JP2007174406A

JP2007174406A - Illegitimate access preventing apparatus and illegitimate access preventing program

Info

Publication number: JP2007174406A
Application number: JP2005370977A
Authority: JP
Inventors: Giichi Asano; 義一浅野; Hideyuki Amahisa; 英幸天久
Original assignee: Fujitsu Ltd
Current assignee: Fujitsu Ltd
Priority date: 2005-12-22
Filing date: 2005-12-22
Publication date: 2007-07-05
Anticipated expiration: 2025-12-22
Also published as: JP4767683B2

Abstract

PROBLEM TO BE SOLVED: To provide an illegitimate access preventing apparatus and an illegitimate access preventing program for preventing an illegitimate access that completely prevent the illegitimate access by disabling an access of an illegitimate terminal to the inside of a segment and an access to the outside of the segment. SOLUTION: The illegitimate access preventing apparatus including: a means for collating stored security information with security information attached to a main IP address to check the received security information when receiving communication of the main IP address attached with security information from a terminal on the basis of a temporary IP address and a MAC address of the terminal; a means for allocating the main IP address to the terminal when a result of the collation indicates OK; and a means for transmitting the allocated main IP address to the terminal being a request source on the basis of the temporary IP address and the MAC address of the terminal and making the terminal communicable with another terminal on the basis of the main IP address and the MAC address of the terminal, is provided between a segment and another segment. COPYRIGHT: (C)2007,JPO&INPIT

Description

本発明は、不正アクセスを防止する不正アクセス防止装置および不正アクセス防止プログラムに関するものである。 The present invention relates to an unauthorized access prevention device and an unauthorized access prevention program for preventing unauthorized access.

従来、ネットワークに接続された複数の端末がワームなどのウィルスに感染された端末からの感染を防ぐために、感染した端末のＩＰアドレスを調べて、その感染している端末が存在するセグメントにある他の端末が持つ当該感染端末のＭＡＣアドレスを書き換えることで、当該セグメント内の感染の拡大を防ぐ技術がある（特許文献１）。
特開２００５−２８６８７７号公報 Conventionally, in order to prevent multiple terminals connected to the network from being infected by a worm or other virus-infected terminal, the IP address of the infected terminal is examined, and other terminals in the segment where the infected terminal exists There is a technique for preventing the spread of infection in the segment by rewriting the MAC address of the infected terminal of the terminal (Patent Document 1).
JP 2005-286877 A

上述した技術では、セグメント内の他の端末へのアクセスを不可にして感染の拡大を防止できるが、しかし、感染端末が接続されているセグメント外にはアクセスできてしまい、充分な感染防止がされていないという問題があった。 With the technology described above, it is possible to prevent the spread of infection by disabling access to other terminals in the segment, but it is possible to access outside the segment to which the infected terminal is connected, thus preventing sufficient infection. There was a problem that not.

本発明は、これらの問題を解決するため、端末に仮ＩＰアドレスを付与してセキュリティ情報のチェックがＯＫのときに正ＩＰアドレスを付与して不正アクセスを防止すると共に、不正アクセスを監視して見つけたときに不正端末のＭＡＣアドレスを無効にすると共にファイアウォールが持つ定義テーブルの当該不正端末のＭＡＣアドレスを無効にして他のセグメントへのアクセスを不可にするようにしている。 In order to solve these problems, the present invention assigns a temporary IP address to a terminal and assigns a correct IP address when the security information check is OK to prevent unauthorized access, and monitors unauthorized access. When found, the MAC address of the unauthorized terminal is invalidated, and the MAC address of the unauthorized terminal in the definition table of the firewall is invalidated so that access to other segments is disabled.

本発明は、端末に仮ＩＰアドレスを付与してセキュリティ情報のチェックを行い、セキュリティ上の問題がないと判断したときに正ＩＰアドレスを付与して不正アクセスを防止すると共に、不正アクセスを監視して見つけたときに不正端末のＭＡＣアドレスを無効にすると共にファイアウォールが持つ定義テーブルの当該不正端末のＭＡＣアドレスを無効にして、不正端末からの他のセグメントへのアクセスを不可にすることにより、不正端末のセグメント内のアクセスおよびセグメント外へのアクセスを不可にして不正アクセスを完全に防止することが可能となる。 The present invention assigns a temporary IP address to a terminal to check security information, and when it is determined that there is no security problem, assigns a primary IP address to prevent unauthorized access and monitors unauthorized access. Invalidate the MAC address of the unauthorized terminal and disable the MAC address of the unauthorized terminal in the definition table of the firewall to disable access to other segments from the unauthorized terminal. It is possible to completely prevent unauthorized access by disabling access within the segment of the terminal and access outside the segment.

本発明は、端末に仮ＩＰアドレスを付与してセキュリティ情報のチェックがＯＫのときに正ＩＰアドレスを付与して不正アクセスを防止すると共に、不正アクセスを監視して見つけたときに不正端末のＭＡＣアドレスを無効にすると共にファイアウォールが持つ定義テーブルの当該不正端末のＭＡＣアドレスを無効にして他のセグメントへのアクセスを不可にし、不正端末のセグメント内のアクセスおよびセグメント外へのアクセスを不可にして不正アクセスを完全に防止することを実現した。 The present invention assigns a temporary IP address to a terminal and assigns a primary IP address when the security information check is OK to prevent unauthorized access, and monitors unauthorized access to detect the MAC of the unauthorized terminal. Invalidate the address and disable the MAC address of the unauthorized terminal in the definition table held by the firewall to disable access to other segments, and disable unauthorized access within the segment and access outside the segment. Realized that access was completely prevented.

図１は、本発明のシステム構成図を示す。
図１の（ａ）は、特定セグメントに専用装置３を設置する場合を示す。図１の（ａ）は、本発明に係る専用装置３を１つの特定セグメントと、他のセグメントとの間に接続（設置）したものであって、当該特定セグメント内のネットワークに接続された端末１から、当該特定セグメント内の他の端末１への不正アクセス、および他のセグメントの端末１への不正アクセスの両者を防止するものである。 FIG. 1 shows a system configuration diagram of the present invention.
(A) of FIG. 1 shows the case where the dedicated apparatus 3 is installed in a specific segment. (A) of FIG. 1 is a device in which the dedicated device 3 according to the present invention is connected (installed) between one specific segment and another segment, and is connected to a network in the specific segment. 1 prevents both unauthorized access to other terminals 1 in the specific segment and unauthorized access to terminals 1 of other segments.

図１の（ａ）において、端末１は、不正アクセスを防止する端末であって、ここでは、セグメントＡ（特定セグメント）に接続された端末であり、エージェント１１、クライアント情報１２、およびＡＲＰテーブル１３などから構成されるものである。 In FIG. 1A, a terminal 1 is a terminal that prevents unauthorized access, and here is a terminal connected to a segment A (specific segment), and includes an agent 11, client information 12, and an ARP table 13. Etc.

エージェント１１は、端末１にインストールしたものであって、端末１の不正アクセスを防止するためのもの（プログラム）である（図２から図７を用いて後述する）。 The agent 11 is installed in the terminal 1 and is a program (program) for preventing unauthorized access of the terminal 1 (described later with reference to FIGS. 2 to 7).

クライアント情報１２は、端末１が保持する情報（ハードウェア情報、ソフトウェア情報、セキュリティ情報、ＭＡＣアドレスなど）である（図５参照）。 The client information 12 is information (hardware information, software information, security information, MAC address, etc.) held by the terminal 1 (see FIG. 5).

ＡＲＰテーブル１３は、通信相手の端末のＩＰアドレス、ＭＡＣアドレスなどを登録して管理するテーブルである（図７の（ａ）参照）。 The ARP table 13 is a table for registering and managing the IP address, MAC address, and the like of the communication partner terminal (see FIG. 7A).

スイッチ２は、多数の端末１が相互に通信するための公知のスイッチ（宛先に向けてパケットを送信するもの）である。 The switch 2 is a well-known switch (a device that transmits a packet toward a destination) that allows a large number of terminals 1 to communicate with each other.

専用装置３は、本発明に係る装置であって、ここでは、１つの特定セグメント（セグメントＡ）と他のセグメントとの間に接続（設置）した装置であり、ＤＨＣＰサーバ３１、ＩＰ割当手段３２、定義書換手段３３、ファイアウォール３４などから構成されるものである。 The dedicated device 3 is a device according to the present invention, which is a device connected (installed) between one specific segment (segment A) and another segment, and includes a DHCP server 31 and an IP allocation means 32. , A definition rewriting unit 33, a firewall 34, and the like.

ＤＨＣＰサーバ３１は、公知のセグメント内の端末に一意のＩＰアドレスを割り当てて相互に通信可能にするものである。 The DHCP server 31 assigns a unique IP address to terminals in a publicly known segment so that they can communicate with each other.

ファイアウォール３４は、特定セグメントと、外部の他のセグメントの端末との間の不正アクセスを防止する公知のものである（図２から図８参照）。 The firewall 34 is a well-known firewall that prevents unauthorized access between a specific segment and a terminal in another external segment (see FIGS. 2 to 8).

図１の（ｂ）は、複数のセグメントと、他のセグメントとの間に専用装置３を設置する場合を示す。図１の（ｂ）は、本発明に係る専用装置３を複数のセグメントにそれぞれ設置（接続）したものであって、各セグメント内のネットワークに接続された複数の端末１が、当該各セグメント内の他の端末１への不正アクセス、および他のセグメントの端末１への不正アクセスの両者をそれぞれ防止するものである。端末１、専用装置３は、図１の（ａ）の端末１、専用装置３と同じであるので説明を省略する。 FIG. 1B shows a case where the dedicated device 3 is installed between a plurality of segments and other segments. FIG. 1 (b) shows a case where dedicated devices 3 according to the present invention are installed (connected) in a plurality of segments, and a plurality of terminals 1 connected to a network in each segment are connected to each segment. Both unauthorized access to the other terminal 1 and unauthorized access to the terminal 1 of another segment are prevented. The terminal 1 and the dedicated device 3 are the same as the terminal 1 and the dedicated device 3 in FIG.

次に、図２のフローチャートの順番に従い、図１の構成の動作を詳細に説明する。
図２は、本発明の動作説明フローチャートを示す。ここで、端末１は、エージェント１１、クライアント情報（ハードウェア情報、ソフトウェア情報、セキュリティ情報）１２、ＡＲＰテーブル１３から構成され、図１の端末１、エージェント１１、クライアント情報１２、ＡＲＰテーブル１３と同じである。また、専用装置３は、情報送受信機能３６、検疫機能３７、メール送信機能３８、ＤＨＣＰサーバ３１などから構成され、図１と図２の専用装置３、ＤＨＣＰサーバ３１は同じである。 Next, the operation of the configuration of FIG. 1 will be described in detail according to the order of the flowchart of FIG.
FIG. 2 shows a flowchart for explaining the operation of the present invention. Here, the terminal 1 includes an agent 11, client information (hardware information, software information, security information) 12, and an ARP table 13, and is the same as the terminal 1, the agent 11, the client information 12, and the ARP table 13 in FIG. It is. The dedicated device 3 includes an information transmission / reception function 36, a quarantine function 37, a mail transmission function 38, a DHCP server 31, and the like. The dedicated device 3 and the DHCP server 31 in FIGS. 1 and 2 are the same.

図２の本発明の動作説明フローチャートを用いて処理の一例の説明を行う。
（ステップＳ１）端末１は、専用装置３に接続要求する。本実施の一例では、端末１を例えば図１の（ａ）のセグメントＡのＬＡＮに新規に接続し、当該端末１のＭＡＣアドレスを通知して仮ＩＰアドレスの割当要求を行う。 An example of processing will be described with reference to the operation explanation flowchart of the present invention in FIG.
(Step S1) The terminal 1 issues a connection request to the dedicated device 3. In this example, the terminal 1 is newly connected to the LAN of segment A in FIG. 1A, for example, and the MAC address of the terminal 1 is notified and a temporary IP address allocation request is made.

（ステップＳ２）専用装置３は、ステップＳ１で端末１から通知されたＭＡＣアドレスが、ＤＨＣＰサーバ３１に予め登録されているＭＡＣアドレスか判別する。ＭＡＣアドレスが予め登録されている場合（ＹＥＳの場合）には、専用装置３は予め仮ＩＰアドレスの割当を行っても良いＭＡＣアドレスの端末１からの仮ＩＰアドレスの要求と判断し、仮ＩＰアドレスを割り当てる。 (Step S 2) The dedicated device 3 determines whether the MAC address notified from the terminal 1 in Step S 1 is a MAC address registered in advance in the DHCP server 31. When the MAC address is registered in advance (in the case of YES), the dedicated device 3 determines that the temporary IP address is requested from the terminal 1 of the MAC address to which the temporary IP address may be allocated in advance, and the temporary IP address is determined. Assign an address.

（ステップＳ３）専用装置３は、当該仮ＩＰアドレスを発行し、端末１に通知する。
（ステップＳ４）専用装置３は、ステップＳ２において、ステップＳ１で端末１から通知されたＭＡＣアドレスがＤＨＣＰサーバ３１に予め登録されているＭＡＣアドレスではないと判断すると、仮ＩＰアドレスを割り当てることなく、不正アクセスとしてログファイルなどに記録する。専用端末３が未登録のＭＡＣアドレスの端末１に対しては仮ＩＰアドレスを発行しないことで、未登録のＭＡＣアドレスの端末１からのアクセスを不可にし、不正アクセスを防止する。 (Step S3) The dedicated device 3 issues the temporary IP address and notifies the terminal 1 of it.
(Step S4) When the dedicated device 3 determines in Step S2 that the MAC address notified from the terminal 1 in Step S1 is not a MAC address registered in advance in the DHCP server 31, it does not assign a temporary IP address. Record in the log file as unauthorized access. Since the dedicated terminal 3 does not issue a temporary IP address to the terminal 1 having an unregistered MAC address, access from the terminal 1 having an unregistered MAC address is disabled and unauthorized access is prevented.

（ステップＳ５）は、ステップＳ３で仮ＩＰアドレスの発行を受けた端末１のエージェント１１がパケットに仮ＩＰアドレス、ＭＡＣアドレス、および端末１のクライアント情報１２を設定して当該パケットを専用装置３に送信し、正ＩＰアドレスの要求を行う。 In step S5, the agent 11 of the terminal 1 that has received the temporary IP address issued in step S3 sets the temporary IP address, MAC address, and client information 12 of the terminal 1 in the packet, and sends the packet to the dedicated device 3. Send and request the primary IP address.

（ステップＳ６）専用装置１の情報送受信機能は、ステップＳ５で受信したパケットに設定されているクライアント情報１２を保存する。 (Step S6) The information transmission / reception function of the dedicated device 1 stores the client information 12 set in the packet received in Step S5.

（ステップＳ７）専用装置１の情報送受信機能３６が専用装置１の検疫機能３７に検疫依頼する。 (Step S7) The information transmission / reception function 36 of the dedicated device 1 makes a quarantine request to the quarantine function 37 of the dedicated device 1.

（ステップＳ８）専用装置１は、ステップＳ７で検疫依頼を受けた検疫機能３７がステップＳ６で保存した端末１のクライアント情報１２と、セキュリティポリシ情報３９に予め格納しておいた当該端末１のクライアント情報（ハードウェア情報、ソフトウェア情報、セキュリティ情報）１２とを読み出し、ステップＳ５で正ＩＰアドレスの要求を行った端末１の接続を許可するか否かを判断する。本実施の一例では、端末１から送られてきたクライアント情報１２が、予め格納しておいたセキュリティポリシ情報３９中のクライアント情報と一致しすると、真正の端末１からの正ＩＰアドレスの割当要求と判断し、ステップＳ９に遷移する。 (Step S8) The dedicated device 1 uses the client information 12 of the terminal 1 stored in step S6 by the quarantine function 37 that received the quarantine request in step S7 and the client of the terminal 1 stored in advance in the security policy information 39. The information (hardware information, software information, security information) 12 is read out, and it is determined whether or not the connection of the terminal 1 that has requested the primary IP address is permitted in step S5. In an example of this embodiment, when the client information 12 sent from the terminal 1 matches the client information in the security policy information 39 stored in advance, the assignment request of the genuine IP address from the genuine terminal 1 is Judge and transition to step S9.

（ステップＳ９）専用装置３は、ＤＨＣＰサーバ設定ファイル４０を編集して正ＩＰアドレスを割り当てる。 (Step S9) The dedicated device 3 edits the DHCP server setting file 40 and assigns a primary IP address.

（ステップＳ１０）専用装置３は、ＤＨＣＰサーバを再起動して、ステップＳ９で割り当てた正ＩＰアドレスを有効にする。 (Step S10) The dedicated device 3 restarts the DHCP server and validates the primary IP address assigned in Step S9.

（ステップＳ１１）専用装置３は、結果（ここでは、正ＩＰアドレスを割り当てた旨の通知）を情報送受信機能３６を経由して端末１のエージェント１１に通知する。 (Step S11) The dedicated device 3 notifies the agent 11 of the terminal 1 of the result (in this case, notification that the primary IP address has been assigned) via the information transmission / reception function 36.

一方、ステップＳ８において、端末１から送られてきたクライアント情報が専用装置３のセキュリティポリシ情報３９のクライアント情報と一致しない場合、専用装置３は、一致しないクライアント情報を送信した端末１からの正ＩＰアドレスの要求と判断し、ステップＳ１２に遷移する。 On the other hand, if the client information sent from the terminal 1 does not match the client information in the security policy information 39 of the dedicated device 3 in step S8, the dedicated device 3 sends the correct IP from the terminal 1 that transmitted the mismatched client information. The request is determined as an address request, and the process proceeds to step S12.

（ステップＳ１２）専用端末３は、警告メッセージ送信要求して警告メッセージを端末１に送信する。これにより、正ＩＰアドレスの発行を拒否された端末１は、正ＩＰアドレスが発行されず、他の端末と通信不可であり、不正アクセスを防止できる。 (Step S12) The dedicated terminal 3 sends a warning message to the terminal 1 in response to a warning message transmission request. As a result, the terminal 1 that is refused to issue the primary IP address is not issued the primary IP address, cannot communicate with other terminals, and can prevent unauthorized access.

（ステップＳ１３）ステップＳ１１で正ＩＰアドレスを割り当てた旨の連絡を受けた端末１のエージェント１１が正ＩＰアドレスの取得要求をＤＨＣＰサーバ３１に送信する。 (Step S 13) The agent 11 of the terminal 1 that has received the notification that the primary IP address has been assigned in Step S 11 transmits a request for acquiring the primary IP address to the DHCP server 31.

（ステップＳ１４）ステップＳ１３の取得要求を受信したＤＨＣＰサーバ３１が当該端末１に正ＩＰアドレスを発行し、通知する。端末１では、発行された正ＩＰアドレスと自身のＭＡＣアドレスなどをＡＲＰテーブル１３に設定するなどし、以降、端末１は、発行された正ＩＰドレスおよび自端末１のＭＡＣアドレスを用いて図１で自セグメント内、更に他のセグメント内の他の端末１と自由にパケット通信することが可能となる。 (Step S14) The DHCP server 31 that has received the acquisition request in Step S13 issues and notifies the terminal 1 of the primary IP address. The terminal 1 sets the issued primary IP address, its own MAC address, and the like in the ARP table 13, and thereafter, the terminal 1 uses the issued primary IP address and the MAC address of its own terminal 1 as shown in FIG. Thus, it is possible to freely perform packet communication with other terminals 1 in the own segment and in other segments.

以上のように、端末１をあるセグメントに接続すると、当該端末１は自端末１のＭＡＣアドレスを通知してＤＨＣＰサーバ３１に仮ＩＰアドレスの発行要求を行うが、登録されていないときは仮ＩＰアドレスが発行されず、未登録ＭＡＣアドレスの端末１は通信が不可とされ、不正アクセスを防止できる。次に、ＭＡＣアドレスが登録されていて仮ＩＰアドレスの発行を受けた端末１１がクライアント情報を送信して正ＩＰアドレスの発行要求しても、予め登録したセキュリティポリシ情報３９中のクライアント情報と照合して一致しないときは正ＩＰアドレスが発行されず、正しいＭＡＣアドレスを持っていても正しいクライアント情報を持っていない端末１には正ＩＰアドレスの発行をしなく、不正アクセスを防止できる。ここで、正しいクライアント情報を持っている端末１は、初めて正ＩＰアドレスの発行を受け、当該正ＩＰアドレス、自端末のＭＡＣアドレスを用いて他の端末１と相互に通信することが可能となる。 As described above, when the terminal 1 is connected to a certain segment, the terminal 1 notifies the MAC address of the terminal 1 and issues a temporary IP address issuance request to the DHCP server 31. An address is not issued, and the terminal 1 having an unregistered MAC address cannot be communicated, and unauthorized access can be prevented. Next, even if the terminal 11 that has been registered with the MAC address and has received the provisional IP address transmits the client information and requests to issue the primary IP address, it collates with the client information in the security policy information 39 registered in advance. If they do not match, the primary IP address is not issued, and the unauthorized access can be prevented without issuing the primary IP address to the terminal 1 that has the correct MAC address but does not have the correct client information. Here, the terminal 1 having the correct client information is issued with the primary IP address for the first time, and can communicate with other terminals 1 using the primary IP address and the MAC address of the own terminal. .

図３は、本発明の応答文例（ＤＨＣＰ．ＣＯＮＦの例）を示す。これは、既述した図２のＳ８で端末１から送信されてきたクライアント情報１２と、予め登録しておいたセキュリティポリシ情報３９中のクライアント情報とを比較し、一致したときに合格として、図中の合格とした電文（正ＩＰアドレスなど）を端末１に専用装置３が送信する例を示す。一致しないときに不合格として、図中の不合格とした電文（仮ＩＰアドレスなど）を端末１に専用装置３が送信する例を示す。 FIG. 3 shows an example of a response sentence (example of DHCP.CONF) of the present invention. This is because the client information 12 transmitted from the terminal 1 in S8 of FIG. 2 described above is compared with the client information in the security policy information 39 registered in advance. An example in which the dedicated device 3 transmits a message (a correct IP address or the like) that has passed in the terminal 1 to the terminal 1 is shown. An example in which the dedicated device 3 transmits to the terminal 1 a telegram (such as a temporary IP address) in FIG.

図４は、本発明の動作説明フローチャート（情報送信）を示す。これは、管理者がセキュリティポリシ情報３９、ＤＨＣＰサーバ設定ファイル４０などを変更し、セキュリティを管理するときの様子を示す。 FIG. 4 is a flowchart for explaining the operation of the present invention (information transmission). This shows a state when the administrator changes the security policy information 39, the DHCP server setting file 40, and the like to manage security.

図４において、（ステップＳ２１）専用装置３のセキュリティポリシ変更機能は、管理者が端末（管理）を操作したのを受け付けて、セキュリティポリシ情報を変更する。本実施の一例では、ウイルスパターン情報を最新のものに変更（更新）すると共に、セキュリティポリシ情報３９中のウィルスパターン情報（バージョン情報）を最新の情報に変更（更新）する。 In FIG. 4, (step S21) The security policy change function of the dedicated device 3 accepts that the administrator has operated the terminal (management), and changes the security policy information. In this example, the virus pattern information is changed (updated) to the latest information, and the virus pattern information (version information) in the security policy information 39 is changed (updated) to the latest information.

（ステップＳ２２）ＤＨＣＰサーバ３１は、ステップＳ２１でセキュリティポリシ情報が編集されると、必要に応じてＤＨＣＰサーバ設定ファイル４０の内容を編集する。本実施の一例では、専用装置３のセキュリティポリシ情報のウイルスパターン情報が変更されると、端末１群に割り当て済の正ＩＰアドレスが無効になるように、ＤＨＣＰサーバ設定ファイル４０を編集する。専用装置３は、ＤＨＣＰサーバ設定ファイル４０を編集した場合には、ＤＨＣＰサーバ３１を再起動し、編集後のＤＨＣＰサーバ設定ファイル４０を有効にする。 (Step S22) When the security policy information is edited in step S21, the DHCP server 31 edits the contents of the DHCP server setting file 40 as necessary. In this example, when the virus pattern information in the security policy information of the dedicated device 3 is changed, the DHCP server setting file 40 is edited so that the primary IP address assigned to the terminal group 1 becomes invalid. When the dedicated device 3 edits the DHCP server setting file 40, the dedicated device 3 restarts the DHCP server 31 and validates the edited DHCP server setting file 40.

（ステップＳ２３）専用装置３は、専用装置３の情報送受信機能３６に、端末１に対して、専用装置３のセキュリティポリシ情報のウイルスパターン情報が変更されたこと、正ＩＰアドレスが変更されたことを示す情報を送信するように指示を行う。 (Step S23) The dedicated device 3 has changed the virus pattern information of the security policy information of the dedicated device 3 to the information transmission / reception function 36 of the dedicated device 3, and the primary IP address has been changed. An instruction is sent to transmit information indicating.

（ステップＳ２４）専用装置３の情報送受信機能３６は、端末１に、専用装置３のセキュリティポリシ情報のウイルスパターン情報が変更されたこと、正ＩＰアドレスが変更されたことを示す情報を送信する。 (Step S24) The information transmission / reception function 36 of the dedicated device 3 transmits to the terminal 1 information indicating that the virus pattern information of the security policy information of the dedicated device 3 has been changed and that the primary IP address has been changed.

端末１は、ステップＳ２４の通知を受けて、ウイルスパターンを専用端末３のセキュリティポリシ情報が持つウイルスパターンの情報にバージョンアップを行うことでクライアント情報１２のウイルスパターン情報を更新して、先述のステップＳ５以下の処理を行うことにより正ＩＰアドレスの要求を行い、専用装置３に正ＩＰアドレスの発行をさせる。 Upon receiving the notification in step S24, the terminal 1 updates the virus pattern information in the client information 12 by upgrading the virus pattern to the virus pattern information included in the security policy information of the dedicated terminal 3, and the above-described step A request for a primary IP address is made by performing the processing from S5 onward, and the dedicated device 3 is issued a primary IP address.

以上によって、管理者が随時、ウイルスパータン情報（バージョン情報）などを更新して各端末１のクライアント情報１２中の該等情報を最新に更新することにより、既述した図２のＳ８のチェック時に、端末１から送信されてきたクライアント情報１２と、セキュリティポリシ情報３９中のクライアント情報と照合して一致したときのみ正ＩＰアドレスを割り当て、一方、一致しないときは正ＩＰアドレスを割り当てない（あるいは既に正ＩＰアドレスを割り当てていたときは仮ＩＰアドレスに変更する）という手順を行うことにより、随時更新した最新のセキュリティポリシ情報をもとに不正アクセスをチェックし、不正アクセスのときは正ＩＰアドレスの割り当てた端末１と言えども仮ＩＰアドレスに変更し、セキュリティを確保することが可能となる。 As described above, the administrator updates the virus pattern information (version information) and the like at any time to update the equivalent information in the client information 12 of each terminal 1 to the latest, so that the above-described check at S8 in FIG. The primary IP address is assigned only when the client information 12 transmitted from the terminal 1 matches the client information in the security policy information 39 by matching, while the primary IP address is not assigned when they do not match (or already (If the primary IP address has been assigned, change it to a temporary IP address) to check for unauthorized access based on the latest security policy information updated at any time. Even the assigned terminal 1 is changed to a temporary IP address to ensure security Theft is possible.

図５は、本発明のクライアント情報例を示す。これは、既述した図２、図４の端末１が保持するクライアント情報１２の例を示す。クライアント情報１２は、図示の下記の情報を対応づけて登録したものであり、図４で説明したように、管理者が随時、更新、変更可能なものである。 FIG. 5 shows an example of client information of the present invention. This shows an example of the client information 12 held by the terminal 1 shown in FIGS. The client information 12 is registered by associating the following information shown in the figure, and can be updated and changed at any time by the administrator as described with reference to FIG.

・ハードウェア情報：
・ＢＩＯＳＮｕｍｂｅｒ
・ＣＰＵＮｍｍｂｅｒ
・ハードディスクＮｕｍｂｅｒ
・ソフトウェア情報：
・ウイルスパターンバージョン
・ＯＳバッチバージョン
・セキュリテイ情報：
・端末ＩＤ
・ログインＩＤ
ここで、ハードウェア情報は、端末１のハードウェア情報であって、例えば図示のＢＩＯＳの番号、ＣＰＵの番号、ハードディスク装置の番号などである。ソフトウェア情報は、端末１にインストールされているソフトウェアの情報であって、ウイルスパターンバージョン、ＯＳのバッチバージョンなどである。セキュリティ情報は、端末のＩＤ，ログインＩＤなどである。・ Hardware information:
・ BIOS Number
・ CPU Nmmber
・ Hard Disk Number
・ Software information:
-Virus pattern version-OS batch version-Security information:
・ Terminal ID
・ Login ID
Here, the hardware information is the hardware information of the terminal 1 and includes, for example, the illustrated BIOS number, CPU number, and hard disk device number. The software information is information on software installed in the terminal 1, such as a virus pattern version and an OS batch version. The security information is a terminal ID, a login ID, and the like.

以上のように、端末１のハードウェア情報、ソフトウェア情報、セキュリティ情報からなるクライアント情報１２を、図４で説明したように、管理者がネットワークを介し随時更新、変更し、よりセキュリティの高いシステムを実現し、不正端末１による不正アクセスを防止することが可能となる。 As described above, the client information 12 including the hardware information, software information, and security information of the terminal 1 is updated and changed as needed via the network by the administrator as described with reference to FIG. It is possible to prevent unauthorized access by the unauthorized terminal 1.

図６は、本発明の動作説明フローチャート（不正チェック）を示す。
図６の（ａ）は全体フローチャートを示し、図６の（ｂ）は詳細フローチャートを示す。端末１、専用装置３は、図１の端末１、専用装置３である。 FIG. 6 shows a flowchart for explaining the operation of the present invention (fraud check).
6A shows an overall flowchart, and FIG. 6B shows a detailed flowchart. The terminal 1 and the dedicated device 3 are the terminal 1 and the dedicated device 3 in FIG.

図６の（ａ）において、（ステップＳ３１）専用装置３の不正ＰＣチェック機能４２が不正ＰＣ監視する。本実施の一例では、後述する図６の（ｂ）のステップＳ４１で専用装置３がＰｉｎｇコマンドをブロードキャストアドレスで発行し、ステップＳ４２で専用装置３がＡＲＰコマンドでＡＲＰテーブル１３の一覧を取得する（Ｍａｃアドレス一覧を取得する）。更に、図６の（ｂ）のステップＳ４３で専用装置３がネットワークに流れるパケットを取得し、ステップＳ４４で専用装置３がパケット解析で送信元のＩＰアドレスとＭＡＣアドレスを取得する。 6A, (Step S31) The unauthorized PC check function 42 of the dedicated device 3 monitors unauthorized PCs. In this example, the dedicated device 3 issues a Ping command with a broadcast address in step S41 of FIG. 6B described later, and the dedicated device 3 acquires a list of the ARP table 13 with an ARP command in step S42 ( Get a list of Mac addresses). Further, in step S43 of FIG. 6B, the dedicated device 3 acquires a packet flowing through the network, and in step S44, the dedicated device 3 acquires the source IP address and MAC address by packet analysis.

以上によって、セグメント内のネットワークに接続されている端末１群のＭＡＣアドレス、更に、ＡＲＰテーブル１３に登録されている通信相手のＩＰアドレスとＭＡＣアドレス、更に、ネットワークに流れているパケットに設定されている送信元のＩＰアドレスとＭＡＣアドレスを収集してその一覧を作成することが可能となる。 As described above, the MAC address of the group of terminals connected to the network in the segment, the IP address and MAC address of the communication partner registered in the ARP table 13, and the packet flowing through the network are set. It is possible to collect a list of IP addresses and MAC addresses of existing senders and create a list thereof.

（ステップＳ３２）専用装置３は、ＤＨＣＰサーバ設定ファイル４０の内容（通信を許可されたＭＡＣアドレス）を読み込む。 (Step S32) The dedicated device 3 reads the contents of the DHCP server configuration file 40 (MAC address permitted for communication).

（ステップＳ３３）専用装置３は、ステップＳ３２で読み込んだＭＡＣアドレスは登録されているか判別する（図６の（ｂ）のＳ４５）。これは、ステップＳ３１で収集したＭＡＣアドレスが、ステップＳ３２で読み出したＤＨＣＰサーバ設定ファイル４０にある通信許可された端末１のＭＡＣアドレスか判別する。ＹＥＳの場合には、収集したＭＡＣアドレスが通信許可された端末１のＭＡＣアドレスと判明したので、終了する。ＮＯの場合には、収集したＭＡＣアドレスが通信許可された端末１のＭＡＣアドレスでないと判明したので、ステップＳ３４でクライアントＰＣ状態情報を編集（即ち、不許可ＭＡＣアドレスを登録）し、更に、ファイアウォール定義テーブル４３に設定（当該ＭＡＣアドレスを無効に設定）する。ファイアウォール定義テーブル４３中の不正ＭＡＣアドレスを無効（意味の値に変更）する（図８の（ｂ）参照）ことで、ファイアウォール３４で当該端末１からのパケットを阻止し、不正ＭＡＣアドレスの端末１がファイアウォールを越えて外部のセグメントにパケット送信できないようにする。また、端末１のＡＲＰテーブル１３に登録されている通信相手の端末１のＩＰアドレスとＭＡＣアドレスの対のうち、不正ＭＡＣアドレスを無効にし、各端末１から不正ＭＡＣアドレスの端末１へアクセスできないように設定する（図８の（ａ）参照）。 (Step S33) The dedicated device 3 determines whether or not the MAC address read in Step S32 is registered (S45 in FIG. 6B). It is determined whether the MAC address collected in step S31 is the MAC address of the terminal 1 permitted to communicate in the DHCP server setting file 40 read in step S32. In the case of YES, since the collected MAC address is found to be the MAC address of the terminal 1 that is permitted to communicate, the process ends. In the case of NO, since it is found that the collected MAC address is not the MAC address of the terminal 1 permitted to communicate, the client PC status information is edited (that is, the unauthorized MAC address is registered) in step S34, and the firewall Set in the definition table 43 (set the MAC address to invalid). The invalid MAC address in the firewall definition table 43 is invalidated (changed to a meaningful value) (see (b) in FIG. 8), whereby the firewall 34 blocks the packet from the terminal 1 and the terminal 1 with the illegal MAC address. Prevents packets from being sent across the firewall to external segments. Further, the invalid MAC address is invalidated from the pair of the IP address and the MAC address of the communication partner terminal 1 registered in the ARP table 13 of the terminal 1 so that each terminal 1 cannot access the terminal 1 having the unauthorized MAC address. (See (a) of FIG. 8).

（ステップＳ３５）専用装置３は、警告メール送信要求をメール送信機能３８に行い、メール送信する。これにより、不正ＭＡＣアドレスの不正端末１がネットワークに接続されている旨をメールで管理者に知らせることが可能となる（図６の（ｂ）のＳ４７）。 (Step S35) The dedicated device 3 sends a warning mail transmission request to the mail transmission function 38 and transmits the mail. As a result, it is possible to notify the administrator by e-mail that the unauthorized terminal 1 with the unauthorized MAC address is connected to the network (S47 in FIG. 6B).

（ステップＳ３６）専用装置３は、不正端末がネットワークに接続されている旨の警告メッセージを全ての端末１に送信して全ての利用者に知らせる（図６の（ｂ）のＳ４７）。 (Step S36) The dedicated device 3 transmits a warning message to the effect that an unauthorized terminal is connected to the network to all the terminals 1 to notify all users (S47 in FIG. 6B).

以上によって、セグメント内のネットワークに接続されている端末１のＭＡＣアドレスを収集およびネットワークに流れているパケットを監視して送信元のＭＡＣアドレスを収集し、これら収集したＭＡＣアドレスが通信許可された端末１のＭＡＣアドレスか判別し、通信許可されていないＭＡＣアドレスが検出されたときに、当該不正ＭＡＣアドレスについて全端末１および管理者に知らせて注意を促すことが可能となる。更に、ファイアウォール定義テーブル４３中の当該不正ＭＡＣアドレスを無効（意味のないＭＡＣアドレスに書き換える）にし、セグメントと他のセグメントとの間に接続したファイアウォール３４で当該不正ＭＡＣアドレスのパケットを阻止し、不正ＭＡＣアドレスの端末１がセグメントの外に通信不可とすることが可能となる。また、専用装置３が全端末１のＡＲＰテーブル１３中のＩＰアドレスとＭＡＣアドレスのうちの不正ＭＡＣアドレスを無効に自動的に書き換えることにより、当該端末１から不正端末１に通信不可にすることが可能となる。尚、各端末１のＡＲＰテーブル１３は所定時間毎にクリアされるので、その毎あるいはそれよりも短い時間毎に、専用装置３が全端末１のＡＲＰテーブル１３中の不正ＭＡＣアドレスを見つけたときに無効に書き換える。 As described above, the MAC address of the terminal 1 connected to the network in the segment is collected, the packet flowing in the network is monitored, the source MAC address is collected, and the collected MAC address is permitted to communicate with the terminal. When a MAC address that is not permitted to communicate is detected, it is possible to notify all the terminals 1 and the administrator about the unauthorized MAC address to call attention. Further, the invalid MAC address in the firewall definition table 43 is invalidated (rewritten to a meaningless MAC address), and the packet of the invalid MAC address is blocked by the firewall 34 connected between the segment and another segment. It becomes possible for the terminal 1 with the MAC address to disable communication outside the segment. In addition, the dedicated device 3 may automatically disable the unauthorized MAC address of the IP address and MAC address in the ARP table 13 of all terminals 1 to disable communication from the terminal 1 to the unauthorized terminal 1. It becomes possible. Since the ARP table 13 of each terminal 1 is cleared every predetermined time, the dedicated device 3 finds an illegal MAC address in the ARP table 13 of all the terminals 1 every time or every shorter time. Rewrite to invalid.

図７は、本発明のテーブル例を示す。
図７の（ａ）は、ＡＲＰテーブルの例を示す。ＡＲＰテーブル１３は、各端末１が持つものであって、図示の下記の情報を対応づけて登録したものである。 FIG. 7 shows an example table of the present invention.
FIG. 7A shows an example of an ARP table. The ARP table 13 is held by each terminal 1 and is registered in association with the following information shown in the figure.

・ＩＰアドレス：
・ＭＡＣアドレス：
・Ｔｙｐｅ：
ここで、ＩＰアドレスはセグメント内で一意に割り当てられたアドレスである。ＭＡＣアドレスは端末１が持つ固有の一意のＩＤ（アドレス）である。ＴｙｐｅはＩＰアドレス，ＭＡＣアドレスのタイプを表す（ここでは、動的に書換可能なタイプを表す）。ここで、上段のＭＡＣアドレスは、００−００−００−００−００−００は無効に設定した例を示す。尚、ＡＲＰテーブル１３には、通信相手の端末１のＩＰアドレス、ＭＡＣアドレスＭの対を登録する。・ IP address:
・ MAC address:
・ Type:
Here, the IP address is an address uniquely assigned in the segment. The MAC address is a unique ID (address) unique to the terminal 1. Type represents the type of IP address or MAC address (here, it represents a type that can be dynamically rewritten). Here, the upper MAC address shows an example in which 00-00-00-00-00-00 is set invalid. In the ARP table 13, a pair of the IP address and the MAC address M of the communication partner terminal 1 is registered.

図７の（ｂ）は、ファイアウォール定義テーブルの例を示す。ファイアフォール定義テーブル３５は、ファイアフォール３４が保持するテーブルであって、当該ファイルフォール３４を通過あるいは阻止するための情報を設定するものであり、本発明では不正ＭＡＣアドレスについて無効に設定し、パケットの通過を阻止し、セグメント内の不正端末１からセグメント外のネットワークへの送信（アクセス）を不可にするものである。 FIG. 7B shows an example of the firewall definition table. The firewall definition table 35 is a table held by the firewall 34, and sets information for passing or blocking the file fall 34. In the present invention, an invalid MAC address is set to be invalid and a packet is set. Transmission (access) from the unauthorized terminal 1 in the segment to the network outside the segment is prohibited.

（付記１）
不正アクセスを防止する不正アクセス防止装置において、
端末から当該端末の仮ＩＰアドレスおよびＭＡＣアドレスを設定した、セキュリティ情報を付加した本ＩＰアドレスの要求の通信が受信されたときに、保持するセキュリティ情報と照合してアクセスを許可するかどうかを判断するアクセス判断手段と、
前記アクセス判断手段がアクセスを許可すると判断すると本ＩＰアドレスを割り当てるＩＰ割当手段と、
前記ＩＰ割当手段が割り当てた本ＩＰアドレスを要求元の端末に返信する返信手段と、
を有すること特徴とする不正アクセス防止装置。 (Appendix 1)
In the unauthorized access prevention device for preventing unauthorized access,
When communication of the request for this IP address with security information added and the temporary IP address and MAC address of the terminal set is received from the terminal, it is determined whether to allow access by checking the security information held Access determination means to
IP assigning means for assigning the IP address when the access judging means judges that access is permitted;
A reply means for returning the IP address assigned by the IP assignment means to the requesting terminal;
An unauthorized access preventing apparatus comprising:

（付記２）
前記あるセグメント内の端末のアクセスを監視してＩＰアドレスおよびＭＡＣアドレスを収集する収集手段と、当該ＩＰアドレスおよびＭＡＣアドレスから不正アクセスを検出したときに、前記各端末が有する通信先の不正端末のＩＰアドレスおよびＭＡＣアドレスの対のうち当該ＭＡＣアドレスを無効に書き換える書換え手段と、
を併せて有することを特徴とする付記１記載の不正アクセス防止装置。 (Appendix 2)
Collection means for monitoring the access of the terminal in the certain segment and collecting the IP address and the MAC address, and when the unauthorized access is detected from the IP address and the MAC address, Rewriting means for invalidally rewriting the MAC address of the pair of IP address and MAC address;
The unauthorized access prevention apparatus according to supplementary note 1, further comprising:

（付記３）
不正アクセスを防止する不正アクセス防止装置において、
あるセグメントと他のセグメントとの間にファイアウォールを設け、
前記あるセグメント内の端末のアクセスを監視してＩＰアドレスおよびＭＡＣアドレスを収集する手段と、
前記収集したＩＰアドレスおよびＭＡＣアドレスから不正アクセスの端末を検出する手段と、
前記不正アクセスの端末が検出されたときに、前記ファイアウォールが持つ、前記他のセグメントの端末と通信可のＭＡＣアドレスを定義する定義テーブル中の不正端末のＭＡＣアドレスを無効に設定する手段と
を備えたことを特徴とする不正アクセス防止装置。 (Appendix 3)
In the unauthorized access prevention device for preventing unauthorized access,
A firewall between one segment and the other,
Means for monitoring the access of terminals in the certain segment and collecting IP addresses and MAC addresses;
Means for detecting unauthorized access terminals from the collected IP address and MAC address;
Means for invalidating a MAC address of an unauthorized terminal in a definition table defining a MAC address that can be communicated with a terminal of the other segment possessed by the firewall when the unauthorized access terminal is detected. An unauthorized access prevention device characterized by that.

（付記４）
不正アクセスを防止する不正アクセス防止装置において、
端末から当該端末の仮ＩＰアドレスおよびＭＡＣアドレスを設定した、セキュリティ情報を付加した本ＩＰアドレスの要求の通信が受信されたときに、保持するセキュリティ情報と照合してチェックする手段と、
前記照合の結果、ＯＫと判明したときに本ＩＰアドレスを割り当てる手段と、
前記割り当てた本ＩＰアドレスを要求元の端末に前記仮ＩＰアドレスおよびＭＡＣアドレスを設定して返信し、当該本ＩＰアドレスと当該端末のＭＡＣアドレスを設定して他の端末と通信可とする手段と
をあるセグメントと他のセグメントとの間に設けると共に、
前記あるセグメントと他のセグメントとの間にファイアウォールを設け、
前記あるセグメント内の端末のアクセスを監視してＩＰアドレスおよびＭＡＣアドレスを収集する手段と、
前記収集したＩＰアドレスおよびＭＡＣアドレスから不正アクセスの端末を検出する手段と、
前記不正アクセスの端末が検出されたときに、前記ファイアウォールが持つ、前記他のセグメントの端末と通信可のＭＡＣアドレスを定義する定義テーブル中の不正端末のＭＡＣアドレスを無効に設定する手段と
を備えたことを特徴とする不正アクセス防止装置。 (Appendix 4)
In the unauthorized access prevention device for preventing unauthorized access,
Means for checking against the security information held when a communication request for the IP address with the security information added, with the temporary IP address and MAC address of the terminal set, is received from the terminal;
A means for assigning the IP address when it is determined as a result of the collation;
Means for setting the temporary IP address and MAC address to the requesting terminal and returning the assigned IP address to the requesting terminal and setting the IP address and the MAC address of the terminal to enable communication with other terminals; Between one segment and the other,
A firewall is provided between the certain segment and the other segment,
Means for monitoring the access of terminals in the certain segment and collecting IP addresses and MAC addresses;
Means for detecting unauthorized access terminals from the collected IP address and MAC address;
Means for invalidating a MAC address of an unauthorized terminal in a definition table defining a MAC address that can be communicated with a terminal of the other segment possessed by the firewall when the unauthorized access terminal is detected. An unauthorized access prevention device characterized by that.

（付記５）
不正アクセスを防止する不正アクセス防止プログラムにおいて、
あるセグメントと他のセグメントとの間に接続した装置内に設けたコンピュータを、
端末から当該端末の仮ＩＰアドレスおよびＭＡＣアドレスを設定した、セキュリティ情報を付加した本ＩＰアドレスの要求の通信が受信されたときに、保持するセキュリティ情報と照合してチェックする手段と、
前記照合の結果、ＯＫと判明したときに本ＩＰアドレスを割り当てる手段と、
前記割り当てた本ＩＰアドレスを要求元の端末に前記仮ＩＰアドレスおよびＭＡＣアドレスを設定して返信する手段と
して動作させるための不正アクセス防止プログラム。 (Appendix 5)
In the unauthorized access prevention program that prevents unauthorized access,
A computer installed in a device connected between one segment and another segment
Means for checking against the security information held when a communication request for the IP address with the security information added, with the temporary IP address and MAC address of the terminal set, is received from the terminal;
A means for assigning the IP address when it is determined as a result of the collation;
An unauthorized access prevention program for causing the assigned IP address to operate as a means for setting and returning the temporary IP address and MAC address to a requesting terminal.

（付記６）
あるセグメントと他のセグメントとの間に接続したファイアウォールで不正アクセスを防止する不正アクセス防止プログラムにおいて、
コンピュータを、
あるセグメント内の端末のアクセスを監視してＩＰアドレスおよびＭＡＣアドレスを収集する手段と、
前記収集したＩＰアドレスおよびＭＡＣアドレスから不正アクセスを検出する手段と、
前記不正アクセスの端末が検出されたときに、前記ファイアウォールが持つ、前記他のセグメントの端末と通信可のＭＡＣアドレスを定義する定義テーブル中の不正端末のＭＡＣアドレスを無効に設定する手段と
して動作させるための不正アクセス防止プログラム。 (Appendix 6)
In an unauthorized access prevention program that prevents unauthorized access with a firewall connected between a segment and another segment,
Computer
Means for monitoring the access of terminals in a segment and collecting IP addresses and MAC addresses;
Means for detecting unauthorized access from the collected IP address and MAC address;
When the unauthorized access terminal is detected, the firewall operates as a means for invalidating the MAC address of the unauthorized terminal in the definition table defining MAC addresses that can be communicated with the terminals of the other segments. Unauthorized access prevention program.

本発明は、端末に仮ＩＰアドレスを付与してセキュリティ情報のチェックがＯＫのときに正ＩＰアドレスを付与して不正アクセスを防止すると共に、不正アクセスを監視して見つけたときに不正端末のＭＡＣアドレスを無効にすると共にファイアウォールが持つ定義テーブルの当該不正端末のＭＡＣアドレスを無効にして他のセグメントへのアクセスを不可にし、不正端末のセグメント内のアクセスおよびセグメント外へのアクセスを不可にして不正アクセスを完全に防止する不正アクセス防止装置および不正アクセス防止プログラムに関するものである。 The present invention assigns a temporary IP address to a terminal and assigns a primary IP address when the security information check is OK to prevent unauthorized access, and monitors unauthorized access to detect the MAC of the unauthorized terminal. Invalidate the address and disable the MAC address of the unauthorized terminal in the definition table of the firewall to disable access to other segments, and disable unauthorized access within the segment and outside the segment. The present invention relates to an unauthorized access prevention device and an unauthorized access prevention program that completely prevent access.

本発明のシステム構成図である。It is a system configuration diagram of the present invention. 本発明の動作説明フローチャートである。It is an operation | movement explanatory flowchart of this invention. 本発明の応答文例である。It is an example of a response sentence of the present invention. 本発明の動作説明フローチャート（情報送信）である。It is operation | movement description flowchart (information transmission) of this invention. 本発明のクライアント情報例である。It is an example of client information of the present invention. 本発明の動作説明フローチャート（不正チェック）である。It is an operation | movement explanatory flowchart (fraud check) of this invention. 本発明のテーブル例である。It is an example table of this invention.

Explanation of symbols

１：端末
１１：エージェント
１２：クライアント情報
１３：ＡＲＰテーブル
２：スイッチ
３：専用装置
３１：ＤＨＣＰサーバ
３４：ファイアウォール
３５：検疫マネージャ
３６：情報送受信機能
３７：検疫機能
３８：メール送信機能
３９：セキュリティポリシ情報
４０：ＤＨＣＰサーバ設定ファイル
４１：セキュリティポリシ変更機能
４２：不正ＰＣチェック機能 1: Terminal 11: Agent 12: Client information 13: ARP table 2: Switch 3: Dedicated device 31: DHCP server 34: Firewall 35: Quarantine manager 36: Information transmission / reception function 37: Quarantine function 38: Mail transmission function 39: Security policy Information 40: DHCP server setting file 41: Security policy change function 42: Unauthorized PC check function

Claims

In the unauthorized access prevention device for preventing unauthorized access,
When communication of the request for this IP address with security information added and the temporary IP address and MAC address of the terminal set is received from the terminal, it is determined whether to allow access by checking the security information held Access determination means to
IP assigning means for assigning the IP address when the access judging means judges that access is permitted;
An unauthorized access preventing apparatus, comprising: reply means for returning the IP address assigned by the IP assigning means to the requesting terminal.

Collection means for monitoring the access of the terminal in the certain segment and collecting the IP address and the MAC address, and when the unauthorized access is detected from the IP address and the MAC address, 2. The unauthorized access preventing apparatus according to claim 1, further comprising rewriting means for invalidally rewriting the MAC address of the pair of IP address and MAC address.

In the unauthorized access prevention device for preventing unauthorized access,
A firewall between one segment and the other,
Means for monitoring the access of terminals in the certain segment and collecting IP addresses and MAC addresses;
Means for detecting unauthorized access terminals from the collected IP address and MAC address;
Means for invalidating a MAC address of an unauthorized terminal in a definition table defining a MAC address that can be communicated with a terminal of the other segment possessed by the firewall when the unauthorized access terminal is detected. An unauthorized access prevention device characterized by that.

In the unauthorized access prevention device for preventing unauthorized access,
Means for checking against the security information held when a communication request for the IP address with the security information added, with the temporary IP address and MAC address of the terminal set, is received from the terminal;
A means for assigning the IP address when it is determined as a result of the collation;
Means for setting the temporary IP address and MAC address to the requesting terminal and returning the assigned IP address to the requesting terminal and setting the IP address and the MAC address of the terminal to enable communication with other terminals; Between one segment and the other,
A firewall is provided between the certain segment and the other segment,
Means for monitoring the access of terminals in the certain segment and collecting IP addresses and MAC addresses;
Means for detecting unauthorized access terminals from the collected IP address and MAC address;
Means for invalidating a MAC address of an unauthorized terminal in a definition table defining a MAC address that can be communicated with a terminal of the other segment possessed by the firewall when the unauthorized access terminal is detected. An unauthorized access prevention device characterized by that.

In the unauthorized access prevention program that prevents unauthorized access,
A computer installed in a device connected between one segment and another segment
Means for checking against the security information held when a communication request for the IP address with the security information added, with the temporary IP address and MAC address of the terminal set, is received from the terminal;
A means for assigning the IP address when it is determined as a result of the collation;
An unauthorized access prevention program for causing the assigned IP address to operate as a means for setting and returning the temporary IP address and MAC address to a requesting terminal.