JP2018191121A

JP2018191121A - アクセス制御システム

Info

Publication number: JP2018191121A
Application number: JP2017091605A
Authority: JP
Inventors: 渡辺　光弘; Mitsuhiro Watanabe; 光弘渡辺
Original assignee: Allied Telesis Holdings KK
Current assignee: Allied Telesis Holdings KK
Priority date: 2017-05-02
Filing date: 2017-05-02
Publication date: 2018-11-29
Anticipated expiration: 2037-05-02
Also published as: US10666651B2; JP6938205B2; US20180324180A1

Abstract

【課題】ネットワークにおいて異常な振る舞いを検知した場合のアクセス制御等を行うアクセス制御システムを提供することを目的とする。【解決手段】ＳＤＮによって構築されたプライベートネットワークの内部または外部に設置されたセキュリティシステムにおいて作成された，異常な振る舞いを行った被疑端末を識別する情報を含む電子メールのメッセージを受信する電子メールサーバから，その電子メールのメッセージを取得するメッセージ取得処理部を備えており，メッセージ取得処理部は，プライベートネットワークのＳＤＮコントローラから，被疑端末または被疑端末の通信を制御するエッジネットワークデバイスに対して，取得した電子メールのメッセージに基づく制御命令を通知させることで，被疑端末またはエッジネットワークデバイスにおいて，被疑端末のアクセス制御処理を実行させる，アクセス制御システムである。【選択図】図１

Description

本発明は，ネットワークに接続されたデバイスの異常な振る舞いを検知した場合のアクセス制御等を行うアクセス制御システムに関する。

企業や官公庁などの組織（以下，「組織等」という）では，その日常業務において，複数のコンピュータを利用しており，それぞれのコンピュータは組織等の内部でネットワークで接続されている。そして組織等のネットワークの外部からの不正なアクセス等の不正攻撃を防止するため，一定のセキュリティ対策が施されていることが一般的である。

もし不正攻撃などによる異常通信を検知した場合には，その異常通信による被害の拡大を防止するため，アクセス制御による遮断等を行う。このようなアクセス制御を行うための方法として，従来は，ネットワークの制御・管理を行うコンピュータがｓｙｓｌｏｇやＳＮＭＰトラップを用いて異常通信の発生を通知し，それに基づいてルータなどの所定のネットワーク中継機器が通信を遮断するなどのアクセス制御を行う。このような従来のアクセス制御の一例を下記特許文献１に示す。

特開２０１５−１２７８４３号公報

特許文献１のようにｓｙｓｌｏｇやＳＮＭＰトラップは，一般的にＵＤＰ通信により通知が行われる。ＵＤＰ通信は，一方的に通知を送り，その到達の保証をしていないため，仮に通知が到達していない場合には，アクセス制御を行うことができない点でセキュリティ上の問題がある。

また，ネットワークの制御・管理を行うコンピュータが，組織等のネットワークの外部にある場合，ｓｙｓｌｏｇやＳＮＭＰトラップでは，組織等の内部のネットワークに設置されたルータなどのネットワーク機器への通信が容易に行えない場合が多い。そのため，ＶＰＮ環境を整備する，ファイヤーウォールに穴を空ける，グローバルＩＰアドレスとプライベートＩＰアドレスとの対応をとる，などの解決策が必要となる。これらは上記解決策を用いれば対応できるが，その対応のためには別途，システムの改良が必要となり，経済的な負担も伴う。また，ファイヤーウォールに穴を空けることになるので，セキュリティ上の懸念も生じる。

本発明者は上記課題に鑑み，異常な振る舞いを検知した場合に，セキュリティを確保しながら簡便に対応することが可能なアクセス制御システムを発明した。

第１の発明は，ＳＤＮによって構築されたプライベートネットワークにおけるアクセス制御を行うアクセス制御システムであって，前記アクセス制御システムは，前記プライベートネットワークの内部または外部に設置されたセキュリティシステムにおいて作成された，被疑端末を識別する情報を含む電子メールのメッセージを受信する電子メールサーバから，その電子メールのメッセージを取得するメッセージ取得処理部を備えており，前記メッセージ取得処理部は，前記プライベートネットワークにおけるＳＤＮコントローラから，前記被疑端末または前記被疑端末の通信を制御するエッジネットワークデバイスに対して，前記取得した電子メールのメッセージに基づく制御命令を通知させることで，前記被疑端末または前記エッジネットワークデバイスにおいて，前記被疑端末のアクセス制御処理を実行させる，アクセス制御システムである。

従来，ｓｙｓｌｏｇやＳＮＭＰトラップではプライベートネットワークに設置されたファイヤーウォールによるアクセス制限の結果，それらの通信を許容するため，ＶＰＮ環境の整備などの解決策が必要であった。一方，組織等で用いられるプライベートネットワークでは電子メールが利用されていることが一般的であって，電子メールのメッセージはファイヤーウォールにおけるアクセス上の制限はかかっていない。そこで，本発明のように，電子メールのメッセージを利用して被疑端末の情報をＳＤＮコントローラに通知することで，ＶＰＮ環境の整備などの解決策が不要となる。さらに，ｓｙｓｌｏｇやＳＮＭＰトラップで用いられることが多いＵＤＰ通信とは異なり，電子メールのメッセージで通知をするので，その通知の到達性が従来よりも高くなる。

上述の発明において，前記電子メールのメッセージの一部または全部は，前記ＳＤＮコントローラが理解不能なコードで記述されており，前記メッセージ取得処理部は，前記取得した電子メールのメッセージを，前記ＳＤＮコントローラが理解可能な情報に変換をしたあとに，前記ＳＤＮコントローラから前記被疑端末または前記エッジネットワークデバイスに対して，前記変換後の情報に対応する制御命令を通知させることで，前記被疑端末または前記エッジネットワークデバイスにおいて，前記被疑端末のアクセス制御処理を実行させる，アクセス制御システムのように構成することができる。

日本の電子メールのメッセージの一部または全部にはマルチバイト文字のコードが利用されている。ＳＤＮコントローラには，マルチバイト文字を理解することができないものもある。そのため，電子メールのメッセージをそのまま取得しても，被疑端末やエッジネットワークデバイスに対して制御命令を通知することはできない。そこで，ＳＤＮコントローラが理解可能な情報に変換をすることで，ＳＤＮコントローラから制御命令を通知させることが可能となる。

上述の発明において，前記電子メールのメッセージには，さらに，前記アクセス制御処理の制御内容を示す情報が含まれており，前記メッセージ取得処理部は，前記被疑端末または前記エッジネットワークデバイスに対して，前記制御内容に対応する制御命令を通知する，アクセス制御システムのように構成することができる。

上述の発明において，前記電子メールのメッセージには，さらに，前記被疑端末の異常状態を示す情報が含まれており，前記メッセージ取得処理部は，前記異常状態を示す情報に対応するアクセス制御処理の制御内容を特定し，前記被疑端末または前記エッジネットワークデバイスに対して，前記制御内容に対応する制御命令を通知する，アクセス制御システムのように構成することができる。

これらの発明のように，電子メールのメッセージに制御内容を示す情報や異常状態を示す情報を含めることで，それらに応じた制御命令を通知することが可能となる。これによって，アクセス制御処理の多様性を高めることができる。

第５の発明は，ＳＤＮによって構築されたプライベートネットワークにおけるアクセス制御を行うアクセス制御システムであって，前記アクセス制御システムは，前記プライベートネットワークにおける異常な振る舞いを検知すると，前記異常な振る舞いを行った利用者端末を被疑端末として特定し，その被疑端末の識別情報を含む電子メールのメッセージを作成する，前記プライベートネットワークの内部または外部にあるセキュリティシステムと，前記セキュリティシステムから送信された電子メールのメッセージを記憶する電子メールサーバと，前記プライベートネットワークにおける通信の制御を行い，前記電子メールサーバに記憶された電子メールのメッセージを取得するメッセージ取得処理部を備えたＳＤＮコントローラと，前記被疑端末の通信を制御するエッジネットワークデバイスと，を有しており，前記メッセージ取得処理部は，前記ＳＤＮコントローラから，前記被疑端末または前記エッジネットワークデバイスに対して，前記取得した電子メールのメッセージに基づく制御命令を通知させることで，前記被疑端末または前記エッジネットワークデバイスにおいて，前記被疑端末のアクセス制御処理を実行させる，アクセス制御システムである。

第６の発明は，ＳＤＮによって構築されたプライベートネットワークにおけるアクセス制御を行うアクセス制御システムであって，前記アクセス制御システムは，前記プライベートネットワークにおける異常な振る舞いを検知すると，前記異常な振る舞いを行った利用者端末を被疑端末として特定し，前記プライベートネットワークの所定の担当者により，前記特定した被疑端末の識別情報を含む電子メールのメッセージの作成を受け付けるセキュリティシステムと，前記セキュリティシステムから送信された電子メールのメッセージを記憶する電子メールサーバと，前記プライベートネットワークにおける通信の制御を行い，前記電子メールサーバに記憶された電子メールのメッセージを取得するメッセージ取得処理部を備えたＳＤＮコントローラと，前記被疑端末の通信を制御するエッジネットワークデバイスと，を有しており，前記メッセージ取得処理部は，前記ＳＤＮコントローラから，前記被疑端末または前記エッジネットワークデバイスに対して，前記取得した電子メールのメッセージに基づく制御命令を通知させることで，前記被疑端末または前記エッジネットワークデバイスにおいて，前記被疑端末のアクセス制御処理を実行させる，アクセス制御システムである。

これらの発明のように構成しても，第１の発明と同様の技術的効果を得ることができる。

上述の発明において，前記メッセージ取得処理部は，前記取得した電子メールにおける送信者の情報に基づいて，前記電子メールを送信したセキュリティシステムを特定し，前記特定したセキュリティシステムを識別する情報を，前記電子メールに基づいて変換するＳｙｓｌｏｇメッセージに挿入し，前記ＳＤＮコントローラは，前記Ｓｙｓｌｏｇメッセージにおける前記セキュリティシステムを識別する情報に基づいて，Ｓｙｓｌｏｇメッセージにおける情報を参照し，前記参照した情報に基づいて，前記制御命令を通知する，アクセス制御システムのように構成することができる。

企業などの組織等においては，セキュリティシステムが多層化され，複数，利用されている。そして利用者端末において何らかの異常な振る舞いを検知した場合，従来は，あらかじめ定められた管理者に対して電子メールで通知が行われている。そしてこの電子メールによるメッセージは，各セキュリティシステムによって相違している。本発明のアクセス制御システムでは，この電子メールによる通知を，あらかじめ定められた管理者に加えてまたは代えて取得することで，ＳＤＮコントローラによる被疑端末またはエッジネットワークデバイスの制御に利用している。そのため，かかる通知を取得したメッセージ取得処理部は，電子メールのメッセージに基づいて変換したｓｙｓｌｏｇメッセージについて，ｓｙｓｌｏｇメッセージのどの情報を参照したらよいのかを，セキュリティシステムを識別する情報に基づいて特定しなければならない。そこで，本発明のように構成することで，かかる処理が実行できる。

第８の発明は，プライベートネットワークにおけるアクセス制御を行うアクセス制御システムであって，前記アクセス制御システムは，プライベートネットワークの内部または外部に設置されたセキュリティシステムにおいて作成された，被疑端末を識別する情報を含むメッセージを受信するメッセージサーバから，そのメッセージを取得するメッセージ取得処理部を備えており，前記メッセージ取得処理部は，前記プライベートネットワークにおける通信を制御するコンピュータから，前記被疑端末または前記被疑端末の通信を制御するコンピュータに対して，前記取得したメッセージに基づく制御命令を通知させることで，前記被疑端末または前記被疑端末の通信を制御するコンピュータにおいて，前記被疑端末のアクセス制御処理を実行させ，前記メッセージは，前記プライベートネットワークにおけるファイヤーウォールで通過することが許容されているポートを利用するメッセージングサービスにおけるメッセージである，アクセス制御システムである。

プライベートネットワークの構築技術はＳＤＮに限定されるものではなく，またファイヤーウォールを通過することが許容されているポートを利用するメッセージングサービスによるメッセージであれば電子メールのメッセージに限定されるものではない。そのため，本発明のように構成することで，第１の発明と同様の技術的効果を得ることができる。

第９の発明は，コンピュータを，ＳＤＮによって構築されたプライベートネットワークの内部または外部に設置されたセキュリティシステムにおいて作成された，被疑端末を識別する情報を含む電子メールのメッセージを受信する電子メールサーバから，その電子メールのメッセージを取得するメッセージ取得処理部，として機能させるコンピュータプログラムであって，前記メッセージ取得処理部は，前記プライベートネットワークにおけるＳＤＮコントローラから，前記被疑端末または前記被疑端末の通信を制御するエッジネットワークデバイスに対して，前記取得した電子メールのメッセージに基づく制御命令を通知させることで，前記被疑端末または前記エッジネットワークデバイスにおいて，前記被疑端末のアクセス制御処理を実行させる，コンピュータプログラムである。

本発明のコンピュータプログラムをコンピュータに読み込ませて実行することで，第１の発明を構成することができる。そして，第１の発明と同様の技術的効果を得ることができる。

第１０の発明は，ＳＤＮによって構築されたプライベートネットワークにおけるアクセス制御を行うアクセス制御方法であって，前記アクセス制御方法は，前記プライベートネットワークの内部または外部にあるセキュリティシステムにおいて，前記プライベートネットワークにおける異常な振る舞いを検知すると，前記異常な振る舞いを行った利用者端末を被疑端末として特定し，その被疑端末の識別情報を含む電子メールのメッセージを作成するステップと，前記作成された電子メールのメッセージを電子メールサーバで記憶するステップと，前記プライベートネットワークにおける通信の制御を行うＳＤＮコントローラまたはあらかじめ定められたコンピュータにおいて，前記電子メールサーバに記憶する電子メールのメッセージを取得するステップと，前記取得した電子メールのメッセージの一部または全部を，前記ＳＤＮコントローラが理解不能なコードから，前記ＳＤＮコントローラが理解可能な情報に変換するステップと，前記ＳＤＮコントローラから前記被疑端末または前記被疑端末の通信を制御するエッジネットワークデバイスに対して，前記変換後の情報に対応する制御命令を通知するステップと，前記被疑端末または前記エッジネットワークデバイスにおいて，前記制御命令に基づいて前記被疑端末のアクセス制御処理を実行する，アクセス制御方法である。

本発明のアクセス制御方法をコンピュータを用いて実行することで，第１の発明と同様の技術的効果を得ることができる。

本発明を用いることで，異常な振る舞いを検知した場合に，セキュリティを確保しながら，簡便に対応することが可能なアクセス制御システムが可能となる。

本発明のアクセス制御システムの全体の概要の一例を模式的に示す図である。本発明のアクセス制御システムの全体の構成の一例を模式的に示す図である。本発明のアクセス制御システムで用いるコンピュータのハードウェア構成の一例を模式的に示す図である。本発明のアクセス制御システムにおける処理プロセスの一例を示すフローチャートである。監視コンピュータが送る電子メールのメッセージの一例を示す図である。監視センターコンピュータが送る電子メールのメッセージの一例を示す図である。図５の電子メールのメッセージをｓｙｓｌｏｇメッセージに変換した一例を示す図である。図６の電子メールのメッセージをｓｙｓｌｏｇメッセージに変換した一例を示す図である。実施例２におけるアクセス制御システムの全体の概要の一例を模式的に示す図である。実施例２におけるアクセス制御システムの全体の構成の一例を模式的に示す図である。

本発明のアクセス制御システム１の全体の概要の一例を図１に模式的に示す。また，本発明のアクセス制御システム１の全体の構成の一例を示す図である。

アクセス制御システム１は，組織等のネットワークやそのネットワーク内のコンピュータを監視するためのコンピュータシステムであって，ゲートウェイ２，ＳＤＮコントローラ３，セキュリティシステム６，ｓｙｓｌｏｇサーバ７，エッジネットワークデバイス４，利用者端末５，電子メールサーバ８などを有する。

アクセス制御システム１におけるゲートウェイ２，ＳＤＮコントローラ３，セキュリティシステム６，ｓｙｓｌｏｇサーバ７，エッジネットワークデバイス４，利用者端末５，電子メールサーバ８は，サーバやパーソナルコンピュータ，携帯電話（スマートフォンを含む）などの可搬型通信端末など，各種のコンピュータにより実現される。図３にコンピュータのハードウェア構成の一例を示す。コンピュータは，プログラムの演算処理を実行するＣＰＵなどの演算装置９０と，情報を記憶するＲＡＭやハードディスクなどの記憶装置９１と，ディスプレイなどの表示装置９２と，キーボードやポインティングデバイス（マウスやテンキーなど）などの入力装置９３と，演算装置９０の処理結果や記憶装置９１に記憶する情報をインターネットやＬＡＮなどのネットワークを介して送受信する通信装置９４とを有している。

各図では各コンピュータが一台のコンピュータで実現される場合を示したが，複数台のコンピュータにその機能が分散配置されていてもよい。本発明における各手段は，その機能が論理的に区別されているのみであって，物理上あるいは事実上は同一の領域を為していても良い。

組織等の内部のネットワーク（プライベートネットワーク）はクローズドネットワークであり，組織等の外部のネットワークはインターネットなどのオープンネットワークである。外部ネットワークにある，後述する監視コンピュータ６ｂ，監視センターコンピュータ６ｃ，電子メールサーバ８などは，クラウドネットワークにあってもよい。

ゲートウェイ２は，組織等の内部のネットワーク（プライベートネットワーク）と，その外部のネットワーク（たとえばインターネット）との間に存在するコンピュータであって，オープンネットワークからプライベートネットワークへの不正アクセスなどの不正攻撃を防止するためのファイヤーウォールなどの機能を備えている。ゲートウェイ２としてはたとえばルータを用いることができるが，それに限定されない。

プライベートネットワークではＳＤＮ（Software Defined Network）によるネットワーク管理技術が用いられており，ＳＤＮコントローラ３によってその通信を制御する。ＳＤＮコントローラ３は，ＳＤＮによって構築されたネットワークにおいてその通信を管理する。ＳＤＮコントローラ３は，ネットワークの制御や管理を行うソフトウェアであり，ＳＤＮコントローラ３はそのソフトウェアがコンピュータで実行されて稼働する。本明細書においては，ソフトウェアとしてのＳＤＮコントローラ３，それが稼働するコンピュータを総称してＳＤＮコントローラ３と称する。ＳＤＮとしてＯｐｅｎＦｌｏｗが用いられる場合，ＯｐｅｎＦｌｏｗコントローラがＳＤＮコントローラ３となる。

ＳＤＮによって構築されたネットワークにおいては，プライベートネットワーク内において，組織等に属する利用者が利用する利用者端末５はエッジネットワークデバイス４を介してプライベートネットワークに接続している。エッジネットワークデバイス４とは，データを転送するネットワーク機器であり，通信の終端として利用者端末５と接続している。エッジネットワークデバイス４には，利用者端末５から受け取ったパケットをどのように制御するかのルールを示すルールテーブル（フローテーブル）が記憶されており，それにしたがってパケットを処理する。またルールテーブルに記憶されていない場合には，当該パケットの処理を一時保留し，ＳＤＮコントローラ３に問い合わせをし，ＳＤＮコントローラ３からの制御命令に基づいて一時保留したパケットを処理する。また，場合によってはＳＤＮコントローラ３に当該パケットを送り，ＳＤＮコントローラ３で当該パケットを書き換えるなどし，書き換えられたパケットをＳＤＮコントローラ３から受け取って処理をする。ＳＤＮとしてＯｐｅｎＦｌｏｗ技術およびプロトコルが用いられる場合，ＯｐｅｎＦｌｏｗスイッチがエッジネットワークデバイス４となる。

ＳＤＮコントローラ３には，電子メールサーバ８のメールボックスに記憶された電子メールのメッセージを取得し，そのメッセージを用いて，被疑端末または被疑端末の通信制御を行うエッジネットワークデバイス４のアクセス制御を行うメッセージ取得処理部を備える。一般的に電子メールのメッセージはＳＤＮコントローラ３が理解不能（処理不能）なコード（文字コード）で記述されているので，メッセージ取得処理部は，ＳＤＮコントローラ３が理解可能（処理可能）なコード（文字コード）に変換をした上で，ｓｙｓｌｏｇメッセージを生成し，被疑端末またはエッジネットワークデバイス４のアクセス制御を行う。

利用者端末５は，組織等に属する利用者が利用するコンピュータであって，パーソナルコンピュータのほか，携帯電話，タブレット型コンピュータなどの可搬型通信端末が含まれる。

セキュリティシステム６は，プライベートネットワークの内部または外部にあり，コンピュータウィルス，マルウェアやランサムウェアなどによる不正な攻撃のほか，本来，プライベートネットワークに接続することが許容されていないコンピュータの不正な持ち込みによるプライベートネットワークへの接続など，ネットワークにおける異常な振る舞い（たとえば異常通信のほか，コンピュータウィルスへの感染，異常なアクセス操作など，プライベートネットワークに正規に接続されたコンピュータの正常な振る舞いとは異なる振る舞い）を検知する。異常な振る舞いを検知すると，その異常な振る舞いを行っている利用者端末５を被疑端末とし，そのＩＰアドレス，ＭＡＣアドレスなどの識別情報と，その異常検知原因を示す情報と，被疑端末または被疑端末を管理するエッジネットワークデバイス４に対する制御内容を含む電子メールのメッセージを作成し，あらかじめ定められた電子メールアドレスに対して，それを送信する。なお，セキュリティシステム６は，プライベートネットワーク内のほかのコンピュータから異常な振る舞いを検知したことを受け付けてもよい。また送信先としては，ＳＤＮコントローラ３または後述するメール用コンピュータ９におけるメッセージ取得処理部が電子メールを送受信するために用いる電子メールアドレスが設定される。

セキュリティシステム６としては，プライベートネットワークの内部に設けられる監視コンピュータ６ａ，プライベートネットワークの外部に設けられる監視コンピュータ６ｂ，有人で組織等のプライベートネットワークの監視を行う監視センターで利用されるコンピュータである監視センターコンピュータ６ｃなど，任意のコンピュータシステムまたはコンピュータプログラムがある。セキュリティシステム６は，一つのコンピュータシステムとして独立していてもよいし，利用者端末５に備えられるウィルス対策ソフトのようなコンピュータプログラムであってもよい。セキュリティシステム６における監視コンピュータ６ａ，監視コンピュータ６ｂ，監視センターコンピュータ６ｃはすべてを備えていなくてもよく，いずれか一以上あればよい。

セキュリティシステム６には，いずれもあらかじめ電子メールアドレスが割り当てられている。利用者端末５に異常な振る舞いがあった場合，通常は，この電子メールアドレスを用いて，プライベートネットワークの管理者に電子メールで通知が行われる。本発明のアクセス制御システム１においては、管理者に対する通知に加えまたはそれに代えて，所定の電子メールアドレスに対して通知が行われる。セキュリティシステム６が送信する電子メールには，検知エンジン情報，脅威検知カテゴリ，検知原因，被疑端末情報，被疑端末が取った不正アクションなどの情報が含まれていることが好ましいが，それに限定されるものではなく，各セキュリティシステム６によって相違する。

監視コンピュータ６ａは，プライベートネットワークの内部にあり，プライベートネットワーク内の通信を監視しており，利用者端末５の異常な振る舞いを検知する。異常な振る舞いを検知すると，その異常な振る舞いを行っているコンピュータ（被疑端末）のＩＰアドレス，ＭＡＣアドレスなどの識別情報と，その異常検知原因を示す情報と，被疑端末または被疑端末を管理するエッジネットワークデバイス４に対する制御内容を含む電子メールのメッセージを作成し，あらかじめ定められた電子メールアドレスに対して，それを送信する。

監視コンピュータ６ｂは，プライベートネットワークの外部にあり，プライベートネットワークとグローバルネットワークとの間の通信を監視しており，インターネットなどのグローバルネットワークからの不正攻撃などによる，利用者端末５の異常な振る舞いを検知する。異常な振る舞いを検知すると，その異常な振る舞いを行っているコンピュータ（被疑端末）のＩＰアドレス，ＭＡＣアドレスなどのネットワーク識別情報を含む電子メールのメッセージを作成し，あらかじめ定められた電子メールアドレスに対して，それを送信する。

監視センターコンピュータ６ｃは，有人で組織等のプライベートネットワークの監視を行う監視センターで利用されるコンピュータであって，プライベートネットワークの内部または外部にあり，プライベートネットワークとグローバルネットワークとの間の通信を監視している。そして，インターネットなどのグローバルネットワークからの不正攻撃などによる，利用者端末５の異常な振る舞いを検知する。異常な振る舞いを検知すると，その異常な振る舞いを行っているコンピュータ（被疑端末）のＩＰアドレス，ＭＡＣアドレスなどのネットワーク識別情報を含む電子メールメッセージを，監視センターコンピュータ６ｃの担当者が所定の操作をすることで作成し，あらかじめ定められた電子メールサーバ８に対して，それを送信する。

ｓｙｓｌｏｇサーバ７は，ログメッセージ（ｓｙｓｌｏｇ）を記憶するサーバである。

プライベートネットワークにあるゲートウェイ２，ＳＤＮコントローラ３，エッジネットワークデバイス４，監視コンピュータ６ａはそれぞれＵＴＭ（Unified Threat Management)として機能するコンピュータであるとよいが，それに限定するものではない。

つぎに本発明のアクセス制御システム１における処理プロセスの一例を図４のフローチャートを用いて説明する。

セキュリティシステム６における監視コンピュータ６ａ，監視コンピュータ６ｂは，プライベートネットワーク内における異常な振る舞いを検知すると（Ｓ１００），異常な振る舞いをしたコンピュータ（被疑端末）を識別する識別情報と，その異常検知原因を示す情報と，被疑端末または被疑端末を管理するエッジネットワークデバイス４に対する制御内容を含む電子メールのメッセージを作成する（Ｓ１１０）。たとえば，監視コンピュータ６ａ，監視コンピュータ６ｂは，図５に示す電子メールのメッセージを作成する。

監視コンピュータ６ａ，監視コンピュータ６ｂが作成する電子メールのメッセージは，主にヘッダー部と本文部とを有する。ヘッダー部は，電子メールを送信する監視コンピュータ６ａ，監視コンピュータ６ｂにあらかじめ割り当てられた電子メールアドレス「xxx@aaa.com」，送信日時，送信先としてあらかじめ定められた電子メールアドレス「sesc@aaa.com」，件名などの情報を含む。件名は，異常の状態を示す情報（たとえば「脅威検知」）がＡＳＣＩＩコードに変換された文字列が記述される。

電子メールの本文部には，被疑端末を識別する情報である認証ユーザ名，グループ名，ＩＰアドレスなどのほか，異常に関連する情報が記述される。認証ユーザ名は，被疑端末を利用する利用者のユーザ名，グループ名は所属部署，ＩＰアドレスは被疑端末のＩＰアドレス（ローカルＩＰアドレスまたはグローバルＩＰアドレス）が含まれる。なお，被疑端末を示す情報としては，ＩＰアドレス，ＭＡＣアドレス，コンピュータの名称などが含まれていればよい。また異常に関連する情報として，被疑端末がアクセスした先を示すＵＲＬ，そのカテゴリ，対象者，異常検知した処理（たとえばマルウェア感染，標的型サイバー攻撃など），日時情報，被疑端末または被疑端末の通信制御を行うエッジネットワークデバイス４に対する制御内容などが記述されている。なお，電子メールの本文部は，ＪＩＳコードやＳｈｉｆｔ−ＪＩＳコードなどのマルチバイト文字コードなどのＳＤＮコントローラ３が理解不能（処理不能）な文字コードで記述されている。

また，セキュリティシステム６における監視センターコンピュータ６ｃを操作する監視者（好ましくはセキュリティ管理者）は，プライベートネットワーク内における異常な振る舞いを検知したことを，監視センターコンピュータ６ｃにおける，被疑端末を識別する情報と異常状態の内容を示す情報とが含まれた警告表示などによって知ると（Ｓ１００），上述と同様に，被疑端末を識別する情報である認証ユーザ名，グループ名，ＩＰアドレスなどのほか，異常に関連する情報とを含む電子メールのメッセージを作成する（Ｓ１１０）。たとえば，監視者は監視センターコンピュータ６ｃを操作することで，図６に示す電子メールのメッセージを作成する。

図６は監視者が作成する電子メールのメッセージの例である。図６（ａ）は，件名に被疑端末を識別する情報のＩＰアドレス（ローカルＩＰアドレスまたはグローバルＩＰアドレス）と，その制御内容（「遮断」）とが記述されている。図６（ｂ）は，件名に被疑端末を識別する情報の利用者端末５の名称と，その制御内容（「隔離」）とが記述されている。図６（ｃ）は，件名に被疑端末を識別する情報の利用者端末５の名称と，その制御内容（「解除」）とが記述されている。図６（ａ）乃至（ｃ）では本文部は空（ＮＵＬＬ）である。図６（ｄ）は，本文部に被疑端末を識別する情報のＩＰアドレス（ローカルＩＰアドレスまたはグローバルＩＰアドレス）と，その制御内容（「遮断」）とが記述されている。図６（ｅ）は，本文に被疑端末を識別する情報の利用者端末５の名称と，その制御内容（「隔離」）とが記述されている。図６（ｅ）は，本文に被疑端末を識別する情報の利用者端末５の名称と，その制御内容（「解除」）とが記述されている。なお，図６（ａ）乃至（ｅ）では，ヘッダー部に，送信者となる監視センターコンピュータ６ｃを操作する監視者に割り当てられた電子メールアドレス，送信先としてあらかじめ定められた電子メールアドレス「sesc@aaa.com」とが含まれている。作成される電子メールのメッセージは図６に限定されず，異常な振る舞いが発生したことの情報を含む電子メールのメッセージであればよく，好ましくは，異常な振る舞いを行ったコンピュータ（被疑端末）の情報または異常な振る舞いにおける通信先（または通信元）を示す情報などを含む電子メールのメッセージであればよい。なお「遮断」とはパケットを捨てるほか，ポートをオフにするなどの制御内容を意味しており，「隔離」とは被疑端末がもともと接続していたＶＬＡＮを，検疫を行うためのＶＬＡＮなど，特定のＶＬＡＮに接続を変更する処理が該当する。

なおＳ１１０で作成する電子メールのメッセージは，少なくとも被疑端末を識別する情報が含まれていればよく，被疑端末または被疑端末の通信制御を行うエッジネットワークデバイス４に対する制御内容とが含まれているとさらによい。制御内容が電子メールのメッセージに含まれていない場合には，あらかじめ定められた制御内容に基づく制御命令が被疑端末またはエッジネットワークデバイス４で行われ，制御内容が電子メールのメッセージに含まれている場合には，その制御内容に基づく制御命令が被疑端末またはエッジネットワークデバイス４で行われる。

セキュリティシステム６における監視コンピュータ６ａ，監視コンピュータ６ｂまたは監視センターコンピュータ６ｃから送信された電子メールのメッセージは，あて先の電子メールサーバ８のメールボックスに記憶される。

ＳＤＮコントローラ３はメールクライアントソフトウェアであるメッセージ取得処理部（図示せず）を備えており，メッセージ取得処理部は，電子メールのメッセージがないかを電子メールサーバ８に問い合わせる。電子メールサーバ８のメールボックスに電子メールのメッセージが記憶されている場合には，メッセージ取得処理部はそれを取得する。なお，電子メールサーバ８は，メッセージ取得処理部からの問い合わせを受け付けるのではなく，自発的に電子メールのメッセージをメッセージ取得処理部に送るようにしてもよい。

メッセージ取得処理部は，電子メールサーバ８のメールボックスに記憶された電子メールのメッセージを取得すると，そのメッセージに基づいて，ＳＤＮコントローラ３が理解可能なｓｙｓｌｏｇメッセージに変換する。

メッセージ取得処理部は，まず，取得した電子メールにおける送信者の情報に基づいて，どのセキュリティシステムから送信された電子メールであるかを特定する。すなわち，現在のネットワークセキュリティにおいては，セキュリティシステム（プログラムを含む）が多層的に，複数，起動しており，何らかの異常な振る舞いを検知した場合，それを検知したセキュリティシステムから，管理者に対して電子メールによる通知が行われる。しかしその電子メールの内容は，各システムにおいて相違している。そのため，電子メールにおける送信者の情報に基づいて，どのセキュリティシステムから送信された電子メールであるかを特定することで，後述するｓｙｓｌｏｇメッセージの生成の際に，ｓｙｓｌｏｇメッセージにおけるどの情報を参照すればよいのかが特定可能となる。

そして取得した電子メールにおける送信者の情報に基づいて，どのセキュリティシステムから送信された電子メールであるかを特定するための識別情報である「ＭＳＧ識別」情報を特定する。なおセキュリティシステムが利用する電子メールアドレスの情報と「ＭＳＧ識別」の情報とは対応付けて記憶されている。

メッセージ取得処理部は，このようにして特定した「ＭＳＧ識別」の情報をｓｙｓｌｏｇメッセージに挿入し，さらに取得した電子メールのメッセージの文字コードをＪＩＳコードまたはＳｈｉｆｔ−ＪＩＳコードからＵＴＦ−８コードに変換をする。なお，ＵＴＦ−８コードのほか，ＳＤＮコントローラ３がメッセージを理解可能なコードに変換するのであれば，いかなるコードであってもよい。また電子メールのメッセージにおける改行コードをｓｙｓｌｏｇメッセージにおけるデリミタに置換をし，複数行にわたる電子メールメッセージを一行のｓｙｓｌｏｇメッセージに変換をする。デリミタとしては所定の記号を用いることができ，図７，図８では「｜」を用いている。なお，メッセージ取得処理部は，「ＭＳＧ識別」の情報に基づき，ＳＤＮコントローラ３が参照しない情報については，ｓｙｓｌｏｇメッセージでは不要として，削除をした上で，コードや改行コードの変換処理を実行してもよい。このようにメッセージ取得処理部は，電子メールサーバ８から取得した電子メールのメッセージの一部または全部を，ＳＤＮコントローラ３が理解可能なｓｙｓｌｏｇメッセージに変換する処理を実行する（Ｓ１２０）。図７（ａ）に，図５の電子メールのメッセージをｓｙｓｌｏｇメッセージに変換した一例を示す。なお，メッセージ取得処理部は，ｓｙｓｌｏｇメッセージのほか，ＳＤＮコントローラ３がその制御命令を理解可能（処理可能）な情報に変換するのであれば，いかなる形式であってもよい。

このようにして変換したｓｙｓｌｏｇメッセージを，ＳＤＮコントローラ３のメッセージ取得処理部は，ｓｙｓｌｏｇサーバ７に送信するとともに，ＳＤＮコントローラ３は，変換したメッセージにおける被疑端末または被疑端末の通信を制御するエッジネットワークデバイス４に対して，変換メッセージに対応する制御命令を通知する。制御命令には被疑端末を識別するためのＩＰアドレス，ＭＡＣアドレス，コンピュータ名などの識別情報などが，通信の遮断，被疑端末の隔離などの制御内容を示す情報とともに含まれているとよい。

すなわち，ＳＤＮコントローラ３は，ｓｙｓｌｏｇメッセージにおける「ＭＳＧ識別」の情報を参照することで，ｓｙｓｌｏｇメッセージにおけるどの情報を参照するかを判定し，それに対応する制御命令を通知することとなる。たとえば図７のｓｙｓｌｏｇメッセージであって，「ＭＳＧ識別」の情報が「ｘｘ＿ｓｙｓｔｅｍ」のときには，ｓｙｓｌｏｇメッセージにおける「Ｓｕｂｊｅｃｔ」，「ＵＲＬカテゴリ」，「ＵＲＬ」の情報を参照することが定められている場合，ＳＤＮコントローラ３は，まずｓｙｓｌｏｇメッセージにおける「ＭＳＧ識別」を参照することでその情報「ｘｘ＿ｓｙｓｔｅｍ」を特定し，それに対応する処理，すなわち，ｓｙｓｌｏｇメッセージにおける「Ｓｕｂｊｅｃｔ」，「ＵＲＬカテゴリ」，「ＵＲＬ」の情報を参照して，それに対応する制御命令を通知する。「ＭＳＧ識別」の情報に基づく情報の参照を，図７（ｂ）に示す。なお，「ＭＳＧ識別」の情報と，ｓｙｓｌｏｇメッセージにおいて参照する情報は，あらかじめテーブルなどで固定的に定められていてもよいし，スクリプトを用いることで可変的に処理がされてもよい。

また図８のｓｙｓｌｏｇメッセージの場合には，「ＭＳＧ識別」が「Ｍａｉｌ＿ＡＰＩ」であることを特定し，「Ｍａｉｌ＿ＡＰＩ」に対応した処理，たとえば「Ｓｕｂｊｅｃｔ」，「ａｃｔｉｏｎ」における処理（たとえば「Ｓｕｂｊｅｃｔ」で定められたＩＰアドレスの被疑端末を「遮断」，「隔離」，「解除」するなど）を実行する制御命令を通知する。

なお，ＳＤＮコントローラ３は制御命令を通知する際に，変換したメッセージにおける被疑端末または被疑端末の通信を制御するエッジネットワークデバイス４を特定するため，そのメッセージにおけるＩＰアドレスがグローバルＩＰアドレスの場合，ゲートウェイ２などで記憶するＮＡＴ／ＰＡＴ変換テーブルを参照し，対応するローカルＩＰアドレスを特定する。これによって被疑端末のローカルＩＰアドレスが特定できる。また，エッジネットワークデバイス４に対して制御命令を通知する場合には，ＳＤＮコントローラ３は，被疑端末のローカルＩＰアドレスに基づいて被疑端末の通信の制御をするエッジネットワークデバイス４を特定する。そして特定した被疑端末のローカルＩＰアドレスまたはエッジネットワークデバイス４の情報に基づいて，制御命令を被疑端末または被疑端末の通信を制御するエッジネットワークデバイス４に通知をする。図５では電子メールのメッセージ，ｓｙｓｌｏｇメッセージに，被疑端末に対する制御内容を示す情報が含まれていないが，あらかじめ通信遮断，隔離などを設定しておき，それに基づいて制御命令を生成すればよい。また，電子メールのメッセージに異常状態を示す情報が含まれている場合には，その異常状態を示す情報に対応する制御内容を示す情報をｓｙｓｌｏｇメッセージに追加して，制御命令を被疑端末またはエッジネットワークデバイス４に通知してもよい。

なお，ＳＤＮコントローラ３のメッセージ取得処理部が取得した電子メールのメッセージが図６であった場合には，上述のＳ１１０と同様にの処理を実行し，図８に示すｓｙｓｌｏｇメッセージを生成する。図６（ａ），（ｄ）は図８（ａ），図６（ｂ），（ｅ）は図８（ｂ），図６（ｃ），（ｆ）は図８（ｃ）のようなｓｙｓｌｏｇメッセージとなる。

そしてこの制御命令を受け取った被疑端末または被疑端末の通信を制御するエッジネットワークデバイス４は，当該制御命令に基づいて，被疑端末である利用者端末５に対するアクセス制御の処理を実行する（Ｓ１３０）。たとえば被疑端末を隔離する，被疑端末の通信を遮断するなどがある。被疑端末におけるアクセス制御の処理としては，被疑端末において通信が行えなくするため被疑端末を隔離する処理がある。またエッジネットワークデバイス４におけるアクセス制御の処理としては，そのエッジネットワークデバイス４のルールテーブルに，被疑端末からのパケットを破棄するなどの処理を行うルールを書き込むことで，被疑端末の通信を遮断するなどの処理がある。なお，アクセス制御の処理としてはこれらに限定されない。

図１，図２ではＳＤＮコントローラ３にメールクライアントソフトウェアが含まれる場合を示したが，ＳＤＮコントローラ３とは異なるコンピュータ（メール用コンピュータ９）にメールクライアントソフトウェアであるメッセージ取得処理部を備えてもよい。この場合のアクセス制御システム１の概要を図９に模式的に示す。また，アクセス制御システム１の構成を図１０に模式的に示す。

この場合，メッセージ取得処理部を備えたメール用コンピュータ９は，実施例１と同様に，電子メールサーバ８から電子メールのメッセージを取得し，それに基づいてｓｙｓｌｏｇメッセージに変換をする。そして変換したｓｙｓｌｏｇメッセージをｓｙｓｌｏｇサーバ７，ＳＤＮコントローラ３に通知をする。

ｓｙｓｌｏｇメッセージをメール用コンピュータ９から受け取ったＳＤＮコントローラ３は，実施例１と同様に，ｓｙｓｌｏｇメッセージに基づいて，対応するエッジネットワークデバイス４に対して制御命令を通知し，被疑端末である利用者端末５に対するアクセス制御の処理を実行する。

このように構成することで，ＳＤＮコントローラ３にメールクライアントソフトウェアを備えなくてもよい。

実施例１，実施例２ではＳＤＮコントローラ３またはメール用コンピュータ９におけるメッセージ取得処理部が電子メールのメッセージをｓｙｓｌｏｇメッセージに変換をして処理を実行したが，エッジネットワークデバイス４が電子メールのメッセージを理解可能な場合には，メッセージ取得処理部は，電子メールのメッセージをそのままエッジネットワークデバイス４に通知をしてもよい。

本明細書ではプライベートネットワークをＳＤＮによって構築する場合を説明するが，それに限定されず，異なるネットワーク管理技術を用いてプライベートネットワークが構築されていてもよい。その場合，ＳＤＮコントローラ３，エッジネットワークデバイス４は，そのネットワーク管理技術におけるそれぞれのコンピュータとして機能する。

さらに電子メール以外にも，組織等のファイヤーウォールでは通過することが許容されているポートによるメッセージングサービスを用いることができる。その場合，電子メールの代わりに，そのメッセージングサービスによるメッセージを作成し，それをメッセージングサービスのメッセージサーバで記憶する。そしてＳＤＮコントローラ３などのプライベートネットワークの制御を行うコンピュータに備えたメッセージングサービスのアプリケーションソフトウェア（メッセージ取得処理部）が，当該提供サーバで記憶されているメッセージを取得し，ＳＤＮコントローラ３などで理解可能な情報に変換をして，被疑端末またはエッジネットワークデバイス４に制御命令を通知するように構成することができる。

本発明のアクセス制御システム１を用いることで，異常な振る舞いを検知した場合に，セキュリティを確保しながら，簡便に対応することが可能なアクセス制御システム１が可能となる。

１：アクセス制御システム
２：ゲートウェイ
３：ＳＤＮコントローラ
４：エッジネットワークデバイス
５：利用者端末
６：セキュリティシステム
６ａ，６ｂ：監視コンピュータ
６ｃ：監視センターコンピュータ
７：ｓｙｓｌｏｇサーバ
８：電子メールサーバ
９：メール用コンピュータ
９０：演算装置
９１：記憶装置
９２：表示装置
９３：入力装置
９４：通信装置

Claims

ＳＤＮによって構築されたプライベートネットワークにおけるアクセス制御を行うアクセス制御システムであって，
前記アクセス制御システムは，
前記プライベートネットワークの内部または外部に設置されたセキュリティシステムにおいて作成された，被疑端末を識別する情報を含む電子メールのメッセージを受信する電子メールサーバから，その電子メールのメッセージを取得するメッセージ取得処理部を備えており，
前記メッセージ取得処理部は，
前記プライベートネットワークにおけるＳＤＮコントローラから，前記被疑端末または前記被疑端末の通信を制御するエッジネットワークデバイスに対して，前記取得した電子メールのメッセージに基づく制御命令を通知させることで，前記被疑端末または前記エッジネットワークデバイスにおいて，前記被疑端末のアクセス制御処理を実行させる，
ことを特徴とするアクセス制御システム。
前記電子メールのメッセージの一部または全部は，前記ＳＤＮコントローラが理解不能なコードで記述されており，
前記メッセージ取得処理部は，
前記取得した電子メールのメッセージを，前記ＳＤＮコントローラが理解可能な情報に変換をしたあとに，前記ＳＤＮコントローラから前記被疑端末または前記エッジネットワークデバイスに対して，前記変換後の情報に対応する制御命令を通知させることで，前記被疑端末または前記エッジネットワークデバイスにおいて，前記被疑端末のアクセス制御処理を実行させる，
ことを特徴とする請求項１に記載のアクセス制御システム。
前記電子メールのメッセージには，さらに，
前記アクセス制御処理の制御内容を示す情報が含まれており，
前記メッセージ取得処理部は，
前記被疑端末または前記エッジネットワークデバイスに対して，前記制御内容に対応する制御命令を通知する，
ことを特徴とする請求項１または請求項２に記載のアクセス制御システム。
前記電子メールのメッセージには，さらに，
前記被疑端末の異常状態を示す情報が含まれており，
前記メッセージ取得処理部は，
前記異常状態を示す情報に対応するアクセス制御処理の制御内容を特定し，前記被疑端末または前記エッジネットワークデバイスに対して，前記制御内容に対応する制御命令を通知する，
ことを特徴とする請求項１または請求項２に記載のアクセス制御システム。
ＳＤＮによって構築されたプライベートネットワークにおけるアクセス制御を行うアクセス制御システムであって，
前記アクセス制御システムは，
前記プライベートネットワークにおける異常な振る舞いを検知すると，前記異常な振る舞いを行った利用者端末を被疑端末として特定し，その被疑端末の識別情報を含む電子メールのメッセージを作成する，前記プライベートネットワークの内部または外部にあるセキュリティシステムと，
前記セキュリティシステムから送信された電子メールのメッセージを記憶する電子メールサーバと，
前記プライベートネットワークにおける通信の制御を行い，前記電子メールサーバに記憶された電子メールのメッセージを取得するメッセージ取得処理部を備えたＳＤＮコントローラと，
前記被疑端末の通信を制御するエッジネットワークデバイスと，を有しており，
前記メッセージ取得処理部は，
前記ＳＤＮコントローラから，前記被疑端末または前記エッジネットワークデバイスに対して，前記取得した電子メールのメッセージに基づく制御命令を通知させることで，前記被疑端末または前記エッジネットワークデバイスにおいて，前記被疑端末のアクセス制御処理を実行させる，
ことを特徴とするアクセス制御システム。
ＳＤＮによって構築されたプライベートネットワークにおけるアクセス制御を行うアクセス制御システムであって，
前記アクセス制御システムは，
前記プライベートネットワークにおける異常な振る舞いを検知すると，前記異常な振る舞いを行った利用者端末を被疑端末として特定し，前記プライベートネットワークの所定の担当者により，前記特定した被疑端末の識別情報を含む電子メールのメッセージの作成を受け付けるセキュリティシステムと，
前記セキュリティシステムから送信された電子メールのメッセージを記憶する電子メールサーバと，
前記プライベートネットワークにおける通信の制御を行い，前記電子メールサーバに記憶された電子メールのメッセージを取得するメッセージ取得処理部を備えたＳＤＮコントローラと，
前記被疑端末の通信を制御するエッジネットワークデバイスと，を有しており，
前記メッセージ取得処理部は，
前記ＳＤＮコントローラから，前記被疑端末または前記エッジネットワークデバイスに対して，前記取得した電子メールのメッセージに基づく制御命令を通知させることで，前記被疑端末または前記エッジネットワークデバイスにおいて，前記被疑端末のアクセス制御処理を実行させる，
ことを特徴とするアクセス制御システム。
前記メッセージ取得処理部は，
前記取得した電子メールにおける送信者の情報に基づいて，前記電子メールを送信したセキュリティシステムを特定し，
前記特定したセキュリティシステムを識別する情報を，前記電子メールに基づいて変換するＳｙｓｌｏｇメッセージに挿入し，
前記ＳＤＮコントローラは，
前記Ｓｙｓｌｏｇメッセージにおける前記セキュリティシステムを識別する情報に基づいて，Ｓｙｓｌｏｇメッセージにおける情報を参照し，
前記参照した情報に基づいて，前記制御命令を通知する，
ことを特徴とする請求項１から請求項６のいずれかに記載のアクセス制御システム。
プライベートネットワークにおけるアクセス制御を行うアクセス制御システムであって，
前記アクセス制御システムは，
プライベートネットワークの内部または外部に設置されたセキュリティシステムにおいて作成された，被疑端末を識別する情報を含むメッセージを受信するメッセージサーバから，そのメッセージを取得するメッセージ取得処理部を備えており，
前記メッセージ取得処理部は，
前記プライベートネットワークにおける通信を制御するコンピュータから，前記被疑端末または前記被疑端末の通信を制御するコンピュータに対して，前記取得したメッセージに基づく制御命令を通知させることで，前記被疑端末または前記被疑端末の通信を制御するコンピュータにおいて，前記被疑端末のアクセス制御処理を実行させ，
前記メッセージは，
前記プライベートネットワークにおけるファイヤーウォールで通過することが許容されているポートを利用するメッセージングサービスにおけるメッセージである，
ことを特徴とするアクセス制御システム。
コンピュータを，
ＳＤＮによって構築されたプライベートネットワークの内部または外部に設置されたセキュリティシステムにおいて作成された，被疑端末を識別する情報を含む電子メールのメッセージを受信する電子メールサーバから，その電子メールのメッセージを取得するメッセージ取得処理部，として機能させるコンピュータプログラムであって，
前記メッセージ取得処理部は，
前記プライベートネットワークにおけるＳＤＮコントローラから，前記被疑端末または前記被疑端末の通信を制御するエッジネットワークデバイスに対して，前記取得した電子メールのメッセージに基づく制御命令を通知させることで，前記被疑端末または前記エッジネットワークデバイスにおいて，前記被疑端末のアクセス制御処理を実行させる，
ことを特徴とするコンピュータプログラム。
ＳＤＮによって構築されたプライベートネットワークにおけるアクセス制御を行うアクセス制御方法であって，
前記アクセス制御方法は，
前記プライベートネットワークの内部または外部にあるセキュリティシステムにおいて，前記プライベートネットワークにおける異常な振る舞いを検知すると，前記異常な振る舞いを行った利用者端末を被疑端末として特定し，その被疑端末の識別情報を含む電子メールのメッセージを作成するステップと，
前記作成された電子メールのメッセージを電子メールサーバで記憶するステップと，
前記プライベートネットワークにおける通信の制御を行うＳＤＮコントローラまたはあらかじめ定められたコンピュータにおいて，前記電子メールサーバに記憶する電子メールのメッセージを取得するステップと，
前記取得した電子メールのメッセージの一部または全部を，前記ＳＤＮコントローラが理解不能なコードから，前記ＳＤＮコントローラが理解可能な情報に変換するステップと，
前記ＳＤＮコントローラから前記被疑端末または前記被疑端末の通信を制御するエッジネットワークデバイスに対して，前記変換後の情報に対応する制御命令を通知するステップと，
前記被疑端末または前記エッジネットワークデバイスにおいて，前記制御命令に基づいて前記被疑端末のアクセス制御処理を実行する，
ことを特徴とするアクセス制御方法。