JP2005142800A - 監視用端末、ネットワーク監視システム - Google Patents

Abstract

【課題】 最近では、誰でも容易にネットワークに端末を接続できるが、そのような端末は、ネットワーク管理者が管理できない為、不正にネットワークに端末を接続される可能性がある。また、その不正な端末を調査しようとしても、一台一台調査することは非常に煩雑である。
【解決手段】 新規にネットワーク内に端末が接続された場合、監視用端末１にて、ログ解析手段によるログの解析があって、未登録ＭＡＣアドレス調査手段１１は、その端末を利用しているユーザを自動的に、調査し、監視用の端末に表示する。ネットワーク管理者はその表示を基に、利用しているユーザに新規端末を接続した旨確認し、不正な接続が行われないよう監視する。結果的に、新規に接続された端末を利用しているユーザを特定できる為、一台一台調査しなくても、その新規端末を特定することが容易になる。
【選択図】 図２

Description

本発明は、ネットワークに接続された端末を管理する監視用端末、ネットワーク監視システムに関し、特に、管理されていない端末がネットワークに接続された時に、その利用者を調査することができる監視用端末、ネットワーク監視システムに関する。

従来のネットワーク管理システムの一例が、特許文献１に記載されている。この従来のシステムは、ネットワークに接続された機器のアドレス情報を取得する手段と、従来のアドレス情報と比較して、異なるアドレス情報を抽出する手段と、比較した結果、不正に接続されたネットワーク機器があった場合、警告を行う手段から構成されている。

このような構成を有する従来のネットワーク管理システムは、次のように動作する。すなわち、ネットワークに接続された機器のアドレス情報をARPテーブルから取得し、取得したデータを接続機器情報データベースに格納する。この後、接続機器情報と正常時接続機器情報のデータベースと比較し、正常時接続機器情報に該当しないアドレスがあった場合、そのアドレス情報を持った端末を新規に接続された端末と判断し、警告表示する。

このとき、事前にネットワーク構成をルータなどのネットワーク機器で分割して管理していると、ネットワーク上のどの経路にその新規端末が接続されたか判断することができるので、その位置情報も表示することができる。

ネットワークの位置情報がわかれば、新規端末が接続されたときに、その端末が所在する位置をある程度限定することができるので、その新規端末を調査することができる。
特開２００２−３２５０７７号公報

しかし、特許文献１記載の技術には以下の問題点がある。

第１の問題点は、ネットワークに不正に接続された端末があっても、誰がどこで接続したか、管理者にわからない事である。

その理由は、ネットワークに端末を容易に接続することを可能にするため、DHCPサーバのようにIPアドレスを自動的に端末に設定する機能が普及していること、また、ネットワークの知識が若干あれば、自分の端末にIPアドレスと若干の設定をするだけでネットワークに接続できることから、ネットワークの接続性が向上した反面、不正に接続された場合に、管理者にはその不正接続がわからないためである。

第２の問題点は、特許文献１記載の技術ではネットワークの位置情報しかわからないので、実作業上、新しく接続された端末を調査するのに多大な時間がかかるということである。

その理由は、接続機器のMACアドレスは端末固有のアドレスであり、その端末を利用しているユーザが誰かという情報を持っていない。このため、ネットワークの管理者は、その端末を特定する為に、一台一台、端末のMACアドレスを確認し、新規に接続された端末か、従来から接続されている端末か判断する作業が必要になる。

特許文献１記載の技術では監視する端末をネットワークごとに分割することで、確認しないといけない端末数を分散しているが、たとえ分散していても一つのネットワークに数十台の端末が接続された場合、調査は容易でなくなるためである。

第３の問題点は、特許文献１記載の技術では、調査を容易にする為に、不必要に多数のルータを設置しなければならないということである。

その理由は、従来の技術でネットワークを分散して管理する方法を用いても、端末のMACアドレスの確認作業は常に必要にになる。よって、容易にそのネットワークを調査する為には、１つのネットワークに所属する端末台数を10台前後にしなければならない。このとき、ネットワーク毎にルータなどのネットワーク機器が必要となるので、例えば200台規模の端末を接続しているネットワークの場合、20台前後のルータが必要になるためである。

＜目的＞
本発明の目的は、ネットワーク管理者が、一台一台の端末のアドレスを調べて、新規に接続された端末を調査するのではなく、誰が利用しているかを調べた上で、その利用者に問い合わせることにより、新規に接続された端末を容易に調査することができる監視用端末、ネットワーク監視システムを提供することにある。

上記目的を達成するため、請求項１に記載の発明は、ネットワークに接続した未登録端末を監視する監視用端末であって、ＭＡＣアドレスマップを記憶するＭＡＣアドレスマップ記憶手段と、前記未登録端末のＭＡＣアドレスを調査する未登録ＭＡＣアドレス調査手段とを有し、前記未登録端末のＭＡＣアドレスと、ＭＡＣアドレスマップ内のＭＡＣアドレスを比較することを特徴とする。

請求項２に記載の発明は、請求項１に記載の監視用端末において、サーバと情報の送受信を行う、サーバとの通信手段と、前記サーバとの通信手段にてサーバより受信したログを解析するログ解析手段とを有することを特徴とする。

請求項３に記載の発明は、請求項１または２に記載の監視用端末において、ネットワーク内のパケットを取得するパケットモニタリング手段と、前記パケットモニタリング手段が取得したパケットをログとして記録するパケットログ手段とを有することを特徴とする。

請求項４に記載の発明は、端末と、サーバと、監視用端末が互いにネットワークを形成しており、前記監視用端末がネットワークに接続した未登録端末を監視する際のネットワーク監視システムであって、前記監視用端末は、ＭＡＣアドレスマップを記憶するＭＡＣアドレスマップ記憶手段と、前記未登録端末のＭＡＣアドレスを調査する未登録ＭＡＣアドレス調査手段とを備え、前記未登録端末のＭＡＣアドレスと、ＭＡＣアドレスマップ内のＭＡＣアドレスを比較させることを特徴とする。

請求項５に記載の発明は、請求項４に記載のネットワーク監視システムにおいて、前記サーバは、前記監視用端末と情報の送受信を行う、監視用端末との通信手段を備え、前記監視用端末との通信手段は、端末のログを前記監視用端末に送信することを特徴とし、前記監視用端末は、前記サーバと情報の送受信を行う、サーバとの通信手段と、前記サーバとの通信手段にてサーバより受信したログを解析するログ解析手段とを備えたことを特徴とする。

請求項６に記載の発明は、請求項４または５に記載のネットワーク監視システムにおいて、前記監視用端末は、ネットワーク内のパケットを取得するパケットモニタリング手段と、前記パケットモニタリング手段が取得したパケットをログとして記録するパケットログ手段とを備えたことを特徴とする。

＜作用＞
本発明において、サーバとの通信手段は、mailサーバまたはファイルサーバなどのサーバへアクセスした時のログを取得する。ログ解析手段は、mailサーバ、ファイルサーバなどより取得するログから、誰がアクセスしたか調査する。未登録ＭＡＣアドレス調査手段は、解析したログからMACアドレスマップを作成し、未登録のMACアドレスを調査する。
それらの手順を踏まえ、未登録のMACアドレスを持った端末が、どの様なIPアドレスで利用されており、そのIPアドレスを用いてどのユーザがサーバにアクセスしているか監視するよう動作する。

また、mailサーバやファイルサーバにアクセスしない端末を調査する場合、パケットモニタリング手段がネットワーク上のパケットをモニタリングする。パケットログ手段はモニタリングされたパケットをログとして記録し、未登録のMACアドレスを持った端末が、ネットワーク内のどの端末にアクセスしているか調査する。未登録ＭＡＣアドレス調査手段がMACアドレスマップからアクセス先の端末の管理者を調査する。
それらの手順を踏まえ、未登録MACアドレスを持った端末の利用者を推測するし、未登録MACアドレスを持った端末を誰が利用しているか調査することにより本発明の目的を達成することができる。

本発明の効果は、新たに接続された端末を容易に特定できることにある。その理由は、新たに接続された端末を利用している人を特定できるため、その利用者に該当端末はどれか問い合わせれば該当端末を特定できるためである。

以下、本発明実施するための最良の形態を図面を参照して説明する。但し、該形態は一例であって、本発明の要旨を逸脱しない範囲で種々変更可能である。

＜構成＞
図１に本実施形態におけるネットワーク監視システムの全体的な構成を示す。監視用端末１、mailサーバ２、ファイルサーバ３、作業サーバ４−１、４−２、作業用端末５−１、５−２、５−３がそれぞれＬＡＮによって接続されているシステム構成となっている。

図２に各サーバにアクセスしたときのログを解析するための構成を示す。図２を参照すると、本発明の第１の実施の形態は、監視用端末１は、mailサーバやファイルサーバと通信する手段１４と、ログを解析する手段１３と、MACアドレスマップを記憶する手段１２と、未登録MACアドレスを調査する手段１１から構成されている。

また、mailサーバ２、及びファイルサーバ３には監視用端末１と通信する手段２２、３２を含む。これらの手段はそれぞれ概略つぎのように動作する。

mailサーバやファイルサーバと通信する手段１４および、mailサーバ２とファイルサーバ３の監視用端末と通信する手段２２、３２は、mailサーバや、ファイルサーバのログを監視用端末１に通知することができる。

ログを解析する手段１３は、図５のメールサーバのログファイルの内容や、図６のファイルサーバのログファイルの内容から、端末が持つIPアドレスと、利用しているユーザを解析することができる。

MACアドレスマップ記憶手段１２は、図４の様にMACアドレスと、IPアドレス、端末の作業内容、その端末の管理者などを関連づけて登録したＭＡＣアドレスマップを記憶することができる。

未登録MACアドレスを調査する手段１１は、現在ネットワーク上で利用されているIPアドレスを調査し、そのIPアドレスを利用している端末のMACアドレスを調査し、そのMACアドレスが図４のMACアドレスマップに登録されていない場合、監視用端末１に未登録MACアドレスと、そのIPアドレス、また、ログを解析する手段１３で解析した利用しているユーザを表示することができる。

図３にネットワーク上を流れるパケットを解析するための構成を示す。図３を参照すると。本発明の第２の実施の形態は、監視用端末１は、ネットワークのパケットモニタリング手段１６と、パケットログ手段１５と、MACアドレスマップを記憶する手段１２と、未登録MACアドレスを調査する手段１１から構成されている。

パケットモニタリング手段１６は、ネットワークを常時監視しており、ネットワーク上を流れている図７の様なパケットの情報を取得する。

パケットログ手段１５は、パケットモニタリング手段１６で取得した情報をログとして記録する。

MACアドレスマップ記憶手段１２は、図４の様にMACアドレスと、IPアドレス、端末の作業内容、その端末の管理者などを関連づけて登録したＭＡＣアドレスマップを記憶することができる。

未登録MACアドレスを調査する手段１１は、ログされたパケットを調査し、MACアドレスマップに未登録のMACアドレスから発信されたパケットを調査する。また、そのパケットがどの様なMACアドレスを持った端末と通信しているのか調査し、アクセスされている端末のMACアドレスをMACアドレスマップから調査する。アクセスされている端末のMACアドレスを特定すると、監視用端末１に未登録MACアドレスと、そのIPアドレス、及び、アクセスしている端末のIPアドレス管理者を表示することができる。

＜動作＞
次に、図８の流れ図を参照して、本実施形態の全体の動作について詳細に説明する。

図１の監視用端末１は定期的にネットワーク内のIPアドレスにpingコマンドを実行し（Ｓ１）、そのIPアドレスを持った端末がアクティブになっているか調査する。

pingコマンドは、ICMPプロトコルを用いて特定IPアドレスと通信し、そのIPアドレスをもった端末がアクティブになっているかどうか調査するときに、一般的に用いられるコマンドである。

pingコマンドを用いて調査した結果、そのIPアドレスから応答がない場合（Ｓ２でＮ）、そのIPアドレスはネットワーク内で使用されていないということがわかる。よって、別のIPアドレスに変更して再度pingコマンドを実行し（Ｓ１）、順次ネットワーク内のIPアドレスを調査する。

pingコマンドで応答があった場合（Ｓ２でＹ）、ARPプロトコルを用いて、そのIPアドレスを利用している端末のMACアドレスを調査する（Ｓ３）。

MACアドレスとは、ネットワークインターフェースに割り振られたアドレスであり、端末毎に世界的に重複しないよう設定されている。このことから、端末を個別に管理する必要があるときには、一般的によく用いられている。

通常、ネットワーク接続を行う場合は、IPアドレスと、MACアドレスは図４のMACアドレスマップの様に、１対１に対比して運用される。

ネットワーク内でアクティブになっているIPアドレスと、そのIPアドレスを使用している端末のMACアドレスが特定できると、次に図４のMACアドレスマップのMACアドレスを調査する。

MACアドレスマップに既に登録されていた場合（Ｓ４でＹ）、新しく接続された端末ではないので、次のIPアドレス調査を行う（Ｓ１）。

MACアドレスマップに登録されていない場合（Ｓ４でＮ）、新しく接続された未登録の端末と判断し、次の処理に移る。

図２の、mailサーバ２は、作業用端末５−１〜５−３と通信して、mailのサービスを提供する。このとき、mailを処理するmail処理手段２３は、通常送受信ログ２１をログファイル（図５）として残す。

このログファイル（図５）を解析すると、9月27日の16時50分40秒に192.168.1.14というIPアドレスを持った端末から、user4というユーザがmailを発信し、そのメールが、9月27日の16時50分41秒にuser1というユーザ宛に転送されたことが読みとれる。

図２のmailサーバ２内の監視用端末との通信手段２２と、図２の監視用端末１内のmailサーバ、ファイルサーバのとの通信手段１４を用いて、監視用端末１は、このログファイル（図５）を取得し、監視用端末１内のログ解析手段１３を用いて、上記のような解析を行う（Ｓ５）。

未登録端末のIPアドレスが、上記解析手段で解析した結果、ログファイルの中に含まれていた場合（Ｓ５でＹ）、未登録端末のIPアドレスは、どのユーザが使用しているか特定することができる。

上記の手段で、未登録端末のMACアドレス及びIPアドレス、それを利用しているユーザが特定できた場合（Ｓ６）、監視用端末１に未登録MACアドレスと利用ユーザを表示する（Ｓ７）。

その後、次のIPアドレスを調査する作業を繰り返す（Ｓ１）。

もし、未登録端末が、mailを利用していない場合、mailサーバにログが残らないので、ユーザを特定することができない。そのような場合（Ｓ５でＮ）、次にファイルサーバのログを調査する（Ｓ８）。

ファイルサーバ３は、作業用端末５−１〜５−３と通信して、ファイル共有のサービスを提供する。このとき、mailサーバと同様に、ファイルサーバ３内にアクセスログ３１をログファイル（図６）として残す。

このログファイル（図６）を解析すると、2003年9月27日、16時25分22秒に、IPアドレス192.168.1.14という端末から、user4がアクセスしたことがわかる。

同様に、2003年9月27日、16時25分26秒に、IPアドレス192.168.1.15という端末から、user5がアクセスしたことが読みとれる。

図２のファイルサーバ３内の監視用端末との通信手段３２と、図２の監視用端末１内のmailサーバ、ファイルサーバとの通信手段１４を用いて、監視用端末１は、このログファイル（図６）を取得し、監視用端末１内のログ解析手段１３を用いて、上記のような解析を行う。

未登録端末のIPアドレスが、ログ解析手段１３で解析した結果、ログファイルの中に含まれていた場合（Ｓ８でＹ）、未登録端末のIPアドレスは、どのユーザが使用しているか特定することができる。

上記の手段で、未登録端末のMACアドレス及びIPアドレス、それを利用しているユーザが特定できた場合（Ｓ９）、監視用端末に未登録MACアドレスと利用ユーザを表示する（Ｓ１０）。

その後、次のIPアドレスを調査する作業を繰り返す（Ｓ１）。

もし、未登録端末のアドレスが、mailサーバやファイルサーバにアクセスしていない場合、ログが残らないので、ユーザを特定することができない。しかし、このような場合でも、未登録端末はネットワークに接続している為、一般的に図３に示すような、作業サーバ４−１、作業サーバ４−２の様な何らかのサーバにアクセスしていることがほとんどである。しかし、作業サーバ４−１や作業サーバ４−２のサービスがログを残さない場合、今までのようなログの解析手段ではユーザが特定できない。

この場合（Ｓ８でＮ）、図３に示す方法で、ユーザを特定する。

図３の監視用端末１内パケットモニタリング手段１６は、常時ネットワークを監視しておりネットワーク内を流れているパケットを取得する（Ｓ１１）。

このパケットを解析すると、図７の様なパケットの情報が含まれており、図３の監視用端末１内パケットログ手段１５において、この情報をログとして記録する。

この図７のログを解析すると、ETHER: Distination=という項目と、IP: Destination address=という項目から、MACアドレスが00:30:13:ba:91:87で、IPアドレスが、192.168.1.12というサーバに対して、ETHER: Source=という項目と、IP: Source address=という項目からMACアドレスが00:01:30:b9:6d:c0で、IPアドレスが、192.168.1.16という端末から、通信していることがわかる。

このログと、MACアドレスマップを用いる（Ｓ１２）ことで、未登録端末（MACアドレス=00:01:30:b9:6d:c0）は、作業サーバ４−１（MACアドレス=00:30:13:ba:91:87）にアクセスしており、作業サーバ４−１の管理者はuser2であることがわかる。このような場合、未登録端末は、user2かuser2の関係者が利用していることがほとんどである。

よって、監視用端末に未登録MACアドレスと、アクセス先のMACアドレス及びその管理者を表示する（Ｓ１３）。

その後、次のIPアドレスを調査する作業を繰り返す（Ｓ１）。

＜作用＞
ネットワーク管理者は、上記の処理で監視用端末に表示された結果を基に、ユーザに未登録端末のを使用しているか確認し、未登録端末が確認できれば、MACアドレスマップに該当の端末を追加する。よって、従来のように端末一台一台を調査しなくても、未登録端末を容易に調査することができるようになる。

本発明によれば、ネットワーク上に接続された端末を容易に監視するといった用途に適用できる。

本実施形態におけるネットワーク監視システムの全体的な構成を示す図である。 各サーバにアクセスしたときのログを解析するための構成を示す図である。 ネットワーク上を流れるパケットを解析するための構成を示す図である。 MACアドレスマップの構成情報を示す図である。 メールサーバのログファイルの内容である。 ファイルサーバのログファイルの内容である。 パケットモニタリングしたときに取得できる内容である。 全体の流れを示す流れ図である。

符号の説明

１ 監視用端末
２ mailサーバ
３ ファイルサーバ
４−１、４−２ 作業サーバ
５−１、５−２、５−３ 作業用端末
１１ 未登録ＭＡＣアドレス調査手段
１２ ＭＡＣアドレスマップ記憶手段
１３ ログ解析手段
１４ mailサーバ、ファイルサーバとの通信手段
１５ パケットログ手段
１６ パケットモニタリング手段
２１ 送受信ログ
２２ 監視用端末との通信手段
２３ mail処理手段
３１ アクセスログ
３２ 監視用端末との通信手段
３３ ファイルサーバ処理手段
４１ 作業用端末へのサービス提供
４２ 通信手段

Claims (6)

1. ネットワークに接続した未登録端末を監視する監視用端末であって、
   ＭＡＣアドレスマップを記憶するＭＡＣアドレスマップ記憶手段と、
   前記未登録端末のＭＡＣアドレスを調査する未登録ＭＡＣアドレス調査手段とを有し、
   前記未登録端末のＭＡＣアドレスと、ＭＡＣアドレスマップ内のＭＡＣアドレスを比較することを特徴とする監視用端末。
2. サーバと情報の送受信を行う、サーバとの通信手段と、
   前記サーバとの通信手段にてサーバより受信したログを解析するログ解析手段とを有することを特徴とする請求項１に記載の監視用端末。
3. ネットワーク内のパケットを取得するパケットモニタリング手段と、
   前記パケットモニタリング手段が取得したパケットをログとして記録するパケットログ手段とを有することを特徴とする請求項１または２に記載の監視用端末。
4. 端末と、サーバと、監視用端末が互いにネットワークを形成しており、
   前記監視用端末がネットワークに接続した未登録端末を監視する際のネットワーク監視システムであって、
   前記監視用端末は、
   ＭＡＣアドレスマップを記憶するＭＡＣアドレスマップ記憶手段と、
   前記未登録端末のＭＡＣアドレスを調査する未登録ＭＡＣアドレス調査手段とを備え、
   前記未登録端末のＭＡＣアドレスと、ＭＡＣアドレスマップ内のＭＡＣアドレスを比較させることを特徴とするネットワーク監視システム。
5. 前記サーバは、
   前記監視用端末と情報の送受信を行う、監視用端末との通信手段を備え、
   前記監視用端末との通信手段は、端末のログを前記監視用端末に送信することを特徴とし、
   前記監視用端末は、
   前記サーバと情報の送受信を行う、サーバとの通信手段と、
   前記サーバとの通信手段にてサーバより受信したログを解析するログ解析手段とを備えたことを特徴とする請求項４に記載のネットワーク監視システム。
6. 前記監視用端末は、
   ネットワーク内のパケットを取得するパケットモニタリング手段と、
   前記パケットモニタリング手段が取得したパケットをログとして記録するパケットログ手段とを備えたことを特徴とする請求項４または５に記載のネットワーク監視システム。

Images