JP2006243973A - 情報監視システム - Google Patents

Abstract

【課題】監視装置における監視機能の追加や変更を容易に行うことを可能とする。
【解決手段】メモリ装置Ａｉ，Ｂｉ，ＣｉのＵＳＢコネクタ７が監視装置ＳｋのＵＳＢコネクタ６に差し込まれて接続されると、監視装置ＳｋのＵＳＢホストコントローラ５がそれを検知してＵＳＢターゲットコントローラ８に対して機能モジュールのロードを要求し、その要求に応じてＵＳＢターゲットコントローラ８がフラッシュメモリ９に格納されている機能モジュールを読み出してＵＳＢホストコントローラ５に転送する。ＵＳＢホストコントローラ５は転送された機能モジュールをＣＰＵ１に引き渡し、ＣＰＵ１では引き渡された機能モジュールをメモリ２の主メモリにロードするとともにＯＳの制御下で当該機能モジュールが実行される。
【選択図】 図１

Description

本発明は、インターネットやローカルエリアネットワーク（ＬＡＮ）等のネットワークにおけるセキュリティ状態、例えば、ウイルスやワームのような不正なプログラムの伝送などを監視する情報監視システムに関するものである。

近年、ネットワークに接続された端末がウイルスやワームなどの不正なプログラムに感染したり、あるいは、ネットワークへの参加が許可されていない端末が不正なアクセスを行うことによるネットワークの障害が急激に増加している。そこで、伝送路を介して伝送される情報を監視して、ウイルスなどの不正なプログラムのネットワークへの侵入や不正な端末のアクセスなどを防止するための情報監視システムが種々提案されている（例えば、特許文献１参照）。

特許文献１に記載されている従来システムでは、各端末に設けられている端末状態監視手段が管理サーバ（管理装置）の記憶手段に記憶されている監視ポリシーを取得し、この監視ポリシーに基づいて端末の状態を監視する。ユーザの使用する端末の状態が監視ポリシーに違反している場合、端末から管理サーバに違反情報を通知し、通知された違反情報に基づいて管理サーバから当該端末に対して通信機能を使用不可とする指令を送信する。
特開２００４−３５５４５０号公報

ところで上記従来システムでは、端末に対する監視機能を追加するには端末状態監視手段（実体はプログラム）を変更する必要があり、ユーザ自身が行うことは容易ではなかった。

本発明は上記事情に鑑み点されたものであり、その目的は、監視装置における監視機能の追加や変更を容易に行うことができる情報監視システムを提供することにある。

請求項１の発明は、上記目的を達成するために、互いに伝送路を介して情報を授受する複数の端末と、端末間を接続する伝送路上に設けられて情報の流れを制御する１乃至複数の制御装置と、伝送路を介して伝送されるウイルスやワームなどの不正なプログラム、許可されていない不正なアクセス等を監視する複数の監視装置と、各監視装置毎に設定される監視ポリシーに基づき監視装置の監視結果に対応した処置を制御装置に行わせる管理装置と、複数種類の監視機能のうちの少なくとも一種類の監視機能を監視装置で実現するためのプログラムを記憶したメモリ装置とで構成され、各監視装置は、１乃至複数のメモリ装置が着脱自在に接続され且つ接続されたメモリ装置から前記プログラムを読み込む読込手段と、読込手段で読み込んだプログラムを実行して前記監視機能を実現するとともに当該メモリ装置と読込手段の接続状態が解除されたときには当該プログラムの実行を中止して監視機能を停止させる監視機能実行手段とを備えたことを特徴とする。

請求項２の発明は、請求項１の発明において、各監視装置は、監視機能実行手段で実行を開始した監視機能の種類を伝送路を介して管理装置に通知する通知手段を備え、管理装置は、監視ポリシーを記憶する記憶手段と、監視装置から開始が通知された種類の監視機能を含む監視ポリシーを作成して記憶手段に記憶する監視ポリシー作成手段とを備えたことを特徴とする。

請求項３の発明は、請求項１又は２の発明において、各監視装置は、監視機能実行手段で実行を停止した監視機能の種類を伝送路を介して管理装置に通知する前記通知手段を備え、管理装置は、監視装置から停止が通知された種類の監視機能を含まない監視ポリシーを作成して記憶手段に記憶した監視ポリシーを更新する監視ポリシー更新手段を備えたことを特徴とする。

請求項４の発明は、請求項１又は２の発明において、各監視装置は、監視機能実行手段で実行を停止した監視機能の種類を伝送路を介して管理装置に通知する前記通知手段を備え、管理装置は、監視装置から停止が通知された種類の監視機能を削除して監視ポリシーを更新する監視ポリシー更新手段を備えたことを特徴とする。

請求項５の発明は、請求項３又は４の発明において、通知手段は、各監視装置に個別に付与された識別符号と、監視機能の各種類毎に割り当てられた監視機能番号と、監視機能の実行状態とを通知することを特徴とする。

請求項６の発明は、請求項５の発明において、監視ポリシー作成手段並びに監視ポリシー更新手段は、通知手段から通知された識別符号に基づいて記憶手段に記憶されている監視装置の監視ポリシーを検索し、監視機能番号及び監視機能の実行状態に基づいて監視ポリシーを作成又は更新することを特徴とする。

本発明によれば、監視装置の接続手段にメモリ装置を接続すれば、メモリ装置に記憶されているプログラムが監視装置に読み込まれ且つ実行されることで監視機能が実現されるので、監視装置における監視機能の追加や変更を容易に行うことができるという効果がある。

以下、図面を参照して本発明の一実施形態について詳細に説明する。

本実施形態は、例えば１００ＢＡＳＥ−ＴＸ（ＩＥＥＥ８０２．３ｕ）の規格に準拠したスター型ＬＡＮに本発明の技術思想を適用したものであって、図１に示すように複数の端末（クライアント）Ｘ１，Ｘ２，Ｘ３と、端末Ｘ１，Ｘ２，Ｘ３間を接続する伝送路上に設けられて情報の流れを制御する複数の制御装置（スイッチングハブ）ＳＷ１，ＳＷ２，ＳＷ３と、伝送路を介して伝送されるウイルスやワームなどの不正なプログラム、情報の授受が許可されていない不正なアクセス等を監視する複数の監視装置Ｓ１，Ｓ２，Ｓ３と、各監視装置Ｓ１，Ｓ２，Ｓ３毎に設定される監視ポリシーに基づき監視装置Ｓ１，Ｓ２，Ｓ３の監視結果に対応した処置を制御装置ＳＷ１，ＳＷ２，ＳＷ３に行わせる管理装置Ｍと、伝送路を介して端末Ｘ１，Ｘ２，Ｘ３に種々のサービス（情報）を提供するサーバＹと、複数種類の監視機能のうちの少なくとも一種類の監視機能を監視装置で実現するためのプログラム（以下、「機能モジュール」と呼ぶ。）を記憶したメモリ装置Ａｉ，Ｂｉ，Ｃｉ（ｉ＝１，２，３）とで構成される。但し、端末Ｘｊ（ｊ＝１，２，３）とサーバＹは汎用のコンピュータにクライアント用及びサーバ用のソフトウェア（ＯＳ並びにアプリケーションソフト）を搭載した従来周知の構成を有するものであるから、詳細についての図示並びに説明は省略する。

監視装置Ｓｋ（ｋ＝１，２，３）は全て共通のハードウェア構成を有するものであって、図２（ａ）に示すようにＣＰＵ１、メモリ２、ＬＡＮコントローラ３、ＬＡＮコネクタ４、ＵＳＢホストコントローラ５並びにＵＳＢコネクタ６を備えている。ＬＡＮコネクタ４はＲＪ−４５のモジュラコネクタを２つ有し、これら２つのモジュラコネクタにＬＡＮケーブル（図示せず）を介して端末Ｘｊ及び制御装置ＳＷｎ（ｎ＝１，２，３）が接続される。またＬＡＮコントローラ３は、ＬＡＮコネクタ４を介してＬＡＮケーブルと接続され、ＣＰＵ１とＬＡＮ上の機器（端末Ｘｊや管理装置Ｍ並びにサーバＹ）との間の通信を制御するものである。但し、このようなＬＡＮコントローラ３は従来周知であるから詳細な構成についての図示並びに説明を省略する。

また、メモリ２に含まれる書き換え可能な不揮発性メモリ（ＥＥＰＲＯＭなど）には、ＣＰＵ１がＬＡＮコントローラ３及びＵＳＢホストコントローラ５を制御するためのドライバや、ＴＣＰ（Transmissinon Control Protocol），ＩＰ（Internet Protocol），ＵＤＰ（User Datagram Protocol），ＩＣＭＰ（Internet Contorol Message Protocol），ＳＮＭＰ（Simple Network Manegement Protocol）などのＴＣＰ／ＩＰ通信におけるプロトコルスタックが格納されており、ＯＳの制御下で上記プログラム等がメモリ２に含まれる主メモリにロードされて実行される。

ＵＳＢホストコントローラ５は、コンピュータと周辺機器を結ぶデータ伝送路の規格であるＵＳＢ（Universal Serial Bus）に対応したコンピュータ側のインタフェースであって、複数のＵＳＢコネクタ６（図示は１個のみ）に挿抜自在にそれぞれ接続するＵＳＢケーブル等を介して周辺機器との間のデータ伝送を制御するものである。但し、このようなＵＳＢホストコントローラ５は従来周知であるから詳細な構成についての図示並びに説明は省略する。

一方、メモリ装置Ａｉ，Ｂｉ，Ｃｉは全て共通のハードウェア構成を有するものであって、ＵＳＢコネクタ７、ＵＳＢターゲットコントローラ８、フラッシュメモリ９をハウジング（図示せず）に収納してなる、所謂ＵＳＢメモリと呼ばれる記憶メディアであり、詳細な構成については従来周知であるから詳細な説明は省略する。ここで、メモリ装置Ａｉ，Ｂｉ，Ｃｉのフラッシュメモリ９には、各符号（Ａ，Ｂ，Ｃ）毎に異種の監視機能を実現するための機能モジュールが各別に格納されており、例えば、メモリ装置Ａｉのフラッシュメモリ９にはウイルスやワームなどの不正なプログラムを検知する機能モジュール（以下、「ウイルス検知モジュール」と呼ぶ。）が格納され、メモリ装置Ｂｉのフラッシュメモリ９にはパケットの送信元アドレスに基づいて不正なアクセスを検知する機能モジュール（以下、「不正アクセス検知モジュール」と呼ぶ。）が格納され、メモリ装置Ｃｉのフラッシュメモリ９にはＤｏＳ（Denial of Services）のような攻撃を行っている端末を探知（逆探知）する機能モジュール（以下、「逆探知モジュール」と呼ぶ。）が格納されている。ウイルス検知モジュールは、ＴＣＰ，ＵＤＰ，ＩＰなどのプロトコル通信において授受されるデータ（パケットやフレーム）と予め与えられたウイルスやワームのデータとをパターンマッチングすることでウイルスやワームを検知し、不正アクセス検知モジュールは所謂ファイアウォールに相当し、ＴＣＰ，ＵＤＰ，ＩＰなどのプロトコル通信において許可する送信元アドレスや送信先アドレスあるいはポート等を予め決めておき、それ以外の許可されないアドレスやポート等にアクセスされたことを検知し、逆探知モジュールは、通過するデータのＩＰアドレスを保持しておき、指定されたデータが通過したか否かを保持したＩＰアドレスに基づいて検知し管理装置Ｍに通知するものである。尚、メモリ装置で提供する監視機能は上記３種類のものに限定する主旨ではなく、例えば、不正端末検知機能などの他の監視機能を提供するメモリ装置を別途用意してもよい。ここで、不正端末検知機能とは、データの送信元のＭＡＣアドレスを予め与えられる不正なパターンとパターンマッチングすることでネットワークへの参加が許可されていない不正な端末を検知する機能である。

而して、メモリ装置Ａｉ，Ｂｉ，ＣｉのＵＳＢコネクタ７が監視装置Ｓｋ（ｋ＝１，２，３）のＵＳＢコネクタ６に差し込まれて接続されると、監視装置ＳｋのＵＳＢホストコントローラ５がそれを検知してＵＳＢターゲットコントローラ８に対して機能モジュールのロードを要求し、その要求に応じてＵＳＢターゲットコントローラ８がフラッシュメモリ９に格納されている機能モジュール（ウイルス検知モジュール又は不正アクセス検知モジュール又は逆探知モジュール）を読み出してＵＳＢホストコントローラ５に転送する。ＵＳＢホストコントローラ５は転送された機能モジュールをＣＰＵ１に引き渡し、ＣＰＵ１では引き渡された機能モジュールをメモリ２の主メモリにロードするとともにＯＳの制御下で当該機能モジュールが実行される。一方、メモリ装置Ａｉ，Ｂｉ，ＣｉのＵＳＢコネクタ７が監視装置ＳｋのＵＳＢコネクタ６から引き抜かれて接続が解除されると、ＵＳＢホストコントローラ５がそれを検知してＣＰＵ１に接続の解除を通知する。ＣＰＵ１では接続解除が通知されると当該メモリ装置Ａｉ，Ｂｉ，Ｃｉからロードした機能モジュールの実行を中止し、メモリ２の主メモリから当該機能モジュールをアンロードする。つまり、各監視装置Ｓｋにおいては、ＵＳＢコネクタ６、ＵＳＢホストコントローラ５並びにＣＰＵ１で読込手段を実現し、且つＣＰＵ１及びメモリ２で監視機能実行手段を実現しており、メモリ装置Ａｉ，Ｂｉ，ＣｉのＵＳＢコネクタ７をＵＳＢコネクタ６に差し込んで接続するだけで自動的に機能モジュールがロード及び実行されて所望の監視機能が実現されるから、監視機能の追加や変更が容易に行えるものである。以下、説明を簡単にするためにメモリ装置Ａｉ，Ｂｉ，ＣｉのＵＳＢコネクタ７を監視装置ＳｋのＵＳＢコネクタ６に差し込んで接続することを「プラグイン」、反対にＵＳＢコネクタ７をＵＳＢコネクタ６から引き抜いて接続状態を解除することを「プラグアウト」と表現し、監視装置ＳｋのＣＰＵ１がメモリ装置Ａｉ，Ｂｉ，Ｃｉから機能モジュールをロードして実行することを「セット」、反対に機能モジュールの実行を中止してアンロードすることを「リセット」と表現する。

管理装置Ｍは、図２（ｂ）に示すようにＣＰＵ１１、メモリ１２、ＬＡＮコントローラ１３、ＬＡＮコネクタ１４、ハードディスク１５、液晶ディスプレイやＣＲＴディスプレイのようなモニタ１６、キーボードやマウスなどの入力デバイス１７を備えている。監視装置Ｓｋと同様に、ＬＡＮコネクタ１４はＲＪ−４５のモジュラコネクタを２つ有し、これら２つのモジュラコネクタにＬＡＮケーブル（図示せず）を介して制御装置ＳＷ２及びサーバＹが接続される。また、メモリ１２に含まれる書き換え可能な不揮発性メモリ（ＥＥＰＲＯＭなど）には、ＣＰＵ１１がＬＡＮコントローラ１３を制御するためのドライバや、ＴＣＰ，ＩＰ，ＵＤＰ，ＩＣＭＰ，ＳＮＭＰなどのＴＣＰ／ＩＰ通信におけるプロトコルスタックが格納されており、ＯＳの制御下で上記プログラム等がメモリ１２に含まれる主メモリにロードされて実行される。

さらに、上記不揮発性メモリには各監視装置Ｓｋ毎に作成された監視ポリシーがテーブル形式で記憶されている。図３（ａ）は監視ポリシーのデータテーブル（以下、「監視ポリシーテーブル」と呼ぶ。）の一例を示しており、監視装置Ｓｋを識別するための固有のＩＤ、監視機能の種別、監視機能の実行状態を示すフラグ、監視制御に対して適用されるルールの各項目が設けられている。図示例ではＩＤの欄に符号Ｓ１，Ｓ２，Ｓ３を記入しているが、実際は監視装置Ｓｋに割り当てられたＩＰアドレスが登録される。また種別の欄に記入されている数字は、０がウイルス検知、１が不正アクセス検知、２が逆探知の各監視機能に対応し、フラグが１であればその種類の監視機能がセットされ、０であればリセットされていることを示している。さらに図３（ｂ）及び（ｃ）は監視制御に対して適用される２通りのルールを示しており、監視装置ＳｋのＩＤ若しくは監視機能の種別に対応して”ＡＮＤ”又は”ＯＲ”の条件（ルール）を適用する。例えば、図３（ｂ）に示すようにＩＤがＳ１の監視装置Ｓ１には”ＡＮＤ”のルールが適用されているので、全ての監視機能がセットされている場合にのみ監視制御が行われ、またＩＤがＳ２の監視装置Ｓ２には”ＯＲ”のルールが適用されているので、少なくとも何れか一つの監視機能がセットされていれば監視制御が行われる。あるいは、図３（ｃ）に示すように種別が０、つまりウイルス検知に関しては”ＡＮＤ”のルールが適用されているので、全ての監視装置Ｓｋでセットされている場合にのみウイルス検知に対応する監視制御が行われ、種別が１、つまり不正アクセス検知に関しては”ＯＲ”のルールが適用されているので、少なくとも何れか一つの監視装置Ｓｋでセットされていれば不正アクセス検知に対応する監視制御が行われ、種別が２、つまり逆探知に関しては”ＮＯＰ”のルールが適用されているので、監視制御が行われない。

ここで、管理装置Ｍが行う監視制御について簡単に説明する。監視制御の対象である制御装置ＳＷｎはＳＮＭＰエージェントの機能を持った汎用のスイッチングハブ（この種のスイッチングハブは特に「インテリジェントハブ」と呼ばれる。）であって、自己が保有する管理情報ベース（ＭＩＢ）から取得した情報（メッセージ）をＳＮＭＰエージェントにより伝送路を介して管理装置ＭのＳＮＭＰマネージャに伝送する。一方、管理装置ＭではＳＮＭＰマネージャが各制御装置ＳＷｎのＳＮＭＰエージェントからメッセージを収集して一元的に管理するとともに制御装置ＳＷｎのＳＮＭＰエージェントに対し、図４に示すようにポート番号で指定されるポートのリンク状態をアップ又はダウンさせるセットリクエストのコマンド（ＰＤＵ：Protocol Data Units）を含むＳＮＭＰメッセージを送信する。スイッチングハブからなる制御装置ＳＷｎでは、それぞれに伝送路（ＬＡＮケーブル）が接続される複数のポートを有し、端末Ｘｊなどから送られてきたデータ（パケットやフレーム）を解析してあて先を検出し、送り先の端末Ｘｊなどへの伝送路が接続されているポートにのみ当該データを送出しているが、ＳＮＭＰメッセージにより上記セットリクエストを受け取るとポート番号で指定されたポートのリンク状態を制御するのである。但し、ＳＮＭＰについては従来周知であるから、ＳＮＭＰメッセージを授受する手順等の詳細な説明は省略する。

例えば、監視装置Ｓ１にセットされた不正アクセス検知モジュールにより端末Ｘ１が不正アクセスを行っていることが検知されたとすると、監視装置Ｓ１のＳＮＭＰエージェントが不正アクセスの検知を知らせるためにトラップコマンドを含むＳＮＭＰメッセージを管理装置ＭのＳＮＭＰエージェントに送信する。このＳＮＭＰメッセージを受信した管理装置ＭのＳＮＭＰマネージャは、送信元の監視装置Ｓ１のＩＤ（ＩＰアドレス）に基づいて監視装置Ｓ１が監視対象とする制御装置ＳＷ１を特定し、当該制御装置ＳＷ１に対して不正アクセスを行っている端末Ｘ１が接続されているポートをリンクダウンさせるセットリクエストコマンドをＳＮＭＰメッセージで送信する。このＳＮＭＰメッセージを受け取った制御装置ＳＷ１のＳＮＭＰエージェントが指定されたポート番号のポートをリンクダウンすることにより、端末Ｘ１の不正アクセスを阻止することができる。

次に、機能モジュールの追加や削除に伴う監視ポリシーの自動作成又は自動変更について詳細に説明する。

まず、図５のフローチャートを参照して監視装置Ｓｋの動作を説明する。監視装置Ｓｋに何れかのメモリ装置Ａｉ，Ｂｉ，Ｃｉがプラグインされると（ステップ１）、監視装置ＳｋのＣＰＵ１がメモリ装置Ａｉ，Ｂｉ，Ｃｉから機能モジュールをロードし（ステップ２）、ロードされた機能モジュールに対応した監視機能が実行される（ステップ３）。さらに、監視装置ＳｋのＣＰＵ１では、機能モジュールをロードした際にsyslog関数を用いて出力したログを伝送路を介して管理装置Ｍに伝送する（ステップ４）。また、監視装置Ｓｋからメモリ装置Ａｉ，Ｂｉ，Ｃｉがプラグアウトされると（ステップ５）、当該メモリ装置Ａｉ，Ｂｉ，Ｃｉからロードした機能モジュールの実行を中止し、メモリ２の主メモリから当該機能モジュールをアンロードする（ステップ６）。このときも監視装置ＳｋのＣＰＵ１は、機能モジュールをアンロードした際にsyslog関数を用いて出力したログを伝送路を介して管理装置Ｍに伝送する（ステップ４）。つまり、本実施形態ではＬＡＮコネクタ４、ＬＡＮコントローラ５並びにＣＰＵ１で通知手段を実現している。ここで、syslog関数やsyslogのログメッセージ伝送のプロトコルなどについてはＲＦＣ３１６４で規格化されており、各監視装置ＳｋのＩＤ、機能モジュールの種別、ロード又はアンロードの処理内容を含むログメッセージが管理装置Ｍに通知される。

一方、何れかの監視装置Ｓｋからログメッセージによる通知を受け取った管理装置Ｍは、図６のフローチャートに示すように通知内容に応じて監視ポリシーの作成又は変更を行う。すなわち、管理装置Ｍでは、何れかの監視装置Ｓｋからログメッセージによる通知を受信すると（ステップ１）、ログメッセージに含まれるＩＤを監視ポリシーテーブルで検索し（ステップ２）、一致するＩＤが存在しなければ当該ＩＤに対応した監視ポリシーを新規に作成する（ステップ３）。そして、一致するＩＤが存在したら、ログメッセージに含まれる機能モジュールの種別を監視ポリシーテーブルで検索し（ステップ４）、一致するものがなければ新たに監視機能が追加されたということであるから既存の監視ポリシーに当該機能モジュールの種別を追加する（ステップ５）。また、一致する種別が存在したら、当該種別の機能モジュールに対するフラグを検索し（ステップ６）、フラグの状態（１又は０）とロード又はアンロードの処理内容が一致しなければ既存の監視機能の実行状態が変更されたということであるから既存の監視ポリシーに含まれている監視機能の実行状態を変更し（ステップ７）、反対にフラグの状態とロード又はアンロードの処理内容が一致すれば監視ポリシーを変更する必要はない。そして、管理装置Ｍにおいては、新たに作成又は変更された監視ポリシーに基づいて制御装置ＳＷｎに対する監視制御が行われる（ステップ８）。つまり、本実施形態ではＣＰＵ１１が監視ポリシー作成手段を実現している。尚、参考までにsyslogのログメッセージのフォーマットを図７に示す。

ここで、監視装置Ｓｋにおける監視機能を追加や変更した場合、管理装置Ｍにおける監視ポリシーも変更する必要があるが、監視機能の追加や変更がシステム管理者に知らされていなかったり、あるいはシステム管理者が監視ポリシーの変更を忘れていたりすると、本来不要な監視機能が管理装置Ｍの監視ポリシーに含まれることとなって管理装置Ｍの負担が増えてしまうので、監視結果に対応した処置が遅れてしまう虞がある。しかしながら本実施形態によれば、監視装置ＳｋのＵＳＢコネクタ６にメモリ装置Ａｉ，Ｂｉ，Ｃｉを接続することでメモリ装置Ａｉ，Ｂｉ，Ｃｉに記憶されている機能モジュールが監視装置Ｓｋに読み込まれ且つ実行されることで監視機能が実現され、さらに実現された監視機能の種類が管理装置Ｍに通知されて当該監視機能を含む監視ポリシーが作成又は変更されるので、監視機能を追加あるいは変更した場合に管理装置Ｍにおける監視ポリシーを人為的に変更せずとも、本来不要な監視機能が監視ポリシーに含まれることがなく、結果的に不適切な監視ポリシーによる管理装置Ｍの負担増を防止して監視結果に対応した処置（監視制御）を迅速に行うことができる。

尚、本実施形態では監視装置Ｓｋにおける監視機能のセット又はリセットを監視ポリシーテーブルに設けたフラグの項目で管理しているが、セット時にのみ監視機能を監視ポリシーテーブルに登録するとともにリセット時に監視機能を監視ポリシーテーブルから削除するようにすれば、監視ポリシーテーブルによるメモリ消費を抑えることができる。この場合、ＳＮＭＰの代わりに管理装置Ｍから監視ポリシーが設定されている全ての監視装置Ｓｋをポーリングするようなプロトコルを用いれば、リセットされた監視機能を監視ポリシーテーブルから削除することでポーリングの対象となる監視装置Ｓｋが減るために管理装置Ｍの負担が減少するとともに監視結果に対応した処置（監視制御）を迅速に行うことができる。

ところで、管理装置Ｍで行う監視制御を個々の監視装置Ｓｋで行い、管理装置Ｍでは監視ポリシーの作成や変更等の管理のみを行うようにしたり、あるいは、監視機能を有したスイッチングハブを制御装置ＳＷｎに用いることで制御装置ＳＷｎにおいて監視機能を実現しても構わない。その場合、作成又は変更された監視ポリシーを管理装置Ｍから該当する監視装置Ｓｋ又は制御装置ＳＷｎに通知し、受け取った監視ポリシーに基づいて監視装置Ｓｋ又は制御装置ＳＷｎが監視制御を行うようにすればよい。尚、監視装置Ｓｋで実現される監視機能は例示したウイルス検知、不正アクセス検知、逆探知に限定する主旨ではなく、トラフィック異常検知等の他の種類であってもよい。また、メモリ装置Ａｉ，Ｂｉ，ＣｉとしてＵＳＢメモリを例示したが、機能モジュールが記憶可能な容量を有し且つ監視装置Ｓｋに対して着脱自在に接続可能な記憶メディア（例えば、メモリカードなど）であればよい。さらに、監視装置Ｓｋにおける監視機能のセット又はリセットを通知するに当たっては、syslog以外にＳＮＭＰのトラップコマンドやＴＣＰ／ＩＰのマルチキャスト又はブロードキャストなどを利用することも可能である。

本発明の実施形態を示すシステム構成図である。 （ａ）は同上における監視装置及びメモリ装置のハードウェア構成の概略を示すブロック図、（ｂ）は同上における管理装置のハードウェア構成の概略を示すブロック図である。 （ａ）〜（ｃ）は同上における管理装置が記憶している監視ポリシーテーブル、２種類のルールの説明図である。 同上におけるＳＮＭＰメッセージのフォーマットである。 同上における監視装置の動作を説明するためのフローチャートである。 同上における管理装置の動作を説明するためのフローチャートである。 同上におけるsyslogメッセージのフォーマットである。

符号の説明

Ｘ１，Ｘ２，Ｘ３ 端末
Ｙ サーバ
Ｓ１，Ｓ２，Ｓ３ 監視装置
Ａｉ，Ｂｉ，Ｃｉ メモリ装置
ＳＷ１，ＳＷ２，ＳＷ３ 制御装置
Ｍ 管理装置

Claims (6)

1. 互いに伝送路を介して情報を授受する複数の端末と、端末間を接続する伝送路上に設けられて情報の流れを制御する１乃至複数の制御装置と、伝送路を介して伝送されるウイルスやワームなどの不正なプログラム、許可されていない不正なアクセス等を監視する複数の監視装置と、各監視装置毎に設定される監視ポリシーに基づき監視装置の監視結果に対応した処置を制御装置に行わせる管理装置と、複数種類の監視機能のうちの少なくとも一種類の監視機能を監視装置で実現するためのプログラムを記憶したメモリ装置とで構成され、各監視装置は、１乃至複数のメモリ装置が着脱自在に接続され且つ接続されたメモリ装置から前記プログラムを読み込む読込手段と、読込手段で読み込んだプログラムを実行して前記監視機能を実現するとともに当該メモリ装置と読込手段の接続状態が解除されたときには当該プログラムの実行を中止して監視機能を停止させる監視機能実行手段とを備えたことを特徴とする情報監視システム。
2. 各監視装置は、監視機能実行手段で実行を開始した監視機能の種類を伝送路を介して管理装置に通知する通知手段を備え、管理装置は、監視ポリシーを記憶する記憶手段と、監視装置から開始が通知された種類の監視機能を含む監視ポリシーを作成して記憶手段に記憶する監視ポリシー作成手段とを備えたことを特徴とする請求項１記載の情報監視システム。
3. 各監視装置は、監視機能実行手段で実行を停止した監視機能の種類を伝送路を介して管理装置に通知する前記通知手段を備え、管理装置は、監視装置から停止が通知された種類の監視機能を含まない監視ポリシーを作成して記憶手段に記憶した監視ポリシーを更新する監視ポリシー更新手段を備えたことを特徴とする請求項１又は２記載の情報監視システム。
4. 各監視装置は、監視機能実行手段で実行を停止した監視機能の種類を伝送路を介して管理装置に通知する前記通知手段を備え、管理装置は、監視装置から停止が通知された種類の監視機能を削除して監視ポリシーを更新する監視ポリシー更新手段を備えたことを特徴とする請求項１又は２記載の情報監視システム。
5. 通知手段は、各監視装置に個別に付与された識別符号と、監視機能の各種類毎に割り当てられた監視機能番号と、監視機能の実行状態とを通知することを特徴とする請求項３又は４記載の情報監視システム。
6. 監視ポリシー作成手段並びに監視ポリシー更新手段は、通知手段から通知された識別符号に基づいて記憶手段に記憶されている監視装置の監視ポリシーを検索し、監視機能番号及び監視機能の実行状態に基づいて監視ポリシーを作成又は更新することを特徴とする請求項５記載の情報監視システム。

Images