JP2006197518A - ネットワーク管理方法およびネットワーク管理システム - Google Patents

Abstract

【課題】 管理対象外の通信端末や管理対象であっても一度ＬＡＮから切り離され管理外のネットワークに接続された可能性のある通信端末をＬＡＮに不用意に接続させず、ウイルスやワームの感染拡大を防止し、セキュリティを強化する。
【解決手段】 ネットワーク中継装置２０に接続する各通信端末１１〜１３には、端末終了時刻管理エージェントを入れる。エージェントが無い通信端末は、管理対象外通信端末と判断し、通信を許可しない。エージェントがある通信端末を接続したら、当該通信端末の終了時刻テーブルから終了時刻を取得し、ＬＡＮ内で管理する接続履歴テーブル２３に格納された当該通信端末の最終接続時刻と比較し、時差が所定値以下であれば通信を許可し、所定値を越えれば未登録の通信端末か管理外ネットワークに接続された可能性がある通信端末と判断し、通信を許可しない。
【選択図】 図１

Description

本発明は、ネットワーク管理方法およびネットワーク管理システムに係り、特に、コンピュータウイルスやワームの感染拡大を防止し、ネットワークのセキュリティを強化する手段に関する。

通常、ネットワーク管理者は、ネットワークに接続する通信端末を把握するため、ＬＡＮに接続を許可された通信端末の情報を登録し、管理している。

従来のネットワーク中継装置では、通信端末が接続された際に、登録された通信端末の通信を許可し、登録されていない通信端末の通信を許可しないことはできる。

しかし、一度登録した通信端末を一時的に管理外のネットワークに接続した後に戻ってきて、ネットワーク中継装置に接続した場合でも、その通信端末は登録された通信端末なので、通信を許可してしまう。

関連する従来技術としては、マネージャがネットワークを介して複数のエージェントからログデータを収集するシステムにおいて、共通的なデータ形式に基づいてログデータを管理するとともに、マネージャの時刻に基づいたログデータを管理する方法も提案されている(例えば、特許文献１参照)。
特開平１０−２９３７０４号公報(第３〜４頁 図１〜図４)

一度登録され管理対象となった通信端末であっても、ＬＡＮ接続を解除し、インターネットなど管理外のネットワークに一度接続すれば、コンピュータウイルスやワームに感染する恐れがあり、それを再度ＬＡＮに接続した際に、コンピュータウイルスやワームそれらをＬＡＮ内に拡散させてしまう可能性がある。

これを防ぐためには、管理対象のネットワーク中継装置に接続されていない状態で通信端末が起動されたかどうかを調べ、起動されているならば通信を遮断し、ネットワーク管理者の適切な判断・処置を受ける必要がある。

しかし、上記従来技術では、マネージャとエージェントとに生ずるかもしれない時差を積極的に活用し、管理対象のネットワーク中継装置に接続されていない状態で通信端末が起動されたかどうかを調べようという考えは無かった。

本発明の課題は、管理対象外の通信端末や管理対象であっても一度ＬＡＮから切り離され管理外のネットワークに接続された可能性のある通信端末をＬＡＮに不用意に接続させず、コンピュータウイルスやワームの感染拡大を防止し、セキュリティを強化することである。

本発明は、上記課題を解決するために、登録されてネットワーク中継装置に接続可能な各通信端末には、端末終了時刻管理プログラム(エージェント)をインストールする。

ネットワーク中継装置は、エージェントがインストールされていない通信端末が接続されても、管理対象外通信端末と判断し、通信を許可しない。

また、ネットワーク中継装置は、エージェントをインストールした通信端末が接続されたら、エージェントが管理する終了時刻テーブルに格納された当該通信端末の終了時刻を取得し、ＬＡＮ内の機器が管理する接続履歴テーブルに格納された当該通信端末の最終接続時刻と比較する。

時差が所定値以下であれば、管理外ネットワークへの接続は無かったと判断し、通信を許可する。一方、時差が所定値を越えていれば、管理外ネットワークに接続された可能性があると判断し、通信を許可しない。

本発明のネットワーク管理装置によれば、管理対象外の通信端末および一度ＬＡＮから切り離し管理外のネットワークに接続した可能性のある管理対象の通信端末をネットワーク中継装置に接続した場合、通信を自動的に遮断できる。

したがって、管理対象外のネットワークからコンピュータウイルスやワームなどをＬＡＮ内に持ち込まれ、感染し拡大することを未然に防止し、ＬＡＮのネットワークセキュリティを高めることができる。

次に、図１〜図６を参照して、本発明によるネットワーク管理方法およびネットワーク管理システムの実施例を説明する。

図１は、本発明によるネットワーク管理システムの実施例１の系統構成を示すブロック図である。

本実施例１のネットワーク管理システムは、ネットワーク中継装置２０と、そのポートを介して接続された複数の通信端末１１〜１３とからなる。

ネットワーク中継装置２０は、そのポートを介して上位のネットワークに接続されている。

図３は、各通信端末が持つ終了時刻テーブルの一例を示す図である。

各通信端末１１〜１３は、通信端末を終了した時刻を格納する終了時刻テーブルを持っている。

図４は、ＬＡＮ内の機器が保持するＡＲＰテーブルの一例を示す図である。

ネットワーク中継装置２０は、ネットワーク中継装置２０に接続された各通信端末１１〜１３のインターネットプロトコル(ＩＰ)アドレスと媒体アクセス制御(ＭＡＣ)アドレスとを対応させるアドレスレゾリューションプロトコル(ＡＲＰ)テーブル２２を備えている。

図５は、ＬＡＮ内の機器が保持する接続履歴テーブルの一例を示す図である。

ネットワーク中継装置２０は、各通信端末１１〜１３がネットワークに接続されていた最終時刻を格納する接続履歴テーブルと、各通信端末１１〜１３の接続状態を管理する処理装置２１とを備えている。

図６は、本発明によるネットワーク管理システムにおける通信端末とネットワーク中継装置との処理手順を示すフローチャートである。このフローチャートは、通信端末側の処理とネットワーク中継装置側の処理とを分けて記載してある。

ステップ５で、新規に登録する際、ネットワーク中継装置２０に接続する通信端末には、端末終了時刻管理プログラム(エージェント)をインストールする。

ステップ１０で、インストール時、インストールした時刻を終了時刻の初期値として、終了時刻テーブルに格納する。

ステップ１５で、通信端末をネットワーク中継装置２０に接続する。予め登録されたエージェントがインストールされている通信端末の場合は、ネットワーク接続装置２０に接続した状態で電源を投入する。

ステップ２０で、ネットワーク中継装置２０に接続した通信端末は、他の通信端末と通信するために、ＡＲＰリクエストを送信する。

ステップ２５で、ネットワーク中継装置２０は、ネットワーク中継装置以外の機器へのＴＣＰ／ＩＰ通信をデフォルトでブロックする。

ステップ３０で、ネットワーク中継装置２０は、ＡＲＰリクエストを送信した通信端末が自身のＡＲＰテーブル２２に存在するかを確認する。

ＡＲＰテーブル２２に当該通信端末が存在していれば、既にＴＣＰ／ＩＰ通信が確立しているので、ステップ６０でＴＣＰ／ＩＰ通信のブロックを解除し、通信を許可する。

ステップ３０でＡＲＰテーブル２２に当該通信端末が存在していなければ、ステップ３５で、当該通信端末のＭＡＣアドレスをＡＲＰテーブル２２に格納し、当該通信端末とのＴＣＰ／ＩＰ通信を確立する。

ステップ４０で、当該通信端末から、終了時刻テーブルに格納されている終了時刻を取得する。

終了時刻テーブルに格納されている終了時刻を取得できない場合は、エージェントがインストールされておらず管理外の通信端末であると判断し、ステップ６５で、通信端末の画面にユーザへの通知とネットワーク管理者への連絡を促すメッセージとを表示する。この場合は、ＴＣＰ／ＩＰ通信のブロックは解除されないので、コンピュータウイルスやワームの侵入を阻止できる。

ステップ４０で当該通信端末から終了時刻を取得できた場合、ステップ４５で、ネットワーク中継装置２０が持つ接続履歴テーブル２３に当該通信端末が存在するかどうか確認する。

接続履歴テーブル２３に当該通信端末が存在しなければ、新規登録した通信端末の最初の接続と判断し、ステップ５５で、接続履歴テーブル２３に追加する。

ステップ６０で、ＴＣＰ／ＩＰ通信のブロックを解除し、通信を許可する。

ステップ４５で接続履歴テーブル２３に当該通信端末が存在していれば、ステップ５０で、接続履歴テーブル２３に格納された最終接続時刻と当該通信端末から取得した終了時刻との差をとり、予めネットワーク管理者により設定された時差以下であるかを確認する。

設定された時差を越えていれば、管理されていないネットワークに接続されたと判断し、ステップ６５で、通信端末の画面にユーザへの通知と管理者への連絡を促すメッセージを表示する。この場合は、ＴＣＰ／ＩＰ通信のブロックは解除されないので、コンピュータウイルスやワームの侵入を阻止できる。

ステップ６０で、ステップ５０で最終接続時刻と終了時刻との差が設定された時差以下であれば、当該通信端末は管理外のネットワークに接続していないと判断し、ＴＣＰ／ＩＰ通信のブロックを解除し、通信を許可する。

ステップ７０で、他の通信端末からＡＲＰリプライを受信すると、当該通信端末のＭＡＣアドレスを取得し、ＴＣＰ／ＩＰ通信が確立する。

ステップ７５〜ステップ８５のループ処理でＴＣＰ／ＩＰ通信をしている間に、通信端末にインストールされたエージェントは、ステップ８０で、不意の電源断がある場合に配慮して、所定時間ごとに終了時刻テーブルに時刻を格納する。

ステップ９０で、ネットワーク中継装置２０に接続した通信端末の電源断時に、当該通信端末にインストールされたエージェントは、通信端末の終了時刻を終了時刻テーブルに格納する。

ステップ９５で、ＡＲＰテーブル２２に格納された通信端末のＭＡＣアドレスとＩＰアドレスとは、一定時間で消去される。

ＡＲＰテーブル２２からある通信端末が消去された際に、その時刻を接続履歴テーブル２３に当該通信端末の最終接続時刻として格納する。接続履歴テーブル２３は、意図的に消去しない限り、消去されないようにしてある。

実施例１のネットワーク管理システムによれば、管理対象外の通信端末や管理対象であっても一度ＬＡＮから切り離され管理外のネットワークに接続された可能性のある通信端末をＬＡＮに不用意に接続させず、コンピュータウイルスやワームの感染拡大を防止し、セキュリティを強化できる。

図２は、本発明によるネットワーク管理システムの実施例２の系統構成を示すブロック図である。

本実施例２のネットワーク管理システムは、ネットワーク中継装置３０と、そのポートを介して接続された複数の通信端末１１〜１３とからなる。

ネットワーク中継装置３０は、そのポートおよび上位のネットワークを介して、サーバ４０に接続されている。

本実施例２においては、ＡＲＰテーブル４１および接続履歴テーブル４２が、ネットワーク中継装置３０ではなく、ネットワークに接続されたサーバ４０に設けられている。

実施例１でネットワーク中継装置２０が実行していた
Ａ．接続を求めてきた通信端末の前記終了時刻テーブル内の終了時刻と前記接続履歴テーブルに格納されている最終接続履歴と比較する比較機能
Ｂ．時差が所定値以下であれば通信を許可し時差が所定値を越えていれば新たな通信端末または管理外ネットワークに接続した可能性がある通信端末と判断し当該通信端末の通信を拒否する判定機能
をサーバ４０が実行することになる。

本実施例２の通信端末とサーバ４０との処理手順は、図６に示した実施例１における通信端末とネットワーク中継装置２０との処理手順と同様なので、説明を省略する。

本実施例２は、ＡＲＰテーブル２２および接続履歴テーブル２３を持たない既存のネットワーク中継装置３０を用いるネットワーク管理システムにも適用できる利点がある。

本発明によるネットワーク管理システムの実施例１の系統構成を示すブロック図である。 本発明によるネットワーク管理システムの実施例２の系統構成を示すブロック図である。 各通信端末が持つ終了時刻テーブルの一例を示す図である。 ＬＡＮ内の機器が保持するＡＲＰテーブルの一例を示す図である。 ＬＡＮ内の機器が保持する接続履歴テーブルの一例を示す図である。 本発明によるネットワーク管理システムにおける通信端末とネットワーク中継装置との処理手順を示すフローチャートである。

符号の説明

１１ 通信端末
１２ 通信端末
１３ 通信端末
２０ ネットワーク中継装置
２１ 処理装置
２２ ＡＲＰテーブル
２３ 接続履歴テーブル
３０ ネットワーク中継装置
４０ サーバ
４１ ＡＲＰテーブル
４２ 接続履歴テーブル

Claims (5)

1. ネットワーク中継装置と複数の通信端末とを含み、各通信端末にインターネットプロトコルアドレスを静的に割り当てているローカルエリアネットワークのネットワーク管理方法において、
   前記各通信端末が、端末終了時刻管理プログラムを動作させ、当該通信端末の終了時刻を終了時刻テーブルに格納し、
   前記ネットワーク中継装置が、各通信端末の最終接続履歴を接続履歴テーブルに格納し、
   通信端末が接続を求めてきた時に、当該通信端末の前記終了時刻テーブルから終了時刻を取得して前記接続履歴テーブルに格納されている最終接続履歴と比較し、
   時差が所定値以下であれば、通信を許可し、
   時差が所定値を越えていれば、新たな通信端末または管理外ネットワークに接続した可能性がある通信端末と判断して当該通信端末のユーザおよびネットワーク管理者に通知し、当該通信端末に通信を許可しないことを特徴とするネットワーク管理方法。
2. ネットワーク中継装置と複数の通信端末とサーバとを含み、各通信端末にインターネットプロトコルアドレスを静的に割り当てているローカルエリアネットワークのネットワーク管理方法において、
   前記各通信端末が、端末終了時刻管理プログラムを動作させ、当該通信端末の終了時刻を終了時刻テーブルに格納し、
   前記サーバが、各通信端末の最終接続履歴を接続履歴テーブルに格納し、
   通信端末が接続を求めてきた時に、当該通信端末の前記終了時刻テーブルから終了時刻を取得して前記接続履歴テーブルに格納されている最終接続履歴と比較し、
   時差が所定値以下であれば、通信を許可し、
   時差が所定値を越えていれば、新たな通信端末または管理外ネットワークに接続した可能性がある通信端末と判断して当該通信端末のユーザおよびネットワーク管理者に通知し、当該通信端末に通信を許可しないことを特徴とするネットワーク管理方法。
3. ネットワーク中継装置と複数の通信端末とを含み、各通信端末にインターネットプロトコルアドレスを静的に割り当てているローカルエリアネットワークのネットワーク管理システムにおいて、
   前記各通信端末が、端末終了時刻管理プログラムと、当該通信端末の終了時刻を格納する終了時刻テーブルとを備え、
   前記ネットワーク中継装置が、各通信端末の最終接続履歴を格納する接続履歴テーブルと、接続を求めてきた通信端末の前記終了時刻テーブル内の終了時刻と前記接続履歴テーブルに格納されている最終接続履歴と比較し、時差が所定値以下であれば通信を許可し時差が所定値を越えていれば新たな通信端末または管理外ネットワークに接続した可能性がある通信端末と判断し当該通信端末の通信を拒否する処理装置とを備えたことを特徴とするネットワーク管理システム。
4. ネットワーク中継装置と複数の通信端末とサーバとを含み、各通信端末にインターネットプロトコルアドレスを静的に割り当てているローカルエリアネットワークのネットワーク管理システムにおいて、
   前記各通信端末が、端末終了時刻管理プログラムと、当該通信端末の終了時刻を格納する終了時刻テーブルとを備え、
   前記サーバが、各通信端末の最終接続履歴を格納する接続履歴テーブルと、接続を求めてきた通信端末の前記終了時刻テーブル内の終了時刻と前記接続履歴テーブルに格納されている最終接続履歴と比較する比較手段と、時差が所定値以下であれば通信を許可し時差が所定値を越えていれば新たな通信端末または管理外ネットワークに接続した可能性がある通信端末と判断し当該通信端末の通信を拒否する判定手段とを備えたことを特徴とするネットワーク管理システム。
5. ネットワーク中継装置と複数の通信端末とを含み、各通信端末が端末終了時刻管理プログラムと当該通信端末の終了時刻を格納する終了時刻テーブルとを有しインターネットプロトコルアドレスを静的に割り当てられているローカルエリアネットワークのネットワーク管理システム用サーバにおいて、
   各通信端末の最終接続履歴を格納する接続履歴テーブルと、接続を求めてきた通信端末の前記終了時刻テーブル内の終了時刻と前記接続履歴テーブルに格納されている最終接続履歴と比較する比較手段と、時差が所定値以下であれば通信を許可し時差が所定値を越えていれば新たな通信端末または管理外ネットワークに接続した可能性がある通信端末と判断し当該通信端末の通信を拒否する判定手段とを備えたことを特徴とするネットワーク管理システム用サーバ。
   
   

Images