(57)【要約】【課題】振る舞い検知装置からの通信遮断指示がＩＰアドレスであるため、レイヤ２スイッチが複数階層化されたネットワーク構成では最もホップ数の少ないネットワーク装置を特定することができない。また、通信を遮断された端末の利用者は、機器の故障によりネットワークに到達できないのか、不正プログラムに感染したため通信が遮断されたのか区別することができない。【解決手段】  ＡＲＰ情報、ＦＤＢ情報だけではなく、ＬＬＤＰ情報も組み合わせることで、端末の接続しているネットワーク機器を特定する。また、ユーザのＷｅｂアクセスに遮断メッセージを応答することでＷｅｂブラウザに遮断メッセージを表示して通信の遮断をユーザに通知する。【選択図】  図１
2018121320.tif 000002
【特許請求の範囲】
【請求項１】
少なくともひとつのレイヤ３スイッチと、複数のレイヤ２スイッチを有するネットワークシステムであって、
前記ネットワークシステムは、さらに、前記ネットワークシステムの通信の振る舞いを監視して攻撃を検知する振る舞い検知部と、
前記振る舞い検知部が出力した検知結果を受け取るとともに、前記レイヤ３スイッチおよびレイヤ２スイッチから、前記検知結果と前記スイッチが収容する端末装置に割り当てられたアドレスを対応づけるための情報と、前記スイッチのポートの学習情報と、前記各スイッチの隣接情報とに基づいて、前記振る舞い検知部が検知した攻撃を遮断するための設定を行う対象のスイッチを特定し、前記特定したスイッチに攻撃を遮断するための設定を行うネットワーク管理部を有することを特徴とするネットワークシステム。
【請求項２】
請求項１に記載のネットワークシステムであって、
前記振る舞い検知部が出力した検知結果が攻撃を受けた端末装置のＩＰアドレスの場合、
前記ネットワーク管理部は、攻撃を受けた端末装置のＩＰアドレスと、前記スイッチが収容する端末装置に割り当てられたアドレスを対応づけるための情報と、前記各スイッチの各ポートの学習情報と、前記各スイッチの隣接情報とに基づいて、前記攻撃を受けた端末装置から最もホップ数が少ないレイヤ２スイッチを特定し、前記特定したレイヤ２スイッチに対し、前記攻撃を受けた端末装置の通信を遮断するフィルタを設定することを特徴とするネットワークシステム。
【請求項３】
請求項２に記載のネットワークシステムであって、
さらに、前記通信を遮断した端末装置に対し、攻撃を検知したために通信を遮断したことを通知する遮断メッセージ通知部を有することを特徴とするネットワークシステム。
【請求項４】
少なくともひとつのレイヤ３スイッチと、複数のレイヤ２スイッチを有するネットワークにおいて、
前記ネットワークの通信の振る舞いを監視して攻撃を検知する振る舞い検知部が出力した検知結果を受け取るとともに、前記レイヤ３スイッチおよびレイヤ２スイッチから、前記検知結果と前記スイッチが収容する端末装置に割り当てられたアドレスを対応づけるための情報と、前記各スイッチの各ポートの学習情報と、前記各スイッチの隣接情報とに基づいて、前記振る舞い検知部が検知した攻撃を遮断するための設定を行う対象のスイッチを特定し、前記特定したスイッチに攻撃を遮断するための設定を行うことを特徴とするネットワークコントローラ。
【請求項５】
請求項４に記載のネットワークコントローラであって、
前記振る舞い検知部が出力した検知結果が攻撃を受けた端末装置のＩＰアドレスの場合、
攻撃を受けた端末装置のＩＰアドレスと、前記スイッチが収容する端末装置に割り当てられたアドレスを対応づけるための情報と、前記各スイッチの各ポートの学習情報と、前記各スイッチの隣接情報とに基づいて、前記攻撃を受けた端末装置から最もホップ数が少ないレイヤ２スイッチを特定し、前記特定したレイヤ２スイッチに対し、前記攻撃を受けた端末装置の通信を遮断するフィルタを設定することを特徴とするネットワークコントローラ。
【請求項６】
請求項５に記載のネットワークコントローラであって、
さらに、前記特定したレイヤ２スイッチに対し、前記通信を遮断した端末装置に対して攻撃を検知したために通信を遮断したことを通知するための設定を行うことを特徴とするネットワークコントローラ。
【請求項７】
複数のスイッチと、前記複数のスイッチを管理するサーバを有するネットワークシステムにおいて、前記サーバが、前記ネットワークシステムに対する攻撃を検出して、ネットワークシステムの防御のために攻撃に関する通信を遮断するネットワーク制御方法であって、
前記ネットワークシステムの通信の振る舞いを監視して攻撃を検知する振る舞い検知部が出力した検知結果を受け取り、
前記検知結果と、前記スイッチが収容する端末装置に割り当てられたアドレスを対応づけるための情報と、前記スイッチのポートの学習情報と、前記各スイッチの隣接情報とに基づいて、前記振る舞い検知部が検知した攻撃を遮断するための設定を行う対象のスイッチを特定し、
前記特定したスイッチに攻撃を遮断するための設定を行うことを特徴とするネットワーク制御方法。
【請求項８】
請求項７に記載のネットワーク制御方法であって、
前記特定したスイッチに前記振る舞い検知部が検知した攻撃を遮断するための設定を行うとともに、前記遮断対象の通信の状態を監視するための情報を記憶し、
予め決められたタイミングまたは前記サーバの管理者の指示により、前記遮断対象の通信の状態を監視するための情報と、前記スイッチが収容する端末装置に割り当てられたアドレスを対応づけるための情報または前記スイッチのポートの学習情報または前記各スイッチの隣接情報とを比較し、
前記遮断対象の通信の状態の変化を検知した場合には、前記振る舞い検知部が検知した攻撃を遮断するための設定を行う対象のスイッチを特定する処理と、前記特定したスイッチに攻撃を遮断するための設定を再実施することを特徴とするネットワーク制御方法。
【請求項９】
請求項８に記載のネットワーク制御方法であって、
前記遮断対象の通信の状態の変化として、前記スイッチのポートの学習情報により、遮断対象の通信の送信元端末のポート移動を検知し、
攻撃を遮断するための設定を行う対象のスイッチを特定する処理と、前記特定したスイッチに攻撃を遮断するための設定を再実施することを特徴とするネットワーク制御方法。
【請求項１０】
請求項８に記載のネットワーク制御方法であって、
前記遮断対象の通信の状態の変化として、記スイッチが収容する端末装置に割り当てられたアドレスを対応づけるための情報により、遮断対象の通信の送信元端末のアドレス変更を検知し、
攻撃を遮断するための設定を行う対象のスイッチを特定する処理と、前記特定したスイッチに攻撃を遮断するための設定を再実施することを特徴とするネットワーク制御方法。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、ネットワーク装置への情報の設定に関し、特に、ネットワーク内で検知した攻撃を遮断するための情報をネットワーク装置へ設定する技術に関する。
【背景技術】
【０００２】
近年、人の心理や情報システムの脆弱性を巧みに突いて、インターネット経由で不正プログラムを企業・組織に侵入させる標的型サイバー攻撃が増加している。標的型サイバー攻撃は、年々高度化、巧妙化、多様化しており、攻撃に対抗するための手段として、ソフトウェアの動作やネットワーク上の通信の振る舞いから攻撃を見つけ出す振る舞い検知装置が実用化されている。このうち、ネットワーク上の通信の振る舞いから攻撃を見つけ出す振る舞い検知装置は、ネットワーク装置からミラーリングされたトラフィックを監視し、外部ネットワークからの不審データの侵入、内部ネットワークから外部ネットワークの不正なウェブサイトへの接続、不審な通信やファイルの検知、統計分析等による異常検知を行うことにより、ウィルス定義書のパターンファイルとのマッチングだけでは検出できない攻撃を検知する。
【０００３】
また、標的型サイバー攻撃により万が一企業・組織内に不正プログラムが侵入した場合に、迅速な初動対応を行って被害範囲を最小化することを目的とし、振る舞い検知装置とＳＤＮ（Ｓｏｆｔｗａｒｅ  Ｄｅｆｉｎｅｄ  Ｎｅｔｗｏｒｋｉｎｇ）技術を連携させ、振る舞い検知装置が検知したイベントをトリガとし、ＳＤＮ連携アダプタによりネットワークの遮断/隔離を自動化するソリューションも提案されている。
【先行技術文献】
【特許文献】
【０００４】
【特許文献１】特開平１０−５６４５１
【非特許文献】
【０００５】
【非特許文献１】ｈｔｔｐ://ｊｐｎ.ｎｅｃ.ｃｏｍ/ｓｄｎ/ｐｄｆ/ＮＥＣ＿ＳＤＮ＿ｃｙｂｅｒ＿ｔｒｅｎｄｍｉｃｒo.ｐｄｆ
【発明の概要】
【発明が解決しようとする課題】
【０００６】
前述の振る舞い検知装置は、不審な通信を検知し、宛先ＩＰ（Ｉｎｔｅｒｎｅｔ  Ｐｒｏｔｏｃｏｌ）アドレスや送信元ＩＰアドレス、プロトコルタイプ等の通信の内容を出力する。振る舞い検知装置と連携して通信の遮断/隔離を行う場合には、ＩＰアドレスを指定してネットワーク側に通信の遮断指示を出すことになる。指定されたＩＰアドレスから端末を特定する方法として、特許文献１に記載の技術がある。特許文献１のＡＲＰ（Ａｄｄｒｅｓｓ Ｒｅｓｏｌｕｔｉｏｎ Ｐｒｏｔｏｃｏｌ）テーブルに基づく端末の特定では、ネットワークにレイヤ３スイッチが含まれる場合、レイヤ３スイッチまでしか特定できない。ネットワークがさらにレイヤ２スイッチを含む階層構造のネットワークであった場合には、レイヤ３スイッチを特定し、レイヤ３スイッチに通信を遮断するためのフィルタを設定しても、レイヤ２スイッチ間のレイヤ２中継で不正プログラムが別の端末に感染し、被害が拡大することを防ぐことができない。
【０００７】
振る舞い検知装置から通知された遮断対象のＩＰアドレスが不正プログラムに対して指示を出すＣ＆Ｃ（Ｃｏｍｍａｎｄ  ａｎｄ  Ｃｏｎｔｒｏｌ）サーバの場合は、Ｃ＆Ｃサーバとの接点、つまりインターネットと直接接続しているネットワーク機器の該当ポートに対して通信を遮断するフィルタを設定すればよい。この設定によって、攻撃を受けて不正プログラムが潜伏しているが、振る舞い検知装置で検知できていない端末が他にあったとしても、その端末からＣ＆Ｃサーバとの通信も遮断することができ、フィルタの適用数も最も少なく、効率のよい最適な通信遮断位置となる。インターネットと直接接続しているポートは、ネットワーク構成から自明であり、Ｃ＆Ｃ（Ｃｏｍｍａｎｄ  ａｎｄ  Ｃｏｎｔｒｏｌ）サーバに対する最適な通信遮断位置は、あらかじめ管理者が決めておくことが可能である。
【０００８】
一方、振る舞い検知装置から通知された遮断対象のＩＰアドレスが不正プログラムに感染した端末のＩＰアドレスの場合、最適な通信遮断位置を特定することは容易ではない。この場合、端末が直接ＬＡＮ（Ｌｏｃａｌ  Ａｒｅａ  Ｎｅｔｗｏｒｋ）ケーブルで接続しているレイヤ２スイッチのポートにフィルタを設定することが、別サブネットへの通信も、同一ネットワーク装置でレイヤ２中継される通信も遮断することができるとともに、フィルタの適用数も最も少なく、効率のよい最適な通信遮断位置となる。しかし、振る舞い検知装置からはＩＰアドレスしか通知されないため、従来の端末特定技術では、レイヤ３スイッチが学習しているＡＲＰ（Ａｄｄｒｅｓｓ  Ｒｅｓｏｌｖｅ  Ｐｒｏｔｏｃｏｌ）情報から端末のＭＡＣ（Ｍｅｄｉａ  Ａｃｃｅｓｓ  Ｃｏｎｔｒｏｌ）アドレスを求め、ＦＤＢ（Ｆｉｌｔｅｒｉｎｇ  ＤａｔａＢａｓｅ）情報から該当ＭＡＣアドレスを学習したポートをフィルタの適用対象の候補とする。しかし、レイヤ２スイッチが複数階層化されたネットワーク構成では、ＦＤＢ情報だけでは、どのレイヤ２スイッチが端末と直接接続ないし、最もホップ数の少ないネットワーク装置なのか特定できないという課題がある。
【０００９】
さらに、通信を遮断された端末の利用者は、機器の故障によりネットワークに到達できないのか、不正プログラムに感染したため通信が遮断されたのか区別することができなかった。
さらに、不正プログラムに感染した端末が持ち運ばれるなどして別のレイヤ２スイッチのポートに接続されたり、端末のＩＰアドレスが変更されたりした場合には、ポートの移動やＩＰアドレスの変更を検出し、最適な通信遮断位置を特定し直す必要がある。
【００１０】
本発明は、上記課題を解決するためになされたもので、不正プログラムに感染した端末の通信を遮断するためのフィルタを、ネットワーク内の最適な位置に設定し、通信の遮断を最少のフィルタ数で実現する技術を提供することを目的とする。
また、本発明は、通信を遮断された端末の利用者が、機器の故障によりネットワークに到達できないのか、不正プログラムに感染したため通信が遮断されたのか区別できるようにすることを目的とする。
また、不正プログラムに感染した端末が別のポートに接続されたり、端末のＩＰアドレスが変更されたりした場合にも、通信遮断位置を特定し直して通信の遮断を行うことを目的とする。
【課題を解決するための手段】
【００１１】
前記課題を解決するために、本発明においては、一例として、
少なくともひとつのレイヤ３スイッチと、複数のレイヤ２スイッチを有するネットワークシステムにおいて、
ネットワークシステムの通信の振る舞いを監視して攻撃を検知する振る舞い検知部と、
振る舞い検知部が出力した検知結果を受け取るとともに、レイヤ３スイッチおよびレイヤ２スイッチから、検知結果とスイッチが収容する端末装置に割り当てられたアドレスを対応づけるための情報と、各スイッチの各ポートの学習情報と、各スイッチの隣接情報とに基づいて、振る舞い検知部が検知した攻撃を遮断するための設定を行う対象のスイッチを特定し、特定したスイッチに攻撃を遮断するための設定を行うネットワーク管理部を有するようにしたものである。
【００１２】
より詳しくは、振る舞い検知部が出力した検知結果が攻撃を受けた端末装置のＩＰアドレスの場合、ネットワーク管理部は、攻撃を受けた端末装置のＩＰアドレスと、スイッチが収容する端末装置に割り当てられたアドレスを対応づけるための情報と、各スイッチの各ポートの学習情報と、各スイッチの隣接情報とに基づいて、攻撃を受けた端末装置から最もホップ数が少ないレイヤ２スイッチを特定し、特定したレイヤ２スイッチに対し、攻撃を受けた端末装置の通信を遮断するフィルタを設定するようにしたものである。
【００１３】
また、通信の遮断対象の端末装置の状態が変化した場合には、攻撃を遮断するための設定を行う対象のスイッチ特定および攻撃を遮断するための設定を再度実施する。
また、通信を遮断した端末装置に対し、攻撃を検知したために通信を遮断したことを通知する遮断メッセージ通知部を備えるようにしたものである。
【発明の効果】
【００１４】
本発明によれば、不正プログラムに感染した端末の通信を遮断するためのフィルタを、ネットワーク内の最適な位置に設定し、通信の遮断を最少のフィルタ数で実現することができる。
また、本発明は、通信を遮断された端末の利用者は、機器の故障によりネットワークに到達できないのか、不正プログラムに感染したため通信が遮断されたのか区別することができる。
また、不正プログラムに感染した端末が別の装置のポートに接続された場合や、不正プログラムに感染した端末のＩＰアドレスが変更された場合にも、ネットワーク内の最適な位置での通信の遮断を継続できる。
【図面の簡単な説明】
【００１５】
【図１】本発明の一実施例におけるネットワークシステム構成を説明する図である。
【図２】本発明の一実施例におけるネットワーク管理サーバの構成を説明する図である。
【図３】本発明の一実施例におけるネットワーク装置の構成を説明する図である。
【図４】コントローラが収集したＡＲＰ情報を示す図である。
【図５】コントローラが収集したＦＤＢ情報を示す図である。
【図６】コントローラが収集したＬＬＤＰ情報を示す図である。
【図７】本発明の一実施例におけるネットワーク管理サーバの通信遮断動作を示すシーケンス図である。
【図８】本発明の一実施例におけるネットワーク管理サーバの設定動作を示すフローチャートである。
【図９】コントローラがＡＲＰ情報とＦＤＢ情報を組み合わせて作ったフィルタ設定対象装置絞り込み情報を示す図である。
【図１０】コントローラがＡＲＰ情報とＦＤＢ情報とＬＬＤＰ情報を組み合わせて作ったフィルタ設定対象装置特定情報を示す図である。
【図１１】本発明の一実施例におけるネットワーク管理サーバの構成を説明する図である。
【図１２】本発明の一実施例におけるポート移動監視情報を説明する図である。
【図１３】本発明の一実施例におけるＦＤＢ情報を示す図である。
【図１４】本発明の一実施例におけるポート移動監視情報の設定処理を説明するフローチャートである。
【図１５】本発明の一実施例におけるポート移動監視部の処理を説明するフローチャートである。
【図１６】本発明の一実施例におけるネットワーク管理サーバの構成を説明する図である。
【図１７】本発明の一実施例におけるＩＰ変更監視情報を説明する図である。
【図１８】本発明の一実施例におけるＡＲＰ情報を示す図である。
【図１９】本発明の一実施例におけるＩＰ変更監視情報の設定処理を説明するフローチャートである。
【図２０】本発明の一実施例におけるＩＰ変更検出処理を説明するフローチャートである。
【発明を実施するための形態】
【００１６】
以下、本発明を実施するための形態を、複数の実施例を示して説明する。
【実施例１】
【００１７】
まず、第１の実施例を以下の順序で説明する。
１．１  システム構成
１．２  ネットワーク管理サーバの構成
１．３  ネットワーク装置の構成
１．４  テーブルの内容
１．５  攻撃を検知した場合の通信遮断動作
１．６  実施例効果
[１．１  システム構成]
図１は、本発明の一実施例におけるネットワークシステムの構成を示す説明図である。
図１のネットワークシステムは、ネットワークを構成するネットワーク装置であるレイヤ３スイッチＳ１０、レイヤ２スイッチＳ２０、レイヤ２スイッチＳ３０、レイヤ２スイッチＳ４０と、これらのネットワーク装置を管理するネットワーク管理サーバＳ５０と、ネットワークを監視する振る舞い検知装置Ｓ６０で構成される。ネットワーク管理サーバは、ネットワーク管理サーバ上で動作するプログラムであるコントローラＣ１０を備える。
【００１８】
レイヤ３スイッチＳ１０は、ポートＰ１１を介してインターネットと、ポートＰ１２を介して振る舞い検知装置Ｓ６０と、ポートＰ１３を介してネットワーク管理サーバＳ５０と、ポートＰ１４を介してレイヤ２スイッチＳ２０と、ポートＰ１５を介してレイヤ２スイッチＳ４０と接続している。
レイヤ２スイッチＳ２０は、ポートＰ２１を介してレイヤ３スイッチＳ１０と、ポートＰ２２を介してレイヤ２スイッチＳ３０と、ポートＰ２３を介してユーザ端末Ｕ３０と接続している。
レイヤ２スイッチＳ３０は、ポートＰ３１を介してレイヤ２スイッチＳ２０と、ポートＰ３２を介してユーザ端末Ｕ１０と、ポートＰ３３を介してユーザ端末Ｕ２０と接続している。
レイヤ２スイッチＳ４０は、ポートＰ４１を介してレイヤ３スイッチＳ１０と、ポートＰ４２を介してユーザ端末Ｕ４０と接続している。
【００１９】
[１．２  ネットワーク管理サーバの構成]
図２は、本発明の一実施例におけるネットワーク管理サーバの構成を示す説明図である。
ネットワーク管理サーバＳ５０は、演算をするためのＣＰＵ（Ｃｅｎｔｒａｌ  Ｐｒｏｃｅｓｓｉｎｇ  Ｕｎｉｔ）と、プログラムを格納するためのメモリと、他のネットワーク装置に回線を介して接続するためのネットワークＩＦ（ＩｎｔｅｒＦａｃｅ）を備え、それぞれがバスで接続されている。メモリには、プログラムであるコントローラＣ１０が格納され、メモリに格納されたプログラムをＣＰＵが実行することでコントローラＣ１０の各機能を実現する。
【００２０】
コントローラＣ１０は、ネットワーク装置の情報を収集するモジュールである装置情報収集部Ｍ５１と、振る舞い検知装置からの指示を受信するモジュールである設定指示受信部Ｍ５２と、前記指示に従いフィルタ等を設定する対象のネットワーク装置を特定するトポロジ計算部Ｍ５３と、ネットワーク装置に設定を実施する装置設定制御部Ｍ５４と、前述の装置情報収集部Ｍ５１で収集したネットワーク装置の情報を格納するテーブルであるＡＲＰ情報Ｔ１０、ＦＤＢ情報Ｔ２０、ＬＬＤＰ（Ｌｉｎｋ  Ｌａｙｅｒ  Ｄｉｓｃｏｖｅｒｙ  Ｐｒｏｔｏｃｏｌ）情報Ｔ３０で構成される。各テーブルの内容は図４〜６で後述する。
【００２１】
[１．３  ネットワーク装置の内容]
図３は、本発明の一実施例におけるネットワーク装置の構成を示す説明図である。
本実施例においてレイヤ２スイッチＳ２０、Ｓ４０も同様の構成を備えるが、ここではレイヤ２スイッチＳ３０を例として説明する。なお、レイヤ３スイッチＳ１０はレイヤ２スイッチの構成に加えて、レイヤ３中継するためのパケット中継部を備える点が異なる。
【００２２】
レイヤ２スイッチＳ３０は、他のネットワーク装置等と通信するための複数のポート（図３のＰ３１、Ｐ３２、Ｐ３３…）を備える。レイヤ２スイッチＳ３０は、ポートで受信したレイヤ２フレームをＶＬＡＮ（Ｖｉｒｔｕａｌ  ＬＡＮ）、ＦＤＢ、およびフィルタ機能に従い、レイヤ２中継するためのフレーム転送部を備える。また、本実施例のレイヤ２スイッチＳ３０は、さらに、フィルタでフレームを廃棄したことをユーザに通知するために遮断メッセージを応答する遮断メッセージ応答部Ｑ１０を備えることを特徴とする。本実施例ではメッセージ応答部Ｑ１０は、レイヤ２中継するＨＴＴＰ（ＨｙｐｅｒＴｅｘｔ  Ｔｒａｎｓｆｅｒ  Ｐｒｏｃｏｔｏｌ）のＧＥＴリクエストをスヌーピングし、応答として通信が遮断されていることを伝えるためのＨＴＭＬ（ＨｙｐｅｒＴｅｘｔ  Ｍａｒｋｕｐ  Ｌａｎｇｕａｇｅ）コンテンツをユーザに送信するが、ユーザへ通信が遮断されていることの通知はどのような手段を用いてもよい。
【００２３】
[１．４  テーブルの内容]
各テーブルの内容について、次に説明する。
図４を用いてＡＲＰ情報を説明する。ＡＲＰ情報Ｔ１０は、コントローラＣ１０が管理対象のネットワーク装置（すなわちレイヤ３スイッチＳ１０、レイヤ２スイッチＳ２０、レイヤ２スイッチＳ３０、レイヤ２スイッチＳ４０）から収集したＡＲＰ情報を元に生成され、収集元の装置を識別するＩＤ（ＩＤｅｎｔｉｆｉｅｒ）である装置Ｌ１１、ＩＰアドレスＬ１２、ＭＡＣアドレスＬ１３、出力先インタフェースＬ１４で構成される。本実施例では、レイヤ３スイッチＳ１０でのみＡＲＰ学習をするため、装置Ｌ１１はＳ１０が格納される。ユーザＡ端末Ｕ１０はＩＰアドレス  ＩＰ−ＡとＭＡＣアドレス  ＭＡＣ−Ａを備え、ＶＬＡＮ１０に所属しているため、装置Ｌ１１がＳ１０、ＩＰアドレスＬ１２がＩＰ−Ａ、ＭＡＣアドレスＬ１３がＭＡＣ−Ａ、出力先インタフェースがＶＬＡＮ１０のエントリとして格納する。ユーザＢ端末Ｕ２０は、装置Ｌ１１がＳ１０、ＩＰアドレスＬ１２がＩＰ−Ｂ、ＭＡＣアドレスＬ１３がＭＡＣ−Ｂ、出力先インタフェースがＶＬＡＮ２０のエントリとして格納する。ユーザＣ端末Ｕ３０は、装置Ｌ１１がＳ１０、ＩＰアドレスＬ１２がＩＰ−Ｃ、ＭＡＣアドレスＬ１３がＭＡＣ−Ｃ、出力先インタフェースがＶＬＡＮ１０のエントリとして格納する。ユーザＤ端末Ｕ４０は、装置Ｌ１１がＳ１０、ＩＰアドレスＬ１２がＩＰ−Ｄ、ＭＡＣアドレスＬ１３がＭＡＣ−Ｄ、出力先インタフェースがＶＬＡＮ１０のエントリとして格納している。
【００２４】
図５を用いてＦＤＢ情報を説明する。
ＦＤＢ情報Ｔ２０は、コントローラＣ１０が管理対象のネットワーク装置から収集したＦＤＢ情報を元に生成され、装置Ｌ２１、ＭＡＣアドレスＬ２２、学習インタフェースＬ２３、学習ポートＬ２４で構成される。本実施例では、ＶＬＡＮ１０がレイヤ３スイッチのポートＰ１４、Ｐ１５、レイヤ２スイッチＳ２０のポートＰ２１、Ｐ２２、Ｐ２３、レイヤ２スイッチＳ３０のポートＰ３１、Ｐ３２、レイヤ２スイッチＳ４０のポートＰ４１、Ｐ４２、Ｐ４３で構成されているとして説明する。ユーザＡ端末Ｕ１０のＭＡＣ−Ａはレイヤ３スイッチＳ１０のポートＰ１４、レイヤ２スイッチＳ２０のポートＰ２２、レイヤ２スイッチＳ３０のポートＰ３２で学習する。その結果、装置Ｌ２１がＳ１０、ＭＡＣアドレスＬ２２がＭＡＣ−Ａ、学習インタフェースＬ２３がＶＬＡＮ１０、学習ポートＬ２４がＰ１４のエントリと、装置Ｌ２１がＳ２０、ＭＡＣアドレスＬ２２がＭＡＣ−Ａ、学習インタフェースＬ２３がＶＬＡＮ１０、学習ポートＬ２４がＰ２２のエントリと、装置Ｌ２１がＳ３０、ＭＡＣアドレスＬ２２がＭＡＣ−Ａ、学習インタフェースＬ２３がＶＬＡＮ１０、学習ポートＬ２４がＰ３２のエントリを格納する。
【００２５】
同様にユーザＣ端末Ｕ３０のＭＡＣ−Ｃについては、装置Ｌ２１がＳ１０、ＭＡＣアドレスＬ２２がＭＡＣ−Ｃ、学習インタフェースＬ２３がＶＬＡＮ１０、学習ポートＬ２４がＰ１４のエントリと、装置Ｌ２１がＳ２０、ＭＡＣアドレスＬ２２がＭＡＣ−Ｃ、学習インタフェースＬ２３がＶＬＡＮ１０、学習ポートＬ２４がＰ２３のエントリを格納する。
ユーザＤ端末Ｕ４０のＭＡＣ−Ｄについては、装置Ｌ２１がＳ１０、ＭＡＣアドレスＬ２２がＭＡＣ−Ｄ、学習インタフェースＬ２３がＶＬＡＮ１０、学習ポートＬ２４がＰ１５のエントリと、装置Ｌ２１がＳ４０、ＭＡＣアドレスＬ２２がＭＡＣ−Ｄ、学習インタフェースＬ２３がＶＬＡＮ１０、学習ポートＬ２４がＰ４２のエントリを格納している。
【００２６】
また、ＶＬＡＮ２０がレイヤ３スイッチのポートＰ１４、レイヤ２スイッチＳ２０のポートＰ２１、Ｐ２２、レイヤ２スイッチＳ３０のポートＰ３３で構成されているとすると、ユーザＢ端末Ｕ２０のＭＡＣ−Ｂはレイヤ３スイッチＳ１０のポートＰ１４、レイヤ２スイッチＳ２０のポートＰ２２、レイヤ２スイッチＳ３０のポートＰ３３で学習する。その結果、装置Ｌ２１がＳ１０、ＭＡＣアドレスＬ２２がＭＡＣ−Ｂ、学習インタフェースＬ２３がＶＬＡＮ２０、学習ポートＬ２４がＰ１４のエントリと、装置Ｌ２１がＳ２０、ＭＡＣアドレスＬ２２がＭＡＣ−Ｂ、学習インタフェースＬ２３がＶＬＡＮ２０、学習ポートＬ２４がＰ２２のエントリと、装置Ｌ２１がＳ３０、ＭＡＣアドレスＬ２２がＭＡＣ−Ｂ、学習インタフェースＬ２３がＶＬＡＮ２０、学習ポートＬ２４がＰ３３のエントリを格納している。
【００２７】
次に、図６を用いてＬＬＤＰ情報を説明する。
ＬＬＤＰ情報Ｔ３０は、コントローラＣ１０が管理対象のネットワーク装置から収集したＬＬＤＰ情報を元に生成され、装置Ｌ３１、受信ポートＬ３２、対向装置Ｌ３３、接続先ポートＬ３４で構成される。本実施例では、すべてのネットワーク装置がＬＬＤＰ機能を有効にしており、隣接ネットワーク装置にＬＬＤＰの制御フレームを送信しているとして説明する。レイヤ３スイッチＳ１０はレイヤ２スイッチＳ２０とレイヤ２スイッチＳ４０から、レイヤ２スイッチＳ２０はレイヤ３スイッチＳ１０とレイヤ２スイッチＳ３０から、レイヤ２スイッチＳ３０はレイヤ２スイッチＳ２０から、レイヤ２スイッチＳ４０はレイヤ３スイッチＳ１０からＬＬＤＰの制御フレームを受信する。
【００２８】
コントローラＣ１０が管理対象のネットワーク装置から収集したＬＬＤＰ情報を元にＬＬＤＰ情報Ｔ３０を生成した結果が図６であり、装置Ｌ３１がＳ１０、受信ポートＬ３２がＰ１４、対向装置Ｌ３３がＳ２０、接続先ポートＬ３４がＰ２１のエントリと、装置Ｌ３１がＳ１０、受信ポートＬ３２がＰ１５、対向装置Ｌ３３がＳ４０、接続先ポートＬ３４がＰ４１のエントリと、装置Ｌ３１がＳ２０、受信ポートＬ３２がＰ２１、対向装置Ｌ３３がＳ１０、接続先ポートＬ３４がＰ１４のエントリと、装置Ｌ３１がＳ２０、受信ポートＬ３２がＰ２２、対向装置Ｌ３３がＳ３０、接続先ポートＬ３４がＰ３１のエントリと、装置Ｌ３１がＳ３０、受信ポートＬ３２がＰ３１、対向装置Ｌ３３がＳ２０、接続先ポートＬ３４がＰ２２のエントリと、装置Ｌ３１がＳ４０、受信ポートＬ３２がＰ４１、対向装置Ｌ３３がＳ１０、接続先ポートＬ３４がＰ１５のエントリを格納している。
【００２９】
図４、図５、図６で説明した各情報テーブルは、コントローラＣ１０の装置情報収集部Ｍ５１が定期的に管理対象のネットワーク装置（つまりレイヤ３スイッチＳ１０、レイヤ２スイッチＳ２０、レイヤ２スイッチＳ３０、レイヤ２スイッチＳ４０）からＳＮＭＰ（Ｓｉｍｐｌｅ  Ｎｅｔｗｏｒｋ  Ｍａｎａｇｅｍｅｎｔ  Ｐｒｏｔｏｃｏｌ）などの手段を用いて情報収集、および更新を実施する。
【００３０】
[１．５  攻撃を検知した場合の通信遮断動作]
図７は、本発明の一実施例におけるネットワーク管理サーバの通信遮断動作を示すシーケンス図である。
図７は、ユーザＡ端末Ｕ１０が標的型サイバー攻撃を受け、感染したユーザＡ端末Ｕ１０が不正プログラムによる通信を開始し、この不審な通信を振る舞い検知装置Ｓ６０で攻撃として検知し、通信の遮断をコントローラＣ１０に指示するまでの処理の流れを示している。
【００３１】
ユーザＡ端末Ｕ１０に感染した不正プログラムは、攻撃のためにインターネット上にあるＣ＆ＣサーバＳ７０と通信を行う（Ｍ１０）。通信の中継地点であるレイヤ２スイッチＳ３０は、通信を振る舞い検知装置Ｓ６０にミラーリングする（Ｍ２０）。本実施例では振る舞い検知装置Ｓ６０はネットワーク装置に接続された外部装置として配置しているため通信をミラーリングしているが、ネットワーク装置自体が振る舞い検知機能を備えていてもよく、機能の実装位置は限定しない。ミラーリングされた通信を解析し、ユーザＡ端末Ｕ１０が不正プログラムに感染していることを検出した振る舞い検知装置Ｓ６０は、ユーザＡ端末Ｕ１０のＩＰアドレスであるＩＰ−Ａの通信を遮断するよう、コントローラＣ１０に指示を出す（Ｍ３０）。振る舞い検知装置Ｓ６０からの通信遮断指示Ｍ３０を受信したコントローラＣ１０は、ネットワーク装置から収集した情報に基づいて、通信遮断設定を設定する対象のネットワーク装置を特定する（Ｆ１０）。
【００３２】
図８はネットワーク装置を特定する処理（Ｆ１０）の詳細を示すフローチャート図である。
振る舞い検知装置Ｓ６０から、ユーザＡ端末Ｕ１０のＩＰアドレスであるＩＰ−Ａの通信遮断指示Ｍ３０を設定指示受信部Ｍ５２で受信（Ｆ１１）したコントローラＣ１０は、トポロジ計算部Ｍ５３でＡＲＰ情報テーブルＴ１０、ＦＤＢ情報テーブルＴ２０を組み合わせて通信遮断のためのフィルタ設定を行うネットワーク装置を絞り込むための情報テーブルを作成する。ＡＲＰ情報Ｔ１０のＭＡＣアドレスＬ１３とＦＤＢ情報テーブルＴ２０のＭＡＣアドレスＬ２２の値が同じ、かつＡＲＰ情報Ｔ１０の出力先インタフェースＬ１４とＦＤＢ情報Ｔ２０の学習インタフェースＬ２３の値が同じものを組み合わせることで図９のフィルタ設定対象装置絞り込み情報テーブルＴ４０を作成する。
【００３３】
図９のフィルタ設定対象装置絞り込み情報テーブルＴ４０は、装置Ｌ４１、ＩＰアドレスＬ４２、ＭＡＣアドレスＬ４３、学習インタフェースＬ４４、学習ポートＬ４５を備える。ここで、ＩＰアドレスＬ４２の値がＩＰ−Ａであるものを絞り込むと、フィルタ適用先候補であるエントリＫ１０、エントリＫ２０、エントリＫ３０を抽出することができる。しかし、エントリＫ３０の示すレイヤ２スイッチＳ４０にフィルタを設定すると、エントリＫ１０、エントリＫ２０の示すネットワーク装置に設定したフィルタは使用されない無駄なフィルタとなる。また、レイヤ３スイッチＳ１０、レイヤ２スイッチＳ２０にフィルタを設定しても、レイヤ２スイッチＳ３０のポート間の通信が可能なため、不正プログラムがユーザＢ端末Ｕ２０に感染することが可能となる。
【００３４】
この問題を解決するためにＡＲＰ情報Ｔ１０、ＦＤＢ情報Ｔ２０だけではなく、さらにＬＬＤＰ情報Ｔ３０も組み合わせて情報テーブルを作成する。ＡＲＰ情報Ｔ１０のＭＡＣアドレスＬ１３とＦＤＢ情報テーブルＴ２０のＭＡＣアドレスＬ２２の値が同じ、かつＡＲＰ情報Ｔ１０の出力先インタフェースＬ１４とＦＤＢ情報Ｔ２０の学習インタフェースＬ２３の値が同じ、かつＦＤＢ情報Ｔ２０の学習ポートＬ２４とＬＬＤＰ情報Ｔ３０の受信ポートＬ３２が同じものを組み合わせることで図１０のフィルタ設定対象装置特定情報テーブルＴ５０を作成する（Ｆ１２）。
【００３５】
なお、本実施例では情報テーブルＴ５０は振る舞い検知装置Ｓ６０からの通信遮断指示を受信した契機で作成しているが、各情報テーブルＴ１０、Ｔ２０、Ｔ３０を更新する契機で作成してもよい。
【００３６】
図１０のフィルタ設定対象装置特定情報テーブルＴ５０は、装置Ｌ５１、ＩＰアドレスＬ５２、ＭＡＣアドレスＬ５３、学習インタフェースＬ５４、学習ポートＬ５５、対向装置Ｌ５６を備える。ここで、ＩＰアドレスＬ５２の値がＩＰ−Ａであり、かつ対向装置がネットワーク装置ではないエントリを絞り込むと、エントリＫ４０を抽出することができる（Ｆ１３）。フィルタ設定対象装置特定情報テーブルＴ５０からエントリが抽出できなかった場合、各情報テーブルの更新を待って再度トポロジ計算部でフィルタ設定対象装置特定情報テーブルＴ５０からエントリが抽出できるまで繰り返す（Ｆ１４）。コントローラＣ１０の装置設定制御部Ｍ５４はこのエントリＫ４０の示すレイヤ２スイッチＳ３０にフィルタを設定する（Ｆ１５）。なお、本実施例ではＬＬＤＰを用いて隣接装置がネットワーク装置か否かの判定を行っているが手段は限定しない。
【００３７】
図７に戻り、設定先装置を特定したコントローラＣ１０は、さらに、レイヤ２スイッチＳ３０にフィルタ設定により通信を遮断したことをユーザに通知するための設定を実施する（Ｍ４０）。通信が遮断されたことによって外部と通信することができなくなったユーザＡ端末Ｕ１０の利用者はインターネットないしネットワークとの接続確認のためにＷｅｂブラウザからＷｅｂアクセスを試みる（Ｍ５０）。Ｗｅｂアクセスを受けたレイヤ２スイッチはフィルタでユーザＡ端末Ｕ１０からの通信を廃棄するとともに、遮断メッセージ応答部Ｑ１０から通信が遮断されていることをユーザＡ端末Ｕ１０の利用者に教えるための遮断メッセージをＷｅｂアクセスの応答として送信する（Ｍ６０）。遮断メッセージがＷｅｂブラウザに表示されたユーザは、利用しているユーザ端末が不正プログラムに感染していることに利用者自身もいち早く気づき、情報システム管理者と連携して被害範囲の最小化が可能となる。なお、本実施例ではレイヤ２スイッチが遮断メッセージ応答部Ｑ１０を備えているが、サーバ上で動作するプログラムとして実装してもよく、実装位置は限定しない。
【００３８】
[１．６  実施例効果]
以上、説明した第一の実施例のネットワークシステムでは、不正プログラムに感染したユーザ端末の通信遮断を最少のフィルタ数で実現することができる。また、ユーザのＷｅｂブラウザに遮断メッセージを表示することで不正プログラムへの感染を早期に気付かせることが可能となる。
【実施例２】
【００３９】
次に、第二の実施例について説明する。
図１に示したネットワーク構成において、さらに、レイヤ２スイッチとユーザ端末間にハブを設け、ハブに複数のユーザ端末を収容し、ハブがレイヤ２スイッチのポートに接続されるネットワーク構成を例として考える。このようなネットワーク構成においては、不正プログラムに感染した端末の通信を遮断し感染した端末以外の通信を継続するために、レイヤ２スイッチのフィルタに通信を遮断する端末のＩＰアドレスまたはＭＡＣアドレスを設定することが考えられる。通信を遮断する端末のＩＰアドレスまたはＭＡＣアドレスがフィルタに設定された場合、不正プログラムに感染した端末の利用者がその端末を別のレイヤ２スイッチのポートに接続すると、通信を継続することが可能となってしまう。
第二の実施例は、不正プログラムに感染した端末が、持ち運ばれるなどして別のレイヤ２スイッチのポートに接続された場合にも、移動を検知し、通信遮断を実現する実施例である。
【００４０】
本実施例では、通信を遮断した対象の端末が別のレイヤ２スイッチのポートに接続されたことをネットワーク管理サーバのコントローラが検知し、移動先のポートに通信を遮断するフィルタを設定する技術について、以下の順序で説明する。
２．１  ネットワーク管理サーバの構成
２．２  テーブルの内容
２．３  ポート移動監視情報の格納
２．４  ポート移動を検知した場合の通信遮断動作
２．５  実施例効果
[２．１  ネットワーク管理サーバの構成]
図１１は本発明の第二の実施例におけるネットワーク管理サーバの構成を説明する図である。
図１１のネットワーク管理サーバＳ５１は、第一の実施例で説明したネットワーク管理サーバＳ５０の構成に加えて、ポート移動検出部Ｍ１００と、ポート移動監視情報Ｔ１００を備える。ポート移動検出部Ｍ１００は、通信遮断対象のポート移動を検出するモジュールである。ポート移動監視情報Ｔ１００は、ポート移動を監視するための情報を格納するテーブルである。ポート移動監視情報Ｔ１００のテーブルの内容は図１２で後述する。
【００４１】
[２．２  テーブルの内容]
図１２は、ポート移動監視情報を説明する図である。
ポート移動監視情報Ｔ１００は、通信を遮断した端末のポート移動を監視するための情報であり、装置Ｌ１０１、ＭＡＣアドレスＬ１０２、学習インタフェースＬ１０３、学習ポートＬ１０４を格納する。
図１２には、第一の実施例に従い、ＩＰ−Ａの通信を遮断している場合を例にとって、格納する情報を示す。図１２の例では、ポート移動監視情報Ｔ１００は、装置Ｌ１０１が装置Ｓ３０、ＭＡＣアドレスＬ１０２がＭＡＣ−Ａ、学習インタフェースＬ１０３がＶＬＡＮ１０、学習ポートＬ１０４がポートＰ３２のエントリを格納している。
【００４２】
図１３に、第２の実施例におけるＦＤＢ情報テーブルを示す。
コントローラＣ１１の装置情報収集部Ｍ５１は、定期的に管理対象のネットワーク装置から情報収集し各テーブルを更新する。装置情報収集部Ｍ５１は、レイヤ２スイッチＳ３０のポートＰ３２のリンクダウンを検出すると、装置Ｌ２１がＳ３０、ＭＡＣアドレスＬ２２がＭＡＣ−Ａ、学習インタフェースＬ２３がＶＬＡＮ１０、学習ポートＬ２４がＰ３２のエントリＫ５０を破棄する。また、レイヤ２スイッチＳ４０にユーザＡ端末Ｕ１０が接続されてポートＰ４３がリンクアップしたことを検出し、装置Ｌ２１がＳ４０、ＭＡＣアドレスＬ２２がＭＡＣ−Ａ、学習インタフェースＬ２３がＶＬＡＮ１０、学習ポートＬ２４がＰ４３のエントリＫ６０を学習し格納する。
【００４３】
[２．３  ポート移動監視情報の格納]
図１４は、本発明の第二の実施例におけるネットワーク装置の特定および監視対象の情報を監視情報Ｔ１００に格納する処理（Ｆ１４０）を示すフローチャートである。
第一の実施例において攻撃を検知し通信遮断動作を行う処理に加えて、さらに、通信遮断対象のＦＤＢ情報（ＦＤＢエントリ）を監視情報Ｔ１００に格納する（Ｆ２１）処理を有する点が第一の実施例のフローチャート（図８）との差である。
【００４４】
[２．４  ポート移動を検知した場合の通信遮断動作]
図１５は、本発明の第二の実施例において、ポート移動を検知し移動後のポートに通信の遮断設定をする処理（１５０）を示すフローチャートである。
【００４５】
コントローラＣ１１のポート移動検出部Ｍ１００は、定期的（Ｆ１０１）にポート移動監視情報Ｔ１００に登録されたＦＤＢエントリに該当するエントリがＦＤＢ情報テーブルＴ２０に存在するかを確認する（Ｆ１０２）。該当するＦＤＢエントリがＦＤＢ情報テーブルＴ２０に存在する場合、処理を終了する。該当するＦＤＢエントリがＦＤＢ情報テーブルＴ２０に存在しない場合、図８におけるＦ１２〜Ｆ１５を実施し、移動後のポートに通信の遮断設定を実施する（Ｆ１０３）。本実施例では、ポート移動監視情報Ｔ１００として、図１２に示すように装置Ｌ１０１がＳ３０、ＭＡＣアドレスＬ１０２がＭＡＣ−Ａ、学習インタフェースＬ１０３がＶＬＡＮ１０、学習ポートＬ１０４がＰ３２のエントリが登録されている。ポート移動検出部Ｍ１００は、この監視対象のエントリに該当するＦＤＢ情報テーブルＴ２０のエントリＫ５０がＦＤＢ情報テーブルに存在するかどうかを確認する処理（Ｆ１０２）により、監視対象の端末の移動を監視する。ポート移動検出部Ｍ１００は、監視対象のエントリに該当するＦＤＢ情報が、ＦＤＢ情報テーブルに存在しなくなったことでポートの移動を検出している。また、ポートの移動を検出後に再度通信の遮断設定を実施することにより通信の遮断が可能となる。
【００４６】
なお、レイヤ３スイッチの代わりにルータで構成されるネットワークのように、ＦＤＢ情報を学習できないネットワーク装置に直接ユーザ端末がつながっている場合は、ポートのダウンをポートの移動検出に用いてもよい。また、ポートの移動検出処理は、定期的に行う他、予め決めたタイミングや、サーバの管理者の指示により行ってもよい。
【００４７】
[２．５  実施例効果]
以上、説明した第二の実施例では、不正プログラムに感染したユーザ端末が通信を遮断されたのちに移動し、別のレイヤ２スイッチの別のポートに接続して通信を再開させようとしても、ポート移動を検知して再度通信の遮断設定を実施することが可能となる。
【実施例３】
【００４８】
次に、第三の実施例について説明する。
第三の実施例は、不正プログラムに感染した端末のIＰアドレスが変更された場合にも、通信遮断を実現する実施例である。
第二の実施例で例として挙げたように、レイヤ２スイッチのフィルタに通信を遮断する端末のＩＰアドレスが設定された場合、不正プログラムに感染した端末のＩＰアドレスが変更されると、通信を継続することが可能となってしまう。
【００４９】
そこで、本実施例では、通信を遮断した対象の端末のＩＰアドレスが変更されたことをネットワーク管理サーバのコントローラが検知し、変更後のＩＰアドレスに対して通信を遮断する設定を実施する構成について、以下の順序で説明する。
３．１  ネットワーク管理サーバの構成
３．２  テーブルの内容
３．３  ＩＰアドレス変更監視情報の格納
３．４  ＩＰアドレスの変更を検知した場合の通信遮断動作
３．５  実施例効果
[３．１  ネットワーク管理サーバの構成]
図１６は本発明の第三実施例としてのネットワーク管理サーバＳ５２の構成を説明する図である。ネットワーク管理サーバＳ５２は、図２に示した第一の実施例のネットワーク管理サーバＳ５０の構成に加えて、ＩＰ変更検出部Ｍ２００と、ＩＰ変更監視情報Ｔ２００を備える。ＩＰ変更検出部Ｍ２００は、通信遮断対象の端末のＩＰアドレス変更を検出するモジュールである。ＩＰ変更監視情報Ｔ２００は、ＩＰアドレスの変更を監視するための情報を格納するテーブルである。ＩＰ変更監視情報Ｔ２００のテーブルの内容は図１７で後述する。
【００５０】
[３．２  テーブルの内容]
図１７のＩＰ変更監視情報Ｔ２００は、通信を遮断した端末のＩＰアドレスの変更を監視するための情報を格納するテーブルであり、ＩＰアドレスＬ２０１、ＭＡＣアドレスＬ２０２を格納する。図１７には、第一の実施例において通信を遮断したＩＰ−Ａに対応する情報を格納する例を示しており、ＩＰアドレスＬ２０１がＩＰ−Ａ、ＭＡＣアドレスＬ２０２がＭＡＣ−Ａのエントリを格納している。
【００５１】
図１８は第三の実施例におけるＡＲＰ情報テーブルを示す図である。
ＩＰ変更監視対象のＩＰアドレスＩＰ−Ａを有するユーザＡ端末Ｕ１０のＩＰアドレスが、ＩＰ−ＡからＩＰ−Ａ‘に変更され、ユーザＡ端末Ｕ１０がＩＰ−Ａ’で通信を開始する。ＩＰ変更検出部Ｍ２００は、装置Ｌ１１がＳ１０、ＩＰアドレスＬ１２がＩＰ−Ａ‘、ＭＡＣアドレスＬ１３がＭＡＣ−Ａ、出力先インタフェースＬ１４がＶＬＡＮ１０のエントリＫ７０を学習しＡＲＰ情報テーブルに格納する。
【００５２】
[３．３  ＩＰアドレス変更監視情報の格納]
図１９は、本発明の第三の実施例におけるネットワーク装置の特定および監視対象の情報をＩＰ変更監視情報Ｔ２００に格納する処理（Ｆ１９０）を示すフローチャートである。
第一の実施例における通信遮断動作に加えて、さらに通信遮断対象の情報であるＭＡＣアドレスとＩＰアドレスの組をＩＰ変更監視情報Ｔ２００に格納する処理（Ｆ２２）を有する点が第一の実施例のフローチャート（図８）との差である。
【００５３】
本実施例では、ＩＰ変更監視情報Ｔ２００としてＩＰアドレスＬ２０１がＩＰ−Ａ、ＭＡＣアドレスＬ２０２がＭＡＣ−Ａのエントリが登録されている。
【００５４】
[３．４  ＩＰアドレスの変更を検知した場合の通信遮断動作]
図２０は第三の実施例におけるＩＰアドレスの変更を検出する処理および変更後のＩＰアドレスに対し通信の遮断設定をする処理（Ｆ２００）を示すフローチャートである。コントローラＣ１２のＩＰアドレス変更検出部Ｍ２００は、定期的（Ｆ２０１）に、ＩＰ変更監視情報Ｔ２００に登録されたＭＡＣアドレスとＩＰアドレスの組に該当するＡＲＰエントリがＡＲＰ情報テーブルＴ１０に存在するかを確認する（Ｆ２０２）。ＡＲＰ情報テーブルＴ１０に、監視対象のＭＡＣアドレスとＩＰ変更監視情報Ｔ２００に登録されているＩＰアドレスを組み合わせたＡＲＰエントリ以外ＡＲＰ情報テーブルＴ１０に存在しない場合、処理を終了する。ＡＲＰ情報テーブルＴ１０に、監視対象のＭＡＣアドレスとＩＰ変更情報Ｔ２００に登録されているＩＰアドレスの組み合わせの他、監視対象のＭＡＣアドレスとＩＰ変更情報Ｔ２００に登録されていない新しいＩＰアドレスを組み合わせたＡＲＰエントリがＡＲＰ情報テーブルＴ１０に存在する場合、その新しいＩＰアドレスに対して、図８における処理Ｆ１２〜Ｆ１５を実施し、新しい（変更後の）ＩＰアドレスに対し通信の遮断設定を実施する（Ｆ２０３）。
【００５５】
本実施例では、ＩＰ変更監視情報Ｔ２００に、ＩＰアドレスＬ２０１がＩＰ−Ａ、監視対象の装置のＭＡＣアドレスＬ２０２がＭＡＣ−Ａと、ＩＰアドレスＬ２０１がＩＰ−Ａのエントリが監視情報として登録されている。監視対象のＭＡＣアドレスの端末がＩＰアドレスを変更して通信を継続すると、ＡＲＰ情報テーブルＴ２０のエントリＫ８０が生成される。ＩＰ変更検出部Ｍ２００は、エントリＫ８０生成によってＩＰアドレスの変更を検出する。また、ＩＰ変更検出部Ｍ２００は、ＩＰアドレスの変更を検出後に変更後のＩＰアドレスに対して再度通信の遮断設定を実施することにより通信の遮断が可能となる。なお、IＰアドレスの変更検出処理は、定期的に行う他、予め決めたタイミングや、サーバの管理者の指示により行ってもよい。
【００５６】
[３．５  実施例効果]
以上、説明した第三の実施例のコントローラでは、不正プログラムに感染したユーザ端末が通信を遮断されたのちに別のＩＰアドレスを別のＩＰアドレスに変更して通信を再開させようとしても、ＩＰアドレスの変更を検知して再度通信の遮断設定を実施することが可能となる。
【符号の説明】
【００５７】
Ｓ１０  レイヤ３スイッチ
Ｓ２０、Ｓ３０  Ｓ４０  レイヤ２スイッチ
Ｓ５０、Ｓ５１，Ｓ５２  ネットワーク管理サーバ
Ｓ６０  振る舞い検知装置
Ｓ７０  Ｃ＆Ｃサーバ
Ｐ１１、Ｐ１２、Ｐ１３、Ｐ１４、Ｐ１５、Ｐ２１、Ｐ２２、Ｐ２３、Ｐ３１、Ｐ３２、Ｐ３３、Ｐ４１、Ｐ４２、Ｐ４３  ポート
Ｕ１０  ユーザＡ端末
Ｕ２０  ユーザＢ端末
Ｕ３０  ユーザＣ端末
Ｕ４０  ユーザＤ端末
Ｃ１０、Ｃ１１、Ｃ１２  コントローラ
Ｍ５１  装置情報収集部
Ｍ５２  設定指示受信部
Ｍ５３  トポロジ計算部
Ｍ５４  装置設定制御部
Ｍ１００  ポート移動検出部
Ｍ２００  ＩＰ変更検出部
Ｔ１０  ＡＲＰ情報
Ｔ２０  ＦＤＢ情報
Ｔ３０  ＬＬＤＰ情報
Ｔ４０  フィルタ設定対象装置絞り込み情報テーブル
Ｔ５０  フィルタ設定対象装置特定情報テーブル
Ｔ１００  ポート移動監視情報
Ｔ２００  ＩＰ変更監視情報
Ｑ１０  遮断メッセージ応答部
【図１】
2018121320.tif 000003
【図２】
2018121320.tif 000004
【図３】
2018121320.tif 000005
【図４】
2018121320.tif 000006
【図５】
2018121320.tif 000007
【図６】
2018121320.tif 000008
【図７】
2018121320.tif 000009
【図８】
2018121320.tif 000010
【図９】
2018121320.tif 000011
【図１０】
2018121320.tif 000012
【図１１】
2018121320.tif 000013
【図１２】
2018121320.tif 000014
【図１３】
2018121320.tif 000015
【図１４】
2018121320.tif 000016
【図１５】
2018121320.tif 000017
【図１６】
2018121320.tif 000018
【図１７】
2018121320.tif 000019
【図１８】
2018121320.tif 000020
【図１９】
2018121320.tif 000021
【図２０】
2018121320.tif 000022