JP2023032671A - セキュリティ管理装置 - Google Patents

Abstract

【課題】 スイッチングハブを介して接続される端末装置間の通信についても、安全性高く通信を行えるようにすることを目的とする。【解決手段】 ＤＨＣＰ機能部１３０は、自機に接続された配下の端末装置のそれぞれに対して同一セグメントのＩＰアドレスを付与する。セキュリティ機能部１２０からの出力信号に基づき、監視端末特定部１４０が、自機に接続されている端末装置のうち、監視対象とすべき端末装置を特定する。ＤＨＣＰ機能部１３０は、監視端末特定部１４０により特定された端末装置に対して、他の端末装置とは異なるセグメントのＩＰアドレスを付与する。【選択図】図４

Description

この発明は、例えば、ＵＴＭ（Unified Threat Management）装置等のセキュリティ管理を行う装置に関する。

複数の異なるセキュリティ機能を１つのハードウェアに統合し、ネットワーク等に関するセキュリティ管理を集中的に行うようにするＵＴＭ装置（統合脅威管理装置）が、企業等で利用されるようになってきている。ＵＴＭ装置については、種々の改良がなされている。例えば、後に記す特許文献１には、ＵＴＭ装置に関し、アクセス先、アクセス先が提供するコンテンツのカテゴリ、当該コンテンツのファイルタイプ等に応じて、ウィルスの検知方式を動的に切り替える技術が開示されている。

特開２０１７－０９２７５５号公報

上述したように、ＵＴＭ装置については種々の改良がなされ、信頼性の高いセキュリティ機能が実現されている。ＵＴＭ装置は、主にはインターネットであるＷＡＮ（Wide Area Network）とＬＡＮ（Local Area Network）との間に設置され、ＷＡＮ－ＬＡＮ間の通信を監視し、制御や管理を行うことができるものである。しかしながら、例えばスイッチングハブを介してＵＴＭ装置に接続された配下の端末装置間の通信に関しては、ＵＴＭ装置が関与することができない。

ＵＴＭ装置は、ＤＨＣＰ（Dynamic Host Configuration Protocol）サーバ機能を備え、例えばスイッチングハブを介して自機に接続された配下の端末装置には、セグメント（ネットワーク部）が同じＩＰアドレスを割り当てる。また、スイッチングハブは、自機に接続されたＩＰアドレスを有する端末装置間の通信に関しては、ＭＡＣ（Media Access Control）アドレスに基づいて、データを振り分けることができる。従って、スイッチングハブに接続された同一セグメントを有する端末装置間の通信（ＵＴＭ装置の配下の端末装置間の通信）は、スイッチングハブ経由で成立し、ＵＴＭ装置を経由することはない。

このように、スイッチングハブを介してＵＴＭ装置に接続される端末装置間の通信は、ＭＡＣアドレスで行先が特定されるため、ＩＰアドレスによって相手先を特定する必要がなく、ＵＴＭ装置を経由しない。このため、ＵＴＭ装置は、自機にスイッチングハブを介して端末装置が接続されることにより構成されるＬＡＮ内で問題が発生しても検知することができない。この場合のセキュリティ対策は、当該端末装置に搭載されたウィルス対策ソフトウェア等の当該端末装置が備えるセキュリティ機能に頼ることになる。

以上のことに鑑み、この発明は、ＵＴＭ装置等のセキュリティ管理装置に関し、ハブ装置を介して自機に接続される端末装置間の通信についても適切に介在して、安全性高く通信を行えるようにすることを目的とする。

上記課題を解決するため、請求項１に記載の発明のセキュリティ管理装置は、
異なるセグメント間の通信に関してセキュリティ機能を実現するセキュリティ管理装置であって、
配下の端末装置のそれぞれに対しては、同じセグメントのＩＰ（Internet Protocol）アドレスを付与するアドレス付与手段と、
セキュリティ機能を実現するセキュリティ手段と、
前記セキュリティ手段からの出力信号に基づいて、配下の前記端末装置のうち、監視対象とすべき前記端末装置を特定する特定手段と
を備え、
前記アドレス付与手段は、前記特定手段により特定された前記端末装置に対して、配下の他の端末装置とは異なるセグメントのＩＰアドレスを付与する
ことを特徴とする。

請求項１に記載の発明のセキュリティ管理装置によれば、アドレス付与手段により、配下の端末装置のそれぞれに対しては、同じセグメントのＩＰ（Internet Protocol）アドレスが付与される。セキュリティ手段によってセキュリティ機能が実現されるが、このセキュリティ手段からの出力信号に基づき、特定手段により、配下の端末装置のうち、監視対象とすべき端末装置が特定される。特定手段により特定された端末装置に対しては、アドレス付与手段により、配下の他の端末装置とは異なるセグメントのＩＰアドレスが付与される。

この発明のセキュリティ管理装置によれば、監視対象とされた携帯端末に対しては、配下の他の携帯端末に対して付与されているＩＰアドレスのセグメントとは異なるセグメントのＩＰアドレスを付与することができる。このようにして、自機に接続された端末装置に付与されたＩＰアドレスとは異なるセグメントのＩＰアドレスを有する端末装置についての通信は、デフォルトゲートウェイに送信するハブの機能を利用できるようにする。これにより、配下の端末装置間の通信についても、デフォルトゲートウェイとして機能する当該セキュリティ管理装置が適切に関与できるようにして、安全性高く通信を行うことができる。

実施の形態のＵＴＭ装置が使用されるシステム環境の例について説明するための図である。 実施の形態のＵＴＭ装置によるＩＰアドレスの付与の例と付与後のＬＡＮ内通信を行う場合の例を説明するための図である。 実施の形態のＵＴＭ装置が行うＩＰアドレスの再付与の例と再付与後のＬＡＮ内で通信を行う場合の例を説明するための図である。 実施の形態のＵＴＭ装置の構成例を説明するためのブロック図である。 実施の形態のＵＴＭ装置が複数のＬＡＮポートを備える場合のＩＰアドレスの付与の例を説明するための図である。 実施の形態のＵＴＭ装置が複数のＬＡＮポートを備える場合のＩＰアドレスの再付与の例を説明するための図である。 実施の形態のＵＴＭ装置におけるＩＰアドレスの管理態様の例について説明するための図である。 実施の形態のＵＴＭ装置が行う処理について説明するためのシーケンス図である。

以下、図を参照しながら、この発明のセキュリティ管理装置の実施の形態について説明する。以下に説明する実施の形態においては、この発明によるセキュリティ管理装置の一実施の形態が、ＵＴＭ装置に適用された場合を例にして説明する。また、この明細書において、「セキュリティ」との文言は、暗号技術、防御のためのソフトウェア、アクセスの制限技術等を用いて、データ、システム、通信経路等を保護し、機密漏洩や外部からの攻撃、情報の改ざん等の危険を排除すること全般を指す。従って、「セキュリティ機能」との文言は、暗号技術、防御のためのソフトウェア、アクセスの制限技術等を用いて、データ、システム、通信経路等を保護し、機密漏洩や外部からの攻撃、情報の改ざん等の危険を排除するための機能を意味する。

［ＵＴＭ装置が使用されるシステム環境］
図１は、実施の形態のＵＴＭ装置１が使用されるシステム環境の例について説明するための図である。ＵＴＭ装置１は、複数の異なるセキュリティ機能を１つのハードウェアに搭載して構成した、総合脅威管理装置であり、この発明によるセキュリティ管理装置の一実施の形態が適用されたものである。

ＵＴＭ装置１には、スイッチングハブ（以下、ＳＷハブと記載する。）２を介して、複数の端末装置としてＰＣ（Personal Computer）３（１）、３（２）、３（３）、３（４）、…が接続されることによりＬＡＮ４が形成されている。このように、ＵＴＭ装置１と、ＳＷハブ２と、ＳＷハブ２に接続されたＰＣ３（１）、３（２）、３（３）、３（４）、…とによって、セキュリティ監視システムが構成されている。セキュリティ監視システムは、例えば、会社内に形成され、ＰＣ３（１）、３（２）、３（３）、３（４）、…のそれぞれは、従業員によって使用される業務用のＰＣである。

図１に示すように、ＵＴＭ装置１はインターネット５に接続されている。インターネット５上には、多数のＨＴＴＰ（Hypertext Transfer Protocol）サーバ装置６や多数のメールサーバ装置７が存在している。ＨＴＴＰサーバ装置６に格納されている種々のＷｅｂページは、不特定多数の者によって利用可能な状態になっている。なお、ＨＴＴＰサーバ装置６は、Ｗｅｂサーバ等とも呼ばれる。また、メールサーバ装置７を利用することによって、インターネット５を介した電子メールの送信や受信が可能になっている。

従って、ＬＡＮ４に接続されたＰＣ３（１）、３（２）、３（３）、３（４）、…のそれぞれは、ＵＴＭ装置１を通じてインターネット５上のＨＴＴＰサーバ装置６にアクセスし、目的とするＷｅｂページの閲覧が可能である。また、ＬＡＮ４に接続されたＰＣ３（１）、３（２）、３（３）、３（４）、…のそれぞれは、ＵＴＭ装置１を通じてインターネット５上のメールサーバ装置７を利用し、目的とする相手先との間で、電子メールの送信、受信が可能である。なお、メールサーバ装置７は、実際には、送信サーバ装置、受信サーバ装置、ＤＮＳ（Domain Name System）サーバ装置等を含んで構成されている。

このように、ＬＡＮ４に接続された端末装置であるＰＣ３（１）、３（２）、３（３）、３（４）、…のそれぞれは、インターネット５を利用する場合には、必ずＵＴＭ装置１を介して通信を行うことになる。このため、ＵＴＭ装置１が備える複数の異なるセキュリティ機能を利用することができるので、インターネット５の利用に関して高い安全性を確保できる。また、ＵＴＭ装置１は、配下のＰＣ等の通信を行う端末装置に対して、ＩＰアドレス（プライベートＩＰアドレス）を割り当てる機能を備える。すなわち、ＵＴＭ装置１は、ＤＨＣＰ（Dynamic Host Configuration Protocol）機能を備えたものである。

ＩＰアドレスは、１０進数で示せば、例えば「１９２．１６８．１２８．１０」のように、４つの部分からなる。この実施の形態では、いわゆるサブネットマスクが、「２５５．２５５．２５５．０」である場合を考える。この例の場合であれば、「．（ピリオド）」で区切られた先頭から３つ目までの部分である「１９２．１６８．１２８」がネットワーク部で、いわゆるセグメントとも呼ばれ、属するネットワークを示す部分となる。また、この例の場合、最後の４つ目の部分である「１０」がホスト部で、個々の端末装置を示す部分となる。

ＵＴＭ装置１のＤＨＣＰサーバ機能は、基本的には、自機に接続される配下の端末装置に対しては、同じセグメントのＩＰアドレスを付与するものである。しかし、この実施の形態のＵＴＭ装置１は、複数のＬＡＮポートを備え、同じＬＡＮポートに接続された端末装置には、同じセグメントのＩＰアドレスを付与するが、ＬＡＮポートごとにセグメントの異なるＩＰアドレスを付与することが可能なものである。

図２は、図１に示したセキュリティ管理システム部分を示しており、ＵＴＭ装置１によるＩＰアドレスの付与の例と付与後のＬＡＮ内通信を行う場合の例を説明するための図である。図２に示した例の場合には、ＰＣ３（１）、ＰＣ３（２）、ＰＣ３（３）、ＰＣ３（４）、…のそれぞれには、ＵＴＭ装置１により、セグメント（ネットワーク部）が「１９２．１６８．１」であるＩＰアドレスが付与されている。このようにすれば、図２において点線矢印で示したＰＣ３（２）とＰＣ３（３）との間の通信のように、ＬＡＮ４を構成するＰＣ間で通信を行う場合には、ＳＷハブ２の機能により、ＭＡＣアドレスにより通信の相手先を特定して、ＵＴＭ装置１を介すことなく通信が可能になる。

ＳＷハブ２は、市販されている一般的なスイッチングハブであり、自機を通じて接続されたＩＰアドレスのセグメントが同じ端末装置（ＰＣ）間の通信については、ＭＡＣアドレスに基づいて相手先を特定して、送信データを振り分けることができるものである。図１、図２に示したように、ＳＷハブ２を起点としてＬＡＮが形成されており、同一ＬＡＮ内の通信であれば、主にインターネット５であるＷＡＮを通じた通信に比べて安全であるので、ＵＴＭ装置１を介さずに通信を可能にすることが適当である。これにより、ＵＴＭ装置１を介した通信トラフィックの増大を防止し、効率よく通信を行うことができる。なお、ＷＡＮは、主にインターネット５であるものとして説明したが、ＵＴＭ装置１から見て外側のネットワークを意味している。このため、ＷＡＮは、インターネット５及びインターネット５に接続された相手方のＬＡＮをも含むものである。

しかしながら、ＳＷハブ２に接続されたＰＣ３（１）、３（２）、３（３）、３（４）、…のそれぞれは、ＵＴＭ装置１を介して主にインターネット５であるＷＡＮに接続可能であり、コンピュータウィルスに感染する等の危険性はゼロではない。このため、ＰＣ３（１）、３（２）、３（３）、３（４）、…が、コンピュータウィルスに感染する等して、以下のような不具合を生じさせる可能性がある。例えば、ＷＡＮへ大量の通信をするようになったり、スパムメールが大量に届くようになったり、Ｗｅｂフィルタリング機能でリスク高とされているＷｅｂページへ頻繁にアクセスしようとしたりするといったことが起こり得る。このような状態は、ＵＴＭ装置１のセキュリティ機能により検出可能である。

また、ＬＡＮ４に接続されているＰＣ３（１）、３（２）、３（３）、３（４）、…が持ち出された後に、ＬＡＮ４に再接続される場合もある。また、ＬＡＮ４に接続されているＰＣ３（１）、３（２）、３（３）、３（４）、…において、ＵＳＢ（Universal Serial Bus）メモリ等の外部メモリが利用される場合もある。このような場合にも、コンピュータウィルスに感染する等のリスクは高くなる。また、ＬＡＮ４に接続されているＰＣ３（１）、３（２）、３（３）、３（４）、…に搭載されたセキュリティソフトウェアが異常を検知する場合もある。このように、ＬＡＮ４への再接続、外部メモリの利用、セキュリティソフトウェアによる異常の検知といった事象の発生は、ＰＣ３（１）、３（２）、３（３）、３（４）、…からＵＴＭ装置１に通知（申告）すれば、ＵＴＭ装置１において把握可能である。

そこで、ＷＡＮへ大量の通信の発生、大量のスパムメールの受信、高リスクＷｅｂページへの頻繁なアクセス、ＬＡＮ４への再接続、外部メモリの利用、セキュリティソフトウェアによる異常の検知といった事象の発生をＵＴＭ装置１が検知（把握）したとする。この場合にＵＴＭ装置１は、当該事象の発生元のＰＣを特定し、その特定したＰＣに対して、現在付与されているＩＰアドレスとは異なるセグメント（ネットワーク部）のＩＰアドレスを再付与する。

図３は、ＵＴＭ装置１が行うＩＰアドレスの再付与の例と再付与後のＬＡＮ内で通信を行う場合の例を説明するための図である。図３もまた、図２の場合と同様に、図１に示したセキュリティ管理システム部分を示している。図２を用いて説明したように、ＬＡＮ４に接続されているＰＣ３（１）、３（２）、３（３）、３（４）、…に対しては、同じセグメントのＩＰアドレスが付与される。この場合に、例えばＰＣ３（２）について、上述した所定の事象の少なくとも１つが発生したとする。すなわち、ＷＡＮへ大量の通信の発生、大量のスパムメールの受信、高リスクＷｅｂページへの頻繁なアクセス、ＬＡＮ４への再接続、外部メモリの利用、端末装置（ＰＣ）のセキュリティソフトウェアによる異常の検知といった事象の内の１つが発生したとする。

ＰＣ３（２）に対する当該事象の発生を検知したＵＴＭ装置１は、特定したＰＣ３（２）に対して、自機のＤＨＣＰ機能を用いて、現在付与されているＩＰアドレスとは異なるセグメント（ネットワーク部）のＩＰアドレスを再付与する。図３に示した例の場合、ＰＣ（２）には、元々「１９２．１６８．１．３」というＩＰアドレスが付与されていたが、「１９２．１６８．２．２」というセグメントの異なるＩＰアドレスが付与し直された場合を示している。また、ＵＴＭ装置１に自身に対しても、ＰＣ（２）に付与し直されたＩＰアドレスと同じセグメントのＩＰアドレス「１９２．１６８．２．１」を追加付与する、これにより、ＵＴＭ装置１が、ＰＣ３（２）のデフォルトゲートウェイ（以下、デフォルトＧＷと記載する。）となるようにしている。

これにより、図３において点線矢印で示したように、ＬＡＮ４を構成するＰＣ間で通信を行う場合であっても、セグメントが異なるＩＰアドレスを有するＰＣ３（２）とＰＣ３（３）との間の通信は、ＵＴＭ装置１を介した通信となる。ＳＷハブ２は、上述したように、自機を通じて接続されたＩＰアドレスが付与された端末装置間の通信については、ＭＡＣアドレスに基づいて相手先を特定して、送信データを振り分ける。しかし、ＳＷハブ２は、セグメントの異なるＩＰアドレスが付与された端末装置間の通信については、デフォルトＧＷに通信データを送ることになる。この場合には、自機に接続された配下の端末装置間の通信であっても、ＵＴＭ装置１を介した通信になる。

従って、図３において点線で示したように、ＬＡＮ４に接続されたＰＣ間であっても、上述した所定の事象が発生したＰＣ３（２）と正常なＰＣ３（３）との間の通信は、ＵＴＭ装置１を介して行うことができる。この場合、ＵＴＭ装置１のセキュリティ機能を利用することが可能となり、ＬＡＮ４に接続されたＰＣ間における通信もより安全に行うことができる。なお、このようなＵＴＭ装置１を介した通信は、所定の事象が発生しているＰＣ３（２）を送信元（発信元）とする通信だけでなく、ＰＣ３（２）を送信先（送信の相手先）とする通信も同様にＵＴＭ装置１を介した通信となる。ＩＰアドレスのセグメントが異なるためである。

また、図３において、ＩＰアドレスが再付与されていないＰＣ３（１）、ＰＣ３（３）、ＰＣ３（４）、…の間の通信は、従来通りＵＴＭ装置１を介すことなく、ＳＷハブ２が機能して通信先を振り分けることができる。従って、ＵＴＭ装置１を経由した通信トラフィックを必要以上に増やすこともない。以下、この実施の形態のＵＴＭ装置１の構成例について具体的に説明する。

［ＵＴＭ装置１の構成例］
図４は、ＵＴＭ装置１の構成例を説明するためのブロック図である。接続端子１０１は、インターネット５への接続端部を構成する。通信Ｉ／Ｆ１０２は、インターネット５を通じて自機宛てに送信されてきたデータを自機において処理可能な形式のデータに変換して取り込む処理を行う。また、通信Ｉ／Ｆ１０２は、自機から送信するデータを送信する形式のデータに変換し、インターネット５を通じて目的とする相手先に送信する処理を行う。従って、インターネット５に接続されたサーバ装置等との通信は、接続端子１０１及び通信Ｉ／Ｆ１０２とを通じて行うことになる。

制御部１０３は、図示しないが、ＣＰＵ（Central Processing Unit）、ＲＯＭ（Read Only Memory）、ＲＡＭ（Random Access Memory）、不揮発性メモリがバスを介して接続されて構成されたものであり、ＵＴＭ装置１の各部を制御する機能を実現する。記憶装置１０４は、例えば、ＳＳＤ（Solid State Drive）等の記録媒体とそのドライバとからなる装置部であり、種々のデータの記録媒体への記録、読み出し、変更、削除等を行う。記憶装置１０４は、必要となるデータやプログラムを記憶保持する他、種々の処理において生じる中間データを一時記憶する作業領域としても用いられる。この実施の形態において、記憶装置１０４には、自機に割り当てたＩＰアドレスを管理する自機アドレス管理ファイル１０４Ａや自機に接続される配下の端末装置に割り当てたＩＰアドレスを管理する端末アドレス管理ファイル１０４Ｂが形成される。これらのファイルの詳細については後述する。

時計回路１０５は、現在年月日、現在曜日、現在時刻を提供することができると共に、所定の時間範囲を計測するタイマー機能をも実現することができるものである。時計回路１０５は、例えば、所定の相手先との間で通信を開始してからの時間や所定のＷｅｂページにアクセスしてからの時間を計測したりする等の場合に用いられる。また、単位時間当たりの通信量を計測する場合の当該単位時間を計測するなどの場合に用いられる。

ＬＡＮ用接続端子１１１、１１３、１１５、１１７は、ＬＡＮへの接続端部を構成する。ＬＡＮポート１１２、１１４、１１６、１１８は、ＬＡＮを通じて配下の端末装置から自機宛てに送信されてきたデータを自機において処理可能な形式のデータに変換して取り込む処理を行う。また、ＬＡＮポート１１２、１１４、１１６、１１８は、自機から配下の端末装置に送信するデータを送信する形式のデータに変換し、ＬＡＮを通じて目的とする端末装置に送信する処理を行う。従って、ＬＡＮに接続された配下の端末装置との通信は、ＬＡＮ用接続端子１１１、１１３、１１５、１１７及びＬＡＮポート１１２、１１４、１１６、１１８を通じて行うことになる。

図４において、Ｐ２Ｐ対策部１２１と、ＨＰアクセス制御部１２２と、ウィルス対策部１２３と、メール対策部１２４と、ＩＰＳ／ＩＤＳ部１２５と、ファイアウォール部１２６と、端末連携部１２７とが、セキュリティ機能部１２０を構成する。Ｐ２Ｐ対策部１２１は、セキュリティ対策を行っていない相手や悪意のある相手とのＰ２Ｐ接続を禁止する機能を実現する。なお、「Ｐ２Ｐ」とは、「Peer to Peer」を意味し、インターネットを介して対等なもの同士が直接に通信を行うことを意味する。Ｐ２Ｐ対策部１２１の機能により、例えば画像等のファイル交換を問題のある相手との間において１対１で行うことを防止し、相手からのウィルス感染を防止する等の機能を実現する。

ＨＰ（Home Page）アクセス制御部１２２は、例えば、予め目的とするホームページカテゴリを選択しておくことにより、当該カテゴリに該当するホームページへのアクセスを禁止する機能を実現する。例えば、ギャンブルサイト、アダルトサイト、麻薬関連サイト等の不適切サイトへのＵＲＬフィルタリングが可能となる。ウィルス対策部１２３は、Ｗｅｂページのレスポンスの検証（ウィルスチェック）を行う。具体的にウィルス対策部１２３は、Ｗｅｂページを閲覧するときの通信を監視し、閲覧しようとしている画像やダウンロードするファイルにウィルスが混入していないかを検証（チェック）する機能を実現する。

メール対策部１２４は、受信した電子メールに関し、不要な広告やウィルスが添付された電子メールをブロックする機能を実現する。ＩＰＳ／ＩＤＳ部１２５は、不適切な侵入を防止したり、不適切な侵入を通知したりする機能を実現する。ここで、ＩＰＳは、侵入防止システム（Intrusion Prevention System）の略称であり、ＩＤＳは、侵入検知システム（Intrusion Detection System）の略称である。ＩＰＳ／ＩＤＳ部１２５は、ワームやトロイの木馬といったいわゆるマルウェアによる攻撃に対して防御を行うことができる。

ファイアウォール部１２６は、データ通信の状況や利用するソフトウェア等により、ＬＡＮ（社内ネットワーク）にデータを供給するか否かを判断し、外部のネットワークからの攻撃や不正なアクセスから自システムを防御する機能を実現する。端末連携部１２７は、ＬＡＮ用接続端子１１１、１１３、１１５、１１７及びＬＡＮポート１１２、１１４、１１６、１１８を通じて接続された端末装置からの情報を監視し、端末装置に関する所定の事象の発生を検知する。なお、端末装置に関する所定の事象は、上述したように、ＬＡＮへの再接続、外部メモリの利用、端末装置のセキュリティソフトによる異常の検知等である。このように、ＵＴＭ装置１は、複数の異なるセキュリティ機能を１つのハードウェアに搭載していることにより、通信環境に生じる脅威に対して総合的に対処できる。

ＤＨＣＰ機能部１３０は、自機及びＬＡＮ用接続端子１１１、１１３、１１５、１１７及びＬＡＮポート１１２、１１４、１１６、１１８を通じて接続された配下の端末装置に対して、ＩＰアドレスを付与する処理を行う。ＤＨＣＰ機能部１３０は、自機に対しては必要に応じて、また、配下の端末装置には、配下の端末装置からの要求に応じて、ＩＰアドレスを付与する。ＤＨＣＰ機能部１３０は、上述したように、基本的には自機に接続された端末装置に対しては、接続されているＬＡＮポートに関わらず、同じセグメント（ネットワーク部）のＩＰアドレスを付与するものである。

しかし、この実施の形態のＵＴＭ装置１のＤＨＣＰ機能部１３０は、同じＬＡＮポートに接続される端末装置には、同じセグメント（ネットワーク部）のＩＰアドレスを付与する。しかし、ＬＡＮポートが異なれば、異なるセグメントのＩＰアドレスが付与できるものである。また、ＤＨＣＰ機能部１３０は、後述するように、ＧＡＲＰ（Gratuitous ARP）コマンドを送出し、ＩＰアドレスの重複確認を行って重複する場合に、ＩＰアドレスを付与し直すこともできるものである。

図５は、ＵＴＭ装置１が複数（この例では４つ）のＬＡＮポートを備える場合のＩＰアドレスの付与の例を説明するための図である。図４に示したように、この実施の形態のＵＴＭ装置１は、ＬＡＮ用接続端子１１１、１１３、１１５、１１７及びＬＡＮポート１１２、１１４、１１６、１１８からなる４つのＬＡＮポート部を備える。この実施の形態において、ＤＨＣＰ機能部１３０は、ＬＡＮポート部ごとに異なるセグメントのＩＰアドレスを付与する。図５に示した例の場合には、ＬＡＮ用接続端子１１１及びＬＡＮポート１１２を通じて接続される端末装置には、セグメントが「１９２．１６８．１」であるＩＰアドレスを付与している。また、ＬＡＮ用接続端子１１３及びＬＡＮポート１１４を通じて接続される端末装置には、セグメントが「１９２．１６８．１０」であるＩＰアドレスを付与している。

また、図５に示した例の場合には、ＬＡＮ用接続端子１１５及びＬＡＮポート１１６を通じて接続される端末装置には、セグメントが「１９２．１６８．５０」であるＩＰアドレスを付与している。また、ＬＡＮ用接続端子１１７及びＬＡＮポート１１８を通じて接続される端末装置には、セグメントが「１９２．１６８．９９」であるＩＰアドレスを付与している。また、この実施の形態のＵＴＭ装置１においては、各セグメントのＩＰアドレスの内、ホスト部が「１」であるＩＰアドレスは、ＵＴＭ装置１に対して付与している。

なお、「１９２．１６８．１．１」、「１９２．１６８．１０．１」、「１９２．１６８．５０．１」、「１９２．１６８．９９．１」は、ＵＴＭ装置１に対して付与されたものとする。これにより、各ＬＡＮポート部を通じて接続される端末装置は、同じネットワークに属する最上位、この例の場合にはＵＴＭ装置１をデフォルトＧＷとして簡単に設定することができる。このため、ＷＡＮ－ＬＡＮ間の通信とＬＡＮ－ＬＡＮ間の通信は、ネットワークを跨ぐ通信（セグメントが異なる相手先との通信）となり、必ずＵＴＭ装置１を介して通信を行うことになるので、ＵＴＭ装置１による高度なセキュリティ機能を利用できる。

監視端末特定部１４０は、セキュリティ機能部１２０を構成する各部からの出力信号に基づいて所定の事象が発生している配下の端末装置を特定し、特定した端末装置のＩＰアドレスの変更をＤＨＣＰ機能部１３０に要求する機能を実現する。例えば、ＷＡＮへの大量の通信の発生は、Ｐ２Ｐ対策部１２１やＨＰアクセス制御部１２２によって検出できる。すなわち、Ｐ２Ｐ対策部１２１では、Ｐ２Ｐ（Peer to Peer）通信が頻繁に行われていることを検出できるし、また、ＨＰアクセス制御部１２２では、Ｗｅｂページに頻繁にアクセスしていることを検出できる。また、大量のスパムメールの受信は、メール対策部１２４が検出できる。高リスクＷｅｂページへの頻繁なアクセスは、ＨＰアクセス制御部１２２によって検出できる。

Ｐ２Ｐ対策部１２１やＨＰアクセス制御部１２２は、ＷＡＮへの大量の通信の発生を検知した場合には、その事実と、当該通信を行っている配下のＰＣ等の端末装置を特定する情報（例えばＭＡＣアドレス）を監視端末特定部１４０に通知する。これにより、ＷＡＮへ大量の通信を行っている端末装置、大量のスパムメールの受信先の端末装置、高リスクＷｅｂページへ頻繁にアクセスしている端末装置を特定できる。

また、ＵＴＭ装置１の配下のＬＡＮに接続された端末装置について、当該ＬＡＮへの再接続、ＵＳＢメモリ等の外部メモリの利用、セキュリティソフトウェアによる異常の検知といった事象が発生した場合には、当該端末装置よりＵＴＭ装置１に通知する。このような通知は、当該事象が発生した場合に、これをＵＴＭ装置１に通知するソフトウェアを、ＵＴＭ装置１に対してＬＡＮを通じて接続される端末装置に、事前にインストールしておくことにより対応できる。当該通知には、自機を特定する情報（例えば、ＭＡＣアドレス）を含むようにしておく。

端末連携部１２７は、ＵＴＭ装置１の配下のＬＡＮに接続された端末装置からの情報を監視し、異常事象の発生を通知する情報を見つけた場合に、当該通知を監視端末特定部１４０に提供する。これにより、監視端末特定部１４０は、ＬＡＮへの再接続、外部メモリの利用、セキュリティソフトウェアによる異常の検知といった異常事象が発生した端末装置を特定することができる。このように、監視端末特定部１４０が、特に監視すべき端末装置を特定した場合には、ＤＨＣＰ機能部１３０に対して、特定した端末装置に対するＩＰアドレスの再付与を要求する。これに応じて、ＤＨＣＰ機能部１３０は、特定された端末装置に対して、現在付与されているＩＰアドレスとは、セグメント（ネットワーク部）が異なるＩＰアドレスを再付与する。

図６は、ＵＴＭ装置１が複数（この例では４つ）のＬＡＮポートを備える場合のＩＰアドレスの再付与の例を説明するための図である。ＤＨＣＰ機能部１３０は、図５を用いて説明したように、ＬＡＮポート部ごと、接続されている端末装置に対して異なるセグメントのＩＰアドレスを付する。この場合に、ＬＡＮ用接続端子１１１及びＬＡＮポート１１２からなるＬＡＮポート部には、図２、図３を用いて説明したように、セグメントが「１９２．１６８．１となるＩＰアドレスが付与されたＰＣ３（１）、３（２）、３（３）、３（４）、…が接続されているものとする。

ここで、図３を用いて説明したように、ＬＡＮ用接続端子１１１及びＬＡＮポート１１２からなるＬＡＮポート部に接続された端末装置であって、ＩＰアドレス「１９２．１６８．１．３」が付与されたＰＣ３（２）について、上述した所定の事象の内の１つ以上の事象が発生したとする。この場合、ＤＨＣＰ機能部１３０は、図３に示し、図６にも示すように、ＰＣ３（３）に対して、今までとは異なるセグメントの「１９２．１６８．２．２」となるＩＰアドレスを再付与する。この場合、今までとは異なるセグメントは、他のＬＡＮポート部に接続された端末装置を含め、重複することの無いセグメントのＩＰアドレスが再付与される。これに対応し、ＤＨＣＰ機能部１３０は、自機に対しても、当該新たなセグメントのＩＰアドレスである「１９２．１６８．２．１」を付与する。

図６に示したように、ＬＡＮ用接続端子１１１及びＬＡＮポート１１２からなるＬＡＮポート部には、セグメントが「１９２．１６８．１」というＩＰアドレスが付与された端末装置が存在することが基本である。しかし、ＩＰアドレスの再付与により、ＬＡＮ用接続端子１１１及びＬＡＮポート１１２からなるＬＡＮポート部には、セグメントが異なりＩＰアドレスが付与された端末装置（ＰＣ）が混在する状態となる。

この場合に、ＬＡＮ用接続端子１１１及びＬＡＮポート１１２からなるＬＡＮポート部に接続された同じＬＡＮ内の端末装置間、例えば、図３を用いて説明したように、ＰＣ３（２）とＰＣ３（３）との間で通信を行うことを考える。上述したように、ＳＷハブ２の機能により、セグメントの異なる端末装置間の通信は、デフォルトＧＷであるＵＴＭ装置１を介して行うようにされる。

このため、同じＬＡＮポートに接続された端末装置間の通信であっても、ＩＰアドレスのセグメントが異なる、ＰＣ３（２）が発信元となる通信や同じくＰＣ３（２）が送信先となる通信は、ＵＴＭ装置１を必ず通ることになる。この場合、ＵＴＭ装置１のセキュリティ機能を用いて、確実に安全性を図ることができる。もちろん、セグメントが同じ端末装置間の通信は、ＵＴＭ装置１を介すことなく、ＳＷハブ２を通じて通信を行うことができるので、ＵＴＭ装置１を介する通信トラフィックが増大することもない。

このような、ＩＰアドレスの付与及び再付与を可能にするために、図４にも示したように、記憶装置１０４には、自機アドレス管理ファイル１０４Ａ、端末アドレス管理ファイル１０４Ｂが設けられている。図７は、ＵＴＭ装置１におけるＩＰアドレスの管理態様の例について説明するための図であり、自機アドレス管理ファイル１０４Ａ、端末アドレス管理ファイル１０４Ｂの例について示す図である。

図７（Ａ）に示すように、自機アドレス管理ファイル１０４Ａは、ＬＡＮポートＩＤの格納欄、ＭＡＣアドレスの格納欄、ＩＰアドレスの格納欄を備えて構成される。ＬＡＮポートＩＤは、ＬＡＮポートを特定するための識別情報であり、この例では説明を簡単にするため、図４において各ＬＡＮポートに対応付けた参照符号を用いている。ＭＡＣアドレスは、ＵＴＭ装置１のＭＡＣアドレスであり、図７（Ａ）においては説明を簡単にするため「ＵＴＭ装置１」と記載している。また、ＩＰアドレスは、各ＬＡＮポートに対応させて付与するようにしたＩＰアドレスである。

これにより、図７（Ａ）に示した自機アドレス管理ファイル１０４Ａの場合には、自機（ＵＴＭ装置１）に対しては、ＬＡＮポート１１２に対応付けて、２つのＩＰアドレス「１９２．１６８．１．１」と「１９２．１６８．２．１」を付与したことを管理できる。従って、ＬＡＮポート１１２に対応付けて、セグメントが「１９２．１６８．１」と「１９２．１６８．２」の２つを割り当てていることが管理できる。同様に、図７（Ａ）に示した自機アドレス管理ファイル１０４Ａの場合には、自機（ＵＴＭ装置１）に対しては、ＬＡＮポート１１４に対応付けて、ＩＰアドレス「１９２．１６８．１０．１」を付与したことを管理できる。すなわち、ＬＡＮポート１１４に対しては、セグメントが「１９２．１６８．１０」を割り当てていることが管理できる。

同様に、図７（Ａ）に示した自機アドレス管理ファイル１０４Ａの場合には、自機（ＵＴＭ装置１）に対しては、ＬＡＮポート１１６に対応付けて、ＩＰアドレス「１９２．１６８．５０．１」を付与したことを管理できる。すなわち、ＬＡＮポート１１６に対しては、セグメントが「１９２．１６８．５０」を割り当てていることが管理できる。また、自機（ＵＴＭ装置１）に対しては、ＬＡＮポート１１８に対応付けて、ＩＰアドレス「１９２．１６８．９９．１」を付与したことを管理できる。すなわち、ＬＡＮポート１１４に対応付けて、セグメントが「１９２．１６８．９９」を割り当てていることが管理できる。

更に、図７（Ｂ）に示すように、端末アドレス管理ファイル１０４Ｂは、図７（Ａ）の自機アドレス管理ファイル１０４Ａの場合と同様に、ＬＡＮポートＩＤの格納欄、ＭＡＣアドレスの格納欄、ＩＰアドレスの格納欄を備えて構成される。ＬＡＮポートＩＤは、ＬＡＮポートを特定するための識別情報であり、この例では説明を簡単にするため、図４において各ＬＡＮポートに対応付けた参照符号を用いている。ＭＡＣアドレスは、ＵＴＭ装置１にＬＡＮを通じて接続された端末装置（ＰＣ）のＭＡＣアドレスであり、図７（Ｂ）においては、説明を簡単にするため、ＭＡＣアドレスとして、ＰＣ３（１）、ＰＣ３（２）、…のように記載して、各端末装置を区別している。また、ＩＰアドレスは、ＬＡＮポート毎であって、各端末装置に対して付与したＩＰアドレスである。

これにより、図７（Ｂ）に示した端末アドレス管理ファイル１０４Ｂの場合、ＬＡＮポート１１２に接続された端末装置の内、ＰＣ３（１）、３（３）、３（４）、…には、セグメントが「１９２．１６８．１」のＩＰアドレスを割り当てていることが管理できる。また、ＬＡＮポート１１２に接続された端末装置であっても、ＰＣ３（２）には、セグメントが「１９２．１６８．２」のＩＰアドレスを割り当てていることが管理できる。具体的には、ＰＣ３（１）には、ＩＰアドレス「１９２．１６８．１．２」を、ＰＣ３（３）には、ＩＰアドレス「１９２．１６８．１．４」を、ＰＣ３（４）には、ＩＰアドレス「１９２．１６８．１．５」を、ＰＣ３（２）にはＩＰアドレス「１９２．１６８．２．２」を割り当てていることが管理できる。

同様に、図７（Ｂ）に示した端末アドレス管理ファイル１０４Ｂの場合には、ＬＡＮポート１１４に接続された端末装置ＰＣ８（１）、８（２）、…には、セグメントが「１９２．１６８．１０」のＩＰアドレスを割り当てていることが管理できる。具体的には、ＰＣ８（１）には、ＩＰアドレス「１９２．１６８．１０．２」を、ＰＣ８（２）には、ＩＰアドレス「１９２．１６８．１０．３」を割り当てていることが管理できる。

このように、ＵＴＭ装置１には、各ＬＡＮポート１１２、１１４、１１６、１１８に対応付けて、自機と各ＬＡＮポート１１２、１１４、１１６、１１８に接続された端末装置（ＰＣ）に対して、どのようにＩＰアドレスを割り当てているのかを管理できる。このため、所定の事象が発生した端末装置をＭＡＣアドレスにより特定し、既に付与したＩＰアドレスと重複することが無いように、その端末装置に対して、セグメントの異なるＩＰアドレスを再付与することができる。また、自己にも、再付与したＩＰアドレスのセグメントと同じＩＰアドレスを追加付与し、簡単かつ確実に、ＩＰアドレスを再付与した端末装置において、ＵＴＭ装置１がデフォルトＧＷとなることができるようにしてる。

［ＵＴＭ装置が行う処理のまとめ］
図８は、主にＵＴＭ装置１が行う処理について説明するためのシーケンス図である。図８に示す例もまた、図３等を用いて説明した場合と同様に、ＵＴＭ装置１に対して、ＬＡＮ用接続端子１１１及びＬＡＮポート１１２を介して、ＰＣ３（１）、ＰＣ３（２）、ＰＣ３（３）、ＰＣ３（４）、…が接続されている場合の例である。また、図８に示す例においても、ＰＣ３（２）について上述した所定の事象の１以上が発生し、ＰＣ３（２）に対してＩＰアドレスの再付与を行って、同じＬＡＮ４に接続されたＰＣ３（３）に対して通信を行う場合の例である。このため、この例において通信の主体ではないＰＣ３（１）とＰＣ３（４）についての記載については、説明を簡単するため省略している。

図２等を用いて説明したように、この例において、ＵＴＭ装置１及びＬＡＮポート１１２に接続された端末装置に対しては、セグメントが「１９２．１６８．１」となるＩＰアドレスが付与されている。具体的に、ＵＴＭ装置１にはＩＰアドレス「１９２．１６８．１．１」が、また、ＰＣ３（２）にはＩＰアドレス「１９２．１６８．１．３」が、ＰＣ３（３）にはＩＰアドレス「１９２．１６８．１．３」が、それぞれ付与されている。この場合において、ＵＴＭ装置１のセキュリティ機能部１２０の各部が機能し、ＰＣ３（２）について、上述した所定の事象の内の１つ以上の発生を検知したとする（ステップＳ１）。所定の事象は、上述したように、ＷＡＮへ大量の通信の発生、大量のスパムメールの受信、高リスクＷｅｂページへの頻繁なアクセス、ＬＡＮへの再接続、外部メモリの利用、セキュリティソフトウェアによる異常の検知といったものである。

この場合に、ＵＴＭ装置１の監視端末特定部１４０が機能し、所定の事象が発生しているのは、ＰＣ３（２）であると特定できたとする。この場合、監視端末特定部１４０は、ＤＨＣＰ機能部１３０に対して、ＰＣ３（２）に対してＩＰアドレスの再付与を要求する。ＤＨＣＰ機能部１３０は、ＧＡＲＰコマンドを用いて、ＰＣ３（２）に対してＩＰアドレスの重複付与確認を行う（ステップＳ２）。当該確認は、簡単には既にＰＣ３（２）に付与されているＩＰアドレス「１９２．１６８．１．３」をＰＣ３（２）に再付与できるか否かの確認になる。

ＩＰアドレス「１９２．１６８．１．３」はＰＣ３（２）に既に付与されているものであるので、ＰＣ３（２）は、重複しているとの通知、換言すれば異なるＩＰアドレスの取得要求をＵＴＭ装置１に送信してくる（ステップＳ３）。これに応じてＵＴＭ装置１のＤＨＣＰ機能部１３０は、記憶装置１０４の自機アドレス管理ファイル１０４Ａ、端末アドレス管理ファイル１０４Ｂを参照し、まだ使用されていない別セグメントのＩＰアドレスを、ＰＣ３（２）に対して割り当てる（ステップＳ４）。このように、ステップＳ４の処理は、既にＩＰアドレスが付与されているＰＣ３（２）に対して、セグメントの異なるＩＰアドレスを再付与する処理である。

ステップＳ４の処理により、ＰＣ３（２）に対して、現在のＩＰアドレスとは異なるセグメントのＩＰアドレスとして「１９２．１６８．２．２」が付与され、ＩＰアドレスが「１９２・１６８．２．１」の装置がデフォルトＧＷとなるように設定される。更に、ＵＴＭ装置１のＤＨＣＰ機能部１３０は、自機に対して、ＬＡＮポート１１２に対して２つ目となるＩＰアドレス「１９２．１６８．２．１」を割り当てる（ステップＳ５）。

このステップＳ１～ステップＳ５の処理により、以降のＰＣ３（２）からの通信は、例え同一のＬＡＮ４に接続された端末装置（ＰＣ）への通信であっても、必ずＵＴＭ装置１を経由するようになる（ステップＳ６）。もちろん、他の端末装置からＰＣ３（２）への通信も、必ずＵＴＭ装置１を経由するようになる。上述もしたように、ＳＷハブ２は、セグメントが異なるＩＰアドレスへの相手先への通信は、デフォルトＧＷであるＵＴＭ装置１を介して行うようにするためである。なお、ＬＡＮ４に接続されている端末装置の内、セグメントが同じＩＰアドレスが付与されているＰＣ３（１）、ＰＣ３（３）、ＰＣ３（４）との間の通信は、セグメントが同じであるため、ＳＷハブ２を通じて通信を行うことができる。従って、ＵＴＭ装置１を介した通信トラフィックが増大することもない。

［実施の形態の効果］
上述した実施の形態のＵＴＭ装置１は、ＳＷハブ２を介して自機に接続されている端末装置については、ＷＡＮへの大量の通信の発生等の所定の事象が発生してる場合には、他の端末装置とはセグメントの異なるＩＰアドレスを付与し直すことができる。これにより、セグメントの異なるＩＰアドレスが付与された端末装置についての通信は、必ずＵＴＭ装置１を介して通信を行うようにすることができる。この場合、セグメントの異なるＩＰアドレスが付与された端末装置についての通信は、ＵＴＭ装置１のセキュリティ機能を用いてチェックすることができるので、安全性を高めることができる。すなわち、ＵＴＭ装置１に接続された（ＵＴＭ装置１の配下の端末装置間の通信）であっても、問題のある端末装置を発信元または送信先とする通信については、ＵＴＭ装置１のセキュリティ機能を用いて、安全性高く通信を行うことができる。

［変形例］
なお、上述した実施の形態においては、ＵＴＭ装置１に対してＬＡＮを通じて接続された配下の端末装置に関して、所定の事象が発生している場合や発生した場合に、他の端末装置とは異なるセグメントのＩＰアドレスを付与し直した。この場合の所定の事象は、ＷＡＮへ大量の通信の発生、大量のスパムメールの受信、高リスクＷｅｂページへの頻繁なアクセス、ＬＡＮへの再接続、外部メモリの利用、セキュリティソフトウェアによる異常の検知といったものに限るものではない。例えば、大量の電子メールを送信していたり、長時間にわたり特定の相手先やＷｅｂページにアクセスしたままとなっていいたりする等の場合を、所定の事象に加えることができる。すなわち、リスクのある事象として検知可能な種々の事象を、所定の事象に含めることが可能である。

また、上述した実施の形態では、ＵＴＭ装置１にＬＡＮを通じて接続可能な端末装置は、ＰＣ（Personal Computer）であるものとして説明したが、これに限るものではない。ＬＡＮに接続されたアクセスポイントを通じて無線接続されるいわゆるタブレット端末やいわゆるスマートホン等の通信端末であってもよい。

また、上述した実施の形態では、この発明によるセキュリティ管理装置を、複数の異なるセキュリティ機能を備えたＵＴＭ装置に提供した場合を例にして説明したが、これに限るものではない。ＬＡＮを通じて複数の端末装置が接続され、少なくとも１つ以上の所定の事象を検出可能な１つ以上のセキュリティ機能を備えた装置にこの発明を適用することができる。

また、上述したように、所定の事象が発生したことにより、他の端末装置とは異なるセグメントのＩＰアドレスが付与された端末装置（別セグメントに切り離された端末装置）に対して、元のＩＰアドレスによってはデータを送信できなくなってしまう。しかし、所定の事象が発生した端末装置であっても、送信元になるのではなく、送信先になるのであれば、通信を可能にしておいた方がよい場合もある。

そこで、ＵＴＭ装置１においては、自機（ＵＴＭ装置１）に対してＩＰアドレスを追加付与したのと同様に、配下の端末装置に対しても付与済みのＩＰアドレスはそのままに、他の端末装置とは異なるセグメントのＩＰアドレスを追加付与して管理する。当該管理は、端末アドレス管理ファイル１０４Ｂを用いることでできる。この場合、ＵＴＭ装置１は、元のＩＰアドレスを送信先とする送信データが到来した場合には、別セグメントに切り離された端末装置へ当該送信データを転送するようなルーティング設定を自動的に追加する機能を設けておく。これにより、元のＩＰアドレスを用いてデータが送信されてきた場合にも対応できる。

すなわち、端末装置（ＰＣ）へのＩＰアドレスの再付与は、既に付与されているＩＰアドレスを消去して、新たなＩＰアドレスを付与し直すようにしてもよい。また、既に付与されているＩＰアドレスをそのままにして、新たなＩＰアドレスを追加付与してもよい。いずれの態様でＩＰアドレスの再付与を行うのかは、システム設定に応じて選択することが可能である。

また、上述した実施の形態では、ＳＷハブ２を通じて端末装置が接続されることによりＬＡＮが形成されるものとして説明した。この場合、ＳＷハブは１台に限るものではなく、ＳＷハブに更にＳＷハブを接続して、ＬＡＮを構成する場合にも、この発明を適用することができる。

また、上述した実施の形態ではＳＷハブを用いてＬＡＮを構成するものとして説明したが、これに限るものではない。ＳＷハブに替えて、いわゆるリピータハブを用いる場合にもこの発明を適用できる。この場合、リピータハブは、ＵＴＭ装置１の配下の端末装置に本来割り当てられているＩＰアドレスとは、セグメントの異なるＩＰアドレスを有する端末装置からの送信や当該端末装置への受信については、デフォルトＧＷに送信するものであればよい。

なお、上述した実施の形態においてＵＴＭ装置１は、複数のＬＡＮポート１１２、１１４、１１６、１１８を備え、各ＬＡＮポートに接続された端末装置に対しては、異なるセグメントのＩＰアドレスを付与するものとして説明した。このようにすることによって、ＵＴＭ装置１に接続された端末装置間の通信については、所定の事象が発生していなくても、ＬＡＮポートを跨ぐ通信に関しては、ＵＴＭ装置１を必ず介在させることができる。この場合、ＵＴＭ装置１に接続された端末装置間の通信の安全性を高めることができる。しかし、これに限るものではない。

上述もしたように、ＵＴＭ装置１は、複数のＬＡＮポートを備えていても、自機に接続される端末装置に対しては同じセグメントのＩＰアドレスを付与することもできる。この場合においても、所定の事象が発生している、あるいは、所定の事象が発生した端末装置に対しては、セグメントの異なるＩＰアドレスが付与される。これにより、ＵＴＭ装置１に接続された端末装置間の通信については、セグメントの異なるＩＰアドレスが付与された端末装置を送信元あるいは送信先とする通信についてだけ、ＵＴＭ装置１を介して行うようにすることができる。これにより、ＵＴＭ装置１を経由して行われる通信トラフィック量を軽減し、ＵＴＭ装置１の付加を軽減しつつ、ＵＴＭ装置１に接続された端末装置間の通信の安全性を高めることができる。

また、上述した実施の形態では、いわゆるサブネットマスクが「２５５．２５５．２５５．０」の場合であるものとして説明したが、これに限るものではない。サブネットマスクが「２５５．２５５．０．０」の場合には、「．（ピリオド）」で区切られた先頭から２つ目までの部分がネットワーク部（セグメント）となるが、この場合であっても、この発明を適用できる。

［その他］
上述した実施の形態の説明からも分かるように、請求項のセキュリティ管理装置のアドレス付与手段の機能は、実施の形態のＵＴＭ装置１のＤＨＣＰ機能部１３０が実現している。また、請求項のセキュリティ管理装置のセキュリティ手段の機能は、ＵＴＭ装置１のセキュリティ機能部１２０の各部が実現している。また、請求項のセキュリティ管理装置の特定手段の機能は、ＵＴＭ装置１の監視端末特定部１４０が実現している。

１…ＵＴＭ装置、１０１…接続端子、１０２…通信Ｉ／Ｆ、１０３…制御部、１０４…記憶装置、１０４Ａ…自機アドレス管理ファイル、１０４Ｂ…端末アドレス管理ファイル、１０５…時計回路、１１１、１１３、１１５、１１７…ＬＡＮ用接続端子、１１２、１１４、１１６、１１８…ＬＡＮポート、１２１…Ｐ２Ｐ対策部、１２２…ＨＰアクセス制御部、１２３…ウィルス対策部、１２４…メール対策部、１２５…ＩＰＳ／ＩＤＳ部、１２６…ファイアウォール部、１２７…端末連携部、１３０…ＤＨＣＰ機能部、１４０…監視端末特定部、２…ＳＷハブ、３（１）、３（２）、３（３）、３（４）…ＰＣ、４…ＬＡＮ、５…インターネット、６…ＨＴＴＰサーバ装置、７…メールサーバ装置

Claims (4)

1. 異なるセグメント間の通信に関してセキュリティ機能を実現するセキュリティ管理装置であって、
   配下の端末装置のそれぞれに対しては、同じセグメントのＩＰ（Internet Protocol）アドレスを付与するアドレス付与手段と、
   セキュリティ機能を実現するセキュリティ手段と、
   前記セキュリティ手段からの出力信号に基づいて、配下の前記端末装置のうち、監視対象とすべき前記端末装置を特定する特定手段と
   を備え、
   前記アドレス付与手段は、前記特定手段により特定された前記端末装置に対して、配下の他の端末装置とは異なるセグメントのＩＰアドレスを付与する
   ことを特徴とするセキュリティ管理装置。
2. 請求項１に記載のセキュリティ管理装置であって、
   前記アドレス付与手段は、前記特定手段により特定された前記端末装置に対して、ＩＰアドレスを付与する場合に、自機に対しても特定された前記端末装置に付与するＩＰアドレスと同じセグメントのＩＰアドレスを追加付与する
   ことを特徴とするセキュリティ管理装置。
3. 請求項１または請求項２に記載のセキュリティ管理装置であって、
   前記セキュリティ手段は、ピア・ツー・ピア通信に関するセキュリティ手段、ホームページアクセスに関するセキュリティ手段、コンピュータウィルスに関するセキュリティ手段、電子メールに関するセキュリティ手段、不適切な侵入に関するセキュリティ手段、通過させてはいけない通信に関するセキュリティ手段の内の１つ以上を備える
   ことを特徴とするセキュリティ管理装置。
4. 請求項１、請求項２または請求項３のいずれかに記載のセキュリティ管理装置であって、
   前記セキュリティ手段には、前記ＬＡＮポートに接続された端末装置からの情報に基づいて、問題を含む可能性のある端末装置を検知する端末連携手段を含む
   ことを特徴とするセキュリティ管理装置。

Images