JP6836460B2 - ネットワークシステム、ネットワーク管理サーバ、ネットワーク制御方法およびプログラム - Google Patents
ネットワークシステム、ネットワーク管理サーバ、ネットワーク制御方法およびプログラム Download PDFInfo
- Publication number
- JP6836460B2 JP6836460B2 JP2017103184A JP2017103184A JP6836460B2 JP 6836460 B2 JP6836460 B2 JP 6836460B2 JP 2017103184 A JP2017103184 A JP 2017103184A JP 2017103184 A JP2017103184 A JP 2017103184A JP 6836460 B2 JP6836460 B2 JP 6836460B2
- Authority
- JP
- Japan
- Prior art keywords
- switch
- layer
- information
- mac address
- attack
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Active
Links
Images
Landscapes
- Data Exchanges In Wide-Area Networks (AREA)
- Computer And Data Communications (AREA)
Description
本発明は、ネットワーク装置への情報の設定に関し、特に、ネットワーク内で検知した攻撃を遮断するための情報をネットワーク装置へ設定する技術に関する。
近年、人の心理や情報システムの脆弱性を巧みに突いて、インターネット経由で不正プログラムを企業・組織に侵入させる標的型サイバー攻撃が増加している。標的型サイバー攻撃は、年々高度化、巧妙化、多様化しており、攻撃に対抗するための手段として、ソフトウェアの動作やネットワーク上の通信の振る舞いから攻撃を見つけ出す振る舞い検知装置が実用化されている。このうち、ネットワーク上の通信の振る舞いから攻撃を見つけ出す振る舞い検知装置は、ネットワーク装置からミラーリングされたトラフィックを監視し、外部ネットワークからの不審データの侵入、内部ネットワークから外部ネットワークの不正なウェブサイトへの接続、不審な通信やファイルの検知、統計分析等による異常検知を行うことにより、ウィルス定義書のパターンファイルとのマッチングだけでは検出できない攻撃を検知する。
また、標的型サイバー攻撃により万が一企業・組織内に不正プログラムが侵入した場合に、迅速な初動対応を行って被害範囲を最小化することを目的とし、振る舞い検知装置とＳＤＮ（Ｓｏｆｔｗａｒｅ Ｄｅｆｉｎｅｄ Ｎｅｔｗｏｒｋｉｎｇ）技術を連携させ、振る舞い検知装置が検知したイベントをトリガとし、ＳＤＮ連携アダプタによりネットワークの遮断/隔離を自動化するソリューションも提案されている。
ｈｔｔｐ://ｊｐｎ.ｎｅｃ.ｃｏｍ/ｓｄｎ/ｐｄｆ/ＮＥＣ＿ＳＤＮ＿ｃｙｂｅｒ＿ｔｒｅｎｄｍｉｃｒo.ｐｄｆ
前述の振る舞い検知装置は、不審な通信を検知し、宛先ＩＰ（Ｉｎｔｅｒｎｅｔ Ｐｒｏｔｏｃｏｌ）アドレスや送信元ＩＰアドレス、プロトコルタイプ等の通信の内容を出力する。振る舞い検知装置と連携して通信の遮断/隔離を行う場合には、ＩＰアドレスを指定してネットワーク側に通信の遮断指示を出すことになる。指定されたＩＰアドレスから端末を特定する方法として、特許文献１に記載の技術がある。特許文献１のＡＲＰ（Ａｄｄｒｅｓｓ Ｒｅｓｏｌｕｔｉｏｎ Ｐｒｏｔｏｃｏｌ）テーブルに基づく端末の特定では、ネットワークにレイヤ３スイッチが含まれる場合、レイヤ３スイッチまでしか特定できない。ネットワークがさらにレイヤ２スイッチを含む階層構造のネットワークであった場合には、レイヤ３スイッチを特定し、レイヤ３スイッチに通信を遮断するためのフィルタを設定しても、レイヤ２スイッチ間のレイヤ２中継で不正プログラムが別の端末に感染し、被害が拡大することを防ぐことができない。
振る舞い検知装置から通知された遮断対象のＩＰアドレスが不正プログラムに対して指示を出すＣ＆Ｃ（Ｃｏｍｍａｎｄ ａｎｄ Ｃｏｎｔｒｏｌ）サーバの場合は、Ｃ＆Ｃサーバとの接点、つまりインターネットと直接接続しているネットワーク機器の該当ポートに対して通信を遮断するフィルタを設定すればよい。この設定によって、攻撃を受けて不正プログラムが潜伏しているが、振る舞い検知装置で検知できていない端末が他にあったとしても、その端末からＣ＆Ｃサーバとの通信も遮断することができ、フィルタの適用数も最も少なく、効率のよい最適な通信遮断位置となる。インターネットと直接接続しているポートは、ネットワーク構成から自明であり、Ｃ＆Ｃ（Ｃｏｍｍａｎｄ ａｎｄ Ｃｏｎｔｒｏｌ）サーバに対する最適な通信遮断位置は、あらかじめ管理者が決めておくことが可能である。
一方、振る舞い検知装置から通知された遮断対象のＩＰアドレスが不正プログラムに感染した端末のＩＰアドレスの場合、最適な通信遮断位置を特定することは容易ではない。この場合、端末が直接ＬＡＮ（Ｌｏｃａｌ Ａｒｅａ Ｎｅｔｗｏｒｋ）ケーブルで接続しているレイヤ２スイッチのポートにフィルタを設定することが、別サブネットへの通信も、同一ネットワーク装置でレイヤ２中継される通信も遮断することができるとともに、フィルタの適用数も最も少なく、効率のよい最適な通信遮断位置となる。しかし、振る舞い検知装置からはＩＰアドレスしか通知されないため、従来の端末特定技術では、レイヤ３スイッチが学習しているＡＲＰ（Ａｄｄｒｅｓｓ Ｒｅｓｏｌｖｅ Ｐｒｏｔｏｃｏｌ）情報から端末のＭＡＣ（Ｍｅｄｉａ Ａｃｃｅｓｓ Ｃｏｎｔｒｏｌ）アドレスを求め、ＦＤＢ（Ｆｉｌｔｅｒｉｎｇ ＤａｔａＢａｓｅ）情報から該当ＭＡＣアドレスを学習したポートをフィルタの適用対象の候補とする。しかし、レイヤ２スイッチが複数階層化されたネットワーク構成では、ＦＤＢ情報だけでは、どのレイヤ２スイッチが端末と直接接続ないし、最もホップ数の少ないネットワーク装置なのか特定できないという課題がある。
さらに、通信を遮断された端末の利用者は、機器の故障によりネットワークに到達できないのか、不正プログラムに感染したため通信が遮断されたのか区別することができなかった。
さらに、不正プログラムに感染した端末が持ち運ばれるなどして別のレイヤ２スイッチのポートに接続されたり、端末のＩＰアドレスが変更されたりした場合には、ポートの移動やＩＰアドレスの変更を検出し、最適な通信遮断位置を特定し直す必要がある。
さらに、不正プログラムに感染した端末が持ち運ばれるなどして別のレイヤ２スイッチのポートに接続されたり、端末のＩＰアドレスが変更されたりした場合には、ポートの移動やＩＰアドレスの変更を検出し、最適な通信遮断位置を特定し直す必要がある。
本発明は、上記課題を解決するためになされたもので、不正プログラムに感染した端末の通信を遮断するためのフィルタを、ネットワーク内の最適な位置に設定し、通信の遮断を最少のフィルタ数で実現する技術を提供することを目的とする。
また、本発明は、通信を遮断された端末の利用者が、機器の故障によりネットワークに到達できないのか、不正プログラムに感染したため通信が遮断されたのか区別できるようにすることを目的とする。
また、不正プログラムに感染した端末が別のポートに接続されたり、端末のＩＰアドレスが変更されたりした場合にも、通信遮断位置を特定し直して通信の遮断を行うことを目的とする。
また、本発明は、通信を遮断された端末の利用者が、機器の故障によりネットワークに到達できないのか、不正プログラムに感染したため通信が遮断されたのか区別できるようにすることを目的とする。
また、不正プログラムに感染した端末が別のポートに接続されたり、端末のＩＰアドレスが変更されたりした場合にも、通信遮断位置を特定し直して通信の遮断を行うことを目的とする。
前記課題を解決するために、本発明においては、一例として、
少なくともひとつのレイヤ３スイッチと、複数のレイヤ２スイッチを有するネットワークシステムであって、
前記ネットワークシステムは、さらに、前記ネットワークシステムの通信の振る舞いを監視して攻撃を検知する振る舞い検知部と、
前記振る舞い検知部が出力した検知結果を受け取るとともに、前記レイヤ２スイッチが収容する端末装置に割り当てられたＩＰアドレスおよびＭＡＣアドレスを対応づけるためのＡＲＰ情報と、前記レイヤ３スイッチおよび前記レイヤ２スイッチのポートのＭＡＣアドレス学習情報と、前記レイヤ３スイッチおよび前記レイヤ２スイッチの隣接情報と、をそれぞれ前記レイヤ３スイッチおよび前記レイヤ２スイッチから収集して組み合わせたフィルタ設定対象装置特定情報テーブルを作成し、前記検知結果のＩＰアドレスに対応するＭＡＣアドレスを学習したポートの隣接情報が前記レイヤ３スイッチおよび前記レイヤ２スイッチのいずれでもないエントリを前記フィルタ設定対象装置特定情報テーブルから検索し、前記検索されたエントリに示されるレイヤ２スイッチを前記振る舞い検知部が検知した攻撃を遮断するための設定を行う対象のスイッチとして特定し、前記特定したスイッチに攻撃を遮断するための設定を行うネットワーク管理部を有し、
さらに、前記ネットワーク管理部は、前記検索されたエントリに含まれるＭＡＣアドレス学習情報を記憶し、予め決められたタイミングまたは前記ネットワーク管理部の管理者の指示により、前記収集したＭＡＣアドレス情報に前記記憶したＭＡＣアドレス学習情報が含まれるかどうかを確認し、含まれていなかった場合に、前記振る舞い検知部が検知した攻撃を遮断するための設定を行う対象のスイッチを特定する処理を再実行し、前記再実行により特定したスイッチに攻撃を遮断するための設定を行うようにしたものである。
少なくともひとつのレイヤ３スイッチと、複数のレイヤ２スイッチを有するネットワークシステムであって、
前記ネットワークシステムは、さらに、前記ネットワークシステムの通信の振る舞いを監視して攻撃を検知する振る舞い検知部と、
前記振る舞い検知部が出力した検知結果を受け取るとともに、前記レイヤ２スイッチが収容する端末装置に割り当てられたＩＰアドレスおよびＭＡＣアドレスを対応づけるためのＡＲＰ情報と、前記レイヤ３スイッチおよび前記レイヤ２スイッチのポートのＭＡＣアドレス学習情報と、前記レイヤ３スイッチおよび前記レイヤ２スイッチの隣接情報と、をそれぞれ前記レイヤ３スイッチおよび前記レイヤ２スイッチから収集して組み合わせたフィルタ設定対象装置特定情報テーブルを作成し、前記検知結果のＩＰアドレスに対応するＭＡＣアドレスを学習したポートの隣接情報が前記レイヤ３スイッチおよび前記レイヤ２スイッチのいずれでもないエントリを前記フィルタ設定対象装置特定情報テーブルから検索し、前記検索されたエントリに示されるレイヤ２スイッチを前記振る舞い検知部が検知した攻撃を遮断するための設定を行う対象のスイッチとして特定し、前記特定したスイッチに攻撃を遮断するための設定を行うネットワーク管理部を有し、
さらに、前記ネットワーク管理部は、前記検索されたエントリに含まれるＭＡＣアドレス学習情報を記憶し、予め決められたタイミングまたは前記ネットワーク管理部の管理者の指示により、前記収集したＭＡＣアドレス情報に前記記憶したＭＡＣアドレス学習情報が含まれるかどうかを確認し、含まれていなかった場合に、前記振る舞い検知部が検知した攻撃を遮断するための設定を行う対象のスイッチを特定する処理を再実行し、前記再実行により特定したスイッチに攻撃を遮断するための設定を行うようにしたものである。
あるいは、別の例として、
少なくともひとつのレイヤ３スイッチと、複数のレイヤ２スイッチを有するネットワークシステムであって、
前記ネットワークシステムは、さらに、前記ネットワークシステムの通信の振る舞いを監視して攻撃を検知する振る舞い検知部と、
前記振る舞い検知部が出力した検知結果を受け取るとともに、前記レイヤ２スイッチが収容する端末装置に割り当てられたＩＰアドレスおよびＭＡＣアドレスを対応づけるためのＡＲＰ情報と、前記レイヤ３スイッチおよび前記レイヤ２スイッチのポートのＭＡＣアドレス学習情報と、前記レイヤ３スイッチおよび前記レイヤ２スイッチの隣接情報と、をそれぞれ前記レイヤ３スイッチおよび前記レイヤ２スイッチから収集して組み合わせたフィルタ設定対象装置特定情報テーブルを作成し、前記検知結果のＩＰアドレスに対応するＭＡＣアドレスを学習したポートの隣接情報が前記レイヤ３スイッチおよび前記レイヤ２スイッチのいずれでもないエントリを前記フィルタ設定対象装置特定情報テーブルから検索し、前記検索されたエントリに示されるレイヤ２スイッチを前記振る舞い検知部が検知した攻撃を遮断するための設定を行う対象のスイッチとして特定し、前記特定したスイッチに攻撃を遮断するための設定を行うネットワーク管理部を有し、
さらに、前記ネットワーク管理部は、前記検索されたエントリに含まれるＡＲＰ情報を記憶し、予め決められたタイミングまたは前記ネットワーク管理部の管理者の指示により、前記収集したＡＲＰ情報に前記記憶したＡＲＰ情報が含まれるかどうかを確認し、含まれていなかった場合に、前記振る舞い検知部が検知した攻撃を遮断するための設定を行う対象のスイッチを特定する処理を再実行し、前記再実行により特定したスイッチに攻撃を遮断するための設定を行うようにしたものである。
少なくともひとつのレイヤ３スイッチと、複数のレイヤ２スイッチを有するネットワークシステムであって、
前記ネットワークシステムは、さらに、前記ネットワークシステムの通信の振る舞いを監視して攻撃を検知する振る舞い検知部と、
前記振る舞い検知部が出力した検知結果を受け取るとともに、前記レイヤ２スイッチが収容する端末装置に割り当てられたＩＰアドレスおよびＭＡＣアドレスを対応づけるためのＡＲＰ情報と、前記レイヤ３スイッチおよび前記レイヤ２スイッチのポートのＭＡＣアドレス学習情報と、前記レイヤ３スイッチおよび前記レイヤ２スイッチの隣接情報と、をそれぞれ前記レイヤ３スイッチおよび前記レイヤ２スイッチから収集して組み合わせたフィルタ設定対象装置特定情報テーブルを作成し、前記検知結果のＩＰアドレスに対応するＭＡＣアドレスを学習したポートの隣接情報が前記レイヤ３スイッチおよび前記レイヤ２スイッチのいずれでもないエントリを前記フィルタ設定対象装置特定情報テーブルから検索し、前記検索されたエントリに示されるレイヤ２スイッチを前記振る舞い検知部が検知した攻撃を遮断するための設定を行う対象のスイッチとして特定し、前記特定したスイッチに攻撃を遮断するための設定を行うネットワーク管理部を有し、
さらに、前記ネットワーク管理部は、前記検索されたエントリに含まれるＡＲＰ情報を記憶し、予め決められたタイミングまたは前記ネットワーク管理部の管理者の指示により、前記収集したＡＲＰ情報に前記記憶したＡＲＰ情報が含まれるかどうかを確認し、含まれていなかった場合に、前記振る舞い検知部が検知した攻撃を遮断するための設定を行う対象のスイッチを特定する処理を再実行し、前記再実行により特定したスイッチに攻撃を遮断するための設定を行うようにしたものである。
また、前記ネットワーク管理部は、前記特定したレイヤ２スイッチに対し、前記攻撃を受けた端末装置の通信を遮断するフィルタを設定し、
前記レイヤ２スイッチは、さらに、前記通信を遮断した端末装置に対し、攻撃を検知したために通信を遮断したことを通知する遮断メッセージ通知部を有してもよい。
前記レイヤ２スイッチは、さらに、前記通信を遮断した端末装置に対し、攻撃を検知したために通信を遮断したことを通知する遮断メッセージ通知部を有してもよい。
本発明によれば、不正プログラムに感染した端末の通信を遮断するためのフィルタを、ネットワーク内の最適な位置に設定し、通信の遮断を最少のフィルタ数で実現することができる。
また、本発明は、通信を遮断された端末の利用者は、機器の故障によりネットワークに到達できないのか、不正プログラムに感染したため通信が遮断されたのか区別することができる。
また、不正プログラムに感染した端末が別の装置のポートに接続された場合や、不正プログラムに感染した端末のＩＰアドレスが変更された場合にも、ネットワーク内の最適な位置での通信の遮断を継続できる。
また、本発明は、通信を遮断された端末の利用者は、機器の故障によりネットワークに到達できないのか、不正プログラムに感染したため通信が遮断されたのか区別することができる。
また、不正プログラムに感染した端末が別の装置のポートに接続された場合や、不正プログラムに感染した端末のＩＰアドレスが変更された場合にも、ネットワーク内の最適な位置での通信の遮断を継続できる。
以下、本発明を実施するための形態を、複数の実施例を示して説明する。
まず、第１の実施例を以下の順序で説明する。
１．１ システム構成
１．２ ネットワーク管理サーバの構成
１．３ ネットワーク装置の構成
１．４ テーブルの内容
１．５ 攻撃を検知した場合の通信遮断動作
１．６ 実施例効果
[１．１ システム構成]
図１は、本発明の一実施例におけるネットワークシステムの構成を示す説明図である。
図１のネットワークシステムは、ネットワークを構成するネットワーク装置であるレイヤ３スイッチＳ１０、レイヤ２スイッチＳ２０、レイヤ２スイッチＳ３０、レイヤ２スイッチＳ４０と、これらのネットワーク装置を管理するネットワーク管理サーバＳ５０と、ネットワークを監視する振る舞い検知装置Ｓ６０で構成される。ネットワーク管理サーバは、ネットワーク管理サーバ上で動作するプログラムであるコントローラＣ１０を備える。
１．１ システム構成
１．２ ネットワーク管理サーバの構成
１．３ ネットワーク装置の構成
１．４ テーブルの内容
１．５ 攻撃を検知した場合の通信遮断動作
１．６ 実施例効果
[１．１ システム構成]
図１は、本発明の一実施例におけるネットワークシステムの構成を示す説明図である。
図１のネットワークシステムは、ネットワークを構成するネットワーク装置であるレイヤ３スイッチＳ１０、レイヤ２スイッチＳ２０、レイヤ２スイッチＳ３０、レイヤ２スイッチＳ４０と、これらのネットワーク装置を管理するネットワーク管理サーバＳ５０と、ネットワークを監視する振る舞い検知装置Ｓ６０で構成される。ネットワーク管理サーバは、ネットワーク管理サーバ上で動作するプログラムであるコントローラＣ１０を備える。
レイヤ３スイッチＳ１０は、ポートＰ１１を介してインターネットと、ポートＰ１２を介して振る舞い検知装置Ｓ６０と、ポートＰ１３を介してネットワーク管理サーバＳ５０と、ポートＰ１４を介してレイヤ２スイッチＳ２０と、ポートＰ１５を介してレイヤ２スイッチＳ４０と接続している。
レイヤ２スイッチＳ２０は、ポートＰ２１を介してレイヤ３スイッチＳ１０と、ポートＰ２２を介してレイヤ２スイッチＳ３０と、ポートＰ２３を介してユーザ端末Ｕ３０と接続している。
レイヤ２スイッチＳ３０は、ポートＰ３１を介してレイヤ２スイッチＳ２０と、ポートＰ３２を介してユーザ端末Ｕ１０と、ポートＰ３３を介してユーザ端末Ｕ２０と接続している。
レイヤ２スイッチＳ４０は、ポートＰ４１を介してレイヤ３スイッチＳ１０と、ポートＰ４２を介してユーザ端末Ｕ４０と接続している。
レイヤ２スイッチＳ２０は、ポートＰ２１を介してレイヤ３スイッチＳ１０と、ポートＰ２２を介してレイヤ２スイッチＳ３０と、ポートＰ２３を介してユーザ端末Ｕ３０と接続している。
レイヤ２スイッチＳ３０は、ポートＰ３１を介してレイヤ２スイッチＳ２０と、ポートＰ３２を介してユーザ端末Ｕ１０と、ポートＰ３３を介してユーザ端末Ｕ２０と接続している。
レイヤ２スイッチＳ４０は、ポートＰ４１を介してレイヤ３スイッチＳ１０と、ポートＰ４２を介してユーザ端末Ｕ４０と接続している。
[１．２ ネットワーク管理サーバの構成]
図２は、本発明の一実施例におけるネットワーク管理サーバの構成を示す説明図である。
ネットワーク管理サーバＳ５０は、演算をするためのＣＰＵ（Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）と、プログラムを格納するためのメモリと、他のネットワーク装置に回線を介して接続するためのネットワークＩＦ（ＩｎｔｅｒＦａｃｅ）を備え、それぞれがバスで接続されている。メモリには、プログラムであるコントローラＣ１０が格納され、メモリに格納されたプログラムをＣＰＵが実行することでコントローラＣ１０の各機能を実現する。
図２は、本発明の一実施例におけるネットワーク管理サーバの構成を示す説明図である。
ネットワーク管理サーバＳ５０は、演算をするためのＣＰＵ（Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）と、プログラムを格納するためのメモリと、他のネットワーク装置に回線を介して接続するためのネットワークＩＦ（ＩｎｔｅｒＦａｃｅ）を備え、それぞれがバスで接続されている。メモリには、プログラムであるコントローラＣ１０が格納され、メモリに格納されたプログラムをＣＰＵが実行することでコントローラＣ１０の各機能を実現する。
コントローラＣ１０は、ネットワーク装置の情報を収集するモジュールである装置情報収集部Ｍ５１と、振る舞い検知装置からの指示を受信するモジュールである設定指示受信部Ｍ５２と、前記指示に従いフィルタ等を設定する対象のネットワーク装置を特定するトポロジ計算部Ｍ５３と、ネットワーク装置に設定を実施する装置設定制御部Ｍ５４と、前述の装置情報収集部Ｍ５１で収集したネットワーク装置の情報を格納するテーブルであるＡＲＰ情報Ｔ１０、ＦＤＢ情報Ｔ２０、ＬＬＤＰ（Ｌｉｎｋ Ｌａｙｅｒ Ｄｉｓｃｏｖｅｒｙ Ｐｒｏｔｏｃｏｌ）情報Ｔ３０で構成される。各テーブルの内容は図４〜６で後述する。
[１．３ ネットワーク装置の内容]
図３は、本発明の一実施例におけるネットワーク装置の構成を示す説明図である。
本実施例においてレイヤ２スイッチＳ２０、Ｓ４０も同様の構成を備えるが、ここではレイヤ２スイッチＳ３０を例として説明する。なお、レイヤ３スイッチＳ１０はレイヤ２スイッチの構成に加えて、レイヤ３中継するためのパケット中継部を備える点が異なる。
図３は、本発明の一実施例におけるネットワーク装置の構成を示す説明図である。
本実施例においてレイヤ２スイッチＳ２０、Ｓ４０も同様の構成を備えるが、ここではレイヤ２スイッチＳ３０を例として説明する。なお、レイヤ３スイッチＳ１０はレイヤ２スイッチの構成に加えて、レイヤ３中継するためのパケット中継部を備える点が異なる。
レイヤ２スイッチＳ３０は、他のネットワーク装置等と通信するための複数のポート（図３のＰ３１、Ｐ３２、Ｐ３３…）を備える。レイヤ２スイッチＳ３０は、ポートで受信したレイヤ２フレームをＶＬＡＮ（Ｖｉｒｔｕａｌ ＬＡＮ）、ＦＤＢ、およびフィルタ機能に従い、レイヤ２中継するためのフレーム転送部を備える。また、本実施例のレイヤ２スイッチＳ３０は、さらに、フィルタでフレームを廃棄したことをユーザに通知するために遮断メッセージを応答する遮断メッセージ応答部Ｑ１０を備えることを特徴とする。本実施例ではメッセージ応答部Ｑ１０は、レイヤ２中継するＨＴＴＰ（ＨｙｐｅｒＴｅｘｔ Ｔｒａｎｓｆｅｒ Ｐｒｏｃｏｔｏｌ）のＧＥＴリクエストをスヌーピングし、応答として通信が遮断されていることを伝えるためのＨＴＭＬ（ＨｙｐｅｒＴｅｘｔ Ｍａｒｋｕｐ Ｌａｎｇｕａｇｅ）コンテンツをユーザに送信するが、ユーザへ通信が遮断されていることの通知はどのような手段を用いてもよい。
[１．４ テーブルの内容]
各テーブルの内容について、次に説明する。
図４を用いてＡＲＰ情報を説明する。ＡＲＰ情報Ｔ１０は、コントローラＣ１０が管理対象のネットワーク装置（すなわちレイヤ３スイッチＳ１０、レイヤ２スイッチＳ２０、レイヤ２スイッチＳ３０、レイヤ２スイッチＳ４０）から収集したＡＲＰ情報を元に生成され、収集元の装置を識別するＩＤ（ＩＤｅｎｔｉｆｉｅｒ）である装置Ｌ１１、ＩＰアドレスＬ１２、ＭＡＣアドレスＬ１３、出力先インタフェースＬ１４で構成される。本実施例では、レイヤ３スイッチＳ１０でのみＡＲＰ学習をするため、装置Ｌ１１はＳ１０が格納される。ユーザＡ端末Ｕ１０はＩＰアドレス ＩＰ−ＡとＭＡＣアドレス ＭＡＣ−Ａを備え、ＶＬＡＮ１０に所属しているため、装置Ｌ１１がＳ１０、ＩＰアドレスＬ１２がＩＰ−Ａ、ＭＡＣアドレスＬ１３がＭＡＣ−Ａ、出力先インタフェースがＶＬＡＮ１０のエントリとして格納する。ユーザＢ端末Ｕ２０は、装置Ｌ１１がＳ１０、ＩＰアドレスＬ１２がＩＰ−Ｂ、ＭＡＣアドレスＬ１３がＭＡＣ−Ｂ、出力先インタフェースがＶＬＡＮ２０のエントリとして格納する。ユーザＣ端末Ｕ３０は、装置Ｌ１１がＳ１０、ＩＰアドレスＬ１２がＩＰ−Ｃ、ＭＡＣアドレスＬ１３がＭＡＣ−Ｃ、出力先インタフェースがＶＬＡＮ１０のエントリとして格納する。ユーザＤ端末Ｕ４０は、装置Ｌ１１がＳ１０、ＩＰアドレスＬ１２がＩＰ−Ｄ、ＭＡＣアドレスＬ１３がＭＡＣ−Ｄ、出力先インタフェースがＶＬＡＮ１０のエントリとして格納している。
各テーブルの内容について、次に説明する。
図４を用いてＡＲＰ情報を説明する。ＡＲＰ情報Ｔ１０は、コントローラＣ１０が管理対象のネットワーク装置（すなわちレイヤ３スイッチＳ１０、レイヤ２スイッチＳ２０、レイヤ２スイッチＳ３０、レイヤ２スイッチＳ４０）から収集したＡＲＰ情報を元に生成され、収集元の装置を識別するＩＤ（ＩＤｅｎｔｉｆｉｅｒ）である装置Ｌ１１、ＩＰアドレスＬ１２、ＭＡＣアドレスＬ１３、出力先インタフェースＬ１４で構成される。本実施例では、レイヤ３スイッチＳ１０でのみＡＲＰ学習をするため、装置Ｌ１１はＳ１０が格納される。ユーザＡ端末Ｕ１０はＩＰアドレス ＩＰ−ＡとＭＡＣアドレス ＭＡＣ−Ａを備え、ＶＬＡＮ１０に所属しているため、装置Ｌ１１がＳ１０、ＩＰアドレスＬ１２がＩＰ−Ａ、ＭＡＣアドレスＬ１３がＭＡＣ−Ａ、出力先インタフェースがＶＬＡＮ１０のエントリとして格納する。ユーザＢ端末Ｕ２０は、装置Ｌ１１がＳ１０、ＩＰアドレスＬ１２がＩＰ−Ｂ、ＭＡＣアドレスＬ１３がＭＡＣ−Ｂ、出力先インタフェースがＶＬＡＮ２０のエントリとして格納する。ユーザＣ端末Ｕ３０は、装置Ｌ１１がＳ１０、ＩＰアドレスＬ１２がＩＰ−Ｃ、ＭＡＣアドレスＬ１３がＭＡＣ−Ｃ、出力先インタフェースがＶＬＡＮ１０のエントリとして格納する。ユーザＤ端末Ｕ４０は、装置Ｌ１１がＳ１０、ＩＰアドレスＬ１２がＩＰ−Ｄ、ＭＡＣアドレスＬ１３がＭＡＣ−Ｄ、出力先インタフェースがＶＬＡＮ１０のエントリとして格納している。
図５を用いてＦＤＢ情報を説明する。
ＦＤＢ情報Ｔ２０は、コントローラＣ１０が管理対象のネットワーク装置から収集したＦＤＢ情報を元に生成され、装置Ｌ２１、ＭＡＣアドレスＬ２２、学習インタフェースＬ２３、学習ポートＬ２４で構成される。本実施例では、ＶＬＡＮ１０がレイヤ３スイッチのポートＰ１４、Ｐ１５、レイヤ２スイッチＳ２０のポートＰ２１、Ｐ２２、Ｐ２３、レイヤ２スイッチＳ３０のポートＰ３１、Ｐ３２、レイヤ２スイッチＳ４０のポートＰ４１、Ｐ４２、Ｐ４３で構成されているとして説明する。ユーザＡ端末Ｕ１０のＭＡＣ−Ａはレイヤ３スイッチＳ１０のポートＰ１４、レイヤ２スイッチＳ２０のポートＰ２２、レイヤ２スイッチＳ３０のポートＰ３２で学習する。その結果、装置Ｌ２１がＳ１０、ＭＡＣアドレスＬ２２がＭＡＣ−Ａ、学習インタフェースＬ２３がＶＬＡＮ１０、学習ポートＬ２４がＰ１４のエントリと、装置Ｌ２１がＳ２０、ＭＡＣアドレスＬ２２がＭＡＣ−Ａ、学習インタフェースＬ２３がＶＬＡＮ１０、学習ポートＬ２４がＰ２２のエントリと、装置Ｌ２１がＳ３０、ＭＡＣアドレスＬ２２がＭＡＣ−Ａ、学習インタフェースＬ２３がＶＬＡＮ１０、学習ポートＬ２４がＰ３２のエントリを格納する。
ＦＤＢ情報Ｔ２０は、コントローラＣ１０が管理対象のネットワーク装置から収集したＦＤＢ情報を元に生成され、装置Ｌ２１、ＭＡＣアドレスＬ２２、学習インタフェースＬ２３、学習ポートＬ２４で構成される。本実施例では、ＶＬＡＮ１０がレイヤ３スイッチのポートＰ１４、Ｐ１５、レイヤ２スイッチＳ２０のポートＰ２１、Ｐ２２、Ｐ２３、レイヤ２スイッチＳ３０のポートＰ３１、Ｐ３２、レイヤ２スイッチＳ４０のポートＰ４１、Ｐ４２、Ｐ４３で構成されているとして説明する。ユーザＡ端末Ｕ１０のＭＡＣ−Ａはレイヤ３スイッチＳ１０のポートＰ１４、レイヤ２スイッチＳ２０のポートＰ２２、レイヤ２スイッチＳ３０のポートＰ３２で学習する。その結果、装置Ｌ２１がＳ１０、ＭＡＣアドレスＬ２２がＭＡＣ−Ａ、学習インタフェースＬ２３がＶＬＡＮ１０、学習ポートＬ２４がＰ１４のエントリと、装置Ｌ２１がＳ２０、ＭＡＣアドレスＬ２２がＭＡＣ−Ａ、学習インタフェースＬ２３がＶＬＡＮ１０、学習ポートＬ２４がＰ２２のエントリと、装置Ｌ２１がＳ３０、ＭＡＣアドレスＬ２２がＭＡＣ−Ａ、学習インタフェースＬ２３がＶＬＡＮ１０、学習ポートＬ２４がＰ３２のエントリを格納する。
同様にユーザＣ端末Ｕ３０のＭＡＣ−Ｃについては、装置Ｌ２１がＳ１０、ＭＡＣアドレスＬ２２がＭＡＣ−Ｃ、学習インタフェースＬ２３がＶＬＡＮ１０、学習ポートＬ２４がＰ１４のエントリと、装置Ｌ２１がＳ２０、ＭＡＣアドレスＬ２２がＭＡＣ−Ｃ、学習インタフェースＬ２３がＶＬＡＮ１０、学習ポートＬ２４がＰ２３のエントリを格納する。
ユーザＤ端末Ｕ４０のＭＡＣ−Ｄについては、装置Ｌ２１がＳ１０、ＭＡＣアドレスＬ２２がＭＡＣ−Ｄ、学習インタフェースＬ２３がＶＬＡＮ１０、学習ポートＬ２４がＰ１５のエントリと、装置Ｌ２１がＳ４０、ＭＡＣアドレスＬ２２がＭＡＣ−Ｄ、学習インタフェースＬ２３がＶＬＡＮ１０、学習ポートＬ２４がＰ４２のエントリを格納している。
ユーザＤ端末Ｕ４０のＭＡＣ−Ｄについては、装置Ｌ２１がＳ１０、ＭＡＣアドレスＬ２２がＭＡＣ−Ｄ、学習インタフェースＬ２３がＶＬＡＮ１０、学習ポートＬ２４がＰ１５のエントリと、装置Ｌ２１がＳ４０、ＭＡＣアドレスＬ２２がＭＡＣ−Ｄ、学習インタフェースＬ２３がＶＬＡＮ１０、学習ポートＬ２４がＰ４２のエントリを格納している。
また、ＶＬＡＮ２０がレイヤ３スイッチのポートＰ１４、レイヤ２スイッチＳ２０のポートＰ２１、Ｐ２２、レイヤ２スイッチＳ３０のポートＰ３３で構成されているとすると、ユーザＢ端末Ｕ２０のＭＡＣ−Ｂはレイヤ３スイッチＳ１０のポートＰ１４、レイヤ２スイッチＳ２０のポートＰ２２、レイヤ２スイッチＳ３０のポートＰ３３で学習する。その結果、装置Ｌ２１がＳ１０、ＭＡＣアドレスＬ２２がＭＡＣ−Ｂ、学習インタフェースＬ２３がＶＬＡＮ２０、学習ポートＬ２４がＰ１４のエントリと、装置Ｌ２１がＳ２０、ＭＡＣアドレスＬ２２がＭＡＣ−Ｂ、学習インタフェースＬ２３がＶＬＡＮ２０、学習ポートＬ２４がＰ２２のエントリと、装置Ｌ２１がＳ３０、ＭＡＣアドレスＬ２２がＭＡＣ−Ｂ、学習インタフェースＬ２３がＶＬＡＮ２０、学習ポートＬ２４がＰ３３のエントリを格納している。
次に、図６を用いてＬＬＤＰ情報を説明する。
ＬＬＤＰ情報Ｔ３０は、コントローラＣ１０が管理対象のネットワーク装置から収集したＬＬＤＰ情報を元に生成され、装置Ｌ３１、受信ポートＬ３２、対向装置Ｌ３３、接続先ポートＬ３４で構成される。本実施例では、すべてのネットワーク装置がＬＬＤＰ機能を有効にしており、隣接ネットワーク装置にＬＬＤＰの制御フレームを送信しているとして説明する。レイヤ３スイッチＳ１０はレイヤ２スイッチＳ２０とレイヤ２スイッチＳ４０から、レイヤ２スイッチＳ２０はレイヤ３スイッチＳ１０とレイヤ２スイッチＳ３０から、レイヤ２スイッチＳ３０はレイヤ２スイッチＳ２０から、レイヤ２スイッチＳ４０はレイヤ３スイッチＳ１０からＬＬＤＰの制御フレームを受信する。
ＬＬＤＰ情報Ｔ３０は、コントローラＣ１０が管理対象のネットワーク装置から収集したＬＬＤＰ情報を元に生成され、装置Ｌ３１、受信ポートＬ３２、対向装置Ｌ３３、接続先ポートＬ３４で構成される。本実施例では、すべてのネットワーク装置がＬＬＤＰ機能を有効にしており、隣接ネットワーク装置にＬＬＤＰの制御フレームを送信しているとして説明する。レイヤ３スイッチＳ１０はレイヤ２スイッチＳ２０とレイヤ２スイッチＳ４０から、レイヤ２スイッチＳ２０はレイヤ３スイッチＳ１０とレイヤ２スイッチＳ３０から、レイヤ２スイッチＳ３０はレイヤ２スイッチＳ２０から、レイヤ２スイッチＳ４０はレイヤ３スイッチＳ１０からＬＬＤＰの制御フレームを受信する。
コントローラＣ１０が管理対象のネットワーク装置から収集したＬＬＤＰ情報を元にＬＬＤＰ情報Ｔ３０を生成した結果が図６であり、装置Ｌ３１がＳ１０、受信ポートＬ３２がＰ１４、対向装置Ｌ３３がＳ２０、接続先ポートＬ３４がＰ２１のエントリと、装置Ｌ３１がＳ１０、受信ポートＬ３２がＰ１５、対向装置Ｌ３３がＳ４０、接続先ポートＬ３４がＰ４１のエントリと、装置Ｌ３１がＳ２０、受信ポートＬ３２がＰ２１、対向装置Ｌ３３がＳ１０、接続先ポートＬ３４がＰ１４のエントリと、装置Ｌ３１がＳ２０、受信ポートＬ３２がＰ２２、対向装置Ｌ３３がＳ３０、接続先ポートＬ３４がＰ３１のエントリと、装置Ｌ３１がＳ３０、受信ポートＬ３２がＰ３１、対向装置Ｌ３３がＳ２０、接続先ポートＬ３４がＰ２２のエントリと、装置Ｌ３１がＳ４０、受信ポートＬ３２がＰ４１、対向装置Ｌ３３がＳ１０、接続先ポートＬ３４がＰ１５のエントリを格納している。
図４、図５、図６で説明した各情報テーブルは、コントローラＣ１０の装置情報収集部Ｍ５１が定期的に管理対象のネットワーク装置（つまりレイヤ３スイッチＳ１０、レイヤ２スイッチＳ２０、レイヤ２スイッチＳ３０、レイヤ２スイッチＳ４０）からＳＮＭＰ（Ｓｉｍｐｌｅ Ｎｅｔｗｏｒｋ Ｍａｎａｇｅｍｅｎｔ Ｐｒｏｔｏｃｏｌ）などの手段を用いて情報収集、および更新を実施する。
[１．５ 攻撃を検知した場合の通信遮断動作]
図７は、本発明の一実施例におけるネットワーク管理サーバの通信遮断動作を示すシーケンス図である。
図７は、ユーザＡ端末Ｕ１０が標的型サイバー攻撃を受け、感染したユーザＡ端末Ｕ１０が不正プログラムによる通信を開始し、この不審な通信を振る舞い検知装置Ｓ６０で攻撃として検知し、通信の遮断をコントローラＣ１０に指示するまでの処理の流れを示している。
図７は、本発明の一実施例におけるネットワーク管理サーバの通信遮断動作を示すシーケンス図である。
図７は、ユーザＡ端末Ｕ１０が標的型サイバー攻撃を受け、感染したユーザＡ端末Ｕ１０が不正プログラムによる通信を開始し、この不審な通信を振る舞い検知装置Ｓ６０で攻撃として検知し、通信の遮断をコントローラＣ１０に指示するまでの処理の流れを示している。
ユーザＡ端末Ｕ１０に感染した不正プログラムは、攻撃のためにインターネット上にあるＣ＆ＣサーバＳ７０と通信を行う（Ｍ１０）。通信の中継地点であるレイヤ２スイッチＳ３０は、通信を振る舞い検知装置Ｓ６０にミラーリングする（Ｍ２０）。本実施例では振る舞い検知装置Ｓ６０はネットワーク装置に接続された外部装置として配置しているため通信をミラーリングしているが、ネットワーク装置自体が振る舞い検知機能を備えていてもよく、機能の実装位置は限定しない。ミラーリングされた通信を解析し、ユーザＡ端末Ｕ１０が不正プログラムに感染していることを検出した振る舞い検知装置Ｓ６０は、ユーザＡ端末Ｕ１０のＩＰアドレスであるＩＰ−Ａの通信を遮断するよう、コントローラＣ１０に指示を出す（Ｍ３０）。振る舞い検知装置Ｓ６０からの通信遮断指示Ｍ３０を受信したコントローラＣ１０は、ネットワーク装置から収集した情報に基づいて、通信遮断設定を設定する対象のネットワーク装置を特定する（Ｆ１０）。
図８はネットワーク装置を特定する処理（Ｆ１０）の詳細を示すフローチャート図である。
振る舞い検知装置Ｓ６０から、ユーザＡ端末Ｕ１０のＩＰアドレスであるＩＰ−Ａの通信遮断指示Ｍ３０を設定指示受信部Ｍ５２で受信（Ｆ１１）したコントローラＣ１０は、トポロジ計算部Ｍ５３でＡＲＰ情報テーブルＴ１０、ＦＤＢ情報テーブルＴ２０を組み合わせて通信遮断のためのフィルタ設定を行うネットワーク装置を絞り込むための情報テーブルを作成する。ＡＲＰ情報Ｔ１０のＭＡＣアドレスＬ１３とＦＤＢ情報テーブルＴ２０のＭＡＣアドレスＬ２２の値が同じ、かつＡＲＰ情報Ｔ１０の出力先インタフェースＬ１４とＦＤＢ情報Ｔ２０の学習インタフェースＬ２３の値が同じものを組み合わせることで図９のフィルタ設定対象装置絞り込み情報テーブルＴ４０を作成する。
振る舞い検知装置Ｓ６０から、ユーザＡ端末Ｕ１０のＩＰアドレスであるＩＰ−Ａの通信遮断指示Ｍ３０を設定指示受信部Ｍ５２で受信（Ｆ１１）したコントローラＣ１０は、トポロジ計算部Ｍ５３でＡＲＰ情報テーブルＴ１０、ＦＤＢ情報テーブルＴ２０を組み合わせて通信遮断のためのフィルタ設定を行うネットワーク装置を絞り込むための情報テーブルを作成する。ＡＲＰ情報Ｔ１０のＭＡＣアドレスＬ１３とＦＤＢ情報テーブルＴ２０のＭＡＣアドレスＬ２２の値が同じ、かつＡＲＰ情報Ｔ１０の出力先インタフェースＬ１４とＦＤＢ情報Ｔ２０の学習インタフェースＬ２３の値が同じものを組み合わせることで図９のフィルタ設定対象装置絞り込み情報テーブルＴ４０を作成する。
図９のフィルタ設定対象装置絞り込み情報テーブルＴ４０は、装置Ｌ４１、ＩＰアドレスＬ４２、ＭＡＣアドレスＬ４３、学習インタフェースＬ４４、学習ポートＬ４５を備える。ここで、ＩＰアドレスＬ４２の値がＩＰ−Ａであるものを絞り込むと、フィルタ適用先候補であるエントリＫ１０、エントリＫ２０、エントリＫ３０を抽出することができる。しかし、エントリＫ３０の示すレイヤ２スイッチＳ４０にフィルタを設定すると、エントリＫ１０、エントリＫ２０の示すネットワーク装置に設定したフィルタは使用されない無駄なフィルタとなる。また、レイヤ３スイッチＳ１０、レイヤ２スイッチＳ２０にフィルタを設定しても、レイヤ２スイッチＳ３０のポート間の通信が可能なため、不正プログラムがユーザＢ端末Ｕ２０に感染することが可能となる。
この問題を解決するためにＡＲＰ情報Ｔ１０、ＦＤＢ情報Ｔ２０だけではなく、さらにＬＬＤＰ情報Ｔ３０も組み合わせて情報テーブルを作成する。ＡＲＰ情報Ｔ１０のＭＡＣアドレスＬ１３とＦＤＢ情報テーブルＴ２０のＭＡＣアドレスＬ２２の値が同じ、かつＡＲＰ情報Ｔ１０の出力先インタフェースＬ１４とＦＤＢ情報Ｔ２０の学習インタフェースＬ２３の値が同じ、かつＦＤＢ情報Ｔ２０の学習ポートＬ２４とＬＬＤＰ情報Ｔ３０の受信ポートＬ３２が同じものを組み合わせることで図１０のフィルタ設定対象装置特定情報テーブルＴ５０を作成する（Ｆ１２）。
なお、本実施例では情報テーブルＴ５０は振る舞い検知装置Ｓ６０からの通信遮断指示を受信した契機で作成しているが、各情報テーブルＴ１０、Ｔ２０、Ｔ３０を更新する契機で作成してもよい。
図１０のフィルタ設定対象装置特定情報テーブルＴ５０は、装置Ｌ５１、ＩＰアドレスＬ５２、ＭＡＣアドレスＬ５３、学習インタフェースＬ５４、学習ポートＬ５５、対向装置Ｌ５６を備える。ここで、ＩＰアドレスＬ５２の値がＩＰ−Ａであり、かつ対向装置がネットワーク装置ではないエントリを絞り込むと、エントリＫ４０を抽出することができる（Ｆ１３）。フィルタ設定対象装置特定情報テーブルＴ５０からエントリが抽出できなかった場合、各情報テーブルの更新を待って再度トポロジ計算部でフィルタ設定対象装置特定情報テーブルＴ５０からエントリが抽出できるまで繰り返す（Ｆ１４）。コントローラＣ１０の装置設定制御部Ｍ５４はこのエントリＫ４０の示すレイヤ２スイッチＳ３０にフィルタを設定する（Ｆ１５）。なお、本実施例ではＬＬＤＰを用いて隣接装置がネットワーク装置か否かの判定を行っているが手段は限定しない。
図７に戻り、設定先装置を特定したコントローラＣ１０は、さらに、レイヤ２スイッチＳ３０にフィルタ設定により通信を遮断したことをユーザに通知するための設定を実施する（Ｍ４０）。通信が遮断されたことによって外部と通信することができなくなったユーザＡ端末Ｕ１０の利用者はインターネットないしネットワークとの接続確認のためにＷｅｂブラウザからＷｅｂアクセスを試みる（Ｍ５０）。Ｗｅｂアクセスを受けたレイヤ２スイッチはフィルタでユーザＡ端末Ｕ１０からの通信を廃棄するとともに、遮断メッセージ応答部Ｑ１０から通信が遮断されていることをユーザＡ端末Ｕ１０の利用者に教えるための遮断メッセージをＷｅｂアクセスの応答として送信する（Ｍ６０）。遮断メッセージがＷｅｂブラウザに表示されたユーザは、利用しているユーザ端末が不正プログラムに感染していることに利用者自身もいち早く気づき、情報システム管理者と連携して被害範囲の最小化が可能となる。なお、本実施例ではレイヤ２スイッチが遮断メッセージ応答部Ｑ１０を備えているが、サーバ上で動作するプログラムとして実装してもよく、実装位置は限定しない。
[１．６ 実施例効果]
以上、説明した第一の実施例のネットワークシステムでは、不正プログラムに感染したユーザ端末の通信遮断を最少のフィルタ数で実現することができる。また、ユーザのＷｅｂブラウザに遮断メッセージを表示することで不正プログラムへの感染を早期に気付かせることが可能となる。
以上、説明した第一の実施例のネットワークシステムでは、不正プログラムに感染したユーザ端末の通信遮断を最少のフィルタ数で実現することができる。また、ユーザのＷｅｂブラウザに遮断メッセージを表示することで不正プログラムへの感染を早期に気付かせることが可能となる。
次に、第二の実施例について説明する。
図１に示したネットワーク構成において、さらに、レイヤ２スイッチとユーザ端末間にハブを設け、ハブに複数のユーザ端末を収容し、ハブがレイヤ２スイッチのポートに接続されるネットワーク構成を例として考える。このようなネットワーク構成においては、不正プログラムに感染した端末の通信を遮断し感染した端末以外の通信を継続するために、レイヤ２スイッチのフィルタに通信を遮断する端末のＩＰアドレスまたはＭＡＣアドレスを設定することが考えられる。通信を遮断する端末のＩＰアドレスまたはＭＡＣアドレスがフィルタに設定された場合、不正プログラムに感染した端末の利用者がその端末を別のレイヤ２スイッチのポートに接続すると、通信を継続することが可能となってしまう。
第二の実施例は、不正プログラムに感染した端末が、持ち運ばれるなどして別のレイヤ２スイッチのポートに接続された場合にも、移動を検知し、通信遮断を実現する実施例である。
図１に示したネットワーク構成において、さらに、レイヤ２スイッチとユーザ端末間にハブを設け、ハブに複数のユーザ端末を収容し、ハブがレイヤ２スイッチのポートに接続されるネットワーク構成を例として考える。このようなネットワーク構成においては、不正プログラムに感染した端末の通信を遮断し感染した端末以外の通信を継続するために、レイヤ２スイッチのフィルタに通信を遮断する端末のＩＰアドレスまたはＭＡＣアドレスを設定することが考えられる。通信を遮断する端末のＩＰアドレスまたはＭＡＣアドレスがフィルタに設定された場合、不正プログラムに感染した端末の利用者がその端末を別のレイヤ２スイッチのポートに接続すると、通信を継続することが可能となってしまう。
第二の実施例は、不正プログラムに感染した端末が、持ち運ばれるなどして別のレイヤ２スイッチのポートに接続された場合にも、移動を検知し、通信遮断を実現する実施例である。
本実施例では、通信を遮断した対象の端末が別のレイヤ２スイッチのポートに接続されたことをネットワーク管理サーバのコントローラが検知し、移動先のポートに通信を遮断するフィルタを設定する技術について、以下の順序で説明する。
２．１ ネットワーク管理サーバの構成
２．２ テーブルの内容
２．３ ポート移動監視情報の格納
２．４ ポート移動を検知した場合の通信遮断動作
２．５ 実施例効果
[２．１ ネットワーク管理サーバの構成]
図１１は本発明の第二の実施例におけるネットワーク管理サーバの構成を説明する図である。
図１１のネットワーク管理サーバＳ５１は、第一の実施例で説明したネットワーク管理サーバＳ５０の構成に加えて、ポート移動検出部Ｍ１００と、ポート移動監視情報Ｔ１００を備える。ポート移動検出部Ｍ１００は、通信遮断対象のポート移動を検出するモジュールである。ポート移動監視情報Ｔ１００は、ポート移動を監視するための情報を格納するテーブルである。ポート移動監視情報Ｔ１００のテーブルの内容は図１２で後述する。
２．１ ネットワーク管理サーバの構成
２．２ テーブルの内容
２．３ ポート移動監視情報の格納
２．４ ポート移動を検知した場合の通信遮断動作
２．５ 実施例効果
[２．１ ネットワーク管理サーバの構成]
図１１は本発明の第二の実施例におけるネットワーク管理サーバの構成を説明する図である。
図１１のネットワーク管理サーバＳ５１は、第一の実施例で説明したネットワーク管理サーバＳ５０の構成に加えて、ポート移動検出部Ｍ１００と、ポート移動監視情報Ｔ１００を備える。ポート移動検出部Ｍ１００は、通信遮断対象のポート移動を検出するモジュールである。ポート移動監視情報Ｔ１００は、ポート移動を監視するための情報を格納するテーブルである。ポート移動監視情報Ｔ１００のテーブルの内容は図１２で後述する。
[２．２ テーブルの内容]
図１２は、ポート移動監視情報を説明する図である。
ポート移動監視情報Ｔ１００は、通信を遮断した端末のポート移動を監視するための情報であり、装置Ｌ１０１、ＭＡＣアドレスＬ１０２、学習インタフェースＬ１０３、学習ポートＬ１０４を格納する。
図１２には、第一の実施例に従い、ＩＰ−Ａの通信を遮断している場合を例にとって、格納する情報を示す。図１２の例では、ポート移動監視情報Ｔ１００は、装置Ｌ１０１が装置Ｓ３０、ＭＡＣアドレスＬ１０２がＭＡＣ−Ａ、学習インタフェースＬ１０３がＶＬＡＮ１０、学習ポートＬ１０４がポートＰ３２のエントリを格納している。
図１２は、ポート移動監視情報を説明する図である。
ポート移動監視情報Ｔ１００は、通信を遮断した端末のポート移動を監視するための情報であり、装置Ｌ１０１、ＭＡＣアドレスＬ１０２、学習インタフェースＬ１０３、学習ポートＬ１０４を格納する。
図１２には、第一の実施例に従い、ＩＰ−Ａの通信を遮断している場合を例にとって、格納する情報を示す。図１２の例では、ポート移動監視情報Ｔ１００は、装置Ｌ１０１が装置Ｓ３０、ＭＡＣアドレスＬ１０２がＭＡＣ−Ａ、学習インタフェースＬ１０３がＶＬＡＮ１０、学習ポートＬ１０４がポートＰ３２のエントリを格納している。
図１３に、第２の実施例におけるＦＤＢ情報テーブルを示す。
コントローラＣ１１の装置情報収集部Ｍ５１は、定期的に管理対象のネットワーク装置から情報収集し各テーブルを更新する。装置情報収集部Ｍ５１は、レイヤ２スイッチＳ３０のポートＰ３２のリンクダウンを検出すると、装置Ｌ２１がＳ３０、ＭＡＣアドレスＬ２２がＭＡＣ−Ａ、学習インタフェースＬ２３がＶＬＡＮ１０、学習ポートＬ２４がＰ３２のエントリＫ５０を破棄する。また、レイヤ２スイッチＳ４０にユーザＡ端末Ｕ１０が接続されてポートＰ４３がリンクアップしたことを検出し、装置Ｌ２１がＳ４０、ＭＡＣアドレスＬ２２がＭＡＣ−Ａ、学習インタフェースＬ２３がＶＬＡＮ１０、学習ポートＬ２４がＰ４３のエントリＫ６０を学習し格納する。
コントローラＣ１１の装置情報収集部Ｍ５１は、定期的に管理対象のネットワーク装置から情報収集し各テーブルを更新する。装置情報収集部Ｍ５１は、レイヤ２スイッチＳ３０のポートＰ３２のリンクダウンを検出すると、装置Ｌ２１がＳ３０、ＭＡＣアドレスＬ２２がＭＡＣ−Ａ、学習インタフェースＬ２３がＶＬＡＮ１０、学習ポートＬ２４がＰ３２のエントリＫ５０を破棄する。また、レイヤ２スイッチＳ４０にユーザＡ端末Ｕ１０が接続されてポートＰ４３がリンクアップしたことを検出し、装置Ｌ２１がＳ４０、ＭＡＣアドレスＬ２２がＭＡＣ−Ａ、学習インタフェースＬ２３がＶＬＡＮ１０、学習ポートＬ２４がＰ４３のエントリＫ６０を学習し格納する。
[２．３ ポート移動監視情報の格納]
図１４は、本発明の第二の実施例におけるネットワーク装置の特定および監視対象の情報を監視情報Ｔ１００に格納する処理（Ｆ１４０）を示すフローチャートである。
第一の実施例において攻撃を検知し通信遮断動作を行う処理に加えて、さらに、通信遮断対象のＦＤＢ情報（ＦＤＢエントリ）を監視情報Ｔ１００に格納する（Ｆ２１）処理を有する点が第一の実施例のフローチャート（図８）との差である。
図１４は、本発明の第二の実施例におけるネットワーク装置の特定および監視対象の情報を監視情報Ｔ１００に格納する処理（Ｆ１４０）を示すフローチャートである。
第一の実施例において攻撃を検知し通信遮断動作を行う処理に加えて、さらに、通信遮断対象のＦＤＢ情報（ＦＤＢエントリ）を監視情報Ｔ１００に格納する（Ｆ２１）処理を有する点が第一の実施例のフローチャート（図８）との差である。
[２．４ ポート移動を検知した場合の通信遮断動作]
図１５は、本発明の第二の実施例において、ポート移動を検知し移動後のポートに通信の遮断設定をする処理（１５０）を示すフローチャートである。
図１５は、本発明の第二の実施例において、ポート移動を検知し移動後のポートに通信の遮断設定をする処理（１５０）を示すフローチャートである。
コントローラＣ１１のポート移動検出部Ｍ１００は、定期的（Ｆ１０１）にポート移動監視情報Ｔ１００に登録されたＦＤＢエントリに該当するエントリがＦＤＢ情報テーブルＴ２０に存在するかを確認する（Ｆ１０２）。該当するＦＤＢエントリがＦＤＢ情報テーブルＴ２０に存在する場合、処理を終了する。該当するＦＤＢエントリがＦＤＢ情報テーブルＴ２０に存在しない場合、図８におけるＦ１２〜Ｆ１５を実施し、移動後のポートに通信の遮断設定を実施する（Ｆ１０３）。本実施例では、ポート移動監視情報Ｔ１００として、図１２に示すように装置Ｌ１０１がＳ３０、ＭＡＣアドレスＬ１０２がＭＡＣ−Ａ、学習インタフェースＬ１０３がＶＬＡＮ１０、学習ポートＬ１０４がＰ３２のエントリが登録されている。ポート移動検出部Ｍ１００は、この監視対象のエントリに該当するＦＤＢ情報テーブルＴ２０のエントリＫ５０がＦＤＢ情報テーブルに存在するかどうかを確認する処理（Ｆ１０２）により、監視対象の端末の移動を監視する。ポート移動検出部Ｍ１００は、監視対象のエントリに該当するＦＤＢ情報が、ＦＤＢ情報テーブルに存在しなくなったことでポートの移動を検出している。また、ポートの移動を検出後に再度通信の遮断設定を実施することにより通信の遮断が可能となる。
なお、レイヤ３スイッチの代わりにルータで構成されるネットワークのように、ＦＤＢ情報を学習できないネットワーク装置に直接ユーザ端末がつながっている場合は、ポートのダウンをポートの移動検出に用いてもよい。また、ポートの移動検出処理は、定期的に行う他、予め決めたタイミングや、サーバの管理者の指示により行ってもよい。
[２．５ 実施例効果]
以上、説明した第二の実施例では、不正プログラムに感染したユーザ端末が通信を遮断されたのちに移動し、別のレイヤ２スイッチの別のポートに接続して通信を再開させようとしても、ポート移動を検知して再度通信の遮断設定を実施することが可能となる。
以上、説明した第二の実施例では、不正プログラムに感染したユーザ端末が通信を遮断されたのちに移動し、別のレイヤ２スイッチの別のポートに接続して通信を再開させようとしても、ポート移動を検知して再度通信の遮断設定を実施することが可能となる。
次に、第三の実施例について説明する。
第三の実施例は、不正プログラムに感染した端末のIＰアドレスが変更された場合にも、通信遮断を実現する実施例である。
第二の実施例で例として挙げたように、レイヤ２スイッチのフィルタに通信を遮断する端末のＩＰアドレスが設定された場合、不正プログラムに感染した端末のＩＰアドレスが変更されると、通信を継続することが可能となってしまう。
第三の実施例は、不正プログラムに感染した端末のIＰアドレスが変更された場合にも、通信遮断を実現する実施例である。
第二の実施例で例として挙げたように、レイヤ２スイッチのフィルタに通信を遮断する端末のＩＰアドレスが設定された場合、不正プログラムに感染した端末のＩＰアドレスが変更されると、通信を継続することが可能となってしまう。
そこで、本実施例では、通信を遮断した対象の端末のＩＰアドレスが変更されたことをネットワーク管理サーバのコントローラが検知し、変更後のＩＰアドレスに対して通信を遮断する設定を実施する構成について、以下の順序で説明する。
３．１ ネットワーク管理サーバの構成
３．２ テーブルの内容
３．３ ＩＰアドレス変更監視情報の格納
３．４ ＩＰアドレスの変更を検知した場合の通信遮断動作
３．５ 実施例効果
[３．１ ネットワーク管理サーバの構成]
図１６は本発明の第三実施例としてのネットワーク管理サーバＳ５２の構成を説明する図である。ネットワーク管理サーバＳ５２は、図２に示した第一の実施例のネットワーク管理サーバＳ５０の構成に加えて、ＩＰ変更検出部Ｍ２００と、ＩＰ変更監視情報Ｔ２００を備える。ＩＰ変更検出部Ｍ２００は、通信遮断対象の端末のＩＰアドレス変更を検出するモジュールである。ＩＰ変更監視情報Ｔ２００は、ＩＰアドレスの変更を監視するための情報を格納するテーブルである。ＩＰ変更監視情報Ｔ２００のテーブルの内容は図１７で後述する。
３．１ ネットワーク管理サーバの構成
３．２ テーブルの内容
３．３ ＩＰアドレス変更監視情報の格納
３．４ ＩＰアドレスの変更を検知した場合の通信遮断動作
３．５ 実施例効果
[３．１ ネットワーク管理サーバの構成]
図１６は本発明の第三実施例としてのネットワーク管理サーバＳ５２の構成を説明する図である。ネットワーク管理サーバＳ５２は、図２に示した第一の実施例のネットワーク管理サーバＳ５０の構成に加えて、ＩＰ変更検出部Ｍ２００と、ＩＰ変更監視情報Ｔ２００を備える。ＩＰ変更検出部Ｍ２００は、通信遮断対象の端末のＩＰアドレス変更を検出するモジュールである。ＩＰ変更監視情報Ｔ２００は、ＩＰアドレスの変更を監視するための情報を格納するテーブルである。ＩＰ変更監視情報Ｔ２００のテーブルの内容は図１７で後述する。
[３．２ テーブルの内容]
図１７のＩＰ変更監視情報Ｔ２００は、通信を遮断した端末のＩＰアドレスの変更を監視するための情報を格納するテーブルであり、ＩＰアドレスＬ２０１、ＭＡＣアドレスＬ２０２を格納する。図１７には、第一の実施例において通信を遮断したＩＰ−Ａに対応する情報を格納する例を示しており、ＩＰアドレスＬ２０１がＩＰ−Ａ、ＭＡＣアドレスＬ２０２がＭＡＣ−Ａのエントリを格納している。
図１７のＩＰ変更監視情報Ｔ２００は、通信を遮断した端末のＩＰアドレスの変更を監視するための情報を格納するテーブルであり、ＩＰアドレスＬ２０１、ＭＡＣアドレスＬ２０２を格納する。図１７には、第一の実施例において通信を遮断したＩＰ−Ａに対応する情報を格納する例を示しており、ＩＰアドレスＬ２０１がＩＰ−Ａ、ＭＡＣアドレスＬ２０２がＭＡＣ−Ａのエントリを格納している。
図１８は第三の実施例におけるＡＲＰ情報テーブルを示す図である。
ＩＰ変更監視対象のＩＰアドレスＩＰ−Ａを有するユーザＡ端末Ｕ１０のＩＰアドレスが、ＩＰ−ＡからＩＰ−Ａ‘に変更され、ユーザＡ端末Ｕ１０がＩＰ−Ａ’で通信を開始する。ＩＰ変更検出部Ｍ２００は、装置Ｌ１１がＳ１０、ＩＰアドレスＬ１２がＩＰ−Ａ‘、ＭＡＣアドレスＬ１３がＭＡＣ−Ａ、出力先インタフェースＬ１４がＶＬＡＮ１０のエントリＫ７０を学習しＡＲＰ情報テーブルに格納する。
ＩＰ変更監視対象のＩＰアドレスＩＰ−Ａを有するユーザＡ端末Ｕ１０のＩＰアドレスが、ＩＰ−ＡからＩＰ−Ａ‘に変更され、ユーザＡ端末Ｕ１０がＩＰ−Ａ’で通信を開始する。ＩＰ変更検出部Ｍ２００は、装置Ｌ１１がＳ１０、ＩＰアドレスＬ１２がＩＰ−Ａ‘、ＭＡＣアドレスＬ１３がＭＡＣ−Ａ、出力先インタフェースＬ１４がＶＬＡＮ１０のエントリＫ７０を学習しＡＲＰ情報テーブルに格納する。
[３．３ ＩＰアドレス変更監視情報の格納]
図１９は、本発明の第三の実施例におけるネットワーク装置の特定および監視対象の情報をＩＰ変更監視情報Ｔ２００に格納する処理（Ｆ１９０）を示すフローチャートである。
第一の実施例における通信遮断動作に加えて、さらに通信遮断対象の情報であるＭＡＣアドレスとＩＰアドレスの組をＩＰ変更監視情報Ｔ２００に格納する処理（Ｆ２２）を有する点が第一の実施例のフローチャート（図８）との差である。
図１９は、本発明の第三の実施例におけるネットワーク装置の特定および監視対象の情報をＩＰ変更監視情報Ｔ２００に格納する処理（Ｆ１９０）を示すフローチャートである。
第一の実施例における通信遮断動作に加えて、さらに通信遮断対象の情報であるＭＡＣアドレスとＩＰアドレスの組をＩＰ変更監視情報Ｔ２００に格納する処理（Ｆ２２）を有する点が第一の実施例のフローチャート（図８）との差である。
本実施例では、ＩＰ変更監視情報Ｔ２００としてＩＰアドレスＬ２０１がＩＰ−Ａ、ＭＡＣアドレスＬ２０２がＭＡＣ−Ａのエントリが登録されている。
[３．４ ＩＰアドレスの変更を検知した場合の通信遮断動作]
図２０は第三の実施例におけるＩＰアドレスの変更を検出する処理および変更後のＩＰアドレスに対し通信の遮断設定をする処理（Ｆ２００）を示すフローチャートである。コントローラＣ１２のＩＰアドレス変更検出部Ｍ２００は、定期的（Ｆ２０１）に、ＩＰ変更監視情報Ｔ２００に登録されたＭＡＣアドレスとＩＰアドレスの組に該当するＡＲＰエントリがＡＲＰ情報テーブルＴ１０に存在するかを確認する（Ｆ２０２）。ＡＲＰ情報テーブルＴ１０に、監視対象のＭＡＣアドレスとＩＰ変更監視情報Ｔ２００に登録されているＩＰアドレスを組み合わせたＡＲＰエントリ以外ＡＲＰ情報テーブルＴ１０に存在しない場合、処理を終了する。ＡＲＰ情報テーブルＴ１０に、監視対象のＭＡＣアドレスとＩＰ変更情報Ｔ２００に登録されているＩＰアドレスの組み合わせの他、監視対象のＭＡＣアドレスとＩＰ変更情報Ｔ２００に登録されていない新しいＩＰアドレスを組み合わせたＡＲＰエントリがＡＲＰ情報テーブルＴ１０に存在する場合、その新しいＩＰアドレスに対して、図８における処理Ｆ１２〜Ｆ１５を実施し、新しい（変更後の）ＩＰアドレスに対し通信の遮断設定を実施する（Ｆ２０３）。
図２０は第三の実施例におけるＩＰアドレスの変更を検出する処理および変更後のＩＰアドレスに対し通信の遮断設定をする処理（Ｆ２００）を示すフローチャートである。コントローラＣ１２のＩＰアドレス変更検出部Ｍ２００は、定期的（Ｆ２０１）に、ＩＰ変更監視情報Ｔ２００に登録されたＭＡＣアドレスとＩＰアドレスの組に該当するＡＲＰエントリがＡＲＰ情報テーブルＴ１０に存在するかを確認する（Ｆ２０２）。ＡＲＰ情報テーブルＴ１０に、監視対象のＭＡＣアドレスとＩＰ変更監視情報Ｔ２００に登録されているＩＰアドレスを組み合わせたＡＲＰエントリ以外ＡＲＰ情報テーブルＴ１０に存在しない場合、処理を終了する。ＡＲＰ情報テーブルＴ１０に、監視対象のＭＡＣアドレスとＩＰ変更情報Ｔ２００に登録されているＩＰアドレスの組み合わせの他、監視対象のＭＡＣアドレスとＩＰ変更情報Ｔ２００に登録されていない新しいＩＰアドレスを組み合わせたＡＲＰエントリがＡＲＰ情報テーブルＴ１０に存在する場合、その新しいＩＰアドレスに対して、図８における処理Ｆ１２〜Ｆ１５を実施し、新しい（変更後の）ＩＰアドレスに対し通信の遮断設定を実施する（Ｆ２０３）。
本実施例では、ＩＰ変更監視情報Ｔ２００に、ＩＰアドレスＬ２０１がＩＰ−Ａ、監視対象の装置のＭＡＣアドレスＬ２０２がＭＡＣ−Ａと、ＩＰアドレスＬ２０１がＩＰ−Ａのエントリが監視情報として登録されている。監視対象のＭＡＣアドレスの端末がＩＰアドレスを変更して通信を継続すると、ＡＲＰ情報テーブルＴ２０のエントリＫ８０が生成される。ＩＰ変更検出部Ｍ２００は、エントリＫ８０生成によってＩＰアドレスの変更を検出する。また、ＩＰ変更検出部Ｍ２００は、ＩＰアドレスの変更を検出後に変更後のＩＰアドレスに対して再度通信の遮断設定を実施することにより通信の遮断が可能となる。なお、IＰアドレスの変更検出処理は、定期的に行う他、予め決めたタイミングや、サーバの管理者の指示により行ってもよい。
[３．５ 実施例効果]
以上、説明した第三の実施例のコントローラでは、不正プログラムに感染したユーザ端末が通信を遮断されたのちに別のＩＰアドレスを別のＩＰアドレスに変更して通信を再開させようとしても、ＩＰアドレスの変更を検知して再度通信の遮断設定を実施することが可能となる。
以上、説明した第三の実施例のコントローラでは、不正プログラムに感染したユーザ端末が通信を遮断されたのちに別のＩＰアドレスを別のＩＰアドレスに変更して通信を再開させようとしても、ＩＰアドレスの変更を検知して再度通信の遮断設定を実施することが可能となる。
Ｓ１０ レイヤ３スイッチ
Ｓ２０、Ｓ３０ Ｓ４０ レイヤ２スイッチ
Ｓ５０、Ｓ５１，Ｓ５２ ネットワーク管理サーバ
Ｓ６０ 振る舞い検知装置
Ｓ７０ Ｃ＆Ｃサーバ
Ｐ１１、Ｐ１２、Ｐ１３、Ｐ１４、Ｐ１５、Ｐ２１、Ｐ２２、Ｐ２３、Ｐ３１、Ｐ３２、Ｐ３３、Ｐ４１、Ｐ４２、Ｐ４３ ポート
Ｕ１０ ユーザＡ端末
Ｕ２０ ユーザＢ端末
Ｕ３０ ユーザＣ端末
Ｕ４０ ユーザＤ端末
Ｃ１０、Ｃ１１、Ｃ１２ コントローラ
Ｍ５１ 装置情報収集部
Ｍ５２ 設定指示受信部
Ｍ５３ トポロジ計算部
Ｍ５４ 装置設定制御部
Ｍ１００ ポート移動検出部
Ｍ２００ ＩＰ変更検出部
Ｔ１０ ＡＲＰ情報
Ｔ２０ ＦＤＢ情報
Ｔ３０ ＬＬＤＰ情報
Ｔ４０ フィルタ設定対象装置絞り込み情報テーブル
Ｔ５０ フィルタ設定対象装置特定情報テーブル
Ｔ１００ ポート移動監視情報
Ｔ２００ ＩＰ変更監視情報
Ｑ１０ 遮断メッセージ応答部
Ｓ２０、Ｓ３０ Ｓ４０ レイヤ２スイッチ
Ｓ５０、Ｓ５１，Ｓ５２ ネットワーク管理サーバ
Ｓ６０ 振る舞い検知装置
Ｓ７０ Ｃ＆Ｃサーバ
Ｐ１１、Ｐ１２、Ｐ１３、Ｐ１４、Ｐ１５、Ｐ２１、Ｐ２２、Ｐ２３、Ｐ３１、Ｐ３２、Ｐ３３、Ｐ４１、Ｐ４２、Ｐ４３ ポート
Ｕ１０ ユーザＡ端末
Ｕ２０ ユーザＢ端末
Ｕ３０ ユーザＣ端末
Ｕ４０ ユーザＤ端末
Ｃ１０、Ｃ１１、Ｃ１２ コントローラ
Ｍ５１ 装置情報収集部
Ｍ５２ 設定指示受信部
Ｍ５３ トポロジ計算部
Ｍ５４ 装置設定制御部
Ｍ１００ ポート移動検出部
Ｍ２００ ＩＰ変更検出部
Ｔ１０ ＡＲＰ情報
Ｔ２０ ＦＤＢ情報
Ｔ３０ ＬＬＤＰ情報
Ｔ４０ フィルタ設定対象装置絞り込み情報テーブル
Ｔ５０ フィルタ設定対象装置特定情報テーブル
Ｔ１００ ポート移動監視情報
Ｔ２００ ＩＰ変更監視情報
Ｑ１０ 遮断メッセージ応答部
Claims (12)
- 少なくともひとつのレイヤ３スイッチと、複数のレイヤ２スイッチを有するネットワークシステムであって、
前記ネットワークシステムは、さらに、前記ネットワークシステムの通信の振る舞いを監視して攻撃を検知する振る舞い検知部と、
前記振る舞い検知部が出力した検知結果を受け取るとともに、前記レイヤ２スイッチが収容する端末装置に割り当てられたＩＰアドレスおよびＭＡＣアドレスを対応づけるためのＡＲＰ情報と、前記レイヤ３スイッチおよび前記レイヤ２スイッチのポートのＭＡＣアドレス学習情報と、前記レイヤ３スイッチおよび前記レイヤ２スイッチの隣接情報と、をそれぞれ前記レイヤ３スイッチおよび前記レイヤ２スイッチから収集して組み合わせたフィルタ設定対象装置特定情報テーブルを作成し、前記検知結果のＩＰアドレスに対応するＭＡＣアドレスを学習したポートの隣接情報が前記レイヤ３スイッチおよび前記レイヤ２スイッチのいずれでもないエントリを前記フィルタ設定対象装置特定情報テーブルから検索し、前記検索されたエントリに示されるレイヤ２スイッチを前記振る舞い検知部が検知した攻撃を遮断するための設定を行う対象のスイッチとして特定し、前記特定したスイッチに攻撃を遮断するための設定を行うネットワーク管理部を有し、
さらに、前記ネットワーク管理部は、前記検索されたエントリに含まれるＭＡＣアドレス学習情報を記憶し、予め決められたタイミングまたは前記ネットワーク管理部の管理者の指示により、前記収集したＭＡＣアドレス情報に前記記憶したＭＡＣアドレス学習情報が含まれるかどうかを確認し、含まれていなかった場合に、前記振る舞い検知部が検知した攻撃を遮断するための設定を行う対象のスイッチを特定する処理を再実行し、前記再実行により特定したスイッチに攻撃を遮断するための設定を行うことを特徴とするネットワークシステム。 - 少なくともひとつのレイヤ３スイッチと、複数のレイヤ２スイッチを有するネットワークシステムであって、
前記ネットワークシステムは、さらに、前記ネットワークシステムの通信の振る舞いを監視して攻撃を検知する振る舞い検知部と、
前記振る舞い検知部が出力した検知結果を受け取るとともに、前記レイヤ２スイッチが収容する端末装置に割り当てられたＩＰアドレスおよびＭＡＣアドレスを対応づけるためのＡＲＰ情報と、前記レイヤ３スイッチおよび前記レイヤ２スイッチのポートのＭＡＣアドレス学習情報と、前記レイヤ３スイッチおよび前記レイヤ２スイッチの隣接情報と、をそれぞれ前記レイヤ３スイッチおよび前記レイヤ２スイッチから収集して組み合わせたフィルタ設定対象装置特定情報テーブルを作成し、前記検知結果のＩＰアドレスに対応するＭＡＣアドレスを学習したポートの隣接情報が前記レイヤ３スイッチおよび前記レイヤ２スイッチのいずれでもないエントリを前記フィルタ設定対象装置特定情報テーブルから検索し、前記検索されたエントリに示されるレイヤ２スイッチを前記振る舞い検知部が検知した攻撃を遮断するための設定を行う対象のスイッチとして特定し、前記特定したスイッチに攻撃を遮断するための設定を行うネットワーク管理部を有し、
さらに、前記ネットワーク管理部は、前記検索されたエントリに含まれるＡＲＰ情報を記憶し、予め決められたタイミングまたは前記ネットワーク管理部の管理者の指示により、前記収集したＡＲＰ情報に前記記憶したＡＲＰ情報が含まれるかどうかを確認し、含まれていなかった場合に、前記振る舞い検知部が検知した攻撃を遮断するための設定を行う対象のスイッチを特定する処理を再実行し、前記再実行により特定したスイッチに攻撃を遮断するための設定を行うことを特徴とするネットワークシステム。 - 請求項１または２に記載のネットワークシステムであって、
前記ネットワーク管理部は、前記特定したレイヤ２スイッチに対し、前記攻撃を受けた端末装置の通信を遮断するフィルタを設定し、
前記レイヤ２スイッチは、さらに、前記通信を遮断した端末装置に対し、攻撃を検知したために通信を遮断したことを通知する遮断メッセージ通知部を有することを特徴とするネットワークシステム。 - 少なくともひとつのレイヤ３スイッチと、複数のレイヤ２スイッチを有するネットワークに接続されるネットワーク管理サーバであって、
前記ネットワークの通信の振る舞いを監視して攻撃を検知する振る舞い検知部が出力した検知結果を受け取るとともに、前記レイヤ２スイッチが収容する端末装置に割り当てられたＩＰアドレスおよびＭＡＣアドレスを対応づけるためのＡＲＰ情報と、前記レイヤ３スイッチおよび前記レイヤ２スイッチのポートのＭＡＣアドレス学習情報と、前記レイヤ３スイッチおよび前記レイヤ２スイッチの隣接情報と、をそれぞれ前記レイヤ３スイッチおよび前記レイヤ２スイッチから収集して組み合わせたフィルタ設定対象装置特定情報テーブルを作成し、前記検知結果のＩＰアドレスに対応するＭＡＣアドレスを学習したポートの隣接情報が前記レイヤ３スイッチおよび前記レイヤ２スイッチのいずれでもないエントリを前記フィルタ設定対象装置特定情報テーブルから検索し、前記検索されたエントリに示されるレイヤ２スイッチを前記振る舞い検知部が検知した攻撃を遮断するための設定を行う対象のスイッチとして特定し、前記特定したスイッチに攻撃を遮断するための設定を行い、
さらに、前記検索されたエントリに含まれるＭＡＣアドレス学習情報を記憶し、予め決められたタイミングまたは前記ネットワーク管理サーバの管理者の指示により、前記収集したＭＡＣアドレス情報に前記記憶したＭＡＣアドレス学習情報が含まれるかどうかを確認し、含まれていなかった場合に、前記振る舞い検知部が検知した攻撃を遮断するための設定を行う対象のスイッチを特定する処理を再実行し、前記再実行により特定したスイッチに攻撃を遮断するための設定を行うことを特徴とするネットワーク管理サーバ。 - 少なくともひとつのレイヤ３スイッチと、複数のレイヤ２スイッチを有するネットワークに接続されるネットワーク管理サーバであって、
前記ネットワークの通信の振る舞いを監視して攻撃を検知する振る舞い検知部が出力した検知結果を受け取るとともに、前記レイヤ２スイッチが収容する端末装置に割り当てられたＩＰアドレスおよびＭＡＣアドレスを対応づけるためのＡＲＰ情報と、前記レイヤ３スイッチおよび前記レイヤ２スイッチのポートのＭＡＣアドレス学習情報と、前記レイヤ３スイッチおよび前記レイヤ２スイッチの隣接情報と、をそれぞれ前記レイヤ３スイッチおよび前記レイヤ２スイッチから収集して組み合わせたフィルタ設定対象装置特定情報テーブルを作成し、前記検知結果のＩＰアドレスに対応するＭＡＣアドレスを学習したポートの隣接情報が前記レイヤ３スイッチおよび前記レイヤ２スイッチのいずれでもないエントリを前記フィルタ設定対象装置特定情報テーブルから検索し、前記検索されたエントリに示されるレイヤ２スイッチを前記振る舞い検知部が検知した攻撃を遮断するための設定を行う対象のスイッチとして特定し、前記特定したスイッチに攻撃を遮断するための設定を行い、
さらに、前記検索されたエントリに含まれるＡＲＰ情報を記憶し、予め決められたタイミングまたは前記ネットワーク管理サーバの管理者の指示により、前記収集したＡＲＰ情報に前記記憶したＡＲＰ情報が含まれるかどうかを確認し、含まれていなかった場合に、前記振る舞い検知部が検知した攻撃を遮断するための設定を行う対象のスイッチを特定する処理を再実行し、前記再実行により特定したスイッチに攻撃を遮断するための設定を行うことを特徴とするネットワーク管理サーバ。 - 請求項４または５に記載のネットワーク管理サーバであって、
前記特定したレイヤ２スイッチに対し、前記攻撃を受けた端末装置の通信を遮断するフィルタを設定し、
さらに、前記特定したレイヤ２スイッチに対し、前記通信を遮断した端末装置に対して攻撃を検知したために通信を遮断したことを通知するための設定を行うことを特徴とするネットワーク管理サーバ。 - 複数のスイッチと、前記複数のスイッチを管理するネットワーク管理サーバを有するネットワークシステムにおいて、前記ネットワーク管理サーバが、前記ネットワークシステムに対する攻撃を検出して、前記ネットワークシステムの防御のために攻撃に関する通信を遮断するネットワーク制御方法であって、
前記複数のスイッチは、少なくともひとつのレイヤ３スイッチと、複数のレイヤ２スイッチを有し、
前記ネットワーク制御方法は、
前記ネットワークシステムの通信の振る舞いを監視して攻撃を検知する振る舞い検知部が出力した検知結果を受け取り、
前記レイヤ２スイッチが収容する端末装置に割り当てられたＩＰアドレス及びＭＡＣアドレスを対応づけるためのＡＲＰ情報と、前記レイヤ３スイッチおよび前記レイヤ２スイッチのポートのＭＡＣアドレス学習情報と、前記レイヤ３スイッチおよび前記レイヤ２スイッチの隣接情報と、をそれぞれ前記レイヤ３スイッチおよび前記レイヤ２スイッチから収集して組み合わせたフィルタ設定対象装置特定情報テーブルを作成し、前記検知結果のＩＰアドレスに対応するＭＡＣアドレスを学習したポートの隣接情報が前記レイヤ３スイッチおよび前記レイヤ２スイッチのいずれでもないエントリを前記フィルタ設定対象装置特定情報テーブルから検索し、前記検索されたエントリに示されるレイヤ２スイッチを前記振る舞い検知部が検知した攻撃を遮断するための設定を行う対象のスイッチとして特定し、
前記特定したスイッチに攻撃を遮断するための設定を行い、
さらに、前記検索されたエントリに含まれるＭＡＣアドレス学習情報を記憶し、予め決められたタイミングまたは前記ネットワーク管理サーバの管理者の指示により、前記収集したＭＡＣアドレス情報に前記記憶したＭＡＣアドレス学習情報が含まれるかどうかを確認し、含まれていなかった場合に、前記振る舞い検知部が検知した攻撃を遮断するための設定を行う対象のスイッチを特定する処理を再実行し、前記再実行により特定したスイッチに攻撃を遮断するための設定を行うことを特徴とするネットワーク制御方法。 - 複数のスイッチと、前記複数のスイッチを管理するネットワーク管理サーバを有するネットワークシステムにおいて、前記ネットワーク管理サーバが、前記ネットワークシステムに対する攻撃を検出して、前記ネットワークシステムの防御のために攻撃に関する通信を遮断するネットワーク制御方法であって、
前記複数のスイッチは、少なくともひとつのレイヤ３スイッチと、複数のレイヤ２スイッチを有し、
前記ネットワーク制御方法は、
前記ネットワークシステムの通信の振る舞いを監視して攻撃を検知する振る舞い検知部が出力した検知結果を受け取り、
前記レイヤ２スイッチが収容する端末装置に割り当てられたＩＰアドレス及びＭＡＣアドレスを対応づけるためのＡＲＰ情報と、前記レイヤ３スイッチおよび前記レイヤ２スイッチのポートのＭＡＣアドレス学習情報と、前記レイヤ３スイッチおよび前記レイヤ２スイッチの隣接情報と、をそれぞれ前記レイヤ３スイッチおよび前記レイヤ２スイッチから収集して組み合わせたフィルタ設定対象装置特定情報テーブルを作成し、前記検知結果のＩＰアドレスに対応するＭＡＣアドレスを学習したポートの隣接情報が前記レイヤ３スイッチおよび前記レイヤ２スイッチのいずれでもないエントリを前記フィルタ設定対象装置特定情報テーブルから検索し、前記検索されたエントリに示されるレイヤ２スイッチを前記振る舞い検知部が検知した攻撃を遮断するための設定を行う対象のスイッチとして特定し、
前記特定したスイッチに攻撃を遮断するための設定を行い、
さらに、前記検索されたエントリに含まれるＡＲＰ情報を記憶し、予め決められたタイミングまたは前記ネットワーク管理サーバの管理者の指示により、前記収集したＡＲＰ情報に前記記憶したＡＲＰ情報が含まれるかどうかを確認し、含まれていなかった場合に、前記振る舞い検知部が検知した攻撃を遮断するための設定を行う対象のスイッチを特定する処理を再実行し、前記再実行により特定したスイッチに攻撃を遮断するための設定を行うことを特徴とするネットワーク制御方法。 - 請求項７または８に記載のネットワーク制御方法であって、
前記特定したレイヤ２スイッチに対し、前記攻撃を受けた端末装置の通信を遮断するフィルタを設定し、
前記特定したレイヤ２スイッチが、前記通信を遮断した端末装置に対し、攻撃を検知したために通信を遮断したことを通知することを特徴とするネットワーク制御方法。 - 少なくともひとつのレイヤ３スイッチと、複数のレイヤ２スイッチを有するネットワークに接続されるネットワーク管理サーバに以下の手順を実行させるためのプログラムであって、
前記ネットワーク管理サーバは、ＣＰＵと、メモリと、を有し、
前記プログラムは、
前記ネットワークの通信の振る舞いを監視して攻撃を検知する振る舞い検知部が出力した検知結果を受け取るとともに、前記レイヤ２スイッチが収容する端末装置に割り当てられたＩＰアドレスおよびＭＡＣアドレスを対応づけるためのＡＲＰ情報と、前記レイヤ３スイッチおよび前記レイヤ２スイッチのポートのＭＡＣアドレス学習情報と、前記レイヤ３スイッチおよび前記レイヤ２スイッチの隣接情報と、をそれぞれ前記レイヤ３スイッチおよび前記レイヤ２スイッチから収集して組み合わせたフィルタ設定対象装置特定情報テーブルを作成する手順と、
前記検知結果のＩＰアドレスに対応するＭＡＣアドレスを学習したポートの隣接情報が前記レイヤ３スイッチおよび前記レイヤ２スイッチのいずれでもないエントリを前記フィルタ設定対象装置特定情報テーブルから検索する手順と、
前記検索されたエントリに示されるレイヤ２スイッチを前記振る舞い検知部が検知した攻撃を遮断するための設定を行う対象のスイッチとして特定する手順と、
前記特定したスイッチに攻撃を遮断するための設定を行う手順と、
前記検索されたエントリに含まれるＭＡＣアドレス学習情報を記憶する手順と、
予め決められたタイミングまたは前記ネットワーク管理サーバの管理者の指示により、前記収集したＭＡＣアドレス情報に前記記憶したＭＡＣアドレス学習情報が含まれるかどうかを確認し、含まれていなかった場合に、前記振る舞い検知部が検知した攻撃を遮断するための設定を行う対象のスイッチを特定する処理を再実行する手順と、
前記再実行により特定したスイッチに攻撃を遮断するための設定を行う手順と、を前記ＣＰＵに実行させることを特徴とするプログラム。 - 少なくともひとつのレイヤ３スイッチと、複数のレイヤ２スイッチを有するネットワークに接続されるネットワーク管理サーバに以下の手順を実行させるためのプログラムであって、
前記ネットワーク管理サーバは、ＣＰＵと、メモリと、を有し、
前記プログラムは、
前記ネットワークの通信の振る舞いを監視して攻撃を検知する振る舞い検知部が出力した検知結果を受け取るとともに、前記レイヤ２スイッチが収容する端末装置に割り当てられたＩＰアドレスおよびＭＡＣアドレスを対応づけるためのＡＲＰ情報と、前記レイヤ３スイッチおよび前記レイヤ２スイッチのポートのＭＡＣアドレス学習情報と、前記レイヤ３スイッチおよび前記レイヤ２スイッチの隣接情報と、をそれぞれ前記レイヤ３スイッチおよび前記レイヤ２スイッチから収集して組み合わせたフィルタ設定対象装置特定情報テーブルを作成する手順と、
前記検知結果のＩＰアドレスに対応するＭＡＣアドレスを学習したポートの隣接情報が前記レイヤ３スイッチおよび前記レイヤ２スイッチのいずれでもないエントリを前記フィルタ設定対象装置特定情報テーブルから検索する手順と、
前記検索されたエントリに示されるレイヤ２スイッチを前記振る舞い検知部が検知した攻撃を遮断するための設定を行う対象のスイッチとして特定する手順と、
前記特定したスイッチに攻撃を遮断するための設定を行う手順と、
前記検索されたエントリに含まれるＡＲＰ情報を記憶する手順と、
予め決められたタイミングまたは前記ネットワーク管理サーバの管理者の指示により、前記収集したＡＲＰ情報に前記記憶したＡＲＰ情報が含まれるかどうかを確認し、含まれていなかった場合に、前記振る舞い検知部が検知した攻撃を遮断するための設定を行う対象のスイッチを特定する処理を再実行する手順と、
前記再実行により特定したスイッチに攻撃を遮断するための設定を行う手順と、を前記ＣＰＵに実行させることを特徴とするプログラム。 - 請求項１０または１１に記載のプログラムであって、
前記特定したレイヤ２スイッチに対し、前記攻撃を受けた端末装置の通信を遮断するフィルタを設定する手順と、
前記特定したレイヤ２スイッチに対し、前記通信を遮断した端末装置に対して攻撃を検知したために通信を遮断したことを通知するための設定を行う手順と、を前記ＣＰＵに実行させることを特徴とするプログラム。
Priority Applications (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| US15/865,344 US20180212982A1 (en) | 2017-01-23 | 2018-01-09 | Network system, network controller, and network control method |
Applications Claiming Priority (2)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP2017009098 | 2017-01-23 | ||
| JP2017009098 | 2017-01-23 |
Publications (2)
| Publication Number | Publication Date |
|---|---|
| JP2018121320A JP2018121320A (ja) | 2018-08-02 |
| JP6836460B2 true JP6836460B2 (ja) | 2021-03-03 |
Family
ID=63045501
Family Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| JP2017103184A Active JP6836460B2 (ja) | 2017-01-23 | 2017-05-25 | ネットワークシステム、ネットワーク管理サーバ、ネットワーク制御方法およびプログラム |
Country Status (1)
| Country | Link |
|---|---|
| JP (1) | JP6836460B2 (ja) |
Families Citing this family (3)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| JP7279417B2 (ja) * | 2019-03-01 | 2023-05-23 | 日本電気株式会社 | 通信遮断方法、通信システム、装置とプログラム |
| US11088934B2 (en) * | 2019-10-10 | 2021-08-10 | Cisco Technology, Inc. | Dynamic discovery of service nodes in a network |
| WO2025041280A1 (ja) * | 2023-08-22 | 2025-02-27 | 日本電信電話株式会社 | 通信遮断装置 |
Family Cites Families (4)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| JP2005065004A (ja) * | 2003-08-18 | 2005-03-10 | Hitachi Ltd | 暗号化通信データ検査方法、暗号化通信データ検査装置及び暗号化通信データ検査プログラム |
| JP5062967B2 (ja) * | 2005-06-01 | 2012-10-31 | アラクサラネットワークス株式会社 | ネットワークアクセス制御方法、およびシステム |
| CA2532699A1 (en) * | 2005-12-28 | 2007-06-28 | Ibm Canada Limited - Ibm Canada Limitee | Distributed network protection |
| JP5134141B2 (ja) * | 2010-07-30 | 2013-01-30 | 株式会社サイバー・ソリューションズ | 不正アクセス遮断制御方法 |
-
2017
- 2017-05-25 JP JP2017103184A patent/JP6836460B2/ja active Active
Also Published As
| Publication number | Publication date |
|---|---|
| JP2018121320A (ja) | 2018-08-02 |
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| EP3297248B1 (en) | System and method for generating rules for attack detection feedback system | |
| JP5050781B2 (ja) | マルウエア検出装置、監視装置、マルウエア検出プログラム、およびマルウエア検出方法 | |
| JP4128974B2 (ja) | レイヤ２ループ検知システム | |
| CN108353068B (zh) | Sdn控制器辅助的入侵防御系统 | |
| US20130219497A1 (en) | Network intrusion detection in a network that includes a distributed virtual switch fabric | |
| CN104917653A (zh) | 基于云平台的虚拟化流量监控方法及装置 | |
| US10911466B2 (en) | Network protection device and network protection system | |
| JP2010016775A (ja) | フレーム転送装置 | |
| CN106817275B (zh) | 一种自动化预防和编排处理策略冲突的系统和方法 | |
| JP6441725B2 (ja) | ネットワーク情報出力システム及びネットワーク情報出力方法 | |
| JP2008177714A (ja) | ネットワークシステム、サーバ、ｄｄｎｓサーバおよびパケット中継装置 | |
| JP6836460B2 (ja) | ネットワークシステム、ネットワーク管理サーバ、ネットワーク制御方法およびプログラム | |
| CN108156079B (zh) | 一种基于云服务平台的数据包转发系统及方法 | |
| WO2016101870A1 (zh) | 网络攻击分析方法和装置 | |
| CN1960376A (zh) | 自动化的网络阻隔方法和系统 | |
| JP2004302538A (ja) | ネットワークセキュリティシステム及びネットワークセキュリティ管理方法 | |
| Ubaid et al. | Mitigating address spoofing attacks in hybrid SDN | |
| JP6489239B2 (ja) | 通信装置、システム、方法、及びプログラム | |
| JP2007006054A (ja) | パケット中継装置及びパケット中継システム | |
| JP6422677B2 (ja) | ネットワーク中継装置、同装置を用いたＤＤｏＳ防御方法および負荷分散方法 | |
| JP7150552B2 (ja) | ネットワーク防御装置およびネットワーク防御システム | |
| US20180212982A1 (en) | Network system, network controller, and network control method | |
| US20250343817A1 (en) | Intelligent manipulation of denial-of-service attack traffic | |
| EP4078913A1 (en) | Protection against malicious data traffic | |
| CN109218250A (zh) | 基于故障自动迁移系统的ddos防御方法及系统 |
Legal Events
| Date | Code | Title | Description |
|---|---|---|---|
| A521 | Request for written amendment filed |
Free format text: JAPANESE INTERMEDIATE CODE: A523 Effective date: 20170609 |
|
| RD02 | Notification of acceptance of power of attorney |
Free format text: JAPANESE INTERMEDIATE CODE: A7422 Effective date: 20180223 |
|
| RD04 | Notification of resignation of power of attorney |
Free format text: JAPANESE INTERMEDIATE CODE: A7424 Effective date: 20180314 |
|
| A621 | Written request for application examination |
Free format text: JAPANESE INTERMEDIATE CODE: A621 Effective date: 20190902 |
|
| A977 | Report on retrieval |
Free format text: JAPANESE INTERMEDIATE CODE: A971007 Effective date: 20200708 |
|
| A131 | Notification of reasons for refusal |
Free format text: JAPANESE INTERMEDIATE CODE: A131 Effective date: 20200714 |
|
| A521 | Request for written amendment filed |
Free format text: JAPANESE INTERMEDIATE CODE: A523 Effective date: 20200907 |
|
| TRDD | Decision of grant or rejection written | ||
| A01 | Written decision to grant a patent or to grant a registration (utility model) |
Free format text: JAPANESE INTERMEDIATE CODE: A01 Effective date: 20210119 |
|
| A61 | First payment of annual fees (during grant procedure) |
Free format text: JAPANESE INTERMEDIATE CODE: A61 Effective date: 20210205 |
|
| R150 | Certificate of patent or registration of utility model |
Ref document number: 6836460 Country of ref document: JP Free format text: JAPANESE INTERMEDIATE CODE: R150 |
|
| R250 | Receipt of annual fees |
Free format text: JAPANESE INTERMEDIATE CODE: R250 |
|
| R250 | Receipt of annual fees |
Free format text: JAPANESE INTERMEDIATE CODE: R250 |
|
| R250 | Receipt of annual fees |
Free format text: JAPANESE INTERMEDIATE CODE: R250 |