CN1954307A - 不正当连接检测系统及不正当连接检测方法 - Google Patents

Abstract

本发明的目的在于提供一种不正当连接检测系统，该系统在没有连接权限的不正当的终端装置通过替换IP地址或MAC地址等伪装与网络进行不正当连接的情况下，检测出该不正当连接并采取对策。在具有与网络连接权限的终端装置中存储有专用的监视程序，该监视程序在开始与网络连接时发送连接开始通知，在与网络连接期间进行定时联络。由于通过伪装进行不正当连接的终端装置不具备该监视程序，因此，即使在根据IP地址的对比允许与网络连接的情况下，如果没有受理来自监视程序的连接开始通知或定时联络，也执行中断该终端装置的通信的处理。

Description

不正当连接检测系统及不正当连接检测方法

技术领域

本发明涉及不正当连接检测系统及不正当连接检测方法，该系统及方法用于检测由没有连接权限的不正当终端装置进行的对网络的不正当连接。

背景技术

在通过公司内部LAN(局域网)等封闭的网络管理重要信息时，在防止来自网络外部的不正当入侵的同时，由于网络内部的不正当操作带来的信息外泄对策也成为重要课题。在进行不正当的信息外泄等时，如果使用与网络正规连接的终端就会留下不正当操作的痕迹，这样就可以特定某个不正当操作者，因此，不正当操作者有可能将其自有的终端与网络连接，进行不正当的信息外泄行为。

为了应对这样的不正当操作，在网络中设置用于特定与网络连接的终端的管理服务器，在管理服务器中存储有允许与网络进行连接的终端的识别信息，如果终端与网络相连接，管理服务器就取得该终端的识别信息，确认与网络连接的权限，在没有连接权限的终端与网络连接时，停止该终端的不正当操作。对用于特定与网络连接的终端的识别信息，一般采用付与终端的IP地址或者MAC地址。

作为取得付与终端的IP地址或MAC地址并判定终端是否正规的方法，公开有如下方法：在启动终端并开始与网络连接时，从终端发送包含IP地址或MAC地址的广播信号，并将其与接受了该信号的管理服务器中存储的信号进行对比的方法，例如专利文献1；将IP地址作为关键字利用ARP取得MAC地址，将IP地址和MAC地址的组合与存储在管理服务器中的信息进行对比的方法(例如，专利文献2)等。

专利文献1：日本特开平6-334671号

专利文献2：日本特开2000-201143号

发明内容

发明要解决的问题

通过上述方法，在没有连接权限的终端与网络连接时，可以通过检测出管理服务器没有存储的IP地址或MAC地址来检测不正当的连接，采取从网络上断开的措施。但是，该方法的有效是以IP地址或MAC地址与一个个终端连结起来为前提的，在IP地址或MAC地址被改变的情况下，就不能检测出是不正当连接。

实际上，在进行了不正当连接的例子中，有如下手段：从网络上切断具有连接权限的终端，另一方面，为了进行不正当连接拿来其它终端，将该终端的IP地址或MAC地址替换成具有连接权限的终端的IP地址或MAC地址进行连接，进行所谓的伪装。在进行伪装时，由于采用了具有连接权限的正规的IP地址或MAC地址，所以不能发现其是不正当连接，这是上述方法所存在的问题。

为了防止由于伪装引起的信息泄漏，有人考虑强化对存有重要信息的终端的访问认证等，同时和其它方法并用，但是，无论采用什么方法控制对终端的访问，如果容许不正当的终端连接在网络上这样的状态存在的话，就会产生即使进行数据包盗听(sniffering)也不能检测到这样的问题。因此，有必要在没有连接权限的不正当终端与网络连接时，即使进行了伪装也能很快检测出来并采取对策。

为了解决上述课题，本发明的目的在于提供一种不正当连接的检测系统及不正当连接检测方法，该系统及方法用于在没有连接权限的不正当终端装置通过替换IP地址或MAC地址等伪装对网络进行不正当连接时，检测出该不正当连接并采取措施。

用于解决课题的方法

在以下说明的本发明中，任何一个具有网络连接权限的正规终端中，都存储有专用的监视程序，在该终端与网络连接时，该监视程序进行一定的动作，向管理网络的管理服务器发送一定的信息，利用这样的构成，通过检测该信息的有无或者其内容，可以检测出没有连接权限的不正当终端与网络的连接。

另外，在以下的发明中，所谓网络相当于LAN(局域网)等只有有连接权限的终端才可以连接的封闭网络。关于终端装置通常是指个人计算机等计算器械，不过，只要是能够与网络连接的器械，例如路由器或网关等网络器械、Web服务器等服务器、PDA等移动终端等都包括在内。

解决本申请所涉及的课题的本发明的第一方案是用于检测没有连接权限的终端装置与网络的不正当连接的不正当连接检测系统，其特征在于，在具有与上述网络连接权限的正规终端装置中存储有如下监视程序：一旦上述终端装置与网络连接就向上述不正当连接检测系统发送表示与网络连接已经开始的连接开始通知；所述不正当连接检测系统具备：连接终端检测装置，检测与连接于上述网络的终端装置；连接开始通知接收装置，接收从存储在上述正规终端装置中的监视程序发送的连接开始通知；不正当连接判定装置，对于上述连接终端检测装置检测出其是新与上述网络新连接的终端装置，而上述连接开始通知接收装置没有接收到来自上述终端装置的连接开始通知时，判定该终端装置正在与上述网络进行不正当连接；数据包发送装置，对于上述不正当连接判定装置判定其正在进行不正当连接的终端装置，发送用于阻碍该终端装置通信的数据包或者阻碍成为该终端装置通信对象的终端装置通信的数据包，或者，发送用于切断上述终端装置和成为其通信对象的终端装置之间的会话的数据包。

另外，本发明的第一方案还有如下特征，所述不正当连接检测系统具备：终端信息存储装置，该终端信息存储装置对于上述正规终端装置，存储第一终端信息，该第一终端信息至少涉及上述终端装置的正规识别信息或者涉及上述终端装置与上述网络正规连接的状态的信息的其中之一；终端信息检测装置，该终端信息检测装置根据上述连接开始通知接收装置接收的连接开始通知检测出第二终端信息，该第二终端信息至少涉及上述终端装置的识别信息或者涉及上述终端装置与上述网络的连接状态的信息的其中之一；对于至少上述终端装置的识别信息或者涉及上述终端装置与上述网络的连接状态的信息的其中之一，上述监视程序检测出上述终端装置的最新信息并作为上述连接开始通知发送给上述不正当连接检测系统；上述不正当连接判定装置在上述终端信息检测装置检测出的第二终端信息与存储在上述终端信息存储装置中的涉及上述终端装置的第一终端信息不一致时，判定为上述终端装置正在与上述网络不正当连接。

在本发明的第一方案中，由于监视程序在与网络连接时发送连接开始通知，对于根据IP地址等被确认与网络连接的终端，如果管理服务器没有收到连接开始通知，可以判定在该终端本来应该存在的监视程序没有动作，该终端是置换了IP地址等的不正当终端。

另外，也可以如下构成：将具有连接权限的正规终端装置所附带的IP地址或MAC地址等终端的识别信息、网关或DHCP服务器的IP地址等有关终端的连接状态的信息预先存储在管理服务器中，与作为连接开始通知接收的连接时的终端的IP地址等识别信息或网关的IP地址等有关连接状态的信息进行对比，通过该对比确认终端的状态是否正常，判定是否是不正当连接。

解决本申请所涉及的课题的本发明的第二方案是用于检测没有连接权限的终端装置与网络的不正当连接的不正当连接检测系统，其特征在于，在具有与上述网络连接权限的正规终端装置中存储有如下监视程序：一旦上述终端装置与上述网络连接就按一定的间隔向上述不正当连接检测系统发送涉及上述终端装置的信息；所述不正当连接检测系统具备：检测与上述网络连接的终端装置的连接终端检测装置；终端信息接收装置，该终端信息接收装置接收从存储在上述正规终端装置中的监视程序发送的涉及上述终端装置的信息；不正当连接判定装置，该不正当连接判定装置对于上述连接终端检测装置检测出其正与上述网络连接中的终端装置，在上述终端信息接收装置没有按上述监视程序所设定的以一定的间隔接收到涉及上述终端装置的信息的情况下，判定上述终端装置正在与上述网络进行不正当连接；数据包发送装置，该数据包发送装置对于上述不正当连接判定装置判定其正在进行不正当连接的终端装置，对上述终端装置或者成为上述终端装置的通信对象的终端装置发送用于阻碍其通信的数据包，或者，发送用于切断上述终端装置和成为上述终端装置的通信对象的终端装置之间的会话的数据包。

另外，本发明的第二方案的特征在于，具备：终端信息存储装置，该终端信息存储装置对于上述正规终端装置，存储第一终端信息，该第一终端信息至少涉及上述终端装置的正规识别信息或者涉及上述终端装置与上述网络正规连接的状态的信息的其中之一；终端信息检测装置，该终端信息检测装置根据上述终端信息接收装置接收的涉及终端装置的信息检测出第二终端信息，该第二终端信息至少涉及上述终端装置的识别信息或者涉及上述终端装置与上述网络的连接状态的信息的其中之一；对于至少上述终端装置的识别信息或者涉及上述终端装置与上述网络的连接状态的信息的其中之一，上述监视程序检测出上述终端装置的最新信息并作为涉及上述终端装置的信息发送给上述不正当连接检测系统；上述不正当连接判定装置在上述终端信息检测装置检测出的第二终端信息与存储在上述终端信息存储装置中的涉及上述终端装置的第一终端信息不一致时，判定为上述终端装置正在与上述网络进行不正当连接。

在本发明的第二方案中，由于监视程序在与网络连接期间按一定的间隔发送有关终端的信息，对于根据IP地址等被确认为与网络连接的终端，如果管理服务器没有按一定的间隔收到有关终端的信息，可以判定在该终端本来应该存在的监视程序没有动作，该终端是置换了IP地址等的不正当终端。

另外，也可以如下构成：将具有连接权限的正规终端装置所附带的IP地址或MAC地址等终端的识别信息、网关或DHCP服务器的IP地址等有关终端的连接状态的信息预先存储在管理服务器中，同时接收作为有关终端的信息，即连接时的终端的IP地址等识别信息或网关的IP地址等有关连接状态的信息，并通过与之进行对比确认终端的状态是否正常，判定是否是不正当连接。

本发明的第一方案及第二方案也可以有以下特征，存储在上述正规终端装置中的监视程序在检测到被定义为不正当操作的一定的事件后，向上述不正当连接检测系统发送上述事件发生的通知；上述不正当连接检测系统具备发生通知接收装置，该发生通知接收装置接收从存储在上述正规终端装置中的监视程序发送的上述事件的发生通知；上述不正当连接判定装置在上述发生通知接收装置收到发生通知后，判定为上述终端装置正在与上述网络进行不正当连接。

在该构成中，例如预先将为了伪装置换正规终端装置的IP地址等有可能进行不正当操作的动作设定为事件，通过在正规的终端装置中存储监视所提到动作的程序，在有可能进行不正当操作的情况下，迅速通知管理服务器，进行一定的应对。

解决本申请所提及课题的本发明的第三方案是用于检测没有连接权限的终端装置与网络的不正当连接的不正当连接检测系统，其特征在于，在具有与上述网络连接权限的正规终端装置中，存储有对来自上述不正当连接检测系统的请求返回一定的响应的监视程序；所述不正当连接检测系统具备：检测与上述网络连接的终端装置的连接终端检测装置；请求发送装置，该请求发送装置对上述连接终端检测装置检测出其正与网络连接中的终端装置发送上述请求；响应接收装置，该响应接收装置接收从存储在上述正规终端装置中的监视程序发送的对上述请求进行的响应；不正当连接判定装置，该不正当连接判定装置对于上述请求发送装置发送了请求的终端装置，在上述响应接收装置没有从上述终端装置接收到对上述请求的响应的情况下，判定上述终端装置正在与上述网络不正当连接；数据包发送装置，该数据包发送装置对于上述不正当连接判定装置判定其正在进行不正当连接的终端装置，对上述终端装置或者成为上述终端装置的通信对象的终端装置发送用于阻碍其通信的数据包，或者，发送用于切断上述终端装置和成为上述终端装置的通信对象的终端装置之间的会话的数据包。

另外，本发明的第三方案的特征还在于，具备：终端信息存储装置，该终端信息存储装置对于上述正规终端装置，存储第一终端信息，该第一终端信息至少涉及上述终端装置的正规识别信息或者涉及上述终端装置与上述网络正规连接的状态的信息的其中之一；终端信息检测装置，该终端信息检测装置根据上述响应接收装置接收的响应检测出第二终端信息，该第二终端信息至少涉及上述终端装置的识别信息或者涉及上述终端装置与上述网络的连接状态的信息的其中之一；对于至少上述终端装置的识别信息或者涉及上述终端装置与上述网络的连接状态的信息的其中之一，上述监视程序检测出上述终端装置的最新信息并作为上述响应发送给上述不正当连接检测系统；上述不正当连接判定装置在上述终端信息检测装置检测出的第二终端信息与存储在上述终端信息存储装置中的涉及上述终端装置的第一终端信息不一致时，判定为上述终端装置正在与上述网络进行不正当连接。

在本发明的第三方案中，从管理服务器对根据IP地址等检测出正在与网络连接中的终端装置发送特定的请求，具有连接权限的正规终端装置通过预先存储的监视程序对请求返回特定的响应，而通过伪装进行不正当连接的终端装置由于不具备所提到的监视程序，不能进行响应，因此，可以根据响应的有无来判定替换IP地址等的不正当终端。

另外，也可以如下构成：将具有连接权限的正规终端装置所附带的IP地址或MAC地址等终端的识别信息、网关或DHCP服务器的IP地址等有关终端的连接状态的信息预先存储在管理服务器中，与作为来自终端的响应接收的连接时的终端的IP地址等识别信息或网关的IP地址等有关连接状态的信息进行对比，通过该对比确认终端的状态是否正常，判定是否是不正当连接。

本发明的第一方案至第三方案也可以是与各个发明方案所提到的不正当连接检测系统对应，作为通过不正当检测系统的各个构成来实施的不正当连接检测方法来特定发明方案。

换言之，与本发明的第一方案对应的不正当连接检测方法是用于检测没有连接权限的终端装置与网络的不正当连接的不正当连接检测方法，其特征在于，具备：上述具有与网络连接权限的正规终端装置启动与上述网络的连接处理的步骤；在与上述网络的连接确立后，上述正规终端装置向上述网络管理服务器发送表示与上述网络的连接已经开始的连接开始通知的步骤；上述管理服务器检测与网络连接的新的终端装置的步骤；上述管理服务器在检测出上述新的终端装置与上述网络连接并在一定时间内没有收到上述连接开始通知的情况下，判定上述新的终端装置正在与上述网络进行不正当连接的步骤；对于在上述步骤中判定其正在进行不正当连接的终端装置，对上述终端装置或者成为上述终端装置的通信对象的终端装置发送用于阻碍其通信的数据包，或者，发送用于切断上述终端装置和成为其通信对象的终端装置之间的会话的数据包的步骤。

与本发明的第二方案对应的不正当连接检测方法是用于检测没有连接权限的终端装置与网络的不正当连接的不正当连接检测方法，其特征在于，具备以下步骤：上述具有与网络连接权限的正规终端装置启动与上述网络的连接处理；在与上述网络的连接确立后，上述正规终端装置按一定的间隔向上述网络管理服务器发送涉及上述终端装置的信息；上述管理服务器检测出正在与网络连接中的终端装置；上述管理服务器对于检测出其正与上述网络连接中的终端装置，没有以一定的间隔收到涉及上述终端装置的信息的情况下，判定上述新的终端装置正在与上述网络进行不正当连接；对于在上述步骤中被判定其正在进行不正当连接的终端装置，对上述终端装置或者成为上述终端装置的通信对象的终端装置发送用于阻碍其通信的数据包，或者，发送用于切断上述终端装置和成为其通信对象的终端装置之间的会话的数据包。

与本发明的第三方案对应的不正当连接检测方法是用于检测没有连接权限的终端装置与网络的不正当连接的不正当连接检测方法，其特征在于，具备以下步骤：上述网络管理服务器检测出与上述网络连接的终端装置；上述管理服务器对检测出与上述网络连接的终端装置发送一定的请求；与上述网络连接的上述具有与网络连接权限的正规终端装置启动监视程序，所述监视程序用于接收上述请求并发送对上述请求的响应；上述正规终端装置向上述网络管理服务器发送通过上述监视程序生成的响应；上述管理服务器对于发送上述请求的终端装置，没有在一定的时间内收到上述响应的情况下，判定上述新的终端装置正在与上述网络不正当连接；对于在上述步骤中被判定其正在进行不正当连接的终端装置，对上述终端装置或者成为上述终端装置的通信对象的终端装置发送用于阻碍其通信的数据包，或者，发送用于切断上述终端装置和成为其通信对象的终端装置之间的会话的数据包。

发明的效果

在没有连接权限的不正当的终端装置通过替换IP地址或MAC地址的伪装等进行与网络的不正当连接时，只通过现有的将IP地址或MAC地址作为关键字进行的连接权限确认已不能应付，但是，通过本发明，可以根据有无来自监视程序的响应来判定是否是不正当连接并采取对策。

具体实施方式

以下参照附图对实施本发明的最佳方式进行详细说明。另外，以下主要对通过IP替换进行伪装采取应对的例子进行说明，但是，本发明所涉及的实施方式不限定于此。

图1表示本发明所涉及的不正当连接检测系统的设定的一例。图2是表示本发明所涉及的不正当连接检测系统所使用的网络管理服务器和终端装置的构成的方框图。图3是表示记录在本发明所涉及的不正当连接检测系统的来自正规终端的通知记录的例子。图4是表示在本发明所涉及的不正当连接检测系统中，具有连接权限的正规终端装置连接时管理服务器的动作的例子。图5是表示在本发明所涉及的不正当连接检测系统中，没有连接权限的不正当的终端装置连接时管理服务器动作的第1例。图6是表示在本发明所涉及的不正当连接检测系统中，没有连接权限的不正当的终端装置连接时管理服务器动作的第2例。图7是表示本发明所涉及的不正当连接检测方法中，终端启动时管理服务器的流程的流程图。图8是表示本发明所涉及的不正当连接检测方法中的接受来自终端的定时联络的管理服务器的第1监视流程的流程图。图9是表示本发明所涉及的不正当连接检测方法中的接受来自终端的定时联络的管理服务器的第2监视流程的流程图。图10是表示本发明所涉及的不正当连接检测方法中的终端侧的监视程序的第1流程的流程图。图11表示本发明所涉及的不正当连接检测方法中的终端侧的监视程序的第2流程的流程图。

在图1中，本发明所涉及的不正当连接检测系统具备监视路由器20内侧的封闭网络的网络管理服务器10。在网络管理服务器10中，在终端信息存储部11存储有关于被付与网络连接权限的正规终端装置30、40的终端信息，这些终端信息可以是IP地址或MAC地址等识别信息，也可以是网关或DHCP服务器的IP地址等有关网络连接状态的信息等。

另外，网络管理服务器10以一定的间隔检测出与网络连接的终端装置，与存储在终端信息存储部11的通常的状态进行对比，或者写入与终端信息存储部11的连接状态等履历信息，所提到的功能可以使用在物理层面上与作为本发明所涉及的不正当连接检测系统动作的网络管理服务器10相同的计算机，也可以通过2个以上分离的计算机来实现这些功能。特别是对于前者的功能，可以采用一般使用的网络管理服务器。

另外，其信息存储在终端信息存储部11的终端装置除通常利用网络的用户操作的计算机之外，可以包含路由器或DHCP服务器、Web服务器等连接在封闭的网络内的所有节点。

在被付与网络连接权限的正规终端装置30、40中，分别存储有用来在网络内监视不正当连接等的监视程序31、41。监视程序31、34与包含计算机的操作程序在内的一般用于网络连接的程序分开设置，只在正规的终端装置30、40中安装。因此，为了伪装而拿来的没有被付与网络连接权限的终端装置50中未存储有监视程序。

因此，通过利用监视程序31、41在与网络连接时向网络管理服务器10发送连接开始通知，在与网络连接期间，使其执行定期向网络管理服务器发送终端装置内的信息等动作，对于在网络管理服务器10中检测出的正在与网络连接中的终端装置，网络管理服务器10会收到所提到的通知等。从监视程序31、41发送的通知等也可以是对来自网络管理服务器10的请求的响应。对于与网络连接中而网络管理服务器10没有收到通知的终端装置，由于可以推测其未安装有监视程序，因此可以判定其是通过伪装与网络进行不正当连接的终端装置。

如果进一步对该构成进行具体说明，网络管理服务器10和正规的终端装置30的构成如图2所示。在图2的例子中，网络管理服务器10由1台具备终端信息存储部11的计算机构成。在网络管理服务器10启动时，在存储在ROM103中的用于输入控制或输出控制等硬件控制的各种基本程序启动的同时，从HDD104读出计算机的操作系统，开始网络的监视。接下来，从HDD104读出用于执行检测与网络的不正当连接的动作的程序，使RAM102作为工作区的同时，CPU101进行运算处理，执行网络的监视。

另一方面，在正规终端装置30启动时，在启动存储在ROM303中的用于输入控制或输出控制等硬件控制的各种基本程序启动的同时，从HDD304读出计算机的操作系统。接下来，从HDD304读出为了检测与网络的不正当连接而存储的监视程序31，使RAM302作为工作区的同时，CPU301进行运算处理，通过监视程序31执行发送被定义的连接开始通知等针对网络管理服务器10的特定的动作。

例如，如果将监视程序31设定为：在与网络连接时发送连接开始通知，之后以一定的间隔发送连接通知，则，在连接开始时或一定的时间到来时在RAM302和CPU301进行运算处理，从NIC(网络接口卡)305经由LAN(局域网)向网络管理服务器10发送连接开始通知等数据。在网络管理服务器10通过NIC105接收这些数据，在RAM102和CPU101进行运算处理，解释已接收的数据，并将连接开始通知等的接收记录在HDD104的终端信息存储部11中。在HDD未存储有监视程序的情况下，由于没有对所提到的网络管理服务器10进行数据的发送，因此，在网络管理服务器10可以根据没有接收到连接开始通知等检测出与网络的不正当连接。

图3是表示在本发明所涉及的不正当连接检测系统中，记录在网络管理服务器10的终端信息存储部11的按正规终端设置的记录通知记录的图表的一例。在图3中，具有网络连接权限的终端装置分别被付与了终端ID，在按终端ID设置的图表中，记录有作为特定该终端装置的识别信息的IP地址和MAC地址。另外，记录有该终端装置的网络连接记录和来自该终端所具备的监视程序的通知记录。

其中，对于作为终端的识别信息的IP地址和MAC地址，可以用来作为判定与网络连接的终端装置的连接权限的关键字。即，网络管理服务器10检测出有新的终端装置与网络连接后，取得该终端装置的IP地址或者MAC地址，将该地址与作为有连接权限记录在终端信息存储部11的正规的终端装置的IP地址或MAC地址进行对比。在相同的IP地址或MAC地址不存在的情况下，由于可能是没有连接权限的终端装置，因此，网络管理服务器10执行某种使其从网络断开的处理。

另外，使用上述IP地址或MAC地址所进行的判定，可以将任何一方作为关键字进行判定，也可以将双方的组合是否与正规的终端装置一致作为承认的条件。另外，对于这样从连接于网络的终端装置取得的IP地址或MAC地址进行的连接权限的判定，可以在网络管理服务器10之外的其它的计算机上，利用操作系统的功能等使其动作，也可以与本发明所涉及的不正当连接检测系统一起在网络管理服务器10中执行。

关于与网络连接的记录，在图3的例子中虽然也记录包含了过去的履历，但是，所提到的履历不是必须的，为了使本发明所涉及的不正当连接检测系统动作，只要至少记录有通过终端ID或IP地址能够判定特定的终端装置是否正在与网络连接的信息即可，也可以采用表示正在与网络连接的标志等。

关于来自监视程序的通知记录，在图3的例子中虽然也记录包含了过去的履历，但是，所提到的履历不是必须的，例如可以如下构成：只记录涉及眼前的通知记录的信息，然后测定此后经过的时间等，在与网络连接期间能够以一定的间隔确认是否已接收通知记录。另外，在图3的例子中，同时记录了响应时的终端装置的IP地址等信息，如果也这样记录终端装置的识别信息或有关连接状态的信息，不仅可以确认响应的有无，而且在终端装置中发生例如IP地址被替换等这样或那样的变化时，也可以检测出该变化并特定不正当的操作。

接下来，参照图4～图6对本发明所涉及的不正当连接检测系统中的网络管理服务器10的动作进行说明。图4表示具有连接权限的正规终端装置连接时的例子，图5和图6表示没有连接权限的不正当终端装置连接时的例子。

在图4中，具有与网络连接权限的正规终端装置40接通电源后，终端装置40的操作系统启动并进行与网络连接的处理。如果使用个人计算机作为终端装置40，通常通过操作系统收集有关路由器或网关、文件服务器等网络内的节点的信息，掌握与网络连接的状态。

另一方面，网络管理服务器10也随时检测出与网络连接的节点，搜集IP地址等信息，掌握与网络连接的节点。另外，在网络管理服务器10中存储有具有网络连接权限的终端装置的IP地址等识别信息，网络管理服务器10将检测出的正与网络连接中的终端装置的IP地址等与具有连接权限的终端装置的IP地址等进行对比，在没有连接权限的终端装置与网络连接时，可以检测出该连接。

在图4中，网络管理服务器10检测出终端装置40与网络连接检测，从终端装置40取得IP地址[123.456.789.123]。另一方面，由于终端装置40是具有网络连接权限的终端装置，在网络管理服务器10中存储有IP为[123.456.789.123]的信息，与从终端装置40取得的IP地址一致，因此，可以确认终端装置40为具有连接权限的终端装置。

在具有网络连接权限的终端装置40中，存储有用于检测与网络的不正当连接的专用检测程序41。接通终端装置40的电源、操作系统启动后，监视程序41也启动，向网络管理服务器10发送通知与网络连接开始的固有信号。即，在具有与网络连接权限的正规终端装置与网络连接时，网络管理服务器10一定会收到通知连接开始的监视程序固有的信号。在图4中，假设与网络的连接在9点开始，由于在9点接收到来自监视程序的最初的通知，因此，可以确认与网络连接的终端装置确实是具有与网络连接权限的终端装置40。

另外，监视程序41在终端装置40与网络连接期间定期地向网络管理服务器10发送通知连接持续中的固有信号。所提到的信号的发送可以采用如下方式：以一定的间隔从网络管理服务器向连接中的终端发送只有通过监视程序41才能响应的请求，并受理来自监视程序41的响应。无论哪一种方法，在具有与网络连接权限的正规终端装置与网络连接期间，网络管理服务器10一定会收到通知连接在继续的监视程序固有的信号。在图4中，记录了从与网络连接开始的9点到1小时后的10点正常接受通知的情况，可以确认具有与网络连接权限的终端装置40在正常状态下继续与网络的连接。

另外，在表示上述连接继续的通知中，作为包含涉及终端装置40的最新状态的信息，可以与存储在网络管理服务器10中的正常状态对比而构成。除了IP地址或MAC地址等终端的识别信息之外，终端装置40的最新状态也可以采用网关或DHCP服务器的IP地址等有关终端的连接状态的信息。在这些信息与正常的状态不一致的情况下，例如在IP地址或MAC地址不一致的情况下，有可能地址被置换，可以判定为进行了不正当的操作。

在图5中，终端装置50没有与网络的连接权限，在通过置换IP地址的伪装试图与网络连接。为了伪装成具有连接权限的正规终端装置40，将IP地址置换成了终端装置40的IP地址[123.456.789.123]。另外，由于终端装置50不是具有与网络连接权限的正规终端装置，因此，没有存储专用的监视程序。在终端装置50接通电源后，终端装置50的操作程序启动，进行与网络的连接处理。

网络管理服务器10检测出终端装置50试图与网络连接检测，从终端装置50取得IP地址[123.456.789.123]。另一方面，在网络管理服务器10中，存储有具有与网络连接权限的终端装置的IP地址[123.456.789.123]，由于与从终端装置50取得的IP地址一致，只从通过IP地址进行的判定来看，终端装置50被误认为是具有连接权限的正规终端装置。

另一方面，由于终端装置50中不具备专用监视程序，因此，即使开始与网络连接也没有发出通知连接开始的固有信号。因此，在网络管理服务器10中，虽然终端装置40已经处于与网络连接中的状态，但是由于没有连接通知的记录，所以可以判定终端装置40以外的没有连接权限的不正当的终端装置在伪装成终端装置40与网络连接。

另外，在连接继续期间，由于不具备专用的监视程序，定期从正规终端装置发出的通知连接在继续的固有信号也不能发送出去。另一方面，在网络管理服务器10中，由于终端装置40已经成为与网络连接中的状态，从没有收到所提到的通知来看，也可以判定没有连接权限的不正当的终端装置在伪装成终端装置40与网络连接。

图6是在图5的例子中终端装置50为了伪装成终端装置40将终端装置40的IP地址置换成其它IP地址的情况。在终端装置40启动时，正常地进行连接，从监视程序41发出连接开始通知或者在连接持续期间来自终端的信息。如果是这样的状态，网络管理服务器10判定为连接正常，但是，假设终端装置50为了进行伪装，将终端装置40的IP地址置换成了其它具有连接权限的终端装置30的IP地址[123.456.789.100]。此时，如果终端装置50伪装成IP地址[123.456.789.123]进行连接，由于从监视程序41发出连接继续期间来自终端的信息等，因此，有可能检测不到该伪装。

因此，在执行一定的例如IP地址或MAC地址的变更等与伪装相关联的动作时，监视程序41最好设定为使网络管理服务器10执行通知的处理。如果这样设定的话，终端装置40的IP地址被置换后，由于监视程序41将通知该意思的固有信号发送给网络管理服务器10，因此，在网络管理服务器10可以检测出可能进行与终端装置40相关的这样那样的不正当操作。另外，如果监视程序41设定为在终端装置40执行不能使用网络等动作，则也可以从终端装置40执行切断网络的操作，这样更好。

图5或图6的例的结果，在与网络连接的终端被判定为是没有连接权限的不正当终端装置后，网络管理服务器10执行用于切断终端装置50的通信的处理。具体地讲，例如，在终端装置50与通信对象终端之间展开TCP会话的情况下，可以对该会话发送复位数据包或结束数据包，切断会话。

或者，也可以对终端装置50发送伪ARP重定向数据包，避免终端装置50的发送数据包到达通信对象终端。也可以对终端装置50的通信对象终端发送伪ARP重定向数据包，阻碍终端装置50和通信对象终端之间的通信。

在进行如上述的通信切断处理时，网络管理服务器10也可以进行其它动作，例如向管理者发送邮件、记录不正当操作或者对此采取的对策的履历。

接下来，参照图7～图11的流程图、对本发明所涉及的不正当连接检测方法的流程进行说明。图7～图9是网络管理服务器侧的流程，图7表示终端装置启动时的流程，图8及图9表示接受来自终端装置的定时联络的网络管理服务器的流程的2种模式。图10及图11表示终端装置的监视程序的流程的2种模式。

参照图7对终端装置启动并与网络连接时的网络管理服务器的流程进行说明。某一终端装置启动并与封闭的网络连接后，网络管理服务器检测出有新的终端装置连接(S01)，特定该终端装置的IP地址(S02)。在此，检测出与网络连接的终端装置并确定IP地址的方法可以采用如下方法，即，在网络管理服务器中预先存储有其与网络的连接得到认可的终端装置的IP地址，以这些IP地址为目标发送ping命令并接受响应的方法，也可以通过网络监视或者计算机的操作系统利用通常利用的技术，在此没有特别限定。例如，可以利用监听网上的数据包的snooping手段，监视所有在网上流动的数据包，对于接收的各个数据包，取得其发送方IP地址、接收方IP地址、发送方MAC地址(同一地址段(segment)内的情况下，发送方终端的MAC地址；地址段不同的情况下，路由器的MAC地址等)、接收方MAC地址等信息。

在检测出新的终端装置在连接并向被承认的IP地址发送ping时，根据是否对ping响应来判定该终端装置的IP地址是否是预先得到认可的IP地址(S03)。即，如果有对ping的响应，即是得到认可的IP地址，如果没有响应，即是没有得到认可的IP地址的终端装置在连接。在IP地址不是得到认可的地址时，执行例如发送伪ARP重定向数据包等用于中断该终端装置的通信的处理(S09)。

接下来，取得新连接的终端装置的MAC地址(S04)。在不能直接特定MAC地址时，也可以利用ARP从IP地址特定。在网络管理服务器中，预先存储有与网络的连接得到认可的终端装置的MAC地址，从新连接的终端装置取得的MAC地址是否是有连接权限的地址，参照存储了被承认的MAC地址的表格来进行确认(S05)。在MAC地址不是被承认的地址的情况下，执行伪ARP重定向数据包的发送等中断该终端装置的通信的处理(S09)。

也可以在网络管理服务器中预先存储终端装置的IP地址和MAC地址的组合，该终端装置与网络的连接得到承认。这时，从新连接的终端装置取得的IP地址和MAC地址的组合是否是有连接权限的组合，参照存储了已得到承认的IP地址和MAC地址的组合的表格进行确认(S06)。在IP地址和MAC地址的组合不是被承认的组合的情况下，执行伪ARP重定向数据包的发送等中断该终端装置的通信的处理(S09)。

另外，至此为止的流程是通常在网络监视中使用的流程，但是，在本发明中，为了识别与网络连接中的终端装置，以特定的状态为前提，即，与网络连接中的终端装置通过这些流程将IP地址等识别信息作为关键字。因此，如果能够特定与网络连接中的终端装置，可以通过IP地址和MAC地址的任何一方或者双方的组合来特定，也可以通过其它的能够识别终端装置的识别信息来特定。

接下来，在IP地址和MAC地址的组合得到承认的情况下，根据该终端装置确认是否收到来自监视程序的连接开始通知(S07)。由于监视程序只存储在具有连接权限的正规终端装置中，因此，在IP地址或MAC地址是伪装地址的情况下，不会收到连接开始通知。因此，在一定的时间内没有收到连接开始通知的情况下，判定为可能是伪装，执行发送伪ARP重定向数据包等中断该终端装置的通信的处理(S09)。

另一方面，在收到连接开始通知的情况下，判定为是具有连接权限的正规终端装置，容许其与网络进行连接的同时，为了监视该终端装置在与网络连接期间不进行不正当的操作，开始关于来自存储在终端装置的监视程序的定时联络的联络记录(S08)。

网络管理服务器中，根据是否接收到来自存储在终端装置中的监视程序的提示联络来进行的不正当操作的判定如图8或图9所示。图8是先特定与网络连接的终端的模式，首先取得IP地址，特定连接在网络中的终端装置(S10)，确认是否已按一定的时间从各终端装置接收定时联络(S11)。

由于定时联络是启动仅存储在具有连接权限的正规终端装置中的监视程序后发送的，因此，在根据IP地址等判定为与网络连接中的同时却没有按一定的时间接收定时联络的情况下，有可能正在进行通过IP地址等的伪装进行的不正当连接。因此，在没有按一定的时间接收定时联络的情况下，判定为可能是伪装，执行伪ARP重定向数据包的发送等用于中断该终端装置的通信的处理(S13)。

另一方面，在受理定时联络的情况下，检测出包含在该定时联络中的从终端装置发送的IP地址或MAC地址等识别信息、网关服务器或DHCP服务器的IP地址等涉及与网络的连接状态的信息等，确认这些最新信息是否与预先存储在网络管理服务器中的通常的连接信息不同(S12)。在连接信息发生异常的情况下，判定为在该终端装置的连接状态中可能正在进行这样或那样的不正当操作，执行伪ARP重定向数据包的发送等用于中断该终端装置的通信的处理(S13)。在连接信息没有异常的情况下，继续监视。

图9是先确认定时联络的模型。网络管理服务器等待按一定时间从与网络连接中的终端装置发送的定时联络的接收(S14)，在经过一定时间后确认是否收到定时联络(S15)。另外，为了这样按一定时间接收定时联络，可以使仅存储在具有连接权限的正规终端装置中的监视程序包含执行定时联络的程序，也可以按一定时间从网络管理服务器发送只有通过监视程序才能够响应的请求，作为来自监视程序的响应接收定时联络。

在接受定时联络的情况下，检测出包含在该定时联络中的从终端装置发送的IP地址或MAC地址等识别信息、网关服务器或DHCP服务器的IP地址等涉及与网络的连接状态的信息等，确认这些最新信息是否与预先存储在网络管理服务器中的通常的连接信息不同(S16)。在连接信息发生异常的情况下，判定为在该终端装置的连接状态中可能正在进行这样或那样的不正当操作，执行伪ARP重定向数据包的发送等用于中断该终端装置的通信的处理(S18)。在连接信息没有异常的情况下，继续监视。

另一方面，在没有收到定时联络的情况下，确认该终端装置是否与网络连接中(S17)。是否连接中的确认可以参照通过其它网络监视系统管理的数据，也可以通过ping的发送等确认。在终端装置没有连接的情况下，可以判定为该终端装置的电源已经断开等操作已经结束，因此，中止监视。在终端装置连接中的情况下，在连接中而没有定时联络，有可能是不具备监视程序的不正当终端装置在连接中，判定为有伪装的可能性，执行伪ARP重定向数据包的发送等用于中断该终端装置的通信的处理(S18)。

参照图10的流程图对如下流程进行说明，即，通过终端装置的监视程序，在与网络连接开始时对网络管理服务器发送连接开始通知，之后，在特定的事件发生时，也发送通知的流程。首先，启动终端装置，执行与网络的连接处理(S21)，启动只存储于具有与网络连接权限的正规终端装置的监视程序(S22)，向网络管理服务器发送特定的连接开始通知(S23)。该连接开始通知通过只有具有与网络连接权限的正规终端装置才存储的监视程序生成，采用固有的数据格式，通过付与非公开的标记等，作为如果不具备该监视程序就不能生成的数据进行发送。收到连接开始通知的网络管理服务器通过刚才说明的流程对该终端装置的连接是否被允许进行判定。

在与网络的连接得到容许后，在网络管理服务器中监视IP地址的变更等有可能与伪装等不正当操作有关的特定操作(S24、S25)。在没有执行特定操作的情况下，维持现有状态继续监视，在检测出执行了特定的操作时，向网络管理服务器发送在该终端装置发生异常的通知(S26)。作为有不正当操作的可能性，收到通知的网络管理服务器执行切断该终端装置与网络连接的处理。另外，在检测出执行了特定的操作的情况下，也可以在终端装置上执行不能使用网络等动作。

参照图11的流程图对如下流程进行说明，即，通过终端装置的监视程序，在与网络连接中对网络管理服务器发送定时联络的流程。首先，在启动终端装置，执行与网络连接的处理(S31)后，启动只有具有与网络连接权限的正规终端装置才存储的监视程序(S32)，向网络管理服务器发送特定的连接开始通知(S33)。该连接开始通知通过只有具有与网络连接权限的正规终端装置才存储的监视程序生成，采用固有的数据格式，通过付与非公开的标记等，作为如果不具备该监视程序就不能生成的数据进行发送。收到连接开始通知的网络管理服务器通过刚才说明的流程对该终端装置的连接是否被允许进行判定。

在该终端装置从发送连接开始通知经过一定时间到某一定时后，取得该终端装置的最新IP地址等连接信息(S34)。该连接信息作为定时联络按一定的时间发送给网络管理服务器(S35)，该定时联络通过只有具有与网络连接权限的正规终端装置才存储的监视程序生成，采用固有的数据格式，通过付与非公开的标记等，作为如果不具备该监视程序就不能生成的数据进行发送。收到定时联络的网络管理服务器通过刚才说明的流程对该终端装置的继续连接是否被允许进行判定。

如果网络管理服务器通过该定时联络的发送判定该终端装置的继续连接不被允许，则该终端装置与网络的切断被切断。在执行与网络的切断时(S36)，该终端装置的监视程序也停止(S37)。另一方面，如果网络管理服务器判定该终端装置的继续连接被允许，则不执行与网络的切断(S36)，继续等待定时联络。

附图说明

图1是表示本发明所涉及的不正当连接检测系统的设定的一例。

图2是表示本发明所涉及的不正当连接检测系统所采用的网络管理服务器和终端装置的构成的方框图。

图3是表示记录在本发明所涉及的不正当连接检测系统的来自正规终端的通知记录的例子。

图4是表示在本发明所涉及的不正当连接检测系统中，具有连接权限的正规终端装置连接时管理服务器的动作的例子。

图5是表示在本发明所涉及的不正当连接检测系统中，没有连接权限的不正当的终端装置连接时管理服务器动作的第1例。

图6是表示在本发明所涉及的不正当连接检测系统中，没有连接权限的不正当的终端装置连接时管理服务器动作的第2例。

图7是表示本发明所涉及的不正当连接检测方法中，终端启动时管理服务器的流程的流程图。

图8是表示本发明所涉及的不正当连接检测方法中的接受来自终端的定时联络的管理服务器的第一监视流程的流程图。

图9是表示本发明所涉及的不正当连接检测方法中的接受来自终端的定时联络的管理服务器的第二监视流程的流程图。

图10是表示本发明所涉及的不正当连接检测方法中的终端的监视程序的第一流程的流程图。

图11是表示本发明所涉及的不正当连接检测方法中的终端的监视程序的第二流程的流程图。

符号的说明

10网络管理服务器

101 CPU

102 RAM

103 ROM

104 HDD

105 NIC

11 终端信息存储部

20 路由器

30 终端装置

301 CPU

302 RAM

303 ROM

304 HDD

305 NIC

31 监视程序

40 终端装置

41 监视程序

50 终端装置

权利要求书(按照条约第19条的修改)第1页

1、不正当连接检测系统，是用于检测没有连接权限的终端装置与网络的不正当连接的不正当连接检测系统，其特征在于，

在具有与所述网络连接权限的正规终端装置中存储有如下监视程序：一旦所述终端装置与网络连接就向所述不正当连接检测系统发送表示与网络的连接已经开始的连接开始通知，同时，按一定的间隔向所述不正当连接检测系统发送涉及所述终端装置的信息；

所述不正当连接检测系统具备：

检测与所述网络连接的终端装置的连接终端检测装置；

连接开始通知接收装置，该连接开始通知接收装置接收从存储在所述正规终端装置中的监视程序发送的连接开始通知；

第一不正当连接判定装置，该第一不正当连接判定装置对于所述连接终端检测装置检测出其是新与所述网络连接的终端装置，确认所述连接开始通知接收装置是否收到来自所述终端装置的连接开始通知，在没有收到所述连接开始通知的情况下，判定所述终端装置正在与所述网络进行不正当连接；

终端信息接收装置，该终端信息接收装置接收从存储在所述正规终端装置的监视程序发送的涉及所述终端装置的信息；

第二不正当连接判定装置，该第二不正当连接判定装置对于所述连接终端检测装置检测出其正与所述网络连接中的终端装置，确认所述终端信息接收装置是否按所述监视程序所设定的一定的间隔接收到涉及所述终端装置的信息，在没有按所述一定的间隔收到涉及所述终端装置的信息的情况下，判定所述终端装置正在与所述网络进行不正当连接；

数据包发送装置，该数据包发送装置对于所述第一不正当连接判定装置或所述第二不正当连接判定装置判定其正在进行不正当连接的终端装置，对所述终端装置或者成为所述终端装置的通信对象的终端装置发送用于阻碍其通信的数据包，或者，发送用于切断所述终端装置和成为其通信对象的终端装置之间的会话的数据包。

2、如权利要求1所述的不正当连接检测系统，其特征在于，具备：

终端信息存储装置，该终端信息存储装置对于所述正规终端装置，存储第一终端信息，该第一终端信息至少涉及所述终端装置的正规识别信息或者涉及所述终端装置与所述网络正规连接的状态的信息的其中之一；

终端信息检测装置，该终端信息检测装置根据所述连接开始通知接收装置接收的连接开始通知检测出第二终端信息，该第二终端信息至少涉及所述终端装置的识别信息或者涉及所述终端装置与所述网络的连接状态的信息的其中之一；

对于至少所述终端装置的识别信息或者涉及所述终端装置与所述网络的连接状态的信息的其中之一，所述监视程序检测出所述终端装置的最新信息并作为所述连接开始通知发送给所述不正当连接检测系统；

所述第一不正当连接判定装置在所述终端信息检测装置检测出的第二终端信息与存储在所述终端信息存储装置中的涉及所述终端装置的第一终端信息不一致时，判定为所述终端装置正处于与所述网络的不正当连接中。

3、如权利要求1所述的不正当连接检测系统，其特征在于，具备：

终端信息存储装置，该终端信息存储装置对于所述正规终端装置，存储第一终端信息，该第一终端信息至少涉及所述终端装置的正规识别信息或者涉及所述终端装置与所述网络正规的连接状态的信息的其中之一；

终端信息检测装置，该终端信息检测装置根据所述终端信息接收装置接收的涉及终端装置的信息检测出第二终端信息，该第二终端信息至少涉及所述终端装置的识别信息或者涉及所述终端装置与所述网络的连接状态的信息的其中之一；

对于至少所述终端装置的识别信息或者涉及所述终端装置与所述网络的连接状态的信息的其中之一，所述监视程序检测出所述终端装置的最新信息并作为涉及所述终端装置的信息发送给所述不正当连接检测系统；

所述第二不正当连接判定装置在所述终端信息检测装置检测出的第二终端信息与存储在所述终端信息存储装置中的涉及所述终端装置的第一终端信息不一致时，判定为所述终端装置正处于与所述网络的不正当连接中。

4、如权利要求1～权利要求3的任意一项所述的不正当连接检测系统，其特征在于，

存储在所述正规终端装置中的监视程序在检测到被定义为不正当操作的指定事件后，向所述不正当连接检测系统发送所述事件发生的通知；

所述不正当连接检测系统具备：

发生通知接收装置，该发生通知接收装置接收从存储在所述正规终端装置中的监视程序发送的所述事件的发生通知；

第三不正当连接判定装置，该第三不正当连接判定装置对于所述连接终端检测装置检测出其正与所述网络连接中的终端装置，所述发生通知接收装置接收到发生通知的情况下，判定所述终端装置正处于与所述网络的不正当连接中；

所述数据包发送装置对于所述第三不正当连接判定装置判定其正在进行不正当连接的终端装置，对所述终端装置或者成为所述终端装置的通信对象的终端装置发送用于阻碍其通信的数据包，或者，发送用于切断所述终端装置和成为其通信对象的终端装置之间的会话的数据包。

5、不正当连接检测方法，是用于检测没有连接权限的终端装置与网络的不正当连接的不正当连接检测方法，其特征在于，具备：

具有与网络连接权限的正规终端装置启动与所述网络的连接处理的步骤；

在与所述网络的连接确立后，所述正规终端装置向所述网络的管理服务器发送表示与所述网络的连接已经开始的连接开始通知的步骤：

所述管理服务器检测与网络连接的终端装置的步骤；

所述管理服务器对于在所述终端检测步骤中检测出新与所述网络连接的终端装置，确认是否收到所述连接开始通知，在没有收到所述连接开始通知的情况下，判定所述新的终端装置正在与所述网络不正当连接的第一判定步骤；

所述正规的终端装置在与网络的连接确立后按一定的间隔向网络管理服务器发送涉及所述终端装置的信息的步骤；

所述管理服务器对于在所述终端检测步骤中检测出新与所述网络连接的终端装置，确认是否按所述正规终端装置所设定的一定的间隔收到涉及所述终端装置的信息，在没有按一定的间隔收到涉及所述终端装置的信息情况下，判定所述终端装置正在与所述网络不正当连接的第二判定步骤；

对于在所述第一判定步骤或第二判定步骤中判定其正在进行不正当连接的终端装置，对所述终端装置或者成为所述终端装置的通信对象的终端装置发送用于阻碍其通信的数据包，或者，发送用于切断所述终端装置和成为其通信对象的终端装置之间的会话的数据包的步骤。

6、如权利要求5所述的不正当连接检测方法，其特征在于，

在发送所述连接通知的步骤中，对于至少所述终端装置的识别信息或者涉及所述终端装置与所述网络连接状态的信息的其中之一，所述正规终端装置检测出所述正规终端装置的最新信息并作为所述连接开始通知发送给所述管理服务器；

该不正当连接检测方法，还包括：

所述管理服务器根据所述连接开始通知检测出第二终端信息的步骤，该第二终端信息至少涉及所述新终端装置的识别信息或者涉及所述新终端装置与所述网络连接状态的信息的其中之一；

关于所述正规终端装置，在所述第二终端信息与存储在存储第一终端信息的终端信息存储部的第一终端信息不一致的情况下，所述管理服务器判定所述新终端装置正在与网络不正当连接的第三判定步骤，所述第一终端信息至少涉及所述终端装置的正规识别信息或者涉及所述终端装置与所述网络的正规连接状态的信息的其中之一；

在所述发送数据包的步骤中，对于在所述第三判定步骤中判定其正在进行不正当连接的终端装置，对所述终端装置或者成为所述终端装置的通信对象的终端装置发送用于阻碍其通信的数据包，或者，发送用于切断所述终端装置和成为其通信对象的终端装置之间的会话的数据包的步骤。

7、如权利要求5所述的不正当连接检测方法，其特征在于，

在所述发送涉及终端装置的信息的步骤中，对于至少所述终端装置的识别信息或者涉及所述终端装置与所述网络连接状态的信息的其中之一，所述正规终端装置检测出所述正规终端装置的最新信息并作为所述涉及终端装置的信息发送给所述管理服务器；

该不正当连接检测方法，还包括：

所述管理服务器根据所述涉及终端装置的信息检测出第二终端信息的步骤，该第二终端信息至少涉及所述新终端装置的识别信息或者涉及所述新终端装置与所述网络连接状态的信息的其中之一；

关于所述正规终端装置，在所述第二终端信息与存储在存储第一终端信息的终端信息存储部的第一终端信息不一致的情况下，所述管理服务器判定所述新终端装置正在与所述网络进行不正当连接的第四判定步骤，所述第一终端信息至少涉及所述终端装置的正规识别信息或者涉及所述终端装置与所述网络的正规连接状态的信息的其中之一；

在所述发送数据包的步骤中，对于在所述第四判定步骤中判定其正在进行不正当连接的终端装置，对所述终端装置或者成为所述终端装置的通信对象的终端装置发送用于阻碍其通信的数据包，或者，发送用于切断所述终端装置和成为其通信对象的终端装置之间的会话的数据包的步骤。

8、如权利要求5～权利要求7的任意一项所述的不正当连接检测方法，其特征在于，

该不正当连接检测方法包括：

所述正规终端装置检测在所述正规终端装置中被定义为不正当操作的一定的事件的步骤；

所述正规终端装置在检测到所述特定的事件后向所述管理服务器发送所述事件的发生通知的步骤；

对于在所述终端检测步骤中检测出新与所述网络连接中的终端装置，在接收到所述发生通知的情况下，判定所述终端装置正在与所述网络不正当连接的第五判定步骤；

在所述发送数据包的步骤中，对于在所述第五判定步骤中判定其正在进行不正当连接的终端装置，对所述终端装置或者成为所述终端装置的通信对象的终端装置发送用于阻碍其通信的数据包，或者，发送用于切断所述终端装置和成为其通信对象的终端装置之间的会话的数据包。

Claims (10)

1、不正当连接检测系统，用于检测没有连接权限的终端装置与网络的不正当连接，其特征在于，

在具有与所述网络连接权限的正规终端装置中存储有如下监视程序：一旦所述终端装置与网络连接就向所述不正当连接检测系统发送表示与网络的连接已经开始的连接开始通知；

所述不正当连接检测系统具备：

检测与所述网络连接的终端装置的连接终端检测装置；

连接开始通知接收装置，该连接开始通知接收装置接收从存储在所述正规终端装置中的监视程序发送的连接开始通知；

不正当连接判定装置，该不正当连接判定装置对于所述连接终端检测装置检测出其是新与所述网络连接的终端装置，在所述连接开始通知接收装置没有接收到来自所述终端装置的连接开始通知的情况下，判定所述终端装置正在与所述网络进行不正当连接；

数据包发送装置，该数据包发送装置对于所述不正当连接判定装置判定其正在进行不正当连接的终端装置，对所述终端装置或者成为所述终端装置的通信对象的终端装置发送用于阻碍其通信的数据包，或者，发送用于切断所述终端装置和成为其通信对象的终端装置之间的会话的数据包。

2、如权利要求1所述的不正当连接检测系统，其特征在于，具备：

终端信息存储装置，该终端信息存储装置对于所述正规终端装置，存储第一终端信息，该第一终端信息至少涉及所述终端装置的正规识别信息或者涉及所述终端装置与所述网络正规的连接状态的信息的其中之一；

终端信息检测装置，该终端信息检测装置根据所述连接开始通知接收装置接收的连接开始通知检测出第二终端信息，该第二终端信息至少涉及所述终端装置的识别信息或者涉及所述终端装置与所述网络的连接状态的信息的其中之一；

对于至少所述终端装置的识别信息或者涉及所述终端装置与所述网络的连接状态的信息的其中之一，所述监视程序检测出所述终端装置的最新信息并作为所述连接开始通知发送给所述不正当连接检测系统；所述不正当连接判定装置在所述终端信息检测装置检测出的第二终端信息与存储在所述终端信息存储装置中的涉及所述终端装置的第一终端信息不一致时，判定为所述终端装置正在与所述网络不正当连接。

3、不正当连接检测系统，用于检测没有连接权限的终端装置与网络的不正当连接，其特征在于，

在具有与所述网络连接权限的正规终端装置中存储有如下监视程序：一旦所述终端装置与所述网络连接就按一定的间隔向所述不正当连接检测系统发送涉及所述终端装置的信息；

所述不正当连接检测系统具备：

检测与所述网络连接的终端装置的连接终端检测装置；

终端信息接收装置，该终端信息接收装置接收从存储在所述正规终端装置中的监视程序发送的涉及所述终端装置的信息；

不正当连接判定装置，该不正当连接判定装置对于所述连接终端检测装置检测出其正与所述网络连接中的终端装置，在所述终端信息接收装置没有按所述监视程序所设定的一定的间隔接收到涉及所述终端装置的信息的情况下，判定所述终端装置正在与所述网络进行不正当连接；

数据包发送装置，该数据包发送装置对于所述不正当连接判定装置判定其正在进行不正当连接的终端装置，对所述终端装置或者成为所述终端装置的通信对象的终端装置发送用于阻碍其通信的数据包，或者，发送用于切断所述终端装置和成为所述终端装置的通信对象的终端装置之间的会话的数据包。

4、如权利要求3所述的不正当连接检测系统，其特征在于，具备：

终端信息存储装置，该终端信息存储装置对于所述正规终端装置，存储第一终端信息，该第一终端信息至少涉及所述终端装置的正规识别信息或者涉及所述终端装置与所述网络正规连接的状态的信息的其中之一；

终端信息检测装置，该终端信息检测装置根据所述终端信息接收装置接收的涉及终端装置的信息检测出第二终端信息，该第二终端信息至少涉及所述终端装置的识别信息或者涉及所述终端装置与所述网络的连接状态的信息的其中之一；

对于至少所述终端装置的识别信息或者涉及所述终端装置与所述网络的连接状态的信息的其中之一，所述监视程序检测出所述终端装置的最新信息并作为涉及所述终端装置的信息发送给所述不正当连接检测系统；

所述不正当连接判定装置在所述终端信息检测装置检测出的第二终端信息与存储在所述终端信息存储装置中的涉及所述终端装置的第一终端信息不一致时，判定为所述终端装置正在与所述网络进行不正当连接。

5、如权利要求1～权利要求4的任意一项所述的不正当连接检测系统，其特征在于，

存储在所述正规终端装置中的监视程序在检测到被定义为不正当操作的指定事件后，向所述不正当连接检测系统发送所述事件发生的通知；

所述不正当连接检测系统具备发生通知接收装置，该发生通知接收装置接收从存储在所述正规终端装置中的监视程序发送的所述事件的发生通知；

所述不正当连接判定装置在所述发生通知接收装置收到发生通知后，判定为所述终端装置正在与所述网络进行不正当连接。

6、一种不正当连接检测系统，是用于检测没有连接权限的不正当终端装置与网络的连接的不正当连接检测系统，其特征在于，

在具有与所述网络连接权限的正规终端装置中，存储有对来自所述不正当连接检测系统的请求返送特定的响应的监视程序；

所述不正当连接检测系统具备：

检测与所述网络连接的终端装置的连接终端检测装置；

请求发送装置，该请求发送装置对所述连接终端检测装置检测出其正与网络连接中的终端装置发送所述请求；

响应接收装置，该响应接收装置接收从所述存储在正规终端装置中的监视程序发送的对所述请求进行的响应；

不正当连接判定装置，该不正当连接判定装置对于所述请求发送装置发送了请求的终端装置，在所述响应接收装置没有从所述终端装置接收到对所述请求的响应的情况下，判定所述终端装置正在与所述网络进行不正当连接；

数据包发送装置，该数据包发送装置对于所述不正当连接判定装置判定其正在进行不正当连接的终端装置，对上述所述终端装置或者成为所述终端装置的通信对象的终端装置发送用于阻碍其通信的数据包，或者，发送用于切断所述终端装置和成为所述终端装置的通信对象的终端装置之间的会话的数据包。

7、如权利要求6所述的不正当连接检测系统，其特征在于，具备：

终端信息存储装置，该终端信息存储装置对于所述正规终端装置，存储第一终端信息，该第一终端信息至少涉及所述终端装置的正规识别信息或者涉及所述终端装置与所述网络正规连接的状态的信息的其中之一；

终端信息检测装置，该终端信息检测装置根据所述响应接收装置接收的响应检测出第二终端信息，该第二终端信息至少涉及所述终端装置的识别信息或者涉及所述终端装置与所述网络的连接状态的信息的其中之一；

对于至少所述终端装置的识别信息或者涉及所述终端装置与所述网络的连接状态的信息的其中之一，所述监视程序检测出所述终端装置的最新信息并作为所述响应发送给所述不正当连接检测系统；

所述不正当连接判定装置在所述终端信息检测装置检测出的第二终端信息与存储在所述终端信息存储装置中的涉及所述终端装置的第一终端信息不一致时，判定为所述终端装置正在与所述网络不正当连接。

8、不正当连接检测方法，是用于检测没有连接权限的终端装置与网络的不正当连接的不正当连接检测方法，其特征在于，具备以下步骤：

具有与所述网络连接权限的正规终端装置启动与所述网络的连接处理；

在与所述网络的连接确立后，所述正规终端装置向所述网络的管理服务器发送表示与所述网络的连接已经开始的连接开始通知；

所述管理服务器检测新与网络连接的终端装置；

所述管理服务器在检测出所述新的终端装置与所述网络连接并在一定时间内没有收到所述连接开始通知的情况下，判定所述新的终端装置正在与所述网络进行不正当连接；

对于在所述步骤中判定其正在进行不正当连接的终端装置，对所述终端装置或者成为所述终端装置的通信对象的终端装置发送用于阻碍其通信的数据包，或者，发送用于切断所述终端装置和成为其通信对象的终端装置之间的会话的数据包。

9、不正当连接检测方法，是用于检测没有连接权限的终端装置与网络的不正当连接的不正当连接检测方法，其特征在于，具备以下步骤：

具有与网络连接权限的正规终端装置启动与所述网络的连接处理；

在与所述网络的连接确立后，所述正规终端装置按一定的间隔向所述网络的管理服务器发送涉及所述终端装置的信息；

所述管理服务器检测出与所述网络连接的终端装置；

所述管理服务器对于检测出正与所述网络连接中的终端装置，在一定的时间间隔内没有收到涉及所述终端装置的信息的情况下，判定所述新的终端装置处于与所述网络不正当连接中；

对于在所述步骤中被判定其处于不正当连接中的终端装置，对所述终端装置或者成为所述终端装置的通信对象的终端装置发送用于阻碍其通信的数据包，或者，发送用于切断所述终端装置和成为其通信对象的终端装置之间的会话的数据包。

10、不正当连接检测方法，是用于检测没有连接权限的终端装置与网络的不正当连接的不正当连接检测方法，其特征在于，具备以下步骤：

所述网络的管理服务器检测出与所述网络连接中的终端装置；

所述管理服务器对检测出与所述网络连接的终端装置发送特定的请求；

与所述网络连接的具有与所述网络连接权限的正规终端装置启动监视程序，所述监视程序用于接收所述请求并发送对所述请求的响应；

所述正规终端装置向所述管理服务器发送通过所述监视程序生成的响应；

所述管理服务器对于发送所述请求的终端装置，在一定时间内没有收到所述响应的情况下，判定所述新的终端装置正处于与所述网络的不正当连接中；

对于在所述步骤中判定其正在进行不正当连接的终端装置，对所述终端装置或者成为所述终端装置的通信对象的终端装置发送用于阻碍其通信的数据包，或者，发送用于切断所述终端装置和成为其通信对象的终端装置之间的会话的数据包。

Images