(57)【要約】【課題】オペレータがＩＤＳの出力を監視する手間と、ネットワークにファイアウォールを設置する手間とを解消する「通信制御方法及び装置」を提供する。【解決手段】不正データが流れ得るネットワークに接続されて、該ネットワークにおける通信を制限する１又は複数の通信制限部（１１ａ，１１ｂ）と、該通信制限部を制御する通信制御部（１０ａ，１０ｂ）と、不正データに関する情報を受けたとき、その情報に基づいて前記通信を制限する通信制限規則を生成して前記通信制御部に設定する通信規則生成部（９）とを備える。前記通信制御部は、前記通信制限規則に従って前記通信を制限するように前記通信制限部を制御する。【選択図】  図１
2004357026.tif 000002
【特許請求の範囲】
【請求項１】
障害を発生させる可能性のあるデータが流れ得るネットワークに接続された１又は複数の通信制限部を制御することで、当該ネットワーク又はこれに接続する別のネットワークにおける通信を制限する通信制御方法であって、
前記データを検出する不正データ検出部から該データに関する情報を受けたとき、該情報に基づいて前記通信を制限する通信制限規則を生成し、
前記通信制限部を制御する通信制御部に前記通信制限規則を設定する
ことを特徴とする通信制御方法。
【請求項２】
請求項１記載の通信制御方法において、前記障害を発生させる可能性のあるデータが流れ得るネットワークは、複数あり、各々個別に外部のネットワークに接続されていることを特徴とする通信制御方法。
【請求項３】
請求項１又は２記載の通信制御方法において、前記通信制限規則は、前記通信制限部が複数カスケード接続されているときは、該通信制限部のうち前記データの流れに対して最も上流側に接続された通信制限部を制御する通信制御部に設定されることを特徴とする通信制御方法。
【請求項４】
請求項１又は２記載の通信制御方法において、前記通信制限規則は、所定の時間間隔で順に設定されることを特徴とする通信制御方法。
【請求項５】
障害を発生させる可能性のあるデータが流れ得るネットワークに接続されて、該ネットワークにおける通信を制限する１又は複数の通信制限部と、該通信制限部を制御する通信制御部と、前記データに関する情報を受けたとき、該情報に基づいて前記通信を制限する通信制限規則を生成して前記通信制御部に設定する通信規則生成部とを備え、
前記通信制御部は、前記通信制限規則に従って前記通信を制限するように前記通信制限部を制御することを特徴とする通信制御装置。
【請求項６】
請求項５記載の通信制御装置において、前記ネットワークは、複数あり、各々個別に外部のネットワークに接続されていることを特徴とする通信制御装置。
【請求項７】
請求項５又は６記載の通信制御装置において、前記通信規則生成部は、前記通信制限部が複数カスケード接続されているときは、該通信制限部のうち前記データの流れに対して最も上流側に接続された通信制限部を制御する通信制御部に前記通信制限規則を設定することを特徴とする通信制御装置。
【請求項８】
請求項５又は６記載の通信制御装置において、前記通信規則生成部は、前記通信制御部に所定の時間間隔で順に前記通信制限規則を設定することを特徴とする通信制御装置。
【発明の詳細な説明】
【０００１】
【発明の属する技術分野】
本発明は、ネットワーク上の通信を制御する方法及び装置に関する。
【０００２】
【従来の技術】
一般に、ネットワークやネットワーク上に接続された機器に障害を発生させる可能性があるデータ（以下「不正データ」という。）を遮断するために、“Ｉｎｔｒｕｓｉｏｎ  Ｄｅｔｅｃｔｉｏｎ  Ｓｙｓｔｅｍ”と呼ばれる装置（以下「ＩＤＳ」という。）が利用されている。
【０００３】
ＩＤＳは、ネットワーク毎に設置或いはサーバ毎にインストールされて、不正データや不正な通信を監視及び検出する機能を有し、「監視カメラ」或いは「警報発生器」のような役割を果す装置である。
【０００４】
しかしながら、ＩＤＳによるネットワークの監視では、オペレータは、ＩＤＳが不正データを検出したときに出力する当該不正データに関する情報（以下「不正情報」という。）に基づいて、ネットワーク上の適切な通信制限部（例えば、ルータ、スイッチなど）の設定を当該不正データが通過しないように変更しなければならない。
【０００５】
また、ＩＤＳとは別の方法としては、ネットワーク上にファイアウォールを導入する方法がある。しかしながら、ファイアウォールは、送信元やファイルの種類等毎に通信を許可するか否かを予め設定しなければならないうえに、そこで許可された通信を介して行われる不正なアクセスや攻撃を防ぐことができない。
【０００６】
さらに、ファイアウォールは、上記のようにして許可された通信を介して不正データが侵入したり、ネットワークが攻撃を受けたりしてもそれに気付くことができない。すなわち、ファイアウォールは、通信を遮断するための「壁」ではなく、特定の通信を通過させるための「扉」として機能しているのである。
【０００７】
上記の不正データの一例としては、「コンピュータウイルス」があり、ネットワークに接続された多数のコンピュータにおいて、そのいずれかでコンピュータウイルスが出されたときにそのことを他のユーザーに一斉に素早く周知させるための技術として、「コンピュータウイルス検査システムの一斉管理システム」が提案されている（例えば、特許文献１参照）。
【０００８】
【特許文献１】
特開２００３−５９８９号公報
【０００９】
【発明が解決しようとする課題】
ＩＤＳを用いてネットワーク上の不正データの遮断を行う方法では、オペレータは、ＩＤＳの出力を常時監視して、不正情報が出力されたとき、その不正情報に基づいて、ネットワーク上に設置された通信制限部（例えば、ルータやスイッチなど）の設定をその不正データを遮断するように変更しなければならない。この方法では、熟練したオペレータが常時ＩＤＳからの出力を監視する必要があり、オペレータに掛かる負担が非常に大きなものとなっている。
【００１０】
また、ファイアウォールをネットワークに設置する方法では、ファイアウォールが設置されていないネットワーク上の径路では不正データを遮断することができず、不正データを完全に遮断するためには、ネットワーク毎にファイアウォールを設置しなければならない。
【００１１】
本発明の目的は、オペレータがＩＤＳの出力を監視する手間と、ネットワークにファイアウォールを設置する手間とを解消する通信制御方法及び装置を提供することである。
【００１２】
【課題を解決するための手段】
本発明の通信制御方法は、障害を発生させる可能性のあるデータが流れ得るネットワーク（例えば、後述のブロック６ａ）に接続された１又は複数の通信制限部（例えば、後述の通信制限部１１ａ）を制御することで、当該ネットワーク又はこれに接続する別のネットワーク（例えば、後述のブロック６ｂ）における通信を制限する通信制御方法であって、前記データを検出する不正データ検出部（例えば、後述の不正データ検出部８ａ，８ｂ）から該データに関する情報（例えば、不正情報）を受けたとき、該情報に基づいて前記通信を制限する通信制限規則（例えば、後述の通信制限規則）を生成し、前記通信制限部を制御する通信制御部（例えば、後述の通信制御部１０ａ）に前記通信制限規則を設定することを特徴とする。
【００１３】
また、前記障害を発生させる可能性のあるデータが流れ得るネットワークは、複数あり、各々個別に外部のネットワーク（例えば、後述の外部ネットワーク４）に接続されていてもよい。
【００１４】
本発明の具体的態様は、前記通信制限規則は、前記通信制限部が複数カスケード接続（例えば、後述のカスケード接続（図５））されているときは、該通信制限部のうち前記データの流れに対して最も上流側に接続された通信制限部（例えば、後述の通信制限部１１ｃ）を制御する通信制御部（例えば、後述の通信制御部１０ｃ）に設定される。或いは、前記通信制限規則は、所定の時間間隔（例えば、後述の時間間隔）で順に設定されるようにしてもよい。
【００１５】
本発明の通信制御装置は、障害を発生させる可能性のあるデータが流れ得るネットワークに接続されて、該ネットワークにおける通信を制限する１又は複数の通信制限部と、該通信制限部を制御する通信制御部と、前記データに関する情報を受けたとき、該情報に基づいて前記通信を制限する通信制限規則を生成して前記通信制御部に設定する通信規則生成部とを備え、前記通信制御部は、前記通信制限規則に従って前記通信を制限するように前記通信制限部を制御することを特徴とする。
【００１６】
また、前記ネットワークは、複数あり、各々個別に外部のネットワークに接続されていてもよい。
【００１７】
本発明の具体的態様は、前記通信規則生成部は、前記通信制限部が複数カスケード接続されているときは、該通信制限部のうち前記データの流れに対して最も上流側に接続された通信制限部を制御する通信制御部に前記通信制限規則を設定する。或いは、前記通信規則生成部は、前記通信制御部に所定の時間間隔で順に前記通信制限規則を設定するようにしてもよい。
【００１８】
【作用及び効果】
本発明によれば、ネットワーク上で検出された不正データに関する情報を受けると、その情報に基づいて通信制限規則を生成し、この通信制限規則を通信制御部に設定する。そして、通信制御部は、その通信制限規則に従って通信制限部を制御することにより、その不正データの侵入或いは流出を防ぐことができる。また、通信制限規則は、不正データが検出されたネットワークと別のネットワークに接続された通信制限部を制御する通信制御部にも設定可能であるから、不正データが検出されていないネットワークへの不正データの流れを自動的に遮断することができる。このようにして、ネットワークに接続された複数の通信制限部及び通信制御部を一括して制御することにより、従来のようにＩＤＳの出力結果を常時監視したり、ネットワーク毎にファイアウォールを設置したり、或いは末端のコンピュータ毎にウイルス検出ソフトをインストールしなくても不正データの遮断並びに流出を防止することができる。
【００１９】
また、本発明の通信制御方法及び装置は、各々個別に外部のネットワークに接続されている複数のネットワークにも適用することが可能である。
【００２０】
また、通信制限部が複数カスケード接続されている場合には、不正データの流れに対して最も上流側に接続された通信制限部を制御する通信制御部に通信制限規則を適用するようにしてもよい。これにより、ネットワーク上の同一の径路において通信制限規則が重複して適用されるのを防ぐことができる。
【００２１】
また、通信制限規則は、上記のようにカスケード接続された通信制限部を制御する通信制御部に所定の時間間隔で順に設定するようにしてもよい。これにより、通信制御部に通信制限規則を適用したときに一時的に発生する不正データに対する無防備な状態からネットワークを守ることができる。
【００２２】
【発明の実施の形態】
図１は、本発明の第１実施例の通信制御装置１を含むネットワーク構成を示すブロック図である。
【００２３】
第１実施例の通信制御装置１は、上流側の外部ネットワーク（例えば、インターネット）４とは、一つの通信制限部（例えば、ルータ）２により通信回線（例えば、光通信ケーブル）３を介して接続し、且つ下流側の２つのネットワーク（以下「ブロック」という。）とは、上流側の通信制限部（例えば、ルータ）２に接続した２つの通信制限部１１ａ，１１ｂにより通信回線（例えば、ＬＡＮケーブル）５を介して接続している。
【００２４】
２つのブロック６ａ，６ｂは、下流側の通信回線５を介して接続する複数の情報機器（例えば、パソコン）７などによって構成されている。
【００２５】
通信制御装置１は、不正データ（例えば、コンピュータウイルスを含むデータ）の通信を制限するために、
各ブロック６ａ，６ｂに設置され、通信回線５を介して通信される不正データを検出し、その不正データに関する情報を出力する不正データ検出部８ａ，８ｂと、
不正データ検出部８ａ，８ｂからの不正情報に基づいて、その不正データを通過させないようにする規則（以下「通信制限規則」という。）を生成し、それを後述の通信制御部１０ａ，１０ｂに設定する通信規則生成部９と、
各ブロック６ａ，６ｂに設置され、通信規則生成部９によって設定された通信制限規則に従って、後述の通信制限部１１ａ，１１ｂを制御する通信制御部１０ａ，１０ｂと、
各ブロック６ａ，６ｂに設置され、通信制御部１０ａ，１０ｂに制御されて、不正データ検出部８ａ，８ｂが検出した不正データを遮断するように通信を制限する通信制限部１１ａ，１１ｂ
とを備える。
【００２６】
図２は、第１実施例の通信制御装置１の通信規則生成部９の構成を示すブロック図である。
【００２７】
通信規則生成部９は、
不正データ検出部８ａ，８ｂから受信した不正情報に基づく通信制限規則を生成し、それを通信制御部１０ａ，１０ｂに設定する規則生成手段２１と、
各通信制御部１０ａ，１０ｂに設定される通信制限規則を格納する規則情報格納手段２２と、
各通信制限部１１ａ，１１ｂが設置されているネットワーク上の位置を示す情報を格納する位置情報格納手段２３
とを備える。
【００２８】
図３は、第１実施例の通信制御装置１の通信規則生成部９の通信制限規則生成処理を示すフローチャートである。
【００２９】
まず、規則生成手段２１は、不正データ検出部８ａ，８ｂからの不正情報を受信したかどうかを判別する（ステップ［以下、ＳＴと表記する］１）。具体的には、規則生成手段２１は、不正データ検出部８ａ，８ｂがパターンマッチング方式或いはルールベース方式といった一般的な不正データ検索方法によって検出した不正データの特徴を示す情報（例えば、拡張子や送信元など）を受信する。
【００３０】
パターンマッチング方式とは、不正データのプログラムソースにおける特徴的な部分を「パターン」としてデータベース化しておき、検出対象となるデータをこの「パターン」に照合させる方式である。照合されたデータが、「パターン」と同じプログラムソースを有するものであれば、不正データとして特定される。この方式では、新種の不正データが発見されるたびに、その不正データに関する「パターン」をデータベースに追加登録する必要がある。
【００３１】
ルールベース方式とは、不正データの活動を分析することによりその動向の「ルール」をデータベース化し、検出対象となるデータをこの「ルール」に照合させる方式である。照合されたデータが、この「パターン」と合致する動向を示せば、不正データとして特定される。
【００３２】
不正データ検出部８ａ，８ｂは、上記の「パターン」及び「ルール」のデータベースを格納する手段と、検出対象となるデータをこの「パターン」及び「ルール」に照合させる手段と、不正情報を通信規則生成部９の規則生成手段２１に送信する手段とを含んでいる。
【００３３】
上記ＳＴ１の判別が“ＹＥＳ”であれば、規則生成手段２１は、受信した不正情報に基づいてその不正データを遮断するための通信制限規則を生成し（ＳＴ２）、次のステップ（ＳＴ３）に移る。
【００３４】
規則生成手段２１は、受信した不正情報に基づいて、不正データの発生源が外部ネットワークかどうかを判別する（ＳＴ３）。具体的には、不正データの発生源は、不正データ検出部８ａ，８ｂから見て不正データが、上流側から送られてきたのであれば、外部ネットワークであり、下流側から送られてきたのであれば、その不正データ検出部８ａ，８ｂが設置されているブロック６ａ又は６ｂである。
【００３５】
上記ＳＴ３の判別が“ＹＥＳ”、すなわち不正データの発生源が外部ネットワーク４であれば、ＳＴ２で生成した通信制限規則を、各通信制限部１１ａ，１１ｂを制御する各通信制御部１０ａ，１０ｂに設定する（ＳＴ４）。具体的には、通信制御装置１が有する全ての通信制限部１１ａ，１１ｂのネットワーク上の位置を示す情報（以下「位置情報」という。）が位置情報格納手段２３に格納されており、この位置情報に基づいて、通信制限規則を全ての通信制御部１０ａ，１０ｂに送信し、設定する。
【００３６】
また、上記ＳＴ３の判別が“ＮＯ”、すなわち不正データの発生源がブロック６ａ又は６ｂであれば、ＳＴ２で生成した通信制限規則をそのブロック６ａ又は６ｂに設置されている通信制御部１０ａ，１０ｂに設定する（ＳＴ５）。
【００３７】
次に、規則生成手段２１は、生成した通信制限規則とそれを設定した通信制御部１０ａ，１０ｂとを関連付けた情報を規則情報格納手段２２に格納して（ＳＴ６）、通信制限規則生成処理を終了する。
【００３８】
上記のようにして、通信規則生成部９は、１つの不正データ検出部８ａ又は８ｂから受信した不正情報に基づく通信制限規則を、通信制御装置１が備える全て（ここでは、２つ）の通信制御部１０ａ及び１０ｂに設定することができる。例えば、上流側の外部ネットワーク４から左側のブロック６ａに向かって不正データが送られてきたとき、その不正データに対応する通信制限規則を左右両方の通信制御部１０ａ，１０ｂに設定することで、各ブロック６ａ，６ｂにファイアウォール等を設置して個別に監視しなくても、左右両方のブロック６ａ，６ｂを一括してその不正データの侵入から守ることができる。
【００３９】
また、不正データが例えば右側のブロック６ｂに設置された不正データ検出部８ｂより下流側から送られてきた場合には、その不正データに対応する通信制限規則を右側の通信制御部１０ｂにのみ設定することで、右側のブロック６ｂからの不正データの流出を防ぐことができる。
【００４０】
図４は、本発明の第２実施例の通信制御装置４１を含むネットワーク構成を示すブロック図で、第１実施例と異なるところは、２つのブロック６ａ，６ｂが、各通信制限部１１ａ，１１ｂを介して、各々個別に外部ネットワーク４に接続されるように構成した点である。このようにして、通信制御装置１は、各々個別に外部ネットワーク４に接続された複数（ここでは、２つ）のネットワークを、第１実施例と同様にして自動的に不正データの侵入から守ることが可能である。
【００４１】
具体的には、ブロック６ａ，６ｂがそれぞれ異なる企業に構築されたイントラネットと想定した場合に、従来、不正データ対策は、企業毎にルータや自社サーバ等によって行われていたことも多いが、通信制御装置１を設置することで複数のネットワークを一括して自動的に管理することが可能となる。
【００４２】
図５は、第３実施例の通信制御装置５１とそれを適用したネットワーク構成を示すブロック図である。
【００４３】
本発明の第３実施例の通信制御装置５１は、第１実施例の通信制御装置１（図１）において、各ブロック６ａ，６ｂを外部ネットワーク４に接続するための通信制限部２に代えて、第１実施例と同様の機能を有する通信制限部１１ｃと不正データ検出部８ｃと通信制御部１０ｃとを含んでおり、その他の構成は第１実施例と同様である。尚、第３実施例の通信制御装置５１が適用されているネットワークも第１実施例と同様に、通信制限部１１ｃを介して接続された上流側の外部ネットワーク４と下流側の２つのブロック６ａ，６ｂとで構成されている。また、第３実施例の通信制御装置５１の通信規則生成部９は、第１及び第２実施例で用いられているものと同様の構成である。
【００４４】
図６は、第３実施例の通信制御装置５１の通信規則生成部９の通信制限規則生成処理を示すフローチャートである。以下、通信制御装置５１において外部ネットワーク４に最も近い位置（以下「最上流部」という。）に設置された不正データ検出部８ｃが不正データを検出したときについて説明する。
【００４５】
通信制御装置９の規則生成手段２１（図２）は、不正データ検出部８ｃから受信した不正情報に基づいて、その不正データを遮断するための通信制限規則を生成し（ＳＴ１１）、次のステップ（ＳＴ１２）に移る。
【００４６】
規則生成手段２１は、受信した不正情報に基づいて、その不正データの発生源が外部ネットワーク４かどうかを判別する（ＳＴ１２）。
【００４７】
上記ＳＴ１２の判別が“ＹＥＳ”であれば、最終ステップ（ＳＴ１７）に移る。
【００４８】
上記ＳＴ１２の判別が“ＮＯ”であれば、規則生成手段２１は、生成した通信制限規則が通信制御部１０ｃの下流側のブロック６ａ（図では左側）に設置されている通信制御部１０ａに設定済みかどうかを判別する（ＳＴ１３）。具体的には、規則生成手段９の規則情報格納手段２２に格納されている情報を検索し、当該通信制限規則と通信制御部１０ａとが関連付けられた情報が格納されているかどうかを調べる。
【００４９】
上記の「通信制御部１０ａに設定済み」という状況は、例えば以前にブロック６ａの下流側から不正データが送られてきたことがあれば、ブロック６ａの上流部に設置されている通信制御部１０ａにのみ既にその不正データの通信を遮断するための通信制限規則が設定されていることから生ずる。
【００５０】
上記ＳＴ１３の判別が“ＹＥＳ”、すなわち通信制御部１０ａに既に当該通信制限規則が設定されている場合、規則生成手段２１は、当該通信制限規則を削除する命令を通信制御部１０ａに送信して、当該通信制限規則の設定を解除し（ＳＴ１４）た後に、次のステップ（ＳＴ１５）に移る。
【００５１】
上記ＳＴ１３の判別が“ＮＯ”であれば、次のステップ（ＳＴ１５）に移る。
【００５２】
次に、規則生成手段２１は、ＳＴ１３と同様にして、生成した通信制限規則が通信制御部１０ｃの下流側のブロック６ｂ（図では右側）に設置されている通信制御部１０ｂに設定済みかどうかを判別する（ＳＴ１５）。
【００５３】
ＳＴ１５の判別が“ＹＥＳ”、すなわち通信制御部１０ｂに既に当該通信制限規則が設定されている場合、規則生成手段２１は、当該通信制限規則を削除する命令を通信制御部１０ｂに送信して、当該通信制限規則の設定を解除し（ＳＴ１６）た後に、次のステップ（ＳＴ１７）に移る。
【００５４】
ＳＴ１５の判別が“ＮＯ”であれば、次のステップ（ＳＴ１７）に移る。
【００５５】
最後に、規則生成手段２１は、生成した通信制限規則を通信制御装置５１の最上流部に位置する通信制御部１０ｃに設定し（ＳＴ１７）、通信制限規則生成処理を終了する。
【００５６】
第３実施例の通信制御装置５１では、上記のようにして、ネットワークにおいて複数の通信制限部１１ａ，１１ｂ，１１ｃがカスケード接続されている場合には、通信制御装置５１の上流側の外部ネットワーク４から不正データが送られてきたときに、その不正データの流れに対して上流側に設置された通信制限部１１ｃを制御する通信制御部１０ｃにのみ通信制限規則を設定することによって、効率的にネットワークを監視することが可能である。
【００５７】
図７は、第４実施例の通信制御装置７１を含むネットワーク構成を示すブロック図である。
【００５８】
第４実施例の通信制御装置７１では、ネットワークの任意の位置において、通信制限部７２ａとそれを制御する通信制御部７３ａ、及び通信制限部７２ｂとそれを制御する通信制御部７３ｂとが一対で通信回線（例えば、ＬＡＮケーブル）７４を介してシリアル（直列）接続されており、これらの下流側に通信制限部７２ｂ及び通信制御部７３ｂに対応する不正データ検出部７５が設置されている。
ここでいうシリアル（直列）接続は、上流側と下流側とで通信制限部を積極的に１対１で接続する場合と、第３実施例のカスケード接続において上流側と下流側とに通信制限部をそれぞれ１つずつ接続する場合とを含む。
【００５９】
また、第４実施例の通信制御装置７１の通信規則生成部７６は、第１〜第３実施例と同様に１台備えられており、その構成も第１〜第３実施例の通信規則生成部９（図２）と同様である。
【００６０】
通信制御装置７１が適用されているネットワークは、通信回線（例えば、光通信ケーブル）７７を介して通信制御装置７１の上流側に接続するネットワークを上位ネットワーク７８、下流側に接続するネットワークを下位ネットワーク７９とする。
【００６１】
図８は、第４実施例の通信制御装置７１の通信規則生成部７６の通信制限規則生成処理を示すフローチャートである。
【００６２】
通信制御装置７１の通信規則生成部７６の規則生成手段２１は、通信制限部７２ｂ及び通信制御部７３ｂに対応する不正データ検出部７５からの不正情報に基づいて、上流側の通信制限部７２ａを制御する通信制御部７３ａに設定するための通信制限規則を生成する（ＳＴ２１）。
【００６３】
次に、規則生成手段２１は、下流側の通信制限部７２ｂを制御する通信制御部７３ｂに設定するための通信制限規則を生成する（ＳＴ２２）。
【００６４】
規則生成手段２１は、まずＳＴ２１で生成した通信制限規則を通信制御部７３ａに送信し、設定する（ＳＴ２３）。
【００６５】
上記ＳＴ２３の後に、一定時間（例えば、５秒間）待つ（ＳＴ２４）。
【００６６】
上記ＳＴ２４の一定時間が経過した後に、規則生成手段２１は、ＳＴ２２で生成した通信制限規則を通信制御部７３ｂに送信し、設定する（ＳＴ２５）。
【００６７】
このようにして、第４実施例の通信制御装置７１では、複数（ここでは、２つ）設置されている通信制限部７２ａ，７２ｂを制御する通信制御部７３ａ，７３ｂに対して、一定の時間間隔で順に通信制限規則が設定される。これは、通信制御部７３ａ，７３ｂが、任意の通信制限規則が設定されたときに一時的に全ての通信制限規則が無効になるという特徴を有することを考慮してのことである。これにより、通信制限規則を設定する際に、一時的にネットワークが無防備な状態となることを防ぐことが可能となる。
【００６８】
以上、実施例について説明したが、本発明はこれに限られるものではない。
【００６９】
第１実施例の通信制御装置１は、外部ネットワーク４の下流側で２つに分岐して接続するブロック６ａ，６ｂの上流部に適用されているが、３つ以上に分岐したネットワークに対しても、同様に適用することができる。また、各ブロック６ａ，６ｂがその下流側でさらに複数のネットワークに分岐する場合には、その分岐した各ネットワークの上流部にも通信制御装置１を適用するようにしてもよい。
【００７０】
第４実施例の「時間間隔」としては、５秒間が採用されているが、これに限られるものではなく、使用される通信制限部及び通信制御部の性能に合わせて適宜調節することが好適である。
【００７１】
実施例の通信制御装置では、不正データ検出部が通信制限部及び通信制御部に一対で設置されているが、これに限られるものではない。例えば、ネットワーク上の任意の位置に不正データ検出部を設置しておき、そこで不正データが検出されたときに、通信制御装置が備える通信制限部でその不正データを遮断させるようにしてもよい。
【００７２】
実施例では、通信回線として光通信ケーブルとＬＡＮケーブルとが採用されているが、これに限られるものではない。例えば、電話回線、ケーブルテレビ回線或いは電波や赤外線を用いた無線ＬＡＮ通信などコンピュータネットワークを構成するために使用できる任意の通信回線を採用することが可能である。また、ＬＡＮに関しても、一般的な１０ＢＡＳＥや１００ＢＡＳＥなどの規格の他にＡＴＭ、トークンリング或いはトークンリングパス等の超高速通信が可能な規格のものを用いることも可能である。
【００７３】
実施例では、ネットワークにおいて通信制限部と通信制御部とは一対に設置されているが、これに限られるものではない。例えば、複数の通信制限部を制御可能な機能を備えた通信制御部があれば、その通信制御部１台で複数の通信制限部を制御するようにしてもよい。また、通信制限部と通信制御部の両方の機能を備えた装置をネットワークに接続するようにしてもよい。
【００７４】
実施例では、不正データ検出部は、各通信制限部及び通信制御部と一対で備えられているが、これに限られるものではない。例えば、不正データ検出部は、ネットワークにおいて複数の通信制限部及び通信制御部の上流側又は下流側に設置されて、その複数の通信制限部及び通信制御部に流れる可能性のある不正データを検出するようにしてもよい。
【００７５】
実施例の通信規則生成部と不正データ検出部並びに通信制御部との通信は、上記の実施例中で説明した一般的な通信回線を用いればよい。また、通信制限部が接続されたネットワークを介して通信するようにしてもよいし、専用の回線を設置して通信するようにしてもよい。
【図面の簡単な説明】
【図１】第１実施例の通信制御装置を含むネットワーク構成を示すブロック図。
【図２】第１実施例の通信規則生成部の構成を示すブロック図。
【図３】第１実施例の通信規則生成部の通信制限規則生成処理を示すフローチャート。
【図４】第２実施例の通信制御装置を含むネットワーク構成を示すブロック図。
【図５】第３実施例の通信制御装置を含むネットワーク構成を示すブロック図。
【図６】第３実施例の通信規則生成部の通信制限規則生成処理を示すフローチャート。
【図７】第４実施例の通信制御装置を含むネットワーク構成を示すブロック図。
【図８】第４実施例の通信規則生成部の通信制限規則生成処理を示すフローチャート。
【符号の説明】
１，４１，５１，７１…通信制御装置、２，１１ａ，１１ｂ，１１ｃ，７２ａ，７２ｂ…通信制限部、３，５，７４，７７…通信回線、４…外部ネットワーク、６…ブロック、７…情報機器、８ａ，８ｂ，８ｃ…不正データ検出部、９，７６…通信規則生成部、１０ａ，１０ｂ，１０ｃ，７３ａ，７３ｂ…通信制御部、２１…規則生成手段、２２…規則情報格納手段、２３…位置情報格納手段、７８…上位ネットワーク、７９…下位ネットワーク。
【図１】
2004357026.tif 000003
【図２】
2004357026.tif 000004
【図３】
2004357026.tif 000005
【図４】
2004357026.tif 000006
【図５】
2004357026.tif 000007
【図６】
2004357026.tif 000008
【図７】
2004357026.tif 000009
【図８】
2004357026.tif 000010