(57)【要約】      （修正有）【課題】不正プログラムに感染した端末の通信を遮断するためのフィルタを、適切な位置に設定するネットワークシステムを提供する。【解決手段】ネットワーク装置Ｓ１０〜３０は、ユーザ端末から受信したユーザ端末のアドレス情報を含む接続要求に、ユーザ端末に関するｃｏｏｋｉｅ情報が格納されているか否かを判定する。管理サーバは、ネットワーク装置によりｃｏｏｋｉｅ情報が格納されていないと判定され、ユーザ端末から受信したユーザ情報に基づいてユーザ端末のユーザが認証された場合に、ユーザ端末の識別子を割り当て、割り当てた識別子とユーザ端末のアドレス情報とを対応付けて端末情報に格納し、ネットワーク装置に接続された振る舞い検知装置により遮断対象とされたユーザ端末の端末識別子を、装置間の接続関係を定めたトポロジ情報の中から検索し、検索した端末識別子に対応するアドレス情報が設定されたユーザ端末を遮断対象として設定する。【選択図】図１
2019161377.tif 000002
【特許請求の範囲】
【請求項１】
ネットワーク装置と、前記ネットワーク装置を管理する管理サーバとがネットワークを介して接続されたネットワークシステムであって、
前記ネットワーク装置は、当該ネットワーク装置に接続されたユーザ端末から受信した当該ユーザ端末のアドレス情報を含む接続要求に、当該ユーザ端末に関するｃｏｏｋｉｅ情報が格納されているか否かを判定し、
前記管理サーバは、前記ネットワーク装置により前記ｃｏｏｋｉｅ情報が格納されていないと判定された場合であって、前記ユーザ端末から受信したユーザ情報に基づいて前記ユーザ端末のユーザが認証された場合に、前記ユーザ端末の識別子を割り当て、割り当てた識別子と前記ユーザ端末のアドレス情報とを対応付けて端末情報に格納し、前記ネットワーク装置に接続された振る舞い検知装置により遮断対象とされたユーザ端末の端末識別子を、装置間の接続関係を定めたトポロジ情報の中から検索し、検索した前記端末識別子に対応するアドレス情報が設定されたユーザ端末を遮断対象として前記端末情報に設定する、
ことを特徴とするネットワークシステム。
【請求項２】
請求項１に記載のネットワークシステムであって、
前記ネットワーク装置は、互いに異なるレイヤにそれぞれ設けられ、
前記管理サーバは、前記異なるレイヤに設けられたそれぞれの前記ネットワーク装置が記憶された前記トポロジ情報と、前記ネットワーク装置ごとに記憶された前記端末情報とに基づいて、前記振る舞い検知装置により遮断対象とされた前記ユーザ端末に最も近いネットワーク装置の前記端末情報に、前記遮断対象を設定する、
ことを特徴とするネットワークシステム。
【請求項３】
請求項１に記載のネットワークシステムであって、
前記管理サーバは、前記遮断対象とした前記ユーザ端末のアドレス情報が変更され、前記トポロジ情報に前記変更後の前記ユーザ端末のアドレス情報が記憶された場合に、前記端末情報に記憶されている前記変更前の前記ユーザ端末のアドレス情報を前記変更後の前記ユーザ端末のアドレス情報に更新し、当該更新後の前記端末情報と、前記変更された後の前記トポロジ情報とに基づいて、前記振る舞い検知装置により遮断対象とされた前記ユーザ端末から前記アドレス情報が変更されたユーザ端末を、前記遮断対象として前記端末情報に設定する、
ことを特徴とするネットワークシステム。
【請求項４】
請求項３に記載のネットワークシステムであって、
前記ネットワーク装置が複数設けられ、
前記管理サーバは、前記遮断対象とした前記ユーザ端末が一のネットワーク装置から他のネットワーク装置に接続先が変更され、前記トポロジ情報に前記接続先が変更された後のユーザ端末のアドレス情報が記憶された場合に、それぞれの前記ネットワーク装置が記憶された前記トポロジ情報と、前記ネットワーク装置ごとに記憶された前記端末情報とに基づいて、前記振る舞い検知装置により遮断対象とされた前記ユーザ端末から前記接続先が変更された後のユーザ端末を、前記遮断対象として前記端末情報に設定する、
ことを特徴とするネットワークシステム。
【請求項５】
ネットワーク装置と、前記ネットワーク装置を管理する管理サーバとがネットワークを介して接続されたネットワークシステムにおける通信遮断方法であって、
前記ネットワーク装置が、当該ネットワーク装置に接続されたユーザ端末から受信した当該ユーザ端末のアドレス情報を含む接続要求に、当該ユーザ端末に関するｃｏｏｋｉｅ情報が格納されているか否かを判定し、
前記管理サーバが、前記ネットワーク装置により前記ｃｏｏｋｉｅ情報が格納されていないと判定された場合であって、前記ユーザ端末から受信したユーザ情報に基づいて前記ユーザ端末のユーザが認証された場合に、前記ユーザ端末の識別子を割り当て、
前記管理サーバが、割り当てた識別子と前記ユーザ端末のアドレス情報とを対応付けて端末情報に格納し、
前記管理サーバが、前記ネットワーク装置に接続された振る舞い検知装置により遮断対象とされたユーザ端末の端末識別子を、装置間の接続関係を定めたトポロジ情報の中から検索し、
前記管理サーバが、検索した前記端末識別子に対応するアドレス情報が設定されたユーザ端末を遮断対象として前記端末情報に設定する、
ことを特徴とする通信遮断方法。
【請求項６】
ネットワーク装置を管理するネットワークコントローラであって、
前記ネットワーク装置により当該ネットワーク装置に接続されたユーザ端末から受信した当該ユーザ端末のアドレス情報を含む接続要求に、当該ユーザ端末に関するｃｏｏｋｉｅ情報が格納されていないと判定された場合であって、前記ユーザ端末から受信したユーザ情報に基づいて前記ユーザ端末のユーザが認証された場合に、前記ユーザ端末の識別子を割り当て、割り当てた識別子と前記ユーザ端末のアドレス情報とを対応付けて端末情報に格納する端末管理部と、
前記ネットワーク装置に接続された振る舞い検知装置により遮断対象とされたユーザ端末の端末識別子を、装置間の接続関係を定めたトポロジ情報の中から検索し、検索した前記端末識別子に対応するアドレス情報が設定されたユーザ端末を遮断対象として前記端末情報に設定する装置設定部と、
を備えることを特徴とするネットワークコントローラ。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、ネットワーク装置への情報の設定に関し、特に、ネットワーク内で検知した攻撃を遮断するための情報をネットワーク装置へ設定する技術に関する。
【背景技術】
【０００２】
近年、人の心理や情報システムの脆弱性を巧みに突いて、インターネット経由で不正プログラムを企業・組織に侵入させる標準型サイバー攻撃が増加している。標準型サイバープログラムは、年々高度化、巧妙化、多様化しており、攻撃に対抗するための手段として、ソフトウェアの動作やネットワーク上の通信の振る舞いから攻撃を見つけだす振る舞い検知装置が実用化されている。このうち、ネットワーク上の通信の振る舞いから攻撃を見つけ出す振る舞い検知装置は、ネットワーク装置からミラーリングされたトラフィックを監視し、外部ネットワークからの不審データの侵入、内部ネットワークから外部ネットワークの不正なウェブサイトへの接続、不審な通信やファイルの検知、統計分析等による異常検知をおこなうことにより、ウィルス定義書のパターンファイルとのマッチングだけでは検出できない攻撃を検知する。
【０００３】
また、標準型サイバー攻撃により万が一、企業・組織内に不正プログラムが侵入した場合に、迅速な初動対応を行って被害範囲を最小化することを目的とし、振る舞い検知装置とＳＤＮ（Ｓｏｆｔｗａｒｅ  Ｄｅｆｉｎｅｄ  Ｎｅｔｗｏｒｋｉｎｇ）技術を連携させ、振る舞い検知装置が検知したイベントをトリガとし、ＳＤＮ連携アダプタによりネットワークの遮断・隔離を自動化するソリューションも提案されている。
【０００４】
従来の振る舞い検知装置は、不審な通信を検知し、宛先ＩＰ（Ｉｎｔｅｒｎｅｔ  Ｐｒｏｔｏｃｏｌ）アドレスや送信元ＩＰアドレス、プロトコルタイプ等の通信の内容を出力する。振る舞い検知装置と連携して通信の遮断・隔離を行う場合には、ＩＰアドレスを指定してネットワーク側に通信の遮断指示を出すことになる。振る舞い検知装置は、指定されたＩＰアドレスからＬＡＮ（Ｌｏｃａｌ  Ａｒｅａ  Ｎｅｔｗｏｒｋ）内の最適な通信遮断位置を特定し、不正プログラムに感染した端末の通信を遮断するためのフィルタを、ネットワーク内の最適な位置に設定し、通信の遮断を最小のフィルタ数で実現する。
【０００５】
また、従来の振る舞い検知装置では、ＭＡＣ（Ｍｅｄｉａ  Ａｃｃｅｓｓ  Ｃｏｎｔｒｏｌ）アドレスと不正プログラムに感染した端末のＩＰアドレスや接続先情報の対応付けを管理することにより、端末のＩＰアドレスの変更や別のレイヤ２スイッチのポートに接続した端末の移動を検知し、変更先ＩＰアドレスを対象とするフィルタ、または変更先レイヤ２スイッチポートに対して最適なフィルタを設定している。しかし、不正プログラムに感染した端末のＭＡＣアドレスが変更された際には、追尾してフィルタを設定することができないため不正プログラムに感染した端末の通信を継続させてしまう。
【０００６】
このような問題点に鑑み、例えば、特許文献１では、認証ネットワークにおいて端末を識別する様々な技術が存在する（例えば、特許文献１）。
【先行技術文献】
【特許文献】
【０００７】
【特許文献１】特開２０１６−１１５１６２号公報
【発明の概要】
【発明が解決しようとする課題】
【０００８】
特許文献１では、端末がネットワークに接続する際に認証機能を有するスイッチが、端末に対して端末を識別する識別子としてエージェントＩＤを内包したソフトウェアを配布することにより、配布されたソフトウェアがエージェントＩＤと端末情報の組により端末を識別する。しかし、特許文献１ではエージェントＩＤについて認証機能を有するスイッチ間にて共有していない。そのため、特許文献１での端末識別方法を用いても、例えば、不正プログラムに感染した端末のＭＡＣアドレスを変更し、レイヤ２スイッチのポートに接続した端末の移動に追尾してフィルタを設定することができないといったフィルタの設定に関する問題があった。このように、不正プログラムに感染した端末の通信を遮断するためのフィルタを、適切な位置に設定することができる技術が求められていた。
【０００９】
本発明は、不正プログラムに感染した端末の通信を遮断するためのフィルタを、適切な位置に設定することが可能なネットワークシステム、通信遮断方法、及びネットワークコントローラを提供することを目的とする。
【課題を解決するための手段】
【００１０】
本発明にかかるネットワークシステムは、ネットワーク装置と、前記ネットワーク装置を管理する管理サーバとがネットワークを介して接続されたネットワークシステムであって、前記ネットワーク装置は、当該ネットワーク装置に接続されたユーザ端末から受信した当該ユーザ端末のアドレス情報を含む接続要求に、当該ユーザ端末に関するｃｏｏｋｉｅ情報が格納されているか否かを判定し、前記管理サーバは、前記ネットワーク装置により前記ｃｏｏｋｉｅ情報が格納されていないと判定された場合であって、前記ユーザ端末から受信したユーザ情報に基づいて前記ユーザ端末のユーザが認証された場合に、前記ユーザ端末の識別子を割り当て、割り当てた識別子と前記ユーザ端末のアドレス情報とを対応付けて端末情報に格納し、前記ネットワーク装置に接続された振る舞い検知装置により遮断対象とされたユーザ端末の端末識別子を、装置間の接続関係を定めたトポロジ情報の中から検索し、検索した前記端末識別子に対応するアドレス情報が設定されたユーザ端末を遮断対象として前記端末情報に設定する、ことを特徴とするネットワークシステムとして構成される。
【００１１】
また、本発明は、上記ネットワークシステムで用いられる通信遮断方法、及びネットワークコントローラとしても把握される。
【発明の効果】
【００１２】
本発明によれば、不正プログラムに感染した端末の通信を遮断するためのフィルタを、適切な位置に設定することができる。
【図面の簡単な説明】
【００１３】
【図１】一実施例におけるネットワークシステム構成を説明する図である。
【図２】一実施例におけるネットワーク管理サーバの構成を説明する図である。
【図３】一実施例におけるネットワーク装置の構成を説明する図である。
【図４】コントローラが収集したトポロジ情報を示す図である。
【図５】一実施例におけるコントローラが管理する端末管理情報を示す図である。
【図６】一実施例における振る舞い検知装置からの遮断動作による端末管理情報を示す図である。
【図７】一実施例における端末再認証動作による端末管理情報を示す図である。
【図８】一実施例における端末のＭＡＣアドレス変更によるトポロジ情報を示す図である。
【図９】一実施例における端末のＭＡＣアドレス変更、および接続先スイッチ移動によるトポロジ情報を示す図である。
【図１０】一実施例におけるネットワーク装置内の認証端末情報を示す図である。
【図１１】一実施例における端末認証動作を示すシーケンス図である。
【図１２】一実施例における端末再認証動作を示すシーケンス図である。
【図１３】一実施例におけるネットワーク装置でのフレーム転送、および認証動作処理の示すフロー図である。
【図１４】一実施例におけるネットワーク装置での認証動作処理を示すフロー図である。
【図１５】一実施例におけるコントローラでの認証動作処理を示すフロー図である。
【図１６】一実施例におけるコントローラでの再認証動作処理を示すフロー図である。
【発明を実施するための形態】
【００１４】
以下、本発明を実施するための形態を実施例に基づいて、以下の順序で説明する。
【実施例】
【００１５】
１．システム構成
２．ネットワーク管理サーバの構成
３．ネットワーク装置の構成
４．テーブルの内容
５．端末認証時の動作
６．端末再認証時の動作
７．攻撃を検知した場合の通信遮断動作
８．攻撃端末がＭＡＣアドレスを変更した場合の通信遮断動作
９．実施例効果
【００１６】
［１．システム構成］
図１は、本実施例におけるネットワークシステムの構成を示す説明図である。
図１のネットワークシステムは、ネットワークを構成するネットワーク装置であるレイヤ３スイッチＳ１０、レイヤ２スイッチＳ２０、レイヤ２スイッチＳ３０と、これらのネットワーク装置を管理するネットワーク管理サーバＳ４０（管理サーバ）と、ネットワーク内に接続された端末の接続可能かを判断する認証サーバＳ５０と、ネットワークを監視する振る舞い検知装置Ｓ６０で構成される。ネットワーク管理サーバＳ４０は、ネットワーク管理サーバ上で動作するプログラムであるコントローラＣ１０を備える。
【００１７】
レイヤ３スイッチＳ１０は、ポートＰ１１を介してインターネットと、ポートＰ１２を介して振る舞い検知装置Ｓ６０と、ポートＰ１３を介してネットワーク管理サーバＳ４０と、ポートＰ１４を介してレイヤ２スイッチＳ２０と、ポートＰ１５を介してレイヤ２スイッチＳ３０とに、それぞれ接続している。
【００１８】
レイヤ２スイッチＳ２０は、ポートＰ２１を介してレイヤ３スイッチＳ１０と、ポートＰ２２を介してユーザ端末Ｕ１０とに、それぞれ接続している。
【００１９】
レイヤ２スイッチＳ３０は、ポートＰ３１を介してレイヤ３スイッチＳ１０と、ポートＰ３３を介してユーザ端末Ｕ２０とに、それぞれ接続している。
【００２０】
［２．ネットワーク管理サーバの構成］
図２は、本実施例におけるネットワーク管理サーバの構成を示す説明図である。
ネットワーク管理サーバＳ４０は、演算をするためのＣＰＵ４０１（Ｃｅｎｔｒａｌ  Ｐｒｏｃｅｓｓｉｎｇ  Ｕｎｉｔ）と、プログラムを格納するための４０２メモリと、他のネットワーク装置に回線を介して接続するためのネットワークＩＦ４０３（ＩｎｔｅｒＦａｃｅ）を備え、それぞれがバスで接続されている。メモリ４０２には、プログラムが実行されることにより機能を実現するコントローラＣ１０を有し、ＣＰＵ４０１が、メモリ４０２に格納されたプログラムを読み出して実行することでコントローラＣ１０の各機能を実現する。
【００２１】
コントローラＣ１０は、ネットワーク装置の情報を収集するモジュールである装置情報収集部Ｍ１１と、前記収集情報に従いネットワークトポロジを計算するモジュールであるトポロジ計算部Ｍ１２と、振る舞い検知装置Ｓ６０からの指示を受信するモジュールである設定指示受信部Ｍ１３と、ネットワーク装置に設定を実施する装置設定部Ｍ１４と、各スイッチと接続するユーザ端末を認証するための認証サーバＳ５０に問い合わせるモジュールである認問合せ部Ｍ１５と、認証サーバＳ５０からの認証結果に基づいて端末を一意に識別する識別子を割り当てて端末を管理するモジュールである端末管理部Ｍ１６と、トポロジ計算部Ｍ１２により導出された情報を格納するためのテーブルであるトポロジ情報Ｔ１０と、端末管理部Ｍ１６により導出された情報を格納ためのテーブルである端末情報Ｔ２０で構成される。各テーブルの内容は図４、図５で後述する。
【００２２】
［３．ネットワーク装置の構成］
図３は、本実施例におけるネットワーク装置の構成を示す説明図である。
本実施例においてレイヤ２スイッチＳ３０も同様の構成を備えるが、ここではレイヤ２スイッチＳ２０を例として説明する。なお、レイヤ３スイッチＳ１０はレイヤ２スイッチの構成に加えて、レイヤ３においてパケットを中継するためのパケット中継部を備える点が異なる。
【００２３】
レイヤ２スイッチＳ２０は、他のネットワーク装置等と通信するための複数のポート（図３のＰ２１、Ｐ２２、Ｐ２３…）を備える。レイヤ２スイッチＳ２０は、ポートで受信したフレームを認証端末情報Ｔ３０、およびフィルタ機能に従い、レイヤ２中継するためのフレーム転送部Ｍ２１を備える。認証端末情報Ｔ３０は、フレーム解析部Ｍ２２、および認証処理部Ｍ２３により導出される。フレーム解析部Ｍ２２は、フレーム転送部Ｍ２１が受信したフレームの送信端末が認証端末情報Ｔ３０で管理されていない際に呼び出され受信したフレームを解析する。認証処理部Ｍ２３は、フレーム解析部Ｍ２２により解析されたフレームについての認証処理を実施し、認証結果により認証端末情報Ｔ３０を更新する。認証端末情報Ｔ３０の内容は図１０で後述する。
【００２４】
［４．テーブルの内容］
各テーブルの内容について、次に説明する。
図４を用いてトポロジ情報を説明する。トポロジ情報Ｔ１０は、コントローラＣ１０が管理対象のネットワーク装置（すなわちレイヤ３スイッチＳ１０、レイヤ２スイッチＳ２０、レイヤ２スイッチＳ３０）から収集したＡＲＰ（Ａｄｄｒｅｓｓ  Ｒｅｓｏｌｖｅ  Ｐｒｏｔｏｃｏｌ）情報、ＦＤＢ（Ｆｉｌｔｅｒｉｎｇ  ＤａｔａＢａｓｅ）情報、ＬＬＤＰ（Ｌｉｎｋ  Ｌａｙｅｒ  Ｄｉｓｃｏｖｅｒｙ  Ｐｒｏｔｏｃｏｌ）情報を元に構築された、ユーザ端末が接続しているネットワーク装置に関する情報である。図４に示すように、トポロジ情報Ｔ１０は、装置を識別する識別子である装置Ｌ１１、当該装置に接続されている端末のＩＰアドレスを示すＩＰアドレスＬ１２、当該装置に接続されている端末のＭＡＣアドレス（アドレス情報）を示すＭＡＣアドレスＬ１３、当該装置に接続されている端末を識別するための端末識別子Ｌ１４、ＭＡＣアドレスを学習したインタフェースを示す学習インタフェースＬ１５、ＭＡＣアドレスを学習したポートを示す学習ポートＬ１６、学習ポートＬ１６に接続している装置を示す対向装置Ｌ１７で構成される。このように、トポロジ情報Ｔ１０は、物理的なポートおよび仮想的なポートを含む装置間の接続関係を定めた情報を記憶する。なお、上記学習とは、コントローラＣ１０が収集した、管理対象のネットワーク装置（例えば、レイヤ３スイッチＳ１０、レイヤ２スイッチＳ２０、レイヤ２スイッチＳ３０）からＡＲＰ情報、ＦＤＢ情報、ＬＬＤＰ情報を組み合わせる等して得られた情報をトポロジ情報Ｔ１０の各項目に書き込むことをあらわしている。
【００２５】
図４に示すトポロジ情報Ｔ１０を構成するための情報は、コントローラＣ１０の装置情報収集部Ｍ１１が、上述した管理対象のネットワーク装置から、ＳＮＭＰ（Ｓｉｍｐｌｅ  Ｎｅｔｗｏｒｋ  Ｍａｎａｇｅｍｅｎｔ  Ｐｒｏｔｏｒｏｌ）などの手段を用いて定期的に収集、および更新して最新の状態にすればよい。
【００２６】
次に、図５を用いて端末情報を説明する。端末情報Ｔ２０は、管理対象のネットワーク装置（すなわちレイヤ３スイッチＳ１０、レイヤ２スイッチＳ２０、レイヤ２スイッチＳ３０）からユーザ端末認証フレームの受信、および認証サーバＳ５０からの認証結果を元に生成される情報である。図５に示すように、端末情報Ｔ２０は、端末識別子Ｌ２１、ＭＡＣアドレスＬ２２、遮断可否Ｌ２３で構成される。端末識別子Ｌ２１は、前述したユーザ端末認証フレーム内に記録されているユーザ端末のＭＡＣアドレス情報を参照して端末管理部Ｍ１６にてユーザ端末を一意に識別するための識別子として割り当てる情報である。また、ＭＡＣアドレスＬ２２は、前述したユーザ端末認証フレーム内に記録されているＭＡＣアドレス情報である。遮断可否Ｌ２３は、振る舞い検知装置Ｓ６０からの端末遮断指示により、トポロジ情報Ｔ１０から該当するＭＡＣアドレスＬ１３と同じＭＡＣアドレスＬ２２についての遮断状態を判断するための情報である。端末情報Ｔ２０のエントリ（レコード）は認証サーバＳ５０から認証が成功した旨の通知を受けて生成される。なお、本実施例ではコントローラＣ１０内で端末情報Ｔ２０を保持し、ネットワークに接続されているすべてのネットワーク装置を一元管理している。しかし、管理対象のネットワーク装置ごとに端末情報Ｔ２０を保持し、各ネットワーク装置について、当該ネットワーク装置からユーザ端末認証フレームの受信、および認証サーバＳ５０からの認証結果を元に生成してもよい。
【００２７】
次に、図１０を用いて認証端末情報を説明する。認証端末情報Ｔ３０は、端末（すなわちユーザ端末Ｕ１０、ユーザ端末Ｕ２０）からのアクセスから認証結果を元に生成され、ＭＡＣアドレスＬ３１で構成される。ＭＡＣアドレスＬ３１には、コントローラＣ１０から認証結果を元に、認証が成功したときの端末のＭＡＣアドレスを格納している。認証端末情報Ｔ３０に格納されているＭＡＣアドレスを送信元として使用する端末に関しては、インターネットアクセスを可能とするための情報となる。
【００２８】
［５．端末認証時の動作］
本実施例では、ネットワークシステムの認証としてＷｅｂ認証を用いて説明をする。
図１１は、本実施例におけるネットワーク管理サーバの認証動作シーケンス図であり、また、図１３、図１４はネットワーク装置の処理フロー図、図１５、図１６はコントローラの処理フロー図を示す。
【００２９】
図１１は、ユーザＡ端末Ｕ１０がインターネットアクセスをするためにＨＴＴＰ（ＨｙｐｅｒＴｅｘｔ  Ｔｒａｎｓｆｅｒ  Ｐｒｏｔｏｃｏｌ）アクセスを開始し、端末認証をするまでの処理の流れを示している。本実施例では、インターネットアクセス、およびＷｅｂ認証の一例としてＨＴＴＰにて説明しているが、ＨＴＴＰＳ（ＨｙｐｅｒＴｅｘｔ  Ｔｒａｎｓｆｅｒ  Ｐｒｏｔｏｃｏｌ  Ｓｅｃｕｒｅ）でも構わない。
【００３０】
図１１において、ユーザＡ端末Ｕ１０は、インターネットアクセス時に、送信元となる当該ユーザＡ端末Ｕ１０のＭＡＣアドレスを含むフレームを送信し、レイヤ２スイッチＳ２０を経由して通信を行う（Ｎ１０）。通信の中継地点であるレイヤ２スイッチＳ２０では、ＨＴＴＰアクセス横取りし認証画面をリダイレクトするか否かを判定するために処理フローＦ２０００を実施する（Ｆ２０００）。
【００３１】
処理フローＦ２０００では、図１３に進み、レイヤ２スイッチＳ２０は、Ｎ１０で受信したフレームの送信元ＭＡＣアドレスが認証端末情報Ｔ３０内にあるか否かを判定する（Ｆ２０２）。レイヤ２スイッチＳ２０は、受信したフレームの送信元ＭＡＣアドレスが認証端末情報Ｔ３０内にあると判定した場合（Ｆ２０２；Ｙｅｓ）、すでに認証済みのユーザＡ端末Ｕ１０となるため、受信したフレームを転送する（Ｆ２０３）。
【００３２】
一方、レイヤ２スイッチＳ２０は、受信したフレームの送信元ＭＡＣアドレスが認証端末情報Ｔ３０内に存在しないと判定した場合（Ｆ２０２；Ｎｏ）、受信したフレームがインターネットへのアクセスとなるかを判定するために、当該フレームがＨＴＴＰフレームであるか否かを判定する（Ｆ２０４）。
【００３３】
レイヤ２スイッチＳ２０は、当該フレームがＨＴＴＰフレームであると判定した場合（Ｆ２０４；Ｙｅｓ）、インターネットへのアクセスと判断し、ユーザＡ端末Ｕ１０の認証処理を実施する（Ｆ２１００）。一方、レイヤ２スイッチＳ２０は、当該フレームがＨＴＴＰフレームでないと判定した場合（Ｆ２０４；Ｎｏ）、インターネットへのアクセスではないため、Ｆ２０３と同様にフレームを転送する。
【００３４】
処理フローＦ２０００を実行すると、図１４のユーザＡ端末Ｕ１０の認証処理Ｆ２１００に進み、レイヤ２スイッチＳ２０は、ユーザＡ端末Ｕ１０に対して認証画面をリダイレクト先として応答し（Ｆ２０５）、その旨をユーザＡ端末Ｕ１０に送信する（図１１のＮ２０）。
【００３５】
図１１において、ユーザＡ端末Ｕ１０は、レイヤ２スイッチＳ２０から受信した上記応答に応じて認証画面取得要求の入力を受け付け、当該認証画面取得要求をレイヤ２スイッチＳ２０に送信する（図１１のＮ１１）。
【００３６】
図１４において、レイヤ２スイッチＳ２０が、ユーザＡ端末Ｕ１０から上記認証画面取得要求を受信すると、当該認証画面取得要求に含まれる認証用Ｗｅｂページを取得するように促す応答をし（図１１のＮ２０Ａ）、ユーザＡ端末Ｕ１０は、当該応答に従い、上記認証画面へのアクセス先となるアドレスを指定した認証用Ｗｅｂページの取得要求を実施する（図１４のＦ２０６）。
【００３７】
図１４において、レイヤ２スイッチＳ２０は、ユーザＡ端末Ｕ１０の認証履歴として、Ｗｅｂブラウザの履歴情報となるＨＴＴＰリクエストヘッダ内のＣｏｏｋｉｅ情報を参照し、端末を識別する識別子があるか否かを判定する（Ｆ２０７）。ユーザＡ端末Ｕ１０が、一度も認証されていない場合にはＷｅｂブラウザの履歴情報のＣｏｏｋｉｅに端末を識別する識別子が格納されていない。そのため、レイヤ２スイッチＳ２０は、Ｃｏｏｋｉｅに端末を識別する識別子が格納されていないと判定した場合（Ｆ２０７；Ｎｏ）、上記認証画面をユーザＡ端末Ｕ１０に対して送信する（Ｆ２０８）。
【００３８】
ユーザＡ端末Ｕ１０では、レイヤ２スイッチＳ２０から受け取った認証画面フォームにしたがい入力されたユーザ情報を、レイヤ２スイッチＳ２０に送信する（図１１のＮ１２、図１４のＦ２０９）。
【００３９】
レイヤ２スイッチＳ２０では、ユーザＡ端末Ｕ１０の認証のために、ユーザ情報とユーザＡ端末Ｕ１０のＭＡＣアドレスをネットワーク管理サーバＳ４０に対して送信する（Ｆ２２００、Ｎ２１）。
【００４０】
コントローラＣ１０では、図１５に示す処理フローＦ３０００の処理を開始し、レイヤ２スイッチＳ２０から認証フレームを受信すると（Ｆ３０１）、認証フレーム内にＣｏｏｋｉｅ情報が格納されているかにより端末再認証であるか否かを判断する（Ｆ３０２）。最初の端末認証時では、レイヤ２スイッチＳ２０の認証フレーム内には、前述したユーザ情報とユーザＡ端末Ｕ１０のＭＡＣアドレスが含まれる一方、Ｃｏｏｋｉｅ情報については記録されていない。このため、コントローラＣ１０は、上記端末再認証ではないと判定し（Ｆ３０２；Ｎｏ）、認証サーバＳ５０に対してユーザ情報を問合せる（図１５のＦ３０３、図１１のＮ３０）。
【００４１】
認証サーバＳ５０は、ネットワーク管理サーバＳ４０から上記問合せを受信すると、当該問合せに含まれるユーザ情報と、あらかじめ認証サーバＳ５０に登録されているユーザ情報とが一致するか否かを判定することによりユーザ認証し、その認証結果をネットワーク管理サーバＳ４０に送信する（図１１のＮ４０）。
【００４２】
コントローラＣ１０は、認証サーバＳ５０からの認証結果を待ち受けて、上記認証結果を受信する（Ｆ３０４）。コントローラＣ１０の認証問合部Ｍ１５は、受信した上記認証結果として記録されている情報が認証成功を示すものであるか否かを判定し（Ｆ３０５）、上記情報が認証成功を示すものであると判定した場合（Ｆ３０５；Ｙｅｓ）、端末管理部Ｍ１６が、端末を一意に識別するために端末識別子を割り当て、当該端末識別子と、認証フレーム内の上記ＭＡＣアドレスとを対応付けて端末情報Ｔ２０に格納する（Ｆ３０７）。端末管理部Ｍ１６は、割り当てた端末識別子を、認証フレームの応答フレームに格納する情報として付与し（Ｆ３０８）、レイヤ２スイッチＳ２０に対して応答フレームを送信する（Ｆ３０６）。一方、認証問合部Ｍ１５が、上記情報が認証成功を示すものでないと判定した場合（Ｆ３０５；Ｎｏ）、端末管理部Ｍ１６は、端末識別子を割り当てずに上記応答フレームを送信する（Ｆ３０６）。本実施例では認証サーバＳ５０は外部装置として配置しているが、ネットワーク管理サーバＳ４０内に認証機能を備えていてもよい。
【００４３】
図１４において、レイヤ２スイッチＳ２０では、Ｆ２２００で送信したユーザ情報の問合わせに対する認証結果を受信し（Ｆ２１１）、受信した当該認証結果が認証成功を示すものであるか否かを判定する（Ｆ２１２）。レイヤ２スイッチＳ２０は、認証結果が認証成功を示すものであると判定した場合（Ｆ２１２；Ｙｅｓ）、Ｆ２２００、Ｎ２１で送信したＭＡＣアドレスを認証端末情報Ｔ３０に格納し、認証結果、および端末識別子をＨＴＴＰレスポンスヘッダのＣｏｏｋｉｅに格納し（Ｆ２１７）、ユーザ端末に対して応答する（Ｆ２１３、図１１のＦ２３００、Ｎ２２）ことで、ユーザ端末のインターネットアクセスを可能とする。Ｃｏｏｋｉｅは、Ｗｅｂブラウザに一定期間保存される情報でありユーザが意識せずに同一ＵＲＬ（Ｕｎｉｆｏｒｍ  Ｒｅｓｏｕｒｃｅ  Ｌｏｃａｔｏｒ）へのアクセス時に保存されている情報を送付されるものである。したがって、ＭＡＣアドレス、ＩＰアドレスの変更に影響を受けずに認証システムにより割り当てられる情報となる。
【００４４】
［６．端末再認証時の動作］
図１２は、本施例におけるネットワーク管理サーバの再認証動作シーケンスであり、また、図１３、図１４はネットワーク装置の処理フロー図、図１５、図１６はコントローラの処理フロー図を示す。
【００４５】
図１２は、ユーザＡ端末Ｕ１０がインターネットアクセスするためにＨＴＴＰアクセスをし、認証済み端末における再認証するまでの処理の流れを示す。
ユーザＡ端末Ｕ１０は、インターネットアクセス時に、送信元となる当該ユーザＡ端末Ｕ１０のＭＡＣアドレスを含むフレームを送信し、レイヤ２スイッチＳ２０を経由して通信を行う（Ｎ１０）。通信の中継地点であるレイヤ２スイッチＳ２０では、ＨＴＴＰアクセスを横取りし認証画面のリダイレクトをするか否かの判定のために処理フローＦ２０００を実施する（Ｆ２０００）。
【００４６】
処理フローＦ２０００では、図１３に進み、レイヤ２スイッチＳ２０は、Ｎ１０で受信したフレームの送信元ＭＡＣアドレスが認証端末情報Ｔ３０内にあるか否かを判定する（Ｆ２０２）。レイヤ２スイッチＳ２０は、受信したフレームの送信元ＭＡＣアドレスが認証端末情報Ｔ３０内にあると判定した場合（Ｆ２０２；Ｙｅｓ）、にすでに認証済みのユーザ端末となるため、受信フレームを転送する（Ｆ２０３）。
【００４７】
一方、レイヤ２スイッチＳ２０は、受信したフレームの送信元ＭＡＣアドレスがＨＴＴＰフレームに存在しないと判定した場合（Ｆ２０２；Ｎｏ）、端末認証時の動作の場合と同様、ユーザＡ端末Ｕ１０の認証処理を実施する（Ｆ２１００）。レイヤ２スイッチＳ２０は、当該フレームがＨＴＴＰフレームでないと判定した場合（Ｆ２０４；Ｎｏ）、インターネットへのアクセスではないため、Ｆ２０３と同様にフレームを転送する。
【００４８】
処理フローＦ２０００を実行すると、図１４のユーザＡ端末Ｕ１０の認証処理Ｆ２１００に進み、レイヤ２スイッチＳ２０は、ユーザＡ端末Ｕ１０に対して認証画面をリダイレクト先として応答し（Ｆ２０５）、その旨をユーザＡ端末Ｕ１０に送信する（図１２のＮ２０）。
【００４９】
図１２において、ユーザＡ端末Ｕ１０は、レイヤ２スイッチＳ２０から受信した上記応答に応じて認証画面取得要求の入力を受け付け、当該認証画面取得要求をレイヤ２スイッチＳ２０に送信する（図１２のＮ１１）。
【００５０】
図１４において、レイヤ２スイッチＳ２０が、ユーザＡ端末Ｕ１０から上記認証画面取得要求を受信すると、当該認証画面取得要求に含まれる認証用Ｗｅｂページを取得するように促す応答をし（図１２のＮ２０Ａ）、ユーザＡ端末Ｕ１０は、当該応答に従い、上記認証画面へのアクセス先となるアドレスを指定した認証用Ｗｅｂページの取得要求を実施する（図１４のＦ２０６）。
【００５１】
このとき、ユーザＡ端末Ｕ１０は、端末認証時の動作において、既に一度認証Ｗｅｂページにアクセスしている。このため、レイヤ２スイッチＳ２０は、Ｆ２０７の判定において、Ｗｅｂブラウザの履歴情報となるＨＴＴＰリクエストヘッダ内の既に付与されているＣｏｏｋｉｅ情報に端末を識別する識別子があると判定し（Ｆ２０７；Ｙｅｓ）、端末再認証処理を実施（Ｆ２１４）する。端末再認証処理Ｆ２１４では、レイヤ２スイッチＳ２０は、付与されてきたＣｏｏｋｉｅに格納されている端末識別子、およびユーザＡ端末Ｕ１０のＭＡＣアドレスを、ネットワーク管理サーバＳ４０に対して認証フレームとして送信する（Ｆ２２００、Ｎ２１）。
【００５２】
ネットワーク管理サーバＳ４０のコントローラＣ１０では、レイヤ２スイッチＳ２０から受信した上記認証フレーム内に端末識別子が格納されているため、コントローラＣ１０側での端末再認証処理、および端末遮断情報の更新処理（Ｆ３１００）を実施する。
【００５３】
図１６では、コントローラＣ１０の端末管理部Ｍ１６が、端末情報Ｔ２０に端末識別子に対応するエントリを検索し、当該エントリがあるか否かを判定する（Ｆ３０９）。端末管理部Ｍ１６は、端末識別子に対応するエントリがないと判定した場合（Ｆ３０９；Ｎ）、再認証処理は失敗であるため、Ｆ２１００の端末認証時の動作（図１４のＦ２０８以降の処理）を実施するようにレイヤ２スイッチＳ２０に対して促す。
【００５４】
一方、コントローラＣ１０の端末管理部Ｍ１６は、端末識別子に対応するエントリがあると判定した場合（Ｆ３０９；Ｙｅｓ）、端末情報Ｔ２０のＭＡＣアドレスＬ２２を、認証フレーム内のＭＡＣアドレスに更新して最新の状態にする（Ｆ３１１）。端末管理部Ｍ１６は、上記ＭＡＣアドレスを更新すると、上記Ｃｏｏｋｉｅ情報に記録されている端末識別子（すなわち、更新したＭＡＣアドレスに対応する端末の端末識別子）が遮断可否の対象エントリであるか否かを判定する（Ｆ３１２）。端末管理部Ｍ１６は、上記Ｃｏｏｋｉｅ情報に記録されている端末識別子が遮断可否の対象エントリでないと判定した場合（Ｆ３１２；Ｎｏ）、端末の再認証処理が完了したとしてレイヤ２スイッチＳ２０へと認証結果を応答する（Ｆ３１３）。
【００５５】
レイヤ２スイッチＳ２０は、コントローラＣ１０からの認証結果をユーザＡ端末Ｕ１０に対して応答する（図１２のＦ２３００、Ｎ２２）。一方、端末管理部Ｍ１６は、上記Ｃｏｏｋｉｅ情報に記録されている端末識別子が遮断可否の対象エントリであると判定した場合（Ｆ３１２；Ｙｅｓ）、Ｆ３１４、Ｆ３１５に進み、当該端末の通信を遮断する処理を実行する。これらの処理については後述する。
【００５６】
［７．攻撃を検知した場合の通信遮断動作］
ユーザ端末ＡＵ１０に感染した不正プログラムは、攻撃のためにインターネットへと通信を行う。通信の中継地点であるレイヤ２スイッチＳ２０は、通信を振る舞い検知装置Ｓ６０へとミラーリングする。本実施例では、振る舞い検知装置Ｓ６０はネットワーク装置に接続された外部装置として配置しているため通信をミラーリングしているが、ネットワーク装置自体が振る舞い検知機能を備えていてもよい。ミラーリングされた通信を解析し、ユーザ端末ＡＵ１０が不正プログラムに感染していることを検出した振る舞い検知装置Ｓ６０は、ユーザＡ端末Ｕ１０のＩＰアドレスであるＩＰ−Ａの通信を遮断するよう、コントローラＣ１０に指示を出す。振る舞い検知装置Ｓ６０からの通信遮断指示を受信したコントローラＣ１０は、設定指示受信部Ｍ１３が、ネットワーク装置から情報を収集する装置情報収集部Ｍ１１とトポロジ計算部Ｍ１２により算出されたトポロジ情報Ｔ１０の中から、通信の遮断を設定する対象のネットワーク装置を特定する。特定されたネットワーク装置は、Ｆ３１２において、振る舞い検知装置Ｓ６０から遮断対象として指定された端末識別子を含むネットワーク装置である。
【００５７】
図４に示したように、トポロジ情報Ｔ１０は、装置Ｌ１１、ＩＰアドレスＬ１２、ＭＡＣアドレスＬ１３、端末識別子Ｌ１４、学習インタフェースＬ１５、学習ポートＬ１６、対向装置Ｌ１７を備える。ここで、コントローラＣ１０は、ＩＰアドレスＬ１２の値がＩＰ−Ａであり、かつ対向装置が存在しないエントリ（端末識別子「１」のエントリ）を絞り込むと、エントリＫ１０を抽出することができる。
【００５８】
したがって、コントローラＣ１０は、抽出したエントリから、装置設定部Ｍ１４によりレイヤ２スイッチＳ２０に対してフィルタを設定する（図１６のＦ３１４、Ｆ３１５）。また、端末管理部Ｍ１５は、抽出したエントリＫ１０のＭＡＣアドレスＬ１３のＭＡＣ−Ａに一致するＭＡＣアドレスである端末情報Ｔ２０のＭＡＣアドレスＬ２２に該当するエントリＫ２０を抽出し、遮断可否Ｌ２３を、「非対象」から「対象」へと更新し、図５で示される情報から図６で示される情報へと遷移させる。
【００５９】
［８．攻撃端末がＭＡＣアドレスを変更した場合の通信遮断動作］
次に、遮断された攻撃端末であるユーザＡ端末Ｕ１０がＭＡＣアドレスをＭＡＣ−Ａ’に変更して攻撃を再開する場合を考える。この場合、ユーザ端末ＡＵ１０に感染した不正プログラムは、攻撃のためにインターネットへと通信を行う。通信の中継地点であるレイヤ２スイッチＳ２０は、図１０の認証端末情報Ｔ３０にＭＡＣ−Ａ’が存在しないため、当該ＭＡＣアドレスの端末認証を実施する。レイヤ２スイッチＳ２０は、端末認証時や端末再認証時と同様、Ｗｅｂ認証画面へのリダイレクト指示を行う。ユーザ端末ＡＵ１０は、端末認証時や端末再認証時と同様、端末に保存されているＣｏｏｋｉｅ情報を付与してリダイレクト先ページを取得する。
【００６０】
レイヤ２スイッチＳ２０では、Ｃｏｏｋｉｅ情報が存在しているために（Ｆ２０７；Ｙｅｓ、図１４）、Ｃｏｏｋｉｅ情報と送信元ＭＡＣアドレス情報により前述した端末再認証時の動作（Ｆ２２００、図１２、Ｆ３１００、図１６）を実施する。具体的には、コントローラＣ１０内の端末管理部Ｍ１６では、レイヤ２スイッチＳ２０から受信した認証フレーム情報に含まれる端末識別子とＭＡＣアドレスとを参照し、当該端末識別子とＭＡＣアドレスとに一致する端末情報Ｔ２０のエントリＫ３０（図６）を抽出する。そして、端末管理部Ｍ１６は、端末情報Ｔ２０に記憶されているＭＡＣアドレスＬ２２を、認証フレーム内に格納されているＭＡＣ−Ａ’に更新することで、エントリＫ４０とする（図７）。
【００６１】
また、端末管理部Ｍ１６は、エントリＫ４０の遮断可否Ｌ２３を参照することで、遮断対象の端末と判断し（Ｆ３１２；Ｙｅｓ）、定期的に収集、および更新される図８のトポロジ情報Ｔ１０から、ＭＡＣアドレスＬ１３の値がＭＡＣ−Ａ’であり、かつ対向装置が存在しないエントリを検索して絞り込む。その結果、端末管理部Ｍ１６は、トポロジ情報Ｔ１０の中からエントリＫ５０を抽出することができる（Ｆ３１４）。したがって、コントローラＣ１０は、抽出したエントリ（すなわち、ＭＡＣアドレス変更後のエントリ）から、装置設定部Ｍ１４によりレイヤ２スイッチＳ２０に対してフィルタを設定する（図１６のＦ３１４、Ｆ３１５）。
【００６２】
フィルタは、攻撃端末であるユーザＡ端末Ｕ１０に最も近い、すなわちホップ数が最も少ない末端のネットワーク装置に設定することが望ましい。そのため、Ｆ３１４では、端末管理部Ｍ１６は、対向装置がスイッチではないポートにＭＡＣアドレスＭＡＣ−Ａ’が接続されている装置を検索し、該当したネットワーク装置をフィルタ設定箇所として設定している。上記末端のネットワーク装置にフィルタを設定する理由、すなわち対向装置がスイッチではないポートにＭＡＣアドレスＭＡＣ−Ａ’が接続されている装置を探す理由は、その方が他の端末への感染を防げるためである。上位のスイッチにフィルタを設定すると、フィルタを設定したスイッチより下流のスイッチ下では通信を遮断することができず、他の端末に感染してしまうためである。このように、コントローラＣ１０の装置設定部Ｍ１４は、抽出したエントリを参照してレイヤ２スイッチＳ２０に対してフィルタを設定することが可能となる。
【００６３】
さらに、遮断された攻撃端末であるユーザ端末ＡＵ１０が、ＭＡＣアドレスをＭＡＣ−Ａ’に変更し、接続するレイヤ２スイッチをレイヤ２スイッチＳ２０からレイヤ２スイッチＳ３０へと接続先を変更して攻撃を再開する場合に、通信の中継地点であるレイヤ２スイッチＳ３０は、認証端末情報Ｔ３０にＭＡＣ−Ａ’が存在しないため、レイヤ２スイッチＳ２０同様に端末認証処理を実施する。
【００６４】
コントローラＣ１０内の端末管理部Ｍ１６では、ＭＡＣアドレスが変更された場合と同様に、認証フレーム内に格納されているＭＡＣ−Ａ’で端末情報Ｔ２０を更新する。端末管理部Ｍ１６は、端末情報Ｔ２０を更新したＭＡＣアドレスのユーザ端末を遮断対象の端末と判断し、図９のトポロジ情報Ｔ１０の中から、ＭＡＣアドレスＬ１３の値がＭＡＣ−Ａ’であり、かつ対向装置が存在しないエントリを絞り込む。その結果、端末管理部Ｍ１６は、トポロジ情報Ｔ１０の中からエントリＫ６０を抽出することができ（Ｆ３１４）、装置設定部Ｍ１４が、レイヤ２スイッチＳ３０に対してフィルタを設定することが可能となる（図１６のＦ３１４、Ｆ３１５）。すなわち、攻撃端末であるユーザ端末ＡＵ１０がＭＡＣアドレスをＭＡＣ−Ａ’に変更しさらにレイヤ２スイッチＳ２０からレイヤ２スイッチＳ３０へとつなぎ変えた場合であっても、トポロジ情報が定期的に収集され、更新されるまでの間は、その時点ではトポロジ情報が最新ではないため、端末識別子とＭＡＣアドレスをはじめ、学習インタフェースや学習ポート、対向装置の情報が異なる。しかし、端末管理部Ｍ１６は、コントローラが各ネットワーク装置からＡＲＰ情報、ＦＤＢ情報、ＬＬＤＰ情報を収集しなおしてトポロジ情報を更新し、攻撃端末であるユーザ端末に一番近い末端のスイッチを再び特定し、フィルタを再設定する。
【００６５】
［９．実施例効果］
以上、説明した実施例のネットワークシステムでは、不正プログラムに感染したユーザ端末が通信を遮断されたのちにＭＡＣアドレスの変更、および別のレイヤ２スイッチの別のポートに移動して通信を再開させようとしても、ＭＡＣアドレス変更、スイッチ移動を検知して再度通信の遮断設定を実施することが可能となる。
【００６６】
具体的には、ネットワーク装置（レイヤ３スイッチＳ１０、レイヤ２スイッチＳ２０、Ｓ３０）と、上記ネットワーク装置を管理するネットワーク管理サーバＳ４０とがネットワークを介して接続されたネットワークシステムにおいて、上記ネットワーク装置は、当該ネットワーク装置に接続されたユーザ端末（Ｕ１０、Ｕ２０）から受信した当該ユーザ端末のアドレス情報（ＭＡＣアドレス）を含む接続要求に、当該ユーザ端末に関するｃｏｏｋｉｅ情報が格納されているか否かを判定し、上記ネットワーク管理サーバＳ４０は、上記ネットワーク装置によりｃｏｏｋｉｅ情報が格納されていないと判定された場合であって、上記ユーザ端末から受信したユーザ情報に基づいて上記ユーザ端末のユーザが認証された場合に、上記ユーザ端末の識別子（端末識別子Ｌ２１）を割り当て、割り当てた識別子と上記ユーザ端末のアドレス情報とを対応付けて端末情報Ｔ２０に格納し、上記ネットワーク装置に接続された振る舞い検知装置Ｓ６０により遮断対象とされたユーザ端末の端末識別子を、装置間の接続関係を定めたトポロジ情報Ｔ１０の中から検索し、検索した上記端末識別子に対応するアドレス情報が設定されたユーザ端末を遮断対象として上記端末情報Ｔ２０に設定するので、不正プログラムに感染した端末のＭＡＣアドレス、ＩＰアドレス、接続先ポートの変更に追従して通信を遮断するためのフィルタを、適切な位置に設定することができる。
【００６７】
また、上記ネットワーク装置は、互いに異なるレイヤにそれぞれ設けられ、上記ネットワーク管理サーバＳ４０は、異なるレイヤに設けられたそれぞれの上記ネットワーク装置が記憶された上記トポロジ情報Ｔ１０と、上記ネットワーク装置ごとに記憶された上記端末情報Ｔ２０とに基づいて、上記振る舞い検知装置Ｓ６０により遮断対象とされたユーザ端末に最も近いネットワーク装置の上記端末情報Ｔ２０に、遮断対象を設定するので、他の端末への感染を最小限に抑えることができる。
【００６８】
また、上記ネットワーク管理サーバＳ４０は、遮断対象とした上記ユーザ端末のアドレス情報が変更され、上記トポロジ情報に上記変更後のユーザ端末のアドレス情報が記憶された場合に、上記端末情報Ｔ２０に記憶されている上記変更前のユーザ端末のアドレス情報を上記変更後のユーザ端末のアドレス情報に更新し、当該更新後の上記端末情報Ｔ２０と、上記変更された後のトポロジ情報Ｔ１０とに基づいて、上記振る舞い検知装置Ｓ６０により遮断対象とされたユーザ端末からアドレス情報が変更されたユーザ端末を、遮断対象として上記端末情報Ｔ２０に設定するので、アドレス情報が変更された場合でも、適切な位置にフィルタを設定することができる。
【００６９】
また、上記ネットワーク装置が複数設けられ、上記ネットワーク管理サーバＳ４０は、遮断対象としたユーザ端末が一のネットワーク装置（例えば、レイヤ２スイッチＳ２０）から他のネットワーク装置（例えば、レイヤ２スイッチＳ３０）に接続先が変更され、上記トポロジ情報Ｔ１０に上記接続先が変更された後のユーザ端末のアドレス情報が記憶された場合に、それぞれのネットワーク装置が記憶されたトポロジ情報Ｔ１０と、ネットワーク装置ごとに記憶された端末情報Ｔ２０とに基づいて、上記振る舞い検知装置Ｓ６０により遮断対象とされたユーザ端末から上記接続先が変更された後のユーザ端末を、遮断対象として上記端末情報Ｔ２０に設定するので、アドレス情報が変更され、さらに接続先のネットワーク装置が変更された場合でも、適切な位置にフィルタを設定することができる。
【符号の説明】
【００７０】
Ｓ１０  レイヤ３スイッチ
Ｓ２０、Ｓ３０  レイヤ２スイッチ
Ｓ４０  ネットワーク管理サーバ
Ｓ５０  認証サーバ
Ｓ６０  振る舞い検知装置
Ｐ１１、Ｐ１２、Ｐ１３、Ｐ１４、Ｐ１５、Ｐ２１、Ｐ２２、Ｐ２３、Ｐ３１、Ｐ３２、Ｐ３３  ポート
Ｕ１０  ユーザ端末Ａ
Ｕ２０  ユーザ端末Ｂ
Ｃ１０  コントローラ
Ｍ１１  装置情報収集部
Ｍ１２  トポロジ計算部
Ｍ１３  設定指示受信部
Ｍ１４  装置設定部
Ｍ１５  認証問合部
Ｍ１６  端末管理部
Ｍ２１  フレーム転送部
Ｍ２２  フレーム解析部
Ｍ２３  認証処理部
Ｔ１０  トポロジ情報
Ｔ２０  端末情報
Ｔ３０  認証端末情報
【図１】
2019161377.tif 000003
【図２】
2019161377.tif 000004
【図３】
2019161377.tif 000005
【図４】
2019161377.tif 000006
【図５】
2019161377.tif 000007
【図６】
2019161377.tif 000008
【図７】
2019161377.tif 000009
【図８】
2019161377.tif 000010
【図９】
2019161377.tif 000011
【図１０】
2019161377.tif 000012
【図１１】
2019161377.tif 000013
【図１２】
2019161377.tif 000014
【図１３】
2019161377.tif 000015
【図１４】
2019161377.tif 000016
【図１５】
2019161377.tif 000017
【図１６】
2019161377.tif 000018