(57)【要約】【課題】  異常トラフィックを送信したユーザに対して予め設定しておいた、ユーザ毎の異常トラフィックに対する対処方法に従ってトラフィック制御を行うトラフィック制御システムを提供することにある。【解決手段】  異常トラフィックを検出した場合に、異常トラフィックを検出した異常トラフィック検出装置から管理サーバに対して、検出した異常トラフィックの情報を通知する。管理サーバは、通知された異常トラフィック情報に含まれる異常トラフィックの送信元情報により認証サーバから異常トラフィックを送信したユーザを特定する。あらかじめ規定しておいたユーザ毎の異常トラフィック対処方法であって、異常トラフィックを送信したユーザに該当する対処方法を、異常トラフィック検出装置に送信する。異常トラフィック検出装置は、その対処方法に従って、トラフィック制御に関する設定を行う。【選択図】図１
2008113409.tif 000002
【特許請求の範囲】
【請求項１】
ネットワークのトラフィックを制御するトラフィック制御システムにおいて、
ユーザが利用するユーザ端末と、
前記ユーザ端末に接続され、パケットを中継するパケット中継装置と、
該パケット中継装置が中継するパケットに関するフロー情報をもとに、異常トラフィックを検出する異常トラフィック検出装置と、
該異常トラフィック検出装置に接続される管理サーバとを備え、
前記異常トラフィック検出装置は、
前記パケット中継装置から受信したフロー情報を記憶し、
該フロー情報に基づいて検出した異常トラフィック情報を前記管理サーバに送信し、
前記管理サーバは、
前記異常トラフィック検出装置から送信された異常トラフィック情報に、該情報を送信した異常トラフィック検出装置の識別情報を対応付けて記憶し、
ユーザごとに、異常トラフィックに対応する対処方法を記憶し、
前記送信された異常トラフィック情報に基づいて、ユーザごとの異常トラフィック情報を記憶し、
前記記憶された異常トラフィック対処方法のうち、前記異常トラフィック検出装置から送信された異常トラフィック情報に含まれる異常トラフィックに対応する対処方法を、前記異常トラフィック検出装置に送信することを特徴とするトラフィック制御システム。
【請求項２】
前記ユーザ端末を利用するユーザの認証情報を記憶する認証サーバを備え、
前記管理サーバは、前記異常トラフィック情報に含まれる前記ユーザ端末固有のアドレスを前記認証サーバに送信し、
前記認証サーバは、前記送信されたアドレスに対応するユーザ情報を、前記管理サーバに送信することを特徴とする請求項１記載のトラフィック制御システム。
【請求項３】
前記管理サーバは、前記異常トラフィック検出装置から送信された異常トラフィック情報を、ユーザごとに対応付けて、ユーザ履歴情報として記憶することを特徴とする請求項１記載のトラフィック制御システム。
【請求項４】
前記異常トラフィック検出装置は、前記管理サーバから送信された対処方法を、ユーザ情報と対応付けて記憶し、前記パケット中継装置に対して、前記対処方法に従った設定を実行する情報を送信することを特徴とする請求項１記載のトラフィック制御システム。
【請求項５】
前記ユーザ端末固有のアドレスと、前記ユーザ端末に割り当てられたアドレスと、該割り当てられたアドレスの割当期限とを対応付けて記憶するアドレス管理サーバを備え、
前記管理サーバは、前記異常トラフィック情報に含まれる前記割り当てられたアドレスを前記アドレス管理サーバに送信し、
前記アドレス管理サーバは、前記送信されたアドレスをもとに、対応するユーザ端末固有のアドレスを検索し、該アドレス情報を前記管理サーバに送信することを特徴とする請求項１記載のトラフィック制御システム。
【請求項６】
前記管理サーバは、前記アドレス管理サーバから送信されたアドレスを前記認証サーバに送信し、
前記認証サーバは、該送信されたアドレスをもとに、対応するユーザを特定する情報を前記管理サーバに送信することを特徴とする請求項５記載のトラフィック制御システム。
【請求項７】
前記管理サーバは、前記認証サーバから送信されたユーザを特定する情報に対応する異常トラフィック対処方法を検索して、該対処方法を前記異常トラフィック検出装置に送信することを特徴とする請求項６記載のトラフィック制御システム。
【請求項８】
ネットワークのトラフィックを管理する管理サーバであって、
ネットワークにおけるパケットのフロー情報にもとづく異常トラフィック情報を受信するネットワークインタフェース部と、
前記受信した異常トラフィック情報を記憶する異常トラフィック情報記憶部と、
ユーザごとの異常トラフィック情報に対応する対処方法を記憶する異常トラフィック対処方法記憶部と、
前記記憶された対処方法に含まれる制御内容を、ユーザごとに対応付けて記憶するユーザ情報記憶部と、
前記受信した異常トラフィック情報を、ユーザごとの履歴として記憶するユーザ履歴情報記憶部と、
前記受信した異常トラフィック情報に対応する対処方法であって、該異常トラフィック情報に対応するユーザに対する対処方法を、前記異常トラフィック対処方法記憶部の中から検索する制御部を備えることを特徴とする管理サーバ。
【請求項９】
前記制御部は、前記検索した対処方法に基づいて、前記異常トラフィック情報に対応するユーザ端末のパケット送信を制御する設定情報を送信することを特徴とする請求項８記載の管理サーバ。
【請求項１０】
前記管理サーバは、
前記ユーザ端末が接続されるパケット中継装置の情報を記憶し、
記憶した前記パケット中継装置の中から前記対処方法を設定すべきパケット中継装置を選択して当該選択されたパケット中継装置の情報を、前記異常トラフィック検出装置に送信することを特徴とする請求項１記載のトラフィック制御システム。
【請求項１１】
前記管理サーバは、
記憶された前記パケット中継装置の情報を、前記パケット中継装置が保持するパケット転送情報とインタフェース情報とから作成することを特徴とする請求項１０記載のトラフィック制御システム。
【請求項１２】
前記ユーザ端末を利用するユーザの認証情報を記憶する認証サーバと、
前記ユーザの詳細情報を管理するディレクトリサーバとを備え、
前記管理サーバは、前記異常トラフィック情報に含まれる前記ユーザ端末固有のアドレスを前記認証サーバに送信し、
前記認証サーバは、前記送信されたアドレスに対応するユーザ情報を、前記管理サーバに送信し、
前記管理サーバは、前記認証サーバから送信されたユーザ情報を前記ディレクトリサーバに送信し、
前記ディレクトリサーバは、前記送信されたユーザ情報に対応するユーザの詳細情報を、前記管理サーバに送信し、
前記管理サーバは、前記ディレクトリサーバから送信された詳細情報を記憶することを特徴とする請求項１０記載のトラフィック制御システム。
【請求項１３】
前記ユーザ情報は、少なくともユーザを識別するためのユーザＩＤを含み、
前記ユーザ詳細情報は、少なくともユーザの氏名、所属、電話番号、場所のいずれかを含むことを特徴とする請求項１２記載のトラフィック制御システム。
【請求項１４】
前記異常トラフィック検出装置は、前記管理サーバから送信された対処方法を、ユーザ情報と対応付けて記憶し、前記管理サーバから送信された対処方法を設定すべきパケット中継装置に対して、前記対処方法に従った設定を実行する情報を送信することを特徴とする請求項１０記載のトラフィック制御システム。
【請求項１５】
ネットワークのトラフィックを制御するトラフィック制御システムにおいて、
ユーザが利用するユーザ端末と、
前記ユーザ端末に接続され、パケットを中継するパケット中継装置と、
該パケット中継装置が中継するパケットに関するフロー情報をもとに、異常トラフィックを検出する異常トラフィック検出装置と、
該異常トラフィック検出装置に接続される管理サーバとを備え、
前記異常トラフィック検出装置は、
前記パケット中継装置から受信したフロー情報を記憶し、
該フロー情報に基づいて検出した異常トラフィック情報を前記管理サーバに送信し、
前記管理サーバは、
前記異常トラフィック検出装置から送信された異常トラフィック情報に、該情報を送信した異常トラフィック検出装置の識別情報を対応付けて記憶し、
ユーザグループごとに、異常トラフィックに対応する対処方法を記憶し、
前記送信された異常トラフィック情報に基づいて、ユーザごとの異常トラフィック情報を記憶し、
前記記憶された異常トラフィック対処方法のうち、前記異常トラフィック検出装置から送信された異常トラフィック情報に含まれる異常トラフィックに対応する対処方法を、前記異常トラフィック検出装置に送信することを特徴とするトラフィック制御システム。
【請求項１６】
ネットワークのトラフィックを管理する管理サーバであって、
ネットワークにおけるパケットのフロー情報にもとづく異常トラフィック情報を受信するネットワークインタフェース部と、
ユーザグループごとの異常トラフィック情報に対応する対処方法を記憶する異常トラフィック対処方法記憶部と、
前記受信した異常トラフィック情報を、ユーザごとの履歴として記憶するユーザ履歴情報記憶部とを備えることを特徴とする管理サーバ。
【請求項１７】
前記対処方法は、少なくともフィルタリングによる遮断、帯域制御、ＶＬＡＮ切替のいずれかを含むことを特徴とする請求項１記載のトラフィック制御システム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、ネットワークにおけるトラフィックを管理するトラフィック制御システムに関し、特にネットワークにおける異常トラフィックを制御するトラフィック制御システムに関する。
【背景技術】
【０００２】
近年、インターネットが急速に社会インフラとして定着しており、企業や公共の組織内部のネットワークにおいてもインターネットと同様の技術が用いられ、組織内部の専用の環境としてインターネットと同様な環境が構築されている。このことにより、インターネットと同様なウイルスやワームなどの悪質なプログラムによる組織内部のサーバへの攻撃や、悪意を持つユーザによる組織内部サーバへの攻撃などが深刻化してきている。このため、ネットワークに対する攻撃をどのように検知、または制御して、通常の通信の安定性を確保するのかが課題となっている。
【０００３】
このような課題に対する代表的な技術として、侵入検知システムが知られている(たとえば、非特許文献１参照)。これは、不正なパケットのパターンを事前にデータベースとして保存しておき、受信したパケットと該データベースの内容との比較を行うことで不正なパケットを検知するシステムである。
【０００４】
また、ユーザの使用するユーザ端末がネットワークに接続する前に、ユーザ端末の設定状況などからコンピュータ・ウイルスやワームに感染する可能性を調べて、感染の可能性が存在するユーザ端末を隔離して適切な対応を行う技術がある(たとえば、非特許文献２)。この技術より、コンピュータ・ウイルスやワームに感染に感染したユーザ端末による組織内部のサーバ等への攻撃を防ぐことができる。
【０００５】
また、ワームに対応する技術として、ユーザ端末がネットワークに接続中に、ワームに感染した端末から送信されるワームのパケットを検出し、ワームの攻撃パケットを送信させないようにする技術がある(たとえば、非特許文献３)。
【０００６】
【非特許文献１】”Intrusion Detection and Prevension”, C.Endorf, E.Schulz, J.Mellander C.F.Endorf. McGraw-Hill. 2003/12, ISBN 0072229543
【非特許文献２】“Cisco Network Admission Control (NAC) 情報セキュリティガバナンスをネットワーク基盤で確立する、シスコ自己防衛ネットワーク  2005年10月版”、Cisco System社カタログ
【非特許文献３】“ネットワークセキュリティアプライアンスWormGuard CA”、NEC社カタログ
【発明の開示】
【発明が解決しようとする課題】
【０００７】
非特許文献１の技術では組織内のネットワークに対して攻撃を行っているフローを送信した端末を特定することは可能であるが、フローを送信した端末を使用しているユーザを特定できない。このため、ユーザごとの対応を行うことができない。
【０００８】
非特許文献２の技術では、ユーザの使用するユーザ端末がネットワークに接続する直前の対応は可能であるが、端末がネットワークに接続する前に対応を行う方式であるため、ユーザ端末がネットワークに接続してネットワークを使用中にコンピュータ・ウイルスやワームに感染した場合に対応ができない。
【０００９】
非特許文献３の技術では、ワームに感染した端末を識別し、感染した端末ごとに対処はできるが、感染した端末を使用しているユーザを特定できないので、ユーザごとの対応を行うことができない。
【００１０】
本発明の目的は、異常トラフィックを送信したユーザを特定し、ユーザごとに予め設定された異常トラフィック対処方法に従ってトラフィック制御を行うトラフィック制御システムを提供することにある。
【課題を解決するための手段】
【００１１】
上記目的を達成するために本発明は、異常トラフィック検出装置と、管理サーバとを備えるトラフィック制御システムにおいて、異常トラフィック検出装置は、フロー情報に基づいて検出した異常トラフィック情報を管理サーバに送信し、管理サーバは、送信された異常トラフィック情報に基づいて、ユーザごとの異常トラフィック情報を記憶し、ユーザごとに、異常トラフィックに対応する対処方法を記憶し、その対処方法のうち、送信され
た異常トラフィック情報に含まれる異常トラフィックに対応する対処方法を、異常トラフィック検出装置に送信する構成を採用した。
【発明の効果】
【００１２】
本発明によれば、異常トラフィックを送信したユーザを特定し、ユーザ毎の異常トラフィック制御をすることができるという効果がある。
【発明を実施するための最良の形態】
【００１３】
本発明の実施例について図面を用いて詳細に説明する。
【実施例１】
【００１４】
図１は、一実施例におけるユーザ毎に異常トラフィック情報を検出し対処するシステムのネットワークの構成例を示したものである。図中、100はパケット中継装置、200は異常トラフィック検出装置、300は本システムを管理するための管理サーバ、400はネットワークに接続するユーザの認証を行う認証サーバ、500、600はユーザがネットワークに接続するユーザ端末を示す。
【００１５】
本実施例では、図1に示すネットワークにおいて、パケット中継装置100はユーザ端末500、600に接続している。認証サーバ400は、ユーザがユーザ端末500、600からネットワークに接続する際に、ユーザの認証を行う。この状態において、異常トラフィック検出装置200は、ユーザ端末500、600からパケット中継装置100を経由した組織内のネットワークにおける通信を、パケット中継装置100から得たフロー情報を基にして監視する。ユーザ端末500、600から送受信されたトラフィックに異常トラフィック検出装置200により異常トラフィックを検出した場合には、管理サーバ300から異常トラフィック検出装置200に設定された内容にしたがって、異常トラフィック検出装置200は、ユーザ毎に異常トラフィック対処のための設定を実施する。
【００１６】
図２は、異常トラフィック検出装置200の内部構造を示したものである。異常トラフィック検出装置200は、メモリ220、CPU 221とネットワークインタフェース222から構成される。メモリ220は、パケット中継装置100から受け取ったフローの情報を蓄積し、異常トラフィックを解析するための検出フロー情報テーブル230、検出した異常トラフィックを記録するための異常トラフィック情報テーブル240、図１の管理サーバ300から受け取った検出した異常トラフィックに対する設定内容である異常トラフィック対処方法テーブル250、検出した異常トラフィックの検出内容、異常トラフィック対処のための設定内容とその状況を記録する異常トラフィック対処情報テーブル260を保持する。
【００１７】
図３は、認証サーバ400の内部構造を示したものである。認証サーバ400は、メモリ420、CPU421とネットワークインタフェース422から構成される。メモリ420は、ユーザの情報とユーザが使用している図１のユーザ端末500、600の固有のアドレスと認証状態を記録した認証情報430を保持する。
【００１８】
図４は、管理サーバ300の内部構造を示したものである。管理サーバ300は、メモリ310、CPU311とネットワークインタフェース312から構成される。メモリ310は、ユーザ毎にユーザの情報とユーザが使用しているユーザ端末の固有のアドレス、ユーザ端末に割り当てられたIPアドレスとそのユーザの異常トラフィック対処の状態を記録するユーザ情報テーブル320、ユーザ毎にユーザが送受信した異常トラフィックの内容とその異常トラフィックを検出した時刻を記録するユーザ履歴情報テーブル330、異常トラフィック検出装置ごとに検出した異常トラフィックの内容を記録する異常トラフィック情報テーブル340、検出した異常トラフィックに対するユーザ毎の対処方法を保持するための異常トラフィック対処方法テーブル350を保持する。
【００１９】
図５は、異常トラフィック検出装置200に保持される異常トラフィック情報テーブル240の構造を示したものである。異常トラフィック情報テーブル240は、フローの識別情報であるフローID 241、フロー情報246、フローの判定内容を示すフロー判定247、異常トラフィックのフローを検出した時間を示す検出時刻248から構成される。図５に示すように、フロー情報246は、送信元IPアドレス、宛先IP アドレス、プロトコル番号、送信元ポート
番号、宛先ポート番号、MAC アドレス及びトラフィック量を含む。242〜245は、異常トラフィック情報テーブル240に格納されるデータを示す。
【００２０】
図６は、管理サーバ300に保持される異常トラフィック情報テーブル340の構造を示したものである。異常トラフィック情報テーブル340は、フローを検出した異常トラフィック検出装置200を識別する識別情報である装置ID 341、フローの識別情報であるフローID346、フロー情報347、フローの判定内容を示すフロー判定348、異常トラフィックのフローを検出した時間を示す検出時刻349から構成される。異常トラフィック情報テーブル340は、異常トラフィック検出装置200からメッセージ（異常トラフィック検出装置200が有する異常トラフィック情報を含むメッセージ）として送信され、その情報を送信した異常トラフィック検出装置の識別情報である装置ID346とともに、保持される。図６に示すように、フロー情報347は、送信元IPアドレス、宛先IP アドレス、プロトコル番号、送信元ポート番号、宛先ポート番号、MAC アドレス及びトラフィック量を含む。342〜345は、異常トラフィック情報テーブル340に格納されるデータを示す。
【００２１】
図７は、認証サーバ400に保持される認証情報430の構造を示したものである。認証情報430は、ユーザを識別するためのユーザID431、ユーザの使用するユーザ端末を識別するためのMACアドレス432、ユーザの認証結果を示す認証状態433から構成される。
【００２２】
図８は、管理サーバ300に保持されるユーザ情報テーブル320の構造を示したものである。ユーザ情報テーブル320は、ユーザを識別するためのユーザID 321、ユーザが使用しているユーザ端末の識別情報であるMACアドレス322、ユーザ端末に割り当てられたIPアドレスであるIPアドレス323、異常トラフィック検出装置により実施された異常トラフィック対処の設定内容を示す状態324から構成される。
【００２３】
図９は、管理サーバ300に保持されるユーザ履歴情報テーブル330の構造を示したものである。ユーザ履歴情報テーブル330は、過去に検出し対処したユーザ毎の異常トラフィックの内容と検出時刻を含む。ユーザ履歴情報テーブル330は、履歴の番号を表す履歴番号331、履歴情報の対象のユーザを示すユーザID 335、異常トラフィックの検出時刻と検出内容を示す332、333、334から構成される。336〜339は、それぞれuser1〜user4に対応するユーザ履歴情報を示す。
【００２４】
図１０は、管理サーバ300に保持される、異常トラフィック対処方法テーブル350の構造を示したものである。異常トラフィック対処方法テーブル350は、異常トラフィック対するユーザ毎の対処方法（異常トラフィックに対する解決策）を含む。異常トラフィック対処方法テーブル350は、検出された場合の対象のユーザを示すユーザID 351、異常トラフィック判定の条件を示す判定・トラフィック量352、異常トラフィックを検出した場合の対処の内容を示す制御内容353、異常トラフィックが検出されなくなった判定条件を示す制御解除条件354から構成される。355〜358は、それぞれuser1〜user4に対応する異常トラフィック対処方法に関する情報を示す。例えば、図１０におけるuser1に関する情報355では、ユーザIDがuser1でWormの異常トラフィックが検出された場合に、異常トラフィックの対処方法としてFilteringによる遮断を実施し、このFilteringによる遮断実施の30分経過後に、Filteringによる遮断を解除することを示している。
【００２５】
図１１は、異常トラフィック検出装置200で保持される、ユーザ毎の異常トラフィックの対処に用いる異常トラフィック対処情報テーブル260の構造を示したものである。異常トラフィック対処情報テーブル260は、異常トラフィック対処の対象であるユーザを示すユーザID 261、異常トラフィック対処の対象であるユーザが使用しているユーザ端末を一意に識別するためのMACアドレス262、異常トラフィックとして判定する条件である判定・トラフィック量263、異常トラフィックを検出した場合の対処内容である制御内容264、異常トラフィックの実施状況を示す実施状況265から構成される。たとえば、図１１のuser1に関する情報266では、ユーザIDがuser1のユーザがMACアドレス00-01-01-01-01-01のユーザ端末を使用しており、500Mbps超過のトラフィックを通信したことを異常トラフィック検出装置に検出され、50Mbpsに帯域制限されていることを示している。
【００２６】
図１２は、ユーザ毎に異常トラフィック情報を検出し対処するシステムの動作図を示す。前提条件として、ユーザが使用するユーザ端末で認証サーバにて認証が完了していることが必要である。図１２における３桁の数字は、図１〜図４で示した構成要素または各種テーブルを示す。また、４桁の数字は、図１２における動作（または処理ステップ）を示す。
【００２７】
まず、パケット中継装置100は、一定周期でパケット中継装置100が中継したパケットをフロー情報として異常トラフィック検出装置200へ送信する(ステップ2001)。異常トラフィック検出装置200は、パケット中継装置100から受け取ったフロー情報を検出フロー情報テーブル230へ記録し(ステップ2002)、受け取ったフロー情報が異常トラフィックの条件になったか否かを調べる。異常トラフィックの条件になっていない場合は、パケット中継装置100からのフロー情報を待ち、異常トラフィックの条件になるまで、ステップ2001〜2002を繰り返す。異常トラフィック検出装置200において、検出フロー情報テーブル230に記録中のフローが異常トラフィックの条件になった場合は、そのフローのフローID、フロー情報、フローの判定結果、及び異常トラフィックとして判定した判定時刻を異常トラフィック情報テーブル240に記録し(ステップ2003)、異常トラフィック情報メッセージを管理サーバ300へ送信する(ステップ2004)。
【００２８】
管理サーバ300は、異常トラフィック検出装置200から受け取った異常トラフィック情報メッセージを異常トラフィック情報テーブル340に記録する(ステップ2005)。また、管理サーバ300は、どのユーザの異常トラフィックであるかを知るために、異常トラフィック情報メッセージのMACアドレスを使用して認証サーバ400に問い合わせる(ステップ2006)。認証サーバ400は、管理サーバ300からのユーザ問い合わせに使用されたMACアドレスをもとに、MACアドレスに対応するユーザを認証情報430から検索する(ステップ2007)。認証サーバ400は、ユーザを認証情報430から検索した結果（ユーザ情報）を管理サーバ300へ送信する(ステップ2008)。管理サーバ300は、異常トラフィックを送信したユーザに対する対処の情報を得るために、ステップ2008において認証サーバ400から受け取ったユーザ情報を元にして、異常トラフィック対処方法テーブル350を検索する(ステップ2009)。また、管理サーバ300は、ユーザ情報と、そのユーザに対応する異常トラフィック対処方法をユーザ情報テーブル320に記録する(ステップ2010)。さらに管理サーバ300は、ユーザ情報と異常トラフィック検出装置200から受け取った異常トラフィック情報（そのユーザ情報に対応する異常トラフィック情報）を、ユーザ履歴情報テーブル330に記録する(ステップ2011)。この後、管理サーバ300は、異常トラフィック対処方法テーブル350から検索した異常トラフィックを送信したユーザに対する対処情報を、異常トラフィック検出装置200に送信する(ステップ2012)。
【００２９】
異常トラフィック検出装置200は、ステップ2012において管理サーバ300から受け取った異常トラフィックを送信したユーザに対する対処情報を異常トラフィック対処方法テーブル250に記録し(ステップ2013)、異常トラフィック検出装置200は、ユーザ毎の異常トラフィック対処の状況を記録する異常トラフィック対処情報テーブル260に、異常トラフィックの対処情報とその実施状況を記録して(ステップ2014)、異常トラフィック検出装置200は、パケット中継装置100に対して、対処の内容に従った設定を実施する(ステップ2015)。
【００３０】
本実施例においては、管理サーバ300にてユーザ毎に異常トラフィック対処方法を事前に設定しておき、異常トラフィック検出装置200から通知された異常トラフィックの情報を認証サーバに問い合わせることで、異常トラフィックを送信したユーザのユーザ端末とそのトラフィックを特定し、異常トラフィック検出装置へ異常トラフィックを送信したユーザの異常トラフィック対処方法を送信することで、ユーザ毎の異常トラフィックの制御を一元管理することができる。
【００３１】
また、管理サーバ300にて過去に異常トラフィック検出装置で検出された過去の異常トラフィックを検出時間と共にユーザ毎に履歴情報として保存することで、過去どのような異常トラフィックをユーザが送信したかを組織内ネットワークの管理者が知ることができ、本履歴情報から新たなユーザ毎の異常トラフィック対処方法に反映することができる。
【００３２】
また、本実施例における他の適用例を以下に記載する。
（１）パケット中継装置からトラフィック情報の計測結果を受信する異常トラフィック検出装置とネットワークに接続するユーザの認証を行う認証サーバを備え、あらかじめネットワークに接続されたユーザ端末が前記認証サーバにより認証された状態である場合のネットワークシステムにおいて、前記異常トラフィック検出装置から報告されるトラフィックフローに起因するトラフィックフローの異常へのユーザ毎の対応について予め規定した情報を用い、前記異常トラフィック検出装置から報告された異常トラフィックフローの情報と、前記異常トラフィックフローの送信元アドレスを前記認証サーバへ問い合わせすることにより前記異常トラフィックフローを送信したユーザを特定し、特定したユーザのトラフィックフローの異常に対する設定を前記トラフィック検出装置に指示するトラフィック管理サーバ。
【００３３】
（２）（１）において、予め規定したユーザ毎の異常トラフィックフローに対する情報を保持し、前記異常トラフィック検出装置から報告されたトラフィックフロー異常の情報と、異常トラフィックフローの送信元アドレスを用いた前記認証サーバへの問い合わせにより異常トラフィックフローを送信したユーザを特定し、特定したユーザが送信したトラフィックフローの異常に対する設定を前記異常トラフィック検出装置に指示するトラフィック管理サーバ。
【００３４】
（３）（２）において、前記異常トラフィック検出装置から報告されたトラフィックフローの異常とトラフィックフロー異常を送信したユーザをユーザ毎に履歴として記録するトラフィック管理サーバ。
【００３５】
さらに他の適用例を以下に記載する。
（４）異常トラフィックを送信したユーザを特定するために、異常トラフィック検出装置が異常トラフィックを検出した場合に、異常トラフィック検出装置から、ユーザ毎に異常トラフィックの制御を行う管理サーバに対して、異常トラフィックの情報を送信する。管理サーバは、異常トラフィックを送信したユーザを特定するため、ユーザがネットワーク接続時に行う認証を管理する認証サーバへ異常トラフィックの送信元アドレスを用いて問い合わせを実施する。さらに、管理サーバは、認証サーバから得たユーザ情報を元にして、事前に規定したユーザ毎の異常トラフィック対処内容から、異常トラフィックを送信したユーザの異常トラフィックの対処方法を検索し、この対処方法を異常トラフィック検出装置に通知する。異常トラフィック検出装置は、通知された異常トラフィック対処方法に従って、パケット中継装置に対して、異常トラフィックに対する設定を実施する。
【００３６】
（５）異常トラフィックを送信したユーザに対するトラフィック制御を実施するために、ユーザ毎に異常トラフィックの内容を記述するテーブルを管理サーバに設ける。
【００３７】
（６）また、長期的なユーザ毎の異常トラフィックの管理を実現するために、管理サーバは異常トラフィック検出装置から通知された異常トラフィック情報の内容と、認証サーバの認証情報により得られた異常トラフィックを送信したユーザの情報をユーザ毎の履歴として保存し、ユーザ毎の長期間の異常トラフィック管理を実施するためのユーザ毎の履歴情報を記憶する。
【実施例２】
【００３８】
本発明の別の実施例を説明する。図１３は、図１に示すシステムに、IPアドレスを管理するアドレス管理サーバ700を追加したシステム構成図を示す。このシステムにおいても、ユーザ毎に異常トラフィック情報を検出し対処するシステムを実施可能である。図１３において、アドレス管理サーバ700は、ユーザ端末500、600に割り当てるIPアドレスを管理する。図１３において、アドレス管理サーバ700以外の構成要素は図１と同様なので、説明は省略する。
【００３９】
図１４は、アドレス管理サーバ700の内部構造を示す。アドレス管理サーバ700は、メモリ720、CPU 721とネットワークインタフェース722から構成される。メモリ720は、IPアドレスの管理を行うためのアドレス管理テーブル730を保持する。
【００４０】
図１５は、本実施例において、異常トラフィック検出装置200に保持される異常トラフィック情報テーブル1240の構造を示したものである。異常トラフィック情報テーブル1240は、フロー情報1246、フローの判定内容を示すフロー判定1247、異常トラフィックのフローを検出した時間を示す検出時刻1248から構成される。ここで、フロー情報1246は、フローの識別子であるフローID 1241、送信元IPアドレス、宛先IP アドレス、プロトコル番号、送信元ポート番号、宛先ポート番号及びトラフィック量からなる。1242〜1245は、異常トラフィック情報テーブル1240に格納されるデータを示す。
【００４１】
図１６は、本実施例において、管理サーバ300に保持される異常トラフィック情報テーブル1340の構造を示したものである。異常トラフィック情報テーブル1340は、フローを検出した異常トラフィック検出装置を識別するための装置ID 1341、フローの識別子であるフローID 1346、フロー情報1347、フローの判定内容を示すフロー判定1348、異常トラフィックのフローを検出した時間を示す検出時刻1349から構成される。異常トラフィック情報テーブル1340は、異常トラフィック検出装置200からメッセージで送られ、異常トラフィック検出装置200のIDと一緒に保持される。ここで、フロー情報1347は、送信元IPアドレス、宛先IP アドレス、プロトコル番号、送信元ポート番号、宛先ポート番号、トラフィック量からなる。1342〜1345は、異常トラフィック情報テーブル1340に格納されるデータを示す。
【００４２】
図１７は、アドレス管理サーバ700に保持されるアドレス管理テーブル730を示す。アドレス管理テーブル730は、IPアドレスを割り当てた端末のMACアドレスを示すMACアドレス731、ユーザ端末に割り当てたIPアドレスを示すIPアドレス732、及びユーザ端末に割り当てたIPアドレスの有効期限を示す割当て期限733を保持する。734〜736は、アドレス管理テーブル730に格納されるデータを示す。
【００４３】
図１８は、本実施例のシステムの動作を示す。前提条件としてユーザが使用するユーザ端末で認証サーバにて認証が完了しており、ユーザ端末にアドレス管理サーバからIPアドレスが割り当てられていることが必要である。図１２と同様に、図１８における３桁の数字は、図１３〜図１４、図２〜図４で示した構成要素または各種テーブルを示す。また、４桁の数字は、図１８における動作（または処理ステップ）を示す。また、図１８と図１２との相違箇所は、アドレス管理サーバ700及びアドレス管理情報730を備えること、及びそれらに関する動作（処理ステップ）が追加されていることである。
【００４４】
まず、パケット中継装置100は、一定周期でパケット中継装置100が中継したパケットをフロー情報として異常トラフィック検出装置200へ送信する(ステップ3001)。異常トラフィック検出装置200は、パケット中継装置100から受け取ったフロー情報を検出フロー情報テーブル230へ記録し(ステップ3002)、受け取ったフロー情報が異常トラフィックの条件になったか否かを調べる。異常トラフィックの条件になっていない場合は、パケット中継装置100からのフロー情報を待ち、異常トラフィックの条件になるまで、ステップ3001〜3002を繰り返す。異常トラフィック検出装置200において、検出フロー情報テーブル230に記録中のフローが異常トラフィックの条件になった場合は、そのフローのフローID、フロー情報、フローの判定結果、及び異常トラフィックとして判定した判定時刻を異常トラフィック情報テーブル1240に記録し(ステップ3003)、異常トラフィック情報メッセージを管理サーバ300へ送信する(ステップ3004)。ステップ3001〜3004は、図１２におけるステップ2001〜2004と同様の処理である。
【００４５】
管理サーバ300は、異常トラフィック検出装置200から受け取った異常トラフィック情報メッセージを異常トラフィック情報テーブル1340に記録する(ステップ3005)。次に、管理サーバ300は、異常トラフィックを送信したユーザ端末を調べるために、受け取った異常トラフィック情報の送信元IPアドレスを使用して、ユーザ端末のMACアドレスをアドレス管理サーバ700に問い合わせる(ステップ3006)。アドレス管理サーバ700は、問い合わせされたIPアドレスを用いて、アドレス管理情報730から該当するMACアドレスを検索し(図中3007)、管理サーバ300へ検索結果を返す(図中3008)。管理サーバ300は、どのユーザの異常トラフィックであるかを知るために、アドレス管理サーバ700から送信されたMACアドレスを使用して、認証サーバ400に問い合わせる(図中3009)。認証サーバ400は、管理サーバ300からのユーザ問い合わせに使用されたMACアドレスをキーとして、MACアドレスに対応するユーザを認証情報430から検索する(図中3010)。認証サーバ400は、ユーザを認証情報430から検索した結果（ユーザ情報）を管理サーバ300へ送信する(図中3011)。管理サーバ300は、異常トラフィックを送信したユーザに対する対処の情報を得るために、ステップ3011において認証サーバ400から受け取ったユーザ情報を元にして、異常トラフィック対処方法テーブル350を検索する(図中3012)。また、管理サーバ300は、ユーザ情報と、そのユーザに対応する異常トラフィック対処方法をユーザ情報テーブル320に記録する(図中3013)。さらに管理サーバ300は、ユーザ情報と異常トラフィック検出装置200から受け取った異常トラフィック情報（そのユーザ情報に対応する異常トラフィック情報）を、ユーザ履歴情報テーブル330に記録する(図中3014)。この後、管理サーバ300は、異常トラフィック対処方法テーブル350から検索した異常トラフィックを送信したユーザに対する対処情報を異常トラフィック検出装置200に送信する(図中3015)。
【００４６】
異常トラフィック検出装置200は、ステップ3015において管理サーバ300から受け取った異常トラフィックを送信したユーザに対する対処情報を異常トラフィック対処方法テーブル250に記録し(図中3016)、異常トラフィック検出装置200は、ユーザ毎の異常トラフィック対処の状況を記録する異常トラフィック対処情報テーブル260に、異常トラフィックの対処情報とその実施状況を記録して(図中3017)、異常トラフィック検出装置200は、パケット中継装置100に対して、対処の内容に従った設定を実施する(図中3018)。なお、図１８におけるステップ3009〜3018は、図１２におけるステップ2006〜2015とそれぞれ対応する。
【実施例３】
【００４７】
本発明の別の実施例を説明する。図１９は、図１に示すシステムのパケット中継装置が複数台で且つ異常トラフィック検出装置4400が接続されているパケット中継装置以外のパケット中継装置にユーザ端末が直接接続されている場合のシステム構成図を示す。本システムにおいても、ユーザ毎に異常トラフィックを検出し対処するシステムを実施可能である。図中、ユーザがネットワークに接続するユーザ端末であるユーザ端末500、600、これら端末を接続するパケット中継装置4300、ユーザ端末510、610を接続するパケット中継装置4200、4400は異常トラフィック検出装置、当該異常トラフィック検出装置を接続しているパケット中継装置4100、本システムの管理を実施する管理サーバ、4600はユーザのネットワーク接続の認証を行うための認証サーバを示す。
【００４８】
図２０は、本実施例におけるパケット中継装置4300の内部構造を示す。パケット中継装置4300は、メモリ4310、CPU 4311、複数のネットワークインタフェースであるネットワークインタフェース4312、4313、4314から構成される。メモリ4310は、パケットの転送を行うために使用する情報を記録するパケット転送情報テーブル4320、当該ネットワークインタフェースの状態とそのMACアドレスを保持するインタフェース情報テーブル4330を保持する。
【００４９】
図２１は、異常トラフィック検出装置4400の内部構造を示す。異常トラフィック検出装置4400は、メモリ4420、CPU 4401、ネットワークインタフェース4402から構成される。メモリ4420は、検出した異常トラフィックの内容、異常トラフィック対処のための設定内容、その状況と対処を実施したパケット中継装置を記録する異常トラフィック対処情報テーブル4430、どのパケット中継装置にどのユーザ端末が接続されているかを示すネットワークの構成情報を保持するためのトポロジ情報テーブル4440、検出フロー情報テーブル230、異常トラフィック情報テーブル240、異常トラフィック対処方法テーブル250を保持する。図中230から250までは図２の異常トラフィック検出装置200と同様であるため説明を省略する。
【００５０】
図２２は、管理サーバ4500の内部構造を示す。管理サーバ4500は、メモリ4510、CPU 4511、ネットワークインタフェース4512から構成される。メモリ4510は、ユーザ毎にユーザの情報とユーザが使用しているユーザ端末の固有アドレス、ユーザ端末に割り当てられたIPアドレス、当該ユーザ端末を接続しているパケット中継装置のIPアドレスと当該パケット中継装置のインタフェース、当該ユーザの異常トラフィックの内容を記録するためのユーザ情報テーブル4520、複数のパケット中継装置から取得したパケット転送情報テーブルを保持するパケット転送情報テーブル4530、複数のパケット中継装置から取得したインタフェース情報テーブルを保持するインタフェース情報テーブル4550、当該パケット転送情報テーブルと当該インタフェース情報テーブルから作成したネットワークの構成情報を保持するためのトポロジ情報テーブル4540、ユーザ履歴情報テーブル330、異常トラフィック情報テーブル340、異常トラフィック対処方法テーブル350を保持する。図中、330から350は、図４の管理サーバ300と同様であるため説明を省略する。
【００５１】
図２３は、認証サーバ4600の内部構造を示す。認証サーバ4600は、メモリ4620、CPU 4621、ネットワークインタフェース4622から構成される。メモリ4620は、ユーザの情報とユーザが使用している図１９のユーザ端末500、600、510、610の固有アドレス、認証を実施したパケット中継装置と当該ユーザの認証状態を記録する認証情報4630を保持する。
【００５２】
図２４は、図２１の異常トラフィック検出装置に保持され、ユーザ毎の異常トラフィックの対処に用いる異常トラフィック対処情報テーブル4430の内部構造を示す。異常トラフィック対処情報テーブル4430は、異常トラフィック対処の対象であるユーザを示すユーザID 4431、当該ユーザが使用しているユーザ端末固有のアドレスであるMACアドレス4432、異常トラフィックの判定条件である判定・トラフィック量4433、異常トラフィックを検出した場合の対処の内容である制御内容4434、異常トラフィック対処の実施状況である実施状況4435、異常トラフィック対処のための内容を設定されたパケット中継装置を示す実施装置4436から構成される。当該異常トラフィック情報テーブルの中の4437、4438、4439は、ユーザ毎の上記内容である。一例として、4437は、ユーザIDがuser1であるユーザが、MACアドレスが00-01-01-01-01-01のユーザ端末を使用して、500Mbpsを超過したトラフィックを送受信したために異常トラフィックとして検出され、パケット中継装置192.0.2.253において当該ユーザの送受信トラフィックを50Mbpsに制限されている状態を示している。
【００５３】
図２５は、図２０のパケット中継装置4300が保持し、パケット転送のために用いるパケット転送情報テーブル4320の内部構造を示す。パケット転送情報テーブル4320は、パケット中継装置4300のネットワークインタフェースを示すインタフェース4322、当該インタフェースにつながっている機器の固有のアドレスであるMACアドレス4321、これらの当該情報を学習した方法を示すType 4323から構成される。当該パケット転送情報テーブルにより当該パケット中継装置にどのような機器が接続されているか分かる。
【００５４】
図２６は、パケット中継装置4300が保持するインタフェース情報テーブル4330の内部構造を示す。インタフェース情報テーブル4330は、ネットワークインタフェースを識別するためのインタフェース4332、当該インタフェースの固有のアドレスであるMACアドレス4331、当該インタフェースの状態を示す状態4333から構成される。
【００５５】
図２７は、認証サーバ4600が保持する認証情報テーブル4630の内部構造を示す。認証情報テーブル4630は、ユーザを識別するためのユーザID 4631、ユーザの使用するユーザ端末を識別するためのMACアドレス4632、当該ユーザの認証を実施したパケット中継装置を示す認証を実施したパケット中継装置のネットワークアドレス4633、ユーザの認証結果を示す認証状態4634から構成される。
【００５６】
図２８は、管理サーバ4500が保持するユーザ情報テーブル4520の内部構造を示す。ユーザ情報テーブル4520は、ユーザを識別するためのユーザID 4521、ユーザが使用するユーザ端末の識別情報であるMACアドレス4522、当該ユーザ端末に割り当てられたIPアドレスであるIPアドレス4523、当該ユーザ端末を接続しているパケット中継装置を示すパケット中継装置4524、当該中継装置の当該ユーザ端末を接続しているインタフェースを示すパケット中継装置のポート4525、異常トラフィック検出装置4400により実施された異常トラフィック対処の設定内容を示す状態4526から構成される。
【００５７】
図２９は、管理サーバ4500が保持するパケット転送情報テーブル4530の内部構造を示す。パケット転送情報テーブル4530は、図１９のネットワーク中のパケット中継装置4100、4200、4300から前記管理サーバが取得したものであり、当該パケット転送情報テーブルを取得したパケット中継装置を示す中継装置4531、当該パケット中継装置のネットワークインタフェースを示すインタフェース4533、当該インタフェースにつながっている機器の固有のアドレスであるMACアドレス4532、当該パケット中継装置にてこれらの当該情報を学習した方法を示すType 4534から構成される。
【００５８】
図３０は、管理サーバ4500が保持するインタフェース情報テーブル4550の内部構造を示す。インタフェース情報テーブル4550は、図１９のネットワーク中のパケット中継装置4100、4200、4300から前記管理サーバが取得したものであり、当該インタフェース情報テーブルを取得したパケット中継装置を示す中継装置4551、ネットワークインタフェースを識別するためのインタフェース4553、当該インタフェースの固有のアドレスであるMACアドレス4552、当該インタフェースの状態を示す状態4554から構成される。
【００５９】
図３１は、管理サーバ4500が保持するトポロジ情報テーブル4540の内部構造を示す。トポロジ情報テーブル4540は、パケット中継装置間の接続を示すものであり、管理サーバによりパケット転送情報テーブル4530とインタフェース情報テーブル4550から作成され、異常トラフィック対処方法テーブル350に前もって設定してあるユーザ毎の異常トラフィック対処方法の内容を設定する先のパケット中継装置を特定するために使用される。当該トポロジ情報テーブルは、元となる当該パケット転送情報を取得したパケット中継装置を示すパケット中継装置のアドレス4541、当該パケット中継装置のネットワークインタフェースを示すインタフェース4542、当該インタフェースの動作状態を示す状態4543、当該インタフェースに接続しているパケット中継装置を示すインタフェースに接続している中継装置4544から構成される。例えば、4545のエントリは、IPアドレス192.0.2.254のパケット中継装置にはネットワークインタフェースとして、Interface0、Interface1、Interface2が存在し、Interface1にはIPアドレス192.0.2.252のパケット中継装置が、Interface2にはIPアドレス192.0.2.253のパケット中継装置がそれぞれ接続されていることを示す。
【００６０】
図３２は、パケット中継装置4300のパケット転送情報テーブルが変化した場合の本システムの動作を示す。図３２の5001から5008までの数字は、図３２における動作(または処理ステップ)を示す。
【００６１】
まず、パケット中継装置4300は、当該パケット中継装置のネットワークインタフェースの動作状態変更や当該パケット中継装置が起動した場合、パケット転送情報テーブル4320を書き換える(ステップ5001)。その後、当該パケット中継装置は、この当該パケット転送情報テーブルの変更内容を異常トラフィック検出装置4400へ通知する(ステップ5002)。当該異常トラフィック検出装置は、当該パケット中継装置からの当該パケット転送情報テーブルの変更内容を管理サーバ4500へ通知する(ステップ5003)。当該管理サーバは、当該異常トラフィック検出装置から通知された変更内容をパケット転送情報テーブル4530へ記録し(ステップ5004)、当該変更内容を反映したいパケット転送情報4530とインタフェース情報テーブル4550の内容から(ステップ5005)、トポロジ情報テーブル4540を更新する(ステップ5006)。当該管理サーバは、更新した当該トポロジ情報テーブルの内容を異常トラフィック検出装置4400へ通知する(ステップ5007)。当該異常トラフィック検出装置4400では、当該管理サーバからの通知内容を用いてトポロジ情報テーブル4440を更新する(ステップ5008)。
【００６２】
図３３は、異常トラフィック検出装置4440により異常トラフィックを検出した場合の本システムの動作を示す。図３３においても実施例２の図１２の動作と同様に、前提条件として、ユーザが使用するユーザ端末で認証サーバにて認証が完了していることが必要である。図３３の5101から5117までの数字は、図３３における動作(または処理ステップ)を示す。
【００６３】
まず、パケット中継装置4100は、一定周期でパケット中継装置4100が中継したパケットをフロー情報として異常トラフィック検出装置4400へ送信する(ステップ5101)。当該異常トラフィック検出装置は、当該パケット中継装置から受け取ったフロー情報を検出フロー情報テーブル230へ記録し(ステップ5102)、当該異常トラフィック検出装置において、検出フロー情報テーブル230にて記録中のフローが異常トラフィックの判定条件になった場合に、当該フローのフローID、フロー情報、フローの判定結果、及び異常トラフィックとして判定した判定時刻を異常トラフィック情報テーブル240に記録し(ステップ5103)、異常トラフィック情報メッセージを管理サーバ4500へ送信する(ステップ5104)。
【００６４】
管理サーバ4500は、異常トラフィック検出装置4400から受け取った異常トラフィック情報メッセージの内容を異常トラフィック情報テーブル340に記録する(ステップ5105)。また、当該管理サーバは、どのユーザの異常トラフィックであるかを知るために、異常トラフィック情報メッセージに記録されているMACアドレスを用いて認証サーバ4600へ問い合わせる(ステップ5106)。認証サーバ4600は、当該管理サーバからのユーザ問い合わせのMAC アドレスを用いて、当該MACアドレスに対応するユーザを認証情報テーブル4630から検索する(ステップ5107)。当該認証サーバは、認証情報テーブル4630からユーザを検索した結果(ユーザ情報)を管理サーバ4500へ送信する(ステップ5108)。当該管理サーバは、異常トラフィックを送信したユーザに対する対処のための情報を得るために、ステップ5108で認証サーバ4600より受け取ったユーザ情報を元にして、異常トラフィック対処方法テーブル350を検索する(ステップ5109)。また、当該管理サーバは、異常トラフィックを送信したユーザの使用するユーザ端末がどのパケット中継装置に接続されているかを知るために、ユーザ端末のMACアドレス(認証サーバへユーザ情報を問い合わせたときに使用したMACアドレス)を用いてトポロジ情報テーブル4540を検索する(ステップ5110)。当該管理サーバは、ユーザ情報、前記検索結果である当該ユーザ情報のユーザに対応する異常トラフィック対処方法、当該ユーザが使用するユーザ端末が接続されているパケット中継装置4300のIPアドレスと当該ユーザ端末が接続されているパケット中継装置4300のインタフェースをユーザ情報テーブル4520に記録する(ステップ5111)。さらに、当該管理サーバは、ユーザ情報と異常トラフィック検出装置4400から受け取った異常トラフィック情報(当該ユーザ情報に対応する異常トラフィック情報)をユーザ履歴情報テーブル330に記録する(ステップ5112)。この後、当該管理サーバは、異常トラフィック対処方法テーブル350から検索した異常トラフィックを送信したユーザに対する対処方法とトポロジ情報テーブル4540から検索した対処の設定を行うパケット中継装置4300の情報を異常トラフィック検出装置4400へ送信する(5113)。
【００６５】
異常トラフィック検出装置4400は、ステップ5113において管理サーバ4500から受け取った異常トラフィックを送信したユーザに対する対処方法を異常トラフィック対処方法テーブル250に記録し(ステップ5114)、当該管理サーバから受け取った対処の設定を実施するパケット中継装置の情報をトポロジ情報テーブル4430から検索し(ステップ5115)、ユーザ毎の異常トラフィック対処方法とその実施状況を記録して(ステップ5116)、パケット中継装置4300に対して、対処の内容に従った設定を実施する(ステップ5117)。
【００６６】
本実施例において、管理サーバ4500にてユーザ毎に異常トラフィック対処方法を事前に設定しておき、異常トラフィック検出装置4400から通知された異常トラフィックの情報を認証サーバ4600に問い合わせることで、異常トラフィックを送信したユーザのユーザ端末と当該異常トラフィックを特定化し、トポロジ情報テーブル4540から当該ユーザ端末が接続されているパケット中継装置を探し出して、異常トラフィック検出装置4400へ異常トラフィック対処方法を送信し、当該異常トラフィック検出装置から当該パケット中継装置へ異常トラフィック対処のための設定を行うことで、異常トラフィック検出装置が接続されていないパケット中継装置に接続されたユーザ端末に対する異常トラフィック対処を実施できる。
【実施例４】
【００６７】
本発明の別の実施例を説明する。図３４は、実施例３の図１９で示されるシステムにディレクトリサーバ6700に追加したシステム構成図を示す。このシステムにおいても、実施例３のシステム同様にユーザ毎に異常トラフィックを検出し対処し、異常トラフィック検出装置が直結されていないパケット中継装置に接続されたユーザ端末に対する異常トラフィック対処するシステムを実施可能である。図３４において、ディレクトリサーバ6700は、システム内のユーザの詳細な情報を管理する。また、管理サーバ6300は、図１９の管理サーバ4500にユーザの詳細情報を保持するテーブルを追加したものであり、それ以外は図１９の管理サーバ4500と同様である。図３４の管理サーバ6300とディレクトリサーバ6700以外は図１９と同様であるため説明を省略する。
【００６８】
図３５は、管理サーバ6300の内部構造を示す。当該サーバは、図２２の管理サーバ4500にユーザ詳細情報テーブル6350を追加した構成であり、それ以外は同様である。当該管理サーバのユーザ詳細情報テーブル6350は、図3４のディレクトリサーバ6700に問い合わせた異常トラフィックを送信したユーザの詳細情報を保持する。
【００６９】
図３６は、ディレクトリサーバ6700の内部構造を示す。当該ディレクトリサーバは、メモリ6720、CPU 6721、ネットワークインタフェース6722から構成される。メモリ6720は、ユーザ詳細情報テーブル6730を保持する。
【００７０】
図３７は、管理サーバ6300に保持されるユーザ詳細情報テーブル6350の内部構造を示す。当該ユーザ詳細情報テーブルは、ユーザを識別するユーザID 6351、ユーザの氏名を示すFull Name 6352、ユーザが組織内で所属している部署を示す所属部署6353、ユーザに連絡可能な電話番号を示すTEL 6354、ユーザが組織内で主に居る場所を示す場所6355から構成される。
【００７１】
図３８は、ディレクトリサーバ6700で保持されるユーザ詳細情報テーブル6730の内部構造を示す。当該ユーザ詳細情報テーブルは、ユーザを識別するユーザID 6731、ユーザの氏名を示すFull Name 6732、ユーザが組織内で所属している部署を示す所属部署6733、ユーザに連絡可能な電話番号を示すTEL 6734、ユーザが組織内で主に居る場所を示す場所6735から構成される。
【００７２】
図３９は、実施例４における異常トラフィック検出時の本システムの動作を示す。図３９の7001から7021までの数字は、図３９における動作(または処理ステップ)を示す。図３９のステップ7001からステップ7012までは、図３３のステップ5101からステップ5112と同様の処理であるため、説明を省略する。また、図３９のステップ7017と図３３のステップ5113、ステップ7018とステップ5114、ステップ7019とステップ5115、ステップ7020とステップ5116、ステップ7021とステップ5117とが同様の処理であるため、説明を省略する。管理サーバ6300は、図３３の管理サーバ4500の処理に加えて、異常トラフィックを送信したユーザの詳細な情報を記録するために、ステップ7012の後で、ディレクトリサーバ6700へ当該ユーザの詳細情報を問い合わせる(ステップ7013)。当該ディレクトリサーバでは、当該管理サーバから問い合わせられたユーザをキーにしてユーザ詳細情報テーブル6730から当該ユーザの詳細情報を検索し(ステップ7014)、検索した結果である当該ユーザの詳細情報を管理サーバ6300へ送信する(ステップ7015)。当該管理サーバでは、ディレクトリサーバ6700から受け取ったユーザ詳細情報をユーザ詳細情報テーブル6350に記録する(ステップ7016)。
【００７３】
本実施例では、実施例３のシステムの内容に加えて、異常トラフィックを送信したユーザの詳細情報(ユーザID、ユーザの氏名、組織内の所属部署、連絡可能な電話番号など)を管理サーバ6300内に記録することで、ユーザ端末への対処を実施する以外にも、管理者が当該ユーザ詳細情報を参照することで、ユーザを直接的に識別可能になる。
【実施例５】
【００７４】
本発明の別の実施例を説明する。図４０は、実施例３の図１９と同じ構成であり、管理サーバのトラフィック対処方法テーブルのみが異なる構成である。このため、図４０の詳細な説明を省略する。
【００７５】
図４１は、管理サーバ8500の内部構造を示す。管理サーバ8500は、メモリ8510、CPU 4511とネットワークインタフェース4512から構成される。メモリ8510は、異常トラフィック対処方法テーブル8560以外は、図２２の管理サーバ4500のメモリ4510と同様の内部構造であるため、それらの説明は省略する。
【００７６】
図４２は、管理サーバ8500が保持する異常トラフィック対処方法テーブル8560の内部構造を示す。異常トラフィック対処方法テーブル8560は、異常トラフィック対するユーザ毎の対処方法(異常トラフィックに対する解決策)を含む。異常トラフィック対処方法テーブル8560は、異常トラフィック対処方法を識別する識別子、もしくは同一の異常トラフィック対処方法を指定するユーザをグループ化するグループ8561、異常トラフィック判定の条件を示す判定・トラフィック量8562、異常トラフィックを検出した場合の対象の内容を示す制御内容8563、異常トラフィックが検出されなくなった判定条件を示す制御解除条件8564、検出された場合の対象のユーザを示すユーザID 8565、から構成される。当該異常トラフィック対処方法テーブルのuser1とuser2は、同一の対処条件のグループであり、同一の異常トラフィック対処方法が適応される。
【００７７】
図４３は、実施例５における異常トラフィック検出時の本システムの動作を示す。図４３の5101から5117および9109の数字は、図４３における動作(または処理ステップ)を示す。図４３のステップ9109以外は、図３３のステップと同様の処理であるため、これらの説明を省略する。管理サーバ8500は、ステップ9109にて、異常トラフィックを送信したユーザの対する対処方法を異常トラフィック対処方法テーブル8550からユーザをキーにして検索すると、ユーザが属するグループが得られ、そのグループの異常トラフィック対処方法が得られ、当該異常トラフィック対処方法をユーザの異常トラフィック対処方法として使用する。この異常トラフィック対処方法が同じ内容のユーザをグループ化する方式により、管理者は異常トラフィック対処方法をユーザ毎ではなくグループ毎に入力すればよくなるため、異常トラフィック対処方法の入力の省力化が可能なる。
【図面の簡単な説明】
【００７８】
【図１】実施例１のシステム構成図
【図２】異常トラフィック検出装置200の内部構成図
【図３】認証サーバ400の内部構成図
【図４】管理サーバ300の内部構成図
【図５】異常トラフィック検出装置200側の異常トラフィック情報テーブル240
【図６】管理サーバ300側の異常トラフィック情報テーブル340
【図７】認証サーバ400内の認証情報テーブル430
【図８】管理サーバ300内のユーザ情報テーブル320
【図９】管理サーバ300内のユーザ履歴情報テーブル330
【図１０】管理サーバ300内の異常トラフィック対処方法テーブル350
【図１１】異常トラフィック検出装置200内の異常トラフィック対処情報テーブル260
【図１２】実施例１における動作図
【図１３】実施例２のシステム構成図
【図１４】アドレス管理サーバ700の内部構成図
【図１５】実施例２における、異常トラフィック検出装置200側の異常トラフィック情報テーブル1240
【図１６】実施例２における、管理サーバ200側の異常トラフィック情報テーブル1340
【図１７】アドレス管理サーバ700内のアドレス管理テーブル730
【図１８】実施例２における動作図
【図１９】実施例３のシステム構成図
【図２０】パケット中継装置4300の内部構造図
【図２１】異常トラフィック検出装置4400の内部構造図
【図２２】管理サーバ4500の内部構造図
【図２３】認証サーバ4600の内部構造図
【図２４】異常トラフィック検出装置4400内の異常トラフィック対処情報テーブル4430
【図２５】パケット中継装置4300内のパケット転送情報テーブル4320
【図２６】パケット中継装置4300内のインタフェース情報テーブル4330
【図２７】認証サーバ4600内の認証情報テーブル4630
【図２８】管理サーバ4500内のユーザ情報テーブル4520
【図２９】管理サーバ4500内のパケット転送情報テーブル4530
【図３０】管理サーバ4500内のインタフェース情報テーブル4550
【図３１】管理サーバ4500内のトポロジ情報テーブル4540
【図３２】実施例３におけるパケット転送情報変更時の動作
【図３３】実施例３における異常トラフィック検出時の動作
【図３４】実施例４のシステム構成図
【図３５】管理サーバ6300の内部構造図
【図３６】ディレクトリサーバ6700の内部構造図
【図３７】管理サーバ6300内のユーザ詳細情報テーブル6350
【図３８】ディレクトリサーバ6700内のユーザ詳細情報テーブル6730
【図３９】実施例４における異常トラフィック検出時の動作
【図４０】実施例５のシステム構成図
【図４１】管理サーバ8500の内部構造図
【図４２】管理サーバ8500内の異常トラフィック対処方法テーブル8560
【図４３】実施例５における異常トラフィック検出時の動作
【符号の説明】
【００７９】
100：パケット中継装置、200：異常トラフィック検出装置、300：管理サーバ、400：認証サーバ、500、600：ユーザ端末、220：メモリ、221：CPU、222：ネットワークインタフェース、230：検出フロー情報テーブル、240：異常トラフィック情報テーブル、250：異常トラフィック対処方法テーブル、260：異常トラフィック対処情報テーブル、310：メモリ、311：CPU、312：ネットワークインタフェース、320：ユーザ情報テーブル、330：ユーザ履歴情報テーブル、340：異常トラフィック情報テーブル、350：異常トラフィック対処方法テーブル
【図１】
2008113409.tif 000003
【図２】
2008113409.tif 000004
【図３】
2008113409.tif 000005
【図４】
2008113409.tif 000006
【図５】
2008113409.tif 000007
【図６】
2008113409.tif 000008
【図７】
2008113409.tif 000009
【図８】
2008113409.tif 000010
【図９】
2008113409.tif 000011
【図１０】
2008113409.tif 000012
【図１１】
2008113409.tif 000013
【図１２】
2008113409.tif 000014
【図１３】
2008113409.tif 000015
【図１４】
2008113409.tif 000016
【図１５】
2008113409.tif 000017
【図１６】
2008113409.tif 000018
【図１７】
2008113409.tif 000019
【図１８】
2008113409.tif 000020
【図１９】
2008113409.tif 000021
【図２０】
2008113409.tif 000022
【図２１】
2008113409.tif 000023
【図２２】
2008113409.tif 000024
【図２３】
2008113409.tif 000025
【図２４】
2008113409.tif 000026
【図２５】
2008113409.tif 000027
【図２６】
2008113409.tif 000028
【図２７】
2008113409.tif 000029
【図２８】
2008113409.tif 000030
【図２９】
2008113409.tif 000031
【図３０】
2008113409.tif 000032
【図３１】
2008113409.tif 000033
【図３２】
2008113409.tif 000034
【図３３】
2008113409.tif 000035
【図３４】
2008113409.tif 000036
【図３５】
2008113409.tif 000037
【図３６】
2008113409.tif 000038
【図３７】
2008113409.tif 000039
【図３８】
2008113409.tif 000040
【図３９】
2008113409.tif 000041
【図４０】
2008113409.tif 000042
【図４１】
2008113409.tif 000043
【図４２】
2008113409.tif 000044
【図４３】
2008113409.tif 000045