(57)【要約】【課題】  利便性とセキュリティ性を高める。【解決手段】  複数の通信装置を含むネットワーク内で、各通信装置のセキュリティ性を高める通信システムにおいて、前記ネットワーク内のいずれかの通信装置が、不正アクセスの機能を持つ不正機能部を動作させるか、または当該不正機能部が存在している不正機能通信装置であることを検知して検知信号を送信する不正機能検知部と、当該不正機能検知部が検知信号を送信すると、前記不正機能通信装置を隔離して、強制的に他の通信装置と通信不能な状態にさせる隔離実行部と、前記不正機能検知部が検知信号を送信すると、検知信号が送信されたことを示す警告信号を他の通信装置に送信して警戒を促す警戒促進部とを備える。【選択図】  図１
2006165877.tif 000002
【特許請求の範囲】
【請求項１】
複数の通信装置を含むネットワーク内で、各通信装置のセキュリティ性を高める通信システムにおいて、
前記ネットワーク内のいずれかの通信装置が、不正アクセスの機能を持つ不正機能部を動作させるか、または当該不正機能部が存在している不正機能通信装置であることを検知して検知信号を送信する不正機能検知部と、
当該不正機能検知部が検知信号を送信すると、前記不正機能通信装置を隔離して、強制的に他の通信装置と通信不能な状態にさせる隔離実行部と、
前記不正機能検知部が検知信号を送信すると、検知信号が送信されたことを示す警告信号を他の通信装置に送信して警戒を促す警戒促進部とを備えたことを特徴とする通信システム。
【請求項２】
請求項１の通信システムにおいて、
前記不正機能部が不正プログラムである場合、前記隔離後の不正機能通信装置と通信することにより少なくとも、当該不正プログラムが前記不正機能通信装置上で実行されない状態にする復旧用通信装置を備えたことを特徴とする通信システム。
【請求項３】
請求項２の通信システムにおいて、
レイヤ２で中継処理を行いＶＬＡＮ機能を持つ１または複数のレイヤ２中継装置と、
レイヤ３で中継処理を行う１または複数のレイヤ３中継装置とを備え、当該レイヤ３中継装置の少なくとも１つが、前記復旧用通信装置と、前記不正機能通信装置と、前記不正機能通信装置以外の通信装置の３者間に介在し、しかも、前記不正機能通信装置とレイヤ３中継装置のあいだには、前記レイヤ２中継装置が介在する場合、
当該レイヤ２中継装置は、当該レイヤ３中継装置に接続されたポートであるコピー元ポートから中継のために送出されるパケットのコピーであるコピーパケットを所定のコピー先ポートからも送出し、
当該コピー先ポートには、前記不正機能検知部が接続され、
前記隔離実行部は、当該不正機能検知部から前記検知信号を受け取った場合、当該レイヤ２中継装置がレイヤ２で中継処理を行うために搭載しているレイヤ２アドレステーブルの内容を書き換えてＶＬＡＮの設定を変更することによって、前記隔離を実行し、
前記レイヤ３中継装置の前記コピー元ポートに接続された１つの物理ポートには、複数の論理ポートが設定されており、そのうち１つの論理ポートは前記隔離が行われていないときに不正機能通信装置が他の通信装置と通信するために用いられ、別な１つの論理ポートは、前記隔離時に、前記不正機能通信装置が、前記復旧用通信装置と通信するために用いられることを特徴とする通信システム。
【請求項４】
請求項１の通信システムにおいて、
前記警戒促進部は、
隔離されている前記不正機能通信装置に対し、当該不正機能通信装置について前記検知信号が送信されたことを示す自己警告信号を送信することを特徴とする通信システム。
【請求項５】
複数の通信装置を含むネットワーク内で、各通信装置のセキュリティ性を高める通信方法において、
不正機能検知部が、前記ネットワーク内のいずれかの通信装置が、不正アクセスの機能を持つ不正機能部を動作させるか、または当該不正機能部が存在している不正機能通信装置であることを検知して検知信号を送信し、
当該不正機能検知部が検知信号を送信すると、隔離実行部が、前記不正機能通信装置を隔離して、強制的に他の通信装置と通信不能な状態にさせ、
前記不正機能検知部が検知信号を送信すると、警戒促進部が、検知信号が送信されたことを示す警告信号を他の通信装置に送信して警戒を促すことを特徴とする通信方法。
【請求項６】
複数の通信装置を含むネットワーク内で、各通信装置のセキュリティ性を高める通信プログラムにおいて、コンピュータに、
前記ネットワーク内のいずれかの通信装置が、不正アクセスの機能を持つ不正機能部を動作させるか、または当該不正機能部が存在している不正機能通信装置であることを検知して検知信号を送信する不正機能検知機能と、
当該不正機能検知機能検知信号を送信すると、前記不正機能通信装置を隔離して、強制的に他の通信装置と通信不能な状態にさせる隔離実行機能と、
前記不正機能検知機能が検知信号を送信すると、検知信号が送信されたことを示す警告信号を他の通信装置に送信して警戒を促す警戒促進機能とを実現させたことを特徴とする通信プログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は通信システム、通信方法および通信プログラムに関し、例えば、ＬＡＮ内においてワーム等に感染したコンピュータを隔離する場合などに適用して好適なものである。
【背景技術】
【０００２】
従来のセキュリティに関連する技術として、下記の特許文献１，２に記載されたものがある。
【０００３】
特許文献１の技術は、１台のファイアウオール装置に複数のファイアウオール機能部を搭載し、ユーザ網の組み合わせごとに異なるファイアウオール機能部を提供することにより、多数のユーザ網間の処理を１台のファイアウオール装置で実行するように構成する。これによって必要なファイアウオール装置の数が少なくなるため、ファイアウオール装置に関する装置コストの低減と、管理の省力化をはかることができる。
【０００４】
また、特許文献２の技術は、ＬＡＮ内の中継装置であるスイッチに、不正パケットを検出する機能を搭載したものである。これにより、ＬＡＮ内のコンピュータ間でやり取りされるパケットや、ＬＡＮ内のコンピュータとＷＡＮ側のコンピュータとのあいだでやり取りされるパケットは、当該スイッチで中継される際に不正パケットであるか否かが検査され、不正パケットは破棄されるため、コンピュータウイルス等が送信する不正パケットにより、ＬＡＮ内で感染が拡大したり、感染範囲がＬＡＮ内からＷＡＮ側へ広がったりすることを防止することができる。
【特許文献１】特開２００１−３０６４２１号公報
【特許文献２】特開２００３−３４８１１３号公報
【発明の開示】
【発明が解決しようとする課題】
【０００５】
ところで、上述した特許文献１の技術では、個々の前記ファイアウオール機能部がパケットを遮断するためのルール（遮断ルール）などを動的に変更することができないため、利便性に欠ける面がある。
【０００６】
例えば、コンピュータウイルス（狭義のウイルス、ワーム、トロイの木馬などを含む）に感染したコンピュータ上から当該コンピュータウイルスを駆除する場合などによく利用されるパターンマッチング方式のワクチンソフトを用いようとすると、そのコンピュータに搭載されているウイルス定義ファイルを更新したり、そのコンピュータにワクチンソフト自体が搭載されていない場合にはワクチンソフトをインストールすること等が必要になるが、そのためには、感染している当該コンピュータが、ウイルス定義ファイルやワクチンソフトの提供元のサーバ（提供元サーバ）と通信することを許可しなければならない。
【０００７】
しかしながら、前記遮断ルールが固定されていると、そのような許可を実現するには、逐一、管理者が、遮断ルールの設定を変更するための作業を行うこと等が必要となり、管理負担がかえって増大し、利便性が低い。あるいは、コンピュータウイルスに感染していない別なコンピュータで前記提供元サーバにアクセスしてウイルス定義ファイルやワクチンソフトをダウンロードし、そのファイルを、フロッピー（登録商標）ディスクやＣＤなどの外部記憶媒体に記憶させた上で、当該外部記憶媒体を、感染しているコンピュータの外部記憶装置に挿入して、感染しているコンピュータに読み込ませること等も可能であるが、この場合にも、そのための作業に、時間や手間がかかり、利便性が低い。
【０００８】
一方、前記特許文献２の技術では、すでにコンピュータウイルス等に感染しているコンピュータ（例えば、ノート型パソコンなど）がＬＡＮ内に持ち込まれて前記スイッチに接続され、ウイルスパターンを含むパケットを送信した場合、スイッチは、ポートを遮断するか、パケットを廃棄するか、所定のコンピュータに対しウイルス検出の通知を行うことになる。ポートを遮断すればウイルスパターン（自己の複製）を含むパケットがスイッチで中継されないため、コンピュータウイルスの感染の拡大を防止でき、それ以降に発生し得るウイルス被害の拡大も防止できるが、ポートを遮断してしまうと、コンピュータウイルス等に感染したコンピュータは前記提供元サーバとの通信を行うこともできなくなる可能性があり、利便性が低い。
【０００９】
また、ウイルスパターンを含むパケットをスイッチで廃棄するだけでは、コンピュータウイルスの感染拡大は防げたとしてもウイルス被害の拡大は必ずしも防ぐことはできず、セキュリティ性が十分に高いとはいえない。コンピュータウイルス等が感染したコンピュータに送信させるパケットは、必ずしも前記ウイルスパターンを含むパケットだけではないし、ウイルスパターンを含まないパケットによっても被害が発生することがあるからである。
【００１０】
さらに、所定のコンピュータに対しウイルスの検出の通知を行うだけでは、感染の拡大を防止することもできず、被害の拡大を防止することもできないので、セキュリティ性が十分に高いとはいえない。
【課題を解決するための手段】
【００１１】
かかる課題を解決するために、第１の本発明では、複数の通信装置を含むネットワーク内で、各通信装置のセキュリティ性を高める通信システムにおいて、（１）前記ネットワーク内のいずれかの通信装置が、不正アクセスの機能を持つ不正機能部を動作させるか、または当該不正機能部が存在している不正機能通信装置であることを検知して検知信号を送信する不正機能検知部と、（２）当該不正機能検知部が検知信号を送信すると、前記不正機能通信装置を隔離して、強制的に他の通信装置と通信不能な状態にさせる隔離実行部と、（３）前記不正機能検知部が検知信号を送信すると、検知信号が送信されたことを示す警告信号を他の通信装置に送信して警戒を促す警戒促進部とを備えたことを特徴とする。
【００１２】
また、第２の本発明では、 複数の通信装置を含むネットワーク内で、各通信装置のセキュリティ性を高める通信方法において、（１）不正機能検知部が、前記ネットワーク内のいずれかの通信装置が、不正アクセスの機能を持つ不正機能部を動作させるか、または当該不正機能部が存在している不正機能通信装置であることを検知して検知信号を送信し、（２）当該不正機能検知部が検知信号を送信すると、隔離実行部が、前記不正機能通信装置を隔離して、強制的に他の通信装置と通信不能な状態にさせ、（３）前記不正機能検知部が検知信号を送信すると、警戒促進部が、検知信号が送信されたことを示す警告信号を他の通信装置に送信して警戒を促すことを特徴とする。
【００１３】
さらに、第３の本発明では、複数の通信装置を含むネットワーク内で、各通信装置のセキュリティ性を高める通信プログラムにおいて、コンピュータに、（１）前記ネットワーク内のいずれかの通信装置が、不正アクセスの機能を持つ不正機能部を動作させるか、または当該不正機能部が存在している不正機能通信装置であることを検知して検知信号を送信する不正機能検知機能と、（２）当該不正機能検知機能検知信号を送信すると、前記不正機能通信装置を隔離して、強制的に他の通信装置と通信不能な状態にさせる隔離実行機能と、（３）前記不正機能検知機能が検知信号を送信すると、検知信号が送信されたことを示す警告信号を他の通信装置に送信して警戒を促す警戒促進機能とを実現させたことを特徴とする。
【発明の効果】
【００１４】
本発明によれば、利便性とセキュリティ性を高めることができる。
【発明を実施するための最良の形態】
【００１５】
（Ａ）実施形態
以下、本発明にかかる通信システム、通信方法および通信プログラムを、ＶＬＡＮ機能を持つレイヤ２スイッチを含むセキュリティシステムに適用した場合を例に、実施形態について説明する。
【００１６】
（Ａ−１）実施形態の構成
本実施形態にかかるセキュリティシステム１０の全体構成例を図２に示す。なお、当該セキュリティシステム１０中に、図示しないサーバ類（例えば、ＤＮＳサーバやＤＨＣＰサーバなど）が存在していてもよいことは当然である。
【００１７】
図２において、当該セキュリティシステム１０は、ルータ１４と、ネットワーク１１〜１３を備えている。
【００１８】
これらのネットワーク１１〜１３はルータ１４によって区切られたサブネット（レイヤ３セグメント）にあたる。
【００１９】
ネットワーク１１上には、レイヤ２スイッチ１５と、隔離通知サーバ１６と、通信端末１８，１９とが配置され、ネットワーク１２上には復旧サーバ１７が配置され、ネットワーク（中継ネットワーク）１３上には通信端末２０が配置されている。通信端末２０はどのような通信端末であってもかまわないが、一例としてＷｅｂサーバであってもよい。
【００２０】
復旧サーバ１７は、コンピュータウイルスに感染した通信端末（例えば、１９）が、そのコンピュータウイルスの駆除などを行うために必要なプログラム（例えば、ウイルス対策ソフトなど）やデータ（例えば、ウイルス定義ファイルなど）を蓄積したサーバである。新種のコンピュータウイルスに対応する新しいウイルス定義ファイルは、復旧サーバ１７からダウンロードすることによって、通信端末１９上に提供される。
【００２１】
ルータ１４は通常のルータであり、レイヤ３（すなわち、ＯＳＩ参照モデルのネットワーク層）でパケットの中継を行う。ただし、当該ルータ１４は、レイヤ２スイッチ１５に接続された１つの物理ポートに対し、論理的に２つのポート（１０．１０．１０．１／２４と１０．１０．３０．１／２４）を設定している。その１つである１０．１０．１０．１／２４は、デフォルトゲートウエイに当たる正規ＮＨＲ（ネクストホップルータ）として機能し、もう１つである１０．１０．３０．１／２４のほうは、感染した通信端末（例えば、１９）を隔離したときに機能する。
【００２２】
１つのルータ１４には、前記レイヤ２スイッチ１５と同様なレイヤ２スイッチが複数収容されていてもよい。その場合、隔離通知サーバ１６と同様な隔離通知サーバは、レイヤ２スイッチごとに配置されるが、復旧サーバ１７は、セキュリティシステム１０全体で１つ有れば足りるため、機能を節約することができる。
【００２３】
ネットワーク１１上には、図示しないリピータ型のハブが存在していてもかまわないことは当然である。また、ネットワーク１１〜１３の物理的な伝送路は、有線伝送路であってもよく、無線伝送路であってもよい。
【００２４】
通信端末１８，１９は、サーバとして用いられるものであってもよいが、以下の説明では、主として、クライアントとして用いられるケースを想定する。通信端末１８，１９は具体的には例えばパソコンであってよい。通信端末１８はユーザＵ１によって利用され、通信端末１９はユーザＵ２によって利用される。以下の説明では、主として、当該通信端末１９がコンピュータウイルスに感染したケースを想定する。ここで、コンピュータウイルスには、狭義のウイルスだけでなく、ワームやトロイの木馬なども含まれるものとする。また、当該通信端末１９が送信するパケットは、それが不正アクセスに使用されるものであるか否かにかかわらず、ＰＫ９とする。
【００２５】
ＯＳＩ参照モデルのネットワーク層の通信プロトコルには様々なものがあり得るが、ここでは、ＩＰプロトコルを想定するので、当該パケットＰＫ９はＩＰパケットとなる。また、ＯＳＩ参照モデルのデータリンク層の通信プロトコルにも様々なものがあり得るが、ここでは、ＩＥＥＥ８０２．３などを想定し、ＭＡＣフレームを用いるものとする。この場合、ＩＰパケットであるパケットＰＫ９は、ＭＡＣフレームに収容された状態でレイヤ２スイッチ１５で中継され、該当するポートから送出されることになる。そして、ネットワーク１１外への転送が必要な場合にはルータ１４の前記正規ＮＨＲへ供給される。
【００２６】
前記レイヤ２スイッチ１５は通常のレイヤ２スイッチであり、レイヤ２（すなわち、ＯＳＩ参照モデルのデータリンク層）でパケット（フレーム）の中継を行う。なお、「パケット」の語は、狭義には、ネットワーク層のプロトコルデータ単位（ＰＤＵ）として用いられるが、広義では、データリンク層やトランスポート層などのプロトコルデータ単位としても用いられる。以下の説明では特に必要な場合を除き、ＩＰパケットを収容した状態のＭＡＣフレームと、ＩＰパケットを区別せずに、単にパケットと記述する。
【００２７】
当該レイヤ２スイッチ１５は、前記ルータ１４に接続された物理ポート１５ＡからパケットＰＫ９を送出するとき、パケットＰＫ９のコピーを物理ポート１５Ｂからも送出する機能を持つ。このとき、物理ポート１５Ａをミラー元ポート、物理ポート１５Ｂをミラー先ポートと呼ぶ。ミラー元ポート１５Ａから送出されるパケットＰＫ９は本来の宛先（例えば、２０）まで届けられ、ミラー先ポート１５Ｂから送出されるパケットＰＫ９は、隔離通知サーバ１６へ届けられ、隔離通知サーバ１６で不正アクセスに関係するものでないか否かが検査される。ミラー先ポート１５Ｂから送出されるパケットＰＫ９は、ミラー元ポート１５Ａから送出されるものと同じ内容であるから、この検査は、パケットＰＫ９の本来の宛先であるノードに対し、不正アクセスが行われていないかを調べていることになる。
【００２８】
なお、同じ内容のパケットＰＫ９を２つの物理ポート（前記ミラー元ポート１５Ａとミラー先ポート１５Ｂに対応）から送出することができれば、そのためにレイヤ２スイッチ１５の内部で実行される処理はどのようなものであってもかまわない。また、レイヤ２スイッチ１５自体が２つの物理ポートから同じ内容のパケットを送出する機能を持たなくても同様な構成を取ることができる場合がある。例えば、レイヤ２スイッチ１５とルータ１４のあいだの伝送路上にリピータ型のハブを配置し、そのハブが持つ複数のポートのうち１つから送出されるパケットＰＫ９をルータ１４に供給し、他の１つから送出されるパケットＰＫ９を隔離通知サーバ１６に供給するケースなどがこれに該当する。
【００２９】
レイヤ２スイッチ１５が持つ物理ポート１５Ｃは隔離用のポートである。通信端末１９を隔離する場合、当該通信端末１９の属するＶＬＡＮが強制的に当該隔離用ポート１５Ｃと同じＶＬＡＮに変更され、パケットＰＫ９は当該隔離用ポート１５Ｃからのみ送出されるようになる。したがって、隔離が行われると、通信端末１９上のコンピュータウイルスが送信させたパケットＰＫ９は、隔離通知サーバ１９で処理され、コンピュータウイルスが決めた宛先へ届けられることがなくなる。
【００３０】
また当該レイヤ２スイッチ１５は、自身が搭載するＭＡＣアドレステーブルＴＢ１の内容を隔離通知サーバ１６に伝え、隔離通知サーバ１６からの制御に応じて、当該ＭＡＣアドレステーブルＴＢ１の内容を書き換えることができる機能を備えている。
【００３１】
ＭＡＣアドレステーブルＴＢ１すなわちＦＩＢ（フォワーディング・インフォメーション・ベース）は、図３に示すように、データ項目として、ＭＡＣアドレスと、物理ポートと、ＶＬＡＮ−ＩＤとを備えている。
【００３２】
このうち物理ポートは、当該レイヤ２スイッチ１５が備える各物理ポートを一意に識別するための識別情報（ポート番号）を示す。
【００３３】
ＭＡＣアドレスは、各物理ポートから供給されるＭＡＣフレームの送信元ＭＡＣアドレスなどから得られるＭＡＣアドレスを示す。前記ポート番号とＭＡＣアドレスの対応関係から、いずれの物理ポートの先にいずれのＭＡＣアドレスが存在するかが分かる。
【００３４】
ＶＬＡＮ−ＩＤは、ネットワーク１１内における各ＶＬＡＮを一意に識別するための識別情報を示す。ＶＬＡＮの方式としては、ＭＡＣフレームにＶＬＡＮタグを追加し、ＶＬＡＮタグに含まれるＶＬＡＮ−ＩＤを識別することによってＭＡＣフレームの中継を制限するタグＶＬＡＮと、レイヤ２スイッチのポートごとにＶＬＡＮを設定するポートＶＬＡＮがある。本発明ではタグＶＬＡＮを用いることもできるが、ここでは、ポートＶＬＡＮを想定する。
【００３５】
ポートＶＬＡＮでは、レイヤ２スイッチ１５は、当該ＭＡＣアドレステーブルＴＢ１に各物理ポート番号とＶＬＡＮ−ＩＤの対応関係を登録しておき、ＭＡＣフレームの中継先を同じＶＬＡＮに属する物理ポートに制限する。すなわち、ＭＡＣフレームが持つ宛先ＭＡＣアドレスの値がどのようなものであっても、そのＭＡＣフレームを受信した物理ポートと同じＶＬＡＮに属する物理ポート以外へはＭＡＣフレームの中継を行わないため、ＶＬＡＮの機能を用いて通信端末１９を隔離することができる。
【００３６】
前記隔離通知サーバ１６は、感染した通信端末１９を隔離する機能や、当該通信端末１９がコンピュータウイルスに感染したことをセキュリティシステム１０内の正常な通信端末に通知する機能などを持つサーバである。当該隔離通知サーバ１６の内部構成は例えば図１に示す通りである。
【００３７】
（Ａ−１−１）隔離通知サーバの内部構成例
図１において、当該隔離通知サーバ１６は、攻撃予兆判定部２１と、データベース部２２と、警告ページ生成挿入部２３と、制御部２４と、Ｗｅｂ通知処理部２５と、固定ＤＮＳ応答部２６と、ファイアウォール機能部２７と、ＤＮＡＴ（Destination NAT）リダイレクト処理部２８と、プロミスカスポート２９と、送受信部３０〜３２とを備えている。
【００３８】
このうちプロミスカスポート２９は、前記レイヤ２スイッチ１９のミラー先ポート１５Ｂから送出されるパケット（そのコピー）を受信するための部分で、そのパケット（例えば、前記ＰＫ９）を収容したＭＡＣフレームの宛先ＭＡＣアドレスがどのような値であっても受信できる機能を持っている。元々、ミラー元ポート１５Ａから送出されるＭＡＣフレームは前記正規ＮＨＲに対応するＭＡＣアドレスを指定する宛先ＭＡＣアドレスを持つものであるから、そのコピーであるミラー先ポート１５Ｂから送出されるＭＡＣフレームを受信するためにはこのような機能が必要となる。
【００３９】
送受信部３０と３２は、レイヤ２スイッチ１５の各ポートに接続された通常のポートに相当する構成要素であるが、本実施形態ではこれら送受信部３０，３２のネットワーク層の機能（すなわち、ＩＰインタフェースとしての機能）が重要である。このうち送受信部３２のほうは擬似ＮＨＲにあたる。擬似ＮＨＲは、前記隔離を実行したとき、本来、ルータ１４の正規ＮＨＲで受信されるべきパケットＰＫ９を矛盾なく受信するためのＩＰインタフェースである。
【００４０】
送受信部３０は、隔離されない正常な通信端末（例えば、通信端末１８）がＨＴＴＰプロキシサーバ（Ｗｅｂ通知処理部２５に対応）にアクセスする際に用いるポートである。
【００４１】
また、送受信部３０は、隔離後、通信端末１９が当該隔離通知サーバ１６経由で復旧サーバ１７にアクセスすることによって行われるユーザＵ２の復旧作業の際、隔離通知サーバ１６経由のパケットの送信元となるＩＰインタフェースでもある。
【００４２】
送受信部３１は、レイヤ２スイッチ１５が搭載している前記ＭＡＣアドレステーブルＴＢ１にアクセスするためのポートである。
【００４３】
制御部２４は、隔離通知サーバ１６内の各構成要素２１〜２３，２５〜３２を制御すると共にレイヤ２スイッチ１５を制御する部分で、レイヤ２スイッチ１５が搭載する前記ＭＡＣアドレステーブルＴＢ１の内容を書き換えてＶＬＡＮの設定を変更する機能も有する。
【００４４】
攻撃予兆判定部２１は、前記プロミスカスポート２９経由で受信したパケット（例えば、ＰＫ９）をもとに攻撃（不正アクセス）の予兆を早い段階で検知して不正アクセスが行われているか否かを判定する部分で、ＩＤＳ（侵入検知システム）などに相当し得る。実際に攻撃を仕掛ける前に攻撃対象の探索を行うか否かは、前記コンピュータウイルスの機能に依存するが、いずれにしても、不正アクセスが開始された直後の早い段階で不正アクセスを検知できれば、不正アクセスや攻撃の対象となっているサーバなどで実際の被害が発生する前に、前記隔離を行うこと等が可能となる。
【００４５】
例えば、宛先ＩＰアドレスをランダムにまたはシーケンシャルに変化させながら次々と異なる宛先にパケットＰＫ９を送信するホストスキャンや、宛先ポート番号をランダムにまたはシーケンシャルに変化させながらパケットＰＫ９を送信するポートスキャンなどを攻撃の予兆とみなすことができる。
【００４６】
データベース部２２は、レイヤ２スイッチ１５が搭載しているＭＡＣアドレステーブルＴＢ１の内容を前記送受信部３１経由で受信して格納するＭＡＣアドレス−物理ポート対応データベースである。前記制御部２４は当該データベース部２２にアクセスすることにより短いアクセス時間でその時点のレイヤ２スイッチ１５のＭＡＣアドレステーブルＴＢ１の内容を知ることができる。
【００４７】
ファイアウォール機能部２７は、前記隔離により通信端末１９が当該隔離通知サーバ１６経由の通信を行うようになったとき、コンピュータウイルスが通信端末１９に送信させるパケットＰＫ９によって隔離通知サーバ１６自体が被害を受けないようにする部分である。大部分のパケットはファイアウォール機能部２７で遮断（通過を拒否）されるが、例えば、復旧サーバ１７を用いた復旧作業を行うためのパケットＰＫ９などは、当該ファイアウォール機能部２７を通過させる必要がある。
【００４８】
そのため、当該ファイアウォール機能部２７は、例えば、図４に示す構成のポリシーテーブルＴＢ２に基づいたアクセス制御を実行する。
【００４９】
図４に示すように当該ポリシーテーブルＴＢ２は、データ項目として、送信元ＩＰアドレスと、宛先ＩＰアドレスと、プロトコルと、アプリケーションと、通過可否と、ダイナミックフィルタと、セッション数とを備えている。
【００５０】
送信元ＩＰアドレスは、ファイアウォール機能部２７で通過を許可または拒否するパケットの送信元ＩＰアドレスを示す。
【００５１】
宛先ＩＰアドレスは、ファイアウォール機能部２７で通過を許可または拒否するパケットの宛先ＩＰアドレスを示す。
【００５２】
プロトコルは、ファイアウォール機能部２７で通過を許可または拒否するプロトコル（トランスポート層プロトコル）を示す。
【００５３】
アプリケーションは、ファイアウォール機能部２７で通過を許可または拒否する通信アプリケーションを示す。
【００５４】
通過可否は、ファイアウォール機能部２７でそのパケットの通過を許可するか拒否するかを示す。なお、コンピュータウイルスに感染している感染端末（例えば、１９）からのＤＮＳのためのパケットを許可しているのは、後述する固定ＤＮＳ応答部２６へのアクセスを許可するためである。また、感染端末からのＨＴＴＰのためのパケットを許可しているのは、復旧サーバ１７と感染端末との通信がＷｅｂであることを想定しているからである。さらに、９１１９、８０８０を許可しているのは、復旧サーバ１７のＴＣＰポート番号として９１１９、８０８０番を用いることを想定しているからである。
【００５５】
ダイナミックフィルタは、いわゆるステートフルインスペクション方式のパケットフィルタリングを適用すべきパケットを示す。図４の例では、「隔離ＶＬＡＮ」すなわち、コンピュータウイルスに感染した通信端末（ここでは、１９）を隔離するためのＶＬＡＮからファイアウォール機能部２７に入力されたパケットに対し、ステートフルインスペクションによるパケットフィルタリングを行うことを示している。
【００５６】
セッション数は、同時にファイアウォール機能部２７を通過することを許可するセッション数の上限値を示す。
【００５７】
なお、感染端末は前記隔離によって強制的に隔離通知サーバ１６経由の通信を行わなければならなくなるが、ここでは、コンピュータウイルスに感染していない正常端末も、送受信部３１経由で復旧サーバ１７にアクセスできる構成としている。ポリシーテーブルＴＢ２の行ＬＮ１は、このような正常端末からのパケットの通過を許可するための行である。行とは、テーブル中でデータ項目を除く横の並びを指す。図４の例の場合、ポリシーテーブルＴＢ２には、行ＬＮ１以外に４つの行ＬＮ２〜ＬＮ５が存在する。
【００５８】
なお、前記ファイアウォール機能部２７は、後述するように、通過させたパケットＰＫ９の送信元ＩＰアドレスを変換する送信元アドレス変換機能も備えている。
【００５９】
ＤＮＡＴリダイレクト処理部２８は、隔離通知サーバ１６に供給され前記ファイアウォール機能部２７を通過したパケットの宛先ＩＰアドレスを隔離通知サーバ１６内に設定されている所定のＩＰアドレス（ここでは、前記擬似ＮＨＲに設定された１０．１０．１０．１／２４）に変換する部分である。この変換は、本来、他の宛先（例えば、通信端末２０）に送信されたパケット（他の宛先を示す宛先ＩＰアドレスを持っているパケット）を、隔離通知サーバ１６内で終端するために必要となる。
【００６０】
ＤＮＡＴリダイレクト処理部２８はまた、感染端末１９にとっての本来のＤＮＳサーバ宛てのＤＮＳの問い合わせメッセージ（ＤＮＳ ｑｕｅｒｙ）を、前記固定ＤＮＳ応答部２６宛ての問い合わせメッセージとするためのパケットの宛先ＩＰアドレスの変換や、固定ＤＮＳ応答部２６が送信したＤＮＳの応答メッセージ（ＤＮＳ  Ｒｅｓｐｏｎｓｅ）を、本来のＤＮＳサーバが送信したかのように見せるためのパケットの送信元ＩＰアドレスの変換などを実行する機能を有する。この機能により、通信端末１９内の図示しないＩＰプロトコル処理モジュールやリゾルバは、通常どおりの処理（本来のＤＮＳサーバと通信する場合と同じ処理）を行うだけでよくなる。
【００６１】
Ｗｅｂ通知処理部２５は、Ｗｅｂサーバの機能を持つ部分である。通信端末１９の感染が検知された場合、その他の通信端末（例えば、１８）のＷｅｂブラウザに所定の警告ページＷ１を送信して、ユーザ（例えば、Ｕ１）に警戒を促す。
【００６２】
当該警告ページＷ１は、コンピュータウイルスに感染している通信端末のリストなどを表示するＷｅｂページである。当該警告ページＷ１は、警告ページ生成挿入部２３が生成し、正常端末（例えば、１８）に送信される。また、警告ページ生成挿入部２３は、感染端末（例えば、１９）のＷｅｂブラウザに表示させるためのＷｅｂページ（感染通知ページ）Ｗ２も生成するものであってよい。感染通知ページＷ２は、その通信端末がコンピュータウイルスに感染していることや、コンピュータウイルスの駆除などを行うために復旧サーバ１７へのアクセスが必要であること、そのアクセスのための手順などを感染している通信端末のユーザ（例えば、Ｕ２）伝える内容のものであってよい。
【００６３】
当該隔離通知サーバ１６を設置する以前から、セキュリティシステム１０内でＨＴＴＰプロキシサーバを用いていた場合などには、前記Ｗｅｂ通知処理部２５にＨＴＴＰプロキシサーバの機能を搭載しておくことも望ましい。
【００６４】
固定ＤＮＳ応答部２６は、隔離ＶＬＡＮの内部でＤＮＳサーバとして機能する部分である。通信端末１９は隔離されると本来のＤＮＳサーバと通信することができなくなるため、Ｗｅｂサーバ（ここでは、Ｗｅｂ通知処理部２５）へアクセスする際などに、固定ＤＮＳ応答部２６が必要になる。
【００６５】
以下、上記のような構成を有する本実施形態の動作について図２、図５、図６〜図１７を用いて説明する。
【００６６】
図５は、前記ＤＮＡＴリダイレクト処理部２８に関連する動作を示すためのシーケンス図で、Ｓ１１〜Ｓ２２の各ステップを備えている。
【００６７】
また、図２，図６〜図１７は、セキュリティシステム１０内における各ノードの動作を示している。図２はステップＳＴ１に対応し、図６はステップＳＴ２に対応し、図７はステップＳＴ３に対応し、図８はステップＳＴ４に対応し、図９はステップＳＴ５に対応し、図１０はステップＳＴ６に対応し、図１１はステップＳＴ７に対応し、図１２はステップＳＴ８に対応し、図１３はステップＳＴ９に対応し、図１４はステップＳＴ１０に対応し、図１５はステップＳＴ１１に対応し、図１６はステップＳＴ１２に対応し、図１７はステップＳＴ１３に対応する。
【００６８】
（Ａ−２）実施形態の動作
通常、セキュリティシステム１０内の通信端末は、自身と同じＶＬＡＮに属する任意の通信端末と通信することができる。また、ＶＬＡＮはルータを越えて設定されるものではないので、ルータ１４を越えると、基本的には全く自由に通信する通信端末を選ぶことができる。したがって、コンピュータウイルスに感染していない場合などには、図２に示すステップＳＴ１のように、前記通信端末１９を用いてユーザＵ２が例えば中継ネットワーク１３の先にある通信端末（Ｗｅｂサーバとする）２０と通信することもできる。
【００６９】
このとき隔離通知サーバ１６は、図２のステップＳＴ１に示すように、一定以上の時間頻度で（例えば、定期的に）レイヤ２スイッチ１５が搭載しているＭＡＣアドレステーブルＴＢ１の内容を取得し、取得結果に応じて前記データベース部２２の内容を更新している。なお、データベース部２２の内容は、必要に応じて、管理者が手作業で入力したものであってもよい。
【００７０】
ところが、当該通信端末１９が前記コンピュータウイルスに感染している場合などには、そのコンピュータウイルスの機能に応じて、通信端末２０に不正アクセスが実行される可能性がある。図６のステップＳＴ２に示すように感染端末１９から送信されるパケットＰＫ９をレイヤ２スイッチ１５の前記ミラー先ポート１５Ｂからプロミスカスポート２９経由で受け取った隔離通知サーバ１６では、前記攻撃予兆判定部２１が、例えば、前記ホストスキャンやポートスキャンなどをもとに、開始直後の早い段階で不正アクセスを検知することができる。
【００７１】
当該パケットＰＫ９で不正アクセスが行われているものと判定した場合、攻撃予兆判定部２１は、そのパケットＰＫ９のＩＰヘッダに含まれるＩＰアドレスと、パケットＰＫ９を収容しているＭＡＣフレームのＭＡＣヘッダに含まれるＭＡＣアドレスを抽出して、当該ＭＡＣフレームおよびパケットＰＫ９は廃棄し、抽出したＩＰアドレスとＭＡＣアドレスとＩＰアドレスは、制御部２４に渡す。
【００７２】
これを受けた制御部２４は、当該ＭＡＣアドレス（送信元ＭＡＣアドレス）をもとに前記データベース部２２に格納されているＭＡＣアドレステーブルＴＢ１を検索し、隔離すべき物理ポートの物理リポート番号を特定する。そして、図７のステップＳＴ３に示すように、レイヤ２スイッチ１５に搭載されているＭＡＣアドレステーブルＴＢ１上で当該物理ポート番号に対応付けられたＶＬＡＮ−ＩＤを書き換え、その物理ポートに接続されている感染端末１９を隔離ＶＬＡＮに収容する。
【００７３】
次に、制御部２４は、図８のステップＳＴ４に示すように、前記ファイアウォール機能部２７が持つポリシーテーブルＴＢ２に対し、前記ＭＡＣアドレスとともに抽出されたＩＰアドレス（送信元ＩＰアドレス）をもとに必要な設定を行う。それまで、ポリシーテーブルＴＢ２は、前記擬似ＮＨＲで受信する大部分のパケットを遮断（通過を拒否）しているが、この設定により、前記感染端末１９から送信される不正アクセスのためのパケットＰＫ９はやはり遮断するものの、それ以外の特定トラフィックのパケットＰＫ９を通過させるようになる。ここで、通過させる特定のトラフィックは、図４の行ＬＮ２〜ＬＮ４に対応するものである。行ＬＮ２〜ＬＮ４により、隔離された感染端末１９が、隔離通知サーバ１６内のＷｅｂ通知処理部２５や固定ＤＮＳ応答部２６と通信すること等が可能になる。なお、当該感染端末１９が、前記復旧サーバ１７と通信する場合、隔離ＶＬＡＮ内の他の通信端末（図示せず）と同様に、行ＬＮ１で通過を許可される。
【００７４】
なお、ここで、通過を許可された通信（パケット）であっても、無条件にその後の通過が許されるわけではなく、前記ステートフルインスペクションにより監視され、正当なものだけが通過を許される。この監視では、例えば、ＴＣＰの３ウエイハンドシェイク手順の正当性、毎秒当たりのセッション数が所定の上限値より多くないか、ＵＤＰの擬似セッション数が所定の上限値より多くないか等の各事項が調べられる。これはいずれも、よく知られた攻撃技術への対策であって、これらの事項を監視し、監視結果に応じてファイアウォール機能部２７でトラフィックを遮断することにより、隔離通知サーバ１６自身や、前記復旧サーバ１７が隔離ＶＬＡＮ内の感染端末１９による攻撃にさらされることを防止することができる。
【００７５】
また、前記行ＬＮ１では、特定のトラフィック（ＴＣＰポート番号９１１９に対応）を通過させるように設定しているため、復旧サーバ１７と感染端末１９との通信もこのトラフィックに制限される。これにより、例えば、復旧サーバ１７と感染端末１９上のウイルス対策ソフトが用いる通信プロトコルが標準的なものではなく、ベンダ固有のものである場合でも、両者の通信を隔離通知サーバ１６で中継することが可能となり、例えば、ウイルス定義ファイルの更新などを行うことができる。
【００７６】
このあと、図１４に示すステップＳＴ１０で、正常端末（ここでは、１８）へ前記警告ページＷ１が送信され得る状態となる。Ｗｅｂはプル型の通信アプリケーションであるため、このとき、正常端末１８のユーザＵ１が正常端末１８上でＷｅｂブラウザを利用していないと、警告ページＷ１を正常端末１８へ送信することはできないが、利用している場合には、送信することが可能である。
【００７７】
Ｗｅｂ通知処理部２５が前記ＨＴＴＰプロキシサーバの機能を持ち、対応する設定が通信端末１９に行われている場合、ＷｅｂブラウザでユーザＵ１が指定したＵＲＬがどのような値であっても、そのＵＲＬに対応するＷｅｂページを表示するとき、ＨＴＴＰプロキシサーバとしてのＷｅｂ通知処理部２５経由の通信が行われるため、その表示とともに、警告ページＷ１を表示させることができる。
【００７８】
なお、Ｗｅｂ通知処理部２５が前記ＨＴＴＰプロキシサーバの機能を持たない場合や、対応する設定が通信端末１９に行われていない場合などには、図１５に示すステップＳＴ１１のように、外部のＷｅｂサーバ９上に隔離通知サーバ１９から警告ページＷ１を構成するファイルをアップロードしておき、正常端末１８に当該Ｗｅｂサーバ９上の警告ページＷ１へアクセスさせることで、警告ページＷ１を正常端末１８に画面表示させることができる。
【００７９】
警告ページＷ１の内容を読んだ正常端末１８のユーザＵ１は、感染端末１９との通信や、必ずしも緊急性の高くない通信を行うことを控えたり、当該正常端末１８のＯＳ（オペレーティングシステム）がファイアウォール機能を装備している場合などは、そのファイアウォール機能を有効化したりするなどの対策を講じることで、コンピュータウイルスの感染の拡大を抑制し、コンピュータウイルスに感染したサーバや中継装置などを利用することによって発生し得る２次的な被害に遭遇する可能性を低減することができる。なお、通信端末１８のＯＳが装備するファイアウォール機能は一般的に、その有効化によって通信の自由度が制限されたり、通信端末１８のＣＰＵ（中央処理装置）の処理能力に負荷をかけたりするので、普段は無効化されていることも少なくない。
【００８０】
一方、感染端末１９には前記感染通知ページＷ２を表示させる必要があるが、この時点ではすでに感染端末１９は隔離ＶＬＡＮに属するため、その際の処理は、前記警告ページＷ１を正常端末１８に表示させる場合とは異なる点がある。すなわち、前記ファイアウォール機能部２７，ＤＮＡＴリダイレクト処理部２８、固定ＤＮＳ対応部２６が機能して、感染端末１９からのＷｅｂアクセスをＷｅｂ通知処理部２５に供給する。
【００８１】
なお、ＷｅｂアクセスのためにＷｅｂブラウザからＨＴＴＰリクエストメッセージが送信されるとき、その前にはＤＮＳによる名前解決が行われるのが基本であるが、感染端末１９による名前解決は図５のシーケンス図に示す手順で進行する。図５は、本来のＤＮＳサーバが存在しない隔離ＶＬＡＮ内でもＤＮＳの名前解決が可能であることを示している。
【００８２】
例えば、ステップＳ１５で通信端末１９のリゾルバが本来のＤＮＳサーバのＩＰアドレスである「１０．３０．１０．１００：５３」（なお、５３はＤＮＳのウエルノウンポート番号であるので、以下では省略）へ問い合わせメッセージを送信したところ、つづくステップＳ１６では、ＤＮＡＴリダイレクト処理部２８が、「１０．３０．１０．１００」を前記「１０．１０．１０．１」に変換して、その問い合わせメッセージを固定ＤＮＳ応答部２６に届けている。また、この問い合わせメッセージに応えてステップＳ１７で固定ＤＮＳ応答部２６が送信する応答メッセージでは、ＤＮＡＴリダイレクト処理部２８が送信元ＩＰアドレスである前記「１０．１０．１０．１」を「１０．３０．１０．１００」に変換している。
【００８３】
したがって、当該ステップＳ１８の応答メッセージを受け取った感染端末１９のＩＰプロトコル処理モジュールやリゾルバは、上述したように、通常どおりの処理（本来のＤＮＳサーバと通信する場合と同じ処理）を行うだけでよくなる。
【００８４】
このようにして名前解決を終えた感染端末１９のＷｅｂブラウザが、例えば、図５に示すステップＳ１９のようにＨＴＴＰリクエストメッセージを送信すると、そのＨＴＴＰリクエストメッセージは前記ＤＮＡＴリダイレクト処理部２８によってＷｅｂ通知処理部２５に供給されるため、Ｗｅｂ通知処理部２５がそれに応えてステップＳ２１のＨＴＴＰレスポンスメッセージを返送する。このＨＴＴＰレスポンスメッセージの前後に、前記感染通知ページＷ２を収容したＨＴＴＰレスポンスメッセージを送信しておけば、ＤＮＡＴリダイレクト処理部２８などを経由して当該ＨＴＴＰレスポンスメッセージを受信した感染端末１９のＷｅｂブラウザは、前記感染通知ページＷ２を画面表示することができる。
【００８５】
多くの場合、ユーザＵ２は、感染端末１９上に表示された感染通知ページＷ２を閲覧することによってはじめて、自身の通信端末１９がコンピュータウイルスに感染していることを認識する。この感染通知ページＷ２が上述したように、コンピュータウイルスの駆除などを行うために復旧サーバ１７へのアクセスが必要であること等を伝える内容であれば、ユーザＵ２による復旧作業の実行を促すことができる。これにより、ユーザＵ２がその事実を知らずに、長時間、コンピュータウイルスが通信端末１９上で動作しつづけたケースと比較すると、コンピュータウイルスによる感染や被害の拡大を防止することが可能となる。
【００８６】
このような感染通知ページＷ２などを利用して進める作業は、完全に自動化されているものではないが、部分的には自動化されているため、半自動の作業といえ、ユーザＵ２の利便性が高い。
【００８７】
感染通知ページＷ２の構成には様々なものがあり得るが、復旧サーバ１７へのリンク（ボタン）を用意し、ユーザＵ１がそのボタンをクリックするだけで容易に復旧サーバ１７へアクセスできるページとすることができる。
【００８８】
このアクセスは、図１０のステップＳＴ６に示すように隔離通知サーバ１６経由で実行される。また、このアクセスに際し、上述したファイアウォール機能部２７の送信元アドレス変換機能が動作する。
【００８９】
当該送信元アドレス変換機能は、感染端末１９のＩＰアドレスに対応するパケットＰＫ９の送信元ＩＰアドレス「１０．１０．１０．３／２４」を、隔離通知サーバ１６のＩＰインタフェースのＩＰアドレスである「１０．１０．３０．１１９／２４」に書き換えたうえで当該パケットＰＫ９の中継を行う。
【００９０】
このような変換を行わず、単純にパケットＰＫ９を中継するだけでは、復旧サーバ１７からのレスポンスを伝えるため前記ルータ１４の正規ＮＨＲがパケットを送信する前に実行されるＡＲＰの手順で問題が起きる。すなわち、当該正規ＮＨＲから送信されたＡＲＰリクエストで「１０．１０．１０．３」に対応するＭＡＣアドレスを問い合わせてしまうため、この問い合わせに応えるのは、隔離通知サーバ１６ではなく、感染端末１９になり、隔離通知サーバ１６による中継に矛盾が生じてしまう。
【００９１】
なお、図１０に示す構成の場合、隔離通知サーバ１６が持つ２つのＩＰインタフェース（「１０．１０．１０．１／２４」と「１０．１０．３０．１１９／２４」）はネットワークアドレス（ここでは、「１０．１０．１０」と「１０．１０．３０」）が異なるため、同一サブネット内には１つのＩＰインタフェースしか持たないが、例えば、図１１の構成では、同一サブネット内に２つのＩＰインタフェース（「１０．１０．１０．１／２４」と「１０．１０．１０．１１９／２４」）を持つことになる。
【００９２】
図１１の構成では、隔離通知サーバ１６は、感染端末１９から送信され復旧サーバ１７へ届けるパケットＰＫ９を中継するために送信する場合には、「１０．１０．１０．１１９／２４」のＩＰインタフェースからＡＲＰリクエストを送信し、反対に、復旧サーバ１７から返送されたレスポンスのパケットを感染端末１９へ中継するための送信では、「１０．１０．１０．１／２４」のＩＰインタフェース（擬似ＮＨＲ）からＡＲＰリクエストを送信するようにするとよい。
【００９３】
いずれにしても、隔離通知サーバ１６経由で復旧サーバ１７から感染端末１９へのウイルス定義ファイルなどのダウンロードが完了し、感染端末１９上でユーザＵ２が、当該感染端末１９に感染していたコンピュータウイルスの駆除などに成功すると、図１２のステップＳＴ８に示すように、ユーザＵ２が所定のＷｅｂページ上に用意された復帰ボタンの操作を行って、その旨を隔離通知サーバ１６に伝える。ユーザＵ２の判断が正しければ、この時点では、通信端末１９はもはや感染端末ではなくなっている。
【００９４】
このＷｅｂページは、前記感染通知ページＷ２と同じページであってもよいし、別個のページであってもよい。
【００９５】
当該復帰ボタンが操作されると所定のＨＴＴＰリクエストメッセージが隔離通知サーバ１６まで届けられ、通信端末１９の隔離の解除、前記警告ページＷ１上のリストからの通信端末１９の削除などの処理が順次、実行される。
【００９６】
ただし、ユーザＵ２の判断が誤っていること等もあり得るため、前記攻撃予兆判定部２１が、送受信部３２で受信されるパケットＰＫ９についても不正アクセスを試みるものであるか否かを判定し、不正アクセスの試みが行われていないことを確認してから、通信端末１９の隔離の解除などを実行するようにしてもよい。この判定で、不正アクセスの試みが行われているとの判定結果が得られたケースには、通信端末１９にその旨の記述を含むＷｅｂページを送信して、前記通信端末１９上でまだコンピュータウイルスが動作中であることをユーザＵ２に伝えるようにしてもよい。
【００９７】
なお、隔離の解除は、隔離通知サーバ１６の制御部２４が前記レイヤ２スイッチ１５に搭載されているＭＡＣアドレステーブルＴＢ１の内容を書き換えて、通信端末１９が接続された物理ポートのポート番号に対応するＶＬＡＮ−ＩＤを、隔離前の値に戻すこと等によって実現できる。
【００９８】
また、警告ページＷ１上のリストから通信端末１９を削除することは、図１６のステップＳＴ１２に示すように、当該リストから通信端末１９を削除した新たな警告ページＷ１を警告ページ生成挿入部２３に生成させておくこと等により実現される。この新たな警告ページＷ１は、前回、警告ページＷ１を正常端末１８に表示させた場合と同様な手順（ＨＴＴＰプロキシ経由または前記Ｗｅｂサーバ９経由（図１７のケース））で正常端末２０に表示される。なお、通信端末１９上でコンピュータウイルスが駆除されたこと等により、セキュリティシステム１０内に感染端末が存在しなくなった場合には、警告ページＷ１の代わりに、その旨の記述を含むＷｅｂページを各通信端末（１９も含めてよい）に表示させるようにするとよい。
【００９９】
なお、本実施形態では、通信端末１９がコンピュータウイルスに感染していることがわかった場合でも、上り方向（例えば、通信端末１９から中継ネットワーク１３や復旧サーバ１７へ向かう方向）のトラフィックが増大することはほとんどない。また、通信端末１９に感染していたコンピュータウイルスがすでに自己の複製などを送信して上り方向のトラフィックを増大させている状態から前記隔離を行った場合には、通信端末１９を隔離ＶＬＡＮに隔離し、なおかつ、前記ファイアウォール機能部２７でそのトラフィックを遮断することにより、上り方向のトラフィックはむしろ大幅に低減する可能性が高い。
【０１００】
下り方向については、前記ウイルス定義ファイルのダウンロードなどのために多少、増加する可能性があるが、これはコンピュータウイルスによる攻撃で発生する異常なトラフィックの増大と比べると、極めてわずかな増加であり、セキュリティシステム１０内の他の通信端末（例えば、１８）の通信がこれによって影響を受けることはない。
【０１０１】
（Ａ−３）実施形態の効果
本実施形態によれば、特許文献１のように管理者が逐一、遮断ルールを変更する必要がないため、利便性が高い。
【０１０２】
また、個々のユーザ（例えば、Ｕ２）の立場からすると、自身が使用している通信端末がコンピュータウイルスに感染していることや、他の通信端末がコンピュータウイルスに感染していることを伝えてくれるため、利便性とセキュリティ性が向上する。
【０１０３】
さらに、本実施形態では、ある通信端末（例えば、１９）がコンピュータウイルスに感染していることがわかった場合でも、ネットワーク構成の変更（ネットワーク（１０）中の各ノードの物理的な接続関係を変更したり、ＩＰインタフェースに設定するＩＰアドレスを変更したりすること等）が一切、不要であるという意味でも利便性が高い。
【０１０４】
さらにまた、本実施形態では、上り方向のトラフィックの増大を抑制できるため、ネットワーク（１０）内の限られた通信帯域を有効に活用することができる。
【０１０５】
（Ｂ）他の実施形態
上記実施形態で１つのサーバ内に設けた機能は別個のサーバに分配してもよく、また、別個のサーバに分配した機能は１つのサーバに集中して配置してもよい。
【０１０６】
例えば、隔離通知サーバ１６内に前記復旧サーバ１７の機能を配置することも可能である。
【０１０７】
ただし、図２などに図示した上記実施形態の構成のほうが、隔離通知サーバ１６と同様な隔離通知サーバは、レイヤ２スイッチごとに配置し、復旧サーバ１７は、セキュリティシステム１０全体で１つだけ用意する構成とすることができるため、機能を節約することができる点で有利である。
【０１０８】
上記実施形態にかかわらず、ルータ１４と別個のルータをもう１つ用意し、感染した通信端末（例えば、１９）を隔離したときにはそのルータを用いる構成を取ることも可能である。その場合、ルータ１４は、１つの物理ポートに２つの論理ポートを設定する機能を持つ必要がなくなる。
【０１０９】
なお、上記実施形態では、各処理をＷｅｂを用いて行ったが、少なくとも一部の処理は、他の通信アプリケーションに置換できる可能性がある。例えば、警告用ページＷ１や感染通知ページＷ２は、電子メールなどで代替できる可能性がある。
【０１１０】
また、図２に示したネットワーク構成は変更できる可能性がある。
【０１１１】
例えば図２などでは、多くのＩＰアドレスやサブネットの値を例示したが、これらの値を他の値に変更することができることは当然である。
【０１１２】
さらに、前記ルータ１４とレイヤ２スイッチ１５の機能をまとめて備えた１つのレイヤ３スイッチを利用するネットワーク構成を取ることも可能である。
【０１１３】
また、図３や図４に示したテーブルの構成は変更できる可能性がある。
【０１１４】
さらに、上記実施形態で説明した各動作の順番は変更できる可能性がある。
【０１１５】
例えば、必要に応じて、感染端末１９の隔離ＶＬＡＮへの隔離と同時に、または、隔離より先に、前記警告ページＷ１の各正常端末への送信を行うようにしてもよい。
【０１１６】
また、本発明では、上記実施形態と実質的にほぼ同等な機能を実現する方法としては、次の４つのバリエーション（Ｖ１）〜（Ｖ４）を用いることも可能である。
【０１１７】
（Ｖ１）エージェントソフトタイプ
（Ｖ２）アダプタタイプ
（Ｖ３）オブジェクトソフトタイプ
（Ｖ４）ＩＤＳタイプ
このうち（Ｖ１）〜（Ｖ３）の概略を図１８に示す。
【０１１８】
図１８中、部分ＰＴ１は前記バリエーション（Ｖ１）に対応し、部分ＰＴ２は前記バリエーション（Ｖ２）に対応し、部分ＰＴ３は前記バリエーション（Ｖ３）に対応する。
【０１１９】
図１８は、これらのバリエーション（Ｖ１）〜（Ｖ３）が１つのセキュリティシステム４０内に共存させる必要があることを示しているわけではない。共存させることも可能であるが、いずれか１つのバリエーションで統一してよいことは当然である。
【０１２０】
また、ＷＦＳ（Work Flow Server）５７や５８は、これらのバリエーションに特有な機能で、前記隔離通知サーバ１６に相当する機能と、復旧サーバ１７に相当する機能を備え、各通信端末のユーザによる半自動の復旧作業を可能とする。
【０１２１】
バリエーション（Ｖ１）では、個々の通信端末（例えば、６４）が所定のエージェントソフトＡＧ１を搭載しており、このエージェントソフトＡＧ１が主体となって各機能を実現する。
【０１２２】
エージェントソフトＡＧ１は、前記攻撃予兆判定部２１に相当する機能と、前記ファイアウォール機能部２７に相当する機能とを備えており、通信端末６４がコンピュータウイルスに感染していることを検知すると、通信端末６４の復旧のために必要な特定のトラフィック以外すべて遮断する。これにより、コンピュータウイルスが外部の通信端末（サーバなど）を攻撃することを防止することができる。
【０１２３】
コンピュータウイルスによる攻撃をエージェントＡＧ１が検知できなかった場合、その攻撃のパケットはミラータップ４８経由でＩＤＳ５９に受信され、ＩＤＳ５９によって攻撃が検知される。いずれにしても攻撃（感染）が検知された場合、リダイレクトＧＷ５６がその通信端末６４からのパケットをすべてＷＦＳ５７へ供給するようになる。図１８に示したように、プロキシサーバ５２，５３へ到達するまえに各通信端末（例えば、６４）から送信されたパケットが必ずリダイレクトＧＷ５６を経由するネットワーク構成としておくことにより、コンピュータウイルスに感染している通信端末６４がセキュリティシステム４０内の任意の通信端末と通信することを防止することも可能となる。
【０１２４】
なお、ミラータップ４８の機能は、波形整形などを行わない点を除くと、リピータ型のハブと同じである。
【０１２５】
ＩＤＳ５９が攻撃を検知した場合やエージェントソフトＡＧ１が通信端末６４がコンピュータウイルスに感染していることを検知した場合、マネージャ６０にその旨が通知され、マネージャ６０が前記リダイレクトＧＷ５６を制御することによって、通信端末６４から送信されたパケットがすべてＷＦＳ５７に供給されるようになる。
【０１２６】
バリエーション（Ｖ２）では前記エージェントソフトＡＧ１の代わりに、アダプタ装置（例えば、６３）が通信端末（例えば、６６）に感染したコンピュータウイルスが攻撃のために外部へ送信するパケットを遮断するが、その他の点は、バリエーション（Ｖ１）と同じであってよい。
【０１２７】
バリエーション（Ｖ３）では、前記エージェントソフトＡＧ１の代わりにオブジェクトソフトＢＪ１が各通信端末（例えば、６８）に搭載されている。
【０１２８】
オブジェクトソフトＢＪ１の機能は基本的に前記エージェントソフトＡＧ１と同じであってよい。ただし、オブジェクトソフトＡＧ１はＪａｖａ（登録商標）スクリプトやＪａｖａアプレットの形で実現されるため、エージェントソフトＡＧ１に比べると、機能上の制約が多いものの、その開発が容易で、インストールの手間がかからない利点がある。
【０１２９】
なお、前記バリエーション（Ｖ４）のＩＤＳタイプは、各通信端末には、何ら特別な機能を実装せず、ＩＤＳが攻撃のためのパケットを検知した場合、前記リダイレクトＧＷ５６に指示して、そのパケットの送信元ＩＰアドレスで特定できる通信端末から送信された後続のパケットをすべて、ＷＦＳ５７に供給させるものである。このＩＤＳタイプでは、ネットワーク構成により、セキュリティシステム４０の内部で感染が拡大する可能性はあるが、インターネット４１など外部への感染拡大は防止することが可能である。
【０１３０】
また、本発明は、上記実施形態で用いた以外の通信プロトコルに適用できることは当然である。
【０１３１】
一例として、ネットワーク層の通信プロトコルとしてＩＰＸプロトコルなどを用いることができる可能性がある。
【０１３２】
以上の説明でハードウエア的に実現した機能の大部分はソフトウエア的に実現することができ、ソフトウエア的に実現した機能のほとんど全てはハードウエア的に実現することが可能である。
【０１３３】
例えば、前記コンピュータウイルスなどに相当する不正機能が通信装置（例えば、パソコン）にハードウエア的に組み込まれている場合、復旧サーバとの通信によって不正機能を駆除することや、その不正機能を失わせることは難しいと考えられるが、不正機能が組み込まれたパソコンを隔離することや、他のパソコンに警戒を促すこと等は可能である。
【図面の簡単な説明】
【０１３４】
【図１】実施形態にかかるセキュリティシステムで使用する隔離通知サーバの内部構成例を示す概略図である。
【図２】実施形態にかかるセキュリティシステムの全体構成例を示す概略図である。
【図３】実施形態で使用するＭＡＣアドレステーブルの構成例を示す概略図である。
【図４】実施形態で使用するポリシーテーブルの構成例を示す概略図である。
【図５】実施形態の動作例を示すシーケンス図である。
【図６】実施形態の動作例を示す動作説明図である。
【図７】実施形態の動作例を示す動作説明図である。
【図８】実施形態の動作例を示す動作説明図である。
【図９】実施形態の動作例を示す動作説明図である。
【図１０】実施形態の動作例を示す動作説明図である。
【図１１】実施形態の動作例を示す動作説明図である。
【図１２】実施形態の動作例を示す動作説明図である。
【図１３】実施形態の動作例を示す動作説明図である。
【図１４】実施形態の動作例を示す動作説明図である。
【図１５】実施形態の動作例を示す動作説明図である。
【図１６】実施形態の動作例を示す動作説明図である。
【図１７】実施形態の動作例を示す動作説明図である。
【図１８】他の実施形態の全体構成例を示す概略図である。
【符号の説明】
【０１３５】
１０…セキュリティシステム、１１〜１３…ネットワーク、１４…ルータ、１５…レイヤ２スイッチ、１６…隔離通知サーバ、１７…復旧サーバ、１８〜２０…通信端末、２１…攻撃予兆判定部、２２…データベース部、２３…警告ページ生成挿入部、２４…制御部、２５…Ｗｅｂ通知処理部、２６…固定ＤＮＳ応答部、２７…ファイアウォール機能部、２８…ＤＮＡＴリダイレクト処理部、２９…プロミスカスポート、３０〜３２…送受信部、ＰＫ９…パケット。
【図１】
2006165877.tif 000003
【図２】
2006165877.tif 000004
【図３】
2006165877.tif 000005
【図４】
2006165877.tif 000006
【図５】
2006165877.tif 000007
【図６】
2006165877.tif 000008
【図７】
2006165877.tif 000009
【図８】
2006165877.tif 000010
【図９】
2006165877.tif 000011
【図１０】
2006165877.tif 000012
【図１１】
2006165877.tif 000013
【図１２】
2006165877.tif 000014
【図１３】
2006165877.tif 000015
【図１４】
2006165877.tif 000016
【図１５】
2006165877.tif 000017
【図１６】
2006165877.tif 000018
【図１７】
2006165877.tif 000019
【図１８】
2006165877.tif 000020