JP2008271242A - ネットワーク監視装置、ネットワーク監視用プログラム、およびネットワーク監視システム - Google Patents

Abstract

【課題】 安価で簡易に構成することができるとともに多様なネットワーク構成に対応できるネットワーク監視装置、ネットワーク監視用プログラム、およびネットワーク監視システムを提供する。
【解決手段】 受信したＡＲＰ要求パケットの送信元の端末である検疫対象端末が正規端末であり且つ検疫前状態であると判定されたときに、自装置のＭａｃアドレスを送信元アドレスとした代理ＡＲＰ応答パケットを生成してＡＲＰ要求パケットの送信元の端末に送信するＡＲＰ応答パケット生成部１３５ａと、検疫対象端末から検疫サーバ宛ての通信パケットを受信したときに検疫サーバに転送する通信パケット転送部１３５ｂと、検疫サーバから検疫対象端末に対する検疫済み通知が送信されたときには、検疫対象端末のＡＲＰテーブルを正規のＭａｃアドレスに変更させる検疫済み通知受信部１３５ｃとを備える。
【選択図】図１

Description

本発明は、検疫ネットワークを利用してＬＡＮ等のネットワークを監視するネットワーク監視装置、ネットワーク監視用プログラム、およびネットワーク監視システムに関するものである。

従来、社内ＬＡＮなどのネットワークをコンピュータウィルス、ワーム等の不正プログラムから保護するために利用される、検疫ネットワークという技術がある。

検疫ネットワークとは、保護対象のネットワーク（以下、「対象ネットワーク」とする）とは隔離されて存在する物理的、もしくは論理的なネットワークであり、対象ネットワークに接続しようとするコンピュータを一旦強制的に接続させ、このコンピュータのＯＳ（オペレーティングシステム）やウィルス対策ソフトのバージョンが最新のものであるか否かを判断することによりセキュリティ対策の基準を満たしているかを確認し、確認の結果問題がない場合にこのコンピュータの対象ネットワークへの接続を許可するものである。

検疫ネットワークを利用したネットワーク監視技術として、以下に挙げる方式を利用したシステムがある。これらを図９〜図１３を参照して説明する。

（１）認証ＶＬＡＮ型方式
認証ＶＬＡＮ型方式を利用したネットワーク監視システムは、図９に示すように、対象ネットワークである社内ＬＡＮ１００と検疫ネットワーク２００との接続部分に認証ＶＬＡＮ（Virtual Local Area Network:仮想LAN）に対応したエッジスイッチであるスイッチ３００を設置し、社内ＬＡＮ１００と検疫ネットワーク２００とを別のＶＬＡＮ（ＶＬＡＮ＃１とＶＬＡＮ＃２）として設定することにより構成される。

このネットワーク監視システムにおいて、外部からクライアント端末４００が社内ＬＡＮ１００に接続しようとすると、まずスイッチ３００のポートに接続され、スイッチ３００よりこのポートが検疫ネットワーク２００のＶＬＡＮ＃１に接続される。

このようにしてクライアント端末４００がＶＬＡＮ＃１に接続されると、検疫ネットワーク２００内の検疫サーバ２０１においてクライアント端末４００のセキュリティ対策の基準が満たされているかが確認される。

検疫サーバ２０１においてクライアント端末４００のセキュリティ対策の基準が満たされていることが確認されると、スイッチ３００によりクライアント端末４００の接続が社内ＬＡＮ１００のＶＬＡＮ＃２へ切り替えられ、クライアント端末４００から社内ＬＡＮ１００のＶＬＡＮ＃２への接続が可能になる。

このネットワーク監視システムは、ユーザ認証を行った上で社内ＬＡＮ１００から切り離された検疫ネットワーク２００に接続するので極めて安全性は高いが、クライアントのコンピュータが接続する全てのスイッチ３００を認証ＶＬＡＮに対応させる必要があり、非常に高価であるという難点がある。

（２）認証ＤＨＣＰ型方式
認証ＤＨＣＰ型方式を利用したネットワーク監視システムは、図１０に示すように、社内ＬＡＮの中の社内サブネット１１０とは隔離された検疫用サブネット１２０内の検疫サーバ２０２にＤＨＣＰ機能を設けることにより構成される。

このネットワーク監視システムにおいて、外部からクライアントのクライアント端末４００が社内ＬＡＮ１００に接続しようとすると、ＤＨＣＰ機能を有する検疫サーバ２０２により検疫用サブネット１２０のみに接続可能なＩＰアドレスとゲートウェイアドレスがこのクライアント端末４００に割り当てられてクライアント端末４００が検疫用サブネット１２０に接続される。

このようにしてクライアント端末４００が検疫用サブネット１２０に接続されると、検疫用サブネット１２０内の検疫サーバ２０２においてクライアント端末４００のセキュリティ対策の基準が満たされているかが確認される。

検疫サーバ２０２においてクライアント端末４００のセキュリティ対策の基準が満たされていることが確認されると、社内サブネット１１０に接続可能なＩＰアドレスとゲートウェイアドレスが再度クライアント端末４００に割り当てられてクライアント端末４００の社内サブネット１１０への接続が可能になる。

このネットワーク監視システムは、認証スイッチ方式のようにネットワーク機器を変更する必要がなく、ＤＨＣＰサーバの機能で対応可能であるが、社内ＬＡＮ１００に接続可能な固定ＩＰアドレスが設定された端末の検疫を行うことができず、これらの端末には別途対策が必要であるという欠点がある。

（３）ゲートウェイ型方式
ゲートウェイ方式を利用したネットワーク監視システムは、図１１に示すように、社内ＬＡＮ内の各種サーバ１１１、１１２が接続されたサブネット１１０とクライアント端末４００が接続されたサブネット１２０との間に検疫用のゲートウェイである検疫用アプライアンス５００を設置することにより構成される。

このネットワーク監視システムにおいて、クライアント端末４００がサーバ１１１、１１２のいずれかにアクセスしようとすると、検疫用アプライアンス５００によりこのクライアント端末４００が検疫前であるか否かが判定され、検疫前であると判定されると検疫用アプライアンス５００からクライアント端末４００に対してＯＳやウィルス対策ソフトのバージョンの情報が要求される。

この要求に応答してクライアント端末４００からＯＳやウィルス対策ソフトのバージョンの情報が送信されると、この情報に基づいて検疫用アプライアンス５００においてクライアント端末４００のセキュリティ対策の基準が満たされているかが確認される。

検疫用アプライアンス５００においてクライアント端末４００のセキュリティ対策の基準が満たされていることが確認されると、クライアント端末４００のサーバ１１１、１１２への接続が許可される。

このネットワーク監視システムは、ネットワーク機器の構成を変更する必要がなく、固定ＩＰアドレスが設定された端末にも適用できるが、サブネット間に設置されたゲートウェイを検疫用アプライアンスとして用いるため同一サブネット内のクライアント端末間の通信を制限することができず、クライアント端末４００が接続しようとするサブネット内に接続要求先のサーバ等が設置されている場合には、このクライアント端末の検疫を行うことができないという問題がある。

（４）パーソナルファイアウォール型方式
パーソナルファイアウォール型方式を利用したネットワーク監視システムは、図１２に示すように、社内ＬＡＮ１００内に検疫サーバ１１４が設置され、この社内ＬＡＮ１００に接続しようとするクライアント端末４００にパーソナルファイアウォール機能が設けられることにより構成される。このパーソナルファイアウォール機能は、クライアント端末４００が社内ＬＡＮ１００に接続しようとしたときに、検疫サーバ１１４のみに接続可能になるように設定されている。

このネットワーク監視システムにおいて、クライアント端末４００が社内ＬＡＮに接続しよとすると、クライアント端末４００に設けられたパーソナルファイアウォール機能によりクライアント端末４００が検疫サーバ１１４に接続される。

検疫サーバ１１４ではクライアント端末４００のセキュリティ対策の基準が満たされているかが確認され、基準が満たされていることが確認されると、検疫サーバ１１４からクライアント端末４００のパーソナルファイアウォールに対して、検疫サーバ１１４のみに接続可能な状態から社内ＬＡＮ１００内に接続可能な状態に変更する指示が送信される。

この指示により、クライアント端末４００は社内ＬＡＮ１００への接続が可能になる。

このネットワーク監視システムは、ネットワーク機器の構成を変更する必要がなく、固定ＩＰアドレスが設定された端末にも適用でき、同一サブネット内のクライアント端末に対しても適用できるが、このシステムに対応したパーソナルファイアウォール機能が搭載されていない端末の検疫を行うことができないという欠点がある。

このような方式により検疫ネットワークを利用して対象ネットワークに接続しようとするコンピュータを監視することにより、対象ネットワークにコンピュータウィルスやワームに感染したコンピュータが接続されることを防止することができるが、いずれの方式にも上述したように欠点がある。

これらの欠点を解決するため、特許文献１に記載の技術を利用した方式（５）がある。

この特許文献１の技術を利用したネットワーク監視システムは、対象ネットワーク内に監視装置と、検疫ネットワークとして機能する検疫サーバとを設置することにより、対象ネットワークを監視するものである。

特許文献１の技術には３のつ実施形態があり、第１の実施形態では対象ネットワークのサブネット毎に検疫サーバの機能を有する監視装置を設置し、外部からクライアント端末が対象ネットワークに接続しようとすると、監視装置においてこの端末が検疫前であるか検疫済みであるかが判定され、検疫前の端末はこの監視装置以外に接続できないように制御され、この監視装置で検疫処理が行われた後対象ネットワークへの接続が可能になるものである。

また、第２の実施形態では、サブネット毎に監視装置および検疫サーバを設置し、外部からクライアント端末が対象ネットワークに接続しようとすると、監視装置においてこの端末が検疫前であるか検疫済みであるかが判定され、さらに監視装置において検疫前の端末は検疫サーバ以外に接続できないように制御され、検疫サーバで検疫処理が行われた後対象ネットワークへの接続が可能になるものである。

また、第３の実施形態では、図１３に示すように、サブネット１１０、１２０毎に監視装置１１５、１１６が設置されるとともにこれらのサブネット１１０、１２０とルータ５００、５１０で接続された１のサブネット１３０に検疫サーバ１１４が設置されて構成される。

このネットワーク監視システムにおいて、外部からクライアント端末４００が対象ネットワークのサブネット１１０に接続しようとすると、まず監視装置１１５においてこのクライアント端末４００が検疫前であるか検疫済みであるかが判定され、検疫前であると判定されるとクライアント端末４００に代理ＡＲＰ応答パケットが送信されることによりクライアント端末４００の通信が妨害され、ルータ５００以外には接続できないように制御される。

ルータ５００は、検疫前の端末は検疫サーバ１１４以外には接続できないように予め設定されており、クライアント端末４００は強制的に検疫サーバ１１４に接続されることにより検疫処理が行われ、検疫処理後に対象ネットワークへの接続が可能になる。

この特許文献１の技術により、認証ＶＬＡＮ、認証ＤＨＣＰ、検疫用ゲートウェイ、またはパーソナルファイアウォールを利用することなく検疫処理を行い、固定ＩＰアドレスが設定された端末の監視、同一サブネット内のクライアント端末の監視も可能になる。
特開２００６−３５２７１９号公報

しかし、上述した特許文献１の第１の実施形態および第２の実施形態におけるネットワーク監視システムは、サブネット毎に検疫機能を有する監視装置を設置する必要があるため、非常に高価であるとともにネットワーク構成の自由度が低いという問題がある。

また、第３の実施形態におけるネットワーク監視システムは、対象ネットワーク内のすべてのルータの制御を検疫サーバ側から行うことができるようにする必要がああるためルータの設定を変更する権限も必要であり、ネットワーク構成の自由度が低いという問題がある。

よって本発明の目的は、安価で簡易に構成することができるとともに多様なネットワーク構成に対応できるネットワーク監視装置、ネットワーク監視用プログラム、およびネットワーク監視システムを提供することである。

上記課題を解決するための本発明のネットワーク監視装置は、監視対象のネットワークに接続を要求する検疫対象端末のセキュリティ対策状況に基づいて、予め設定されたセキュリティ対策基準をこの検疫対象端末が満たしているか否かを確認する検疫処理を行う検疫サーバに前記ネットワークを介して接続されたものであり、前記ネットワークへの通信が許可された正規端末毎の識別情報と、前記検疫サーバにおいて前記セキュリティ対策基準が満たされていると判定された検疫済み状態であるかまたは前記検疫処理が行われていない検疫前状態であるかを示す前記正規端末毎の検疫ステータス情報とを記憶する正規端末リスト記憶部と、前記ネットワークを介して、前記検疫対象端末から自装置以外の装置を応答要求先とするＡＲＰ要求パケットを受信したときに、前記検疫対象端末が前記正規端末か否かを前記正規端末リスト記憶部に記憶された識別情報を基に判断するアクセス権判定部と、前記アクセス権判定部において前記検疫対象端末が正規端末であると判定されたときに、前記検疫対象端末が検疫済み状態であるか検疫前状態であるかを前記正規端末リスト記憶部に記憶された検疫ステータス情報に基づいて判定する検疫ステータス判定部と、前記検疫ステータス判定部において前記検疫対象端末が検疫前状態であると判定されたときに、自装置のＭａｃアドレスを送信元アドレスとした代理ＡＲＰ応答パケットを生成して、前記応答要求先の装置が生成したＡＲＰ応答パケットが送信された後に前記検疫対象端末に送信し、前記検疫対象端末のＡＲＰテーブルを書き換えさせるＡＲＰ応答パケット生成部と、前記ＡＲＰ応答パケット生成部から前記代理ＡＲＰ応答パケットにより自装置のＭａｃアドレスを送信したことに応答して前記検疫対象端末から前記検疫サーバ宛ての通信パケットを受信したときに、この通信パケットを前記検疫サーバに転送する通信パケット転送部と、前記通信パケット転送部から前記検疫サーバに前記通信パケットを転送した後、前記検疫サーバから前記検疫対象端末が前記セキュリティ対策基準を満たしていることを示す検疫済み通知が送信されたときには、前記ＡＲＰ要求パケットの応答要求先の端末のＭａｃアドレスを前記検疫対象端末に送信して前記検疫対象端末のＡＲＰテーブルを変更させる検疫済み通知受信部と、前記検疫サーバから前記検疫済み通知が送信されたときに、前記正規端末リスト記憶部の前記検疫対象端末の検疫ステータス情報を検疫済み状態に変更する検疫ステータス変更部とを備えることを特徴とする。

また、このネットワーク監視装置の前記セキュリティ対策状況は、前記検疫対象端末で用られているＯＳのパッチ適用状況、およびセキュリティ対策ソフトのバージョンの状況としてもよい。

また、このネットワーク監視装置の前記正規端末リスト記憶部の検疫ステータス情報において検疫済み状態であると記憶された情報は、該当する正規端末における最終検疫時から所定時間が経過したとき、ＯＳの新たなパッチが提供されたとき、またはウィルス対策ソフトの新たなバージョンが提供されたときに検疫前状態に変更されるようにしてもよい。

また、本発明のネットワーク監視用プログラムは、監視対象のネットワークに接続を要求する検疫対象端末のセキュリティ対策状況に基づいて、予め設定されたセキュリティ対策基準をこの検疫対象端末が満たしているか否かを確認する検疫処理を行う検疫サーバに前記ネットワークを介して接続されたネットワーク監視装置に、前記ネットワークへの通信が許可された正規端末毎の識別情報と、前記検疫サーバにおいて前記セキュリティ対策基準が満たされていると判定された検疫済み状態であるかまたは前記検疫処理が行われていない検疫前状態であるかを示す前記正規端末毎の検疫ステータス情報とを記憶する機能と、前記ネットワークを介して、前記検疫対象端末から前記ネットワーク監視装置以外の装置を応答要求先とするＡＲＰ要求パケットを受信したときに、前記検疫対象端末が前記正規端末か否かを前記識別情報を基に判断する機能と、前記検疫対象端末が正規端末であると判定されたときに、前記検疫対象端末が検疫済み状態であるか検疫前状態であるかを前記検疫ステータス情報に基づいて判定する機能と、前記検疫対象端末が検疫前状態であると判定されたときに、前記ネットワーク監視装置のＭａｃアドレスを送信元アドレスとした代理ＡＲＰ応答パケットを生成して、前記応答要求先の装置が生成したＡＲＰ応答パケットが送信された後に前記検疫対象端末に送信し、前記検疫対象端末のＡＲＰテーブルを書き換えさせる機能と、前記代理ＡＲＰ応答パケットにより前記ネットワーク監視装置のＭａｃアドレスを送信したことに応答して前記検疫対象端末から前記検疫サーバ宛ての通信パケットを受信したときに、この通信パケットを前記検疫サーバに転送する機能と、前記検疫サーバに前記通信パケットを転送した後、前記検疫サーバから前記検疫対象端末が前記セキュリティ対策基準を満たしていることを示す検疫済み通知が送信されたときには、前記ＡＲＰ要求パケットの応答要求先の端末のＭａｃアドレスを前記検疫対象端末に送信して前記検疫対象端末のＡＲＰテーブルを変更させる機能と、前記検疫サーバから前記検疫済み通知が送信されたときに、前記検疫対象端末の前記検疫ステータス情報を検疫済み状態に変更する機能とを実行させることを特徴とする。

また、本発明のネットワーク監視システムは、監視対象のネットワークに接続を要求する検疫対象端末の監視を行うネットワーク監視装置と、前記検疫対象端末のセキュリティ対策に関する検疫処理を行う検疫サーバとが前記ネットワークを介して接続されたものであり、前記ネットワーク監視装置は、前記ネットワークへの通信が許可された正規端末毎の識別情報と、前記検疫サーバにおいて前記セキュリティ対策基準が満たされていると判定された検疫済み状態であるかまたは前記検疫処理が行われていない検疫前状態であるかを示す前記正規端末毎の検疫ステータス情報とを記憶する正規端末リスト記憶部と、前記ネットワークを介して、前記検疫対象端末から自装置以外の装置を応答要求先とするＡＲＰ要求パケットを受信したときに、前記検疫対象端末が前記正規端末か否かを前記正規端末リスト記憶部に記憶された識別情報を基に判断するアクセス権判定部と、前記アクセス権判定部において前記検疫対象端末が正規端末であると判定されたときに、前記検疫対象端末が検疫済み状態であるか検疫前状態であるかを前記正規端末リスト記憶部に記憶された検疫ステータス情報に基づいて判定する検疫ステータス判定部と、前記検疫ステータス判定部において前記検疫対象端末が検疫前状態であると判定されたときに、自装置のＭａｃアドレスを送信元アドレスとした代理ＡＲＰ応答パケットを生成して、前記応答要求先の装置が生成したＡＲＰ応答パケットが送信された後に前記検疫対象端末に送信し、前記検疫対象端末のＡＲＰテーブルを書き換えさせるＡＲＰ応答パケット生成部と、前記ＡＲＰ応答パケット生成部から前記代理ＡＲＰ応答パケットにより自装置のＭａｃアドレスを送信したことに応答して前記検疫対象端末から前記検疫サーバ宛ての通信パケットを受信したときに、この通信パケットを前記検疫サーバに転送する通信パケット転送部と、前記通信パケット転送部から前記検疫サーバに前記通信パケットを転送した後、前記検疫サーバから前記検疫対象端末が前記セキュリティ対策基準を満たしていることを示す検疫済み通知が送信されたときには、前記ＡＲＰ要求パケットの応答要求先の端末のＭａｃアドレスを前記検疫対象端末に送信して前記検疫対象端末のＡＲＰテーブルを変更させる検疫済み通知受信部と、前記検疫サーバから前記検疫済み通知が送信されたときに、前記正規端末リスト記憶部の前記検疫対象端末の検疫ステータス情報を検疫済み状態に変更する検疫ステータス変更部とを備え、前記検疫サーバは、前記通信パケット転送部から前記通信パケットを受信したときに、前記検疫対象端末からセキュリティ対策状況を取得し、前記検疫対象端末が予め設定されたセキュリティ対策基準を満たしているか否かを確認する検疫手段と、前記検疫手段により前記検疫対象端末が前記セキュリティ対策基準を満たしていることが確認されたときに、前記検疫対象端末が前記セキュリティ対策基準を満たしていることを示す検疫済み通知を生成して、前記検疫済み通知受信部および前記検疫ステータス変更部に送信する検疫済み通知送信部とを備えることを特徴とする。

また、このネットワーク監視システムは、前記ネットワークに接続された正規端末を管理する管理サーバをさらに備え、前記ネットワーク監視装置は、前記ネットワークに接続された複数の正規端末に設けられ、前記管理サーバは、前記ネットワークに接続された前記複数の正規端末の中から選択した任意の台数の正規端末に設けられたネットワーク監視装置の機能を有効にする監視装置選択部と、前記監視装置選択部により選択された正規端末が前記ネットワークから切断されたときに他の正規端末に設けられたネットワーク監視装置の機能を有効にする監視装置変更部とを備えるようにしてもよい。

本発明のネットワーク監視装置、ネットワーク監視用プログラム、およびネットワーク監視システムによれば、安価で簡易に構成することができるとともに多様なネットワーク構成に対応してネットワークの監視を行うことができる。

〈第１実施形態〉
本発明の第１実施形態においては、対象ネットワークである社内ネットワークのサブネット毎にネットワーク監視装置としてのアクセス制御装置を設置し、中間者攻撃（man-in-the-middle attack）の動作を利用することにより、この社内ネットワークを監視するネットワーク監視システムについて説明する。

中間者攻撃とは、通信している２者のユーザの間に第三者が介在し、通信内容を取得したり、制御したりすることである。

《第１実施形態によるネットワーク監視システムの構成》
本実施形態によるネットワーク監視システムとして構築された社内ネットワーク１の構成を図１を参照して説明する。

本実施形態における社内ネットワーク１は、第１サブネット１０と第２サブネット２０とがルータ３０により接続されて構成されている。

第１サブネット１０には、この社内ネットワーク１へのアクセス権を有し後述する検疫処理済みの正規端末Ａ１１と、社内の業務で利用される第１業務サーバ１２と、社内ネットワークを監視するアクセス制御装置１３とが接続され、第２サブネット２０には、社内ネットワーク１に接続される端末のセキュリティ対策状況に関する検疫を行う検疫サーバ２１と、社内の業務で利用される第２業務サーバ２２とが接続されている。

アクセス制御装置１３は、外部の端末からのアクセスが可能なサブネット毎に設けられ、図２に示すように、正規端末リスト記憶部１３１と、アクセス権判定部１３２と、検疫ステータス判定部１３３と、パケット種別解析部１３４と、中間者攻撃処理部１３５とを有する。

正規端末リスト記憶部１３１は、社内ネットワーク１に接続が許可された正規端末のＭａｃアドレス、またはＭａｃアドレスとＩＰアドレスとの組み合わせを識別情報と、これらの正規端末に対する検疫処理が実行された「検疫済み」であるか実行されていない「検疫前」であるかを示す検疫ステータスの情報と、「検疫済み」の場合の最終検疫時間とを示す正規端末リストを記憶する。

正規端末リスト記憶部１３１に記憶されている正規端末リストの一例を、図３に示す。

図３の正規端末リストにおいては、正規端末として端末Ａ〜Ｄが記憶されており、このうち端末Ａ、端末Ｂ、および端末Ｄは動的にＩＰアドレスが振られるＤＨＣＰ（Dynamic Host Configuration Protocol）環境下で使用される正規端末であり、これらの正規端末の識別情報としてＭａｃアドレスとＩＰとの組み合わせが記憶され、端末Ｃは固定ＩＰアドレスが振られている環境下で使用される正規端末であり、この正規端末の識別情報としてＭａｃアドレスが記憶されている。

またこれらの検疫ステータスは、端末Ａおよび端末Ｄは「検疫済み」であり端末Ａの最終検疫時間は2007年3月20日、端末Ｄの最終検疫時間は2007年3月29日であり、また、端末Ｂおよび端末Ｃは「検疫前」として記憶されている。

アクセス権判定部１３２は、社内ネットワーク１に接続を要求する端末がこの社内ネットワーク１へのアクセス権を有する正規端末か、アクセス権を有さない不正端末であるかを、正規端末リスト記憶部１３１に記憶された正規端末リストを参照して判定する。

検疫ステータス判定部１３３は、アクセス権判定部１３２において正規端末であると判定された端末の検疫処理が実行済みであるか否かを示す検疫ステータス情報を正規端末リストから取得し、「検疫済み」であるか、「検疫前」であるかを判定する。

パケット種別解析部１３４は、受信したパケットのプロトコル種別がＡＲＰであるか否かを判定し、プロトコル種別がＡＲＰであると判定したときにさらに、オペレーション種別が“要求”であるか否かを判定する。

中間者攻撃処理部１３５は、ＡＲＰ応答パケット生成部１３５ａと、通信パケット転送部１３５ｂと、検疫済み通知受信部１３５ｃと、検疫ステータス変更部１３５ｄとを有する。

ＡＲＰ応答パケット生成部１３５ａは、受信したパケットがＡＲＰ要求パケットであるとパケット種別解析部１３４で判定されたときに、受信したＡＲＰ要求パケットに対してアクセス制御装置１３のＭａｃアドレスを送信元アドレスとする代理ＡＲＰ応答パケットを生成し、応答要求先の装置が生成したＡＲＰ応答パケットが送信された後にＡＲＰ要求パケットの送信元の端末に送信してＡＲＰテーブルを書き換えさせる。

通信パケット転送部１３５ｂは、受信したパケットがＡＲＰ要求パケットではないとパケット種別解析部１３４で判定されたときに、検疫サーバ２１宛てのパケットのみを検疫サーバ２１に転送する。

検疫済み通知受信部１３５ｃは、検疫サーバ２１にパケットを転送したことにより検疫サーバ２１から後述する検疫済み通知を受信したときに、代理ＡＲＰ応答パケットで書き換えさせた送信元の端末のＡＲＰテーブルのルータ３０のＭａｃアドレスを元に戻すように指示する。

検疫ステータス変更部１３５ｄは、検疫サーバ２１から検疫済み通知を受信したときに、正規端末リスト記憶部１３１の正規端末リスト中の該当正規端末の検疫ステータス情報を「検疫前」から「検疫済み」に変更させる。

《第１実施形態によるネットワーク監視システムの動作》
本実施形態におけるネットワーク監視システムの動作として、社内ネットワーク１に接続が許可されている正規端末Ｂ１４および社内ネットワーク１に接続が許可されていない不正端末Ｘ１５から、第１サブネット１０を介して第２サブネット内の第２業務サーバ２２に接続が要求されたときの動作について、図４および図５を参照して説明する。

図４は、各装置間のパケットの送受信の動作を示すシーケンス図であり、図５は、アクセス制御装置１３の動作を示すフローチャートである。

端末Ｂ１４から、社内ネットワーク１内の第１サブネット１０を介して第２サブネット２０内の第２業務サーバ２２に接続が要求されると、まず、端末Ｂ１４が第１サブネット１０と第２サブネット２０とを接続しているルータ３０のＭａｃアドレスを取得するため、ルータ３０のＭａｃアドレスを要求するＡＲＰ要求パケットが端末Ｂ１４から第１サブネット１０内にブロードキャスト通信により送信される（Ｓ１）。

このＡＲＰ要求パケットは、アクセス制御装置１３およびルータ３０で受信される（Ｓ２、Ｓ３）。

ルータ３０では、受信されたＡＲＰ要求パケットが自装置宛てのものであると判断され、ルータ３０のＭａｃアドレスを送信元アドレスとするＡＲＰ応答パケットが生成され、端末Ｂ１４宛てにユニキャスト通信により送信される（Ｓ４）。

端末Ｂ１４では、受信したＡＲＰ応答パケットからルータ３０のＭａｃを取得し、ＡＲＰテーブルに格納される（Ｓ５）。

アクセス制御装置１３では、ステップＳ２においてＡＲＰ要求パケットが受信されると、図５のフローチャートのステップＳ２１〜Ｓ２６の処理が行われる。

まず、アクセス権判定部１３２において受信されたＡＲＰ要求パケットが解析され、このＡＲＰ要求パケットの送信元の端末Ｂ１４が社内ネットワーク１へのアクセス権を有する正規端末であるか否かが判定される（Ｓ２１、Ｓ２２）。

端末Ｂ１４が正規端末であるか否かの判定は、アクセス権判定部１３２に予め記憶されている正規端末リストに基づいて行われる。

ここでは端末Ｂ１４が正規端末であると判定され（Ｓ２２の「YES」）、さらに検疫ステータス判定部１３３においてこの正規端末Ｂ１４が検疫済みであるか否かが判定される（Ｓ２３）。

正規端末Ｂ１４が検疫済であるか否かの判定は、正規端末リスト記憶部１３１に記憶されている正規端末毎の検疫ステータス情報が「検疫済み」か「検疫前」かを識別する情報に基づいて行われる。

ここでは正規端末Ｂ１４は検疫前であると判定され（Ｓ２３の「NO」）、さらにパケット種別解析部１３４において、受信したパケットのプロトコル種別がＡＲＰであるか否かが判定される（Ｓ２４）。

ここでは受信したパケットのプロトコル手段がＡＲＰであると判定され（Ｓ２４の「YES」）、さらにパケット種別解析部１３４においてこのＡＲＰパケットのオペレーション種別が“要求”であるか否かが判定される（Ｓ２５）。

ここでは受信したパケットのオペレーション種別が“要求”であると判定され（Ｓ２５の「YES」）、中間者攻撃処理部１３５により中間者攻撃が開始される（Ｓ２６）。

中間者攻撃処理部１３５において中間者攻撃が開始されると、図４に戻り、受信したＡＲＰ要求パケットに対してアクセス制御装置１３のＭａｃアドレスを送信元アドレスとする代理ＡＲＰ応答パケットがＡＲＰ応答パケット生成部１３５ａで生成され、ルータ３０から正規端末Ｂ１４に送信されたＡＲＰ応答パケットよりワンテンポ遅れたタイミングで正規端末Ｂ１４宛てに送信される（Ｓ６）。

正規端末Ｂ１４では、ＡＲＰテーブルに格納されているルータ３０のＭａｃアドレスが、アクセス制御装置１３から受信された代理ＡＲＰ応答パケットによりアクセス制御装置１３のＭａｃアドレスに書き換えられる（Ｓ７）。

正規端末Ｂ１４のＡＲＰテーブルに格納されたルータ３０のＭａｃアドレスが書き換えられると、アクセス制御装置１３による正規端末Ｂ１４とルータ３０との通信への割り込みが行われる。

正規端末Ｂ１４では、書き換えられたアクセス制御装置１３のＭａｃアドレスがルータ３０のＭａｃアドレスであると誤認識され、アクセス制御装置１３のＭａｃアドレス宛てに通信パケットが送信される。

正規端末Ｂ１４からアクセス制御装置１３のＭａｃアドレス宛てに通信パケットが送信されると（Ｓ８）、アクセス制御装置１３で受信される。

アクセス制御装置１３では、通信パケットが受信されると図５のステップＳ２１に戻り、ステップＳ２１〜Ｓ２４の処理が行われる。

アクセス制御装置１３で受信された通信パケットは、アクセス権判定部１３２において正規端末Ｂ１４から送信されたものであると判定された後（Ｓ２２）、検疫ステータス判定部１３３において送信元の端末Ｂ１４が検疫前であると判定され（Ｓ２３の「NO」）、さらにパケット種別解析部１３４においてプロトコルがＡＲＰではないと判定され（Ｓ２４の「NO」）、中間者攻撃処理部１３５の通信パケット転送部１３５ｂに送出される。

通信パケット転送部１３５ｂには、図４に示すようなＩＰレイヤ３より上の情報で示されたＡＣＬ（アクセスコントロールリスト）が記憶されており、検疫前の端末は、検疫サーバ２１に対するアクセスのみが「許可」に設定され、第１業務サーバ１２、第２業務サーバ２２、およびルータ３０に対するアクセスは「不許可」に設定されている。

ここで、検疫サーバ２１のアドレスを正規端末Ｂ１４がＦＱＤＮ（Fully Qualified Domain Name）で記憶しているときには、ＤＮＳ（Domain Name System）に対するアクセスも「許可」するように設定する必要がある。

この設定に基づいて、通信パケット転送部１３５ｂにおいて受信した通信パケットが検疫サーバ２１宛てのパケットであると判定されると（Ｓ２７の「YES」）、通信パケットが検疫サーバ２１に転送される（Ｓ２８および図４のＳ９）。

図４に戻り、通信パケットが検疫サーバ２１に転送されると、検疫サーバ２１から正規端末Ｂ１４に、ＯＳに適用されているパッチの一覧、ウィルス対策ソフトのウィルス定義ファイルのバージョン、ログイン名、パスワード等のセキュリティ関連情報が要求され（Ｓ１０）、この要求に応じて正規端末Ｂ１４からこれらの情報が検疫サーバ２１に送信される（Ｓ１１）。

検疫サーバ２１において、受信されたセキュリティ関連情報に基づいて行われる検疫処理の動作を図５のフローチャートを参照して説明する。

検疫サーバ２１では、送信された正規端末Ｂ１４のＯＳに適用されているパッチやウィルス対策ソフトのバージョンの状況が最新のものであるかが判断されることによりセキュリティ対策の基準を満たしているかが確認され（Ｓ４１）、また、ログイン名、パスワードが通信要求先の端末との通信が許可されたユーザのものであるか等が判断され、これらの結果から正規端末Ｂ１４の社内ネットワーク１への接続を許可するか否かが判断される。

検疫サーバ２１において正規端末Ｂ１４の社内ネットワーク１への接続を許可すると判断されたときには、検疫処理が終了したことを示す検疫済み通知が生成され、アクセス制御装置１３の検疫済み通知受信部１３５ｃおよび検疫ステータス変更部１３５ｄに送信される（Ｓ４２、図４のＳ１２）。

検疫サーバ２１において正規端末Ｂ１４の社内ネットワーク１への接続を許可しないと判断されたときには、最新版のＯＳパッチおよびウィルス定期ファイルを適用する指示がアクセス制御装置１３に送信される（Ｓ４３）。

図５に戻り、検疫済み通知受信部１３５ｃで検疫済み通知が受信されると（Ｓ２９の「YES」）、正規端末Ｂ１４のＡＲＰテーブルに格納されたアクセス制御装置１３のＭａｃアドレスをルータ３０のＭａｃアドレスに戻す要求が生成され、正規端末Ｂ１４にユニキャスト通信にて送信される（図４のＳ１３）。

正規端末Ｂ１４では、受信した要求に従ってＡＲＰテーブルに格納されたアクセス制御装置１３のＭａｃアドレスがルータ３０のＭａｃアドレスに再度書き換られる（Ｓ１４）。

正規端末Ｂ１４のＡＲＰテーブルに格納されたＭａｃアドレスがルータ３０のＭａｃアドレスに戻されることにより、アクセス制御装置１３による中間者攻撃が停止されて（図５のＳ３０）、正規端末Ｂ１４と、ルータ３０、第１業務サーバ１２、第２業務サーバ２２との接続が可能となる（Ｓ１５）。

また、検疫ステータス変更部１３５ｄで検疫済み通知が受信されると、正規端末Ｂ１４が検疫済みである情報が正規端末リスト記憶部１３１に送出され、正規端末リストの正規端末Ｂ１４の検疫ステータス情報が「検疫済み」に変更されて記憶される（Ｓ３１）。

図５のステップＳ４３において、検疫サーバ２１から最新版のＯＳパッチおよびウィルス定期ファイルを適用する指示が送信されたときには当該正規端末が最新版のＯＳパッチおよびウィルス定義ファイルを取得するための端末（図示せず）に接続され、適用処理が行われることにより、検疫サーバ２１でセキュリティ対策の基準を満たしていると判定され当該正規端末の社内ネットワーク１への接続が許可され、ステップＳ４２に移る。

上記のステップＳ２１〜Ｓ３１の処理は、当該通信が終了するまで繰り返される（Ｓ３２）。

正規端末Ｂ１４が検疫済みの端末として正規端末リスト記憶部１３１に記憶されることにより、以降に正規端末Ｂ１４から社内ネットワーク１内の端末にパケットが送信されときにはステップＳ２３において検疫済みであると判定され（Ｓ２３の「YES」）、中間者攻撃や検疫処理は行われずに通常の通信が可能になる。

次に、社内ネットワーク１に接続が許可されていない不正端末Ｘ１５から第１サブネット１０を介して第２サブネット内の第２業務サーバ２２に接続が要求されたときの動作について、図７および図５を参照して説明する。

図７において、端末Ｘ１５から社内ネットワーク１内の第１サブネット１０を介して第２サブネット２０内の第２業務サーバ２２に接続が要求されたときのステップＳ５１〜Ｓ５５の処理は、図４のステップＳ１〜Ｓ５の処理と同様であるため、詳細な説明は省略する。

アクセス制御装置１３では、不正端末Ｘ１５からＡＲＰ要求パケットを受信すると、図５のステップＳ２２において端末Ｘ１５は社内ネットワーク１へのアクセス権を有さない不正端末であるとアクセス権判定部１３２で判定される（Ｓ２２の「NO」）。

ステップＳ２２においてアクセス権判定部１３２で端末Ｘ１５が不正端末であると判定されると、存在しない偽のＭａｃアドレスを送信元ＭａｃアドレスとしたＡＲＰ応答パケットがアクセス権判定部１３２において生成されて、ルータ３０から不正端末Ｘ１５に送信されたＡＲＰ応答パケットよりワンテンポ遅れたタイミングで、ユニキャスト通信により不正端末Ｘ１５に送信される（Ｓ５６）。

不正端末Ｘ１５では、ＡＲＰテーブルに格納されているルータ３０のＭａｃアドレスが、アクセス制御装置１３から受信された偽のＡＲＰ応答パケットによりアクセス制御装置１３のＭａｃアドレスに書き換えられる（Ｓ５７）。

また、アクセス権判定部１３２では、不正端末になりすまして存在しない偽のＭａｃアドレスを送信元アドレスとするＡＲＰ応答パケットがブロードキャスト通信により第１サブネット１０内のすべての端末に送信される（Ｓ５８）。

ルータ３０などの第１サブネット１０内の装置では、ＡＲＰテーブルに格納されている不正端末Ｘ１５のＭａｃアドレスが、アクセス制御装置１３から受信された偽のＡＲＰ応答パケットにより偽のＭａｃアドレスに書き換えられ（Ｓ５９）、不正端末Ｘ１５の社内ネットワーク１への接続が排除される。

この偽のＡＲＰ応答パケットをブロードキャスト通信で送信するのは、ステップＳ２１において不正端末Ｘ１５からブロードキャスト通信によりＡＲＰ要求パケットが送信されたときに第１サブネット１０内のすべての端末において不正端末のＩＰアドレスとＭａｃアドレスの組み合わせによる識別情報をそれぞれのＡＲＰテーブルに記憶しているため、これらの端末のＡＲＰテーブルの情報を書き換えなければ不正端末Ｘ１５とのすべての通信を排除することができないためである。

本実施形態においては、ステップＳ２２において送信元の端末が正規端末であるか否かを判定したが、ここでは正規端末か不正端末かは判定せずにステップＳ２３に進み、検疫済みかどうかのみを判定するようにしてもよい。

また、本実施形態においては、図５のステップＳ４１において検疫サーバ２１において正規端末Ｂ１４の社内ネットワーク１への接続を許可しないと判断されたときに、最新版のＯＳパッチおよびウィルス定期ファイルを適用する指示を送信したが、ここで何も指示をせず、処理を終了するようにしてもよい。

また、ステップＳ３１で正規端末リスト記憶部１３１に記憶された、正規端末Ｂ１４の「検疫済み」の情報は、正規端末リスト記憶部１３１に設けられたタイマー（図示せず）により正規端末リストの最終検疫時間から予め設定された時間（例えば数時間）が経過したと判断されたとき、ＯＳの新たなパッチが提供されたとき、または、ウィルス対策ソフトの新たなバージョンが提供されたときになどに「検疫前」の状態に戻され、この後に正規端末Ｂ１４からＡＲＰ要求パケットが受信されたときには再度中間者攻撃および検疫処理が行われるように設定してもよい。

本発明の第１実施形態によれば、従来のネットワーク監視技術の認証ＶＬＡＮ型方式のように専用のスイッチを設置する必要がなく、安価に構成することができる。

また、本発明の第１実施形態によれば、従来のネットワーク監視技術の認証ＤＨＣＰ型方式のように監視対象の端末に対するＩＰアドレスの設定方法に制限がなく、固定ＩＰアドレスが設定された端末の監視にも適用することができる。

また、本発明の第１実施形態によれば、従来のネットワーク監視技術のゲートウェイ型方式ように異なるサブネット間に限定されず、同一サブネット内の端末の監視にも適用することができる。

また、本発明の第１実施形態によれば、従来のネットワーク監視技術のパーソナルファイアウォール型方式のように監視対象の端末に専用のソフトウェアをインストールしておく必要がない。

また、本発明の第１実施形態によれば、アクセス制御装置が仮想的なルータとして機能するため、特許文献１のネットワーク監視技術のようにサブネット間のルータの制御を検疫サーバ側から行うことができるようにする必要がなく、ネットワーク構成の変更にも柔軟に対応することができる。

〈第２実施形態〉
本発明の第２実施形態においては、対象ネットワークである社内ネットワークのサブネット内に接続されている端末のうちの１台をアクセス制御装置として機能させ、中間者攻撃の動作を利用することにより、この社内ネットワークを監視するネットワーク監視システムについて説明する。

《第２実施形態によるネットワーク監視システムの構成》
本実施形態によるネットワーク監視システムとして構築された社内ネットワーク２の構成を図８を参照して説明する。

本実施形態における社内ネットワーク２は、第１サブネット１０と第２サブネット２０とがルータ３０により接続されて構成されている。

第１サブネット１０には、この社内ネットワーク２へのアクセス権を有し検疫処理済みの正規端末Ｅ１６と、正規端末Ｆ１７と、正規端末Ｇ１８とが接続されており、第２サブネット２０には、社内ネットワーク２に接続される端末のセキュリティ対策状況に関する検疫を行う検疫サーバ２１と、社内ネットワーク２に接続されている中から選択した端末にアクセス制御機能を実行させるための管理を行うエージェント管理サーバ２３とが接続されている。

正規端末Ｅ１６〜Ｇ１８には、第１実施形態のアクセス制御装置が有する、ネットワークへの通信が許可された正規端末の識別情報を記憶する正規端末リスト記憶機能と、パケットを受信したときにこのパケットの送信元の端末が正規端末か否かを正規端末リスト記憶機能で記憶された識別情報を基に判断するアクセス権判定機能と、アクセス権判定機能で要求元の端末が正規端末であると判断されたときに正規端末リストの情報に基づいて検疫済みであるか検疫前であるかを判定する検疫ステータス判定機能と、受信したパケットを解析してこのパケットがＡＲＰ要求であるか否かを判定するパケット種別解析機能と、受信したパケットがＡＲＰ要求であると判定されたときに中間者攻撃を利用して検疫処理を行わせる中間者攻撃処理機能とがプログラム化して組み込まれている。

《第２実施形態によるネットワーク監視システムの動作》
本実施形態におけるネットワーク監視システムの動作として、社内ネットワーク２に接続が許可されている正規端末Ｈ１９から、第１サブネット１０内の正規端末１６Ｅ〜１８Ｇのいずれかに接続が要求されたときの動作について説明する。

本実施形態における社内ネットワーク２では、第１サブネット１０内に接続されている正規端末１６Ｅ〜１８Ｇの中からアクセス制御を行わせるエージェント端末がエージェント管理サーバ２３により任意に選択されてアクセス制御指示が送信されることにより、選択されたエージェント端末でアクセス制御が行われる。

本実施形態においては、エージェント管理サーバ２３によりエージェント端末として正規端末Ｅ１６が選択されてアクセス制御指示が送信され、正規端末Ｅ１６においてアクセス制御が行われているものとする。

正規端末Ｈ１９から第１サブネット１０内の端末への接続が要求されると、エージェント端末である正規端末Ｅ１６によりアクセス制御が行われ、検疫サーバ２１により検疫処理が行われる。

エージェント端末である正規端末Ｅ１６により行われるアクセス制御処理は、第１実施形態のアクセス制御装置１３によるアクセス制御処理と同様であるため、詳細な説明は省略する。

エージェント端末である正規端末Ｅ１６には、現在社内ネットワークに接続されている正規端末の識別情報の一覧がエージェント管理サーバ２３から取得されており、定期的にこれらの接続されている正規端末と通信されることにより社内ネットワークへの接続が継続されているか否かが監視される。

ここで、エージェント端末としてアクセス制御を行っていた正規端末Ｅ１６が電源の切断などにより社内ネットワークから切り離されると、エージェント管理サーバ２３において正規端末Ｅ１６からのポーリングがなくなり正規端末Ｅ１６がネットワークから切り離されたことが認識され、別の端末がエージェント端末として選択される。

ここでは、正規端末Ｆ１７が新たなエージェント端末としてエージェント管理サーバ２３により選択され、この正規端末Ｆ１７によりアクセス制御処理が行われるように切り替えられたものとする。

以上の第２実施形態によれば、第１実施形態と同様の効果を得ることができるとともに、専用のアクセス制御装置を設置することなく、アクセス制御機能を有する正規端末がサブネット内に１台でも接続されていればアクセス制御を実行することが可能であり、また、アクセス制御機能を有する正規端末が複数台接続されているときには、アクセス制御を行っていた端末の接続が対象ネットワークから切り離されても他の端末に切り替えてアクセス制御を継続することが可能であり、安定した監視制御を行うことができる。

本発明の第１実施形態によるネットワーク監視システムの構成を示す全体図である。 本発明の第１実施形態によるネットワーク監視システムのアクセス制御装置の構成を示すブロック図である。 本発明の第１実施携帯によるネットワーク監視システムのアクセス制御装置の正規端末リスト記憶部に記憶されている正規端末リストの一例である。 本発明の第１実施形態によるネットワーク監視システムの動作を示すシーケンス図である。 本発明の第１実施形態によるネットワーク監視システムに正規端末から接続要求されたときのアクセス制御装置の動作を示すフローチャートである。 本発明の第１実施形態によるネットワーク監視システムの検疫サーバの動作を示すフローチャートである。 本発明の第１実施形態によるネットワーク監視システムに不正端末から接続要求されたときのアクセス制御装置の動作を示すシーケンス図である。 本発明の第２実施形態によるネットワーク監視システムの構成を示す全体図である。 従来のネットワーク監視システム（１）の構成を示す全体図である。 従来のネットワーク監視システム（２）の構成を示す全体図である。 従来のネットワーク監視システム（３）の構成を示す全体図である。 従来のネットワーク監視システム（４）の構成を示す全体図である。 従来のネットワーク監視システム（５）の構成を示す全体図である。

符号の説明

１１…正規端末Ａ
１４…正規端末Ｂ
１５…不正端末Ｘ
１６…正規端末Ｅ
１７…正規端末Ｆ
１８…正規端末Ｇ
１９…正規端末Ｈ
１…社内ネットワーク
２…社内ネットワーク
１０…第１サブネット
１２…第１業務サーバ
１３…アクセス制御装置
２０…第２サブネット
２１…検疫サーバ
２２…第２業務サーバ
２３…エージェント管理サーバ
３０…ルータ
１３１…正規端末リスト記憶部
１３２…アクセス権判定部
１３３…検疫ステータス判定部
１３４…パケット種別解析部
１３５…中間者攻撃処理部
１３５ａ…ＡＲＰ応答パケット生成部
１３５ｂ…通信パケット転送部
１３５ｃ…検疫済み通知受信部
１３５ｄ…検疫ステータス変更部

Claims (6)

1. 監視対象のネットワークに接続を要求する検疫対象端末のセキュリティ対策状況に基づいて、予め設定されたセキュリティ対策基準をこの検疫対象端末が満たしているか否かを確認する検疫処理を行う検疫サーバに前記ネットワークを介して接続されたネットワーク監視装置において、
   前記ネットワークへの通信が許可された正規端末毎の識別情報と、前記検疫サーバにおいて前記セキュリティ対策基準が満たされていると判定された検疫済み状態であるかまたは前記検疫処理が行われていない検疫前状態であるかを示す前記正規端末毎の検疫ステータス情報とを記憶する正規端末リスト記憶部と、
   前記ネットワークを介して、前記検疫対象端末から自装置以外の装置を応答要求先とするＡＲＰ要求パケットを受信したときに、前記検疫対象端末が前記正規端末か否かを前記正規端末リスト記憶部に記憶された識別情報を基に判断するアクセス権判定部と、
   前記アクセス権判定部において前記検疫対象端末が正規端末であると判定されたときに、前記検疫対象端末が検疫済み状態であるか検疫前状態であるかを前記正規端末リスト記憶部に記憶された検疫ステータス情報に基づいて判定する検疫ステータス判定部と、
   前記検疫ステータス判定部において前記検疫対象端末が検疫前状態であると判定されたときに、自装置のＭａｃアドレスを送信元アドレスとした代理ＡＲＰ応答パケットを生成して、前記応答要求先の装置が生成したＡＲＰ応答パケットが送信された後に前記検疫対象端末に送信し、前記検疫対象端末のＡＲＰテーブルを書き換えさせるＡＲＰ応答パケット生成部と、
   前記ＡＲＰ応答パケット生成部から前記代理ＡＲＰ応答パケットにより自装置のＭａｃアドレスを送信したことに応答して前記検疫対象端末から前記検疫サーバ宛ての通信パケットを受信したときに、この通信パケットを前記検疫サーバに転送する通信パケット転送部と、
   前記通信パケット転送部から前記検疫サーバに前記通信パケットを転送した後、前記検疫サーバから前記検疫対象端末が前記セキュリティ対策基準を満たしていることを示す検疫済み通知が送信されたときには、前記ＡＲＰ要求パケットの応答要求先の端末のＭａｃアドレスを前記検疫対象端末に送信して前記検疫対象端末のＡＲＰテーブルを変更させる検疫済み通知受信部と、
   前記検疫サーバから前記検疫済み通知が送信されたときに、前記正規端末リスト記憶部の前記検疫対象端末の検疫ステータス情報を検疫済み状態に変更する検疫ステータス変更部と
   を備えることを特徴とするネットワーク監視装置。
2. 前記セキュリティ対策状況は、前記検疫対象端末で用られているＯＳのパッチ適用状況、およびセキュリティ対策ソフトのバージョンの状況である
   ことを特徴とする請求項１に記載のネットワーク監視装置。
3. 前記正規端末リスト記憶部の検疫ステータス情報において検疫済み状態であると記憶された情報は、該当する正規端末における最終検疫時から所定時間が経過したとき、ＯＳの新たなパッチが提供されたとき、またはウィルス対策ソフトの新たなバージョンが提供されたときに検疫前状態に変更される
   ことを特徴とする請求項１または２に記載のネットワーク監視装置。
4. 監視対象のネットワークに接続を要求する検疫対象端末のセキュリティ対策状況に基づいて、予め設定されたセキュリティ対策基準をこの検疫対象端末が満たしているか否かを確認する検疫処理を行う検疫サーバに前記ネットワークを介して接続されたネットワーク監視装置に、
   前記ネットワークへの通信が許可された正規端末毎の識別情報と、前記検疫サーバにおいて前記セキュリティ対策基準が満たされていると判定された検疫済み状態であるかまたは前記検疫処理が行われていない検疫前状態であるかを示す前記正規端末毎の検疫ステータス情報とを記憶する機能と、
   前記ネットワークを介して、前記検疫対象端末から前記ネットワーク監視装置以外の装置を応答要求先とするＡＲＰ要求パケットを受信したときに、前記検疫対象端末が前記正規端末か否かを前記識別情報を基に判断する機能と、
   前記検疫対象端末が正規端末であると判定されたときに、前記検疫対象端末が検疫済み状態であるか検疫前状態であるかを前記検疫ステータス情報に基づいて判定する機能と、
   前記検疫対象端末が検疫前状態であると判定されたときに、前記ネットワーク監視装置のＭａｃアドレスを送信元アドレスとした代理ＡＲＰ応答パケットを生成して、前記応答要求先の装置が生成したＡＲＰ応答パケットが送信された後に前記検疫対象端末に送信し、前記検疫対象端末のＡＲＰテーブルを書き換えさせる機能と、
   前記代理ＡＲＰ応答パケットにより前記ネットワーク監視装置のＭａｃアドレスを送信したことに応答して前記検疫対象端末から前記検疫サーバ宛ての通信パケットを受信したときに、この通信パケットを前記検疫サーバに転送する機能と、
   前記検疫サーバに前記通信パケットを転送した後、前記検疫サーバから前記検疫対象端末が前記セキュリティ対策基準を満たしていることを示す検疫済み通知が送信されたときには、前記ＡＲＰ要求パケットの応答要求先の端末のＭａｃアドレスを前記検疫対象端末に送信して前記検疫対象端末のＡＲＰテーブルを変更させる機能と、
   前記検疫サーバから前記検疫済み通知が送信されたときに、前記検疫対象端末の前記検疫ステータス情報を検疫済み状態に変更する機能と
   を実行させるためのネットワーク監視用プログラム。
5. 監視対象のネットワークに接続を要求する検疫対象端末の監視を行うネットワーク監視装置と、前記検疫対象端末のセキュリティ対策に関する検疫処理を行う検疫サーバとが前記ネットワークを介して接続されたネットワーク監視システムにおいて、
   前記ネットワーク監視装置は、
   前記ネットワークへの通信が許可された正規端末毎の識別情報と、前記検疫サーバにおいて前記セキュリティ対策基準が満たされていると判定された検疫済み状態であるかまたは前記検疫処理が行われていない検疫前状態であるかを示す前記正規端末毎の検疫ステータス情報とを記憶する正規端末リスト記憶部と、
   前記ネットワークを介して、前記検疫対象端末から自装置以外の装置を応答要求先とするＡＲＰ要求パケットを受信したときに、前記検疫対象端末が前記正規端末か否かを前記正規端末リスト記憶部に記憶された識別情報を基に判断するアクセス権判定部と、
   前記アクセス権判定部において前記検疫対象端末が正規端末であると判定されたときに、前記検疫対象端末が検疫済み状態であるか検疫前状態であるかを前記正規端末リスト記憶部に記憶された検疫ステータス情報に基づいて判定する検疫ステータス判定部と、
   前記検疫ステータス判定部において前記検疫対象端末が検疫前状態であると判定されたときに、自装置のＭａｃアドレスを送信元アドレスとした代理ＡＲＰ応答パケットを生成して、前記応答要求先の装置が生成したＡＲＰ応答パケットが送信された後に前記検疫対象端末に送信し、前記検疫対象端末のＡＲＰテーブルを書き換えさせるＡＲＰ応答パケット生成部と、
   前記ＡＲＰ応答パケット生成部から前記代理ＡＲＰ応答パケットにより自装置のＭａｃアドレスを送信したことに応答して前記検疫対象端末から前記検疫サーバ宛ての通信パケットを受信したときに、この通信パケットを前記検疫サーバに転送する通信パケット転送部と、
   前記通信パケット転送部から前記検疫サーバに前記通信パケットを転送した後、前記検疫サーバから前記検疫対象端末が前記セキュリティ対策基準を満たしていることを示す検疫済み通知が送信されたときには、前記ＡＲＰ要求パケットの応答要求先の端末のＭａｃアドレスを前記検疫対象端末に送信して前記検疫対象端末のＡＲＰテーブルを変更させる検疫済み通知受信部と、
   前記検疫サーバから前記検疫済み通知が送信されたときに、前記正規端末リスト記憶部の前記検疫対象端末の検疫ステータス情報を検疫済み状態に変更する検疫ステータス変更部とを備え、
   前記検疫サーバは、
   前記通信パケット転送部から前記通信パケットを受信したときに、前記検疫対象端末からセキュリティ対策状況を取得し、前記検疫対象端末が予め設定されたセキュリティ対策基準を満たしているか否かを確認する検疫手段と、
   前記検疫手段により前記検疫対象端末が前記セキュリティ対策基準を満たしていることが確認されたときに、前記検疫対象端末が前記セキュリティ対策基準を満たしていることを示す検疫済み通知を生成して、前記検疫済み通知受信部および前記検疫ステータス変更部に送信する検疫済み通知送信部と
   を備えることを特徴とするネットワーク監視システム。
6. 前記ネットワークに接続された正規端末を管理する管理サーバをさらに備え、
   前記ネットワーク監視装置は、前記ネットワークに接続された複数の正規端末に設けられ、
   前記管理サーバは、
   前記ネットワークに接続された前記複数の正規端末の中から選択した任意の台数の正規端末に設けられたネットワーク監視装置の機能を有効にする監視装置選択部と、
   前記監視装置選択部により選択された正規端末が前記ネットワークから切断されたときに他の正規端末に設けられたネットワーク監視装置の機能を有効にする監視装置変更部と、
   を備えることを特徴とする請求項５に記載のネットワーク監視システム。

Images