(57)【要約】【課題】セキュリティに関する処置にかかる手間や時間を省き、イベントが発生した所定の装置とネットワークとの接続を遮蔽し、セキュリティを確保することができるネットワーク制御装置を提供することを目的とする。【解決手段】上記の問題点を解決するために、ネットワークを介して所定の装置のイベントの発生を監視する監視手段から送信されたイベント情報を受信する受信手段と、受信手段により受信したイベント情報に基づいて、所定の装置又は所定の装置を含む複数の装置とのネットワーク接続の遮蔽方法を指示するコマンドを生成するコマンド生成手段と、コマンド生成手段により生成されたコマンドを、所定の装置又は複数の装置とのネットワーク接続を制御する制御装置に送信することによって、所定の装置又は複数の装置のネットワーク接続を遮蔽する遮蔽制御手段とを有する構成とされる。【選択図】        図１
2004213233.tif 000002
【特許請求の範囲】
【請求項１】
イベントが発生した所定の装置とのネットワーク接続を遮蔽可能とする管理装置であって、
ネットワークを介して上記所定の装置のイベントの発生を監視する監視手段から送信されたイベント情報を受信する受信手段と、
上記受信手段により受信した上記イベント情報に基づいて、上記所定の装置又は上記所定の装置を含む複数の装置とのネットワーク接続の遮蔽方法を指示するコマンドを生成するコマンド生成手段と、
上記コマンド生成手段により生成された上記コマンドを、上記コマンドに基づいて上記所定の装置又は上記複数の装置とのネットワーク接続を制御する制御装置に送信することによって、上記所定の装置又は上記複数の装置のネットワーク接続を遮蔽する遮蔽制御手段とを有することを特徴とする管理装置。
【請求項２】
上記イベントに対する処置を示す対処情報を管理する対処情報管理手段を有し、
それぞれ異なるデータ形式による上記イベント情報を共通のデータ形式に変換し、その変換された共通情報を管理する共通情報管理手段とを有し、
上記コマンド生成手段は、上記対処情報及び上記共通情報に基づいて、上記コマンドを生成することを特徴とする請求項１記載の管理装置。
【請求項３】
イベントが発生した所定の装置とのネットワーク接続を制御する制御装置であって、
上記所定の装置及び上記所定の装置を含む複数の装置のネットワーク接続を管理する管理装置から上記所定の装置又は上記複数の装置とのネットワーク接続を遮蔽する制御を行うコマンドを受信するコマンド受信手段と、
上記コマンド受信手段により受信した上記コマンドに基づいて上記所定の装置又は上記複数の装置とのネットワーク接続を遮蔽する遮蔽手段とを有することを特徴とする制御装置。
【発明の詳細な説明】
【０００１】
【発明の属する技術分野】
本発明はネットワーク制御装置に係り、特に、ネットワークシステムに接続された装置にセキュリティに関するイベントが発生した時に、そのイベントが発生した装置とのネットワーク接続を遮蔽するネットワーク制御装置に関する。
【０００２】
【従来の技術】
従来、企業や学校等の同一建物や敷地内でＬＡＮ（Ｌｏｃａｌ  Ａｒｅａ  Ｎｅｔｗｏｒｋ）などのネットワークが構築されており、複数のパーソナルコンピュータ（以降ＰＣと呼ぶ）と、それらのＰＣに代わって様々な処理や各ＰＣのネットワーク制御を行う複数の管理装置とがネットワークを介して接続されている。このようなネットワークシステムが大規模である場合、更に複数のＰＣと複数の管理装置とを管理する集中管理装置が設けられる。この集中管理装置は、各ＰＣ又は管理装置に代わってセキュリティに関する処理などを行っている。
【０００３】
このようなネットワークシステムにおいて、ネットワークに接続された一つのＰＣがメールの受信やデータのダウンロードによりウィルス（コンピュータウィルス）に感染した場合、そのＰＣ内のプログラムやデータに付随してユーザーの見えない形で動作し、ＰＣ内の重要なファイルを破壊してしまう。このようなウィルスは、通常、ＰＣ内のファイルに潜伏期間をおいて発病し、ネットワークを介して他のＰＣに感染する恐れがある。従って、集中管理装置や管理装置では、他のＰＣのウィルス感染を防ぐ為、各ＰＣのウィルス感染を監視し、処置する手段が必要となっている。従来、集中管理装置又は管理装置には、各ＰＣのウィルス感染を検出するウィルスチェックプログラムが設けられており、このプログラムによりウィルスが発生したＰＣのアドレスを特定することができる。
【０００４】
また、従来、新しいコンピュータウィルスに対抗するため、あるコンピュータでウィルスによる異常を監視しておき、異常を検出したらそのウィルスの識別子を特定し、特定情報を各コンピュータに配布する方法がある（例えば、特許文献１参照）。
【０００５】
また、従来、企業内のネットワークに外部からの不正侵入を防ぐなど、セキュリティ保守のためにファイアウォールが設けられている。このファイアウォールでは、ネットワーク接続を１ヶ所にまとめ、データの流れを管理するようにしている。通常は、内部のネットワークに接続されたＰＣの代わりに外部のＰＣとのやりとりを行う代理応答機能（ＰＲＯＸＹ機能）を設けている場合が多い。
【０００６】
【特許文献１】
特開平９−２６９９３０号公報
【０００７】
【発明が解決しようとする課題】
上記ウィルスチェックプログラムや、ファイアウォールによりネットワーク上のＰＣにセキュリティに関する問題、例えばウィルス感染などが検出された場合、ウィルス感染の対処方法として、ネットワーク管理者等が手動でウィルスに感染したＰＣのＬＡＮケーブル、又は重要なサーバのＬＡＮケーブルを抜いてウィルスの蔓延を防ぎ、ネットワークのセキュリティを確保しなければならない。しかしながら、ネットワーク管理者がウィルスに感染したＰＣの設置場所を特定し、その設置場所まで移動してＬＡＮケーブルを抜くまでの処置に時間がかかってしまうという問題点があった。
【０００８】
また、実際、所定ＰＣでウィルス感染を発見し、ネットワーク管理者が手動でＬＡＮケーブルを抜いてネットワーク接続を遮蔽する時点で、すでに他のＰＣにウィルスが蔓延している場合があり、セキュリティを十分に確保することができないという問題点があった。
【０００９】
そこで、本発明の課題は、セキュリティに関する処置にかかる手間や時間を省くことができると共に、イベントが発生した所定の装置とネットワークとの接続を遮蔽し、セキュリティを確保することができるネットワーク制御装置を提供することを目的とする。
【００１０】
【課題を解決するための手段】
上記の課題を解決するため、本発明は、イベントが発生した所定の装置とのネットワーク接続を遮蔽可能とする管理装置であって、ネットワークを介して上記所定の装置のイベントの発生を監視する監視手段から送信されたイベント情報を受信する受信手段と、上記受信手段により受信した上記イベント情報に基づいて、上記所定の装置又は上記所定の装置を含む複数の装置とのネットワーク接続の遮蔽方法を指示するコマンドを生成するコマンド生成手段と、上記コマンド生成手段により生成された上記コマンドを、上記コマンドに基づいて上記所定の装置又は上記複数の装置とのネットワーク接続を制御する制御装置に送信することによって、上記所定の装置又は上記複数の装置のネットワーク接続を遮蔽する遮蔽制御手段とを有する構成とされる。
【００１１】
このようなネットワーク制御装置によれば、ネットワークを介して所定の装置のイベントの発生を監視する監視手段から送信されたイベント情報を受信し、受信したイベント情報に基づいて、所定の装置又は所定の装置を含む複数の装置とのネットワーク接続の遮蔽方法を指示するコマンドを生成し、生成されたコマンドを、コマンドに基づいて所定の装置又は複数の装置とのネットワーク接続を制御する制御装置に送信することによって、所定の装置又は複数の装置のネットワーク接続を遮蔽することにより、セキュリティに関する処置にかかる手間や時間を省くことができると共に、イベントが発生した所定の装置とネットワークとの接続を遮蔽し、セキュリティを確保することができる。
【００１２】
また、上記課題を解決するため、本発明は、上記ネットワーク制御装置による処理をコンピュータに行なわせるためのプログラムを記録した記録媒体とすることもできる。
【００１３】
【発明の実施の形態】
以下、本発明の実施の形態を図面に基づいて説明する。
【００１４】
図１は、本発明の一実施例に係るネットワーク制御装置におけるシステム構成図を示している。図１において、ネットワーク遮蔽システム１００は、ネットワーク接続に関する処理を行う複数の管理装置１０と、複数のＰＣ３１のネットワーク接続を制御するネットワーク制御装置３０と、ハブ４１を介して接続された複数のＰＣ４２の電源を制御する電源制御装置４０と、Ｉ／Ｏ装置５１のネットワーク接続を制御するＩ／Ｏ制御装置５０と、ＰＣ３１、４２、Ｉ／Ｏ装置５１（以降所定の端末とする）及び管理装置１０のセキュリティに関する処理を一括して管理する集中管理装置２０とで構成されるシステムである。尚、集中管理装置２０は、セキュリティに関する処理を行う製品Ａを有する集中管理装置２０ａと、セキュリティに関する処理を行う製品Ｂを有する集中管理装置２０ｂと、セキュリティに関する処理を行う製品Ｃを有する集中管理装置２０ｃとを有するものとする。管理装置１０と、集中管理装置２０と、ネットワーク制御装置３０と、電源制御装置４０と、Ｉ／Ｏ制御装置５０は、ＬＡＮなどのネットワーク１を介して接続される。尚、ネットワーク制御装置３０と、電源制御装置４０と、Ｉ／Ｏ制御装置５０とを以降では制御装置と総称する。
【００１５】
図１において、管理装置１０は、サーバコンピュータであって、ＣＰＵ（中央処理装置）によって各構成が制御される。ＣＰＵは、メモリユニット（図示せず）に格納されたプログラムに従ってネットワーク制御装置での処理を行う。
【００１６】
管理装置１０は、主に、ネットワーク遮蔽処理を実行するプログラムをインストールするインストーラ１１と、データの表示を制御する表示制御処理部１２と、データ通信を制御する通信制御処理部１３と、データの入出力を制御する入出力制御処理部１４と、所定の端末でセキュリティに関するイベントが発生した時、集中管理処理装置２０からイベント情報を受信するイベント情報受信処理部１５と、イベント情報に基づいてネットワークを制御するコマンドを生成するコマンド生成処理部１６と、生成されたコマンドを所定の端末の制御装置に送信するコマンド送信処理部１７と、所定の端末でのネットワーク接続の制御結果を制御装置から受信する制御結果受信処理部１８と、製品毎のイベントに対して対処する情報を格納したイベント対処情報データベース（以降ＤＢとする）１０１と、各イベントに対するコマンド情報を格納したコマンド情報ＤＢ１０２と、製品毎のイベントを共通化した情報を格納した共通Ｉ／Ｆ情報ＤＢ１０３と、対処すべきディフォルト装置を定義した情報を格納したディフォルト装置情報ＤＢ１０４と、対処するディフォルト装置のアドレス情報を格納した装置アドレス情報ＤＢ１０５と、制御結果に基づいて履歴情報を格納した履歴情報ＤＢ１０６と、ネットワーク制御を行う内容及び結果をメールで通知する通知先を格納したメール通知情報ＤＢ１０７とで構成されている。
【００１７】
通信制御処理部１３は、ネットワーク１を介して送受信データを制御する処理部であって、ネットワーク網に接続するための通信ユニットを有する。表示制御処理部１２は、ディスプレイ等の表示ユニットを有し、表示用データを制御して該表示ユニットに表示させる。入出力制御処理部１４は、マウス、キーボード等の入力ユニット及びプリンタ等の出力ユニットを制御し、データの入出力を制御する。インストーラ１１は、本発明の一実施例に係るネットワーク制御装置を実現するためのプログラムが記録された記録媒体６０から該プログラムを読み出し、その読み出されたプログラムを、例えば、補助記憶装置等にインストールする。そして、後述されるネットワーク制御装置における処理が起動されると、補助記憶装置にインストールされた当該プログラムに従って、ＣＰＵがその処理を開始する。尚、記録媒体６０は、当該プログラムを格納する媒体としてＣＤ−ＲＯＭなど、コンピュータが読み取り可能な媒体であればよい。
【００１８】
イベント情報受信処理部１５は、集中管理処理装置２０から所定の端末で発生したイベント情報を受信し、受信したイベント情報をイベント対処情報ＤＢ１０１に格納されたイベント対処情報に基づいて、共通Ｉ／Ｆ情報へ変換して共通Ｉ／Ｆ情報ＤＢ１０３に格納する。コマンド生成処理部１６は、共通Ｉ／Ｆ情報ＤＢ１０３から共通Ｉ／Ｆ情報を抽出し、ディフォルト装置情報ＤＢ１０４に格納されたディフォルト装置情報に基づいて対処すべき装置がディフォルト装置か否かを判断する。また、コマンド生成処理部１６は、その判断結果とコマンド情報ＤＢ１０２に格納されたコマンド情報とに基づいてコマンドを生成する。
【００１９】
コマンド送信処理部１７は、生成されたコマンドと装置アドレス情報ＤＢ１０５に格納された装置アドレス情報とに基づいて、所定の端末の制御装置にコマンドを送信する。制御結果受信処理部１８は、所定の端末でのネットワーク接続の制御結果を制御装置から受信し、メール通知情報ＤＢ１０７に格納されたメール通知先にネットワーク制御を行う内容及び結果を通知し、制御結果に基づいて履歴情報ＤＢ１０６に履歴情報を格納する。
【００２０】
集中管理装置２０は、サーバコンピュータであって、ＣＰＵによって各構成が制御される。集中管理装置２０のＣＰＵは、所定の端末でセキュリティに関するイベントが発生すると、各製品のセキュリティに関する処理に基づいて所定の管理装置１０へイベント情報の送信などを行う。例えば、集中管理装置２０ａの製品Ａがセキュリティチェックを行う手順を有し、その手順によりＰＣ３１でウィルスの発生を検知した場合、ウィルス発生情報をイベント情報として所定の管理装置１０に送信する。
【００２１】
集中管理装置２０は、上記管理装置１０のインストーラ１１と、表示制御処理部１２と、通信制御処理部１３と、入出力制御処理部１４及び記録媒体６０と同様の構成を有するため、説明を省略する。尚、上記記録媒体６０に記録されたプログラムを集中管理装置２０の補助記憶装置等にインストールして、ネットワーク制御装置における処理を実行させることも可能である。この場合、集中管理装置２０では、各端末の制御装置に対してネットワーク遮蔽処理を行うことができると共に、管理装置１０で発生したイベントに対してセキュリティに関する処理を行い、管理装置１０に対してネットワーク遮蔽処理を行うことができる。
【００２２】
ネットワーク制御装置３０は、管理装置１０から送信されたコマンドに基づいて、複数のＰＣ３１を含むセグメントに対してネットワーク接続を制御する。また、ネットワーク制御装置３０は、管理装置１０から送信されたコマンドに基づいて、所定のＰＣ３１に対してネットワーク接続を制御する。また、ネットワーク制御装置３０は、ネットワーク接続を制御した制御結果を管理装置１０に送信する。尚、ネットワーク接続を制御するネットワーク制御装置３０の具体例について、図２で詳細に説明する。電源制御装置４０は、管理装置１０から送信されたコマンドに基づいて、ＰＣ４２が接続されるハブ４１を介して接続されるＰＣ４２の電源のオン・オフを制御する。また、電源制御装置４０は、電源のオン・オフを制御した制御結果を管理装置１０に送信する。Ｉ／Ｏ制御装置５０は、管理装置１０から送信されたコマンドに基づいて、Ｉ／Ｏ装置５１のネットワーク接続を制御する。また、Ｉ／Ｏ制御装置５０は、ネットワーク接続を制御した制御結果を管理装置１０に送信する。尚、Ｉ／Ｏ装置５１は、制御可能な空調や出入口の扉など、セキュリティ上の装置として、Ｉ／Ｏ制御装置５０が、管理装置１０から送信されたコマンドに基づいて、空調や出入口の扉などを遮蔽することも可能である。
【００２３】
次に、上記ネットワーク制御装置３０の具体例について説明する。図２は、ネットワーク制御装置の内部構成例を示す図である。図２（Ａ）は、複数のＰＣ３１のセグメントに対してネットワーク接続を制御するネットワーク制御装置３００の内部構成例を示し、図２（Ｂ）は、所定のＰＣ３１に対してネットワーク接続を制御するネットワーク制御装置３１０の内部構成例を示している。
【００２４】
図２（Ａ）に示すネットワーク制御装置３００は、スイッチ３０２のオン・オフを制御するＣＰＵ３０１と、上位ネットワークと接続されるポート３０３と、下位ネットワークと接続されるポート３０４と、ポート３０３、３０４と接続され、ネットワークの接続のオン・オフを行うスイッチ３０２と、管理装置１０のアドレスとそのアドレスに対応する認証キーが格納されたテーブル３０５とで構成されている。例えば、ネットワーク制御装置３００に管理装置１０からコマンドが送信される。ここで、コマンドは暗号化されて送信され、ＣＰＵ３０１により復号化される。ＣＰＵ３０１は、テーブル３０５を参照し、コマンドが送信された管理装置１０の認証を行い、認証結果及び復号化されたコマンドとに基づいてスイッチ３０５のオン・オフの制御を行う。従って、ネットワーク制御装置３００は、管理装置１０からのコマンドに基づいて、スイッチ３０２をオフに制御することにより、複数のＰＣ３１のセグメントに対して、即ち、複数のＰＣ３１の全てのネットワーク接続を遮蔽することができる。
【００２５】
図２（Ｂ）に示すネットワーク制御装置３１０は、一段目のスイッチ３１６及び二段目のスイッチ３１７ａ〜３１７ｘのオン・オフを制御するＣＰＵ３１１と、上位ネットワークと接続されるポート３１３と、下位ネットワークと接続されるポート３１５ａ〜３１５ｘ（ポートＮｏ．１〜Ｎ）と、ネットワークの接続のオン・オフを行う一段目のスイッチ３１６及び二段目のスイッチ３１７ａ〜３１７ｘと、管理装置１０のアドレスとそのアドレスに対応する認証キーが格納されたテーブル３１２と、下位ネットワークに接続されたＰＣ３１のアドレスとそのアドレスに対応するポートＮｏが格納されたテーブル３１３とで構成されている。尚、一段目のスイッチ３１６は、一端がポート３１４に、他端がスイッチ３１７ａ〜３１７ｘに接続され、二段目のスイッチ３１７ａ〜３１７ｘのそれぞれは、一端がスイッチ３１６に、他端が対応するポート３１５ａ〜３１５ｘに接続される。
【００２６】
例えば、ネットワーク制御装置３１０に管理装置１０からコマンドが送信される。ここで、コマンドは暗号化されて送信され、ＣＰＵ３１１により復号化される。ＣＰＵ３１１は、テーブル３１２を参照し、コマンドが送信された管理装置１０の認証を行う。また、ＣＰＵ３１１は、テーブル３１３を参照し、認証結果及び復号化されたコマンドとに基づいて、所定のポートＮｏを抽出し、ポート３１５ａ〜３１５ｘと接続されたスイッチ３１７ａ〜３１７ｘのうち、所定のポートＮｏに対応するスイッチのオン・オフの制御を行う。従って、ネットワーク制御装置３１０は、管理装置１０からのコマンドに基づいて、スイッチ３１６、３１７ａ〜３１７ｘのいずれか一つをオフ制御することにより、複数のＰＣ３１の全てのネットワーク接続を遮蔽することができると共に、所定のＰＣ３１のネットワーク接続のみを遮蔽することができる。
【００２７】
次に、集中管理装置２０におけるネットワーク遮蔽処理の手順について説明する。図３は、集中管理装置におけるネットワーク遮蔽処理を説明するためのフローチャート図である。図３において、先ず、ステップＳ１０の処理で、例えば、集中管理装置２０ａの製品Ａの手順により、所定の端末のＩＰアドレスにおけるウィルス感染が発見される。ステップＳ１１の処理で、集中管理装置２０ａは、ウィルス感染の発見、即ちイベント情報に関するメールを管理装置１０に送信する。
【００２８】
次に、管理装置１０におけるネットワーク遮蔽処理の手順について説明する。図４、図５は、管理装置におけるネットワーク遮蔽処理を説明するためのフローチャート図である。図４において、先ず、ステップＳ２０の処理で、管理装置１０のイベント情報受信処理部１５は、集中管理装置２０の製品Ａによるウィルス発見に関するイベント情報メールを受信する。ステップＳ２１の処理で、イベント情報受信処理部１５は、製品Ａ用の受信メールの形式をチェックする。ステップＳ２２の処理で、イベント情報受信処理部１５は、イベントが発生した端末のアドレスを抽出する。ステップＳ２３の処理で、イベント情報受信処理部１５は、イベント対処情報ＤＢ１０１に格納されたイベント対処情報に基づいて共通Ｉ／Ｆ情報を生成し、共通Ｉ／Ｆ情報ＤＢ１０３に格納する。
【００２９】
ステップＳ２４の処理で、コマンド生成処理部１６は、共通Ｉ／Ｆ情報ＤＢ１０３に格納された共通Ｉ／Ｆ情報の対処内容を抽出する。ステップＳ２５の処理で、コマンド生成処理部１６は、共通Ｉ／Ｆ情報に基づいて、制御対象装置がディフォルトであるか否かを判断する。ステップＳ２５の処理で、制御対象装置がディフォルトでない場合、図５に示すステップＳ２９からの処理を行う。ステップＳ２５の処理で、制御対象装置がディフォルトである場合、ステップＳ２６の処理で、コマンド生成処理部１６は、ディフォルト装置情報ＤＢ１０４に格納されたディフォルト装置情報に基づいて、所定ＩＰアドレスが含まれる範囲が指定されている装置名を抽出する。この後、図５に示すステップＳ２９からの処理を行う。ステップＳ２７の処理で、コマンド生成処理部１６は、全ての装置名の数分繰り返されているか否かを判断する。ステップＳ２７の処理で全ての装置名の数分繰り返されていない場合、図５に示すステップＳ２９からの処理を繰り返す。ステップＳ２７の処理で全ての装置名の数分繰り返された場合、ステップＳ２８の処理でコマンド生成処理部１６は、対処数分繰り返されたか否かを判断する。ステップＳ２８の処理で対処数分繰り返されていない場合、ステップＳ２５からの処理を繰り返す。ステップＳ２８の処理で対処数分繰り返された場合、ネットワーク遮蔽処理を終了する。
【００３０】
図５において、ステップＳ２９の処理で、コマンド生成処理部１６は、コマンド情報ＤＢ１０２に格納されたコマンド情報に基づいて、対処内容に対応するコマンドを生成する。ステップＳ３０の処理で、コマンド送信処理部１７は、及び装置アドレス情報ＤＢ１０５に格納された装置アドレス情報に基づいて、所定の装置のアドレスを抽出する。ステップＳ３１の処理で、コマンド送信処理部１７は、生成されたコマンドを暗号化する。ステップＳ３２の処理で、コマンド送信処理部１７は、所定の装置のアドレスに暗号化したコマンドを送信する。ステップＳ３３の処理で、制御結果受信処理部１８は、所定の装置から制御結果を受信したか否かを判断する。ステップＳ３３の処理で制御結果を受信していない場合、ステップＳ３３の処理を繰り返す。ステップＳ３３の処理で制御結果を受信した場合、ステップＳ３４の処理で、制御結果受信処理部１８は、受信した制御結果を復号化する。ステップＳ３５の処理で、制御結果受信処理部１８は、メール通知情報ＤＢ１０７に格納されたメール通知情報に基づいて、イベント情報を送信した集中管理装置２０ａにメール送信機能が有効であるか否かを判断する。ステップＳ３５の処理でメール送信機能が有効でない場合、ステップＳ３７からの処理を行う。ステップＳ３５の処理でメール送信機能が有効である場合、ステップＳ３６の処理で、制御結果受信処理部１８は、集中管理装置２０ａにメールで制御結果の履歴情報を送信する。ステップＳ３７の処理で、制御結果受信処理部１８は、履歴情報ＤＢ１０６に履歴情報を格納する。
【００３１】
次に、ネットワーク制御装置３０（３００、３１０）におけるネットワーク遮蔽処理の手順について説明する。図６は、ネットワーク制御装置におけるネットワーク遮蔽処理を説明するためのフローチャート図である。図６において、先ず、ステップＳ４０の処理で、ネットワーク制御装置３０は、管理装置１０からのコマンドを受信する。ステップＳ４１の処理で、ネットワーク制御装置３０は、受信したコマンドを復号化する。ステップＳ４２の処理で、ネットワーク制御装置３０は、コマンドを送信した管理装置１０の認証を行う。ステップＳ４３の処理で、ネットワーク制御装置３０は、認証結果及びコマンドに基づいてネットワーク接続に関する処理を行う。即ち、ステップＳ４３の処理では、認証結果により、コマンドを送信した管理装置１０が認証された場合、コマンドに基づいてネットワーク接続を制御するが、管理装置１０が認証されない場合、ネットワーク接続制御を行わない。ステップＳ４４の処理で、ネットワーク制御装置３０は、ネットワーク接続の制御結果を暗号化する。ステップＳ４５の処理で、ネットワーク制御装置３０は、暗号化した制御結果を所定の管理装置１０に送信する。尚、図６に示すネットワーク遮蔽処理において、電源制御装置４０及びＩ／Ｏ制御装置５０で同様の処理を行うことができる。
【００３２】
次に、イベント対処情報ＤＢ１０１に格納されるイベント対処情報について説明する。図７は、イベント対処情報ＤＢに格納されるテーブルを示す図である。図７に示すテーブル１１１は、集中管理装置２０ａの製品Ａにより発見されるイベント情報の対処内容を格納したテーブルである。テーブル１１１は、製品毎に異なる発生イベントの項目、対処する処理に対応した対処コマンドの項目、制御を行う装置を示す制御対象装置の項目とで構成されている。例えば、テーブル１１１には、発生イベント「感染ファイル発見（定時スキャン時）」に対して対処コマンド「Ｎ−ＡＬＬ」、制御対象装置「装置４」が格納されている。
【００３３】
次に、コマンド情報ＤＢ１０２に格納されるコマンド情報について説明する。図８は、コマンド情報ＤＢに格納されるテーブルを示す図である。図８に示すテーブル１１２は、コマンドの項目、そのコマンドの対処内容の項目とで構成されている。例えば、テーブル１１２には、コマンド「Ｎ−ＡＬＬ，１，ＯＦＦ」に対して対処内容「ネットワーク制御装置全体のネットワーク遮蔽」が格納されている。
【００３４】
次に、共通Ｉ／Ｆ情報ＤＢ１０３に格納される共通Ｉ／Ｆ情報について説明する。図９は、共通Ｉ／Ｆ情報ＤＢに格納されるテーブルを示す図である。図９に示すテーブル１１３は、管理装置１０のイベント情報受信処理部１５により、異なる製品により検出されるイベント情報を、基本イベントＩＤを用いて共通化したテーブルである。テーブル１１３は、イベント情報を共通化する基本イベントＩＤと、その基本イベントＩＤに対応する対処コマンドの項目、制御を行う装置を示す制御対象装置の項目とで構成されている。例えば、テーブル１１３には、基本イベントＩＤ「Ｄ１」、対処コマンド「Ｎ−ＡＬＬ」、制御対象装置「装置５」が格納されている。
【００３５】
尚、基本イベントＩＤは、予め管理者によって設定されており、例えば、基本イベントＩＤ「Ｄ１」は、感染ファイル発見のイベントを示し、基本イベントＩＤ「Ｄ２」は、ファイル異常発見のイベントを示し、基本イベントＩＤ「Ｄ３」は、メール異常発見のイベントを示し、基本イベントＩＤ「Ｄ４」は、メール添付ファイル異常発見のイベントを示し、基本イベントＩＤ「Ｄ５」は、サービス妨害発生のイベントを示し、基本イベントＩＤ「Ｄ６」は、外部からアタック発見のイベントを示し、基本イベントＩＤ「Ｄ７」は、内部からアタック発見のイベントを示し、基本イベントＩＤ「Ｄ８」は、不正ログイン発見のイベントを示し、基本イベントＩＤ「Ｄ９」は、不正アクセス発見のイベントを示し、基本イベントＩＤ「Ｄ１０」は、ファイル改ざん発見のイベントを示し、基本イベントＩＤ「Ｄ１１」は、不許可コマンド使用発見のイベントを示すように設定するようにしてもよい。
【００３６】
次に、ディフォルト装置情報ＤＢ１０４に格納されるディフォルト装置情報について説明する。図１０は、ディフォルト装置情報ＤＢに格納されるテーブルを示す図である。図１０に示すテーブル１１４は、イベントが発生したＩＰアドレスに基づいて対応すべき装置名が設定されている。テーブル１１４は、対処すべき装置の範囲のアドレスを示す開始アドレスの項目と、終了アドレスの項目と、対応すべき装置名の項目とで構成されている。例えば、テーブル１１４には、開始アドレス「ＩＰアドレス１１」、終了アドレス「ＩＰアドレス１２」、装置名「装置４」が格納されている。
【００３７】
次に、装置アドレス情報ＤＢ１０５に格納される装置アドレス情報について説明する。図１１は、装置アドレス情報ＤＢに格納されるテーブルを示す図である。図１１に示すテーブル１１５は、対応すべき装置名に関する情報を示している。テーブル１１５は、対応すべき装置名の項目と、その装置のアドレスの項目と、その装置が制御される制御タイプの項目と、装置の配置場所などのコメントの項目とで構成されている。例えば、テーブル１１５には、装置名「装置１」に対して、装置アドレス「１２３．６４．１９８．０１」、制御タイプ「ネットワーク制御」、コメント「５階南側のセグメント」とが格納されている。
【００３８】
次に、履歴情報ＤＢ１０６に格納される履歴情報について説明する。図１２は、履歴情報ＤＢに格納されるテーブルを示す図である。図１２に示すテーブル１１６は、対応が行われた所定装置から送信された制御結果を履歴情報として格納している。テーブル１１６は、制御が行われた日時の項目と、イベントを検知した製品を示す発生Ｉ／Ｆの項目と、発生したイベント内容を示す発生イベントの項目と、イベントが発生した装置のアドレスを示す発生元アドレスの項目と、対処コマンドや対処装置に関する対処内容の項目と、制御した結果が正常に終了したかなどの制御結果の項目とで構成されている。例えば、テーブル１１６には、日時「２００３−０６−１５  ２２：３４：２３．４５５」、発生Ｉ／Ｆ「製品Ａ」、発生イベント「感染ファイル発見」、発生元アドレス「１２３．６４．１９８．２４」、対処内容「Ｎ−ＡＬＬ」、制御結果「正常終了」が格納されている。
【００３９】
次に、メール通知情報ＤＢ１０７に格納されるメール通知情報について説明する。図１３は、メール通知情報ＤＢに格納されるテーブルを示す図である。図１３に示すテーブル１１７は、所定の装置の制御結果を管理装置１０で受信した後、イベント発生を検知した所定の集中管理装置２０へ制御結果を送信するための通知先アドレスを格納している。テーブル１１７は、イベントを検知した製品を示す発生Ｉ／Ｆの項目と、制御結果をメールで通知するための通知先アドレスの項目とで構成されている。例えば、テーブル１１７には、発生Ｉ／Ｆ「製品Ａ」、通知先アドレス「ｓｅｉｈｉｎ＠ｍａｉｌ．ｃｏ．ｊｐ」が格納されている。
【００４０】
次に、コマンド生成処理部１６により生成されるコマンドについて説明する。図１４は、コマンド生成処理部により生成されるコマンドを示す図である。図１４に示すコマンド１６０は、コマンド１６１〜１６５で構成されている。コマンド１６１はイベント発生日時を示し、コマンド１６２はイベントに対する対処コマンドを示し、コマンド１６３はイベントが発生した装置のアドレスを示し、コマンド１６４は本コマンド１６０を送信する管理装置１０のアドレスを示し、コマンド１６５は本コマンド１６０を生成する管理装置１０のアプリケーション名と版数を示している。
【００４１】
管理装置１０は、このようなコマンド１６０を所定の制御装置（ネットワーク制御装置３０又は電源制御装置４０、Ｉ／Ｏ制御装置５０）に送信することにより、ウィルス感染などのイベントが発生した装置に対してネットワークを遮蔽するなど、イベントに対応したネットワーク制御を行うことができる。
【００４２】
次に、集中管理装置２０から管理装置１０へイベント発生時の通知のメールが送信される場合について説明する。図１５は、集中管理装置から管理装置へ送信されるイベント発生時のメール表示画面を示す図である。図１５に示すメール表示画面１２０は、管理装置１０で表示され、ヘッダー１２１と、本文１２２とが表示される。例えば、ヘッダー１２１には、製品Ａが作動する送信元の集中管理装置２０ａのメールアドレス「ＶｉｒｕｓＣｈｅｃｋｅｒ−ＭａｉｌＡｄｄｒｅｓｓ」と、送信先の管理装置１０のメールアドレス「ＳｅｃｕｒｉｔｙＭａｓｔｅｒ−１」と、メールの内容「［通知］異常発生」が表示される。本文１２２には、イベント情報であるウィルスのタイプ「ＮＩＭＤＡ」と、ウィルス発生元の装置のアドレス「１２３．６４．１９８．２４」とが表示される。尚、イベント発生時のメール送信は、製品毎に設定された複数のメールアドレスに送信するようにしてもよい。
【００４３】
次に、管理装置１０から送信先にネットワーク制御結果を通知するメールが送信される場合について説明する。図１６は、管理装置から送信先に送信されるネットワーク制御結果のメール表示画面を示す図である。図１６に示すメール表示画面１２５は、集中管理装置２０等の送信先で表示され、ヘッダー１２６と、本文１２７とが表示される。例えば、ヘッダー１２６には、送信元の管理装置１０のメールアドレス「ＳｅｃｕｒｉｔｙＭａｓｔｅｒ−１」と、制御結果を通知する送信先のメールアドレス「担当者ｘ」と、メールの内容「［通知］セキュリティ対処結果」が表示される。本文１２７には、イベントが発生した日時「２００３−０６−１５  ２２．３４．２３」と、イベント情報であるウィルスのタイプ「ＮＩＭＤＡ」と、ウィルス発生元の装置のアドレス「１２３．６４．１９８．２４」と、イベントの対処内容と制御結果「アドレス指定のネットワーク遮蔽→成功」とが表示される。
【００４４】
次に、管理装置１０で表示される各端末のネットワーク状態を確認するための表示画面について説明する。図１７は、各端末のネットワーク状態を確認するための表示画面を示す図である。図１７に示す確認画面１３０は、装置アドレス情報ＤＢ１０５に格納された装置アドレス情報と、ネットワーク制御装置３０又は電源制御装置４０、Ｉ／Ｏ制御装置５０（制御装置）から送信された制御結果とに基づいて生成され、管理装置１０で表示される。確認画面１３０には、詳細を表示する装置を選択する選択域１３１と、対応すべき装置名の項目と、その装置のアドレスの項目と、その装置が制御される制御タイプの項目と、装置の配置場所などのコメント及び制御状態、制御日時とが表示される。例えば、装置名「装置２」の選択域１３２を選択すると、図１８に示す詳細情報画面１３５が表示される。
【００４５】
図１８は、選択した装置の詳細情報を確認するための詳細情報画面を示す図である。図１８に示す詳細情報画面１３５は、装置名「装置２」に対する詳細情報である。詳細情報画面１３５には、確認画面１３０に表示された情報のうち、所定の情報の一覧を表示する表示域１３６と、装置２のハードのネットワーク接続状態を表示する表示域１３７と、各ハードのネットワーク接続の切り替えを選択する選択域１３８と、確認画面１３０の表示に戻るボタン１４０とが表示される。例えば、表示域１３７には、装置２のハード全体のネットワーク接続状態ＯＮ、ＩＰアドレス１〜３のハードのネットワーク接続状態ＯＮ、ＩＰアドレス４のハードのネットワーク接続状態ＯＦＦが表示されている。即ち、表示域１３７では、ＩＰアドレス４にイベントが発生し、ネットワーク接続が遮蔽されていることを示している。このとき、ＩＰアドレス４に対する選択域１３９が選択されると、管理装置１０は、ＩＰアドレス４のハードのネットワーク接続状態ＯＦＦをＯＮに切り替えるためのコマンドを生成し、そのコマンドを所定の制御装置に送信する。所定の制御装置は、受信したコマンドに基づいて、ＩＰアドレス４のハードのネットワーク接続を制御する。即ち、ＩＰアドレス４のハードのネットワーク接続が遮蔽されている状態を解除する。
【００４６】
このように、管理装置１０によりイベント情報に基づいてイベントが発生した所定の装置のネットワークを制御するコマンドを生成し、ネットワーク制御装置３０又は電源制御装置４０、Ｉ／Ｏ制御装置５０（制御装置）に送信し、その制御装置でイベントが発生した所定の装置とのネットワーク接続の制御を行うことにより、セキュリティに関する処置にかかる手間や時間を省いてイベントが発生した所定の装置とネットワークとの接続を遮蔽することができる。
【００４７】
尚、上記集中管理装置２０から管理装置１０へのイベント発生時の通知、及び管理装置１０から送信先へのネットワーク制御結果の通知方法において、メールでの送受信に限定されることなく、イベント発生時のデータ、及び制御結果のデータの送受信であればよい。
（付記１）  イベントが発生した所定の装置とのネットワーク接続を遮蔽可能とする管理装置であって、
ネットワークを介して上記所定の装置のイベントの発生を監視する監視手段から送信されたイベント情報を受信する受信手段と、
上記受信手段により受信した上記イベント情報に基づいて、上記所定の装置又は上記所定の装置を含む複数の装置とのネットワーク接続の遮蔽方法を指示するコマンドを生成するコマンド生成手段と、
上記コマンド生成手段により生成された上記コマンドを、上記コマンドに基づいて上記所定の装置又は上記複数の装置とのネットワーク接続を制御する制御装置に送信することによって、上記所定の装置又は上記複数の装置のネットワーク接続を遮蔽する遮蔽制御手段とを有することを特徴とする管理装置。
（付記２）  上記イベントに対する処置を示す対処情報を管理する対処情報管理手段を有し、
それぞれ異なるデータ形式による上記イベント情報を共通のデータ形式に変換し、その変換された共通情報を管理する共通情報管理手段とを有し、
上記コマンド生成手段は、上記対処情報及び上記共通情報に基づいて、上記コマンドを生成することを特徴とする付記１記載の管理装置。
（付記３）  上記イベントに対する処置の対象となる上記複数の装置を示す対処装置情報を管理する対処装置情報管理手段を有し、
上記コマンド生成手段は、上記対処装置情報に基づいて上記コマンドを生成することを特徴とする付記２記載の管理装置。
（付記４）  上記遮蔽制御手段は、上記コマンドに基づいて、上記対処装置情報管理手段から上記所定の装置及び上記複数の装置のネットワーク接続を制御する制御装置のアドレスを抽出するアドレス抽出手段を有し、
上記アドレス抽出手段により抽出された上記アドレスに基づいて上記制御装置に上記コマンドを送信することを特徴とする付記３記載の管理装置。
（付記５）  上記制御装置から上記所定の装置及び上記複数の装置とのネットワーク接続を遮蔽した制御結果を受信する制御結果受信手段を有することを特徴とする付記１乃至４いずれか一項記載の管理装置。
（付記６）  上記制御結果を所定の監視手段に通知する通知情報を管理する通知情報管理手段を有し、
上記制御結果受信手段は、上記通知情報に基づいて上記制御結果を所定の監視手段に通知する通知手段を有することを特徴とする付記５記載の管理装置。
（付記７）  イベントが発生した所定の装置とのネットワーク接続を制御する制御装置であって、
上記所定の装置及び上記所定の装置を含む複数の装置のネットワーク接続を管理する管理装置から上記所定の装置又は上記複数の装置とのネットワーク接続を遮蔽する制御を行うコマンドを受信するコマンド受信手段と、
上記コマンド受信手段により受信した上記コマンドに基づいて上記所定の装置又は上記複数の装置とのネットワーク接続を遮蔽する遮蔽手段とを有することを特徴とする制御装置。
（付記８）  上記所定の装置を含む全ての装置のそれぞれに接続されたポート情報を格納したテーブルを有し、
上記遮蔽手段は、上記テーブルに基づいて、少なくとも一つの装置とのネットワーク接続を遮蔽することを特徴とする付記７記載の制御装置。
（付記９）  イベントが発生した所定の装置とのネットワーク接続を遮蔽可能とするネットワーク遮蔽方法であって、
ネットワークを介して上記所定の装置のイベントの発生を監視する監視手段から送信されたイベント情報を受信する受信手順と、
上記受信手順により受信した上記イベント情報に基づいて、上記所定の装置又は上記所定の装置を含む複数の装置とのネットワーク接続の遮蔽方法を指示するコマンドを生成するコマンド生成手順と、
上記コマンド生成手順により生成された上記コマンドを、上記コマンドに基づいて上記所定の装置又は上記複数の装置とのネットワーク接続を制御する制御装置に送信することによって、上記所定の装置又は上記複数の装置のネットワーク接続を遮蔽する遮蔽制御手順とを有することを特徴とするネットワーク遮蔽方法。
（付記１０）  イベントが発生した所定の装置とのネットワーク接続を遮蔽可能とするネットワーク遮蔽方法における処理をコンピュータに行なわせるためのプログラムであって、
ネットワークを介して上記所定の装置のイベントの発生を監視する監視手段から送信されたイベント情報を受信する受信手順と、
上記受信手順により受信した上記イベント情報に基づいて、上記所定の装置又は上記所定の装置を含む複数の装置とのネットワーク接続の遮蔽方法を指示するコマンドを生成するコマンド生成手順と、
上記コマンド生成手順により生成された上記コマンドを、上記コマンドに基づいて上記所定の装置又は上記複数の装置とのネットワーク接続を制御する制御装置に送信することによって、上記所定の装置又は上記複数の装置のネットワーク接続を遮蔽する遮蔽制御手順とを有することを特徴とするプログラム。
（付記１１）  イベントが発生した所定の装置とのネットワーク接続を遮蔽可能とするネットワーク遮蔽方法における処理をコンピュータに行なわせるためのプログラムを格納した記録媒体であって、
ネットワークを介して上記所定の装置のイベントの発生を監視する監視手段から送信されたイベント情報を受信する受信手順と、
上記受信手順により受信した上記イベント情報に基づいて、上記所定の装置又は上記所定の装置を含む複数の装置とのネットワーク接続の遮蔽方法を指示するコマンドを生成するコマンド生成手順と、
上記コマンド生成手順により生成された上記コマンドを、上記コマンドに基づいて上記所定の装置又は上記複数の装置とのネットワーク接続を制御する制御装置に送信することによって、上記所定の装置又は上記複数の装置のネットワーク接続を遮蔽する遮蔽制御手順とを有することを特徴とするプログラムを格納した記録媒体。
【００４８】
【発明の効果】
上述の如く本発明によれば、ネットワークを介して所定の装置のイベントの発生を監視する監視手段から送信されたイベント情報を受信し、受信したイベント情報に基づいて、所定の装置又は所定の装置を含む複数の装置とのネットワーク接続の遮蔽方法を指示するコマンドを生成し、生成されたコマンドを、コマンドに基づいて所定の装置又は複数の装置とのネットワーク接続を制御する制御装置に送信することによって、所定の装置又は複数の装置のネットワーク接続を遮蔽することにより、セキュリティに関する処置にかかる手間や時間を省くことができると共に、イベントが発生した所定の装置とネットワークとの接続を遮蔽し、セキュリティを確保することができる。
【図面の簡単な説明】
【図１】本発明の一実施例に係るネットワーク制御装置におけるシステム構成図である。
【図２】ネットワーク制御装置の内部構成例を示す図である。
【図３】集中管理装置におけるネットワーク遮蔽処理を説明するためのフローチャート図である。
【図４】管理装置におけるネットワーク遮蔽処理を説明するためのフローチャート図である。
【図５】管理装置におけるネットワーク遮蔽処理を説明するためのフローチャート図である。
【図６】ネットワーク制御装置におけるネットワーク遮蔽処理を説明するためのフローチャート図である。
【図７】イベント対処情報ＤＢに格納されるテーブルを示す図である。
【図８】コマンド情報ＤＢに格納されるテーブルを示す図である。
【図９】共通Ｉ／Ｆ情報ＤＢに格納されるテーブルを示す図である。
【図１０】ディフォルト装置情報ＤＢに格納されるテーブルを示す図である。
【図１１】装置アドレス情報ＤＢに格納されるテーブルを示す図である。
【図１２】履歴情報ＤＢに格納されるテーブルを示す図である。
【図１３】メール通知情報ＤＢに格納されるテーブルを示す図である。
【図１４】コマンド生成処理部により生成されるコマンドを示す図である。
【図１５】集中管理装置から管理装置へ送信されるイベント発生時のメール表示画面を示す図である。
【図１６】管理装置から送信先に送信されるネットワーク制御結果のメール表示画面を示す図である。
【図１７】各端末のネットワーク状態を確認するための表示画面を示す図である。
【図１８】選択した装置の詳細情報を確認するための詳細情報画面を示す図である。
【符号の説明】
１              ネットワーク
１０            管理装置
１１            インストーラ
１２            表示制御処理部
１３            通信制御処理部
１４            入出力制御処理部
１５            イベント情報受信処理部
１６            コマンド生成処理部
１７            コマンド送信処理部
１８            制御結果受信処理部
２０、２０ａ〜２０ｃ      集中管理装置
３０、３００、３１０      ネットワーク制御装置
３１、４２      ＰＣ
４０            電源制御装置
４１            ハブ
５０            Ｉ／Ｏ制御装置
５１            Ｉ／Ｏ装置
６０            記録媒体
１００          ネットワーク遮蔽システム
１０１          イベント対処情報ＤＢ
１０２          コマンド情報ＤＢ
１０３          共通Ｉ／Ｆ情報ＤＢ
１０４          ディフォルト装置情報ＤＢ
１０５          装置アドレス情報ＤＢ
１０６          履歴情報ＤＢ
１０７          メール通知情報ＤＢ
【図１】
2004213233.tif 000003
【図２】
2004213233.tif 000004
【図３】
2004213233.tif 000005
【図４】
2004213233.tif 000006
【図５】
2004213233.tif 000007
【図６】
2004213233.tif 000008
【図７】
2004213233.tif 000009
【図８】
2004213233.tif 000010
【図９】
2004213233.tif 000011
【図１０】
2004213233.tif 000012
【図１１】
2004213233.tif 000013
【図１２】
2004213233.tif 000014
【図１３】
2004213233.tif 000015
【図１４】
2004213233.tif 000016
【図１５】
2004213233.tif 000017
【図１６】
2004213233.tif 000018
【図１７】
2004213233.tif 000019
【図１８】
2004213233.tif 000020