理は、情報処理装置２０が動作している間にわたって繰り返し行われている。このため、使用ＩＰテーブル６１には、ネットワーク中で使用されている全てのＩＰアドレスが記録されている。同様に、使用ホストテーブル６２には、ネットワーク中で使用されている全てのホスト名が記録されている。従って、使用可能なＩＰアドレスの範囲のうちで使用ＩＰテーブル６１に含まれていないＩＰアドレスは感染可能ＶＭ５２に割り当て可能なＩＰアドレスである。さらに、感染可能ＶＭ５２には、使用ホストテーブル６２に含まれていない任意のホスト名の割り当てが可能である。そこで、生成部４１は、使用ＩＰテーブル６１と使用ホストテーブル６２を用いて感染可能ＶＭ５２の生成を行う。

【0031】

図６は、ＶＭの作成処理の例を説明するフローチャートである。図６では、変数ｉと定数ｎを使用する。変数ｉは処理対象としたアドレスの計数に使用される。ｎはネットワークで使用可能なＩＰアドレスの総数である。

【0032】

生成部４１は、変数ｉを１に設定する（ステップＳ２１）。生成部４１は、ネットワークで使用可能なＩＰアドレスの範囲に含まれているｉ番目のＩＰアドレスについて、そのアドレスが使用ＩＰテーブル６１に存在するかを判定する（ステップＳ２２）。ｉ番目のＩＰアドレスが使用ＩＰテーブル６１に存在しない場合、生成部４１は、ｉ番目のＩＰアドレスを有するＶＭが作成済みＶＭリスト６３に存在するかを判定する（ステップＳ２２でＮｏ、ステップＳ２３）。ｉ番目のＩＰアドレスを有するＶＭが作成済みＶＭリスト６３に存在しない場合、生成部４１は、ｉ番目のＩＰアドレスを有するＶＭを生成し、作成済みＶＭリスト６３を更新する（ステップＳ２３でＮｏ、ステップＳ２４、Ｓ２７）。その後、生成部４１は、変数ｉを１つインクリメントしてから、定数ｎと変数ｉを比較する（ステップＳ２８、Ｓ２９）。定数ｎが変数ｉ以上である場合、ステップＳ２２以降の処理が繰り返される（ステップＳ２９でＹｅｓ）。一方、定数ｎが変数ｉ以上ではない場合、ネットワークで使用可能な全てのＩＰアドレスについての処理が終わっている（ステップＳ２９でＮｏ）。そこで、ステップＳ２１以降の処理が繰り返される。

【0033】

ｉ番目のＩＰアドレスを有するＶＭが作成済みＶＭリスト６３に存在する場合、ｉ番目のＩＰアドレスを有するＶＭが既に生成されている（ステップＳ２３でＹｅｓ）。そこで、生成部４１は、ステップＳ２８以降の処理を行う。

【0034】

ｉ番目のＩＰアドレスが使用ＩＰテーブル６１に存在する場合、ｉ番目のＩＰアドレスを有する端末がネットワークに既に接続されている（ステップＳ２２でＹｅｓ）。そこで、生成部４１は、ｉ番目のＩＰアドレスを有するＶＭを生成しているかを判定するために、ｉ番目のＩＰアドレスを持つＶＭが作成済みＶＭリスト６３に存在するかを判定する（ステップＳ２５）。ｉ番目のＩＰアドレスを持つＶＭが作成済みＶＭリスト６３に存在する場合、生成部４１は、ｉ番目のＩＰアドレスを持つＶＭを削除し、作成済みＶＭリスト６３を更新する（ステップＳ２５でＹｅｓ、ステップＳ２６、Ｓ２７）。生成部４１は、その後、ステップＳ２８以降の処理を行う。ｉ番目のＩＰアドレスを持つＶＭが作成済みＶＭリスト６３に存在しない場合、生成部４１は、ステップＳ２６、Ｓ２７の処理を行わずにステップＳ２８以降の処理を行う（ステップＳ２５でＮｏ）。

【0035】

なお、図６は感染可能ＶＭ５２の生成処理の一例であり、実装に応じて変更され得る。例えば、ネットワークで使用されうるＩＰアドレスの範囲の広さや情報処理装置２０の処理能力などに応じて、感染可能ＶＭ５２は未使用のＩＰアドレスの一部分について生成されても良い。例えば、ステップＳ２８において、変数ｉが２以上の値ずつインクリメントされるように設定されても良い。

【0036】

図７は、作成済みＶＭリスト６３の例を説明する図である。作成済みＶＭリスト６３は、生成した感染可能ＶＭ５２の各々について、そのＶＭに割り当てられたＩＰアドレスとホスト名を記録する。例えば、ＩＰアドレス＝１９２．１６８．１０．１１が割り当てられた感染可能ＶＭ５２のホスト名はＫｏｕｊｏｕ１１である。また、ＩＰアドレス＝１９２．１６８．１０．１９８が割り当てられた感染可能ＶＭ５２のホスト名はＫｏｕｊｏｕ１９８である。他の感染可能ＶＭ５２についても、同様に作成済みＶＭリスト６３からＩＰアドレスとホスト名が特定され得る。従って、作成済みＶＭリスト６３には、生成部４１が生成した全ての感染可能ＶＭ５２の情報が記録されている。第１の実施形態では、生成部４１での処理により、図７に示すＩＰアドレスとホスト名が割り当てられた感染可能ＶＭ５２が生成されたとする。

【0037】

（１．２）ワームへの感染の検出、および、ワームの感染の検出後に行う処理
図８は、第１の実施形態にかかる情報処理装置２０で行われる処理の例を説明する図である。図８を参照しながら、無作為型昇順の拡大戦略をとるワームを例として、ワームへの感染の検出と感染の検出後に行われる処理について説明する。

【0038】

図８のステップＳ３１～Ｓ３３は、図４～図７を参照しながら説明したネットワークの観測処理と感染可能ＶＭ５２の生成処理に該当する。ワームの感染が検出された後も、ネットワークでのＩＰアドレスやホスト名の使用状況が変動する可能性があるので、図４～図７を参照しながら説明した処理はワームの感染を検出したかに関わらず継続される。

【0039】

ネットワークスイッチ１０のミラーポート１１から受信部２３が受信した全てのパケットは、観測部３１と予兆検知部３２に出力される（ステップＳ３１）。観測部３１は、入力されたパケットを処理することにより、使用ＩＰテーブル６１と使用ホストテーブル６２を更新する。使用ＩＰテーブル６１と使用ホストテーブル６２の生成処理は図４、図５を参照して説明した処理と同様である。観測部３１は、生成した使用ＩＰテーブル６１と使用ホストテーブル６２をＶＭ管理部４０に出力する（ステップＳ３２）。すると、図６、図７を参照しながら説明した処理と同様の処理により、生成部４１による感染可能ＶＭ５２の生成処理が行われる（ステップＳ３３）。

【0040】

予兆検知部３２にもミラーポート１１から受信したパケットが入力されるので、予兆検知部３２は、使用ＩＰテーブル６１に含まれていないＩＰアドレスへのアクセス回数が閾値Ｔｈ以上になるとワームの感染を検出したと判定するものとする。以下の説明では、閾値Ｔｈ＝３回の場合を例として説明する。

【0041】

まず、宛先ＩＰアドレス＝１９２．１６８．１０．１１に設定されたパケットＰ１がネットワークに送信されたとする。予兆検知部３２は、パケットＰ１を取得すると、パケットＰ１の宛先ＩＰアドレスをキーとして使用ＩＰテーブル６１（図５）を検索する。ＩＰアドレス＝１９２．１６８．１０．１１は使用ＩＰテーブル６１に含まれていないので、予兆検知部３２は、ネットワーク中で使用されていない端末へのアクセスの発生回数が１回であると認識する。この時点では、ネットワーク中で使用されていない端末へのアクセスの発生回数は閾値Ｔｈ未満であるので、予兆検知部３２はワームの感染を検出しない。

【0042】

次に、宛先ＩＰアドレス＝１９２．１６８．１０．１２に設定されたパケットＰ２がネットワークに送信されたとする。予兆検知部３２は、パケットＰ２を取得し、パケットＰ２の宛先ＩＰアドレスをキーとして使用ＩＰテーブル６１を検索する。ＩＰアドレス＝１９２．１６８．１０．１２は使用ＩＰテーブル６１に含まれている、このため、予兆検知部３２は、ネットワーク中で使用されていない端末へのアクセスの発生回数を変更しない。

【0043】

宛先ＩＰアドレス＝１９２．１６８．１０．１３に設定されたパケットＰ３がネットワークに送信されると、予兆検知部３２は、パケットＰ３を取得するとともに、パケットＰ３の宛先ＩＰアドレスをキーとして使用ＩＰテーブル６１を検索する。ＩＰアドレス＝１９２．１６８．１０．１３は使用ＩＰテーブル６１に含まれていないので、予兆検知部３２は、ネットワーク中で使用されていない端末へのアクセスの発生回数を２回にインクリメントする。この時点でも、ネットワーク中で使用されていない端末へのアクセスの発生回数（２回）は、閾値Ｔｈ未満であるので、予兆検知部３２はワームの感染が発生したとは判定しない。

【0044】

さらに、宛先ＩＰアドレス＝１９２．１６８．１０．１４に設定されたパケットＰ４がネットワークに送信されたとする。パケットＰ４を取得すると予兆検知部３２は、パケットＰ４の宛先ＩＰアドレスをキーとして使用ＩＰテーブル６１を検索する。ＩＰアドレス＝１９２．１６８．１０．１４は使用ＩＰテーブル６１に含まれていないので、予兆検知部３２は、ネットワーク中で使用されていない端末へのアクセスの発生回数を３回にインクリメントする。すると、ネットワーク中で使用されていない端末へのアクセスの発生回数が閾値Ｔｈと一致するので、予兆検知部３２は、ネットワーク中でワームへの感染が発生したと判定する。

【0045】

ワームへの感染が発生したと判定すると、予兆検知部３２は、感染拡大戦略を特定するための分析対象のパケットを、戦略特定部３３に出力する（ステップＳ４１）。分析対象のパケットは、ワームへの感染の検出に使用したパケットとワームへの感染の検出に使用したパケットの受信時刻から所定の期間内に受信したパケットである。ここで、ワームへの感染の検出に使用したパケットの受信時刻から所定の期間は、ワームの感染拡大戦略の特定が可能な数のパケットの送受信が行われることが見込まれる長さの期間であり、実装に応じて設定され得る。また、予兆検知部３２は、分析対象のパケットを選択する際に、受信時刻の代わりにパケット数を用いても良い。例えば、予兆検知部３２は、ワームへの感染の検出に使用したパケットを含む所定数のパケットを戦略特定部３３に出力してもよい。ここで所定数は、ワームの感染拡大戦略の特定が可能なパケット数となる任意の数である。この例では、予兆検知部３２は、パケットＰ１～Ｐ４の４つのパケットを戦略特定部３３に出力したとする。

【0046】

戦略特定部３３は、予兆検知部３２から入力されたパケットのＩＰアドレスの変動の傾向を求めることにより、ワームの感染拡大戦略を推定する。この例では、パケットＰ１～Ｐ４の順にパケットが送信され、宛先ＩＰアドレスの値がパケットＰ１～Ｐ４の順に大きくなっている。このため、戦略特定部３３は、感染したワームの感染拡大戦略は、無作為型昇順であると判定する。更に、戦略特定部３３は、分析対象のパケット中の宛先ＩＰアドレスから、感染の開始位置を特定する。感染の開始位置は、分析対象のパケットのうち、使用ＩＰテーブル６１に含まれていない宛先への最初のアクセスとなったパケットの宛先ＩＰアドレスである。感染の開始位置を「開始ＩＰアドレス」と記載することもある。この例では、感染の開始位置＝１９２．１６８．１０．１１である。戦略特定部３３は、特定した感染拡大戦略と感染の開始位置を決定部４２に出力する（ステップＳ４２）。

【0047】

決定部４２は、感染の開始位置と戦略特定部３３での推定結果に応じて、ネットワークに接続される感染可能ＶＭ５２を決定する。この例では、決定部４２は、感染拡大戦略が無作為型昇順であることから、感染の開始位置よりも所定の値以上大きなＩＰアドレスが割り振られた感染可能ＶＭ５２を所定数以上ネットワークに接続することを決定する。ここで、所定の値は、情報処理装置２０での感染への検出や感染拡大戦略の決定にかかる時間の間にワームが感染する端末の数に応じて、任意に設定され得る。すなわち、情報処理装置２０での感染検出や感染拡大戦略の特定に要する時間中にワームが感染しておらず、かつ、感染開始位置に相対的に近いアドレスが割り当てられた感染可能ＶＭ５２を決定部４２が選択できるように、所定の値が設定される。また、ネットワークに接続される感染可能ＶＭ５２の数は、ネットワーク中の端末への感染を遅延させようとする時間に応じて、任意に選択され得る。この例では、感染の開始位置の端末に割り当てられたＩＰアドレスが１９２．１６８．１０．１１であり、ワームが昇順の戦略を採っていることから、ＩＰアドレス＝１９２．１６８．１０．１６からＩＰアドレス＝１９２．１６８．１０．４９の感染可能ＶＭ５２が接続対象として決定されたとする。決定部４２は、決定した感染可能ＶＭ５２に対して接続処理を行うことにより、決定した感染可能ＶＭ５２をネットワークに接続する（ステップＳ４３）。

【0048】

ＩＰアドレス＝１９２．１６８．１０．１６からＩＰアドレス＝１９２．１６８．１０．４９の感染可能ＶＭ５２が接続されたときに、１次感染の発生している装置は、ＩＰアドレス＝１９２．１６８．１０．１５宛のパケットの送信を終了したとする。１次感染の発生している装置は、次に、ＩＰアドレス＝１９２．１６８．１０．１６宛のパケットを送信することにより、ワームの感染拡大を試みたとする。この時点では、ＩＰアドレス＝１９２．１６８．１０．１６の感染可能ＶＭ５２がネットワークに接続されているので、ワームは、ＩＰアドレス＝１９２．１６８．１０．１６の感染可能ＶＭ５２への感染処理を行う。その後も同様の処理により、ＩＰアドレス＝１９２．１６８．１０．１７からＩＰアドレス＝１９２．１６８．１０．４９までの感染可能ＶＭ５２の各々へ、ワームが感染処理を行う。このため、ＩＰアドレス＝１９２．１６８．１０．４９の感染可能ＶＭ５２への感染が終わるまでは、ネットワークで使用されているＩＰアドレス＝１９２．１６８．１０．５０の端末へのワームの感染が起こらない。

【0049】

図５の使用ＩＰテーブル６１に示すように、ネットワーク中で使用されているアドレスのうち、パケットＰ２を受信したＩＰアドレス＝１９２．１６８．１０．１２の次に大きなアドレス値は、１９２．１６８．１０．５０である。ＩＰアドレス＝１９２．１６８．１０．１６～１９２．１６８．１０．４９の感染可能ＶＭ５２をネットワークに接続していない場合、ワームは１９２．１６８．１０．１２の端末に感染した後で、１９２．１６８．１０．５０が割り当てられた端末を感染対象とする。比較対象として、ＩＰアドレス＝１９２．１６８．１０．１６からＩＰアドレス＝１９２．１６８．１０．４９の感染可能ＶＭ５２をネットワークに接続した場合を考える。この場合、ＩＰアドレス＝１９２．１６８．１０．４９の感染可能ＶＭ５２へのワームの感染が終わるまで、１９２．１６８．１０．５０が割り当てられた端末へのワームの感染が起こらずに済む。従って、ネットワークで使用されている端末へのワームの感染拡大を遅延させることができる。なお、無作為型昇順の感染拡大戦略を採るワームの場合を例として説明したが、その他の感染拡大戦略を採るワームについても、感染拡大戦略に応じて感染可能ＶＭ５２を接続することで同様に、ネットワーク中の装置への感染を遅らせることができる。

【0050】

図９は、感染拡大戦略の推定方法と接続対象のＶＭの決定方法の例を説明するフローチャートである。図９の例では、使用ＩＰテーブル６１に含まれていないアドレスへのアクセスを１回検出した時点でワームへの感染が発生していると判定する場合について説明する。なお、ワームへの感染の検出のための未使用ＩＰアドレスへのアクセスの回数（閾値Ｔｈ）は実装に応じて変更され得る。

【0051】

観測部３１と予兆検知部３２は、ミラーポート１１を介して取得したパケットを監視することにより、ネットワークを監視する（ステップＳ５１）。予兆検知部３２は、未使用ＩＰアドレスを宛先としたパケットを観測するまで待機する（ステップＳ５２でＮｏ）。ここで、未使用ＩＰアドレスは、監視対象のネットワークで使用可能なＩＰアドレスの範囲のうちで使用ＩＰテーブル６１に含まれていないアドレスである。

【0052】

未使用ＩＰアドレスを宛先としたパケットを観測すると、予兆検知部３２は、戦略特定部３３での分析対象となるパケットを選択する（ステップＳ５２でＹｅｓ）。戦略特定部３３での分析対象のパケットの宛先ＩＰアドレスは連続昇順であるかを判定する（ステップＳ５３）。分析対象のパケットの宛先ＩＰアドレスが連続昇順である場合、戦略特定部３３は、ワームの感染拡大戦略が無作為型昇順であると推定する（ステップＳ５３でＹｅｓ）。そこで、決定部４２は、開始ＩＰアドレスよりも所定の値以上大きいＩＰアドレスを有するＶＭ群をネットワークに接続し、ステップＳ５１に戻る（ステップＳ５４）。

【0053】

分析対象のパケットの宛先ＩＰアドレスが連続昇順ではない場合、戦略特定部３３は、分析対象のパケットの宛先ＩＰアドレスが連続降順であるかを判定する（ステップＳ５３でＮｏ、ステップＳ５５）。分析対象のパケットの宛先ＩＰアドレスが連続降順である場合、戦略特定部３３は、ワームの感染拡大戦略が無作為型降順であると推定する（ステップＳ５５でＹｅｓ）。そこで、決定部４２は、開始ＩＰアドレスよりも所定の値以上小さいＩＰアドレスを有するＶＭ群をネットワークに接続し、ステップＳ５１に戻る（ステップＳ５６）。

【0054】

分析対象のパケットの宛先ＩＰアドレスが連続降順でもない場合、戦略特定部３３は、ランダム型の感染拡大戦略をとるワームへの感染が発生したと推定する（ステップＳ５５でＮｏ）。そこで、決定部４２は、生成済みの感染可能ＶＭ５２からランダムに選択した感染可能ＶＭ５２をネットワークに接続し、ステップＳ５１に戻る（ステップＳ５７）。

【0055】

なお、図９の処理は、感染拡大戦略の推定方法の一例にすぎず、実装に応じて変更され得る。例えば、戦略特定部３３は、連続昇順に宛先ＩＰアドレスが変動していなくても分析対象のパケットの宛先アドレス値が送信時刻の経過とともに大きくなる場合、昇順の傾向があると判定できる。この場合、決定部４２は、ワームの感染拡大戦略にアドレスの昇順の傾向があるという判定に基づいて、ステップＳ５４の処理を採ることができる。

【0056】

同様に、戦略特定部３３は、連続降順に宛先ＩＰアドレスが変動していなくても分析対象のパケットの宛先アドレス値が送信時刻の経過とともに小さくなる場合、降順の傾向があると判定できる。この場合、決定部４２は、ワームの感染拡大戦略にアドレスの降順の傾向があるという判定に基づいて、ステップＳ５６の処理を採ることができる。

【0057】

このように、第１の実施形態にかかる情報処理装置２０は、感染が確認されたワームが採る感染拡大戦略に応じて、ネットワーク中の端末よりも感染可能ＶＭ５２がワームに感染しやすくなるように、接続する感染可能ＶＭ５２を選択する。このため、情報処理装置２０を用いたシステムでは、ワームが感染可能ＶＭ５２への感染処理を行っている期間の分だけ、ネットワーク中の端末へのワームの感染を遅らせることができる。

【0058】

＜第２の実施形態＞
マルウェアの中には、１次感染した端末が属するネットワークでサーバとして動作するホスト名のリスト（ホスト名リスト、ブラウズリスト）を用いることによって、感染拡大先を限定するものもある。第２の実施形態では、ホスト名リストを用いて感染先を決定するタイプのワーム型マルウェアの感染を遅らせる場合について説明する。第２の実施形態に使用される情報処理装置２０は、リスト設定部３４を備えており、さらに、ＶＭ５１をネットワークに常時接続しているものとする。以下、第２の実施形態で行われる処理の詳細、ワームの１次感染の発生前とワームの１次感染の発生後に分けて説明する。

【0059】

（２．１）ワームの１次感染の発生前
図１０は、ホスト名リスト７１の例を説明する図である。ホスト名リスト７１は、ネットワーク中でホストとして動作可能な端末で使用されているホスト名のリストであり、ネットワーク中でマスタブラウザとして動作するサーバによって管理される。ネットワークでサーバとして動作する端末は、Ｈｏｓｔ Ａｎｎｏｕｎｃｅｍｅｎｔパケットをブロードキャストすることにより、自装置が使用するホスト名を通知する。マスタブラウザとして動作するサーバは、Ｈｏｓｔ Ａｎｎｏｕｎｃｅｍｅｎｔパケットから抽出したホスト名をホスト名リスト７１に記録する。

【0060】

例えば、情報処理装置２０が動作を開始する前に、ホスト名リスト７１ａに示すリストが生成されたとする。ホスト名リスト７１ａはネットワークに参加している任意の端末が取得できる。このため、ワームの１次感染が発生した場合、ワームに感染されている端末は、ホスト名リスト７１ａを取得して、感染先の候補のリストとして使用する。なお、ホスト名リスト７１ａは情報処理装置２０が動作を開始する前に、生成されているので、ホスト名リスト７１ａのままでは、情報処理装置２０が生成した感染可能ＶＭ５２を生成しても感染可能ＶＭ５２が感染対象にならない。ホスト名リスト７１ａが生成された後で、情報処理装置２０が動作を開始したとする。

【0061】

図１１は、ワームの１次感染の発生前に情報処理装置２０で行われる処理の例を説明する図である。ネットワークスイッチ１０のミラーポート１１から受信部２３が受信した全てのパケットは、観測部３１と予兆検知部３２に出力される（ステップＳ６１）。観測部３１は、入力されたパケットに含まれているホスト名のうち、感染可能ＶＭ５２が使用するホスト名以外のホスト名を使用ホストテーブル６２に記録する。ここで、感染可能ＶＭ５２が使用するホスト名は作成済みＶＭリスト６３に記録されている。そこで、観測部３１は、入力されたパケットから抽出したホスト名のうち、作成済みＶＭリスト６３に含まれていないホスト名を使用ホストテーブル６２に記録する。観測部３１は、入力されたパケットから抽出したＩＰアドレスについても、作成済みＶＭリスト６３に記録されているかを判定する。作成済みＶＭリスト６３に記録されているＩＰアドレスは感染可能ＶＭ５２によって使用されており、ネットワーク中の端末に使用されているアドレスではない。そこで、観測部３１は、入力されたパケットから抽出したＩＰアドレスのうち、作成済みＶＭリスト６３に含まれていないＩＰアドレスを使用ＩＰテーブル６１に記録する。ここでは、図５に示す使用ＩＰテーブル６１と使用ホストテーブル６２が生成されたとする。観測部３１は、生成した使用ＩＰテーブル６１と使用ホストテーブル６２を生成部４１に出力する（ステップＳ６２）。

【0062】

生成部４１は、使用ＩＰテーブル６１と使用ホストテーブル６２を用いて、感染可能ＶＭ５２を生成する（ステップＳ６３）。感染可能ＶＭ５２の生成処理や作成済みＶＭリスト６３の更新処理は図６および図７を参照しながら説明した処理と同様に行われる。その後、生成部４１は、作成済みＶＭリスト６３をリスト設定部３４に出力する（ステップＳ６４）。

【0063】

リスト設定部３４は、作成済みＶＭリスト６３を取得すると、感染可能ＶＭ５２が使用するホスト名がホスト名リスト７１に記録されるようにするために、生成された感染可能ＶＭ５２のホスト名を含むパケットの送信をＶＭ５１に要求する（ステップＳ６５）。ＶＭ５１は、リスト設定部３４からの要求に応じて、Ｈｏｓｔ Ａｎｎｏｕｎｃｅｍｅｎｔパケットなどを送信する（ステップＳ６６）。

【0064】

例えば、情報処理装置２０が生成した感染可能ＶＭ５２が図７に示す作成済みＶＭリスト６３のとおりであるとする。この場合、作成済みＶＭリスト６３（図７）に含まれる全ての使用ホスト名についてのＨｏｓｔ ＡｎｎｏｕｎｃｅｍｅｎｔパケットがＶＭ５１からネットワークに送信される。

【0065】

マスタブラウザとして動作するサーバは、ＶＭ５１から送信されたＨｏｓｔ Ａｎｎｏｕｎｃｅｍｅｎｔパケットに含まれているホスト名もホスト名リスト７１に追加する。このため、ＶＭ５１以外に新たにネットワークに参加した端末がない場合、ＶＭ５１から送信されたパケットの処理により、ホスト名リスト７１ａ（図１０）はホスト名リスト７１ｂ（図１０）に示すように更新される。図１０のホスト名リスト７１ｂのうち、太線で囲んだホスト名は情報処理装置２０で生成された感染可能ＶＭ５２のホスト名であり、作成済みＶＭリスト６３（図７）に記録されている。

【0066】

ホスト名リスト７１ｂには、感染可能ＶＭ５２のホスト名が含まれている。このため、ワームに感染した端末がホスト名リスト７１ｂを取得すると、ワームは、ホスト名リスト７１ｂにホスト名が含まれている感染可能ＶＭ５２を感染先の候補とする。

【0067】

図１２は、第２の実施形態でのネットワークの監視処理の例を説明するフローチャートである。ステップＳ７１～Ｓ７３の処理は、図４を参照しながら説明したステップＳ１１～Ｓ１３の処理と同様である。

【0068】

観測したパケット中のＩＰアドレスやホスト名が既に使用ＩＰテーブル６１か使用ホストテーブル６２に記録されている場合、ステップＳ７１以降の処理が繰り返される（ステップＳ７３でＹｅｓ）。一方、観測したパケット中のＩＰアドレスが使用ＩＰテーブル６１に記録されていない場合、観測部３１は、抽出したＩＰアドレスが作成済みＶＭリスト６３に記録されているかを判定する（ステップＳ７３でＮｏ、ステップＳ７４）。抽出したＩＰアドレスが作成済みＶＭリスト６３に記録されている場合、ステップＳ７１以降の処理が繰り返される（ステップＳ７４でＹｅｓ）。一方、抽出したＩＰアドレスが作成済みＶＭリスト６３に記録されていない場合、観測部３１は、抽出したＩＰアドレスを使用ＩＰテーブル６１に記録する（ステップＳ７４でＮｏ、ステップＳ７５）。

【0069】

同様に、観測したパケット中のホスト名が使用ホストテーブル６２に記録されていない場合、観測部３１は、抽出したホスト名が作成済みＶＭリスト６３に記録されているかを判定する（ステップＳ７３でＮｏ、ステップＳ７４）。抽出したホスト名が作成済みＶＭリスト６３に記録されている場合、ステップＳ７１以降の処理が繰り返される（ステップＳ７４でＹｅｓ）。一方、抽出したホスト名が作成済みＶＭリスト６３に記録されていない場合、観測部３１は、抽出したホスト名を使用ホストテーブル６２に記録する（ステップＳ７４でＮｏ、ステップＳ７５）。ステップＳ７５の処理後、ステップＳ７１以降の処理が繰り返される。

【0070】

図１３は、リスト設定部３４で行われる処理の例を説明するフローチャートである。リスト設定部３４は、作成済みＶＭリスト６３を監視する（ステップＳ８１）。作成済みＶＭリスト６３に更新が発生するまで、リスト設定部３４は待機する（ステップＳ８２でＮｏ）。作成済みＶＭリスト６３に更新が発生すると、リスト設定部３４は、感染可能ＶＭ５２の追加が発生しているかを判定する（ステップＳ８２でＹｅｓ、ステップＳ８３）。感染可能ＶＭ５２の追加が発生していない場合、感染可能ＶＭ５２が削除されたことになる（ステップＳ８３でＮｏ）。すると、リスト設定部３４は、削除されたエントリの感染可能ＶＭ５２用に生成したタイマを削除し、ステップＳ８１に戻る（ステップＳ８４）。

【0071】

なお、感染可能ＶＭ５２用に生成されたタイマとは、その感染可能ＶＭ５２に割り当てられたホスト名を含むＨｏｓｔ Ａｎｎｏｕｎｃｅｍｅｎｔパケットの送信間隔の計測に用いられる。従って、タイマの値は、そのタイマに対応付けられている感染可能ＶＭ５２の情報がホスト名リスト７１から削除されない程度の間隔でＨｏｓｔ Ａｎｎｏｕｎｃｅｍｅｎｔパケットが送信されるように設定される。ＶＭ５１は、リスト設定部３４によって生成されたタイマが満了するたびに、そのタイマに対応付けられた感染可能ＶＭ５２に割り当てられたホスト名を含むＨｏｓｔ Ａｎｎｏｕｎｃｅｍｅｎｔパケットを送信している。

【0072】

一方、感染可能ＶＭ５２の追加が発生している場合、リスト設定部３４は、追加された感染可能ＶＭ５２のホスト名を含むＨｏｓｔ Ａｎｎｏｕｎｃｅｍｅｎｔパケットを生成し、ＶＭ５１に定期送信を依頼する（ステップＳ８３でＹｅｓ、ステップＳ８５）。さらに、リスト設定部３４は、追加された感染可能ＶＭ５２のホスト名を含むパケットの定期送信の間隔をＶＭ５１が計測するためのタイマを生成する。なお、ＶＭ５１は、常時接続している仮想マシンである。

【0073】

図１０～図１３を参照しながら説明した処理により、感染可能ＶＭ５２の接続前の段階で、ネットワーク中のマスタブラウザによって管理されているホスト名リスト７１に、全ての感染可能ＶＭ５２に割り当てられているホスト名が登録される。

【0074】

（２．２）ワームの１次感染の発生後
図１４は、第２の実施形態にかかる情報処理装置で行われる処理の例を説明する図である。図１４中のステップＳ６１～Ｓ６６の処理は、図１１などを参照しながら説明した処理と同様である。ワームの感染が検出された後もネットワークでのＩＰアドレスやホスト名の使用状況の変動や感染可能ＶＭ５２の追加等が起こる可能性があるので、ステップＳ６１～Ｓ６６の処理はワームの感染を検出したかに関わらず継続される。

【0075】

予兆検知部３２にも受信部２３がミラーポート１１から受信したパケットが入力される。予兆検知部３２は、使用ＩＰテーブル６１に含まれていないＩＰアドレスへのアクセス回数が閾値Ｔｈ以上になるとワームの感染を検出したと判定する。ワームへの感染が発生したと判定すると、予兆検知部３２は、感染拡大戦略を特定するための分析対象のパケットを、戦略特定部３３に出力する（ステップＳ９１）。予兆検知部３２でのワームの１次感染の検知と分析対象のパケットの選択は第１の実施形態と同様に行われる。

【0076】

戦略特定部３３は、予兆検知部３２から入力されたパケットのＩＰアドレスの変動の傾向を求めることにより、ワームの感染拡大戦略を推定する。推定処理などの具体例は、図１５を参照しながら後述する。戦略特定部３３は、推定結果を決定部４２に出力する（ステップＳ９２）。決定部４２は、推定結果に応じて接続する感染可能ＶＭ５２を決定する。決定部４２は、決定した感染可能ＶＭ５２に対して接続処理を行うことにより、決定した感染可能ＶＭ５２をネットワークに接続する（ステップＳ９３）。

【0077】

図１５は、第２の実施形態での感染戦略の推定方法と接続対象のＶＭの決定方法の例を説明するフローチャートである。図１５のステップＳ１０１～Ｓ１０６の処理は、図９を参照しながら説明したステップＳ５１～Ｓ５６の処理と同様である。

【0078】

分析対象のパケットの宛先ＩＰアドレスが連続昇順と連続降順のいずれでもない場合、感染を起こしたワームの感染拡大戦略はホスト名リスト７１に含まれるホストを標的とする戦略かランダムのいずれかである可能性が高い（ステップＳ１０５でＮｏ）。ここで、ホスト名リスト７１には、ネットワークに実際に接続されている端末の情報と、感染可能ＶＭ５２の情報が含まれている。このため、ホスト名リスト７１中のホストを標的とするタイプのワームの１次感染が起こった場合、２次感染の標的とされる端末は、実際にネットワークに接続されている端末か感染可能ＶＭ５２のいずれかである。また、ネットワークに実際に接続されている端末のＩＰアドレスは使用ＩＰテーブル６１に記録されており、感染可能ＶＭ５２に割り当てられているＩＰアドレスは作成済みＶＭリスト６３に含まれている。一方、ランダム型のワームは、ホスト名リスト７１に含まれていないＩＰアドレスに対しても２次感染用のパケットを送信し得る。そこで、戦略特定部３３は、分析対象のパケットの宛先ＩＰアドレスは作成済みＶＭリスト６３か使用ＩＰテーブル６１に含まれるアドレスのみであるかを判定する（ステップＳ１０７）。

【0079】

分析対象のパケットの宛先ＩＰアドレスが作成済みＶＭリスト６３と使用ＩＰテーブル６１のいずれにも含まれないアドレスを含む場合、感染を起こしたワームは感染先をランダムに選択する戦略を使用している（ステップＳ１０７でＮｏ）。そこで、決定部４２は、ランダムに選択した感染可能ＶＭ５２をネットワークに接続し、ステップＳ１０１に戻る（ステップＳ１０８）。

【0080】

分析対象のパケットの宛先ＩＰアドレスが作成済みＶＭリスト６３か使用ＩＰテーブル６１に含まれるアドレスのみである場合、感染を起こしたワームはホスト名リスト７１に含まれるホストを標的とする戦略を使用している（ステップＳ１０７でＹｅｓ）。すると、戦略特定部３３は、分析対象のパケットの宛先ホスト名は、アルファベット順で昇順または降順であるかを判定する（ステップＳ１０９）。分析対象のパケットの宛先ホスト名は、アルファベット順で昇順または降順である場合、これからの感染対象に選択される可能性の高いホスト名の予測が可能である（ステップＳ１０９でＹｅｓ）。すなわち、アルファベット昇順の場合には、１次感染が発生しているホストよりもアルファベット順での順番が遅いホストがこれからの感染対象とされる可能性がある。一方、アルファベット降順の場合には、１次感染が発生しているホストよりもアルファベット順での順番が早いホストがこれからの感染対象とされる可能性がある。そこで、決定部４２は、これからの感染対象になる可能性の高いホスト名を持つＶＭ群を接続対象とし、ネットワークに接続し、ステップＳ１０１に戻る（ステップＳ１１０）。

【0081】

分析対象のパケットの宛先ホスト名は、アルファベット順で昇順と降順のいずれでもない場合、これからの感染対象はホスト名リスト７１からランダムに選択されている可能性が高い（ステップＳ１０９でＮｏ）。そこで、決定部４２は、生成済みの感染可能ＶＭ５２からランダムに選択した感染可能ＶＭ５２をネットワークに接続し、ステップＳ１０１に戻る（ステップＳ１１１）。

【0082】

このように、感染可能ＶＭ５２の接続前の時点で、生成した感染可能ＶＭ５２のホスト名をホスト名リスト７１に登録しておくことで、感染可能ＶＭ５２を接続したときに感染可能ＶＭ５２が感染対象となるようにすることができる。このため、ホスト名リスト７１を用いて感染を拡大するワームについても、ワームが感染可能ＶＭ５２への感染処理を行っている期間の分だけ、ネットワーク中の端末へのワームの感染を遅らせることができる。

【0083】

＜第３の実施形態＞
第２の実施形態ではワームがホスト名リスト７１を用いて感染先を特定する場合について説明したが、ホスト名リスト７１の代わりに感染先の端末が保持するＡＲＰ（Address Resolution Protocol）テーブルを用いて感染先を選択するタイプのワームも存在する。第３の実施形態では、ＡＲＰテーブルを用いて感染先を選択するタイプのワームに対応可能な実施例を説明する。

【0084】

以下、ワームの１次感染の発生前に行われる処理について説明する。第３の実施形態での観測部３１の動作は、図１２を参照しながら説明した処理と同様である。

【0085】

図１６は、第３の実施形態で用いられる作成済みＶＭリスト６３の例を説明する図である。第３の実施形態で用いられる作成済みＶＭリスト６３は、感染可能ＶＭ５２の各々について、ＩＰアドレス、ホスト名、ＭＡＣアドレスを対応付けている。第３の実施形態では、生成部４１は、感染可能ＶＭ５２を生成する際に感染可能ＶＭ５２の各々に割り当てられているＭＡＣアドレスも作成済みＶＭリスト６３に記録する。例えば、図１６の１番目のエントリの感染可能ＶＭ５２のホスト名はＫｏｕｊｏｕ１１であり、ＩＰアドレス＝１９２．１６８．１０．１１とＭＡＣアドレス＝ＡＡ－ＢＢ－ＣＣ－ＤＤ－ＥＥ－ＦＦが割り当てられている。作成済みＶＭリスト６３の他のエントリも同様に、そのエントリに対応する感染可能ＶＭ５２のホスト名、ＩＰアドレス、ＭＡＣアドレスを記録する。生成部４１は、感染可能ＶＭ５２の生成処理と作成済みＶＭリスト６３の更新が終わると、作成済みＶＭリスト６３をリスト設定部３４に出力する。

【0086】

図１７は、第３の実施形態でのリスト設定部３４の処理の例を説明するフローチャートである。図１７のフローチャートでは、変数ｍと定数Ｎを用いる。変数ｍはＡＲＰリクエストの送信数を計数するために用いられる。定数Ｎは、ネットワーク中に接続されている端末の総数であり、使用ＩＰテーブル６１に含まれているＩＰアドレスの数と同じ値である。

【0087】

図１７中のステップＳ１２１～Ｓ１２４の処理は、図１３のステップＳ８１～Ｓ８４を参照しながら説明した処理と同様である。感染可能ＶＭ５２の追加が発生している場合、リスト設定部３４は、追加された感染可能ＶＭ５２用のタイマを生成する（ステップＳ１２５）。ここで、感染可能ＶＭ５２用に生成されたタイマは、その感染可能ＶＭ５２の情報を送信元の情報としたＡＲＰリクエストの送信処理を行う間隔の計測に用いられる。従って、タイマの値は、そのタイマに対応付けられている感染可能ＶＭ５２の情報がＡＲＰテーブルから削除されない程度の任意の間隔でＡＲＰリクエストが送信されるように設定される。

【0088】

リスト設定部３４は、変数ｍを１に設定する（ステップＳ１２６）。リスト設定部３４は、ＡＲＰリクエストの定期送信を、常時接続しているＶＭ５１に依頼する（ステップＳ１２７）。ここで、ＡＲＰリクエストは、追加された感染可能ＶＭ５２の情報を送信元に設定し、ネットワーク中のｍ番目の装置のＩＰアドレスを問合わせ対象として含むものとする。ＶＭ５１は、リスト設定部３４から送信を依頼されたＡＲＰリクエストを送信し、その後もＡＲＰリクエストの送信元の感染可能ＶＭ５２に対応付けられたタイマが満了するたびに、リスト設定部３４から依頼されたＡＲＰリクエストを送信する。

【0089】

一方、リスト設定部３４は、変数ｍを１つインクリメントして、定数Ｎと比較する（ステップＳ１２８、Ｓ１２９）。変数ｍが定数Ｎ以下の場合、リスト設定部３４はステップＳ１２７以降の処理を繰り返す（ステップＳ１２９でＮｏ）。変数ｍが定数Ｎを超えた場合、使用ＩＰテーブル６１に含まれている全てのＩＰアドレスについてのＡＲＰリクエストの定期送信をＶＭ５１に依頼したことになる（ステップＳ１２９でＹｅｓ）。そこで、リスト設定部３４は、ステップＳ１２１以降の処理を繰り返す。

【0090】

ここで、ステップＳ１２６～Ｓ１２９の処理によって各端末が保持するＡＲＰテーブルが更新される場合の処理の例を説明する。例えば、ホスト名＝Ｋｏｕｊｏｕ１１が割り当てられた感染可能ＶＭ５２が追加されたとする。また、使用ＩＰテーブル６１のｍ番目のエントリに記録されたＩＰアドレスが、ＡＲＰパケット中の宛先ＩＰアドレスとして選択されるとする。すると、変数ｍが１に設定されたとき、使用ＩＰテーブル６１（図５）の１番目のエントリの端末（端末Ａ）のＭＡＣアドレスを問合わせるＡＲＰリクエストが送信される。すなわち、ＡＲＰパケット内に以下の情報を含むＡＲＰリクエストがネットワークにブロードキャストされる。

【0091】

送信元ＭＡＣアドレス：１９２．１６８．１０．１１
送信元ＩＰアドレス ：ＡＡ－ＢＢ－ＣＣ－ＤＤ－ＥＥ－ＦＦ
宛先ＩＰアドレス ：１９２．１６８．１０．１

【0092】

ネットワーク中の端末Ａ以外の端末は、ＡＲＰリクエストを無視する。一方、ネットワーク中の端末Ａは、自装置のＭＡＣアドレスを通知するＡＲＰリプライを送信するとともに、ＡＲＰパケットの送信元のＭＡＣアドレスと送信元ＩＰアドレスをＡＲＰテーブルに記録する。この処理により、端末Ａが保持するＡＲＰテーブルにホスト名＝Ｋｏｕｊｏｕ１１の感染可能ＶＭ５２の情報が記録される。その後、変数ｍがインクリメントされるごとに、使用ＩＰテーブル６１のｍ番目のエントリのＩＰアドレスを使用する端末のＭＡＣアドレスを問合わせるＡＲＰリクエストが送信される。このため、使用ＩＰテーブル６１のｍ番目のエントリのＩＰアドレスを使用する端末は、ＡＲＰリプライの返信に際して、ＡＲＰリクエストの送信元となっている感染可能ＶＭ５２の情報を自装置のＡＲＰテーブルに追加する。

【0093】

ＶＭ５１は各感染可能ＶＭ５２について、タイマが満了するたびに使用ＩＰテーブル６１に含まれる各ＩＰアドレスのアドレス解決を要求するＡＲＰリクエストを送信する。このため、ネットワーク中のいずれの端末が保持するＡＲＰテーブルでも生成された全ての感染可能ＶＭ５２の情報が保持される。

【0094】

第３の実施形態でのワームの１次感染の発生後の処理は、図９に示す処理と同様である。図１７を参照しながら説明した処理により、生成された全ての感染可能ＶＭ５２の情報がネットワーク中の全ての端末のＡＲＰテーブルに保持されている。このため、ＡＲＰテーブルを用いて感染先を決定するタイプのワームであっても、感染可能ＶＭ５２を感染先の候補とし得る。そこで、決定部４２は、ワームの感染拡大戦略に応じて、次に感染先として選択される可能性の高い感染可能ＶＭ５２をネットワークに接続することで、感染可能ＶＭ５２へのワームの感染を誘発できる。このため、ＡＲＰテーブルを用いて感染を拡大するワームについても、ワームが感染可能ＶＭ５２への感染処理を行っている期間の分だけ、ネットワーク中の端末へのワームの感染を遅らせることができる。

【0095】

＜その他＞
なお、実施形態は上記に限られるものではなく、様々に変形可能である。以下にその例をいくつか述べる。

【0096】

情報処理装置２０自身もネットワークに参加しても良い。この場合、いずれの実施形態でも、受信部２３はミラーポート１１を介さずにネットワーク中で送受信されるパケットを受信し得る。さらに、情報処理装置２０がネットワークに参加している場合、第２、第３の実施形態では、情報処理装置２０はＶＭ５１を生成しなくてもよい。リスト設定部３４は、リスト設定部３４が生成したＨｏｓｔ ＡｎｎｏｕｎｃｅｍｅｎｔパケットやＡＲＰリクエストを所定の期間ごとに送信できる。

【0097】

情報処理装置２０は、ゲストＯＳ処理部５０を備える代わりに、他の情報処理装置に対して、感染可能ＶＭ５２やＶＭ５１の生成を要求してもよい。

【0098】

第２、第３の実施形態で使用されるタイマの満了にかかる時間の設定方法は実装に応じて任意に変更され得る。

【0099】

第２の実施形態では、生成した全ての感染可能ＶＭ５２のホスト名をＨｏｓｔ Ａｎｎｏｕｎｃｅｍｅｎｔを用いてホスト名リスト７１に埋め込む場合について説明したが、これは一例に過ぎない。例えば、生成した感染可能ＶＭ５２の一部を選択した上で、選択した感染可能ＶＭ５２のホスト名をホスト名リスト７１に記録させるためのＨｏｓｔ Ａｎｎｏｕｎｃｅｍｅｎｔを送信してもよい。この場合、図１５のステップＳ１１０では、Ｈｏｓｔ Ａｎｎｏｕｎｃｅｍｅｎｔを送信済みの感染可能ＶＭ５２の中から、これからの感染対象になる可能性の高いホスト名を持つＶＭ群が選択されて、ネットワークに接続される。また、図１５のステップＳ１１１では、Ｈｏｓｔ Ａｎｎｏｕｎｃｅｍｅｎｔを送信済みの感染可能ＶＭ５２の中からランダムに選択した感染可能ＶＭ５２がネットワークに接続される。

【0100】

いずれの実施形態においても、感染拡大戦略の推定（特定）の方法は、実装に応じて変更され得る。例えば、戦略特定部３３は、連続昇順に宛先ＩＰアドレスが変動していなくても分析対象のパケットの宛先アドレス値が送信時刻の経過とともに大きくなる場合、昇順の傾向があると判定できる。同様に、戦略特定部３３は、連続降順に宛先ＩＰアドレスが変動していなくても分析対象のパケットの宛先アドレス値が送信時刻の経過とともに小さくなる場合、降順の傾向があると判定できる。

【符号の説明】

【0101】

１０ ネットワークスイッチ
１１ ミラーポート
２０ 情報処理装置
２１ 通信部
２２ 送信部
２３ 受信部
３０ 制御部
３１ 観測部
３２ 予兆検知部
３３ 戦略特定部
３４ リスト設定部
４０ ＶＭ管理部
４１ 生成部
４２ 決定部
５０ ゲストＯＳ処理部
５１ ＶＭ
５２ 感染可能ＶＭ
６０ 記憶部
６１ 使用ＩＰテーブル
６２ 使用ホストテーブル
６３ 作成済みＶＭリスト
７１ ホスト名リスト
１０１ プロセッサ
１０２ メモリ
１０３ バス
１０４ ネットワーク接続装置

【図1】

【図2】

【図3】

【図4】

【図5】

【図6】

【図7】

【図8】

【図9】

【図10】

【図11】

【図12】

【図13】

【図14】

【図15】

【図16】

【図17】