JP2012015684A - 内部ネットワーク管理システム及び内部ネットワーク管理方法及びプログラム - Google Patents

Abstract

【課題】未知のマルウェアからの通信先に対しても通信を有効に遮断できる構成を実現する。
【解決手段】中継装置ログ分析装置１３２は、中継装置１１２から定期的にログデータを受信する。異常検出装置１３１は、企業内部ネットワーク１０３におけるトラフィック異常を検出した際に、異常を発生させた端末装置のＩＰアドレスを中継装置ログ分析装置１３２に通知する。中継装置ログ分析装置１３２は、ルータ装置１２１等で生成されたトラフィック情報を解析してトラフィック異常の発生時刻を特定し、トラフィック異常の発生時刻と異常を発生させた端末装置のＩＰアドレスに基づき中継装置１１２からのログデータを解析し、異常を発生させた端末装置がアクセスしたアドレスを特定し、特定したアドレスをマルウェアからの通信先とし、当該アドレスを宛先とするパケットを遮断するよう中継装置１１２を設定する。
【選択図】図１

Description

本発明は、マルウェアからの通信先を検出し、マルウェアからの通信先へのアクセスを遮断する技術に関する。
マルウェアとは、コンピュータウイルス、ワーム、バックドア、キーロガー、スパイウェア、トロイの木馬など、不正かつ有害な動作を行う意図で作成された悪意のある不正ソフトウェアや悪質な不正コードの総称である。

従来より、不正プログラムであるマルウェアへの対策技術として、マルウェアによって悪用される可能性がある、オペレーティングシステムやソフトウェアの脆弱性に対する修正パッチ（プログラムの不具合を修正するためのモジュール）の自動適用技術や、アンチウイルス対策ソフトウェアが一般的に導入されている。

また、通信トラフィック（以下、単にトラフィックという）の挙動の異常を検知し、異常なトラフィックの発信元からの通信を遮断する方式が存在する（例えば、特許文献１、特許文献２、特許文献３）。
特許文献１では、各端末やサーバにトラフィックを監視するセンサ装置を割り当て、端末からの受信データ量が予め定められた閾値を超えた場合に受信パケットを破棄する方式、ならびに、センサ装置から得られた情報を基に、情報漏洩や不正アクセスを検知して該当するパケットを遮断する方式が開示されている。

また、特許文献１、特許文献２、特許文献３では、悪意のあるＵＲＬ（Ｕｎｉｆｏｒｍ Ｒｅｓｏｕｒｃｅ Ｌｏｃａｔｏｒ）に関するリスト（ブラックリスト）を予め設定しておき、リストに記載されたＵＲＬへのアクセスを遮断する方式、ならびに、短時間に多数のアクセス要求が発信された場合には、ＤｏＳ（Ｄｅｎｉａｌ ｏｆ Ｓｅｒｖｉｃｅ）攻撃であると判定し、アクセスの要求元をアクセス拒否リストへ登録して通信を遮断する方式が開示されている。

特開２００８−１４１３５２号公報 特開２００９−１６４７１２号公報 特開２００９−１５７５２１号公報

従来の方式（特許文献１、特許文献２、特許文献３）では、悪意のあるＵＲＬに関するリスト（ブラックリスト）を予め設定しておく必要があり、かつ、悪意のあるＵＲＬの存続期間は短く、次々に新しいＵＲＬが誕生することから、最新のブラックリストを適用していたとしても、対策漏れが発生するという課題がある。

この発明は上記の課題を解決することを主な目的とし、ブラックリストに記述されていない未知のマルウェアからの通信先に対しても通信を有効に遮断できる構成を実現することを主な目的とする。

本発明に係る内部ネットワーク管理システムは、
複数の端末装置と、トラフィック情報を用いてトラフィック異常を検出する異常検出装置とが含まれる内部ネットワークを管理し、
前記内部ネットワークと外部ネットワークとを接続する中継装置
と通信を行う内部ネットワーク管理システムであって、
前記異常検出装置が前記内部ネットワークにて発生したトラフィック異常の発生元として特定した異常発生端末装置の通信アドレスである異常発生アドレスを通知する異常発生アドレス通知を受信し、前記異常検出装置がトラフィック異常を検出したトラフィック情報を分析対象トラフィック情報として受信する第１の通信部と、
前記異常発生アドレス通知に示される異常発生アドレスと前記分析対象トラフィック情報に示されるパケットの送信元の端末装置の通信アドレス及びパケット送信時刻とに基づき、前記分析対象トラフィック情報を分析し、前記異常検出装置により検出されたトラフィック異常の開始時刻を特定するトラフィック情報分析部と、
前記中継装置から、前記内部ネットワークから前記外部ネットワーク宛てに送信されたアウトバウンドパケットごとに送信元の通信アドレスと送信先の通信アドレスと前記中継装置においてアウトバウンドパケットに対する処理がなされた処理時刻とが示されるログデータを受信する第２の通信部と、
前記第２の通信部により受信されたログデータから、前記中継装置における処理時刻が前記トラフィック情報分析部により特定されたトラフィック異常の開始時刻以降の時刻となっており送信元の通信アドレスが前記異常発生アドレスとなっているアウトバウンドパケットを抽出し、抽出したアウトバウンドパケットの送信先の通信アドレスを遮断対象アドレスとして指定する遮断対象アドレス指定部と、
前記中継装置に対して、前記遮断対象アドレス指定部により指定された遮断対象アドレスを送信先とするアウトバウンドパケットを前記外部ネットワークに転送しないよう指示する遮断指示部とを有することを特徴とする。

本発明によれば、トラフィック異常が発生した際に中継装置のログデータを解析し、送信元が異常発生アドレスとなっているアウトバウンドパケットを抽出して遮断対象アドレスを指定し、遮断対象アドレスを送信先とするアウトバウンドパケットの中継を中継装置に行わせないようにするため、ブラックリストに記述されていない未知のマルウェアからの通信先に対しても通信を有効に遮断できる。

実施の形態１に係るシステム構成例を示す図。 実施の形態１に係る中継装置ログ分析装置の構成例を示す図。 実施の形態１に係るシステムにおける動作例を示すフローチャート図。 実施の形態１に係るシステムにおける動作例を示すフローチャート図。 実施の形態１に係る中継装置ログ分析装置のハードウェア構成例を示す図。

実施の形態１．
本実施の形態では、企業内部でトラフィックの挙動を監視し、トラフィック異常が発生した際にマルウェアの通信先と考えられる悪意のあるＵＲＬを特定し、動的にブラックリストを更新することによって、一般的には知られていない悪意のあるＵＲＬへの通信に関しても対策可能とする方式を説明する。
つまり、本実施の形態に示す方式では、トラフィック異常が発生した際にトラフィック異常の原因と考えられるＵＲＬ（通信アドレスの例）を特定し、特定したＵＲＬへの企業内部からのアクセスを遮断することにより、未知のマルウェアからの通信先に対しても通信を有効に遮断できる。
なお、本実施の形態では、企業の内部ネットワークを例にして説明を進めるが、官公庁の内部ネットワークや所定の団体の内部ネットワークにも本実施の形態に係るシステムを適用可能である。

図１は、本実施の形態に係るシステム構成例を示す。
図１において、インターネット１０１は、後述する企業内部ネットワーク１０３の外部に存在するネットワークであり、外部ネットワークの例である。
インターネット接続環境１０２は、企業内部ネットワーク１０３とインターネット１０１を接続するために設けられている。
企業内部ネットワーク１０３は、企業内に配置されているネットワークであり、ＬＡＮ（Ｌｏｃａｌ Ａｒｅａ Ｎｅｔｗｏｒｋ）、イントラネットと呼ばれるネットワークが含まれる。
企業内部ネットワーク１０３は、内部ネットワークの例である。

インターネット接続環境１０２では、Ｆｉｒｅｗａｌｌ装置１１１と中継装置１１２が設置され、企業内部ネットワーク１０３からインターネット１０１へのパケット（アウトバウンドパケット）は、一旦、中継装置１１２を経由してからＦｉｒｅｗａｌｌ装置１１１を通って送信される。
つまり、中継装置１１２は、企業内部ネットワーク１０３とインターネット１０１とを接続し、インターネット１０１宛てのアウトバウンドパケットを企業内部ネットワーク１０３から受信し、受信したアウトバウンドパケットをインターネット１０１に転送する。
また、中継装置１１２は、受信したアウトバウンドパケットのログデータを所定の周期にて生成する。
中継装置１１２は、ログデータとして、アクセスログやメール送受信ログを生成する。
なお、アクセスログとメール送受信ログを区別する必要のないときは、両者を指す語としてログデータという語を用いる。
中継装置１１２は、プロキシやゲートウェイとも呼ばれる。
なお、中継装置１１２は、指定したＵＲＬやＩＰ（Ｉｎｔｅｒｎｅｔ Ｐｒｏｔｏｃｏｌ）アドレスへのアクセス要求、もしくは、指定したメールアドレス宛のメールをフィルタリングする機能を備えている。

企業内部ネットワーク１０３には、ルータ装置１２１、スイッチ装置１２２〜１２４と、それらを繋げる通信ケーブルが含まれている。
各スイッチ装置１２２〜１２４には、企業内ユーザが業務で使用する端末装置１４１〜１４６が接続されている。
端末装置１４１〜１４６は、スイッチ装置１２２〜１２４やルータ装置１２１を介して他の端末装置やインターネット１０１へアクセスする。
また、ルータ装置１２１、スイッチ装置１２２〜１２４は、周期的にトラフィック情報を生成する。
トラフィック情報については後述する。

異常検出装置１３１は、企業内部ネットワーク１０３を流れるトラフィックの振舞いを監視し、異常なトラフィックの発生を検出する。
トラフィックの振舞いとは、企業内部ネットワーク１０３を構成する機器（ルータ装置、スイッチ装置）から収集するトラフィック情報を集計して得られた値の時系列的な特徴の変化である。
トラフィック情報の集計の方法としては、条件を指定せずに単位時間当たりの発生数やデータ転送量を集計することが考えられる。
もしくは、発信元ＩＰアドレス、宛先ＩＰアドレス、発信元ポート番号、宛先ポート番号の、ひとつあるいは、複数を条件に指定して単位時間当たりの発生数やデータ転送量を集計することが考えられる。
トラフィックの振舞いは、このような集計の結果得られた値の時系列的な特徴の変化である。
異常検出装置１３１は、トラフィック情報を集計して得られた特徴における変化量が所定レベルを超えた場合に、トラフィック異常が発生したと判断する。
例えば、異常検出装置１３１は、単位時間当たりのデータ転送量が特定の単位時間において急激に増加した場合にトラフィック異常が発生したと判断する。

ここで、トラフィック情報とは、端末装置から送信されたパケットごとのパケットダンプデータや、フロー統計情報を指している。
パケットダンプデータとは、ネットワーク上のある観測地点において流れたパケットをそのままデータとして記録したものである。
また、フロー統計情報とは、端末装置におけるデータのやりとりをフローという概念で定義し、端末装置で行われた通信を、フロー単位にパケット送信数、パケット受信数、データ送信バイト量、データ受信バイト量などの統計情報を記録したものである。
フロー統計情報の一般的な例としては、ＮｅｔＦｌｏｗ、ｓＦｌｏｗなどが挙げられる。
パケットダンプデータおよびフロー統計情報のいずれの場合も、観測時刻情報、発信元ＩＰアドレス、宛先ＩＰアドレス、発信元ポート番号、宛先ポート番号の情報が含まれている。
観測時刻情報には、パケットの送信時刻が含まれる。
また、発信元ＩＰアドレスは、パケット送信元の端末装置の通信アドレスであり、宛先ＩＰアドレスは、パケットの送信先の通信アドレスである。

なお、企業内部ネットワーク１０３に含まれるルータ装置１２１、スイッチ装置１２２〜１２４がトラフィック情報を生成する機能を持たない場合は、トラフィック情報を生成する専用のセンサを企業内部ネットワーク１０３上に配置してトラフィック情報を収集するようにしてもよい。

中継装置ログ分析装置１３２は、中継装置１１２で記録されるアクセスログ（もしくは、メール送受信ログ）を分析する。
中継装置ログ分析装置１３２の詳細は後述する。
なお、中継装置ログ分析装置１３２は、内部ネットワーク管理システムの例である。

共有ＤＢ（Ｄａｔａｂａｓｅ）装置１３３は、ルータ装置１２１、スイッチ装置１２２〜１２４が生成したトラフィック情報を記憶する。
異常検出装置１３１及び中継装置ログ分析装置１３２は、それぞれ、共有ＤＢ装置１３３にアクセス可能であり、共有ＤＢ装置１３３からトラフィック情報を取得できる。

なお、図１は、本実施の形態の内容を簡潔に説明するために必要な構成のみを記載しているものであり、本実施の形態を適用するためのネットワークを実際に構成する際のネットワーク構成を制限するものではない。

また、本実施の形態は、異常検出装置１３１でのトラフィック異常の検知を起点としたマルウェア対策処理に主眼を置いたものであるため、本実施の形態における異常検出装置１３１の実現方式については特に制限しない。
しかしながら、異常検出装置１３１は、少なくとも、トラフィックの異常を検知する機能、ならびに、異常トラフィックの発生元の端末装置（異常発生端末装置）のＩＰアドレス（異常発生アドレス）を特定する機能を備えているものとする。
異常トラフィックを発生させた端末装置は、マルウェアの感染のおそれがある端末装置である。
以下では、異常トラフィックを発生させた端末装置、つまり、マルウェアの感染のおそれがある端末装置を、マルウェア感染端末ともいう。

また、異常検出装置１３１は、上記の機能に加えて、特定したＩＰアドレスから端末装置のＭＡＣ（Ｍｅｄｉａ Ａｃｃｅｓｓ Ｃｏｎｔｒｏｌ Ａｄｄｒｅｓｓ）アドレスを特定する機能や、ＩＰアドレスとＭＡＣアドレスを基に、マルウェア感染端末を企業内部ネットワーク１０３から隔離（ルータ装置やスイッチ装置等、企業内部ネットワークを構成する機器を用いた特定通信のフィルタリングや接続ポートのリンクダウン、端末上のパーソナルファイアウォールでのフィルタリングなど）を行う機能を、ひとつ以上有していてもよい。

次に、中継装置ログ分析装置１３２について詳細を記載する。
図２に、中継装置ログ分析装置１３２の構成例を示す。

データ取得部２０１は、異常検出装置１３１がトラフィック異常を検出した際に、トラフィック異常を検出したことを通知する異常検出メッセージを後述の通信部２０６を介して異常検出装置１３１から受信する。
また、データ取得部２０１は、通信部２０６を介して共有ＤＢ装置１３３にアクセスしてトラフィック情報を取得する。
異常検出メッセージには、少なくとも、異常検出装置１３１がトラフィック異常を検出したトラフィック情報の識別子、マルウェア感染端末のＩＰアドレス（異常発生アドレス）、トラフィック異常を発生させたフローの通信プロトコル、トラフィック異常を発生させたフローにおける宛先ポート番号が示されている。
データ取得部２０１は、異常検出メッセージに含まれる識別子を用いて分析対象のトラフィック情報を取得する。
トラフィック異常を発生させたフローの通信プロトコルとして、例えば、ＨＴＴＰ（ＨｙｐｅｒＴｅｘｔ Ｔｒａｎｓｆｅｒ Ｐｒｏｔｏｃｏｌ）、ＨＴＴＰＳ（Ｈｙｐｅｒｔｅｘｔ Ｔｒａｎｓｆｅｒ Ｐｒｏｔｏｃｏｌ Ｓｅｃｕｒｉｔｙ）、ＳＳＬ（Ｓｅｃｕｒｅ Ｓｏｃｋｅｔ Ｌａｙｅｒ）、ＳＭＴＰ（Ｓｉｍｐｌｅ Ｍａｉｌ Ｔｒａｎｓｆｅｒ Ｐｒｏｔｏｃｏｌ）などが通知される。
また、宛先ポート番号としては、ＨＴＴＰ、ＨＴＴＰＳ、ＳＳＬ、ＳＭＴＰなどに割り当てられているポート番号が通知される。
なお、通信プロトコルと宛先ポート番号はいずれか一方のみであってもよいし、両者が通知されてもよい。
異常検出メッセージは、異常発生アドレス通知の例である。
また、データ取得部２０１は、後述の通信部２０６を介して定期的に中継装置１１２へアクセスし、中継装置１１２内に記録されているアクセスログ（もしくはメール送受信ログ）を取得する。
アクセスログには、アウトバウンドパケットごとに、通信の発信元ＩＰアドレス、通信の発生時刻、通信の継続時刻、通信メソッド、宛先ＵＲＬやＩＰアドレス、通信結果コード、送受信データ量などが記録されている。
また、メール送受信ログには、アウトバウンドパケットごとに、送信日時、送信元ホスト名（もしくは、ＩＰアドレス）、宛先メールアドレス、発信元メールアドレスが記録されている。
なお、上記において、通信の発信元ＩＰアドレス、発信元メールアドレスは、アウトバウンドパケットの送信元の端末装置の通信アドレスに相当する。
また、宛先ＵＲＬやＩＰアドレス、宛先メールアドレスは、アウトバウンドパケットの送信先の通信アドレスに相当する。
また、通信の発生時刻、送信日時は、中継装置１１２においてアウトバウンドパケットに対する処理がなされた処理時刻に相当する。
通信の発生時刻は、中継装置１１２においてアウトバウンドパケットを受信した時刻や中継装置１１２においてアウトバウンドパケットをインターネット１０１に転送した時刻である。

トラフィック情報集計部２０２は、データ取得部２０１により取得されたトラフィック情報を集計して、異常なトラフィックの原因となったフローが発生した時刻、つまりトラフィック異常の開始時刻を特定する。
トラフィック情報の集計は、異常検出装置１３１で特定されたマルウェア感染端末のＩＰアドレス（異常検出メッセージで通知されたＩＰアドレス）、中継装置で中継している通信プロトコル（異常検出メッセージで通知された通信プロトコル）、中継装置のＩＰアドレス（中継装置ログ分析装置１３２で記憶している中継装置のＩＰアドレス）を条件として行う。
具体的には、トラフィック情報集計部２０２は、異常検出メッセージで通知された通信プロトコル又は宛先ポート番号より、中継装置１１２で中継される通信によりトラフィック異常が発生したかどうかを判断する。
そして、中継装置１１２で中継される通信によりトラフィック異常が発生している場合には、トラフィック情報集計部２０２は、発信元ＩＰアドレスとしてマルウェア感染端末のＩＰアドレスが含まれ、宛先ＩＰアドレスとして中継装置１１２のＩＰアドレスが含まれるレコードをトラフィック情報から抽出し、抽出したレコードを集計する。
集計によって得られた結果から、異常なトラフィックの原因となったフローが開始された時刻が特定される。
トラフィック情報集計部２０２は、トラフィック情報分析部の例である。

ＵＲＬ特定部２０３では、データ取得部２０１により取得されたログデータであるアクセスログ（もしくはメール送受信ログ）を分析して、マルウェアの発生源と考えられる通信アドレスを特定する。
ＵＲＬ特定部２０３は、トラフィック情報集計部２０２により特定された時刻、発信元ＩＰアドレス（マルウェア感染端末のＩＰアドレス）を基にアクセスログ（もしくはメール送受信ログ）を分析して、該当するログレコードを抽出し、中継装置１１２のアクセスログに含まれている宛先ＵＲＬ（もしくは、メール送受信ログに含まれている宛先メールアドレス）を特定する。
より具体的には、ＵＲＬ特定部２０３は、中継装置１１２における処理時刻がトラフィック情報集計部２０２により特定された時刻以降の時刻となっており発信元ＩＰアドレスが異常検出装置１３１により特定されたマルウェア感染端末のＩＰアドレス（異常発生アドレス）となっているアウトバウンドパケット（ＨＴＴＰにおけるＰＯＳＴメソッド、ＨＴＴＰＳ通信、送信メール）のレコードをログデータから抽出し、抽出したアウトバウンドパケットのレコードに送信先として記されている宛先ＵＲＬ（もしくは、宛先メールアドレス）を遮断対象アドレスとして指定する。
そして、ＵＲＬ特定部２０３は、遮断対象アドレスとして指定した宛先ＵＲＬ（もしくは、宛先メールアドレス）を後述するブラックリスト記憶部２０７のブラックリストへ登録する。
また、ＵＲＬ特定部２０３は、中継装置フィルタ設定部２０４に、遮断対象アドレス宛のアウトバウンドパケットの遮断を指示する。
なお、以下では、宛先ＵＲＬと宛先メールアドレスを区別する必要のないときは、両者を指す語として遮断対象アドレスという語を用いる。
ＵＲＬ特定部２０３は、遮断対象アドレス指定部の例である。

中継装置フィルタ設定部２０４は、ＵＲＬ特定部２０３からの指示に基づき、中継装置１１２に対して、ＵＲＬ特定部２０３で特定された宛先ＵＲＬへの通信（もしくは、宛先メールアドレスへのメール送信）を遮断する設定を行う。
中継装置フィルタ設定部２０４は、例えば、通信部２０６を介して、ＵＲＬ特定部２０３により特定された遮断対象アドレスを送信先とするアウトバウンドパケットをインターネット１０１に転送しないよう指示するメッセージを中継装置１１２に送信する。
中継装置フィルタ設定部２０４は、遮断指示部の例である。

また、未検知感染端末特定部２０５は、中継装置フィルタ設定部２０４によって中継装置に対して遮断設定が行われたＵＲＬに対してアクセス（もしくは、宛先メールアドレスへのメール送信）を試みた端末装置があるかどうかを、ブラックリストに記載のＵＲＬ（もしくは、宛先メールアドレス）一覧を基に、アクセスログ（もしくはメール送受信ログ）を分析して判断する。
そして、遮断設定が行われたＵＲＬに対するアクセス（もしくは、宛先メールアドレスへのメール送信）を試みた端末装置があった場合には、その端末装置のＩＰアドレスを特定する。
これは、マルウェアのアクセス先ＵＲＬに対して、通常の業務においてアクセス（もしくは、宛先メールアドレスへのメール送信）をすることは皆無であることから、アクセス（もしくは、宛先メールアドレスへのメール送信）を試みた端末装置は、異常トラフィックは発生させていない（中継装置１１２で遮断されているため）ものの、マルウェアに感染している可能性が高いと判断されるためである。
このように、マルウェアのアクセス先ＵＲＬへのアクセスを試行した端末装置は、マルウェアに感染している疑いがあり、企業内部ネットワーク１０３から隔離すべき端末装置（隔離対象端末装置）である。
未検知感染端末特定部２０５は、このような企業内部ネットワーク１０３から隔離すべき端末装置のＩＰアドレスを指定しており、隔離対象指定部の例である。
未検知感染端末特定部２０５は、隔離すべき端末装置のＩＰアドレスを、例えば、システム管理者に通知する。
なお、異常検出装置１３１に、端末装置の隔離機能が備わっている場合には、未検知感染端末特定部２０５は、通信部２０６を介して、特定したＩＰアドレスを通知し、当該ＩＰアドレスを使用している端末装置を企業内部ネットワーク１０３から隔離するよう異常検出装置１３１に指示を出すようにしてもよい。

通信部２０６は、異常検出装置１３１から異常検出メッセージ（異常発生アドレス通知）を受信し、また、共有ＤＢ装置１３３にトラフィック情報の取得要求を送信し、共有ＤＢ装置１３３からトラフィック情報（分析対象トラフィック情報）を受信する。
更に、通信部２０６は、定期的に、ログデータの取得要求を中継装置１１２に送信し、中継装置１１２からログデータを受信する。
通信部２０６は、物理インタフェースの管理、伝送制御手順の管理、ネットワーク接続手順の管理等を行いながら、上述の通信を行う。
通信部２０６は、第１の通信部及び第２の通信部の例である。

ブラックリスト記憶部２０７は、ＵＲＬ特定部２０３により特定された遮断対象アドレスが列挙されるブラックリスト情報を記憶する。

ここまで、本実施の形態を構成する各装置についての詳細について説明した。
次に、各装置が全体のシステムとして動作する際の一連の流れについて説明する。
図３及び図４は、本実施の形態に係るシステムの動作例を表したフロー図である。

本実施の形態で実現するマルウェア対策処理の開始条件となるのが、異常検出装置１３１によるトラフィックの異常な振舞いの検知である。
異常検出装置１３１は、トラフィックの異常な振舞いを検知した際（Ｓ３０１）に、異常なトラフィックを生成している端末装置（マルウェア感染端末）のＩＰアドレスと、トラフィック異常を検出したトラフィック情報の識別子と、トラフィック異常を発生させたフローの通信プロトコル、トラフィック異常を発生させたフローにおける宛先ポート番号を通知する異常検出メッセージを中継装置ログ分析装置１３２に送信する。
また、異常検出装置１３１にマルウェア感染端末を企業内部ネットワーク１０３から隔離する機能が備わっている場合には、異常検出装置１３１は、マルウェア感染端末のＩＰアドレスに対応するＭＡＣアドレスを特定して、マルウェア感染端末を企業内部ネットワーク１０３から隔離する処理を行う（Ｓ３１３）。
異常検出装置１３１にマルウェア感染端末を企業内部ネットワーク１０３から隔離する機能がない場合は、異常検出装置１３１は、例えば、システム管理者にトラフィック異常の発生、マルウェア感染端末のＩＰアドレス、ＭＡＣアドレスを通知する。

中継装置ログ分析装置１３２では、通信部２０６が、異常検出装置からの異常検出メッセージを受信する（Ｓ３０２）（第１の通信ステップ）。
前述したように、異常検出メッセージには、マルウェア感染端末のＩＰアドレス、プロトコル／宛先ポート番号、トラフィック情報の識別子が含まれる。

次に、中継装置ログ分析装置１３２では、データ取得部２０１が定期的にログデータの取得要求を生成し、通信部２０６がログデータの取得要求を中継装置１１２に送信し、中継装置１１２からログデータを受信する（Ｓ３０３）（第２の通信ステップ）。
なお、中継装置１１２からのログデータの受信は定期的に行われるため、ログデータの受信はＳ３０４以降に行われる場合もある。
図３では、便宜的にＳ３０２とＳ３０４にログデータを受信することとしている。
なお、ここでは、データ取得部２０１の取得要求に基づいて中継装置１１２がログデータを送信することとしているが、取得要求なしに中継装置１１２が自律的に一定周期でログデータを送信するようにしてもよい。

次に、トラフィック情報集計部２０２が、異常トラフィックのプロトコル／宛先ポート番号から、異常トラフィックを発生させた通信が中継装置１１２で中継が行われている通信か否かを判断する。
例えば、異常検出メッセージで通知された通信プロトコルがＨＴＴＰ、ＨＴＴＰＳ、ＳＳＬ、ＳＭＴＰなどである場合、異常検出メッセージで通知された宛先ポート番号がＨＴＴＰ、ＨＴＴＰＳ、ＳＳＬ、ＳＭＴＰなどに割り当てられているポート番号である場合は、異常トラフィックを発生させた通信は中継装置１１２で中継が行われている。
異常トラフィックを発生させた通信が中継装置１１２で中継が行われている場合は、データ取得部２０１が、異常検出メッセージで通知された識別子を含むトラフィック情報の取得要求を生成し、通信部２０６が当該取得要求を共有ＤＢ装置１３３に送信し、共有ＤＢ装置１３３から分析対象のトラフィック情報を取得する（第１の通信ステップ）。
その後、トラフィック情報集計部２０２が、通信部２０６が受信した分析対象のトラフィック情報を集計して（Ｓ３０４）、異常トラフィックの発生時刻を特定する（Ｓ３０５）（トラフィック情報分析ステップ）。
具体的には、トラフィック情報集計部２０２は、分析対象のトラフィック情報から、発信元ＩＰアドレスとしてマルウェア感染端末のＩＰアドレスが含まれ、宛先ＩＰアドレスとして中継装置１１２のＩＰアドレスが含まれるレコードを抽出する。
そして、トラフィック情報集計部２０２は、抽出したレコードに示されている（又は抽出したレコードから導出される）パケット送信時刻のうち最先のパケット送信時刻を異常トラフィックの発生時刻とする。

次に、ＵＲＬ特定部２０３が、Ｓ３０５で特定された異常トラフィックの発生時刻と異常検出メッセージで通知されたマルウェア感染端末のＩＰアドレスに基づき、Ｓ３０３で取得されたログデータを分析して、マルウェア感染端末からインターネット１０１へのアクセス先ＵＲＬ、もしくは、宛先メールアドレスを特定する（Ｓ３０６）（遮断対象アドレス指定ステップ）。
より具体的には、ＵＲＬ特定部２０３は、中継装置１１２における処理時刻がＳ３０５で特定された異常トラフィックの発生時刻以降の時刻となっており送信元アドレスがマルウェア感染端末のＩＰアドレスとなっているアウトバウンドパケットのレコードをログデータから抽出し、抽出したレコードに示される（又は抽出したレコードから導出される）アウトバウンドパケットの送信先アドレスを遮断対象アドレスとして抽出する。

ＵＲＬ特定部２０３によりアクセス先ＵＲＬが特定された場合（Ｓ３０７でＹＥＳ）には、中継装置フィルタ設定部２０４が、アクセス先ＵＲＬを宛先アドレスとするアウトバウンドパケットはインターネット１０１に転送させないよう中継装置１１２に対してフィルタリング設定を行う（Ｓ３０８）（遮断指示ステップ）。
また、宛先メールアドレスが特定された場合（Ｓ３０７でＹＥＳ）には、中継装置フィルタ設定部２０４が、宛先メールアドレスを宛先アドレスとするメール（アウトバウンドパケット）はインターネット１０１に転送させないよう中継装置１１２に対してフィルタリング設定を行う（Ｓ３０８）。

このように、中継装置１１２にフィルタリング設定を行うことによって、企業内部ネットワーク１０３の端末装置１４１〜１４６から送信された遮断対象アドレスに対するアウトバウンドパケットは中継装置１１２において遮断されるので、インターネット１０１に送出されない。
しかし、マルウェアに感染している端末装置は、中継装置１１２における遮断の有無にかかわらず、遮断対象アドレスへのアウトバウンドパケットの送信を行うため、中継装置１１２のログデータには、いずれかの端末装置が遮断対象アドレスへのアウトバウンドパケットの送信を行ったことが記録される。

中継装置ログ分析装置１３２では、中継装置１１２へフィルタリング設定を行った後に中継装置１１２により生成されたログデータを、通信部２０６が中継装置１１２から定期的に受信する（Ｓ３０９）。

未検知感染端末特定部２０５は、通信部２０６によりログデータが受信される度に、受信されたログデータに、送信先アドレスがフィルタリング設定したＵＲＬ（遮断対象アドレス）となっているアウトバウンドパケット（通信自体は、中継装置１１２によって遮断されている）についてのレコードが存在するかどうかを確認する（Ｓ３１０）。
なお、説明が煩雑になるのを避けるためＳ３０３についての説明では言及しなかったが、Ｓ３０３において中継装置１１２からログデータを受信した場合にも、Ｓ３０４以降の処理と並行して別ルーチンにてＳ３１０以降の処理が行われる。

Ｓ３１０の処理の結果、送信先アドレスが遮断対象アドレスとなっているアウトバウンドパケットのレコードが存在した場合（Ｓ３１１でＹＥＳ）に、当該アウトバウンドパケットの送信元の端末装置はマルウェアに感染している可能性が高いと判定し、未検知感染端末特定部２０５は当該アウトバウンドパケットの送信元のＩＰアドレスを特定し（Ｓ３１２、企業内部ネットワーク１０３から該当する端末装置を隔離するよう指示する。
具体的には、未検知感染端末特定部２０５は、隔離すべき端末装置のＩＰアドレスを異常検出装置１３１又はシステム管理者に通知し、該当する端末装置を企業内部ネットワーク１０３から隔離するよう指示する。

この結果、異常検出装置１３１又はシステム管理者は、隔離対象の端末装置を企業内部ネットワーク１０３から隔離する（Ｓ３１３）。

このように、本実施の形態によれば、異常検出装置で検知された結果を基に、マルウェア感染端末の隔離を行うことに加え、マルウェアがアクセスするインターネット上のＵＲＬに関して、中継装置における動的なフィルタリングを行うことで、マルウェアによる被害の拡大を防止することができる。
つまり、ブラックリストに記述されていない未知のマルウェアからの通信先に対しても通信を有効に遮断することができ、マルウェアによる被害の拡大を防止することができる。
また、中継装置においてフィルタリング設定が行われた後のログデータを解析して、他にマルウェアに感染している可能性のある端末装置を特定し、特定した端末装置の隔離を行うようにしているので、マルウェアが企業内ネットワーク内に拡散することを防止できる。

以上、本実施の形態では、以下の動作を行う中継装置ログ分析装置を説明した。
１）トラフィック情報を集計して異常なトラフィックの発生時刻を特定する。
２）特定した時刻と感染端末のＩＰアドレス情報を基に中継装置のログを分析して、マルウェアがアクセスするＵＲＬを特定する。
３）特定したＵＲＬを中継装置に対して動的にフィルタ設定を行う。

また、本実施の形態では、中継装置ログ分析装置が、中継装置に対して動的にフィルタ設定したＵＲＬへアクセスを試みた２次感染端末のＩＰアドレスを特定することを説明した。

また、本実施の形態では、上記の中継装置ログ分析装置が含まれるマルウェア対策装置、システム、および、サービスを説明した。

なお、以上の説明では、中継装置ログ分析装置１３２が中継装置１１２から定期的にログデータを受信する例を示したが、ログデータの受信は定期的でなくてもよい。
例えば、システム管理者からの指示を入力した場合等の特定のイベントをトリガーにして中継装置１１２からログデータを受信するようにしてもよい。

最後に、本実施の形態に示した中継装置ログ分析装置１３２のハードウェア構成例について説明する。
図５は、本実施の形態に示す中継装置ログ分析装置１３２のハードウェア資源の一例を示す図である。
なお、図５の構成は、あくまでも中継装置ログ分析装置１３２のハードウェア構成の一例を示すものであり、中継装置ログ分析装置１３２のハードウェア構成は図５に記載の構成に限らず、他の構成であってもよい。

図５において、中継装置ログ分析装置１３２は、プログラムを実行するＣＰＵ９１１（Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ、中央処理装置、処理装置、演算装置、マイクロプロセッサ、マイクロコンピュータ、プロセッサともいう）を備えている。
ＣＰＵ９１１は、バス９１２を介して、例えば、ＲＯＭ（Ｒｅａｄ Ｏｎｌｙ Ｍｅｍｏｒｙ）９１３、ＲＡＭ（Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）９１４、通信ボード９１５、表示装置９０１、キーボード９０２、マウス９０３、磁気ディスク装置９２０と接続され、これらのハードウェアデバイスを制御する。
更に、ＣＰＵ９１１は、ＦＤＤ９０４（Ｆｌｅｘｉｂｌｅ Ｄｉｓｋ Ｄｒｉｖｅ）、コンパクトディスク装置９０５（ＣＤＤ）、プリンタ装置９０６、スキャナ装置９０７と接続していてもよい。また、磁気ディスク装置９２０の代わりに、ＳＳＤ（Ｓｏｌｉｄ Ｓｔａｔｅ Ｄｒｉｖｅ）、光ディスク装置、メモリカード（登録商標）読み書き装置などの記憶装置でもよい。
ＲＡＭ９１４は、揮発性メモリの一例である。ＲＯＭ９１３、ＦＤＤ９０４、ＣＤＤ９０５、磁気ディスク装置９２０の記憶媒体は、不揮発性メモリの一例である。これらは、記憶装置の一例である。
本実施の形態で説明した「ブラックリスト記憶部」は、ＲＡＭ９１４、磁気ディスク装置９２０等により実現される。
通信ボード９１５、キーボード９０２、マウス９０３、スキャナ装置９０７、ＦＤＤ９０４などは、入力装置の一例である。
また、通信ボード９１５、表示装置９０１、プリンタ装置９０６などは、出力装置の一例である。

通信ボード９１５は、図１に示すように、企業内部ネットワークに接続されている。

磁気ディスク装置９２０には、オペレーティングシステム９２１（ＯＳ）、ウィンドウシステム９２２、プログラム群９２３、ファイル群９２４が記憶されている。
プログラム群９２３のプログラムは、ＣＰＵ９１１がオペレーティングシステム９２１、ウィンドウシステム９２２を利用しながら実行する。

また、ＲＡＭ９１４には、ＣＰＵ９１１に実行させるオペレーティングシステム９２１のプログラムやアプリケーションプログラムの少なくとも一部が一時的に格納される。
また、ＲＡＭ９１４には、ＣＰＵ９１１による処理に必要な各種データが格納される。

また、ＲＯＭ９１３には、ＢＩＯＳ（Ｂａｓｉｃ Ｉｎｐｕｔ Ｏｕｔｐｕｔ Ｓｙｓｔｅｍ）プログラムが格納され、磁気ディスク装置９２０にはブートプログラムが格納されている。
中継装置ログ分析装置１３２の起動時には、ＲＯＭ９１３のＢＩＯＳプログラム及び磁気ディスク装置９２０のブートプログラムが実行され、ＢＩＯＳプログラム及びブートプログラムによりオペレーティングシステム９２１が起動される。

上記プログラム群９２３には、本実施の形態の説明において「〜部」（「ブラックリスト記憶部」以外、以下同様）として説明している機能を実行するプログラムが記憶されている。プログラムは、ＣＰＵ９１１により読み出され実行される。

ファイル群９２４には、本実施の形態の説明において、「〜の判断」、「〜の計算」、「〜の比較」、「〜の確認」、「〜の指定」、「〜の特定」、「〜の指示」、「〜の抽出」、「〜の検出」、「〜の更新」、「〜の設定」、「〜の登録」、「〜の選択」等として説明している処理の結果を示す情報やデータや信号値や変数値やパラメータが、「〜ファイル」や「〜データベース」の各項目として記憶されている。
「〜ファイル」や「〜データベース」は、ディスクやメモリなどの記録媒体に記憶される。
ディスクやメモリなどの記憶媒体に記憶された情報やデータや信号値や変数値やパラメータは、読み書き回路を介してＣＰＵ９１１によりメインメモリやキャッシュメモリに読み出される。
そして、読み出された情報やデータや信号値や変数値やパラメータは、抽出・検索・参照・比較・演算・計算・処理・編集・出力・印刷・表示などのＣＰＵの動作に用いられる。
抽出・検索・参照・比較・演算・計算・処理・編集・出力・印刷・表示のＣＰＵの動作の間、情報やデータや信号値や変数値やパラメータは、メインメモリ、レジスタ、キャッシュメモリ、バッファメモリ等に一時的に記憶される。
また、本実施の形態で説明しているフローチャートの矢印の部分は主としてデータや信号の入出力を示す。
データや信号値は、ＲＡＭ９１４のメモリ、ＦＤＤ９０４のフレキシブルディスク、ＣＤＤ９０５のコンパクトディスク、磁気ディスク装置９２０の磁気ディスク、その他光ディスク、ミニディスク、ＤＶＤ等の記録媒体に記録される。
また、データや信号は、バス９１２や信号線やケーブルその他の伝送媒体によりオンライン伝送される。

また、本実施の形態の説明において「〜部」として説明しているものは、「〜回路」、「〜装置」、「〜機器」であってもよく、また、「〜ステップ」、「〜手順」、「〜処理」であってもよい。
すなわち、本実施の形態で説明したフローチャートに示すステップ、手順、処理により、本発明に係る内部ネットワーク管理方法を実現することができる。
また、「〜部」として説明しているものは、ＲＯＭ９１３に記憶されたファームウェアで実現されていても構わない。
或いは、ソフトウェアのみ、或いは、素子・デバイス・基板・配線などのハードウェアのみ、或いは、ソフトウェアとハードウェアとの組み合わせ、さらには、ファームウェアとの組み合わせで実施されても構わない。
ファームウェアとソフトウェアは、プログラムとして、磁気ディスク、フレキシブルディスク、光ディスク、コンパクトディスク、ミニディスク、ＤＶＤ等の記録媒体に記憶される。
プログラムはＣＰＵ９１１により読み出され、ＣＰＵ９１１により実行される。
すなわち、プログラムは、本実施の形態の「〜部」としてコンピュータを機能させるものである。あるいは、本実施の形態の「〜部」の手順や方法をコンピュータに実行させるものである。

このように、本実施の形態に示す中継装置ログ分析装置１３２は、処理装置たるＣＰＵ、記憶装置たるメモリ、磁気ディスク等、入力装置たるキーボード、マウス、通信ボード等、出力装置たる表示装置、通信ボード等を備えるコンピュータである。
そして、上記したように「〜部」として示された機能をこれら処理装置、記憶装置、入力装置、出力装置を用いて実現するものである。

１０１ インターネット、１０２ インターネット接続環境、１０３ 企業内部ネットワーク、１１１ Ｆｉｒｅｗａｌｌ装置、１１２ 中継装置、１２１ ルータ装置、１２２ スイッチ装置、１２３ スイッチ装置、１２４ スイッチ装置、１３１ 異常検出装置、１３２ 中継装置ログ分析装置、１３３ 共有ＤＢ装置、１４１ 端末装置、１４２ 端末装置、１４３ 端末装置、１４４ 端末装置、１４５ 端末装置、１４６ 端末装置、２０１ データ取得部、２０２ トラフィック情報集計部、２０３ ＵＲＬ特定部、２０４ 中継装置フィルタ設定部、２０５ 未検知感染端末特定部、２０６ 通信部、２０７ ブラックリスト記憶部。

Claims (7)

1. 複数の端末装置と、トラフィック情報を用いてトラフィック異常を検出する異常検出装置とが含まれる内部ネットワークを管理し、
   前記内部ネットワークと外部ネットワークとを接続する中継装置
   と通信を行う内部ネットワーク管理システムであって、
   前記異常検出装置が前記内部ネットワークにて発生したトラフィック異常の発生元として特定した異常発生端末装置の通信アドレスである異常発生アドレスを通知する異常発生アドレス通知を受信し、前記異常検出装置がトラフィック異常を検出したトラフィック情報を分析対象トラフィック情報として受信する第１の通信部と、
   前記異常発生アドレス通知に示される異常発生アドレスと前記分析対象トラフィック情報に示されるパケットの送信元の端末装置の通信アドレス及びパケット送信時刻とに基づき、前記分析対象トラフィック情報を分析し、前記異常検出装置により検出されたトラフィック異常の開始時刻を特定するトラフィック情報分析部と、
   前記中継装置から、前記内部ネットワークから前記外部ネットワーク宛てに送信されたアウトバウンドパケットごとに送信元の通信アドレスと送信先の通信アドレスと前記中継装置においてアウトバウンドパケットに対する処理がなされた処理時刻とが示されるログデータを受信する第２の通信部と、
   前記第２の通信部により受信されたログデータから、前記中継装置における処理時刻が前記トラフィック情報分析部により特定されたトラフィック異常の開始時刻以降の時刻となっており送信元の通信アドレスが前記異常発生アドレスとなっているアウトバウンドパケットを抽出し、抽出したアウトバウンドパケットの送信先の通信アドレスを遮断対象アドレスとして指定する遮断対象アドレス指定部と、
   前記中継装置に対して、前記遮断対象アドレス指定部により指定された遮断対象アドレスを送信先とするアウトバウンドパケットを前記外部ネットワークに転送しないよう指示する遮断指示部とを有することを特徴とする内部ネットワーク管理システム。
2. 前記第２の通信部は、
   前記遮断指示部から前記中継装置に対する指示が行われた後に前記中継装置により生成されたログデータを前記中継装置から受信し、
   前記内部ネットワーク管理システムは、更に、
   前記第２の通信部により受信されたログデータから送信先の通信アドレスが前記遮断対象アドレスとなっているアウトバウンドパケットを抽出し、抽出したアウトバウンドパケットの送信元の通信アドレスを前記内部ネットワークから隔離すべき隔離対象端末装置の通信アドレスとして指定する隔離対象指定部を有することを特徴とする請求項１に記載の内部ネットワーク管理システム。
3. 前記第２の通信部は、
   所定の周期でログデータを生成する中継装置から繰り返しログデータを受信し、
   前記隔離対象指定部は、
   前記第２の通信部によりログデータが受信される度に、受信されたログデータにおいて送信先の通信アドレスが前記遮断対象アドレスとなっているアウトバウンドパケットを検索することを特徴とする請求項２に記載の内部ネットワーク管理システム。
4. 前記内部ネットワーク管理システムは、
   指定された端末装置を前記内部ネットワークから隔離する機能を有する異常検出装置が含まれる内部ネットワークを管理し、
   前記隔離対象指定部は、
   前記異常検出装置に対して、前記隔離対象端末装置の通信アドレスを通知し、前記隔離対象端末装置を前記内部ネットワークから隔離するよう指示することを特徴とする請求項２又は３に記載の内部ネットワーク管理システム。
5. 前記内部ネットワーク管理システムは、
   パケットを送信する複数の端末装置と、送信されたパケットごとに送信元の端末装置の通信アドレス及びパケット送信時刻が示されるトラフィック情報を取得し、取得したトラフィック情報を分析してトラフィック異常を検出し、トラフィック異常の発生元である異常発生端末装置の通信アドレスを特定する異常検出装置とが含まれる内部ネットワークを管理し、
   前記内部ネットワークと前記内部ネットワーク外の外部ネットワークとを接続し、前記外部ネットワーク宛てのアウトバウンドパケットを前記内部ネットワークから受信し、受信したアウトバウンドパケットを前記外部ネットワークに転送し、受信したアウトバウンドパケットのログデータを生成する中継装置と通信を行うことを特徴とする請求項１〜４のいずれかに記載の内部ネットワーク管理システム。
6. 複数の端末装置と、トラフィック情報を用いてトラフィック異常を検出する異常検出装置とが含まれる内部ネットワークを管理し、
   前記内部ネットワークと外部ネットワークとを接続する中継装置
   と通信を行うコンピュータが行う内部ネットワーク管理方法であって、
   前記コンピュータが、前記異常検出装置が前記内部ネットワークにて発生したトラフィック異常の発生元として特定した異常発生端末装置の通信アドレスである異常発生アドレスを通知する異常発生アドレス通知を受信し、前記異常検出装置がトラフィック異常を検出したトラフィック情報を分析対象トラフィック情報として受信する第１の通信ステップと、
   前記コンピュータが、前記異常発生アドレス通知に示される異常発生アドレスと前記分析対象トラフィック情報に示されるパケットの送信元の端末装置の通信アドレス及びパケット送信時刻とに基づき、前記分析対象トラフィック情報を分析し、前記異常検出装置により検出されたトラフィック異常の開始時刻を特定するトラフィック情報分析ステップと、
   前記コンピュータが、前記中継装置から、前記内部ネットワークから前記外部ネットワーク宛てに送信されたアウトバウンドパケットごとに送信元の通信アドレスと送信先の通信アドレスと前記中継装置においてアウトバウンドパケットに対する処理がなされた処理時刻とが示されるログデータを受信する第２の通信ステップと、
   前記コンピュータが、前記第２の通信ステップにより受信されたログデータから、前記中継装置における処理時刻が前記トラフィック情報分析部により特定されたトラフィック異常の開始時刻以降の時刻となっており送信元の通信アドレスが前記異常発生アドレスとなっているアウトバウンドパケットを抽出し、抽出したアウトバウンドパケットの送信先の通信アドレスを遮断対象アドレスとして指定する遮断対象アドレス指定ステップと、
   前記コンピュータが、前記中継装置に対して、前記遮断対象アドレス指定ステップにより指定された遮断対象アドレスを送信先とするアウトバウンドパケットを前記外部ネットワークに転送しないよう指示する遮断指示ステップとを有することを特徴とする内部ネットワーク管理方法。
7. 複数の端末装置と、トラフィック情報を用いてトラフィック異常を検出する異常検出装置とが含まれる内部ネットワークを管理し、
   前記内部ネットワークと外部ネットワークとを接続する中継装置
   と通信を行うコンピュータに、
   前記異常検出装置が前記内部ネットワークにて発生したトラフィック異常の発生元として特定した異常発生端末装置の通信アドレスである異常発生アドレスを通知する異常発生アドレス通知を受信し、前記異常検出装置がトラフィック異常を検出したトラフィック情報を分析対象トラフィック情報として受信する第１の通信ステップと、
   前記異常発生アドレス通知に示される異常発生アドレスと前記分析対象トラフィック情報に示されるパケットの送信元の端末装置の通信アドレス及びパケット送信時刻とに基づき、前記分析対象トラフィック情報を分析し、前記異常検出装置により検出されたトラフィック異常の開始時刻を特定するトラフィック情報分析ステップと、
   前記中継装置から、前記内部ネットワークから前記外部ネットワーク宛てに送信されたアウトバウンドパケットごとに送信元の通信アドレスと送信先の通信アドレスと前記中継装置においてアウトバウンドパケットに対する処理がなされた処理時刻とが示されるログデータを受信する第２の通信ステップと、
   前記第２の通信ステップにより受信されたログデータから、前記中継装置における処理時刻が前記トラフィック情報分析部により特定されたトラフィック異常の開始時刻以降の時刻となっており送信元の通信アドレスが前記異常発生アドレスとなっているアウトバウンドパケットを抽出し、抽出したアウトバウンドパケットの送信先の通信アドレスを遮断対象アドレスとして指定する遮断対象アドレス指定ステップと、
   前記中継装置に対して、前記遮断対象アドレス指定ステップにより指定された遮断対象アドレスを送信先とするアウトバウンドパケットを前記外部ネットワークに転送しないよう指示する遮断指示ステップとを実行させることを特徴とするプログラム。

Images