JP2009253461A - ネットワーク、通信管理装置、有線スイッチ、無線コントローラ、不正通信の遮断方法およびプログラム - Google Patents

Abstract

【課題】有線接続と無線接続の両方において物理的な階層で不正な通信を遮断できるネットワークを提供する。
【解決手段】コンピュータ装置７００が有線接続によって接続することが可能な有線スイッチ８００と、コンピュータ装置が無線接続によって接続することが可能な無線コントローラ５００と、コンピュータ装置が不正な通信を行っている場合に該コンピュータ装置のＩＰアドレスを通信ログに記録するセキュリティ監視装置３００と、不正な通信を行っているコンピュータ装置を特定する通信管理装置１００とが相互に接続されたネットワーク１であって、通信管理装置が通信ログから抽出されたＩＰアドレスに対応するコンピュータ装置のＭＡＣアドレスを特定する装置検索手段１３０を含み、有線スイッチおよび無線コントローラが各々、特定されたＭＡＣアドレスを持つ機器からの接続を拒否する。
【選択図】図１

Description

本発明はコンピュータネットワークにおける不正な通信の遮断に関し、特にコンピュータが有線接続と無線接続の両方で接続可能なネットワークで不正な通信を遮断することに関する。

ネットワークが普及したことに伴い、コンピュータウィルスなどに起因する不正な通信は社会的な問題となっている。特に企業や公的機関など、多数のコンピュータ装置を有線接続もしくは無線接続で接続するイントラネットを有する機関においては、不正な通信を行っている機器が接続されて被害が拡大することを防止することは、極めて重要である。

このため、次に示すような従来技術がある。特許文献１には、通信を許可および拒否する機器のＭＡＣアドレスをそれぞれ許可テーブルおよび拒否テーブルに登録し、前者に登録された機器からの通信を許可し、後者に登録された機器からの通信を拒否するという無線ネットワークが開示されている。特許文献２には、コンピュータウィルスの攻撃元を含むサブネットワークを特定するというネットワークが開示されている。

特許文献３には、コンピュータウィルスに感染した無線端末が他のエリアに移動しても、感染した端末からのアクセスを制限することによりウィルスの拡大を防止するという無線ネットワークが開示されている。特許文献４には、不正な通信を行う機器が通信中継装置に接続している接続口を特定し、該接続口からの通信を遮断するというネットワークが開示されている。

特開２００６−００５８７９号公報 特開２００６−２５２２７７号公報 特開２００６−３１９８７２号公報 特開２００６−３３２９９７号公報

多くの企業や公的機関などのイントラネットでは、コンピュータ装置を有線接続と無線接続のいずれでも接続できるようになっている。その中で、従業員はノートＰＣ（ノートブック型のパーソナルコンピュータ装置）を持ち歩き、必要な場所（たとえば自室の机、会議室、製造や研究の現場など）でイントラネットに接続して使用している。その場合のノートＰＣとイントラネットとの接続は、有線接続と無線接続のいずれでも可能である。

その中に不正な通信を行っているノートＰＣがある場合、従来技術では、該イントラネットが備えているセキュリティ監視装置によって、そのノートＰＣを特定して、その不正な通信を遮断することはできる。しかしながら、一度通信を遮断されたノートＰＣを、同一ネットワーク内の別の箇所に再接続した場合、改めてセキュリティ監視装置が不正な通信を検出する必要があった。

特に有線接続と無線接続のいずれでも接続できる場合、たとえば有線接続で不正な通信を行って接続を拒否されたノートＰＣが無線接続に切り替えた場合、逆に無線接続で不正な通信を行って接続を拒否されたノートＰＣが有線接続に切り替えた場合、それらのいずれにおいても、改めてセキュリティ監視装置が不正な通信を検出しないとそのノートＰＣの不正な通信を遮断することはできない。

不正な通信による被害の拡大を防止するためには、可及的速やかに不正な通信を遮断することが必要である。従って、該ノートＰＣが接続された時点で物理的な階層において通信を遮断することが可能であることが望ましい。特に、有線接続と無線接続のいずれにおいて不正な通信が検出された場合であっても、有線接続と無線接続の両方において物理的な階層で該ノートＰＣの通信を遮断できることが望ましい。しかしながら、前述の特許文献１〜４では、有線接続と無線接続の両方において物理的な階層で不正な通信を遮断できるという構成を備えたものはない。

本発明の目的は、パーソナルコンピュータ装置が有線接続と無線接続の両方においてネットワークに接続可能であり、かつ有線接続と無線接続の両方において物理的な階層で不正な通信を遮断できるネットワーク、通信管理装置、有線スイッチ、無線コントローラ、不正通信の遮断方法およびプログラムを提供することにある。

上記目的を達成するため、本発明に係るネットワークは、コンピュータ装置が有線接続によって接続することが可能な有線スイッチと、コンピュータ装置が無線接続によって接続することが可能な無線コントローラと、コンピュータ装置が不正な通信を行っている場合に該コンピュータ装置のＩＰアドレスを通信ログに記録するセキュリティ監視装置と、不正な通信を行っているコンピュータ装置を特定する通信管理装置とが相互に接続されたネットワークであって、通信管理装置が、通信ログからＩＰアドレスを抽出する不正通信記録収集手段と、ＩＰアドレスに対応するコンピュータ装置のＭＡＣアドレスを特定する装置検索手段とを含み、有線スイッチおよび無線コントローラが各々、特定されたＭＡＣアドレスを持つ機器からの接続を拒否する機能を備えることを特徴とする。

上記目的を達成するため、本発明に係る通信管理装置は、コンピュータ装置が有線接続によって接続することが可能な有線スイッチと、コンピュータ装置が無線接続によって接続することが可能な無線コントローラと、コンピュータ装置が不正な通信を行っている場合に該コンピュータ装置のＩＰアドレスを通信ログに記録するセキュリティ監視装置の各々とネットワークで相互に接続された通信管理装置であって、通信ログからＩＰアドレスを抽出する不正通信記録収集手段と、ＩＰアドレスに対応するコンピュータ装置のＭＡＣアドレスを特定する装置検索手段と、有線スイッチに特定されたＭＡＣアドレスを拒否させる有線通信拒否手段と、無線コントローラに特定されたＭＡＣアドレスを拒否させる無線通信拒否手段とを有することを特徴とする。

上記目的を達成するため、本発明に係る有線スイッチは、コンピュータ装置が有線接続によってネットワークに接続することが可能な有線スイッチであって、接続を拒否する機器のＭＡＣアドレスの一覧であり、外部から特定のＭＡＣアドレスを追加することが可能な接続拒否ＭＡＣアドレステーブルを有することを特徴とする。

上記目的を達成するため、本発明に係る無線コントローラクは、コンピュータ装置が無線接続によってネットワークに接続することが可能な無線コントローラであって、
接続を拒否する機器のＭＡＣアドレスの一覧であり、外部から特定のＭＡＣアドレスを追加することが可能な接続拒否ＭＡＣアドレステーブルを有することを特徴とする。

上記目的を達成するため、本発明に係る不正通信の遮断方法は、コンピュータ装置が有線接続によって接続することが可能な有線スイッチと、コンピュータ装置が無線接続によって接続することが可能な無線コントローラと、不正な通信を検出するセキュリティ監視装置と、不正な通信を行っている装置を特定する通信管理装置とが相互に接続されたネットワークにあって、不正な通信を遮断する方法であって、セキュリティ監視装置が、コンピュータ装置が不正な通信を行っていることを検出する不正通信検出工程と、セキュリティ監視装置が、不正な通信を行っているコンピュータ装置のＩＰアドレスを通信ログに記録する通信ログ記録工程と、通信管理装置が、通信ログからＩＰアドレスを抽出するＩＰアドレス抽出工程と、通信管理装置が、ＩＰアドレスに対応するコンピュータ装置のＭＡＣアドレスを特定するＭＡＣアドレス特定工程と、有線スイッチおよび無線コントローラが各々、特定されたＭＡＣアドレスを持つ機器からの接続を拒否するＭＡＣアドレス拒否工程とを有することを特徴とする。

上記目的を達成するため、本発明に係る不正通信遮断プログラムは、コンピュータ装置が有線接続によって接続することが可能な有線スイッチと、コンピュータ装置が無線接続によって接続することが可能な無線コントローラと、コンピュータ装置が不正な通信を行っている場合に該コンピュータ装置のＩＰアドレスを通信ログに記録するセキュリティ監視装置の各々とネットワークで相互に接続された通信管理装置にあって、通信管理装置を構成するコンピュータに、通信ログからＩＰアドレスを抽出するＩＰアドレス抽出処理と、
ＩＰアドレスに対応するコンピュータ装置のＭＡＣアドレスを特定するＭＡＣアドレス特定処理と、有線スイッチに特定されたＭＡＣアドレスを拒否させる有線通信拒否処理と、無線コントローラに特定されたＭＡＣアドレスを拒否させる無線通信拒否処理とを実行させることを特徴とする。

本発明は、機器のＭＡＣアドレスを特定し、有線スイッチおよび無線コントローラが各々特定されたＭＡＣアドレスを持つ機器からの接続を拒否するように構成したので、有線接続と無線接続のいずれにおいてもこのＭＡＣアドレスを持つ機器がネットワークに接続することはできなくなる。これによって、パーソナルコンピュータ装置が有線接続と無線接続の両方においてネットワークに接続可能であり、かつ有線接続と無線接続の両方において物理的な階層で不正な通信を遮断できるという、従来にない優れたネットワーク、通信管理装置、有線スイッチ、無線コントローラ、不正通信の遮断方法およびプログラムを提供することができる。

図１は、本発明の実施の形態に係るネットワーク１の構成を示すブロック図である。ネットワーク１は、通信管理装置１００とセキュリティ監視装置３００と第１のスイッチ装置４００とがＴＣＰ／ＩＰネットワーク２００によって相互に接続され、第１のスイッチ装置４００にワイヤレスコントローラ５００と第２のスイッチ装置８００が接続され、ワイヤレスコントローラ５００はアクセスポイント装置６００を備え、パーソナルコンピュータ装置（以後ＰＣ装置）７００はアクセスポイント装置６００への無線接続と第２のスイッチ装置８００への有線接続のいずれかが可能であるという構成によってなる。

図１では基本的な実施の形態の例を示すため、第１のスイッチ装置４００、ワイヤレスコントローラ５００、アクセスポイント装置６００、第２のスイッチ装置８００は各々１台ずつしか示されていないが、実際には複数台存在しうる。１つのワイヤレスコントローラ５００に複数のアクセスポイント装置６００が接続されていてもよい。また第１のスイッチ装置４００と第２のスイッチ装置８００とが各々備えるポートの数、およびＰＣ装置７００がＴＣＰ／ＩＰネットワーク２００に接続されるまでに経由するスイッチ装置の数も任意である。

通信管理装置１００とセキュリティ監視装置３００は、それぞれコンピュータ装置によって構成されるが、この両者が物理的に別々のコンピュータ装置であっても、同一のコンピュータ装置であってもよい。以後に説明する方法を、それらのコンピュータ装置によって実行されるプログラムとして実現することももちろん可能である。

セキュリティ監視装置３００は自らのＩＰアドレス３０１と不正通信記録３１１を持ち、ＴＣＰ／ＩＰネットワーク２００で行われる通信を監視して不正な通信を検出し、検出された不正な通信についての情報を不正通信記録３１１として記録する。かつ、不正通信記録３１１に記録された情報があることを通信管理装置１００に通知することもできる。なお、具体的な不正通信の検出方法については、公知技術を適用することができる。

図２は、図１で示した不正通信記録３１１に記録される内容の一例を示す概念図である。不正通信記録３１１は、不正通信の送信元のＩＰアドレス３１１ａと、不正通信の内容３１１ｂと、不正通信の送信先のＩＰアドレス３１１ｃとが主に含まれるが、これら以外の情報を適宜含むものとしてもよい。

図１に戻って、ＰＣ装置７００は一般的な情報処理装置であり、アクセスポイント装置６００への無線接続と第２のスイッチ装置８００への有線接続のいずれかによってネットワーク１に接続することができる。ＰＣ装置７００には自らのＩＰアドレス７０１とＭＡＣアドレス７１１とが割り当てられている。

アクセスポイント装置６００はＰＣ装置７００とワイヤレスコントローラ５００との間の無線通信を実現する装置である。アクセスポイント装置６００にも、自らのＩＰアドレス６０１とＭＡＣアドレス６１１とが割り当てられている。

ワイヤレスコントローラ５００には１つ以上のアクセスポイント装置６００が付属しており、アクセスポイント装置６００に無線通信で接続されているＰＣ装置７００などの装置を第１のスイッチ装置４００に接続する。

ワイヤレスコントローラ５００は、第１のスイッチ装置４００との間の接続インタフェースであるポート５０１を持ち、ポート５０１にはＩＰアドレス５０１ａとＭＡＣアドレス５０１ｂが割り当てられている。また、ワイヤレスコントローラ５００は接続装置ＭＡＣアドレステーブル５２１と接続拒否ＭＡＣアドレステーブル５３１を持つ。

図３は、図１で示した接続装置ＭＡＣアドレステーブル５２１および接続拒否ＭＡＣアドレステーブル５３１に記録される内容の一例を示す概念図である。接続装置ＭＡＣアドレステーブル５２１は、現在ワイヤレスコントローラ５００を介して通信を行っている機器のＩＰアドレス５２１ａとＭＡＣアドレス５２１ｂとが主に含まれる。接続拒否ＭＡＣアドレステーブル５３１は、ワイヤレスコントローラ５００が接続を拒否する機器のＭＡＣアドレス５３１ａが主に含まれる。共に、これら以外の情報を適宜含むものとしてもよい。

図１に戻って、第１のスイッチ装置４００は有線で通信を実現する装置である。これによって、ワイヤレスコントローラ５００と、後述の第２のスイッチ装置８００とが、ＴＣＰ／ＩＰネットワーク２００に接続され、ＰＣ装置７００とＴＣＰ／ＩＰネットワーク２００との通信が可能となる。

第１のスイッチ装置４００は、ワイヤレスコントローラ５００との間の接続インタフェースであるポート４０１と、第２のスイッチ装置８００との間の接続インタフェースであるポート４０２とを持つ。ポート４０１にはＩＰアドレス４０１ａとＭＡＣアドレス４０１ｂが割り当てられ、また該ポートが通信可能であるか否かを示す通信状態４０１ｃを持つ。通信状態４０１ｃの初期値は「通信可能」である。同様にポート４０２にも、ＩＰアドレス４０２ａとＭＡＣアドレス４０２ｂが割り当てられ、通信状態４０２ｃを持つ。通信状態４０２ｃの初期値も「通信可能」である。

さらに第１のスイッチ装置４００は、スイッチ装置アドレス解決テーブル４１１とスイッチ装置ポートＭＡＣアドレステーブル４１２を持つ。

図４は、図１で示したスイッチ装置アドレス解決テーブル４１１およびスイッチ装置ポートＭＡＣアドレステーブル４１２に記録される内容の一例を示す概念図である。スイッチ装置アドレス解決テーブル４１１は、現在第１のスイッチ装置４００を介して通信を行っている機器のＩＰアドレス４１１ａとＭＡＣアドレス４１１ｂとが主に含まれる。スイッチ装置ポートＭＡＣアドレステーブル４１２は、第１のスイッチ装置４００のＩＰアドレス４１２ａとポート名４１２ｂと、各々のポートで通信している機器のＭＡＣアドレス４１２ｃとが主に含まれる。共に、これら以外の情報を適宜含むものとしてもよい。

第２のスイッチ装置８００は、第１のスイッチ装置４００とＰＣ装置７００との間を有線で接続する装置である。第２のスイッチ装置８００は、第１のスイッチ装置４００との間の接続インタフェースであるポート８０１と、ＰＣ装置７００との間の接続インタフェースであるポート８０１とを持つ。

ポート８０１にはＩＰアドレス８０１ａとＭＡＣアドレス８０１ｂが割り当てられ、通信状態８０１ｃを持つ。通信状態８０１ｃの初期値は「通信可能」である。同様にポート８０２にも、ＩＰアドレス８０２ａとＭＡＣアドレス８０２ｂが割り当てられ、通信状態８０２ｃを持つ。通信状態８０２ｃの初期値も「通信可能」である。

さらに第２のスイッチ装置８００は、スイッチ装置アドレス解決テーブル８１１とスイッチ装置ポートＭＡＣアドレステーブル８１２と、接続拒否ＭＡＣアドレステーブル８１３を持つ。

図５は、図１で示したスイッチ装置アドレス解決テーブル８１１、スイッチ装置ポートＭＡＣアドレステーブル８１２、および接続拒否ＭＡＣアドレステーブル８１３に記録される内容の一例を示す概念図である。スイッチ装置アドレス解決テーブル８１１は、現在第２のスイッチ装置８００を介して通信を行っている機器のＩＰアドレス８１１ａとＭＡＣアドレス８１１ｂとが主に含まれる。

スイッチ装置ポートＭＡＣアドレステーブル８１２は、第２のスイッチ装置８００のＩＰアドレス８１２ａとポート名８１２ｂと、各々のポートで通信している機器のＭＡＣアドレス８１２ｃとが主に含まれる。接続拒否ＭＡＣアドレステーブル８１３は、第２のスイッチ装置８００に接続して通信することが不能な機器のＭＡＣアドレス８１３ａが主に含まれる。いずれも、これら以外の情報を適宜含むものとしてもよい。

図１に戻って、通信管理装置１００は、装置接続構成管理手段１１０、不正通信記録収集手段１２０、装置検索手段１３０、無線通信遮断手段１４０、有線通信遮断手段１５０、および有線通信拒否手段１６０を持つ。また、装置接続情報テーブル１１１およびアクセスポイント装置ＭＡＣアドレステーブル１１２を記憶する。

図６は、図１で示した装置接続情報テーブル１１１に記録される内容の一例を示す概念図である。装置接続情報テーブル１１１は、通信管理装置１００が管理する各スイッチ装置４００または８００とワイヤレスコントローラ５００の接続構成の情報であり、各々の装置の装置名１１１ａと、各々の装置が備えるポートのポート名１１１ｂ、該ポートに割り当てられたＩＰアドレス１１１ｃとそのサブネットマスク１１１ｄ、そして該ポートが接続する接続先装置名１１１ｅと接続先ポート名１１１ｆが主に含まれる。これら以外の情報を適宜含むものとしてもよい。

図７は、図１で示したアクセスポイント装置ＭＡＣアドレステーブル１１２に記録される内容の一例を示す概念図である。アクセスポイント装置ＭＡＣアドレステーブル１１２は、通信管理装置１００が管理する装置のうち、ワイヤレスコントローラ５００の管理下にあるアクセスポイント装置のＭＡＣアドレスの一覧である。各装置のワイヤレスコントローラ装置名１１２ａとそのＩＰアドレス１１２ｂ、該装置の設置場所についての情報である建物１１２ｃとそのサブネットマスク１１２ｄ、さらに各々のワイヤレスコントローラ５００に接続されるアクセスポイント装置６００のアクセスポイント装置名１１２ｅとそのＭＡＣアドレス１１２ｆが主に含まれる。これら以外の情報を適宜含むものとしてもよい。

装置接続構成管理手段１１０は、装置接続情報テーブル１１１に情報を読み書きして管理する。不正通信記録収集手段１２０は、セキュリティ監視装置３００から不正通信記録３１１を取得して収集する。装置検索手段１３０は、通信を行っている装置のＩＰアドレスを基に、各装置の接続先を検索する。無線で通信を行っている装置に対しては、接続先のアクセスポイント装置６００とワイヤレスコントローラ５００を検索する。また有線で通信を行っている装置に対しては、接続先のスイッチ装置４００または８００を検索する。

無線通信遮断手段１４０は、ワイヤレスコントローラ５００が持つ接続拒否ＭＡＣアドレステーブル５３１に、通信を遮断する対象となる装置のＭＡＣアドレスを追加する。有線通信遮断手段１５０は、スイッチ装置４００または８００が持つ各ポートの中で通信を遮断する対象となる装置が接続されたポートの使用情報を、利用可能から利用不可能に書き換える。有線通信拒否手段１６０は、第２のスイッチ装置８００の接続拒否ＭＡＣアドレステーブル８１３に、通信を遮断する対象となる装置のＭＡＣアドレスを追加する。

図８は、図１で示したセキュリティ監視装置３００および不正通信記録収集手段１２０が実行する、不正通信記録３１１の取得の動作を示すフローチャートである。セキュリティ監視装置３００は、ＴＣＰ／ＩＰネットワーク２００に接続している間、常時不正通信の有無を監視している（ステップＳ０１１）。いま、ＴＣＰ／ＩＰネットワーク２００に接続しているＰＣ装置７００が不正な通信を実行しているものとする。

不正通信を検出したセキュリティ監視装置３００は、この不正通信を検出し（ステップＳ０１１：ＹＥＳ）、検出された不正通信についてのデータを不正通信記録３１１に記録する（ステップＳ０１２）。具体的には、図２に示した不正通信の送信元のＩＰアドレス３１１ａと、不正通信の内容３１１ｂと、不正通信の送信先のＩＰアドレス３１１ｃとが不正通信記録３１１に記録される。同時に、セキュリティ監視装置３００は不正通信記録３１１に記録されたデータがあることを不正通信記録収集手段１２０に通知する。この通知には、Ｓｙｓｌｏｇプロトコル、もしくはＳＮＭＰトラップなどを利用することができる。

不正通信記録収集手段１２０は、この通知に反応して、不正通信記録３１１をセキュリティ監視装置３００から取得し、その記録データから不正通信の送信元のＩＰアドレス３１１ａ（この場合はＰＣ装置７００のＩＰアドレス７０１）を抽出し、特定されたＩＰアドレス７０１を装置検索手段１３０に渡す（ステップＳ０１３）。

ここで、特定された不正通信を行っているＰＣ装置７００の、ネットワーク１への接続が無線接続であるか有線接続であるかによって動作が一部異なる部分がある。ここでは、無線接続である場合は図９〜１１、有線接続である場合は図１２〜１４で説明する。

図９は、図１で示した装置検索手段１３０が実行する、不正な通信を行っているＰＣ装置７００が無線接続である場合の、不正通信を行った機器の特定の動作を示すフローチャートである。ＩＰアドレス７０１を受け取った装置検索手段１３０は、装置接続情報テーブル１１１の中からＩＰアドレス７０１と同一のネットワークアドレスを持つスイッチ装置を抽出する（ステップＳ０２１）。ちなみにネットワークアドレスは、ＩＰアドレス１１１ｃとそのサブネットマスク１１１ｄとの論理積から求められる。

続いて装置検索手段１３０は、ステップＳ０２１で抽出された各スイッチ装置から、スイッチ装置アドレス解決テーブル４１１を収集して（ステップＳ０２２）、それらからＩＰアドレス４１１ａを抽出し、その中に不正な通信を実行したＩＰアドレス７０１に対応するＭＡＣアドレス６１１が含まれるスイッチ装置アドレス解決テーブル４１１を持つスイッチ装置４００を特定する。（ステップＳ０２３）。ここで、ＰＣ装置７００のネットワーク１への接続が無線接続であることが特定される。

次に装置検索手段１３０は、アクセスポイント装置ＭＡＣアドレステーブル１１２を参照して、ＭＡＣアドレス６１１の装置がアクセスポイント装置であり、ワイヤレスコントローラ５００の管理下にある装置であると特定する（ステップＳ０２４）。

続いて装置検索手段１３０は、ステップＳ０２４で特定したワイヤレスコントローラ５００から接続装置ＭＡＣアドレステーブル５２１を収集し（ステップＳ０２５）、これを参照して、ＩＰアドレス７０１の装置のＭＡＣアドレス７１１を特定する（ステップＳ０２６）。

そして装置検索手段１３０は、アクセスポイント装置ＭＡＣアドレステーブル１１２を参照して、ステップＳ０２４で特定したアクセスポイント装置６００と同じ建物の同じ階にあるアクセスポイント装置６００およびワイヤレスコントローラ５００を特定する（ステップＳ０２７）。

図１０は、図１で示した無線通信遮断手段１４０が実行する、不正通信を行った機器の無線接続の遮断の動作を示すフローチャートである。無線通信遮断手段１４０は、装置検索手段１３０によって特定されたワイヤレスコントローラ５００の接続拒否装置ＭＡＣアドレステーブル５３１に、装置検索手段１３０で特定されたＩＰアドレス７０１のＭＡＣアドレス７１１を追加する（ステップＳ０３１）。

ワイヤレスコントローラ５００はＳＳＩＤ単位に接続拒否装置ＭＡＣアドレステーブル５３１を配布する（ステップＳ０３２）。ＰＣ装置７００は、ワイヤレスコントローラ５００の管理下にあるアクセスポイント装置６００を含むいずれのアクセスポイント装置を使用した接続および通信も不可能となる。また、ステップＳ０２７で特定された、ワイヤレスコントローラ５００と同一の建物および階にあるワイヤレスコントローラ装置を使用した接続および通信も不可能となる（ステップＳ０３３）。

図１１は、図１で示した有線通信拒否手段１６０が実行する、不正通信を行った機器の有線接続の拒否の動作を示すフローチャートである。有線通信拒否手段１６０は、装置検索手段１３０で特定されたＩＰアドレス７０１のＭＡＣアドレス７１１を、第２のスイッチ装置８００の接続拒否ＭＡＣアドレステーブル８１３に追加する（ステップＳ０３５）。

これによって、ＰＣ装置７００が無線接続をあきらめて、有線接続で第２のスイッチ装置８００のポート８０１もしくは８０２のいずれかに接続しても、接続拒否ＭＡＣアドレステーブル８１３にＭＡＣアドレス７１１があるため、通信を行うことはできない（ステップＳ０３６）。

図１２は、図１で示した装置検索手段１３０が実行する、不正な通信を行っているＰＣ装置７００が有線接続である場合の、不正通信を行った機器の特定の動作を示すフローチャートである。ＩＰアドレス７０１を受け取った装置検索手段１３０は、装置接続情報テーブル１１１の中からＩＰアドレス７０１と同一のネットワークアドレスを持つスイッチ装置を抽出する（ステップＳ０４１）。

続いて装置検索手段１３０は、ステップＳ０４１で抽出された各スイッチ装置から、スイッチ装置アドレス解決テーブル４１１を収集して（ステップＳ０４２）、それらからＩＰアドレス４１１ａを抽出し、その中に不正な通信を実行したＩＰアドレス７０１に対応するＭＡＣアドレス７１１が含まれるスイッチ装置アドレス解決テーブル４１１を持つスイッチ装置４００を特定する。（ステップＳ０４３）。ここまでの動作は図９のステップＳ０２１〜２３と同一であり、ここでＰＣ装置７００のネットワーク１への接続が有線接続であることが特定される。

次に装置検索手段１３０は、装置接続情報テーブル１１１のスイッチ装置４００の各ポートのＩＰアドレスとサブネットマスクからネットワークアドレスを求めて、不正な通信を実行した装置のＩＰアドレス７０１と同一のネットワークアドレスを持つスイッチ装置のポートを装置接続情報テーブル１１１から全て抽出する（ステップＳ０４４・１回目）。

次に装置検索手段１３０は、前述のステップＳ０４４で抽出されたポートを持つスイッチ装置４００から、スイッチ装置ポートＭＡＣアドレステーブル４１２を収集し（ステップＳ０４５・１回目）、収集されたスイッチ装置ポートＭＡＣアドレステーブル４１２から、不正な通信を実行した装置のＭＡＣアドレス７１１をキーに、不正な通信を実行した装置の通信があるポート４０２を特定する（ステップＳ０４６・１回目）。

次に装置検索手段１３０は、ステップＳ０４６で特定されたポート４０２をキーとして、
ポート４０２の接続先の装置とポート８０１を装置接続情報テーブル１１１から特定して（ステップＳ０４７・１回目）、特定されたポート８０１の接続先がスイッチ装置であるか否かを判定する（ステップＳ０４８・１回目）。この例で特定した接続先はスイッチ装置８００であるので、ＹＥＳの分岐に進んでステップＳ０４４に戻る。

ステップＳ０４４に戻って、装置検索手段１３０は装置接続情報テーブル１１１のスイッチ装置８００の各ポートのＩＰアドレスとサブネットマスクからネットワークアドレスを求め、不正な通信を実行した装置のＩＰアドレス７０１と同じネットワークアドレスを持つスイッチ装置のポートを装置接続情報テーブル１１１から全て抽出する（ステップＳ０４４・２回目）。

続いて装置検索手段１３０は、ステップＳ０４４・２回目で抽出したポートを持つスイッチ装置８００からスイッチ装置ポートＭＡＣアドレステーブル８１２を収集し（ステップＳ０４５・２回目）、ここから不正な通信を実行した装置のＭＡＣアドレス７１１をキーに、不正な通信を実行した装置の通信があるポート８０１および８０２を特定する（ステップＳ０４６・２回目）。

次に装置検索手段１３０は、ステップＳ０４６・２回目で特定されたポート８０１および８０２をキーに、ポート８０１の接続先のスイッチ装置４００とポート４０２、およびとポート８０２の接続先を装置接続情報テーブル１１１から抽出する。このうちポート８０１は既にステップＳ０４７・１回目で特定されているので除外して、ポート８０２の接続先がスイッチ装置ではないことを装置接続情報テーブル１１１から特定する（ステップＳ０４７・２回目）。

そして装置検索手段１３０は、ステップＳ０４７・２回目で特定されたポートの接続先がスイッチ装置がどうかを判定する（ステップＳ０４８・２回目）。今回特定した装置はスイッチ装置ではないのでＮｏの分岐に進み、これによってポート８０２にＩＰアドレス７０１の装置であるＰＣ装置７００が接続されていることを特定する（ステップＳ０４９）。

図１３は、図１で示した有線通信遮断手段１５０および有線通信拒否手段１６０が実行する、不正通信を行った機器の有線接続の遮断の動作を示すフローチャートである。有線通信遮断手段１５０はスイッチ装置８００で、装置検索手段１３０が特定したポート８０１の通信状態８０１ｃを［通信可能］から［通信不可能］に変更する（ステップＳ０５１）。

さらに有線通信拒否手段１６０が、装置検索手段１３０で特定されたＩＰアドレス７０１のＭＡＣアドレス７１１を、第２のスイッチ装置８００の接続拒否ＭＡＣアドレステーブル８１３に追加する（ステップＳ０５２）。これによって、ＰＣ装置７００はスイッチ装置８００のポート８０１を使用した通信が不可能となる。さらに、ＰＣ装置７００が第２のスイッチ装置８００のポート８０１との接続を外してポート８０２に改めて接続しても、接続拒否ＭＡＣアドレステーブル８１３にＭＡＣアドレス７１１があるため、通信を行うことはできない（ステップＳ０５３）。

図１４は、図１で示した無線通信遮断手段１４０が実行する、不正通信を行った機器の無線接続の拒否の動作を示すフローチャートである。無線通信遮断手段１４０は、装置検索手段１３０で特定されたＩＰアドレス７０１のＭＡＣアドレス７１１を、前述のステップＳ０３１と同様にして、ワイヤレスコントローラ５００の接続拒否ＭＡＣアドレステーブル５３１に追加する（ステップＳ０５５）。

これによって、ＰＣ装置７００が有線接続をあきらめて無線接続でワイヤレスコントローラ５００に接続しても、接続拒否ＭＡＣアドレステーブル５３１にＭＡＣアドレス７１１があるため、通信を行うことはできない（ステップＳ０５６）。

以上で述べたように、本発明の装置では、有線接続で不正な通信を行って接続を拒否された装置が無線接続に切り替えた場合と、逆に無線接続で不正な通信を行って接続を拒否された装置が有線接続に切り替えた場合の、いずれにおいても有線接続と無線接続の両方を拒否することができるので、装置の再接続による不正な通信の影響が及ぶことを効果的に防止することが可能となる。

なお、以上で述べた実施例では、装置検索手段１３０が必要に応じて接続装置ＭＡＣアドレステーブル５２１、スイッチ装置アドレス解決テーブル４１１および８１１、スイッチ装置ポートＭＡＣアドレステーブル４１２および８１２などを収集するようにした。これを、装置検索手段１３０がこれらのアドレステーブルを収集するのではなく、特定のＩＰに対応するＭＡＣアドレスおよびポートなどについて各機器に照会するように構成することもできる。

ＰＣ装置７００において不正通信の原因（ウィルスなど）が解消された場合には、通信管理装置１００から第１のスイッチ装置４００、第２のスイッチ装置８００、ワイヤレスコントローラ５００などの各々の機器に適宜コマンドを送って、接続拒否ＭＡＣアドレステーブル５３１および８１３に該当するＭＡＣアドレス７１１を削除するとよい。

これまで本発明について図面に示した特定の実施の形態をもって説明してきたが、本発明は図面に示した実施の形態に限定されるものではなく、本発明の効果を奏する限り、これまで知られたいかなる構成であっても採用することができることは言うまでもないことである。

複数のコンピュータ装置を有線接続もしくは無線接続で接続するネットワークにおいて利用可能である。

本発明の実施の形態に係るネットワークの構成を示すブロック図である。 図１で示した不正通信記録に記録される内容の一例を示す概念図である。 図１で示した接続装置ＭＡＣアドレステーブルおよび接続拒否ＭＡＣアドレステーブルに記録される内容の一例を示す概念図である。 図１で示したスイッチ装置アドレス解決テーブルおよびスイッチ装置ポートＭＡＣアドレステーブルに記録される内容の一例を示す概念図である。 図１で示したスイッチ装置アドレス解決テーブル、スイッチ装置ポートＭＡＣアドレステーブル、および接続拒否ＭＡＣアドレステーブルに記録される内容の一例を示す概念図である。 図１で示した装置接続情報テーブルに記録される内容の一例を示す概念図である。 図１で示したアクセスポイント装置ＭＡＣアドレステーブルに記録される内容の一例を示す概念図である。 図１で示したセキュリティ監視装置および不正通信記録収集手段が実行する、不正通信記録の取得の動作を示すフローチャートである。 図１で示した装置検索手段が実行する、不正な通信を行っているＰＣ装置が無線接続である場合の、不正通信を行った機器の特定の動作を示すフローチャートである。 図１で示した無線通信遮断手段が実行する、不正通信を行った機器の無線接続の遮断の動作を示すフローチャートである。 図１で示した有線通信拒否手段が実行する、不正通信を行った機器の有線接続の拒否の動作を示すフローチャートである。 図１で示した装置検索手段が実行する、不正な通信を行っているＰＣ装置が有線接続である場合の、不正通信を行った機器の特定の動作を示すフローチャートである。 図１で示した有線通信遮断手段および有線通信拒否手段が実行する、不正通信を行った機器の有線接続の遮断の動作を示すフローチャートである。 図１で示した無線通信遮断手段が実行する、不正通信を行った機器の無線接続の拒否の動作を示すフローチャートである。

符号の説明

１ ネットワーク
１００ 通信管理装置
１１０ 装置接続構成管理手段
１１１ 装置接続情報テーブル
１１２ アクセスポイント装置ＭＡＣアドレステーブル
１２０ 不正通信記録収集手段
１３０ 装置検索手段
１４０ 無線通信遮断手段
１５０ 有線通信遮断手段
１６０ 有線通信拒否手段
２００ ＴＣＰ／ＩＰネットワーク
３００ セキュリティ監視装置
３１１ 不正通信記録
４００ 第１のスイッチ装置
４１１ スイッチ装置アドレス解決テーブル
４１２ スイッチ装置ポートＭＡＣアドレステーブル
５００ ワイヤレスコントローラ
５２１ 接続装置ＭＡＣアドレステーブル
５３１ 接続拒否ＭＡＣアドレステーブル
６００ アクセスポイント装置
７００ ＰＣ装置
８００ 第２のスイッチ装置
８１１ スイッチ装置アドレス解決テーブル
８１２ スイッチ装置ポートＭＡＣアドレステーブル
８１３ 接続拒否ＭＡＣアドレステーブル

Claims (25)

1. コンピュータ装置が有線接続によって接続することが可能な有線スイッチと、
   前記コンピュータ装置が無線接続によって接続することが可能な無線コントローラと、
   前記コンピュータ装置が不正な通信を行っている場合に該コンピュータ装置のＩＰアドレスを通信ログに記録するセキュリティ監視装置と、
   前記不正な通信を行っているコンピュータ装置を特定する通信管理装置とが相互に接続されたネットワークであって、
   前記通信管理装置が、
   前記通信ログから前記ＩＰアドレスを抽出する不正通信記録収集手段と、
   前記ＩＰアドレスに対応するコンピュータ装置のＭＡＣアドレスを特定する装置検索手段とを含み、
   前記有線スイッチおよび無線コントローラが各々、前記特定されたＭＡＣアドレスを持つ機器からの接続を拒否する機能を備えることを特徴とするネットワーク。
2. 前記有線スイッチおよび無線コントローラが各々、接続を拒否する機器のＭＡＣアドレスの一覧である接続拒否ＭＡＣアドレステーブルを有し、
   前記通信管理装置が、前記有線スイッチの接続拒否ＭＡＣアドレステーブルに前記特定されたＭＡＣアドレスを追加する有線通信拒否手段と、前記無線コントローラの接続拒否ＭＡＣアドレステーブルに前記特定されたＭＡＣアドレスを追加する無線通信拒否手段とを有することを特徴とする、請求項１に記載のネットワーク。
3. 前記有線スイッチおよび無線コントローラが各々、現在自らに接続されている機器のＭＡＣアドレスの一覧である接続装置ＭＡＣアドレステーブルを有し、
   前記装置検索手段が、前記接続装置ＭＡＣアドレステーブルを参照することによって前記ＩＰアドレスに対応するＭＡＣアドレスを特定することを特徴とする、請求項２に記載のネットワーク。
4. 前記有線スイッチが、自らが備える複数のポートごとに通信を行っている機器の一覧であるポートＭＡＣアドレステーブルを備え、
   前記装置検索手段が、前記接続装置ＭＡＣアドレステーブルを参照することによって前記ＩＰアドレスに対応する機器が接続されているポートを特定することを特徴とする、請求項３に記載のネットワーク。
5. 前記通信管理装置が、前記有線スイッチで前記ＩＰアドレスに対応する機器が接続されているポートを通信不可能に設定する有線通信遮断手段を有することを特徴とする、請求項４に記載のネットワーク。
6. 前記セキュリティ監視装置が、不正な通信を検出した場合に前記通信ログに記録データがある旨を前記通信管理装置に通知することを特徴とする、請求項１または請求項２に記載のネットワーク。
7. コンピュータ装置が有線接続によって接続することが可能な有線スイッチと、前記コンピュータ装置が無線接続によって接続することが可能な無線コントローラと、前記コンピュータ装置が不正な通信を行っている場合に該コンピュータ装置のＩＰアドレスを通信ログに記録するセキュリティ監視装置の各々とネットワークで相互に接続された通信管理装置であって、
   前記通信ログから前記ＩＰアドレスを抽出する不正通信記録収集手段と、
   前記ＩＰアドレスに対応するコンピュータ装置のＭＡＣアドレスを特定する装置検索手段と、
   前記有線スイッチに前記特定されたＭＡＣアドレスを拒否させる有線通信拒否手段と、
   前記無線コントローラに前記特定されたＭＡＣアドレスを拒否させる無線通信拒否手段と
   を有することを特徴とする通信管理装置。
8. 前記有線通信拒否手段が、前記有線スイッチの備える接続拒否ＭＡＣアドレステーブルに前記特定されたＭＡＣアドレスを追加し、
   前記無線通信拒否手段が、前記無線コントローラの備える接続拒否ＭＡＣアドレステーブルに前記特定されたＭＡＣアドレスを追加することを特徴とする、請求項７に記載の通信管理装置。
9. 前記装置検索手段が、前記有線スイッチおよび無線コントローラが各々備える接続装置ＭＡＣアドレステーブルを参照することによって前記ＩＰアドレスに対応するＭＡＣアドレスを特定することを特徴とする、請求項８に記載の通信管理装置。
10. 前記装置検索手段が、前記有線スイッチが備える接続装置ＭＡＣアドレステーブルを参照することによって前記ＩＰアドレスに対応する機器が接続されているポートを特定することを特徴とする、請求項９に記載の通信管理装置。
11. 前記有線スイッチで前記ＩＰアドレスに対応する機器が接続されているポートを通信不可能に設定する有線通信遮断手段を有することを特徴とする、請求項１０に記載の通信管理装置。
12. コンピュータ装置が有線接続によってネットワークに接続することが可能な有線スイッチであって、
    接続を拒否する機器のＭＡＣアドレスの一覧であり、外部から特定のＭＡＣアドレスを追加することが可能な接続拒否ＭＡＣアドレステーブルを有することを特徴とする有線スイッチ。
13. 現在自らに接続されている機器のＭＡＣアドレスの一覧であり、外部から特定のＩＰアドレスに対応するＭＡＣアドレスを参照することが可能な接続装置ＭＡＣアドレステーブルを有することを特徴とする、請求項１２に記載の有線スイッチ。
14. 自らが備える複数のポートごとに通信を行っている機器の一覧であり、外部から特定のＩＰアドレスに対応する機器が接続されているポートを参照することが可能なポートＭＡＣアドレステーブルを有することを特徴とする、請求項１３に記載の有線スイッチ。
15. コンピュータ装置が無線接続によってネットワークに接続することが可能な無線コントローラであって、
    接続を拒否する機器のＭＡＣアドレスの一覧であり、外部から特定のＭＡＣアドレスを追加することが可能な接続拒否ＭＡＣアドレステーブルを有することを特徴とする無線コントローラ。
16. 現在自らに接続されている機器のＭＡＣアドレスの一覧であり、外部から特定のＩＰアドレスに対応するＭＡＣアドレスを参照することが可能な接続装置ＭＡＣアドレステーブルを有することを特徴とする、請求項１５に記載の無線コントローラ。
17. コンピュータ装置が有線接続によって接続することが可能な有線スイッチと、前記コンピュータ装置が無線接続によって接続することが可能な無線コントローラと、不正な通信を検出するセキュリティ監視装置と、前記不正な通信を行っている装置を特定する通信管理装置とが相互に接続されたネットワークにあって、前記不正な通信を遮断する方法であって、
    前記セキュリティ監視装置が、前記コンピュータ装置が不正な通信を行っていることを検出する不正通信検出工程と、
    前記セキュリティ監視装置が、前記不正な通信を行っているコンピュータ装置のＩＰアドレスを通信ログに記録する通信ログ記録工程と、
    前記通信管理装置が、前記通信ログから前記ＩＰアドレスを抽出するＩＰアドレス抽出工程と、
    前記通信管理装置が、前記ＩＰアドレスに対応するコンピュータ装置のＭＡＣアドレスを特定するＭＡＣアドレス特定工程と、
    前記有線スイッチおよび無線コントローラが各々、前記特定されたＭＡＣアドレスを持つ機器からの接続を拒否するＭＡＣアドレス拒否工程とを有することを特徴とする不正通信の遮断方法。
18. 前記通信管理装置が、前記有線スイッチが備える接続拒否ＭＡＣアドレステーブルに前記ＭＡＣアドレス特定工程で特定されたＭＡＣアドレスを追加する有線通信拒否工程と、
    前記通信管理装置が、前記無線コントローラが備える接続拒否ＭＡＣアドレステーブルに前記ＭＡＣアドレス特定工程で特定されたＭＡＣアドレスを追加する無線通信拒否工程とを有することを特徴とする、請求項１７に記載の不正通信の遮断方法。
19. 前記ＭＡＣアドレス特定工程が、前記有線スイッチおよび無線コントローラが各々備える接続装置ＭＡＣアドレステーブルを参照することによって前記通信管理装置が前記ＩＰアドレスに対応するＭＡＣアドレスを特定することを特徴とする、請求項１８に記載の不正通信の遮断方法。
20. 前記ＭＡＣアドレス特定工程が、前記有線スイッチが備える接続装置ＭＡＣアドレステーブルを参照することによって前記通信管理装置が前記ＩＰアドレスに対応する機器が接続されているポートを特定するポート特定工程を含むことを特徴とする、請求項１９に記載の不正通信の遮断方法。
21. 前記通信管理装置が、前記ポート特定工程で特定されたポートを通信不可能に設定する有線通信遮断工程を有することを特徴とする、請求項２０に記載の不正通信の遮断方法。
22. 前記不正通信検出工程が、不正な通信を検出した場合に前記通信ログに記録データがある旨を前記セキュリティ監視装置が前記通信管理装置に通知する不正通信通知工程を含むことを特徴とする、請求項１７または請求項１８に記載の不正通信の遮断方法。
23. コンピュータ装置が有線接続によって接続することが可能な有線スイッチと、前記コンピュータ装置が無線接続によって接続することが可能な無線コントローラと、前記コンピュータ装置が不正な通信を行っている場合に該コンピュータ装置のＩＰアドレスを通信ログに記録するセキュリティ監視装置の各々とネットワークで相互に接続された通信管理装置にあって、前記通信管理装置を構成するコンピュータに、
    前記通信ログから前記ＩＰアドレスを抽出するＩＰアドレス抽出処理と、
    前記ＩＰアドレスに対応するコンピュータ装置のＭＡＣアドレスを特定するＭＡＣアドレス特定処理と、
    前記有線スイッチに前記特定されたＭＡＣアドレスを拒否させる有線通信拒否処理と、
    前記無線コントローラに前記特定されたＭＡＣアドレスを拒否させる無線通信拒否処理と
    を実行させることを特徴とする不正通信遮断プログラム。
24. 前記有線通信拒否処理が、前記有線スイッチの備える接続拒否ＭＡＣアドレステーブルに前記特定されたＭＡＣアドレスを追加し、
    前記無線通信拒否処理が、前記無線コントローラの備える接続拒否ＭＡＣアドレステーブルに前記特定されたＭＡＣアドレスを追加することを特徴とする、請求項２３に記載の不正通信遮断プログラム。
25. 前記ＭＡＣアドレス特定処理が、前記有線スイッチおよび無線コントローラが各々備える接続装置ＭＡＣアドレステーブルを参照することによって前記ＩＰアドレスに対応するＭＡＣアドレスを特定することを特徴とする、請求項２４に記載の不正通信遮断プログラム。

Images