通信管理装置及び通信管理プログラム並びに通信管理システム
【課題】 管理装置のアラート受信性能を超えてしまうことなく、未承認の通信装置の情報についてはなるべく早く管理装置に報知するとともに、承認済みの通信装置の情報についても収集することができる通信管理装置を提供する。
【解決手段】 通信管理装置２０は、通信部２１によって所定のサンプリング間隔毎に傍受したＡＲＰパケットに基づいて、通信を開始した通信装置を通信装置検知部２２によって検知し、検知した通信装置を特定する接続情報を生成すると、承認済みデータベース２５に記憶されている特定情報に基づいて、当該接続情報に対応する通信装置が承認済みの通信装置であるか否かを承認判定部２３によって判定し、この判定結果を含むアラート情報を報知部２４によって報知する。このとき、通信管理装置２０は、承認済みの通信装置についてのアラート情報をサンプリング間隔よりも長い検知情報更新間隔で報知する。
【解決手段】 通信管理装置２０は、通信部２１によって所定のサンプリング間隔毎に傍受したＡＲＰパケットに基づいて、通信を開始した通信装置を通信装置検知部２２によって検知し、検知した通信装置を特定する接続情報を生成すると、承認済みデータベース２５に記憶されている特定情報に基づいて、当該接続情報に対応する通信装置が承認済みの通信装置であるか否かを承認判定部２３によって判定し、この判定結果を含むアラート情報を報知部２４によって報知する。このとき、通信管理装置２０は、承認済みの通信装置についてのアラート情報をサンプリング間隔よりも長い検知情報更新間隔で報知する。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、通信回線に接続された複数の通信装置を管理する通信管理装置及び通信管理プログラム並びに通信管理システムに関する。
【背景技術】
【０００２】
近年、通信回線技術の向上にともない、通信回線上にパーソナルコンピュータ等の通信装置を多数接続して構成された大規模システムが構築されている。このようなシステムにおいては、通信回線上に接続された通信装置のＩＰ（Internet Protocol）アドレスやＭＡＣ（Media Access Control）アドレス等の情報をデータベースに登録しておく。そして、通信管理装置は、データベースを参照して、通信回線に接続された通信装置が、データベースに登録されて承認済みの通信装置であるか未承認の不正な通信装置であるかを検知している（例えば、特許文献１参照。）。
【０００３】
具体的には、通信管理装置は、通信回線を流れるＡＲＰ（Address Resolution Protocol）パケットを傍受して、所定のサンプリング間隔毎に所定の検知テーブルに記録する。そして、通信管理装置は、ＡＲＰパケットに含まれるＩＰアドレスやＭＡＣアドレスに基づいて、承認済みの通信装置であるか否かを判定する。そして、通信管理装置は、判定結果を含む通信装置情報を記述したアラートファイルを生成し、そのアラートファイルを所定の管理装置に報知する。
【０００４】
管理装置は、報知されたアラートファイルに基づいて、未承認の通信装置のＡＲＰテーブルを書き換えることにより、当該未承認の通信装置による通信を遮断する。なお、通信管理装置によってＡＲＰパケットを傍受してアラートを送信するサンプリング間隔や、アラートファイルに全ての通信装置の判定結果を含めるか未承認の通信装置の判定結果のみを含めるかというアラートの送信対象を、ウェブブラウザを用いて所定の設定テーブルに設定することができる。また、検知したＡＲＰパケットの情報をそのまま管理装置に報知せずにサンプリング間隔毎にアラートとして送信している理由は、例えば最大２０００台といった極めて多数の通信管理装置が設置されることにより、通信管理装置側で情報を集約する必要があることによる。
【先行技術文献】
【特許文献】
【０００５】
【特許文献１】特開２００５−２６０６１５号公報
【発明の概要】
【発明が解決しようとする課題】
【０００６】
ところで、上述した特許文献１に記載されたシステムをはじめとする従来のシステムにおいては、未承認の通信装置の情報のみならず、承認済みの通信装置の情報についても、「アラート」という同一のプロトコルにしたがって通信管理装置から管理装置に報知している。すなわち、従来のシステムにおいては、承認済みの通信装置のＡＲＰパケットも未承認の通信装置のＡＲＰパケットも、同じ仕組みを利用して検知され、同じサンプリング間隔でアラート送信される。
【０００７】
通信装置数が膨大になる場合には、従来のシステムにおいては、アラートの送信対象を「全ての通信装置」として設定していると、膨大なアラートファイルが管理装置に対して送信されることになり、管理装置のアラート受信性能を超えてしまうことがある。
【０００８】
そこで、従来のシステムにおいては、通信装置数が膨大になる場合には、アラートの送信対象を「未認証の通信装置のみ」として設定して運用することが前提となる。
【０００９】
しかしながら、従来のシステムにおいては、アラートの送信対象を「未認証の通信装置のみ」として設定した場合には、承認済みの通信装置のアラートファイルが管理装置に対して送信されないので、当該承認済みの通信装置の使用状況を管理することができないという問題があった。
【００１０】
すなわち、従来のシステムにおいては、通信装置数が膨大になる場合には、未承認の通信装置の情報についてはなるべく早く管理装置に報知したいという要望と、承認済みの通信装置の情報については管理装置に対する報知を急がないが収集はしたいという要望とを両立させることはできなかった。
【００１１】
そこで、本発明は、上述したような問題を解決するために案出されたものであり、アラート受信側の性能を超えてしまうことなく、未承認の通信装置の情報についてはなるべく早く管理装置に報知したいという要望と、承認済みの通信装置の情報については管理装置に対する報知を急がないが収集はしたいという要望とを両立させることができる通信管理装置及び通信管理プログラム並びに通信管理システムを提供することを目的とする。
【課題を解決するための手段】
【００１２】
本発明は、通信回線に接続された複数の通信装置を管理する通信管理装置であって、複数の通信装置との間で通信データを送受信する通信手段と、所定のサンプリング間隔毎に、通信手段によって傍受した通信データに基づいて他の通信装置に対する問い合わせ情報を検知することにより、通信回線上で通信を開始した通信装置を検知し、検知した通信装置を特定する接続情報を生成する通信装置検知手段と、通信装置検知手段によって生成された接続情報と、所定の承認済みデータベースに記憶されている、通信回線上での通信が許可されている承認済みの通信装置を特定するための特定情報とに基づいて、当該接続情報により特定される通信装置が承認済みの通信装置であるか否かを、所定の間隔ごとに判定する承認判定手段と、承認判定手段による判定結果を含むアラート情報を所定の管理装置に報知する報知手段とを備える。上述の課題を解決するために、報知手段は、承認判定手段により未承認の通信装置を判定したことに応じて当該未承認の通信装置についてのアラート情報を報知し、承認済みの通信装置についてのアラート情報を所定の間隔よりも長い間隔で報知する。
【００１３】
また、本発明は、承認判定手段によって未承認と判定された通信装置による通信を抑止する通信抑止処理手段を更に備えることが望ましい。
【００１４】
更に、本発明において、報知手段は、承認済みの通信装置についてのアラート情報を第１管理装置に報知し、未承認の通信装置についてのアラート情報を第１管理装置とは異なる第２管理装置に報知しても良い。
【００１５】
更にまた、本発明において、報知手段は、通信回線を介して所定の管理装置から送信された命令を受信したことに応じて、承認済みの通信装置についてのアラート情報を報知しても良い。
【００１６】
本発明は、通信回線に接続された複数の通信装置を管理するコンピュータが実行する通信管理プログラムであって、複数の通信装置との間で送受信される通信データに基づいて、問い合わせ情報を検知することにより通信回線上で通信を開始した通信装置を検知し、検知した通信装置を特定する接続情報を生成する通信装置検知処理と、通信装置検知処理にて生成された接続情報と、所定の承認済みデータベースに記憶されている、通信回線上での通信が許可されている承認済みの通信装置を特定するための特定情報とに基づいて、当該接続情報により特定される通信装置が承認済みの通信装置であるか否かを、所定の間隔ごとに判定する承認判定処理と、承認判定処理による判定結果を含むアラート情報を所定の管理装置に報知する報知処理とをコンピュータに実行させる。上述の課題を解決するために、報知処理では、承認判定処理により未承認の通信装置を判定したことに応じて当該未承認の通信装置についてのアラート情報を報知し、承認済みの通信装置についてのアラート情報を所定の間隔よりも長い間隔で報知する。
【００１７】
本発明は、通信回線に接続された複数の通信装置と、通信回線上に通信可能に接続され、複数の通信装置を管理する通信管理装置と、通信管理装置の動作を制御する通信制御装置とを備え、通信制御装置は、通信管理装置が複数の通信装置に関するアラート情報を送信するタイミングを制御すると共に、当該通信管理装置から送信されたアラート情報を受信するものである。通信管理装置は、複数の通信装置との間で通信データを送受信する通信手段と、通信手段によって傍受した通信データに基づいて、問い合わせ情報を検知することにより通信回線上で通信を開始した通信装置を検知し、検知した通信装置を特定する接続情報を生成する通信装置検知手段と、通信装置検知手段によって生成された接続情報と、所定の承認済みデータベースに記憶されている、通信回線上での通信が許可されている承認済みの通信装置を特定するための特定情報とに基づいて、当該接続情報に対応する通信装置が承認済みの通信装置であるか否かを、所定の間隔ごとに判定する承認判定手段と、承認判定手段による判定結果を含むアラート情報を所定の管理装置に報知する報知手段とを有する。上述の課題を解決するために、報知手段は、未承認の通信装置についてのアラート情報を報知し、承認判定手段により未承認の通信装置を判定したことに応じて当該承認済みの通信装置についてのアラート情報を所定の間隔よりも長い間隔であって、通信制御装置により命令されたタイミングにて報知する。
【発明の効果】
【００１８】
本発明に係る通信管理装置及び通信管理プログラム並びに通信管理システムによれば、未承認の通信装置を迅速に報知して悪意のある通信装置を排除することができるとともに、承認済みの通信装置についてのアラート情報も報知することができる。そのため、本発明に係る通信管理装置及び通信管理プログラム並びに通信管理システムによれば、アラート受信性能を超えてしまうことなく、未承認の通信装置の情報についてはなるべく早く管理装置に報知したいという要望と、承認済みの通信装置の情報については管理装置に対する報知を急がないが収集はしたいという要望とを両立させることができる。
【００１９】
また、本発明によれば、承認判定手段によって未承認と判定された通信装置による通信を抑止する通信抑止処理手段を更に備えるので、未承認と判定された通信装置による通信を抑止することにより、未承認の通信装置の存在を検知して直ちに排除処理を行うことができる。
【００２０】
更に、本発明によれば、承認済みの通信装置についてのアラート情報を第１管理装置に報知し、未承認の通信装置についてのアラート情報を前記第１管理装置とは異なる第２管理装置に報知するので、１台のみをアラート情報の報知先とする場合に比べ、処理負荷を低減することができる。特に、未承認の通信装置が通信回線上に接続された場合であっても、迅速に対応することが可能となる。
【００２１】
更にまた、本発明によれば、通信回線を介して送信された命令を受信したことに応じて、承認済みの通信装置についてのアラート情報を報知するので、アラート情報受信側の受信能力が低下していない時刻や、管理者が承認済みの通信装置の情報を分析する作業時刻に合わせることができ、効率よい情報収集を行うことが可能となる。
【図面の簡単な説明】
【００２２】
【図１】本発明の第１実施形態として示す通信管理システムの構成を示すブロック図である。
【図２】本発明の第１実施形態として示す通信管理システムが備える通信管理装置の処理内容を示す図である。
【図３】本発明の第１実施形態として示す通信管理システムが行う動作について説明するためのタイミングチャートである。
【図４】本発明の第２実施形態として示す通信管理システムの構成を示すブロック図である。
【図５】本発明の第２実施形態として示す通信管理システムが行う動作について説明するためのタイミングチャートである。
【図６】本発明の第３実施形態として示す通信管理システムが行う動作について説明するためのタイミングチャートである。
【発明を実施するための形態】
【００２３】
以下、本発明の実施の形態について図面を参照して説明する。
【００２４】
［第１実施形態］
［通信管理システムの構成］
まず、図１及び図２を用いて、本発明の第１実施形態として示す通信システムの構成について説明する。
【００２５】
通信システムは、図１に示すように、通信ネットワークＮＴ上に、例えばパーソナルコンピュータ等からなる複数の通信装置１０Ａ，１０Ｂ，１０Ｃ，１０Ｄ（以下、総称する場合には単に「通信装置１０」と呼ぶ。）を有する。これら通信装置１０Ａ，１０Ｂ，１０Ｃ，１０Ｄは、多数の通信装置で構成されて、必要に応じて通信ネットワークＮＴに対して接続可能となっている。また、通信システムは、通信ネットワークＮＴに接続された多数の通信装置１０を管理する通信管理装置２０と、当該通信管理装置２０を制御する通信制御装置（所定の管理装置）３０とを有する。
【００２６】
なお、通信システムの特性として、通信ネットワークＮＴ上での通信が許可されている承認済みの通信装置よりも、未承認の通信装置の方がはるかに少ない場合を想定する。ここでは、４台の通信装置１０Ａ，１０Ｂ，１０Ｃ，１０Ｄが通信ネットワークＮＴ上に接続されているものとし、このうち、３台の通信装置１０Ａ，１０Ｂ，１０Ｃが承認済みの通信装置であり、１台の通信装置１０Ｄが未承認の通信装置であるものとする。
【００２７】
通信管理装置２０は、通信ネットワークＮＴ上に接続された通信装置１０Ａ，１０Ｂ，１０Ｃ，１０Ｄとの間で通信データを送受信する通信部２１と、通信ネットワークＮＴ上で通信を開始した通信装置を検知する通信装置検知部２２と、通信装置が承認済みの通信装置１０Ａ，１０Ｂ，１０Ｃであるか否かを判定する承認判定部２３と、この承認判定部２３による判定結果を含む情報をアラートとして報知する報知部２４と、承認済みの通信装置１０Ａ，１０Ｂ，１０Ｃの情報を記憶する承認済みデータベース２５とを備える。なお、これら各部のうち、通信部２１、通信装置検知部２２、承認判定部２３、及び報知部２４は、ＣＰＵ（Central Processing Unit）等の処理手段によって実行可能なＲＯＭ（Read Only Memory）等の記憶手段に記憶された通信管理プログラムとして実装することができる。
【００２８】
通信部２１は、通信ネットワークＮＴ上に流れる通信データを監視する。通信部２１は、通信データのうち、通信ネットワークＮＴ上に接続された通信装置１０Ａ，１０Ｂ，１０Ｃ，１０Ｄが送信したＡＲＰ（Address Resolution Protocol）パケットを傍受する。
【００２９】
ここで、通信装置１０が通信ネットワークＮＴに接続されたことを当該通信装置１０が検出して、通信相手となる通信装置１０のＭＡＣアドレスを探索する。このために、通信装置１０は、通信相手のＩＰアドレスを含むＡＲＰパケットを送信する。これにより、ＡＲＰパケットを送信した通信装置１０は、通信相手となる通信装置１０からＡＲＰパケットの返信情報に含まれるＭＡＣアドレスを用いて、通信相手と通信が可能とする。なお、以下の説明では、通信装置１０が新たに通信ネットワークＮＴに接続された場合にＡＲＰパケットを送信する場合について説明するが、通信装置１０が他の通信装置１０や図示しないサーバ等に対して通信接続を要求したり、通信装置１０が他の通信装置１０や図示しないサーバ等の内部情報（アドレス、ＩＤ）を要求するといった、問い合わせ情報を傍受して後述した処理を行っても良いことは勿論である。そして、通信部２１は、常時、傍受したＡＲＰパケットを通信装置検知部２２に供給する。
【００３０】
通信装置検知部２２は、通信部２１から供給されたＡＲＰパケットを、図２に示す所定の検知テーブル５２に記録する。通信装置検知部２２は、ＡＲＰパケットを解析し、ＩＰ（Internet Protocol）アドレスやＭＡＣ（Media Access Control）アドレス等の情報を取得する。これにより、通信装置検知部２２は、通信ネットワークＮＴ上で通信を開始した通信装置を検知（ＳＴ１）し、検知した通信装置を特定する接続情報を生成する。通信装置検知部２２は、生成した接続情報を承認判定部２３に供給する。
【００３１】
承認判定部２３は、承認済みデータベース２５を参照して、通信装置検知部２２によって生成された接続情報と、承認済みデータベース２５に記憶されている特定情報とを照合する。これにより、承認判定部２３は、接続情報に対応する通信装置が承認済みの通信装置１０Ａ，１０Ｂ，１０Ｃのいずれかであるか否かを判定する。そして承認判定部２３は、接続情報と判定結果とを組み合わせたアラート情報を生成する（ＳＴ２，ＳＴ３）。
【００３２】
この承認判定部２３は、所定の間隔であるサンプリング間隔ごとに通信装置が承認済みの通信装置か否かを判定する。このサンプリング間隔は、図２に示すように、当該通信システムの管理者による図示しない管理用端末を介したウェブブラウザ３０’の操作等に応じて任意に書き換え可能な所定の設定テーブル５１に設定することができる。
【００３３】
具体的には、承認判定部２３は、図２に示すように、承認済みの通信装置１０Ａ，１０Ｂ，１０Ｃのいずれかであると判定した場合には、接続情報に対して承認済みである旨のフラグを付与し、承認済みアラート情報を生成する（ＳＴ３）。一方、承認判定部２３は、未承認の通信装置１０Ｄであると判定した場合には、接続情報に対して未承認である旨のフラグを付与し、未承認アラート情報を生成する（ＳＴ２）。承認判定部２３は、生成したアラート情報を報知部２４に供給する。
【００３４】
報知部２４は、承認判定部２３から供給されたアラート情報に基づいてアラートファイルを生成し、通信部２１を介して、そのアラートファイルを所定の管理装置３０に対して送信させる（ＳＴ４）。これにより、報知部２４は、通信装置１０Ａ，１０Ｂ，１０Ｃ，１０Ｄが承認済みであるか未承認であるかを報知する。このとき、報知部２４は、未承認アラート情報に基づくアラートファイルについては、承認判定部２３から供給された後、即座に報知する。
【００３５】
すなわち、報知部２４は、未認証の通信装置が承認処理部２３により判定されたことに応じて、未承認アラート情報に基づくアラートファイルを生成して報知する。一方、報知部２４は、承認済みアラート情報に基づくアラートファイルについては、所定の間隔であるサンプリング間隔よりも長い、例えば１日程度の検知情報更新間隔で報知する。換言すれば、報知部２４は、承認済みアラート情報に基づくアラートファイルについては、サンプリング間隔よりも長い時間間隔で生成して報知する。なお、検知情報更新間隔は、サンプリング間隔と同様に、当該通信システムの管理者による図示しない管理用端末を介したウェブブラウザ３０’の操作等に応じて任意に書き換え可能な所定の設定テーブル５１に設定することができる。
【００３６】
また、報知部２４は、承認済みアラート情報に基づくアラートファイルを報知する時刻を設定テーブル５１に予め設定しておき、その設定された時刻になるまで待機してからアラートファイルを報知する。これにより、報知部２４は、サンプリング間隔よりも長い検知情報更新間隔で、承認済みアラート情報を報知するようにしてもよい。この時刻としては、例えば深夜帯等、通信ネットワークＮＴ上のトラフィックが小さくなる時刻であることが望ましい。通信システムにおいては、このように検知情報更新間隔を時刻として設定する。これにより、通信システムは、当該通信システムの管理者が承認済みの通信装置１０Ａ，１０Ｂ，１０Ｃの情報を分析する作業時刻に合わせることができ、効率よい情報収集を行うことが可能となる。
【００３７】
このような承認済みアラート情報、非認証アラート情報の送信タイミングは、通信制御装置３０により、通信管理装置２０の報知部２４に対して設定されるものとしても良い。この場合、通信制御装置３０は、通信管理装置２０が複数の通信装置１０Ａ，１０Ｂ，１０Ｃ，１０Ｄに関するアラート情報を送信するタイミングを制御すると共に、当該通信管理装置から送信されたアラート情報を受信するものとする。通信制御装置３０は、予め受信能力が低下しない時間帯をアラート情報の受信タイミングとしても良く、実際に受信能力が低下していないタイミングを適宜検出して受信タイミングとしても良い。
【００３８】
承認済みデータベース２５は、通信ネットワークＮＴ上での通信が許可されている承認済みの通信装置１０Ａ，１０Ｂ，１０ＣのＩＰアドレスやＭＡＣアドレス等、これら通信装置１０Ａ，１０Ｂ，１０Ｃを特定するための特定情報を記憶する。なお、特定情報は、当該通信システムの管理者による図示しない管理用端末や、通信制御装置３０を介したウェブブラウザ３０’の操作等に応じて承認済みデータベース２５に登録される。この承認済みデータベース２５に記憶された特定情報は、承認判定部２３によって読み出される。
【００３９】
なお、管理装置３０は、通信ネットワークＮＴによって構成されるＬＡＮ（Local Area Network）等の同一ネットワーク網に存在する必要はないが、通信管理装置２０と通信可能な環境下に設けられる。
【００４０】
［通信システムの動作］
このような通信システムにおいては、通信管理装置２０の制御に従って、図３に示すような一連の手順にしたがった処理を行う。
【００４１】
通信管理装置２０は、上述したようなアラート情報を通信制御装置３０に送信する前提として、通信制御装置３０からアラート情報の送信タイミング（サンプリング間隔、検知情報更新間隔）が設定される。
【００４２】
まず、図３に示すように、ステップＳ１において、未承認の通信装置１０ＤがＡＲＰパケットを送信した場合を考える。この場合、通信管理装置２０は、ステップＳ２において、通信部２１によってＡＲＰパケットを傍受すると、ステップＳ３において、このＡＲＰパケットに基づいて、通信装置検知部２２によって通信装置１０Ｄを特定する接続情報を生成する。
【００４３】
そして、承認判定部２３は、ステップＳ４において、通信装置検知部２２によって生成された接続情報と、承認済みデータベース２５に記憶されている特定情報とを照合する。これにより、承認判定部２３は、未承認の通信装置１０Ｄである旨を判定し、接続情報と判定結果とを組み合わせたアラート情報を生成する。
【００４４】
これに応じて、報知部２４は、ステップＳ５において、アラートファイルを生成し、通信部２１を介して、そのアラートファイルを管理装置３０に対して送信させる。この場合、報知部２４は、未承認の通信装置１０Ｄについてのアラートファイルであるので、即座に通信制御装置３０に報知する。
【００４５】
一方、ステップＳ６において、承認済みの通信装置１０Ａ，１０Ｂ，１０ＣのいずれかがＡＲＰパケットを送信した場合を考える。この場合、通信管理装置２０は、ステップＳ７において、通信部２１によってＡＲＰパケットを傍受すると、ステップＳ８において、このＡＲＰパケットに基づいて、通信装置検知部２２によって通信装置１０Ａ，１０Ｂ，１０Ｃのいずれかを特定する接続情報を生成する。
【００４６】
そして、承認判定部２３は、ステップＳ９において、通信装置検知部２２によって生成された接続情報と、承認済みデータベース２５に記憶されている特定情報とを照合する。これにより、承認判定部２３は、ＡＲＰパケットを送信した通信装置１０が承認済みの通信装置１０Ａ，１０Ｂ，１０Ｃのいずれかである旨を判定し、接続情報と判定結果とを組み合わせたアラート情報を生成する。
【００４７】
これに応じて、報知部２４は、ステップＳ１０において、アラートファイルを生成し、通信部２１を介して、そのアラートファイルを管理装置３０に対して送信させる。この場合、報知部２４は、承認済みの通信装置１０Ａ，１０Ｂ，１０Ｃのいずれかについてのアラートファイルであるので、即座に通信制御装置３０に報知するのではなく、待ち時間Ｔｗ後の報知すべき設定された時刻になるまで待機してから報知する。これにより、通信制御装置３０は、報知されたアラートファイルに基づいて、承認済みの通信装置１０Ａ，１０Ｂ，１０Ｃに関する情報を収集することが可能となる。また、承認済みのアラート情報を、通信ネットワークＮＴを介して通信制御装置３０から送信された命令を受信したことに応じて報知しても良い。
【００４８】
通信システムにおいては、このような一連の手順にしたがって、アラートファイルを通信制御装置３０に報知することができる。
【００４９】
このように、通信システムにおいては、アラート情報の種別に応じてアラートファイルの送信頻度を変える。これにより、通信システムによれば、未承認の通信装置１０Ｄについてのアラートファイルとは別に、承認済みの通信装置１０Ａ，１０Ｂ，１０Ｃについてのアラートファイルを長い時間間隔で報知できる。したがって、通信システムによれば、通信制御装置３０のアラート受信性能を維持しつつ、未承認の通信装置１０Ｄの情報については早期に通信制御装置３０に報知し、且つ、承認済みの通信装置１０Ａ，１０Ｂ，１０Ｃの使用状況についても管理することができる。
【００５０】
［第１実施形態の効果］
以上詳細に説明したように、本発明の第１実施形態に係る通信システムは、通信管理装置２０により、傍受したＡＲＰパケットに基づいて、通信ネットワークＮＴ上で通信を開始した通信装置を検知する。そして、通信管理装置２０は、検知した通信装置を特定する接続情報を生成すると、生成した接続情報と、所定の承認済みデータベース２５に記憶されている、通信ネットワークＮＴ上での通信が許可されている承認済みの通信装置を特定するための特定情報とに基づいて、当該接続情報に対応する通信装置が承認済みの通信装置であるか否かを所定の間隔（サンプリング間隔）ごとに判定し、この判定結果を含むアラート情報を所定の通信制御装置３０に報知する。
【００５１】
このとき、通信管理装置２０は、未認証の通信装置を判定したことに応じて未承認の通信装置についてのアラート情報を報知し、承認済みの通信装置についてのアラート情報をサンプリング間隔よりも長い検知情報更新間隔で報知する。したがって、この通信システムにおいては、未承認の通信装置１０Ｄを迅速に報知して悪意のある通信装置の使用を排除することができるとともに、承認済みの通信装置１０Ａ，１０Ｂ，１０Ｃについてのアラート情報も報知することができる。そのため、この通信システムにおいては、通信制御装置３０のアラート受信性能を超えてしまうことなく、未承認の通信装置１０Ｄの情報についてはなるべく早く通信制御装置３０に報知したいという要望と、承認済みの通信装置１０Ａ，１０Ｂ，１０Ｃの情報については通信制御装置３０に対する報知を急がないが収集はしたいという要望とを両立させる。これにより、通信システムは、通信負荷を増大させることなく、通信ネットワークＮＴの使用状況等を分析することが可能となる。
【００５２】
また、この通信システムにおいては、通信ネットワークＮＴを介して通信制御装置３０から送信された命令を受信したことに応じて、承認済みの通信装置１０Ａ，１０Ｂ，１０Ｃについてのアラート情報を報知することができる。これにより、アラート情報受信側の受信能力が低下していない時刻や、通信システムの管理者が承認済みの通信装置１０Ａ，１０Ｂ，１０Ｃの情報を分析する作業時刻に合わせることができ、効率よい情報収集を行うことが可能となる。
【００５３】
［第２実施形態］
つぎに、本発明の第２実施形態について説明する。
【００５４】
この第２実施形態は、第１実施形態として示した通信システムを改良し、通信管理装置によって未承認の通信装置による通信を抑止するものである。したがって、この第２実施形態においては、第１実施形態にて説明した部位と同一部位については、それぞれ、同一符号を付し、その詳細な説明を省略するものとする。
【００５５】
［通信システムの構成］
本発明の第２実施形態として示す通信システムは、図４に示すように、通信ネットワークＮＴ上に、複数の通信装置１０Ａ，１０Ｂ，１０Ｃ，１０Ｄと、これら通信装置１０Ａ，１０Ｂ，１０Ｃ，１０Ｄを管理する通信管理装置２０とが接続されて構成される。ここでも、４台の通信装置１０Ａ，１０Ｂ，１０Ｃ，１０Ｄが通信ネットワークＮＴ上に接続されているものとし、このうち、３台の通信装置１０Ａ，１０Ｂ，１０Ｃが承認済みの通信装置であり、１台の通信装置１０Ｄが未承認の通信装置であるものとする。
【００５６】
通信管理装置２０は、上述した通信部２１、通信装置検知部２２、承認判定部２３、報知部２４、及び、承認済みデータベース２５の他に、未承認と判定された通信装置による通信を抑止する通信抑止処理部６１を備える。なお、通信抑止処理部６１も、通信部２１、通信装置検知部２２、承認判定部２３、及び報知部２４と同様に、ＣＰＵ等の処理手段によって実行可能なＲＯＭ等の記憶手段に記憶された通信管理プログラムとして実装することができる。
【００５７】
報知部２４は、上述したように、承認判定部２３から供給されたアラート情報に基づいてアラートファイルを生成し、通信部２１を介して、そのアラートファイルを所定の通信制御装置３０に対して送信させる。これにより、報知部２４は、通信装置１０Ａ，１０Ｂ，１０Ｃ，１０Ｄが承認済みであるか未承認であるかを報知する。
【００５８】
このとき、報知部２４は、未承認アラート情報に基づくアラートファイルについては、通信制御装置３０に報知するとともに、通信抑止処理部６１にも供給する。なお、報知部２４は、未承認アラート情報に基づくアラートファイルについては、未認証の通信装置を判定したことに応じて報知する。一方、承認済みアラート情報に基づくアラートファイルについては、サンプリング間隔よりも長い検知情報更新間隔で報知する点においては、第１実施形態と同様である。
【００５９】
通信抑止処理部６１は、報知部２４から未承認アラート情報に基づくアラートファイルが供給されると、その通信装置、すなわち、通信装置１０Ｄによる通信を抑止する。このために、通信抑止処理部６１は、「遮断ＡＲＰパケット」を生成し、通信部２１を介して、その遮断ＡＲＰパケットを当該通信装置１０Ｄに対して送信させる。この遮断ＡＲＰパケットは、ＡＲＰパケットを送信した不正な通信装置１０のＡＲＰテーブルに含まれるＭＡＣアドレスを通信不能な値に書き換えさせるＭＡＣアドレスを含んでいる。したがって、この遮断ＡＲＰパケットを受信した通信装置１０Ｄは、自己のＡＲＰテーブルが他の通信装置１０とは通信できない値に書き換えられ、通信システムにおける他の通信装置１０とは通信不能となる。
【００６０】
［通信システムの動作］
このような通信システムにおいては、通信管理装置２０の制御に従って、図５に示すような一連の手順にしたがった処理を行う。
【００６１】
まず、図５に示すように、ステップＳ１１において、未承認の通信装置１０ＤがＡＲＰパケットを送信したことに応じて、通信管理装置２０は、ステップＳ１２において、通信部２１によってＡＲＰパケットを傍受する。すると、通信管理装置２０は、ステップＳ１３において、受信したＡＲＰパケットに基づいて、通信装置検知部２２によって通信装置１０Ｄを特定する接続情報を生成する。
【００６２】
そして、承認判定部２３は、ステップＳ１４において、通信装置検知部２２によって生成された接続情報と、承認済みデータベース２５に記憶されている特定情報とを照合する。これにより、承認判定部２３は、未承認の通信装置１０Ｄである旨を判定し、接続情報と判定結果とを組み合わせたアラート情報を生成する。
【００６３】
これに応じて、報知部２４は、ステップＳ１５において、アラートファイルを生成し、通信抑止処理部６１に供給する。そして、通信抑止処理部６１は、ステップＳ１６において、遮断ＡＲＰパケットを生成し、通信部２１を介して、その遮断ＡＲＰパケットを当該通信装置１０Ｄに対して送信させる。これにより、通信装置１０Ｄは、遮断ＡＲＰパケットに基づいて、自己のＡＲＰテーブルが不正なものに書き換えられ、即座に通信不能となる。
【００６４】
また、報知部２４は、ステップＳ１５の処理と同時に、ステップＳ１７において、通信部２１を介して、そのアラートファイルを通信制御装置３０に対して送信させる。この場合、報知部２４は、未承認の通信装置１０Ｄについてのアラートファイルであるので、即座に通信制御装置３０に報知し、一連の処理を終了する。
【００６５】
通信システムにおいては、このような一連の手順にしたがって、アラートファイルの報知のみならず、未承認の通信装置１０Ｄによる通信を抑止する処理を積極的に行うことができる。
【００６６】
［第２実施形態の効果］
以上詳細に説明したように、本発明の第２実施形態に係る通信システムは、通信管理装置２０によって未承認と判定された通信装置１０Ｄによる通信を抑止することにより、未承認の通信装置１０Ｄの存在を検知して直ちに排除処理を行うことができる。これにより、通信システムに対して不正な通信装置１０が接続されるリスクがあっても、通信システムに対する不正な通信装置１０が接続されることによる脅威を回避でき、通信セキュリティを高めることができる。
【００６７】
［第３実施形態］
最後に、本発明の第３実施形態について説明する。
【００６８】
この第３実施形態は、第１実施形態として示した通信システムを改良し、承認済みの通信装置のアラートファイルの報知先と、未承認の通信装置のアラートファイルの報知先とを異ならせるものである。したがって、この第３実施形態においては、第１実施形態にて説明した部位と同一部位については、それぞれ、同一符号を付し、その詳細な説明を省略するものとする。
【００６９】
［通信システムの構成］
本発明の第３実施形態として示す通信システムは、先に図１に示したように、通信ネットワークＮＴ上に、複数の通信装置１０Ａ，１０Ｂ，１０Ｃ，１０Ｄと、これら通信装置１０Ａ，１０Ｂ，１０Ｃ，１０Ｄを管理する通信管理装置２０とが接続されて構成される。ここでも、４台の通信装置１０Ａ，１０Ｂ，１０Ｃ，１０Ｄが通信ネットワークＮＴ上に接続されているものとし、このうち、３台の通信装置１０Ａ，１０Ｂ，１０Ｃが承認済みの通信装置であり、１台の通信装置１０Ｄが未承認の通信装置であるものとする。
【００７０】
報知部２４は、上述したように、承認判定部２３から供給されたアラート情報に基づいてアラートファイルを生成し、通信部２１を介して、そのアラートファイルを所定の通信制御装置３０に対して送信させる。これにより、通信装置１０Ａ，１０Ｂ，１０Ｃ，１０Ｄが承認済みであるか未承認であるかを報知する。
【００７１】
ここで、通信制御装置３０は、承認済みアラート情報に基づくアラートファイルの報知を受ける承認機器管理装置と、未承認アラート情報に基づくアラートファイルの報知を受ける未承認機器管理装置とから構成される。したがって、報知部２４は、承認済みアラート情報に基づくアラートファイルについては、承認機器管理装置宛に送信させ、未承認アラート情報に基づくアラートファイルについては、未承認機器管理装置宛に送信させる。なお、報知部２４は、未承認アラート情報に基づくアラートファイルについては、未認証の通信装置を判定したことに応じて報知する。一方、報知部２４は、承認済みアラート情報に基づくアラートファイルについては、サンプリング間隔よりも長い検知情報更新間隔で報知する点においては、第１実施形態と変わりがない。
【００７２】
［通信システムの動作］
このような通信システムにおいては、通信管理装置２０の制御に従って、図６に示すような一連の手順にしたがった処理を行う。
【００７３】
まず、図６に示すように、ステップＳ２１において、未承認の通信装置１０ＤがＡＲＰパケットを送信した場合を考える。この場合、通信管理装置２０は、ステップＳ２２において、通信部２１によってＡＲＰパケットを傍受すると、ステップＳ２３において、このＡＲＰパケットに基づいて、通信装置検知部２２によって通信装置１０Ｄを特定する接続情報を生成する。
【００７４】
そして、承認判定部２３は、ステップＳ２４において、通信装置検知部２２によって生成された接続情報と、承認済みデータベース２５に記憶されている特定情報とを照合する。これにより、承認判定部２３は、未承認の通信装置１０Ｄである旨を判定し、接続情報と判定結果とを組み合わせたアラート情報を生成する。
【００７５】
これに応じて、報知部２４は、ステップＳ２５において、アラートファイルを生成し、通信部２１を介して、そのアラートファイルを未承認機器通信制御装置３０Ｂに対して送信させる。この場合、報知部２４は、未承認の通信装置１０Ｄについてのアラートファイルであるので、即座に未承認機器通信制御装置３０Ｂに報知する。そして、同時に、通信抑止処理部６１は、報知されたアラートファイルに基づいて、未承認の通信装置１０Ｄによる通信を遮断することになる。
【００７６】
一方、ステップＳ２６において、承認済みの通信装置１０Ａ，１０Ｂ，１０ＣのいずれかがＡＲＰパケットを送信した場合を考える。この場合、通信管理装置２０は、ステップＳ２７において、通信部２１によってＡＲＰパケットを傍受すると、ステップＳ２８において、このＡＲＰパケットに基づいて、通信装置検知部２２によって通信装置１０Ａ，１０Ｂ，１０Ｃのいずれかを特定する接続情報を生成する。
【００７７】
そして、承認判定部２３は、ステップＳ２９において、通信装置検知部２２によって生成された接続情報と、承認済みデータベース２５に記憶されている特定情報とを照合する。これにより、承認判定部２３は、承認済みの通信装置１０Ａ，１０Ｂ，１０Ｃのいずれかである旨を判定し、接続情報と判定結果とを組み合わせたアラート情報を生成する。
【００７８】
これに応じて、報知部２４は、ステップＳ３０において、アラートファイルを生成し、通信部２１を介して、そのアラートファイルを承認機器通信制御装置３０Ａに対して送信させる。この場合、報知部２４は、承認済みの通信装置１０Ａ，１０Ｂ，１０Ｃのいずれかについてのアラートファイルであるので、即座に承認機器通信制御装置３０Ａに報知するのではなく、待ち時間Ｔｗ後の報知すべき設定された時刻になるまで待機してから報知する。
【００７９】
これにより、承認機器通信制御装置３０Ａは、報知されたアラートファイルに基づいて、承認済みの通信装置１０Ａ，１０Ｂ，１０Ｃに関する情報を収集することが可能となる。
【００８０】
通信システムにおいては、このような一連の手順にしたがって、アラートファイルを承認機器通信制御装置３０Ａ及び未承認機器通信制御装置３０Ｂに報知することができる。
【００８１】
［第３実施形態の効果］
以上詳細に説明したように、本発明の第３実施形態に係る通信システムは、通信管理装置２０により、承認済みの通信装置１０Ａ，１０Ｂ，１０Ｃについてのアラート情報を承認機器通信制御装置３０Ａに報知し、未承認の通信装置１０Ｄについてのアラート情報を承認機器通信制御装置３０Ａとは異なる未承認通信制御装置３０Ｂに報知する。
【００８２】
したがって、この通信システムにおいては、１台の通信制御装置３０のみをアラート情報の報知先とする場合に比べ、管理装置の処理負荷を低減することができる。特に、この通信システムにおいては、未承認の通信装置１０Ｄが急遽通信ネットワークＮＴ上に接続された場合であっても、承認機器通信制御装置３０Ａの処理負荷が増大することがなく、迅速に対応することが可能となる。
【００８３】
なお、上述の実施の形態は本発明の一例である。このため、本発明は、上述の実施形態に限定されることはなく、この実施の形態以外であっても、本発明に係る技術的思想を逸脱しない範囲であれば、設計等に応じて種々の変更が可能であることは勿論である。
【符号の説明】
【００８４】
１０，１０Ａ，１０Ｂ，１０Ｃ，１０Ｄ 通信装置
２０ 通信管理装置
２１ 通信部
２２ 通信装置検知部
２３ 承認判定部
２４ 報知部
２５ 承認済みデータベース
３０ 管理装置
３０Ａ 承認機器管理装置
３０Ｂ 未承認機器管理装置
５１ 設定テーブル
５２ 検知テーブル
６１ 通信抑止処理部
【技術分野】
【０００１】
本発明は、通信回線に接続された複数の通信装置を管理する通信管理装置及び通信管理プログラム並びに通信管理システムに関する。
【背景技術】
【０００２】
近年、通信回線技術の向上にともない、通信回線上にパーソナルコンピュータ等の通信装置を多数接続して構成された大規模システムが構築されている。このようなシステムにおいては、通信回線上に接続された通信装置のＩＰ（Internet Protocol）アドレスやＭＡＣ（Media Access Control）アドレス等の情報をデータベースに登録しておく。そして、通信管理装置は、データベースを参照して、通信回線に接続された通信装置が、データベースに登録されて承認済みの通信装置であるか未承認の不正な通信装置であるかを検知している（例えば、特許文献１参照。）。
【０００３】
具体的には、通信管理装置は、通信回線を流れるＡＲＰ（Address Resolution Protocol）パケットを傍受して、所定のサンプリング間隔毎に所定の検知テーブルに記録する。そして、通信管理装置は、ＡＲＰパケットに含まれるＩＰアドレスやＭＡＣアドレスに基づいて、承認済みの通信装置であるか否かを判定する。そして、通信管理装置は、判定結果を含む通信装置情報を記述したアラートファイルを生成し、そのアラートファイルを所定の管理装置に報知する。
【０００４】
管理装置は、報知されたアラートファイルに基づいて、未承認の通信装置のＡＲＰテーブルを書き換えることにより、当該未承認の通信装置による通信を遮断する。なお、通信管理装置によってＡＲＰパケットを傍受してアラートを送信するサンプリング間隔や、アラートファイルに全ての通信装置の判定結果を含めるか未承認の通信装置の判定結果のみを含めるかというアラートの送信対象を、ウェブブラウザを用いて所定の設定テーブルに設定することができる。また、検知したＡＲＰパケットの情報をそのまま管理装置に報知せずにサンプリング間隔毎にアラートとして送信している理由は、例えば最大２０００台といった極めて多数の通信管理装置が設置されることにより、通信管理装置側で情報を集約する必要があることによる。
【先行技術文献】
【特許文献】
【０００５】
【特許文献１】特開２００５−２６０６１５号公報
【発明の概要】
【発明が解決しようとする課題】
【０００６】
ところで、上述した特許文献１に記載されたシステムをはじめとする従来のシステムにおいては、未承認の通信装置の情報のみならず、承認済みの通信装置の情報についても、「アラート」という同一のプロトコルにしたがって通信管理装置から管理装置に報知している。すなわち、従来のシステムにおいては、承認済みの通信装置のＡＲＰパケットも未承認の通信装置のＡＲＰパケットも、同じ仕組みを利用して検知され、同じサンプリング間隔でアラート送信される。
【０００７】
通信装置数が膨大になる場合には、従来のシステムにおいては、アラートの送信対象を「全ての通信装置」として設定していると、膨大なアラートファイルが管理装置に対して送信されることになり、管理装置のアラート受信性能を超えてしまうことがある。
【０００８】
そこで、従来のシステムにおいては、通信装置数が膨大になる場合には、アラートの送信対象を「未認証の通信装置のみ」として設定して運用することが前提となる。
【０００９】
しかしながら、従来のシステムにおいては、アラートの送信対象を「未認証の通信装置のみ」として設定した場合には、承認済みの通信装置のアラートファイルが管理装置に対して送信されないので、当該承認済みの通信装置の使用状況を管理することができないという問題があった。
【００１０】
すなわち、従来のシステムにおいては、通信装置数が膨大になる場合には、未承認の通信装置の情報についてはなるべく早く管理装置に報知したいという要望と、承認済みの通信装置の情報については管理装置に対する報知を急がないが収集はしたいという要望とを両立させることはできなかった。
【００１１】
そこで、本発明は、上述したような問題を解決するために案出されたものであり、アラート受信側の性能を超えてしまうことなく、未承認の通信装置の情報についてはなるべく早く管理装置に報知したいという要望と、承認済みの通信装置の情報については管理装置に対する報知を急がないが収集はしたいという要望とを両立させることができる通信管理装置及び通信管理プログラム並びに通信管理システムを提供することを目的とする。
【課題を解決するための手段】
【００１２】
本発明は、通信回線に接続された複数の通信装置を管理する通信管理装置であって、複数の通信装置との間で通信データを送受信する通信手段と、所定のサンプリング間隔毎に、通信手段によって傍受した通信データに基づいて他の通信装置に対する問い合わせ情報を検知することにより、通信回線上で通信を開始した通信装置を検知し、検知した通信装置を特定する接続情報を生成する通信装置検知手段と、通信装置検知手段によって生成された接続情報と、所定の承認済みデータベースに記憶されている、通信回線上での通信が許可されている承認済みの通信装置を特定するための特定情報とに基づいて、当該接続情報により特定される通信装置が承認済みの通信装置であるか否かを、所定の間隔ごとに判定する承認判定手段と、承認判定手段による判定結果を含むアラート情報を所定の管理装置に報知する報知手段とを備える。上述の課題を解決するために、報知手段は、承認判定手段により未承認の通信装置を判定したことに応じて当該未承認の通信装置についてのアラート情報を報知し、承認済みの通信装置についてのアラート情報を所定の間隔よりも長い間隔で報知する。
【００１３】
また、本発明は、承認判定手段によって未承認と判定された通信装置による通信を抑止する通信抑止処理手段を更に備えることが望ましい。
【００１４】
更に、本発明において、報知手段は、承認済みの通信装置についてのアラート情報を第１管理装置に報知し、未承認の通信装置についてのアラート情報を第１管理装置とは異なる第２管理装置に報知しても良い。
【００１５】
更にまた、本発明において、報知手段は、通信回線を介して所定の管理装置から送信された命令を受信したことに応じて、承認済みの通信装置についてのアラート情報を報知しても良い。
【００１６】
本発明は、通信回線に接続された複数の通信装置を管理するコンピュータが実行する通信管理プログラムであって、複数の通信装置との間で送受信される通信データに基づいて、問い合わせ情報を検知することにより通信回線上で通信を開始した通信装置を検知し、検知した通信装置を特定する接続情報を生成する通信装置検知処理と、通信装置検知処理にて生成された接続情報と、所定の承認済みデータベースに記憶されている、通信回線上での通信が許可されている承認済みの通信装置を特定するための特定情報とに基づいて、当該接続情報により特定される通信装置が承認済みの通信装置であるか否かを、所定の間隔ごとに判定する承認判定処理と、承認判定処理による判定結果を含むアラート情報を所定の管理装置に報知する報知処理とをコンピュータに実行させる。上述の課題を解決するために、報知処理では、承認判定処理により未承認の通信装置を判定したことに応じて当該未承認の通信装置についてのアラート情報を報知し、承認済みの通信装置についてのアラート情報を所定の間隔よりも長い間隔で報知する。
【００１７】
本発明は、通信回線に接続された複数の通信装置と、通信回線上に通信可能に接続され、複数の通信装置を管理する通信管理装置と、通信管理装置の動作を制御する通信制御装置とを備え、通信制御装置は、通信管理装置が複数の通信装置に関するアラート情報を送信するタイミングを制御すると共に、当該通信管理装置から送信されたアラート情報を受信するものである。通信管理装置は、複数の通信装置との間で通信データを送受信する通信手段と、通信手段によって傍受した通信データに基づいて、問い合わせ情報を検知することにより通信回線上で通信を開始した通信装置を検知し、検知した通信装置を特定する接続情報を生成する通信装置検知手段と、通信装置検知手段によって生成された接続情報と、所定の承認済みデータベースに記憶されている、通信回線上での通信が許可されている承認済みの通信装置を特定するための特定情報とに基づいて、当該接続情報に対応する通信装置が承認済みの通信装置であるか否かを、所定の間隔ごとに判定する承認判定手段と、承認判定手段による判定結果を含むアラート情報を所定の管理装置に報知する報知手段とを有する。上述の課題を解決するために、報知手段は、未承認の通信装置についてのアラート情報を報知し、承認判定手段により未承認の通信装置を判定したことに応じて当該承認済みの通信装置についてのアラート情報を所定の間隔よりも長い間隔であって、通信制御装置により命令されたタイミングにて報知する。
【発明の効果】
【００１８】
本発明に係る通信管理装置及び通信管理プログラム並びに通信管理システムによれば、未承認の通信装置を迅速に報知して悪意のある通信装置を排除することができるとともに、承認済みの通信装置についてのアラート情報も報知することができる。そのため、本発明に係る通信管理装置及び通信管理プログラム並びに通信管理システムによれば、アラート受信性能を超えてしまうことなく、未承認の通信装置の情報についてはなるべく早く管理装置に報知したいという要望と、承認済みの通信装置の情報については管理装置に対する報知を急がないが収集はしたいという要望とを両立させることができる。
【００１９】
また、本発明によれば、承認判定手段によって未承認と判定された通信装置による通信を抑止する通信抑止処理手段を更に備えるので、未承認と判定された通信装置による通信を抑止することにより、未承認の通信装置の存在を検知して直ちに排除処理を行うことができる。
【００２０】
更に、本発明によれば、承認済みの通信装置についてのアラート情報を第１管理装置に報知し、未承認の通信装置についてのアラート情報を前記第１管理装置とは異なる第２管理装置に報知するので、１台のみをアラート情報の報知先とする場合に比べ、処理負荷を低減することができる。特に、未承認の通信装置が通信回線上に接続された場合であっても、迅速に対応することが可能となる。
【００２１】
更にまた、本発明によれば、通信回線を介して送信された命令を受信したことに応じて、承認済みの通信装置についてのアラート情報を報知するので、アラート情報受信側の受信能力が低下していない時刻や、管理者が承認済みの通信装置の情報を分析する作業時刻に合わせることができ、効率よい情報収集を行うことが可能となる。
【図面の簡単な説明】
【００２２】
【図１】本発明の第１実施形態として示す通信管理システムの構成を示すブロック図である。
【図２】本発明の第１実施形態として示す通信管理システムが備える通信管理装置の処理内容を示す図である。
【図３】本発明の第１実施形態として示す通信管理システムが行う動作について説明するためのタイミングチャートである。
【図４】本発明の第２実施形態として示す通信管理システムの構成を示すブロック図である。
【図５】本発明の第２実施形態として示す通信管理システムが行う動作について説明するためのタイミングチャートである。
【図６】本発明の第３実施形態として示す通信管理システムが行う動作について説明するためのタイミングチャートである。
【発明を実施するための形態】
【００２３】
以下、本発明の実施の形態について図面を参照して説明する。
【００２４】
［第１実施形態］
［通信管理システムの構成］
まず、図１及び図２を用いて、本発明の第１実施形態として示す通信システムの構成について説明する。
【００２５】
通信システムは、図１に示すように、通信ネットワークＮＴ上に、例えばパーソナルコンピュータ等からなる複数の通信装置１０Ａ，１０Ｂ，１０Ｃ，１０Ｄ（以下、総称する場合には単に「通信装置１０」と呼ぶ。）を有する。これら通信装置１０Ａ，１０Ｂ，１０Ｃ，１０Ｄは、多数の通信装置で構成されて、必要に応じて通信ネットワークＮＴに対して接続可能となっている。また、通信システムは、通信ネットワークＮＴに接続された多数の通信装置１０を管理する通信管理装置２０と、当該通信管理装置２０を制御する通信制御装置（所定の管理装置）３０とを有する。
【００２６】
なお、通信システムの特性として、通信ネットワークＮＴ上での通信が許可されている承認済みの通信装置よりも、未承認の通信装置の方がはるかに少ない場合を想定する。ここでは、４台の通信装置１０Ａ，１０Ｂ，１０Ｃ，１０Ｄが通信ネットワークＮＴ上に接続されているものとし、このうち、３台の通信装置１０Ａ，１０Ｂ，１０Ｃが承認済みの通信装置であり、１台の通信装置１０Ｄが未承認の通信装置であるものとする。
【００２７】
通信管理装置２０は、通信ネットワークＮＴ上に接続された通信装置１０Ａ，１０Ｂ，１０Ｃ，１０Ｄとの間で通信データを送受信する通信部２１と、通信ネットワークＮＴ上で通信を開始した通信装置を検知する通信装置検知部２２と、通信装置が承認済みの通信装置１０Ａ，１０Ｂ，１０Ｃであるか否かを判定する承認判定部２３と、この承認判定部２３による判定結果を含む情報をアラートとして報知する報知部２４と、承認済みの通信装置１０Ａ，１０Ｂ，１０Ｃの情報を記憶する承認済みデータベース２５とを備える。なお、これら各部のうち、通信部２１、通信装置検知部２２、承認判定部２３、及び報知部２４は、ＣＰＵ（Central Processing Unit）等の処理手段によって実行可能なＲＯＭ（Read Only Memory）等の記憶手段に記憶された通信管理プログラムとして実装することができる。
【００２８】
通信部２１は、通信ネットワークＮＴ上に流れる通信データを監視する。通信部２１は、通信データのうち、通信ネットワークＮＴ上に接続された通信装置１０Ａ，１０Ｂ，１０Ｃ，１０Ｄが送信したＡＲＰ（Address Resolution Protocol）パケットを傍受する。
【００２９】
ここで、通信装置１０が通信ネットワークＮＴに接続されたことを当該通信装置１０が検出して、通信相手となる通信装置１０のＭＡＣアドレスを探索する。このために、通信装置１０は、通信相手のＩＰアドレスを含むＡＲＰパケットを送信する。これにより、ＡＲＰパケットを送信した通信装置１０は、通信相手となる通信装置１０からＡＲＰパケットの返信情報に含まれるＭＡＣアドレスを用いて、通信相手と通信が可能とする。なお、以下の説明では、通信装置１０が新たに通信ネットワークＮＴに接続された場合にＡＲＰパケットを送信する場合について説明するが、通信装置１０が他の通信装置１０や図示しないサーバ等に対して通信接続を要求したり、通信装置１０が他の通信装置１０や図示しないサーバ等の内部情報（アドレス、ＩＤ）を要求するといった、問い合わせ情報を傍受して後述した処理を行っても良いことは勿論である。そして、通信部２１は、常時、傍受したＡＲＰパケットを通信装置検知部２２に供給する。
【００３０】
通信装置検知部２２は、通信部２１から供給されたＡＲＰパケットを、図２に示す所定の検知テーブル５２に記録する。通信装置検知部２２は、ＡＲＰパケットを解析し、ＩＰ（Internet Protocol）アドレスやＭＡＣ（Media Access Control）アドレス等の情報を取得する。これにより、通信装置検知部２２は、通信ネットワークＮＴ上で通信を開始した通信装置を検知（ＳＴ１）し、検知した通信装置を特定する接続情報を生成する。通信装置検知部２２は、生成した接続情報を承認判定部２３に供給する。
【００３１】
承認判定部２３は、承認済みデータベース２５を参照して、通信装置検知部２２によって生成された接続情報と、承認済みデータベース２５に記憶されている特定情報とを照合する。これにより、承認判定部２３は、接続情報に対応する通信装置が承認済みの通信装置１０Ａ，１０Ｂ，１０Ｃのいずれかであるか否かを判定する。そして承認判定部２３は、接続情報と判定結果とを組み合わせたアラート情報を生成する（ＳＴ２，ＳＴ３）。
【００３２】
この承認判定部２３は、所定の間隔であるサンプリング間隔ごとに通信装置が承認済みの通信装置か否かを判定する。このサンプリング間隔は、図２に示すように、当該通信システムの管理者による図示しない管理用端末を介したウェブブラウザ３０’の操作等に応じて任意に書き換え可能な所定の設定テーブル５１に設定することができる。
【００３３】
具体的には、承認判定部２３は、図２に示すように、承認済みの通信装置１０Ａ，１０Ｂ，１０Ｃのいずれかであると判定した場合には、接続情報に対して承認済みである旨のフラグを付与し、承認済みアラート情報を生成する（ＳＴ３）。一方、承認判定部２３は、未承認の通信装置１０Ｄであると判定した場合には、接続情報に対して未承認である旨のフラグを付与し、未承認アラート情報を生成する（ＳＴ２）。承認判定部２３は、生成したアラート情報を報知部２４に供給する。
【００３４】
報知部２４は、承認判定部２３から供給されたアラート情報に基づいてアラートファイルを生成し、通信部２１を介して、そのアラートファイルを所定の管理装置３０に対して送信させる（ＳＴ４）。これにより、報知部２４は、通信装置１０Ａ，１０Ｂ，１０Ｃ，１０Ｄが承認済みであるか未承認であるかを報知する。このとき、報知部２４は、未承認アラート情報に基づくアラートファイルについては、承認判定部２３から供給された後、即座に報知する。
【００３５】
すなわち、報知部２４は、未認証の通信装置が承認処理部２３により判定されたことに応じて、未承認アラート情報に基づくアラートファイルを生成して報知する。一方、報知部２４は、承認済みアラート情報に基づくアラートファイルについては、所定の間隔であるサンプリング間隔よりも長い、例えば１日程度の検知情報更新間隔で報知する。換言すれば、報知部２４は、承認済みアラート情報に基づくアラートファイルについては、サンプリング間隔よりも長い時間間隔で生成して報知する。なお、検知情報更新間隔は、サンプリング間隔と同様に、当該通信システムの管理者による図示しない管理用端末を介したウェブブラウザ３０’の操作等に応じて任意に書き換え可能な所定の設定テーブル５１に設定することができる。
【００３６】
また、報知部２４は、承認済みアラート情報に基づくアラートファイルを報知する時刻を設定テーブル５１に予め設定しておき、その設定された時刻になるまで待機してからアラートファイルを報知する。これにより、報知部２４は、サンプリング間隔よりも長い検知情報更新間隔で、承認済みアラート情報を報知するようにしてもよい。この時刻としては、例えば深夜帯等、通信ネットワークＮＴ上のトラフィックが小さくなる時刻であることが望ましい。通信システムにおいては、このように検知情報更新間隔を時刻として設定する。これにより、通信システムは、当該通信システムの管理者が承認済みの通信装置１０Ａ，１０Ｂ，１０Ｃの情報を分析する作業時刻に合わせることができ、効率よい情報収集を行うことが可能となる。
【００３７】
このような承認済みアラート情報、非認証アラート情報の送信タイミングは、通信制御装置３０により、通信管理装置２０の報知部２４に対して設定されるものとしても良い。この場合、通信制御装置３０は、通信管理装置２０が複数の通信装置１０Ａ，１０Ｂ，１０Ｃ，１０Ｄに関するアラート情報を送信するタイミングを制御すると共に、当該通信管理装置から送信されたアラート情報を受信するものとする。通信制御装置３０は、予め受信能力が低下しない時間帯をアラート情報の受信タイミングとしても良く、実際に受信能力が低下していないタイミングを適宜検出して受信タイミングとしても良い。
【００３８】
承認済みデータベース２５は、通信ネットワークＮＴ上での通信が許可されている承認済みの通信装置１０Ａ，１０Ｂ，１０ＣのＩＰアドレスやＭＡＣアドレス等、これら通信装置１０Ａ，１０Ｂ，１０Ｃを特定するための特定情報を記憶する。なお、特定情報は、当該通信システムの管理者による図示しない管理用端末や、通信制御装置３０を介したウェブブラウザ３０’の操作等に応じて承認済みデータベース２５に登録される。この承認済みデータベース２５に記憶された特定情報は、承認判定部２３によって読み出される。
【００３９】
なお、管理装置３０は、通信ネットワークＮＴによって構成されるＬＡＮ（Local Area Network）等の同一ネットワーク網に存在する必要はないが、通信管理装置２０と通信可能な環境下に設けられる。
【００４０】
［通信システムの動作］
このような通信システムにおいては、通信管理装置２０の制御に従って、図３に示すような一連の手順にしたがった処理を行う。
【００４１】
通信管理装置２０は、上述したようなアラート情報を通信制御装置３０に送信する前提として、通信制御装置３０からアラート情報の送信タイミング（サンプリング間隔、検知情報更新間隔）が設定される。
【００４２】
まず、図３に示すように、ステップＳ１において、未承認の通信装置１０ＤがＡＲＰパケットを送信した場合を考える。この場合、通信管理装置２０は、ステップＳ２において、通信部２１によってＡＲＰパケットを傍受すると、ステップＳ３において、このＡＲＰパケットに基づいて、通信装置検知部２２によって通信装置１０Ｄを特定する接続情報を生成する。
【００４３】
そして、承認判定部２３は、ステップＳ４において、通信装置検知部２２によって生成された接続情報と、承認済みデータベース２５に記憶されている特定情報とを照合する。これにより、承認判定部２３は、未承認の通信装置１０Ｄである旨を判定し、接続情報と判定結果とを組み合わせたアラート情報を生成する。
【００４４】
これに応じて、報知部２４は、ステップＳ５において、アラートファイルを生成し、通信部２１を介して、そのアラートファイルを管理装置３０に対して送信させる。この場合、報知部２４は、未承認の通信装置１０Ｄについてのアラートファイルであるので、即座に通信制御装置３０に報知する。
【００４５】
一方、ステップＳ６において、承認済みの通信装置１０Ａ，１０Ｂ，１０ＣのいずれかがＡＲＰパケットを送信した場合を考える。この場合、通信管理装置２０は、ステップＳ７において、通信部２１によってＡＲＰパケットを傍受すると、ステップＳ８において、このＡＲＰパケットに基づいて、通信装置検知部２２によって通信装置１０Ａ，１０Ｂ，１０Ｃのいずれかを特定する接続情報を生成する。
【００４６】
そして、承認判定部２３は、ステップＳ９において、通信装置検知部２２によって生成された接続情報と、承認済みデータベース２５に記憶されている特定情報とを照合する。これにより、承認判定部２３は、ＡＲＰパケットを送信した通信装置１０が承認済みの通信装置１０Ａ，１０Ｂ，１０Ｃのいずれかである旨を判定し、接続情報と判定結果とを組み合わせたアラート情報を生成する。
【００４７】
これに応じて、報知部２４は、ステップＳ１０において、アラートファイルを生成し、通信部２１を介して、そのアラートファイルを管理装置３０に対して送信させる。この場合、報知部２４は、承認済みの通信装置１０Ａ，１０Ｂ，１０Ｃのいずれかについてのアラートファイルであるので、即座に通信制御装置３０に報知するのではなく、待ち時間Ｔｗ後の報知すべき設定された時刻になるまで待機してから報知する。これにより、通信制御装置３０は、報知されたアラートファイルに基づいて、承認済みの通信装置１０Ａ，１０Ｂ，１０Ｃに関する情報を収集することが可能となる。また、承認済みのアラート情報を、通信ネットワークＮＴを介して通信制御装置３０から送信された命令を受信したことに応じて報知しても良い。
【００４８】
通信システムにおいては、このような一連の手順にしたがって、アラートファイルを通信制御装置３０に報知することができる。
【００４９】
このように、通信システムにおいては、アラート情報の種別に応じてアラートファイルの送信頻度を変える。これにより、通信システムによれば、未承認の通信装置１０Ｄについてのアラートファイルとは別に、承認済みの通信装置１０Ａ，１０Ｂ，１０Ｃについてのアラートファイルを長い時間間隔で報知できる。したがって、通信システムによれば、通信制御装置３０のアラート受信性能を維持しつつ、未承認の通信装置１０Ｄの情報については早期に通信制御装置３０に報知し、且つ、承認済みの通信装置１０Ａ，１０Ｂ，１０Ｃの使用状況についても管理することができる。
【００５０】
［第１実施形態の効果］
以上詳細に説明したように、本発明の第１実施形態に係る通信システムは、通信管理装置２０により、傍受したＡＲＰパケットに基づいて、通信ネットワークＮＴ上で通信を開始した通信装置を検知する。そして、通信管理装置２０は、検知した通信装置を特定する接続情報を生成すると、生成した接続情報と、所定の承認済みデータベース２５に記憶されている、通信ネットワークＮＴ上での通信が許可されている承認済みの通信装置を特定するための特定情報とに基づいて、当該接続情報に対応する通信装置が承認済みの通信装置であるか否かを所定の間隔（サンプリング間隔）ごとに判定し、この判定結果を含むアラート情報を所定の通信制御装置３０に報知する。
【００５１】
このとき、通信管理装置２０は、未認証の通信装置を判定したことに応じて未承認の通信装置についてのアラート情報を報知し、承認済みの通信装置についてのアラート情報をサンプリング間隔よりも長い検知情報更新間隔で報知する。したがって、この通信システムにおいては、未承認の通信装置１０Ｄを迅速に報知して悪意のある通信装置の使用を排除することができるとともに、承認済みの通信装置１０Ａ，１０Ｂ，１０Ｃについてのアラート情報も報知することができる。そのため、この通信システムにおいては、通信制御装置３０のアラート受信性能を超えてしまうことなく、未承認の通信装置１０Ｄの情報についてはなるべく早く通信制御装置３０に報知したいという要望と、承認済みの通信装置１０Ａ，１０Ｂ，１０Ｃの情報については通信制御装置３０に対する報知を急がないが収集はしたいという要望とを両立させる。これにより、通信システムは、通信負荷を増大させることなく、通信ネットワークＮＴの使用状況等を分析することが可能となる。
【００５２】
また、この通信システムにおいては、通信ネットワークＮＴを介して通信制御装置３０から送信された命令を受信したことに応じて、承認済みの通信装置１０Ａ，１０Ｂ，１０Ｃについてのアラート情報を報知することができる。これにより、アラート情報受信側の受信能力が低下していない時刻や、通信システムの管理者が承認済みの通信装置１０Ａ，１０Ｂ，１０Ｃの情報を分析する作業時刻に合わせることができ、効率よい情報収集を行うことが可能となる。
【００５３】
［第２実施形態］
つぎに、本発明の第２実施形態について説明する。
【００５４】
この第２実施形態は、第１実施形態として示した通信システムを改良し、通信管理装置によって未承認の通信装置による通信を抑止するものである。したがって、この第２実施形態においては、第１実施形態にて説明した部位と同一部位については、それぞれ、同一符号を付し、その詳細な説明を省略するものとする。
【００５５】
［通信システムの構成］
本発明の第２実施形態として示す通信システムは、図４に示すように、通信ネットワークＮＴ上に、複数の通信装置１０Ａ，１０Ｂ，１０Ｃ，１０Ｄと、これら通信装置１０Ａ，１０Ｂ，１０Ｃ，１０Ｄを管理する通信管理装置２０とが接続されて構成される。ここでも、４台の通信装置１０Ａ，１０Ｂ，１０Ｃ，１０Ｄが通信ネットワークＮＴ上に接続されているものとし、このうち、３台の通信装置１０Ａ，１０Ｂ，１０Ｃが承認済みの通信装置であり、１台の通信装置１０Ｄが未承認の通信装置であるものとする。
【００５６】
通信管理装置２０は、上述した通信部２１、通信装置検知部２２、承認判定部２３、報知部２４、及び、承認済みデータベース２５の他に、未承認と判定された通信装置による通信を抑止する通信抑止処理部６１を備える。なお、通信抑止処理部６１も、通信部２１、通信装置検知部２２、承認判定部２３、及び報知部２４と同様に、ＣＰＵ等の処理手段によって実行可能なＲＯＭ等の記憶手段に記憶された通信管理プログラムとして実装することができる。
【００５７】
報知部２４は、上述したように、承認判定部２３から供給されたアラート情報に基づいてアラートファイルを生成し、通信部２１を介して、そのアラートファイルを所定の通信制御装置３０に対して送信させる。これにより、報知部２４は、通信装置１０Ａ，１０Ｂ，１０Ｃ，１０Ｄが承認済みであるか未承認であるかを報知する。
【００５８】
このとき、報知部２４は、未承認アラート情報に基づくアラートファイルについては、通信制御装置３０に報知するとともに、通信抑止処理部６１にも供給する。なお、報知部２４は、未承認アラート情報に基づくアラートファイルについては、未認証の通信装置を判定したことに応じて報知する。一方、承認済みアラート情報に基づくアラートファイルについては、サンプリング間隔よりも長い検知情報更新間隔で報知する点においては、第１実施形態と同様である。
【００５９】
通信抑止処理部６１は、報知部２４から未承認アラート情報に基づくアラートファイルが供給されると、その通信装置、すなわち、通信装置１０Ｄによる通信を抑止する。このために、通信抑止処理部６１は、「遮断ＡＲＰパケット」を生成し、通信部２１を介して、その遮断ＡＲＰパケットを当該通信装置１０Ｄに対して送信させる。この遮断ＡＲＰパケットは、ＡＲＰパケットを送信した不正な通信装置１０のＡＲＰテーブルに含まれるＭＡＣアドレスを通信不能な値に書き換えさせるＭＡＣアドレスを含んでいる。したがって、この遮断ＡＲＰパケットを受信した通信装置１０Ｄは、自己のＡＲＰテーブルが他の通信装置１０とは通信できない値に書き換えられ、通信システムにおける他の通信装置１０とは通信不能となる。
【００６０】
［通信システムの動作］
このような通信システムにおいては、通信管理装置２０の制御に従って、図５に示すような一連の手順にしたがった処理を行う。
【００６１】
まず、図５に示すように、ステップＳ１１において、未承認の通信装置１０ＤがＡＲＰパケットを送信したことに応じて、通信管理装置２０は、ステップＳ１２において、通信部２１によってＡＲＰパケットを傍受する。すると、通信管理装置２０は、ステップＳ１３において、受信したＡＲＰパケットに基づいて、通信装置検知部２２によって通信装置１０Ｄを特定する接続情報を生成する。
【００６２】
そして、承認判定部２３は、ステップＳ１４において、通信装置検知部２２によって生成された接続情報と、承認済みデータベース２５に記憶されている特定情報とを照合する。これにより、承認判定部２３は、未承認の通信装置１０Ｄである旨を判定し、接続情報と判定結果とを組み合わせたアラート情報を生成する。
【００６３】
これに応じて、報知部２４は、ステップＳ１５において、アラートファイルを生成し、通信抑止処理部６１に供給する。そして、通信抑止処理部６１は、ステップＳ１６において、遮断ＡＲＰパケットを生成し、通信部２１を介して、その遮断ＡＲＰパケットを当該通信装置１０Ｄに対して送信させる。これにより、通信装置１０Ｄは、遮断ＡＲＰパケットに基づいて、自己のＡＲＰテーブルが不正なものに書き換えられ、即座に通信不能となる。
【００６４】
また、報知部２４は、ステップＳ１５の処理と同時に、ステップＳ１７において、通信部２１を介して、そのアラートファイルを通信制御装置３０に対して送信させる。この場合、報知部２４は、未承認の通信装置１０Ｄについてのアラートファイルであるので、即座に通信制御装置３０に報知し、一連の処理を終了する。
【００６５】
通信システムにおいては、このような一連の手順にしたがって、アラートファイルの報知のみならず、未承認の通信装置１０Ｄによる通信を抑止する処理を積極的に行うことができる。
【００６６】
［第２実施形態の効果］
以上詳細に説明したように、本発明の第２実施形態に係る通信システムは、通信管理装置２０によって未承認と判定された通信装置１０Ｄによる通信を抑止することにより、未承認の通信装置１０Ｄの存在を検知して直ちに排除処理を行うことができる。これにより、通信システムに対して不正な通信装置１０が接続されるリスクがあっても、通信システムに対する不正な通信装置１０が接続されることによる脅威を回避でき、通信セキュリティを高めることができる。
【００６７】
［第３実施形態］
最後に、本発明の第３実施形態について説明する。
【００６８】
この第３実施形態は、第１実施形態として示した通信システムを改良し、承認済みの通信装置のアラートファイルの報知先と、未承認の通信装置のアラートファイルの報知先とを異ならせるものである。したがって、この第３実施形態においては、第１実施形態にて説明した部位と同一部位については、それぞれ、同一符号を付し、その詳細な説明を省略するものとする。
【００６９】
［通信システムの構成］
本発明の第３実施形態として示す通信システムは、先に図１に示したように、通信ネットワークＮＴ上に、複数の通信装置１０Ａ，１０Ｂ，１０Ｃ，１０Ｄと、これら通信装置１０Ａ，１０Ｂ，１０Ｃ，１０Ｄを管理する通信管理装置２０とが接続されて構成される。ここでも、４台の通信装置１０Ａ，１０Ｂ，１０Ｃ，１０Ｄが通信ネットワークＮＴ上に接続されているものとし、このうち、３台の通信装置１０Ａ，１０Ｂ，１０Ｃが承認済みの通信装置であり、１台の通信装置１０Ｄが未承認の通信装置であるものとする。
【００７０】
報知部２４は、上述したように、承認判定部２３から供給されたアラート情報に基づいてアラートファイルを生成し、通信部２１を介して、そのアラートファイルを所定の通信制御装置３０に対して送信させる。これにより、通信装置１０Ａ，１０Ｂ，１０Ｃ，１０Ｄが承認済みであるか未承認であるかを報知する。
【００７１】
ここで、通信制御装置３０は、承認済みアラート情報に基づくアラートファイルの報知を受ける承認機器管理装置と、未承認アラート情報に基づくアラートファイルの報知を受ける未承認機器管理装置とから構成される。したがって、報知部２４は、承認済みアラート情報に基づくアラートファイルについては、承認機器管理装置宛に送信させ、未承認アラート情報に基づくアラートファイルについては、未承認機器管理装置宛に送信させる。なお、報知部２４は、未承認アラート情報に基づくアラートファイルについては、未認証の通信装置を判定したことに応じて報知する。一方、報知部２４は、承認済みアラート情報に基づくアラートファイルについては、サンプリング間隔よりも長い検知情報更新間隔で報知する点においては、第１実施形態と変わりがない。
【００７２】
［通信システムの動作］
このような通信システムにおいては、通信管理装置２０の制御に従って、図６に示すような一連の手順にしたがった処理を行う。
【００７３】
まず、図６に示すように、ステップＳ２１において、未承認の通信装置１０ＤがＡＲＰパケットを送信した場合を考える。この場合、通信管理装置２０は、ステップＳ２２において、通信部２１によってＡＲＰパケットを傍受すると、ステップＳ２３において、このＡＲＰパケットに基づいて、通信装置検知部２２によって通信装置１０Ｄを特定する接続情報を生成する。
【００７４】
そして、承認判定部２３は、ステップＳ２４において、通信装置検知部２２によって生成された接続情報と、承認済みデータベース２５に記憶されている特定情報とを照合する。これにより、承認判定部２３は、未承認の通信装置１０Ｄである旨を判定し、接続情報と判定結果とを組み合わせたアラート情報を生成する。
【００７５】
これに応じて、報知部２４は、ステップＳ２５において、アラートファイルを生成し、通信部２１を介して、そのアラートファイルを未承認機器通信制御装置３０Ｂに対して送信させる。この場合、報知部２４は、未承認の通信装置１０Ｄについてのアラートファイルであるので、即座に未承認機器通信制御装置３０Ｂに報知する。そして、同時に、通信抑止処理部６１は、報知されたアラートファイルに基づいて、未承認の通信装置１０Ｄによる通信を遮断することになる。
【００７６】
一方、ステップＳ２６において、承認済みの通信装置１０Ａ，１０Ｂ，１０ＣのいずれかがＡＲＰパケットを送信した場合を考える。この場合、通信管理装置２０は、ステップＳ２７において、通信部２１によってＡＲＰパケットを傍受すると、ステップＳ２８において、このＡＲＰパケットに基づいて、通信装置検知部２２によって通信装置１０Ａ，１０Ｂ，１０Ｃのいずれかを特定する接続情報を生成する。
【００７７】
そして、承認判定部２３は、ステップＳ２９において、通信装置検知部２２によって生成された接続情報と、承認済みデータベース２５に記憶されている特定情報とを照合する。これにより、承認判定部２３は、承認済みの通信装置１０Ａ，１０Ｂ，１０Ｃのいずれかである旨を判定し、接続情報と判定結果とを組み合わせたアラート情報を生成する。
【００７８】
これに応じて、報知部２４は、ステップＳ３０において、アラートファイルを生成し、通信部２１を介して、そのアラートファイルを承認機器通信制御装置３０Ａに対して送信させる。この場合、報知部２４は、承認済みの通信装置１０Ａ，１０Ｂ，１０Ｃのいずれかについてのアラートファイルであるので、即座に承認機器通信制御装置３０Ａに報知するのではなく、待ち時間Ｔｗ後の報知すべき設定された時刻になるまで待機してから報知する。
【００７９】
これにより、承認機器通信制御装置３０Ａは、報知されたアラートファイルに基づいて、承認済みの通信装置１０Ａ，１０Ｂ，１０Ｃに関する情報を収集することが可能となる。
【００８０】
通信システムにおいては、このような一連の手順にしたがって、アラートファイルを承認機器通信制御装置３０Ａ及び未承認機器通信制御装置３０Ｂに報知することができる。
【００８１】
［第３実施形態の効果］
以上詳細に説明したように、本発明の第３実施形態に係る通信システムは、通信管理装置２０により、承認済みの通信装置１０Ａ，１０Ｂ，１０Ｃについてのアラート情報を承認機器通信制御装置３０Ａに報知し、未承認の通信装置１０Ｄについてのアラート情報を承認機器通信制御装置３０Ａとは異なる未承認通信制御装置３０Ｂに報知する。
【００８２】
したがって、この通信システムにおいては、１台の通信制御装置３０のみをアラート情報の報知先とする場合に比べ、管理装置の処理負荷を低減することができる。特に、この通信システムにおいては、未承認の通信装置１０Ｄが急遽通信ネットワークＮＴ上に接続された場合であっても、承認機器通信制御装置３０Ａの処理負荷が増大することがなく、迅速に対応することが可能となる。
【００８３】
なお、上述の実施の形態は本発明の一例である。このため、本発明は、上述の実施形態に限定されることはなく、この実施の形態以外であっても、本発明に係る技術的思想を逸脱しない範囲であれば、設計等に応じて種々の変更が可能であることは勿論である。
【符号の説明】
【００８４】
１０，１０Ａ，１０Ｂ，１０Ｃ，１０Ｄ 通信装置
２０ 通信管理装置
２１ 通信部
２２ 通信装置検知部
２３ 承認判定部
２４ 報知部
２５ 承認済みデータベース
３０ 管理装置
３０Ａ 承認機器管理装置
３０Ｂ 未承認機器管理装置
５１ 設定テーブル
５２ 検知テーブル
６１ 通信抑止処理部
【特許請求の範囲】
【請求項１】
通信回線に接続された複数の通信装置を管理する通信管理装置であって、
前記複数の通信装置との間で通信データを送受信する通信手段と、
前記通信手段によって傍受した通信データに基づいて他の通信装置に対する問い合わせ情報を検知することにより、前記通信回線上で通信を開始した通信装置を検知し、検知した通信装置を特定する接続情報を生成する通信装置検知手段と、
前記通信装置検知手段によって生成された接続情報と、所定の承認済みデータベースに記憶されている、前記通信回線上での通信が許可されている承認済みの通信装置を特定するための特定情報とに基づいて、当該接続情報により特定される通信装置が承認済みの通信装置であるか否かを、所定の間隔ごとに判定する承認判定手段と、
前記承認判定手段による判定結果を含むアラート情報を所定の管理装置に報知する報知手段とを備え、
前記報知手段は、前記承認判定手段により未承認の通信装置を判定したことに応じて当該未承認の通信装置についてのアラート情報を報知し、承認済みの通信装置についてのアラート情報を前記所定の間隔よりも長い間隔で報知することを特徴とする通信管理装置。
【請求項２】
前記承認判定手段によって未承認と判定された通信装置による通信を抑止する通信抑止処理手段を更に備えることを特徴とする請求項１に記載の通信管理装置。
【請求項３】
前記報知手段は、承認済みの通信装置についてのアラート情報を第１管理装置に報知し、未承認の通信装置についてのアラート情報を前記第１管理装置とは異なる第２管理装置に報知することを特徴とする請求項１又は請求項２に記載の通信管理装置。
【請求項４】
前記報知手段は、前記通信回線を介して前記所定の管理装置から送信された命令を受信したことに応じて、承認済みの通信装置についてのアラート情報を報知することを特徴とする請求項１乃至請求項３のうちいずれか１項に記載の通信管理装置。
【請求項５】
通信回線に接続された複数の通信装置を管理するコンピュータが実行する通信管理プログラムであって、
前記複数の通信装置との間で送受信される通信データに基づいて、問い合わせ情報を検知することにより前記通信回線上で通信を開始した通信装置を検知し、検知した通信装置を特定する接続情報を生成する通信装置検知処理と、
前記通信装置検知処理にて生成された接続情報と、所定の承認済みデータベースに記憶されている、前記通信回線上での通信が許可されている承認済みの通信装置を特定するための特定情報とに基づいて、当該接続情報により特定される通信装置が承認済みの通信装置であるか否かを、所定の間隔ごとに判定する承認判定処理と、
前記承認判定処理による判定結果を含むアラート情報を所定の管理装置に報知する報知処理とを前記コンピュータに実行させ、
前記報知処理では、前記承認判定手段により未承認の通信装置を判定したことに応じて当該未承認の通信装置についてのアラート情報を報知し、承認済みの通信装置についてのアラート情報を前記所定の間隔よりも長い間隔で報知すること
を特徴とする通信管理プログラム。
【請求項６】
通信回線に接続された複数の通信装置と、
前記通信回線上に通信可能に接続され、前記複数の通信装置を管理する通信管理装置と、 前記通信管理装置の動作を制御する通信制御装置とを備え、
前記通信制御装置は、前記通信管理装置が前記複数の通信装置に関するアラート情報を送信するタイミングを制御すると共に、当該通信管理装置から送信されたアラート情報を受信するものであり、
前記通信管理装置は、
前記複数の通信装置との間で通信データを送受信する通信手段と、
前記通信手段によって傍受した通信データに基づいて、問い合わせ情報を検知することにより前記通信回線上で通信を開始した通信装置を検知し、検知した通信装置を特定する接続情報を生成する通信装置検知手段と、
前記通信装置検知手段によって生成された接続情報と、所定の承認済みデータベースに記憶されている、前記通信回線上での通信が許可されている承認済みの通信装置を特定するための特定情報とに基づいて、当該接続情報に対応する通信装置が承認済みの通信装置であるか否かを、所定の間隔ごとに判定する承認判定手段と、
前記承認判定手段による判定結果を含むアラート情報を所定の管理装置に報知する報知手段とを有し、
前記報知手段は、前記承認判定手段により未承認の通信装置を判定したことに応じて当該未承認の通信装置についてのアラート情報を報知し、承認済みの通信装置についてのアラート情報を前記所定の間隔よりも長い間隔であって、前記通信制御装置により命令されたタイミングにて報知すること
を特徴とする通信管理システム。
【請求項１】
通信回線に接続された複数の通信装置を管理する通信管理装置であって、
前記複数の通信装置との間で通信データを送受信する通信手段と、
前記通信手段によって傍受した通信データに基づいて他の通信装置に対する問い合わせ情報を検知することにより、前記通信回線上で通信を開始した通信装置を検知し、検知した通信装置を特定する接続情報を生成する通信装置検知手段と、
前記通信装置検知手段によって生成された接続情報と、所定の承認済みデータベースに記憶されている、前記通信回線上での通信が許可されている承認済みの通信装置を特定するための特定情報とに基づいて、当該接続情報により特定される通信装置が承認済みの通信装置であるか否かを、所定の間隔ごとに判定する承認判定手段と、
前記承認判定手段による判定結果を含むアラート情報を所定の管理装置に報知する報知手段とを備え、
前記報知手段は、前記承認判定手段により未承認の通信装置を判定したことに応じて当該未承認の通信装置についてのアラート情報を報知し、承認済みの通信装置についてのアラート情報を前記所定の間隔よりも長い間隔で報知することを特徴とする通信管理装置。
【請求項２】
前記承認判定手段によって未承認と判定された通信装置による通信を抑止する通信抑止処理手段を更に備えることを特徴とする請求項１に記載の通信管理装置。
【請求項３】
前記報知手段は、承認済みの通信装置についてのアラート情報を第１管理装置に報知し、未承認の通信装置についてのアラート情報を前記第１管理装置とは異なる第２管理装置に報知することを特徴とする請求項１又は請求項２に記載の通信管理装置。
【請求項４】
前記報知手段は、前記通信回線を介して前記所定の管理装置から送信された命令を受信したことに応じて、承認済みの通信装置についてのアラート情報を報知することを特徴とする請求項１乃至請求項３のうちいずれか１項に記載の通信管理装置。
【請求項５】
通信回線に接続された複数の通信装置を管理するコンピュータが実行する通信管理プログラムであって、
前記複数の通信装置との間で送受信される通信データに基づいて、問い合わせ情報を検知することにより前記通信回線上で通信を開始した通信装置を検知し、検知した通信装置を特定する接続情報を生成する通信装置検知処理と、
前記通信装置検知処理にて生成された接続情報と、所定の承認済みデータベースに記憶されている、前記通信回線上での通信が許可されている承認済みの通信装置を特定するための特定情報とに基づいて、当該接続情報により特定される通信装置が承認済みの通信装置であるか否かを、所定の間隔ごとに判定する承認判定処理と、
前記承認判定処理による判定結果を含むアラート情報を所定の管理装置に報知する報知処理とを前記コンピュータに実行させ、
前記報知処理では、前記承認判定手段により未承認の通信装置を判定したことに応じて当該未承認の通信装置についてのアラート情報を報知し、承認済みの通信装置についてのアラート情報を前記所定の間隔よりも長い間隔で報知すること
を特徴とする通信管理プログラム。
【請求項６】
通信回線に接続された複数の通信装置と、
前記通信回線上に通信可能に接続され、前記複数の通信装置を管理する通信管理装置と、 前記通信管理装置の動作を制御する通信制御装置とを備え、
前記通信制御装置は、前記通信管理装置が前記複数の通信装置に関するアラート情報を送信するタイミングを制御すると共に、当該通信管理装置から送信されたアラート情報を受信するものであり、
前記通信管理装置は、
前記複数の通信装置との間で通信データを送受信する通信手段と、
前記通信手段によって傍受した通信データに基づいて、問い合わせ情報を検知することにより前記通信回線上で通信を開始した通信装置を検知し、検知した通信装置を特定する接続情報を生成する通信装置検知手段と、
前記通信装置検知手段によって生成された接続情報と、所定の承認済みデータベースに記憶されている、前記通信回線上での通信が許可されている承認済みの通信装置を特定するための特定情報とに基づいて、当該接続情報に対応する通信装置が承認済みの通信装置であるか否かを、所定の間隔ごとに判定する承認判定手段と、
前記承認判定手段による判定結果を含むアラート情報を所定の管理装置に報知する報知手段とを有し、
前記報知手段は、前記承認判定手段により未承認の通信装置を判定したことに応じて当該未承認の通信装置についてのアラート情報を報知し、承認済みの通信装置についてのアラート情報を前記所定の間隔よりも長い間隔であって、前記通信制御装置により命令されたタイミングにて報知すること
を特徴とする通信管理システム。
【図１】
【図２】
【図３】
【図４】
【図５】
【図６】
【図２】
【図３】
【図４】
【図５】
【図６】
【公開番号】特開２０１０−１９９８７３（Ｐ２０１０−１９９８７３Ａ）
【公開日】平成２２年９月９日（２０１０．９．９）
【国際特許分類】
【出願番号】特願２００９−４１２５６（Ｐ２００９−４１２５６）
【出願日】平成２１年２月２４日（２００９．２．２４）
【出願人】（０００００５８３２）パナソニック電工株式会社 (17,916)
【Ｆターム（参考）】
【公開日】平成２２年９月９日（２０１０．９．９）
【国際特許分類】
【出願日】平成２１年２月２４日（２００９．２．２４）
【出願人】（０００００５８３２）パナソニック電工株式会社 (17,916)
【Ｆターム（参考）】
[ Back to top ]