JP2007129707A

JP2007129707A - 自動化ネットワークのブロッキングの方法およびシステム

Info

Publication number: JP2007129707A
Application number: JP2006291363A
Authority: JP
Inventors: Michael A Carpenter; マイケル・エイ・カーペンター
Original assignee: International Business Machines Corp
Current assignee: International Business Machines Corp
Priority date: 2005-10-31
Filing date: 2006-10-26
Publication date: 2007-05-24
Also published as: US20070101422A1; CN1960376A

Abstract

【課題】物理的なリワイヤリングが必要でないように、ホスト・コンピュータをネットワークから論理的に切断するため、およびこれを同じ様式で再接続するための、方法およびシステムを提供すること。
【解決手段】この方法およびシステムは、影響を受けるホストを即時に分離することによってウィルス攻撃中にセキュリティを提供し、それによって攻撃の伝搬を防ぐ。論理接続は、所与のネットワーク・ホストからのすべてのトラフィックを中断するためのネットワーク・フィルタを使用して管理される。ネットワーク・フィルタリングは、ネットワーク・プロトコルとして、またはネットワーク・サーバからの管理ツールとして実装可能である。
【選択図】図２

Description

本発明は、一般にコンピュータ・ネットワーク・セキュリティ・システムに関し、具体的にはネットワーク接続の制御に関する。

今日では、特にコンピュータおよびネットワークがインターネットまたは他の信頼できないネットワークに接続されている場合、他者からの攻撃を防ぐために、コンピュータ・セキュリティおよびネットワーク・セキュリティが非常に重要である。これらの攻撃は、コンピュータ・ウィルス、ワーム、サービス不能、データへの不正アクセス、または他の種類の悪意あるソフトウェアなど、全体としてウィルスと呼ばれる形の場合がある。一般に通信ネットワーク・セキュリティ、特にコンピュータ・ネットワーク・セキュリティは、ハッカーを含む未許可の侵入者による巧妙な攻撃の対象となる場合が多い。こうしたネットワークへの侵入者は、アクセス権および未許可の特権を得るためにネットワークの弱点を悪用することにますます熟練してきており、こうした攻撃の検出および追跡を困難にしている。さらに、ウィルスおよびワームなどの悪意あるソフトウェアからのセキュリティの脅威は人的監視なしに伝搬可能であり、他のネットワーク・システムへの複製および移動が可能である。こうした侵入はコンピュータ・システムに損害を与え、影響を受けるネットワークに関連付けられたエンティティの重大な利益に悪影響を与える可能性がある。

特に、ネットワーク内での悪意あるソフトウェアの伝播により、短時間に指数関数的に増加するような損害を生じさせる可能性がある。コンピュータ・ネットワークに対するウィルス攻撃の悪影響が、クライアント・コンピュータ、ネットワーク・インフラストラクチャ、およびネットワーク・サーバを行動不能にする可能性がある。その結果、ビジネスに不可欠な動作がシャットダウンし、ダウンタイムおよび生産性の損失から大規模な経済的損失が生じかねない。ウィルス攻撃により与えられる業務上の損害には、悪意あるソフトウェアの封じ込めに必要なすべての努力、ならびに修理および復元の実行に必要な多大な労働力資源が含まれる。したがって、攻撃の阻止および損害の封じ込めはネットワーク・セキュリティにとって重大な側面である。

従来のネットワーク・セキュリティは、未許可の人間を中に入れないための境界線のセットアップに集中していた。現在の業務情報のセキュリティは、ビジネスを実行可能にすること、ならびに従業員、顧客、供給業者、および許可されたパーティにアクセス権を認めることができる境界線を作成することに、焦点を置く必要がある。境界線のネットワーク・セキュリティが侵害された場合、他のセキュリティ手段には、ネットワーク・クライアント上およびウェブサーバなどの他のアクセス・ポイントでの様々な種類のウィルス防止システムが含まれる。他のセキュリティ手段は、ファイアウォールの設置などのネットワーク・トポロジを含むことができる。残念ながらウィルス防止は、依然として本質的にある程度不確実である。したがって、損害を防ぐための積極的な方法には、感染したホスト・マシン、ならびに保護されておらず依然として攻撃を受けやすいホスト・マシンの識別が含まれる。攻撃が疑われる場合、破滅的な発生を修正する際の第１のステップは、感染したホストをネットワークから分離することである。ネットワーク・ホストの分離は、攻撃や、一般にネットワーク・ホストを制御してそれらをさらなる攻撃に使用するように設計されている悪意あるソフトウェアが、さらに広がるのを防ぐために必要である。ネットワーク・ホストの分離は、ネットワーク・ケーブルを切断するのと同様に単純なものとすることが可能であり、それによって他のホストとそれ以上通信できなくなり、攻撃の伝搬連鎖が断ち切られる。このソリューションは単純であるが、管理者がマシンの場所を突き止め、物理的にこれを切断した後、修復時に再接続する必要がある。何百何千のクライアントを抱えた大規模ネットワークの場合、物理的な切断は非現実的かつ遅いため、ウィルス攻撃中にネットワーク・ホストを分離する効果的な方法とは言えない。

前述の結果として、ネットワークに接続されたホスト・コンピュータの接続を管理するための高速かつ自動的な方法の提供が求められている。

本発明は、ホスト・コンピュータをネットワークから論理的に切断するため、および同様の様式でこれを再接続するための方法およびシステムを提供することにより、前述の必要性に対処する。論理的切断という用語は、ホスト・コンピュータによる伝送を許可しないようネットワークの転送コンポーネントに指示する概念のことである。この様式では、ホスト・コンピュータはネットワークとのその物理接続を維持することはできるが、他のホスト・コンピュータを感染させるために必要ないかなる通信も中断されることになるため、それ以上ウィルス攻撃を伝搬させることはできなくなる。論理的切断は、管理者が手動で発行したコマンド、またはホスト・コンピュータによって公開された不審な挙動に応答して自動的に起動されたコマンドに応答して、実行することができる。論理的再接続は、ネットワーク・セキュリティが再確立され、ホスト・システムが修復された場合に、実行することができる。論理的再接続とは、ホスト・コンピュータによる伝送を許可するようネットワークの転送コンポーネントに指示する概念のことである。本発明の一利点は自動化機能であり、これによって最小限の努力だけでよく、ウィルス攻撃に対してタイムリーに、すなわち大規模な損害が発生する前に応答することができる。本発明は、たとえ多数のホスト・コンピュータへのネットワーク・トラフィックを中断し、後に復元する必要がある場合でも、実行可能なソリューションである。本発明の一実施形態は、各ネットワーク・インターフェースにコマンドを送信するネットワーク・プロトコルとして実装可能である。本発明の他の実施形態は、ネットワーク・サーバ上で実行可能な管理ツールとして実装可能である。

本発明の一目的は、ネットワークからホストを論理的に切断することによって、ネットワーク・ホストに属する所与の物理アドレスからのネットワーク・トラフィックを中断するための手段を提供することである。

本発明の他の目的は、ネットワークからホストを論理的に再接続することによって、ネットワーク・ホストに属する所与の物理アドレスからのネットワーク・トラフィックを再開するための手段を提供することである。

本発明の他の目的は、所与の物理アドレスに関するデータ・パケットをブロックするようネットワーク・デバイスに指示することによって、所与の物理アドレスからのネットワーク・トラフィックをフィルタリングするための手段を提供することである。

本発明の他の目的は、ネットワークからネットワーク・ホストを論理的に切断するための、手動または自動メカニズムを提供することである。

前述の目的のうちの少なくとも１つが、本発明によって全体的または部分的に満たされる。前述の内容は、以下に示す本発明の詳細な説明がよりよく理解されるように、本発明の特徴および技術的利点をより広義に概説したものである。以下に、本発明の特許請求の範囲の主題を形成する、本発明の追加の特徴および利点について説明する。

本発明およびその利点についてより完全に理解するために、添付の図面に関連して以下の説明を行う。

以下の説明では、本発明を完全に理解するために、特定のワードまたはバイト長さなどの多数の特定の細部について説明する。しかしながら、当業者であれば、本発明がこうした特定の細部なしでも実施可能であることは明らかであろう。その他の場合には、不必要に詳細にして本発明が不明瞭にならないために、良く知られた回路はブロック図形式で示されている。ほとんどの部分では、タイミングなどの考慮すべき点に関する詳細は、こうした細部が本発明を完全に理解するために必要ではなく、当業者の技術範囲内にあるため、省略されている。

次に図面を参照すると、記載されている要素は必ずしも基準化する（ｓｃａｌｅ）ために示されたものではなく、同じまたは同様の要素にはいくつかの図面を通じて同じ参照番号が指定されている。

所与のネットワークに結合されたホスト・コンピュータをローカライズするために、物理アドレスは、ネットワークからアクセスできる固有のハードウェア依存アドレスまたは識別を示すものである。物理アドレスは一般に、ネットワーク・ホストに結合されたハードウェア・コンポーネントが置き換えられない限り変更されない。これに対してネットワーク・アドレスは、ネットワーク・プロトコルまたは管理者によって割り当てられるアドレスまたは識別である。ネットワーク・アドレスは一般に、取り消すか、または指定された時と同じ様式で他のネットワーク・ホストに再割り当てすることができる。ネットワーク・アドレスは、ネットワークのトポロジおよび編成に関する情報も含むことができる。

本発明は、ネットワーク指向のデバイス上で実行されるアプリケーションが互いに通信し合う方法を説明するために、国際標準機構（ＩＳＯ）によって標準化されたＯｐｅｎＳｙｓｔｅｍＩｎｔｅｒｃｏｎｎｅｃｔｉｏｎ（ＯＳＩ）ＲｅｆｅｒｅｎｃｅＭｏｄｅｌのある特徴に依拠している。図１に示されたモデルは、一般にＯＳＩ７層モデルまたはＩＳＯ７層モデルと呼ばれる。図１では、第１の層１１０は物理層またはレイヤ１であり、ネットワーク・メディアとネットワーク・デバイスとをインターフェース接続するための、物理的手段の光、電気、および機械的特徴を定義する。レイヤ１デバイスの一例が、銅線ネットワーク・メディアを使用してネットワーク・インターフェース・コントローラ（ＮＩＣ）に結合されたコネクタの後ろにあるネットワーク・インターフェースである。図１の第２の層１１２はデータ・リンク層またはレイヤ２であり、通信リンクを動作させるための手順、および物理メディアを共有するためのアクセス・ストラテジを定義する。データ・リンクおよびメディア・アクセス問題は、データ・パケットのフレーム化および伝送エラーの管理のためにレイヤ２内で処理される。イーサネット・ネットワークの例では、アクセスを管理する物理アドレスは、各ＮＩＣに固有の６バイトのメディア・アクセス・コントロール（ＭＡＣ）アドレスである。レベル２に依存する他のデバイスはブリッジおよびスイッチであり、どのＭＡＣアドレスが個々のポートに接続されているかを適応的に学習すること、および物理アドレスにマッピングされたネットワーク・アドレスのテーブルを格納することができる。ネットワーク・アドレスの一例が、データ・リンク・コントロール（ＤＬＣ）アドレスとも呼ばれる４バイトのインターネット・アドレス、またはＩＰアドレスである。ネットワークのトポロジ・マップを習得するためのレイヤ２デバイス用のプロトコルの一例が、アドレス解決プロトコル（ＡＲＰ）である。図１の第３の層１１４はネットワーク層またはレイヤ３であり、ネットワーク・デバイス間でデータをどのように伝送するのかを決定し、ネットワーク接続を確立、維持、および終了するための手段を提供する。レイヤ３デバイスの一例がルータである。レイヤ３内のプロトコルの一例がインターネット・プロトコルであり、固有のネットワーク・デバイス・アドレスに従ってパケットをルーティングし、ネットワーク・トラフィックが円滑に流れることを保証するためにフローおよび輻輳制御を提供する。図１のさらに高位の層１１６、１１８、１２０、および１２２は、それぞれトランスポート、セッション、プレゼンテーション、およびアプリケーション層に対応し、それぞれレイヤ４〜７と呼ばれる。図１の諸層はしばしばまとめてネットワーク・スタックと呼ばれ、デバイスＡ上で実行されるレイヤ７のアプリケーションは、デバイスＢ上で実行されるアプリケーションとネットワーク上でスタックを介して通信することができる。ＡからＢへと交換される各パケットは、第１に、デバイスＡのレイヤ７からスタックの各層を下方に向かって通過し、物理的にはデバイスＡからＢへレイヤ１上を転送され、デバイスＢのレイヤ７へとスタックを上方に進まなければならない。こうしたネットワーク階層化アーキテクチャは、当分野でよく知られている。

図２を参照すると、ネットワークのレイヤ３およびレイヤ２中のデバイス機能に依拠した本発明の一実施形態が示されている。プロセス２０２は、所与のホスト・コンピュータを論理的に切断および再接続するための機能を有する。プロセス２０２の諸実施形態は、レイヤ２およびレイヤ３デバイスにホスト・システムの物理およびネットワーク・アドレッシングを提供する、任意のタイプのネットワーク上で動作可能であることに留意されたい。ネットワークのタイプは、ガルヴァーニ・コネクタ、光コネクタ、無線トランシーバ、またはそれらの任意の組み合わせを使用する、有線ネットワークとすることができる。

本発明は、他の諸実施形態で、悪意あるコード攻撃に応答して特定のネットワーク・デバイスをブロックする目的で、または所与のネットワーク・デバイスまたはコンポーネントを分離する他の目的で、無線通信ネットワークを使用して実施することもできる。無線ネットワークの場合、必要に応じて、物理アドレスおよびネットワーク・アドレスを、固有のネットワーク・デバイスおよびその論理ネットワーク・アドレスを識別する働きをする他の識別情報に置き換えることもできる。一例では、移動音声通信用のセルラ無線ネットワークにおいて、セルラ電話デバイスに関連付けられたデバイス番号、またはセルラ電話デバイスを活動状態にするために使用されるＳＩＭカードのシリアル番号などの、固有のハードウェア識別子は、物理アドレスとして働くことが可能であり、セルラ電話番号はネットワーク・アドレスとして働くことが可能である。こうした配置構成により、特定の移動電話または特定のＳＩＭカードをブロックすることができる。特定のＳＩＭカードとは無関係のセルラ電話をブロックする機能は、移動電話のローカル・メモリに常駐可能な悪意あるコードからネットワークを保護するために必要な場合がある。１つのシナリオでは、ネットワーク・システムおよびそれらのエンド・デバイス全体にわたることが可能なハイブリッド・ウィルスから、ネットワーク・デバイスを保護するために、本発明を採用することができる。無線通信ネットワークにおける本発明の一実施形態では、無線ネットワーク・インターフェースに関連付けられたデバイス番号またはＭＡＣなどの固有のハードウェア識別子は、物理アドレスとして働くことが可能であり、無線ネットワーク・インターフェースのＩＰアドレスはネットワーク・アドレスとして働くことが可能である。一例では、ＧＳＭおよびＩＥＥＥ８０２．１１機能の両方を備えた無線デバイスを、本発明の方法を使用してウィルス攻撃を検出すると同時に、いずれかのネットワークから切断することができる。

２０１で開始された後、図２におけるプロセス２０２の最初のステップ２１０には、論理的切断のためにネットワーク・ホストの物理アドレスを識別するステップが含まれる。一例では、物理アドレスは、ホストを識別する働きをするホストＮＩＣのＭＡＣアドレスとすることができる。他の場合、ＩＰアドレスなどのネットワーク・アドレスを使用して、ネットワーク・ホストの物理アドレスを解決することができる。

図３では、プロセス２１０の一例がプロセス３０２に示されている。３０１で開始された後、第１のステップ３０４はホストのネットワーク・アドレスを識別することである。第２のステップ３０６では、ホストの物理アドレスを解決するためにネットワーク・アドレスが使用される。ステップ２１０、３０４の識別するステップは、プロンプトに応答したユーザ・インターフェースへのアドレス情報の入力を含むことができる。ＩＰアドレスまたは他のネットワーク識別子などの２次情報から物理アドレスを解決するステップ３０６は、ユーザ入力に応答して自動的に実行するか、または手動で実行することができる。自動的な解決は、デバイスから物理アドレスを再取得するためにアドレス解決テーブルを維持するネットワーク・デバイスの照会を含むことができる。手動解決は、物理アドレスを取得するためのネットワーク・プロトコルを使用したコマンドの発行を含むことができる。プロセス３０２はステップ３１１で終了する。

図２におけるプロセス２０２の次のステップ２１２は、ネットワーク・ホストが結合されたネットワーク・セグメントを識別すること２１２を含む。本発明の一実施形態では、ネットワーク・セグメント内のすべてのデバイスと対話するためにグローバル・アドレスが使用される。他の場合には、ネットワーク・コアとネットワーク・ホストとの間の通信パスを含む、有効なネットワーク・トポロジが解決される。

図４では、ネットワーク・セグメントを識別するためのプロセス２１２を実装するための一実施形態が、別のプロセス３２２として示されている。プロセス３２２は、ネットワーク・ホストが結合されているレイヤ２およびレイヤ３のデバイスそれぞれの検索を含む。３２１で開始された後、第１のステップ３２４はコア・ネットワーク・アドレスを識別することを含む。これには、プロセス３０２を通じて、または２１０で識別された物理アドレスからホスト・ネットワーク・アドレスを解決することによって、ネットワーク・ホストのネットワーク・アドレスが識別される必要がある。ホスト・ネットワーク・アドレスがわかれば、ホストの通信パスを決定することができる。これには、ネットワークのコアで開始される検索が含まれる。この意味でのコアという用語は、個々に管理された自律ネットワークの中心のことである。一例では、こうしたネットワークには、コアとして働くドメイン・サーバによって管理されるネットワーク・ドメインが含まれる。ステップ３２６では、ルーティング機能を使用してネットワーク内のレイヤ３デバイスが決定される。一例では、ＩＣＭＰルート追跡機能を使用して、ネットワーク上の各レイヤ３デバイスが決定される。その後ステップ３２８で、ネットワーク・ホストが結合された第１のレイヤ３デバイスが識別される。このレイヤ３デバイスは、切断されることになるネットワーク・ホスト用のネットワーク・ルータとして働き、このレイヤ３ルータへのパスまたはゲートウェイをブロックすることは、任意の他のネットワーク接続からホストを効果的に切断する働きをする。ネットワーク・セグメントを識別するプロセス３２２は、ステップ３２８で識別された第１のレイヤ３デバイスに結合された各レイヤ２デバイスを決定することによって、さらにステップ３３０に進む。ステップ３３０は、第１のレイヤ３デバイス上で、ネットワーク・ホストの物理アドレスがどの物理インターフェースに関連付けられているかを決定することによって開始される。そこから、次の直接結合されたネットワーク・デバイスを照会することによって、第１のレイヤ３デバイスとネットワーク・ホストとの間にあるそれぞれの連続するレイヤ２デバイスが決定される。その後、ホップとも呼ばれる通信パス内の各ステップが解決される。一実装では、ＣｉｓｃｏＤｉｓｃｏｖｅｒｙＰｒｏｔｏｃｏｌ（ＣＤＰ）を使用して、通信パス内の次のホップを決定することができる。一例では、通信パッチおよびデバイス・アドレスが解決されると、Ｔｅｌｎｅｔプロトコルを使用してネットワーク・デバイスとの対話が実行される。ステップ３３２では、ネットワーク・ホストに接続された第１のレイヤ２デバイスが決定される。以前の諸ステップでネットワーク・トポロジが有効に解決されているため、ステップ３３４ではこの情報がローカル・データベースに記録される。プロセス３２２はステップ３５１で終了する。

図２におけるプロセス２０２の次のステップ２１４は、ネットワーク・ホストを論理的に切断するための意思決定ステップである。この意思決定ステップ２１４は、手動または自動で発行可能な切断コマンドに応答して実行することができる。手動切断コマンドは、ネットワークの管理者によりユーザ・インターフェース要素を動作させることによって実行された意思決定の結果とすることができる。自動切断コマンドは、ネットワーク・トラフィックの特定の挙動またはパターン、ネットワーク上でのソフトウェア・バージョンのインストール・マップ、あるいは、特定のホストをネットワークから論理的に切断すべきであるかどうかを判別するための他の基準などの、事前に定義された基準に応答して発行することができる。自動切断コマンドは、詳細なネットワーク・アドレスおよびアクションのタイムスタンプと共に実行されたアクションの、管理者への通知を伴うことができる。こうした所与のネットワーク・ホストを論理的に切断するように意思決定２１４されるなどの時点まで、プロセス２０２はアイドル状態のままとするか、または切断コマンドの発行についてポーリングすることができる。切断コマンドに応答して、プロセス２０２はネットワーク・ホストを論理的に切断するために、ブロッキング・フィルタを活動状態にする２１６。ブロッキング・フィルタには様々な実装が可能である。フィルタを適用する方法の一例では、ネットワーク・デバイスは、論理的に切断されているネットワーク・ホストからのトラフィックをブロックするために、Ｔｅｌｎｅｔを介してＭＡＣフィルタを適用するように指示される。ブロッキング・フィルタの一実施形態では、本発明は、ネットワーク・ホストが結合されている第１のレイヤ２デバイスにブロッキング・フィルタを適用する。ブロッキング・フィルタの一実施形態では、本発明は、ネットワーク・コアへのパス内のネットワーク・ホストと第１のレイヤ３デバイスとの間にあるあらゆるレイヤ２デバイスにブロッキング・フィルタを適用し、これによって実質上ネットワーク・ホストが物理的にネットワークに再接続されるのを防ぐ。ブロッキング・フィルタの一実施形態では、本発明はネットワーク・プロトコルに依拠して、ホストの物理アドレスに基づいて所与のホストに対する伝送を無視するための、転送デバイスへの命令でネットワークをフラッディング（ｆｌｏｏｄ）させる。実装の一例では、すべてのネットワーク・デバイス上のＭＡＣアドレス・フィルタを活動状態にするために、ＳｉｍｐｌｅＮｅｔｗｏｒｋＭａｎａｇｅｍｅｎｔＰｒｏｔｏｃｏｌ（ＳＮＭＰ）で使用されているものと同様のメッセージがネットワークを介してフラッディングされる。ブロッキング・フィルタが活動状態になると２１６、ネットワーク・ホストはネットワークから論理的に切断されたものとみなされる。

図２におけるプロセス２０２の次のステップは、ネットワーク・ホストをネットワークに論理的に再接続するべきかどうかの意思決定２１８である。この意思決定ステップ２１８は、手動または自動で発行可能な再接続コマンドに応答して実行することができる。手動再接続コマンドは、ネットワークの管理者によりユーザ・インターフェース要素を動作させることによって実行された意思決定の結果とすることができる。自動再接続コマンドは、ホストが修復された場合などに、ネットワーク・トラフィックの特定の挙動またはパターン、ネットワーク上でのソフトウェア・バージョンのインストール・マップ、あるいは、特定のホストをネットワークに論理的に再接続すべきであるかどうかを判別するための他の基準などの、事前に定義された基準に応答して発行することができる。自動再接続コマンドは、詳細なネットワーク・アドレスおよびアクションのタイムスタンプと共に実行されたアクションの、管理者への通知を伴うことができる。こうした所与のネットワーク・ホストを論理的に再接続するように意思決定２１８されるなどの時点まで、プロセス２０２はアイドル状態のままとするか、または再接続コマンドの発行についてポーリングすることができる。再接続コマンドに応答して、プロセス２０２はネットワーク・ホストを論理的に再接続するために、ブロッキング・フィルタを非活動状態にする２２０。ブロッキング・フィルタには様々な実装、すなわちブロッキング・フィルタの除去の様々な実装が可能である。フィルタを除去する方法の一例では、ネットワーク・デバイスは、論理的に再接続されているネットワーク・ホストからのトラフィックを許可するように、Ｔｅｌｎｅｔを介してＭＡＣフィルタを除去するように指示される。ブロッキング・フィルタの一実施形態では、本発明は、ネットワーク・ホストが結合されている第１のレイヤ２デバイス上のブロッキング・フィルタを除去する。ブロッキング・フィルタの一実施形態では、本発明は、ネットワーク・コアへのパス内のネットワーク・ホストと第１のレイヤ３デバイスとの間にあるあらゆるレイヤ２デバイスからブロッキング・フィルタを除去する。ブロッキング・フィルタの一実施形態では、本発明はネットワーク・プロトコルに依拠して、ホストの物理アドレスに基づいて所与のホストに対する伝送を確認および転送するための、転送デバイスへの命令でネットワークをフラッディングさせる。実装の一例では、すべてのネットワーク・デバイス上のＭＡＣアドレス・フィルタを非活動状態にするために、ＳｉｍｐｌｅＮｅｔｗｏｒｋＭａｎａｇｅｍｅｎｔＰｒｏｔｏｃｏｌ（ＳＮＭＰ）で使用されているものと同様のメッセージがネットワークを介してフラッディングされる。ブロッキング・フィルタが非活動状態になると２１８、ネットワーク・ホストはネットワークに論理的に再接続されたものとみなされ、これによってステップ２１６で論理的に切断される前の元の状態が得られる。プロセス２０２はステップ２５０で終了する。

プロセス２０２は、ネットワークからの論理的切断およびその後の再接続を必要とする複数のネットワーク・ホストに対して、開始ステップ２０１から終了ステップ２５０まで、またはその一部を反復できることに留意されたい。一例では、複数のネットワーク・ホストは順番にネットワークへの参加を中断され、各ネットワーク・ホストに対する個々の修復が確認されると同時に復元されることが可能である。他の例では、複数のネットワーク・ホストに対して、再入可能、同時、または並列様式で中断および復元の両方が行われる。

本発明は、完全なハードウェア実施形態、完全なソフトウェア実施形態、またはハードウェアおよびソフトウェアの両方の要素を含む実施形態の形を取ることができる。一実施形態では、本発明はファームウェア、常駐ソフトウェア、マイクロコードなどを含むがこれらに限定されるものではない、ソフトウェアで実装される。さらに本発明は、コンピュータまたは任意の命令実行システムによって、あるいはこれらと共に使用するためのプログラム・コードを提供する、コンピュータ使用可能またはコンピュータ読み取り可能メディアからアクセス可能な、コンピュータ・プログラム製品の形を取ることができる。これを説明する目的で、コンピュータ使用可能またはコンピュータ読み取り可能メディアは、命令実行システム、装置、またはデバイスによって、あるいはこれらと共に使用するためのプログラムを、包含、格納、通信、伝搬、または移送することが可能な、任意の装置とすることができる。メディアは、電子、磁気、光、電磁、赤外線、または半導体システム（あるいは装置またはデバイス）、あるいは伝搬媒体とすることができる。コンピュータ読み取り可能メディアの例には、半導体またはソリッド・ステート・メモリ、磁気テープ、取り外し可能コンピュータ・ディスケット、ランダム・アクセス・メモリ（ＲＡＭ）、読み取り専用メモリ（ＲＯＭ）、剛性磁気ディスク、および光ディスクが含まれる。現在の光ディスクの例には、コンパクト・ディスク−読み取り専用メモリ（ＣＤ−ＲＯＭ）、コンパクト・ディスク−読み取り／書き込み（ＣＤ−Ｒ／Ｗ）、およびＤＶＤが含まれる。

プログラム・コードの格納あるいは実行またはその両方に好適なデータ処理システムには、システム・バスを介してメモリ要素に直接または間接的に結合された少なくとも１つのプロセッサが含まれることになる。メモリ要素は、プログラム・コードの実際の実行中に採用されるローカル・メモリ、大容量ストレージ、および、実行中にコードを大容量ストレージから取り出さなければならない回数を削減するために少なくともいくつかのプログラム・コードの一時ストレージを提供するキャッシュ・メモリを、含むことができる。入力／出力またはＩ／Ｏデバイス（キーボード、ディスプレイ、ポインティング・デバイスなどを含むがこれに限定されるものではない）は、直接またはＩ／Ｏコントローラの介入を通じて、システムに結合することができる。データ処理システムを、私設または公衆ネットワークの介入を通じて、他のデータ処理システムあるいはリモートのプリンタまたはストレージ・デバイスに結合できるようにするために、ネットワーク・アダプタをシステムに結合することもできる。モデム、ケーブル・モデム、およびイーサネット・カードは、ネットワーク・アダプタの現在使用可能なタイプのごく一部である。

図５では、本発明の一実施形態を実施するために使用可能なネットワーク構成４０１が概略的に表されている。ネットワーク・コアは、４０１で表されたネットワーク・ドメイン用のメイン・サーバとして働くことが可能なサーバ・システム４０２で表される。サーバは、ルータ４０４および４０６などの複数のレベル３デバイスに接続するための、高性能のネットワーク・インターフェース４０３を装備することができる。ルータ４０６は、ネットワーク・インターフェース４０７を介してブリッジ４０８に接続可能であり、これが外部ネットワーク・セグメント４１５（詳細には図示せず）をこのドメイン４０１に接続する。一例では、外部ネットワーク・セグメント４１５はインターネットを表す。ルータ４０４は、ネットワーク接続のシステム４０５を介して、スイッチ４１０および４１２などの複数のレベル２デバイスに接続可能である。無線アクセス・ポイント４２０などの他のレベル２デバイスは、スイッチ４１０および４１２を介して、または直接、ルータ４０４に接続可能である。他の例では、ハブおよび中継器（ｒｅｐｅａｔｅｒ）（図示せず）と組み合わされたスイッチ４１０、４１２の階層ネットワークを使用して、ネットワーク・アクセスを多数のクライアント・デバイスへと拡張することができる。スイッチ４１０は、ネットワーク接続のシステム４０９を介してクライアント・コンピュータ・システム４２２、４２４、４２６に接続された、例示的な構成で示されている。一例では、システム４２６などの単一のネットワーク・ホストが、本発明の論理的切断／再接続の対象である。図５の図式は例示の目的で示されたものであり、本発明の適用範囲または実践をネットワーク構成の任意の所与の実施形態の範囲または複合内に限定するものではない。多数のレイヤ１、レイヤ２、およびレイヤ３デバイスを備えたネットワーク構成は、本発明を実施するための典型的な環境を表す。

無線アクセス・ポイント４２０によって提供される無線ネットワーク４３０は、通信デバイス４４０またはクライアント・コンピュータ・システム４４２にサービスを提供する。１つのケースでは、本発明は、ネットワーク・ホスト４４２またはネットワーク・ホスト４４０のいずれかを論理的に切断／再接続するために、無線ネットワーク４３０を使用して実施することができる。無線通信デバイス４４０は、セルラ・ネットワーク・インターフェースなどの追加の無線インターフェースを装備することができる。一例では、無線アクセス・ポイント４２０は、移動電話などの多数のセルラ・デバイスに無線通信サービスを提供するためのセルを表すことができる。他のケースでは、無線アクセス・ポイント４２０は、広域全体にわたってブロードバンド無線アクセスを提供することができる。たとえば当分野では、無線通信向けの移動体通信用グローバル・システム（ＧＳＭ）標準に準拠するネットワークが、ＯＳＩ−７層基準モデルを使用してモデル化できることが知られている。本発明は、ＯＳＩ−７層基準モデルに準拠するかまたはこれによって表すことが可能な、任意のこうした無線ネットワークを使用して実施することができる。

典型的なネットワーク・ホスト・コンピュータ・システム（図５のアイテム４２２、４２４、４２６など）のシステム構成が図６に示されており、この図は、従来のマイクロプロセッサなどの中央処理ユニット（ＣＰＵ）５１０、およびシステム・バス５１２を介して相互接続されたいくつかの他のユニットを有する、データ処理システム５０１の例示的ハードウェア構成を示す。データ処理システム５０１は、ランダム・アクセス・メモリ（ＲＡＭ）５１４、読み取り専用メモリ（ＲＯＭ）５１６、および周辺デバイスを接続するための入力／出力（Ｉ／Ｏ）アダプタ５１８を含むことができる。アダプタ５１８に対する周辺デバイスは、周辺バス５１９を介してバス５１２に接続された、ディスク・ユニット５２０、テープ・ドライブ５４０、光ドライブ５４２とすることができる。データ処理システム５０１は、キーボード５２４、マウス５２６、あるいはタッチ・スクリーン・デバイス（図示せず）などの他のユーザ・インターフェース・ドライブまたはそれらすべてを、バス５１２に接続するための、ユーザ・インターフェース・アダプタ５２２を含むこともできる。さらにシステム５０１は、データ処理システム５１３をデータ処理ネットワーク５４４に接続するための通信アダプタ５３４、およびバス５１２をディスプレイ・デバイス５３８に接続するためのディスプレイ・アダプタ５３６を含むこともできる。データ処理ネットワーク５４４は、スター型、リング型、または他のトポロジの、無線、ガルヴァーニ有線、または光メディアのネットワークとすることができる。一例では、通信アダプタ５３４のＭＡＣアドレスは、システム５０１として示されたネットワーク・ホストの物理アドレスを表す。さらにシステム５０１は、バス５１２をマイクロフォン５５２およびスピーカ・システム５５４に接続するためのマルチメディア・アダプタ５５０を含むことも可能であり、アダプタ５５０とのアナログまたはデジタルのインターフェースを介して、ヘッドフォンおよびステレオ・スピーカ（図示せず）などの他のタイプのマルチメディア出力および入力デバイスを使用することも可能である。ＣＰＵ５１０は、本明細書に示されていない他の回路を含むことが可能であり、たとえば実行ユニット、バス・インターフェース・ユニット、演算論理ユニットなどの、マイクロプロセッサ内で一般に見られる回路を含むことになる。

以上、本発明およびその利点について詳細に説明してきたが、添付の特許請求の範囲によって画定された本発明の趣旨および範囲を逸脱することなく、本明細書での様々な変更、置換、および改変が可能であることを理解されたい。

業界標準のネットワーク相互接続基準モデルの層を示す図である。本発明の一実施形態を示す流れ図である。本発明の一実施形態の個々の機能を示す流れ図である。本発明の一実施形態の個々の機能を示す流れ図である。本発明の一実施形態における典型的なネットワーク構成を示す図である。本発明の一実施形態におけるネットワーク・ホストの典型的なシステム・ハードウェア構成を示す図である。

Claims

ネットワーク・ホストの固有の物理アドレスを識別するステップと、
前記物理アドレスに関連付けられたネットワーク・トラフィックをブロックするためのブロッキング・フィルタを適用するために、ネットワーク・セグメントを識別するステップと、
切断コマンドに応答して、前記物理アドレスに対して前記ブロッキング・フィルタを活動状態にするように、前記ネットワーク・セグメントに結合されたネットワーク・デバイスに指示するステップと、
再接続コマンドに応答して、前記物理アドレスに対して前記ブロッキング・フィルタを非活動状態にするように、前記ネットワーク・セグメントに結合されたネットワーク・デバイスに指示するステップと、
を有する、ネットワーク・ホストの論理ネットワーク接続を制御することにより、ネットワーク・ホストのネットワーク・トラフィックを中断するための方法。
前記物理アドレスに対して前記ブロッキング・フィルタを活動状態にするように、前記ネットワーク・セグメントに結合されたネットワーク・デバイスに指示するステップが、前記物理アドレスに対してすべてのネットワーク・トラフィックをブロックするように、ネットワーク上の各デバイスに指示するステップをさらに有し、
前記物理アドレスに対して前記ブロッキング・フィルタを非活動状態にするように、前記ネットワーク・セグメントに結合されたネットワーク・デバイスに指示するステップが、前記物理アドレスに対してすべてのネットワーク・トラフィックを伝送するように、ネットワーク上の各デバイスに指示するステップをさらに有する、
請求項１に記載の方法。
前記ネットワーク・ホストが無線通信デバイスを有し、
前記物理アドレスが無線通信アダプタを一意的に識別する、
請求項１に記載の方法。
前記物理アドレスに関連付けられたネットワーク・トラフィックをブロックするためのブロッキング・フィルタを適用するために、ネットワーク・セグメントを識別するステップが、前記物理アドレスへのネットワーク通信パスを決定するステップをさらに有し、
前記方法は、ネットワーク・コアのネットワーク・アドレスを識別するステップと、
前記ネットワーク・コアと前記物理アドレスとの間にある各レイヤ３デバイスのネットワーク・アドレスを決定するステップと、
前記物理アドレスに物理的に結合された第１のレイヤ３デバイスを識別するステップと、
前記第１のレイヤ３デバイスと前記物理アドレスとの間で結合された各レイヤ２デバイスのネットワーク・アドレスを決定するステップと、
前記物理アドレスに物理的に結合された第１のレイヤ２デバイスを識別するステップと、
レイヤ３およびレイヤ２の各デバイスのネットワーク・アドレスを、ネットワーク接続トポロジと共に記録するステップと、
をさらに有する、請求項１に記載の方法。
前記物理アドレスに対して前記ブロッキング・フィルタを活動状態にするように、前記ネットワーク・セグメントに結合されたネットワーク・デバイスに指示するステップが、前記物理アドレスに対してすべてのネットワーク・トラフィックをブロックするように、前記物理アドレスに物理的に結合された第１のレイヤ２デバイスに指示するステップをさらに有し、
前記物理アドレスに対して前記ブロッキング・フィルタを非活動状態にするように、前記ネットワーク・セグメントに結合されたネットワーク・デバイスに指示するステップが、前記物理アドレスに対してすべてのネットワーク・トラフィックを伝送するように、前記物理アドレスに物理的に結合された第１のレイヤ２デバイスに指示するステップをさらに有する、請求項４に記載の方法。
前記物理アドレスに対して前記ブロッキング・フィルタを活動状態にするように、前記ネットワーク・セグメントに結合されたネットワーク・デバイスに指示するステップが、前記物理アドレスに対してすべてのネットワーク・トラフィックをブロックするように、前記第１のレイヤ３デバイスと前記物理アドレスとの間の各レイヤ２デバイスに指示するステップをさらに有し、
前記物理アドレスに対して前記ブロッキング・フィルタを非活動状態にするように、前記ネットワーク・セグメントに結合されたネットワーク・デバイスに指示するステップが、前記物理アドレスに対してすべてのネットワーク・トラフィックを伝送するように、前記第１のレイヤ３デバイスと前記物理アドレスとの間の各レイヤ２デバイスに指示するステップをさらに有する、
請求項４に記載の方法。
請求項１乃至６のいずれかに記載の方法の各ステップをコンピュータに実行させるためのコンピュータ・プログラム。
プロセッサと、
ネットワーク・ホストの論理ネットワーク接続を制御することにより、ネットワーク・ホストのネットワーク・トラフィックを中断するようにコンピュータを機能させるためのコンピュータ・プログラムを格納したメモリ・ユニットと、
通信アダプタと、
前記プロセッサを前記メモリおよび前記通信アダプタに結合するバス・システムと、
を有し、前記コンピュータ・プログラムは、コンピュータに
ネットワーク・ホストの固有の物理アドレスを識別するステップと、
前記物理アドレスに関連付けられたネットワーク・トラフィックをブロックするためのブロッキング・フィルタを適用するために、ネットワーク・セグメントを識別するステップと、
切断コマンドに応答して、前記物理アドレスに対して前記ブロッキング・フィルタを活動状態にするように、前記ネットワーク・セグメントに結合されたネットワーク・デバイスに指示するステップと、
再接続コマンドに応答して、前記物理アドレスに対して前記ブロッキング・フィルタを非活動状態にするように、前記ネットワーク・セグメントに結合されたネットワーク・デバイスに指示するステップと、
を実行させるためのコンピュータ・プログラムである、システム。
前記物理アドレスに対して前記ブロッキング・フィルタを活動状態にするように、前記ネットワーク・セグメントに結合されたネットワーク・デバイスに指示するステップが、前記物理アドレスに対してすべてのネットワーク・トラフィックをブロックするように、ネットワーク上の各デバイスに指示するステップをさらに有し、
前記物理アドレスに対して前記ブロッキング・フィルタを非活動状態にするように、前記ネットワーク・セグメントに結合されたネットワーク・デバイスに指示するステップが、前記物理アドレスに対してすべてのネットワーク・トラフィックを伝送するように、ネットワーク上の各デバイスに指示するステップをさらに有する、
請求項８に記載のシステム。
前記ネットワーク・ホストが無線通信デバイスを有し、
前記物理アドレスが無線通信アダプタを一意的に識別する、
請求項８に記載のシステム。
前記物理アドレスに関連付けられたネットワーク・トラフィックをブロックするためのブロッキング・フィルタを適用するために、ネットワーク・セグメントを識別するステップが、前記物理アドレスへのネットワーク通信パスを決定するステップをさらに有し、
前記コンピュータ・プログラムがコンピュータにネットワーク・コアのネットワーク・アドレスを識別するステップと、
前記ネットワーク・コアと前記物理アドレスとの間にある各レイヤ３デバイスのネットワーク・アドレスを決定するステップと、
前記物理アドレスに物理的に結合された第１のレイヤ３デバイスを識別するステップと、
前記第１のレイヤ３デバイスと前記物理アドレスとの間で結合された各レイヤ２デバイスのネットワーク・アドレスを決定するステップと、
前記物理アドレスに物理的に結合された第１のレイヤ２デバイスを識別するステップと、
レイヤ３およびレイヤ２の各デバイスのネットワーク・アドレスを、ネットワーク接続トポロジと共に記録するステップと、
をさらに実行させるコンピュータ・プログラムである、請求項８に記載のシステム。
前記物理アドレスに対して前記ブロッキング・フィルタを活動状態にするように、前記ネットワーク・セグメントに結合されたネットワーク・デバイスに指示するステップが、前記物理アドレスに対してすべてのネットワーク・トラフィックをブロックするように、前記物理アドレスに物理的に結合された第１のレイヤ２デバイスに指示するステップをさらに有し、
前記物理アドレスに対して前記ブロッキング・フィルタを非活動状態にするように、前記ネットワーク・セグメントに結合されたネットワーク・デバイスに指示するステップが、前記物理アドレスに対してすべてのネットワーク・トラフィックを伝送するように、前記物理アドレスに物理的に結合された第１のレイヤ２デバイスに指示するステップをさらに有する、
請求項８に記載のシステム。
前記物理アドレスに対して前記ブロッキング・フィルタを活動状態にするように、前記ネットワーク・セグメントに結合されたネットワーク・デバイスに指示するステップが、前記物理アドレスに対してすべてのネットワーク・トラフィックをブロックするように、前記第１のレイヤ３デバイスと前記物理アドレスとの間の各レイヤ２デバイスに指示するステップをさらに有し、
前記物理アドレスに対して前記ブロッキング・フィルタを非活動状態にするように、前記ネットワーク・セグメントに結合されたネットワーク・デバイスに指示するステップが、前記物理アドレスに対してすべてのネットワーク・トラフィックを伝送するように、前記第１のレイヤ３デバイスと前記物理アドレスとの間の各レイヤ２デバイスに指示するステップをさらに有する、
請求項８に記載のシステム。