JP4174392B2 - ネットワークへの不正接続防止システム、及びネットワークへの不正接続防止装置 - Google Patents

Description

本発明は、ネットワークへの接続が許可されていない機器を発見した場合、その機器に対してＡＲＰ（Ａｄｄｒｅｓｓ Ｒｅｓｏｌｕｔｉｏｎ Ｐｒｏｔｏｃｏｌ）を偽装したパケットを送信することにより、ネットワークへ不正に接続することを防止するネットワークへの不正接続防止システム、及びネットワークへの不正接続防止装置に関する。

近年、インターネットやイントラネットなどのネットワークにより、企業や官公庁、学校、家庭など様々な環境において、各種の情報処理が飛躍的に効率化され、これらのネットワークは、現代の社会基盤として必要不可欠なものとなっている。
一方で、ネットワークを通じてコンピュータウィルスのばらまきが行われ、重要な情報が破壊されたり、あるいはネットワークへの不正なアクセスによって、情報の漏洩が発生したりするなどの事態が急増しており、ネットワークセキュリティの向上は、重要な社会的課題となっている。

このような状況において、ネットワークへの不正接続を防止するための装置などに関して、多くの研究開発が行われている。
例えば、特許文献１においては、不正侵入の検出をパケットから判断し、不正なパケットが検出された場合は、通信の遮断等の対策をとるとともに、不正侵入が行われていなければ、遮断されていた通信を自動的に解除する装置などが提案されている。
また、特許文献２においては、フィルタ型のＩＤＳ（Ｉｎｔｒｕｓｉｏｎ Ｄｅｔｅｃｔｉｏｎ Ｓｙｓｔｅｍ）機能を用いて、攻撃となるようなＩＰ（Ｉｎｔｅｒｎｅｔ Ｐｒｏｔｏｃｏｌ）パケットを即座に遮断するとともに、ＩＤＳ機能手段宛の大量のＩＰパケットが検出された場合にも、そのＩＰパケットを遮断することの可能な装置などが提案されている。
特開２００２−７３４３３号公報 特開２００３−９９３３９号公報

しかしながら、これらのような従来の不正接続防止装置などには、以下のような問題があった。
まず、不正接続の検出時に、ハブ自身がフィルタリングすることによって不正接続を防止する装置などにおいては、それぞれのハブにフィルタリングする機能を装備させなくてはならず、そのためにコストがかさむという問題があった。
これは、ハブがパケットの送信元のＩＰアドレスにもとづいて、不正侵入であるかどうかを判断する場合のみならず、特許文献１のように、パケット自体を解析して不正侵入であるかどうかを判断する場合についても同様に問題となるものであった。
また、ネットワークにおいて複数のハブが使用され、そのハブを提供している企業が個々に異なる場合には、各社ごとにフィルタリング機能や管理手順が異なることから、それぞれに使用可能な管理手段を設ける必要があり、さらにコストの増大を招くという問題があった。

さらに、不正接続の検出時に、ＶＰＮ（Ｖｉｒｔｕａｌ Ｐｒｉｖａｔｅ Ｎｅｔｗｏｒｋ）装置やファイアウォールの設定を変更することにより不正接続を防止する装置などにおいては、外部からの不正接続を防御することはできるものの、ネットワーク内部の不正接続を防止することができないという問題があった。
また、不正接続の検出時に、ＴＣＰ（Ｔｒａｎｓｍｉｓｓｉｏｎ Ｃｏｎｔｒｏｌ Ｐｒｏｔｏｃｏｌ）のリセットパケットを送信することにより不正接続を防止する装置などの場合、ＨＴＴＰ（Ｈｙｐｅｒ Ｔｅｘｔ Ｔｒａｎｓｆｅｒ Ｐｒｏｔｏｃｏｌ）など短時間で通信が完了するプロトコルにおいては、リセットパケットを送信した時点で既に通信が完了してしまい、不正接続の防止が間に合わない場合があるという問題があった。

本発明は、上記の事情にかんがみなされたものであり、ネットワーク上に一台の不正接続防止装置を設置するのみで、ネットワーク全体の不正接続防止を実現することにより、単一の管理手順を用いることができ、低コストで、ネットワーク内部からの不正接続も防止できるとともに、短時間で通信が完了するプロトコルに対しても有効なネットワークへの不正接続防止システム、及びネットワークへの不正接続防止装置の提供を目的とする。

上記目的を達成するため、本発明のネットワークへの不正接続防止システムは、ネットワークへの接続を許可されていない不許可装置が、当該ネットワークにおける一又は二以上の情報処理装置へ接続することを防止する不正接続防止システムであって、ネットワークへの接続を許可された装置のＭＡＣアドレスを格納する承認リスト記憶部を備え、ネットワークにブロードキャストされたＡＲＰリクエストの送信元のＭＡＣアドレスが承認リスト記憶部に存在しない場合、この送信元を不許可装置とし、ＡＲＰリクエストに対して、情報処理装置のＭＡＣアドレスとして偽りのＭＡＣアドレスを有するＡＲＰ応答パケットを不許可装置へ送信する不正接続防止装置を有する構成としてある。

ネットワークへの不正接続防止システムをこのような構成にすれば、ネットワークへの接続を許可されていない情報処理装置である不許可装置が、そのネットワークに接続し、当該ネットワーク内部の情報処理装置に接続することを防止することが可能となる。
すなわち、本発明によれば、ネットワークにおける内部サーバなどに接続しようとした不許可装置は、その内部サーバのＭＡＣアドレスとして、ネットワーク上に存在しない偽りのＭＡＣアドレスを用いて内部サーバへの接続を行おうとするため、その接続に失敗することになる。
このため、不許可装置により、ネットワークの内部サーバなどが保有するデータの盗難や改ざん、ウィルスのばらまきなどが行われることを防止することが可能となる。

また、本発明では、ルータやハブなどのハードウェアに依存しない方式を用いているため、どのような構成のネットワークに対しても適用可能となっている。
さらに、不正接続防止機能を装備したルータやハブをネットワーク内に導入する必要がないことから、システム全体のコストを抑えて、不正接続の防止を図ることが可能となっている。
なお、情報処理装置には、パーソナルコンピュータやサーバなどの他、情報処理機能を搭載しているプリンタやスキャナ、ファクシミリなどの各種装置も含まれるものである。以下において、この情報処理装置を機器と称する場合がある。

本発明のネットワークへの不正接続防止システムは、不正接続防止装置が、ネットワークへの接続を許可された情報処理装置のＭＡＣアドレスを格納する承認リスト記憶部を備え、不正接続防止装置が、ネットワーク上で通信される全てのパケットを無差別受信モードで収集し、収集したパケットに含まれる送信元のＭＡＣアドレスが、承認リスト記憶部に存在するか否かを確認して、存在しない場合にパケットの送信元を不許可装置として検出し、ＡＲＰリクエストの受信時に、所定の指定時間を設定し、指定時間の経過前後にかかわらず、情報処理装置から不許可装置へ正しいＡＲＰ応答パケットが送信された場合、正しいＡＲＰ応答パケットを受信して、当該受信直後に、偽りのＭＡＣアドレスを有するＡＲＰ応答パケットを不許可装置へ送信し、指定時間の経過時までに、正しいＡＲＰ応答パケットを受信しなかった場合、指定時間の経過時に、偽りのＭＡＣアドレスを有するＡＲＰ応答パケットを不許可装置へ送信する構成としてある。

ネットワークへの不正接続防止システムをこのような構成にすれば、不正接続防止装置は、不許可装置へ偽りのＡＲＰ応答パケットをより適切なタイミングで送信することが可能となる。
すなわち、不許可装置からＡＲＰリクエストを受け取った接続対象である内部サーバなどの情報処理装置は、正しいＭＡＣアドレスを有するＡＲＰ応答パケットを不許可装置に送信するため、この正しいＭＡＣアドレスを有するＡＲＰ応答パケットが不許可装置に送信された直後に、不許可装置における当該ＭＡＣアドレスを偽りのＭＡＣアドレスに書き換えてしまうことが望ましい。
このため、無差別受信モードにより、情報処理装置から不許可装置へ送信された正しいＭＡＣアドレスを有するＡＲＰ応答パケットを受信した不正接続防止装置は、これを受信するとすぐに偽りのＭＡＣアドレスを有するＡＲＰ応答パケットを不許可装置に送信している。

しかし、不正接続防止装置が、情報処理装置から不許可装置へ送信された正しいＭＡＣアドレスを有するＡＲＰ応答パケットの受信に失敗することなども考えられる。
このような場合にも、所定の指定時間経過時に情報処理装置のＭＡＣアドレスとして偽りのＭＡＣアドレスを不許可装置に設定しておくことにより、不正接続の防止をより確実なものとすることが可能となっている。

また、上記内部サーバなどの処理遅延などにより、不許可装置に対して、正しいＭＡＣアドレスを有するＡＲＰ応答パケットの送信が遅延し、所定の指定時間を経過する場合なども考えられるが、このような場合であっても、不許可装置に対して、正しいＭＡＣアドレスを有するＡＲＰ応答パケットが送信されるたびに、不正接続防止装置は、すぐに不許可装置へ偽りのＭＡＣアドレスを有するＡＲＰ応答パケットを送信するため、不許可装置は再び不正接続を行うことができなくなる。

なお、「ＡＲＰリクエストの受信時」とは、不正接続防止装置がＡＲＰリクエストを受信した時刻に厳密に限定することを意図したものではなく、ＡＲＰリクエストを送信した情報処理装置が、不許可装置として検出された時点としてとらえてもかまわないものである。すなわち、この「ＡＲＰリクエストの受信時」は、広く不正接続防止装置が不許可装置によるＡＲＰリクエストを受信したタイミングを指定しているものである。これは、以下においても同様である。

本発明のネットワークへの不正接続防止システムは、不正接続防止装置が、不許可装置に対して、情報処理装置のＭＡＣアドレスとして偽りのＭＡＣアドレスを有するＡＲＰ応答パケットを送信するとともに、情報処理装置に対して、不許可装置のＭＡＣアドレスとして偽りのＭＡＣアドレスを有するＡＲＰ応答パケットを送信する構成としてある。

ネットワークへの不正接続防止システムをこのような構成にすれば、不許可装置に手入力などによって、その不正接続対象である情報処理装置の正しいＭＡＣアドレスが設定された場合であっても、その不正接続を防止することが可能となる。
すなわち、本発明によれば、情報処理装置に対して、不許可装置のＭＡＣアドレスとして偽りのＭＡＣアドレスを有するＡＲＰ応答パケットを送信するため、情報処理装置が不許可装置へ応答を返す際に、応答パケットが不許可装置に返却されるのを妨害することができ、不許可装置による不正接続の防止をより確実なものとすることが可能となる。

本発明のネットワークへの不正接続防止システムは、不正接続防止装置が、不許可装置に対して、情報処理装置のＭＡＣアドレスとして偽りのＭＡＣアドレスを有するＡＲＰ応答パケットを送信するとともに、情報処理装置と同一のサブネット上に存在する全ての情報処理装置に対して、不許可装置のＭＡＣアドレスとして偽りのＭＡＣアドレスを有するＡＲＰ応答パケットを送信する構成としてある。

ネットワークへの不正接続防止システムをこのような構成にすれば、不許可装置が、不正接続対象である情報処理装置と同一サブネット内にある他の情報処理装置に対して、接続を試みようとした場合についても、その接続を防ぐことが可能となる。
すなわち、本発明によれば、不許可装置に対して情報処理装置のＭＡＣアドレスとして偽りのＭＡＣアドレスを有するＡＲＰ応答パケットを送信するのみならず、同一サブネットにおける全ての情報処理装置に対して、不許可装置のＭＡＣアドレスとして偽りのＭＡＣアドレスを有するＡＲＰ応答パケットを送信している。
このため、同一サブネットにおける全ての情報処理装置が不許可装置へ応答を返す際に、応答パケットが不許可装置に返却されることを妨害することができ、不許可装置による不正接続の防止をより確実なものとすることが可能となる。

本発明のネットワークへの不正接続防止システムは、不正接続防止システムが、ネットワークに中継装置を介して接続された外部情報処理装置を有するとともに、不正接続防止装置が、ネットワークに接続されている中継装置のＭＡＣアドレスを格納する中継装置リスト記憶部を備え、不正接続防止装置が、パケットに含まれる不許可装置が接続しようとしている情報処理装置のＩＰアドレスにもとづいて、不許可装置が、ネットワークに存在する情報処理装置と接続しようとしているか、又は、外部ネットワークに存在する外部情報処理装置と接続しようとしているかを判断し、外部ネットワークに存在する外部情報処理装置と接続しようとしている場合、不許可装置に対して、中継装置のＭＡＣアドレスとして偽りのＭＡＣアドレスを有するＡＲＰ応答パケットを送信するとともに、中継装置リスト記憶部にＭＡＣアドレスが格納されている全ての中継装置に対して、不許可装置のＭＡＣアドレスとして偽りのＭＡＣアドレスを有するＡＲＰ応答パケットを送信する構成としてある。

ネットワークへの不正接続防止システムをこのような構成にすれば、不許可装置が、ネットワークにおけるルータなどの中継装置を介して、外部ネットワークにおける外部情報処理装置に接続しようとした場合に、これを防止することが可能となる。
すなわち、不正接続防止装置は、不許可装置から送信されたパケットにもとづいて、不許可装置が接続しようとしている情報処理装置が外部ネットワークに存在するかどうかを確認し、外部ネットワークに存在する場合は、不許可装置に対して、中継装置のＭＡＣアドレスとして偽りのＭＡＣアドレスを有するＡＲＰ応答パケットを送信するとともに、内部ネットワーク上の全ての中継装置に対して、不許可装置のＭＡＣアドレスとして偽りのＭＡＣアドレスを有するＡＲＰ応答パケットを送信する。
これによって、不許可装置による中継装置へのパケット送信が阻害されるとともに、中継装置から不許可装置へのパケット送信が阻害されるため、不許可装置は、外部情報処理装置との接続を行うことができず、不許可装置によるネットワークへの不正接続の防止をより確実なものとすることが可能となる。

本発明のネットワークへの不正接続防止システムは、ネットワークへの接続を許可されていない不許可装置が、当該ネットワークにおける一又は二以上の情報処理装置へ接続することを防止する不正接続防止システムであって、ネットワーク上で通信される全てのパケットを無差別受信モードで収集してＡＲＰパケットであるかどうかを判断し、収集したＡＲＰパケットに含まれる送信元のＭＡＣアドレスが、ネットワークへの接続を許可された情報処理装置のＭＡＣアドレスを格納する承認リスト記憶部に存在するか否かを確認して、存在しない場合にＡＲＰパケットの送信元を不許可装置として検出し、この不許可装置のＩＰアドレスとＭＡＣアドレスを、ネットワークへの接続を許可されていない情報処理装置のＩＰアドレスとＭＡＣアドレスを格納する不許可リスト記憶部に登録して、かつ、当該不許可リスト記憶部に登録されている全ての不許可装置について、それぞれの不許可装置のＭＡＣアドレスとして偽りのＭＡＣアドレスを有するＡＲＰ応答パケットをブロードキャストする不正接続防止装置を有する構成としてある。

ネットワークへの不正接続防止システムをこのような構成にすれば、ネットワーク接続を許可された情報処理装置が、内部サーバと通信するために送信したＡＲＰパケットを、不正接続をしようとしている不許可装置が受信した場合であっても、この不許可装置が内部サーバなどに接続するのを妨害することが可能となる。
すなわち、不正接続防止装置は、ＡＲＰパケットを受信すると、このＡＲＰパケットが不許可装置から送信されたものである場合は、そのＩＰアドレスとＭＡＣアドレスを不許可リストに登録する。そして、この不許可リストに登録されている全ての不許可装置について、そのＭＡＣアドレスを偽ったＡＲＰ応答パケットをブロードキャストすることによって、不許可装置が、同一サブネット上に存在する全ての機器とやり取りすることを防止することが可能となる。

本発明のネットワークへの不正接続防止装置は、ネットワークへの接続を許可されていない不許可装置が、当該ネットワークにおける一又は二以上の情報処理装置へ接続することを防止する不正接続防止装置であって、ネットワークへの接続を許可された情報処理装置のＭＡＣアドレスを格納する承認リスト記憶部と、ネットワーク上で通信される全てのパケットを無差別受信モードで収集するパケット収集部と、収集したパケットに含まれる送信元のＭＡＣアドレスが、承認リスト記憶部に存在するか否かを確認し、存在しない場合にパケットの送信元を不許可装置として検出する接続可否判定部と、不許可装置によりブロードキャストされたＡＲＰリクエストに対して、情報処理装置から正しいＡＲＰ応答パケットが不許可装置へ送信された後に、情報処理装置のＭＡＣアドレスとして偽りのＭＡＣアドレスを有するＡＲＰ応答パケットを不許可装置へ送信する偽りのパケット送信部とを有する構成としてある。

ネットワークへの不正接続防止装置をこのような構成にすれば、不許可装置からブロードキャストされたＡＲＰリクエストに応じて、情報処理装置から正しいＭＡＣアドレスを有するＡＲＰ応答パケットが不許可装置へ送信された後に、不正接続防止装置から偽りのＭＡＣアドレスを有するＡＲＰ応答パケットを不許可装置へ送信することにより、不許可装置におけるＡＲＰテーブルを書き換えることができる。
このため、不許可装置から情報処理装置へのパケット送信は行えなくなり、不許可装置が情報処理装置に不正に接続することを防止することが可能となる。

本発明のネットワークへの不正接続防止装置は、偽りのパケット送信部が、不正接続防止装置によるＡＲＰリクエストの受信時に、所定の指定時間を設定し、指定時間の経過前後にかかわらず、情報処理装置から不許可装置へ正しいＡＲＰ応答パケットが送信された場合、不正接続防止装置による当該正しいＡＲＰ応答パケットの受信直後に、偽りのＭＡＣアドレスを有するＡＲＰ応答パケットを不許可装置へ送信し、指定時間の経過時までに、正しいＡＲＰ応答パケットの受信がなかった場合、指定時間の経過時に、偽りのＭＡＣアドレスを有するＡＲＰ応答パケットを不許可装置へ送信する構成としてある。

ネットワークへの不正接続防止装置をこのような構成にすれば、情報処理装置からの正しいＭＡＣアドレスを有するＡＲＰ応答パケットを不正接続防止装置が受信できなかったような場合についても、不許可装置におけるＡＲＰテーブルに情報処理装置のＭＡＣアドレスとして偽りのＭＡＣアドレスを登録させておくことができる。
これによって、不許可装置による情報処理装置への接続を妨害し、不正接続の防止効果を一層高めることが可能となる。

本発明のネットワークへの不正接続防止装置は、偽りのパケット送信部が、不許可装置に対して、情報処理装置のＭＡＣアドレスとして偽りのＭＡＣアドレスを有するＡＲＰ応答パケットを送信するとともに、情報処理装置に対して、不許可装置のＭＡＣアドレスとして偽りのＭＡＣアドレスを有するＡＲＰ応答パケットを送信する構成としてある。

ネットワークへの不正接続防止装置をこのような構成にすれば、不許可装置が情報処理装置へパケットの送信を行うことができないようになるのみならず、情報処理装置から不許可装置へパケットの送信を行うこともできないようになり、不正接続の防止をより確実なものとすることが可能となる。

本発明のネットワークへの不正接続防止装置は、偽りのパケット送信部が、不許可装置に対して、情報処理装置のＭＡＣアドレスとして偽りのＭＡＣアドレスを有するＡＲＰ応答パケットを送信するとともに、情報処理装置と同一のサブネット上に存在する全ての情報処理装置に対して、不許可装置のＭＡＣアドレスとして偽りのＭＡＣアドレスを有するＡＲＰ応答パケットを送信する構成としてある。

ネットワークへの不正接続防止装置をこのような構成にすれば、不許可装置が情報処理装置へパケットの送信を行うことができないようになるのみならず、その情報処理装置と同一サブネット上に存在する全ての情報処理装置が不許可装置へパケットの送信を行うことができないようにすることができる。
このため、不許可装置が、ネットワークにおける一の情報処理装置に接続しようとした場合、同一サブネット上に存在する全ての情報処理装置からのパケットを受け取ることができなくなり、不許可装置によるネットワークへの不正接続の防止をより強固なものとすることが可能となる。

本発明のネットワークへの不正接続防止装置は、不正接続防止装置が、ネットワークに接続されている中継装置のＭＡＣアドレスを格納する中継装置リスト記憶部と、パケットに含まれる不許可装置が接続しようとしている情報処理装置のＩＰアドレスにもとづいて、不許可装置が、ネットワークに存在する情報処理装置と接続しようとしているか、又は、外部ネットワークに存在する外部情報処理装置と接続しようとしているかを判断するネットワーク判定部とを有し、偽りのパケット送信部が、不許可装置が外部ネットワークに存在する外部情報処理装置と接続しようとしている場合、不許可装置に対して、中継装置のＭＡＣアドレスとして偽りのＭＡＣアドレスを有するＡＲＰ応答パケットを送信するとともに、中継装置リスト記憶部にＭＡＣアドレスが格納されている全ての中継装置に対して、不許可装置のＭＡＣアドレスとして偽りのＭＡＣアドレスを有するＡＲＰ応答パケットを送信する構成としてある。

ネットワークへの不正接続防止装置をこのような構成にすれば、不許可装置が、ルータなどの中継装置を経由して、外部ネットワークにおける情報処理装置に不正接続しようとした場合、中継装置から不許可装置へのパケット送信を行えなくすることができるとともに、不許可装置から中継装置へのパケット送信を行えなくすることも可能となる。
このため、不許可装置によるネットワークへの不正接続をさらに効果的に防止することが可能となる。

本発明のネットワークへの不正接続防止装置は、ネットワークへの接続を許可されていない不許可装置が、当該ネットワークにおける一又は二以上の情報処理装置へ接続することを防止する不正接続防止装置であって、ネットワークへの接続を許可された情報処理装置のＭＡＣアドレスを格納する承認リスト記憶部と、ネットワークへの接続を許可されていない情報処理装置のＩＰアドレスとＭＡＣアドレスを格納する不許可リスト記憶部と、ネットワーク上で通信される全てのパケットを無差別受信モードで収集するパケット収集部と、収集したパケットがＡＲＰパケットであるかどうかを判断し、ＡＲＰパケットである場合、当該ＡＲＰパケットに含まれる送信元のＭＡＣアドレスが、承認リスト記憶部に存在するか否かを確認し、存在しない場合、パケットの送信元を不許可装置として検出し、この不許可装置のＩＰアドレスとＭＡＣアドレスを、不許可リスト記憶部に登録する接続可否判定部と、不許可リスト記憶部に登録されている全ての不許可装置について、それぞれの不許可装置のＭＡＣアドレスとして偽りのＭＡＣアドレスを有するＡＲＰ応答パケットをブロードキャストする偽りのパケット送信部とを有する構成としてある。

ネットワークへの不正接続防止装置をこのような構成にすれば、ネットワークへの接続が許可されていない不許可装置が登録されている不許可リストにもとづいて、不許可装置のＭＡＣアドレスを偽ったＡＲＰ応答パケットをブロードキャストすることができるため、不許可装置が、同一サブネット上に存在する全ての機器と通信することを防ぐことが可能となる。

本発明によれば、ネットワークへの接続を許可されていないパーソナルコンピュータなどの不許可装置が、内部サーバや、その他の同一サブネット上に存在する機器に接続することを防止できるとともに、ルータなどを経由して、外部ネットワークにおける機器に接続することも防止することが可能となる。
このため、不許可装置によるデータの盗難、改ざん、ウィルスのばらまき等を防ぐことができるとともに、個人のコンピュータを社内のネットワークに接続することにより社内システムのセキュリティが低下することなども防止することが可能となる。

また、従来の短時間で通信が完了するプロトコルにおいて、リセットパケットにより不正接続を防止しようとした場合、これを送信した時点ではすでに通信が完了し、防止が間に合わないことがあったが、本発明によれば、このような問題は生じることがない。
さらに、本発明は、ルータやハブなどのハードウェアに依存しない方式を用いて不正接続の防止を実現しているため、ネットワークの構成に制限を受けることなく、様々な環境に柔軟に適用することが可能なものとなっており、かつ、不正接続防止機能を装備したルータやハブを導入する必要がないことから、システム全体のコスト削減も可能となっている。

以下、本発明の実施形態につき、図面を参照して説明する。
［第一実施形態］
まず、本発明の第一実施形態の構成について、図１及び図２を参照して説明する。図１は、本実施形態のネットワークへの不正接続防止システムの構成を示すブロック図である。図２は、同システムにおける不正接続防止装置の構成を示すブロック図である。

図１に示すように、本実施形態のネットワークへの不正接続防止システムは、不正接続防止装置１０，承認リスト１０−１，内部サーバ２０、及びネットワーク８０を有しており、このネットワーク８０に対して、ＰＣ３０が不正に接続しようとしている。
不正接続防止装置１０は、ネットワークへの接続を許可された機器情報を有する承認リスト１０−１にもとづいて、ネットワークへの接続が許可されていない機器が不正にネットワークへ接続することを防止する装置である。
この不正接続防止装置１０は、ネットワークに不正に接続されたＰＣ３０が内部サーバ２０にアクセスした場合、内部サーバ２０のＭＡＣアドレスを偽ったＡＲＰ応答パケットをＰＣ３０に送信し、ＰＣ３０のＡＲＰテーブルを書き換える。

不正接続防止装置１０は、図２に示すように、承認リスト記憶部１０−１（承認リスト１０−１），パケット収集部１０−２，接続可否判定部１０−３，偽りのパケット送信部１０−４を有している。
承認リスト記憶部１０−１は、ネットワークへの接続が許可された機器のＭＡＣアドレスを格納する記憶装置である。この承認リストは、あらかじめ不正接続防止装置１０に格納しておく。本実施形態においては、ＰＣ３０のＭＡＣアドレスは、承認リスト記憶部１０−１に登録されていないものとしている。
なお、承認リスト記憶部１０−１を不正接続防止装置１０の内部に保有させる必要はなく、外部記憶装置として備えてもよいことは言うまでもない。

パケット収集部１０−２は、ネットワーク８０上に流れている全てのパケットを無差別受信モードで収集し、これを接続可否判定部１０−３に受け渡す。
接続可否判定部１０−３は、パケット収集部により収集されたパケットに含まれる送信元のＭＡＣアドレスにもとづき承認リスト記憶部１０−１を参照し、その機器がネットワークへの接続を許可されているものであるかどうかを判定する。
すなわち、送信元のＭＡＣアドレスが、承認リスト記憶部１０−１に存在しない場合は、そのパケットの送信元を、ネットワークへの接続を許可されていない不許可装置として検出し、そのパケットを偽りのパケット送信部１０−４に通知する。
偽りのパケット送信部１０−４は、不許可装置に対して、ネットワークへの不正接続を防止する偽りのパケットを送信する。

内部サーバ２０は、ＰＣ３０からの要求を受信し、応答をＰＣ３０へ返信する情報処理装置である。
ＰＣ３０は、ネットワークに不正に接続され、内部サーバ２０などへのアクセスを試みる情報処理装置である。
ネットワーク８０は、従来公知の任意好適な公衆回線、商業回線又は専用回線を用いることができる。また、ネットワーク８０は、不正接続防止装置１０，内部サーバ２０，ＰＣ３０のそれぞれの間を、無線あるいは有線で接続可能な回線であり、例えば、公衆回線網、専用回線網、インターネット回線網及びイントラネット網により構成することができる。

次に、本実施形態のネットワークへの不正接続防止システムにおける処理手順について、図３を参照して説明する。
同図は、本実施形態のネットワークへの不正接続防止システムにおける処理手順を示すフローチャートである。

まず、不正接続防止装置１０のパケット収集部１０−２が、パケット収集ループを開始することによりネットワーク上に流れている全てのパケットを無差別受信モードで収集する（ステップＡ１）。ＰＣ３０から内部サーバ２０に接続するためのＡＲＰリクエストがブロードキャストされた場合も、そのＡＲＰリクエストは、ステップＡ１において収集される。
次に、接続可否判定部１０−３は、受信したパケットにおける送信元の機器のＭＡＣアドレスが、承認リスト１０−１に存在するかどうかを確認することによって、その送信元の機器が、ネットワークへの接続を許可されたものであるかどうかを判断する（ステップＡ２）。

受信したパケットの送信元の機器のＭＡＣアドレスが、承認リスト１０−１に存在する場合、その機器については、ネットワークへの接続を防止しない（ステップＡ３）。
受信したパケットの送信元の機器のＭＡＣアドレスが、承認リスト１０−１に存在しない場合、その機器に対して、ネットワークへの不正接続を防止するための偽りのパケットを送信する（ステップＡ４）。
これによって、そのＭＡＣアドレスが承認リスト１０−１に登録されていないＰＣ３０が、内部サーバ２０と通信を行うことを防止することが可能となっている。

ここで、偽りのパケットによる不正接続の防止は、内部サーバ２０のＭＡＣアドレスをＭｓ、ＩＰアドレスをＩｓとし、ネットワーク上に存在しないＭＡＣアドレスをＭｘとした場合、ＰＣ３０に対して、ＩＰアドレスＩｓに対応するＭＡＣアドレスはＭｘであることを示すＡＲＰ応答パケットを送信することにより実現している。
すなわち、不正接続防止装置１０からＰＣ３０に対して、このようなＡＲＰ応答パケットを送信することにより、以後、ＰＣ３０は、内部サーバ２０にパケットを送信する際に、ＩＰアドレスＩｓに対応するＭＡＣアドレスとしてＭｘ宛にパケットを送信することとなる。これによって、ＰＣ３０のパケットが内部サーバ２０に到着することを防止している。

次に、ＰＣ３０への偽りのパケットの送信タイミングについて、さらに詳細に説明する。
ＰＣ３０、内部サーバ２０、及び不正接続防止装置１０は、それぞれ以下のような順序でやり取りを行う。
（１）ＰＣ３０が、内部サーバ２０に通信するためのＡＲＰリクエストをネットワーク８０にブロードキャストする。
（２）内部サーバ２０が、正しいＡＲＰ応答パケット（ＩＰアドレス：Ｉｓ，ＭＡＣアドレス：Ｍｓ）をＰＣ３０へ送信する。
（３）不正接続防止装置１０が、偽りのＡＲＰ応答パケット（ＩＰアドレス：Ｉｓ，ＭＡＣアドレス：Ｍｘ）をＰＣ３０へ送信することにより、ＰＣ３０におけるＡＲＰテーブルを書き換える。

ここで、不正接続防止装置１０は、原則として（２）のパケットをトリガとして、（３）のパケットを送信するが、それ以外にも以下のような動作により（３）のパケットを送信する。
不正接続防止装置１０は、まず、（１）のパケットを受信したタイミングで、所定の指定時間を設定する。
そして、指定時間が経過する前に（２）のパケットを受信した場合は、すぐに（３）のパケットを送信する。

（２）のパケットを受信することなく指定時間が経過した場合は、その指定時間の経過時に、（３）のパケットを送信する。この場合、（３）のパケットの送信後、（２）のパケットが送信されることにより、ＰＣ３０が内部サーバ２０と通信できてしまうという問題が生じるが、不正接続防止装置１０は、（２）のパケットを受信するたびに、すぐに（３）のパケットを送信するため、再びＰＣ３０が内部サーバ２０と通信することを防止することが可能となっている。

なお、不正接続防止装置１０において、受信したパケットが（２）のパケットであることは、（１）のパケットにおける送信先のＩＰアドレスが、送信元のＩＰアドレスに設定されたＡＲＰ応答パケットであることを確認することによって行うことが可能である。この動作は、接続可否判定部１０−３又は偽りのパケット送信部１０−４のいずれかに行わせるようにすることが好ましい。
以上の処理タイミングについては、以降の実施形態において、ＰＣ３０が不正に通信しようとする相手が、第一実施形態における機器と異なる対象である場合であっても、同様のものとすることができる。

［第二実施形態］
次に、本発明の第二実施形態について、図４を参照して説明する。同図は、本実施形態のネットワークへの不正接続防止システムにおける処理手順を示すフローチャートである。
本実施形態は、内部サーバ２０のＭＡＣアドレスＭｓがＰＣ３０に静的に設定された場合にも対応可能な点で第一実施形態と異なる。

すなわち、第一実施形態では、ネットワークに不正接続されたＰＣ３０を騙すことで不正接続の防止を実現しているが、ＰＣ３０において、内部サーバ２０のＭＡＣアドレスＭｓが、例えば手入力などによって正しく設定し直された場合などには、ＰＣ３０から内部サーバ２０へのパケットの送信が可能となってしまう。
本実施形態は、このような問題を解決するために、第一実施形態におけるアルゴリズムに改良を加えたものである。

本実施形態における不正接続防止システムの構成については、図１及び図２に示す第一実施形態におけるものと同様のものを用いることができるが、本実施形態における不正接続防止装置１０の偽りのパケット送信部１０−４は、ＰＣ３０に偽りのパケットを送信するのみならず、内部サーバ２０に対しても偽りのパケットを送信する。その他の構成については、第一実施形態におけるものと同様である。

図４において、ステップＡ１〜Ａ４は、図３に示す第一実施形態におけるものと同様である。
しかし、本実施形態では、不正接続防止装置１０は、ＰＣ３０に対して、第一実施形態における場合と同様の偽りのパケットを送信する（ステップＡ４）ことに加え、内部サーバ２０に対しても、偽りのパケットを送信する（ステップＢ１）。
これによって、内部サーバ２０がＰＣ３０に応答を返す際に、その応答パケットがＰＣ３０に返却されるのを妨害し、ＰＣ３０の不正接続の防止をより確実なものにすることが可能となっている。

ここで、内部サーバ２０へ送信する偽りのパケットは、ＰＣ３０のＭＡＣアドレスをＭｐ、ＩＰアドレスをＩｐとすると、ＩＰアドレスＩｐに対応するＭＡＣアドレスはＭｘであることを示すＡＲＰ応答パケットである。
これにより、以後、内部サーバ２０がＰＣ３０に応答パケットを送信する際、ＩＰアドレスＩｐに対応するＭＡＣアドレスとしてＭｘ宛にパケットを送信してしまい、パケットがＰＣ３０に到着することを防止することが可能となっている。

［第三実施形態］
次に、本発明の第三実施形態について、図５，図６を参照して説明する。図５は、本実施形態のネットワークへの不正接続防止システムの構成を示すブロック図である。図６は、本実施形態のネットワークへの不正接続防止システムにおける不正接続防止装置の構成を示すブロック図である。
本実施形態は、不正に接続されたＰＣ３０がルータ４０を介して外部サーバ５０に接続しようと試みる場合にも、その不正接続を防止することが可能となる点で第二実施形態と異なる。

すなわち、第二実施形態では、ネットワーク内部における不正接続を防止することはできるが、図５に示すように、不正に接続されたＰＣ３０がルータ４０を経由して外部サーバ５０と通信する場合、パケットは外部サーバ５０ではなくルータ４０のＭＡＣアドレスに向けて送信されるため、第一実施形態や第二実施形態のアルゴリズムにより、外部サーバ５０のＭＡＣアドレスを偽装することは無意味となる。
本実施形態は、このような問題を解決するために、第二実施形態におけるアルゴリズムに改良を加えたものである。

本実施形態の不正接続防止装置１０は、図６に示すように、承認リスト記憶部１０−１，パケット収集部１０−２，接続可否判定部１０−３，ルータリスト記憶部１０−５（ルータリスト１０−５），ネットワーク判定部１０−６，偽りのパケット送信部１０−７を有している。
承認リスト記憶部１０−１，パケット収集部１０−２，接続可否判定部１０−３については、図２に示すものと同様である。

ルータリスト記憶部１０−５は、ネットワーク８０に接続されているルータのＭＡＣアドレスを格納する記憶装置である。このルータリストも、承認リストと同様に、あらかじめ不正接続防止装置１０に格納しておく。
なお、ルータリストについても不正接続防止装置１０の内部に保有させる必要はなく、外部記憶装置として備えてもよいことは言うまでもない。

ネットワーク判定部１０−６は、接続可否判定部１０−３によって、ＰＣ３０が不許可装置として検出されると、このＰＣ３０の通信相手が、内部ネットワークに存在するかどうかを判定し、その結果をパケットの情報とともに偽りのパケット送信部１０−７へ通知する。この内部ネットワークに存在するかどうかの判定は、ＰＣ３０によりブロードキャストされたＡＲＰリクエストにおける送信先のＩＰアドレスにもとづいて、そのＩＰアドレスが同一サブネット内のアドレスであるかどうかを判断することにより行うことができる。

偽りのパケット送信部１０−７は、ＰＣ３０の通信相手が、内部ネットワークにおける機器である場合は、第二実施形態における場合と同様に、ＰＣ３０に偽りのパケットを送信するとともに、内部サーバ２０に対しても偽りのパケットを送信する。
ＰＣ３０の通信相手が、外部ネットワークにおける機器である場合は、ＰＣ３０に偽りのパケットを送信するとともに、ルータリスト記憶部１０−５に登録されている全てのルータに対して偽りのパケットを送信する。

次に、本実施形態のネットワークへの不正接続防止システムにおける処理手順について、図７を参照して説明する。
同図は、本実施形態のネットワークへの不正接続防止システムにおける処理手順を示すフローチャートである。
図７において、ステップＡ１〜Ａ３までは、図４に示す第二実施形態におけるものと同様である。

次に、不正接続防止装置１０のネットワーク判定部１０−６は、ＰＣ３０の通信相手が内部ネットワークに存在するか否かを判断する（ステップＣ１）。
ＰＣ３０の通信相手が内部ネットワークに存在する場合は、ＰＣ３０に偽りのパケットを送信し（ステップＡ４）、さらに内部サーバ２０に対して偽りのパケットを送信する（ステップＢ１）。

ＰＣ３０の通信相手が外部ネットワークに存在する場合は、ＰＣ３０にステップＡ４におけるものとは異なる偽りのパケットを送信し（ステップＣ２）、さらにルータリスト１０−５に登録された全てのルータに対して偽りのパケットを送信する（ステップＣ３）。
これによって、ルータ経由の通信に関しても、ＰＣ３０の不正接続を防止することが可能となっている。

ここで、ＰＣ３０が外部ネットワークへ接続する場合に、不正接続防止装置１０がＰＣ３０へ送信する偽りのパケットは、ルータ４０のＭＡＣアドレスをＭｒ、ＩＰアドレスをＩｒとすると、ＩＰアドレスＩｒに対応するＭＡＣアドレスはＭｘであることを示すＡＲＰ応答パケットである。
これにより、以後、ＰＣ３０は、ルータ４０にパケットを送信する際、ＩＰアドレスＩｒに対応するＭＡＣアドレスとしてＭｘ宛に送信してしまい、パケットがルータ４０に到着することを防止することが可能となっている。

また、ルータ４０へ送信する偽りのパケットは、ＩＰアドレスＩｐに対応するＭＡＣアドレスはＭｘであることを示すＡＲＰ応答パケットである。
これにより、以後、ルータは、ＰＣ３０にパケットを送信する際、ＩＰアドレスＩｐに対応するＭＡＣアドレスとしてＭｘ宛にパケットを送信してしまい、パケットがＰＣ３０に到着することを防止することが可能となっている。
なお、本実施形態によれば、外部サーバ５０が、サーバ以外の情報処理装置であっても、同様にＰＣ３０からの不正接続を防止することが可能である。

［第四実施形態］
次に、本発明の第四実施形態について、図８を参照して説明する。同図は、本実施形態のネットワークへの不正接続防止システムにおける処理手順を示すフローチャートである。
本実施形態は、不正に接続されたＰＣ３０が内部サーバ２０のみならず、同一サブネット内にあるその他の機器へ接続しようと試みる場合にも、その不正接続を防止することが可能となる点で第二実施形態と異なる。
すなわち、第二実施形態では、内部サーバ２０への不正接続は防止できるが、同一サブネット内にあるその他の機器への不正接続を防止することはできない。
本実施形態は、このような問題を解決するために、第二実施形態におけるアルゴリズムに改良を加えたものである。

本実施形態の構成については、図１及び図２に示す第一実施形態におけるものと同様のものを用いることができるが、本実施形態におけるネットワーク８０には、内部サーバ１０以外にもＰＣ３０が通信を試みる相手としての機器が存在することを想定している。
また、本実施形態における不正接続防止装置１０の偽りのパケット送信部１０−４は、ＰＣ３０に偽りのパケットを送信するのみならず、同一サブネット上の全ての機器に偽りのパケットを送信する。その他の構成については、第一実施形態におけるものと同様である。

図８において、ステップＡ１〜Ａ４は、図４に示す第二実施形態におけるものと同様である。
しかし、本実施形態では、ＰＣ３０に偽りのパケットを送信する（ステップＡ４）ことに加え、同一サブネット上の全ての機器へ偽りのパケットを送信する（ステップＤ１）。これにより、内部サーバ２０に限らず、同一サブネット上の全ての機器がＰＣ３０に応答を返す際に、応答パケットがＰＣ３０に返却されるのを妨害し、ＰＣ３０のネットワークへの不正接続の防止をより確実なものにすることが可能となる。

ここで、同一サブネット上の全ての機器へ送信する偽りのパケットは、ＩＰアドレスＩｐに対応するＭＡＣアドレスはＭｘであることを示すＡＲＰ応答パケットである。これにより、以降、同一サブネット上の機器がＰＣ３０に応答パケットを送信する際、ＩＰアドレスＩｐに対応するＭＡＣアドレスとしてＭｘ宛にパケットを送信してしまい、パケットがＰＣ３０に到着することを防止することが可能となる。

［第五実施形態］
次に、本発明の第五実施形態について、図９，図１０を参照して説明する。図９は、本実施形態のネットワークへの不正接続防止システムの構成を示すブロック図である。図１０は、本実施形態のネットワークへの不正接続防止システムにおける不正接続防止装置の構成を示すブロック図である。
本実施形態は、ネットワーク接続を許可された情報処理装置が、内部サーバ２０と通信するために送信したＡＲＰパケットを、不正接続をしようとしているＰＣが受信した場合であっても、そのＰＣによる不正接続を防止することが可能となる点で第一実施形態〜第四実施形態と異なる。

すなわち、第一実施形態〜第四実施形態のアルゴリズムでは、ＰＣ３０が内部サーバ２０に送信したＡＲＰパケットが不正接続防止処理のトリガとなっているが、この場合、図９に示すようなブロードキャストセグメント上の接続が許可された承認ＰＣ７０が内部サーバ２０に送信したＡＲＰ要求パケットや、内部サーバ２０が承認ＰＣ７０に返信したＡＲＰ応答パケットに対し、不正接続防止装置１０は対応しない。このため、このＡＲＰパケットを不許可ＰＣ６０が受信したタイミングで、不許可ＰＣ６０は、承認ＰＣ７０や内部サーバ２０への接続が可能になってしまう。
本実施形態は、このような問題を解決するために、上記実施形態におけるアルゴリズムに改良を加えたものである。

本実施形態のネットワークへの不正接続防止システムは、図９に示すように、承認リスト記憶部１０−１と不許可リスト１０−８を備えた不正接続防止装置１０，内部サーバ２０，不許可ＰＣ６０，承認ＰＣ７０を有している。
本実施形態の不正接続防止装置１０は、図１０に示すように、承認リスト記憶部１０−１，パケット収集部１０−２，不許可リスト記憶部１０−８（不許可リスト１０−８），接続可否判定部１０−９，偽りのパケット送信部１０−１０を有している。

承認リスト記憶部１０−１，パケット収集部１０−２については、図２に示すものと同様である。
不許可リスト記憶部１０−８は、ネットワークへの接続が許可されていない（承認リスト１０−１にＭＡＣアドレスが格納されていない）ＰＣのＩＰアドレスとＭＡＣアドレスを格納する記憶装置である。なお、不許可リストについても不正接続防止装置１０の内部に保有させる必要はなく、外部記憶装置として備えてもよいことは言うまでもない。

接続可否判定部１０−９は、パケット収集部１０−２により収集されたパケットが、ＡＲＰパケット（ＡＲＰ要求、ＡＲＰ応答ともに含む）であるかどうかを判断する。そして、ＡＲＰパケットについては、その送信元のＭＡＣアドレスにもとづき承認リスト記憶部１０−１を参照し、送信元の機器がネットワークへの接続を許可されているものであるかどうかを判定する。さらに、送信元の機器が、ネットワークへの接続を許可されていない不許可ＰＣ６０である場合、そのＩＰアドレスとＭＡＣアドレスを不許可リスト記憶部１０−８に登録する。
偽りのパケット送信部１０−１０は、不許可リスト記憶部１０−８に登録されている全ての不許可ＰＣ６０のＭＡＣアドレスを偽ったパケットを、ブロードキャスト送信する。

内部サーバ２０は、図１に示すものと同様である。
不許可ＰＣ６０は、第一実施形態〜第四実施形態におけるＰＣ３０に相当するものであり、ネットワーク８０への接続が許可されていない情報処理装置である。
承認ＰＣ７０は、そのＭＡＣアドレスが承認リスト記憶部１０−１に格納されており、ネットワーク８０への接続が許可されている情報処理装置である。

次に、本実施形態のネットワークへの不正接続防止システムにおける処理手順について、図１１を参照して説明する。
同図は、本実施形態のネットワークへの不正接続防止システムにおける処理手順を示すフローチャートである。
図１１において、ステップＡ１は、図３に示す第一実施形態におけるものと同様である。

次に、不正接続防止装置１０がパケットを受信した際、そのパケットがＡＲＰパケットであるかどうかを判断し（ステップＥ１）、ＡＲＰパケットであれば、そのパケットの送信元の機器のＭＡＣアドレスが、承認リスト記憶部１０−１に存在するかどうかを判断する（ステップＥ２）。すなわち、送信元が不許可ＰＣ６０であるか、あるいは承認ＰＣ７０であるかを判断する。
送信元が不許可ＰＣ６０である場合、不正接続防止装置１０は、不許可ＰＣ６０のＩＰアドレスとＭＡＣアドレスを不許可リスト１０−８に登録する（ステップＥ３）。送信元が承認ＰＣ７０である場合は、このステップを省略する。

次に、不正接続防止装置１０は、不許可リスト１０−８に登録されている全ての不許可ＰＣ６０について、ＭＡＣアドレスを偽ったＡＲＰパケットをブロードキャスト送信する（ステップＥ４）。
これにより、不許可ＰＣ６０が保持していた内部サーバ２０のＭＡＣアドレスが正しいものに戻り、内部サーバ２０に対して不正接続しようとしても、内部サーバ２０はこれに応答しなくなるため、不正な接続を妨害することが可能となっている。

ここで、不許可リスト１０−８に存在する不許可ＰＣ６０のＩＰアドレスをＩｐとすると、ブロードキャスト送信する上記ＭＡＣアドレスを偽ったＡＲＰパケットは、ＩＰアドレスＩｐに対応するＭＡＣアドレスはＭｘであることを示すＡＲＰ応答パケットである。
これにより、以後、不許可ＰＣ６０に関係ないＡＲＰパケットを不許可ＰＣ６０が受信したとしても、不許可ＰＣ６０が、このＡＲＰパケットを用いて不正接続を行うことを防止することが可能となっている。

なお、上記各実施形態において、内部サーバ２０，ＰＣ３０，ルータ４０，外部サーバ５０，不許可ＰＣ６０，承認ＰＣ７０は、不正接続防止システム内にそれぞれ複数もたせてもかまわない。
また、以上のアルゴリズムの実装の際には、あるパケットが別のパケットの引き金となりパケットの連鎖反応が起こることによって、ネットワーク上に多数のパケットが集中して発生してしまうストーム（ｓｔｏｒｍ）などの現象を引き起こさないように、偽りのパケット送信を同一機器に対して行う場合、最低でも０．５秒は間をあける等の設定を行うことなどを考慮することも必要である。

また、上記の各実施形態における接続可否判定や、偽りのパケット送信などの各処理は、ネットワークへの不正接続防止プログラムにより実行される。
このネットワークへの不正接続防止プログラムは、不正接続防止装置におけるメモリ上に展開されてＣＰＵとの協働作業により上述の各処理部により実行される。
すなわち、本実施形態における上各処理は、ネットワークへの不正接続防止プログラムと不正接続防止装置とが協働して実現している。

なお、本発明は以上の実施形態に限定されるものではなく、本発明の範囲内において、種々の変更実施が可能であることは言うまでもない。
例えば、不正接続防止装置における各構成要素を、より詳細な機能ごとに分割して構成するなど適宜変更することが可能である。

社内ネットワークを有する企業における社員が、個人のコンピュータなどをそのネットワークに接続することにより、社内システムのセキュリティが低下することを防止する用途などにおいて、好適に利用することが可能である。また、部外者が、社内ネットワークに個人のコンピュータを接続して機密情報にアクセスし、その情報を持ち帰るといった情報漏洩を防止したい場合などにも利用することが可能である。

本発明の第一実施形態のネットワークへの不正接続防止システムの構成を示すブロック図である。 本発明の第一実施形態のネットワークへの不正接続防止システムにおける不正接続防止装置の構成を示すブロック図である。 本発明の第一実施形態のネットワークへの不正接続防止システムにおける処理手順を示すフローチャートである。 本発明の第二実施形態のネットワークへの不正接続防止システムにおける処理手順を示すフローチャートである。 本発明の第三実施形態のネットワークへの不正接続防止システムの構成を示すブロック図である。 本発明の第三実施形態のネットワークへの不正接続防止システムにおける不正接続防止装置の構成を示すブロック図である。 本発明の第三実施形態のネットワークへの不正接続防止システムにおける処理手順を示すフローチャートである。 本発明の第四実施形態のネットワークへの不正接続防止システムにおける処理手順を示すフローチャートである。 本発明の第五実施形態のネットワークへの不正接続防止システムの構成を示すブロック図である。 本発明の第五実施形態のネットワークへの不正接続防止システムにおける不正接続防止装置の構成を示すブロック図である。 本発明の第五実施形態のネットワークへの不正接続防止システムにおける処理手順を示すフローチャートである。

符号の説明

１０ 不正接続防止装置
１０−１ 承認リスト記憶部（承認リスト）
１０−２ パケット収集部
１０−３，１０−９ 接続可否判定部
１０−４，１０−７，１０−１０ 偽りのパケット送信部
１０−５ ルータリスト記憶部（ルータリスト）
１０−６ ネットワーク判定部
１０−８ 不許可リスト記憶部（不許可リスト）
２０ 内部サーバ
３０ パーソナルコンピュータ（ＰＣ）
４０ ルータ
５０ 外部サーバ
６０ 不許可パーソナルコンピュータ（ＰＣ）
７０ 承認パーソナルコンピュータ（ＰＣ）
８０ ネットワーク

Claims (12)

1. ネットワークへの接続を許可されていない不許可装置が、当該ネットワークにおける一又は二以上の情報処理装置へ接続することを防止する不正接続防止システムであって、
   前記ネットワークへの接続を許可された装置のＭＡＣアドレスを格納する承認リスト記憶部を備え、前記ネットワークにブロードキャストされたＡＲＰリクエストの送信元のＭＡＣアドレスが前記承認リスト記憶部に存在しない場合、この送信元を前記不許可装置とし、前記ＡＲＰリクエストに対して、前記情報処理装置のＭＡＣアドレスとして偽りのＭＡＣアドレスを有するＡＲＰ応答パケットを前記不許可装置へ送信する不正接続防止装置を有する
   ことを特徴とする不正接続防止システム。
2. 前記不正接続防止装置が、前記ネットワークへの接続を許可された情報処理装置のＭＡＣアドレスを格納する承認リスト記憶部を備え、
   前記不正接続防止装置が、
   前記ネットワーク上で通信される全てのパケットを無差別受信モードで収集し、
   前記収集したパケットに含まれる送信元のＭＡＣアドレスが、前記承認リスト記憶部に存在するか否かを確認して、存在しない場合に前記パケットの送信元を前記不許可装置として検出し、
   前記ＡＲＰリクエストの受信時に、所定の指定時間を設定し、
   前記指定時間の経過前後にかかわらず、前記情報処理装置から前記不許可装置へ前記正しいＡＲＰ応答パケットが送信された場合、前記正しいＡＲＰ応答パケットを受信して、当該受信直後に、前記偽りのＭＡＣアドレスを有するＡＲＰ応答パケットを前記不許可装置へ送信し、
   前記指定時間の経過時までに、前記正しいＡＲＰ応答パケットを受信しなかった場合、前記指定時間の経過時に、前記偽りのＭＡＣアドレスを有するＡＲＰ応答パケットを前記不許可装置へ送信する
   ことを特徴とする請求項１記載の不正接続防止システム。
3. 前記不正接続防止装置が、
   前記不許可装置に対して、前記情報処理装置のＭＡＣアドレスとして偽りのＭＡＣアドレスを有するＡＲＰ応答パケットを送信するとともに、
   前記情報処理装置に対して、前記不許可装置のＭＡＣアドレスとして偽りのＭＡＣアドレスを有するＡＲＰ応答パケットを送信する
   ことを特徴とする請求項１又は２記載の不正接続防止システム。
4. 前記不正接続防止装置が、
   前記不許可装置に対して、前記情報処理装置のＭＡＣアドレスとして偽りのＭＡＣアドレスを有するＡＲＰ応答パケットを送信するとともに、
   前記情報処理装置と同一のサブネット上に存在する全ての情報処理装置に対して、前記不許可装置のＭＡＣアドレスとして偽りのＭＡＣアドレスを有するＡＲＰ応答パケットを送信する
   ことを特徴とする請求項１又は２記載の不正接続防止システム。
5. 前記不正接続防止システムが、前記ネットワークに中継装置を介して接続された外部情報処理装置を有するとともに、前記不正接続防止装置が、ネットワークに接続されている中継装置のＭＡＣアドレスを格納する中継装置リスト記憶部を備え、
   前記不正接続防止装置が、前記パケットに含まれる前記不許可装置が接続しようとしている情報処理装置のＩＰアドレスにもとづいて、前記不許可装置が、前記ネットワークに存在する情報処理装置と接続しようとしているか、又は、外部ネットワークに存在する外部情報処理装置と接続しようとしているかを判断し、外部ネットワークに存在する外部情報処理装置と接続しようとしている場合、
   前記不許可装置に対して、前記中継装置のＭＡＣアドレスとして偽りのＭＡＣアドレスを有するＡＲＰ応答パケットを送信するとともに、
   前記中継装置リスト記憶部にＭＡＣアドレスが格納されている全ての中継装置に対して、前記不許可装置のＭＡＣアドレスとして偽りのＭＡＣアドレスを有するＡＲＰ応答パケットを送信する
   ことを特徴とする請求項１〜４のいずれかに記載の不正接続防止システム。
6. ネットワークへの接続を許可されていない不許可装置が、当該ネットワークにおける一又は二以上の情報処理装置へ接続することを防止する不正接続防止システムであって、
   前記ネットワーク上で通信される全てのパケットを無差別受信モードで収集してＡＲＰパケットであるかどうかを判断し、収集したＡＲＰパケットに含まれる送信元のＭＡＣアドレスが、前記ネットワークへの接続を許可された情報処理装置のＭＡＣアドレスを格納する承認リスト記憶部に存在するか否かを確認して、存在しない場合に前記ＡＲＰパケットの送信元を前記不許可装置として検出し、この不許可装置のＩＰアドレスとＭＡＣアドレスを、前記ネットワークへの接続を許可されていない情報処理装置のＩＰアドレスとＭＡＣアドレスを格納する不許可リスト記憶部に登録して、かつ、当該不許可リスト記憶部に登録されている全ての不許可装置について、それぞれの不許可装置のＭＡＣアドレスとして偽りのＭＡＣアドレスを有するＡＲＰ応答パケットをブロードキャストする不正接続防止装置を有する
   ことを特徴とする不正接続防止システム。
7. ネットワークへの接続を許可されていない不許可装置が、当該ネットワークにおける一又は二以上の情報処理装置へ接続することを防止する不正接続防止装置であって、
   前記ネットワークへの接続を許可された情報処理装置のＭＡＣアドレスを格納する承認リスト記憶部と、
   前記ネットワーク上で通信される全てのパケットを無差別受信モードで収集するパケット収集部と、
   前記収集したパケットに含まれる送信元のＭＡＣアドレスが、前記承認リスト記憶部に存在するか否かを確認し、存在しない場合に前記パケットの送信元を前記不許可装置として検出する接続可否判定部と、
   前記不許可装置によりブロードキャストされたＡＲＰリクエストに対して、前記情報処理装置から正しいＡＲＰ応答パケットが前記不許可装置へ送信された後に、前記情報処理装置のＭＡＣアドレスとして偽りのＭＡＣアドレスを有するＡＲＰ応答パケットを前記不許可装置へ送信する偽りのパケット送信部と、を有する
   ことを特徴とする不正接続防止装置。
8. 前記偽りのパケット送信部が、
   前記不正接続防止装置による前記ＡＲＰリクエストの受信時に、所定の指定時間を設定し、
   前記指定時間の経過前後にかかわらず、前記情報処理装置から前記不許可装置へ前記正しいＡＲＰ応答パケットが送信された場合、前記不正接続防止装置による当該正しいＡＲＰ応答パケットの受信直後に、前記偽りのＭＡＣアドレスを有するＡＲＰ応答パケットを前記不許可装置へ送信し、
   前記指定時間の経過時までに、前記正しいＡＲＰ応答パケットの受信がなかった場合、前記指定時間の経過時に、前記偽りのＭＡＣアドレスを有するＡＲＰ応答パケットを前記不許可装置へ送信する
   ことを特徴とする請求項７記載の不正接続防止装置。
9. 前記偽りのパケット送信部が、
   前記不許可装置に対して、前記情報処理装置のＭＡＣアドレスとして偽りのＭＡＣアドレスを有するＡＲＰ応答パケットを送信するとともに、
   前記情報処理装置に対して、前記不許可装置のＭＡＣアドレスとして偽りのＭＡＣアドレスを有するＡＲＰ応答パケットを送信する
   ことを特徴とする請求項７又は８記載の不正接続防止装置。
10. 前記偽りのパケット送信部が、
    前記不許可装置に対して、前記情報処理装置のＭＡＣアドレスとして偽りのＭＡＣアドレスを有するＡＲＰ応答パケットを送信するとともに、
    前記情報処理装置と同一のサブネット上に存在する全ての情報処理装置に対して、前記不許可装置のＭＡＣアドレスとして偽りのＭＡＣアドレスを有するＡＲＰ応答パケットを送信する
    ことを特徴とする請求項７又は８記載の不正接続防止装置。
11. 前記不正接続防止装置が、ネットワークに接続されている中継装置のＭＡＣアドレスを格納する中継装置リスト記憶部と、前記パケットに含まれる前記不許可装置が接続しようとしている情報処理装置のＩＰアドレスにもとづいて、前記不許可装置が、前記ネットワークに存在する情報処理装置と接続しようとしているか、又は、外部ネットワークに存在する外部情報処理装置と接続しようとしているかを判断するネットワーク判定部とを有し、
    前記偽りのパケット送信部が、
    前記不許可装置が外部ネットワークに存在する外部情報処理装置と接続しようとしている場合、
    前記不許可装置に対して、前記中継装置のＭＡＣアドレスとして偽りのＭＡＣアドレスを有するＡＲＰ応答パケットを送信するとともに、
    前記中継装置リスト記憶部にＭＡＣアドレスが格納されている全ての中継装置に対して、前記不許可装置のＭＡＣアドレスとして偽りのＭＡＣアドレスを有するＡＲＰ応答パケットを送信する
    ことを特徴とする請求項７〜１０のいずれかに記載の不正接続防止装置。
12. ネットワークへの接続を許可されていない不許可装置が、当該ネットワークにおける一又は二以上の情報処理装置へ接続することを防止する不正接続防止装置であって、
    前記ネットワークへの接続を許可された情報処理装置のＭＡＣアドレスを格納する承認リスト記憶部と、
    前記ネットワークへの接続を許可されていない情報処理装置のＩＰアドレスとＭＡＣアドレスを格納する不許可リスト記憶部と、
    前記ネットワーク上で通信される全てのパケットを無差別受信モードで収集するパケット収集部と、
    前記収集したパケットがＡＲＰパケットであるかどうかを判断し、ＡＲＰパケットである場合、当該ＡＲＰパケットに含まれる送信元のＭＡＣアドレスが、前記承認リスト記憶部に存在するか否かを確認し、存在しない場合、前記パケットの送信元を前記不許可装置として検出し、この不許可装置のＩＰアドレスとＭＡＣアドレスを、前記不許可リスト記憶部に登録する接続可否判定部と、
    前記不許可リスト記憶部に登録されている全ての不許可装置について、それぞれの不許可装置のＭＡＣアドレスとして偽りのＭＡＣアドレスを有するＡＲＰ応答パケットをブロードキャストする偽りのパケット送信部と、を有する
    ことを特徴とする不正接続防止装置。

Images