JP4398316B2 - ネットワーク管理装置、ネットワーク管理方法、およびプログラム - Google Patents

Description

本発明は、ネットワークの管理技術に関する。

近年のウィルスの感染活動は複雑化し、感染が広がる速度が早く、かつ広範囲に渡るようになってきた。現在のコンピュータウィルス(ワームも含む)は、自己繁殖の手段として、ネットワークを使用することが多い。ネットワークに接続される端末やサーバは、自身が受信するメール等の情報を媒介するコンピュータウィルスの感染を防止するため、ウィルスのチェックソフトを有している。

しかし、ウィルスのチェックソフトを使用しても、新たに発見されたセキュリティホールを悪用したウィルスを防御することはできない。したがって、ウィルスチェックを使用する端末またはサーバであっても、ネットワークに接続しているだけで新規のウィルスに感染してしまうこともある。

ウィルスのような悪意あるアクセスを防止するため、ファイアーウォールやウィルスウォール等の製品は、外部ネットワークと内部ネットワークとの間に位置し、外部ネットワークと内部ネットワークとの間で送受信される情報を監視する。ファイアーウォールやウィルスウォール等を有するネットワーク管理装置は、外部ネットワークから内部ネットワーク、および、内部ネットワークから外部ネットワークへの不正なアクセス、または、ウィルス等を効果的に遮断する。しかし、この技術は、ファイアーウォール内の内側、すなわち内部ネットワークでの感染の広がりを抑える効果は持たない。

現状の技術では、ネットワーク管理装置は、不正なアクセスやウィルスを発見したときに管理者に通知する。そして、管理者の判断でネットワーク内の通信を制限し、または、ユーザに通知して対策を呼びかけることで内部での感染を防止しようとしている。
特開２００３−３４８１１３号公報

本発明の目的は、ファイアーウォールやウィルスウォール等の不正アクセス検知手段を有し不正なアクセスから保護されているネットワークにおいて不正なアクセスを発生させる発生源が検知された場合に、ネットワークを管理するネットワーク管理装置が、そのような発生源の拡散を迅速に抑制する技術を提供することである。

本発明は前記課題を解決するために、以下の手段を採用した。すなわち、本発明は、複数のセグメントが並列または直列に接続され１以上の階層を構成する内部ネットワークを前記内部ネットワーク外の外部ネットワークに接続する第１接続装置、または前記内部ネットワークで前記複数のセグメントのいずれかを前記第１接続装置または当該セグメントの上位階層のセグメントに接続する第２接続装置が、所定の条件に該当しない不正パケットを発信する不正パケット発信端末を検出したときに、前記第１接続装置または第２接続装置のうち前記不正パケット発信端末を検出した接続装置からその不正パケット発信端末を特定するアドレスの通知を受信する手段と、前記アドレスの通知を受信したときに、そのアドレスを元に該当する不正パケット発信端末が属するセグメントを判定する手段と、前記セグメントごとに不正パケット発信端末の数を計数するとともに、その不正パケット発信端末の数を前記セグメントに対応付けて記憶する手段と、前記内部ネットワーク上に
おいて前記不正パケット発信端末が属するセグメントを外部ネットワークに接続する前記第１接続装置のインターフェース、または前記不正パケット発信端末が属するセグメントを前記第１接続装置または当該セグメントの上位階層のセグメントに接続する第２接続装置のインターフェースを探索する探索手段と、不正パケット発信端末が属するセグメント内で、前記不正パケット発信端末の数が予め設定した所定数の範囲にない場合に、前記不正パケット発信端末の属するセグメントが接続される第１接続装置または第２接続装置のインターフェースを遮断する制御手段と、を備えるネットワーク管理装置である。

本発明では、所定の条件に該当しない不正パケットを発信する不正パケット発信端末を検出したときに、セグメントごとに不正パケット発信端末の数を計数し、不正パケット発信端末が属するセグメント内で、前記不正パケット発信端末の数が予め設定した所定数の範囲にない場合に、前記不正パケット発信端末の属するセグメントが接続される第１接続装置または第２接続装置のインターフェースを遮断する。したがって、不正パケット発信端末の数が所定の範囲にないような、多数の端末が不正パケットを発信するセグメントを直ちに遮断し、不正パケット発信源の伝搬を有効に防止する。

前記探索手段は、前記セグメントを接続する前記第１接続装置または第２接続装置のインターフェースを記憶した登録テーブル記憶手段を有するようにしてもよい。本発明では、セグメントと、そのセグメントを接続する装置のインターフェースとの関係を登録テーブルに記録するので、セグメントに対するインターフェースを迅速に求めることができる。

前記探索手段は、前記セグメントを接続する前記第１接続装置または第２接続装置のインターフェースを探索するコマンド発行手段を有するようにしてもよい。本発明では、セグメントを接続する装置のインターフェースをコマンドの発行により求めるので、上記登録テーブルがない場合でもインターフェースを求めることができる。

前記不正パケット発信端末が属していると判定されたセグメントごとに不正パケットに対応する動作を決定する動作記憶手段をさらに備えるようにしてもよい。本発明によれば、セグメントごとに柔軟に不正パケットに対応する動作を決定できる。

前記制御手段は、不正パケット発信端末が属するセグメント内で、前記不正パケット発信端末の数が所定数の範囲にある場合に、前記第１接続装置または第２接続装置に接続されるセグメントを１以上の階層を構成する複数の部分セグメントに分離して前記複数の部分セグメントを前記第１接続装置、第２接続装置または当該部分セグメントの上位階層の部分セグメントに接続する１以上の第３接続装置を探索する手段と、前記第１接続装置、第２接続装置、または第３接続装置に含まれるインターフェースのうち前記不正パケット発信端末に直近のインターフェースを遮断する手段とを有するようにしてもよい。

本発明によれば、セグメント内で、前記不正パケット発信端末の数が所定数の範囲にある場合には、セグメントを１以上の階層を構成する複数の部分セグメントに分離し、その部分セグメントを第１接続装置、第２接続装置または当該部分セグメントの上位階層の部分セグメントに接続する第３接続装置を求める。そして、前記第１接続装置、第２接続装置、または第３接続装置に含まれるインターフェースのうち前記不正パケット発信端末に直近のインターフェースを遮断するので、そのような遮断される部分セグメント以外のセグメントにおいては、通信を継続できる。

前記第１接続装置および第２接続装置は、前記外部ネットワークまたは内部ネットワークにおいて識別可能なアドレスにより前記セグメントを接続し、前記第３接続装置は、前記第１接続装置または第２接続装置に接続されるセグメントの範囲で利用可能な通信手順
により前記部分セグメントを接続するようにしてもよい。ネットワーク管理装置は、例えば、前記外部ネットワークまたは内部ネットワークにおいて識別可能なアドレスにより第３接続装置にアクセスし、第３接続装置内において、セグメントの範囲で利用可能な通信手順により、前記不正パケット発信端末に直近の部分セグメントを接続する第３接続装置のインターフェースを探索して遮断すればよい。

前記制御手段が前記第１接続装置または第２接続装置のインターフェースを遮断したときに、遮断したインターフェースを記録する記録手段と、所定の起動指示を検出したときに前記記録手段の記録に基づいて遮断したインターフェースに遮断解除を指令する手段と、をさらに備えるようにしてもよい。

前記制御手段が前記第１接続装置、第２接続装置または第３接続装置のインターフェースを遮断したときに、遮断したインターフェースを記録する記録手段と、所定の起動指示を検出したときに前記記録手段の記録に基づいて遮断したインターフェースに遮断解除を指令する手段と、をさらに備えるようにしてもよい。このように遮断したインターフェースを記録することにより、所定の起動指示を検出したときに簡易に遮断解除を実行できる。

前記制御手段は、前記内部ネットワーク上の特定の処理装置に送信されるパケットの通過を許容し、その特定の処理装置以外に送信されるパケットの通過を遮断する、そのようなパケットの通過を制限するアクセスリストを前記第１接続装置または第２接続装置に送信するアクセスリスト送信手段をさらに有するようにしてもよい。本発明によれば、アクセスリストを送信することにより、接続装置に対して遮断する通信と、通過させる通信とを柔軟に制御できる。

前記制御手段が前記第１接続装置または第２接続装置のインターフェースを遮断したとき、または、前記アクセスリスト送信手段が前記アクセスリストを送信することにより前記第１接続装置または第２接続装置を通過するパケットの通過を制限したときに、遮断したインターフェースまたはパケットの通過を制限したインターフェースを記録する記録手段と、所定の起動指示を検出したときに前記記録手段の記録に基づいて遮断したインターフェースまたはパケットの通過を制限したインターフェースに遮断解除またはパケットの通過制限解除を指令する手段と、をさらに備えるようにしてもよい。

また、本発明は、通信機能を有するコンピュータその他の装置、機械等が上記いずれかの処理を実行する方法であってもよい。また、本発明は、通信機能を有するコンピュータその他の装置、機械等に、上記いずれかの処理を実行させるプログラムであってもよい。また、本発明は、そのようなプログラムを上記コンピュータその他の装置、機械等が読み取り可能な記録媒体に記録したものでもよい。

本発明によれば、ファイアーウォールやウィルスウォール等の不正アクセス検知手段を有し不正なアクセスから保護されているネットワークにおいて不正なアクセスを発生させる発生源が検知された場合に、ネットワークを管理するネットワーク管理装置が、そのような発生源の拡散を迅速に抑制することができる。

以下、図面を参照して本発明を実施するための最良の形態（以下、実施形態という）に係る情報システムについて説明する。以下の実施形態の構成は例示であり、本発明は実施形態の構成に限定されない。

＜発明の概要＞
本実施形態では、複数の機器（ルータ、スイッチングハブ、レイヤ２スイッチ、端末、サーバその他のコンピュータ等）からなるネットワークを例に説明する。本実施形態では、そのようなネットワークにおいて、ウィルスのような不正パケットの発生源が検出されたときに、その発生源の拡散を早期に抑制する情報システムを説明する。なお、この情報システムが実行する処理を不正パケット拡散防止処理という。

図１は、本発明の実施形態に係る情報システムのネットワーク構成を示す図である。図１のように、この情報システムは、インターネット１０に接続されるアクセスルータ９と、アクセスルータ９と授受するパケットを監視するファイアーウォール７と、ファイアーウォール７（第１接続装置に相当）を通じてインターネット１０のような外部ネットワークに公開される公開サーバ群８と、ファイアーウォール７とプライベートな内部ネットワークとを接続するルータ２−１（第２接続装置に相当）と、ルータ２−１によって内部ネットワークが分割されて構成される２つのセグメント２０およびセグメント３０と、セグメント２０をさらに下位のセグメント２１、セグメント２２に分割するルータ２−２（第２接続装置に相当）と、下位のセグメント２１をさらに下位の部分セグメント２１に分割するスイッチングハブ３−１（第３接続装置に相当）と、スイッチングハブ３−１のインターフェースに接続され、最下層の部分セグメント２１を構成する端末５−１、５−２と、ルータ２−１に接続され内部ネットワークを管理するネットワーク管理装置１とを有している。なお、スイッチングハブ３−２以下の構成は、スイッチングハブ３−１以下と同様である。また、セグメント３０の構成は、セグメント２０と同様である。

本実施形態では、図１において、ファイアーウォール７の右側、すなわち、インターネット１０等の外部ネットワークからファイアーウォール７により分離されるルータ２−１以下に接続されるネットワークを内部ネットワークと呼ぶ。内部ネットワークは、例えば、企業、官庁、学校、または、家庭のような組織のユーザによって使用され、インターネット１０、事業者の提供する専用ネットワーク、またはＶＰＮ（Virtual Private Network）のような外部ネットワークと区分されて存在するネットワークをいう。典型的な内部
ネットワークは、ＬＡＮ（Local Area Network）である。また、図１では、典型的な外部ネットワークとしてインターネット１０が示されている。

アクセスルータ９は、ファイアーウォール７を通じて内部ネットワーク上の構成要素（端末５−１等）をインターネット１０に接続する。
ファイアーウォール７は、内部ネットワークへの不正侵入、ウィルスのような破壊行為を実行するプログラムの検知等のためのコンピュータプログラムやハードウェアをいう。ファイアーウォール７は、内部ネットワークとアクセスルータ９との間に設置され、通過するネットワークトラフィックを監視する。そして、ファイアーウォール７は、所定のルールに適合する正当な通信のみを行なえるようにする一方、不正な動きを検知する。

公開サーバ群８は、アクセスルータ９およびファイアーウォール７を通してインターネット１０等の外部ネットワークに情報またはサービスを提供する。このような公開サーバ群８の存在するネットワークのセグメントをＤＭＺ（DeMilitarized Zone）と呼ぶ。

ルータ２−１は、公開サーバ群６および内部ネットワークをファイアーウォール７に接続する。また、ルータ２−１は、内部ネットワークをセグメント２０、３０等に分離する。図１では、内部ネットワークとしてセグメント２０と３０とが例示されているが、内部ネットワークを構成するセグメントの数は２個に限定されるものではない。

なお、上記で説明したファイアーウォール７とルータ２−１とが一体として１つの通信装置上に構成されてもよい。その場合には、本発明の第１接続装置と第２接続装置とは機
能を１つの通信装置上に有することになる。

ルータ２−２およびルータ２−３は、各々セグメント２０および３０をルータ２−１に接続する。セグメント２０およびセグメント３０等は、例えば、ＴＣＰ／ＩＰのサブネットとして構成することができる。すなわち、本実施形態において、セグメント２０等は、いわゆるネットワーク階層概念のネットワーク層（例えば、ＩＳＯ参照モデルの第３層）において識別されるアドレスを使用して通信する通信装置からなる。

ルータ２−２の不図示のインターフェースには、さらにスイッチングハブ３−１、３−２等が接続されている。また、例えば、スイッチングハブ３−１の不図示のインターフェースには、端末５−１、５−２が接続されている。また、スイッチングハブ３−２の不図示のインターフェースには、端末５−３、５−４が接続されている。ただし、端末５−１、５−２等は例示であり、スイッチングハブ３−１、３−２等に接続される端末数は、２に限定されるものではない。

このようにして、スイッチングハブ３−１は、端末５−１、５−１等を含む部分セグメント２１を形成し、その部分セグメント２１をルータ２−２の１つのインターフェースに接続する。また、スイッチングハブ３−２は、端末５−３、５−４等を含む部分セグメント２２を形成し、その部分セグメント２２をルータ２−２の１つのインターフェースに接続する。他の部分セグメント３１、３２とルータ２−３との関係も同様である。ただし、部分セグメント２１、２２、３１，３２等は例示であり、ルータ２−１、２−２等に接続される部分セグメント数は、２に限定されるものではない。

本実施形態で部分セグメント２１等は、スイッチハブ３−１等により構成されるネットワークの部分的な構成要素である。すなわち、本実施形態において、部分セグメント２１等は、いわゆるネットワーク階層概念のデータリンク層（例えば、ＩＳＯ参照モデルの第２層）において識別されるアドレス（例えば、ＭＡＣアドレス等、ネットワーク機器を識別する物理的に設定されたアドレス）を使用して通信する通信装置からなる。データリンク層の通信手順が、セグメントの範囲で利用可能な通信手順に相当する。

ネットワーク管理装置１は、ネットワークに接続するためのネットワーク基板を有するコンピュータである。図１では、ネットワーク管理装置１は、ルータ２−１を通して内部ネットワークに接続されているが、本発明の実施はこのような構成に限定されるものではない。例えば、ネットワーク管理装置１をセグメント２０に接続するようにしてもよい。

ネットワーク管理装置１は、内部ネットワークを管理する。内部ネットワークを管理するとは、内部ネットワークを構成する装置の状態を検知し、または、装置の所定の状態に制御することをいう。例えば、装置の状態の検知は、一般的にはＳＮＭＰ（Simple Network Management Protocol）により、実現できる。また、装置の制御は、ＳＮＭＰのパラメータを相手装置に設定することで実現できる。

さらに、ＳＮＭＰを用いる以外に、相手装置上で所定のコマンドを遠隔操作で実行することにより、相手装置の状態を検知し、相手装置を所定の状態に制御できる。コマンドを遠隔操作で実行する方法としては、例えば、telnetを実行し、ネットワーク管理装置１を相手装置にtelnetプログラムで接続した上で、telnetで実現される相手装置の仮想端末上にコマンドに対応する文字列を入力し、相手装置上で実行するようにすればよい。

なお、ＳＮＭＰ、telnet等は、ＴＣＰ／ＩＰ上で稼働するアプリケーションであり、ＴＣＰ／ＩＰの存在を前提としない（第２層までの機能しかない）厳密な意味でのスイッチングハブ３−１等では、稼働しない。しかし、通常のスイッチングハブ３−１等では、ネ
ットワークのセグメントをセグメントを接続するパケット中継機能は、第２層で実現され、その一方で、第３層以上のネットワーク機能も予備的に、例えば、管理目的で搭載されている。本実施形態では、そのような第３層以上のネットワーク階層の機能を有するスイッチングハブ３−１等を利用する。以下、本実施形態では、このようなスイッチングハブ３−１、ルータ２−１等を総称してネットワーク中継装置と呼ぶ。

また、本実施形態では、ＳＮＭＰ、telnet等で相手装置の状態検知、および相手装置の制御を実施する例を示すが、本発明の実施は、ＴＣＰ／ＩＰ上のＳＮＭＰ、telnet等に限定されるものではない。

図２は、本発明の実施形態に係る情報システムの基本動作アルゴリズムを示す図である。本実施形態において、情報システムは、以下の基本動作原理にしたがって動作する。
（１）ファイアーウォール７にてウィルス検出
ファイアーウォール７は、ファイアーウォール７を通過するパケットが所定のルール（チェック条件）に合致しているか否かを監視している（Ｓ１）。

ウィルスに感染した端末が、内部ネットワーク上のメールサーバを経由せず直接ＳＭＴＰでインターネット１０に向けて通信する場合のように、不正な手順でパケットを送信した場合、ファイアーウォール７がそのその不正な通信を検出する。このような機能は、ファイアーウォール７の通常の機能として広く知られている。ただし、ファイアーウォール７はウィルスそのものを検出することはできない。

なお、ファイアーウォール７が不正パケットを検出できない場合、すなわち、監視対象のパケットが不正パケットでない場合には、そのパケットは通常の手順でファイアーウォール７を通過する（Ｓ２）。

（２）検出の通知
不正な通信を検出したファイアーウォール７は、検出を契機としてネットワーク管理装置１にＳＮＭＰトラップを通知する（Ｓ３）。ネットワーク管理装置１上では、ＳＮＭＰマネージャが稼働しており、そのＳＮＭＰトラップを受信する。ＳＮＭＰマネージャは、ＳＮＭＰトラップの受信を契機として、ネットワーク管理プログラムを起動し、以下の処理を実行する。

（３）遮断すべきインターフェースの特定
不正な通信を検出したファイアーウォール７からの通知を受信したネットワーク管理装置１は、不正な通信の送信元アドレスによりウィルスに感染していると考えられる端末（以下、被疑装置という）が属しているネットワークのセグメントを特定する。さらに、ネットワーク管理装置１は、所定の手順にしたがって、そのセグメントを接続するルータ２−１等、あるいは、スイッチングハブ３−１等のネットワーク中継装置のインターフェースを特定する（Ｓ４）。

インターフェースの特定は、例えば、不正パケットの送信元アドレスから不正な通信を実行する被疑装置を検出したときに、その被疑装置のアドレスと、その被疑装置の所属するセグメントと、そのセグメントを接続するネットワーク中継装置のインターフェースとの関係を登録したテーブルに基づいて判定してもよい。そのような被疑装置と所属するセグメントと、セグメントを接続するネットワーク中継装置との関係は、ネットワーク管理装置１が有するネットワークの装置構成を記録した構成データベースと、各装置の属性を記録した機種ごとのデフォルト値テーブルにしたがって作成できる。

構成データベースは、ＳＮＭＰを実行することにより収集する情報にしたがって構成さ
れる。構成データベースは、例えば、図１に示した内部ネットワークの構成をツリー構造で定義する。このツリー構造では、例えば、セグメントのネットワークアドレス、サブネットマスク等が記録されている。さらに、このツリー構造では、各セグメントに接続される装置のＩＰアドレス、ホスト名等が記録される。図１に示す内部ネットワークの構成（ノードとノードとの関係）を記述するようなツリー構造の定義手順は広く知られているのでその説明を省略する。

また、セグメントとルータのインターフェースとの関係は、例えば、トレースルートコマンドを実行することで特定できる。すなわち、不正パケットの送信元アドレスが既知の場合に、ネットワーク管理装置１が、その送信元アドレスをパラメータにトレースルートコマンドを実行すると、ネットワーク管理装置１からその送信元アドレスの装置に至る経路上のルータのインターフェースのアドレスをピックアップできる。

この場合、インターフェースとしては、物理インターフェース（ポート）とＶＬＡＮ（virtual LAN ）対応の論理インターフェースを使用する。
（４）被疑セグメントの遮断
ウィルスに感染した被疑装置が接続されているセグメントを接続するネットワーク中継装置のインターフェースを特定したネットワーク管理装置１は、そのネットワーク中継装置に対してＳＮＭＰによるパラメータ送信またはtelnetによる仮想端末からのコマンド入力を用いて、被疑インターフェースを遮断（閉塞）するように指示する（Ｓ５）。このとき、ネットワーク管理装置１は、遮断したインターフェースの存在するネットワーク中継装置（装置名、アドレス等）と、そのネットワーク中継装置上のインターフェース（そのインターフェースを識別するインターフェース名、アドレス等）を所定の履歴情報テーブルに記録する。

その指示を受けたネットワーク中継装置は、ＳＮＭＰまたは入力されたコマンドにしたがい被疑インターフェースを遮断する。その後、ネットワーク管理装置１は、ネットワーク管理者にその旨を電子メールで通知する（Ｓ６）。

（５）復旧判断
ネットワーク管理者は、ウィルスが感染した端末の管理者に対しウィルス対策ソフトなどを用いて完全にウィルスを駆除し、不具合状態から完全に復旧したか否かを確認する（Ｓ７）。

（６）復旧動作
復旧できた場合（Ｓ８でＹＥＳの場合）、ネットワーク管理者は、所定の操作部（例えば、ネットワーク管理装置１上の操作端末、指示スイッチ、またはネットワーク管理者の端末等）により復旧動作の開始を指示する（Ｓ９）。この判断は、例えば、特定のセグメントごとに実施し、セグメントごとに復旧するようにしてもよい。

すると、ネットワーク管理装置１は、履歴情報テーブルを参照し、遮断されているインターフェースを復旧する。この処理を実行するネットワーク管理装置が遮断解除を指令する手段に相当する。復旧は、遮断の場合と同様、ＳＮＭＰによるパラメータ送信またはtelnetによる仮想端末からのコマンド入力を用いて実行する（Ｓ１０）。その場合、ネットワーク管理者が復旧を認めるセグメントを入力し、そのセグメントが接続されるネットワーク中継装置の接続インターフェースを遮断状態から復旧するようにしてもよい。

＜テーブルとファイルのデータ構成＞
図３は、ネットワークを構成する構成機器の機種ごとのデフォルト値を定義した機種ごとのデフォルト値テーブルである。この機種ごとのデフォルト値テーブルは、図４の登録
テーブルを生成するときの機種ごとのインターフェースの種類、遮断手順の種別、および遮断方法を定義する。図３に示すように、機種ごとのデフォルト値テーブルは、メーカ、機種、インターフェース、遮断種別、遮断方法の各フィールドを有している。そして、機種ごとのデフォルト値テーブルは、各メーカから提供される機種について、その機種の有するインターフェースの種類、遮断種別および遮断方法を定義する。

図３の例では、インターフェースとして、ＰＯＲＴまたはＶＬＡＮが例示されている。また、遮断種別として、Shutdownとあるのは、当該インターフェースをそのまま遮断することを意味する。また、遮断種別として、アクセスリストとあるのは、当該機種の装置にアクセスリストを引き渡し、アクセスリストの指定にしたがって、該当するパケットだけを遮断する処理を実行することを意味する。ここで、アクセスリストは、特定の条件を満たす（または、満たさない）パケットの通過を阻止するように指定した条件のリストをいう。例えば、内部ネットワーク上の特定の処理装置に送信されるパケットの通過を許容し、その特定の処理装置以外に送信されるパケットの通過を遮断する、そのような条件がアクセスリストに設定される。このような設定により、例えば、ウィルス発生により遮断が必要なセグメントであっても、ウィルスチェックプログラムの存在するサーバへのパケットの転送を許容し、問題解決を促進することができる。

また、遮断方法として、ＳＮＭＰとあるのは、ＳＮＭＰのパラメータを設定することにより遮断処理を実行することを指定する。また、遮断方法として、コマンドとあるのは、telnetプログラムを通じて当該機種の装置に対してコマンド文字列を入力することにより遮断処理を実行することを指定する。

図４は、ネットワーク管理装置１が不正パケット拡散防止処理を実行するときに参照する登録テーブル（動作記憶手段に相当）の設定例である。この登録テーブルは、ネットワーク管理装置１が、不正パケットを発信する被疑装置が所属するセグメントに対して、そのセグメントの接続されるネットワーク中継装置のインターフェースを特定するときに使用される。図４のように、登録テーブルは、セグメント情報、装置情報、インターフェース、遮断種別、および遮断方法の各フィールドを有している。このうち、セグメント情報は、不正パケット送信元のアドレスから、その送信元の所属するセグメントを特定するための情報である。セグメント情報のフィールドは、セグメント名称、ネットワークアドレス、サブネットマスクの各要素を含む。このうち、セグメント名称は、ネットワーク管理者に問題のセグメントを認識しやすくするための名称であり、コンピュータプログラムの処理では、ネットワーク管理者への通知情報中で使用される。

また、ネットワークアドレスとサブネットマスクにより、セグメントが特定される。すなわち、ネットワークアドレスとして指定されるＩＰアドレスの全ビット数のうち、上位ビット数がネットマスクで指定され、ネットワークアドレスが特定される。このようなサブネットによりネットワークをセグメントに分割する手順は広く知られている。

また、装置情報は、当該セグメントに属する１つのネットワーク中継装置のインターフェースの情報である。セグメントに複数のネットワーク中継装置が所属する場合には、接続されるインターフェース数だけテーブルの行が定義される。装置情報は、その装置のＩＰアドレス、種別、およびホスト名称を含む。種別とは、その装置の機種であり、例えば、ルータ（図４ではROUTERと表示）、スイッチングハブ（図４ではHUBと表示）等である
。

ホスト名称は、ネットワーク管理者がルータ、スイッチングハブ等のネットワーク中継装置を識別しやすくするための名称である。ホスト名称は、ネットワーク管理装置１からネットワーク管理者への通知情報中で使用される。

登録テーブルのインターフェース、遮断種別、および遮断方法は、図３の機種ごとのデフォルト値テーブルと同様であり、機種ごとのデフォルト値テーブルにしたがって設定される。

図５は、ネットワーク管理装置１が不正パケット拡散防止処理を実行したときに記録する履歴情報格納テーブル（遮断したインターフェースを記録する記録手段に相当）の構成例である。履歴情報格納テーブルは、ネットワーク管理装置１がセグメントに接続されるルータのインターフェースまたは被疑装置に直近のネットワーク中継装置（以下、該当装置といい、例えば、スイッチングハブである）のインターフェースを遮断したときに、そのルータまたは該当装置と、遮断したインターフェースを特定する情報を記録する。

図５のように、履歴情報格納テーブルも、登録テーブルと同様、セグメント情報、装置情報、インターフェース、遮断種別、および遮断方法の各フィールドを有している。これらの情報により、遮断されたインターフェースと、そのインターフェースの所属する装置が特定される。さらに、履歴情報格納テーブルは、「遮断実行」のフィールドを有しており、そのインターフェースが現在遮断されているか、遮断が解除されたかを記録する。

図６は、ネットワーク管理装置１の制御動作を決定する定義ファイルの構成例を示す図である。この定義ファイルは、遮断決定方式を設定する遮断決定テーブルと異常ＩＰアドレス検出閾値の各フィールドを有している。このうち、遮断決定方式のフィールド（これを遮断決定テーブルという）には、登録テーブル方式による遮断決定処理か、コマンド方式（トレースルートの実行）による遮断決定処理かを設定する。ただし、この定義ファイルにおいて、登録テーブルテーブルによって遮断決定処理が指定されていても、登録テーブルが存在しない、または、登録テーブルに情報が設定されていない場合には、コマンド方式により遮断処理を実行すればよい。その場合には、機種ごとのインターフェースの種類、遮断種別、および遮断方法については、図３に示した機種ごとのデフォルト値テーブルを参照して決定すればよい。

また、異常ＩＰアドレス検出閾値（所定数に相当）のフィールドには、異常ＩＰアドレス検出閾値が設定される。不正パケット送信元として被疑装置が検出され、その被疑装置の所属するセグメントが特定されたときに、当該セグメントにおいて検出された被疑装置の検出総数が算出される。そして、その検出総数が異常ＩＰアドレス検出閾値を超えた場合には、当該セグメントに接続されるルータのインターフェースが遮断される。一方、その検出総数が異常ＩＰアドレス検出閾値を超えない場合には、その被疑装置に直近の該当装置が構成データベースから検索され、その該当装置のインターフェースが遮断される。このとき遮断される該当装置のインターフェースに接続するネットワーク部分を部分セグメントと呼ぶ。部分セグメントは、レイヤ２（データリンク層）の通信により区分されるネットワーク部分である。

ただし、異常ＩＰアドレス検出閾値を１に設定した場合には、不正パケットが検出されたセグメントにおいて不正パケットを発信する被疑装置の台数は、常に、異常ＩＰアドレス検出閾値以上となる。したがって、この場合には、直近の該当装置を検索することなく、常に、セグメント単位で内部ネットワークが遮断されることになる。

＜処理フロー＞
図７は、ネットワーク上の装置とセグメントとの関係を定義する登録テーブルを更新する更新処理を示すフローチャートである。この処理は、ネットワーク管理装置１で実行される通信制御プログラムとして実現できる。登録テーブルは、不正パケットを送信する送信元のアドレスが特定され、その送信元のアドレスからその送信元の被疑装置が所属する
セグメントを接続するルータのインターフェースを特定するときに参照される。以下に示すように、登録テーブルは、ネットワーク管理装置１が維持管理する構成データベースと、各装置の属性を登録した機種ごとのデフォルト値テーブルから作成される。

ネットワーク管理装置１は、設定に応じて、自動、または手動にて、ネットワークの構成データベースを更新する。この機能により、システム起動時や、ネットワーク機器の追加/設定変更時に、構成データベースが作成あるいは更新される。さらに、構成データベ
ースが更新された後には、ネットワーク上の各装置と各装置の所属するセグメントとの関係を定義する登録データベースを更新する必要がある。そこで、ネットワーク管理装置１は、図７に示す処理を実行し、登録データベースを作成・更新する。

この処理では、まず、ネットワーク管理装置１は、ネットワークの構成データベースよりひな型テーブルを作成する（Ｓ２０）。すなわち、ネットワーク管理装置１は、ネットワークの構成データベースを検索し、すべてのセグメントを洗い出す。そして、それぞれのセグメントに関わるルータ、スイッチングハブ等のネットワーク中継装置を求め、図４に示す登録テーブルのセグメント情報、装置情報の欄を作成する。より具体的には、図４に示す登録テーブルの領域をメモリ上に確保し、構成データベースのセグメント情報（セグメント名称、ネットワークアドレス、およびサブネットマスク）および装置情報（ＩＰアドレスとホスト名）を書き込む。ただし、セグメント名称はセグメントn(n = 1,2,3,…)等の仮名称を割り当てるようにすればよい。

次に、ネットワーク管理装置１は、機種依存情報を設定する（Ｓ２１）。すなわち、Ｓ２０の処理で作成したテーブル上のホスト名から構成データベースを検索し、そのホスト名を有する装置の機種を検索する。そして、ネットワーク管理装置１は、検索された機種を基に、機種ごとのデフォルト値テーブル（図３参照）を検索し、インターフェースの種別、遮断種別、遮断方法等のデフォルト値を読み出す。そして、ネットワーク管理装置１は、読み出された情報を登録テーブルに設定する。ただし、機種ごとのデフォルト値テーブルに該当する機種の情報が登録されていない場合、デフォルトとして定義された機種（図３で機種がデフォルトに設定されている行）の情報を使用する。

そして、登録テーブルの新規作成の場合には（Ｓ２２でＹＥＳの場合）、ネットワーク管理装置１は、Ｓ２１の処理で情報を設定したひな型テーブルを有効化する（Ｓ２２）。有効化とは、例えば、登録テーブルの領域を複数保持しておき、有効なテーブルを示すリンクを書き替えるようにすればよい。また、例えば、ひな型テーブルと実使用のための登録テーブルの２面を保持し、ひな型完成後、ひな型テーブルの内容を実使用のための登録テーブルにコピーするようにしてもよい。

一方、新規作成でない場合、ネットワーク管理装置１は、既存の登録テーブル（以下、有効テーブルともいう）からひな型テーブルにデータの引き継ぎを実施する（Ｓ２３）。すなわち、Ｓ２１の処理で情報を設定したひな型テーブルと、既存の登録テーブル（現在の有効テーブル）の情報を比較し、同一セグメント、同一アドレスのインターフェースの場合、現在有効になっているテーブルの情報を優先するため、対応するデータを既存の登録テーブルからひな型テーブルにコピーする。この処理は、例えば、登録テーブルに手動で設定された情報を更新される登録テーブルに引き継ぐための処理である。

次に、ネットワーク管理装置１は、Ｓ２３の処理で既存の登録テーブルから情報が引き継がれたひな型テーブルを有効にする（Ｓ２４）。次に、ネットワーク管理装置１は、既存の登録テーブル（更新前の有効テーブル）を削除する（Ｓ２５）。

なお、以上の説明は、図７のように１つのフローチャートの中に、初期状態から新規に
登録テーブルを作成する処理と、ネットワークの構成変更時の登録テーブル更新処理を実現する例を示した。しかし、これらの処理は、各々異なるプログラムによって異なるフローとして実現してもよい。

また、すでに既存の登録テーブルが存在する場合に、上記図７の処理のようにひな型テーブルを作成し、既存の登録テーブルからデータを引き継ぐ処理とする代わりに、マニュアル操作で登録テーブルの内容を編集できるようにしてもよい。

図８は、ネットワーク管理装置１が不正パケット検出の通知を受けたときに実行する遮断決定処理の概要を示す図である。この処理は、ネットワーク管理装置１が、ファイアーウォール７から不正パケット検出の通知を受けたときに起動される。

なお、不正パケット、あるいは、不正アクセスの検出手順は、通常のファイアーウォールの処理と同様である。例えば、メールサーバ以外の装置を送信元としてＳＭＴＰ（Simple Mail Transfer Protocol）によって外部ネットワークにアクセスするパケットは、不
正パケットととして検出される。また、そのような送信元の装置は、被疑装置として検出される。

また、プロキシサーバ以外の装置を送信元としてＨＴＴＰ（HyperText Transfer Protocol）によって外部ネットワークにアクセスするパケットは、不正パケットととして検出
される。また、そのような送信元の装置は、被疑装置として検出される。

ファイアーウォール７にて不正パケット（あるいか不正アクセス）を検出した場合、ファイアーウォール７は、ネットワーク管理装置１のＳＮＭＰマネージャにＳＮＭＰトラップを送信する。このＳＮＭＰトラップでは、不正パケットから得られたパケット送信元のＩＰアドレスおよび通信プロトコルの種別が通知される。そのようなＳＮＭＰトラップを受信したネットワーク管理装置１のＳＮＭＰマネージャは、図８に示す処理を起動する。

この処理では、まず、ネットワーク管理装置１は、遮断決定テーブル（図６参照）より登録テーブルに基づいて遮断決定処理を実行するのか、トレースルート等のコマンドにより遮断決定処理を実行するのか、の設定情報を抽出する（Ｓ３０）。

次に、ネットワーク管理装置１は、不正パケット送信元のＩＰアドレスからそのＩＰアドレスの装置（被疑装置）が所属するセグメントを決定する。そして、ネットワーク管理装置１は、その被疑装置が所属するセグメント内での不正パケットを発信する被疑装置のＩＰアドレスの検出数を累計し、所定のテーブルに、セグメントごとに異常検出ＩＰアドレスの検出総数として記録する。

さらに、ネットワーク管理装置１は、その検出総数が所定の検出閾値（図６に示した異常ＩＰアドレス検出閾値）を超えたか否かを判断する。そのような被疑装置のＩＰアドレスの検出数が所定の検出閾値を超えた場合には、ネットワーク管理装置１は、そのセグメントに接続されるルータのインターフェースでの遮断処理を実行することに決定する。一方、そのような被疑装置のＩＰアドレスの検出数が所定の検出閾値を超えていない場合には、ネットワーク管理装置１は、ルータよりもさらに、その被疑装置に直近の該当装置にてインターフェースを遮断することに決定する（Ｓ３１）。この処理を実行するネットワーク管理装置１が制御手段に相当する。

そして、Ｓ３０で抽出された設定情報により、コマンドによる遮断決定処理の場合には（Ｓ３２でＹＥＳ）、ネットワーク管理装置１は、トレースルートコマンドを発行する（Ｓ３３）。この処理を実行するネットワーク管理装置１がコマンド発行手段に相当する。
ネットワーク管理装置１がトレースルートコマンド（traceRoute 被疑装置のホスト名（またはＩＰアドレス））を実行すると、ネットワーク管理装置１から被疑装置に至る経路上のルータが順次検出される。

その検出結果から、ネットワーク管理装置１は、被疑装置に最も近いルータのＩＰアドレスを検出する（Ｓ３４）。このＩＰアドレスは、上記トレースルートコマンドにより得られた検出結果の最後に表示されたルータである。このルータは、被疑装置の所属するセグメントを接続するインターフェースを有するルータである。

一方、Ｓ３０で抽出した設定情報により、登録テーブルによる遮断決定処理の場合には（Ｓ３２でＮＯ）、ネットワーク管理装置１は、登録テーブルを検索し、被疑装置のＩＰアドレスからその被疑装置の所属するセグメントを接続するルータを特定する（Ｓ３５）。

次に、ネットワーク管理装置１は、Ｓ３１の決定に基づき、遮断装置として当該異常の発生したセグメントに接続されるルータのインターフェースを遮断するのか、当該被疑装置の直近の該当装置のインターフェースを遮断するのかを判定する（Ｓ３６）。

そして、直近の装置にてインターフェースを遮断する場合、ネットワーク管理装置１は、さらに、構成データベースを参照し、Ｓ３４またはＳ３５で特定されたルータと被疑装置との間の経路上にさらにスイッチングハブ等のレイヤ２でネットワークを接続するネットワーク中継装置が存在するか否かを判定する。そして、そのようなレイヤ２でネットワークを接続する該当装置が存在する場合、ネットワーク管理装置１は、telnetコマンドで上記該当装置にログインする（Ｓ３７）。そして、ログイン先の該当装置に対してＡＲＰテーブルおよびＭＡＣテーブルを表示するコマンドを入力する（Ｓ３８）。

なお、この処理は、ネットワーク管理装置１のユーザが該当装置にログインしてコマンドを入力するのでははなく、ネットワーク管理装置１で図８の処理を実行するプログラムが、telnetプログラムを通じて該当装置に対してコマンドの文字列を入力し、telnetプログラムを通じてそのコマンドの実行結果（ＡＲＰテーブルおよびＭＡＣテーブルの表示結果）を受信することで実行される。

ＡＲＰテーブルには、ＩＰアドレスとＭＡＣアドレスの対が格納されている。また、ＭＡＣテーブルには、その該当装置とレイヤ２で通信する装置のＭＡＣアドレスと、その装置に接続される該当装置のインターフェースの対が記憶されている。したがって、被疑装置のＩＰアドレスがファイアーウォール７から通知されていた場合には、そのＩＰアドレスに対するＭＡＣアドレスをＡＲＰテーブルから求め、さらに、そのＭＡＣアドレスに接続されるインターフェースをＭＡＣテーブルから求めることで、遮断すべきインターフェースを特定できる。

次に、ネットワーク管理装置１は、以上の処理で特定した情報（Ｓ３４またはＳ３５で特定したルータのＩＰアドレス（インターフェース）、または、Ｓ３８で特定した該当装置のＩＰアドレス（インターフェース）を履歴情報格納テーブル（図５参照）に格納する（Ｓ３Ａ）。

図９は、ＳＮＭＰにより不正パケットが検出されたセグメントにつながるインターフェースを遮断する処理を示す図である。この処理では、ネットワーク管理装置１は、インターフェースを遮断すべき装置（ルータまたは直近のスイッチングハブ等）に対して、ＳＮＭＰのパラメータを書き替え指示を送信する。その結果、図８の処理で決定されたルータまたは直近の該当装置のインターフェースが遮断される。なお、インターフェースとして
は、ルータまたは直近の該当装置の物理的なインターフェースでよいし、ＶＬＡＮで定義される論理的なインターフェースでもよい。この遮断履歴は、図５に示した履歴情報格納テーブルに格納される。本実施形態では、図８のＳ３Ａに示したように、遮断履歴の格納は、遮断決定処理の後に実行するが、これに限らず、図９に示し実際の遮断処理を実行した後に、遮断履歴を格納するようにしてもよい。

図１０は、コマンドの実行により不正パケットが検出されたセグメントにつながるインターフェースを遮断する処理を示す図である。この処理では、ネットワーク管理装置１は、インターフェースを遮断すべき装置（ルータまたは直近のスイッチングハブ等）に対して、telnetプログラムを通じて、コマンドの文字列を送信し、遮断すべき装置において、物理ポートの遮断、ＶＬＡＮのインターフェースの遮断を実行する。また、コマンドによる遮断の場合、ネットワーク管理装置１は、アクセスリストを遮断すべきルータに送信し、アクセスリストの指定にしたがって、特定の宛先へのパケットの通過を許容し、それ以外のパケットを遮断するようにしてもよい。ルータは、そのセグメントにつながるインターフェースで受信し、セグメント外へ送出されるパケットのうち、アクセスリストで許容されるものだけを通過させればよい。

この遮断履歴は、図５に示した履歴情報格納テーブルに格納される。本実施形態では、図８のＳ３Ａに示したように、遮断履歴の格納は、遮断決定処理の後に実行するが、これに限らず、図１０に示し実際の遮断処理を実行した後に、遮断履歴を格納するようにしてもよい。

＜実施形態の効果＞
以上述べたように、本実施形態の情報システムによれば、ファイアーウォール７にて不正パケットが検出されたときに、ネットワーク管理装置１が不正パケット送信元装置の存在するセグメントに接続されるルータのインターフェースを特定して遮断する。したがって、ネットワークを用いて拡散する不正パケット発生源、例えば、コンピュータウィルスの拡散を有効に防止できる。

また、本情報システムによれば、不正パケット送信元である被疑装置の数がセグメント内で所定の閾値を達するか否かを判定する。そして、セグメント内の被疑装置の数が所定の閾値に達した場合には、そのセグメントに接続されるルータのインターフェースを遮断することで、そのセグメントからセグメント外部への通信を停止させ、不正パケット発生源の拡散を有効に防止する。すなわち、特定のセグメントにおいて、所定数以上の装置がウィルスに感染している可能性がある場合には、そのセグメント全体を遮断すればよい。

一方、セグメント内の被疑装置の数が所定の閾値に達ない場合には、そのセグメント内の下位のレイヤ（データリンク層）のネットワーク中継装置であるスイッチングハブ等のネットワーク中継装置により接続される部分セグメントを探索する。そして、ネットワーク管理装置１は、上記被疑装置に直近のネットワーク中継装置のインターフェースを遮断する。このような手順により、セグメント内に被疑装置の数が少ない場合には、被疑装置に直近の部分セグメントだけに対して、その部分セグメントと外部との通信を遮断する。したがって、被疑装置に直近の部分セグメント以外の通信を継続させることができる。

また、本情報システムによれば、インターフェースを遮断する場合に、そのままインターフェースを完全に遮断する場合と、アクセスリストにより、特定のパケットだけを遮断する場合の２つの遮断種別を選択して実施できる。

また、本情報システムによれば、事前に機種ごとにインターフェース、遮断種別、および遮断方法を指定した機種ごとのデフォルト値テーブルを用意しておき、この機種ごとの
デフォルト値テーブルと、ネットワーク管理装置１が有する構成データベースに基づいて、ネットワークのセグメントとセグメントに所属する被疑装置との組み合わせに対するインターフェース、遮断種別、および遮断方法を指定した登録テーブルを生成する。そして、ネットワーク管理装置１は、この登録テーブルにしたがい、被疑装置のインターフェースを遮断する。この登録テーブルは、上記構成データベースに基づいて生成されるので、ネットワークの構成が変化した場合でも、直ちに、更新することができる。また、登録テーブルを用意することにより、ネットワーク管理装置１は、短時間で遮断種別、遮断方法を特定できる。

また、本情報システムによれば、上記登録テーブルが使用できない場合でも、ネットワーク管理用として利用可能なコマンド、例えば、トレースルートコマンドにより、同等の処理を実現できる。

＜コンピュータ読み取り可能な記録媒体＞
コンピュータその他の機械、装置（以下、コンピュータ等）に上記いずれかの機能を実現させるプログラムをコンピュータ等が読み取り可能な記録媒体に記録することができる。そして、コンピュータ等に、この記録媒体のプログラムを読み込ませて実行させることにより、その機能を提供させることができる。

ここで、コンピュータ等が読み取り可能な記録媒体とは、データやプログラム等の情報を電気的、磁気的、光学的、機械的、または化学的作用によって蓄積し、コンピュータ等から読み取ることができる記録媒体をいう。このような記録媒体のうちコンピュータ等から取り外し可能なものとしては、例えばフレキシブルディスク、光磁気ディスク、CD-ROM、CD-R/W、DVD、DAT、８mmテープ、メモリカード等がある。

また、コンピュータ等に固定された記録媒体としてハードディスクやＲＯＭ（リードオンリーメモリ）等がある。
＜その他＞
さらに、本実施の形態は以下の発明を開示する。また、以下の各発明（以下付記と呼ぶ）のいずれかに含まれる構成要素を他の付記の構成要素と組み合わせてもよい。
（付記１）
複数のセグメントが並列または直列に接続され１以上の階層を構成する内部ネットワークを前記内部ネットワーク外の外部ネットワークに接続する第１接続装置、または前記内部ネットワークで前記複数のセグメントのいずれかを前記第１接続装置または当該セグメントの上位階層のセグメントに接続する第２接続装置が、所定の条件に該当しない不正パケットを発信する不正パケット発信端末を検出したときに、前記第１接続装置または第２接続装置のうち前記不正パケット発信端末を検出した接続装置からその不正パケット発信端末を特定するアドレスの通知を受信する手段と、
前記アドレスの通知を受信したときに、そのアドレスを元に該当する不正パケット発信端末が属するセグメントを判定する手段と、
前記セグメントごとに不正パケット発信端末の数を計数するとともに、その不正パケット発信端末の数を前記セグメントに対応付けて記憶する手段と、
前記内部ネットワーク上において前記不正パケット発信端末が属するセグメントを外部ネットワークに接続する前記第１接続装置のインターフェース、または前記不正パケット発信端末が属するセグメントを前記第１接続装置または当該セグメントの上位階層のセグメントに接続する第２接続装置のインターフェースを探索する探索手段と、
不正パケット発信端末が属するセグメント内で、前記不正パケット発信端末の数が予め設定した所定数の範囲にない場合に、前記不正パケット発信端末の属するセグメントが接続される第１接続装置または第２接続装置のインターフェースを遮断する制御手段と、を備えるネットワーク管理装置。（１）
（付記２）前記探索手段は、前記セグメントを接続する前記第１接続装置または第２接続装置のインターフェースを記憶した登録テーブル記憶手段を有する付記１に記載のネットワーク管理装置。
（付記３）前記探索手段は、前記セグメントを接続する前記第１接続装置または第２接続装置のインターフェースを探索するコマンド発行手段を有する付記１に記載のネットワーク管理装置。
（付記４）
前記不正パケット発信端末が属していると判定されたセグメントごとに不正パケットに対応する動作を決定する動作記憶手段をさらに備える付記１から３のいずれかに記載のネットワーク管理装置。（２）
（付記５）
前記制御手段は、不正パケット発信端末が属するセグメント内で、前記不正パケット発信端末の数が所定数の範囲にある場合に、前記第１接続装置または第２接続装置に接続されるセグメントを１以上の階層を構成する複数の部分セグメントに分離して前記複数の部分セグメントを前記第１接続装置、第２接続装置または当該部分セグメントの上位階層の部分セグメントに接続する１以上の第３接続装置を探索する手段と、
前記第１接続装置、第２接続装置、または第３接続装置に含まれるインターフェースのうち前記不正パケット発信端末に直近のインターフェースを遮断する手段とを有する、付記１から４のいずれかに記載のネットワーク管理装置。（３）
（付記６）前記第１接続装置および第２接続装置は、前記外部ネットワークまたは内部ネットワークにおいて識別可能なアドレスにより前記セグメントを接続し、前記第３接続装置は、前記第１接続装置または第２接続装置に接続されるセグメントの範囲で利用可能な通信手順により前記部分セグメントを接続する付記５に記載のネットワーク管理装置。
（付記７）
前記制御手段が前記第１接続装置または第２接続装置のインターフェースを遮断したときに、遮断したインターフェースを記録する記録手段と、
所定の起動指示を検出したときに前記記録手段の記録に基づいて遮断したインターフェースに遮断解除を指令する手段と、をさらに備える付記１から４のいずれかに記載のネットワーク管理装置。
（付記８）
前記制御手段が前記第１接続装置、第２接続装置または第３接続装置のインターフェースを遮断したときに、遮断したインターフェースを記録する記録手段と、
所定の起動指示を検出したときに前記記録手段の記録に基づいて遮断したインターフェースに遮断解除を指令する手段と、をさらに備える付記５または６に記載のネットワーク管理装置。
（付記９）
前記制御手段は、前記内部ネットワーク上の特定の処理装置に送信されるパケットの通過を許容し、その特定の処理装置以外に送信されるパケットの通過を遮断する、そのようなパケットの通過を制限するアクセスリストを前記第１接続装置または第２接続装置に送信するアクセスリスト送信手段をさらに有する付記１から４のいずれか、または付記７に記載のネットワーク管理装置。
（付記１０）
前記制御手段が前記第１接続装置または第２接続装置のインターフェースを遮断したとき、または、前記アクセスリスト送信手段が前記アクセスリストを送信することにより前記第１接続装置または第２接続装置を通過するパケットの通過を制限したときに、遮断したインターフェースまたはパケットの通過を制限したインターフェースを記録する記録手段と、
所定の起動指示を検出したときに前記記録手段の記録に基づいて遮断したインターフェースまたはパケットの通過を制限したインターフェースに遮断解除またはパケットの通過制限解除を指令する手段と、をさらに備える付記５、付記６、または付記８に記載のネッ
トワーク管理装置。
（付記１１）
複数のセグメントが並列または直列に接続され１以上の階層を構成する内部ネットワークを前記内部ネットワーク外の外部ネットワークに接続する第１接続装置、または前記内部ネットワークで前記複数のセグメントのいずれかを前記第１接続装置または当該セグメントの上位階層のセグメントに接続する第２接続装置が、所定の条件に該当しない不正パケットを発信する不正パケット発信端末を検出したときに、前記第１接続装置または第２接続装置のうち前記不正パケット発信端末を検出した接続装置からその不正パケット発信端末を特定するアドレスの通知を受信するステップと、
前記アドレスの通知を受信したときに、そのアドレスを元に該当する不正パケット発信端末が属するセグメントを判定するステップと、
前記セグメントごとに不正パケット発信端末の数を計数するとともに、その不正パケット発信端末の数を前記セグメントに対応付けて記憶するステップと、
前記内部ネットワーク上において前記不正パケット発信端末が属するセグメントを外部ネットワークに接続する前記第１接続装置のインターフェース、または前記不正パケット発信端末が属するセグメントを前記第１接続装置または当該セグメントの上位階層のセグメントに接続する第２接続装置のインターフェースを探索する探索ステップと、
不正パケット発信端末が属するセグメント内で、前記不正パケット発信端末の数が予め設定した所定数の範囲にない場合に、前記不正パケット発信端末の属するセグメントが接続される第１接続装置または第２接続装置のインターフェースを遮断する制御ステップと、を実行するネットワーク管理方法。（４）
（付記１２）前記探索ステップは、前記セグメントを接続する前記第１接続装置または第２接続装置のインターフェースを記憶した登録テーブルを参照するステップを有する付記１１に記載のネットワーク管理方法。
（付記１３）前記探索ステップは、前記セグメントを接続する前記第１接続装置または第２接続装置のインターフェースを探索するコマンド発行ステップを有する付記１１に記載のネットワーク管理方法。
（付記１４）
前記不正パケット発信端末が属していると判定されたセグメントごとに不正パケットに対応する動作を決定する動作記憶手段を参照するステップをさらに備える付記１１から１３のいずれかに記載のネットワーク管理方法。
（付記１５）
前記制御ステップは、不正パケット発信端末が属するセグメント内で、前記不正パケット発信端末の数が所定数の範囲にある場合に、前記第１接続装置または第２接続装置に接続されるセグメントを１以上の階層を構成する複数の部分セグメントに分離して前記複数の部分セグメントを前記第１接続装置、第２接続装置または当該部分セグメントの上位階層の部分セグメントに接続する１以上の第３接続装置を探索するステップと、
前記第１接続装置、第２接続装置、または第３接続装置に含まれるインターフェースのうち前記不正パケット発信端末に直近のインターフェースを遮断するステップとを有する、付記１１から１４のいずれかに記載のネットワーク管理方法。
（付記１６）前記第１接続装置および第２接続装置は、前記外部ネットワークまたは内部ネットワークにおいて識別可能なアドレスにより前記セグメントを接続し、前記第３接続装置は、前記第１接続装置または第２接続装置に接続されるセグメントの範囲で利用可能な通信手順により前記部分セグメントを接続する付記１５に記載のネットワーク管理方法。
（付記１７）
前記制御ステップによりが前記第１接続装置または第２接続装置のインターフェースが遮断されたときに、遮断されたインターフェースを記録する記録ステップと、
所定の起動指示を検出したときに前記記録ステップによる記録に基づいて遮断されたインターフェースに遮断解除を指令するステップと、をさらに備える付記１１から１４のい
ずれかに記載のネットワーク管理方法。
（付記１８）
前記制御ステップにより前記第１接続装置、第２接続装置または第３接続装置のインターフェースが遮断されたときに、遮断されたインターフェースを記録する記録ステップと、
所定の起動指示を検出したときに前記記録ステップによる記録に基づいて遮断したインターフェースに遮断解除を指令するステップと、をさらに備える付記１５または１６に記載のネットワーク管理方法。
（付記１９）
前記制御ステップは、前記内部ネットワーク上の特定の処理装置に送信されるパケットの通過を許容し、その特定の処理装置以外に送信されるパケットの通過を遮断する、そのようなパケットの通過を制限するアクセスリストを前記第１接続装置または第２接続装置に送信するアクセスリスト送信ステップをさらに有する付記１１から１４のいずれか、または付記１７に記載のネットワーク管理方法。
（付記２０）
前記制御ステップにより前記第１接続装置または第２接続装置のインターフェースが遮断されたとき、または、前記アクセスリストを送信することにより前記第１接続装置または第２接続装置を通過するパケットの通過を制限したときに、遮断したインターフェースまたはパケットの通過を制限したインターフェースを記録する記録ステップと、
所定の起動指示を検出したときに前記記録ステップによる記録に基づいて遮断したインターフェースまたはパケットの通過を制限したインターフェースに遮断解除またはパケットの通過制限解除を指令するステップと、をさらに備える付記１５、付記１６、または付記１８に記載のネットワーク管理方法。
（付記２１）
コンピュータに、
複数のセグメントが並列または直列に接続され１以上の階層を構成する内部ネットワークを前記内部ネットワーク外の外部ネットワークに接続する第１接続装置、または前記内部ネットワークで前記複数のセグメントのいずれかを前記第１接続装置または当該セグメントの上位階層のセグメントに接続する第２接続装置が、所定の条件に該当しない不正パケットを発信する不正パケット発信端末を検出したときに、前記第１接続装置または第２接続装置のうち前記不正パケット発信端末を検出した接続装置からその不正パケット発信端末を特定するアドレスの通知を受信するステップと、
前記アドレスの通知を受信したときに、そのアドレスを元に該当する不正パケット発信端末が属するセグメントを判定するステップと、
前記セグメントごとに不正パケット発信端末の数を計数するとともに、その不正パケット発信端末の数を前記セグメントに対応付けて記憶するステップと、
前記内部ネットワーク上において前記不正パケット発信端末が属するセグメントを外部ネットワークに接続する前記第１接続装置のインターフェース、または前記不正パケット発信端末が属するセグメントを前記第１接続装置または当該セグメントの上位階層のセグメントに接続する第２接続装置のインターフェースを探索する探索ステップと、
不正パケット発信端末が属するセグメント内で、前記不正パケット発信端末の数が予め設定した所定数の範囲にない場合に、前記不正パケット発信端末の属するセグメントが接続される第１接続装置または第２接続装置のインターフェースを遮断する制御ステップと、を実行させるネットワーク管理プログラム。（５）
（付記２２）前記探索ステップは、前記セグメントを接続する前記第１接続装置または第２接続装置のインターフェースを記憶した登録テーブルを参照するステップを有する付記２１に記載のネットワーク管理プログラム。
（付記２３）前記探索ステップは、前記セグメントを接続する前記第１接続装置または第２接続装置のインターフェースを探索するコマンド発行ステップを有する付記２１に記載のネットワーク管理プログラム。
（付記２４）
前記不正パケット発信端末が属していると判定されたセグメントごとに不正パケットに対応する動作を決定する動作記憶手段を参照するステップをさらに備える付記２１から２３のいずれかに記載のネットワーク管理プログラム。
（付記２５）
前記制御ステップは、不正パケット発信端末が属するセグメント内で、前記不正パケット発信端末の数が所定数の範囲にある場合に、前記第１接続装置または第２接続装置に接続されるセグメントを１以上の階層を構成する複数の部分セグメントに分離して前記複数の部分セグメントを前記第１接続装置、第２接続装置または当該部分セグメントの上位階層の部分セグメントに接続する１以上の第３接続装置を探索するステップと、
前記第１接続装置、第２接続装置、または第３接続装置に含まれるインターフェースのうち前記不正パケット発信端末に直近のインターフェースを遮断するステップとを有する、付記２１から２４のいずれかに記載のネットワーク管理プログラム。
（付記２６）前記第１接続装置および第２接続装置は、前記外部ネットワークまたは内部ネットワークにおいて識別可能なアドレスにより前記セグメントを接続し、前記第３接続装置は、前記第１接続装置または第２接続装置に接続されるセグメントの範囲で利用可能な通信手順により前記部分セグメントを接続する付記２５に記載のネットワーク管理プログラム。
（付記２７）
前記制御ステップにより前記第１接続装置または第２接続装置のインターフェースが遮断されたときに、遮断されたインターフェースを記録する記録ステップと、
所定の起動指示を検出したときに前記記録ステップによる記録に基づいて遮断したインターフェースに遮断解除を指令するステップと、をさらに備える付記２１から２４のいずれかに記載のネットワーク管理プログラム。
（付記２８）
前記制御ステップにより前記第１接続装置、第２接続装置または第３接続装置のインターフェースが遮断されたときに、遮断されたインターフェースを記録する記録ステップと、
所定の起動指示を検出したときに前記記録ステップによる記録に基づいて遮断したインターフェースに遮断解除を指令するステップと、をさらに備える付記２５または２６に記載のネットワーク管理プログラム。
（付記２９）
前記制御ステップは、前記内部ネットワーク上の特定の処理装置に送信されるパケットの通過を許容し、その特定の処理装置以外に送信されるパケットの通過を遮断する、そのようなパケットの通過を制限するアクセスリストを前記第１接続装置または第２接続装置に送信するアクセスリスト送信ステップをさらに有する付記２１から２４のいずれか、または付記２７に記載のネットワーク管理プログラム。
（付記３０）
前記制御ステップにより前記第１接続装置または第２接続装置のインターフェースが遮断されたとき、または、前記アクセスリストを送信することにより前記第１接続装置または第２接続装置を通過するパケットの通過を制限したときに、遮断したインターフェースまたはパケットの通過を制限したインターフェースを記録する記録ステップと、
所定の起動指示を検出したときに前記記録ステップによる記録に基づいて遮断したインターフェースまたはパケットの通過を制限したインターフェースに遮断解除またはパケットの通過制限解除を指令するステップと、をさらに備える付記２５、付記２６、または付記２８に記載のネットワーク管理プログラム。

本発明の実施形態に係る情報システムのネットワーク構成を示す図である。 本発明の実施形態に係る情報システムの基本動作アルゴリズムを示す図である。 ネットワークを構成する構成機器を制御する際の制御パラメータの機種ごとのデフォルト値を定義したデフォルト値テーブルである。 ネットワーク管理装置が不正パケット拡散防止処理を実行するときに参照する登録テーブルの設定例である。 ネットワーク管理装置が不正パケット拡散防止処理を実行したときに記録する履歴情報格納テーブルの構成例である。 ネットワーク管理装置の制御動作を決定する定義ファイルの構成例を示す図である。 ネットワーク上の装置とセグメントとの関係を定義する登録テーブルを更新する更新処理を示すフローチャートである。 ネットワーク管理装置が不正パケット検出の通知を受けたときに実行する遮断決定処理の概要を示す図である。 ＳＮＭＰにより不正パケットが検出されたセグメントにつながるインターフェースを遮断する処理を示す図である。 コマンドの実行により不正パケットが検出されたセグメントにつながるインターフェースを遮断する処理を示す図である。

符号の説明

１ ネットワーク管理装置
２−１、２−２、２−３ ルータ
３−１、３−２ スイッチングハブ
５−１〜５−８ 端末
７ ファイアーウォール

Claims (5)

1. 複数のセグメントが並列または直列に接続され１以上の階層を構成する内部ネットワークを前記内部ネットワーク外の外部ネットワークに接続する第１接続装置、または前記内部ネットワークで前記複数のセグメントのいずれかを前記第１接続装置または当該セグメントの上位階層のセグメントに接続する第２接続装置が、所定の条件に該当しない不正パケットを発信する不正パケット発信端末を検出したときに、前記第１接続装置または第２接続装置のうち前記不正パケット発信端末を検出した接続装置からその不正パケット発信端末を特定するアドレスの通知を受信する手段と、
   前記アドレスの通知を受信したときに、そのアドレスを元に該当する不正パケット発信端末が属するセグメントを判定する手段と、
   前記セグメントごとに不正パケット発信端末の数を計数するとともに、その不正パケット発信端末の数を前記セグメントに対応付けて記憶する手段と、
   前記内部ネットワーク上において前記不正パケット発信端末が属するセグメントを外部ネットワークに接続する前記第１接続装置のインターフェース、または前記不正パケット発信端末が属するセグメントを前記第１接続装置または当該セグメントの上位階層のセグメントに接続する第２接続装置のインターフェースを探索する探索手段と、
   不正パケット発信端末が属するセグメント内で、前記不正パケット発信端末の数が予め設定した所定数の範囲にない場合に、前記不正パケット発信端末の属するセグメントが接続される第１接続装置または第２接続装置のインターフェースを遮断する制御手段と、を備えるネットワーク管理装置。
2. 前記不正パケット発信端末が属していると判定されたセグメントごとに不正パケットに対応する動作を決定する動作記憶手段をさらに備える請求項１に記載のネットワーク管理装置。
3. 前記セグメントは、前記セグメント外のネットワークから識別可能なネットワークアドレスによって前記セグメント内の装置を前記第１接続装置または第２接続装置に接続し、前記セグメントはＭＡＣ（Media Access Control）アドレスによって装置間を接続する部分セグメントを含み、前記部分セグメントは、第３接続装置によって前記第１接続装置または第２接続装置に接続されており、
   前記制御手段は、不正パケット発信端末が属するセグメント内で、前記不正パケット発信端末の数が所定数の範囲にある場合に、前記不正パケット発信端末が属するセグメントに含まれる部分セグメントのうち、前記不正パケット発信端末から前記第１接続装置または前記第２接続装置に至る経路上の部分セグメントを前記第１接続装置、第２接続装置または当該部分セグメントの上位階層の部分セグメントに接続する、１以上の第３接続装置を探索する手段と、
   前記第１接続装置、第２接続装置、または第３接続装置に含まれるインターフェースのうち前記不正パケット発信端末に直近のインターフェースを遮断する手段とを有する、請求項１に記載のネットワーク管理装置。
4. 複数のセグメントが並列または直列に接続され１以上の階層を構成する内部ネットワークを前記内部ネットワーク外の外部ネットワークに接続する第１接続装置、または前記内部ネットワークで前記複数のセグメントのいずれかを前記第１接続装置または当該セグメントの上位階層のセグメントに接続する第２接続装置が、所定の条件に該当しない不正パケットを発信する不正パケット発信端末を検出したときに、前記第１接続装置または第２接続装置のうち前記不正パケット発信端末を検出した接続装置からその不正パケット発信端末を特定するアドレスの通知を受信するステップと、
   前記アドレスの通知を受信したときに、そのアドレスを元に該当する不正パケット発信端末が属するセグメントを判定するステップと、
   前記セグメントごとに不正パケット発信端末の数を計数するとともに、その不正パケット発信端末の数を前記セグメントに対応付けて記憶するステップと、
   前記内部ネットワーク上において前記不正パケット発信端末が属するセグメントを外部ネットワークに接続する前記第１接続装置のインターフェース、または前記不正パケット発信端末が属するセグメントを前記第１接続装置または当該セグメントの上位階層のセグメントに接続する第２接続装置のインターフェースを探索する探索ステップと、
   不正パケット発信端末が属するセグメント内で、前記不正パケット発信端末の数が予め設定した所定数の範囲にない場合に、前記不正パケット発信端末の属するセグメントが接続される第１接続装置または第２接続装置のインターフェースを遮断する制御ステップと、を実行するネットワーク管理方法。
5. コンピュータに、
   複数のセグメントが並列または直列に接続され１以上の階層を構成する内部ネットワークを前記内部ネットワーク外の外部ネットワークに接続する第１接続装置、または前記内部ネットワークで前記複数のセグメントのいずれかを前記第１接続装置または当該セグメントの上位階層のセグメントに接続する第２接続装置が、所定の条件に該当しない不正パケットを発信する不正パケット発信端末を検出したときに、前記第１接続装置または第２接続装置のうち前記不正パケット発信端末を検出した接続装置からその不正パケット発信端末を特定するアドレスの通知を受信するステップと、
   前記アドレスの通知を受信したときに、そのアドレスを元に該当する不正パケット発信端末が属するセグメントを判定するステップと、
   前記セグメントごとに不正パケット発信端末の数を計数するとともに、その不正パケット発信端末の数を前記セグメントに対応付けて記憶するステップと、
   前記内部ネットワーク上において前記不正パケット発信端末が属するセグメントを外部ネットワークに接続する前記第１接続装置のインターフェース、または前記不正パケット発信端末が属するセグメントを前記第１接続装置または当該セグメントの上位階層のセグメントに接続する第２接続装置のインターフェースを探索する探索ステップと、
   不正パケット発信端末が属するセグメント内で、前記不正パケット発信端末の数が予め設定した所定数の範囲にない場合に、前記不正パケット発信端末の属するセグメントが接続される第１接続装置または第２接続装置のインターフェースを遮断する制御ステップと、を実行させるネットワーク管理プログラム。

Images