JP6518795B2 - 計算機システム及びその制御方法 - Google Patents

Description

本発明は計算機システムに係り、詳しくは、所定の業務を実行可能な業務計算機と、当該業務計算機を管理する管理計算機とを備える計算機システムに関し、さらに、その制御方法に関する。

近年、情報化社会の拡大や発展に伴って、計算機システムが数多く存在する。そして、多くの計算機システムは、インターネット等の通信網によって互いに接続され、互いに連携して情報の交換や情報処理を行っている。

この種の計算機システムは、サイバー攻撃等と称される情報攻撃に晒されおり、その傾向は益々酷くなっている。そこで、計算機システムは、コンピュータウィルスやＤｏｓ攻撃（Denial of Service attack）等の不正、又は、悪意のアクセスに対する防衛機構を備えている。コンピュータウィルスに対するアンチウィルスソフトウェアはその一例である。そして、計算機システムは、不正イベントの拡散、伝播を防止できるようにも構成されている。

例えば、特開平１１−７３３８４号公報には、ネットワークに接続されたコンピュータ等情報処理装置にて、ネットワークとの論理的な接続および非接続状態を動的に変更することでコンピュータウィルスのネットワーク伝搬を防止することを可能にする情報処理装置の提供を目的として、ネットワーク分離プログラムによりネットワーク接続機構に対して動的に、ネットワーク接続および非接続命令を発行し、ネットワークとの接続および非接続を実現し、オペレーティングシステムやウィルスチェックプログラムに対して制御信号を伝達することで、ウィルスチェック処理の実行中は、情報処理装置を疑似的にスタンドアローン状態に設定して、ウィルスチェック処理中のウィルスによるネットワーク拡散を防止することが開示されている。

そして、特開２００７−２６５０２３号公報には、コンピュータウイルスのネットワーク上への拡散を確実に防止することを目的として、ネットワークデバイスを備え、このネットワークデバイスを介してネットワークに接続される情報処理装置であって、ネットワークとの切断を指示する切断指示信号に基づいて、ネットワークデバイスの機能を停止させる停止処理部と、切断指示信号に基づいて、ネットワークデバイスに対して、その機能を無効化するとともに特定権限者のみが解除することができるロック状態を設定する設定部とを備えることが開示されている。

特開平１１−７３３８４号公報 特開２００７−２６５０２３号公報

しかしながら、既述の先行技術のように、不正アクセスを受けた計算機をネットワークから切り離しても、不正アクセスが計算機システムに拡散する可能性を排除できなかった。そこで、本発明は、不正アクセスから計算機システムを確実に防衛することを目的とする。

前記目的を達成するために、本発明は、夫々が所定の業務を実行可能な複数の業務計算機と、前記複数の業務計算機を夫々管理する管理計算機と、を備える計算機システムであって、前記複数の業務計算機の夫々は、オペレーティングシステムを実行するコントローラと、計算機ハードウェアを管理するための管理プロセッサと、を備え、前記コントローラは、所定イベントを監視する監視プログラムを実行し、前記管理プロセッサは、前記管理計算機に接続されるためのポートを介して、検知されたイベントの情報を前記管理計算機に送信する、計算機システムである。

さらに、第２の発明は、オペレーティングシステムを実行するコントローラを備える計算機が、当該コントローラによってコンピュータウィルスの感染を含むイベントを監視しがら業務を実行し、前記イベントが検出された場合には、当該イベントの情報を、前記計算機の計算機ハードウェア管理のための専用プロセッサを介して、管理計算機に送信する計算機制御方法である。

以上説明したように、本発明によれば、不正アクセスから計算機システムを確実に防衛することができる。

計算機システムのハードウェアの一例を示すブロック図である。 サーバ１（２,３）のハードウェア構成の一例である。 サーバの機能ブロック図である。 サーバのポート構成の一例を示すテーブルである。 ＩＰＭＩコマンドの一例である。 発生イベントをパラメータに変換するテーブルの一例である。 管理計算機の機能ブロックの一例の図である。 発生したイベントに対して、サーバのネットワーク構成の変更をどのように実行されるべきかを示すイベント対応テーブルの一例である。 管理計算機の管理対象を管理するテーブルの一例である。 スイッチの構成を管理するスイッチ管理対象テーブルの一例である。 図１０のスイッチの構成を示したブロック図である。 スイッチの構成を管理するスイッチ管理対象テーブルの他の例である。 図１２のスイッチの構成を示したブロック図である。 スイッチの構成を管理するスイッチ管理対象テーブルのさらに他の例である。 図１４のスイッチの構成を示したブロック図である。 図１５のスイッチ構成を変更したスイッチ管理対象テーブルである。 サーバのオペレーティングシステムがコンピュータウィルスに感染してから、当該オペレーティングシステムがネットワークから隔離されるまでのフローチャートである。 図１７に続くフローチャートである。 仮想化されたサーバの機能ブロック図である。

次に、本発明の実施形態について説明する。先ず、図１に計算機システムのハードウェアの概略を示す。計算機システムは、複数のサーバ（１,２,３）と、管理計算機１０とを備えている。複数のサーバ夫々は、クライアント計算機に対して所定の業務を実行する。

管理計算機１０は、管理用の通信経路（管理ＬＡＮ）１２を介して複数のサーバ夫々に接続している。複数のサーバはスイッチ１８を介して複数の外部通信経路に接続している。符号１４は外部ＬＡＮ１を示し、符号１６は、外部ＬＡＮ２を示す。スイッチ１８は、複数の外部通信経路を複数のサーバに対してルーティングする。

符号１８Ａはスイッチ１８の業務ＬＡＮ２（１６）との外部接続ポートであり、符号１８Ｄはスイッチ１８の業務ＬＡＮ１（１４）との外部接続ポートである。スイッチ１８のポート１８Ｂはサーバ１の内部ポート１Ａに接続し、スイッチ１８のポート１８Ｆはサーバ２の内部ポート２Ａに接続し、スイッチ１８のポート１８Ｅはサーバ３の内部ポート３Ａに接続する。

管理計算機１０のポート１０Ａは、スイッチ１８の管理ポート１８Ｃに接続し、ポート１０Ｂは管理ＬＡＮ１２によって、サーバ１の管理ポート１Ｂに、サーバ２の管理ポート２Ｂ、サーバ３の管理ポート３Ｂに夫々接続する。

管理計算機１０のハードウェア資源とソフトウェア資源は、複数のサーバ１〜３とスイッチ１８の構成の設定、その運用を管理するための管理ツールを実現する。管理計算機１０によるサーバ及びスイッチの管理には、サーバ及びスイッチのポート閉塞又は開放、複数のサーバ間の接続関係の変更、スイッチのルーティングの変更等が含まれる。サーバ１〜３の夫々はオペレーティングシステムを稼働させて所定の業務を遂行するとともに、オペレーティングシステム（ＯＳ）に、コンピュータウィルス等の不正アクセスの発生等所定のイベントを監視する監視エージェント（１ａｇ、２ａｇ、３ａｇ）を稼働させて、サーバを情報攻撃から防御している。

サーバのオペレーティングシステムとして、系統によって複数存在し、例えば、Windows Server、Unix系ＯＳのＳｏｌａｒｉｓが知られている。サーバは、ファイルサーバ、データベースサーバ、メールサーバ、Webサーバ等のいずれでもよい。

例えば、サーバ１の監視エージェント１ａｇが不正イベントとしてコンピュータウィルスを検知すると、監視エージェント１ａｇはスイッチ１８側の内部ポート１Ａと管理ＬＡＮ１２の内部ポート１Ｂとを閉塞して、サーバ１を計算機システムから隔離させて、コンピュータウィルスが他のサーバ２、３や管理計算機１０に伝播、拡散しないようにさせている。

サーバ１のオペレーティングシステムが不正イベントを検知すると、計算機システムに不正イベントが拡散しないように、管理計算機１０に不正イベントの検知を通知することすら行うことなく、サーバ１の業務ポート１Ａ及び管理ポート１Ｂを直ちに閉塞する。

ところで、管理計算機１０は、サーバ１の隔離がサーバに対する不正イベントに起因することを自ら判定すると、計算機システムの全てのサーバを隔離することによって不正イベントの拡散を防ぎ、そして、不正イベントの侵入経路となった、スイッチの外部ポートを閉塞することによって不正イベントの更なる影響を防ぐようにしている。

しかしながら、管理計算機１０が拡散経路や感染経路の切断迄にタイムラグが僅かでもあると、不正イベントが計算機システムに蔓延する虞があるし、一方、不正イベントの影響がない正常サーバまで隔離されると業務を一切継続できなくなる。

そこで、計算機システムでは、不正イベントに影響されたサーバ１が、オペレーティングシステムを介することなく、不正イベントの検知を管理計算機１０に通知できればよい。このようにすれば、管理計算機１０は、自身が不正イベントに影響されることなく、サーバから不正イベントの発生の通知を受けることができる。オペレーティングシステムを介することなく、サーバから不正イベントを管理計算機１０に通知することは、例えば、サーバのシステム管理プロセッサを活用することによって可能になる。

システム管理プロセッサはベースボード上に実装されるものであり、例えば、インテルアーキテクスチャ系のＣＰＵマシンに搭載されるものとして、ＢＭＣ（Baseboard Management Controller）とＩＳＭＰ（Integrated Systems Management Processors）知られている。システム管理プロセッサは、サーバのＣＰＵ、オペレーティングシステムに依存しない、独立の専用のプロセッサとして、サーバのＣＰＵ、バス、ファン、温度センサ、電圧、などのハードウェアンポーネントを監視して、監視情報を管理計算機に送信することができる。

そして、システム管理プロセッサは、特定のハードウェアシステムやオペレーティングシステムに依存しない専用のインタフェースである、例えば、ＩＰＭＩ（Intelligent Platform Management Interface）に従って運用される。現在のＩＰＭＩとして、バージョン Ｖ２．０が提供されている。不正イベントがオペレーティングシステムからシステム管理プロセッサに通知されても、この通知がＩＰＭＩ等の専用インタフェースに基づくことによって、不正イベントが通知に入り込むおそれはないと云える。

以後の説明として、システム管理プロセッサとしてＢＭＣを利用する。ＢＭＣは、サーバハードウェアを監視し、そのステイタスをＩＰＭＩに従ってメッセージ化して管理する。ＩＰＭＩは、メッセージイベントを送受信するためのインタフェースであり、ＩＰＭＩの仕様に基づいたアクセスによって、サーバのＢＭＣはＩＰＭＩメッセージを管理計算機に送信することができる。

ＩＰＭＩの仕様に依拠したコマンドを利用して、オペレーティングシステムはＢＭＣにアクセスして、所定の情報を通知することが可能になる。ＩＰＭＩコマンドには、ユーザに開放された領域（ＯＥＭ領域）があり、不正イベントの監視システム（監視エージェント）は、ＯＥＭ領域に所定の情報、特に、不正イベントの検知、不正イベントの侵入経路を設定することができる。ＩＰＭＩコマンドはオペレーティングシステムに依存しないために、ＩＰＭＩコマンドにコンピュータウィルスが侵入することはないといえる。

ＢＭＣは、ＩＰＭＩコマンドに基づいて、不正イベント（コンピュータウィルス）を判定し、これをＢＭＣの管理ポートから管理ＬＡＮ１２を介して管理計算機に出力することができる。サーバ１は、内部ポート１Ａ，１Ｂを閉塞しながら、不正イベントの検知をＢＭＣのポートから管理計算機１０に出力するために、管理計算機１０はサーバ１に不正イベントが発生したことをいち早く知ることが出来る。

次に、計算機システムの詳細を説明する。図２は、サーバ１（２,３）のハードウェア構成の一例である。サーバは、オペレーティングシステムに基づいて所定の業務を実現するための演算処理を実行するＣＰＵ１０４と、ユーザデータを記録する等のストレージ装置（ＨＤＤ）１０２と、管理テーブルや制御プログラムを記録するメモリ１０６と、モニターといった出力媒体１１０にユーザーインタフェースを出力するためのコンソールとしてのＶＧＡコントローラ１０８と、ＢＭＣ１１２を管理ＬＡＮ１２に接続するためのポートを備えるＮＩＣ(Network Interface Card)１１８と、ＣＰＵ１０４（オペレーティングシステム）を管理ＬＡＮ１２に接続させるためのポートを備えるＮＩＣ１１４と、ＣＰＵ１０４（オペレーティングシステム）をスイッチ１８に接続させるためのポートを形成するＮＩＣ１００と、を備える。

サーバ１は外部ＬＡＮ１４,１６を介して外部サーバに接続してユーザ（クライアント計算機）に所定の業務を提供し、管理ＬＡＮ１２を介して管理計算機１０に接続し、管理計算機１０からの管理処理を受ける。管理処理として、例えば、複数のサーバ間のネットワーク構成の変更がある。ＢＭＣ１１２は、ＩＰＭＩのバス仕様であるＩＰＭＢ(Intelligent Platform Management Bus)に基づいて、内部バスによってＣＰＵ１０４と接続されている。したがって、ＢＭＣ１１２はサーバのオペレーティングシステムに接続できる。

次に、サーバの機能ブロック図（図３）を説明する。オペレーティングシステム（ＯＳ）２００には、イベント検知ソフトウェア２０２と監視エージェント２０４が稼働されている。イベント検知ソフトウェア２０２は、コンピュータウイルスの侵入といった不正イベント、及び、その他のイベントを検出可能な公知のソフトウェアであってよい。

監視エージェント２０４は、イベント検知ソフトウェア２０２からのイベント検知の通知を受けて、所定の対応処理を提供する。イベント検知ソフトウェア２０２は、監視エージェント２０４内の一つのモジュールとして実現されてもよい。

監視エージェント２０４は、イベント制御モジュール２０６と、構成変更モジュール２０８と、を備えている。イベント制御モジュール２０６はイベントの検知に基づく処理を実現し、構成変更モジュール２０８は、管理計算機１０からのサーバの構成変更の要求を実行する機能を実現する。なお、モジュールは、ソフトウェアによって実現される。

イベント制御モジュール２０６は、イベント検知ソフトウェア連携モジュール２１０とイベント対応モジュール２１２を備える。イベント検知ソフトウェア連携モジュール２１０は、イベント検知ソフトウェア２０２を監視してイベントの発生状況を取得する。イベント検知ソフトウェア連携モジュール２１０が、イベントの発生を取得すると、イベント対応モジュール２１２にイベントの情報を渡す。

イベント対応モジュール２１２は、イベントの内容に基づいて、所定の対応処理を行う。イベント対応モジュール２１２は、コンピュータウィルス（不正イベント）に対しては、サーバのポートの一つ又は複数の閉塞、あるいは再開を制御する。ポートには、管理ＬＡＮに接続する管理ポートと外部ＬＡＮに接続する業務ポートが含まれる。イベント対応モジュール２１２は、不正イベントを判定すると、不正イベントが検出されたサーバ（オペレーティングシステム）の業務ポート（ＮＩＣ１００）、及び、管理ポート（ＮＩＣ１１４）を閉塞する。

イベント対応モジュール２１２は、図４に係るポート構成テーブルを参照して、閉塞又は再開すべきポートや、複数のポートに対してその閉塞又は再開される順番を決定する。ポート構成テーブルは、オペレーティングシステムのポートの情報を保持するものであって、メモリ１０６に格納されていてよい。ポート構成テーブルのデフォルト値は、サーバの運用が開始される際、サーバ管理者によって設定されることでよい。

ポート構成テーブルは、ポートの識別子と、ポートのＩＰアドレスと、ポートの現在の状態と、ポートの種別を含む管理情報から構成さる。イベント対応モジュール２１２は、不正イベントを判定すると、オペレーティングシステムに接続する管理ポート（ＮＩＣ１１４）、次いで、オペレーティングシステムに接続する業務ポート（ＮＩＣ１００）の順でポートを閉塞する。この順番の目的は、管理計算機１０への不正イベントの伝播を優先的に防ぐことにある。なお、イベント対応モジュール２１２は、ポートの状態を変更すると、変更後の状態をポート構成テーブルに更新登録する。ＢＭＣ１１２に接続するポート（管理ポート（ＮＩＣ１１６））は閉塞されない。

ＢＭＣ１１２は業務ポートを備えない。計算機システムの運用は、ネットワークから隔離されたサーバをネットワークに復帰させることを含む。イベント対応モジュール２１２が、サーバ復帰イベントを判定すると、管理ポート（ＮＩＣ１１４）を再開させ、さらに、管理計算機１０から復帰サーバの他のサーバとのネットワークの構成の変更要求を処理した後、業務ポート（ＮＩＣ１００）を再開させる。

イベント対応モジュール２１２は、ＩＰＭＩコマンドに基づいて、ＢＭＣ１１２との間で情報を交換することができる。イベント対応モジュール２１２は、イベントの内容を判定すると、ＩＰＭＩコマンドにイベントの内容を設定して、ＩＰＭＩドライバ２１４を介して、ＢＭＣ１１２にＩＰＭＩコマンドを通知する。したがって、イベント対応モジュール２１２は、ＩＰＭＩ制御モジュールを備える。

ＩＰＭＩコマンドには、ユーザによって定義可能なＯＥＭ領域が設定されてあり、ＯＥＭ領域に設定されるパラメータ群を総称してＯＥＭコマンドと言ったりする。一例として、ＯＥＭ領域は、ＯＥＭコマンドの属性を示すパラメータ、発生したイベントの種類を示すパラメータ、イベントに係る関連情報、例えば、不正イベント（コンピュータウィルス）の侵入経路（例えば，ＭＡＣアドレス）を示すパラメータを備える。属性を示すパラメータは、ＯＥＭ領域（C0h-FEh）の内の例えば、１バイトであり、発生したイベントの種類を示すパラメータも同様に１バイトであり、追加情報を示すパラメータは６−３２バイトである。

図５にＯＥＭコマンドの例を示す。５００で示す領域は、ＯＥＭコマンドの属性を示す領域であって、パラメータであるｃ０は、セキュリティに関する属性であることを示す。“0x01”（５０２）は、イベントがコンピュータウィルスの感染に対応するパラメータを示し、“0x01 0x02 0x03 0x04 0x05 0x06”（５０４）はコンピュータウィルスの侵入経路（ＭＡＣアドレス）を示す。

イベント対応モジュール２１２は変換テーブルにしたがって発生イベントのパラメータを決定する。図６は、変換テーブルの一例である。発生イベントには、コンピュータウィルス（以後、単に、ウィルス、と略称することもある。）等複数の種類がある。そのうちどのイベントであるかは、イベント検知用のソフトウェアによって決定される。イベント対応モジュール２１２は、イベントの種別を認識すると、変換テーブルに基づいて、ＩＰＭＩコマンドのパラメータ５０２を決定する。

ＢＭＣ１１２は、サーバのハードウェア情報および発生イベント情報をＳＮＭＰ（Simple Network Management Protocol）にしたがって管理計算機１０に伝えることができる。ＢＭＣ１１２はＳＮＭＰに従ってＳＮＭＰエージェント２１８を形成し、さらにＩＰＭＩコマンド制御モジュール２１６を備える。

ＩＰＭＩコマンド制御モジュール２１６はＩＰＭＩコマンド受信制御モジュール２１７を備え、受信したＩＰＭＩコマンドをＳＮＭＰの管理情報に変換ないしはＩＰＭＩコマンドからＳＮＭＰ管理情報を作成して、ＳＮＭＰエージェント２１８に通知する。

ＳＮＭＰエージェント２１８は、管理計算機１０のＳＮＭＰマネージャに対して、ハードウェアの管理情報と共にイベントの発生に関連する情報を、ＳＮＭＰトラップに基づいて通知する。ＳＮＭＰエージェント２１８は、宛先テーブルを参照してＳＮＭＰマネージャのポートのＩＰアドレスを決定し、さらに、ＳＮＭＰの管理情報としてのＭＩＢ(Management information base)を参照してＳＮＭＰトラップを作成して、ＳＮＭＰマネージャに、ＳＮＭＰトラップをオペレーティングシステムのポート（ＮＩＣ）１１４とは異なる、ＢＭＣのポート（ＮＩＣ）１１６から送信する。

ＩＰＭＩコマンド受信制御モジュール２１７はＩＰＭＩコマンドからＭＩＢのオブジェクトに、不正イベントのパラメータと侵入アドレス等イベント情報を記録する。ＭＩＢは、サーバの管理情報が格納されたデータベースであり、プライベートＭＩＢ又は拡張ＭＩＢの領域に、イベントに関連する情報が定義されればよい。ＳＮＭＰエージェント２１８は、ＭＩＢを参照し、ＳＮＭＰトラップを生成し、送信する。ＳＮＭＰトラップの宛先は、１つ以上のＩＰアドレスによって構成され、ユーザが手動操作にて設定されることでよい。ＭＩＢは、ＢＭＣのレジスタに格納されることでもよい。

ＳＮＭＰトラップには、不正イベントのパラメータと不正イベントの侵入アドレスが記録された、ＭＩＢのオブジェクＩＤ（ＯＩＤ）が含まれている。ＳＮＭＰエージェント２１８は、ＳＮＭＰトラップを不正イベントが発生した際、アラート情報としてＳＮＰマネージャ（管理計算機１０）に送信する。ＳＮＭＰマネージャ側のＭＩＢはＳＮＭＰエージェント側のＭＩＢと同期されているため、ＳＮＭＰマネージャは、ＳＮＭＰトラップのＯＩＤから、ＭＩＢを参照して不正イベントの内容（パラメータ）をおよび不正イベントの侵入路（アドレス）を知ることができる。なお、ＢＭＣ１１２から管理計算機１０への管理情報・イベント情報の送信は、ＩＰＭＩに準拠されたＩＰＭＩコマンドによって実行されてもよい。

既述の構成変更モジュール２０８は、管理計算機１０からのサーバの構成変更に係る要求を受信して、構成変更を実行するものとして説明されたが、構成変更とは、不正イベントが検知されたサーバを除き、不正イベントの影響がない一つ又は複数のサーバ（便宜上、「健全サーバ」或いは「健全オペレーティングシステム（健全ＯＳ）」と略称する。）に不正イベントが侵入するおそれがないセキュアなネットワークを適用して、不正イベントの影響がないサーバで業務を継続させるための処理を含む。セキュアなネットワークの適用には、例えば、スイッチ１８と健全サーバとにＶＬＡＮ（Virtual LAN）を設定することを含む。

構成変更モジュール２０８は、管理計算機からの構成変更要求をオペレーティングシステムのポート（ＮＩＣ１１４）から受信する構成変更要求受信モジュール２２０と構成変更実行モジュール２２２とを備える。構成変更受信モジュール２２０は、構成変更要求を受信した場合は、構成変更実行モジュール２２２に対して、構成変更を要求する。構成変更実行モジュール２２２は、管理計算機１０からの構成変更要求であるコマンドに基づいて、既述のセキュアなネットワーク構成を実現するための処理を実行する。この処理の一例は、ネットワーク構成の管理テーブルに、ＶＬＡＮの管理情報として、例えば、フレームに付与されるタグＶＬＡＮを設定することを含む。

次に、管理計算機１０について説明する。管理計算機のハードウェアブロック構成は、既述の業務サーバと同一あるいは類似なので、その説明を省略する。管理計算機は、業務サーバとは異なり、ＢＭＣを必ずしも必要としないが、ＢＭＣを備えることを妨げない。

次に、管理計算機１０の機能ブロックを説明する。図７は管理計算機の機能ブロック図である。管理計算機１０は、不正イベントが発生したサーバのポートが閉塞されて計算機システムから隔離されると、当該サーバのＢＭＣ１１２から不正イベントの発生と不正イベントの侵入情報を取得する。さらに、管理計算機１０は、不正イベントが侵入した感染経路である、スイッチ１８の問題ポートを閉塞して感染の拡大を防止するとともに、不正イベントが検出されないサーバを不正イベントが発生した業務サーバとは独立したセキュアなネットワークに結合して、業務を継続できるようにする。

さらに、具体的に説明する。管理計算機１０のオペレーティングシステム（ＯＳ）７００は、不正イベントが発生していないサーバ２（３）、そして、スイッチ１８に対しネットワーク構成を変更するための構成変更ツール７０２を実現する。構成変更ツール７０２は、夫々が以下に説明するモジュールである、複数のプログラムによって構成される。

構成変更ツール７０２は、イベント解析モジュール７０３を備え、イベント解析モジュール７０３は、ＳＮＭＰマネージャ７０３Ａとイベント解析実行モジュール７０３Ｂとを備える。ＳＮＭＰマネージャ７０３ＡはＳＮＭＰエージェントから送信されるＳＮＭＰトラップを受信し、イベント解析実行モジュール７０３Ｂに対して、イベントの解析を要求する。イベント解析実行モジュール７０３Ｂはイベントを解析して、複数の健全サーバに対するネットワーク構成の変更のための処理を構成変更モジュール７０４に依頼する。

ＳＮＭＰマネージャ７０３Ａは、ＭＩＢを参照することによって、ＳＮＭＰエージェントから受信したＳＮＭＰトラップに対応したイベント内容（イベントパラメータ）を認識する。イベント解析実行モジュール７０３Ｂは、ＳＮＭＰマネージャ７０３Ａからの要求に基づいて、コマンドテーブル又は後述のイベント対応テーブルを参照して、コマンドパラメータからイベントを決定してこれを解析し、構成変更の内容の決定を構成変更要求モジュール７０４に依頼する。

表１は、イベント解析実行モジュール７０３Ｂによるイベントの解析結果の例である。イベント解析実行モジュール７０３Ｂは、解析結果に基づいて後述の管理対象テーブルを書き換える。

構成変更ツール７０２は、構成変更のための管理対象である、スイッチ、健全ＯＳに構成変更を要求する構成変更要求モジュール７０４を備える。構成変更要求モジュール７０４は構成変更内容決定モジュール７０４Ａを備える。構成変更内容決定モジュール７０４Ａは、イベント対応テーブルに基づいて、構成変更内容を決定する。

イベント対応テーブルとは、発生したイベントに対して、サーバのネットワーク構成の変更をどのように実行されるべきかを示すテーブルである。図８にイベント対応テーブルの一例を示す。本テーブルは、イベントパラメータと、当該パラメータに対応した「発生イベント」、発生イベントに対応して実施される「構成変更内容」によって構成される。

構成変更内容は、構成変更を行う対象である、スイッチ、又は、管理対象のサーバ（オペレーティングシステム（ＯＳ））にそれぞれ異なる構成変更内容が定義されている。管理対象のオペレーティングシステムとは、不正イベントに関係していないオペレーティングシステム又はそのサーバである。

構成変更内容は、設定中の環境を示す「ケース」と、その環境に対応した構成変更の内容を示す「アクション」によって構成されている。イベント対応テーブルには、不正イベントとして、コンピュータウィルスの検知、不正アクセス、Ｄｏｓ攻撃、が含まれ、その他のイベントとして、閉塞されたオペレーティングシステムの回復（異常回復）が含まれている。イベントは、これらに限られるものではない。

“構成変更”とは、スイッチ１８と業務サーバ１（２，３）のオペレーティングシステムとの間でのＶＬＡＮの設定、あるいは、設定の変更を含む。イベント対応テーブルは、管理計算機１０によって管理される業務サーバを、オペレーティングシステムで区別し、不正イベント（コンピュータウィルス）が関与したオペレーティングシステムを感染ＯＳ、不正イベントが関与しないオペレーティングシステムを健全ＯＳと表記して区別している。

「スイッチ」の「ケース」欄では、ＶＬＡＮの設定、或いはその変更によって、感染ＯＳを健全ＯＳから隔離して、健全ＯＳだけのネットワークが構成されるための情報が記録されている。ＶＬＡＮの設定には、ポートＶＬＡＮの設定と、タグＶＬＡＮの設定がある。複数の健全ＯＳとスイッチとの間でＶＬＡＮ ＩＤを一致させることによって、感染ＯＳを隔離して、健全ＯＳだけのネットワークを構成することができる。

既述のとおり、イベント解析実行モジュール７０３Ｂは、ＳＮＭＰトラップを介する、不正イベントの侵入経路情報と、不正イベントが検知されたサーバ（オペレーティングシステム）の検知情報に基づいて管理対象テーブルを更新する。構成変更要求モジュール７０４は、構成変更内容決定モジュール７０４Ａによって決定された構成変更の内容を要求すべき管理対象を、管理対象テーブルに基づいて決定する。

管理対象テーブルは管理対象(サーバ、スイッチ)に関連する情報を管理する。図９に管理対象テーブルの一例を示す。管理対象識別子は、管理対象のオペレーティングシステム、スイッチを識別するための情報であって、オペレーティングシステムおよびスイッチに設定されたユニークな値、例えば、コンピュータ名、スイッチ名である。管理対象識別子は、例えば、構成変更要求モジュール７０４によって、計算機システムの運用の開始前に設定され、又は、計算機システムの運用態様の変更の際に更新される。

ＢＭＣのＩＰアドレスは、管理ユーザによって事前に設定される。発生イベントは、管理対象サーバで発生したイベントである。デフォルトは正常であり、ＳＮＭＰマネージャ７０３ＡがＳＮＭＰトラップを受信したことに基づいて、計算機システムの運用中、イベント解析実行モジュール７０３Ｂにより更新される。

ＯＳポートＩＰアドレスは、業務サーバのオペレーティングシステムのポートに設定されているＩＰアドレスである。例えば、管理計算機１０のオペレーティングシステムが、管理対象である業務サーバ及びスイッチ夫々の管理ポートのＩＰアドレスにディスカバリーコマンドを発行することによって、業務サーバのオペレーティングシステムから業務ポートのＩＰアドレスを、スイッチから外部ポート及び内部ポートのＩＰアドレスを取得することができる。業務サーバとスイッチの管理ポートのＩＰアドレスはユーザによって設定される。

ポート種は、設定されているポートの使用用途であり、管理又は業務がある。構成変更要求モジュール７０４は、管理対象サーバ、又は、スイッチの管理ポートに対して構成変更要求を送信する。ポート種は、システム運用開始又は運用形態の変更時に、管理ユーザによって設定されるか、ディスカバリーコマンドによって取得された、ポートのＩＰアドレスから決定されてもよい。ポート状態の無効とは、ポートが閉塞されたことを意味する。

ポート状態のデフォルトは、有効に設定されている。ポート状態は計算機システムの運用中に、構成変更要求モジュール７０４によって更新される。構成内容とは、管理対象の構成情報である。管理者によって事前に設定された構成内容は、計算機システムの運用において、構成変更要求モジュールによって、管理対象の構成の変更が完了されると更新される。構成内容は、ＶＬＡＮの設定情報（図８のＶＬＡＮ情報）を含む。

構成変更内容決定モジュール７０４Ａは、不正イベントの関連経路となった、スイッチの外部ポートの状態を無効（閉塞）にすることを決定し、不正イベントが発生したサーバにつながる、スイッチの内部ポートの状態を無効（閉塞）にすることを決定する。構成変更内容決定モジュール７０４Ａは、管理対象テーブルのスイッチのポート状態を変更する。

構成変更内容決定モジュール７０４Ａは不正イベントが検知されたサーバのポート状態を無効（閉塞）に変更する。なお、図９の管理対象テーブルには、スイッチの情報が記載されていないが、スイッチの情報は後記するスイッチ構成テーブルのとおりである。

構成変更内容決定モジュール７０４Ａは、スイッチのポート状態を変更するために、管理対象テーブル(図９)を参照して、不正イベントが侵入した、スイッチの外部ポートに係る情報として、例えば、表２に示す情報を抽出する。

さらに、構成変更内容決定モジュール７０４Ａは管理対象テーブルを参照して、不正イベントに関係しない、スイッチの正常な外部ポートに係る情報として、例えば、表３に示す情報を抽出する。

次いで、構成変更内容決定モジュール７０４Ａは、ウィルスに感染した外部ポートの閉塞を決定するとともに、健全ＯＳと不正イベントの侵入源となっていない外部ＬＡＮ（外部サーバ）との間だけでＶＬＡＮが形成されるように、スイッチの正常な外部ポートと管理対象ＯＳ（健全ＯＳ）に接続する内部ポート対してＶＬＡＮ情報（ＶＬＡＮ ＩＤ）を、例えば、下記表４のように決定する。構成変更内容決定モジュール７０４Ａは、決定内容に基づいて、イベント対応テーブル（図８）と管理対象テーブル（図９）を変更する。

構成要求モジュール７０４は、スイッチ１８に構成変更のコマンドを発行するスイッチ構成変更要求モジュール７０４Ｂと、管理対象サーバの監視エージェント２０４の構成変更要求受信モジュールに２２０に構成変更のコマンドを発行するサーバ構成変更要求モジュール７０４Ｃとを備える。

スイッチ構成変更要求モジュール７０４Ｂは、管理対象テーブルを参照して、管理対象スイッチに対するＶＬＡＮの設定情報等に基づいて、例えば、下記表５に示すスイッチ構成を実現するためのスイッチ構成変更要求コマンドを作成して、スイッチ１８の管理ポート１８Ｃに対してコマンドを出力する。

スイッチ１８のコントローラは、スイッチ構成の変更を実行する。即ち、スイッチのコントローラは、スイッチ構成変更プログラムを実行して、スイッチ構成変更要求コマンドに基づいて、問題となった外部ポートの閉塞、ＶＬＡＮの対象となった外部ポートおよび内部ポートのインタフェースにポートＶＬＡＮ ＩＤの設定、フレーム処理システムへのタグＶＬＡＮ ＩＤの設定等を実行する。

次いで、構成変更内容決定モジュール７０４Ａは、構成変更の対象となる管理対象サーバを割り出すために、管理対象テーブルを参照して、スイッチのＶＬＡＮが設定される、スイッチの内部ポートのＩＰアドレスを抽出する。さらに、構成変更内容決定モジュール７０４Ａは、管理対象テーブルを参照して、当該内部ポートに接続する管理対象サーバのポート情報を、例えば、表６に示すように、抽出する。構成変更内容決定モジュール７０４Ａは、内部ポートが複数ある場合は夫々について、管理対象サーバのポート情報を、例えば、表６に示すように、抽出する。

サーバ構成変更要求モジュール７０４Ｃは、管理対象テーブルを参照して、管理対象サーバの識別子に基づいて、ＶＬＡＮの設定情報を参照し、例えば、下記表７に示す、サーバの構成変更を実現するためのサーバ構成変更要求コマンドを作成して、管理対象サーバの管理ポート２Ｂ（３Ｂ）に対してコマンドを出力する。

サーバ構成変更要求コマンドを受信したサーバの構成変更実行モジュール２２２は、タグＶＬＡＮ ＩＤを、フレーム処理システムに設定する。なお、ポートＶＬＡＮ ＩＤがサーバ構成変更要求コマンドに含まれないのは、サーバの業務ポートが接続する、スイッチの内部ポートにポートＶＬＡＮ ＩＤが設定されていれば十分だからである。

構成変更ツール７０２は、さらに、イベントの発生状況、構成情報をユーザに認識させるためのイベント出力モジュール７０６を備える。イベント出力モジュール７０６は、コンソール出力モジュール７０６Ａと、メール通知モジュール７０６Ｂとを備える。コンソール出力モジュール７０６Ａは、管理対象テーブルを参照し、管理対象の発生イベント・構成変更内容を出力媒体に表示し、メール通知モジュール７０６Ｂは、管理対象テーブルを参照し、管理対象の発生イベント・構成変更内容をメールにてサーバ管理者に送信する。

コンソール出力モジュール７０６Ａは、ウイルスといった発生イベント、ポート閉塞といった構成変更内容と、それによって変更された箇所を、管理対象構成情報の一覧として、出力媒体へと表示する。表８は、その一例である。

管理計算機１０が、サーバの構成の変更を行う都度、コンソール出力モジュール７０６Ａが表意を能動的に実施しても、あるいは、サーバ管理者の操作を契機として表示を行ってもよい。表示する内容は、管理対象全ての構成情報であっても、構成変更が行われた対象サーバのみであってもよい。また構成変更またはイベント発生時刻が出力される形であってもよい。

次に、感染ＯＳを隔離して、複数の健全ＯＳにＶＬＡＮのネットワークを形成するために、スイッチの構成を変更する過程を具体的に説明する。スイッチの構成の変更は、既述のように、スイッチ構成変更要求モジュール７０４Ｂによって実行される。構成変更ツール７０２は、スイッチの構成情報をスイッチ管理テーブルによって管理する。

スイッチ構成変更要求モジュール７０４Ｂは、スイッチ１８に構成変更コマンドを発行してスイッチ管理テーブルの登録内容を更新する。スイッチの構成を管理するスイッチ管理対象テーブルを図１０に示す。図１１は、当該テーブルに登録されたスイッチ構成のブロック図である。

スイッチ管理対象テーブルは、管理計算機１０の内部メモリに記録されていてよい。管理者が管理計算機１０の構成変更内容決定モジュール７０４Ａにスイッチ１８の管理ポートのＩＰアドレスを入力すると、ディスカバリーコマンドがスイッチ１８に発行されて、スイッチ１８からポートの構成情報を取得して、これをスイッチ管理テーブルに登録する。スイッチ管理対象テーブルの各項目の説明は、既述の管理対象テーブル（図９）の説明を参照されたい。ＶＬＡＮ ＩＤはポートＶＬＡＮのＩＤである。

図１１は、外部ＬＡＮ１（又は、外部サーバ１）１４に接続されている外部ポートＡと、外部ＬＡＮ２（又は、外部サーバ２）１６に接続されている外部ポートＢとは、それぞれ、内部ポート１、内部ポート２、及び、内部ポート３にルーティングが行われている環境を示している。内部ポート１はサーバ１に接続し、内部ポート２はサーバ２に接続し、内部ポート３はサーバ３に接続している。

同一のＶＬＡＮ ＩＤが設定されているポート同士の間でＶＬＡＮが設定されている。スイッチのポート０は管理計算機１０に接続している。図１０、図１１は、サーバ１〜３に不正イベントが生じることなく、サーバ１〜３が正常に稼働していることを示している。

次に、図１２に示すように、サーバ１の監視エージェントによってコンピュータウィルスが検知されると、サーバ１の業務ポート（内部ポート１に繋がるポート）が閉塞され、かつ、ポートＡ（コンピュータウィルスの侵入路）が管理計算機１０によって閉塞される。そして、管理計算機１０は、ポートＢとサーバ１とサーバ２とに、サーバ１とポートＡを含まないネットワークを形成するために、感染したサーバ１のポートに設定していたＶＬＡＮとは別なＶＬＡＮを設定して、スイッチ管理テーブルを図１３に示すように変更する。

図１３において、ＶＬＡＮ ＩＤの“１３０”は、ポートＢとサーバ１とサーバ２とに設定されたＶＬＡＮのポートＶＬＡＮ ＩＤである。なお、サーバ側のポートが閉塞されると、スイッチ側のポートが有効であっても、サーバとＶＬＡＮが設定されない。

次に、スイッチの構成変更について、他の例を説明する。図１４に示すスイッチのブロック構成によれば、ポートＡはポート１に、ポートＢは、ポート２，ポート３にスイッチ内部でルーティングされている。このスイッチの構成は図１５の構成テーブルによって説明される。スイッチには、ポートＡとポート１のＶＬＡＮ（ＶＬＡＮ ＩＤ：１１０）が、ポートＢ、ポート２，そして、ポート３のＶＬＡＮ（ＶＬＡＮ ＩＤ：１２０）が夫々設定されている。

次に、サーバ１がポートＡを介するコンピュータウィルスを検出すると、ポートＡとサーバ１の業務ポートが閉塞される。このとき、ポートＡとポート１のＶＬＡＮ ＩＤ（１１０）と、ポートＢ、ポート２，そして、ポート３のＶＬＡＮ ＩＤ（１２０）は重複しないため、ポートＡとポート１のＶＬＡＮは解消されながら、ポートＢ、ポート２，そして、ポート３のＶＬＡＮＩＤはそのまま維持される（図１６参考）。

次に、計算機システムの全体の動作を改めて説明する。図１７、図１８は、サーバのオペレーティングシステムがコンピュータウィルスに感染してから、当該オペレーティングシステムがネットワークから隔離されるまでのフローチャートである。

先ず、感染ＯＳ（図１のＯＳ１）の監視エージェント１ａｇのイベント検知ソフト連携モジュール２１０（図３）が、イベント発生（コンピュータウィルス）を検知する(Ｓ１０１)と、イベント対応モジュール２１２が、ポート構成テーブル（図４）を参照して（Ｓ１０２）、感染ＯＳの管理ＬＡＮ１２（図１）との管理ポート１Ｂを閉塞する（Ｓ１０３）。

次いで、イベント対応モジュール２１２はポート構成テーブルを参照して、感染ＯＳ（ＯＳ１）のスイッチ１８との業務ポート１Ａを閉塞する（Ｓ１０４）。さらに、イベント対応モジュール２１２は、ＩＰＭＩコマンドのＯＥＭ領域を利用して、イベント（コンピュータウィルスの検出）を、同一サーバ内ＢＭＣ１１２に通知する（Ｓ１０５）。

ＢＭＣ１１２のＩＰＭＩコマンド制御モジュール２１６はこの通知を受けて、受信コマンドを解析する(Ｓ１０６)。ＢＭＣ１１２のＳＮＭＰエージェント２１８は、ＳＮＭＰ宛先テーブル・ＭＩＢを参照して(Ｓ１０７)、ＳＮＭＰトラップを作成し(Ｓ１０８)、これをＳＮＭＰマネージャ７０３Ａ（図７）にアラートとして送信する(Ｓ１０９)。

ＳＮＭＰマネージャ７０３ＡはＳＮＭＰトラップを受信すると(Ｓ１１１)、イベント解析モジュール７０３Ｂがイベントを解析して(Ｓ１１２)、構成変更内容決定モジュールがイベント対応テーブルを参照して構成変更内容を決定する。次いで、構成変更内容決定モジュール７０４Ａは、管理対象テーブル（図９）を参照して(Ｓ１１３)、さらに、イベント対応テーブル(図８)を参照して(Ｓ１１４)、構成変更すべき管理対象を決定し、構成変更内容を決定する。

次いで、スイッチ構成変更要求モジュール７０４Ｂは、構成変更の内容に基づいてスイッチ管理対象テーブル（図１０）を更新し、スイッチの管理ポート(ポート０)（図１１）に構成変更のコマンドを送信する(Ｓ１１５)。スイッチ内のコントローラは、受信したコマンドに基づいてスイッチ内のポートのうちコンピュータウィルスの侵入ポートを閉塞し、健全ＯＳとのＶＬＡＮを設定する上で必要ある場合には、ポートのＶＬＡＮを変更する(Ｓ１１６）。

さらに、サーバ構成変更要求モジュール７０４Ｃが、健全ＯＳのオペレーティングシステムの管理ポート１１４を介して、監視エージェント２ａｇ，３ａｇに構成変更を要求する(Ｓ１１７)。例えば、サーバ構成変更要求モジュール７０４Ｃが健全ＯＳの管理エージェントにタグＶＬＡＮ ＩＤの変更を要求することがある。

健全ＯＳの監視エージェントの構成変更要求受信モジュール２２０が構成変更の要求を受信して、これを解析し(Ｓ１１８)、構成変更要求実行モジュール２２２がスイッチ１８のＶＬＡＮの設定内容に合わせて、オペレーティングシステムのＶＬＡＮの構成の変更を実行する（Ｓ１１９）。そして、管理計算機１８のイベント出力モジュールが構成変更内容を出力する(Ｓ１２０，Ｓ１２１)。

次に、閉塞されたサーバを計算機システムに復帰させる場合の動作を説明する。復帰は、イベントの一つとして管理されている。閉塞されたサーバの監視エージェントが、イベント検知ソフトウェアがコンピュータウィルスを駆除したことを検知すると、閉塞したポートを、管理ポート、業務ポートの順に再開させ、異常回復のパラメータ（図６）をＩＰＭＩコマンドによってＢＭＣ１１２に通知する。

アラート（ＳＮＭＰトラップ）を受けた管理サーバの構成変更要求モジュール７０４は、管理対象テーブルを参照し、感染ＯＳを健全ＯＳに変更するための管理情報で管理対象テーブルを変更するとともに、異常回復がされたＯＳを健全ＯＳのＶＬＡＮに組み入れるための、ＶＬＡＮ管理情報を異常回復がされたＯＳに適用する。構成変更要求モジュール７０４は、構成変更要求を異常回復がされたＯＳの監視エージェントに対して要求する。

監視エージェントは、管理サーバ１０から受信した構成変更情報に従い、ネットワークの構成を変更する。なお、再びコンピュータウィルスの侵入を排除しつづけるために、スイッチにおいて、閉鎖された外部ポートの再開は実施しないことがよい。以上により、異常回復がされたＯＳは健全ＯＳと同じネットワークに組み入れ業務を再開させることが可能となる。

そして、仮想化されたサーバにも本発明を適用することができる。図１９は、仮想化されたサーバの機能ブロック図である。一つの物理サーバにおいて、仮想マシンモニタ(ハイパバイザ)４００により複数の仮想マシン４０２，４０４（ゲストＯＳ）が生成され、それぞれの仮想マシン上にオペレーティングシステムが稼働している。

イベントが発生した場合、まず、監視エージェント２０４は、オペレーティングシステムのポートを閉塞させる。ここで閉塞させるのは、ゲストＯＳが認識している業務用の仮想ＮＩＣ４０８および管理用の仮想ＮＩＣ４０８である。仮想ＮＩＣとは、ゲストＯＳが使用するＮＩＣであって、仮想マシンモニタにより、物理ＮＩＣがエミュレーションされたものである。

仮想ＮＩＣは、ゲストＯＳ上からは、物理ＮＩＣと同様に認識されるため、監視エージェント２０４は物理環境に対するのと同じ動作によりポート（仮想ＮＩＣ）の閉塞を行うことができる。仮想マシンモニタ４００は、仮想環境を実現するモジュールであって、仮想マシンを生成し、ゲストＯＳが使用するリソースの制御を行う。

仮想ＩＰＭＩ制御モジュール４１０は、ＢＭＣ１１２のＩＰＭＩ制御モジュール４２０が、仮想マシンモニタ４００によりエミュレーションされたモジュールである。仮想ＩＰＭＩ制御モジュール４１０は、仮想マシンのＯＳ上の仮想ＩＰＭＩドライバに含めることも可能であり、その場合、物理環境と同様に、ゲストＯＳからのＩＰＭＩコマンドが仮想マシンモニタを介さずＢＭＣ１１２へと渡される。

仮想スイッチモジュール４１２は、仮想マシンモニタ４００に組み込まれている、論理的なスイッチモジュールである。一つの物理ＮＩＣを、複数のゲストＯＳで使用するために、物理ＮＩＣが受信したパケットのルーティングを行う。ゲストＯＳはこの仮想スイッチモジュール４１２を介し、外部との通信を行う。

監視エージェント２０４は、ＩＰＭＩコマンドを発行し、ＢＭＣ１１２にイベント発生を伝える。仮想環境では、仮想ＩＰＭＩドライバ４３０から仮想マシンモニタ４００の仮想ＩＰＭＩ制御モジュール４１０およびＩＰＭＩドライバ２１４を介し、ＢＭＣ１１２にイベント発生が伝えられる。仮想ＩＰＭＩドライバ４３０は、ゲストＯＳによって使用される。ゲストＯＳ上で実行されたＩＰＭＩコマンドを、仮想ＩＰＭＩドライバ４３０が仮想ＩＰＭＩ制御モジュール４１０に渡す。なお。符号１２Ａは、スイッチ１８に接続する業務用ＬＡＮである。

オペレーティングシステムがウイルスに感染してから、オペレーティングシステムをネットワークから隔離して、他のオペレーティングシステムのネットワークを形成するための動作は、ゲストＯＳ（仮想マシン）毎に実行されるだけで、物理環境におけるオペレーティングシステムの説明（図１７、１８）とほぼ同様である。但し、管理計算機１０からの構成変更要求を健全なゲストＯＳにルーティングするために、仮想スイッチの構成が、構成変更モジュール７０４によって変更される。

既述の説明では、管理計算機１０からサーバ２（３）への構成変更の要求は、オペレーティングシステムのコマンドを利用して、当該コマンドをサーバのオペレーティングシステムの管理ポート２Ｂ（３Ｂ）に送信されたが、当該要求は、サーバのＢＭＣ１１２に要求することもできる。この形態は、管理計算機からサーバへのコマンドの発行手段の代替を意味することでもある。サーバの構成変更要求モジュール７０４からＢＭＣへのコマンドの送付は、ＳＮＭＰインタフェースのＳＮＭＰトラップ及びＭＩＢを利用する方式の他、ＩＰＭＩインタフェースを利用する方式がある。

前者の方式では、管理計算機のＳＮＭＰマネージャからサーバのＳＮＭＰエージェントに構成変更要求のためのＳＮＭＰトラップが送信される。ＳＮＭＰエージェントは、ＳＮＭＰトラップからＩＰＭＩコマンドを生成する。監視エージェントのＩＰＭＩ制御モジュールは、ＩＰＭＩコマンドを解析して構成変更要求を抽出する。

後者の方式では、この態様では、管理計算機の構成変更要求モジュール７０４は、ＳＮＭＰに代えてＩＰＭＩインタフェースを利用して、サーバのＢＭＣのＩＰＭＩコマンド受信制御モジュール２１７にＩＰＭＩコマンドを発行する。管理計算機は、ＩＰＭＩコマンドのＯＥＭ領域を利用して、構成変更をサーバに要求する。ＩＰＭＩコマンドには、コマンド種別（構成変更要求のコマンドであること）ポートの状態（０:閉塞、１:有効)、ポート種別（管理または業務ポート）、ＶＬＡＮ ＩＤが含まれている。健全ＯＳの管理エージェントの構成変更要求受信モジュール２２０は、ＢＭＣを監視（ポーリング）することによって、構成変更の要否を確認／認識する。監視の際は、構成変更要求受信モジュール２２０は、ＩＰＭＩコマンドにより、ＢＭＣに構成変更内容を要求し、ＢＭＣからのコマンドの応答により構成変更内容を判断する。次いで、構成変更実行モジュール２２０は構成変更を実行する。

産業上の利用性

本発明は計算機システムに係り、詳しくは、所定の業務を実行可能な業務計算機と、当該業務計算機を管理する管理計算機とを備える計算機システムとして利用されるものである。

Claims (15)

1. 夫々が所定の業務を実行可能な複数の業務計算機と、
   前記複数の業務計算機を夫々管理する管理計算機と、
   を備える計算機システムであって、
   前記複数の業務計算機の夫々は、
   オペレーティングシステムを実行するコントローラと、
   計算機ハードウェアを管理するための管理プロセッサと、
   を備え、
   前記コントローラは、所定イベントを監視する監視プログラムを実行し、
   前記管理プロセッサは、前記管理計算機に接続されるためのポートを介して、検知されたイベントの情報を前記管理計算機に送信する、
   計算機システム。
2. 前記コントローラは、前記監視プログラムによって検出されたイベントの情報を、前記オペレーティングシステムに依存しないインタフェースによって、前記管理プロセッサに通知する、
   請求項１記載の計算機システム。
3. 前記コントローラから前記所定イベントの検知が前記管理計算機に通知されることなく、当該コントローラは、当該所定イベントが検知された業務計算機を計算機システムから隔離する、
   請求項２記載の計算機システム。
4. 前記複数の計算機に接続されるスイッチを備え、
   前記コントローラは、前記所定イベントとして、コンピュータウィルスを検知すると、
   当該コンピュータウィルスが検知された業務計算機の前記管理計算機に接続されるための
   ポートと前記スイッチに接続されるためのポートとを閉塞する
   請求項３記載の計算機システム。
5. 前記管理プロセッサは、ＢＭＣ（ベースボード マネジメント コントローラ）を備え、
   前記インタフェースは、前記ＢＭＣ専用のインタフェースである、
   請求項２記載の計算機システム。
6. 前記コントローラは、前記ＢＭＣ専用インタフェースの仕様に依拠したコマンドを利用して、前記所定イベントの情報を、前記ＢＭＣに通知する
   請求項５記載の計算機システム。
7. 前記コマンドは、前記検知されたイベントの種類と、当該イベントの侵入経路の情報を含む、
   請求項６記載の計算機システム。
8. 前記ＢＭＣは、ＳＮＭＰ（シンプル ネットワーク マネジメント プロトコル）にしたがって、ＳＮＭＰエージェントから、前記イベントの情報をＳＮＭＰトラップに基づいて前記管理計算機のＳＮＭＰマネージャに通知する、
   請求項６記載の計算機システム。
9. 前記管理計算機は、前記イベントの侵入経路を閉塞する、
   請求項７記載の計算機システム。
10. 前記管理計算機は、前記隔離される業務計算機を含まないように、前記複数の業務計算機間の接続関係を変更する、
    請求項３記載の計算機システム。
11. 前記複数の業務計算機に接続されるスイッチを備え、
    前記管理計算機は、前記隔離される業務計算機を含まないように接続される複数の業務計算機と前記スイッチとに、当該複数の業務計算機を接続するためのＶＬＡＮを設定する請求項１０記載の計算機システム。
12. 前記管理計算機は前記接続関係の変更の要求を前記複数の業務計算機夫々のオペレーティングシステムに要求する
    請求項１０記載の計算機システム。
13. 前記複数の業務計算機の少なくとも一つの業務計算機に複数のゲストＯＳが設定され、
    当該少なくとも一つの業務計算機のコントローラは、前記複数のゲストＯＳ夫々について前記所定イベントを監視する、
    請求項２記載の計算機システム。
14. 前記コントローラから前記所定イベントの検知が前記管理計算機に通知されることなく、当該コントローラは、当該所定イベントが検出されたゲストＯＳを計算機システムから隔離する、
    請求項１３記載の計算機システム。
15. オペレーティングシステムを実行するコントローラを備える計算機が、当該コントローラによってコンピュータウィルスの感染を含むイベントを監視しがら業務を実行し、
    前記イベントが検出された場合には、当該イベントの情報を、前記計算機の計算機ハードウェア管理のための専用プロセッサを介して、管理計算機に送信する計算機制御方法。