JP2015219859A - ネットワーク制御システム及びネットワーク制御方法 - Google Patents

Abstract

【課題】マルウェアに察知されずに感染端末の隔離及びマルウェアの調査を可能とする。【解決手段】ネットワーク制御システム１０において、ネットワークシステム上の通信状態を計測する通信状態取得部１１７と、通信状態に基づきクライアント端末とサーバ１５２〜１５４との各間の経路の通信パターンを算出する通信パターン算出部１１６と、インシデント対応が必要である特定クライアント端末１５５と各サーバ１５２〜１５４との間の経路の各通信パターンにおいて通信発生確率が所定以下であるタイミングを判定する通信タイミング判定部１２２と、特定クライアント端末１５５と各サーバ１５２〜１５４との各間を接続するスイッチ１５１の設定を該当スイッチが含まれる経路について判定したタイミングで順次変更し、特定クライアント端末１５５からのサーバ１５２〜１５４への通信を遮断する切替実行部１２３を備える構成とする。【選択図】図１

Description

本発明は、ネットワーク制御システム及びネットワーク制御方法に関するものであり、具体的にはマルウェアに察知されずに感染端末の隔離及びマルウェアの調査を可能とする技術に関する。

近年、情報技術の普及に伴い、サイバー攻撃の多様化・複雑化が進んでいる。特に標的型攻撃と呼ばれるタイプの攻撃は、従来の愉快犯的な無差別攻撃と異なり、明確な目的を持ち、特定の個人や組織を標的として情報の窃取や改ざんを行う。この標的型攻撃により、実際に政府機関や企業等で被害が発生しており、社会問題となっている。

標的型攻撃の一例を以下に述べる。攻撃者は、まず、メールへの添付や、Ｗｅｂサイトからのダウンロード等の手法を利用し、マルウェアを、標的のネットワーク内におけるクライアント端末に侵入させる。こうしてクライアント端末に侵入したマルウェアは、該当クライアント端末が接続されているネットワークの調査や、攻撃者が用意した外部Ｃ＆Ｃサーバからの新たなマルウェアのダウンロードによる攻撃機能補強、といった各種動作を行う。そうして最終的にマルウェアは、標的のネットワーク内において資産性の高い情報にアクセスし、その窃取や改ざんを行う。

一方、このような標的攻撃に伴うクライアント端末へのマルウェアの侵入自体を完全に防ぐのは難しいため、「ネットワーク上でのマルウェアの活動を検知し対処する」、「マルウェアが機密情報を外部に送信するのを防ぐ」、などの各対策を組み合わせた多重の防御が有効とされる。

上述のような対策を施した結果、ネットワークにマルウェアが侵入し活動している兆候を検知した場合、従来における一般的な対処方法は以下の通りである。まず、マルウェアに感染している可能性がある端末をネットワークから切り離して隔離し、調査環境に置く。これは、感染端末が外部からの影響を受けないようにする証拠保全のためと、感染端末がネットワーク上の他のホストへ攻撃することを防ぐためである。また、隔離後の感染端末を調査してマルウェアを特定し、その活動履歴を得る。最後に感染端末からマルウェアを除去し、該当マルウェアの活動内容を所定の管理者等に報告して、クリーンな端末をネットワークに再接続する。

このようなマルウェア対策に関する従来技術としては、例えば、マルウェア感染に気付いたユーザによる隔離命令に応じ、隔離実行モジュールがネットワーク機器の設定変更を実行し、リモートマシンの通信を遮断する技術（特許文献１参照）などが提案されている。

ＷＯ２０１０／０９５４４６

ところが、近年の標的型攻撃用マルウェアは高度化が進んでおり、上述した対策を実行してもこれを回避する機能を持つものがある。具体的には、調査されていることを検知すると、活動を停止してやりすごそうとする機能、マルウェア自身やシステムログを消去し
て証拠隠滅を図る機能、および感染先の全データを破壊しようとする機能、などである。こうした機能を備えるマルウェアは、自身が調査されていることを検知する場合、攻撃者が用意した外部Ｃ＆Ｃサーバとの通信が遮断された事象を検知する、といった環境変化を利用した方法を実行する。

こうしたマルウェアに対し、従来手法で対処しようとすると、ネットワークから隔離した時点で該当マルウェアはその環境変化を察知し、上述のような回避動作を行うことになる。この場合、マルウェアの挙動が変化してしまい、マルウェアの発見が困難になる、マルウェアの活動による影響範囲が特定困難になる、マルウェアによる攻撃の証拠が保全できなくなる、などといった具合に、その後の調査に大いに支障が出ることとなる。

そこで本発明の目的は、マルウェアに察知されずに感染端末の隔離及びマルウェアの調査を可能とする技術を提供することにある。

上記課題を解決する本発明のネットワーク制御システムは、サーバとクライアント端末とがスイッチで接続されたネットワークシステム上における、スイッチとサーバとの接続関係の情報を格納したネットワーク構成データベースを記憶する記憶部と、前記ネットワークシステム上の通信状態を計測して記憶部に格納する通信状態取得部と、前記通信状態に基づき、所定期間におけるクライアント端末とサーバとの各間の経路の通信パターンを算出し、記憶部に格納する通信パターン算出部と、インシデント対応が必要である旨を入力部にて指定された特定クライアント端末について、前記記憶部より各サーバとの間の経路の各通信パターンを読み出し、当該各通信パターンにおいて前記特定クライアント端末と該当サーバとの間で通信の発生確率が所定以下であるタイミングを判定する通信タイミング判定部と、前記ネットワーク構成データベースに基づいて、前記特定クライアント端末と前記各サーバとの各間を接続する各スイッチを特定し、前記特定した各スイッチの設定を、該当スイッチが含まれる経路について前記判定したタイミングで順次変更し、前記特定クライアント端末からの前記サーバへの通信を遮断する切替実行部と、を備えることを特徴とする。

また、本発明のネットワーク制御方法は、サーバとクライアント端末とがスイッチで接続されたネットワークシステム上における、スイッチとサーバとの接続関係の情報を格納したネットワーク構成データベースを記憶する記憶部を備えたコンピュータシステムが、前記ネットワークシステム上の通信状態を計測して記憶部に格納する処理と、前記通信状態に基づき、所定期間におけるクライアント端末とサーバとの各間の経路の通信パターンを算出し、記憶部に格納する処理と、インシデント対応が必要である旨を入力部にて指定された特定クライアント端末について、前記記憶部より各サーバとの間の経路の各通信パターンを読み出し、当該各通信パターンにおいて前記特定クライアント端末と該当サーバとの間で通信の発生確率が所定以下であるタイミングを判定する処理と、前記ネットワーク構成データベースに基づいて、前記特定クライアント端末と前記各サーバとの各間を接続する各スイッチを特定し、前記特定した各スイッチの設定を、該当スイッチが含まれる経路について前記判定したタイミングで順次変更し、前記特定クライアント端末からの前記サーバへの通信を遮断する処理と、を実行することを特徴とする。

本発明によれば、マルウェアに察知されずに感染端末の隔離及びマルウェアの調査が可能となる。

本実施形態におけるネットワーク制御システムの構成例を示す全体ブロック図である。 本実施形態のネットワーク制御システムを構成する装置のハードウェア構成例を示す図である。 本実施形態のネットワーク構成ＤＢにおけるスイッチテーブルの構成例を示す図である。 本実施形態のネットワーク構成ＤＢにおけるサーバテーブルの構成例を示す図である。 本実施形態のネットワーク構成ＤＢにおけるダミーサーバ構築用ホストテーブルの構成例を示す図である。 本実施形態のインシデント管理ＤＢにおけるインシデントテーブルの構成例を示す図である。 本実施形態のダミーサーバ管理ＤＢにおけるダミーサーバテーブルの構成例を示す図である。 本実施形態の通信路管理ＤＢにおける通信路テーブルの構成例を示す図である。 本実施形態のシステム設定ＤＢにおけるパラメタテーブルの構成例を示す図である。 本実施形態の通信パターンＤＢにおける予測有効度テーブルの構成例を示す図である。 本実施形態の通信パターンＤＢにおける非通信時間分布テーブルの構成例を示す図である。 本実施形態の通信パターンＤＢにおける過去状態分布テーブルの構成例を示す図である。 本実施形態の通信履歴ＤＢにおける通信履歴テーブルの構成例を示す図である。 本実施形態の通信履歴ＤＢにおける通信中テーブルの構成例を示す図である。 本実施形態の設定時入力部におけるインターフェイス例１を示す図である。 本実施形態の設定時入力部におけるインターフェイス例２を示す図である。 本実施形態の設定時入力部におけるインターフェイス例３を示す図である。 本実施形態のインシデント時入力部におけるインターフェイス例を示す図である。 本実施形態のネットワーク制御方法の処理手順例を示すフロー図である。 本実施形態のネットワーク制御方法における詳細フロー例１を示す図である。 本実施形態のネットワーク制御方法における詳細フロー例２を示す図である。 本実施形態のネットワーク制御方法における詳細フロー例３を示す図である。 本実施形態のネットワーク制御方法における詳細フロー例４を示す図である。 本実施形態のネットワーク制御方法における詳細フロー例５を示す図である。 本実施形態のネットワーク制御方法における詳細フロー例６を示す図である。 本実施形態のネットワーク制御方法における詳細フロー例７を示す図である。 本実施形態のネットワーク制御方法における詳細フロー例８を示す図である。 本実施形態のネットワーク制御方法における詳細フロー例９を示す図である。 本実施形態のネットワーク制御方法における詳細フロー例１０を示す図である。 本実施形態の通信パターンＤＢにおける通信パターン算出方法指定テーブルの構成例を示す図である。

−−−システム構成例−−−
本実施形態におけるネットワーク制御システムでは、マルウェア感染端末を隔離するにあたり、ネットワーク上の通信を監視し、各通信コネクションの開始・終了が発生するパターンを算出し、通信コネクションが切れているタイミングを見計らってネットワーク機器の設定を変更し、マルウェア感染端末からの通信を、切り替え可能なものから順次ダミーサーバへ誘導することで、マルウェアに検知されることなくマルウェア感染端末を隔離する。以下、図面を使って、本実施形態におけるネットワーク制御システムの例について説明する。

図１は、本実施形態のネットワーク制御システム１０と、当該ネットワーク制御システム１０が制御対象とするネットワークとを含むネットワーク構成図である。図１に例示する本実施形態におけるネットワーク制御システム１０は、ネットワーク切り替え制御サーバ１０１と、ネットワーク監視サーバ１０２とから構成される。なお、本実施形態ではネットワーク制御システム１０を、上述のようにネットワーク制御切り替えサーバ１０１とネットワーク監視サーバ１０２とから構成する形態を例示しているが、一体のサーバのみでネットワーク制御システム１０を構成するとしてもよいし、或いは、３体以上のサーバで構成するとしてもよい。

また、本実施形態におけるネットワーク制御システム１０の制御対象となるネットワークは、通信路１９３、この通信路１９３に接続されたスイッチ１５１、このスイッチ１５１に接続され、インターネット１９４と接続する各サーバ１５２〜１５４、ＬＡＮ１９６等を介して上述のスイッチ１５１と接続され、マルウェア感染調査の対象となるクライアント端末１５５、ダミーサーバ構築用ホスト１５６、および仮想マシン構築用ホスト１５７で構成される。 このうちスイッチ１５１、ダミーサーバ構築用ホスト１５６、および仮想マシン構築用ホスト１５７は、管理用通信路１９２を介してネットワーク切り替え制御サーバ１０１に接続されている。また、通信路１９３は、ネットワーク監視サーバ１０２に接続されている。

こうしたネットワーク構成におけるネットワーク切り替え制御サーバ１０１は、マルウェア感染等のインシデント発生時に、システム管理者の指示を受け、制御対象ネットワーク上のネットワーク機器すなわちスイッチ１５１の設定を変更することで、特定のクライアント端末１５５をネットワーク（例：サーバ１５２〜１５４とクライアント端末１５５との間の経路であるＬＡＮ１９６）からの隔離と復帰を実行する役割を持つ。

上述のネットワーク切り替え制御サーバ１０１は、システム管理者がネットワークの構成情報を入力する際のインターフェイスとなる設定時入力部１１１、この設定時入力部１１１から入力された情報を保持するネットワーク構成ＤＢ１３１、システム管理者がインシデント対応時にインシデント情報と隔離命令を入力する際のインターフェイスとなるインシデント時入力部１１２、このインシデント時入力部１１２からの入力を受けてインシデント情報を管理し各部に指示を出すインシデント時制御部１１３、このインシデント時
制御部１１３が扱う情報を格納するインシデント管理ＤＢ１３４、インシデント時制御部１１３からの指示を受けダミーサーバを構築、管理、削除するダミーサーバ管理部１２０、サーバ操作部１１９、ダミーサーバ管理部１２０らが扱う情報を格納するダミーサーバ管理ＤＢ１３３、インシデント時制御部１１３からの指示を受けてネットワーク設定を変更、管理する通信路管理部１１４、通信路制御部１１５、通信路管理部１１４等で扱う情報を格納する通信路管理ＤＢ１３５、および、管理対象ネットワーク上の機器と接続するための通信インターフェイス１９１を備える。

このうち通信路制御部１１５は、ネットワーク監視サーバ１０２から通信パターンを取得して適切なネットワーク切り替えタイミングを判定する通信タイミング判定部１２２と、この通信タイミング判定部１２２からの指示を受けて通信インターフェイス１９１を介して制御対象ネットワーク上の各スイッチ１５１の設定を変更する切替実行部１２３とから構成されている。

一方、ネットワーク監視サーバ１０２は、常に制御対象ネットワークの通信路１９３を監視してその通信状態の情報を取得し、取得した通信状態の情報に基づいて通信パターンを算出、格納して、インシデント発生時にネットワーク切り替え制御サーバ１０１に提供する役割を持つ。

また、ネットワーク監視サーバ１０２は、制御対象ネットワークの通信路１９３と接続する通信インターフェイス１９４、通信路１９３の通信内容を保持する通信履歴ＤＢ１３８、通信履歴ＤＢ１３８の情報から算出した通信パターンを保持する通信パターンＤＢ１３７、通信インターフェイス１９４を通して取得した通信路１９３の通信のうち、通信開始と終了の情報のみを抽出して通信履歴ＤＢ１３８に格納する通信状態取得部１１７、および、通信履歴ＤＢ１３８に格納された情報から通信パターンを算出して通信パターンＤＢ１３７に格納する通信パターン算出部１１６を備える。

なお、ダミーサーバ構築用ホスト１５６の論理構成は、仮想スイッチ１６１、およびダミーサーバ１６２、１６３からなる。また、仮想マシン構築用ホスト１５７の論理構成は、仮想スイッチ１６４、１６５、および仮想マシン１６６からなる。

図１の例では、物理スイッチをスイッチ１５１のみの構成としたが、物理スイッチ１５１は複数台あってもよい。また、ダミーサーバ構築用ホスト１５６、仮想マシン構築用ホスト１５７も複数台あってもよい。また、サーバ１５２〜１５４、ダミーサーバ１６２〜１６３、仮想マシン１６５〜１６６の数は任意である。また、スイッチ１５１、仮想スイッチ１６１、１６４は、管理用通信路１９２を介してネットワーク切り替え制御サーバ１０１からの指令を受け、設定を変更可能である。

−−−ハードウェア構成例−−−
続いて、図２を用いてネットワーク切り替え制御サーバ１０１、およびネットワーク監視サーバ１０２のハードウェア構成例について説明する。図２は、本実施形態のネットワーク制御システム１０を構成する装置のハードウェア構成例を示す図である。

本実施形態におけるネットワーク切り替え制御サーバ１０１およびネットワーク監視サーバ１０２のハードウェア構成は、サーバ装置として同じであり、ＣＰＵ２０１、メモリ２０２、記憶装置２０３、通信インターフェイス２０４、入力装置２０５、および出力装置２０６が、バス２０７で接続された構成となっている。

このうちＣＰＵ２０１は中央演算装置であり、メモリ２０２（または記憶装置２０３）に保持しているプログラム２１０を実行することで、必要な機能（機能部）を実装するも
のとなる。例えばネットワーク切り替え制御サーバ１０１におけるＣＰＵ２０１は、設定時入力部１１１、インシデント時入力部１１２、インシデント時制御部１１３、通信路管理部１１４、通信路制御部１１５、サーバ操作部１１９、およびダミーサーバ管理部１２０の各機能を実装する。また、ネットワーク監視サーバ１０２におけるＣＰＵ２０１は、通信パターン算出部１１６、および通信状態取得部１１７の各機能を実装する。

またメモリ２０２は、上述のＣＰＵ２０１が処理を実行する際に利用する主記憶装置であり、ＲＡＭなど揮発性記憶素子で構成される。一方、記憶装置２０３は、ＣＰＵ２０１へ提供する入力データやＣＰＵ２０１から出力される出力データを保管するための補助記憶装置であり、ＳＳＤ（Ｓｏｌｉｄ Ｓｔａｔｅ Ｄｒｉｖｅ）やハードディスクドライブなど適宜な不揮発性記憶素子で構成される。また、本実施形態のネットワーク切り替え制御サーバ１０１における記憶装置２０３は、ネットワーク構成ＤＢ１３１、ダミーサーバ管理ＤＢ１３３、インシデント管理ＤＢ１３４、および通信路管理ＤＢ１３５を格納している。また、ネットワーク監視サーバ１０２における記憶装置２０３は、システム設定ＤＢ１３６、通信パターンＤＢ１３７、および通信履歴ＤＢ１３８を格納している。

また、通信インターフェイス２０４は、外部ノードとの通信を行う通信装置であり、各種ネットワークと通信を行う。

また、入力装置２０５は、操作者からのキー入力や音声入力を受け付けるインターフェイスであり、例えば、キーボード、タッチパネル、カードリーダ、音声入力装置などで構成される。

また、出力装置２０６は、操作者に対して処理データの出力を行うインターフェイスであり、例えば、ディスプレイ、スピーカー、プリンタなどで構成される。

−−−ネットワーク構成ＤＢの構成例−−−
次に、本実施形態のネットワーク制御システム１０が用いるデータベースにおけるテーブル構造例について説明する。ここではまず、図３〜図５を使ってネットワーク構成ＤＢ１３１のテーブル構成例について説明する。図３は本実施形態のネットワーク構成ＤＢ１３１におけるスイッチテーブル４００の構成例を示す図であり、図４はサーバテーブル４１０、図５はダミーサーバ構築用ホストテーブル４２０の各構成例を示す図である
本実施形態におけるネットワーク構成ＤＢ１３１は、スイッチテーブル４００、サーバテーブル４１０、およびダミーサーバ構築用ホストテーブル４２０を含んでいる。

このうちスイッチテーブル４００は、ネットワーク切り替え制御サーバ１０１が、ネットワーク１９２を通して操作可能なスイッチ１５１の一覧を保持するテーブルであり、スイッチＩＤ４０１と、該当スイッチ１５１の管理用ＩＰアドレス４０２との組み合わせを一つのレコードとする。このスイッチテーブル４００におけるレコード数は、ネットワーク切り替え制御サーバ１０１が操作するスイッチ１５１の数に伴い変動する。

また、サーバテーブル４１０は、ネットワーク切り替え制御サーバ１０１が、クライアント端末１５５からの接続の可否を管理するサーバ１５２〜１５４の一覧を保持するテーブルであり、サーバＩＤ４１１をキーとして、該当サーバのＩＰアドレス４１２、用途４１３、デフォルトの隔離設定４１４、接続されるスイッチＩＤ４１５、その接続ポート番号４１６、およびイメージファイル４１７（該当サーバ用のダミーサーバの設定情報）を対応付けたレコードの集合体となっている。このサーバテーブル４１０のレコード数は、ネットワーク切り替え制御サーバ１０１が管理するサーバ１５２〜１５４の数に伴い変動する。

また、ダミーサーバ構築用ホストテーブル４２０は、ネットワーク切り替え制御サーバ１０１が管理する、ダミーサーバ構築用のリソースとなるホストの一覧を保持するためのテーブルであり、ダミーサーバ構築用ホスト１５６のホストＩＤ４２１をキーとして該当ホストのＩＰアドレス４２２を対応付けたレコードの集合体となっている。このダミーサーバ構築用ホストテーブル４２０のレコード数は、ネットワーク切り替え制御サーバ１０１が管理するダミーサーバ構築用ホスト１５６の数に伴い変動する。

なお、これら各テーブルの構成はあくまで一例であり、例えば各機器のＭＡＣアドレスを登録する列を加えるなど、必要に応じて構成を変化させても良い。

−−−インシデント管理ＤＢの構成例−−−
次にインシデント管理ＤＢ１３４のテーブル構成例について説明する。図６は本実施形態のインシデント管理ＤＢ１３４におけるインシデントテーブル５００の構成例を示す図である。このインシデントテーブル５００は、マルウェア感染が疑われるクライアント端末１５５の情報を保持するテーブルであり、インシデントＩＤ５０１をキーとして、マルウェア感染端末たるクライアント端末１５５のＩＰアドレスすなわち感染クライアントＩＰ５０２を対応付けたレコードの集合体となっている。このインシデントテーブル５００のレコード数は、システム管理者が登録したマルウェア感染クライアントの数に伴い変動する。なお、ここで示したレコード構成はあくまで一例であり、例えば感染クライアントごとに個別のＶＬＡＮのＩＤを割り振って隔離する場合、ＶＬＡＮのＩＤを格納する列を加えても良い。

−−−ダミーサーバ管理ＤＢの構成例−−−
次にダミーサーバ管理ＤＢ１３３のテーブル構成例について説明する。図７は本実施形態のダミーサーバ管理ＤＢ１３３におけるダミーサーバテーブル６００の構成例を示す図である。このダミーサーバテーブル６００は、インシデント対処時に仮想マシン上に構築するダミーサーバ１６２、１６３の情報を保持するためのテーブルであり、インシデントＩＤ６０１と、該当ダミーサーバの識別情報であるサーバＩＤ６０２とをキーとして、対応するホストＩＤ６０３、接続先のスイッチＩＤ６０４、接続ポート番号６０５、および現在状態６０６を対応付けたレコードの集合体となっている。このダミーサーバテーブル６００のレコード数は、インシデント対応時にシステム管理者が構築するダミーサーバ１６２、１６３の数に伴い変動する。

−−−通信路管理ＤＢの構成例−−−
続いて本実施形態における通信路管理ＤＢ１３５のテーブル構成例について説明する。図８は本実施形態の通信路管理ＤＢ１３５における通信路テーブル７００の構成例を示す図である。この通信路テーブル７００は、クライアント端末１５５と各サーバ１５２〜１５４との間の各経路すなわち通信路の一覧を保持するためのテーブルであり、通信路の識別情報たる通信路ＩＤ７０１をキーとして、該当通信路に接続されるクライアント端末のＩＰアドレス７０２、そのクライアントポート番号７０３、接続されるサーバのＩＰアドレス７０４、ポート番号７０５、隔離設定７０６、および現在状態７０７を対応付けたレコードの集合体となっている。この通信路テーブル７００のレコード数は、起動している通信路制御部１１５の数に伴い変動する。

−−−システム設定ＤＢの構成例−−−
次にシステム設定ＤＢ１３６の構成について説明する。本実施形態におけるシステム設定ＤＢ１３６は、ネットワーク切り替え制御サーバ１０１、ネットワーク監視サーバ１０２での処理で必要なパラメタを格納するデータベースであり、パラメタテーブル８００を含んでいる。

図９は本実施形態のシステム設定ＤＢ１３６におけるパラメタテーブル８００の構成例を示す図である。ここで例示するパラメタテーブル８００は、切替実行部１２３が参照する切り替え試行回数と、通信パターン算出部１１６が参照するパターン算出時間間隔、通信履歴保持期間、過去状態分布クラス数下限、過去状態分布クラス数上限、非通信時間分布分割幅、非通信時間分布分割数と、通信タイミング判定部１２２が参照する非通信時間分布有効度係数、過去状態分布有効度係数、過去状態分布確率閾値といった各値を格納するテーブルである。
−−−通信パターンＤＢの構成例−−−
続いて本実施形態の通信パターンＤＢ１３７の構成について説明する。図１０は本実施形態の通信パターンＤＢ１３７における予測有効度テーブル３００の構成例を示す図であり、図１１は非通信時間分布テーブル３１０の構成例、図１２は過去状態分布テーブル３２０の各構成例を示す図である。

このうち予測有効度テーブル３００は、テーブル名３０１をキーとしてその有効度３０２を対応付けたレコードの集合体となっている。

また、非通信時間分布テーブル３１０は、通信時間下限３１１をキーとして、該当時間幅の通信時間の出現数３１２および確率３１３を対応付けたレコードの集合体となっている。

また、過去状態分布テーブル３２０は、無通信時間と直前通信時間の組みに関する確率密度関数における平均および分散の各値を格納したテーブルであり、クラス番号３２１をキーとして、該当クラスの重み３２２、平均（無通信時間）３２３、平均（直前通信時間）３２４、分散（１，１）成分３２５、分散（１，２）成分３２６、分散（２，１）成分３２７、および分散（２，２）成分３２８を対応付けたレコードの集合体となっている。確率密度関数と分散、平均の対応関係は既知の一般的なものと同様である。

なお、上述の過去状態分布テーブル３２０は、２次元の確率密度関数を格納することを想定しているが、平均（無通信時間）、平均（直前通信時間）以外のデータを利用した３次元以上の確立密度関数を格納するよう構成してもよい。

−−−通信履歴ＤＢの構成例−−
次に本実施形態の通信履歴ＤＢ１３８の構成例について説明する。図１３は本実施形態の通信履歴ＤＢ１３８における通信履歴テーブル９００の構成例を示す図であり、図１４は通信中テーブル９１０の構成例を示す図である。

このうち通信履歴テーブル９００は、制御対象ネットワーク上のサーバ１５２〜１５４とクライアント端末１５５との間の経路における通信状態のうち、該当通信の開始と終了にあたる時刻等を記録するテーブルであり、時刻９０１をキーとして、通信相手のうちの一方であるクライアント端末１５５のＩＰアドレス９０２、そのポート番号９０３、通信相手のうちの他方であるサーバのＩＰアドレス９０４、そのポート番号９０５、および通信状態９０６を対応づけたレコードの集合体となっている。この通信履歴テーブル９００のレコード数は可変であり、登録されてから一定時間が経過したレコードは消去される。

また、通信中テーブル９１０は、現在通信中である、制御対象ネットワーク上のサーバ１５２〜１５４とクライアント端末１５５との間の経路における通信状態のうち、該当通信の開始と終了にあたる時刻等を記録するテーブルであり、時刻９１１をキーとして、通信相手の一方であるクライアント端末１５５のＩＰアドレス９１２、そのポート番号９１３、通信相手の他方であるサーバのＩＰアドレス９１４、そのポート番号９１５、を対応付けたレコードの集合体となっている。この通信中テーブル９１０のレコード数は可変で
あり、登録されてから一定時間が経過したレコードは消去される。

−−−設定時入力部の詳細−−−
次に、図１５〜１７を用いて設定時入力部１１１について説明する。図１５〜１７は本実施形態の設定時入力部１１１におけるインターフェイス例１〜３をそれぞれ示す図である。ここで例示する設定時入力部１１１は、スイッチ情報入力画面１０００、サーバ情報入力画面１０１０、およびダミーサーバ用ホスト入力画面１０２０の３つの画面をタブ形式にて一体に提供可能である。システム管理者は、この画面１０００、１０１０、１０２０のうち希望の画面についてタブ１０３０によって選択できる。

システム管理者は、こうした設定時入力部１１１を通して、制御対象ネットワークの構成情報をネットワーク構成ＤＢ１３１に入力する。スイッチ情報入力画面１０００、サーバ情報入力画面１０１０、およびダミーサーバ用ホスト入力画面１０２０にて入力された情報は、それぞれスイッチテーブル４００、サーバテーブル４１０、およびダミーサーバ構築用ホストテーブル４２０に格納される。

−−−インシデント時入力部の詳細−−−
次に、図１８を用いてインシデント時入力部１１２について説明する。図１８は本実施形態のインシデント時入力部１１２におけるインターフェイス例を示す図である。インシデント時入力部１１２が提供する現在状況画面１１００では、システム管理者はインシデント対応中の案件について現在の状況を確認できる。

システム管理者が、この現在状況画面１１００における選択欄１１０１のプルダウンメニューから、インシデント対応中のクライアント端末すなわちマルウェア感染中のクライアント端末１５５を、各クライアント端末のＩＰアドレスをプルダウン形式で選択可能としたＩＰアドレス一覧１１０１から選択すると、例えばネットワーク切り替え制御サーバ１０１は、該当クライアント端末１５５からその接続先である各サーバ１５２〜１５４に至る各通信路の状況を、通信路管理ＤＢ１３５の通信路テーブル７００から読み取って、隔離状態一覧１１０２に表示する。

この隔離状態一覧１１０２は、各通信路について「隔離中止」ボタンを備え、システム管理者がこれを押下することで、例えばネットワーク切り替え制御サーバ１０１は、該当クライアント・サーバ間の通信路に関して、上述の通信路テーブル７００での現在状態を隔離復帰状態に遷移させる。あるクライアント端末１５５について、全ての通信路の復帰が完了した場合、インシデント対応完了となり、例えばネットワーク切り替え制御サーバ１０１は、該当クライアント端末１５５のＩＰアドレスをＩＰアドレス一覧１１０１のプルダウンメニューから取り除く。一方、システム管理者が新たなインシデントを入力する場合、「新規作成」ボタンを押すことで、例えばネットワーク切り替え制御サーバ１０１は、インシデント入力部１１２を新規インシデント入力画面１１１０に遷移させる。

他方、新規インシデント入力画面１１１０において、インシデント入力部１１２は、ネットワーク構成ＤＢ１３１のサーバテーブル４１０を参照し、サーバ一覧１１１２を表示する。このうち隔離設定のデフォルト値は、デフォルト隔離設定４１４に従う。

システム管理者は、入力欄１１１１にインシデント対応の対象となるクライアント端末１５５のＩＰアドレスを入力し、サーバ一覧１１１２に該当クライアント端末１５５から各サーバへの隔離設定と、ダミーサーバを動作させるホストの割り当てを入力する。その後、システム管理者が「決定」ボタンを押すことで、インシデント入力部１１２は、入力されたクライアント端末１５５のＩＰアドレスと各サーバへの隔離設定を、新たなインシデント案件として、インシデントテーブル５００、ダミーサーバテーブル６００、通信路
テーブル７００に登録する。その後、インシデント時入力部１１２は、上述した現在状況画面１１００に遷移する。また、システム管理者が「戻る」ボタンを押した場合、入力内容はキャンセルされ、インシデント時入力部１１２は現在状況画面１１００に遷移する。

−−−ネットワーク制御方法のフロー例−−−
以下、本実施形態におけるネットワーク制御方法の実際手順について図に基づき説明する。以下で説明するネットワーク制御方法に対応する各種動作は、ネットワーク制御システム１０を構成する各情報処理装置すなわちネットワーク切り替え制御サーバ１０１とネットワーク監視サーバ１０２がその各メモリに読み出して実行するプログラムによって実現される。そして、このプログラムは、以下に説明される各種の動作を行うためのコードから構成されている。

図１９は、本実施形態におけるネットワーク制御方法の処理手順例を示すフロー図である。ここで、上述してきたようにネットワーク制御システム１０は、ネットワーク切り替え制御サーバ１０１とネットワーク監視サーバ１０２とで構成され、ネットワーク監視サーバ１０２は常時稼働しており、ネットワーク切り替え制御サーバ１０１はネットワーク構成変更時またはマルウェア感染の発生時などインシデント対処時のみ処理を行う運用になっていることを想定する。

このうちネットワーク監視サーバ１０２は、常時、通信状態取得（ステップ１２０１）と通信パターン算出（ステップ１２０２）の各処理を実行している。通信状態取得の処理（ステップ１２０１）における通信状態取得部１１７は、制御対象ネットワークである通信路１９３を流れるパケットを通信インターフェイス１９４を介して取得し、このうち通信の開始と終了にあたるものを抽出して、該当パケットの情報を通信状態の情報として通信履歴ＤＢ１３８に格納する。本ステップ１２０１での処理は、図２６に関する説明の際に詳しく述べる。

一方、通信パターン算出の処理（ステップ１２０２）における通信パターン算出部１１６は、上述の通信状態取得の処理（ステップ１２０１）で得た通信状態の情報を、通信履歴ＤＢ１３８から読みだして加工し、通信の特徴を表すパラメタを算出して通信パターンＤＢ１３７に格納する。本ステップ１２０２の処理は、図２７に関する説明の際に詳しく述べる。

他方、ネットワーク切り替え制御サーバ１０１は、システム管理者によりネットワーク構成が変更された場合、その内容を設定時入力部１１１で受け付けて、ネットワーク構成ＤＢ１３１を更新するネットワーク構成情報更新（ステップ１２２１）を実行する。本ステップ１２２１の処理は、本実施形態ではシステム管理者の入力により開始する。

また、インシデント発生に伴うシステム管理者からの隔離指令をインシデント時入力部１１２にて受けたネットワーク切り替え制御サーバ１０１は、その対処としてマルウェアに感染したクライアント端末１５５に関する隔離実行処理（ステップ１２１１）を実行し、その後、システム管理者からの該当クライアント端末１５５に関する復帰指令をインシデント時入力部１１２にて受け、所定の復帰処理（ステップ１２１２）を実行する。

上述のうち隔離実行処理（ステップ１２１１）は、ネットワーク切り替え制御サーバ１０１が、インシデント対処時に、マルウェアに感染した疑いのあるクライアント端末１５５から各サーバ１５２〜１５４への通信をダミーサーバへ誘導するよう、ネットワーク上のスイッチ１５１の設定を変更する処理である。本ステップ１２１１の処理は、本実施形態ではシステム管理者からの隔離実行指令により開始するが、これは一例であり、例えばマルウェア検知システムからのアラートにより開始するようにしても良い。

なお、システム管理者は、インシデント時入力部１１２を介して、隔離対象のクライアント端末１５５の情報や、各サーバ１５２〜１５４への隔離設定を入力するものとする。一方、ネットワーク切り替え制御サーバ１０１は、システム管理者の入力情報に従い、ダミーサーバを起動して、各通信路の状態を確認しながら適切なタイミングを判定して、スイッチ１５１の設定を順次変更する。本ステップ１２１１の処理は、図２０に関する説明の際に詳しく述べる。

一方、復帰処理（ステップ１２１２）は、ネットワーク切り替え制御サーバ１０１が、インシデント対処時に、マルウェアの調査・対処を終えたクライアント端末１５５からの通信について、ダミーサーバへ誘導するスイッチ１５１の設定を解除する処理である。本ステップ１２１２の処理は、本実施形態ではシステム管理者からの復帰指令により開始するが、これは一例である。

−−−詳細フロー例１−−−
次に、インシデント対処時のフロー詳細について図に基づき説明する。まず図２０を用いて、上述のステップ１２１１の処理の詳細について説明する。この場合、インシデント時制御部１１３は、インシデント時入力部１１２から、特定のクライアント端末１５５を隔離する指令を受信する。なお、インシデント時入力部１１２において上述の指令を受け付けるインターフェイスは、図１８にて既に例示したように、新規インシデント入力画面１１１０となる。

具体的には、ここで受信する情報は、隔離するクライアント端末１５５のＩＰアドレス（新規インシデント入力画面１１１０の入力欄１１１１で受け付けたもの）と、各サーバ１５２〜１５４への通信許可の設定情報（新規インシデント入力画面１１１０のサーバ一覧１１１２で受け付けた隔離設定、隔離先の各情報）となる。インシデント時制御部１１３は、上述のように受信した各情報のうち、例えば隔離対象たる感染クライアント端末１５５のＩＰアドレスを一つのインシデントの情報として、インシデントテーブル５００にレコードを追加して格納する（ステップ１３０１）。

続いてインシデント時制御部１１３は、インシデント時入力部１１２から受信した各サーバ１５２〜１５４への通信許可の設定情報を参照し、この設定情報において例えば隔離設定が「隔離」で隔離先が「ダミー２」などとダミーサーバを利用した隔離処理が指定されていた場合、「隔離先」として指定された、すなわち起動する必要があるダミーサーバについて、ダミーサーバの設定情報としてネットワーク構成ＤＢ１３１のサーバテーブル４１０（図４）から該当サーバに関するイメージファイル４１７の情報を、ダミーサーバを動作させるプラットフォームとなるホストの情報としてダミーサーバ構築用ホストテーブル４２０（図５）からホスト管理用のＩＰアドレス４２２を、ダミーサーバ管理部１２０に通知する。（ステップ１３０２）。

この場合、ダミーサーバ管理部１２０は、インシデント時制御部１１３から受信した上述の指令に従って、サーバ操作部１１９に対し、該当指令でホスト管理用のＩＰアドレス４２２が割り当てられたホスト上で、仮想計算機としてダミーサーバを起動し（仮想計算機としてサーバを起動する手法については、仮想計算機に関する既存技術を採用すればよい）、指定されたイメージファイルをこのダミーサーバに読み込ませて設定するよう指示を出す。またダミーサーバ管理部１２０は、起動するダミーサーバの一覧をダミーサーバ管理ＤＢ１３３のダミーサーバテーブル６００（図７）に格納し、現在状態６０６を「起動・設定中」とする（ステップ１３０３）。

またダミーサーバ管理部１２０は、サーバ操作部１１９からのダミーサーバの起動・設
定に関する完了通知を受信し、この完了通知を、上述の設定が完了したダミーサーバから順次、インシデント時制御部１１３に転送する。設定が完了したダミーサーバについては、ダミーサーバ管理部１２０が、ダミーサーバ管理ＤＢ１３３のダミーサーバテーブル６００の該当するレコードの現在状態６０６を「動作中」に更新する（ステップ１３０４）。

一方、インシデント時制御部１１３は、ダミーサーバ管理部１２０から上述の設定完了の通知を受けたダミーサーバについて、通信路管理部１１４に対し隔離指示を出す（ステップ１３０５）。

この場合、通信路管理部１１４は、インシデント時制御部１１３からの隔離指示を受け、隔離するクライアント端末１５５から特定のサーバへの通信を、指定されたダミーサーバに誘導するよう、スイッチ１５１の設定を変更する。処理終了後、通信路管理部１１４は、インシデント時制御部１１３に処理結果を通知する（ステップ１３０６）。本ステップ１３０６の処理は、続く図２１に関する説明の際に詳しく述べる。

最後にインシデント時制御部１１３は、上述の通信路管理部１１４からの結果通知を受け、該当結果をインシデント時入力部１１２に送り、上述の現在状況画面１１００にて表示する（ステップ１３０７）。この現在状況画面１１００にてシステム管理者はインシデント対応中の案件について現在の状況を確認できる。

−−−詳細フロー例２−−−
次に図２１を用いて、通信路管理部１１４による上述のステップ１３０６の詳細について説明する。この場合、通信路管理部１１４は、上述の隔離指令を受信し（ステップ１４０１）、隔離指令が示す、隔離対象のクライアント端末１５５およびこのクライアント端末１５５の通信相手となるサーバの各ＩＰアドレス７０２、７０４を通信路テーブル７００（図８）から取得し、また、上述のステップ１３０３で起動済みのダミーサーバが接続されているスイッチ１５１のＩＤ６０４をダミーサーバテーブル６００から取得する。

また、通信路管理部１１４は、通信履歴ＤＢ１３８の通信中テーブル９１０（図１４）を参照し、上述した隔離対象のクライアント端末１５５およびその通信相手たるサーバの各ＩＰアドレスをキーに、所定時間内に通信があったクライアントポート番号９１３を取得する（ステップ１４０２）。

次に通信路管理部１１４は、ステップ１４０２で得られたクライアントポート番号９１３の数だけ通信路制御部１１５を起動し（ステップ１４０３）、通信路管理ＤＢ１３５にレコードを追加する。更に、クライアントポート番号別の通信を通信路制御部１１５に割り振り、ネットワーク切り替えに必要な情報を通知する。以降、特定のクライアント・サーバの、特定のポート間での通信を、通信路制御部１１５が担当する通信とする。

続いて通信タイミング判定部１２２は、通信路管理部１１４から通信路制御部１１５の起動通知を受け、通信パターンＤＢ１３７から、通信のパターン情報を取得する。このパターン情報と、通信履歴ＤＢ１３８の通信履歴テーブル９００から取得した現在の通信状態とを比較し、ネットワーク切り替えに適切なタイミングを判定して、切替実行部１２３へネットワーク切り替え指示を出す（ステップ１４０４）。本ステップ１４０４の処理は、続く図２２に関する説明の際に詳しく述べる。

一方、切替実行部１２３は、通信タイミング判定部１２２からの指示を受け、各スイッチ１５１にネットワーク切り替えの指令を出す（ステップ１４０５）。なお、この切り替え動作中に、隔離対象であるクライアント端末１５５の該当ポートからの通信が発生した
場合、当該ネットワーク切り替えを中断する。

続いて切替実行部１２３は、上述のステップ１４０５におけるスイッチ１５１でのネットワーク切り替えが成功、すなわち切り替え動作中に、隔離対象であるクライアント端末１５５の該当ポートからの通信が発生しなかったか否か判定する（ステップ１４０６）。もしネットワーク切り替えに成功したのであれば（ステップ１４０６：ｙｅｓ）、切替実行部１２３は、通信路管理部１１４に対して結果を通知する（ステップ１４０８）。他方、切替動作を中断、すなわちネットワーク切り替えに失敗したのであれば（ステップ１４０６：ｎｏ）、切替実行部１２３は、処理をステップ１４０７に進める（ステップ１４０６）。

次に切替実行部１２３は、上述のネットワーク切り替えを中断した回数が既定の回数を上回るか判定する（ステップ１４０７）。もし上回るのであれば（ステップ１４０７：ｙｅｓ）、切替実行部１２３は、ネットワーク切り替えに失敗したとみなし、通信路管理部１１４に対して結果を通知する。もし上回らないのなら（ステップ１４０７：ｎｏ）、切替実行部１２３は、上述の切り替えを再試行するため、ステップ１４０４へ戻る。（ステップ１４０７）。

最後に通信路管理部１１４は、切替実行部１２３からの通知を受け、ネットワーク切り替えの成功、失敗をインシデント時制御部１１３に通知する。（ステップ１４０８）。

−−−詳細フロー例３−−−
次に図２２を用いて、通信タイミング判定部１２２によるステップ１４０４の詳細を説明する。この場合、通信タイミング判定部１２２は、通信パターンＤＢ１３７の予測有効度テーブル３００を参照し、有効度３０２が最大であるテーブルすなわち非通信時間分布テーブル３１０および過去状態分布テーブル３２０のいずれかを、タイミング予測に利用するテーブルとして特定する（ステップ１５０１、ステップ１５０２）。

上述のステップ１５０２においてタイミング予測に利用するテーブルとして、非通信時間分布テーブル３１０を選択した場合（ステップ１５０２：非通信時間分布）、通信タイミング判定部１２２は、非通信時間分布テーブル３１０と、通信履歴ＤＢ１３８の通信履歴テーブル９００を参照し、ネットワークを切り替えるのに適したタイミングを算出して、切替実行部１２３に通知する（ステップ１５０３）。本ステップ１５０３の処理は、続く図２３に関する説明の際に詳しく述べる。

一方、タイミング予測に利用するテーブルとして、過去状態分布テーブル３２０を選択した場合（ステップ１５０２：過去状態分布）、通信タイミング判定部１２２は、過去状態分布テーブル３２０と、通信履歴ＤＢ１３８の通信履歴テーブル９００を参照し、ネットワークを切り替えるのに適したタイミングを算出して、切替実行部１２３に通知する（ステップ１５０４）。本ステップ１５０４の処理は、続く図２４に関する説明の際に詳しく述べる。

なお、図２２のフロー例では、選択するテーブルとして非通信時間分布テーブル３１０、過去状態分布テーブル３２０の２つを設定したが、３つ以上のテーブルから選択してもよい。

−−−詳細フロー例４−−−
次に図２３を用いて、通信タイミング判定部１２２による上述のステップ１５０３の詳細を説明する。この場合、通信タイミング判定部１２２は、通信履歴ＤＢ１３８の通信履歴テーブル９００を参照し、担当する通信路について最新のレコードを検索する（ステッ
プ１６０１）。具体的には、通信路制御部１１５が通信路管理部１１４によって生成された際に与えられた、クライアントＩＰアドレス、クライアントポート番号、サーバＩＰアドレス、サーバポート番号が、それぞれ通信履歴テーブル９００の、クライアントＩＰアドレス９０２、クライアントポート番号９０３、サーバＩＰアドレス９０４、サーバポート番号９０５と一致するレコードのうち、時刻９０１が最新のレコードを選択する。

続いて通信タイミング判定部１２２は、上述のステップ１６０１で選択したレコードの通信状態９０６を参照し、値が「開始」であれば、現在通信中とみなして（ステップ１６０２：ｙｅｓ）、再度ステップ１６０１を行う。他方、値が「終了」であれば、現在非通信中とみなして（ステップ１６０２：ｎｏ）、ステップ１６０３へ進む（ステップ１６０２）。

次に通信タイミング判定部１２２は、上述のステップ１６０１で選択したレコードの時刻９０１を参照してメモリ上に保持し（ステップ１６０３）、ここで保持した時刻と現在時刻との差を計算し、通信終了時から経過した時間を算出する（ステップ１６０４）。

続いて通信タイミング判定部１２２は、非通信時間分布テーブル３１０を参照し、通信時間下限３１１が、上述のステップ１６０４で求めた経過時間以下で、なおかつ最大の値であるレコードを検索する（ステップ１６０５）。例えば、上述のステップ１６０４で求めた経過時間が「８」であった場合、非通信時間分布テーブル３１０における通信時間下限３１１のうち、経過時間「８」以下となるものは、通信時間下限「５」、「０」が特定出来るが、そのうち最大の値のものは「５」であるため、通信時間下限「５」のレコードを検索することになる。

次に通信タイミング判定部１２２は、上述のステップ１６０５で選択したレコードの通信時間下限３１１が、非通信時間分布テーブル３１０の中で最大の値か否かを判定する（ステップ１６０６）。この判定において、上述の通信時間下限が最大と判定されたならば（ステップ１６０６：ｙｅｓ）、通信タイミング判定部１２２は、ステップ１６０８へ進む。他方、上述の通信時間下限が最大と判定されなければ（ステップ１６０６：ｎｏ）、通信タイミング判定部１２２はステップ１６０７へ進む。

続いて通信タイミング判定部１２２は、ステップ１６０７において、上述のステップ１６０５で選択したレコードと、非通信時間分布テーブル３１０の中で通信時間下限３１１がより大きいレコードとを参照し、確率３１３の値について、上述のステップ１６０５で選択したレコードが最大であるか否か判定する。上述のステップ１６０５で選択したレコードが最大であった場合（ステップ１６０７：ｙｅｓ）、通信タイミング判定部１２２は、ステップ１６０８へ進む。一方、上述のステップ１６０５で選択したレコードが最大でなかった場合（ステップ１６０７：ｎｏ）、通信タイミング判定部１２２は、上述のステップ１６０４へ戻る。

またステップ１６０８において、通信タイミング判定部１２２は、切替実行部１２３に対して切り替え可能であることを通知する。

−−−詳細フロー例５−−−
次に、図２４を用いて、通信タイミング判定部１２２による上述のステップ１５０４の詳細を説明する。この場合、通信タイミング判定部１２２は、通信履歴ＤＢ１３８の通信履歴テーブル９００を参照し、担当する通信路について最新のレコードを検索する（ステップ１７０１）。具体的には、通信路制御部１１５が通信路管理部１１４によって生成された際に与えられた、クライアントＩＰアドレス、クライアントポート番号、サーバＩＰアドレス、サーバポート番号が、それぞれ通信履歴テーブル９００の、クライアントＩＰ
アドレス９０２、クライアントポート番号９０３、サーバＩＰアドレス９０４、サーバポート番号９０５と一致するレコードのうち、時刻９０１が最新のレコードを選択する。

続いて通信タイミング判定部１２２は、上述のステップ１７０１で選択したレコードの通信状態９０６を参照し、値が「開始」であれば、現在通信中とみなして（ステップ１７０２：ｙｅｓ）、再度ステップ１７０１を行う。一方、値が「終了」であれば、現在非通信中とみなして（ステップ１７０２：ｎｏ）、通信タイミング判定部１２２はステップ１７０３へ進む。

次に通信タイミング判定部１２２は、上述のステップ１７０１で選択したレコードの時刻９０１を参照してメモリ上に保持する（ステップ１７０３）。また、通信タイミング判定部１２２は、通信履歴ＤＢ１３８の通信履歴テーブル９００を参照し、担当する通信路の直前の通信時間を取得する（ステップ１７０４）。具体的には、担当する通信路に該当する送信元ＩＰアドレス・ポート番号、宛先ＩＰアドレス・ポート番号を持つレコードを検索し、通信状態が「開始」である最新のレコードと、「切断」である最新のレコードとの時刻９０１の差を計算する。

続いて通信タイミング判定部１２２は、過去状態分布テーブル３２０の各レコードに格納された確率密度関数のパラメタ、すなわち、平均（無通信時間）３２３、平均（直前通信時間）３２４、分散（１、１）成分３２５、分散（１、２）成分３２６、分散（２、１）成分３２７、および分散（２、２）成分３２８、の各値を参照し、上述のステップ１７０４で求めた直前の通信時間から、当てはまる確率が最高のレコード、すなわち過去状態分布テーブル３２０におけるクラスを選択する（ステップ１７０５）。具体的には、過去状態分布テーブル３２０の各レコードから、直前通信時間のみの確率密度関数を算出し、ステップ１７０４で求めた直前の通信時間を代入した値が最大になるレコードを選択する。

次に通信タイミング判定部１２２は、上述のステップ１７０３で取得した時刻と現在時刻との差を計算して経過時間を算出し、この経過時間と、過去状態分布テーブル３２０から上述のステップ１７０５で選択したレコードを参照し、通信開始の可能性が高い時間帯を算出する（ステップ１７０６）。具体的には、上述のステップ１７０５で選択したレコードから、無通信時間のみの確率密度関数を算出し、システム設定ＤＢ１３６で設定されている過去状態分布確率閾値を超える範囲を、上述の通信開始の可能性が高い時間帯とする。この時間帯に上述の経過時間が含まれる場合（ステップ１７０６：ｙｅｓ）、通信タイミング判定部１２２は、ステップ１７０７へ進む。他方、この時間帯に上述の経過時間が含まれない場合（ステップ１７０６：ｎｏ）、通信タイミング判定部１２２は、ステップ１７０９へ進む。

次に通信タイミング判定部１２２は、ステップ１７０７において、上述の通信開始の可能性が高い時間帯の終了時刻と現在の経過時間との差を計算し、その時間が経過するまで待機する。

また通信タイミング判定部１２２は、ステップ１７０８において、担当する通信路で、マルウェア感染した上述のクライアント端末１５５からの通信が発生していないか、通信履歴ＤＢ１３８の通信履歴テーブル９００を参照し確認する。この確認の結果、該当クライアント端末１５５からの通信が発生していたら（ステップ１７０８：ｙｅｓ）、通信タイミング判定部１２２は、ステップ１７０１へ戻る。他方、該当クライアント端末１５５からの通信が発生していなかった場合（ステップ１７０８：ｎｏ）、通信タイミング判定部１２２は、ステップ１７０９へ進む。

このステップ１７０９において、通信タイミング判定部１２２は、切替実行部１２３に対し、ネットワーク切り替え可能であることを通知する。

−−−詳細フロー例６−−−
次に、図２５を用いて、切替実行部１２３による上述のステップ１４０５〜ステップ１４０７の詳細を説明する。この場合、切替実行部１２３は、上述の通信タイミング判定部１２２からのネットワーク切り替え可能通知を受け、通信路管理部１１４から通知された設定に基づき、スイッチ１５１、仮想スイッチ１６１、仮想スイッチ１６４の設定を変更する（ステップ１８０１）。具体的には、上述の各スイッチ１５１、１６１、１６４に特定のパケットが入力された場合、出力先を切替実行部１２３に問い合わせるよう、各スイッチ１５１、１６１、１６４の設定を変更する指示を、通信インターフェイス１９１経由で各スイッチ１５１、１６１、１６４に送信する。

なお、上述の特定のパケットとは、パケットヘッダに記載された通信元・宛先情報が、通信路制御部１１５が通信路管理部１１４によって生成された際に与えられた、クライアントＩＰアドレス、クライアントポート番号、サーバＩＰアドレス、サーバポート番号と一致するものである。

続いて切替実行部１２３は、上述の各スイッチ１５１、１６１、１６４の設定変更にかかる時間だけ待機し、その待機時間中に上述の各スイッチ１５１、１６１、１６４に特定のパケットが入力され、切替実行部１２３に問い合わせ内容が伝達されてきた場合（ステップ１８０２：ｙｅｓ）、これに応じてステップ１８０５へ進む。

他方、待機時間中に上述の問い合わせ内容が伝達されてこなかった場合（ステップ１８０２：ｎｏ）、切替実行部１２３はステップ１８０３へ進む。

次に切替実行部１２３は、上述の待機時間経過以降に特定パケットの入力に伴う問い合わせ内容の伝達が発生した場合、上述の各スイッチ１５１、１６１、１６４に対してクライアント端末１５５とダミーサーバとの間で通信するよう指示する（ステップ１８０３）。

また、切替実行部１２３は、上述のステップ１８０１で加えた、「特定のパケットが入力された場合に出力先を切替実行部１２３に問い合わせる設定」を解除し、上述の各スイッチ１５１、１６１、１６４の設定を、クライアント端末１５５とダミーサーバとの間で通信する設定とする（ステップ１８０４）。

続いて切替実行部１２３は、上述のステップ１８０４の実行を受けてネットワーク切り替えに成功したとみなし、通信路管理部１１４に結果を通知する（ステップ１８０５）。

−−−詳細フロー例７−−−
次に図２６を用いて、通信状態取得部１１７による上述のステップ１２０１における処理を説明する。この場合、通信状態取得部１１７は、通信路１９３を流れるパケットを通信インターフェイス１９４を経由して取得し、このうち通信開始と通信終了にあたるパケットを抽出して、該当パケットが示す通信元・宛先と時刻とともに通信履歴ＤＢ１３８の通信履歴テーブル９００に記録する（ステップ１９０１）。

続いて通信状態取得部１１７は、上述のステップ１９０１で新規に記録した通信元・宛先の組み合わせが、通信中テーブル９１０のレコードに既に含まれるか検索し、既存であったならば、当該レコードの時刻９１１を現在時刻に書き換える（ステップ１９０２）。他方、既存でないならば、通信状態取得部１１７は、通信中テーブル９１０にて新規にレ
コードを作成し、現在時刻と通信元・宛先の組み合わせを格納する。

−−−詳細フロー例８−−−
次に図２７を用いて、通信パターン算出部１１６による上述のステップ１２０２における処理を説明する。なお、通信パターン算出部１１６は、以下のステップ１９１１〜１９１７の各処理を定期的に行うものとする。その実行間隔は、システム設定ＤＢ１３６から取得するパターン算出時間間隔に従う。

まず通信パターン算出部１１６は、通信履歴ＤＢ１３８の通信履歴テーブル９００を参照し、各通信のパターンを算出し、通信パターンＤＢ１３７の非通信時間分布テーブル３１０、過去状態分布テーブル３２０に格納する。ここで、各通信とは、特定のＩＰアドレス、ポート番号の間の通信のことである。次に、通信パターン算出部１１６は、通信履歴ＤＢ１３８の通信中テーブル９１０を参照し、通信中のクライアントＩＰアドレス９１２、クライアントポート番号９１３、サーバＩＰアドレス９１４、およびサーバポート番号９１５の組み合わせを得る。通信パターン算出部１１６は、こうして得た各々の組み合わせについて、以下のステップ１９１３〜１９１５を繰り返し行う（ステップ１９１１、ステップ１９１２、ステップ１９１６）。

ここで通信パターン算出部１１６は、通信パターンＤＢ１３７に、予測有効度テーブル３００、非通信時間分布テーブル３１０、過去状態分布テーブル３２０（のファイル）を作成する（ステップ１９１３）。

次に通信パターン算出部１１６は、通信履歴ＤＢ１３８の通信履歴テーブル９００を参照し、非通信時間の出現頻度からパターンを算出して非通信時間分布テーブル３１０に格納する。また、算出したパターンによる通信タイミング予測の正確性について見積もるため、有効度を評価し、予測有効度テーブル３００に格納する（ステップ１９１４）。本処理は、続く図２８の説明の際に詳しく述べる。

また通信パターン算出部１１６は、通信履歴ＤＢ１３８の通信履歴テーブル９００を参照し、非通信時間とその直前の通信時間の相関からパターンを算出して過去状態分布テーブル３２０に格納する。また、算出したパターンによる通信タイミング予測の正確性について見積もるため、有効度を評価し、予測有効度テーブル３００に格納する（ステップ１９１５）。本処理は、続く図２９の説明の際に詳しく述べる。

なお、通信状態取得部１１６は、通信履歴テーブル９００および通信中テーブル９１０を定期的に参照し、時刻９０１、時刻９１１の値を基準に、最終更新から一定時間が経過したレコードについては、順次削除する。基準となる経過時間は、システム設定ＤＢ１３６から取得する通信履歴保持時間に従う（ステップ１９１７）。

−−−詳細フロー例９−−−
次に図２８を用いて、通信パターン算出部１１６による上述のステップ１９１４の詳細を説明する。図２８に例示するフローにおいて、通信パターン算出部１１６は、与えられた特定の通信元・宛先の組み合わせについて、通信履歴テーブル９００を参照し、レコードを検索する（ステップ２００２〜ステップ２００５）。

この場合、通信パターン算出部１１６は、通信履歴テーブル９００の各レコードを、時刻９０１の古い順に並べたとき、通信状態９０６が「終了」、「開始」の順に並んでいる部分をひとまとまりとして抽出する（ステップ２００３）。また通信パターン算出部１１６は、上述の「終了」から「開始」の間の時間を非通信時間とし、該当時刻９０１の差を取ることでこれを計算し、メモリ上に保持する（ステップ２００４）。

続いて通信パターン算出部１１６は、上述のステップ２００４で保持した非通信時間のリストを、非通信時間長で分類し、各分類の出現回数をカウントする。分類の基準には、システム設定ＤＢ１３６を参照し、非通信時間分布分割幅、非通信時間分布分割数を利用する。その後、通信パターン算出部１１６は、上述の非通信時間の長さとカウントした出現回数との関係を、通信パターンＤＢ１３７の非通信時間分布テーブル３１０に格納する（ステップ２００６）。

また通信パターン算出部１１６は、非通信時間分布テーブル３１０を参照し、確率３１３を算出する。具体的には、非通信時間分布テーブル３１０の各レコードについて、通信時間下限３１１が該当レコード以上のレコードの出現数３１２を合計した値に対する、該当レコードの出現数３１２の値を計算し、確率３１３として該当レコードに記録する（ステップ２００７）。また通信パターン算出部１１６は、出現数３１２の合計値で各レコードの出現数３１２を割り、正規化する（ステップ２００８）。

最後に通信パターン算出部１１６は、非通信時間分布テーブル３１０の各レコードについて、出現数３１２の標準偏差を計算し、システム設定ＤＢ１３６から取得した非通信時間分布有効度係数をかけて、予測有効度テーブル３００に結果を格納する（ステップ２０１０９）。

−−−詳細フロー例１０−−−
次に図２９を用いて、通信パターン算出部１１６による上述のステップ１９１５の詳細を説明する。なお、図２９に例示するフローにおいて、通信パターン算出部１１６は、与えられた特定の通信元・宛先の組み合わせについて、通信履歴テーブル９００を参照し、レコードを検索する（ステップ２０２２〜ステップ２０２５）。

この場合、通信パターン算出部１１６は、通信履歴テーブル９００の各レコードを、時刻９０１の古い順に並べたとき、通信状態９０６が「開始」、「終了」、「開始」の順に並んでいる部分をひとまとまりとして抽出する（ステップ２０２３）。

次に通信パターン算出部１１６は、上述のステップ２０２３で抽出したまとまりのうち「開始」から「終了」までの時間を通信時間、「終了」から「開始」の間の時間を非通信時間とし、これらをそれぞれ各時刻９０１の差を取ることで計算しメモリ上に保持する（ステップ２０２４）。

続いて通信パターン算出部１１６は、通信履歴テーブル９００の全体に対して以上のステップ２０２３、２０２４の各処理を行い、連続する通信時間と非通信時間の関係について、クラスタリングを行う（ステップ２０２６）。具体的な手法としては、例えばＥＭアルゴリズムを使用する。また、クラスタリングで分割するクラス数は、システム設定ＤＢ１３６から取得した過去状態分布クラス数上限、過去状態分布クラス数下限の範囲で計算し、通信履歴テーブル９００のレコードが示すデータとモデルとの適合度が高いものを採用する。適合度の評価としては、例えばベイズ情報量規準を使用する。

次に通信パターン算出部１１６は、上述のステップ２０２６でのクラスタリングに際して得られた分布について、各成分の平均値と共分散行列の要素の値を、通信パターンＤＢ１３７の過去状態分布テーブル３２０に格納する（ステップ２０２７）。過去状態分布テーブル３２０の各レコードがひとつのクラスに対応する。

最後に通信パターン算出部１１６は、過去状態分布テーブル３２０を参照してベイズ情報量規準を計算し、システム設定ＤＢ１３６から取得した過去状態分布有効度係数をかけ
て、予測有効度テーブル３００に結果を格納する（ステップ２０２８）。

−−−その他の例−−−
上述までの実施形態では、２つのパターン算出方法を用いて算出した通信パターンに対し、予測有効度を計算してその値を比較し、通信タイミングの判定に利用する通信パターンを選択する例を説明した。一方、通信の特徴を事前に予測し登録しておくことで、通信タイミングの判定に利用する通信パターンを選択する形態を採用することもできる。この形態は、例えば、通信対象のサーバが利用する通信プロトコルに基づいて、通信の特徴を予測しやすい場合などに好適である。

ネットワーク制御システム１０の各構成については上述のまでの実施形態と同様であるが、通信タイミング判定部１２２での処理に関して相違がある。例えば、上述のステップ１５０１、ステップ１５０２（図２２）において、通信タイミング判定部１２２は、図３０に例示する通信パターン算出方法指定テーブル２３００を参照する。この場合の通信タイミング判定部１２２は、担当する通信路の通信対象のサーバの種類を、サーバＩＤ２３０１から判定し、それに対応するテーブル名２３０２を参照して、通信パターンを選択する。

以上、本発明を実施するための最良の形態などについて具体的に説明したが、本発明はこれに限定されるものではなく、その要旨を逸脱しない範囲で種々変更可能である。

こうした本実施形態によれば、マルウェアに感染した端末を、該当マルウェアに検知されずにネットワークから隔離し、ひいてはマルウェアの活動を維持したままマルウェアの調査が可能となる。従って本実施形態によれば、マルウェアに察知されずに感染端末の隔離及びマルウェアの調査が可能となる。

本明細書の記載により、少なくとも次のことが明らかにされる。すなわち、本実施形態のネットワーク制御システムにおいて、前記通信パターン算出部は、前記通信状態に基づいて、前記通信パターンを複数種類算出し、前記算出した各通信パターン間で通信発生確率の偏りを算出する処理を更に実行するものであり、前記通信タイミング判定部は、前記タイミングの判定に用いる通信パターンを、前記通信発生確率の偏りに基づいて選択する処理を更に実行するものである、としてもよい。

これによれば、タイミング判定に好適な通信パターンを、通信発生確率の点で考慮して選択することが可能となり、タイミング判定精度の向上を図ることが出来る。ひいては、経路遮断等の処理がマルウェアに察知されにくい状況を構成し、特定クライアント端末すなわち感染端末の隔離及びマルウェアの調査が更に円滑化する。

また、本実施形態のネットワーク制御システムにおいて、前記通信パターン算出部は、前記通信状態が示す、非通信時間の出現頻度及び長さの履歴から、前記各間の経路に関して、非通信時間の長さに対する出現確率を算出するものであり、前記通信タイミング判定部は、前記タイミングを判定するに際し、前記特定クライアント端末について、前記経路における直近の通信終了時刻からの経過時間と前記出現確率を比較して、通信が発生する確率が極小になるタイミングを判定するものである、としてもよい。

これによれば、非通信時間の出現頻度及び長さを踏まえて、対象経路での実体により即したタイミング判定を行うことが可能となり、タイミング判定精度の向上を図ることが出来る。ひいては、経路遮断等の処理がマルウェアに察知されにくい状況を構成し、特定クライアント端末すなわち感染端末の隔離及びマルウェアの調査が更に円滑化する。

また、本実施形態のネットワーク制御システムにおいて、前記通信パターン算出部は、前記通信状態に基づいて、複数回の連続する通信及び非通信の各時間の長さに関する組み合わせパターンを複数個抽出し、前記組み合わせパターンのクラス分類を行ってクラスごとの分布のパラメタを算出するものであり、前記通信タイミング判定部は、直近の通信及び非通信の各時間の長さの組み合わせと、前記パラメタのうち最後の非通信時間を除くパラメタとを比較して、現在状態が分類されるクラスを判定し、当該クラスの分布パラメタから通信の発生する確率が所定閾値以下になるタイミングを判定するものである、としてもよい。

これによれば、連続する通信及び非通信時間の各長さを踏まえた確率密度関数を用いて、対象経路での現状に即したタイミング判定を精度良く行うことが可能となる。ひいては、経路遮断等の処理がマルウェアに察知されにくい状況を構成し、特定クライアント端末すなわち感染端末の隔離及びマルウェアの調査が更に円滑化する。

また、本実施形態のネットワーク制御システムにおいて、前記通信パターン算出部は、前記通信状態に基づき、所定期間におけるクライアント端末とサーバとの各ポート間の経路の通信パターンを算出し、記憶部に格納するものであり、前記切替実行部は、前記ネットワーク構成データベースに基づいて、前記特定クライアント端末と前記各サーバとの各ポート間を接続する各スイッチを特定し、前記特定した各スイッチの設定を、該当スイッチが含まれる経路について前記判定したタイミングで順次変更し、前記特定クライアント端末からの前記サーバへの通信を遮断するものである、としてもよい。

これによれば、経路のみならずクライアント端末とサーバの各ポート間に関する通信パターンを踏まえることで、実際のシステム構成に更に即したスイッチでの設定変更を行うことが可能となる。ひいては、経路遮断等の処理がマルウェアに察知されにくい状況を構成し、特定クライアント端末すなわち感染端末の隔離及びマルウェアの調査が更に円滑化する。

また、本実施形態のネットワーク制御システムにおいて、前記特定クライアント端末とサーバとの通信を模擬したダミーサーバを、前記ネットワークシステム上に構築するダミーサーバ構築部を更に備え、前記切替実行部は、前記ネットワーク構成データベースに基づいて、前記特定クライアント端末と前記各サーバとの各間を接続する各スイッチを特定し、前記特定した各スイッチの設定を、該当スイッチが含まれる経路について前記判定したタイミングで順次変更し、前記特定クライアント端末からの前記サーバへの通信を、前記ダミーサーバへ誘導する処理を実行するものである、としてもよい。

これによれば、上述の特定クライアント端末におけるマルウェアが、経路遮断等の処理に関して察知しにくい状況を構成して、特定クライアント端末すなわち感染端末の隔離及びマルウェアの調査が更に円滑化する。

また、本実施形態のネットワーク制御システムにおいて、前記記憶部は、サーバの種類と通信パターン算出方法との対応関係を定めたテーブルを保持するものであり、前記通信パターン算出部は、前記通信パターンの算出方法を複数備えるものであり、所定期間におけるクライアント端末とサーバとの各間の経路の通信パターンを算出するに際し、該当サーバに関して用いるべき通信パターン算出方法を前記テーブルで特定し、当該特定した通信パターン算出方法を用いて通信パターンを算出し、記憶部に格納するものである、としてもよい。

これによれば、サーバ種類に応じて精度良好となる適切な通信パターン算出方法を特定し、通信パターンを算出出来ることとなる。ひいては、経路遮断等の処理がマルウェアに
察知されにくい状況を構成し、特定クライアント端末すなわち感染端末の隔離及びマルウェアの調査が更に円滑化する。

１０ ネットワーク制御システム
１０１ ネットワーク切り替え制御サーバ
１０２ ネットワーク監視サーバ
１１１ 設定時入力部
１１２ インシデント時入力部
１１３ インシデント時制御部
１１４ 通信路管理部
１１５ 通信路制御部
１１６ 通信パターン算出部
１１７ 通信状態取得部
１１９ サーバ操作部
１２０ ダミーサーバ管理部（ダミーサーバ構築部）
１２２ 通信タイミング判定部
１２３ 切替実行部
１３１ ネットワーク構成ＤＢ
１３３ ダミーサーバ管理ＤＢ
１３４ インシデント管理ＤＢ
１３５ 通信路管理ＤＢ
１３６ システム設定ＤＢ
１３７ 通信パターンＤＢ
１３８ 通信履歴ＤＢ
１５１ スイッチ
１５２〜１５４ サーバ
１５５ クライアント端末
１５６ ダミーサーバ構築用ホスト
１５７ 仮想マシン構築用ホスト
１６１、１６４ 仮想スイッチ
１６２、１６３ ダミーサーバ
１６５、１６６ 仮想マシン
１９１、１９４ 通信インターフェイス
１９５ インターネット
１９６ ＬＡＮ
２０１ ＣＰＵ
２０２ メモリ
２０３ 記憶装置
２０４ 通信部
２０５ 入力部
２０６ 出力部
２０７ バス
３００ 予測有効度テーブル
３１０ 非通信時間分布テーブル
３２０ 過去状態分布テーブル
４００ スイッチテーブル
４１０ サーバテーブル
４２０ ダミーサーバ構築用ホストテーブル
５００ インシデントテーブル
６００ ダミーサーバテーブル
７００ 通信路テーブル
８００ パラメタテーブル
９００ 通信履歴テーブル
９１０ 通信中テーブル

Claims (8)

1. サーバとクライアント端末とがスイッチで接続されたネットワークシステム上における、スイッチとサーバとの接続関係の情報を格納したネットワーク構成データベースを記憶する記憶部と、
   前記ネットワークシステム上の通信状態を計測して記憶部に格納する通信状態取得部と、
   前記通信状態に基づき、所定期間におけるクライアント端末とサーバとの各間の経路の通信パターンを算出し、記憶部に格納する通信パターン算出部と、
   インシデント対応が必要である旨を入力部にて指定された特定クライアント端末について、前記記憶部より各サーバとの間の経路の各通信パターンを読み出し、当該各通信パターンにおいて前記特定クライアント端末と該当サーバとの間で通信の発生確率が所定以下であるタイミングを判定する通信タイミング判定部と、
   前記ネットワーク構成データベースに基づいて、前記特定クライアント端末と前記各サーバとの各間を接続する各スイッチを特定し、前記特定した各スイッチの設定を、該当スイッチが含まれる経路について前記判定したタイミングで順次変更し、前記特定クライアント端末からの前記サーバへの通信を遮断する切替実行部と、
   を備えることを特徴とするネットワーク制御システム。
2. 前記通信パターン算出部は、前記通信状態に基づいて、前記通信パターンを複数種類算出し、前記算出した各通信パターン間で通信発生確率の偏りを算出する処理を更に実行するものであり、
   前記通信タイミング判定部は、前記タイミングの判定に用いる通信パターンを、前記通信発生確率の偏りに基づいて選択する処理を更に実行するものである、
   ことを特徴とする請求項１に記載のネットワーク制御システム。
3. 前記通信パターン算出部は、前記通信状態が示す、非通信時間の出現頻度及び長さの履歴から、前記各間の経路に関して、非通信時間の長さに対する出現確率を算出するものであり、
   前記通信タイミング判定部は、前記タイミングを判定するに際し、前記特定クライアント端末について、前記経路における直近の通信終了時刻からの経過時間と前記出現確率を比較して、通信が発生する確率が極小になるタイミングを判定するものである、
   ことを特徴とする請求項１に記載のネットワーク制御システム。
4. 前記通信パターン算出部は、前記通信状態に基づいて、複数回の連続する通信及び非通信の各時間の長さに関する組み合わせパターンを複数個抽出し、前記組み合わせパターンのクラス分類を行ってクラスごとの分布のパラメタを算出するものであり、
   前記通信タイミング判定部は、直近の通信及び非通信の各時間の長さの組み合わせと、前記パラメタのうち最後の非通信時間を除くパラメタとを比較して、現在状態が分類されるクラスを判定し、当該クラスの分布パラメタから通信の発生する確率が所定閾値以下になるタイミングを判定するものである、
   ことを特徴とする請求項１に記載のネットワーク制御システム。
5. 前記通信パターン算出部は、前記通信状態に基づき、所定期間におけるクライアント端末とサーバとの各ポート間の経路の通信パターンを算出し、記憶部に格納するものであり、
   前記切替実行部は、
   前記ネットワーク構成データベースに基づいて、前記特定クライアント端末と前記各サーバとの各ポート間を接続する各スイッチを特定し、前記特定した各スイッチの設定を、該当スイッチが含まれる経路について前記判定したタイミングで順次変更し、前記特定ク
   ライアント端末からの前記サーバへの通信を遮断するものである、
   ことを特徴とする請求項１に記載のネットワーク制御システム。
6. 前記特定クライアント端末とサーバとの通信を模擬したダミーサーバを、前記ネットワークシステム上に構築するダミーサーバ構築部を更に備え、
   前記切替実行部は、前記ネットワーク構成データベースに基づいて、前記特定クライアント端末と前記各サーバとの各間を接続する各スイッチを特定し、前記特定した各スイッチの設定を、該当スイッチが含まれる経路について前記判定したタイミングで順次変更し、前記特定クライアント端末からの前記サーバへの通信を、前記ダミーサーバへ誘導する処理を実行するものである、
   ことを特徴とする請求項１に記載のネットワーク制御システム。
7. 前記記憶部は、サーバの種類と通信パターン算出方法との対応関係を定めたテーブルを保持するものであり、
   前記通信パターン算出部は、前記通信パターンの算出方法を複数備えるものであり、所定期間におけるクライアント端末とサーバとの各間の経路の通信パターンを算出するに際し、該当サーバに関して用いるべき通信パターン算出方法を前記テーブルで特定し、当該特定した通信パターン算出方法を用いて通信パターンを算出し、記憶部に格納するものである、
   ことを特徴とする請求項１に記載のネットワーク制御システム。
8. サーバとクライアント端末とがスイッチで接続されたネットワークシステム上における、スイッチとサーバとの接続関係の情報を格納したネットワーク構成データベースを記憶する記憶部を備えたコンピュータシステムが、
   前記ネットワークシステム上の通信状態を計測して記憶部に格納する処理と、
   前記通信状態に基づき、所定期間におけるクライアント端末とサーバとの各間の経路の通信パターンを算出し、記憶部に格納する処理と、
   インシデント対応が必要である旨を入力部にて指定された特定クライアント端末について、前記記憶部より各サーバとの間の経路の各通信パターンを読み出し、当該各通信パターンにおいて前記特定クライアント端末と該当サーバとの間で通信の発生確率が所定以下であるタイミングを判定する処理と、
   前記ネットワーク構成データベースに基づいて、前記特定クライアント端末と前記各サーバとの各間を接続する各スイッチを特定し、前記特定した各スイッチの設定を、該当スイッチが含まれる経路について前記判定したタイミングで順次変更し、前記特定クライアント端末からの前記サーバへの通信を遮断する処理と、
   を実行することを特徴とするネットワーク制御方法。

Images