JP4429218B2 - ネットワーク遮断制御プログラム及びネットワーク遮断装置 - Google Patents

Description

本発明はネットワーク遮断制御プログラム及びネットワーク遮断装置に関し、特に管理対象のネットワーク単位の通信遮断を制御し、必要に応じてこのネットワーク単位をネットワークから隔離するネットワーク遮断制御プログラム及びネットワーク遮断装置に関する。

近年、インターネットの普及などによるネットワークの拡大に伴って、ネットワークを介してコンピュータウィルスが次々に広がり、多大な被害を与えている。
コンピュータウィルスのなかでも、特に、ワーム（Worm）と呼ばれる種類は、自己複製しながらネットワークを介して接続するコンピュータ間を移動し、次々に感染していく。ワームは、この自己複製しながら伝播するスピードが非常に速く、その過程において多量のトラフィックを発生させるため、ネットワークに多大な負荷をかけ、ネットワークが麻痺に至る場合もある。また、次々に感染するため、一度ワームが拡散すると、ワームに感染したコンピュータを探し出し、ワームを停止させるだけでは、被害を防ぐことができない。このため、ネットワークの境界においてネットワークに入ってくるトラフィックを監視して侵入しようとするワームを検出し、その侵入を防ぐことが重要となってくる。

そこで、従来のワーム判定装置では、内部ネットワークと外部ネットワークとを接続する通信路上で通信パケットを監視し、たとえば、通信パケットの通信量とその通信先アドレスに関する情報を取得し、予め設定された判定基準に基づいて取得した情報を解析してワームか否かを判定し、ワームを検知した場合には、攻撃を検知したネットワークとの間の通信を遮断することによって感染を防止する（たとえば、特許文献１参照）。

また、ワーム攻撃などの攻撃を行っている攻撃元のコンピュータ、または攻撃元のコンピュータが接続されている攻撃元ネットワークが検出されると、管理対象ネットワークに対する攻撃が行われていなくとも、管理対象ネットワークと攻撃元ネットワークまたは攻撃元計算機との間の通信を遮断するネットワーク遮断システムも提案されている（たとえば、特許文献２参照）。
特開２００５−１３４９７４号公報（段落番号〔００４５〕〜〔００９９〕、図２） 特開２００５−１２６０６号公報（段落番号〔００１９〕〜〔００２２〕、図１）

しかし、従来のネットワーク遮断装置では、攻撃を検知した場合に攻撃を検知したネットワーク単位との間の通信のみを遮断するため、ワーム攻撃のように、感染したコンピュータがアドレスをランダムに変更して次々に攻撃を繰り返すことや、攻撃を受けて感染したコンピュータが攻撃元となる二次感染によって被害が拡大する攻撃に対しては効果的な防御ができないという問題がある。

また、上記特許文献１の従来技術は、外部ネットワークからの攻撃を防御することが目的であり、外部ネットワークの攻撃の場合には攻撃を検知していないネットワークにも通知がされ、事前にネットワークを遮断することで攻撃を防ぐことができる。一方、内部ネットワークから外部ネットワークへの攻撃が検知された場合は、攻撃を検知したネットワークとの間の通信のみを遮断する。このため、ワーム攻撃のように二次感染や、攻撃元が攻撃を継続するケースでは、ワーム感染を未然に防ぐことができないという問題がある。

さらに、従来の遮断の通知は遮断の指示のみであり、通知を受けたネットワーク遮断装置は、無条件で遮断を実行していた。このため、実際に攻撃が発生していないのに誤検知によって遮断の通知が発生し、攻撃を受けていないネットワークが遮断されてしまうことを防止することができないという問題がある。

本発明はこのような点に鑑みてなされたものであり、実際に攻撃を受ける前に適切な予防措置を行って、感染の拡大を防止するネットワーク遮断制御プログラム及びネットワーク遮断装置を提供することを目的とする。

本発明では上記課題を解決するために、図１に示すような、複数のネットワーク単位が接続するネットワークにおいて管理対象のネットワーク単位の通信遮断を制御し、このネットワーク単位をネットワークから隔離する遮断プログラムが提供される。このネットワーク遮断プログラムがコンピュータで実行されることにより、コンピュータはネットワーク遮断装置１として機能する。

検知手段１ａは、管理対象のネットワーク単位であるネットワークセグメントＡ（２ａ）及びネットワークセグメントＢ（２ｂ）に関する通信を監視し、ワームによりなされた通信を所定の条件に基づき検知した場合、ワームを検知したことを示す検知通知情報を生成する。隔離ポリシー(記憶手段)１ｂには、管理対象のネットワークセグメントＡ（２ａ）及びネットワークセグメントＢ（２ｂ）をネットワークから隔離する隔離処理を行うか否かを規定したデータである隔離ポリシーが格納されている。隔離管理手段１ｃは、検知手段１ａから検知通知情報を取得した場合、または管理対象以外の外部ネットワークセグメント４ａ、４ｂを管理するネットワーク遮断装置３ａ、３ｂから検知通知情報を取得した場合に、隔離ポリシー（記憶手段）１ｂに格納される隔離ポリシーに基づき、管理対象のネットワーク単位に入出力する所定の通信を遮断するための遮断操作依頼を生成する。また、検知手段１ａから検知通知情報を取得している場合には、この検知通知情報を外部ネットワークセグメント４ａ、４ｂのネットワーク遮断装置３ａ、３ｂに送信する。通信遮断手段１ｄは、隔離管理手段１ｃから遮断操作依頼を取得すると、遮断操作依頼に応じて管理対象のネットワークセグメントＡ（２ａ）及びネットワークセグメントＢ（２ｂ）について、所定の条件を満たした通信に関する遮断を制御する。

このようなネットワーク遮断装置１では、検知手段１ａは、管理対象のネットワークセグメントＡ（２ａ）及びネットワークセグメントＢ（２ｂ）を監視しており、ワームによりなされた通信を所定の条件に基づき検知すると検知通知情報を生成し、隔離管理手段１ｃに引き渡す。他の外部ネットワークセグメント４ａ、４ｂのネットワーク遮断装置３ａ、３ｂも同様の処理を行っており、ワームによりなされた通信が検出された場合には、検知通知情報を生成し、他装置に向けて送信する。隔離管理手段１ｃは、自装置の検知手段１ａが生成した検知通知情報、または他のネットワーク遮断装置３ａ、３ｂが生成した検知通知情報を取得すると、隔離ポリシー（記憶手段）１ｂに格納される隔離ポリシーに基づき、管理対象のネットワークセグメントＡ（２ａ）及びネットワークセグメントＢ（２ｂ）に入出力する所定の通信を遮断する遮断操作依頼を生成して通信遮断手段１ｄに送る。また、検知手段１ａによって検知された場合は、検知通知情報を他のネットワーク遮断装置３ａ、３ｂに送信し、所定の通信が検出されたことを通知する。そして、通信遮断手段１ｄは、遮断操作依頼に基づき、通信遮断を行う遮断データを更新し、ネットワークセグメントＡ（２ａ）及びネットワークセグメントＢ（２ｂ）を入出力する通信パケットを監視する。そして、検知された所定の条件を満たす通信に関する通信パケットの通過を遮断するか、そのまま通過させるかを制御する。

また、上記課題を解決するために、管理対象のネットワーク単位の通信遮断を制御し、前記管理対象のネットワーク単位をネットワークから隔離するネットワーク遮断装置において、前記管理対象のネットワーク単位に関する通信を監視し、ワームによりなされた通信を所定の条件に基づき検知した場合、前記ワームを検知したことを示す検知通知情報を生成する検知手段と、前記検知手段から前記検知通知情報を取得した場合、または他の外部ネットワーク単位を管理するネットワーク遮断装置から前記検知通知情報を取得した場合に、前記管理対象のネットワーク単位に対する隔離処理を行うか否かを規定したデータである隔離ポリシーを記憶した隔離ポリシー記憶手段に記憶されている前記隔離ポリシーに基づき、前記管理対象のネットワーク単位に入出力する通信の遮断操作に関する遮断操作依頼を生成するとともに、前記検知手段から取得した前記検知通知情報を前記外部ネットワーク単位を管理する前記ネットワーク遮断装置に送信する隔離管理手段と、前記隔離管理手段から前記遮断操作依頼を取得し、前記遮断操作依頼に応じて前記管理対象のネットワーク単位について前記所定の条件を満たした通信に関する遮断を制御する通信遮断手段と、を具備することを特徴とするネットワーク遮断装置、が提供される。

このようなネットワーク遮断装置によれば、検知手段１ａは、管理対象のネットワーク単位の通信が所定の条件を満たした場合、検知通知情報を生成する。隔離管理手段１ｃは、検知通知情報を検知手段１ａまたは他のネットワーク遮断装置３ａ、３ｂから取得すると、隔離ポリシーに基づき、当該ネットワーク単位に入出力する通信の遮断操作を依頼する。そして、検知手段１ａからの検知通知情報であれば、検知通知情報を他のネットワーク遮断装置３ａ、３ｂに送信する。通信遮断手段１ｄは、遮断操作の依頼に応じて、管理対象のネットワーク単位に関する通信遮断を制御する。

本発明では、管理対象のネットワーク単位に所定の条件を満たす通信を検知すると、ネットワークを介して接続する他のネットワーク遮断装置に対して検知通知情報を送信するとともに、通信遮断制御を行う。また、このように自ら検知した場合に加えて、他のネットワーク遮断装置からの検知通知によって通信遮断を行って管理対照のネットワーク単位をネットワークから隔離する。これにより、管理対象のネットワーク単位において所定の条件を満たす通信が検知された場合は、自装置をネットワークから隔離し、他のネットワーク単位に影響を及ぼすことを防止することができるばかりでなく、自らが検知する前に他装置で検知された場合にも通信遮断を行って、影響が管理対象のネットワーク単位に伝播するのを防ぐ予防措置を行うことができる。

以下、本発明の実施の形態を図面を参照して説明する。まず、実施の形態に適用される発明の概念について説明し、その後、実施の形態の具体的な内容を説明する。
図１は、実施の形態に適用される発明の概念図である。

本発明に係るネットワーク遮断装置１は、管理対象のネットワーク単位であるネットワークセグメントＡ（２ａ）及びネットワークセグメントＢ（２ｂ）と、上位ネットワーク５との間に設置され、ネットワークセグメントＡ（２ａ）及びネットワークセグメントＢ（２ｂ）から上位ネットワーク５へ出力される通信パケットと、逆に上位ネットワーク５から入力される通信パケットを監視している。ネットワーク遮断装置３ａ及びネットワーク遮断装置３ｂも同様の装置であり、それぞれネットワークセグメント４ａ、ネットワークセグメント４ｂを管理する。以下、管理対象外の外部にあるネットワークセグメントを外部ネットワークセグメントと呼ぶ。

ここで、ネットワーク遮断装置１は、検知手段１ａ、隔離ポリシー（記憶手段）１ｂ、隔離管理手段１ｃ、通信遮断手段１ｄ及び通信手段１ｅを具備する。
検知手段１ａは、管理対象のネットワークセグメントＡ（２ａ）及びネットワークセグメントＢ（２ｂ）に入出力する通信パケットを監視し、所定の条件を満たした通信が行われていることが検知されれば、これを通知する検知通知を隔離管理手段１ｃに送る。所定の条件を満たした通信とは、たとえば、ワームに感染した端末からは、同じプロトコルの通信パケットがランダムな宛先アドレスで大量に発信されるというような特性が有る。そこで、このような特性に応じた条件設定（所定期間内に同じプロトコルで複数宛先に対し規定値以上の送信があるかどうか）を行い、ワームによりなされた通信であるかどうかを検出する。なお、ワームやその他所定の通信の検出方法は公知であり、ここでは、検出対象に合わせた任意の検出方法が適宜選択されるとする。

隔離ポリシー(記憶手段)１ｂには、予め設定された、管理対象のネットワークセグメントＡ（２ａ）及びネットワークセグメントＢ（２ｂ）の通信を隔離するための隔離処理を規定する隔離ポリシーが格納される。隔離ポリシーには、検知通知情報で伝えられる状況に応じて、管理対象のネットワークセグメントＡ（２ａ）及びネットワークセグメントＢ（２ｂ）で実行すべき隔離処理が規定されており、たとえば、「他装置から検知通知を受け、攻撃先に管理対象のネットワークセグメントが含まれる場合に隔離を行う。」といったポリシーが設定される。

隔離管理手段１ｃは、検知手段１ａもしくは、他のネットワーク遮断装置３ａ、３ｂから所定の条件を満たす通信を検知したという検知通知を取得すると、隔離ポリシー（記憶手段）１ｂに格納される隔離ポリシーを読み出し、取得した検知通知と照らし合わせ、通信遮断を行うのか、入力方向の通信遮断を行うのか、出力方向の通信遮断を行うのか、通信遮断解除を行うのかなどを判断し、管理対象のネットワークセグメントＡ（２ａ）及びネットワークセグメントＢ（２ｂ）の隔離状態を決定する。そして、これに応じて遮断操作依頼を生成し、通信遮断手段１ｄへ通知する。さらに、遮断対象のデータなどの遮断データに関する管理情報エントリを作成し、管理情報テーブルに登録しておく。遮断データは、たとえば、所定のカテゴリの通信パケット、または所定の宛先ポート番号の通信パケット、というように設定される。また、遮断データは、管理対象のネットワークセグメントから外部に出力される通信（以下、ＯＵＴ通信とする）、及び外部から管理対象のネットワークセグメントに入力される通信（以下、ＩＮ通信とする）について、それぞれ設定することができる。さらに、検知通知を検知手段１ａから取得したのであれば、この検知通知を他のネットワーク遮断装置３ａ及びネットワーク遮断装置３ｂに上位ネットワーク５を介して送信する。

なお、検知手段１ａによって検知された場合は、管理対象のネットワークセグメントＡ（２ａ）またはネットワークセグメントＢ（２ｂ）に直接関わる問題であるので、隔離ポリシーによらず常に遮断依頼を行うとし、他のネットワーク遮断装置３ａ、３ｂからの検知通知の場合に隔離ポリシーを参照して遮断判定を行うとしてもよい。

そして、一旦管理情報テーブルに登録された管理情報エントリについては、検知手段１ａもしくは他のネットワーク遮断装置３ａ、３ｂから該当する所定の条件を満たす通信に関する検知通知が取得されなくなった場合に、検知終了と判断し削除する。そして、通信遮断手段１ｄへ遮断解除依頼を行う。さらに、検知手段１ａに基づき管理情報エントリを設定したのであれば、検知終了通知を他のネットワーク遮断装置３ａ及びネットワーク遮断装置３ｂに上位ネットワーク５を介して送信する。

通信遮断手段１ｄは、隔離管理手段１ｃから取得した遮断依頼または遮断解除依頼に応じて、管理対象のネットワークセグメントＡ（２ａ）及びネットワークセグメントＢ（２ｂ）の通信遮断を制御する。通信遮断手段１ｄは、遮断データが登録される遮断データテーブルを記憶しており、遮断依頼があった場合には指示に従って遮断データを登録し、遮断解除依頼があった場合には該当する遮断データを遮断データテーブルから削除する。そして、通信手段１ｅ経由で中継される通信パケットを監視し、通信パケットが遮断データテーブルに登録された遮断データに合致していれば破棄し、通信パケットを中継させない。すなわち、通信を遮断する。また、通信パケットが遮断データに合致していなければ、通信パケットをそのまま通過させる。このような通信遮断の制御は、ＩＮ通信及びＯＵＴ通信の個々について実行される。たとえば、ＩＮ通信遮断が指定されていれば、入力される側の通信のみを監視し、通信遮断制御を行う。

通信手段１ｅは、ネットワークセグメントＡ（２ａ）及びネットワークセグメントＢ（２ｂ）の装置と、上位ネットワーク５を介して接続するネットワーク遮断装置３ａとその管理下のネットワークセグメント４ａの装置と、同様に上位ネットワーク５を介して接続するネットワーク遮断装置３ｂとその管理下のネットワークセグメント４ｂとの間で交換される通信パケットの送受信制御を行う。

このような構成のネットワーク遮断装置１には、ネットワークセグメントＡ（２ａ）及びネットワークセグメントＢ（２ｂ）に入出力される通信パケットを中継するため、通信手段１ｅを介して通信パケットが一旦入力される。

検知手段１ａは、予め設定された所定の条件を満たした通信が行われているかどうかを検査し、所定の条件を満たす通信が検知された場合には、これらを通知する検知通知を生成し、隔離管理手段１ｃへ送る。隔離管理手段１ｃは、検知手段１ａより検知通知を取得した場合、または、通信手段１ｅを介して他のネットワーク遮断装置３ａ、３ｂが生成した検知通知を取得した場合は、検知通知によって隔離ポリシー（記憶手段）１ｂに格納される隔離ポリシーに規定される隔離条件が成立するか否かを判定する。そして、隔離条件が成立し、通信遮断中でなければ、遮断データを含む管理情報を管理情報テーブルに登録し、遮断依頼を通信遮断手段１ｄに通知する。また、管理情報テーブルに設定された管理情報に対応する所定の条件を満たした通信に関する検知通知が得られない場合は、管理情報テーブルから該当する管理情報を削除し、遮断解除依頼を通信遮断手段１ｄに通知する。通信遮断手段１ｄは、遮断依頼または遮断解除依頼を受けると、遮断データを登録した遮断データテーブルを更新し、この遮断条件テーブルに基づき遮断制御を行う。

このように、管理対象のネットワークセグメントＡ（２ａ）及びネットワークセグメントＢ（２ｂ）に所定の条件を満たす通信が検知された場合には、通信を遮断し、検知通知６を他のネットワーク遮断装置３ａ、３ｂに送信する。通信の遮断は、ＩＮ通信、ＯＵＴ通信ごとに遮断データを設定して行うことができるので、たとえば、内部に攻撃元を検出した場合には、ＯＵＴ通信を遮断するなど、状況に応じた通信遮断を行うことができる。また、他のネットワーク遮断装置が検知した検知通知６に応じて、通信遮断を行うので、まだ検出されていない攻撃に対する予防措置を行うことができる。

たとえば、ネットワーク遮断装置１で、検知手段１ａによって管理対象のネットワークセグメントＡ（２ａ）に接続する装置がワームに感染していることが検知されたとする。ネットワーク遮断装置１は、通信を遮断するとともに、検知通知６をネットワーク遮断装置３ａ及びネットワーク遮断装置３ｂに送信する。ネットワーク遮断装置３ａ及びネットワーク遮断装置３ｂでは、まだワーム検知が行われていないが、ネットワーク遮断装置１からの検知通知６によって、ＩＮ通信を遮断することにより、自ネットワークへの感染を予防することができる。

以下、実施の形態をネットワークセグメントと上位ネットワークとの間に設定され、ワーム検出とワーム検出時のネットワーク遮断を行うワーム検知隔離装置に適用した場合を例に図面を参照して詳細に説明する。

図２は、本実施の形態のワーム検知隔離装置が適用されるシステムの構成図である。
本実施の形態のワーム検知隔離装置１００は、複数の物理ポートを介して上位ネットワーク５０及び管理対象のネットワークセグメントＡ（２０ａ）とネットワークセグメントＢ（２０ｂ）と接続する。図の例では、物理ポート１（１００ａ）にはネットワークセグメントＡ（２０ａ）、物理ポート２（１００ｂ）にはネットワークセグメントＢ（２０ｂ）、物理ポート５（１００ｃ）には上位ネットワーク５０が接続する。そして、上位ネットワーク５０には、同様にワーム検知隔離装置と管理対象のネットワークセグメントを有する所定のネットワーク単位が複数接続している。ネットワークセグメントＡ（２０ａ）には、ＨＵＢ２１を介して端末ａ（２２）、端末ｂ（２３）が接続する。ネットワークセグメントＢ（２０ｂ）も同様の構成である。

ワーム検知隔離装置１００は、各物理ポートを介して入力するＩＮ通信及びＯＵＴ通信の双方向の通信パケットを一旦取り込み、ワーム判定と通信遮断判定を行い、通信パケットが遮断対象でなければ宛先に向けてこの通信パケットを送信する。なお、この場合のＩＮ通信は、上位ネットワーク５０から管理対象のネットワークセグメントＡ（２０ａ）またはネットワークセグメントＢ（２０ｂ）に向けて行われた通信を言う。また、ＯＵＴ通信は、管理対象のネットワークセグメントＡ（２０ａ）またはネットワークセグメントＢ（２０ｂ）から上位ネットワーク５０側に向けて行われた通信を言う。

ここで、ワーム検知隔離装置１００のハードウェア構成について説明する。図３は、本実施の形態のワーム検知隔離装置のハードウェア構成例を示すブロック図である。
ワーム検知隔離装置１００は、ＣＰＵ（Central Processing Unit）１０１によって装置全体が制御されている。ＣＰＵ１０１には、バス１０７を介してＲＡＭ（Random Access Memory）１０２、ハードディスクドライブ（ＨＤＤ：Hard Disk Drive）１０３、グラフィック処理装置１０４、入力インタフェース１０５、通信インタフェース１０６が接続されている。

ＲＡＭ１０２には、ＣＰＵ１０１に実行させるＯＳ（Operating System）のプログラムやアプリケーションプログラムの少なくとも一部が一時的に格納される。また、ＲＡＭ１０２には、ＣＰＵ１０１による処理に必要な各種データが格納される。ＨＤＤ１０３には、ＯＳやアプリケーションのプログラムが格納される。グラフィック処理装置１０４には、モニタ１０８が接続されており、ＣＰＵ１０１からの命令に従って画像をモニタ１０８の画面に表示させる。入力インタフェース１０５には、キーボード１０９ａやマウス１０９ｂが接続されており、キーボード１０９ａやマウス１０９ｂから送られてくる信号を、バス１０７を介してＣＰＵ１０１に送信する。通信インタフェース１０６は、物理ポートを介して上位ネットワーク５０やネットワークセグメントＡ（２０ａ）に接続されている。

このようなハードウェア構成によって、本実施の形態の処理機能を実現することができる。なお、図３には、ワーム検知隔離装置のハードウェア構成を示したが、端末装置のハードウェア構成も同様である。

次に、本実施の形態のワーム検知隔離装置のプログラム構成について説明する。
図４は、実施の形態のワーム検知隔離装置の機能ブロック図を示す図である。
本実施の形態のワーム検知隔離装置１００は、通信送受信部１１０、通信情報取得部１２０、ワーム判定部１３０、検知通知処理部１４０、検知隔離管理部１５０、検知通知送信部１６０及び通信遮断部１７０の手段を各処理有する。また、検知隔離状態管理表（記憶装置）１５１、隔離ポリシー（記憶装置）１５２及び遮断データ（記憶装置）１７１の各記憶装置を有する。

通信送受信部１１０は、管理下のネットワークセグメントに接続する端末及び上位ネットワークを介して接続する他装置との間の通信の送受信を処理する。受信した通信パケットは、通信情報取得部１２０へ送るとともに、通信遮断部１７０によって通過が許可され取得した通信パケットを宛先に送る。また、検知通知送信部１６０から送信依頼を受けた検知通知を宛先に向けて送信する。

通信情報取得部１２０は、通信送受信部１１０が受信した通信パケットを一時留め置き、受信した通信パケットの一部もしくは全部を取得し、通信情報としてワーム判定部１３０に引き渡す。このとき、取得した通信パケットが他のワーム検知隔離装置からの検知通知であるかどうかを調べる。検知通知である場合には、検知通知処理部１４０に通信パケットを引き渡す。通信パケットは、通信遮断部１７０へも引き渡される。

ワーム判定部１３０は、渡された通信情報を検査してワームの疑いがあるかないかを判断し、ワーム判定結果を検知隔離管理部１５０に通知する。ワーム判定には、たとえば、特許文献１のワーム検知方法などを用いる。

検知通知処理部１４０は、通信情報取得部１２０から取得した他のワーム検知隔離装置からの検知通知を検知隔離管理部１５０へ送る。
検知隔離管理部１５０には、遮断対象のデータの特徴（プロトコルや宛先ポート番号、ワーム種別など）を記述した遮断データに関する管理情報が登録される管理情報テーブルに相当する検知隔離状態管理表を記憶する検知隔離状態管理表（記憶装置）１５１と、隔離ポリシーを記憶する隔離ポリシー（記憶装置）１５２が接続される。そして、ワーム判定部１３０及び検知通知処理部１４０から入力される検知通知に基づき、検知隔離状態管理表（記憶装置）１５１と隔離ポリシー（記憶装置）１５２に格納されるデータを参照し、通信遮断を行うか否か、及び通信遮断解除を行うか否かを判断し、判断結果に応じて検知隔離状態管理表を更新するとともに、通信遮断の指示または遮断解除の指示の依頼を生成して通信遮断部１７０へ引き渡す。

ここで、検知隔離管理部１５０の処理機能について、ワーム判定部１３０がワームを検知した場合と、他装置からの検知通知を受信した場合について、詳細に説明する。
まず、ワーム判定部１３０からの検知通知、すなわち、自装置がワームを検出した場合には、検知隔離状態管理表を参照し、ワームを検知していない状態で、ワーム判定部１３０からワームの疑いありの検知通知を受けた場合には、検知隔離状態管理表にエントリを追加し、通信遮断部１７０に通信の遮断を依頼する。そして、検知通知送信部１６０に対し、ワームを検知したことを示す検知通知の送信を依頼する。また、ワームを検知している状態でワーム判定部１３０からワームの疑いありの検知通知を受けた場合には、既に遮断依頼が行われているので、何も処理しない。また、検知状態管理表に登録されたエントリについて、ワーム判定部１３０から所定の期間ワームの疑いありの検知通知を受けなかった場合は、検知終了と判断し、検知隔離状態管理表の該当するエントリを削除し、通信遮断部１７０に通信の遮断解除を依頼する。そして、検知通知送信部１６０に対し、ワームを検知しなくなったことを示す検知終了通知を他のワーム検知管理装置に送信するよう依頼する。なお、ワームの疑いなしの判定もワーム判定部１３０によって行い、検知隔離管理部１５０は、その検知終了通知を受けて、遮断解除を行うとしてもよい。

次に、検知通知処理部１４０から検知通知を受けた場合、すなわち、他装置がワームを検出した場合、またはワームが検出されなくなった場合の処理について説明する。検知通知処理部１４０から検知通知を受けると、検知隔離状態管理表を参照し、ワームを検知していない状態であれば、隔離ポリシー（記憶装置）１５２から隔離ポリシーを読み出し、隔離ポリシーに従って隔離を行うか否かを判定する。隔離を行う判定がされれば、検知隔離状態管理表にエントリを追加し、通信遮断部１７０に通信の遮断を依頼する。また、既に通信遮断が行われている状態で検知通知を受信した場合は、処理は行わない。一方、検知通知処理部１４０から検知終了通知を受けると、検知隔離状態管理表を参照し、ワーム検知がされている状態であれば、隔離ポリシーに従って隔離を解除するか否かを判定する。隔離解除の判定がされれば、検知隔離状態管理表から該当するエントリを削除し、通信遮断部１７０に通信の遮断解除を依頼する。

検知通知送信部１６０は、検知隔離管理部１５０の依頼を受け、自装置が検知または検知終了したワームに関する検知通知の送信を通信送受信部１１０に依頼し、他のワーム検知隔離装置に送信する。

通信遮断部１７０には、検知隔離管理部１５０からの指示に従って設定された遮断データが登録される遮断データテーブルを記憶する遮断データ（記憶装置）１７１が接続される。検知隔離管理部１５０からの通信遮断依頼または通信遮断解除依頼を受け、遮断データの更新を行う。そして、通信情報取得部１２０から渡された通信パケットが設定された遮断データに合致するか否かを判定し、合致する場合は通信パケットを破棄する。また、合致しない場合は、宛先に渡すように通信送受信部１１０に依頼する。

なお、図４において、ワーム検知隔離装置１００は、１つの装置として記載されているが、通信送受信部１１０、通信情報取得部１２０、通信遮断部１７０を持つファイウォールもしくはネットワークスイッチング機器と、ワーム判定部１３０、検知通知処理部１４０、検知隔離管理部１５０及び検知通知送信部１６０を有するワーム検知隔離管理サーバとで構成されてもよい。

このような構成のワーム検知隔離装置１００によるワーム検知隔離処理手順について説明する。以下の説明では、ワーム判定部１３０によって管理対象のネットワークセグメントにワームによりなされた通信が検出された場合には、隔離ポリシーによらず隔離判断／通信遮断を行うとする。これは、管理対象のネットワークセグメントに実際にワームによりなされた通信が検出されているので、速やかに措置を施すことが望ましいことによる。また、他装置から検知通知を受信した場合には、隔離ポリシーに基づき、隔離判断／通信遮断を行うとする。これは、管理対象のネットワークセグメントにはまだワームによりなされた通信が検出されていない段階であるので、一律に処理するのではなく、システム全体を把握するネットワーク管理者などによるポリシーに従って予防装置を行うことが望ましいことによる。もちろん、隔離ポリシーに自装置のワーム検知の場合には隔離を行うと設定しておいてもよい。

ここで、隔離条件が規定される隔離ポリシーについて説明する。
図５は、本実施の形態における検知通知による隔離ポリシーの一例を示した図である。
隔離ポリシー１５２１には、他装置からワームを検知したという検知通知を取得した場合に、管理対象のネットワークセグメントをネットワークから隔離する隔離条件が規定されている。以下、自装置の管理対象のネットワークセグメントを自ネットワーク、他装置の管理対象のネットワークセグメントを他ネットワークとする。

図の例では、自ネットワークの隔離条件として、「自ネットワークへのワーム受信無の時の隔離」１５２１ａ、「自ネットワークへのワーム受信有の時の隔離」１５２１ｂ、「自装置未検知時の隔離継続」１５２１ｃ及び「自装置検知までの待ち時間」１５２１ｄの各項目が設定される。後述する検知通知には、検知または検知終了したワームと、ワームを検知した場合には、ワームによりなされた疑いのある通信パケットの宛先アドレス（以下、ワーム宛先アドレスとする）が設定される。

「自ネットワークへのワーム受信無の時の隔離」１５２１ａは、ワーム宛先アドレスに自ネットワークが含まれていない場合、すなわち、ワームは検知されたが、ワームの疑いのある通信パケットを自ネットワークでは受信していない場合に隔離を行うか否かを規定する。従って、「する」が設定されると、検知通知を取得すれば、自ネットワークにワームの疑いのある通信パケットが入り込んでいなくても遮断依頼が行われる。

「自ネットワークへのワーム受信有の時の隔離」１５２１ｂは、ワーム宛先アドレスに自ネットワークが含まれている場合、すなわち、ワームの疑いのある通信パケットを自ネットワークで受信した場合に隔離を行うか否かを規定する。従って、「する」が設定されると、他ネットワークでワームが検知され、ワーム宛先アドレスに自ネットワークが含まれれば、遮断依頼が行われる。

「自装置未検知時の隔離継続」１５２１ｃは、項目１５２１ａ、項目１５２１ｂにより一旦隔離を行うが、所定の待ち時間が経過しても自装置においてワームが検知されない場合、隔離解除を行うか否かを規定する。従って、「する」が設定され、ワームが検知されれば、自ネットワークで検知されていなくても、項目１５２１ａ及び項目１５２１ｂに基づき、遮断依頼を継続する。「しない」であれば、自装置が検知しなければ遮断解除依頼を行う。

「自装置検知までの待ち時間」１５２１ｄは、項目１５２１ｃを決定するための所定の待ち時間を規定する。従って、「２０秒」が設定されると、遮断依頼を行った後、２０秒が経過しても自装置でワームが検知されない場合、遮断解除依頼を行う。

次に、本実施の形態で処理する通信パケットについて説明する。本実施の形態では、ＴＣＰ（Transmission Control Protocol）パケット、ＵＤＰ（User Datagram Protocol）パケット、ＩＣＭＰ（Internet Control Message Protocol）パケットなどを用いて、ワーム判定と隔離処理を行うとする。パケット構成について、ＴＣＰパケットの場合で説明する。

図６は、ＴＣＰパケットの構成図である。
ＴＣＰパケットは、各レイヤ処理においてヘッダが付加され、本実施の形態のワーム検知隔離装置１００において取得するパケットには、データ部６４０に、ＴＣＰヘッダ６３０、ＩＰヘッダ６２０及びイーサヘッダ６１０が付加されている。なお、ＵＤＰパケットは、ＴＣＰヘッダ６３０がＵＤＰヘッダになり、ＩＣＭＰパケットもＴＣＰヘッダ６３０がＩＣＭＰヘッダに相当するタイプフィールドやコードなどで構成され、他の部分は同じであるので、詳細な説明は省略する。

図７は、ＴＣＰパケットの各ヘッダ部の詳細な構成図である。図の括弧で示した部分は、本実施の形態には関係しないので、説明は省略する。
イーサヘッダ６１０は、送信元のＭＡＣアドレス（Sourced MAC Address）６１１を有しており、ここを参照することにより、パケット送信元のＭＡＣアドレスがわかる。

ＩＰヘッダ６２０は、プロトコル（Protocol）６２１、送信元ＩＰアドレス（Source
IP Address）６２２、宛先ＩＰアドレス（Destination IP Address）６２３を有し、これらを参照することにより、パケットのプロトコル種別、送信元のＩＰアドレス及び宛先のＩＰアドレスがわかる。

なお、イーサヘッダ６１０及びＩＰヘッダ６２０は、ＵＤＰパケット及びＩＣＭＰパケットも同じ構成である。
ＴＣＰヘッダ６３０は、宛先ポート番号（Destination Port）６３１を有しており、ここを参照することにより、パケットの宛先ポート番号がわかる。なお、ＵＤＰパケットも同様に宛先ポート番号を有している。

以下、ワーム検知隔離処理手順について説明する。まず、全体の処理の流れについて説明し、その後各処理手段による処理を説明する。
図８は、本実施の形態のワーム検知隔離処理手順を示したフローチャートである。

ワーム検知隔離装置１００は、管理対象のネットワークセグメントから外部へ向けたＯＵＴ通信及び外部から管理対象のネットワークセグメントに向けたＩＮ通信のすべての通信パケットを中継するとともに、中継する通信パケットを監視し、ワームによりなされた通信であるか否かを検査している。

通信送受信部１１０を介して中継する通信パケットが入力されると、処理が開始される。
［ステップＳ０１］ 通信情報取得部１２０は、通信送受信部１１０経由で入力した通信パケットが、他のワーム検知隔離装置から送信された検知通知であるかどうかを判断し、検知通知であれば検知通知処理部１４０へ検知通知を送り、処理をステップＳ０２の検知通知処理へ進める。検知通知情報でなければ、ワーム判定部１３０に通信情報を渡し、処理をステップＳ０３のワーム判定処理へ進める。

［ステップＳ０２］ 検知通知処理部１４０は、取得した検知通知情報をそのまま検知隔離管理部１５０へ送り、処理をステップＳ０４へ進める。
［ステップＳ０３］ ワーム判定部１３０は、取得した通信情報に基づき、ワーム判定を行い、検知通知情報を生成する。ワームを検知した場合は、検知通知情報を検知隔離管理部１５０へ送り、処理をステップＳ０４の検知隔離処理に進める。

［ステップＳ０４］ 検知隔離管理部１５０は、ワーム判定処理（ステップＳ０３）により生成された検知通知情報、または他ネットワークの検知通知情報を取得すると、検知通知情報に基づき、遮断の依頼または遮断解除の依頼が必要であるかどうかを決める。このとき、必要に応じて、他のワーム検知隔離装置に対し検知通知情報を送信する指示を行う。

［ステップＳ０５］ 通信遮断部１７０は、検知隔離処理（ステップＳ０４）において、自ネットワークの通信に関し、遮断の依頼または遮断解除の依頼がなされた場合、依頼に従って通信の遮断または遮断解除の設定を行い、遮断データを変更する。また、設定に従って、通信送受信部１１０から入力された通信パケットを通信送受信部１１０に返して通信を継続させるか、廃棄し通信を遮断させるかの通信制御を行う。なお、通信遮断部１７０が用いる通信情報は、通信情報取得部１２０から入力されるが、ここでは簡単のため省略し、詳細は後述する。

以上の処理手順が実行されることにより、自ネットワークにワームを検知した場合、及び他のネットワークにワームが検知され、その検知通知情報を受けた場合に、隔離ポリシーに従って通信を遮断することによって、ワーム感染拡大の防止や、感染の予防を行うことができる。

以上の各ステップの処理手順を詳細に説明する。
まず、通信情報取得部１２０による通信パケットの振り分け処理について説明する。
図９は、本実施の形態の通信情報取得処理の手順を示したフローチャートである。

通信情報取得部１２０は、通信送受信部１１０から通信パケットを取得することにより、処理を開始する。
［ステップＳ１０１］ 通信情報取得部１２０は、受信した通信パケットが他のワーム検知隔離装置からの検知通知情報であるか否かを判定する。検知通知情報でない場合は、処理をステップＳ１０３へ進める。

［ステップＳ１０２］ 受信した通信パケットが他のネットワークで検出されたワームに関する検知通知情報であるので、この通信パケットを検知通知処理部１４０へ送り、処理を終了する。

［ステップＳ１０３］ 受信した通信パケットが他のネットワークからの検知通知でない場合、すなわち、ワーム判定対象である、管理対象のネットワークセグメント内の装置に向けて送信された通信パケット、もしくは管理対象のネットワークセグメント内の装置から送信された通信パケットである場合、ワーム判定部１３０に通信情報を渡す。通信情報は、ワーム判定のために必要な情報で、受信した通信パケット全体もしくはその一部を抽出して送る。たとえば、ヘッダ部のみでワーム判定を行う場合には、ヘッダ部のみを抽出した通信情報をワーム判定部１３０へ送る。これにより、その後、ワーム判定部１３０の処理が終了し、処理再開の要求がかかるまで、待ち状態に遷移する。

［ステップＳ１０４］ ワーム判定部１３０による処理が終了し、ワーム判定処理から復帰したので、一時保存している通信情報を通信遮断部１７０に渡し、処理を終了する。
以上の処理手順が実行されることにより、通信情報取得部１２０では、通信送受信部１１０によって受信された通信パケットが他のワーム検知隔離装置からの検知通知情報である場合には、これを検知通知処理部１４０へ振り分け、検知通知情報でなければワーム判定部１３０へ振り分ける。さらに、検知通知情報でなければ、本来の宛先に転送する必要があるので、ワーム判定部１３０の処理終了後、通信遮断部１７０に送る。通信遮断部１７０では、遮断データに該当しなければ、そのまま宛先に向けて送信する。

次に、検知通知処理部１４０による、検知通知処理について説明する。
図１０は、本実施の形態の検知通知処理の手順を示したフローチャートである。
通信情報取得部１２０によって、検知通知情報が入力されると処理が開始される。

［ステップＳ２０１］ 検知通知処理部１４０は、取得した検知通知情報を検知隔離管理部１５０に引渡し、処理を終了する。
これにより、他のワーム検知隔離装置によって作成された検知通知情報が検知隔離管理部１５０に送られる。

次に、ワーム判定部１３０による、ワーム判定処理と検知通知情報について説明する。
図１１は、本実施の形態のワーム判定処理の手順を示したフローチャートである。
ワーム判定部１３０には、通信情報取得部１２０によって、検知通知情報ではなく、通常の通信パケットであることが確認された後、一部が抽出された通信情報として入力される。

［ステップＳ３０１］ ワーム判定部１３０は、ワーム判定前処理として、入力した通信情報を検査して、ワーム判定のための材料を用意する。ワーム判定は、１つの通信情報から判断してもよいし、いくつかの通信情報を合わせて判断してもよく、このステップでは、ワーム判定に必要な情報を用意する。

［ステップＳ３０２］ 検知通知を行うかどうか、すなわち、ワーム判定に必要な情報の収集が完了できたかどうかを調べる。ワーム判定のための材料が不足するなどによってワーム判定を行えない場合は、処理をステップＳ３０８へ進める。

［ステップＳ３０３］ ワーム識別情報には、ワームを識別するワーム識別名や、ワームが利用するサービスポートなどがある。ステップＳ３０１のワーム判定前処理において集められた通信情報を検査し、未処理の通信情報にワーム識別情報があるかどうかを判定する。未処理のワーム識別情報がない場合、すなわち、ワーム判定処理終了の場合は、ステップＳ３０７へ進める。

［ステップＳ３０４］ 未処理のワーム識別情報がある場合、任意の１つのワーム識別情報について、ワーム判定を行う。このように、ワーム判定は、ワーム識別情報ごとに行われる。

［ステップＳ３０５］ ワーム判定処理（ステップＳ３０４）の結果、ワームではないと判定された場合、ステップＳ３０３に戻って、次のワーム識別情報についての処理を行う。

［ステップＳ３０６］ ワームであると判定された場合、ワーム識別情報と、検出したワーム検知隔離装置及びワーム送信先アドレスを検知通知情報に設定する。ここで、ワーム検知隔離装置は、自装置に予め設定された識別番号などである。また、ワーム送信先アドレスは、通信情報のＩＰヘッダ部から宛先ＩＰアドレス６２３を読み出すことによりわかる。また、いくつかの通信情報を合わせてワームであるかどうか判定する場合、ワームと判定したときには、既にいくつかの通信パケットは送信した後である。この場合、ワーム送信先アドレスは、この間に送信した複数の宛先アドレスとなる。１つのワーム識別情報に関する検知通知情報を設定した後、ステップＳ３０３に戻って、次のワーム識別情報についての処理を行う。

［ステップＳ３０７］ すべてのワーム識別情報について検知通知情報を設定されているので、検知通知情報とともにワーム判定通知を検知隔離管理部１５０へ送る。
［ステップＳ３０８］ ワーム判定部１３０による処理が終了したので、通信情報取得部１２０に処理を戻し、終了する。

以上の処理手順が実行されることにより、ワーム検知またはワーム検知終了の検知通知情報が生成される。
なお、ワームが検知されなくなったことをワーム判定部１３０で検出する場合には、たとえば、検知通知情報設定処理(ステップＳ３０６)によって生成された今回検出されたワームに関する検知通知情報と、前回の処理によって作成された前回の検知通知情報を比較することにより、検知されなくなったワームが特定される。

図１２は、本実施の形態の検知通知情報の一例を示した図である。
検知通知情報７００には、検知した時刻情報７０１、検知であるか検知終了であるかの識別情報７０２、ワーム識別情報７０３、ワーム検知隔離装置情報７０４及びワーム宛先アドレス７０５が設定される。ワーム検知隔離装置情報７０４には、ワーム判定部１３０によって自ネットワークにワームによりなされた疑いのある通信パケットを検出したワーム検知隔離装置の識別情報が設定される。また、ワーム宛先アドレス７０５は、ワームによりなされた疑いのある通信パケットの宛先アドレスが設定される。

図の例では、時刻「１５：００：００」にワームが「検知」され、それは「ＴＣＰ８０」で識別されるワームであり、「ワーム検知隔離装置１００」によって検出され、そのときの宛先アドレスは「ネットワーク２０」であることが設定されている。さらに、時刻「１５：１０：００」には、このワームが「検知終了」していることが設定されている。

なお、他のワーム検知隔離装置も同様の処理手順で検知通知情報を作成しており、他のワーム検知隔離装置から受信した検知通知情報も同様の形式をとる。
次に、検知隔離管理部１５０による、検知隔離処理と検知隔離状態管理表について説明する。図１３は、本実施の形態の検知隔離処理の手順を示したフローチャートである。

以下の説明では、ワーム判定部１３０によって作成される検知通知情報は「ワームの疑いのある通信を検知した」場合の検知通知のみが作成されるとする。ワーム判定部１３０または検知通知処理部１４０によって、検知通知情報が入力され、処理が開始される。

［ステップＳ４０１］ 検知通知情報が自装置のワーム判定部１３０により作成されたのか、他装置からの通知であるかを判定する。判定の際には、検知通知情報のワーム検知隔離装置情報７０４を参照し、設定されている識別情報が自装置のものであれば、自ネットワークでの検知と判定し、処理をステップＳ４０２へ進める。自装置のものでなければ、他装置からの検知通知情報と判断し、処理をステップＳ４０９へ進める。

＜検知通知情報が自装置生成である場合＞
［ステップＳ４０２］ 検知通知情報に設定されるワーム識別情報ごとに処理を行い、設定されたすべてのワーム識別情報について処理を行う。検知通知情報には、ワーム識別情報ごとにエントリがされているので、未処理の登録エントリがあるかどうかを判定する。ない場合は、処理をステップＳ４０６へ進める。

［ステップＳ４０３］ 検知通知情報に未処理の登録エントリがあるので、そのエントリを読み出し、検知隔離管理表に同じ内容のエントリがあるかどうか照合する。エントリがある場合には、通信遮断処理が既に行われていると判断し、ステップＳ４０２に処理を戻し、次のワーム識別情報を処理する。

［ステップＳ４０４］ 検知通知情報に基づき、検知隔離状態管理表にエントリを追加する。後述する検知隔離状態管理表には、検知通知情報から抽出した「時刻」、「ワーム識別情報」及び「ワーム検知隔離装置」とともに、ワームによってなされる攻撃を受けているか否かについての「ワーム被攻撃」情報が設定される。「ワーム被攻撃」は、ワームによって送信される通信パケットの宛先アドレスに自ネットワークが含まれていれば、「有」、含まれていなければ「無」を設定する。ここでは、該当ワーム識別情報の検知通知情報にワーム被攻撃を「無」と設定したエントリを作成し、検知隔離状態管理表に追加する。

［ステップＳ４０５］ 検知通知送信部１６０に対し、検知通知情報を他のワーム検知管理装置に送信するように依頼する。そして、ステップＳ４０２に戻って次のワーム識別情報を処理する。

以上の処理手順が実行されることにより、自装置が自ネットワークにおいて検知したワームに応じて、自ネットワークの通信遮断を制御するための検知隔離管理表が設定される。続いて、検知隔離状態管理表へのエントリ追加が終了した後の処理について説明する。

［ステップＳ４０６］ ステップＳ４０４の処理によって新たに作成された検知隔離状態管理表と、前回もしくは所定の期間前に作成された検知隔離状態管理表を比較し、検知が終了したワーム識別情報が検出されるかどうかを判定する。検知無がない、すなわち、検知が終了したワーム識別情報が検出されない場合は、処理をステップＳ４１３に進める。

［ステップＳ４０７］ 以前の検知隔離状態管理表にはあるが、今回の検知隔離状態管理表にないエントリについて、検知隔離管理表からこのエントリを削除する。このとき、通信遮断を解除するため、遮断解除依頼用に削除したエントリを一時保存しておく。

［ステップＳ４０８］ 検知通知送信部１６０に対し、検知終了の検知通知情報を他のワーム検知管理装置に送信するように依頼する。そして、処理をステップＳ４１３に進める。

以上の処理手順が実行されることにより、検知されなくなったワーム通信に関する管理情報が削除され、検知終了の検知通信情報を他のワーム検知隔離装置に送信される。
＜検知通知情報を他装置から取得した場合＞
［ステップＳ４０９］ 検知通知情報を解析し、ワーム宛先アドレスに自ネットワークが含まれているかどうかを判定する。ワーム宛先アドレスに自ネットワークが含まれている場合、処理をステップＳ４１１へ進める。

［ステップＳ４１０］ ワーム宛先アドレスに自ネットワークが含まれていないので、まだ攻撃を受けていないと判断し、ワーム被攻撃を「無」と設定し、処理をステップＳ４１２へ進める。

［ステップＳ４１１］ ワーム宛先アドレスに自ネットワークが含まれているので、既に攻撃を受けている可能性が高いと判断し、ワーム被攻撃を「有」と設定する。
［ステップＳ４１２］ 検知通知情報が、ワーム検知の通知であれば、検知通知情報の「時刻」、「ワーム識別情報」及び「ワーム検知隔離装置」に、ステップＳ４１０またはステップＳ４１２で設定した「ワーム被攻撃」の有無を付加してエントリを生成し、検知隔離状態管理表に追加する。一方、検知通知情報が、ワーム検知終了の通知であれば、該当するエントリを検知隔離状態管理表から削除する。以上のようにして、検知隔離状態管理表を更新する。

以上の処理手順が実行されることにより、検知通知情報に基づき、エントリの追加または削除が行われ、検知隔離管理表が更新される。続いて、検知隔離管理表に基づいて、隔離判定が行われる。

＜隔離判定＞
［ステップＳ４１３］ 検知隔離管理表の各エントリについて、隔離ポリシーを参照して、ＩＮ方向の通信の遮断を行うのか、ＩＮ／ＯＵＴ両方向の通信の遮断を行うのか判定し、通信遮断部１７０へ通信遮断を依頼する。また、ステップＳ４０７において、一時保存しておいた、削除したエントリを参照し、通信遮断部１７０へ通信遮断解除を依頼する。

以上の処理手順が実行されることにより、検知隔離状態管理表が更新され、検知隔離状態管理表と隔離ポリシーとから通信遮断及び通信遮断解除の指示が設定される。
図１４は、本実施の形態における検知隔離状態管理表の一例を示した図である。

検知隔離状態管理表１５１１は、ワームが検知され、隔離を行っている検知隔離管理部１５０によって図１３に示した処理手順が実行され、エントリが設定／削除される。
検知隔離状態管理表のエントリは、検知通知情報から抽出される「時刻」、「ワーム識別情報」及び「ワーム検知隔離装置」の情報に、「ワーム被攻撃」が付加され、生成される。

自装置をワーム検知隔離装置１００とすると、図の例では、ワーム判定部１３０のワーム判定によりワームが検知され、エントリ１５１１ａが設定される。また、エントリ１５１１ｂ、エントリ１５１１ｃ、エントリ１５１１ｄは、それぞれワーム検知隔離装置２００、４００、３００から送信された検知通知情報に基づき設定されている。

ここで、検知隔離状態管理表１５１１に基づく隔離判定処理について説明する。以下、隔離ポリシーとして、
（１）自ネットワークにワームが検知された場合、ＩＮ通信／ＯＵＴ通信を遮断。
（２）他ネットワークにワームが検知された場合、自ネットワークに攻撃されていればＩＮ／ＯＵＴ通信を遮断。
（３）他ネットワークにワームが検知された場合、自ネットワークに攻撃されていなければＩＮ通信を遮断。
が設定されていたとする。

エントリ１１５１ａについて隔離判定を行うと、ワームは自ネットワーク（ワーム検知隔離装置１００）で検知されたので、隔離ポリシー（１）に基づき、ワームの疑いのある通信サービスに関するＩＮ／ＯＵＴ通信の両方向を遮断するという判断がなされる。

エントリ１１５１ｂについては、ワームは他ネットワーク（ワーム検知隔離装置２００）で検知され、自ネットワークが攻撃されている（ワーム被攻撃＝有）ので、隔離ポリシー（２）に基づき、ワームの疑いのある通信サービスに関するＩＮ／ＯＵＴ通信の両方向を遮断するという判断がなされる。これは、自ネットワークでは、まだワーム検知されていないが、ワーム攻撃を受けていることから、既に感染し、この後攻撃元となる端末が存在する可能があることによる。

エントリ１１５１ｃについても同様に、ワームは他ネットワーク（ワーム検知隔離装置４００）で検知され、自ネットワークが攻撃されている（ワーム被攻撃＝有）ので、隔離ポリシー（２）に基づき、ワームの疑いのある通信サービスに関するＩＮ／ＯＵＴ通信の両方向を遮断するという判断がなされる。

エントリ１１５１ｄについては、ワームは他ネットワーク（ワーム検知隔離装置３００）で検知されたが、自ネットワークは攻撃されていない（ワーム被攻撃＝無）ので、隔離ポリシー（３）に基づき、ワームの疑いのある通信サービスに関するＩＮ通信を遮断するという判断がなされる。これは、攻撃を受けていないので自ネットワークにワーム感染が及んでいる可能性は低いが、今後攻撃される可能性があるので、入力側を遮断し、感染予防するための措置である。

上記では、簡単な隔離ポリシーで説明したが複雑な隔離ポリシーを必要としない場合は、隔離処理手順をプログラムに設定しておくようにすることもできる。
また、必要であれば、図５に示したようにさまざまな状態を想定して隔離ポリシーを設定することもできる。

さらに、上記の説明では、他のワーム検知隔離装置から検知通知を受信すると、すぐに隔離処理を行うとしたが、隔離処理を開始するための条件を設定し、条件が成立した場合に隔離処理を行うとすることもできる。

図１５は、本実施の形態の隔離処理の開始条件を設定した隔離ポリシーの一例を示した図である。
図の例の隔離ポリシー１５２２は、検知通知情報に含まれる、ワームと検知された通信サービスの宛先ポート番号とプロトコルが同一の検知通知情報が閾値を超えて受信された場合に、遮断処理を行うという規定が設定されている。図の例では、ワーム通信が「宛先ポート番号＝８０」、「プロトコル＝ＴＣＰ」と設定される検知通知情報が、２回検出された場合にはＩＮ通信の遮断を行い、３回検出された場合にはＯＵＴ通信の遮断を行うことが規定されている。したがって、この内容を有する検知通知情報を最初に受信した段階では、隔離処理は開始されず、通信遮断は行われない。

このように、閾値までワーム検知の通知があった場合にのみ隔離処理が実行されることにより、ワームを誤検出した際に、その影響が連携する他のネットワークに及ぶ可能性を低くすることができる。

なお、図１５に示した隔離ポリシー１５２２は、図５に示した隔離ポリシー１５２１と同時に設定することもできる。
次に、検知通知送信部１６０による検知通知送信処理について説明する。

図１６は、本実施の形態の検知通知処理手順を示したフローチャートである。
検知隔離管理部１５０によって、検知通知情報の送信依頼により処理が開始される。
［ステップＳ６０１］ 検知通知送信部１６０は、検知隔離管理部１５０より送信依頼を受けたワーム判定部１３０によって自装置が検知したワームに関する検知通知情報を通信送受信部１１０に送るよう依頼する。

これにより、このワーム検知隔離装置が検出したワームに関する検知通知情報が、連携する他のワーム検知隔離装置に送信される。
次に、通信遮断部１７０による通信遮断処理について説明する。

図１７は、本実施の形態の通信遮断処理における遮断データ設定手順を示したフローチャートである。
検知隔離管理部１５０より通信の遮断依頼または遮断解除依頼を取得し、処理が開始される。

［ステップＳ１７１］ 遮断依頼または遮断解除依頼に基づき、関連するワーム感染情報を取得する。ワーム感染情報は、他装置からの検知通知情報によって遮断を行う場合は、検知通知情報に基づき、ワーム識別情報などが抽出される。また、自装置がワーム判定部１３０によってワームを検知した場合は、検知通知情報のほか、通信情報取得部１２０より取得した通信情報などを参照し、さらに詳細な情報を取得することができる。このようなワーム感染情報に基づき、遮断対象の通信サービスを特定する遮断データを導出する。

［ステップＳ１７２］ ステップＳ１７１により導出された遮断データを、遮断データ（記憶装置）１７１に格納される遮断データテーブルに登録された遮断データと順次照合し、この遮断データが遮断データテーブルに未登録であるかどうかを判定する。未登録でなければ、既に処理されているので、そのまま処理を終了する。

［ステップＳ１７３］ 遮断データが遮断データテーブルに未登録であれば、該当するワーム通信を遮断する。自装置がワーム検知したのであれば、通信情報取得部１２０より取得した通信パケットはワームの疑いがあるので、これを破棄する。なお、遮断解除指令である場合は、何もしない。

［ステップＳ１７４］ 遮断指令であれば、遮断データを遮断データテーブルに登録する。遮断解除指令であれば、該当する遮断データを遮断データテーブルから削除する。このようにして、追加または削除され、更新された遮断データテーブルを遮断データ（記憶装置）１７１に格納する。

以上の処理手順が実行されることにより、遮断依頼または遮断解除依頼に応じて、遮断データテーブルが更新される。次に、遮断データテーブルに基づく、通信遮断処理について説明する。

図１８は、本実施の形態の通信遮断処理における遮断手順を示したフローチャートである。図の例では、遮断データテーブル８０１として、ワーム識別情報と、遮断方向（ＩＮまたはＯＵＴ）が設定されている。

［ステップＳ１８１］ 通信情報取得部１２０より取得した通信パケットを、遮断データテーブル８０１と照合し、遮断データに合致しているかどうかを判定する。図の例では、ワーム種別が「ＴＣＰ８０」であれば、ＩＮ通信を遮断するので、通信パケットの宛先、プロトコルを参照し、条件に合致するか否かを判定する。合致していなければ、処理をステップＳ１８３へ進める。

［ステップＳ１８２］ 遮断データに合致していれば、通信情報取得部１２０より取得した通信パケットを破棄し、処理を終了する。これにより、この通信パケットは宛先に届かない。

［ステップＳ１８３］ 遮断データに合致していなければ、通信情報取得部１２０より取得した通信パケットを通信送受信部１１０に送り、処理を終了する。これにより、この通信パケットは、通信送受信部１１０によって宛先に向けて送信される。

以上の処理手順が実行されることにより、遮断データに合致した通信サービスが遮断される。
このように、本実施の形態のワーム検知隔離装置は、自ネットワークにワームが検知されると、自ネットワークの通信を遮断するとともに、ネットワークで接続する他のワーム検知隔離装置に、ワームが検知されたことをワームの種別や攻撃先（通信の宛先）などワームに関する情報とともに検知通知情報として伝達する。検知通知情報を受信したワーム検知隔離装置では、自ネットワークにワームが検知されていなくても、検知通知情報と予め設定された隔離ポリシーに基づき、予防措置を行うことができる。このように、ネットワークを介して接続するワーム検知隔離装置が互いに連携することにより、ワームが発生したネットワークセグメントを隔離し、ワームの感染拡大を防止することが可能となる。

図１９は、本実施の形態のワーム検知隔離装置による連携処理を示した図である。
それぞれ、サブネットワーク１０を管理するワーム検知隔離装置１００、サブネットワーク２０を管理するワーム検知隔離装置２００及びサブネットワーク３０を管理するワーム検知隔離装置３００が上位ネットワーク５０を介して接続している。

各ワーム検知隔離装置に設定される隔離ポリシーを説明する。
図２０は、本実施の形態のワーム検知隔離装置に設定される隔離ポリシーの一例を示した図である。

図の例の隔離ポリシー１５２３では、自ネットワークへのワーム受信がなかった場合には（自ネットワークへのワーム受信無の時の隔離）、自ネットワーク内のコンピュータがワームに感染している可能性は低いので、自ネットワークから外部に向けて出る方向（ＯＵＴ）の隔離は行わない。しかしながら、他のネットワークでワームが検知されており、ワーム通信が入力する可能性があるので、自ネットワークに入る方向（ＩＮ）のワームが使用するサービスの通信を遮断する設定がされている。また、自ネットワークへのワーム受信があった場合には（自ネットワークへのワーム受信有の時の隔離）、自ネットワーク内のコンピュータがワームに感染している可能性は高いとして、ＩＮ方向のワームが使用するサービスの通信と、ＯＵＴ方向のワームが使用するサービスの通信の双方を遮断する設定がされている。また、自装置がワーム未検知の場合、検知通知情報があっても隔離を継続しない（自装置未検知時の隔離継続＝しない）設定となっているので、ＯＵＴ方向の通信を遮断した後、待ち時間２０秒間（自装置検知までの待ち時間）が経過しても自ネットワークにワーム通信が検出されなかった場合、自ネットワークのコンピュータがワームに感染している可能性が低いと判断して、ＯＵＴ方向の通信遮断を解除する設定がされている。

図１９に戻って説明する。
ここで、サブネットワーク１０にワームに感染したコンピュータが接続されたとする。このワームに感染したコンピュータがワーム送信を開始すると、ワーム検知隔離装置１００はワームを検知し、ワームの通信を遮断して、ワームをネットワーク１０の中に隔離する。そして、ワーム検知隔離装置１００は、ワーム検知隔離装置２００とワーム検知隔離装置３００にワームを検知したことを示す検知通知情報７００を送信する。

このとき、ワーム検知隔離装置２００及びワーム検知隔離装置３００は、まだ自ネットワークにワームを検知していないとする。また、検知通知情報７００には、ワーム感染コンピュータが行ったワーム送信の宛先情報が設定されており、ここでは、ワーム送信の宛先情報にサブネットワーク２０が含まれているとする。

ワーム検知隔離装置２００は、検知通知情報７００を取得すると、管理するサブネットワーク２０にワームは検知されていないが、サブネットワーク１０に接続されたワームに感染するコンピュータからワームを受信しているので、隔離ポリシー１５２３に従って、サブネットワーク２０内のコンピュータがワームに感染している可能性は高いと判断し、ＩＮ方向及びＯＵＴ方向のワームが使用するサービスの通信を遮断する。ＩＮ方向の通信を遮断することにより、ワーム検知隔離装置１００が通信を遮断する前に他ネットワークにワームが広がっていた場合であっても、サブネットワーク２０内へのワーム侵入を阻止することができる。また、ＯＵＴ方向の通信を遮断することにより、サブネットワーク２０のコンピュータがワームに感染していた場合のワーム送信を遮断し、他ネットワークへの感染を防止することができる。また、隔離ポリシー１５２３に基づき、待ち時間（２０秒間）が経過してもサブネットワーク２０にワームが検知されない場合、サブネットワーク２０内のコンピュータがワームに感染している可能性が低いと判断して、ＯＵＴ方向の通信遮断を解除する。これにより、以降の通信を安全に行うことができる。

その後、ワーム検知隔離装置２００でサブネットワーク２０に接続されたコンピュータからのワームを検知した場合は、ワーム検知隔離装置１００がワームを検知した場合と同じ処理を行う。

また、ワーム検知隔離装置３００は、検知通知情報７００を取得すると、サブネットワーク１０に接続されたワームに感染するコンピュータからワームを受信していないので、隔離ポリシー１５２３に従って、サブネットワーク３０内のコンピュータがワームに感染している可能性は低い。この場合にはＩＮ方向のワームが使用するサービスの通信を遮断し、ワーム侵入を阻止する。なお、サブネットワーク３０に新たにワームに感染したコンピュータが接続される場合も考えられるので、隔離ポリシー１５２３の「自ネットワークへのワーム受信無の時の隔離」をＩＮ側とＯＵＴ側の両方向で遮断するように設定することもできる。この場合は、ワーム検知隔離装置２００と同様に、ＩＮ方向及びＯＵＴ方向のワームが使用するサービスの通信を遮断する。

以上のように、ワーム検知隔離装置が連携することにより、自ネットワークにワームが検知されなくても、いずれかのワーム検知隔離装置でワームが検知されれば、これに応じて感染防止の予防措置を行うことができる。また、ワームを検知したワーム検知隔離装置からの通知は、ワーム種別やワーム通信の宛先など、検知されたワームに関する情報であるので、各ワーム検知装置は、予め設定された隔離ポリシーに従って、自ネットワークに最適な予防措置をとることができる。

上記では、パケット監視によってワームが検出される場合について説明したが、本発明はこれに限定されない。ワーム検出では、自サブネット内にワームが存在するか否かがわかればよく、たとえば、クライアントまたはサーバによってワーム検出プログラムを起動させてデータ確認を行うことによってワームが検出された場合でも同様の処理を行うことができる。さらに、ネットワークのセキュリティ対策として、ワームと同様に関連するネットワークの遮断が有効な事象の防御にも適用することができる。

なお、上記の処理機能は、クライアントサーバシステムのサーバコンピュータによって実現することができる。その場合、ネットワーク遮断装置が有すべき機能の処理内容を記述したサーバプログラムが提供される。サーバコンピュータは、クライアントコンピュータからの要求に応答して、サーバプログラムを実行する。これにより、上記処理機能がサーバコンピュータ上で実現され、処理結果がクライアントコンピュータに提供される。

処理内容を記述したサーバプログラムは、サーバコンピュータで読み取り可能な記録媒体に記録しておくことができる。サーバコンピュータで読み取り可能な記録媒体としては、磁気記録装置、光ディスク、光磁気記録媒体、半導体メモリなどがある。磁気記録装置には、ハードディスク装置（ＨＤＤ）、フレキシブルディスク（ＦＤ）、磁気テープなどがある。光ディスクには、ＤＶＤ(Digital Versatile Disc)、ＤＶＤ−ＲＡＭ、ＣＤ−ＲＯＭ(Compact Disc Read Only Memory)、ＣＤ−Ｒ(Recordable)／ＲＷ(ReWritable)などがある。光磁気記録媒体には、ＭＯ(Magneto-Optical disk)などがある。

サーバプログラムを流通させる場合には、たとえば、そのサーバプログラムが記録されたＤＶＤ、ＣＤ−ＲＯＭなどの可搬型記録媒体が販売される。
サーバプログラムを実行するサーバコンピュータは、たとえば、可搬型記録媒体に記録されたサーバプログラムを、自己の記憶装置に格納する。そして、サーバコンピュータは、自己の記憶装置からサーバプログラムを読み取り、サーバプログラムに従った処理を実行する。なお、サーバコンピュータは、可搬型記録媒体から直接サーバプログラムを読み取り、そのサーバプログラムに従った処理を実行することもできる。

（付記１） コンピュータを、管理対象のネットワーク単位の通信遮断を制御し、必要に応じて前記ネットワーク単位をネットワークから隔離する様、機能させるネットワーク遮断制御プログラムにおいて、
前記コンピュータを、
管理対象のネットワーク単位に関する通信が所定の条件を満たした通信であるかどうかを監視し、前記所定の条件を満たした通信であることが検知された場合は所定の検知通知情報を生成する検知手段、
前記検知手段から前記検知通知情報を取得した場合、または他の外部ネットワーク単位を管理するネットワーク遮断装置から前記外部ネットワーク単位に関する通信が前記所定の条件を満たした通信であることを通知する前記検知通知情報を取得した場合に、前記検知通知情報に応じて、隔離ポリシーを記憶した隔離ポリシー記憶手段に記憶されている隔離ポリシーに基づき、前記管理対象のネットワーク単位に入出力する通信の遮断操作に関する遮断操作依頼を生成するとともに、前記検知手段から取得した前記検知通知情報を前記外部ネットワーク単位を管理する前記ネットワーク遮断装置に送信する隔離管理手段、
前記隔離管理手段から前記遮断操作依頼を取得し、前記遮断操作依頼に応じて前記管理対象のネットワーク単位について前記所定の条件を満たした通信に関する遮断を制御する通信遮断手段、
として機能させることを特徴とするネットワーク遮断制御プログラム。

（付記２） 前記検知手段は、ワームによりなされた通信が備える特性に応じて設定される前記所定の条件に基づき、前記管理対象のネットワーク単位に関する通信が前記ワームによりなされた通信を検知する、
ことを特徴とする付記１記載のネットワーク遮断制御プログラム。

（付記３） 前記通信遮断手段は、前記遮断操作依頼に基づき、通信遮断を行う対象を特定する遮断データを設定するとともに、前記管理対象のネットワーク単位から出力される通信パケット及び前記管理対象のネットワーク単位に入力する前記通信パケットを一時取得して前記遮断データと照合し、一致する場合は前記通信パケットを破棄し、一致しない場合は前記通信パケットを通過させる、
ことを特徴とする付記１記載のネットワーク遮断制御プログラム。

（付記４） 前記隔離ポリシー記憶手段には、前記隔離ポリシーとして、前記管理対象のネットワーク単位から外部に向けて出る方向の出力通信と、前記管理対象のネットワーク単位に入る方向の入力通信のそれぞれに関する前記隔離処理が記憶されており、
前記隔離管理手段は、前記検知通知情報を取得すると、前記隔離ポリシー記憶手段に記憶された前記隔離ポリシーに基づき前記入力通信及び前記出力通信ごとに前記隔離処理を行う、
ことを特徴とする付記１記載のネットワーク遮断制御プログラム。

（付記５） 前記隔離ポリシー記憶手段には、前記隔離ポリシーとして、前記外部ネットワーク単位で検知された前記所定の条件を満たす通信が前記管理対象のネットワークで検知されていない場合に前記隔離処理を行うか否かが記憶されており、
前記隔離管理手段は、前記検知手段が前記所定の条件を満たす通信を検知していない状態で前記外部ネットワーク単位の前記検知通知情報を取得した場合に、前記隔離ポリシー記憶手段に記憶されている前記隔離ポリシーに基づき前記管理対象のネットワーク単位の隔離を行うか否かを判断する、
ことを特徴とする付記１記載のネットワーク遮断制御プログラム。

（付記６） 前記検知手段は、検知された前記所定の条件を満たす通信に関し、検知前に既に送信された前記所定の条件を満たす通信に関する前記通信パケットが送信された宛先を検出し、前記検知通知情報に設定する、
ことを特徴とする付記１記載のネットワーク遮断制御プログラム。

（付記７） 前記隔離ポリシー記憶手段には、前記隔離ポリシーとして、前記外部ネットワーク単位で検知された前記所定の条件を満たす通信の宛先に前記管理対象のネットワーク単位に接続する装置が含まれている場合の前記隔離処理と含まれていない場合の前記隔離処理がそれぞれ記憶されており、
前記隔離管理手段は、前記外部ネットワーク単位の前記検知通知情報を取得すると、前記検知通知情報に設定される前記宛先に前記管理対象のネットワーク単位に接続する装置が含まれているか否かを判定し、判定結果に対応する前記隔離処理を行う、
ことを特徴とする付記４記載のネットワーク遮断制御プログラム。

（付記８） 前記隔離ポリシー記憶手段には、前記隔離ポリシーとして、前記宛先に前記管理対象のネットワーク単位に接続する前記装置が含まれている場合に、前記管理対象のネットワーク単位を前記管理対象のネットワーク単位に入る方向の入力通信及び出る方向の出力通信から隔離することが記憶されており、
前記隔離管理手段は、前記外部ネットワーク単位の前記検知通知情報を取得すると、前記隔離ポリシー記憶手段に記憶された前記隔離ポリシーに基づき、前記検知通知情報に設定される前記宛先に前記管理対象のネットワーク単位に接続する装置が含まれているか否かを判定し、含まれている場合は、前記管理対象のネットワーク単位の前記入力通信と前記出力通信について前記所定の条件を満たす通信に関する遮断を指示する遮断操作依頼を生成する、
ことを特徴とする付記７記載のネットワーク遮断制御プログラム。

（付記９） 前記隔離ポリシー記憶手段には、前記隔離ポリシーとして、前記宛先に前記管理対象のネットワーク単位に接続する前記装置が含まれていない場合に、前記管理対象のネットワーク単位を前記管理対象のネットワーク単位に入る方向の入力通信及び出る方向の出力通信から隔離することが記憶されており、
前記隔離管理手段は、前記外部ネットワーク単位の前記検知通知情報を取得すると、前記隔離ポリシー記憶手段に記憶された前記隔離ポリシーに基づき、前記検知通知情報に設定される前記宛先に前記管理対象のネットワーク単位に接続する装置が含まれているか否かを判定し、含まれていない場合は、前記管理対象のネットワーク単位の前記入力通信と前記出力通信について前記所定の条件を満たす通信に関する遮断を指示する遮断操作依頼を生成する、
ことを特徴とする付記７記載のネットワーク遮断制御プログラム。

（付記１０） 前記隔離ポリシー記憶手段には、前記隔離ポリシーとして、前記宛先に前記管理対象のネットワーク単位に接続する前記装置が含まれていない場合に、前記管理対象のネットワーク単位を前記管理対象のネットワーク単位に入る方向の入力通信及び出る方向の出力通信から隔離することが記憶されており、
前記隔離管理手段は、前記外部ネットワーク単位の前記検知通知情報を取得すると、前記隔離ポリシー記憶手段に記憶された前記隔離ポリシーに基づき、前記検知通知情報に設定される前記宛先に前記管理対象のネットワーク単位に接続する装置が含まれているか否かを判定し、含まれていない場合は、前記管理対象のネットワーク単位の前記入力通信について前記所定の条件を満たす通信に関する遮断を指示する遮断操作依頼を生成する、
ことを特徴とする付記７記載のネットワーク遮断制御プログラム。

（付記１１） 前記隔離ポリシー記憶手段には、前記隔離ポリシーとして、前記外部ネットワーク単位で検知された前記検知通知情報を取得して前記管理対象のネットワーク単位の通信遮断を行ってから前記検知手段によって前記所定の条件を満たす通信が検知されるまでの待ち時間が記憶されており、
前記隔離管理手段は、他装置からの前記検知通知情報に基づいて通信を遮断する遮断操作依頼を行った場合は、前記隔離ポリシー記憶手段に記憶された前記隔離ポリシーに基づき、前記待ち時間が経過するまでに前記検知手段によって前記所定の条件を満たす通信が検知されなければ、前記検知通知情報に基づき行われた前記管理対象のネットワーク単位から外部に向けて出る方向の出力通信の遮断を解除する遮断操作依頼を生成する、
ことを特徴とする付記１記載のネットワーク遮断制御プログラム。

（付記１２） 前記隔離ポリシー記憶手段には、前記隔離ポリシーとして、前記外部ネットワーク単位で検知された前記検知通知情報に応じて前記隔離処理を実行するための条件が記憶されており、
前記隔離管理手段は、前記外部ネットワーク単位の前記検知通知情報を取得すると、前記隔離処理を実行するための条件が成立したかどうかを判定し、成立した場合に前記隔離開始処理を行う、
ことを特徴とする付記１記載のネットワーク遮断制御プログラム。

（付記１３） 前記隔離処理を実行するための条件は、前記検知通知情報の取得回数である、
ことを特徴とする付記１２記載のネットワーク遮断制御プログラム。

（付記１４） 前記隔離管理手段は、前記検知手段によって検知された前記所定の条件を満たす通信が検出されなくなった場合は、前記所定の条件を満たす通信が検出されなくなった検知終了を通知する検知終了通知情報を生成して前記外部ネットワーク単位を管理する前記ネットワーク遮断装置に送信するとともに、前記隔離ポリシーに基づいて前記管理対象のネットワーク単位の隔離が解除できる場合は、通信遮断の解除を指示する前記遮断操作依頼を生成する、
ことを特徴とする付記１記載のネットワーク遮断制御プログラム。

（付記１５） 前記隔離管理手段は、前記外部ネットワーク単位を管理する前記ネットワーク遮断装置から前記検知終了通知情報を取得すると、他の前記ネットワーク遮断装置から前記検知終了に対応する前記検知通知情報を取得していなければ、前記検知通知情報に応じて行われた通信遮断を解除する前記遮断操作依頼を生成する、
ことを特徴とする付記１４記載のネットワーク遮断制御プログラム。

（付記１６） 前記隔離管理手段は、前記検知通知情報が前記検知手段により作成されている場合は、前記管理対象のネットワーク単位について前記所定の条件を満たした通信に関する遮断する前記遮断操作依頼を生成し、前記検知通知情報が前記外部ネットワークを管理する前記ネットワーク遮断装置から取得した場合に、前記隔離ポリシー記憶手段に記憶された前記隔離ポリシーに基づく隔離処理を行う、
ことを特徴とする付記１記載のネットワーク遮断制御プログラム。

（付記１７） 管理対象のネットワーク単位の通信遮断を制御し、必要に応じて前記ネットワーク単位をネットワークから隔離するネットワーク遮断装置において、
管理対象のネットワーク単位に関する通信が所定の条件を満たした通信であるかどうかを監視し、前記所定の条件を満たした通信であることが検知された場合は所定の検知通知情報を生成する検知手段と、
前記検知手段から前記検知通知情報を取得した場合、または他の外部ネットワーク単位を管理するネットワーク遮断装置から前記外部ネットワーク単位に関する通信が前記所定の条件を満たした通信であることを通知する前記検知通知情報を取得した場合に、前記検知通知情報に応じて、隔離ポリシーを記憶した隔離ポリシー記憶手段に記憶されている隔離ポリシーに基づき、前記管理対象のネットワーク単位に入出力する通信の遮断操作に関する遮断操作依頼を生成するとともに、前記検知手段から取得した前記検知通知情報を前記外部ネットワーク単位を管理する前記ネットワーク遮断装置に送信する隔離管理手段と、
前記隔離管理手段から前記遮断操作依頼を取得し、前記遮断操作依頼に応じて前記管理対象のネットワーク単位について前記所定の条件を満たした通信に関する遮断を制御する通信遮断手段と、
を具備することを特徴とするネットワーク遮断装置。

（付記１８） 管理対象のネットワーク単位の通信遮断を制御し、必要に応じて前記ネットワーク単位をネットワークから隔離するネットワーク遮断方法において、
検知手段が、管理対象のネットワーク単位に関する通信が所定の条件を満たした通信であるかどうかを監視し、前記所定の条件を満たした通信であることが検知された場合は所定の検知通知情報を生成し、
隔離管理手段が、前記検知手段から前記検知通知情報を取得した場合、または他の外部ネットワーク単位を管理するネットワーク遮断装置から前記外部ネットワーク単位に関する通信が前記所定の条件を満たした通信であることを通知する前記検知通知情報を取得した場合に、前記検知通知情報に応じて、隔離ポリシーを記憶した隔離ポリシー記憶手段に記憶されている前記隔離ポリシーに基づき、前記管理対象のネットワーク単位に入出力する通信の遮断操作に関する遮断操作依頼を生成するとともに、前記検知手段から取得した前記検知通知情報を前記外部ネットワーク単位を管理する前記ネットワーク遮断装置に送信し、
通信遮断手段が、前記隔離管理手段から前記遮断操作依頼を取得し、前記遮断操作依頼に応じて前記管理対象のネットワーク単位について前記所定の条件を満たした通信に関する遮断を制御する、
ことを特徴とするネットワーク遮断方法。

実施の形態に適用される発明の概念図である。 本実施の形態のワーム検知隔離装置が適用されるシステムの構成図である。 本実施の形態のワーム検知隔離装置のハードウェア構成例を示すブロック図である。 実施の形態のワーム検知隔離装置の機能ブロック図を示す図である。 本実施の形態における検知通知による隔離ポリシーの一例を示した図である。 ＴＣＰパケットの構成図である。 ＴＣＰパケットの各ヘッダ部の詳細な構成図である。 本実施の形態のワーム検知隔離処理手順を示したフローチャートである。 本実施の形態の通信情報取得処理の手順を示したフローチャートである。 本実施の形態の検知通知処理の手順を示したフローチャートである。 本実施の形態のワーム判定処理の手順を示したフローチャートである。 本実施の形態の検知通知情報の一例を示した図である。 本実施の形態の検知隔離処理の手順を示したフローチャートである。 本実施の形態における検知隔離状態管理表の一例を示した図である。 本実施の形態の隔離処理の開始条件を設定した隔離ポリシーの一例を示した図である。 本実施の形態の検知通知処理手順を示したフローチャートである。 本実施の形態の通信遮断処理における遮断データ設定手順を示したフローチャートである。 本実施の形態の通信遮断処理における遮断手順を示したフローチャートである。 本実施の形態のワーム検知隔離装置による連携処理を示した図である。 本実施の形態のワーム検知隔離装置に設定される隔離ポリシーの一例を示した図である。

符号の説明

１ ネットワーク遮断装置
１ａ 検知手段
１ｂ 隔離ポリシー（記憶手段）
１ｃ 隔離管理手段
１ｄ 通信遮断手段
１ｅ 通信手段
２ａ ネットワークセグメントＡ
２ｂ ネットワークセグメントＢ
３ａ、３ｂ ネットワーク遮断装置
４ａ、４ｂ 外部ネットワークセグメント
５ 上位ネットワーク
６ 検知通知

Claims (10)

1. コンピュータを、管理対象のネットワーク単位の通信遮断を制御し、前記管理対象のネットワーク単位をネットワークから隔離する様、機能させるネットワーク遮断制御プログラムにおいて、
   前記コンピュータを、
   前記管理対象のネットワーク単位に関する通信を監視し、ワームによりなされた通信を所定の条件に基づき検知した場合、前記ワームを検知したことを示す検知通知情報を生成する検知手段、
   前記検知手段から前記検知通知情報を取得した場合、または他の外部ネットワーク単位を管理するネットワーク遮断装置から前記検知通知情報を取得した場合に、前記管理対象のネットワーク単位に対する隔離処理を行うか否かを規定したデータである隔離ポリシーを記憶した隔離ポリシー記憶手段に記憶されている前記隔離ポリシーに基づき、前記管理対象のネットワーク単位に入出力する通信の遮断操作に関する遮断操作依頼を生成するとともに、前記検知手段から取得した前記検知通知情報を前記外部ネットワーク単位を管理する前記ネットワーク遮断装置に送信する隔離管理手段、
   前記隔離管理手段から前記遮断操作依頼を取得し、前記遮断操作依頼に応じて前記管理対象のネットワーク単位について前記所定の条件を満たした通信に関する遮断を制御する通信遮断手段、
   として機能させることを特徴とするネットワーク遮断制御プログラム。
2. 前記隔離ポリシー記憶手段には、前記隔離ポリシーとして、前記管理対象のネットワーク単位から外部に向けて出る方向の出力通信と、前記管理対象のネットワーク単位に入る方向の入力通信のそれぞれに関する前記隔離処理が記憶されており、
   前記隔離管理手段は、前記検知通知情報を取得すると、前記隔離ポリシー記憶手段に記憶された前記隔離ポリシーに基づき前記入力通信及び前記出力通信ごとに前記隔離処理を行う、
   ことを特徴とする請求項１記載のネットワーク遮断制御プログラム。
3. 前記隔離ポリシー記憶手段には、前記隔離ポリシーとして、前記外部ネットワーク単位で検知された前記所定の条件を満たす通信が前記管理対象のネットワークで検知されていない場合に前記隔離処理を行うか否かが記憶されており、
   前記隔離管理手段は、前記検知手段が前記所定の条件を満たす通信を検知していない状態で前記外部ネットワーク単位の前記検知通知情報を取得した場合に、前記隔離ポリシー記憶手段に記憶されている前記隔離ポリシーに基づき前記管理対象のネットワーク単位の隔離を行うか否かを判断する、
   ことを特徴とする請求項１記載のネットワーク遮断制御プログラム。
4. 前記検知手段は、検知された前記所定の条件を満たす通信に関し、検知前に既に送信された前記所定の条件を満たす通信に関する前記通信パケットが送信された宛先を検出し、前記検知通知情報に設定する、
   ことを特徴とする請求項１記載のネットワーク遮断制御プログラム。
5. 前記隔離ポリシー記憶手段には、前記隔離ポリシーとして、前記外部ネットワーク単位で検知された前記所定の条件を満たす通信の宛先に前記管理対象のネットワーク単位に接続する装置が含まれている場合の前記隔離処理と含まれていない場合の前記隔離処理がそれぞれ記憶されており、
   前記隔離管理手段は、前記外部ネットワーク単位の前記検知通知情報を取得すると、前記検知通知情報に設定される前記宛先に前記管理対象のネットワーク単位に接続する装置が含まれているか否かを判定し、判定結果に対応する前記隔離処理を行う、
   ことを特徴とする請求項４記載のネットワーク遮断制御プログラム。
6. 前記隔離ポリシー記憶手段には、前記隔離ポリシーとして、前記外部ネットワーク単位で検知された前記検知通知情報を取得して前記管理対象のネットワーク単位の通信遮断を行ってから前記検知手段によって前記所定の条件を満たす通信が検知されるまでの待ち時間が記憶されており、
   前記隔離管理手段は、他装置からの前記検知通知情報に基づいて通信を遮断する遮断操作依頼を行った場合は、前記隔離ポリシー記憶手段に記憶された前記隔離ポリシーに基づき、前記待ち時間が経過するまでに前記検知手段によって前記所定の条件を満たす通信が検知されなければ、前記検知通知情報に基づき行われた前記管理対象のネットワーク単位から外部に向けて出る方向の出力通信の遮断を解除する遮断操作依頼を生成する、
   ことを特徴とする請求項１記載のネットワーク遮断制御プログラム。
7. 前記隔離ポリシー記憶手段には、前記隔離ポリシーとして、前記外部ネットワーク単位で検知された前記検知通知情報に応じて前記隔離処理を実行するための条件が記憶されており、
   前記隔離管理手段は、前記外部ネットワーク単位の前記検知通知情報を取得すると、前記隔離処理を実行するための条件が成立したかどうかを判定し、成立した場合に前記隔離開始処理を行う、
   ことを特徴とする請求項１記載のネットワーク遮断制御プログラム。
8. 前記隔離管理手段は、前記検知手段によって検知された前記所定の条件を満たす通信が検出されなくなった場合は、前記所定の条件を満たす通信が検出されなくなった検知終了を通知する検知終了通知情報を生成して前記外部ネットワーク単位を管理する前記ネットワーク遮断装置に送信するとともに、前記隔離ポリシーに基づいて前記管理対象のネットワーク単位の隔離が解除できる場合は、通信遮断の解除を指示する前記遮断操作依頼を生成する、
   ことを特徴とする請求項１記載のネットワーク遮断制御プログラム。
9. 前記隔離管理手段は、前記外部ネットワーク単位を管理する前記ネットワーク遮断装置から前記検知終了通知情報を取得すると、他の前記ネットワーク遮断装置から前記検知終了に対応する前記検知通知情報を取得していなければ、前記検知通知情報に応じて行われた通信遮断を解除する前記遮断操作依頼を生成する、
   ことを特徴とする請求項８記載のネットワーク遮断制御プログラム。
10. 管理対象のネットワーク単位の通信遮断を制御し、前記管理対象のネットワーク単位をネットワークから隔離するネットワーク遮断装置において、
    前記管理対象のネットワーク単位に関する通信を監視し、ワームによりなされた通信を所定の条件に基づき検知した場合、前記ワームを検知したことを示す検知通知情報を生成する検知手段と、
    前記検知手段から前記検知通知情報を取得した場合、または他の外部ネットワーク単位を管理するネットワーク遮断装置から前記検知通知情報を取得した場合に、前記管理対象のネットワーク単位に対する隔離処理を行うか否かを規定したデータである隔離ポリシーを記憶した隔離ポリシー記憶手段に記憶されている前記隔離ポリシーに基づき、前記管理対象のネットワーク単位に入出力する通信の遮断操作に関する遮断操作依頼を生成するとともに、前記検知手段から取得した前記検知通知情報を前記外部ネットワーク単位を管理する前記ネットワーク遮断装置に送信する隔離管理手段と、
    前記隔離管理手段から前記遮断操作依頼を取得し、前記遮断操作依頼に応じて前記管理対象のネットワーク単位について前記所定の条件を満たした通信に関する遮断を制御する通信遮断手段と、
    を具備することを特徴とするネットワーク遮断装置。

Images