JP2005005809A - ネットワーク制御装置及びネットワーク制御方法 - Google Patents

Abstract

【課題】他ネットワークからの不正アクセスやコンピュータウイルスによる攻撃から確実にネットワークを保護するネットワーク制御装置、制御方法を提供すること。
【解決手段】内部ネットワークと外部ネットワークとの間に通信回線を物理的に切断・接続制御する装置を設け、外部ネットワークから内部ネットワークに対し不正アクセス、コンピュータウイルス、Ｄｏｓ攻撃等があった場合には、通信回線を物理的に切断制御することで、確実に内部ネットワークを保護する。
【選択図】図１

Description

【０００１】
【発明の属する技術分野】
本発明は、内部ネットワークを、ネットワークを介して接続された外部ネットワークからの不正アクセスやコンピュータウイルスなどの攻撃から保護するネットワーク制御装置及びネットワーク制御方法に関する。
【０００２】
【従来の技術】
近年、インターネットは全世界を相手にネットワーク網を確立し、急速に普及している。このインターネットの普及に伴い、コンピュータ端末やＬＡＮ（Ｌｏｃａｌ Ａｒｅａ Ｎｅｔｗｏｒｋ）やＷＡＮ（Ｗｉｄｅ Ａｒｅａ Ｎｅｔｗｏｒｋ）のサーバ等を公衆網に接続する機会が増加し、このような状況下で公衆側からの不正アクセスやコンピュータウイルスやＤｏｓ攻撃（Ｄｅｎｉａｌ ｏｆ Ｓｅｒｖｉｃｅ ａｔｔａｃｋ）などから端末やサーバを守る技術が重要となって来ている。
【０００３】
このような技術としては、例えば、ウイルス感染の可能性のあるファイルを情報処理装置に格納する際、この情報処理装置に接続されているネットワークとの接続を理論的に切断し、ファイルのウイルスの有無をチェックし、安全が確認された後に再度情報処理装置とネットワークとの接続を再開することでコンピュータウイルスの拡散を防止する技術が開示されている（例えば、特許文献１参照。）。
【０００４】
また、特定種類のトラフィックを遮断することによって端末やサーバのセキュリティーを向上させるファイアーウォール（Ｆｉｒｅ Ｗａｌｌ）機能を設ける技術が従来より知られている。
【０００５】
さらに、不正アクセスやコンピュータウイルスに対するセキュリティーを目的するものではないが、ネットワークのノード点を構成する各機器が、他の機器との接続のための複数のポートを有し、ネットワークに異常を検出した際には、このポートの接続・切断を自動的に変更してネットワークを正常に復帰させる技術が開示されている（例えば、特許文献２参照。）。
【０００６】
【特許文献１】
特開平１１−７３３８４号公報
【０００７】
【特許文献２】
特開２０００−２６９９６７号公報
【０００８】
【発明が解決しようとする課題】
しかしながら、近年では、不正アクセスやＤｏｓ攻撃の方法もより洗練された種のものが現れ、例えば、ネットワークコンピュータ内の特定の無防備な部分やセキュリティーの甘い部分を利用し攻撃を行うプログラムなどが現れて来ている。また、コンピュータウイルスもより凶悪化し、さらに、今後ますます巧妙、凶悪化する恐れがある。このような状況下においては、上述のセキュリティー技術で十分とは言い難い。
【０００９】
上述の特許文献１に記載の技術では、コンピュータウイルスの感染を防ぐために、情報処理装置とネットワークとを理論的に接続・切断するものであるが、例えば、この理論的接続・切断部分を攻撃するようなコンピュータウイルスの出現も予想される。そのような場合、このような理論的な接続・切断ではウイルス感染を確実に防止できるとは言えない。また、従来のファイアーウォール機能による不正アクセスを防止する技術においても、不正アクセスがより巧妙化し、その手口も常に新しくなる現状では、ソフトウェアレベルでのネットワークの遮断で十分であるとは言い難い。
【００１０】
そこで、本発明では、より巧妙かつ凶悪化する不正アクセス、コンピュータウイルス、Ｄｏｓ攻撃などに対する被害を確実に抑制するネットワーク制御装置及びネットワーク制御方法を提供することを目的とする。また、コンピュータウイルスなどの攻撃を受けた際には、その被害をネットワークを介して他へ拡散することを防止し、被害を最小限に抑制できるネットワーク制御装置及びネットワーク制御方法を提供することを目的とする。
【００１１】
【課題を解決するための手段】
前述の目的を達成するため、本発明のネットワーク制御装置では、ネットワーク間を結ぶネットワーク接続機器と、通信制御機器とを少なくとも具備し、この通信制御機器が前記ネットワーク接続機器の物理的な接続・切断を制御することで前記ネットワーク間を伝送する情報の通過・不通過を制御することを特徴とする。本発明ではネットワーク間の通信回線を物理的に切断する機能を備えているため、ソフトウエアにより理論的に切断する場合に比べ確実に通信を遮断できる。
【００１２】
また、本発明のネットワーク制御装置は、ネットワーク間のアクセス要求に対し、該ネットワーク間のアクセスの可否を判断する為の認証情報記憶部と、該認証情報記憶部の認証情報に基づき認証を行う認証部と、該認証部の認証結果に基づき前記アクセスの可否を判断するアクセス制御部とを少なくとも備え、該アクセス制御部の判断に基づき、前記ネットワーク接続機器の物理的な接続・切断を制御するよう構成することが好ましい。このような構成とすることで、他ネットワークからの不正アクセスの有無を自動的に認証でき、不正アクセスが有った場合には、自動的に通信回線を物理的に切断することで不正アクセスによる攻撃を確実に防ぐことが可能となる。
【００１３】
また、本発明のネットワーク制御装置は、ネットワーク間のアクセス要求を監視する監視部と、この監視部の監視結果に基づき前記アクセスの可否を判断するアクセス制御部とを備え、このアクセス制御部の判断に基づき、ネットワーク接続機器の物理的な接続・切断を制御する構成としても良い。このような構成とすることで、特定のサーバに対する過剰な負荷を加えることによる攻撃（Ｄｏｓ攻撃）からサーバを保護することが可能となる。
【００１４】
また、本発明のネットワーク制御装置は、ネットワーク間でアクセス要求が有った場合に、そのアクセス要求が求めているアクセス情報（通信情報）の検査を行うための検査情報記憶部と、この検査情報記憶部の検査情報に基づき前記通信情報の検査を行う検査部と、この検査部の検査結果に基づき前記ネットワーク間の前記通信情報の伝送の可否を判断するアクセス制御部とを備え、このアクセス制御部の判断に基づき前記ネットワーク接続機器の物理的な接続・切断を制御するよう構成することが好ましい。このような構成とすることで、予め決められた情報（検査情報記憶部に記憶された情報）によって、通信回線を伝送する通信情報をフィルタリングすることが可能となる。例えば、危険度の高い情報やコンピュータウイルス等を含む情報などを伝送不可（しかも物理的に回線を切断するため、確実に伝送不可）とすることによりセキュリティーを高めることが可能となる。また、自らがウイルス感染していた場合には、他への感染拡散を防止できる。
【００１５】
さらに、上記構成に加え、通信情報から伝送すべきでない情報を除去する除去部を備えた構成としても良い。この構成により、例えば、通信情報にウイルスが含まれていた場合には、そのウイルスを除去処理することが可能となる。
【００１６】
従って、上記構成により、ウイルスが検出された場合には通信回線は物理的に切断されるが、ウイルス除去が完了した場合には、通信回線を自動的に復旧することが可能となる。
【００１７】
さらに本発明では、通信制御機器に対して、ネットワーク内の端末からのコマンド入力により、自由にネットワーク回線の物理的な接続・切断を制御可能な構成とすることが好ましい。
【００１８】
また、本発明のネットワーク制御方法では、ネットワークから他のネットワークに対してのアクセス要求を受け付けるステップと、このアクセス要求が正当であるか否かを認証するステップと、この認証の結果、前記アクセス要求が正当であると認証された場合には前記ネットワーク間の通信回線を接続状態とし、一方、前記アクセス要求が正当でないと認証された場合には前記ネットワーク間の通信回線を物理的に切断するステップとから構成されることを特徴とする。本制御方法では、不正アクセスと認証された場合に、通信回線を物理的に切断するステップを備えるため、不正アクセスを確実に防止できる。
【００１９】
また、本発明のネットワーク制御方法では、ネットワークから他のネットワークに対してのアクセス要求を受け付けるステップと、このアクセス要求の回数を監視するステップと、この監視の結果、前記アクセス要求の回数が所定回数以上となった場合に前記ネットワーク間の通信回線を物理的に切断するステップと、を少なくとも含む構成としても良い。本構成では、Ｄｏｓ攻撃などの過剰負荷による攻撃を検出した場合、通信回線を物理的に切断することで確実にサーバ等を保護できる。
【００２０】
さらに、本発明のネットワーク制御方法では、アクセス要求に係る通信情報が伝送して良い情報であるか否かの検査ステップと、その結果に基づき通信回線の物理的な接続・切断を制御するステップとを含む構成としても良い。このような構成とすることで、ネットワーク間を伝送する通信情報を必要に応じ選別できる。従って、例えば、危険な情報（コンピュータウイルスなど）の伝送を遮断でき、よりセキュリティーの高いネットワーク制御方法を実現できる。
【００２１】
さらに上記構成に加え、検査ステップにより伝送すべきでないとされた場合に、その伝送すべきでないとする理由、例えば、コンピュータウイルスなどを除去するステップを含む構成とすることが好ましい。このような構成を備えることで、例えば、コンピュータウイルスが除去された場合には、自動的に通信回線の物理的な切断状態を接続状態へと切り替えることができ、より利便性の高いネットワーク制御方法を実現できる。
【００２２】
その他、ネットワーク内の端末からのコマンド入力により、通信回線の物理的な接続・切断を自由に制御するステップをさらに含む構成としても良い。
【００２３】
【発明の実施の形態】
本発明の実施の形態について以下に説明する。
【００２４】
図１は、本発明のネットワーク制御装置を適用したネットワーク構成（ネットワーク制御システム）の一例を示すブロック図である。本発明のネットワーク制御装置は、企業、学校、団体等などの自組織のネットワークである内部ネットワーク１とインターネット等の外部ネットワーク２との間に設けられ、これらネットワークをつなぐネットワーク接続機器３と、このネットワーク接続機器３の接続・切断を制御する通信制御機器４とを少なくとも具備して構成される。
【００２５】
この通信制御機器４は、不正アクセスやコンピュータウイルスなどを検出する機能を具備し、この検出結果に基づき、ネットワーク接続機器３の切断・接続（物理的な切断・接続）を切り替え、ネットワーク間を伝送する情報の通過・不通過を制御する。例えば、外部ネットワーク２より内部ネットワーク１に対し不正アクセスがあった場合、通信制御機器４にてその不正アクセスの情報を取得しネットワーク接続機器３を切断（物理的な切断）する。このように、本発明においては、不正アクセス等の攻撃に対して、ネットワークの接続を物理的に切断することで情報の通信を確実に遮断し、より確実に内部ネットワークの情報を保護することが可能となる。
【００２６】
図２は、本発明のネットワーク制御装置の一構成例を示すブロック図、図３はこのネットワーク制御装置の動作を示すフローチャートである。本発明のネットワーク制御装置を構成する通信制御機器４は、アクセス制御部７、認証部８、認証情報記憶部９とを具備し、ファイアーウォール（ｆｉｒｅ ｗａｌｌ）機能を有する。外部ネットワーク２よりアクセス要求が有った場合には（Ｓ１０１）、アクセス制御部７は、アクセス要求に対して認証用ユーザＩＤと認証用パスワード等の予め決められた認証情報の入力を求め、これに応じて入力された認証情報を認証部８に渡して認証要求を行う（Ｓ１０２）。認証部８は認証要求を受けてユーザの認証（認証判断）を行う（Ｓ１０３）が、この際に必要なユーザに関する認証用の情報を認証情報記憶部９から取得する。そしてユーザを認証すると、その認証結果をアクセス制御部７に送る。アクセス制御部７では、この認証結果が可（Ｙｅｓ）の場合（認証部８において、ユーザの認証ができた場合）には、ネットワーク接続機器３を接続状態とし（Ｓ１０４）、一方、認証結果が不可（Ｎｏ）の場合（認証部８において、ユーザの認証ができなかった場合）には、ネットワーク接続機器３を切断状態（物理的な切断状態）とする（Ｓ１０５）。このように、不正アクセスがあった場合には、ネットワーク接続機器３を物理的に切断することで、より確実に不正アクセスによる攻撃を防ぐことが可能となる。
【００２７】
なお、ネットワーク接続機器３としては、例えばＬＡＮカード、ハブ、ルータなどで、このネットワーク接続機器３の物理的切断は、これらＬＡＮカード、ハブ、ルータなどの接続ポートのケーブルを切断する（又は抜く）ことで行える。
【００２８】
また、ファイアーウォール機能としては、上記以外にもいろいろあり、別機能のものを設けても良い。
【００２９】
図４は、本発明のネットワーク制御装置の別の構成例を示すブロック図、図５はこのネットワーク制御装置の動作を示すフローチャートである。本発明のネットワーク制御装置を構成する通信制御機器４は、アクセス制御部７と、監視部１４とを少なくとも有する。外部ネットワーク２よりアクセス要求があると（Ｓ１１１）、監視部１４では、このアクセス要求の回数を監視する（Ｓ１１２）。そしてこの監視の結果、このアクセス要求が予め定めた所定回数以上となった場合には、アクセス制御部７からの命令によりネットワーク接続機器３を物理的な切断状態とし（Ｓ１１３）、一方、所定回数より少なければネットワーク接続機器３を物理的な接続状態とする（接続状態のまま維持する）（Ｓ１１４）。本構成では、多重アクセスによる過剰負荷による攻撃（Ｄｏｓ攻撃）から内部ネットワークのサーバのダウン等を有効に防止できる。
【００３０】
なお、上記構成では、監視部１４を別に設けたが、これをアクセス制御部７に含めた構成としても良い。また、本構成を上述の図２の構成と組み合わせても良い。さらに、上記監視部１４では、アクセス回数を監視する際、所定時間当たりのアクセス回数を監視する等の別機能を負荷しても良い。
【００３１】
図６には、前述の実施形態（図２に示した実施形態）とは異なる別機能のファイアーウォールを備え、かつコンピュータウイルスの検出機能をも備える更に別構成のネットワーク制御装置のブロック図を示す。本実施形態のネットワーク制御装置を構成する通信制御機器４は、アクセス制御部７、認証部８、認証情報記憶部９、検査部１０、検査情報記憶部１１とを具備し、認証部８及び認証情報記憶部９において不正アクセスを検出し、検査部１０及び検査情報記憶部１１において、コンピュータウイルス等の検出を行う。
【００３２】
なお、ここでは認証部８及び検査部１０をその機能の別を説明するため別構成で示したが、同一部分として構成してもよい。（例えば、認証部８及び検査部１０を同一として検査部１０にまとめ、不正アクセスの認証およびウイルスの検出をこの検査部１０で行う。）。そして、アクセス制御部７では、これらの検出結果を基に、ネットワーク接続機器３の接続・切断を制御する。
【００３３】
図７はこのネットワーク制御装置の動作の一例を示すフローチャートである。外部ネットワーク２や内部ネットワーク１内の端末６からアクセス要求が有った場合には（Ｓ２０１）、アクセス制御部７は、認証部８及び検査部１０に対してこのアクセス要求に係る通信情報を基にした認証要求（Ｓ２０２）及び検査要求（Ｓ２０４）を行う。認証部８は認証要求を受けて通信情報の認証判断を行う（Ｓ２０３）が、この際必要な認証用の情報、例えば、発信元アドレス、宛先アドレス、データ通信のサービス種別などは認証情報記憶部９から取得する。そして、認証判断を行うと、その認証結果をアクセス制御部７へ送る。アクセス制御部７では、認証できた場合（Ｙｅｓの場合）にはネットワーク接続機器３を接続状態にし（Ｓ２０６）、認証できなかった場合（Ｎｏの場合）にはネットワーク接続機器３を切断状態（物理的な切断状態）とする（Ｓ２０７）。
【００３４】
また、同様に、検査部１０では検査要求を受けて通信情報のウイルス検査を行う（Ｓ２０５）。検査に必要な情報は予め保持された検査情報記憶部１１から取得する。ウイルスの検査情報としては、例えば、既知のウイルスがそれぞれもっている固定長信号パターンなどである。そして、検査部１０ではアクセス制御部７に対して検査結果を通知する。アクセス制御部７では、検査の結果ウイルスが検出されなかった場合（Ｎｏの場合）にはネットワーク接続機器３を接続状態（Ｓ２０６）とし、一方、ウイルスが検出された場合（Ｙｅｓの場合）にはネットワーク接続機器３を切断状態（物理的な切断状態）とする（Ｓ２０７）。このような構成とすることで、ネットワーク間を伝送する通信情報に応じてその通過・不通過を制御でき、また、不正アクセスや、ウイルス等の存在が認証／検出された場合、自動的に通信回線を物理的に切断するため、内部ネットワークをより確実に保護することが可能となる。
【００３５】
なお、以上の実施形態では認証及びウイルス検査を同時進行で行う例を示したが、例えば、まず先に認証を行い、その後、必要な場合のみウイルス検査を行う等の別構成としても良い。
【００３６】
図８は、本発明のネットワーク制御装置の更に別構成を示すブロック図である。本構成は前実施形態（図６）の構成に加え、更に、認証部８から端末６への通知手段、端末６からアクセス制御部７へのコマンド入力手段、及び除去部１２とを具備する。
【００３７】
本実施形態においては、不正アクセスが検出された場合、この情報を端末６へ通知する。端末６では、この通知された情報を基に、アクセス制御部７へネットワーク接続機器３の接続・切断の命令（コマンド）を入力することが可能となる。
【００３８】
更に、検査部１０においてウイルスが検出された場合には、ネットワーク制御機器３は切断されるが、除去部１２においてウイルスを除去することが可能であり、ウイルスの除去が完了した場合に自動でネットワーク制御機器３の切断状態を接続状態へと切り替えることが可能となる。
【００３９】
図９はこのネットワーク制御装置の動作を示すフローチャートである。外部ネットワーク２から内部ネットワーク１へ、あるいは内部ネットワーク１から外部ネットワークへアクセス要求があった場合（Ｓ３０１）、アクセス制御部７は、認証部８及び検査部１０に対してそれぞれ、アクセス要求に係る通信情報を基にした認証要求（Ｓ３０２）及び検査要求（Ｓ３０９）を行う。認証部８は認証要求を受けて通信情報の認証判断を行う（Ｓ３０３）が、この際必要な認証用の情報、発信元アドレス、宛先アドレス、データ通信のサービス種別などは認証情報記憶部９から取得する。そして認証部８は認証結果をアクセス制御部７へ送ると伴に、認証結果が認証不可の場合（認証できなかった場合）には、認証ができなかった旨の認証不可通知を所定の端末６へ送る（Ｓ３０４）。また、認証結果を取得したアクセス制御部７では、認証できた場合（Ｙｅｓの場合）にはネットワーク接続機器３を接続状態にし（Ｓ３０５）、一方、認証できなかった場合（Ｎｏの場合）にはネットワーク接続機器３を切断状態（物理的な切断状態）とする（Ｓ３０７）。
【００４０】
また、本実施形態のネットワーク制御装置では、端末６からアクセス制御部７に対し、接続又は切断の命令（コマンド）を出すことが可能である。従って、ネットワーク接続機器３が接続状態の場合、アクセス制御部７では端末からの切断命令の有無を確認し、切断命令が無い場合にはネットワーク接続機器３を接続状態とし、一方、切断命令が有った場合にはネットワーク接続機器３を切断状態とする（Ｓ３０６）。また、ネットワーク接続機器３が切断状態の場合、アクセス制御部７では端末からの接続命令の有無を確認し、接続命令が無い場合にはネットワーク接続機器３を切断状態とし、一方、接続命令が有った場合いはネットワーク接続機器３を接続状態とする（Ｓ３０８）。
【００４１】
また、検査部１０では検査要求を受けて通信情報のウイルス検査を行う（Ｓ３１０）。検査に必要な情報は予め保持された検査情報記憶部１１から取得する。ウイルスの検査情報としては、例えば、既知のウイルスがそれぞれもっている固定長信号パターンなどである。そして、検査部１０ではアクセス制御部７に対して検査結果を通知する。アクセス制御部７では、検査の結果ウイルスが検出されなかった場合にはネットワーク接続機器３を接続状態（Ｓ３０５）とし、一方、ウイルスが検出された場合にはネットワーク接続機器３を切断状態（物理的な切断状態）（Ｓ３０７）とする。
【００４２】
また特にウイルスが検出された場合には、検査部１０から除去部１２に対しウイルス検出された通信情報を送り、ウイルスの除去処理を行う（Ｓ３１１）。そして、この除去処理完了の後、検査部１０にこの処理後の通信情報を送り、認証部１０では再度ウイルス検査を行い（Ｓ３１０）、その結果をアクセス制御部７に通知する。アクセス制御部７では通信情報にウイルスが存在しないとの検査結果を取得した場合には、ネットワーク接続機器３を接続状態とし（Ｓ３０５）、一方、除去部１２での処理にもかかわらずウイルスの存在が認められるとの検査結果を取得した場合には、ネットワーク接続機器３を物理的な切断状態とする（Ｓ３０７）。
【００４３】
本実施形態では、認証部８において認証できなかった場合、所定の端末６に対し認証不可通知を送る。このため、この認証不可通知を受けた端末６では、その認証不可通知の情報を確認することで、当該アクセス要求が正当な者からのアクセスであるか否かなどを確認することができる。したがって、この確認作業により、仮にアクセス許可しても良いと判断した場合には、アクセス制御部７に対し、ネットワーク接続機器３の接続命令を出すことで当該アクセス者の通信を許可することが可能となる。
【００４４】
また、各端末６では、ＦＤＤ（フレキシブルディスクドライブ）を介した物理媒体や電話回線による外部ネットワークへの直接通信などにより情報の取得が可能である。このため各端末においては、このような内部ネットワーク網を介さない情報の取得によりコンピュータウイルスに感染することも考えられる。このような場合、従来では、ネットワーク網を介してウイルスが他へ拡散しないよう、通信ケーブルなどを手動で切断することが必要であった。しかしながら、本実施形態の構成では、各端末６からアクセス制御部７へネットワーク接続機器３の接続・切断命令を出すことができる。従って、ある端末内にウイルスの存在が確認された場合には、端末からアクセス制御部７へネットワーク接続機器３の制御命令（切断命令）を出すだけでネットワーク回線の物理的切断を実現できる。
【００４５】
このように、本実施の形態では通信情報の認証機能および検査機能により不正アクセスやウイルス等の攻撃から自動的にネットワーク回線を切断する機能を備えるため、よりセキュリティーの高いシステムを構成できる。また、通信情報に含まれるウイルスを自動で除去する機能を備えているため、ウイルス除去ができた場合には自動でネットワーク回線を復旧することが可能となる。また、端末からのコマンド入力によりネットワーク回線の切断・接続を自由に制御できるため、より自由度の高いネットワークシステムを構成することが可能となる。
【００４６】
なお、本実施の形態では、検査部１０、検査情報記憶部１１、除去部１２の機能として、コンピュータウイルスの検査、及びその除去を例として示したが、本発明はこれに限定されるものではない。即ち、検査部１０での機能は、通信情報が通信回線を伝送して良い情報であるか否かの検査を行う機能を有するものであり、（伝送の可否の判断理由は任意に設定可能であり、コンピュータウイルスを対象とするものに限られない）、また同様に、除去部１２の機能はウイルス除去に限らず、ネットワーク間を伝送する通信情報に制限を加える目的で任意に設定でき、通信情報のうち、予め決めた情報を除去する機能を有するもので有ればよい。
【００４７】
図１０は本発明のネットワーク制御装置を適用したネットワーク構成（ネットワーク制御システム）の別形態を示すブロック図である。図に示すように、本発明のネットワーク制御装置１３は外部ネットワークと内部ネットワークとの間に設けるのみではなく、その他、内部ネットワークを構成するサブネットワーク間に設けても良い。即ち、本発明のネットワーク制御装置は、ネットワーク回線のいずれに設けても同様の効果を期待できる。
【００４８】
特に、当該構成のようにネットワーク制御装置を内部ネットワーク内に複数設けた構成の場合、例えば、有る端末がウイルス感染された場合、その拡散防止のために内部ネットワーク全体を外部ネットワークと切断する必要はない。例えば、端末６−１がウイルス感染された場合には、サブネットワーク５−１とサブネットワーク５−２の間のみを物理的切断することで足りる。これにより、サブネットワーク５−３では外部ネットワークと切断されず、より効率的なネットワークシステムを構成できる。
【００４９】
なお、以上説明した実施形態では、ネットワーク制御装置を内部ネットワーク内に設ける構成を示したが、外部ネットワークと内部ネットワークとの間に独立して設ける構成としても良い。
【００５０】
【発明の効果】
以上述べたように、本発明によれば、通信の接続・切断の制御を、ネットワーク回線の物理的な接続・切断で行うため、不正アクセス等の攻撃があった場合においても確実に被害を抑えることが可能である。また、ファイアウォール機能やコンピュータウイルスなどの検査、除去の機能を具備しているため、不正アクセスやウイルス等による攻撃を自動で検出し、自動で除去することが可能で、ネットワーク回線の物理的な切断・接続状態を自動で制御できる。また、各端末からネットワーク回線の物理的な接続・切断要求を行うことも可能であり、自由度の高いネットワークを構成することが可能である。
【００５１】
【図面の簡単な説明】
【図１】本発明のネットワーク制御システムの一構成例を示すブロック図である。
【図２】本発明のネットワーク制御装置の一構成例を示すブロック図である。
【図３】図２のネットワーク制御装置の動作を示すフローチャートである。
【図４】本発明のネットワーク制御装置の他の構成例を示すブロック図である。
【図５】図４のネットワーク制御制御装置の動作を示すフローチャートである。
【図６】本発明のネットワーク制御装置の更に他の構成例を示すブロック図である。
【図７】図６のネットワーク制御装置の動作を示すフローチャートである。
【図８】本発明のネットワーク制御装置の更に他の構成例を示すブロック図である。
【図９】図８のネットワーク制御装置の動作を示すフローチャートである。
【図１０】本発明のネットワーク制御システムの別構成例を示すブロック図である。
【符号の説明】
１ 内部ネットワーク
２ 外部ネットワーク
３ ネットワーク接続機器
４ 通信制御機器
５−１、５−２、５−３ サブネットワーク
６、６−１ 端末
７ アクセス制御部
８ 認証部
９ 認証情報記憶部
１０ 検査部
１１ 検査情報記憶部
１２ 除去部
１３ ネットワーク制御装置
１４ 監視部

Claims (13)

1. ネットワーク間を結ぶネットワーク接続機器と、通信制御機器とを少なくとも具備するネットワーク制御装置であって、前記通信制御機器が前記ネットワーク接続機器の物理的な接続・切断を制御することで前記ネットワークの間を伝送する情報の通過・不通過を制御するネットワーク制御装置。
2. 前記通信制御機器は、前記ネットワーク間のアクセス要求に対し、該ネットワーク間のアクセスの可否を判断する為の認証情報記憶部と、該認証情報記憶部の認証情報に基づき認証を行う認証部と、該認証部の認証結果に基づき前記アクセスの可否を判断するアクセス制御部とを備え、該アクセス制御部の判断に基づき、前記ネットワーク接続機器の物理的な接続・切断を制御する請求項１記載のネットワーク制御装置。
3. 前記通信制御機器は、前記ネットワーク間のアクセス要求を監視する監視部と、該監視部の監視結果に基づき前記アクセスの可否を判断するアクセス制御部とを備え、該アクセス制御部の判断に基づき、前記ネットワーク接続機器の物理的な接続・切断を制御する請求項１又は２記載のネットワーク制御装置。
4. 前記通信制御機器は、前記ネットワーク間のアクセス要求に係る通信情報の検査を行うための検査情報記憶部と、該検査情報記憶部の検査情報に基づき前記通信情報の検査を行う検査部と、該検査部の検査結果に基づき前記ネットワーク間の前記通信情報の伝送の可否を判断するアクセス制御部とを備え、該アクセス制御部の判断に基づき前記ネットワーク接続機器の物理的な接続・切断を制御する請求項１乃至３のいずれかに記載のネットワーク制御装置。
5. 前記通信制御機器は、前記通信情報からその一部又は全ての情報を除去処理する除去部とを備え、前記ネットワーク間を伝送する通信情報に制限を加えることが可能な請求項４記載のネットワーク制御装置。
6. 前記通信制御機器は、前記検査部における検査の結果、前記検査情報記憶部の検査情報に含まれるコンピュータウイルスが検出された場合、該コンピュータウイルスを除去するための除去部を備え、該除去部において該コンピュータウイルスの除去処理を行い、該除去処理の結果に基づき前記アクセス制御部が前記ネットワーク接続機器の物理的な接続・切断を制御する請求項４記載のネットワーク制御装置。
7. 前記ネットワーク内の端末には、前記通信制御機器に対しコマンドを入力する手段を有し、該コマンド入力により前記ネットワーク接続機器の物理的な接続・切断を制御することが可能である請求項１乃至６のいずれかに記載のネットワーク制御装置。
8. ネットワークから他のネットワークに対してのアクセス要求を受け付けるステップと、該アクセス要求が正当であるか否かを認証するステップと、該認証の結果、前記アクセス要求が正当であると認証された場合には前記ネットワーク間の通信回線を接続状態とし、一方、前記アクセス要求が正当でないと認証された場合には前記ネットワーク間の通信回線を物理的に切断するステップと、を少なくとも含むネットワーク制御方法。
9. ネットワークから他のネットワークに対してのアクセス要求を受け付けるステップと、該アクセス要求の回数を監視するステップと、該監視の結果、前記アクセス要求の回数が所定回数以上となった場合に前記ネットワーク間の通信回線を物理的に切断するステップと、を少なくとも含むネットワーク制御方法。
10. ネットワークから他のネットワークに対してのアクセス要求を受け付けるステップと、該アクセス要求に係る通信情報が伝送して良い情報であるか否かの検査を行うステップと、該検査の結果、前記通信情報が伝送して良い情報であると判断された場合には前記ネットワーク間の通信回線を接続状態とし、一方、前記通信情報が伝送すべきでない情報であると判断された場合には前記ネットワーク間の通信回線を物理的に切断するステップと、を少なくとも含むネットワーク制御方法。
11. 前記通信情報が伝送すべきでない情報であると判断された場合には、該伝送すべきでないとする情報を前記通信情報から除去するステップと、該ステップの結果、伝送すべきでない情報が除去された場合には前記ネットワーク間の通信回線を接続状態とし、一方、前記伝送すべきでない理由が解消できない場合には前記ネットワーク間の通信回線を物理的な切断状態とするステップと、を更に含む請求項１０記載のネットワーク制御方法。
12. 前記ネットワーク内の端末からのコマンド入力の有無を確認し、該コマンド入力が有った場合には、その命令に基づき前記ネットワーク間の通信回線の物理的な接続・切断を制御するステップと、を更に含む請求項８乃至１１のいずれかに記載のネットワーク制御方法。
13. 第１ネットワークと、第２ネットワークと、該第１ネットワークと第２ネットワーク間の情報の伝送を制御する請求項１乃至７のいずれかに記載のネットワーク制御装置とを具備するネットワーク制御システム。

Images