JP2006287299A - ネットワーク管理方法および装置並びに管理プログラム - Google Patents

Abstract

【課題】 ＩＰｖ６ネットワーク環境あるいはＩＰｖ４とＩＰｖ６混在環境においてネットワークへの不正接続の検出と不正接続端末の遮断を実現する。
【解決手段】 ネットワークエージェントによりネットワークを監視し、パケットに含まれるＭＡＣアドレスを基に予め接続が許可された端末固有の識別情報が登録されたデータベースを照合して不正接続端末かを判定し、不正接続端末の場合に前記パケットの送信元アドレスが未指定アドレスか否かを判定し、未指定の場合にはＤＡＤプロセスであるためアドレスが重複している旨の近隣通知メッセージを送信し、前記送信元アドレスがユニキャストアドレスの場合は前記不正接続端末のリンク層アドレスを架空のものに設定した近隣広告の非要請メッセージを全ノードマルチキャストアドレスに送信する。
【選択図】 図３

Description

本発明はネットワーク管理方式に関し、特に、ＩＰｖ６（Internet Protocol version 6）環境においてネットワークへの不正接続の検出と不正接続端末の通信遮断を行う技術に関する。

近年の通信ネットワークの発達に伴い、企業内ＬＡＮなどへの不正接続が問題となっている。ネットワークへの不正接続は、データパケットの盗聴や情報資産への不正アクセスによる秘密情報の漏洩といった危険のみならず、ウィルス感染した不正接続端末からネットワーク全体へウィルス汚染が拡大するといった危険もある。このような通信ネットワークへの不正接続を検出するための技術が開発されている。例えば特許文献１では、正常時と不正監視時のＡＲＰ（Address Resolution Protocol）テーブルを比較して不正接続端末を検出し、表示装置に警告メッセージを発することが開示されている。

また、従来インターネットプロトコルではＩＰｖ４（Internet Protocol version 4）が使用されてきたが、インターネット利用者の急増に伴うＩＰｖ４アドレス空間の枯渇が問題となり、新たに128ビットのアドレス長を持つプロトコルとしてＩＰｖ６が実用化されている。現在は特にブロードバンドサービスにおいてＩＰｖ６が利用されているが、今後は企業内ネットワークなどすべてのネットワークがＩＰｖ６に移行していくものと想定される。

ＩＰｖ６では、アドレスを決定する際にネットワーク内でそのアドレスがすでに使用されているかを確認する重複アドレス検出機能（ＤＡＤ：Duplicated Address Detection）という新機能が追加されている。この機能では、ノードが作成したＩＰｖ６アドレスを含む近隣要請（ＮＳ：Neighbor Solicitation）メッセージをサブネット上にブロードキャスト送信し、その近隣要請メッセージを受信した他のノードがそのＩＰｖ６アドレスを既に使用している場合、近隣広告（ＮＡ：Neighbor Advertisement）メッセージを返答してメッセージが重複していることを通知する。近隣要請メッセージを送信したノードは一定時間（少なくとも１秒）応答がない場合に設定したＩＰｖ６アドレスが重複していないと判断し、以後そのアドレスを利用することができるが、近隣要請メッセージに対する近隣広告メッセージを受信した場合にはアドレスが重複しているとしてそのアドレスで接続することができない（例えば、特許文献２）。

また、ＩＰ通信ではＩＰアドレスを知っていてもリンク層アドレスを知らなければ通信できないため、各ノードは通信先のリンク層アドレスを取得し、ＩＰアドレスとリンク層アドレスをペアにしてキャッシュする。このキャッシュが近隣キャッシュ（Neighbor Cache）と呼ばれる。例えばある端末のインタフェースカードがホットスワップした場合など、ネットワーク接続端末のリンク層アドレスが変更になった場合に、新しいリンク層アドレスを全ノードに知らせるために近隣探索プロトコル（ＮＤＰ：Neighbor Disicovery Protocol）の近隣広告メッセージの非要請広告（Unsolicited Neighbor Advertisement）が用いられる。通知されたノードは近隣キャッシュを更新し、以降の通信を行う。このメッセージにおいてＳ（Solicited：要請）フラグが”１”のときは本メッセージが近隣要請メッセージへの応答であることを示す。

特開２００２−３２５０７７号公報 特開２００４−１２０１７１号公報

しかしながら、上記特許文献１や他の不正接続端末の検出方法はＩＰｖ４ネットワーク環境を前提としており、ＩＰｖ６ネットワークやＩＰｖ４とＩＰｖ６の混在するネットワーク環境では、不正接続端末の検出やシャットアウトができないという問題があった。

本発明は、ＩＰｖ６ネットワーク環境においてネットワークへの不正接続の検出と不正接続端末の遮断を実現する方法、装置、プログラムを提供することを目的とする。

上記目的を達成するために、本願請求項１の発明は、ＩＰｖ６あるいはＩＰｖ４とｖ６の混在環境の通信ネットワークの管理方法であって、前記ネットワークに接続された管理装置が、他の端末から重複アドレス検出（ＤＡＤ：Duplicate Address Detection）の問い合わせを受けた場合に、当該メッセージに含まれる端末固有の識別情報を基に予め前記ネットワークに接続が許可された端末情報が登録された接続許可端末データベースを照合して不正接続端末か否かを判定するステップと、ここで不正接続端末と判定した場合に前記管理装置が前記問い合わせに対しアドレスが重複している旨のメッセージを送信するステップとを含むことを特徴とする。

また、本願請求項２の発明は、ＩＰｖ６環境あるいはＩＰｖ４とｖ６の混在環境の通信ネットワークの管理方法であって、前記ネットワークに接続された管理端末が該ネットワークに流れるパケットを取得するステップと、前記管理装置が前記パケットに含まれる端末固有の識別情報を基に予め接続が許可された端末固有の識別情報が登録された接続許可端末データベースを照合し不正接続端末を検出するステップと、前記管理装置が不正接続端末を検出した場合に、当該不正接続端末のリンク層アドレスを架空のものに変更する旨を前記ネットワークに接続された他のすべての端末に通知するステップとを含むことを特徴とする。

また、本願請求項３の発明は、ＩＰｖ６環境あるいはＩＰｖ４とｖ６の混在環境の通信ネットワークの管理方法であって、前記ネットワークに接続された管理端末が該ネットワークに流れるパケットを取得するステップと、前記管理装置が前記パケットに含まれる端末固有の識別情報を基に予め接続が許可された端末固有の識別情報が登録された接続許可端末データベースを照合し不正接続端末を検出するステップと、前記管理装置が不正接続端末を検出した場合に前記パケットの送信元アドレスが未指定アドレスか否かを判定するステップと、ここで送信元アドレスが未指定の場合に前記管理端末が前記不正接続端末にアドレスが重複している旨のメッセージを送信するステップと、前記送信元アドレスが未指定アドレスでない場合に前記不正接続端末のリンク層アドレスを架空のものに変更する旨を前記ネットワークに接続された他のすべての端末に通知するステップとを含むことを特徴とする。

この場合、前記リンク層アドレスを変更する旨を通知するステップは、前記管理装置が、前記不正接続端末のユニキャストアドレスをターゲットアドレスとし、全ノードマルチキャストアドレスを宛先とし、少なくとも一部をランダムに生成したリンク層アドレスを含む非要請広告の近隣広告メッセージを送出する。

本願請求項５の方法はさらに、前記管理装置が不正接続端末を検出した場合にそのアドレス情報を不正接続端末データベースに登録するステップと、前記管理端末が定期的に前記登録されたアドレスの端末が前記ネットワークに接続しているかを判定するステップと、当該不正接続端末がネットワークに接続している場合に、前記不正接続端末のリンク層アドレスを架空のものに変更する旨を前記管理装置が前記ネットワークに接続された他のすべての端末に通知するステップとを含むことを特徴とする。

本願請求項６の方法は、前記管理装置が、不正接続端末を検出した場合に、当該管理装置のディスプレイに警告メッセージを表示し、及び／又は、前記不正接続端末のアクセスログを記憶領域に保存し、及び／又は、ネットワーク管理者の情報端末に警告メッセージを送信するステップを含むことを特徴とする。

本願請求項７の発明は、ＩＰｖ６あるいはＩＰｖ４とｖ６の混在環境の通信ネットワークに接続されるネットワーク管理装置であって、予め前記ネットワークへの接続を許可する端末固有の識別情報が登録された許可端末データベースと、前記ネットワークを介して他の接続端末と通信する通信処理手段と、他の端末から重複アドレス検出（ＤＡＤ：Duplicate Address Detection）の近隣要請メッセージを受けた場合に、当該メッセージに含まれる端末固有の識別情報を基に前記接続許可端末データベースを照合して不正接続端末か否かを判定し、ここで不正接続端末と判定された場合にアドレスが重複している旨の近隣通知メッセージを送信する不正接続端末検出・防御手段とを備えることを特徴とする。

本願請求項８の発明は、ＩＰｖ６あるいはＩＰｖ４とｖ６の混在環境の通信ネットワークに接続されるネットワーク管理装置であって、予め前記ネットワークへの接続を許可する端末固有の識別情報が登録された許可端末データベースと、他の接続端末と通信するとともに前記ネットワーク上に流れるパケットを取得する通信処理手段と、前記通信処理手段が取得したパケットに含まれる端末固有の識別情報を基に前記接続許可端末データベースを照合して不正接続端末を検出し、検出された不正接続端末のリンク層アドレスを架空のものに変更する旨を前記ネットワークに接続された他のすべての端末に通知する不正接続端末検出・防御手段とを備えることを特徴とする。

このネットワーク管理装置がさらに、前記不正接続端末が検出された場合にそのアドレス情報を格納する不正接続端末データベースを備えるとともに、前記不正接続端末検出・防御手段が、前記不正接続端末データベースに登録された端末が前記ネットワークに接続しているかを定期的に問い合わせ、当該不正接続端末がネットワークに接続している場合に、前記不正接続端末のリンク層アドレスを架空のものに変更する旨を前記管理装置が前記ネットワークに接続された他のすべての端末に通知することを特徴とする。

さらに、前記不正接続端末検出・防御手段により不正接続端末が検出された場合に、警告メッセージを表示する表示画面、及び／又は、当該不正接続端末のアクセスログを記録する記憶領域、及び／又は、ネットワーク管理者に警告メールを送信する電子メール手段を備えることを特徴とする。

本願請求項１１の発明は、ＩＰｖ６あるいはＩＰｖ４とｖ６の混在環境の通信ネットワークに接続される管理装置上で動作するネットワーク管理プログラムであって、前記管理装置が他の端末から重複アドレス検出（ＤＡＤ：Duplicate Address Detection）の問い合わせを受けた場合に、当該メッセージに含まれる端末固有の識別情報を基に予め前記ネットワークに接続が許可された端末情報が登録された接続許可端末データベースを照合して不正接続端末か否かを判定するステップと、ここで不正接続端末と判定した場合に前記問い合わせに対しアドレスが重複している旨のメッセージを送信するステップとを前記管理装置に実行させることを特徴とする。

本願請求項１２の発明は、ＩＰｖ６あるいはＩＰｖ４とｖ６の混在環境の通信ネットワークに接続される管理装置上で動作するネットワーク管理プログラムであって、前記ネットワークに流れるパケットを取得するステップと、前記パケットに含まれる端末固有の識別情報を基に予め接続が許可された端末固有の識別情報が登録された接続許可端末データベースを照合し不正接続端末を検出するステップと、不正接続端末を検出した場合に当該不正接続端末のリンク層アドレスを架空のものに変更する旨を前記ネットワークに接続された他のすべての端末に通知するステップとを前記管理装置に実行させることを特徴とする。

本願請求項１３の発明は、ＩＰｖ６あるいはＩＰｖ４とｖ６の混在環境の通信ネットワークに接続される管理装置上で動作するネットワーク管理プログラムであって、前記ネットワークに流れるパケットを取得するステップと、前記パケットに含まれる端末固有の識別情報を基に予め接続が許可された端末固有の識別情報が登録された接続許可端末データベースを照合し不正接続端末を検出するステップと、不正接続端末を検出した場合に前記パケットの送信元アドレスが未指定アドレスか否かを判定するステップと、ここで送信元アドレスが未指定の場合に前記不正接続端末にアドレスが重複している旨のメッセージを送信するステップと、前記送信元アドレスが未指定アドレスでない場合に前記不正接続端末のリンク層アドレスを架空のものに変更する旨を前記ネットワークに接続された他のすべての端末に通知するステップとを前記管理装置に実行させることを特徴とする。

本願請求項１４の発明はさらに、前記不正接続端末を検出した場合にそのアドレス情報を不正接続端末データベースに登録するステップと、定期的に前記登録されたアドレスの端末が前記ネットワークに接続しているかを判定するステップと、当該不正接続端末がネットワークに接続している場合に、前記不正接続端末のリンク層アドレスを架空のものに変更する旨を前記ネットワークに接続された他のすべての端末に通知するステップとを前記管理装置に実行させることを特徴とする。

ネットワークに新たに接続した端末の重複アドレス検出（ＤＡＤ）の近隣要請（ＮＳ）を受信し、あるいはネットワーク上を流れるパケットを監視して、これらに含まれる端末固有情報（ＭＡＣアドレス）に基づき、接続許可端末データベースを検索することにより、当該メッセージまたはパケットの送信元端末が不正接続端末か否かを検出することができる。

また、不正接続端末を検出した場合に、重複アドレス検出（ＤＡＤ）プロセスにおいてアドレスが重複する旨の近隣通知（ＮＡ）メッセージを送信したり、近隣探索プロトコルの近隣広告メッセージの非要請広告を用いて不正接続端末のリンク層アドレスが変更となった旨を他の端末に通知することにより、この不正接続端末によるネットワークへのアクセスを遮断してセキュリティ性を飛躍的に向上させることができる。

また、パケットの送信元アドレスが未指定アドレスである場合はＤＡＤプロセスの近隣要請（ＮＡ）と判定できるためＤＡＤにより重複アドレスを検出させ、送信元アドレスがユニキャストアドレスであれば、何らかの原因でＤＡＤのＮＳが届かなかった場合や、不正接続端末でＤＡＤが無効に設定されている場合でも、近隣探索プロトコルの非要請広告を利用して確実に不正接続端末の通信を遮断することができる。

さらに、不正接続端末の情報をデータベースに登録し、定期的にその存在確認を行い、存在している場合には近隣広告メッセージの非要請広告を用いて遮断することにより、不正接続端末のアクセスを遮断することができる。

また、不正接続端末を検出した場合に警告メッセージや電子メールを送信することにより、ネットワーク管理者に即座に検知させて的確な処理を行わせることが可能となる。

本発明を実施するための最良の実施形態について、図面を参照しながら以下に詳細に説明する。

図１は、本発明にかかる一実施例の構成を示す図である。図１を参照すると、ネットワークエージェント１（ネットワーク管理装置）と、接続許可端末２、３と、不正接続端末４とが監視対象となるネットワーク５に接続している。このネットワーク５は例えば企業内ＬＡＮであり、予めネットワークエージェント１に登録された端末のみが接続を許可される。本図において、接続許可端末２、３は予めネットワーク５への接続が許可されたＩＰｖ６が動作するパーソナルコンピュータやＰＤＡ等の情報処理端末であり、不正接続許可端末４はネットワーク５への接続が許可されていないＩＰｖ６が動作するコンピュータ端末である。

ネットワークエージェント１は、本発明にかかるプログラムにより動作し、ネットワーク５への不正接続端末の検出および不正接続端末の通信を遮断するためのサーバコンピュータである。このネットワークエージェント１の構成を図２に示す。

図２に示すように、ネットワークエージェント１は、メモリからＣＰＵに展開されてエージェント１を制御する管理プログラム１０と、接続許可端末データベース１４と、不正接続端末データベース１５とを備えている。管理プログラム１０はエージェント１の常駐プログラムであり、モジュール単位で説明すると、通信監視部１１と、不正接続検出・防御部１２と、警告処理部１３とを含んでいる。通信監視部１１は、エージェント１の備える通信インタフェースと協働してＬＡＮ５上に流れるすべてのパケットキャプチャを行い、取り込んだデータパケットを不正接続検出・防御部１２に送る。この場合のデータパケットには必ず送信元端末固有の識別情報（例えばＭＡＣアドレス）が含まれている。

接続許可端末データベース１４には、予めＬＡＮ５への接続を許可する端末のＭＡＣアドレスが登録されている。不正接続検出・防御部１２は、通信監視部１１から通知されたＭＡＣアドレスを基に接続許可端末データベース１４を検索することによりデータパケットの送信元が許可端末か否かを判定し、後述するように不正接続端末の通信を遮断する処理を実行する。不正接続検出・防御部１２は、不正接続端末を検出した場合にそのＩＰアドレスおよびＭＡＣアドレスを不正接続端末データベース１５に登録する。この不正接続端末ＤＢ１５は不正接続端末の通信遮断処理に使用される。警告処理部１３は、不正接続検出・防御部１２が不正接続端末を検出した場合に、警告メッセージをディスプレイに表示したり、スピーカから警告音を発したり、不正アクセスログとして記憶装置に履歴を記録したり、電子メールでネットワーク管理者の端末に通知したりする処理を行う。エージェント１のディスプレイやスピーカ等は図示しないが、これらの機能は周知であり当業者であれば容易に実施することができるものとしてその構成の詳細な説明は省略する。

以降に、不正接続検出・防御部１２による不正接続端末の通信遮断方法について説明した後、図３以降を参照して実施例の動作を詳細に説明する。本発明では、不正接続端末の通信遮断方法として、ＩＰｖ６の重複アドレス検出機能（ＤＡＤ：Duplicate Address Detection）を利用する方式１と、ＩＰｖ６の近隣探索プロトコル（ＮＤＰ：Neighbor Discovery Protocol）の近隣広告（ＮＡ：Neighbor Advertisement）メッセージの非要請広告（Unsolicited Neighbor Advertisement）を利用する方式２との２種類を用いる。

まず方式１について説明する。重複アドレス検出（ＤＡＤ）はＩＰｖ６のステートレスアドレス自動設定によるアドレス生成プロセスの一部である。ネットワークに接続する端末は、作成したＩＰｖ６アドレスをターゲットアドレスとした近隣要請（ＮＳ：Neighbor Solicitation）メッセージを送信し、一定時間応答がない場合はＩＰｖ６アドレスが重複していないと判断して以後そのアドレスでネットワークに接続する。ここで近隣要請メッセージに対する近隣広告メッセージが返信された場合にはアドレスが重複しており端末はそのアドレスを使用することができない。本方式１はこの機能を利用するものであり、不正接続端末のＤＡＤ処理において、ネットワークエージェント１が接続しようとする不正端末に重複アドレスを検出させることにより、不正接続端末４の通信を遮断するようにしている。

具体的には、不正接続端末４がＬＡＮ５に接続すると、接続インタフェースがリンクローカルアドレスを生成し、そのアドレスに対するＤＡＤを実施すべく、作成したＩＰｖ６アドレス（この場合リンクローカルアドレス）をターゲットアドレスとした近隣要請（ＮＳ）メッセージを送信する。この場合は近隣要請（ＮＳ）メッセージの送信元アドレスは未指定アドレス、宛先アドレスは要請ノードマルチキャストアドレスとなる。ネットワークエージェント１はこの近隣要請（ＮＳ）メッセージを受信し、不正接続端末の場合は、アドレスが重複していることを通知する近隣広告（ＮＡ）メッセージを送信する。このとき、近隣広告（ＮＡ）メッセージの宛先アドレスは全ノードマルチキャストアドレス、送信元アドレスはネットワークエージェント１自身のユニキャストアドレスであり、ＮＡのターゲットアドレスはＮＳのターゲットアドレスと同一とし、Ｓ（Solicited：要請）フラグは”０”とする。この近隣広告（ＮＡ）メッセージを受信した不正接続端末４はアドレスが重複していると判断し、そのアドレスを使用することができない。他のＩＰｖ６アドレスを作成した場合でも同じ結果となり、結果として不正接続端末４は有効なアドレスの割り当てを受けられず、通信ができなくなる。

次に、方式２について説明する。何らかの原因で重複アドレス検出（ＤＡＤ）プロセスの過程で近隣要請（ＮＳ）メッセージがネットワークエージェント１に到達しなかった場合や、端末の設定でＤＡＤが無効となっている場合には、上述の方式１では不正接続端末をシャットアウトすることができない。よってこの場合には、上記方式２によって不正接続端末４の通信を遮断する。ここで用いる近隣広告（ＮＡ）メッセージの非要請広告は、端末のリンク層アドレスが変更になった場合（例えば、インタフェースカードがホットスワップした場合など）に、新しいリンク層アドレスを全ノードに知らせるために利用される。本方式２ではこれを利用し、不正接続端末４に代わりネットワークエージェント１が、不正接続端末４のリンク層アドレスをネットワーク上に存在しない架空のアドレスに設定し、不正接続端末４のユニキャストアドレスをターゲットアドレスとした近隣広告（ＮＡ）メッセージを全ノードマルチキャスト宛に送信する。これにより全ノードの近隣キャッシュ（ＩＰアドレスとリンク層アドレスの設定）が更新され、不正接続端末４は他のノードとの通信が不可能となる。

図３は、本実施例において不正接続端末４の検出と通信遮断の処理手順を示すフローチャートである。ネットワークエージェント１の不正接続検出・防御部１２は、通信監視部１１でキャプチャされるＬＡＮ５上のパケットの中から、近隣要請メッセージ（ＮＳ：Neighbor Solicitation）を抽出する（ステップＳ１）。ここで近隣要請メッセージの送信元ＭＡＣアドレスは、ＬＡＮ５に接続された端末のＭＡＣアドレスに該当する。不正接続検出・防御部１２は、このＭＡＣアドレスを基に接続許可端末データベース１４を検索し、その端末が不正接続端末か否かを判定する（ステップＳ２）。すなわち、接続許可端末データベース１４にＭＡＣアドレスが登録されていれば、その端末はＬＡＮ５に接続が許可されている端末であるとして処理を終了する（ステップＳ２：ＹＥＳ）。一方、接続許可端末データベース１４に抽出したＭＡＣアドレスが登録されていなければ、ＬＡＮ５に接続された端末４は不正に接続された端末であると判定される（ステップＳ２：ＮＯ）。

不正接続検出・防御部１２は不正接続端末４を検出した場合、警告処理部１３に通知して、警告メッセージをディスプレイに表示したり、ログとして記憶装置に履歴を追加したり、電子メールでネットワーク管理者の端末に通知したりする（ステップＳ４）。これと同時に、不正接続検出・防御部１２は、少なくともＩＰｖ６アドレスとＭＡＣアドレスを含む不正接続端末４の情報を不正接続端末データベース１５に登録する（ステップＳ５）。

次に、不正接続検出・防御部１２は、近隣要請メッセージの送信元アドレスを確認する（ステップＳ６）。上述したように、近隣要請（ＮＳ）メッセージの送信元アドレスが未指定アドレスであれば、それは不正接続端末４のＤＡＤ（重複アドレス検出）処理によるものであると把握されるため上記方式１により対処し、ＮＳメッセージの送信元アドレスがユニキャストアドレスであれば、重複アドレス検出（ＤＡＤ）プロセスの過程で近隣要請（ＮＳ）メッセージがネットワークエージェント１に到達しなかった場合や、端末の設定でＤＡＤが無効となっている場合であるため、上記方式２により対処する。

すなわち、ステップＳ６において近隣要請（ＮＳ）メッセージの送信元アドレスが未指定アドレスの場合、不正接続検出・防御部１２は、不正接続端末４のアドレスをターゲットアドレスとした近隣広告（ＮＡ）メッセージを全ノードマルチキャストアドレス宛に送信する（ステップＳ７）。これにより、不正接続端末４はＤＡＤ（重複アドレス検出）によるアドレス取得に失敗し、ネットワーク通信ができなくなる。一方、ステップＳ６でＮＳメッセージの送信元アドレスがユニキャストアドレスであれば、受信した近隣要請（ＮＳ）はＤＡＤプロセスのものではなく、近隣探索のためのものと把握できるため、架空のＭＡＣアドレスをリンク層アドレスとして非要請広告の近隣広告（ＮＡ）メッセージを全ノードマルチキャストアドレス宛に送信する（ステップＳ８）。ここで架空のアドレス生成は、ネットワーク５上に存在しないアドレスであればよい。例えば、上位２４ビットはベンダＩＤを固定的に使用し、下位２４ビットは乱数を使用して生成し、最後に端末データベース１４，１５を参照して登録アドレスと重複しないことを確認して選択することができる。

図４は、不正接続端末の通信が遮断されたことを検査し、必要に応じて確実に通信を遮断する処理を説明するフローチャートである。上述したようにネットワークエージェント１の不正接続検出・防御部１２は不正接続端末４を検出した場合に不正接続端末データベース１５にそのアドレス情報を登録しており、このデータベース１５に端末が存在する間（ステップＳ１１）、定期的に以下の処理を実施する。この処理において、ネットワークエージェント１は、不正接続端末データベース１５に登録された端末に対して、存在確認のために近隣要請（ＮＳ）メッセージを送信する（ステップＳ１２）。このとき、ＮＳメッセージのターゲットアドレスは端末アドレス、宛先アドレスは端末の要請ノードマルチキャストアドレス、送信元アドレスはネットワークエージェント１のアドレスとする。

ネットワークエージェント１は一定時間ＮＳメッセージの応答を待ち（ステップＳ１３）、応答がある場合には不正接続端末４はまだ存在していることになる。したがって、上記方式２により不正接続端末４の通信遮断を行う（ステップＳ１４）。すなわち、架空のＭＡＣアドレスを生成し、これをリンク層アドレスとして非要請広告の近隣広告（ＮＡ）メッセージを全ノードマルチキャストアドレス宛に送信する。ステップＳ１３にてＮＳメッセージの応答がない場合には、不正接続端末データベース１５から当該端末の情報を削除する（ステップＳ１５）。

以上の処理により、ＩＰｖ６ネットワーク環境において、ネットワークへの不正接続の検出および不正接続端末の通信遮断を確実に行うことができ、ネットワークのセキュリティを高度に維持することができる。

本発明の実施例について詳細に説明したが、本発明の技術的範囲は上記実施例に何ら限定されるものではなく、請求項の記載の意図する範囲を超えない限りにおいて、他の様々な変形例として実現することができる。例えば、上記実施例ではＩＰｖ６ネットワークとしているが、これはＩＰｖ４とＩＰｖ６が混在する環境に本発明を適用してもよい。また、ネットワークエージェント１は不正接続端末４と同一セグメント上に存在しなくてもよく、当業者であれば本発明にかかる１つのネットワークエージェントでブロードキャストドメイン上の不正接続検出および通信遮断を実現できることは自明であろう。

本発明に係るネットワーク管理方法、装置並びにプログラムは、ＩＰｖ６ネットワーク環境あるいはＩＰｖ４とＩＰｖ６が混在するネットワーク環境において、予め登録された端末以外の接続を検出するとともに当該端末の通信を遮断する技術に関し、特にネットワーク通信を用いる情報処理産業に好適に利用することができる。

本発明の一実施例の構成を示す図である。 ネットワークエージェントの概略構成を示す図である。 ネットワークエージェントの動作を示すフローチャートである。 ネットワークエージェントの動作を示すフローチャートである。

符号の説明

１ ネットワークエージェント
２，３ 接続許可端末
４ 不正接続端末
５ 通信ネットワーク
１０ 管理プログラム
１１ 通信監視部
１２ 不正接続検出・防御部
１３ 警告処理部
１４ 接続許可端末データベース
１５ 不正接続端末データベース

Claims (14)

1. ＩＰｖ６あるいはＩＰｖ４とｖ６の混在環境の通信ネットワークの管理方法であって、前記ネットワークに接続された管理装置が、他の端末から重複アドレス検出（ＤＡＤ：Duplicate Address Detection）の問い合わせを受けた場合に、当該メッセージに含まれる端末固有の識別情報を基に予め前記ネットワークに接続が許可された端末情報が登録された接続許可端末データベースを照合して不正接続端末か否かを判定するステップと、ここで不正接続端末と判定した場合に前記管理装置が前記問い合わせに対しアドレスが重複している旨のメッセージを送信するステップとを含むことを特徴とするネットワーク管理方法。
2. ＩＰｖ６環境あるいはＩＰｖ４とｖ６の混在環境の通信ネットワークの管理方法であって、前記ネットワークに接続された管理端末が該ネットワークに流れるパケットを取得するステップと、前記管理装置が前記パケットに含まれる端末固有の識別情報を基に予め接続が許可された端末固有の識別情報が登録された接続許可端末データベースを照合し不正接続端末を検出するステップと、前記管理装置が不正接続端末を検出した場合に、当該不正接続端末のリンク層アドレスを架空のものに変更する旨を前記ネットワークに接続された他のすべての端末に通知するステップとを含むことを特徴とするネットワーク管理方法。
3. ＩＰｖ６環境あるいはＩＰｖ４とｖ６の混在環境の通信ネットワークの管理方法であって、前記ネットワークに接続された管理端末が該ネットワークに流れるパケットを取得するステップと、前記管理装置が前記パケットに含まれる端末固有の識別情報を基に予め接続が許可された端末固有の識別情報が登録された接続許可端末データベースを照合し不正接続端末を検出するステップと、前記管理装置が不正接続端末を検出した場合に前記パケットの送信元アドレスが未指定アドレスか否かを判定するステップと、ここで送信元アドレスが未指定の場合に前記管理端末が前記不正接続端末にアドレスが重複している旨のメッセージを送信するステップと、前記送信元アドレスが未指定アドレスでない場合に前記不正接続端末のリンク層アドレスを架空のものに変更する旨を前記ネットワークに接続された他のすべての端末に通知するステップとを含むことを特徴とするネットワーク管理方法。
4. 請求項２または３に記載の方法において、前記リンク層アドレスを変更する旨を通知するステップは、前記管理装置が、前記不正接続端末のユニキャストアドレスをターゲットアドレスとし、全ノードマルチキャストアドレスを宛先とし、少なくとも一部をランダムに生成したリンク層アドレスを含む非要請広告の近隣広告メッセージを送出することを特徴とするネットワーク管理方法。
5. 請求項１ないし４のいずれかに記載のネットワーク管理方法がさらに、前記管理装置が不正接続端末を検出した場合にそのアドレス情報を不正接続端末データベースに登録するステップと、前記管理端末が定期的に前記登録されたアドレスの端末が前記ネットワークに接続しているかを判定するステップと、当該不正接続端末がネットワークに接続している場合に、前記不正接続端末のリンク層アドレスを架空のものに変更する旨を前記管理装置が前記ネットワークに接続された他のすべての端末に通知するステップとを含むことを特徴とするネットワーク管理方法。
6. 請求項１ないし５のいずれかに記載のネットワーク管理方法がさらに、前記管理装置が、不正接続端末を検出した場合に、当該管理装置のディスプレイに警告メッセージを表示し、及び／又は、前記不正接続端末のアクセスログを記憶領域に保存し、及び／又は、ネットワーク管理者の情報端末に警告メッセージを送信するステップを含むことを特徴とするネットワーク管理方法。
7. ＩＰｖ６あるいはＩＰｖ４とｖ６の混在環境の通信ネットワークに接続されるネットワーク管理装置であって、予め前記ネットワークへの接続を許可する端末固有の識別情報が登録された許可端末データベースと、前記ネットワークを介して他の接続端末と通信する通信処理手段と、他の端末から重複アドレス検出（ＤＡＤ：Duplicate Address Detection）の近隣要請メッセージを受けた場合に、当該メッセージに含まれる端末固有の識別情報を基に前記接続許可端末データベースを照合して不正接続端末か否かを判定し、ここで不正接続端末と判定された場合にアドレスが重複している旨の近隣通知メッセージを送信する不正接続端末検出・防御手段とを備えることを特徴とするネットワーク管理装置。
8. ＩＰｖ６あるいはＩＰｖ４とｖ６の混在環境の通信ネットワークに接続されるネットワーク管理装置であって、予め前記ネットワークへの接続を許可する端末固有の識別情報が登録された許可端末データベースと、他の接続端末と通信するとともに前記ネットワーク上に流れるパケットを取得する通信処理手段と、前記通信処理手段が取得したパケットに含まれる端末固有の識別情報を基に前記接続許可端末データベースを照合して不正接続端末を検出し、検出された不正接続端末のリンク層アドレスを架空のものに変更する旨を前記ネットワークに接続された他のすべての端末に通知する不正接続端末検出・防御手段とを備えることを特徴とするネットワーク管理装置。
9. 請求項８に記載のネットワーク管理装置がさらに、前記不正接続端末が検出された場合にそのアドレス情報を格納する不正接続端末データベースを備えるとともに、前記不正接続端末検出・防御手段が、前記不正接続端末データベースに登録された端末が前記ネットワークに接続しているかを定期的に問い合わせ、当該不正接続端末がネットワークに接続している場合に、前記不正接続端末のリンク層アドレスを架空のものに変更する旨を前記管理装置が前記ネットワークに接続された他のすべての端末に通知することを特徴とするネットワーク管理装置。
10. 請求項７ないし９のいずれかに記載のネットワーク管理装置がさらに、前記不正接続端末検出・防御手段により不正接続端末が検出された場合に、警告メッセージを表示する表示画面、及び／又は、当該不正接続端末のアクセスログを記録する記憶領域、及び／又は、ネットワーク管理者に警告メールを送信する電子メール手段を備えることを特徴とするネットワーク管理装置。
11. ＩＰｖ６あるいはＩＰｖ４とｖ６の混在環境の通信ネットワークに接続される管理装置上で動作するネットワーク管理プログラムであって、前記管理装置が他の端末から重複アドレス検出（ＤＡＤ：Duplicate Address Detection）の問い合わせを受けた場合に、当該メッセージに含まれる端末固有の識別情報を基に予め前記ネットワークに接続が許可された端末情報が登録された接続許可端末データベースを照合して不正接続端末か否かを判定するステップと、ここで不正接続端末と判定した場合に前記問い合わせに対しアドレスが重複している旨のメッセージを送信するステップとを前記管理装置に実行させることを特徴とするネットワーク管理プログラム。
12. ＩＰｖ６あるいはＩＰｖ４とｖ６の混在環境の通信ネットワークに接続される管理装置上で動作するネットワーク管理プログラムであって、前記ネットワークに流れるパケットを取得するステップと、前記パケットに含まれる端末固有の識別情報を基に予め接続が許可された端末固有の識別情報が登録された接続許可端末データベースを照合し不正接続端末を検出するステップと、不正接続端末を検出した場合に当該不正接続端末のリンク層アドレスを架空のものに変更する旨を前記ネットワークに接続された他のすべての端末に通知するステップとを前記管理装置に実行させることを特徴とするネットワーク管理プログラム。
13. ＩＰｖ６あるいはＩＰｖ４とｖ６の混在環境の通信ネットワークに接続される管理装置上で動作するネットワーク管理プログラムであって、前記ネットワークに流れるパケットを取得するステップと、前記パケットに含まれる端末固有の識別情報を基に予め接続が許可された端末固有の識別情報が登録された接続許可端末データベースを照合し不正接続端末を検出するステップと、不正接続端末を検出した場合に前記パケットの送信元アドレスが未指定アドレスか否かを判定するステップと、ここで送信元アドレスが未指定の場合に前記不正接続端末にアドレスが重複している旨のメッセージを送信するステップと、前記送信元アドレスが未指定アドレスでない場合に前記不正接続端末のリンク層アドレスを架空のものに変更する旨を前記ネットワークに接続された他のすべての端末に通知するステップとを前記管理装置に実行させることを特徴とするネットワーク管理プログラム。
14. 請求項１１ないし１３のいずれかに記載のネットワーク管理プログラムがさらに、前記不正接続端末を検出した場合にそのアドレス情報を不正接続端末データベースに登録するステップと、定期的に前記登録されたアドレスの端末が前記ネットワークに接続しているかを判定するステップと、当該不正接続端末がネットワークに接続している場合に、前記不正接続端末のリンク層アドレスを架空のものに変更する旨を前記ネットワークに接続された他のすべての端末に通知するステップとを前記管理装置に実行させることを特徴とするネットワーク管理プログラム。
    

Images