JP2018129712A

JP2018129712A - ネットワーク監視システム

Info

Publication number: JP2018129712A
Application number: JP2017022174A
Authority: JP
Inventors: 義弘日垣; Yoshihiro Higaki; 守央谷奥; Morihisa Tanioku
Original assignee: SKY Co Ltd
Current assignee: SKY Co Ltd
Priority date: 2017-02-09
Filing date: 2017-02-09
Publication date: 2018-08-16
Anticipated expiration: 2037-02-09
Also published as: JP6851211B2

Abstract

【課題】ネットワーク内にあるコンピュータに異常が発生した場合に，所定の制御を行うためのネットワーク監視システムを提供することを目的とする。【解決手段】少なくとも一以上のネットワーク機器と接続する通信中継装置から，ネットワーク機器の状態を示す情報を受け付ける情報受付処理部と，受け付けた情報に基づいて，ネットワーク機器を特定する特定処理部と，特定したネットワーク機器に対してネットワーク遮断要求通知を送るネットワーク遮断要求処理部と，を備えており，ネットワーク遮断要求通知を受け付けたネットワーク機器において，ネットワーク遮断要求通知に対応するネットワーク通信の遮断処理を実行させる，ネットワーク監視システムである。【選択図】図１

Description

本発明は，ネットワーク内にあるコンピュータに異常が発生した場合に，所定の制御を行うためのネットワーク監視システムに関する。

企業や学校，官公庁などの諸団体（以下，「企業等」という）の日常業務ではコンピュータが複数使用されており，それらはネットワークによって接続されている。そしてコンピュータには多種多様な情報が記憶されているため，ネットワーク内のコンピュータに障害などの異常が発生した場合には，業務に支障が生じるほか，情報の外部流出などの場合にはコンプライアンス上の問題も発生しうる。そのため，企業等ではネットワーク内に異常が発生していないかを日々監視している。

ネットワーク内のコンピュータの監視の方法として，各コンピュータの操作ログ情報を監視する方法がある。操作ログ情報は，コンピュータにおいて行われた操作や処理の履歴を示す情報であり，その情報を監視することで，コンピュータがどのような振る舞いをしたかを特定できるので，優れた監視方法として知られている。その一例として特許文献１がある。

さらにネットワーク内のコンピュータで送受信するパケットを監視するネットワーク管理装置を用いて，ネットワークを監視する方法も知られている。ネットワーク管理装置を用いた一例として特許文献２がある。

特開２０１５−１２１９６８号公報特開２００６−３３１４０号公報

近年，サイバー攻撃の一手法として，ランサムウェアを用いたものが知られている。ランサムウェアとは，感染したコンピュータに対して，操作者の意に反して，当該コンピュータをロックしたり，ファイルを暗号化するなどして使用不能とせしめた上で，元の状態に戻すことと引き替えに，不当に金銭を要求する，不正プログラムの一種である。多くの場合，電子メールに含まれる悪意ある添付ファイルを開いた際に，その不正プログラムがインストールされたり，改ざんされた正規のウェブサイトから，脆弱性を攻撃する不正なウェブサイトに誘導されたりするなどして，コンピュータをランサムウェアに感染させる。

コンピュータがランサムウェアに感染した場合，そのコンピュータに対する操作ができなくなるほか，感染したコンピュータや，ネットワーク共有しているファイルが暗号化されて使用不能になるなど，業務に対する支障が大きい。また，金銭の要求に応じた場合には経済的損害も発生する。

一方，ネットワークにランサムウェアに感染したコンピュータがある場合には，ほかのコンピュータへの感染を防止するため，できる限り早期に，感染したコンピュータをネットワークから切り離す必要がある。

しかしランサムウェアに感染したコンピュータで行われる不正な処理は，ファイルアクセスや暗号化などの処理であるため，操作ログ情報としては，当該コンピュータの通常の振る舞いとしてしか現れず，操作ログ情報だけではランサムウェアに感染したコンピュータか否かをすぐに見分けるのは容易ではない。そのため，特許文献１の方法を用いただけではランサムウェアについての対処としては十分とはいえない。

一方，特許文献２の方法では，不正なパケットを検出した場合，ウィルスに感染していると考えられるコンピュータが属しているネットワークのセグメントを特定し，さらに，そのセグメントを接続するルータやスイッチングハブなどのネットワーク中継装置のインターフェイスを特定する。そして，ネットワーク管理装置は，特定したネットワーク中継装置に対して被疑インターフェイスを遮断するように制御指示を行う。このような方法を採ることによって，ウィルスに感染していると考えられるコンピュータが属しているネットワークのセグメントを，ネットワークから切り離すとともに，ウィルス感染の拡大を防止している。

しかし，この方法の場合，ルータやスイッチングハブなどのネットワーク中継装置に対して所定の制御を行うため，たとえばルータＡのＸ番ポートに接続していたコンピュータがランサムウェアに感染した場合，ルータＡに対してネットワーク通信を遮断する制御指示をネットワーク管理装置が行うことで，一旦は，感染したコンピュータをネットワークから切り離すことができる。しかし，そのコンピュータのネットワークケーブルを，ルータＢのＹ番ポートに接続することによって，当該感染したコンピュータが再度，ネットワークに接続可能となり，ウィルス感染の拡大の防止には十分とはいえない問題点がある。

また，コンピュータによっては有線によるネットワーク通信が遮断された場合には，無線ＬＡＮなどによる接続を自動的に行うものもある。そのような場合，感染したコンピュータが接続する有線のルータＡが，上述のようにネットワークから切り離された場合，当該コンピュータが自動的に無線ＬＡＮによる接続に切り替えてしまう。そのため，この場合においても，当該感染したコンピュータが再度，ネットワークに接続可能となり，ウィルス感染の拡大の防止には十分とはいえない問題点がある。

本発明者は上述の問題点に鑑み，ネットワーク監視システムを発明した。

第１の発明は，ネットワーク内のネットワーク機器の監視に用いるネットワーク監視システムであって，前記ネットワーク監視システムは，少なくとも一以上のネットワーク機器と接続する通信中継装置から，前記ネットワーク機器の状態を示す情報を受け付ける情報受付処理部と，前記受け付けた情報に基づいて，前記ネットワーク機器を特定する特定処理部と，前記特定したネットワーク機器に対してネットワーク遮断要求通知を送るネットワーク遮断要求処理部と，を備えており，前記ネットワーク遮断要求通知を受け付けたネットワーク機器において，前記ネットワーク遮断要求通知に対応するネットワーク通信の遮断処理を実行させる，ネットワーク監視システムである。

従来は，ウィルス等に感染した場合，ルータなどのネットワーク中継装置に対して通信の遮断等の制御を行っているので，ネットワーク中継装置を切り替えて使用された場合には，通信の遮断等の効果が及ばず，不十分な対策しかとれなかった。しかし，本発明のように構成することで，たとえばランサムウェア等に感染したコンピュータなどのネットワーク機器に対して，直接，ネットワーク通信の遮断を実行することができるので，ネットワーク機器が，その通信を行うネットワーク中継装置（通信中継装置）を切り替えたとしても，適切に，通信の遮断を行うことができる。

上述の発明において，前記ネットワーク遮断要求処理部は，前記ネットワーク遮断要求通知をＵＤＰ通信により送ることで，前記ネットワーク遮断要求通知を受け付けたネットワーク機器において，前記ネットワーク遮断要求通知を受け付けた旨の応答を返させて，その応答を受け取る，ネットワーク監視システムのように構成することができる。

ウィルス等に感染したネットワーク機器では不正な処理が極めて短時間で行われてしまうので，その被害の拡大の防止のためには，迅速にネットワークから切り離すことが求められる。そのため，ネットワーク遮断要求通知は，通信速度の高速性からＵＤＰ通信により行うことが好ましい。しかし，ＵＤＰ通信を用いた場合，ＴＣＰ通信とは異なり，通信の信頼性が低い。一方で，ネットワーク遮断要求通知は，ウィルス等の被害の防止の観点から，感染したネットワーク機器に確実に届ける必要性があるが，上述のようにＵＤＰ通信では，当該通知を送りっぱなしになるので，届いたかどうかを確認する術がない。そこで，ＵＤＰ通信を用いた場合には，その通知を送ったネットワーク機器から通知を受け取った旨の応答を受け取ることで，それを確認可能とすることが好ましい。

上述の発明において，前記ネットワーク監視システムは，さらに，前記ネットワーク機器の識別情報，接続する通信中継装置の識別情報を記憶する資産情報記憶部を備えており，前記特定処理部は，前記通信中継装置からＳＮＭＰトラップを受け付けた場合には，前記ＳＮＭＰトラップを発信した通信中継装置を特定し，前記特定した通信中継装置に接続しているネットワーク機器の一部または全部を前記資産情報記憶部に基づいて特定する，ネットワーク監視システムのように構成することができる。

また，上述の発明において，前記ネットワーク監視システムは，さらに，前記ネットワーク機器の識別情報，接続する通信中継装置の識別情報を記憶する資産情報記憶部を備えており，前記特定処理部は，前記通信中継装置からシステムログを受け付けた場合には，前記システムログが所定の条件を充足していると判定した場合に，前記システムログから識別情報を抽出して，その識別情報に対応するネットワーク機器を前記資産情報記憶部に基づいて特定する，ネットワーク監視システムのように構成することができる。

これらの発明のように構成することで，ウィルス等に感染したネットワーク機器を適切に特定することが可能となる。

上述の発明では，前記ネットワーク遮断要求通知を受け付けたネットワーク機器において，前記ネットワーク通信の遮断処理として，前記ネットワークを管理する所定のコンピュータとの間のネットワーク通信以外のネットワーク通信を無効にする制御処理を実行する，ネットワーク監視システムのように構成することができる。

ネットワーク遮断要求通知でネットワーク機器のすべてのネットワーク通信を遮断することも可能であるが，その場合，当該ネットワーク機器での振る舞いを示す操作ログ情報を取得することができなくなる。そのため，当該ネットワーク機器が実際に感染したのか，どのような不正な操作等が行われているのかを監視することができなくなる。そこで本発明のように構成することで、所定のサーバとのネットワーク通信以外の通信を無効にすることで，所定のサーバにおいては，当該ネットワーク機器からの情報の取得が可能になり，操作ログ情報が取得可能となる。

上述の発明において，前記ネットワーク遮断要求処理部は，前記ネットワーク遮断要求通知を送ったネットワーク機器から，その通知に対する応答を受け取れなかった場合には，再度，前記ネットワーク機器に対して，前記ネットワーク遮断要求通知を送る，ネットワーク監視システムのように構成することができる。

ネットワーク遮断要求通知は，ネットワーク機器をネットワークから切り離すための重要な通知である。そのため，当該ネットワーク機器に当該通知が届いていない場合には，そのネットワーク機器に対して，再度の通知を行うことでその確実性を向上させることができる。

上述の発明において，前記特定処理部は，前記通信中継装置からＳＮＭＰトラップを受け付けた場合には，前記ＳＮＭＰトラップを発信した通信中継装置を特定し，前記特定した通信中継装置に接続しているネットワーク機器と，前記特定した通信中継装置の上位階層にある通信中継装置およびその通信中継装置に接続しているネットワーク機器と，を前記資産情報記憶部に基づいて特定する，ネットワーク監視システムのように構成することができる。

本発明のように構成することで，ウィルス等の感染の恐れがある影響範囲のネットワーク機器もネットワークから切り離すことが可能となる。これによって，感染の拡大を防止することができる。

第１の発明は，本発明のプログラムをコンピュータに読み込ませて実行することで実現できる。すなわち，コンピュータを，少なくとも一以上のネットワーク機器と接続する通信中継装置から，前記ネットワーク機器の状態を示す情報を受け付ける情報受付処理部，前記受け付けた情報に基づいて，前記ネットワーク機器を特定する特定処理部，前記特定したネットワーク機器に対してネットワーク遮断要求通知を送るネットワーク遮断要求処理部，として機能させるプログラムであって，前記ネットワーク遮断要求通知を受け付けたネットワーク機器において，前記ネットワーク遮断要求通知に対応するネットワーク通信の遮断処理を実行させる，プログラムである。

本発明のネットワーク監視システムを用いることによって，感染の疑いがあるコンピュータに対して，直接，制御を行うので，従来よりも確実に，ウィルス感染の拡大を防止することができる。また，感染の疑いがあるコンピュータに対してネットワーク遮断の制御指示を行う場合，当該コンピュータから応答を受け取ることで，その制御指示が確実に到達したことを確認できるので，ネットワーク遮断の確実性を高めることができる。

本発明のネットワーク監視システムのイメージ図の一例である。本発明のネットワーク監視システムの全体の概要を示す概念図の一例である。本発明のネットワーク監視システムにおける構成の一例を示す概念図である。コンピュータのハードウェア構成の一例を示す図である。ネットワーク構成の一例を示す図である。実施例１の処理プロセスの一例を示すフローチャートである。実施例２の処理プロセスの一例を示すフローチャートである。本発明のネットワーク監視システムにおける構成の一変形例を示す概念図である。本発明のネットワーク監視システムにおける構成の一変形例を示す概念図である。

本発明のネットワーク監視システム１のイメージ図の一例を図１に，全体の概要を示す概念図の一例を図２に，ネットワーク監視システム１の構成の一例を示す概念図を図３に示す。

ネットワーク監視システム１は，企業等のネットワークおよびそのネットワーク内のコンピュータを監視するためのコンピュータシステムであって，マスターサーバ２やクライアント端末４２などのネットワーク機器４と，通信中継装置３などから構成される。

ネットワーク監視システム１のマスターサーバ２，クライアント端末４２は，サーバやパーソナルコンピュータなどの各種のコンピュータにより実現される。図４にコンピュータのハードウェア構成の一例を示す。コンピュータは，プログラムの演算処理を実行するＣＰＵなどの演算装置７０と，情報を記憶するＲＡＭやハードディスクなどの記憶装置７１と，ディスプレイなどの表示装置７２と，キーボードやポインティングデバイス（マウスやテンキーなど）などの入力装置７３と，演算装置７０の処理結果や記憶装置７１に記憶する情報をインターネットやＬＡＮなどのネットワークを介して送受信する通信装置７４とを有している。

図１乃至図３ではマスターサーバ２が一台のコンピュータで実現される場合を示したが，複数台のコンピュータにその機能が分散配置され，実現されても良い。

本発明における各手段は，その機能が論理的に区別されているのみであって，物理上あるいは事実上は同一の領域を為していても良い。

通信中継装置３は，マスターサーバ２が管理するネットワークに存在する装置であって，コンピュータ間の通信を中継する装置である。通信中継装置３には，後述するＵＴＭ装置が該当する。

ＵＴＭ装置は，統合脅威管理（Unified Threat Management）に用いる通信中継装置３であって，ファイアウォールやＶＰＮ，ウィルス対策，不正侵入検知や防御などのネットワークセキュリティに関する機能を備えている。ＵＴＭ装置としては，たとえばルータやスイッチングハブなどがその一例であるが，それに限定されるものではない。

ＵＴＭ装置は，何らかの異常を検知した場合，マスターサーバ２に対して異常通知を送る。異常通知としては，ＳＮＭＰトラップがその一例としてある。またＵＴＭ装置は，システムログ（Ｓｙｓｌｏｇ）をマスターサーバ２に送る。なお，ＵＴＭ装置としては，ＳＮＭＰトラップ，システムログの双方またはいずれか一方をマスターサーバ２に送ればよい。

ＳＮＭＰトラップとは，ＵＴＭ装置が，何かが発生したことをマスターサーバ２に知らせるために発信する通知である。ＳＮＭＰトラップの一例としては，「coldStart(0)」，「warmStart(1)」，「linkDown(2)」，「linkUp(3)」，「authenticationFailure(4)」，「egpNeighborLoss(5)」，「enterpriseSpecifi(6)」などがある。「coldStart(0)」は，ＵＴＭ装置が再起動したことを示す。「warmStart(1)」は，ＵＴＭ装置が初期化を実行したことを示す。「linkDown(2)」は，ＵＴＭ装置のインターフェイス（ポート番号など）がダウンしたことを示す。「linkUp(3)」は，ＵＴＭ装置のインターフェイス（ポート番号など）が回復したことを示す。「authenticationFailure(4)」は，誰かが不正なコミュニティ名を用いてＵＴＭ装置に問い合わせを試みたことを示す。「egpNeighborLoss(5)」は，Exterior Gateway Protocol（ＥＧＰ）の近接ルータがダウンしたことを示す。「enterpriseSpecifi(6)」は，ＵＴＭ装置を利用する企業等が独自に設定，定義したトラップ（通知）であることを示す。

またシステムログとは，ネットワーク上で発生した各種状況をシステム上の動作履歴として記録している情報であり，システムログにより，どのＩＰアドレスのネットワーク機器４がどういう状態にあるのかを把握することができる。システムログには，たとえば，「emerg」，「alert」，「crit」，「err」，「warn」，「notice」，「info」などの情報が危険状態（プライオリティ）として記録される。「emerg」は，システムが落ちるような非常に危険な状態であることを示す。「alert」は，緊急に対応すべきエラーを示す（危険な状態を示す）。「crit」は，致命的なエラーを示す（危険な状態を示す）。「err」は一般的なエラーを示す。「warn」は，システムからの警告を示す。「notice」は，システムからの通知を示す。「info」は，システムからの情報を示す。このように，システムログに上記情報が含まれている火などに基づいて，マスターサーバ２はシステムの異常状態か否かを判定する。

ネットワーク機器４は，ネットワークにあるコンピュータであって，たとえばユーザが操作するクライアント端末４２，データサーバやアプリケーションサーバなどの各種サーバ，ＭＦＰ（複合機：MultiFunctionProduct）などのネットワーク対応ハードウェアが該当する。

ネットワーク機器４は，ネットワーク内のＵＴＭ装置を介して情報の送受信を行う。図５に，企業等で用いられるネットワークの構成の一例を示す。

クライアント端末４２などのネットワーク機器４には，あらかじめマスターサーバ２からのネットワーク遮断要求通知に対応する処理を実行するエージェントプログラム（クライアント側処理部４１）が記憶されている。

クライアント側処理部４１は，後述するマスターサーバ２のネットワーク遮断要求処理部２４からネットワーク遮断要求通知を受け付けた場合，当該マスターサーバ２に対して，当該通知を受信した旨の応答を返し，ネットワーク通信の遮断処理を実行する。なお，ネットワーク通信の遮断処理とは，あらかじめ定められた通信以外のネットワーク通信をすべて無効にする処理である。あらかじめ定められた通信とは，ネットワーク機器４とマスターサーバ２との間の通信以外の通信であることが好ましいが，それ以外のコンピュータとの通信が許可されてもよい。

ネットワーク機器４のクライアント側処理部４１は，上記ネットワーク遮断要求通知に対する処理のほか，当該ネットワーク機器４において行われる操作ログ情報を収集しており，定期的または不定期にマスターサーバ２に操作ログ情報を送信する。

マスターサーバ２は，情報受付処理部２１と特定処理部２２と資産情報記憶部２３とネットワーク遮断要求処理部２４とを備える。

情報受付処理部２１は，通信中継装置３からＳＮＭＰトラップまたはシステムログを受け付ける。そして受け付けたＳＮＭＰトラップまたはシステムログに基づいて，ネットワーク機器４に異常が発生していることを判定する。

マスターサーバ２が，たとえばクライアント端末４２が接続するＵＴＭ装置から発信されたＳＮＭＰトラップを検出し，どのＵＴＭ装置から発信されたＳＮＭＰトラップかを特定する。ＳＮＭＰトラップは一般的に，異常があった場合に発信される通知であるので，かかる通知を検出することで，異常の発生を判定可能である。

また，マスターサーバ２が，たとえばクライアント端末４２が接続するＵＴＭ装置から発信されたシステムログを取得した場合，システムログに異常を示す所定のキーワードが含まれるかなどの，異常を示すとしてあらかじめ設定された条件を充足するかを判定する。あらかじめ設定された条件としては，たとえばシステムログに，「emerg」，「alert」，「crit」，「err」，「warn」，「notice」，「info」などの情報が含まれているか，などがある。そしてシステムログに含まれるＩＰアドレスを抽出する。

なお，情報受付処理部２１では，通信中継装置３から受け取ったＳＮＭＰトラップやシステムログを所定の記憶部（図示せず）にログとして記憶しておく。

特定処理部２２は，情報受付処理部２１で特定したＳＮＭＰトラップを発信した通信中継装置３に接続されているネットワーク機器４，またはシステムログに含まれるＩＰアドレスに対応するネットワーク機器４を，後述する資産情報記憶部２３に記憶する資産情報に基づいて特定する。この際に特定するのは，当該ネットワーク機器４のネットワーク上の識別情報（ＩＰアドレスなど）と，ハードウェアの識別情報（ＭＡＣアドレスなど）を特定する。

資産情報記憶部２３では，マスターサーバ２が管理するネットワークに接続されているすべてのネットワーク機器４および通信中継装置３の端末識別情報（端末ＩＤ），ネットワーク上の識別情報（ＩＰアドレスなど），ハードウェアの識別情報（ＭＡＣアドレスなど），部署名，ユーザ名，接続先の通信中継装置３の識別情報（端末識別情報，ネットワーク上の識別情報，ハードウェアの識別情報のいずれでもよい。本明細書では同様）などを記憶する。なお，資産情報記憶部２３は，資産情報を管理するデータベースサーバとして独立していてもよい。

ネットワーク遮断要求処理部２４は，特定処理部２２で特定したネットワーク機器４に対して，当該ネットワーク機器４のネットワーク通信の遮断の要求通知を行う。このネットワーク遮断要求は，ＵＤＰ通信により行うことが好ましい。ＵＤＰ通信を用いることで，ＴＣＰ通信を用いる場合よりも高速度で行うことができる。これによって，迅速性が求められるセキュリティに対する対処としては，早期に当該ネットワーク機器４をネットワークから切り離すことが可能となる。

つぎに本発明のネットワーク監視システム１の処理プロセスの一例を図６のフローチャートを用いて説明する。なお，実施例１ではＳＮＭＰトラップの場合を説明する。またマスターサーバ２が管理するネットワークの構成が図５であるとする。

通信中継装置３であるＵＴＭ装置は，ネットワーク内におけるネットワーク機器４，たとえばクライアント端末４２において何らかの異常を検知すると，その検知した異常に応じたＳＮＭＰトラップをマスターサーバ２に発信する。マスターサーバ２の情報受付処理部２１では，ＵＴＭ装置から発信されたＳＮＭＰトラップを検出することで異常があったことを判定する（Ｓ１００）。そして，ＳＮＭＰトラップに含まれるＵＴＭ装置の識別情報などを抽出し，どのＵＴＭ装置から発信されたＳＮＭＰトラップであるかを特定する（Ｓ１１０）。たとえばＳＮＭＰトラップを発信したＵＴＭ装置がＵＴＭ装置ｃであることを特定したとする。

ＵＴＭ装置ｃから発信されたＳＮＭＰトラップであることを特定すると，マスターサーバ２の特定処理部２２は，ＵＴＭ装置ｃの情報を用いて資産情報記憶部２３を参照し，ＵＴＭ装置ｃに接続しているネットワーク機器４を特定する（Ｓ１２０）。この場合，ＵＴＭ装置ｃには，クライアント端末４２ｂ，データサーバｃが接続していることを特定する。また，特定処理部２２は，特定したネットワーク機器４のＩＰアドレスおよびＭＡＣアドレスを資産情報記憶部２３から抽出する。

そしてネットワーク遮断要求処理部２４は，抽出したＩＰアドレスおよびＭＡＣアドレスに基づいて，特定したネットワーク機器４に対して，ネットワーク遮断要求通知をＵＤＰ通信により送る（Ｓ１３０）。すなわち，ここではクライアント端末４２ｂ，データサーバｃに対して，それぞれのＩＰアドレスおよびＭＡＣアドレスを用いてネットワーク遮断要求通知を送ることとなる。

そしてマスターサーバ２のネットワーク遮断要求処理部２４から送られた，ＵＤＰ通信によるネットワーク遮断要求通知を受け付けたネットワーク機器４，ここではクライアント端末４２ｂ，データサーバｃのクライアント側処理部４１は，ネットワーク遮断要求通知を受け付けた旨の応答をマスターサーバ２に返す（Ｓ１４０）。そして，当該ネットワーク機器４のネットワーク通信の遮断処理を実行する（Ｓ１５０）。なお，Ｓ１４０の応答を受け取ったマスターサーバ２のネットワーク遮断要求処理部２４は，資産情報記憶部２３における，当該通知を送ったネットワーク機器４について，ネットワーク通信の遮断処理が実行されたことを示す情報を記憶させる。

ネットワーク通信の遮断処理が実行されても，ネットワーク機器４では，ネットワーク機器４とマスターサーバ２との間の通信以外の通信が遮断され，ネットワーク機器４とマスターサーバ２との間の通信は遮断されない。そのため，たとえばクライアント端末４２ｂやデータサーバｃにおける操作ログ情報は，Ｓ１５０でネットワーク通信の遮断処理がされた場合であってもマスターサーバ２に送られるので，ネットワーク遮断中にも操作ログ情報を収集することができる。

マスターサーバ２のネットワーク遮断要求処理部２４は，Ｓ１３０で送ったネットワーク遮断要求通知から所定時間内にＳ１４０の応答が返ってこない場合，Ｓ１３０のネットワーク遮断要求通知を再度，通知する。この再通知は，所定時間ごとに所定回数だけ行う。所定回数の再通知をしても応答が返ってこない場合には，マスターサーバ２のネットワーク遮断要求処理部２４は，当該通知を送ったネットワーク機器４は，すでにネットワークから切り離されていると判定する。

ＳＮＭＰトラップでは「何番ポートがダウンした」という内容まで特定可能であるので，特定処理部２２は，当該ポートに接続するネットワーク機器４を特定した上で，当該ネットワーク機器４のみを遮断するように構成してもよい。その場合，資産情報記憶部２３には，ＵＴＭ装置のポートにはどのネットワーク機器４が接続しているか，あるいはネットワーク機器４はＵＴＭ装置の何番ポートに接続しているか，の情報が含まれていることが好ましい。なお，ネットワーク機器４のみを遮断する手段として，通信中継装置３がＬ３（ＯＳＩ参照モデルレイヤー３）レベルの通信中継機能を有している場合には，ＩＰアドレスを用いた遮断を行うようにしてもよい。

さらに，特定処理部２２は，Ｓ１１０で特定したＵＴＭ装置の上位階層に位置するほかの通信中継装置３，上述の例では，ＵＴＭ装置ｃの上位階層に位置するＵＴＭ装置ｂを特定し，そのＵＴＭ装置ｂに接続しているネットワーク機器４のＩＰアドレスおよびＭＡＣアドレスを特定し，Ｓ１３０のネットワーク遮断要求通知を送り，ネットワーク通信の遮断を実行してもよい。これによって，ランサムウェア感染の恐れがある影響範囲に対して，適切にその感染の抑止を行える。

加えて，ＳＮＭＰトラップを発信したＵＴＭ装置に接続されているデータサーバがある場合には，当該ＵＴＭ装置に接続されているクライアント端末４２のみならず，データサーバに対しても，Ｓ１３０のネットワーク遮断要求通知を送り，ネットワーク通信の遮断を実行してもよい。

つぎに本発明のネットワーク監視システム１の処理プロセスのほかの一例を図７のフローチャートを用いて説明する。なお，実施例２ではシステムログの場合を説明する。またマスターサーバ２が管理するネットワークの構成が図５であるとする。

通信中継装置３であるＵＴＭ装置は，定期的にまたは不定期にシステムログをマスターサーバ２に送り，マスターサーバ２の情報受付処理部２１が，ＵＴＭ装置から発信されたシステムログを取得する（Ｓ２００）。そして，情報受付処理部２１はシステムログに，異常を示す所定のキーワードが含まれるかなどの，異常を示すとしてあらかじめ設定された条件を充足するかを判定する（Ｓ２１０）。

Ｓ２１０において，異常を示すとしてあらかじめ設定された条件を充足するシステムログがあることを情報受付処理部２１が判定した場合，情報受付処理部２１は，当該システムログにおけるＩＰアドレスを抽出する（Ｓ２２０）。

そして，マスターサーバ２の特定処理部２２は，Ｓ２２０で抽出したＩＰアドレスを用いて資産情報記憶部２３を参照し，当該ＩＰアドレスに対応するネットワーク機器４を特定する（Ｓ２３０）。たとえば，クライアント端末４２ｂを特定したとする。また，特定処理部２２は，特定したネットワーク機器４，上記ではクライアント端末４２ｂのＭＡＣアドレスを資産情報記憶部２３から抽出する。

そしてネットワーク遮断要求処理部２４は，システムログから抽出したＩＰアドレスおよび資産情報記憶部２３から抽出したＭＡＣアドレスに基づいて，特定したネットワーク機器４に対して，ネットワーク遮断要求通知をＵＤＰ通信により送る（Ｓ２４０）。すなわち，ここではクライアント端末４２ｂに対して，そのＩＰアドレスおよびＭＡＣアドレスを用いてネットワーク遮断要求通知を送ることとなる。

そしてマスターサーバ２のネットワーク遮断要求処理部２４から送られた，ＵＤＰ通信によるネットワーク遮断要求通知を受け付けたネットワーク機器４，ここではクライアント端末４２ｂのクライアント側処理部４１は，ネットワーク遮断要求通知を受け付けた旨の応答をマスターサーバ２に返す（Ｓ２５０）。そして，当該ネットワーク機器４のネットワーク通信の遮断処理を実行する（Ｓ２６０）。なお，Ｓ２５０の応答を受け取ったマスターサーバ２のネットワーク遮断要求処理部２４は，資産情報記憶部２３における，当該通知を送ったネットワーク機器４について，ネットワーク通信の遮断処理が実行されたことを示す情報を記憶させる。

ネットワーク通信の遮断処理が実行されても，ネットワーク機器４では，ネットワーク機器４とマスターサーバ２との間の通信以外の通信が遮断され，ネットワーク機器４とマスターサーバ２との間の通信は遮断されない点は，実施例１と同様である。

マスターサーバ２のネットワーク遮断要求処理部２４は，Ｓ２４０で送ったネットワーク遮断要求通知から所定時間内にＳ２５０の応答が返ってこない場合，Ｓ２４０のネットワーク遮断要求通知を再度，通知する。この再通知は，所定時間ごとに所定回数だけ行う。所定回数の再通知をしても応答が返ってこない場合には，マスターサーバ２のネットワーク遮断要求処理部２４は，当該通知を送ったネットワーク機器４は，すでにネットワークから切り離されていると判定する。

実施例１および実施例２において，一台のネットワーク機器４が，複数のルートでネットワークに接続する場合がある。たとえばネットワーク機器４がクライアント端末４２の場合，無線ＬＡＮを有効にしており，さらに有線でもＬＡＮ接続をする場合がある。このとき，無線接続，有線接続のそれぞれにおいて，別々のＵＴＭ装置を介してネットワーク通信がされる。さらに，ＩＰアドレスおよびＭＡＣアドレスは無線接続と有線接続とで別々に付与される。

上記のように，複数のルートでネットワークに接続している場合に，そのネットワーク機器４が接続しているＵＴＭ装置から，マスターサーバ２がＳＮＭＰトラップを検出した場合，複数のＵＴＭ装置（有線ＬＡＮのＵＴＭ装置，無線ＬＡＮのＵＴＭ装置）からＳＮＭＰトラップを検出することとなる。その場合，マスターサーバ２の情報受付処理部２１は，それぞれのＳＮＭＰトラップを発信したＵＴＭ装置を特定する。そして，特定処理部２２は，特定したそれぞれのＵＴＭ装置に接続しているネットワーク機器４のＩＰアドレスとＭＡＣアドレスを抽出する。

あるいはシステムログをＵＴＭ装置から受け付ける場合，複数のシステムログにおいて，所定条件を充足することを判定できる。その場合，複数のシステムログからは異なるＩＰアドレスを抽出する。そして特定処理部２２は，それらのＩＰアドレスに基づいて，資産情報記憶部２３を参照し，それぞれのＩＰアドレスに対応するネットワーク機器４のＭＡＣアドレスを抽出する。

このようにして抽出したＭＡＣアドレスや，資産情報記憶部２３を参照した際の端末ＩＤが共通している場合，同一のネットワーク機器４であると判定できるので，ネットワーク遮断要求処理部２４は，かかる判定をした場合には，一つのネットワーク機器４に対してのみ，ネットワーク遮断要求通知を送る。

以上のような処理を実行することで，不要なネットワーク遮断要求通知を発信しないように構成することができる。

実施例１乃至実施例３の変形例として，ネットワーク監視システム１は，以下の構成を採ることも可能である。

マスターサーバ２は，通信中継装置３から受け付けるＳＮＭＰトラップの通知内容と重要度（重要ポイント）とを対応付けて記憶する通知重要度記憶部２５を備える。また，マスターサーバ２は，情報受付処理部２１で受け付けたＳＮＭＰトラップを，受け付けた日時情報とともに記憶するＳＮＭＰ通知記憶部２６を備える。この場合のネットワーク監視システム１の全体の概念の一例を図８に示す。

そして，マスターサーバ２の特定処理部２２は，同一のＭＡＣアドレスに対する一定の時間内のＳＮＭＰトラップをＳＮＭＰ通知記憶部２６を参照して特定し，特定したＳＮＭＰトラップの通知内容と重要度に基づいて，通知重要度記憶部２５を参照することでポイント化する。そして，合計した当該ＭＡＣアドレスに対する重要ポイントの合計値が所定値を超えた場合に，Ｓ１２０以降の処理，すなわち，資産情報記憶部２３を参照して，ネットワーク機器４の特定処理などを実行するようにしてもよい。なお，同一のＭＡＣアドレス以外にも，同一のＩＰアドレスやネットワークポートとしてもよく，ネットワークにおけるネットワーク機器４の識別のために用いる情報であればいかなるものであってもよい。

異なる変形例として，マスターサーバ２は，通信中継装置３から受け付けるシステムログの状態と重要度（重要ポイント）とを対応付けて記憶する状態重要度記憶部２７を備える。また，マスターサーバ２は，情報受付処理部２１で受け付けたシステムログを，受け付けた日時情報とともに記憶するシステムログ記憶部２８を備える。この場合のネットワーク監視システム１の全体の概念の一例を図９に示す。

そして，マスターサーバ２の特定処理部２２は，同一のＩＰアドレスに対する一定の時間内のシステムログをシステムログ記憶部２８を参照して特定し，特定したシステムログの状態と重要度に基づいて，状態重要度記憶部２７を参照することでポイント化する。そして，合計した当該ＩＰアドレスに対する重要ポイントの合計値が所定値を超えた場合に，Ｓ２３０以降の処理，すなわち，資産情報記憶部２３を参照して，ネットワーク機器４の特定処理などを実行するようにしてもよい。

なお，実施例４と実施例５については，ネットワーク監視システム１の機能として同時に備えていてもよい。

実施例４，５の異なる変形例として，特定処理部２２で特定してネットワーク遮断要求処理部２４がネットワーク通信の遮断の要求通知を送ったネットワーク機器４のＩＰアドレスと同じセグメント情報を有する，ほかのネットワーク機器４を，資産情報記憶部２３を参照して特定する。そして，特定した，ほかのネットワーク機器４について，重要ポイントの合計値と比較する所定値（閾値）は，通常よりも低い値（検出しやすい値）とするように設定してもよい。

また，特定処理部２２で特定してネットワーク遮断要求処理部２４がネットワーク通信の遮断の要求通知を送ったネットワーク機器４と同じポートに接続する，ほかのネットワーク機器４を，資産情報記憶部２３を参照して特定する。そして，特定した，ほかのネットワーク機器４について，重要ポイントの合計値と比較する所定値（閾値）は，遮断されていないほかのポートとは異なる値，たとえば，ほかのポートに接続されているネットワーク機器４の合計値と比較する所定値（閾値）よりも低い値（検出しやすい値）とするように設定してもよい。

本発明のネットワーク監視システム１を用いることによって，感染の疑いがあるコンピュータに対して，直接，制御を行うので，従来よりも確実に，ウィルス感染の拡大を防止することができる。また，感染の疑いがあるコンピュータに対してネットワーク遮断の制御指示を行う場合，当該コンピュータから応答を受け取ることで，その制御指示が確実に到達したことを確認できるので，ネットワーク遮断の確実性を高めることができる。

１：ネットワーク監視システム
２：マスターサーバ
３：通信中継装置
４：ネットワーク機器
２１：情報受付処理部
２２：特定処理部
２３：資産情報記憶部
２４：ネットワーク遮断要求処理部
２５：通知重要度記憶部
２６：ＳＮＭＰ通知記憶部
２７：状態重要度記憶部
２８：システムログ記憶部
４１：クライアント側処理部
４２：クライアント端末
７０：演算装置
７１：記憶装置
７２：表示装置
７３：入力装置
７４：通信装置

Claims

ネットワーク内のネットワーク機器の監視に用いるネットワーク監視システムであって，
前記ネットワーク監視システムは，
少なくとも一以上のネットワーク機器と接続する通信中継装置から，前記ネットワーク機器の状態を示す情報を受け付ける情報受付処理部と，
前記受け付けた情報に基づいて，前記ネットワーク機器を特定する特定処理部と，
前記特定したネットワーク機器に対してネットワーク遮断要求通知を送るネットワーク遮断要求処理部と，
を備えており，
前記ネットワーク遮断要求通知を受け付けたネットワーク機器において，
前記ネットワーク遮断要求通知に対応するネットワーク通信の遮断処理を実行させる，
ことを特徴とするネットワーク監視システム。
前記ネットワーク遮断要求処理部は，
前記ネットワーク遮断要求通知をＵＤＰ通信により送ることで，前記ネットワーク遮断要求通知を受け付けたネットワーク機器において，前記ネットワーク遮断要求通知を受け付けた旨の応答を返させて，その応答を受け取る，
ことを特徴とする請求項１に記載のネットワーク監視システム。
前記ネットワーク監視システムは，さらに，
前記ネットワーク機器の識別情報，接続する通信中継装置の識別情報を記憶する資産情報記憶部を備えており，
前記特定処理部は，
前記通信中継装置からＳＮＭＰトラップを受け付けた場合には，前記ＳＮＭＰトラップを発信した通信中継装置を特定し，前記特定した通信中継装置に接続しているネットワーク機器の一部または全部を前記資産情報記憶部に基づいて特定する，
ことを特徴とする請求項１または請求項２に記載のネットワーク監視システム。
前記ネットワーク監視システムは，さらに，
前記ネットワーク機器の識別情報，接続する通信中継装置の識別情報を記憶する資産情報記憶部を備えており，
前記特定処理部は，
前記通信中継装置からシステムログを受け付けた場合には，前記システムログが所定の条件を充足していると判定した場合に，前記システムログから識別情報を抽出して，その識別情報に対応するネットワーク機器を前記資産情報記憶部に基づいて特定する，
ことを特徴とする請求項１から請求項３のいずれかに記載のネットワーク監視システム。
前記ネットワーク遮断要求通知を受け付けたネットワーク機器において，
前記ネットワーク通信の遮断処理として，前記ネットワークを管理する所定のコンピュータとの間のネットワーク通信以外のネットワーク通信を無効にする制御処理を実行する，
ことを特徴とする請求項１から請求項４のいずれかに記載のネットワーク監視システム。
前記ネットワーク遮断要求処理部は，
前記ネットワーク遮断要求通知を送ったネットワーク機器から，その通知に対する応答を受け取れなかった場合には，再度，前記ネットワーク機器に対して，前記ネットワーク遮断要求通知を送る，
ことを特徴とする請求項２から請求項５のいずれかに記載のネットワーク監視システム。
前記特定処理部は，
前記通信中継装置からＳＮＭＰトラップを受け付けた場合には，前記ＳＮＭＰトラップを発信した通信中継装置を特定し，前記特定した通信中継装置に接続しているネットワーク機器と，前記特定した通信中継装置の上位階層にある通信中継装置およびその通信中継装置に接続しているネットワーク機器と，を前記資産情報記憶部に基づいて特定する，
ことを特徴とする請求項１から請求項６のいずれかに記載のネットワーク監視システム。
コンピュータを，
少なくとも一以上のネットワーク機器と接続する通信中継装置から，前記ネットワーク機器の状態を示す情報を受け付ける情報受付処理部，
前記受け付けた情報に基づいて，前記ネットワーク機器を特定する特定処理部，
前記特定したネットワーク機器に対してネットワーク遮断要求通知を送るネットワーク遮断要求処理部，
として機能させるプログラムであって，
前記ネットワーク遮断要求通知を受け付けたネットワーク機器において，
前記ネットワーク遮断要求通知に対応するネットワーク通信の遮断処理を実行させる，
ことを特徴とするプログラム。