JP6645998B2 - 対処指示装置、対処指示方法、対処指示プログラム - Google Patents

Description

本発明は、ネットワーク内での脅威の広がりを防止するための対処指示装置、対処指示方法、対処指示プログラムに関する。

従来技術として、特許文献１に示された技術が知られている。特許文献１の技術は、ネットワークを接続するルータ装置等に備えたフィルタ部にて攻撃ＩＰパケットを拒否する場合に、ルータ等内部の帯域資源、及びアクセス網の帯域資源の消費を防ぐことが可能なＤＤｏＳ防御方法及びルータ装置を提供することを目的にしている。そして、検出手段が攻撃ＩＰパケットを検出し、フィルタ情報生成手段がフィルタ情報を生成し、分配手段または折り返し分配手段がフィルタ情報を全フィルタに対して通知し、全てのフィルタ部が攻撃ＩＰパケットを一時的に遮断するようにしている。

特開２００５−３９７２１号公報

しかしながら、従来技術は、攻撃を検知した際に、検知したトラヒックを順番に攻撃ＩＰパケットの遮断に必要な手順を実施（以下、「対処」という）する方式である。この場合、攻撃の状態によっては、対処が攻撃の増加に追いつかなくなることがあるという課題がある。また、ネットワークの接続構成が動的に変化することを前提としていない。したがって、Ｖ２Ｖ（Vehicle-to-Vehicle：車車間通信）のような装置が移動する場合には適切に対応できない。

そこで、本発明は、ネットワークの接続構成が動的に変化する場合にも攻撃に対して先回りした対処を可能にすることを目的とする。

本発明では、パケットの送信元と送信先が移動可能な移動装置である。また、本発明の対処指示装置は、ネットワークのパケットを監視し、送信元と送信先を特定してセキュリティに対する脅威の程度を示す脅威レベルを出力する分析部を１つ以上備えたセキュリティエンジンと、ネットワークの制御を行うネットワーク制御装置と、移動装置の位置情報を提供する移動装置位置情報提供装置と接続される。本発明の対処指示装置は、脅威情報記録部、対処情報記録部、移動装置探索部、感染判断部、対処判断部、近接クラスタ化部、移動装置推定部、拡大近接クラスタ化部、対処送信部を備える。脅威情報記録部は、分析部からの出力にしたがって、脅威レベル、送信元、送信先、時刻を特定する情報である脅威情報を記録する。対処情報記録部は、対処方法を特定する情報である対処情報を複数記録する。移動装置探索部は、移動装置位置情報提供装置から提供される移動装置の位置情報を用いて、脅威情報の時刻から脅威情報で特定される送信元の移動装置をネットワークから切り離す対処情報を送信するまでの間に、脅威情報で特定される送信元の移動装置に所定範囲以内に近づいた移動装置を特定する。感染判断部は、移動装置探索部が特定した移動装置ごとに、感染した可能性を判定する。対処判断部は、感染判断部の判定に基づいて、対処情報を選択する。近接クラスタ化部は、対処判断部が選択した対処情報が特定する対処方法に必要な場合に、脅威情報で特定される送信元の移動装置と移動装置探索部が特定した移動装置を近接グループとする。移動装置推定部は、対処判断部が選択した対処情報が特定する対処方法に必要な場合に、移動装置位置情報提供装置から提供される移動装置の位置情報を用いて、近接グループに属する移動装置のいずれかに、所定時間以内に前記所定範囲以内に近づくと予測される移動装置を特定する。拡大近接クラスタ化部は、移動装置推定部が特定した移動装置と近接グループに属する移動装置とを拡大近接グループとする。対処送信部は、対処判断部が選択した対処情報をネットワーク制御装置に送信する。なお、対処判断部は、感染した可能性がある移動装置が多いほど、近接グループを対象とした対処情報または拡大近接グループを対象とした対処情報を選択する。

本発明の対処指示装置によれば、移動装置単体への対処では対処が攻撃の増加に追いつかなくなる場合でも、過去に接近した移動装置のグループである近接グループと、これから接近する移動装置も含めたグループである拡大近接グループを作り、対処を実行する。したがって、ネットワークの接続構成が動的に変化する場合でも、攻撃に対して先回りした対処ができる。

ネットワークの構成例を示す図。 本発明の対処指示装置を含む構成例を示す図。 本発明の処理フローの例を示す図。 移動装置が車両に搭載されている場合の車両の動きのイメージを示す図。

以下、本発明の実施の形態について、詳細に説明する。なお、同じ機能を有する構成部には同じ番号を付し、重複説明を省略する。

以下の説明では、ＫとＭは２以上の整数、ｋとｋ１とｋ２は１以上Ｋ以下の整数、ｍとｍ１とｍ２は１以上Ｍ以下の整数、Ｎは１以上の整数、ｎは１以上Ｎ以下の整数とする。図１にネットワークの構成例を示す。ネットワーク装置９３０−１，…，Ｋはネットワーク９５０を介して接続されている。ネットワーク装置９３０−ｋとしては、例えば、基地局、無線ルータ、ゲートウェイなどがあるが、ネットワークの状態を監視し、制御できる装置であれば、これらに限定する必要はない。移動装置９２０−１，…，Ｍは、位置に応じて、いずれかのネットワーク装置９３０−ｋに接続される。移動装置９２０−ｍとしては、通信機能を備えた車両、携帯端末などである。図１の例では、ある時点において、移動装置９２０−１はネットワーク装置９３０−２に接続され、移動装置９２０−２，９２０−３はネットワーク装置９３０−ｋ１に接続され、移動装置９２０−Ｍはネットワーク装置９３０−ｋ２に接続された状態であることを示している。

移動装置９２０−２がウィルスに感染し、他の装置に対して攻撃を始めた場合、従来技術では、ネットワーク装置９３０−ｋ１の内部に設置されたセキュリティエンジンまたはネットワーク装置９３０−ｋ１に接続されたセキュリティエンジンで脅威を検出し、移動装置９２０−２をネットワーク９５０から切り離す（通信できない状態にする）などの対処を行う。しかし、脅威の広がりが非常に速い場合には、脅威を検出した後に切り離すだけでは脅威の広がり（感染の広がり）を止めることができない。

本発明では、まだ脅威の対象となっていない移動装置に対してもネットワーク９５０から切り離すなどの対処を行う。そのときに、移動装置９２０−１，…，Ｍ同士の近接性（過去または将来に所定範囲以内に近づくか）を考慮したクラスタ化（グループの作成）を行い、脅威に対する対処を行う対象を特定する。

図２に本発明の対処指示装置を含む構成例を、図３に処理フローの例を、図４に移動装置が車両に搭載されている場合の車両の動きのイメージを示す。ネットワーク装置９３０−ｋ内にはスイッチ９３１が備えられ、ミラーリングパケットがセキュリティエンジン２００に入力される。セキュリティエンジン２００は、すべてのネットワーク装置９３０−１，…，Ｍに対して１つ存在してもよいし、ネットワーク装置９３０−ｋごとに存在してもよいし、何個かのネットワーク装置９３０−ｍ１，…，ｍ２ごとに存在してもよい。セキュリティエンジン２００には、分析部２１０−１，…，Ｎが備えられている。分析部２１０−ｎは、ネットワーク９５０のパケットを監視し、脅威を分析するための分析アルゴリズムにしたがって機能し、送信元と送信先を特定してセキュリティに対する脅威の程度を示す脅威レベルを出力し（Ｓ２１０）、脅威レベル、送信元、送信先、時刻を特定する情報である脅威情報を対処指示装置１００に送信する（Ｓ２２０）。分析アルゴリズムには、いくつかの種類があり、攻撃の種類によって適した分析アルゴリズムが存在するので、Ｎ個の分析部２１０−１，…，Ｎを備えればよい。

本発明では、上述のとおり、パケットの送信元と送信先が移動可能な移動装置９２０−１，…，Ｍである。対処指示装置１００は、セキュリティエンジン２００と、ネットワーク９５０の制御を行うネットワーク制御装置３００と、移動装置９２０−１，…，Ｍの位置情報を提供する移動装置位置情報提供装置４００と接続される。ネットワーク制御装置３００は、ネットワーク装置９３０−１，…，Ｋなどに接続され、脅威に対する対処として、移動装置９２０−ｍをネットワーク９５０から切り離したり、ＩＰアドレスを変更したりする。

対処指示装置１００は、脅威情報記録部１９１、対処情報記録部１９３、移動装置探索部１３０、感染判断部１５０、対処判断部１１０、近接クラスタ化部１６０、移動装置推定部１４０、拡大近接クラスタ化部１７０、対処送信部１２０を備える。脅威情報記録部１９１は、分析部２１０−１，…，Ｎからの出力にしたがって、脅威レベル、送信元、送信先、時刻を特定する情報である脅威情報を記録する。また、脅威がなくなった場合には脅威情報を削除するなどの脅威情報の更新を行う（Ｓ１９１）。

対処情報記録部１９３は、対処方法を特定する情報である対処情報を複数記録する。対処方法としては、例えば、対象となる移動装置の範囲を定めて、移動装置９２０−ｍをネットワーク９５０から切り離す方法、ＩＰアドレスを変更する方法などがある。ただし、これらに限定する必要はない。

移動装置探索部１３０は、脅威情報記録部１９１に脅威情報が存在する場合、移動装置位置情報提供装置４００から提供される移動装置９２０−１，…，Ｍの位置情報を用いて、脅威情報ごとに、その脅威情報に示されている時刻からその脅威情報で特定される送信元の移動装置９２０−ｍ１をネットワークから切り離す対処情報を送信するまでの間に、脅威情報で特定される送信元の移動装置９２０−ｍ１に所定範囲以内に近づいた移動装置９２０−ｍ２を特定する（Ｓ１３０，Ｓ４１０）。「所定範囲」とは攻撃を受けやすいほど近い範囲を意味しており、例えば、同じネットワーク装置９３０−ｋに接続される範囲を所定範囲としてもよいし、直線距離で何ｍ以内を所定範囲としてもよい。所定範囲の定め方によって、移動装置位置情報提供装置４００が提供する位置情報も異なる。例えば、同じ基地局に接続されたことを所定範囲とする場合には、位置情報として、いつどの基地局と接続されていたかが位置情報である。また、直線距離で所定範囲を定めるのであれば、緯度、経度などを位置情報にすればよい。

感染判断部１５０は、移動装置探索部１３０が特定した移動装置９２０−ｍ２ごとに、感染した可能性を判定する（Ｓ１５０）。つまり、脅威情報で特定される送信元の移動装置９２０−ｍ１の所定範囲以内に近づいた移動装置９２０−ｍ２ごとに、感染した可能性を判定する。例えば、移動装置９２０−ｍ１を送信元とする脅威情報の脅威レベルと、その脅威情報で特定される送信先から、移動装置９２０−ｍ２が感染した可能性を判定すればよい。また、移動装置９２０−ｍ１を送信元とする脅威情報よりも遅い時刻の、移動装置９２０−ｍ２を送信元とする脅威情報が見つかった場合には、感染した可能性があると判断してもよい。

対処判断部１１０は、感染判断部の判定に基づいて、対処情報を選択する（Ｓ１１０）。選択する対処情報は１つ以上でもよい。なお、対処判断部１１０は、感染した可能性がある移動装置が多いほど、後述する近接グループを対象とした対処情報または拡大近接グループを対象とした対処情報を選択する。脅威情報の脅威レベルが低い場合など、感染する可能性が低いときには、対処判断部１１０は、脅威情報で特定される送信元の移動装置９２０−ｍ１に対してだけネットワークから切り離すなどの対処を行えばよい。一方、感染した可能性がある移動装置が多い場合は、先回りした対処が必要になる。後述する「近接グループ」は脅威の送信元である移動装置９２０−ｍ１と、移動装置９２０−ｍ１に過去から現在までに所定範囲以内に接近した移動装置９２０−ｍ２のグループである。「拡大近接グループ」は近接グループに、将来、近接グループの移動装置９２０−ｍ１，ｍ２に接近すると予測される移動装置９２０−ｍも加えたグループである。例えば、現在から移動装置をネットワークから切り離す対処情報をネットワーク装置９３０−１，…，Ｋに送信するまでの間に近接グループの移動装置９２０−ｍ１，ｍ２に接近すると予測される移動装置９２０−ｍも含めた拡大近接グループを作成し、その拡大近接グループの移動装置をネットワークから切り離す対処情報を送信すればよい。このように対処することで、ネットワークの接続構成が動的に変化する場合にも攻撃に対して先回りした対処が可能となる。ここまでの先回りが必要ない場合には、近接グループの移動装置９２０−ｍ１，ｍ２をネットワークから切り離す対処情報を送り、拡大近接グループの他の移動装置９２０−ｍには、近接グループに属する移動装置９２０−ｍ１，ｍ２を特定する情報をブラックリストとして送信してもよい。

近接クラスタ化部１６０は、対処判断部１１０が選択した対処情報が特定する対処方法に必要な場合に、脅威情報で特定される送信元の移動装置９２０−ｍ１と移動装置探索部１３０が特定した移動装置９２０−ｍ２を近接グループとする（Ｓ１６０）。

移動装置推定部１４０は、対処判断部１１０が選択した対処情報が特定する対処方法に必要な場合に、移動装置位置情報提供装置４００から提供される移動装置９２０−１，…，Ｍの位置情報を用いて、近接グループに属する移動装置９２０−ｍ１，ｍ２のいずれかに、所定時間以内に所定範囲以内に近づくと予測される移動装置を特定する（Ｓ１４０，Ｓ４２０）。拡大近接クラスタ化部１７０は、移動装置推定部が特定した移動装置と近接グループに属する移動装置とを拡大近接グループとする（Ｓ１７０）。「所定時間」とは、例えば、現在から移動装置をネットワークから切り離す対処情報をネットワーク装置９３０−１，…，Ｋに送信するまでの間の平均値または最大値のように決めればよい。「所定範囲」は、移動装置探索部１３０の説明と同じである。この予測では、移動装置９２０−ｍ１，ｍ２の速度を考慮する必要がある。速度は、過去の位置と現在の位置の違いから求めてもよいし、移動装置位置情報提供装置４００から速度情報も受け取ってもよい。

図４の移動装置９２０−１を脅威の送信元とし、移動装置９２０−２を移動装置９２０−１に所定範囲以内に近づいた移動装置とする。この場合、移動装置９２０−１，２が近接グループに属す。移動装置９２０−１の速度と移動装置９２０−４の速度から、移動装置９２０−１をネットワークから切り離す前に移動装置９２０−４が所定範囲以内に近づくときは、移動装置９２０−４は拡大近接グループに属すことになる。また、移動装置９２０−２の速度と移動装置９２０−５の速度から、移動装置９２０−２をネットワークから切り離す前に移動装置９２０−５が所定範囲以内に近づくときは、移動装置９２０−５も拡大近接グループに属すことになる。なお、図４の点線で示された範囲６１０，６２０，６３０，６４０は、移動装置が同一の基地局に接続されるときを所定範囲以内とする場合の所定範囲の例を示している。

対処送信部１２０は、対処判断部１１０が選択した対処情報をネットワーク制御装置３００−１，…，Ｋに送信する（Ｓ１２０）。ネットワーク制御装置３００は、ネットワーク装置９３０−１，…，Ｋに接続されている。ネットワーク制御装置３００は、１つ以上の対処情報を受け取る。複数の対処情報を受け取ったときは、ネットワーク制御装置３００が、ネットワーク装置９３０−ｋごとに、いずれかの対処情報を選択し（Ｓ３１０）、選択した対処情報にしたがってネットワークの制御を行う（Ｓ３２０）。配置場所や機能などから、ネットワーク装置９３０−ｋごとに実行可能な対処方法が異なると考えられる。そこで、例えば、ネットワーク制御装置３００は、複数の対処情報の中から、対処情報を送るネットワーク装置９３０−ｋが実行可能な対処情報を選択すればよい。このようにすれば、対処指示装置１００は、ネットワーク装置９３０−ｋごとの配置場所や機能を考慮することなく、対処情報を選択できる。

対処指示装置１００、セキュリティエンジン２００、ネットワーク制御装置３００、移動装置位置情報提供装置４００は、ステップＳ２１０〜Ｓ３２０までの処理を繰り返す。

対処指示装置１００によれば、移動装置９２０−ｍ１単体への対処では対処が攻撃の増加に追いつかなる場合でも、過去に接近した移動装置のグループである近接グループと、これから接近する移動装置も含めたグループである拡大近接グループを作り、対処を実行する。したがって、ネットワークの接続構成が動的に変化する場合でも、攻撃に対して先回りした対処ができる。

［プログラム、記録媒体］
上述の各種の処理は、記載に従って時系列に実行されるのみならず、処理を実行する装置の処理能力あるいは必要に応じて並列的にあるいは個別に実行されてもよい。その他、本発明の趣旨を逸脱しない範囲で適宜変更が可能であることはいうまでもない。

また、上述の構成をコンピュータによって実現する場合、各装置が有すべき機能の処理内容はプログラムによって記述される。そして、このプログラムをコンピュータで実行することにより、上記処理機能がコンピュータ上で実現される。

この処理内容を記述したプログラムは、コンピュータで読み取り可能な記録媒体に記録しておくことができる。コンピュータで読み取り可能な記録媒体としては、例えば、磁気記録装置、光ディスク、光磁気記録媒体、半導体メモリ等どのようなものでもよい。

また、このプログラムの流通は、例えば、そのプログラムを記録したＤＶＤ、ＣＤ−ＲＯＭ等の可搬型記録媒体を販売、譲渡、貸与等することによって行う。さらに、このプログラムをサーバコンピュータの記憶装置に格納しておき、ネットワークを介して、サーバコンピュータから他のコンピュータにそのプログラムを転送することにより、このプログラムを流通させる構成としてもよい。

このようなプログラムを実行するコンピュータは、例えば、まず、可搬型記録媒体に記録されたプログラムもしくはサーバコンピュータから転送されたプログラムを、一旦、自己の記憶装置に格納する。そして、処理の実行時、このコンピュータは、自己の記録媒体に格納されたプログラムを読み取り、読み取ったプログラムに従った処理を実行する。また、このプログラムの別の実行形態として、コンピュータが可搬型記録媒体から直接プログラムを読み取り、そのプログラムに従った処理を実行することとしてもよく、さらに、このコンピュータにサーバコンピュータからプログラムが転送されるたびに、逐次、受け取ったプログラムに従った処理を実行することとしてもよい。また、サーバコンピュータから、このコンピュータへのプログラムの転送は行わず、その実行指示と結果取得のみによって処理機能を実現する、いわゆるＡＳＰ（Application Service Provider）型のサービスによって、上述の処理を実行する構成としてもよい。なお、本形態におけるプログラムには、電子計算機による処理の用に供する情報であってプログラムに準ずるもの（コンピュータに対する直接の指令ではないがコンピュータの処理を規定する性質を有するデータ等）を含むものとする。

また、この形態では、コンピュータ上で所定のプログラムを実行させることにより、本装置を構成することとしたが、これらの処理内容の少なくとも一部をハードウェア的に実現することとしてもよい。

１００ 対処指示装置 １１０ 対処判断部
１２０ 対処送信部 １３０ 移動装置探索部
１４０ 移動装置推定部 １５０ 感染判断部
１６０ 近接クラスタ化部 １７０ 拡大近接クラスタ化部
１９１ 脅威情報記録部 １９３ 対処情報記録部
２００ セキュリティエンジン ２１０ 分析部
３００ ネットワーク制御装置 ４００ 移動装置位置情報提供装置
９２０ 移動装置 ９３０ ネットワーク装置
９３１ スイッチ ９５０ ネットワーク

Claims (7)

1. ネットワークのパケットを監視し、送信元と送信先を特定してセキュリティに対する脅威の程度を示す脅威レベルを出力する分析部を１つ以上備えたセキュリティエンジンと、前記ネットワークの制御を行うネットワーク制御装置と、移動装置の位置情報を提供する移動装置位置情報提供装置と接続される対処指示装置であって、
   前記パケットの送信元と送信先が移動可能な移動装置であり、
   前記分析部からの出力にしたがって、脅威レベル、送信元、送信先、時刻を特定する情報である脅威情報を記録する脅威情報記録部と、
   対処方法を特定する情報である対処情報を複数記録する対処情報記録部と、
   前記移動装置位置情報提供装置から提供される移動装置の位置情報を用いて、脅威情報の時刻から前記脅威情報で特定される送信元の移動装置を前記ネットワークから切り離す対処情報を送信するまでの間に、前記脅威情報で特定される送信元の移動装置に所定範囲以内に近づいた移動装置を特定する移動装置探索部と、
   前記移動装置探索部が特定した移動装置ごとに、感染した可能性を判定する感染判断部と、
   前記感染判断部の判定に基づいて、対処情報を選択する対処判断部と、
   前記対処判断部が選択した対処情報が特定する対処方法に必要な場合に、前記脅威情報で特定される送信元の移動装置と前記移動装置探索部が特定した移動装置を近接グループとする近接クラスタ化部と、
   前記対処判断部が選択した対処情報が特定する対処方法に必要な場合に、前記移動装置位置情報提供装置から提供される移動装置の位置情報を用いて、前記近接グループに属する移動装置のいずれかに、所定時間以内に前記所定範囲以内に近づくと予測される移動装置を特定する移動装置推定部と、
   前記移動装置推定部が特定した移動装置と前記近接グループに属する移動装置とを拡大近接グループとする拡大近接クラスタ化部と、
   前記対処判断部が選択した前記対処情報を前記ネットワーク制御装置に送信する対処送信部と
   を備え、
   前記対処判断部は、前記感染判断部が判定した感染した可能性がある移動装置が多いほど、前記近接グループを対象とした対処情報または前記拡大近接グループを対象とした対処情報を選択する
   対処指示装置。
2. 請求項１記載の対処指示装置であって、
   前記対処判断部は、前記対処情報を１つ以上選択し、
   前記対処送信部は、１つ以上の前記対処情報を前記ネットワーク制御装置に送信する
   ことを特徴とする対処指示装置。
3. 請求項１または２記載の対処指示装置であって、
   前記対処情報記録部が記録する対処情報の中には、前記近接グループに属する移動装置を特定する情報をブラックリストとして、前記移動装置推定部が特定した移動装置に対して送信する対処情報が含まれている
   ことを特徴とする対処指示装置。
4. ネットワークのパケットを監視し、送信元と送信先を特定してセキュリティに対する脅威の程度を示す脅威レベルを出力する分析部を１つ以上備えたセキュリティエンジンと、前記ネットワークの制御を行うネットワーク制御装置と、移動装置の位置情報を提供する移動装置位置情報提供装置と接続される対処指示装置を用いた対処指示方法であって、
   前記パケットの送信元と送信先が移動可能な移動装置であり、
   対処指示装置は、脅威情報記録部、対処情報記録部、移動装置探索部、感染判断部、対処判断部、近接クラスタ化部、移動装置推定部、拡大近接クラスタ化部、対処送信部を備え、
   前記脅威情報記録部が、前記分析部からの出力にしたがって、脅威レベル、送信元、送信先、時刻を特定する情報である脅威情報を記録し、
   前記対処情報記録部が、対処方法を特定する情報である対処情報を複数記録し、
   前記移動装置探索部が、前記移動装置位置情報提供装置から提供される移動装置の位置情報を用いて、脅威情報の時刻から前記脅威情報で特定される送信元の移動装置を前記ネットワークから切り離す対処情報を送信するまでの間に、前記脅威情報で特定される送信元の移動装置に所定範囲以内に近づいた移動装置を特定する移動装置探索ステップと、
   前記感染判断部が、前記移動装置探索部が特定した移動装置ごとに、感染した可能性を判定する感染判断ステップと、
   前記対処判断部が、前記感染判断ステップの判定に基づいて、対処情報を選択する対処判断ステップと、
   前記近接クラスタ化部が、前記対処判断ステップが選択した対処情報が特定する対処方法に必要な場合に、前記脅威情報で特定される送信元の移動装置と前記移動装置探索ステップが特定した移動装置を近接グループとする近接クラスタ化ステップと、
   前記移動装置推定部が、前記対処判断ステップが選択した対処情報が特定する対処方法に必要な場合に、前記移動装置位置情報提供装置から提供される移動装置の位置情報を用いて、前記近接グループに属する移動装置のいずれかに、所定時間以内に前記所定範囲以内に近づくと予測される移動装置を特定する移動装置推定ステップと、
   前記拡大近接クラスタ化部が、前記移動装置推定ステップが特定した移動装置と前記近接グループに属する移動装置とを拡大近接グループとする拡大近接クラスタ化ステップと、
   前記対処送信部が、前記対処判断ステップが選択した前記対処情報を前記ネットワーク制御装置に送信する対処送信ステップと
   を実行し、
   前記対処判断ステップは、前記感染判断ステップで判定した感染した可能性がある移動装置が多いほど、前記近接グループを対象とした対処情報または前記拡大近接グループを対象とした対処情報を選択する
   対処指示方法。
5. 請求項４記載の対処指示方法であって、
   前記対処判断ステップは、前記対処情報を１つ以上選択し、
   前記対処送信ステップは、１つ以上の前記対処情報を前記ネットワーク制御装置に送信する
   ことを特徴とする対処指示方法。
6. 請求項４または５記載の対処指示方法であって、
   前記対処情報記録部が記録する対処情報の中には、前記近接グループに属する移動装置を特定する情報をブラックリストとして、前記移動装置推定ステップが特定した移動装置に対して送信する対処情報が含まれている
   ことを特徴とする対処指示方法。
7. 請求項１から３のいずれかに記載の対処指示装置として、コンピュータを機能させるための対処指示プログラム。

Images