JP6379013B2 - ネットワーク制御システム、ネットワーク制御方法及びプログラム - Google Patents

Description

本発明は、ネットワーク制御システム、ネットワーク制御方法及びプログラムに関する。

近年、情報技術の普及に伴い、サイバー攻撃の多様化・複雑化が進んでいる。特に標的型攻撃と呼ばれるタイプの攻撃は、従来の愉快犯的な無差別攻撃と異なり、明確な目的を持ち、特定の個人や組織を標的として情報の窃取や改ざんを行う。この標的型攻撃により、実際に政府機関や企業等で被害が発生しており、社会問題となっている。

標的型攻撃の一例を以下に述べる。攻撃者は、まず、メールへの添付や、Ｗｅｂサイトからのダウンロード等の手法を利用し、マルウェアを、標的のネットワーク内におけるクライアント端末に侵入させる。こうしてクライアント端末に侵入したマルウェアは、該当クライアント端末が接続されているネットワークの調査や、攻撃者が用意した外部Ｃ＆Ｃサーバからの新たなマルウェアのダウンロードによる攻撃機能補強、といった各種動作を行う。そうして最終的にマルウェアは、標的のネットワーク内において資産性の高い情報にアクセスし、その窃取や改ざんを行う。
一方、このような標的型攻撃に伴うクライアント端末へのマルウェアの侵入自体を完全に防ぐのは難しいため、「ネットワーク上でのマルウェアの活動を検知し対処する」、「マルウェアが機密情報を外部に送信するのを防ぐ」、などの各対策を組み合わせた多重の防御が有効とされる。

上述のような対策を施した結果、ネットワークにマルウェアが侵入し活動している兆候を検知した場合、従来における一般的な対処方法は以下の通りである。まず、マルウェアに感染している可能性がある端末をネットワークから切り離して隔離し、調査環境に置く。これは、感染端末が外部からの影響を受けないようにする証拠保全のためと、感染端末がネットワーク上の他のホストへ攻撃することを防ぐためである。また、隔離後の感染端末を調査してマルウェアを特定し、その活動履歴を得る。最後に感染端末からマルウェアを除去し、該当マルウェアの活動内容を所定の管理者等に報告して、クリーンな端末をネットワークに再接続する。

このようなマルウェア対策に関する従来技術としては、例えば、マルウェア感染に気付いたユーザによる隔離命令に応じ、隔離実行モジュールがネットワーク機器の設定変更を実行し、リモートマシンの通信を遮断する技術（特許文献１参照）などが提案されている。

ＷＯ２０１０／０９５４４６

ところが、近年の標的型攻撃用マルウェアは高度化が進んでおり、上述した対策を実行してもこれを回避する機能を持つものがある。具体的には、調査されていることを検知すると、活動を停止してやりすごそうとする機能、マルウェア自身やシステムログを消去して証拠隠滅を図る機能、および感染先の全データを破壊しようとする機能、などである。こうした機能を備えるマルウェアは、自身が調査されていることを検知する場合、攻撃者が用意した外部サーバとの通信が遮断された事象を検知する、といった環境変化を利用した方法を実行する。

こうしたマルウェアに対し、従来手法で対処しようとすると、ネットワークから隔離した時点で該当マルウェアはその環境変化を察知し、上述のような回避動作を行うことになる。この場合、マルウェアの挙動が変化してしまい、マルウェアの発見が困難になる、マルウェアの活動による影響範囲が特定困難になる、マルウェアによる攻撃の証拠が保全できなくなる、などといった具合に、その後の調査に大いに支障が出ることとなる。したがって、マルウェアに察知されずに感染端末の隔離及びマルウェアの調査を可能とする技術が必要とされる。

本発明は、このような背景を鑑みてなされたものであり、効果的に通信設定を変更することのできる技術を提供することを目的とする。

上記課題を解決する本発明のネットワーク制御システムは、第１のサーバとクライアント端末とがスイッチで接続されたネットワークを制御するネットワーク制御システムであって、インシデント対応が必要な前記クライアント端末であるインシデント端末の指定を受け付ける入力部と、前記第１のサーバと前記インシデント端末との間の通信が終了したか否かを判定する通信終了判定部と、前記インシデント端末が送信元として設定されたパケットを前記ネットワーク制御システムに送信するように前記スイッチを設定するスイッチ制御部と、前記スイッチから前記パケットを受信した場合に前記パケットを前記第１のサーバに送信する旨の指示を付帯させて前記スイッチに返送するパケット処理部とを備え、前記通信が終了した場合に、前記スイッチ制御部は、前記パケットを、前記第１のサーバとは異なる第２のサーバに転送するように前記スイッチを設定し、前記パケット処理部は、前記スイッチから受信した前記パケットを前記第２のサーバに送信する旨の指示を付帯させて前記スイッチに返送するようにする、ことを特徴とする。

また、本実施形態のネットワーク制御方法は、第１のサーバとクライアント端末とがスイッチで接続されたネットワークを制御する方法であって、コンピュータが、インシデント対応が必要な前記クライアント端末であるインシデント端末の指定を受け付けるステップと、前記第１のサーバとクライアント端末との間の通信が終了したか否かを判定するステップと、前記インシデント端末が送信元として設定されたパケットを前記コンピュータに送信するように前記スイッチを設定するステップと、前記スイッチから前記パケットを受信した場合に前記パケットを前記第１のサーバに送信する旨の指示を付帯させて前記スイッチに返送するステップとを実行し、前記通信が終了した場合に、前記パケットを、前記第１のサーバとは異なる第２のサーバに転送するように前記スイッチを設定し、前記スイッチから受信した前記パケットを前記第２のサーバに送信する旨の指示を付帯させて前記スイッチに返送するようにする、ことを特徴とする。

本発明によれば、マルウェアに察知されずに感染端末の隔離及びマルウェアの調査が可能となる。

本実施形態におけるネットワーク制御システムの構成例を示す全体ブロック図である。 本実施形態のネットワーク制御システムを構成する装置のハードウェア構成例を示す図である。 本実施形態のネットワーク構成ＤＢにおけるスイッチテーブルの構成例を示す図である。 本実施形態のネットワーク構成ＤＢにおけるサーバテーブルの構成例を示す図である。 本実施形態のネットワーク構成ＤＢにおけるダミーサーバ構築用ホストテーブルの構成例を示す図である。 本実施形態のインシデント管理ＤＢにおけるインシデントテーブルの構成例を示す図である。 本実施形態のダミーサーバ管理ＤＢにおけるダミーサーバテーブルの構成例を示す図である。 本実施形態の通信路管理ＤＢにおける通信路テーブルの構成例を示す図である。 本実施形態の切り替え設定ＤＢにおける切り替えパラメタテーブルの構成例を示す図である。 本実施形態の監視設定ＤＢにおける監視パラメタテーブルの構成例を示す図である。 本実施形態の通信履歴ＤＢにおける通信履歴テーブルの構成例を示す図である。 本実施形態の設定時入力部におけるインターフェイス例１を示す図である。 本実施形態の設定時入力部におけるインターフェイス例２を示す図である。 本実施形態の設定時入力部におけるインターフェイス例３を示す図である。 本実施形態のインシデント時入力部におけるインターフェイス例を示す図である。 本実施形態のネットワーク制御方法の、ネットワーク監視サーバにおける処理手順例を示すフロー図である。 本実施形態のネットワーク制御方法の、ネットワーク隔離制御サーバにおける処理手順例を示すフロー図である。 本実施形態のネットワーク制御方法の、ネットワーク隔離制御サーバにおける処理手順例を示す状態遷移図である。 本実施形態のネットワーク制御方法における詳細フロー例を示す図である。 本実施形態のネットワーク制御方法における詳細フロー例を示す図である。 本実施形態のネットワーク制御方法における詳細フロー例を示す図である。 本実施形態のネットワーク制御方法における詳細フロー例を示す図である。

---発明の概要---
本発明の一実施形態に係るネットワーク制御システム１０では、マルウェアに感染されたと疑われる装置（以下、マルウェア感染端末という。）を隔離するにあたり、ネットワーク上の通信を監視し、各通信コネクションの開始・終了を把握した上で、通信が切断されているタイミングでネットワーク機器（スイッチ）の設定を変更してマルウェア感染端末の通信先をダミーサーバに設定するようにしている。マルウェアは、外部サーバとの通信が遮断された事象を検知して、自身が調査されていると判断し、これに応じて、活動を停止してやりすごそうとしたり、マルウェア自身やシステムログを消去して証拠隠滅を図ったり、感染先の全データを破壊しようとしたりすることがあるところ、上記のように通信が切断されているタイミングでマルウェア感染端末からの通信をダミーサーバへ誘導することで、マルウェアに検知されることなくマルウェア感染端末を隔離することができる。

本実施形態では、スイッチの中でも、条件にマッチしたパケットに対してアクションを行うオープンフロー（OpenFlow）スイッチ（以下、単にスイッチという。）を用いる。まずネットワーク切り替え制御サーバ１０１は、スイッチからネットワーク切り替え制御サーバ１０１にパケットを転送するように設定するとともに、スイッチからパケットが転送されてきた場合にはそのままサーバに送信する旨の指示を付帯させて当該パケットをスイッチに返送する。これにより、スイッチの設定変更処理が完了してもしなくても、スイッチから送信されるパケットの宛先はサーバのままとすることができる。その後、ネットワーク切り替え制御サーバ１０１は、マルウェア感染端末およびサーバの間での通信が終了していることを確認する。通信が終了したタイミングで、ネットワーク切り替え制御サーバ１０１は、サーバ宛てのパケットをダミーサーバに転送するようにスイッチを設定するとともに、スイッチからパケットが転送されてきた場合にはダミーサーバに送信する旨の指示を付帯させて当該パケットをスイッチに返送するようにする。これにより、スイッチの設定変更処理が完了してもしなくても、スイッチから送信されるパケットの宛先はダミーサーバとすることができる。このようにして、本実施形態では、スイッチの設定変更処理に時間がかかる場合であっても、確実にマルウェア感染端末とサーバとの間の通信が終了したタイミングで、マルウェア感染端末の通信相手をダミーサーバに切り替えてマルウェア感染端末を隔離することができる。

さらに、本実施形態のネットワーク制御システムでは、ネットワーク機器の設定変更途中にマルウェア感染端末からの通信が開始された場合、通信が終了するまで設定変更を保留し、通信終了後に設定変更を続行する。これにより、ネットワーク機器の設定に時間がかかる場合であっても、確実に通信が切断されているタイミングにマルウェア感染端末を隔離することができる。

以下、図面を使って、本実施形態におけるネットワーク制御システムの例について説明する。

---システム構成例---
図１は、本実施形態のネットワーク制御システム１０と、当該ネットワーク制御システム１０が制御対象とするネットワークとを含むネットワーク構成図である。本実施形態におけるネットワーク制御システム１０は、ネットワーク切り替え制御サーバ１０１と、ネットワーク監視サーバ１０２とから構成される。なお、本実施形態ではネットワーク制御システム１０を、上述のようにネットワーク制御切り替えサーバ１０１とネットワーク監視サーバ１０２とから構成する形態を例示しているが、１体のサーバのみでネットワーク制御システム１０を構成するようにしてもよいし、或いは、３体以上のサーバで構成するようにしてもよい。

また、本実施形態におけるネットワーク制御システム１０の制御対象となるネットワークは、スイッチ１５１と、このスイッチ１５１に接続され、インターネット１９５に接続するサーバ１５２〜１５３と、このスイッチ１５１に接続され、内部に仮想環境をもつダミーサーバ構築用ホスト１５４と、ハブ１５５を介してこのスイッチ１５１に接続されるクライアント端末１５６〜１５７と、ネットワーク１９６を介してこのスイッチ１５１に接続される調査端末１５８とから構成される。このうちスイッチ１５１およびダミーサーバ構築用ホスト１５４は、管理用通信路１９１を介してネットワーク切り替え制御サーバ１０１に接続されている。また、スイッチ１５１は、制御対象ネットワークを監視するための通信路１９２を介してネットワーク監視サーバ１０２にも接続されている。

---ネットワーク切り替え制御サーバ１０１---
こうしたネットワーク構成におけるネットワーク切り替え制御サーバ１０１は、マルウェア感染等の事象（インシデントと呼ばれる。）の発生時に、システム管理者の指示を受け、制御対象ネットワーク上のネットワーク機器（すなわちスイッチ１５１）の設定を変更することで、特定のクライアント端末（例：クライアント端末１５６）と特定のサーバ（例：サーバ１５２）との通信を制御（中継、変更または遮断）する役割を持つ。

上述のネットワーク切り替え制御サーバ１０１は、システム管理者がネットワークの構成情報を入力する際のインターフェイスとなる設定時入力部１１１と、この設定時入力部１１１から入力された情報を保持するネットワーク構成ＤＢ１３１と、システム管理者がインシデント対応時にインシデント情報および隔離命令を入力する際のインターフェイスとなるインシデント時入力部１１２と、このインシデント時入力部１１２からの入力を受けてインシデント情報を管理し各部に指示を出すインシデント時制御部１１３と、このインシデント時制御部１１３が扱う情報を格納するインシデント管理ＤＢ１３２と、インシデント時制御部１１３からの指示を受けダミーサーバを構築、管理、削除するダミーサーバ管理部１１６と、ダミーサーバの制御を行うダミーサーバ制御部１１７と、ダミーサーバ管理部１１６らが扱う情報を格納するダミーサーバ管理ＤＢ１３３と、インシデント時制御部１１３からの指示を受けてネットワーク設定を変更、管理する通信路管理部１１４と、サーバ・クライアント間の通信路に係る制御を行う通信路制御部１１５と、通信路管理部１１４等で扱う情報を格納する通信路管理ＤＢ１３４と、通信路制御部１１５が参照するパラメタを格納する切り替え設定ＤＢ１３５と、管理対象ネットワーク上の機器と接続するための通信インターフェイス１９３とを備える。

このうち通信路制御部１１５は、ネットワーク監視サーバ１０２から通信履歴を取得して適切なネットワーク切り替えタイミングを判定し、通信インターフェイス１９３を介して制御対象ネットワーク上のスイッチ１５１に設定変更指令を送信するスイッチ制御１２１と、スイッチ１５１から送信される、通信インターフェイス１９３に流入するパケットを受信し、受信したパケットの内容を分析、変更して、スイッチに処理方法の指示とともに返送するパケット処理部１２２とを備える。

---ネットワーク監視サーバ１０２---
一方、ネットワーク監視サーバ１０２は、制御対象ネットワークのスイッチ１５１から通信路１９２へ送信されるパケットのコピー（ミラー情報）を常に取得し、取得したミラー情報に基づいてサーバ・クライアント間の通信状態を判別、格納して、インシデント発生時にネットワーク切り替え制御サーバ１０１に提供する役割を持つ。

ネットワーク監視サーバ１０２は、制御対象ネットワークを監視するための通信路１９２に接続する通信インターフェイス１９４と、通信路１９２の通信内容を保持する通信履歴ＤＢ１３６と、通信路１９２の通信のうち、通信開始と終了の情報のみを抽出して通信履歴ＤＢ１３６に格納する通信状態取得部１１８と、通信状態取得部１１８が参照するパラメタを格納する監視設定ＤＢ１３７とを備える。

---ダミーサーバ構築用ホスト１５４---
ダミーサーバ構築用ホスト１５４の論理構成は、仮想スイッチ１６１と、ダミーサーバ１６２および１６３とからなる。なお、ダミーサーバ構築用ホスト１５４は、仮想スイッチ１６１を複数備えるようにしてもよいし、ダミーサーバ１６２および１６３を１つのみまたは３つ以上備えるようにしてもよい。

---システム構成の変形例---
図１の例では、物理スイッチをスイッチ１５１のみの構成としたが、スイッチ１５１は複数台あってもよい。また、ダミーサーバ構築用ホスト１５６も複数台あってもよい。また、サーバ１５２〜１５３、ダミーサーバ１６２〜１６３の数は任意である。また、スイッチ１５１、仮想スイッチ１６１は、管理用通信路１９１を介してネットワーク切り替え制御サーバ１０１からの指令を受け、設定を変更可能である。

---ハードウェア構成例---
続いて、図２を用いてネットワーク切り替え制御サーバ１０１、およびネットワーク監視サーバ１０２のハードウェア構成例について説明する。図２は、本実施形態のネットワーク制御システム１０を構成する装置のハードウェア構成例を示す図である。

本実施形態におけるネットワーク切り替え制御サーバ１０１およびネットワーク監視サーバ１０２のハードウェア構成は、サーバ装置として同じであり、ＣＰＵ２０１、メモリ２０２、記憶装置２０３、通信インターフェイス２０４、入力装置２０５、および出力装置２０６が、バス２０７で接続された構成となっている。

このうちＣＰＵ２０１は中央演算装置であり、メモリ２０２（または記憶装置２０３）に保持しているプログラム２１０を実行することで、必要な機能（機能部）を実装する。例えばネットワーク切り替え制御サーバ１０１におけるＣＰＵ２０１は、設定時入力部１１１、インシデント時入力部１１２、インシデント時制御部１１３、通信路管理部１１４、通信路制御部１１５、ダミーサーバ管理部１１６、ダミーサーバ制御部１１７、スイッチ制御部１２１およびパケット処理部１２２の各機能を実装する。また、ネットワーク監視サーバ１０２におけるＣＰＵ２０１は、通信状態取得部１１８の機能を実装する。

またメモリ２０２は、上述のＣＰＵ２０１が処理を実行する際に利用する主記憶装置であり、ＲＡＭなど揮発性記憶素子で構成される。一方、記憶装置２０３は、ＣＰＵ２０１へ提供する入力データやＣＰＵ２０１から出力される出力データを保管するための補助記憶装置であり、ＳＳＤ（Ｓｏｌｉｄ Ｓｔａｔｅ Ｄｒｉｖｅ）やハードディスクドライブなど適宜な不揮発性記憶素子で構成される。また、本実施形態のネットワーク切り替え制御サーバ１０１における記憶装置２０３は、ネットワーク構成ＤＢ１３１、インシデント管理ＤＢ１３２、ダミーサーバ管理ＤＢ１３３、通信路管理ＤＢ１３４、および切り替え設定ＤＢ１３５を格納している。また、ネットワーク監視サーバ１０２における記憶装置２０３は、通信履歴ＤＢ１３６および監視設定ＤＢ１３７を格納している。

また、通信インターフェイス２０４は、外部ノードとの通信を行う通信装置であり、各種ネットワークと通信を行う。

また、入力装置２０５は、操作者からのキー入力や音声入力を受け付けるインターフェイスであり、例えば、キーボード、タッチパネル、カードリーダ、音声入力装置などで構成される。

また、出力装置２０６は、操作者に対して処理データの出力を行うインターフェイスであり、例えば、ディスプレイ、スピーカー、プリンタなどで構成される。

---ネットワーク構成ＤＢの構成例---
次に、本実施形態のネットワーク制御システム１０が用いるデータベースにおけるテーブル構造例について説明する。ここではまず、図３〜図５を使ってネットワーク構成ＤＢ１３１のテーブル構成例について説明する。本実施形態におけるネットワーク構成ＤＢ１３１は、スイッチテーブル４００、サーバテーブル４１０、およびダミーサーバ構築用ホストテーブル４２０を含んでいる。図３はスイッチテーブル４００の構成例を示す図であり、図４はサーバテーブル４１０の構成例を示す図であり、図５はダミーサーバ構築用ホストテーブル４２０の構成例を示す図である
このうちスイッチテーブル４００は、ネットワーク切り替え制御サーバ１０１が、ネットワーク１９１を通して操作可能なスイッチ１５１および仮想スイッチ１６１の一覧を保持するテーブルであり、スイッチＩＤ４０１と、対応するスイッチ１５１または仮想スイッチ１６１の管理用ＩＰアドレス４０２との組み合わせを一つのレコードとする。このスイッチテーブル４００におけるレコード数は、ネットワーク切り替え制御サーバ１０１が操作するスイッチ１５１および仮想スイッチ１６１の数に伴い変動する。

また、サーバテーブル４１０は、ネットワーク切り替え制御サーバ１０１が、クライアント端末１５６からの接続の可否を管理するサーバ１５２〜１５３の一覧を保持するテーブルであり、サーバＩＤ４１１をキーとして、該当サーバのＩＰアドレス４１２、用途４１３、デフォルトの隔離設定４１４、接続されるスイッチＩＤ４１５、その接続ポート番号４１６、およびイメージファイル４１７を対応付けたレコードの集合体となっている。イメージファイル４１７は、サーバ１５２〜１５３に対応するダミーサーバの設定情報である。このサーバテーブル４１０のレコード数は、ネットワーク切り替え制御サーバ１０１が管理するサーバ１５２〜１５３の数に伴い変動する。

また、ダミーサーバ構築用ホストテーブル４２０は、ネットワーク切り替え制御サーバ１０１が管理する、ダミーサーバを構築するコンピュータ（ホスト）の一覧を保持するためのテーブルであり、ダミーサーバ構築用ホスト１５４の識別情報であるホストＩＤ４２１をキーとして該当ダミーサーバ構築用ホスト１５４のＩＰアドレス４２２を対応付けたレコードの集合体となっている。このダミーサーバ構築用ホストテーブル４２０のレコード数は、ネットワーク切り替え制御サーバ１０１が管理するダミーサーバ構築用ホスト１５４の数に伴い変動する。

なお、これら各テーブルの構成はあくまで一例であり、例えば各機器のＭＡＣアドレスを登録する列を加えるなど、必要に応じて構成を変化させても良い。

---インシデント管理ＤＢの構成例---
次にインシデント管理ＤＢ１３２のテーブル構成例について説明する。図６は本実施形態のインシデント管理ＤＢ１３２に含まれるインシデントテーブル５００の構成例を示す図である。このインシデントテーブル５００は、マルウェア感染が疑われるクライアント端末１５６（マルウェア感染端末）の情報を保持するテーブルであり、インシデントの識別情報であるインシデントＩＤ５０１をキーとして、マルウェア感染端末たるクライアント端末１５６のＩＰアドレスすなわち感染クライアントＩＰ５０２を対応付けたレコードの集合体となっている。このインシデントテーブル５００のレコード数は、システム管理者が登録したマルウェア感染クライアントの数に伴い変動する。なお、ここで示したレコード構成はあくまで一例であり、例えば感染クライアントごとに個別のＶＬＡＮのＩＤを割り振って隔離する場合、ＶＬＡＮのＩＤを格納する列を加えても良い。

---ダミーサーバ管理ＤＢの構成例---
次にダミーサーバ管理ＤＢ１３３のテーブル構成例について説明する。図７は本実施形態のダミーサーバ管理ＤＢ１３３におけるダミーサーバテーブル６００の構成例を示す図である。このダミーサーバテーブル６００は、インシデント対処時に仮想マシン上に構築するダミーサーバ１６２、１６３の情報を保持するためのテーブルであり、インシデントの識別情報であるインシデントＩＤ６０１と、該当ダミーサーバの識別情報であるサーバＩＤ６０２とをキーとして、当該ダミーサーバが構築されているダミーサーバ構築用ホスト１５４の識別情報であるホストＩＤ６０３、接続先のスイッチの識別情報であるスイッチＩＤ６０４、接続ポート番号６０５、および現在状態６０６を対応付けたレコードの集合体となっている。このダミーサーバテーブル６００のレコード数は、インシデント対応時にシステム管理者が構築するダミーサーバ１６２〜１６３の数に伴い変動する。

---通信路管理ＤＢの構成例---
続いて本実施形態における通信路管理ＤＢ１３４のテーブル構成例について説明する。本実施形態の通信路管理ＤＢ１３４は通信路テーブル７００を含んでいる。図８は通信路テーブル７００の構成例を示す図である。この通信路テーブル７００は、クライアント端末１５６と各サーバ１５２〜１５３との間の各経路すなわち通信路の一覧を保持するためのテーブルであり、通信路の識別情報たる通信路ＩＤ７０１をキーとして、該当通信路に接続されるクライアント端末のＩＰアドレス７０２、そのクライアントポート番号７０３、該当通信路に接続されるサーバのＩＰアドレス７０４およびポート番号７０５、該当クライアント端末を隔離するか否かを示す隔離設定７０６、ならびに現在の通信路における通信の状態を示す現在状態７０７を対応付けたレコードの集合体となっている。この通信路テーブル７００のレコード数は、起動している通信路制御部１１５の数に伴い変動する。

---切り替え設定ＤＢの構成例---
次に切り替え設定ＤＢ１３５の構成について説明する。本実施形態における切り替え設定ＤＢ１３５は、ネットワーク切り替え制御サーバ１０１での処理で必要なパラメタを格納するデータベースであり、パラメタテーブル８００を含んでいる。

図９はパラメタテーブル８００の構成例を示す図である。パラメタテーブル８００は、通信路制御部１１５が参照するパラメタの名称（パラメタ名８０１）とそのパラメタの値８０２とを対応付けたレコードの集合体となっている。ここで例示するパラメタテーブル８００は、通信路制御部１１５が参照する切り替え途中に待機する時間（待機時間）の値として１０秒が設定されている。

---監視設定ＤＢの構成例---
次に監視設定ＤＢ１３７の構成について説明する。本実施形態における監視設定ＤＢ１３７は、ネットワーク監視サーバ１０２での処理で必要なパラメタを格納するデータベースであり、監視パラメタテーブル８１０を含んでいる。図１０は監視パラメタテーブル８１０の構成例を示す図である。監視パラメタテーブル８１０は、パラメタ名８１１とその値８１２とを対応付けたレコードの集合体となっている。ここで例示する監視パラメタテーブル８１０は、通信状態取得部１１８が参照する、通信履歴ＤＢ１３６に格納するログの保存期間の値として２４時間が設定されている。

---通信履歴ＤＢの構成例---
次に本実施形態の通信履歴ＤＢ１３６の構成例について説明する。本実施形態における通信履歴ＤＢは、制御対象ネットワーク上の通信に関する情報を格納するデータベースであり、通信履歴テーブル９００を含んでいる。図１１は通信履歴テーブル９００の構成例を示す図である。

通信履歴テーブル９００は、制御対象ネットワーク上のサーバ１５２〜１５３とクライアント端末１５６との通信状態について、通信中か否かを記録するテーブルであり、更新時刻９０１をキーとして、通信相手のうちの一方であるクライアント端末１５６のＩＰアドレス９０２、そのポート番号９０３、通信相手のうちの他方であるサーバのＩＰアドレス９０４、そのポート番号９０５、および通信状態９０６を対応づけたレコードの集合体となっている。本実施形態では通信状態９０６は「通信中」または「切断中」のいずれかであるものとするが、たとえばハンドシェークの開始など、通信コネクションの確立、切断など各種の通信に関する状態を通信状態９０６に設定するようにしてもよい。この通信履歴テーブル９００のレコード数は可変であり、登録されてから一定時間が経過したレコードは消去される。

---設定時入力部の詳細---
次に、図１２〜１４を用いて設定時入力部１１１について説明する。設定時入力部１１１は、予めシステム管理者から情報の入力を受け付けてネットワーク構成ＤＢ１３１に登録する。図１２〜１４は本実施形態の設定時入力部１１１がシステム管理者からの情報の入力を受け付けるためのインターフェイス例１〜３（画面１０００、１０１０、１０２０）をそれぞれ示す図である。設定時入力部１１１は、スイッチ情報入力画面１０００、サーバ情報入力画面１０１０、およびダミーサーバ用ホスト入力画面１０２０の３つの画面をタブ形式にて一体に提供可能である。システム管理者は、この画面１０００、１０１０、１０２０のうち希望の画面についてタブ１０３０によって選択できる。

システム管理者は、こうした設定時入力部１１１を通して、制御対象ネットワークの構成情報をネットワーク構成ＤＢ１３１に入力する。設定時入力部１１１は、スイッチ情報入力画面１０００、サーバ情報入力画面１０１０、およびダミーサーバ用ホスト入力画面１０２０にて入力された情報を、それぞれスイッチテーブル４００、サーバテーブル４１０、およびダミーサーバ構築用ホストテーブル４２０に格納する。

---インシデント時入力部の詳細---
次に、図１５を用いてインシデント時入力部１１２について説明する。図１５は本実施形態のインシデント時入力部１１２がシステム管理者から情報の入力を受け付けるためのインターフェイス例（画面１１００、１１１０）を示す図である。

インシデント時入力部１１２が提供する現在状況画面１１００では、システム管理者はインシデント対応中の案件について現在の状況を確認できる。現在状況画面１１０はＩＰアドレス一覧１１０１および隔離状態一覧１１０２を含む。ＩＰアドレス一覧１１０１は、マルウェア感染端末のＩＰアドレスをプルダウン形式で選択可能としたものである。具体的には、インシデント時入力部１１２は、各クライアント端末１５６、１５７のＩＰアドレスのうち、通信路管理ＤＢ１３４の通信路テーブル７００において当該ＩＰアドレスに対応する隔離設定７０６が「隔離」となっているものをＩＰアドレス一覧１１０１に選択可能に設定する。

システム管理者が、インシデント対応中のクライアント端末すなわちマルウェア感染端末１５６をＩＰアドレス一覧１１０１から選択すると、インシデント時入力部１１２は、選択されたＩＰアドレスとクライアントＩＰアドレス７０２とが一致するレコードを通信路管理ＤＢ１３４の通信路テーブル７００から読み取って、読み取ったレコードに基づいて、該当する通信路の状況を隔離状態一覧１１０２に表示する。図１５の例では、サーバＩＰアドレス７０４に対応するホスト名が接続先サーバとして表示され、これに対応付けて現在状態７０７が表示されている。

また、この隔離状態一覧１１０２は、各通信路について「隔離中止」ボタン１１０３を備え、システム管理者がこれを押下することで、インシデント時入力部１１２は、該当クライアント・サーバ間の通信路に関して、上述の通信路テーブル７００での現在状態７０７を「隔離復帰状態」に、隔離設定７０６を「隔離しない」にそれぞれ遷移させる。あるクライアント端末１５６について、全ての通信路の復帰が完了した場合、インシデント対応完了となり、インシデント時入力部１１２は、該当クライアント端末１５６のＩＰアドレスをＩＰアドレス一覧１１０１のプルダウンメニューから取り除く。一方、システム管理者が新たなインシデントを入力する場合、「新規作成」ボタン１１０４を押すことで、インシデント時入力部１１２は、新規インシデント入力画面１１１０を表示させる。

他方、新規インシデント入力画面１１１０において、インシデント入力部１１２は、ネットワーク構成ＤＢ１３１のサーバテーブル４１０を参照し、サーバ一覧１１１２を表示する。このうち隔離設定のデフォルト値は、デフォルト隔離設定４１４に従う。

システム管理者は、入力欄１１１１にインシデント対応の対象となるクライアント端末１５６のＩＰアドレスを入力し、サーバ一覧１１１２に該当クライアント端末１５６から各サーバへの隔離設定と、ダミーサーバを動作させるダミーサーバ構築用ホスト１５４の割り当て（隔離先）とを入力する。その後、システム管理者が「決定」ボタン１１１３を押すことで、インシデント入力部１１２は、入力されたクライアント端末１５６のＩＰアドレスと各サーバへの隔離設定を、新たなインシデント案件として、インシデントテーブル５００、ダミーサーバテーブル６００、通信路テーブル７００に登録する。その後、インシデント時入力部１１２は、上述した現在状況画面１１００を表示する。また、システム管理者が「戻る」ボタン１１１４を押した場合、入力内容はキャンセルされ、インシデント時入力部１１２は現在状況画面１１００を表示する。

---ネットワーク制御方法のフロー例---
以下、本実施形態におけるネットワーク制御方法について説明する。以下で説明するネットワーク制御方法に対応する各種動作は、ネットワーク制御システム１０を構成する各情報処理装置すなわちネットワーク切り替え制御サーバ１０１とネットワーク監視サーバ１０２とがその各メモリ２０２に読み出してプログラムを実行することによって実現される。そして、このプログラムは、以下に説明される各種の動作を情報処理装置に行わせるためのコードから構成されている。

図１６、１７は、本実施形態におけるネットワーク制御方法の処理手順例を示すフロー図である。上述してきたようにネットワーク制御システム１０は、ネットワーク切り替え制御サーバ１０１とネットワーク監視サーバ１０２とで構成され、ネットワーク監視サーバ１０２は常時稼働しており、ネットワーク切り替え制御サーバ１０１はネットワーク構成変更時またはマルウェア感染の発生時などインシデント対処時のみ処理を行う運用になっていることを想定する。

このうちネットワーク監視サーバ１０２では、図１６に示すように、通信状態取得部１１８は、常時、制御対象ネットワークにおける通信状態を取得する処理（ステップ１２０１）と、通信開始および終了情報を記録する処理と（ステップ１２０２）の各処理を実行している。通信状態取得の処理（ステップ１２０１）では、スイッチ１５１は、制御対象ネットワークから通信路１９２にパケットをミラーし、通信状態取得部１１８は、ミラーされるパケットを通信インターフェイス１９４を介して取得する。その後、通信開始および終了情報の記録処理（ステップ１２０２）において、通信状態取得部１１８は、ステップ１２０１で取得したパケットのうち通信の開始と終了にあたるものを抽出して、該当パケットの情報を通信状態の情報として通信履歴ＤＢ１３６の通信履歴テーブル９００に格納する。

他方、ネットワーク切り替え制御サーバ１０１では、図１７に示すように、設定時入力部１１１は、システム管理者によりネットワーク構成が変更された場合に、その内容を受け付けて、ネットワーク構成ＤＢ１３１を更新するネットワーク構成情報更新（ステップ１２２１）を実行する。本ステップ１２２１の処理は、本実施形態ではシステム管理者の入力により開始する。

また、図１８に示すように、クライアント端末１５６、１５７とサーバ１５２、１５３との間でインシデントが発生していない通常状態１２１０において、インシデント発生に伴うシステム管理者からの隔離指令をインシデント時入力部１１２にて受けたネットワーク切り替え制御サーバ１０１は、その対処としてマルウェアに感染したクライアント端末１５６に関する隔離実行処理（ステップ１２１１）を実行する。これによりクライアント端末１５６、１５７とサーバ１５２、１５３との間での通信は隔離状態に遷移する。その後、システム管理者からの該当クライアント端末１５６、１５７に関する復帰指令をインシデント時入力部１１２にて受けた場合には、クライアント端末１５６、１５７の隔離状態からの復帰処理（ステップ１２１２）を実行する。これによりクライアント端末１５６、１５７とサーバ１５２、１５３との間での通信は通常状態に遷移する。

上述のうち隔離実行処理（ステップ１２１１）は、ネットワーク切り替え制御サーバ１０１が、インシデント対処時に、マルウェアに感染した疑いのあるクライアント端末１５６から各サーバ１５２〜１５３への通信をダミーサーバへ誘導するよう、ネットワーク上のスイッチ１５１および仮想スイッチ１６１の設定を変更する処理である。本ステップ１２１１の処理は、本実施形態ではシステム管理者からの隔離実行指令により開始するが、これは一例であり、例えばマルウェア検知システムからのアラートにより開始するようにしても良い。本ステップ１２１１の処理は、図２０に関する説明の際に詳しく述べる。

なお、システム管理者は、インシデント時入力部１１２を介して、隔離対象のクライアント端末１５６の情報や、各サーバ１５２〜１５３への隔離設定を入力するものとする。一方、ネットワーク切り替え制御サーバ１０１は、システム管理者の入力情報に従い、ダミーサーバを起動して、各通信路の状態を確認しながら適切なタイミングを判定して、スイッチ１５１および仮想スイッチ１６１の設定を順次変更する。

一方、復帰処理（ステップ１２１２）は、ネットワーク切り替え制御サーバ１０１が、インシデント対処時に、マルウェアの調査・対処を終えたクライアント端末１５６からの通信について、ダミーサーバ１６２へ誘導するスイッチ１５１および仮想スイッチ１６１の設定を解除する処理である。なお、復帰処理の詳細については後述する。本ステップ１２１２の処理は、本実施形態ではシステム管理者からの復帰指令により開始するが、これは一例である。

---ステップ１２１１の詳細フロー例---
次に、インシデント対処時のフロー詳細について図に基づき説明する。

まず図１９を用いて、上述のステップ１２１１の隔離実行処理の詳細について説明する。インシデント時制御部１１３は、インシデント時入力部１１２から、特定のクライアント端末１５６を隔離する指令を受信する。なお、インシデント時入力部１１２において上述の指令を受け付けるインターフェイスは、図１５にて既に例示したように、新規インシデント入力画面１１１０となる。具体的には、ここで受信する情報は、隔離するクライアント端末１５６のＩＰアドレス（新規インシデント入力画面１１１０の入力欄１１１１で受け付けたもの）と、各サーバ１５２〜１５３への通信許可の設定情報（新規インシデント入力画面１１１０のサーバ一覧１１１２で受け付けた隔離設定および隔離先の各情報）となる。インシデント時制御部１１３は、上述のように受信した各情報のうち、例えば隔離対象たる感染クライアント端末１５６のＩＰアドレスを一つのインシデントの情報として、インシデントテーブル５００にレコードを追加して格納する（ステップ１３０１）。

続いてインシデント時制御部１１３は、インシデント時入力部１１２から受信した各サーバ１５２〜１５３への通信許可の設定情報を参照し、この設定情報において例えば隔離設定が「隔離」で隔離先が「ダミー２」などと指定されているように、ダミーサーバを利用した隔離処理が指定されていた場合、「隔離先」として指定された、すなわち起動する必要があるダミーサーバについて、ダミーサーバの設定情報としてネットワーク構成ＤＢ１３１のサーバテーブル４１０（図４）から該当サーバに関するイメージファイル４１７の情報を、ダミーサーバを動作させるプラットフォームとなるホストの情報としてダミーサーバ構築用ホストテーブル４２０（図５）からホスト管理用のＩＰアドレス４２２を、それぞれ読み出してダミーサーバ管理部１１６に通知する（ステップ１３０２）。

ダミーサーバ管理部１１６は、インシデント時制御部１１３から受信した上述の情報に従って、ダミーサーバ制御部１１７に対し、該当情報でホスト管理用のＩＰアドレス４２２が割り当てられたホスト上で、仮想計算機としてダミーサーバを起動し（仮想計算機としてダミーサーバを起動する手法については、仮想計算機に関する既存技術を採用すればよく、ここでは説明を省略する。）、指定されたイメージファイルをこのダミーサーバに読み込ませて設定するよう指示を出す。またダミーサーバ管理部１１６は、起動するダミーサーバの一覧をダミーサーバ管理ＤＢ１３３のダミーサーバテーブル６００（図７）に格納し、現在状態６０６を「起動・設定中」とする。ダミーサーバ制御部１１７は、ダミーサーバの起動設定が終了した場合に、ダミーサーバの起動・設定に関する完了通知をダミーサーバ管理部１１６に送信する（ステップ１３０３）。

またダミーサーバ管理部１１６は、ダミーサーバ制御部１１７からのダミーサーバの起動・設定に関する完了通知を受信し、この完了通知を、上述の設定が完了したダミーサーバから順次、インシデント時制御部１１３に転送する。設定が完了したダミーサーバについては、ダミーサーバ管理部１１６が、ダミーサーバ管理ＤＢ１３３のダミーサーバテーブル６００の該当するレコードの現在状態６０６を「動作中」に更新する（ステップ１３０４）。

一方、インシデント時制御部１１３は、ダミーサーバ管理部１１６から上述の完了通知を受けたダミーサーバについて、通信路管理部１１４に対し隔離指示を出す（ステップ１３０５）。

通信路管理部１１４は、インシデント時制御部１１３からの隔離指示を受け、隔離するクライアント端末１５６から特定のサーバへの通信を、指定されたダミーサーバに誘導するよう、スイッチ１５１および仮想スイッチ１６１の設定を変更する。処理終了後、通信路管理部１１４は、インシデント時制御部１１３に処理結果を通知する（ステップ１３０６）。本ステップ１３０６の処理は、続く図２０に関する説明の際に詳しく述べる。

最後にインシデント時制御部１１３は、上述の通信路管理部１１４からの結果通知を受け、該当結果をインシデント時入力部１１２に送り、上述の現在状況画面１１００にて表示する（ステップ１３０７）。この現在状況画面１１００にてシステム管理者はインシデント対応中の案件について現在の状況を確認できる。

---ステップ１３０６の詳細フロー例---
次に図２０を用いて、通信路管理部１１４による上述のステップ１３０６の詳細について説明する。この場合、通信路管理部１１４は、上述の隔離指令を受信し（ステップ１４０１）、隔離指令が示す、隔離対象のクライアント端末１５６およびこのクライアント端末１５６の通信相手となるサーバの各ＩＰアドレス７０２、７０４を通信路テーブル７００（図８）から取得し、また、上述のステップ１３０３で起動済みのダミーサーバが接続されているスイッチ１５１および仮想スイッチ１６１のＩＤ６０４をダミーサーバテーブル６００（図７）から取得する。

次に通信路管理部１１４は、ステップ１４０１で得られたサーバ・クライアントの組み合わせの数だけ通信路制御部１１５を起動し、通信路管理ＤＢ１３５の通信路テーブル７００にクライアント端末１５６とダミーサーバ１６２との間の通信路に係るレコードを追加する。更に、各サーバ・クライアント間の通信を通信路制御部１１５に割り振り、割り振ったサーバおよびクライアントを通信路制御部１１５に通知する。以降、特定のクライアント・サーバ間での通信を、通信路制御部１１５が担当する通信とする（ステップ１４０２）。

続いて通信路制御部１１５は、通信路管理部１１４からの通知を受け、通信履歴ＤＢ１３６の通信履歴テーブル９００から、通信履歴の情報を取得する。この通信履歴から、通信路制御部１１５が担当するサーバ・クライアントの間の通信を抽出し、現在の通信状態が通信中か否かを判定する。通信中であれば、通信終了まで待機し、通信履歴ＤＢ１３６の該当レコードが更新された時点でネットワーク切り替えを実行する。通信中でなければ即座にネットワーク切り替えを実行する。ネットワーク切り替え終了後、通信路制御部１１５は、通信路管理部１１４に、切り替え終了を通知する（ステップ１４０３）。本ステップ１４０３の処理は、続く図２１に関する説明の際に詳しく述べる。

最後に通信路管理部１１４は、通信路制御部１１５からの通知を受け、ネットワーク切り替えの終了をインシデント時制御部１１３に通知する（ステップ１４０４）。

---ステップ１４０３の詳細フロー例---
次に図２１を用いて、通信路制御部１１５における、スイッチ制御部１２１およびパケット処理部１２２によるステップ１４０３の詳細を説明する。

まず、スイッチ制御部１２１は、通信路管理部１１４から通信路制御部１１５へ通知されたサーバ・クライアント間の通信に対し、ネットワーク切り替えを行う指令を受信する（ステップ１５０１）。以下、前記通信路制御部１１５が担当するサーバ・クライアントの組み合わせを、サーバ１５２およびクライアント端末１５６とする。また、前記ステップ１３０３にて起動したダミーサーバのうち、サーバ１５２に対応するものとしてダミーサーバ１６２が設定されているものとする。

ここで、スイッチ制御部１２１は、通信路１９１を介してスイッチ１５１からのパケットを受信した場合に当該パケットを本来の送信先へ転送する指示とともにスイッチ１５１に返送するようにパケット処理部１２２を設定する（ステップ１５０２）。

更に、スイッチ制御部１２１は、通信インターフェイス１９３、通信経路１９１を介し、ネットワーク切り替えのため設定変更が必要な各スイッチ（ここではスイッチ１５１および仮想スイッチ１６１）に設定変更指令を送信する（ステップ１５０３）。ここでの設定変更指令は、スイッチ１５１に対しては、通信路制御部１１５が担当するサーバ１５２およびクライアント端末１５６間の通信パケットがスイッチ１５１に入力された時、スイッチ１５１にてパケットヘッダの情報を照合することで該当するパケット（送信元および送信先のＩＰアドレスのいずれかにクライアント端末１５６のＭＡＣアドレスが設定されているパケット）を抽出し、本来の送信先へ出力する代わりに、通信路１９１を介して通信路制御部１１５へ送信するよう設定するものである。なお、仮想スイッチ１６１に対しては、当該クライアント端末１５６からサーバ１５２へのパケット（送信先にサーバ１５２のＩＰアドレスが設定されているパケット）をダミーサーバ１６２に送信するよう設定する。すなわち、スイッチ制御部１２１は、クライアント端末１５６とサーバ１５２との間に介在するスイッチのそれぞれについて、物理スイッチはパケットを通信路制御部１１５へ送信するように設定し、仮想スイッチはパケットをダミーサーバ１６２に送信するように設定することになる。

次に、スイッチ制御部１２１は、所定時間待機する（ステップ１５０４）。この所定時間は、上記設定変更指令がスイッチ１５１および仮想スイッチ１６１に伝達され、各スイッチ内での処理に反映されるまでの時間であり、切り替え設定ＤＢ１３５の切り替えパラメタテーブル８００（図９）にあらかじめ格納されており、スイッチ制御部１２１は切り替えＤＢ１３５を参照することでこの値を取得することができるものとする。

スイッチ制御部１２１は、前記ステップ１５０４にて所定時間待機した後、通信履歴ＤＢ１３６の通信履歴テーブル９００を参照することで、待機中にクライアント端末１５６からサーバ１５２へ通信が発生したか否かを確認する（ステップ１５０５、ステップ１５０６）。通信が発生したか否かは、例えば、通信履歴テーブル９００において、更新時刻９０１がスイッチ制御部１２１が設定変更指令をスイッチに送信した時刻より後であり、クライアントＩＰアドレス９０２及びサーバＩＰアドレス９０５がクライアント端末１５６及びサーバ１５２のＩＰアドレスであり、通信状態９０６が「通信中」であるものが登録されているか否かにより判定するようにすることができる。なお、通信履歴テーブル９００の通信状態９０６に代えて、パケットの送信元及び送信先を管理するようにし、クライアント端末１５６からサーバ１５２へのパケットが転送されたか否かにより判定するようにしてもよい。また、クライアント端末１５６からサーバ１５２へのパケットが送信された後に、サーバ１５２からクライアント端末１５６にハンドシェイクの成功を示す情報（例えばＳＹＮ、ＡＣＫなど）が送信されたか否かにより、通信が開始したか否かを判定するようにしてもよい。

通信が発生していなかった場合（ステップ１５０６：ｎｏ）、パケット処理部の設定変更（ステップ１５０８）へ進む。通信が発生していた場合（ステップ１５０６：ｙｅｓ）、スイッチ制御部１２１は、パケット処理部１２２からの通信終了通知を待機し、通知を受信してから（ステップ１５０７）、パケット処理部の設定変更（ステップ１５０８）へ進む。

スイッチ制御部１２１は、通信路１９１を介してスイッチ１５１からのパケットを受信した場合に当該パケットをクライアント１５６およびダミーサーバ１６２間の通信になるよう転送する指示とともにスイッチ１５１に返送するようにパケット処理部１２２を設定する（ステップ１５０８）。

次に、スイッチ制御部１２１は、通信路１９１を介してスイッチ１５１に設定変更指令を送信する（ステップ１５０９）。ここでの設定変更指令の内容は、クライアント端末１５６からサーバ１５２への通信を、ダミーサーバ１６２へ誘導するものである。すなわち、パケット処理部１２２及びスイッチ１５１に対して、クライアント端末１５６からサーバ１５２へ送信されたパケットについては、スイッチ１５１にてパケットヘッダの情報を照合することで抽出し、パケットヘッダの宛先ＭＡＣアドレス部を、サーバ１５２のものからダミーサーバ１６２のものに変更し、仮想スイッチ１６１に接続された物理ポートから出力するように設定する。同様に、パケット処理部１２２及びスイッチ１５１に対して、ダミーサーバ１６２からクライアント端末１５６への応答パケットについては、パケットヘッダの送信元ＭＡＣアドレス部を、ダミーサーバ１６２のものからサーバ１５２のものに変更し、クライアント端末１５６が接続されたネットワークに出力するように設定する。

次に、スイッチ制御部１２１は、所定時間待機する（ステップ１５１０）。この所定時間は、上記設定変更指令がスイッチ１５１に伝達され、スイッチ１５１の内部処理に反映されるまでの時間であり、切り替えＤＢ１３５の切り替えパラメタテーブル８００（図９）にあらかじめ格納されており、通信路制御部１１５は切り替えＤＢ１３５を参照することでこの値を取得するできるものとする。

最後に、スイッチ制御部１２１は、通信路管理部１１４へ、処理の終了を通知する（ステップ１５１１）。

一方、パケット処理部１２２は、ステップ１５０３においてスイッチ制御部１２１から送信された設定変更指令を受信し、通信路１９１を介してスイッチ１５１から送信されてくるパケットを、本来の送信先へ出力する指示とともにスイッチ１５１へ返送するよう自身を設定する（ステップ１５２１）。その後、パケット処理部１２２は、前記ステップ１５２１で設定した通り、通信路１９１を介してスイッチ１５１から送信されてくるパケットを、本来の送信先へ出力する指示とともにスイッチ１５１へ返送する（ステップ１５２２）。ここで、パケット処理部１２２は、スイッチ１５１から送信されてくるパケットを分析し、ＴＣＰヘッダにおけるＲＳＴまたはＦＩＮフラグを確認することで、通信の終了を判別する（ステップ１５２３）。通信が終了していない場合（ステップ１５２３：ｎｏ）、ステップ１５２２に戻り、パケット処理部１２２は次のパケットの処理を行う。通信が終了した場合（ステップ１５２３：ｙｅｓ）、パケット処理部１２２は、スイッチ制御部１２１に通信終了の通知を送信する（ステップ１５２４）。

また、パケット処理部１２２は、ステップ１５０８においてスイッチ制御部１２１から送信された設定変更設定を受信し、通信路１９１を介してスイッチ１５１から送信されてくるパケットを、クライアント端末１５６およびダミーサーバ１６２間の通信になるよう出力する指示とともにスイッチ１５１へ返送するよう自身を設定する（ステップ１５２５）。その後、パケット処理部１２２は、前記ステップ１５２５で設定した通り、クライアント端末１５６からサーバ１５２へ送信されたパケットについては、パケットヘッダの宛先ＭＡＣアドレス部を、サーバ１５２のものからダミーサーバ１６２のものに変更し、仮想スイッチ１６１に接続された物理ポートから出力する。ダミーサーバ１６２からクライアント端末１５６への応答パケットについては、パケットヘッダの送信元ＭＡＣアドレス部を、ダミーサーバ１６２のものからサーバ１５２のものに変更し、クライアント端末１５６が接続されたネットワークに出力する（ステップ１５２６）。

---ステップ１２１２の詳細フロー例---
最後に、復帰処理（ステップ１２１２）について説明する。上述のようにしてクライアント端末１５６をネットワークから隔離した後、クライアント端末１５６の調査が終わり、マルウェアを削除してクライアント端末１５６を安全な状態にした後で、ネットワーク設定を初期状態に戻す。

システム管理者は、インシデント時入力部１１２から、当該クライアント端末１５６について、隔離中止の指令を入力し、通信路制御部１１５は、これを受け（ステップ１６０１）、通信路１９１を経由して各スイッチ１５１、１６１に、ステップ１５０９にてスイッチに設定した内容を削除する指令を送信する。これによりスイッチ１５１，１６１の設定が初期状態に戻り、クライアント端末１５６と各サーバ１５２〜１５３の通信経路が確保される（ステップ１６０２）。なお、通信路管理部１１４は、通信路管理ＤＢ１３４から当該クライアント端末１５６とダミーサーバ１６２との通信路に相当するレコードを消去する。更に、通信路制御部１１５は、ダミーサーバ１６２を指定してダミーサーバを停止する旨の通知をダミーサーバ管理部１１６に送信する（ステップ１６０３）。

ダミーサーバ管理部１１６は、通信路制御部１１５から受信した通知に従って、ダミーサーバ制御部１１７に対し、指定されたダミーサーバ１１６を停止するように指示する。ダミーサーバ制御部１１７は、指示に応じてダミーサーバ構築用ホスト１５４に、当該クライアント１５６に割り当てられていたダミーサーバ１６２を停止、消去する命令を送信して、ダミーサーバをダミーサーバ構築用ホスト１５４から削除する（ステップ１６０４）。なお、仮想計算機としてのダミーサーバの実行を停止する処理については、仮想計算機に関する既存技術を採用すればよく、ここでは説明を省略する。ダミーサーバ管理部１１６は、ダミーサーバ管理ＤＢ１３３のダミーサーバテーブル６００から当該ダミーサーバ１６２に相当するレコードを消去する（ステップ１６０５）。ダミーサーバ管理部１１６は、ダミーサーバ１１６の停止が完了した旨を通信路制御部１１５に送信し（ステップ１６０６）、通信路制御部１１５は完了通知を受信して処理を終了する（ステップ１６０７）。

---その他の例---
上述までの実施形態では、ネットワーク切り替え時に、クライアント端末１５６からの通信パケットがパケット処理部１２２を経由する状態を作り、ネットワーク切り替えの最中に、クライアント端末１５６からの通信が発生した場合、パケット処理部１２２の処理設定を維持することでネットワーク切り替えの途中の状態を保ち、通信終了を確認してからネットワーク切り替えを再開する方法を説明した。一方、ネットワーク切り替えの最中に、クライアント端末からの通信が発生した場合、クライアント端末１５６からの通信パケットがパケット処理部１２２を経由する状態を解除する形態を採用することもできる。

この形態において、ネットワーク制御システム１０の各構成については上述のまでの実施形態と同様であるが、スイッチ制御部１２１およびパケット処理部１２２での処理に関して相違がある。例えば、上述のステップ１５０６、ステップ１５０７（図２１）において、スイッチ制御部１２１は、クライアント端末１５６からの通信発生を確認した場合、パケット処理部１２２からの通信終了通知を待機する代わりに、スイッチ１５１に、通常通りサーバ１５２およびクライアント端末１５６間で通信が成立するように、パケットを処理するよう設定変更指示を送信する。この場合、スイッチ制御部１２１は通信履歴ＤＢ１３６の通信履歴テーブル９００を定期的に参照することでクライアント端末１５６の通信終了を確認し、改めてステップ１５０２から処理を進めることで、最終的にネットワーク切り替えを完了する。

この形態は、例えば、同時に多数のクライアント端末を隔離する必要があり、パケット処理部１２２に大量のパケットが流入して、パケット処理部１２２の負荷が高まることが想定される場合などに好適である。

こうした本実施形態のネットワーク制御システム１０によれば、通信が切断されているタイミングでスイッチ１５１の設定を変更してマルウェア感染端末の通信先をダミーサーバに設定することができる。これにより、マルウェアに感染した端末を、該当マルウェアに検知されずにネットワークから隔離し、ひいてはマルウェアの活動を維持したままマルウェアの調査が可能となる。従って本実施形態によれば、マルウェアに察知されずに感染端末の隔離及びマルウェアの調査が可能となる。

また、本実施形態のネットワーク制御システム１０では、スイッチ１５１からのパケットをパケット処理部１２２に転送するように設定し、パケット処理部１２２が送信先をサーバ１５２のままにスイッチ１５１に返送するようにしている。パケット処理部１２２の設定変更は瞬時に終了する一方で、スイッチ１５１に設定が反映されるまでには時間がかかるところ、本実施形態のネットワーク制御システム１０によれば、パケット処理部１２２にパケットを転送するようにスイッチ１５１を設定したとしても、設定変更の反映前のパケットはスイッチ１５１を介してサーバ１５２に送信され、設定変更反映後のパケットはパケット処理部１２２に転送されてパケット処理部１２２からサーバ１５２に送信されるように制御処理が行われるため、いずれもサーバ１５２にパケットが送信されるようになり、クライアント端末１５６とサーバ１５２との間の通信に何ら影響がない。したがって、ネットワーク制御システム１０の動作をマルウェアに察知されないようにすることができる。

そのうえで、本実施形態のネットワーク制御システム１０では、スイッチ１５１の設定をさらに変更してクライアント端末１５６からのパケットをダミーサーバ１６２に転送するようにし、パケット処理部１２２もそれに伴いパケットをダミーサーバ１６２に転送するようにしている。したがって、上記と同様に、設定変更の反映前のパケットはスイッチ１５１を介してダミーサーバ１６２に送信され、設定変更反映後のパケットはパケット処理部１２２に転送されてパケット処理部１２２からダミーサーバ１６２に送信されるように制御処理が行われるため、いずれもダミーサーバ１６２にパケットが送信されるようになる。したがって、スイッチ１５１の設定の反映に時間がかかったとしても、確実にパケットを望む送信先に転送するようにすることができる。これにより、マルウェアに検知されずにパケットのルーティングを変更することができる。

また、本実施形態のネットワーク制御システム１０では、クライアント端末１５６からのパケットをダミーサーバ１６２に転送するようにスイッチ１５１の設定を変更した後、所定時間（スイッチ１５１に設定が反映されるまでの時間）経過後に通信が終了したか否かを判定するようにしている。これにより、スイッチ１５１の設定が反映された後に確実に通信が切断されていることを確認することができる。これにより、確実にネットワーク制御システム１０の動作をマルウェアに察知されないようにすることができる。

また、本実施形態の変形例では、スイッチ１５１の設定変更の反映までに新たな通信発生が確認された場合には、通常どおりの通信、すなわちクライアント端末１５６とサーバ１５２との間の通信を継続させるようにする。この場合、新たな通信において大量のパケットが送受信された場合に、パケット処理部１２２を介した通信では処理負荷が過大なる可能性があるところ、このような負荷を低減することができる。

以上、本発明を実施するための最良の形態などについて具体的に説明したが、本発明はこれに限定されるものではなく、その要旨を逸脱しない範囲で種々変更可能である。

１０ ネットワーク制御システム
１０１ ネットワーク切り替え制御サーバ
１０２ ネットワーク監視サーバ
１１１ 設定時入力部
１１２ インシデント時入力部
１１３ インシデント時制御部
１１４ 通信路管理部
１１５ 通信路制御部
１１６ ダミーサーバ管理部
１１７ ダミーサーバ制御部
１１８ 通信状態取得部
１２１ スイッチ制御部
１２２ パケット処理部
１３１ ネットワーク構成ＤＢ
１３２ インシデント管理ＤＢ
１３３ ダミーサーバ管理ＤＢ
１３４ 通信路管理ＤＢ
１３５ 切り替え設定ＤＢ
１３６ 通信履歴ＤＢ
１３７ 監視設定ＤＢ
１５１ スイッチ
１５２、１５３ サーバ
１５４ ダミーサーバ構築用ホスト
１５５ ハブ
１５６、１５７ クライアント端末
１６１ 仮想スイッチ
１６２、１６３ ダミーサーバ
１９１、１９２ 通信路
１９３、１９４ 通信インターフェイス
１９５ インターネット
１９６ ネットワーク
２０１ ＣＰＵ
２０２ メモリ
２０３ 記憶装置
２０４ 通信部
２０５ 入力部
２０６ 出力部
２０７ バス
４００ スイッチテーブル
４１０ サーバテーブル
４２０ ダミーサーバ構築用ホストテーブル
５００ インシデントテーブル
６００ ダミーサーバテーブル
７００ 通信路テーブル
８００ 切り替えパラメタテーブル
８１０ 監視パラメタテーブル
９００ 通信履歴テーブル

Claims (9)

1. 第１のサーバとクライアント端末とがスイッチで接続されたネットワークを制御するネットワーク制御システムであって、
   インシデント対応が必要な前記クライアント端末であるインシデント端末の指定を受け付ける入力部と、
   前記第１のサーバと前記インシデント端末との間の通信が終了したか否かを判定する通信終了判定部と、
   前記インシデント端末が送信元として設定されたパケットを前記ネットワーク制御システムに送信するように前記スイッチを設定するスイッチ制御部と、
   前記スイッチから前記パケットを受信した場合に前記パケットを前記第１のサーバに送信する旨の指示を付帯させて前記スイッチに返送するパケット処理部とを備え、
   前記通信が終了した場合に、前記スイッチ制御部は、前記パケットを、前記第１のサーバとは異なる第２のサーバに転送するように前記スイッチを設定し、前記パケット処理部は、前記スイッチから受信した前記パケットを前記第２のサーバに送信する旨の指示を付帯させて前記スイッチに返送するようにする、
   ことを特徴とするネットワーク制御システム。
2. 請求項１に記載のネットワーク制御システムであって、
   前記通信終了判定部は、前記スイッチ制御部が前記パケットを前記第２のサーバに転送するように前記スイッチを設定した後、所定時間経過後に前記通信が終了したか否かを判定すること、
   を特徴とするネットワーク制御システム。
3. 請求項１に記載のネットワーク制御システムであって、
   前記通信が終了したと判定された後、前記パケット処理部が前記スイッチから前記パケットを受信した場合、前記スイッチ制御部は、前記パケットを前記第１のサーバに転送するように前記スイッチを設定し、前記パケット処理部は、前記スイッチから前記パケットを受信した場合に前記パケットを前記第１のサーバに送信する旨の指示を付帯させて前記スイッチに返送するようにすること、
   を特徴とするネットワーク制御システム。
4. 第１のサーバとクライアント端末とがスイッチで接続されたネットワークを制御する方法であって、
   コンピュータが、
   インシデント対応が必要な前記クライアント端末であるインシデント端末の指定を受け付けるステップと、
   前記第１のサーバとクライアント端末との間の通信が終了したか否かを判定するステップと、
   前記インシデント端末が送信元として設定されたパケットを前記コンピュータに送信するように前記スイッチを設定するステップと、
   前記スイッチから前記パケットを受信した場合に前記パケットを前記第１のサーバに送信する旨の指示を付帯させて前記スイッチに返送するステップとを実行し、
   前記通信が終了した場合に、前記パケットを、前記第１のサーバとは異なる第２のサーバに転送するように前記スイッチを設定し、前記スイッチから受信した前記パケットを前記第２のサーバに送信する旨の指示を付帯させて前記スイッチに返送するようにする、
   ことを特徴とするネットワーク制御方法。
5. 請求項４に記載のネットワーク制御方法であって、
   前記コンピュータは、前記パケットを前記第２のサーバに転送するように前記スイッチを設定した後、所定時間経過後に前記通信が終了したか否かを判定するステップを実行すること、
   を特徴とするネットワーク制御システム。
6. 請求項４に記載のネットワーク制御方法であって、
   前記コンピュータは、前記通信が終了したと判定された後、前記スイッチから前記パケットを受信した場合、前記パケットを前記第１のサーバに転送するように前記スイッチを設定するステップと、前記スイッチから前記パケットを受信した場合に前記パケットを前記第１のサーバに送信する旨の指示を付帯させて前記スイッチに返送するようにするステップとを実行すること、
   を特徴とするネットワーク制御システム。
7. 第１のサーバとクライアント端末とがスイッチで接続されたネットワークを制御するためのプログラムであって、
   コンピュータに、
   インシデント対応が必要な前記クライアント端末であるインシデント端末の指定を受け付けるステップと、
   前記第１のサーバとクライアント端末との間の通信が終了したか否かを判定するステップと、
   前記インシデント端末が送信元として設定されたパケットを前記コンピュータに送信するように前記スイッチを設定するステップと、
   前記スイッチから前記パケットを受信した場合に前記パケットを前記第１のサーバに送信する旨の指示を付帯させて前記スイッチに返送するステップと、
   前記通信が終了した場合に、前記パケットを、前記第１のサーバとは異なる第２のサーバに転送するように前記スイッチを設定するステップと、
   前記スイッチから受信した前記パケットを前記第２のサーバに送信する旨の指示を付帯させて前記スイッチに返送するようにするステップと、
   を実行させるためのプログラム。
8. 請求項７に記載のプログラムであって、
   前記コンピュータに、前記パケットを前記第２のサーバに転送するように前記スイッチを設定した後、所定時間経過後に前記通信が終了したか否かを判定するステップを実行させること、
   を特徴とするプログラム。
9. 請求項７に記載のプログラムであって、
   前記コンピュータに、前記通信が終了したと判定された後、前記スイッチから前記パケットを受信した場合、前記パケットを前記第１のサーバに転送するように前記スイッチを設定するステップと、前記スイッチから前記パケットを受信した場合に前記パケットを前記第１のサーバに送信する旨の指示を付帯させて前記スイッチに返送するようにするステップとを実行させること、
   を特徴とするプログラム。

Images