JP7279417B2 - 通信遮断方法、通信システム、装置とプログラム - Google Patents

Description

本発明は、通信遮断方法、通信システム、装置とプログラムに関する。

ネットワークにおいて不正プログラムに感染した端末の通信を遮断する関連技術として、例えば、特許文献１には、ネットワークシステムの通信の振る舞いを監視して攻撃を検知する振る舞い検知部と、前記振る舞い検知部が出力した検知結果を受け取るとともに、レイヤ３スイッチ及びレイヤ２スイッチから、前記検知結果と前記スイッチが収容する端末装置に割り当てられたアドレスを対応づけるための情報と、前記スイッチのポートの学習情報と、前記各スイッチの隣接情報とに基づいて、前記振る舞い検知部が検知した攻撃を遮断するための設定を行う対象のスイッチを特定し、特定したスイッチに攻撃を遮断するための設定を行うネットワーク管理部を有する構成が開示されている。

特許文献１には、不正プログラムに感染した端末が持ち運ばれるなどして別のレイヤ２スイッチのポートに接続された場合に、その移動を検知し、通信遮断を実現する構成が開示されている。すなわち、監視対象の端末の移動を監視し、監視対象のエントリに該当するＦＤＢ（Filtering DataBase、Forwarding DataBaseともいう）情報がＦＤＢ情報テーブルに存在しなくなったことでポートの移動を検出し、ポートの移動を検出後に再度通信の遮断設定を実施することにより、移動後のポートに通信の遮断設定をする。

また、特許文献２には、レイヤ２スイッチ（Ｌ２スイッチ）を含むネットワーク構成において、不正アクセスが検出された端末の通信を容易に且つ確実に遮断する方法として、ネットワーク監視端末は、不正アクセスの対象となる通信端末を特定した後、当該通信端末が接続されているＬ２スイッチのポート情報を検出して、そのポートを遮断状態にすることで、当該通信端末の通信を確実に遮断する構成が開示されている。

特許文献２によれば、ネットワーク監視端末は、Ｌ２スイッチから管理情報を取得するために、例えば、ＳＮＭＰ（Simple Network Management Protocol）エージェントが実装されたＬ２スイッチに対してＩＰ（Internet Protocol）アドレスを指定して問い合わせを行い、その応答としてＳＮＭＰエージェントの管理情報（ＲＦＣ（Request for Comments）１１５６で規定されているＭＩＢ（Management Information Base）１、ＲＦＣ１２１３で規定されているＭＩＢ２、ＲＦＣ１４９３で規定されているＢＲＩＤＧＥ－ＭＩＢ、及びＲＦＣ２８６３で規定されているインタフェースに関するＭＩＢ：ＩＦ－ＭＩＢ）を受け取ることにより、任意のポートを通過するフレームのヘッダ上にあるＭＡＣ（Media Access Control）アドレスを検出することができる。そして、Ｌ２スイッチＳ３のポート情報を抽出し、それを通信端末が接続されているポート情報として特定し、ネットワーク監視端末は、Ｌ２スイッチＳ３のポートに対して遮断用のコマンドを発行することで、該通信端末の通信が遮断されることになる。

さらに、特許文献３には、ネットワーク内のいずれかの通信装置が、不正アクセスの機能を持つ不正機能部を動作させるか、又は当該不正機能部が存在している不正機能通信装置であることを検知して検知信号を送信する不正機能検知部と、当該不正機能検知部が検知信号を送信すると、前記不正機能通信装置を隔離して、強制的に他の通信装置と通信不能な状態にさせる隔離実行部と、前記不正機能検知部が検知信号を送信すると、検知信号が送信されたことを示す警告信号を他の通信装置に送信して警戒を促す警戒促進部を備えた構成が開示されている。不正機能部が不正プログラムである場合、前記隔離後の不正機能通信装置と通信することにより少なくとも、当該不正プログラムが前記不正機能通信装置上で実行されない状態にする復旧用通信装置を備えている。

上記したように、関連技術の通信遮断システムは、端末（通信端末）のＩＰアドレスをキーにして、ネットワークに接続するネットワーク機器（ノード）のＡＲＰ（Address Resolution Protocol：アドレス解決プロトコル）テーブル（ＩＰアドレスとＭＡＣアドレスの対応表）及びＭＡＣアドレステーブル（ＭＡＣアドレスとポート番号の対応表）を検索し、通知されたＩＰアドレスに該当するコンピュータのＭＡＣアドレスを学習しているネットワークスイッチのポート情報（インタフェース情報）を求める。なお、ネットワークスイッチ（Ｌ２スイッチ）では、フレームを受信すると、該フレームの送信元ＭＡＣアドレスをＭＡＣアドレステーブルに登録する（該テーブルの各エントリにはＭＡＣアドレスとフレームを受信したインタフェース、エージングタイマ値等が記録される）。Ｌ２スイッチは、該フレームの宛先ＭＡＣアドレスとＭＡＣアドレステーブル内に登録されているＭＡＣアドレスを比較し、一致するエントリがない場合、該フレームを、該フレームを受信したインタフェース以外のすべてのインタフェースに転送する（フラッディング）。該テーブルに宛先ＭＡＣアドレスに一致するエントリが検出されると、ネットワークスイッチは、該フレームを受信したインタフェースと、検出されたエントリのインタフェースを比較し、インタフェースが同一であれば、フレームを廃棄し、異なっていれば、検出されたエントリのインタフェースへフレームを転送する。

特開２０１８－１２１３２０号公報 国際公開第２０１２／０１４５０９号 特開２００６－１６５８７７号公報

ＲＦＣ１１５７ Ａ Ｓｉｍｐｌｅ Ｎｅｔｗｏｒｋ Ｍａｎａｇｅｍｅｎｔ Ｐｒｏｔｏｃｏｌ （ＳＮＭＰ） １９９０年５月 ＲＦＣ１４９３ Ｄｅｆｉｎｉｔｉｏｎｓ ｏｆ Ｍａｎａｇｅｍｅｎｔ Ｏｂｊｅｃｔｓ ｆｏｒ Ｂｒｉｄｇｅ １９９３年７月

関連技術の分析を与える。

特許文献１では、管理装置は、ネットワーク機器に問い合わせて情報を収集することで、通信を遮断する位置を決定している。特許文献２では、Ｌ２スイッチに問い合わせを行い、遮断対象の端末が接続するポート情報を検出して、該ポートを遮断状態に設定している。

ネットワークスイッチのＡＲＰテーブル、ＭＡＣアドレステーブルの検索は、特許文献１等にも記載されているように、例えばＳＮＭＰ標準ＭＩＢを使用して行われるが、ネットワーク上の全てのネットワークスイッチに対して検索を行う場合、処理負荷、ネットワーク負荷が大となる。このため、ネットワークスイッチのＡＲＰテーブル、ＭＡＣアドレステーブルの検索は、時間を掛けながら行う必要がある。このため、コンピュータ等の端末装置が持ち運ばれて移動する場合、端末装置のＩＰアドレスから求められたネットワークスイッチのインタフェース（ポート）から端末装置は移動しており、端末装置の通信遮断ができないという事態も起こり得る。

また、端末装置が持ち運ばれて移動する場合、該端末装置の移動に追随するためには、ネットワーク上のすべてのネットワークスイッチのインタフェースに対して、通信遮断するＩＰアドレスの通信の遮断設定が必要とされ、多数のネットワークスイッチが存在する環境では、ネットワークスイッチのインタフェースの通信遮断に長時間を要し、また、所定時間内に、通信遮断が実施できる端末装置の個数も制限される。

本発明は、上記事情等に鑑みて創案されたものであって、その目的の１つは、例えば処理負荷、ネットワーク負荷の増大を抑えて通信遮断対象の端末装置の移動に追従可能とするシステム、装置、方法、プログラムを提供することにある。

本発明の一つの側面によれば、端末装置のネットワークスイッチへの接続履歴情報を保持する第１の記憶部と、通信遮断対象の端末装置を特定した接続情報取得要求を受けると、前記第１の記憶部を参照して、前記端末装置に対応する接続履歴情報を取得し、前記接続履歴情報に基づき、前記端末装置が接続する可能性のあるネットワークスイッチと前記ネットワークスイッチのインタフェースを予測する接続位置予測装置を備えた通信システムが提供される。

本発明の他の一つの側面によれば、通信遮断対象の端末装置を特定した接続情報取得要求を受ける手段と、前記端末装置のネットワークスイッチへの接続履歴情報を保持する第１の記憶部を参照して、前記端末装置に対応する接続履歴情報を取得し、前記接続履歴情報に基づき、前記端末装置が接続する可能性のあるネットワークスイッチと前記ネットワークスイッチのインタフェースを予測する手段を備えた、接続位置予測装置が提供される。

本発明の他の一つの側面によれば、端末装置のネットワークスイッチへの接続履歴情報を第１の記憶部に保持し、通信遮断対象の端末装置を特定した接続情報取得要求に応答して、前記第１の記憶部を参照して、前記端末装置に対応する接続履歴情報を取得し、前記端末装置の前記接続履歴情報に基づき、前記端末装置が接続する可能性のあるネットワークスイッチと前記ネットワークスイッチのインタフェースを予測し、予測されたネットワークスイッチのインタフェースに対して、前記アドレスの通信遮断設定を行う通信遮断方法が提供される。

本発明の他の一つの側面によれば、通信遮断対象の端末装置を特定した接続情報取得要求を受け、前記端末装置のネットワークスイッチへの接続履歴情報を保持する第１の記憶部を参照して、前記端末装置の前記接続履歴情報に基づき、前記端末装置が接続する可能性のあるネットワークスイッチと前記ネットワークスイッチのインタフェースを予測する予測処理を、コンピュータに実行させるプログラムが提供される。

本発明によれば、上記したプログラムを記憶したコンピュータ読み出し可能な記録媒体（（例えばＲＡＭ（Random Access Memory）、ＲＯＭ（Read Only Memory)、又は、EEPROM(Electrically Erasable and Programmable ROM））等の半導体ストレージ、ＨＤＤ（Hard Disk Drive）、ＣＤ（Compact Disc）、ＤＶＤ（Digital Versatile Disc）等のnon-transitory computer readable recording medium）が提供される。

本発明によれば、例えば処理負荷及びネットワーク負荷の増大を抑えて通信遮断対象の端末装置の移動に追従可能としている。

本発明の例示的な実施形態のシステム構成の一例を模式的に例示する図である。 本発明の例示的な実施形態においてネットワークスイッチグループの構成例を模式的に示す図である。 本発明の例示的な実施形態における接続情報記録ファイルの一例を模式的に示す図である。 本発明の例示的な実施形態における接続情報記録ファイルを構成する端末装置接続位置情報４１１の一例を模式的に示す図である。 本発明の例示的な実施形態における通信遮断指示装置の機能構成の一例を模式的に示す図である。 本発明の例示的な実施形態における接続位置検出装置の機能構成の一例を模式的に示す図である。 本発明の例示的な実施形態における接続位置予測装置の構成の一例を模式的に示す図である。 本発明の例示的な実施形態における接続情報取得要求の一例を模式的に示す図である。 本発明の例示的な実施形態における接続情報取得応答の一例を模式的に示す図である。 本発明の例示的な実施形態における不正端末装置検出アラームの一例を模式的に示す図である。 本発明の例示的な実施形態における検索対象期間定義ファイルの一例を模式的に示す図である。 本発明の例示的な実施形態における管理対象スイッチ定義ファイルの一例を模式的に示す図である。 本発明の例示的な実施形態におけるネットワークスイッチグループ定義ファイルの一例を模式的に示す図である。 本発明の例示的な実施形態のシーケンス動作の一例を説明する図である。 本発明の例示的な実施形態の変形例を模式的に例示する図である。 本発明の例示的な実施形態のコンピュータ実装例を説明する図である。 本発明の例示的な実施形態の接続位置予測処理を説明する流れ図である。

以下では、はじめに、本発明の基本形態について説明し、つづいて、本発明の例示的な実施形態について説明する。

本発明の一形態によれば、通信システム（図１の１０）は、コンピュータ等の端末装置（ホスト）のネットワークスイッチへの接続履歴情報を保持する第１の記憶部（図１の接続情報管理ファイル４）と、通信遮断対象の端末装置を特定した接続情報取得要求を受けると、前記第１の記憶部を参照して、前記端末装置に対応する接続履歴情報を取得し、前記接続履歴情報に基づき、前記端末装置が接続する可能性のあるネットワークスイッチと前記ネットワークスイッチのインタフェースを予測する接続位置予測装置（図１の３）を備える。接続情報取得要求は、通信遮断対象の端末装置を特定するための識別情報（端末装置に割り振られたアドレス情報（例えばＩＰアドレス））を含む。

通信システムは、複数のネットワークスイッチをグループ化したネットワークスイッチグループを保持する第２の記憶部（図１のネットワークスイッチグループ定義ファイル５）を備える。接続位置予測装置（図１の３）は、前記端末装置の前記接続履歴情報（図３の端末装置接続位置情報エントリ４１）を参照して、例えば前記端末装置が最新に（直近で（most recently））接続したネットワークスイッチを求め、さらに、前記第２の記憶部（図１のネットワークスイッチグループ定義ファイル５）を参照して、前記端末装置が最新に接続した（接続している）前記ネットワークスイッチが所属するネットワークスイッチグループを特定する。さらに、接続位置予測装置（図１の３）は、前記ネットワークスイッチグループに含まれるネットワークスイッチのうち、前記第１の記憶部の前記接続履歴情報を参照して、予め設定された検索対象期間以降に前記端末装置が接続したネットワークスイッチのインタフェース情報を取得し、取得したネットワークスイッチのインタフェース情報を、接続情報取得応答として、前記接続情報取得要求の送信元である通信遮断指示装置（図１の１）に返す。

通信遮断指示装置（図１の１）は、予測された接続位置情報のネットワークスイッチのインタフェースに対して、前記アドレスの通信遮断設定を行う。

本発明の一形態では、通信システムは、センサ装置等で検出した不正の端末装置のＩＰアドレスをキーにして、ネットワークスイッチで該当ＩＰアドレスを使用する通信を遮断するようにしてもよい。ＩＰアドレスのネットワークスイッチへの接続履歴情報に基づき、最新（現在又は直前）のネットワークへの接続位置情報（端末装置が接続したネットワークスイッチのインタフェース情報）から、当該端末装置が今後接続する可能性のあるネットワークスイッチを予測し、予測したネットワークスイッチに対して、通信遮断設定（該当ＩＰアドレスを使用する通信を遮断するように設定）を、好ましくは事前に行う。

本発明の一形態によれば、ネットワークスイッチでそれぞれ保持するＩＰアドレスとＭＡＣアドレスの対応を記録したＡＲＰテーブル、及び、ＭＡＣアドレスとインタフェース情報（ポート情報）の対応を記録したＭＡＣアドレステーブルを取得して、端末装置のネットワークスイッチへの接続履歴情報を更新するようにしてもよい。接続履歴情報は、端末装置が接続したネットワークスイッチの接続位置情報を、時刻情報（更新時刻）とともに記憶部に記憶保持する構成としてもよい。接続履歴情報は、端末装置のＩＰアドレス、ネットワークスイッチ（レイヤ３スイッチ）のＩＰアドレス、ネットワークインタフェースを含む構成としてもよい。時刻とＩＰアドレスをキーに記憶部を検索することできる。

また、本発明の一形態によれば、端末装置が移動して接続する可能性のある複数のネットワークスイッチをグループ化しネットワークスイッチグループとして記憶管理するようにしてもよい。通信遮断システムの管理者が事前にネットワークスイッチグループを作成するようにしてもよく、ネットワークスイッチグループはグループ名（ＩＤ）が付与され、グループ名（ＩＤ）で識別可能とされる。

本発明の一形態によれば、通信システムにおいて、センサ装置から送られてきたアラームを検出した時に、アラーム内に存在するＩＰアドレスをキーにして、端末装置接続位置情報を検索するようにしてもよい。

本発明の一形態によれば、通信システムは、ネットワークスイッチ接続位置を検索する際に、最新の端末装置接続位置情報だけでなく、過去の端末装置接続位置情報を検索し、端末装置接続位置情報を抽出するようにしてもよい。

本発明の一形態によれば、通信システムは、端末装置接続位置情報の検索は、最新の端末装置接続位置情報と同一のネットワークスイッチグループに所属するネットワークスイッチのみを検索対象としてもよい。端末装置が移動できる範囲を限定し、検索範囲を絞り込むことができる。

また、本発明の一形態によれば、通信システムは、端末装置接続位置情報を検索する時刻も、アラームを受信した時刻から、予め定められた時間以内とし、それよりも古い履歴情報は検索しないようにする。

本発明の一形態によれば、通信システムは、検索された複数の端末装置接続位置情報のネットワークスイッチのインタフェースに対して、アラームで通知されたＩＰアドレスを通信遮断する設定を行う。

本発明の一形態によれば、通信システムは、端末装置が移動する可能性のあるネットワークスイッチを限定しながら、ネットワークスイッチに対して網羅的に通信遮断設定することが可能となる。本発明の一形態によれば、移動する端末装置に対する通信遮断設定に要する処理負荷、ネットワーク負荷の増大を抑制することができる。

図１は、本発明の例示的な実施形態の通信システムの一例を模式的に示す図である。図１を参照すると、通信システム１０は、通信遮断指示装置１と、接続位置検出装置２と、接続位置予測装置３と、接続情報管理ファイル４と、ネットワークスイッチグループ定義ファイル５と、検索対象期間定義ファイル６と、管理対象スイッチ定義ファイル８と、管理用ネットワーク１００と、複数のネットワークスイッチ（例えばネットワークスイッチ７１とネットワークスイッチ７２）と、ネットワークスイッチに接続してデータ通信を行う複数の端末装置（例えば端末装置９１と端末装置９２）と、を具備する。

端末装置９１と端末装置９２は、ＩＰアドレスが付与されたコンピュータ等の情報通信装置からなる。端末装置９１と端末装置９２はＰＣ（Personal Computer）等、設置位置（場所）が移動可能とされる情報通信装置であってよい。あるいは、ＩＰアドレスが割り振られたＩｏＴ（Internet of Things）機器等であってもよい。なお、図１では、簡単のため、複数の端末装置として、２台の端末装置９１、９２が例示されているが、通信システム１０において、端末装置の個数は２つに制限されるものでないことは勿論である。

図１では、複数のネットワークスイッチとして例示されるネットワークスイッチ７１とネットワークスイッチ７２は、端末装置９１と端末装置９２にそれぞれ接続されるエッジスイッチ（Ｌ２スイッチ）であるが、複数のネットワークスイッチはエッジスイッチに制限されるものでなく、他のＬ２スイッチやレイヤ３スイッチ（Ｌ３スイッチ）、ルータ等のネットワーク機器を含むようにしてもよいことは勿論である。

ネットワークスイッチ７１とネットワークスイッチ７２がＬ２スイッチの場合、ＩＰアドレスが割り当てられる構成とし、例えばｔｅｌｎｅｔやＴＦＴＰ（Trivial File Transfer Protocol）等でアクセスして、リモート上でＬ２スイッチのステータス確認や設定変更等が行える構成としてもよい。

管理用ネットワーク１００は、イーサネット（登録商標）等のＬＡＮであってもよい。

端末装置９１（９２）とネットワークスイッチ７１（７２）のＮＩＣ（Network Interface Card）のポート間をイーサネットケーブル等で接続した構成としてもよい。図１では、バス接続型の管理用ネットワーク１００（管理用ＬＡＮ）が示されているが、データネットワーク（業務ネットワーク）は、例えばネットワークスイッチのＮＩＣのポート間をイーサネットケーブルで接続した多段構成のネットワークトポロジーとしてもよい。

接続情報管理ファイル４と、ネットワークスイッチグループ定義ファイル５と、検索対象期間定義ファイル６と、管理対象スイッチ定義ファイル８をそれぞれ記憶する記憶装置は、それぞれ、管理用ネットワーク１００に接続するＮＩＣを備え、通信遮断指示装置１と、接続位置検出装置２と、接続位置予測装置３から管理用ネットワーク１００を介してアクセスされる構成としてもよい。あるいは、接続情報管理ファイル４、ネットワークスイッチグループ定義ファイル５、検索対象期間定義ファイル６、及び、管理対象スイッチ定義ファイル８を一つの記憶装置に保持する構成としてもよい。

通信遮断指示装置１は、センサ装置９００から遮断指示を受け付けるＡＰＩ（Application Programming Interface）を提供するようにしてもよい。通信遮断指示装置１は、ＡＰＩで受け付けた遮断指示に含まれるＩＰアドレスの端末装置を通信遮断するために、接続位置予測装置３から、当該ＩＰアドレスが接続されると予想されるネットワークスイッチとネットワークスイッチのインタフェースの一覧を取得する。

通信遮断指示装置１は、接続位置予測装置３で取得されたネットワークスイッチに対して、接続位置予測装置３で取得されたインタフェース（ポート）に、センサ装置９００からの遮断指示で通知されたＩＰアドレスの通信を遮断する設定を行う。

接続位置検出装置２は、例えば、定期的に、ＬＡＮ等のネットワークに接続する全てのネットワークスイッチで保持するＡＲＰテーブル、ＭＡＣアドレステーブルを取得する。接続位置検出装置２は、学習されているＩＰアドレスの接続位置とＩＰアドレスと、取得した時刻を、接続情報管理ファイル４に記録する。

接続位置予測装置３は、接続位置検出装置２が接続情報管理ファイル４に記録した接続情報の履歴を検索し、最新の端末装置接続位置情報が所属するネットワークスイッチグループの中から、指定されたＩＰアドレスに関係する、一定期間以内に記録された端末装置接続位置情報を抽出する。

通信遮断指示装置１、接続位置検出装置２、接続位置予測装置３は、いずれも不図示のＣＰＵ（Central Processing Unit）、主記憶装置、外部記憶装置と、ネットワークを介して通信相手と通信する通信インタフェース（ＮＩＣ等）を備えるコンピュータ装置（情報通信装置）である。これらの装置１～３は管理用ネットワーク１００に接続する接続情報管理ファイル４にデータを格納及び参照することができる。

図１において、端末装置９１はネットワークスイッチ７１に接続し、例えば、端末装置９２と通信を行う。

通信遮断指示装置１は、センサ装置９００から、不正端末装置を検出したことを示す不正端末装置検出アラームを受け取ると、受信した不正端末装置検出アラーム内に設定されている不正端末装置のＩＰアドレス（遮断対象ＩＰアドレス）を抽出する。

図１０は、不正端末装置検出アラームの一例を説明する図である。図１０に示すように、不正端末装置検出アラーム９０１は、遮断対象ＩＰアドレス９０１１とその他情報９０１２を有する。

通信遮断指示装置１は、不正端末装置検出アラーム９０１に含まれる遮断対象ＩＰアドレス９０１１に関する、端末装置接続位置情報の一覧の取得要求（接続情報取得要求）を、接続位置予測装置３に送信する。

通信遮断指示装置１は、接続位置予測装置３から通知された端末装置接続位置情報の一覧（接続位置取得応答）に基づき、通信遮断の設定（フィルタリングの設定：例えば遮断対象ＩＰアドレスの通信を遮断）をネットワークスイッチ（例えばネットワークスイッチ７１又は７２）に対して行う。

接続位置検出装置２は、好ましくは、定期的に、ネットワークスイッチ７１及び７２から、各スイッチのＡＲＰ学習情報とＭＡＣアドレス学習情報を検索し、各ネットワークスイッチに接続している端末装置のＩＰアドレスと、各ネットワークスイッチに接続しているインタフェース情報（ポート情報）を収集する。接続位置検出装置２は、定期的に、ネットワークスイッチから収集した情報を、収集時刻と共に、接続情報管理ファイル４に保存する。

接続位置検出装置２は、収集した情報を保存する際に、同一の端末装置接続位置情報（図３の端末装置接続位置情報エントリ４１）が接続情報管理ファイル４に存在する場合、更新回数（図３の４１３）を１つ加算し、更新時刻（図３の４１２）を現在時刻に更新するだけであり、接続情報管理ファイル４に、新たに端末装置接続位置情報を追加することはしない（なお、接続情報管理ファイル４の詳細は図３、図４を参照して後述される）。

接続位置予測装置３は、ＩＰアドレスが通知された端末装置が接続することが予測されるネットワークスイッチを特定するために、ネットワークスイッチグループを設定する。接続位置予測装置３では、ネットワークスイッチが所属するネットワークスイッチグループを、コマンド等により、事前に設定し、ネットワークスイッチグループ定義ファイル５に保存する。

図１３は、ネットワークスイッチグループ定義ファイル５を説明する図である。ネットワークスイッチグループ定義ファイル５は、ネットワークスイッチのＩＰアドレスをキーにして、ネットワークスイッチが所属するネットワークスイッチグループの対応情報を管理するファイルである。ネットワークスイッチグループエントリ５１としてネットワークスイッチのＩＰアドレス５１１を有し、ネットワークスイッチグループ５１２は、ＩＰアドレス５１１を有するネットワークスイッチが所属するネットワークスイッチグループである。

接続位置予測装置３は、通信遮断指示装置１からの端末装置接続位置情報の一覧の取得要求（接続情報取得要求）を受け付け、通知されたＩＰアドレスをキーとして、接続情報管理ファイル４を検索し、ＩＰアドレスが通知された端末装置が接続している最新のネットワークスイッチ７１が所属するネットワークスイッチグループを検索する。

接続位置予測装置３は、検索されたネットワークスイッチグループと、通知されたＩＰアドレスに合致する全ての端末装置接続位置情報を、接続情報管理ファイル４から検索する。

検索対象期間定義ファイル６は、接続位置予測装置３が、接続情報管理ファイル４を検索する際に参照されるファイルであり、検索対象期間の指定に用いられるファイルである。図１１は、検索対象期間定義ファイル６を説明する図である。検索対象期間定義ファイル６は、検索対象期間６１の情報を含む。

接続位置予測装置３は、接続情報管理ファイル４の検索を行う時点から、検索対象期間６１まで遡った時点以降の端末装置接続位置情報エントリ４１（図３）を検索対象とする。

管理対象スイッチ定義ファイル８は、通信システム１０において、通信遮断の制御ができるネットワークスイッチを設定するファイルである。図１２は、管理対象スイッチ定義ファイル８を説明する図である。管理対象スイッチエントリ８１は、ネットワークスイッチのＩＰアドレス８１１とその他情報８１２を含む。管理対象スイッチ定義ファイル８に管理対象として設定されていないネットワークスイッチは通信遮断の制御対象から外される。

ネットワークスイッチ７１及び／又はネットワークスイッチ７２は、通信遮断指示装置１からの通信遮断の設定を受け付けると、指定されたインタフェースに対して、通知されたＩＰアドレスの通信を遮断するフィルタリング等の設定を行う。特に制限されないが、ネットワークスイッチがＶＬＡＮ（Virtual LAN）間のルーティングを行うＬ３スイッチの場合、指定されたインタフェースに対して通知されたＩＰアドレスのＶＬＡＮ間の通信を遮断し、それ以外の通信は許可するように設定してもよい。また、ネットワークスイッチがＬ２スイッチである場合、指定されたインタフェースに対して、通知されたＩＰアドレスに対応するＭＡＣアドレスを送信元ＭＡＣアドレス、宛先ＭＡＣアドレスとするフレームは破棄し、その他のフレームは中継するように設定してもよい。

図２は、本実施形態におけるネットワークスイッチグループを説明するための図ある。図２において、ネットワークスイッチグループ５０１は、ネットワークスイッチ７１、ネットワークスイッチ７２、ネットワークスイッチ７３で構成されている。ネットワークスイッチグループ５０２は、ネットワークスイッチ７４のみで構成されている。なお、特に制限されないが、図２の例では、ネットワークスイッチ７３、７４は例えばＷＡＮインタフェースを備えたＬ３スイッチ（又はルータ等）であってもよい。ネットワークスイッチ７３はＷＡＮ（Wide Area Network）１１０を介してネットワークスイッチグループ５０２のネットワークスイッチ７４に接続されている。ネットワークスイッチ７１－７３はある拠点のＬＡＮに配置され、ネットワークスイッチ７４はＷＡＮ１１０を介して接続される別の拠点のＬＡＮに配置される構成であってもよい。

接続位置予測装置３は、端末装置接続位置情報の検索は、通信遮断する端末装置のＩＰアドレスがネットワークスイッチ７１に接続していた場合、同一のネットワークスイッチグループ５０１に所属するネットワークスイッチ７１、ネットワークスイッチ７２、ネットワークスイッチ７３のみを検索対象とし、ネットワークスイッチグループ５０２に所属しているネットワークスイッチ７４は検索対象としない。

接続情報管理ファイル４は、図３に示すように、複数の端末装置接続位置情報エントリ４１で構成される。端末装置接続位置情報エントリ４１は、端末装置接続位置情報４１１と、端末装置接続位置情報エントリ４１の更新時刻４１２と、更新回数４１３を含む。端末装置接続位置情報エントリ４１を登録する時、現在時刻から、検索対象期間定義ファイル６で設定されている時間より古い端末装置接続位置情報エントリ４１は削除する。

図３は、図１の接続情報管理ファイル４の一例を説明する図である。接続情報管理ファイル４は、端末装置接続位置情報エントリ４１は、端末装置接続位置情報４１１と、更新時刻４１２（収集時刻）、更新回数４１３の情報項目を含む。

図４は、図３の端末装置接続位置情報４１１の一例を説明する図である。図４を参照すると、端末装置接続位置情報４１１において、ＩＰアドレス４１１１は、ネットワークスイッチに接続した端末装置のＩＰアドレスである。接続スイッチ情報４１１２は、端末装置が接続するネットワークスイッチのＩＰアドレス４１１２１と、ネットワークスイッチのインタフェース名４１１２２を有する。図４に示すように、ネットワークスイッチに接続した端末装置のＩＰアドレスに対して、端末装置が接続したネットワークスイッチのIPアドレスと、インタフェース名の組からなる１つ又は複数の接続スイッチ情報４１１２が対応付けて記憶保持される。

図５は、図１の通信遮断指示装置１の機能構成の一例を説明する図である。通信遮断指示装置１は、遮断指示受付制御部１１と、接続位置取得制御部１２と、通信遮断制御部１３を含む。通信遮断指示装置１において、各部１１―１３は、通信遮断指示装置１のプロセッサがメモリに格納されたプログラム命令を実行することで、その処理、機能を実現するようにしてもよいことは勿論である。

遮断指示受付制御部１１は、センサ装置９００からの不正端末装置検出アラーム９０１を受け取る。遮断指示受付制御部１１は、不正端末装置検出アラーム９０１に含まれる、アラーム対象となったＩＰアドレスを抽出する。接続位置取得制御部１２は、遮断指示受付制御部１１が抽出したＩＰアドレスが接続するネットワークスイッチとインタフェースを求めるために、接続位置予測装置３に対して、端末装置接続位置情報の一覧の取得を要求する接続情報取得要求を送信し、接続位置予測装置３から検索結果（接続情報取得応答）を受け取る。

通信遮断制御部１３は、接続位置取得制御部１２が取得した端末装置接続位置情報と、遮断指示受付制御部１１が不正端末装置検出アラーム９０１から抽出したＩＰアドレスを元に、ネットワークスイッチに対して通信遮断の設定を行う機能を具備する。

図６は、図１の接続位置検出装置２の機能構成の一例を説明する図である。接続位置検出装置２は、対象スイッチ情報管理部２１と、接続情報収集制御部２２と、収集情報解析制御部２３と、接続情報記録制御部２４を含む。接続位置検出装置２において、各部２１―２４は、通信遮断指示装置１のプロセッサがメモリに格納されたプログラム命令を実行することで、その処理、機能を実現するようにしてもよいことは勿論である。

対象スイッチ情報管理部２１は、検索対象期間定義ファイル６から検索対象期間を取得し、接続情報収集制御部２２に通知する。

接続情報収集制御部２２は、指定されたＩＰアドレスのネットワークスイッチに接続し、一例としてＳＮＭＰ等により、ＡＲＰ情報、ＭＡＣアドレス情報を、当該ネットワークスイッチから取得する。

図７は、接続位置予測装置３の機能構成の一例を例示する図である。接続位置予測装置３は、接続情報取得要求受付部３１と、接続情報検索制御部３２と、接続情報予測制御部３３と、接続情報通知部３４を含む。接続位置予測装置３において、各部３１－３４は、通信遮断指示装置１のプロセッサがメモリに格納されたプログラム命令を実行することで、その処理、機能を実現するようにしてもよいことは勿論である。

接続情報取得要求受付部３１は、通信遮断指示装置１から通信遮断対象の端末装置のＩＰアドレスを含む接続情報取得要求を受け付ける。

接続情報検索制御部３２は、接続情報取得要求受付部３１で受け取ったＩＰアドレスで接続情報管理ファイル４を検索し、当該ＩＰアドレスに対応する端末装置接続位置情報エントリ４１のうち、更新時刻（図３の４１２）が最新の端末装置接続位置情報エントリ４１を抽出する。

接続情報予測制御部３３は、接続情報検索制御部３２により抽出された最新の端末装置接続位置情報エントリ４１のネットワークスイッチのＩＰアドレス（図４の４１１２１）をキーとしてネットワークスイッチグループ定義ファイル５（図１３）を検索し、最新の端末装置接続位置情報エントリ４１のネットワークスイッチのＩＰアドレス４１１２１が所属するネットワークスイッチグループを抽出する。

接続情報予測制御部３３は、最新の端末装置接続位置情報エントリ４１のネットワークスイッチが所属するネットワークスイッチグループと、接続情報取得要求受付部３１で受け付けたＩＰアドレス、及び、接続情報取得要求受付部３１が受け付けた時刻に基づき、接続情報管理ファイル４を検索して、検索対象期間定義ファイル６で定義されている時間分遡った時刻以降に保存（更新）された端末装置接続位置情報エントリ４１を抽出する。例えば、最新の端末装置接続位置情報エントリ４１のネットワークスイッチが所属するネットワークスイッチグループに含まれるネットワークスイッチの端末装置接続位置情報エントリ４１から、接続情報取得要求受付部３１で受け付けたＩＰアドレスに端末装置が、接続情報取得要求の受付時刻から検索対象期間６１遡った時刻以降に接続したネットワークスイッチのインタフェース情報を取得する。

接続情報通知部３４は、接続情報予測制御部３３で抽出された全ての端末装置接続位置情報エントリ４１を含む接続情報取得応答を、接続情報取得要求を通知してきた通信遮断指示装置１に送信する。

図１４は、本発明の例示的な実施形態のシーケンス動作を説明する図である。

接続位置検出装置２は、定期的にネットワークスイッチ７１、ネットワークスイッチ７２からＡＲＰテーブル、ＭＡＣアドレステーブルを取得する。ステップＳ１０１、Ｓ１０３で接続位置検出装置２は、ネットワークスイッチ７１、ネットワークスイッチ７２に転送を要求し（例えばＳＮＭＰポーリング）、ステップＳ１０２、Ｓ１０４でネットワークスイッチ７１、ネットワークスイッチ７２はＡＲＰテーブル、ＭＡＣアドレステーブルを接続位置検出装置２に送信する。

接続位置検出装置２は、取得したＡＲＰテーブル、ＭＡＣアドレステーブルから接続情報管理ファイル４の端末装置接続位置情報４１１を作成する。

なお、ＡＲＰテーブル及びＭＡＣアドレステーブルから端末装置接続位置情報４１１を取得する手法の一例を説明する。Ｌ３スイッチ等のネットワークスイッチにおいて、ＡＲＰテーブルの学習は、他のノードからパケット（フレーム）を受信した場合、ＩＰアドレスとＭＡＣアドレスの組が登録又は更新される（例えばＡＲＰパケットからＩＰアドレスに対応するＭＡＣアドレスを取り出しＡＲＰテーブルを更新する）。

ネットワークスイッチ７１、７２において、ＭＡＣアドレステーブルの学習は、ネットワークスイッチ７１、７２がフレームを受信すると、該フレームの送信元ＭＡＣアドレスと該フレームを受信したインタフェースとの組をＭＡＣアドレステーブルに登録することで行われる。

接続位置検出装置２では、取得したＡＲＰテーブルにおいてＩＰアドレスからＭＡＣアドレスを求め、取得したネットワークスイッチ７１、ネットワークスイッチ７２のＭＡＣアドレステーブルを検索することで、該ＭＡＣアドレスに対応するネットワークスイッチのインタフェースを求める。

接続位置検出装置２は、端末装置接続位置情報４１１を接続情報管理ファイル４に、現在時刻を更新時刻４１２とし、更新回数４１３を１つ加算し、端末装置接続位置情報エントリ４１として接続情報管理ファイル４に保存する（Ｓ１０５）。

不正端末装置を検出したセンサ装置９００は、不正端末装置検出アラーム９０１（図１０）を通信遮断指示装置１に送信する（Ｓ１０６）。センサ装置９００で不正端末装置を検出し不正端末装置検出アラームを送る方法は、不正端末装置のＩＰアドレスを通知できれば、公知の任意の手法を用いてよい。

不正端末装置検出アラーム９０１（図１０）を受信した通信遮断指示装置１は、接続情報取得要求１０１を接続位置予測装置３に送る（Ｓ１０７）。図８は接続情報取得要求１０１を説明する図である。接続情報取得要求１０１は検索対象のＩＰアドレス１０１１を含む。

接続位置予測装置３は、接続情報取得要求１０１を受信すると、接続情報管理ファイル４を検索し、端末装置接続位置情報エントリ４１（図３）を抽出する（Ｓ１０８）。この時、ＩＰアドレス１０１１をキーに、最新の端末装置接続位置情報エントリが所属するネットワークスイッチグループと、ＩＰアドレス及び受付時刻に基づき、検索対象期間定義ファイル６で定義されている時間前の時刻以降に保存された端末装置接続位置情報エントリ４１を、接続情報管理ファイル４を検索して抽出する。

接続位置予測装置３は、抽出した端末装置接続位置情報エントリ４１を、接続情報取得応答１０２により通信遮断指示装置１に通知する（Ｓ１０９）。図９は、接続情報取得応答１０２の一例を説明する図である。接続情報取得応答１０２は端末装置接続位置情報エントリ４１を含む。

通信遮断指示装置１は、接続情報取得応答１０２を受け取り、接続情報取得応答１０２で通知された端末装置接続位置情報エントリ４１に含まれているネットワークスイッチ（ネットワークスイッチのＩＰアドレス４１１２１）にアクセスし、端末装置接続位置情報エントリ４１含まれているインタフェース(インタフェース名４１１２２)に対して、不正端末装置検出アラーム９０１で通知されたＩＰアドレスの通信を遮断設定する。

ネットワークスイッチに対するＩＰ通信の遮断設定は、一例としてネットワークスイッチにｔｅｌｎｅｔ等を使用して接続し、ネットワークスイッチの該当インタフェースに対してフィルタリング設定（当該ＩＰアドレスのパケットを選択的に廃棄）するようにしてもよい。あるいは、通信遮断設定は、ネットワークスイッチで実行されるＣＬＩ（Command Line Interface）コマンド（フィルタリング設定コマンド）を通信遮断指示装置１で自動生成してＴＦＴＰ等で、ネットワークスイッチに送信して実行させるようにしてもよい。

本実施形態によれば、端末装置が移動する場合でも、過去の接続実績に基づき、接続する可能性のあるネットワークスイッチを限定しながら、ネットワークスイッチに対して端末装置の通信遮断設定を行うことができる。

全てのネットワークスイッチに対して、通信遮断することが不要とされる。このため、通信遮断システムの処理負荷を減らし、通信遮断に要する時間を短縮することができる。

図１の通信遮断指示装置１、接続位置検出装置２、接続位置予測装置３、接続情報管理ファイル４を、別々の装置として、配備するかわりに、図１５に例示するように、１台の装置（通信遮断集合装置２００）に配置するようにしてもよい。この場合、通信遮断指示装置１、接続位置検出装置２、接続位置予測装置３は、ソフトウェアモジュールとして配備され、通信遮断集合装置２００のプロセッサがプログラムを実行することで動作する。

図１６は、図１５の通信遮断集合装置２００を１台のコンピュータ装置３００で実装した例を説明する図である。コンピュータ装置３００は、プロセッサ３０１、半導体メモリ又はＨＤＤ等のメモリ３０２、表示装置３０３、通信インタフェース３０４を備えている。通信インタフェース３０４は、図１５の管理用ネットワーク１００に接続する装置と通信接続する。プロセッサ３０１は、メモリ３０２に記憶されたプログラム（命令）を実行することで、上記した実施形態の通信遮断指示装置１、接続位置検出装置２、接続位置予測装置３の処理を実現する。

図１７は、コンピュータ装置３００の処理動作（接続位置予測処理）の一例を説明する流れ図である。

通信遮断指示モジュール（通信遮断指示装置１）が、不正端末装置検出アラームを受信すると（Ｓ１０１）、接続位置予測モジュールに接続情報取得要求を送信し、接続位置予測モジュールは、不正端末装置検出アラームのＩＰアドレスで接続情報管理ファイル４を検索し、接続位置検出モジュール（接続位置検出装置２）によって最新に更新（記録）された端末装置接続位置情報エントリ４１を抽出する（Ｓ１０２）。接続位置検出モジュール（接続位置検出装置２）はネットワークスイッチでそれぞれ保持するアドレス解決テーブル、及び、ＭＡＣアドレステーブルの情報を、例えば定期的に取得して接続情報管理ファイル４を更新する。

接続位置予測モジュール（接続位置予測装置３）は、最新の端末装置接続位置情報エントリ（図３の４１）のネットワークスイッチのＩＰアドレスが所属するネットワークスイッチグループを、ネットワークスイッチグループ定義ファイル５（図１３）を検索して抽出する。接続位置予測モジュールは、最新の端末装置接続位置情報エントリが所属するネットワークスイッチグループと、不正端末装置のＩＰアドレス、及び、接続情報取得要求を受け付けた時刻に基づき、検索対象期間定義ファイル６で定義されている時間前の時刻以降に保存された端末装置接続位置情報エントリを、接続情報管理ファイル４を検索して抽出し（Ｓ１０３）、接続情報取得応答１０２（端末装置接続位置情報エントリ４１）を通信遮断指示モジュール（通信遮断指示装置１）に送信する。

通信遮断指示モジュール（通信遮断指示装置１）は、接続情報取得応答１０２の端末装置接続位置情報エントリ４１に含まれているネットワークスイッチにアクセスし、該ネットワークスイッチのインタフェースに対して、不正端末装置検出アラームで通知されたＩＰアドレスの通信遮断設定を行う（Ｓ１０４）。

上記各実施形態によれば、コンピュータ等の端末装置が接続した（あるいは現在接続している）ネットワークスイッチとそのインタフェースの接続情報（接続スイッチ情報）の履歴（接続履歴情報）を更新・保持し、例えば最新に（most recently）接続した遮断対象のネットワークスイッチが属するネットワークスイッチグループを特定し、ネットワークスイッチグループに所属するネットワークスイッチの接続履歴情報に基づき、今後、端末装置が接続する可能性があるネットワークスイッチとそのインタフェースを予測する構成としたことで、端末の通信遮断設定時に、ネットワークスイッチに対するＳＮＭＰによる問い合わせ等を不要とし、処理負荷、ネットワーク負荷の増大を抑えながら、遮断対象の端末装置の移動に追従可能としている。

なお、図１の例では、端末装置９１、９２がネットワークスイッチ７１、７２に直接接続される構成が例示されているが、端末装置９１、９２は不図示の通信機器（例えば無線ＬＡＮ（Local Area Network）アクセスポイント等）を介してネットワークスイッチ７１、７２に接続される構成としてもよい。通信システム１０が、スマートフォンやタブレット端末等の情報通信装置（例えばＤＨＣＰ（Dynamic Host Configuration Protocol）等によってＩＰアドレスは変わる）からなり無線ＬＡＮアクセスポイントを介してネットワークスイッチ７１、７２に接続する端末装置を含む場合、ＩＰアドレスによるネットワークスイッチでの通信遮断設定のほか、情報通信装置のＭＡＣアドレスを用いることで、ネットワークスイッチでの通信遮断設定（該ＭＡＣアドレスを送信元、宛先とするフレームの廃棄等）を行うようにしてもよい。この場合、センサ装置９００は、端末装置のＭＡＣアドレスを通信遮断指示装置１に通知し、接続位置予測装置３では、該端末装置のＭＡＣアドレスに基づき、該端末装置が接続する可能性のあるネットワークスイッチのインタフェースを予測するようにしてもよい。

上記各実施形態は、ＩＰｖ４（Internet Protocol version 4）に制限されるものでなく、ＩＰｖ６（Internet Protocol version ６）にも同様に適用可能である。

なお、上記の特許文献１－３、非特許文献１、２の各開示を、本書に引用をもって繰り込むものとする。本発明の全開示（請求の範囲を含む）の枠内において、さらにその基本的技術思想に基づいて、実施形態ないし実施例の変更・調整が可能である。また、本発明の請求の範囲の枠内において種々の開示要素（各請求項の各要素、各実施例の各要素、各図面の各要素等を含む）の多様な組み合わせ乃至選択が可能である。すなわち、本発明は、請求の範囲を含む全開示、技術的思想にしたがって当業者であればなし得るであろう各種変形、修正を含むことは勿論である。

１ 信遮断指示装置
２ 接続位置検出装置
３ 接続位置予測装置
４ 接続情報管理ファイル
５ ネットワークスイッチグループ定義ファイル
６ 検索対象期間定義ファイル
８ 管理対象スイッチ定義ファイル
１０ 通信システム
１１ 遮断指示受付制御部
１２ 接続位置取得制御部
１３ 通信遮断制御部
２１ 対象スイッチ情報管理部
２２ 接続情報収集制御部
２３ 収集情報解析制御部
２４ 接続情報記録制御部
３１ 接続情報取得要求受付部
３２ 接続情報検索制御部
３３ 接続情報予測制御部
３４ 接続情報通知部
４１ 端末装置接続位置情報エントリ
５１ ネットワークスイッチグループエントリ
６１ 検索対象期間
７１、７２、７３、７４ ネットワークスイッチ
８１ 管理対象スイッチエントリ
９１、９２ 端末装置（情報通信装置）
１００ 管理用ネットワーク
１０１ 接続情報取得要求
１０２ 接続情報取得応答
１１０ ＷＡＮ
２００ 通信遮断集合装置
３００ コンピュータ装置
３０１ プロセッサ
３０２ メモリ
３０３ 表示装置
３０４ 通信インタフェース
４１１ 端末装置接続位置情報
４１２ 更新時刻
４１３ 更新回数
５０１、５０２ ネットワークスイッチグループ
５１１ ネットワークスイッチのＩＰアドレス
５１２ ネットワークスイッチグループ
８１１ ネットワークスイッチのＩＰアドレス
８１２ その他情報
９００ センサ装置
９０１ 不正端末装置検出アラーム
１０１１ ＩＰアドレス
４１１１ ＩＰアドレス
４１１２ 接続スイッチ情報
９０１１ 遮断対象ＩＰアドレス
９０１２ その他情報
４１１２１ ネットワークスイッチのＩＰアドレス
４１１２２ ネットワークスイッチのインタフェース名

Claims (6)

1. 端末装置のネットワークスイッチへの接続履歴情報を保持する第１の記憶部と、
   複数のネットワークスイッチをグループ化したネットワークスイッチグループを保持する第２の記憶部と、
   通信遮断指示装置と、
   前記通信遮断指示装置から通信遮断対象の端末装置を特定した接続情報取得要求を受けると、前記第１の記憶部を参照して、前記端末装置に対応する接続履歴情報を取得し、
   前記接続履歴情報に基づき、前記端末装置が接続する可能性のあるネットワークスイッチと前記ネットワークスイッチのインタフェースを予測する接続位置予測装置と、
   を含み、
   前記接続位置予測装置は、
   前記端末装置の前記接続履歴情報を参照して、前記端末装置が最新に接続したネットワークスイッチを求め、
   さらに、前記第２の記憶部を参照して、前記端末装置が最新に接続した前記ネットワークスイッチが所属するネットワークスイッチグループを特定し、
   前記ネットワークスイッチグループに含まれるネットワークスイッチのうち、前記第１の記憶部の前記接続履歴情報を参照して、前記接続情報取得要求の受付時点から予め設定された検索対象期間遡った時点以降に前記端末装置が接続したネットワークスイッチのインタフェース情報を取得し、接続情報取得応答として、前記通信遮断指示装置に返し、
   前記通信遮断指示装置は、前記予測されたネットワークスイッチのインタフェースに対して、前記端末装置による通信の遮断設定を行う、ことを特徴とする通信システム。
2. 前記ネットワークスイッチでそれぞれ保持する、ＩＰ（Internet Protocol）アドレスとＭＡＣ（Media Access Control）アドレスの対応を記録したアドレス解決テーブル、及び、ＭＡＣアドレスとインタフェースの対応を記録したＭＡＣアドレステーブルを取得して前記第１の記憶部の接続履歴情報を更新する接続位置検出装置をさらに備えた、ことを特徴とする請求項１に記載の通信システム。
3. 端末装置のネットワークスイッチへの接続履歴情報を保持する第１の記憶部と、
   複数のネットワークスイッチをグループ化したネットワークスイッチグループを保持する第２の記憶部と、
   通信遮断指示装置から通信遮断対象の端末装置を特定した接続情報取得要求を受ける手段と、
   前記端末装置のネットワークスイッチへの接続履歴情報を保持する第１の記憶部を参照して、前記端末装置に対応する接続履歴情報を取得し、前記接続履歴情報に基づき、前記端末装置が接続する可能性のあるネットワークスイッチと前記ネットワークスイッチのインタフェースを予測する予測手段と、
   を備え、
   前記予測手段は、
   前記端末装置の前記接続履歴情報を参照して、前記端末装置が最新に接続したネットワークスイッチを求め、
   さらに、前記第２の記憶部を参照して、前記端末装置が最新に接続した前記ネットワークスイッチが所属するネットワークスイッチグループを特定し、
   前記ネットワークスイッチグループに含まれるネットワークスイッチのうち、前記第１の記憶部の前記接続履歴情報を参照して、前記接続情報取得要求の受付時点から予め設定された検索対象期間遡った時点以降に前記端末装置が接続したネットワークスイッチのインタフェース情報を取得する手段と、
   を備え、
   前記予測手段で取得したネットワークスイッチのインタフェース情報を接続情報取得応答として前記通信遮断指示装置に返し、前記予測手段で予測されたネットワークスイッチのインタフェースに対して前記端末装置による通信の遮断設定を前記通信遮断指示装置に行わせる、ことを特徴とする接続位置予測装置。
4. 請求項３に記載の前記接続位置予測装置及び前記通信遮断指示装置と、
   前記ネットワークスイッチでそれぞれ保持する、ＩＰ（Internet Protocol）アドレスとＭＡＣ（Media Access Control）アドレスの対応を記録したアドレス解決テーブル、及び、ＭＡＣアドレスとインタフェースの対応を記録したＭＡＣアドレステーブルを取得して前記第１の記憶部の接続履歴情報を更新する接続位置検出装置と、
   を備えた、ことを特徴とする通信遮断集合装置。
5. 端末装置のネットワークスイッチへの接続履歴情報を第１の記憶部に保持し、
   通信遮断指示装置から通信遮断対象の端末装置を特定した接続情報取得要求に応答して、
   前記第１の記憶部を参照して、前記端末装置に対応する接続履歴情報を取得し、
   前記端末装置の前記接続履歴情報に基づき、前記端末装置が接続する可能性のあるネットワークスイッチと前記ネットワークスイッチのインタフェースを予測し、
   前記予測されたネットワークスイッチのインタフェースに対して、前記通信遮断指示装置にて前記端末装置による通信の遮断設定を行う通信遮断方法であって、
   複数のネットワークスイッチをグループ化したネットワークスイッチグループを第２の記憶部で記憶保持し、
   前記端末装置の前記接続履歴情報を参照して、前記端末装置が最新に接続したネットワークスイッチを求め、
   さらに、前記第２の記憶部を参照して、前記端末装置が最新に接続した前記ネットワークスイッチが所属するネットワークスイッチグループを特定し、
   前記ネットワークスイッチグループに含まれるネットワークスイッチのうち、前記第１の記憶部の前記接続履歴情報を参照して、前記接続情報取得要求の受付時点から予め設定された検索対象期間遡った時点以降に前記端末装置が接続したネットワークスイッチのインタフェース情報を取得し、
   取得した前記ネットワークスイッチのインタフェース情報を、接続情報取得応答として、前記通信遮断指示装置に返す、ことを特徴とする通信遮断方法。
6. 端末装置のネットワークスイッチへの接続履歴情報を保持する第１の記憶部と、
   複数のネットワークスイッチをグループ化したネットワークスイッチグループを保持する第２の記憶部と、
   を備えたコンピュータに、
   通信遮断指示装置から通信遮断対象の端末装置を特定した接続情報取得要求を受け、
   前記第１の記憶部を参照して、前記端末装置の前記接続履歴情報に基づき、前記端末装置が最新に接続したネットワークスイッチを求め、
   さらに、前記第２の記憶部を参照して、前記端末装置が最新に接続した前記ネットワークスイッチが所属するネットワークスイッチグループを特定し、
   前記ネットワークスイッチグループに含まれるネットワークスイッチのうち、前記第１の記憶部の前記接続履歴情報を参照して、前記接続情報取得要求の受付時点から予め設定された検索対象期間遡った時点以降に前記端末装置が接続したネットワークスイッチのインタフェース情報を取得し、
   前記取得したネットワークスイッチのインタフェース情報を接続情報取得応答として前記通信遮断指示装置に返し、前記ネットワークスイッチのインタフェースに対して前記端末装置による通信の遮断設定を前記通信遮断指示装置に行わせる処理を、
   前記コンピュータに実行させプログラム。

Images