JP7059726B2 - 通信システム、通信制御装置、通信制御方法及び通信制御プログラム - Google Patents

Description

本発明は、通信システム、通信制御装置、通信制御方法及び通信制御プログラムに関する。

近年、企業など組織体においては、組織体内で有線および無線通信によるＬＡＮ(Local Area Network)を構築し（組織内ＬＡＮと呼ぶ）、組織体内で使用する各端末を組織内ＬＡＮを介して互いに接続可能とすることが一般的に行われている。組織内ＬＡＮのようなネットワーク内の各端末に対する不正な攻撃に対応するため、統合脅威管理（ＵＴＭ；Unified Threat Management）システムと呼ばれる、ネットワークの中と外を繋ぐ通信を監視し、様々な振る舞いや脅威を検知するシステムが存在する。

特許文献１は、ネットワークの外にある検知装置から受け取った不正攻撃サーバのグローバルアドレスに基づいて、ネットワーク内の通信を監視し、各通信におけるグローバルアドレスと、不正攻撃サーバのグローバルアドレスとを照合して、一致する通信における相手方となるローカルアドレスを特定し、エッジデバイス（ＳＤＮ（Software-Defined Network）スイッチ）で端末の通信を遮断する通信制御装置が開示されている。

上述した通信制御装置は、組織内ＬＡＮ内の通信を監視し、不正なサーバと判断された外部のサーバと通信をしている端末を特定して遮断する。しかしながら、不正攻撃サーバと判定されるサーバが健全な被攻撃サーバである場合、被攻撃サーバと通信している健全な端末を誤って遮断してしまうという問題があった。また、通信制御装置は、不正な通信をしていると判断された端末の通信を遮断・隔離してしまうため、利便性が損なわれるという問題があった。

本発明は、上記に鑑みてなされたものであって、不正な通信を行っている端末以外の端末の通信を遮断することを防ぎ、利便性を損なうことなく、ネットワークのセキュリティを保全することを目的とする。

上述した課題を解決し、目的を達成するために、本発明にかかる通信システムは、同一のネットワークに設けられた通信制御装置と通信処理装置とを含む通信システムであって、前記通信制御装置は、前記ネットワークにおける不正通信が検知されたとき、当該不正通信の発信元端末のＩＰアドレスとして通知されたＩＰアドレスが割り当てられている前記通信処理装置に対してPacket-inメッセージを送信するよう指示し、当該通信処理装置から送信されたPacket-inメッセージが不正通信であるか否かを判定し、当該通信処理装置から送信されたPacket-inメッセージが不正通信である場合に、当該Packet-inメッセージを送信した前記通信処理装置に設けられた端末のＩＰアドレスの通信を遮断する処理を実行させる第１の通信制御ルールを生成し、前記通信処理装置に送信することを特徴とするものである。

図１は、実施形態に係る通信システムの構成の一例を示すブロック図である。 図２は、通信処理装置接続リストの一例を示す図である。 図３は、実施形態に係る通信処理装置の構成の一例を概念的に示す図である。 図４は、実施形態に係る通信制御装置のハードウェア構成の一例を示すブロック図である。 図５は、実施形態に係る通信制御装置の機能を説明するための機能ブロックの一例を示す図である。 図６は、実施形態に係る通信処理装置のハードウェア構成の一例を示す図である。 図７は、実施形態に係る通信処理装置の機能を説明するための機能ブロックの一例を示す図である。 図８は、不正端末情報の一例を示す第１図である。 図９は、不正端末情報の一例を示す第２図である。 図１０は、通信制御処理の一例を示すフローチャートである。 図１１は、不正通信の発信元端末のＩＰアドレスとして推定されたＩＰアドレスａの判定処理の第１例を示す図である。 図１２は、不正通信の発信元端末のＩＰアドレスとして推定されたＩＰアドレスａの判定処理の第２例を示す図である。 図１３は、不正通信の発信元端末のＩＰアドレスａの通信を遮断する通信処理装置の決定処理の第１例を示す図である。 図１４は、不正通信の発信元端末のＩＰアドレスａの通信を遮断する通信処理装置の決定処理の第２例を示す図である。 図１５は、通信制御ルールを構成するフローテーブルの一例を示す第１図である。 図１６は、通信制御ルールを構成するフローテーブルの一例を示す第２図である。

以下に添付図面を参照して、通信システム、通信制御装置、通信制御方法及び通信制御プログラムの実施形態を詳細に説明する。

図１は、実施形態に係る通信システムの構成の一例を示すブロック図である。図１に示す例において、通信システム１は、通信制御装置１０と、通信処理装置２０ａ，２０ｂ，２０ｃ，２０ｄと、端末３０ａ，３０ｂ，３０ｃ，３０ｄと、検知装置４０とを含む。

通信処理装置２０ａ，２０ｂ，２０ｃ，２０ｄは、端末３０ａ，３０ｂ，３０ｃ，３０ｄ毎に設けられている。通信処理装置２０ａは、端末３０ａに対応して設けられている。通信処理装置２０ｂは、端末３０ｂに対応して設けられている。通信処理装置２０ｃは、端末３０ｃに対応して設けられている。通信処理装置２０ｄは、端末３０ｄに対応して設けられている。なお、通信処理装置２０ａ，２０ｂ，２０ｃ，２０ｄ及び端末３０ａ，３０ｂ，３０ｃ，３０ｄは、それぞれさらに多数を含んでもよい。

図１に示す例において、通信処理装置２０ａ及び通信処理装置２０ｂは、中継装置４を介してネットワーク３上の通信制御装置１０に接続されている。また、図１に示す例において、通信処理装置２０ｃ及び通信処理装置２０ｄは、中継装置４を介さず、直接ネットワーク３上の通信制御装置１０に接続されている。

ネットワーク３は、例えば組織内ＬＡＮ等のプライベートネットワークである。ネットワーク３は、例えばインターネットのようなグローバルネットワークであるネットワーク２に、ゲートウェイ５を介して相互接続されている。

中継装置４は、ネットワークアドレス変換（ＮＡＰＴ；Network Address Port Translation）機能を有している。通信処理装置２０ａ及び通信処理装置２０ｂは、中継装置４の１つのＷＡＮ側ＩＰアドレス（図１に示す例では、「１９２．１６８．０．１０」）を共有する。具体的に、通信処理装置２０ａ及び通信処理装置２０ｂからデータを送信する場合、中継装置４は、通信処理装置２０ａのＩＰアドレス（図１に示す例では、「１７２．１６．０．１００」）及び通信処理装置２０ｂのＩＰアドレス（図１に示す例では、「１７２．１６．０．１１０」）を、中継装置４の１つのＷＡＮ側ＩＰアドレスを送信元として変換する。反対に、通信処理装置２０ａ又は通信処理装置２０ｂがデータを受信する場合、中継装置４は、ＷＡＮ側ＩＰアドレスを通信処理装置２０ａ又は通信処理装置２０ｂのＩＰアドレスを受信先として変換する。

検知装置４０は、ネットワーク３上に設けられている。図１に示す例において、検知装置４０は、ゲートウェイ５とネットワーク３との間に接続されている。

通信制御装置１０は、検知装置４０と同一のネットワークであるネットワーク３上に設けられている。通信制御装置１０は、通信処理装置２０ａ，２０ｂ，２０ｃ，２０ｄとの間で、例えば「ＯｐｅｎＦｌｏｗ（登録商標）（オープンフロー）」と呼ばれる、Software Defined Networkingプロトコルで通信接続を確立している。通信制御装置１０は、通信処理装置２０ａ，２０ｂ，２０ｃ，２０ｄに対して、例えば、後述する通信制御ルールの変更等を指示することができる。

ここで、ＯｐｅｎＦｌｏｗについて説明する。ＯｐｅｎＦｌｏｗは、仮想化されたネットワーク上での通信を制御する手法（プロトコル）の一つである。ＯｐｅｎＦｌｏｗは、通信をエンド・ツー・エンドのフローとして捉えて、そのフロー単位に経路制御、負荷分散、最適化等を行うことができる。具体的には、ＯｐｅｎＦｌｏｗは、データ通信経路の中継機器等において自立分散的に各データパケットを解析して転送するのではなく、集中制御型に変えることで実現する。

ＯｐｅｎＦｌｏｗでは、データの解析と転送先判断及び決定制御とを行う「コントロール・プレーン」と、パケットの物理的な伝送を担う部分である「データ・プレーン」とを分離する。ＯｐｅｎＦｌｏｗでは、コントロール・プレーンを司る通信制御装置１０が通信制御ルールを指示し、データ・プレーンを担う通信処理装置２０ａ，２０ｂ，２０ｃ，２０ｄが通信制御装置１０の指示に従ってパケットの転送を行う。より具体的には、通信処理装置２０ａ，２０ｂ，２０ｃ，２０ｄは、通信制御装置１０が追加及び書き換えを行う、通信処理装置２０ａ，２０ｂ，２０ｃ，２０ｄが持つフローテーブルが有するフローエントリに従って、パケットの転送を行う。

通信処理装置２０ａ，２０ｂ，２０ｃ，２０ｄは、パケットのヘッダの情報に基づきパケットを識別する。ヘッダは、「受信ポート」、「送信元ＭＡＣ（Media Access Control）アドレス」、「宛先ＭＡＣアドレス」、「プロトコル種別」、「ＶＬＡＮ（Virtual Local Area Network） ＩＤ」、「ＶＬＡＮ ＰＣＰ（VLAN Priority Code Point）値」、「送信元ＩＰアドレス」、「宛先ＩＰアドレス」、「プロトコル番号」、「ＴｏＳ（Type of Service）値」、「送信元ポート番号」および「宛先ポート番号」の、１２種類のヘッダフィールドを含む。識別に使用しないヘッダフィールドには、ワイルドカードを指定することで、任意のヘッダフィールドを識別条件として用いることができる。

通信制御装置１０は、通信システム１の起動後に、通信処理装置２０ａ，２０ｂ，２０ｃ，２０ｄとの間にＯｐｅｎＦｌｏｗ（ＯＦ）チャネルと呼ばれる通信経路が確立されると、フローテーブルおよびフローエントリを通信処理装置２０ａ，２０ｂ，２０ｃ，２０ｄに転送する。通信処理装置２０ａ，２０ｂ，２０ｃ，２０ｄは、ＯＦチャネル確立後、Modify-Stateメッセージに伴い通信制御装置１０から転送されたフローテーブル及びフローエントリを、初期設定のフローテーブル及びフローエントリとして、メモリに記憶させる。

ここで、ＯｐｅｎＦｌｏｗにおいては、同じルールを持つ通信の集合体を「フロー」と称する。例えば、宛先ＩＰアドレスが同一のＩＰアドレスであり、且つ、各々同一の処理がなされる一連のパケットの通信は、１つのフローを構成する。通信制御装置１０は、ユーザにより定義されたフローを通信処理装置２０ａ，２０ｂ，２０ｃ，２０ｄに指示する。通信処理装置２０ａ，２０ｂ，２０ｃ，２０ｄは、指示されたフローをフローエントリとして、フローテーブルに登録する。フローエントリは、パケットを判別する条件（Ｍａｔｃｈ）と、条件に従い判別されたパケットを受信した場合の動作（Ａｃｔｉｏｎ）との組み合わせを含む。フローテーブルは、０以上のフローエントリが登録される。すなわち、通信処理装置２０ａ，２０ｂ，２０ｃ，２０ｄの初期状態では、フローテーブルにはフローエントリが含まれない。

このような仕組みを用いることで、上述したネットワークの仮想化を制御するためのツールなどとしてＯｐｅｎＦｌｏｗを活用できる。

図２は、通信処理装置接続リストの一例を示す図である。通信制御装置１０には、図２に示す通信処理装置接続リストが保存される。図２において、通信処理装置接続リストとしては、通信処理装置２０ａ，２０ｂ，２０ｃ，２０ｄのスイッチラベルと、ＩＰアドレスと、スイッチ固有のＩＤであるＤａｔａｐａｔｈ ＩＤとが関連付けられている。

通信処理装置２０ａ，２０ｂ，２０ｃ，２０ｄは、通信制御装置１０のＩＰアドレス（図１に示す例では、「１９２．１６８．０．２」）が予め設定されている。通信処理装置２０ａ，２０ｂ，２０ｃ，２０ｄは、通信システム１の起動後に、通信制御装置１０のＩＰアドレスとポート番号を用いて、通信制御装置１０との間にＯＦチャネルを確立する。ＯＦチャネルが確立すると、通信制御装置１０は、接続元として、通信処理装置２０ａ，２０ｂ，２０ｃ，２０ｄに対し、それぞれのＩＰアドレスと、スイッチ固有のＩＤであるＤａｔａｐａｔｈ ＩＤとを問い合わせ、図２に示す通信処理装置接続リストとして保存する。

図３は、実施形態に係る通信処理装置の構成の一例を概念的に示す図である。図３に例示される通信処理装置２０は、上述した通信処理装置２０ａ，２０ｂ，２０ｃ，２０ｄに対応する。以下、上述した通信処理装置２０ａ，２０ｂ，２０ｃ，２０ｄを総称する場合は、通信処理装置２０と称する。

図３において、通信処理装置２０は、プロセスとして稼働するＯＦＳ２００と、物理インターフェースまたは仮想インターフェースによる第１接続部２０１ａおよび第２接続部２０１ｂとを含む。ＯＦＳ２００は、第１接続部２０１ａおよび第２接続部２０１ｂと論理的にポート接続され、それぞれ管理番号としてポート番号「１」およびポート番号「２」が割り当てられている。

ＯＦＳ２００は、フローテーブル２１０を含む。フローテーブル２１０は、通信制御装置１０によって追加及び書き換えが行われる通信制御ルールを構成する。フローテーブル２１０は、０以上のフローエントリを含む。

通信処理装置２０ａの例では、端末３０ａが第２接続部２０１ｂに接続され、中継装置４が第１接続部２０１ａに接続されている。通信処理装置２０ｂの例では、端末３０ｂが第２接続部２０１ｂに接続され、中継装置４が第１接続部２０１ａに接続される。通信処理装置２０ｃの例では、端末３０ｃが第２接続部２０１ｂに接続され、ネットワーク３が第１接続部２０１ａに接続される。通信処理装置２０ｄの例では、端末３０ｄが第２接続部２０１ｂに接続され、ネットワーク３が第１接続部２０１ａに接続される。以下、上述した端末３０ａ，３０ｂ，３０ｃ，３０ｄを総称する場合は、端末３０と称する。

通信処理装置２０は、端末３０とネットワーク３との間の通信を仲介する。通信制御装置１０は、ＯｐｅｎＦｌｏｗに規定されるModify-Stateメッセージを、ネットワーク３を介して送信し、通信処理装置２０が有するフローテーブル２１０が含むフローエントリを設定することができる。

上述したように、中継装置４が通信制御装置１０と通信処理装置２０ａ及び通信処理装置２０ｂとの間に存在するとき、通信処理装置２０ａ及び通信処理装置２０ｂから通信制御装置１０への通信は、中継装置４のＷＡＮ側ＩＰアドレスが送信元として変換されてしまう。このとき、通信制御装置１０は、通信処理装置２０ａ及び通信処理装置２０ｂのＩＰアドレスとして、本来割り当てられている通信処理装置２０ａのＩＰアドレス（図１に示す例では、「１７２．１６．０．１００」）及び通信処理装置２０ｂのＩＰアドレス（図１に示す例では、「１７２．１６．０．１１０」）を、共に中継装置４のＷＡＮ側ＩＰアドレス（図１に示す例では、「１９２．１６８．０．１０」）と認識する。

通信制御装置１０と通信処理装置２０ａ，２０ｂ，２０ｃ，２０ｄとは、ＴＣＰ接続を維持しているため、ネットワーク３上にＮＡＰＴ機能を有する中継装置４が存在する場合でも、Ｄａｔａｐａｔｈ ＩＤを指定することで、特定の通信処理装置（ここでは、通信処理装置２０ａ又は通信処理装置２０ｂ）に対して、通信制御ルールの変更等を指示することができる。

通信処理装置２０は、端末３０から第２接続部２０１ｂを介してパケットが入力されると、パケットの先頭に記述されたヘッダの情報を読み込み、読み込んだヘッダ情報を解析する。ヘッダは、パケットの通信に適用されるプロトコル毎に付与されており、通信処理装置２０は、ＯＳＩ参照モデル（Open Systems Interconnection reference model）におけるトランスポート層以下のヘッダから特定の情報を抽出することができる。通信処理装置２０が抽出するヘッダ情報の例としては、送信元および宛先のＭＡＣ（Media Access Control）アドレス、ＩＰ（Internet Protocol）アドレス、ＴＣＰ（Transmission Control Protocol）またはＵＤＰ（User Datagram Protocol）のポート番号などがある。

通信処理装置２０は、ヘッダ情報から抽出したこれらの情報を、フローテーブル２１０に含まれるフローエントリに定義される条件（Ｍａｔｃｈ）と照合する。より具体的に、通信処理装置２０は、フローテーブル２１０におけるフローエントリの優先度（Ｐｒｉｏｒｉｔｙ）が高い順に、条件（Ｍａｔｃｈ）の照合が行われる。

通信処理装置２０は、フローテーブル２１０から、入力されたパケットと条件（Ｍａｔｃｈ）が一致するフローエントリが検出された時点で、条件（Ｍａｔｃｈ）の照合を中断し、検出されたフローエントリに応じた動作（Ａｃｔｉｏｎ）を実行する。

一方、通信処理装置２０は、フローテーブル２１０から、入力されたパケットと条件が一致するフローエントリが見つからなかった場合、通信制御装置１０に、入力されたパケットを含むPacket-inメッセージを通知して、処理を問い合わせる。

なお、Packet-inメッセージは、フローテーブル中に条件が一致するフローエントリが見つからなかった場合に、受信したパケットを通信制御装置１０に送るために用いられるメッセージである。したがって、Packet-inメッセージは、未知の送信元からのパケットの入力を通知するメッセージとして用いることができる。

通信処理装置２０は、パケットに対して、単に伝送または破棄するだけでなく、ヘッダ情報の書き換えを行うこともできる。宛先や送信元のアドレスを書き換えることで、ＮＡＴ（Network Address Translation）やルータのような既存ネットワーク機器と同等の機能を実現することもできるし、既存のネットワーク機器では実現が難しい動的な通信制御を、用途に応じて実現することもできる。

図４は、実施形態に係る通信制御装置のハードウェア構成の一例を示すブロック図である。図４において、通信制御装置１０は、ＣＰＵ（Central Processing Unit）１０００と、ＲＯＭ（Read Only Memory）１００１と、ＲＡＭ（Random Access Memory）１００２と、ストレージ１００３と、データＩ／Ｆ１００４と、通信Ｉ／Ｆ１００５とを含み、これらがバス１０１０により互いに通信可能に接続される。このように、通信制御装置１０は、一般的なコンピュータと同様の構成により実現できる。

ストレージ１００３は、ハードディスクドライブや不揮発性半導体メモリ（フラッシュメモリ）などの不揮発性の記憶媒体により構成され、ＣＰＵ１０００が動作するための各種プログラムやデータが格納される。また、ＲＯＭ１００１は、例えば通信制御装置１０が起動、動作するために用いるプログラムやデータが予め記憶される。ＣＰＵ１０００は、ストレージ１００３やＲＯＭ１００１に格納されるプログラムに従い、ＲＡＭ１００２をワークエリアとして用いて動作し、通信制御装置１０の全体の動作を制御する。通信Ｉ／Ｆ１００５は、ＣＰＵ１０００の指示に従い、ネットワーク３を介した通信を制御する。データＩ／Ｆ１００４は、外部の機器との間でデータの入出力を行うためのインターフェースであって、例えばＵＳＢ（Universal Serial Bus）を適用できる。

図５は、実施形態に係る通信制御装置の機能を説明するための機能ブロックの一例を示す図である。図５において、通信制御装置１０は、接続部１１０と、制御部１１１と、記憶部１１２と、カウンタ１１３とを含む。これら接続部１１０、制御部１１１、記憶部１１２及びカウンタ１１３は、ＣＰＵ１０００上で動作するプログラムが動作することにより構成される。これに限らず、これら接続部１１０、制御部１１１、記憶部１１２及びカウンタ１１３を、互いに協働して動作するハードウェア回路により構成してもよい。

接続部１１０は、物理インターフェースまたは仮想インターフェースにより実現される。接続部１１０は、通信Ｉ／Ｆ１００５を制御してネットワーク３に接続し、ネットワーク３を介した通信を行う。また、接続部１１０は、ＩＰアドレス（図１に示す例では、「１９２．１６８．０．２」）が予め設定されている。記憶部１１２は、図２に示す通信処理装置接続リストや、後述する中継装置ＷＡＮ側ＩＰアドレスリストが記憶される。

制御部１１１は、通信制御装置１０の全体の動作を制御する。制御部１１１は、所定に定義されたフローに従い、通信処理装置２０が有するフローテーブル２１０に適用するためのフローエントリを生成する。制御部１１１は、生成したフローエントリを通信処理装置２０に転送する。通信処理装置２０は、転送されたフローエントリを、通信処理装置２０が有するＯＦＳ２００に含まれるフローテーブル２１０に書き込む。カウンタ１１３は、制御部１１１の指示に応じてカウンタ値を更新する。

通信制御装置１０における各機能を実現するための通信制御プログラムは、インストール可能な形式または実行可能な形式のファイルでＣＤ（Compact Disk）、フレキシブルディスク（ＦＤ）、ＤＶＤ（Digital Versatile Disk）などのコンピュータで読み取り可能な記録媒体に記録して提供される。これに限らず、当該通信制御プログラムを、インターネットなどのネットワークに接続されたコンピュータ上に格納し、当該ネットワークを介してダウンロードさせることにより提供してもよい。また、当該通信制御プログラムをインターネットなどのネットワークを経由して提供または配布するように構成してもよい。

上述のようにして提供されコンピュータに格納された通信制御プログラムは、例えば、当該コンピュータから、データＩ／Ｆ１００４を介して通信制御装置１０に供給されてストレージ１００３またはＲＯＭ１００１に記憶される。

当該通信制御プログラムは、上述した各部（接続部１１０、制御部１１１、記憶部１１２及びカウンタ１１３）を含むモジュール構成となっている。実際のハードウェアとしては、ＣＰＵ１０００がＲＯＭ１００１やストレージ１００３などの記憶媒体から当該通信制御プログラムを読み出して実行することにより、上述した各部がＲＡＭ１００２などの主記憶装置上にロードされ、接続部１１０、制御部１１１、記憶部１１２及びカウンタ１１３が主記憶装置上に生成されるようになっている。

これに限らず、例えば、接続部１１０、制御部１１１、記憶部１１２及びカウンタ１１３の基本的な機能を提供するプログラムがＲＯＭ１００１又はストレージ１００３に予め記憶され、通信制御装置１０に対して、これら接続部１１０、制御部１１１、記憶部１１２及びカウンタ１１３の動作を定義するパラメータなどを供給するようにもできる。

図６は、実施形態に係る通信処理装置のハードウェア構成の一例を示す図である。図６において、通信処理装置２０は、ＣＰＵ２０００と、ＲＯＭ２００１と、ＲＡＭ２００２と、通信Ｉ／Ｆ２００４及び通信Ｉ／Ｆ２００５とを含み、これらがバス２０１０により互いに通信可能に接続される。なお、これに限らず、ＲＯＭ２００１、ＲＡＭ２００２、ならびに、通信Ｉ／Ｆ２００４及び通信Ｉ／Ｆ２００５は、ＣＰＵ２０００に対して直接的に接続し、バス２０１０を省略してもよい。

ＲＯＭ２００１は、ＣＰＵ２０００が動作するために用いるプログラムやデータが予め記憶される。ＣＰＵ２０００は、ＲＯＭ２００１に格納されるプログラムに従い、ＲＡＭ２００２をワークエリアとして用いて動作し、通信処理装置２０の全体の動作を制御する。通信Ｉ／Ｆ２００４及び通信Ｉ／Ｆ２００５は、それぞれ上述した第１接続部２０１ａおよび第２接続部２０１ｂに対応するハードウェア回路であって、それぞれＣＰＵ２０００の指示に従い通信を制御する。図６の例では、通信Ｉ／Ｆ２００４がネットワーク３に接続され、通信Ｉ／Ｆ２００５が端末３０に接続されることが想定されている。

図７は、実施形態に係る通信処理装置の機能を説明するための機能ブロックの一例を示す図である。なお、図７において、上述した図３と対応する部分には同一の符号を付して、詳細な説明を省略する。図７において、通信処理装置２０は、ＯＦＳ２００と、第１接続部２０１ａと、第２接続部２０１ｂとを含む。また、ＯＦＳ２００は、解析部２１２と、処理部２１３と、記憶部２１５とを含む。

これらＯＦＳ２００、第１接続部２０１ａおよび第２接続部２０１ｂ、ならびに、ＯＦＳ２００に含まれる解析部２１２、処理部２１３及び記憶部２１５は、ＣＰＵ２０００上で動作するプログラムにより構成される。これに限らず、これらＯＦＳ２００、第１接続部２０１ａ及び第２接続部２０１ｂ、ならびに、ＯＦＳ２００に含まれる解析部２１２、処理部２１３及び記憶部２１５の一部または全部を、互いに協働して動作するハードウェア回路により構成してもよい。

ＯＦＳ２００において、解析部２１２は、第１接続部２０１ａおよび第２接続部２０１ｂに入力されたパケットを解析し、ヘッダ情報を抽出する。処理部２１３は、解析部２１２の解析結果に応じて、第１接続部２０１ａおよび第２接続部２０１ｂに入力されたパケットを処理する。記憶部２１５は、処理部２１３が解析部２１２の解析結果に応じてパケットを処理する際に用いるフローテーブル２１０の、記憶媒体（例えばＲＡＭ２００２）に対する記憶および読み出しを実行する。

上述した構成において、検知装置４０は、ネットワーク２とネットワーク３との間の通信またはネットワーク３内の通信を監視し、宛先やポート、通信の内容等の静的な不正や、ＤｏＳ（Denial of Service）攻撃等のサイバー攻撃や感染活動など動的な不正を検知する。以下、上述のような不正な通信を「不正通信」と称する。なお、サイバー攻撃としては、ＤｏＳ攻撃の他に、例えば、ＤＤｏＳ（Distributed Denial of Service）攻撃、ポートスキャン（Port Scan）攻撃、ＰｏＤ（Ping of Death）攻撃等が考えられる。本開示は、サイバー攻撃の種類に限定されない。

検知装置４０は、ネットワーク３上における不正通信を検知したとき、不正通信の発信元端末の情報（以下、「不正端末情報」と称する）を通信制御装置１０に送信する。通信制御装置１０は、当該不正端末情報を元に、不正通信を仲介している通信処理装置２０を特定し、当該通信処理装置２０に対し、不正通信の発信元端末の通信を遮断するよう指示する。

図８は、不正端末情報の一例を示す第１図である。図９は、不正端末情報の一例を示す第２図である。図８は、不正通信の発信元端末が端末３０ｃである場合の不正端末情報の一例を示している。図９は、不正通信の発信元端末が中継装置４の配下の（すなわち、中継装置４がゲートウェイとなるネットワークにおける）端末３０ａ又は端末３０ｂである場合の不正端末情報の一例を示している。図８及び図９では、ゲートウェイ５の内側の何れかの端末３０が不正プログラムに感染し、外部サーバ６（ＩＰアドレス「１２３．４５．６７．８９」）に対してＤｏＳ攻撃を行う不正通信を、検知装置４０が検知した例を示している。

図８及び図９において、不正端末情報としては、不正通信の内容を示すアラートラベル（図８及び図９に示す例では、「ＤｏＳ攻撃」）と、不正通信の発信元端末のＩＰアドレスと、攻撃先アドレス（ここでは、外部サーバ６のＩＰアドレス「１２３．４５．６７．８９」）とが関連付けられている。

検知装置４０は、不正通信を検知した際、図８及び図９に示す不正端末情報を、通信制御装置１０に送信する。

図８に示すように、不正通信の発信元端末が検知装置４０及び通信制御装置１０と同一のネットワーク３内の端末（ここでは、端末３０ｃ）である場合には、不正端末情報に含まれる不正通信の発信元端末のＩＰアドレス（ここでは、「１９２．１６８．０．２００」）に基づき、不正通信の発信元端末（ここでは、端末３０ｃ）を特定することができる。この場合、通信制御装置１０は、少なくとも通信処理装置２０ｃに対して、端末３０ｃのＩＰアドレス「１９２．１６８．０．２００」の通信を遮断するように指示することで、ネットワーク３上における不正通信を防ぐことができる。

これに対し、図９に示すように、不正通信の発信元端末が中継装置４の配下の（すなわち、中継装置４がゲートウェイとなるネットワークにおける）端末（ここでは、端末３０ａ又は端末３０ｂ）である場合には、不正通信の発信元端末のＩＰアドレスとして、中継装置４のＷＡＮ側ＩＰアドレスである「１９２．１６８．０．１０」が通知される。この場合、通信制御装置１０は、通信処理装置２０ａ及び通信処理装置２０ｂに対して端末３０ａ及び端末３０ｂの通信を遮断するように指示することで、ネットワーク３上における不正通信を防ぐことができるが、不正通信の発信元端末ではない端末３０ａ又は端末３０ｂの通信まで遮断されるため、利便性が著しく損なわれる。このため、ネットワーク３上に中継装置４によってアドレス変換される端末が複数存在する場合でも、不正通信の発信元端末を特定し、不正通信の発信元端末に対応する通信処理装置２０に対して不正通信の発信元端末のＩＰアドレスの通信を遮断可能であることが望ましい。

図１０は、通信制御処理の一例を示すフローチャートである。図１０に示す例では、検知装置４０が不正通信を検知してから、通信システム１によって不正通信の発信元端末のＩＰアドレスの通信が遮断されるまでの処理を示している。

図１０において、通信システム１が動作すると、検知装置４０は、ネットワーク３上における不正通信の監視を開始する。

ネットワーク３上において不正通信を検知すると（ステップＳ１０）、検知装置４０は、通信制御装置１０に対し、例えば図８又は図９に示す不正端末情報を送信する（ステップＳ１１）。このとき、不正端末情報として、少なくとも、不正通信の発信元端末のＩＰアドレスとして推定されるＩＰアドレスａと、宛先（攻撃先）アドレスである外部サーバ６のＩＰアドレスとが通知される。なお、図８又は図９に示すように、不正端末情報として、不正通信の内容を示すアラートラベルが通知される態様であっても良い。

続いて、通信制御装置１０の制御部１１１は、不正通信の発信元端末のＩＰアドレスとして推定されたＩＰアドレスａの判定処理を行う（ステップＳ１２）。具体的に、通信制御装置１０の制御部１１１は、ＩＰアドレスａが中継装置４のＷＡＮ側ＩＰアドレスであるか否かを判定する。

図１１は、不正通信の発信元端末のＩＰアドレスとして推定されたＩＰアドレスａの判定処理の第１例を示す図である。図１１では、予め通信制御装置１０の記憶部１１２に中継装置４のＷＡＮ側ＩＰアドレスを登録しておく例を示している。

図１に示す例では、ネットワーク３上の中継装置４が１つである場合について例示したが、ネットワーク３上に中継装置４が複数存在する構成である場合、複数の中継装置４のＷＡＮ側ＩＰアドレスをリスト登録する態様であっても良い。

図１１において、通信制御装置１０の制御部１１１は、予め記憶部１１２に登録された中継装置４のＷＡＮ側ＩＰアドレスリスト（以下、「中継装置ＷＡＮ側ＩＰアドレスリスト」と称する）を参照し（ステップＳ１２ａ－１）、当該中継装置ＷＡＮ側ＩＰアドレスリストに不正通信の発信元端末のＩＰアドレスとして通知されたＩＰアドレスａが存在するか否かを判定する（ステップＳ１２ａ－２）。

図１２は、不正通信の発信元端末のＩＰアドレスとして推定されたＩＰアドレスａの判定処理の第２例を示す図である。図１２において、通信制御装置１０の制御部１１１は、記憶部１１２に記憶された通信処理装置接続リスト（図２参照）を参照し（ステップＳ１２ｂ－１）、当該通信処理装置接続リストに不正通信の発信元端末のＩＰアドレスとして通知されたＩＰアドレスａが存在するか否かを判定する（ステップＳ１２ｂ－２）。

図１１において、中継装置ＷＡＮ側ＩＰアドレスリストに不正通信の発信元端末のＩＰアドレスとして通知されたＩＰアドレスａが存在しない場合（ステップＳ１２ａ－２；Ｎｏ）、又は、図１２において、通信処理装置接続リストに不正通信の発信元端末のＩＰアドレスとして通知されたＩＰアドレスａが存在しない場合（ステップＳ１２ｂ－２；Ｎｏ）、図１０に戻り、通信制御装置１０の制御部１１１は、ＩＰアドレスａを不正通信の発信元端末のＩＰアドレスとして不正通信の発信元端末を特定する（ステップＳ１３）。

続いて、通信制御装置１０の制御部１１１は、不正通信の発信元端末のＩＰアドレスとして特定されたＩＰアドレスａの通信を遮断する通信処理装置ｘを決定する（ステップＳ１４）。

図１３は、不正通信の発信元端末のＩＰアドレスａの通信を遮断する通信処理装置の決定処理の第１例を示す図である。

図１３において、通信制御装置１０の制御部１１１は、接続部１１０を介して、全ての通信処理装置２０（ここでは、通信処理装置２０ａ，２０ｂ，２０ｃ，２０ｄ）に対し、不正通信の発信元端末のＩＰアドレスａを送信元とする通信を監視するように指示する（ステップＳ１４ａ－１）。

全ての通信処理装置２０のうちの何れか（ここでは、通信処理装置ｘ）が不正通信の発信元端末のＩＰアドレスａを送信元とする通信を検知し、通信制御装置１０に通知する（ステップＳ１４ａ－２）。例えば図８に示す例では、通信処理装置２０ｃが不正通信の発信元端末のＩＰアドレスａ（ここでは、端末３０ｃのＩＰアドレス「１９２．１６８．０．２００」）を送信元とする通信を検知し、通信制御装置１０に通知する。

図１０に戻り、通信制御装置１０の制御部１１１は、不正通信の発信元端末のＩＰアドレスａを送信元とする通信を検知した通信処理装置ｘ（図８に示す例では、通信処理装置２０ｃ）に対し、接続部１１０を介して、不正通信の発信元端末のＩＰアドレスａの通信を遮断する遮断指示を通知し（ステップＳ１５）、処理を終了する。

図１４は、不正通信の発信元端末のＩＰアドレスａの通信を遮断する通信処理装置の決定処理の第２例を示す図である。

図１４において、通信制御装置１０の制御部１１１は、全ての通信処理装置２０ａ，２０ｂ，２０ｃ，２０ｄを不正通信の発信元端末のＩＰアドレスａの通信を遮断する通信処理装置ｘとする（ステップＳ１４ｂ）。

図１０に戻り、通信制御装置１０の制御部１１１は、全ての通信処理装置ｘ（通信処理装置２０ａ，２０ｂ，２０ｃ，２０ｄ）に対し、接続部１１０を介して、不正通信の発信元端末のＩＰアドレスａの通信を遮断する遮断指示を通知し（ステップＳ１５）、処理を終了する。

図１１において、中継装置ＷＡＮ側ＩＰアドレスリストに不正通信の発信元端末のＩＰアドレスとして通知されたＩＰアドレスａが存在する場合（ステップＳ１２ａ－２；Ｙｅｓ）、又は、図１２において、通信処理装置接続リストに不正通信の発信元端末のＩＰアドレスとして通知されたＩＰアドレスａが存在する場合（ステップＳ１２ｂ－２；Ｙｅｓ）、通信制御装置１０の制御部１１１は、図２に示す通信処理装置接続リストを参照し、不正通信の発信元端末のＩＰアドレスとして通知されたＩＰアドレスａ（図９に示す例では、「１９２．１６８．０．１０」）に該当する通信処理装置２０（図２に示す例では、通信処理装置２０ａ，２０ｂ）をリストアップし（ステップＳ１６）、リストアップしたｎ個（ｎは、１以上の整数）の各通信処理装置を、「１」から「ｂ」（ｂは、ｎ以下の整数）までナンバリングする。

通信制御装置１０の制御部１１１は、カウンタ１１３におけるカウンタ値ｉ（ｉは、ｂ以下の整数）を「１」にセットし（ステップＳ１７）、続いて、カウンタ値ｉが「ｂ」未満であるか否かを判定する（ステップＳ１８）。

カウンタ値ｉが「ｂ」未満である場合（ステップＳ１８；Ｙｅｓ）、通信制御装置１０の制御部１１１は、接続部１１０を介して、通信処理装置ｉに対してPacket-inメッセージを送信するよう指示する（ステップＳ１９）。Packet-inメッセージは、通信処理装置を通過する段階のパケットの情報がそのまま通知される。このため、中継装置４によるＮＡＰＴ変換機能の影響を受けない。

続いて、通信制御装置１０の制御部１１１は、通信処理装置ｉから送信されたPacket-inメッセージを検知装置４０に入力する（ステップＳ２０）。

検知装置４０は、通信処理装置ｉから送信されたPacket-inメッセージに含まれるパケットを監視し、不正通信であるか否かを判定する（ステップＳ２１）。

通信処理装置ｉから送信されたPacket-inメッセージに含まれるパケットが不正通信でないと判定された場合（ステップＳ２１；Ｎｏ）、通信制御装置１０の制御部１１１は、カウンタ１１３におけるカウンタ値ｉをカウントアップし（ステップＳ２２）、ステップＳ１８の処理に戻る。

通信処理装置ｉから送信されたPacket-inメッセージに含まれるパケットが不正通信であると判定された場合（ステップＳ２１；Ｙｅｓ）、検知装置４０は、通信制御装置１０に対し、不正通信の発信元端末のＩＰアドレスｃ（図１に示す例では、端末３０ａのＩＰアドレス「１７２．１６．０．２００」又は端末３０ｂのＩＰアドレス「１７２．１６．０．２１０」）を含む不正端末情報を送信する（ステップＳ２３）。

不正通信であると判定されたパケットが含まれるPacket-inメッセージは、通信処理装置ｉから送信されたものであるので、通信制御装置１０の制御部１１１は、記憶部１１２に記憶された通信処理装置接続リスト（図２参照）を参照し、通信処理装置ｉのＤａｔａｐａｔｈ ＩＤを指定して、不正通信の発信元端末のＩＰアドレスｃの通信を遮断する遮断指示を通知する（ステップＳ２４）。その後、通信制御装置１０の制御部１１１は、接続部１１０を介して、通信処理装置に対するPacket-inメッセージの送信指示を解除し（ステップＳ２５）、処理を終了する。

なお、ステップＳ１８においてカウンタ値ｉが「ｂ」以上である場合には（ステップＳ１８；Ｎｏ）、ステップＳ１０の処理において不正通信を誤検出したことが考えられる。この場合には、通信制御装置１０の制御部１１１は、接続部１１０を介して、通信処理装置に対するPacket-inメッセージの送信指示を解除し（ステップＳ２５）、処理を終了する。

また、上述した処理において、ステップＳ１９からステップＳ２１までの処理は、通信処理装置ｉのカウンタ値ｉをカウントアップして行う実施する例を示したが、ステップＳ１６の処理においてリストアップされた通信処理装置に対して、並列して行われる態様であっても良い。

また、上述した処理において、ステップＳ２４の処理は、不正通信であると判定されたパケットを含むPacket-inメッセージを送信した通信処理装置ｉに対し、不正通信の発信元端末のＩＰアドレスｃの通信を遮断する遮断指示を通知する例を示したが、ステップＳ１６においてリストアップしたｎ個の各通信処理装置に対し、不正通信の発信元端末のＩＰアドレスｃの通信を遮断する遮断指示を通知する態様であっても良い。

通信システム１は、上述した通信制御処理を実施することにより、ネットワーク３に中継装置４が設けられている場合でも、不正通信の発信元端末を特定して通信を遮断することができる。これにより、不正通信の発信元端末以外の端末の通信を遮断することを防ぐことができ、利便性を損なうことなく、ネットワーク３のセキュリティを保全することができる。

なお、図１０、図１１、図１２では、ステップＳ１２において、ＩＰアドレスａが中継装置４のＷＡＮ側ＩＰアドレスであるか否かを判定し、ＩＰアドレスａが中継装置４のＷＡＮ側ＩＰアドレスではない場合には（ステップＳ１２ａ－１、ステップＳ１２ｂ－１；Ｎｏ）、ＩＰアドレスａを不正通信の発信元端末のＩＰアドレスとして不正通信の発信元端末を特定し（ステップＳ１３）、ＩＰアドレスａの通信を遮断する（ステップＳ１４，Ｓ１５）例を示したが、これらステップＳ１２，Ｓ１３，Ｓ１４，Ｓ１５を設けず、ステップＳ１１の後にステップＳ１６以降の処理を実行する態様であっても良い。なお、この場合には、ステップＳ１０において、検知装置４０がネットワーク３上において不正通信を検知すると、ステップＳ１６以降の処理を実行することとなり、処理の負荷が大きくなる。処理の負荷を軽減するためには、図１０、図１１、図１２に示すように、ステップＳ１２，Ｓ１３，Ｓ１４，Ｓ１５の処理を設けることが望ましい。

次に、通信制御装置１０の制御部１１１が、不正通信の発信元端末のＩＰアドレスの通信を遮断する通信処理装置（例えば、上述した通信処理のステップＳ１５における通信処理装置ｘ、又は、ステップＳ２４における通信処理装置ｉ）に対して、不正通信の発信元端末のＩＰアドレスの通信を遮断する遮断指示を通知する際の通信制御ルールについて説明する。

図１５は、通信制御ルールを構成するフローテーブルの一例を示す第１図である。図１５に示すフローテーブルは、２つのフローエントリを含み、各フローエントリは、「Ｍａｔｃｈ（条件）」、「Ａｃｔｉｏｎ（処理内容）」および「Ｐｒｉｏｒｉｔｙ（優先度）」の各項目を含む。

項目「Ｍａｔｃｈ（条件）」は、そのフローエントリにおけるマッチングルールが記述される。項目「Ａｃｔｉｏｎ（処理内容）」は、入力されたフローが、そのフローエントリの項目「Ｍａｔｃｈ（条件）」に記述されるマッチングルールに合致したフローであると判定された場合に、通信処理装置２０の処理部２１３が当該フローに対して行う処理が記述される。なお、フローは、上述したように、同じルールを持つ通信の集合体であり、より具体的には、例えば項目「Ｍａｔｃｈ（条件）」に記述されるマッチングルールに基づき判別するための条件が同一のパケットの集合である。

項目「Ｐｒｉｏｒｉｔｙ（優先度）」は、各フローエントリの優先度が記述される。優先度は、値が大きいほど高く、値「１」が最も低い優先度とされる。

図１５に示す例では、２つのフローエントリのうち、１行目のフローエントリの優先度が「１０」、２行目のフローエントリの優先度が「１」とされている。

図１５に示す例において、２つのフローエントリのうち、１行目のフローエントリは、項目「Ｍａｔｃｈ（条件）」に、送信元のＩＰアドレスｓｒｃ＿ｉｐが不正通信の発信元端末のＩＰアドレスｉｐ＿ａであることが記述されている（ｓｒｃ＿ｉｐ＝ｉｐ＿ａ）。また、項目「Ａｃｔｉｏｎ（処理内容）」は、当該ＩＰアドレスのパケットを破棄する処理（Ｄｒｏｐ）が記述されている。また、項目「Ｐｒｉｏｒｉｔｙ（優先度）」は、値「１０」が記述されている。

また、図１５に示す例において、２つのフローエントリのうち、２行目のフローエントリは、項目「Ｍａｔｃｈ（条件）」に、任意のＩＰアドレスであることが記述されている（ａｎｙ）。また、項目「Ａｃｔｉｏｎ（処理内容）」に、通常のＬ２／Ｌ３スイッチとして動作することが記述されている。また、項目「Ｐｒｉｏｒｉｔｙ（優先度）」は、値「１」が記述されている。

図１５に示す例では、まず、２行目のフローエントリよりも優先度が高い１行目のフローエントリが参照され、１行目のフローエントリに定義される項目「Ｍａｔｃｈ（条件）」の記述（ｓｒｃ＿ｉｐ＝ｉｐ＿ａ）に一致する場合、すなわち、送信元のＩＰアドレスｓｒｃ＿ｉｐが不正通信の発信元端末のＩＰアドレスｉｐ＿ａであるとき（ｓｒｃ＿ｉｐ＝ｉｐ＿ａ）、通信処理装置２０は、当該ＩＰアドレスのパケットを破棄する処理（Ｄｒｏｐ）を行う。

１行目のフローエントリに定義される項目「Ｍａｔｃｈ（条件）」の記述（ｓｒｃ＿ｉｐ＝ｉｐ＿ａ）に一致しない場合、すなわち、送信元のＩＰアドレスｓｒｃ＿ｉｐが不正通信の発信元端末のＩＰアドレスｉｐ＿ａでないとき、１行目のフローエントリよりも優先度が低い２行目のフローエントリが参照され、通信処理装置２０は、通常のＬ２／Ｌ３スイッチとして動作する。

通信制御装置１０の制御部１１１は、上述した通信処理のステップＳ１５において、図１５に示す１行目のフローエントリを、不正通信の発信元端末のＩＰアドレスの通信を遮断する処理を実行させる通信制御ルール（第２通信制御ルール）として生成し、通信処理装置ｘに送信する。また、通信制御装置１０の制御部１１１は、上述した通信処理のステップＳ２４において、図１５に示す１行目のフローエントリを、不正通信の発信元端末のＩＰアドレスの通信を遮断する処理を実行させる通信制御ルール（第１通信制御ルール）として生成し、通信処理装置ｉに送信する。これにより、不正通信の発信元端末のＩＰアドレスｉｐ＿ａから送信されたパケットのみ破棄され、不正通信の発信元端末のＩＰアドレスの通信が遮断される。

図１６は、通信制御ルールを構成するフローテーブルの一例を示す第２図である。図１６では、図１５に示す２つのフローエントリよりも優先度が高いフローエントリを含む例を示している。

図１６に示す例では、図１５に示す２つのフローエントリよりも優先度が高いフローエントリを含む例を示している。当該フローエントリは、項目「Ｍａｔｃｈ（条件）」として、宛先ＩＰアドレスｄｓｔ＿ｉｐが特定のＩＰアドレスｉｐ＿ｏｐであることが記述され（ｄｓｔ＿ｉｐ＝ｉｐ＿ｏｐ）、項目「Ａｃｔｉｏｎ（処理内容）」に、通常のＬ２／Ｌ３スイッチとして動作することが記述され、項目「Ｐｒｉｏｒｉｔｙ（優先度）」の値として、３つのフローエントリのうち最も優先度が高い値「２０」が記述されている。

通信制御装置１０の制御部１１１は、上述した通信処理のステップＳ１５又はステップＳ２４において、図１６に示す２行目のフローエントリ（第１通信制御ルール、第２通信制御ルール）に追加して、図１６に示す１行目のフローエントリを、特定のＩＰアドレスｉｐ＿ｏｐに対する通信を許可する処理を実行させる通信制御ルール（第３通信制御ルール）として生成するようにしても良い。

図１６に示す例において、特定のＩＰアドレスｉｐ＿ｏｐとして宛先ＩＰアドレスｄｓｔ＿ｉｐの端末の遠隔サポートを行うオペレータ端末のＩＰアドレスを設定することで、例えば、不正通信の発信元端末のウィルス駆除等の遠隔サポートが可能となる。

なお、上述の実施形態は、本発明の好適な実施の例ではあるがこれに限定されるものではなく、本発明の要旨を逸脱しない範囲において種々の変形による実施が可能である。

１ 通信システム
２ ネットワーク
３ ネットワーク
４ 中継装置
５ ゲートウェイ
６ 外部サーバ
１０ 通信制御装置
２０，２０ａ，２０ｂ，２０ｃ，２０ｄ 通信処理装置
３０，３０ａ，３０ｂ，３０ｃ，３０ｄ 端末
４０ 検知装置
１１０ 接続部
１１１ 制御部
１１２ 記憶部
１１３ カウンタ
２００ ＯＦＳ
２０１ａ 第１接続部
２０１ｂ 第２接続部
２１０ フローテーブル
２１２ 解析部
２１３ 処理部
２１５ 記憶部

特許第６０８３００９号公報

Claims (9)

1. 同一のネットワークに設けられた通信制御装置と通信処理装置とを含む通信システムであって、
   前記通信制御装置は、
   前記ネットワークにおける不正通信が検知されたとき、当該不正通信の発信元端末のＩＰアドレスとして通知されたＩＰアドレスが割り当てられている前記通信処理装置に対してPacket-inメッセージを送信するよう指示し、当該通信処理装置から送信されたPacket-inメッセージが不正通信であるか否かを判定し、当該通信処理装置から送信されたPacket-inメッセージが不正通信である場合に、当該Packet-inメッセージを送信した前記通信処理装置に設けられた端末のＩＰアドレスの通信を遮断する処理を実行させる第１の通信制御ルールを生成し、前記通信処理装置に送信する、
   ことを特徴とする通信システム。
2. 前記通信制御装置は、
   前記ネットワークにおける不正通信が検知されたとき、当該不正通信の発信元端末のＩＰアドレスが、ネットワークアドレス変換機能を有する機器のＩＰアドレスであるか否かを判定し、当該不正通信の発信元端末のＩＰアドレスが、前記ネットワークアドレス変換機能を有する機器のＩＰアドレスでない場合に、前記不正通信の発信元端末のＩＰアドレスの通信を遮断する処理を実行させる第２の通信制御ルールを生成し、前記通信処理装置に送信する、
   ことを特徴とする請求項１に記載の通信システム。
3. 前記不正通信を検知し、当該不正通信の発信元端末のＩＰアドレスを含む不正端末情報を前記通信制御装置に送信する検知装置を備え、
   前記通信制御装置は、
   前記不正端末情報に基づき、前記第１の通信制御ルール又は前記第２の通信制御ルールを生成する、
   ことを特徴とする請求項２に記載の通信システム。
4. 前記通信制御装置は、
   特定のＩＰアドレスに対する通信を許可する処理を実行させる第３の通信制御ルールを、前記第１の通信制御ルール又は前記第２の通信制御ルールに追加して生成する、
   ことを特徴とする請求項２又は３に記載の通信システム。
5. 前記通信制御装置は、
   前記第３の通信制御ルールの優先度が前記第１の通信制御ルール又は前記第２の通信制御ルールの優先度よりも高く設定されている、
   ことを特徴とする請求項４に記載の通信システム。
6. 同一のネットワークに設けられた通信処理装置を介して、前記ネットワークにおける通信を制御する通信制御装置であって、
   前記通信制御装置は、
   前記ネットワークにおける不正通信が検知されたとき、当該不正通信の発信元端末のＩＰアドレスとして通知されたＩＰアドレスが割り当てられている前記通信処理装置に対してPacket-inメッセージを送信するよう指示し、当該通信処理装置から送信されたPacket-inメッセージが不正通信であるか否かを判定し、当該通信処理装置から送信されたPacket-inメッセージが不正通信である場合に、当該Packet-inメッセージを送信した前記通信処理装置に設けられた端末のＩＰアドレスの通信を遮断する処理を実行させる第１の通信制御ルールを生成し、前記通信処理装置に送信する制御部を備える、
   ことを特徴とする通信制御装置。
7. 前記制御部は、
   前記ネットワークにおける不正通信が検知されたとき、当該不正通信の発信元端末のＩＰアドレスが、ネットワークアドレス変換機能を有する機器のＩＰアドレスであるか否かを判定し、当該不正通信の発信元端末のＩＰアドレスが、前記ネットワークアドレス変換機能を有する機器のＩＰアドレスでない場合に、前記不正通信の発信元端末のＩＰアドレスの通信を遮断する処理を実行させる第２の通信制御ルールを生成し、前記通信処理装置に送信する、
   ことを特徴とする請求項６に記載の通信制御装置。
8. 通信制御装置が同一のネットワークに設けられた通信処理装置を介して前記ネットワークにおける通信を制御する通信制御方法であって、
   前記ネットワークにおける不正通信を検知するステップと、
   前記不正通信の発信元端末のＩＰアドレスとして通知されたＩＰアドレスが割り当てられている前記通信処理装置に対してPacket-inメッセージを送信するよう指示するステップと、
   前記通信処理装置から送信されたPacket-inメッセージが不正通信であるか否かを判定するステップと、
   前記通信処理装置から送信されたPacket-inメッセージが不正通信である場合に、当該Packet-inメッセージを送信した前記通信処理装置に設けられた端末のＩＰアドレスの通信を遮断する処理を実行させる通信制御ルールを生成するステップと、
   前記通信制御ルールを前記通信処理装置に送信するステップと、
   を含むことを特徴とする通信制御方法。
9. 同一のネットワークに設けられた通信処理装置を介して、前記ネットワークにおける通信を制御する通信制御装置に搭載されるコンピュータに実行させるための通信制御プログラムであって、
   前記ネットワークにおける不正通信が検知されたとき、当該不正通信の発信元端末のＩＰアドレスとして通知されたＩＰアドレスが割り当てられている前記通信処理装置に対してPacket-inメッセージを送信するよう指示する処理と、
   前記通信処理装置から送信されたPacket-inメッセージが不正通信であるか否かを判定する処理と、
   前記通信処理装置から送信されたPacket-inメッセージが不正通信である場合に、当該Packet-inメッセージを送信した前記通信処理装置に設けられた端末のＩＰアドレスの通信を遮断する処理を実行させる通信制御ルールを生成する処理と、
   前記通信制御ルールを前記通信処理装置に送信する処理と、
   を前記コンピュータに実行させるための通信制御プログラム。

Images