JP2008271416A

JP2008271416A - ネットワークフォレンジックシステム、ネットワーク監視方法及びｍａｃアドレスのサンプリング方法

Info

Publication number: JP2008271416A
Application number: JP2007114550A
Authority: JP
Inventors: Noriyuki Fujiwara; 礼征藤原
Original assignee: EASYNET Inc
Current assignee: EASYNET Inc
Priority date: 2007-04-24
Filing date: 2007-04-24
Publication date: 2008-11-06
Anticipated expiration: 2027-04-24
Also published as: JP4943929B2

Abstract

【課題】「ＩＰ情報を元にスイッチングを行うスイッチ」の介在する環境においても利用者端末を識別することの可能なネットワークフォレンジックシステム、ネットワーク監視方法及びＭＡＣアドレスのサンプリング方法を提供すること。
【解決手段】ＷＡＮ１００とＬ３スイッチとの間の第一通信データＰ３，Ｐ４を監視サーバー８で採取すると共に保存する。端末７とスイッチ５との間にこれらの間の第二通信データＰ２をサンプリング装置１０でサンプリングする。第二通信データＰ２から利用者端末７のＭＡＣアドレスと当該利用者端末のＩＰアドレスとの対応関係を求め、この対応関係を監視サーバー８に送信し、第一通信データのＩＰアドレスにＭＡＣアドレスを関連づける。ＡＲＰにより第二通信データを採取してもよい。
【選択図】図１

Description

本発明は、ネットワークフォレンジックシステム並びにこれに関連するネットワーク監視方法及びＭＡＣアドレスのサンプリング方法に関する。さらに詳しくは、各々がＭＡＣアドレスを有する複数の利用者端末と、これら複数の利用者端末を接続する第一ネットワークと、これら利用者端末が利用対象とする第二ネットワークに対する他ネット接続部と、ＩＰ情報を元にスイッチングを行うスイッチとを備え、このスイッチを前記他ネット接続部と前記第一ネットワークとの間に配置し、前記他ネット接続部とスイッチとの間の第一通信データを採取すると共に保存する監視サーバーを備えたネットワークフォレンジックシステム、並びに、これに関連するネットワーク監視方法及びＭＡＣアドレスのサンプリング方法に関する。

上述の如きネットワークフォレンジックシステムでは、例えば、第一ネットワークであるＬＡＮに接続された利用者端末が第二ネットワークであるＷＡＮへの接続を行うことで、ＴＣＰ／ＩＰ等による通信がなされる。そして、監視サーバーにより各利用者端末とＷＡＮとの通信パケットを監視サーバーは採取・解析・記録・保存する。

一方、上記ＷＡＮ，ＬＡＮ環境では、ギガビットネットワークの普及とＬＡＮの大規模化に伴い、ルーティングの高速化とサブネット間通信の必要性が高まってきた。そこで、これらの要請に応え、ＩＰ情報を元にスイッチングを行うスイッチの一例としてレイヤー３スイッチが導入されている。

ところが、パケットがレイヤー３スイッチを通過する際、パケットに付加されていたＭＡＣアドレスの値が変更されてしまうため、送信元である各利用者用端末７のＭＡＣアドレスが不明となる。その一方、各利用者用端末のＩＰアドレスは、ＤＨＣＰ（Dynamic Host Configuration Protocol）によって一時的かつ自動的に割り振られているケースが多い。したがって、ＩＰアドレスのみでは各利用者用端末を識別することができなかった。

ところで、特許文献１でも、このようなＤＨＣＰによるデバイスの識別上の問題が指摘されている。同文献ではＩＰとＭＡＣの情報を有するＡＲＰテーブルを利用して疑似物理デバイスとＩＰとを関連づけており、レイヤー３スイッチではＭＡＣの情報が欠落するため、「ＩＰ情報を元にスイッチングを行うスイッチ」の介在する環境では同技術を利用しても利用者端末を識別することは不可能である。
特開平１１−３５５３０３号公報

かかる従来の実情に鑑みて、本発明は、「ＩＰ情報を元にスイッチングを行うスイッチ」の介在する環境においても利用者端末を識別することの可能なネットワークフォレンジックシステム、ネットワーク監視方法及びＭＡＣアドレスのサンプリング方法を提供することを目的とする。

上記目的を達成するため、本発明に係るネットワークフォレンジックシステムの特徴は、各々がＭＡＣアドレスを有する複数の利用者端末と、これら複数の利用者端末を接続する第一ネットワークと、これら利用者端末が利用対象とする第二ネットワークに対する他ネット接続部と、ＩＰ情報を元にスイッチングを行うスイッチとを備え、このスイッチを前記他ネット接続部と前記第一ネットワークとの間に配置し、前記他ネット接続部とスイッチとの間の第一通信データを採取すると共に保存する監視サーバーを備えた構成において、前記利用者端末と前記スイッチとの間にこれらの間の第二通信データをサンプリングするサンプリング装置を設け、このサンプリング装置によりサンプリングされた第二通信データから前記利用者端末のＭＡＣアドレスと当該利用者端末のＩＰアドレスとの対応関係を求め、この対応関係を前記監視サーバーに送信し、第一通信データのＩＰアドレスにＭＡＣアドレスを関連づけることにある。

また、本発明に係るネットワークフォレンジックシステムの他の特徴は、各々がＭＡＣアドレスを有する複数の利用者端末と、これら複数の利用者端末を接続する第一ネットワークと、これら利用者端末が利用対象とする第二ネットワークに対する他ネット接続部と、ＩＰ情報を元にスイッチングを行うスイッチとを備え、このスイッチを前記他ネット接続部と前記第一ネットワークとの間に配置し、前記他ネット接続部とスイッチとの間の第一通信データを採取すると共に保存する監視サーバーを備えた構成において、前記利用者端末と前記スイッチとの間に各利用者端末においてＡＲＰにより付与されるＭＡＣアドレスと当該利用者端末のＩＰアドレスとの対応関係をサンプリングするサンプリング装置を設け、この対応関係を前記監視サーバーに送信し、第一通信データのＩＰアドレスにＭＡＣアドレスを関連づけることにある。

前記スイッチとしてはレイヤー３スイッチが用いられ、前記サンプリング装置はサブネット毎に設けられる。また、前記監視サーバーは、前記各利用者端末の情報を前記ＭＡＣアドレスに関連づけて保持すると利用者端末の管理がより容易となる。これらの構成は以下の方法においても実施される。

一方、本発明に係るネットワーク監視方法の特徴は、各々がＭＡＣアドレスを有する複数の利用者端末と、これら複数の利用者端末を接続する第一ネットワークと、これら利用者端末が利用対象とする第二ネットワークに対する他ネット接続部と、ＩＰ情報を元にスイッチングを行うスイッチとを備え、このスイッチを前記他ネット接続部と前記第一ネットワークとの間に配置したネットワークシステムにおいて、前記他ネット接続部とスイッチとの間の第一通信データを監視サーバーにより採取すると共に保存する方法において、前記利用者端末と前記スイッチとの間にこれらの間の第二通信データをサンプリングするサンプリング装置を設け、このサンプリング装置によりサンプリングされた第二通信データから前記利用者端末のＭＡＣアドレスと当該利用者端末のＩＰアドレスとの対応関係を求め、この対応関係を前記監視サーバーに送信し、第一通信データのＩＰアドレスにＭＡＣアドレスを関連づけることにある。

また、本発明に係るネットワーク監視方法の他の特徴は、各々がＭＡＣアドレスを有する複数の利用者端末と、これら複数の利用者端末を接続する第一ネットワークと、これら利用者端末が利用対象とする第二ネットワークに対する他ネット接続部と、ＩＰ情報を元にスイッチングを行うスイッチとを備え、このスイッチを前記他ネット接続部と前記第一ネットワークとの間に配置したネットワークシステムにおいて、前記他ネット接続部とスイッチとの間の第一通信データを監視サーバーにより採取すると共に保存する方法において、前記利用者端末と前記スイッチとの間に各利用者端末においてＡＲＰにより付与されるＭＡＣアドレスと当該利用者端末のＩＰアドレスとの対応関係をサンプリングするサンプリング装置を設け、この対応関係を前記監視サーバーに送信し、第一通信データのＩＰアドレスにＭＡＣアドレスを関連づけることにある。

一方、本発明に係るＭＡＣアドレスのサンプリング方法の特徴は、各々がＭＡＣアドレスを有する複数の利用者端末と、これら複数の利用者端末を接続する第一ネットワークと、これら利用者端末が利用対象とする第二ネットワークに対する他ネット接続部と、ＩＰ情報を元にスイッチングを行うスイッチとを備え、このスイッチを前記他ネット接続部と前記第一ネットワークとの間に配置し、前記他ネット接続部とスイッチとの間の第一通信データを監視サーバーにより採取すると共に保存するネットワークフォレンジックシステムにおいて、前記利用者端末と前記スイッチとの間にこれらの間の第二通信データをサンプリングするサンプリング装置を設け、このサンプリング装置によりサンプリングされた第二通信データから前記利用者端末のＭＡＣアドレスと当該利用者端末のＩＰアドレスとの対応関係を求め、この対応関係を前記監視サーバーに送信し、第一通信データのＩＰアドレスにＭＡＣアドレスを関連づけることにある。

また、本発明に係るＭＡＣアドレスのサンプリング方法の他の特徴は、各々がＭＡＣアドレスを有する複数の利用者端末と、これら複数の利用者端末を接続する第一ネットワークと、これら利用者端末が利用対象とする第二ネットワークに対する他ネット接続部と、ＩＰ情報を元にスイッチングを行うスイッチとを備え、このスイッチを前記他ネット接続部と前記第一ネットワークとの間に配置し、前記他ネット接続部とスイッチとの間の第一通信データを監視サーバーにより採取すると共に保存するネットワークフォレンジックシステムにおいて、前記利用者端末と前記スイッチとの間に各利用者端末においてＡＲＰにより付与されるＭＡＣアドレスと当該利用者端末のＩＰアドレスとの対応関係をサンプリングするサンプリング装置を設け、この対応関係を前記監視サーバーに送信し、第一通信データのＩＰアドレスにＭＡＣアドレスを関連づけることにある。

上記本発明に係るネットワークフォレンジックシステム、ネットワーク監視方法及びＭＡＣアドレスのサンプリング方法の特徴によれば、「ＩＰ情報を元にスイッチングを行うスイッチ」の介在する環境においても利用者端末を識別することが可能となった。

本発明の他の目的、構成及び効果については、以下の発明の実施の形態の項から明らかになるであろう。

次に、添付図面を適宜参照しながら、本発明に係るネットワークフォレンジックシステム１についてさらに詳しく説明する。

図１に示すように、一般にネットワークフォレンジックシステム１は、第一ネットワークであるローカルエリアネットワーク（以下、ＬＡＮ）２において，ネットワークタップ（以下、タップ）４、レイヤー２スイッチ６、ネットワーク利用者用端末７（７ａ〜ｄ）、通信パケットの採取・解析・記録・監視を行う監視サーバ８、監視サーバ８の管理者が使用する管理者用端末９を備えている。

ＬＡＮ２は、他ネット接続部９９においてファイアウォール３を介して、利用者端末７が利用の対象とする第二ネットワークであるワイドエリアネットワーク（以下、ＷＡＮ）１００に接続されている。本実施形態では、ＬＡＮ２及びＷＡＮ１００はいずれもインターネットプロトコル（ＴＣＰ／ＩＰ）での通信がなされる。各端末及び監視サーバ８は図示省略するＣＰＵ、メモリ及びハードディスク等の記憶装置、データ及びアドレス等のバス並びにマウス、キーボード及びディスプレイ等のインターフェイスを備えている。また、各端末にはウェブブラウザ及びメーラーがインストールされている。

ここで、レイヤー２スイッチ６は、データーリンク層においてＭＡＣアドレス情報を基にスイッチングを行うものである。ＬＡＮ２がある程度の大きさになると、レイヤー２スイッチ６は複数個設けられ、各レイヤー２スイッチ６ａ，６ｂはそれぞれが異なるサブネットを構成する。例えば、第一、第二レイヤー２スイッチ６ａ，６ｂがそれぞれ第一、第二サブネットＳ１、Ｓ２を構成する場合、これら各レイヤー２スイッチ６ａ，６ｂは互いに異なる第一、第二サブネット間のネットワークを接続できないため、これら各レイヤー２スイッチ６ａ，６ｂ間を高速でハードウエアにより接続するレイヤー３スイッチ５を設けている。

レイヤー３スイッチ５は、レイヤー２スイッチ６の機能を持ちながら、ハードウエア（ASIC）でネットワーク層においてＩＰ情報を基にスイッチングを行うものである。本実施形態では、レイヤー３スイッチはルーティングの機能も有し、ＬＡＮ２をＷＡＮ１００に接続している。

ＬＡＮ２は、４つのエリアに区分され、利用者用端末群７とレイヤー２スイッチ６との間を端末エリアＡ１、レイヤー２スイッチ６とレイヤー３スイッチ５との間をサンプリングエリアＡ２、レイヤー３スイッチ５と他ネット接続部９９との間を他ネット接続エリアＡ３、ＴＡＰ４と監視サーバー８との間をＴＡＰエリアＡ４とそれぞれ称することとする。また、各エリアを流れるパケットの名称は、第一パケットＰ１が端末エリアＡ１を、第二パケットＰ２がサンプリングエリアＡ２を、第三パケットＰ３が他ネット接続エリアＡ３を、第四パケットＰ４がＴＡＰエリアＡ４をそれぞれ流れるものとする。なお、第三、第四パケットＰ３，Ｐ４は共に同じ内容であり、これらを第一通信データと称する。

インターネット等のネットワークの利用に伴い、利用者用端末群７とＷＡＮ１００との間の通信ネットワークには様々なパケットが流れている。監視サーバ８は、これら通信ネットワークを流れているパケットのすべてを、タップ４を経由することによって採取し、さらに採取したパケットのすべてを解析・記録・保存する。監視サーバ８の管理者は、採取・解析・記録・保存されたパケットのデータを、管理者用端末９において必要に応じて検索・再現し、ディスプレイ等のインターフェイスにおいてその内容を表示し、その内容を確認することができる。

また、インターネット等のネットワークの不適切と判断される利用・通信が発生した場合、監視サーバ８より管理者用端末９に対しリアルタイムに電子メールが送信され、不適切な利用・通信の発生を管理者に対し通知することができる。不適切と判断される利用・通信とは、例えば、組織内部の秘匿情報の電子メールやウェブメールによる漏洩やウェブ上の電子掲示板への組織内部情報の書き込み、通常業務と関連のないウェブ・電子メールの利用あるいは組織によって定められた規則に反するウェブ・電子メールの利用等を指すが、これらに限られるものではない。

本発明に係るネットワークフォレンジックシステムが企業等、様々な組織等に対する監査に利用される場合、監視サーバ８の管理者は監査担当者に相当する。監査における利用に耐え得るように、管理者によるパケットデータの検索・再現等の操作・閲覧履歴を記録・保存することができる。

ここで説明する第一の方式では、パケットサンプリングによって各利用者用端末のＭＡＣアドレスを収集し、監視サーバにおいて採取・解析された各利用者用端末のＩＰアドレスと対応させることにより、各利用者用端末を特定する。

レイヤー２スイッチ６ａ，６ｂは、レイヤー２（データリンク層）の情報を使ってネットワークを中継する。つまり、ＭＡＣアドレスの情報を基にスイッチングを行うため、各利用者用端末７のＩＰアドレスおよびＭＡＣアドレスの情報は第一パケットＰ１から第二パケットＰ２へとそのまま通過する。しかし、レイヤー３スイッチはレイヤー３（ネットワーク層）の情報を使ってネットワークを中継する。つまり、ＩＰアドレスを基にスイッチングを行うため、第二パケットＰ２から第三パケットＰ３への伝達において、各利用者用端末７のＩＰアドレスはそのまま通過するが、ＭＡＣアドレスの値は変更されてしまう。また、一般的に、各利用者用端末７のＩＰアドレスは、ＤＨＣＰ（Dynamic Host Configuration Protocol）によって一時的かつ自動的に割り振られているケースが多い。この場合、これらのＩＰアドレスでは、各利用者用端末７の特定要素・特定要因にはならない。

そこで、本第一の方式に係る本システム１では、ＭＡＣアドレスの値が変更される以前の情報を採取するために、第一、第二レイヤー２スイッチ６ａ，６ｂとレイヤー３スイッチ５の間であるサンプリングエリアＡ２に各サブネットＳ１，Ｓ２に対応させてそれぞれ第一、第二サンプリング装置１０ａ，１０ｂを設けている。そして、サンプリング装置１０ａ，１０ｂにおいて第二パケットＰ２から採取した各利用者用端末７のＩＰアドレスとＭＡＣアドレスの情報を対応情報信号ＲＳにより監視サーバ８に適宜に送信し、監視サーバ８は第一データベース１１ａにこれらの情報をＩＰアドレスとＭＡＣアドレスの対応表として常時記録・保存する。

このように、第一データベース１１ａにおけるＩＰアドレスとＭＡＣアドレスの対応表を常に最新の状態にすることにより、タップ４を経由して監視サーバ８が採取・解析・記録・保存した通信パケットデータのＩＰアドレスから各利用者用端末７を特定することが可能である。

ここで、以上の構成による本システム１の具体的動作を説明する。利用者端末７ａ〜７ｄの添字であるａ〜ｄは、ＭＡＣアドレスＭａ〜Ｍｄ及びＩＰアドレスＩａ〜ｄの添字に該当するものとする。例えば、ある利用者ａの利用者用端末７ａは、ＭａなるＭＡＣアドレスをネットワークカードが保有し、ＤＨＣＰによりＩａなるＩＰアドレスが付与されているものとする。

この利用者端末７ａの利用に伴い、ＬＡＮ２の端末エリアＡ１の経路上を｛ＭＡＣ：[Ｍａ]、ＩＰ：[Ｉａ]｝なる第一パケットＰ１が流れる。第一パケットＰ１は、｛ＭＡＣ：[Ｍａ]、ＩＰ：[Ｉａ]｝の値を変更することなくレイヤー２スイッチ６を通過して第二パケットＰ２となる。

本第一方式のサンプリング装置１０は、｛ＭＡＣ：[Ｍａ]、ＩＰ：[Ｉａ]｝なる第二パケットＰ２を間欠的に採取し、監視サーバ８に｛ＭＡＣ：[Ｍａ]、ＩＰ：[Ｉａ]｝の情報を保有する対応情報信号ＲＳを送信する。この信号ＲＳの送信は、ＬＡＮ２上の他ネット接続エリアＡ３及びＴＡＰエリアＡ４を経由してもよいが、他のＬＡＮを設けて送信してもよい。監視サーバー８は、第一データベース１１ａにＭＡＣ：[Ｍａ]とＩＰ：[Ｉａ]とを対応させたＭＡＣアドレスとＩＰアドレスとの「アドレス対応情報」を格納する。

一方、｛ＭＡＣ：[Ｍａ]、ＩＰ：[Ｉａ]｝なる第二パケットＰ２はレイヤー３スイッチ５を通過する際にＭＡＣアドレスの値がレイヤー３スイッチ５のＭＡＣアドレスＭｘに変更されるので、他ネット接続エリアＡ３の第３パケットＰ３は｛ＭＡＣ：[Ｍｘ]、ＩＰ：[Ｉａ]｝としてその情報内容が変換される。よって、タップ４が補足する利用者用端末７ａのＭＡＣアドレスおよびＩＰアドレスは｛ＭＡＣ：[Ｍｘ]、ＩＰ：[Ｉａ]｝になり、監視サーバ８はこれを第四パケットＰ４として採取・解析・記録・保存する。

監視サーバ８は、この第四パケットＰ４のＩＰアドレスＩＰ：[Ｉａ]と、上述の過程により第一データベース１１ａに格納したアドレス対応情報からＭＡＣ：[Ｍａ]及びＩＰ：[Ｉａ]なる対応情報を参照することにより、この時点において採取された第四パケットＰ４を送信した利用者用端末のＭＡＣアドレスは[Ｍａであり、使用されていた利用者用端末はＭＡＣアドレスより７ａであることを特定することができる。

監視サーバー８では、上記第一データベース１１ａに加え、さらに第二データベース１１ｂを利用してもよい。この第二データベース１１ｂには、あらかじめ各利用者用端末７ａ〜ｄの各ＭＡＣアドレスと各利用者用端末の情報、例えば使用者名・各利用者用端末番号・認証された使用者かどうか等の情報を内容とする対応表「各利用者用端末のＭＡＣアドレス及び各利用者用端末情報」が格納されている。これにより、上記第一データベース１１ａと同様の過程を経て特定されたＭＡＣアドレスから、第二データベース１１ｂにあらかじめ格納されていた「各利用者用端末のＭＡＣアドレス及び各利用者用端末情報」の対応表を参照することにより、例えば、使用者名・各利用者用端末番号・認証された使用者かどうか等の情報を特定することができる。

次に、サンプリング装置１０における処理手順について説明する。図２に示すように、サンプリング部１２は第二通信データである第二パケットＰ２をサンプリングし、ＩＰアドレスとＭＡＣアドレスを収集する。収集されたＩＰアドレス及びＭＡＣアドレスは、比較部１４において、アドレスキャッシュ部１５にキャッシュされているＩＰアドレス及びＭＡＣアドレスと比較される。比較の結果、新たであるか以前の記録とは異なるＩＰアドレス及びＭＡＣアドレスの対応情報（以下、新規・変更情報）が見出された場合、記録部１６にこの新規・変更情報が書き込まれ、同時にアドレスキャッシュ部１５にもこの新規・変更情報が書き込まれる。比較の結果、新規・変更情報が見出された場合、さらに送信部１７より監視サーバ８に対してこの新規・変更情報を含む対応情報信号ＲＳが送信される。上述の例では、ＤＨＣＰによるＩＰアドレスの付与又は変更がなされた時点で新規・変更情報の監視サーバーに対する送信がなされ、当該送信は結果として間欠的なものとなる。

サンプリング装置１０から監視サーバー８に新規・変更情報が送信されると、図３に示すように、この情報はアドレス受信部１８において受信され、アドレス取得部１９において取得される。取得されたＩＰアドレス及びＭＡＣアドレスの対応情報は、第一データベース１１ａにおいて格納され、同時に監視サーバ８のＭＡＣアドレス取得部２２にも送られ、取得される。

監視サーバ８は、ＬＡＮ２の他ネット接続エリアＡ３に設けたＴＡＰ４を解して、第四パケットＰ４をパケット取得部２１に取得する。従来では第四パケットＰ４が直接パケット記録部２３に格納されていた。しかし、本発明においては、例えば利用者端末７ａに由来する第四パケットＰ４は、ＭＡＣアドレス取得部２２を経由することにより、ＩＰアドレスとＭＡＣアドレスの対応情報が｛ＭＡＣ：[Ｍａ]、ＩＰ：[Ｉａ]｝なる第一パケットＰ１の形に修正された状態でパケット記録部２３に記録される。このように、第一データベース１１ａにおけるＩＰアドレスとＭＡＣアドレスの対応表（テーブル）を常に最新の状態にすることにより、タップ４を経由して監視サーバ８が採取・解析・記録・保存した通信パケットデータのＩＰアドレスから各利用者用端末７を特定することが可能になった。

次に、本発明の別の実施形態について説明する。なお、上記第一実施形態と同様の実施形態には同一の符号を附してある。

上記第一の方式ではパケットサンプリングによりＭＡＣアドレスを収集した。しかし、ＡＲＰ（アドレス解決プロトコル (Address Resolution Protocol)）監視方式によって各利用者用端末のＭＡＣアドレスを収集し、監視サーバにおいて採取・解析された各利用者用端末のＩＰアドレスと対応させることも可能であり、以下この考えに従った第二の方式である第二実施形態について説明する。

図４に示すように、第二の方式では、利用者用端末群の各利用者用端末７ａ〜ｄのＭＡＣアドレスを採取するために、ＡＲＰ監視装置としてのサンプリング装置１０ａ，１０ｂが用いられる。本実施形態では、第一、第二サブネットＳ１，Ｓ２をそれぞれ担当する第一、第二サンプリング装置１０ａ，１０ｂが、担当のサブネット内で交信されるＡＲＰをサンプリングする。

ＡＲＰはデータリンク層（イーサネット（登録商標）環境）において、ＩＰアドレスからＭＡＣアドレスを得る際に用いられるプロトコルである。したがって、サンプリングエリアＡ２にサンプリング装置１０を設けても、レーヤー２スイッチ６を経由して各利用者端末７ａ〜ｄからＭＡＣアドレスを取得することができる。

例えば、レイヤー３スイッチ５と利用者端末７ａとの間で通信がなされる場合は、レイヤー３スイッチ５からＩＰアドレスＩａの情報を含むＡＲＰ要求ＲＱが送信される。これを受信した利用者端末７ａは、ＩａとＭＡＣアドレスＭａの情報を含むＡＲＰ返信ＲＰをレイヤー２スイッチ６を超えて返信する。図５に示すサンプリング装置１０のサンプリング部１３は、この種のブロードキャストされたＡＲＰ返信ＲＰをサンプリングにより受信し、｛ＭＡＣ：[Ｍａ]、ＩＰ：[Ｉａ]｝なる情報を比較部１４に送る。その他の処理は、先の第一実施形態と同様である。なお、ＡＲＰの情報は各端末であるキャッシュ時間の後適宜更新される。サンプリング部１３はＡＲＰ返信ＲＰを受信する替わりに各端末やサーバー等が保有するＡＲＰテーブルを参照してもよい。

上記実施形態では、ＩＰ情報を元にスイッチングを行うスイッチとしてレイヤー３スイッチを用いた。しかし、レイヤー３スイッチ以外のものも使用可能であり、ルーター機能は別に設けてもよい。

上記各実施形態において、第一ネットワークとしてＬＡＮを、第二ネットワークとしてＷＡＮを用いており、ネットワークフォレンジックシステムの通常の使用形態である。しかし、第一ネットワークとしてＷＡＮを、第二ネットワークとしてＬＡＮを用いてもよい。さらに、第一、第二ネットワークとして双方ともＬＡＮを用いたり、又は双方ともＷＡＮを用いてもよい。

本発明は、ネットワークフォレンジックシステム並びにこれに関連するネットワーク監視方法及びＭＡＣアドレスのサンプリング方法として利用することができる。

本発明に係るネットワークフォレンジックシステムの構成図である。パケットサンプリング装置におけるプログラムの説明図である。監視サーバーにおけるプログラムの説明図である。本発明の第二実施形態に係る図１相当図である。第二実施形態における図２相当図である。

符号の説明

１：ネットワークフォレンジックシステム、２：第一ネットワーク、ローカルエリアネットワーク（ＬＡＮ）、３：ファイアウォール、４：ネットワークタップ、５：レイヤー３スイッチ、６（６ａ，６ｂ）：レイヤー２スイッチ、７：利用者用端末群、７ａ〜ｄ：利用者用端末、８：監視サーバ、９：管理者用端末、１０（１０ａ，１０ｂ）：サンプリング装置、１１（１１ａ，１１ｂ）：データベース、１２、１３：サンプリング部、１４：比較部、１５：アドレスキャッシュ部、１６：記録部、１７：送信部、１８：アドレス受信部、１９：アドレス取得部、２０：データベース、２１：パケット取得部、２２：ＭＡＣアドレス取得部、２３：パケット記録部、２４：監視サーバ、９９：他ネット接続部、１００：第二ネットワーク、ワイドエリアネットワーク（ＷＡＮ）、Ａ１：端末エリア、Ａ２：サンプリングエリア、Ａ３：他ネット接続エリア、Ａ４：ＴＡＰエリア、Ｐ１〜Ｐ４：第一〜第四パケット、ＲＳ：対応情報信号、ＲＱ：ＡＲＰ要求、ＲＰ：ＡＲＰ返信

Claims

各々がＭＡＣアドレスを有する複数の利用者端末と、これら複数の利用者端末を接続する第一ネットワークと、これら利用者端末が利用対象とする第二ネットワークに対する他ネット接続部と、ＩＰ情報を元にスイッチングを行うスイッチとを備え、このスイッチを前記他ネット接続部と前記第一ネットワークとの間に配置し、前記他ネット接続部とスイッチとの間の第一通信データを採取すると共に保存する監視サーバーを備えたネットワークフォレンジックシステムであって、前記利用者端末と前記スイッチとの間にこれらの間の第二通信データをサンプリングするサンプリング装置を設け、このサンプリング装置によりサンプリングされた第二通信データから前記利用者端末のＭＡＣアドレスと当該利用者端末のＩＰアドレスとの対応関係を求め、この対応関係を前記監視サーバーに送信し、第一通信データのＩＰアドレスにＭＡＣアドレスを関連づけることを特徴とするネットワークフォレンジックシステム。
各々がＭＡＣアドレスを有する複数の利用者端末と、これら複数の利用者端末を接続する第一ネットワークと、これら利用者端末が利用対象とする第二ネットワークに対する他ネット接続部と、ＩＰ情報を元にスイッチングを行うスイッチとを備え、このスイッチを前記他ネット接続部と前記第一ネットワークとの間に配置し、前記他ネット接続部とスイッチとの間の第一通信データを採取すると共に保存する監視サーバーを備えたネットワークフォレンジックシステムであって、前記利用者端末と前記スイッチとの間に各利用者端末においてＡＲＰにより付与されるＭＡＣアドレスと当該利用者端末のＩＰアドレスとの対応関係をサンプリングするサンプリング装置を設け、この対応関係を前記監視サーバーに送信し、第一通信データのＩＰアドレスにＭＡＣアドレスを関連づけることを特徴とするネットワークフォレンジックシステム。
前記スイッチがレイヤー３スイッチであり、前記サンプリング装置がサブネット毎に設けられていることを特徴とする請求項１又は２記載のネットワークフォレンジックシステム。
前記監視サーバーが前記各利用者端末の情報を前記ＭＡＣアドレスに関連づけて保持することを特徴とする請求項１〜３のいずれかに記載のネットワークフォレンジックシステム。
各々がＭＡＣアドレスを有する複数の利用者端末と、これら複数の利用者端末を接続する第一ネットワークと、これら利用者端末が利用対象とする第二ネットワークに対する他ネット接続部と、ＩＰ情報を元にスイッチングを行うスイッチとを備え、このスイッチを前記他ネット接続部と前記第一ネットワークとの間に配置したネットワークシステムにおいて、前記他ネット接続部とスイッチとの間の第一通信データを監視サーバーにより採取すると共に保存するネットワーク監視方法であって、前記利用者端末と前記スイッチとの間にこれらの間の第二通信データをサンプリングするサンプリング装置を設け、このサンプリング装置によりサンプリングされた第二通信データから前記利用者端末のＭＡＣアドレスと当該利用者端末のＩＰアドレスとの対応関係を求め、この対応関係を前記監視サーバーに送信し、第一通信データのＩＰアドレスにＭＡＣアドレスを関連づけることを特徴とするネットワーク監視方法。
各々がＭＡＣアドレスを有する複数の利用者端末と、これら複数の利用者端末を接続する第一ネットワークと、これら利用者端末が利用対象とする第二ネットワークに対する他ネット接続部と、ＩＰ情報を元にスイッチングを行うスイッチとを備え、このスイッチを前記他ネット接続部と前記第一ネットワークとの間に配置したネットワークシステムにおいて、前記他ネット接続部とスイッチとの間の第一通信データを監視サーバーにより採取すると共に保存するネットワーク監視方法であって、前記利用者端末と前記スイッチとの間に各利用者端末においてＡＲＰにより付与されるＭＡＣアドレスと当該利用者端末のＩＰアドレスとの対応関係をサンプリングするサンプリング装置を設け、この対応関係を前記監視サーバーに送信し、第一通信データのＩＰアドレスにＭＡＣアドレスを関連づけることを特徴とするネットワーク監視方法。
前記スイッチがレイヤー３スイッチであり、前記サンプリング装置がサブネット毎に設けられていることを特徴とする請求項５又は６記載のネットワーク監視方法。
前記監視サーバーが前記各利用者端末の情報を前記ＭＡＣアドレスに関連づけて保持することを特徴とする請求項５〜７のいずれかに記載のネットワーク監視方法。
各々がＭＡＣアドレスを有する複数の利用者端末と、これら複数の利用者端末を接続する第一ネットワークと、これら利用者端末が利用対象とする第二ネットワークに対する他ネット接続部と、ＩＰ情報を元にスイッチングを行うスイッチとを備え、このスイッチを前記他ネット接続部と前記第一ネットワークとの間に配置し、前記他ネット接続部とスイッチとの間の第一通信データを監視サーバーにより採取すると共に保存するネットワークフォレンジックシステムにおいて、前記利用者端末と前記スイッチとの間にこれらの間の第二通信データをサンプリングするサンプリング装置を設け、このサンプリング装置によりサンプリングされた第二通信データから前記利用者端末のＭＡＣアドレスと当該利用者端末のＩＰアドレスとの対応関係を求め、この対応関係を前記監視サーバーに送信し、第一通信データのＩＰアドレスにＭＡＣアドレスを関連づけることを特徴とするＭＡＣアドレスのサンプリング方法。
各々がＭＡＣアドレスを有する複数の利用者端末と、これら複数の利用者端末を接続する第一ネットワークと、これら利用者端末が利用対象とする第二ネットワークに対する他ネット接続部と、ＩＰ情報を元にスイッチングを行うスイッチとを備え、このスイッチを前記他ネット接続部と前記第一ネットワークとの間に配置し、前記他ネット接続部とスイッチとの間の第一通信データを監視サーバーにより採取すると共に保存するネットワークフォレンジックシステムにおいて、前記利用者端末と前記スイッチとの間に各利用者端末においてＡＲＰにより付与されるＭＡＣアドレスと当該利用者端末のＩＰアドレスとの対応関係をサンプリングするサンプリング装置を設け、この対応関係を前記監視サーバーに送信し、第一通信データのＩＰアドレスにＭＡＣアドレスを関連づけることを特徴とするＭＡＣアドレスのサンプリング方法。
前記スイッチがレイヤー３スイッチであり、前記サンプリング装置がサブネット毎に設けられていることを特徴とする請求項９又は１０記載のＭＡＣアドレスのサンプリング方法。
前記監視サーバーが前記各利用者端末の情報を前記ＭＡＣアドレスに関連づけて保持することを特徴とする請求項９〜１１のいずれかに記載のＭＡＣアドレスのサンプリング方法。