JP2009182603A - ネットワーク監視システム及びネットワーク監視プログラム - Google Patents

Abstract

【課題】ネットワークのセキュリティーを維持しつつ、その利便性を高める。
【解決手段】端末のネットワークＮへの接続を監視するネットワーク監視システムにおいて、端末Ｃから他の端末Ｃへのアクセス要求を監視する端末接続監視部１１と、正規端末に関する正規端末情報を取得し、正規端末情報に基づき、アクセス要求をしたアクセス要求端末が正規端末であるか否かを判定する端末判定部１２と、アクセス要求の対象であるアクセス対象端末が機密情報を保持しているか否かを判定する機密情報有無判定部１３と、端末判定部１２によりアクセス要求端末が正規端末ではないと判定され、且つ、機密情報有無判定部１３によりアクセス対象端末が機密情報を有すると判定された場合に、アクセスを規制する処理を行う制御部１４とを備えた。
【選択図】図２

Description

本発明は、端末のネットワークへの接続を監視するネットワーク監視技術に関し、特にネットワークのセキュリティーを向上させる技術に関する。

従来、端末のネットワークへの接続を監視して、ネットワークのセキュリティーを向上させる技術としては、例えば特許文献１に記載の不正接続防止装置が知られている。この不正接続防止装置は、ネットワークへの接続を許可された正規端末のＭＡＣアドレスを格納する承認リスト記憶部を備え、承認リストに登録されていない端末からのＡＲＰ要求に対して、アクセス対象となった正規端末からの正しいＡＲＰ応答パケット通信後に、ＭＡＣアドレスとして偽のＭＡＣアドレスを有する偽のＡＲＰ応答パケットを送信する。これにより、承認リスト記憶部に登録されていない端末の正規端末へのアクセスが遮断される。

このように、ネットワークに接続可能な端末のＭＡＣアドレスを承認リスト記憶部に記憶しておき、承認リストに記録されていない端末の正規端末へのアクセスを遮断することにより、外部の端末からのアクセスを有効に遮断して、ネットワークのセキュリティーを高めることができる。

特開２００５−７９７０６号公報（段落［０００８］、［００３８］〜［００４０］）

しかしながら、上述の不正接続防止装置では、承認リストに登録されていない端末からのアクセスを一律に遮断する。このため、認証リストに登録されていない端末からのアクセスであれば、本来はアクセスを認めても良い場合であってもアクセスを一律に認めないこととなり、ネットワークの利便性をより高めるためには改善の余地があった。

本発明は、上述の問題点に鑑みてなされたものであり、その目的は、ネットワークのセキュリティーを維持しつつ、その利便性を高めることにある。

上記課題を解決するために、端末のネットワークへの接続を監視するネットワーク監視システムにおいて、端末から他の端末へのアクセス要求を監視する端末接続監視部と、正規端末に関する正規端末情報を取得する正規端末情報取得部と、前記正規端末情報に基づき、前記アクセス要求をしたアクセス要求端末が正規端末であるか否かを判定する端末判定部と、前記アクセス要求の対象であるアクセス対象端末が機密情報を保持しているか否かを判定する機密情報有無判定部と、前記端末判定部により前記アクセス要求端末が正規端末ではないと判定され、且つ、前記機密情報有無判定部により前記アクセス対象端末が機密情報を有すると判定された場合に、アクセスを規制する処理を行う制御部とを備えた。

本構成によれば、アクセス要求端末が正規端末であるか否かを判定するとともに、アクセス対象端末が機密情報を保持しているか否かを判定し、アクセス要求端末が正規端末ではないと判定され、且つ、アクセス対象端末が機密情報を有すると判定された場合に、アクセスを規制する処理を行うことができる。つまり、アクセス要求端末が正規端末以外の端末であっても、アクセス対象端末が機密情報を保持していない場合には、アクセスの規制を行わないので、ネットワークの利便性を高めることができる。一方で、アクセス対象端末が機密情報を保持している場合には、アクセスの規制を行うので、ネットワークのセキュリティーを維持することができる。従って、ネットワークのセキュリティーを維持しつつ、その利便性を高めることができる。

制御部によるアクセスを規制する処理に関しては種々の形態が可能だが、本発明に係るネットワーク監視システムの好適な実施形態の一つでは、前記アクセス要求端末の前記アクセス対象端末に対するアクセスを遮断する処理を含む。なお、制御部によるアクセスを規制する処理は、例えばアクセス対象端末に対して警告を送信する処理や、管理端末に警告を送信する処理など、アクセスを遮断する処理以外の処理であってもよい。

アクセス要求端末のアクセス対象端末に対するアクセスを遮断することにより、アクセス対象端末が保持する機密情報が正規端末以外の端末に流出するのを防止することができ、ネットワークのセキュリティーをさらに高めることができる。

また、機密情報有無判定部による機密情報の有無の判定に関しては種々の形態が可能だが、本発明に係るネットワーク監視システムの好適な実施形態の一つでは、端末における操作に関する操作情報を保存する操作情報保存部を備え、前記機密情報有無判定部が、前記操作情報保存部に保存された操作情報に基づいて、前記アクセス対象端末が機密情報を有するか否かを判定する。

本構成により、操作情報保存部に保存された操作情報に基づき、当該端末が機密情報を有しているか否かを確実に判定することができる。

また、機密情報有無判定部による機密情報の有無の判定に関して、本発明に係るネットワーク監視システムの別の好適な実施形態の一つでは、端末における機密情報の保持状況を管理する機密情報保持状況管理部を備え、前記機密情報有無判定部が、機密情報保持状況管理部に管理された端末における機密情報の保持状況に基づいて、前記アクセス対象端末が機密情報を有するか否かを判定する。

本構成のように、端末における機密情報の保持状況を機密情報保持状況管理部により管理することにより、機密情報有無判定部による機密情報の有無の判定を迅速に行うことができる。

また、上記課題を解決するために、端末のネットワークへの接続を監視するネットワーク監視プログラムにおいて、端末から他の端末へのアクセス要求を監視する端末接続監視機能と、正規端末に関する正規端末情報を取得し、当該正規端末情報に基づき、前記アクセス要求をしたアクセス要求端末が正規端末であるか否かを判定する端末判定機能と、前記アクセス要求の対象であるアクセス対象端末が機密情報を保持しているか否かを判定する機密情報有無判定機能と、前記端末判定機能により前記アクセス要求端末が正規端末ではないと判定され、且つ、前記機密情報有無判定機能により前記アクセス対象端末が機密情報を有すると判定された場合に、アクセスを規制する処理を行う制御機能とをコンピュータに実現させる。このネットワーク監視プログラムについても、本発明に係るネットワーク監視システムと同様の作用効果を奏するものであり、上述した付加的構成を備えることもできる。

［第一実施形態］
以下、本発明に係るネットワーク監視システムの実施形態を図面に基づいて説明する。
図１は、本実施形態におけるネットワーク監視システムを備えたネットワークＮを示す図である。ネットワーク監視システムとしてのネットワーク監視サーバＳ（以下、単に「サーバＳ」とも称する）と、クライアント端末Ｃ（以下、単に「端末Ｃ」とも称する）とが、ネットワークＮを介して接続されている。このネットワークＮは、企業や学校等の限られた施設内において情報を物理的に送るケーブルと、ＬＡＮスイッチやハブ等でなる中継機器を備えたＣＳＭＡ／ＣＤ（Carrier Sense Multiple Access with Collision Detection）方式のイーサネット（Ethernet）（商標）型のＬＡＮとして構成されたものである。なお、このネットワークＮとしてイーサネット型のＬＡＮ以外に、インターネットの技術を用いたイントラネットで構築されたものや、ＷＡＮ（Wide Area Network）の技術によって構築されるものでも良い。

ネットワーク監視システムは、汎用コンピュータ１で構成されており、必要に応じてディスプレイ２、入力機器３（キーボード３ａ、マウス３ｂなど）を備えた構成とすることができる。また、クライアント端末Ｃは、コンピュータ本体４、ディスプレイ５、入力機器６（キーボード６ａ、マウス６ｂなど）等を備えて構成される。

図２は、本発明に係るネットワーク監視システムの第一実施形態を示す機能ブロック図である。図２に示すように、ネットワーク監視システムのコンピュータは、ソフトウエア又はハードウエア或いはその両方で、本発明に関係する機能として、端末Ｃから他の端末Ｃへのアクセス要求を監視する端末接続監視部１１、端末Ｃに関する情報を資産として管理する正規端末情報記憶部１６、アクセス要求をしたアクセス要求端末が正規端末であるか否かを判定する端末判定部１２、機密情報に関する情報を予め登録しておく機密情報登録部１７、アクセス要求の対象であるアクセス対象端末が機密情報を保持しているか否かを判定する機密情報有無判定部１３、アクセスを規制する処理を行う制御部１４、端末Ｃで生成された操作情報を取得して保存する操作情報保存部１８、及びネットワークＮに対するデータ伝送を行う受送信部としてのネットワークインターフェイス３０などを備えて構築されている。

端末接続監視部１１は、ネットワークＮ内の端末Ｃへの他の端末Ｃからのアクセス要求を常時監視しており、アクセス要求があると当該アクセス要求を取得する。アクセス要求には、アクセス要求をしたアクセス要求端末に関する端末識別情報、及び、アクセス対象であるアクセス対象端末の端末識別情報が含まれている。従って、端末接続監視部１１は、これらの端末識別情報からアクセス要求端末及びアクセス対象端末を特定することができる。ここで、端末識別情報は、端末のＩＰアドレス、ＭＡＣアドレス、端末名などの端末Ｃを識別可能な情報である。

また、正規端末情報記憶部１６は、端末Ｃに関する端末情報を資産情報として管理している。管理される端末情報には、少なくとも端末識別情報が含まれる。なお、正規端末情報記憶部１６において管理されている端末Ｃを正規端末と称し、正規端末に関する情報を正規端末情報と称する。管理する端末識別情報としては、ＩＰアドレス、ＭＡＣアドレス、端末名などのうちの複数であっても良く、何れか一つであってもよい。

なお、正規端末情報記憶部１６には正規端末情報を記憶する機能のみを持たせ、端末Ｃに関する端末情報を資産情報として管理する資産管理部を別途に設けてもよい。この場合、正規端末情報記憶部１６は、アクセス要求端末からのアクセス要求があった時点で、正規端末の端末識別情報を取得するように構成してもよい。また、資産管理部で管理する端末識別情報に変更があった場合に、自動的に正規端末情報記憶部１６に対して資産管理部が管理する端末識別情報が送信されるように構成してもよい。

端末判定部１２は、端末接続監視部１１から取得したアクセス要求端末の端末識別情報が、正規端末情報記憶部１６に記憶されているか否かを照会し、アクセス要求端末が正規端末であるか否かを判定する。

操作情報保存部１８は、端末Ｃにおけるユーザの操作に関する情報である操作情報を当該端末Ｃから取得して保存する。この操作情報は、例えば端末Ｃを識別する端末識別情報、当該端末Ｃのログインユーザを識別するユーザ識別情報、当該操作情報を生成した日時データ、ユーザによる操作の実行内容（以下、操作内容と称する。）などで構成されている。このように、操作情報には端末識別情報が含まれている。ここで、操作内容として、「保存」、「編集」や「削除」などの操作や、当該操作を行ったファイルの例えばファイル名などのファイル識別情報、アクセス操作したＷｅｂページ、起動操作したアプリケーション名などの操作対象が含まれている。

機密情報登録部１７には、操作情報から機密情報を検索する際の操作対象の識別情報が登録されている。例えば、操作対象の識別情報として、「顧客名簿」、「営業秘密」などのファイル名が登録されている。これらのファイル名は、例えばネットワークＮの管理者により、サーバＳのコンピュータに備えられた入力機器３を介して、予め登録されている。なお、以下においては操作対象の識別情報としてファイル名を例に説明するが、操作対象の識別情報は、ファイル名以外の識別情報であってもよくアプリケーション名やファイルを識別する管理番号など、操作対象を識別できるものであれば良い。

機密情報有無判定部１３は、操作情報保存部１８に保存された操作情報及び機密情報登録部１７に登録されたファイル名に基づいて、アクセス対象端末Ｃが機密情報を有しているか否かを判定する。機密情報有無判定部１３は、機密情報登録部１７に登録されたファイル名により、アクセス対象端末の端末識別情報を有する操作情報を検索し、操作対象の名称として当該ファイル名を有する操作情報を抽出する。例えば、上述のように、機密情報登録部１７にファイル名として「顧客名簿」、「営業秘密」が登録されている場合には、当該アクセス対象端末の操作情報のうちファイル名が「顧客名簿」若しくは「営業秘密」である操作情報を抽出する。ファイル名が「顧客名簿」若しくは「営業秘密」である操作情報が抽出されない場合には、機密情報有無判定部１３はアクセス対象端末が機密情報を保持していないと判定する。

一方、ファイル名が「顧客名簿」若しくは「営業秘密」である操作情報が抽出された場合には、機密情報有無判定部１３は、抽出された操作情報に含まれる操作に基づき、アクセス対象端末が、当該操作情報に関する機密情報を保持しているか否かを判定する。具体的には、操作が例えば「保存」などの機密情報の取得に関するものである場合には、アクセス対象端末がその操作情報に関する機密情報を保持していると判定する。操作が例えば「削除」などの機密情報の放棄に関するものである場合には、アクセス対象端末がその操作情報に関する機密情報を保持していないと判定する。同一の操作対象（ファイル名）に対する操作情報が複数抽出された場合には、操作情報に含まれる日時データに基づき、直近の操作情報により機密情報の保持の有無が判定される。なお、上述では、機密情報登録部１７に登録される操作対象の名称（ファイル名）と操作情報に含まれる操作対象の名称（ファイル名）とが一致した場合に機密情報であると判定される例を説明したが、完全に一致していなくても、機密情報登録部１７に登録された文字列が操作対象の名称（ファイル名）に含まれる場合に機密情報と判定してもよい。

制御部１４は、端末判定部１２によりアクセス要求端末が正規端末ではないと判定され、且つ、機密情報有無判定部１３によりアクセス対象端末が機密情報を有すると判定された場合に、アクセス要求に関して、アクセスを規制するべく予め設定された処理を行う。アクセスを規制する処理としては種々考えられるが、本実施形態では、制御部１４は、アクセス要求端末に対して、アクセスを遮断する処理を行う。アクセスを遮断する処理としては、アクセス要求端末に対して、アクセスを妨害するための妨害信号を送信する処理が挙げられる。また、例えばアクセス対象端末のＩＰアドレスやＭＡＣアドレスなどアクセスに必要な情報について、真の情報とは異なる偽装情報を送信する処理を行ってもよい。

次に、図３に基づいて、このネットワーク監視システムによるネットワーク監視の流れについて説明する。端末接続監視部１１は、ネットワークＮに存在する端末Ｃへの他の端末Ｃからのアクセス要求を常時監視している。他の端末ＣからネットワークＮに存在する端末Ｃへのアクセス要求があると、端末接続監視部１１は、当該アクセス要求を取得する（♯０１）。端末接続監視部１１は、アクセス要求を取得すると、当該アクセス要求に含まれるアクセス要求端末の端末識別情報及びアクセス対象端末の端末識別情報を取得する（♯０２）。

端末接続監視部１１が取得した端末識別情報のうちアクセス要求端末の端末識別情報は、端末判定部１２に送信される。一方、アクセス対象端末の端末識別情報は、機密情報有無判定部１３に送信される。端末判定部１２は、アクセス要求端末の端末識別情報を取得し、その端末識別情報が正規端末情報記憶部１６に記憶されているか否かを照会する（♯０３）。

取得した端末識別情報が正規端末情報記憶部１６に記憶されていた場合、アクセス要求端末が正規端末であると判定される。アクセス要求端末が正規端末であると判定された場合（♯０３のＮｏ分岐）には、アクセスを規制する処理は行われず、アクセス要求端末のアクセス対象端末へのアクセスが許可される。

一方、取得した端末識別情報が正規端末情報記憶部１６に記憶されていない場合、アクセス要求端末が正規端末ではないと判定される。アクセス要求端末が、正規端末ではないと判定された場合（♯０３のＹｅｓ分岐）には、機密情報有無判定部１３は、アクセス対象端末が機密情報を有しているか否かを判定する（♯０４）。機密情報有無判定部１３は、端末接続監視部１１から取得したアクセス対象端末の端末識別情報及び、機密情報登録部１７に登録されている操作対象名（ファイル名）に基づき、アクセス対象端末が機密情報を保持しているか否かを判定する。

アクセス対象端末が機密情報を保持していないと判定された場合（♯０４のＮｏ分岐）には、アクセスを規制する処理は行われず、アクセス要求端末のアクセス対象端末へのアクセスが許可される。一方、アクセス対象端末が機密情報を保持していると判定された場合（♯０４のＹｅｓ分岐）には、制御部１４は、アクセス要求端末に対して、アクセスを妨害するための妨害信号を送信する。これによりアクセス要求端末のアクセス対象端末に対するアクセスが遮断される（♯０５）。

なお、端末判定部１２によるアクセス要求端末が正規端末であるか否かの判定（♯０３）と、機密情報有無判定部１３によるアクセス対象端末が機密情報を有しているか否かの判定（♯０４）は、必ずしもこの順序で行う必要はない。機密情報有無判定部１３による判定を先に行ってもよく、同時並行的に行っても良い。最終的に、端末判定部１２によりアクセス要求端末が正規端末ではないと判定され、且つ、機密情報有無判定部１３によりアクセス対象端末が機密情報を有すると判定された場合に、アクセスを規制する処理が行われればよい。

上述のように、このネットワーク監視システムにおいて、アクセス要求端末が正規端末以外の端末であっても、アクセス対象端末が機密情報を保持していない場合には、アクセスの規制を行わないので、ネットワークの利便性を高めることができる。一方で、アクセス対象端末が機密情報を保持している場合には、正規端末以外の端末のアクセスを遮断するので、ネットワークのセキュリティーを維持することができる。従って、ネットワークのセキュリティーを維持しつつ、その利便性を高めることができる。

［第二実施形態］
本発明のネットワーク監視システムは、特に限定はされないが、他の端末Ｃへの接続にＡＲＰ要求を用いるネットワークＮの監視に適用することができる。

先ず、ＡＲＰ要求を用いた端末Ｃへの接続の概要について説明する。ネットワークＮをＣＳＭＡ／ＣＤ（Carrier Sense Multiple Access with Collision Detection）方式のイーサネット（Ethernet）（商標）型のＬＡＮとして構成した場合、アクセス要求端末がアクセス対象端末にアクセスする際、アクセス対象端末のＩＰアドレス及び、ＭＡＣアドレスが必要となる。そこで、アクセス要求端末は、ＡＲＰ要求によりアクセス対象端末のＩＰアドレスからＭＡＣアドレスを取得してアクセス対象端末にアクセスする。

ＡＲＰ要求には、送信元の端末識別情報として、アクセス要求端末のＩＰアドレス及びＭＡＣアドレスが含まれる。また、送信先の端末識別情報として、アクセス対象端末のＩＰアドレスが含まれる。アクセス要求端末は、アクセス対象端末に対してアクセス要求をする際、当該ＡＲＰ要求をネットワークＮに送信する。

端末Ｃは、ネットワークＮに送信されたＡＲＰ要求を受信し、送信先の端末識別情報に自身のＩＰアドレスを含むＡＲＰ要求を受信したアクセス対象端末は、ネットワークＮに対してＡＲＰ応答を送信する。ＡＲＰ応答には、送信元の端末識別情報として、アクセス対象端末のＩＰアドレス及びＭＡＣアドレスが含まれる。また、送信先の端末識別情報として、アクセス要求端末のＩＰアドレス及びＭＡＣアドレスが含まれる。なお、アクセス対象端末以外の端末Ｃ若しくはサーバＳが、アクセス対象端末のＩＰアドレス及びＭＡＣアドレスを含むＡＲＰ応答を送信するように構成してもよい。

送信先の端末識別情報に自身のＩＰアドレスを含むＡＲＰ応答を受信したアクセス要求端末は、アクセス対象端末のＩＰアドレス及びＭＡＣアドレスを取得する。このように、アクセス要求端末は、アクセス対象端末のＩＰアドレスを指定したＡＲＰ要求により、アクセス対象端末のＭＡＣアドレスを取得する。アクセス要求端末は、取得したアクセス対象端末のＩＰアドレス及びＭＡＣアドレスを自身のメモリーに一時的に記憶する。アクセス要求端末は、ＩＰアドレス及びＭＡＣアドレスを記憶している間は、記憶しているＩＰアドレス及びＭＡＣアドレスを用いることで、ＡＲＰ要求を送信することなくアクセス対象端末と通信を行うことができる。

つまり、ＩＰアドレス：ｉｐ１、ＭＡＣアドレス：ｍａｃ１の端末Ｃ（アクセス要求端末）が、ＩＰアドレス：ｉｐ２、ＭＡＣアドレス：ｍａｃ２の端末Ｃ（アクセス対象端末）にアクセス要求をする際、アクセス要求端末は、送信元の端末識別情報として（ｉｐ１，ｍａｃ１）を、送信先の端末識別情報として（ｉｐ２）を含むＡＲＰ要求を送信する。

送信先の端末識別情報として自身のＩＰアドレス：ｉｐ２を含むＡＲＰ要求を受信したアクセス対象端末は、送信元の端末識別情報として（ｉｐ２，ｍａｃ２）を、送信先の端末識別情報として（ｉｐ１，ｍａｃ１）を含むＡＲＰ応答を送信する。アクセス要求端末は、当該ＡＲＰ応答を受信して、ＡＲＰ応答中に送信元の端末識別情報として含まれるアクセス対象端末のＩＰアドレス：ｉｐ２及びＭＡＣアドレス：ｍａｃ２を取得し、自身のメモリーに記憶する。これにより、アクセス要求端末は、アクセス対象端末との通信が可能になる。

以下、本発明のネットワーク監視システムの第二実施形態について説明する。なお、このネットワーク監視システムは、上述の実施形態に係るネットワーク監視システムと同様の構成を有しており、ＡＲＰ要求・ＡＲＰ応答に関する機能のみが異なる。従って、図２を参照して、上述の実施形態との相違点について説明する。

端末接続監視部１１は、上述のＡＲＰ要求及びＡＲＰ応答を常時監視しており、ＡＲＰ要求があると当該ＡＲＰ要求を取得し、当該ＡＲＰ要求に含まれる送信元のＩＰアドレス及びＭＡＣアドレスからアクセス要求端末を、送信先のＩＰアドレスからアクセス対象端末をそれぞれ特定する。

正規端末情報記憶部１６は、正規端末情報として、正規端末のＩＰアドレス及びＭＡＣアドレスのうちの少なくとも何れか一方を取得し記憶する。

端末判定部１２は、端末接続監視部１１から取得したアクセス要求端末のＩＰアドレスやＭＡＣアドレスが、正規端末情報記憶部１６に記憶されているか否かを照会し、アクセス要求端末が正規端末であるか否かを判定する。

本実施形態では操作情報にはＩＰアドレスやＭＡＣアドレス等の端末識別情報が含まれており、従って、操作情報保存部１８には、操作情報が端末毎に関連付けられて保存されている。機密情報有無判定部１３は、アクセス対象端末のＩＰアドレスを含む操作情報を検索し、アクセス対象端末に機密情報が保持されているか否かを判定する。

制御部１４は、端末判定部１２によりアクセス要求端末が正規端末ではないと判定され、且つ、機密情報有無判定部１３によりアクセス対象端末が機密情報を有すると判定された場合に、アクセス要求端末に対して偽のＡＲＰ応答を送信する。具体的には、アクセス対象端末が送信したＡＲＰ応答のうち、送信元のＭＡＣアドレスを実在しない端末ＣのＭＡＣアドレスに書き換えたＡＲＰ応答を送信する。実在しない端末のＭＡＣアドレスとして、正規端末情報記憶部１６に管理されていないＭＡＣアドレス、擬装用として予め用意されているＭＡＣアドレスなどが挙げられる。また、アクセス対象端末のＭＡＣアドレスをアクセス要求端末自身のＭＡＣアドレスに書き換えてもよい。なお、端末Ｃに制御部を備え、アクセス対象端末、若しくはその他の端末Ｃが偽のＡＲＰ応答を送信するように構成しても良い。

次に、図３に基づいて、このネットワーク監視システムによるネットワーク監視の流れについて説明する。なお、ここでは、上述と同様に、ＩＰアドレス：ｉｐ１、ＭＡＣアドレス：ｍａｃ１の端末Ｃ（アクセス要求端末）が、ＩＰアドレス：ｉｐ２、ＭＡＣアドレス：ｍａｃ２の端末Ｃ（アクセス対象端末）にアクセスする場合を例に説明する。端末接続監視部１１は、ＡＲＰ要求及びＡＲＰ応答を常時監視している。アクセス要求端末からのＡＲＰ要求があると、端末接続監視部１１は、当該ＡＲＰ要求を取得する（♯０１）。端末接続監視部１１は、ＡＲＰ要求を取得すると、当該ＡＲＰ要求に含まれるアクセス要求端末のＩＰアドレス：ｉｐ１及びＭＡＣアドレス：ｍａｃ１とアクセス対象端末のＩＰアドレス：ｉｐ２とを取得する（♯０２）。

端末接続監視部１１が取得したＩＰアドレス及びＭＡＣアドレスのうちアクセス要求端末のＩＰアドレス：ｉｐ１及びＭＡＣアドレスｍａｃ１は、端末判定部１２に送信される。一方、アクセス対象端末のＩＰアドレスｉｐ２は、機密情報有無判定部１３に送信される。端末判定部１２は、アクセス要求端末のＩＰアドレス：ｉｐ１及びＭＡＣアドレス：ｍａｃ１を取得し、これらＩＰアドレス：ｉｐ１やＭＡＣアドレス：ｍａｃ１が正規端末情報記憶部１６に記憶されているか否かを照会する（♯０３）。

ＩＰアドレス：ｉｐ１やＭＡＣアドレス：ｍａｃ１が正規端末情報記憶部１６に記憶されている場合、アクセス要求端末が正規端末であると判定される。アクセス要求端末が正規端末であると判定された場合（♯０３のＮｏ分岐）には、アクセスを規制する処理は行われず、アクセス要求端末はアクセス対象端末からのＡＲＰ応答に基づき、アクセス対象端末へアクセスすることができる。

一方、ＩＰアドレス：ｉｐ１及びＭＡＣアドレス：ｍａｃ１が正規端末情報記憶部１６に記憶されていない場合、アクセス要求端末が正規端末ではないと判定される。アクセス要求端末が、正規端末ではないと判定された場合（♯０３のＹｅｓ分岐）には、機密情報有無判定部１３は、アクセス対象端末が機密情報を有しているか否かを判定する（♯０４）。機密情報有無判定部１３は、端末接続監視部１１から取得したアクセス対象端末のＩＰアドレスｉｐ１及び、機密情報登録部１７に登録されているファイル名に基づき、アクセス対象端末が機密情報を有しているか否かを判定する。

アクセス対象端末が機密情報を保持していないと判定された場合（♯０４のＮｏ分岐）には、アクセスを規制する処理は行われず、アクセス要求端末はアクセス対象端末からのＡＲＰ応答に基づき、アクセス対象端末へアクセスすることができる。一方、アクセス対象端末が機密情報を保持していると判定された場合（♯０４のＹｅｓ分岐）には、制御部１４は、端末接続監視部１１が受信したアクセス対象端末からのＡＲＰ応答のうち、送信元の端末識別情報を実際には存在しないものに書き換えてネットワークＮに送信する。具体的には、送信元の端末識別情報（ｉｐ２，ｍａｃ２）のうちＭＡＣアドレスを実在しない端末のＭＡＣアドレスｍａｃｘに書き換え、送信元の端末識別情報（ｉｐ２，ｍａｃｘ）及び送信先の端末識別情報（ｉｐ１，ｍａｃ１）を含む偽のＡＲＰ応答を送信する。アクセス要求端末は、この偽のＡＲＰ応答を受信し、偽のＡＲＰ応答に含まれる送信元の端末識別情報（ｉｐ２，ｍａｃｘ）を自身のメモリーに記憶する。これにより、アクセス要求端末のアクセス対象端末へのアクセスが遮断される（♯０５）。

［第三実施形態］
図４は、本発明に係るネットワーク監視システムの第三実施形態を示す機能ブロック図である。このネットワーク監視システムは、端末Ｃにおける機密情報の保持状況を管理する機密情報保持状況管理部２０を備え、機密情報保持状況管理部２０が各端末Ｃの機密情報の保持状況を常時管理している。以下、第一実施形態のネットワーク監視システムとの相違点について説明する。

機密情報保持状況管理部２０には、その時点で機密情報を保持している端末Ｃに関する情報が管理されている。具体的には、機密情報を保持している端末Ｃの端末識別情報と、当該機密情報の名称とが関連付けられて管理されている。端末Ｃが機密情報を保持しているか否かは、例えば、機密情報である操作対象の保存・削除など、ユーザによる端末Ｃの操作により変化する。従って、機密情報保持状況管理部２０において管理される機密情報の保持状況は、ユーザによる機密情報である操作対象に対する操作の都度、更新される。

機密情報保持状況管理部２０は、操作情報取得部１９を介して端末Ｃが生成した操作情報を取得する都度、当該操作情報に含まれる端末識別情報、及び操作内容に基づいて、管理している端末識別情報および当該端末識別情報に関連付けられて管理されている機密情報のファイル識別情報（ファイル名）を更新する。

具体的には、機密情報に関する操作情報に含まれる操作が例えば「保存」などの機密情報の取得に関するものの場合、当該操作情報に含まれる端末識別情報と関連付けて機密情報のファイル識別情報（ファイル名）が機密情報保持状況管理部２０に追加される。一方、操作が例えば「削除」などの機密情報の放棄に関するものである場合には、機密情報のファイル識別情報（ファイル名）が、機密情報保持状況管理部２０から削除される。また、操作が例えば「編集」などの機密情報の維持に関するものである場合には、機密情報保持状況管理部２０に当該操作情報に含まれる端末識別情報と関連付けて管理されている機密情報のファイル識別情報（ファイル名）の管理が維持される。なお、操作情報が機密情報に関するものか否かの判定は、第一実施形態と同様に、機密情報登録部１７に登録された内容に基づいて行うことができる。

機密情報有無判定部１３は、機密情報保持状況管理部２０に管理されている端末Ｃの機密情報の保持状況に基づいてアクセス対象端末Ｃが機密情報を有しているか否かを判定する。具体的には、機密情報有無判定部１３は、取得したアクセス対象端末の端末識別情報が、機密情報を有する端末Ｃに係る端末識別情報として、機密情報保持状況管理部２０に管理されているか否かを照会する。当該端末識別情報が機密情報保持状況管理部２０に管理されている場合には、アクセス対象端末が機密情報を保持していると判定する。一方、当該端末識別情報が機密情報保持状況管理部２０に管理されていない場合には、アクセス対象端末が機密情報を保持していないと判定する。

この実施形態では、端末Ｃにおける機密情報の保持状況を機密情報保持状況管理部２０により管理しているので、機密情報有無判定部１３による機密情報の有無の判定を迅速に行うことができる。

上述の実施例では、サーバＳに機密情報保持状況管理部２０を備える例について説明したが、各端末Ｃに機密情報保持状況管理部２０を備え、端末Ｃ毎に自身の機密情報の保持状況を管理するように構成してもよい。

なお、その他の各部の機能・構成、及び処理の流れについては、上述の第一実施形態と同様であるのでここでは説明を省略する。

［第四実施形態］
上述の実施形態においては、ネットワーク監視システムの各機能がサーバＳに備えられた例について説明したが、これらの機能をサーバＳと端末Ｃとに分散しサーバＳと端末Ｃとでネットワーク監視システムを構成してもよい。図５はネットワーク監視システムをサーバＳと端末Ｃとで構成した例を示す機能ブロック図である。なお図５に示す端末管理装置の各機能を完全に端末Ｃに設けて、端末Ｃ単体で処理を行うように構成してもよい。

図５に示すようにサーバＳのコンピュータには、ソフトウエア又はハードウエア或いはその両方で、本発明に関係する機能として、端末Ｃに関する情報を資産として管理する資産管理部１５、機密情報に関する情報を予め登録しておく機密情報登録部１７、及びネットワークＮに対するデータ伝送を行う受送信部としてのネットワークインターフェイス３０などを備えて構築されている。なお、各部の機能については、上述の第一実施形態と同様であるので、詳細の説明は省略する。

一方、端末Ｃのコンピュータには、ソフトウエア又はハードウエア或いはその両方で、本発明に関係する機能として、他の端末Ｃからのアクセス要求を監視する端末接続監視部１１、正規端末に関する正規端末情報を記憶する正規端末情報記憶部１６、正規端末情報に基づきアクセス要求をしたアクセス要求端末が正規端末であるか否かを判定する端末判定部１２、自身が機密情報を保持しているか否かを判定する機密情報有無判定部１３、アクセス要求に対して所定の処理を行う制御部１４、及びネットワークＮに対するデータ伝送を行う受送信部としてのネットワークインターフェイス３１などを備えて構築されている。

このうち、正規端末情報記憶部１６は、ネットワークインターフェイス３１を介して、正規端末情報として、資産管理部１５から、正規端末の端末識別情報を定期的に取得し記憶している。記憶する端末識別情報としては、ＩＰアドレス、ＭＡＣアドレス、端末名などのうちの複数であっても良く、何れか一つであってもよい。なお、正規端末情報記憶部１６は、アクセス要求端末からのアクセス要求があった時点で、正規端末の端末識別情報を取得するように構成してもよい。また、資産管理部１５で管理する端末識別情報に変更があった場合に、自動的にサーバＳから正規端末情報記憶部１６に対して資産管理部１５が管理する端末識別情報が送信されるように構成してもよい。

機密情報記憶部２１は、ネットワークインターフェイス３１を介して、機密情報登録部１７から、機密情報を検索する際の操作対象の名称としてファイル名を定期的に取得し記憶する。なお、機密情報記憶部２１は、アクセス要求端末からのアクセス要求があった時点で、ファイル名を取得するように構成してもよい。また、機密情報登録部１７に登録されファイル名に変更があった場合に、自動的にサーバＳから機密情報記憶部２１に対してファイル名が送信されるように構成してもよい。

機密情報有無判定部１３は、機密情報記憶部２１に記憶されたファイル名に基づき、当該端末Ｃのハードディスク内を検索して、当該ファイル名を有するファイルが保存されているか否かを判定する。これらのファイル名を有するファイルが保存されていた場合には、当該端末Ｃが機密情報を保持していると判定し、これらのファイル名を有するファイルが保存されていない場合には、当該端末Ｃが機密情報を保持していないと判定する。なお、ファイル名で検索するのではなく、キーワードに基づいてファイル内の文字列で検索を行ってもよい。また、ファイル名及びファイル内の文字列の両方で検索を行ってもよい。また、端末Ｃが操作情報保存部１８を備えて、第１及び第２実施例と同様に操作情報に基づいて機密情報の有無を判定しても良い。

なお、その他の各部の機能・構成、及び処理の流れについては、上述の第一実施形態と同様であるので、ここでは説明を省略する。

［別実施形態］
（１）上述の第３及び第４実施形態においても、制御部が偽のＡＲＰ要求を送信することにより、アクセス要求端末のアクセス対象端末へのアクセスを遮断するように構成することができる。

（２）上述の実施形態では、機密情報有無判定部１３が、機密情報登録部１７に登録されたファイル名等の操作対象の名称に基づいて、機密情報の有無を判定する例を説明したが、例えば、アクセス対象端末に、ファイルサーバ又は他の端末Ｃから取得したファイルが保存されている場合には、機密情報を保持していると判定するなど、上述以外の構成であってもよい。

（３）上述の実施形態では、端末判定部１２が、正規端末情報記憶部１６、若しくは、資産管理部１５に管理された端末識別情報に基づいて、アクセス要求端末が正規端末か否かを判定する例を説明したが、端末判定部１２による判定は上述の実施形態に限られるものではない。例えば、正規端末情報記憶部１６、若しくは、資産管理部１５に端末識別情報と関連付けて管理されているソフトウエアのうち所定のソフトウエアがインストールされている端末Ｃは正規端末であると判定してもよい。この場合、所定のソフトウエアとして、例えばこの端末監視システムに関するソフトウエアなど、全ての正規端末にインストールされているソフトウエアを選択するとよい。

また、端末判定部１２が操作情報保存部１８を検索して、アクセス要求端末の端末識別情報を含む操作情報が保存されている場合には、アクセス要求端末が正規端末であると判定し、アクセス要求端末の端末識別情報を含む操作情報が保存されていない場合には、正規端末ではないと判定してもよい。

（４）上述の実施形態では、制御部１４によるアクセスを規制する処理として、アクセスを遮断する例について説明したが、制御部１４によるアクセスを規制する処理としては、例えば管理者端末やアクセス対象端末に対して、正規端末以外の端末がアクセスしようとしている旨の警告を送信する処理など、アクセスの遮断以外の処理であってもよい。また、警告を送信する処理とアクセスを遮断する処理とを両方とも実行するように構成してもよい。

本発明に係るネットワーク監視システムを備えたネットワークを示す図 本発明に係るネットワーク監視システムの第一実施形態を示す機能ブロック図 ネットワーク監視処理の流れを示すフローチャート 第三実施形態におけるネットワーク監視システムの機能ブロック図 第四実施形態におけるネットワーク監視システムの機能ブロック図

符号の説明

１１ 端末接続監視部
１２ 端末判定部
１３ 機密情報有無判定部
１４ 制御部
１８ 操作情報保存部
２０ 機密情報保持状況管理部
Ｃ 端末
Ｓ サーバ

Claims (5)

1. 端末のネットワークへの接続を監視するネットワーク監視システムにおいて、
   端末から他の端末へのアクセス要求を監視する端末接続監視部と、
   正規端末に関する正規端末情報を取得し、当該正規端末情報に基づき、前記アクセス要求をしたアクセス要求端末が正規端末であるか否かを判定する端末判定部と、
   前記アクセス要求の対象であるアクセス対象端末が機密情報を保持しているか否かを判定する機密情報有無判定部と、
   前記端末判定部により前記アクセス要求端末が正規端末ではないと判定され、且つ、前記機密情報有無判定部により前記アクセス対象端末が機密情報を有すると判定された場合に、アクセスを規制する処理を行う制御部とを備えたネットワーク監視システム。
2. 前記制御部によるアクセスを規制する処理が、前記アクセス要求端末の前記アクセス対象端末に対するアクセスを遮断する処理を含む請求項１に記載のネットワーク管理システム。
3. 端末における操作に関する操作情報を保存する操作情報保存部を備え、
   前記機密情報有無判定部が、前記操作情報保存部に保存された操作情報に基づいて、前記アクセス対象端末が機密情報を有するか否かを判定する請求項１又は２に記載のネットワーク監視システム。
4. 端末における機密情報の保持状況を管理する機密情報保持状況管理部を備え、
   前記機密情報有無判定部が、機密情報保持状況管理部に管理された端末における機密情報の保持状況に基づいて、前記アクセス対象端末が機密情報を有するか否かを判定する請求項１又は２に記載のネットワーク監視システム。
5. 端末のネットワークへの接続を監視するネットワーク監視プログラムにおいて、
   端末から他の端末へのアクセス要求を監視する端末接続監視機能と、
   正規端末に関する正規端末情報を取得し、当該正規端末情報に基づき、前記アクセス要求をしたアクセス要求端末が正規端末であるか否かを判定する端末判定機能と、
   前記アクセス要求の対象であるアクセス対象端末が機密情報を保持しているか否かを判定する機密情報有無判定機能と、
   前記端末判定機能により前記アクセス要求端末が正規端末ではないと判定され、且つ、前記機密情報有無判定機能により前記アクセス対象端末が機密情報を有すると判定された場合に、アクセスを規制する処理を行う制御機能とをコンピュータに実現させるネットワーク監視プログラム。

Images