JP2005210451A - 不正アクセス防止装置及びプログラム - Google Patents

Abstract

【課題】 ネットワークへの不正アクセス検知及びネットワークへの不正アクセス防止を実現する。
【解決手段】 監視ホストは、ネットワーク内の全ての正当なホストのＩＰアドレスと物理アドレスを、予め、データベース（ＤＢ）に登録する（Ｓ１〜Ｓ６）。その後、監視ホストは、ネットワークの伝送路上のＡＲＰ要求パケットを監視して、該データベースに登録されていないＩＰアドレスの物理アドレスを問い合わせるＡＲＰ要求パケットを検知すると、自身の物理アドレスを通知するＡＲＰ応答パケットを返す（Ｓ７〜Ｓ９）。また、使用ＩＰアドレスの物理アドレスを問い合わせるＡＲＰ要求パケットであっても、発信元物理アドレスがデータベースに登録されていなければ、それを監視ホストの物理アドレスに書き換えたダミーのＡＲＰ要求パケットを送出する（Ｓ８、Ｓ１０、Ｓ１１）。
【選択図】図３

Description

本発明は、ネットワークにおける不正アクセスを防止する技術に関する。

近年、インターネットやイントラネットを代表とするネットワーク基盤の進展に伴う高度ネットワーク社会の実現により、電子メールやＷｅｂブラウザ（以下、ブラウザ）の利用が拡大している。特に、ｅ−ビジネスの利用の拡大が顕著であり、その代表的な電子商取引においては、企業間での商取引や個人の商品購入などが行われている。個人の電子商取引としては、ホームページでのオンラインショッピングや、電子市場におけるオークションによる商品購入などがある。

このように、高度ネットワーク社会においては、ブラウザや電子メールを介して、電子商取引、電子マネーの流通などのｅ−ビジネスが展開される。このようなｅ−ビジネスにおいては、個人情報などの貴重な情報がネットワーク上を介して交換され、データベースに登録される。これらの個人情報は、ネットワークを介して通信されるため、悪意のある第３者によりネットワーク上で盗聴されたり改竄されたりする行為が発生している。また、悪意のある行為者が、ネットワークを介してデータベースに不正にアクセスし、該データベースから上記個人情報などの貴重な情報を盗んだり、改竄するなどの悪質な行為も発生している。また、さらには、他人のサーバを踏み台にしてＤＤｏＳ(Distributed Denial of Service)攻撃を行い、第３者のサーバを一斉攻撃し、そのサービスを停止させたり、そのサーバのシステム自体を停止させるなどの悪質な行為も発生している。

このため、上記のような不正行為を検知したり未然に防止するためのネットワークセキュリティ対策の重要性が高まっている。このようなネットワークセキュリティの従来技術の1つとして、侵入検知システム（ＩＤＳ：Intrusion Detection System）が知られている。ＩＤＳは、侵入検知ツールであり、ネットワーク型とホスト型に大別される。ネットワーク型では、ネットワーク上を流れるパケットを監視し、シグニチャと呼ばれる攻撃パターンのデータベースを保有し、アクセスが許可されていないパターンや、攻撃プログラムを含むパターンを該データベースとの照合により検出して、社内ネットワークでの不正アクセスを検知する（不正アクセスの検知には、コマンドの特定パターンとのマッチングなどが用いられる。

また、ＩＤＳ以外に、ファイアウォールやプロキシー（プロキシーサーバ）なども知られている。ファイアウォールは、ネットワークシステムの内部と外部に設けられるセキュリティシステムであり、外部からのアクセスを制限して、内部システムの安全性を高める。プロキシーサーバは、社内ネットワークとインターネットとの間に設置するパケット中継装置またはソフトウェアであり、社内のクライアントからのアクセスを代理して、インターネットに中継する。ファイアウォールの場合、Ｗｅｂサイトを外部に公開している企業はＴＣＰの８０番のポートを開放している可能性が高く、ファイアウォールはこのポート経由で攻撃を受ける危険性を有する。また、最近では、ＣＧＩ（Common Gateway Interface）プログラムのバグを突く攻撃、クロスサイト・スクリプティング攻撃など、ファイアウォールでは守りきれない攻撃が増加している。

インターネットに接続されるノード（サーバ、パソコン端末などの情報処理装置やルーターなどの中継機器など）は、固有のＩＰアドレスを用いてＴＣＰ／ＩＰプロトコルにより他のノードと通信を行う。インターネットでは、サブネットマスクで区切られたＩＰネットワークの範囲をサブネットと呼んでいる。このサブネットは、通常は、ルーターで区切られた範囲と同一である。尚、サブネットマスクとは、ルーターで区切った一つのローカルネットワークのアドレス範囲を表現するために使用するＩＰアドレス用のネットマスク値である。

通常、サブネット内のノード（ホストとも言う）には同一のＩＰアドレスが割り当てられることはない。同一サブネット内の異なるノード同士は、自ノードと他ノードのＩＰアドレスによって互いに相手を指定しながらネットワーク通信を行う。このネットワーク通信は、実際の物理的レベルでは、ＭＡＣアドレスと呼ばれる機器（ノード）固有のアドレスを用いて行われる。このＭＡＣアドレスは、機器製造時にＮＩＣ(Network Interface Card)上のＲＯＭに書き込まれ、世界的に一意なアドレスである。ＭＡＣ(Media Access Control)アドレスは、データリンク層の下位副層であるＭＡＣ層（媒体アクセス制御層）のアドレスである。

ＴＣＰ／ＩＰプロトコル環境においては、ノードは他のノードと通信する際、最初に、ＡＲＰ(Address Resolution Protocol)要求パケットをネットワーク上に送信して、通信相手先の他のノードのＭＡＣアドレスを取得し、それから、ＩＰパケットによる通信を開始する。

企業や工場、店舗のフロア内や一般家庭などの各ネットワークにおいては、各ノードはネットワーク接続を行おうとするする場合、当初はＩＰアドレスを持っていないため、自身が接続されているネットワークの管理者に自己のＩＰアドレスを割り当ててもらうことになる。すなわち、ネットワーク管理者からの割り当てを経ずに、自身が勝手にＩＰアドレスを決めてネットワークに接続を行おうとするノードの行為は、不正なノードがネットワークに接続されたか、ノードが不正にネットワークを利用を行おうとしていると見なすことができる。

あるネットワークで、ネットワーク管理者から正当に割り当てられたＩＰアドレスを持っていないノードが、該ネットワークに対して不正にアクセスする際の基本的な行動パターンとしては、まず、（１）自分が利用するＩＰアドレスを決めるため、該ネットワークで未使用となっているＩＰアドレスの探索、（２）そして、その探索後、不正アクセスの対象とするノードに対する通信を開始することである。

この場合、前者（１）では、使われていないと想定するＩＰアドレスにＡＲＰ要求パケットを送出することになる。後者（２）でも、不正アクセス対象先のＩＰアドレスに対してＡＲＰ要求パケットを送出する必要がある。よって、ネットワーク上に流れるＡＲＰ要求パケットを監視することにより、不正アクセスの検知、もしくは、ネットワークの不正利用を未然に防止することが可能になると考えられる。

ところで、ＡＲＰパケットではなく、ＤＨＣＰ(Dynamic Host Configuration Protocol)パケットを利用して、不正なノードによるネットワーク接続を監視する技術が知られている。例えば、ネットワーク上を流れるＤＨＣＰｏｆｆｅｒメッセージのパケットを取り込み、そのパケット内のＩＰアドレスと物理アドレスの対が登録済みであるか否かを調べることにより、不正ノード（アドレス管理装置や一般ノード）を検出する技術が知られている（例えば、特許文献１参照）。

しかしながら、ＤＨＣＰはＤＨＣＰサーバがＩＰアドレスを自動的に設定する方式である。ＴＣＰ／ＩＰプロトコル環境のネットワーク（ＴＣＰ／ＩＰネットワーク）では、ＤＨＣＰサーバを利用せずに、静的にＩＰアドレスを勝手に割り当ててることができる。このような場合、不正ノードはＤＨＣＰパケットを使用せずにＴＣＰ／ＩＰネットワークへ接続できるため、ＤＨＣＰパケットの監視による不正ノード検知方式は万全なものとはいえない。
特願平８−１８６５９号公報

上述したように、従来のＤＨＣＰパケットを用いたネットワーク監視方式では、静的にＩＰアドレスを割り当てているノードを検知することはできなかった。
本発明は、ネットワーク上を流れるＡＲＰパケットを監視することにより、ネットワークに不正にアクセスしようとしているノードを検知し、その不正ノードのネットワーク利用を防止することを目的とする。

本発明の第１の態様の不正アクセス防止装置は、ネットワーク内の正当なホストについて、そのＩＰアドレスと物理アドレスを格納しているデータベースと、ネットワークの伝送路上を流れる、ネットワーク内で未使用となっているＩＰアドレスの物理アドレスを問い合わせる要求パケットを監視する監視手段と、該監視手段により該要求パケットが検知されたとき、該要求パケット内の問い合わせＩＰアドレスが前記データベースに登録されているか判断する第１の判断手段と、該第１の判断手段による判断結果に応じて、前記要求パケットによる不正アクセスを防止するためのパケットを送信するパケット送信手段とを備えることを特徴とする。

前記パケット送信手段は、例えば、前記第１の判断手段により、前記問い合わせＩＰアドレスが前記データベースに登録されていないと判断したときは、前記要求パケットに対する応答パケットを送信する。

第１の態様の不正アクセス防止装置によれば、不正アクセスホストによる未使用ＩＰアドレスの探索を阻止できる。
本発明の第２の態様の不正アクセス防止装置は、前記第１の判断手段により、前記問い合わせＩＰアドレスが前記データベースに登録されていないと判断されたとき、前記要求パケットの送信元物理アドレスが前記データベースに登録されているか判断する第２の判断手段を、さらに備える。そして、前記パケット送信手段は、該第２の判断手段により、前記送信元物理アドレスが前記データベースに登録されていないと判断されときは、前記要求パケットの発信元物理アドレスを自ホストの物理アドレスに書き換え、その物理アドレスが書き換えられた要求パケットを送信することを特徴とする。

本発明の第２の態様の不正アクセス防止装置によれば、ＩＰアドレスを偽って不正アクセスを試みようとする不正ホストによるネットワークへのアクセスを防止できる。
本発明の第１の態様のプログラムは、ネットワーク内の正当なホストについて、そのＩＰアドレスと物理アドレスをデータベースに登録する処理と、ネットワークの伝送路上を流れる、ネットワーク内で未使用となっているＩＰアドレスの物理アドレスを問い合わせる要求パケットを監視する処理と、該監視処理により該要求パケットが検知されたとき、該要求パケット内の問い合わせＩＰアドレスが前記データベースに登録されているか判断する処理と、該判断処理による判断結果に応じて、前記要求パケットによる不正アクセスを防止するためのパケットを送信する処理とをコンピュータに実行させる
前記パケット送信処理では、例えば、前記判断処理によって前記問い合わせＩＰアドレスが前記データベースに登録されていないと判断されたときは、前記要求パケットに対する応答パケットを送信する。

本発明の第１の態様のプログラムは、上記第１の態様の不正アクセス防止装置と同様な作用・効果が得られる。
本発明の第２の態様のプログラムは、前記問い合わせＩＰアドレスの判断処理により、前記問い合わせＩＰアドレスが前記データベースに登録されていないと判断されたとき、前記要求パケットの送信元物理アドレスが前記データベースに登録されているか判断する処理を、さらにコンピュータに実行させる。そして、前記パケット送信処理では、該発信元物理アドレスの判断処理により、前記送信元物理アドレスが前記データベースに登録されていないと判断されときは、前記要求パケットの発信元物理アドレスを自ホストの物理アドレスに書き換え、その物理アドレスが書き換えられた要求パケットを送信することを特徴とする。

本発明の第２の態様のプログラムは、上記第２の態様の不正アクセス防止装置と同様な作用・効果が得られる。

本発明によれば、ネットワークに不正にアクセスしようとしているノードを検知でき、その不正ノードのネットワーク利用を阻止できる。

以下、図面を参照しながら本発明の実施形態を説明する。

図１は、本発明の一実施例のシステム構成図である。
同図に示すネットワーク１は、単独のネットワークで構成される小規模システムであり、１つのサブネットである。ネットワーク１は、伝送路１１に接続された１台の監視ホスト２０と１台の端末（クライアント端末）１３及び１台のルーター１６から構成されている。同図においては、もう一つの端末１４が伝送路１１に接続されているが、この端末１４はネットワーク１に対して不正アクセスを試みようとしている端末である。ネットワーク１は１つのサブネットである。本発明の基本構成は、このように、１つのサブネット（物理的なパケットの到達範囲）に１台の監視ホストが設置される形態をとる。

監視ホスト２０は、ネットワークシステム１に不正アクセスを行おうとしているホストを検知するために設置されたサーバであり、ネットワーク１に対して不正アクセスを行うノード（ホスト）を検知する際に参照するデータベース２１を備えている。

データベース２１は、ネットワーク１内の正当な各ホストについて、そのＩＰアドレスと物理アドレス（ＭＡＣアドレスなど）を記録している。監視ホスト２０は、予め（例えば、ネットワーク１のシステム立ち上げ時等）、ネットワーク１が使用するＩＰアドレス範囲の全てのＩＰアドレスに対してＡＲＰ要求パケットを送信し、それに対するＡＲＰ応答パケットを基に、ネットワーク１に接続されたホストのＩＰアドレスと物理アドレス（ＭＡＣアドレスなど）の対応情報を収集し、それをデータベース１１に登録する。

また、監視ホスト２０は、上記ＡＲＰ要求パケットに対するＡＲＰ応答パケットから、ネットワーク１内で未使用のＩＰアドレスの情報を知る（ＡＲＰ応答パケットが返ってこないＩＰアドレスは未使用であるとみなす）。

図１に示すように、監視ホスト２０のＩＰアドレスは「192.168.0.100」であり、物理アドレスは「aa-bb-cc-dd-ee-22」である。また、クライアント端末１３のＩＰアドレスは「192.168.0.10」であり、ルーター１６のＩＰアドレスは「192.168.0.1」、物理アドレスは「aa-bb-cc-dd-ee-00」である。また、ネットワーク１のＩＰアドレスは「192.168
.0.0」となっており、これはネットワーク１全体を表す。このネットワーク１のＩＰアドレスの後尾には「/24」という表記が付加されているが、この表記は、ネットワーク１のホストに割り当てられたＩＰアドレスにおいて、ネットワーク番号部分のビット数が２４ビットであることを示す。

図２は、監視ホスト２０が備えるデータベース２１の格納情報の内容を示す図である。
同図に示すように、データベース１１は、Ｎｏ．１〜３の各レコードに、それぞれ、監視ホスト２０、ルーター１６、クライアント端末１３のＩＰアドレスと物理アドレスを格納している。

図３は、上記構成のネットワーク１における監視ホスト２０の動作を示すフローチャートである。
まず、ネットワーク１のＩＰアドレス範囲を取得し、その範囲における最初と最後のＩＰアドレスを決定する（ステップＳ１）。そして、まず、最初のＩＰアドレスに対するＡＲＰ要求パケットを伝送路１１に送出する（ステップＳ２）。

監視ホスト２０は、伝送路１１を監視し、ステップＳ２で送出したＡＲＰ要求パケットに対するＡＲＰ応答パケットを受信したか判断する（ステップＳ３）。監視ホスト２０は、例えば、ＡＲＰ要求パケット送出した後、予め定められた所定時間まで伝送路１１を監視する。そして、該所定時間が経過しても上記ＡＲＰ要求パケットに対するＡＲＰ応答パケットを受信しなかった場合には、ステップＳ２でＡＲＰ要求パケットを送出したＩＰアドレスから応答がないものとみなす。逆に、監視ホスト２０は、ステップＳ２で送出したＡＲＰ要求パケットに対するＡＲＰ応答パケットを上記所定時間以内に受信した場合には、該ＡＲＰ要求パケットを送出したＩＰアドレスから応答があったと判断する。

ステップＳ３では、応答があったと判断すると、当該ＡＲＰ応答パケットから物理アドレスを取り出し、その応答があったホストのＩＰアドレスと物理アドレス（上記収集した物理アドレス）をデータベース２１に記録して（ステップＳ４）、ステップＳ５に移行する。一方、応答がないと判断すると、直ちに、ステップＳ５に移行する。

ステップＳ５では、上記ＩＰアドレス範囲の最後のＩＰアドレスのＡＲＰ要求パケットに対する応答の有無の判断が終了したか判断し、まだ、終了していなければ、ＡＲＰ要求パケットを送出するＩＰアドレスを次のＩＰアドレスの値に設定し（ステップＳ６）、ステップＳ２に戻る。

このようにして、監視ホスト２０は、ステップＳ２〜Ｓ６の処理を繰り返すことにより、上記ＩＰアドレス範囲内の全てのＩＰアドレスに対してＡＲＰ要求パケットを送出し、それに対する応答の有無を基にして、ネットワーク１に接続されている全ホストの物理アドレスを収集する。そして、該物理アドレスとそれに対応するＩＰアドレスをデータベース１１に登録する。

以上のようにして、監視ホスト２０は、ネットワーク１に存在する正当なホストについて、そのＩＰアドレスと物理アドレスの組をデータベース１１に登録する処理を終了すると、ステップＳ７の処理に移行する。

ステップＳ７では、監視ホスト２０は、伝送路１１を流れるＡＲＰ要求パケットを監視する（ステップＳ７）。そして、ＡＲＰ要求パケットを見つけると、伝送路１１からそのＡＲＰ要求パケットを取り込み、そのＡＲＰ要求パケットで指定された問い合わせＩＰアドレスがデータベース（ＤＢ）２１に登録されているか調べ、データベース１１に登録されているＩＰアドレス宛てのＡＲＰ要求パケットであるか判断する（ステップＳ８）。

ステップＳ８で、データベース１１に登録されていないＩＰアドレス宛てのＡＲＰ要求パケットであると判断すると、監視ホスト２０は自分がそのＩＰアドレスを有するホストであるかのようにみせかけて、そのＡＲＰ要求パケットの送信元ＩＰアドレス宛てに、上記問い合わせＩＰアドレスを送信元ＩＰアドレスとするＡＲＰ応答パケットを伝送路１１に送出する（ステップＳ９）。そして、ステップＳ７に戻る。

ステップＳ９において、監視ホスト２０は、具体的には、受信したＡＲＰ要求パケットに対するＡＲＰ応答パケットとして、発信元ＩＰアドレスは該ＡＲＰ要求パケットの宛先ＩＰアドレスとし、発信元物理アドレスは自分の物理アドレスとするＡＲＰ応答パケットを送出する。 このように、データベース１１に登録されていないＩＰアドレス宛てのＡＲＰ要求パケットがネットワーク１に送られてきた場合、そのＡＲＰ要求パケットに対してＡＲＰ応答パケットを返す。このため、不正アクセスしようとするホストは、ネットワーク１で未使用のＩＰアドレスを探索しようとしても、必ず、ＡＲＰ応答パケットが返ってくるので、目的を達成する、すなわち、ネットワーク１で未使用となっているＩＰアドレスを探索することはできない。

ステップＳ８で、ＡＲＰ要求パケットの問い合わせＩＰアドレスがデータベース２１に登録されてると判断すると、そのＡＲＰ要求パケットの送信元の物理アドレスがデータベース１１に登録されているか調べ、その物理アドレスがデータベース２１に登録されていなければ、そのＡＲＰ要求パケットの発信元物理アドレスを自分の物理アドレスに書き換えて再送する。すなわち、受信したＡＲＰ要求パケットの発信元ＩＰアドレス、宛先物理アドレス及び宛先ＩＰアドレスは元のままで、発信元物理アドレスだけが監視ホスト２０の物理アドレスに書き換えられたダミーのＡＲＰ要求パケットを送出する（ステップＳ１１）。そして、ステップＳ７に戻る。

このようにして送出されたダミーのＡＲＰ要求パケットは、ネットワーク１内の宛先ＩＰアドレスを有するホストに送られることになる。このため、そのホストから、該ダミーのＡＲＰ要求パケットに対するＡＲＰ応答パケットが送出される。このＡＲＰ応答パケットは、その宛先物理アドレスが監視ホスト２０となっているため、監視ホスト２０に送られることになる。

上記図３のフローチャートの動作を、図４〜図６を参照しながら、より具体的に説明する。
図４は、クライアント端末１３がＩＰアドレス（「192.168.0.1」）のＭＡＣアドレスを問い合わせるＡＲＰ要求パケットを発信した場合の処理シーケンス（通常のＡＲＰシーケンス）示す図である。

クライアント端末１３が、同図に示すアドレス情報（発信元物理アドレス、発信元ＩＰアドレス、宛先物理アドレス、宛先ＩＰアドレス）が設定されたＡＲＰ要求パケット４１を伝送路１１に送出すると、監視ホスト２０は、このＡＲＰ要求パケット４１を伝送路１１から取り込み、そのパケット４１内の宛先ＩＰアドレス（「192.168.0.1」）と発信元物理アドレス（「aa-bb-cc-dd-ee-11」）を調べ、それらのアドレスがデータベース１１に登録されているか調べる（図４のステップＳ８、Ｓ１０）。そして、それらのアドレスがデータベース１１に登録されていると判断すると、ＡＲＰ要求パケット４１が正当なＡＲＰ要求パケットであり、かつ自分宛てでないと判断して無視する。

ルーター１６は、ＡＲＰ要求パケット４１が自分のＩＰアドレス（「192.168.0.1」）宛てであるので、クライアント端末１３にＡＲＰ応答パケット４３を返す。このＡＲＰ応答パケットの発信元物理アドレス（「aa-bb-cc-dd-ee-00」）と発信元ＩＰアドレス（「192.168.0.1」）はルーター１６のアドレスであり、宛先物理アドレス（「aa-bb-cc-dd-ee-11」）と宛先ＩＰアドレス（「192.168.0.10」）はクライアント端末１３のアドレスである。

このように、ネットワーク１の正当なホストからのＡＲＰ要求パケットは、ＴＣＰ／ＩＰプロトコルの通常のシーケンスで処理され、その正当なホストに目的のＭＡＣアドレス（不図示）がＡＲＰ応答パケットにより通知される。

図５は、ネットワーク１に対して未使用のＩＰアドレスに対するＡＲＰ要求パケットが送られてきた場合の処理シーケンスを示す図である。
不正アクセス端末１４が、ネットワーク１における未使用ＩＰアドレスを探索する目的で、同図に示すアドレス情報（発信元物理アドレスが「aa-bb-cc-dd-ee-99」、発信元ＩＰアドレスが「192.168.0.6」、宛先物理アドレスが「00-00-00-00-00」、宛先ＩＰアドレスが「192.168.0.5」）が設定されたＡＲＰ要求パケット５１を伝送路１１に送出すると、監視ホスト２０はこのＡＲＰ要求パケット５１を検知し、その宛先ＩＰアドレス（「192.168.0.5」）がデータベース２１に登録されているか調べる（図３のステップＳ８）。そして、監視ホスト２０は、その宛先ＩＰアドレスがデータベース２１に登録されていないと判断すると、自分の物理アドレス（「aa-bb-cc-dd-ee-22」）を発信者物理アドレに、自分のＩＰアドレス（「192.168.0.5」）を発信元ＩＰアドレスにしたＡＲＰ応答パケットを不正アクセス端末１４に返す（図３のステップＳ９）。

このように、ネットワーク１に未使用のＩＰアドレスの物理アドレスを問い合わせるＡＲＰ要求パケットが送られてきた場合には、監視ホスト２０がそれに対してＡＲＰ応答パケットを返すので、不正アクセス端末１４はネットワーク１で未使用のＩＰアドレスを探索することはできななくなる。

図６は、ネットワーク１に登録されたＩＰアドレスの物理アドレスを問い合わせるＡＲＰ要求パケットが、ネットワーク１に登録されていない物理アドレス（発信元物理アドレス）でネットワーク１に送られてきた場合の処理シーケンスを示す図である。

不正アクセス端末１４が、ネットワーク１に登録されているＩＰアドレス（この場合、ルーター１６のＩＰアドレス）の物理アドレスを知ろうとして、アドレス情報（発信元物理アドレスが「aa-bb-cc-dd-ee-99」、発信元ＩＰアドレスが「192.168.0.6」、宛先物理アドレスが「00-00-00-00-001」、宛先ＩＰアドレスが「192.168.0.1」）が設定されたＡＲＰ要求パケット６１をネットワーク１に対して送出すると、このＡＲＰ要求パケット６１はルーター１６によって受信される。

ルーター１６は、ＡＲＰ要求パケット６１に対してＡＲＰ応答パケット（第１のＡＲＰ応答パケット）を返す。この間、監視ホスト２０は伝送路１１上に送出されたＡＲＰ応答パケットを検知し、その宛先ＩＰアドレスと発信元物理アドレスを調べる（図３のステップＳ８、Ｓ１０）。 そして、ＡＲＰ要求パケット６１の発信元物理アドレス（「aa-bb-cc-dd-ee-99」）がデータベース２１に登録されていないことを知ると、ＡＲＰ要求パケット６１の発信元物理アドレスを自分の物理アドレス（「aa-bb-cc-dd-ee-22」）に書き換えたダミーのＡＲＰ要求パケット６３をルーター１６に送る（図３のステップＳ１１）。

ルーター１６は、上記ダミーのＡＲＰ要求パケット６３を受信すると、それに対するＡＲＰ応答パケット（第２のＡＲＰ応答パケット）を監視ホスト２０に送信する。すなわち、上記ダミーのＡＲＰ要求パケット６３によって、ルーター１６側の ＡＲＰキャッシュ（不図示）が書き変わり、以後の通信パケットは監視ホスト２０宛に送られることになり、不正アクセス端末１４はパケットを受け取ることが出来なくなる。この結果、不正アクセス端末１４による不正ＩＰアドレスを利用したネットワーク１への不正なアクセスは阻止される。

また、上記ルーター１６が伝送路１１上に送出した第２のＡＲＰ応答パケットの宛先ＩＰアドレスは不正アクセス端末１４のＩＰアドレス（＝192.168.06）に設定されている。これにより、不正アクセス端末１４は、アドレス競合状態となり、以後の利用が不可能となる。例えば、あるＯＳ（オペレーティングシステム）においては、不正アクセス端末１４の画面上に「IPアドレスが競合しています」というメッセージが表示され、以後のネットワーク接続が困難となる。

このように、監視ホスト２０は、データベース２１に登録されていない物理アドレスが送信元物理アドレスとなっているＡＲＰ要求パケット６１を検出すると、そのＡＲＰ要求パケット６１のダミーのＡＲＰ要求パケット６３（ＡＲＰ要求パケット６１の送信元物理アドレスを自身の物理アドレスに書き換えたＡＲＰ要求パケット）を作成して伝送路１１上に送出して不正アクセス端末１４を撹乱させ、該不正アクセス端末１４によるネットワーク１に対する不正アクセスを防止する。

図７は、本発明の他の実施例のシステム構成図である。
同図に示すネットワーク１００は、本発明を適用した大規模ネットワークであり、ネットワーク７０、ネットワーク８０及びネットワーク９０の３つのネットワークから構成されている。

ネットワーク７０は、伝送路１１１と、それに接続されたクライアント端末１１３、監視ホスト（親）１２０及びルーター１１６から構成されている。監視ホスト１２０は、図１の監視ホスト２０と同様な機能を有するホストであり、データベース１２１を備えていある。このデータベース１１１は、ネットワーク１００の全ホストについて、それらのＩＰアドレスと物理アドレスを格納している。

ネットワーク８０は、伝送路１３１と、それに接続された監視ホスト（子）１４０及びルーター１３６から構成されている。図７に示す例では、このネットワーク８０の伝送路１３１に不正アクセス端末１１４が接続されている。

ネットワーク９０は、上記２つのネットワーク８０，９０の上位階層のネットワークである。ネットワーク９０は、伝送路１４１と、それに接続されたクライアント端末１５０及びサーバ１４７から構成されている。クライアント端末１５０は、監視ホスト機能を有するソフトウェア（アプリケーションプログラム）がインストールされており、監視ホスト（子）の機能を備えている。

ネットワーク７０とネットワーク９０はルーター１１６によって接続されており、ネットワーク８０とネットワーク９０はルーター１３６によって接続されている。
ネットワーク９０のＩＰアドレスは「192.168.0.0」であり、そのネットワーク番号は２４ビットである。また、ネットワーク７０のＩＰアドレスは「198.168.10.0」であり、そのネットワーク番号は２４ビットである。また、ネットワーク８０のＩＰアドレスは「198.168.20.0」であり、そのネットワーク番号は２４ビットである。

上記構成のネットワーク１００の各サブネットであるネットワーク７０、８０及び９０には、それぞれ、監視ホスト１２０、１４０及び１５０が設置されている。この実施例においては、ネットワーク７０に設置された監視ホスト２０が、データベース１２１においてネットワーク１００全体のホストのＩＰアドレスと物理アドレスを一括管理している。このため、ネットワーク８０の監視ホスト１４０とネットワーク９０の監視ホスト（クライアント端末）１５０は、ネットワーク７０の監視ホスト１２０が保有するデータベース１２１をアクセス・参照することにより、図１の監視ホスト２０と同様にして自ネットワークへの不正アクセスを防止する。

図７においては、ネットワーク８０において、監視ホスト１４０が、データベース１２１を参照することにより不正アクセス端末１１４を検知し、その不正アクセス端末１１４によるネットワーク８０への不正アクセスを阻止する処理を模式的に示している。

また、ネットワーク９０の監視ホスト１５０は、ネットワーク９０に既設されていたクライアント端末であり、当初は監視ホストではなかったものである。本発明の監視ホスト機能はソフトウェア（プログラム）として実現可能であり、監視ホスト１５０は、その監視ホスト機能を備えたソフトウェア（監視ソフト）をインストールすることにより、監視ホストとして機能するようになったホストである。

このように、本発明においては、必ずしも、全てのサブネットに監視ホストを新規に設置する必要はない。既設のホストに前記監視ソフトをインストールすることで、監視ホストの新規設置を代替することが可能である。そして、実施例１のデータベース１１と同様なデータベース（ネットワーク内の正規ホストのＩＰアドレスと物理アドレスとの対応関係が登録されたデータベース）をネットワーク内のいずれか一つのサーバ（図７のネットワーク１００においては、監視ホスト１２０）で管理する構成を採用することで、ネットワーク内の全正規ホストのＩＰアドレスと物理アドレスの対応関係を、効率的に一括集中管理することが可能である。

本発明は、ＴＣＰ／ＩＰプロトコルを採用する全てのネットワークの不正アクセス防止に効果的である。

本発明を適用した一実施例のネットワークのシステムの構成図である。（実施例１） データベースのデータ構造を示す図である。 監視ホストの処理手順を示すフローチャートである。 正規のホストが、ＡＲＰ要求パケットを送信した場合の処理シーケンスを示す図である。 不正ホストが、未使用のＩＰアドレスを探索するためにＡＲＰ要求パケットを送信した場合の処理シーケンスを示す図である。 不正ホストが、ＩＰアドレスを偽って不正アクセスするためにＡＲＰ要求パケットを送信した場合の処理シーケンスを示す図である。 本発明を適用した他の実施例のネットワークのシステム構成を示す図である。

符号の説明

１ ネットワーク
１１ 伝送路
１３ クライアント端末
１４ 不正アクセス端末
１６ ルーター
２０ 監視ホスト
２１ データベース
４１、５１ ＡＲＰ要求パケット
４３、５３ ＡＲＰ応答パケット
６１、６３ ＡＲＰ要求パケット
７０、８０、９０ ネットワーク
１１１、１３１，１４１ 伝送路
１１３ クライアント端末
１１４ 不正アクセス端末
１１６、１３６ ルーター
１２０ 監視ホスト（親）
１２１ データベース
１３１ 伝送路
１４０ 監視ホスト（子）
１４７ サーバ
１５０ 既設クライアント端末（監視ホスト（子）機能入り）

Claims (6)

1. ネットワーク内の正当なホストについて、そのＩＰアドレスと物理アドレスを格納しているデータベースと、
   ネットワークの伝送路上を流れる、ネットワーク内で未使用となっているＩＰアドレスの物理アドレスを問い合わせる要求パケットを監視する監視手段と、
   該監視手段により該要求パケットが検知されたとき、該要求パケット内の問い合わせＩＰアドレスが前記データベースに登録されているか判断する第１の判断手段と、
   該第１の判断手段による判断結果に応じて、前記要求パケットによる不正アクセスを防止するためのパケットを送信するパケット送信手段と、
   を備えることを特徴とする不正アクセス防止装置。
2. 前記パケット送信手段は、前記第１の判断手段により、前記問い合わせＩＰアドレスが前記データベースに登録されていないと判断したときは、前記要求パケットに対する応答パケットを送信すること、
   を特徴とする請求項１記載の不正アクセス防止装置。
3. 前記第１の判断手段により、前記問い合わせＩＰアドレスが前記データベースに登録されていないと判断されたとき、前記要求パケットの送信元物理アドレスが前記データベースに登録されているか判断する第２の判断手段を、さらに備え、
   前記パケット送信手段は、該第２の判断手段により、前記送信元物理アドレスが前記データベースに登録されていないと判断されときは、前記要求パケットの発信元物理アドレスを自ホストの物理アドレスに書き換え、その物理アドレスが書き換えられた要求パケットを送信すること、
   を特徴とする請求項１記載の不正アクセス防止装置。
4. ネットワーク内の正当なホストについて、そのＩＰアドレスと物理アドレスをデータベースに登録する処理と、
   ネットワークの伝送路上を流れる、ネットワーク内で未使用となっているＩＰアドレスの物理アドレスを問い合わせる要求パケットを監視する処理と、
   該監視処理により該要求パケットが検知されたとき、該要求パケット内の問い合わせＩＰアドレスが前記データベースに登録されているか判断する処理と、
   該判断処理による判断結果に応じて、前記要求パケットによる不正アクセスを防止するためのパケットを送信する処理と、
   をコンピュータに実行させるプログラム。
5. 前記パケット送信処理では、前記判断処理によって前記問い合わせＩＰアドレスが前記データベースに登録されていないと判断されたときは、前記要求パケットに対する応答パケットを送信すること、
   を特徴とする請求４記載のプログラム。
6. 前記問い合わせＩＰアドレスの判断処理により、前記問い合わせＩＰアドレスが前記データベースに登録されていないと判断されたとき、前記要求パケットの送信元物理アドレスが前記データベースに登録されているか判断する処理を、さらにコンピュータに実行させ、
   前記パケット送信処理では、該発信元物理アドレスの判断処理により、前記送信元物理アドレスが前記データベースに登録されていないと判断されときは、前記要求パケットの発信元物理アドレスを自ホストの物理アドレスに書き換え、その物理アドレスが書き換えられた要求パケットを送信すること、
   を特徴とする請求項４記載のプログラム。