JP2007259223A - ネットワークにおける不正アクセスに対する防御システム、方法およびそのためのプログラム - Google Patents

Abstract

【課題】ネットワークにおける不正アクセスによる支障を最小限に抑え、サービス業務の中断を少なくする不正アクセス防御システム、方法およびプログラムを提供する。
【解決手段】ネットワーク内に分散配置されたルータＲ１、Ｒ２間に設けられ、通過するパケットの情報からパケットが不正アクセスのためのウィルスパケットであると判定するローカル制御部ＬＣと、ローカル制御部ＬＣに通信可能に接続され、少なくとも一つのローカル制御部ＬＣからウィルスパケットの情報を受信し、受信した情報を元に所定のローカル制御部ＬＣにルータＲ１、Ｒ２間の通信回線を遮断させるセンタ制御部ＣＣとを備える。
【選択図】図１

Description

本発明は、ネットワークにおける不正アクセスに対する防御システム、方法およびそのためのプログラムに関し、特にＩＰ（Internet Protocol）ネットワークにおけるＤＯＳＡ（Denial of Service Attacks：サービス拒否攻撃）やＤＤＯＳＡ（Distributed Denial of Service Attacks：分散ＤＯＳ攻撃）を目的とした不正アクセスに対する防御システム、方法およびそのためのプログラムに関する。

ＩＰネットワークに接続されたサーバや端末を含むコンピュータ間で悪意をもったコンピュータから他のコンピュータ、主としてサーバに不正アクセスし、例えば大量の無意味なサービス接続要求を送りサーバの負荷を高めサーバを過負荷でダウンさせたり、サーバによるユーザ端末へのサービスを不能にしたりする攻撃が行われることがある。

この攻撃には単独のＤＯＳ攻撃元コンピュータが標的コンピュータに対して不正アクセスするもの（ＤＯＳＡ）と、セキュリティが脆弱なサイトにおける複数のコンピュータにウィルスを忍び込ませ、これらコンピュータをＤＯＳ攻撃元として標的コンピュータに対し不正アクセスするもの（ＤＤＤＯＳ）とがある。

図８は従来技術によるＩＰネットワーク内でＤＯＳ攻撃が行われたときのウィルスメールの伝送経路を示す図である。図８において、一点鎖線で分割された左側および右上側は本店ネットワーク８０、Ａ支店ネットワーク８１、Ｂ支店ネットワーク８２、Ｃ支店ネットワーク８３等の各セグメントからなるイントラネットを示し、右下側はインターネット８５を示す。各ネットワーク間の経路にはルータ８４−１、８４−２が要所に分散配置されている。図８および９において、Ｒ１はイントラネット側のルータを、Ｒ２はインターネット側のルータを、Ｓはサーバを、Ｔは端末をそれぞれ示す。

インターネット８５に接続された端末８５−１に、送信先のサーバや端末をウィルスに感染させようとする電子メール（以下、単にメールと記す）が忍び込むと、端末８５−１はウィルスに感染し発信元として多数のウィルスメールを連続的にＢ支店ネットワーク８２のサーバ８２−１やインターネット８５の端末８５−２に送信する。
一方、ウィルスを含まない正常なメールが端末８５−２からサーバ８３−１に送信されている。

ウィルス感染を防止すべくＤＯＳ攻撃に対し種々の対策が取られている。一般的には、感染端末もしくはその端末が属するセグメントへのウィルスメールの侵入経路を遮断する対策が取られている。
特許文献１はこのような対策を講じた発明を開示している。

図９は従来技術によるＩＰネットワーク内でＤＯＳ攻撃が行われたときにウィルスメールの侵入経路を遮断する例を示す図である。図９に示すネットワーク構成おいて、図８と異なるのはＩＤＳ９０が配置された点にある。ＩＤＳ（Intrusion Detection System：侵入検知システム）９０は、特許文献１に記載のボーダルータ（図１の５１〜５６参照）内の分散型サービス拒絶攻撃検出防御部（図２の５１５参照）に相当し、ＩＤＳ９０は感染端末８５−１もしくは感染端末８５−１が属するインターネット（セグメント）８５からＩＰネットワーク内のその他の端末もしくは本店および支店ネットワーク（セグメント）８０〜８３への伝送経路９１を遮断するものである。

ここで、ＩＤＳとは、ネットワークを監視し、ネットワークへのウィルスの侵入を検知して管理者に通知するシステムである。ＩＤＳには、不正アクセスでよく用いられるウィルスをパターン化して記録しておき、ネットワーク上を流れるパケットを分析し、分析したパケットのパターンが記録したパターンと一致したとき、流れたパケットはウィルスパケットであると判定し、ウィルスパケットの侵入経路を遮断するものが知られている。
特開２００３−２８９３３７号公報（明細書の［請求項１］〜［請求項１７］、段落番号［０００３］、［０００４］、［０００８］、［０００９］、［００３１］〜［００３６］、［００４４］〜［００４７］、図面の図１〜図６、および要約書参照）。

上述した特許文献１に記載の分散型サービス拒絶攻撃検出防御部は、図９に示すＩＤＳ９０同様、侵入したウィルスを検出してインターネットからイントラネットへのウィルスの侵入経路を遮断する。しかしながら、この遮断により正常なメールの伝送経路も遮断されることになり、例えば図９に示すように、遮断によりウィルス感染していない正常なメールが端末８５−２からサーバ８３−１に送信されなくなったり、サーバ８３−１から端末８５−２へのサービス業務に支障をきたしたりする問題が発生する。

本発明は、上記問題を解決するためになされたものであり、ネットワークにおける不正アクセスによる支障、例えばサーバからユーザへのサービス業務が不能となる支障を最小限に抑えるための防御システム、方法およびプログラムを提供することを目的とする。

ウィルスメールは、あるアドレスを元にして自動生成された別のアドレスを宛先とすることが多いため、感染端末から発信されるウィルスメールの送信先は特定のセグメント、例えば図８および図９に示すＢ支店ネットワーク８２に集中する傾向にある。
本発明は、この傾向を利用することで必要以上にメールを遮断しないように構成するものである。

上記目的を達成する本発明によるネットワークにおける不正アクセス防御システムは、ネットワークにおける不正アクセス防御システムにおいて、ネットワーク内に分散配置されたルータ間に設けられ、通過するパケットの情報から該パケットが不正アクセスのためのウィルスパケットであると判定するローカル制御部と、前記ローカル制御部に通信可能に接続され、少なくとも一つの前記ローカル制御部から前記ウィルスパケットの情報を受信し、受信した情報を元に所定のローカル制御部に前記ルータ間の通信回線を遮断させるセンタ制御部と、を備えたことを特徴とする。

上記ネットワークにおける不正アクセス防御システムにおいて、前記所定のローカル制御部は複数のローカル制御部のうち前記ウィルスパケットの送信先に最も近い。
前記センタ制御部は前記ウィルスパケットの情報のうちＴＴＬ値に基づいて前記所定のローカル制御部を特定する。
前記ローカル制御部は単位時間当たりに通過した同一送信先パケットの数のカウント値が閾値以上のときウィルスパケットであると判定する。

上記目的を達成する本発明によるネットワークにおける不正アクセス防御方法は、ネットワークにおける不正アクセス防御方法において、ネットワーク内に分散配置されたルータ間に設けられたローカル制御部に通信可能に接続されたセンタ制御部は、少なくとも一つの前記ローカル制御部から、通過するパケットが不正アクセスのためのウィルスパケットであるという通知および該ウィルスパケットの情報を受信するステップと、受信した情報を元に所定のローカル制御部に前記ルータ間の通信回線を遮断させるステップと、を備えたことを特徴とする。

上記目的を達成する本発明によるネットワークにおける不正アクセス防御方法を実行するプログラムは、ネットワークにおける不正アクセス防御のためのプログラムであって、ネットワーク内に分散配置されたルータ間に設けられたローカル制御部に通信可能に接続されたセンタ制御部内のコンピュータに、少なくとも一つの前記ローカル制御部から、通過するパケットが不正アクセスのためのウィルスパケットであるという通知および該ウィルスパケットの情報を受信するステップと、受信した情報を元に所定のローカル制御部に前記ルータ間の通信回線を遮断させるステップと、を実行させることを特徴とする。

本発明の実施形態に係るＩＰネットワークにおける不正アクセス防御システム、方法およびプログラムは、ネットワークにおける不正アクセスによる支障、例えばサーバからユーザへのサービス業務が不能となる支障を最小限に抑えることができる。

図１は本発明の一実施形態に係るＩＰネットワークにおける不正アクセス防御システムを示す図である。以下の図面において同一のものは同一参照番号を付して示す。図１に示すＩＰネットワークにおいて、一点鎖線で分割された左側および右上側は本店ネットワーク１０、Ａ支店ネットワーク１１、Ｂ支店ネットワーク１２、Ｃ支店ネットワーク１３等の各セグメントからなるイントラネットを示し、右下側はインターネット１５を示す。各ネットワーク間の経路にはルータ（Ｒ１）１４−１、ルータ（Ｒ２）１４−２が要所に分散配置されている。図１および５において、Ｒ１はイントラネット側のルータを、Ｒ２はインターネット側のルータを、Ｓはサーバを、Ｔは端末を、ＣＣはセンタ制御部を、ＬＣはローカル制御部をそれぞれ示す。

本店ネットワーク１０にはセンタ制御部（ＣＣ）１６が配置され、本店ネットワーク１０近傍のルータ１４−１とインターネット１５間および本店ネットワーク１０の近傍のルータ１４−１とＡ、ＢおよびＣ支店ネットワーク１１〜１３間にはそれぞれローカル制御部（ＬＣ）１７−１０〜１７−１３が配置されている。センタ制御部１６はイントラネットワーク内であればどこに配置されてもよい。

ローカル制御部１７−１０〜１７−１３はセンタ制御部１６と通信可能に接続され、一つまたは複数のローカル制御部１７−１０〜１７−１３が不正アクセスを検知すると検知情報がセンタ制御部１６に通知される。センタ制御部１６は遮断すべき経路にあるローカル制御部１７−１０〜１７−１３の何れか１つに該経路を遮断させることで不正アクセスにより生じる支障を最小限に抑えるべく、不正アクセスに起因するウィルスの感染を阻止する。

具体的には、インターネット１５に接続された端末１５−１がウィルスに感染すると、後述するように、ウィルスの攻撃対象となっているネットワーク１２に近いローカル制御部１７−１２が端末１５−１が感染したことを検知し、センタ制御部１６に通知し、センタ制御部１６と複数のローカル制御部１７−１０〜１７−１３とが連携して、ウィルスメールと判断されるパケットについて、ウィルス感染端末である端末１５−１からＢ支店ネットワーク１２のウィルスの攻撃先であるサーバ１２−１へ送信されないようにする。このようにすることで、例えばウィルス感染していない正常なメールがインターネット１５内の端末１５−２からＣ支店ネットワーク１３のサーバ１３−１に送信できる。

上述したように、図１に示す本発明の一実施形態に係るＩＰネットワーク内でＤＯＳ攻撃が行われたとき、センタ制御部１６とローカル制御部１７−１０〜１７−１３との連携により、ＤＯＳ攻撃による支障が最小限となるようにウィルスメールの通過経路は遮断される。

図２は図１に示すローカル制御部内の通常時の回線経路を示す図である。ローカル制御部２７は、ルータ２４１とルータ２４２との間の通信回線を接続するＩＰパケット送受信部２７１とＩＰパケットをモニタリングする機能を有する不正アクセス判定部２７２とを有する。

ルータ２４１から出力されルータ２４２に入力するパケットは、ＩＰパケット送受信部２７１のネットワークポートＡに入力され、プローブポートＡから出力され、不正アクセス判定部２７２のプローブポートスイッチＡに入力され、同２７２のプローブポートスイッチＢから出力され、ＩＰパケット送受信部２７１のプローブポートＢに入力され、同２７１のネットワークポートＢからルータ２４２に入力される。

一方、ルータ２４２から出力されルータ２４１に入力するパケットは、ＩＰパケット送受信部２７１のネットワークポートＢに入力され、プローブポートＢから出力され、不正アクセス判定部２７２のプローブポートスイッチＢに入力され、同２７２のプローブポートスイッチＡから出力され、ＩＰパケット送受信部２７１のプローブポートＡに入力され、同２７１のネットワークポートＡからルータ２４１に入力される。

ＩＰパケット送受信部２７１のＩ／Ｏ端子は不正アクセス判定部２７２のＰＢ端子に接続され、互いに通信し情報交換している。不正アクセス判定部２７２はセンタ制御部と通信し、ＩＰパケット送受信部２７１を通過するパケットの情報を通知し、センタ制御部からの指令にしたがってＩＰパケット送受信部２７１からＩＰパケット送受信部２７１への回線を遮断する。

図３はローカル制御部による処理ルーチンのフローチャートである。本処理ルーチンは図２に示すローカル制御部２７の各不正アクセス判定部２７２で所定の周期で繰り返し実行される。
まず、ステップ３０１で、ローカル制御部２７を通過するＩＰパケットを取得する。
ステップ３０２で、ステップ３０１で取得したＩＰパケットの情報、すなわち該ＩＰパケットの送信元アドレス、送信先アドレス、送信先のポート番号およびＴＴＬ値を記憶する。
ここで、ＴＴＬ（Time To Live）値とは、パケットの有効期間を表す値であり、ルータなどを１回経由する度に値が１減少することで有効期間を表している。ＴＴＬ値が０になったパケットはその時点で廃棄され廃棄通知が送信元に届くようになっている。

ステップ３０３で、単位時間当たりに通過した同一宛先（送信先）のＩＰパケットの数をカウントする。
ステップ３０４で、単位時間当たりに通過した同一宛先ＩＰパケットの数のカウント値が所定の閾値以上になったか判定し、その判定結果がＹＥＳのとき（すなわち、同一の宛先へ向けて異常に多くのパケットが送信されていて、ウィルスによる攻撃が行われていると推定されるとき）はステップ３０５に進み、その判定結果がＮＯのときはステップ３０１に戻り、ステップ３０１〜３０４を繰り返し実行する。
ステップ３０５で、ステップ３０２で記憶した不正アクセスしている当該ＩＰパケットの情報を図１を用いて説明したセンタ制御部１６に通知し、本ルーチンを終了し、ステップ３０１に戻り、ステップ３０１〜３０５を繰り返し実行する。

図４はセンタ制御部による処理ルーチンのフローチャートである。本処理ルーチンは図１に示すローカル制御部１７−１０〜１７−１３の内何れか一つのローカル制御部から不正アクセスが検知され、不正アクセスしているＩＰパケットの情報が通知された後に開始される。

まず、ステップ４０１で、不正アクセスの検出を通知したローカル制御部以外のローカル制御部から不正アクセス検知と不正アクセス中のＩＰパケットの情報との通知を一定期間待つ。ここで、上記通知を待つのは、不正アクセス検知が複数のローカル制御部からセンタ制御部に通知される場合もあるので複数の通知情報から攻撃対象に最も近いローカル制御部を判定するためである。

ステップ４０２で、一つのローカル制御部からのみ不正アクセスが通知された場合は当該ローカル制御部を攻撃対象に最も近いローカル制御部であると判定し、また、不正アクセスが複数のローカル制御部から通知された場合は不正アクセスを通知した複数のローカル制御部を通過したＩＰパケットの情報の一つである各ＴＴＬ値を比較し、ＴＴＬ値がもっとも小さいＩＰパケットが通過したローカル制御部を攻撃対象である送信先に最も近いローカル制御部であると判定し、ステップ４０３に進む。
ステップ４０３で、センタ制御部からステップ４０２で判定したローカル制御部に遮断信号を送信し、本ルーチンを終了し、ステップ４０１に戻り、ステップ４０１〜４０３を繰り返し実行する。

図５は図１に示すＩＰネットワーク内でＤＯＳ攻撃が行われたときにウィルスメールの侵入経路を遮断する例を示す図である。図５に示すセンタ制御部１６は、攻撃対象であるネットワークに最も近いローカル制御部であるローカル制御部１７−１２に下記の１〜３の情報が書かれたＩＰパケットを通過させないようにする遮断命令を送信する。
１：ＩＰパケットの送信元アドレス
２：ＩＰパケットの送信先アドレス
３：ＩＰパケットの送信先のポート番号

ローカル制御部１７−１２は上記遮断命令を受け、Ｂ支店ネットワーク１２と他のネットワークとの間の通信回線上を通過するパケットのうち、上記命令に該当するパケットを遮断する。したがって、Ｂ支店ネットワーク１２内の攻撃対象のサーバ１２−１はウィルス感染している端末１５−１からウィルスパケットを受信することが無くなる。また、ローカル制御部１７−１２は、通過する全てのパケットを遮断するのではなく、遮断命令に示されるパケットのみを選択的に遮断するため、それ以外のパケットについては、通常通り通信が可能なままとなり、ネットワークを介して行われている業務へのネットワーク遮断による影響を小さく抑えることが可能になる。

図６は図１に示すローカル制御部内のＤＯＳ攻撃検出時の回線経路を示す図である。ローカル制御部２７の構成は、図２に示すものと同じであるので説明は省略する。ローカル制御部２７はセンタ制御部１６から上記遮断命令を受けると、図示のように、ローカル制御部２７により通信可能に接続される２つのルータ２４１と２４２は、互いにＩＰパケットを送信してもローカル制御部２７のＩＰパケット送受信部２７１で受信はされるものの不正アクセス判定部２７２で遮断され、互いに該ＩＰパケットを受信することはない。

図７は図５に示すＢ支店ネットワーク１２内のサーバ１２−１が不正アクセス検出時にユーザに提供する各種サービスを説明する図である。Ｂ支店ネットワーク１２内のサーバ１２−１の記憶装置７０内にはＦＴＰ（File Transfer Protocol）格納領域７０１、ＳＭＴＰ（Simple Mail Transfer Protocol）格納領域７０２およびＷＷＷ（World Wide Web）格納領域７０３等がある。

ＦＴＰ格納領域７０１には、ＦＴＰプロトコルに準拠した、ＩＰネットワーク内でファイル転送されたパケットの宛先情報およびポート番号２１が書かれたヘッダとデータとエラー検出コードとが格納されている。
ＳＭＴＰ格納領域７０２には、ＳＭＴＰプロトコルに準拠した、ＩＰネットワーク内で電子メールとして転送されたパケットの宛先情報およびポート番号２５が書かれたヘッダとデータとエラー検出コードとが格納されている。
ＷＷＷ格納領域７０３には、ＨＴＴＰプロトコルに準拠した、ＩＰネットワーク内でウェブページとして転送されたパケットの宛先情報およびポート番号８０が書かれたヘッダとデータとエラー検出コードとが格納されている。

サーバ１２−１はユーザにファイル通信サービス、電子メール通信サービスおよびウェブページ通信サービスを提供する。
サーバ１２−１へＬＡＮカード７０５を介して転送されるパケットのヘッダに書かれたポート番号からパケットがＦＴＰ用のものか、ＳＭＴＰ用のものかあるいはＷＷＷ用のものかを識別できる。

しかるに、ローカル制御部１７−１２は通過するパケットのヘッダに書かれたポート番号からパケットがＦＴＰ用のものか、ＳＭＴＰ用のものかあるいはＷＷＷ用のものかを識別できる。また、センタ制御部１６は同様に不正アクセスを検出したローカル制御部１７−１２から通知された情報、すなわちローカル制御部１７−１２を通過したウィルスパケットのヘッダに書かれたポート番号を受け、通過したウィルスパケットがＦＴＰ用のものか、ＳＭＴＰ用のものかあるいはＷＷＷ用のものかを識別できる。センタ制御部１６はローカル制御部１７−１２を通過したウィルスパケットのサービスの種類を判定し、例えばウィルスパケットがＳＭＴＰ用であれば、電子メール転送時にのみローカル制御部１７−１２を遮断するように命令し、ローカル制御部１７−１２はこれを受けて電子メール転送用のパケットのみ転送するように構成することもできる。

このように、センタ制御部１６は、パケットの転送形態、例えばＦＴＰ、ＳＭＴＰおよびＷＷＷ用の転送、に応じてローカル制御部１７−１０〜１７−１３の遮断を個別に制御できる。

以上、本発明の実施形態ではＩＰネットワークへの適用例を説明したが、本発明はＩＰネットワーク以外のネットワーク、例えば単なるＬＡＮへ適用することもできる。

（付記１）
ネットワークにおける不正アクセス防御システムにおいて、
ネットワーク内に分散配置されたルータ間に設けられ、通過するパケットの情報から該パケットが不正アクセスのためのウィルスパケットであると判定するローカル制御部と、
前記ローカル制御部に通信可能に接続され、少なくとも一つの前記ローカル制御部から前記ウィルスパケットの情報を受信し、受信した情報を元に所定のローカル制御部に前記ルータ間の通信回線を遮断させるセンタ制御部と、
を備えたことを特徴とするネットワークにおける不正アクセス防御システム。（１）

（付記２）
前記所定のローカル制御部は複数のローカル制御部のうち前記ウィルスパケットの送信先に最も近いローカル制御部であることを特徴とする付記１に記載のネットワークにおける不正アクセス防御システム。（２）
（付記３）
前記センタ制御部は前記ウィルスパケットの情報のうちＴＴＬ値に基づいて前記所定のローカル制御部を特定することを特徴とする付記１または２に記載のネットワークにおける不正アクセス防御システム。（３）

（付記４）
前記ローカル制御部は単位時間当たりに通過した同一送信先パケットの数のカウント値が閾値以上のときウィルスパケットであると判定する、
付記１乃至３の何れか一つに記載の不正アクセス防御システム。
（付記５）
前記ローカル制御部は前記ウィルスパケットのヘッダに書かれたポート番号から該ウィルスパケットがファイル転送用か電子メール転送用かまたはウェブページ転送用かを識別し、該識別した転送時にのみ前記ルータ間の通信回線を遮断する、
付記１乃至４の何れか一つに記載の不正アクセス防御システム。

（付記６）
ネットワークにおける不正アクセス防御方法において、
ネットワーク内に分散配置されたルータ間に設けられたローカル制御部に通信可能に接続されたセンタ制御部は、
少なくとも一つの前記ローカル制御部から、通過するパケットが不正アクセスのためのウィルスパケットであるという通知および該ウィルスパケットの情報を受信するステップと、
受信した情報を元に所定のローカル制御部に前記ルータ間の通信回線を遮断させるステップと、
を備えたことを特徴とするネットワークにおける不正アクセス防御方法。（４）

（付記７）
ネットワークにおける不正アクセス防御のためのプログラムであって、
ネットワーク内に分散配置されたルータ間に設けられたローカル制御部に通信可能に接続されたセンタ制御部内のコンピュータに、
少なくとも一つの前記ローカル制御部から、通過するパケットが不正アクセスのためのウィルスパケットであるという通知および該ウィルスパケットの情報を受信するステップと、
受信した情報を元に所定のローカル制御部に前記ルータ間の通信回線を遮断させるステップと、
を実行させることを特徴とするプログラム。（５）

本発明の一実施形態に係るＩＰネットワークにおける不正アクセス防御システムを示す図である。 図１に示すローカル制御部内の通常時の回線経路を示す図である。 ローカル制御部による処理ルーチンのフローチャートである。 センタ制御部による処理ルーチンのフローチャートである。 図１に示すＩＰネットワーク内でＤＯＳ攻撃が行われたときにウィルスメールの侵入経路を遮断する例を示す図である。 図１に示すローカル制御部内のＤＯＳ攻撃検出時の回線経路を示す図である。 図５に示すＢ支店ネットワーク内のサーバが不正アクセス検出時にユーザに提供する各種サービスを説明する図である。 従来技術によるＩＰネットワーク内でＤＯＳ攻撃が行われたときのウィルスメールの伝送経路を示す図である。 従来技術によるＩＰネットワーク内でＤＯＳ攻撃が行われたときにウィルスメールの侵入経路を遮断する例を示す図である。

符号の説明

１０ 本店ネットワーク
１１〜１３ Ａ〜Ｃ支店ネットワーク
１２−１、１３−１ サーバ
１４−１、１４−２、２４１、２４２ ルータ
１５ インターネット
１５−１、１５−２ 端末
１６ センタ制御部
１７−１０〜１７−１３、２７ ローカル制御部
２７１ ＩＰパケット送受信部
２７２ 不正アクセス判定部

Claims (5)

1. ネットワークにおける不正アクセス防御システムにおいて、
   ネットワーク内に分散配置されたルータ間に設けられ、通過するパケットの情報から該パケットが不正アクセスのためのウィルスパケットであると判定するローカル制御部と、
   前記ローカル制御部に通信可能に接続され、少なくとも一つの前記ローカル制御部から前記ウィルスパケットの情報を受信し、受信した情報を元に所定のローカル制御部に前記ルータ間の通信回線を遮断させるセンタ制御部と、
   を備えたことを特徴とするネットワークにおける不正アクセス防御システム。
2. 前記所定のローカル制御部は複数のローカル制御部のうち前記ウィルスパケットの送信先に最も近いローカル制御部であることを特徴とする請求項１に記載のネットワークにおける不正アクセス防御システム。
3. 前記センタ制御部は前記ウィルスパケットの情報のうちＴＴＬ値に基づいて前記所定のローカル制御部を特定することを特徴とする請求項１または２に記載のネットワークにおける不正アクセス防御システム。
4. ネットワークにおける不正アクセス防御方法において、
   ネットワーク内に分散配置されたルータ間に設けられたローカル制御部に通信可能に接続されたセンタ制御部は、
   少なくとも一つの前記ローカル制御部から、通過するパケットが不正アクセスのためのウィルスパケットであるという通知および該ウィルスパケットの情報を受信するステップと、
   受信した情報を元に所定のローカル制御部に前記ルータ間の通信回線を遮断させるステップと、
   を備えたことを特徴とするネットワークにおける不正アクセス防御方法。
5. ネットワークにおける不正アクセス防御のためのプログラムであって、
   ネットワーク内に分散配置されたルータ間に設けられたローカル制御部に通信可能に接続されたセンタ制御部内のコンピュータに、
   少なくとも一つの前記ローカル制御部から、通過するパケットが不正アクセスのためのウィルスパケットであるという通知および該ウィルスパケットの情報を受信するステップと、
   受信した情報を元に所定のローカル制御部に前記ルータ間の通信回線を遮断させるステップと、
   を実行させることを特徴とするプログラム。

Images