JP7434672B1

JP7434672B1 - 情報処理システム、情報処理方法および情報処理プログラム

Info

Publication number: JP7434672B1
Application number: JP2023540658A
Authority: JP
Inventors: 健 ▲高▼津; 充弘畑田
Original assignee: NTT Communications Corp
Current assignee: NTT Communications Corp
Priority date: 2023-03-03
Filing date: 2023-06-30
Publication date: 2024-02-20
Anticipated expiration: 2043-06-30

Abstract

情報処理システム（１）は、オーバレイネットワークを構成する装置である上位ＮＷ装置（１００）とアンダーレイネットワークを構成する装置である下位ＮＷ装置（２００）とからなる情報処理システムであって、上位ＮＷ装置（１００）は、不正な通信を検知し、検知した不正な通信の情報を用いて、不正な通信の通信先および通信元のうち少なくともいずれか一つを特定し、特定した不正な通信の通信先および通信元のうち少なくともいずれか一つを下位ＮＷ装置（２００）に通知し、下位ＮＷ装置（２００）は、下位ＮＷ装置（２００）に接続される端末の通信に関する情報を取得し、通知された不正な通信の情報に基づいて、不正な通信を遮断する。

Description

本発明は、情報処理システム、情報処理方法および情報処理プログラムに関する。

従来、パソコンやサーバ等、末端の端末におけるセキュリティ対策技術が存在する。例えば、ＥＤＲ（Endpoint Detection and Response）により末端での不審な通信や挙動を検知する技術が知られている。

ICT Business Online 意外と知らない？ITトレンド用語 EDRとは、[２０２３年６月２０日検索]、インターネット（https://www.ntt.com/bizon/glossary/e-e/edr.html）

従来技術においては、コスト面、セキュリティ面における問題が存在していた。例えば、ＥＤＲの場合、各端末に対して配備が必要なため高コストである。また、ＥＤＲを配備できないＯＡ（Office Automation）機器やＩｏＴ（Internet of Things）端末では対策が行われず、セキュリティリスクが残る。

本発明は、上記に鑑みてなされたものであって、セキュリティの向上およびコストの低下を実現するための情報処理システム、情報処理方法および情報処理プログラムを提供することを目的とする。

上述した課題を解決し、目的を達成するために、本発明の情報処理システムは、オーバレイネットワークを構成する装置である上位ＮＷ（network）装置とアンダーレイネットワークを構成する装置である下位ＮＷ装置とからなる情報処理システムであって、前記上位ＮＷ装置は、不正な通信を検知する検知部と、前記検知部により検知された前記不正な通信の情報を用いて、前記不正な通信の通信先および通信元のうち少なくともいずれか一つを特定し、特定した前記不正な通信の通信先および通信元のうち少なくともいずれか一つを前記下位ＮＷ装置に通知する通知部とを有し、前記下位ＮＷ装置は、前記下位ＮＷ装置に接続される端末の通信に関する情報を取得する取得部と、前記通知部により通知された前記不正な通信の情報に基づいて、前記不正な通信を遮断する遮断部とを有することを特徴とする。

本発明によれば、セキュリティの向上およびコストの低下を実現することができる。

図１は、従来技術について説明するための図である。図２は、実施形態に係る情報処理システムの構成の一例を説明するための図である。図３は、実施形態に係る上位ＮＷ装置の構成の一例を説明するための図である。図４は、実施形態に係る下位ＮＷ装置の構成の一例を説明するための図である。図５は、実施形態に係る情報処理システムによる処理の概要を説明するための図である。図６は、実施形態に係る情報処理システムによる検知処理と遮断処理の一例を説明するための図である。図７は、実施形態に係る情報処理システムによる検知処理と遮断処理の一例を説明するための図である。図８は、実施形態に係る情報処理システムによる処理の流れの一例を説明するためのフローチャートである。図９は、情報処理プログラムを実行するコンピュータの例を示す図である。

以下、図面を参照して、本願に係る情報処理システム、情報処理方法および情報処理プログラムの実施形態を詳細に説明する。なお、この実施の形態により本発明が限定されるものではない。また、図面の記載において、同一部分には同一の符号を付して示しており、重複する説明は省略される。

［従来技術］
まず、図１を用いて、従来技術について説明する。図１は、従来技術について説明するための図である。なお、以下では、オーバレイネットワークを構成する装置を上位ＮＷ装置と記載し、アンダーレイネットワークを構成する装置を下位ＮＷ装置と記載する。ここで上位ＮＷ装置とは、例えば、クラウドプロキシサーバやＵＴＭ（Unified Threat Management）のことをいう。また、下位ＮＷ装置とは、例えば、ＤＰＩ（Deep Packet Inspection）、ルータ、スイッチなどのネットワーク機器のことをいう。

従前のセキュリティ対策は、信頼できる「内側」と信頼できない「外側」にネットワークを分け、その境界線で対策を講じることが行われていた。例えば、内側のネットワークとしては、社内ＬＡＮ（Local Area Network）やＶＰＮ（Virtual Private Network）で接続されたデータセンタなどが該当し、外側のネットワークとしては、インターネットが該当する。例えば、境界線で講じられる対策として、境界線にファイアウォールやプロキシー、ＩＤＳ（Intrusion Detection System）／ＩＰＳ（Intrusion Prevention System）などのセキュリティ機器を設置し、通信の監視や制御を行うことで外部からのサイバー攻撃を遮断する。

こうした従前のセキュリティ対策は、保護すべきデータやシステムがネットワークの内側にあることを前提としている。しかし、クラウドが普及したことにより、外側であるインターネット上に保護すべきものがある状況が珍しくない。このように、守るべき対象がさまざまな場所に点在するようになったことで境界が曖昧になり、従来の考え方では十分な対策を講じることが難しくなりつつある。

そこで広まっているのがゼロトラストの考え方である。ゼロトラストセキュリティサービスにおいては、すべての通信を信頼しないことを前提に、さまざまなセキュリティ対策を講じている。具体的には、ネットワークの内外に関わらない通信経路の暗号化や多要素認証の利用などによるユーザ認証の強化、ネットワークやそれに接続される各種デバイスの統合的なログ監視などが挙げられる。ゼロトラストを実現するためのセキュリティソリューションはすでに多数登場している。例えば、クライアント装置の監視とログの分析によりサイバー攻撃の早い検知と対処を可能にするＥＤＲなどを設けることが行われている。

パソコンやサーバ等、末端の端末におけるセキュリティ対策技術として、ＥＤＲにより末端での不審な通信や挙動を検知する技術が知られている。

しかしながら、従来技術においては、コスト面、セキュリティ面における問題が存在する。例えば、ＥＤＲの場合、各端末に対して配備が必要なため高コストである。また、ＥＤＲを配備できないＯＡ機器やＩｏＴ端末では対策が行われず、セキュリティリスクが残る。

そこで、以下に記載する本実施の形態の情報処理システム１は、上位ＮＷ装置１００と下位ＮＷ装置２００とからなる情報処理システムであって、上位ＮＷ装置１００は、不正な通信を検知し、検知した不正な通信の情報を用いて、不正な通信の通信先および通信元のうち少なくともいずれか一つを特定し、特定した不正な通信の通信先および通信元のうち少なくともいずれか一つを下位ＮＷ装置２００に通知し、下位ＮＷ装置２００は、通知された不正な通信の情報に基づいて、不正な通信を行う端末の通信を遮断する。

このような情報処理システム１により、セキュリティの向上およびコストの低下といった効果が得られる。また、不正な通信を行う端末からの通信を遮断することで、ＮＷ全体を遮断することなく、機器単位で通信を制御することにより、ＮＷの可用性を確保しつつ、堅牢なセキュリティを実現する。

また、情報処理システム１では、リモートワーク等の新しい働き方やＩｏＴ等の活用による新たな事業拡大によって一層複雑化、サイバーリスクの高まるＩＣＴ（Information and Communication Technology）環境に対し、アンダーレイＮＷとオーバレイＮＷが連携して防御する、回線事業者（キャリア）ならではのゼロトラストセキュリティサービスを提供する。

情報処理システム１は、オーバレイＮＷの機能とアンダーレイＮＷの機能が密接に連携したセキュアなＮａａＳ（Network as a Service）型ＩＣＴサービスを提供する。この情報処理システム１のサービスを受ける企業は、ＩＴ（Information Technology）ベンダー委託にコストを費やしたり、ＮＷ設計に掛かるコストを掛けたりすることなく、管理ポータルサイトから申し込むことで、即時に、本情報処理システム１のサービスの開始、変更、解約が容易に可能となり、設計から運用の稼働に係るコストを削減することが可能である。

また、情報処理システム１では、オーバレイＮＷとアンダーレイＮＷとを同一事業者が提供している。また、情報処理システム１を利用する利用者は、例えば、オーバレイＮＷのみを利用し、アンダーレイＮＷは他社を利用する等の柔軟な利用を可能とする。

［情報処理システムの構成］
次に、図２を用いて、情報処理システム１の構成について説明する。図２が示すように、情報処理システム１は、上位ＮＷ装置１００と、下位ＮＷ装置２００とを有する。以下、これら各装置について説明する。なお、情報処理システム１において、上位ＮＷ装置１００と下位ＮＷ装置２００とは、それぞれ一つである場合に限定されるものではなく、複数設けられていてもよい。

上位ＮＷ装置１００は、情報処理システム１の上位のネットワークを制御する装置である。上位ＮＷ装置１００は、不正な通信を検知し、下位ＮＷ装置２００に通知する。

下位ＮＷ装置２００は、情報処理システム１の下位のネットワークを制御する装置である。下位ＮＷ装置２００は、上位ＮＷ装置１００から通知された不正な通信の情報を用いて、不正な通信を遮断する。

［上位ＮＷ装置の構成］
次に、図３を用いて、上位ＮＷ装置１００の構成について説明する。図３が示すように、上位ＮＷ装置１００は、通信部１１０と、制御部１２０と、記憶部１３０とを有する。なお、これらの各部は、複数の装置が分散して保持してもよい。以下にこれら各部の処理を説明する。

通信部１１０は、ＮＩＣ（Network Interface Card）等で実現され、ＬＡＮやインターネットなどの電気通信回線を介した外部装置と制御部１２０の通信を可能とする。例えば、通信部１１０は、外部装置と制御部１２０との通信を可能とする。

記憶部１３０は、ＲＡＭ（Random Access Memory）、フラッシュメモリ（Flash Memory）等の半導体メモリ素子、または、ハードディスク、光ディスク等の記憶装置によって実現される。記憶部１３０が記憶する情報としては、例えば、上位ＮＷ装置１００が管理する端末情報、下位ＮＷ装置２００が管理する端末情報、不正な通信に関する情報、検知された不正な通信の情報、その他不正な通信の検知に必要な情報が含まれる。ここで、不正な通信に関する情報には、不正な通信の通信先の端末情報、不正な通信の通信先のＩＰアドレスといった情報が含まれる。なお、記憶部１３０が記憶する情報は上記に記載した例に限定されない。

制御部１２０は、ＣＰＵ（Central Processing Unit）やＮＰ（Network Processor）やＦＰＧＡ（Field Programmable Gate Array）等を用いて実現され、メモリに記憶された処理プログラムを実行する。図３に示すように、制御部１２０は、検知部１２１と、通知部１２２とを有する。以下、制御部１２０が有する各部について説明する。

検知部１２１は、不正な通信を検知する。例えば、検知部１２１は、セキュリティ機能により、不正な通信を検知する。例えば、検知部１２１は、ＵＴＭのセキュリティ機能により、不正な通信を検知する。

例えば、検知部１２１は、パケットの接続先のＩＰアドレスが、予め記憶部１３０に記憶された不正な通信のＩＰアドレスと一致する場合には、当該通信を不正な通信として検知し、当該接続先のＩＰアドレスを、不正な通信先のＩＰアドレスとして特定する。なお、検知部１２１は、不正な通信の検知として、ＩＰアドレスに限らず、通信日時や、ＤＤｏＳ（Distributed Denial of Service）攻撃、Ｓｙｎフラッド（SYN flooding）攻撃、バッファオーバーフロー攻撃等の攻撃の際にみられるパケットの振る舞い等を用いてもよく、そのほか既存の検知方法のいずれを用いてもよい。

通知部１２２は、検知部１２１により検知された不正な通信の情報を下位ＮＷ装置２００に通知する。具体的には、通知部１２２は、検知部１２１により検知された不正な通信の情報用いて、不正な通信の通信先および通信元のうち少なくともいずれか一つを特定し、特定した前記不正な通信の通信先および通信元のうち少なくともいずれか一つを下位ＮＷ装置２００に通知する。例えば、通知部１２２は、検知部１２１により検知された不正な通信の情報として、不正な通信の検知日時、検知種別、接続先ＩＰアドレス・ポート、接続元ＩＰアドレス・ポートといった情報を下位ＮＷ装置２００に通知する。なお、「接続先ＩＰアドレス・ポート」とは、接続先ＩＰアドレスと接続先ポートのうちいずれか一つもしくは両方を含むものとし、「接続元ＩＰアドレス・ポート」とは、接続元ＩＰアドレスと接続元ポートのうちいずれか一つもしくは両方を含むものとする。

例えば、通知部１２２は、検知部１２１により検知された不正な通信の情報として、不正な通信の通信先のアドレス情報と、不正な通信の通信元のアドレス情報もしくは不正な通信の通信元が含まれるＮＷのアドレス情報のいずれか一方または両方を下位ＮＷ装置２００に通知する。

通知部１２２は、自システムの利用者の要求に応じて、不正な通信の通信先のアドレス情報と、不正な通信の通信元のアドレス情報もしくは不正な通信の通信元が含まれるＮＷのアドレス情報のいずれか一方または両方を下位ＮＷ装置２００に通知する。

通知部１２２は、検知部１２１によって検知された不正な通信の情報に応じて、不正な通信の通信元のアドレス情報および不正な通信の通信元が含まれるＮＷのアドレス情報のうち、いずれかを下位ＮＷ装置２００に通知する。例えば、通知部１２２は、検知部１２１によって同一ＮＷ内の端末のＩＰアドレスを接続元ＩＰアドレスとする不正な通信が所定数（例えば、３つ）以上検知された場合には、当該不正な通信の通信元が含まれるＮＷのアドレス情報を下位ＮＷ装置２００に通知する。具体例を挙げて説明すると、例えば、通知部１２２は、検知部１２１によって検知された接続元ＩＰアドレスとして、「１９２．０．２．１１８」、「１９２．０．２．１２７」および「１９２．０．２．１３２」の３つがある場合には、「１９２．０．２．０」から「１９２．０．２．２５５」までの範囲を含むＩＰアドレス「１９２．０．２．０／２４」に変換し、接続元のＩＰアドレス「１９２．０．２．０／２４」を下位ＮＷ装置２００へ通知する。

［下位ＮＷ装置の構成］
次に、図４を用いて、下位ＮＷ装置２００の構成について説明する。図４が示すように、下位ＮＷ装置２００は、通信部２１０と、制御部２２０と、記憶部２３０とを有する。なお、これらの各部は、複数の装置が分散して保持してもよい。以下にこれら各部の処理を説明する。

通信部２１０は、ＮＩＣ等で実現され、ＬＡＮやインターネットなどの電気通信回線を介した外部装置と制御部２２０の通信を可能とする。例えば、通信部２１０は、外部装置と制御部２２０との通信を可能とする。

記憶部２３０は、ＲＡＭ、フラッシュメモリ等の半導体メモリ素子、または、ハードディスク、光ディスク等の記憶装置によって実現される。記憶部２３０が記憶する情報としては、例えば、上位ＮＷ装置１００が管理する端末情報、下位ＮＷ装置２００が管理する端末情報、下位ＮＷ装置２００に接続された端末の通信に関する情報、不正な通信に関する情報、検知された不正な通信の情報、その他不正な通信の検知に必要な情報、その他不正な通信の遮断に必要な情報が含まれる。なお、記憶部２３０が記憶する情報は上記に記載した例に限定されない。

制御部２２０は、ＣＰＵやＮＰやＦＰＧＡ）等を用いて実現され、メモリに記憶された処理プログラムを実行する。図４に示すように、制御部２２０は、取得部２２１と、遮断部２２２とを有する。以下、制御部２２０が有する各部について説明する。

取得部２２１は、下位ＮＷ装置２００に接続される端末の通信に関する情報を取得する。例えば、取得部２２１は、下位ＮＷ装置２００に接続されるＯＡ機器やＩｏＴ機器の通信に関する情報を取得する。

遮断部２２２は、通知部１２２により通知された不正な通信の情報に基づいて、不正な通信を遮断する。例えば、遮断部２２２は、通知部１２２により通知された不正な通信の情報と、取得部２２１により取得された下位ＮＷ装置２００に接続される端末の通信に関する情報とを用いて、不正な通信を遮断する。

遮断部２２２は、通知部１２２により通知されたアドレス情報を用いて、不正な通信の通信先への通信の遮断と、不正な通信の通信元からの通信の遮断もしくは不正な通信の通信元が含まれるＮＷからの通信の遮断とのいずれか一方または両方の遮断を行う。例えば、遮断部２２２は、通知部１２２により通知されたアドレス情報を用いて、不正な通信の通信先への通信の遮断と、不正な通信の通信元が含まれるＮＷからの通信の遮断との両方の遮断を行う。

また、例えば、遮断部２２２は、通知部１２２により通知された不正な通信の情報と、取得部２２１により取得された下位ＮＷ装置２００に接続される端末の通信に関する情報とを用いて、不正な通信の通信先への通信を遮断する。例えば、遮断部２２２は、通知部１２２により通知された不正な通信の接続元ＩＰアドレス・ポートの情報と、取得部２２１により取得された下位ＮＷ装置２００に接続される端末の接続先および接続元ＩＰアドレス・ポートの情報とを用いて、不正な通信の通信先への通信を遮断する。

また、例えば、遮断部２２２は、通知部１２２により通知された不正な通信の情報を用いて、不正な通信の通信元からの通信を遮断する。例えば、遮断部２２２は、通知部１２２により通知された不正な通信の接続元ＩＰアドレス・ポートの情報と、取得部２２１により取得された下位ＮＷ装置２００に接続される端末の接続先および接続元ＩＰアドレス・ポートの情報とを用いて、不正な通信を行う端末からの通信を遮断する。

また、例えば、遮断部２２２は、通知部１２２により通知された不正な通信の情報を用いて、不正な通信の通信元が含まれるＮＷからの通信を遮断する。例えば、遮断部２２２は、通知部１２２により通知された不正な通信の接続元ＩＰアドレス・ポートの情報と、取得部２２１により取得された下位ＮＷ装置２００に接続される端末の接続先および接続元ＩＰアドレス・ポートの情報とを用いて、不正な通信を行う端末が含まれるＮＷからの通信を遮断する。

［情報処理システムによる処理の概要］
次に、図５を用いて、情報処理システム１による処理の概要を説明する。図５は、情報処理システム１による処理の概要を説明するための図である。

まず、下位ＮＷ装置２００の取得部２２１は、下位ＮＷ装置２００に接続される端末の通信に関する情報を取得する。例えば、下位ＮＷ装置２００に接続されるＯＡ機器やＩｏＴ機器等の通信に関する情報を取得する。

続いて、上位ＮＷ装置１００の検知部１２１は、不正な通信を検知する。

続いて、上位ＮＷ装置１００の通知部１２３は、検知部１２１により検知された不正な通信の情報を下位ＮＷ装置２００に通知する。

そして、遮断部２２２は、通知部１２２により通知された不正な通信の情報に基づいて、不正な通信を遮断する。

例えば、遮断部２２２は、通知部１２２により通知されたアドレス情報を用いて、不正な通信の通信先への通信の遮断と、不正な通信の通信元からの通信の遮断もしくは不正な通信の通信元が含まれるＮＷからの通信の遮断とのいずれか一方または両方の遮断を行う。

このように、情報処理システム１は、上位ＮＷ装置１００と下位ＮＷ装置２００とが密接に連携して、不正な通信を端末の検知・遮断を行う。

［情報処理システムによる検知・遮断処理］
次に、図６を用いて、情報処理システム１による検知処理と遮断処理とについて説明する。図６は、情報処理システム１による検知処理と遮断処理とを説明するための図である。

図６（１）に示すように、上位ＮＷ装置１００のクラウドプロキシには、不正な通信先の種別、ＩＰアドレスといった不正な通信に関する情報が記憶されている。なお、不正な通信に関する情報が記憶される場所は、上位ＮＷ装置１００のクラウドプロキシの他、上位ＮＷ装置１００の記憶部１３０であってもよい。

上位ＮＷ装置１００の検知部１２１は、クラウドプロキシに記憶される不正な通信先の種別、ＩＰアドレスといった情報を用いて、図６（２）に示すように、不正な通信を検知する。このとき、上位ＮＷ装置１００の検知部１２１は、ＮＡＴ（Network Address Translation）によりアドレス集約が行われている場合には、変換テーブルの情報を用いて、端末のＩＰアドレスの情報を取得して、不正な通信を検知してもよい。

例えば、上位ＮＷ装置１００であるクラウドプロキシが、不正な通信として、Ｃ２（Command and Control server）サーバの通信を検知した場合には、当該通信について、当該通信を検知した日時である「検知日時」、不正な通信の種別である「検知種別」、接続先のＩＰアドレスとポート番号を示す「接続先ＩＰ：Ｐｏｒｔ」、および、接続元のＩＰアドレスとポート番号を示す「接続元ＩＰ：Ｐｏｒｔ」を特定する。そして、上位ＮＷ装置１００は、下位ＮＷ装置２００（例えば、ＤＰＩ）に対して、接続先のＩＰアドレスおよび接続元のＩＰアドレスのうち、いずれか一つまたは両方を送信する。

そして、下位ＮＷ装置２００の遮断部２２２は、不正な通信の検知情報を用いて、ＤＰＩにより、不正な通信を遮断する。

例えば、下位ＮＷ装置２００の遮断部２２２は、図６（３）に示すように、不正な通信先の検知情報（不正な通信の接続先ＩＰアドレス・ポート）を用いて、ＤＰＩにより、不正な通信先との通信を遮断する。これにより情報処理システム１は、不正な通信先との通信を早期遮断する。

つまり、図６（３）の例を用いて説明すると、遮断部２２２は、上位ＮＷ装置１００から送信された接続先のＩＰアドレス「２０３．０．１１３．１５」と、接続先のＩＰアドレスが一致する通信を遮断する。

また、例えば、下位ＮＷ装置２００の遮断部２２２は、図６（４）に示すように、不正な通信先の検知情報（不正な通信の接続元ＩＰアドレス・ポート）を用いて、ＤＰＩにより、不正な通信を行う端末からの通信を遮断する。これにより情報処理システム１は、感染端末を遮断し、感染の拡散を防止する。

つまり、図６（４）の例を用いて説明すると、遮断部２２２は、上位ＮＷ装置１００から送信された接続元のＩＰアドレス「１９２．０．２．１１８」と、接続元のＩＰアドレスが一致する通信を遮断する。

また、例えば、下位ＮＷ装置２００の遮断部２２２は、図６（５）に示すように、不正な通信先の検知情報（不正な通信の接続元ＩＰアドレス・ポート）を用いて、ＤＰＩにより、不正な通信を行う端末が含まれるＮＷからの通信を遮断する。これにより情報処理システム１は、感染端末が属するＮＷを遮断し、感染の拡散を防止する。

つまり、図６（５）の例を用いて説明すると、通知部１２２は、上位ＮＷ装置１００から送信された接続元のＩＰアドレス「１９２．０．２．１１８」をサブネットマスクでマスクしたＩＰアドレス「１９２．０．２．０／２４」に変換し、接続元のＩＰアドレス「１９２．０．２．０／２４」を下位ＮＷ装置２００へ通知する。そして、遮断部２２２は、接続元のＩＰアドレスが「１９２．０．２．０／２４」に該当する通信を遮断することで、感染端末だけでなく、感染端末が属するＮＷを遮断する。

このように、情報処理システム１は、上位ＮＷ装置１００と下位ＮＷ装置２００とが連携して、不正な通信を検知し、不正な通信を行う端末が関係する各通信を遮断する。

上述したように、情報処理システム１は、不正な通信先の遮断と、感染端末もしくは感染端末が属するＮＷの遮断との両方を行ってもよいし、いずれか一方の遮断を行ってもよい。例えば、通知部１２２は、本情報処理システム１の契約者である企業の指示や申込内容に応じて、不正な通信先の遮断と、感染端末もしくは感染端末が属するＮＷの遮断との両方を行うか、いずれか一方の遮断を行うかを決定する。

また、通知部１２２は、感染端末もしくは感染端末が属するＮＷの遮断を行う場合には、感染端末の遮断もしくは感染端末が属するＮＷの遮断のいずれを行うかについて、本情報処理システム１の契約者である企業の指示や申込内容に応じて、決定してもよい。

また、通知部１２２は、感染端末もしくは感染端末が属するＮＷの遮断を行う場合に、感染端末の遮断もしくは感染端末が属するＮＷの遮断のいずれを行うかについて、オーバレイＮＷ側で検知した検知結果に応じて、決定してもよい。例えば、通知部１２２は、上位ＮＷ装置１００の検知部１２１が検知した不正な通信が複数ある場合であって、検知された不正な通信の接続元ＩＰアドレスの数が所定の閾値以上ある場合には、感染端末が属するＮＷを遮断するよう通知し、検知された不正な通信の接続元ＩＰアドレスの数が所定の閾値未満である場合には、感染端末のみを遮断するよう通知する。

ここで感染端末が属するＮＷを遮断する例について、さらに図７を用いて説明する。図７（１）は、通知部１２２による変換処理を示すものである。図７（２）は、不正な通信の接続元ＩＰアドレスを用いた遮断対応を示すものである。

図７（１）に示すように、通知部１２２は、上位ＮＷ装置１００の検知部１２１によって同一ＮＷ内の端末のＩＰアドレスを接続元ＩＰアドレスとする不正な通信が所定数（例えば、３つ）以上検知された場合には、当該不正な通信の通信元が含まれるＮＷのアドレス情報を下位ＮＷ装置２００に通知する。図７（１）の例を用いて説明すると、通知部１２２は、検知部１２１によって検知された接続元ＩＰアドレスとして、「１９２．０．２．１１８」、「１９２．０．２．１２７」および「１９２．０．２．１３２」の３つがある場合には、「１９２．０．２．０」から「１９２．０．２．２５５」までの範囲を含むＩＰアドレス「１９２．０．２．０／２４」に変換し、接続元のＩＰアドレス「１９２．０．２．０／２４」を下位ＮＷ装置２００へ通知する。

そして、図７（２）に示すように、下位ＮＷ装置２００の遮断部２２２は、接続元のＩＰアドレス「１９２．０．２．０／２４」を受信した場合には、接続元のＩＰアドレスが「１９２．０．２．０／２４」に該当する通信を遮断することで、感染端末だけでなく、感染端末が属するＮＷを遮断する。

［フローチャート］
次に、図８を用いて、情報処理システム１による処理の流れについて説明する。なお、下記の各ステップは、異なる順序で実行することもでき、また、省略される処理があってもよい。

まず、下位ＮＷ装置２００の取得部２２１は、下位ＮＷ装置２００に接続される端末の通信に関する情報を取得する（ステップＳ１０１）。例えば、取得部２２１は、下位ＮＷ装置２００に接続されるＯＡ機器やＩｏＴ機器の通信に関する情報を取得する。

次に、上位ＮＷ装置１００の検知部１２１は、不正な通信を検知する（ステップＳ１０２）。例えば、検知部１２１は、セキュリティ機能により、不正な通信を検知する。

続いて、上位ＮＷ装置１００の通知部１２２は、検知部１２１により検知された不正な通信の情報を下位ＮＷ装置２００に通知する（ステップＳ１０３）。例えば、通知部１２２は、検知部１２１により検知された不正な通信の情報として、不正な通信の検知日時、検知種別、接続先ＩＰアドレス・ポート、接続元ＩＰアドレス・ポートといった情報を下位ＮＷ装置２００に通知する。

そして、下位ＮＷ装置２００の遮断部２２２は、通知部１２２により通知された不正な通信の情報に基づいて、不正な通信を遮断する（ステップＳ１０４）。例えば、遮断部２２２は、通知部１２２により通知された不正な通信の情報を用いて、不正な通信の通信先への通信を遮断する。

［効果］
実施形態に係る情報処理システム１は、オーバレイネットワークを構成する装置である上位ＮＷ装置１００とアンダーレイネットワークを構成する装置である下位ＮＷ装置２００とからなる情報処理システムであって、上位ＮＷ装置１００は、不正な通信を検知する検知部１２１と、検知部１２１により検知された不正な通信の情報を用いて、不正な通信の通信先および通信元のうち少なくともいずれか一つを特定し、特定した不正な通信の通信先および通信元のうち少なくともいずれか一つを下位ＮＷ装置２００に通知する通知部１２２とを有し、下位ＮＷ装置２００は、下位ＮＷ装置２００に接続される端末の通信に関する情報を取得する取得部２２１と、通知部１２２により通知された不正な通信の情報に基づいて、不正な通信を遮断する遮断部２２２とを有する。

これにより、情報処理システム１は、上位ＮＷ装置１００が不正な通信を検知し、検知した情報を用いて下位ＮＷ装置２００が通信を遮断することにより、セキュリティの向上およびコストの低下を実現する。また、情報処理システム１では、検知ポイントと遮断ポイントとを分けることにより、例えば、大規模なボットネットによる攻撃が発生し、上位ＮＷ装置１００でそのボットネットのＣ２サーバの通信を検知した際に、オーバレイネットワークを利用していない場合であっても、広範囲にアンダーレイネットワークで遮断できることで、被害を小さく抑えることが可能となる。

実施形態に係る情報処理システム１の下位ＮＷ装置２００における遮断部２２２は、通知部１２２により通知された不正な通信の情報を用いて、不正な通信の通信先への通信を遮断する。

これにより、情報処理システム１は、上位ＮＷ装置１００が、不正な通信を検知し、不正な通信の通信先への通信を遮断することにより、セキュリティの向上およびコストの低下を実現する。

実施形態に係る情報処理システム１の下位ＮＷ装置２００における遮断部２２２は、通知部１２２により通知された不正な通信の情報を用いて、不正な通信の通信元からの通信を遮断する。

これにより、情報処理システム１は、上位ＮＷ装置１００が、不正な通信を検知・遮断することにより、セキュリティの向上およびコストの低下を実現する。

また、情報処理システム１は、不正な通信を行う端末からの通信を遮断することにより、ＮＷ全体を遮断することなく、機器単位で通信を制御することにより、ＮＷの可用性を確保しつつ堅牢なセキュリティを実現する。

実施形態に係る情報処理システム１の下位ＮＷ装置２００における遮断部２２２は、通知部１２２により通知された不正な通信の情報を用いて、不正な通信の通信元が含まれるＮＷからの通信を遮断する。

これにより、情報処理システム１は、上位ＮＷ装置１００が、不正な通信を検知し、不正な通信を行う端末が含まれるＮＷからの通信を遮断することにより、セキュリティの向上およびコストの低下を実現する。

実施形態に係る情報処理システム１の上位ＮＷ装置１００における通知部１２２は、検知部１２１により検知された不正な通信の情報として、不正な通信の通信先のアドレス情報と、不正な通信の通信元のアドレス情報もしくは不正な通信の通信元が含まれるＮＷのアドレス情報のいずれか一方または両方を下位ＮＷ装置２００に通知し、遮断部２２２は、通知部１２２により通知されたアドレス情報を用いて、不正な通信の通信先への通信の遮断と、不正な通信の通信元からの通信の遮断もしくは不正な通信の通信元が含まれるＮＷからの通信の遮断とのいずれか一方または両方の遮断を行う。

これにより、情報処理システム１は、上位ＮＷ装置１００が、不正な通信を検知し、不正な通信の通信先、通信元もしくは通信元が含まれるＮＷのアドレス情報を通知して、不正な通信の通信先への通信、不正な通信元からの通信もしくは通信元が含まれるＮＷからの通信を遮断することにより、セキュリティの向上およびコストの低下を実現する。

実施形態に係る情報処理システム１の上位ＮＷ装置１００における通知部１２２は、自システムの利用者の要求に応じて、不正な通信の通信先のアドレス情報と、不正な通信の通信元のアドレス情報もしくは不正な通信の通信元が含まれるＮＷのアドレス情報のいずれか一方または両方を下位ＮＷ装置２００に通知する。

これにより、情報処理システム１は、上位ＮＷ装置１００が、不正な通信を検知し、下位ＮＷ装置２００が、システム利用者の意向を反映して、不正な通信を行う端末が含まれるＮＷからの通信を遮断することにより、セキュリティの向上およびコストの低下を実現する。

実施形態に係る情報処理システム１の上位ＮＷ装置１００における通知部１２２は、検知部１２１によって検知された不正な通信の情報に応じて、不正な通信の通信元のアドレス情報および不正な通信の通信元が含まれるＮＷのアドレス情報のうち、いずれかを下位ＮＷ装置２００に通知する。

これにより、情報処理システム１は、上位ＮＷ装置１００が、不正な通信を検知し、所定のＮＷに含まれる不正な通信を行う端末数が閾値未満である場合には、不正な通信を行う端末からの通信を遮断し、閾値を超える場合に、不正な通信を行う端末が含まれるＮＷからの通信を遮断することにより、セキュリティの向上およびコストの低下を実現する。

［プログラム］
上記実施形態において説明した情報処理システム１が実行する処理をコンピュータが実行可能な言語で記述したプログラムを作成することもできる。この場合、コンピュータがプログラムを実行することにより、上記実施形態と同様の効果を得ることができる。さらに、かかるプログラムをコンピュータ読み取り可能な記録媒体に記録して、この記録媒体に記録されたプログラムをコンピュータに読み込ませて実行することにより上記実施形態と同様の処理を実現してもよい。

図９は、情報処理プログラムを実行するコンピュータの一例を示す図である。図９に示すように、コンピュータ１０００は、例えば、メモリ１０１０と、ＣＰＵ１０２０と、ハードディスクドライブインタフェース１０３０と、ディスクドライブインタフェース１０４０と、シリアルポートインタフェース１０５０と、ビデオアダプタ１０６０と、ネットワークインタフェース１０７０とを有する。これらの各部は、バス１０８０によって接続される。

メモリ１０１０は、ＲＯＭ（Read Only Memory）１０１１およびＲＡＭ１０１２を含む。ＲＯＭ１０１１は、例えば、ＢＩＯＳ（Basic Input Output System）等のブートプログラムを記憶する。ハードディスクドライブインタフェース１０３０は、ハードディスクドライブ１０９０に接続される。ディスクドライブインタフェース１０４０は、ディスクドライブ１１００に接続される。ディスクドライブ１１００には、例えば、磁気ディスクや光ディスク等の着脱可能な記憶媒体が挿入される。シリアルポートインタフェース１０５０には、例えば、マウス１１１０およびキーボード１１２０が接続される。ビデオアダプタ１０６０には、例えば、ディスプレイ１１３０が接続される。

ここで、図９に示すように、ハードディスクドライブ１０９０は、例えば、ＯＳ（Operating System）１０９１、アプリケーションプログラム１０９２、プログラムモジュール１０９３およびプログラムデータ１０９４を記憶する。上記実施形態で説明した各テーブルは、例えばハードディスクドライブ１０９０やメモリ１０１０に記憶される。

また、情報処理プログラムは、例えば、コンピュータ１０００によって実行される指令が記述されたプログラムモジュールとして、ハードディスクドライブ１０９０に記憶される。具体的には、上記実施形態で説明したコンピュータ１０００が実行する各処理が記述されたプログラムモジュール１０９３が、ハードディスクドライブ１０９０に記憶される。

また、情報処理プログラムによる情報処理に用いられるデータは、プログラムデータとして、例えば、ハードディスクドライブ１０９０に記憶される。そして、ＣＰＵ１０２０が、ハードディスクドライブ１０９０に記憶されたプログラムモジュール１０９３やプログラムデータ１０９４を必要に応じてＲＡＭ１０１２に読み出して、上述した各手順を実行する。

なお、情報処理プログラムに係るプログラムモジュール１０９３やプログラムデータ１０９４は、ハードディスクドライブ１０９０に記憶される場合に限られず、例えば、着脱可能な記憶媒体に記憶されて、ディスクドライブ１１００等を介してＣＰＵ１０２０によって読み出されてもよい。あるいは、制御プログラムに係るプログラムモジュール１０９３やプログラムデータ１０９４は、ＬＡＮやＷＡＮ（Wide Area Network）等のネットワークを介して接続された他のコンピュータに記憶され、ネットワークインタフェース１０７０を介してＣＰＵ１０２０によって読み出されてもよい。

［その他］
様々な実施形態を、図面を参照して、本明細書で詳細に説明したが、これらの複数の実施形態は例であり、本発明をこれらの複数の実施形態に限定することを意図するものではない。本明細書に記載された特徴は、当業者の知識に基づく様々な変形や改良を含む、様々な方法によって実現され得る。

また、上述した「部（module、-er接尾辞、-or接尾辞）」は、ユニット、手段、回路などに読み替えることができる。例えば、通信部（communication module）、制御部（control module）および記憶部（storage module）は、それぞれ、通信ユニット、制御ユニットおよび記憶ユニットに読み替えることができる。

１情報処理システム
１００上位ＮＷ装置
１１０通信部
１２０制御部
１２１検知部
１２２通知部
１３０記憶部
２００下位ＮＷ装置
２１０通信部
２２０制御部
２２１取得部
２２２遮断部
２３０記憶部

Claims

オーバレイネットワークを構成する装置である上位ＮＷ装置とアンダーレイネットワークを構成する装置である下位ＮＷ装置とからなる情報処理システムであって、
前記上位ＮＷ装置は、
不正な通信を検知する検知部と、
前記検知部により同一ＮＷ内の端末のＩＰアドレスを接続元ＩＰアドレスとする不正な通信の接続元ＩＰアドレスの数が所定数以上検知された場合には、前記不正な通信の通信元が含まれるＮＷのＩＰアドレスを前記下位ＮＷ装置に通知し、検知された不正な通信の接続元ＩＰアドレスの数が所定数未満である場合には、前記不正な通信の通信元のＩＰアドレスを前記下位ＮＷ装置に通知する通知部と
を有し、
前記下位ＮＷ装置は、
前記通知部により通知された前記不正な通信の通信元のＩＰアドレス情報もしくは前記不正な通信の通信元が含まれるＮＷのＩＰアドレス情報を用いて、前記不正な通信を遮断する遮断部
を有することを特徴とする情報処理システム。
前記遮断部は、前記通知部により通知されたＩＰアドレス情報を用いて、前記不正な通信の通信元からの通信の遮断もしくは前記不正な通信の通信元が含まれるＮＷからの通信の遮断を行う
ことを特徴とする請求項１に記載の情報処理システム。
オーバレイネットワークを構成する装置である上位ＮＷ装置とアンダーレイネットワークを構成する装置である下位ＮＷ装置とが実行する情報処理方法であって、
前記上位ＮＷ装置が、不正な通信を検知する検知工程と、
前記上位ＮＷ装置が、前記検知工程により同一ＮＷ内の端末のＩＰアドレスを接続元ＩＰアドレスとする不正な通信の接続元ＩＰアドレスの数が所定数以上検知された場合には、前記不正な通信の通信元が含まれるＮＷのＩＰアドレスを前記下位ＮＷ装置に通知し、検知された不正な通信の接続元ＩＰアドレスの数が所定数未満である場合には、前記不正な通信の通信元のＩＰアドレスを前記下位ＮＷ装置に通知する通知工程と、
前記下位ＮＷ装置が、前記通知工程により通知された前記不正な通信の通信元のＩＰアドレス情報もしくは前記不正な通信の通信元が含まれるＮＷのＩＰアドレス情報を用いて、前記不正な通信を遮断する遮断工程と
を含むことを特徴とする情報処理方法。
オーバレイネットワークを構成する装置である上位ＮＷ装置としてのコンピュータと、アンダーレイネットワークを構成する装置である下位ＮＷ装置としてのコンピュータに実行させる情報処理プログラムであって、
前記上位ＮＷ装置としてのコンピュータに、
不正な通信を検知する検知ステップと、
前記検知ステップにより同一ＮＷ内の端末のＩＰアドレスを接続元ＩＰアドレスとする不正な通信の接続元ＩＰアドレスの数が所定数以上検知された場合には、前記不正な通信の通信元が含まれるＮＷのＩＰアドレスを前記下位ＮＷ装置に通知し、検知された不正な通信の接続元ＩＰアドレスの数が所定数未満である場合には、前記不正な通信の通信元のＩＰアドレスを前記下位ＮＷ装置に通知する通知ステップと
を実行させ、
前記下位ＮＷ装置としてのコンピュータに、
前記通知ステップにより通知された前記不正な通信の通信元のＩＰアドレス情報もしくは前記不正な通信の通信元が含まれるＮＷのＩＰアドレス情報を用いて、前記不正な通信を遮断する遮断ステップ
を実行させることを特徴とする情報処理プログラム。