JP2009225045A - 通信妨害装置及び通信妨害プログラム - Google Patents

Abstract

【課題】正規端末であった端末が不正端末となった場合に、その端末からの通信を妨害することを可能とする。
【解決手段】パケット収集部５１は、端末から送出されたＡＲＰ要求パケットを収集する。問合せ部５２は、ＡＲＰ要求パケットを送出した端末が正規端末であるかを判定する。問合せ結果キャッシュ部４３は、ＡＲＰ要求パケットに含まれる発信元端末情報及び問合せ部５２による判定結果を対応付けて保持する。偽ＡＲＰ送出部５３は、正規端末から不正端末に変更された端末を示す発信元端末情報に対応付けて問合せ結果キャッシュ部４３に保持されている判定結果が正規端末であることを示すと判定された場合、端末を特定不能なＩＰアドレス及びＭＡＣアドレスを含む予め定められた数のＡＲＰ応答パケットを、正規端末から不正端末に変更された端末に対して送出する。
【選択図】図２

Description

本発明は、ネットワークへの接続が許可されていない不正端末の通信を妨害する通信妨害装置及び通信妨害プログラムに関する。

近年、コンピュータネットワークへの接続が許可されていない端末（以下、不正端末と表記）の通信を妨害する通信妨害装置が開発されている。

このような通信妨害装置においては、不正端末を検出し、当該不正端末の通信を妨害するためにＡＲＰ（Address Resolution Protocol）パケットが利用される。このＡＲＰパケットは、例えば端末のアドレス情報を解決するため、つまり、ある端末のＩＰ（Internet Protocol）アドレスから当該端末のＭＡＣ（Media Access Control）アドレスを取得するために用いられる。

通信妨害装置は、例えばブロードキャストパケットであるＡＲＰ要求パケットを監視する。ＡＲＰ要求パケットは、当該ＡＲＰ要求パケットの発信元となる端末（以下、発信元端末と表記）のＩＰアドレス及びＭＡＣアドレスと、当該発信元端末の通信相手となる端末（以下、通信相手端末と表記）のＩＰアドレスとを含む。発信元端末は、ＡＲＰ要求パケットを送出することにより、当該ＡＲＰ要求パケットに含まれるＩＰアドレスが割り当てられている通信相手端末に対して、当該通信相手端末のＭＡＣアドレスを含むＡＲＰ応答パケットを応答として返すように要求する。

通信妨害装置は、上記したようなＡＲＰ要求パケットを監視することにより、ＡＲＰ要求パケットに含まれる発信元端末のＭＡＣアドレスもしくはＩＰアドレスを参照する。これにより、発信元端末がネットワークへの接続が許可されている端末（以下、正規端末と表記）として予め登録されているか否かを判定し、不正端末を検出する。

ここで、通信妨害装置によって監視されたＡＲＰ要求パケットの発信元端末が、正規端末として登録されていない不正端末である場合を想定する。この場合、通信相手端末のＭＡＣアドレスとは異なる偽りのＭＡＣアドレスが埋め込まれたＡＲＰ応答パケットが、当該不正端末に送出される。これにより、不正端末のＡＲＰキャッシュを正しくない状態にすることができる。よって、不正端末は、通信相手端末のＭＡＣアドレスがわからないため、当該通信相手端末とは通信することができない。その結果、不正端末は、通信が妨害され、ネットワークから切り離された状態になる。

一方、不正端末からＡＲＰ要求パケットを受信した通信相手端末が、当該通信相手端末のＭＡＣアドレスを含む正しいＡＲＰ応答パケットを返すのを防ぐために、通信相手端末に偽りのＡＲＰ要求パケットを送出し不正端末との通信を妨害する。

上記したような技術として、例えば不正端末が静的にＡＲＰテーブルを設定した場合でもアクセス制限を行うことが可能であり、かつ、通信端末の組み合わせでアクセス制御を行うことを可能とする技術が開示されている（例えば、特許文献１を参照）。

また、ネットワークへの接続を許可されていない不許可装置によりブロードキャストされたＡＲＰリクエストに対して、情報処理装置から正しいＡＲＰ応答パケットが不許可装置へ送信された後に、情報処理装置のＭＡＣアドレスとして偽りのＭＡＣアドレスを有するＡＲＰ応答パケットを不許可装置へ送信する技術が開示されている（例えば、特許文献２を参照）。この技術によれば、ネットワークへの接続を許可されていない情報処理装置である不許可装置が、そのネットワークに接続し、当該ネットワーク内部の情報処理装置に接続することを防止することが可能となる。
特開２００４−１８５４９８号公報 特開２００５−７９７０６号公報

上記したような通信妨害装置に置いては、端末から送出されるＡＲＰ要求パケットをトリガーにして、当該ＡＲＰ要求パケットを送出した発信元端末が不正端末であるか否かのチェックを行う。すなわち、ＡＲＰ要求パケットがネットワーク上に流れなければ、不正端末か否かのチェックは行われない。

ここで、不正端末の検出にＡＲＰ要求パケットを使用するのは、当該ＡＲＰ要求パケットがブロードキャストパケットであり、例えばスイッチを用いたネットワークであっても通信相手以外の装置（例えば通信妨害装置）も当該ＡＲＰ要求パケットを受信することが可能であるためである。

ところで、不正端末か否かは、定常とは限らない。つまり、それまで正規端末であっても、ある時点から不正端末となる場合もある。例えばある端末が正規端末であったときに通信を開始し、その通信の最中に不正端末となった場合を想定する。この場合、ＡＲＰ要求パケットが送出されるまで、不正端末となった端末の通信は妨害されず継続することになる。

一方、例えばＡＲＰ要求パケットにより解決された通信相手端末のアドレス情報は、当該ＡＲＰ要求パケットの発信元端末のＡＲＰキャッシュに一定期間保持される。この間の通信相手端末との通信には、ＡＲＰキャッシュに保持されているアドレス情報が使用される。このため、ＡＲＰキャッシュにアドレス情報が残っている限りＡＲＰ要求パケットは送出されない。ＡＲＰキャッシュに保持されているアドレス情報は、一定期間経過するとクリアされる。しかしながら、この一定期間は、例えばプラットフォーム（ＯＳ：Operating System）により異なっており、数分から数時間という幅がある。

上記したように、ＡＲＰキャッシュにアドレス情報が保持されている間は、ＡＲＰ要求パケットは送出されないため、正規端末から不正端末となった端末の通信を妨害することはできない。

そこで、本発明の目的は、正規端末であった端末が不正端末となった場合に、その端末からの通信を妨害することが可能な通信妨害装置及び通信妨害プログラムを提供することにある。

本発明の１つの態様によれば、各種パケットを通信可能なネットワークに接続された通信妨害装置が提供される。この通信妨害装置は、前記ネットワークに接続された端末から送出された当該端末を示す発信元端末情報を含むＡＲＰ要求パケットを、前記ネットワーク上から収集する収集手段と、前記ネットワークへの接続が許可されている正規端末を示す登録情報を予め格納する格納手段と、前記収集されたＡＲＰ要求パケットに含まれる発信元端末情報によって示される端末が正規端末であるかを、前記格納手段に格納されている登録情報に基づいて判定する第１の判定手段と、前記収集されたＡＲＰ要求パケットに含まれる発信元端末情報及び前記第１の判定手段による判定結果を対応付けて保持する保持手段と、前記端末が前記正規端末から前記ネットワークへの接続が許可されていない不正端末に変更されたことを示す変更通知を入力する入力手段と、前記保持手段を参照して、前記入力された変更通知によって示される前記正規端末から前記不正端末に変更された端末を示す発信元端末情報に対応付けられている判定結果が前記正規端末であることを示すかを判定する第２の判定手段と、前記判定結果が前記正規端末であることを示すと前記第２の判定手段によって判定された場合、前記ネットワーク上に存在する端末を特定不能なＩＰアドレス及びＭＡＣアドレスを含む予め定められた数のＡＲＰ応答パケットを、前記正規端末から前記不正端末に変更された端末に対して送出する送出手段とを具備する。

本発明によれば、正規端末であった端末が不正端末となった場合に、その端末からの通信を妨害することを可能とする。

以下、図面を参照して、本発明の実施形態について説明する。

図１は、本発明の実施形態に係る通信妨害装置が接続されるネットワークシステムについて説明するための図である。

図１に示すように、複数の端末はネットワーク３０と接続されている。ネットワーク３０は、例えばＬＡＮ（Local Area Network）のような各種パケットを通信可能なネットワークである。複数の端末は、端末２１及び端末２２を含む。なお、図１には端末２１及び端末２２以外の端末は省略されている。端末２１及び端末２２を含む複数の端末は、それぞれ後述するＡＲＰキャッシュを有する。

ネットワーク３０には、コンピュータ１０が接続されている。コンピュータ１０は、例えばハードディスクドライブのような外部記憶装置４０と接続されている。この外部記憶装置４０は、コンピュータ１０によって実行されるプログラム４１を格納する。コンピュータ１０及び外部記憶装置４０は、通信妨害装置５０を構成する。

図２は、図１に示す通信妨害装置５０の主として機能構成を示すブロック図である。通信妨害装置５０は、パケット収集部５１、問合せ部５２、偽ＡＲＰ送出部５３及び登録情報受付部５４を有する。本実施形態において、これらの各部５１乃至５４は、図１に示すコンピュータ１０が外部記憶装置４０に格納されているプログラム４１を実行することにより実現されるものとする。このプログラム４１は、コンピュータ読取可能な記憶媒体に予め格納して頒布可能である。また、このプログラム４１が、ネットワーク３０を介してコンピュータ１０にダウンロードされても構わない。

通信妨害装置５０は、端末登録情報格納部４２を有する。本実施形態において、この端末登録情報格納部４２は図１に示す外部記憶装置４０に格納される。また、通信妨害装置５０は、問合せ結果キャッシュ部４３を有する。本実施形態において、この問合せ結果キャッシュ部４３は例えば図１に示すコンピュータ１０に備えられるメモリ内にその領域が確保されている。

パケット収集部５１は、ネットワーク３０上の複数のＡＲＰ（Address Resolution Protocol）要求パケットを収集する。この複数のＡＲＰ要求パケットは、ネットワーク３０に接続される複数の端末の各々から送出される。ＡＲＰ要求パケットは、例えばＡＲＰ要求パケットの発信元となる端末（以下、発信元端末と表記）の通信相手となる端末（以下、通信相手端末と表記）に割り当てられているＩＰ（Internet Protocol）アドレスから、当該通信相手端末を特定するためのＭＡＣ（Media Access Control）アドレスを取得するために用いられる。また、ＡＲＰ要求パケットは、例えばネットワーク３０に接続される全ての端末等（通信妨害装置５０を含む）に送出されるブロードキャストパケットである。

ＡＲＰ要求パケットには、発信元端末を示す発信元端末情報及び通信相手端末を示す通信相手端末情報が含まれる。発信元端末情報は、発信元端末に割り当てられているＩＰアドレス及び当該発信元端末を特定するためのＭＡＣアドレスを含む。通信相手端末情報は、通信相手端末に割り当てられているＩＰアドレスを含む。以下、端末に割り当てられているＩＰアドレスを単に端末のＩＰアドレス（例えば、発信元端末のＩＰアドレス等）と表記する。同様に、端末を特定するためのＭＡＣアドレスを単に端末のＭＡＣアドレス（例えば、発信元端末のＭＡＣアドレス等）と表記する。

ＡＲＰ要求パケットがブロードキャストにより発信元端末から送出されると、当該ＡＲＰ要求パケットに含まれる通信相手端末情報に含まれるＩＰアドレスが割り当てられている通信相手端末は、当該ＡＲＰ要求パケットに対する応答として、当該通信相手端末自身のＭＡＣアドレスを含むＡＲＰ応答パケットを発信元端末に対して送出する。このＡＲＰ応答パケットを受信することにより、発信元端末は、通信相手端末のＭＡＣアドレスを取得する。なお、このＡＲＰ応答パケットは、例えばＡＲＰ要求パケットの発信元端末を指定して送出されるユニキャストパケットである。ＡＲＰ応答パケットには、例えば当該ＡＲＰ応答パケットを送出する端末（ＡＲＰ要求パケットにおける通信相手端末）のＭＡＣアドレス及びＩＰアドレスと、当該ＡＲＰ応答パケットの送出先となる端末（ＡＲＰ要求パケットにおける発信元端末）のＭＡＣアドレス及びＩＰアドレスとが含まれる。

問合せ部５２は、パケット収集部５１によって収集された例えば複数のＡＲＰ要求パケットの各々を送出した発信元端末が、ネットワーク３０への接続が許可されている端末（以下、正規端末と表記）であるか否かを判定する。問合せ部５２は、パケット収集部５１によって収集されたＡＲＰ要求パケットに含まれる発信元端末情報に基づいて判定処理を実行する。また、問合せ部５２は、端末登録情報格納部４２を参照して判定処理を実行する。なお、正規端末とは反対に、ネットワーク３０への接続が許可されていない端末は不正端末と表記する。

端末登録情報格納部４２には、ネットワーク３０への接続が許可されている正規端末を示す登録情報が予め格納（登録）されている。この登録情報は、例えば正規端末である端末のＩＰアドレス及びＭＡＣアドレスを含む。なお、端末登録情報格納部４２に格納されている登録情報は、例えば通信妨害装置５０の管理者によって追加または削除等、各種変更される。

問合せ結果キャッシュ部４３には、パケット収集部５１によって収集された複数のＡＲＰ要求パケットの各々に含まれている発信元情報及び当該発信元端末情報によって示される発信元端末が正規端末であるか否かの問合せ部５２による判定結果が保持される。

偽ＡＲＰ送出部５３は、問合せ部５２によって発信元端末が正規端末でないと判定された場合、当該発信元端末の通信相手となる通信相手端末のＭＡＣアドレスとは異なるＭＡＣアドレスを含む偽ＡＲＰ応答パケットを、当該発信元端末に対して送出する。つまり、偽ＡＲＰ送出部５３は、通信相手端末を送信元として偽ＡＲＰ応答パケットを送出する。この偽ＡＲＰ応答パケットは、例えば特定のＡＲＰ要求パケットに応じて送出されるものではなく、独立して発信元端末に送出される。

このとき、偽ＡＲＰ送出部５３は、例えば発信元端末からブロードキャストにより送出されたＡＲＰ要求パケットを受信した通信相手端末から、当該通信相手端末のＭＡＣアドレスを含むＡＲＰ応答パケットが送出された後に偽ＡＲＰ応答パケットを送出する。なお、上記した通信相手端末のＭＡＣアドレスとは異なるＭＡＣアドレスは、例えば通信妨害装置５０のＭＡＣアドレスまたはネットワーク３０上に存在しないＭＡＣアドレス等を含む。

前述した端末（ここでは、発信元端末）が有するＡＲＰキャッシュには、例えばＡＲＰ要求パケットにより解決された通信相手端末のアドレス情報が保持される。このアドレス情報は、通信相手端末のＩＰアドレス及びＭＡＣアドレスを示す。ネットワーク３０に接続されている端末は、当該端末が有するＡＲＰキャッシュに保持されているアドレス情報に基づいて、通信相手端末との通信を行う。なお、ＡＲＰキャッシュに保持されるアドレス情報は、例えば一定期間経過するとクリアされる。また、この一定期間は、例えばプラットフォーム（ＯＳ：Operating System）により異なる。

ここで、例えばネットワーク３０に接続される発信元端末（例えば、端末２１）が不正端末である場合を想定する。この場合に、端末２１がブロードキャストにより通信相手端末を例えば端末２２とするＡＲＰ要求パケットを送出したものとする。この場合、このＡＲＰ要求パケットを受信した端末２２は、当該端末２２のアドレス情報（ＩＰアドレス及びＭＡＣアドレス）を含むＡＲＰ応答パケットを端末２１に対して送出する。端末２１は、通信相手端末（例えば、端末２２）から送出されたＡＲＰ応答パケットを受信すると、当該ＡＲＰ応答パケットに含まれる端末２２のＩＰアドレス及びＭＡＣアドレスを含むアドレス情報を端末２１が有するＡＲＰキャッシュに保持する。この後に偽ＡＲＰ送出部５３によって端末２１に対して偽ＡＲＰ応答パケットが送出されると、端末２１は、当該偽ＡＲＰ応答パケットに含まれる端末２２のＩＰアドレス及び当該端末２２のＭＡＣアドレスとは異なるＭＡＣアドレスを含むアドレス情報を、当該端末２１のＡＲＰキャッシュに保持（上書き）する。これにより、例えば不正端末である端末２１のＡＲＰキャッシュには、端末２２のＩＰアドレス及びＭＡＣアドレスを含むアドレス情報は保持されず、当該端末２２のＩＰアドレス及び当該端末２２のＭＡＣアドレスとは異なるＭＡＣアドレスを含むアドレス情報が保持される。このため、端末２１のＡＲＰキャッシュは正しくない状態となる。よって、端末２１が不正端末である場合においては、当該端末２１は、端末２２と正常に通信することができなくなる。

また、偽ＡＲＰ送出部５３は、例えば問合せ結果キャッシュ部４３に保持されている発信元端末情報によって示される発信元端末が正規端末から不正端末に変更された場合、例えばネットワーク３０上に存在する端末を特定不能なＩＰアドレス及びＭＡＣアドレス（の組み合わせ）を含むＡＲＰ応答パケット（偽ＡＲＰ応答パケット）を、当該発信元端末に対して送出する。このとき、偽ＡＲＰ送出部５３は、正規端末から不正端末に変更された発信元端末が有するＡＲＰキャッシュをオーバーフローさせるために、当該ＡＲＰキャッシュをオーバーフローさせるために十分な予め定められた数（多数）の偽ＡＲＰ応答パケットを送出する。

なお、ここで偽ＡＲＰ送出部５３によって送出される偽ＡＲＰ応答パケットに含まれるＩＰアドレスは、当該ＩＰアドレスが割り当てられている端末の有無とは関係ない。例えば偽ＡＲＰ応答パケットに含まれるＩＰアドレスが割り当てられている端末が存在しない場合には、当該偽ＡＲＰ応答パケットに含まれるＭＡＣアドレスがネットワーク３０上に存在する端末等のＭＡＣアドレスであっても当該端末を特定することはできない。また、偽ＡＲＰ応答パケットに含まれるＩＰアドレスが割り当てられている端末が存在する場合には、当該ＩＰアドレス及び当該ＩＰアドレスが割り当てられている端末のＭＡＣアドレスとは異なるＭＡＣアドレスであれば、当該端末を特定することはできない。偽ＡＲＰ応答パケットに含まれるＩＰアドレス及びＭＡＣアドレスは、このように端末を特定することができないものであればよい。

換言すれば、偽ＡＲＰ送出部５３は、任意のＩＰアドレス及び当該ＩＰアドレスとの関係でネットワーク３０上に存在する機器（端末等）を特定不能なＭＡＣアドレスを発信元とする偽ＡＲＰ応答パケットを送出する。

具体的には、例えばＭＡＣアドレスは通信妨害装置５０のＭＡＣアドレスを用い、ＩＰアドレスは当該通信妨害装置５０に割り当てられているＩＰアドレス以外のＩＰアドレスを用いることが考えられる。

また、偽ＡＲＰ送出部５３は、例えば問合せ結果キャッシュ部４３に保持されている発信元端末情報によって示される発信元端末が正規端末から不正端末に変更された場合、当該発信元端末のＩＰアドレス及び当該発信元端末のＭＡＣアドレスとは異なるＭＡＣアドレスを送信元して含む偽ＡＲＰ応答パケットを、ネットワーク３０上の全てのホストアドレスに対して送信する。この場合、偽ＡＲＰ送出部５３は、端末登録情報格納部４２に格納されている登録情報によって示される正規端末に対して偽ＡＲＰ応答パケットを送出する。つまり、偽ＡＲＰ送出部５３は、端末登録情報格納部４２に格納されている登録情報に含まれるＩＰアドレス及びＭＡＣアドレスを用いて、偽ＡＲＰ応答パケットを正規端末に対して送出する。

なお、これらの偽ＡＲＰ応答パケットは、上記したように例えば特定のＡＲＰ要求パケットに応じて送出されるものではなく、独立して送出されるパケットである。

登録情報受付部５４は、例えば通信妨害装置５０の管理者による正規端末を示す登録情報の追加または削除等の変更を示す変更通知を入力（受信）する。この変更通知には、例えば変更された端末のＭＡＣアドレス（またはＩＰアドレス）及び当該端末が正規端末または不正端末に変更されたこと（を示す情報）が含まれる。

なお、変更通知は、例えば正規端末のＩＰアドレス及びＭＡＣアドレス等を管理する管理サーバ等が存在する場合には当該管理サーバから通知され、通信妨害装置５０に入力される。一方、このような管理サーバが存在しない場合には、例えば通信妨害装置５０の管理者の操作に応じて変更通知が入力される。

登録情報受付部５４は、入力された変更通知に応じて、端末登録情報格納部４２に格納されている登録情報の変更処理を実行する。登録情報受付部５４は、入力された変更通知によって示される例えば正規端末から不正端末に変更された端末を示す発信元端末情報が問合せ結果キャッシュ部４３に保持されているか否かを判定する。登録情報受付部５４は、例えば正規端末から不正端末に変更された端末を示す発信元端末情報に対応付けて問合せ結果キャッシュ部４３に保持されている問合せ部５２による判定結果が正規端末を示すか否かを判定する。また、登録情報受付部５４は、入力された変更通知に応じて、問合せ結果キャッシュ部４３に保持されている問合せ部５２による判定結果を書き換える。

図３は、問合せ結果キャッシュ部４３のデータ構造の一例を示す。図３に示すように、問合せ結果キャッシュ部４３には、発信元端末を示す発信元端末情報及び状態（問合せ部５２による判定結果）が対応付けて保持されている。発信元端末情報には、発信元端末のＭＡＣアドレス及びＩＰアドレスが含まれる。状態には、正規端末であることを示す「正規（端末）」または不正端末であることを示す「不正（端末）」が含まれる。

図３に示す例では、問合せ結果キャッシュ部４３には、発信元端末Ａを示す発信元端末情報「Ａ（ｍａｃ、ｉｐ）」及び状態「正規」が対応付けて保持されている。なお、「Ａ（ｍａｃ、ｉｐ）」は、発信元端末ＡのＭＡＣアドレス及びＩＰアドレスを示す。

問合せ結果キャッシュ部４３には、発信元端末Ｂを示す発信元端末情報「Ｂ（ｍａｃ、ｉｐ）」及び状態「正規」が対応付けて保持されている。問合せ結果キャッシュ部４３には、発信元端末Ｃを示す発信元端末情報「Ｃ（ｍａｃ、ｉｐ）」及び状態「不正」が対応付けて保持されている。また、問合せ結果キャッシュ部４３には、発信元端末Ｄを示す発信元端末情報「Ｄ（ｍａｃ、ｉｐ）」及び状態「正規」が対応付けて保持されている。

次に、図４のフローチャートを参照して、発信元端末からＡＲＰ要求パケットがブロードキャストにより送出された際の通信妨害装置５０の処理手順について説明する。

まず、パケット収集部５１は、発信元端末から送出されたＡＲＰ要求パケットをネットワーク３０上から収集する（ステップＳ１）。このパケット収集部５１によって収集されたＡＲＰ要求パケットには、発信元端末のＩＰアドレス及びＭＡＣアドレス（発信元端末情報）が含まれる。また、パケット収集部５１によって収集されたＡＲＰ要求パケットには、通信相手端末のＩＰアドレス（通信相手端末情報）が含まれる。

次に、問合せ部５２は、パケット収集部５１によって収集されたＡＲＰ要求パケットを送出した発信元端末が正規端末であるか否かを判定する（ステップＳ２）。問合せ部５２は、パケット収集部５１によって収集されたＡＲＰ要求パケットに含まれる発信元端末のＭＡＣアドレス（及びＩＰアドレス）を含む登録情報が端末登録情報格納部４２に存在するか否かによって判定処理を実行する。

問合せ部５２は、パケット収集部５１によって収集されたＡＲＰ要求パケットに含まれる発信元端末を示す発信元端末情報（発信元端末のＩＰアドレス及びＭＡＣアドレス）及び当該問合せ部５２による判定結果（正規または不正）を問合せ結果キャッシュ部４３に登録する（ステップＳ３）。

ここで、問合せ部５２による判定結果が不正である場合（ステップＳ４のＮＯ）、偽ＡＲＰ送出部５３は、パケット収集部５１によって収集されたＡＲＰ要求パケットに含まれる通信相手端末情報によって示される通信相手端末のＭＡＣアドレスとは異なるＭＡＣアドレスを含む偽ＡＲＰ応答パケットを、発信元端末に対して送出する（ステップＳ５）。つまり、偽ＡＲＰ送出部５３は、パケット収集部５１によって収集されたＡＲＰ要求パケットに含まれる通信相手端末情報によって示される通信相手端末を送信元として偽ＡＲＰ応答パケットを送出する。

なお、偽ＡＲＰ送出部５３は、例えば通信相手端末のＭＡＣアドレスを含むＡＲＰ応答パケットが当該通信相手端末から送出された後に、偽ＡＲＰ応答パケットを送出する。この通信相手端末から送出されたＡＲＰ応答パケットは、発信元端末から送出されたＡＲＰ要求パケットに対する応答である。この場合、偽ＡＲＰ送出部５３は、例えば予め定められた一定期間が経過した場合に、通信相手端末からＡＲＰ応答パケットが送出されたものとして偽ＡＲＰ応答パケットを送出する。また、偽ＡＲＰ送出部５３は、偽ＡＲＰ応答パケットを複数回送出する構成であっても構わない。

一方、ステップＳ４において問合せ部５２による判定結果が正規である場合、ステップＳ１に戻って処理が繰り返される。

次に、図５のフローチャートを参照して、端末登録情報格納部４２に格納されている登録情報によって示される正規端末が不正端末に変更された場合の通信妨害装置５０の処理手順について説明する。

まず、登録情報受付部５４は、例えば管理者による登録情報の変更を示す変更通知を入力（受信）する（ステップＳ１１）。ここでは、登録情報受付部５４によって入力された変更通知は、ネットワーク３０上に存在する端末が正規端末から不正端末に変更されたことを示すものとする。なお、この変更通知は、例えば正規端末（のＩＰアドレス及びＭＡＣアドレス）の管理を行う管理サーバから通知される。登録情報受付部５４は、入力された変更通知に応じて、端末登録情報格納部４２に格納されている登録情報を変更する。

以下、変更通知によって示される正規端末から不正端末に変更された端末を対象端末として説明する。

次に、登録情報受付部５４は、対象端末を示す発信元端末情報が問合せ結果キャッシュ部４３に保持されているか否かを判定する。対象端末を示す発信元端末情報が問合せ結果キャッシュ部４３に保持されていると判定された場合、登録情報受付部５４は、当該発信元端末情報に対応付けて問合せ結果キャッシュ部４３に保持されている状態（問合せ部５２による判定結果）が正規であるか否かを判定する（ステップＳ１２）。

問合せ結果キャッシュ部４３に保持されている状態が正規であると判定された場合（ステップＳ１２のＹＥＳ）、登録情報受付部５４は、当該問合せ結果キャッシュ部４３に保持されている状態を不正に変更する（ステップＳ１３）。

次に、偽ＡＲＰ送出部５３は、ネットワーク３０上に存在する端末を特定することができないＩＰアドレス及びＭＡＣアドレスを含む多数の偽ＡＲＰ応答パケットを対象端末に対して送出する（ステップＳ１４）。これにより、偽ＡＲＰ送出部５３は、対象端末が有するＡＲＰキャッシュをオーバーフローさせる。なお、偽ＡＲＰ送出部５３は、例えば対象端末が有するＡＲＰキャッシュをオーバーフローさせるために十分な数として予め定められた数（例えば、１００００等）の偽ＡＲＰ応答パケットを送出する。

対象端末が有するＡＲＰキャッシュがオーバーフロー状態となると、当該ＡＲＰキャッシュには端末を特定不能なアドレス情報（ＩＰアドレス及びＭＡＣアドレス）のみが存在することになるため、対象端末は他の正規端末と通信することができなくなる。なお、上記したように偽ＡＲＰ応答パケットにおいては、例えばＩＰアドレスが割り当てられている端末等（機器）の存在の有無にかかわらず、当該ＩＰアドレス及びＭＡＣアドレスの関係で端末が特定できるものでなければよい。

ここで、図６〜図８を参照して、多数の偽ＡＲＰ応答パケットが対象端末に送出された際の当該対象端末が有するＡＲＰキャッシュの状態の遷移について説明する。

図６は、偽ＡＲＰ送出部５３によって多数の偽ＡＲＰ応答パケットが送出される前の対象端末が有するＡＲＰキャッシュ２１０の状態を示す。つまり、図６は、対象端末が正規端末から不正端末に変更された時点での当該対象端末が有するＡＲＰキャッシュ２１０の状態を示す。

図６に示すように、対象端末が有するＡＲＰキャッシュ２１０には、例えば領域０〜２０００が含まれているものとする。このＡＲＰキャッシュ２１０では、当該ＡＲＰキャッシュ２１０に含まれる領域０〜２０００の各領域にアドレス情報が保持可能である。アドレス情報は、対象端末の通信相手となる端末（通信相手端末）のＩＰアドレス及びＭＡＣアドレスを含む。

図６に示す例では、ＡＲＰキャッシュ２１０の領域０には、ＩＰアドレス「１０．０．０．１」及びＭＡＣアドレス「００：００：ＡＢ：ＣＤ：ＥＦ：０１」を含むアドレス情報２１１が保持されているものとする。このＩＰアドレス「１０．０．０．１」はネットワーク３０上に存在する正規端末のＩＰアドレスであり、ＭＡＣアドレス「００：００：ＡＢ：ＣＤ：ＥＦ：０１」は当該正規端末のＭＡＣアドレスである。

また、ＡＲＰキャッシュ２１０の領域１には、ＩＰアドレス「１０．０．０．２」及びＭＡＣアドレス「００：００：ＡＢ：ＣＤ：ＥＦ：０２」を含むアドレス情報２１２が保持されているものとする。このＩＰアドレス「１０．０．０．２」はネットワーク３０上に存在する正規端末のＩＰアドレスであり、ＭＡＣアドレス「００：００：ＡＢ：ＣＤ：ＥＦ：０２」は当該正規端末のＭＡＣアドレスである。

なお、ＡＲＰキャッシュ２１０には、上記したアドレス情報２１１及び２１２以外のアドレス情報は保持されていないものとする。つまり、ＡＲＰキャッシュ２１０において、領域０〜２０００のうち、アドレス情報２１１及び２１２が保持されている領域０及び１以外（領域２〜２０００）は空き領域であるものとする。

ここで、例えばＡＲＰキャッシュ２１０を有する対象端末に対して偽ＡＲＰ応答パケットが送出された場合を想定する。この場合、ＡＲＰキャッシュ２１０においては、偽ＡＲＰ応答パケットに含まれるＩＰアドレス及びＭＡＣアドレスを含むアドレス情報が上記したアドレス情報が保持されていない領域（つまり、空き領域）に保持される。

図７は、偽ＡＲＰ送出部５３によって偽ＡＲＰ応答パケットが送出された場合の対象端末が有するＡＲＰキャッシュ２１０の状態を示す。ここで送出された偽ＡＲＰ応答パケットには、ＩＰアドレス「１０．０．０．３」及びＭＡＣアドレス「ＸＸ：ＸＸ：ＸＸ：ＸＸ：ＸＸ：ＸＸ」が含まれるものとする。上記したように、この偽ＡＲＰ応答パケットに含まれるＩＰアドレス及びＭＡＣアドレスは、ネットワーク３０上の端末等を特定することができないものである。

図７に示すように、この偽ＡＲＰ応答パケットが対象端末に対して送出された場合、上記したように当該対象端末のＡＲＰキャッシュ２１０のアドレス情報が保持されていない空き領域（ここでは、領域２）に、当該偽ＡＲＰ応答パケットに含まれるＩＰアドレス「１０．０．０．３」及びＭＡＣアドレス「ＸＸ：ＸＸ：ＸＸ：ＸＸ：ＸＸ：ＸＸ」を含むアドレス情報２１３が保持される。

なお、図示していないが、偽ＡＲＰ送出部５３は多数の偽ＡＲＰ応答パケットを送出するので、この後に同じ偽ＡＲＰ応答パケットが送出された場合にも同様に、ＡＲＰキャッシュ２１０の空き領域（例えば、領域３）に順にＩＰアドレス「１０．０．０．３」及びＭＡＣアドレス「ＸＸ：ＸＸ：ＸＸ：ＸＸ：ＸＸ：ＸＸ」を含むアドレス情報２１３が保持される。このように、ＡＲＰキャッシュ２１０の領域２０００にアドレス情報２１３が保持されるまで、つまり、当該ＡＲＰキャッシュ２１０に空き領域がなくなるまで、ＡＲＰキャッシュ２１０にアドレス情報２１３が保持される。

ここで、偽ＡＲＰ送出部５３によって多数の偽ＡＲＰ応答パケットが送出されたことにより、ＡＲＰキャッシュ２１０の領域０〜２０００の全てにアドレス情報が保持され、当該ＡＲＰキャッシュ２１０に空き領域がない状態である場合を想定する。この場合、ＡＲＰキャッシュ２１０の領域０にはアドレス情報２１１が保持されており、領域１にはアドレス情報２１２が保持されており、それ以外の領域２〜２００にはアドレス情報２１３が保持されている。

このようにＡＲＰキャッシュ２１０の領域がアドレス情報で埋まっている状態において、更に上記したＩＰアドレス「１０．０．０．３」及びＭＡＣアドレス「ＸＸ：ＸＸ：ＸＸ：ＸＸ：ＸＸ：ＸＸ」を含む偽ＡＲＰ応答パケットが送出されると、ＩＰアドレス「１０．０．０．３」及びＭＡＣアドレス「ＸＸ：ＸＸ：ＸＸ：ＸＸ：ＸＸ：ＸＸ」を含むアドレス情報２１３が当該ＡＲＰキャッシュ２１０に保持されているアドレス情報のうち古いアドレス情報（ここでは、例えば領域０のアドレス情報２１１）に上書きされる。また、更に偽ＡＲＰ応答パケットが送出されると、アドレス情報２１３が領域１のアドレス情報２１２に上書きされる。以下、更に偽ＡＲＰ応答パケットが送出された場合にも同様に上書き処理が実行される。このように、対象端末が有するＡＲＰキャッシュ２１０をあふれさせることにより、当該ＡＲＰキャッシュ２１０は、図８に示す状態となる。

つまり、上記したように対象端末に対して多数の偽ＡＲＰ応答パケットが送出され、当該対象端末が有するＡＲＰキャッシュ２１０をあふれさせることにより、図８に示すように、ＡＲＰキャッシュ２１０には、ネットワーク３０上の端末等を特定不能なアドレス情報２１３（ＩＰアドレス「１０．０．０．３」及びＭＡＣアドレス「ＸＸ：ＸＸ：ＸＸ：ＸＸ：ＸＸ：ＸＸ」）のみが保持される。換言すれば、ＡＲＰキャッシュ２１０には、正常なアドレス情報（例えばアドレス情報２１１及び２１２等）はオーバーフローにより正常でないアドレス情報２１３で上書きされる。これにより、対象端末が他の端末（正規端末）と通信することを妨害することができる。また、ＡＲＰキャッシュ２１０に保持されるアドレス情報２１３が例えば一定期間経過後にクリアされると、対象端末は他の正規端末と通信を行うためにＡＲＰ要求パケットを送出するが、対象端末は不正端末であるため上記した図４に示す処理によって当該対象端末と他の正規端末との通信は妨害される。

なお、図６〜図８に示す例では、同一の偽ＡＲＰ応答パケットが多数送出されたものとして説明したが、偽ＡＲＰ応答パケットに含まれるＩＰアドレス及びＭＡＣアドレスがネットワーク３０上の端末等を特定できるものでなければ異なる偽ＡＲＰ応答パケットが多数送出されても構わない。

ここで、図９を参照して、対象端末と他の正規端末の関係について説明する。図９では、対象端末を端末Ａ、当該対象端末とは別の正規端末を端末ａ及び端末ｂとする。

上記したように、図５に示すステップＳ１４の処理によって対象端末である端末Ａが他の正規端末である端末ａ及び端末ｂに対してアクセス（通信）することは妨害できる。しかしながら、この処理では端末ａ及び端末ｂの端末Ａに対するアクセスは妨害することができない。

そこで、例えば上記した図５に示すステップＳ１４の処理を端末ａ及び端末ｂに対しても行うことで端末ａ及び端末ｂから端末Ａに対するアクセスを妨害することができる。しかしながら、これでは端末ａ及び端末ｂが有するＡＲＰキャッシュに保持されるアドレス情報の全てが正常でなくなるため、正規端末である端末ａ及び端末ｂ間の通信まで妨害することになる。

したがって、図９に示すように、端末ａ及び端末ｂからの端末Ａに対するアクセスを妨害し、かつ、端末ａ及び端末ｂ間の通信は継続させる必要がある。

そこで、再び図５に戻ると、偽ＡＲＰ送出部５３は、対象端末のＩＰアドレス及び当該対象端末のＭＡＣアドレスとは異なるＭＡＣアドレスを含む偽ＡＲＰ応答パケットを、ネットワーク３０上の全ての正規端末に送出する（ステップＳ１５）。このとき、偽ＡＲＰ送出部５３は、端末登録情報格納部４２に格納されている登録情報に含まれる正規端末のＩＰアドレス及びＭＡＣアドレスを用いて、偽ＡＲＰ応答パケットを送出する。

なお、対象端末のＩＰアドレス及び当該対象端末のＭＡＣアドレスとは異なるＭＡＣアドレスを含む偽ＡＲＰ応答パケットをブロードキャストにより全ての正規端末に送出する構成であっても構わない。

この処理により、上記した図９に示す端末ａ及び端末ｂが有するＡＲＰキャッシュに保持される端末Ａ（対象端末）のＩＰアドレスを含むアドレス情報は正常でなくなるため、当該端末ａ及び端末ｂからの端末Ａに対するアクセスを妨害することができる。

一方、ステップＳ１２において問合せ結果キャッシュ部４３に保持されている状態が正規でないと判定された場合、ステップＳ１１に戻って処理が繰り返される。また、問合せ結果キャッシュ部４３に対象端末を示す発信元端末情報が保持されていない場合についても同様に、ステップＳ１１に戻って処理が繰り返される。

上記したように本実施形態においては、例えば問合せ結果キャッシュ部４３に保持されている発信元端末情報によって示される端末が正規端末から不正端末に変更された場合に当該変更を示す変更通知を入力し、当該変更された端末（対象端末）に対して予め定められた数（多数）の偽ＡＲＰ応答パケットが送出される。これにより、正規端末から不正端末に変更された対象端末が有するＡＲＰキャッシュをオーバーフローさせ、当該ＡＲＰキャッシュの状態を正常でない状態とすることで、当該対象端末が他の正規端末に対してアクセス（通信）することを妨害することが可能となる。

また、本実施形態においては、端末登録情報格納部４２に格納されている登録情報によって示される全ての正規端末に対して偽ＡＲＰ応答パケットが送出される。これにより、本実施形態においては、正規端末が対象端末に対してアクセスすることを妨害することが可能となる。

［変形例］
次に、図１０〜図１２を参照して、本実施形態の変形例について説明する。なお、本変形例に係る通信妨害装置の構成については、前述した本実施形態に係る通信妨害装置５０と同様の構成であるので、図１及び図２を用いて説明する。

本変形例に係る通信妨害装置５０は、前述した本実施形態とは異なり、偽ＡＲＰ送出部５３によって偽ＡＲＰ応答パケットが正規端末から不正端末に変更された端末（対象端末）に対して送出されている間に当該対象端末から送出されたＡＲＰ要求パケットの数をカウントするリクエストカウンタ（図示せず）を有する。リクエストカウンタは、パケット収集部５１によって収集された対象端末を示す発信元端末情報を含むＡＲＰ要求パケットの数をカウントする。

問合せ結果キャッシュ部４３には、パケット収集部５１によって収集された複数のＡＲＰ要求パケットの各々に含まれている発信元情報及び当該発信元端末情報によって示される発信元端末が正規端末であるかの問合せ部５２による判定結果に対応付けてリクエストカウンタによってカウントされた数（以下、リクエストカウント値と表記）が保持される。

偽ＡＲＰ送出部５３は、問合せ結果キャッシュ部４３に保持されているリクエストカウンタ値に基づいて、予め定められた数（例えば、２回）のＡＲＰ要求パケットが対象端末によって送出されるまで当該対象端末に対して偽ＡＲＰ応答パケットを送出する。この偽ＡＲＰ応答パケットは、前述したようにネットワーク３０上に存在する端末を特定することができないＩＰアドレス及びＭＡＣアドレスを含む。

つまり、前述した本実施形態においては予め定められた数（例えば、１００００）の偽ＡＲＰ応答パケットが対象端末に対して送出されると当該偽ＡＲＰ応答パケットの送出処理が停止されるのに対して、本変形例においては、送出される偽ＡＲＰ応答パケットの数は定められておらず、当該対象端末からＡＲＰ要求パケットが送出された回数で偽ＡＲＰ応答パケットの送出処理が停止される点で前述した本実施形態とは異なる。

なお、上記した偽ＡＲＰ応答パケットの送出処理を停止するために用いられるＡＲＰ要求パケットの送出回数は、予め定められているが、適宜変更可能である。以下、偽ＡＲＰ応答パケットの送出処理が停止されるために用いられるＡＲＰ要求パケットの送出回数を、規定回数と表記する。

図１０は、本変形例に係る通信妨害装置５０が有する問合せ結果キャッシュ部４３のデータ構造の一例を示す。図１０に示すように、問合せ結果キャッシュ部４３には、発信元端末を示す発信元端末情報、状態及びリクエストカウンタ値が対応付けて保持されている。このリクエストカウンタ値は、上記したように当該リクエストカウンタ値に対応付けられている発信元端末情報によって示される端末（発信元端末）が正規端末から不正端末に変更され、当該端末（対象端末）に対して偽ＡＲＰ応答パケットが送出されている間に、当該端末によって送出されたＡＲＰ要求パケットの数である。

図１０に示す例では、問合せ結果キャッシュ部４３には、発信元端末Ａを示す発信元端末情報「Ａ（ｍａｃ、ｉｐ）」、状態「正規」及びリクエストカウンタ値「０」が保持されている。なお、状態「正規」である場合には、発信元端末Ａは対象端末（正規端末から不正端末に変更された端末）でないためリクエストカウンタ値は０である。

問合せ結果キャッシュ部４３には、発信元端末Ｂを示す発信元端末情報「Ｂ（ｍａｃ、ｉｐ）」、状態「正規」及びリクエストカウンタ値「０」が保持されている。

問合せ結果キャッシュ部４３には、発信元端末Ｃを示す発信元端末情報「Ｃ（ｍａｃ、ｉｐ）」、状態「不正」及びリクエストカウンタ値「１」が保持されている。これによれば、発信元端末Ｃは、当該発信元端末Ｃに対して偽ＡＲＰ応答パケットが送出されている間にＡＲＰ要求パケットを１回送出したことが示される。

また、問合せ結果キャッシュ部４３には、発信元端末Ｄを示す発信元端末情報「Ｄ（ｍａｃ、ｉｐ）」、状態「正規」及びリクエストカウンタ値「０」が保持されている。

次に、図１１のフローチャートを参照して、発信元端末からＡＲＰ要求パケットがブロードキャストにより送出された際の本変形例に係る通信妨害装置５０の処理手順について説明する。ここでは、上記した規定回数として例えば２回が予め定められているものとして説明する。

まず、前述した図４に示すステップＳ１に相当するステップＳ２１の処理が実行される。

次に、問合せ部５２は、パケット収集部５１によって収集されたＡＲＰ要求パケットを送出した発信元端末（当該ＡＲＰ要求パケットに含まれる発信元端末情報によって示される発信元端末）に対して前述した図５に示すステップＳ１４における偽ＡＲＰ応答パケット送出処理を実行中（偽ＡＲＰ応答パケット送出処理中）であるか否かを判定する（ステップＳ２２）。この偽ＡＲＰ応答パケットは、前述したようにネットワーク３０上に存在する端末を特定することができないＩＰアドレス及びＭＡＣアドレスを含む。

なお、偽ＡＲＰ応答パケット送出処理中である場合、パケット収集部５１によって収集されたパケットを送出した発信元端末は、正規端末から不正端末に変更された対象端末である。

偽ＡＲＰ応答パケット送出処理中であると判定された場合（ステップＳ２２のＹＥＳ）、問合せ部５２は、対象端末（発信元端末）によって送出されたＡＲＰ要求パケット（パケット収集部５１によって収集されたＡＲＰ要求パケット）が当該偽ＡＲＰ応答パケット送出処理中における１回目のＡＲＰ要求パケットであるか否かを判定する（ステップＳ２３）。つまり、問合せ部５２は、対象端末によって送出されたＡＲＰ要求パケットがＡＲＰ応答パケット送出処理を開始して初めてのものであるか否かを判定する。

このとき、問合せ部５２は、パケット収集部５１によって収集されたＡＲＰ要求パケットを送出した対象端末（発信元端末）に対応付けて問合せ結果キャッシュ部４３に保持されているリクエストカウンタ値を参照して、判定処理を実行する。つまり、対象端末（を示す発信元端末情報）に対応付けて問合せ結果キャッシュ部４３に保持されているリクエストカウンタ値が０であれば偽ＡＲＰ応答パケット送出処理中における１回目のＡＲＰ要求パケットであると判定される。

偽ＡＲＰ応答パケット送出処理中における１回目のＡＲＰ要求パケットでないと判定された場合（ステップＳ２３のＮＯ）、問合せ部５２は、偽ＡＲＰ応答パケット送出処理中における２回目のＡＲＰ要求パケットであると判定する。この場合、問合せ部５２は、対象端末に対応付けて問合せ結果キャッシュ部４３に保持されているリクエストカウンタ値をクリア、つまり、当該リクエストカウンタ値を０にする（ステップＳ２４）。

偽ＡＲＰ応答パケット送出処理中における２回目のＡＲＰ要求パケットであると判定された場合、偽ＡＲＰ送出部５３は、対象端末が有するＡＲＰキャッシュがあふれた、つまり、当該ＡＲＰキャッシュがオーバーフローしたためにＡＲＰ要求パケットが送出されたものとみなして、対象端末に対する偽ＡＲＰ応答パケット送出処理を停止する（ステップＳ２５）。

ステップＳ２５の処理が実行されると、前述した図４に示すステップＳ２〜ステップＳ５に相当するステップＳ２６〜ステップＳ２９の処理が実行される。

一方、ステップＳ２２において、偽ＡＲＰ応答パケット送出処理中でないと判定された場合には、ステップＳ２６以降の処理が実行される。

また、ステップＳ２３において、偽ＡＲＰ応答パケット送出処理中における１回目のＡＲＰ応答パケットであると判定された場合、対象端末に対応付けて問合せ結果キャッシュ部４３に保持されているリクエストカウンタ値に１を加える（ステップＳ３０）。つまり、対象端末に対応付けて問合せ結果キャッシュ部４３に保持されているリクエストカウンタ値を１にする。これにより、偽ＡＲＰ応答パケット送出処理中に対象端末から１回ＡＲＰ要求パケットが送出されたことが示される。ステップＳ３０の処理が実行されると、ステップＳ２６以降の処理が実行される。

なお、上記したように規定回数が２回である場合にはリクエストカウンタ値は０または１のみであるため、この場合にはリクエストカウンタに代えてフラグを用いる構成であっても構わない。

また、図１１においては、規定回数が２回であるものとして説明したが、上記したように当該規定回数は適宜変更可能であるため、当該規定回数は２回に限られない。つまり、規定回数は例えば１回であってもよいが、１回ＡＲＰ要求パケットが対象端末から送出されただけでは、当該対象端末が有するＡＲＰキャッシュがオーバーフローしたとみなすには信頼性が低いため、規定回数は２回以上の複数回であることが好ましい。

次に、図１２のフローチャートを参照して、端末登録情報格納部４２に格納されている登録情報によって示される正規端末が不正端末に変更された場合の本変形例に係る通信妨害装置５０の処理手順について説明する。

まず、前述した図５に示すステップＳ１１〜ステップＳ１３に相当するステップＳ３１〜ステップＳ３３の処理が実行される。

次に、偽ＡＲＰ送出部５３は、ネットワーク３０上に存在する端末を特定することができないＩＰアドレス及びＭＡＣアドレスを含む偽ＡＲＰ応答パケットを、上記した図１１に示すステップＳ２５において偽ＡＲＰ応答パケットの送出処理が停止されるまで対象端末に対して送出する（ステップＳ３４）。

ステップＳ３４の処理が実行されると、前述した図５に示すステップＳ１５に相当するステップＳ３５の処理が実行される。

上記したように本変形例においては、前述した本実施形態と異なり、ネットワーク３０上に存在する端末を特定することができないＩＰアドレス及びＭＡＣアドレスを含む偽ＡＲＰ応答パケットが、対象端末から例えば２回ＡＲＰ要求パケットが送出される（２回ＡＲＰ要求パケットがパケット収集部５１によって収集される）まで送出される。つまり、本変形例においては、ＡＲＰ要求パケットが対象端末から２回送出されると、当該対象端末が有するＡＲＰキャッシュがオーバーフローしたものとみなされる。これにより、前述した本実施形態では対象端末が有するＡＲＰキャッシュをオーバーフローさせるために、当該ＡＲＰキャッシュをオーバーフローしたか否かにかかわらず当該オーバーフローさせるために十分な多数の偽ＡＲＰ応答パケットが送出されるのに対して、本変形例においては、上記したように対象端末が有するＡＲＰキャッシュのオーバーフローを認識することによって余分な偽ＡＲＰ応答パケットを送出することなく当該対象端末の通信を妨害することを可能とする。

なお、本願発明は、上記実施形態またはその変形例そのままに限定されるものではなく、実施段階ではその要旨を逸脱しない範囲で構成要素を変形して具体化できる。また、上記実施形態またはその変形例に開示されている複数の構成要素の適宜な組合せにより種々の発明を形成できる。例えば、実施形態またはその変形例に示される全構成要素から幾つかの構成要素を削除してもよい。更に、実施形態またはその変形例に亘る構成要素を適宜組合せてもよい。

本発明の実施形態に係る通信妨害装置が接続されるネットワークシステムについて説明するための図。 図１に示す通信妨害装置５０の主として機能構成を示すブロック図。 問合せ結果キャッシュ部４３のデータ構造の一例を示す図。 発信元端末からＡＲＰ要求パケットがブロードキャストにより送出された際の通信妨害装置５０の処理手順を示すフローチャート。 端末登録情報格納部４２に格納されている登録情報によって示される正規端末が不正端末に変更された場合の通信妨害装置５０の処理手順を示すフローチャート。 偽ＡＲＰ送出部５３によって多数の偽ＡＲＰ応答パケットが送出される前の対象端末が有するＡＲＰキャッシュ２１０の状態を示す図。 偽ＡＲＰ送出部５３によって偽ＡＲＰ応答パケットが送出された場合の対象端末が有するＡＲＰキャッシュ２１０の状態を示す図。 偽ＡＲＰ送出部５３によって多数の偽ＡＲＰ応答パケットが送出された後の対象端末が有するＡＲＰキャッシュ２１０の状態を示す図。 対象端末と他の正規端末の関係について説明するための図。 本実施形態の変形例に係る通信妨害装置５０が有する問合せ結果キャッシュ部４３のデータ構造の一例を示す図。 発信元端末からＡＲＰ要求パケットがブロードキャストにより送出された際の本変形例に係る通信妨害装置５０の処理手順を示すフローチャート。 正規端末が不正端末に変更された場合の本変形例に係る通信妨害装置５０の処理手順を示すフローチャート。

符号の説明

１０…コンピュータ、２１，２２…端末、３０…ネットワーク、４０…外部記憶装置、４２…端末登録情報格納部、４３…問合せ結果キャッシュ部（保持手段）、５０…通信妨害装置、５１…パケット収集部、５２…問合せ部、５３…偽ＡＲＰ送出部、５４…登録情報受付部。

Claims (5)

1. 各種パケットを通信可能なネットワークに接続された通信妨害装置において、
   前記ネットワークに接続された端末から送出された当該端末を示す発信元端末情報を含むＡＲＰ要求パケットを、前記ネットワーク上から収集する収集手段と、
   前記ネットワークへの接続が許可されている正規端末を示す登録情報を予め格納する格納手段と、
   前記収集されたＡＲＰ要求パケットに含まれる発信元端末情報によって示される端末が正規端末であるかを、前記格納手段に格納されている登録情報に基づいて判定する第１の判定手段と、
   前記収集されたＡＲＰ要求パケットに含まれる発信元端末情報及び前記第１の判定手段による判定結果を対応付けて保持する保持手段と、
   前記端末が前記正規端末から前記ネットワークへの接続が許可されていない不正端末に変更されたことを示す変更通知を入力する入力手段と、
   前記保持手段を参照して、前記入力された変更通知によって示される前記正規端末から前記不正端末に変更された端末を示す発信元端末情報に対応付けられている判定結果が前記正規端末であることを示すかを判定する第２の判定手段と、
   前記判定結果が前記正規端末であることを示すと前記第２の判定手段によって判定された場合、前記ネットワーク上に存在する端末を特定不能なＩＰアドレス及びＭＡＣアドレスを含む予め定められた数のＡＲＰ応答パケットを、前記正規端末から前記不正端末に変更された端末に対して送出する送出手段と
   を具備することを特徴とする通信妨害装置。
2. 前記送出手段は、前記正規端末から前記不正端末に変更された端末に割り当てられているＩＰアドレス及び当該端末を特定するためのＭＡＣアドレスとは異なるＭＡＣアドレスを含むＡＲＰ応答パケットを、前記格納手段に格納されている登録情報によって示される正規端末に対して送出することを特徴とする請求項１記載の通信妨害装置。
3. 各種パケットを通信可能なネットワークに接続された通信妨害装置において、
   前記ネットワークに接続された端末から送出された当該端末を示す発信元端末情報を含むＡＲＰ要求パケットを、前記ネットワーク上から収集する収集手段と、
   前記ネットワークへの接続が許可されている正規端末を示す登録情報を予め格納する格納手段と、
   前記収集されたＡＲＰ要求パケットに含まれる発信元端末情報によって示される端末が正規端末であるかを、前記格納手段に格納されている登録情報に基づいて判定する第１の判定手段と、
   前記収集されたＡＲＰ要求パケットに含まれる発信元端末情報及び前記第１の判定手段による判定結果を対応付けて保持する保持手段と、
   前記端末が前記正規端末から前記ネットワークへの接続が許可されていない不正端末に変更されたことを示す変更通知を入力する入力手段と、
   前記保持手段を参照して、前記入力された変更通知によって示される前記正規端末から前記不正端末に変更された端末を示す発信元端末情報に対応付けられている判定結果が前記正規端末であることを示すかを判定する第２の判定手段と、
   前記判定結果が前記正規端末であることを示すと前記第２の判定手段によって判定された場合、前記ネットワーク上に存在する端末を特定不能なＩＰアドレス及びＭＡＣアドレスを含むＡＲＰ応答パケットを、前記正規端末から前記不正端末に変更された端末から予め定められた数のＡＲＰ要求パケットが送出されるまで、前記正規端末から前記不正端末に変更された端末に対して送出する送出手段と
   を具備することを特徴とする通信妨害装置。
4. 前記送出手段によって前記ＡＲＰ応答パケットが前記正規端末から前記不正端末に変更された端末に対して送出されている間に、当該端末を示す発信元端末情報を含むＡＲＰ要求パケットが前記収集手段によって収集された数をカウントするカウンタを更に具備し、
   前記保持手段は、前記収集されたＡＲＰ要求パケットに含まれる発信元端末情報に対応付けて前記カウンタによってカウントされたカウンタ値を保持し、
   前記送出手段は、前記保持手段に保持されているカウンタ値に基づいて、前記予め定められた数の前記正規端末から前記不正端末に変更された端末を示す発信元端末情報を含むＡＲＰ要求パケットが前記収集手段によって収集されるまで前記ＡＲＰ応答パケットを送出する
   ことを特徴とする請求項３記載の通信妨害装置。
5. 各種パケットを通信可能なネットワークへの接続が許可されている正規端末を示す登録情報を予め格納する格納手段を含む外部記憶装置と、前記ネットワークに接続され、保持手段を備えるコンピュータとから構成される通信妨害装置において、前記コンピュータによって実行される通信妨害プログラムであって、
   前記コンピュータに、
   前記ネットワークに接続された端末から送出された当該端末を示す発信元端末情報を含むＡＲＰ要求パケットを、前記ネットワーク上から収集するステップと、
   前記収集されたＡＲＰ要求パケットに含まれる発信元端末情報によって示される端末が正規端末であるかを、前記格納手段に格納されている登録情報に基づいて判定するステップと、
   前記収集されたＡＲＰ要求パケットに含まれる発信元端末情報及び前記判定結果を対応付けて前記保持手段に保持させるステップと、
   前記端末が前記正規端末から前記ネットワークへの接続が許可されていない不正端末に変更されたことを示す変更通知を入力するステップと、
   前記保持手段を参照して、前記入力された変更通知によって示される前記積端末から前記不正端末に変更された端末を示す発信元端末情報に対応付けられている判定結果が前記正規端末であることを示すかを判定するステップと、
   前記判定結果が前記正規端末であることを示すと判定された場合、前記ネットワーク上に存在する端末を特定不能なＩＰアドレス及びＭＡＣアドレスを含む予め定められた数のＡＲＰ応答パケットを、前記正規端末から前記不正端末に変更された端末に対して送出するステップと
   を実行させるための通信妨害プログラム。

Images