WO2004114599A1 - ネットワークにおける機器の接続方法及びこれを用いるネットワークシステム - Google Patents

ネットワークにおける機器の接続方法及びこれを用いるネットワークシステム Download PDF

Info

Publication number
WO2004114599A1
WO2004114599A1 PCT/JP2003/007842 JP0307842W WO2004114599A1 WO 2004114599 A1 WO2004114599 A1 WO 2004114599A1 JP 0307842 W JP0307842 W JP 0307842W WO 2004114599 A1 WO2004114599 A1 WO 2004114599A1
Authority
WO
WIPO (PCT)
Prior art keywords
network
virus
virus check
vlan
port
Prior art date
Application number
PCT/JP2003/007842
Other languages
English (en)
French (fr)
Inventor
Takashi Kaneko
Tadaaki Tanaka
Hiroki Takayama
Tadahiro Ohta
Original Assignee
Fujitsu Limited
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Fujitsu Limited filed Critical Fujitsu Limited
Priority to JP2005500906A priority Critical patent/JP4611197B2/ja
Priority to PCT/JP2003/007842 priority patent/WO2004114599A1/ja
Publication of WO2004114599A1 publication Critical patent/WO2004114599A1/ja
Priority to US11/212,191 priority patent/US7874002B2/en

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/02—Network architectures or network communication protocols for network security for separating internal from external traffic, e.g. firewalls
    • H04L63/0209—Architectural arrangements, e.g. perimeter networks or demilitarized zones
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L12/00—Data switching networks
    • H04L12/28—Data switching networks characterised by path configuration, e.g. LAN [Local Area Networks] or WAN [Wide Area Networks]
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1441—Countermeasures against malicious traffic
    • H04L63/145—Countermeasures against malicious traffic the attack involving the propagation of malware through the network, e.g. viruses, trojans or worms

Definitions

  • the present invention relates to a method for connecting a device to a network, and more particularly to a method for connecting a device to a network in consideration of computer virus measures, and a network system using the same.
  • ADSL Asynchronous Digital Subscriber Line
  • IP Internet Protocol
  • the servers that make up the IP network are general-purpose machines, with operating systems (OSs) such as Windows (registered trademark of Microsystems), UNIX, etc., and there is ample opportunity to be attacked by computer viruses. Can be considered. The main measures against computer viruses so far have been to prevent virus intrusion from outside the network.
  • OSs operating systems
  • Windows registered trademark of Microsystems
  • UNIX registered trademark of UNIX
  • a PC inside a company that has already been infected with a virus is connected to an intra-company LAN (Local Area Network)
  • the virus may spread to the entire intra-company network at a stretch.
  • the impact of a network down on a company is significant.
  • Patent Document 1 a technique has been proposed in which, in an information processing device such as a computer connected to a network, a logical connection and a non-connection state with the network are dynamically changed to prevent a computer virus from being transmitted to the network.
  • Patent Literature 1 a computer in which an anti-virus function (for example, a virus check program) is already stored is connected to the LAN. Then, for the file inserted into the computer and executed, the anti-virus function determines whether the file is infected with a virus, and if the virus is infected, blocks the file transfer to the LAN.
  • an anti-virus function for example, a virus check program
  • Patent Document 1 is a mechanism in which a virus check is performed only on a file inserted into a specific computer connected to the LAN.
  • Patent Document 1 cannot be applied to a mode in which the belonging computer is connected to the LAN at any time in a company LAN or the like. That is, when the computer itself is already contaminated with the virus, it is impossible to take measures to block the connection to the LAN.
  • an object of the present invention is to provide a method for connecting a device to a network in consideration of such inconvenience and a network system using the same.
  • a first aspect of the method of connecting a device to a network to achieve the object of the present invention is to separate a network configuration into an operation network and a virus check network by a VLAN (Virtual Local Area Network) function, When the device is connected, a virus check is performed on the virus check network, and the device whose security has been confirmed by the virus check is accommodated in the operation network.
  • VLAN Virtual Local Area Network
  • the device when security cannot be confirmed by the virus check, the device is connected to the operation network and the virus check. Isolate from any of the networks.
  • a first aspect of a network system using the method of connecting a device to a network to achieve the object of the present invention includes a plurality of ports, and is connected to the plurality of ports by a VLAN (Virtual Local Area Network) function.
  • the device When a new device is connected to an empty port of the network connection device, the device is accommodated in the virus check network, a virus check is performed, and when the safety is confirmed by the virus check, the device: It is accommodated in the operation network described above.
  • a third aspect of the network system using the method for connecting a device to a network which achieves the above object of the present invention is the aspect of the first network system, wherein the network connection device comprises: The management table is updated in accordance with the result of the virus check, and the network accommodating the port to which the new device is connected is updated and set.
  • the fourth aspect of the network system using the method is that in the first network system aspect, when the device connected to the operation network is disconnected from the corresponding port, Then, accommodation of the port to the virus check network is changed.
  • FIG. 1 is a conceptual diagram of a network to which the present invention is applied.
  • FIG. 2 to FIG. 5 are diagrams showing a case where a connection device such as a server or a PC (hereinafter, referred to as a connection device PC) is newly connected to the network VLAN1.
  • FIGS. 6A and 6B are diagrams for explaining the processing procedure corresponding to FIGS. 2 to 5 as the first embodiment.
  • FIG. 7 is a diagram for explaining the functions of the virus monitoring server 2, the connection device 1, and the connection device PC in the first embodiment when the present invention is applied.
  • FIG. 8 is a diagram showing a bucket format for transmitting / receiving (requesting / replying) VLAN setting information (port number, VLAN name, VLAN ID, accommodated IP address).
  • FIG. 9 is a diagram showing an example of the management table (FIG. 9A) in the connection device 1 and the management table (FIG. 9B) in the virus monitoring server 2 at a certain point in time.
  • FIG. 10 is a diagram showing a virus check request packet and a virus check result notification bucket.
  • FIG. 11 is a diagram showing a management table in the connection device 1 and a management table in the virus monitoring server 2 when there is no problem in the virus check result.
  • FIG. 12 is a diagram showing a management table in the connection device 1 and a management table in the virus monitoring server 2 when there is a problem in the virus check result.
  • FIG. 13 is a diagram illustrating an example of a request to update the management table and an instruction to quarantine the connection port.
  • FIG. 14 is a diagram illustrating a procedure of a process according to the second embodiment of the present invention.
  • FIG. 15 is a diagram for explaining the functions of the virus monitoring server 2, the connection device 1, and the connection device PC in the application of the present invention in the second embodiment.
  • FIG. 1 is a conceptual diagram of a network to which the present invention is applied.
  • a plurality of computer devices are connected by a network connection device 1 such as a layer 3 (L 3) switch, a router, or a layer 2 (L 2) switch (switching hub) to form a network.
  • a network connection device 1 such as a layer 3 (L 3) switch, a router, or a layer 2 (L 2) switch (switching hub) to form a network.
  • the first network VLAN (Virtual Local Area Network) 1 and the second network VLAN (Virtual Local Area Network) function are provided to a plurality of computer devices connected to the ports by the VLAN (Virtual Local Area Network) function of the network connection device 1.
  • a network VLAN (Virtual Local Area Network) 2 for the wireless checking is configured.
  • a virus monitoring server 2 is connected to the network V LAN 2.
  • FIGS. 2 to 5 are diagrams showing a case where a connection device such as a server or a PC (hereinafter, referred to as a connection device PC) is newly connected to the network VLAN 1.
  • FIGS. FIG. 6 is a diagram illustrating a procedure of processing corresponding to FIGS. 2 to 5 as a first embodiment.
  • FIG. 7 is a diagram for explaining the functions of the virus monitoring server 2, the connection device 1, and the connection device Pc in the first embodiment of the present invention when they are applied. That is, the virus monitoring server 2 shown in FIG. 7A has a virus check server function 2-1, a routing table control function 2-2, and a Dynamic Host Configuration Protocol (DHCP) function 2-3. Connection device shown in Fig. 7B 1 has a VLAN (Virtual Local Area Network) function 1-1. Furthermore, the connected device PC shown in FIG. 7C has a virus check function PC-1 and a virus check result notification function PC-2. The virus check function PC-1 and the virus check result notification function PC-2 of the connected device PC may be downloaded from the virus monitoring server 2 at the time of connection.
  • DHCP Dynamic Host Configuration Protocol
  • the virus monitoring server 2 collects the VLAN setting information (port number, VLAN name, VLAN ID, accommodated IP address) from the connection device 1 by telnet or the like. (Process Pl).
  • VLAN I NF VLAN management table information
  • the connection device 1 uses the REQUE ST bucket in Figure 8A to collect the VLAN management table information from the virus monitoring server 2 to the connection device 1 (using the REQUE ST bucket in Figure 8A).
  • the connection table 1 notifies the virus monitoring server 2 of the management table information in a response packet (using the ANS packet in Fig. 8B).
  • the setting information of the VLAN of the connection device 1 obtained from the connection device 1 is collected, and the server management table (see FIG. 9B) of the virus monitoring server 2 is updated (processing step P2).
  • FIG. 9 is a diagram showing an example of the management table (FIG. 9A) in the connection device 1 and the management table (FIG. 9B) in the virus monitoring server 2 at a certain point in time. From FIG. 9, 10 PCs are already assigned to port numbers 1 to 10 of the connection device 1, forming a network group of VLAN 1. Further, it can be understood that the port numbers 11 to 16 are empty ports.
  • port numbers 4 to 9 which are not shown, have the same settings as port 1, and port numbers 1: to 15 have the same settings as port number 11.
  • the connected device PC newly connected to the unused port Assume that it is accommodated in AN 1 (see port number 12 in Figure 9A).
  • the connecting device 1 detects and notifies the virus monitoring server 2 of the connection port number by using a protocol such as User Datagram Protocol (UDP), Simple Network Management Protocol (SSL), or SNMP v2Tr (processing step P4).
  • UDP User Datagram Protocol
  • SSL Simple Network Management Protocol
  • SNMP v2Tr processing step P4
  • An IP address request is broadcast to the connected device PC by DHCP (Dynamic Host Configuration Protocol) (processing step P5).
  • the virus monitoring server 2 issues an IP address (processing step P6, Fig. 2: 2), and thereby the connection between the subsequent connected device PC and the virus monitoring server 2 Is established (processing step P 7).
  • a virus check request is sent from the virus monitoring server 2 to the connected device PC by the application program VirusCHK, which performs computer virus check (processing step P8, Fig. 2: 3). Therefore, the connected device PC performs a virus check (processing step P9, Fig. 2: 1) and notifies the result to the virus monitoring server 2 (processing step P10, Fig. 3: 2).
  • the virus check request from the virus monitoring server 2 and the notification of the virus check result from the connected device PC are sent to the virus check request buckets shown in Fig. 10 (Fig. 1 OA: VirusCHK flag is ON, respectively). And a virus check result notification bucket (Fig. 10B: OK or NG for virus check result). Also, as described above, a program that realizes the virus check function and the virus check result notification function of the connected device PC can be downloaded and supplied from the virus monitoring server 2 as necessary.
  • the management table (FIG. 11A), the management table (Fig. 11B) in the virus monitoring server 2 is updated (processing steps P13 and P14), respectively.
  • port numbers 4 to 9, which are not shown, have the same settings as port number 1, and port numbers 14 to 15 have the same settings as port number 11. is there.
  • the IP address is assigned by the DHCP server to which the VLAN 1 belongs (see FIG. 4) (processing step P15).
  • the new connection device PC connected to port 6 is accommodated in the VLAN 1 network (processing step P 16).
  • Fig. 6B if there is a problem with the virus check result notified from the connected device PC (processing step P11, NG), quarantine (isolate) the connection port (processing step P17). .
  • the management table (Fig. 12A) in the connection device 1 and the management table (Fig. 12B) in the virus monitoring server 2 are updated (processing steps). P18, P19).
  • port numbers 4 to 9, which are not shown, have the same settings as port number 1, and port numbers 14 to 15 have the same settings as port number 11.
  • the connected device PC is quarantined (isolated) in a different area from VLAN 1 and V LAN 2 (processing step P20).
  • the request for updating the management table and the quarantine of the connection port in the above-mentioned processing steps P12 and P17 are performed by the packet of FIG. 13 as an embodiment.
  • the virus check result is OK
  • the VLANCHG flag is set to Yes to update the VLAN information
  • the virus check result is NG
  • the VLANCHG flag is set to NO to block the corresponding port. I do.
  • FIGS. 14A and 14B are diagrams for explaining the procedure of the process according to the second embodiment of the present invention.
  • FIG. 15 is a diagram for explaining the functions of the virus monitoring server 2, the connection device 1, and the connection device PC in the second embodiment when the present invention is applied.
  • the second embodiment Is a configuration in which the connection device 1 is provided with a routing table control function.
  • the processing procedure shown in FIGS. 14A and 14B differs from the processing procedure shown in FIGS. 6A and 6B, but the processing steps P2 to 11 are the same as those in the first embodiment. This is the same as the embodiment.
  • the virus monitoring server 2 uses the application program that requests (collects) VLAN information to send VLAN information (The port number, VLAN name, VLAN ID, and accommodated IP address) are collected from the connection device 1 (processing steps P1-1 and P1-2).
  • processing steps P2 to P11 are the same as those in the first embodiment, and the contents of the processing are different from processing step P12. That is, in the processing step P 12 shown in FIG. 14B, the virus monitoring server 2 requests the connection device 1 to update the VLAN management table (processing step P 12, FIG. 3: 6).
  • the VLAN change flag is set to Yes, the port number, the VLAN name, the VLAN ID, and the newly accommodated IP address by the application program that rewrites the V LAN (changes the port accommodation LAN and closes the port) using the packet shown in Fig. 13 (Processing step P 1 2).
  • the packet of Fig. 13 notifies the VLAN change flag of NO, port number, VLAN name, VLAN ID, and newly accommodated IP address (processing step P1). 7). As a result, VLAN rewriting to quarantine is performed in the connection device 1 (processing step P18-1).
  • the network connection device 1 accommodates the port in VLAN 2, that is, a virus check port.
  • devices such as servers, clients, and PCs infected with a virus can be connected to the network to prevent the virus from spreading throughout the network. You can build a network that is strong against computer viruses.

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Health & Medical Sciences (AREA)
  • General Health & Medical Sciences (AREA)
  • Virology (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)
  • Small-Scale Networks (AREA)

Abstract

ウイルスに感染されたサーバ、クライアント、ＰＣ等の機器が、ネットワークに接続されることによりネットワーク全体にウイルスが広がりを防ぐことを可能とするネットワークシステムにおける機器の接続方法であって、ネットワーク構成をＶＬＡＮ(Virtual Local Area Network)機能により、運用ネットワークとウイルスチェック用ネットワークに分離し、機器の接続時に、前記ウイルスチェック用ネットワークにおいてウイルスのチェックを行い、前記ウイルスチェックにより安全を確認した前記機器を、前記運用ネットワークへ収容する。また、前記ウイルスチェックにより安全を確認できないとき、前記機器を、前記運用ネットワーク及びウイルスチェック用ネットワークの何れからも隔離する。

Description

明細書 ネッ トワークにおける機器の接続方法及びこれを用いるネッ トワークシス テム 背景技術
本発明は、 ネッ トワークへの機器の接続方法に関し、 特にコンピュータ ウィルス対策を考慮した機器のネッ トワークへの接続方法及びこれを用い るネッ トワークシステムに関する。
現在、 A D S L (Asynchronous Digital Subscriber Line)の一般豕 J廷へ の普及に伴いコンピュータウィルスが短時間に爆発的に拡散し、 ネッ トヮ ークに重大な被害を与える事例が増えている。
今後、 通信ネットワークとして I P (Internet Protocol)ネッ トワークの 構築が検討され実現しつつある。 従来の通信ネッ トワークは、 専用のハー ドウエア、 ソフ トウェア等で構築されているため、 一般的にコンピュータ ウィルスの攻撃を受けることが少なかった。
これに対し、 I Pネッ トワークを構成するサーバ群は、 汎用マシンであ り O S (オペ一レーティング システム） も Windows (マイクロシステム社 登録商標）、 UNIX 等がありコンピュータウィルスの攻擊を受ける機会は十 分に考えられる。 これまでのコンピュータウィルスに対する対策としては、 ネッ トワーク外部からのウィルス侵入を防ぐことに主眼がおかれている。
し力、し、 コンピュータウィルスは多種多様になっており、 既にネッ トヮ ークに帰属する端末（P C )がウィルスに感染していているような場合に、 当該 P Cをネッ トワークに接続した時点で、 I Pネットワークにウィルス がー気に拡散されることが充分に考えられる。 それによるネッ トワークダ ゥンによって社会に与える影響は計り知れない。
また、 企業内 L A N (Local Area Network) においても同様に、 既にゥ ィルスに感染している企業内部の P Cが接続される場合は、 当該企業内ネ ッ トワーク全体にウィルスが一気に広がることが考えられ、 ウィルスによ るネットワークダウンによって企業に与える影響は大きい。
従来技術として、 ネットワークに接続されたコンピュータ等情報処理装 置において、 ネットワークとの論理的な接続及び非接続状態を動的に変更 してコンピュータウィルスのネットワーク伝播を防止する技術が提示され ている （特許文献 1参照）。
かかる特許文献 1に記載される発明では、既にウィルス対策機能（例えば、 ウィルスチェックプログラム）を格納したコンピュータが L A Nに接続さ れている。 そして、 当該コンピュータに挿入され、 実行されるファイルに 対し、 前記ウィルス対策機能で、 ファイルにウィルス感染があるか否かを 判断し、 ウィルス感染がある場合には、 L A Nへのファイル転送を阻止す るようにした構成である。
しかし、 かかる特許文献 1に記載の技術では、 L A Nに接続された特定 のコンピュータに挿入されるファイルに対-してのみウィルスチェックが行 われる仕組みである。
したがって、 企業内 L A N等において、 帰属するコンピュータが、 随時 に L A Nに接続分離されるような態様にあっては、 前記特許文献 1に記載 の技術は適用できないものである。 すなわち、 既にコンピュータ自身がゥ ィルスに汚染している場合において、 L A Nへの接続を阻止する対応が不 可能である。
(特許文献 1 )
特開平 1 1 - 7 3 3 8 4号公報 発明の概要
したがって、 本発明の目的は、 かかる不都合も考慮した機器のネットヮ ークへの接続方法及びこれを用いるネットワークシステムを提供すること にある。
かかる本発明の目的を達成する機器のネットワークへの接続方法の第 1 の態様は、 ネットワーク構成を V L A N (Virtual Local Area Network)機 能により、運用ネットワークとウィルスチェック用ネットワークに分離し、 機器の接続時に、 前記ウィルスチェック用ネットワークにおいてウィルス のチヱックを行い、 前記ウィルスチユックにより安全を確認した前記機器 を、 前記運用ネッ トワークへ収容する。
上記の本発明の目的を達成する機器のネットワークへの接続方法の第 2 の態様は、 第 1の態様において、 前記ウィルスチェックにより安全を確認 できないとき、 前記機器を、 前記運用ネットワーク及びウィルスチェック 用ネッ トワークの何れからも隔離する。
上記の本発明の目的を達成する機器のネットワークへの接続方法を用い るネットワークシステムの第 1の態様は、 複数のポートを備え、 V L A N (Virtual Local Area Network)機能により前記複数のポートに接続される 機器を運用ネットワークとウィルスチェック用ネットワークに分離するネ ットワーク接続装置と、 前記ウィルスチェック用ネットワークに接続され るウィルスチェック用サーバを有し、
新規に機器が前記ネットワーク接続装置の空きポートに接続される時、 前記ウィルスチェック用ネッ トワークに収容して、 ウィルスチェックを行 レ、、 前記ウィルスチェックにより安全を確認した場合に、 前記機器が、 前 記運用ネットワークに収容される。
上記の本発明の目的を達成する機器のネットワークへの接続方法を用い るネットワークシステムの第 2の態様は、 第 1のネットワークシステムの 態様において、 前記ウィルスチェックにより安全を確認できないとき、 前 記新規の機器は、 前記運用ネットワーク及びウィルスチェック用ネットヮ 一クの何れからも隔離される。
また、 上記の本発明の目的を達成する機器のネッ トワークへの接続方法 を用いるネットワークシステムの第 3の態様は、 第 1のネットワークシス テムの態様において、 前記ネットワーク接続装置は、 前記複数のポートの それぞれについての管理テーブルを有し、 前記ウィルスチェックの結果に 対応して、 前記管理テーブルを更新して、 前記新規の機器の接続されるポ ートを収容するネットワークを更新設定する。
さらに、 上記の本発明の目的を達成する機器のネットワークへの接続方 法を用いるネッ トワークシステムの第 4の態様は、 第 1のネッ トワークシ ステムの態様において、 前記運用ネットワークに接続される機器が対応の ポートから外される時は、 前期ネットワーク接続装置の V LAN機能によ り前記ポートをウィルスチェック用ネットワークに収容を変更する。
本発明は、 以下に図面を参照して説明される発明の実施の形態例から更 に明らかになる。 図面の簡単な説明
図 1は、 本発明を適用するネットワークの概念図である。
図 2乃至図 5は、 新たにサーバ、 P C等の接続機器（以降、 接続機器 P C と表記）をネットワーク V LAN 1に接続する場合の態様を示す図である。 図 6 A, 図 6 Bは、 第 1の実施の形態例として図 2〜図 5に対応する処 理の手順を説明する図である。
図 7は、 第 1の実施の形態例において、 ウィルス監視サーバ 2、 接続装 置 1及び、接続機器 P Cの本発明の適用における機能を説明する図である。 図 8は、 VLANの設定情報 （ポート番号、 VLAN名、 VLAN I D、 収容 I Pア ドレス） の送受（要求/回答）するためのバケツトフォーマ ットを示す図である。
図 9は、 ある時点における接続装置 1における管理テーブル（図 9 A)及 びウィルス監視用サーバ 2における管理テーブル（図 9 B)の一例を示す図 である。
図 1 0は、 ウィルスチェック要求パケット及び、 ウィルスチェック結果 通知バケツトを示す図である。
図 1 1は、 ウィルスチェック結果に問題がない場合の接続装置 1におけ る管理テーブル及びウィルス監視用サーバ 2における管理テーブルを示す 図である。
図 1 2は、 ウィルスチェック結果に問題ある場合の接続装置 1における 管理テーブル及びウィルス監視用サーバ 2における管理テーブルを示す図 である。 図 1 3は、 管理テーブルの更新要求及ぴ、 接続ポートの検疫を指示する パケットの一例を示す図である。
図 1 4は、 本発明の第 2の実施の形態例の処理の手順を説明する図であ る。
図 1 5は、 第 2の実施の形態例において、 ウィルス監視サーバ 2、 接続 装置 1及び、 接続機器 P Cの本発明の適用における機能を説明する図であ る。 発明の実施の形態例
以下図面に従い、 本発明の実施の形態例を説明する。
図 1は、 本発明を適用するネットワークの概念図である。 レイヤ 3 (L 3) スィッチ、 ルータあるいは、 レイヤ 2 (L 2) スィッチ （スィッチン グハブ） 等のネットワーク接続機器 1によって、 複数のコンピュータ機器 が接続されてネットワークを構成している。
本発明においては、 ネットワーク接続機器 1の V LAN (Virtual Local Area Network)機能によって、 ポートに接続された複数の'コンピュータ機器 に対し、 第 1のネットワーク V LAN (Virtual Local Area Network) 1と、 第 2のウイノレスチェック用のネットワーク V LAN (Virtual Local Area Network) 2が構成される。 ネットワーク V L A N 2には、 ウィルス監視用 のサーバ 2が接続されている。
図 2〜図 5は、 新たにサーバ、 P C等の接続機器（以降、 接続機器 P Cと 表記）をネットワーク V LAN 1に接続する場合の態様を示す図であり、図 6 A, 図 6 Bは、 第 1の実施の形態例として図 2〜図 5に対応する処理の 手順を説明する図である。
図 7は、 第 1の実施の形態例において、 ウィルス監視サーバ 2、 接続装 置 1及び、接続機器 P cの本発明の適用における機能を説明する図である。 すなわち、 図 7 Aに示すウィルス監視サーバ 2は、 ウィルスチェックサー バ機能 2-1、ルーティングテープル制御機能 2-2及び DHC P (Dynamic Host Configuration Protocol) 機能 2-3 を有している。 図 7 Bに示す接続装置 1は、 VLAN (Virtual Local Area Network) 機能 1-1を有している。 さらに、 図 7 Cに示す接続機器 P Cは、 ウィルスチェック機能 PC - 1及び ウィルスチェック結果通知機能 PC- 2を有している。 なお、 この接続機器 P Cにおけるウィルスチェック機能 PC - 1 及びウィルスチェック結果通知機 能 PC- 2は、 接続の際、 ウィルス監視サーバ 2からダウンロードするように してもよい。
図 6A, 図 6 Bに戻り説明すると、 ウィルス監視用サーバ 2は、 接続装 置 1から V LANの設定情報（ポート番号、 VLAN名、 VLAN I D、 収容 I Pアドレス） を telnet等で収集している （処理工程 P l)。
このときのパケッ トのフォーマッ トの一例が図 8に示される。 VLAN の管理テーブル情報を収集するアプリケーションプログラム （V LAN I NF) により、 ウィルス監視用サーバ 2から接続装置 1に VLANの管理 テーブル情報を要求し（図 8 Aの RE QUE S Tバケツトを使用）、 これに 対し、 応答パケット （図 8 Bの AN Sパケットを使用） により接続装置 1 からウィルス監視用サーバ 2に管理テーブル情報が通知される。
このように、 接続装置 1から得られる接続装置 1の VLANの設定情報 を収集し、 ウィルス監視用サーバ 2のサーバ管理テーブル（図 9 B参照）が 更新される （処理工程 P 2)。
ここで、 接続装置 1及びウィルス監視用サーバ 2に設定される管理テー ブルについて説明する。
図 9は、 ある時点における接続装置 1における管理テーブル（図 9 A)及 びウィルス監視用サーバ 2における管理テーブル（図 9 B)の一例を示す図 である。 図 9から、 接続装置 1のポート番号 1〜 1 0には既に 1 0台の P Cがされ、 V LAN 1のネットワークグループを構成している。 さらに、 ポート番号 1 1〜 1 6は、 空きポートであることが理解できる。
また、 図 9 A、 図 9 Bにおいて、 図示省略されているポート番号 4〜9 はポート 1と同じ設定であり、 ポート番号 1 ：〜 1 5はポート番号 1 1と 同じ設定である。
この状態において、 新規に空きポートに接続される接続機器 P Cを VL A N 1に収容する場合を想定する （図 9 Aのポート番号 1 2を参照）。 図 2 に示すように、 新規の接続機器 P Cが接続装置 1の空きポートに揷入され る （処理工程 P 3、 図 2 ：①） と、 接続装置 1は、 空きポートへのケープ ル接続を検出し、 接続ポート番号を U D P (User Datagram Protocol ) , S Ν Μ Ρ (Simple Network Management Protocol) , S N M P v2Tr 等のプ 口トコルによりウィルス監視用サーバ 2に通知する （処理工程 P 4 )。 接続機器 P C fま、 D H C P (Dynamic Host Configuration Protocol) に より I Pァドレス要求をブロードキャストする （処理工程 P 5 )。 ウィルス 監視用サーバ 2は、 I Pァ ドレス要求を受けると I Pア ドレスを振り出し (処理工程 P 6、 図 2 ：②）、 これにより以降の接続機器 P Cとウィルス監 視用サーバ 2との間のコネクションが確立する （処理工程 P 7 )。
コネクションが確立すると、 ウィルス監視用サーバ 2からコンピュータ ウィルスチェックを行うアプリケーションプログラム VirusCHKにより、 ゥ ィルスチェック要求を接続機器 P Cに送る （処理工程 P 8、 図 2 :③）。 し たがって、 接続機器 P Cはウィルスチェックを実施し （処理工程 P 9、 図 2：④）、その結果をウィルス監視用サーバ 2に通知する（処理工程 P 1 0、 図 3 ：⑤）。
このとき、 ウィルス監視用サーバ 2からのウィルスチェック要求及び、 接続機器 P Cからのウィルスチェック結果の通知は、 実施例として、 各々 図 1 0に示すウィルスチェック要求バケツト（図 1 O A： VirusCHK フラグ を O Nとする） 及び、 ウィルスチェック結果通知バケツト（図 1 0 B ： ウイ ルスチェック結果を O Kまたは N Gとする）により行われる。 また、 先に説 明したように、 接続機器 P Cにおけるウィルスチェック機能及びウィルス チェック結果通知機能を実現するプログラムは、 必要によりウィルス監視 サーバ 2からダウンロードして供給することが可能である。
次に図 6 Bにおいて、 接続機器 P Cから通知されるウィルスチェック結 果に問題ない場合 （処理工程 P 1 1、 O K ) は、 管理テーブルの更新を接 続装置 1に要求する （処理工程 P 1 2、 図 3 ：⑥）。
これにより、図 1 1に示すように、接続装置 1における管理テーブル（図 1 1 A)、 ウィルス監視用サーバ 2における管理テーブル （図 1 1 B) がそ れぞれ更新される （処理工程 P 1 3、 P 1 4)。 図 1 1 A, 図 1 1 Bにおい て、 図示省略されているポート番号 4〜 9は、 ポート番号 1と同じ設定で あり、 ポート番号 1 4〜 1 5は、 ポート番号 1 1と同じ設定である。
管理テーブルが更新されると、 VL AN 1の属する DHC Pサーバ （図 4参照） により I Pア ドレスの割り当てが行われる （処理工程 P 1 5)。 こ れによりポート 6に接続された新たな接続機器 P Cは、 VLAN 1のネッ トワークに収容される （処理工程 P 1 6)。
—方、 図 6 Bにおいて、 接続機器 P Cから通知されるウィルスチェック 結果に問題ある場合 （処理工程 P 1 1、 NG) は、 接続ポートを検疫 （隔 離） 処理する （処理工程 P 1 7)。
これに対応して、 図 1 2に示すように、 接続装置 1における管理テープ ル（図 1 2 A)、 ウィルス監視用サーバ 2における管理テーブル（図 1 2 B) がそれぞれ更新される （処理工程 P 1 8、 P 1 9)。 図 1 2A、 図 1 2 Bに おいて、 図示省略されているポート番号 4〜9はポート番号 1と同じ設定 であり、 ポート番号 14〜 1 5はポート番号 1 1と同じ設定である。
接続機器 P Cは、 VLAN 1、 V LAN 2のそれぞれと異なるエリアに 検疫 （隔離） される （処理工程 P 20)。
なお、 上記処理工程 P 1 2、 P 1 7における管理テーブルの更新要求及 び、 接続ポートの検疫は、 実施例として、 図 1 3のパケットにより行われ る。 図 1 3において、 ウィルスチェック結果が OKである場合、 VLAN 情報を更新するべく VLANCHGフラグを Y e s とし、 ウィルスチェッ ク結果が NGである場合、 該当ポートを閉塞するために VLANCHGフ ラグを NOとする。
図 1 4 A， 図 14 Bは、 本発明の第 2の実施の形態例の処理の手順を説 明する図である。 図 1 5は、 第 2の実施の形態例において、 ウィルス監 視サーバ 2、 接続装置 1及び、 接続機器 P Cの本発明の適用における機能 を説明する図である。
図 1 5において、 図 7 との比較により明確な通り、 第 2の実施の形態例 は、 ルーティングテーブル制御機能を接続装置 1に備えるようにした構成 である。 これにより'、 図 1 4A， 図 1 4 Bに示す処理の手順が、 図 6A， 6 Bに示す処理の手順と異なってくるが、 処理工程 P 2〜 1 1までは、 第 1の実施の形態例と同様である。
異なる点は、 図 14 Aに示す処理工程 P 1において、 telnet等で情報収 集する代わりに、 ウィルス監視用サーバ 2では、 V LANの情報を要求（収 集）するアプリケーションプログラムにより V LAN情報（ポート番号、 V LAN名、 VLAN I D、 収容 I Pアドレス）を接続装置 1から収集する (処理工程 P 1— 1 , P 1— 2)。
次いで、 処理工程 P 2〜1 1までは、 第 1 の実施の形態例と同様であつ て、 さらに処理工程 P 1 2以降に処理の内容が異なる。 即ち、 図 1 4 Bに 示す処理工程 P 1 2において、 ウィルス監視用サーバ 2から V LAN管理 テーブルの更新を接続装置 1に要求する （処理工程 P 1 2、 図 3 ：⑥). 代 わりに、 V LAN書換え（ポートの収容 LANを変更、 ポートの閉塞）を行 うアプリケーションプログラムにより、 図 1 3のパケッ トにより VLAN 変更フラグを Y e s， ポート番号、 V LAN名、 VLAN I D、 新収容 I Pアドレスを通知する （処理工程 P 1 2)。 これにより、 接続装置 1の持つ ルーティングテーブル制御機能 2— 2により、 ポート番号、 新収容 I Pァ ドレス、 VLAN名、 VLAN I Dで設定の書換えを行い、 新規接続機器 を VLAN 1に収容して運用可能とする （処理工程 P 1 3— 1)。
さらに、 ウィルスチェック結果が NGであった場合も同様に、 図 1 3の パケットにより VLAN変更フラグを NO， ポート番号、 VLAN名、 V LAN I D、 新収容 I Pア ドレスを通知する （処理工程 P 1 7)。 これに より、 接続装置 1において検疫への V LAN書換えを行う （処理工程 P 1 8— 1 )。
なお、 上記において、 VLAN 1の属する、 ネッ トワーク接続装置 1の ポートから接続機器 P Cが離脱される場合は、ネットワーク接続装置 1は、 当該ポートを VLAN 2、 即ちウィルスチェック用ポートに収容する。 産業上の利用可能性
上記に説明した様に、 本発明により、 ウィルスに感染されたサーバ、 ク ライアント、 P C等の機器が、 ネッ トワークに接続されることによりネッ トワーク全体にウィルスが広がりを防ぐことが可能であり、 コンピュータ ウィルスに対して強いネットワークの構築が出来る。

Claims

請求の範囲
1 . ネッ トワーク構成を V L A N (Virtual Local Area Network)機能によ り、 運用ネッ トワークとウィルスチェック用ネッ トワークに分離し、 機器の接続時に、 前記ウィルスチェック用ネッ トワークにおいてウィル スのチェックを行い、
前記ウィルスチェックにより安全を確認した前記機器を、 前記運用ネッ トワークへ収容する ことを特徴とするネッ トワークにおける機器の接続方法。
2 . 請求項 1において、
前記ウィルスチェックにより安全を確認できないとき、 前記機器を、 前 記運用ネッ トワーク及びウィルスチェック用ネッ トワークの何れからも隔 離することを特徴とするネッ トワークにおける機器の接続方法。
3 . 複数のポートを備え、 V L A N (Virtual Local Area Network)機能に より前記複数のポートに接続される機器を運用ネッ トワークとウィルスチ ック用ネッ トワークに分離するネッ トワーク接続装置と、
前記ウィルスチェック用ネッ トワークに接続されるウィルスチエック用 サーバを有し、
新規に機器が前記ネットワーク接続装置の空きポートに接続される時、 前記ウィルスチェック用ネッ トワークに収容して、 ウィルスチェックを行 レ、、
前記ウィルスチェックにより安全を確認した場合に、 前記機器が、 前記 運用ネッ トワークに収容される
ことを特徴とするネッ トワークシステム。
4 . 請求項 3において、
前記ウィルスチェックにより安全を確認できないとき、 前記新規の機器 は、 前記運用ネットワーク及びウィルスチ ック用ネッ トワークの何れか らも隔離されることを特徴とするネッ トワーク
5 . 請求項 3において、
前記ネッ トワーク接続装置は、 前記複数のポートのそれぞれについての 管理テーブルを有し、
前記ウィルスチェックの結果に対応して、前記管理テーブルを更新して、 前記新規の機器の接続されるポートを収容するネッ トワークを更新設定す ることを特徴とするネッ トワークシステム。
6 . 請求項 3において、
前記運用ネッ トワークに接続される機器が対応のポートから外される時は、 前期ネッ トワーク接続装置の V L A N機能により前記ポートをウィルスチ エック用ネッ トワークに収容を変更することを特徴とするネッ トワークシ ステム。
PCT/JP2003/007842 2003-06-20 2003-06-20 ネットワークにおける機器の接続方法及びこれを用いるネットワークシステム WO2004114599A1 (ja)

Priority Applications (3)

Application Number Priority Date Filing Date Title
JP2005500906A JP4611197B2 (ja) 2003-06-20 2003-06-20 ネットワークにおける機器の接続方法及びこれを用いるネットワークシステム
PCT/JP2003/007842 WO2004114599A1 (ja) 2003-06-20 2003-06-20 ネットワークにおける機器の接続方法及びこれを用いるネットワークシステム
US11/212,191 US7874002B2 (en) 2003-06-20 2005-08-26 Method of connection of equipment in a network and network system using same

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
PCT/JP2003/007842 WO2004114599A1 (ja) 2003-06-20 2003-06-20 ネットワークにおける機器の接続方法及びこれを用いるネットワークシステム

Related Child Applications (1)

Application Number Title Priority Date Filing Date
US11/212,191 Continuation US7874002B2 (en) 2003-06-20 2005-08-26 Method of connection of equipment in a network and network system using same

Publications (1)

Publication Number Publication Date
WO2004114599A1 true WO2004114599A1 (ja) 2004-12-29

Family

ID=33524165

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/JP2003/007842 WO2004114599A1 (ja) 2003-06-20 2003-06-20 ネットワークにおける機器の接続方法及びこれを用いるネットワークシステム

Country Status (3)

Country Link
US (1) US7874002B2 (ja)
JP (1) JP4611197B2 (ja)
WO (1) WO2004114599A1 (ja)

Cited By (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2007102697A (ja) * 2005-10-07 2007-04-19 Nec Corp 検疫システム及び方法並びにプログラム
US8732817B2 (en) 2011-03-29 2014-05-20 Nec Corporation Switching hub, a system, a method of the switching hub and a program thereof
US8984634B2 (en) 2011-09-26 2015-03-17 Nec Corporation Quarantine network system, server apparatus, and program

Families Citing this family (17)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
TW200612695A (en) * 2004-10-08 2006-04-16 Broad Web Corp Content checking method applied to network packet of a network security switch
US20130246603A1 (en) * 2005-08-30 2013-09-19 Mcafee, Inc. System, method, and computer program product for automatic router discovery
US7870246B1 (en) * 2005-08-30 2011-01-11 Mcafee, Inc. System, method, and computer program product for platform-independent port discovery
ES2348043T3 (es) * 2006-04-28 2010-11-29 Koninklijke Kpn N.V. Conexion en cascada de servicios externos.
US20090299493A1 (en) * 2006-05-02 2009-12-03 Allan Bo Joergensen System for operating a plant
US8590002B1 (en) 2006-11-29 2013-11-19 Mcafee Inc. System, method and computer program product for maintaining a confidentiality of data on a network
US8621008B2 (en) 2007-04-26 2013-12-31 Mcafee, Inc. System, method and computer program product for performing an action based on an aspect of an electronic mail message thread
US8199965B1 (en) 2007-08-17 2012-06-12 Mcafee, Inc. System, method, and computer program product for preventing image-related data loss
US20130276061A1 (en) 2007-09-05 2013-10-17 Gopi Krishna Chebiyyam System, method, and computer program product for preventing access to data with respect to a data access attempt associated with a remote data sharing session
US8446607B2 (en) * 2007-10-01 2013-05-21 Mcafee, Inc. Method and system for policy based monitoring and blocking of printing activities on local and network printers
US8893285B2 (en) 2008-03-14 2014-11-18 Mcafee, Inc. Securing data using integrated host-based data loss agent with encryption detection
US9077684B1 (en) 2008-08-06 2015-07-07 Mcafee, Inc. System, method, and computer program product for determining whether an electronic mail message is compliant with an etiquette policy
US8892696B1 (en) * 2012-03-08 2014-11-18 Juniper Networks, Inc. Methods and apparatus for automatic configuration of virtual local area network on a switch device
US20130262621A1 (en) * 2012-03-29 2013-10-03 Andrei Yoryevich Sherbakov Telecommunication system with variable functionality
IN2013CH01041A (ja) * 2013-03-12 2015-08-14 Atchayam Business Solutions Pvt Ltd
US9544207B2 (en) * 2013-06-21 2017-01-10 Microsoft Technology Licensing, Llc Using different connectivity checks to determine causes of connectivity issues
JP6476853B2 (ja) * 2014-12-26 2019-03-06 富士通株式会社 ネットワーク監視システム及び方法

Citations (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2002314573A (ja) * 2001-04-10 2002-10-25 Allied Tereshisu Kk ネットワーク管理装置、ネットワーク管理プログラム、ネットワーク管理方法、及びコンピュータネットワークシステム
JP2002366522A (ja) * 2001-06-08 2002-12-20 System Needs Kk ユーザ認証型ｖｌａｎ

Family Cites Families (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JPH1173384A (ja) 1997-08-29 1999-03-16 Nec Corp ウィルス対応ネットワーク接続コンピュータ
US20020199116A1 (en) * 2001-06-25 2002-12-26 Keith Hoene System and method for computer network virus exclusion
US7555774B2 (en) * 2004-08-02 2009-06-30 Cisco Technology, Inc. Inline intrusion detection using a single physical port

Patent Citations (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2002314573A (ja) * 2001-04-10 2002-10-25 Allied Tereshisu Kk ネットワーク管理装置、ネットワーク管理プログラム、ネットワーク管理方法、及びコンピュータネットワークシステム
JP2002366522A (ja) * 2001-06-08 2002-12-20 System Needs Kk ユーザ認証型ｖｌａｎ

Non-Patent Citations (1)

* Cited by examiner, † Cited by third party
Title
SUZUKI H. "Enkaku Hoshu Riyo deno Virus Check Service", JIII Journal of Technical Disclosure, Journal of Technical Disclosure No. 95-14045, 02 October, 1995 *

Cited By (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2007102697A (ja) * 2005-10-07 2007-04-19 Nec Corp 検疫システム及び方法並びにプログラム
US8732817B2 (en) 2011-03-29 2014-05-20 Nec Corporation Switching hub, a system, a method of the switching hub and a program thereof
US8984634B2 (en) 2011-09-26 2015-03-17 Nec Corporation Quarantine network system, server apparatus, and program

Also Published As

Publication number Publication date
US7874002B2 (en) 2011-01-18
JPWO2004114599A1 (ja) 2006-07-27
US20060021043A1 (en) 2006-01-26
JP4611197B2 (ja) 2011-01-12

Similar Documents

Publication Publication Date Title
WO2004114599A1 (ja) ネットワークにおける機器の接続方法及びこれを用いるネットワークシステム
CN101019405B (zh) 用于在通信网络中缓解拒绝服务的方法和系统
JP5062967B2 (ja) ネットワークアクセス制御方法、およびシステム
US7428219B2 (en) System and method to exchange information between a control element and forwarding elements in a network element architecture
JP4634687B2 (ja) ローカルｉｐアドレスと変換不可能なポートアドレスとを用いたローカルエリアネットワークのためのネットワークアドレス変換ゲートウェイ
JP5532458B2 (ja) コンピュータシステム、コントローラ、及びネットワーク監視方法
US10063544B2 (en) System and method for supporting consistent handling of internal ID spaces for different partitions in an infiniband (IB) network
EP2362586B1 (en) System and method for data communication between a user terminal and a gateway via a network node
WO2011093288A1 (ja) ネットワークシステム、コントローラ、ネットワーク制御方法
JP5305045B2 (ja) スイッチングハブ及び検疫ネットワークシステム
EP2057552A2 (en) System and method for distributed multi-processing security gateway
CA2780929A1 (en) System and method for encryption rekeying
WO2001013589A1 (fr) Systeme de surveillance contre le piratage informatique
US20080240432A1 (en) Method and system for security protocol partitioning and virtualization
WO2010087326A1 (ja) Ｔｃｐ通信方式
WO2006120751A1 (ja) 発着呼を可能とするピア・ツー・ピア通信方法及びシステム
EP4068698B1 (en) Generating route target values for virtual private network routes
CN102594834B (zh) 网络攻击的防御方法及装置、网络设备
KR20130101674A (ko) 다중 ｍｔｕ를 설정하는 모바일 디바이스 및 이를 이용한 데이터 전송 방법
JP2017208718A (ja) 通信装置および通信方法
US7466711B2 (en) Synchronous system and method for processing a packet
JP4572086B2 (ja) ネットワーク、認証サーバ装置、ルータ装置及びそれらに用いる端末管理方法
WO2004080024A1 (en) A packet forwarding apparatus
Davoli VXVDEX: Internet of threads and networks of namespaces
JP2005167364A (ja) 通信接続方法、サーバ計算機、および、プログラム

Legal Events

Date Code Title Description
AK Designated states

Kind code of ref document: A1

Designated state(s): JP US

WWE Wipo information: entry into national phase

Ref document number: 2005500906

Country of ref document: JP

WWE Wipo information: entry into national phase

Ref document number: 11212191

Country of ref document: US

WWP Wipo information: published in national office

Ref document number: 11212191

Country of ref document: US