WO2015136842A1 - ネットワーク管理装置、ネットワークシステム、ネットワーク管理方法および記録媒体 - Google Patents

ネットワーク管理装置、ネットワークシステム、ネットワーク管理方法および記録媒体 Download PDF

Info

Publication number
WO2015136842A1
WO2015136842A1 PCT/JP2015/000696 JP2015000696W WO2015136842A1 WO 2015136842 A1 WO2015136842 A1 WO 2015136842A1 JP 2015000696 W JP2015000696 W JP 2015000696W WO 2015136842 A1 WO2015136842 A1 WO 2015136842A1
Authority
WO
WIPO (PCT)
Prior art keywords
terminal
identification information
information
network
network management
Prior art date
Application number
PCT/JP2015/000696
Other languages
English (en)
French (fr)
Inventor
健太郎 園田
貴之 佐々木
洋一 波多野
俊貴 渡辺
林　偉夫
Original Assignee
日本電気株式会社
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 日本電気株式会社 filed Critical 日本電気株式会社
Priority to US15/124,787 priority Critical patent/US10516665B2/en
Priority to JP2016507292A priority patent/JP6418232B2/ja
Publication of WO2015136842A1 publication Critical patent/WO2015136842A1/ja

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/0876—Network architectures or network communication protocols for network security for authentication of entities based on the identity of the terminal or configuration, e.g. MAC address, hardware or software configuration or device fingerprint
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/30—Authentication, i.e. establishing the identity or authorisation of security principals
    • G06F21/44—Program or device authentication
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/55—Detecting local intrusion or implementing counter-measures
    • G06F21/56—Computer malware detection or handling, e.g. anti-virus arrangements
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L12/00—Data switching networks
    • H04L12/64—Hybrid switching systems
    • H04L12/6418—Hybrid transport
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1441—Countermeasures against malicious traffic

Definitions

  • the present invention relates to a network management device, a network system, a network management method, and a recording medium.
  • Patent Document 1 describes that a large amount of fake data is leaked to a distributed network as information transmitted mutually in the distributed network and information stored in the distributed node. As a result, in the technique of Patent Document 1, it is difficult for the network user of the distributed network and the data acquisition side to determine the authenticity of each information and file.
  • Patent Document 1 makes it difficult to determine the authenticity of data flowing on a network, and does not consider any unauthorized access from an intruded terminal using the network configuration information of the terminal.
  • the present invention has been made in view of the above problems, and an object of the present invention is to provide a network management device, a network system, and a network that can prevent unauthorized access to other devices from a terminal that is invaded by a malicious user To realize a management method and a recording medium.
  • a network management device is a network management device connected to a terminal via a communication device, and is identification information for identifying the terminal on a network managed by the network management device, Regular information generating means for generating regular identification information managed as regular information by the network management apparatus, and identification information of a disguise different from the regular identification information, and used as it is for communication with other terminals Disguise information generating means for generating disguise information for disguise, management means for managing and managing the regular identification information and the disguise information for disguise, and registering means for registering the disguise identification information in the terminal And comprising.
  • a network system includes: a plurality of terminals; a network management device that manages a network; and a communication device that connects each of the plurality of terminals to the network management device.
  • An apparatus identifies identification information for identifying each of the plurality of terminals on a network managed by the network management apparatus with respect to a terminal connected to the network management apparatus via the communication apparatus among the plurality of terminals.
  • the regular information generating means for generating regular identification information managed as regular information by the network management device, and the identification information of the disguise different from the regular identification information for the terminal connected to the network
  • the identification information of the disguise that the terminal cannot use as it is for communication with other terminals
  • a network management method is a network management method for a network management device connected to a terminal via a communication device, and the identification information for identifying the terminal on a network managed by the network management device
  • the network management device generates regular identification information managed as regular information, and is the identification information of a disguise different from the regular identification information, and can be used as it is for communication with other terminals.
  • the identification information of a disguise that cannot be created is generated, the regular identification information and the identification information of the disguise are managed in association with each other, and the identification information of the disguise is registered in the terminal.
  • a computer program that realizes the network management device or the network management method by a computer and a computer-readable storage medium that stores the computer program are also included in the scope of the present invention.
  • FIG. It is a block diagram which shows an example of a structure of the network system which concerns on the 6th Embodiment of this invention. It is a figure which shows an example of the hardware constitutions of the network management apparatus which can implement
  • FIG. 1 is a functional block diagram showing an example of a functional configuration of the network management apparatus 100 according to the first embodiment of the present invention.
  • the network management apparatus 100 is an apparatus that manages a network configuration.
  • the network management apparatus 100 is realized by, for example, an SDN (Software-Defined Networking) controller.
  • SDN Software-Defined Networking
  • FIG. 2 is a diagram illustrating an example of the configuration of the network system 1 according to the present embodiment.
  • the network system 1 includes a network management device 100, a network communication device 200, and a plurality of terminals (300, 400).
  • the network management device 100 is connected to the terminals (300, 400) via the network communication device 200.
  • the network communication device 200 is a device that connects the network management device 100 and each terminal.
  • the network communication device 200 is realized by an SDN switch, for example.
  • SDN switch for example.
  • the configuration of one network communication apparatus 200 is described, but the present embodiment is not limited to this.
  • the plurality of terminals are user terminals and servers that communicate with each other via the network communication device 200.
  • two terminals are connected to the network communication device 200, but the number of terminals is not limited to this.
  • the terminal When the terminal is connected to the network communication apparatus 200, the terminal transmits its own IP (Internet Protocol) address and MAC (Media Access Control) address to the network communication apparatus 200.
  • IP Internet Protocol
  • MAC Media Access Control
  • the information transmitted from the terminal to the network communication apparatus 200 is not limited to this, and may be a host name (hereinafter also referred to as NAME), for example.
  • the network management apparatus 100 includes a virtual device information generation unit 120, a regular information generation unit 130, a network configuration information management unit 140, and a virtual device information registration unit 150.
  • the regular information generation unit 130 uses the network management device 100 as regular information for a terminal (connection terminal) connected to the network management device 100 via the network communication device 200 among the plurality of terminals (300, 400).
  • Regular network configuration information (regular identification information) to be managed is generated.
  • the regular network configuration information is information for identifying a terminal on the network managed by the network management apparatus 100.
  • the regular network configuration information is information that can be used as it is when the terminal communicates with another terminal connected to the network management apparatus 100. Examples of the information that can be used as it is include an IP address, a MAC address, a host name, and the like, but the present embodiment is not limited to this.
  • the regular network configuration information generated by the regular information generation unit 130 may be generated according to information set in advance by the administrator, or may be automatically generated using other methods.
  • the generation method of the normal network configuration information generated by the normal information generation unit 130 is not particularly limited.
  • the regular information generation unit 130 supplies the generated regular network information to the network configuration information management unit 140.
  • the disguise information generation unit 120 provides network configuration information (disguise) for a disguise (fake, trap) to a connection terminal connected to the network management apparatus 100 via the network communication apparatus 200 among a plurality of terminals (300, 400). Identification information).
  • the network configuration information of a virtual device is information different from the regular network configuration information, and is information that the network management device 100 manages as information of a virtual device.
  • the network configuration information of the disguise is random information.
  • the network configuration information of a costume is information that cannot be used as it is when a terminal communicates with another terminal. Further, the network configuration information of the costume corresponds to the regular network configuration information on a one-to-one basis, and does not overlap. Examples of the network configuration information of the disguise include a randomly generated host name, IP address, MAC address, and the like, but the present embodiment is not limited to this.
  • the fancy dress information generation unit 120 supplies the generated network configuration information of the fancy dress to the network configuration information management unit 140 and the fancy dress information registration unit 150. Further, the disguise information generation unit 120 may be configured to generate disguise network configuration information according to a predetermined rule instead of random.
  • the network configuration information management unit 140 is a means for managing the network configuration information of the virtual device in association with the regular network configuration information.
  • the network configuration information management unit 140 may store the network configuration information in association with each other in a storage unit (not shown).
  • the virtual device information registration unit 150 When receiving the network configuration information of the virtual device from the virtual device information generating unit 120, the virtual device information registration unit 150 registers the network configuration information of the virtual device in the terminal. For example, when the network configuration information of a virtual machine generated by the virtual machine information generation unit 120 is an IP address, a MAC address, and a host name, the virtual machine information registration unit 150 displays the IP address, the MAC address, and the host name as a network management device. Register with the terminal connected to 100. If the network configuration information has already been registered in the terminal, the virtual device information registration unit 150 may rewrite the already registered network configuration information with the network configuration information of the virtual device supplied from the virtual device information generation unit 120. Good.
  • the costume information registration unit 150 registers the network configuration information of the costume generated by the costume information generation unit 120 in the connected terminal.
  • the network configuration information registered in the terminal connected to the network management apparatus 100 becomes the network configuration information of the disguise that is different from the regular network configuration information. Therefore, even if a terminal connected to the network management device 100 is infected, it is difficult to guess the network configuration information of the peripheral device from the network configuration information of the virtual device. Therefore, according to the network management apparatus 100 according to the present embodiment, it is difficult to perform a malicious activity, and the network security can be further improved.
  • the network management device 100 can suitably manage the terminals connected to the network management device 100.
  • the network configuration information management unit 140 of the network management apparatus 100 manages the regular network configuration information and the network configuration information of the costume in association with each other. Thereby, the network management device 100 easily identifies the legitimate network configuration information of the terminal when the terminal in which the network configuration information of the costume is registered by the costume information registration unit 150 communicates with another terminal. be able to.
  • FIG. 3 is a functional block diagram showing an example of a functional configuration of the network management apparatus 101 in the network system 2 according to the present embodiment.
  • the network management apparatus 101 includes a terminal determination unit (first determination unit) 110, a disguise information generation unit 120, a regular information generation unit 130, a network configuration information management unit 140, a disguise information registration unit 150, a communication A determination unit (second determination unit) 160 and a network configuration information storage unit 170 are provided.
  • Terminal determination unit 110 determines whether a terminal connected to the network communication apparatus 200 is a terminal newly connected to the network communication apparatus 200 or a previously connected terminal.
  • the terminal determination unit 110 includes information for identifying a terminal connected to the network communication apparatus 200 (terminal identification information), information for identifying a terminal with which the terminal communicates (destination identification information), Is received from the terminal via the network communication device 200.
  • the terminal identification information will be described by taking, for example, an IP address (IP src), a MAC address (Ether src), etc. as an example, but the present embodiment is limited to this. It is not a thing.
  • the terminal identification information may be, for example, a host name (hereinafter also referred to as NAME) indicating the terminal.
  • the terminal identification information may be at least one of an IP address, a MAC address, and a host name, for example.
  • NAME host name
  • the terminal IP address and the MAC address are input as terminal identification information to terminal determination unit 110 will be described.
  • the destination identification information includes, for example, a destination IP address (IP dst), a destination MAC address (Ether dst), a host name, and the like, but the present embodiment is not limited to this.
  • the destination identification information may be at least one of an IP address, a MAC address, and a host name.
  • IP dst IP dst
  • MAC address Destination dst
  • host name a host name
  • the destination identification information may be at least one of an IP address, a MAC address, and a host name.
  • sending the input packet received by the network communication device 200 to the network management device 101 is also referred to as pkt_in.
  • the input packet may include, for example, information shown in the following (1) to (8).
  • the terminal determination unit 110 confirms whether or not the IP address and MAC address, which are the received terminal identification information, are managed by the network configuration information management unit 140. That is, the terminal determination unit 110 checks whether or not the IP address and the MAC address that are terminal identification information are stored in the network configuration information storage unit 170. When the terminal identification information is not managed by the network configuration information management unit 140, the terminal determination unit 110 determines that the connected terminal is a terminal newly connected to the network communication device 200. Then, the terminal determination unit 110 supplies the terminal identification information included in the input packet to the disguise information generation unit 120 and the regular information generation unit 130. Note that the terminal determination unit 110 may supply information indicating that the input packet has been received to the fancy dress information generation unit 120.
  • the terminal determination unit 110 determines that the connected terminal is a terminal previously connected to the network communication device 200. Then, the terminal determination unit 110 supplies the communication determination unit 160 with an input packet including the received terminal identification information and destination identification information.
  • IP address and the MAC address are transmitted as the terminal identification information from the network communication device 200, information for connecting anything to the network to the terminal connected to the network communication device 200 (for example, IP address) is not set.
  • the IP address of the terminal identification information is sent to the terminal determination unit 110 in an empty state.
  • the terminal determination unit 110 may confirm whether or not the terminal is a newly connected terminal by confirming whether or not the IP address is empty.
  • the communication determination unit 160 determines that the connection terminal is the network management apparatus 101. It is determined whether or not communication with other terminals (called destination terminals) connected to is possible. Specifically, the communication determination unit 160 is based on information managed by the network configuration information management unit 140 based on the terminal identification information and destination identification information included in the input packet (that is, in the network configuration information storage unit 170). The communication information between the terminals is determined with reference to the stored information.
  • the communication determination unit 160 receives an input packet including the terminal identification information and the destination identification information received by the terminal determination unit 110 from the terminal determination unit 110. Then, the communication determination unit 160 refers to the network configuration information storage unit 170, and identifies the regular IP address and MAC address (regular network configuration information) from the IP address and MAC address included in the received terminal identification information. .
  • the communication determination part 160 confirms whether the connection terminal connected to the network communication apparatus 200 is a terminal which can communicate with the destination terminal which communicates.
  • the destination identification information IP address and MAC address
  • the communication determination unit 160 uses the information, the network configuration information storage unit 170 is referred to, and the regular IP address and MAC address corresponding to the destination identification information are specified.
  • the communication determination part 160 confirms whether a connection terminal and a destination terminal can communicate using the regular network configuration information of a connection terminal, and the regular network configuration information of a destination terminal. For example, the communication determination unit 160 checks whether or not the connection terminal and the destination terminal belong to the same subnet.
  • the communication determination unit 160 discards the input packet.
  • the communication determination unit 160 processes the input packet for the network communication apparatus 200 (registers a flow for sending the input packet to the destination terminal). In the present embodiment, this process is also referred to as flow_mod.
  • the communication determination unit 160 transmits (transfers) the input packet to the destination terminal.
  • the communication determination part 160 transmits an input packet to the network communication apparatus 200, and the network communication apparatus 200 transmits the said input packet to a destination terminal.
  • this transmission process is also called pkt_out.
  • the communication determination unit 160 determines whether the terminals are in the same subnet from the terminal identification information other than the IP address (for example, the host name).
  • the structure which confirms these may be sufficient. For example, a list of host names belonging to the same subnet is stored in the network configuration information storage unit 170, and a configuration is included in which the communication determination unit 160 confirms whether the subnet is the same by checking the list. May be.
  • the network configuration information storage unit 170 is a means for storing the network configuration information of the virtual device and the regular network configuration information associated with each other.
  • the network configuration information storage unit 170 is managed by the network configuration information management unit 140.
  • the configuration in which the network configuration information storage unit 170 is included in the network management apparatus 101 will be described.
  • the network configuration information storage unit 170 is realized by an apparatus separate from the network management apparatus 101. It may be a thing.
  • FIG. 4 is a diagram illustrating an example of data stored in the network configuration information storage unit 170 of the network management apparatus 101 according to the present embodiment.
  • the network configuration information storage unit 170 stores regular network configuration information and network configuration information of a virtual device different from the regular network configuration information in association with each other.
  • a terminal that can be connected to the network and the terminal connected to the network communication apparatus 200 is not set to any information (for example, a host name or an IP address) for connecting to the network.
  • this terminal is a terminal newly connected to the network communication apparatus 200. Since the terminal has a MAC address, when it first connects to the network communication device 200, it transmits an input packet including the MAC address to the network communication device 200 as terminal identification information. At this time, the terminal may transmit terminal identification information containing empty information as an IP address.
  • the disguise information generation unit 120 randomly generates a disguise host name, disguise IP address, and disguise MAC address for the terminal. For example, the disguise information generating unit 120 sets “asdfjkl”, “10.56.550.10”, “00: 11: 22: 33: 44” as the disguise host name, disguise IP address, and disguise MAC address, respectively. : 55 ".
  • the regular information generation unit 130 generates a regular host name and a regular IP address.
  • the received MAC address becomes a regular MAC address.
  • the regular information generation unit 130 generates “peper” and “172.16.1.1” as the regular host name and the regular IP address, respectively.
  • the network configuration information management unit 140 stores the network configuration information of the disguise and the regular network configuration information in association with each other. Therefore, in the network configuration information storage unit 170, as shown in the first line of FIG. 4, the network configuration information of the virtual device generated by the virtual device information generation unit 120, the normal network configuration information generated by the normal information generation unit 130, and Are stored in association with each other.
  • a terminal that is connectable to a network and information for connecting to the network is set in a terminal connected to the network communication apparatus 200. It is assumed that this terminal is a terminal newly connected to the network communication apparatus 200.
  • the terminal transmits an input packet including an already set IP address and a MAC address as terminal identification information to the network communication apparatus 200.
  • the disguise information generation unit 120 randomly assigns a disguise host name, disguise IP address, and disguise MAC address to the terminal. Generate each one. Further, the regular information generation unit 130 generates a regular host name and a regular IP address. As for the MAC address, the received MAC address becomes a regular MAC address.
  • the received IP address and host name are IP addresses and host names that can be used on the network managed by the network management apparatus 101 (which can be managed by the network management apparatus 101)
  • the regular information generation unit 130 may be set as a regular IP address and a regular host name, respectively.
  • the network configuration information management unit 140 stores the network configuration information of the disguise in association with the regular network configuration information in the network configuration information storage unit 170.
  • FIG. 5 is a flowchart illustrating an example of a processing flow of the network management apparatus 101.
  • the network management apparatus 101 performs the following steps S51 to S61 as shown in FIG. I do.
  • Step S51 The terminal determination unit 110 receives an input packet including terminal identification information and destination identification information.
  • Step S52 The terminal determination unit 110 confirms whether or not the terminal indicated by the terminal identification information received in Step S51 is a terminal newly connected to the network communication device 200. In the case of a newly connected terminal (in the case of YES), the process proceeds to step S53. If the terminal is already connected (NO), the process proceeds to step S57.
  • Step S53 The disguise information generating unit 120 generates disguise network configuration information.
  • Step S54 The normal information generation unit 130 generates normal network configuration information.
  • step S53 and step S54 may be performed simultaneously or in reverse order.
  • Step S55 The network configuration information management unit 140 associates the regular network configuration information generated in step S54 with the network configuration information of the virtual device generated by the virtual device information generation unit 120 in step S53, and the network configuration information storage unit 170 To store.
  • Step S56 The disguise information registration unit 150 registers the network configuration information of the disguise generated by the disguise information generation unit 120 in Step S53 in the terminal that has transmitted the input packet, and ends the process.
  • step S56 may be performed simultaneously with step S54 or may be performed before step S54.
  • Step S57 In the case of NO in Step S52, the communication determination unit 160 refers to the network configuration information storage unit 170 and identifies the regular network configuration information of the connected terminal from the terminal identification information received in Step S51.
  • Step S58 The communication determination unit 160 refers to the network configuration information storage unit 170, and identifies the regular network configuration information of the destination terminal from the destination identification information received in step S51.
  • Step S59 The communication determination unit 160 determines whether or not communication between terminals is possible. If communication is possible (YES), the process proceeds to step S60. If communication is impossible (NO), the process proceeds to step S61.
  • Step S60 The communication determination unit 160 registers a flow for sending the input packet to the destination terminal, transfers the input packet to the destination terminal, and ends the process.
  • Step S61 The communication determination unit 160 discards the input packet and ends the process.
  • the costume information registration unit 150 registers the network configuration information of the costume generated by the costume information generation unit 120 in the connected terminal.
  • the network configuration information registered in the terminal connected to the network management apparatus 101 becomes the network configuration information of the costume different from the regular network configuration information.
  • the network management apparatus 101 can make it difficult for malicious software such as a virus hidden in the terminal to acquire regular network configuration information.
  • the network management apparatus 101 can make it difficult to guess the network configuration information of other terminals.
  • the network management apparatus 101 since it becomes difficult to estimate the network configuration information of other terminals connected to the network communication apparatus 200, the man-hour (work cost) required for the search activity of the other terminals can be increased. As a result, it is possible to make it difficult for a malicious activity from an infected terminal. Therefore, according to the network management apparatus 101 according to the present embodiment, it is difficult to perform a malicious activity, and the security of the network can be further improved.
  • the network management apparatus 101 can suitably manage terminals connected to the network management apparatus 101.
  • the network configuration information management unit 140 of the network management apparatus 101 manages regular network configuration information and virtual network configuration information in association with each other. Thereby, the network management apparatus 101 easily identifies the legitimate network configuration information of the terminal when the terminal in which the network configuration information of the costume is registered by the costume information registration unit 150 communicates with another terminal. be able to.
  • the terminal determination unit 110 may register the network configuration information of the disguise for the newly connected terminal by confirming whether or not the terminal connected to the network communication device 200 is newly connected. it can.
  • an input packet can be transmitted to a destination terminal with which the terminal communicates while maintaining security with respect to an already connected terminal.
  • the regular network configuration information managed by the network configuration information management unit 140 may include an IP address, a MAC address, and a host name, respectively.
  • the regular network configuration information and the virtual network configuration information may each include a port number. In the present modification, the fact that the port number is included in the network configuration information of the regular and fancy dress will be described with reference to FIG.
  • FIG. 6 is a diagram illustrating an example of data stored in the network configuration information storage unit 170 according to the present modification.
  • the network configuration information storage unit 170 includes a host name, an IP address, a MAC address, and a port number as network configuration information of a virtual machine.
  • the network configuration information storage unit 170 includes a host name, an IP address, a MAC address, and a port number as normal network configuration information.
  • the terminal identification information is included in the input packet received by the terminal determination unit 110 from the terminal.
  • the terminal identification information includes a transmission source port number (simply referred to as a port number).
  • the disguise information generation unit 120 “123” is generated as the port number of the disguise corresponding to the port number. Then, for the communication using the port number “80”, the virtual device information registration unit 150 actually sets the port number of the port to be used as “123” in the terminal.
  • the terminal determination unit 110 confirms whether or not the network configuration information management unit 140 manages the received terminal identification information, that is, the IP address, the MAC address, and the port number.
  • the communication determination unit 160 specifies the port number of the port used when communicating with the destination terminal by referring to the network configuration information storage unit 170. For example, when the terminal determination unit 110 receives an input packet with the port number of the connection terminal being “123”, the communication determination unit 160 refers to the network configuration information storage unit 170 and refers to the regular port number (FIG. 6). In this case, “80”) is acquired. Then, the communication determination unit 160 transfers the input packet to the destination terminal using the regular port number.
  • the network management apparatus 101 can make the search activity including not only the address scan but also the port scan more difficult.
  • the communication determination unit 160 checks whether or not the connection terminal and the destination terminal can communicate with each other by confirming whether or not the connection terminal and the destination terminal belong to the same subnet. It was confirmed.
  • the method for confirming whether the connection terminal and the destination terminal can communicate is not limited to this.
  • another method for confirming whether the connection terminal and the destination terminal can communicate with each other will be described. Note that members having the same functions as the members included in the drawings described in the second embodiment described above are denoted by the same reference numerals, and detailed description thereof is omitted.
  • the network management apparatus 102 has the same functional configuration as the network management apparatus 101 according to the second embodiment shown in FIG.
  • the network management apparatus 102 includes a terminal determination unit 110, a virtual device information generation unit 120, a regular information generation unit 130, a network configuration information management unit 140, a virtual device information registration unit 150, a communication determination unit 160, and a network configuration information storage unit 170. Yes.
  • the network configuration information management unit 140 manages the relationship information indicating the relationship between the terminals and the operation information indicating the operation between the terminals indicated by the relationship information by using the regular network configuration information of the terminals. .
  • the information managed by the network configuration information management unit 140 is described as an example stored in the network configuration information storage unit 170. However, the present embodiment is not limited to this. . Information managed by the network configuration information management unit 140 may be stored in another storage device (not shown).
  • the relationship information and the corresponding operation information managed by the network configuration information management unit 140 may be registered in advance in the network configuration information storage unit 170, or generated by the regular information generation unit 130. It may be.
  • the generation method of the relation information and the corresponding operation information managed by the network configuration information management unit 140 is not particularly limited.
  • FIG. 7 is a diagram illustrating an example of relation information and operation information managed by the network configuration information management unit 140.
  • the relationship information is called “rule” and the operation information is called “action”.
  • a host name NAME
  • the regular network configuration information used for the relationship information is not limited to the host name.
  • the rule column includes the relationship information of the host names included in the regular network configuration information shown in FIG.
  • the relationship information of communication between a terminal whose host name is “peper” (terminal 300) and a terminal whose host name is “ginger” (terminal 400) is indicated by an arrow “ ⁇ >”.
  • the action column includes a character string “allow” or “deny”.
  • the action is “allow”, it indicates that the corresponding rule is permitted.
  • the action is “deny”, it indicates that the corresponding rule is not permitted.
  • the information described in the “Rule” and “Action” fields is not limited to the format shown in FIG. 7, and may be information indicating relationship information between terminals and corresponding operation information, respectively.
  • the communication determination unit 160 determines whether the connection terminal connected to the network communication device 200 can communicate with the destination terminal using the operation information. As shown in FIG. 7, when the host name of the connection terminal is “peper” and the host name of the destination terminal is “ginger”, the corresponding operation information is “allow”. Therefore, the communication determination unit 160 determines that the connected terminal can communicate with the destination terminal. When the host name of the connection terminal is “pepper” and the host name of the destination terminal is “wasabi”, the corresponding operation information is “deny”. Therefore, the communication determination unit 160 determines that the connected terminal cannot communicate with the destination terminal.
  • the network management apparatus 102 it is confirmed whether or not the connection terminal connected to the network communication apparatus 200 can communicate with the destination terminal in the same subnet. And can be determined. Thereby, even if the IP address of the destination is not included in the input packet, it is possible to confirm whether or not the connection terminal can communicate with the destination terminal.
  • the network management apparatus 102 According to the network management apparatus 102 according to the present embodiment, the same effects as those of the network management apparatus 101 according to the second embodiment described above can be obtained.
  • the regular network configuration information generated by the regular information generation unit 130 is information that can be used for communication on the network, such as an IP address, a MAC address, and a host name.
  • the present embodiment is not limited to this.
  • the regular network configuration information generated by the regular information generation unit 130 may not be information that can be used for communication as it is.
  • an example of normal network configuration information generated by the normal information generation unit 130 will be described. Note that members having the same functions as the members included in the drawings described in the second embodiment described above are denoted by the same reference numerals, and detailed description thereof is omitted.
  • the network management apparatus 103 has the same functional configuration as the network management apparatus 101 according to the second embodiment shown in FIG.
  • the network management device 103 includes a terminal determination unit 110, a virtual device information generation unit 120, a regular information generation unit 130, a network configuration information management unit 140, a virtual device information registration unit 150, a communication determination unit 160, and a network configuration information storage unit 170. Yes.
  • FIG. 8 is a diagram illustrating an example of data stored in the network configuration information storage unit 170 according to the present embodiment.
  • the network configuration information storage unit 170 stores regular network configuration information and network configuration information of a virtual device different from the regular network configuration information in association with each other.
  • the regular network configuration information generated by the regular information generation unit 130 is information that can be identified only on the network management apparatus 103.
  • the identifiable information is, for example, a character string that uniquely specifies a terminal on the network management apparatus 103 (referred to as terminal specifying information in FIG. 8).
  • the character string may be a host name or anything that can be managed by the network management apparatus 103. It is assumed that the character string corresponds to any of an IP address, a MAC address, and a host name included in the regular network configuration information shown in the above-described embodiment.
  • the regular information generation unit 130 generates information indicating the group to which the terminal indicated by the character string belongs as the regular network configuration information.
  • FIG. 8 shows that the terminal indicated by “peper” belongs to the group having the group name “aaa”.
  • This group corresponds to, for example, a subnet.
  • the communication determination unit 160 uses the information indicating the regular network configuration information group of the connection terminal and the information indicating the regular network configuration information group of the destination terminal to determine whether the connection terminal and the destination terminal can communicate with each other. To check. For example, the communication determination unit 160 checks whether or not the connection terminal and the destination terminal belong to the same group.
  • the communication determination unit 160 can transfer the input packet transmitted from the connection terminal to the destination terminal.
  • the network management apparatus 103 even if the regular network configuration information is not information directly used for communication with other terminals such as an IP address, Whether or not communication with the terminal is possible can be confirmed.
  • the network management apparatus 103 According to the network management apparatus 103 according to the present embodiment, the same effects as those of the network management apparatus 101 according to the second embodiment described above can be obtained.
  • the network management apparatus 103 uses information (relationship) managed by the network configuration information management unit 140 described in the third embodiment with respect to the regular network configuration information generated in the present embodiment. Information and operation information) may be used to confirm whether the connection terminal and the destination terminal can communicate with each other. This method will be described in this modification.
  • symbol is attached
  • the network management device 104 has the same functional configuration as the network management device 101 according to the second embodiment shown in FIG.
  • the network management device 104 includes a terminal determination unit 110, a virtual device information generation unit 120, a regular information generation unit 130, a network configuration information management unit 140, a virtual device information registration unit 150, a communication determination unit 160, and a network configuration information storage unit 170. Yes.
  • the network configuration information management unit 140 according to the present modification example is represented by a character string generated by the regular information generation unit 130 of the network management apparatus 103 according to the fourth embodiment as regular network configuration information, and the character string.
  • the group (see FIG. 8) to which the terminal belongs belongs is managed.
  • the network configuration information management unit 140 uses the regular network configuration information, the relationship information indicating the relationship between the terminals, and the operation information indicating the operation between the terminals indicated by the relationship information (see FIG. 7). To associate and manage.
  • the network configuration information storage unit 170 stores information managed by the network configuration information management unit 140. Note that, as in the third embodiment, the relationship information and the operation information corresponding to the relationship information may be stored in a storage device different from the network configuration information storage unit 170.
  • the network management apparatus 104 it is possible to suitably determine whether or not the connection terminal connected to the network communication apparatus 200 can communicate with the destination terminal.
  • the relationship information and the operation information managed by the network configuration information management unit 140 are not limited between terminals.
  • the relationship information includes, for example, (1) a terminal and a group to which another terminal belongs, (2) a group to which the terminal belongs and the terminal, and (3) a group to which the terminal belongs and another terminal.
  • the information which shows the relationship between groups may be sufficient.
  • the operation information may be information indicating an operation corresponding to the related information.
  • the communication determination part 160 can determine more suitably whether a connection terminal can communicate with a destination terminal.
  • FIG. 9 is a functional block diagram showing an example of a functional configuration of the network management apparatus 105 in the network system 3 according to the present embodiment.
  • the network management device 105 includes a terminal determination unit 110, a disguise information generation unit 120, a regular information generation unit 130, a network configuration information management unit 140, a disguise information registration unit 150, a communication determination unit 160, and network configuration information.
  • a storage unit 170 and a disguise information regeneration unit 500 are provided.
  • the virtual device information regeneration unit 500 In order to change the network configuration information of the virtual device at a predetermined interval, the virtual device information regeneration unit 500 periodically sends new virtual device network configuration information to the terminal in which the network configuration information of the virtual device to be changed is registered. Or a means for randomly generating at an arbitrary timing.
  • the generation of network configuration information for a new virtual device may be performed by an administrator setting the network management device 105 with a period for changing the network configuration information for a virtual device at a predetermined cycle.
  • the network configuration information for a new virtual device may be generated by the network configuration information management unit 140 or the virtual device information regeneration unit 500 automatically setting a random cycle (period). However, other methods may be used.
  • the information (target terminal information) indicating the target terminal from which the virtual device information regeneration unit 500 generates network configuration information of a new virtual device may be supplied from the network configuration information management unit 140,
  • the configuration may be such that the disguise information regenerating unit 500 acquires from the network configuration information storage unit 170.
  • the target terminal information may be regular network configuration information of the target terminal, or may be network configuration information of a disguise.
  • the fancy dress information regeneration unit 500 supplies the generated new fancy dress network configuration information to the network configuration information management unit 140 and the fancy dress information registration unit 150 together with the target terminal information.
  • the network configuration information management unit 140 associates and manages the regular network configuration information indicating the terminal in which the network configuration information of the virtual device to be changed is registered, and the generated network configuration information of the new virtual device.
  • the network configuration information management unit 140 stores the associated network configuration information in the network configuration information storage unit 170.
  • FIG. 10 is an example of data stored in the network configuration information storage unit 170 of the network management apparatus 105 according to the present embodiment, before and after the network configuration information of the virtual device is changed.
  • FIG. 10 is an example of data stored in the network configuration information storage unit 170 of the network management apparatus 105 according to the present embodiment, before and after the network configuration information of the virtual device is changed.
  • the table on the upper side of FIG. 10 shows the network configuration information of the virtual device and the regular network configuration information before the network configuration information of the virtual device is changed.
  • the network configuration information management unit 140 When the network configuration information of a new virtual device is generated by the virtual device information regenerating unit 500, the network configuration information management unit 140, as shown in the lower table of FIG. The network configuration information of the virtual device is changed to the network configuration information of the new virtual device. Thereby, the network configuration information management unit 140 manages the network configuration information of the new virtual device in association with the regular network configuration information.
  • the disguise information registration unit 150 is supplied with the network configuration information of the disguise registered in the terminal from the disguise information regenerator 500 for the terminal indicated by the terminal target information supplied from the disguise information regenerator 500. Change to network configuration information for a new virtual machine.
  • connection terminal can periodically update the network configuration information of the disguise.
  • the disguise information regenerating unit 500 simultaneously generates new disguise network configuration information for all terminals managed by the network configuration information management unit 140 or currently connected to the network communication device 200. May be.
  • the disguise information regenerating unit 500 may generate new disguise network configuration information for terminals belonging to the group at intervals determined for the group.
  • the predetermined group may be a subnet, for example, or may be a group generated by the regular information generating unit 130 in the fourth embodiment described above.
  • the network management apparatus 105 since the network configuration information of the costume registered in the connection terminal is periodically changed, it is more preferable to make malicious activity from the infected terminal more difficult. Can do. Therefore, the network management device 105 can further increase the security of the network system 3.
  • the network management apparatus 105 generates new virtual network configuration information for each predetermined group.
  • the network management device 105 updates the network configuration information of the disguise at a short interval for a group including terminals that are more susceptible to attack, and the disguise of a disguise for a group that includes terminals that are not susceptible to attack. Control that network configuration information is not updated much can be performed. Therefore, the network management device 105 can further increase the security of the network system 3.
  • FIG. 11 is a functional block diagram showing an example of a functional configuration of the network management apparatus 106 in the network system 4 according to the present embodiment.
  • the network management device 106 includes a terminal determination unit 110, a disguise information generation unit 120, a regular information generation unit 130, a network configuration information management unit 140, a disguise information registration unit 150, a communication determination unit 160, and network configuration information.
  • a storage unit 170 and an infected terminal detection unit 600 are provided.
  • the network management apparatus 106 shown in FIG. 11 is configured to further include an infected terminal detection unit 600 in the network management apparatus 101 of the second embodiment, but the infected terminal is not included in the network management apparatus of other embodiments.
  • the structure provided with the detection part 600 may be sufficient.
  • the infected terminal detection unit 600 uses the input packet received by the terminal determination unit 110 as the terminal. Received from the determination unit 110. Then, the infected terminal detection unit 600 checks whether or not the destination identification information included in the received input packet is managed by the network configuration information management unit 140. Specifically, the infected terminal detection unit 600 checks whether or not the destination IP address, MAC address, host name, and the like included in the destination identification information are stored in the network configuration information storage unit 170.
  • the infected terminal detection unit 600 detects that the connected terminal that has transmitted the input packet including the destination identification information is infected with malware (malware It is detected that there is a high possibility that it is an infected terminal. Thereafter, the infected terminal detection unit 600 disconnects the detected terminal from the network managed by the network management apparatus 106. Since the existing method is used as the method for disconnecting the terminal from the network, the description is omitted in this embodiment.
  • the infected terminal detection unit 600 supplies the input packet received from the terminal determination unit 110 to the communication determination unit 160 when the destination identification information is managed by the network configuration information management unit 140.
  • the communication determination unit 160 determines whether or not the connection terminal and the destination terminal can communicate based on the input packet received from the infected terminal detection unit 600.
  • the infected terminal detection unit 600 manages the destination identification information included in the input packet received by the terminal determination unit 110 by the network configuration information management unit 140. Check if it is. Then, when the destination identification information is not managed by the network configuration information management unit 140, the connection terminal is detected as a malware-infected terminal. Then, the infected terminal detection unit 600 disconnects the connection terminal from the network.
  • the virtual device information registration unit 150 registers the network configuration information of the virtual device in the connection terminal, it is difficult to infer the IP address and MAC address of the peripheral terminal of the connection terminal using the network configuration information of the virtual device. Therefore, a malicious user may transmit a search packet to an arbitrary IP address and MAC address from the connection terminal. For example, in the IPv4 (Internet Protocol Version 4) environment, since the total number of IP addresses is about 4.3 billion, it is difficult to search for peripheral terminals by pinpoint. Therefore, there is a high possibility that an arbitrary IP address is a dark net.
  • IPv4 Internet Protocol Version 4
  • the infected terminal detection unit 600 detects that the terminal that transmitted the input packet is a malware-infected terminal.
  • the network management apparatus 106 can detect a terminal infected with a bot or the like with higher accuracy. Further, the infected terminal detection unit 600 isolates the detected terminal from the network, so that the safety of the network can be further improved.
  • each part of the network management apparatus shown in FIGS. 1, 3, 9, and 11 may be realized by hardware resources illustrated in FIG. That is, the configuration shown in FIG. 12 includes a RAM (Random Access Memory) 111, a ROM (Read Only Memory) 112, a communication interface 113, a storage medium 114, and a CPU 115.
  • the CPU 115 controls the overall operation of the network management apparatus by reading various software programs (computer programs) stored in the ROM 112 or the storage medium 114 into the RAM 111 and executing them. That is, in each of the above embodiments, the CPU 115 executes a software program that executes each function (each unit) included in the network management apparatus while appropriately referring to the ROM 112 or the storage medium 114.
  • a computer program capable of realizing the functions described above is supplied to the network management apparatus, and then the CPU 115 reads the computer program into the RAM 111 and executes it. May be achieved.
  • the supplied computer program may be stored in a computer-readable storage device such as a readable / writable memory (temporary storage medium) or a hard disk device.
  • a computer-readable storage device such as a readable / writable memory (temporary storage medium) or a hard disk device.
  • the present invention can be understood as being configured by a code representing the computer program or a storage medium storing the computer program.
  • a network management device connected to a terminal via a communication device, Regular information generating means for generating regular identification information for identifying the terminal on the network managed by the network management apparatus and managed as regular information by the network management apparatus; Disguise information generating means for generating disguise identification information that is different from the regular identification information and that cannot be used as it is for communication with other terminals; Management means for managing the regular identification information and the identification information of the costume in association with each other; A network management device comprising: registration means for registering the identification information of the disguise with the terminal.
  • the device further includes a fancy dress information regenerating unit that generates identification information of a new fancy dress for the terminal in which the identification information of the fancy dress to be changed is registered,
  • the managing means associates and manages regular identification information indicating a terminal in which identification information of the change target costume is registered, and identification information of the generated new costume,
  • the registration means changes the identification information of the virtual device registered in the terminal to the generated identification information of the new virtual device for the terminal in which the identification information of the virtual device to be changed is registered.
  • Appendix 3 The network management device according to appendix 2, wherein the virtual device information regenerating unit generates the identification information of the new virtual device for each of the predetermined groups at an interval determined for each group.
  • (Appendix 4) First determination means for determining whether a terminal connected via the communication device is a terminal newly connected to the network management device; When the first determination unit determines that the terminal connected to the network management device is not a newly connected terminal, the second determination unit determines whether the terminal can communicate with the other terminal. And a determination means, When the first determination unit determines that the terminal connected to the network management device is a newly connected terminal, the regular information generation unit and the disguise information generation unit respectively Generating identification information and identification information of the costume, The second determination unit, when determining that the terminal is communicable with the other terminal, forwards an input packet transmitted from the terminal to the other terminal, according to any one of appendices 1 to 3 The network management device according to one.
  • the input packet includes terminal identification information for identifying a terminal that has transmitted the input packet, and destination identification information for identifying the other terminal with which the terminal communicates
  • the first determination unit receives the input packet from the terminal and confirms whether the terminal identification information included in the input packet is managed by the management unit. Determine whether the terminal is newly connected to the device,
  • the network management device according to appendix 4, wherein the second determination unit determines whether the terminal can communicate with the other terminal based on the terminal identification information and the destination identification information.
  • the first determination means is the terminal The network management device according to appendix 5, wherein the terminal indicated by the identification information is determined not to be a terminal newly connected to the network management device.
  • the destination identification information is identification information of a costume registered in the other terminal by the registration unit;
  • the second determination unit uses the regular identification information of the other terminal and the regular identification information of the terminal associated with the destination identification information by the management unit, so that the terminal
  • the network management device according to appendix 5 or 6, which determines whether or not communication with a terminal is possible.
  • the terminal determines whether the destination identification information included in the input packet received by the first determination unit is managed by the management unit. When the destination identification information is not managed by the management unit, the terminal It further comprises detection means for detecting that it is a malware-infected terminal, Whether the terminal can communicate with the other terminal indicated by the destination identification information when the detection means confirms that the destination identification information is managed by the management means.
  • the network management device according to any one of appendices 5 to 7, which determines whether or not.
  • the regular information generating means generates an IP (Internet Protocol) address as the regular identification information
  • the second determination unit determines whether or not the terminal and the other terminal can communicate by checking whether or not the terminal and the other terminal are included in the same subnet.
  • the network management device according to any one of appendices 4 to 8.
  • the management means further includes relationship information indicating a relationship between the regular identification information of the terminal and the regular identification information of the other terminal, and an operation indicating an operation between the terminals indicated by the relationship information.
  • relationship information indicating a relationship between the regular identification information of the terminal and the regular identification information of the other terminal, and an operation indicating an operation between the terminals indicated by the relationship information.
  • the regular information generating means generates, as the regular identification information, a character string that uniquely identifies the terminal and information indicating a group to which the terminal belongs,
  • the second determination means determines whether or not the terminal and the other terminal can communicate by checking whether or not the terminal and the other terminal belong to the same group.
  • the network management device according to any one of 4 to 8.
  • the regular information generating means generates, as the regular identification information, a character string that uniquely identifies the terminal and information indicating a group to which the terminal belongs
  • the management means further includes: between the terminal and the other terminal; between the terminal and the group to which the other terminal belongs; between the group to which the terminal belongs and the terminal; and to the group to which the terminal belongs.
  • Managing in association with relationship information indicating at least any relationship with the group to which the other terminal belongs, and operation information indicating an operation between objects indicated by the relationship information,
  • the network management apparatus according to any one of appendices 4 to 8, wherein the second determination unit determines whether the terminal can communicate with the other terminal using the operation information.
  • a network management device for managing the network;
  • a communication device for connecting each of the plurality of terminals and the network management device,
  • the network management device includes: Identification information for identifying each of the plurality of terminals on a network managed by the network management apparatus with respect to a terminal connected to the network management apparatus via the communication apparatus among the plurality of terminals.
  • Normal information generating means for generating normal identification information managed by the network management device as normal information;
  • the disguise information for generating disguise identification information that is different from the regular identification information and cannot be used as it is for communication with other terminals.
  • Generating means Management means for managing the regular identification information and the identification information of the costume in association with each other;
  • a network system comprising: registration means for registering the identification information of the disguise in a terminal connected to the network.
  • (Appendix 15) A network management method of a network management device connected to a terminal via a communication device, On the network managed by the network management device, identification information for identifying the terminal, the network management device to generate regular identification information managed as regular information, It is identification information of a costume different from the regular identification information, and generates identification information of a costume that cannot be used as it is for communication with other terminals, Managing the legitimate identification information and the identification information of the costume in association with each other; A network management method for registering identification information of the disguise in the terminal.

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Hardware Design (AREA)
  • General Engineering & Computer Science (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Theoretical Computer Science (AREA)
  • Computing Systems (AREA)
  • Software Systems (AREA)
  • General Physics & Mathematics (AREA)
  • Physics & Mathematics (AREA)
  • Power Engineering (AREA)
  • Virology (AREA)
  • General Health & Medical Sciences (AREA)
  • Health & Medical Sciences (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)
  • Small-Scale Networks (AREA)

Abstract

　悪意のあるユーザによって侵入された端末からの他の装置に対する不正アクセスを防ぐ。ネットワーク管理装置は、端末と通信装置を介して接続するネットワーク管理装置であって、当該ネットワーク管理装置が管理するネットワーク上において、前記端末を識別する識別情報であって、当該ネットワーク管理装置が正規の情報として管理する正規の識別情報を生成する正規情報生成手段と、前記正規の識別情報とは異なる仮装の識別情報であって、他の端末との通信にそのまま用いることができない仮装の識別情報を生成する仮装情報生成手段と、前記正規の識別情報および前記仮装の識別情報を、関連付けて管理する管理手段と、前記仮装の識別情報を、前記端末に登録する登録手段と、を備える。

Description

ネットワーク管理装置、ネットワークシステム、ネットワーク管理方法および記録媒体
　本発明は、ネットワーク管理装置、ネットワークシステム、ネットワーク管理方法および記録媒体に関する。
　近年、サイバー攻撃等に対する対策が考えられている。
　例えば、特許文献１には、分散ネットワークで相互に送信される情報、および分散ノードに記憶された情報として、分散ネットワークに大量の偽データを流出させることが記載されている。これにより、特許文献１の技術では、分散ネットワークのネットワーク利用者やデータ取得側で各情報、ファイルの真偽判別を困難にしている。
特開２０１０－９７３４３号公報
　サイバー攻撃により既にネットワーク内に悪意のある第３者が侵入している場合、侵入された端末のＩＰ（Ｉｎｔｅｒｎｅｔ　Ｐｒｏｔｏｃｏｌ）アドレス等のネットワーク構成情報を用いて、同じネットワーク上にある他の端末のネットワーク構成情報を推測し、当該他の端末に不正にアクセスされる可能性がある。
　特許文献１の技術では、ネットワーク上を流れるデータの真偽判別を困難にするに留まり、侵入された端末から、当該端末のネットワーク構成情報を利用した不正アクセスについては、何ら考慮されていない。
　本発明は、上記課題に鑑みてなされたものであり、その目的は、悪意のあるユーザによって侵入された端末からの他の装置に対する不正アクセスを防ぐことが可能なネットワーク管理装置、ネットワークシステム、ネットワーク管理方法および記録媒体を実現することにある。
　本発明の一態様に係るネットワーク管理装置は、端末と通信装置を介して接続するネットワーク管理装置であって、当該ネットワーク管理装置が管理するネットワーク上において、前記端末を識別する識別情報であって、当該ネットワーク管理装置が正規の情報として管理する正規の識別情報を生成する正規情報生成手段と、前記正規の識別情報とは異なる仮装の識別情報であって、他の端末との通信にそのまま用いることができない仮装の識別情報を生成する仮装情報生成手段と、前記正規の識別情報および前記仮装の識別情報を、関連付けて管理する管理手段と、前記仮装の識別情報を、前記端末に登録する登録手段と、を備える。
　本発明の一態様に係るネットワークシステムは、複数の端末と、ネットワークを管理するネットワーク管理装置と、前記複数の端末の夫々と前記ネットワーク管理装置とを接続する通信装置と、を備え、前記ネットワーク管理装置は、前記複数の端末のうち、前記通信装置を介して当該ネットワーク管理装置に接続された端末に対し、当該ネットワーク管理装置が管理するネットワーク上において、前記複数の端末の夫々を識別する識別情報であって、当該ネットワーク管理装置が正規の情報として管理する正規の識別情報を生成する正規情報生成手段と、前記ネットワークに接続された端末に対し、前記正規の識別情報とは異なる仮装の識別情報であって、当該端末が他の端末との通信にそのまま用いることができない仮装の識別情報を生成する仮装情報生成手段と、前記正規の識別情報および前記仮装の識別情報を、関連付けて管理する管理手段と、前記仮装の識別情報を、前記ネットワークに接続された端末に登録する登録手段と、を備える。
　本発明の一態様に係るネットワーク管理方法は、端末と通信装置を介して接続するネットワーク管理装置のネットワーク管理方法であって、前記ネットワーク管理装置が管理するネットワーク上において、前記端末を識別する識別情報であって、当該ネットワーク管理装置が正規の情報として管理する正規の識別情報を生成し、前記正規の識別情報とは異なる仮装の識別情報であって、他の端末との通信にそのまま用いることができない仮装の識別情報を生成し、前記正規の識別情報および前記仮装の識別情報を、関連付けて管理し、前記仮装の識別情報を、前記端末に登録する。
　なお、上記ネットワーク管理装置または上記ネットワーク管理方法を、コンピュータによって実現するコンピュータプログラム、およびそのコンピュータプログラムが格納されている、コンピュータ読み取り可能な記憶媒体も、本発明の範疇に含まれる。
　本発明によれば、悪意のあるユーザによって侵入された端末からの他の装置に対する不正アクセスを防ぐことができる、という効果を奏する。
本発明の第１の実施の形態に係るネットワーク管理装置の機能構成の一例を示す機能ブロック図である。 本発明の第１の実施の形態に係るネットワークシステムの構成の一例を示すブロック図である。 本発明の第２の実施の形態に係るネットワークシステムの構成の一例を示すブロック図である。 本発明の第２の実施の形態に係るネットワーク管理装置のネットワーク構成情報記憶部に格納されたデータの一例を示す図である。 本発明の第２の実施の形態に係るネットワーク管理装置の処理の流れの一例を示すフローチャートである。 本発明の第２の実施の形態の変形例に係るネットワーク管理装置のネットワーク構成情報記憶部に格納されたデータの一例を示す図である。 本発明の第３の実施の形態に係るネットワーク管理装置のネットワーク構成情報管理部が管理する関係情報および動作情報の一例を示す図である。 本発明の第４の実施の形態に係るネットワーク管理装置のネットワーク構成情報記憶部に格納されたデータの一例を示す図である。 本発明の第５の実施の形態に係るネットワークシステムの構成の一例を示すブロック図である。 本発明の第５の実施の形態に係るネットワーク管理装置のネットワーク構成情報記憶部に格納されたデータであって、仮装のネットワーク構成情報が変更される前および変更された後のデータの一例を示す図である。 本発明の第６の実施の形態に係るネットワークシステムの構成の一例を示すブロック図である。 本発明の各実施形態に係るネットワークシステムを実現可能なネットワーク管理装置のハードウェア構成の一例を示す図である。
　＜第１の実施の形態＞
　本発明の第１の実施の形態について、図面を参照して詳細に説明する。図１は、本発明の第１の実施の形態に係るネットワーク管理装置１００の機能構成の一例を示す機能ブロック図である。ネットワーク管理装置１００は、ネットワークの構成を管理する装置である。ネットワーク管理装置１００は、例えば、ＳＤＮ（Ｓｏｆｔｗａｒｅ－Ｄｅｆｉｎｅｄ　Ｎｅｔｗｏｒｋｉｎｇ）コントローラ等によって実現される。
　ここで、図２を参照して、ネットワーク管理装置１００を含むネットワークシステム１について説明を行う。図２は、本実施の形態に係るネットワークシステム１の構成の一例を示す図である。図２に示す通り、ネットワークシステム１は、ネットワーク管理装置１００と、ネットワーク通信装置２００と、複数の端末（３００、４００）とを含んでいる。
　ネットワーク管理装置１００は、端末（３００、４００）とネットワーク通信装置２００を介して接続している。
　ネットワーク通信装置２００は、ネットワーク管理装置１００と、各端末とを接続する装置である。ネットワーク通信装置２００は、例えば、ＳＤＮスイッチによって実現される。なお、本実施の形態では、ネットワーク通信装置２００が１台の構成について説明を行っているが、本実施の形態はこれに限定されるものではない。ネットワーク通信装置２００は、複数であってもよい。
　複数の端末（３００、４００）は、ネットワーク通信装置２００を介して、互いに通信を行うユーザ端末やサーバ等である。図２においては、２つの端末がネットワーク通信装置２００に接続されているが、端末の数は、これに限定されるものではない。
　端末がネットワーク通信装置２００に接続されると、当該端末は、自身のＩＰ（Ｉｎｔｅｒｎｅｔ　Ｐｒｏｔｏｃｏｌ）アドレスと、ＭＡＣ（Ｍｅｄｉａ　Ａｃｃｅｓｓ　Ｃｏｎｔｒｏｌ）アドレスとをネットワーク通信装置２００に送信する。なお、端末がネットワーク通信装置２００に送信する情報は、これに限定されるものではなく、例えば、ホスト名（以降、ＮＡＭＥとも称す）であってもよい。
　（ネットワーク管理装置１００）
　ネットワーク管理装置１００は、図１に示す通り、仮装情報生成部１２０と、正規情報生成部１３０と、ネットワーク構成情報管理部１４０と、仮装情報登録部１５０と、を備えている。
　（正規情報生成部１３０）
　正規情報生成部１３０は、複数の端末（３００、４００）のうち、ネットワーク通信装置２００を介してネットワーク管理装置１００に接続された端末（接続端末）に対し、ネットワーク管理装置１００が正規の情報として管理する正規のネットワーク構成情報（正規の識別情報）を生成する。正規のネットワーク構成情報とは、ネットワーク管理装置１００が管理するネットワーク上において、端末を識別する情報である。正規のネットワーク構成情報は、例えば、上記端末が、ネットワーク管理装置１００に接続された他の端末と通信を行う際に、そのまま利用することができる情報である。上記そのまま利用することができる情報とは、例えば、ＩＰアドレス、ＭＡＣアドレス、ホスト名等が挙げられるが、本実施の形態はこれに限定されるものではない。
　正規情報生成部１３０が生成する正規のネットワーク構成情報は、予め管理者によって設定された情報に従って生成されてもよいし、その他の方法を用いて、自動的に生成されてもよい。正規情報生成部１３０が生成する正規のネットワーク構成情報の生成方法は特に限定されない。
　正規情報生成部１３０は、生成した正規のネットワーク情報を、ネットワーク構成情報管理部１４０に供給する。
　（仮装情報生成部１２０）
　仮装情報生成部１２０は、複数の端末（３００、４００）のうち、ネットワーク通信装置２００を介してネットワーク管理装置１００に接続された接続端末に対し、仮装（フェイク、トラップ）のネットワーク構成情報（仮装の識別情報）を生成する。仮装のネットワーク構成情報とは、正規のネットワーク構成情報とは異なる情報であって、ネットワーク管理装置１００が仮装の情報として管理する情報である。仮装のネットワーク構成情報は、ランダムな情報である。仮装のネットワーク構成情報とは、端末が他の端末と通信を行う際にそのまま利用することができない情報である。また、仮装のネットワーク構成情報は、正規のネットワーク構成情報と一対一で対応するものであり、重複するものではない。仮装のネットワーク構成情報として、例えば、ランダムに生成されたホスト名、ＩＰアドレス、ＭＡＣアドレス等が挙げられるが、本実施の形態はこれに限定されるものではない。
　仮装情報生成部１２０は、生成した仮装のネットワーク構成情報を、ネットワーク構成情報管理部１４０および仮装情報登録部１５０に供給する。また、仮装情報生成部１２０は、仮装のネットワーク構成情報を、ランダムではなく、所定のルールに従って生成する構成であってもよい。
　（ネットワーク構成情報管理部１４０）
　ネットワーク構成情報管理部１４０は、仮装のネットワーク構成情報と正規のネットワーク構成情報とを関連付けて管理する手段である。ネットワーク構成情報管理部１４０は、図示しない記憶手段に上記ネットワーク構成情報を互いに関連付けて記憶してもよい。
　（仮装情報登録部１５０）
　仮装情報登録部１５０は、仮装情報生成部１２０から仮装のネットワーク構成情報を受け取ると、当該仮装のネットワーク構成情報を端末に登録する。例えば、仮装情報生成部１２０が生成した仮装のネットワーク構成情報が、ＩＰアドレス、ＭＡＣアドレスおよびホスト名である場合、仮装情報登録部１５０は、上記ＩＰアドレス、ＭＡＣアドレスおよびホスト名を、ネットワーク管理装置１００に接続された端末に登録する。なお、上記端末にネットワーク構成情報が既に登録されている場合、仮装情報登録部１５０は、既に登録されているネットワーク構成情報を仮装情報生成部１２０から供給された仮装のネットワーク構成情報に書き換えてもよい。
　（効果）
　本実施の形態に係るネットワーク管理装置１００によれば、悪意のあるユーザによって侵入された端末からの、他の装置に対する不正アクセスを防ぐことができる。
　なぜならば、仮装情報登録部１５０が仮装情報生成部１２０で生成された仮装のネットワーク構成情報を、接続された端末に登録するからである。これにより、ネットワーク管理装置１００に接続された端末に登録されたネットワーク構成情報は、正規のネットワーク構成情報とは異なる、仮装のネットワーク構成情報となる。したがって、ネットワーク管理装置１００に接続された端末が、感染したとしても、仮装のネットワーク構成情報から周辺装置のネットワーク構成情報が推測されづらい。よって、本実施の形態に係るネットワーク管理装置１００によれば、悪意のある活動が困難となり、よりネットワークの安全性を高めることができる。
　また、正規のネットワーク構成情報を生成することにより、ネットワーク管理装置１００は、当該ネットワーク管理装置１００に接続された端末を好適に管理することができる。
　また、本実施の形態によれば、ネットワーク管理装置１００のネットワーク構成情報管理部１４０が正規のネットワーク構成情報と仮装のネットワーク構成情報とを関連付けて管理している。これにより、ネットワーク管理装置１００は、仮装情報登録部１５０によって仮装のネットワーク構成情報が登録された端末が、他の端末と通信を行う際に、当該端末の正規のネットワーク構成情報を容易に特定することができる。
　＜第２の実施の形態＞
　本発明の第２の実施の形態について、図面を参照して詳細に説明する。なお、上述した第１の実施の形態で説明した図面に含まれる部材と同じ機能を有する部材については、同じ符号を付し、その詳細な説明を省略する。
　図３は、本実施の形態に係るネットワークシステム２におけるネットワーク管理装置１０１の機能構成の一例を示す機能ブロック図である。図３に示す通り、ネットワーク管理装置１０１は、端末判定部（第１の判定手段）１１０、仮装情報生成部１２０、正規情報生成部１３０、ネットワーク構成情報管理部１４０、仮装情報登録部１５０、通信判定部（第２の判定手段）１６０およびネットワーク構成情報記憶部１７０を備えている。
　（端末判定部１１０）
　端末判定部１１０は、ネットワーク通信装置２００に接続された端末が、当該ネットワーク通信装置２００に新規に接続された端末か、以前に接続された端末かを判定する。
　具体的には、端末判定部１１０は、当該ネットワーク通信装置２００に接続された端末を識別する情報（端末識別情報）と、当該端末が通信を行う端末を識別する情報（宛先識別情報）と、を含むパケット（入力パケット）を、端末からネットワーク通信装置２００を介して受信する。
　ここで、本実施の形態においては、端末識別情報として、例えば、ＩＰアドレス（ＩＰ　ｓｒｃ）、ＭＡＣアドレス（Ｅｔｈｅｒ　ｓｒｃ）等を例に挙げ説明を行うが、本実施の形態はこれに限定されるものではない。端末識別情報は、例えば、当該端末を示すホスト名（以下、ＮＡＭＥとも呼ぶ）であってもよい。端末識別情報は、例えば、ＩＰアドレス、ＭＡＣアドレス、ホスト名の少なくとも何れかであってもよい。なお、本実施の形態においては、端末識別情報として、端末のＩＰアドレスおよびＭＡＣアドレスが端末判定部１１０に入力されることを例に説明を行う。
　また、宛先識別情報としては、例えば、宛先のＩＰアドレス（ＩＰ　ｄｓｔ）、宛先のＭＡＣアドレス（Ｅｔｈｅｒ　ｄｓｔ）、ホスト名等が挙げられるが、本実施の形態はこれに限定されるものではない。宛先識別情報は、例えば、ＩＰアドレス、ＭＡＣアドレス、ホスト名の少なくとも何れかであってもよい。なお、本実施の形態においては、宛先識別情報として、宛先の端末のＩＰアドレスおよびＭＡＣアドレスが端末判定部１１０に入力されることを例に説明を行う。
　なお、本実施の形態では、ネットワーク通信装置２００が受信した上記入力パケットを、ネットワーク管理装置１０１に送ることをｐｋｔ＿ｉｎとも呼ぶ。また、上記入力パケットには、例えば、次の（１）～（８）に示す情報を含んでいてもよい。
（１）ネットワーク通信装置２００の物理ポート番号、
（２）イーサネット（登録商標）の種別、
（３）ＶＬＡＮ（Ｖｉｒｔｕａｌ　ＬＡＮ（Ｌｏｃａｌ　Ａｒｅａ　Ｎｅｔｗｏｒｋ））のＩＤ（ＩＤｅｎｔｉｆｉｅｒ）、
（４）ＶＬＡＮの優先制御値、
（５）ＩＰのプロトコル種別、
（６）ＩＰのＴｏＳ（Ｔｙｐｅ　Ｏｆ　Ｓｅｒｖｉｃｅ）情報、
（７）ＴＣＰ／ＵＤＰ（Ｔｒａｎｓｍｉｓｓｉｏｎ　Ｃｏｎｔｒｏｌ　Ｐｒｏｔｏｃｏｌ／Ｕｓｅｒ　Ｄａｔａｇｒａｍ　Ｐｒｏｔｏｃｏｌ）の送信元ポート番号、
（８）ＴＣＰ／ＵＤＰの宛先ポート番号。
　端末判定部１１０は、受信した端末識別情報である、ＩＰアドレスおよびＭＡＣアドレスが、ネットワーク構成情報管理部１４０によって管理されているか否かを確認する。つまり、端末判定部１１０は、端末識別情報であるＩＰアドレスおよびＭＡＣアドレスが、ネットワーク構成情報記憶部１７０に格納されているか否かを確認する。端末識別情報が、ネットワーク構成情報管理部１４０によって管理されていない場合、端末判定部１１０は、接続された端末がネットワーク通信装置２００に新規に接続された端末であると判定する。そして、端末判定部１１０は、入力パケットに含まれる当該端末識別情報を仮装情報生成部１２０および正規情報生成部１３０に供給する。なお、端末判定部１１０は、仮装情報生成部１２０に対し、入力パケットを受信したことを示す情報を供給してもよい。
　また、端末識別情報がネットワーク構成情報管理部１４０によって管理されている場合、端末判定部１１０は、接続された端末が、ネットワーク通信装置２００に以前に接続された端末であると判定する。そして、端末判定部１１０は、通信判定部１６０に、受信した端末識別情報と宛先識別情報とを含む入力パケットを供給する。
　なお、例えば、ネットワーク通信装置２００から端末識別情報として、ＩＰアドレスとＭＡＣアドレスとが送られる場合であって、ネットワーク通信装置２００に接続された端末に、何もネットワークに接続するための情報（例えば、ＩＰアドレス）の設定が行われていない場合について説明する。
　この場合、上記端末がネットワーク通信装置２００に接続されると、上記端末識別情報のＩＰアドレスは、空の状態で端末判定部１１０に送られる。端末判定部１１０は、ＩＰアドレスが空であるか否かを確認することにより、当該端末が新規に接続された端末か否かを確認してもよい。
　（通信判定部１６０）
　通信判定部１６０は、端末判定部１１０によって、ネットワーク管理装置１０１に接続された端末（接続端末と呼ぶ）が新規に接続された端末でないと判定されたとき、当該接続端末が、ネットワーク管理装置１０１に接続されている他の端末（宛先端末と呼ぶ）と通信可能か否かを判定する。具体的には、通信判定部１６０は、入力パケットに含まれる端末識別情報と、宛先識別情報とに基づいて、ネットワーク構成情報管理部１４０によって管理された情報（つまり、ネットワーク構成情報記憶部１７０に格納されている情報）を参照して、端末間の通信可否を判定する。
　通信判定部１６０は、端末判定部１１０から、当該端末判定部１１０が受信した端末識別情報と宛先識別情報とを含む入力パケットを受け取る。そして、通信判定部１６０は、ネットワーク構成情報記憶部１７０を参照し、受け取った端末識別情報に含まれるＩＰアドレスおよびＭＡＣアドレスから、正規のＩＰアドレスおよびＭＡＣアドレス（正規のネットワーク構成情報）を特定する。
　そして、通信判定部１６０は、ネットワーク通信装置２００に接続された接続端末が通信を行う宛先端末と通信可能な端末か否かを確認する。ここで、通信判定部１６０は、端末判定部１１０から受け取った入力パケットに含まれる宛先識別情報（ＩＰアドレスおよびＭＡＣアドレス）が、仮装のネットワーク構成情報の場合、通信判定部１６０は、当該宛先識別情報を用いて、ネットワーク構成情報記憶部１７０を参照し、当該宛先識別情報に対応する正規のＩＰアドレスおよびＭＡＣアドレスを特定する。
　そして、通信判定部１６０は、接続端末の正規のネットワーク構成情報と、宛先端末の正規のネットワーク構成情報とを用いて、接続端末と宛先端末とが通信可能か否かを確認する。例えば、通信判定部１６０は、接続端末と宛先端末とが同一のサブネットに属するか否かを確認する。
　接続端末と宛先端末とが通信不可の場合、通信判定部１６０は、入力パケットを破棄する。接続端末と宛先端末とが通信可能の場合、通信判定部１６０は、ネットワーク通信装置２００に対し、当該入力パケットの処理を行う（入力パケットを宛先端末に送るフローを登録する）。なお、本実施の形態では、この処理をｆｌｏｗ＿ｍｏｄとも呼ぶ。
　そして、通信判定部１６０は、入力パケットを宛先端末に送信（転送）する。または、通信判定部１６０は、入力パケットをネットワーク通信装置２００に送信し、ネットワーク通信装置２００が当該入力パケットを宛先端末へ送信する。なお、本実施の形態では、この送信処理をｐｋｔ＿ｏｕｔとも呼ぶ。
　ここで、端末から送信された端末識別情報が、ＩＰアドレスを含まない場合、通信判定部１６０は、ＩＰアドレス以外の端末識別情報（例えば、ホスト名）から、端末同士が同一サブネットであるか否かを確認する構成であってもよい。例えば、同一のサブネットに属するホスト名の一覧がネットワーク構成情報記憶部１７０に格納されており、通信判定部１６０が上記一覧を確認することにより、同一サブネットか否かを確認する構成が含まれていてもよい。
　（ネットワーク構成情報記憶部１７０）
　ネットワーク構成情報記憶部１７０は、互いに関連付けられた仮装のネットワーク構成情報と正規のネットワーク構成情報とを格納する手段である。ネットワーク構成情報記憶部１７０は、ネットワーク構成情報管理部１４０によって管理されている。なお、本実施の形態においては、ネットワーク構成情報記憶部１７０がネットワーク管理装置１０１に含まれる構成について説明を行うが、ネットワーク構成情報記憶部１７０は、ネットワーク管理装置１０１とは別個の装置で実現されるものであってもよい。
　ここで、図４を参照して、ネットワーク構成情報記憶部１７０に格納されたネットワーク構成情報について説明する。図４は、本実施の形態に係るネットワーク管理装置１０１のネットワーク構成情報記憶部１７０に格納されたデータの一例を示す図である。図４に示す通り、ネットワーク構成情報記憶部１７０には、正規のネットワーク構成情報と、当該正規のネットワーク構成情報とは異なる仮装のネットワーク構成情報とが互いに関連付けられて格納されている。
　例えば、ネットワークに接続可能な端末であって、ネットワーク通信装置２００に接続された端末に、何もネットワークに接続するための情報（例えば、ホスト名やＩＰアドレス）の設定が行われていない場合について説明する。この端末は、ネットワーク通信装置２００に新規に接続される端末であるとする。上記端末は、ＭＡＣアドレスを有しているので、最初にネットワーク通信装置２００に接続すると、端末識別情報として、ＭＡＣアドレスを含む入力パケットをネットワーク通信装置２００に送信する。このとき、端末は、ＩＰアドレスとして空の情報が入った端末識別情報を送信してもよい。
　端末から送信されたＭＡＣアドレスが「ｘｘ：ｘｘ：ｘｘ：ｘｘ：ｘｘ：ｘｘ」であるとする。このとき、仮装情報生成部１２０が当該端末に対し、ランダムに、仮装のホスト名、仮装のＩＰアドレス、仮装のＭＡＣアドレスを、夫々生成する。例えば、仮装情報生成部１２０が仮装のホスト名、仮装のＩＰアドレス、仮装のＭＡＣアドレスとして、夫々、「ａｓｄｆｊｋｌ」、「１０．５６．５０．１０」、「００：１１：２２：３３：４４：５５」を生成する。
　また、正規情報生成部１３０が、正規のホスト名および正規のＩＰアドレスを生成する。ＭＡＣアドレスについては、受信したＭＡＣアドレスが正規のＭＡＣアドレスとなる。例えば、正規情報生成部１３０が、正規のホスト名および正規のＩＰアドレスとして、夫々、「ｐｅｐｐｅｒ」および「１７２．１６．１．１」を生成する。
　ネットワーク構成情報記憶部１７０には、ネットワーク構成情報管理部１４０によって、仮装のネットワーク構成情報と正規のネットワーク構成情報とが関連付けて格納されている。そのため、ネットワーク構成情報記憶部１７０には、図４の１行目に示す通り、仮装情報生成部１２０が生成した仮装のネットワーク構成情報と、正規情報生成部１３０が生成した正規のネットワーク構成情報とが、互いに関連付けられて格納される。
　また、ネットワークに接続可能な端末であって、ネットワーク通信装置２００に接続された端末に、当該ネットワークに接続するための情報の設定が行われている場合について説明する。この端末は、ネットワーク通信装置２００に新規に接続される端末であるとする。上記端末は、最初にネットワーク通信装置２００に接続すると、端末識別情報として、既に設定されているＩＰアドレスと、ＭＡＣアドレスとを含む入力パケットをネットワーク通信装置２００に送信する。
　この端末は、ネットワーク通信装置２００に新規に接続される端末であるため、仮装情報生成部１２０が、当該端末に対し、ランダムに、仮装のホスト名、仮装のＩＰアドレス、仮装のＭＡＣアドレスを、夫々生成する。また、正規情報生成部１３０が、正規のホスト名および正規のＩＰアドレスを生成する。ＭＡＣアドレスについては、受信したＭＡＣアドレスが正規のＭＡＣアドレスとなる。ここで、受信したＩＰアドレスおよびホスト名が、当該ネットワーク管理装置１０１が管理するネットワーク上で利用可能（ネットワーク管理装置１０１が管理可能）なＩＰアドレスおよびホスト名の場合、正規情報生成部１３０は、受信したＩＰアドレスおよびホスト名を、夫々、正規のＩＰアドレスおよび正規のホスト名として設定してもよい。
　そして、ネットワーク構成情報管理部１４０によって、ネットワーク構成情報記憶部１７０に仮装のネットワーク構成情報と正規のネットワーク構成情報とが関連付けて格納される。
　（ネットワーク管理装置１０１の処理）
　次に、図５を参照して、ネットワーク管理装置１０１の処理の流れについて説明を行う。図５は、ネットワーク管理装置１０１の処理の流れの一例を示すフローチャートである。ネットワーク通信装置２００に端末３００が接続され、ネットワーク通信装置２００がネットワーク管理装置１０１に対し、入力パケットを送信すると、ネットワーク管理装置１０１は、図５に示す通り、以下のステップＳ５１～ステップＳ６１の処理を行う。
　ステップＳ５１：端末判定部１１０が、端末識別情報と、宛先識別情報と、を含む入力パケットを受信する。
　ステップＳ５２：端末判定部１１０が、ステップＳ５１で受信した端末識別情報で示される端末がネットワーク通信装置２００に新規に接続された端末か否かを確認する。新規に接続された端末の場合（ＹＥＳの場合）、ステップＳ５３に進む。既に接続された端末の場合（ＮＯの場合）、ステップＳ５７に進む。
　ステップＳ５３：仮装情報生成部１２０が、仮装のネットワーク構成情報を生成する。
　ステップＳ５４：正規情報生成部１３０が、正規のネットワーク構成情報を生成する。
　なお、ステップＳ５３とステップＳ５４とは、同時に行われてもよいし、逆順で行われてもよい。
　ステップＳ５５：ネットワーク構成情報管理部１４０が、ステップＳ５４で生成した正規のネットワーク構成情報と、ステップＳ５３で仮装情報生成部１２０が生成した仮装のネットワーク構成情報とを関連付けて、ネットワーク構成情報記憶部１７０に格納する。
　ステップＳ５６：仮装情報登録部１５０がステップＳ５３で仮装情報生成部１２０が生成した仮装のネットワーク構成情報を、入力パケットを送信した端末に登録し、処理を終了する。
　なお、ステップＳ５６は、ステップＳ５４と同時に行われてもよいし、ステップＳ５４より前に行われてもよい。
　ステップＳ５７：ステップＳ５２にてＮＯの場合、通信判定部１６０が、ネットワーク構成情報記憶部１７０を参照し、ステップＳ５１で受信した端末識別情報から、接続端末の正規のネットワーク構成情報を特定する。
　ステップＳ５８：通信判定部１６０が、ネットワーク構成情報記憶部１７０を参照し、ステップＳ５１で受信した宛先識別情報から、宛先端末の正規のネットワーク構成情報を特定する。
　ステップＳ５９：通信判定部１６０が、端末間の通信可否を判定する。通信可能の場合（ＹＥＳの場合）、ステップＳ６０に進む。通信不可の場合（ＮＯの場合）、ステップＳ６１に進む。
　ステップＳ６０：通信判定部１６０が、入力パケットを宛先端末に送るフローを登録し、宛先端末に入力パケットを転送し、処理を終了する。
　ステップＳ６１：通信判定部１６０が、入力パケットを破棄し、処理を終了する。
　（効果）
　本実施の形態に係るネットワーク管理装置１０１によれば、悪意のあるユーザによって侵入された端末からの、他の装置に対する不正アクセスを防ぐことができる。
　なぜならば、仮装情報登録部１５０が仮装情報生成部１２０で生成された仮装のネットワーク構成情報を、接続された端末に登録するからである。これにより、ネットワーク管理装置１０１に接続された端末に登録されたネットワーク構成情報は、正規のネットワーク構成情報とは異なる、仮装のネットワーク構成情報となる。
　よって、本実施の形態に係るネットワーク管理装置１０１は、端末に潜むウイルス等の悪意あるソフトウェアが正規のネットワーク構成情報を取得することを困難にすることができる。
　また、ネットワーク管理装置１０１に接続された端末が、感染したとしても、仮装のネットワーク構成情報から周辺装置のネットワーク構成情報が推測されづらい。例えば、ネットワーク管理装置１０１に接続された端末がワーム等に感染し、宛先端末として、自身に設定された仮装のネットワーク構成情報から想定されるネットワーク構成情報（例えば、仮装のＩＰアドレスと同一のサブネットに含まれるＩＰアドレス等）を指定した攻撃を行ったとする。しかし、仮装のネットワーク構成情報はランダムに生成されたものであるため、上記想定されるネットワーク構成情報が、ネットワーク構成情報管理部１４０で管理されていない。このように、本実施の形態に係るネットワーク管理装置１０１は、他の端末のネットワーク構成情報の推測を困難にすることができる。
　また、ネットワーク通信装置２００に接続された他の端末のネットワーク構成情報の推測が困難になることにより、当該他の端末の探索活動にかかる工数（作業コスト）を増大させることができる。これにより、感染端末からの悪意のある活動を困難にすることができる。よって、本実施の形態に係るネットワーク管理装置１０１によれば、悪意のある活動が困難となり、よりネットワークの安全性を高めることができる。
　また、悪意あるユーザが、感染端末の周辺端末への更なる侵入（二次感染）や情報搾取等の攻撃を仕掛けることが可能な、脆弱性のある端末の調査等の探索活動を難しくすることができる。
　また、正規のネットワーク構成情報を生成することにより、ネットワーク管理装置１０１は、当該ネットワーク管理装置１０１に接続された端末を好適に管理することができる。
　また、本実施の形態によれば、ネットワーク管理装置１０１のネットワーク構成情報管理部１４０が正規のネットワーク構成情報と仮装のネットワーク構成情報とを関連付けて管理している。これにより、ネットワーク管理装置１０１は、仮装情報登録部１５０によって仮装のネットワーク構成情報が登録された端末が、他の端末と通信を行う際に、当該端末の正規のネットワーク構成情報を容易に特定することができる。
　また、端末判定部１１０が、ネットワーク通信装置２００に接続された端末が新規に接続されたか否かを確認することにより、新規に接続された端末に対し、仮装のネットワーク構成情報を登録することができる。また、既に接続された端末に対しては、セキュリティを保ったままで、当該端末が通信を行う宛先端末に対し、入力パケットを送信することができる。
　（変形例）
　本実施の形態に係るネットワーク構成情報管理部１４０が管理する正規のネットワーク構成情報および仮装のネットワーク構成情報が、夫々、ＩＰアドレス、ＭＡＣアドレスおよびホスト名を含むことを例に説明を行ったが、本発明はこれに限定されるものではない。正規のネットワーク構成情報および仮装のネットワーク構成情報は、夫々、ポート番号を含んでもよい。本変形例では、図６を参照して、正規および仮装のネットワーク構成情報にポート番号が含まれることについて説明を行う。
　図６は、本変形例に係るネットワーク構成情報記憶部１７０に格納されたデータの一例を示す図である。図６に示す通り、ネットワーク構成情報記憶部１７０には、仮装のネットワーク構成情報として、ホスト名、ＩＰアドレス、ＭＡＣアドレスおよびポート番号を含んでいる。また、ネットワーク構成情報記憶部１７０には、正規のネットワーク構成情報として、ホスト名、ＩＰアドレス、ＭＡＣアドレスおよびポート番号を含んでいる。
　上述したとおり、端末判定部１１０が端末から受信する入力パケットには、端末識別情報が含まれている。本変形例に係るネットワーク管理装置１０１では、この端末識別情報に、送信元ポート番号（単に、ポート番号と呼ぶ）が含まれる。
　例えば、ＭＡＣアドレスが「ｘｘ：ｘｘ：ｘｘ：ｘｘ：ｘｘ：ｘｘ」の端末が「８０」のポート番号（正規のポート番号）を用いた通信を行う場合、仮装情報生成部１２０は、当該正規のポート番号に対応する仮装のポート番号として、「１２３」を生成する。そして、仮装情報登録部１５０が、実際にはポート番号が「８０」を用いた通信に対し、使用するポートのポート番号が「１２３」であると、端末に設定する。
　端末判定部１１０は、受信した端末識別情報である、ＩＰアドレス、ＭＡＣアドレスおよびポート番号が、ネットワーク構成情報管理部１４０によって管理されているか否かを確認する。
　また、通信判定部１６０は、宛先端末と通信を行う際に使用するポートのポート番号を、ネットワーク構成情報記憶部１７０を参照することにより特定する。例えば、端末判定部１１０が、接続端末のポート番号が「１２３」である入力パケットを受け取った場合、通信判定部１６０は、ネットワーク構成情報記憶部１７０を参照し、正規のポート番号（図６の場合、「８０」）を取得する。そして、通信判定部１６０は、正規のポート番号を使用して、宛先端末に入力パケットを転送する。
　このように、仮装のポート番号を端末に設定することにより、当該端末からは、ポート番号が「８０」や「４４３」といった、通常では空いているポートが閉じているように見える。したがって、本変形例に係るネットワーク管理装置１０１は、アドレススキャンだけでなくポートスキャンまで含めた探索活動をより困難にさせることができる。
　＜第３の実施の形態＞
　本発明の第３の実施の形態について、図面を参照して詳細に説明する。上述した第２の実施の形態では、通信判定部１６０は、接続端末と宛先端末とが、同一のサブネットに属するか否かを確認することにより、接続端末と宛先端末とが通信可能か否かを確認した。しかしながら、接続端末と宛先端末とが通信可能か否かを確認する方法は、これに限定されるものではない。本実施の形態では、接続端末と宛先端末とが通信可能か否かを確認する別の方法について説明する。なお、上述した第２の実施の形態で説明した図面に含まれる部材と同じ機能を有する部材については、同じ符号を付し、その詳細な説明を省略する。
　本実施の形態に係るネットワーク管理装置１０２は、図３に示す第２の実施の形態に係るネットワーク管理装置１０１と同様の機能構成を有する。ネットワーク管理装置１０２は、端末判定部１１０、仮装情報生成部１２０、正規情報生成部１３０、ネットワーク構成情報管理部１４０、仮装情報登録部１５０、通信判定部１６０およびネットワーク構成情報記憶部１７０を備えている。
　ネットワーク構成情報管理部１４０は、端末の正規のネットワーク構成情報を用いて、端末間の関係性を示す関係情報と、当該関係情報で示される端末間の動作を示す動作情報とを関連付けて管理する。本実施の形態では、ネットワーク構成情報管理部１４０が管理する情報が、ネットワーク構成情報記憶部１７０に格納されることを例に説明を行うが、本実施の形態はこれに限定されるものではない。ネットワーク構成情報管理部１４０が管理する情報は、図示しないその他の記憶装置に格納されるものであってもよい。
　また、ネットワーク構成情報管理部１４０が管理する、上記関係情報および対応する動作情報は、予めネットワーク構成情報記憶部１７０に登録されるものであってもよいし、正規情報生成部１３０が生成するものであってもよい。ネットワーク構成情報管理部１４０が管理する上記関係情報および対応する動作情報の生成方法は、特に限定されない。
　図７を参照して、ネットワーク構成情報管理部１４０が管理する関係情報および動作情報について説明する。図７は、ネットワーク構成情報管理部１４０が管理する関係情報および動作情報の一例を示す図である。なお、図７においては、関係情報を「ルール」と呼び、動作情報を「アクション」と呼ぶ。また、図７においては、正規のネットワーク構成情報として、ホスト名（ＮＡＭＥ）を使用している。なお、図７において、関係情報に用いられる正規のネットワーク構成情報は、ホスト名に限定されるものではない。
　図７に示す通り、ルールの欄には、図４に示す正規のネットワーク構成情報に含まれるホスト名の関係情報が含まれている。例えば、ホスト名が「ｐｅｐｐｅｒ」である端末（端末３００とする）と、ホスト名が「ｇｉｎｇｅｒ」である端末（端末４００とする）との間の通信の関係情報が矢印「－＞」で示されている。これは、端末３００から端末４００に対し通信を行うという関係を示している。つまり、矢印の起点側のネットワーク構成情報で示される端末から、矢印の終点側のネットワーク構成情報で示される端末に対するアクセスルールを示しているとも言える。
　また、アクションの欄には、「ａｌｌｏｗ」または「ｄｅｎｙ」の文字列が含まれている。アクションが「ａｌｌｏｗ」の場合、対応するルールが、許可されていることを示している。アクションが「ｄｅｎｙ」の場合、対応するルールが、許可されていないことを示している。
　なお、「ルール」および「アクション」の欄に記載される情報は、図７の形式に限定されるものではなく、夫々、端末間の関係情報および対応する動作情報を示すものであればよい。
　通信判定部１６０は、上記動作情報を用いて、ネットワーク通信装置２００に接続された接続端末が、宛先端末と通信可能か否かを判定する。図７に示す通り、接続端末のホスト名が「ｐｅｐｐｅｒ」であり、宛先端末のホスト名が「ｇｉｎｇｅｒ」の場合、対応する動作情報は、「ａｌｌｏｗ」である。よって、通信判定部１６０は、接続端末が宛先端末と通信可能であると判定する。また、接続端末のホスト名が「ｐｅｐｐｅｒ」であり、宛先端末のホスト名が「ｗａｓａｂｉ」の場合、対応する動作情報は、「ｄｅｎｙ」である。よって、通信判定部１６０は、接続端末が宛先端末と通信不可能であると判定する。
　このように、本実施の形態に係るネットワーク管理装置１０２によれば、ネットワーク通信装置２００に接続された接続端末が、宛先端末と通信可能か否かを、同一のサブネットか否かを確認することなく、判定することができる。これにより、入力パケットに宛先のＩＰアドレスが含まれていなくても、接続端末が、宛先端末と通信可能か否かを確認することができる。
　したがって、本実施の形態に係るネットワーク管理装置１０２によれば、上述した第２の実施の形態に係るネットワーク管理装置１０１と同様の効果を得ることができる。
　＜第４の実施の形態＞
　本発明の第４の実施の形態について、図面を参照して詳細に説明する。上述した第２の実施の形態では、正規情報生成部１３０が生成する正規のネットワーク構成情報は、ＩＰアドレス、ＭＡＣアドレス、ホスト名といった、ネットワーク上の通信にそのまま利用可能な情報であったが、本実施の形態はこれに限定されるものではない。正規情報生成部１３０が生成する正規のネットワーク構成情報は、通信にそのまま利用可能な情報でなくてもよい。本実施の形態では、正規情報生成部１３０が生成する正規のネットワーク構成情報の一例について説明する。なお、上述した第２の実施の形態で説明した図面に含まれる部材と同じ機能を有する部材については、同じ符号を付し、その詳細な説明を省略する。
　本実施の形態に係るネットワーク管理装置１０３は、図３に示す第２の実施の形態に係るネットワーク管理装置１０１と同様の機能構成を有する。ネットワーク管理装置１０３は、端末判定部１１０、仮装情報生成部１２０、正規情報生成部１３０、ネットワーク構成情報管理部１４０、仮装情報登録部１５０、通信判定部１６０およびネットワーク構成情報記憶部１７０を備えている。
　図８は、本実施の形態に係るネットワーク構成情報記憶部１７０に格納されたデータの一例を示す図である。図８に示す通り、ネットワーク構成情報記憶部１７０には、正規のネットワーク構成情報と、当該正規のネットワーク構成情報とは異なる仮装のネットワーク構成情報とが互いに関連付けられて格納されている。
　ここで、本実施の形態に係る正規情報生成部１３０が生成する正規のネットワーク構成情報は、当該ネットワーク管理装置１０３上でのみ識別可能な情報である。上記識別可能な情報とは、例えば、ネットワーク管理装置１０３上で、端末を一意に特定する文字列（図８においては、端末特定情報と称す）であるとする。当該文字列は、ホスト名であってもよいし、ネットワーク管理装置１０３が管理可能なものであればよい。当該文字列は、上述した実施の形態で示された、正規のネットワーク構成情報に含まれる、ＩＰアドレス、ＭＡＣアドレスおよびホスト名の何れかに相当するものであるとする。
　更に、正規情報生成部１３０は、正規のネットワーク構成情報として、上記文字列で示される端末が属するグループを示す情報を生成する。図８においては、「ｐｅｐｐｅｒ」で示される端末が「ａａａ」というグループ名のグループに属していることを示している。
　このグループは、例えば、サブネットに相当するものである。通信判定部１６０は、接続端末の正規のネットワーク構成情報のグループを示す情報と、宛先端末の正規のネットワーク構成情報のグループを示す情報とを用いて、接続端末と宛先端末とが通信可能か否かを確認する。例えば、通信判定部１６０は、接続端末と宛先端末とが同一のグループに属するか否かを確認する。
　これにより、通信判定部１６０は、接続端末と宛先端末とが通信可能であると判定されたとき、当該接続端末から送信された入力パケットを宛先端末に転送することができる。
　このように、本実施の形態に係るネットワーク管理装置１０３によれば、正規のネットワーク構成情報が、ＩＰアドレスなど、他の端末との通信に直接利用される情報でなくとも、好適に、他の端末と通信可能か否かを確認することができる。
　したがって、本実施の形態に係るネットワーク管理装置１０３によれば、上述した第２の実施の形態に係るネットワーク管理装置１０１と同様の効果を得ることができる。
　（変形例）
　本実施の形態に係るネットワーク管理装置１０３は、本実施の形態において生成した正規のネットワーク構成情報に対して、第３の実施の形態で説明した、ネットワーク構成情報管理部１４０が管理する情報（関係情報および動作情報）を用いて、接続端末と宛先端末とが通信可能か否かを確認してもよい。本変形例においては、この方法について説明する。なお、上述した各実施の形態で説明した図面に含まれる部材と同じ機能を有する部材については、同じ符号を付し、その詳細な説明を省略する。
　本変形例に係るネットワーク管理装置１０４は、図３に示す第２の実施の形態に係るネットワーク管理装置１０１と同様の機能構成を有する。ネットワーク管理装置１０４は、端末判定部１１０、仮装情報生成部１２０、正規情報生成部１３０、ネットワーク構成情報管理部１４０、仮装情報登録部１５０、通信判定部１６０およびネットワーク構成情報記憶部１７０を備えている。
　本変形例に係るネットワーク構成情報管理部１４０は、第４の実施の形態に係るネットワーク管理装置１０３の正規情報生成部１３０が正規のネットワーク構成情報として生成した、文字列と、当該文字列で示される端末が属するグループ（図８参照）を管理する。
　また、ネットワーク構成情報管理部１４０は、上記正規のネットワーク構成情報を用いて、端末間の関係性を示す関係情報と、当該関係情報で示される端末間の動作を示す動作情報（図７参照）とを関連付けて管理する。
　ネットワーク構成情報記憶部１７０は、ネットワーク構成情報管理部１４０が管理する情報を格納する。なお、第３の実施の形態と同様に、上記関係情報と、当該関係情報に対応する動作情報とは、ネットワーク構成情報記憶部１７０とは異なる記憶装置に格納されるものであってもよい。
　このように、本実施の形態に係るネットワーク管理装置１０４によれば、ネットワーク通信装置２００に接続された接続端末が、宛先端末と通信可能か否かを、好適に判定することができる。
　また、本変形例に係るネットワーク構成情報管理部１４０が管理する関係情報および動作情報は端末間に限定されない。関係情報は、例えば、（１）端末と、他の端末が属するグループとの間、（２）端末が属するグループと、端末との間、（３）端末が属するグループと、他の端末が属するグループとの間の関係性を示す情報であってもよい。そして、動作情報は、これらの関係情報に対応する動作を示す情報であればよい。これにより、通信判定部１６０は、より好適に、接続端末が宛先端末と通信可能か否かを判定することができる。
　＜第５の実施の形態＞
　本発明の第５の実施の形態について、図面を参照して詳細に説明する。なお、上述した第２の実施の形態で説明した図面に含まれる部材と同じ機能を有する部材については、同じ符号を付し、その詳細な説明を省略する。
　図９は、本実施の形態に係るネットワークシステム３におけるネットワーク管理装置１０５の機能構成の一例を示す機能ブロック図である。図９に示す通り、ネットワーク管理装置１０５は、端末判定部１１０、仮装情報生成部１２０、正規情報生成部１３０、ネットワーク構成情報管理部１４０、仮装情報登録部１５０、通信判定部１６０、ネットワーク構成情報記憶部１７０および仮装情報再生成部５００を備えている。
　仮装情報再生成部５００は、仮装のネットワーク構成情報を所定の間隔で変更するために、変更対象の仮装のネットワーク構成情報が登録された端末に対し、新たな仮装のネットワーク構成情報を定期的に、または任意のタイミングでランダムに生成する手段である。新たな仮装のネットワーク構成情報の生成は、所定の周期で仮装のネットワーク構成情報を変更するための期間を管理者がネットワーク管理装置１０５に設定することにより行われる構成であってもよい。また、新たな仮装のネットワーク構成情報の生成は、ランダムな周期（期間）をネットワーク構成情報管理部１４０または仮装情報再生成部５００が自動的に設定することにより、行われる構成であってもよいし、その他の方法であってもよい。
　また、仮装情報再生成部５００が新たな仮装のネットワーク構成情報を生成する対象の端末を示す情報（対象端末情報）は、ネットワーク構成情報管理部１４０から供給されるものであってもよいし、仮装情報再生成部５００がネットワーク構成情報記憶部１７０から取得する構成であってもよい。なお、対象端末情報は、対象の端末の正規のネットワーク構成情報であってもよいし、仮装のネットワーク構成情報であってもよい。
　仮装情報再生成部５００は、生成した新たな仮装のネットワーク構成情報を、対象端末情報と共に、ネットワーク構成情報管理部１４０および仮装情報登録部１５０に供給する。
　ネットワーク構成情報管理部１４０は、変更対象の仮装のネットワーク構成情報が登録された端末を示す正規のネットワーク構成情報と、生成された新たな仮装のネットワーク構成情報とを関連付けて管理する。ネットワーク構成情報管理部１４０は、上記関連付けたネットワーク構成情報を、ネットワーク構成情報記憶部１７０に格納する。
　ここで、図１０を参照して、本実施の形態に係るネットワーク構成情報記憶部に格納されたデータについて説明する。図１０は、本実施の形態に係るネットワーク管理装置１０５のネットワーク構成情報記憶部１７０に格納されたデータであって、仮装のネットワーク構成情報が変更される前と変更された後とのデータの一例を示す図である。
　図１０の上側の表は、仮装のネットワーク構成情報が変更される前の、仮装のネットワーク構成情報と正規のネットワーク構成情報とを示している。仮装情報再生成部５００によって、新たな仮装のネットワーク構成情報が生成されると、ネットワーク構成情報管理部１４０は、図１０の下側の表に示す通り、変更の対象となる端末の、変更前の仮装のネットワーク構成情報を、新たな仮装のネットワーク構成情報に変更する。これにより、ネットワーク構成情報管理部１４０は、新たな仮装のネットワーク構成情報と、正規のネットワーク構成情報とを関連付けて管理する。
　仮装情報登録部１５０は、仮装情報再生成部５００から供給された端末対象情報で示される端末に対し、当該端末に登録された仮装のネットワーク構成情報を、仮装情報再生成部５００から供給された新たな仮装のネットワーク構成情報に変更する。
　これにより、接続端末は、定期的に、仮装のネットワーク構成情報を更新することができる。
　なお、仮装情報再生成部５００は、ネットワーク構成情報管理部１４０で管理するまたはネットワーク通信装置２００に現時点で接続している、全ての端末に対し、一斉に新たな仮装のネットワーク構成情報を生成してもよい。また、仮装情報再生成部５００は、所定のグループごとに、当該グループに属する端末に対し、新たな仮装のネットワーク構成情報を、当該グループごとに定められた間隔で生成してもよい。所定のグループとは、例えば、サブネットであってもよいし、上述した第４の実施の形態で、正規情報生成部１３０が生成するグループであってもよい。
　（効果）
　本実施の形態に係るネットワーク管理装置１０５によれば、定期的に、接続端末に登録された仮装のネットワーク構成情報が変わるので、より好適に、感染端末からの悪意のある活動を困難にすることができる。したがって、ネットワーク管理装置１０５は、ネットワークシステム３の安全性をより高めることができる。
　また、本実施の形態に係るネットワーク管理装置１０５は、所定のグループごとに新たな仮装のネットワーク構成情報を生成する。これにより、ネットワーク管理装置１０５は、より攻撃を受けやすい端末を含むグループに対しては、短い間隔で仮装のネットワーク構成情報を更新し、攻撃を受けづらい端末を含むグループに対しては、仮装のネットワーク構成情報をあまり更新しないという制御ができる。したがって、ネットワーク管理装置１０５は、ネットワークシステム３の安全性をより高めることができる。
　＜第６の実施の形態＞
　本発明の第６の実施の形態について、図面を参照して詳細に説明する。なお、上述した第１および第２の実施の形態で説明した図面に含まれる部材と同じ機能を有する部材については、同じ符号を付し、その詳細な説明を省略する。
　図１１は、本実施の形態に係るネットワークシステム４におけるネットワーク管理装置１０６の機能構成の一例を示す機能ブロック図である。図１１に示す通り、ネットワーク管理装置１０６は、端末判定部１１０、仮装情報生成部１２０、正規情報生成部１３０、ネットワーク構成情報管理部１４０、仮装情報登録部１５０、通信判定部１６０、ネットワーク構成情報記憶部１７０および感染端末検知部６００を備えている。なお、図１１に示すネットワーク管理装置１０６は、第２の実施の形態のネットワーク管理装置１０１に、更に感染端末検知部６００を備える構成であるが、その他の実施の形態のネットワーク管理装置に感染端末検知部６００を備える構成であってもよい。
　（感染端末検知部６００）
　感染端末検知部６００は、端末判定部１１０によって、ネットワーク管理装置１０６に接続された接続端末が新規に接続された端末でないと判定されたとき、端末判定部１１０が受信した入力パケットを、当該端末判定部１１０から受け取る。そして、感染端末検知部６００は、受け取った入力パケットに含まれる宛先識別情報がネットワーク構成情報管理部１４０によって管理されているか否かを確認する。具体的には、感染端末検知部６００は、宛先識別情報に含まれる、宛先のＩＰアドレス、ＭＡＣアドレス、ホスト名等がネットワーク構成情報記憶部１７０に格納されているか否かを確認する。
　そして、感染端末検知部６００は、上記宛先識別情報がネットワーク構成情報管理部１４０によって管理されていないとき、当該宛先識別情報を含んだ入力パケットを送信した接続端末が、マルウェアに感染した端末（マルウェア感染端末）である可能性が高いと検知する。その後、感染端末検知部６００は、検知した端末を、ネットワーク管理装置１０６が管理するネットワークから切り離す。端末をネットワークから切り離す方法は、既存の方法を用いるとするため、本実施の形態では説明を省略する。
　感染端末検知部６００は、上記宛先識別情報がネットワーク構成情報管理部１４０によって管理されているとき、端末判定部１１０から受け取った入力パケットを、通信判定部１６０に供給する。
　そして、通信判定部１６０は、感染端末検知部６００から受け取った入力パケットに基づいて、接続端末と宛先端末とが通信可能か否かを判定する。
　（効果）
　以上のように、本実施の形態に係るネットワーク管理装置１０６によれば、感染端末検知部６００が、端末判定部１１０が受信した入力パケットに含まれる宛先識別情報がネットワーク構成情報管理部１４０によって管理されているかを確認する。そして、当該宛先識別情報がネットワーク構成情報管理部１４０によって管理されていないとき、接続端末がマルウェア感染端末であると検知する。そして、感染端末検知部６００は、当該接続端末を、ネットワークから切り離す。
　仮装情報登録部１５０が接続端末に仮装のネットワーク構成情報を登録するため、当該仮装のネットワーク構成情報を用いて、当該接続端末の周辺端末のＩＰアドレスおよびＭＡＣアドレスを類推することが困難である。したがって、悪意のあるユーザは、接続端末から、任意のＩＰアドレスおよびＭＡＣアドレス宛てに、探索パケットを発信する可能性がある。例えば、ＩＰｖ４（Ｉｎｔｅｒｎｅｔ　Ｐｒｏｔｏｃｏｌ　Ｖｅｒｓｉｏｎ　４）環境では、そのＩＰアドレスの総数はおよそ４３億個であるため、ピンポイントで周辺端末を探索することは困難である。したがって、任意のＩＰアドレスは、ダークネットである可能性が高い。
　本実施の形態では、ネットワーク構成情報管理部１４０が管理していないネットワーク構成情報（例えばＩＰアドレス）宛ての入力パケットをダークネット宛ての入力パケットであると想定する。したがって、感染端末検知部６００は、当該入力パケットを送信した端末がマルウェア感染端末であると検知する。
　したがって、ネットワーク管理装置１０６は、より高精度にボット等に感染した端末を検知することができる。また、感染端末検知部６００が、検知した端末をネットワークから隔離することにより、当該ネットワークの安全性をより高めることができる。
　（ハードウェア構成について）
　なお、図１、３、９および１１に示したネットワーク管理装置の各部は、図１２に例示するハードウェア資源で実現してもよい。すなわち、図１２に示す構成は、ＲＡＭ（Ｒａｎｄｏｍ　Ａｃｃｅｓｓ　Ｍｅｍｏｒｙ）１１１、ＲＯＭ（Ｒｅａｄ　Ｏｎｌｙ　Ｍｅｍｏｒｙ）１１２、通信インタフェース１１３、記憶媒体１１４およびＣＰＵ１１５を備える。ＣＰＵ１１５は、ＲＯＭ１１２または記憶媒体１１４に記憶された各種ソフトウェアプログラム（コンピュータプログラム）を、ＲＡＭ１１１に読み出して実行することにより、ネットワーク管理装置の全体的な動作を司る。すなわち、上記各実施形態において、ＣＰＵ１１５は、ＲＯＭ１１２または記憶媒体１１４を適宜参照しながら、ネットワーク管理装置が備える各機能（各部）を実行するソフトウェアプログラムを実行する。
　また、各実施形態を例に説明した本発明は、ネットワーク管理装置に対して、上記説明した機能を実現可能なコンピュータプログラムを供給した後、そのコンピュータプログラムを、ＣＰＵ１１５がＲＡＭ１１１に読み出して実行することによって達成されてもよい。
　また、係る供給されたコンピュータプログラムは、読み書き可能なメモリ（一時記憶媒体）またはハードディスク装置等のコンピュータ読み取り可能な記憶デバイスに格納すればよい。そして、このような場合において、本発明は、係るコンピュータプログラムを表すコード或いは係るコンピュータプログラムを格納した記憶媒体によって構成されると捉えることができる。
　上述した各実施形態では、図１、３、９および１１に示したネットワーク管理装置における各ブロックに示す機能を、図１２に示すＣＰＵ１１５が実行する一例として、ソフトウェアプログラムによって実現する場合について説明した。しかしながら、図１、３、９および１１に示した各ブロックに示す機能は、一部または全部を、ハードウェアの回路として実現してもよい。
　なお、上述した各実施の形態は、本発明の好適な実施の形態であり、上記各実施の形態にのみ本発明の範囲を限定するものではなく、本発明の要旨を逸脱しない範囲において当業者が上記各実施の形態の修正や代用を行い、種々の変更を施した形態を構築することが可能である。
　上記の実施の形態の一部又は全部は、以下の付記のようにも記載されうるが、以下には限られない。
　（付記１）
　端末と通信装置を介して接続するネットワーク管理装置であって、
　当該ネットワーク管理装置が管理するネットワーク上において、前記端末を識別する識別情報であって、当該ネットワーク管理装置が正規の情報として管理する正規の識別情報を生成する正規情報生成手段と、
　前記正規の識別情報とは異なる仮装の識別情報であって、他の端末との通信にそのまま用いることができない仮装の識別情報を生成する仮装情報生成手段と、
　前記正規の識別情報および前記仮装の識別情報を、関連付けて管理する管理手段と、
　前記仮装の識別情報を、前記端末に登録する登録手段と、を備える、ネットワーク管理装置。
　（付記２）
　前記仮装の識別情報を所定の間隔で変更するために、変更対象の仮装の識別情報が登録された端末に対し、新たな仮装の識別情報を生成する仮装情報再生成手段を更に備え、
　前記管理手段は、前記変更対象の仮装の識別情報が登録された端末を示す正規の識別情報と、前記生成された新たな仮装の識別情報とを関連付けて管理し、
　前記登録手段は、前記変更対象の仮装の識別情報が登録された端末に対し、当該端末に登録された仮装の識別情報を、前記生成された新たな仮装の識別情報に変更する、付記１に記載のネットワーク管理装置。
　（付記３）
　前記仮装情報再生成手段は、前記所定のグループごとに、前記新たな仮装の識別情報を、当該グループごとに定められた間隔で生成する、付記２に記載のネットワーク管理装置。
　（付記４）
　前記通信装置を介して接続された端末が、前記ネットワーク管理装置に新規に接続された端末か否かを判定する第１の判定手段と、
　前記第１の判定手段によって、前記ネットワーク管理装置に接続された端末が新規に接続された端末でないと判定されたとき、当該端末が前記他の端末と通信可能か否かを判定する第２の判定手段と、を更に備え、
　前記第１の判定手段によって、前記ネットワーク管理装置に接続された端末が新規に接続された端末であると判定されたとき、前記正規情報生成手段および前記仮装情報生成手段は、夫々、前記正規の識別情報および前記仮装の識別情報を生成し、
　前記第２の判定手段は、前記端末が前記他の端末と通信可能であると判定したとき、当該端末から送信された入力パケットを、前記他の端末に転送する、付記１から３の何れか１つに記載のネットワーク管理装置。
　（付記５）
　前記入力パケットには、当該入力パケットを送信した端末を識別する端末識別情報と、当該端末が通信を行う前記他の端末を識別する宛先識別情報とが含まれており、
　前記第１の判定手段は、前記入力パケットを前記端末から受信し、当該入力パケットに含まれる前記端末識別情報が前記管理手段によって管理されているかを確認することにより、当該端末が、前記ネットワーク管理装置に新規に接続された端末か否かを判定し、
　前記第２の判定手段は、前記端末識別情報と、前記宛先識別情報とに基づいて、前記端末が前記他の端末と通信可能か否かを判定する、付記４に記載のネットワーク管理装置。
　（付記６）
　前記端末識別情報が、前記登録手段によって前記端末に登録された前記仮装の識別情報であり、当該仮装の識別情報が前記管理手段によって管理されているとき、前記第１の判定手段は、当該端末識別情報によって示される端末が、前記ネットワーク管理装置に新規に接続された端末ではないと判定する、付記５に記載のネットワーク管理装置。
　（付記７）
　前記宛先識別情報が、前記登録手段によって前記他の端末に登録された仮装の識別情報であり、
　前記第２の判定手段は、前記管理手段によって当該宛先識別情報に関連付けられた、前記他の端末の正規の識別情報と、前記端末の正規の識別情報とを用いて、前記端末が前記他の端末と通信可能か否かを判定する、付記５または６に記載のネットワーク管理装置。
　（付記８）
　前記第１の判定手段が受信した前記入力パケットに含まれる前記宛先識別情報が前記管理手段によって管理されているかを確認し、当該宛先識別情報が前記管理手段によって管理されていないとき、前記端末がマルウェア感染端末であると検知する検知手段を更に備え、
　前記第２の判定手段は、前記検知手段によって、当該宛先識別情報が前記管理手段によって管理されていると確認されたとき、前記端末が前記宛先識別情報によって示される前記他の端末と通信可能か否かを判定する、付記５から７の何れか１つに記載のネットワーク管理装置。
　（付記９）
　前記正規情報生成手段は、前記正規の識別情報として、ＩＰ（Ｉｎｔｅｒｎｅｔ　Ｐｒｏｔｏｃｏｌ）アドレスを生成し、
　前記第２の判定手段は、前記端末と前記他の端末とが同一のサブネットに含まれるか否かを確認することにより、当該端末と当該他の端末とが通信可能か否かを判定する、付記４から８の何れか１つに記載のネットワーク管理装置。
　（付記１０）
　前記管理手段は、更に、前記端末の正規の識別情報と、前記他の端末の正規の識別情報との間の関係性を示す関係情報と、当該関係情報で示される端末間の動作を示す動作情報とを関連付けて管理し、
　前記第２の判定手段は、前記動作情報を用いて前記端末が前記他の端末と通信可能か否かを判定する、付記４から８の何れか１つに記載のネットワーク管理装置。
　（付記１１）
　前記正規情報生成手段は、前記正規の識別情報として、前記端末を一意に特定する文字列と、当該端末が属するグループを示す情報とを生成し、
　前記第２の判定手段は、前記端末と前記他の端末とが同一のグループに属するか否かを確認することにより、当該端末と当該他の端末とが通信可能か否かを判定する、付記４から８の何れか１つに記載のネットワーク管理装置。
　（付記１２）
　前記正規情報生成手段は、前記正規の識別情報として、前記端末を一意に特定する文字列と、当該端末が属するグループを示す情報とを生成し、
　前記管理手段は、更に、前記端末および前記他の端末間、前記端末と前記他の端末が属するグループとの間、前記端末が属するグループと前記端末との間、および、前記端末が属するグループと前記他の端末が属するグループと間の少なくとも何れかの関係性を示す関係情報と、当該関係情報で示される対象の間の動作を示す動作情報とを関連付けて管理し、
　前記第２の判定手段は、前記動作情報を用いて前記端末が前記他の端末と通信可能か否かを判定する、付記４から８の何れか１つに記載のネットワーク管理装置。
　（付記１３）
　前記管理手段によって管理された情報を記憶する記憶手段を更に備える、付記１から１２の何れか１つに記載のネットワーク管理装置。
　（付記１４）
　複数の端末と、
　ネットワークを管理するネットワーク管理装置と、
　前記複数の端末の夫々と前記ネットワーク管理装置とを接続する通信装置と、を備え、
　前記ネットワーク管理装置は、
　前記複数の端末のうち、前記通信装置を介して当該ネットワーク管理装置に接続された端末に対し、当該ネットワーク管理装置が管理するネットワーク上において、前記複数の端末の夫々を識別する識別情報であって、当該ネットワーク管理装置が正規の情報として管理する正規の識別情報を生成する正規情報生成手段と、
　前記ネットワークに接続された端末に対し、前記正規の識別情報とは異なる仮装の識別情報であって、当該端末が他の端末との通信にそのまま用いることができない仮装の識別情報を生成する仮装情報生成手段と、
　前記正規の識別情報および前記仮装の識別情報を、関連付けて管理する管理手段と、
　前記仮装の識別情報を、前記ネットワークに接続された端末に登録する登録手段と、を備える、ネットワークシステム。
　（付記１５）
　端末と通信装置を介して接続するネットワーク管理装置のネットワーク管理方法であって、
　前記ネットワーク管理装置が管理するネットワーク上において、前記端末を識別する識別情報であって、当該ネットワーク管理装置が正規の情報として管理する正規の識別情報を生成し、
　前記正規の識別情報とは異なる仮装の識別情報であって、他の端末との通信にそのまま用いることができない仮装の識別情報を生成し、
　前記正規の識別情報および前記仮装の識別情報を、関連付けて管理し、
　前記仮装の識別情報を、前記端末に登録する、ネットワーク管理方法。
　（付記１６）
　端末と通信装置を介して接続するネットワーク管理装置を含むコンピュータに、
　当該ネットワーク管理装置が管理するネットワーク上において、前記端末を識別する識別情報であって、当該ネットワーク管理装置が正規の情報として管理する正規の識別情報を生成する処理と、
　前記正規の識別情報とは異なる仮装の識別情報であって、他の端末との通信にそのまま用いることができない仮装の識別情報を生成する処理と、
　前記正規の識別情報および前記仮装の識別情報を、関連付けて管理する処理と、
　前記仮装の識別情報を、前記端末に登録する処理と、を実行させるプログラム。
　（付記１７）
　付記１６に記載のプログラムを記憶する、コンピュータ読み取り可能な記録媒体。
　この出願は、２０１４年３月１３日に出願された日本出願特願２０１４－０４９８５６を基礎とする優先権を主張し、その開示の全てをここに取り込む。
　１～４　　ネットワークシステム
　１００～１０６　　ネットワーク管理装置
　１１０　　端末判定部
　１２０　　仮装情報生成部
　１３０　　正規情報生成部
　１４０　　ネットワーク構成情報管理部
　１５０　　仮装情報登録部
　１６０　　通信判定部
　１７０　　ネットワーク構成情報記憶部
　２００　　ネットワーク通信装置
　３００　　端末
　４００　　端末
　５００　　仮装情報再生成部
　６００　　感染端末検知部

Claims (16)

  1. 　端末と通信装置を介して接続するネットワーク管理装置であって、
    　当該ネットワーク管理装置が管理するネットワーク上において、前記端末を識別する識別情報であって、当該ネットワーク管理装置が正規の情報として管理する正規の識別情報を生成する正規情報生成手段と、
    　前記正規の識別情報とは異なる仮装の識別情報であって、他の端末との通信にそのまま用いることができない仮装の識別情報を生成する仮装情報生成手段と、
    　前記正規の識別情報および前記仮装の識別情報を、関連付けて管理する管理手段と、
    　前記仮装の識別情報を、前記端末に登録する登録手段と、を備える、ネットワーク管理装置。
  2. 　前記仮装の識別情報を所定の間隔で変更するために、変更対象の仮装の識別情報が登録された端末に対し、新たな仮装の識別情報を生成する仮装情報再生成手段を更に備え、
    　前記管理手段は、前記変更対象の仮装の識別情報が登録された端末を示す正規の識別情報と、前記生成された新たな仮装の識別情報とを関連付けて管理し、
    　前記登録手段は、前記変更対象の仮装の識別情報が登録された端末に対し、当該端末に登録された仮装の識別情報を、前記生成された新たな仮装の識別情報に変更する、請求項１に記載のネットワーク管理装置。
  3. 　前記仮装情報再生成手段は、前記所定のグループごとに、前記新たな仮装の識別情報を、当該グループごとに定められた間隔で生成する、請求項２に記載のネットワーク管理装置。
  4. 　前記通信装置を介して接続された端末が、前記ネットワーク管理装置に新規に接続された端末か否かを判定する第１の判定手段と、
    　前記第１の判定手段によって、前記ネットワーク管理装置に接続された端末が新規に接続された端末でないと判定されたとき、当該端末が前記他の端末と通信可能か否かを判定する第２の判定手段と、を更に備え、
    　前記第１の判定手段によって、前記ネットワーク管理装置に接続された端末が新規に接続された端末であると判定されたとき、前記正規情報生成手段および前記仮装情報生成手段は、夫々、前記正規の識別情報および前記仮装の識別情報を生成し、
    　前記第２の判定手段は、前記端末が前記他の端末と通信可能であると判定したとき、当該端末から送信された入力パケットを、前記他の端末に転送する、請求項１から３の何れか１項に記載のネットワーク管理装置。
  5. 　前記入力パケットには、当該入力パケットを送信した端末を識別する端末識別情報と、当該端末が通信を行う前記他の端末を識別する宛先識別情報とが含まれており、
    　前記第１の判定手段は、前記入力パケットを前記端末から受信し、当該入力パケットに含まれる前記端末識別情報が前記管理手段によって管理されているかを確認することにより、当該端末が、前記ネットワーク管理装置に新規に接続された端末か否かを判定し、
    　前記第２の判定手段は、前記端末識別情報と、前記宛先識別情報とに基づいて、前記端末が前記他の端末と通信可能か否かを判定する、請求項４に記載のネットワーク管理装置。
  6. 　前記端末識別情報が、前記登録手段によって前記端末に登録された前記仮装の識別情報であり、当該仮装の識別情報が前記管理手段によって管理されているとき、前記第１の判定手段は、当該端末識別情報によって示される端末が、前記ネットワーク管理装置に新規に接続された端末ではないと判定する、請求項５に記載のネットワーク管理装置。
  7. 　前記宛先識別情報が、前記登録手段によって前記他の端末に登録された仮装の識別情報であり、
    　前記第２の判定手段は、前記管理手段によって当該宛先識別情報に関連付けられた、前記他の端末の正規の識別情報と、前記端末の正規の識別情報とを用いて、前記端末が前記他の端末と通信可能か否かを判定する、請求項５または６に記載のネットワーク管理装置。
  8. 　前記第１の判定手段が受信した前記入力パケットに含まれる前記宛先識別情報が前記管理手段によって管理されているかを確認し、当該宛先識別情報が前記管理手段によって管理されていないとき、前記端末がマルウェア感染端末であると検知する検知手段を更に備え、
    　前記第２の判定手段は、前記検知手段によって、当該宛先識別情報が前記管理手段によって管理されていると確認されたとき、前記端末が前記宛先識別情報によって示される前記他の端末と通信可能か否かを判定する、請求項５から７の何れか１項に記載のネットワーク管理装置。
  9. 　前記正規情報生成手段は、前記正規の識別情報として、ＩＰ（Ｉｎｔｅｒｎｅｔ　Ｐｒｏｔｏｃｏｌ）アドレスを生成し、
    　前記第２の判定手段は、前記端末と前記他の端末とが同一のサブネットに含まれるか否かを確認することにより、当該端末と当該他の端末とが通信可能か否かを判定する、請求項４から８の何れか１項に記載のネットワーク管理装置。
  10. 　前記管理手段は、更に、前記端末の正規の識別情報と、前記他の端末の正規の識別情報との間の関係性を示す関係情報と、当該関係情報で示される端末間の動作を示す動作情報とを関連付けて管理し、
    　前記第２の判定手段は、前記動作情報を用いて前記端末が前記他の端末と通信可能か否かを判定する、請求項４から８の何れか１項に記載のネットワーク管理装置。
  11. 　前記正規情報生成手段は、前記正規の識別情報として、前記端末を一意に特定する文字列と、当該端末が属するグループを示す情報とを生成し、
    　前記第２の判定手段は、前記端末と前記他の端末とが同一のグループに属するか否かを確認することにより、当該端末と当該他の端末とが通信可能か否かを判定する、請求項４から８の何れか１項に記載のネットワーク管理装置。
  12. 　前記正規情報生成手段は、前記正規の識別情報として、前記端末を一意に特定する文字列と、当該端末が属するグループを示す情報とを生成し、
    　前記管理手段は、更に、前記端末および前記他の端末間、前記端末と前記他の端末が属するグループとの間、前記端末が属するグループと前記端末との間、および、前記端末が属するグループと前記他の端末が属するグループと間の少なくとも何れかの関係性を示す関係情報と、当該関係情報で示される対象の間の動作を示す動作情報とを関連付けて管理し、
    　前記第２の判定手段は、前記動作情報を用いて前記端末が前記他の端末と通信可能か否かを判定する、請求項４から８の何れか１項に記載のネットワーク管理装置。
  13. 　前記管理手段によって管理された情報を記憶する記憶手段を更に備える、請求項１から１２の何れか１項に記載のネットワーク管理装置。
  14. 　複数の端末と、
    　ネットワークを管理するネットワーク管理装置と、
    　前記複数の端末の夫々と前記ネットワーク管理装置とを接続する通信装置と、を備え、
    　前記ネットワーク管理装置は、
    　前記複数の端末のうち、前記通信装置を介して当該ネットワーク管理装置に接続された端末に対し、当該ネットワーク管理装置が管理するネットワーク上において、前記複数の端末の夫々を識別する識別情報であって、当該ネットワーク管理装置が正規の情報として管理する正規の識別情報を生成する正規情報生成手段と、
    　前記ネットワークに接続された端末に対し、前記正規の識別情報とは異なる仮装の識別情報であって、当該端末が他の端末との通信にそのまま用いることができない仮装の識別情報を生成する仮装情報生成手段と、
    　前記正規の識別情報および前記仮装の識別情報を、関連付けて管理する管理手段と、
    　前記仮装の識別情報を、前記ネットワークに接続された端末に登録する登録手段と、を備える、ネットワークシステム。
  15. 　端末と通信装置を介して接続するネットワーク管理装置のネットワーク管理方法であって、
    　前記ネットワーク管理装置が管理するネットワーク上において、前記端末を識別する識別情報であって、当該ネットワーク管理装置が正規の情報として管理する正規の識別情報を生成し、
    　前記正規の識別情報とは異なる仮装の識別情報であって、他の端末との通信にそのまま用いることができない仮装の識別情報を生成し、
    　前記正規の識別情報および前記仮装の識別情報を、関連付けて管理し、
    　前記仮装の識別情報を、前記端末に登録する、ネットワーク管理方法。
  16. 　端末と通信装置を介して接続するネットワーク管理装置を含むコンピュータに、
    　当該ネットワーク管理装置が管理するネットワーク上において、前記端末を識別する識別情報であって、当該ネットワーク管理装置が正規の情報として管理する正規の識別情報を生成する処理と、
    　前記正規の識別情報とは異なる仮装の識別情報であって、他の端末との通信にそのまま用いることができない仮装の識別情報を生成する処理と、
    　前記正規の識別情報および前記仮装の識別情報を、関連付けて管理する処理と、
    　前記仮装の識別情報を、前記端末に登録する処理と、を実行させるプログラムを記憶する、コンピュータ読み取り可能な記録媒体。
PCT/JP2015/000696 2014-03-13 2015-02-16 ネットワーク管理装置、ネットワークシステム、ネットワーク管理方法および記録媒体 WO2015136842A1 (ja)

Priority Applications (2)

Application Number Priority Date Filing Date Title
US15/124,787 US10516665B2 (en) 2014-03-13 2015-02-16 Network management apparatus, network management method, and recording medium
JP2016507292A JP6418232B2 (ja) 2014-03-13 2015-02-16 ネットワーク管理装置、ネットワークシステム、ネットワーク管理方法およびプログラム

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
JP2014049856 2014-03-13
JP2014-049856 2014-03-13

Publications (1)

Publication Number Publication Date
WO2015136842A1 true WO2015136842A1 (ja) 2015-09-17

Family

ID=54071305

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/JP2015/000696 WO2015136842A1 (ja) 2014-03-13 2015-02-16 ネットワーク管理装置、ネットワークシステム、ネットワーク管理方法および記録媒体

Country Status (3)

Country Link
US (1) US10516665B2 (ja)
JP (1) JP6418232B2 (ja)
WO (1) WO2015136842A1 (ja)

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2020112946A (ja) * 2019-01-09 2020-07-27 富士通株式会社 検知装置、検知方法、および、検知プログラム

Families Citing this family (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US11271989B2 (en) * 2016-09-27 2022-03-08 Red Hat, Inc. Identifying a component cluster
CN107220538A (zh) * 2017-06-27 2017-09-29 广东欧珀移动通信有限公司 支付类应用程序管理方法、装置及移动终端

Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2004200822A (ja) * 2002-12-17 2004-07-15 Hitachi Ltd 通信方法および情報処理装置
WO2007108124A1 (ja) * 2006-03-23 2007-09-27 Fujitsu Limited パケット中継装置
JP2013242282A (ja) * 2012-05-23 2013-12-05 Rohm Co Ltd 送信回路およびそれを集積化した集積回路、ならびに、送信装置、位置測位システム、送信方法

Family Cites Families (19)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US5500852A (en) * 1994-08-31 1996-03-19 Echelon Corporation Method and apparatus for network variable aliasing
US5852724A (en) * 1996-06-18 1998-12-22 Veritas Software Corp. System and method for "N" primary servers to fail over to "1" secondary server
US6601093B1 (en) * 1999-12-01 2003-07-29 Ibm Corporation Address resolution in ad-hoc networking
JP4683442B2 (ja) * 2000-07-13 2011-05-18 富士通フロンテック株式会社 処理装置および集積回路
CN1663203A (zh) * 2002-05-06 2005-08-31 高通股份有限公司 用于注册无线通信设备的ip地址的系统和方法
EP1718034A1 (en) * 2005-04-25 2006-11-02 Thomson Multimedia Broadband Belgium Process for managing resource address requests and associated gateway device
CN101213817B (zh) * 2005-06-30 2011-08-03 艾利森电话股份有限公司 从终端的原始mac地址到唯一的本地管理虚拟mac地址的映射
US20070201490A1 (en) * 2005-07-13 2007-08-30 Mahamuni Atul B System and method for implementing ethernet MAC address translation
US7639792B2 (en) * 2005-11-23 2009-12-29 Att Knowledge Ventures, L.P. System and method for location management and emergency support for a voice over internet protocol device
TWI307232B (en) * 2006-06-09 2009-03-01 Hon Hai Prec Ind Co Ltd Wireless local area network with protection function and method for preventing attack
JP5062134B2 (ja) 2008-10-15 2012-10-31 日本電気株式会社 情報拡散システム、情報拡散装置、情報拡散方法、および情報拡散プログラム
US8800025B2 (en) * 2009-11-10 2014-08-05 Hei Tao Fung Integrated virtual desktop and security management system
WO2012083079A2 (en) * 2010-12-15 2012-06-21 ZanttZ, Inc. Network stimulation engine
US20130097046A1 (en) * 2011-10-14 2013-04-18 Balachander Krishnamurthy System and Method of Providing Transactional Privacy
US8910296B2 (en) * 2011-10-31 2014-12-09 Cisco Technology, Inc. Data privacy for smart services
US8959573B2 (en) * 2012-05-01 2015-02-17 Harris Corporation Noise, encryption, and decoys for communications in a dynamic computer network
US9185071B2 (en) * 2012-12-31 2015-11-10 Telefonaktiebolaget L M Ericsson (Publ) Methods and systems for seamless network communications between devices running internet protocol version 6 and internet protocol version 4
US9137211B2 (en) * 2013-05-16 2015-09-15 Cisco Technology, Inc. Application services based on dynamic split tunneling
US9935970B2 (en) * 2015-10-29 2018-04-03 Duo Security, Inc. Methods and systems for implementing a phishing assessment

Patent Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2004200822A (ja) * 2002-12-17 2004-07-15 Hitachi Ltd 通信方法および情報処理装置
WO2007108124A1 (ja) * 2006-03-23 2007-09-27 Fujitsu Limited パケット中継装置
JP2013242282A (ja) * 2012-05-23 2013-12-05 Rohm Co Ltd 送信回路およびそれを集積化した集積回路、ならびに、送信装置、位置測位システム、送信方法

Cited By (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2020112946A (ja) * 2019-01-09 2020-07-27 富士通株式会社 検知装置、検知方法、および、検知プログラム
JP7120030B2 (ja) 2019-01-09 2022-08-17 富士通株式会社 検知装置、検知方法、および、検知プログラム

Also Published As

Publication number Publication date
US20170034166A1 (en) 2017-02-02
JPWO2015136842A1 (ja) 2017-04-06
JP6418232B2 (ja) 2018-11-07
US10516665B2 (en) 2019-12-24

Similar Documents

Publication Publication Date Title
EP3111612B1 (en) Profiling for malicious encrypted network traffic identification
EP3111613B1 (en) Malicious encrypted traffic inhibitor
CN109347830B (zh) 一种网络动态防御系统及方法
EP3111614B1 (en) Malicious encrypted network traffic identification
JP5713445B2 (ja) 通信監視システム及び方法及び通信監視装置及び仮想ホスト装置及び通信監視プログラム
Nur et al. Record route IP traceback: Combating DoS attacks and the variants
CN105262738A (zh) 一种路由器及其防arp攻击的方法
JP6138714B2 (ja) 通信装置および通信装置における通信制御方法
US20130298220A1 (en) System and method for managing filtering information of attack traffic
US12021836B2 (en) Dynamic filter generation and distribution within computer networks
EP3395035B1 (en) Malicious network traffic identification
JP2008113409A (ja) トラフィック制御システム及び管理サーバ
CN107690004B (zh) 地址解析协议报文的处理方法及装置
CN106878326A (zh) 基于反向检测的IPv6邻居缓存保护方法及其装置
JP6418232B2 (ja) ネットワーク管理装置、ネットワークシステム、ネットワーク管理方法およびプログラム
Dakhane et al. Active warden for TCP sequence number base covert channel
CN107395615B (zh) 一种打印机安全防护的方法和装置
KR102056641B1 (ko) Arp 포이즈닝 공격을 해결하기 위한 sdn 컨트롤러 및 그 동작 방법
Shue et al. Packet forwarding with source verification
CN107395764B (zh) 在不同数据域内的设备间进行数据交换的方法及系统
Zhou et al. Limiting self-propagating malware based on connection failure behavior
JP2014150504A (ja) ネットワーク監視装置、ネットワーク監視方法、および、コンピュータ・プログラム
US20130133060A1 (en) Communication system, control device and control program
JP4710889B2 (ja) 攻撃パケット対策システム、攻撃パケット対策方法、攻撃パケット対策装置、及び攻撃パケット対策プログラム
Zhou et al. Limiting Self-Propagating Malware Based on Connection Failure Behavior through Hyper-Compact Estimators

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 15761783

Country of ref document: EP

Kind code of ref document: A1

ENP Entry into the national phase

Ref document number: 2016507292

Country of ref document: JP

Kind code of ref document: A

WWE Wipo information: entry into national phase

Ref document number: 15124787

Country of ref document: US

NENP Non-entry into the national phase

Ref country code: DE

122 Ep: pct application non-entry in european phase

Ref document number: 15761783

Country of ref document: EP

Kind code of ref document: A1