CN112565092A

CN112565092A - 确定装置和确定方法

Info

Publication number: CN112565092A
Application number: CN202010940123.9A
Authority: CN
Inventors: 太田贵彦
Original assignee: Azbil Corp
Current assignee: Azbil Corp
Priority date: 2019-09-10
Filing date: 2020-09-09
Publication date: 2021-03-26
Anticipated expiration: 2040-09-09
Also published as: JP7376288B2; JP2021044655A; CN112565092B

Abstract

本发明在IPv6环境下掌握在连接于网络的终端装置中设定的优先级最高的默认网关的信息。确定装置(1)具有：生成部(10)，其生成在报头包含FIN标志的发送数据包，设定部(11)，其将与在本装置中设定的IPv6地址不同的发送源地址设定为发送数据包的发送源地址，发送部(12)，其将发送数据包向预先设定的终端装置(3a、3b)发送，取得部(13)，其捕获在报头包含表示对发送数据包的响应的RST标志和ACK标志的响应数据包，提取部(14)，其提取被捕获的响应数据包中包含的表示发送目的地的信息，以及确定部(15)，其基于被提取的表示发送目的地的信息，确定在终端装置(3a、3b)中设定的默认网关。

Description

确定装置和确定方法

技术领域

本发明涉及确定装置和确定方法，特别涉及IPv6环境下的网络的监视技术。

背景技术

近年来，由于IoT的普及，各种各样的设备连接到互联网。伴随于此，连接到互联网的设备的数量也急剧增加，从作为现有互联网协议使用的IPv4正在向作为新的具有128位的地址长度的协议的IPv6转移。此外，在网络监视装置等众多的网络安全产品中，也急需与IPv6对应的产品。

在IPv6环境下，在进行IPv6地址的自动设定时，发送接收RA(RouterAdvertisement，路由器通告)数据包。接收到RA数据包的终端装置将RA数据包的发送源地址作为默认网关进行配置。

例如，在有恶意的人发送了非法的RA数据包的情况下，在接收到该RA数据包的终端装置中，存在将非法的RA数据包的发送源地址作为比合法的默认网关优先级高的设定的默认网关而追加的情况。此外，有恶意的人将与合法的默认网关不同的默认网关设定在合法的终端装置，能够向网络进行非法接入。

例如，专利文献1公开了防止IPv6环境下向网络的非法连接的技术。在专利文献1所记载的技术中，在网络设置监视装置，对在网络内传送的NS(Neighbor Solicitation，邻居请求)数据包进行监视，基于NS数据包的发送源地址、MAC地址来判断是否为被允许连接网络的终端装置。

现有技术

专利文献

专利文献1：日本特开2007-104396号公报。

发明要解决的课题

然而，在利用专利文献1所记载的技术监视在网络内传送的NS数据包的情况下，难以为了检测非法行为掌握在连接于网络的终端装置中设定的优先级最高的默认网关。

发明内容

本发明是为了解决上述的课题而做出的，其目的在于提供一种新的检测非法行为的技术，在IPv6环境下掌握在连接于网络的终端装置中设定的优先级最高的默认网关的信息。

用于解决课题的方案

为了解决上述的课题，本发明所涉及的确定装置具有：生成部，其构成为生成发送数据包，所述发送数据包在报头包含第一控制位，所述第一控制位表示在TCP通信中的连接的结束，设定部，其构成为将与本装置中设定的IPv6地址不同的发送源地址设定为所述生成部生成的所述发送数据包的发送源地址，发送部，其构成为将被所述设定部设定了所述发送源地址的所述发送数据包向预先设定的终端装置发送，取得部，其构成为捕获响应数据包，所述响应数据包在报头包含表示对所述发送数据包的响应的第二控制位，提取部，其构成为提取被所述取得部捕获的所述响应数据包中包含的表示所述响应数据包的发送目的地的信息，以及确定部，其构成为基于被所述提取部提取的表示所述发送目的地的信息，确定在所述终端装置中设定的默认网关。

此外，在本发明所涉及的确定装置中，可以是还具有：存储部，其构成为存储与监视对象的网络中的合法默认网关有关的信息，以及判断部，其构成为判断所述确定部确定的在所述终端装置中设定的默认网关是否与存储在所述存储部的所述合法默认网关一致。

此外，在本发明所涉及的确定装置中，可以是：所述判断部在判断为与所述合法默认网关不一致的情况下，判断为在被所述确定部确定的所述终端装置中设定的所述默认网关是非法的默认网关。

此外，在本发明所涉及的确定装置中，可以是：所述设定部将链路本地内的全局标识符或子网标识符不同的唯一本地IPv6单播地址设定为所述发送源地址。

此外，在本发明所涉及的确定装置中，可以是：所述第一控制位包含FIN标志，所述第二控制位包含RST标志和ACK标志。

此外，在本发明所涉及的确定装置中，可以是：所述发送部向所述终端装置没有打开的端口发送所述发送数据包。

为了解决上述的课题，本发明所涉及的确定方法具有：第一步骤，生成发送数据包，所述发送数据包在报头包含第一控制位，所述第一控制位表示在TCP通信中的连接的结束，第二步骤，将与本装置中设定的IPv6地址不同的发送源地址设定为所述第一步骤中生成的所述发送数据包的发送源地址，第三步骤，将在所述第二步骤中设定了所述发送源地址的所述发送数据包向预先设定的终端装置发送，第四步骤，捕获响应数据包，所述响应数据包在报头包含表示对所述发送数据包的响应的第二控制位，第五步骤，提取在所述第四步骤中捕获的所述响应数据包中包含的表示所述响应数据包的发送目的地的信息，以及第六步骤，基于在所述第五步骤中提取的表示所述发送目的地的信息，确定在所述终端装置中设定的默认网关。

发明效果

根据本发明，将在报头包含第一控制位的发送数据包向终端装置发送，捕获响应数据包，提取表示响应数据包的发送目的地的信息，所述发送数据包设定了与本装置设定的IPv6地址不同的发送源地址，所述响应数据包包含表示对发送数据包的响应的第二控制位。因此，能够实现在IPv6环境下掌握在终端装置中设定的优先级最高的默认网关的信息的新的检测非法行为的技术。

附图说明

图1是示出包含本发明的实施方式所涉及的确定装置的网络系统的结构的框图。

图2是示出实施方式所涉及的确定装置的结构的框图。

图3是示出实施方式所涉及的确定装置的硬件结构的框图。

图4是用于说明实施方式所涉及的确定方法的流程图。

图5是示出实施方式所涉及的网络系统的动作的时序图。

具体实施方式

以下，参照图1至图5对本发明的优选的实施方式进行详细说明。

[网络系统的结构]

首先，对具有本发明的实施方式所涉及的确定装置1的网络系统的概要进行说明。

本发明的实施方式所涉及的确定装置1对连接于LAN等网络NW的终端装置3a、3b中设定的优先级最高的默认网关的信息进行确定。确定装置1被设置在例如图1所示的网络系统。此外，网络系统被设置在例如BA(Building Automation，建筑物自动化)系统等。

如图1所示，网络系统具有经由网络NW彼此可通信地连接的确定装置1、路由器2a、2b以及终端装置3a、3b。

路由器2a、2b是与IPv6对应的路由器，作为网关发挥功能。在本实施方式中，路由器2a的MAC地址为“S”，路由器2b的MAC地址为“R”。此外，在本实施方式中，网络NW中的合法的路由器是路由器2a，路由器2b是非法的路由器。

终端装置3a、3b是IPv6环境工作的PC等终端。图1所示的多个终端装置3a、3b中，在终端装置3a中将合法的路由器2a设定为默认网关。另一方面，在终端装置3b中，将与合法的默认网关不同的默认网关设定为优先级最高的默认网关。

终端装置3a接收从路由器2a事先发送的ICMPv6的合法的路由器通告(RouterAdvertisement：RA)数据包，将RA数据包的发送源的路由器2a设定为默认网关。在终端装置3a设定有合法默认网关。

另一方面，路由器2b事先对终端装置3b发送非法的RA数据包。在接收到非法的RA数据包的终端装置3b中，追加RA数据包的发送源的路由器2b作为优先级最高的默认网关。因此，在本实施方式中，在终端装置3b设定有非法的默认网关。

此外，在本实施方式中，确定装置1使用TCP协议，对于希望确定默认网关的终端装置3a、3b的关闭的端口，发送设置了FIN标志(第一控制位)的TCP数据包作为发送数据包。此外，确定装置1在将发送数据包向作为确定的对象的终端装置3a、3b发送时，将发送源地址设定为与在确定装置1设定的IPv6地址“G”不同的发送源地址。作为发送源地址，设定为与链路本地内存在的任何链路本地地址都不同的唯一本地IPv6单播地址、例如“H”。

在TCP协议中，FIN数据包表示连接的结束。因此，当接收设置了FIN标志的发送数据包时，由于对象的端口关闭着，所以终端装置3a、3b返回TCP数据包作为响应数据包，该TCP数据包设置了表示连接复位的RST标志和ACK标志(第二控制位)。然而，由于发送数据包的发送源地址“H”是与链路本地不同的全局标识符或子网标识符的地址，所以终端装置3a、3b将设定在终端装置3a、3b的优先级最高的默认网关作为发送目的地来发送响应数据包。

此时，确定装置1捕获在网络NW内传送的包含RST数据包和ACK数据包的响应数据包。进而，确定装置1根据捕获到的响应数据包所包含的表示各个响应数据包的发送目的地的信息，确定在终端装置3a、3b中设定的默认网关。

[确定装置的功能块]

接下来，使用图2的框图对本实施方式所涉及的确定装置1的结构进行说明。

如图2所示，确定装置1具有生成部10、设定部11、发送部12、取得部13、提取部14、确定部15、存储部16以及判断部17。

生成部10生成设定了FIN标志的发送数据包，所述FIN标志表示TCP通信中的连接的结束。更详细地，生成部10在发送数据包的报头设置FIN标志。

设定部11将与确定装置1中设定的IPv6地址“G”不同的发送源地址设定为生成部10生成的发送数据包的发送源地址。具体地，设定部11将在链路本地内不存在的、全局标识符或子网标识符不同的唯一本地IPv6单播地址“H”设定为所述发送源地址。

发送部12将设定了发送源地址“H”、设定了FIN标志的发送数据包向终端装置3a、3b发送。发送部12将发送数据包向想取得默认网关信息的扫描对象的终端装置3a、3b发送。

取得部13捕获在网络NW内传送的在报头包含了表示对发送数据包的响应的RST标志和ACK标志的响应数据包，所述发送数据包具有设定了FIN标志的报头。

提取部14提取在捕获的响应数据包中包含的表示该响应数据包的发送目的地的信息。具体地，提取部14提取在响应数据包中包含的发送目的地的MAC地址。在本实施方式中，终端装置3a的响应数据包中包含的发送目的地的MAC地址为表示路由器2a的MAC地址“S”。另一方面，终端装置3b的响应数据包中包含的发送目的地的MAC地址为表示路由器2b的MAC地址“R”。

确定部15基于被提取部14提取的表示响应数据包的发送目的地的信息，确定在终端装置3a、3b中设定的默认网关。终端装置3a、3b发送的响应数据包的表示发送目的地地址的MAC地址为在各个终端装置3a、3b中设定的默认网关。因此，确定部15确定具有MAC地址“S”的路由器2b在终端装置3a中被设定为优先级最高的默认网关。此外，确定部15确定终端装置3b的响应数据包的发送目的地MAC地址“R”表示的路由器2b在终端装置3b中被设定为优先级最高的默认网关。

存储部16存储有与监视对象的网络NW中的合法默认网关有关的信息。在本实施方式中，路由器2a是合法的路由器，以MAC地址“S”表示的路由器2a作为合法的默认网关被预先登记。

判断部17判断确定部15确定的在终端装置3a、3b中设定的优先级最高的默认网关是否与存储在存储部16的合法默认网关一致。在本实施方式中，判断部17判断为在终端装置3a中设定的默认网关(MAC地址“S”)是合法默认网关。另一方面，判断部17判断为在终端装置3b中设定的默认网关(MAC地址“R”)不是合法默认网关而是非法的默认网关。

[确定装置的硬件结构]

接下来，使用图3对具有上述的功能的确定装置1的硬件结构的一个例子进行说明。

如图3所示，确定装置1能够通过例如具有经由总线101连接的处理器102、主存储装置103、通信接口104、辅助存储装置105、输入输出I/O106的计算机以及对这些硬件资源进行控制的程序来实现。

在主存储装置103中，预先存放有用于处理器102进行各种控制、运算的程序。通过处理器102和主存储装置103来实现图2所示的生成部10、设定部11、取得部13、提取部14、确定部15、判断部17等确定装置1的各个功能。

通信接口104是用于将确定装置1和路由器2a、2b、终端装置3a、3b、各种外部电子设备之间网络连接的接口电路。通过通信接口104来实现在图2中说明的发送部12和取得部13。

辅助存储装置105由可读写的存储介质和用于对该存储介质读写程序、数据等各种信息的驱动装置构成。在辅助存储装置105中，能够使用硬盘、闪存等半导体存储器作为存储介质。

辅助存储装置105具有存放程序的程序存放区域，所述程序用于确定装置1对被设定在终端装置3a、3b的优先级最高的默认网关进行确定。通过辅助存储装置105来实现在图2中说明的存储部16。进而，也可以具有例如用于对上述的数据、程序等进行备份的备份区域。

输入输出I/O106由输入来自外部设备的信号或者向外部设备输出信号的I/O端子构成。

显示装置107由液晶显示器等构成。显示装置107能够将由确定部15确定的默认网关、判断部17的判断结果显示在显示画面。

[确定方法]

接下来，使用图4的流程图对具有上述的结构的确定装置1的工作进行说明。另外，在以下说明中，设在存储部16预先存放有与合法默认网关有关的信息。

首先，生成部10生成设定了FIN标志的TCP数据包作为发送数据包(步骤S1)。接下来，设定部11将与链路本地不同的全局标识符或子网标识符的唯一本地IPv6单播地址设定为发送数据包的发送源地址(步骤S2)。

接下来，发送部12将设置了FIN标志的发送数据包向扫描对象的终端装置3a、3b发送(步骤S3)。此时，发送部12对于终端装置3a、3b没有打开的端口发送发送数据包。其后，取得部13捕获在报头包含了RST标志和ACK标志的响应数据包，该响应数据包为终端装置3a、3b对发送数据包的响应(步骤S4)。

接下来，提取部14提取在步骤S4中捕获的响应数据包中包含的表示该响应数据包的发送目的地的信息(步骤S5)。更详细地，提取部14提取终端装置3a、3b发送的响应数据包的发送目的地MAC地址。其后，确定部15基于提取的表示发送目的地的信息，确定在终端装置3a、3b中设定的优先级最高的默认网关(步骤S6)。

接下来，判断部17基于在步骤S6确定的默认网关，判断在各个终端装置3a、3b中设定的优先级最高的默认网关是否与合法默认网关一致(步骤S7)。其后，在显示装置107中显示判断部17的判断结果(步骤S8)。或者，判断结果能够从通信接口104向网络NW上的未图示的特定的终端装置发送。

[网络系统的动作时序]

接下来，参照图5的时序图对具有上述的确定装置1的网络系统的工作进行说明。需要说明的是，在以下，在终端装置3a中预先设定有合法的路由器2a作为默认网关，在终端装置3b中预先设定有非法的路由器2b作为默认网关。

首先，确定装置1生成设定了FIN标志的发送数据包(步骤S100)。其后，确定装置1将与本装置的IPv6地址“G”不同的、即链路本地的全局标识符或子网标识符不同的唯一本地IPv6单播地址“H”作为发送源地址，将生成的发送数据包向扫描对象的终端装置3a、3b发送(步骤S101和S102)。更详细地，确定装置1向终端装置3a、3b没有打开的端口发送设置了FIN标志的发送数据包。

接下来，接收到设定了FIN标志的发送数据包的终端装置3a生成响应数据包并发送(步骤S103)。更详细地，终端装置3a将在终端装置3a中设定的默认网关“S”作为发送目的地，向路由器2a(MAC地址“S”)发送设定了RST标志和ACK标志的响应数据包。

另一方面，接收到设定了FIN标志的发送数据包的终端装置3b将在终端装置3b中设定的默认网关“R”作为发送目的地，向路由器2b(MAC地址“R”)发送设定了RST标志和ACK标志的响应数据包(步骤S104)。

接下来，确定装置1捕获在网络NW内传送的设定了RST标志和ACK标志的响应数据包(步骤S105)。接下来，确定装置1提取捕获的响应数据包分别包含的、表示响应数据包的发送目的地的MAC地址“S”、“R”，根据MAC地址“S”、“R”确定在终端装置3a、3b中设定的优先级最高的默认网关(步骤S106)。

确定装置1确定在终端装置3a中设定的优先级最高的默认网关是具有MAC地址“S”的路由器2a。另一方面，确定在终端装置3b中设定的优先级最高的默认网关是具有MAC地址“R”的路由器2b。

其后，确定装置1参照在存储部16存放的合法默认网关，判断在终端装置3a、3b中设定的优先级最高的默认网关是否与合法默认网关一致(步骤S107)。在本实施方式中，判断为在终端装置3a中设定的优先级最高的默认网关是合法默认网关。另一方面，判断为在终端装置3b中设定的优先级最高的默认网关不是合法默认网关而是非法的默认网关。

进而，确定装置1判断为作为非法的默认网关的路由器2b是非法的路由器，能够使这些判断结果显示在显示装置107。或者，确定装置1能够将判断结果向网络NW上的未图示的特定的终端装置发送。

如上所述，根据本实施方式所涉及的确定装置1，将链路本地的全局标识符或子网标识符不同的唯一本地IPv6单播地址设定为发送源地址，向确定对象的终端装置3a、3b没有打开的端口发送设定了FIN标志的发送数据包。进而，确定装置1捕获终端装置3a、3b的设定了RST标志和ACK标志的响应数据包，提取响应数据包中包含的发送目的地MAC地址。因此，能够确定在终端装置3a、3b中设定的优先级最高的默认网关。

此外，根据确定装置1，因为利用TCP协议确定作为扫描对象的终端装置3a、3b的默认网关，所以不需要在终端装置3a、3b等安装新的软件，能够以更简单的结构确定在终端装置3a、3b中设定的优先级最高的默认网关。

此外，根据确定装置1，因为能够确定非法的默认网关，所以能够检测出网络NW中的非法终端。

另外，在已说明的实施方式中，例示了作为确定对象的终端装置3a、3b是两个的情况，但终端装置3a、3b的数量也可以是两个以外。

以上，对本发明的确定装置和确定方法的实施方式进行了说明，但本发明并不限于进行了说明的实施方式，在权利要求所记载的发明的范围内，可进行本领域技术人员能够想到的各种变形。

附图标记说明

1：确定装置

2a、2b：路由器

3a、3b：终端装置

10：生成部

11：设定部

12：发送部

13：取得部

14：提取部

15：确定部

16：存储部

17：判断部

101：总线

102：处理器

103：主存储装置

104：通信接口

105：辅助存储装置

106：输入输出I/O

107：显示装置

NW：网络

Claims

1.一种确定装置，其具有：

生成部，其构成为生成发送数据包，所述发送数据包在报头包含第一控制位，所述第一控制位表示在TCP通信中的连接的结束，

设定部，其构成为将与本装置中设定的IPv6地址不同的发送源地址设定为所述生成部生成的所述发送数据包的发送源地址，

发送部，其构成为将被所述设定部设定了所述发送源地址的所述发送数据包向预先设定的终端装置发送，

取得部，其构成为捕获响应数据包，所述响应数据包在报头包含表示对所述发送数据包的响应的第二控制位，

提取部，其构成为提取被所述取得部捕获的所述响应数据包中包含的表示所述响应数据包的发送目的地的信息，以及

确定部，其构成为基于被所述提取部提取的表示所述发送目的地的信息，确定在所述终端装置中设定的默认网关。

2.根据权利要求1所述的确定装置，其特征在于，还具有：

存储部，其构成为存储与监视对象的网络中的合法默认网关有关的信息，以及

判断部，其构成为判断所述确定部确定的在所述终端装置中设定的默认网关是否与存储在所述存储部的所述合法默认网关一致。

3.根据权利要求2所述的确定装置，其特征在于，

所述判断部在判断为与所述合法默认网关不一致的情况下，判断为在被所述确定部确定的所述终端装置中设定的所述默认网关是非法的默认网关。

4.根据权利要求1至3中任一项所述的确定装置，其特征在于，

所述设定部将链路本地内的全局标识符或子网标识符不同的唯一本地IPv6单播地址设定为所述发送源地址。

5.根据权利要求1至4中任一项所述的确定装置，其特征在于，

所述第一控制位包含FIN标志，

所述第二控制位包含RST标志和ACK标志。

6.根据权利要求1至5中任一项所述的确定装置，其特征在于，

所述发送部向所述终端装置没有打开的端口发送所述发送数据包。

7.一种确定方法，具有：

第一步骤，生成发送数据包，所述发送数据包在报头包含第一控制位，所述第一控制位表示在TCP通信中的连接的结束，

第二步骤，将与本装置中设定的IPv6地址不同的发送源地址设定为所述第一步骤中生成的所述发送数据包的发送源地址，

第三步骤，将在所述第二步骤中设定了所述发送源地址的所述发送数据包向预先设定的终端装置发送，

第四步骤，捕获响应数据包，所述响应数据包在报头包含表示对所述发送数据包的响应的第二控制位，

第五步骤，提取在所述第四步骤中捕获的所述响应数据包中包含的表示所述响应数据包的发送目的地的信息，以及

第六步骤，基于在所述第五步骤中提取的表示所述发送目的地的信息，确定在所述终端装置中设定的默认网关。