JP2005142692A - 端末装置、ネットワーク監視装置およびコンピュータシステム - Google Patents

Abstract

【課題】 不正な通信データをネットワークへ送信し続けてしまわないようにすること。
【解決手段】 端末装置２，３，４の付加手段４３は、端末装置２，３，４からネットワーク６を介して他の端末装置２，３，４へ送信する送信データに、その送信データを送信するためのヘッダデータを付加し、パケットを生成する。送信判定手段４５は、一連のパケットにおけるヘッダデータに基づいてパケットの送信を許可するか否かを判定する。通信デバイス４１は、送信判定手段４５において送信が許可されたパケットをネットワーク６へ送信する。送信禁止手段４５は、送信判定手段４５において送信が許可されないパケットが発生した場合に、少なくともその許可されなかったパケットの通信デバイス４１からネットワーク６への送信を禁止する。
【選択図】 図５

Description

本発明は、ネットワークに接続される端末装置、ネットワーク監視装置およびコンピュータシステムに関する。

特許文献１には、コンピュータウィルスを検知するため最新の検知パターンデータを更新する機能を有し、該最新の検知パターンデータに基づいてネットワークを介して受信するデータからコンピュータウィルスを検知し、駆除するアプリケーションプログラムを有するコンピュータが開示されている。

特開２００２−０９１７８６号公報（特許請求の範囲、発明の詳細な説明）

しかしながら、このような検知パターンデータに基づいてコンピュータウィルスを駆除する場合には、その検知パターンデータが最新のコンピュータウィルスに対応するまでの期間において、その最新のコンピュータウィルスに感染してしまったコンピュータからそのコンピュータウィルスを駆除することは困難である。

そして、このようなコンピュータウィルスの中には、その感染したコンピュータに、ネットワークへ大量の不正なパケットを送信させたり、他のコンピュータへ自身のコードのコピーを送信させたりすることがある。そして、このような大量の不正なパケットがネットワークに送信されてしまうと、ネットワークに高いトラフィックが発生する。特に、複数のコンピュータが同時にコンピュータウィルスに感染してしまうと、ネットワークに送信されるパケット量が倍増するので、パケットの輻輳が発生してしまうこともある。この不正なパケットによってパケット輻輳が発生すると、業務上の正当なパケットが伝送されなくなり、コンピュータシステムの全体がダウンしてしまうことになる。

ところで、このようなコンピュータウィルスが、たとえばフロッピー（登録商標）ディスクなどの携帯情報記録媒体を介して会社のイントラネットのコンピュータシステムなどに侵入することが考えられる。そして、社内のネットワークでは、インターネットに接続する場合のようにネットワーク内部にファイアウォールなどを導入したりすることは現実的ではなく、しかも、そのようなファイアウォールを導入したとしても業務に必要な通信データを阻止しないように設定する必要があるので、現実的には、不正なパケットを効果的に阻止できるように設定することは非常に難しい。

また、このようなコンピュータウィルスの駆除システムとは別に、ネットワークを監視する装置をコンピュータシステムに導入することも考えられる。しかしながら、このようなネットワークの監視装置をコンピュータシステムに導入したとしても、実際にネットワークに送信されてしまっているパケットをネットワークから削除することは困難である。さらに、コンピュータシステム内でのウィルスの蔓延を阻止するためには、ネットワークのセグメント単位で監視装置を導入する必要があるので、現実的に難しい。しかも、このような監視装置を用いてコンピュータウィルスの感染源を特定しようとする場合には、セグメント単位で設置される監視装置の設置場所にその専門の知識を有する者が出向いて解析をする必要があり、その間にコンピュータウィルスに再感染してしまうコンピュータが発生してしまったりする。しかも、セグメントを越えてネットワークの全体がコンピュータウィルスに感染してしまったような状況では、セグメント単位で設置される監視装置によって感染源を特定するのは非常に困難である。

本発明は、以上の問題に鑑みなされたものであり、不正なパケットをネットワークへ送信し続けてしまわないようにすることができる端末装置、ネットワーク監視装置およびコンピュータシステムを得ることを目的とする。

本発明に係る端末装置は、該端末装置からネットワークを介して他の端末装置へ送信する送信データに、その送信データを送信するためのヘッダデータを付加し、パケットを生成する付加手段と、一連のパケットにおけるヘッダデータに基づいてパケットの送信を許可するか否かを判定する送信判定手段と、送信判定手段において送信が許可されたパケットをネットワークへ送信する通信デバイスと、送信判定手段において送信が許可されないパケットが発生した場合に、少なくともその許可されなかったパケットの通信デバイスからネットワークへの送信を禁止する送信禁止手段と、を有するものである。

この構成を採用すれば、コンピュータの通信デバイスからネットワークへ、不正な通信データが送信されない。

本発明に係る端末装置は、上述した発明の構成に加えて、送信判定手段が、データリンク層あるいはそれ以下の層において、その層よりも上位の層でパケットに付加されるヘッダデータに基づいて、パケットの送信を許可するか否かを判定するものである。

この構成を採用すれば、データリンク層より上位の層で付加されるたとえばＴＣＰヘッダデータおよびＩＰヘッダデータに基づいてパケットの送信の可否を判定することができる。しかも、データリンク層より上位の層が他のプロトコルによるヘッダデータであったとしても、そのパケットの送信の可否を判定することができる。その結果、データリンク層より上位の層のプロトコルに依存することなく、パケットの送信の可否を判定することができる。

本発明に係る端末装置は、上述した各発明の構成に加えて、送信判定手段が、一定期間内での同一宛先へのパケット量が所定の最大値を超える場合、一定期間内に不特定の宛先へのパケットの量が所定の最大値を超える場合、アクセスが禁止されている端末装置へのパケットの場合、および所定時間あたりの異なる端末装置への接続数が所定の最大値を上回る場合の中の少なくとも１つの場合には、パケットの送信を許可しないと判定するものである。

この構成を採用すれば、この端末装置が多量のパケットをネットワークへ不正に送信してしまうことや、他の端末装置を攻撃することを防止することができる。

本発明に係る端末装置は、上述した各発明の構成に加えて、送信判定手段が、一連のパケットがポートスキャンに使用されていると判定した場合、パケットの送信を許可せず、送信禁止手段が、全パケットの送信を禁止するものである。

この構成を採用すれば、ポートスキャンを使用するウィルスの感染の抑制、ユーザによる端末装置の不正使用の防止を図ることができる。

本発明に係る端末装置は、上述した各発明の構成に加えて、送信判定手段が、所定の条件に基づき、判定結果を複数レベルのいずれかとし、送信禁止手段が、送信判定手段の判定したレベルに応じて、全パケットの送信を禁止するか、ある宛先へのパケットの送信のみを禁止するか、あるいは、あるＴＣＰのポート番号宛へのパケットの送信のみを禁止するものである。

この構成を採用すれば、発生した事象に応じた規模でパケットの送信を禁止でき、軽度の場合には、正規な通信を続行することができる。

本発明に係るネットワーク監視装置は、ネットワーク上を伝送されているパケットを傍受する通信デバイスと、パケット内のヘッダデータに基づいて、パケットが不正通信のパケットか否かを判断するネットワーク判定手段と、ネットワーク判定手段において不正なパケットであると判定された場合に、そのパケットを送信した端末装置に、それ以降の一部のあるいはすべてのパケットの送信を禁止させる送信禁止指示手段と、を有するものである。

この構成を採用すれば、不正なパケットを送信した端末装置からネットワークへ、不正なパケットが送信され続けることはない。

本発明に係るネットワーク監視装置は、上述した発明の構成に加えて、ネットワーク判定手段が、一定期間内での同一宛先へのパケット量が所定の最大値を超える場合、一定期間内に不特定の宛先へのパケットの量が所定の最大値を超える場合、アクセスが禁止されている端末装置へのパケットの場合、および所定時間あたりの異なる端末装置への接続数が所定の最大値を上回る場合の中の少なくとも１つの場合には、そのパケットを不正と判断するものである。

この構成を採用すれば、ネットワーク監視装置が監視するネットワークに多量の不正なパケットが送信され続けてしまうことや、ある端末装置がそのネットワークを介して他の端末装置を攻撃することを防止することができる。

本発明に係るネットワーク監視装置は、上述した各発明の構成に加えて、ネットワーク判定手段が、あるの端末装置からの一連のパケットがポートスキャンに使用されていると判定した場合、その端末装置によるパケットの送信を許可せず、送信禁止指示手段が、その端末装置に全パケットの送信を禁止させるものである。

この構成を採用すれば、ポートスキャンを使用するウィルスの感染の抑制、ユーザによる端末装置の不正使用の防止を図ることができる。

本発明に係るネットワーク監視装置は、上述した各発明の構成に加えて、ネットワーク判定手段が、所定の条件に基づき、判定結果を複数レベルのいずれかとし、送信禁止指示手段が、送信判定手段の判定したレベルに応じて、端末装置に全パケットの送信を禁止させるか、ある宛先へのパケットの送信のみを禁止させるか、あるいは、あるＴＣＰのポート番号宛へのパケットの送信のみを禁止させるものである。

この構成を採用すれば、発生した事象に応じた規模でパケットの送信を禁止でき、軽度の場合には、正規な通信を続行することができる。

本発明に係るコンピュータシステムは、上述したいずれか１つの端末装置と、ネットワークに接続される通信デバイス、およびこの通信デバイスにより受信された端末装置からの通知をログデータとして記録する記録手段を有する管理端末とを備え、先の端末装置は、通信判定手段により送信が許可されないパケットが発生した場合に、通信デバイスに、その旨の通知を管理端末へ送信させるクライアント通知手段を有するものである。

この構成を採用すれば、端末装置において送信が許可されなかったパケットが発生した場合には、その旨がログデータに記録され、そのログデータを管理端末の出力デバイスから出力することができる。したがって、コンピュータシステムの管理者などは、この管理端末から出力されるログデータに基づいて、障害が発生している端末装置やネットワークを特定することができる。

本発明に係るコンピュータシステムは、上述した発明の構成に加えて、管理端末が、ネットワークに接続された端末装置の情報を収集する収集手段と、収集手段により収集された情報に基づき、送信禁止手段が実行されていない端末装置を検出し、その端末装置へ、送信禁止手段を実現するためのプログラムを送信し、そのプログラムをインストールさせることでその端末装置に送信禁止手段を実装させるインストール手段とを有するものである。

この構成を採用すれば、送信禁止手段がインストールされていない新たな端末装置がネットワークに接続されたら、その新たな端末装置に送信禁止手段をインストールすることができる。したがって、ネットワークに接続されているすべての端末装置に送信禁止手段をインストールすることが可能となり、送信禁止手段がインストールされていない端末装置によるネットワークでのパケット輻輳などを効果的に予防することができる。

本発明に係るコンピュータシステムは、上述した各発明の構成に加えて、管理端末が、端末装置の送信判定手段における判定条件の情報を端末装置へ送信し、端末装置が、管理端末からの判定条件の情報を受信し、その判定条件に基づいて判定を行うものである。

この構成を採用すれば、管理装置から送信された判定パターンに基づいて、送信判定手段は判定をするので、管理端末においてその判定パターンを管理することができる。

本発明に係る他のコンピュータシステムは、上述したいずれか１つのネットワーク監視装置と、ネットワークに接続される通信デバイス、およびこの通信デバイスにより受信されたネットワーク監視装置からの通知をログデータとして記録する記録手段を有する管理端末とを備え、先のネットワーク監視装置は、ネットワーク判定手段により不正パケットが検出された場合に、通信デバイスに、その旨の通知を管理端末へ送信させるネットワーク通知手段を有するものである。

この構成を採用すれば、ネットワーク監視装置において送信が許可されなかったパケットが発生した場合には、その旨がログデータに記録され、そのログデータを管理端末の出力デバイスから出力することができる。したがって、コンピュータシステムの管理者などは、この管理端末から出力されるログデータに基づいて、障害が発生している端末装置やネットワークを特定することができる。

本発明に係る他のコンピュータシステムは、上述した発明の構成に加えて、管理端末が、ネットワーク監視装置のネットワーク判定手段における判定条件の情報をネットワーク監視装置へ送信し、ネットワーク監視装置が、管理端末からの判定条件の情報を受信し、その判定条件に基づいて判定を行うものである。

この構成を採用すれば、管理装置から送信された判定パターンに基づいて、ネットワーク判定手段は判定をするので、管理端末においてその判定パターンを管理することができる。

本発明では、不正なパケットをネットワークへ送信し続けてしまわないようにすることができる。

以下、本発明の実施の形態に係る端末装置、ネットワーク監視装置およびコンピュータシステムを、図面に基づいて説明する。

実施の形態１．
図１は、本発明の実施の形態１に係るコンピュータシステム１を示す構成図である。このコンピュータシステム１は、ネットワーク６と、ネットワーク６に接続される３台の端末装置２，３，４と、ネットワーク６に接続される１台の管理端末５と、を有する。なお、コンピュータシステム１を構成する端末装置の台数は、２以下であっても、４以上であってもよい。

ネットワーク６は、各端末装置２，３，４および管理端末５に接続される４本のケーブル７と、この４本のケーブル７が接続されるハブ機器８と、を有する。ハブ機器８は、いずれかのケーブル７から信号が入力されると、その入力された信号をその他のすべてのケーブル７へ出力する。なお、ハブ機器８に接続可能な台数以上の端末装置および管理端末が存在する場合には、たとえば、複数のハブ機器８同士をブリッジ接続などで接続し、各端末装置および管理端末をいずれか１つのハブ機器８に接続すればよい。なお、ネットワークとしては、たとえばイーサネット（登録商標）が使用される。

また、ハブ機器８は、別のケーブル７によってモデム機器９に接続される。このモデム機器９は、インターネットに接続されており、このネットワーク６のゲートウェイとして機能する。また、モデム機器９は、ＤＨＣＰ（Ｄｙｎａｍｉｃ Ｈｏｓｔ Ｃｏｎｆｉｇｕｒａｔｉｏｎ Ｐｒｏｔｏｃｏｌ）サーバとしても機能する。ＤＨＣＰサーバは、ＩＰアドレスの取得リクエストを受信すると、未使用のＩＰアドレスを付与する。

なお、これらハブ機器８およびモデム機器９は、それぞれの処理を専用に行う装置によって実現されていても、それぞれの処理を実行する端末装置において実現されていてもよい。端末装置において実現する場合には、それら通信処理を実行する端末装置もコンピュータシステム１のネットワーク６に接続されている端末装置の中の１台となるので、少なくとも後述する端末装置２，３，４と同様の構成とするのが好ましい。

図２は、図１中の端末装置２，３，４のハードウェア構成を示すブロック図である。端末装置２，３，４は、コンピュータにより実現され、プログラムを実行する中央処理装置（ＣＰＵ：Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）１１と、中央処理装置１１によって実行されるプログラムなどを記憶するＲＡＭ（Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）１２と、プログラムやデータを記憶するハードディスク装置などの記憶デバイス１３と、ケーブル７が接続される通信デバイス（ＮＩＣ：Ｎｅｔｗｏｒｋ Ｉｎｔｅｒｆａｃｅ Ｃａｒｄ）１４と、キーボードなどの入力デバイス１５やモニタなどの出力デバイス１６などが接続されるＩ／Ｏ（Ｉｎｐｕｔ／Ｏｕｔｐｕｔ：入出力）ポート１７と、これらを接続するバス１８と、を有する。

通信デバイス１４は、ＭＡＣ（Ｍｅｄｉａ Ａｃｃｅｓｓ Ｃｏｎｔｒｏｌ）アドレスを記憶する。ＭＡＣアドレスは、データリンク層の通信デバイス１４の間で互いを区別するために通信デバイス１４毎に固有に割り当てられるアドレスであり、図１中の４つの端末装置２，３，４および管理端末５の間でも互いに異なるアドレス値になっている。また、図１中のモデム機器９にも、これら４つの端末装置２，３，４および管理端末５とは異なる固有のＭＡＣアドレスが割り当てられている。

そして、通信デバイス１４は、中央処理装置１１からのパケットとしてのイーサネット（登録商標）フレームがバス１８を介して入力されると、これをケーブル７へＣＳＭＡ／ＣＤ（Ｃａｒｒｉｅｒ Ｓｅｎｓｅ Ｍｕｌｔｉｐｌｅ Ａｃｃｅｓｓ／Ｃｏｌｌｉｓｉｏｎ Ｄｅｔｅｃｔ）方式にて送信する。ＣＳＭＡ／ＣＤ方式では、通信デバイス１４は、ケーブル７にて何の信号も伝送されていないことを確認してからデータの送信を開始する。そして、通信デバイス１４は、送信しているデータを自身でも受信し、受信したデータと送信したデータとが一致している間はデータの送信を続ける。逆に、たとえばデータの送信途中において他の端末装置２，３，４が送信したデータが重畳されてしまうことで受信したデータと送信したデータとが一致しなくなると、通信デバイス１４は、その送信を中断し、任意のある時間の後にデータの再送を試みる。また、通信デバイス１４は、ケーブル７からイーサネット（登録商標）フレームを受信すると、そのイーサネット（登録商標）フレームを中央処理装置１１へ出力する。

図３は、図２中の記憶デバイス１３に記憶されている記憶データを示す図である。端末装置２，３，４の記憶デバイス１３には、オペレーティングシステムプログラム群（以下、ＯＳプログラム群と記載する。）と、アプリケーションプログラム群（以下、ＡＰプログラム群と記載する。）と、データ群と、が記憶されている。

端末装置２，３，４のＯＳプログラム群には、プログラム実行管理プログラム２１と、通信管理プログラム群と、が含まれる。通信管理プログラム群には、データリンクプログラム２２と、クライアントモニタプログラム２３と、インターネットプロトコルプログラム（以下、ＩＰプログラムと記載する。）２４と、トランスポートコントロールプロトコルプログラム（以下、ＴＣＰプログラムと記載する。）２５と、が含まれる。

端末装置２，３，４のＡＰプログラム群には、文章作成プログラム２６と、表計算プログラム２７と、ブラウザプログラム２８と、が含まれる。なお、ネットワーク６に接続されるすべての端末装置に、このすべてのＡＰプログラムが含まれていなくてもよく、また、これ以外のＡＰプログラムが含まれている端末装置がネットワーク６に接続されていてもよい。

端末装置２，３，４のデータ群には、送信判定パターンデータ２９が含まれる。送信判定パターンデータ２９は、後述する送信ＩＰパケットの送信の可否を判定するための判定パターンを示すデータによって構成されている。

具体的にはたとえば、端末装置２，３，４の送信判定パターンデータ２９には、以下の５つのパターンが禁止パターンとして定義されている。なお、禁止パターンに替えて、許可パターンを定義しても、あるいは、禁止パターンと組み合わせて例外許可事項となる許可パターンを定義してもよい。たとえば、下記の４番目のパターンの代わりに、許可パターンとして、アクセス可能なＩＰアドレス（あるいはその範囲（アドレスレンジ））を定義することができる。

１． 所定時間あたりの最大送信パケット量，
２． 同一宛先ＩＰアドレスの異なるポート番号への連続したアクセスの禁止，
３． ブロードキャストアドレスの禁止，
４． アクセス禁止のＩＰアドレス（あるいはその範囲（アドレスレンジ）），
５． 所定時間あたりの異なるＩＰアドレスへの接続数が所定の最大値を上回る接続の禁止

管理端末５は、端末装置２，３，４と同様のハードウェア構成を有する。そのため、管理端末５のハードウェア構成には、端末装置２，３，４と同一の符号を付してその図示および説明を省略する。なお、管理端末５の通信デバイス１４には、端末装置２，３，４のものとは異なる固有のＭＡＣアドレスが割り当てられる。

図４は、図１中の管理端末５の記憶デバイス１３に記憶されている記憶データを示す図である。管理端末５のＡＰプログラム群には、コントローラプログラム３１と、インストーラプログラム３２とが含まれる。管理端末５のデータ群には、端末装置リスト３３と、モニタデータ３４と、障害ログデータ３５と、インストールデータ３６と、が含まれる。これ以外のプログラムおよびデータは、図３に示す端末装置２，３，４のものと同じ機能を実現するものであり、図３と同一の符号を付してその説明を省略する。

端末装置リスト３３は、ネットワーク６に接続されたことがある端末装置２，３，４に関する管理情報が、端末装置別に整理されているリストである。端末装置２，３，４に関する管理情報としては、たとえば、その端末装置２，３，４のＭＡＣアドレス、端末装置２，３，４のコンピュータ名、ユーザ、設置場所、端末装置２，３，４の各種の設定状態などがある。

モニタデータ３４は、現在、ネットワーク６に接続し、イーサネット（登録商標）フレームを送受信することが可能な状態にある端末装置２，３，４のＭＡＣアドレスのリストを含むデータである。

障害ログデータ３５は、端末装置２，３，４から通知された障害の通知を蓄積したデータである。障害ログデータ３５には、具体的にはたとえば、その障害通知を受信した日時と、障害の発生した端末装置２，３，４のＭＡＣアドレスとを対応付けたレコードがリストされている。

インストールデータ３６は、ネットワーク６を介して端末装置２，３，４にクライアントモニタプログラム２３および送信判定パターンデータ２９をインストールするためのデータである。

次に、図１に示すコンピュータシステム１の動作を説明する。まず、端末装置２，３，４の動作について説明する。

端末装置２，３，４では、その電源が投入されると、中央処理装置１１がＯＳプログラム群に含まれるプログラム実行管理プログラム２１を記憶デバイス１３からＲＡＭ１２へ読み込んで実行する。これにより、プログラム実行管理手段が実現される。プログラム実行管理手段は、プログラムの実行指示待ち状態となる。

このプログラムの実行待ち状態において、たとえばユーザによる入力デバイス１５に対する操作に基づいて入力デバイス１５からブラウザプログラム２８の起動指示が入力されると、プログラム実行管理手段は、ブラウザプログラム２８を記憶デバイス１３からＲＡＭ１２へ読み込んで実行する。これにより、ブラウザ手段が実現される。

そして、このブラウザ手段に対して、入力デバイス１５から所定のＵＲＬ（Ｕｎｉｆｏｒｍ Ｒｅｓｏｕｒｃｅ Ｌｏｃａｔｏｒ）のホームページの閲覧要求が入力されると、ブラウザ手段は、そのＵＲＬを含む閲覧要求データを送信データとして生成する。

閲覧要求データが生成されると、端末装置２，３，４の中央処理装置１１は、通信管理プログラム群におけるデータリンクプログラム２２と、クライアントモニタプログラム２３と、ＩＰプログラム２４と、ＴＣＰプログラム２５とをＲＡＭ１２に読み込んで実行する。これにより、データリンク手段と、送信判定手段および送信禁止手段としてのクライアントモニタ４５と、付加手段としてのＩＰ通信手段と、付加手段としてのＴＣＰ通信手段と、が実現される。

図５は、図１中のコンピュータシステム１において実現される通信プロトコルのスタック構造を示す図である。各端末装置２，３，４では、通信デバイス１４による物理層４１の上に、データリンク手段によるデータリンク層４２と、ＴＣＰ通信手段およびＩＰ通信手段によるＴＣＰ／ＩＰ層４３と、文章作成手段などからなるアプリケーション層４４とが積層されたプロトコルスタックが実現される。また、データリンク層４２には、上位層のＴＣＰ／ＩＰ層４３とのインタフェースとしてクライアントモニタ４５が含まれている。

そして、まず、ＴＣＰ通信手段が、アプリケーション層４４で生成された閲覧要求データに、ＴＣＰヘッダデータを付加する。以下、送信データにＴＣＰヘッダデータが付加されたものをＴＣＰデータと記載する。ＴＣＰヘッダデータには、送信元ポート番号、宛先ポート番号、シーケンス番号などが含まれる。送信元ポート番号は、ＴＣＰデータの送信元となる自身のポート番号である。宛先ポート番号は、ＴＣＰデータの送信先となる他の端末装置２，３，４におけるポート番号である。なお、閲覧要求データを生成するクライアントでは、自身のポート番号は送信データ毎や１回の送信処理毎に異なる番号が割り当てられる。シーケンス番号は、送信データの位置（順番）を示すものであり、送信データ毎に変化する番号である。

次に、ＩＰ通信手段は、ＴＣＰデータを適宜分割し、分割後の各データにＩＰヘッダデータを付加して、ＩＰパケットを生成する。以下、送信データにＴＣＰヘッダデータおよびＩＰヘッダデータが付加されたものをＩＰデータと記載する。ＩＰヘッダデータには、プロトコル番号、送信元ＩＰアドレス、宛先ＩＰアドレスなどが含まれる。プロトコル番号は、ＩＰ通信手段の上位層となるトランスポート層のプロトコルに応じて予め定められた番号が格納される。この場合には、ＩＰ通信手段の上位層はＴＣＰなので、「６」が格納される。送信元ＩＰアドレスは、ＩＰデータの送信元となる自身のＩＰアドレスである。宛先ＩＰアドレスは、閲覧要求データに含まれるＵＲＬが割り当てられた他の端末装置２，３，４のＩＰアドレスである。なお、この他の端末装置２，３，４のＩＰアドレスが不明である場合には、ＩＰ通信手段は、このＩＰデータの生成に先立って、閲覧要求データに含まれるＵＲＬにおけるホスト名に対応するＩＰアドレスの問合せコマンドを送信し、そのＩＰアドレスを取得すればよい。

次に、クライアントモニタ４５は、送信判定パターンデータ２９を参照して、ＩＰヘッダデータおよび／またはＴＣＰヘッダデータに基づいてＩＰパケット（ＩＰデータ）について、送信しても良いか否かを判定する。

具体的にはたとえば、クライアントモニタ４５は、そのＩＰデータを送信することで所定時間内の合計パケット量が送信判定パターンデータ２９に定義されている最大送信パケット量を超えてしまう場合には、そのＩＰデータの送信を止めるか遅らせる。通常の閲覧要求データの場合には、最大送信パケット量を超えてしまうことは無く、閲覧要求データのＩＰパケットの送信は止められない。

また、クライアントモニタ４５は、そのＩＰデータを送信することで同一宛先ＩＰアドレスの異なるポート番号への連続したアクセスとなる場合には、そのＩＰデータの送信を止める。通常の閲覧要求データの場合には、閲覧要求データについての一連のＴＣＰデータ（ＴＣＰにおけるパケット）の宛先ポート番号は同一であるので、送信は止められない。

また、クライアントモニタ４５は、そのＩＰデータの宛先ＩＰアドレスがブロードキャストアドレスである場合には、そのＩＰデータの送信を止める。あるいは、所定時間内に、ブロードキャストアドレスを指定したＩＰパケットが所定数以上出現した場合に、ＩＰデータの送信を止める。通常の閲覧要求データの場合には、閲覧対象のＵＲＬに対応した一意のＩＰアドレスとなっているので、送信は止められない。

また、クライアントモニタ４５は、そのＩＰデータの宛先ＩＰアドレスがアクセスを禁止されたＩＰアドレス（あるいはその範囲（アドレスレンジ））である場合には、そのＩＰデータの送信を止める。通常の閲覧要求データの場合には、閲覧対象のＵＲＬに対応したＩＰアドレスが禁止されていなければ、送信は止められない（通常は、禁止されていない。）。

また、クライアントモニタ４５は、そのＩＰデータの宛先ＩＰアドレスに基づいて、所定時間あたりの異なるＩＰアドレスへの接続数が所定の最大値を上回る場合には、そのＩＰデータの送信を止める。通常の閲覧要求データの場合には、接続数の最大値を超えてしまうことは無く、閲覧要求データのＩＰパケットの送信は止められない。

以上のように、閲覧要求データはすべての禁止パターンに合致しないので、クライアントモニタ４５は、これを含むＩＰデータを送信しても良いと判定する。

次に、データリンク手段は、クライアントモニタ４５において送信しても良いと判断されたＩＰデータに、イーサネット（登録商標）のヘッダを付加してイーサネット（登録商標）フレームを生成し、このイーサネット（登録商標）フレームを通信デバイス１４へ出力する。イーサネット（登録商標）のヘッダには、宛先ＭＡＣアドレス、送信元ＭＡＣアドレス、タイプヘッダあるいはＬＬＣ／ＳＮＡＰヘッダなどが含まれる。ＬＬＣ／ＳＮＡＰヘッダには、タイプヘッダが含まれる。タイプヘッダは、上位層のプロトコルを示す値が含まれる。この例では、データリンク層４２の上位層はＩＰ層になっているので、タイプヘッダの値は、ＩＰ（ＩＰｖ４）を示す「０８００」となる。なお、送信データがＵＲＬを含む閲覧要求データである場合には、宛先ＩＰアドレスはインターネット上のＩＰアドレスとなるので、宛先ＭＡＣアドレスは、モデム機器９のＭＡＣアドレスとなる。

イーサネット（登録商標）フレームがバス１８から入力されると、通信デバイス１４は、このイーサネット（登録商標）フレームをＣＳＭＡ／ＣＤ方式にて送信する。通信デバイス１４から送信されたイーサネット（登録商標）フレームは、端末装置２，３，４に接続されたケーブル７を介してハブ機器８に入力される。ハブ機器８は、このハブ機器８に接続されている他のすべてのケーブル７へイーサネット（登録商標）フレームを送出する。モデム機器９は、宛先ＭＡＣアドレスに自身のＭＡＣアドレスが指定されているので、このイーサネット（登録商標）フレームを受信する。

また、モデム機器９は、インターネットから閲覧対象のＵＲＬのホームページデータを取得したら、宛先ＭＡＣアドレスを先の端末装置２，３，４のＭＡＣアドレスとしたイーサネット（登録商標）フレームを生成し、このイーサネット（登録商標）フレームをネットワーク６へ送信する。

閲覧要求データを含むイーサネット（登録商標）フレームをネットワーク６へ送信した先の端末装置２，３，４の通信デバイス１４は、ネットワーク６上のイーサネット（登録商標）フレームを受信し、これを中央処理装置１１へ出力する。端末装置２，３，４の中央処理装置１１にて実現されるデータリンク手段は、受信したイーサネット（登録商標）フレームの宛先ＭＡＣアドレスが自分のＭＡＣアドレスである場合には、そのイーサネット（登録商標）フレームに含まれるＩＰデータをクライアントモニタ４５に引き渡す。なお、宛先ＭＡＣアドレスがそれ以外のものである場合には、これを破棄する。

クライアントモニタ４５は、このＩＰデータを自身宛てのものであるか否かをチェックする。そして、先のモデム機器９が生成したイーサネット（登録商標）フレームは自身当てのものではないので、クライアントモニタ４５は、ＩＰデータをＩＰ通信手段へ引き渡す。ＩＰ通信手段は、このＩＰデータに含まれるＴＣＰデータをＴＣＰ通信手段へ引き渡す。ＴＣＰ通信手段は、ＴＣＰデータに含まれるパケットを、ブラウザ手段へ引き渡す。ブラウザ手段は、パケットに含まれるホームページデータに基づいて表示データを生成し、この表示データに基づく画像を出力デバイス１６に出力させる。

以上の一連の通信処理によって、ユーザは、端末装置２，３，４に指定したＵＲＬのホームページを、端末装置２，３，４において閲覧することができる。なお、他のＡＰプログラムにおいてパケットが発生した場合も、端末装置２，３，４においては、基本的に同様の手順にて通信処理が行われる。

ところで、このようなコンピュータシステム１では、閲覧したホームページのデータには、所謂ウィルスプログラムのデータが含まれていることがある。また、図示外のフロッピー（登録商標）ディスクを介して、端末装置２，３，４に所謂ウィルスプログラムのデータが持ち込まれてしまうこともある。これらのウィルスプログラムは、ＯＳプログラム群やＡＰプログラム群を構成するプログラムなどに組み込まれ、それらの組み込まれてしまったプログラムの実行の際に中央処理装置１１に実行され、端末装置２，３，４のユーザなどにとって好ましくない動作を端末装置２，３，４にさせる。

その結果として、ウィルスプログラムが組み込まれてしまった端末装置２，３，４では、ウィルスプログラムが起動すると、その記憶デバイス１３が初期化（フォーマット）されてしまったり、他の特定の端末装置２，３，４などに対して攻撃のために送信される多量なパケットが生成されてしまったり、他の任意の端末装置２，３，４などに自身をコピーさせるパケットが生成されてしまったりする。このような不正なパケットがネットワーク６へ送信されてしまうと、コンピュータシステム１内にウィルスが蔓延してしまったり、ネットワーク６のトラフィックが上昇してコンピュータシステム１がダウンしてしまったりすることがある。

この実施の形態１に係る端末装置２，３，４では、上述したように、ＩＰ通信手段から出力されるすべての送信のＩＰパケットは、クライアントモニタ４５によってチェックされる。

具体的にはたとえば、この実施の形態１に係る端末装置２，３，４では、送信判定パターンデータ２９に、禁止パターンとして最大送信パケット量が定義されている。そして、クライアントモニタ４５は、そのＩＰデータを送信することで所定時間当たりのデータ送信量がその定義されている最大送信パケット量を超えてしまう場合には、そのＩＰデータの送信を止めるか遅らせる。これにより、クライアントモニタ４５は、たとえばブラウザプログラム２８などがウィルスなどに感染して一度に多量の送信ＩＰデータを送信しようとしても、その送信を阻止することができる。また、ウィルスに感染した端末装置２，３，４から一度に大量の送信が送信されてしまうことを阻止されるので、ネットワーク６におけるパケットの輻輳を防止することができる。

他にもたとえば、この実施の形態１に係る端末装置２，３，４では、送信判定パターンデータ２９に、禁止パターンとして、同一宛先ＩＰアドレスの異なるポート番号への連続したアクセスの禁止が定義されている。そして、クライアントモニタ４５は、そのようなＩＰデータが連続していることを検出したら、そのＩＰデータの送信を止める。これにより、クライアントモニタ４５は、たとえばブラウザプログラム２８などがウィルスなどに感染して他の端末装置２，３，４のポートをスキャンしようとしても、そのための送信を阻止することができる。

他にもたとえば、この実施の形態１に係る端末装置２，３，４では、送信判定パターンデータ２９に、禁止パターンとして、ブロードキャストアドレスの禁止が定義されている。そして、クライアントモニタ４５は、宛先ＴＣＰアドレスにそのブロードキャストアドレスが含まれているＩＰデータを検出したら、そのＩＰデータの送信を止める。これにより、クライアントモニタ４５は、たとえばブラウザプログラム２８などがウィルスなどに感染し、その結果として通常のアプリケーションプログラムでは使用しないブロードキャストアドレスを含むＩＰデータを生成したとしても、その送信を阻止することができる。

他にもたとえば、この実施の形態１に係る端末装置２，３，４では、送信判定パターンデータ２９に、禁止パターンとしてアクセスを禁止するＩＰアドレス（あるいはその範囲（アドレスレンジ））が定義されている。そして、クライアントモニタ４５は、宛先ＴＣＰアドレスがそのアクセスを禁止するＩＰアドレスとなっているＩＰデータを検出したら、そのＩＰデータの送信を止める。これにより、クライアントモニタ４５は、たとえばブラウザプログラム２８などがウィルスなどに感染し、その結果としてアクセスを禁止する端末装置２，３，４のＩＰアドレスを含むＩＰデータを生成したとしても、その送信を阻止することができる。また、その結果として、クライアントモニタ４５は、不特定多数の他の端末装置２，３，４への送信を阻止することができる。

他にもたとえば、この実施の形態１に係る端末装置２，３，４では、送信判定パターンデータ２９に、禁止パターンとして所定時間あたりの異なるＩＰアドレスへの接続数の最大値が定義されている。そして、クライアントモニタ４５は、そのＩＰデータを送信することで所定時間当たりの異なるＩＰアドレスへの接続数がその定義されている最大値を超えてしまう場合には、そのＩＰデータの送信を止める。これにより、クライアントモニタ４５は、たとえばブラウザプログラム２８などがウィルスなどに感染して一度に多量の送信ＩＰデータを送信しようとしても、その送信を阻止することができる。また、ウィルスに感染した端末装置２，３，４から一度に大量の送信が送信されてしまうことを阻止されるので、ネットワーク６におけるパケットの輻輳を防止することができる。

したがって、この実施の形態１の各端末装置２，３，４では、送信判定パターンデータ２９に禁止パターンとして定義されたＩＰデータ以外のもののみがデータリンクへ引き渡され、通信デバイス１４からネットワーク６へ実際に送信されることになる。また、この実施の形態１では、ウィルスプログラムが組み込まれてしまった端末装置２，３，４から不正なパケットがネットワーク６へ送信され難くなる。その結果、この実施の形態１に係るコンピュータシステム１では、コンピュータシステム１内にウィルスが蔓延してしまったり、ネットワーク６のトラフィックの上昇によってコンピュータシステム１がダウンしてしまったりすることを効果的に防止することができる。

また、この実施の形態１では、クライアントモニタ４５は、データリンク層４２において、送信データに付加されているＴＣＰヘッダデータおよびＩＰヘッダデータに基づいて、送信データの送信を許可するか否かを判定している。したがって、データリンク層４２より上位の層で付加されるＴＣＰヘッダデータおよびＩＰヘッダデータについて送信データの送信の可否を判定することができる。しかも、データリンク層４２より上位の層が他のプロトコルによるヘッダデータであったとしても、その異なるプロトコルによるヘッダデータに基づいて、送信データの送信の可否を判定することができる。その結果、クライアントモニタ４５は、データリンク層４２より上位の層のプロトコルに依存することなく、送信データの送信の可否を判定することができる。

また、この実施の形態１では、各端末装置２，３，４に個別に送信判定パターンデータ２９が記憶されている。したがって、端末装置２，３，４毎の利用のされ方に応じてこの送信判定パターンデータ２９の内容を端末装置２，３，４毎に設定し、最適な送信判定パターンを設定することができる。

以上のように、この実施の形態１では、クライアントモニタ４５は、不正に生成されたＩＰデータをデータリンク手段へ出力しないようにするので、その不正に生成されたＩＰデータがネットワーク６に送信されてしまうことを防止している。この他にもたとえば、クライアントモニタ４５は、不正なＩＰデータを検出したら、アドレス（ＭＡＣアドレス，ＩＰアドレス，ＴＣＰのポート番号）単位あるいはプロトコル単位でのデータの送信を禁止したり、ネットワーク６へのすべてのデータの送信を停止したり、ＡＰプログラムを終了させたり、自身の端末装置２，３，４を強制的に終了したり、通信デバイス１４を強制的に停止させたり、自身の端末装置２，３，４をネットワーク６から切断したり、自身の端末装置２，３，４をネットワーク６から強制的にロックアウトさせたりしてもよい。

また、クライアントモニタ４５は、所定の条件に基づき、判定結果を複数レベルのいずれかとし、送信するパケットの判定レベルに応じて、全パケットの送信を禁止するか、ある宛先へのパケットの送信のみを禁止するか、あるいは、あるＴＣＰのポート番号宛へのパケットの送信のみを選択して禁止するようにしてもよい。これにより、発生した事象に応じた規模でパケットの送信を禁止でき、軽度の場合には、正規な通信を続行することができる。

次に、管理端末５のコントローラ４６を中心とした実施の形態１に係るコンピュータシステム１の動作を説明する。図５に示すように、管理端末５では、通信デバイス１４による物理層４１の上に、データリンク層４２と、ＴＣＰ／ＩＰ層４３と、コントローラ４６およびインストーラ４７によるアプリケーション層とが積層されたプロトコルスタックが実現される。なお、データリンク層４２に、クライアントモニタが含まれていてもよい。

送信禁止指示手段としてのコントローラ４６は、周期的にネットワーク６に接続されている端末装置２，３，４の検出処理を行う。たとえば、モデム機器９が割り付けるすべてのＩＰアドレスに対して通信デバイス１４に応答要求を送信させたり、ブロードキャストアドレスにて通信デバイス１４に応答要求を送信させたりする。なお、コントローラ４６などがブロードキャストアドレスを使用する場合には、このコントローラ４６の送信判定パターンデータ２９の禁止パターンからブロードキャストアドレスを削除しておく必要がある。そして、コントローラ４６は、この応答要求に応じて各端末装置２，３，４が返送してきたイーサネット（登録商標）フレームの送信元ＭＡＣアドレスをモニタデータ３４に記録する。なお、コントローラ４６は、ネットワーク６上を伝送されているパケットを傍受し、このパケットに含まれている送信元ＭＡＣアドレスをモニタデータ３４に記録してもよい。

端末装置２，３，４におけるクライアント通知手段としてのクライアントモニタ４５は、送信するＩＰデータのデータリンク手段への引き渡しを止めた場合には、その旨を通知するＩＰデータを生成し、これをデータリンク手段へ引き渡す。このクライアントモニタ４５が生成したＩＰデータの宛先ＩＰアドレスには、コントローラ４６（管理端末５）のＩＰアドレスが割り付けられている。データリンク手段は、このＩＰデータを含むイーサネット（登録商標）フレームを生成し、通信デバイス１４は、これをネットワーク６へ送信する。管理端末５の通信デバイス１４がこのイーサネット（登録商標）フレームを受信すると、記録手段としてのコントローラ４６は、そのイーサネット（登録商標）フレームの送信元ＭＡＣアドレスと日時とを障害ログデータ３５に記録する。

そして、ユーザによる入力デバイス１５の操作などに応じて、コントローラ４６は、端末装置リスト３３に登録されている情報、モニタデータ３４に登録されている情報、障害ログデータ３５に登録されている情報を、出力デバイス１６に表示する。特に、障害ログデータ３５に登録されているＭＡＣアドレスの端末装置２，３，４については、反転表示などによって強調して表示するとよい。これにより、ユーザは、動作中のすべての端末装置２，３，４や、障害が発生しているあるいは発生した端末装置２，３，４を、管理端末５において一元的に把握することができる。

また、コントローラ４６は、モニタデータ３４のＭＡＣアドレスを検索キーとして端末装置リスト３３から動作中の端末装置２，３，４の登録情報を抽出し、障害ログデータ３５に基づく順番にて端末装置２，３，４の登録情報を出力デバイス１６に表示させる。これにより、ユーザが理解し易い情報にて障害ログを出力することができ、ユーザは迅速に障害の発生常態を把握して対応することができる。

次に、管理端末５のインストーラ４７を中心とした実施の形態１に係るコンピュータシステム１の動作を説明する。

収集手段およびインストール手段としてのインストーラ４７は、ネットワーク６上のすべてのイーサネット（登録商標）フレームを監視し、このネットワーク６上のイーサネット（登録商標）フレームの送信元ＭＡＣアドレスと、端末装置リスト３３に登録されているすべての端末装置２，３，４のＭＡＣアドレスとを比較する。そして、端末装置リスト３３に登録されていない新たなＭＡＣアドレスが収集された場合には、インストーラ４７は、その端末装置の管理情報を取得し、これを端末装置リスト３３に追加登録する。

また、インストーラ４７は、この新たな端末装置に対して、インストールデータ３６を送信する。このインストールデータ３６は、ネットワーク６を介してその端末装置により受信され、クライアントモニタ４５のインストールが自動的にあるいはユーザ認証の後にその端末装置にて実行される。その結果、ネットワーク６に新たに接続された端末装置の記憶デバイス１３には、クライアントモニタプログラム２３と、送信判定パターンデータ２９とが新たに記憶される。そして、この新たな端末装置においてもクライアントモニタ４５によって不正なイーサネット（登録商標）フレームの送信が禁止される。

以上のように、この実施の形態１に係るコンピュータシステム１を用いることで、ユーザは、管理端末５において、ネットワーク６に接続されているすべての端末装置２，３，４、その端末装置２，３，４の障害発生状態などを一元的に把握することができる。また、ネットワークに接続されている複数の端末装置２，３，４にウィルスなどによる障害が広がったとしても、その障害を引き起こした端末装置２，３，４のユーザや、端末装置２，３，４の障害発生の順番を、完全ではない場合があるにせよ特定することができる。その結果、その障害を引き起こした端末装置２，３，４のユーザなどに対して個別にウィルス対策などの指導や啓蒙活動を行うことができ、最終的にはコンピュータシステム１のすべての利用者のセキュリティに対する意識の向上を期待することができる。

また、この実施の形態１に係るコンピュータシステム１を用いることで、クライアントモニタ４５がインストールされていない端末装置がネットワーク６に接続された場合には、その端末装置に対してクライアントモニタ４５および送信判定パターンデータ２９を強制的にインストールすることができる。また、インストーラ４７によって送信判定パターンデータ２９を各端末装置にインストールするので、管理端末５においてその判定パターンデータを管理し、複数の端末装置２，３，４に共通の送信判定パターンデータ２９を設定したりすることが可能である。

実施の形態２．
図６は、本発明の実施の形態２に係るコンピュータシステム１の構成を示す構成図である。このコンピュータシステム１は、ネットワーク６と、ネットワーク６に接続される２台の端末装置２，３と、ネットワーク６に接続される１台の管理端末５と、ネットワーク６に接続される１台のネットワーク監視装置１０と、を有する。

ネットワーク６は、実施の形態１の同名のものと同一の機能を有するものであり、これらと同一の符号を付してその図示および説明を省略する。また、端末装置２，３、管理端末５およびネットワーク監視装置１０のハードウェア構成は、図２に示す端末装置２，３のハードウェア構成と同じであり、これらと同一の符号を付してその図示および説明を省略する。

図７は、図６中のネットワーク監視装置１０の記憶デバイス１３に記憶されている記憶データを示す図である。ネットワーク監視装置１０のＡＰプログラム群には、ネットワークモニタプログラム５１が含まれる。ネットワーク監視装置１０のデータ群には、ネットワーク判定パターンデータ５２が含まれる。これ以外のプログラムおよびデータは、図３に示す端末装置２，３のものと同じ機能を実現するものであり、図３と同一の符号を付してその説明を省略する。なお、このネットワーク監視装置１０に、後述するクライアントモニタプログラム６１を記憶させてもよい。

ネットワーク判定パターンデータ５２には、ネットワーク６に不正なＩＰパケットが伝送されているか否かを判定するための判定パターンを示すデータによって構成されている。具体的にはたとえば、ネットワーク判定パターンデータ５２には、以下の５つのパターンが禁止パターンとして定義されている。なお、禁止パターンに替えて、あるいは、禁止パターンと組み合わせて許可パターンを定義してもよい。

１． 端末装置毎の、所定時間あたりの最大送信パケット量，
２． 端末装置毎の、同一宛先ＩＰアドレスの異なるポート番号への連続したアクセスの禁止，
３． 端末装置でのブロードキャストアドレスの使用の禁止，
４． 端末装置毎の、アクセス禁止のＩＰアドレス（あるいはその範囲（アドレスレンジ））
５． 端末装置毎の、所定時間あたりの異なるＩＰアドレスへの接続数が所定の最大値を上回る接続の禁止

図８は、図６中の端末装置２，３の記憶デバイス１３に記憶されている記憶データを示す図である。端末装置２，３の通信管理プログラム群には、クライアントモニタプログラム６１が含まれる。これ以外のプログラムおよびデータは、図３に示す実施の形態１の端末装置２，３，４のものと同じ機能を実現するものであり、図３と同一の符号を付してその説明を省略する。

図９は、図６中の管理端末５の記憶デバイス１３に記憶されている記憶データを示す図である。管理端末５のＡＰプログラム群には、コントローラプログラム７１が含まれる。管理端末５のデータ群には、インストールデータ７２が含まれる。これ以外のプログラムおよびデータは、図４に示す実施の形態１の管理端末５のものと同じ機能を実現するものであり、図４と同一の符号を付してその説明を省略する。なお、この管理端末５に、クライアントモニタプログラム６１を記憶させてもよい。

インストールデータ７２は、ネットワーク６を介して端末装置２，３にクライアントモニタプログラム６１をインストールするためのデータである。

次に、実施の形態２に係るコンピュータシステム１の動作を説明する。

ネットワーク監視装置１０において、中央処理装置１１がプログラム実行管理プログラム２１を実行し、さらにネットワークモニタプログラム５１を実行する。これにより、ネットワーク監視装置１０には、図１０に示すようなプロトコルスタックが実現される。ネットワーク監視装置１０では、通信デバイス１４による物理層４１の上に、データリンク層４２と、ＴＣＰ／ＩＰ層４３と、ネットワークモニタ８１によるアプリケーション層４４とが積層されたプロトコルスタックが実現される。

同様に、端末装置２，３において、中央処理装置１１がプログラム実行管理プログラム２１を実行し、さらにブラウザプログラム２８などのアプリケーションプログラムを実行する。これにより、端末装置２，３には、通信デバイス１４による物理層４１の上に、クライアントモニタ８４を有するデータリンク層４２と、ＴＣＰ／ＩＰ層４３と、アプリケーションプログラムによるアプリケーション層４４とが積層されたプロトコルスタックが実現される。

さらに、管理端末５において、中央処理装置１１がプログラム実行管理プログラム２１を実行し、さらにコントローラプログラム７１およびインストーラプログラム３２を実行する。これにより、管理端末５には、通信デバイス１４による物理層４１の上に、データリンク層４２と、ＴＣＰ／ＩＰ層４３と、コントローラ８２およびインストーラ８３によるアプリケーション層４４とが積層されたプロトコルスタックが実現される。

そして、ネットワーク監視装置１０の通信デバイス１４は、ネットワーク６上のイーサネット（登録商標）フレームを受信し、これを中央処理装置１１へ出力する。ネットワーク監視装置１０の中央処理装置１１にて実現されるデータリンク手段は、受信したすべてのイーサネット（登録商標）フレームに含まれるＩＰデータをＩＰ通信手段およびネットワークモニタ８１へ引き渡す。ＩＰ通信手段は、このＩＰデータに含まれるＴＣＰデータをＴＣＰ通信手段およびネットワークモニタ８１へ引き渡す。

ネットワークモニタ８１は、データリンク手段から引き渡されたＩＰデータおよび／またはＩＰ通信手段から引き渡されたＴＣＰデータとについて、ネットワーク判定パターンデータ５２に基づく判定を行う。

具体的にはたとえば、ネットワークモニタ８１は、ＩＰデータおよびＴＣＰデータとに基づいて、各端末装置２，３の所定時間あたりの送信パケット量を積算し、これが各端末装置２，３の所定時間あたりの最大送信パケット量を超える場合には、その送信元の端末装置２，３などの通信停止を管理端末５へ要求するための送信データを生成する。

また、ネットワークモニタ８１は、ＩＰデータおよびＴＣＰデータとに基づいて、ある端末装置２，３から他のコンピュータの異なるポート番号へ連続したアクセスをしている場合には、その送信元の端末装置２，３の通信停止を管理端末５へ要求するための送信データを生成する。

また、ネットワークモニタ８１は、ＩＰデータに、ブロードキャストアドレスが含まれている場合には、その送信元の端末装置２，３の通信停止を管理端末５へ要求するための送信データを生成する。

また、ネットワークモニタ８１は、ＩＰデータに、各端末装置２，３がアクセスできないＩＰアドレス（あるいはその範囲（アドレスレンジ））が含まれる場合には、その送信元の端末装置２，３の通信停止を管理端末５へ要求するための送信データを生成する。

また、ネットワークモニタ８１は、ＩＰデータに基づいて、各端末装置２，３の所定時間あたりの送信パケット量をＩＰアドレス毎に積算し、これが各端末装置２，３の所定時間あたりの接続数の最大値を超える場合には、その送信元の端末装置２，３などの通信停止を管理端末５へ要求するための送信データを生成する。

引き続き、ネットワーク通知手段としてのネットワークモニタ８１は、この停止要求を含む送信データを、通信デバイス１４から管理端末５へ送信させる。管理端末５の通信デバイス１４は、このネットワークモニタ８１からのイーサネット（登録商標）フレームを受信し、記録手段としてのコントローラ８２は、そのイーサネット（登録商標）フレームの送信元ＭＡＣアドレスと日時とを障害ログデータ３５に記録する。なお、この障害ログデータ３５には、実施の形態１と同様に、クライアントモニタ２，３などのクライアントモニタ８４から直接に通知された障害も記録される。

また、ユーザによる入力デバイス１５の操作などに応じて、コントローラ８２は、端末装置リスト３３に登録されている情報、モニタデータ３４に登録されている情報、障害ログデータ３５に登録されている情報を、出力デバイス１６に表示する。特に、障害ログデータ３５に登録されているＭＡＣアドレスの端末装置２，３については、反転表示などによって強調して表示するとよい。これにより、ユーザは、動作中のすべての端末装置２，３や、障害が発生しているあるいは発生した端末装置２，３を、障害ログデータ３５の記録などに基づいて、管理端末５において一元的に把握することができる。

また、管理端末５の通信デバイス１４がネットワークモニタ８１からの不正データの送信元の端末装置２，３の停止要求を含む送信データを受信すると、ユーザ通知手段としてのコントローラ８２は、出力デバイス１６に停止指示の入力画面を表示するとともに、停止要否を通知する電子メールを生成し、予め登録されているメールアドレスへその電子メールを送信する。

そして、管理端末５の入力デバイス１５に停止指示が入力されるか、あるいは、電子メールの返信応答があると、コントローラ８２は、不正データの送信元の端末装置２，３の停止指示を含む送信データを生成する。この送信データには、管理端末５のＴＣＰ通信手段によってＴＣＰヘッダデータが付加され、ＩＰ通信手段によってＩＰヘッダデータが付加され、データリンク手段によってイーサネット（登録商標）用のヘッダが付加される。このイーサネット（登録商標）フレームは、管理端末５の通信デバイス１４からネットワーク６に送信される。このイーサネット（登録商標）フレームの宛先は、不正データの送信元の端末装置２，３とされる。

不正なイーサネット（登録商標）フレームを送信したことをネットワーク監視装置１０によって検出された端末装置２，３の通信デバイス１４は、管理端末５が送出したイーサネット（登録商標）フレームを受信し、これを中央処理装置１１へ出力する。端末装置２，３の中央処理装置１１にて実現されるデータリンク手段は、受信したイーサネット（登録商標）フレームの宛先ＭＡＣアドレスが自分のＭＡＣアドレスであるため、そのイーサネット（登録商標）フレームに含まれるＩＰデータをクライアントモニタ８４に引き渡す。そのイーサネット（登録商標）フレームに含まれるＩＰデータは、クライアントモニタ８４に引き渡される。クライアントモニタ８４は、停止指示を含むデータが自身宛てのものであるので、これに基づいてすべての送信のＩＰデータのデータリンク手段への引渡しを停止する。これにより、不正なイーサネット（登録商標）フレームを送信していた端末装置２，３からのイーサネット（登録商標）フレームの送信が、停止する。

以上のように、この実施の形態２に係るコンピュータシステム１では、ネットワーク監視装置１０が、ネットワークモニタ８１における異常なパケット送信の検出に基づいて、その異常なパケット送信を行っている端末装置２，３からのイーサネット（登録商標）フレームの送信を停止することができる。

それゆえ、この実施の形態２に係るコンピュータシステム１では、ウィルスプログラムが組み込まれてしまった端末装置２，３から不正なパケットがネットワーク６へ送信され続けられることがなくなり、コンピュータシステム１内のウィルスの蔓延や、ネットワーク６のトラフィックの恒常的な上昇を効果的に防止することができる。

なお、コントローラ８２によるネットワーク６の管理と、インストーラ８３によるネットワーク６に新たに接続された端末装置２，３へのクライアントモニタプログラム６１のインストール処理とは、実施の形態１と同様の処理であり、その説明を省略する。

なお、この実施の形態２では、ネットワークモニタ８１は、ネットワーク６上の不正なイーサネット（登録商標）フレームを検出したらその送信元の端末装置２，３からのデータ送信を停止させるようにしているが、ネットワークモニタ８１は、入力デバイス１５などからの停止操作に基づいて停止指示を含む送信データを生成し、これにより任意の端末装置２，３を手動にて停止できるようにしてもよい。

また、この実施の形態２では、ネットワークモニタ８１がネットワーク判定パターンデータ５２に基づいてネットワーク６全体での異常を判定し、各端末装置２，３のクライアントモニタ８４は、このネットワークモニタ８１での検出に基づいてパケットの送信を停止している。この他にもたとえば、端末装置２，３のクライアントモニタ８４は、実施の形態１のように独自の異常判定に基づいて、パケットの送信を停止するようにしてもよい。

また、この実施の形態２では、ネットワーク監視装置１０からの停止要求に基づいて、管理端末５はユーザにその旨を通知するための画面や電子メールを出力している。この他にもたとえば、各端末装置２，３は、不正パケットを検出したときに停止要求を送信し、管理端末５は、これらの停止要求に基づいてユーザにその旨を通知するための画面や電子メールを出力するようにしてもよい。さらに、管理端末５は、これに対して所定の応答があった場合に先の端末装置２，３へ停止指示を送信し、先の端末装置２，３は、この停止指示によって所定の通信停止処理を行うようにしてもよい。

以上の各実施の形態は、本発明の好適な実施の形態の例であるが、本発明はこれに限定されるものではなく、種々の変形、変更が可能である。

上記各実施の形態では、クライアントモニタ４５，８４が設けられるデータリンク層４２は、イーサネット（登録商標）フレームを生成するデータリンク手段で構成されている。この他にもたとえば、クライアントモニタ４５，８４が設けられるデータリンク層４２は、ＦＤＤＩ（Ｆｉｂｅｒ Ｄｉｓｔｒｉｂｕｔｅｄ Ｄａｔａ Ｉｎｔｅｒｆａｃｅ）用のデータリンク手段、ＡＴＭ（Ａｓｙｎｃｈｒｏｎｏｕｓ Ｔｒａｎｓｆｅｒ Ｍｏｄｅ）用のデータリンク手段、トークンリング用のデータリンク手段などであってもよい。

上記各実施の形態では、クライアントモニタ４５，８４が設けられるデータリンク層４２の上位層は、ＴＣＰ／ＩＰ層４３になっている。この他にもたとえば、クライアントモニタ４５，８４が設けられるデータリンク層４２の上位層は、ＮＥＴＢＩＯＳ、ＳＮＡ（ＤＬＣ）などのＴＣＰ／ＩＰ以外のプロトコルによって実現されていてもよい。さらに、複数のプロトコルがデータリンク層４２の上位層となっていてもよい。

上記各実施の形態では、クライアントモニタ４５，８４は、データリンク層４２と、その上位のネットワーク層との間に実現されている。この他にもたとえば、クライアントモニタ８４は、ネットワーク層とその上位のトランスポート層との間に実現されても、トランスポート層とその上位のセッション層（アプリケーション層４４）との間に実現されても、アプリケーション層４４として実現されてもよい。ただし、上位層になればなるほど、それより下位の層で使用するヘッダ情報にのみ含まれる情報を送信判定パターンに利用することができなくなるので、クライアントモニタ８４は、データリンク層４２とその上位のネットワーク層との間か、あるいは、それより下位となる物理層４１とデータリンク層４２との間において実現するのが望ましい。

上記実施の形態２では、ネットワークモニタ８１は、アプリケーション層４４にて実現されている。この他にもたとえば、ネットワークモニタ８１は、トランスポート層とセッション層（アプリケーション層４４）との間に実現されても、ネットワーク層とトランスポート層との間に実現されても、データリンク層４２とネットワーク層との間に実現されても、物理層４１とデータリンク層４２との間に実現されてもよい。ただし、下位層になればなるほど、ネットワークモニタ８１自身においてイーサネット（登録商標）フレーム毎に分割された送信データの再結合処理などをしなければならなくなるので、ネットワークモニタ８１は、なるべく上位層において実現するのが望ましい。

上記実施の形態２において、ネットワーク監視装置１０の代わりに、ネットワーク６に接続されたある端末装置に、ネットワーク監視装置１０と同様の機能を追加するようにしてもよい。

上記各実施の形態において、管理端末５の代わりに、ネットワーク６に接続されたある端末装置に、管理端末５と同様の機能を追加するようにしてもよい。また、この管理端末５やこの管理者用の端末装置は、端末装置２，３，４と同一にネットワーク（セグメント）に接続されていなくてもよく、通信可能な別のネットワーク（セグメント）に接続されていてもよい。

上記各実施の形態におけるネットワーク６の形態は、ツリー型であるが、バス型など他の形態でもよい。また、インターネットなどの広域網を介して複数の拠点間をＬ２トンネリングやＬ３トンネリングにより接続した場合にも、いずれの拠点に存在する端末装置２，３を上述の端末装置２，３，４と同様にし、一括して管理することが可能である。

なお、上述の説明中、「パケット」とは、あるレイヤにおけるデータの通信単位をいい、ＩＰパケット、イーサネット（登録商標）フレームなどを含む概念である。

本発明に係る端末装置、ネットワーク監視装置およびコンピュータシステムは、社内ネットワークを有するコンピュータシステムなどで利用することができる。

図１は、本発明の実施の形態１に係るコンピュータシステムを示す構成図である。 図２は、図１中の端末装置のハードウェア構成を示すブロック図である。 図３は、図２中の記憶デバイスに記憶されている記憶データを示す図である。 図４は、図１中の管理端末の記憶デバイスに記憶されている記憶データを示す図である。 図５は、図１中のコンピュータシステムにおいて実現される通信プロトコルのスタック構造を示す図である。 図６は、本発明の実施の形態２に係るコンピュータシステムの構成を示す構成図である。 図７は、図６中のネットワーク監視装置の記憶デバイスに記憶されている記憶データを示す図である。 図８は、図６中の端末装置の記憶デバイスに記憶されている記憶データを示す図である。 図９は、図６中の管理端末の記憶デバイスに記憶されている記憶データを示す図である。 図１０は、図６中のコンピュータシステムにおいて実現される通信プロトコルのスタック構造を示す図である。

符号の説明

１ コンピュータシステム
２，３，４ 端末装置
５ 管理端末
６ ネットワーク
１０ ネットワーク監視装置
１１ 中央処理装置（付加手段の一部）
１４ 通信デバイス
１６ 出力デバイス
２４ インターネットプロトコルプログラム（付加手段の一部）
２５ トランスポートコントロールプロトコルプログラム（付加手段の一部）
３２ データリンク層
３５，８４ クライアントモニタ（送信判定手段、送信禁止手段）
８１ ネットワークモニタ（ネットワーク判定手段、送信禁止指示手段、クライアント通知手段、ネットワーク通知手段）
８２ コントローラ（記録手段、ユーザ通知手段）
８３ インストーラ（収集手段、インストール手段）

Claims (14)

1. 該端末装置からネットワークを介して他の端末装置へ送信する送信データに、その送信データを送信するためのヘッダデータを付加し、パケットを生成する付加手段と、
   一連のパケットにおける上記ヘッダデータに基づいて上記パケットの送信を許可するか否かを判定する送信判定手段と、
   上記送信判定手段において送信が許可されたパケットを上記ネットワークへ送信する通信デバイスと、
   上記送信判定手段において送信が許可されないパケットが発生した場合に、少なくともその許可されなかったパケットの上記通信デバイスから上記ネットワークへの送信を禁止する送信禁止手段と、
   を有することを特徴とする端末装置。
2. 前記送信判定手段は、データリンク層あるいはそれ以下の層において、その層よりも上位の層でパケットに付加されるヘッダデータに基づいて、パケットの送信を許可するか否かを判定することを特徴とする請求項１記載の端末装置。
3. 前記送信判定手段は、一定期間内での同一宛先へのパケット量が所定の最大値を超える場合、一定期間内に不特定の宛先へのパケットの量が所定の最大値を超える場合、アクセスが禁止されている端末装置へのパケットの場合、および所定時間あたりの異なる端末装置への接続数が所定の最大値を上回る場合の中の少なくとも１つの場合には、パケットの送信を許可しないと判定することを特徴とする請求項１記載の端末装置。
4. 前記送信判定手段は、一連のパケットがポートスキャンに使用されていると判定した場合、パケットの送信を許可せず、
   前記送信禁止手段は、全パケットの送信を禁止すること、
   を特徴とする請求項１記載の端末装置。
5. 前記送信判定手段は、所定の条件に基づき、判定結果を複数レベルのいずれかとし、
   前記送信禁止手段は、前記送信判定手段の判定したレベルに応じて、全パケットの送信を禁止するか、ある宛先へのパケットの送信のみを禁止するか、あるいは、あるＴＣＰのポート番号宛へのパケットの送信のみを禁止すること、
   を特徴とする請求項１記載の端末装置。
6. ネットワーク上を伝送されているパケットを傍受する通信デバイスと、
   上記パケット内のヘッダデータに基づいて、上記パケットが不正通信のパケットか否かを判断するネットワーク判定手段と、
   上記ネットワーク判定手段において不正なパケットであると判定された場合に、そのパケットを送信した端末装置に、それ以降の一部のあるいはすべてのパケットの送信を禁止させる送信禁止指示手段と、
   を有することを特徴とするネットワーク監視装置。
7. 前記ネットワーク判定手段は、一定期間内での同一宛先へのパケット量が所定の最大値を超える場合、一定期間内に不特定の宛先へのパケットの量が所定の最大値を超える場合、アクセスが禁止されている端末装置へのパケットの場合、および所定時間あたりの異なる端末装置への接続数が所定の最大値を上回る場合の中の少なくとも１つの場合には、そのパケットを不正と判断することを特徴とする請求項６記載のネットワーク監視装置。
8. 前記ネットワーク判定手段は、あるの端末装置からの一連のパケットがポートスキャンに使用されていると判定した場合、その端末装置によるパケットの送信を許可せず、
   前記送信禁止指示手段は、その端末装置に全パケットの送信を禁止させること、
   を特徴とする請求項６記載のネットワーク監視装置。
9. 前記ネットワーク判定手段は、所定の条件に基づき、判定結果を複数レベルのいずれかとし、
   前記送信禁止指示手段は、前記送信判定手段の判定したレベルに応じて、前記端末装置に全パケットの送信を禁止させるか、ある宛先へのパケットの送信のみを禁止させるか、あるいは、あるＴＣＰのポート番号宛へのパケットの送信のみを禁止させること、
   を特徴とする請求項６記載のネットワーク監視装置。
10. 請求項１記載の端末装置と、
    前記ネットワークに接続される通信デバイス、およびこの通信デバイスにより受信された前記端末装置からの通知をログデータとして記録する記録手段を有する管理端末とを備え、
    前記端末装置は、前記通信判定手段により送信が許可されないパケットが発生した場合に、前記通信デバイスに、その旨の通知を上記管理端末へ送信させるクライアント通知手段を有すること、
    を特徴とするコンピュータシステム。
11. 前記管理端末は、前記ネットワークに接続された端末装置の情報を収集する収集手段と、上記収集手段により収集された情報に基づき、前記送信禁止手段が実行されていない端末装置を検出し、その端末装置へ、前記送信禁止手段を実現するためのプログラムを送信し、そのプログラムをインストールさせることでその端末装置に前記送信禁止手段を実装させるインストール手段とを有することを特徴とする請求項１０記載のコンピュータシステム。
12. 前記管理端末は、前記端末装置の送信判定手段における判定条件の情報を前記端末装置へ送信し、
    前記端末装置は、前記管理端末からの判定条件の情報を受信し、その判定条件に基づいて判定を行うこと、
    を特徴とする請求項１０記載のコンピュータシステム。
13. 請求項４記載のネットワーク監視装置と、
    前記ネットワークに接続される通信デバイス、およびこの通信デバイスにより受信された前記ネットワーク監視装置からの通知をログデータとして記録する記録手段を有する管理端末とを備え、
    前記ネットワーク監視装置は、前記ネットワーク判定手段により不正パケットが検出された場合に、前記通信デバイスに、その旨の通知を上記管理端末へ送信させるネットワーク通知手段を有すること、
    を特徴とするコンピュータシステム。
14. 前記管理端末は、前記ネットワーク監視装置のネットワーク判定手段における判定条件の情報を前記ネットワーク監視装置へ送信し、
    前記ネットワーク監視装置は、前記管理端末からの判定条件の情報を受信し、その判定条件に基づいて判定を行うこと、
    を特徴とする請求項１３記載のコンピュータシステム。

Images