JP2017212696A - 端末隔離通知システム - Google Patents

Abstract

【課題】原因分析に必要な情報が損壊することを防ぎ、マルウェアへの感染が疑われる情報端末を早急に隔離、原因特定を行う。
【解決手段】スイッチ１０は、受信したパケットがＨＴＴＰ要求のパケットおよびＨＴＴＰ応答のパケットのいずれのパケットでもないと判定した場合には、パケットを破棄する。また、スイッチ１０は、受信したパケットがＨＴＴＰ要求のパケットであると判定した場合には、警告サーバ３０にＨＴＴＰ要求のパケットを転送する。警告サーバ３０は、スイッチ１０からＨＴＴＰ要求のパケットを受信した場合には、ＨＴＴＰ応答として、情報端末４０が隔離されたことを報知するための情報をスイッチ１０に返信する。スイッチ１０は、ＨＴＴＰ応答のパケットを情報端末４０に送信する。
【選択図】図１

Description

本発明は、端末隔離通知システムに関する。

Ｏｐｅｎｆｌｏｗなどの、ソフトウェアでネットワークを集中管理・制御するＳＤＮ（Software Defined Networking）を活用し、ＩＤＳ(Intrusion Detection System)などのセキュリティ機器からの情報通知をもとに感染が疑われる端末を動的にネットワークから隔離する技術がある。これらの隔離は、ネットワークを集中管理するコントローラから当該端末の直上のスイッチに対して、当該端末から送信されるパケットおよび当該端末を宛先とするパケットを破棄する設定を施すことで実現できる。

例えば、各情報端末が接続されるスイッチに対し、当該スイッチを流れるパケットをインラインあるいはミラーリングでＩＤＳに監視させ、ＩＤＳからある端末での感染の疑いが報告された場合には、コントローラから当該スイッチに対して当該端末の隔離指示を行うことが知られている（非特許文献１参照）。一般的に、端末隔離後は、セキュリティ専門家が隔離端末を確認し、感染原因の分析を行うことで他の感染端末のあぶりだしや攻撃元ＩＰアドレスの遮断設定をファイアーウォールに施すなどの処理を行われる。

十場裕、黄宏軒、川越恭二、"ネットワーク動的構成による高セキュリティＬＡＮシステムとセキュリティレベルの適応制御"、マルチメディア、分散、協調とモバイルシンポジウム２０１３論文集、２０１３年７月、ｐ．４９３−５００

しかしながら、従来の技術では、隔離された端末の利用者の操作等により原因分析に必要な情報が損壊されてしまい、マルウェアへの感染が疑われる情報端末を早急に隔離、原因特定を行うことができない場合があるという課題があった。例えば、隔離された端末の利用者は、突然ネットワークの疎通性が取れなくなることで混乱し、情報端末の再起動等、原因分析に必要な情報の一部を損壊する不要な操作を行うおそれがある。

上述した課題を解決し、目的を達成するために、本発明の端末隔離通知システムは、感染疑いのある情報端末と、警告サーバと、スイッチとから構成されるシステムであって、前記スイッチは、前記情報端末を宛先または送信元とするパケットを受信した場合には、該パケットがＨＴＴＰ要求のパケットまたはＨＴＴＰ応答のパケットであるか否かを判定する判定部と、前記判定部によって受信したパケットがＨＴＴＰ要求のパケットおよびＨＴＴＰ応答のパケットのいずれのパケットでもないと判定された場合には、前記パケットを破棄する破棄部と、前記判定部によって受信したパケットがＨＴＴＰ要求のパケットであると判定された場合には、前記警告サーバに前記ＨＴＴＰ要求のパケットを転送する転送部と、前記判定部によって受信したパケットがＨＴＴＰ応答のパケットであると判定された場合には、前記ＨＴＴＰ応答のパケットを前記情報端末に送信する送信部と、を備え、前記警告サーバは、前記スイッチから前記ＨＴＴＰ要求のパケットを受信した場合には、前記ＨＴＴＰ応答として、前記情報端末が隔離されたことを報知するための情報を前記スイッチに返信する返信部を備えることを特徴とする。

本発明によれば、原因分析に必要な情報が損壊することを防ぎ、マルウェアへの感染が疑われる情報端末を早急に隔離、原因特定を行うことができるという効果を奏する。

図１は、第一の実施の形態に係る端末隔離通知システムの全体構成を示す概略構成図である。 図２は、第一の実施の形態に係るスイッチの構成を示すブロック図である。 図３は、フローエントリ記憶部に記憶される情報の一例を示す図である。 図４は、情報端末に対して隔離メッセージを通知する処理を説明する図である。 図５は、第一の実施の形態に係るコントローラの構成を示すブロック図である。 図６は、第一の実施の形態に係る警告サーバの構成を示すブロック図である。 図７は、第一の実施の形態に係る端末隔離通知システムによる処理を説明するシーケンス図である。 図８は、第一の実施の形態に係る端末隔離通知システムによる処理を説明するシーケンス図である。 図９は、第二の実施の形態に係る端末隔離通知システムの全体構成を示す概略構成図である。 図１０は、第二の実施の形態に係る端末隔離通知システムによる処理を説明するシーケンス図である。 図１１は、第三の実施の形態に係る端末隔離通知システムの全体構成を示す概略構成図である。 図１２は、第三の実施の形態に係る端末隔離通知システムによる処理を説明するシーケンス図である。 図１３は、第四の実施の形態に係る端末隔離通知システムの全体構成を示す概略構成図である。 図１４は、第四の実施の形態に係る端末隔離通知システムによる処理を説明するシーケンス図である。 図１５は、第五の実施の形態に係る端末隔離通知システムの全体構成を示す概略構成図である。 図１６は、第五の実施の形態に係る端末隔離通知システムによる処理を説明するシーケンス図である。 図１７は、第六の実施の形態に係る端末隔離通知システムの全体構成を示す概略構成図である。 図１８は、第六の実施の形態に係る端末隔離通知システムによる処理を説明するシーケンス図である。 図１９は、第七の実施の形態に係る端末隔離通知システムの全体構成を示す概略構成図である。 図２０は、第七の実施の形態に係るスイッチの構成を示すブロック図である。 図２１は、第七の実施の形態に係る端末隔離通知システムによる処理を説明するシーケンス図である。 図２２は、端末隔離通知プログラムを実行するコンピュータを示す図である。

以下に、本願に係る端末隔離通知システムの実施の形態を図面に基づいて詳細に説明する。なお、この実施の形態により本願に係る端末隔離通知システムが限定されるものではない。

［第一の実施の形態］
以下の実施の形態では、第一の実施の形態に係る端末隔離通知システム１００の構成、スイッチ１０の構成、コントローラ２０の構成、警告サーバ３０の構成、端末隔離通知システム１００の処理の流れを順に説明し、最後に第一の実施の形態による効果を説明する。

［第一の実施の形態に係る端末隔離通知システムの構成］
まず、図１を用いて、第一の実施の形態に係る端末隔離通知システム１００について説明する。図１は、第一の実施の形態に係る端末隔離通知システムの全体構成を示す概略構成図である。

図１に示すように、端末隔離通知システム１００は、複数のスイッチ１０Ａ、１０Ｂ、コントローラ２０、警告サーバ３０および情報端末４０を有する。なお、各スイッチ１０Ａ、１０Ｂは、同様の構成を有しており、特に区別なく説明する場合には、スイッチ１０と記載する。また、図１の例では、スイッチ１０が２台であるが、これに限定されるものではなく、スイッチ１０は１台であってもよいし３台以上であってもよい。また、図１の例では、コントローラ２０、警告サーバ３０および情報端末４０がそれぞれ１台であるが、これに限定されるものではなく、コントローラ２０、警告サーバ３０および情報端末４０が複数であってもよい。なお、図１の例では、スイッチ１０が２台であるが、説明を簡略化するために、スイッチ１０が１台である場合を例として適宜説明する。

スイッチ１０Ａ、１０Ｂは、ＯｐｅｎＦｌｏｗ（例えば、「https://www.opennetworking.org/」参照）対応スイッチである。スイッチ１０Ａ、１０Ｂは、コントローラ２０により設定されたフローエントリを記憶する。フローエントリは、特定の条件を示すマッチ部と条件を満たした場合に実行されるアクションとで構成される。スイッチ１０Ａ、１０Ｂは、受信したパケットがマッチ部で指定された特定の条件を満たす場合に、指定されたアクションを実行する。

コントローラ２０は、ＯｐｅｎＦｌｏｗ対応コントローラである。コントローラ２０は、各スイッチ１０Ａ、１０Ｂの制御を動的に行う。例えば、コントローラ２０は、スイッチ１０、１０Ｂに対してフローエントリの追加、修正、削除の設定を行う。

警告サーバ３０は、情報端末４０が隔離されたことを報知するための情報を情報端末４０に表示させる。例えば、警告サーバ３０は、どのようなＨＴＴＰ要求に対しても、隔離メッセージを表示させるＨＴＴＰ応答を返信する。また、警告サーバ３０は、どのようなＨＴＴＰ要求に対しても、隔離メッセージを表示させる警告ページにリダイレクトさせるＨＴＴＰ応答を返信するようにしてもよい。

情報端末４０は、パーソナルコンピュータ、タブレット型ＰＣ（Personal Computer）やスマートフォンなどの情報処理装置である。ここで、情報端末４０は、感染の疑いがあることが事前に判明しており、ネットワークから隔離されるものとする。なお、感染の疑いがある情報端末４０として、適宜「端末Ａ」と記載する。

［スイッチの構成］
次に、図２を用いて、図１に示したスイッチ１０の構成を説明する。図２は、第一の実施の形態に係るスイッチの構成を示すブロック図である。図２に示すように、このスイッチ１０は、通信処理部１１、制御部１２、記憶部１３を有する。以下にこれらの各部の処理を説明する。

通信処理部１１は、コントローラ２０や情報端末４０との間でやり取りする各種情報に関する通信を制御する。例えば、通信処理部１１は、コントローラ２０からフローエントリの設定指示を受け付ける。また、通信処理部１１は、情報端末４０から送信されたパケットまたは情報端末４０へ送信されたパケットを受信する。

また、記憶部１３は、制御部１２による各種処理に必要なデータおよびプログラムを格納するが、特に本発明に密接に関連するものとしては、フローエントリ記憶部１３ａを有する。例えば、記憶部１３は、ＲＡＭ（Random Access Memory）、フラッシュメモリ（Flash Memory）等の半導体メモリ素子、又は、ハードディスク、光ディスク等の記憶装置などである。

フローエントリ記憶部１３ａは、マッチ部とアクションと優先度とを対応付けて記憶する。ここでマッチ部とは、例えば、５−ｔｕｐｌｅ（ＩＰヘッダのプロトコル番号や送信元ＩＰアドレス、宛先ＩＰアドレス、ＴＣＰ／ＵＤＰヘッダの送信元ポート番号や宛先ポート番号）やＬ２以下の情報（送信元ＭＡＣアドレス・宛先ＭＡＣアドレス、パケットを受信した物理ポート）などが指定されることでマッチするパケットの条件が記述されたものである。また、アクションとは、例えば、マッチ部で該当するパケットについて、特定ポートから転送、コントローラ２０に転送、パケットの中身を書き換えてから転送、廃棄するなどの処理が指定されたものである。また、優先度とは、パケットが複数のフローエントリのマッチ部にマッチする場合に、優先されるフローエントリを指定するものである。なお、パケットが複数のフローエントリのマッチ部にマッチする場合には、マッチするフローエントリのなかで最も優先度の高いフローエントリのアクションで処理される。以下の例では、優先度の値が大きいフローエントリほど優先されるものとし、例えば、優先度「１０」と優先度「２０」では、値が大きい「２０」のフローエントリが優先されるものとする。

図３は、フローエントリ記憶部に記憶される情報の一例を示す図である。図３の例を挙げて説明すると、例えば、フローエントリ記憶部１３ａは、マッチ部「送信元：端末Ａ」と、アクション「パケットを廃棄」と、優先度「１０」とが対応付けて記憶されている。また、フローエントリ記憶部１３ａは、マッチ部「送信先：端末Ａ」と、アクション「パケットを廃棄」と、優先度「１０」とが対応付けて記憶されている。これは、スイッチ１０が、端末Ａを送信元とするパケットまたは送信先とするパケットを受信した場合には、パケットを廃棄することを意味する。なお、端末Ａを送信元とするパケットまたは送信先とするパケットであるかは、例えば、ＭＡＣアドレスで特定することができ、マッチ部に端末ＡのＭＡＣアドレスを規定してもよい。

制御部１２は、各種の処理手順などを規定したプログラムおよび所要データを格納するための内部メモリを有し、これらによって種々の処理を実行するが、特に本発明に密接に関連するものとしては、設定受付部１２ａ、判定部１２ｂ、破棄部１２ｃ、転送部１２ｄおよび送信部１２ｅを有する。ここで、制御部１２は、ＣＰＵ（Central Processing Unit）やＭＰＵ（Micro Processing Unit）などの電子回路やＡＳＩＣ（Application Specific Integrated Circuit）やＦＰＧＡ（Field Programmable Gate Array）などの集積回路である。

設定受付部１２ａは、コントローラ１０からのフローエントリに関する設定を受け付け、受け付けた設定に応じて、フローエントリ記憶部１３ａに記憶されたフローエントリを更新する。例えば、設定受付部１２ａは、コントローラ１０からのフローエントリに関する設定として、フローエントリの追加、変更または削除の指示を受け付ける。

図３の例を挙げて説明すると、例えば、設定受付部１２ａは、事前の設定として、端末Ａを宛先とするパケットを廃棄するフローエントリおよび端末Ａを送信元とするパケットを廃棄するフローエントリがともに優先度１０で設定されているものとする。また、設定受付部１２ａは、事前の設定として、端末Ａから正規ＤＮＳサーバ（図示せず）に送信されたＤＮＳ要求については通常通り転送するフローエントリ、および、正規ＤＮＳサーバから端末Ａに送信されたＤＮＳ応答については通常通り転送するフローエントリがともに優先度２０で設定されているものとする。また、設定受付部１２ａは、事前の設定として、端末Ａから送信されたＨＴＴＰ要求についてはコントローラ２０に転送するフローエントリが優先度２０で設定されているものとする。

判定部１２ｂは、パケットを受信した場合に、フローエントリ記憶部１３ａに記憶されたフローエントリを参照し、各フローエントリのマッチ部にマッチするか否かをそれぞれ判定する。なお、複数のフローエントリのマッチ部にマッチする場合には、優先度が高く設定されたフローエントリが優先される。

具体的には、判定部１２ｂは、情報端末４０を宛先または送信元とするパケットを受信した場合には、該パケットがＨＴＴＰ要求のパケットまたはＨＴＴＰ応答のパケットであるか否かを判定する。例えば、判定部１２ｂは、パケットを受信した場合に、該パケットの送信元ＭＡＣアドレスと宛先ＭＡＣアドレスを取得し、該送信元ＭＡＣアドレスと宛先ＭＡＣアドレスから情報端末４０を宛先または送信元とするパケットであるかを判定する。該パケットがＨＴＴＰ要求であるかどうかの判定は、例えば、該パケットのＩＰヘッダのプロトコル番号が６であり、かつ、ＴＣＰヘッダの宛先ポートが８０番であればＨＴＴＰ要求であり、そうでなければＨＴＴＰ要求ではないと判定することができる。同様に、該パケットがＨＴＴＰ応答であるかどうかの判定は、例えば、該パケットのＩＰヘッダのプロトコル番号が６であり、かつ、ＴＣＰヘッダの送信元ポート番号が８０番であればＨＴＴＰ応答であり、そうでなければＨＴＴＰ応答ではないと判定することができる。

破棄部１２ｃは、判定部１２ｂによって受信した情報端末４０を宛先または送信元とするパケットがＨＴＴＰ要求のパケットおよびＨＴＴＰ応答のパケットのいずれのパケットでもないと判定された場合には、パケットを破棄する。つまり、図３に例示されているように、端末Ａを送信元とするパケットまたは送信先とするパケットを受信した場合には、パケットを廃棄するフローエントリが設定されており、フローエントリに従ってパケットを破棄する。

転送部１２ｄは、判定部１２ｂによって受信したパケットがＨＴＴＰ要求のパケットであると判定された場合には、警告サーバ３０にＨＴＴＰ要求のパケットを転送する。例えば、転送部１２ｄは、判定部１２ｂによって受信したパケットがＨＴＴＰ要求のパケットであると判定された場合には、当該パケットの宛先ＩＰアドレスを警告サーバ３０のＩＰアドレスに書き換えて警告サーバ３０に転送する。

具体的には、まず、転送部１２ｄは、端末Ａを送信元とするパケットであって、且つ、ＨＴＴＰ要求のパケットである場合には、コントローラ２０に転送する。そして、ＨＴＴＰ要求のパケットを転送した後、コントローラ２０により、端末Ａから送信されたＩＰ＿ｄｓｔ宛のＨＴＴＰ要求については、宛先ＩＰアドレスと宛先ＭＡＣアドレスをそれぞれ警告サーバのＩＰアドレスとＭＡＣアドレスに書き換えた上で転送するフローエントリが優先度３０で設定される。また、コントローラ２０により、警告サーバ３０から端末Ａに送信されたＨＴＴＰ応答は送信元ＩＰアドレスと送信元ＭＡＣアドレスをそれぞれＩＰ＿ｄｓｔとＭＡＣ＿ｄｓｔに書き換えた上で端末Ａの接続するポートに転送するフローエントリが優先度３０で設定される。なお、このような設定は、上述の設定受付部１２ａが設定の指示を受け付けてフローエントリ記憶部１３ａにフローエントリを追加することで行われる。

上記の設定が行われた後、転送部１２ｄは、コントローラ２０に転送したＨＴＴＰ要求のパケットを、コントローラ２０から受信する。そして、転送部１２は、フローエントリを参照し、宛先ＩＰアドレスと宛先ＭＡＣアドレスをそれぞれ警告サーバのＩＰアドレスとＭＡＣアドレスに書き換えた上で警告サーバ３０にＨＴＴＰ要求を転送する。

送信部１２ｅは、判定部１２ｂによって受信したパケットがＨＴＴＰ応答のパケットであると判定された場合には、ＨＴＴＰ応答のパケットを情報端末４０に送信する。例えば、送信部１２ｅは、判定部１２ｂによって受信したパケットがＨＴＴＰ応答であると判定された場合には、当該パケットの送信元ＩＰアドレスをＨＴＴＰ要求の書換え前の宛先ＩＰアドレスに書き換えて情報端末に送信する。具体的には、送信部１２ｅは、警告サーバ３０から端末Ａに送信されたＨＴＴＰ応答を受信すると、フローエントリを参照し、送信元ＩＰアドレスと送信元ＭＡＣアドレスをそれぞれＩＰ＿ｄｓｔとＭＡＣ＿ｄｓｔに書き換えた上で端末Ａの接続するポートに転送する。

ここで、図４を用いて、情報端末４０に対して隔離メッセージを通知する処理の概要を説明する。図４は、情報端末に対して隔離メッセージを通知する処理を説明する図である。図４に例示するように、コントローラ２０は、ＨＴＴＰ要求またはＨＴＴＰ応答以外の情報端末４０を宛先または送信元とするパケットを破棄するようにフローエントリをスイッチ１０に対して設定する。これにより、スイッチ１０は、ＨＴＴＰ要求またはＨＴＴＰ応答以外の情報端末４０を宛先または送信元とするパケットを受信した場合には、パケットを破棄するので、感染が疑われる情報端末４０を隔離することができる。

そして、スイッチ１０は、情報端末４０からＨＴＴＰ要求のパケットを受信した場合には、警告サーバ３０に転送し、隔離メッセージを表示させる応答パケットを警告サーバ３０から受信した場合には、情報端末４０に送信する。これにより、情報端末４０の隔離後、当該情報端末４０のモニタ上に隔離メッセージ（当該端末がマルウェア感染の疑いにより隔離されたことおよび当該端末への一切の操作を禁じるなど）を表示させることができる。このため、感染が疑われる情報端末４０のユーザが、端末隔離後にすみやかに隔離メッセージを確認することで、後の原因分析に必要な情報を損壊することを防ぐ。また、隔離メッセージを表示させるにあたって許可する通信は、通信先および通信プロトコルを最小限に限定することで、ネットワークのセキュリティを担保する。

［コントローラ２０の構成］
次に、図５を用いて、図１に示したコントローラ２０の構成を説明する。図５は、第一の実施の形態に係るコントローラの構成を示すブロック図である。図５に示すように、このコントローラ２０は、通信処理部２１、制御部２２、記憶部２３を有する。以下にこれらの各部の処理を説明する。

通信処理部２１は、スイッチ１０との間でやり取りする各種情報に関する通信を制御する。例えば、通信処理部２１は、スイッチ１０に対してフローエントリの設定指示を通知する。また、記憶部２３は、制御部２２による各種処理に必要なデータおよびプログラムを格納する。

制御部２２は、各種の処理手順などを規定したプログラムおよび所要データを格納するための内部メモリを有し、これらによって種々の処理を実行するが、特に本発明に密接に関連するものとしては、事前設定部２２ａおよび追加設定部２２ｂを有する。

事前設定部２２ａは、感染が疑われる情報端末４０に対するネットワーク管理者等からの隔離指示を契機に、情報端末４０に接続するスイッチ１０に対してフローエントリの設定を指示する。例えば、事前設定部２２ａは、端末Ａを宛先とするパケットを廃棄するフローエントリおよび端末Ａを送信元とするパケットを廃棄するフローエントリをともに優先度１０で設定する。また、設定受付部１２ａは、端末Ａから正規ＤＮＳサーバ（図示せず）に送信されたＤＮＳ要求については通常通り転送するフローエントリ、および、正規ＤＮＳサーバから端末Ａに送信されたＤＮＳ応答については通常通り転送するフローエントリをともに優先度２０で設定する。また、事前設定部２２ａは、端末Ａから送信されたＨＴＴＰ要求についてはコントローラ２０に転送するフローエントリを優先度２０で設定する。

追加設定部２２ｂは、ＨＴＴＰ要求のパケットを受信すると、スイッチ１０に対してフローエントリを追加設定する。例えば、追加設定部２２ｂは、情報端末４０から送信されたＨＴＴＰ要求のパケットをスイッチ１０から受信した場合には、端末Ａから送信されたＩＰ＿ｄｓｔ宛のＨＴＴＰ要求については、宛先ＩＰアドレスと宛先ＭＡＣアドレスをそれぞれ警告サーバのＩＰアドレスとＭＡＣアドレスに書き換えた上で転送するフローエントリを優先度３０で設定する。また、追加設定部２２ｂは、警告サーバ３０から端末Ａに送信されたＨＴＴＰ応答は送信元ＩＰアドレスと送信元ＭＡＣアドレスをそれぞれＩＰ＿ｄｓｔとＭＡＣ＿ｄｓｔに書き換えた上で端末Ａの接続するポートに転送するフローエントリを優先度３０で設定する。また、追加設定部２２ｂは、上記の設定を行った後、ＨＴＴＰ要求のパケットをスイッチ１０に送信する。

［警告サーバ３０の構成］
次に、図６を用いて、図１に示した警告サーバ３０の構成を説明する。図６は、第一の実施の形態に係る警告サーバの構成を示すブロック図である。図６に示すように、この警告サーバ３０は、通信処理部３１、制御部３２、記憶部３３を有する。以下にこれらの各部の処理を説明する。

通信処理部３１は、スイッチ１０との間でやり取りする各種情報に関する通信を制御する。例えば、通信処理部３１は、スイッチ１０からＨＴＴＰ要求のパケットを受信する。また、通信処理部３１は、スイッチ１０に対してＨＴＴＰ応答のパケットを送信する。また、記憶部３３は、制御部３２による各種処理に必要なデータおよびプログラムを格納する。

制御部３２は、各種の処理手順などを規定したプログラムおよび所要データを格納するための内部メモリを有し、これらによって種々の処理を実行するが、特に本発明に密接に関連するものとしては、設定受付部３２ａおよび返信部３２ｂを有する。

設定受付部３２ａは、各種設定を受け付ける。例えば、設定受付部３２ａは、警告サーバ３０はどのようなＨＴＴＰ要求に対しても隔離メッセージを表示させるＨＴＴＰ応答を返すように設定されている。なお、設定受付部３２ａは、警告サーバはどのようなＨＴＴＰ要求に対しても、隔離メッセージを表示させる警告ページにリダイレクトさせるＨＴＴＰ応答を返すように設定されてもよい。

返信部３２ｂは、スイッチ１０からＨＴＴＰ要求のパケットを受信した場合には、ＨＴＴＰ応答として、情報端末４０が隔離されたことを報知するための情報をスイッチ１０に返信する。具体的には、返信部３２ｂは、スイッチ１０からＨＴＴＰ要求のパケットを受信した場合には、情報端末４０が隔離されたことを報知するメッセージをスイッチ１０に返信する。また、返信部３２ｂは、スイッチ１０からＨＴＴＰ要求のパケットを受信した場合には、情報端末４０が隔離されたことを報知するメッセージを表示させる警告ページにリダイレクトさせるＨＴＴＰ応答を返信する。

［端末隔離通知システムの処理の一例］
次に、図７を用いて、第一の実施の形態に係る端末隔離通知システム１００の処理例について説明する。図７は、第一の実施の形態に係る端末隔離通知システムによる処理を説明するシーケンス図である。

図７に示すように、端末隔離通知システム１００におけるコントローラ２０は、感染が疑われる情報端末４０に対するネットワーク管理者等からの隔離指示を契機に、情報端末４０に接続するスイッチ１０に対してフローエントリの設定を指示する（ステップＳ１０１）。例えば、事前設定部２２ａは、端末Ａを宛先とするパケットを廃棄するフローエントリおよび端末Ａを送信元とするパケットを廃棄するフローエントリをともに優先度１０で設定する。また、事前設定部２２ａは、端末Ａから送信されたＨＴＴＰ要求についてはコントローラ２０に転送するフローエントリを優先度２０で設定する。また、事前設定部２２ａは、端末Ａを送信元とし正規ＤＮＳサーバを宛先とするＤＮＳ要求を通常通り転送するフローエントリ、および、正規ＤＮＳサーバを送信元とし端末Ａを宛先とするパケットを通常通り転送するフローエントリをともに優先度２０で設定する。

その後、情報端末４０がＨＴＴＰ要求のパケットおよびＨＴＴＰ応答のパケットのいずれのパケットでもないパケットを送信すると（ステップＳ１０２）、スイッチ１０は、フローエントリに従って、このパケットを破棄する（ステップＳ１０３）。なお、ＨＴＴＰ要求に先立ち、情報端末４０がＤＮＳ要求を正規ＤＮＳサーバに送信することがあるが、このＤＮＳ要求および該ＤＮＳサーバからのＤＮＳ応答はフローエントリにしたがって通常通りにそれぞれ正規ＤＮＳサーバおよび情報端末４０に転送される。

また、情報端末４０がＨＴＴＰ要求のパケットを送信すると（ステップＳ１０４）、スイッチ１０は、フローエントリに従って、このパケットをコントローラ２０に転送する（ステップＳ１０５）。

コントローラ２０は、ＨＴＴＰ要求のパケットを受信すると、スイッチ１０に対してフローエントリを追加設定する（ステップＳ１０６）。例えば、コントローラ２０は、情報端末４０から送信されたＨＴＴＰ要求のパケットをスイッチ１０から受信した場合には、端末Ａから送信されたＩＰ＿ｄｓｔ宛のＨＴＴＰ要求については、宛先ＩＰアドレスと宛先ＭＡＣアドレスをそれぞれ警告サーバのＩＰアドレスとＭＡＣアドレスに書き換えた上で転送するフローエントリを優先度３０で設定する。また、コントローラ２０は、警告サーバ３０から端末Ａに送信されたＨＴＴＰ応答は送信元ＩＰアドレスと送信元ＭＡＣアドレスをそれぞれＩＰ＿ｄｓｔとＭＡＣ＿ｄｓｔに書き換えた上で端末Ａの接続するポートに転送するフローエントリを優先度３０で設定する。

そして、コントローラ２０は、ＨＴＴＰ要求のパケットをスイッチ１０に送信する（ステップＳ１０７）。続いて、スイッチ１０は、宛先アドレスを警告サーバ３０のアドレスに書き換えて（ステップＳ１０８）、ＨＴＴＰ要求のパケットを警告サーバ３０に送信する（ステップＳ１０９）。例えば、スイッチ１０は、フローエントリを参照し、宛先ＩＰアドレスと宛先ＭＡＣアドレスをそれぞれ警告サーバのＩＰアドレスとＭＡＣアドレスに書き換えた上で警告サーバ３０にＨＴＴＰ要求のパケットを転送する。

続いて、警告サーバ３０は、スイッチ１０からＨＴＴＰ要求のパケットを受信した場合には、ＨＴＴＰ応答として、情報端末４０が隔離されたことを報知するための情報をスイッチ１０に返信する（ステップＳ１１０）。具体的には、警告サーバ３０は、スイッチ１０からＨＴＴＰ要求のパケットを受信した場合には、情報端末４０が隔離されたことを報知するメッセージをスイッチ１０に返信する。

その後、スイッチ１０は、宛先アドレスを情報端末４０のアドレスに書き換えて（ステップＳ１１１）、ＨＴＴＰ応答のパケットを情報端末４０に転送する（ステップＳ１１２）。具体的には、スイッチ１０は、警告サーバ３０から端末Ａに送信されたＨＴＴＰ応答を受信すると、フローエントリを参照し、送信元ＩＰアドレスと送信元ＭＡＣアドレスをそれぞれＩＰ＿ｄｓｔとＭＡＣ＿ｄｓｔに書き換えた上で端末Ａの接続するポートに転送する。なお、一般にＨＴＴＰ要求およびＨＴＴＰ応答は複数のパケットで構成されるため、その後、端末Ａと警告サーバ３０間でＨＴＴＰ要求とＨＴＴＰ応答の送受信がある（図示省略）。その後も、端末Ａが送信するＨＴＴＰ要求は上記の処理と同様に宛先ＩＰアドレスと宛先ＭＡＣアドレスを書き換えられて警告サーバ３０に転送され、警告サーバ３０が送信するＨＴＴＰ応答は送信元ＩＰアドレスと送信元ＭＡＣアドレスを書き換えられて端末Ａに転送される。そして、ＨＴＴＰ応答を構成する全パケットを情報端末４０が受信すると、情報端末４０は、隔離メッセージを表示する（ステップＳ１１３）。

上述の図７の説明では、警告サーバ３０はＨＴＴＰ要求に対しても隔離メッセージを表示させるＨＴＴＰ応答を返す場合を説明したが、警告サーバはどのようなＨＴＴＰ要求に対しても、隔離メッセージを表示させる警告ページにリダイレクトさせるＨＴＴＰ応答を返すようにしてもよい。そこで、図８を用いて、隔離メッセージを表示させる警告ページにリダイレクトさせるＨＴＴＰ応答を返す場合について説明する。図８は、第一の実施の形態に係る端末隔離通知システムによる処理を説明するシーケンス図である。なお、図７と同様の処理は適宜省略して説明する。

図８に示すように、端末隔離通知システム１００におけるコントローラ２０は、感染が疑われる情報端末４０に対するネットワーク管理者等からの隔離指示を契機に、情報端末４０に接続するスイッチ１０に対してフローエントリの設定を指示する（ステップＳ２０１）。例えば、事前設定部２２ａは、端末Ａを宛先とするパケットを廃棄するフローエントリおよび端末Ａを送信元とするパケットを廃棄するフローエントリをともに優先度１０で設定する。また、事前設定部２２ａは、端末Ａから送信されたＨＴＴＰ要求についてはコントローラ２０に転送するフローエントリを優先度２０で設定する。さらに、事前設定部２２ａは、情報端末４０から警告サーバ３０宛に送信されたＨＴＴＰ要求および警告サーバ３０から情報端末４０に送信されたＨＴＴＰ応答については、通常通り転送するフローエントリを優先度４０で設定する。

その後、情報端末４０がＨＴＴＰ要求のパケットおよびＨＴＴＰ応答のパケットのいずれのパケットでもないパケットを送信すると（ステップＳ２０２）、スイッチ１０は、フローエントリに従って、このパケットを破棄する（ステップＳ２０３）。

また、情報端末４０がＨＴＴＰ要求のパケットを送信すると（ステップＳ２０４）、スイッチ１０は、フローエントリに従って、このパケットをコントローラ２０に転送する（ステップＳ２０５）。そして、コントローラ２０は、ＨＴＴＰ要求のパケットを受信すると、スイッチ１０に対してフローエントリを追加設定する（ステップＳ２０６）。

そして、コントローラ２０は、ＨＴＴＰ要求のパケットをスイッチ１０に送信する（ステップＳ２０７）。続いて、スイッチ１０は、宛先アドレスを警告サーバ３０のアドレスに書き換えて（ステップＳ２０８）、ＨＴＴＰ要求のパケットを警告サーバ３０に送信する（ステップＳ２０９）。

続いて、警告サーバ３０は、スイッチ１０からＨＴＴＰ要求のパケットを受信した場合には、ＨＴＴＰ応答として、情報端末４０が隔離されたことを報知するための情報をスイッチ１０に返信する（ステップＳ２１０）。具体的には、警告サーバ３０は、スイッチ１０からＨＴＴＰ要求のパケットを受信した場合には、情報端末４０が隔離されたことを報知するメッセージを表示させる警告ページにリダイレクトさせるＨＴＴＰ応答を返信する。

その後、スイッチ１０は、宛先アドレスを情報端末４０のアドレスに書き換えて（ステップＳ２１１）、ＨＴＴＰ応答のパケットを情報端末４０に転送する（ステップＳ２１２）。そして、情報端末４０は、隔離メッセージを表示させる警告ページにリダイレクトして隔離メッセージを表示する（ステップＳ２１３）。

［第一の実施の形態の効果］
このように、第一の実施の形態に係る端末隔離通知システム１００では、スイッチ１０は、受信したパケットがＨＴＴＰ要求のパケットおよびＨＴＴＰ応答のパケットのいずれのパケットでもないと判定した場合には、パケットを破棄する。また、スイッチ１０は、受信したパケットがＨＴＴＰ要求のパケットであると判定した場合には、警告サーバ３０にＨＴＴＰ要求のパケットを転送する。警告サーバ３０は、スイッチ１０からＨＴＴＰ要求のパケットを受信した場合には、ＨＴＴＰ応答として、情報端末４０が隔離されたことを報知するための情報をスイッチ１０に返信する。スイッチ１０は、ＨＴＴＰ応答のパケットを情報端末４０に送信する。このため、原因分析に必要な情報が損壊することを防ぎ、マルウェアへの感染が疑われる情報端末を早急に隔離、原因特定を行うことが可能である。

つまり、例えば、隔離指示を契機にして、スイッチ１０に対して動的にパケットの廃棄ルールおよび転送ルールを設定することで、隔離対象の情報端末４０に対して隔離メッセージ表示に必要な最小限の機器に最小限のプロトコルでの通信を許可しつつ、それ以外の全通信を遮断する。このように、隔離メッセージを表示させるにあたって許可する通信は、通信先および通信プロトコルを最小限に限定することで、ネットワークのセキュリティを担保することができる。また、感染が疑われる情報端末４０のユーザが、端末隔離後にすみやかに隔離メッセージを確認することで、後の原因分析に必要な情報を損壊することを防ぐ。

［第二の実施の形態］
上述した第一の実施の形態では、感染疑いがある情報端末４０が警告サーバ３０と同一セグメントに存在する場合を説明したが、感染疑いがある情報端末４０と警告サーバ３０が異なるセグメントに存在していてもよい。以下の第二の実施形態では、感染疑いがある情報端末４０と警告サーバ３０が異なるセグメントに存在する端末隔離通知システム１００Ａについて説明する。なお、第一の実施の形態と同様の構成および処理については適宜説明を省略する。

まず、図９を用いて、第二の実施の形態に係る端末隔離通知システム１００Ａについて説明する。図９は、第二の実施の形態に係る端末隔離通知システムの全体構成を示す概略構成図である。図９に示すように、端末隔離通知システム１００Ａは、複数のスイッチ１０Ａ、１０Ｂ、コントローラ２０、警告サーバ３０、情報端末４０およびルータ５０を有する。ルータ５０は、情報端末４０のゲートウェイルータであるものとする。なお、以下では、情報端末４０が存在するセグメントをセグメントＳ＿Ａと記載する。

コントローラ２０の追加設定部２２ｂは、ＨＴＴＰ要求のパケットを受信すると、スイッチ１０に対してフローエントリを追加設定する。ここで、第二の実施の形態では、追加設定部２２ｂは、情報端末４０から送信されたＨＴＴＰ要求のパケットをスイッチ１０から受信した場合には、端末Ａから送信されたＩＰ＿ｄｓｔ宛のＨＴＴＰ要求については、宛先ＩＰアドレスと宛先ＭＡＣアドレスをそれぞれ警告サーバのＩＰアドレスとルータ５０のセグメントＳ＿Ａへの接続ポートへのＭＡＣアドレスに書き換えた上で転送するフローエントリを優先度３０で設定する。また、追加設定部２２ｂは、ＨＴＴＰ要求のパケットを受信すると、第一の実施の形態と同様に、警告サーバ３０から端末Ａに送信されたＨＴＴＰ応答は送信元ＩＰアドレスと送信元ＭＡＣアドレスをそれぞれＩＰ＿ｄｓｔとＭＡＣ＿ｄｓｔに書き換えた上で端末Ａの接続するポートに転送するフローエントリを優先度３０で設定する。

次に、図１０を用いて、第二の実施の形態に係る端末隔離通知システム１００Ａの処理例について説明する。図１０は、第二の実施の形態に係る端末隔離通知システムによる処理を説明するシーケンス図である。

端末隔離通知システム１００Ａにおけるコントローラ２０は、感染が疑われる情報端末４０に対するネットワーク管理者等からの隔離指示を契機に、情報端末４０に接続するスイッチ１０に対してフローエントリの設定を指示する（ステップＳ３０１）。

その後、情報端末４０がＨＴＴＰ要求のパケットおよびＨＴＴＰ応答のパケットのいずれのパケットでもないパケットを送信すると（ステップＳ３０２）、スイッチ１０は、フローエントリに従って、このパケットを破棄する（ステップＳ３０３）。

また、情報端末４０がＨＴＴＰ要求のパケットを送信すると（ステップＳ３０４）、スイッチ１０は、フローエントリに従って、このパケットをコントローラ２０に転送する（ステップＳ３０５）。そして、コントローラ２０は、ＨＴＴＰ要求のパケットを受信すると、スイッチ１０に対してフローエントリを追加設定する（ステップＳ３０６）。例えば、コントローラ２０は、情報端末４０から送信されたＨＴＴＰ要求のパケットをスイッチ１０から受信した場合には、端末Ａから送信されたＩＰ＿ｄｓｔ宛のＨＴＴＰ要求については、宛先ＩＰアドレスと宛先ＭＡＣアドレスをそれぞれ警告サーバのＩＰアドレスとルータ５０のセグメントＳ＿Ａへの接続ポートへのＭＡＣアドレスに書き換えた上で転送するフローエントリを優先度３０で設定する。

そして、コントローラ２０は、ＨＴＴＰ要求のパケットをスイッチ１０に送信する（ステップＳ３０７）。続いて、スイッチ１０は、宛先ＩＰアドレスを警告サーバ３０のＩＰアドレスに書き換え、宛先ＭＡＣアドレスをルータ５０のセグメントＳ＿Ａへの接続ポートのＭＡＣアドレスに書き換えて（ステップＳ３０８）、ルータ５０を介して、ＨＴＴＰ要求のパケットを警告サーバ３０に送信する（ステップＳ３０９、Ｓ３１０）。

続いて、警告サーバ３０は、スイッチ１０からＨＴＴＰ要求のパケットを受信した場合には、ＨＴＴＰ応答として、情報端末４０が隔離されたことを報知するための情報をルータ５０を介して、スイッチ１０に返信する（ステップＳ３１１、Ｓ３１２）。

その後、スイッチ１０は、宛先アドレスを情報端末４０のアドレスに書き換えて（ステップＳ３１３）、ＨＴＴＰ応答のパケットを情報端末４０に転送する（ステップＳ３１４）。そして、情報端末４０は、隔離メッセージを表示する（ステップＳ３１５）。なお、警告サーバ３０は、第一の実施の形態で説明したように、情報端末４０が隔離されたことを報知するメッセージをスイッチ１０に返信するようにしてもよいし、情報端末４０が隔離されたことを報知するメッセージを表示させる警告ページにリダイレクトさせるＨＴＴＰ応答を返信するようにしてもよい。

このように、第二の実施の形態に係る端末隔離通知システム１００Ａでは、感染疑いがある情報端末４０と警告サーバ３０が異なるセグメントに存在していても情報端末４０上でブラウザを利用して隔離メッセージを表示することができる。

［第三の実施の形態］
上述した第一の実施の形態では、スイッチ１０がＨＴＴＰ要求を警告サーバ３０に転送する場合を説明したが、これに限定されるものではない。例えば、スイッチ１０がＤＮＳ要求を正規のＤＮＳサーバでない疑似ＤＮＳサーバ６０に転送し、疑似ＤＮＳサーバ６０がどのようなＤＮＳ要求に対しても警告サーバ３０のＩＰアドレスを返すことで、その後の情報端末４０からのＨＴＴＰ要求が警告サーバ３０に送信されるようにしてもよい。以下の第三の実施形態では、スイッチ１０が、情報端末４０からのＤＮＳ要求を疑似ＤＮＳサーバ６０に転送し、疑似ＤＮＳサーバ６０が、どのようなＤＮＳ要求に対しても警告サーバ３０のＩＰアドレスを返す場合について説明する。なお、第一の実施の形態と同様の構成および処理については適宜説明を省略する。

まず、図１１を用いて、第三の実施の形態に係る端末隔離通知システム１００Ｂについて説明する。図１１は、第二の実施の形態に係る端末隔離通知システムの全体構成を示す概略構成図である。図１１に示すように、端末隔離通知システム１００Ｂは、複数のスイッチ１０Ａ、１０Ｂ、コントローラ２０、警告サーバ３０、情報端末４０および疑似ＤＮＳサーバ６０を有する。疑似ＤＮＳサーバ６０は、感染疑いがある情報端末４０と同一セグメントに存在するものとする。

スイッチ１０の判定部１２ｂは、情報端末４０を宛先または送信元とするパケットを受信した場合には、該パケットがＨＴＴＰ要求のパケット、ＨＴＴＰ応答のパケット、ＤＮＳ要求のパケットまたはＤＮＳ応答のパケットであるか否かを判定する。

スイッチ１０の転送部１２ｄは、判定部１２ｂによって受信したパケットがＤＮＳ要求のパケットであると判定された場合には、疑似ＤＮＳサーバ６０にＤＮＳ要求のパケットを転送する。具体的には、まず、転送部１２ｄは、端末Ａを送信元とするパケットであって、且つ、ＤＮＳ要求のパケットである場合には、コントローラ２０に転送する。そして、ＤＮＳ要求のパケットを転送した後、コントローラ２０により、端末Ａから送信されたＩＰ＿ｄｓｔ宛のＤＮＳ要求については、宛先ＩＰアドレスと宛先ＭＡＣアドレスをそれぞれ疑似ＤＮＳサーバ６０のＩＰアドレスとＭＡＣアドレスに書き換えた上で転送するフローエントリが優先度３０で設定される。また、コントローラ２０により、疑似ＤＮＳサーバ６０から端末Ａに送信されたＤＮＳ応答は送信元ＩＰアドレスと送信元ＭＡＣアドレスをそれぞれＩＰ＿ｄｓｔとＭＡＣ＿ｄｓｔに書き換えた上で端末Ａの接続するポートに転送するフローエントリが優先度３０で設定される。上記の設定が行われた後、転送部１２ｄは、コントローラ２０に転送したＤＮＳ要求のパケットを、コントローラ２０から受信する。そして、転送部１２ｄは、フローエントリを参照し、宛先ＩＰアドレスと宛先ＭＡＣアドレスをそれぞれ疑似ＤＮＳサーバ６０のＩＰアドレスとＭＡＣアドレスに書き換えた上で疑似ＤＮＳサーバ６０にＨＴＴＰ要求を転送する。該パケットがＤＮＳ要求であるかどうかの判定は、例えば、該パケットのＩＰヘッダのプロトコル番号が１７であり、かつ、ＵＤＰヘッダの宛先ポートが５３番であればＤＮＳ要求であり、そうでなければＤＮＳ要求ではないと判定することができる。同様に、該パケットがＤＮＳ応答であるかどうかの判定は、例えば、該パケットのＩＰヘッダのプロトコル番号が１７であり、かつ、ＵＤＰヘッダの送信元ポート番号が５３番であればＤＮＳ応答であり、そうでなければＤＮＳ応答ではないと判定することができる。

スイッチ１０の送信部１２ｅは、判定部１２ｂによって受信したパケットがＤＮＳ応答のパケットであると判定された場合には、ＤＮＳ応答のパケットを情報端末４０に送信する。

コントローラ２０の事前設定部２２ａは、感染が疑われる情報端末４０に対するネットワーク管理者等からの隔離指示を契機に、情報端末４０に接続するスイッチ１０に対してフローエントリの設定を指示する。例えば、事前設定部２２ａは、端末Ａを宛先とするパケットを廃棄するフローエントリおよび端末Ａを送信元とするパケットを廃棄するフローエントリをともに優先度１０で設定する。ままた、設定受付部１２ａは、事前の設定として、端末Ａから正規ＤＮＳサーバ（図示せず）に送信されたＤＮＳ要求については通常通り転送するフローエントリ、および、正規ＤＮＳサーバから端末Ａに送信されたＤＮＳ応答については通常通り転送するフローエントリがともに優先度２０で設定されているものとする。また、事前設定部２２ａは、情報端末４０から警告サーバ３０宛に送信されたＨＴＴＰ要求および警告サーバ３０から情報端末４０に送信されたＨＴＴＰ応答については、通常通り転送するフローエントリを優先度２０で設定する。

コントローラ２０の追加設定部２２ｂは、ＤＮＳ要求のパケットを受信すると、スイッチ１０に対してフローエントリを追加設定する。例えば、追加設定部２２ｂは、情報端末４０から送信されたＤＮＳ要求のパケットをスイッチ１０から受信した場合には、端末Ａから送信されたＩＰ＿ｄｓｔ宛のＤＮＳ要求については、宛先ＩＰアドレスと宛先ＭＡＣアドレスをそれぞれ疑似ＤＮＳサーバ６０のＩＰアドレスとＭＡＣアドレスに書き換えた上で転送するフローエントリを優先度３０で設定する。また、追加設定部２２ｂは、疑似ＤＮＳサーバ６０から端末Ａに送信されたＤＮＳ応答は送信元ＩＰアドレスと送信元ＭＡＣアドレスをそれぞれＩＰ＿ｄｓｔとＭＡＣ＿ｄｓｔに書き換えた上で端末Ａの接続するポートに転送するフローエントリを優先度３０で設定する。

疑似ＤＮＳサーバ６０は、ＤＮＳ要求のパケットを受信すると、警告サーバ３０のＩＰアドレスをスイッチ１０を介して情報端末４０に返信する。つまり、擬似ＤＮＳサーバ６０はどのようなドメインに対するＤＮＳ要求に対しても警告サーバ３０のＩＰアドレスを返す。

次に、図１２を用いて、第三の実施形態に係る端末隔離通知システム１００Ｂの処理例について説明する。図１２は、第三の実施の形態に係る端末隔離通知システムによる処理を説明するシーケンス図である。

図１２に示すように、端末隔離通知システム１００におけるコントローラ２０は、感染が疑われる情報端末４０に対するネットワーク管理者等からの隔離指示を契機に、情報端末４０に接続するスイッチ１０に対してフローエントリの設定を指示する（ステップＳ４０１）。

その後、情報端末４０がＨＴＴＰ要求のパケットおよびＨＴＴＰ応答のパケットのいずれのパケットでもないパケットを送信すると（ステップＳ４０２）、スイッチ１０は、フローエントリに従って、このパケットを破棄する（ステップＳ４０３）。

また、情報端末４０がＤＮＳ要求のパケットを送信すると（ステップＳ４０４）、スイッチ１０は、フローエントリに従って、このパケットをコントローラ２０に転送する（ステップＳ４０５）。

コントローラ２０は、ＤＮＳ要求のパケットを受信すると、スイッチ１０に対してフローエントリを追加設定する（ステップＳ４０６）。例えば、コントローラ２０は、情報端末４０から送信されたＤＮＳ要求のパケットをスイッチ１０から受信した場合には、端末Ａから送信されたＩＰ＿ｄｓｔ宛のＤＮＳ要求については、宛先ＩＰアドレスと宛先ＭＡＣアドレスをそれぞれ疑似ＤＮＳサーバ６０のＩＰアドレスとＭＡＣアドレスに書き換えた上で転送するフローエントリを優先度３０で設定する。また、コントローラ２０は、疑似ＤＮＳサーバ６０から端末Ａに送信されたＤＮＳ応答は送信元ＩＰアドレスと送信元ＭＡＣアドレスをそれぞれＩＰ＿ｄｓｔとＭＡＣ＿ｄｓｔに書き換えた上で端末Ａの接続するポートに転送するフローエントリを優先度３０で設定する。

そして、コントローラ２０は、ＤＮＳ要求のパケットをスイッチ１０に送信する（ステップＳ４０７）。続いて、スイッチ１０は、宛先アドレスを疑似ＤＮＳサーバ６０のアドレスに書き換えて（ステップＳ４０８）、ＤＮＳ要求のパケットを疑似ＤＮＳサーバ６０に送信する（ステップＳ４０９）。

続いて、疑似ＤＮＳサーバ６０は、スイッチ１０からＤＮＳ要求のパケットを受信した場合には、ＤＮＳ応答として、警告サーバ３０のＩＰアドレスをスイッチ１０に返信する（ステップＳ４１０）。

その後、スイッチ１０は、宛先アドレスを情報端末４０のアドレスに書き換えて（ステップＳ４１１）、ＤＮＳ応答のパケットを情報端末４０に転送する（ステップＳ４１２）。具体的には、スイッチ１０は、警告サーバ３０から端末Ａに送信されたＤＮＳ応答を受信すると、フローエントリを参照し、送信元ＩＰアドレスと送信元ＭＡＣアドレスをそれぞれＩＰ＿ｄｓｔとＭＡＣ＿ｄｓｔに書き換えた上で端末Ａの接続するポートに転送する。

そして、情報端末４０は、ＤＮＳ応答で受信したＩＰアドレスを宛先ＩＰアドレスとしてＨＴＴＰ要求のパケットをスイッチ１０に送信する（ステップＳ４１３）。続いて、スイッチ１０は、ＨＴＴＰ要求のパケットを警告サーバ３０に転送する（ステップＳ４１４）。

続いて、警告サーバ３０は、スイッチ１０からＨＴＴＰ要求のパケットを受信した場合には、ＨＴＴＰ応答として、情報端末４０が隔離されたことを報知するための情報をスイッチ１０に送信する（ステップＳ４１５）。

その後、スイッチ１０は、ＨＴＴＰ応答のパケットを情報端末４０に転送する（ステップＳ４１６）。そして、情報端末４０は、隔離メッセージを表示する（ステップＳ４１７）。

なお、上記の例では、疑似ＤＮＳサーバ６０と感染疑いがある情報端末４０とが同一セグメントに存在する場合を説明したが、疑似ＤＮＳサーバ６０と感染疑いがある情報端末４０とが異なるセグメントに存在していてもよい。この場合には、上述の第二の実施形態の場合と同様に、追加設定部２２ｂは、情報端末４０から送信されたＤＮＳ要求のパケットをスイッチ１０から受信した場合には、端末Ａから送信されたＩＰ＿ｄｓｔ宛のＤＮＳ要求については、宛先ＩＰアドレスと宛先ＭＡＣアドレスをそれぞれ疑似ＤＮＳサーバ６０のＩＰアドレスと情報端末４０のゲートウェイルータのセグメントへの接続ポートのＭＡＣアドレスに書き換えた上で転送するフローエントリを優先度３０で設定する。これにより、疑似ＤＮＳサーバ６０と感染疑いがある情報端末４０とが異なるセグメントに存在している場合であっても、ＤＮＳ要求を疑似ＤＮＳサーバ６０に転送することができる。

このように、第三の実施の形態に係る端末隔離通知システム１００Ｂでは、スイッチ１０がＤＮＳ要求を正規のＤＮＳサーバでない疑似ＤＮＳサーバ６０に転送し、疑似ＤＮＳサーバ６０がどのようなＤＮＳ要求に対しても警告サーバ３０のＩＰアドレスを返すことで、その後の情報端末４０からのＨＴＴＰ要求が警告サーバ３０に送信されるようにする。これにより、情報端末４０上でブラウザを利用して隔離メッセージを表示することができる。

［第四の実施の形態］
上述した第三の実施の形態では、ＤＮＳ要求のパケットを疑似ＤＮＳサーバに転送する場合を説明したが、これに限定されるものではなく、ＤＮＳ要求のパケットを通常通り正規ＤＮＳサーバに転送するようにしてもよい。以下の第四の実施形態では、ＤＮＳ要求のパケットを正規ＤＮＳサーバに転送する場合について説明する。なお、第三の実施の形態と同様の構成および処理については適宜説明を省略する。

まず、図１３を用いて、第四の実施の形態に係る端末隔離通知システム１００Ｃについて説明する。図１３は、第四の実施の形態に係る端末隔離通知システムの全体構成を示す概略構成図である。図１３に示すように、端末隔離通知システム１００Ｃは、複数のスイッチ１０Ａ、１０Ｂ、コントローラ２０、警告サーバ３０、情報端末４０、ルータ５０および正規ＤＮＳサーバ７０を有する。正規ＤＮＳサーバ７０は、感染疑いがある情報端末４０と異なるセグメントに存在するものとする。ルータ５０は、情報端末４０のゲートウェイルータであるものとする。なお、以下では、情報端末４０が存在するセグメントをセグメントＳ＿Ａと記載する。

スイッチ１０の判定部１２ｂは、情報端末４０を宛先または送信元とするパケットを受信した場合には、該パケットがＨＴＴＰ要求のパケット、ＨＴＴＰ応答のパケット、ＤＮＳ要求のパケットまたはＤＮＳ応答のパケットであるか否かを判定する。スイッチ１０の転送部１２ｄは、判定部１２ｂによって受信したパケットがＤＮＳ要求のパケットであると判定された場合には、正規ＤＮＳサーバ７０にＤＮＳ要求のパケットを転送する。スイッチ１０の送信部１２ｅは、判定部１２ｂによって受信したパケットがＤＮＳ応答のパケットであると判定された場合には、ＤＮＳ応答のパケットを情報端末４０に送信する。

コントローラ２０の事前設定部２２ａは、感染が疑われる情報端末４０に対するネットワーク管理者等からの隔離指示を契機に、情報端末４０に接続するスイッチ１０に対してフローエントリの設定を指示する。例えば、事前設定部２２ａは、端末Ａを宛先とするパケットを廃棄するフローエントリおよび端末Ａを送信元とするパケットを廃棄するフローエントリをともに優先度１０で設定する。また、設定受付部１２ａは、事前の設定として、端末Ａから正規ＤＮＳサーバ（図示せず）に送信されたＤＮＳ要求については通常通り転送するフローエントリ、および、正規ＤＮＳサーバから端末Ａに送信されたＤＮＳ応答については通常通り転送するフローエントリがともに優先度２０で設定されているものとする。また、事前設定部２２ａは、端末Ａから警告サーバ３０へ送信されたＨＴＴＰ要求については通常通り転送するフローエントリを優先度２０で設定する。

また、事前設定部２２ａは、正規ＤＮＳサーバ７０に対して、端末ＡからＤＮＳ要求があった場合には、警告サーバ３０のＩＰアドレスを返すＤＮＳ応答を返答する設定を行う。

正規ＤＮＳサーバ７０は、ＤＮＳ要求のパケットを受信すると、警告サーバ３０のＩＰアドレスをスイッチ１０を介して情報端末４０に返信する。つまり、擬似ＤＮＳサーバ７０はどのようなドメインに対するＤＮＳ要求に対しても警告サーバのＩＰアドレスを返す。

次に、図１４を用いて、第四の実施形態に係る端末隔離通知システム１００Ｃの処理例について説明する。図１４は、第四の実施の形態に係る端末隔離通知システムによる処理を説明するシーケンス図である。なお、図１４の例では、ルータ５０を省略して説明する。

図１４に示すように、端末隔離通知システム１００Ｃにおけるコントローラ２０は、感染が疑われる情報端末４０に対するネットワーク管理者等からの隔離指示を契機に、情報端末４０に接続するスイッチ１０に対してフローエントリの設定を指示する（ステップＳ５０１）。そして、コントローラ２０は、正規ＤＮＳサーバ７０に対して、端末ＡからＤＮＳ要求があった場合には、警告サーバ３０のＩＰアドレスを返すＤＮＳ応答を返答する設定を行う（ステップＳ５０２）。

その後、情報端末４０がＨＴＴＰ要求のパケットおよびＨＴＴＰ応答のパケットのいずれのパケットでもないパケットを送信すると（ステップＳ５０３）、スイッチ１０は、フローエントリに従って、このパケットを破棄する（ステップＳ５０４）。

また、情報端末４０がＤＮＳ要求のパケットを送信すると（ステップＳ５０５）、スイッチ１０は、フローエントリに従って、このパケットを正規ＤＮＳサーバ７０に転送する（ステップＳ５０６）。

続いて、正規ＤＮＳサーバ７０は、スイッチ１０からＤＮＳ要求のパケットを受信した場合には、ＤＮＳ応答として、警告サーバ３０のＩＰアドレスをスイッチ１０に返信する（ステップＳ５０７）。その後、スイッチ１０は、ＤＮＳ応答のパケットを情報端末４０に転送する（ステップＳ５０８）。

そして、情報端末４０は、ＤＮＳ応答で受信したＩＰアドレスを宛先ＩＰアドレスとしてＨＴＴＰ要求のパケットをスイッチ１０に送信する（ステップＳ５０９）。続いて、スイッチ１０は、ＨＴＴＰ要求のパケットを警告サーバ３０に転送する（ステップＳ５１０）。

続いて、警告サーバ３０は、スイッチ１０からＨＴＴＰ要求のパケットを受信した場合には、ＨＴＴＰ応答として、情報端末４０が隔離されたことを報知するための情報をスイッチ１０に送信する（ステップＳ５１１）。

その後、スイッチ１０は、ＨＴＴＰ応答のパケットを情報端末４０に転送する（ステップＳ５１２）。そして、情報端末４０は、隔離メッセージを表示する（ステップＳ５１３）。

このように、第四の実施の形態に係る端末隔離通知システム１００Ｃでは、ＤＮＳ要求のパケットを正規ＤＮＳサーバ７０に転送することで、情報端末４０上でブラウザを利用して隔離メッセージを表示することができる。

［第五の実施の形態］
上述した第一の実施の形態では、スイッチ１０から警告サーバ３０に対してＨＴＴＰ要求のパケットを送信し、警告サーバ３０が隔離メッセージを表示させるＨＴＴＰ応答のパケットを返信する場合を説明したが、これに限定されるものではなく、スイッチ１０から正規プロキシサーバ８０に対してＨＴＴＰ要求のパケットを送信し、正規プロキシサーバ８０が隔離メッセージを表示させるＨＴＴＰ応答のパケットを返信するようにしてもよい。以下の第五の実施形態では、スイッチ１０から正規プロキシサーバ８０に対してＨＴＴＰ要求のパケットを送信し、正規プロキシサーバ８０が隔離メッセージを表示させるＨＴＴＰ応答のパケットを返信する場合について説明する。なお、第一の実施の形態と同様の構成および処理については適宜説明を省略する。

まず、図１５を用いて、第五の実施の形態に係る端末隔離通知システム１００Ｄについて説明する。図１５は、第五の実施の形態に係る端末隔離通知システムの全体構成を示す概略構成図である。図１５に示すように、端末隔離通知システム１００Ｄは、複数のスイッチ１０Ａ、１０Ｂ、コントローラ２０、警告サーバ３０、情報端末４０、ルータ５０および正規プロキシサーバ８０を有する。正規プロキシサーバ８０は、感染疑いがある情報端末４０と異なるセグメントに存在するものとする。ルータ５０は、情報端末４０のゲートウェイルータであるものとする。なお、以下では、情報端末４０が存在するセグメントをセグメントＳ＿Ａと記載する。

スイッチ１０の転送部１２ｄは、判定部１２ｂによって受信したパケットがＨＴＴＰ要求のパケットであると判定された場合には、警告サーバ３０に代えて正規プロキシサーバ８０にＨＴＴＰ要求のパケットを転送する。スイッチ１０の送信部１２ｅは、判定部１２ｃによって受信したパケットがＨＴＴＰ応答のパケットであると判定された場合には、ＨＴＴＰ応答のパケットを情報端末４０に送信する。

コントローラ２０の事前設定部２２ａは、感染が疑われる情報端末４０に対するネットワーク管理者等からの隔離指示を契機に、情報端末４０に接続するスイッチ１０に対してフローエントリの設定を指示する。例えば、事前設定部２２ａは、端末Ａを宛先とするパケットを廃棄するフローエントリおよび端末Ａを送信元とするパケットを廃棄するフローエントリをともに優先度１０で設定する。また、事前設定部２２ａは、端末Ａから正規プロキシサーバ８０に送信されたＨＴＴＰ要求および正規プロキシサーバ８０から端末Ａに送信されたＨＴＴＰ応答については通常通り転送するフローエントリを優先度２０で設定する。

また、事前設定部２２ａは、正規プロキシサーバ８０に対して、スイッチ１０からＨＴＴＰ要求のパケットを受信した場合には、ＨＴＴＰ応答として、情報端末４０が隔離されたことを報知するための情報をスイッチ１０に返信するように設定する。

正規プロキシサーバ８０は、スイッチ１０からＨＴＴＰ要求のパケットを受信した場合には、ＨＴＴＰ応答として、情報端末４０が隔離されたことを報知するための情報をスイッチに返信する。例えば、正規プロキシサーバ８０は、端末ＡからＨＴＴＰ要求があった場合には、どのようなＨＴＴＰ要求であれ警告ページを表示するＨＴＴＰ応答を返信、あるいは、隔離メッセージを表示させる警告ページ（正規プロキシサーバ８０が保有）にリダイレクトさせるＨＴＴＰ応答を返信する。なお、正規プロキシサーバ８０は、情報端末４０からＨＴＴＰ要求があった場合には、警告サーバ３０のもつ警告ページにリダイレクトさせる応答を返すようにしてもよい。

次に、図１６を用いて、第五の実施形態に係る端末隔離通知システム１００Ｄの処理例について説明する。図１６は、第五の実施の形態に係る端末隔離通知システムによる処理を説明するシーケンス図である。なお、図１６の例では、ルータ５０を省略して説明する。

図１６に示すように、端末隔離通知システム１００Ｃにおける正規プロキシサーバ８０は、警告サーバ３０から警告ページを取得する（ステップＳ６０１）。また、コントローラ２０は、感染が疑われる情報端末４０に対するネットワーク管理者等からの隔離指示を契機に、情報端末４０に接続するスイッチ１０に対してフローエントリの設定を指示する（ステップＳ６０２）。

その後、情報端末４０がＨＴＴＰ要求のパケットおよびＨＴＴＰ応答のパケットのいずれのパケットでもないパケットを送信すると（ステップＳ６０３）、スイッチ１０は、フローエントリに従って、このパケットを破棄する（ステップＳ６０４）。

情報端末４０がＨＴＴＰ要求のパケットを送信すると（ステップＳ６０５）、スイッチ１０は、フローエントリに従って、このパケットを正規プロキシサーバ８０に転送する（ステップＳ６０６）。

そして、正規プロキシサーバ８０は、スイッチ１０からＨＴＴＰ要求のパケットを受信した場合には、ＨＴＴＰ応答として、警告ページを表示する情報をスイッチ１０に返信する（ステップＳ６０７）。例えば、正規プロキシサーバ８０は、端末ＡからＨＴＴＰ要求があった場合には、どのようなＨＴＴＰ要求であれ警告ページを表示するＨＴＴＰ応答を返信、あるいは、隔離メッセージを表示させる警告ページ（正規プロキシサーバ８０が保有）にリダイレクトさせるＨＴＴＰ応答を返信する。

その後、スイッチ１０は、ＨＴＴＰ応答のパケットを情報端末４０に転送する（ステップＳ６０８）。そして、情報端末４０は、隔離メッセージを表示する（ステップＳ６０９）。

このように、第五の実施の形態に係る端末隔離通知システム１００Ｄでは、スイッチ１０から正規プロキシサーバ８０に対してＨＴＴＰ要求のパケットを送信し、正規プロキシサーバ８０が隔離メッセージを表示させるＨＴＴＰ応答のパケットを返信することで、情報端末４０上でブラウザを利用して隔離メッセージを表示することができる。

［第六の実施の形態］
上述した第一の実施の形態では、警告サーバ３０が隔離メッセージを送信する場合を説明したが、これに限定されるものではない。例えば、メールサーバが隔離メッセージを含むメールを送信するようにしてもよい。以下の第六の実施形態では、メールサーバが隔離メッセージを含むメールを送信する場合について説明する。なお、第一の実施の形態と同様の構成および処理については適宜説明を省略する。

まず、図１７を用いて、第六の実施の形態に係る端末隔離通知システム１００Ｅについて説明する。図１７は、第六の実施の形態に係る端末隔離通知システムの全体構成を示す概略構成図である。図１７に示すように、端末隔離通知システム１００Ｅは、複数のスイッチ１０Ａ、１０Ｂ、コントローラ２０、情報端末４０、ルータ５０およびメールサーバ９０を有する。

スイッチ１０の判定部１２ｂは、情報端末４０からメールサーバ９０宛てに送信されたパケットであって、宛先ポート番号がメール受信用のポート番号であるパケットを受信したか否かを判定する。スイッチ１０の破棄部１２ｃは、判定部１２ｂによって情報端末４０からメールサーバ９０宛てに送信されたパケットでない、または、宛先ポート番号がメール受信用のポート番号であるパケットでないと判定された場合には、パケットを破棄する。

スイッチ１０の転送部１２ｄは、判定部１２ｂによってメールサーバ９０宛てに送信されたパケットであって、宛先ポート番号がメール受信用のポート番号であるパケットを受信したと判定された場合には、メールサーバ９０にパケットを転送する。スイッチ１０の送信部１２ｅは、メールサーバ９０からパケットを受信した場合には、該パケットを情報端末４０に送信する。

コントローラ２０の事前設定部２２ａは、感染が疑われる情報端末４０に対するネットワーク管理者等からの隔離指示を契機に、情報端末４０に接続するスイッチ１０に対してフローエントリの設定を指示する。例えば、事前設定部２２ａは、端末Ａを宛先とするパケットを廃棄するフローエントリおよび端末Ａを送信元とするパケットを廃棄するフローエントリをともに優先度１０で設定する。また、事前設定部２２ａは、スイッチ１０に、端末Ａからメールサーバ９０に送信された宛先ポート番号がｐ＿ｍであるパケットおよびメールサーバ９０から端末Ａに送信された送信元ポート番号がｐ＿ｍであるパケットについては通常通り転送するフローエントリを優先度２０で設定する。また、事前設定部２２ａは、情報端末４０を保有するユーザのメールアカウント宛ての、本文に隔離メッセージを含むメールを生成し、メールサーバ９０に送信する。

メールサーバ９０は、返送部９１を有する。返送部９１は、スイッチ１０から前記メールサーバ９０宛てに送信されたパケットであって、宛先ポート番号がメール受信用のポート番号であるパケットを受信した場合には、情報端末４０が隔離されたことを報知するメッセージを含むメールのパケットをスイッチ１０に返信する。

次に、図１８を用いて、第六の実施形態に係る端末隔離通知システム１００Ｅの処理例について説明する。図１８は、第六の実施の形態に係る端末隔離通知システムによる処理を説明するシーケンス図である。

図１８に示すように、端末隔離通知システム１００Ｅにおけるコントローラ２０は、感染が疑われる情報端末４０に対するネットワーク管理者等からの隔離指示を契機に、情報端末４０に接続するスイッチ１０に対してフローエントリの設定を指示する（ステップＳ７０１）。また、コントローラ２０は、情報端末４０を保有するユーザのメールアカウント宛ての、本文に隔離メッセージを含むメールを生成し（ステップＳ７０２）、メールサーバ９０に送信する（ステップＳ７０３）。

その後、情報端末４０がＨＴＴＰ要求のパケットおよびＨＴＴＰ応答のパケットのいずれのパケットでもないパケットを送信すると（ステップＳ７０４）、スイッチ１０は、フローエントリに従って、このパケットを破棄する（ステップＳ７０５）。

また、情報端末４０がメールサーバ９０へメール受信用のポートを宛先ポートとするパケットを送信すると（ステップＳ７０６）、スイッチ１０は、パケットをメールサーバ９０に転送する（ステップＳ７０７）。

そして、メールサーバ９０は、隔離メッセージを含むメールをスイッチ１０に送信する（ステップＳ７０８）。続いて、スイッチ１０は、隔離メッセージを含むメールのパケットを情報端末４０に送信する（ステップＳ７０９）。そして、情報端末４０は、隔離メッセージを表示する（ステップＳ７１０）。

このように、第六の実施の形態に係る端末隔離通知システム１００Ｅでは、メールサーバが隔離メッセージを含むメールを送信することで、情報端末４０の画面上に隔離メッセージを表示することができる。

［第七の実施の形態］
上述した第一の実施の形態では、警告サーバ３０から送信された隔離メッセージを情報端末４０で表示する場合を説明したが、これに限定されるものではない。例えば、情報端末４０で実行されるエージェントソフトが隔離メッセージを表示するようにしてもよい。以下の第七の実施形態では、情報端末４０で実行されるエージェントソフトが隔離メッセージを表示する場合について説明する。なお、第一の実施の形態と同様の構成および処理については適宜説明を省略する。

まず、図１９を用いて、第七の実施の形態に係る端末隔離通知システム１００Ｆについて説明する。図１９は、第七の実施の形態に係る端末隔離通知システムの全体構成を示す概略構成図である。図１９に示すように、端末隔離通知システム１００Ｆは、スイッチ１０ａ、コントローラ２０および情報端末４０を有する。

端末隔離通知システム１００Ｆでは、ネットワーク中の情報端末４０は特定のエージェントソフトを常時実行している。エージェントソフトは、コントローラ２０から指令を受けると、隔離メッセージを当該情報端末４０の画面上に表示する。コントローラ２０からエージェントソフトへの指令通信は、例えば、ＴＣＰプロトコルで特定のポート番号ｐ＿ａを利用して行われる。エージェントソフトは、ポート番号ｐ＿ａで要求パケットを待ち受ける。

コントローラ２０の事前設定部２２ａは、感染が疑われる情報端末４０に対するネットワーク管理者等からの隔離指示を契機に、情報端末４０に接続するスイッチ１０ａに対してフローエントリの設定を指示する。例えば、事前設定部２２ａは、端末Ａを宛先とするパケットを廃棄するフローエントリおよび端末Ａを送信元とするパケットを廃棄するフローエントリをともに優先度１０で設定する。また、事前設定部２２ａは、スイッチ１０ａに、コントローラ２０から端末４０に送信された宛先ポート番号がｐ＿ａであるパケットおよび端末４０からコントローラ２０に送信された送信元ポート番号がｐ＿ａであるパケットについては通常通り転送するフローエントリを優先度２０で設定する。

また、コントローラ２０の指令部２２ｃは、特定のポート番号ｐ＿ａを宛先ポート番号として情報端末４０宛てに、情報端末４０が隔離されたことを報知するメッセージを表示することを指示する指令パケットをスイッチ１０ａに送信する。

情報端末４０の実行部４１は、コントローラ２０から指令パケットを受信すると情報端末４０が隔離されたことを報知するメッセージを表示させる特定のエージェントソフトを実行する。

［スイッチの構成］
次に、図２０を用いて、図１９に示したスイッチ１０ａの構成を説明する。図２０は、第七の実施の形態に係るスイッチの構成を示すブロック図である。図２０に示すように、このスイッチ１０ａは、通信処理部１１、制御部１２、記憶部１３を有する。以下にこれらの各部の処理を説明する。

通信処理部１１は、コントローラ２０や情報端末４０との間でやり取りする各種情報に関する通信を制御する。例えば、通信処理部１１は、コントローラ２０から指令パケットを受信する。

制御部１２は、各種の処理手順などを規定したプログラムおよび所要データを格納するための内部メモリを有し、これらによって種々の処理を実行するが、特に本発明に密接に関連するものとしては、設定受付部１２ａ、判定部１２ｂ、破棄部１２ｃおよび送信部１２ｅを有する。

判定部１２ｂは、コントローラ２０から情報端末４０へ送信されたパケットであって、宛先ポート番号が特定のポート番号ｐ＿ａであるパケットを受信したか否かを判定する。

破棄部１２ｃは、判定部１２ｂによってコントローラ２０から情報端末４０へ送信されたパケットでない、または、宛先ポート番号が特定のポート番号ｐ＿ａであるパケットでないと判定された場合には、パケットを破棄する。

送信部１２ｅは、判定部１２ｂによってコントローラ２０から情報端末４０へ送信されたパケットであって、宛先ポート番号が特定のポート番号ｐ＿ａであるパケットであると判定された場合には、該パケットを情報端末４０に送信する。

次に、図２１を用いて、第七の実施形態に係る端末隔離通知システム１００Ｆの処理例について説明する。図２１は、第七の実施の形態に係る端末隔離通知システムによる処理を説明するシーケンス図である。

図２１に示すように、端末隔離通知システム１００Ｆにおけるコントローラ２０は、感染が疑われる情報端末４０に対するネットワーク管理者等からの隔離指示を契機に、情報端末４０に接続するスイッチ１０ａに対してフローエントリの設定を指示する（ステップＳ８０１）。

そして、コントローラ２０は、特定のポート番号ｐ＿ａを宛先ポート番号として情報端末４０宛てに、情報端末４０が隔離されたことを報知するメッセージを表示することを指示する指令パケットをスイッチ１０ａに送信する（ステップＳ８０２）。

そして、スイッチ１０ａは、指令パケットを情報端末４０に送信する（ステップＳ８０３）。つまり、指令パケットが、判定部１２ｂによってコントローラ２０から情報端末４０へ送信されたパケットであって、宛先ポート番号が特定のポート番号ｐ＿ａであるパケットであると判定されるため、該指令パケットを情報端末４０に送信する。

情報端末４０のエージェントソフトは、コントローラ２０から指令パケットを受信すると情報端末４０が隔離されたことを報知する隔離メッセージを画面上に表示させる（ステップＳ８０４）。

このように、第七の実施の形態に係る端末隔離通知システム１００Ｆでは、情報端末４０で実行されるエージェントソフトが隔離メッセージを表示することができる。

（システム構成等）
また、図示した各装置の各構成要素は機能概念的なものであり、必ずしも物理的に図示の如く構成されていることを要しない。すなわち、各装置の分散・統合の具体的形態は図示のものに限られず、その全部または一部を、各種の負荷や使用状況などに応じて、任意の単位で機能的または物理的に分散・統合して構成することができる。さらに、各装置にて行なわれる各処理機能は、その全部または任意の一部が、ＣＰＵおよび当該ＣＰＵにて解析実行されるプログラムにて実現され、あるいは、ワイヤードロジックによるハードウェアとして実現され得る。

また、本実施の形態において説明した各処理のうち、自動的におこなわれるものとして説明した処理の全部または一部を手動的におこなうこともでき、あるいは、手動的におこなわれるものとして説明した処理の全部または一部を公知の方法で自動的におこなうこともできる。この他、上記文書中や図面中で示した処理手順、制御手順、具体的名称、各種のデータやパラメータを含む情報については、特記する場合を除いて任意に変更することができる。

（プログラム）
また、上記実施の形態に係るスイッチ１０やコントローラ２０、警告サーバ３０等の各装置が実行する処理をコンピュータが実行可能な言語で記述したプログラムを作成することもできる。この場合、コンピュータがプログラムを実行することにより、上記実施の形態と同様の効果を得ることができる。さらに、かかるプログラムをコンピュータ読み取り可能な記録媒体に記録して、この記録媒体に記録されたプログラムをコンピュータに読み込ませて実行することにより上記実施の形態と同様の処理を実現してもよい。以下に、スイッチ１０やコントローラ２０、警告サーバ３０等と同様の機能を実現する端末隔離通知プログラムを実行するコンピュータの一例を説明する。

図２２は、端末隔離通知プログラムを実行するコンピュータを示す図である。図２２に示すように、コンピュータ１０００は、例えば、メモリ１０１０と、ＣＰＵ１０２０と、ハードディスクドライブインタフェース１０３０と、ディスクドライブインタフェース１０４０と、シリアルポートインタフェース１０５０と、ビデオアダプタ１０６０と、ネットワークインタフェース１０７０とを有する。これらの各部は、バス１０８０によって接続される。

メモリ１０１０は、ＲＯＭ（Read Only Memory）１０１１およびＲＡＭ（Random Access Memory）１０１２を含む。ＲＯＭ１０１１は、例えば、ＢＩＯＳ（Basic Input Output System）等のブートプログラムを記憶する。ハードディスクドライブインタフェース１０３０は、ハードディスクドライブ１０９０に接続される。ディスクドライブインタフェース１０４０は、ディスクドライブ１１００に接続される。ディスクドライブ１１００には、例えば、磁気ディスクや光ディスク等の着脱可能な記憶媒体が挿入される。シリアルポートインタフェース１０５０には、例えば、マウス１１１０およびキーボード１１２０が接続される。ビデオアダプタ１０６０には、例えば、ディスプレイ１１３０が接続される。

ここで、図２２に示すように、ハードディスクドライブ１０９０は、例えば、ＯＳ１０９１、アプリケーションプログラム１０９２、プログラムモジュール１０９３およびプログラムデータ１０９４を記憶する。上記実施の形態で説明した各テーブルは、例えばハードディスクドライブ１０９０やメモリ１０１０に記憶される。

また、端末隔離通知プログラムは、例えば、コンピュータ１０００によって実行される指令が記述されたプログラムモジュールとして、ハードディスクドライブ１０９０に記憶される。具体的には、上記実施の形態で説明した各装置が実行する各処理が記述されたプログラムモジュールが、ハードディスクドライブ１０９０に記憶される。

また、端末隔離通知プログラムによる情報処理に用いられるデータは、プログラムデータとして、例えば、ハードディスクドライブ１０９０に記憶される。そして、ＣＰＵ１０２０が、ハードディスクドライブ１０９０に記憶されたプログラムモジュール１０９３やプログラムデータ１０９４を必要に応じてＲＡＭ１０１２に読み出して、上述した各手順を実行する。

なお、端末隔離通知プログラムに係るプログラムモジュール１０９３やプログラムデータ１０９４は、ハードディスクドライブ１０９０に記憶される場合に限られず、例えば、着脱可能な記憶媒体に記憶されて、ディスクドライブ１１００等を介してＣＰＵ１０２０によって読み出されてもよい。あるいは、端末隔離通知プログラムに係るプログラムモジュール１０９３やプログラムデータ１０９４は、ＬＡＮ（Local Area Network）やＷＡＮ（Wide Area Network）等のネットワークを介して接続された他のコンピュータに記憶され、ネットワークインタフェース１０７０を介してＣＰＵ１０２０によって読み出されてもよい。

１０、１０ａ、１０Ａ、１０Ｂ スイッチ
１１、２１、３１ 通信処理部
１２、２２、３２ 制御部
１２ａ 設定受付部
１２ｂ 判定部
１２ｃ 破棄部
１２ｄ 転送部
１２ｅ 送信部
１３、２３、３３ 記憶部
１３ａ フローエントリ記憶部
２０ コントローラ
３０ 警告サーバ
４０ 情報端末
１００Ａ〜１００Ｆ 端末隔離通知システム

Claims (7)

1. 感染疑いのある情報端末と、警告サーバと、スイッチとから構成されるシステムであって、
   前記スイッチは、
   前記情報端末を宛先または送信元とするパケットを受信した場合には、該パケットがＨＴＴＰ要求のパケットまたはＨＴＴＰ応答のパケットであるか否かを判定する判定部と、
   前記判定部によって受信したパケットがＨＴＴＰ要求のパケットおよびＨＴＴＰ応答のパケットのいずれのパケットでもないと判定された場合には、前記パケットを破棄する破棄部と、
   前記判定部によって受信したパケットがＨＴＴＰ要求のパケットであると判定された場合には、前記警告サーバに前記ＨＴＴＰ要求のパケットを転送する転送部と、
   前記判定部によって受信したパケットがＨＴＴＰ応答のパケットであると判定された場合には、前記ＨＴＴＰ応答のパケットを前記情報端末に送信する送信部と、
   を備え、
   前記警告サーバは、
   前記スイッチから前記ＨＴＴＰ要求のパケットを受信した場合には、前記ＨＴＴＰ応答として、前記情報端末が隔離されたことを報知するための情報を前記スイッチに返信する返信部を備えることを特徴とする端末隔離通知システム。
2. 前記転送部は、前記判定部によって受信したパケットがＨＴＴＰ要求のパケットであると判定された場合には、当該パケットの宛先ＩＰアドレスを前記警告サーバのＩＰアドレスに書き換えて前記警告サーバに転送し、
   前記送信部は、前記判定部によって受信したパケットがＨＴＴＰ応答のパケットであると判定された場合には、当該パケットの送信元ＩＰアドレスを前記ＨＴＴＰ要求の書換え前の宛先ＩＰアドレスに書き換えて前記情報端末に送信することを特徴とする請求項１に記載の端末隔離通知システム。
3. 前記判定部は、前記情報端末を宛先または送信元とするパケットを受信した場合には、該パケットがＨＴＴＰ要求のパケット、ＨＴＴＰ応答のパケット、ＤＮＳ要求のパケットまたはＤＮＳ応答のパケットであるか否かを判定し、
   前記転送部は、前記判定部によって受信したパケットがＤＮＳ要求のパケットであると判定された場合には、正規のＤＮＳサーバとは異なる第一のＤＮＳサーバに前記ＤＮＳ要求のパケットを転送し、
   前記第一のＤＮＳサーバは、前記ＤＮＳ要求のパケットを受信すると、前記警告サーバのＩＰアドレスを前記スイッチを介して前記情報端末に返信し、
   前記送信部は、前記判定部によって受信したパケットが前記ＤＮＳ応答のパケットであると判定された場合には、前記ＤＮＳ応答のパケットを前記情報端末に送信することを特徴とする請求項１に記載の端末隔離通知システム。
4. 前記判定部は、前記情報端末を宛先または送信元とするパケットを受信した場合には、該パケットがＨＴＴＰ要求のパケット、ＨＴＴＰ応答のパケット、ＤＮＳ要求のパケットまたはＤＮＳ応答のパケットであるか否かを判定し、
   前記転送部は、前記判定部によって受信したパケットがＤＮＳ要求のパケットであると判定された場合には、正規のＤＮＳサーバである第二のＤＮＳサーバに前記ＤＮＳ要求のパケットを転送し、
   前記第二のＤＮＳサーバは、前記情報端末のＩＰアドレスを送信元とするＤＮＳ要求のパケットを受信すると、前記警告サーバのＩＰアドレスを前記スイッチを介して前記情報端末に返信し、
   前記送信部は、前記判定部によって受信したパケットが前記ＤＮＳ応答のパケットであると判定された場合には、前記ＤＮＳ応答のパケットを前記情報端末に送信することを特徴とする請求項１に記載の端末隔離通知システム。
5. 前記転送部は、前記判定部によって受信したパケットがＨＴＴＰ要求のパケットであると判定された場合には、前記警告サーバに代えてプロキシサーバに前記ＨＴＴＰ要求のパケットを転送し、
   前記プロキシサーバは、前記スイッチから前記ＨＴＴＰ要求のパケットを受信した場合には、前記ＨＴＴＰ応答として、前記情報端末が隔離されたことを報知するための情報を前記スイッチに返信し、
   前記送信部は、前記判定部によって受信したパケットがＨＴＴＰ応答のパケットであると判定された場合には、前記ＨＴＴＰ応答のパケットを前記情報端末に送信することを特徴とする請求項１に記載の端末隔離通知システム。
6. 感染疑いのある情報端末と、メールサーバと、スイッチとから構成されるシステムであって、
   前記スイッチは、
   前記情報端末から前記メールサーバ宛てに送信されたパケットであって、宛先ポート番号がメール受信用のポート番号であるパケットを受信したか否かを判定する判定部と、
   前記判定部によって前記情報端末から前記メールサーバ宛てに送信されたパケットでない、または、宛先ポート番号がメール受信用のポート番号であるパケットでないと判定された場合には、前記パケットを破棄する破棄部と、
   前記判定部によって前記メールサーバ宛てに送信されたパケットであって、宛先ポート番号がメール受信用のポート番号であるパケットを受信したと判定された場合には、前記メールサーバに前記パケットを転送する転送部と、
   前記メールサーバからパケットを受信した場合には、該パケットを前記情報端末に送信する送信部と、
   を備え、
   前記メールサーバは、
   前記スイッチから前記メールサーバ宛てに送信されたパケットであって、宛先ポート番号が前記メール受信用のポート番号であるパケットを受信した場合には、前記情報端末が隔離されたことを報知するメッセージを含むメールのパケットを前記スイッチに返信する返送部を備えることを特徴とする端末隔離通知システム。
7. 感染疑いのある情報端末と、コントローラと、スイッチとから構成されるシステムであって、
   前記スイッチは、
   前記コントローラから前記情報端末へ送信されたパケットであって、宛先ポート番号が特定のポート番号であるパケットを受信したか否かを判定する判定部と、
   前記判定部によって前記コントローラから前記情報端末へ送信されたパケットでない、または、宛先ポート番号が特定のポート番号であるパケットでないと判定された場合には、前記パケットを破棄する破棄部と、
   前記判定部によって前記コントローラから前記情報端末へ送信されたパケットであって、宛先ポート番号が特定のポート番号であるパケットであると判定された場合には、該パケットを前記情報端末に送信する送信部と、
   を備え、
   前記コントローラは、
   前記特定のポート番号を宛先ポート番号として前記情報端末宛てに、前記情報端末が隔離されたことを報知するメッセージを表示することを指示する指令パケットを前記スイッチに送信する指令部を備え、
   前記情報端末は、
   前記コントローラから前記指令パケットを受信すると前記メッセージを表示させる特定のエージェントソフトを実行する実行部を備えることを特徴とする端末隔離通知システム。

Images