JP2020077912A - ネットワーク制御装置、及び、ネットワーク制御方法 - Google Patents

Abstract

【課題】異常通信が生じても被害の拡大を抑制できるネットワーク制御装置を提供する。【解決手段】ネットワーク制御装置は、アクセスポイントから収集される、アクセスポイントに接続される機器を特定する情報に基づき、アクセスポイントへの機器の接続履歴を表す接続履歴情報を生成する接続履歴生成部と、アクセスポイントから収集される、アクセスポイントに接続される機器を特定する情報に基づき、ネットワークのトポロジを割り出すトポロジ管理部と、ネットワークにおけるトラフィックに基づいて異常通信を検出する異常通信検出装置から入力される異常通信を表す情報から、異常通信を行った異常機器を特定する異常特定部と、トポロジを参照して、接続履歴情報に含まれる、異常機器が接続されたアクセスポイントを特定し、特定したアクセスポイントに対して、異常機器と通信不能な状態にさせる指令を送信する、接続制御部とを含む。【選択図】図１０

Description

本発明は、ネットワーク制御装置、及び、ネットワーク制御方法に関する。

従来より、機能の異なるネットワーク機器を含んで構成されるネットワークを制御するネットワーク制御装置がある。前記ネットワーク機器の機能に関する情報であるネットワーク機器情報を記憶するネットワーク機器情報記憶部と、前記ネットワークにおいて発生したインシデントに対する対処方針に関する情報である対処方針情報を記憶する対処方針情報記憶部とを備える。また、前記ネットワーク機器情報及び前記対処方針情報に基づき、前記インシデントに対処するための前記ネットワーク機器の設定に関する情報である設定情報を一つ以上生成する対処設定情報生成部を備える（例えば、特許文献１参照）。

特開２０１７−０６３３３６号公報

ところで、従来のネットワーク制御装置は、例えば、無線通信を行うネットワーク機器が異常な通信を行った場合に、当該無線通信を行うネットワーク機器が接続されたアクセスポイントをネットワークから外しても、他のアクセスポイントに接続されて異常通信が行われ、異常通信による被害が拡大するおそれがある。

そこで、異常通信が生じても被害の拡大を抑制できるネットワーク制御装置、及び、ネットワーク制御方法を提供することを目的とする。

本発明の実施の形態のネットワーク制御装置は、ローカルエリアネットワークを構築するアクセスポイントに接続され、前記ローカルエリアネットワークを含むネットワークを制御するネットワーク制御装置であって、前記アクセスポイントから収集される、前記アクセスポイントに接続される機器を特定する情報に基づき、前記アクセスポイントへの前記機器の接続履歴を表す接続履歴情報を生成する接続履歴生成部と、前記アクセスポイントから収集される、前記アクセスポイントに接続される機器を特定する情報に基づき、前記ネットワークのトポロジを割り出すトポロジ管理部と、前記ネットワークにおけるトラフィックに基づいて異常通信を検出する異常通信検出装置から入力される前記異常通信を表す情報から、前記異常通信を行った異常機器を特定する異常特定部と、前記トポロジを参照して、前記接続履歴情報に含まれる、前記異常機器が接続されたアクセスポイントを特定し、前記特定したアクセスポイントに対して、前記異常機器と通信不能な状態にさせる指令を送信する、接続制御部とを含む。

異常通信が生じても被害の拡大を抑制できるネットワーク制御装置、及び、ネットワーク制御方法を提供することができる。

実施の形態のＧＷ１００を含むＦＡＮ５０の構成を示す図である。 ＧＷ１００のハードウェア構成を示す図である。 ＧＷ１００の機能構成を示す図である。 接続ＡＰ履歴のデータ構造の一例を示す図である。 構成管理情報のデータ構造の一例を示す図である。 ブラックリストのデータ構造の一例を示す図である。 ＦＡＮ５０において各ネットワーク機器が行う処理を示すタスク図である。 ＧＷ１００が接続ＡＰ履歴を更新し、ＦＡＮ５０のトポロジを割り出す処理を示すフローチャートである。 ＧＷ１００が異常デバイスをＦＡＮ５０から隔離する処理を示すフローチャートである。 ＧＷ１００の制御によるＦＡＮ５０の無線通信可能エリアを示す図である。

以下、本発明のネットワーク制御装置、及び、ネットワーク制御方法を適用した実施の形態について説明する。

＜実施の形態＞
図１は、実施の形態のＧＷ(gateway)１００を含むＦＡＮ(Field Area Network)５０の構成を示す図である。ＧＷ１００は、実施の形態のネットワーク制御装置の一例であり、ＧＷ１００によって実行される制御方法は、実施の形態のネットワーク制御方法の一例である。

ＦＡＮ５０は、ＧＷ１００、ＳＷ（スイッチ／Switch）１０、トラフィック分析装置２０、ＡＰ（アクセスポイント／Access Point）１、及びＡＰ２を含む。ＧＷ１００、ＳＷ１０、トラフィック分析装置２０、ＡＰ１、及びＡＰ２は、実施の形態のＦＡＮ５０におけるネットワーク機器である。

ＦＡＮ５０は、ＳＷ１０以外にもＳＷ（スイッチ）を含み、ＡＰ１、ＡＰ２以外にもＡＰ（アクセスポイント）を含み得るが、ここでは省略する。以下では、ＦＡＮ５０に含まれる任意のＳＷ（スイッチ）を指すときは、単にＳＷと称し、ＦＡＮ５０に含まれる任意のＡＰ（アクセスポイント）を指すときは、単にＡＰと称す。

図１には、ＡＰ１とＡＰ２の無線通信が可能なエリアを破線の円で示す。ＡＰ１とＡＰ２の無線通信が可能なエリアは、無線ＬＡＮ(Local Area Network)によって実現される。ＡＰ１にはデバイス３０Ａ、３０Ｂが無線通信で接続されており、ＡＰ２にはデバイス３０Ｃ、３０Ｄが無線通信で接続されている。デバイス３０Ａ〜３０Ｄは、例えば、ＰＣ(Personal Computer)のような情報処理装置である。

また、２つの無線通信が可能なエリアは一部が重複しており、デバイス３０Ｅは、重複エリアに位置する。デバイス３０Ｅは、コンピュータウィルス又はワーム等のマルウェアに感染するデバイスである。デバイス３０Ｅは、マルウェアに感染する前は、デバイス３０Ａ〜３０Ｄと同様のＰＣ等のデバイスである。

デバイス３０Ｅは、無線通信の状態によって、ＡＰ１又はＡＰ２に接続しうる。デバイス３０Ｅは、マルウェアに感染した感染媒体４０が接続されるとマルウェアに感染した異常デバイスになる。感染媒体４０は、例えばＵＳＢ(Universal Serial Bus)メモリである。なお、以下では、デバイス３０Ａ〜３０Ｅを区別せずにＦＡＮ５０に含まれる任意のデバイスを指すときは、単にデバイスと称す。

ここで、ＦＡＮ５０は、例えば工場等に設けられるＦＡＮであり、デバイス３０Ａ〜３０Ｅは、基本的に移動せず、移動してもＡＰ１、ＡＰ２と無線通信が可能なエリアから外れない程度である。

ＧＷ１００は、ＦＡＮ５０の内部ではバス５１を介してＳＷ１０に接続され、ＦＡＮ５０の外部ではネットワーク６０を介してクラウド上のコンピュータ７０に接続されている。ＧＷ１００は、所定のＩＰ(Internet Protocol)を用いてＳＷ１０及びクラウド上のコンピュータ７０と通信を行う。

ネットワーク６０は、ＬＡＮ(Local Area Network)又はＷＡＮ(Wide Area Network)等であり、いわゆるインターネットである。ＧＷ１００は、ネットワーク６０から見るとＦＡＮ５０の入口であり、ネットワーク６０とＦＡＮ５０とを分離している。

ＳＷ１０は、一例としてＬ２スイッチ又はＬ３スイッチであり、ＧＷ１００と、ＡＰ１、ＡＰ２とを接続している。ＳＷ１０とＡＰ１、ＡＰ２とは、バス５１によって接続されている。また、ＳＷ１０には、バス５１を介してトラフィック分析装置２０が接続されている。

トラフィック分析装置２０は、ＳＷ１０に接続され、ＳＷ１０とＡＰ１、ＡＰ２との間で伝送されるデータからトラフィック情報を収集して分析し、異常通信を検知する。このような異常通信の検知は、例えば、ＩＤＳ（Intrusion Detection System）のような侵入検知システム、又は、ＩＰＳ（Intrusion Prevention System）のような侵入防止システムを利用してＳＷ１０を経由するパケットを監視することによって実現される。

トラフィック情報とは、ＳＷ１０とＡＰ１、ＡＰ２との間で伝送されるデータのプロトコル、ポート番号、ＭＡＣアドレス、ＩＰアドレス等である。また、異常通信とは、マルウェアに感染した状態のデバイス３０Ｅのマルウェアが実行する通信である。

ＡＰ１、ＡＰ２は、デバイス３０Ａ〜３０Ｅが接続可能な無線ＬＡＮを提供する通信機（無線機）である。マルウェアに感染した異常デバイスをＦＡＮ５０から隔離するために、ＡＰ１又はＡＰ２は、異常デバイスのＭＡＣアドレスを登録するブラックリストを有する。ブラックリストにＭＡＣアドレスが登録されたデバイスは、ＡＰ１、ＡＰ２への接続が遮断され、ブラックリストに登録されていないデバイスは、ＡＰ１、ＡＰ２への接続が可能である。ブラックリストへの登録は、ＧＷ１００から伝送される命令（指令）に基づいて行われる。

図２は、ＧＷ１００のハードウェア構成を示す図である。ＧＷ１００は、主な構成要素として、プロセッサ１０１、メモリ１０２、有線通信モジュール１０３、有線通信モジュール１０４、及び内部バス１０５を有する。

プロセッサ１０１は、ＣＰＵ(Central Processing Unit:中央演算処理装置)である。メモリ１０２は、ＲＡＭ(Random Access Memory)又はＲＯＭ(Read Only Memory)等を含むメモリ部である。メモリ１０２はＨＤＤ(Hard Disk Drive)を含んでいてもよい。

有線通信モジュール１０３は、バス５１（図１参照）を介してＳＷ１０とデータ通信を行う通信機であり、有線通信モジュール１０４は、ＧＷ１００をネットワーク６０を介してクラウド上のコンピュータ７０に接続する通信機である。

図３は、ＧＷ１００の機能構成を示す図である。図３には、説明を分かり易くするために、ＧＷ１００に加えてＳＷ１０、トラフィック分析装置２０、ＡＰ１、及びＡＰ２を示す。

ＧＷ１００は、情報収集部１１０、履歴管理部１２０、トポロジ管理部１３０、異常情報受信部１４０、特定部１５０、提供機能管理部１６０、制御部１７０、通知部１８０、及びコマンド送信部１９０を含む。

情報収集部１１０は、ＬＬＤＰ(Link Layer Discovery Protocol)、ＳＮＭＰ(Simple Network Management Protocol)、又はＨＴＩＰ(Home-network Topology Identifying Protocol)等の標準規格を利用し、ＳＷ１０を介して隣接情報を収集する。隣接情報とは、ＳＷ１０に接続されるＡＰ１、ＡＰ２を特定する情報、及び、ＡＰ１、ＡＰ２に接続されるデバイス３０Ａ〜３０Ｅを特定する情報を含むリスト形式のデータであり、接続される機器を特定する情報の一例である。特定する情報は、例えば、ＭＡＣアドレスである。

履歴管理部１２０は、情報収集部１１０によって収集される隣接情報に基づいて接続ＡＰ履歴を作成し、保管する管理部である。履歴管理部１２０は、接続履歴生成部の一例であり、接続ＡＰ履歴は、接続履歴の一例である。接続ＡＰ履歴とは、ＡＰ１、ＡＰ２に接続されたデバイス３０Ａ〜３０Ｅの履歴を表す情報である。接続ＡＰ履歴は、ＡＰ１、ＡＰ２に接続されたデバイス３０Ａ〜３０ＥのＭＡＣアドレス及びＩＰアドレス、ＡＰ１、ＡＰ２のＭＡＣアドレス及びＩＰアドレス等を含む。接続ＡＰ履歴の詳細については、図４を用いて後述する。

履歴管理部１２０は、情報収集部１１０からＡＰ１、ＡＰ２にそれぞれ接続されたデバイスの情報を取得することによって、接続ＡＰ履歴を生成する。履歴管理部１２０は、所定時間毎（例えば、数秒毎又は数分毎）に接続ＡＰ履歴を更新する。

トポロジ管理部１３０は、情報収集部１１０によって収集される隣接情報に基づいて、ＦＡＮ５０のトポロジを割り出し（推定し）、割り出した（推定した）トポロジを保管する管理部である。トポロジ管理部１３０は、履歴管理部１２０が所定時間毎に接続ＡＰ履歴を更新するのと同時にトポロジを更新する。

隣接情報は、ＳＷ１０に接続されるＡＰ１〜ＡＰ２のＭＡＣアドレス、およびＡＰ１、ＡＰ２に接続されるデバイス３０Ａ〜３０ＥのＭＡＣアドレスを含むため、トポロジ管理部１３０は、隣接情報に基づいてＦＡＮ５０のトポロジを推定する。

異常情報受信部１４０は、トラフィック分析装置２０から異常通信情報を受信する受信部である。異常通信情報は、トラフィック分析装置２０がＳＷ１０とＡＰ１、ＡＰ２との間で伝送されるデータからトラフィック情報を収集して分析して検知した異常通信を表す情報である。異常通信情報は、マルウェアに感染したデバイス３０ＥのＭＡＣアドレス及び／又はＩＰアドレスを含む。なお、マルウェアに感染したデバイス３０ＥのＩＰアドレスは、例えば、arpコマンドを用いて、ＦＡＮ５０内部でＭＡＣアドレスに対応付けられるＩＰアドレスを取得すればよい。異常通信受信部１４０はトラフィック分析装置２０から、例えばSyslogを用いて異常通信情報を収集してもよい。

特定部１５０は、異常情報受信部１４０によって受信される異常通信情報に基づいて、マルウェアに感染したデバイス３０Ｅを特定する。特定部１５０は、異常特定部の一例である。特定部１５０は、特定したデバイス３０Ｅを表す情報を制御部１７０に伝送する。特定したデバイス３０Ｅを表す情報は、デバイス３０ＥのＭＡＣアドレスである。

提供機能管理部１６０は、構成管理情報を保管する管理部である。構成管理情報とは、ＳＷ１０、ＡＰ１、ＡＰ２が提供しうる機能（提供しうる制御）、制御に用いるコマンド等の情報を表す。このような構成管理情報は、ＦＡＮ５０の管理者によって予め作成され、提供機能管理部１６０に付与される。

制御部１７０は、特定部１５０からマルウェアに感染したデバイス３０Ｅを表す情報を伝送されたことを契機に、履歴管理部１２０から接続ＡＰ履歴、トポロジ管理部１３０からトポロジを表すデータ、提供機能管理部１６０から構成管理情報を取得し、それらの情報に基づいて、マルウェアに感染したデバイス３０ＥをＦＡＮ５０から隔離する制御を行う。制御部１７０は、接続制御部の一例である。制御部１７０の詳細な制御内容については、図７乃至図９を用いて後述する。

通知部１８０は、制御部１７０によって所定の判定が行われた場合に、ネットワーク６０を介してＦＡＮ５０の管理者に通知を行う。この通知については、図９を用いて後述する。

コマンド送信部１９０は、制御部１７０が生成する各種コマンドをＳＷ１０を介してＡＰ１、ＡＰ２に送信する。コマンドの種類等については、図７を用いて後述する。

図４は、接続ＡＰ履歴のデータ構造の一例を示す図である。接続ＡＰ履歴は、デバイスのＭＡＣアドレス、デバイスのＩＰアドレス、ＡＰのＭＡＣアドレス、ＡＰのＩＰアドレス、有効期限、ＲＳＳＩ(Received Signal Strength Indicator：受信信号強度)値、継続接続時間を関連付けたデータである。

デバイスのＭＡＣアドレスは、デバイス３０Ａ〜３０ＥのＭＡＣアドレスである。デバイスのＩＰアドレスは、デバイス３０Ａ〜３０ＥのＩＰアドレスである。ＡＰのＭＡＣアドレスは、ＡＰ１又はＡＰ２のＭＡＣアドレスである。ＡＰのＩＰアドレスは、ＡＰ１又はＡＰ２のＩＰアドレスである。なお、ＩＰアドレスは、例えば、arpコマンドを用いて、ＦＡＮ５０の内部で各ＭＡＣアドレスに対応付けられたＩＰアドレスを取得すればよい。

有効期限は、デバイス３０Ａ〜３０Ｅの接続が有効な期限を表し、単位は一例として秒である。ＲＳＳＩ値は、一例として、ＡＰ１、ＡＰ２が測定したデバイス３０Ａ〜３０Ｅの受信強度である。継続接続時間は、ＡＰ１又はＡＰ２にデバイス３０Ａ〜３０Ｅが継続して接続された時間を表し、単位は、一例として、秒である。なお、ＲＳＳＩ値は、デバイス３０Ａ〜３０Ｅによって測定された値であってもよい。

図４に示す３行のデータのうち、上から１行目と、上から２行目（真ん中の行）とのデータは、デバイスのＭＡＣアドレス及びＩＰアドレスが等しく、ＡＰのＭＡＣアドレス及びＩＰアドレスが異なる。これは、一例として、デバイス３０Ｅが、ＡＰ１とＡＰ２に接続された履歴を表す。

また、図４に示す３行のデータのうち、上から３行目（最も下の行）のデータは、上から１行目及び２行目のデータとはデバイスのＭＡＣアドレス及びＩＰアドレスが異なり、ＡＰのＭＡＣアドレス及びＩＰアドレスが上から１行目のデータと等しい。これは、一例として、デバイス３０ＣがＡＰ１に接続された履歴を表す。

図５は、構成管理情報のデータ構造の一例を示す図である。構成管理情報は、ＭＡＣアドレス、ＩＰアドレス、種別、提供機能、制御プロトコル、ユーザ名、パスワード／コミュニティ名を含む。

種別は、ＧＷ（ゲートウェイ）、ＳＷ（スイッチ）、又はＡＰ（アクセスポイント）等のネットワーク機器の種別を表す。ＭＡＣアドレスとＩＰアドレスは、各ネットワーク機器のＭＡＣアドレスとＩＰアドレスである。

提供機能は、種別が表すネットワーク機器がＦＡＮ５０の内部における接続を遮断するために提供し得る機能を表す。例えば、種別がＡＰの場合にはＭＡＣアドレスフィルタリングであり、種別がＳＷの場合にはポートダウンであり、種別がＧＷの場合には、なしである。

ＭＡＣアドレスフィルタリングとは、ＭＡＣアドレスで特定されるネットワーク機器のみのＡＰへの接続を拒否する機能である。また、ポートダウンは、ＳＷのＡＰに接続されるポートを遮断する機能である。また、ＡＰやＳＷによっては、提供機能を有しないものもある。

なお、制御プロトコル、ユーザ名、パスワード／コミュニティ名、コマンドは、種別又は個々のネットワーク機器について設定される。

図６は、ブラックリストのデータ構造の一例を示す図である。ブラックリストは、ＡＰ１、ＡＰ２の各々において作成される。図６には一例として、ＡＰ１が作成して保持するブラックリストを示す。図６に示すように、ブラックリストは、異常デバイスのＭＡＣアドレスを含むデータである。このようなブラックリストをＡＰ１が保持する場合には、異常デバイスのＭＡＣアドレスで特定される異常デバイスへの接続が拒否される。

図７は、ＦＡＮ５０において各ネットワーク機器が行う処理を示すタスク図である。まず、ステップＳ１でデバイス３０ＥがＡＰ２に接続する。ステップＳ２でＧＷ１００がＡＰ２に隣接情報の送信を要求する隣接情報取得リクエストを送信する。これにより、ステップＳ３でＡＰ２はＧＷ１００に隣接情報を送信する。

ステップＳ４で、デバイス３０ＥがＡＰ２から受信する無線ＬＡＮの信号のＲＳＳＩ値が低下して接続が切断され、デバイス３０Ｅは、再接続先をスキャンする。ステップＳ５でデバイス３０ＥはＡＰ１に接続を要求する接続要求を送信する。

ステップＳ６でＡＰ１はブラックリストを照合し、ブラックリストにデバイス３０Ｅが含まれていないと判定すると、デバイス３０Ｅの接続を受容する。これにより、ステップＳ７において、デバイス３０ＥはＡＰ１に接続する。

また、ステップＳ８において、ＧＷ１００は、ＡＰ１、ＡＰ２以外のアクセスポイントやＳＷに対しても隣接情報取得リクエストを送信し、ＡＰ１、ＡＰ２以外のアクセスポイントから隣接情報を取得する。

ステップＳ９でＧＷ１００がＡＰ１に隣接情報取得リクエストを送信し、ステップＳ１０でＡＰ１はＧＷ１００に隣接情報を送信する。この隣接情報は、デバイス３０ＥがＡＰ１に接続されたことを表す。

ＧＷ１００は、ＦＡＮ５０内のすべてのＳＷとＡＰから隣接情報を収集すると、接続ＡＰ履歴とトポロジを表すデータを更新する。なお、この一連の処理は定期的に行われる。

ステップＳ１１で感染媒体４０がデバイス３０Ｅに接続され、ステップＳ１２において、デバイス３０Ｅがマルウェアに感染して異常デバイスになる。ステップＳ１３において、デバイス３０Ｅが異常通信を行い、ＡＰ１を介してＳＷ１０に異常なデータを送信する。ステップＳ１４において、ＳＷ１０は異常なデータをトラフィック分析装置２０に転送する。

これにより、ステップＳ１５において、トラフィック分析装置２０が異常通信を検知し、異常通信情報をＧＷ１００に送信する。

ＧＷ１００は異常通信情報を受信したことを契機に、トポロジを表すデータ、接続ＡＰ履歴、構成管理情報に基づいて制御する機器と制御内容を決定する。

ステップＳ１６において、ＧＷ１００は、デバイス３０ＥのＭＡＣアドレスをＡＰ１のブラックリストに登録させるブラックリスト登録命令をＡＰ１に送信する。ステップＳ１７において、ＡＰ１は、デバイス３０ＥのＭＡＣアドレスをブラックリストに登録する。ブラックリスト登録命令は、接続拒否指令の一例である。

また、ステップＳ１８において、ＧＷ１００は、ＡＰ１に再起動させる再起動命令を送信し、ステップＳ１９において、ＡＰ１は再起動を行う。これにより、ＡＰ１において、デバイス３０ＥのＭＡＣアドレスが登録されたブラックリストが有効になり、ステップＳ２０において、ＡＰ１はデバイス３０Ｅの接続を切断する。ステップＳ２１において、デバイス３０Ｅは、切断を検知し、再接続先をスキャンする。

ステップＳ２２において、ＧＷ１００は、接続ＡＰ履歴を参照し、デバイス３０Ｅが過去に接続されていたＡＰ２に対して、デバイス３０ＥのＭＡＣアドレスをＡＰ２のブラックリストに登録させるブラックリスト登録命令をＡＰ２に送信する。ステップＳ２３において、ＡＰ２は、デバイス３０ＥのＭＡＣアドレスをブラックリストに登録する。

また、ステップＳ２４において、ＧＷ１００は、ＡＰ２に再起動させる再起動命令を送信し、ステップＳ２５において、ＡＰ２は再起動を行う。これにより、ＡＰ２において、デバイス３０ＥのＭＡＣアドレスが登録されたブラックリストが有効になる。

ステップＳ２６において、デバイス３０ＥがＡＰ１に接続要求を送信するが、ステップＳ２７において、ＡＰ１はブラックリストを照合し、ブラックリストにデバイス３０Ｅが含まれると判定すると、ステップＳ２８においてデバイス３０Ｅの接続を拒否する。

同様に、ステップＳ２９において、デバイス３０ＥがＡＰ２に接続要求を送信するが、ステップＳ３０において、ＡＰ２はブラックリストを照合し、ブラックリストにデバイス３０Ｅが含まれると判定すると、ステップＳ３１においてデバイス３０Ｅの接続を拒否する。

以上のように、ＧＷ１００は、トラフィック分析装置２０から異常通信情報を受信すると、異常通信情報が表すデバイス（ここではデバイス３０Ｅ）のＭＡＣアドレスに基づいて、異常デバイスを特定する。

また、ＧＷ１００は、隣接情報に基づいて割り出したトポロジを参照して、接続ＡＰ情報に含まれる、過去に異常デバイスが接続されたＡＰを特定し、特定したＡＰにブラックリスト登録命令を送信する。この結果、過去にデバイス３０Ｅが接続されたＡＰ１、ＡＰ２のブラックリストにデバイス３０ＥのＭＡＣアドレスが登録され、ＡＰ１、ＡＰ２とデバイス３０Ｅとは接続不能な状態になる。

これにより、マルウェアに感染したデバイス３０ＥをＦＡＮ５０から隔離することができる。また、ＦＡＮ５０において、通信が不能になるのはＡＰ１、ＡＰ２と、マルウェアに感染したデバイス３０Ｅとの間だけであり、ＡＰ１とデバイス３０Ａ、３０Ｂとの通信と、ＡＰ２とデバイス３０Ｃ、３０Ｄとの通信とは、通信可能な状態に維持される。

このため、ＦＡＮ５０内で通信不能になるのは最小限に抑制され、異常通信が生じても被害の拡大を抑制できる。

図８は、ＧＷ１００が接続ＡＰ履歴を更新し、ＦＡＮ５０のトポロジを割り出す処理を示すフローチャートである。図８に示すフローチャートは、所定時間毎（例えば、数秒毎又は数分毎）に繰り返し実行される。

情報収集部１１０は、ＦＡＮ５０内のＳＷとＡＰのリスト（ここではＳＷ１０とＡＰ１、ＡＰ２のリスト）を取得し、隣接情報未取得リストを作成する（ステップＳ５０）。隣接情報未取得リストとは、隣接情報を未だに取得していないＳＷ又はＡＰをリスト化したリスト形式のデータである。

このような隣接情報未取得リストは、構成管理情報に含まれるＳＷ及びＡＰのＭＡＣアドレス及びＩＰアドレスを取り出し、ＳＷ、ＡＰ毎に隣接情報を取得したものにフラグを立てることで管理される。

情報収集部１１０は、隣接情報未取得リストを参照し、隣接情報を未取得のＳＷ又はＡＰがあるかどうかを判定する（ステップＳ５１）。隣接情報未取得リストにおいて、フラグが立てられていないＳＷ、ＡＰがあるかどうかで判定すればよい。

情報収集部１１０は、隣接情報を未取得のＳＷ又はＡＰがある（Ｓ５１：ＹＥＳ）と判定すると、隣接情報を未取得のＳＷ又はＡＰを１つ選択する（ステップＳ５２）。

情報収集部１１０は、選択したＳＷ又はＡＰから隣接情報を取得する（ステップＳ５３）。具体的には、情報収集部１１０は、選択したＳＷ又はＡＰに隣接情報取得リクエストを送信し、隣接情報を取得する（図７のステップＳ９、Ｓ１０参照）。

情報収集部１１０は、隣接情報を取得したＳＷ又はＡＰについて、隣接情報未取得リストにおいて取得済みのフラグを立てる（ステップＳ５４）。

情報収集部１１０は、ステップＳ５３で選択したネットワーク機器がＡＰであるかどうかを判定する（ステップＳ５５）。

情報収集部１１０によってＡＰである（Ｓ５５：ＹＥＳ）と判定されると、履歴管理部１２０は、ステップＳ５３で取得した隣接情報が表すデバイスを接続ＡＰ履歴が未更新のデバイスリスト（以下、未更新デバイスリスト）に登録する（ステップＳ５６）。

未更新デバイスリストとは、ステップＳ５３で取得された隣接情報のＭＡＣアドレスが表すデバイス（３０Ａ〜３０Ｅのいずれか）をリスト化したデータである。ステップＳ５３で取得された隣接情報のＭＡＣアドレスが表すデバイス（３０Ａ〜３０Ｅのいずれか）については、接続ＡＰ履歴が更新されていないからである。

このような未更新デバイスリストは、ステップＳ５３で取得された隣接情報のＭＡＣアドレスが表すデバイス（３０Ａ〜３０Ｅのいずれか）のＭＡＣアドレスをリスト化し、デバイス毎に接続ＡＰ履歴を更新したものにフラグを立てることで管理される。

履歴管理部１２０は、未更新デバイスリストを参照し、接続ＡＰ履歴が未更新のデバイスが存在するかどうかを判定する（ステップＳ５７）。すべてのデバイスについて、接続ＡＰ履歴を更新するためである。

履歴管理部１２０は、接続ＡＰ履歴が未更新のデバイスが存在する（Ｓ５７：ＹＥＳ）と判定すると、未更新デバイスリストから接続ＡＰ履歴が未更新のデバイスを１つ選択する（ステップＳ５８）。

履歴管理部１２０は、ステップＳ５８において選択したデバイスの接続ＡＰ履歴を更新する（ステップＳ５９）。具体的には、履歴管理部１２０は、図８の右側に示すステップＳ７０〜Ｓ７３のサブルーチン処理を実行することによって、接続ＡＰ履歴を更新する。

履歴管理部１２０は、ステップＳ５８において選択したデバイスと、ステップＳ５２で選択したＡＰとの組み合わせが接続ＡＰ履歴に含まれるかどうかを判定する（ステップＳ７０）。ステップＳ５２で選択し、ステップＳ５５でＡＰであると判定されたＡＰ（現在選択しているＡＰ）に、ステップＳ５８で選択したデバイスが接続されたかどうかを判定するためである。

履歴管理部１２０は、デバイスとＡＰとの組み合わせが接続ＡＰ履歴に含まれる（Ｓ７０：ＹＥＳ）と判定すると、選択したデバイスの接続ＡＰ履歴における有効期限を更新する（ステップＳ７１）。有効期限は、例えば、数百秒程度である。

履歴管理部１２０は、有効期限の切れたデバイスとＡＰとの組み合わせを接続ＡＰ履歴から削除する（ステップＳ７２）。例えば、図４で上から３行目のデバイスとＡＰとの組み合わせの有効期限が切れた場合には、図４で上から３行目のデータが接続ＡＰ履歴から削除される。

一方、履歴管理部１２０は、デバイスとＡＰとの組み合わせが接続ＡＰ履歴に含まれない（Ｓ７０：ＮＯ）と判定すると、選択したデバイスを有効期限とともに接続ＡＰ履歴に追加する（ステップＳ７３）。履歴管理部１２０は、ステップＳ７３の処理を終えると、フローをステップＳ７２に進行させる。

履歴管理部１２０は、サブルーチン処理を終えると、ステップＳ５８で選択したデバイスを接続ＡＰ履歴において更新済みとする（ステップＳ６０）。

履歴管理部１２０は、ステップＳ６０の処理が完了すると、フローをステップＳ５７にリターンさせる。接続ＡＰ履歴が未更新のデバイスが存在しなくなるまでステップＳ５７〜Ｓ６０の処理を繰り返し実行するためである。

なお、情報収集部１１０は、ステップＳ５５においてＡＰではない（Ｓ５５：ＮＯ）と判定すると、フローをステップＳ５１にリターンする。ＡＰについて未更新デバイスリストへの登録を行うからである。

また、履歴管理部１２０は、ステップＳ５７において、接続ＡＰ履歴が未更新のデバイスが存在しない（Ｓ５７：ＮＯ）と判定すると、フローをステップＳ５１にリターンする。他のＡＰについての処理を行うためである。

そして、ステップＳ５１〜Ｓ６１の処理がすべての隣接情報が未取得のＳＷ及びＡＰについて行われ、ステップＳ５１において、情報収集部１１０が隣接情報を未取得のＳＷ又はＡＰがない（Ｓ５１：ＮＯ）と判定すると、フローはステップＳ６１に進行する。この状態で、ＦＡＮ５０に含まれるすべてのＳＷ及びＡＰについて隣接情報が取得されている。

トポロジ管理部１３０は、ＦＡＮ５０に含まれるすべてのＳＷ及びＡＰについて隣接情報に基づいて、ＦＡＮ５０のトポロジを割り出し（推定し）、割り出した（推定した）トポロジを保管する（ステップＳ６１）。

以上により、ＧＷ１００が接続ＡＰ履歴を更新し、ＦＡＮ５０のトポロジを割り出す処理が終了する。

図９は、ＧＷ１００が異常デバイスをＦＡＮ５０から隔離する処理を示すフローチャートである。図９に示すフローチャートは、異常情報受信部１４０が、トラフィック分析装置２０から異常通信情報を受信したことを契機に実行される。

異常情報受信部１４０は、トラフィック分析装置２０から異常通信情報を受信する（ステップＳ１００）。

特定部１５０は、異常通信情報に含まれるＭＡＣアドレス及び／又はＩＰアドレスから、マルウェアに感染したデバイスを特定する（ステップＳ１０１）。ここでは、デバイス３０Ｅがマルウェアに感染した異常デバイスとして特定されたこととする。

制御部１７０は、ＦＡＮ５０からデバイス３０Ｅを隔離するために制御対象になるネットワーク機器と、制御方法とを決定する（ステップＳ１０２）。ステップＳ１０２の処理は、具体的には、図９の右側に示すステップＳ１１０〜Ｓ１２２のサブルーチン処理によって行われる。

制御部１７０は、提供機能管理部１６０が保管する構成管理情報を参照し、提供機能を有するネットワーク機器を抽出する（ステップＳ１１０）。

制御部１７０は、調査対象を異常デバイスに設定する（ステップＳ１１１）。ここで、調査対象とは、制御部１７０がステップＳ１１０〜Ｓ１２２の処理を実行するにあたり、ＦＡＮ５０の内部で判定対象として選択するＳＷ、ＡＰ、又はデバイスである。調査対象の特定は、ＭＡＣアドレスを利用して行われる。

制御部１７０は、トポロジを参照し、調査対象を現在の調査対象の親ノードに設定する（ステップＳ１１２）。現在の調査対象の親ノードとは、ＦＡＮ５０のトポロジの中で、現在の調査対象の隣に位置するネットワーク機器であって、現在の調査対象よりもＧＷ１００側に位置するネットワーク機器である。

制御部１７０は、ステップＳ１１２で設定した調査対象がＧＷ１００であるかどうかを判定する（ステップＳ１１３）。ＧＷ１００は、ＦＡＮ５０から隔離不能なネットワーク機器であるため、まずＧＷ１００であるかどうかを判定することとしたものである。ＧＷ１００であるかどうかは、構成管理情報に含まれるＭＡＣアドレスに基づいて判定すればよい。

制御部１７０によってＧＷ１００である（Ｓ１１３：ＹＥＳ）と判定されると、通知部１８０は、管理者に隔離不能であることを通知する（ステップＳ１１４）。通知部１８０は、ネットワーク６０を介してＦＡＮ５０の管理者に隔離不能であることを通知する。

制御部１７０は、ＧＷ１００ではない（Ｓ１１３：ＮＯ）と判定すると、調査対象が制御可能なネットワーク機器であるかどうかを判定する（ステップＳ１１５）。ここで、制御可能なネットワーク機器とは、構成管理情報において提供機能を有するネットワーク機器である。制御可能なネットワーク機器の制御方法は、提供機能によって決まる。例えば、制御可能なネットワーク機器の提供機能がＭＡＣアドレスフィルタリングであれば、制御可能なネットワーク機器の制御方法は、ＭＡＣアドレスフィルタリングになる。

制御部１７０は、調査対象が制御可能なネットワーク機器である（Ｓ１１５：ＹＥＳ）と判定すると、調査対象がＳＷであるかどうかを判定する（ステップＳ１１６）。調査対象がＳＷであるかどうかは、調査対象のＭＡＣアドレスを用いて構成管理情報を参照することによって判定できる。

制御部１７０は、調査対象がＳＷである（Ｓ１１６：ＹＥＳ）と判定すると、調査対象を制御対象機器に設定する（ステップＳ１１７）。

制御部１７０は、ステップＳ１１７で制御対象機器に設定したネットワーク機器における異常デバイスを接続し得る有線Ｉ／Ｆを調査する（ステップＳ１１８）。

制御部１７０は、ステップＳ１１８で調査した有線Ｉ／Ｆをポートダウンさせる（ステップＳ１１９）。

制御部１７０は、調査対象がＳＷではない（Ｓ１１６：ＮＯ）と判定すると、調査対象がＡＰであるかどうかを判定する（ステップＳ１２０）。調査対象がＡＰであるかどうかは、調査対象のＭＡＣアドレスを用いて構成管理情報を参照することによって判定できる。

制御部１７０は、調査対象がＡＰである（Ｓ１２０：ＹＥＳ）と判定すると、接続ＡＰ履歴を参照し、ステップＳ１０１で特定した異常デバイスのＭＡＣアドレスと関連付けられたＡＰのＭＡＣアドレスによって特定されるＡＰを制御対象機器に設定する（ステップＳ１２１）。

これにより、異常デバイスの接続ＡＰ履歴に含まれる、すべてのＡＰが制御対象機器に設定される。すなわち、現在以前に異常デバイスが接続されたことのあるすべてのＡＰが制御対象機器に設定される。

ステップＳ１２１で制御対象機器に設定されたＡＰは、ステップＳ１０１で特定した異常デバイスについて、後述するステップＳ１２２において、異常デバイスをＦＡＮ５０から隔離するための制御方法が決定される。

制御部１７０は、構成管理情報を参照して、ステップＳ１２１で制御対象機器に設定したすべてのＡＰについて、ステップＳ１０１で特定した異常デバイスをＦＡＮ５０から隔離するための制御方法を決定する（ステップＳ１２２）。各ＡＰの制御方法は、各ＡＰについて構成管理情報で関連付けられた提供機能によって決まる。

なお、制御部１７０は、ステップＳ１１５において、調査対象が制御可能なネットワーク機器ではない（Ｓ１１５：ＮＯ）と判定すると、フローをステップＳ１１２にリターンする。現在の調査対象のネットワーク機器は、制御可能ではないため、親ノードについて調査するためである。

また、制御部１７０は、ステップＳ１２０において、調査対象がＡＰではない（Ｓ１２０：ＮＯ）と判定すると、フローをステップＳ１１２にリターンする。現在の調査対象のネットワーク機器は、ＳＷでもＡＰでもないため、親ノードについて調査するためである。

以上でサブルーチン処理が終了する。

制御部１７０は、ＳＮＭＰ(Simple Network Management Protocol)、ＨＴＴＰ(Hypertext Transfer Protocol)、ＳＳＨ(Secure Shell)、telenet等の標準規格を利用して、各制御可能機器に制御コマンドを送信する（ステップＳ１０３）。これにより、例えば、ＡＰにブラックリスト登録命令が送信されることによって、ステップＳ１０１で特定した異常デバイスについて、ブラックリストを利用したＭＡＣアドレスフィルタリングが行われる。

ブラックリスト登録命令は、ＡＰについては、ステップＳ１０１で特定した異常デバイスのＭＡＣアドレスと接続ＡＰ履歴において関連付けられたＡＰのＭＡＣアドレスによって特定されるすべてのＡＰに送信される。

これにより、現在以前に異常デバイスが接続されたことのあるすべてのＡＰは、ステップＳ１０１で特定された異常デバイスとの接続を拒否することになる。

また、ＳＷについては、ステップＳ１１７で制御対象機器に設定された調査対象であるＳＷに、ポートダウンを行う命令が送信される。

図１０は、ＧＷ１００の制御によるＦＡＮ５０の無線通信可能エリアを示す図である。図１０（Ａ）〜（Ｃ）では、ＦＡＮ５０に５個のＡＰ１〜ＡＰ５が設けられている形態について説明する。ここでは、ＡＰ１〜ＡＰ５を三角形（△）で示し、正常な複数のデバイス３０を四角形（□）で示し、異常デバイス３０Ｆを星形（☆）で示す。正常な複数のデバイス３０は、図１に示すデバイス３０Ａ〜３０Ｄと同様である。異常デバイス３０Ｆは、図１に示すデバイス３０Ｅが異常デバイスになったものと同様である。

図１０（Ａ）には、通信不能エリアが設定されていない状態における通信可能エリアを示す。通信不能エリアが設定されていないため、破線の円で示すＡＰ１〜ＡＰ５の５つの無線通信可能エリアが得られている。

図１０（Ａ）では、異常の発生していない１３個のデバイス３０がＡＰ１〜ＡＰ５の５つの無線通信可能エリア内で通信可能な状況になっている。

図１０（Ｂ）では、図１０（Ａ）に示す１３個のデバイス３０のうち、ＡＰ５の無線通信可能エリアにあるデバイス３０が異常デバイス３０Ｆに変わっている。このような状況では、ＡＰ１〜ＡＰ４の無線通信可能エリアは変更せずに、ＡＰ５のブラックリストに異常デバイス３０Ｆを登録して、ＡＰ５と異常デバイス３０Ｆの接続のみを切断すればよい。

図１０（Ｂ）には、ＡＰ５がブラックリストを有効にするために再起動している状態での無線通信可能エリアを示す。ＡＰ５が再起動している状態では、ＡＰ１〜ＡＰ４の無線通信可能エリアが通信可能な状態になっている。再起動に要する時間は、例えば約１分である。

ここで、図１０（Ａ）に示す５つの無線通信可能エリアを１００％とすると、図１０（Ｂ）に示すようにＡＰ５が再起動している状態では、グレーの部分の約６．４％のみが通信不能エリアになるだけで済んでいる。

なお、ＡＰ５が起動すると、異常デバイス３０ＦがＡＰ５への接続を拒否される状態になる。

図１０（Ｃ）では、図１０（Ａ）に示す１３個のデバイス３０のうち、ＡＰ４及びＡＰ５の無線通信可能エリアが重複した部分にあるデバイス３０が異常デバイス３０Ｆに変わっている。このような状況では、ＡＰ４及びＡＰ５のブラックリストに異常デバイス３０Ｆを登録して、ＡＰ４及びＡＰ５と異常デバイス３０Ｆの接続のみを切断すればよい。

図１０（Ｃ）には、ＡＰ４及びＡＰ５がブラックリストを有効にするために再起動している状態での無線通信可能エリアを示す。ＡＰ４及びＡＰ５が再起動している状態では、ＡＰ１〜ＡＰ３の無線通信可能エリアが通信可能な状態になっている。

ここで、図１０（Ａ）に示す５つの無線通信可能エリアを１００％とすると、図１０（Ｃ）に示すようにＡＰ４及びＡＰ５が再起動している状態では、グレーの部分の約２９．８％のみが通信不能エリアになるだけで済んでいる。

なお、ＡＰ４及びＡＰ５が起動すると、異常デバイス３０ＦがＡＰ４及びＡＰ５への接続を拒否される状態になる。

以上、実施の形態によれば、ＧＷ１００は、トラフィック分析装置２０から異常通信情報を受信すると、異常通信情報が表すデバイスのＭＡＣアドレスに基づいて、異常デバイスを特定する。

また、ＧＷ１００は、隣接情報に基づいて割り出したトポロジを参照して、接続ＡＰ履歴に含まれる、過去に異常デバイスが接続されたＡＰを特定し、特定したＡＰにブラックリスト登録命令を送信する。この結果、過去にデバイス３０Ｆが接続されたＡＰのブラックリストにデバイス３０ＦのＭＡＣアドレスが登録され、過去にデバイス３０Ｆが接続されたＡＰとデバイス３０Ｆとは接続不能な状態になる。

これにより、マルウェアに感染したデバイス３０ＦをＦＡＮ５０から隔離することができる。また、ＦＡＮ５０において、通信が不能になるのは、過去にデバイス３０Ｆが接続されたＡＰと、マルウェアに感染したデバイス３０Ｆとの間だけであり、ＡＰと他のデバイス３０との通信とは、通信可能な状態に維持される。

このため、ＦＡＮ５０内で通信不能になるのは最小限に抑制され、異常通信が生じても被害の拡大を抑制できる。

したがって、異常通信が生じても被害の拡大を抑制できるＧＷ１００（ネットワーク制御装置）及びＧＷ１００の制御方法（ネットワーク制御方法）を提供することができる。

異常デバイスは、過去に接続したことがあるＡＰに再接続する可能性が高い。また、ＦＡＮ５０では、デバイスは、基本的に移動せず、移動しても接続先のＡＰが変わらない程度である。

このため、異常デバイスに関しては、過去に接続したことがあるＡＰへの再接続を不能にすることで、異常の発生していない正常なデバイスの無線通信可能エリアを狭めることなく、マルウェアの拡散等を抑制することができる。

実施の形態では、ＦＡＮ５０が工場等に設置されることを想定し、センサ端末又は機械等がデバイスとしてＦＡＮ５０に接続され、デバイスは移動しない、あるいは移動範囲が狭く限られているものとする。この場合、デバイスは限られたいくつかのＡＰとのみ通信するため、過去に接続したＡＰのみへの再接続を不能にするだけで、異常デバイスのＦＡＮ５０への再接続を抑制することが可能になる。

なお、以上では、すべての異常デバイスについて、過去に接続されたＡＰとの再接続を不能にする形態について説明した。しかしながら、例えば、接続ＡＰ履歴における異常デバイスとＡＰとの接続でのＲＳＳＩ値が非常に低い場合には、過去に接続されたＡＰとの再接続を不能にしなくても問題が生じない場合がある。このため、過去における異常デバイスとＡＰとの接続でのＲＳＳＩ値が所定の閾値以上の異常デバイスについて、過去に接続されたＡＰとの再接続を不能にするようにしてもよい。

また、例えば、接続ＡＰ履歴における異常デバイスとＡＰとの接続における継続接続時間が非常に短い場合には、過去に接続されたＡＰとの再接続を不能にしなくても問題が生じない場合がある。このため、過去における異常デバイスとＡＰとの接続での継続接続時間が所定時間以上の異常デバイスについて、過去に接続されたＡＰとの再接続を不能にするようにしてもよい。

また、図４に示す接続ＡＰ履歴に、ＡＰから見たデバイスの応答時間を追加してもよい。応答時間は、ＲＳＳＩ値及び／又は継続接続時間の代わりに接続ＡＰ履歴に含ませてもよい。応答時間が非常に長い場合には、デバイスがＡＰに接続するのに時間を要することを表す。このため、例えば、過去における異常デバイスとＡＰとの接続での応答時間が所定時間未満の異常デバイスについて、過去に接続されたＡＰとの再接続を不能にするようにしてもよい。

また、以上では、ＡＰにおいてブラックリストを有効にするために再起動が必要な形態について説明したが、再起動が不要なＡＰを用いれば、図１０（Ｂ）、（Ｃ）に示すように通信不能になるエリアを無くすことができる。図１０（Ｂ）では、ＡＰ５の再起動を待つことなく、異常デバイス３０ＦがＡＰ５への接続を拒否される状態になり、図１０（Ｃ）では、ＡＰ４及びＡＰ５の最起動を待つことなく、異常デバイス３０ＦがＡＰ４及びＡＰ５への接続を拒否される状態になる。

以上、本発明の例示的な実施の形態のネットワーク制御装置、及び、ネットワーク制御方法について説明したが、本発明は、具体的に開示された実施の形態に限定されるものではなく、特許請求の範囲から逸脱することなく、種々の変形や変更が可能である。

以上の実施の形態に関し、さらに以下の付記を開示する。
（付記１）
ローカルエリアネットワークを構築するアクセスポイントに接続され、前記ローカルエリアネットワークを含むネットワークを制御するネットワーク制御装置であって、
前記アクセスポイントから収集される、前記アクセスポイントに接続される機器を特定する情報に基づき、前記アクセスポイントへの前記機器の接続履歴を表す接続履歴情報を生成する接続履歴生成部と、
前記アクセスポイントから収集される、前記アクセスポイントに接続される機器を特定する情報に基づき、前記ネットワークのトポロジを割り出すトポロジ管理部と、
前記ネットワークにおけるトラフィックに基づいて異常通信を検出する異常通信検出装置から入力される前記異常通信を表す情報から、前記異常通信を行った異常機器を特定する異常特定部と、
前記トポロジを参照して、前記接続履歴情報に含まれる、前記異常機器が接続されたアクセスポイントを特定し、前記特定したアクセスポイントに対して、前記異常機器と通信不能な状態にさせる指令を送信する、接続制御部と
を含む、ネットワーク制御装置。
（付記２）
前記接続履歴情報は、前記機器が前記アクセスポイントに接続された接続時間を含み、
前記接続制御部は、前記接続履歴情報に含まれる、前記異常機器が接続されたアクセスポイントのうち、前記接続時間が所定時間以上の異常機器が接続されたアクセスポイントに対して、前記異常機器と通信不能な状態にさせる指令を送信する、付記１記載のネットワーク制御装置。
（付記３）
前記接続履歴情報は、前記機器が前記アクセスポイントに無線通信によって接続された際の電界強度を含み、
前記接続制御部は、前記接続履歴情報に含まれる、前記異常機器が接続されたアクセスポイントのうち、前記電界強度が所定強度以上の異常機器が接続されたアクセスポイントに対して、前記異常機器と通信不能な状態にさせる指令を送信する、付記１又は２記載のネットワーク制御装置。
（付記４）
前記接続履歴情報は、前記機器が前記アクセスポイントに接続された際の前記機器の応答時間を含み、
前記接続制御部は、前記接続履歴情報に含まれる、前記異常機器が接続されたアクセスポイントのうち、前記応答時間が所定時間未満の異常機器が接続されたアクセスポイントに対して、前記異常機器と通信不能な状態にさせる指令を送信する、付記１乃至３のいずれか一項記載のネットワーク制御装置。
（付記５）
前記接続制御部は、前記異常機器と通信不能な状態にさせる指令によって、前記異常機器が接続されたアクセスポイントに、通信不能な状態にさせる異常機器のリストを作成させる、付記１乃至４のいずれか一項記載のネットワーク制御装置。
（付記６）
前記異常機器と通信不能な状態にさせる指令は、前記異常機器の接続を拒否させる接続拒否指令である、付記１乃至５のいずれか一項記載のネットワーク制御装置。
（付記７）
ローカルエリアネットワークを構築するアクセスポイントに接続され、前記ローカルエリアネットワークを含むネットワークをコンピュータが制御するネットワーク制御方法であって、
前記コンピュータが、
前記アクセスポイントから収集される、前記アクセスポイントに接続される機器を特定する情報に基づき、前記アクセスポイントへの前記機器の接続履歴を表す接続履歴情報を生成し、
前記アクセスポイントから収集される、前記アクセスポイントに接続される機器を特定する情報に基づき、前記ネットワークのトポロジを割り出し、
前記ネットワークにおけるトラフィックに基づいて異常通信を検出する異常通信検出装置から入力される前記異常通信を表す情報から、前記異常通信を行った異常機器を特定し、
前記トポロジを参照して、前記接続履歴情報に含まれる、前記異常機器が接続されたアクセスポイントを特定し、前記特定したアクセスポイントに対して、前記異常機器と通信不能な状態にさせる指令を送信する、ネットワーク制御方法。

１０ ＳＷ
２０ トラフィック分析装置
３０、３０Ａ〜３０Ｄ デバイス
３０Ｅ 異常デバイス
４０ 感染媒体
５０ ＦＡＮ
１００ ＧＷ
１２０ 履歴管理部
１３０ トポロジ管理部
１５０ 特定部
１６０ 提供機能管理部
１７０ 制御部

Claims (7)

1. ローカルエリアネットワークを構築するアクセスポイントに接続され、前記ローカルエリアネットワークを含むネットワークを制御するネットワーク制御装置であって、
   前記アクセスポイントから収集される、前記アクセスポイントに接続される機器を特定する情報に基づき、前記アクセスポイントへの前記機器の接続履歴を表す接続履歴情報を生成する接続履歴生成部と、
   前記アクセスポイントから収集される、前記アクセスポイントに接続される機器を特定する情報に基づき、前記ネットワークのトポロジを割り出すトポロジ管理部と、
   前記ネットワークにおけるトラフィックに基づいて異常通信を検出する異常通信検出装置から入力される前記異常通信を表す情報から、前記異常通信を行った異常機器を特定する異常特定部と、
   前記トポロジを参照して、前記接続履歴情報に含まれる、前記異常機器が接続されたアクセスポイントを特定し、前記特定したアクセスポイントに対して、前記異常機器と通信不能な状態にさせる指令を送信する、接続制御部と
   を含む、ネットワーク制御装置。
2. 前記接続履歴情報は、前記機器が前記アクセスポイントに接続された接続時間を含み、
   前記接続制御部は、前記接続履歴情報に含まれる、前記異常機器が接続されたアクセスポイントのうち、前記接続時間が所定時間以上の異常機器が接続されたアクセスポイントに対して、前記異常機器と通信不能な状態にさせる指令を送信する、請求項１記載のネットワーク制御装置。
3. 前記接続履歴情報は、前記機器が前記アクセスポイントに無線通信によって接続された際の電界強度を含み、
   前記接続制御部は、前記接続履歴情報に含まれる、前記異常機器が接続されたアクセスポイントのうち、前記電界強度が所定強度以上の異常機器が接続されたアクセスポイントに対して、前記異常機器と通信不能な状態にさせる指令を送信する、請求項１又は２記載のネットワーク制御装置。
4. 前記接続履歴情報は、前記機器が前記アクセスポイントに接続された際の前記機器の応答時間を含み、
   前記接続制御部は、前記接続履歴情報に含まれる、前記異常機器が接続されたアクセスポイントのうち、前記応答時間が所定時間未満の異常機器が接続されたアクセスポイントに対して、前記異常機器と通信不能な状態にさせる指令を送信する、請求項１乃至３のいずれか一項記載のネットワーク制御装置。
5. 前記接続制御部は、前記異常機器と通信不能な状態にさせる指令によって、前記異常機器が接続されたアクセスポイントに、通信不能な状態にさせる異常機器のリストを作成させる、請求項１乃至４のいずれか一項記載のネットワーク制御装置。
6. 前記異常機器と通信不能な状態にさせる指令は、前記異常機器の接続を拒否させる接続拒否指令である、請求項１乃至５のいずれか一項記載のネットワーク制御装置。
7. ローカルエリアネットワークを構築するアクセスポイントに接続され、前記ローカルエリアネットワークを含むネットワークをコンピュータが制御するネットワーク制御方法であって、
   前記コンピュータが、
   前記アクセスポイントから収集される、前記アクセスポイントに接続される機器を特定する情報に基づき、前記アクセスポイントへの前記機器の接続履歴を表す接続履歴情報を生成し、
   前記アクセスポイントから収集される、前記アクセスポイントに接続される機器を特定する情報に基づき、前記ネットワークのトポロジを割り出し、
   前記ネットワークにおけるトラフィックに基づいて異常通信を検出する異常通信検出装置から入力される前記異常通信を表す情報から、前記異常通信を行った異常機器を特定し、
   前記トポロジを参照して、前記接続履歴情報に含まれる、前記異常機器が接続されたアクセスポイントを特定し、前記特定したアクセスポイントに対して、前記異常機器と通信不能な状態にさせる指令を送信する、ネットワーク制御方法。
   

Images