JP2017147575A - 制御プログラム、制御装置、および、制御方法 - Google Patents

Abstract

【課題】不正な通信の検出後に動的にネットワークを制御する。
【解決手段】通信端末と、通信端末で送受信されるパケットを転送する１つ以上の転送装置とを含むネットワーク中の転送装置を制御する制御装置は、通信端末の不正な通信を検知する検知サーバから通知される検知情報を受信する。制御装置は、検知情報から対象の通信端末と不正な通信の種類とを解析し、解析した対象の通信端末に対応付けられた転送装置を記憶する第１の記憶情報を参照して制御対象の転送装置を決定する。制御装置は、解析された不正な通信の種類に対応づけられた制御内容を記憶する第２の記憶情報を参照して、制御対象に決定した転送装置に対する制御を決定する。制御装置は、制御対象に決定された転送装置の種類ごとに、制御内容に対応する制御コマンドを記憶する第３の記憶情報から読み出した制御コマンドを含む制御パケットを転送装置に送信する。
【選択図】図１

Description

本発明は、制御プログラム、制御装置、および、制御方法に関する。

近年、悪意のあるソフトウェア（マルウェア）を用いた標的型攻撃が増えてきている。そこで、マルウェア感染の見落としや誤検知を防ぐために、端末による通信と、予め保持しているパターンとの比較結果に従って、端末が不正な活動をしていると推測される程度を示す評価値を用いる判定方法が提案されている（例えば、特許文献１など）。この方法では、情報処理装置が、評価値をフェーズごとに求め、フェーズごとの評価値の最大値を用いて、端末が不正な活動を行っているかを判定する。また、安全性や悪意のソフトウェアでないことが確実ではないデータを検疫し、検疫の前後での安全性や悪意のソフトウェアであるかの判定結果を比較することにより、データがマルウェアに関連するかを推定する方法も提案されている（例えば、特許文献２など）。この方法では、マルウェアではないと推定されたデータは、検疫から開放される。

また、近年、ソフトウェアを用いた仮想的なネットワークや、仮想的なネットワークの形成に用いられる技術であるSoftware Defined Networking（ＳＤＮ）も注目されてきている。ＳＤＮでは、ネットワークのトポロジなどがソフトウェアで設定される。ここで、ネットワーク中のコントローラと呼ばれる制御装置がネットワーク中の装置の通信状況を監視し、各装置の状況に応じた制御を行う。

国際公開第２０１５／１０７８６１号 特表２０１５−５３０６７８号

多種多様のマルウェアが存在する上に、新たなマルウェアやマルウェアの亜種が次々に現れてきており、マルウェアの種類は爆発的に増えてきている。システム中でマルウェアに感染した装置が検出された場合、感染の拡大を防ぐための措置を取ることになるが、マルウェアの挙動は種類によって異なることが多いため、マルウェアへの感染を検出した後の措置も難しくなってきている。さらに、システム中に含まれる装置数が多いなど、システムが複雑化すると、マルウェア感染を検出した後の措置はさらに煩雑になり、適切な処理を迅速に行うことは難しくなる。さらに、マルウェアを検出する定義パターンが配布される前に感染し、感染を検出できない場合が発生しており、マルウェアに起因する不正な通信を検出する重要性が増している。さらにマルウェアの動作内容や、感染した装置に応じて対処する処置が異なり、不正な通信を検出した場合の措置には高度な専門知識を必要とする。

本発明は、ネットワークを制御する制御装置で対処可能な制御内容を蓄積しておくことにより、不正な通信の検出後に動的にネットワークを制御することを目的とする。

ある１つの態様にかかる制御プログラムは、通信端末と、前記通信端末で送受信されるパケットを転送する１つ以上の転送装置とを含むネットワーク中の前記転送装置を制御する制御装置で実行される。制御装置は、前記パケットを用いて通信端末の不正な通信を検知する検知サーバから通知される検知情報を受信する。制御装置は、前記検知情報から対象の通信端末と前記不正な通信の種類とを解析する。制御装置は、解析した対象の通信端末に対応付けられた転送装置を記憶する第１の記憶情報を参照して制御対象の転送装置を決定する。制御装置は、解析された前記不正な通信の種類に対応づけられた制御内容を記憶する第２の記憶情報を参照して制御対象に決定した転送装置に対する制御を決定する。制御装置は、前記制御対象に決定された転送装置の種類ごとに、前記制御内容に対応する制御コマンドを記憶する第３の記憶情報から制御コマンドを読み出して、当該転送装置に対して制御コマンドを含む制御パケットを送信する。

ネットワークに接続された個々の装置では対処が困難なマルウェアに対しても、ネットワーク制御を動的に行うことで、対処が可能になる。

実施形態にかかる通信方法の例を説明する図である。 制御装置の構成の例を説明する図である。 制御装置のハードウェア構成の例を説明する図である。 システムの例を説明する図である。 メールによる通知を受信したときの解析処理の例を説明する図である。 実行テーブルの例を説明する図である。 装置テーブルとコマンド情報の例を説明する図である。 コマンドの生成処理の例を説明する図である。 メールによる通知処理の例を説明する図である。 Ｓｙｓｌｏｇを受信したときの解析処理の例を説明する図である。 Ｔｒａｐを受信したときの解析処理の例を説明する図である。 装置の隔離の際に行われる処理の例を説明するフローチャートである。 隔離状況テーブルと実行テーブルの例を説明する図である。 コマンド情報の例を説明する図である。 隔離の解除の際に行われる処理の例を説明する図である。 メールによる通知処理の例を説明する図である。 隔離の解除の際に行われる処理の例を説明するフローチャートである。 第３の実施形態にかかる制御装置の構成の例を示す図である。 条件テーブルとポリシーマスタの例を説明する図である。 実行テーブルと装置テーブルの例を説明する図である。 コマンド情報の例を説明する図である。 通知先テーブルと隔離状況テーブルの例を説明する図である。 第３の実施形態で行われる処理の例を説明するフローチャートである。 制御装置が記憶する情報の変形例を説明する図である。

図１は、実施形態にかかる通信方法の例を説明する図である。図１に示すシステムでは、ネットワークＮ１とネットワークＮ２がＷＡＮ（Wide Area Network）５を介して接続されており、ネットワークＮ１はインターネット６に接続されている。Ｃ＆Ｃサーバ（command and control server）７は、インターネット６を介して、ネットワークＮ１やネットワークＮ２にアクセスを試みるものとする。ネットワークＮ１には、制御装置２０、検知サーバ８、スイッチ３ａ、ルータ４ａが含まれている。一方、ネットワークＮ２には、通信端末１０ａ、通信端末１０ｂ、検疫サーバ２、スイッチ３ｂ、ルータ４ｂが含まれている。なお、図１はシステムの一例であり、ネットワークＮ１、Ｎ２中の装置は実装に応じて変更され得る。例えば、ネットワークＮ１には、制御装置２０や検知サーバ８以外の通信端末１０が含まれていても良い。また、検疫サーバ２は、ネットワークＮ２中に含まれていなくても良い。ネットワークＮ１、Ｎ２の形成にＳＤＮが使用される場合、制御装置２０は、ＳＤＮコントローラとして動作できるものとする。また、以下の説明では、スイッチ３やルータ４のように、通信端末１０から送信されたパケットを転送する装置を「転送装置」と記載することがある。ネットワークＮ１、Ｎ２の形成にＳＤＮが使用される場合、各転送装置は、ＳＤＮスイッチとして動作する。

手順Ｐ１において、Ｃ＆Ｃサーバ７から通信端末１０ａを標的とした標的型攻撃が行われたとする。図１の例では、標的型攻撃の種類は任意である。例えば、標的型メールの送信が行われても良く、特定のウェブサイトを閲覧するように通信端末１０ａのユーザを誘導するための情報が通信端末１０ａに送信されても良い。標的型攻撃のために使用される情報は、インターネット６、スイッチ３ａ、ルータ４ａ、ルータ４ｂ、スイッチ３ｂを介して、通信端末１０ａに転送される。その後、Ｃ＆Ｃサーバ７から送信された情報を用いた処理が通信端末１０ａで行われたために、通信端末１０ａがマルウェアに感染したとする（手順Ｐ２）。

検知サーバ８は、システム中の装置の挙動を監視しており、システム内での不正な通信や不正な通信の原因となるマルウェアへの感染などを検出すると、不正な通信等が確認された通信端末１０と、検出された事象の種類を特定する。なお、「不正な通信」には、マルウェアを含むファイルの送受信やマルウェアの実行に起因する通信などが含まれるとする。例えば、ウイルスなどのマルウェアへの感染、バックドアによるＣ＆Ｃサーバへの通信、ネットワーク内の情報収集を試みる通信や、他の装置への感染の拡大を試みる通信などは、検知サーバ８によって、不正な通信の一種として特定されうる。図１の例では、検知サーバ８は、システム中で送受信されるパケットを用いて、通信端末１０ａでの不正な通信を検知したことなどにより、通信端末１０ａがマルウェアに感染したと判定する（手順Ｐ３）。検知サーバ８は、不正な通信等が確認された通信端末１０と、検出された事象の種類を制御装置２０に通知する（手順Ｐ４）。なお、手順Ｐ４での通知は、メール、ＳＮＭＰ（Simple Network Management Protocol）のＴｒａｐ通知、Ｓｙｓｌｏｇ通知などを含む任意の形式で行われ得る。

制御装置２０は、検知サーバ８から通知された情報を用いて、通信端末１０ａがマルウェアに感染していることを特定する。さらに、制御装置２０は、マルウェアの種類などに応じて、攻撃の種類を特定する。

制御装置２０は、ネットワークＮ１とネットワークＮ２に含まれている通信端末１０の各々に対して、その通信端末１０での不正な通信が確認されたときに制御対象とする転送装置を記憶している。ここで、各通信端末１０について、その通信端末１０が他の通信端末１０などとの通信を行う際の通信経路に含まれるスイッチ３やルータ４が、その通信端末１０が不正な通信をしている場合の制御対象として対応付けられる。制御装置２０は、検出される可能性のある不正な通信の種類ごとに実行する制御も記憶している。そこで、制御装置２０は、検知サーバ８から通知された情報の解析結果と、制御装置２０が記憶している情報を用いて、制御対象となる転送装置と各転送装置への制御の内容を決定する。例えば、通信端末１０ａに対してウイルスなどを用いた攻撃が行われたとする。そこで、制御装置２０は、記憶している情報を用いて、スイッチ３ｂを制御対象の転送装置に決定し、通信端末１０ａが送信元か宛先に設定されているパケットを検疫サーバ２に転送する処理をスイッチ３ｂに行わせることを制御内容に決定したとする。

手順Ｐ５において、制御装置２０は、制御対象に決定した転送装置の各々に対して、その転送装置に対する制御の命令を含む制御パケットを送信する。図１の例では、制御装置２０は、スイッチ３ｂに対して、通信端末１０ａが送信元か宛先に設定されているパケットを検疫サーバ２に転送することを要求する制御パケットを送信する。

手順Ｐ６において、スイッチ３ｂは、制御装置２０からの要求に応じて、パケットの転送処理を変更する。このため、手順Ｐ７に示すように、通信端末１０ａの通信に使用されるパケットが、強制的に検疫サーバ２に転送される。このため、攻撃された通信端末１０ａからのパケットがシステム中の他の通信端末１０に到達することを防ぐことができる。

なお、図１を参照しながら述べた説明は通信処理の一例にすぎない。例えば、制御装置２０は、検出された不正な通信の種類に応じて、不正な通信が検出された通信端末１０が送受信に使用する通信速度を小さくするように転送装置を制御してもよい。さらに、制御装置２０は、制御対象とする転送装置に、不正な通信が検出された通信端末１０が送信元か宛先となっているパケット中のデータに応じてパケットを削除させてもよい。例えば、制御装置２０は、制御対象となる転送装置に対して、不正な通信が検出された通信端末１０との通信に使用されるパケットのうち、特定の文字列が含まれているパケットを廃棄させてもよい。この場合、個人情報の記載に使用されると予測される文字列が削除対象のパケットを選択する際に使用される特定の文字列に設定されていれば、不正な通信が検出された通信端末１０と他の通信端末１０との間での個人情報の送受信を中断させることができる。

このように、実施形態にかかる方法によると、ネットワーク中の転送装置に対して、攻撃の種類等に応じた制御を簡便に行うことができる。攻撃に使用されるマルウェアによっては、感染した装置を物理的に隔離すると解析等が困難になる場合もあるなど、マルウェアへの感染を検出した後の措置も難しくなってきている。実施形態にかかる方法を用いると、攻撃によりマルウェアに感染した通信端末１０を隔離しつつ、検疫サーバ２での検疫処理を開始させるなど、不正な通信の種類に応じた適正な処理が制御装置２０によって自律的に行われる。このため、システムの運用や管理が簡便になる。さらに、マルウェアに感染した通信端末１０に対する措置は、制御装置２０に対する設定に応じて変更されるので、マルウェアによる攻撃の種類に応じた対応が簡便に行われる。

＜装置構成＞
図２は、制御装置２０の構成の例を説明する図である。制御装置２０は、通信部２１、制御部３０、記憶部５０を備える。通信部２１は、受信部２２と送信部２３を有する。制御部３０は、解析部３１、処理決定部３２、コマンド生成部４０を有し、オプションとして通知処理部３３を有する。記憶部５０は、条件テーブル５１、テンプレート情報５２、装置テーブル５３、コマンド情報５５、隔離状況テーブル５６、実行情報データベース６０を格納する。制御装置２０が通知処理部３３を備える場合、記憶部５０は、さらに、通知先テーブル５４を格納する。

送信部２３は、スイッチ３やルータ４などの他の装置にパケットを送信する。受信部２２は、検知サーバ８などの他の装置からパケットを受信する。受信部２２は受信パケットを解析部３１に出力する。

解析部３１は、入力されたパケットを、テンプレート情報５２を用いて解析する。テンプレート情報５２には、検知サーバ８から送信される通知の種類別に、不正な通信の対象となった通信端末１０と、不正な通信の種類を特定するための情報が含まれている。テンプレート情報５２の例は後で述べる。解析部３１は、解析により得られた情報と条件テーブル５１を用いて、処理の決定に使用する実行テーブルを決定する。実行情報データベース６０は複数の実行テーブルを備えている。解析部３１は、決定した実行テーブルの情報と、不正な通信の対象となった通信端末１０の情報を処理決定部３２に通知する。処理決定部３２は、通知された実行テーブルを実行情報データベース６０から選択し、選択した実行テーブルを用いて、制御対象となる転送装置と制御の内容を決定する。処理決定部３２は、マルウェアに感染した通信端末１０を隔離する場合には、決定した内容を、隔離状況テーブル５６に記録する。コマンド生成部４０は、処理決定部３２で決定された情報を用い、適宜、コマンド情報５５や装置テーブル５３を用いて、制御対象の転送装置の各々に対して送信する制御パケットを生成する。装置テーブル５３には、システム中の各装置の制御に使用される情報が記録されている。コマンド情報５５は、装置の制御に使用される命令を記録している。コマンド生成部４０は、生成した制御パケットを、送信部２３を介して、制御対象の転送装置に送信する。

通知処理部３３は、制御装置２０が行った処理によりネットワーク中の通信端末１０の通信状況が変化する場合、通知先テーブル５４に記録されているアドレスが割り当てられた装置に、通信状況が変化する通信端末１０と変化後の通信状況を通知する。例えば、通信端末１０ａがウイルスに感染したために通信端末１０ａをネットワーク中の他の装置から隔離する場合、通知処理部３３は、通知先テーブル５４に記録されている宛先に、通信端末１０ａを隔離することを通知する。通知先テーブル５４には、例えば、システムのオペレータなどが使用する装置の情報が記録されている。

図３は、制御装置２０のハードウェア構成の例を示す。制御装置２０は、プロセッサ１０１、メモリ１０２、入力装置１０３、出力装置１０４、バス１０５、ネットワークインタフェース１０９を備える。制御装置２０は、さらに、記憶装置１０６、可搬記憶媒体駆動装置１０７の１つ以上を有していても良い。プロセッサ１０１は、Central Processing Unit（ＣＰＵ）を含む任意の処理回路であり、メモリ１０２や記憶装置１０６に記憶されたプログラムを実行することができる。プロセッサ１０１は制御部３０を実現する。メモリ１０２や記憶装置１０６は、記憶部５０として動作する。また、ネットワークインタフェース１０９は、通信部２１として動作する。バス１０５は、プロセッサ１０１、メモリ１０２、入力装置１０３、出力装置１０４、記憶装置１０６、可搬記憶媒体駆動装置１０７、ネットワークインタフェース１０９を、相互にデータの送受信が可能になるように接続する。

入力装置１０３は、キーボードやマウスなど、情報の入力に使用される任意の装置であり、出力装置１０４は、ディスプレイを含む表示デバイスなど、データの出力に使用される任意の装置である。可搬記憶媒体駆動装置１０７は、メモリ１０２や記憶装置１０６のデータを可搬記憶媒体１０８に出力することができ、また、可搬記憶媒体１０８からプログラムやデータ等を読み出すことができる。ここで、可搬記憶媒体１０８は、Compact Disc Recordable（ＣＤ−Ｒ）やDigital Versatile Disk Recordable（ＤＶＤ−Ｒ）を含む、持ち運びが可能な任意の記憶媒体とすることができる。

＜第１の実施形態＞
図４は、システムの例を説明する図である。図４に示すシステムでは、ネットワークＮ１１とネットワークＮ１２がＷＡＮ５を介して接続されており、ネットワークＮ１１はインターネット６に接続されている。Ｃ＆Ｃサーバ７は、インターネット６を介して、ネットワークＮ１１やネットワークＮ１２にアクセスを試みるものとする。ネットワークＮ１１には、制御装置２０、検知サーバ８、スイッチ３ｃ、ルータ４ｃが含まれている。一方、ネットワークＮ１２には、通信端末１０ｃ、通信端末１０ｄ、スイッチ３ｄ、スイッチ３ｅ、ルータ４ｄ、検疫サーバ２が含まれている。なお、図４はシステムの一例であり、ネットワークＮ１１、Ｎ１２中の装置は実装に応じて変更され得る。以下、図４にかかるシステムにおいて実施形態にかかる通信制御が行われる場合を例として、制御装置２０で行われる処理の詳細を説明する。なお、以下の説明では、スイッチ３ｄとスイッチ３ｅは、いずれもＬ３スイッチであり、スイッチ３ｄとスイッチ３ｅのいずれにもＩＰ（Internet Protocol）アドレスが割り当てられるものとする。

図５は、メールによる通知を受信したときの制御装置２０での解析処理の例を説明する図である。検知サーバ８は、ネットワークＮ１１およびＮ１２中の装置の挙動を監視することにより、通信端末１０ｃがウイルスに感染したことを検出したとする。また、通信端末１０ｃのアドレスは、１７２．１６．１．１であるとする。図５では、検知サーバ８が不正な通信の検出の通知に使用するメールアドレスはｓｅｒｖｅｒ＠ｅｘａｍｐｌｅ．ｃｏｍであり、制御装置２０で通知の受信に使用されるメールアドレスはｃｌｉｅｎｔ＠ｅｘａｍｐｌｅ．ｃｏｍであるとする。検知サーバ８は、図５中のメールＭ１を、制御装置２０に送信する。

解析部３１は、入力されたパケットを処理することにより受信メールを取得すると、受信メールを条件テーブル５１中の各条件と比較する。条件テーブル５１には、制御装置２０が受信する可能性のある通知の形式に対応付けて、処理に使用する実行テーブルを選択するための情報が記録されている。図５は、図を見やすくするために、条件テーブル５１のうちでメールによる通知に適用可能な１つの条件の例を抽出して示しているが、条件テーブル５１中の条件の数は任意である。図５の例では、条件テーブル５１には、メールの送信元、ｓｕｂｊｅｃｔ中の文字列、ｃｏｎｔｅｘｔ中の文字列、通知対象の組み合わせが含まれる。解析部３１は、メールの送信元、ｓｕｂｊｅｃｔ中の文字列、ｃｏｎｔｅｘｔ中の文字列の組み合わせを用いて、不正な通信の種類を特定する。通知対象は、検知サーバ８からの通知で、不正な通信の検出が伝えられる通信端末１０のアドレスの範囲である。通知対象には、そのエントリ中の条件を適用する場合に、不正な通信が検出されている通信端末１０に割り当てられたアドレスが対応付けられている。

例えば、受信メールの送信元アドレスがｓｅｒｖｅｒ＠ｅｘａｍｐｌｅ．ｃｏｍであり、ｓｕｂｊｅｃｔに「ｖｉｒｕｓ ｄｅｔｅｃｔ」という文字列を含み、かつ、ｃｏｎｔｅｘｔに「ウイルス検知」という文字列を含むとする。この場合、解析部３１は、いずれかの通信端末１０がウイルスに感染したと判定する。

次に、解析部３１は、ウイルスの感染が通知されたので、ウイルスの感染を通知するメールの解析に使用するテンプレートをテンプレート情報５２から選択する。図５の例では、解析部３１は、メールテンプレートＭＴ１を選択したとする。解析部３１は、受信メールをメールテンプレートＭＴ１と比較する。メールテンプレートＭＴ１は、ｃｏｎｔｅｘｔの記載を「％１にてウイルス検知」という文字列とした場合、受信メールのｃｏｎｔｅｘｔ中の「％１」に該当する文字列が、ウイルスに感染した通信端末１０に割り当てられたアドレスであることを示している。図５の例では、解析部３１は、メールテンプレートＭＴ１とメールＭ１を比較することにより、１７２．１６．１．１のアドレスが割り当てられた通信端末１０（通信端末１０ｃ）がウイルスに感染したと判定する。

解析部３１は、条件テーブル５１中でウイルスへの感染が通知された場合に使用可能な条件の中から、ＩＰアドレス＝１７２．１６．１．１の通信端末１０が感染した場合に適用可能な条件を検索する。このとき、解析部３１は、ウイルスへの感染が検出されたときに使用可能な条件の各々に対応付けられている通知対象の値と、ウイルスへの感染が検出された通信端末１０のアドレスを比較する。図５に示す条件テーブル５１中のエントリでは、通知対象が１７２．１６．１．０／２４である。すなわち、条件テーブル５１には、１７２．１６．１．０と第３オクテットまでが同じアドレスが割り当てられた装置でのウイルスへの感染が検出された場合に、実行テーブル６１ａが使用可能であることが示されている。ウイルスに感染した通信端末１０ｃのＩＰアドレスは１７２．１６．１．１であるので、解析部３１は、条件テーブル５１に基づいて、実行テーブル６１ａを使用可能であると判定する。解析部３１は、実行テーブル６１ａを使用可能であることと、ウイルスに感染した通信端末１０ｃに割り当てられているアドレスである１７２．１６．１．１を、処理決定部３２に出力する。

図６は、実行テーブル６１の例を説明する図である。図６は、ＩＰアドレス＝１７２．１６．１．０／２４のアドレスが割り当てられた通信端末１０の隔離に使用される情報を含む実行テーブル６１を示している。実行テーブル６１は、その実行テーブル６１を使用して行われる処理の内容と、制御対象となる装置を記録している。例えば、実行テーブル６１ａでは、感染が検出された通信端末１０の隔離と、隔離処理を行ったことをオペレータへ通知するためのメール通知処理とが、処理内容として記録されている。実行テーブル６１ａには、通信端末１０の隔離を行うための制御対象となる装置と、各制御対象の装置の制御のために実施されるコマンドのグループが各装置の情報に対応付けられている。なお、コマンドのグループは、コマンド情報５５に含まれている。ここで、隔離の対象となった通信端末１０が冗長経路を使用した通信を行うことが可能である場合、隔離対象の通信端末１０が使用可能な全ての経路で隔離処理を行うための装置の情報が実行テーブル６１に記録される。

例えば、図４に示すネットワークでは、隔離対象となっている通信端末１０ｃは、スイッチ３ｄとスイッチ３ｅのいずれを使用しても、他の装置と通信が可能である。そこで、実行テーブル６１ａの例では、通信端末１０ｃの隔離を行うための制御対象として、ネットワークＮ２中のスイッチ３ｄとスイッチ３ｅが記録されている。スイッチ３ｄは、Ａ社の製品であるとする。また、スイッチ３ｄの制御には、コマンドグループＣＧ１の命令が使用されるとする。同様に、スイッチ３ｅはＢ社の製品であり、スイッチ３ｅに適用される命令はコマンドグループＣＧ２の命令である。さらに、通知先テーブル５４に含まれている通知先の各々に対して、メールテンプレートＭＴ２を用いて生成した通知メールを送信することも、実行テーブル６１ａに記録されている。

なお、実行テーブル６１中の制御情報は実装に応じて変更され得る。例えば、実行テーブル６１には、不正な通信が検知された通信端末１０を、ＶＰＮ（Virtual Private Network）を介して、検疫サーバ２に接続する処理でも良い。また、実行テーブル６１には、スイッチ３だけでなく、ルータ４など、任意の種類の転送装置の情報が含まれ得る。

処理決定部３２は、解析部３１から通知された実行テーブル６１で通信端末１０の隔離が制御内容として設定されていることから、隔離対象の通信端末１０ｃの情報を、隔離状況テーブル５６に記録する。例えば、処理決定部３２は、隔離状況テーブル５６に、隔離対象の装置のアドレスを記録する。なお、隔離状況テーブル５６には、隔離対象の装置のアドレスとともに、隔離処理に使用する実行テーブル６１中の情報を特定するエントリ番号などの識別情報が記録されても良い。例えば、図６の実行テーブル６１ａが使用される場合、隔離状況テーブル５６には以下の情報が記録される。
隔離対象の装置のアドレス：１７２．１６．１．１（通信端末１０ｃ）
隔離処理に使用する情報 ：実行テーブル６１ａ
なお、隔離状況テーブル５６には、実装に応じてその他の情報が含まれてもよい。

処理決定部３２は、解析部３１から通知された実行テーブル６１を用いて、制御対象となる装置と、制御対象の各装置に使用されるコマンドグループを特定すると、特定した情報をコマンド生成部４０に出力する。このとき、処理決定部３２は、不正な通信が検出された通信端末１０のＩＰアドレスも、コマンド生成部４０に通知するものとする。例えば、実行テーブル６１ａが使用される場合、コマンド生成部４０には以下の情報が通知される。
不正な通信が検出された装置のアドレス：１７２．１６．１．１（通信端末１０ｃ）
制御対象１ ：スイッチ３ｄ
制御対象１に適用するコマンド ：コマンドグループＣＧ１
制御対象２ ：スイッチ３ｅ
制御対象２に適用するコマンド ：コマンドグループＣＧ２
コマンド生成部４０は、処理決定部３２から取得した情報、装置テーブル５３、コマンド情報５５を用いて処理を行う。

図７は、装置テーブル５３とコマンド情報５５の例を説明する図である。図７には、コマンド情報５５のうち、コマンドグループＣＧ１とコマンドグループＣＧ２に含まれるコマンドの情報を示している。なお、以下の説明では、ＩＰ ＡＣＬ（Access Control List）を用いた処理が行われる場合を例としているが、実装に応じて、コマンド情報５５にはＩＰ ＡＣＬ以外の任意の設定処理のコマンドが使用されうる。なお、以下の説明では、制御によって実現される処理ごとに、ＡＣＬの番号として異なる値が設定されているとする。以下、攻撃が検出される前の状態では、システム中のスイッチ３やルータ４でのフィルタリングはＡＣＬ番号＝１０１の条件で行われており、攻撃の検出により通信端末１０の隔離を行う場合はＡＣＬ番号＝１０２の条件でフィルタリングされる場合を例とする。

装置テーブル５３には、システム中の装置を制御する場合に使用される情報が、装置の識別情報に対応付けて記録されている。図７の例では、装置の識別情報に対して、その装置に割り当てられたＩＰアドレス、その装置を制御する際に使用されるプロトコル、制御用のＩＤとパスワードが記録されている。スイッチ３ｄには、１０．０．０．１というＩＰアドレスが割り当てられており、サブネットマスクは２４ビットである。さらに、スイッチ３ｄに対してはｔｅｌｎｅｔ（Teletype network）を用いた制御が行われる。スイッチ３ｅに対しても、１０．０．０．２というＩＰアドレスが割り当てられており、サブネットマスクは２４ビットであることや、スイッチ３ｅの制御にｔｅｌｎｅｔが用いられることが装置テーブル５３に記録されている。

コマンドグループＣＧ１には、アクセス制御のための４つの条件文が含まれている。コマンドグループＣＧ１では、通信端末１０ｃの隔離のための処理が記載されるので、拡張ＡＣＬ番号＝１２０が使用されている。１つ目の条件文では、制御対象のパケットの送信元のＩＰアドレスとして＄１が設定されている。ここで、＄１は、不正な通信が検出された通信端末１０のＩＰアドレスに置換される情報である。＄１の後にワイルドカードマスクが指定されている。以下の説明では、ワイルドカードマスクの各ビットと＄１で示されている各ビットの間でのＡＮＤ演算によって得られた値を用いて、処理対象のパケットに設定されたアドレス情報が特定されるものとする。制御対象のパケットの宛先のＩＰアドレスとして１０．０．１０．１５が設定されている。なお、以下の説明では、検疫サーバ２には、１０．０．１０．１５というＩＰアドレスが割り当てられているとする。また、１つ目の条件文のコマンド引数は、パケットの許可を表わすｐｅｒｍｉｔである。従って、１つ目の条件文では、不正な通信が検出された通信端末１０を送信元とするＩＰパケットのうち、検疫サーバ２を宛先とするパケットを許可することが記載されている。一方、２つ目の条件文のコマンド引数は、パケットの拒否を表わすｄｅｎｙに設定されている。このため、２つ目の条件文では、不正な通信が検出された通信端末１０を送信元とするＩＰパケット全てを拒否することが記載されている。なお、１つ目の条件文が適用される場合、２つ目以降の条件文は処理対象とならないので、不正な通信が検出された通信端末１０を送信元とするＩＰパケットのうち検疫サーバ２以外を宛先としたパケットが、２つ目の条件文によって拒否されることになる。３つ目の条件文では、送信元と宛先がいずれであっても、パケットを許可することが記載されており、４つ目の条件文には、送信元と宛先がいずれであっても、パケットを拒否することが記載されている。さらに、コマンドグループＣＧ１には、これらの条件文をインタフェースＦａ０／１に着信してくるパケットに対するフィルタリングに適用することが記載されている。

コマンドグループＣＧ２にもアクセス制御のための４つの条件文が含まれており、不正な通信が検出された通信端末１０のＩＰアドレスに置換される情報として、＄１が含められている。従って、コマンドグループＧＣ２の１つ目の条件文は、不正な通信が検出された通信端末１０を送信元とするＩＰパケットのうち、１０．０．１０．１５（検疫サーバ２のＩＰアドレス）が宛先アドレスに設定されたパケットを許可することを記載している。一方、２つ目の条件文では、不正な通信が検出された通信端末１０を送信元とするＩＰパケット全てを拒否することが記載されているので、不正な通信が検出された通信端末１０から検疫サーバ２以外を宛先としたパケットは、２つ目の条件文によって拒否される。３つ目の条件文では、送信元と宛先がいずれであっても、パケットを許可することが記載されており、４つ目の条件文には、送信元と宛先がいずれであっても、パケットを拒否することが記載されている。さらに、コマンドグループＣＧ２には、これらの条件文をインタフェースＦａ０／１に着信してくるパケットに対するフィルタリングに適用することが記載されている。

なお、図７の例では、コマンドグループＣＧ１とＣＧ２に含まれるコマンドが共通している場合を示しているが、１つの通信端末１０の隔離の際に実行される複数のコマンドグループ中のコマンドは実装に応じて異なっていても同じであっても良い。さらに、各コマンドグループに含まれる条件文の数も任意である。

図８は、コマンドの生成処理の例を説明する図である。図８を参照しながら、コマンドを設定する設定ブロックが設定対象の装置を製造した会社ごとに異なる場合の処理の例を説明する。図８では、コマンド生成部４０中に、設定ブロック４１ａ、設定ブロック４１ｂ、プロトコル処理部４２が含まれている。設定ブロック４１ａはＡ社の製品の制御処理のためのコマンドを設定し、設定ブロック４１ｂはＢ社の製品の制御処理のためのコマンドを設定するものとする。さらに、制御装置２０に備えられている装置テーブル５３とコマンド情報５５には、図７に示す情報が含まれているものとする。

処理決定部３２は、図６に示す実行テーブル６１ａを用いて得られた情報のうち、以下の情報を設定ブロック４１ａに出力する（手順Ｐ２１）。
不正な通信が検出された装置のアドレス：１７２．１６．１．１（通信端末１０ｃ）
制御対象１ ：スイッチ３ｄ
制御対象１に適用するコマンド ：コマンドグループＣＧ１

設定ブロック４１ａは、これらの情報を取得すると、コマンドグループＣＧ１（図７のＣＧ１）のコマンド中の＄１という文字列を、不正な通信が検出された装置のアドレスに置き換えることにより、制御処理に使用されるコマンドを生成する。図８中のＧは、コマンドグループＣＧ１中の条件文から、設定ブロック４１ａでスイッチ３ｄに送信する条件文が生成される場合の処理の例を示す。いずれの条件文においても、設定ブロック４１ａは、コマンドグループＣＧ１中の条件文の＄１を、不正な通信が検出された通信端末１０ｃのアドレスで置き換える。このため、図８のＧに示すように、１７２．１６．１．１（通信端末１０ｃ）から送信されたパケットは、１０．０．１０．１５（検疫サーバ２）以外には転送しないことを設定するためのコマンドが生成される。

同様に、処理決定部３２は、実行テーブル６１ａ（図６）を用いて得られた情報のうち、以下の情報を設定ブロック４１ｂに出力する（手順Ｐ２２）。
不正な通信が検出された装置のアドレス：１７２．１６．１．１（通信端末１０ｃ）
制御対象２ ：スイッチ３ｅ
制御対象２に適用するコマンド ：コマンドグループＣＧ２
設定ブロック４１ｂにおいても、コマンドグループＣＧ２に含まれている条件文中の＄１を、不正な通信が検出された通信端末１０ｃのアドレスに置き換える処理が行われる。このため、通信端末１０ｃから送信されたパケットを検疫サーバ２以外には転送しないことをスイッチ３ｅに設定するためのコマンドが生成される。

設定ブロック４１ａおよび設定ブロック４１ｂは、生成したコマンドをプロトコル処理部４２に出力する（手順Ｐ２３、Ｐ２４）。このとき、設定ブロック４１ａおよび設定ブロック４１ｂは、コマンドの送信に使用される情報を、生成したコマンドに対応付けてプロトコル処理部４２に出力する。例えば、設定ブロック４１ａは、装置テーブル５３（図７）中のスイッチ３ｄのＩＰアドレス、制御に際して使用されるＩＤ、パスワードの組み合わせを、生成したコマンドと共に、プロトコル処理部４２に出力する。設定ブロック４１ｂも同様に、装置テーブル５３中のスイッチ３ｅの情報と、スイッチ３ｅ向けに生成したコマンドを、プロトコル処理部４２に出力する。プロトコル処理部４２は、入力されたコマンドを、そのコマンドの宛先との間の通信に使用するプロトコルに応じた形式の制御パケットに含める。図８の例では、制御装置２０は、スイッチ３ｄとスイッチ３ｅのいずれともｔｅｌｎｅｔで制御情報を送受信するので、プロトコル処理部４２は、入力されたコマンドからｔｅｌｎｅｔに合わせた形式の制御パケットを生成する。プロトコル処理部４２は、生成した制御パケットを、送信部２３を介して、宛先の装置に送信する（手順Ｐ２５、Ｐ２６）。

なお、以上の説明では、制御装置２０と転送装置の間の通信にｔｅｌｎｅｔが用いられる場合を例として説明したが、制御装置２０と転送装置の間の通信には、任意のプロトコルが使用されうる。例えば、制御装置２０は、ＳＳＨ（Secure Shell）、ＨＴＴＰ（Hypertext Transfer Protocol）などのプロトコルを用いて、ルータ４やスイッチ３での転送処理を制御しても良い。

さらに、コマンド生成部４０は、設定ブロック４１とプロトコル処理部４２に分けられていなくても良い。この場合、コマンド生成部４０が設定ブロック４１とプロトコル処理部４２の両方として動作する。

図９は、メールによる通知処理の例を説明する図である。処理決定部３２は、不正な通信が検出された通信端末１０のアドレスと、通知処理に使用するメールテンプレートを、通知処理部３３に通知する。図９の例では、通知処理部３３に対して、不正な通信が検出された装置のアドレスが１７２．１６．１．１（通信端末１０ｃ）であることと、メールテンプレートＭＴ２を使用することが通知されたとする。

通知処理部３３は、メールテンプレートＭＴ２のうち、不正な通信が検出された通信端末１０のＩＰアドレスと置換する対象の文字列を、処理決定部３２から通知されたＩＰアドレスに置き換える。図９中のＭＴ２のうち、「％１」に該当する文字列は、不正な通信が検出された通信端末１０のＩＰアドレスと置換する対象の文字列である。そこで、通知処理部３３は、メールテンプレートＭＴ２中の「％１」という文字列を、１７２．１６．１．１というＩＰアドレスに置き換えることにより、メールＭ２を生成する。

次に、通知処理部３３は、通知メールの宛先を特定するために通知先テーブル５４を参照し、通知先テーブル５４中のアドレスの各々に対して生成したメールを送信するための処理を行う。図９の例では、通知先テーブル５４には、ｔｅｓｔ１＠ｅｘａｍｐｌｅ．ｃｏｍなどの３つのメールアドレスが記録されている。そこで、通知処理部３３は、通知先テーブル５４中の３つのアドレスの各々に対してメールＭ２に示す文面の通知メールを生成する。その後、通知処理部３３は、生成したメールの情報を含むパケットを生成すると、生成したパケットを、送信部２３を介して、宛先に送信する。例えば、オペレータが、通信端末１０ｘにおいて、ｔｅｓｔ１＠ｅｘａｍｐｌｅ．ｃｏｍというアドレスを使用しているとする。すると、図８を参照しながら説明した隔離処理の実行に伴って、メールＭ２に示す文面の通知メールが通信端末１０ｘに送信される。従って、オペレータは、１７２．１６．１．１というＩＰアドレスが割り当てられた通信端末１０（通信端末１０ｃ）でウイルスが検知されたことにより、通信端末１０ｃが隔離されたことを認識できる。

図４〜図９を参照しながら、不正な通信の検出が検知サーバ８から制御装置２０に対してメールで通知される場合の例を説明したが、検知サーバ８からの通知は、ＳｙｓｌｏｇやＳＮＭＰ Ｔｒａｐで行われても良い。以下、検知サーバ８からの通知がＳｙｓｌｏｇやＳＮＭＰ Ｔｒａｐで行われる場合の処理の例を説明する。

図１０は、制御装置２０が検知サーバ８からＳｙｓｌｏｇを受信したときの解析処理の例を説明する図である。検知サーバ８は、ＩＰアドレス＝１７２．１６．１．１（通信端末１０ｃ）がウイルスに感染したことを検出したとする。すると、検知サーバ８は、ウイルスを検出した時刻やウイルスが検出された通信端末１０の情報を含むＳｙｓｌｏｇを制御装置２０に送信する。図１０のＳＹは、検知サーバ８から制御装置２０に送信されるＳｙｓｌｏｇの例である。

制御装置２０の解析部３１は、受信部２２を介してＳｙｓｌｏｇを取得すると、Ｓｙｓｌｏｇを条件テーブル５１中の各条件と比較する。図１０は、図を見やすくするために、条件テーブル５１のうちでＳｙｓｌｏｇによる通知に適用可能な条件の１つの例を抽出して示している。図１０の例では、条件テーブル５１には、Ｓｙｓｌｏｇ中のｐｒｏｔｏｃｏｌ中の文字列と、通知対象の組み合わせが含まれる。解析部３１は、ｐｒｏｔｏｃｏｌ中の文字列を用いて、不正な通信の種類を特定する。例えば、Ｓｙｓｌｏｇ中のｐｒｏｔｏｃｏｌ中に「protocol: the unidentified terminal was detected」という文字列を含むとする。この場合、条件テーブル５１は、いずれかの通信端末１０がウイルスに感染したと判定する。なお、メールでの通知の際と同様に、Ｓｙｓｌｏｇの処理に使用される条件についても、通知対象として、その条件が使用されるときに不正な通信が検出された通信端末１０のアドレスが対応付けられている。

次に、解析部３１は、ウイルスの感染が通知されたので、ウイルスの感染を通知するＳｙｓｌｏｇの解析に使用するテンプレートをテンプレート情報５２から選択する。図１０の例では、解析部３１は、ＳｙｓｌｏｇテンプレートＳＴ１を選択したとする。解析部３１は、ＳｙｓｌｏｇをＳｙｓｌｏｇテンプレートＳＴ１と比較する。ＳｙｓｌｏｇテンプレートＳＴ１は、ｐｒｏｔｏｃｏｌの記載を「protocol: the unidentified terminal was detected:IP=$含む」という文字列としたときの「＄」に該当する文字列を、ウイルスに感染した通信端末１０のアドレスとして指定している。図１０の例では、解析部３１は、ＳｙｓｌｏｇテンプレートＳＴ１とＳｙｓｌｏｇの文字列を比較することにより、１７２．１６．１．１のアドレスが割り当てられた通信端末１０（通信端末１０ｃ）がウイルスに感染したと判定する。

解析部３１がウイルスに感染した通信端末１０を特定した後に行う処理は、検知サーバ８からの通知がメールで行われた場合と同様である。すなわち、条件テーブル５１を用いて処理に適用する実行テーブル６１を決定すると共に、適用する実行テーブル６１の情報と、ウイルスに感染した通信端末１０のアドレスを処理決定部３２に通知する。また、処理決定部３２、通知処理部３３、コマンド生成部４０の処理も、検知サーバ８からの通知がメールで行われた場合と同様である。

図１１は、制御装置２０が検知サーバ８からＴｒａｐを受信したときの解析処理の例を説明する図である。検知サーバ８は、ＩＰアドレス＝１７２．１６．１．１（通信端末１０ｃ）がウイルスに感染したことを検出したとする。すると、検知サーバ８は、ウイルスを検出したことを通知するＴｒａｐを制御装置２０に送信する。図１１のＴＲ１は、検知サーバ８から制御装置２０に送信されるＴｒａｐの例である。ＴＲ１では、ＯＩＤ（Object Identifier）＝１．３．６．１．２．３．４．５．６について、ウイルス検知の情報が通知されている。また、ウイルスが検知された通信端末１０のアドレスが１７２．１６．１．１であることもＴＲ１に含められている。

制御装置２０の解析部３１は、受信部２２を介してＴｒａｐを取得すると、Ｔｒａｐを条件テーブル５１中の各条件と比較する。図１１は、図を見やすくするために、条件テーブル５１のうちでＴｒａｐによる通知に適用可能な条件の例を抽出して示している。図１１の例では、条件テーブル５１には、Ｔｒａｐ中に「event：VIRUS Detect.ip-address」という文字列が含まれている場合、いずれかの通信端末１０がウイルスに感染したと判定することが記載されている。なお、メールでの通知の際と同様に、Ｔｒａｐの処理に使用される条件についても、通知対象として、その条件が使用されるときに不正な通信が検出された通信端末１０のアドレスが対応付けられている。

次に、解析部３１は、ウイルスの感染が通知されたので、ウイルスの感染を通知するＴｒａｐの解析に使用するテンプレートをテンプレート情報５２から選択する。図１１の例では、条件テーブル５１は、ＴｒａｐテンプレートＴＴ１を選択したとする。解析部３１は、ＴｒａｐをＴｒａｐテンプレートＴＴ１と比較する。ＴｒａｐテンプレートＴＴ１は、Ｔｒａｐ中のｅｖｅｎｔの記載を「event：VIRUS Detect.ip-address ＄１」という文字列としたときの「＄１」に該当する文字列を、ウイルスに感染した通信端末１０のアドレスとして指定している。図１１の例では、解析部３１は、ＴｒａｐテンプレートＴＴ１とＴｒａｐの文字列を比較することにより、１７２．１６．１．１のアドレスが割り当てられた通信端末１０（通信端末１０ｃ）がウイルスに感染したと判定する。

解析部３１がウイルスに感染した通信端末１０を特定した後に行う処理は、検知サーバ８からの通知がメールやＳｙｓｌｏｇで行われた場合と同様である。また、処理決定部３２、通知処理部３３、コマンド生成部４０の処理も、検知サーバ８からの通知がメールで行われた場合と同様である。

図１２は、装置の隔離の際に行われる処理の例を説明するフローチャートである。図１２では、定数Ｎと変数ｎが使用される。定数Ｎは、攻撃の対象となった通信端末１０を隔離するための制御の対象となる装置の総数であり、変数ｎは制御を行った装置の数を計数するために使用する変数である。

制御装置２０中の受信部２２は、検知サーバ８で検出された攻撃の情報を受信する（ステップＳ１）。なお、攻撃として受信される情報は、ウイルスに対する感染に限られず、任意の種類の不正な通信の検出が含まれる。解析部３１は、検知サーバ８から受信した受信情報がメール形式であるかを判定する（ステップＳ２）。受信情報がメール形式である場合、解析部３１は、メールテンプレートを用いて、ターゲットとなった通信端末１０を特定する（ステップＳ２でＹｅｓ、ステップＳ３）。なお、「ターゲット」は、不正な通信が検出された通信端末１０であり、ウイルスなどのマルウェアによる攻撃のターゲットを含むものとする。検知サーバ８から受信した受信情報がメール形式ではない場合、解析部３１は、検知サーバ８から受信した受信情報がＳｙｓｌｏｇであるかを判定する（ステップＳ２でＮｏ、ステップＳ４）。受信情報がＳｙｓｌｏｇである場合、解析部３１は、Ｓｙｓｌｏｇテンプレートを用いて、ターゲットとなった通信端末１０を特定する（ステップＳ４でＹｅｓ、ステップＳ５）。受信情報がＳｙｓｌｏｇではない場合、解析部３１は、Ｔｒａｐテンプレートを用いて、ターゲットとなった通信端末１０を特定する（ステップＳ４でＮｏ、ステップＳ６）。

ステップＳ３、Ｓ５、Ｓ６のいずれかの処理が終わると、解析部３１は、条件テーブル５１を用いて、適用する実行テーブル６１を選択する（ステップＳ７）。解析部３１は、実行テーブル６１の選択結果とターゲットとなった通信端末１０を、処理決定部３２に通知する。処理決定部３２は、選択された実行テーブル６１から、制御対象の装置の総数（Ｎ）と制御対象の装置の情報を取得する（ステップＳ８）。コマンド生成部４０は、変数ｎを１に設定する（ステップＳ９）。コマンド生成部４０は、ｎ番目の制御対象に送信するコマンドを生成し、送信部２３を介してコマンドを含む制御パケットをｎ番目の制御対象に送信する（ステップＳ１０）。その後、コマンド生成部４０は、変数ｎが定数Ｎ以上であるかを判定する（ステップＳ１１）。変数ｎが定数Ｎ未満の場合、コマンド生成部４０は、変数ｎを１つインクリメントして、ステップＳ１０に戻る（ステップＳ１１でＮｏ、ステップＳ１２）。一方、変数ｎが定数Ｎ以上の場合、コマンド生成部４０は、制御対象の全ての装置にコマンドを送信したと判定して、処理を終了する（ステップＳ１１でＹｅｓ）。

このように、第１の実施形態にかかる方法によると、ネットワーク中の転送装置に対して、検出された不正通信の種類等に応じた制御を簡便に行うことができる。さらに、マルウェアの種類に応じて、適用されるテンプレートや実行テーブル６１を変更することにより、マルウェアの種類等に応じても、ネットワークの制御内容を変更することもできる。従って、制御装置２０を備えるシステムでは、簡便な処理で、様々な不正な通信に対して異なる対応を取ることができる。

ところで、検知サーバ８から受信した情報の処理は解析部３１で行われ、各装置への制御処理はコマンド生成部４０と送信部２３の処理により行われる。このため、検知サーバ８やシステム中の転送装置の仕様が変更されても、制御装置２０の変更は限定的になるので、制御装置２０の開発が容易である。また、第１の実施形態にかかる制御装置２０では、検知サーバ８からの通知に基づいて、攻撃が確認されたときの処理を自律的に実行することができるため、感染確認後の処理が迅速に行われる。

さらに、制御装置２０には、制御装置２０中に格納されている条件テーブル５１や実行情報データベース６０などの情報を変更することにより、制御の内容も柔軟に変更できるという利点もある。近年、マルウェアの種類も急増している上、例えば、ターゲットとなっている通信端末１０のケーブルの接続を変更した場合や電源を切った場合に解析が困難になるマルウェアが開発されるなど、マルウェアの挙動も様々である。このため、制御内容を柔軟に変更可能な制御装置２０を用いたシステムでは、オペレータの管理が簡便になる。

＜第２の実施形態＞
第２の実施形態では、ターゲットとなった通信端末１０からマルウェアを駆除できた場合などに、制御装置２０が、隔離した通信端末１０が隔離前と同様に通信できるように、転送装置を制御する場合について説明する。まず、隔離の解除の際に使用される情報の例を説明する。なお、装置テーブル５３は、通信端末１０の隔離の解除の際と通信端末１０の隔離の際で同じものが使用される。

図１３は、隔離状況テーブル５６と実行テーブル６１の例を説明する図である。図１３は、通信端末１０ｃが隔離されている場合の隔離状況テーブル５６の例を示している。図１３の例では、隔離状況テーブル５６には、隔離ＩＤ、ＩＰアドレス、検知日時、実行テーブルが記録されている。ここで、隔離ＩＤは、隔離処理ごとに対応付けられた識別情報であり、隔離の対象となった通信端末１０ごとに異なるＩＤが割り当てられる。ＩＰアドレスは、隔離の対象となっている通信端末１０に割り当てられているＩＰアドレスである。図１３の例では、ＩＰアドレスの欄に、通信端末１０ｃのアドレス（１７２．１６．１．１）が記録されている。検知日時は、通信端末１０ｃが隔離される原因となった不正な通信が検知された時刻の情報である。実行テーブルは、そのエントリ中の通信端末１０の隔離に使用された実行テーブル６１の情報を特定する際に使用される任意の情報である。図１３の例では、実行テーブルとして実行テーブル６１ａが１７２．１６．１．１のアドレスが割り当てられている装置（通信端末１０ｃ）の隔離に使用されたことが記録されている。

第２の実施形態では、処理決定部３２は、隔離に使用される可能性のある実行テーブル６１の各々について、その実行テーブル６１で行った隔離処理を解除するために使用する処理を特定する情報を予め記憶しているとする。例えば、実行テーブル６１ａによって行われた隔離処理の解除には実行テーブル６１ｂが使用可能であることを、処理決定部３２が予め記憶しているとする。すると、図１３の例では、通信端末１０ｃの隔離処理に実行テーブル６１ａが使用されているので、処理決定部３２は、通信端末１０ｃの隔離の解除の際に実行テーブル６１ｂを使用することを決定できる。

図１３は、実行テーブル６１ｂとして、ＩＰアドレス＝１７２．１６．１．１のアドレスが割り当てられた通信端末１０ｃの隔離を解除する際に使用される情報を含む実行テーブル６１を示している。実行テーブル６１ｂでは、感染が検出された通信端末１０の隔離の解除と、隔離を解除したことをオペレータへ通知するためのメール通知処理とが、処理内容として記録されている。さらに、通信端末１０の隔離を解除する際に制御対象となる装置と、各制御対象の装置の制御のために実施されるコマンドのグループが各装置の情報に対応付けられている。

例えば、図４に示すネットワークにおいて、通信端末１０ｃに対する隔離を解除する際には、通信端末１０ｃの隔離の際に制御対象となった、スイッチ３ｄとスイッチ３ｅに対して、通信端末１０ｃを隔離する前の通信を再開させることになる。そこで、実行テーブル６１ｂの例では、通信端末１０ｃの隔離を解除するための制御対象として、ネットワークＮ２中のスイッチ３ｄとスイッチ３ｅが記録されている。実行テーブル６１ｂでも、実行テーブル６１ａ（図６）と同様に、スイッチ３ｄはＡ社の製品であることと、スイッチ３ｄの制御に使用されるコマンドグループの情報（ＣＧ１１）が記録されている。同様に、スイッチ３ｅについても、Ｂ社の製品であることと、スイッチ３ｅの制御にはコマンドグループＣＧ１２が使用されることが登録されている。さらに、実行テーブル６１ｂには、通知先テーブル５４に含まれている通知先の各々に対して、メールテンプレートＭＴ１１を用いて生成した通知メールを送信することが登録されている。

図１４は、コマンド情報５５の例を説明する図である。コマンドグループＣＧ１１は、スイッチ３ｄにおいて、コマンドグループＣＧ１（図７）による制御を解除するためのコマンドのグループである。コマンドグループＣＧ１１には、インタフェースＦａ０／１に着信してくるパケットに対するフィルタリングに、ＡＣＬ番号＝１０１の条件を適用することが記載されている。ここで、ＡＣＬ番号＝１０１の条件は、コマンドグループＣＧ１による処理が行われる前に適用されていた条件である。すなわち、フィルタリングにＡＣＬ番号＝１０１の条件を適用する処理は、通信端末１０の隔離を行う前のフィルタリングの条件を使用することを表わしている。さらに、コマンドグループＣＧ１１には、アクセス制御のための条件文を削除するためのコマンドが含まれている。コマンドグループＣＧ１１には、隔離の解除対象の通信端末１０のＩＰアドレスに置換される情報として、＄１が含められている。コマンドグループＧＣ１１のうち条件文の削除用の１つ目のコマンドは、隔離の解除対象の通信端末１０を送信元とするＩＰパケットのうち、１０．０．１０．１５（検疫サーバ２のＩＰアドレス）宛のパケットを許可する設定の削除を表わしている。条件文の削除用の２つ目のコマンドでは、隔離の解除対象の通信端末１０を送信元とするＩＰパケット全てを拒否する設定を削除することが記載されている。条件文の削除用の３つ目のコマンドでは、ＡＣＬ番号＝１０２の条件において送信元と宛先がいずれであっても、パケットを許可する設定の削除が記載されている。条件文の削除用の４つ目のコマンドでは、ＡＣＬ番号＝１０２の条件において、送信元と宛先がいずれであっても、パケットを拒否する設定を削除することが記載されている。

設定ブロック４１ａは、コマンドグループＣＧ１１のコマンド中の＄１という文字列を、隔離の解除対象として指定された装置のアドレスに置き換えることにより、制御処理に使用されるコマンドを生成する。図１４中のＣ１１は、コマンドグループＣＧ１１中の条件文中の＄１という文字列が通信端末１０ｃ（ＩＰアドレス＝１７２．１６．１．１）に置き換えられた場合のコマンドの例である。

図１５は、隔離の解除の際に行われる処理の例を説明する図である。以下、図１３と図１４を参照しながら説明した情報が使用される場合について、通信端末１０ｃの隔離が解除される場合の処理の例を説明する。なお、第２の実施形態においても、不正な通信の検出に伴う隔離のための制御は、第１の実施形態と同様に行われているものとする。

オペレータは、ターゲットとなった通信端末１０からマルウェアを駆除できた場合などに、隔離の解除を制御装置２０に要求するための処理を行う。オペレータは、例えば、制御装置２０の入力装置１０３から、隔離の解除を要求する通信端末１０に割り当てられたＩＰアドレスを入力しても良い。また、オペレータは、システムの管理に使用する管理端末８０から制御装置２０に対して、解除を要求する通信端末１０に割り当てられたＩＰアドレスを含む要求パケットを送信しても良い。

手順Ｐ３１において、解析部３１は、管理装置８０からの通知や入力装置１０３から入力された情報を取得すると、得られた情報から、隔離を解除する通信端末１０のＩＰアドレスを特定する。解析部３１は、特定したＩＰアドレスと、隔離の解除処理が要求されていることを、処理決定部３２に通知する。

処理決定部３２は、図１３に示す隔離状況テーブル５６と実行テーブル６１ｂを用いて得られた情報のうち、以下の情報を設定ブロック４１ａに出力する（手順Ｐ３２）。
隔離が解除される装置のアドレス：１７２．１６．１．１（通信端末１０ｃ）
制御対象１ ：スイッチ３ｄ
制御対象１に適用するコマンド ：コマンドグループＣＧ１１
設定ブロック４１ａは、これらの情報を取得すると、コマンドグループＣＧ１１（図１４）のコマンド中の＄１という文字列を、隔離の解除対象の装置のアドレスに置き換えることにより、制御処理に使用されるコマンド（図１４のＣ１１）を生成する。

同様に、処理決定部３２は、実行テーブル６１ｂ（図１３）を用いて得られた情報のうち、以下の情報を設定ブロック４１ｂに出力する（手順Ｐ３３）。
隔離が解除される装置のアドレス：１７２．１６．１．１（通信端末１０ｃ）
制御対象２ ：スイッチ３ｅ
制御対象２に適用するコマンド ：コマンドグループＣＧ１２
設定ブロック４１ｂは、これらの情報を取得すると、コマンドグループＣＧ１２のコマンド中の＄１という文字列を、隔離の解除対象の装置のアドレスに置き換えることにより、制御処理に使用されるコマンドを生成する。

設定ブロック４１ａおよび設定ブロック４１ｂは、生成したコマンドをプロトコル処理部４２に出力する（手順Ｐ３４、Ｐ３５）。このとき、設定ブロック４１ａと設定ブロック４１ｂは、コマンドの送信に使用される情報を、装置テーブル５３（図７）から取得すると共に、取得した情報をコマンドに対応付けてプロトコル処理部４２に出力する。なお、装置テーブル５３から設定ブロック４１が取得する情報等は、図８を参照しながら説明した手順Ｐ２３、Ｐ２４と同様である。プロトコル処理部４２は、入力されたコマンドを、そのコマンドの宛先との間の通信に使用するプロトコルに応じた形式の制御パケットに含める。プロトコル処理部４２は、生成した制御パケットを、送信部２３を介して、宛先の装置に送信する（手順Ｐ３６、Ｐ３７）。

手順Ｐ３８において、処理決定部３２は、隔離が解除される装置のアドレスと、通知処理に使用するメールテンプレートを、通知処理部３３に通知する。通知処理部３３は、通知されたテンプレートとアドレス情報を用いて、通知先テーブル５４中に記録されている装置への通知メールを送信する（手順Ｐ３９）。手順Ｐ３８と手順Ｐ３９で行われる処理の詳細は、図１６を参照しながら説明する。

図１６は、メールによる通知処理の例を説明する図である。図１６の例では、通知処理部３３に対して、隔離が解除される通信端末１０のアドレスが１７２．１６．１．１（通信端末１０ｃ）であることと、メールテンプレートＭＴ１１を使用することが通知されたとする。通知処理部３３は、メールテンプレートＭＴ１１のうち、隔離が解除される通信端末１０のＩＰアドレスと置換する対象の文字列を、処理決定部３２から通知されたＩＰアドレスに置き換える。図１６中のＭＴ１１のうち、「％１」に該当する文字列は、隔離が解除される通信端末１０のＩＰアドレスと置換する対象の文字列である。そこで、通知処理部３３は、メールテンプレートＭＴ１１中の「％１」という文字列を、１７２．１６．１．１というＩＰアドレスに置き換えることにより、メールＭ１１を生成する。

図１７は、隔離の解除の際に行われる処理の例を説明するフローチャートである。図１７において、定数Ｎは通信端末１０の隔離状態を解除するための制御の対象となる装置の総数であり、変数ｎは制御を行った装置の数を計数するために使用する変数である。

制御装置２０中の受信部２２は、管理装置８０から隔離の解除の要求（隔離解除要求）を受信する（ステップＳ２１）。処理決定部３２は、隔離状況テーブル５６を用いて、適用する実行テーブル６１を選択する（ステップＳ２２）。処理決定部３２は、選択した実行テーブル６１から、制御対象の装置の総数（Ｎ）と制御対象の装置の情報を取得する（ステップＳ２３）。コマンド生成部４０は、変数ｎを１に設定する（ステップＳ２４）。コマンド生成部４０は、ｎ番目の制御対象に送信するコマンドを生成し、送信部２３を介して、ｎ番目の制御対象にコマンドを含む制御パケットを送信する（ステップＳ２５）。その後、コマンド生成部４０は、変数ｎが定数Ｎ以上であるかを判定する（ステップＳ２６）。変数ｎが定数Ｎ未満の場合、コマンド生成部４０は、変数ｎを１つインクリメントして、ステップＳ２５に戻る（ステップＳ２６でＮｏ、ステップＳ２７）。一方、変数ｎが定数Ｎ以上の場合、コマンド生成部４０は、制御対象の全ての装置にコマンドを送信したと判定して、処理を終了する（ステップＳ２６でＹｅｓ）。

なお、図１３〜図１７にかかる説明では、隔離された通信端末１０に対して、隔離の解除を行う場合を例として説明したが、管理装置８０などからの解除処理に応答して行われる処理は、隔離の解除に限られない。例えば、通信端末１０が使用可能な経路が制限されていた場合や、通信端末１０が使用可能な転送速度が制限されていた場合には、第２の実施形態で説明した処理と同様の処理により、これらの制限が解除され得る。なお、その場合には、制限が行われている通信端末１０と現在行われている制限を解除するために使用する実行テーブル６１を一意に特定できる情報が、隔離状況テーブル５６と同様の形式で保持されているものとする。

このように、第２の実施形態にかかる方法によると、隔離された通信端末１０などに対する処理の解除の際にも、ネットワーク中の転送装置に対して攻撃の種類等に応じた制御を簡便に行うことができる。従って、マルウェアの感染や不正な通信の検出後に行う処理だけでなく、不正な通信の検出に伴って行われた処理の解除も迅速に行われる。さらに、マルウェアの感染に対して行われる対処が多岐にわたっている場合、第２の実施形態で説明したように、マルウェアの感染に対する対処の解除に使用される実行テーブル６１があらかじめ決定されていることにより、オペレータの負担は軽減される。従って、第２の実施形態を用いたシステムでは、オペレータの管理が簡便になる。

＜第３の実施形態＞
システム中に含まれる装置が多い場合や、転送装置の入れ替えが発生する可能性が高い場合などには、第１および第２の実施形態よりも、さらに柔軟にシステムの設定を行うことができることが望ましい。このため、制御装置が記憶している情報は、システム設定を行いやすいように、適宜、複数のテーブルが統一されてもよく、１つのテーブルやデータベースが複数に分割されてもよい。第３の実施形態では、このようなデータの変形の一例を、具体例を挙げて説明する。

図１８は、第３の実施形態にかかる制御装置７０の構成の例を示す図である。制御装置７０は、通信部２１、制御部３０、記憶部４５を備える。記憶部４５は、条件テーブル７３、実行情報データベース７７、装置テーブル５３、通知先テーブル５４、コマンド情報５５、隔離状況テーブル５６、テンプレート情報７８を備える。通信部２１と制御部３０は、第１の実施形態と同様である。

条件テーブル７３は、テンプレート７１と処理条件情報７２を含む。テンプレート７１は、第１の実施形態で説明したテンプレート情報５２のうちで、検知サーバ８から送信された通知の解析に使用されるテンプレートに相当する。処理条件情報７２は、第１の実施形態で説明した条件テーブル５１の情報を含む。すなわち、第３の実施形態では、条件テーブル７３は、条件テーブル５１と通知の解析に使用するテンプレートを統合したテーブルとして、処理を適用する対象ごとに設定されている。なお、通知の解析に使用するテンプレート７１として、通知メールの解析に使用されるメールテンプレート（ＭＴ１）、Ｓｙｓｌｏｇテンプレート（ＳＴ１）、Ｔｒａｐテンプレート（ＴＴ１）などが、条件テーブル７３に含められる。一方、テンプレート情報７８は、制御装置７０が通知先テーブル５４中の通知先に送信するメールの生成に使用するテンプレートである。

実行情報データベース７７は、ポリシーマスタ７５と実行テーブル７６を含む。図１８では図を見やすくするために、実行テーブル７６を１つだけ図示しているが、実行情報データベース７７には複数の実行テーブル７６が含まれてもよい。ポリシーマスタ７５は、実行情報データベース７７に含まれている各実行テーブル７６のいずれを適用するかを決定する際に使用される。装置テーブル５３には、システム中の各転送装置の情報が、転送装置ごとに記録されている。制御装置７０は、システム中の転送装置の数と同数の装置テーブル５３を備えているものとする。

制御装置７０も、制御装置２０と同様のハードウェアを備えているものとする。プロセッサ１０１は制御部３０を実現し、メモリ１０２と記憶装置１０６は、記憶部４５として動作する。また、ネットワークインタフェース１０９は、通信部２１として動作する。

図１９は、条件テーブル７３とポリシーマスタ７５の例を説明する図である。条件テーブル７３は、条件ＩＤ、情報ソースＩＤ、メールサーバＩＤ、メール差出人、メール件名、メールキーワード、ＩＰアドレス、ポリシーＩＤ、条件有効フラグが含まれる。

条件ＩＤは、条件ごとに設定される識別情報である。情報ソースＩＤは、不正な通信の検出の通知に使用される情報源の種類の特定に使用される。図１９の例では、情報ソースＩＤの値は、テーブルＴ１に示すように、１〜３のいずれかの値に設定される。情報ソースＩＤ＝１は、不正な通信の検出に関する情報がメールで制御装置７０に通知されることを表す。同様に、情報ソースＩＤ＝２は、不正な通信の検出に関する情報がＳｙｓｌｏｇで制御装置７０に通知されることを表し、情報ソースＩＤ＝３は、不正な通信の検出に関する情報がＴｒａｐで制御装置７０に通知されることを表す。メールサーバＩＤは、不正な通信の検出に関する情報がメールで制御装置７０に通知される場合の通知元となるメールサーバを識別する識別情報である。テーブルＴ２には、メールサーバＩＤに対応付けて、各メールサーバに関する詳細情報が記録されている。テーブルＴ２には、メールサーバＩＤに対応付けて、受信メールサーバのサーバ名、受信プロトコル、受信ポート、受信アカウント、ＩＤ、パスワードが記録されている。受信メールサーバのサーバ名はｓａｍｐｌｅ．ｃｏｍであり、受信プロトコルはＰＯＰ３（Post Office Protocol Version 3）、受信ポート番号は１１０である。さらに、受信アカウントはｔｅｓｔ＠ｅｘａｍｐｌｅ．ｃｏｍであり、メール受信の際に使用されるＩＤはｔｅｓｔ、メール受信の際に使用されるパスワードはｔｅｓｔである。メール差出人は、不正な通信の検出に関する情報がメールで制御装置７０に通知される場合の通知元となるメールサーバが使用するメールアドレスであり、図１９の例ではｓｅｎｄ＠ｅｘａｍｐｌｅ．ｃｏｍである。

メール件名は、検知サーバ８から不正な通信の検出を制御装置７０に通知するメールの件名に含まれる情報である。メールキーワードは、検知サーバ８が制御装置７０に通知するメールの本文に含まれる情報であり、検知サーバ８がマルウェアを含むファイルや不正な通信に使用されているファイル等に対して行った処理の内容の通知に使用される定型文である。図１９の例では、メール件名は「情報：ファイルの隔離」である。メールキーワードは、「ドメイン「FNETS」のコンピューター「%target_host」で次のイベントが発生しました：\nファイルの隔離\n結果：隔離しました」という文字列である。なお、メールキーワード中で、「￥ｎ」は改行を表すものとする。メールキーワード中の「%target_host」は可変パラメータであり、不正な通信が検出された通信端末１０に割り当てられたＩＰアドレスが設定される。すなわち、メール件名とメールキーワードの組み合わせは、第１の実施形態等のメールテンプレートＭＴ１などに含まれる情報に相当する。

図１９に示す条件テーブル７３には、その条件を適用するＩＰアドレスの範囲が設定されている。従って、制御装置７０が記憶している条件テーブル７３中のエントリのうち、ＩＰアドレスの範囲を含む全ての条件が合致したエントリの情報が、以後の処理に使用される。条件テーブル７３の例では、メール件名、メールキーワードが合致した上、隔離される対象の通信端末１０に割り当てられたＩＰアドレスが、１９２．１６８．０．１から１９２．１６８．０．９９の範囲に含まれる場合に、条件ＩＤ＝１の条件が適用される。ポリシーＩＤは、ポリシーマスタ７５での実行テーブル７６の分類に使用される値であり、実行テーブル７６を一意に識別する値である。図１９の例では、ポリシーＩＤ＝１である。条件有効フラグは、設定された条件を有効にするかを示すフラグである。条件有効フラグ＝ｅｎａｂｌｅの場合、設定された条件が使用可能な状態にシステムが設定されていることを表す。一方、条件有効フラグ＝ｄｉｓａｂｌｅの場合、設定された条件が使用可能な状態にシステムが設定されていないことを表す。従って、条件有効フラグ＝ｄｉｓａｂｌｅに設定された条件は、制御装置７０での処理に使用されない。

解析部３１は、検知サーバ８からの通知メールを取得すると、条件テーブル７３中のメール件名とメールキーワードを用いて通知メールを解析することにより、ターゲットとなった通信端末１０を特定する。さらに、解析部３１は、通知メールの送信元などの情報をキーとして、条件テーブル７３のうちで通知メールの処理に適用される可能性のある条件を絞り込む。さらに、解析部３１は、絞り込んだ条件の中から、ＩＰアドレスの適用範囲にターゲットとなった通信端末１０のＩＰアドレスを含む条件を抽出する。抽出した条件の条件有効フラグがｅｎａｂｌｅに設定されている場合、解析部３１は、抽出した条件の中のポリシーＩＤをキーとして、ポリシーマスタ７５を検索する。ここでは、解析部３１がポリシーＩＤ＝１の条件を適用することを決定したとする。

ポリシーマスタ７５は、ポリシーＩＤ、ポリシー名、ポリシーファイル名を含む。ポリシーマスタ７５は、個々の実行テーブル７６を１つのポリシーとして、各ポリシーのメタデータを格納する。ポリシー名は、ポリシーＩＤで特定されるポリシーの名称であり、ポリシーファイル名は、ポリシーＩＤで特定されるポリシーに相当する実行テーブル７６の識別情報である。図１９の例では、ポリシーＩＤ＝１のポリシーのポリシー名はＰｏ１であり、ポリシーファイル名は実行テーブル７６ａである。

解析部３１は、ポリシーＩＤ＝１をキーとして、図１９中の条件テーブル７３を検索したとする。すると、解析部３１は、ポリシーＩＤ＝１を適用するために実行テーブル７６ａが使用できると認識する。解析部３１は、処理決定部３２に対して、実行テーブル７６ａを使用することを要求する。

図２０は、実行テーブル７６ａと装置テーブル５３ａの例を説明する図である。実行テーブル７６ａには、実行テーブル７６ａに設定されているポリシーを実行する際の制御対象となる転送装置と各転送装置に対する処理が、処理対象リストとして含まれている。処理対象リストには、処理対象機器、設定コンフィグ、実行順などの情報が含まれる。実行テーブル７６ａ中の設定処理機器の欄には、処理対象となる装置の情報を格納した装置テーブル５３の識別情報が指定されている。以下の説明では、装置テーブル５３ａに情報が記録されている装置が、制御対象に選択されているとする。設定コンフィグは、処理対象の機器の設定に使用されるコマンド情報５５を特定する情報である。図２０の例では、設定コンフィグはコマンド情報５５ａである。実行順は、処理対象リストに複数の装置の情報が登録された場合の実行順序を表す。図２０の例では、装置テーブル５３ａで特定される装置にコマンド情報５５ａを用いたコマンドによる設定を最初（実行順＝１）に行うことが登録されている。

処理決定部３２は、実行テーブル７６ａから得られた情報を、コマンド生成部４０に出力する。すると、コマンド生成部４０は、処理決定部３２から通知された装置テーブル５３ａのファイル名と、コマンド情報５５ａを用いて、コマンドの生成を開始する。

装置テーブル５３ａには、機器種別、通信種別、接続先ＩＰアドレス、接続先ＵＲＬ（Uniform Resource Locator）の他、装置テーブル５３ａに情報が登録されている装置に接続する際の実行権限ごとに使用可能な情報が含まれている。装置テーブル５３ａのうち、ユーザ名待ち受け、ユーザ名、パスワード待ち受け、パスワードは、設定変更を行わない一般のユーザ（Ｕｓｅｒ）としての権限でのアクセスに使用される。装置テーブル５３ａの例では、Ｕｓｅｒの権限でのアクセスの際に、処理対象の装置から「Ｌｏｇｉｎ：」という情報が制御装置７０に送信されると、制御装置７０中のコマンド生成部４０は、「ａｄｍｉｎ」というユーザ名を出力する。同様に、Ｕｓｅｒの権限でのアクセスの際に、処理対象の装置から「Ｐａｓｓｗｏｒｄ：」という情報が制御装置７０に送信されると、制御装置７０中のコマンド生成部４０は、「ｆｎｅｔｓ」というデータを出力する。

管理モードコマンド、管理ユーザ名待ち受け、管理ユーザ名、管理パスワード待ち受け、管理パスワード、管理モード終了コマンドは、Ｕｓｅｒよりもアクセス権限の大きなユーザ（Ｅｎａｂｌｅ）としての権限でのアクセスに使用される。制御装置７０は、処理対象の装置から管理ユーザ名待ち受けが通知されると、その装置にアクセスするために管理ユーザ名を出力する。同様に、制御装置７０は、処理対象の装置から管理パスワード待ち受けが通知されると、その装置にアクセスするために、管理パスワードを出力する。管理モードコマンドは、Ｅｎａｂｌｅとしての権限でのアクセス時に使用され、管理モード終了コマンドはＥｎａｂｌｅとしての権限でのアクセスの終了時に使用される。

コンフィグモードコマンド、コンフィグユーザ名待ち受け、コンフィグユーザ名、コンフィグパスワード待ち受け、コンフィグパスワード、コンフィグモード終了コマンド、設定保存コマンドは、Ｃｏｎｆｉｇとしての権限でのアクセスに使用される。ここで、「Ｃｏｎｆｉｇ」は、設定変更の可能なユーザである。制御装置７０は、処理対象の装置からコンフィグユーザ名待ち受けが通知されると、その装置にアクセスするためにコンフィグユーザ名を出力する。同様に、制御装置７０は、処理対象の装置からコンフィグパスワード待ち受けが通知されると、その装置にアクセスするために、コンフィグパスワードを出力する。コンフィグモードコマンドは、Ｃｏｎｆｉｇとしての権限でのアクセス時に使用され、設定保存コマンドは設定した内容の保存の際に使用される。コンフィグモード終了コマンドはＣｏｎｆｉｇとしての権限でのアクセスの終了時に使用される。

なお、装置テーブル５３中の項目のうち、装置テーブル５３に情報が格納されている装置に対して制御装置７０のアクセスに使用される情報に対応付けられた項目についてはデータが登録されるが、全てのデータが登録されなくても良い。例えば、Ｅｎａｂｌｅとしての権限では制御装置７０がアクセスしない転送装置については、Ｅｎａｂｌｅの権限でアクセスする際に使用される情報が装置テーブル５３に登録されていなくても良い。

図２１は、コマンド情報５５ａの例を説明する図である。コマンド情報５５ａは、コマンドリストを含む。コマンドリストには、コマンドの適用先の機器の情報に対応付けて、コマンドの実行順、実行権限、実行コマンド、種別が記録される。図２１の例では、コマンドの実行順の１番目に、Ｃｏｎｆｉｇとしての実行権限でコマンドＣＯ１が実行される。Ｃｏｎｆｉｇとしての実行権限でのアクセスの際には、適宜、装置テーブル５３ａ（図２０）においてＣｏｎｆｉｇに対応付けられている情報が使用される。コマンドＣＯ１の種類はＢＡＳＥである。コマンドの種別には、ＢＡＳＥとＡＣＴＩＯＮがあるものとする。コマンドの種別＝ＢＡＳＥに設定されているコマンドは、不正な通信が検出されていないときに使用されるコマンドである。一方、コマンドの種別＝ＡＣＴＩＯＮに設定されているコマンドは、不正な通信が通知されたことにより制御の際に使用されるコマンドである。

図２１中のコマンド情報５５ａには紙面の関係で１つのコマンドの登録例を示したが、コマンドの実行順に羅列すると、例えば、リストＬ１やリストＬ２に示すようなコマンドのリストが得られる。

コマンド生成部４０は、得られたコマンドのリストを通知するための制御パケットを生成し、送信部２３を介して、処理対象の装置に送信する。このため、処理対象の転送装置は、制御パケットで指定されたコマンドを実行することにより、第１の実施形態と同様に、処理対象の通信端末１０を隔離できる。

図２２は、通知先テーブル５４と隔離状況テーブル５６の例を説明する図である。処理決定部３２は、実行テーブル７６を用いて、ターゲットとなった通信端末１０に対する隔離が行われるかを判定し、隔離が行われる場合には、ターゲットの通信端末１０の情報を隔離状況テーブル５６に記録する。なお、第１の実施形態や図１９などを参照した説明では、ターゲットとなった通信端末１０のＩＰアドレスだけが解析部３１で検出されていたが、実装に応じて、ターゲットとなった通信端末１０のホスト名も制御装置７０などに通知されてもよい。この場合、解析部３１は、メールテンプレート等の設定によっては、ターゲットとなった通信端末１０のＩＰアドレスとともに、ホスト名も抽出できる。

隔離状況テーブル５６は、隔離ＩＤ、ホスト名、ＩＰアドレス、検知日時、ポリシーＩＤなどが含まれる。隔離ＩＤは、隔離された通信端末１０の情報に対するエントリ番号である。ホスト名は、隔離された通信端末１０に設定されたホスト名である。ＩＰアドレスは、隔離された通信端末１０に設定されたＩＰアドレスである。検知日時は、隔離された通信端末１０で不正な通信が検知された時刻を表す。

図２２の例では、隔離ＩＤ＝１として、ｏｋａｍｕｒａ−ｐｃというホスト名で、１９２．１６８．０．１というアドレスが割り当てられている通信端末１０が隔離されたことが記録されている。さらに、ｏｋａｍｕｒａ−ｐｃというホスト名の通信端末１０は２０１６年１月２９日の１１時２９分に検出された攻撃により、ポリシーＩＤ＝１で識別されるポリシー（実行テーブル７６ａ）を用いて隔離されている。

通知処理部３３は、処理決定部３２から隔離状況テーブル５６が更新されたことを通知されたとする。すると、通知処理部３３は、隔離状況テーブル５６を参照することにより、ターゲットとなった通信端末１０の情報を特定する。すると、通知先テーブル５４の情報を用いて、通知先に処理内容を通知するメールを送信する。

通知先テーブル５４には、通知先ＩＤ、通知先名、通知先メールアドレスが含まれる。通知先ＩＤは、通知先ごとのエントリ番号である。通知先名は、制御装置７０での処理結果を送信する通知先のホスト名である。通知先メールアドレスは、制御装置７０での処理結果を送信する通知先のメールアドレスである。図２２の例では、通知先ＩＤ＝１の情報として、検疫検知通知先というホスト名の装置に通知が送られる。なお、検疫検知通知先というホスト名の装置では、ｉｎｆｏ＠ｅｘｓａｍｐｌｅ．ｃｏｍというメールアドレスが使用されている。

このため、図２２の例では、ｉｎｆｏ＠ｅｘｓａｍｐｌｅ．ｃｏｍに宛てて、ｏｋａｍｕｒａ−ｐｃというホスト名で、１９２．１６８．０．１というアドレスが割り当てられている通信端末１０が隔離されたことを通知するメールが送信される。このため、検疫検知通知先というホスト名の装置では、制御装置７０によって行われた処理の内容が特定される。

図２３は、第３の実施形態で行われる処理の例を説明するフローチャートである。図２３において、定数Ｎは通信端末１０を隔離するための制御の対象となる装置の総数であり、変数ｎは制御を行った装置の数を計数するために使用する変数である。

制御装置７０中の解析部３１は、条件テーブル７３を用いて、検知サーバ８から通知された不正な通信が検出された通信端末１０であるターゲットと、適用するポリシーのポリシーＩＤを特定する（ステップＳ３１）。さらに、解析部３１は、ポリシーＩＤに対応付けられた実行テーブル７６を、ポリシーマスタ７５を用いて特定する（ステップＳ３２）。処理決定部３２は、適用対象となる実行テーブル７６中の制御対象の装置の総数Ｎを取得する（ステップＳ３３）。コマンド生成部４０は、変数ｎを１に設定する（ステップＳ３４）。コマンド生成部４０は、ｎ番目の制御対象に対応付けられた実行コマンドを読み込んで制御パケットを生成し、送信部２３は、生成された制御パケットを宛先に送信する（ステップＳ３５）。その後、コマンド生成部４０は、変数ｎが定数Ｎ以上であるかを判定する（ステップＳ３６）。変数ｎが定数Ｎ未満の場合、コマンド生成部４０は、変数ｎを１つインクリメントして、ステップＳ３５に戻る（ステップＳ３６でＮｏ、ステップＳ３７）。一方、変数ｎが定数Ｎ以上の場合、コマンド生成部４０は、制御対象の全ての装置にコマンドを送信したと判定して、処理を終了する（ステップＳ３６でＹｅｓ）。

なお、図１８〜図２３にかかる説明では、通信端末１０に対して隔離が行われる場合を例として説明したが、第１の実施形態等と同様に、攻撃の対象となった通信端末１０に対して行われる処理は、実装に応じて任意に変更され得る。

＜その他＞
第３の実施形態においても、第２の実施形態と同様の手順により、隔離などの解除を制御装置７０が行っても良い。また、ワイルドカードマスクを用いた演算方法などの設定も、実装に応じて変更され得る。

第３の実施形態では、設定用に使用されるテーブル等の情報の設定方法の変更例の一例を示したが、これらの情報の設定方法は、実装に応じて任意に変更され得る。例えば、図６などに示した実行テーブル６１には、制御対象の装置と、各装置に対する実施コマンドが対応付けて登録されているが、実行テーブル６１を複数のテーブルに分割しても良い。

図２４は、制御装置２０や制御装置７０が記憶する情報の変形例を説明する図である。図２４は、実行テーブル６１中の情報と条件テーブル５１中の不正な通信の種別に関する情報とを、テーブルＴ１１〜Ｔ１３に分けて保持する場合の例を示している。

テーブルＴ１１は、システム中の通信端末１０の各々について、その通信端末１０をターゲットとした不正な通信が検出された場合に、制御対象となる転送装置のリストを記録している。なお、テーブルＴ１の例では、検知サーバ８からの通知内容に基づいて転送装置を特定しやすくするために通信端末１０のＩＰアドレスに対応付けて転送装置のリストを記憶する場合を示している。例えば、１９２．１６８．１．１（通信端末１０ｃ）をターゲットとする不正な通信が検出された場合、ＩＰアドレス＝１０．０．０．１の装置（スイッチ３ｄ）とＩＰアドレス＝１０．０．０．２の装置（スイッチ３ｅ）が制御対象となる。

テーブルＴ１２は、不正な通信の種別に対応付けて、行われる制御の種類を対応付けている。例えば、テーブルＴ１２によると、ウイルス感染検知が通知された場合、ターゲットとなっている通信端末１０を隔離する制御が行われる。一方、バックドア通信の検知が通知された場合、ターゲットとなっている通信端末１０のＩＰアドレスを含むパケットの転送速度を閾値以下に制限するための制御が行われる。なお、テーブルＴ１２の例では、不正な通信の種類に応じて制御が一意に特定できる場合を例として示しているが、同じ種別の不正な通信が通知されても、制御の内容をターゲットのアドレス等に応じて変更するように設定されていても良い。

テーブルＴ１３は、制御対象の転送装置と制御の種類に応じて使用される制御コマンド（コマンドグループ）を対応付けている。例えば、ＩＰアドレス＝１０．０．０．１の装置（スイッチ３ｄ）がターゲットの隔離のために制御される場合、コマンドグループＣＧ１（図７）が使用され、ターゲットの隔離の解除ために制御される場合、コマンドグループＣＧ１１（図１４）が使用される。同様に、ＩＰアドレス＝１０．０．０．２の装置（スイッチ３ｅ）がターゲットの隔離のために制御される場合、コマンドグループＣＧ２（図７）が使用される。また、ターゲットとなっている通信端末１０のＩＰアドレスを含むパケットの転送速度を閾値以下に制限するためにＩＰアドレス＝１０．０．０．１の装置（スイッチ３ｄ）が制御される場合、コマンドグループＣＧ１５が使用される。なお、テーブルＴ１３の例では、ターゲットの隔離だけでなく、隔離等の解除の処理も制御の種類として含めているが、隔離等の解除の処理はテーブルＴ１３とは異なるテーブルに格納されていても良い。

図２４に示すようにテーブルが生成されている場合、解析部３１は、検知サーバ８からの通知を用いて、ターゲットとなっている通信端末１０と、不正な通信の種類を特定すると、特定した情報を処理決定部３２に通知する。処理決定部３２は、テーブルＴ１１を参照して、制御対象とする転送装置を決定するとともに、不正な通信の種類をキーとしてテーブルＴ１２を検索することにより、制御内容を特定する。処理決定部３２は、制御対象とする転送装置と、制御内容の組み合わせをコマンド生成部４０に通知する。すると、コマンド生成部４０は、テーブルＴ１３とコマンド情報５５を用いて、制御対象となっている転送装置の各々について、処理決定部３２で決定された制御内容に対応する制御コマンドを生成する。コマンド生成部４０は、生成した制御コマンドを含む制御パケットを生成すると、送信部２３を介して、制御対象の転送装置に制御パケットを送信する。

一方、隔離等の解除要求を制御装置２０が受信した場合には、処理決定部３２は、解除の対象となる通信端末１０のアドレスをキーとしてテーブルＴ１１を検索することにより、制御対象の転送装置を特定できる。すると、処理決定部３２は、隔離の解除が要求されていることと、制御対象の転送装置の情報を、コマンド生成部４０に出力する。コマンド生成部４０は、処理決定部３２から取得した情報を用いてテーブルＴ１３を検索することにより、ターゲットとなっている通信端末１０の隔離の解除に使用するコマンドグループを特定できる。このため、コマンド生成部４０は、特定したコマンドを用いた制御パケットを生成し、送信部２３を介して、制御対象の転送装置に制御パケットを送信できる。

図２４に示すように変形されたデータが用いられている制御装置２０や制御装置７０を用いたシステムでも、第１〜第３の実施形態と同様に、不正な通信の検出後の処理が簡便になる。

上述の第１〜第３の実施形態を含む実施形態に関し、さらに以下の付記を開示する。
（付記１）
通信端末と、前記通信端末で送受信されるパケットを転送する１つ以上の転送装置とを含むネットワーク中の前記転送装置を制御する制御装置に、
前記パケットを用いて通信端末の不正な通信を検知する検知サーバから通知される検知情報を受信し、
前記検知情報から対象の通信端末と前記不正な通信の種類とを解析し、
解析した対象の通信端末に対応付けられた転送装置を記憶する第１の記憶情報を参照して制御対象の転送装置を決定し、
解析された前記不正な通信の種類に対応づけられた制御内容を記憶する第２の記憶情報を参照して制御対象に決定した転送装置に対する制御を決定し、
前記制御対象に決定された転送装置の種類ごとに、前記制御内容に対応する制御コマンドを記憶する第３の記憶情報から制御コマンドを読み出して、当該転送装置に対して制御コマンドを含む制御パケットを送信する
処理を実行させることを特徴とする制御プログラム。
（付記２）
前記対象の通信端末に対する前記制御内容の解除を要求する解除要求を受信すると、前記第３の記憶情報を参照して、前記制御内容の解除に際して前記制御対象の転送装置の各々に適用する制御コマンドを生成すると共に、当該転送装置に、生成した制御コマンドを含む制御パケットを送信する
処理を前記制御装置に実行させることを特徴とする付記１に記載の制御プログラム。
（付記３）
前記検知情報は、前記対象の通信端末と前記不正な通信の種類とを通知する通知メール、前記対象の通信端末で行われた通信履歴を表す履歴情報、または前記対象の通信端末と前記不正な通信の種類とを通知する制御情報のいずれかの形式から選択される
ことを特徴とする付記１または２に記載の制御プログラム。
（付記４）
前記通知メールに含まれる文字列のうちで前記不正な通信の種類と前記対象の通信端末の通知に使用される領域を特定する第１のテンプレート、前記履歴情報から前記不正な通信の種類と前記対象の通信端末の通知に使用される領域を特定する第２のテンプレート、および、前記制御情報から前記不正な通信の種類と前記対象の通信端末の通知に使用される領域を特定する第３のテンプレートを含み、
前記制御装置に、
前記通知メールを受信すると、前記第１のテンプレートを用いて前記不正な通信の種類と前記対象の通信端末を抽出し、
前記履歴情報を受信すると、前記第２のテンプレートを用いて前記不正な通信の種類と前記対象の通信端末を抽出し、
前記制御情報を受信すると、前記第３のテンプレートを用いて前記不正な通信の種類と前記対象の通信端末を抽出する
処理を行わせることを特徴とする付記３に記載の制御プログラム。
（付記５）
前記制御プログラムは、前記第１の記憶情報と前記第２の記憶情報とを、前記制御プログラムにより実行される情報を特定する実行テーブルとして備え、
前記実行テーブルは、前記複数の通信端末中の通信端末と前記不正な通信の種類との組み合わせに対応付けて、当該組み合わせが前記検知サーバから通知された場合に制御対象とする転送装置と、前記制御対象に決定された転送装置に対する制御を記憶する
ことを特徴とする付記１〜４のいずれか１項に記載の制御プログラム。
（付記６）
通信端末と、前記通信端末で送受信されるパケットを転送する１つ以上の転送装置とを含むネットワーク中の前記転送装置を制御する制御装置であって、
前記パケットを用いて通信端末の不正な通信を検知する検知サーバから通知される検知情報を受信する受信部と、
前記検知情報から対象の通信端末と前記不正な通信の種類とを解析する解析部と、
解析した対象の通信端末に対応付けられた転送装置を記憶する第１の記憶情報を参照して制御対象の転送装置を決定すると共に、解析された前記不正な通信の種類に対応づけられた制御内容を記憶する第２の記憶情報を参照して制御対象に決定した転送装置に対する制御を決定する決定部と、
前記制御対象に決定された転送装置の種類ごとに、前記制御内容に対応する制御コマンドを記憶する第３の記憶情報から制御コマンドを読み出して生成された制御パケットを、当該転送装置に送信する送信部
を備えることを特徴とする制御装置。
（付記７）
前記対象の通信端末に対する前記制御内容の解除を要求する解除要求を前記受信部が受信すると、前記第３の記憶情報を参照して、前記制御内容の解除に際して前記制御対象の転送装置の各々に適用する制御コマンドを生成すると共に、生成した制御コマンドを含む当該転送装置宛の他の制御パケットを生成する生成部
をさらに備え、
前記送信部は、前記他の制御パケットを送信する
ことを特徴とする付記６に記載の制御装置。
（付記８）
前記受信部は、前記対象の通信端末と前記不正な通信の種類とを通知する通知メール、前記対象の通信端末で行われた通信履歴を表す履歴情報、または前記対象の通信端末と前記不正な通信の種類とを通知する制御情報のいずれかの形式で前記検知情報を受信する
ことを特徴とする付記６または７に記載の制御装置。
（付記９）
前記通知メールに含まれる文字列のうちで前記不正な通信の種類と前記対象の通信端末の通知に使用される領域を特定する第１のテンプレート、前記履歴情報から前記不正な通信の種類と前記対象の通信端末の通知に使用される領域を特定する第２のテンプレート、および、前記制御情報から前記不正な通信の種類と前記対象の通信端末の通知に使用される領域を特定する第３のテンプレートを備え、
前記解析部は、
前記受信部が前記通知メールを受信すると、前記第１のテンプレートを用いて前記不正な通信の種類と前記対象の通信端末を抽出し、
前記受信部が前記履歴情報を受信すると、前記第２のテンプレートを用いて前記不正な通信の種類と前記対象の通信端末を抽出し、
前記受信部が前記制御情報を受信すると、前記第３のテンプレートを用いて前記不正な通信の種類と前記対象の通信端末を抽出する
ことを特徴とする付記８に記載の制御装置。
（付記１０）
前記第１の記憶情報と前記第２の記憶情報とを、前記制御装置により実行される情報を特定する実行テーブルとして記憶する記憶部を備え、
前記実行テーブルは、前記複数の通信端末中の通信端末と前記不正な通信の種類との組み合わせに対応付けて、当該組み合わせが前記検知サーバから通知された場合に制御対象とする転送装置と、前記制御対象に決定された転送装置に対する制御を記憶する
ことを特徴とする付記６〜９のいずれか１項に記載の制御装置。
（付記１１）
通信端末と、前記通信端末で送受信されるパケットを転送する１つ以上の転送装置とを含むネットワーク中の前記転送装置を制御する制御装置が、
前記パケットを用いて通信端末の不正な通信を検知する検知サーバから通知される検知情報を受信し、
前記検知情報から対象の通信端末と前記不正な通信の種類とを解析し、
解析した対象の通信端末に対応付けられた転送装置を記憶する第１の記憶情報を参照して制御対象の転送装置を決定し、
解析された前記不正な通信の種類に対応づけられた制御内容を記憶する第２の記憶情報を参照して制御対象に決定した転送装置に対する制御を決定し、
前記制御対象に決定された転送装置の種類ごとに、前記制御内容に対応する制御コマンドを記憶する第３の記憶情報から制御コマンドを読み出して、当該転送装置に対して制御コマンドを含む制御パケットを送信する
処理を行うことを特徴とする制御方法。
（付記１２）
前記対象の通信端末に対する前記制御内容の解除を要求する解除要求を受信すると、前記第３の記憶情報を参照して、前記制御内容の解除に際して前記制御対象の転送装置の各々に適用する制御コマンドを生成すると共に、当該転送装置に、生成した制御コマンドを含む制御パケットを送信する
処理を前記制御装置が行うことを特徴とする付記１１に記載の制御方法。

２ 検疫サーバ
３ スイッチ
４ ルータ
５ ＷＡＮ
６ インターネット
７ Ｃ＆Ｃサーバ
８ 検知サーバ
１０ 通信端末
２０、７０ 制御装置
２１ 通信部
２２ 受信部
２３ 送信部
３０ 制御部
３１ 解析部
３２ 処理決定部
３３ 通知処理部
４０ コマンド生成部
４１ 設定ブロック
４２ プロトコル処理部
４５、５０ 記憶部
５１、７３ 条件テーブル
５２、７８ テンプレート情報
５３ 装置テーブル
５４ 通知先テーブル
５５ コマンド情報
５６ 隔離状況テーブル
６０、７７ 実行情報データベース
６１、７６ 実行テーブル
７１ テンプレート
７２ 処理条件情報
７５ ポリシーマスタ
１０１ プロセッサ
１０２ メモリ
１０３ 入力装置
１０４ 出力装置
１０５ バス
１０６ 記憶装置
１０７ 可搬記憶媒体駆動装置
１０８ 可搬記憶媒体
１０９ ネットワークインタフェース

Claims (7)

1. 通信端末と、前記通信端末で送受信されるパケットを転送する１つ以上の転送装置とを含むネットワーク中の前記転送装置を制御する制御装置に、
   前記パケットを用いて通信端末の不正な通信を検知する検知サーバから通知される検知情報を受信し、
   前記検知情報から対象の通信端末と前記不正な通信の種類とを解析し、
   解析した対象の通信端末に対応付けられた転送装置を記憶する第１の記憶情報を参照して制御対象の転送装置を決定し、
   解析された前記不正な通信の種類に対応づけられた制御内容を記憶する第２の記憶情報を参照して制御対象に決定した転送装置に対する制御を決定し、
   前記制御対象に決定された転送装置の種類ごとに、前記制御内容に対応する制御コマンドを記憶する第３の記憶情報から制御コマンドを読み出して、当該転送装置に対して制御コマンドを含む制御パケットを送信する
   処理を行わせることを特徴とする制御プログラム。
2. 前記対象の通信端末に対する前記制御内容の解除を要求する解除要求を受信すると、前記第３の記憶情報を参照して、前記制御内容の解除に際して前記制御対象の転送装置の各々に適用する制御コマンドを生成すると共に、当該転送装置に、生成した制御コマンドを含む制御パケットを送信する
   処理を前記制御装置に実行させることを特徴とする請求項１に記載の制御プログラム。
3. 前記検知情報は、前記対象の通信端末と前記不正な通信の種類とを通知する通知メール、前記対象の通信端末で行われた通信履歴を表す履歴情報、または前記対象の通信端末と前記不正な通信の種類とを通知する制御情報のいずれかの形式から選択される
   ことを特徴とする請求項１または２に記載の制御プログラム。
4. 前記通知メールに含まれる文字列のうちで前記不正な通信の種類と前記対象の通信端末の通知に使用される領域を特定する第１のテンプレート、前記履歴情報から前記不正な通信の種類と前記対象の通信端末の通知に使用される領域を特定する第２のテンプレート、および、前記制御情報から前記不正な通信の種類と前記対象の通信端末の通知に使用される領域を特定する第３のテンプレートを含み、
   前記制御装置に、
   前記通知メールを受信すると、前記第１のテンプレートを用いて前記不正な通信の種類と前記対象の通信端末を抽出し、
   前記履歴情報を受信すると、前記第２のテンプレートを用いて前記不正な通信の種類と前記対象の通信端末を抽出し、
   前記制御情報を受信すると、前記第３のテンプレートを用いて前記不正な通信の種類と前記対象の通信端末を抽出する
   処理を行わせることを特徴とする請求項３に記載の制御プログラム。
5. 前記制御プログラムは、前記第１の記憶情報と前記第２の記憶情報とを、前記制御プログラムにより実行される情報を特定する実行テーブルとして備え、
   前記実行テーブルは、前記複数の通信端末中の通信端末と前記不正な通信の種類との組み合わせに対応付けて、当該組み合わせが前記検知サーバから通知された場合に制御対象とする転送装置と、前記制御対象に決定された転送装置に対する制御を記憶する
   ことを特徴とする請求項１〜４のいずれか１項に記載の制御プログラム。
6. 通信端末と、前記通信端末で送受信されるパケットを転送する１つ以上の転送装置とを含むネットワーク中の前記転送装置を制御する制御装置であって、
   前記パケットを用いて通信端末の不正な通信を検知する検知サーバから通知される検知情報を受信する受信部と、
   前記検知情報から対象の通信端末と前記不正な通信の種類とを解析する解析部と、
   解析した対象の通信端末に対応付けられた転送装置を記憶する第１の記憶情報を参照して制御対象の転送装置を決定すると共に、解析された前記不正な通信の種類に対応づけられた制御内容を記憶する第２の記憶情報を参照して制御対象に決定した転送装置に対する制御を決定する決定部と、
   前記制御対象に決定された転送装置の種類ごとに、前記制御内容に対応する制御コマンドを記憶する第３の記憶情報から制御コマンドを読み出して生成された制御パケットを、当該転送装置に送信する送信部
   を備えることを特徴とする制御装置。
7. 通信端末と、前記通信端末で送受信されるパケットを転送する１つ以上の転送装置とを含むネットワーク中の前記転送装置を制御する制御装置が、
   前記パケットを用いて通信端末の不正な通信を検知する検知サーバから通知される検知情報を受信し、
   前記検知情報から対象の通信端末と前記不正な通信の種類とを解析し、
   解析した対象の通信端末に対応付けられた転送装置を記憶する第１の記憶情報を参照して制御対象の転送装置を決定し、
   解析された前記不正な通信の種類に対応づけられた制御内容を記憶する第２の記憶情報を参照して制御対象に決定した転送装置に対する制御を決定し、
   前記制御対象に決定された転送装置の種類ごとに、前記制御内容に対応する制御コマンドを記憶する第３の記憶情報から制御コマンドを読み出して、当該転送装置に対して制御コマンドを含む制御パケットを送信する
   処理を行うことを特徴とする制御方法。