JP4466597B2 - ネットワークシステム、ネットワーク管理装置、ネットワーク管理方法及びプログラム - Google Patents

Description

本発明は、コンピュータウィルスによる攻撃元となる端末の接続位置を特定可能にしたネットワークシステム、ネットワーク管理装置、ネットワーク管理方法及びプログラムに関する。

コンピュータネットワーク上で伝送されるデータからコンピュータウィルスが検出された場合の対処技術として、様々なものが提案されている。

例えば、管理対象となるネットワーク以外のネットワークに対する攻撃を行っている攻撃元が侵入検知システム（ＩＤＳ）により検出された場合に、管理対象となるネットワークと攻撃元との間の通信などを遮断する技術が提案されている（例えば特許文献１）。また、伝送路を流れるデータ中にコンピュータウィルスを検出した場合に、コンピュータウィルスが検出されたことをユーザに知らせるための情報を表示するものが提案されている（例えば特許文献２）。
特開２００５−１２６０６号公報 特開平９−２６９９３０号公報

特許文献１に記載された技術では、ＩＤＳにより攻撃元を検出するようにしている。こうしたＩＤＳでは、監視対象となるネットワーク機器を流れるデータの監視を行い、コンピュータウィルスによる攻撃などを検知するようにしている。そのため、コンピュータウィルスによる攻撃元が監視対象となる機器よりもネットワーク構成における末端側に位置する場合には、その攻撃元の接続位置を特定するまでに長時間を要することがあり、末端側に位置する他の端末などにコンピュータウィルスの二次感染が広がってしまうおそれがあった。

また、特許文献２に記載された技術のようにコンピュータウィルスが検出されたことを知らせるための情報を表示する場合でも、そのコンピュータウィルスによる攻撃元となる端末の接続位置が特定できなければ、例えば端末のネットワーク接続を切断するといったコンピュータウィルスへの対処に遅れが生じ、コンピュータウィルスの二次感染が広がってしまうおそれがあった。

本発明は、上記実状に鑑みてなされたものであり、コンピュータウィルスによる攻撃元となる端末の接続位置を短時間で特定可能とするネットワーク管理装置を備えたネットワークシステム、そのネットワーク管理装置、ネットワーク管理方法及びプログラムを提供することを目的とする。

上記目的を達成するために、本発明の第１の観点に係るネットワークシステムは、
情報通信端末を電気通信ネットワークに接続可能とする端末接続装置と、
前記電気通信ネットワークを介して前記端末接続装置に接続されたネットワーク管理装置と、
前記電気通信ネットワークに接続された通信装置を流れる通信パケットについて、所定の検出ルールに基づく監視を行う通信監視装置とを備え、
前記ネットワーク管理装置は、
前記電気通信ネットワークへの接続が許可された情報通信端末についての前記端末接続装置における接続位置と、当該情報通信端末に付されたネットワークアドレスとを示す端末特定情報を、前記端末接続装置から受け取る端末特定情報受取手段と、
前記端末特定情報受取手段により受け取った端末特定情報を記憶可能な情報記憶手段と、
前記通信監視装置により検知された通信パケットの送信元に対応するネットワークアドレスを示す検知情報を、前記通信監視装置から受け取る検知情報受取手段と、
前記検知情報受取手段により受け取った検知情報に示されるネットワークアドレスに対応する前記情報通信端末の接続位置を、前記情報記憶手段に記憶されている端末特定情報に基づいて特定する接続位置特定手段と、
前記接続位置特定手段により特定された前記情報通信端末の接続位置を報知するための特定結果情報を出力する特定結果情報出力手段とを備える、
ことを特徴とする。

前記情報記憶手段は、前記端末特定情報受取手段により受け取った端末特定情報の発信元となる端末接続装置と、前記情報通信端末の接続位置及びネットワークアドレスとを対応付けたデータテーブルを、接続位置特定情報として記憶し、
前記接続位置特定手段は、検知情報に示されるネットワークアドレスに対応する前記情報通信端末の接続位置と前記端末接続装置を、前記情報記憶手段に記憶されている接続位置特定情報に基づいて特定し、
前記特定結果情報出力手段は、前記接続位置特定手段により特定された前記情報通信端末の接続位置とともに前記端末接続装置を報知するための情報を出力してもよい。

前記通信監視装置が通信パケットの監視を行う際の検出ルールは、コンピュータウィルスによる攻撃を検知するための検出ルールであることが望ましい。

本発明の第２の観点に係るネットワーク管理装置は、
所定の端末接続装置から伝送される端末特定情報として、所定の電気通信ネットワークへの接続が許可された情報通信端末についての当該端末接続装置における接続位置と、当該情報通信端末に付されたネットワークアドレスとを示す情報を受け取る端末特定情報受取手段と、
前記端末特定情報受取手段により受け取った端末特定情報を記憶可能な情報記憶手段と、
所定の通信監視装置から伝送される検知情報として、当該通信監視装置が所定の検出ルールに基づいて検知した前記端末接続装置を流れる通信パケットの送信元に対応するネットワークアドレスを示す情報を受け取る検知情報受取手段と、
前記検知情報受取手段により受け取った検知情報に示されるネットワークアドレスに対応する情報通信端末の接続位置を、前記情報記憶手段に記憶されている端末特定情報に基づいて特定する接続位置特定手段と、
前記接続位置特定手段により特定された情報通信端末の接続位置を報知するための特定結果情報を出力する特定結果情報出力手段とを備える、
ことを特徴とする。

前記情報記憶手段は、前記端末特定情報受取手段により受け取った端末特定情報の発信元となる端末接続装置と、当該端末接続装置における情報通信端末の接続位置及び情報通信端末に付されたネットワークアドレスとを対応付けたデータテーブルを、接続位置特定情報として記憶し、
前記接続位置特定手段は、検知情報に示されるネットワークアドレスに対応する情報通信端末の接続位置と端末接続装置を、前記情報記憶手段に記憶されている接続位置特定情報に基づいて特定し、
前記特定結果情報出力手段は、前記接続位置特定手段により特定された情報通信端末の接続位置とともに端末接続装置を報知するための情報を出力してもよい。

本発明の第３の観点に係るネットワーク管理方法は、
所定の端末接続装置及び通信監視装置から伝送される情報を電気通信ネットワークを介して受け取るコンピュータによるネットワーク管理方法であって、
前記端末接続装置から伝送される端末特定情報として、前記電気通信ネットワークへの接続が許可された情報通信端末についての当該端末接続装置における接続位置と、当該情報通信端末に付されたネットワークアドレスとを示す情報を受け取る端末特定情報受取ステップと、
前記端末特定情報受取ステップにて受け取った端末特定情報を所定の記憶手段に記憶させる情報記憶ステップと、
前記通信監視装置から伝送される検知情報として、当該通信監視装置が所定の検出ルールに基づいて検知した前記端末接続装置を流れる通信パケットの送信元に対応するネットワークアドレスを示す情報を受け取る検知情報受取ステップと、
前記検知情報受取ステップにて受け取った検知情報に示されるネットワークアドレスに対応する情報通信端末の接続位置を、前記記憶手段に記憶されている端末特定情報に基づいて特定する接続位置特定ステップと、
前記接続位置特定ステップにて特定した情報通信端末の接続位置を報知するための特定結果情報を出力する特定結果情報出力ステップとを備える、
ことを特徴とする。

本発明の第４の観点に係るプログラムは、
コンピュータを、
所定の端末接続装置から伝送される端末特定情報として、所定の電気通信ネットワークへの接続が許可された情報通信端末についての当該端末接続装置における接続位置と、当該情報通信端末に付されたネットワークアドレスとを示す情報を受け取る端末特定情報受取手段と、
前記端末特定情報受取手段により受け取った端末特定情報を記憶可能な情報記憶手段と、
所定の通信監視装置から伝送される検知情報として、当該通信監視装置が所定の検出ルールに基づいて検知した前記端末接続装置を流れる通信パケットの送信元に対応するネットワークアドレスを示す情報を受け取る検知情報受取手段と、
前記検知情報受取手段により受け取った検知情報に示されるネットワークアドレスに対応する情報通信端末の接続位置を、前記情報記憶手段に記憶されている端末特定情報に基づいて特定する接続位置特定手段と、
前記接続位置特定手段により特定された情報通信端末の接続位置を報知するための特定結果情報を出力する特定結果情報出力手段、
として機能させる。

本発明によれば、検知情報受取手段などにより通信監視装置から受け取った検知情報に示されるネットワークアドレスに対応する情報通信端末の接続位置を、情報記憶手段などに記憶されている端末特定情報に基づいて特定し、特定結果情報出力手段などにより特定された接続位置を報知するための特定結果情報を出力できる。これにより、コンピュータウィルスに感染した情報通信端末が検出された場合に、その接続位置を短時間で特定することが可能になる。

以下、図面を参照しつつ、本発明に係るネットワーク管理装置を含むネットワークシステムの一実施形態を詳細に説明する。図１は、この実施形態におけるネットワークシステム１０の一構成例を示すブロック図である。

ネットワークシステム１０は、例えばインターネットやＬＡＮ（Local Area Network）などといった各種のコンピュータネットワークや情報通信ネットワークの全部または一部を含み、相互にネットワーク接続された複数の情報処理装置の間で、例えばＩＰプロトコルといった所定のプロトコルに準拠したパケットを送受信可能な電気通信ネットワークである。

図１に示すネットワークシステム１０は、複数の端末２０−１〜２０−ｎ、３０−１〜３０−ｎと、複数のスイッチ４０、４１−１、４１−２と、ＩＤＳ（Intrusion Detection System）５０と、ネットワーク管理装置６０とを備えて構成されている。

複数の端末２０−１〜２０−ｎ、３０−１〜３０−ｎはそれぞれ、例えばパーソナルコンピュータやワークステーション、ＰＤＡ（Personal Digital Assistants）といった、ネットワーク通信機能を備えた情報処理端末である。各端末２０−１〜２０−ｎ、３０−１〜３０−ｎは、ネットワークシステム１０への接続時に認証が行われ、その認証によりネットワーク接続が許可された場合に、他の端末やネットワークシステム１０に接続されたその他の情報処理装置との間で、情報通信を行うことができる。

スイッチ４０、４１−１及び４１−２はそれぞれ、例えば所定回路によるスイッチングや接点式といった物理的なスイッチングなどにより、ネットワークシステム１０における通信データの転送を可能にする通信装置である。スイッチ４０は、スイッチ４１−１と、スイッチ４１−２と、ＩＤＳ５０と、ネットワーク管理装置６０とを、ＩＰネットワークで接続する。スイッチ４１−１は、端末２０−１〜２０−ｎと、スイッチ４０とを、ＩＰネットワークで接続する。スイッチ４１−２は、端末３０−１〜３０−ｎと、スイッチ４０とを、ＩＰネットワークで接続する。

スイッチ４１−１とスイッチ４１−２は、IEEE802.1xの規格に準拠した認証機能を有している。そして、スイッチ４１−１は、端末２０−１〜２０−ｎのいずれかがネットワークシステム１０への接続を開始する際に、各種の端末認証情報（例えばユーザ名やパスワード、電子証明書など）を取得して認証の実行を可能にする。また、スイッチ４１−２は、端末３０−１〜３０−ｎのいずれかがネットワークシステム１０への接続を開始する際に、各種の端末認証情報を取得して認証の実行を可能にする。

なお、スイッチ４１−１、４１−２はそれぞれ、それら自身がＲＡＤＩＵＳ（Remote Authentication Dial In User Service）機能やＣＡ（Certification Authority）機能を有し、各端末２０−１〜２０−ｎ、３０−１〜３０−ｎからネットワークシステム１０への接続を許可するか否かの認証処理を実行してもよい。あるいは、スイッチ４１−１、４１−２そのものはＲＡＤＩＵＳ機能やＣＡ機能を備えずに、各スイッチ４１−１、４１−２とネットワーク接続された所定のサーバ装置との間で認証情報や認証結果通知情報を中継し、そのサーバ装置により接続が許可された場合に、ネットワークシステム１０への接続を可能にするものであってもよい。

また、スイッチ４１−１は、端末２０−１〜２０−ｎのいずれかがネットワークシステム１０への接続を開始する際に、端末２０−１〜２０−ｎのうちでネットワークシステム１０への接続を開始するものについての認証情報を、例えばＳＮＭＰ（Simple Network Management Protocol）のＴＲＡＰパケットを用いることなどにより、ネットワーク管理装置６０へと伝送する。スイッチ４１−２は、端末３０−１〜３０−ｎのいずれかがネットワークシステム１０への接続を開始する際に、端末３０−１〜３０−ｎのうちでネットワークシステム１０への接続を開始するものについての認証情報を、例えばＳＮＭＰのＴＲＡＰパケットを用いることなどにより、ネットワーク管理装置６０へと伝送する。

こうしたスイッチ４１−１やスイッチ４１−２からネットワーク管理装置６０へと伝送される認証情報は、例えば所定の端末特定情報や、認証結果（接続が許可されたか拒否されたか）を示す認証結果通知情報などを含んでいればよい。ここで、認証情報に含まれる端末特定情報は、例えば端末２０−１〜２０−ｎ、３０−１〜３０−ｎのうちでネットワークシステム１０への接続を要求した端末に付されたネットワークアドレス（例えばＩＰアドレスなど）を示す端末アドレス情報や、認証を行った端末についてのスイッチ４１−１またはスイッチ４１−２における接続位置を示す接続位置情報（例えばポート番号など）などから構成されるものであればよい。また、認証情報は、その認証に関与したスイッチ４１−１またはスイッチ４１−２に付されたネットワークアドレス（例えばＩＰアドレスなど）といった、スイッチ４１−１、４１−２のうちで認証情報の発信元となるものを特定可能に示す発信元情報を含んでいてもよい。

加えて、スイッチ４１−１には、ネットワークシステム１０に接続可能な各端末２０−１〜２０−ｎを管理するためのデータテーブルとして、例えば図２（Ａ）に示すような端末情報テーブル１５０Ａが記憶されている。図２（Ａ）に示す端末情報テーブル１５０Ａは、スイッチ４１−１が備える複数のポートをそれぞれ識別可能となるように付されたポート番号「１」〜「ｎ」と、各ポートに接続された端末２０−１〜２０−ｎに付されたネットワークアドレスの一例であるＩＰアドレスＩＰ１１〜ＩＰ１ｎとを、対応付ける設定データなどから構成されている。スイッチ４１−２には、ネットワークシステム１０に接続可能な各端末３０−１〜３０−ｎを管理するためのデータテーブルとして、例えば図２（Ｂ）に示すような端末情報テーブル１５０Ｂが記憶されている。図２（Ｂ）に示す端末情報テーブル１５０Ｂは、スイッチ４１−２が備える複数のポートをそれぞれ識別可能となるように付されたポート番号「１」〜「ｎ」と、各ポートに接続された端末３０−１〜３０−ｎに付されたネットワークアドレスの一例であるＩＰアドレスＩＰ２１〜ＩＰ２ｎとを、対応付ける設定データなどから構成されている。

さらに、スイッチ４１−１は、端末２０−１〜２０−ｎのいずれかがネットワークシステム１０への接続を終了する際に、未認証イベントの発生を示す未認証通知情報を作成し、例えばＳＮＭＰのＴＲＡＰパケットを用いることなどにより、ネットワーク管理装置６０へと伝送する。スイッチ４１−２は、端末３０−１〜３０−ｎのいずれかがネットワークシステム１０への接続を終了する際に、未認証イベントの発生を示す未認証通知情報を作成し、例えばＳＮＭＰのＴＲＡＰパケットを用いることなどにより、ネットワーク管理装置６０へと伝送する。こうしたスイッチ４１−１やスイッチ４１−２からネットワーク管理装置６０へと伝送される未認証通知情報は、例えば端末２０−１〜２０−ｎ、３０−１〜３０−ｎのうちでネットワークシステム１０への接続を終了する端末に付されたネットワークアドレス（例えばＩＰアドレスなど）を示す端末アドレス情報を含んでいればよい。

端末２０−１〜２０−ｎのいずれかがネットワークシステム１０への接続を終了する際には、スイッチ４１−１において、例えば図２（Ａ）に示すような端末情報テーブル１５０Ａのうちから、その端末に対応したテーブルデータを消去するといった、端末情報テーブル１５０Ａの更新が行われる。端末３０−１〜３０−ｎのいずれかがネットワークシステム１０への接続を終了する際には、スイッチ４１−２において、例えば図２（Ｂ）に示すような端末情報テーブル１５０Ｂのうちから、その端末に対応したテーブルデータを消去するといった、端末情報テーブル１５０Ｂの更新が行われる。

ＩＤＳ５０は、例えば所定のコンピュータ読み取りが可能なプログラム（ＩＤＳプログラム）をインストールした情報処理装置などを用いて構成され、スイッチ４０を介したネットワークシステム１０の外部からの不正アクセスや、ネットワークシステム１０の内部における不正なパケットを検知して、ネットワーク管理装置１０に通知するシステムである。例えば、ＩＤＳ５０は、スイッチ４０が備えるミラーポートに接続され、監視対象となるスイッチ４０を流れる（通過する）通信パケットについて、予め定められた攻撃の検出ルールとの照合を行うことで、コンピュータウィルスによる攻撃の検知や攻撃の傾向分析を可能にする。

ＩＤＳ５０によりコンピュータウィルスによる攻撃が検知された場合には、その攻撃元となる情報処理装置のＩＰアドレスが、例えばｓｙｓｌｏｇにおける転送情報やＳＮＭＰのＴＲＡＰパケットを用いることなどにより、攻撃検知情報としてネットワーク管理装置６０へと伝送される。

ネットワーク管理装置６０は、所定のコンピュータ読み取りが可能なプログラム（ネットワーク管理プログラム）をインストールした情報処理装置などを用いて構成される管理サーバである。そして、ネットワーク管理装置６０は、スイッチ４１−１、４１−２から伝送される認証情報ないしは未認証通知情報や、ＩＤＳ５０から伝送される攻撃検知情報などといった、各種の通知を受け取る機能を有している。また、ネットワーク管理装置６０は、ネットワークシステム１０を構成する各装置の接続情報を保持し、ネットワークシステム１０の構成を表示する機能も有している。

例えば、ネットワーク管理装置６０は、ＣＰＵ（Central Processing Memory）、ＲＡＭ（Random Access Memory）やＲＯＭ（Read Only Memory）及び補助記憶装置（例えば磁気ディスクドライブ、光ディスクドライブ、フラッシュメモリといった半導体集積回路メモリなど）、表示装置（例えば液晶ディスプレイ、あるいは、ＣＲＴモニターなど）を含んで構成され、ＣＰＵがＲＯＭやＲＡＭ、補助記憶装置などの記憶媒体に記憶されているコンピュータ読み取り可能なプログラムに従って、各種の処理を実行する。

図３は、ネットワーク管理装置６０における論理構成の一例を示す図である。図３に示す構成は、例えばネットワーク管理装置６０が備えるＣＰＵによって、ＲＯＭやＲＡＭ、補助記憶装置などの記憶媒体から所定の動作プログラムや設定データなどが読み出されて所定の処理が実行されることや、各種の記憶媒体が予め用意された所定の設定データを記憶することなどにより、実現できればよい。図３に示すネットワーク管理装置６０は、認証情報受取部１００、検知情報受取部１０１、位置特定情報作成部１０２、位置特定情報記憶部１０３、接続位置特定処理部１０４、特定結果出力処理部１０５を含んで構成されている。

認証情報受取部１００は、スイッチ４１−１やスイッチ４１−２から伝送される認証情報や未認証通知情報を受け取る。そして、受け取った認証情報に含まれる端末特定情報や未認証通知情報に含まれる端末アドレス情報を、位置特定情報作成部１０２に提供する。また、認証情報が発信元情報を含んでいる場合には、その発信元情報も位置特定情報作成部１０２に提供してもよい。あるいは、認証情報が発信元情報を含んでいない場合には、認証情報受取部１００がスイッチ４１−１、４１−２のうちで認証情報の発信元となったものを特定して、位置特定情報作成部１０２に通知するようにしてもよい。

検知情報受取部１０１は、ＩＤＳ５０から伝送される攻撃検知情報を受け取る。そして、受け取った攻撃検知情報を接続位置特定処理部１０４に提供することなどにより、端末２０−１〜２０−ｎ、３０−１〜３０−ｎのうちでＩＤＳ５０により攻撃元として検知されたものを通知する。

位置特定情報作成部１０２は、ネットワークシステム１０に接続可能な各端末２０−１〜２０−ｎ、３０−１〜３０−ｎについてのスイッチ４１−１、４１−２における接続位置を特定するための位置特定情報を作成する。例えば、位置特定情報作成部１０２は、認証情報受取部１００から提供された端末特定情報を、発信元情報や認証情報受取部１００から通知されたスイッチ４１−１、４１−２のいずれかを示す情報と対応付けることなどにより、図４に示すような位置特定データテーブル１６０を、位置特定情報として作成する。

図４に示す位置特定データテーブル１６０は、スイッチ４１−１及びスイッチ４１−２をそれぞれ識別可能とする装置名などを示すスイッチ情報「ＳＷ１」、「ＳＷ２」と、スイッチ４１−１及びスイッチ４１−２が備える複数のポートをそれぞれ識別可能となるように付されたポート番号「１」〜「ｎ」と、各ポートに接続された端末２０−１〜２０−ｎ、３０−１〜３０−ｎに付されたネットワークアドレスの一例であるＩＰアドレスＩＰ１１〜ＩＰ１ｎ、ＩＰ２１〜ＩＰ２ｎとを、対応付ける設定データなどから構成されている。

また、位置特定情報作成部１０２は、認証情報受取部１００から提供された未認証通知情報に含まれる端末アドレス情報を受け取ると、例えば位置特定データテーブル１６０のうちから、その端末アドレス情報で示される端末２０−１〜２０−ｎ、３０−１〜３０−ｎのいずれかに対応したテーブルデータを消去するといった、位置特定データテーブル１６０の更新を行う。

図３に示す位置特定情報記憶部１０３は、位置特定情報作成部１０２により作成された図４に示す位置特定データテーブル１６０のような、位置特定情報を記憶するためのものである。例えば、位置特定情報記憶部１０３は、ネットワーク管理装置６０が備える磁気ディスクドライブやフラッシュメモリなどといった、書換可能な不揮発性の記憶媒体を用いて構成されればよい。

接続位置特定処理部１０４は、位置特定情報記憶部１０３に記憶されている位置特定情報に基づいて、検知情報受取部１０１から通知されたネットワークアドレスに対応する端末２０−１〜２０−ｎ、３０−１〜３０−ｎのいずれかにつき、スイッチ４１−１またはスイッチ４１−２における接続位置を特定するための処理を実行する。例えば、接続位置特定処理部１０４は、検知情報受取部１０１から通知されたネットワークアドレスをキーとして位置特定情報記憶部１０３に記憶されている位置特定情報を検索し、スイッチ４１−１及びスイッチ４１−２のいずれかに対応したスイッチ情報と、ポート番号「１」〜「ｎ」のいずれかを特定する。接続位置特定処理部１０４により特定された接続位置は、特定結果出力処理部１０５に通知される。

特定結果出力処理部１０５は、接続位置特定処理部１０４から通知された接続位置を報知するための情報を出力する。例えば、特定結果出力処理部１０５は、接続位置特定処理部１０４から通知された接続位置に対応した画像データを作成し、ネットワーク管理装置６０が備える表示装置（例えば液晶ディスプレイ、あるいは、ＣＲＴモニターなど）に供給することで、接続位置を報知するための画像を表示させてもよい。または、特定結果出力処理部１０５は、接続位置特定処理部１０４から通知された接続位置に対応した音声データを作成し、ネットワーク管理装置６０が備える音声出力装置（例えばスピーカなど）に供給することで、接続位置を報知するための音声を出力させてもよい。あるいは、特定結果出力処理部１０５は、接続位置特定処理部１０４から通知された接続位置に対応した印刷データを作成し、ネットワーク管理装置６０が備える印刷装置（例えばプリンタ、あるいは、複合機など）に供給することで、接続位置を報知するための文字情報を出力（印刷）させてもよい。なお、接続位置を報知するための画像や音声、文字情報などといった各種の情報は、ネットワーク管理装置６０が備える所定の装置から出力されてもよいし、ネットワーク管理装置６０とは別個に設けられた所定の装置（例えばネットワークシステム１０に接続されたネットワークプリンタなど）から出力されてもよい。

次に、上記の構成を有するネットワークシステム１０における動作について説明する。まず、端末２０−１〜２０−ｎ、３０−１〜３０−ｎのいずれかがネットワークシステム１０への接続を開始する場合の動作を説明する。図５は、端末２０−１〜２０−ｎのいずれかがネットワークシステム１０への接続を開始する際に、スイッチ４１−１にて実行される接続開始時処理の一例を示すフローチャートである。

図５に示す接続開始時処理において、スイッチ４１−１は、端末２０−１〜２０−ｎのいずれかがネットワークシステム１０への接続を開始する際に、その端末から端末認証情報を取得する（ステップＳ１０）。そして、スイッチ４１−１が備えるIEEE802.1xの認証機能による認証が行われる（ステップＳ１１）。この後、端末２０−１〜２０−ｎのうちでネットワークシステム１０への接続を開始するものに付されたネットワークアドレスを取得することなどにより、図２（Ａ）に示すような端末情報テーブル１５０Ａを作成して記憶する（ステップＳ１２）。

ここで、スイッチ４１−１は、端末２０−１〜２０−ｎの認証結果としてネットワークシステム１０への接続が許可された端末に付されたネットワークアドレスを図２（Ａ）に示すような端末情報テーブル１５０Ａに登録する一方で、ネットワークシステム１０への接続が拒否された端末に付されたネットワークアドレスは端末情報テーブル１５０Ａに登録しないようにしてもよい。また、端末２０−１〜２０−ｎに付されるＩＰアドレスなどのネットワークアドレスは、例えば端末２０−１〜２０−ｎが独自に管理するものであってもよいし、ＤＨＣＰ（Dynamic Host Configration Protocol）サーバといったネットワークシステム１０に接続された端末２０−１〜２０−ｎとは異なる情報処理装置から各端末２０−１〜２０−ｎに対して付与されるものであってもよい。

また、スイッチ４１−１は、ステップＳ１１での認証結果に基づいて、端末特定情報などを含んだ認証情報を作成する（ステップＳ１３）。そして、ステップＳ１３にて作成した認証情報を、ネットワーク管理装置６０に対して発信してから（ステップＳ１４）、接続開始時処理を終了する。なお、ステップＳ１２の処理と、ステップＳ１３、Ｓ１４の処理は、並行して実行されてもよい。

スイッチ４１−２では、端末３０−１〜３０−ｎのいずれかがネットワークシステム１０への接続を開始する際に、図５に示す接続開始時処理と同様の処理が実行されればよい。

続いて、端末２０−１〜２０−ｎ、３０−１〜３０−ｎのいずれかがネットワークシステム１０への接続を終了する場合の動作を説明する。図６は、端末２０−１〜２０−ｎのいずれかがネットワークシステム１０への接続を終了する際に、スイッチ４１−１にて実行される接続終了時処理の一例を示すフローチャートである。

図６に示す接続終了時処理において、スイッチ４１−１は、端末２０−１〜２０−ｎのいずれかがネットワークシステム１０への接続を終了する際に、その端末からのログオフ要求などに基づいて、所定のログオフ設定を行い、その端末を未認証の状態に遷移させる（ステップＳ２０）。なお、ネットワークシステム１０に接続されている端末２０−１〜２０−ｎのいずれかが通信パケットの送受信を行わずに所定時間が経過した場合には、その端末からのログオフ要求などがなくても、ステップＳ２０の処理にてログオフ設定を行うようにしてもよい。

ステップＳ２０の処理を実行したことにより、例えばスイッチ４１−１が備えるIEEE802.1xの認証機能により端末２０−１〜２０−ｎのいずれかが未認証の状態となったことが検出されると、その端末に対応するテーブルデータを図２（Ａ）に示すような端末情報テーブル１５０Ａから消去することにより、端末情報テーブル１５０Ａの更新を行う（ステップＳ２１）。

また、スイッチ４１−１は、ステップＳ２０の処理により未認証の状態に遷移した端末を特定可能とする端末アドレス情報を含んだ未認証通知情報を作成する（ステップＳ２２）。そして、ステップＳ２２にて作成した未認証通知情報を、ネットワーク管理装置６０に対して発信してから（ステップＳ２３）、接続終了時処理を終了する。なお、ステップＳ２１の処理と、ステップＳ２２、Ｓ２３の処理は、並行して実行されてもよい。

スイッチ４１−２では、端末３０−１〜３０−ｎのいずれかがネットワークシステム１０への接続を終了する際に、図６に示す接続終了時処理と同様の処理が実行されればよい。

ＩＤＳ５０では、所定のＩＤＳプログラムが実行され、監視対象となるスイッチ４０を流れる通信パケットについて、所定の検出ルールに基づく監視を行う。そして、スイッチ４０を流れる通信パケットと、予め定められたコンピュータウィルスによる攻撃の検出ルールとを照合した結果から、コンピュータウィルスによる攻撃が検知された場合には、その通信パケットから送信元を示すネットワークアドレスを読み取ることなどにより、攻撃検知情報を作成する。こうしてＩＤＳ５０により作成された攻撃検知情報は、ネットワーク管理装置６０へと伝送される。

図７は、ネットワーク管理装置６０により実行される管理処理の一例を示すフローチャートである。図７に示す管理処理は、例えばネットワーク管理装置６０が備えるＣＰＵが、ＲＯＭやＲＡＭ、あるいは補助記憶装置といった記憶媒体に記憶されている所定のネットワーク管理プログラムを読み出すことにより実行されるものであればよい。

図７に示す管理処理では、まず、認証情報受取部１００や検知情報受取部１０１にて、スイッチ４１−１、４１−２やＩＤＳ５０から伝送された情報の受取りがあるか否かを判定する（ステップＳ３０）。このとき、情報の受取りがなければ（ステップＳ３０；Ｎｏ）、ステップＳ３０の処理を繰り返し実行して待機する。

ステップＳ３０にて情報の受取りがある場合には（ステップＳ３０；Ｙｅｓ）、受け取った情報がスイッチ４１−１、４１−２のいずれかから伝送された認証情報であるか否かを判定する（ステップＳ３１）。このとき、受け取った情報が認証情報であると判定された場合には（ステップＳ３１；Ｙｅｓ）、位置特定情報作成部１０２により、位置特定情報となる位置特定データテーブル１６０の作成が行われる（ステップＳ３２）。

例えば、ステップＳ３２の処理では、認証情報受取部１００により受け取った認証情報に含まれる端末特定情報や発信元情報が、位置特定情報作成部１０２に提供される。なお、認証情報が発信元情報を含んでいない場合には、スイッチ４１−１、４１−２のうちで認証情報の発信元として認証情報受取部１００により特定されたものが、位置特定情報作成部１０２に通知されてもよい。位置特定情報作成部１０２は、認証情報受取部１００から提供された端末特定情報を、発信元情報や認証情報受取部１００から通知されたスイッチ４１−１、４１−２のいずれかを示す情報と対応付けることなどにより、図４に示すような位置特定データテーブル１６０を作成する。

ステップＳ３２にて作成した位置特定データテーブル１６０は、例えば位置特定情報作成部１０２によって、位置特定情報記憶部１０３に位置特定情報として記憶される（ステップＳ３３）。ステップＳ３３の処理を実行した後には、ステップＳ３０の処理に戻る。

また、ステップＳ３１にて受け取った情報が認証情報ではないと判定された場合には（ステップＳ３１；Ｎｏ）、その情報はスイッチ４１−１、４１−２のいずれかから伝送された未認証通知情報であるか否かを判定する（ステップＳ３４）。このとき、受け取った情報が未認証通知情報であると判定された場合には（ステップＳ３４；Ｙｅｓ）、位置特定情報作成部１０２により、位置特定情報となる位置特定データテーブル１６０の更新が行われる（ステップＳ３５）。

例えば、ステップＳ３５の処理では、認証情報受取部１００により受け取った未認証通知情報に含まれる端末アドレス情報が、位置特定情報作成部１０２に提供される。位置特定情報作成部１０２は、認証情報受取部１００から提供された端末アドレス情報で示される端末２０−１〜２０−ｎ、３０−１〜３０−ｎのいずれかに対応したテーブルデータを、位置特定データテーブル１６０から消去することなどにより、位置特定データテーブル１６０を更新する。このようなステップＳ３５の処理を実行した後には、ステップＳ３０の処理に戻る。

ステップＳ３４にて受け取った情報が未認証通知情報ではないと判定された場合には（ステップＳ３４；Ｎｏ）、その情報はＩＤＳ５０から伝送された攻撃検知情報であるか否かを判定する（ステップＳ３６）。このとき、受け取った情報が攻撃検知情報ではないと判定された場合には（ステップＳ３６；Ｎｏ）、受け取った情報に応じた処理を実行した後（ステップＳ３７）、ステップＳ３０の処理に戻る。

これに対して、受け取った情報が攻撃検知情報であると判定された場合には（ステップＳ３６；Ｙｅｓ）、その攻撃検知情報や、位置特定情報記憶部１０３に記憶されている位置特定情報としての位置特定データテーブル１６０に基づいて、攻撃元となった端末の接続位置を特定する（ステップＳ３８）。

例えば、ステップＳ３８の処理では、検知情報受取部１０１により受け取った攻撃検知情報を接続位置特定処理部１０４に提供することにより、端末２０−１〜２０−ｎ、３０−１〜３０−ｎのうちでＩＤＳ５０により攻撃元として検知されたものに付されたネットワークアドレスが接続位置特定処理部１０４に通知される。接続位置特定処理部１０４は、検知情報受取部１０１から攻撃検知情報の提供を受けると、その攻撃検知情報により通知されたネットワークアドレスをキーとして、位置特定情報記憶部１０３に記憶されている位置特定情報を検索する。この検索により、スイッチ４１−１及びスイッチ４１−２のいずれかに対応したスイッチ情報と、ポート番号「１」〜「ｎ」のいずれかとを、端末の接続位置として特定する。

このようなステップＳ３８の処理に続いて、ステップＳ３８にて特定した端末の接続位置を報知するための情報出力を行う（ステップＳ３９）。例えば、ステップＳ３９の処理では、接続位置特定処理部１０４によりステップＳ３８にて特定された端末の接続位置が、特定結果出力処理部１０５に通知される。特定結果出力処理部１０５は、接続位置特定処理部１０４から通知された接続位置を報知するための情報作成を行い、作成した情報を所定の出力装置から出力させる。具体的な一例として、特定結果出力処理部１０５は、図８に示すような警告画像を作成して、ネットワーク管理装置６０が備える表示装置の表示領域内に表示させる。これにより、端末２０−１〜２０−ｎ、３０−１〜３０−ｎのうちでＩＤＳ５０により攻撃元として検知されたものの接続位置となるスイッチ４１−１、４１−２のいずれかや、そのポート番号などが、管理者等により特定可能に出力されることになる。

また、端末２０−１〜２０−ｎが接続されるスイッチ４１−１の設置場所を示す情報や、端末３０−１〜３０−ｎが接続されるスイッチ４１−２の設置場所を示す情報を、予めネットワーク管理装置６０に格納して用意しておき、ステップＳ３９にて出力される端末の接続位置を報知するための情報に、その端末が接続されたスイッチ４１−１やスイッチ４１−２の設置場所を報知するための情報を含めて出力するようにしてもよい。

以上説明したようなネットワークシステム１０では、ＩＤＳ５０にてコンピュータウィルスによる攻撃が検知された場合に、ネットワーク管理装置６０へと伝送される攻撃検知情報や、位置特定情報記憶部１０３に記憶されている位置特定情報としての位置特定データテーブル１６０に基づいて、攻撃元となった端末の接続位置を特定し、特定された接続位置を報知するための情報を出力することができる。これにより、ネットワークシステム１０に接続される端末２０−１〜２０−ｎ、３０−１〜３０−ｎのいずれかがコンピュータウィルスに感染した場合に、その端末の所在位置を短時間のうちに特定することができ、二次感染の可能性を低減することができる。

この発明は、上記実施の形態に限定されず、様々な変形や応用が可能である。例えば、前述したネットワークシステム１０の構成やフローチャートは一例であり、任意に変更及び修正が可能である。図９は、ネットワークシステム１０の他の構成例を示すブロック図である。

図９に示すネットワークシステム１０は、図１に示したネットワークシステム１０が備える各構成の他に、複数の端末８０−１〜８０−ｎと、スイッチ９０、４１−３とを備えて構成されている。

複数の端末８０−１〜８０−ｎはそれぞれ、端末２０−１〜２０−ｎ、３０−１〜３０−ｎと同様に、例えばパーソナルコンピュータやワークステーション、ＰＤＡ（Personal Digital Assistants）といった、ネットワーク通信機能を備えた情報処理端末であればよい。各端末８０−１〜８０−ｎは、ネットワークシステム１０への接続時に認証が行われ、その認証によりネットワーク接続が許可された場合に、他の端末やネットワークシステム１０に接続されたその他の情報処理装置との間で、情報通信を行うことができる。

スイッチ９０、４１−３はそれぞれ、スイッチ４０、４１−１及び４１−２と同様に、ネットワークシステム１０における通信データの転送を可能にする通信装置である。図９に示すネットワークシステム１０では、スイッチ４０が、スイッチ９０と、スイッチ４１−２と、ＩＤＳ５０と、ネットワーク管理装置６０とを、ＩＰネットワークで接続する。また、スイッチ９０は、スイッチ４０と、スイッチ４１−１と、スイッチ４１−３とを、ＩＰネットワークで接続する。図９に示すネットワークシステム１０では、スイッチ４１−１が、端末２０−１〜２０−ｎと、スイッチ９０とを、ＩＰネットワークで接続し、スイッチ４１−２は、端末３０−１〜３０−ｎと、スイッチ４０とを、ＩＰネットワークで接続する。スイッチ４１−３は、端末８０−１〜８０−ｎと、スイッチ９０とを、ＩＰネットワークで接続する。

スイッチ４１−３は、スイッチ４１−１やスイッチ４１−２と同様に、IEEE802.1xの規格に準拠した認証機能を有している。そして、スイッチ４１−３は、端末８０−１〜８０−ｎのいずれかがネットワークシステム１０への接続を開始する際に、各種の端末認証情報を取得して認証の実行を可能にする。また、スイッチ４１−３は、スイッチ４１−１やスイッチ４１−２と同様に、認証情報や未認証通知情報を作成して、例えばＳＮＭＰのＴＲＡＰパケットを用いることなどにより、ネットワーク管理装置６０へと伝送する。加えて、スイッチ４１−３は、スイッチ４１−１やスイッチ４１−２と同様に、ネットワークシステム１０に接続可能な各端末２０−１〜２０−ｎを管理するためのデータテーブルとなる端末情報テーブルを記憶する。端末８０−１〜８０−ｎのいずれかがネットワークシステム１０への接続を終了する際には、スイッチ４１−３において、端末情報テーブルのうちから、その端末に対応したテーブルデータを消去するといった、端末情報テーブルの更新が行われる。

図９に示すネットワークシステム１０では、ネットワーク管理装置６０がスイッチ４１−１やスイッチ４１−２の他に、スイッチ４１−３から伝送される認証情報ないしは未認証通知情報などといった、各種の通知を受け取る機能を有している。また、ネットワーク管理装置６０では、例えば位置特定情報作成部１０２が、認証情報受取部１００から提供された端末特定情報を、発信元情報や認証情報受取部１００から通知されたスイッチ４１−１、４１−２、４１−３のいずれかを示す情報と対応付けることなどにより、図１０に示すような位置特定データテーブル１７０を、位置特定情報として作成する。

このような図９に示すネットワークシステム１０の構成において、スイッチ４１−１では、端末２０−１〜２０−ｎのいずれかがネットワークシステム１０への接続を開始する際に、図５に示す接続開始時処理と同様の処理が実行されればよい。スイッチ４１−２では、端末３０−１〜３０−ｎのいずれかがネットワークシステム１０への接続を開始する際に、図５に示す接続開始時処理と同様の処理が実行されればよい。スイッチ４１−３では、端末８０−１〜８０−ｎのいずれかがネットワークシステム１０への接続を開始する際に、図５に示す接続開始時処理と同様の処理が実行されればよい。

また、図９に示すネットワークシステム１０の構成において、スイッチ４１−１では、端末２０−１〜２０−ｎのいずれかがネットワークシステム１０への接続を終了する際に、図６に示す接続終了時処理と同様の処理が実行されればよい。スイッチ４１−２では、端末３０−１〜３０−ｎのいずれかがネットワークシステム１０への接続を終了する際に、図６に示す接続終了時処理と同様の処理が実行されればよい。スイッチ４１−３では、端末８０−１〜８０−ｎのいずれかがネットワークシステム１０への接続を終了する際に、図６に示す接続終了時処理と同様の処理が実行されればよい。

ＩＤＳ５０では、図１に示すネットワークシステム１０における場合と同様に、所定のＩＤＳプログラムが実行され、監視対象となるスイッチ４０を流れる通信パケットについて、所定の検出ルールに基づく監視を行う。そして、スイッチ４０を流れる通信パケットと、予め定められたコンピュータウィルスによる攻撃の検出ルールとを照合した結果から、コンピュータウィルスによる攻撃が検知された場合には、その通信パケットから送信元を示すネットワークアドレスを読み取ることなどにより、攻撃検知情報を作成する。こうしてＩＤＳ５０により作成された攻撃検知情報は、ネットワーク管理装置６０へと伝送される。

図９に示すネットワークシステム１０の構成において、ネットワーク管理装置６０は、図７に示す管理処理と同様の処理を実行する。そして、ＩＤＳ５０にてコンピュータウィルスによる攻撃が検知された場合には、ネットワーク管理装置６０へと伝送される攻撃検知情報や、位置特定情報記憶部１０３に記憶されている位置特定情報としての位置特定データテーブル１７０に基づいて、攻撃元となった端末の接続位置を特定し、特定された接続位置を報知するための情報を出力することができる。これにより、ネットワークシステム１０に接続される端末２０−１〜２０−ｎ、３０−１〜３０−ｎ、８０−１〜８０−ｎのいずれかがコンピュータウィルスに感染した場合に、その端末の所在位置を短時間のうちに特定することができ、二次感染の可能性を低減することができる。

また、上記実施の形態では、ＩＤＳ５０がスイッチ４０を監視対象とするものとして説明したが、本発明はこれに限定されるものではない。例えば、ＩＤＳ５０は、ファイアウォールを提供するゲートウェイ装置として機能する情報処理装置や、ＷＥＢサーバやメールサーバといったサーバ装置として機能する情報処理装置、ルータと称される通信機器といった、末端側にて端末２０−１〜２０−ｎ、３０−１〜３０−ｎなどの情報処理装置がネットワークシステム１０へと接続可能とされる通信装置であって、ネットワークシステム１０を流れる通信パケットの伝送が行われる任意の通信装置であればよい。

ネットワーク管理装置６０などから構成されるネットワークシステム１０におけるネットワーク管理を行う中心となる部分は、専用のシステムによらず、通常のコンピュータシステムを用いて実現可能である。例えば図７のフローチャートに示すような管理処理を実行するためのコンピュータプログラムを、コンピュータが読み取り可能な記憶媒体（例えばＩＣメモリ、磁気記録ディスク、磁気記録カード、光学式記録ディスク、光学式記録カード、光磁気記録ディスク、光磁気記録カードなど）に格納して配布し、当該コンピュータプログラムをコンピュータにインストールすることにより、この管理処理を実行するネットワーク管理装置６０を構成してもよい。また、インターネット等の通信ネットワーク上のサーバ装置が有する記憶装置に当該コンピュータプログラムを格納しておき、通常のコンピュータシステムがダウンロード等することでネットワーク管理装置６０を構成してもよい。

また、ネットワーク管理装置６０の機能を、ＯＳ（オペレーティングシステム）とアプリケーションプログラムの分担、またはＯＳとアプリケーションプログラムとの協働により実現する場合などには、アプリケーションプログラム部分のみを記憶媒体や記憶装置に格納してもよい。

さらに、搬送波にコンピュータプログラムを重畳し、通信ネットワークを介して配信することも可能である。たとえば、通信ネットワーク上の掲示板(BBS, Bulletin Board System)に前述のコンピュータプログラムを掲示し、ネットワークを介して前述のコンピュータプログラムを配信してもよい。そして、このコンピュータプログラムを起動し、ＯＳの制御下で、他のアプリケーションプログラムと同様に実行することにより、前述の処理を実行できるように構成してもよい。

本発明の実施形態に係るネットワークシステムの一構成例を示すブロック図である。 端末情報テーブルの構成例を示す図である。 ネットワーク管理装置の論理構成を例示するブロック図である。 位置特定データテーブルの構成例を示す図である。 接続開始時処理の一例を示すフローチャートである。 接続終了時処理の一例を示すフローチャートである。 管理処理の一例を示すフローチャートである。 警告画像の一例を示す図である。 ネットワークシステムの他の構成例を示すブロック図である。 位置特定データテーブルの他の構成例を示す図である。

符号の説明

１０ … ネットワークシステム
２０−１〜２０−ｎ、３０−１〜３０−ｎ、８０−１〜８０−ｎ
… 端末
４０、４１−１〜４１−３ … スイッチ
５０ … ＩＤＳ
６０ … ネットワーク管理装置
１００ … 認証情報受取部
１０１ … 検知情報受取部
１０２ … 位置特定情報作成部
１０３ … 位置特定情報記憶部
１０４ … 接続位置特定処理部
１０５ … 特定結果出力処理部
１５０Ａ、１５０Ｂ … 端末情報テーブル
１６０、１７０ … 位置特定データテーブル

Claims (7)

1. 情報通信端末を電気通信ネットワークに接続可能とする端末接続装置と、
   前記電気通信ネットワークを介して前記端末接続装置に接続されたネットワーク管理装置と、
   前記電気通信ネットワークに接続された通信装置を流れる通信パケットについて、所定の検出ルールに基づく監視を行う通信監視装置とを備え、
   前記ネットワーク管理装置は、
   前記電気通信ネットワークへの接続が許可された情報通信端末についての前記端末接続装置における接続位置と、当該情報通信端末に付されたネットワークアドレスとを示す端末特定情報を、前記端末接続装置から受け取る端末特定情報受取手段と、
   前記端末特定情報受取手段により受け取った端末特定情報を記憶可能な情報記憶手段と、
   前記通信監視装置により検知された通信パケットの送信元に対応するネットワークアドレスを示す検知情報を、前記通信監視装置から受け取る検知情報受取手段と、
   前記検知情報受取手段により受け取った検知情報に示されるネットワークアドレスに対応する前記情報通信端末の接続位置を、前記情報記憶手段に記憶されている端末特定情報に基づいて特定する接続位置特定手段と、
   前記接続位置特定手段により特定された前記情報通信端末の接続位置を報知するための特定結果情報を出力する特定結果情報出力手段とを備える、
   ことを特徴とするネットワークシステム。
2. 前記情報記憶手段は、前記端末特定情報受取手段により受け取った端末特定情報の発信元となる端末接続装置と、前記情報通信端末の接続位置及びネットワークアドレスとを対応付けたデータテーブルを、接続位置特定情報として記憶し、
   前記接続位置特定手段は、検知情報に示されるネットワークアドレスに対応する前記情報通信端末の接続位置と前記端末接続装置を、前記情報記憶手段に記憶されている接続位置特定情報に基づいて特定し、
   前記特定結果情報出力手段は、前記接続位置特定手段により特定された前記情報通信端末の接続位置とともに前記端末接続装置を報知するための情報を出力する、
   ことを特徴とする請求項１に記載のネットワークシステム。
3. 前記通信監視装置が通信パケットの監視を行う際の検出ルールは、コンピュータウィルスによる攻撃を検知するための検出ルールである、
   ことを特徴とする請求項１または２に記載のネットワークシステム。
4. 所定の端末接続装置から伝送される端末特定情報として、所定の電気通信ネットワークへの接続が許可された情報通信端末についての当該端末接続装置における接続位置と、当該情報通信端末に付されたネットワークアドレスとを示す情報を受け取る端末特定情報受取手段と、
   前記端末特定情報受取手段により受け取った端末特定情報を記憶可能な情報記憶手段と、
   所定の通信監視装置から伝送される検知情報として、当該通信監視装置が所定の検出ルールに基づいて検知した前記端末接続装置を流れる通信パケットの送信元に対応するネットワークアドレスを示す情報を受け取る検知情報受取手段と、
   前記検知情報受取手段により受け取った検知情報に示されるネットワークアドレスに対応する情報通信端末の接続位置を、前記情報記憶手段に記憶されている端末特定情報に基づいて特定する接続位置特定手段と、
   前記接続位置特定手段により特定された情報通信端末の接続位置を報知するための特定結果情報を出力する特定結果情報出力手段とを備える、
   ことを特徴とするネットワーク管理装置。
5. 前記情報記憶手段は、前記端末特定情報受取手段により受け取った端末特定情報の発信元となる端末接続装置と、当該端末接続装置における情報通信端末の接続位置及び情報通信端末に付されたネットワークアドレスとを対応付けたデータテーブルを、接続位置特定情報として記憶し、
   前記接続位置特定手段は、検知情報に示されるネットワークアドレスに対応する情報通信端末の接続位置と端末接続装置を、前記情報記憶手段に記憶されている接続位置特定情報に基づいて特定し、
   前記特定結果情報出力手段は、前記接続位置特定手段により特定された情報通信端末の接続位置とともに端末接続装置を報知するための情報を出力する、
   ことを特徴とする請求項４に記載のネットワーク管理装置。
6. 所定の端末接続装置及び通信監視装置から伝送される情報を電気通信ネットワークを介して受け取るコンピュータによるネットワーク管理方法であって、
   前記端末接続装置から伝送される端末特定情報として、前記電気通信ネットワークへの接続が許可された情報通信端末についての当該端末接続装置における接続位置と、当該情報通信端末に付されたネットワークアドレスとを示す情報を受け取る端末特定情報受取ステップと、
   前記端末特定情報受取ステップにて受け取った端末特定情報を所定の記憶手段に記憶させる情報記憶ステップと、
   前記通信監視装置から伝送される検知情報として、当該通信監視装置が所定の検出ルールに基づいて検知した前記端末接続装置を流れる通信パケットの送信元に対応するネットワークアドレスを示す情報を受け取る検知情報受取ステップと、
   前記検知情報受取ステップにて受け取った検知情報に示されるネットワークアドレスに対応する情報通信端末の接続位置を、前記記憶手段に記憶されている端末特定情報に基づいて特定する接続位置特定ステップと、
   前記接続位置特定ステップにて特定した情報通信端末の接続位置を報知するための特定結果情報を出力する特定結果情報出力ステップとを備える、
   ことを特徴とするネットワーク管理方法。
7. コンピュータを、
   所定の端末接続装置から伝送される端末特定情報として、所定の電気通信ネットワークへの接続が許可された情報通信端末についての当該端末接続装置における接続位置と、当該情報通信端末に付されたネットワークアドレスとを示す情報を受け取る端末特定情報受取手段と、
   前記端末特定情報受取手段により受け取った端末特定情報を記憶可能な情報記憶手段と、
   所定の通信監視装置から伝送される検知情報として、当該通信監視装置が所定の検出ルールに基づいて検知した前記端末接続装置を流れる通信パケットの送信元に対応するネットワークアドレスを示す情報を受け取る検知情報受取手段と、
   前記検知情報受取手段により受け取った検知情報に示されるネットワークアドレスに対応する情報通信端末の接続位置を、前記情報記憶手段に記憶されている端末特定情報に基づいて特定する接続位置特定手段と、
   前記接続位置特定手段により特定された情報通信端末の接続位置を報知するための特定結果情報を出力する特定結果情報出力手段、
   として機能させるためのプログラム。
   

Images