ネットワーク管理装置及びネットワーク管理方法
【課題】 通信の集中点を監視することによりＬＡＮ内でのウィルスの蔓延を防ぐことが出来るネットワーク管理装置及びネットワーク管理方法を提供する。
【解決手段】 ネットワーク管理装置１は、ネットワークに割り当てられたＩＰアドレスの範囲をサブネットマスクのサブネットに分割し、複数の端末装置が個々にネットワーク内にて単一サブネットとなるＩＰアドレスを保有するよう割り当て、ネットワークのゲートウェイに位置するネットワーク管理装置のＩＰアドレスをデフォルト設定するアドレス割付部（１２）と、ＩＰアドレスがネットワーク内において端末装置を含む他装置との間で通信可能か否かを示す通信許可ルールを格納するアドレス格納部（１３）と、通信許可ルールに基づいて、端末装置が送受信する通信パケットを転送又は破棄するかを決定するパケット転送部（１１）とを備える。
【解決手段】 ネットワーク管理装置１は、ネットワークに割り当てられたＩＰアドレスの範囲をサブネットマスクのサブネットに分割し、複数の端末装置が個々にネットワーク内にて単一サブネットとなるＩＰアドレスを保有するよう割り当て、ネットワークのゲートウェイに位置するネットワーク管理装置のＩＰアドレスをデフォルト設定するアドレス割付部（１２）と、ＩＰアドレスがネットワーク内において端末装置を含む他装置との間で通信可能か否かを示す通信許可ルールを格納するアドレス格納部（１３）と、通信許可ルールに基づいて、端末装置が送受信する通信パケットを転送又は破棄するかを決定するパケット転送部（１１）とを備える。
【発明の詳細な説明】
【技術分野】
【０００１】
ＬＡＮ内におけるコンピュータウィルスの蔓延を未然に防ぐためのネットワーク管理装置及びネットワーク管理方法に関する。
【背景技術】
【０００２】
従来、コンピュータウィルスが端末装置と外部ネットワーク間の直接通信にて感染した際に、感染済みの端末装置が属するＬＡＮ内においてそのウィルスが蔓延するのを防ぐ為にいくつかの手法が開発されている。
【０００３】
代表的なものとして、端末装置にウィルス検知用ソフトウェアをインストールし不正な通信を遮断する手法がある。ウィルス検知用ソフトウェアは既知のウィルスの情報をシグネチャとして持ち、それと比較することによってウィルスを検知したり、パーソナルファイアーウォールを備え、端末装置内に予め指定してある通信以外の通信を遮断することによってウィルスの感染を防いだりする（非特許文献１参照。）。
【０００４】
この他にも、ルータ等のネットワーク機器に、不正な通信を検知すると外部ネットワーク間との通信を遮断する機能、又はその不正な通信を管理者に通知する機能を持たせる手法が挙げられる（非特許文献２参照。）。
【非特許文献１】パーソナルファイアーウォール“フリーソフトウェアの紹介：パーソナルファイヤーウォールソフト”、[online]、[平成16年8月16日検索]、インターネット<http://www.okayama-u.ac.jp/user/cc/service/free3.html>
【非特許文献２】アンチウィルスゲートウェイ“企業に必要なタイプ別ウィルス対策：ゲートウェイ型”、[online]、[平成16年8月16日検索]、インターネット＜URL：http://www.atmarkit.co.jp/fsecurity/rensai/anti_virus04/anti_virus01.html＞
【発明の開示】
【発明が解決しようとする課題】
【０００５】
しかしながら、ソフトウェアをインストールする手法では、各端末装置にインストール処理を行う際に手間がかかり、その上ソフトウェア導入のコストが高かった。ウィルス検知の設定を適正に保つ為には、各端末装置のユーザが設定を勝手に変更できないようにパスワードで保護する等の処理が必要であり、運用の面でも手間がかかっていた。また、ウィルス検知の設定の更新等を各ユーザに委ねる場合は、常に適正な更新がなされているか否かはユーザ個人のモラルに頼らざるをえなかった。逆にユーザにしてみれば、このような設定処理及び更新処理が適正に行われているかを常に意識していなければならなかった。
【０００６】
ネットワーク機器にウィルス検知機能を持たせる手法では、ユーザはウィルス検知に対し特別に意識する必要はないが、ＬＡＮ内の全てのネットワーク機器を監視遮断機能を備えた高価なネットワーク機器に交換する必要があり、これらのネットワーク機器導入のためのコストが高くなるという問題があった。
【０００７】
本発明は、上記問題点を解決する為になされたものであり、端末装置でのソフトウェア設定や、ネットワーク機器を新たに導入したり機能設定せずとも、通信の集中点を作成しその一点を監視することによりＬＡＮ内でのウィルスの蔓延を防ぐことが出来るネットワーク管理装置及びネットワーク管理方法を提供することを目的とする。
【課題を解決するための手段】
【０００８】
上記問題点を解決する為、本発明の第１の特徴は、複数の端末装置を備えるネットワークの管理を行うネットワーク管理装置であって、ネットワークに割り当てられたＩＰアドレスの範囲をサブネットマスクのサブネットに分割し、複数の端末装置が個々にネットワーク内にて単一サブネットとなるＩＰアドレスを保有するよう割り当て、複数の端末装置のデフォルトゲートウェイとしてネットワークのゲートウェイに位置するネットワーク管理装置のＩＰアドレスを設定するアドレス割付部と、単一サブネットとなるように割り当てられたＩＰアドレスがネットワーク内において端末装置を含む他装置との間で通信可能か否かを示す通信許可ルールを格納するアドレス格納部と、通信許可ルールに基づいて、端末装置が送受信する通信パケットを転送又は破棄するかを決定するパケット転送部と、複数の端末装置が送受信するパケットの転送を行うルータ装置と、ネットワークに割り当てられたＩＰアドレスの範囲をサブネットマスクのサブネットに分割し、複数の端末装置が個々に前記ネットワーク内にて単一サブネットとなるＩＰアドレスを保有するよう割り当て、デフォルトゲートウェイとしてネットワークのゲートウェイに位置するルータ装置のＩＰアドレスを設定するアドレス割付部と、通信可否ルールに従ってルータ装置のルーティングテーブルを設定するルータ操作部とを備えることを特徴とするネットワーク管理装置、であることを要旨とする。
【０００９】
本発明の第２の特徴は、複数の端末装置を備えるネットワークの管理を行うネットワーク管理装置であって、ネットワークに割り当てられたＩＰアドレスの範囲をサブネットマスクのサブネットに分割し、複数の端末装置が個々に前記ネットワーク内にて単一サブネットとなるＩＰアドレスを保有するよう割り当て、複数の端末装置のデフォルトゲートウェイとしてネットワークのゲートウェイに位置するネットワーク管理装置のＩＰアドレスを設定するアドレス割付部と、単一サブネットとなるように割り当てられたＩＰアドレスがネットワーク内において端末装置を含む他装置との間で通信可能か否かを示す通信許可ルールを格納するアドレス格納部と、通信許可ルールに基づいて、端末装置が送受信する通信パケットを転送又は破棄するかを決定するパケット転送部と、複数の端末装置の少なくとも１台がウィルスに感染したと推測される異常通信を検知し、アドレス格納部内の通信許可ルールを更新する異常監視通知部とを備えることを特徴とするネットワーク管理装置、であることを要旨とする。
【発明の効果】
【００１０】
本発明のネットワーク管理装置及びネットワーク管理方法では、ＬＡＮ内の各端末装置にそれぞれ異なるサブネットとなるようなＩＰアドレスを付与し、各端末装置における通信は全てこのＬＡＮのゲートウェイになっているネットワーク管理装置に集中するように構成される。ネットワーク管理装置ではネットワークの管理者によって予め定められたルールにより通信の通過若しくは遮断を判断し、ウィルス感染に用いられる可能性が低く、必要性が高い通信のみを通過させる。具体的設定の例としては各端末装置のユーザに管理された端末装置同士の通信は遮断し、ネットワークの管理者によって管理されたサーバ等との通信は許可する。これは比較的知識もあり責任もあるネットワーク管理者に管理されたサーバはウィルス等に感染しにくく、比較的知識が少なく責任が軽い各端末のユーザに管理された端末装置はウィルス等に感染しやすいという理由や、端末装置同士の通信は必要性が比較的低いという理由からである。これにより、クライアント端末のソフトウェアの設定や、ネットワーク機器の機能に依らずにＬＡＮ内のウィルス蔓延を防ぐことが可能となる。
【００１１】
又、ネットワーク管理装置及びネットワーク管理方法では、各端末装置の全ての通信を監視することにより、端末装置のコンピュータウィルス感染を、既存のウィルス対策ソフトに依らず、ウィルスの既知未知をも問わずに検知することを可能とする。
【発明を実施するための最良の形態】
【００１２】
次に、図面を参照して、本発明の実施の形態を説明する。以下の図面の記載において、同一又は類似の部分には同一又は類似の符号を付している。ただし、図面は模式的なものであることに留意すべきである。
【００１３】
（第１の実施の形態）
（ネットワーク管理システム）
本発明の第１の実施の形態に係るネットワーク管理システム１００は、図１に示すように、ネットワーク管理装置１が管理する内部ネットワークＡ、ネットワーク管理装置１ａが管理する内部ネットワークＢがあり、ネットワーク管理装置１，１ａはＬＡＮ８にて通信可能となっている。尚、これらの内部ネットワークはＬＡＮ８上に複数存在して構わない。ネットワーク管理装置１，１ａの上位ノードにはルータ装置７が配置され、このルータ装置７はインターネット等の外部ネットワーク９と接続されており、パケット通信可能となっている。
【００１４】
内部ネットワークＡには、ユーザが利用する端末装置２，３、ユーザ宛てのメールを配信するメールサーバ５、ユーザの要求によりコンテンツ等のデータを送受信するＷｅｂサーバ６が存在し、これらの装置はＬＡＮ４を介してネットワーク管理装置１に接続されている。ＬＡＮ４には、この他にも、端末装置やサーバ等の機器が接続されていて構わない。尚、内部ネットワークＢにも同様の装置が存在するが、内部ネットワークＡの装置と同様である為説明は省略する。
【００１５】
ネットワーク管理装置１は、内部ネットワークＡの全ての機器が内部ネットワーク外の装置、例えば内部ネットワークＢや外部ネットワーク９と通信しようとした際、更に内部ネットワークＡ内の全ての機器、例えば端末装置２，３間にて通信を行おうとした際にもこれらの通信を集中管理する。以下、この通信集中管理を可能とする為のネットワーク管理装置１の内部構成について詳述する。
【００１６】
（ネットワーク管理装置）
ネットワーク管理装置１は、図２に示すように、パケット転送部１１、アドレス割付部１２、アドレス格納部１３、外部インタフェース１４及び内部インタフェース１５等から構成される。ネットワーク管理装置１は、図示しないＣＰＵ、主メモリ、補助メモリ、通信制御装置等を備える一般のコンピュータであるものとする。
【００１７】
パケット転送部１１は、内部インタフェース１５又は外部インタフェース１４から受信するパケットを、アドレス格納部１３内の転送許可データを参照して、内部インタフェース１５又は外部インタフェース１４に転送する機能を持つ。尚、転送許可データにより転送不可と判断されたパケットは廃棄される。
【００１８】
アドレス割付部１２は、内部インタフェース１５から端末装置２，３のアドレス割り付け要求を受信し、これに対し適切なアドレスを配布し、そのアドレスデータをアドレス格納部１３に格納する機能を持つ。
【００１９】
アドレス格納部１３は、端末装置２，３やサーバ４，５に割り付けられているアドレスや、パケットの転送の可否を設定している図３の通信許可データを格納している。端末装置２，３は、図３のようにそれぞれ異なるサブネットとなるようにＩＰアドレスが割り当てられている。更に、端末装置２，３やサーバ４，５、外部ネットワークそれぞれの間の通信の許可、拒否をネットワークのセキュリティポリシー等に応じて設定することができる。又、アドレス格納部１３は、パケット転送部１１やアドレス割付部１２からの要求に応じてデータを渡す機能や、ネットワーク管理者等が通信許可ルールを設定する為のユーザーインターフェース機能を持つ。アドレス格納部１３は、主メモリ又は補助メモリ等にて構成される。
【００２０】
外部インタフェース１４は、図１の外部ネットワーク９と内部ネットワークＡ間の通信をパケット転送部１１に受け渡しする機能を持つ。
【００２１】
内部インタフェース１５は、図１の各端末装置２，３からのアドレス割り付け要求やＬＡＮ内の全ての機器におけるＩＰ通信を、アドレス割付部１２やパケット転送部１１に対して受け渡す機能を持つ。
【００２２】
（ネットワーク管理方法）
次に、ネットワーク管理装置１におけるＩＰアドレス割り付け時の動作について図４のフローチャートを参照して説明する。
【００２３】
（ａ）先ずステップＳ１０１において、例えば端末装置２がネットワークを使用する為にアドレスの割り付けを要求すると、図２のアドレス割付部１２が内部インタフェース１５を介してこれを受信する。
【００２４】
（ｂ）ステップＳ１０２において、アドレス割付部１２は、受信したアドレス割付要求に対し、端末装置２が使用可能なＩＰアドレスと、デフォルトゲートウェイのアドレスを発行する。端末装置２のＩＰアドレスとして他の端末装置に対し未だ割り当てられていないサブネットマスク「255.255.255.252」のサブネットのうちひとつのアドレスを割り当て、他の全ての端末装置と別のサブネットになるようにする。例えば、図１及び図３に示すように、端末装置２は「192.168.1.2/30」、端末装置３は「192.168.1.6/30」と、別サブネットに設定する。勿論、端末装置はＬＡＮ４上に複数台存在して構わない。尚、デフォルトゲートウェイのアドレスにはネットワーク管理装置１のアドレスを指定する。このデフォルト値により全ての通信は一旦ネットワーク管理装置１に集中することとなる。
【００２５】
（ｃ）ステップＳ１０３において、アドレス割付部１２はＩＰアドレスを発行すると同時に、その発行したＩＰアドレスと発行した端末装置２を識別する為の情報、例えばマシンアドレス等をアドレス格納部１３に格納する。
【００２６】
（ｄ）ステップＳ１０４において、アドレス割付部１２は、発行したアドレスを内部インタフェース１５を介して端末装置２に送信する。
【００２７】
次に、ネットワーク管理装置１におけるパケット転送の動作について図５のフローチャートを参照して説明する。
【００２８】
（ａ）ステップＳ２０１において、端末装置２が、例えば端末装置３に対しパケットを送信する。端末装置２から見ると他の端末装置のＩＰアドレスは別のサブネットのアドレスなので、すべての通信パケットはデフォルトゲートウェイ、つまりネットワーク管理装置１に向けて発信される。
【００２９】
（ｂ）ステップＳ２０２において、発信パケットを受信したネットワーク管理装置１は、アドレス格納部１３に予め格納されている図３の転送許可データと照合する。ステップＳ２０３において照合の結果、許可する通信の場合は、ステップＳ２０４において該当する端末装置へ向けて受け取ったパケットを転送する。許可しない通信の場合は、ステップＳ２０５において受け取ったパケットを破棄する。
【００３０】
本発明の第１の実施の形態によると、ウィルスが感染に利用する可能性がある通信を遮断するような転送許可設定を設定することにより、セキュリティを脅かす可能性のある不要な通信をネットワーク管理装置１にて確実に遮断することができる。上記のシステムではネットワーク管理装置１を導入するだけであり、従来の手法よりも導入コスト的に優れている。設定の管理はアドレス格納部１３のデータの変更により一括して行えるため、管理コスト的にも優れている。
【００３１】
さらに上記のシステムでは、許可されている通信以外のすべての通信を禁止しているので、従来のウィルス対策用ソフトウェアで定義されていない未知のウィルスの蔓延に対しても効果を発揮する可能性がある。
【００３２】
（第２の実施の形態）
第１の実施の形態においては、ステップＳ２０３の通信許可判断の結果、通信不可と判断されたパケットはステップＳ２０５において廃棄されていた。しかし、通信許可と設定されている通信路においてもウィルスの感染拡大のための通信が流れている可能性がある。本実施形態ではそれらのウィルス感染拡大通信を検知し通信許可ルールを自動的に変更することによって、感染している端末をネットワークから隔離する機能を付加している。
【００３３】
本発明の第２の実施の形態に係るネットワーク管理装置１０は、図６に示すように、パケット転送部１１、アドレス割付部１２、アドレス格納部１３、外部インタフェース１４、内部インタフェース１５及び異常監視通知部１６等から構成される。
【００３４】
異常監視通知部１６は、ウィルスの活動に伴う異常通信を検知すると、直ちにアドレス格納部１３の通信許可ルールを更新し、感染した該当端末装置の通信を全て遮断するようにする。異常監視通知部１６の異常通信検知方法としては、シグネチャ等の既知のパターンと比較することよりウィルスを検知する手法や、ＰＩＮＧやＡＲＰ等の特殊パケットの通信量を監視して大きな変化を検知し、ウィルスの感染を推測する手法等がある。尚、他の装置については第１の実施の形態と同様である為、説明を省略する。
【００３５】
次にネットワーク管理装置１０の動作について図７のフローチャートを参照して説明する。
【００３６】
（ａ）ステップＳ３０１において、一例として端末装置２にウィルスが感染した場合、端末装置２は他の機器に対し感染拡大のための特殊な通信を開始する。ネットワーク管理装置１０はこのウィルス感染パケットを受信する。
【００３７】
（ｂ）ステップＳ３０２において、受信したパケットの異常検査を行う。受信したパケットが異常であると判断した場合、ネットワーク管理装置はステップＳ３０７においてアドレス格納部の通信許可データを端末装置２の全ての通信を遮断するように変更する。このように変更を行うことによって、ネットワーク内の端末がウイルスに感染してしまった場合でも他の端末への感染拡大を防ぐことができる。さらにステップＳ３０８においてその旨を管理者に通知する。
【００３８】
異常だと判断されなかった場合は第１の実施形態と同様、通信の可否を判断し、許可された通信のみ転送を行い、許可されていない通信は破棄する。
【００３９】
第２の実施の形態によると、ネットワーク管理装置１０は、従来のウィルス対策用ソフトウェアで定義されていない未知のウィルスにおいても、異常監視通知部１６が感染源となる機器を検知し、属するネットワークから完全に遮断することにより、ウィルス感染による被害を最小限に抑えることが可能である。
【００４０】
（第３の実施の形態）
ネットワーク管理装置１のパケット転送部１１は管理装置自身が持っていなければならない機能ではないため、図８に示すようにネットワーク管理装置１の位置に新たにルータ装置７ａを設置し、パケット転送部１１ａの機能を肩代わりさせる構成をとることもできる。
【００４１】
この場合、各端末のデフォルトゲートウェイとしてはルータ装置７ａが指定される。又、アドレス割付部１２がＩＰアドレスを割り付けたときは、アドレス格納部１３及びルータ操作部１４に通知される。この通知を受けたルータ操作部１４は、アドレス格納部１３に格納されている通信許可ルールに従って、ルータ装置７ａのルーティングテーブルの設定を行う。この動作以外のＩＰアドレス割り付け動作や通信の流れは第１の実施の形態と同様である為、説明は省略する。このようにＩＰアドレスやルーティングテーブルを設定することにより、第１の実施形態と同様の効果を得ることができる。
【００４２】
ちなみに、図８ではルータ装置７ａの直下にスイッチングHUB１６を置き、そこにネットワーク管理装置１ａを繋げているが、ネットワーク管理装置１ａは図８の位置ではなくても、内部ネットワークＡの中であればどこでも良い。
【００４３】
第３の実施の形態では、ネットワークに既存のルータを使用することが可能である。これにより、非常に高性能を必要とするネットワーク管理装置のパケット転送部１１をルータに肩代わりさせることができ、比較的低性能のマシンでネットワーク管理装置１ａを実現することができる。このことによって、第１の実施の形態と比べて、導入コストを低くすることが出来る。
【００４４】
（第４の実施の形態）
尚、第２の実施の形態の異常監視通知部１６を備えたネットワーク管理装置１０においても、第３の実施の形態と同様に既存のルータ装置７ａを備えさせ、ネットワーク管理装置１０と共同操作を行わせることも勿論可能である。これにより、ネットワーク管理装置１０が比較的低性能のマシンで実現でき、第２の実施の形態と比べて、導入コストを低くすることが出来る。
【００４５】
ちなみにこの実施形態をとる場合は、ルータ装置７aを流れる通信を全て傍受できるネットワーク構成をとる必要がある。
【図面の簡単な説明】
【００４６】
【図１】本発明の第１の実施の形態に係るネットワーク管理システムの構造を示す概略図である。
【図２】本発明の第１の実施の形態に係るネットワーク管理装置の構造を示す構造図である。
【図３】アドレス格納部内の通信許可データの構造を示す図である。
【図４】ネットワーク管理装置の設定動作を示すフローチャートである。
【図５】ネットワーク管理装置の検出動作を示すフローチャートである。
【図６】本発明の第２の実施の形態に係るネットワーク管理装置の構造を示す構造図である。
【図７】ネットワーク管理装置の検出動作を示すフローチャートである。
【図８】本発明の第３の実施の形態に係るネットワーク管理装置の構造を示す構造図である。
【符号の説明】
【００４７】
１、１ａ…ネットワーク管理装置
２，３…端末装置
４、８…ＬＡＮ
５…メールサーバ
６…Ｗｅｂサーバ
７、７ａ…ルータ装置
９…外部ネットワーク
１０、１０ａ…ネットワーク管理装置
１１、１１ａ…パケット転送部
１２…アドレス割付部
１３…アドレス格納部
１４…外部インタフェース
１５…内部インタフェース
１６…異常監視通知部
１７…ルータ操作部
１００…ネットワーク管理システム
【技術分野】
【０００１】
ＬＡＮ内におけるコンピュータウィルスの蔓延を未然に防ぐためのネットワーク管理装置及びネットワーク管理方法に関する。
【背景技術】
【０００２】
従来、コンピュータウィルスが端末装置と外部ネットワーク間の直接通信にて感染した際に、感染済みの端末装置が属するＬＡＮ内においてそのウィルスが蔓延するのを防ぐ為にいくつかの手法が開発されている。
【０００３】
代表的なものとして、端末装置にウィルス検知用ソフトウェアをインストールし不正な通信を遮断する手法がある。ウィルス検知用ソフトウェアは既知のウィルスの情報をシグネチャとして持ち、それと比較することによってウィルスを検知したり、パーソナルファイアーウォールを備え、端末装置内に予め指定してある通信以外の通信を遮断することによってウィルスの感染を防いだりする（非特許文献１参照。）。
【０００４】
この他にも、ルータ等のネットワーク機器に、不正な通信を検知すると外部ネットワーク間との通信を遮断する機能、又はその不正な通信を管理者に通知する機能を持たせる手法が挙げられる（非特許文献２参照。）。
【非特許文献１】パーソナルファイアーウォール“フリーソフトウェアの紹介：パーソナルファイヤーウォールソフト”、[online]、[平成16年8月16日検索]、インターネット<http://www.okayama-u.ac.jp/user/cc/service/free3.html>
【非特許文献２】アンチウィルスゲートウェイ“企業に必要なタイプ別ウィルス対策：ゲートウェイ型”、[online]、[平成16年8月16日検索]、インターネット＜URL：http://www.atmarkit.co.jp/fsecurity/rensai/anti_virus04/anti_virus01.html＞
【発明の開示】
【発明が解決しようとする課題】
【０００５】
しかしながら、ソフトウェアをインストールする手法では、各端末装置にインストール処理を行う際に手間がかかり、その上ソフトウェア導入のコストが高かった。ウィルス検知の設定を適正に保つ為には、各端末装置のユーザが設定を勝手に変更できないようにパスワードで保護する等の処理が必要であり、運用の面でも手間がかかっていた。また、ウィルス検知の設定の更新等を各ユーザに委ねる場合は、常に適正な更新がなされているか否かはユーザ個人のモラルに頼らざるをえなかった。逆にユーザにしてみれば、このような設定処理及び更新処理が適正に行われているかを常に意識していなければならなかった。
【０００６】
ネットワーク機器にウィルス検知機能を持たせる手法では、ユーザはウィルス検知に対し特別に意識する必要はないが、ＬＡＮ内の全てのネットワーク機器を監視遮断機能を備えた高価なネットワーク機器に交換する必要があり、これらのネットワーク機器導入のためのコストが高くなるという問題があった。
【０００７】
本発明は、上記問題点を解決する為になされたものであり、端末装置でのソフトウェア設定や、ネットワーク機器を新たに導入したり機能設定せずとも、通信の集中点を作成しその一点を監視することによりＬＡＮ内でのウィルスの蔓延を防ぐことが出来るネットワーク管理装置及びネットワーク管理方法を提供することを目的とする。
【課題を解決するための手段】
【０００８】
上記問題点を解決する為、本発明の第１の特徴は、複数の端末装置を備えるネットワークの管理を行うネットワーク管理装置であって、ネットワークに割り当てられたＩＰアドレスの範囲をサブネットマスクのサブネットに分割し、複数の端末装置が個々にネットワーク内にて単一サブネットとなるＩＰアドレスを保有するよう割り当て、複数の端末装置のデフォルトゲートウェイとしてネットワークのゲートウェイに位置するネットワーク管理装置のＩＰアドレスを設定するアドレス割付部と、単一サブネットとなるように割り当てられたＩＰアドレスがネットワーク内において端末装置を含む他装置との間で通信可能か否かを示す通信許可ルールを格納するアドレス格納部と、通信許可ルールに基づいて、端末装置が送受信する通信パケットを転送又は破棄するかを決定するパケット転送部と、複数の端末装置が送受信するパケットの転送を行うルータ装置と、ネットワークに割り当てられたＩＰアドレスの範囲をサブネットマスクのサブネットに分割し、複数の端末装置が個々に前記ネットワーク内にて単一サブネットとなるＩＰアドレスを保有するよう割り当て、デフォルトゲートウェイとしてネットワークのゲートウェイに位置するルータ装置のＩＰアドレスを設定するアドレス割付部と、通信可否ルールに従ってルータ装置のルーティングテーブルを設定するルータ操作部とを備えることを特徴とするネットワーク管理装置、であることを要旨とする。
【０００９】
本発明の第２の特徴は、複数の端末装置を備えるネットワークの管理を行うネットワーク管理装置であって、ネットワークに割り当てられたＩＰアドレスの範囲をサブネットマスクのサブネットに分割し、複数の端末装置が個々に前記ネットワーク内にて単一サブネットとなるＩＰアドレスを保有するよう割り当て、複数の端末装置のデフォルトゲートウェイとしてネットワークのゲートウェイに位置するネットワーク管理装置のＩＰアドレスを設定するアドレス割付部と、単一サブネットとなるように割り当てられたＩＰアドレスがネットワーク内において端末装置を含む他装置との間で通信可能か否かを示す通信許可ルールを格納するアドレス格納部と、通信許可ルールに基づいて、端末装置が送受信する通信パケットを転送又は破棄するかを決定するパケット転送部と、複数の端末装置の少なくとも１台がウィルスに感染したと推測される異常通信を検知し、アドレス格納部内の通信許可ルールを更新する異常監視通知部とを備えることを特徴とするネットワーク管理装置、であることを要旨とする。
【発明の効果】
【００１０】
本発明のネットワーク管理装置及びネットワーク管理方法では、ＬＡＮ内の各端末装置にそれぞれ異なるサブネットとなるようなＩＰアドレスを付与し、各端末装置における通信は全てこのＬＡＮのゲートウェイになっているネットワーク管理装置に集中するように構成される。ネットワーク管理装置ではネットワークの管理者によって予め定められたルールにより通信の通過若しくは遮断を判断し、ウィルス感染に用いられる可能性が低く、必要性が高い通信のみを通過させる。具体的設定の例としては各端末装置のユーザに管理された端末装置同士の通信は遮断し、ネットワークの管理者によって管理されたサーバ等との通信は許可する。これは比較的知識もあり責任もあるネットワーク管理者に管理されたサーバはウィルス等に感染しにくく、比較的知識が少なく責任が軽い各端末のユーザに管理された端末装置はウィルス等に感染しやすいという理由や、端末装置同士の通信は必要性が比較的低いという理由からである。これにより、クライアント端末のソフトウェアの設定や、ネットワーク機器の機能に依らずにＬＡＮ内のウィルス蔓延を防ぐことが可能となる。
【００１１】
又、ネットワーク管理装置及びネットワーク管理方法では、各端末装置の全ての通信を監視することにより、端末装置のコンピュータウィルス感染を、既存のウィルス対策ソフトに依らず、ウィルスの既知未知をも問わずに検知することを可能とする。
【発明を実施するための最良の形態】
【００１２】
次に、図面を参照して、本発明の実施の形態を説明する。以下の図面の記載において、同一又は類似の部分には同一又は類似の符号を付している。ただし、図面は模式的なものであることに留意すべきである。
【００１３】
（第１の実施の形態）
（ネットワーク管理システム）
本発明の第１の実施の形態に係るネットワーク管理システム１００は、図１に示すように、ネットワーク管理装置１が管理する内部ネットワークＡ、ネットワーク管理装置１ａが管理する内部ネットワークＢがあり、ネットワーク管理装置１，１ａはＬＡＮ８にて通信可能となっている。尚、これらの内部ネットワークはＬＡＮ８上に複数存在して構わない。ネットワーク管理装置１，１ａの上位ノードにはルータ装置７が配置され、このルータ装置７はインターネット等の外部ネットワーク９と接続されており、パケット通信可能となっている。
【００１４】
内部ネットワークＡには、ユーザが利用する端末装置２，３、ユーザ宛てのメールを配信するメールサーバ５、ユーザの要求によりコンテンツ等のデータを送受信するＷｅｂサーバ６が存在し、これらの装置はＬＡＮ４を介してネットワーク管理装置１に接続されている。ＬＡＮ４には、この他にも、端末装置やサーバ等の機器が接続されていて構わない。尚、内部ネットワークＢにも同様の装置が存在するが、内部ネットワークＡの装置と同様である為説明は省略する。
【００１５】
ネットワーク管理装置１は、内部ネットワークＡの全ての機器が内部ネットワーク外の装置、例えば内部ネットワークＢや外部ネットワーク９と通信しようとした際、更に内部ネットワークＡ内の全ての機器、例えば端末装置２，３間にて通信を行おうとした際にもこれらの通信を集中管理する。以下、この通信集中管理を可能とする為のネットワーク管理装置１の内部構成について詳述する。
【００１６】
（ネットワーク管理装置）
ネットワーク管理装置１は、図２に示すように、パケット転送部１１、アドレス割付部１２、アドレス格納部１３、外部インタフェース１４及び内部インタフェース１５等から構成される。ネットワーク管理装置１は、図示しないＣＰＵ、主メモリ、補助メモリ、通信制御装置等を備える一般のコンピュータであるものとする。
【００１７】
パケット転送部１１は、内部インタフェース１５又は外部インタフェース１４から受信するパケットを、アドレス格納部１３内の転送許可データを参照して、内部インタフェース１５又は外部インタフェース１４に転送する機能を持つ。尚、転送許可データにより転送不可と判断されたパケットは廃棄される。
【００１８】
アドレス割付部１２は、内部インタフェース１５から端末装置２，３のアドレス割り付け要求を受信し、これに対し適切なアドレスを配布し、そのアドレスデータをアドレス格納部１３に格納する機能を持つ。
【００１９】
アドレス格納部１３は、端末装置２，３やサーバ４，５に割り付けられているアドレスや、パケットの転送の可否を設定している図３の通信許可データを格納している。端末装置２，３は、図３のようにそれぞれ異なるサブネットとなるようにＩＰアドレスが割り当てられている。更に、端末装置２，３やサーバ４，５、外部ネットワークそれぞれの間の通信の許可、拒否をネットワークのセキュリティポリシー等に応じて設定することができる。又、アドレス格納部１３は、パケット転送部１１やアドレス割付部１２からの要求に応じてデータを渡す機能や、ネットワーク管理者等が通信許可ルールを設定する為のユーザーインターフェース機能を持つ。アドレス格納部１３は、主メモリ又は補助メモリ等にて構成される。
【００２０】
外部インタフェース１４は、図１の外部ネットワーク９と内部ネットワークＡ間の通信をパケット転送部１１に受け渡しする機能を持つ。
【００２１】
内部インタフェース１５は、図１の各端末装置２，３からのアドレス割り付け要求やＬＡＮ内の全ての機器におけるＩＰ通信を、アドレス割付部１２やパケット転送部１１に対して受け渡す機能を持つ。
【００２２】
（ネットワーク管理方法）
次に、ネットワーク管理装置１におけるＩＰアドレス割り付け時の動作について図４のフローチャートを参照して説明する。
【００２３】
（ａ）先ずステップＳ１０１において、例えば端末装置２がネットワークを使用する為にアドレスの割り付けを要求すると、図２のアドレス割付部１２が内部インタフェース１５を介してこれを受信する。
【００２４】
（ｂ）ステップＳ１０２において、アドレス割付部１２は、受信したアドレス割付要求に対し、端末装置２が使用可能なＩＰアドレスと、デフォルトゲートウェイのアドレスを発行する。端末装置２のＩＰアドレスとして他の端末装置に対し未だ割り当てられていないサブネットマスク「255.255.255.252」のサブネットのうちひとつのアドレスを割り当て、他の全ての端末装置と別のサブネットになるようにする。例えば、図１及び図３に示すように、端末装置２は「192.168.1.2/30」、端末装置３は「192.168.1.6/30」と、別サブネットに設定する。勿論、端末装置はＬＡＮ４上に複数台存在して構わない。尚、デフォルトゲートウェイのアドレスにはネットワーク管理装置１のアドレスを指定する。このデフォルト値により全ての通信は一旦ネットワーク管理装置１に集中することとなる。
【００２５】
（ｃ）ステップＳ１０３において、アドレス割付部１２はＩＰアドレスを発行すると同時に、その発行したＩＰアドレスと発行した端末装置２を識別する為の情報、例えばマシンアドレス等をアドレス格納部１３に格納する。
【００２６】
（ｄ）ステップＳ１０４において、アドレス割付部１２は、発行したアドレスを内部インタフェース１５を介して端末装置２に送信する。
【００２７】
次に、ネットワーク管理装置１におけるパケット転送の動作について図５のフローチャートを参照して説明する。
【００２８】
（ａ）ステップＳ２０１において、端末装置２が、例えば端末装置３に対しパケットを送信する。端末装置２から見ると他の端末装置のＩＰアドレスは別のサブネットのアドレスなので、すべての通信パケットはデフォルトゲートウェイ、つまりネットワーク管理装置１に向けて発信される。
【００２９】
（ｂ）ステップＳ２０２において、発信パケットを受信したネットワーク管理装置１は、アドレス格納部１３に予め格納されている図３の転送許可データと照合する。ステップＳ２０３において照合の結果、許可する通信の場合は、ステップＳ２０４において該当する端末装置へ向けて受け取ったパケットを転送する。許可しない通信の場合は、ステップＳ２０５において受け取ったパケットを破棄する。
【００３０】
本発明の第１の実施の形態によると、ウィルスが感染に利用する可能性がある通信を遮断するような転送許可設定を設定することにより、セキュリティを脅かす可能性のある不要な通信をネットワーク管理装置１にて確実に遮断することができる。上記のシステムではネットワーク管理装置１を導入するだけであり、従来の手法よりも導入コスト的に優れている。設定の管理はアドレス格納部１３のデータの変更により一括して行えるため、管理コスト的にも優れている。
【００３１】
さらに上記のシステムでは、許可されている通信以外のすべての通信を禁止しているので、従来のウィルス対策用ソフトウェアで定義されていない未知のウィルスの蔓延に対しても効果を発揮する可能性がある。
【００３２】
（第２の実施の形態）
第１の実施の形態においては、ステップＳ２０３の通信許可判断の結果、通信不可と判断されたパケットはステップＳ２０５において廃棄されていた。しかし、通信許可と設定されている通信路においてもウィルスの感染拡大のための通信が流れている可能性がある。本実施形態ではそれらのウィルス感染拡大通信を検知し通信許可ルールを自動的に変更することによって、感染している端末をネットワークから隔離する機能を付加している。
【００３３】
本発明の第２の実施の形態に係るネットワーク管理装置１０は、図６に示すように、パケット転送部１１、アドレス割付部１２、アドレス格納部１３、外部インタフェース１４、内部インタフェース１５及び異常監視通知部１６等から構成される。
【００３４】
異常監視通知部１６は、ウィルスの活動に伴う異常通信を検知すると、直ちにアドレス格納部１３の通信許可ルールを更新し、感染した該当端末装置の通信を全て遮断するようにする。異常監視通知部１６の異常通信検知方法としては、シグネチャ等の既知のパターンと比較することよりウィルスを検知する手法や、ＰＩＮＧやＡＲＰ等の特殊パケットの通信量を監視して大きな変化を検知し、ウィルスの感染を推測する手法等がある。尚、他の装置については第１の実施の形態と同様である為、説明を省略する。
【００３５】
次にネットワーク管理装置１０の動作について図７のフローチャートを参照して説明する。
【００３６】
（ａ）ステップＳ３０１において、一例として端末装置２にウィルスが感染した場合、端末装置２は他の機器に対し感染拡大のための特殊な通信を開始する。ネットワーク管理装置１０はこのウィルス感染パケットを受信する。
【００３７】
（ｂ）ステップＳ３０２において、受信したパケットの異常検査を行う。受信したパケットが異常であると判断した場合、ネットワーク管理装置はステップＳ３０７においてアドレス格納部の通信許可データを端末装置２の全ての通信を遮断するように変更する。このように変更を行うことによって、ネットワーク内の端末がウイルスに感染してしまった場合でも他の端末への感染拡大を防ぐことができる。さらにステップＳ３０８においてその旨を管理者に通知する。
【００３８】
異常だと判断されなかった場合は第１の実施形態と同様、通信の可否を判断し、許可された通信のみ転送を行い、許可されていない通信は破棄する。
【００３９】
第２の実施の形態によると、ネットワーク管理装置１０は、従来のウィルス対策用ソフトウェアで定義されていない未知のウィルスにおいても、異常監視通知部１６が感染源となる機器を検知し、属するネットワークから完全に遮断することにより、ウィルス感染による被害を最小限に抑えることが可能である。
【００４０】
（第３の実施の形態）
ネットワーク管理装置１のパケット転送部１１は管理装置自身が持っていなければならない機能ではないため、図８に示すようにネットワーク管理装置１の位置に新たにルータ装置７ａを設置し、パケット転送部１１ａの機能を肩代わりさせる構成をとることもできる。
【００４１】
この場合、各端末のデフォルトゲートウェイとしてはルータ装置７ａが指定される。又、アドレス割付部１２がＩＰアドレスを割り付けたときは、アドレス格納部１３及びルータ操作部１４に通知される。この通知を受けたルータ操作部１４は、アドレス格納部１３に格納されている通信許可ルールに従って、ルータ装置７ａのルーティングテーブルの設定を行う。この動作以外のＩＰアドレス割り付け動作や通信の流れは第１の実施の形態と同様である為、説明は省略する。このようにＩＰアドレスやルーティングテーブルを設定することにより、第１の実施形態と同様の効果を得ることができる。
【００４２】
ちなみに、図８ではルータ装置７ａの直下にスイッチングHUB１６を置き、そこにネットワーク管理装置１ａを繋げているが、ネットワーク管理装置１ａは図８の位置ではなくても、内部ネットワークＡの中であればどこでも良い。
【００４３】
第３の実施の形態では、ネットワークに既存のルータを使用することが可能である。これにより、非常に高性能を必要とするネットワーク管理装置のパケット転送部１１をルータに肩代わりさせることができ、比較的低性能のマシンでネットワーク管理装置１ａを実現することができる。このことによって、第１の実施の形態と比べて、導入コストを低くすることが出来る。
【００４４】
（第４の実施の形態）
尚、第２の実施の形態の異常監視通知部１６を備えたネットワーク管理装置１０においても、第３の実施の形態と同様に既存のルータ装置７ａを備えさせ、ネットワーク管理装置１０と共同操作を行わせることも勿論可能である。これにより、ネットワーク管理装置１０が比較的低性能のマシンで実現でき、第２の実施の形態と比べて、導入コストを低くすることが出来る。
【００４５】
ちなみにこの実施形態をとる場合は、ルータ装置７aを流れる通信を全て傍受できるネットワーク構成をとる必要がある。
【図面の簡単な説明】
【００４６】
【図１】本発明の第１の実施の形態に係るネットワーク管理システムの構造を示す概略図である。
【図２】本発明の第１の実施の形態に係るネットワーク管理装置の構造を示す構造図である。
【図３】アドレス格納部内の通信許可データの構造を示す図である。
【図４】ネットワーク管理装置の設定動作を示すフローチャートである。
【図５】ネットワーク管理装置の検出動作を示すフローチャートである。
【図６】本発明の第２の実施の形態に係るネットワーク管理装置の構造を示す構造図である。
【図７】ネットワーク管理装置の検出動作を示すフローチャートである。
【図８】本発明の第３の実施の形態に係るネットワーク管理装置の構造を示す構造図である。
【符号の説明】
【００４７】
１、１ａ…ネットワーク管理装置
２，３…端末装置
４、８…ＬＡＮ
５…メールサーバ
６…Ｗｅｂサーバ
７、７ａ…ルータ装置
９…外部ネットワーク
１０、１０ａ…ネットワーク管理装置
１１、１１ａ…パケット転送部
１２…アドレス割付部
１３…アドレス格納部
１４…外部インタフェース
１５…内部インタフェース
１６…異常監視通知部
１７…ルータ操作部
１００…ネットワーク管理システム
【特許請求の範囲】
【請求項１】
複数の端末装置を備えるネットワークの管理を行うネットワーク管理装置であって、
前記ネットワークに割り当てられたＩＰアドレスの範囲をサブネットマスクのサブネットに分割し、前記複数の端末装置が個々に前記ネットワーク内にて単一サブネットとなるＩＰアドレスを保有するよう割り当て、前記複数の端末装置のデフォルトゲートウェイとして前記ネットワークのゲートウェイに位置する前記ネットワーク管理装置のＩＰアドレスを設定するアドレス割付部と、
前記単一サブネットとなるように割り当てられたＩＰアドレスが前記ネットワーク内において前記端末装置を含む他装置との間で通信可能か否かを示す通信許可ルールを格納するアドレス格納部と、
前記通信許可ルールに基づいて、前記端末装置が送受信する通信パケットを転送又は破棄するかを決定するパケット転送部と、
前記複数の端末装置が送受信するパケットの転送を行うルータ装置と、
前記ネットワークに割り当てられたＩＰアドレスの範囲をサブネットマスクのサブネットに分割し、前記複数の端末装置が個々に前記ネットワーク内にて単一サブネットとなるＩＰアドレスを保有するよう割り当て、デフォルトゲートウェイとして前記ネットワークのゲートウェイに位置する前記ルータ装置のＩＰアドレスを設定するアドレス割付部と、
前記通信可否ルールに従って前記ルータ装置のルーティングテーブルを設定するルータ操作部と
を備えることを特徴とするネットワーク管理装置。
【請求項２】
複数の端末装置を備えるネットワークの管理を行うネットワーク管理装置であって、
前記ネットワークに割り当てられたＩＰアドレスの範囲をサブネットマスクのサブネットに分割し、前記複数の端末装置が個々に前記ネットワーク内にて単一サブネットとなるＩＰアドレスを保有するよう割り当て、前記複数の端末装置のデフォルトゲートウェイとして前記ネットワークのゲートウェイに位置する前記ネットワーク管理装置のＩＰアドレスを設定するアドレス割付部と、
前記単一サブネットとなるように割り当てられたＩＰアドレスが前記ネットワーク内において前記端末装置を含む他装置との間で通信可能か否かを示す通信許可ルールを格納するアドレス格納部と、
前記通信許可ルールに基づいて、前記端末装置が送受信する通信パケットを転送又は破棄するかを決定するパケット転送部と、
前記複数の端末装置の少なくとも１台がウィルスに感染したと推測される異常通信を検知し、前記アドレス格納部内の前記通信許可ルールを更新する異常監視通知部
とを備えることを特徴とするネットワーク管理装置。
【請求項３】
前記複数の端末装置が送受信するパケットの転送を行うルータ装置と、
前記ネットワークに割り当てられたＩＰアドレスの範囲をサブネットマスクのサブネットに分割し、前記複数の端末装置が個々に前記ネットワーク内にて単一サブネットとなるＩＰアドレスを保有するよう割り当て、デフォルトゲートウェイとして前記ネットワークのゲートウェイに位置する前記ルータ装置のＩＰアドレスを設定するアドレス割付部（１２）と、
前記通信可否ルールに従って前記ルータ装置のルーティングテーブルを設定するルータ操作部
とを更に備えることを特徴とする請求項２記載のネットワーク管理装置。
【請求項４】
複数の端末装置を備えるネットワークにおいて、前記ネットワークに割り当てられたＩＰアドレスの範囲をサブネットマスクのサブネットに分割し、前記複数の端末装置が個々に前記ネットワーク内にて単一サブネットとなるＩＰアドレスを保有するよう割り当てるステップと、
前記複数の端末装置のデフォルトゲートウェイとして前記ネットワークのゲートウェイに位置する前記ネットワークの管理装置のＩＰアドレスを設定するステップと、
前記単一サブネットとなるように割り当てられたＩＰアドレスが前記ネットワーク内において前記端末装置を含む他装置との間で通信可能か否かを示す通信許可ルールをアドレス格納部に格納するステップと、
前記アドレス格納部内の前記通信許可ルールに基づいて、前記端末装置が送受信する通信パケットを転送又は破棄するかを決定するステップと、
前記デフォルトゲートウェイとして、前記ネットワークのゲートウェイに位置し、前記複数の端末装置が送受信するパケットの転送を行うルータ装置のＩＰアドレスを設定するステップと、
前記ルータ装置のルーティングテーブルを前記通信許可ルールに基づいて設定するステップ
とを備えることを特徴とするネットワーク管理方法。
【請求項５】
複数の端末装置を備えるネットワークにおいて、前記ネットワークに割り当てられたＩＰアドレスの範囲をサブネットマスクのサブネットに分割し、前記複数の端末装置が個々に前記ネットワーク内にて単一サブネットとなるＩＰアドレスを保有するよう割り当てるステップと、
前記複数の端末装置のデフォルトゲートウェイとして前記ネットワークのゲートウェイに位置する前記ネットワークの管理装置のＩＰアドレスを設定するステップと、
前記単一サブネットとなるように割り当てられたＩＰアドレスが前記ネットワーク内において前記端末装置を含む他装置との間で通信可能か否かを示す通信許可ルールをアドレス格納部に格納するステップと、
前記アドレス格納部内の前記通信許可ルールに基づいて、前記端末装置が送受信する通信パケットを転送又は破棄するかを決定するステップと、
前記複数の端末装置の少なくとも１台がウィルスに感染したと推測される異常通信を検知し、前記アドレス格納部内の前記通信許可ルールを更新するステップと
を備えることを特徴とするネットワーク管理方法。
【請求項６】
前記デフォルトゲートウェイとして、前記ネットワークのゲートウェイに位置し、前記複数の端末装置が送受信するパケットの転送を行うルータ装置のＩＰアドレスを設定するステップと、
前記ルータ装置のルーティングテーブルを前記通信許可ルールに基づいて設定するステップと
を更に備えることを特徴とする請求項５記載のネットワーク管理方法。
【請求項１】
複数の端末装置を備えるネットワークの管理を行うネットワーク管理装置であって、
前記ネットワークに割り当てられたＩＰアドレスの範囲をサブネットマスクのサブネットに分割し、前記複数の端末装置が個々に前記ネットワーク内にて単一サブネットとなるＩＰアドレスを保有するよう割り当て、前記複数の端末装置のデフォルトゲートウェイとして前記ネットワークのゲートウェイに位置する前記ネットワーク管理装置のＩＰアドレスを設定するアドレス割付部と、
前記単一サブネットとなるように割り当てられたＩＰアドレスが前記ネットワーク内において前記端末装置を含む他装置との間で通信可能か否かを示す通信許可ルールを格納するアドレス格納部と、
前記通信許可ルールに基づいて、前記端末装置が送受信する通信パケットを転送又は破棄するかを決定するパケット転送部と、
前記複数の端末装置が送受信するパケットの転送を行うルータ装置と、
前記ネットワークに割り当てられたＩＰアドレスの範囲をサブネットマスクのサブネットに分割し、前記複数の端末装置が個々に前記ネットワーク内にて単一サブネットとなるＩＰアドレスを保有するよう割り当て、デフォルトゲートウェイとして前記ネットワークのゲートウェイに位置する前記ルータ装置のＩＰアドレスを設定するアドレス割付部と、
前記通信可否ルールに従って前記ルータ装置のルーティングテーブルを設定するルータ操作部と
を備えることを特徴とするネットワーク管理装置。
【請求項２】
複数の端末装置を備えるネットワークの管理を行うネットワーク管理装置であって、
前記ネットワークに割り当てられたＩＰアドレスの範囲をサブネットマスクのサブネットに分割し、前記複数の端末装置が個々に前記ネットワーク内にて単一サブネットとなるＩＰアドレスを保有するよう割り当て、前記複数の端末装置のデフォルトゲートウェイとして前記ネットワークのゲートウェイに位置する前記ネットワーク管理装置のＩＰアドレスを設定するアドレス割付部と、
前記単一サブネットとなるように割り当てられたＩＰアドレスが前記ネットワーク内において前記端末装置を含む他装置との間で通信可能か否かを示す通信許可ルールを格納するアドレス格納部と、
前記通信許可ルールに基づいて、前記端末装置が送受信する通信パケットを転送又は破棄するかを決定するパケット転送部と、
前記複数の端末装置の少なくとも１台がウィルスに感染したと推測される異常通信を検知し、前記アドレス格納部内の前記通信許可ルールを更新する異常監視通知部
とを備えることを特徴とするネットワーク管理装置。
【請求項３】
前記複数の端末装置が送受信するパケットの転送を行うルータ装置と、
前記ネットワークに割り当てられたＩＰアドレスの範囲をサブネットマスクのサブネットに分割し、前記複数の端末装置が個々に前記ネットワーク内にて単一サブネットとなるＩＰアドレスを保有するよう割り当て、デフォルトゲートウェイとして前記ネットワークのゲートウェイに位置する前記ルータ装置のＩＰアドレスを設定するアドレス割付部（１２）と、
前記通信可否ルールに従って前記ルータ装置のルーティングテーブルを設定するルータ操作部
とを更に備えることを特徴とする請求項２記載のネットワーク管理装置。
【請求項４】
複数の端末装置を備えるネットワークにおいて、前記ネットワークに割り当てられたＩＰアドレスの範囲をサブネットマスクのサブネットに分割し、前記複数の端末装置が個々に前記ネットワーク内にて単一サブネットとなるＩＰアドレスを保有するよう割り当てるステップと、
前記複数の端末装置のデフォルトゲートウェイとして前記ネットワークのゲートウェイに位置する前記ネットワークの管理装置のＩＰアドレスを設定するステップと、
前記単一サブネットとなるように割り当てられたＩＰアドレスが前記ネットワーク内において前記端末装置を含む他装置との間で通信可能か否かを示す通信許可ルールをアドレス格納部に格納するステップと、
前記アドレス格納部内の前記通信許可ルールに基づいて、前記端末装置が送受信する通信パケットを転送又は破棄するかを決定するステップと、
前記デフォルトゲートウェイとして、前記ネットワークのゲートウェイに位置し、前記複数の端末装置が送受信するパケットの転送を行うルータ装置のＩＰアドレスを設定するステップと、
前記ルータ装置のルーティングテーブルを前記通信許可ルールに基づいて設定するステップ
とを備えることを特徴とするネットワーク管理方法。
【請求項５】
複数の端末装置を備えるネットワークにおいて、前記ネットワークに割り当てられたＩＰアドレスの範囲をサブネットマスクのサブネットに分割し、前記複数の端末装置が個々に前記ネットワーク内にて単一サブネットとなるＩＰアドレスを保有するよう割り当てるステップと、
前記複数の端末装置のデフォルトゲートウェイとして前記ネットワークのゲートウェイに位置する前記ネットワークの管理装置のＩＰアドレスを設定するステップと、
前記単一サブネットとなるように割り当てられたＩＰアドレスが前記ネットワーク内において前記端末装置を含む他装置との間で通信可能か否かを示す通信許可ルールをアドレス格納部に格納するステップと、
前記アドレス格納部内の前記通信許可ルールに基づいて、前記端末装置が送受信する通信パケットを転送又は破棄するかを決定するステップと、
前記複数の端末装置の少なくとも１台がウィルスに感染したと推測される異常通信を検知し、前記アドレス格納部内の前記通信許可ルールを更新するステップと
を備えることを特徴とするネットワーク管理方法。
【請求項６】
前記デフォルトゲートウェイとして、前記ネットワークのゲートウェイに位置し、前記複数の端末装置が送受信するパケットの転送を行うルータ装置のＩＰアドレスを設定するステップと、
前記ルータ装置のルーティングテーブルを前記通信許可ルールに基づいて設定するステップと
を更に備えることを特徴とする請求項５記載のネットワーク管理方法。
【図１】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【公開番号】特開２００６−１０１４１４（Ｐ２００６−１０１４１４Ａ）
【公開日】平成１８年４月１３日（２００６．４．１３）
【国際特許分類】
【出願番号】特願２００４−２８７６３８（Ｐ２００４−２８７６３８）
【出願日】平成１６年９月３０日（２００４．９．３０）
【出願人】（０００００３０７８）株式会社東芝 (54,554)
【出願人】（３０１０６３４９６）東芝ソリューション株式会社 (1,478)
【Ｆターム（参考）】
【公開日】平成１８年４月１３日（２００６．４．１３）
【国際特許分類】
【出願日】平成１６年９月３０日（２００４．９．３０）
【出願人】（０００００３０７８）株式会社東芝 (54,554)
【出願人】（３０１０６３４９６）東芝ソリューション株式会社 (1,478)
【Ｆターム（参考）】
[ Back to top ]