(57)【要約】【課題】管理対象ネットワーク及び管理対象ネットワーク上の計算機の、外部からの攻撃に対する安全性を高める。【解決手段】管理対象ネットワーク１０、２０以外のネットワーク５０、６０に設置されたネットワーク監視装置３００、４００によって、攻撃を行っている攻撃元計算機７５或いは攻撃元計算機７５が接続されている攻撃元ネットワーク７０が検出されると、管理対象ネットワーク１０、２０に対する攻撃が行われていなくとも、ネットワーク遮断判定装置５００が管理対象ネットワーク１０、２０と攻撃元計算機７５との間の通信或いは管理対象ネットワーク１０、２０と攻撃元ネットワーク７０との間の通信を遮断する。また、ネットワーク遮断判定装置５００は、ネットワーク監視装置３００、４００が攻撃元計算機７５或いは攻撃元ネットワーク７０を検出すると、そのネットワークアドレスを管理対象ネットワーク１０、２０の管理者に通知する。【選択図】      図１
2005012606.tif 000002
【特許請求の範囲】
【請求項１】
管理対象ネットワーク以外のネットワークに設置され、前記管理対象ネットワーク以外のネットワークに対する攻撃を行っている攻撃元計算機或いは該攻撃元計算機が接続されている攻撃元ネットワークを検出するネットワーク監視装置と、
該ネットワーク監視装置で検出された攻撃元計算機と前記管理対象ネットワークとの間の通信或いは前記ネットワーク監視装置で検出された前記攻撃元ネットワークと前記管理対象ネットワークとの間の通信を遮断するネットワーク遮断判定装置とを備えたことを特徴とするネットワーク遮断システム。
【請求項２】
請求項１記載のネットワーク遮断システムにおいて、
前記ネットワーク遮断判定装置が、
前記ネットワーク監視装置で検出された攻撃元計算機或いは攻撃元ネットワークが前記管理対象ネットワーク内に存在する場合、前記管理対象ネットワークと外部ネットワークとの間の通信を遮断する構成を有することを特徴とするネットワーク遮断システム。
【請求項３】
請求項１記載のネットワーク遮断システムにおいて、
前記ネットワーク遮断判定装置が、
前記ネットワーク監視装置で検出された攻撃元計算機のネットワークアドレス或いは前記攻撃元ネットワークのネットワークアドレスを前記管理対象ネットワークの管理者に通知する構成を有することを特徴とするネットワーク遮断システム。
【請求項４】
管理対象ネットワーク以外のネットワークに接続され、前記管理対象ネットワーク以外のネットワークに対して攻撃を行っている攻撃元計算機或いは該攻撃元計算機が接続されている攻撃元ネットワークを検出する毎に、前記攻撃元計算機或いは前記攻撃元ネットワークのネットワークアドレスを記録するネットワーク監視装置と、
ネットワーク遮断判定装置とを備えたネットワーク遮断システムであって、
前記ネットワーク遮断判定装置が、
前記ネットワーク監視装置から攻撃元計算機或いは攻撃元ネットワークのネットワークアドレスを収集する攻撃情報収集部と、
該攻撃情報収集部が収集した攻撃元計算機或いは攻撃元ネットワークのネットワークアドレスに基づいて、所定回数以上攻撃を行った攻撃元計算機或いは攻撃元ネットワークを検出する指定ネットワーク遮断処理部と、
該指定ネットワーク遮断処理部で検出された攻撃元計算機と前記管理対象ネットワークとの間の通信或いは前記指定ネットワーク遮断処理部で検出された攻撃元ネットワークと前記管理対象ネットワークとの間の通信を遮断するネットワーク中継装置インターフェース部とを備えたことを特徴とするネットワーク遮断システム。
【請求項５】
請求項４記載のネットワーク遮断システムにおいて、
前記指定ネットワーク遮断処理部が、所定回数以上攻撃を行った攻撃元計算機或いは攻撃元ネットワークを検出したとき、該検出した攻撃元計算機或いは攻撃元ネットワークが前記管理対象ネットワーク内に存在するものであるか否かを判定する構成を有し、
前記ネットワーク中継装置インターフェース部が、
前記指定ネットワーク遮断処理部において所定回数以上攻撃を行った攻撃元計算機或いは攻撃元ネットワークが前記管理対象ネットワーク内に存在すると判定された場合には、前記管理対象ネットワークと外部ネットワークとの間の通信を遮断し、前記管理対象ネットワーク内に存在しないと判定された場合は、前記攻撃元計算機と前記管理対象ネットワークとの間の通信或いは前記攻撃元ネットワークと前記管理対象ネットワークとの間の通信を遮断する構成を有することを特徴とするネットワーク遮断システム。
【請求項６】
請求項４記載のネットワーク遮断システムにおいて、
前記指定ネットワーク遮断処理部において検出された攻撃元計算機或いは攻撃元ネットワークのネットワークアドレスを前記管理対象ネットワークの管理者へ通知するネットワーク管理者通知部を備えたことを特徴とするネットワーク遮断システム。
【請求項７】
管理対象ネットワーク以外のネットワークに設置され、前記管理対象ネットワーク以外にネットワークに対して攻撃を行っている攻撃元計算機或いは該攻撃元計算機が接続されている攻撃元ネットワークを検出するネットワーク監視装置で検出された攻撃元計算機と前記管理対象ネットワークとの間の通信或いは前記ネットワーク監視装置で検出された前記攻撃元ネットワークと前記管理対象ネットワークとの間の通信を遮断する構成を有することを特徴とするネットワーク遮断判定装置。
【請求項８】
コンピュータを、
管理対象ネットワーク以外のネットワークに設置され、前記管理対象ネットワーク以外のネットワークに対して攻撃を行っている攻撃元計算機或いは該攻撃元計算機が接続されている攻撃元ネットワークを検出するネットワーク監視装置で検出された攻撃元計算機と前記管理対象ネットワークとの間の通信或いは前記ネットワーク監視装置で検出された前記攻撃元ネットワークと前記管理対象ネットワークとの間の通信を遮断するネットワーク遮断判定装置として機能させるためのプログラム。
【発明の詳細な説明】
【０００１】
【発明の属する技術分野】
本発明は管理対象ネットワーク及び管理対象ネットワーク上の計算機の、外部ネットワークからの攻撃に対する安全性を高める技術に関する。
【０００２】
【従来の技術】
近年のビジネスにおいては、インターネットの利用は欠かせないものとなっており、多くの企業や組織は、計算機を社内または組織のネットワークに接続し、さらにそのネットワークをインターネットに接続することにより、業務の効率化を進めている。
【０００３】
一方、インターネットには、誰もが比較的容易に接続できるため、不正侵入、情報流出、データの改ざんなどの事故の発生が増加しており、企業や組織のネットワークをインターネットへ接続するに当たっては、従来から種々の対策がとられている（例えば、特許文献１、２参照）。
【０００４】
特許文献１に記載されている技術では、被害者ホストコンピュータが不正アクセスパケットを検出した場合、被害者ホストコンピュータと同一自立システム内の境界中継装置に対して、不正アクセスパケットを検出し、その不正アクセスパケットを廃棄するためのフィルタリング情報を転送することにより、境界領域で不正アクセスパケットを遮断するようにしている。
【０００５】
特許文献２に記載されている技術では、内部ネットワークと外部ネットワークとを接続する主通信路上に、不正パケットを検出する外部アタック監視ボード及び内部アタック監視ボードと、外部アタック監視ボードや内部アタック監視ボードにより不正パケットが検出された場合にはそのパケットを破棄し、そうでない場合にはパケットを中継するメインボードとを備えたネットワーク防御装置を配置することにより、過負荷攻撃に対する耐性を高めるようにしている。
【０００６】
【特許文献１】
特開２００２−１８５５３９号公報
【特許文献２】
特開２００２−１９９０２５号公報
【０００７】
【発明が解決しようとする課題】
しかしながら、特許文献１、２に記載されている従来の技術は、何れも管理対象ネットワークに対して攻撃が行われた時点で、その攻撃が検知されるため、対策が遅れる場合があるという問題があった。
【０００８】
そこで、本発明の目的は、管理対象ネットワーク及び管理対象ネットワーク内の計算機に対して攻撃が行われる前に、攻撃を仕掛けてくる可能性のある攻撃元計算機や攻撃元計算機が接続されているネットワークを認識することにより、実際に攻撃を受ける前に適切な予防措置をとれるようにすることにある。
【０００９】
【課題を解決するための手段】
本発明にかかる第１のネットワーク遮断システムは、上記目的を達成するため、
管理対象ネットワーク以外のネットワークに設置され、前記管理対象ネットワーク以外のネットワークに対して攻撃を行っている攻撃元計算機或いは該攻撃元計算機が接続されている攻撃元ネットワークを検出するネットワーク監視装置と、
該ネットワーク監視装置で検出された攻撃元計算機と前記管理対象ネットワークとの間の通信或いは前記ネットワーク監視装置で検出された前記攻撃元ネットワークと前記管理対象ネットワークとの間の通信を遮断するネットワーク遮断判定装置とを備えたことを特徴とする。
【００１０】
また、本発明にかかる第２のネットワーク遮断システムは、管理対象ネットワークから外部への攻撃を防止するため、
第１のネットワーク遮断システムにおいて、
前記ネットワーク遮断判定装置が、
前記ネットワーク監視装置で検出された攻撃元計算機或いは攻撃元ネットワークが前記管理対象ネットワーク内に存在する場合、前記管理対象ネットワークと外部ネットワークとの間の通信を遮断する構成を有することを特徴とする。
【００１１】
また、本発明にかかる第３のネットワーク遮断システムは、
攻撃元計算機或いは攻撃元ネットワークを管理対象ネットワークの管理者に通知できるようにするため、
第１のネットワーク遮断システムにおいて、
前記ネットワーク遮断判定装置が、
前記ネットワーク監視装置で検出された攻撃元計算機のネットワークアドレス或いは前記攻撃元ネットワークのネットワークアドレスを前記管理対象ネットワークの管理者に通知する構成を有することを特徴とする。
【００１２】
より具体的には、本発明にかかる第４のネットワーク遮断システムは、
管理対象ネットワーク以外のネットワークに接続され、前記管理対象ネットワーク以外のネットワークに対して攻撃を行っている攻撃元計算機或いは該攻撃元計算機が接続されている攻撃元ネットワークを検出する毎に、前記攻撃元計算機或いは前記攻撃元ネットワークのネットワークアドレスを記録するネットワーク監視装置と、
ネットワーク遮断判定装置とを備えたネットワーク遮断システムであって、
前記ネットワーク遮断判定装置が、
前記ネットワーク監視装置から攻撃元計算機或いは攻撃元ネットワークのネットワークアドレスを収集する攻撃情報収集部と、
該攻撃情報収集部が収集した攻撃元計算機或いは攻撃元ネットワークのネットワークアドレスに基づいて、所定回数以上攻撃を行った攻撃元計算機或いは攻撃元ネットワークを検出する指定ネットワーク遮断処理部と、
該指定ネットワーク遮断処理部で検出された攻撃元計算機と前記管理対象ネットワークとの間の通信或いは前記指定ネットワーク遮断処理部で検出された攻撃元ネットワークと前記管理対象ネットワークとの間の通信を遮断するネットワーク中継装置インターフェース部とを備えたことを特徴とする。
【００１３】
また、本発明にかかる第５のネットワーク遮断システムは、
第４のネットワーク遮断システムにおいて、
前記指定ネットワーク遮断処理部が、所定回数以上攻撃を行った攻撃元計算機或いは攻撃元ネットワークを検出したとき、該検出した攻撃元計算機或いは攻撃元ネットワークが前記管理対象ネットワーク内に存在するものであるか否かを判定する構成を有し、
前記ネットワーク中継装置インターフェース部が、前記指定ネットワーク遮断処理部において所定回数以上攻撃を行った攻撃元計算機或いは攻撃元ネットワークが前記管理対象ネットワーク内に存在すると判定された場合には、前記管理対象ネットワークと外部ネットワークとの間の通信を遮断し、前記管理対象ネットワーク内に存在しないと判定された場合は、前記攻撃元計算機と前記管理対象ネットワークとの間の通信或いは前記攻撃元ネットワークと前記管理対象ネットワークとの間の通信を遮断する構成を有することを特徴とする。
【００１４】
また、本発明にかかる第６のネットワーク遮断システムは、
第４のネットワーク遮断システムにおいて、
前記指定ネットワーク遮断処理部において検出された攻撃元計算機或いは攻撃元ネットワークのネットワークアドレスを前記管理対象ネットワークの管理者へ通知するネットワーク管理者通知部を備えたことを特徴とする。
【００１５】
【作用】
管理対象ネットワーク以外のネットワークに設置されたネットワーク監視装置によって、管理対象ネットワーク以外のネットワークに対して攻撃を行っている攻撃元計算機或いは攻撃元計算機が接続されている攻撃元ネットワークが検出されると、管理対象ネットワークに対する攻撃が行われていなくとも、ネットワーク遮断判定装置が管理対象ネットワークと攻撃元計算機との間の通信或いは管理対象ネットワークと攻撃元ネットワークとの間の通信を遮断するので、管理対象ネットワーク及び管理対象ネットワーク上の計算機の安全性を極めて高いものにすることができる。
【００１６】
また、ネットワーク監視装置で検出された攻撃元計算機或いは攻撃元ネットワークが管理対象ネットワーク内に存在する場合、管理対象ネットワークと外部ネットワークとの間の通信を遮断するので、管理対象ネットワークが攻撃元となることを防止できる。
【００１７】
また、ネットワーク監視装置で検出された攻撃元計算機のネットワークアドレス或いは攻撃元ネットワークのネットワークアドレスを管理対象ネットワークの管理者に通知するので、攻撃に対する予防措置を講じることができる。
【００１８】
【発明の実施の形態】
次に本発明の実施の形態について図面を参照して詳細に説明する。
【００１９】
【実施例の構成】
図１は本発明にかかるネットワーク遮断システムの実施例のブロック図である。同図を参照すると、本実施例のネットワーク遮断システムは、ネットワーク中継装置１００、２００と、ネットワーク監視装置３００、４００と、管理者端末１５、２５と、ネットワーク遮断判定装置５００と、攻撃元計算機７５と、管理対象ネットワーク１０，２０と、ネットワーク３０、４０、５０、６０、７０と、ネットワーク群８０とで構成されている。
【００２０】
管理対象ネットワーク１０、２０は、攻撃から防御するあるいは、攻撃を発生させないように管理するイントラネット等のネットワークである。ネットワーク群８０は、インターネットのような複数のネットワークからなるネットワークである。ネットワーク３０、４０、５０、６０、７０は、ネットワーク群８０に接続されたイントラネット等のネットワークである。ネットワーク中継装置１００、２００は、それぞれ、ネットワーク３０、４０と管理対象ネットワーク１０、２０とを接続しており、通常、ルータやファイアーウォールなどから構成されている。
【００２１】
ネットワーク監視装置３００、４００は、それぞれ、ネットワーク５０、６０のネットワークのスイッチなどに接続され、そのネットワークを流れるネットワークパケットを監視し、攻撃を検知するもので、通例、侵入検知システム（Ｉｎｔｒｕｔｉｏｎ  Ｄｅｔｅｃｔｉｏｎ  Ｓｙｓｔｅｍ）と呼ばれる。
【００２２】
ネットワーク遮断判定装置５００は、ネットワーク監視装置３００、４００が検出した攻撃に関する攻撃検知情報を読み込んで、攻撃元計算機７５の接続されたネットワーク７０からの攻撃が一定回数を越えた場合には、ネットワーク中継装置１００、２００の設定を変更して、攻撃元計算機７５の接続されたネットワーク７０から管理対象ネットワーク１０、２０へのデータの中継を遮断する。また、ネットワーク遮断判定装置５００は、遮断を行うべきと判定した場合、また遮断を実施した場合に、管理者端末１５、２５に対してその旨を通知する電子メールを送信する。攻撃元計算機７５は、ネットワーク７０経由で攻撃を行う計算機である。
【００２３】
図２を参照すると、ネットワーク遮断判定装置５００は、ネットワーク監視装置インターフェース部５０１と、攻撃情報収集部５０２と、攻撃情報処理部５０３と、管理対象ネットワーク遮断処理部５０４と、指定ネットワーク遮断処理部５０５と、ネットワーク中継装置インターフェース部５０６と、ネットワーク管理者通知部５０７と、攻撃検知情報読み込み領域５１０と、ネットワーク監視装置管理表５２０と、攻撃状況管理表５３０と、管理対象ネットワーク管理表５４０とで構成されている。ネットワーク遮断判定装置５００は、例えば、コンピュータによって実現されるものであり、コンピュータは、図示を省略したディスク、半導体メモリなどの記録媒体に記録されているプログラムを読み取り、そのプログラムを実行することにより、自コンピュータ上にネットワーク監視装置インターフェース部５０１、攻撃情報収集部５０２、攻撃情報処理部５０３、管理対象ネットワーク遮断処理部５０４、指定ネットワーク遮断処理部５０５、ネットワーク中継装置インターフェース部５０６、ネットワーク管理者通知部５０７、攻撃検知情報読み込み領域５１０、ネットワーク監視装置管理表５２０、攻撃状況管理表５３０、管理対象ネットワーク管理表５４０を実現する。
【００２４】
ネットワーク監視装置管理表５２０は、攻撃検知情報の収集先とするネットワーク監視装置３００、４００に関する情報を保持する表である。図３を参照すると、ネットワーク監視装置管理表５２０は、設置されているネットワーク監視装置３００、４００の台数分の行（本実施例では２行）から構成され、各行は、ネットワーク監視装置名領域５２１、ネットワーク監視装置アドレス領域５２２から構成される。ネットワーク監視装置識別名領域５２１には、ネットワーク監視装置３００、４００を識別するための名前が格納される。ネットワーク監視装置アドレス領域５２２には、攻撃検知情報を収集するために通信するネットワーク監視装置３００、４００のネットワークアドレスが格納される。例えば、ネットワーク監視装置管理表５２０の第１行目には、ネットワーク監視装置３００のネットワークアドレスが格納され、第２行目にはネットワーク監視装置４００のネットワークアドレスが格納される。
【００２５】
攻撃情報収集部５０２は、ネットワーク監視装置管理表５２０を参照し、ネットワーク監視装置インターフェース部５０１に対して、攻撃検知情報の収集先にするネットワーク監視装置３００、４００のネットワークアドレスを指示する機能を有する。
【００２６】
ネットワーク監視装置インターフェース部５０１は、攻撃情報収集部５０２から指示されたネットワークアドレスに基づいて、ネットワーク監視装置３００、４００から攻撃検知情報を収集し、攻撃検知情報読み込み領域５１０に格納する機能を有する。
【００２７】
図４を参照すると、攻撃検知情報読み込み領域５１０は、複数の攻撃元ネットワークのネットワークアドレス領域５１１と、複数の攻撃パターン識別情報領域５１２と、複数の攻撃元ネットワークアドレス領域５１３とから構成されている。攻撃元ネットワークのネットワークアドレス領域５１１には、攻撃元計算機７５の接続されたネットワーク７０のネットワークアドレスが格納される。攻撃パターン識別情報領域５１２には、ネットワーク監視装置３００、４００が検知した攻撃の攻撃パターンを識別するための名前が格納される。攻撃元アドレス領域５１３には、攻撃元計算機７５のネットワークアドレスが格納される。
【００２８】
攻撃情報処理部５０３は、ネットワーク監視装置インターフェース部５０１が攻撃検知情報読み込み領域５１０に格納した攻撃検知情報を基に、攻撃状況管理表５３０の内容を更新する機能を有する。
【００２９】
攻撃状況管理表５３０は、ネットワーク監視装置インターフェース部５０１が攻撃検知情報読み込み領域５１０に格納した攻撃検知情報を、攻撃元計算機７５の接続されたネットワーク７０のネットワークアドレスと攻撃パターンとの組み合わせに従って分類し、その件数を記憶しておく表である。図５を参照すると攻撃状況管理表５３０は、複数の行から構成され、各行は、攻撃元ネットワークのネットワークアドレス領域５３１と、攻撃パターン識別情報領域５３２と、攻撃検知回数領域５３３とから構成される。攻撃元ネットワークのネットワークアドレス領域５３１、攻撃パターン識別情報領域５３２は、それぞれ、攻撃検知情報読み込み領域５１０内の攻撃元ネットワークのネットワークアドレス領域５１１、攻撃パターン識別情報領域５１２からコピーしたものである。攻撃検知回数領域５３３には、一定時間内（５分間など）の、同一の攻撃元ネットワークのネットワークアドレスと攻撃パターンの組の検出回数が格納される。なお、本実施例では、図５に示すように、攻撃元ネットワークのネットワークアドレスと攻撃パターン識別情報との組み合わせ毎に攻撃検知回数を管理するようにしているが、攻撃元ネットワークのネットワークアドレス毎に攻撃検知回数を管理するようにしても良い。この場合には、攻撃パターン識別情報領域５３２は不要となる。
【００３０】
管理対象ネットワーク遮断処理部５０４は、管理対象ネットワーク管理表５４０に格納されている各管理対象ネットワーク１０、２０に関する情報を順次指定ネットワーク遮断処理部５０５に渡す機能を有する。
【００３１】
図６を参照すると、管理対象ネットワーク管理表５４０は、監視対象ネットワーク１０、２０のネットワーク数分の行（本実施例では２行）から構成され、各行は、管理対象ネットワーク識別名領域５４１と、ネットワーク中継装置アドレス領域５４２と、ネットワーク中継装置タイプ領域５４３と、ネットワーク管理者電子メールアドレス領域５４４と、遮断しきい値領域５４５と、遮断可否指定領域５４６と、管理対象ネットワーク内サブネットワークアドレス領域５４７とから構成される。
【００３２】
管理対象ネットワーク識別名領域５４１には、管理対象ネットワーク１０、２０を識別するための名前が格納される。ネットワーク中継装置アドレス領域５４２には、管理対象ネットワーク１０、２０と接続されているネットワーク中継装置１００、２００のネットワークアドレスが格納される。ネットワーク中継装置タイプ領域５４３には、ネットワーク中継装置１０、２０の種別を識別するための情報が格納される。ネットワーク管理者電子メールアドレス領域５４４には、当該ネットワークのネットワーク管理者の電子メールアドレスが格納される。遮断しきい値領域５４５には、当該ネットワークに対する、攻撃元ネットワークアドレスと攻撃パターンの組が同一のものの一定時間（５分間など）内の発生回数に対して、遮断またはネットワーク管理者に通知を行うしきい値が格納される。遮断可否指定領域５４６には、遮断しきい値を超えた攻撃が検出された場合に、遮断を実施するか、遮断を実施せずにネットワーク管理者に通知するだけとするかの区別が格納される。管理対象ネットワーク内サブネットアドレス領域５４７には、当該のネットワークを構成する１または複数のサブネットワークのアドレスが格納される。
【００３３】
指定ネットワーク遮断処理部５０５は、管理対象ネットワーク遮断処理部５０４から渡された各管理対象ネットワーク１０、２０に関する情報と、攻撃状況管理表５３０の内容とに基づいて、管理対象にしている管理対象ネットワーク１０、２０それぞれについてネットワークの遮断や管理者への通知を行うか否かを判定する機能や、ネットワークを遮断すると判定した場合、ネットワーク中継装置インターフェース部５０６に対してネットワークの遮断を指示する機能や、管理者への通知を行うと判定した場合、ネットワーク管理者通知部５０７に対して管理者への通知を指示する機能を有する。
【００３４】
ネットワーク中継装置インターフェース部５０６は、指定ネットワーク遮断処理部５０５からの指示に従って、ネットワーク中継装置１００、２００の構成を変更して、攻撃元のネットワーク７０と管理対象ネットワーク１０、２０との通信を遮断、あるいは管理対象ネットワーク１０あるいは管理対象ネットワーク２０内のサブネットワークと当該管理対象ネットワークの外部との通信を遮断する機能を有する。
【００３５】
ネットワーク管理者通知部５０７は、指定ネットワーク遮断処理部５０５からの指示に従って、管理対象ネットワーク１０、２０の管理者に対して電子メールを送る機能を有する。
【００３６】
【実施例の動作の説明】
次に、各図を参照して本実施例の全体の動作について詳細に説明する。
【００３７】
今、例えば、攻撃元計算機７５が、ネットワーク７０を経由してネットワーク５０に対して攻撃を行っているとする。
【００３８】
ネットワーク５０に設置されているネットワーク監視装置３００は、攻撃を検知する毎に（図７、Ａ７１、Ａ７２がｙｅｓ）、攻撃検知情報をログ情報としてログファイルに記録する（Ａ７３）。この攻撃検知情報には、攻撃元計算機７５のネットワークアドレス、攻撃元計算機７５が接続されているネットワーク７０のネットワークアドレス及び攻撃パターン識別情報が含まれている。
【００３９】
一方、ネットワーク遮断判定装置５００内の攻撃情報収集部５０２は、図８のフローチャートに示す処理を行っている。
【００４０】
この図８のフローチャートに示すように、攻撃情報収集部５０２は、ネットワーク監視装置管理表５２０の各行を順次処理対象にし（Ａ８０、Ａ８６）、処理対象にしている行中のネットワーク監視装置アドレス領域５２２に設定されているアドレスを指定して、ネットワーク監視装置インターフェース部５０１を呼び出す（Ａ８３）。その後、攻撃情報収集部５０２は、ネットワーク監視装置インターフェース部５０１からのリターンを待つ。
【００４１】
ネットワーク監視装置インターフェース部５０１は、攻撃情報収集部５０２から指定されたアドレスのネットワーク監視装置と通信を行い、前回の読み込み時以降にネットワーク監視装置のログファイルに格納された攻撃検知情報を読み込む。そして、今回読み込んだ攻撃検知情報を攻撃検知情報読み込み領域５１０に格納する（図９のＡ９１）。なお、前回の読み込み時以降にログファイルに格納された攻撃検知情報がなかった場合には、攻撃検知情報読み込み領域５１０には何も格納しない。その後、ネットワーク監視装置インターフェース部５０１は、攻撃情報収集部５０２へ戻る。この処理により、ネットワーク監視装置３００のログファイルに記録された攻撃元計算機７５の接続されたネットワーク７０のネットワークアドレス、攻撃パターン識別情報および攻撃元ネットワークアドレスが、攻撃検知情報読み込み領域５１０の攻撃元ネットワークのネットワークアドレス領域５１１、攻撃パターン識別情報領域５１２および攻撃元ネットワークアドレス領域５１３に格納される。
【００４２】
攻撃情報収集部５０２は、ネットワーク監視装置インターフェース部５０１から制御が戻されると、攻撃検知情報読み込み領域５１０に攻撃検知情報が格納されているか否かをチェックする（図８のＡ８４）。そして、攻撃検知情報が格納されている場合は、格納されている攻撃検知情報毎に、それに含まれている攻撃元ネットワーク７０のネットワークアドレスと攻撃パターン識別情報との組を求め、この求めた全ての組を指定して攻撃情報処理部５０３を呼び出す。更に、攻撃検知情報読み込み領域５１０の各領域５１１〜５１３に格納されている情報を全て削除し、攻撃情報処理部５０３からのリターンを待つ（Ａ８５）。これに対して、攻撃検知情報が格納されてない場合は、ネットワーク監視装置管理表５２０の次の行を処理対象にする（Ａ８６）。なお、次の行が無かった場合（Ａ８１がｙｅｓ）は、ネットワーク監視装置管理表５２０の最初（第１行目）を処理対処にする（Ａ８２）。
【００４３】
攻撃情報処理部５０３は、攻撃情報収集部５０２から呼び出されると、現在の時刻と前回呼び出された時刻とを比較し、前回の呼び出し時から一定時間以上が経過している場合は、攻撃状況管理表５３０の全ての行を削除する（図１０のＡ１０１がｎｏ、Ａ１０２）。これに対して、前回の呼び出し時から一定時間以内の場合は、攻撃情報収集部５０２から指示された攻撃元ネットワーク７０のネットワークドレスと攻撃パターン識別情報との組が、攻撃状況管理表５３０に登録済みか否かを判断する（Ａ１０１がｙｅｓ、Ａ１０３）。
【００４４】
そして、攻撃元ネットワーク７０のネットワークドレスと攻撃パターン識別情報との組が、攻撃状況管理表５３０に既に登録済みであれば、対応する行の攻撃検知回数に１加算し（Ａ１０３がｙｅｓ、Ａ１０４）、登録されていなければ、新規に登録し、攻撃検知回数を１に設定する（Ａ１０３がｎｏ、Ａ１０５）。この処理は、攻撃情報収集部５０２によって指定された全ての組について行う。
【００４５】
その後、攻撃情報処理部５０３は、管理対象ネットワーク遮断処理部５０４を呼び出し、管理対象ネットワーク遮断処理部５０４からのリターンを待つ（Ａ１０６）。
【００４６】
管理対象ネットワーク遮断処理部５０４は、攻撃情報処理部５０３から呼び出されると、管理対象ネットワーク管理表５４０の第１行目に登録されている管理対象ネットワークに関する情報を取り出し（図１１のＡ１１０、Ａ１１２）、取り出した情報を指定して指定ネットワーク遮断処理部５０５を呼び出す（Ａ１１３）。なお、上記情報には、管理対象ネットワーク識別名、ネットワーク中継装置アドレス、ネットワーク中継装置タイプ、ネットワーク管理者電子メールアドレス、遮断しきい値、遮断可否指定及び管理対象ネットワーク内サブネットワークアドレスが含まれている（図６参照）。その後、管理対象ネットワーク遮断処理部５０４は、指定ネットワーク遮断処理部５０５からのリターンを待つ。指定ネットワーク遮断処理部５０５から制御が戻されると、管理対象ネットワーク管理表５４０の次の行（次の管理対象ネットワーク）を処理対象にし（ステップＡ１１４）、同様の処理を行う。そして、未処理の行がなくなると（Ａ１１１がｙｅｓ）、攻撃情報処理部５０３にリターンする。
【００４７】
指定ネットワーク遮断処理部５０５は、管理対象ネットワーク遮断処理部５０４から呼び出されると、管理対象ネットワーク遮断処理部５０４によって指定されている情報中の遮断しきい値と、攻撃状況管理表５３０の各攻撃検知回数領域５３３に登録されている攻撃検知回数とをそれぞれ比較し（図１２のＡ１２１）、遮断しきい値を超えているものがなければ（Ａ１２１がｎｏ）、なにもせずに管理対象ネットワーク遮断処理部５０４に戻る。
【００４８】
これに対して、遮断しきい値を超える攻撃検知回数が登録されている攻撃検知回数領域５３３が存在する場合（Ａ１２１がｙｅｓ）は、その領域５３３と同一行内の攻撃元ネットワークのネットワークアドレス領域５３１に登録されているネットワークアドレスが、管理対象ネットワーク遮断処理部５０４によって指定された管理対象ネットワーク内サブネットワークアドレスの中に含まれているか否かを調べることにより、攻撃元ネットワークが現在処理対象にしている管理対象ネットワーク（管理対象ネットワーク遮断処理部５０４によって指定された情報中の管理対象ネットワーク識別名によって特定されるネットワーク）内にあるか否かを判断する（Ａ１２２）
【００４９】
攻撃元計算機７５が接続されているネットワーク７０のネットワークアドレスが、現在処理対象にしている管理対象ネットワークに含まれていない場合（Ａ１２２がｙｅｓ）は、次に、管理対象ネットワーク遮断処理部５０４によって指定された情報中の遮断可否指定を調べ（Ａ１２３）、遮断可の場合は、攻撃元計算機７５に接続されたネットワーク７０と現在処理対象にしている管理対象ネットワークとの間の通信の遮断を指定して、ネットワーク中継装置インターフェース部５０６を呼び出す（Ａ１２４）。その後、ネットワーク管理者通知部５０７を呼び出し、現在処理対象にしている管理対象ネットワークの管理者に対して攻撃が検知されたため遮断を実行したこと、及び遮断したネットワークのネットワークアドレスを通知するよう指示する（Ａ１２５）。その後、ネットワーク中継装置インターフェース部５０６、ネットワーク管理者通知部５０７から制御が戻されると、呼び出し元の管理対象ネットワーク遮断処理部５０４へ戻る。
【００５０】
遮断不可の指定がされている場合（Ａ１２３がｎｏ）は、ネットワーク管理者通知部５０７を呼び出し、現在処理対象にしている管理対象ネットワークの管理者に対して攻撃を検知したこと及び攻撃元ネットワーク７０のネットワークアドレスを通知するよう指示し（Ａ１２６）、ネットワーク管理者通知部５０７から制御が戻されると、呼び出し元の管理対象ネットワーク遮断処理部５０４へ戻る。
【００５１】
攻撃元計算機７５が接続されているネットワーク７０のネットワークアドレスが、管理対象ネットワーク内に含まれる場合（Ａ１２２がｎｏ）は、次に、管理対象ネットワーク遮断処理部５０４によって指定されている情報中の遮断可否指定を調べ（Ａ１２７）、遮断可の場合は、攻撃元のネットワーク（現在処理対象にしている管理対象ネットワーク）と管理対象ネットワーク外との通信の遮断を指定して、ネットワーク中継装置インターフェース部５０６を呼び出す（Ａ１２８）。その後、ネットワーク管理者通知部５０７を呼び出し、現在処理対象にしている管理対象ネットワークの管理者に対して遮断を実行したこと、及び遮断原因が管理対象ネットワークからの攻撃であることを通知するよう指示する（Ａ１２９）。その後、ネットワーク中継装置インターフェース部５０６、ネットワーク管理者通知部５０７から制御が戻されると、呼び出し元の管理対象ネットワーク遮断処理部５０４へ戻る。
【００５２】
遮断不可の指定がされている場合（Ａ１２７がｎｏ）は、ネットワーク管理者通知部５０７を呼び出し、現在処理対象にしている管理対象ネットワークの管理者に対して管理対象ネットワークからの攻撃を検知したことを通知するように指示し（Ａ１３０）、ネットワーク管理者通知部５０７から制御が戻されると、呼び出し元の管理対象ネットワーク遮断処理部５０４へ戻る。
【００５３】
ネットワーク中継装置インターフェース部５０６は、指定ネットワーク遮断処理部５０５から呼び出されると、指定ネットワーク遮断処理部５０５によって指定されている攻撃元ネットワーク７０と現在処理対象にしている管理対象ネットワークの間の通信が遮断されるように、現在処理対象にしている管理対象ネットワークと直接接続されているネットワーク中継装置の設定を、そのタイプに応じた方法で変更し、その後、呼び出し元の指定ネットワーク遮断処理部５０５に戻る（図１３のＡ１３１）。例えば、ネットワーク中継装置のタイプがルータである場合には、ルーティングテーブルの内容を変更し、ファイアーウォールである場合には定義テーブルの内容を変更する。なお、上記ネットワーク中継装置のネットワークアドレス、タイプは、管理対象ネットワーク管理表５４０のネットワーク中継装置アドレス領域５４２、ネットワーク中継装置タイプ領域５４３を参照することにより求めることができる。
【００５４】
ネットワーク管理者通知部５０７は、指定ネットワーク遮断処理部５０５から呼び出されると、指定ネットワーク遮断処理部５０５の指示に従って管理対象ネットワークの管理者に電子メールを送信する（図１４のＡ１４１）。なお、上記管理者の電子メールアドレスは、管理対象ネットワーク管理表５４０のネットワーク管理者電子メールアドレス領域５４４を参照することにより求めることができる。
【００５５】
【発明の他の実施例】
【００５６】
本発明の他の実施例について、図１を用いて説明する。本実施例では、ネットワーク中継装置１００、２００は、攻撃元計算機７５の接続されたネットワーク７０との間の通信を遮断するのではなく、攻撃元計算機７５との間の通信を遮断する。
【００５７】
次に、この実施例の動作を図１０、図１２、図１３を用いて説明する。ここでは、前述した実施例との相違点についてのみ説明する。
【００５８】
攻撃情報処理部５０３は、攻撃元ネットワーク７０のネットワークアドレスと攻撃パターンの組ではなくて、攻撃元計算機７５のネットワークアドレスと攻撃パターンの組を使って、攻撃検知回数を管理する（図１０のＡ１０３〜Ａ１０５）。
【００５９】
指定ネットワーク遮断処理部５０５は、攻撃元ネットワーク７０のネットワークアドレスではなくて、攻撃元計算機７５のネットワークアドレスを使って攻撃元計算機７５が管理対象ネットワークのサブネットに含まれるか否かを判断する（図１２のＡ１２２）。また、ステップＡ１２４、Ａ１２８では、攻撃元ネットワーク７０ではなく、攻撃元計算機７５を指定する。
【００６０】
ネットワーク中継装置インターフェース部５０６は、攻撃元ネットワーク７０のネットワークアドレスではなく、攻撃元計算機７５のネットワークアドレスを利用して該当するネットワーク中継装置の構成を変更する（図１３のＡ１３１）。
【００６１】
なお、上述した各実施例では、ネットワーク監視装置の台数を２台としたが、ネットワーク監視装置の台数は何台であっても良い。また、監視対象ネットワークのネットワーク数を「２」としたが、ネットワーク数はこれに限られるものではない。また、上述した各実施例では管理対象ネットワークには、ネットワーク監視装置を設置しなかったが、管理対象ネットワークにも、ネットワーク監視装置を設置しても良い。また、上述した各実施例では説明しなかったが、ネットワーク遮断判定装置５００の運営者が、管理対象ネットワーク１０、２０の管理者に対して料金を請求するようにしても良い。その際、管理対象ネットワークと攻撃元ネットワーク或いは攻撃元計算機との間の通信を遮断した回数に応じた料金を請求したり、送信メール数に応じた料金を請求したり、毎月一定額を請求することができる。
【００６２】
【発明の効果】
以上説明したように、本発明は、管理対象ネットワーク以外のネットワークに設置されたネットワーク監視装置によって、管理対象ネットワーク以外のネットワークに対して攻撃を行っている攻撃元計算機或いは攻撃元計算機が接続されている攻撃元ネットワークが検出されると、管理対象ネットワークに対する攻撃が行われていなくとも、ネットワーク遮断判定装置が管理対象ネットワークと攻撃元計算機との間の通信或いは管理対象ネットワークと攻撃元ネットワークとの間の通信を遮断するので、管理対象ネットワーク及び管理対象ネットワーク上の計算機の安全性を極めて高いものにすることができる。
【００６３】
また、本発明は、ネットワーク監視装置で検出された攻撃元計算機或いは攻撃元ネットワークが管理対象ネットワーク内に存在する場合、管理対象ネットワークと外部ネットワークとを間の通信を遮断するので、管理対象ネットワークが攻撃元となることを防止できる。
【００６４】
また、本発明は、ネットワーク監視装置で検出された攻撃元計算機のネットワークアドレス或いは攻撃元ネットワークのネットワークアドレスを管理対象ネットワークの管理者に通知するので、攻撃に対する予防措置を講じることができる。
【図面の簡単な説明】
【図１】本発明の実施例のブロック図である。
【図２】ネットワーク遮断判定装置５００の構成例を示すブロック図である。
【図３】ネットワーク監視装置管理表５２０の構成例を示す図である。
【図４】攻撃検知情報読み込み領域５１０の構成例を示す図である。
【図５】攻撃状況管理表５３０の構成例を示す図である。
【図６】管理対象ネットワーク管理表５４０の構成例を示す図である。
【図７】ネットワーク監視装置３００、４００の処理例を示すフローチャートである。
【図８】攻撃情報収集部５０２の処理例を示すフローチャートである。
【図９】ネットワーク監視装置インターフェース部５０１の処理例を示すフローチャートである。
【図１０】攻撃情報処理部５０３の処理例を示すフローチャートである。
【図１１】管理対象ネットワーク遮断処理部５０４の処理例を示すフローチャートである。
【図１２】指定ネットワーク遮断処理部５０５の処理例を示すフローチャートである。
【図１３】ネットワーク中継装置インターフェース部５０６の処理例を示すフローチャートである。
【図１４】ネットワーク管理者通知部５０７の処理例を示すフローチャートである。
【符号の説明】
１０、２０…管理対象ネットワーク
３０、４０、５０、６０、７０…ネットワーク
７５…攻撃元計算機
８０…ネットワーク群
１００、２００…ネットワーク中継装置
３００、４００…ネットワーク監視装置
５００…ネットワーク遮断判定装置
５０１…ネットワーク監視装置インターフェース部
５０２…攻撃情報収集部
５０３…攻撃情報処理部
５０４…管理対象ネットワーク遮断処理部
５０５…指定ネットワーク遮断処理部
５０６…ネットワーク中継装置インターフェース部
５０７…ネットワーク管理者通知部
５１０…攻撃検知情報読み込み領域
５２０…ネットワーク監視装置管理表
５３０…攻撃状況管理表
５４０…管理対象ネットワーク管理表
【図１】
2005012606.tif 000003
【図２】
2005012606.tif 000004
【図３】
2005012606.tif 000005
【図４】
2005012606.tif 000006
【図５】
2005012606.tif 000007
【図６】
2005012606.tif 000008
【図７】
2005012606.tif 000009
【図８】
2005012606.tif 000010
【図９】
2005012606.tif 000011
【図１０】
2005012606.tif 000012
【図１１】
2005012606.tif 000013
【図１２】
2005012606.tif 000014
【図１３】
2005012606.tif 000015
【図１４】
2005012606.tif 000016