JP2007006383A

JP2007006383A - 通信管理装置、不正通信端末装置の識別システムと方法、及びプログラム

Info

Publication number: JP2007006383A
Application number: JP2005187001A
Authority: JP
Inventors: Kazumasa Ehata; 和雅江幡
Original assignee: NEC Corp
Current assignee: NEC Corp
Priority date: 2005-06-27
Filing date: 2005-06-27
Publication date: 2007-01-11
Anticipated expiration: 2025-06-27
Also published as: JP4241677B2

Abstract

【課題】不正通信検出装置から収集した不正通信記録から、不正通信回数の多い端末装置を特定する作業を行うにあたって、経験と知識が必要とされていた。
【解決手段】管理対象ネットワークの通信中継装置に接続され、条件に合致する通信を検出する不正通信検出装置と、通信管理装置を備え、通信管理装置には、前記ネットワークの接続構成情報を管理する手段、不正通信検出装置から不正通信通知を収集し記録する手段、不正通信回数を複数のレベルに区分するための閾値と、互いに異なる、レベル対応の表示状態をレベル定義として設定し保持する手段、接続構成情報を参照し、前記記録から通信パス単位の不正通信回数を算出し、閾値に照らしレベルを判定する手段、接続構成情報に基づき前記ネットワークの構成図を作成しこれの各通信パスに前記不正通信回数を付加し、その通信パスの表示状態を判定したレベル対応の状態にする描画手段を有する。
【選択図】図１

Description

本発明は通信管理装置、不正通信端末装置の識別システムと方法、及びプログラムに関し、特に、管理対象のネットワークの通信中継装置に不正通信検出装置を接続し、これから不正通信通知を収集し記録し、記録を集計し、集計結果をネットワーク構成図上に表示し閾値を超える回数の不正通信を行った端末装置を容易に識別できる様に表示するための描画や表示を行う通信管理装置、不正通信端末装置の識別システムと方法、及びプログラムに関する。

従来の技術においては、不正通信検出装置から収集した不正通信記録に対して、検索、条件の絞り込み、グラフ表示などにより傾向分析を行いながら不正通信回数の多い端末装置を特定していた。

ここで、管理対象のネットワークにおいて、不正通信検出を行いその対応処理を行うものに関する発明として、例えば特許文献１に不正アクセス検証装置及び方法が開示されている。

この装置は、内部ネットワークに接続された保護対象サーバへの不正アクセスを検出し、不正アクセス通知を出力するＩＤＳと、不正アクセス通知を受信して格納するとともに、保護対象サーバ１３へのアクセスに応じて出力される応答パケットを受信して格納するパケット収集装置とを備える。

そして、パケット収集装置に不正アクセス通知に対応する応答パケットが予め設定したパターンになっているかどうかを調べて前記不正アクセスによる被害の有無を判定する手段を有するものである。

しかし、不正アクセス（保護対象サーバ宛の不正通信）の記録を回数を考慮し、またネットワーク構成図上に分かり易い形にし表示等を行うことについては開示されていない。

特開２００４−２０６５６４号公報（第１頁）

従来の技術においては、不正通信検出装置から収集した不正通信記録から、不正通信回数の多い端末装置を特定する作業を行うにあたって、経験と知識が必要とされていた。

本発明の目的は不正通信回数の多い端末装置を容易に特定できる不正通信端末装置の識別システムと方法、通信管理装置、及びプログラムを提供することにある。

本発明の第１の通信管理装置は、通信端末と通信中継装置を含むネットワークを管理対象とする通信管理装置であって、通信中継装置とこれに接続された通信端末装置の接続構成情報を管理する手段と、前記通信中継装置に接続され、条件に合致する通信を検出する不正通信検出装置から不正通信通知を収集し記録する手段と、前記記録に基づいて不正通信発生状況を描画し表示する不正通信記録描画手段とを含み、前記不正通信記録描画手段は、不正通信回数を複数のレベルに区分するための一つ以上の閾値と、互いに異なる、レベル対応の表示状態とを含むレベル定義を設定し保持する手段と、前記接続構成情報を参照し、前記記録から通信パス単位の不正通信回数を算出し、これを前記閾値に照らしそのレベルを判定する手段と、前記接続構成情報に基づき管理対象ネットワークの構成図を作成しこれの各通信パスに前記不正通信回数を付加し、その通信パスの表示状態を前記判定したレベルに対応する状態に設定する描画手段を有する。

本発明の第２の通信管理装置は、通信端末と通信中継装置を含むネットワークを管理対象とする通信管理装置であって、通信中継装置とこれに接続された通信端末装置の端末接続構成情報を管理する手段と、前記通信中継装置間の接続構成情報を管理する手段と、前記通信中継装置の経路情報を管理する手段と、前記通信中継装置に接続され、条件に合致する通信を検出する不正通信検出装置から不正通信通知を収集し記録する手段と、前記記録に基づいて不正通信発生状況を描画し表示する不正通信記録描画手段とを含み、前記不正通信記録描画手段は、不正通信回数を複数のレベルに区分するための一つ以上の閾値と、互いに異なる、レベル対応の表示状態とを含むレベル定義を設定し保持する手段と、前記端末接続構成情報と前記経路情報を参照し、前記記録から通信パス単位の不正通信回数を算出し、これを前記閾値に照らしそのレベルを判定する手段と、前記端末接続構成情報と中継装置間接続構成情報に基づき管理対象ネットワーク構成図を作成しこれの各通信パスに前記不正通信回数を付加し、その通信パスの表示状態を前記判定したレベルに対応する状態に設定する描画手段を有する。

本発明の第３の通信管理装置は、前記第１、または第２の通信管理装置であって、前記各レベル対応の表示状態を通信パスを表す線の色とする。

本発明の第４の通信管理装置は、前記第１、または第２の通信管理装置であって、前記各レベル対応の表示状態を通信パスを表す線の太さとする。

本発明の第５の通信管理装置は、前記第１、または第２の通信管理装置であって、前記不正通信通知を収集し記録する手段が、不正通信の発生時刻も記録し、前記レベル定義を設定し保持する手段が、集計対象とする不正通信の期間の長さに対応付けて、複数通りのレベル定義を設定し、レベルに応じて異ならせる表示状態の種別が定義ごとに異なる種別を設定し、保持する様にし、前記不正通信記録描画手段は、集計対象とする不正通信の期間を指定する情報を集計要求元から取得する手段を有し、通信パス単位の不正通信回数を算出しレベルを判定する手段が、前記記録の内その発生時刻が指定された期間である不正通信通知を集計し、通信パス単位の不正通信回数を算出し、前記期間の長さに対応したレベル定義の閾値を用いてレベルを判定し、前記描画手段が管理対象ネットワークの構成図の不正通信回数を付加した通信パスの表示状態を前記対応したレベル定義の表示状態に従って設定する。

本発明の第６の通信管理装置は、前記第５の通信管理装置であって、前記複数通りのレベル定義を、不正通信記録の短期間分の集計に対応付けられた第１の定義と、不正通信記録の長期間分の集計に対応付けられた第２の定義とし、前記両方の定義の何れか一方の定義の各レベル対応の表示状態を通信パスを表す線の色とし、他方の定義の各レベル対応の表示状態を通信パスを表す線の太さとする。

本発明の不正通信端末装置の識別システムは、前記第１〜６のいずれか一つの通信管理装置と、前記通信管理装置が管理するネットワークに接続された通信端末装置と、前記ネットワークに接続された通信中継装置と、前記通信中継装置に接続され、条件に合致する通信を検出する不正通信検出装置とを備え、前記通信管理装置は前記ネットワークか、或いは前記ネットワークに通信接続されたネットワークに接続される。

本発明の第１の不正通信端末装置の識別方法は、通信端末と通信中継装置を含むネットワークにおける不正通信端末装置の識別方法であって、通信中継装置とこれに接続された通信端末装置の接続構成情報を管理するステップと、前記通信中継装置に接続され、条件に合致する通信を検出する不正通信検出装置から不正通信通知を収集し記録するステップと、前記記録に基づいて不正通信発生状況を描画し表示する不正通信記録描画ステップとを含み、前記不正通信記録描画ステップには、不正通信回数を複数のレベルに区分するための一つ以上の閾値と、互いに異なる、レベル対応の表示状態とを含むレベル定義を設定し保持するステップと、前記接続構成情報を参照し、前記記録から通信パス単位の不正通信回数を算出し、これを前記閾値に照らしそのレベルを判定するステップと、前記接続構成情報に基づき管理対象ネットワークの構成図を作成しこれの各通信パスに前記不正通信回数を付加し、その通信パスの表示状態を前記判定したレベルに対応する状態に設定するステップを含む。

本発明の第２の不正通信端末装置の識別方法は、通信端末と通信中継装置を含むネットワークにおける不正通信端末装置の識別方法であって、通信中継装置とこれに接続された通信端末装置の端末接続構成情報を管理するステップと、前記通信中継装置間の接続構成情報を管理するステップと、前記通信中継装置の経路情報を管理するステップと、前記通信中継装置に接続され、条件に合致する通信を検出する不正通信検出装置から不正通信通知を収集し記録するステップと、前記記録に基づいて不正通信発生状況を描画し表示する不正通信記録描画ステップとを含み、前記不正通信記録描画ステップには、不正通信回数を複数のレベルに区分するための一つ以上の閾値と、互いに異なる、レベル対応の表示状態とを含むレベル定義を設定し保持するステップと、前記端末接続構成情報と前記経路情報を参照し、前記記録から通信パス単位の不正通信回数を算出し、これを前記閾値に照らしそのレベルを判定するステップと、前記端末接続構成情報と中継装置間接続構成情報に基づき管理対象ネットワーク構成図を作成しこれの各通信パスに前記不正通信回数を付加し、その通信パスの表示状態を前記判定したレベルに対応する状態に設定するステップを含む。

本発明の第３の不正通信端末装置の識別方法は、前記第１、または第２の不正通信端末装置の識別方法であって、前記各レベル対応の表示状態を通信パスを表す線の色とする。

本発明の第４の不正通信端末装置の識別方法は、前記第１、または第２の不正通信端末装置の識別方法であって、前記各レベル対応の表示状態を通信パスを表す線の太さとする。

本発明の第１のプログラムは、通信中継装置とこれに接続された通信端末装置の接続構成情報を管理するステップと、前記通信中継装置に接続され、条件に合致する通信を検出する不正通信検出装置から不正通信通知を収集し記録するステップと、不正通信回数を複数のレベルに区分するための一つ以上の閾値と、互いに異なる、レベル対応の表示状態とを含むレベル定義を設定し保持するステップと、前記接続構成情報を参照し、前記記録から通信パス単位の不正通信回数を算出し、これを前記閾値に照らしそのレベルを判定するステップと、前記接続構成情報に基づき管理対象ネットワークの構成図を作成しこれの各通信パスに前記不正通信回数を付加し、その通信パスの表示状態を前記判定したレベルに対応する状態に設定するステップをコンピュータに実行させる。

本発明の第２のプログラムは、通信中継装置とこれに接続された通信端末装置の端末接続構成情報を管理するステップと、前記通信中継装置間の接続構成情報を管理するステップと、前記通信中継装置の経路情報を管理するステップと、前記通信中継装置に接続され、条件に合致する通信を検出する不正通信検出装置から不正通信通知を収集し記録するステップと、不正通信回数を複数のレベルに区分するための一つ以上の閾値と、互いに異なる、レベル対応の表示状態とを含むレベル定義を設定し保持するステップと、前記端末接続構成情報と前記経路情報を参照し、前記記録から通信パス単位の不正通信回数を算出し、これを前記閾値に照らしそのレベルを判定するステップと、前記端末接続構成情報と中継装置間接続構成情報に基づき管理対象ネットワーク構成図を作成しこれの各通信パスに前記不正通信回数を付加し、その通信パスの表示状態を前記判定したレベルに対応する状態に設定するステップをコンピュータに実行させる。

本発明の第３のプログラムは、前記第１、または第２のプログラムであって、前記各レベル対応の表示状態を通信パスを表す線の色とする。

本発明の第４のプログラムは、前記第１、または第２のプログラムであって、前記各レベル対応の表示状態を通信パスを表す線の太さとする。

本発明の第５のプログラムは、通信中継装置とこれに接続された通信端末装置の接続構成情報を管理するステップと、前記通信中継装置に接続され、条件に合致する通信を検出する不正通信検出装置から発生時刻も含めて不正通信通知を収集し記録するステップと、不正通信回数を複数のレベルに区分するための一つ以上の閾値と、互いに異なる、レベル対応の表示状態とを含むレベル定義を、集計対象とする不正通信の期間の長さに対応付けて、複数通り、且つ前記表示状態の種別が定義ごとに異なる様に設定し保持するステップと、前記記録の集計要求を受け、要求元から集計対象とする不正通信の期間を指定する情報を取得するステップと、前記記録の内その発生時刻が指定された期間である不正通信通知を中間集計するステップと、前記接続構成情報を参照し、前記中間集計から通信パス単位の不正通信回数を算出し、これを前記指定された期間に対応したレベル定義の閾値に照らし、そのレベルを判定するステップと、前記接続構成情報に基づき管理対象ネットワークの構成図を作成しこれの各通信パスに前記不正通信回数を付加し、その通信パスの表示状態を、前記判定したレベルと前記対応したレベル定義の表示状態に従って設定するステップをコンピュータに実行させる。

本発明の第６のプログラムは、前記第５のプログラムであって、前記複数通りのレベル定義を、不正通信記録の短期間分の集計に対応付けられた第１の定義と、不正通信記録の長期間分の集計に対応付けられた第２の定義とし、前記両方の定義の何れか一方の定義の各レベル対応の表示状態を通信パスを表す線の色とし、他方の定義の各レベル対応の表示状態を通信パスを表す線の太さとする。

本発明による効果は、予め設定した閾値によってその閾値を越えた不正通信が行われた通信中継装置、及び端末装置間の線の表示状態を変えることによって、不正通信の回数が多い端末装置が視覚的に容易に識別可能であり、当該端末装置の接続された通信中継装置に対して当該端末装置との通信を不可能とする対処が短時間のうちに実施可能となる点である。

また、上記効果によりウイルス感染被害の拡大を防止することができる。

次に、本発明を実施するための最良の形態について図面を参照して詳細に説明する。

先ず、本発明の第１の実施例の構成について図１を参照して詳細に説明する。

図１において、通信管理装置１００、通信中継装置４００、通信中継装置５００、通信中継装置６００、端末装置７１０、及び端末装置７２０はＴＣＰ／ＩＰ（ＴｒａｎｓｍｉｓｓｉｏｎＣｏｎｔｒｏｌＰｒｏｔｏｃｏｌ／ＩｎｔｅｒｎｅｔＰｒｏｔｏｃｏｌ）ネットワーク２００で接続されている。

通信中継装置とは、ルータやスイッチ装置、或いはゲートウェイ装置等である。

不正通信検出装置３００は通信中継装置４００を流れる不正通信を監視する。
不正通信検出装置３１０は通信中継装置５００を流れる不正通信を監視する。
不正通信検出装置３２０は通信中継装置６００を流れる不正通信を監視する。

不正通信とは、通信規約に適合しない通信や、通信データやシーケンスが異常な通信である。

例えば、同じ通信元が宛先を変化させながら連続的にコネクト要求する通信が長時間続く場合や、ＴＣＰヘッダのＬｅｎｇｔｈとその後に送信するデータ長（データ先頭から終了マークまでのデータカウント）の不一致が短期間に集中する通信等である。

不正通信検出装置とは、ＩＤＳ（Ｉｎｔｒｕｓｉｏｎ−Ｄｅｔｅｃｔｉｏｎ−Ｓｙｓｔｍ）やＩＤＰＳ（Ｉｎｔｒｕｓｉｏｎ−Ｄｅｔｅｃｔｉｏｎ−Ａｎｄ−Ｐｒｏｔｅｃｔｉｏｎ−Ｓｙｓｔｅｍ）等の装置である。

端末装置７１０はＩＰアドレス７１１を、端末装置７２０はＩＰアドレス７２１を持つ。

通信管理装置１００は、プログラム制御で動作する装置で、通信中継装置接続構成管理手段１１０、端末装置接続構成管理手段１２０、通信中継装置経路構成管理手段１３０、不正通信記録収集手段１４０、及び不正通信記録描画手段１５０を含む。

これらの手段はプログラムで制御される。

また、通信管理装置１００にはディスプレイ装置が接続されている。

通信中継装置接続構成管理手段１１０は、ＴＣＰ／ＩＰネットワーク２００、通信中継装置４００、通信中継装置５００、及び通信中継装置６００の接続構成を管理する。

端末装置接続構成管理手段１２０は、通信中継装置５００と端末装置５１０、端末装置５２０、及び端末装置５３０の接続構成を管理し、また通信中継装置６００と端末装置６１０、端末装置６２０、端末装置６３０の接続構成を管理する。

端末装置５１０はＩＰアドレス５１１を、端末装置５２０はＩＰアドレス５２１を、端末装置５３０はＩＰアドレス５３１を持ち、通信中継装置５００に接続されている。

端末装置６１０はＩＰアドレス６１１を、端末装置６２０はＩＰアドレス６２１を、端末装置６３０はＩＰアドレス６３１を持ち、通信中継装置６００に接続されている。

通信中継装置経路構成管理手段１３０は、通信中継装置４００、通信中継装置５００、及び通信中継装置６００の経路構成を管理する。

不正通信記録収集手段１４０は、不正通信検出装置３００、不正通信検出装置３１０、及び不正通信検出装置３２０から不正通信記録を収集する。

不正通信記録描画手段１５０は、通信中継装置接続構成管理手段１１０と端末装置接続構成管理手段１２０とで管理しているネットワーク接続構成情報と、通信中継装置経路構成管理手段１３０が管理している経路構成情報、及び不正通信記録収集手段１４０によって収集した不正通信記録を元に、不正通信記録の集計情報を描画する。

不正通信記録描画手段１５０は、また不正通信回数を複数のレベルに区分するための一つ以上の閾値を取得すると、各レベルに対し互いに異なる表示状態を自動設定し、各レベルの閾値と表示状態を保持する手段も有している。

本発明の第１の実施例の動作について図１から図７を参照して詳細に説明する。

図１を参照し、不正通信検出装置３００、３１０、３２０に対し、事前に通信等で不正通信通知の宛先が通信管理装置１００に設定される。

不正通信検出装置３００、３１０、３２０の各装置は、不正通信を検出すると、ＳＮＭＰ（Ｓｉｍｐｌｅ−Ｎｅｔｗｏｒｋ−Ｍａｎｅｇｅｍｅｎｔ−Ｐｒｏｔｏｃｏｌ）等のプロトコルで通信管理装置１００に不正通信通知を送ってくる。

不正通信記録収集手段１４０は、受信する不正通信通知を記録格納部（図示せず）に順次格納する。

この記録例を図２に示す。図示の様に、不正発生日時、送信元ＩＰアドレス、送信先ＩＰアドレス、発生回数（通常１回）が記録される。

次に不正通信記録描画手段１５０の動作を説明する。

画面上の「不正通信回数のレベル設定」アイコンが指定されたことを検知すると、レベル数の入力を促す入力画面を表示する（ステップＡ１）。

レベル数として３が入力されると、第１の閾値、第２の閾値の入力を促す入力画面を表示する（ステップＡ２）。

ここで、第１の閾値、第２の閾値として、１５回、１００回が入力されると、表示状態として、線色：黒，黄，赤が自動設定され、これらの値を項目名に対応付けて保持する（ステップＡ３）。

次に図３のフローチャートを参照し、不正通信記録描画手段１５０の集計、描画動作を説明する。

集計開始要求（例えば、１時間周期で自動発生する要求、或いは操作者による「集計」アイコンの操作）を検知すると（ステップＢ１）、日時指定条件を設定する。前記自動要求で起動された場合は、その時の時刻より１時間前からその時の時刻を設定する（ステップＢ２）。

記録格納部から記録データを１エントリ分読み込む（ステップＢ３）。

その記録データの発生日時が、設定された日時指定条件に該当すれば（ステップＢ４）、送信元ＩＰアドレス−送信先ＩＰアドレス毎に不正通信回数を集計する。

即ち、中間集計表に送信元ＩＰアドレス−送信先ＩＰアドレスが登録されてなければ、追加し不正通信回数欄にデータの不正通信回数を書込み、同じ送信元ＩＰアドレス−送信先ＩＰアドレスが登録されていれば、その不正通信回数にデータの不正通信回数を加算する（ステップＢ５）。

読み込んだ或いは処理したデータが記録格納部の最後のデータとなるまでステップＢ３〜Ｂ６が繰り返される。

ステップＢ２で、６／１−０９：００〜６／１−１０：００が設定されたとすると、図２のデータ８１１，８１６，・・・８２０が集計され図４の中間集計表の番号９００のデータが作成される。

図２のデータ８１２，・・・８２２が集計され図４の中間集計表の番号９０１のデータが作成される。同様に番号９０６迄のデータが作成される。

次に、図４に示す中間集計表の送信元ＩＰアドレス−送信先ＩＰアドレス情報を、中継装置接続構成情報、端末装置接続構成情報、経路構成情報を参照し通信パス情報に変換し、通信パス毎の不正通信回数に集計し直し、不正通信回数表（図５参照）を作成する（ステップＢ７）。

ここで通信パスとは、図１の通信中継装置４００以下のネットワークのホップ単位のパスで通信の方向も考慮したパスと、通信中継装置４００から外部端末、外部端末から通信中継装置４００のパスである。

各通信パスの不正通信回数値を第１閾値と比較し、越えれば更に第２閾値と比較しレベルを判定する（ステップＢ８）。

レベルに応じ、通信パスの表示色（黒／黄／赤）を設定する（図６参照、ステップＢ９）。

接続構成情報に従いネットワーク接続構成図（各通信パスに付された不正通信回数が０回で、矢印の線色が黒である初期値状態の接続構成図）を描画し（ステップＢ１０）、不正通信回数表のデータが有れば各通信パスのデータに従い、矢印の線色を変更し、発生回数を書き変えて表示する（図７参照、ステップＢ１１）。

図７を見ると通信中継装置５００から通信中継装置４００へ向かう矢印、及び端末装置５２０から通信中継装置５００へ向かう矢印が赤色で表示されており、通信中継装置５００に対して端末装置５２０への通信を不可能とする対処が必要であることが容易に判断できる。

赤色で描画された線で接続された端末装置が１００回以上の不正通信を行っていることが容易に識別可能となり、当該端末装置の接続されている通信中継装置に対して当該端末装置との通信を不可能とする対処が行え、ウイルス感染被害の拡大を防止することが可能となる。

また端末装置５１０から通信中継装置５００を経由した１０回の不正通信は第１閾値の１５回を越えておらず、端末装置５１０のウイルス感染によるものでなく単なる通信エラーにより引き起こされたものであり線色を黒色（初期値）のままとすることで、余計な警告表示を行わないようにしている。

次に、本発明の第２の実施例について説明する。本発明の第２の実施例の全体構成は先の実施例と同じく図１の通りである。

本発明の第２の実施例の動作について、前記第１の実施例と異なる点を説明する。前記不正通信記録描画手段１５０の動作のステップＡ３で、第１の閾値、第２の閾値として、１５回、１００回が入力され、表示状態として、線の太さ：細い線，通常の線，太い線が自動設定され、これらの値を項目名に対応付けて保持する。

集計描画動作のステップＢ９では、レベルに応じ、通信パスの矢印の線の太さ（細い線／通常の線／太い線）を設定する（図８参照）。

ステップＢ１１では、不正通信回数表のデータが有れば各通信パスのデータに従い、矢印の線の太さを変更し、発生回数を書き変えて表示する（図９参照）。

図９を見ると通信中継装置５００から通信中継装置４００へ向かう矢印、及び端末装置５２０から通信中継装置５００へ向かう矢印が太い線で表示されており、通信中継装置５００に対して端末装置５２０への通信を不可能とする対処が必要であることが容易に判断できる。

太い線で描画された線で接続された端末装置が１００回以上の不正通信を行っていることが容易に識別可能となり、当該端末装置の接続されている通信中継装置に対して当該端末装置との通信を不可能とする対処が行え、ウイルス感染被害の拡大を防止することが可能となる。

次に、本発明の第３の実施例について説明する。本発明の第３の実施例の全体構成は先の実施例と同じく図１の通りである。

但し、不正通信記録描画手段１５０の、不正通信回数のレベル対応の一つ以上の閾値と、表示状態を定義設定し保持する手段は第１や第２の実施例と異なる。

上記手段はレベルについての複数通りの定義設定、保持が可能な手段であり、定義には集計の対象とする記録期間の長さ（例えば、１時間の間発生した不正通信記録を対象とし集計するのか、１０時間の間発生した不正通信記録を対象とし集計するのか等の１時間や１０時間）を対応付けられる。

本発明の第３の実施例の動作について図面を参照して詳細に説明する。

不正通信記録描画手段１５０の動作を説明する。

画面上の「不正通信回数のレベル設定」アイコンが指定されたことを検知すると、レベル数の入力を促す入力画面を表示する（ステップＣ１）。

レベル数として３が入力されると、第１の閾値、第２の閾値、対応付ける集計期間長の入力を促す入力画面を表示する（ステップＣ２）。

ここで、第１の閾値、第２の閾値として、１５回、１００回が入力され、集計期間長として「１時間」が入力されると、各レベルの表示状態として、線色：黒，黄，赤が自動設定され、これらの値を第１の定義の項目名に対応付けて保持する（ステップＣ３）。

「次の定義設定も行うか」のメッセージと「ＹＥＳ」ボタン、「ＮＯ」ボタンを表示する（ステップＣ４）。

「ＹＥＳ」を指示すると、ステップＣ１〜Ｃ２を繰り返す。

入力画面表示に対し、第１の閾値、第２の閾値として、１５０回、１０００回が入力され、集計期間長として「１０時間」が入力されると、各レベルの表示状態として、線の太さ：細い線，通常の線，太い線が自動設定され、これらの値を第２の定義の項目名に対応付けて保持する（ステップＣ５）。

「次の定義設定も行うか」のメッセージに対し、「ＮＯ」を応答する。
次に図１０のフローチャートを参照し、第３実施例の不正通信記録描画手段１５０の集計、描画動作を説明する。

集計開始要求（例えば、１時間周期で自動発生する要求、或いは１０時間周期で自動発生する要求、或いは操作者による「集計」アイコンの操作）を検知すると（ステップＤ１）、日時指定条件を設定する。

前記自動要求で起動された場合は、その時の時刻より１時間前からその時の時刻を設定する、或いはその時の時刻より１０時間前からその時の時刻を設定する（ステップＤ２）。

ここでは、１０時間周期で自動発生する要求を検知し、その時の時刻より１０時間前からその時の時刻迄を設定する場合とする。

記録格納部から記録データを１エントリ分読み込む（ステップＤ３）。

その記録データの発生日時が、設定された日時指定条件に該当すれば（ステップＤ４）、送信元ＩＰアドレス−送信先ＩＰアドレス毎に不正通信回数を集計する（ステップＤ５）。

読み込んだ或いは処理したデータが記録格納部の最後のデータとなるまでステップＤ３〜Ｄ６が繰り返される。

ステップＤ２で、６／１−００：００〜６／１−１０：００が設定されたとすると、図２のデータ８０２，８１１，８１６，・・・８２０が集計され図１１の中間集計表の番号９５０のデータが作成される。

以下中間集計表の番号９５６までのデータが同様に作成される。

次に、ステップＢ７と同様にし、図１１に示す中間集計表より、不正通信回数表（図１２参照）を作成する（ステップＤ７）。

集計対象の期間長を判断し１０Ｈであるので（ステップＤ８）、１０Ｈに最も近い期間長１０Ｈを保持している第２のレベル定義情報を参照し、各通信パスの不正通信回数値を第２のレベル定義情報の第１閾値（１５０）や第２閾値（１０００）と比較しレベルを判定する（ステップＤ１３）。

レベルに応じ、通信パスの線の太さ（通常の線／太い線）を設定する（図１２参照、ステップＤ１４）。

接続構成情報に従いネットワーク接続構成図（初期値状態）を描画する（ステップＤ１５）。

表データが有れば各通信パスのデータに従い、矢印の太さを変更し、発生回数を書き変え表示する（ステップＤ１６）。

ステップＤ１で、１時間周期で自動発生する要求を検知した場合は、ステップＤ２で、６／１−０９：００〜６／１−１０：００が設定され、ステップＤ３〜Ｄ７でこの時間帯に発生した不正通信記録が集計される。

集計対象の期間長を判断し１Ｈであるので（ステップＤ８）、１Ｈに最も近い期間長１Ｈを保持している第１のレベル定義情報を参照し、各通信パスの不正通信回数値を第１のレベル定義情報の第１閾値（１５）や第２閾値（１００）と比較しレベルを判定する（ステップＤ９）。

レベルに応じ、通信パスの線色（黄／赤）を設定し（ステップＤ１０）、接続構成情報に従いネットワーク接続構成図（初期値状態）を描画し（ステップＤ１１）、各通信パスのデータに従い、矢印の線色を変更し、発生回数を書き変え表示する（ステップＤ１２）。

この様に、集計対象の期間の長短に応じた、閾値設定ができるという効果がある。

また、１Ｈ毎の集計結果表示では、閾値越え通信パスを赤色で表示し、１０Ｈ毎の集計結果表示では、閾値越え通信パスを太線で表示するので、問題内容が把握し易い。

本発明は、不正通信検出装置が接続されたネットワークにおいて、ウイルス感染事象が発生した装置を早期に判別するといった用途に適用できる。

本発明の不正通信端末装置の識別方式のシステム構成を示すブロック図。図１の通信管理装置１００における不正通信記録の例を示す図。本発明の第１の実施例の不正通信記録の集計、描画動作を示すフローチャート。本発明の第１の実施例の不正通信記録の集計処理における中間集計表の内容例を示す図。本発明の第１の実施例の不正通信記録の集計処理における不正通信回数表の内容例を示す図。本発明の第１の実施例の不正通信記録の集計、描画処理で不正通信回数表の通信パスに線色（黒／黄／赤）が設定された例を示す図。本発明の第１の実施例の不正通信発生状況の描画表示例を示す図。本発明の第２の実施例の不正通信記録の集計、描画処理で不正通信回数表の通信パスに線の太さ（細い線／通常の線／太い線）が設定された例を示す図。本発明の第２の実施例の不正通信発生状況の描画表示例を示す図。本発明の第３の実施例の不正通信記録の集計、描画動作を示すフローチャート。本発明の第３の実施例の不正通信記録の集計処理における中間集計表の内容例を示す図。本発明の第３の実施例の不正通信記録の集計、描画処理で不正通信回数表の通信パスに線の太さ（細い線／通常の線／太い線）が設定された例を示す図。本発明の第３の実施例の不正通信発生状況の描画表示例を示す図。

符号の説明

１００通信管理装置
１１０通信中継装置接続構成管理手段
１２０端末装置接続構成管理手段
１３０通信中継装置経路構成管理手段
１４０不正通信記録収集手段
１５０不正通信記録描画手段
２００ＴＣＰ／ＩＰネットワーク
３００、３１０、３２０不正通信検出装置
４００、５００、６００通信中継装置
５１０、５２０、５３０、６１０、６２０、６３０、７１０、７２０端末装置

Claims

通信端末と通信中継装置を含むネットワークを管理対象とする通信管理装置であって、
通信中継装置とこれに接続された通信端末装置の接続構成情報を管理する手段と、
前記通信中継装置に接続され、条件に合致する通信を検出する不正通信検出装置から不正通信通知を収集し記録する手段と、
前記記録に基づいて不正通信発生状況を描画し表示する不正通信記録描画手段とを含み、前記不正通信記録描画手段は、
不正通信回数を複数のレベルに区分するための一つ以上の閾値と、互いに異なる、レベル対応の表示状態とを含むレベル定義を設定し保持する手段と、
前記接続構成情報を参照し、前記記録から通信パス単位の不正通信回数を算出し、これを前記閾値に照らしそのレベルを判定する手段と、
前記接続構成情報に基づき管理対象ネットワークの構成図を作成しこれの各通信パスに前記不正通信回数を付加し、その通信パスの表示状態を前記判定したレベルに対応する状態に設定する描画手段を有することを特徴とする通信管理装置。
通信端末と通信中継装置を含むネットワークを管理対象とする通信管理装置であって、
通信中継装置とこれに接続された通信端末装置の端末接続構成情報を管理する手段と、
前記通信中継装置間の接続構成情報を管理する手段と、
前記通信中継装置の経路情報を管理する手段と、
前記通信中継装置に接続され、条件に合致する通信を検出する不正通信検出装置から不正通信通知を収集し記録する手段と、
前記記録に基づいて不正通信発生状況を描画し表示する不正通信記録描画手段とを含み、前記不正通信記録描画手段は、
不正通信回数を複数のレベルに区分するための一つ以上の閾値と、互いに異なる、レベル対応の表示状態とを含むレベル定義を設定し保持する手段と、
前記端末接続構成情報と前記経路情報を参照し、前記記録から通信パス単位の不正通信回数を算出し、これを前記閾値に照らしそのレベルを判定する手段と、
前記端末接続構成情報と中継装置間接続構成情報に基づき管理対象ネットワーク構成図を作成しこれの各通信パスに前記不正通信回数を付加し、その通信パスの表示状態を前記判定したレベルに対応する状態に設定する描画手段を有することを特徴とする通信管理装置。
前記各レベル対応の表示状態を通信パスを表す線の色とすることを特徴とする請求項１、または２に記載の通信管理装置。
前記各レベル対応の表示状態を通信パスを表す線の太さとすることを特徴とする請求項１、または２に記載の通信管理装置。
前記不正通信通知を収集し記録する手段が、不正通信の発生時刻も記録し、
前記レベル定義を設定し保持する手段が、集計対象とする不正通信の期間の長さに対応付けて、複数通りのレベル定義を設定し、レベルに応じて異ならせる表示状態の種別が定義ごとに異なる種別を設定し、保持する様にし、
前記不正通信記録描画手段は、集計対象とする不正通信の期間を指定する情報を集計要求元から取得する手段を有し、通信パス単位の不正通信回数を算出しレベルを判定する手段が、前記記録の内その発生時刻が指定された期間である不正通信通知を集計し、通信パス単位の不正通信回数を算出し、前記期間の長さに対応したレベル定義の閾値を用いてレベルを判定し、
前記描画手段が管理対象ネットワークの構成図の不正通信回数を付加した通信パスの表示状態を前記対応したレベル定義の表示状態に従って設定することを特徴とする請求項１、または２に記載の通信管理装置。
前記複数通りのレベル定義を、不正通信記録の短期間分の集計に対応付けられた第１の定義と、不正通信記録の長期間分の集計に対応付けられた第２の定義とし、前記両方の定義の何れか一方の定義の各レベル対応の表示状態を通信パスを表す線の色とし、他方の定義の各レベル対応の表示状態を通信パスを表す線の太さとすることを特徴とする請求項５記載の通信管理装置。
請求項１〜６のいずれか一つに記載の通信管理装置と、
前記通信管理装置が管理するネットワークに接続された通信端末装置と、
前記ネットワークに接続された通信中継装置と、
前記通信中継装置に接続され、条件に合致する通信を検出する不正通信検出装置とを備え、
前記通信管理装置は前記ネットワークか、或いは前記ネットワークに通信接続されたネットワークに接続されたことを特徴とする不正通信端末装置の識別システム。
通信端末と通信中継装置を含むネットワークにおける不正通信端末装置の識別方法であって、
通信中継装置とこれに接続された通信端末装置の接続構成情報を管理するステップと、
前記通信中継装置に接続され、条件に合致する通信を検出する不正通信検出装置から不正通信通知を収集し記録するステップと、
前記記録に基づいて不正通信発生状況を描画し表示する不正通信記録描画ステップとを含み、
前記不正通信記録描画ステップには、
不正通信回数を複数のレベルに区分するための一つ以上の閾値と、互いに異なる、レベル対応の表示状態とを含むレベル定義を設定し保持するステップと、
前記接続構成情報を参照し、前記記録から通信パス単位の不正通信回数を算出し、これを前記閾値に照らしそのレベルを判定するステップと、
前記接続構成情報に基づき管理対象ネットワークの構成図を作成しこれの各通信パスに前記不正通信回数を付加し、その通信パスの表示状態を前記判定したレベルに対応する状態に設定するステップを含むことを特徴とする不正通信端末装置の識別方法。
通信端末と通信中継装置を含むネットワークにおける不正通信端末装置の識別方法であって、
通信中継装置とこれに接続された通信端末装置の端末接続構成情報を管理するステップと、
前記通信中継装置間の接続構成情報を管理するステップと、
前記通信中継装置の経路情報を管理するステップと、
前記通信中継装置に接続され、条件に合致する通信を検出する不正通信検出装置から不正通信通知を収集し記録するステップと、
前記記録に基づいて不正通信発生状況を描画し表示する不正通信記録描画ステップとを含み、
前記不正通信記録描画ステップには、
不正通信回数を複数のレベルに区分するための一つ以上の閾値と、互いに異なる、レベル対応の表示状態とを含むレベル定義を設定し保持するステップと、
前記端末接続構成情報と前記経路情報を参照し、前記記録から通信パス単位の不正通信回数を算出し、これを前記閾値に照らしそのレベルを判定するステップと、
前記端末接続構成情報と中継装置間接続構成情報に基づき管理対象ネットワーク構成図を作成しこれの各通信パスに前記不正通信回数を付加し、その通信パスの表示状態を前記判定したレベルに対応する状態に設定するステップを含むことを特徴とする不正通信端末装置の識別方法。
前記各レベル対応の表示状態を通信パスを表す線の色とすることを特徴とする請求項８、または９に記載の不正通信端末装置の識別方法。
前記各レベル対応の表示状態を通信パスを表す線の太さとすることを特徴とする請求項８、または９に記載の不正通信端末装置の識別方法。
通信中継装置とこれに接続された通信端末装置の接続構成情報を管理するステップと、
前記通信中継装置に接続され、条件に合致する通信を検出する不正通信検出装置から不正通信通知を収集し記録するステップと、
不正通信回数を複数のレベルに区分するための一つ以上の閾値と、互いに異なる、レベル対応の表示状態とを含むレベル定義を設定し保持するステップと、
前記接続構成情報を参照し、前記記録から通信パス単位の不正通信回数を算出し、これを前記閾値に照らしそのレベルを判定するステップと、
前記接続構成情報に基づき管理対象ネットワークの構成図を作成しこれの各通信パスに前記不正通信回数を付加し、その通信パスの表示状態を前記判定したレベルに対応する状態に設定するステップをコンピュータに実行させるためのプログラム。
通信中継装置とこれに接続された通信端末装置の端末接続構成情報を管理するステップと、
前記通信中継装置間の接続構成情報を管理するステップと、
前記通信中継装置の経路情報を管理するステップと、
前記通信中継装置に接続され、条件に合致する通信を検出する不正通信検出装置から不正通信通知を収集し記録するステップと、
不正通信回数を複数のレベルに区分するための一つ以上の閾値と、互いに異なる、レベル対応の表示状態とを含むレベル定義を設定し保持するステップと、
前記端末接続構成情報と前記経路情報を参照し、前記記録から通信パス単位の不正通信回数を算出し、これを前記閾値に照らしそのレベルを判定するステップと、
前記端末接続構成情報と中継装置間接続構成情報に基づき管理対象ネットワーク構成図を作成しこれの各通信パスに前記不正通信回数を付加し、その通信パスの表示状態を前記判定したレベルに対応する状態に設定するステップをコンピュータに実行させるためのプログラム。
前記各レベル対応の表示状態を通信パスを表す線の色とすることを特徴とする請求項１２、または１３に記載のプログラム。
前記各レベル対応の表示状態を通信パスを表す線の太さとすることを特徴とする請求項１２、または１３に記載のプログラム。
通信中継装置とこれに接続された通信端末装置の接続構成情報を管理するステップと、
前記通信中継装置に接続され、条件に合致する通信を検出する不正通信検出装置から発生時刻も含めて不正通信通知を収集し記録するステップと、
不正通信回数を複数のレベルに区分するための一つ以上の閾値と、互いに異なる、レベル対応の表示状態とを含むレベル定義を、集計対象とする不正通信の期間の長さに対応付けて、複数通り、且つ前記表示状態の種別が定義ごとに異なる様に設定し保持するステップと、
前記記録の集計要求を受け、要求元から集計対象とする不正通信の期間を指定する情報を取得するステップと、
前記記録の内その発生時刻が指定された期間である不正通信通知を中間集計するステップと、
前記接続構成情報を参照し、前記中間集計から通信パス単位の不正通信回数を算出し、これを前記指定された期間に対応したレベル定義の閾値に照らし、そのレベルを判定するステップと、
前記接続構成情報に基づき管理対象ネットワークの構成図を作成しこれの各通信パスに前記不正通信回数を付加し、その通信パスの表示状態を、前記判定したレベルと前記対応したレベル定義の表示状態に従って設定するステップをコンピュータに実行させるためのプログラム。
前記複数通りのレベル定義を、不正通信記録の短期間分の集計に対応付けられた第１の定義と、不正通信記録の長期間分の集計に対応付けられた第２の定義とし、前記両方の定義の何れか一方の定義の各レベル対応の表示状態を通信パスを表す線の色とし、他方の定義の各レベル対応の表示状態を通信パスを表す線の太さとすることを特徴とする請求項１６記載のプログラム。