JP4082613B2 - 通信サービスを制限するための装置 - Google Patents

Description

本発明は、例えば、通信サービスを制限する装置に関する。さらに詳しくは、サーバ等と通信可能なコンピュータの通信サービスを制限する装置およびその方法に関する。

近年のネットワーク技術の発達に伴い、多数のクライアント端末となるコンピュータがネットワークに接続されるようになった。それに伴って、コンピュータウィルス等の被害や、ハッカーやクラッカーによる侵入による被害も増大し、クライアント端末に対するセキュリティ対策も重要になっている。

また、クライアント端末が、サブネットワーク内で禁止ソフトを実行することにより、サブネットワークのセキュリティが脆弱になることがある。一方、特定のコンピュータに対して、特定の通信サービスのみ使用を制限したい場合がある。例えば、教育機関等のコンピュータでは、生徒用のコンピュータに対しては、教育上好ましくない通信サービスを制限できることが望ましい。

加えて、サーバや資産台帳（サーバに記録されたデータベース）に登録されていない未登録のコンピュータに対しては、サーバ等のネットワークへの無駄な接続を行わないことで、ネットワーク資源を有効に利用することが可能となる。

このように、ネットワークの管理者やサービス提供者にとっては、サブネットワークに接続されたコンピュータの通信サービス（セキュリティ未対策コンピュータのサーバへのアクセス、禁止ソフトの使用等）を制限できることが望ましい。

セキュリティ対策が万全でないコンピュータ（ウィルスのためのパターンファイルや、セキュリティのためのパッチをインストールする必要があるコンピュータ）（以下「コントロール対象コンピュータ」）に対しては、このパターンファイルやセキュリティ・パッチをインストールするために、ＬＡＮ（Ｌｏｃａｌ Ａｒｅａ Ｎｅｔｗｏｒｋ）を介してサーバにアクセスする必要がある。しかしながら、このコントロール対象コンピュータは、セキュリティ対策が万全ではないため、サーバやＬＡＮを使用した通常の通信サービスの全てを利用可能にすることは、ウィルス、ワームの感染防止の観点などから、回避できることが望ましい。

すなわち、コントロール対象コンピュータに対しては、セキュリティ対策のための通信サービスのみを実行可能にして、ファイルへのアクセスや、サーバ・アプリケーションの使用などの、セキュリティ対策と関係のない通信サービスは規制できることが望まれる。

このような通信サービスの制限は、ファイアウォールを設けることで実現できることが知られている（例えば、特許文献１）。すなわち、ファイアウォールが、ＰＣ（Personal Computer）とサーバ間のパケットを取得し、パケットの内容を吟味して、通信サービスの許可や制限を行う方法である。特許文献１では、制御用端末がセンタサーバと通信を行うにあたって、ファイアウォールによりパケットをフィルターすることが示されている。
特開２００３−２７３９３６号公報

しかしながら、特許文献１の方法では、コントロール対象コンピュータの通信が、全てファイアウォールを経由して行われれば、コントロール対象コンピュータの通信サービスの制限を行うことが可能である。しかし、ファイアウォール内のサブネットワーク（ＬＡＮ等）内にコントロール対象コンピュータが接続され、通信がサブネットワーク内にて完結し、ファイアウォールを経由しない場合は、通信サービスの制限を行うことはできない。

一方、レイヤー３スイッチ、レイヤー７スイッチと呼ばれるネットワーク機器により通信サービスを制限する方法が知られている。レイヤー３スイッチ、レイヤー７スイッチとは、例えば、アプリケーションレベルのプロトコルを認識して、パケットの行き先を制御することができるスイッチである。これにより、コントロール対象コンピュータからのパケットを取得し、このパケットを認識してサーバまでの通信を許可する、または、遮断することで、特定の通信サービスを制限することができる。

しかしながら、レイヤー３スイッチ、レイヤー７スイッチによりコントロール対象コンピュータの通信サービスを制限するためには、このレイヤー３スイッチ、レイヤー７スイッチを、サブネットワーク内の全てのスイッチ又はハブに対して使用しなくてはならない。すなわち、コントロール対象コンピュータが接続される可能性があるサブネットワーク内の全てのハブやスイッチ等を、高価なレイヤー３スイッチ、レイヤー７スイッチに交換しなくてはならない。その他のスイッチとして、インテリジェント・スイッチを用いることが考えられるが、このインテリジェント・スイッチは、パケットの遮断のみしかできず、通信サービスの制限までは不可能である。

さらに、サブネットワークの管理者の任意のタイミングで、通信サービスの制御を行えることが望ましい。例えば、一度、セキュリティ対策が万全となり、通信サービスの制限が行われていないコントロール対象コンピュータであっても、新たなウィルスが発生した場合には、再度、通信サービスの制限を行うことが可能であり、この新たなウィルスのセキュリティ対策が万全となった後に、通信サービスの制限の解除ができることが望ましい。

以上により、ファイアウォールを経由しないサブネットワーク内に接続されたコントロール対象コンピュータの通信サービスを制限できる方法であって、多数のインテリジェント・スイッチをサブネットワーク内に導入しなくても、コントロール対象コンピュータの通信サービスを、管理者が望む任意のタイミングで制限することが可能な装置または方法を提供することが望まれていた。

本発明によれば、第１のコンピュータ及び第２のコンピュータを含む複数のコンピュータと通信可能な対策機器であって、通信サービスの制限開始命令に応答して、前記第１のコンピュータに記録された前記第２のコンピュータの通信アドレスを、前記対策機器の通信アドレスに変更し、前記第２のコンピュータに記録された前記第１のコンピュータの通信アドレスを、前記対策機器の通信アドレスに変更する通信アドレス変更手段と、前記第１のコンピュータから前記第２のコンピュータへのパケットを取得する第１パケット取得手段と、前記第２のコンピュータから前記第１のコンピュータへのパケットを取得する第２パケット取得手段と、前記第１パケット取得手段が取得したパケットを前記第２のコンピュータに送信するかを判断する第１判断手段と、を備えることにより前記第１のコンピュータと前記第２のコンピュータとによる通信サービスを制限する対策機器を提供する。

この発明によれば、複数のコンピュータと、この複数のコンピュータのうちの第１のコンピュータ及び第２のコンピュータと通信可能な対策機器と、を用いて、対策機器の通信アドレス変更手段が、通信サービスの制限開始命令に応答して、第１のコンピュータに記録された第２のコンピュータの通信アドレスを、対策機器の通信アドレスに変更し、第２のコンピュータに記録された第１のコンピュータの通信アドレスを、対策機器の通信アドレスに変更し、対策機器の第１パケット取得手段が、第１のコンピュータから第２のコンピュータへのパケットを取得し、対策機器の第２パケット取得手段が、第２のコンピュータから第１のコンピュータへのパケットを取得し、対策機器の第1判断手段が、第１パケット取得手段が取得したパケットを第２のコンピュータに送信するかを判断することにより、第１のコンピュータと第２のコンピュータとの間の通信サービスを制限する。

したがって、この発明によれば、ファイアウォールを経由しないサブネットワーク内で完結するコントロール対象コンピュータの通信サービスを制限することが可能であり、多数のレイヤー３、レイヤー７スイッチをサブネットワーク内に導入しなくても、コントロール対象コンピュータの通信サービスを、管理者が望む任意のタイミングで制限することが可能な装置または方法を提供することができる。

この発明によれば、ファイアウォールを経由しないサブネットワーク内で完結するコントロール対象コンピュータの通信サービスを制限することが可能であり、多数のレイヤー３、レイヤー７スイッチをサブネットワーク内に導入しなくても、コントロール対象コンピュータの通信サービスを、管理者が望む任意のタイミングで制限することが可能な装置または方法を提供することができる。

以下に、本発明の好適な実施形態を図面に基づいて説明する。

図１に示すように、通信サービス制御システム１は、複数のコントロール対象コンピュータ２０〜２３と、ファイルサーバ等のサーバ２４、２５と、これに接続された中継機器３０〜３４と、インターネットもしくは外部ネットワーク１２と、このインターネットもしくは外部ネットワーク１２からの通信セキュリティを守るファイアウォール１３と、ルータ１４と、通信サービスの制御を行う対策機器１００とを備える。

コントロール対象コンピュータ２０〜２３は、このシステムを使用するクライアント端末のコンピュータとして、パソコン、携帯情報端末（ＰＤＡ）であってもよい。すなわち、ＣＲＴディスプレイや液晶ディスプレイ等の表示手段と、キーボードやテンキー、マウス等の入力手段と、ハードディスク、メモリ等の記憶手段と、ＣＰＵ等の制御手段と、中継機器３０〜３４に接続されるネットワーク・カード等の通信手段とを備えている。

コントロール対象コンピュータ２０〜２３は、通信サービス制御システム１により通信サービスが制限される対象となるコンピュータ（第１のコンピュータ）である。したがって、通信サービス制御システム１によれば、例えば、対策機器１００が、通信サービスの制限開始命令を出すことで、コントロール対象コンピュータ２０と、コントロール対象コンピュータ２１との間で行われる通信サービスが制限されてもよいし、コントロール対象コンピュータ２０が、サーバ２４との間の通信サービスの制限が行われてもよい。また、コントロール対象コンピュータ２０が、インターネットを経由して接続されたサーバとの通信サービスの制限が行われてもよい。

コントロール対象コンピュータ２０〜２３は、例えば、ウィルス対策が充分でないコンピュータであってもよいし、サブネットワークへの接続が許可されていないコンピュータであってもよい。また、許可されていない通信サービスを使用する禁止ソフトがインストールされたコンピュータであってもよい。このようなコントロール対象コンピュータ２０〜２３は、サブネットワーク２にとって脅威となる。このため、所定の通信サービスが制限されることが、サブネットワークの管理者にとっては望ましい。

サーバ２４、２５は、ファイルサーバ、アプリケーション・サーバ等のサーバであってもよく、例えば、コントロール対象コンピュータ２０からアクセスされるサーバ（第２のコンピュータ）である。通信サービス制御システム１では、コントロール対象コンピュータ２０〜２３とサーバ２４、２５によって行われる通信サービスが制限される。このように、コントロール対象コンピュータ２０の、サーバ２４、２５に対する通信サービスが制限されるのみならず、コントロール対象コンピュータ２０〜２３間で提供する通信サービスが制限されてもよい。例えば、コントロール対象コンピュータ２０（第１のコンピュータ）と、コントロール対象コンピュータ２１（第２のコンピュータ）との間の通信サービスが制限されてもよい。

中継機器３０〜３４は、コントロール対象コンピュータ２０〜２３の接続を中継する装置であり、通常のスイッチ、ハブ、レイヤー３スイッチ等であってもよい。中継機器３２に対して対策機器１００が接続されているが、対策機器１００が直接接続されていない中継機器３１に接続されたコントロール対象コンピュータ２０、２１に対しても、通信サービスの制限が行われてもよい。

インターネットもしくは外部ネットワーク１２は、外部ネットワークであり、例えば、外部からコントロール対象コンピュータであるサーバ２４、２５に対してアクセスが行われる通信回線網である。

ファイアウォール１３は、インターネットもしくは外部ネットワーク１２を介してアクセスしたコンピュータの通信サービスや、コンピュータのアクセスを制限するためのコンピュータである。ファイアウォール１３と中継機器３０を境目とした下流（コントロール対象コンピュータが接続された側）のネットワークが、サブネットワーク２である。

ルータ１４は、インターネットもしくは外部ネットワーク１２と、サブネットワーク２を含めた内部ネットワークを接続する中継機器である。インターネットもしくは外部ネットワーク１２と、サブネットワーク２は、ルータ１４を境目とする。

対策機器１００は、サブネットワーク２内の中継機器３２に接続されることで、サブネットワーク内のコントロール対象コンピュータ２０〜２３の通信サービスを制限する。すなわち、対策機器１００が直接接続されている中継機器３２から下流のノードに接続されている、コントロール対象コンピュータ２２、２３の通信サービスを制限するが、これに加えて、中継機器３０、３１を介して接続されているコントロール対象コンピュータ２０、２１に対しても、対策機器１００は、通信サービスの制限を行う。

対策機器１００は、中継機器３０〜３４に接続するための通信手段１０１と、コントロール対象コンピュータ２０〜２３の通信アドレスを変更する通信アドレス変更手段１０２と、通信アドレスを変更したコントロール対象コンピュータ２０〜２３のパケットを取得する第１パケット取得手段１０３と、この取得したパケットを破棄する又は、そのまま通過することを許可するかを判断する第１判断手段１０５と、このパケットの破棄または通過の許可の判断基準の入力を受ける第１制限基準入力手段１０７と、この判断基準を記録する第１制限基準記録手段１０６と、を備えてよい（図２参照）。

対策機器１００は、さらに、サーバ２４、２５もしくは、コントロール対象コンピュータ２０〜２３のパケットを取得する第２パケット取得手段１０４と、この取得したパケットを破棄する又は、そのまま通過することを許可するかを判断する第２判断手段１０８と、このパケットの破棄または通過の許可の判断基準の入力を受ける第２制限基準入力手段１１０と、この判断基準を記録する第２制限基準記録手段１０９と、を備えてよい（図２参照）。

通信手段１０１は、中継機器３０〜３４に接続するための手段であり、例えば、ネットワーク・インターフェース・カード（以下「ＮＩＣ」）であってよい。ＮＩＣには、ＭＡＣ（Ｍｅｄｉａ Ａｃｃｅｓｓ Ｃｏｎｔｒｏｌ）アドレスと呼ばれる、通信手段１０１０を識別するための識別アドレスを備えている。

通信アドレス変更手段１０２は、通信サービスの制限が行われるコントロール対象コンピュータ２０〜２３（以下、「第１のコンピュータ」）と、この第１のコンピュータに通信サービスを提供するサーバ２４、２５（以下「第２のコンピュータ」）との、通信アドレス（例えば、ＭＡＣアドレス）を変更する手段である。

通信アドレス変更手段１０２は、サブネットワーク２を管理する管理者からの通信サービスの制限開始命令に応答して、ＡＲＰリクエスト又はＡＲＰリプライを第１のコンピュータと、第２のコンピュータに送信する。このＡＲＰリクエスト又はＡＲＰリプライにより、第１のコンピュータに記録された、第２のコンピュータのＭＡＣアドレスを、対策機器１００のＭＡＣアドレスに変更（上書き）し、かつ、第２のコンピュータに記録された、第１のコンピュータのＭＡＣアドレスを、対策機器１００のＭＡＣアドレスに変更（上書き）する。

第１パケット取得手段１０３は、第１のコンピュータから第２のコンピュータに送信されるパケット又はフレームを取得する手段である。通信アドレス変更手段１０２により、第１のコンピュータに記録された第２のコンピュータの通信アドレスは、対策機器１００の通信アドレスに変更されたため、第１のコンピュータから第２のコンピュータへ送信されたパケットは、全て対策機器１００が取得する。この第１のコンピュータから送信されたパケットを取得するための手段が、第１パケット取得手段１０３である（第１パケット取得ステップ）。

第１判断手段１０５は、第１パケット取得手段１０３が取得したパケットのうち、どのパケットを、そのまま通過（第２のコンピュータへ送信）させ、どのパケットを、第２のコンピュータへ送信させずに、遮断し、破棄するかを判断する手段である（第１判断ステップ）。

第１制限基準入力手段１０７は、パケットの通過もしくは、破棄を判断するための基準が入力される手段である（第１制限基準入力ステップ）。すなわち、第１判断手段１０５が判断するにあたって、このための基準となるデータを管理者が入力する。例えば、禁止ソフトの通信サービスを使用するパケットは、遮断し破棄するといった基準である。第１制限基準入力手段１０７は、管理者からの直接の入力を受けるキーボード、マウス等の入力装置であってよい。また、ネットワーク経由で、この基準の入力を受ける場合には、第１制限基準入力手段１０７は、通信手段１０１を介して、基準となるデータを受信し、これをデータとして第１制限基準記録手段１０６に記録する。

第１制限基準記録手段１０６は、第１制限基準入力手段１０７より入力されたパケットの通過又は破棄を判断する基準となるデータを記録する手段である（第１制限基準記録ステップ）。

第２パケット取得手段１０４は、第２のコンピュータから第１のコンピュータに送信されるパケット又はフレームを取得する手段である。通信アドレス変更手段１０２により、第２のコンピュータに記録された第１のコンピュータの通信アドレスは、対策機器１００の通信アドレスに変更されたため、第２のコンピュータから第１のコンピュータへ送信されたパケットは、全て対策機器１００が取得する。この第２のコンピュータから送信されたパケットを取得するための手段が、第２パケット取得手段１０４である（第２パケット取得ステップ）。

第２判断手段１０８は、第２パケット取得手段１０４が取得したパケットのうち、どのパケットを、そのまま通過（第１のコンピュータへ送信）させ、どのパケットを、第１のコンピュータへ送信させずに、遮断し、破棄するかを判断する手段である（第２判断ステップ）。

第２制限基準入力手段１１０は、パケットの通過もしくは、破棄を判断するための基準が入力される手段である（第２制限基準入力ステップ）。すなわち、第２判断手段１０８が判断するにあたって、このための基準となるデータを管理者が入力する。第２制限基準入力手段１１０は、管理者からの直接の入力を受けるキーボード、マウス等の入力装置であってよい。また、ネットワーク経由で、この基準の入力を受ける場合には、第２制限基準入力手段１１０は、通信手段１０１を介して、基準となるデータを受信し、これをデータとして第２制限基準記録手段１０９に記録する。

第２制限基準記録手段１０９は、第２制限基準入力手段１１０より入力されたパケットの通過又は破棄を判断する基準となるデータを記録する手段である（第２制限基準記録ステップ）。

対策機器１００の各手段が実行する具体的な動作を、図３のフローチャートを用いて説明する。

管理者が、サブネットワーク２に接続されたコンピュータの通信サービスを制限したいときに、通信サービスの制限開始を、対策機器１００に対して命令する（ステップＳ０１）。したがって、通信サービス制限開始命令は、通信サービスが制限されるコンピュータと、通信サービスの内容と、このコンピュータがサービスを提供されるサーバのデータを含む。

通信サービスの制限開始は、管理者の手動で行われるだけでなく、他のシステムで検出された何らかの引き金を元に自動で行なわれてもよい。例えば、資産台帳を用いてそこに登録されていないコンピュータのネットワーク接続を検知するシステムが別にある場合、そのシステムから命令を受け取って自動で通信サービスの制限を開始するようにしてもよい。

この通信サービス制限開始命令に応答して、対策機器１００の通信アドレス変更手段１０２は、第１のコンピュータに記憶された第２のコンピュータの通信アドレス（ＭＡＣアドレス）を、変更する（ステップＳ０２）。さらに、対策機器１００の通信アドレス変更手段１０２は、第２のコンピュータに記憶された第１のコンピュータの通信アドレス（ＭＡＣアドレス）を、変更する（ステップＳ０３）。

第１のコンピュータに記録された第２のコンピュータの通信アドレスが変更されたことで、第１のコンピュータが送信する第２のコンピュータへのパケットは、対策機器１００の第１パケット取得手段１０３が取得する（ステップＳ０４）。

第１パケット取得手段１０３が取得したパケットを、そのまま通過することを許可して第２のコンピュータへ送信するか、このパケットを遮断し、破棄するかを、第１判断手段１０５が判断する（ステップＳ０５）。第１判断手段１０５は、第１判断パケット記録手段１０６に記録された基準データに基づいて判断を行う。第１判断手段１０５が、パケットの遮断および破棄をするべきであると判断したときには、第１判断手段１０５が、パケットの破棄を行い（ステップＳ０６）、このパケットに基づく通信サービスが行われることはなく、次のパケットの受信を待つことになる。

第１判断手段１０５が、パケットの通過を許可すると判断したときには、第２のコンピュータへパケットを送信し（ステップＳ０７）、これに対して、第２のコンピュータから、このパケットに対する応答パケットを対策機器１００の第２パケット取得手段１０４が受信し（ステップＳ０８）、この受信した応答パケットを第１のコンピュータへ送信する（ステップＳ０９）ことにより、第１のコンピュータから第２のコンピュータへ、このパケットに基づいた通信サービスが実行される。

次に、シーケンス図（図４）に基づいて、第１のコンピュータと、第２のコンピュータと、対策機器１００とによって行われる通信シーケンスについて説明する。

第１のコンピュータの電源がＯＮされたとき、もしくは、サブネットワークに第１のコンピュータを接続したときに、第１のコンピュータは、ＡＲＰリクエスト（１）を、同一サブネットワークの全てのホストに対して送信する（ブロードキャスト通信）。すなわち、ＡＲＰリクエストにより第１のコンピュータは、第２のコンピュータの通信アドレス（ＭＡＣアドレス）を要求する。

このＡＲＰリクエストに対して、第２のコンピュータが、第１のコンピュータにＡＲＰリプライ（２）を送信する。すなわち、第２のコンピュータのＭＡＣアドレスを第１のコンピュータにＡＲＰリプライとして送信する。

その後、第１のコンピュータは、第２のコンピュータと、直接、通常の通信、例えば、ＴＣＰ／ＩＰ（Ｔｒａｎｓｍｉｓｓｉｏｎ Ｃｏｎｔｒｏｌ Ｐｒｏｔｏｃｏｌ／Ｉｎｔｅｒｎｅｔ Ｐｒｏｔｏｃｏｌ）の通信を行う。

このように、第２のコンピュータからのＡＲＰリプライ後に、第１のコンピュータと第２のコンピュータがＴＣＰ／ＩＰ通信を行ってもよいが（３）、この通信が行われる前に、通信サービス制限開始命令が発令されるように設定されていてもよい。

すなわち、第１のコンピュータの電源を投入したとき、もしくは、第１のコンピュータをサブネットワークに始めて接続したときには、その第１のコンピュータを、すぐに第２のコンピュータ（例えば、サーバ）に接続させることは、必ずしもサブネットワークにとって安全であるとは言い切れない。すなわち、第１のコンピュータがウィルスに感染したコンピュータであるかもしれないし、セキュリティ・パッチが万全でないコンピュータである可能性があるからである。

そこで、対策機器１００に第２のコンピュータからのＡＲＰリプライ後に、すぐに、次の通信サービス開始命令を発令するように設定してもよい。このように通信サービス開始命令を発令するタイミングは、管理者の任意でよい。

管理者により、通信サービス制限開始命令が発令される（４）。これは、例えば、新たなウィルスが蔓延し、そのための定義ファイルを導入する必要があるときや、新たなセキュリティ・パッチをＯＳ（Ｏｐｅｒａｔｉｎｇ Ｓｙｓｔｅｍ）等に導入する必要があるときなど、サブネットワークの管理者にとって任意のタイミングで発令される。ただし、この通信サービス制限開始命令は、第２のコンピュータのＡＲＰリプライの後に発令される。

通信サービス制限開始命令が発令されると、対策機器１００の通信アドレス変更手段１０２は、ＡＲＰリクエスト又はＡＲＰリプライを第１のコンピュータと第２のコンピュータに送信する（５）。第１のコンピュータがＡＲＰリクエストを受信した場合には、ＡＲＰリプライを送信する（５−１）。このＡＲＰリクエスト又はＡＲＰリプライにより、第１のコンピュータに記録された第２のコンピュータのＭＡＣアドレス（00-00-00-22-22-22）が、対策機器１００の通信手段１０１のＭＡＣアドレス（00-00-00-aa-aa-aa）に変更される。

対策機器１００が、第２のコンピュータのＭＡＣアドレスを記録していない場合がある。この場合には、対策機器１００は、ＡＲＰリクエストを第２のコンピュータへ送信し（６）、第２のコンピュータからのＡＲＰリプライ（６−１）により、第２のコンピュータのＭＡＣアドレスを取得し記録する。このＡＲＰリクエストは、ブロードキャスト通信であるため、第２のコンピュータのみならず、第１のコンピュータにも送信される。第２のコンピュータのＭＡＣアドレスは、ＡＲＰリクエストにより問い合わせることにより取得する場合に限らない。例えば、第２のコンピュータのＭＡＣアドレスを、宛先もしくは送信元として記録されたフレームを、対策機器１００が記録していれば、このフレームから、ＭＡＣアドレスを抽出して取得してもよい。

上述のように、ＡＲＰリプライにより、第１のコンピュータに記録された第２のコンピュータに関するＭＡＣアドレスが変更された時点で、対策機器１００は、第１のコンピュータから第２のコンピュータへのパケットを取得することが可能となり（７）、第１のコンピュータの通信サービスの制限を行うことが可能となる（８）。結果として、パケットが第２のコンピュータへ転送された場合には、第２のコンピュータから第１のコンピュータへ通信が行われる（９）。このように、第１のコンピュータからのパケットを取得することで、第１のコンピュータから第２のコンピュータへのパケットを破棄することにより、十分に通信サービスを制限することができるならば、シーケンス図の（６−２）、（６−３）を行わなくてもよい。この場合、第２のコンピュータから第１のコンピュータへのパケットは対策機器を経由せずに直接転送される（９−１）。

これとは異なり、第２のコンピュータから第１のコンピュータへのパケットを取得し、このパケットの種別を、対策機器１００が判断することで、通信サービスの制限を行うことができる場合がある。この場合には、シーケンス図の（６−２）、（６−３）のシーケンスが行われる。

対策機器１００は、第２のコンピュータに対して、ＡＲＰリクエスト又はＡＲＰリプライを送信する。このＡＲＰリプライにより、第２のコンピュータに記録された第１のコンピュータのＭＡＣアドレス（00-00-00-11-11-11）が、対策機器１００の通信手段１０１のＭＡＣアドレス（00-00-00-aa-aa-aa）に変更される。対策機器１００が、第２のコンピュータに対して、ＡＲＰリクエストを送信した場合には、ＡＲＰリプライを送信する（６−３）。第２のコンピュータから第１のコンピュータへ送信されるパケットは、対策機器１００が取得する。したがって、対策機器１００の第２判断手段１０８がこのパケットの種別を判断して、第１のコンピュータに、パケットを転送するか又はパケットを破棄する（９−２）。

次に、通信サービスの制限を解除するシーケンスについて説明する。制限解除の方法は、図５に示すような制限解除のシーケンスを経ることで解除する方法と、対策機器１００の転送条件の変更により、事実上、通信サービスの制限を解除する方法がある。

後者の方法では、対策機器１００の第１判断手段１０５が、全てのパケットを第２のコンピュータへ転送させるように判断すればよいので、第１制限基準入力手段１０７から、全てのパケットを第２のコンピュータへ転送させるように基準が入力される。その後、第１のコンピュータと第２のコンピュータ間の通信が長時間行われなくなると、第１のコンピュータに記録された対策機器１００のＭＡＣアドレスは、自動的に消滅し、対策機器１００を経由しないで、第１のコンピュータと第２のコンピュータとが直接、通信を行う。

前者の方法について、図５を用いて説明する。制限解除命令（１０）により、対策機器１００からＡＲＰリクエストが、第２のコンピュータに対して送信される（１１）。このＡＲＰリクエストは、第２のコンピュータのＭＡＣアドレスを要求するリクエストである。このＡＲＰリクエストは、ＡＲＰ送信者ＩＰアドレスを第１のコンピュータのＩＰアドレスとして、ＡＲＰ送信者ＭＡＣアドレスを第１のコンピュータのＭＡＣアドレスとして、ブロードキャスト又はユニキャスト通信で行われる。しかし、パケットの送信元アドレスは、第１のコンピュータのアドレスではない。第１のコンピュータと第２のコンピュータとの間のスイッチにより、このＡＲＰリクエストに対するＡＲＰリプライ（１２）のパケットが、第１のコンピュータに届かなくなるからである。

このＡＲＰリクエストに対するＡＲＰリプライが、第２のコンピュータから第１のコンピュータへ送信される（１２）。この時点で、第１のコンピュータに記録された第２のコンピュータのＭＡＣアドレスを、書き換える。すなわち、第２のコンピュータのＭＡＣアドレスとして記録された対策機器１００のＭＡＣアドレスを、本来の第２のコンピュータのＭＡＣアドレスへ書き換える。さらに、第１のコンピュータのＭＡＣアドレスとして第２のコンピュータに記録された対策機器１００のＭＡＣアドレスを、本来の第１のコンピュータのＭＡＣアドレスへ書き換える。

ＭＡＣアドレスを書き換えることで、第１のコンピュータと第２のコンピュータとの間で、直接、通信することが可能となり、通信サービスの制限の解除が終了する（１３）。

通常、イーサネット（登録商標）ではＭＡＣアドレスに基づいて、フレームを宛先まで送信する。通信経路に存在する複数のスイッチは、どのポートの先にどのＭＡＣアドレスが存在しているかを記憶しているため，これで宛先まで到達する。中継機器が、スイッチではなくハブの場合は全てのポートにフレームを送り出すため，他のホストにもフレームが到達するが，宛先が自分のＭＡＣアドレスと一致しない場合は、このフレームを破棄し、本来の宛先ホストのみが、このフレームを受信する。

このフレームを受信するのが、ＭＡＣアドレス（00-00-00-aa-aa-aa）を備えた、対策機器１００であるため、対策機器のみが、第１のコンピュータから送信されたフレームを取得し、第２のコンピュータは、このフレームを受信しない。

このように、ＭＡＣアドレス変更後には、第１のコンピュータから第２のコンピュータに対する通信パケットは全て、対策機器１００経由となる。したがって、対策機器１００がこの通信パケットを吟味し、このパケットの種別により、第２のコンピュータに転送するか、遮断、破棄するかを判断する。ここでパケットの種別とは、例えば、パケットの宛先ＩＰアドレス、ＴＣＰ／ＩＰのポート番号、プロトコル等により区別される。

転送または破棄するパケットの種別を決定する際には、制限する通信サービスを指定する必要がある。サブネットワークを管理する管理者が、第１のコンピュータに対して、通信サービスを制限する場合として、例えば、以下が考えられる。

サブネットワークの使用許可の無いコンピュータにサブネットワーク使用申請以外の通信サービスを禁止する場合がある。未だ、サブネットワークに登録されていないコンピュータに対しては、使用申請および登録を行った後に通信サービスを許可することがセキュリティの観点から好ましい。そこで、サブネットワークへの使用申請の通信サービスのみを許可し、その他の通信サービスを禁止するように、第１判断手段１０５が、転送または破棄を判断すればよい。

一例として、サブネットワークを越える通信により、エージェントソフトを入手し、このエージェントソフトをインストールして、実行することにより、第１のコンピュータが、サブネットワークの使用申請を行う場合がある。このような場合には、インターネット経由でエージェントソフトを送信する通信サービスは、第１のコンピュータに対して提供する必要があるが、それ以外のエージェントソフトと関係の無い通信サービスは遮断することが好ましい。

すなわち、第１のコンピュータに記録されたルータ１４の通信アドレス（ＭＡＣアドレス）が、対策機器１００の通信アドレスに変換される。これにより、第１のコンピュータからのパケットは、対策機器１００に取得される。これにより、対策機器１００がパケットの種別の判断を行うことが可能になり、第１のコンピュータから、第２のコンピュータへの通信サービスの制限を行うことが可能となる。

第１のコンピュータがエージェントソフトをインターネット経由（サブネットワークを越える通信）で入手するときの通信プロトコルとしては、ＨＴＴＰ（Ｈｙｐｅｒ Ｔｅｘｔ Ｔｒａｎｓｆｅｒ Ｐｒｏｔｏｃｏｌ）が使用される。まず、第１のコンピュータがインターネット上のサーバにエージェントソフトの送信を要求する。第１のコンピュータは、この送信を要求するＨＴＴＰプロトコルを用いたパケットを送信する。このパケットは、エージェントソフトの配布サイトを宛先としている。

この第１のコンピュータからのパケットを、対策機器１００が取得する。対策機器１００は、このパケットがエージェントソフトをインストールするためのパケットであるかを判断し、このように判断された場合には、ルータへの接続を行い、通信を行うことを許可する。しかし、この配布サイトを宛先とするＨＴＴＰプロトコルのパケット以外のパケット（エージェントソフトをダウンドールすることとは関係の無いパケット）は、対策機器１００が、ルータ１４に転送させることを禁止するために、パケットを遮断し、破棄する。パケットの種別の判断は、プロトコルの種類や、配布サイトの宛先等のデータから行われる。

一方、エージェントソフトを、サブネットワークを越えた通信ではなく、サブネットワーク内のサーバから入手して、実行することにより、第１のコンピュータが、サブネットワークの使用申請を行う場合がある。このような場合には、サーバからエージェントソフトを受信する通信サービスのみ、第１のコンピュータに対して提供されるが、それ以外の、例えば、サーバに保存されたファイルへのアクセスなどの通信サービスは遮断されることが好ましい。

第１のコンピュータがサブネットワーク内のサーバから、エージェントソフトを入手するときの通信プロトコルにおいても、ＨＴＴＰ（Ｈｙｐｅｒ Ｔｅｘｔ Ｔｒａｎｓｆｅｒ Ｐｒｏｔｏｃｏｌ）が使用され、第１のコンピュータがサーバにエージェントソフトの送信を要求する。したがって、例えば、第１のコンピュータが、ＨＴＴＰプロトコルであって、エージェントソフトの配布サーバを宛先とするパケットは、第２のコンピュータ（エージェントソフトの配布サーバ）に転送させることを、対策機器１００が許可してもよい。しかし、この配布サーバを宛先とするＨＴＴＰプロトコル・パケット以外のパケットは、第２のコンピュータに転送させることを禁止するために、遮断し、このパケットを破棄する。

上述のように、エージェントソフトのインストールに限定されることはなく、例えば、ウィルス定義ファイルをインストールする場合も考えられる。この場合では、ウィルス定義ファイルの配布サイト（又はサブネットワーク内の配布サーバ）に接続し、ウィルス定義ファイルの更新に関わる通信サービスのみを許可し、その他の通信サービスを制限する。この場合でも、第１のコンピュータは、ＨＴＴＰプロトコルを使用して、ウィルス定義ファイルの配布サイト（又は配布サーバ）を宛先とするパケットを送信する。対策機器１００の第１判断手段１０５が、このプロトコル種別と宛先情報から、パケットの種別を判断し、このパケットを転送又は破棄を判断する。

さらに、セキュリティ・パッチをインストールする場合も考えられる。この場合では、セキュリティ・パッチの配布サイト（又はサブネットワーク内の配布サーバ）に接続し、セキュリティ・パッチの更新に関わる通信サービスのみを許可し、その他の通信サービスを制限する。この場合でも、第１のコンピュータは、ＨＴＴＰプロトコルを使用して、セキュリティ・パッチの配布サイト（又は配布サーバ）を宛先とするパケットを送信する。対策機器１００の第１判断手段１０５が、このプロトコル種別と宛先情報から、パケットの種別を判断し、このパケットを転送又は破棄を判断する。

ウィルス定義ファイルの更新やセキュリティ・パッチ適用のための制限開始命令は、サブネットワークの管理者が、これらの対処を必要だと判断した任意のタイミングで発令される。

加えて、禁止ソフトについては、第１のコンピュータが第２のコンピュータに対して送信する禁止ソフトのポート番号を、第１判断手段１０５がパケットを判断する判断指標としてもよい。また、禁止ソフトに限らず、使用を規制したいゲームやアプリケーションのポート番号を第１判断手段１０５がパケットを判断する判断指標とすることができる。

図６にて、上述のように通信サービスを転送又は破棄する際のパケットと、その通信サービスの制限による効果を表に示した。このように制限を行う通信サービスと、この判断指標となるパケット種別とが、第１制限基準入力手段１０７から入力される。この入力される基準データは、動的に修正、変更できてよい。

例えば、対策機器１００のＯＳ（Ｏｐｅｒａｔｉｎｇ Ｓｙｓｔｅｍ）として、Ｌｉｎｕｘ（登録商標）が使われていて、通信サービスの制限のために、Ｌｉｎｕｘ付属のiptablesコマンドを使用する場合について説明する。第１のコンピュータから第２のコンピュータへＨＴＴＰのみを、通過させること許容させる場合には、管理者が第１制限基準入力手段１０７から、この通信サービスの制限の入力を受け、（式１）のような命令として、第１判断手段１０５に、ＨＴＴＰサービス以外のサービスを制限する。ここで、dportの番号は、ＴＣＰ／ＩＰのウェルノウン・ポートの番号であり、例えば、ＦＴＰに関わるパケットであれば、（式２）のように、２１番と指定される。

このような実施形態を実現する通信サービス制御方法を、コンピュータやサーバにて実行するためのプログラムにより実現することができる。このプログラムのための記憶媒体としては、ＤＶＤやＭＯ、ＰＤ等の光学記憶媒体、テープ媒体、半導体メモリ等が挙げられる。また、専用通信ネットワークやインターネットに接続されたサーバシステムに設けられたハードディスク又はＲＡＭ等の記憶装置を記憶媒体として使用し、ネットワークを介してプログラムを提供してもよい

以上、本発明の実施形態を説明したが、具体例を例示したに過ぎず、特に本発明を限定しない。また、本発明の実施形態に記載された効果は、本発明から生じる最も好適な効果を列挙したに過ぎず、本発明による効果は、本発明の実施形態に記載された効果に限定されない。

以上の実施形態によると、以下の各項目に示す通信サービス制御装置、通信サービス制御方法、およびこの方法を実行するプログラムが実現される。

（１） 第１のコンピュータ及び第２のコンピュータを含む複数のコンピュータと通信可能な対策機器であって、通信サービスの制限開始命令に応答して、前記第１のコンピュータに記録された前記第２のコンピュータの通信アドレスを、前記対策機器の通信アドレスに変更し、前記第２のコンピュータに記録された前記第１のコンピュータの通信アドレスを、前記対策機器の通信アドレスに変更する通信アドレス変更手段と、前記第１のコンピュータから前記第２のコンピュータへのパケットを取得する第１パケット取得手段と、前記第２のコンピュータから前記第１のコンピュータへのパケットを取得する第２パケット取得手段と、前記第１パケット取得手段が取得したパケットを前記第２のコンピュータに送信するかを判断する第１判断手段と、を備えることにより前記第１のコンピュータと前記第２のコンピュータとによる通信サービスを制限する対策機器。

（２） （１）に記載の対策機器であって、前記第２パケット取得手段が取得したパケットを前記第１のコンピュータに送信するかを判断する第２判断手段を、さらに備えた対策機器。

（３） （１）に記載の対策機器であって、前記通信アドレスは、ＭＡＣ（Ｍｅｄｉａ Ａｃｃｅｓｓ Ｃｏｎｔｒｏｌ）アドレスである対策機器。

（４） （１）に記載の対策機器であって、前記第１のコンピュータが、サブネットワーク内のクライアント端末であり、前記第２のコンピュータが、前記サブネットワーク内のサーバであるため、前記クライアント端末と前記サーバとの通信サービスを制限する対策機器。

（５） （３）に記載の対策機器であって、前記通信アドレス変更手段が、ＡＲＰ（Ａｄｒｅｓｓ Ｒｅｓｏｌｕｔｉｏｎ Ｐｒｏｔｏｃｏｌ）リクエスト又はＡＲＰリプライにより、前記第１のコンピュータの通信アドレスと、前記第２のコンピュータの通信アドレスとを変更する対策機器。

（６） （１）に記載の対策機器であって、前記第１のコンピュータから前記第２のコンピュータへ送信されるパケットのうち、送信を制御するパケットのデータの入力を受ける第１制限基準入力手段と、前記第１制限基準入力手段により入力された制限するパケットのデータを記録する第１制限基準記録手段と、前記第１判断手段が、前記第１制限基準記録手段に記録されたパケットのデータに基づいて前記第１パケット取得手段が取得したパケットを前記第２のコンピュータに送信するかを判断する対策機器。

（７） （２）に記載の対策機器であって、前記第２のコンピュータから前記第１のコンピュータへ送信されるパケットのうち、送信を制御するパケットのデータの入力を受ける第２制限基準入力手段と、前記第２制限基準入力手段により入力された制限するパケットのデータを記録する第２制限基準記録手段と、前記第２判断手段が、前記第２制限基準記録手段に記録されたパケットのデータに基づいて前記第２パケット取得手段が取得したパケットを前記第１のコンピュータに送信するかを判断する対策機器。

（８） 第１のコンピュータと第２のコンピュータとの間の通信サービスを制限する方法であって、通信サービスの制限開始命令に応答して、前記第１のコンピュータに記録された前記第２のコンピュータの通信アドレスを、前記対策機器の通信アドレスに変更し、前記第２のコンピュータに記録された前記第１のコンピュータの通信アドレスを、前記対策機器の通信アドレスに変更するステップと、前記第１のコンピュータから前記第２のコンピュータへのパケットを取得する、第１パケット取得ステップと、前記第２のコンピュータから前記第１のコンピュータへのパケットを取得する、第２パケット取得ステップと、前記第１パケット取得ステップにて取得したパケットを前記第２のコンピュータに送信するかを判断する、第1判断ステップと、を備えることにより、前記第１のコンピュータと前記第２のコンピュータとの間の通信サービスを制限する方法。

（９） （８）に記載の通信サービスを制限する方法であって、前記第２パケット取得ステップで取得したパケットを前記第１のコンピュータに送信するかを判断する第２判断ステップを含む通信サービスを制限する方法。

（１０） （８）に記載の通信サービスを制限する方法であって、前記第１のコンピュータが、前記第２のコンピュータの通信アドレスをＡＲＰにより取得するステップを含む通信サービスを制限する方法。

（１１） （１０）に記載の通信サービスを制限する方法であって、前記通信アドレスを変更するステップでは、前記通信サービスの制限開始命令に応答して、前記対策機器がＡＲＰリクエスト又はＡＲＰリプライを前記第１のコンピュータと、前記第２のコンピュータとに送信することにより、前記第１のコンピュータに記録された前記第２のコンピュータのＭＡＣアドレスを、前記対策機器のＭＡＣアドレスに上書きすることで、前記第１のコンピュータの通信アドレスを変更し、前記第２のコンピュータに記録された前記第１のコンピュータのＭＡＣアドレスを、前記対策機器のＭＡＣアドレスに上書きすることで、前記第２のコンピュータの通信アドレスを変更する通信サービスを制限する方法。

（１２） （８）に記載の通信サービスを制限する方法であって、前記第１のコンピュータから前記第２のコンピュータへ送信されるパケットのうち、送信を制御するパケットのデータの入力を受ける第１制限基準入力ステップと、前記第１制限基準入力ステップにより入力された制限するパケットのデータを記録する第１制限基準記録ステップと、をさらに含み、前記第１判断ステップでは、前記第１制限基準記録ステップにて記録されたパケットのデータに基づいて前記第１パケット取得ステップにて取得したパケットを前記第２のコンピュータに送信するかを判断する通信サービスを制限する方法。

（１８） （９）に記載の通信サービスを制限する方法であって、前記第１のコンピュータから前記第２のコンピュータへ送信されるパケットのうち、送信を制御するパケットのデータの入力を受ける第１制限基準入力ステップと、前記第１制限基準入力ステップにより入力された制限するパケットのデータを記録する第１制限基準記録ステップと、をさらに含み、前記第１判断ステップでは、前記第１制限基準記録ステップにて記録されたパケットのデータに基づいて前記第１パケット取得ステップにて取得したパケットを前記第２のコンピュータに送信するかを判断する通信サービスを制限する方法。

（１４） （１０）に記載の通信サービスを制限する方法であって、前記第１のコンピュータから前記第２のコンピュータへ送信されるパケットのうち、送信を制御するパケットのデータの入力を受ける第１制限基準入力ステップと、前記第１制限基準入力ステップにより入力された制限するパケットのデータを記録する第１制限基準記録ステップと、をさらに含み、前記第１判断ステップでは、前記第１制限基準記録ステップにて記録されたパケットのデータに基づいて前記第１パケット取得ステップにて取得したパケットを前記第２のコンピュータに送信するかを判断する通信サービスを制限する方法。

（１５） （１１）に記載の通信サービスを制限する方法であって、前記第１のコンピュータから前記第２のコンピュータへ送信されるパケットのうち、送信を制御するパケットのデータの入力を受ける第１制限基準入力ステップと、前記第１制限基準入力ステップにより入力された制限するパケットのデータを記録する第１制限基準記録ステップと、をさらに含み、前記第１判断ステップでは、前記第１制限基準記録ステップにて記録されたパケットのデータに基づいて前記第１パケット取得ステップにて取得したパケットを前記第２のコンピュータに送信するかを判断する通信サービスを制限する方法。

（１６） （９）に記載の通信サービスを制限する方法であって、前記第２のコンピュータから前記第１のコンピュータへ送信されるパケットのうち、送信を制御するパケットのデータの入力を受ける第２制限基準入力ステップと、前記第２制限基準入力ステップにより入力された制限するパケットのデータを記録する第２制限基準記録ステップと、を含み、前記第２判断ステップにおいて、前記第２制限基準記録ステップにて記録されたパケットのデータに基づいて前記第２パケット取得ステップにて取得したパケットを前記第１のコンピュータに送信するかを判断する通信サービスを制限する方法。

（１７） （１３）に記載の通信サービスを制限する方法であって、前記第２のコンピュータから前記第１のコンピュータへ送信されるパケットのうち、送信を制御するパケットのデータの入力を受ける第２制限基準入力ステップと、前記第２制限基準入力ステップにより入力された制限するパケットのデータを記録する第２制限基準記録ステップと、を含み、前記第２判断ステップにおいて、前記第２制限基準記録ステップにて記録されたパケットのデータに基づいて前記第２パケット取得ステップにて取得したパケットを前記第１のコンピュータに送信するかを判断する通信サービスを制限する方法。

（１８） （８）に記載の方法を実行可能としたプログラム。

（１９） （１８）に記載のプログラムを記憶したコンピュータ読取可能記録媒体。

本発明は、サブネットワーク内のコンピュータ間の通信サービスを制限できるのみならず、インターネットを介して接続されたコンピュータ間の通信サービスを制限する通信サービス制御システムに対しても適用可能である。

本発明の通信サービス制御システムのハードウェア構成を示す図である。 対策機器のハードウェア構成を示す図である。 対策機器の各手段が実行する動作を示すフローチャート図である。 第１のコンピュータと第２のコンピュータと対策機器とによって行われる通信シーケンスを示したシーケンス図である。 第１のコンピュータと第２のコンピュータと対策機器とによって行われる通信シーケンスを示したシーケンス図である。 所定の通信サービスの制限が行われる場合の、転送又は廃棄すべきパケットの種別と、この通信サービスの制限による効果を示した表である。

符号の説明

１ 通信サービス制御システム
１２ インターネットもしくは外部ネットワーク
１３ ファイアウォール
１４ ルータ
３０〜３４ 中継機器
２０〜２３ コントロール対象コンピュータ
２４，２５ サーバ
１００ 対策機器
１０１ 通信手段
１０２ 通信アドレス変更手段
１０３ 第１パケット取得手段
１０４ 第２パケット取得手段
１０５ 第１判断手段
１０６ 第１制限基準記録手段
１０７ 第１制限基準入力手段
１０８ 第２判断手段
１０９ 第２制限基準記録手段
１１０ 第２制限基準入力手段

Claims (19)

1. 第１のコンピュータ及び第２のコンピュータを含む複数のコンピュータと通信可能な対策機器であって、
   通信サービスの制限開始命令に応答して、前記第１のコンピュータに記録された前記第２のコンピュータの通信アドレスを、前記対策機器の通信アドレスに変更し、前記第２のコンピュータに記録された前記第１のコンピュータの通信アドレスを、前記対策機器の通信アドレスに変更する通信アドレス変更手段と、
   前記第１のコンピュータから前記第２のコンピュータへのパケットを取得する第１パケット取得手段と、
   前記第２のコンピュータから前記第１のコンピュータへのパケットを取得する第２パケット取得手段と、
   前記第１パケット取得手段が取得したパケットを前記第２のコンピュータに送信するかを判断する第１判断手段と、
   を備えることにより前記第１のコンピュータと前記第２のコンピュータとによる通信サービスを制限する対策機器。
2. 請求項１に記載の対策機器であって、
   前記第２パケット取得手段が取得したパケットを前記第１のコンピュータに送信するかを判断する第２判断手段を、さらに備えた対策機器。
3. 請求項１に記載の対策機器であって、
   前記通信アドレスは、ＭＡＣ（Ｍｅｄｉａ Ａｃｃｅｓｓ Ｃｏｎｔｒｏｌ）アドレスである対策機器。
4. 請求項１に記載の対策機器であって、
   前記第１のコンピュータが、サブネットワーク内のクライアント端末であり、前記第２のコンピュータが、前記サブネットワーク内のサーバであるため、前記クライアント端末と前記サーバとの通信サービスを制限する対策機器。
5. 請求項３に記載の対策機器であって、
   前記通信アドレス変更手段が、ＡＲＰ（Ａｄｒｅｓｓ Ｒｅｓｏｌｕｔｉｏｎ Ｐｒｏｔｏｃｏｌ）リクエスト又はＡＲＰリプライにより、前記第１のコンピュータの通信アドレスと、前記第２のコンピュータの通信アドレスとを変更する対策機器。
6. 請求項１に記載の対策機器であって、
   前記第１のコンピュータから前記第２のコンピュータへ送信されるパケットのうち、送信を制御するパケットのデータの入力を受ける第１制限基準入力手段と、
   前記第１制限基準入力手段により入力された制限するパケットのデータを記録する第１制限基準記録手段と、
   前記第１判断手段が、前記第１制限基準記録手段に記録されたパケットのデータに基づいて前記第１パケット取得手段が取得したパケットを前記第２のコンピュータに送信するかを判断する対策機器。
7. 請求項２に記載の対策機器であって、
   前記第２のコンピュータから前記第１のコンピュータへ送信されるパケットのうち、送信を制御するパケットのデータの入力を受ける第２制限基準入力手段と、
   前記第２制限基準入力手段により入力された制限するパケットのデータを記録する第２制限基準記録手段と、
   前記第２判断手段が、前記第２制限基準記録手段に記録されたパケットのデータに基づいて前記第２パケット取得手段が取得したパケットを前記第１のコンピュータに送信するかを判断する対策機器。
8. 第１のコンピュータと第２のコンピュータとの間の通信サービスを制限する方法であって、
   通信サービスの制限開始命令に応答して、前記第１のコンピュータに記録された前記第２のコンピュータの通信アドレスを、前記対策機器の通信アドレスに変更し、前記第２のコンピュータに記録された前記第１のコンピュータの通信アドレスを、前記対策機器の通信アドレスに変更するステップと、
   前記第１のコンピュータから前記第２のコンピュータへのパケットを取得する、第１パケット取得ステップと、
   前記第２のコンピュータから前記第１のコンピュータへのパケットを取得する、第２パケット取得ステップと、
   前記第１パケット取得ステップにて取得したパケットを前記第２のコンピュータに送信するかを判断する、第1判断ステップと、
   を備えることにより、前記第１のコンピュータと前記第２のコンピュータとの間の通信サービスを制限する方法。
9. 請求項８に記載の通信サービスを制限する方法であって、
   前記第２パケット取得ステップで取得したパケットを前記第１のコンピュータに送信するかを判断する第２判断ステップを含む通信サービスを制限する方法。
10. 請求項８に記載の通信サービスを制限する方法であって、
    前記第１のコンピュータが、前記第２のコンピュータの通信アドレスをＡＲＰにより取得するステップを含む通信サービスを制限する方法。
11. 請求項１０に記載の通信サービスを制限する方法であって、
    前記通信アドレスを変更するステップでは、前記通信サービスの制限開始命令に応答して、前記対策機器がＡＲＰリクエスト又はＡＲＰリプライを前記第１のコンピュータと、前記第２のコンピュータとに送信することにより、
    前記第１のコンピュータに記録された前記第２のコンピュータのＭＡＣアドレスを、前記対策機器のＭＡＣアドレスに上書きすることで、前記第１のコンピュータの通信アドレスを変更し、
    前記第２のコンピュータに記録された前記第１のコンピュータのＭＡＣアドレスを、前記対策機器のＭＡＣアドレスに上書きすることで、前記第２のコンピュータの通信アドレスを変更する通信サービスを制限する方法。
12. 請求項８に記載の通信サービスを制限する方法であって、
    前記第１のコンピュータから前記第２のコンピュータへ送信されるパケットのうち、送信を制御するパケットのデータの入力を受ける第１制限基準入力ステップと、
    前記第１制限基準入力ステップにより入力された制限するパケットのデータを記録する第１制限基準記録ステップと、をさらに含み、
    前記第１判断ステップでは、前記第１制限基準記録ステップにて記録されたパケットのデータに基づいて前記第１パケット取得ステップにて取得したパケットを前記第２のコンピュータに送信するかを判断する通信サービスを制限する方法。
13. 請求項９に記載の通信サービスを制限する方法であって、
    前記第１のコンピュータから前記第２のコンピュータへ送信されるパケットのうち、送信を制御するパケットのデータの入力を受ける第１制限基準入力ステップと、
    前記第１制限基準入力ステップにより入力された制限するパケットのデータを記録する第１制限基準記録ステップと、をさらに含み、
    前記第１判断ステップでは、前記第１制限基準記録ステップにて記録されたパケットのデータに基づいて前記第１パケット取得ステップにて取得したパケットを前記第２のコンピュータに送信するかを判断する通信サービスを制限する方法。
14. 請求項１０に記載の通信サービスを制限する方法であって、
    前記第１のコンピュータから前記第２のコンピュータへ送信されるパケットのうち、送信を制御するパケットのデータの入力を受ける第１制限基準入力ステップと、
    前記第１制限基準入力ステップにより入力された制限するパケットのデータを記録する第１制限基準記録ステップと、をさらに含み、
    前記第１判断ステップでは、前記第１制限基準記録ステップにて記録されたパケットのデータに基づいて前記第１パケット取得ステップにて取得したパケットを前記第２のコンピュータに送信するかを判断する通信サービスを制限する方法。
15. 請求項１１に記載の通信サービスを制限する方法であって、
    前記第１のコンピュータから前記第２のコンピュータへ送信されるパケットのうち、送信を制御するパケットのデータの入力を受ける第１制限基準入力ステップと、
    前記第１制限基準入力ステップにより入力された制限するパケットのデータを記録する第１制限基準記録ステップと、をさらに含み、
    前記第１判断ステップでは、前記第１制限基準記録ステップにて記録されたパケットのデータに基づいて前記第１パケット取得ステップにて取得したパケットを前記第２のコンピュータに送信するかを判断する通信サービスを制限する方法。
16. 請求項９に記載の通信サービスを制限する方法であって、
    前記第２のコンピュータから前記第１のコンピュータへ送信されるパケットのうち、送信を制御するパケットのデータの入力を受ける第２制限基準入力ステップと、
    前記第２制限基準入力ステップにより入力された制限するパケットのデータを記録する第２制限基準記録ステップと、を含み、
    前記第２判断ステップにおいて、前記第２制限基準記録ステップにて記録されたパケットのデータに基づいて前記第２パケット取得ステップにて取得したパケットを前記第１のコンピュータに送信するかを判断する通信サービスを制限する方法。
17. 請求項１３に記載の通信サービスを制限する方法であって、
    前記第２のコンピュータから前記第１のコンピュータへ送信されるパケットのうち、送信を制御するパケットのデータの入力を受ける第２制限基準入力ステップと、
    前記第２制限基準入力ステップにより入力された制限するパケットのデータを記録する第２制限基準記録ステップと、を含み、
    前記第２判断ステップにおいて、前記第２制限基準記録ステップにて記録されたパケットのデータに基づいて前記第２パケット取得ステップにて取得したパケットを前記第１のコンピュータに送信するかを判断する通信サービスを制限する方法。
18. 請求項８に記載の方法を実行可能としたプログラム。
19. 請求項１８に記載のプログラムを記憶したコンピュータ読取可能記録媒体。

Images