JP2009194433A - ネットワーク監視システム、および、ネットワーク監視方法 - Google Patents

Abstract

【課題】物理アドレスを短時間で検出して不正な接続を迅速に検出することができ、端末のネットワーク接続時間が短い等の場合でも、ネットワーク機器のテーブルから削除される前に物理アドレスを取得でき、物理アドレスの検出漏れを防ぐことができる、ネットワーク監視システム、および、ネットワーク監視方法を提供することを課題とする。
【解決手段】本発明は、ネットワーク監視システムにおいて、ネットワーク機器は、データを中継する場合に、物理アドレス情報とネットワークアドレス情報とを対応付けたテーブルを作成し、接続情報取得装置は、送信元端末装置から送信されたＤＮＳ要求を取得し、ＤＮＳ要求を解析して送信元のネットワークアドレス情報を取得し、所定のネットワークプロトコルを用いて、対応するネットワーク機器のテーブルに照会し、ネットワークアドレス情報に対応付けられた物理アドレス情報を取得することを特徴とする。
【選択図】 図１

Description

本発明は、ネットワーク監視システム、および、ネットワーク監視方法に関する。

従来、社内ローカルネットワーク等のネットワーク内に、どのようなデバイスが接続されているか（例えば、不正なＰＣが接続されていないか）を把握することは、セキュリティ対策として必要とされている。デバイス数が少ない場合は、システム管理者が手動でチェックして把握することもできるが、企業規模が大きくなる等に従い、デバイスの増減が頻繁に発生するようになると、手動で実施することは現実的ではなくなるため、何らかの自動化できる仕組みが必要となる。

デバイス判定の自動化において、現在最も一般的な方法はＭＡＣアドレスを利用する方法であり、ＭＡＣアドレスを利用した種々のデバイス判定方法が開発されている。例えば、非特許文献１および２に記載の方法は、ネットワーク内に監視サーバを設置し、監視用の通信プロトコルであるＳＮＭＰ（Ｓｉｍｐｌｅ Ｎｅｔｗｏｒｋ Ｍａｎａｇｅｍｅｎｔ Ｐｒｏｔｏｃｏｌ）を用いて、定期的にネットワーク内のスイッチングハブを監視してＭＡＣアドレスを取得する方法である。

また、特許文献１に記載の装置は、ネットワークをスキャンしてネットワーク機器を検出し、ネットワーク機器のＭＡＣアドレス等の物理アドレスを取得し、インターネット上の詳細情報データベースから物理アドレスを検索して詳細情報を取得する装置である。

また、特許文献２に記載の方法は、ネットワーク上に送出された通信データから、ネットワーク識別子を抽出し、ネットワーク識別子で特定したネットワークデバイスに格納されたＭＡＣアドレス等の個体識別情報を取得し、個体識別情報に基づいてネットワークデバイスが監視対象であるか否かを判断し、監視対象である場合に当該ネットワークデバイスから管理情報を取得する方法である。

特開２００７−１９９８２０号公報 特開２００７−２９９３６８号公報 富士通株式会社、"Ｓｙｓｔｅｍｗａｌｋｅｒ Ｄｅｓｋｔｏｐ Ｍｏｎｉｔｏｒ 機能"、［ｏｎｌｉｎｅ］、掲載日不明、富士通株式会社、［平成２０年１月２３日検索］、インターネット＜ＵＲＬ：ｈｔｔｐ：／／ｓｙｓｔｅｍｗａｌｋｅｒ．ｆｕｊｉｔｓｕ．ｃｏｍ／ｊｐ／ｄｅｓｋｔｏｐ＿ｍｏｎｉｔｏｒ／ｆｕｎｃｔｉｏｎ／＞ 株式会社日立製作所、"製品：不正持込みＰＣ監視＆強制排除システム ＮＸ ＮｅｔＭｏｎｉｔｏｒ"、［ｏｎｌｉｎｅ］、掲載日不明、株式会社日立製作所、［平成２０年１月２３日検索］、インターネット＜ＵＲＬ：ｈｔｔｐ：／／ｗｗｗ．ｈｉｔａｃｈｉ．ｃｏ．ｊｐ／Ｄｉｖ／ｏｍｉｋａ／ｐｒｄｃｔｓ／ｎｅｔｍｏｎｉｔｏｒ／ｎｅｔｍｏｎｉｔｏｒ＿１．ｈｔｍ＞

しかしながら、従来のＭＡＣアドレス等を利用したデバイス判定方法においては、定期的にポーリングをする方式のためＭＡＣアドレスの検出まで時間がかかる場合があり、特に、この傾向はネットワークの規模が大きくなるほど顕著になるという問題があった。

また、ＭＡＣアドレスをタイミングによっては検出できない場合があり、例えば、ＳＮＭＰ等を用いたＭＡＣアドレスの取得の場合、内部的には取得した時点でルータのＡＲＰテーブルに載っているＭＡＣアドレスを取得するため、短時間のネットワーク接続の場合や無通信期間が一定時間を超えた場合等にＭＡＣアドレスを取得しようとしたときには、ＡＲＰテーブルから削除されてしまい検出できないという問題がある。

本発明は、上記に鑑みてなされたもので、物理アドレスを短時間で検出して不正な接続を迅速に検出することができ、端末のネットワーク接続時間が短い等の場合でも、ネットワーク機器のＡＲＰテーブル等から削除される前に物理アドレスを取得でき、物理アドレスの検出漏れを防ぐことができる、ネットワーク監視システム、および、ネットワーク監視方法を提供することを目的とする。

このような目的を達成するため、請求項１に記載のネットワーク監視システムは、記憶部と制御部を少なくとも備えネットワークに接続された少なくとも端末装置間の通信を中継するネットワーク機器と、記憶部と制御部を少なくとも備え上記ネットワークに接続された接続情報取得装置と、を備えたネットワーク監視システムであって、上記ネットワーク機器の上記制御部は、送信されるデータを中継する場合に、当該データに格納された、上記通信の送信元端末装置に固有の物理アドレス情報と、上記ネットワークに接続された上記送信元端末装置に一意に割り当てられたネットワークアドレス情報と、を対応付けたテーブルを作成し、上記記憶部に格納するテーブル作成格納手段、を備え、上記接続情報取得装置の上記制御部は、上記送信元端末装置から送信されたＤＮＳ要求を取得するＤＮＳ要求取得手段と、上記ＤＮＳ要求が取得された場合に、上記ＤＮＳ要求を解析して送信元の上記ネットワークアドレス情報を取得するネットワークアドレス情報取得手段と、取得された上記ネットワークアドレス情報に基づいて、所定のネットワークプロトコルを用いて、対応する上記ネットワーク機器の上記テーブルに照会し、当該ネットワークアドレス情報に対応付けられた上記物理アドレス情報を取得する物理アドレス情報取得手段と、を備え、上記ＤＮＳ要求の送信を契機として上記ネットワークに接続された上記送信元端末装置の上記物理アドレスを特定することを特徴とする。

また、請求項２に記載のネットワーク監視システムは、記憶部と制御部を少なくとも備えネットワークに接続された少なくとも端末装置間の通信を中継するネットワーク機器と、記憶部と制御部を少なくとも備え上記ネットワークに接続された接続情報取得装置と、を備えたネットワーク監視システムであって、上記接続情報取得装置の上記制御部は、上記通信の送信元端末装置から送信されたＤＮＳ要求を取得するＤＮＳ要求取得手段と、上記ＤＮＳ要求が取得された場合に、上記ＤＮＳ要求を解析して送信元の上記ネットワークアドレス情報を取得するネットワークアドレス情報取得手段と、取得された上記ネットワークアドレス情報に基づいて、上記送信元端末装置に固有の物理アドレス情報を送信するよう上記送信元端末装置を制御する物理アドレス要求を送信することにより、上記物理アドレス情報を取得する物理アドレス情報取得手段と、を備え、上記ＤＮＳ要求の送信を契機として上記ネットワークに接続された上記送信元端末装置の上記物理アドレスを特定することを特徴とする。

また、請求項３に記載のネットワーク監視システムは、請求項１または２に記載のネットワーク監視システムにおいて、上記接続情報取得装置は、ＤＮＳサーバ装置であること、を特徴とする。

また、請求項４に記載のネットワーク監視システムは、請求項１または２に記載のネットワーク監視システムにおいて、ＤＮＳサーバ装置が上記ネットワークに更に接続されており、上記ＤＮＳ要求取得手段は、上記ＤＮＳサーバ装置に送信された上記ＤＮＳ要求をミラーリングによりキャプチャすること、または、上記ＤＮＳサーバ装置が受信した上記ＤＮＳ要求のログを取得すること、を特徴とする。

また、請求項５に記載のネットワーク監視システムは、請求項１に記載のネットワーク監視システムにおいて、上記物理アドレス情報取得手段は、上記所定のネットワークプロトコルとして、ＳＮＭＰ、ｔｅｌｎｅｔ、または、ＮＥＴＣＯＮＦを用いること、を特徴とする。

また、請求項６に記載のネットワーク監視システムは、請求項１または２に記載のネットワーク監視システムにおいて、上記接続情報取得装置の上記制御部は、取得された上記ネットワークアドレス情報と上記物理アドレス情報とにより特定される上記送信元端末装置の認証判定を行う認証判定手段、を更に備えたことを特徴とする。

また、請求項７に記載のネットワーク監視システムは、請求項６に記載のネットワーク監視システムにおいて、上記認証判定手段は、上記ネットワークアドレス情報および／または上記物理アドレス情報に基づいて、上記送信元端末装置に対しポート監視を行うことにより上記送信元端末装置にインストールされたアプリケーションを判定して、認証を行うこと、を特徴とする。

また、請求項８に記載のネットワーク監視システムは、請求項６に記載のネットワーク監視システムにおいて、上記接続情報取得装置の上記制御部は、上記認証判定手段により認証されなかった場合に、対応する上記ネットワーク機器に対し、当該送信元端末装置に対する中継を行わないよう指示する通信遮断指示手段、を更に備えたことを特徴とする。

また、請求項９に記載のネットワーク監視方法は、記憶部と制御部を少なくとも備えネットワークに接続された少なくとも端末装置間の通信を中継するネットワーク機器と、記憶部と制御部を少なくとも備え上記ネットワークに接続された接続情報取得装置と、を備えたネットワーク監視システムにおいて実行されるネットワーク管理方法であって、上記ネットワーク機器の上記制御部において実行される、送信されるデータを中継する場合に、当該データに格納された、上記通信の送信元端末装置に固有の物理アドレス情報と、上記ネットワークに接続された上記送信元端末装置に一意に割り当てられたネットワークアドレス情報と、を対応付けたテーブルを作成し、上記記憶部に格納するテーブル作成格納ステップと、上記接続情報取得装置の上記制御部において実行される、上記送信元端末装置から送信されたＤＮＳ要求を取得するＤＮＳ要求取得ステップと、上記接続情報取得装置の上記制御部において実行される、上記ＤＮＳ要求が取得された場合に、上記ＤＮＳ要求を解析して送信元の上記ネットワークアドレス情報を取得するネットワークアドレス情報取得ステップと、上記接続情報取得装置の上記制御部において実行される、取得された上記ネットワークアドレス情報に基づいて、所定のネットワークプロトコルを用いて、対応する上記ネットワーク機器の上記テーブルに照会し、当該ネットワークアドレス情報に対応付けられた上記物理アドレス情報を取得する物理アドレス情報取得ステップと、を含み、上記ＤＮＳ要求の送信を契機として上記ネットワークに接続された上記送信元端末装置の上記物理アドレスを特定することを特徴とする。

また、請求項１０に記載のネットワーク監視方法は、記憶部と制御部を少なくとも備えネットワークに接続された少なくとも端末装置間の通信を中継するネットワーク機器と、記憶部と制御部を少なくとも備え上記ネットワークに接続された接続情報取得装置と、を備えたネットワーク監視システムにおいて実行されるネットワーク監視方法であって、上記接続情報取得装置の上記制御部において実行される、上記通信の送信元端末装置から送信されたＤＮＳ要求を取得するＤＮＳ要求取得ステップと、上記接続情報取得装置の上記制御部において実行される、上記ＤＮＳ要求が取得された場合に、上記ＤＮＳ要求を解析して送信元の上記ネットワークアドレス情報を取得するネットワークアドレス情報取得ステップと、上記接続情報取得装置の上記制御部において実行される、取得された上記ネットワークアドレス情報に基づいて、上記送信元端末装置に固有の物理アドレス情報を送信するよう上記送信元端末装置を制御する物理アドレス要求を送信することにより、上記物理アドレス情報を取得する物理アドレス情報取得ステップと、を含み、上記ＤＮＳ要求の送信を契機として上記ネットワークに接続された上記送信元端末装置の上記物理アドレスを特定することを特徴とする。

また、請求項１１に記載のネットワーク監視方法は、請求項９または１０に記載のネットワーク監視方法において、上記接続情報取得装置は、ＤＮＳサーバ装置であること、を特徴とする。

また、請求項１２に記載のネットワーク監視方法は、請求項９または１０に記載のネットワーク監視方法において、ＤＮＳサーバ装置が上記ネットワークに更に接続されており、上記ＤＮＳ要求取得ステップは、上記ＤＮＳサーバ装置に送信された上記ＤＮＳ要求をミラーリングによりキャプチャすること、または、上記ＤＮＳサーバ装置が受信した上記ＤＮＳ要求のログを取得すること、を特徴とする。

また、請求項１３に記載のネットワーク監視方法は、請求項９に記載のネットワーク監視方法において、上記物理アドレス情報取得ステップは、上記所定のネットワークプロトコルとして、ＳＮＭＰ、ｔｅｌｎｅｔ、または、ＮＥＴＣＯＮＦを用いること、を特徴とする。

また、請求項１４に記載のネットワーク監視方法は、請求項９または１０に記載のネットワーク監視方法において、上記接続情報取得装置の上記制御部において実行される、取得された上記ネットワークアドレス情報と上記物理アドレス情報とにより特定される上記送信元端末装置の認証判定を行う認証判定ステップ、を更に含むことを特徴とする。

また、請求項１５に記載のネットワーク監視方法は、請求項１４に記載のネットワーク監視方法において、上記認証判定ステップは、上記ネットワークアドレス情報および／または上記物理アドレス情報に基づいて、上記送信元端末装置に対しポート監視を行うことにより上記送信元端末装置にインストールされたアプリケーションを判定して、認証を行うこと、を特徴とする。

また、請求項１６に記載のネットワーク監視方法は、請求項１４に記載のネットワーク監視方法において、上記接続情報取得装置の上記制御部において実行される、上記認証判定ステップにて認証されなかった場合に、対応する上記ネットワーク機器に対し、当該送信元端末装置に対する中継を行わないよう指示する通信遮断指示ステップ、を更に含むことを特徴とする。

この発明によれば、ＤＮＳ要求が送信されたタイミングで、物理アドレスを短時間で検出するので、不正な接続を迅速に検出することができる。また、端末装置のネットワーク接続時間が短い等の場合でも、ＤＮＳ要求が送信されたタイミングで物理アドレスの取得を行うので、ネットワーク機器のＡＲＰテーブル等から削除される前に物理アドレスを取得でき、物理アドレスの検出漏れを防ぐことができる。また、ＩＰアドレス等のネットワークアドレスが動的に割り当てられる場合でも、固有の物理アドレスによりネットワークに接続された端末装置を特定することができる。

以下に、本発明にかかるネットワーク監視システム、および、ネットワーク監視方法の実施の形態を図面に基づいて詳細に説明する。なお、この実施の形態によりこの発明が限定されるものではない。

［本発明の概要］
以下、本発明の概要について説明し、その後、本発明の構成および処理等について詳細に説明する。図１は、本発明の基本原理を示すフローチャートである。

本発明は、概略的に、以下の基本的特徴を有する。すなわち、本発明は、記憶部と制御部を少なくとも備えネットワークに接続された少なくとも端末装置間の通信を中継するネットワーク機器と、記憶部と制御部を少なくとも備えネットワークに接続された接続情報取得装置と、を備えたネットワーク監視システムにおいて実行される。

図１に示すように、まず、ネットワーク機器は、送信されるデータを中継する場合に、当該データに格納された、通信の送信元端末装置に固有の物理アドレス情報と、ネットワークに接続された送信元端末装置に一意に割り当てられたネットワークアドレス情報と、を対応付けたテーブルを作成し、記憶部に格納する（ステップＳＡ−１）。ここで、「テーブル」とは、例えば、ネットワークアドレスから物理アドレスを求めるためにネットワーク機器において作成・更新されるＡＲＰテーブルである。

そして、接続情報取得装置は、送信元端末装置から送信されたＤＮＳ要求を取得する（ステップＳＡ−２）。ここで、ＤＮＳ要求の取得は、ＤＮＳサーバ装置として構成された接続情報取得装置自身が受信して取得してもよく、ＤＮＳサーバ装置とは別筐体で接続情報取得装置が構成される場合は、ＤＮＳサーバ装置に送信されたＤＮＳ要求をミラーリングによりキャプチャして取得してもよく、また、ＤＮＳサーバ装置が受信したＤＮＳ要求のログを取ることにより取得してもよい。

そして、接続情報取得装置は、取得したＤＮＳ要求を解析して送信元のネットワークアドレス情報を取得する（ステップＳＡ−３）。

そして、接続情報取得装置は、取得したネットワークアドレス情報に基づいて、所定のネットワークプロトコルを用いて、対応するネットワーク機器のテーブルに照会し、当該ネットワークアドレス情報に対応付けられた物理アドレス情報を取得する（ステップＳＡ−４）。ここで、所定のネットワークプロトコルとして、ＳＮＭＰ、ｔｅｌｎｅｔ、または、ＮＥＴＣＯＮＦを用いてもよい。また、ここで、接続情報取得装置は、取得したネットワークアドレス情報に基づいて、物理アドレス情報を送信するよう送信元端末装置を制御する物理アドレス要求を送信することにより、物理アドレス情報を取得してもよい。

以上が本発明による処理の概要である。ここで、上記処理に続いて、接続情報取得装置は、取得したネットワークアドレス情報と物理アドレス情報とにより特定される送信元端末装置の認証判定を行ってもよい。この認証判定は、例えば、ネットワークアドレス情報および／または物理アドレス情報に基づいて、上記送信元端末装置に対しポート監視を行うことにより送信元端末装置にインストールされたアプリケーションを判定し、認証を行ってもよい。

また、接続情報取得装置は、上記認証判定にて認証しなかった場合に、対応するネットワーク機器に対し、当該送信元端末装置に対する中継を行わないよう指示してもよい。以上で、本発明の概要の説明を終える。

［ネットワーク監視システムの構成］
まず、本ネットワーク監視システムの構成について図２を参照して説明する。図２は、本発明が適用されるネットワーク監視システムの構成の一例を示すブロック図であり、該構成のうち本発明に関係する部分のみを概念的に示している。本ネットワーク監視システムは、概略的に、接続情報取得サーバ装置１００と、ＤＮＳサーバ装置４００と、端末装置２００とを、ネットワーク３００を介して通信可能に接続して構成されている。なお、接続情報取得サーバ装置１００は、ＤＮＳサーバ装置４００と同一筐体として（すなわち、「専用ＤＮＳサーバ装置」として）構成されてもよい。

図１において、ネットワーク３００は、接続情報取得サーバ装置１００とＤＮＳサーバ装置４００と端末装置２００とを相互に接続する機能を有し、例えば、企業内ＬＡＮ等である。また、ネットワーク３００は、各種のケーブルや、ネットワーク３００に接続された少なくとも端末装置２００間の通信を中継する記憶部と制御部を少なくとも備えたネットワーク機器等により構成される。ここで、図２に示すように、本実施の形態において、ネットワーク機器は、ルーティング機能等を有するルータ２０や、ブリッジ機能やフィルタリング機能等を有するスイッチングハブ１０として構成してもよい。また、ネットワーク機器（例えば、ルータ２０）の制御部は、送信されるデータを中継する場合に、当該データに格納された、送信元の端末装置（例えば、端末装置２００）に固有の物理アドレス情報と、ネットワーク３００に接続された送信元の端末装置（例えば、端末装置２００）に一意に割り当てられたネットワークアドレス情報と、を対応付けたテーブルを作成し、記憶部に格納するテーブル作成格納手段を備える。このテーブル作成格納手段は、例えばＡＲＰテーブル作成更新手段である。ここで、「物理アドレス」は、例えば、各Ｅｔｈｅｒｎｅｔ（登録商標）カードに固有のＩＤ番号であるＭＡＣアドレスでもよく、また、「ネットワークアドレス」は、例えば、企業内ＬＡＮ等のＩＰネットワークに接続されたコンピュータや通信機器に一意に割り振られた識別番号であるＩＰアドレスであってもよい。

図２において、端末装置２００は、ネットワーク３００を介して、接続情報取得サーバ装置１００やＤＮＳサーバ装置４００等と相互に接続された任意の情報処理装置である。ここで、端末装置２００のハードウェア構成は、一般に市販されるパーソナルコンピュータ等の情報処理装置およびその付属装置により構成していてもよい。また、端末装置２００の各機能は、端末装置２００のハードウェア構成中のＣＰＵ、ディスク装置、メモリ装置、入力装置、出力装置、通信制御装置等およびそれらを制御するプログラム等により実現される。なお、端末装置２００は、ネットワーク３００に動的に複数台接続されてもよい。

図２において、ＤＮＳサーバ装置４００は、ドメイン名をＩＰアドレスに変換するサーバ装置である。ここで、ＤＮＳサーバ装置４００のハードウェア構成は、一般に市販されるワークステーションやパーソナルコンピュータ等の情報処理装置およびその付属装置により構成していてもよい。また、ＤＮＳサーバ装置４００の各機能は、ＤＮＳサーバ装置４００のハードウェア構成中のＣＰＵ、ディスク装置、メモリ装置、入力装置、出力装置、通信制御装置等およびそれらを制御するプログラム等により実現される。なお、ＤＮＳサーバ装置４００は、接続情報取得サーバ装置１００と同一筐体で構成されてもよい。

図２において接続情報取得サーバ装置１００は、概略的に、接続情報取得サーバ装置１００の全体を統括的に制御するＣＰＵ等の制御部１０２、通信回線等に接続されるルータ等の通信装置（図示せず）に接続される通信制御インターフェース部１０４、および、各種のデータベースやテーブルなどを格納する記憶部１０６を備えて構成されており、これら各部は任意の通信路を介して通信可能に接続されている。更に、この接続情報取得サーバ装置１００は、ルータ等の通信装置および専用線等の有線または無線の通信回線を介して、ネットワーク３００に通信可能に接続されている。

記憶部１０６に格納される各種のデータベースやテーブル（対応ルータテーブル１０６ａ〜判定アプリケーションリスト１０６ｂ）は、固定ディスク装置等のストレージ手段であり、各種処理に用いる各種のプログラムやテーブルやファイルやデータベースやウェブページ等を格納する。

これら記憶部１０６の各構成要素のうち、対応ルータテーブル１０６ａは、ネットワークアドレスに対応するネットワーク機器（ルータ２０等）を特定するためのテーブルを記憶する対応ネットワーク機器記憶手段である。

また、判定アプリケーションリスト１０６ｂは、アプリケーションを判定するため、ポート番号と対応するアプリケーションリストを記憶する判定アプリケーションリスト記憶手段である。

また、図２において、通信制御インターフェース部１０４は、接続情報取得サーバ装置１００とネットワーク３００（またはルータ等の通信装置）との間における通信制御を行う。すなわち、通信制御インターフェース部１０４は、他の端末と通信回線を介してデータを通信する機能を有する。

また、図２において、制御部１０２は、ＯＳ（Ｏｐｅｒａｔｉｎｇ Ｓｙｓｔｅｍ）等の制御プログラム、各種の処理手順等を規定したプログラム、および所要データを格納するための内部メモリを有し、これらのプログラム等により、種々の処理を実行するための情報処理を行う。制御部１０２は、機能概念的に、ＤＮＳ要求取得部１０２ａ、ネットワークアドレス取得部１０２ｂ、物理アドレス取得部１０２ｃ、認証判定部１０２ｄ、通信遮断指示部１０２ｅを備えて構成されている。

このうち、ＤＮＳ要求取得部１０２ａは、端末装置２００から送信されたＤＮＳ要求（ＤＮＳリクエスト）を取得するＤＮＳ要求取得手段である。ここで、ＤＮＳ要求取得部１０２ａは、接続情報取得サーバ装置１００がＤＮＳサーバ装置として構成される場合に、ＤＮＳ要求を直接受信することにより取得してもよく、接続情報取得サーバ装置１００がＤＮＳサーバ装置とは別筐体で構成される場合に、ＤＮＳサーバ装置４００に送信されたＤＮＳ要求をミラーリングによりキャプチャして取得してもよく、ＤＮＳサーバ装置４００により受信されたＤＮＳ要求のログを取得することによりＤＮＳ要求を取得してもよい。

また、ネットワークアドレス取得部１０２ｂは、ＤＮＳ要求取得部１０２ａにより取得されたＤＮＳ要求を解析して送信元のネットワークアドレス情報を取得するネットワークアドレス情報取得手段である。

また、物理アドレス取得部１０２ｃは、ネットワークアドレス取得部１０２ｂにより取得されたネットワークアドレス情報に基づいて、所定のネットワークプロトコルを用いて、対応するネットワーク機器のテーブル（例えば、ＡＲＰテーブル）に照会し、当該ネットワークアドレス情報に対応付けられた物理アドレス情報を取得する物理アドレス情報取得手段である。ここで、物理アドレス取得部１０２ｃは、所定のネットワークプロトコルとして、ＳＮＭＰ、ｔｅｌｎｅｔ、または、ＮＥＴＣＯＮＦを用いてもよい。また、物理アドレス取得部１０２ｃは、ネットワークアドレス取得部１０２ｂにより取得されたネットワークアドレス情報に基づいて、物理アドレス情報を送信するよう端末装置２００を制御する物理アドレス要求を端末装置２００に対し送信することにより、物理アドレス情報を取得してもよい。

また、認証判定部１０２ｄは、ネットワークアドレス取得部１０２ｂにより取得されたネットワークアドレス情報および／または物理アドレス取得部１０２ｃにより取得された物理アドレス情報により特定される端末装置２００の認証判定を行う認証判定手段である。ここで、認証判定部１０２ｄは、ネットワークアドレス情報および／または物理アドレス情報に基づいて、端末装置２００に対しポート監視を行うことにより、端末装置２００にインストールされたアプリケーションを判定して、認証を行ってもよい。例えば、認証判定部１０２ｄは、判定アプリケーションリスト１０６ｂを参照して、特定のポートに対してＴＣＰ接続を行い、接続が確立した場合は、対応するアプリケーションが起動していると判定し、接続が確立しなかった場合は、当該アプリケーションが起動していないと判定する。そして、認証判定部１０２ｄは、判定した起動アプリケーションが、正当なアプリケーション（例えば、業務管理ソフト）である場合は当該端末装置２００のネットワーク接続を認証し、不正なアプリケーション（例えば、情報漏洩の可能性があるファイル共有ソフト）である場合は当該端末装置２００のネットワーク接続を認証しないよう制御する。ここで、認証判定は、ポート監視に限られず、認証判定部１０２ｄは、端末装置２００にインストールされているエージェントと直接通信することにより、認証を判定してもよい。

また、通信遮断指示部１０２ｅは、端末装置２００のネットワーク接続が認証判定部１０２ｄにより認証されなかった場合に、対応するネットワーク機器（例えば、スイッチングハブ１０）に対し、当該端末装置２００に対する中継を行わないよう指示する通信遮断指示手段である。例えば、通信遮断指示部１０２ｅは、認証判定部１０２ｄにより認証されなかった端末装置２００に対応するスイッチングハブ１０等のネットワーク機器に対して、ＡＣＬ（アクセスコントロールリスト）に当該ネットワークアドレスおよび／または当該ＭＡＣアドレスを加えるよう設定する通信遮断指示情報を送信することにより、端末装置２００の通信を遮断する。ここで、ネットワーク機器に対する通信遮断指示方法としては、ＳＮＭＰやｔｅｌｎｅｔ等を用いてもよい。以上で、本ネットワーク監視システムの構成の説明を終える。

［ネットワーク監視システムの処理］
次に、このように構成された本実施の形態における本システムの処理の一例について、以下に図３〜図７を参照して詳細に説明する。

［基本処理］
まず、本実施の形態におけるネットワーク監視システムの基本処理について図３を参照して説明する。図３は、本実施の形態におけるネットワーク監視システムの基本処理の一例を示すフローチャートである。

図３に示すように、ルータ２０は、送信されるデータを中継する場合に、当該データに格納された、送信元の端末装置２００の物理アドレス情報とネットワークアドレス情報とを対応付けたテーブル（ＡＲＰテーブル等）を作成し、記憶部に格納する（ステップＳＢ−１）。

そして、接続情報取得サーバ装置１００は、ＤＮＳ要求取得部１０２ａの処理により、ネットワーク３００を介してＤＮＳサーバ装置４００に送信されたＤＮＳ要求を取得する（ステップＳＢ−２）。

そして、接続情報取得サーバ装置１００は、ネットワークアドレス取得部１０２ｂの処理により、ＤＮＳ要求取得部１０２ａにより取得されたＤＮＳ要求を解析して送信元のネットワークアドレス情報を取得する（ステップＳＢ−３）。

そして、接続情報取得サーバ装置１００は、物理アドレス取得部１０２ｃの処理により、ネットワークアドレス取得部１０２ｂにより取得されたネットワークアドレス情報に基づいて、所定のネットワークプロトコル（ＳＮＭＰ、ｔｅｌｎｅｔ、または、ＮＥＴＣＯＮＦ等）を用いて、対応するネットワーク機器のテーブルに照会し、当該ネットワークアドレス情報に対応付けられた物理アドレス情報を取得する（ステップＳＢ−４）。ここで、物理アドレス取得部１０２ｃは、ネットワークアドレス取得部１０２ｂにより取得されたネットワークアドレス情報に基づいて、物理アドレス情報を送信するよう端末装置２００を制御する物理アドレス要求を、端末装置２００に対し送信することにより、物理アドレス情報を取得してもよい。

そして、接続情報取得サーバ装置１００は、認証判定部１０２ｄの処理により、ネットワークアドレス取得部１０２ｂにより取得されたネットワークアドレス情報および／または物理アドレス取得部１０２ｃにより取得された物理アドレス情報により特定される端末装置２００の認証判定を行う（ステップＳＢ−５）。例えば、認証判定部１０２ｄは、ネットワークアドレス情報および／または物理アドレス情報に基づいて、端末装置２００に対しポート監視を行うことにより、端末装置２００にインストールされたアプリケーションを判定し、認証するか否か判断してもよい。

そして、接続情報取得サーバ装置１００は、通信遮断指示部１０２ｅの処理により、認証判定部１０２ｄにより認証されなかった端末装置２００について、対応するスイッチングハブ１０に対し、当該端末装置２００に対する中継を行わないよう通信遮断の指示を行う（ステップＳＢ−６）。これにて、本実施の形態における基本処理が終了する。

［実施の形態１（ＤＮＳ要求キャプチャ型）］
つづいて、実施の形態１（ＤＮＳ要求キャプチャ型）における処理の詳細について図４を参照して説明する。図４は、本実施の形態１（ＤＮＳ要求キャプチャ型）におけるネットワーク管理システムの処理の一例を示すデータフロー図である。

（１）図４に示すように、従業員等の利用者が端末装置２００をネットワーク３００に接続し、Ｗｅｂサイト等にアクセスすると、端末装置２００は、ブラウザ等の機能により、当該Ｗｅｂサイトのドメイン名からＩＰアドレスを求めるため、ＤＮＳ要求をＤＮＳサーバ装置４００に送信する。

（２）接続情報取得サーバ装置１００−１は、ＤＮＳ要求取得部１０２ａの処理により、ＤＮＳサーバ装置４００に送信されたＤＮＳ要求をミラーリングによりキャプチャして取得する。すなわち、ＤＮＳサーバ装置４００に接続されているスイッチングハブ１０−２に対して、ＤＮＳサーバ装置４００に送信されるデータを別のポートにミラーリングする（同じトラフィックを別のポートに流す）よう設定しておくことにより、ＤＮＳ要求取得部１０２ａは、ＤＮＳ要求をキャプチャする。

（３）接続情報取得サーバ装置１００−１は、ネットワークアドレス取得部１０２ｂの処理により、ＤＮＳ要求を解析して送信元のネットワークアドレスを取得し、物理アドレス取得部１０２ｃの処理により、送信元ネットワークアドレスから対応するルータ２０に対して、ＳＮＭＰリクエストを送信することにより、ルータ２０のＡＲＰテーブル等から物理アドレスを取得する。ここで、ネットワークアドレス取得部１０２ｂは、対応するルータを求めるために、対応ルータテーブル１０６ａを参照してもよい。

（４）物理アドレスを取得すると、接続情報取得サーバ装置１００−１は、認証判定部１０２ｄの処理により、ネットワークアドレス取得部１０２ｂにより取得されたネットワークアドレスおよび／または物理アドレス取得部１０２ｃにより取得された物理アドレスに基づいて、特定した端末装置２００に対して、正当な情報処理装置であることを認証する判定を行う。例えば、企業内ＬＡＮにて実施する場合に、認証判定部１０２ｄは、企業で購入した情報処理装置に必ずインストールされているアプリケーション（資産管理ソフト等）との通信を行うことができるか確認することにより、認証しうる正当な情報端末装置か、認証できない不正な情報端末装置（自宅からの持込みＰＣ等）かを判定する。ここで、認証判定部１０２ｄは、反対に、不正なアプリケーション（例えば、情報漏洩の可能性があるファイル共有ソフト）がインストールされているかを判定してもよい。

（５）認証判定部１０２ｄにより端末装置２００が認証できない不正な情報処理装置であると判定されると、接続情報取得サーバ装置１００−１は、通信遮断指示部１０２ｅの処理により、対応するスイッチングハブ１０−１に対し、当該端末装置２００に対応する物理アドレスによる通信を遮断するよう指示する。これにて、本実施の形態１における処理が終了する。

［実施の形態２（専用ＤＮＳサーバ設置型）］
実施の形態２（専用ＤＮＳサーバ設置型）における処理の詳細について図５を参照して説明する。図５は、本実施の形態２（専用ＤＮＳサーバ設置型）におけるネットワーク管理システムの処理の一例を示すデータフロー図である。なお、本実施の形態２におけるネット管理システムにおいては、接続情報取得サーバ装置１００は、ＤＮＳサーバ装置ＤＮＳサーバ装置４００と一体に、「専用ＤＮＳサーバ装置１００−２」として構成されている。

（１）図５に示すように、従業員等の利用者が端末装置２００をネットワーク３００に接続し、Ｗｅｂサイト等にアクセスすると、端末装置２００は、ブラウザ等の機能により、当該Ｗｅｂサイトのドメイン名からＩＰアドレスを求めるため、ＤＮＳ要求を専用ＤＮＳサーバ装置１００−２に送信する。

（２）専用ＤＮＳサーバ装置１００−２は、ＤＮＳ要求取得部１０２ａの処理により、ＤＮＳ要求を受信する。

（３）専用ＤＮＳサーバ装置１００−２は、ネットワークアドレス取得部１０２ｂの処理により、ＤＮＳ要求を解析して送信元のネットワークアドレスを取得し、物理アドレス取得部１０２ｃの処理により、送信元ネットワークアドレスから対応するルータ２０に対して、ＳＮＭＰリクエストを送信することにより、ルータ２０のＡＲＰテーブル等から物理アドレスを取得する。ここで、ネットワークアドレス取得部１０２ｂは、対応するルータを求めるために、対応ルータテーブル１０６ａを参照してもよい。

以降（４）〜（５）の処理は、上述した実施の形態１（ＤＮＳ要求キャプチャ型）と同様であるので、説明を省略する。以上で、本実施の形態２（専用ＤＮＳサーバ設置型）の処理の説明を終える。

［実施の形態３（ＤＮＳ要求ログ取得型）］
実施の形態３（ＤＮＳ要求ログ取得型）における処理の詳細について図６を参照して説明する。図６は、本実施の形態３（ＤＮＳ要求ログ取得型）におけるネットワーク管理システムの処理の一例を示すデータフロー図である。

（１）図６に示すように、従業員等の利用者が端末装置２００をネットワーク３００に接続し、Ｗｅｂサイト等にアクセスすると、端末装置２００は、ブラウザ等の機能により、当該Ｗｅｂサイトのドメイン名からＩＰアドレスを求めるため、ＤＮＳ要求をＤＮＳサーバ装置４００に送信する。

（２）ＤＮＳサーバ装置４００は、ログ収集エージェントの処理により、新規のＤＮＳ要求があったことをログを送信することにより接続情報取得サーバ装置１００−３に通知し、接続情報取得サーバ装置１００−３は、ＤＮＳ要求取得部１０２ａの処理によりＤＮＳ要求のログを取得する。

以降（３）〜（５）の処理は、上述した実施の形態１（ＤＮＳ要求キャプチャ型）と同様であるので、説明を省略する。以上で、本実施の形態３（ＤＮＳ要求ログ取得型）の処理の説明を終える。

［物理アドレス取得処理］
次に、上述した本実施の形態における物理アドレス取得処理（上述のステップＳＢ−４に対応）の詳細について説明する。

物理アドレス取得処理の一例として、接続情報取得サーバ装置１００は、物理アドレス取得部１０２ｃの処理により、ネットワークアドレス取得部１０２ｂにより取得されたネットワークアドレス情報に基づいて、所定のネットワークプロトコルを用いて、対応するネットワーク機器のテーブルに照会し、当該ネットワークアドレス情報に対応付けられた物理アドレス情報を取得する。ここで、物理アドレス取得部１０２ｃは、所定のネットワークプロトコルとして、ＳＮＭＰ、ｔｅｌｎｅｔ、または、ＮＥＴＣＯＮＦを用いてもよい。また、物理アドレス取得部１０２ｃは、ネットワークアドレス取得部１０２ｂにより取得されたネットワークアドレス情報に基づいて、物理アドレス情報を送信するよう端末装置２００を制御する物理アドレス要求を端末装置２００に対し送信することにより、物理アドレス情報を取得してもよい。

例えば、物理アドレスをｔｅｌｎｅｔを用いて取得する場合、ｔｅｌｎｅｔでログイン可能なネットワーク機器に対し、ログインしてＣＬＩ（Ｃｏｍｍｏｎ Ｌａｎｇｕａｇｅ Ｉｎｆｒａｓｔｒｕｃｔｕｒｅ）上で物理アドレス取得のコマンドを実行することにより、該当するＭＡＣアドレスを取得する。

すなわち、接続情報取得サーバ装置１００は、予め該当ネットワーク機器のログインアカウントを設定されており、ネットワークアドレス取得部１０２ｂの処理により送信元ネットワークアドレスを取得した時に、物理アドレス取得部１０２ｃの処理により、当該ネットワークアドレスに対してｔｅｌｎｅｔを実行する。ここで実行するｔｅｌｎｅｔは、手動によらず、プログラムにより自動的に実行される。たとえば、ｅｘｐｅｃｔ等のコマンドを利用してもよい。

そして、接続情報取得サーバ装置１００は、物理アドレス取得部１０２ｃの処理により、ログインした後、該当ネットワーク機器のＡＲＰ情報表示コマンドを実行する。例えば、ネットワーク機器がＣｉｓｃｏ（会社名）製ルータの場合、”ｓｈｏｗ ｉｐ ａｒｐ”などを実行する。

そして、接続情報取得サーバ装置１００は、ネットワーク機器から出力された結果をパース（解析）することにより、送信元ネットワークアドレスに対応する物理アドレスを取得する。

ここで、物理アドレス取得処理の一例として物理アドレスを直接端末装置２００から取得する場合について図７を用いて説明する。図７は、本実施の形態における物理アドレス取得処理の一例を示す図である。

図７に示すように、上述の実施の形態１と同様に（１）〜（２）の処理を行う。

（３）そして、接続情報取得サーバ装置１００−４は、物理アドレス取得部１０２ｃの処理により、ネットワークアドレス取得部１０２ｂにより取得されたネットワークアドレス情報に基づいて、物理アドレス情報を送信するよう端末装置２００を制御する物理アドレス要求を端末装置２００に対し送信することにより、物理アドレス情報を取得する。

すなわち、端末装置２００に予めインストールされた物理アドレスを返すエージェントを利用して（既存のコマンド等が利用できる場合はそれを利用する。）、物理アドレス要求を行い、物理アドレスを取得する。例えば、端末装置２００にＷｉｎｄｏｗｓ（登録商標）がインストールされている場合は、ｎｂｔｓｔａｔコマンドやｇｅｔｍａｃコマンドで物理アドレスを取得してもよい。

以降の処理は、上述の実施の形態と同様であるので説明を省略する。以上で、物理アドレス取得処理の一例の説明を終える。

［認証判定処理］
本実施の形態における認証判定処理（上述のステップＳＢ−５に対応）の一例について説明する。

認証判定処理の一例として、認証判定部１０２ｄは、ネットワークアドレス情報および／または物理アドレス情報に基づいて、端末装置２００に対しポート監視を行うことにより、端末装置２００にインストールされたアプリケーションを判定して、認証を行う。

すなわち、まず、認証判定部１０２ｄは、判定アプリケーションリスト１０６ｂを参照して、特定のポートに対してＴＣＰ接続を行う。

そして、認証判定部１０２ｄは、接続が確立した場合は、対応するアプリケーションが起動していると判定し、接続が確立しなかった場合は、当該アプリケーションが起動していないと判定する。判定の後、認証判定部１０２ｄは、ＴＣＰ接続を切断する。

そして、認証判定部１０２ｄは、判定した起動アプリケーションが、正当なアプリケーション（例えば、業務管理ソフト）である場合は当該端末装置２００のネットワーク接続を認証し、不正なアプリケーション（例えば、情報漏洩の可能性があるファイル共有ソフト）である場合は当該端末装置２００のネットワーク接続を認証しないよう制御する。

以上が、認証判定処理の一例である。ここで、認証判定処理は、ポートと接続することに限られず、認証判定部１０２ｄは、アプリケーションと通信する方法がわかっている場合は、アプリケーションとの正常に通信できることができることでアプリケーションの起動を判定する。例えば、そのポートに対してメッセージを送信して、想定した応答があった場合はアプリケーションが動作していると判断する。以上で、本実施の形態における認証判定処理の一例の説明を終える。

［通信遮断処理］
本実施の形態における通信遮断処理（上述のステップＳＢ−６に対応）の一例について説明する。

通信遮断処理の一例として、通信遮断指示部１０２ｅは、認証判定部１０２ｄにより認証されなかった（不正と判断された）端末装置２００に対応するスイッチングハブ１０等のネットワーク機器に対して、ＡＣＬ（アクセスコントロールリスト）に当該ネットワークアドレスおよび／または当該ＭＡＣアドレスを加えるよう設定する。具体的には、ＳＮＭＰやｔｅｌｎｅｔ等を用いて、ＡＣＬ設定指示を行う通信遮断指示情報を送信することにより、端末装置２００の通信を遮断する。以上で、本実施の形態における通信遮断処理の一例の説明を終える。

以上が、本実施の形態の説明である。本実施の形態によれば、ＤＮＳ要求が送信されたタイミングでルータに対して物理アドレス（ＭＡＣアドレス）を取得するため、検出までの時間が短く、不正な接続を短時間で検出することができる。また、端末装置の接続時間が短い場合でも、上記の通り即座に取得を行えるため、ＡＲＰテーブル等から削除される前に物理アドレスを取得でき、検出漏れを防ぐことができる。

［他の実施の形態］
さて、これまで本発明の実施の形態について説明したが、本発明は、上述した実施の形態以外にも、上記特許請求の範囲に記載した技術的思想の範囲内において種々の異なる実施の形態にて実施されてよいものである。

例えば、接続情報取得サーバ装置１００がスタンドアローンの形態でネットワークに接続される構成を例に説明したが、接続情報取得サーバ装置１００の機能は、ネットワーク内のいずれかの装置に割り当てられてもよく、例えば、ネットワーク機器（例えば、ルータ２０やスイッチングハブ１０）において上述の処理を行うよう構成してもよい。また、これに限られず、端末装置２００に、接続情報取得サーバ装置１００の各手段を備えてもよい。

また、実施の形態において説明した各処理のうち、自動的に行われるものとして説明した処理の全部または一部を手動的に行うこともでき、あるいは、手動的に行われるものとして説明した処理の全部または一部を公知の方法で自動的に行うこともできる。

このほか、上記文献中や図面中で示した処理手順、制御手順、具体的名称、各処理の登録データや検索条件等のパラメータを含む情報、画面例、データベース構成については、特記する場合を除いて任意に変更することができる。

また、接続情報取得サーバ装置１００に関して、図示の各構成要素は機能概念的なものであり、必ずしも物理的に図示の如く構成されていることを要しない。

例えば、接続情報取得サーバ装置１００の各装置が備える処理機能、特に制御部１０２にて行われる各処理機能については、その全部または任意の一部を、ＣＰＵ（Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）および当該ＣＰＵにて解釈実行されるプログラムにて実現することができ、あるいは、ワイヤードロジックによるハードウェアとして実現することも可能である。尚、プログラムは、後述する記録媒体に記録されており、必要に応じて接続情報取得サーバ装置１００に機械的に読み取られる。すなわち、ＲＯＭまたはＨＤなどの記憶部１０６などは、ＯＳ（Ｏｐｅｒａｔｉｎｇ Ｓｙｓｔｅｍ）として協働してＣＰＵに命令を与え、各種処理を行うためのコンピュータプログラムが記録されている。このコンピュータプログラムは、ＲＡＭにロードされることによって実行され、ＣＰＵと協働して制御部を構成する。

また、このコンピュータプログラムは、接続情報取得サーバ装置１００に対して任意のネットワーク３００を介して接続されたアプリケーションプログラムサーバに記憶されていてもよく、必要に応じてその全部または一部をダウンロードすることも可能である。

また、本発明に係るプログラムを、コンピュータ読み取り可能な記録媒体に格納することもできる。ここで、この「記録媒体」とは、フレキシブルディスク、光磁気ディスク、ＲＯＭ、ＥＰＲＯＭ、ＥＥＰＲＯＭ、ＣＤ−ＲＯＭ、ＭＯ、ＤＶＤ等の任意の「可搬用の物理媒体」、あるいは、ＬＡＮ、ＷＡＮ、インターネットに代表されるネットワークを介してプログラムを送信する場合の通信回線や搬送波のように、短期にプログラムを保持する「通信媒体」を含むものとする。

また、「プログラム」とは、任意の言語や記述方法にて記述されたデータ処理方法であり、ソースコードやバイナリコード等の形式を問わない。なお、「プログラム」は必ずしも単一的に構成されるものに限られず、複数のモジュールやライブラリとして分散構成されるものや、ＯＳ（Ｏｐｅｒａｔｉｎｇ Ｓｙｓｔｅｍ）に代表される別個のプログラムと協働してその機能を達成するものをも含む。なお、実施の形態に示した各装置において記録媒体を読み取るための具体的な構成、読み取り手順、あるいは、読み取り後のインストール手順等については、周知の構成や手順を用いることができる。

記憶部１０６に格納される各種のデータベース等（対応ルータテーブル１０６ａ〜判定アプリケーションリスト１０６ｂ）は、ＲＡＭ、ＲＯＭ等のメモリ装置、ハードディスク等の固定ディスク装置、フレキシブルディスク、光ディスク等のストレージ手段であり、各種処理やウェブサイト提供に用いる各種のプログラムやテーブルやデータベースやウェブページ用ファイル等を格納する。

また、接続情報取得サーバ装置１００は、既知のパーソナルコンピュータ、ワークステーション等の情報処理装置を接続し、該情報処理装置に本発明の方法を実現させるソフトウェア（プログラム、データ等を含む）を実装することにより実現してもよい。

更に、装置の分散・統合の具体的形態は図示するものに限られず、その全部または一部を、各種の付加等に応じて、または、機能負荷に応じて、任意の単位で機能的または物理的に分散・統合して構成することができる。

以上詳述に説明したように、本発明によれば、物理アドレスを短時間で検出して不正な接続を迅速に検出することができ、端末のネットワーク接続時間が短い等の場合でも、ネットワーク機器のＡＲＰテーブル等から削除される前に物理アドレスを取得でき、物理アドレスの検出漏れを防ぐことができる、ネットワーク監視システム、および、ネットワーク監視方法を提供することができる。

本発明の基本原理を示すフローチャートである。 本発明が適用されるネットワーク監視システムの構成の一例を示すブロック図である。 本実施の形態におけるネットワーク監視システムの基本処理の一例を示すフローチャートである。 本実施の形態１（ＤＮＳ要求キャプチャ型）におけるネットワーク管理システムの処理の一例を示すデータフロー図である。 本実施の形態２（専用ＤＮＳサーバ設置型）におけるネットワーク管理システムの処理の一例を示すデータフロー図である。 本実施の形態３（ＤＮＳ要求ログ取得型）におけるネットワーク管理システムの処理の一例を示すデータフロー図である。 本実施の形態における物理アドレス取得処理の一例を示す図である。

符号の説明

１００ 接続情報取得サーバ装置
１０２ 制御部
１０２ａ ＤＮＳ要求取得部
１０２ｂ ネットワークアドレス取得部
１０２ｃ 物理アドレス取得部
１０２ｄ 認証判定部
１０２ｅ 通信遮断指示部
１０４ 通信制御インターフェース部
１０６ 記憶部
１０６ａ 対応ルータテーブル
１０６ｂ 判定アプリケーションリスト
２００ 端末装置
３００ ネットワーク
１０ スイッチングハブ
２０ ルータ
４００ ＤＮＳサーバ装置

Claims (16)

1. 記憶部と制御部を少なくとも備えネットワークに接続された少なくとも端末装置間の通信を中継するネットワーク機器と、記憶部と制御部を少なくとも備え上記ネットワークに接続された接続情報取得装置と、を備えたネットワーク監視システムであって、
   上記ネットワーク機器の上記制御部は、
   送信されるデータを中継する場合に、当該データに格納された、上記通信の送信元端末装置に固有の物理アドレス情報と、上記ネットワークに接続された上記送信元端末装置に一意に割り当てられたネットワークアドレス情報と、を対応付けたテーブルを作成し、上記記憶部に格納するテーブル作成格納手段、
   を備え、
   上記接続情報取得装置の上記制御部は、
   上記送信元端末装置から送信されたＤＮＳ要求を取得するＤＮＳ要求取得手段と、
   上記ＤＮＳ要求が取得された場合に、上記ＤＮＳ要求を解析して送信元の上記ネットワークアドレス情報を取得するネットワークアドレス情報取得手段と、
   取得された上記ネットワークアドレス情報に基づいて、所定のネットワークプロトコルを用いて、対応する上記ネットワーク機器の上記テーブルに照会し、当該ネットワークアドレス情報に対応付けられた上記物理アドレス情報を取得する物理アドレス情報取得手段と、
   を備え、上記ＤＮＳ要求の送信を契機として上記ネットワークに接続された上記送信元端末装置の上記物理アドレスを特定することを特徴とするネットワーク監視システム。
2. 記憶部と制御部を少なくとも備えネットワークに接続された少なくとも端末装置間の通信を中継するネットワーク機器と、記憶部と制御部を少なくとも備え上記ネットワークに接続された接続情報取得装置と、を備えたネットワーク監視システムであって、
   上記接続情報取得装置の上記制御部は、
   上記通信の送信元端末装置から送信されたＤＮＳ要求を取得するＤＮＳ要求取得手段と、
   上記ＤＮＳ要求が取得された場合に、上記ＤＮＳ要求を解析して送信元の上記ネットワークアドレス情報を取得するネットワークアドレス情報取得手段と、
   取得された上記ネットワークアドレス情報に基づいて、上記送信元端末装置に固有の物理アドレス情報を送信するよう上記送信元端末装置を制御する物理アドレス要求を送信することにより、上記物理アドレス情報を取得する物理アドレス情報取得手段と、
   を備え、上記ＤＮＳ要求の送信を契機として上記ネットワークに接続された上記送信元端末装置の上記物理アドレスを特定することを特徴とするネットワーク監視システム。
3. 請求項１または２に記載のネットワーク監視システムにおいて、
   上記接続情報取得装置は、ＤＮＳサーバ装置であること、
   を特徴とするネットワーク監視システム。
4. 請求項１または２に記載のネットワーク監視システムにおいて、
   ＤＮＳサーバ装置が上記ネットワークに更に接続されており、
   上記ＤＮＳ要求取得手段は、
   上記ＤＮＳサーバ装置に送信された上記ＤＮＳ要求をミラーリングによりキャプチャすること、または、上記ＤＮＳサーバ装置が受信した上記ＤＮＳ要求のログを取得すること、
   を特徴とするネットワーク監視システム。
5. 請求項１に記載のネットワーク監視システムにおいて、
   上記物理アドレス情報取得手段は、
   上記所定のネットワークプロトコルとして、ＳＮＭＰ、ｔｅｌｎｅｔ、または、ＮＥＴＣＯＮＦを用いること、
   を特徴とするネットワーク監視システム。
6. 請求項１または２に記載のネットワーク監視システムにおいて、
   上記接続情報取得装置の上記制御部は、
   取得された上記ネットワークアドレス情報と上記物理アドレス情報とにより特定される上記送信元端末装置の認証判定を行う認証判定手段、
   を更に備えたことを特徴とするネットワーク監視システム。
7. 請求項６に記載のネットワーク監視システムにおいて、
   上記認証判定手段は、
   上記ネットワークアドレス情報および／または上記物理アドレス情報に基づいて、上記送信元端末装置に対しポート監視を行うことにより上記送信元端末装置にインストールされたアプリケーションを判定して、認証を行うこと、
   を特徴とするネットワーク監視システム。
8. 請求項６に記載のネットワーク監視システムにおいて、
   上記接続情報取得装置の上記制御部は、
   上記認証判定手段により認証されなかった場合に、対応する上記ネットワーク機器に対し、当該送信元端末装置に対する中継を行わないよう指示する通信遮断指示手段、
   を更に備えたことを特徴とするネットワーク監視システム。
9. 記憶部と制御部を少なくとも備えネットワークに接続された少なくとも端末装置間の通信を中継するネットワーク機器と、記憶部と制御部を少なくとも備え上記ネットワークに接続された接続情報取得装置と、を備えたネットワーク監視システムにおいて実行されるネットワーク管理方法であって、
   上記ネットワーク機器の上記制御部において実行される、
   送信されるデータを中継する場合に、当該データに格納された、上記通信の送信元端末装置に固有の物理アドレス情報と、上記ネットワークに接続された上記送信元端末装置に一意に割り当てられたネットワークアドレス情報と、を対応付けたテーブルを作成し、上記記憶部に格納するテーブル作成格納ステップと、
   上記接続情報取得装置の上記制御部において実行される、
   上記送信元端末装置から送信されたＤＮＳ要求を取得するＤＮＳ要求取得ステップと、
   上記接続情報取得装置の上記制御部において実行される、
   上記ＤＮＳ要求が取得された場合に、上記ＤＮＳ要求を解析して送信元の上記ネットワークアドレス情報を取得するネットワークアドレス情報取得ステップと、
   上記接続情報取得装置の上記制御部において実行される、
   取得された上記ネットワークアドレス情報に基づいて、所定のネットワークプロトコルを用いて、対応する上記ネットワーク機器の上記テーブルに照会し、当該ネットワークアドレス情報に対応付けられた上記物理アドレス情報を取得する物理アドレス情報取得ステップと、
   を含み、上記ＤＮＳ要求の送信を契機として上記ネットワークに接続された上記送信元端末装置の上記物理アドレスを特定することを特徴とするネットワーク監視方法。
10. 記憶部と制御部を少なくとも備えネットワークに接続された少なくとも端末装置間の通信を中継するネットワーク機器と、記憶部と制御部を少なくとも備え上記ネットワークに接続された接続情報取得装置と、を備えたネットワーク監視システムにおいて実行されるネットワーク監視方法であって、
    上記接続情報取得装置の上記制御部において実行される、
    上記通信の送信元端末装置から送信されたＤＮＳ要求を取得するＤＮＳ要求取得ステップと、
    上記接続情報取得装置の上記制御部において実行される、
    上記ＤＮＳ要求が取得された場合に、上記ＤＮＳ要求を解析して送信元の上記ネットワークアドレス情報を取得するネットワークアドレス情報取得ステップと、
    上記接続情報取得装置の上記制御部において実行される、
    取得された上記ネットワークアドレス情報に基づいて、上記送信元端末装置に固有の物理アドレス情報を送信するよう上記送信元端末装置を制御する物理アドレス要求を送信することにより、上記物理アドレス情報を取得する物理アドレス情報取得ステップと、
    を含み、上記ＤＮＳ要求の送信を契機として上記ネットワークに接続された上記送信元端末装置の上記物理アドレスを特定することを特徴とするネットワーク監視方法。
11. 請求項９または１０に記載のネットワーク監視方法において、
    上記接続情報取得装置は、ＤＮＳサーバ装置であること、
    を特徴とするネットワーク監視方法。
12. 請求項９または１０に記載のネットワーク監視方法において、
    ＤＮＳサーバ装置が上記ネットワークに更に接続されており、
    上記ＤＮＳ要求取得ステップは、
    上記ＤＮＳサーバ装置に送信された上記ＤＮＳ要求をミラーリングによりキャプチャすること、または、上記ＤＮＳサーバ装置が受信した上記ＤＮＳ要求のログを取得すること、
    を特徴とするネットワーク監視方法。
13. 請求項９に記載のネットワーク監視方法において、
    上記物理アドレス情報取得ステップは、
    上記所定のネットワークプロトコルとして、ＳＮＭＰ、ｔｅｌｎｅｔ、または、ＮＥＴＣＯＮＦを用いること、
    を特徴とするネットワーク監視方法。
14. 請求項９または１０に記載のネットワーク監視方法において、
    上記接続情報取得装置の上記制御部において実行される、
    取得された上記ネットワークアドレス情報と上記物理アドレス情報とにより特定される上記送信元端末装置の認証判定を行う認証判定ステップ、
    を更に含むことを特徴とするネットワーク監視方法。
15. 請求項１４に記載のネットワーク監視方法において、
    上記認証判定ステップは、
    上記ネットワークアドレス情報および／または上記物理アドレス情報に基づいて、上記送信元端末装置に対しポート監視を行うことにより上記送信元端末装置にインストールされたアプリケーションを判定して、認証を行うこと、
    を特徴とするネットワーク監視方法。
16. 請求項１４に記載のネットワーク監視方法において、
    上記接続情報取得装置の上記制御部において実行される、
    上記認証判定ステップにて認証されなかった場合に、対応する上記ネットワーク機器に対し、当該送信元端末装置に対する中継を行わないよう指示する通信遮断指示ステップ、
    を更に含むことを特徴とするネットワーク監視方法。

Images