(57)【要約】【課題】  不正通信検出装置から収集した不正通信記録から、不正通信回数の多い端末装置を特定する作業を行うにあたって、経験と知識が必要とされていた。【解決手段】管理対象ネットワークの通信中継装置に接続され、条件に合致する通信を検出する不正通信検出装置と、通信管理装置を備え、通信管理装置には、前記ネットワークの接続構成情報を管理する手段、不正通信検出装置から不正通信通知を収集し記録する手段、不正通信回数を複数のレベルに区分するための閾値と、互いに異なる、レベル対応の表示状態をレベル定義として設定し保持する手段、接続構成情報を参照し、前記記録から通信パス単位の不正通信回数を算出し、閾値に照らしレベルを判定する手段、接続構成情報に基づき前記ネットワークの構成図を作成しこれの各通信パスに前記不正通信回数を付加し、その通信パスの表示状態を判定したレベル対応の状態にする描画手段を有する。【選択図】      図１
2007006383.tif 000002
【特許請求の範囲】
【請求項１】
通信端末と通信中継装置を含むネットワークを管理対象とする通信管理装置であって、
通信中継装置とこれに接続された通信端末装置の接続構成情報を管理する手段と、
前記通信中継装置に接続され、条件に合致する通信を検出する不正通信検出装置から不正通信通知を収集し記録する手段と、
前記記録に基づいて不正通信発生状況を描画し表示する不正通信記録描画手段とを含み、前記不正通信記録描画手段は、
不正通信回数を複数のレベルに区分するための一つ以上の閾値と、互いに異なる、レベル対応の表示状態とを含むレベル定義を設定し保持する手段と、
前記接続構成情報を参照し、前記記録から通信パス単位の不正通信回数を算出し、これを前記閾値に照らしそのレベルを判定する手段と、
前記接続構成情報に基づき管理対象ネットワークの構成図を作成しこれの各通信パスに前記不正通信回数を付加し、その通信パスの表示状態を前記判定したレベルに対応する状態に設定する描画手段を有することを特徴とする通信管理装置。
【請求項２】
通信端末と通信中継装置を含むネットワークを管理対象とする通信管理装置であって、
通信中継装置とこれに接続された通信端末装置の端末接続構成情報を管理する手段と、
前記通信中継装置間の接続構成情報を管理する手段と、
前記通信中継装置の経路情報を管理する手段と、
前記通信中継装置に接続され、条件に合致する通信を検出する不正通信検出装置から不正通信通知を収集し記録する手段と、
前記記録に基づいて不正通信発生状況を描画し表示する不正通信記録描画手段とを含み、前記不正通信記録描画手段は、
不正通信回数を複数のレベルに区分するための一つ以上の閾値と、互いに異なる、レベル対応の表示状態とを含むレベル定義を設定し保持する手段と、
前記端末接続構成情報と前記経路情報を参照し、前記記録から通信パス単位の不正通信回数を算出し、これを前記閾値に照らしそのレベルを判定する手段と、
前記端末接続構成情報と中継装置間接続構成情報に基づき管理対象ネットワーク構成図を作成しこれの各通信パスに前記不正通信回数を付加し、その通信パスの表示状態を前記判定したレベルに対応する状態に設定する描画手段を有することを特徴とする通信管理装置。
【請求項３】
前記各レベル対応の表示状態を通信パスを表す線の色とすることを特徴とする請求項１、または２に記載の通信管理装置。
【請求項４】
前記各レベル対応の表示状態を通信パスを表す線の太さとすることを特徴とする請求項１、または２に記載の通信管理装置。
【請求項５】
前記不正通信通知を収集し記録する手段が、不正通信の発生時刻も記録し、
前記レベル定義を設定し保持する手段が、集計対象とする不正通信の期間の長さに対応付けて、複数通りのレベル定義を設定し、レベルに応じて異ならせる表示状態の種別が定義ごとに異なる種別を設定し、保持する様にし、
前記不正通信記録描画手段は、集計対象とする不正通信の期間を指定する情報を集計要求元から取得する手段を有し、通信パス単位の不正通信回数を算出しレベルを判定する手段が、前記記録の内その発生時刻が指定された期間である不正通信通知を集計し、通信パス単位の不正通信回数を算出し、前記期間の長さに対応したレベル定義の閾値を用いてレベルを判定し、
前記描画手段が管理対象ネットワークの構成図の不正通信回数を付加した通信パスの表示状態を前記対応したレベル定義の表示状態に従って設定することを特徴とする請求項１、または２に記載の通信管理装置。
【請求項６】
前記複数通りのレベル定義を、不正通信記録の短期間分の集計に対応付けられた第１の定義と、不正通信記録の長期間分の集計に対応付けられた第２の定義とし、前記両方の定義の何れか一方の定義の各レベル対応の表示状態を通信パスを表す線の色とし、他方の定義の各レベル対応の表示状態を通信パスを表す線の太さとすることを特徴とする請求項５記載の通信管理装置。
【請求項７】
請求項１〜６のいずれか一つに記載の通信管理装置と、
前記通信管理装置が管理するネットワークに接続された通信端末装置と、
前記ネットワークに接続された通信中継装置と、
前記通信中継装置に接続され、条件に合致する通信を検出する不正通信検出装置とを備え、
前記通信管理装置は前記ネットワークか、或いは前記ネットワークに通信接続されたネットワークに接続されたことを特徴とする不正通信端末装置の識別システム。
【請求項８】
通信端末と通信中継装置を含むネットワークにおける不正通信端末装置の識別方法であって、
通信中継装置とこれに接続された通信端末装置の接続構成情報を管理するステップと、
前記通信中継装置に接続され、条件に合致する通信を検出する不正通信検出装置から不正通信通知を収集し記録するステップと、
前記記録に基づいて不正通信発生状況を描画し表示する不正通信記録描画ステップとを含み、
前記不正通信記録描画ステップには、
不正通信回数を複数のレベルに区分するための一つ以上の閾値と、互いに異なる、レベル対応の表示状態とを含むレベル定義を設定し保持するステップと、
前記接続構成情報を参照し、前記記録から通信パス単位の不正通信回数を算出し、これを前記閾値に照らしそのレベルを判定するステップと、
前記接続構成情報に基づき管理対象ネットワークの構成図を作成しこれの各通信パスに前記不正通信回数を付加し、その通信パスの表示状態を前記判定したレベルに対応する状態に設定するステップを含むことを特徴とする不正通信端末装置の識別方法。
【請求項９】
通信端末と通信中継装置を含むネットワークにおける不正通信端末装置の識別方法であって、
通信中継装置とこれに接続された通信端末装置の端末接続構成情報を管理するステップと、
前記通信中継装置間の接続構成情報を管理するステップと、
前記通信中継装置の経路情報を管理するステップと、
前記通信中継装置に接続され、条件に合致する通信を検出する不正通信検出装置から不正通信通知を収集し記録するステップと、
前記記録に基づいて不正通信発生状況を描画し表示する不正通信記録描画ステップとを含み、
前記不正通信記録描画ステップには、
不正通信回数を複数のレベルに区分するための一つ以上の閾値と、互いに異なる、レベル対応の表示状態とを含むレベル定義を設定し保持するステップと、
前記端末接続構成情報と前記経路情報を参照し、前記記録から通信パス単位の不正通信回数を算出し、これを前記閾値に照らしそのレベルを判定するステップと、
前記端末接続構成情報と中継装置間接続構成情報に基づき管理対象ネットワーク構成図を作成しこれの各通信パスに前記不正通信回数を付加し、その通信パスの表示状態を前記判定したレベルに対応する状態に設定するステップを含むことを特徴とする不正通信端末装置の識別方法。
【請求項１０】
前記各レベル対応の表示状態を通信パスを表す線の色とすることを特徴とする請求項８、または９に記載の不正通信端末装置の識別方法。
【請求項１１】
前記各レベル対応の表示状態を通信パスを表す線の太さとすることを特徴とする請求項８、または９に記載の不正通信端末装置の識別方法。
【請求項１２】
通信中継装置とこれに接続された通信端末装置の接続構成情報を管理するステップと、
前記通信中継装置に接続され、条件に合致する通信を検出する不正通信検出装置から不正通信通知を収集し記録するステップと、
不正通信回数を複数のレベルに区分するための一つ以上の閾値と、互いに異なる、レベル対応の表示状態とを含むレベル定義を設定し保持するステップと、
前記接続構成情報を参照し、前記記録から通信パス単位の不正通信回数を算出し、これを前記閾値に照らしそのレベルを判定するステップと、
前記接続構成情報に基づき管理対象ネットワークの構成図を作成しこれの各通信パスに前記不正通信回数を付加し、その通信パスの表示状態を前記判定したレベルに対応する状態に設定するステップをコンピュータに実行させるためのプログラム。
【請求項１３】
通信中継装置とこれに接続された通信端末装置の端末接続構成情報を管理するステップと、
前記通信中継装置間の接続構成情報を管理するステップと、
前記通信中継装置の経路情報を管理するステップと、
前記通信中継装置に接続され、条件に合致する通信を検出する不正通信検出装置から不正通信通知を収集し記録するステップと、
不正通信回数を複数のレベルに区分するための一つ以上の閾値と、互いに異なる、レベル対応の表示状態とを含むレベル定義を設定し保持するステップと、
前記端末接続構成情報と前記経路情報を参照し、前記記録から通信パス単位の不正通信回数を算出し、これを前記閾値に照らしそのレベルを判定するステップと、
前記端末接続構成情報と中継装置間接続構成情報に基づき管理対象ネットワーク構成図を作成しこれの各通信パスに前記不正通信回数を付加し、その通信パスの表示状態を前記判定したレベルに対応する状態に設定するステップをコンピュータに実行させるためのプログラム。
【請求項１４】
前記各レベル対応の表示状態を通信パスを表す線の色とすることを特徴とする請求項１２、または１３に記載のプログラム。
【請求項１５】
前記各レベル対応の表示状態を通信パスを表す線の太さとすることを特徴とする請求項１２、または１３に記載のプログラム。
【請求項１６】
通信中継装置とこれに接続された通信端末装置の接続構成情報を管理するステップと、
前記通信中継装置に接続され、条件に合致する通信を検出する不正通信検出装置から発生時刻も含めて不正通信通知を収集し記録するステップと、
不正通信回数を複数のレベルに区分するための一つ以上の閾値と、互いに異なる、レベル対応の表示状態とを含むレベル定義を、集計対象とする不正通信の期間の長さに対応付けて、複数通り、且つ前記表示状態の種別が定義ごとに異なる様に設定し保持するステップと、
前記記録の集計要求を受け、要求元から集計対象とする不正通信の期間を指定する情報を取得するステップと、
前記記録の内その発生時刻が指定された期間である不正通信通知を中間集計するステップと、
前記接続構成情報を参照し、前記中間集計から通信パス単位の不正通信回数を算出し、これを前記指定された期間に対応したレベル定義の閾値に照らし、そのレベルを判定するステップと、
前記接続構成情報に基づき管理対象ネットワークの構成図を作成しこれの各通信パスに前記不正通信回数を付加し、その通信パスの表示状態を、前記判定したレベルと前記対応したレベル定義の表示状態に従って設定するステップをコンピュータに実行させるためのプログラム。
【請求項１７】
前記複数通りのレベル定義を、不正通信記録の短期間分の集計に対応付けられた第１の定義と、不正通信記録の長期間分の集計に対応付けられた第２の定義とし、前記両方の定義の何れか一方の定義の各レベル対応の表示状態を通信パスを表す線の色とし、他方の定義の各レベル対応の表示状態を通信パスを表す線の太さとすることを特徴とする請求項１６記載のプログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は通信管理装置、不正通信端末装置の識別システムと方法、及びプログラムに関し、特に、管理対象のネットワークの通信中継装置に不正通信検出装置を接続し、これから不正通信通知を収集し記録し、記録を集計し、集計結果をネットワーク構成図上に表示し閾値を超える回数の不正通信を行った端末装置を容易に識別できる様に表示するための描画や表示を行う通信管理装置、不正通信端末装置の識別システムと方法、及びプログラムに関する。
【背景技術】
【０００２】
従来の技術においては、不正通信検出装置から収集した不正通信記録に対して、検索、条件の絞り込み、グラフ表示などにより傾向分析を行いながら不正通信回数の多い端末装置を特定していた。
【０００３】
ここで、管理対象のネットワークにおいて、不正通信検出を行いその対応処理を行うものに関する発明として、例えば特許文献１に不正アクセス検証装置及び方法が開示されている。
【０００４】
この装置は、内部ネットワークに接続された保護対象サーバへの不正アクセスを検出し、不正アクセス通知を出力するＩＤＳと、不正アクセス通知を受信して格納するとともに、保護対象サーバ１３へのアクセスに応じて出力される応答パケットを受信して格納するパケット収集装置とを備える。
【０００５】
そして、パケット収集装置に不正アクセス通知に対応する応答パケットが予め設定したパターンになっているかどうかを調べて前記不正アクセスによる被害の有無を判定する手段を有するものである。
【０００６】
しかし、不正アクセス（保護対象サーバ宛の不正通信）の記録を回数を考慮し、またネットワーク構成図上に分かり易い形にし表示等を行うことについては開示されていない。
【０００７】
【特許文献１】特開２００４−２０６５６４号公報（第１頁）
【発明の開示】
【発明が解決しようとする課題】
【０００８】
従来の技術においては、不正通信検出装置から収集した不正通信記録から、不正通信回数の多い端末装置を特定する作業を行うにあたって、経験と知識が必要とされていた。
【０００９】
本発明の目的は不正通信回数の多い端末装置を容易に特定できる不正通信端末装置の識別システムと方法、通信管理装置、及びプログラムを提供することにある。
【課題を解決するための手段】
【００１０】
本発明の第１の通信管理装置は、通信端末と通信中継装置を含むネットワークを管理対象とする通信管理装置であって、通信中継装置とこれに接続された通信端末装置の接続構成情報を管理する手段と、前記通信中継装置に接続され、条件に合致する通信を検出する不正通信検出装置から不正通信通知を収集し記録する手段と、前記記録に基づいて不正通信発生状況を描画し表示する不正通信記録描画手段とを含み、前記不正通信記録描画手段は、不正通信回数を複数のレベルに区分するための一つ以上の閾値と、互いに異なる、レベル対応の表示状態とを含むレベル定義を設定し保持する手段と、前記接続構成情報を参照し、前記記録から通信パス単位の不正通信回数を算出し、これを前記閾値に照らしそのレベルを判定する手段と、前記接続構成情報に基づき管理対象ネットワークの構成図を作成しこれの各通信パスに前記不正通信回数を付加し、その通信パスの表示状態を前記判定したレベルに対応する状態に設定する描画手段を有する。
【００１１】
本発明の第２の通信管理装置は、通信端末と通信中継装置を含むネットワークを管理対象とする通信管理装置であって、通信中継装置とこれに接続された通信端末装置の端末接続構成情報を管理する手段と、前記通信中継装置間の接続構成情報を管理する手段と、前記通信中継装置の経路情報を管理する手段と、前記通信中継装置に接続され、条件に合致する通信を検出する不正通信検出装置から不正通信通知を収集し記録する手段と、前記記録に基づいて不正通信発生状況を描画し表示する不正通信記録描画手段とを含み、前記不正通信記録描画手段は、不正通信回数を複数のレベルに区分するための一つ以上の閾値と、互いに異なる、レベル対応の表示状態とを含むレベル定義を設定し保持する手段と、前記端末接続構成情報と前記経路情報を参照し、前記記録から通信パス単位の不正通信回数を算出し、これを前記閾値に照らしそのレベルを判定する手段と、前記端末接続構成情報と中継装置間接続構成情報に基づき管理対象ネットワーク構成図を作成しこれの各通信パスに前記不正通信回数を付加し、その通信パスの表示状態を前記判定したレベルに対応する状態に設定する描画手段を有する。
【００１２】
本発明の第３の通信管理装置は、前記第１、または第２の通信管理装置であって、前記各レベル対応の表示状態を通信パスを表す線の色とする。
【００１３】
本発明の第４の通信管理装置は、前記第１、または第２の通信管理装置であって、前記各レベル対応の表示状態を通信パスを表す線の太さとする。
【００１４】
本発明の第５の通信管理装置は、前記第１、または第２の通信管理装置であって、前記不正通信通知を収集し記録する手段が、不正通信の発生時刻も記録し、前記レベル定義を設定し保持する手段が、集計対象とする不正通信の期間の長さに対応付けて、複数通りのレベル定義を設定し、レベルに応じて異ならせる表示状態の種別が定義ごとに異なる種別を設定し、保持する様にし、前記不正通信記録描画手段は、集計対象とする不正通信の期間を指定する情報を集計要求元から取得する手段を有し、通信パス単位の不正通信回数を算出しレベルを判定する手段が、前記記録の内その発生時刻が指定された期間である不正通信通知を集計し、通信パス単位の不正通信回数を算出し、前記期間の長さに対応したレベル定義の閾値を用いてレベルを判定し、前記描画手段が管理対象ネットワークの構成図の不正通信回数を付加した通信パスの表示状態を前記対応したレベル定義の表示状態に従って設定する。
【００１５】
本発明の第６の通信管理装置は、前記第５の通信管理装置であって、前記複数通りのレベル定義を、不正通信記録の短期間分の集計に対応付けられた第１の定義と、不正通信記録の長期間分の集計に対応付けられた第２の定義とし、前記両方の定義の何れか一方の定義の各レベル対応の表示状態を通信パスを表す線の色とし、他方の定義の各レベル対応の表示状態を通信パスを表す線の太さとする。
【００１６】
本発明の不正通信端末装置の識別システムは、前記第１〜６のいずれか一つの通信管理装置と、前記通信管理装置が管理するネットワークに接続された通信端末装置と、前記ネットワークに接続された通信中継装置と、前記通信中継装置に接続され、条件に合致する通信を検出する不正通信検出装置とを備え、前記通信管理装置は前記ネットワークか、或いは前記ネットワークに通信接続されたネットワークに接続される。
【００１７】
本発明の第１の不正通信端末装置の識別方法は、通信端末と通信中継装置を含むネットワークにおける不正通信端末装置の識別方法であって、通信中継装置とこれに接続された通信端末装置の接続構成情報を管理するステップと、前記通信中継装置に接続され、条件に合致する通信を検出する不正通信検出装置から不正通信通知を収集し記録するステップと、前記記録に基づいて不正通信発生状況を描画し表示する不正通信記録描画ステップとを含み、前記不正通信記録描画ステップには、不正通信回数を複数のレベルに区分するための一つ以上の閾値と、互いに異なる、レベル対応の表示状態とを含むレベル定義を設定し保持するステップと、前記接続構成情報を参照し、前記記録から通信パス単位の不正通信回数を算出し、これを前記閾値に照らしそのレベルを判定するステップと、前記接続構成情報に基づき管理対象ネットワークの構成図を作成しこれの各通信パスに前記不正通信回数を付加し、その通信パスの表示状態を前記判定したレベルに対応する状態に設定するステップを含む。
【００１８】
本発明の第２の不正通信端末装置の識別方法は、通信端末と通信中継装置を含むネットワークにおける不正通信端末装置の識別方法であって、通信中継装置とこれに接続された通信端末装置の端末接続構成情報を管理するステップと、前記通信中継装置間の接続構成情報を管理するステップと、前記通信中継装置の経路情報を管理するステップと、前記通信中継装置に接続され、条件に合致する通信を検出する不正通信検出装置から不正通信通知を収集し記録するステップと、前記記録に基づいて不正通信発生状況を描画し表示する不正通信記録描画ステップとを含み、前記不正通信記録描画ステップには、不正通信回数を複数のレベルに区分するための一つ以上の閾値と、互いに異なる、レベル対応の表示状態とを含むレベル定義を設定し保持するステップと、前記端末接続構成情報と前記経路情報を参照し、前記記録から通信パス単位の不正通信回数を算出し、これを前記閾値に照らしそのレベルを判定するステップと、前記端末接続構成情報と中継装置間接続構成情報に基づき管理対象ネットワーク構成図を作成しこれの各通信パスに前記不正通信回数を付加し、その通信パスの表示状態を前記判定したレベルに対応する状態に設定するステップを含む。
【００１９】
本発明の第３の不正通信端末装置の識別方法は、前記第１、または第２の不正通信端末装置の識別方法であって、前記各レベル対応の表示状態を通信パスを表す線の色とする。
【００２０】
本発明の第４の不正通信端末装置の識別方法は、前記第１、または第２の不正通信端末装置の識別方法であって、前記各レベル対応の表示状態を通信パスを表す線の太さとする。
【００２１】
本発明の第１のプログラムは、通信中継装置とこれに接続された通信端末装置の接続構成情報を管理するステップと、前記通信中継装置に接続され、条件に合致する通信を検出する不正通信検出装置から不正通信通知を収集し記録するステップと、不正通信回数を複数のレベルに区分するための一つ以上の閾値と、互いに異なる、レベル対応の表示状態とを含むレベル定義を設定し保持するステップと、前記接続構成情報を参照し、前記記録から通信パス単位の不正通信回数を算出し、これを前記閾値に照らしそのレベルを判定するステップと、前記接続構成情報に基づき管理対象ネットワークの構成図を作成しこれの各通信パスに前記不正通信回数を付加し、その通信パスの表示状態を前記判定したレベルに対応する状態に設定するステップをコンピュータに実行させる。
【００２２】
本発明の第２のプログラムは、通信中継装置とこれに接続された通信端末装置の端末接続構成情報を管理するステップと、前記通信中継装置間の接続構成情報を管理するステップと、前記通信中継装置の経路情報を管理するステップと、前記通信中継装置に接続され、条件に合致する通信を検出する不正通信検出装置から不正通信通知を収集し記録するステップと、不正通信回数を複数のレベルに区分するための一つ以上の閾値と、互いに異なる、レベル対応の表示状態とを含むレベル定義を設定し保持するステップと、前記端末接続構成情報と前記経路情報を参照し、前記記録から通信パス単位の不正通信回数を算出し、これを前記閾値に照らしそのレベルを判定するステップと、前記端末接続構成情報と中継装置間接続構成情報に基づき管理対象ネットワーク構成図を作成しこれの各通信パスに前記不正通信回数を付加し、その通信パスの表示状態を前記判定したレベルに対応する状態に設定するステップをコンピュータに実行させる。
【００２３】
本発明の第３のプログラムは、前記第１、または第２のプログラムであって、前記各レベル対応の表示状態を通信パスを表す線の色とする。
【００２４】
本発明の第４のプログラムは、前記第１、または第２のプログラムであって、前記各レベル対応の表示状態を通信パスを表す線の太さとする。
【００２５】
本発明の第５のプログラムは、通信中継装置とこれに接続された通信端末装置の接続構成情報を管理するステップと、前記通信中継装置に接続され、条件に合致する通信を検出する不正通信検出装置から発生時刻も含めて不正通信通知を収集し記録するステップと、不正通信回数を複数のレベルに区分するための一つ以上の閾値と、互いに異なる、レベル対応の表示状態とを含むレベル定義を、集計対象とする不正通信の期間の長さに対応付けて、複数通り、且つ前記表示状態の種別が定義ごとに異なる様に設定し保持するステップと、前記記録の集計要求を受け、要求元から集計対象とする不正通信の期間を指定する情報を取得するステップと、前記記録の内その発生時刻が指定された期間である不正通信通知を中間集計するステップと、前記接続構成情報を参照し、前記中間集計から通信パス単位の不正通信回数を算出し、これを前記指定された期間に対応したレベル定義の閾値に照らし、そのレベルを判定するステップと、前記接続構成情報に基づき管理対象ネットワークの構成図を作成しこれの各通信パスに前記不正通信回数を付加し、その通信パスの表示状態を、前記判定したレベルと前記対応したレベル定義の表示状態に従って設定するステップをコンピュータに実行させる。
【００２６】
本発明の第６のプログラムは、前記第５のプログラムであって、前記複数通りのレベル定義を、不正通信記録の短期間分の集計に対応付けられた第１の定義と、不正通信記録の長期間分の集計に対応付けられた第２の定義とし、前記両方の定義の何れか一方の定義の各レベル対応の表示状態を通信パスを表す線の色とし、他方の定義の各レベル対応の表示状態を通信パスを表す線の太さとする。
【発明の効果】
【００２７】
本発明による効果は、予め設定した閾値によってその閾値を越えた不正通信が行われた通信中継装置、及び端末装置間の線の表示状態を変えることによって、不正通信の回数が多い端末装置が視覚的に容易に識別可能であり、当該端末装置の接続された通信中継装置に対して当該端末装置との通信を不可能とする対処が短時間のうちに実施可能となる点である。
【００２８】
また、上記効果によりウイルス感染被害の拡大を防止することができる。
【発明を実施するための最良の形態】
【００２９】
次に、本発明を実施するための最良の形態について図面を参照して詳細に説明する。
【００３０】
先ず、本発明の第１の実施例の構成について図１を参照して詳細に説明する。
【００３１】
図１において、通信管理装置１００、通信中継装置４００、通信中継装置５００、通信中継装置６００、端末装置７１０、及び端末装置７２０はＴＣＰ／ＩＰ（Ｔｒａｎｓｍｉｓｓｉｏｎ  Ｃｏｎｔｒｏｌ  Ｐｒｏｔｏｃｏｌ／Ｉｎｔｅｒｎｅｔ  Ｐｒｏｔｏｃｏｌ）ネットワーク２００で接続されている。
【００３２】
通信中継装置とは、ルータやスイッチ装置、或いはゲートウェイ装置等である。
【００３３】
不正通信検出装置３００は通信中継装置４００を流れる不正通信を監視する。
不正通信検出装置３１０は通信中継装置５００を流れる不正通信を監視する。
不正通信検出装置３２０は通信中継装置６００を流れる不正通信を監視する。
【００３４】
不正通信とは、通信規約に適合しない通信や、通信データやシーケンスが異常な通信である。
【００３５】
例えば、同じ通信元が宛先を変化させながら連続的にコネクト要求する通信が長時間続く場合や、ＴＣＰヘッダのＬｅｎｇｔｈとその後に送信するデータ長（データ先頭から終了マークまでのデータカウント）の不一致が短期間に集中する通信等である。
【００３６】
不正通信検出装置とは、ＩＤＳ（Ｉｎｔｒｕｓｉｏｎ−Ｄｅｔｅｃｔｉｏｎ−Ｓｙｓｔｍ）やＩＤＰＳ（Ｉｎｔｒｕｓｉｏｎ−Ｄｅｔｅｃｔｉｏｎ−Ａｎｄ−Ｐｒｏｔｅｃｔｉｏｎ−Ｓｙｓｔｅｍ）等の装置である。
【００３７】
端末装置７１０はＩＰアドレス７１１を、端末装置７２０はＩＰアドレス７２１を持つ。
【００３８】
通信管理装置１００は、プログラム制御で動作する装置で、通信中継装置接続構成管理手段１１０、端末装置接続構成管理手段１２０、通信中継装置経路構成管理手段１３０、不正通信記録収集手段１４０、及び不正通信記録描画手段１５０を含む。
【００３９】
これらの手段はプログラムで制御される。
【００４０】
また、通信管理装置１００にはディスプレイ装置が接続されている。
【００４１】
通信中継装置接続構成管理手段１１０は、ＴＣＰ／ＩＰネットワーク２００、通信中継装置４００、通信中継装置５００、及び通信中継装置６００の接続構成を管理する。
【００４２】
端末装置接続構成管理手段１２０は、通信中継装置５００と端末装置５１０、端末装置５２０、及び端末装置５３０の接続構成を管理し、また通信中継装置６００と端末装置６１０、端末装置６２０、端末装置６３０の接続構成を管理する。
【００４３】
端末装置５１０はＩＰアドレス５１１を、端末装置５２０はＩＰアドレス５２１を、端末装置５３０はＩＰアドレス５３１を持ち、通信中継装置５００に接続されている。
【００４４】
端末装置６１０はＩＰアドレス６１１を、端末装置６２０はＩＰアドレス６２１を、端末装置６３０はＩＰアドレス６３１を持ち、通信中継装置６００に接続されている。
【００４５】
通信中継装置経路構成管理手段１３０は、通信中継装置４００、通信中継装置５００、及び通信中継装置６００の経路構成を管理する。
【００４６】
不正通信記録収集手段１４０は、不正通信検出装置３００、不正通信検出装置３１０、及び不正通信検出装置３２０から不正通信記録を収集する。
【００４７】
不正通信記録描画手段１５０は、通信中継装置接続構成管理手段１１０と端末装置接続構成管理手段１２０とで管理しているネットワーク接続構成情報と、通信中継装置経路構成管理手段１３０が管理している経路構成情報、及び不正通信記録収集手段１４０によって収集した不正通信記録を元に、不正通信記録の集計情報を描画する。
【００４８】
不正通信記録描画手段１５０は、また不正通信回数を複数のレベルに区分するための一つ以上の閾値を取得すると、各レベルに対し互いに異なる表示状態を自動設定し、各レベルの閾値と表示状態を保持する手段も有している。
【００４９】
本発明の第１の実施例の動作について図１から図７を参照して詳細に説明する。
【００５０】
図１を参照し、不正通信検出装置３００、３１０、３２０に対し、事前に通信等で不正通信通知の宛先が通信管理装置１００に設定される。
【００５１】
不正通信検出装置３００、３１０、３２０の各装置は、不正通信を検出すると、ＳＮＭＰ（Ｓｉｍｐｌｅ−Ｎｅｔｗｏｒｋ−Ｍａｎｅｇｅｍｅｎｔ−Ｐｒｏｔｏｃｏｌ）等のプロトコルで通信管理装置１００に不正通信通知を送ってくる。
【００５２】
不正通信記録収集手段１４０は、受信する不正通信通知を記録格納部（図示せず）に順次格納する。
【００５３】
この記録例を図２に示す。図示の様に、不正発生日時、送信元ＩＰアドレス、送信先ＩＰアドレス、発生回数（通常１回）が記録される。
【００５４】
次に不正通信記録描画手段１５０の動作を説明する。
【００５５】
画面上の「不正通信回数のレベル設定」アイコンが指定されたことを検知すると、レベル数の入力を促す入力画面を表示する（ステップＡ１）。
【００５６】
レベル数として３が入力されると、第１の閾値、第２の閾値の入力を促す入力画面を表示する（ステップＡ２）。
【００５７】
ここで、第１の閾値、第２の閾値として、１５回、１００回が入力されると、表示状態として、線色：黒，黄，赤が自動設定され、これらの値を項目名に対応付けて保持する（ステップＡ３）。
【００５８】
次に図３のフローチャートを参照し、不正通信記録描画手段１５０の集計、描画動作を説明する。
【００５９】
集計開始要求（例えば、１時間周期で自動発生する要求、或いは操作者による「集計」アイコンの操作）を検知すると（ステップＢ１）、日時指定条件を設定する。前記自動要求で起動された場合は、その時の時刻より１時間前からその時の時刻を設定する（ステップＢ２）。
【００６０】
記録格納部から記録データを１エントリ分読み込む（ステップＢ３）。
【００６１】
その記録データの発生日時が、設定された日時指定条件に該当すれば（ステップＢ４）、送信元ＩＰアドレス−送信先ＩＰアドレス毎に不正通信回数を集計する。
【００６２】
即ち、中間集計表に送信元ＩＰアドレス−送信先ＩＰアドレスが登録されてなければ、追加し不正通信回数欄にデータの不正通信回数を書込み、同じ送信元ＩＰアドレス−送信先ＩＰアドレスが登録されていれば、その不正通信回数にデータの不正通信回数を加算する（ステップＢ５）。
【００６３】
読み込んだ或いは処理したデータが記録格納部の最後のデータとなるまでステップＢ３〜Ｂ６が繰り返される。
【００６４】
ステップＢ２で、６／１−０９：００〜６／１−１０：００が設定されたとすると、図２のデータ８１１，８１６，・・・８２０が集計され図４の中間集計表の番号９００のデータが作成される。
【００６５】
図２のデータ８１２，・・・８２２が集計され図４の中間集計表の番号９０１のデータが作成される。同様に番号９０６迄のデータが作成される。
【００６６】
次に、図４に示す中間集計表の送信元ＩＰアドレス−送信先ＩＰアドレス情報を、中継装置接続構成情報、端末装置接続構成情報、経路構成情報を参照し通信パス情報に変換し、通信パス毎の不正通信回数に集計し直し、不正通信回数表（図５参照）を作成する（ステップＢ７）。
【００６７】
ここで通信パスとは、図１の通信中継装置４００以下のネットワークのホップ単位のパスで通信の方向も考慮したパスと、通信中継装置４００から外部端末、外部端末から通信中継装置４００のパスである。
【００６８】
各通信パスの不正通信回数値を第１閾値と比較し、越えれば更に第２閾値と比較しレベルを判定する（ステップＢ８）。
【００６９】
レベルに応じ、通信パスの表示色（黒／黄／赤）を設定する（図６参照、ステップＢ９）。
【００７０】
接続構成情報に従いネットワーク接続構成図（各通信パスに付された不正通信回数が０回で、矢印の線色が黒である初期値状態の接続構成図）を描画し（ステップＢ１０）、不正通信回数表のデータが有れば各通信パスのデータに従い、矢印の線色を変更し、発生回数を書き変えて表示する（図７参照、ステップＢ１１）。
【００７１】
図７を見ると通信中継装置５００から通信中継装置４００へ向かう矢印、及び端末装置５２０から通信中継装置５００へ向かう矢印が赤色で表示されており、通信中継装置５００に対して端末装置５２０への通信を不可能とする対処が必要であることが容易に判断できる。
【００７２】
赤色で描画された線で接続された端末装置が１００回以上の不正通信を行っていることが容易に識別可能となり、当該端末装置の接続されている通信中継装置に対して当該端末装置との通信を不可能とする対処が行え、ウイルス感染被害の拡大を防止することが可能となる。
【００７３】
また端末装置５１０から通信中継装置５００を経由した１０回の不正通信は第１閾値の１５回を越えておらず、端末装置５１０のウイルス感染によるものでなく単なる通信エラーにより引き起こされたものであり線色を黒色（初期値）のままとすることで、余計な警告表示を行わないようにしている。
【００７４】
次に、本発明の第２の実施例について説明する。本発明の第２の実施例の全体構成は先の実施例と同じく図１の通りである。
【００７５】
本発明の第２の実施例の動作について、前記第１の実施例と異なる点を説明する。前記不正通信記録描画手段１５０の動作のステップＡ３で、第１の閾値、第２の閾値として、１５回、１００回が入力され、表示状態として、線の太さ：細い線，通常の線，太い線が自動設定され、これらの値を項目名に対応付けて保持する。
【００７６】
集計描画動作のステップＢ９では、レベルに応じ、通信パスの矢印の線の太さ（細い線／通常の線／太い線）を設定する（図８参照）。
【００７７】
ステップＢ１１では、不正通信回数表のデータが有れば各通信パスのデータに従い、矢印の線の太さを変更し、発生回数を書き変えて表示する（図９参照）。
【００７８】
図９を見ると通信中継装置５００から通信中継装置４００へ向かう矢印、及び端末装置５２０から通信中継装置５００へ向かう矢印が太い線で表示されており、通信中継装置５００に対して端末装置５２０への通信を不可能とする対処が必要であることが容易に判断できる。
【００７９】
太い線で描画された線で接続された端末装置が１００回以上の不正通信を行っていることが容易に識別可能となり、当該端末装置の接続されている通信中継装置に対して当該端末装置との通信を不可能とする対処が行え、ウイルス感染被害の拡大を防止することが可能となる。
【００８０】
次に、本発明の第３の実施例について説明する。本発明の第３の実施例の全体構成は先の実施例と同じく図１の通りである。
【００８１】
但し、不正通信記録描画手段１５０の、不正通信回数のレベル対応の一つ以上の閾値と、表示状態を定義設定し保持する手段は第１や第２の実施例と異なる。
【００８２】
上記手段はレベルについての複数通りの定義設定、保持が可能な手段であり、定義には集計の対象とする記録期間の長さ（例えば、１時間の間発生した不正通信記録を対象とし集計するのか、１０時間の間発生した不正通信記録を対象とし集計するのか等の１時間や１０時間）を対応付けられる。
【００８３】
本発明の第３の実施例の動作について図面を参照して詳細に説明する。
【００８４】
不正通信記録描画手段１５０の動作を説明する。
【００８５】
画面上の「不正通信回数のレベル設定」アイコンが指定されたことを検知すると、レベル数の入力を促す入力画面を表示する（ステップＣ１）。
【００８６】
レベル数として３が入力されると、第１の閾値、第２の閾値、対応付ける集計期間長の入力を促す入力画面を表示する（ステップＣ２）。
【００８７】
ここで、第１の閾値、第２の閾値として、１５回、１００回が入力され、集計期間長として「１時間」が入力されると、各レベルの表示状態として、線色：黒，黄，赤が自動設定され、これらの値を第１の定義の項目名に対応付けて保持する（ステップＣ３）。
【００８８】
「次の定義設定も行うか」のメッセージと「ＹＥＳ」ボタン、「ＮＯ」ボタンを表示する（ステップＣ４）。
【００８９】
「ＹＥＳ」を指示すると、ステップＣ１〜Ｃ２を繰り返す。
【００９０】
入力画面表示に対し、第１の閾値、第２の閾値として、１５０回、１０００回が入力され、集計期間長として「１０時間」が入力されると、各レベルの表示状態として、線の太さ：細い線，通常の線，太い線が自動設定され、これらの値を第２の定義の項目名に対応付けて保持する（ステップＣ５）。
【００９１】
「次の定義設定も行うか」のメッセージに対し、「ＮＯ」を応答する。
次に図１０のフローチャートを参照し、第３実施例の不正通信記録描画手段１５０の集計、描画動作を説明する。
【００９２】
集計開始要求（例えば、１時間周期で自動発生する要求、或いは１０時間周期で自動発生する要求、或いは操作者による「集計」アイコンの操作）を検知すると（ステップＤ１）、日時指定条件を設定する。
【００９３】
前記自動要求で起動された場合は、その時の時刻より１時間前からその時の時刻を設定する、或いはその時の時刻より１０時間前からその時の時刻を設定する（ステップＤ２）。
【００９４】
ここでは、１０時間周期で自動発生する要求を検知し、その時の時刻より１０時間前からその時の時刻迄を設定する場合とする。
【００９５】
記録格納部から記録データを１エントリ分読み込む（ステップＤ３）。
【００９６】
その記録データの発生日時が、設定された日時指定条件に該当すれば（ステップＤ４）、送信元ＩＰアドレス−送信先ＩＰアドレス毎に不正通信回数を集計する（ステップＤ５）。
【００９７】
読み込んだ或いは処理したデータが記録格納部の最後のデータとなるまでステップＤ３〜Ｄ６が繰り返される。
【００９８】
ステップＤ２で、６／１−００：００〜６／１−１０：００が設定されたとすると、図２のデータ８０２，８１１，８１６，・・・８２０が集計され図１１の中間集計表の番号９５０のデータが作成される。
【００９９】
以下中間集計表の番号９５６までのデータが同様に作成される。
【０１００】
次に、ステップＢ７と同様にし、図１１に示す中間集計表より、不正通信回数表（図１２参照）を作成する（ステップＤ７）。
【０１０１】
集計対象の期間長を判断し１０Ｈであるので（ステップＤ８）、１０Ｈに最も近い期間長１０Ｈを保持している第２のレベル定義情報を参照し、各通信パスの不正通信回数値を第２のレベル定義情報の第１閾値（１５０）や第２閾値（１０００）と比較しレベルを判定する（ステップＤ１３）。
【０１０２】
レベルに応じ、通信パスの線の太さ（通常の線／太い線）を設定する（図１２参照、ステップＤ１４）。
【０１０３】
接続構成情報に従いネットワーク接続構成図（初期値状態）を描画する（ステップＤ１５）。
【０１０４】
表データが有れば各通信パスのデータに従い、矢印の太さを変更し、発生回数を書き変え表示する（ステップＤ１６）。
【０１０５】
ステップＤ１で、１時間周期で自動発生する要求を検知した場合は、ステップＤ２で、６／１−０９：００〜６／１−１０：００が設定され、ステップＤ３〜Ｄ７でこの時間帯に発生した不正通信記録が集計される。
【０１０６】
集計対象の期間長を判断し１Ｈであるので（ステップＤ８）、１Ｈに最も近い期間長１Ｈを保持している第１のレベル定義情報を参照し、各通信パスの不正通信回数値を第１のレベル定義情報の第１閾値（１５）や第２閾値（１００）と比較しレベルを判定する（ステップＤ９）。
【０１０７】
レベルに応じ、通信パスの線色（黄／赤）を設定し（ステップＤ１０）、接続構成情報に従いネットワーク接続構成図（初期値状態）を描画し（ステップＤ１１）、各通信パスのデータに従い、矢印の線色を変更し、発生回数を書き変え表示する（ステップＤ１２）。
【０１０８】
この様に、集計対象の期間の長短に応じた、閾値設定ができるという効果がある。
【０１０９】
また、１Ｈ毎の集計結果表示では、閾値越え通信パスを赤色で表示し、１０Ｈ毎の集計結果表示では、閾値越え通信パスを太線で表示するので、問題内容が把握し易い。
【産業上の利用可能性】
【０１１０】
本発明は、不正通信検出装置が接続されたネットワークにおいて、ウイルス感染事象が発生した装置を早期に判別するといった用途に適用できる。
【図面の簡単な説明】
【０１１１】
【図１】本発明の不正通信端末装置の識別方式のシステム構成を示すブロック図。
【図２】図１の通信管理装置１００における不正通信記録の例を示す図。
【図３】本発明の第１の実施例の不正通信記録の集計、描画動作を示すフローチャート。
【図４】本発明の第１の実施例の不正通信記録の集計処理における中間集計表の内容例を示す図。
【図５】本発明の第１の実施例の不正通信記録の集計処理における不正通信回数表の内容例を示す図。
【図６】本発明の第１の実施例の不正通信記録の集計、描画処理で不正通信回数表の通信パスに線色（黒／黄／赤）が設定された例を示す図。
【図７】本発明の第１の実施例の不正通信発生状況の描画表示例を示す図。
【図８】本発明の第２の実施例の不正通信記録の集計、描画処理で不正通信回数表の通信パスに線の太さ（細い線／通常の線／太い線）が設定された例を示す図。
【図９】本発明の第２の実施例の不正通信発生状況の描画表示例を示す図。
【図１０】本発明の第３の実施例の不正通信記録の集計、描画動作を示すフローチャート。
【図１１】本発明の第３の実施例の不正通信記録の集計処理における中間集計表の内容例を示す図。
【図１２】本発明の第３の実施例の不正通信記録の集計、描画処理で不正通信回数表の通信パスに線の太さ（細い線／通常の線／太い線）が設定された例を示す図。
【図１３】本発明の第３の実施例の不正通信発生状況の描画表示例を示す図。
【符号の説明】
【０１１２】
１００    通信管理装置
１１０    通信中継装置接続構成管理手段
１２０    端末装置接続構成管理手段
１３０    通信中継装置経路構成管理手段
１４０    不正通信記録収集手段
１５０    不正通信記録描画手段
２００    ＴＣＰ／ＩＰネットワーク
３００、３１０、３２０    不正通信検出装置
４００、５００、６００    通信中継装置
５１０、５２０、５３０、６１０、６２０、６３０、７１０、７２０    端末装置
【図１】
2007006383.tif 000003
【図２】
2007006383.tif 000004
【図３】
2007006383.tif 000005
【図４】
2007006383.tif 000006
【図５】
2007006383.tif 000007
【図６】
2007006383.tif 000008
【図７】
2007006383.tif 000009
【図８】
2007006383.tif 000010
【図９】
2007006383.tif 000011
【図１０】
2007006383.tif 000012
【図１１】
2007006383.tif 000013
【図１２】
2007006383.tif 000014
【図１３】
2007006383.tif 000015