JP4398316B2 - ネットワーク管理装置、ネットワーク管理方法、およびプログラム - Google Patents
ネットワーク管理装置、ネットワーク管理方法、およびプログラム Download PDFInfo
- Publication number
- JP4398316B2 JP4398316B2 JP2004205742A JP2004205742A JP4398316B2 JP 4398316 B2 JP4398316 B2 JP 4398316B2 JP 2004205742 A JP2004205742 A JP 2004205742A JP 2004205742 A JP2004205742 A JP 2004205742A JP 4398316 B2 JP4398316 B2 JP 4398316B2
- Authority
- JP
- Japan
- Prior art keywords
- segment
- connection device
- illegal packet
- network
- interface
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Expired - Fee Related
Links
Images
Landscapes
- Data Exchanges In Wide-Area Networks (AREA)
Description
おいて前記不正パケット発信端末が属するセグメントを外部ネットワークに接続する前記第1接続装置のインターフェース、または前記不正パケット発信端末が属するセグメントを前記第1接続装置または当該セグメントの上位階層のセグメントに接続する第2接続装置のインターフェースを探索する探索手段と、不正パケット発信端末が属するセグメント内で、前記不正パケット発信端末の数が予め設定した所定数の範囲にない場合に、前記不正パケット発信端末の属するセグメントが接続される第1接続装置または第2接続装置のインターフェースを遮断する制御手段と、を備えるネットワーク管理装置である。
により前記部分セグメントを接続するようにしてもよい。ネットワーク管理装置は、例えば、前記外部ネットワークまたは内部ネットワークにおいて識別可能なアドレスにより第3接続装置にアクセスし、第3接続装置内において、セグメントの範囲で利用可能な通信手順により、前記不正パケット発信端末に直近の部分セグメントを接続する第3接続装置のインターフェースを探索して遮断すればよい。
本実施形態では、複数の機器(ルータ、スイッチングハブ、レイヤ2スイッチ、端末、サーバその他のコンピュータ等)からなるネットワークを例に説明する。本実施形態では、そのようなネットワークにおいて、ウィルスのような不正パケットの発生源が検出されたときに、その発生源の拡散を早期に抑制する情報システムを説明する。なお、この情報システムが実行する処理を不正パケット拡散防止処理という。
ネットワークは、LAN(Local Area Network)である。また、図1では、典型的な外部ネットワークとしてインターネット10が示されている。
ファイアーウォール7は、内部ネットワークへの不正侵入、ウィルスのような破壊行為を実行するプログラムの検知等のためのコンピュータプログラムやハードウェアをいう。ファイアーウォール7は、内部ネットワークとアクセスルータ9との間に設置され、通過するネットワークトラフィックを監視する。そして、ファイアーウォール7は、所定のルールに適合する正当な通信のみを行なえるようにする一方、不正な動きを検知する。
能を1つの通信装置上に有することになる。
ットワークのセグメントをセグメントを接続するパケット中継機能は、第2層で実現され、その一方で、第3層以上のネットワーク機能も予備的に、例えば、管理目的で搭載されている。本実施形態では、そのような第3層以上のネットワーク階層の機能を有するスイッチングハブ3−1等を利用する。以下、本実施形態では、このようなスイッチングハブ3−1、ルータ2−1等を総称してネットワーク中継装置と呼ぶ。
(1)ファイアーウォール7にてウィルス検出
ファイアーウォール7は、ファイアーウォール7を通過するパケットが所定のルール(チェック条件)に合致しているか否かを監視している(S1)。
不正な通信を検出したファイアーウォール7は、検出を契機としてネットワーク管理装置1にSNMPトラップを通知する(S3)。ネットワーク管理装置1上では、SNMPマネージャが稼働しており、そのSNMPトラップを受信する。SNMPマネージャは、SNMPトラップの受信を契機として、ネットワーク管理プログラムを起動し、以下の処理を実行する。
不正な通信を検出したファイアーウォール7からの通知を受信したネットワーク管理装置1は、不正な通信の送信元アドレスによりウィルスに感染していると考えられる端末(以下、被疑装置という)が属しているネットワークのセグメントを特定する。さらに、ネットワーク管理装置1は、所定の手順にしたがって、そのセグメントを接続するルータ2−1等、あるいは、スイッチングハブ3−1等のネットワーク中継装置のインターフェースを特定する(S4)。
れる。構成データベースは、例えば、図1に示した内部ネットワークの構成をツリー構造で定義する。このツリー構造では、例えば、セグメントのネットワークアドレス、サブネットマスク等が記録されている。さらに、このツリー構造では、各セグメントに接続される装置のIPアドレス、ホスト名等が記録される。図1に示す内部ネットワークの構成(ノードとノードとの関係)を記述するようなツリー構造の定義手順は広く知られているのでその説明を省略する。
(4)被疑セグメントの遮断
ウィルスに感染した被疑装置が接続されているセグメントを接続するネットワーク中継装置のインターフェースを特定したネットワーク管理装置1は、そのネットワーク中継装置に対してSNMPによるパラメータ送信またはtelnetによる仮想端末からのコマンド入力を用いて、被疑インターフェースを遮断(閉塞)するように指示する(S5)。このとき、ネットワーク管理装置1は、遮断したインターフェースの存在するネットワーク中継装置(装置名、アドレス等)と、そのネットワーク中継装置上のインターフェース(そのインターフェースを識別するインターフェース名、アドレス等)を所定の履歴情報テーブルに記録する。
ネットワーク管理者は、ウィルスが感染した端末の管理者に対しウィルス対策ソフトなどを用いて完全にウィルスを駆除し、不具合状態から完全に復旧したか否かを確認する(S7)。
復旧できた場合(S8でYESの場合)、ネットワーク管理者は、所定の操作部(例えば、ネットワーク管理装置1上の操作端末、指示スイッチ、またはネットワーク管理者の端末等)により復旧動作の開始を指示する(S9)。この判断は、例えば、特定のセグメントごとに実施し、セグメントごとに復旧するようにしてもよい。
図3は、ネットワークを構成する構成機器の機種ごとのデフォルト値を定義した機種ごとのデフォルト値テーブルである。この機種ごとのデフォルト値テーブルは、図4の登録
テーブルを生成するときの機種ごとのインターフェースの種類、遮断手順の種別、および遮断方法を定義する。図3に示すように、機種ごとのデフォルト値テーブルは、メーカ、機種、インターフェース、遮断種別、遮断方法の各フィールドを有している。そして、機種ごとのデフォルト値テーブルは、各メーカから提供される機種について、その機種の有するインターフェースの種類、遮断種別および遮断方法を定義する。
。
図7は、ネットワーク上の装置とセグメントとの関係を定義する登録テーブルを更新する更新処理を示すフローチャートである。この処理は、ネットワーク管理装置1で実行される通信制御プログラムとして実現できる。登録テーブルは、不正パケットを送信する送信元のアドレスが特定され、その送信元のアドレスからその送信元の被疑装置が所属する
セグメントを接続するルータのインターフェースを特定するときに参照される。以下に示すように、登録テーブルは、ネットワーク管理装置1が維持管理する構成データベースと、各装置の属性を登録した機種ごとのデフォルト値テーブルから作成される。
ースが更新された後には、ネットワーク上の各装置と各装置の所属するセグメントとの関係を定義する登録データベースを更新する必要がある。そこで、ネットワーク管理装置1は、図7に示す処理を実行し、登録データベースを作成・更新する。
登録テーブルを作成する処理と、ネットワークの構成変更時の登録テーブル更新処理を実現する例を示した。しかし、これらの処理は、各々異なるプログラムによって異なるフローとして実現してもよい。
正パケットととして検出される。また、そのような送信元の装置は、被疑装置として検出される。
される。また、そのような送信元の装置は、被疑装置として検出される。
ネットワーク管理装置1がトレースルートコマンド(traceRoute 被疑装置のホスト名(またはIPアドレス))を実行すると、ネットワーク管理装置1から被疑装置に至る経路上のルータが順次検出される。
は、ルータまたは直近の該当装置の物理的なインターフェースでよいし、VLANで定義される論理的なインターフェースでもよい。この遮断履歴は、図5に示した履歴情報格納テーブルに格納される。本実施形態では、図8のS3Aに示したように、遮断履歴の格納は、遮断決定処理の後に実行するが、これに限らず、図9に示し実際の遮断処理を実行した後に、遮断履歴を格納するようにしてもよい。
以上述べたように、本実施形態の情報システムによれば、ファイアーウォール7にて不正パケットが検出されたときに、ネットワーク管理装置1が不正パケット送信元装置の存在するセグメントに接続されるルータのインターフェースを特定して遮断する。したがって、ネットワークを用いて拡散する不正パケット発生源、例えば、コンピュータウィルスの拡散を有効に防止できる。
デフォルト値テーブルと、ネットワーク管理装置1が有する構成データベースに基づいて、ネットワークのセグメントとセグメントに所属する被疑装置との組み合わせに対するインターフェース、遮断種別、および遮断方法を指定した登録テーブルを生成する。そして、ネットワーク管理装置1は、この登録テーブルにしたがい、被疑装置のインターフェースを遮断する。この登録テーブルは、上記構成データベースに基づいて生成されるので、ネットワークの構成が変化した場合でも、直ちに、更新することができる。また、登録テーブルを用意することにより、ネットワーク管理装置1は、短時間で遮断種別、遮断方法を特定できる。
コンピュータその他の機械、装置(以下、コンピュータ等)に上記いずれかの機能を実現させるプログラムをコンピュータ等が読み取り可能な記録媒体に記録することができる。そして、コンピュータ等に、この記録媒体のプログラムを読み込ませて実行させることにより、その機能を提供させることができる。
<その他>
さらに、本実施の形態は以下の発明を開示する。また、以下の各発明(以下付記と呼ぶ)のいずれかに含まれる構成要素を他の付記の構成要素と組み合わせてもよい。
(付記1)
複数のセグメントが並列または直列に接続され1以上の階層を構成する内部ネットワークを前記内部ネットワーク外の外部ネットワークに接続する第1接続装置、または前記内部ネットワークで前記複数のセグメントのいずれかを前記第1接続装置または当該セグメントの上位階層のセグメントに接続する第2接続装置が、所定の条件に該当しない不正パケットを発信する不正パケット発信端末を検出したときに、前記第1接続装置または第2接続装置のうち前記不正パケット発信端末を検出した接続装置からその不正パケット発信端末を特定するアドレスの通知を受信する手段と、
前記アドレスの通知を受信したときに、そのアドレスを元に該当する不正パケット発信端末が属するセグメントを判定する手段と、
前記セグメントごとに不正パケット発信端末の数を計数するとともに、その不正パケット発信端末の数を前記セグメントに対応付けて記憶する手段と、
前記内部ネットワーク上において前記不正パケット発信端末が属するセグメントを外部ネットワークに接続する前記第1接続装置のインターフェース、または前記不正パケット発信端末が属するセグメントを前記第1接続装置または当該セグメントの上位階層のセグメントに接続する第2接続装置のインターフェースを探索する探索手段と、
不正パケット発信端末が属するセグメント内で、前記不正パケット発信端末の数が予め設定した所定数の範囲にない場合に、前記不正パケット発信端末の属するセグメントが接続される第1接続装置または第2接続装置のインターフェースを遮断する制御手段と、を備えるネットワーク管理装置。(1)
(付記2)前記探索手段は、前記セグメントを接続する前記第1接続装置または第2接続装置のインターフェースを記憶した登録テーブル記憶手段を有する付記1に記載のネットワーク管理装置。
(付記3)前記探索手段は、前記セグメントを接続する前記第1接続装置または第2接続装置のインターフェースを探索するコマンド発行手段を有する付記1に記載のネットワーク管理装置。
(付記4)
前記不正パケット発信端末が属していると判定されたセグメントごとに不正パケットに対応する動作を決定する動作記憶手段をさらに備える付記1から3のいずれかに記載のネットワーク管理装置。(2)
(付記5)
前記制御手段は、不正パケット発信端末が属するセグメント内で、前記不正パケット発信端末の数が所定数の範囲にある場合に、前記第1接続装置または第2接続装置に接続されるセグメントを1以上の階層を構成する複数の部分セグメントに分離して前記複数の部分セグメントを前記第1接続装置、第2接続装置または当該部分セグメントの上位階層の部分セグメントに接続する1以上の第3接続装置を探索する手段と、
前記第1接続装置、第2接続装置、または第3接続装置に含まれるインターフェースのうち前記不正パケット発信端末に直近のインターフェースを遮断する手段とを有する、付記1から4のいずれかに記載のネットワーク管理装置。(3)
(付記6)前記第1接続装置および第2接続装置は、前記外部ネットワークまたは内部ネットワークにおいて識別可能なアドレスにより前記セグメントを接続し、前記第3接続装置は、前記第1接続装置または第2接続装置に接続されるセグメントの範囲で利用可能な通信手順により前記部分セグメントを接続する付記5に記載のネットワーク管理装置。
(付記7)
前記制御手段が前記第1接続装置または第2接続装置のインターフェースを遮断したときに、遮断したインターフェースを記録する記録手段と、
所定の起動指示を検出したときに前記記録手段の記録に基づいて遮断したインターフェースに遮断解除を指令する手段と、をさらに備える付記1から4のいずれかに記載のネットワーク管理装置。
(付記8)
前記制御手段が前記第1接続装置、第2接続装置または第3接続装置のインターフェースを遮断したときに、遮断したインターフェースを記録する記録手段と、
所定の起動指示を検出したときに前記記録手段の記録に基づいて遮断したインターフェースに遮断解除を指令する手段と、をさらに備える付記5または6に記載のネットワーク管理装置。
(付記9)
前記制御手段は、前記内部ネットワーク上の特定の処理装置に送信されるパケットの通過を許容し、その特定の処理装置以外に送信されるパケットの通過を遮断する、そのようなパケットの通過を制限するアクセスリストを前記第1接続装置または第2接続装置に送信するアクセスリスト送信手段をさらに有する付記1から4のいずれか、または付記7に記載のネットワーク管理装置。
(付記10)
前記制御手段が前記第1接続装置または第2接続装置のインターフェースを遮断したとき、または、前記アクセスリスト送信手段が前記アクセスリストを送信することにより前記第1接続装置または第2接続装置を通過するパケットの通過を制限したときに、遮断したインターフェースまたはパケットの通過を制限したインターフェースを記録する記録手段と、
所定の起動指示を検出したときに前記記録手段の記録に基づいて遮断したインターフェースまたはパケットの通過を制限したインターフェースに遮断解除またはパケットの通過制限解除を指令する手段と、をさらに備える付記5、付記6、または付記8に記載のネッ
トワーク管理装置。
(付記11)
複数のセグメントが並列または直列に接続され1以上の階層を構成する内部ネットワークを前記内部ネットワーク外の外部ネットワークに接続する第1接続装置、または前記内部ネットワークで前記複数のセグメントのいずれかを前記第1接続装置または当該セグメントの上位階層のセグメントに接続する第2接続装置が、所定の条件に該当しない不正パケットを発信する不正パケット発信端末を検出したときに、前記第1接続装置または第2接続装置のうち前記不正パケット発信端末を検出した接続装置からその不正パケット発信端末を特定するアドレスの通知を受信するステップと、
前記アドレスの通知を受信したときに、そのアドレスを元に該当する不正パケット発信端末が属するセグメントを判定するステップと、
前記セグメントごとに不正パケット発信端末の数を計数するとともに、その不正パケット発信端末の数を前記セグメントに対応付けて記憶するステップと、
前記内部ネットワーク上において前記不正パケット発信端末が属するセグメントを外部ネットワークに接続する前記第1接続装置のインターフェース、または前記不正パケット発信端末が属するセグメントを前記第1接続装置または当該セグメントの上位階層のセグメントに接続する第2接続装置のインターフェースを探索する探索ステップと、
不正パケット発信端末が属するセグメント内で、前記不正パケット発信端末の数が予め設定した所定数の範囲にない場合に、前記不正パケット発信端末の属するセグメントが接続される第1接続装置または第2接続装置のインターフェースを遮断する制御ステップと、を実行するネットワーク管理方法。(4)
(付記12)前記探索ステップは、前記セグメントを接続する前記第1接続装置または第2接続装置のインターフェースを記憶した登録テーブルを参照するステップを有する付記11に記載のネットワーク管理方法。
(付記13)前記探索ステップは、前記セグメントを接続する前記第1接続装置または第2接続装置のインターフェースを探索するコマンド発行ステップを有する付記11に記載のネットワーク管理方法。
(付記14)
前記不正パケット発信端末が属していると判定されたセグメントごとに不正パケットに対応する動作を決定する動作記憶手段を参照するステップをさらに備える付記11から13のいずれかに記載のネットワーク管理方法。
(付記15)
前記制御ステップは、不正パケット発信端末が属するセグメント内で、前記不正パケット発信端末の数が所定数の範囲にある場合に、前記第1接続装置または第2接続装置に接続されるセグメントを1以上の階層を構成する複数の部分セグメントに分離して前記複数の部分セグメントを前記第1接続装置、第2接続装置または当該部分セグメントの上位階層の部分セグメントに接続する1以上の第3接続装置を探索するステップと、
前記第1接続装置、第2接続装置、または第3接続装置に含まれるインターフェースのうち前記不正パケット発信端末に直近のインターフェースを遮断するステップとを有する、付記11から14のいずれかに記載のネットワーク管理方法。
(付記16)前記第1接続装置および第2接続装置は、前記外部ネットワークまたは内部ネットワークにおいて識別可能なアドレスにより前記セグメントを接続し、前記第3接続装置は、前記第1接続装置または第2接続装置に接続されるセグメントの範囲で利用可能な通信手順により前記部分セグメントを接続する付記15に記載のネットワーク管理方法。
(付記17)
前記制御ステップによりが前記第1接続装置または第2接続装置のインターフェースが遮断されたときに、遮断されたインターフェースを記録する記録ステップと、
所定の起動指示を検出したときに前記記録ステップによる記録に基づいて遮断されたインターフェースに遮断解除を指令するステップと、をさらに備える付記11から14のい
ずれかに記載のネットワーク管理方法。
(付記18)
前記制御ステップにより前記第1接続装置、第2接続装置または第3接続装置のインターフェースが遮断されたときに、遮断されたインターフェースを記録する記録ステップと、
所定の起動指示を検出したときに前記記録ステップによる記録に基づいて遮断したインターフェースに遮断解除を指令するステップと、をさらに備える付記15または16に記載のネットワーク管理方法。
(付記19)
前記制御ステップは、前記内部ネットワーク上の特定の処理装置に送信されるパケットの通過を許容し、その特定の処理装置以外に送信されるパケットの通過を遮断する、そのようなパケットの通過を制限するアクセスリストを前記第1接続装置または第2接続装置に送信するアクセスリスト送信ステップをさらに有する付記11から14のいずれか、または付記17に記載のネットワーク管理方法。
(付記20)
前記制御ステップにより前記第1接続装置または第2接続装置のインターフェースが遮断されたとき、または、前記アクセスリストを送信することにより前記第1接続装置または第2接続装置を通過するパケットの通過を制限したときに、遮断したインターフェースまたはパケットの通過を制限したインターフェースを記録する記録ステップと、
所定の起動指示を検出したときに前記記録ステップによる記録に基づいて遮断したインターフェースまたはパケットの通過を制限したインターフェースに遮断解除またはパケットの通過制限解除を指令するステップと、をさらに備える付記15、付記16、または付記18に記載のネットワーク管理方法。
(付記21)
コンピュータに、
複数のセグメントが並列または直列に接続され1以上の階層を構成する内部ネットワークを前記内部ネットワーク外の外部ネットワークに接続する第1接続装置、または前記内部ネットワークで前記複数のセグメントのいずれかを前記第1接続装置または当該セグメントの上位階層のセグメントに接続する第2接続装置が、所定の条件に該当しない不正パケットを発信する不正パケット発信端末を検出したときに、前記第1接続装置または第2接続装置のうち前記不正パケット発信端末を検出した接続装置からその不正パケット発信端末を特定するアドレスの通知を受信するステップと、
前記アドレスの通知を受信したときに、そのアドレスを元に該当する不正パケット発信端末が属するセグメントを判定するステップと、
前記セグメントごとに不正パケット発信端末の数を計数するとともに、その不正パケット発信端末の数を前記セグメントに対応付けて記憶するステップと、
前記内部ネットワーク上において前記不正パケット発信端末が属するセグメントを外部ネットワークに接続する前記第1接続装置のインターフェース、または前記不正パケット発信端末が属するセグメントを前記第1接続装置または当該セグメントの上位階層のセグメントに接続する第2接続装置のインターフェースを探索する探索ステップと、
不正パケット発信端末が属するセグメント内で、前記不正パケット発信端末の数が予め設定した所定数の範囲にない場合に、前記不正パケット発信端末の属するセグメントが接続される第1接続装置または第2接続装置のインターフェースを遮断する制御ステップと、を実行させるネットワーク管理プログラム。(5)
(付記22)前記探索ステップは、前記セグメントを接続する前記第1接続装置または第2接続装置のインターフェースを記憶した登録テーブルを参照するステップを有する付記21に記載のネットワーク管理プログラム。
(付記23)前記探索ステップは、前記セグメントを接続する前記第1接続装置または第2接続装置のインターフェースを探索するコマンド発行ステップを有する付記21に記載のネットワーク管理プログラム。
(付記24)
前記不正パケット発信端末が属していると判定されたセグメントごとに不正パケットに対応する動作を決定する動作記憶手段を参照するステップをさらに備える付記21から23のいずれかに記載のネットワーク管理プログラム。
(付記25)
前記制御ステップは、不正パケット発信端末が属するセグメント内で、前記不正パケット発信端末の数が所定数の範囲にある場合に、前記第1接続装置または第2接続装置に接続されるセグメントを1以上の階層を構成する複数の部分セグメントに分離して前記複数の部分セグメントを前記第1接続装置、第2接続装置または当該部分セグメントの上位階層の部分セグメントに接続する1以上の第3接続装置を探索するステップと、
前記第1接続装置、第2接続装置、または第3接続装置に含まれるインターフェースのうち前記不正パケット発信端末に直近のインターフェースを遮断するステップとを有する、付記21から24のいずれかに記載のネットワーク管理プログラム。
(付記26)前記第1接続装置および第2接続装置は、前記外部ネットワークまたは内部ネットワークにおいて識別可能なアドレスにより前記セグメントを接続し、前記第3接続装置は、前記第1接続装置または第2接続装置に接続されるセグメントの範囲で利用可能な通信手順により前記部分セグメントを接続する付記25に記載のネットワーク管理プログラム。
(付記27)
前記制御ステップにより前記第1接続装置または第2接続装置のインターフェースが遮断されたときに、遮断されたインターフェースを記録する記録ステップと、
所定の起動指示を検出したときに前記記録ステップによる記録に基づいて遮断したインターフェースに遮断解除を指令するステップと、をさらに備える付記21から24のいずれかに記載のネットワーク管理プログラム。
(付記28)
前記制御ステップにより前記第1接続装置、第2接続装置または第3接続装置のインターフェースが遮断されたときに、遮断されたインターフェースを記録する記録ステップと、
所定の起動指示を検出したときに前記記録ステップによる記録に基づいて遮断したインターフェースに遮断解除を指令するステップと、をさらに備える付記25または26に記載のネットワーク管理プログラム。
(付記29)
前記制御ステップは、前記内部ネットワーク上の特定の処理装置に送信されるパケットの通過を許容し、その特定の処理装置以外に送信されるパケットの通過を遮断する、そのようなパケットの通過を制限するアクセスリストを前記第1接続装置または第2接続装置に送信するアクセスリスト送信ステップをさらに有する付記21から24のいずれか、または付記27に記載のネットワーク管理プログラム。
(付記30)
前記制御ステップにより前記第1接続装置または第2接続装置のインターフェースが遮断されたとき、または、前記アクセスリストを送信することにより前記第1接続装置または第2接続装置を通過するパケットの通過を制限したときに、遮断したインターフェースまたはパケットの通過を制限したインターフェースを記録する記録ステップと、
所定の起動指示を検出したときに前記記録ステップによる記録に基づいて遮断したインターフェースまたはパケットの通過を制限したインターフェースに遮断解除またはパケットの通過制限解除を指令するステップと、をさらに備える付記25、付記26、または付記28に記載のネットワーク管理プログラム。
2−1、2−2、2−3 ルータ
3−1、3−2 スイッチングハブ
5−1〜5−8 端末
7 ファイアーウォール
Claims (5)
- 複数のセグメントが並列または直列に接続され1以上の階層を構成する内部ネットワークを前記内部ネットワーク外の外部ネットワークに接続する第1接続装置、または前記内部ネットワークで前記複数のセグメントのいずれかを前記第1接続装置または当該セグメントの上位階層のセグメントに接続する第2接続装置が、所定の条件に該当しない不正パケットを発信する不正パケット発信端末を検出したときに、前記第1接続装置または第2接続装置のうち前記不正パケット発信端末を検出した接続装置からその不正パケット発信端末を特定するアドレスの通知を受信する手段と、
前記アドレスの通知を受信したときに、そのアドレスを元に該当する不正パケット発信端末が属するセグメントを判定する手段と、
前記セグメントごとに不正パケット発信端末の数を計数するとともに、その不正パケット発信端末の数を前記セグメントに対応付けて記憶する手段と、
前記内部ネットワーク上において前記不正パケット発信端末が属するセグメントを外部ネットワークに接続する前記第1接続装置のインターフェース、または前記不正パケット発信端末が属するセグメントを前記第1接続装置または当該セグメントの上位階層のセグメントに接続する第2接続装置のインターフェースを探索する探索手段と、
不正パケット発信端末が属するセグメント内で、前記不正パケット発信端末の数が予め設定した所定数の範囲にない場合に、前記不正パケット発信端末の属するセグメントが接続される第1接続装置または第2接続装置のインターフェースを遮断する制御手段と、を備えるネットワーク管理装置。 - 前記不正パケット発信端末が属していると判定されたセグメントごとに不正パケットに対応する動作を決定する動作記憶手段をさらに備える請求項1に記載のネットワーク管理装置。
- 前記セグメントは、前記セグメント外のネットワークから識別可能なネットワークアドレスによって前記セグメント内の装置を前記第1接続装置または第2接続装置に接続し、前記セグメントはMAC(Media Access Control)アドレスによって装置間を接続する部分セグメントを含み、前記部分セグメントは、第3接続装置によって前記第1接続装置または第2接続装置に接続されており、
前記制御手段は、不正パケット発信端末が属するセグメント内で、前記不正パケット発信端末の数が所定数の範囲にある場合に、前記不正パケット発信端末が属するセグメントに含まれる部分セグメントのうち、前記不正パケット発信端末から前記第1接続装置または前記第2接続装置に至る経路上の部分セグメントを前記第1接続装置、第2接続装置または当該部分セグメントの上位階層の部分セグメントに接続する、1以上の第3接続装置を探索する手段と、
前記第1接続装置、第2接続装置、または第3接続装置に含まれるインターフェースのうち前記不正パケット発信端末に直近のインターフェースを遮断する手段とを有する、請求項1に記載のネットワーク管理装置。 - 複数のセグメントが並列または直列に接続され1以上の階層を構成する内部ネットワークを前記内部ネットワーク外の外部ネットワークに接続する第1接続装置、または前記内部ネットワークで前記複数のセグメントのいずれかを前記第1接続装置または当該セグメントの上位階層のセグメントに接続する第2接続装置が、所定の条件に該当しない不正パケットを発信する不正パケット発信端末を検出したときに、前記第1接続装置または第2接続装置のうち前記不正パケット発信端末を検出した接続装置からその不正パケット発信端末を特定するアドレスの通知を受信するステップと、
前記アドレスの通知を受信したときに、そのアドレスを元に該当する不正パケット発信端末が属するセグメントを判定するステップと、
前記セグメントごとに不正パケット発信端末の数を計数するとともに、その不正パケット発信端末の数を前記セグメントに対応付けて記憶するステップと、
前記内部ネットワーク上において前記不正パケット発信端末が属するセグメントを外部ネットワークに接続する前記第1接続装置のインターフェース、または前記不正パケット発信端末が属するセグメントを前記第1接続装置または当該セグメントの上位階層のセグメントに接続する第2接続装置のインターフェースを探索する探索ステップと、
不正パケット発信端末が属するセグメント内で、前記不正パケット発信端末の数が予め設定した所定数の範囲にない場合に、前記不正パケット発信端末の属するセグメントが接続される第1接続装置または第2接続装置のインターフェースを遮断する制御ステップと、を実行するネットワーク管理方法。 - コンピュータに、
複数のセグメントが並列または直列に接続され1以上の階層を構成する内部ネットワークを前記内部ネットワーク外の外部ネットワークに接続する第1接続装置、または前記内部ネットワークで前記複数のセグメントのいずれかを前記第1接続装置または当該セグメントの上位階層のセグメントに接続する第2接続装置が、所定の条件に該当しない不正パケットを発信する不正パケット発信端末を検出したときに、前記第1接続装置または第2接続装置のうち前記不正パケット発信端末を検出した接続装置からその不正パケット発信端末を特定するアドレスの通知を受信するステップと、
前記アドレスの通知を受信したときに、そのアドレスを元に該当する不正パケット発信端末が属するセグメントを判定するステップと、
前記セグメントごとに不正パケット発信端末の数を計数するとともに、その不正パケット発信端末の数を前記セグメントに対応付けて記憶するステップと、
前記内部ネットワーク上において前記不正パケット発信端末が属するセグメントを外部ネットワークに接続する前記第1接続装置のインターフェース、または前記不正パケット発信端末が属するセグメントを前記第1接続装置または当該セグメントの上位階層のセグメントに接続する第2接続装置のインターフェースを探索する探索ステップと、
不正パケット発信端末が属するセグメント内で、前記不正パケット発信端末の数が予め設定した所定数の範囲にない場合に、前記不正パケット発信端末の属するセグメントが接続される第1接続装置または第2接続装置のインターフェースを遮断する制御ステップと、を実行させるネットワーク管理プログラム。
Priority Applications (1)
Application Number | Priority Date | Filing Date | Title |
---|---|---|---|
JP2004205742A JP4398316B2 (ja) | 2004-07-13 | 2004-07-13 | ネットワーク管理装置、ネットワーク管理方法、およびプログラム |
Applications Claiming Priority (1)
Application Number | Priority Date | Filing Date | Title |
---|---|---|---|
JP2004205742A JP4398316B2 (ja) | 2004-07-13 | 2004-07-13 | ネットワーク管理装置、ネットワーク管理方法、およびプログラム |
Publications (2)
Publication Number | Publication Date |
---|---|
JP2006033140A JP2006033140A (ja) | 2006-02-02 |
JP4398316B2 true JP4398316B2 (ja) | 2010-01-13 |
Family
ID=35899002
Family Applications (1)
Application Number | Title | Priority Date | Filing Date |
---|---|---|---|
JP2004205742A Expired - Fee Related JP4398316B2 (ja) | 2004-07-13 | 2004-07-13 | ネットワーク管理装置、ネットワーク管理方法、およびプログラム |
Country Status (1)
Country | Link |
---|---|
JP (1) | JP4398316B2 (ja) |
Families Citing this family (13)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
JP2010103695A (ja) * | 2008-10-22 | 2010-05-06 | Ntt Data Corp | クラスタシステム、クラスタサーバ及びクラスタ制御方法 |
JP5739182B2 (ja) | 2011-02-04 | 2015-06-24 | インターナショナル・ビジネス・マシーンズ・コーポレーションInternational Business Machines Corporation | 制御システム、方法およびプログラム |
JP5731223B2 (ja) | 2011-02-14 | 2015-06-10 | インターナショナル・ビジネス・マシーンズ・コーポレーションInternational Business Machines Corporation | 異常検知装置、監視制御システム、異常検知方法、プログラムおよび記録媒体 |
JP5689333B2 (ja) | 2011-02-15 | 2015-03-25 | インターナショナル・ビジネス・マシーンズ・コーポレーションInternational Business Machines Corporation | 異常検知システム、異常検知装置、異常検知方法、プログラムおよび記録媒体 |
JP2012226680A (ja) * | 2011-04-22 | 2012-11-15 | Internatl Business Mach Corp <Ibm> | 産業制御システムを管理する管理システム、管理方法および管理プログラム |
JP5905512B2 (ja) * | 2014-06-05 | 2016-04-20 | 日本電信電話株式会社 | サイバー攻撃演習システム、演習環境提供方法、および、演習環境提供プログラム |
JP2017147575A (ja) | 2016-02-16 | 2017-08-24 | 富士通株式会社 | 制御プログラム、制御装置、および、制御方法 |
JP2018064228A (ja) * | 2016-10-14 | 2018-04-19 | アンリツネットワークス株式会社 | パケット制御装置 |
JP2019164566A (ja) * | 2018-03-19 | 2019-09-26 | 株式会社リコー | 遠隔管理システム、管理装置、遠隔管理方法、及び遠隔管理プログラム |
CN110557198A (zh) * | 2018-05-30 | 2019-12-10 | 富士通株式会社 | 光通信控制方法、装置和通信*** |
JP7147337B2 (ja) * | 2018-07-31 | 2022-10-05 | 株式会社リコー | 通信制御システム、通信制御方法およびプログラム |
JP7081445B2 (ja) * | 2018-11-05 | 2022-06-07 | 富士通株式会社 | ネットワーク制御装置、及び、ネットワーク制御方法 |
JP7434672B1 (ja) | 2023-03-03 | 2024-02-20 | エヌ・ティ・ティ・コミュニケーションズ株式会社 | 情報処理システム、情報処理方法および情報処理プログラム |
-
2004
- 2004-07-13 JP JP2004205742A patent/JP4398316B2/ja not_active Expired - Fee Related
Also Published As
Publication number | Publication date |
---|---|
JP2006033140A (ja) | 2006-02-02 |
Similar Documents
Publication | Publication Date | Title |
---|---|---|
US10326777B2 (en) | Integrated data traffic monitoring system | |
US9407602B2 (en) | Methods and apparatus for redirecting attacks on a network | |
US7596807B2 (en) | Method and system for reducing scope of self-propagating attack code in network | |
JP4373779B2 (ja) | ステイトフル分散型イベント処理及び適応保全 | |
US6895432B2 (en) | IP network system having unauthorized intrusion safeguard function | |
KR101150123B1 (ko) | 네트워크의 통신이 보안 위협 때문에 제한됐을 때, 가상네트워크 내의 네트워크 장치들이 통신하게 하기 위한 방법및 시스템 | |
US20050216956A1 (en) | Method and system for authentication event security policy generation | |
JP4398316B2 (ja) | ネットワーク管理装置、ネットワーク管理方法、およびプログラム | |
US7610624B1 (en) | System and method for detecting and preventing attacks to a target computer system | |
Chang et al. | Deciduous: Decentralized source identification for network-based intrusions | |
JP2006518963A (ja) | 内部ネットワークデータトラフィックコントロールシステム及び方法 | |
JP2005517349A (ja) | マルチメッソドゲートウエイに基づいたネットワークセキュリティシステム及び方法 | |
JP2004302956A (ja) | 不正アクセス対処システム、及び不正アクセス対処処理プログラム | |
JP4680931B2 (ja) | 不正アクセスプログラム監視処理方法、不正アクセスプログラム監視プログラムおよび不正アクセスプログラム監視装置 | |
JP2004302538A (ja) | ネットワークセキュリティシステム及びネットワークセキュリティ管理方法 | |
JP2001057554A (ja) | クラッカー監視システム | |
JP2017204721A (ja) | セキュリティシステム | |
JP7150552B2 (ja) | ネットワーク防御装置およびネットワーク防御システム | |
JP5307238B2 (ja) | 通信ネットワークのための侵入防止方法およびシステム | |
Rania et al. | SDWAN with IDPS Efficient Network Solution | |
TWI279106B (en) | Method for analyzing abnormal network behavior and automatically blocking computer virus invasion | |
JP6851211B2 (ja) | ネットワーク監視システム | |
JP6441721B2 (ja) | 制御装置、制御方法及びプログラム | |
Prabhu et al. | Network intrusion detection system | |
JP4526566B2 (ja) | ネットワーク装置、データ中継方法およびプログラム |
Legal Events
Date | Code | Title | Description |
---|---|---|---|
A621 | Written request for application examination |
Free format text: JAPANESE INTERMEDIATE CODE: A621 Effective date: 20070608 |
|
A977 | Report on retrieval |
Free format text: JAPANESE INTERMEDIATE CODE: A971007 Effective date: 20090703 |
|
A131 | Notification of reasons for refusal |
Free format text: JAPANESE INTERMEDIATE CODE: A131 Effective date: 20090714 |
|
A521 | Written amendment |
Free format text: JAPANESE INTERMEDIATE CODE: A523 Effective date: 20090914 |
|
TRDD | Decision of grant or rejection written | ||
A01 | Written decision to grant a patent or to grant a registration (utility model) |
Free format text: JAPANESE INTERMEDIATE CODE: A01 Effective date: 20091006 |
|
A01 | Written decision to grant a patent or to grant a registration (utility model) |
Free format text: JAPANESE INTERMEDIATE CODE: A01 |
|
A61 | First payment of annual fees (during grant procedure) |
Free format text: JAPANESE INTERMEDIATE CODE: A61 Effective date: 20091022 |
|
FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20121030 Year of fee payment: 3 |
|
R150 | Certificate of patent or registration of utility model |
Free format text: JAPANESE INTERMEDIATE CODE: R150 |
|
FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20121030 Year of fee payment: 3 |
|
FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20131030 Year of fee payment: 4 |
|
LAPS | Cancellation because of no payment of annual fees |