管理サーバ、通信遮断装置、情報処理システム、方法およびプログラム
【課題】ネットワークに接続された情報処理装置を管理するシステムにおいて、同一の識別子を有する複数の情報処理装置を識別することを課題とする。
【解決手段】複数のネットワークセグメント２を有する検疫システム１に、ネットワークセグメント２に属するノード９０を識別可能なノードＩＤ、およびノード９０が属するネットワークセグメント２を識別可能なセグメントＩＤを取得する管理情報取得部３４と、取得されたノードＩＤおよびセグメントＩＤを関連付けて、ノードＩＤおよびセグメントＩＤが示すノード９０に係る通信の遮断の要否を判定可能なように蓄積する管理情報蓄積部３５と、蓄積されたノードＩＤおよびセグメントＩＤが示すノード９０に係る通信の遮断の要否を判定する遮断要否判定部３６と、ノード９０に係る通信の遮断が必要であると判定された場合に、ノードＩＤが示すノード９０に係る通信を遮断する通信遮断部２１と、を備えた。
【解決手段】複数のネットワークセグメント２を有する検疫システム１に、ネットワークセグメント２に属するノード９０を識別可能なノードＩＤ、およびノード９０が属するネットワークセグメント２を識別可能なセグメントＩＤを取得する管理情報取得部３４と、取得されたノードＩＤおよびセグメントＩＤを関連付けて、ノードＩＤおよびセグメントＩＤが示すノード９０に係る通信の遮断の要否を判定可能なように蓄積する管理情報蓄積部３５と、蓄積されたノードＩＤおよびセグメントＩＤが示すノード９０に係る通信の遮断の要否を判定する遮断要否判定部３６と、ノード９０に係る通信の遮断が必要であると判定された場合に、ノードＩＤが示すノード９０に係る通信を遮断する通信遮断部２１と、を備えた。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、ネットワークに接続された情報処理装置を管理する技術に関する。
【背景技術】
【０００２】
従来、ネットワークを介してＡＲＰ（Ａｄｄｒｅｓｓ Ｒｅｓｏｌｕｔｉｏｎ Ｐｒｏｔｏｃｏｌ）要求を受信したときに、ＡＲＰ要求の要求元の端末が正規端末か否かを判断するアクセス権判断部と、要求元の端末が不正端末であると判断されたときに、不正端末の送信機能を停止させるＰＡＵＳＥフレームを予め設定された期間にわたって不正端末または正規端末の少なくともいずれか一方を宛先として送信するＰＡＵＳＥフレーム送信部と、ＰＡＵＳＥフレーム送信部からＰＡＵＳＥフレームが送信されている間にＡＲＰ要求に対する偽のＡＲＰ応答を不正端末に送信して正規端末との通信を不可能にさせる偽ＡＲＰ応答部とを備える不正アクセス防止装置がある（特許文献１を参照）。
【０００３】
また、相手端末のＩＰアドレス宛のＡＲＰパケットをブロードキャスト送信すると共に、自側のＩＰアドレス宛のＡＲＰパケット又はＡＲＰ応答を受信するＡＲＰ通信部と、相手端末からのＡＲＰパケットに対するＡＲＰ応答を返信するＡＲＰ応答部と、セッション開始時に相手側ＭＡＣ（Ｍｅｄｉａ Ａｃｃｅｓｓ Ｃｏｎｔｒｏｌ）アドレスを相互に受信するＭＡＣアドレス通信部と、相手側ＭＡＣアドレスを使用して、相手端末との音声パケット通信を実行するパケット通信部とを有し、ＡＲＰ応答部は、相手側ＭＡＣアドレスを受信すると、セッション終了まで自側のＩＰアドレス宛のＡＲＰパケットを受信したとしても、同ＡＲＰパケットに対するＡＲＰ応答の返信を停止するようにしたＩＰ端末装置がある（特許文献２を参照）。
【先行技術文献】
【特許文献】
【０００４】
【特許文献１】特開２００７−２３５６６２号公報
【特許文献２】特開２００８−１１８２５９号公報
【発明の概要】
【発明が解決しようとする課題】
【０００５】
例えば、ネットワークの不正利用を防止する目的で、未承認の情報処理装置による通信を遮断する場合、ネットワークに接続された情報処理装置が承認済か未承認かを管理する必要がある。従来、このような管理では、承認済の情報処理装置の識別子をホワイトリストに記録し、また、必要であれば未承認の装置の識別子をブラックリストに記録する方法等が採用される。
【０００６】
しかし、このような、情報処理装置の識別子を登録したリストを用いて情報処理装置を管理する方法では、同一の識別子を有する情報処理装置が複数接続された場合に、これらの情報処理装置を識別（区別）することが困難である。特に、承認済の情報処理装置と同一の識別子で偽装された未承認の情報処理装置が接続された場合に、これらの情報処理装置を識別し、承認済か未承認であるかを判断することは困難であった。
【０００７】
本発明は、上記した問題に鑑み、ネットワークに接続された情報処理装置を管理するシステムにおいて、同一の識別子を有する複数の情報処理装置を識別することを課題とする。
【課題を解決するための手段】
【０００８】
本発明では、上記課題を解決するために、以下の手段を採用した。即ち、本発明は、複数のネットワークセグメントを管理する管理サーバであって、前記ネットワークセグメントに属する情報処理装置を識別可能な装置識別情報、および該情報処理装置が属するネットワークセグメントを識別可能なセグメント識別情報を取得する管理情報取得手段と、前記管理情報取得手段によって取得された前記装置識別情報および前記セグメント識別情報を関連付けて、該装置識別情報および該セグメント識別情報が示す情報処理装置に係る通信の遮断の要否を判定可能なように蓄積する管理情報蓄積手段と、前記管理情報蓄積手段によって蓄積された装置識別情報およびセグメント識別情報が示す情報処理装置に係る通信の遮断の要否を判定する遮断要否判定手段と、前記遮断要否判定手段によって判定された遮断の要否を、前記情報処理装置に係る通信の遮断を行う通信遮断装置に通知する遮断要否通知手段と、を備える管理サーバである。
【０００９】
ここで、ネットワークセグメントとは、ネットワーク全体を所定の基準に従って分割した場合の、ネットワークの各部分である。換言すれば、複数のネットワークセグメントを、ルータやスイッチ等の中継装置を介して互いに通信可能に接続することで、本発明の情報処理システムに係るネットワークが構築される。例えば、ネットワークセグメントは、データリンク層におけるブロードキャストパケットが到達する範囲とすることが出来る。
【００１０】
本発明によれば、セグメント識別情報と関連付けられて装置識別情報が蓄積されることで、異なるネットワークセグメントにおいて同一の装置識別情報を有する情報処理装置が接続された場合であっても、異なる情報処理装置であることを正しく認識し、夫々の情報処理装置に対して通信遮断または通信許可等の制御を行うことが可能となる。
【００１１】
また、本発明において、前記管理情報取得手段は、前記装置識別情報および前記セグメント識別情報を、該装置識別情報が示す情報処理装置が属するネットワークセグメントに接続されている前記通信遮断装置から取得してもよい。
【００１２】
また、本発明において、前記管理情報取得手段は、前記セグメント識別情報として、前記通信遮断装置の識別子を取得してもよいし、前記セグメント識別情報として、前記ネットワークセグメントに接続されている該通信遮断装置のインターフェースの識別子を更に取得してもよい。
【００１３】
セグメント識別情報として、通信遮断装置の識別子、および通信遮断装置のインターフェースの識別子を取得することで、複数のインターフェースを有する単一の通信遮断装置が、夫々のインターフェースを介して複数の異なるネットワークセグメントに接続されているような場合であっても、これらのネットワークセグメントにおいて同一の装置識別情報を有する情報処理装置が接続された際には、異なる情報処理装置であることを正しく認識し、夫々の情報処理装置に対して通信遮断または通信許可等の制御を行うことが可能となる。
【００１４】
また、本発明に係る管理サーバは、前記装置識別情報を用いて、前記管理情報蓄積手段によって蓄積された情報を検索することで、異なるネットワークセグメントに属する、前記装置識別情報が重複する情報処理装置を抽出する抽出手段と、前記装置識別情報が重複する複数の情報処理装置が抽出された場合に、重複が発生していることをユーザに通知する抽出結果通知手段と、を更に備えてもよい。
【００１５】
本発明によれば、上記のような抽出手段および抽出結果通知手段を備えることで、複数のネットワークセグメントが互いに接続された情報処理システムにおいて、装置識別情報が重複する情報処理装置が接続された場合にも、重複を検出し、管理者等のユーザに通知する事が可能となる。
【００１６】
また、本発明は、ネットワークセグメントに接続される通信遮断装置の発明としても把握する事が可能である。即ち、本発明は、ネットワークセグメントに属する情報処理装置を識別可能な装置識別情報を取得する装置識別情報取得手段と、前記装置識別情報と、該装置識別情報が示す情報処理装置が属する前記ネットワークセグメントを識別可能なセグメント識別情報と、を関連付けて管理サーバに送信する管理情報送信手段と、前記管理サーバから、前記装置識別情報が示す情報処理装置に係る通信の遮断の要否を取得する遮断要否取得手段と、前記遮断要否取得手段によって、前記装置識別情報が示す情報処理装置に係る通信の遮断が必要であることを示す情報が取得された場合に、該情報処理装置に係る通信を遮断する通信遮断手段と、を備える通信遮断装置である。
【００１７】
また、本発明において、前記管理情報送信手段は、前記セグメント識別情報として、該通信遮断装置の識別子を送信してもよい。
【００１８】
また、本発明に係る通信遮断装置は、夫々を異なるセグメントに接続可能な複数のインターフェースを有し、前記管理情報送信手段は、前記セグメント識別情報として、前記ネットワークセグメントに接続される前記インターフェースの識別子を更に送信してもよい。
【００１９】
また、本発明に係る通信遮断装置は、前記情報処理装置に対して、他の装置の物理アドレス（例えば、ＭＡＣアドレス）として、該通信遮断装置の物理アドレスを通知することで、該情報処理装置から送信される情報を該通信遮断装置に誘導する、物理アドレス偽装手段を更に備え、前記通信遮断手段は、前記誘導された情報の少なくとも一部を転送しないことで、前記情報処理装置に係る通信の少なくとも一部を遮断してもよい。
【００２０】
また、本発明は、複数のネットワークセグメントを有する情報処理システムの発明としても把握することが可能である。即ち、本発明は、複数のネットワークセグメントを有する情報処理システムであって、前記ネットワークセグメントに属する情報処理装置を識別可能な装置識別情報、および該情報処理装置が属するネットワークセグメントを識別可能なセグメント識別情報を取得する管理情報取得手段と、前記管理情報取得手段によって取得された前記装置識別情報および前記セグメント識別情報を関連付けて、該装置識別情報および該セグメント識別情報が示す情報処理装置に係る通信の遮断の要否を判定可能なように蓄積する管理情報蓄積手段と、前記管理情報蓄積手段によって蓄積された装置識別情報およびセグメント識別情報が示す情報処理装置に係る通信の遮断の要否を判定する遮断要否判定手段と、前記遮断要否判定手段によって、前記情報処理装置に係る通信の遮断が必要であると判定された場合に、前記装置識別情報が示す情報処理装置に係る通信を遮断する通信遮断手段と、を備える情報処理システムである。
【００２１】
また、本発明に係る情報処理システムは、前記装置識別情報を用いて、前記管理情報蓄積手段によって蓄積された情報を検索することで、異なるネットワークセグメントに属する、前記装置識別情報が重複する情報処理装置を抽出する抽出手段と、前記装置識別情報が重複する複数の情報処理装置が抽出された場合に、重複が発生していることをユーザに通知する抽出結果通知手段と、を更に備えてもよい。
【００２２】
更に、本発明は、方法、又はコンピュータによって実行されるプログラムとしても把握することが可能である。また、本発明は、そのようなプログラムをコンピュータその他の装置、機械等が読み取り可能な記録媒体に記録したものでもよい。ここで、コンピュータ等が読み取り可能な記録媒体とは、データやプログラム等の情報を電気的、磁気的、光学的、機械的、または化学的作用によって蓄積し、コンピュータ等から読み取ることができる記録媒体をいう。
【発明の効果】
【００２３】
本発明によれば、ネットワークに接続された装置を管理するシステムにおいて、同一の識別子を有する複数の装置を識別することが可能となる。
【図面の簡単な説明】
【００２４】
【図１】実施形態に係る検疫システムの構成を示す概略図である。
【図２】実施形態に係るネットワーク監視装置および検疫サーバのハードウェア構成を示す図である。
【図３】実施形態に係るネットワーク監視装置および検疫サーバの機能構成の概略を示す図である。
【図４】実施形態に係るノード管理処理の流れを示すフローチャートである。
【図５】実施形態に係る通信遮断処理、および検疫ページへの誘導処理の流れを示すフローチャートである。
【図６】実施形態に係る検疫処理の流れを示すフローチャートである。
【図７】実施形態に係る重複検出処理の流れを示すフローチャートである。
【図８】実施形態に係る検疫システムのバリエーション（１）を示す概略図である。
【図９】実施形態に係る検疫システムのバリエーション（２）を示す概略図である。
【発明を実施するための形態】
【００２５】
以下、本発明に係る情報処理システムを、検疫システムとして実施した場合の実施の形態について、図面に基づいて説明する。但し、本発明に係る情報システムは、ネットワークに属する情報処理装置を管理する目的に広く用いることが可能であり、本発明の適用対象は、検疫システムに限定されない。
【００２６】
＜システムの構成＞
図１は、本実施形態に係る検疫システム１の構成を示す概略図である。本実施形態に係る検疫システム１は、検疫対象となる複数の情報処理装置９０（以下、「ノード９０」と称する）が接続される複数のネットワークセグメント２と、ルータ１０を介してネットワークセグメント２と通信可能に接続されている検疫サーバ３０と、業務サーバ５０と、を備える。そして、夫々のネットワークセグメント２には、検疫が完了していないノード９０による通信を遮断するためのネットワーク監視装置２０が接続されている。
【００２７】
なお、ネットワーク監視装置２０は、本発明に係る通信遮断装置に相当し、検疫サーバ３０は、本発明に係る、複数のネットワークセグメント２を管理する管理サーバに相当する。また、業務サーバ５０は、ノード９０に対して業務のためのサービスを提供し、検疫サーバ３０は、ネットワークセグメント２に接続されたノード９０に対して検疫サービスを提供する。
【００２８】
なお、本実施形態に係る検疫システム１では、ノード９０から接続される各種サーバは、インターネットや広域ネットワークを介して遠隔地において接続されたものであり、例えばＡＳＰ（Ａｐｐｌｉｃａｔｉｏｎ Ｓｅｒｖｉｃｅ Ｐｒｏｖｉｄｅｒ）によって提供されるが、これらのサーバは、必ずしも遠隔地に接続されたものである必要はない。例えば、これらのサーバは、ノード９０やネットワーク監視装置２０が存在するローカルネットワーク上に接続されていてもよい。
【００２９】
図２は、本実施形態に係るネットワーク監視装置２０および検疫サーバ３０のハードウェア構成を示す図である。なお、図２においては、ネットワーク監視装置２０および検疫サーバ３０以外の構成（ルータ１０、ノード９０、業務サーバ５０等）については、図示を省略している。ネットワーク監視装置２０および検疫サーバ３０は、それぞれ、ＣＰＵ
（Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）１１ａ、１１ｂ、ＲＡＭ（Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）１３ａ、１３ｂ、ＲＯＭ（Ｒｅａｄ Ｏｎｌｙ Ｍｅｍｏｒｙ）１２ａ、１２ｂ、ＥＥＰＲＯＭ（Ｅｌｅｃｔｒｉｃａｌｌｙ Ｅｒａｓａｂｌｅ ａｎｄ Ｐｒｏｇｒａｍｍａｂｌｅ Ｒｅａｄ Ｏｎｌｙ Ｍｅｍｏｒｙ）やＨＤＤ（Ｈａｒｄ Ｄｉｓｋ Ｄｒｉｖｅ）等の記憶装置１４ａ、１４ｂ、ＮＩＣ（Ｎｅｔｗｏｒｋ Ｉｎｔｅｒｆａｃｅ Ｃａｒｄ）１５ａ、１５ｂ等の通信ユニット、等を備えるコンピュータである。
【００３０】
ここで、ネットワーク監視装置２０の記憶装置１４ａには、ネットワーク監視装置２０を制御するためのプログラムの他に、検疫済端末リスト２８ａおよび未検疫端末リスト２８ｂが記録されている。検疫済端末リスト２８ａには、検疫サーバ３０による検疫が完了しており、業務サーバ５０や他のノード９０への接続を行うことが許可された端末を識別するための情報がリストアップされている。また、未検疫端末リスト２８ｂには、検疫サーバ３０による検疫が完了していないために、ネットワークにおける通信がネットワーク監視装置２０によって遮断されるべき端末を識別するための情報がリストアップされている。本実施形態では、検疫済端末リスト２８ａおよび未検疫端末リスト２８ｂは、ノード９０のＭＡＣアドレスを記録することによって、検疫済みの端末、および未検疫の端末を識別することとしている。
【００３１】
また、検疫サーバ３０の記憶装置１４ｂには、検疫サーバ３０を制御するためのプログラムの他に、条件リスト４１およびホワイトリスト４２が記録されている。条件リスト４１には、ノード９０における、主としてセキュリティ関連の環境が、ネットワークへの参加および業務サーバ５０への接続を許可出来る所定のセキュリティポリシーを満たしているか否かを判定するための条件（例えば、ノード９０のシステム条件、システムソフトウェアのバージョン条件、システムの推奨される設定内容、セキュリティソフトウェア条件、定義ファイルのバージョン条件、マルウェア検知エンジンのバージョン条件、等）が蓄積されている。
【００３２】
ホワイトリスト４２には、検疫サーバ３０による検疫が完了しており、業務サーバ５０や他のノード９０への接続を行うことが許可されたノード９０を識別するための情報がリストアップされている。具体的には、ホワイトリストには、通信が許可されたノード９０を識別可能な装置識別情報（以下、「ノードＩＤ」と称する）が記録される。なお、本実施形態において、ホワイトリスト４２はネットワークセグメント２毎に生成され、個々のネットワークセグメント２を識別可能なセグメント識別情報（以下、「セグメントＩＤ」と称する）と関連付けられて管理される。このようにして、本実施形態では、ネットワーク監視装置２０が管理するネットワークセグメント２と、ノード９０のノードＩＤ（ＭＡＣアドレス）と、が紐付けて管理される。但し、ノードＩＤと併せてセグメントＩＤを記録することで、単一のホワイトリスト４２で複数のネットワークセグメント２に属するノード９０を管理することとしてもよい。
【００３３】
図３は、本実施形態に係るネットワーク監視装置２０および検疫サーバ３０の機能構成の概略を示す図である。なお、図３においては、ネットワーク監視装置２０および検疫サーバ３０以外の構成（ルータ１０、ノード９０、業務サーバ５０等）については、図示を省略している。ネットワーク監視装置２０は、記憶装置１４ａに記録されているプログラムが、ＲＡＭ１３ａに読み出され、ＣＰＵ１１ａによって実行されることで、通信遮断部２１と、リダイレクト部２２と、装置識別情報取得部２３と、管理情報送信部２４と、遮断要否取得部２５と、物理アドレス偽装部２７と、を備える通信遮断装置として機能する。なお、本実施形態では、通信遮断装置の備える各機能は、汎用プロセッサであるＣＰＵ１１ａによって実行されるが、これらの機能の一部または全部は、１または複数の専用プロセッサによって実行されてもよい。
【００３４】
また、検疫サーバ３０は、記憶装置１４ｂに記録されているプログラムが、ＲＡＭ１３ｂに読み出され、ＣＰＵ１１ｂによって実行されることで、接続受入部３１と、検疫部３３と、管理情報取得部３４と、管理情報蓄積部３５と、遮断要否判定部３６と、遮断要否通知部３７と、抽出部３８と、抽出結果通知部３９と、を備える管理サーバとして機能する。なお、本実施形態では、管理サーバの備える各機能は、汎用プロセッサであるＣＰＵ１１ｂによって実行されるが、これらの機能の一部または全部は、１または複数の専用プロセッサによって実行されてもよい。
【００３５】
＜処理の流れ＞
次に、本実施形態に係る検疫システム１によって実行される処理の流れを、フローチャートを用いて説明する。
【００３６】
図４は、本実施形態に係るノード管理処理の流れを示すフローチャートである。本実施形態に係るノード管理処理は、上記説明した検疫システム１において、ユーザのノード９０が、ネットワークセグメント２に参加したことを契機として開始されるか、または定期的に実行される。なお、本フローチャートに示された処理の具体的な内容および処理順序は、本発明を実施するための一例である。具体的な処理内容および処理順序は、本発明の実施の形態に応じて適宜選択されてよい。
【００３７】
ステップＳ１０１では、ネットワーク監視装置２０によって、ネットワークセグメント２に属する個々のノード９０を識別可能なノードＩＤ（装置識別情報）が取得される。本実施形態では、ノードＩＤとして、ノード９０のＭＡＣアドレスが用いられる。ネットワーク監視装置２０の装置識別情報取得部２３は、セグメント２を流れるパケットを、自身のＭＡＣアドレス宛でないものも含めて全て取得することで、ノード９０によって送信されたＡＲＰのアドレス解決要求等のブロードキャストパケット等を取得し、ノード９０のＭＡＣアドレスを取得する。
【００３８】
より具体的には、ネットワーク監視装置２０は、セグメント２を流れるパケットを、自身のＭＡＣアドレス宛でないものも含めて全て取得し、取得されたパケットの送信元ＭＡＣアドレスと、検疫済端末リスト２８ａおよび未検疫端末リスト２８ｂに保持されているＭＡＣアドレスとを照合する。照合の結果、取得されたパケットの送信元ＭＡＣアドレスが検疫済端末リスト２８ａおよび未検疫端末リスト２８ｂの何れにも含まれていない場合、通信遮断部２１は、セグメント２に新たなノード９０が接続されたと判断し、新たなノード９０のＭＡＣアドレスを取得する。その後、処理はステップＳ１０２へ進む。
【００３９】
ステップＳ１０２では、ノードＩＤおよびセグメントＩＤが送信される。ネットワーク監視装置２０の管理情報送信部２４は、個々のネットワークセグメント２を識別可能なセグメントＩＤ（セグメント識別情報）を、記憶装置１４ａから読み出す等の方法で取得し、ステップＳ１０１で取得されたノードＩＤと、セグメントＩＤと、を関連付けて検疫サーバ３０へ送信する。本実施形態では、セグメントＩＤとして、ネットワーク監視装置２０のＭＡＣアドレスが用いられる。但し、セグメントＩＤとしては、ネットワーク監視装置２０の製造シリアル番号や、ルータ１０のＷＡＮ側アドレス等、ネットワークセグメント２を識別可能なその他の情報が用いられてもよい。その後、処理はステップＳ１０３へ進む。
【００４０】
ステップＳ１０３およびステップＳ１０４では、ノードＩＤおよびセグメントＩＤが受信され、ホワイトリスト４２が検索される。検疫サーバ３０の管理情報取得部３４は、ネットワーク監視装置２０から送信されたノードＩＤ、およびセグメントＩＤを受信する（ステップＳ１０３）。そして、検疫サーバ３０の遮断要否判定部３６は、ステップＳ１０
３において受信されたセグメントＩＤに基づいて、ネットワークセグメント２に対応するホワイトリスト４２を特定し、特定されたホワイトリスト４２を、受信されたノードＩＤを用いて検索する（ステップＳ１０４）。その後、処理はステップＳ１０５へ進む。
【００４１】
ステップＳ１０５からステップＳ１０７では、ホワイトリスト４２の検索結果に従って、通信許可通知または通信遮断通知が送信される。検疫サーバ３０の遮断要否判定部３６は、検索の結果、取得されたセグメントＩＤに係るホワイトリスト４２に、取得されたノードＩＤが登録されているか否か、を判定することで、ノードＩＤおよびセグメントＩＤが示すノード９０に係る通信の遮断の要否を判定する（ステップＳ１０５）。取得されたセグメントＩＤに係るホワイトリスト４２に、取得されたノードＩＤが登録されている場合、検疫サーバ３０の遮断要否通知部３７は、ネットワーク監視装置２０に対して、ノードＩＤが示すノード９０に係る通信の遮断が不要であることを示す通信許可通知を送信する（ステップＳ１０６）。取得されたセグメントＩＤに係るホワイトリスト４２に、取得されたノードＩＤが登録されていない場合、検疫サーバ３０の遮断要否通知部３７は、ネットワーク監視装置２０に対して、ノードＩＤが示すノード９０に係る通信の遮断が必要であることを示す通信遮断通知を送信する（ステップＳ１０７）。その後、処理はステップＳ１０８へ進む。
【００４２】
ステップＳ１０８からステップＳ１１２では、検疫サーバ３０から送信されたホワイトリスト４２の検索結果の通知が受信され、通知の内容に従ってノード９０に対する通信許可または通信遮断が行われる。ネットワーク監視装置２０の遮断要否取得部２５は、検疫サーバ３０から送信された通信許可通知または通信遮断通知を受信すると（ステップＳ１０８）、受信された通知の内容が、通信許可通知であるか通信遮断通知であるかを判定する（ステップＳ１０９）。受信された通知の内容が通信許可通知であった場合、ネットワーク監視装置２０は、通信許可通知に係るノード９０のＭＡＣアドレスを、検疫済端末リスト２８ａに追加する（ステップＳ１１２）。なお、ネットワーク監視装置２０は、通信許可通知に係るノード９０のＭＡＣアドレスが、未検疫端末リスト２８ｂに登録されている場合には、これを削除する。
【００４３】
本実施形態において用いられるネットワーク監視装置２０は、ＡＲＰ偽装によるパケット送信先の誘導によってノード９０による通信を遮断するものであるため、受信された通知の内容が通信許可通知であった場合、ネットワーク監視装置２０は、ノード９０による通信を許可するために特段の処理を行う必要はない。但し、対象のノード９０に対して既にＡＲＰ偽装による通信遮断が行われている場合には、ネットワーク監視装置２０は、対象のノード９０に対してルータ１０の正しいＭＡＣアドレスを通知してＡＲＰ偽装を解除する方法や、ＡＲＰ偽装によってネットワーク監視装置２０へ誘導されたノード９０からのパケットを正しい宛先に転送する方法等を用いて、ノード９０による通信を許可する。
【００４４】
これに対して、受信された通知の内容が通信遮断通知であった場合、ネットワーク監視装置２０の物理アドレス偽装部２７および通信遮断部２１は、ノード９０に対してＡＲＰ偽装によるパケット送信先の誘導を行う等の方法で、ノード９０による通信を遮断する（ステップＳ１１０）。また、ネットワーク監視装置２０の物理アドレス偽装部２７は、ＡＲＰ偽装によってノード９０から取得したパケットを検疫サーバ３０に転送する等の方法で、検疫ページへの誘導処理を行う（ステップＳ１１１）。通信遮断処理（ステップＳ１１０）および検疫ページへの誘導処理（ステップＳ１１１）の詳細については、図５を用いて後述する。
【００４５】
図５は、本実施形態に係る通信遮断処理、および検疫ページへの誘導処理の流れを示すフローチャートである。本フローチャートは、図４のステップＳ１１０およびステップＳ１１１に示された通信遮断処理、および検疫ページへの誘導処理を、より詳細に説明する
ものである。なお、本フローチャートに示された処理の具体的な内容および処理順序は、本発明を実施するための一例である。具体的な処理内容および処理順序は、本発明の実施の形態に応じて適宜選択されてよい。
【００４６】
はじめに、通信遮断処理について説明する。ネットワーク監視装置２０は、図４のステップＳ１０８で受信した通信遮断通知に係るノード９０のＭＡＣアドレスを未検疫端末リスト２８ｂに記録する（ステップＳ２０１）。そして、ネットワーク監視装置２０の物理アドレス偽装部２７は、ノード９０に対して、ネットワークセグメント２内の他の端末やルータ１０のＭＡＣアドレスとして、自身（ネットワーク監視装置２０）のＭＡＣアドレス（以下、「偽装アドレス」とも称する）を送信する（ステップＳ２０２）。
【００４７】
例えば、ネットワークに参加したノード９０は、通信したい端末（例えば、業務サーバ５０）と通信を行うために、ＡＲＰのアドレス解決要求をブロードキャスト送信する。ここで、一般的なネットワークであれば、業務サーバ５０はネットワークセグメント２の外に存在するため、ルータ１０が自身（ルータ１０）のＭＡＣアドレスを通知することとなる。しかし、本実施形態に係るネットワーク構成では、ネットワークセグメント２にはネットワーク監視装置２０が接続されており、このネットワーク監視装置２０は、ノード９０によるアドレス解決要求に対して、自身（ネットワーク監視装置２０）のＭＡＣアドレス（偽装アドレス）をノード９０へ通知する。
【００４８】
また、ネットワーク監視装置２０からノード９０に対する偽装アドレスの通知は、ノード９０から送信されたアドレス解決要求への応答としてではなく、ネットワーク監視装置２０からのＡＲＰ要求として送信されてもよい。
【００４９】
いずれにしても、ここでノード９０へ通知されるＭＡＣアドレスは、デフォルトルータやネットワークセグメント２内の他の端末のＭＡＣアドレスを、ネットワーク監視装置２０のＭＡＣアドレスで偽装するものである。このため、本実施形態に係るネットワーク監視装置２０によれば、未検疫のノード９０は、業務サーバ５０やネットワークセグメント２内の他の端末等のＭＡＣアドレスとしてネットワーク監視装置２０のＭＡＣアドレスをアドレスリストに登録することとなる（ステップＳ２０３、ステップＳ２０４）。
【００５０】
このため、未検疫のノード９０は、業務サーバ５０やネットワークセグメント２内の他の端末等へのアクセスを試みる場合に、ネットワーク監視装置２０によって偽装されたＭＡＣアドレス宛にパケットを送信することとなる。換言すれば、物理アドレス偽装部２７は、ノード９０に対して、他の装置のＭＡＣアドレスとして、ネットワーク監視装置２０のＭＡＣアドレスを通知することで、ノード９０から送信される情報をネットワーク監視装置２０に誘導する。そして、ネットワーク監視装置２０は、後述する検疫のために必要な通信を除いて、未検疫端末リスト２８ｂに記録されているノード９０から送信されたパケットの一部または全部を破棄する（転送しない）。上記したような方法によって、ネットワーク監視装置２０の通信遮断部２１は、未検疫のノード９０による通信の一部または全部を遮断する。
【００５１】
なお、ネットワーク監視装置２０は、未検疫のノード９０が保持するアクセスリストが、正しい通信相手のＭＡＣアドレスを保持することを防止するため、偽装のためのＡＲＰ応答を、時間をおいて複数回送信することが好ましい。
【００５２】
次に、検疫ページへの誘導処理について説明する。ネットワーク監視装置２０のリダイレクト部２２は、通信遮断中のノード９０から取得した通信がＨＴＴＰ通信であった場合、ＨＴＴＰの接続要求に指定された通信相手（図５に示した例では、業務サーバ５０）に拘らず、検疫サーバ３０へ接続するようリダイレクトする（ステップＳ２０５からステッ
プＳ２０７）。ノード９０は、リダイレクトの要求を受信すると、ネットワーク監視装置２０から通知された所定の検疫サーバ３０へ接続する（ステップＳ２０８、Ｓ２０９）。なお、この際、ノード９０から送信されるパケットの宛先ＭＡＣアドレスにはネットワーク監視装置２０のＭＡＣアドレスが設定されているが、ネットワーク監視装置２０は、宛先ＩＰアドレスが検疫サーバ３０であるパケットについては遮断（パケット廃棄）することなく転送する。
【００５３】
以後、ノード９０が未検疫端末リスト２８ｂに記録されている間、ネットワーク監視装置２０は、宛先ＩＰアドレスが検疫サーバ３０であるパケットについては転送を行い、それ以外のパケットは転送することなく廃棄（通信遮断）する。このような処理によって、ノード９０は、ネットワークセグメント２のセキュリティを確保しつつ、検疫サービスを受けることが出来る。なお、本実施形態では、パケット転送の要否は宛先ＩＰアドレスを参照することで判断されるが、その他の方法が採用されてもよい。例えば、宛先ＩＰアドレスに加えて、通信プロトコルの種類やポート番号、ＵＲＬ等を参照して、転送の要否が判断されてもよい。
【００５４】
検疫サーバ３０の接続受入部３１は、リダイレクトされたＨＴＴＰ接続を受信し、検疫サーバ３０は、検疫用のＷｅｂページを、ノード９０に対して送信する（ステップＳ２１０、Ｓ２１１）。検疫用のＷｅｂページを受信したノード９０は、検疫用のＷｅｂページを表示する（ステップＳ２１２、Ｓ２１３）。本実施形態に係る検疫システム１では、検疫用のＷｅｂページには、ノード９０のユーザまたはノード９０を認証するための認証用情報（例えば、ユーザＩＤやパスワード等）を入力するための入力フィールドが含まれ、ユーザは、ノード９０の入力装置（キーボードやマウス等）を用いて認証用の情報を入力することで認証を求める。但し、実施の形態によっては、認証の方法にその他の方法が採用されてもよいし、認証が行われなくてもよい。
【００５５】
図６は、本実施形態に係る検疫処理の流れを示すフローチャートである。本実施形態に係る検疫処理は、ノード９０によって表示された検疫用のＷｅｂページにおいて、ユーザが認証用の情報を入力したことを契機として開始される。なお、本フローチャートに示された処理の具体的な内容および処理順序は、本発明を実施するための一例である。具体的な処理内容および処理順序は、本発明の実施の形態に応じて適宜選択されてよい。
【００５６】
ノード９０は、ユーザによって入力された認証用の情報（ユーザＩＤやパスワード等）を含む認証要求および検疫要求を、検疫サーバ３０に送信する（ステップＳ３０１）。認証要求および検疫要求を受信した検疫サーバ３０は、受信した情報に含まれるユーザＩＤやパスワード等を、予め保持しているユーザ情報に照会することで、ユーザまたはノード９０を認証する（ステップＳ３０２）。
【００５７】
また、ノード９０は、検疫用の情報（以下、「インベントリ」とも称する）を収集する（ステップＳ３０３）。但し、ノード９０によってインベントリが収集されるタイミングは、本フローチャートに示した例に限定されない。インベントリは、検疫サーバ３０に送信されるまでに収集されていればよいため、インベントリが収集されるタイミングは、検疫処理の全体の流れにおいて、実施の形態に応じて適宜決定されることが好ましい。ノード９０は、ステップＳ３０３で収集したインベントリを、検疫サーバ３０へ送信する（ステップＳ３０４）。
【００５８】
検疫サーバ３０がインベントリを受信すると（ステップＳ３０５）、検疫サーバ３０の検疫部３３は、受信されたインベントリの内容を調査することで、ノード９０を検疫する。具体的には、インベントリ（検疫用の情報）に含まれる、ノード９０の環境に関連する各種情報（例えば、ノード９０のシステム情報、システムソフトウェアのバージョン情報
、システムの設定内容、セキュリティソフトウェア情報、定義ファイルのバージョン情報、マルウェア検知エンジンのバージョン情報、等）が、条件リスト４１に挙げられた所定の条件を満たしているか否かを確認することで、ノード９０に対して現在適用されている通信遮断を解除してよいか否かを判定する（ステップＳ３０６）。判定の結果、ノード９０の環境が所定の条件を満たしていると判定された場合、検疫は完了する。また、判定の結果、ノード９０の環境が所定の条件を満たしていないと判定された場合、検疫は不合格となる。
【００５９】
なお、検疫には、上記説明した方法以外にも、様々な方法が採用されてよい。例えば、インベントリ（検疫用の情報）に含まれるノード９０の環境に関連する各種情報と、条件リスト４１に挙げられた所定の条件とを比較し、比較結果に基づいてクライアントのセキュリティレベルを算出し、セキュリティレベルが一定以上の場合に、ノード９０の環境が所定の条件を満たしていると判定する方法が採用されてもよい。
【００６０】
検疫結果が検疫完了（所定の条件を満たしている）であった場合、検疫サーバ３０の管理情報蓄積部３５は、検疫結果に係るノードＩＤを、該ノードＩＤに係るノード９０が属するセグメントＩＤに対応するホワイトリスト４２に登録する（ステップＳ３０７）。このため、以降、同一のネットワークセグメント２を管理するネットワーク監視装置２０から同一ノードＩＤの照会があった場合には、検疫サーバ３０はネットワーク監視装置２０に対して通信許可通知を送信する（ステップＳ１０１からステップＳ１０６を参照）。しかし、検疫結果に係るノード９０が検疫を受けたネットワークセグメント２以外のネットワークセグメント（第二のネットワークセグメント）に、検疫結果に係るノード９０と同一のノードＩＤを有するノード９０が接続された場合には、ホワイトリストがネットワークセグメント２毎に管理されているため、検疫サーバ３０は、第二のネットワークセグメント２に係るホワイトリストを参照し、通信許可通知を送信するか、通信遮断通知を送信するかを判断する（ステップＳ１０４からステップＳ１０７を参照）。
【００６１】
検疫サーバ３０は、検疫の結果、即ち、ノード９０の環境が所定の条件を満たしているか否かの判定結果をログに出力し（ステップＳ３０８）、Ｗｅｂページとしてノード９０に送信する（ステップＳ３０９、Ｓ３１０）。
【００６２】
検疫結果が検疫完了（所定の条件を満たしている）であった場合、ノード９０は、ネットワーク監視装置２０に対して、遮断解除要求を送信する（ステップＳ３１１、ステップＳ３１３）。遮断解除要求は、検疫結果に係るノードＩＤと、ネットワーク監視装置２０によるノード９０の通信遮断が解除されてよいことを示す遮断解除許可情報と、を含む。遮断解除要求を受けたネットワーク監視装置２０は、遮断解除要求の内容を精査することで要求の正当性を判断し、正当な遮断解除要求であると判断された場合には、該当するＭＡＣアドレスを未検疫端末リスト２８ｂから削除し、検疫済端末リスト２８ａに追加する（ステップＳ３１４）。また、遮断解除要求を受けたネットワーク監視装置２０は、ノード９０に対する通信遮断を解除する。解除の具体的な方法は、先述した通信の許可の方法と概略同様であるため、説明を省略する。
【００６３】
なお、遮断解除要求は、検疫サーバ３０からネットワーク監視装置２０に対して送信されてもよい。この場合、検疫サーバ３０は、ネットワーク監視装置２０に対して、遮断解除要求を送信する（ステップＳ３１２、ステップＳ３１３）。
【００６４】
本実施形態に係る検疫システム１によれば、ネットワークセグメント２毎にホワイトリストが管理されている（即ち、セグメントＩＤと関連付けられてノードＩＤが管理されている）ことで、異なるネットワークセグメント２において同一のノードＩＤ（ＭＡＣアドレス）を有するノード９０が接続された場合（ＭＡＣアドレスが重複している場合）であ
っても、異なるノード９０であることを正しく認識し、夫々のノード９０に対して通信遮断または通信許可等の制御を行うことが可能となる。特に、ホワイトリストに登録されている検疫済みのノード９０のＭＡＣアドレスと同一のＭＡＣアドレスを用いてＭＡＣアドレスを偽装し、検疫をすり抜けようとするようなノード９０による通信を遮断することが可能となり、セキュリティレベルを高めることが可能となる。
【００６５】
図７は、本実施形態に係る重複検出処理の流れを示すフローチャートである。本実施形態に係る重複検出処理は、上記説明した検疫システム１において、ユーザのノード９０が、ネットワークセグメント２に参加したことを契機として開始されるか、または定期的に実行される。なお、本フローチャートに示された処理の具体的な内容および処理順序は、本発明を実施するための一例である。具体的な処理内容および処理順序は、本発明の実施の形態に応じて適宜選択されてよい。
【００６６】
ステップＳ４０１からステップＳ４０３では、ノードＩＤおよびセグメントＩＤが取得され、送受信される。ステップＳ４０１からステップＳ４０３までの処理は、図４を用いて説明したステップＳ１０１からステップＳ１０３までの処理と概略同様であるため、説明を省略する。
【００６７】
ステップＳ４０４およびステップＳ４０５では、受信されたノードＩＤを用いて、受信されたセグメントＩＤに係るホワイトリスト４２を除く全てのホワイトリスト４２が検索され、ノードＩＤが重複するノード９０の有無が判定される。検疫サーバ３０の抽出部３８は、ステップＳ４０３において受信されたセグメントＩＤに対応するホワイトリスト４２以外のホワイトリスト４２（以下、「検索対象のホワイトリスト４２」とも称する）を、受信されたノードＩＤを用いて検索することで、異なるネットワークセグメント２に属する、ノードＩＤが重複するノード９０を抽出する（ステップＳ４０４）。そして、検疫サーバ３０の抽出部３８は、検索の結果、検索対象のホワイトリスト４２の何れかに、取得されたノードＩＤが記録されていたか否か、を判定することで、ノードＩＤが重複するノード９０の有無を判定する（ステップＳ４０５）。ここで、検索対象のホワイトリストの何れにも、取得されたノードＩＤが登録されていない場合（即ち、重複が発見されなかった場合）、本フローチャートに示された処理は終了する。これに対して、検索対象のホワイトリスト４２の何れかに、取得されたノードＩＤが登録されている場合（即ち、重複が発見された場合）、処理はステップＳ４０７へ進む。
【００６８】
ステップＳ４０７からステップＳ４１１では、通信遮断通知が送受信され、ノード９０に対する通信遮断が行われる。検疫サーバ３０の遮断要否通知部３７は、ノードＩＤが重複するノード９０が、他のネットワークセグメント２において発見された場合、ネットワーク監視装置２０に対して、通信遮断通知を送信する（ステップＳ４０７）。ネットワーク監視装置２０において、検疫サーバ３０から送信された通信遮断通知を受信すると（ステップＳ４０８）、ネットワーク監視装置２０の物理アドレス偽装部２７および通信遮断部２１は、ノード９０に対してＡＲＰ偽装によるパケット送信先の誘導を行う等の方法で、ノード９０による通信を遮断する（ステップＳ４１０）。また、ネットワーク監視装置２０の物理アドレス偽装部２７は、ＡＲＰ偽装によってノード９０から取得したパケットを検疫サーバ３０に転送する等の方法で、検疫ページへの誘導処理を行う（ステップＳ４１１）。ステップＳ４１０およびステップＳ４１１の処理の詳細は、図５を用いて説明した通信遮断処理、および検疫ページへの誘導処理と概略同様であるため、説明を省略する。
【００６９】
また、ステップＳ４１３では、システム管理者に対して、異なるネットワークセグメント２においてノードＩＤ（ＭＡＣアドレス）が重複するノード９０が検出された旨が通知される。検疫サーバ３０の抽出結果通知部３９は、取得されたセグメントＩＤに係るホワ
イトリスト４２以外のホワイトリスト４２の何れかに、取得されたノードＩＤが登録されている場合、管理者に対して、ステップＳ４０２で送信されたノードＩＤが示すノード９０とノードＩＤ（ここでは、ＭＡＣアドレス）が重複するノード９０が、他のネットワークセグメント２に存在することを示す重複通知を送信する（ステップＳ４１３）。その後、本フローチャートに示された処理は終了する。
【００７０】
本フローチャートに示された重複検出処理によれば、複数のネットワークセグメント２を有する検疫システム１において、他のネットワークセグメント２においてノードＩＤ（ＭＡＣアドレス）が重複するノード９０が接続された場合に、重複を検出し、管理者等のユーザに通知する事が可能となる。特に、ホワイトリストに登録されている検疫済みのノード９０のＭＡＣアドレスと同一のＭＡＣアドレスを用いてＭＡＣアドレスを偽装し、検疫をすり抜けようとするようなノード９０を発見することが可能となり、セキュリティレベルを高めることが可能となる。
【００７１】
次に、検疫システムのネットワーク構成のバリエーションを説明する。図８および図９は、本発明の実施を行うにあたって採用されてよいネットワーク構成のバリエーションを示す図である。図８および図９において、上記説明した実施形態と同様の構成については、同一の符号を付し、説明を省略する。
【００７２】
図８は、本実施形態に係る検疫システム１ｂの構成を示す概略図である。本実施形態に係る検疫システム１ｂは、検疫対象となる複数の情報処理装置９０が接続される複数のネットワークセグメント２と、ルータ１０を介してネットワークセグメント２と通信可能に接続されている検疫サーバ３０と、業務サーバ５０と、を備える。そして、ネットワーク監視装置２０は複数のインターフェースを有し、これらの複数のインターフェースが、夫々異なるネットワークセグメント２に接続されている。
【００７３】
このため、本実施形態に係る検疫システム１ｂでは、１つのネットワーク監視装置２０によって、複数のネットワークセグメント２が監視される。そして、検疫システム１ｂでは、同一のネットワーク監視装置２０によって監視されている異なるネットワークセグメント２を識別（区別）する目的で、ネットワーク監視装置２０の識別情報（ＭＡＣアドレスやシリアル番号等）に加えて、ネットワーク監視装置２０のインターフェース番号（物理ポートの番号）がセグメントＩＤとして用いられる。このため、検疫システム１ｂにおいて用いられるホワイトリスト４２は、ネットワーク監視装置２０の識別情報、およびネットワークセグメント２に接続されているインターフェースの識別子を含むセグメントＩＤ毎に生成され、セグメントＩＤに関連付けられて管理される（ステップＳ３０７）。
【００７４】
即ち、ネットワーク監視装置２０が、夫々を異なるネットワークセグメント２に接続可能な複数のインターフェースを有する場合、ネットワーク監視装置２０の管理情報送信部２４は、セグメントＩＤとして、ネットワーク監視装置２０の識別情報に加えて、ネットワークセグメント２に接続されているインターフェースの識別子を送信する（ステップＳ１０２、ステップＳ４０２）。そして、検疫サーバ３０の管理情報取得部３４は、セグメントＩＤとして、ネットワーク監視装置２０の識別情報に加えて、ネットワークセグメント２に接続されているネットワーク監視装置２０のインターフェースの識別子を取得する（ステップＳ１０３、ステップＳ４０３）。具体的には、インターフェースの識別子として、物理ポートに割り当てられた番号、例えばＬＡＮ１、ＬＡＮ２、ＬＡＮ３・・・等のような識別子が送受信される。
【００７５】
このため、検疫サーバ３０の遮断要否判定部３６は、ステップＳ１０３やステップＳ４０３において受信された、ネットワーク監視装置２０の識別情報およびインターフェース識別子を含むセグメントＩＤに基づいて、ネットワークセグメント２に対応するホワイト
リスト４２を特定し、特定されたホワイトリスト４２を、受信されたノードＩＤを用いて検索する（ステップＳ１０４、ステップＳ４０４）。即ち、本実施形態に係る検疫システム１ｂによれば、複数のインターフェースを有する１台のネットワーク監視装置２０によって複数のネットワークセグメント２を管理している場合にも、ノードＩＤが重複する複数のノード９０を正しく識別（区別）し、夫々のノード９０に対して通信遮断または通信許可等の制御を行うことが可能である。
【００７６】
図９は、本実施形態に係る検疫システム１ｃの構成を示す概略図である。本実施形態に係る検疫システム１ｃは、検疫対象となる複数の情報処理装置９０が接続される複数のネットワークセグメント２と、ルータ１０を介してネットワークセグメント２と通信可能に接続されている検疫サーバ３０と、業務サーバ５０と、を備える。そして、ネットワーク監視装置２０は、複数のＶＬＡＮ（Ｖｉｒｔｕａｌ Ｌｏｃａｌ Ａｒｅａ Ｎｅｔｗｏｒｋ）に接続されている。
【００７７】
ここで、ＶＬＡＮは、ネットワークセグメント２に相当する。即ち、本実施形態に係る検疫システム１ｃでは、１つのネットワーク監視装置２０によって、複数のＶＬＡＮ（ネットワークセグメント２）が監視される。そして、検疫システム１ｃでは、同一のネットワーク監視装置２０によって監視されている異なるＶＬＡＮを識別（区別）する目的で、ネットワーク監視装置２０の識別情報（ＭＡＣアドレスやシリアル番号等）に加えて、ＶＬＡＮの識別情報がセグメントＩＤとして用いられる。このため、検疫システム１ｃにおいて用いられるホワイトリスト４２は、ネットワーク監視装置２０の識別情報、およびＶＬＡＮの識別情報を含むセグメントＩＤ毎に生成され、セグメントＩＤに関連付けられて管理される（ステップＳ３０７）。
【００７８】
管理情報送信部２４、および遮断要否判定部３６等による処理において、ネットワーク監視装置２０の識別情報、およびＶＬＡＮの識別情報を含むセグメントＩＤが送受信され、ホワイトリスト４２の特定に用いられることは、上記説明した検疫システム１ｂと同様である。具体的には、ＶＬＡＮの識別情報として、ルータ１０によって管理されるＶＬＡＮに割り当てられた識別子、例えばＶＬＡＮ１、ＶＬＡＮ２等のような識別情報が送受信される。
【００７９】
このため、検疫サーバ３０の遮断要否判定部３６は、ステップＳ１０３やステップＳ４０３において受信された、ネットワーク監視装置２０の識別情報およびＶＬＡＮの識別情報を含むセグメントＩＤに基づいて、ネットワークセグメント２に対応するホワイトリスト４２を特定し、特定されたホワイトリスト４２を、受信されたノードＩＤを用いて検索する（ステップＳ１０４、ステップＳ４０４）。即ち、本実施形態に係る検疫システム１ｃによれば、１台のネットワーク監視装置２０によって複数のＶＬＡＮ（ネットワークセグメント２）を管理している場合にも、ノードＩＤが重複する複数のノード９０を正しく識別（区別）し、夫々のノード９０に対して通信遮断または通信許可等の制御を行うことが可能である。
【符号の説明】
【００８０】
１ 検疫システム
２０ ネットワーク監視装置（通信遮断装置）
３０ 検疫サーバ
９０ ノード（情報処理装置）
【技術分野】
【０００１】
本発明は、ネットワークに接続された情報処理装置を管理する技術に関する。
【背景技術】
【０００２】
従来、ネットワークを介してＡＲＰ（Ａｄｄｒｅｓｓ Ｒｅｓｏｌｕｔｉｏｎ Ｐｒｏｔｏｃｏｌ）要求を受信したときに、ＡＲＰ要求の要求元の端末が正規端末か否かを判断するアクセス権判断部と、要求元の端末が不正端末であると判断されたときに、不正端末の送信機能を停止させるＰＡＵＳＥフレームを予め設定された期間にわたって不正端末または正規端末の少なくともいずれか一方を宛先として送信するＰＡＵＳＥフレーム送信部と、ＰＡＵＳＥフレーム送信部からＰＡＵＳＥフレームが送信されている間にＡＲＰ要求に対する偽のＡＲＰ応答を不正端末に送信して正規端末との通信を不可能にさせる偽ＡＲＰ応答部とを備える不正アクセス防止装置がある（特許文献１を参照）。
【０００３】
また、相手端末のＩＰアドレス宛のＡＲＰパケットをブロードキャスト送信すると共に、自側のＩＰアドレス宛のＡＲＰパケット又はＡＲＰ応答を受信するＡＲＰ通信部と、相手端末からのＡＲＰパケットに対するＡＲＰ応答を返信するＡＲＰ応答部と、セッション開始時に相手側ＭＡＣ（Ｍｅｄｉａ Ａｃｃｅｓｓ Ｃｏｎｔｒｏｌ）アドレスを相互に受信するＭＡＣアドレス通信部と、相手側ＭＡＣアドレスを使用して、相手端末との音声パケット通信を実行するパケット通信部とを有し、ＡＲＰ応答部は、相手側ＭＡＣアドレスを受信すると、セッション終了まで自側のＩＰアドレス宛のＡＲＰパケットを受信したとしても、同ＡＲＰパケットに対するＡＲＰ応答の返信を停止するようにしたＩＰ端末装置がある（特許文献２を参照）。
【先行技術文献】
【特許文献】
【０００４】
【特許文献１】特開２００７−２３５６６２号公報
【特許文献２】特開２００８−１１８２５９号公報
【発明の概要】
【発明が解決しようとする課題】
【０００５】
例えば、ネットワークの不正利用を防止する目的で、未承認の情報処理装置による通信を遮断する場合、ネットワークに接続された情報処理装置が承認済か未承認かを管理する必要がある。従来、このような管理では、承認済の情報処理装置の識別子をホワイトリストに記録し、また、必要であれば未承認の装置の識別子をブラックリストに記録する方法等が採用される。
【０００６】
しかし、このような、情報処理装置の識別子を登録したリストを用いて情報処理装置を管理する方法では、同一の識別子を有する情報処理装置が複数接続された場合に、これらの情報処理装置を識別（区別）することが困難である。特に、承認済の情報処理装置と同一の識別子で偽装された未承認の情報処理装置が接続された場合に、これらの情報処理装置を識別し、承認済か未承認であるかを判断することは困難であった。
【０００７】
本発明は、上記した問題に鑑み、ネットワークに接続された情報処理装置を管理するシステムにおいて、同一の識別子を有する複数の情報処理装置を識別することを課題とする。
【課題を解決するための手段】
【０００８】
本発明では、上記課題を解決するために、以下の手段を採用した。即ち、本発明は、複数のネットワークセグメントを管理する管理サーバであって、前記ネットワークセグメントに属する情報処理装置を識別可能な装置識別情報、および該情報処理装置が属するネットワークセグメントを識別可能なセグメント識別情報を取得する管理情報取得手段と、前記管理情報取得手段によって取得された前記装置識別情報および前記セグメント識別情報を関連付けて、該装置識別情報および該セグメント識別情報が示す情報処理装置に係る通信の遮断の要否を判定可能なように蓄積する管理情報蓄積手段と、前記管理情報蓄積手段によって蓄積された装置識別情報およびセグメント識別情報が示す情報処理装置に係る通信の遮断の要否を判定する遮断要否判定手段と、前記遮断要否判定手段によって判定された遮断の要否を、前記情報処理装置に係る通信の遮断を行う通信遮断装置に通知する遮断要否通知手段と、を備える管理サーバである。
【０００９】
ここで、ネットワークセグメントとは、ネットワーク全体を所定の基準に従って分割した場合の、ネットワークの各部分である。換言すれば、複数のネットワークセグメントを、ルータやスイッチ等の中継装置を介して互いに通信可能に接続することで、本発明の情報処理システムに係るネットワークが構築される。例えば、ネットワークセグメントは、データリンク層におけるブロードキャストパケットが到達する範囲とすることが出来る。
【００１０】
本発明によれば、セグメント識別情報と関連付けられて装置識別情報が蓄積されることで、異なるネットワークセグメントにおいて同一の装置識別情報を有する情報処理装置が接続された場合であっても、異なる情報処理装置であることを正しく認識し、夫々の情報処理装置に対して通信遮断または通信許可等の制御を行うことが可能となる。
【００１１】
また、本発明において、前記管理情報取得手段は、前記装置識別情報および前記セグメント識別情報を、該装置識別情報が示す情報処理装置が属するネットワークセグメントに接続されている前記通信遮断装置から取得してもよい。
【００１２】
また、本発明において、前記管理情報取得手段は、前記セグメント識別情報として、前記通信遮断装置の識別子を取得してもよいし、前記セグメント識別情報として、前記ネットワークセグメントに接続されている該通信遮断装置のインターフェースの識別子を更に取得してもよい。
【００１３】
セグメント識別情報として、通信遮断装置の識別子、および通信遮断装置のインターフェースの識別子を取得することで、複数のインターフェースを有する単一の通信遮断装置が、夫々のインターフェースを介して複数の異なるネットワークセグメントに接続されているような場合であっても、これらのネットワークセグメントにおいて同一の装置識別情報を有する情報処理装置が接続された際には、異なる情報処理装置であることを正しく認識し、夫々の情報処理装置に対して通信遮断または通信許可等の制御を行うことが可能となる。
【００１４】
また、本発明に係る管理サーバは、前記装置識別情報を用いて、前記管理情報蓄積手段によって蓄積された情報を検索することで、異なるネットワークセグメントに属する、前記装置識別情報が重複する情報処理装置を抽出する抽出手段と、前記装置識別情報が重複する複数の情報処理装置が抽出された場合に、重複が発生していることをユーザに通知する抽出結果通知手段と、を更に備えてもよい。
【００１５】
本発明によれば、上記のような抽出手段および抽出結果通知手段を備えることで、複数のネットワークセグメントが互いに接続された情報処理システムにおいて、装置識別情報が重複する情報処理装置が接続された場合にも、重複を検出し、管理者等のユーザに通知する事が可能となる。
【００１６】
また、本発明は、ネットワークセグメントに接続される通信遮断装置の発明としても把握する事が可能である。即ち、本発明は、ネットワークセグメントに属する情報処理装置を識別可能な装置識別情報を取得する装置識別情報取得手段と、前記装置識別情報と、該装置識別情報が示す情報処理装置が属する前記ネットワークセグメントを識別可能なセグメント識別情報と、を関連付けて管理サーバに送信する管理情報送信手段と、前記管理サーバから、前記装置識別情報が示す情報処理装置に係る通信の遮断の要否を取得する遮断要否取得手段と、前記遮断要否取得手段によって、前記装置識別情報が示す情報処理装置に係る通信の遮断が必要であることを示す情報が取得された場合に、該情報処理装置に係る通信を遮断する通信遮断手段と、を備える通信遮断装置である。
【００１７】
また、本発明において、前記管理情報送信手段は、前記セグメント識別情報として、該通信遮断装置の識別子を送信してもよい。
【００１８】
また、本発明に係る通信遮断装置は、夫々を異なるセグメントに接続可能な複数のインターフェースを有し、前記管理情報送信手段は、前記セグメント識別情報として、前記ネットワークセグメントに接続される前記インターフェースの識別子を更に送信してもよい。
【００１９】
また、本発明に係る通信遮断装置は、前記情報処理装置に対して、他の装置の物理アドレス（例えば、ＭＡＣアドレス）として、該通信遮断装置の物理アドレスを通知することで、該情報処理装置から送信される情報を該通信遮断装置に誘導する、物理アドレス偽装手段を更に備え、前記通信遮断手段は、前記誘導された情報の少なくとも一部を転送しないことで、前記情報処理装置に係る通信の少なくとも一部を遮断してもよい。
【００２０】
また、本発明は、複数のネットワークセグメントを有する情報処理システムの発明としても把握することが可能である。即ち、本発明は、複数のネットワークセグメントを有する情報処理システムであって、前記ネットワークセグメントに属する情報処理装置を識別可能な装置識別情報、および該情報処理装置が属するネットワークセグメントを識別可能なセグメント識別情報を取得する管理情報取得手段と、前記管理情報取得手段によって取得された前記装置識別情報および前記セグメント識別情報を関連付けて、該装置識別情報および該セグメント識別情報が示す情報処理装置に係る通信の遮断の要否を判定可能なように蓄積する管理情報蓄積手段と、前記管理情報蓄積手段によって蓄積された装置識別情報およびセグメント識別情報が示す情報処理装置に係る通信の遮断の要否を判定する遮断要否判定手段と、前記遮断要否判定手段によって、前記情報処理装置に係る通信の遮断が必要であると判定された場合に、前記装置識別情報が示す情報処理装置に係る通信を遮断する通信遮断手段と、を備える情報処理システムである。
【００２１】
また、本発明に係る情報処理システムは、前記装置識別情報を用いて、前記管理情報蓄積手段によって蓄積された情報を検索することで、異なるネットワークセグメントに属する、前記装置識別情報が重複する情報処理装置を抽出する抽出手段と、前記装置識別情報が重複する複数の情報処理装置が抽出された場合に、重複が発生していることをユーザに通知する抽出結果通知手段と、を更に備えてもよい。
【００２２】
更に、本発明は、方法、又はコンピュータによって実行されるプログラムとしても把握することが可能である。また、本発明は、そのようなプログラムをコンピュータその他の装置、機械等が読み取り可能な記録媒体に記録したものでもよい。ここで、コンピュータ等が読み取り可能な記録媒体とは、データやプログラム等の情報を電気的、磁気的、光学的、機械的、または化学的作用によって蓄積し、コンピュータ等から読み取ることができる記録媒体をいう。
【発明の効果】
【００２３】
本発明によれば、ネットワークに接続された装置を管理するシステムにおいて、同一の識別子を有する複数の装置を識別することが可能となる。
【図面の簡単な説明】
【００２４】
【図１】実施形態に係る検疫システムの構成を示す概略図である。
【図２】実施形態に係るネットワーク監視装置および検疫サーバのハードウェア構成を示す図である。
【図３】実施形態に係るネットワーク監視装置および検疫サーバの機能構成の概略を示す図である。
【図４】実施形態に係るノード管理処理の流れを示すフローチャートである。
【図５】実施形態に係る通信遮断処理、および検疫ページへの誘導処理の流れを示すフローチャートである。
【図６】実施形態に係る検疫処理の流れを示すフローチャートである。
【図７】実施形態に係る重複検出処理の流れを示すフローチャートである。
【図８】実施形態に係る検疫システムのバリエーション（１）を示す概略図である。
【図９】実施形態に係る検疫システムのバリエーション（２）を示す概略図である。
【発明を実施するための形態】
【００２５】
以下、本発明に係る情報処理システムを、検疫システムとして実施した場合の実施の形態について、図面に基づいて説明する。但し、本発明に係る情報システムは、ネットワークに属する情報処理装置を管理する目的に広く用いることが可能であり、本発明の適用対象は、検疫システムに限定されない。
【００２６】
＜システムの構成＞
図１は、本実施形態に係る検疫システム１の構成を示す概略図である。本実施形態に係る検疫システム１は、検疫対象となる複数の情報処理装置９０（以下、「ノード９０」と称する）が接続される複数のネットワークセグメント２と、ルータ１０を介してネットワークセグメント２と通信可能に接続されている検疫サーバ３０と、業務サーバ５０と、を備える。そして、夫々のネットワークセグメント２には、検疫が完了していないノード９０による通信を遮断するためのネットワーク監視装置２０が接続されている。
【００２７】
なお、ネットワーク監視装置２０は、本発明に係る通信遮断装置に相当し、検疫サーバ３０は、本発明に係る、複数のネットワークセグメント２を管理する管理サーバに相当する。また、業務サーバ５０は、ノード９０に対して業務のためのサービスを提供し、検疫サーバ３０は、ネットワークセグメント２に接続されたノード９０に対して検疫サービスを提供する。
【００２８】
なお、本実施形態に係る検疫システム１では、ノード９０から接続される各種サーバは、インターネットや広域ネットワークを介して遠隔地において接続されたものであり、例えばＡＳＰ（Ａｐｐｌｉｃａｔｉｏｎ Ｓｅｒｖｉｃｅ Ｐｒｏｖｉｄｅｒ）によって提供されるが、これらのサーバは、必ずしも遠隔地に接続されたものである必要はない。例えば、これらのサーバは、ノード９０やネットワーク監視装置２０が存在するローカルネットワーク上に接続されていてもよい。
【００２９】
図２は、本実施形態に係るネットワーク監視装置２０および検疫サーバ３０のハードウェア構成を示す図である。なお、図２においては、ネットワーク監視装置２０および検疫サーバ３０以外の構成（ルータ１０、ノード９０、業務サーバ５０等）については、図示を省略している。ネットワーク監視装置２０および検疫サーバ３０は、それぞれ、ＣＰＵ
（Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）１１ａ、１１ｂ、ＲＡＭ（Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）１３ａ、１３ｂ、ＲＯＭ（Ｒｅａｄ Ｏｎｌｙ Ｍｅｍｏｒｙ）１２ａ、１２ｂ、ＥＥＰＲＯＭ（Ｅｌｅｃｔｒｉｃａｌｌｙ Ｅｒａｓａｂｌｅ ａｎｄ Ｐｒｏｇｒａｍｍａｂｌｅ Ｒｅａｄ Ｏｎｌｙ Ｍｅｍｏｒｙ）やＨＤＤ（Ｈａｒｄ Ｄｉｓｋ Ｄｒｉｖｅ）等の記憶装置１４ａ、１４ｂ、ＮＩＣ（Ｎｅｔｗｏｒｋ Ｉｎｔｅｒｆａｃｅ Ｃａｒｄ）１５ａ、１５ｂ等の通信ユニット、等を備えるコンピュータである。
【００３０】
ここで、ネットワーク監視装置２０の記憶装置１４ａには、ネットワーク監視装置２０を制御するためのプログラムの他に、検疫済端末リスト２８ａおよび未検疫端末リスト２８ｂが記録されている。検疫済端末リスト２８ａには、検疫サーバ３０による検疫が完了しており、業務サーバ５０や他のノード９０への接続を行うことが許可された端末を識別するための情報がリストアップされている。また、未検疫端末リスト２８ｂには、検疫サーバ３０による検疫が完了していないために、ネットワークにおける通信がネットワーク監視装置２０によって遮断されるべき端末を識別するための情報がリストアップされている。本実施形態では、検疫済端末リスト２８ａおよび未検疫端末リスト２８ｂは、ノード９０のＭＡＣアドレスを記録することによって、検疫済みの端末、および未検疫の端末を識別することとしている。
【００３１】
また、検疫サーバ３０の記憶装置１４ｂには、検疫サーバ３０を制御するためのプログラムの他に、条件リスト４１およびホワイトリスト４２が記録されている。条件リスト４１には、ノード９０における、主としてセキュリティ関連の環境が、ネットワークへの参加および業務サーバ５０への接続を許可出来る所定のセキュリティポリシーを満たしているか否かを判定するための条件（例えば、ノード９０のシステム条件、システムソフトウェアのバージョン条件、システムの推奨される設定内容、セキュリティソフトウェア条件、定義ファイルのバージョン条件、マルウェア検知エンジンのバージョン条件、等）が蓄積されている。
【００３２】
ホワイトリスト４２には、検疫サーバ３０による検疫が完了しており、業務サーバ５０や他のノード９０への接続を行うことが許可されたノード９０を識別するための情報がリストアップされている。具体的には、ホワイトリストには、通信が許可されたノード９０を識別可能な装置識別情報（以下、「ノードＩＤ」と称する）が記録される。なお、本実施形態において、ホワイトリスト４２はネットワークセグメント２毎に生成され、個々のネットワークセグメント２を識別可能なセグメント識別情報（以下、「セグメントＩＤ」と称する）と関連付けられて管理される。このようにして、本実施形態では、ネットワーク監視装置２０が管理するネットワークセグメント２と、ノード９０のノードＩＤ（ＭＡＣアドレス）と、が紐付けて管理される。但し、ノードＩＤと併せてセグメントＩＤを記録することで、単一のホワイトリスト４２で複数のネットワークセグメント２に属するノード９０を管理することとしてもよい。
【００３３】
図３は、本実施形態に係るネットワーク監視装置２０および検疫サーバ３０の機能構成の概略を示す図である。なお、図３においては、ネットワーク監視装置２０および検疫サーバ３０以外の構成（ルータ１０、ノード９０、業務サーバ５０等）については、図示を省略している。ネットワーク監視装置２０は、記憶装置１４ａに記録されているプログラムが、ＲＡＭ１３ａに読み出され、ＣＰＵ１１ａによって実行されることで、通信遮断部２１と、リダイレクト部２２と、装置識別情報取得部２３と、管理情報送信部２４と、遮断要否取得部２５と、物理アドレス偽装部２７と、を備える通信遮断装置として機能する。なお、本実施形態では、通信遮断装置の備える各機能は、汎用プロセッサであるＣＰＵ１１ａによって実行されるが、これらの機能の一部または全部は、１または複数の専用プロセッサによって実行されてもよい。
【００３４】
また、検疫サーバ３０は、記憶装置１４ｂに記録されているプログラムが、ＲＡＭ１３ｂに読み出され、ＣＰＵ１１ｂによって実行されることで、接続受入部３１と、検疫部３３と、管理情報取得部３４と、管理情報蓄積部３５と、遮断要否判定部３６と、遮断要否通知部３７と、抽出部３８と、抽出結果通知部３９と、を備える管理サーバとして機能する。なお、本実施形態では、管理サーバの備える各機能は、汎用プロセッサであるＣＰＵ１１ｂによって実行されるが、これらの機能の一部または全部は、１または複数の専用プロセッサによって実行されてもよい。
【００３５】
＜処理の流れ＞
次に、本実施形態に係る検疫システム１によって実行される処理の流れを、フローチャートを用いて説明する。
【００３６】
図４は、本実施形態に係るノード管理処理の流れを示すフローチャートである。本実施形態に係るノード管理処理は、上記説明した検疫システム１において、ユーザのノード９０が、ネットワークセグメント２に参加したことを契機として開始されるか、または定期的に実行される。なお、本フローチャートに示された処理の具体的な内容および処理順序は、本発明を実施するための一例である。具体的な処理内容および処理順序は、本発明の実施の形態に応じて適宜選択されてよい。
【００３７】
ステップＳ１０１では、ネットワーク監視装置２０によって、ネットワークセグメント２に属する個々のノード９０を識別可能なノードＩＤ（装置識別情報）が取得される。本実施形態では、ノードＩＤとして、ノード９０のＭＡＣアドレスが用いられる。ネットワーク監視装置２０の装置識別情報取得部２３は、セグメント２を流れるパケットを、自身のＭＡＣアドレス宛でないものも含めて全て取得することで、ノード９０によって送信されたＡＲＰのアドレス解決要求等のブロードキャストパケット等を取得し、ノード９０のＭＡＣアドレスを取得する。
【００３８】
より具体的には、ネットワーク監視装置２０は、セグメント２を流れるパケットを、自身のＭＡＣアドレス宛でないものも含めて全て取得し、取得されたパケットの送信元ＭＡＣアドレスと、検疫済端末リスト２８ａおよび未検疫端末リスト２８ｂに保持されているＭＡＣアドレスとを照合する。照合の結果、取得されたパケットの送信元ＭＡＣアドレスが検疫済端末リスト２８ａおよび未検疫端末リスト２８ｂの何れにも含まれていない場合、通信遮断部２１は、セグメント２に新たなノード９０が接続されたと判断し、新たなノード９０のＭＡＣアドレスを取得する。その後、処理はステップＳ１０２へ進む。
【００３９】
ステップＳ１０２では、ノードＩＤおよびセグメントＩＤが送信される。ネットワーク監視装置２０の管理情報送信部２４は、個々のネットワークセグメント２を識別可能なセグメントＩＤ（セグメント識別情報）を、記憶装置１４ａから読み出す等の方法で取得し、ステップＳ１０１で取得されたノードＩＤと、セグメントＩＤと、を関連付けて検疫サーバ３０へ送信する。本実施形態では、セグメントＩＤとして、ネットワーク監視装置２０のＭＡＣアドレスが用いられる。但し、セグメントＩＤとしては、ネットワーク監視装置２０の製造シリアル番号や、ルータ１０のＷＡＮ側アドレス等、ネットワークセグメント２を識別可能なその他の情報が用いられてもよい。その後、処理はステップＳ１０３へ進む。
【００４０】
ステップＳ１０３およびステップＳ１０４では、ノードＩＤおよびセグメントＩＤが受信され、ホワイトリスト４２が検索される。検疫サーバ３０の管理情報取得部３４は、ネットワーク監視装置２０から送信されたノードＩＤ、およびセグメントＩＤを受信する（ステップＳ１０３）。そして、検疫サーバ３０の遮断要否判定部３６は、ステップＳ１０
３において受信されたセグメントＩＤに基づいて、ネットワークセグメント２に対応するホワイトリスト４２を特定し、特定されたホワイトリスト４２を、受信されたノードＩＤを用いて検索する（ステップＳ１０４）。その後、処理はステップＳ１０５へ進む。
【００４１】
ステップＳ１０５からステップＳ１０７では、ホワイトリスト４２の検索結果に従って、通信許可通知または通信遮断通知が送信される。検疫サーバ３０の遮断要否判定部３６は、検索の結果、取得されたセグメントＩＤに係るホワイトリスト４２に、取得されたノードＩＤが登録されているか否か、を判定することで、ノードＩＤおよびセグメントＩＤが示すノード９０に係る通信の遮断の要否を判定する（ステップＳ１０５）。取得されたセグメントＩＤに係るホワイトリスト４２に、取得されたノードＩＤが登録されている場合、検疫サーバ３０の遮断要否通知部３７は、ネットワーク監視装置２０に対して、ノードＩＤが示すノード９０に係る通信の遮断が不要であることを示す通信許可通知を送信する（ステップＳ１０６）。取得されたセグメントＩＤに係るホワイトリスト４２に、取得されたノードＩＤが登録されていない場合、検疫サーバ３０の遮断要否通知部３７は、ネットワーク監視装置２０に対して、ノードＩＤが示すノード９０に係る通信の遮断が必要であることを示す通信遮断通知を送信する（ステップＳ１０７）。その後、処理はステップＳ１０８へ進む。
【００４２】
ステップＳ１０８からステップＳ１１２では、検疫サーバ３０から送信されたホワイトリスト４２の検索結果の通知が受信され、通知の内容に従ってノード９０に対する通信許可または通信遮断が行われる。ネットワーク監視装置２０の遮断要否取得部２５は、検疫サーバ３０から送信された通信許可通知または通信遮断通知を受信すると（ステップＳ１０８）、受信された通知の内容が、通信許可通知であるか通信遮断通知であるかを判定する（ステップＳ１０９）。受信された通知の内容が通信許可通知であった場合、ネットワーク監視装置２０は、通信許可通知に係るノード９０のＭＡＣアドレスを、検疫済端末リスト２８ａに追加する（ステップＳ１１２）。なお、ネットワーク監視装置２０は、通信許可通知に係るノード９０のＭＡＣアドレスが、未検疫端末リスト２８ｂに登録されている場合には、これを削除する。
【００４３】
本実施形態において用いられるネットワーク監視装置２０は、ＡＲＰ偽装によるパケット送信先の誘導によってノード９０による通信を遮断するものであるため、受信された通知の内容が通信許可通知であった場合、ネットワーク監視装置２０は、ノード９０による通信を許可するために特段の処理を行う必要はない。但し、対象のノード９０に対して既にＡＲＰ偽装による通信遮断が行われている場合には、ネットワーク監視装置２０は、対象のノード９０に対してルータ１０の正しいＭＡＣアドレスを通知してＡＲＰ偽装を解除する方法や、ＡＲＰ偽装によってネットワーク監視装置２０へ誘導されたノード９０からのパケットを正しい宛先に転送する方法等を用いて、ノード９０による通信を許可する。
【００４４】
これに対して、受信された通知の内容が通信遮断通知であった場合、ネットワーク監視装置２０の物理アドレス偽装部２７および通信遮断部２１は、ノード９０に対してＡＲＰ偽装によるパケット送信先の誘導を行う等の方法で、ノード９０による通信を遮断する（ステップＳ１１０）。また、ネットワーク監視装置２０の物理アドレス偽装部２７は、ＡＲＰ偽装によってノード９０から取得したパケットを検疫サーバ３０に転送する等の方法で、検疫ページへの誘導処理を行う（ステップＳ１１１）。通信遮断処理（ステップＳ１１０）および検疫ページへの誘導処理（ステップＳ１１１）の詳細については、図５を用いて後述する。
【００４５】
図５は、本実施形態に係る通信遮断処理、および検疫ページへの誘導処理の流れを示すフローチャートである。本フローチャートは、図４のステップＳ１１０およびステップＳ１１１に示された通信遮断処理、および検疫ページへの誘導処理を、より詳細に説明する
ものである。なお、本フローチャートに示された処理の具体的な内容および処理順序は、本発明を実施するための一例である。具体的な処理内容および処理順序は、本発明の実施の形態に応じて適宜選択されてよい。
【００４６】
はじめに、通信遮断処理について説明する。ネットワーク監視装置２０は、図４のステップＳ１０８で受信した通信遮断通知に係るノード９０のＭＡＣアドレスを未検疫端末リスト２８ｂに記録する（ステップＳ２０１）。そして、ネットワーク監視装置２０の物理アドレス偽装部２７は、ノード９０に対して、ネットワークセグメント２内の他の端末やルータ１０のＭＡＣアドレスとして、自身（ネットワーク監視装置２０）のＭＡＣアドレス（以下、「偽装アドレス」とも称する）を送信する（ステップＳ２０２）。
【００４７】
例えば、ネットワークに参加したノード９０は、通信したい端末（例えば、業務サーバ５０）と通信を行うために、ＡＲＰのアドレス解決要求をブロードキャスト送信する。ここで、一般的なネットワークであれば、業務サーバ５０はネットワークセグメント２の外に存在するため、ルータ１０が自身（ルータ１０）のＭＡＣアドレスを通知することとなる。しかし、本実施形態に係るネットワーク構成では、ネットワークセグメント２にはネットワーク監視装置２０が接続されており、このネットワーク監視装置２０は、ノード９０によるアドレス解決要求に対して、自身（ネットワーク監視装置２０）のＭＡＣアドレス（偽装アドレス）をノード９０へ通知する。
【００４８】
また、ネットワーク監視装置２０からノード９０に対する偽装アドレスの通知は、ノード９０から送信されたアドレス解決要求への応答としてではなく、ネットワーク監視装置２０からのＡＲＰ要求として送信されてもよい。
【００４９】
いずれにしても、ここでノード９０へ通知されるＭＡＣアドレスは、デフォルトルータやネットワークセグメント２内の他の端末のＭＡＣアドレスを、ネットワーク監視装置２０のＭＡＣアドレスで偽装するものである。このため、本実施形態に係るネットワーク監視装置２０によれば、未検疫のノード９０は、業務サーバ５０やネットワークセグメント２内の他の端末等のＭＡＣアドレスとしてネットワーク監視装置２０のＭＡＣアドレスをアドレスリストに登録することとなる（ステップＳ２０３、ステップＳ２０４）。
【００５０】
このため、未検疫のノード９０は、業務サーバ５０やネットワークセグメント２内の他の端末等へのアクセスを試みる場合に、ネットワーク監視装置２０によって偽装されたＭＡＣアドレス宛にパケットを送信することとなる。換言すれば、物理アドレス偽装部２７は、ノード９０に対して、他の装置のＭＡＣアドレスとして、ネットワーク監視装置２０のＭＡＣアドレスを通知することで、ノード９０から送信される情報をネットワーク監視装置２０に誘導する。そして、ネットワーク監視装置２０は、後述する検疫のために必要な通信を除いて、未検疫端末リスト２８ｂに記録されているノード９０から送信されたパケットの一部または全部を破棄する（転送しない）。上記したような方法によって、ネットワーク監視装置２０の通信遮断部２１は、未検疫のノード９０による通信の一部または全部を遮断する。
【００５１】
なお、ネットワーク監視装置２０は、未検疫のノード９０が保持するアクセスリストが、正しい通信相手のＭＡＣアドレスを保持することを防止するため、偽装のためのＡＲＰ応答を、時間をおいて複数回送信することが好ましい。
【００５２】
次に、検疫ページへの誘導処理について説明する。ネットワーク監視装置２０のリダイレクト部２２は、通信遮断中のノード９０から取得した通信がＨＴＴＰ通信であった場合、ＨＴＴＰの接続要求に指定された通信相手（図５に示した例では、業務サーバ５０）に拘らず、検疫サーバ３０へ接続するようリダイレクトする（ステップＳ２０５からステッ
プＳ２０７）。ノード９０は、リダイレクトの要求を受信すると、ネットワーク監視装置２０から通知された所定の検疫サーバ３０へ接続する（ステップＳ２０８、Ｓ２０９）。なお、この際、ノード９０から送信されるパケットの宛先ＭＡＣアドレスにはネットワーク監視装置２０のＭＡＣアドレスが設定されているが、ネットワーク監視装置２０は、宛先ＩＰアドレスが検疫サーバ３０であるパケットについては遮断（パケット廃棄）することなく転送する。
【００５３】
以後、ノード９０が未検疫端末リスト２８ｂに記録されている間、ネットワーク監視装置２０は、宛先ＩＰアドレスが検疫サーバ３０であるパケットについては転送を行い、それ以外のパケットは転送することなく廃棄（通信遮断）する。このような処理によって、ノード９０は、ネットワークセグメント２のセキュリティを確保しつつ、検疫サービスを受けることが出来る。なお、本実施形態では、パケット転送の要否は宛先ＩＰアドレスを参照することで判断されるが、その他の方法が採用されてもよい。例えば、宛先ＩＰアドレスに加えて、通信プロトコルの種類やポート番号、ＵＲＬ等を参照して、転送の要否が判断されてもよい。
【００５４】
検疫サーバ３０の接続受入部３１は、リダイレクトされたＨＴＴＰ接続を受信し、検疫サーバ３０は、検疫用のＷｅｂページを、ノード９０に対して送信する（ステップＳ２１０、Ｓ２１１）。検疫用のＷｅｂページを受信したノード９０は、検疫用のＷｅｂページを表示する（ステップＳ２１２、Ｓ２１３）。本実施形態に係る検疫システム１では、検疫用のＷｅｂページには、ノード９０のユーザまたはノード９０を認証するための認証用情報（例えば、ユーザＩＤやパスワード等）を入力するための入力フィールドが含まれ、ユーザは、ノード９０の入力装置（キーボードやマウス等）を用いて認証用の情報を入力することで認証を求める。但し、実施の形態によっては、認証の方法にその他の方法が採用されてもよいし、認証が行われなくてもよい。
【００５５】
図６は、本実施形態に係る検疫処理の流れを示すフローチャートである。本実施形態に係る検疫処理は、ノード９０によって表示された検疫用のＷｅｂページにおいて、ユーザが認証用の情報を入力したことを契機として開始される。なお、本フローチャートに示された処理の具体的な内容および処理順序は、本発明を実施するための一例である。具体的な処理内容および処理順序は、本発明の実施の形態に応じて適宜選択されてよい。
【００５６】
ノード９０は、ユーザによって入力された認証用の情報（ユーザＩＤやパスワード等）を含む認証要求および検疫要求を、検疫サーバ３０に送信する（ステップＳ３０１）。認証要求および検疫要求を受信した検疫サーバ３０は、受信した情報に含まれるユーザＩＤやパスワード等を、予め保持しているユーザ情報に照会することで、ユーザまたはノード９０を認証する（ステップＳ３０２）。
【００５７】
また、ノード９０は、検疫用の情報（以下、「インベントリ」とも称する）を収集する（ステップＳ３０３）。但し、ノード９０によってインベントリが収集されるタイミングは、本フローチャートに示した例に限定されない。インベントリは、検疫サーバ３０に送信されるまでに収集されていればよいため、インベントリが収集されるタイミングは、検疫処理の全体の流れにおいて、実施の形態に応じて適宜決定されることが好ましい。ノード９０は、ステップＳ３０３で収集したインベントリを、検疫サーバ３０へ送信する（ステップＳ３０４）。
【００５８】
検疫サーバ３０がインベントリを受信すると（ステップＳ３０５）、検疫サーバ３０の検疫部３３は、受信されたインベントリの内容を調査することで、ノード９０を検疫する。具体的には、インベントリ（検疫用の情報）に含まれる、ノード９０の環境に関連する各種情報（例えば、ノード９０のシステム情報、システムソフトウェアのバージョン情報
、システムの設定内容、セキュリティソフトウェア情報、定義ファイルのバージョン情報、マルウェア検知エンジンのバージョン情報、等）が、条件リスト４１に挙げられた所定の条件を満たしているか否かを確認することで、ノード９０に対して現在適用されている通信遮断を解除してよいか否かを判定する（ステップＳ３０６）。判定の結果、ノード９０の環境が所定の条件を満たしていると判定された場合、検疫は完了する。また、判定の結果、ノード９０の環境が所定の条件を満たしていないと判定された場合、検疫は不合格となる。
【００５９】
なお、検疫には、上記説明した方法以外にも、様々な方法が採用されてよい。例えば、インベントリ（検疫用の情報）に含まれるノード９０の環境に関連する各種情報と、条件リスト４１に挙げられた所定の条件とを比較し、比較結果に基づいてクライアントのセキュリティレベルを算出し、セキュリティレベルが一定以上の場合に、ノード９０の環境が所定の条件を満たしていると判定する方法が採用されてもよい。
【００６０】
検疫結果が検疫完了（所定の条件を満たしている）であった場合、検疫サーバ３０の管理情報蓄積部３５は、検疫結果に係るノードＩＤを、該ノードＩＤに係るノード９０が属するセグメントＩＤに対応するホワイトリスト４２に登録する（ステップＳ３０７）。このため、以降、同一のネットワークセグメント２を管理するネットワーク監視装置２０から同一ノードＩＤの照会があった場合には、検疫サーバ３０はネットワーク監視装置２０に対して通信許可通知を送信する（ステップＳ１０１からステップＳ１０６を参照）。しかし、検疫結果に係るノード９０が検疫を受けたネットワークセグメント２以外のネットワークセグメント（第二のネットワークセグメント）に、検疫結果に係るノード９０と同一のノードＩＤを有するノード９０が接続された場合には、ホワイトリストがネットワークセグメント２毎に管理されているため、検疫サーバ３０は、第二のネットワークセグメント２に係るホワイトリストを参照し、通信許可通知を送信するか、通信遮断通知を送信するかを判断する（ステップＳ１０４からステップＳ１０７を参照）。
【００６１】
検疫サーバ３０は、検疫の結果、即ち、ノード９０の環境が所定の条件を満たしているか否かの判定結果をログに出力し（ステップＳ３０８）、Ｗｅｂページとしてノード９０に送信する（ステップＳ３０９、Ｓ３１０）。
【００６２】
検疫結果が検疫完了（所定の条件を満たしている）であった場合、ノード９０は、ネットワーク監視装置２０に対して、遮断解除要求を送信する（ステップＳ３１１、ステップＳ３１３）。遮断解除要求は、検疫結果に係るノードＩＤと、ネットワーク監視装置２０によるノード９０の通信遮断が解除されてよいことを示す遮断解除許可情報と、を含む。遮断解除要求を受けたネットワーク監視装置２０は、遮断解除要求の内容を精査することで要求の正当性を判断し、正当な遮断解除要求であると判断された場合には、該当するＭＡＣアドレスを未検疫端末リスト２８ｂから削除し、検疫済端末リスト２８ａに追加する（ステップＳ３１４）。また、遮断解除要求を受けたネットワーク監視装置２０は、ノード９０に対する通信遮断を解除する。解除の具体的な方法は、先述した通信の許可の方法と概略同様であるため、説明を省略する。
【００６３】
なお、遮断解除要求は、検疫サーバ３０からネットワーク監視装置２０に対して送信されてもよい。この場合、検疫サーバ３０は、ネットワーク監視装置２０に対して、遮断解除要求を送信する（ステップＳ３１２、ステップＳ３１３）。
【００６４】
本実施形態に係る検疫システム１によれば、ネットワークセグメント２毎にホワイトリストが管理されている（即ち、セグメントＩＤと関連付けられてノードＩＤが管理されている）ことで、異なるネットワークセグメント２において同一のノードＩＤ（ＭＡＣアドレス）を有するノード９０が接続された場合（ＭＡＣアドレスが重複している場合）であ
っても、異なるノード９０であることを正しく認識し、夫々のノード９０に対して通信遮断または通信許可等の制御を行うことが可能となる。特に、ホワイトリストに登録されている検疫済みのノード９０のＭＡＣアドレスと同一のＭＡＣアドレスを用いてＭＡＣアドレスを偽装し、検疫をすり抜けようとするようなノード９０による通信を遮断することが可能となり、セキュリティレベルを高めることが可能となる。
【００６５】
図７は、本実施形態に係る重複検出処理の流れを示すフローチャートである。本実施形態に係る重複検出処理は、上記説明した検疫システム１において、ユーザのノード９０が、ネットワークセグメント２に参加したことを契機として開始されるか、または定期的に実行される。なお、本フローチャートに示された処理の具体的な内容および処理順序は、本発明を実施するための一例である。具体的な処理内容および処理順序は、本発明の実施の形態に応じて適宜選択されてよい。
【００６６】
ステップＳ４０１からステップＳ４０３では、ノードＩＤおよびセグメントＩＤが取得され、送受信される。ステップＳ４０１からステップＳ４０３までの処理は、図４を用いて説明したステップＳ１０１からステップＳ１０３までの処理と概略同様であるため、説明を省略する。
【００６７】
ステップＳ４０４およびステップＳ４０５では、受信されたノードＩＤを用いて、受信されたセグメントＩＤに係るホワイトリスト４２を除く全てのホワイトリスト４２が検索され、ノードＩＤが重複するノード９０の有無が判定される。検疫サーバ３０の抽出部３８は、ステップＳ４０３において受信されたセグメントＩＤに対応するホワイトリスト４２以外のホワイトリスト４２（以下、「検索対象のホワイトリスト４２」とも称する）を、受信されたノードＩＤを用いて検索することで、異なるネットワークセグメント２に属する、ノードＩＤが重複するノード９０を抽出する（ステップＳ４０４）。そして、検疫サーバ３０の抽出部３８は、検索の結果、検索対象のホワイトリスト４２の何れかに、取得されたノードＩＤが記録されていたか否か、を判定することで、ノードＩＤが重複するノード９０の有無を判定する（ステップＳ４０５）。ここで、検索対象のホワイトリストの何れにも、取得されたノードＩＤが登録されていない場合（即ち、重複が発見されなかった場合）、本フローチャートに示された処理は終了する。これに対して、検索対象のホワイトリスト４２の何れかに、取得されたノードＩＤが登録されている場合（即ち、重複が発見された場合）、処理はステップＳ４０７へ進む。
【００６８】
ステップＳ４０７からステップＳ４１１では、通信遮断通知が送受信され、ノード９０に対する通信遮断が行われる。検疫サーバ３０の遮断要否通知部３７は、ノードＩＤが重複するノード９０が、他のネットワークセグメント２において発見された場合、ネットワーク監視装置２０に対して、通信遮断通知を送信する（ステップＳ４０７）。ネットワーク監視装置２０において、検疫サーバ３０から送信された通信遮断通知を受信すると（ステップＳ４０８）、ネットワーク監視装置２０の物理アドレス偽装部２７および通信遮断部２１は、ノード９０に対してＡＲＰ偽装によるパケット送信先の誘導を行う等の方法で、ノード９０による通信を遮断する（ステップＳ４１０）。また、ネットワーク監視装置２０の物理アドレス偽装部２７は、ＡＲＰ偽装によってノード９０から取得したパケットを検疫サーバ３０に転送する等の方法で、検疫ページへの誘導処理を行う（ステップＳ４１１）。ステップＳ４１０およびステップＳ４１１の処理の詳細は、図５を用いて説明した通信遮断処理、および検疫ページへの誘導処理と概略同様であるため、説明を省略する。
【００６９】
また、ステップＳ４１３では、システム管理者に対して、異なるネットワークセグメント２においてノードＩＤ（ＭＡＣアドレス）が重複するノード９０が検出された旨が通知される。検疫サーバ３０の抽出結果通知部３９は、取得されたセグメントＩＤに係るホワ
イトリスト４２以外のホワイトリスト４２の何れかに、取得されたノードＩＤが登録されている場合、管理者に対して、ステップＳ４０２で送信されたノードＩＤが示すノード９０とノードＩＤ（ここでは、ＭＡＣアドレス）が重複するノード９０が、他のネットワークセグメント２に存在することを示す重複通知を送信する（ステップＳ４１３）。その後、本フローチャートに示された処理は終了する。
【００７０】
本フローチャートに示された重複検出処理によれば、複数のネットワークセグメント２を有する検疫システム１において、他のネットワークセグメント２においてノードＩＤ（ＭＡＣアドレス）が重複するノード９０が接続された場合に、重複を検出し、管理者等のユーザに通知する事が可能となる。特に、ホワイトリストに登録されている検疫済みのノード９０のＭＡＣアドレスと同一のＭＡＣアドレスを用いてＭＡＣアドレスを偽装し、検疫をすり抜けようとするようなノード９０を発見することが可能となり、セキュリティレベルを高めることが可能となる。
【００７１】
次に、検疫システムのネットワーク構成のバリエーションを説明する。図８および図９は、本発明の実施を行うにあたって採用されてよいネットワーク構成のバリエーションを示す図である。図８および図９において、上記説明した実施形態と同様の構成については、同一の符号を付し、説明を省略する。
【００７２】
図８は、本実施形態に係る検疫システム１ｂの構成を示す概略図である。本実施形態に係る検疫システム１ｂは、検疫対象となる複数の情報処理装置９０が接続される複数のネットワークセグメント２と、ルータ１０を介してネットワークセグメント２と通信可能に接続されている検疫サーバ３０と、業務サーバ５０と、を備える。そして、ネットワーク監視装置２０は複数のインターフェースを有し、これらの複数のインターフェースが、夫々異なるネットワークセグメント２に接続されている。
【００７３】
このため、本実施形態に係る検疫システム１ｂでは、１つのネットワーク監視装置２０によって、複数のネットワークセグメント２が監視される。そして、検疫システム１ｂでは、同一のネットワーク監視装置２０によって監視されている異なるネットワークセグメント２を識別（区別）する目的で、ネットワーク監視装置２０の識別情報（ＭＡＣアドレスやシリアル番号等）に加えて、ネットワーク監視装置２０のインターフェース番号（物理ポートの番号）がセグメントＩＤとして用いられる。このため、検疫システム１ｂにおいて用いられるホワイトリスト４２は、ネットワーク監視装置２０の識別情報、およびネットワークセグメント２に接続されているインターフェースの識別子を含むセグメントＩＤ毎に生成され、セグメントＩＤに関連付けられて管理される（ステップＳ３０７）。
【００７４】
即ち、ネットワーク監視装置２０が、夫々を異なるネットワークセグメント２に接続可能な複数のインターフェースを有する場合、ネットワーク監視装置２０の管理情報送信部２４は、セグメントＩＤとして、ネットワーク監視装置２０の識別情報に加えて、ネットワークセグメント２に接続されているインターフェースの識別子を送信する（ステップＳ１０２、ステップＳ４０２）。そして、検疫サーバ３０の管理情報取得部３４は、セグメントＩＤとして、ネットワーク監視装置２０の識別情報に加えて、ネットワークセグメント２に接続されているネットワーク監視装置２０のインターフェースの識別子を取得する（ステップＳ１０３、ステップＳ４０３）。具体的には、インターフェースの識別子として、物理ポートに割り当てられた番号、例えばＬＡＮ１、ＬＡＮ２、ＬＡＮ３・・・等のような識別子が送受信される。
【００７５】
このため、検疫サーバ３０の遮断要否判定部３６は、ステップＳ１０３やステップＳ４０３において受信された、ネットワーク監視装置２０の識別情報およびインターフェース識別子を含むセグメントＩＤに基づいて、ネットワークセグメント２に対応するホワイト
リスト４２を特定し、特定されたホワイトリスト４２を、受信されたノードＩＤを用いて検索する（ステップＳ１０４、ステップＳ４０４）。即ち、本実施形態に係る検疫システム１ｂによれば、複数のインターフェースを有する１台のネットワーク監視装置２０によって複数のネットワークセグメント２を管理している場合にも、ノードＩＤが重複する複数のノード９０を正しく識別（区別）し、夫々のノード９０に対して通信遮断または通信許可等の制御を行うことが可能である。
【００７６】
図９は、本実施形態に係る検疫システム１ｃの構成を示す概略図である。本実施形態に係る検疫システム１ｃは、検疫対象となる複数の情報処理装置９０が接続される複数のネットワークセグメント２と、ルータ１０を介してネットワークセグメント２と通信可能に接続されている検疫サーバ３０と、業務サーバ５０と、を備える。そして、ネットワーク監視装置２０は、複数のＶＬＡＮ（Ｖｉｒｔｕａｌ Ｌｏｃａｌ Ａｒｅａ Ｎｅｔｗｏｒｋ）に接続されている。
【００７７】
ここで、ＶＬＡＮは、ネットワークセグメント２に相当する。即ち、本実施形態に係る検疫システム１ｃでは、１つのネットワーク監視装置２０によって、複数のＶＬＡＮ（ネットワークセグメント２）が監視される。そして、検疫システム１ｃでは、同一のネットワーク監視装置２０によって監視されている異なるＶＬＡＮを識別（区別）する目的で、ネットワーク監視装置２０の識別情報（ＭＡＣアドレスやシリアル番号等）に加えて、ＶＬＡＮの識別情報がセグメントＩＤとして用いられる。このため、検疫システム１ｃにおいて用いられるホワイトリスト４２は、ネットワーク監視装置２０の識別情報、およびＶＬＡＮの識別情報を含むセグメントＩＤ毎に生成され、セグメントＩＤに関連付けられて管理される（ステップＳ３０７）。
【００７８】
管理情報送信部２４、および遮断要否判定部３６等による処理において、ネットワーク監視装置２０の識別情報、およびＶＬＡＮの識別情報を含むセグメントＩＤが送受信され、ホワイトリスト４２の特定に用いられることは、上記説明した検疫システム１ｂと同様である。具体的には、ＶＬＡＮの識別情報として、ルータ１０によって管理されるＶＬＡＮに割り当てられた識別子、例えばＶＬＡＮ１、ＶＬＡＮ２等のような識別情報が送受信される。
【００７９】
このため、検疫サーバ３０の遮断要否判定部３６は、ステップＳ１０３やステップＳ４０３において受信された、ネットワーク監視装置２０の識別情報およびＶＬＡＮの識別情報を含むセグメントＩＤに基づいて、ネットワークセグメント２に対応するホワイトリスト４２を特定し、特定されたホワイトリスト４２を、受信されたノードＩＤを用いて検索する（ステップＳ１０４、ステップＳ４０４）。即ち、本実施形態に係る検疫システム１ｃによれば、１台のネットワーク監視装置２０によって複数のＶＬＡＮ（ネットワークセグメント２）を管理している場合にも、ノードＩＤが重複する複数のノード９０を正しく識別（区別）し、夫々のノード９０に対して通信遮断または通信許可等の制御を行うことが可能である。
【符号の説明】
【００８０】
１ 検疫システム
２０ ネットワーク監視装置（通信遮断装置）
３０ 検疫サーバ
９０ ノード（情報処理装置）
【特許請求の範囲】
【請求項１】
複数のネットワークセグメントを管理する管理サーバであって、
前記ネットワークセグメントに属する情報処理装置を識別可能な装置識別情報、および該情報処理装置が属するネットワークセグメントを識別可能なセグメント識別情報を取得する管理情報取得手段と、
前記管理情報取得手段によって取得された前記装置識別情報および前記セグメント識別情報を関連付けて、該装置識別情報および該セグメント識別情報が示す情報処理装置に係る通信の遮断の要否を判定可能なように蓄積する管理情報蓄積手段と、
前記管理情報蓄積手段によって蓄積された装置識別情報およびセグメント識別情報が示す情報処理装置に係る通信の遮断の要否を判定する遮断要否判定手段と、
前記遮断要否判定手段によって判定された遮断の要否を、前記情報処理装置に係る通信の遮断を行う通信遮断装置に通知する遮断要否通知手段と、
を備える管理サーバ。
【請求項２】
前記管理情報取得手段は、前記装置識別情報および前記セグメント識別情報を、該装置識別情報が示す情報処理装置が属するネットワークセグメントに接続されている前記通信遮断装置から取得する、
請求項１に記載の管理サーバ。
【請求項３】
前記管理情報取得手段は、前記セグメント識別情報として、前記通信遮断装置の識別子を取得する、
請求項２に記載の管理サーバ。
【請求項４】
前記管理情報取得手段は、前記セグメント識別情報として、前記ネットワークセグメントに接続されている該通信遮断装置のインターフェースの識別子を更に取得する、
請求項３に記載の管理サーバ。
【請求項５】
前記装置識別情報を用いて、前記管理情報蓄積手段によって蓄積された情報を検索することで、異なるネットワークセグメントに属する、前記装置識別情報が重複する情報処理装置を抽出する抽出手段と、
前記装置識別情報が重複する複数の情報処理装置が抽出された場合に、重複が発生していることをユーザに通知する抽出結果通知手段と、
を更に備える、請求項１から４の何れか一項に記載の管理サーバ。
【請求項６】
ネットワークセグメントに属する情報処理装置を識別可能な装置識別情報を取得する装置識別情報取得手段と、
前記装置識別情報と、該装置識別情報が示す情報処理装置が属する前記ネットワークセグメントを識別可能なセグメント識別情報と、を関連付けて管理サーバに送信する管理情報送信手段と、
前記管理サーバから、前記装置識別情報が示す情報処理装置に係る通信の遮断の要否を取得する遮断要否取得手段と、
前記遮断要否取得手段によって、前記装置識別情報が示す情報処理装置に係る通信の遮断が必要であることを示す情報が取得された場合に、該情報処理装置に係る通信を遮断する通信遮断手段と、
を備える通信遮断装置。
【請求項７】
前記管理情報送信手段は、前記セグメント識別情報として、該通信遮断装置の識別子を送信する、
請求項６に記載の通信遮断装置。
【請求項８】
夫々を異なるセグメントに接続可能な複数のインターフェースを有し、
前記管理情報送信手段は、前記セグメント識別情報として、前記ネットワークセグメントに接続される前記インターフェースの識別子を更に送信する、
請求項７に記載の通信遮断装置。
【請求項９】
前記情報処理装置に対して、他の装置の物理アドレスとして、該通信遮断装置の物理アドレスを通知することで、該情報処理装置から送信される情報を該通信遮断装置に誘導する、物理アドレス偽装手段を更に備え、
前記通信遮断手段は、前記誘導された情報の少なくとも一部を転送しないことで、前記情報処理装置に係る通信の少なくとも一部を遮断する、
請求項６から８の何れか一項に記載の通信遮断装置。
【請求項１０】
複数のネットワークセグメントを有する情報処理システムであって、
前記ネットワークセグメントに属する情報処理装置を識別可能な装置識別情報、および該情報処理装置が属するネットワークセグメントを識別可能なセグメント識別情報を取得する管理情報取得手段と、
前記管理情報取得手段によって取得された前記装置識別情報および前記セグメント識別情報を関連付けて、該装置識別情報および該セグメント識別情報が示す情報処理装置に係る通信の遮断の要否を判定可能なように蓄積する管理情報蓄積手段と、
前記管理情報蓄積手段によって蓄積された装置識別情報およびセグメント識別情報が示す情報処理装置に係る通信の遮断の要否を判定する遮断要否判定手段と、
前記遮断要否判定手段によって、前記情報処理装置に係る通信の遮断が必要であると判定された場合に、前記装置識別情報が示す情報処理装置に係る通信を遮断する通信遮断手段と、
を備える情報処理システム。
【請求項１１】
前記装置識別情報を用いて、前記管理情報蓄積手段によって蓄積された情報を検索することで、異なるネットワークセグメントに属する、前記装置識別情報が重複する情報処理装置を抽出する抽出手段と、
前記装置識別情報が重複する複数の情報処理装置が抽出された場合に、重複が発生していることをユーザに通知する抽出結果通知手段と、
を更に備える、請求項１０に記載の情報処理システム。
【請求項１２】
複数のネットワークセグメントを管理するコンピュータが、
前記ネットワークセグメントに属する情報処理装置を識別可能な装置識別情報、および該情報処理装置が属するネットワークセグメントを識別可能なセグメント識別情報を取得する管理情報取得ステップと、
前記管理情報取得ステップにおいて取得された前記装置識別情報および前記セグメント識別情報を関連付けて、該装置識別情報および該セグメント識別情報が示す情報処理装置に係る通信の遮断の要否を判定可能なように蓄積する管理情報蓄積ステップと、
前記管理情報蓄積ステップにおいて蓄積された装置識別情報およびセグメント識別情報が示す情報処理装置に係る通信の遮断の要否を判定する遮断要否判定ステップと、
前記遮断要否判定ステップにおいて判定された遮断の要否を、前記情報処理装置に係る通信の遮断を行う通信遮断装置に通知する遮断要否通知ステップと、
を実行する管理方法。
【請求項１３】
複数のネットワークセグメントを管理するコンピュータに、
前記ネットワークセグメントに属する情報処理装置を識別可能な装置識別情報、および該情報処理装置が属するネットワークセグメントを識別可能なセグメント識別情報を取得
する管理情報取得ステップと、
前記管理情報取得ステップにおいて取得された前記装置識別情報および前記セグメント識別情報を関連付けて、該装置識別情報および該セグメント識別情報が示す情報処理装置に係る通信の遮断の要否を判定可能なように蓄積する管理情報蓄積ステップと、
前記管理情報蓄積ステップにおいて蓄積された装置識別情報およびセグメント識別情報が示す情報処理装置に係る通信の遮断の要否を判定する遮断要否判定ステップと、
前記遮断要否判定ステップにおいて判定された遮断の要否を、前記情報処理装置に係る通信の遮断を行う通信遮断装置に通知する遮断要否通知ステップと、
を実行させるための管理用プログラム。
【請求項１４】
コンピュータが、
ネットワークセグメントに属する情報処理装置を識別可能な装置識別情報を取得する装置識別情報取得ステップと、
前記装置識別情報と、該装置識別情報が示す情報処理装置が属する前記ネットワークセグメントを識別可能なセグメント識別情報と、を関連付けて管理サーバに送信する管理情報送信ステップと、
前記管理サーバから、前記装置識別情報が示す情報処理装置に係る通信の遮断の要否を取得する遮断要否取得ステップと、
前記遮断要否取得ステップによって、前記装置識別情報が示す情報処理装置に係る通信の遮断が必要であることを示す情報が取得された場合に、該情報処理装置に係る通信を遮断する通信遮断ステップと、
を実行する通信遮断方法。
【請求項１５】
コンピュータに、
ネットワークセグメントに属する情報処理装置を識別可能な装置識別情報を取得する装置識別情報取得ステップと、
前記装置識別情報と、該装置識別情報が示す情報処理装置が属する前記ネットワークセグメントを識別可能なセグメント識別情報と、を関連付けて管理サーバに送信する管理情報送信ステップと、
前記管理サーバから、前記装置識別情報が示す情報処理装置に係る通信の遮断の要否を取得する遮断要否取得ステップと、
前記遮断要否取得ステップによって、前記装置識別情報が示す情報処理装置に係る通信の遮断が必要であることを示す情報が取得された場合に、該情報処理装置に係る通信を遮断する通信遮断ステップと、
を実行させるための通信遮断用プログラム。
【請求項１】
複数のネットワークセグメントを管理する管理サーバであって、
前記ネットワークセグメントに属する情報処理装置を識別可能な装置識別情報、および該情報処理装置が属するネットワークセグメントを識別可能なセグメント識別情報を取得する管理情報取得手段と、
前記管理情報取得手段によって取得された前記装置識別情報および前記セグメント識別情報を関連付けて、該装置識別情報および該セグメント識別情報が示す情報処理装置に係る通信の遮断の要否を判定可能なように蓄積する管理情報蓄積手段と、
前記管理情報蓄積手段によって蓄積された装置識別情報およびセグメント識別情報が示す情報処理装置に係る通信の遮断の要否を判定する遮断要否判定手段と、
前記遮断要否判定手段によって判定された遮断の要否を、前記情報処理装置に係る通信の遮断を行う通信遮断装置に通知する遮断要否通知手段と、
を備える管理サーバ。
【請求項２】
前記管理情報取得手段は、前記装置識別情報および前記セグメント識別情報を、該装置識別情報が示す情報処理装置が属するネットワークセグメントに接続されている前記通信遮断装置から取得する、
請求項１に記載の管理サーバ。
【請求項３】
前記管理情報取得手段は、前記セグメント識別情報として、前記通信遮断装置の識別子を取得する、
請求項２に記載の管理サーバ。
【請求項４】
前記管理情報取得手段は、前記セグメント識別情報として、前記ネットワークセグメントに接続されている該通信遮断装置のインターフェースの識別子を更に取得する、
請求項３に記載の管理サーバ。
【請求項５】
前記装置識別情報を用いて、前記管理情報蓄積手段によって蓄積された情報を検索することで、異なるネットワークセグメントに属する、前記装置識別情報が重複する情報処理装置を抽出する抽出手段と、
前記装置識別情報が重複する複数の情報処理装置が抽出された場合に、重複が発生していることをユーザに通知する抽出結果通知手段と、
を更に備える、請求項１から４の何れか一項に記載の管理サーバ。
【請求項６】
ネットワークセグメントに属する情報処理装置を識別可能な装置識別情報を取得する装置識別情報取得手段と、
前記装置識別情報と、該装置識別情報が示す情報処理装置が属する前記ネットワークセグメントを識別可能なセグメント識別情報と、を関連付けて管理サーバに送信する管理情報送信手段と、
前記管理サーバから、前記装置識別情報が示す情報処理装置に係る通信の遮断の要否を取得する遮断要否取得手段と、
前記遮断要否取得手段によって、前記装置識別情報が示す情報処理装置に係る通信の遮断が必要であることを示す情報が取得された場合に、該情報処理装置に係る通信を遮断する通信遮断手段と、
を備える通信遮断装置。
【請求項７】
前記管理情報送信手段は、前記セグメント識別情報として、該通信遮断装置の識別子を送信する、
請求項６に記載の通信遮断装置。
【請求項８】
夫々を異なるセグメントに接続可能な複数のインターフェースを有し、
前記管理情報送信手段は、前記セグメント識別情報として、前記ネットワークセグメントに接続される前記インターフェースの識別子を更に送信する、
請求項７に記載の通信遮断装置。
【請求項９】
前記情報処理装置に対して、他の装置の物理アドレスとして、該通信遮断装置の物理アドレスを通知することで、該情報処理装置から送信される情報を該通信遮断装置に誘導する、物理アドレス偽装手段を更に備え、
前記通信遮断手段は、前記誘導された情報の少なくとも一部を転送しないことで、前記情報処理装置に係る通信の少なくとも一部を遮断する、
請求項６から８の何れか一項に記載の通信遮断装置。
【請求項１０】
複数のネットワークセグメントを有する情報処理システムであって、
前記ネットワークセグメントに属する情報処理装置を識別可能な装置識別情報、および該情報処理装置が属するネットワークセグメントを識別可能なセグメント識別情報を取得する管理情報取得手段と、
前記管理情報取得手段によって取得された前記装置識別情報および前記セグメント識別情報を関連付けて、該装置識別情報および該セグメント識別情報が示す情報処理装置に係る通信の遮断の要否を判定可能なように蓄積する管理情報蓄積手段と、
前記管理情報蓄積手段によって蓄積された装置識別情報およびセグメント識別情報が示す情報処理装置に係る通信の遮断の要否を判定する遮断要否判定手段と、
前記遮断要否判定手段によって、前記情報処理装置に係る通信の遮断が必要であると判定された場合に、前記装置識別情報が示す情報処理装置に係る通信を遮断する通信遮断手段と、
を備える情報処理システム。
【請求項１１】
前記装置識別情報を用いて、前記管理情報蓄積手段によって蓄積された情報を検索することで、異なるネットワークセグメントに属する、前記装置識別情報が重複する情報処理装置を抽出する抽出手段と、
前記装置識別情報が重複する複数の情報処理装置が抽出された場合に、重複が発生していることをユーザに通知する抽出結果通知手段と、
を更に備える、請求項１０に記載の情報処理システム。
【請求項１２】
複数のネットワークセグメントを管理するコンピュータが、
前記ネットワークセグメントに属する情報処理装置を識別可能な装置識別情報、および該情報処理装置が属するネットワークセグメントを識別可能なセグメント識別情報を取得する管理情報取得ステップと、
前記管理情報取得ステップにおいて取得された前記装置識別情報および前記セグメント識別情報を関連付けて、該装置識別情報および該セグメント識別情報が示す情報処理装置に係る通信の遮断の要否を判定可能なように蓄積する管理情報蓄積ステップと、
前記管理情報蓄積ステップにおいて蓄積された装置識別情報およびセグメント識別情報が示す情報処理装置に係る通信の遮断の要否を判定する遮断要否判定ステップと、
前記遮断要否判定ステップにおいて判定された遮断の要否を、前記情報処理装置に係る通信の遮断を行う通信遮断装置に通知する遮断要否通知ステップと、
を実行する管理方法。
【請求項１３】
複数のネットワークセグメントを管理するコンピュータに、
前記ネットワークセグメントに属する情報処理装置を識別可能な装置識別情報、および該情報処理装置が属するネットワークセグメントを識別可能なセグメント識別情報を取得
する管理情報取得ステップと、
前記管理情報取得ステップにおいて取得された前記装置識別情報および前記セグメント識別情報を関連付けて、該装置識別情報および該セグメント識別情報が示す情報処理装置に係る通信の遮断の要否を判定可能なように蓄積する管理情報蓄積ステップと、
前記管理情報蓄積ステップにおいて蓄積された装置識別情報およびセグメント識別情報が示す情報処理装置に係る通信の遮断の要否を判定する遮断要否判定ステップと、
前記遮断要否判定ステップにおいて判定された遮断の要否を、前記情報処理装置に係る通信の遮断を行う通信遮断装置に通知する遮断要否通知ステップと、
を実行させるための管理用プログラム。
【請求項１４】
コンピュータが、
ネットワークセグメントに属する情報処理装置を識別可能な装置識別情報を取得する装置識別情報取得ステップと、
前記装置識別情報と、該装置識別情報が示す情報処理装置が属する前記ネットワークセグメントを識別可能なセグメント識別情報と、を関連付けて管理サーバに送信する管理情報送信ステップと、
前記管理サーバから、前記装置識別情報が示す情報処理装置に係る通信の遮断の要否を取得する遮断要否取得ステップと、
前記遮断要否取得ステップによって、前記装置識別情報が示す情報処理装置に係る通信の遮断が必要であることを示す情報が取得された場合に、該情報処理装置に係る通信を遮断する通信遮断ステップと、
を実行する通信遮断方法。
【請求項１５】
コンピュータに、
ネットワークセグメントに属する情報処理装置を識別可能な装置識別情報を取得する装置識別情報取得ステップと、
前記装置識別情報と、該装置識別情報が示す情報処理装置が属する前記ネットワークセグメントを識別可能なセグメント識別情報と、を関連付けて管理サーバに送信する管理情報送信ステップと、
前記管理サーバから、前記装置識別情報が示す情報処理装置に係る通信の遮断の要否を取得する遮断要否取得ステップと、
前記遮断要否取得ステップによって、前記装置識別情報が示す情報処理装置に係る通信の遮断が必要であることを示す情報が取得された場合に、該情報処理装置に係る通信を遮断する通信遮断ステップと、
を実行させるための通信遮断用プログラム。
【図１】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【公開番号】特開２０１２−３４１２９（Ｐ２０１２−３４１２９Ａ）
【公開日】平成２４年２月１６日（２０１２．２．１６）
【国際特許分類】
【出願番号】特願２０１０−１７１０３７（Ｐ２０１０−１７１０３７）
【出願日】平成２２年７月２９日（２０１０．７．２９）
【出願人】（０００１３６１３６）株式会社ＰＦＵ (354)
【Ｆターム（参考）】
【公開日】平成２４年２月１６日（２０１２．２．１６）
【国際特許分類】
【出願日】平成２２年７月２９日（２０１０．７．２９）
【出願人】（０００１３６１３６）株式会社ＰＦＵ (354)
【Ｆターム（参考）】
[ Back to top ]