(57)【要約】      （修正有）【課題】不正な通信を遮断するために端末情報の収集を行う際のコストが低く、サービス性の低下の少ない通信管理装置を提供する。【解決手段】ＴＣＰ／ＩＰネットワーク２０に通信管理装置１０と不正通信検出装置３０と通信中継装置４０とが接続される。通信管理装置１０は、不正通信検出装置３０と通信中継装置４０との接続情報を管理する装置接続構成管理部１１と、不正通信検出装置３０が有する通信装置に関する不正通信記録を収集して分析し、不正通信を実行した通信装置を特定する不正通信記録収集分析部１２と、特定した通信装置に関する情報を元に、通信装置が接続されている通信中継装置４０および接続口４５を特定する通信中継装置検索部１３と、接続口４５の状態を使用不可能な状態にするように通信中継装置４０に指示する通信中継装置接続口遮断部１４と、を備える。【選択図】  図１
2006332997.tif 000002
【特許請求の範囲】
【請求項１】
ネットワークに接続され、該ネットワークに接続される通信検出装置と通信中継装置との接続情報を管理する通信管理装置であって、
前記通信検出装置において検出条件に適合する通信を検出して保持される通信記録を参照する手段と、
前記通信記録の内容を元に、前記検出条件に適合する通信を実行した通信装置が接続されている通信中継装置の接続口を特定する手段と、
該接続口の状態を使用不可能な状態に変更するように該通信中継装置に指示する手段と、
を備えることを特徴とする通信管理装置。
【請求項２】
前記通信中継装置は、接続する通信装置の通信を許可するあるいは拒否することを表す中継規則保持部を含み、前記検出条件に適合する通信を実行した通信装置に関する前記中継規則保持部の内容を許可から拒否に変更させることを特徴とする請求項１記載の通信管理装置。
【請求項３】
ネットワークに接続される通信検出装置と通信中継装置との接続情報を管理する装置接続構成管理部と、
前記通信検出装置が有する通信装置に関する通信記録を収集して分析し、分析結果に基づく通信を実行した通信装置を特定する通信記録収集分析部と、
前記通信記録収集分析部が特定した前記通信装置に関する情報を元に、前記通信装置が接続されている通信中継装置および該通信中継装置の接続口を特定する通信中継装置検索部と、
特定した前記接続口の状態を使用不可能な状態にするように該通信中継装置に指示する通信中継装置接続口遮断部と、
を備えることを特徴とする通信管理装置。
【請求項４】
前記通信中継装置は、接続する通信装置の通信を許可するあるいは拒否することを表す中継規則保持部を含み、前記通信中継装置接続口遮断部は、前記分析結果に基づく通信を実行した通信装置に関する前記中継規則保持部の内容を許可から拒否に変更させることを特徴とする請求項３記載の通信管理装置。
【請求項５】
前記接続口は、ＩＰ（Internet Protocol）アドレスを有し、通信装置を接続するポートであることを特徴とする請求項１または３記載の通信管理装置。
【請求項６】
請求項１〜５のいずれか一に記載の通信管理装置と、
前記通信記録を記録する通信記録部を備える前記通信検出装置と、
通信装置を接続して、前記ネットワークに中継する前記通信中継装置と、
を備えることを特徴とするネットワークシステム。
【請求項７】
ネットワークに接続される通信検出装置と通信中継装置との接続情報を管理するステップと、
前記通信検出装置から通信記録を収集して分析し、分析結果に基づく通信を実行した通信装置を特定するステップと、
前記ネットワーク上の全通信中継装置から、それぞれの通信中継装置が持つ各接続口のＩＰ（Internet Protocol）アドレス情報を検索するステップと、
前記特定した通信装置が接続されている通信中継装置と該通信中継装置の接続口とを特定するステップと、
特定された前記接続口の状態を使用可能から使用不可能に変更するステップと、
を含むことを特徴とするネットワークシステムにおける通信遮断方法。
【請求項８】
ネットワークに接続され、該ネットワークに接続される通信検出装置と通信中継装置との接続情報を管理する通信管理装置が該通信中継装置に接続される通信装置の通信を遮断する方法であって、
前記通信検出装置が有する検出条件に適合して検出された通信の記録の内容に基づいて、該検出された通信を実行した通信装置を割り出すステップと、
前記通信を実行した通信装置が接続されている通信中継装置と該通信中継装置の接続口を特定するステップと、
特定した前記接続口の状態を使用不可能な状態に変更するように指示するステップと、
を含むことを特徴とするネットワークシステムにおける通信遮断方法。
【請求項９】
特定された前記通信中継装置における中継規則の内容に関し、前記通信を実行した通信装置の通信を許可から拒否に変更するステップをさらに含むことを特徴とする請求項７または８記載のネットワークシステムにおける通信遮断方法。
【請求項１０】
ネットワークに接続され、該ネットワークに接続される通信検出装置と通信中継装置との接続情報を管理する通信管理装置のコンピュータを、
前記通信検出装置において検出条件に適合する通信を検出して保持される通信記録を参照する手段、
前記通信記録の内容を元に、前記検出条件に適合する通信を実行した通信装置が接続されている通信中継装置の接続口を特定する手段、
該接続口の状態を使用不可能な状態に変更するように該通信中継装置に指示する手段、
として機能させるためのプログラム。
【請求項１１】
ネットワークに接続され、該ネットワークに接続される通信検出装置と通信中継装置との接続情報を管理する通信管理装置のコンピュータが該通信中継装置に接続される通信装置の通信を遮断するために、
通信検出装置が検出した通信の記録の内容に基づいて、該検出した通信を実行した通信装置を割り出す処理と、
前記通信を実行した通信装置が接続されている通信中継装置と該通信中継装置の接続口を特定する処理と、
特定した前記接続口の状態を使用不可能な状態に変更するように該通信中継装置に指示する処理と、
を実行するためのプログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、通信管理装置、ネットワークシステム、ネットワークシステムにおける通信遮断方法、およびプログラムに係り、特に、不正な通信を遮断するネットワークシステム、このネットワークシステムにおける通信管理装置、ネットワークシステムにおける不正な通信を遮断する方法、およびにプログラム係る。
【背景技術】
【０００２】
インターネットの普及と共に、様々な電子メールのやり取りやＷＥＢサイトへのアクセスが急激な拡大を見せている。これに伴い、不正な攻撃や侵入、情報改竄といった不当なアクセスも増大している。これらは、ウィルスやワームに感染した装置がユーザの意図と関わりなく不当なアクセスを行う場合も多く、このような装置からの不正な通信を遮断するシステムが必要とされる。
【０００３】
このようなシステムとして、例えば、特許文献１にネットワーク管理システムが開示されている。このシステムは、ホスト名（識別キー）、ユーザＩＤ（Identification Number）、ＩＰ（Internet Protocol）アドレス、ＭＡＣ（Media Access Control）アドレス等の端末情報によって認証されている端末のみがネットワークにアクセスできるようにし、ネットワークのセキュリティを確保するものである。
【０００４】
また、特許文献２には、管理対象ネットワーク及び管理対象ネットワーク内の計算機に対して攻撃が行われる前に、攻撃を仕掛けてくる可能性のある攻撃元計算機や攻撃元計算機が接続されているネットワークを認識することにより、実際に攻撃を受ける前に適切な予防措置をとれるようにするネットワーク遮断システムが開示されている。
【０００５】
このシステムは、管理対象ネットワーク以外のネットワークに設置されたネットワーク監視装置によって、管理対象ネットワーク以外のネットワークに対して攻撃を行っている攻撃元計算機或いは攻撃元計算機が接続されている攻撃元ネットワークが検出されると、管理対象ネットワークに対する攻撃が行われていなくとも、ネットワーク遮断判定装置が管理対象ネットワークと攻撃元計算機との間の通信或いは管理対象ネットワークと攻撃元ネットワークとの間の通信を遮断するものである。
【０００６】
【特許文献１】特開２００２-１４１９１６号公報
【特許文献２】特開２００５-１２６０６号公報
【発明の開示】
【発明が解決しようとする課題】
【０００７】
ところで特許文献１に記載のネットワーク管理システムは、接続されている端末の情報を収集して管理テーブルに保持している。そしてこの管理テーブルの内容に基づいてポートの使用の許可／禁止を決定している。このため端末情報を収集する手順が必要となり、端末の数が多い場合に、いわば収集のためのコストが増大することになる。
【０００８】
一方、特許文献２に記載のネットワーク遮断システムは、管理対象ネットワークと監視対象のネットワークとが分かれており、ネットワーク監視装置とネットワーク中継装置もそれぞれのネットワークに設置されている。このようなネットワーク遮断システムでは、管理対象ネットワークに対する攻撃が行われていない場合であっても、管理対象ネットワークと攻撃元計算機あるいは攻撃元ネットワークとの間の通信を遮断することがある。したがって、管理対象ネットワークに接続している攻撃元ではない計算機（端末）の通信も遮断される可能性があり、サービス性が低下する虞がある。
【０００９】
したがって、本発明の目的は、不正な通信を遮断するために端末情報の収集を行う際のコストが低く、サービス性の低下の少ない通信管理装置、ネットワークシステム、ネットワークシステムにおける通信遮断方法、およびプログラムを提供することにある。
【課題を解決するための手段】
【００１０】
本発明の一つのアスペクトに係る通信管理装置は、ネットワークに接続され、該ネットワークに接続される通信検出装置と通信中継装置との接続情報を管理する通信管理装置である。この装置は、通信検出装置において検出条件に適合する通信を検出して保持される通信記録を参照する手段と、通信記録の内容を元に、検出条件に適合する通信を実行した通信装置が接続されている通信中継装置の接続口を特定する手段と、該接続口の状態を使用不可能な状態に変更するように該通信中継装置に指示する手段と、を備える。
【００１１】
第１の展開形態の通信管理装置において、通信中継装置は、接続する通信装置の通信を許可するあるいは拒否することを表す中継規則保持部を含み、検出条件に適合する通信を実行した通信装置に関する中継規則保持部の内容を許可から拒否に変更させることが好ましい。
【００１２】
本発明の他のアスペクトに係る通信管理装置は、ネットワークに接続される通信検出装置と通信中継装置との接続情報を管理する装置接続構成管理部と、通信検出装置が有する通信装置に関する通信記録を収集して分析し、分析結果に基づく通信を実行した通信装置を特定する通信記録収集分析部と、通信記録収集分析部が特定した通信装置に関する情報を元に、通信装置が接続されている通信中継装置および該通信中継装置の接続口を特定する通信中継装置検索部と、特定した接続口の状態を使用不可能な状態にするように該通信中継装置に指示する通信中継装置接続口遮断部と、を備える。
【００１３】
第２の展開形態の通信管理装置において、接続口は、ＩＰアドレスを有し、通信装置を接続するポートであってもよい。
【００１４】
本発明の一つのアスペクトに係るネットワークシステムは、通信管理装置と、通信記録を記録する通信記録部を備える通信検出装置と、通信装置を接続して、ネットワークに中継する通信中継装置と、を備える。
【００１５】
本発明の一つのアスペクトに係るネットワークシステムにおける通信遮断方法は、ネットワークに接続される通信検出装置と通信中継装置との接続情報を管理するステップと、通信検出装置から通信記録を収集して分析し、分析結果に基づく通信を実行した通信装置を特定するステップと、ネットワーク上の全通信中継装置から、それぞれの通信中継装置が持つ各接続口のＩＰアドレス情報を検索するステップと、特定した通信装置が接続されている通信中継装置と該通信中継装置の接続口とを特定するステップと、特定された接続口の状態を使用可能から使用不可能に変更するステップと、を含む。
【００１６】
本発明の他のアスペクトに係るネットワークシステムにおける通信遮断方法は、ネットワークに接続され、該ネットワークに接続される通信検出装置と通信中継装置との接続情報を管理する通信管理装置が該通信中継装置に接続される通信装置の通信を遮断する方法であって、通信検出装置が有する検出条件に適合して検出された通信の記録の内容に基づいて、該検出された通信を実行した通信装置を割り出すステップと、通信を実行した通信装置が接続されている通信中継装置と該通信中継装置の接続口を特定するステップと、特定した接続口の状態を使用不可能な状態に変更するように指示するステップと、を含む。
【００１７】
第１の展開形態のネットワークシステムにおける通信遮断方法において、特定された通信中継装置における中継規則の内容に関し、通信を実行した通信装置の通信を許可から拒否に変更するステップをさらに含んでもよい。
【００１８】
本発明の一つのアスペクトに係るプログラムは、ネットワークに接続され、該ネットワークに接続される通信検出装置と通信中継装置との接続情報を管理する通信管理装置のコンピュータを、通信検出装置において検出条件に適合する通信を検出して保持される通信記録を参照する手段、通信記録の内容を元に、検出条件に適合する通信を実行した通信装置が接続されている通信中継装置の接続口を特定する手段、該接続口の状態を使用不可能な状態に変更するように該通信中継装置に指示する手段、として機能させる。
【００１９】
本発明の他のアスペクトに係るプログラムは、ネットワークに接続され、該ネットワークに接続される通信検出装置と通信中継装置との接続情報を管理する通信管理装置のコンピュータが該通信中継装置に接続される通信装置の通信を遮断するために、通信検出装置が検出した通信の記録の内容に基づいて、検出した通信を実行した通信装置を割り出す処理と、通信を実行した通信装置が接続されている通信中継装置と該通信中継装置の接続口を特定する処理と、特定した接続口の状態を使用不可能な状態に変更するように該通信中継装置に指示する処理と、を実行する。
【発明の効果】
【００２０】
本発明によれば、不正な通信の記録の内容に基づいて不正な通信を実行した通信装置の通信を遮断して通信装置を切り離す。したがって、全ての通信装置の情報を収集する必要がないので、情報収集のためのコストが低い。また、管理対象となるネットワークに接続している攻撃元ではない通信装置の通信が遮断される可能性が少なく、サービス性の低下が軽減される。
【発明を実施するための最良の形態】
【００２１】
本発明の実施形態に係るネットワークシステムは、通信管理装置（図１の１０）、不正通信検出装置（図１の３０）、通信中継装置（図１の４０）をＴＣＰ／ＩＰ（Transmission Control Protocol/Internet Protocol）ネットワーク（図１の２０）で接続している。通信中継装置（図１の４０）は、通信装置（図１の５０）の通信を中継し、ＴＣＰ／ＩＰネットワーク（図１の２０）に接続する。通信管理装置（図１の１０）は、装置接続構成管理部（図１の１１）と不正通信記録収集分析部（図１の１２）と通信中継装置検索部（図１の１３）と通信中継装置接続口遮断部（図１の１４）を含む。装置接続構成管理部（図１の１１）は、ＴＣＰ／ＩＰネットワーク（図１の２０）に接続される不正通信検出装置（図１の３０）と通信中継装置（図１の４０）との接続情報を管理する。不正通信記録収集分析部（図１の１２）は、装置接続構成管理部（図１の１１）が管理している不正通信検出装置（図１の３０）が持つ不正通信記録を収集して分析し、不正通信を実行した通信装置を特定する。通信中継装置検索部（図１の１３）は、不正通信記録収集分析部（図１の１２）が特定した通信装置の情報について不正通信を実行した通信装置が接続されている通信中継装置および通信中継装置の接続口を特定する。通信中継装置接続口遮断部（図１の１４）は、通信中継装置検索部（図１の１３）が検出した通信中継装置の接続口の状態を使用不可能な状態にするように通信中継装置（図１の４０）に指示する。通信中継装置（図１の４０）は、指示された接続口の状態を使用不可能にする。なお、ここで不正な通信あるいは不正通信とは、予め定めた検出条件に適合する通信、具体的には予め定めたパターンに符合する内容や順序であるデータを含んで通信されるものをいう。
【００２２】
以上のように通信管理装置（図１の１０）は、不正通信検出装置（図１の３０）が検出した不正な通信の記録の内容に基づいて不正な通信を実行した装置を割り出し、不正な通信を実行した装置が接続されている通信中継装置（図１の４０）とその接続口（図１の４５）を特定する。そして通信管理装置（図１の１０）は、検出した接続口の状態を使用不可能な状態に変更させる。これにより、不正な通信を実行する通信装置がネットワークから切り離され、不正な通信によるネットワーク上への被害の拡大が防止される。この際、通信管理装置（図１の１０）は、全ての通信装置の情報を収集することがないので、情報収集のためのコストが低い。また、管理対象となるネットワークに接続している攻撃元ではない通信装置の通信が遮断される可能性が少なく、サービス性の低下が軽減される。以下、実施例に即し、図面を参照して詳しく説明する。
【実施例１】
【００２３】
図１は、本発明の第１の実施例に係るネットワークシステムの構成を示すブロック図である。図１において、ネットワークシステムは、通信管理装置１０とＴＣＰ／ＩＰネットワーク２０と不正通信検出装置３０と通信中継装置４０と通信装置５０とから構成される。
【００２４】
通信管理装置１０は、装置接続構成管理部１１と不正通信記録収集分析部１２と通信中継装置検索部１３と通信中継装置接続口遮断部１４とを備え、ＴＣＰ／ＩＰネットワーク２０に接続される。
【００２５】
装置接続構成管理部１１は、ＴＣＰ／ＩＰネットワーク２０に接続される不正通信検出装置３０との接続情報を管理する。
【００２６】
不正通信記録収集分析部１２は、不正通信検出装置３０の不正通信記録部３１において記録されている不正通信記録を収集し、収集した記録情報を基に不正通信を実行した通信装置、例えば通信装置５０を特定する。
【００２７】
通信中継装置検索部１３は、不正通信記録収集分析部１２が特定した通信装置５０の情報を元に、通信装置５０が接続されている通信中継装置４０と、通信中継装置４０における接続口４５を特定する。この特定のために、例えば、通信中継装置４０のＭＩＢ(Management Information Base)情報を収集して分析する。なお、ＭＩＢ情報とは、インターネット標準化団体であるＩＥＴＦ(Internet Engineering Task Force)にて定められている、ネットワーク管理情報の構造とそのデータベースに関する情報である。
【００２８】
より具体的には、通信中継装置４０の有するＭＩＢ情報を読み取って、以下のような情報を取得する。
・装置名
・接続口インデックス識別子
・接続口に接続されている通信装置のＩＰアドレス
・接続口の使用状態（接続／切断）
【００２９】
通信中継装置接続口遮断部１４は、通信中継装置検索部１３が取得した情報を元に、必要に応じて通信中継装置４０が持つＭＩＢ情報を書き換える。例えば、「接続口の使用状態」の情報を「接続」から「切断」に書き換える。この書き換えによって、通信中継装置４０の接続口４５を使用した通信が不可能となり、結果として通信装置５０の通信が遮断されることになる。このとき、通信中継装置４０の接続口４５に通信装置５０が接続されていても通信自体が不可能の状態になる。したがって、通信装置５０の利用者から見れば、該当の通信中継装置４０は、通信装置５０が接続されているにもかかわらず使用できないため、あたかも物理的に遮断されているかのように見えることとなる。
【００３０】
不正通信検出装置３０は、ＩＰアドレス３２を持ち、ＴＣＰ／ＩＰネットワーク２０に接続されている。また、不正通信検出装置３０は、不正通信記録を記録する不正通信記録部３１を有する。
【００３１】
ここで不正通信記録部３１に記録されている不正通信記録とは、ＩＤＳ(Intrusion Detection System)のログを想定している。不正通信検出装置３０は、通信中継装置４０を通過するデータ（パケット）を監視する。そして、そのデータの内容や順序が、不正通信検出装置３０が有するパターン（例えばシグネチャ）に符合する内容や順序であった場合には、例えば、以下のような内容の通信記録を不正通信記録部３１に記録する。
・攻撃パターン識別子
・攻撃パターン名
・攻撃とみなす通信を検出した不正通信検出装置名
・攻撃とみなす通信を発生させている装置のＩＰアドレス
・攻撃先とみなされる装置のＩＰアドレス
【００３２】
通信管理装置１０は、上記のような不正通信記録部３１の情報を収集して監視する。通信管理装置１０は、まず「攻撃とみなす通信を検出した不正通信検出装置名」を見て、管理対象としている不正通信検出装置の不正通信記録かどうかを確認する。該当の装置の不正通信記録であった場合には「攻撃パターン名」を見て、接続口を遮断する必要があるかどうかを判断する。遮断の必要があると判断した場合は、先に説明した手順で接続口に関するＭＩＢ情報等を取得し、接続口の遮断を実行させる。なお、通信管理装置１０は、コンピュータとプログラムを内蔵し、コンピュータがプログラムを実行することで機能するように構成されていてもよい。
【００３３】
通信中継装置４０は、ＴＣＰ／ＩＰネットワーク２０に接続されるスイッチング機能を有する装置であって、他の通信装置の通信を中継するための接続口４５を持つ。接続口４５は、ＩＰアドレス４２を持ち、通信装置を接続するポートである。具体的には、図２に示すようなＩＰアドレスと各接続口に関する情報を持つ。図２の例では、通信中継装置４０は、ＩＰアドレス４１を持ち、接続口を１６個備え、その内の接続口４５は、ＩＰアドレス４２を持ち、サブネットマスクが２５５．２５５．２５５．０で、使用可能状態にあることを表す。なお、図２では、接続口４５の情報のみを示しているが、他の接続口についても、同様な情報を表すものとする。また、図１では、通信中継装置４０は、１台のみを示しているが、複数台存在していても良い。
【００３４】
通信装置５０は、ＩＰアドレス５１を持ち、通信中継装置４０の接続口４５に接続され、通信中継装置４０を介してＴＣＰ／ＩＰネットワーク２０に接続されている。なお、図示されない同様の通信装置が通信中継装置４０の接続口４５あるいは他の接続口に接続されているものとする。ここでは、通信装置５０がＴＣＰ／ＩＰネットワーク２０に接続されている自身以外の装置へ不正な通信を実行するものとする。
【００３５】
次に、本発明の第１の実施例に係る通信管理装置の動作について説明する。図３は、本発明の第１の実施例に係る通信管理装置の動作を表すフローチャートである。ここでは通信装置５０が不正な通信を実行し、不正通信検出装置３０は、不正な通信を検出して不正通信記録部３１に不正通信記録として記録しているものとする。また、装置接続構成管理部１１は、ＴＣＰ／ＩＰネットワーク２０と不正通信検出装置３０と通信中継装置４０と通信装置５０との間の接続情報を管理しているものとする。
【００３６】
まず、不正通信記録収集分析部１２は、不正通信検出装置３０から不正通信記録を収集して分析し、不正な通信を実行した通信装置５０のＩＰアドレス５１を特定する（ステップＳ１１）。
【００３７】
次に、通信中継装置検索部１３は、装置接続構成管理部１１が管理するＴＣＰ／ＩＰネットワーク２０上の全通信中継装置から、個々の通信中継装置が持つ図２で示したような各接続口のＩＰアドレス情報を検索する（ステップＳ１２）。そして、不正通信記録収集分析部１２が特定した通信装置５０が接続されている通信中継装置４０と接続口４５を特定する（ステップＳ１３）。
【００３８】
最後に、通信中継装置接続口遮断部１４は、通信中継装置検索部１３が特定した通信中継装置４０に対し接続口４５の状態を使用可能から使用不可能に変更（遮断）させる（ステップＳ１４）。接続口４５が遮断され、ＩＰアドレス５１を持つ通信装置５０は、通信中継装置４０の接続口４５を使用しての通信が不可能な状態となる（ステップＳ１５）。
【００３９】
通信管理装置１０は、以上のように動作し、不正通信検出装置３０が検出した攻撃とみなされる不正な通信の記録の内容に基づいて不正な通信を実行した装置を割り出し、攻撃を実行した通信装置が接続されている通信中継装置４０とその接続口４５を特定する。そして通信管理装置１０は、検出した接続口４５の状態を使用不可能な状態に変更させる。これによって、不正な通信によるネットワーク上への被害の拡大を防ぐことができる。
【実施例２】
【００４０】
図４は、本発明の第２の実施例に係るネットワークシステムの構成を示すブロック図である。図４において、図１と同一の符号は、同一物を表す。第２の実施例のネットワークシステムでは、図１の通信中継装置４０の代わりに、中継規則保持部４３を追加した通信中継装置４０ａを備える点が第１の実施例のネットワークシステムと異なる。
【００４１】
通信中継装置４０ａは、ＴＣＰ／ＩＰネットワーク２０に接続されており、他の通信装置の通信を中継するための接続口４５を持つ。接続口４５は、ＩＰアドレス４２を持つ。
【００４２】
また、通信中継装置４０ａは、接続する通信装置単位に通信の許可／拒否を定める中継規則を中継規則保持部４３に保持している。ここで中継規則とは、ＡＣＬ(Access Control List)を想定している。具体的な例としては、図５に示すような規則であって、通信中継装置４０ａにおける装置からの通信に対し許可／拒否を表す通信（アクセス）権限を装置ごとに与えるものである。例えば、通信中継装置４０ａに接続されている装置Ａは、「許可」であって、通信することができるが、装置Ｂは、「拒否」であって、通信中継装置４０ａを通じて通信することができないことを示している。なお、通信装置５０の通信は、「許可」であるものとする。
【００４３】
次に、本発明の第２の実施例に係る通信管理装置の動作について説明する。図６は、本発明の第２の実施例に係る通信管理装置の動作を表すフローチャートである。なお、図６において、図３と同一の符号のステップは、同一の処理内容を表し、その説明を省略する。
【００４４】
ステップ１７において、通信中継装置接続口遮断部１４は、通信中継装置検索部１３が特定した通信中継装置４０ａの中継規則保持部４３の内容を、通信装置５０の通信を許可するから許可しない（拒否する）に変更させる。「拒否」に変更されることで、ＩＰアドレス５１を持つ通信装置５０は、通信中継装置４０ａを使用しての通信が不可能となる。
【００４５】
一般には、接続口を使用不可能の状態にすることで、通信中継装置４０ａに接続されている通信装置からの通信を遮断することができる。しかし、使用不可能の状態にある接続口は、使用不可能となっている一つだけであって、他の接続口は使用可能の状態であり、かつ何も接続されていない可能性がある。したがって、このような場合に、通信を遮断された通信装置が通信中継装置４０ａの、使用不可能となった接続口とは別の使用可能の接続口に接続し直した場合、結果として通信を遮断することができない。
【００４６】
しかしながら、上述したような中継規則を適用し、該当する通信装置に対する規則を「拒否」に設定しておく。このように設定しておくことで、接続口を変更して通信を試みた場合であっても、中継規則により通信が拒否され、結果として該当する通信装置からの通信を遮断することができる。
【図面の簡単な説明】
【００４７】
【図１】本発明の第１の実施例に係るネットワークシステムの構成を示すブロック図である。
【図２】通信中継装置についてのＩＰアドレスと各接続口に関する情報を表す図である。
【図３】本発明の第１の実施例に係るネットワークシステムの動作を表すフローチャートである。
【図４】本発明の第２の実施例に係るネットワークシステムの構成を示すブロック図である。
【図５】中継規則の構成例を示す図である。
【図６】本発明の第２の実施例に係るネットワークシステムの動作を表すフローチャートである。
【符号の説明】
【００４８】
１０  通信管理装置
１１  装置接続構成管理部
１２  不正通信記録収集分析部
１３  通信中継装置検索部
１４  通信中継装置接続口遮断部
２０  ＴＣＰ／ＩＰネットワーク
３０  不正通信検出装置
３１  不正通信記録部
３２、４１、４２、５１  ＩＰアドレス
４０、４０ａ  通信中継装置
４３  中継規則保持部
４５  接続口
５０  通信装置
【図１】
2006332997.tif 000003
【図２】
2006332997.tif 000004
【図３】
2006332997.tif 000005
【図４】
2006332997.tif 000006
【図５】
2006332997.tif 000007
【図６】
2006332997.tif 000008