JP2009225046A - 通信妨害装置及び通信妨害プログラム - Google Patents

Abstract

【課題】不正端末であった端末が正規端末となった場合に、その端末からの通信を可能とする。
【解決手段】パケット収集部５１は、端末から送出されたＡＲＰ要求パケットを収集する。問合せ部５２は、ＡＲＰ要求パケットを送出した端末が正規端末であるか不正端末であるかを判定する。問合せ結果キャッシュ部４３は、ＡＲＰ要求パケットに含まれる発信元端末情報及び問合せ部５２による判定結果を対応付けて保持する。ＡＲＰパケット送出部５３は、不正端末から正規端末に変更された端末を示す発信元端末情報に対応付けて問合せ結果キャッシュ部４３に保持されている判定結果が不正端末であることを示すと判定された場合、端末に割り当てられていないＩＰアドレスを含む予め定められた数のＡＲＰ応答パケットを、不正端末から正規端末に変更された端末に対して送出する。
【選択図】図２

Description

本発明は、ネットワークへの接続が許可されていない不正端末の通信を妨害する通信妨害装置及び通信妨害プログラムに関する。

近年、コンピュータネットワークへの接続が許可されていない端末（以下、不正端末と表記）の通信を妨害する通信妨害装置が開発されている。

このような通信妨害装置においては、不正端末を検出し、当該不正端末の通信を妨害するためにＡＲＰ（Address Resolution Protocol）パケットが利用される。このＡＲＰパケットは、例えばある端末のアドレス情報を解決するため、つまり、ある端末のＩＰ（Internet Protocol）アドレスから当該端末のＭＡＣ（Media Access Control）アドレスを取得するために用いられる。

通信妨害装置は、例えばブロードキャストパケットであるＡＲＰ要求パケットを監視する。ＡＲＰ要求パケットは、当該ＡＲＰ要求パケットの発信元となる端末（以下、発信元端末と表記）のＩＰアドレス及びＭＡＣアドレスと、当該発信元端末の通信相手となる端末（以下、通信相手端末と表記）のＩＰアドレスとを含む。発信元端末は、ＡＲＰ要求パケットを送出することにより、当該ＡＲＰ要求パケットに含まれるＩＰアドレスが割り当てられている通信相手端末に対して、当該通信相手端末のＭＡＣアドレスを含むＡＲＰ応答パケットを応答として返すように要求する。

通信妨害装置は、上記したようなＡＲＰ要求パケットを監視することにより、ＡＲＰ要求パケットに含まれる発信元端末のＭＡＣアドレスもしくはＩＰアドレスを参照する。これにより、発信元端末がネットワークへの接続が許可されている端末（以下、正規端末と表記）として予め登録されているか否かを判定し、不正端末を検出する。

ここで、通信妨害装置によって監視されたＡＲＰ要求パケットの発信元端末が、正規端末として登録されていない不正端末である場合を想定する。この場合、通信相手端末のＭＡＣアドレスとは異なる偽りのＭＡＣアドレスが埋め込まれたＡＲＰ応答パケットが、当該不正端末に送出される。これにより、不正端末のＡＲＰキャッシュを正しくない状態にすることができる。よって、不正端末は、通信相手端末のＭＡＣアドレスが分からないため、当該通信相手端末とは通信することができない。その結果、不正端末は、通信が妨害され、ネットワークから切り離された状態になる。

また、不正端末が静的にＡＲＰキャッシュ（ＡＲＰテーブル）を設定していた場合に、ＡＲＰ要求パケットを受信した通信相手端末が不正端末と通信することを防ぐために、通信相手端末に偽のＡＲＰ要求パケットを送出し、不正端末との通信を妨害する。

上記したような技術として、例えば不正端末が静的にＡＲＰテーブルを設定した場合でもアクセス制限を行うことが可能であり、かつ、通信端末の組み合わせでアクセス制御を行うことを可能とする技術が開示されている（例えば、特許文献１を参照）。

また、ネットワークへの接続を許可されていない不許可装置によりブロードキャストされたＡＲＰリクエストに対して、情報処理装置から正しいＡＲＰ応答パケットが不許可装置へ送信された後に、情報処理装置のＭＡＣアドレスとして偽りのＭＡＣアドレスを有するＡＲＰ応答パケットを不許可装置へ送信する技術が開示されている（例えば、特許文献２を参照）。この技術によれば、ネットワークへの接続を許可されていない情報処理装置である不許可装置が、そのネットワークに接続し、当該ネットワーク内部の情報処理装置に接続することを防止することが可能となる。
特開２００４−１８５４９８号公報 特開２００５−７９７０６号公報

ところで、不正端末か否かは、定常とは限らない。つまり、それまで不正端末であっても、ある時点から正規端末となる場合もある。例えば、不正端末であった端末が正規端末となった場合、すなわち不正端末が正規端末として登録された場合を想定する。この場合、この端末は不正端末であったため、上記したような通信妨害装置により当該端末のＡＲＰキャッシュが正しくない状態にされている場合がある。

一方、例えばＡＲＰ要求パケットにより解決された通信相手端末のアドレス情報は、当該ＡＲＰ要求パケットの発信元端末のＡＲＰキャッシュに一定期間保持される。この間の通信相手端末との通信には、ＡＲＰキャッシュに保持されているアドレス情報が使用される。このため、ＡＲＰキャッシュにアドレス情報が残っている限りＡＲＰ要求パケットは送出されない。ＡＲＰキャッシュに保持されているアドレス情報は、一定期間経過するとクリアされる。しかしながら、この一定期間は、例えばプラットフォーム（ＯＳ：Operating System）により異なっており、数分から数時間という幅がある。

上記したように端末が不正端末から正規端末となった場合であっても、例えば正しくない状態にされているＡＲＰキャッシュ内のアドレス情報は、すぐに正常に戻るとは限らない。そのため、正規端末となった端末であるにもかかわらず、ＡＲＰキャッシュ上にアドレス情報が残っている端末との通信を行うことができない。正規端末となった端末であっても、そのときにＡＲＰキャッシュの状態が正しくない場合、上記したようにＡＲＰキャッシュに保持されているアドレス情報がクリアされない限り、通信を行うことができない状態が継続する。

すなわち、正規端末として登録された場合であっても、正常な通信を実行できるまでにしばらく時間を要する場合がある。

そこで、本発明の目的は、不正端末であった端末が正規端末となった場合に、その端末からの通信を可能とする通信妨害装置及び通信妨害プログラムを提供することにある。

本発明の１つの態様によれば、各種パケットを通信可能なネットワークに接続された通信妨害装置が提供される。この通信妨害装置は、前記ネットワークに接続された端末から送出された当該端末を示す発信元端末情報を含むＡＲＰ要求パケットを、前記ネットワーク上から収集する収集手段と、前記ネットワークへの接続が許可されている正規端末を示す登録情報を予め格納する格納手段と、前記収集されたＡＲＰ要求パケットに含まれる発信元端末情報によって示される端末が前記正規端末であるか前記ネットワークへの接続が許可されていない不正端末であるかを、前記格納手段に格納されている登録情報に基づいて判定する第１の判定手段と、前記収集されたＡＲＰ要求パケットに含まれる発信元端末情報及び前記第１の判定手段による判定結果を対応付けて保持する保持手段と、前記端末が前記不正端末から前記正規端末に変更されたことを示す変更通知を入力する入力手段と、前記保持手段を参照して、前記入力された変更通知によって示される前記不正端末から前記正規端末に変更された端末を示す発信元端末情報に対応付けられている判定結果が前記不正端末であることを示すかを判定する第２の判定手段と、前記判定結果が前記不正端末であることを示すと前記第２の判定手段によって判定された場合、前記ネットワーク上に存在する端末に割り当てられているＩＰアドレス以外のＩＰアドレスを含む予め定められた数のＡＲＰ応答パケットを、前記不正端末から前記正規端末に変更された端末に対して送出する送出手段とを具備する。

本発明によれば、不正端末であった端末が正規端末となった場合に、その端末からの通信を可能とする。

以下、図面を参照して、本発明の実施形態について説明する。

図１は、本発明の実施形態に係る通信妨害装置が接続されるネットワークシステムについて説明するための図である。

図１に示すように、複数の端末はネットワーク３０と接続されている。ネットワーク３０は、例えばＬＡＮ（Local Area Network）のような各種パケットを通信可能なネットワークである。複数の端末は、端末２１及び端末２２を含む。なお、図１には端末２１及び端末２２以外の端末は省略されている。端末２１及び端末２２を含む複数の端末は、それぞれ後述するＡＲＰキャッシュを有する。

ネットワーク３０には、コンピュータ１０が接続されている。コンピュータ１０は、例えばハードディスクドライブのような外部記憶装置４０と接続されている。この外部記憶装置４０は、コンピュータ１０によって実行されるプログラム４１を格納する。コンピュータ１０及び外部記憶装置４０は、通信妨害装置５０を構成する。

図２は、図１に示す通信妨害装置５０の主として機能構成を示すブロック図である。通信妨害装置５０は、パケット収集部５１、問合せ部５２、ＡＲＰパケット送出部５３及び登録情報受付部５４を有する。本実施形態において、これらの各部５１乃至５４は、図１に示すコンピュータ１０が外部記憶装置４０に格納されているプログラム４１を実行することにより実現されるものとする。このプログラム４１は、コンピュータ読取可能な記憶媒体に予め格納して頒布可能である。また、このプログラム４１が、ネットワーク３０を介してコンピュータ１０にダウンロードされても構わない。

通信妨害装置５０は、端末登録情報格納部４２を有する。本実施形態において、この端末登録情報格納部４２は図１に示す外部記憶装置４０に格納される。また、通信妨害装置５０は、問合せ結果キャッシュ部４３を有する。本実施形態において、この問合せ結果キャッシュ部４３は例えば図１に示すコンピュータ１０に備えられるメモリ内にその領域が確保されている。

パケット収集部５１は、ネットワーク３０上のＡＲＰ（Address Resolution Protocol）要求パケットを収集する。ＡＲＰ要求パケットは、ネットワーク３０に接続される複数の端末から送出される。このＡＲＰ要求パケットは、例えば当該ＡＲＰ要求パケットの発信元となる端末（以下、発信元端末と表記）の通信相手となる端末（以下、通信相手端末と表記）のＩＰ（Internet Protocol）アドレスから、当該通信相手端末のＭＡＣ（Media Access Control）アドレスを取得するために用いられる。また、ＡＲＰ要求パケットは、例えばネットワーク３０に接続される全ての端末等（通信妨害装置５０を含む）に送出されるブロードキャストパケットである。

ＡＲＰ要求パケットには、発信元端末を示す発信元端末情報及び通信相手端末を示す通信相手端末情報が含まれる。発信元端末情報は、発信元端末に割り当てられているＩＰアドレス及び当該発信元端末を特定するためのＭＡＣアドレスを含む。通信相手端末情報は、通信相手端末に割り当てられているＩＰアドレスを含む。以下、端末に割り当てられているＩＰアドレスを単に端末のＩＰアドレス（例えば、発信元端末のＩＰアドレス等）と表記する。同様に、端末を特定するためのＭＡＣアドレスを単に端末のＭＡＣアドレス（例えば、発信元端末のＭＡＣアドレス等）と表記する。

ＡＲＰ要求パケットがブロードキャストにより発信元端末から送出されると、当該ＡＲＰ要求パケットに含まれる通信相手端末情報に含まれるＩＰアドレスが割り当てられている通信相手端末は、当該ＡＲＰ要求パケットに対する応答として、当該通信相手端末自身のＭＡＣアドレスを含むＡＲＰ応答パケットを発信元端末に対して送出する。このＡＲＰ応答パケットを受信することにより、発信元端末は、通信相手端末のＭＡＣアドレスを取得する。なお、このＡＲＰ応答パケットは、例えばＡＲＰ要求パケットの発信元端末を指定して送出されるユニキャストパケットである。ＡＲＰ応答パケットには、例えば当該ＡＲＰ応答パケットを送出する端末（ＡＲＰ要求パケットにおける通信相手端末）のＭＡＣアドレス及びＩＰアドレスと、当該ＡＲＰ応答パケットの送出先となる端末（ＡＲＰ要求パケットにおける発信元端末）のＭＡＣアドレス及びＩＰアドレスとが含まれる。

問合せ部５２は、パケット収集部５１によって収集された複数のＡＲＰ要求パケットの各々を送出した発信元端末が、ネットワーク３０への接続が許可されている端末（以下、正規端末と表記）であるか、または当該ネットワーク３０への接続が許可されていない端末（以下、不正端末と表記）であるかを判定する。問合せ部５２は、パケット収集部５１によって収集されたＡＲＰ要求パケットに含まれる発信元端末情報に基づいて判定処理を実行する。また、問合せ部５２は、端末登録情報格納部４２を参照して判定処理を実行する。

端末登録情報格納部４２には、ネットワーク３０への接続が許可されている正規端末を示す登録情報が予め格納（登録）されている。この登録情報は、例えば正規端末である端末のＩＰアドレス及びＭＡＣアドレスを含む。なお、端末登録情報格納部４２に格納されている登録情報は、例えば通信妨害装置５０の管理者によって追加または削除等、各種変更される。

問合せ結果キャッシュ部４３には、パケット収集部５１によって収集された複数のＡＲＰ要求パケットの各々に含まれている発信元端末情報及び当該発信元端末情報によって示される発信元端末が正規端末であるか不正端末であるかの問合せ部５２による判定結果が保持される。

ＡＲＰパケット送出部５３は、問合せ部５２によって発信元端末が不正端末であると判定された場合、当該発信元端末の通信相手となる通信相手端末のＭＡＣアドレスとは異なるＭＡＣアドレスを含む偽ＡＲＰ応答パケットを、当該発信元端末に対して送出する。つまり、ＡＲＰパケット送出部５３は、通信相手端末を送信元として偽ＡＲＰ応答パケットを送出する。この偽ＡＲＰ応答パケットは、例えば特定のＡＲＰ要求パケットに応じて送出されるものではなく、独立して発信元端末に送出される。

このとき、ＡＲＰパケット送出部５３は、例えば発信元端末からブロードキャストにより送出されたＡＲＰ要求パケットを受信した通信相手端末から、当該通信相手端末のＭＡＣアドレスを含むＡＲＰ応答パケットが送出された後に偽ＡＲＰ応答パケットを送出する。なお、上記した通信相手端末のＭＡＣアドレスとは異なるＭＡＣアドレスは、例えば通信妨害装置５０のＭＡＣアドレスまたはネットワーク３０上に存在しないＭＡＣアドレス等を含む。

前述した端末（ここでは、発信元端末）が有するＡＲＰキャッシュには、例えばＡＲＰ要求パケットにより解決された通信相手端末のアドレス情報が保持される。このアドレス情報は、通信相手端末のＩＰアドレス及びＭＡＣアドレスを示す。ネットワーク３０に接続されている端末は、当該端末が有するＡＲＰキャッシュに保持されているアドレス情報に基づいて、通信相手端末との通信を行う。なお、ＡＲＰキャッシュに保持されるアドレス情報は、例えば一定期間経過するとクリアされる。また、この一定期間は、例えばプラットフォーム（ＯＳ：Operating System）により異なる。

ここで、例えばネットワーク３０に接続される発信元端末（例えば、端末２１）が不正端末である場合を想定する。この場合に、端末２１がブロードキャストにより通信相手端末を例えば端末２２とするＡＲＰ要求パケットを送出したものとする。この場合、このＡＲＰ要求パケットを受信した端末２２は、当該端末２２のアドレス情報（ＩＰアドレス及びＭＡＣアドレス）を含むＡＲＰ応答パケットを端末２１に対して送出する。端末２１は、端末２２から送出されたＡＲＰ応答パケットを受信すると、当該ＡＲＰ応答パケットに含まれる端末２２のアドレス情報を端末２１が有するＡＲＰキャッシュに保持する。この後にＡＲＰパケット送出部５３によって端末２１に対して偽ＡＲＰ応答パケットが送出されると、端末２１は、当該偽ＡＲＰ応答パケットに含まれる端末２２のＩＰアドレス及び当該端末２２のＭＡＣアドレスとは異なるＭＡＣアドレスを含むアドレス情報を、当該端末２２のＡＲＰキャッシュに保持（上書き）する。これにより、例えば不正端末である端末２１のＡＲＰキャッシュには、端末２２のＩＰアドレス及びＭＡＣアドレスを含むアドレス情報は保持されず、当該端末２２のＩＰアドレス及び当該端末２２のＭＡＣアドレスとは異なるＭＡＣアドレスを含むアドレス情報が保持される。このため、端末２１のＡＲＰキャッシュは正しくない状態となる。よって、端末２１が不正端末である場合においては、当該端末２１は、端末２２と正常に通信することができなくなる。

また、ＡＲＰパケット送出部５３は、例えば問合せ結果キャッシュ部４３に保持されている発信元端末情報によって示される発信元端末が不正端末から正規端末に変更された場合、ネットワーク３０上に存在する端末等（ネットワーク３０に接続されている端末等）に割り当てられているＩＰアドレス以外のＩＰアドレス及び任意のＭＡＣアドレスを含む偽ＡＲＰ応答パケットを、当該発信元端末に対して送出する。このとき、ＡＲＰパケット送出部５３は、不正端末から正規端末に変更された発信元端末が有するＡＲＰキャッシュをオーバーフローさせるために、当該ＡＲＰキャッシュをオーバーフローさせるために十分な予め定められた数（多数）のＡＲＰ応答パケットを送出する。

なお、上記したように偽ＡＲＰ応答パケットに含まれるＩＰアドレスは、ネットワーク３０上に存在する端末に割り当てられているＩＰアドレスではないＩＰアドレスである。一方、偽ＡＲＰ応答パケットに含まれるＭＡＣアドレスは、例えばネットワーク３０上に存在する端末等を特定するための実際のＭＡＣアドレスでも構わない。具体的には、例えば偽ＡＲＰ応答パケットに含まれるＭＡＣアドレスとして通信妨害装置５０のＭＡＣアドレスを用いても構わない。

ＡＲＰパケット送出部５３は、上記した予め定められた数の偽ＡＲＰ応答パケットが送出された後、例えば正規端末であることを示す問合せ部５２による判定結果に対応付けて問合せ結果キャッシュ部４３に保持されている発信元端末情報（つまり、当該発信元端末情報によって示される発信元端末のＩＰアドレス及びＭＡＣアドレス）を含むＡＲＰ応答パケットを、不正端末から正規端末に変更された発信元端末に対して送出する。

また、ＡＲＰパケット送出部５３は、例えば問合せ結果キャッシュ部４３に保持されている発信元端末情報によって示される発信元端末が不正端末に変更された場合、当該発信元端末を示す発信元端末情報（当該発信元端末のＩＰアドレス及びＭＡＣアドレス）を含むＡＲＰ応答パケットを、ネットワーク３０上の全てのホストアドレスに対して送信する。この場合、ＡＲＰパケット送出部５３は、端末登録情報格納部４２に格納されている登録情報によって示される全ての正規端末に対してＡＲＰ応答パケットを送出する。つまり、ＡＲＰパケット送出部５３は、端末登録情報格納部４２に格納されている登録情報に含まれるＩＰアドレス及びＭＡＣアドレスを用いて、ＡＲＰ応答パケットを正規端末に対して送出する。なお、不正端末から正規端末に変更された発信元端末のＩＰアドレス及びＭＡＣアドレスは、問合せ結果キャッシュ部４３に保持されている。

なお、これらのＡＲＰ応答パケットは、上記したように例えば特定のＡＲＰ要求パケットに応じて送出されるものではなく、独立して送出されるパケットである。

登録情報受付部５４は、例えば通信妨害装置５０の管理者による正規端末を示す登録情報の追加または削除等の変更を示す変更通知を入力（受信）する。この変更通知には、例えば変更された端末のＭＡＣアドレス（またはＩＰアドレス）及び当該端末が正規端末または不正端末に変更されたこと（を示す情報）が含まれる。

なお、変更通知は、例えば正規端末のＩＰアドレス及びＭＡＣアドレス等を管理する管理サーバ等が存在する場合には当該管理サーバから通知され、通信妨害装置５０に入力される。一方、このような管理サーバが存在しない場合には、例えば通信妨害装置５０の管理者の操作に応じて変更通知が入力される。

登録情報受付部５４は、入力された変更通知に応じて、端末登録情報格納部４２に格納されている登録情報の変更処理を実行する。登録情報受付部５４は、入力された変更通知によって示される例えば不正端末から正規端末に変更された端末を示す発信元端末情報が問合せ結果キャッシュ部４３に保持されているか否かを判定する。登録情報受付部５４は、例えば不正端末から正規端末に変更された端末を示す発信元端末情報に対応付けて問合せ結果キャッシュ部４３に保持されている問合せ部５２による判定結果が不正端末を示すか否かを判定する。また、登録情報受付部５４は、入力された変更通知に応じて、問合せ結果キャッシュ部４３に保持されている問合せ部５２による判定結果を書き換える。

図３は、問合せ結果キャッシュ部４３のデータ構造の一例を示す。図３に示すように、問合せ結果キャッシュ部４３には、発信元端末を示す発信元端末情報及び状態（問合せ部５２による判定結果）が対応付けて保持されている。発信元端末情報には、発信元端末のＭＡＣアドレス及びＩＰアドレスが含まれる。状態には、正規端末であることを示す「正規（端末）」または不正端末であることを示す「不正（端末）」が含まれる。

図３に示す例では、問合せ結果キャッシュ部４３には、発信元端末Ａを示す発信元端末情報「Ａ（ｍａｃ、ｉｐ）」及び状態「正規」が対応付けて保持されている。なお、「Ａ（ｍａｃ、ｉｐ）」は、発信元端末ＡのＭＡＣアドレス及びＩＰアドレスを示す。

問合せキャッシュ部４３には、発信元端末Ｂを示す発信元端末情報「Ｂ（ｍａｃ、ｉｐ）」及び状態「正規」が対応付けて保持されている。問合せキャッシュ部４３には、発信元端末Ｃを示す発信元端末情報「Ｃ（ｍａｃ、ｉｐ）」及び状態「不正」が対応付けて保持されている。また、問合せキャッシュ部４３には、発信元端末Ｄを示す発信元端末情報「Ｄ（ｍａｃ、ｉｐ）」及び状態「正規」が対応付けて保持されている。

次に、図４のフローチャートを参照して、発信元端末からＡＲＰ要求パケットがブロードキャストにより送出された際の通信妨害装置５０の処理手順について説明する。

まず、パケット収集部５１は、発信元端末から送出されたＡＲＰ要求パケットをネットワーク３０上から収集する（ステップＳ１）。このパケット収集部５１によって収集されたＡＲＰ要求パケットには、発信元端末のＩＰアドレス及びＭＡＣアドレス（発信元端末情報）が含まれる。また、パケット収集部５１によって収集されたＡＲＰ要求パケットには、通信相手端末のＩＰアドレス（通信相手端末情報）が含まれる。

次に、問合せ部５２は、パケット収集部５１によって収集されたＡＲＰ要求パケットを送出した発信元端末が正規端末であるか不正端末であるかを判定する（ステップＳ２）。問合せ部５２は、パケット収集部５１によって収集されたＡＲＰ要求パケットに含まれる発信元端末のＭＡＣアドレス（及びＩＰアドレス）を含む登録情報が端末登録情報格納部４２に存在するか否かによって判定処理を実行する。

問合せ部５２は、パケット収集部５１によって収集されたＡＲＰ要求パケットに含まれる発信元端末を示す発信元端末情報（発信元端末のＩＰアドレス及びＭＡＣアドレス）及び当該問合せ部５２による判定結果（正規または不正）を問合せ結果キャッシュ部４３に登録する（ステップＳ３）。

ここで、問合せ部５２による判定結果が不正である場合（ステップＳ４のＮＯ）、ＡＲＰパケット送出部５３は、パケット収集部５１によって収集されたＡＲＰ要求パケットに含まれる通信相手端末情報によって示される通信相手端末のＭＡＣアドレスとは異なるＭＡＣアドレスを含む偽ＡＲＰ応答パケットを、発信元端末に対して送出する（ステップＳ５）。つまり、ＡＲＰパケット送出部５３は、パケット収集部５１によって収集されたＡＲＰ要求パケットに含まれる通信相手端末情報によって示される通信相手端末を送信元として偽ＡＲＰ応答パケットを送出する。

なお、ＡＲＰパケット送出部５３は、例えば通信相手端末のＭＡＣアドレスを含むＡＲＰ応答パケットが当該通信相手端末から送出された後に、偽ＡＲＰ応答パケットを送出する。この通信相手端末から送出されたＡＲＰ応答パケットは、発信元端末から送出されたＡＲＰ要求パケットに対する応答である。この場合、ＡＲＰパケット送出部５３は、例えば予め定められた一定期間が経過した場合に、通信相手端末からＡＲＰ応答パケットが送出されたものとして偽ＡＲＰ応答パケットを送出する。また、ＡＲＰパケット送出部５３は、偽ＡＲＰ応答パケットを複数回送出する構成であっても構わない。

一方、ステップＳ４において問合せ部５２による判定結果が正規である場合、ステップＳ１に戻って処理が繰り返される。

次に、図５のフローチャートを参照して、端末登録情報格納部４２に格納されている登録情報が変更された場合の通信妨害装置５０の処理手順について説明する。

まず、登録情報受付部５４は、例えば管理者による登録情報の変更を示す変更通知を入力（受信）する（ステップＳ１１）。ここでは、登録情報受付部５４によって入力された変更通知は、ネットワーク３０上に存在する端末が不正端末から正規端末に変更されたことを示すものとする。なお、この変更通知は、例えば正規端末（のＩＰアドレス及びＭＡＣアドレス）の管理を行う管理サーバから通知される。登録情報受付部５４は、入力された変更通知に応じて、端末登録情報格納部４２に格納されている登録情報を変更する。

以下、変更通知によって示される不正端末から正規端末に変更された端末を対象端末として説明する。

次に、登録情報受付部５４は、対象端末を示す発信元端末情報が問合せ結果キャッシュ部４３に保持されているか否かを判定する。対象端末を示す発信元端末情報が問合せ結果キャッシュ部４３に保持されていると判定された場合、登録情報受付部５４は、当該発信元端末情報に対応付けて問合せ結果キャッシュ部４３に保持されている状態（問合せ部５２による判定結果）が不正であるか否かを判定する（ステップＳ１２）。

問合せ結果キャッシュ部４３に保持されている状態が不正であると判定された場合（ステップＳ１２のＹＥＳ）、登録情報受付部５４は、当該問合せ結果キャッシュ部４３に保持されている状態を正規に変更する（ステップＳ１３）。

なお、上記したように問合せ結果キャッシュ部４３に保持されている状態が不正である場合、当該状態に対応付けて問合せ結果キャッシュ部４３に保持されている発信元端末情報によって示される発信元端末のＡＲＰキャッシュは、上記した例えば図４に示すフローチャートに示される処理によって正しくない状態にされている。つまり、この発信元端末は、不正端末から正規端末に変更された場合であっても、例えば一定期間経過後にＡＲＰキャッシュテーブルに保持されているアドレス情報がクリアされない限り通信相手端末と正常に通信を行うことができない。

そこで、ＡＲＰパケット送出部５３は、ネットワーク３０上に存在する端末に割り当てられているＩＰアドレス以外のＩＰアドレス及び任意のＭＡＣアドレス（例えば、通信妨害装置５０のＭＡＣアドレス）を含む多数の偽ＡＲＰ応答パケットを対象端末に対して送出する（ステップＳ１４）。これにより、ＡＲＰパケット送出部５３は、対象端末が有するＡＲＰキャッシュをオーバーフローさせる。なお、ＡＲＰパケット送出部５３は、例えば対象端末が有するＡＲＰキャッシュをオーバーフローさせるために十分な数として予め定められた数（例えば、１００００）の偽ＡＲＰ応答パケットを送出する。

ここで、図６〜図８を参照して、多数の偽ＡＲＰ応答パケットが対象端末に送出された際の当該対象端末が有するＡＲＰキャッシュの状態の遷移について説明する。

図６は、ＡＲＰパケット送出部５３によって多数の偽ＡＲＰ応答パケットが送出される前の対象端末が有するＡＲＰキャッシュ２１０の状態を示す。つまり、図６は、対象端末が不正端末から正規端末に変更された時点での当該対象端末が有するＡＲＰキャッシュ２１０の状態を示す。

図６に示すように、対象端末が有するＡＲＰキャッシュ２１０には、例えば領域０〜２０００が含まれているものとする。このＡＲＰキャッシュ２１０では、当該ＡＲＰキャッシュ２１０に含まれる領域０〜２０００の各領域にアドレス情報が保持可能である。このアドレス情報は、対象端末の通信相手となる端末（通信相手端末）のＩＰアドレス及びＭＡＣアドレスを含む。

上記したように対象端末が不正端末から正規端末に変更された時点では、ＡＲＰキャッシュ２１０には、図４に示すフローチャートに示される処理により正常でないアドレス情報が保持されている。

図６に示す例では、対象端末が有するＡＲＰキャッシュ２１０の領域０には、ＩＰアドレス「１０．０．０．１」及びＭＡＣアドレス「ＸＸ：ＸＸ：ＸＸ：ＸＸ：ＸＸ：ＸＸ」を含むアドレス情報２１１が保持されている。このＩＰアドレス「１０．０．０．１」は、対象端末が不正端末である際に送出したＡＲＰ要求パケットに含まれる通信相手端末情報によって示される通信相手端末のＩＰアドレスである。また、ＭＡＣアドレス「ＸＸ：ＸＸ：ＸＸ：ＸＸ：ＸＸ：ＸＸ」は、ＩＰアドレス「１０．０．０．１」が割り当てられている端末（通信相手端末）のＭＡＣアドレスとは異なるＭＡＣアドレスである。

また、対象端末が有するＡＲＰキャッシュ２１０の領域１には、ＩＰアドレス「１０．０．０．２」及びＭＡＣアドレス「ＸＸ：ＸＸ：ＸＸ：ＸＸ：ＸＸ：ＸＸ」を含むアドレス情報２１２が保持されている。このＩＰアドレス「１０．０．０．２」は、例えば対象端末が不正端末である際に送出したＡＲＰ要求パケットに含まれる通信相手端末情報によって示される通信相手端末のＩＰアドレスである。また、ＭＡＣアドレス「ＸＸ：ＸＸ：ＸＸ：ＸＸ：ＸＸ：ＸＸ」は、ＩＰアドレス「１０．０．０．２」が割り当てられている端末（通信相手端末）のＭＡＣアドレスとは異なるＭＡＣアドレスである。

このように、対象端末が有するＡＲＰキャッシュ２１０にアドレス情報２１１が保持されている以上、当該対象端末は、不正端末から正規端末に変更された場合であっても、当該アドレス情報２１１に含まれるＩＰアドレス「１０．０．０．１」が割り当てられている端末にアクセスすることはできない。同様に、ＡＲＰキャッシュ２１０にアドレス情報２１２が保持されている以上、対象端末は、当該アドレス情報２１２に含まれるＩＰアドレス「１０．０．０．２」が割り当てられている端末にアクセスすることはできない。

なお、ＡＲＰキャッシュ２１０には、上記したアドレス情報２１１及び２１２以外のアドレス情報は保持されていないものとする。つまり、ＡＲＰキャッシュ２１０において、領域０〜２０００のうち、アドレス情報２１１及び２１２が保持されている領域０及び１以外（領域２〜２０００）は空き領域であるものとする。

ここで、例えばＡＲＰキャッシュ２１０を有する対象端末に対して偽ＡＲＰ応答パケットが送出された場合を想定する。この場合、ＡＲＰキャッシュ２１０においては、偽ＡＲＰ応答パケットに含まれるＩＰアドレス及びＭＡＣアドレスを含むアドレス情報が上記したアドレス情報が保持されていない領域（つまり、空き領域）に保持される。

図７は、ＡＲＰパケット送出部５３によって偽ＡＲＰ応答パケットが送出された場合の対象端末が有するＡＲＰキャッシュ２１０の状態を示す。ここで送出された偽ＡＲＰ応答パケットには、ＩＰアドレス「ＹＹ．Ｙ．Ｙ．Ｙ」及びＭＡＣアドレス「ＺＺ：ＺＺ：ＺＺ：ＺＺ：ＺＺ：ＺＺ」が含まれるものとする。上記したように、このＩＰアドレス「ＹＹ．Ｙ．Ｙ．Ｙ」は、ネットワーク３０上の端末に割り当てられているＩＰアドレス以外のＩＰアドレスである。また、ＭＡＣアドレス「ＺＺ：ＺＺ：ＺＺ：ＺＺ：ＺＺ：ＺＺ」は任意のＭＡＣアドレス（例えば、通信妨害装置５０のＭＡＣアドレス等）である。

図７に示すように、この偽ＡＲＰ応答パケット対象端末に対して送出された場合、上記したように当該対象端末のＡＲＰキャッシュ２１０のアドレス情報が保持されていない領域（ここでは、領域２）に、当該偽ＡＲＰ応答パケットに含まれるＩＰアドレス「ＹＹ．Ｙ．Ｙ．Ｙ」及びＭＡＣアドレス「ＺＺ：ＺＺ：ＺＺ：ＺＺ：ＺＺ：ＺＺ」を含むアドレス情報２１３が保持される。

なお、図示していないが、ＡＲＰパケット送出部５３は多数の偽ＡＲＰ応答パケットを送出するので、この後に同じ偽ＡＲＰ応答パケットが送出された場合にも同様に、ＡＲＰキャッシュ２１０の空き領域（例えば、領域３）に順にＩＰアドレス「ＹＹ．Ｙ．Ｙ．Ｙ」及びＭＡＣアドレス「ＺＺ：ＺＺ：ＺＺ：ＺＺ：ＺＺ：ＺＺ」を含むアドレス情報２１３が保持される。このように、ＡＲＰキャッシュ２１０の領域２０００にアドレス情報２１３が保持されるまで、つまり、当該ＡＲＰキャッシュ２１０に空き領域がなくなるまで、ＡＲＰキャッシュ２１０にアドレス情報２１３が保持される。

ここで、ＡＲＰパケット送出部５３によって多数の偽ＡＲＰ応答パケットが送出されたことにより、ＡＲＰキャッシュ２１０の領域０〜２０００の全てにアドレス情報が保持され、当該ＡＲＰキャッシュ２１０に空き領域がない状態を想定する。この場合、ＡＲＰキャッシュ２１０の領域０にはアドレス情報２１１が保持されており、領域１にはアドレス情報２１２が保持されており、それ以外の領域２から２０００にはアドレス情報２１３が保持されている。

このようにＡＲＰキャッシュ２１０の領域がアドレス情報で埋まっている状態において、更に上記したＩＰアドレス「ＹＹ．Ｙ．Ｙ．Ｙ」及びＭＡＣアドレス「ＺＺ：ＺＺ：ＺＺ：ＺＺ：ＺＺ：ＺＺ」を含む偽ＡＲＰ応答パケットが送出されると、ＩＰアドレス「ＹＹ．Ｙ．Ｙ．Ｙ」及びＭＡＣアドレス「ＺＺ：ＺＺ：ＺＺ：ＺＺ：ＺＺ：ＺＺ」を含むアドレス情報２１３が当該ＡＲＰキャッシュ２１０に保持されているアドレス情報のうち古いアドレス情報（ここでは、例えば領域０のアドレス情報２１１）に上書きされる。また、更に偽ＡＲＰ応答パケットが送出されると、同様に、アドレス情報２１３が領域１のアドレス情報２１２に上書きされる。以下、更に偽ＡＲＰ応答パケットが送出された場合にも同様に上書き処理が実行される。このように、対象端末が有するＡＲＰキャッシュ２１０をあふれさせることにより、当該ＡＲＰキャッシュ２１０は、図８に示す状態となる。

つまり、上記したように対象端末に対して多数の偽ＡＲＰ応答パケットが送出され、当該対象端末が有するＡＲＰキャッシュ２１０をあふれさせることにより、図８に示すように、ＡＲＰキャッシュ２１０には、ネットワーク３０上の端末に割り当てられていないＩＰアドレス「ＹＹ．Ｙ．Ｙ．Ｙ」及び任意のＭＡＣアドレス「ＺＺ：ＺＺ：ＺＺ：ＺＺ：ＺＺ：ＺＺ」を含むアドレス情報２１３のみが保持される。

ここで、不正規端末から正規端末に変更された対象端末が有するＡＲＰキャッシュ２１０が図８に示すような状態である場合に、当該対象端末が例えばネットワーク３０上に存在する端末と通信を行う場合を想定する。なお、対象端末は、例えばＩＰアドレス「１０．０．０．１」が割り当てられている端末（通信相手端末）と通信を行うものとする。

上記したように、対象端末が有するＡＲＰキャッシュ２１０に保持されているアドレス情報に含まれるＩＰアドレスは、ネットワーク３０上に存在する端末に割り当てられていないＩＰアドレスである。したがって、対象端末が有するＡＲＰキャッシュ２１０にはＩＰアドレス「１０．０．０．１」を含むアドレス情報は保持されていない。このため、対象端末が通信相手端末と通信を行う場合には、当該対象端末は、通信相手端末にＩＰアドレス「１０．０．０．１」を含むＡＲＰ要求パケットを送出する。これにより、対象端末は、送出されたＡＲＰ要求パケットに対する応答として、通信相手端末から当該通信相手端末のＭＡＣアドレスを含むＡＲＰ応答パケットを受信する。

これにより、対象端末は、上記したようにＡＲＰキャッシュ２１０に保持されているアドレス情報がクリアされるまで待機することなく、通信相手端末と通信を行うことができる。なお、対象端末は、既に正規端末に変更されているため、ＡＲＰ要求パケットを送出したとしても、上記した図４に示すフローチャートに示される処理によって通信が妨害されることはない。

なお、図６〜図８に示す例では、同一の偽ＡＲＰ応答パケットが多数送出されたものとして説明したが、偽ＡＲＰ応答パケットに含まれるＩＰアドレスがネットワーク３０上に存在する端末に割り当てられているＩＰアドレス以外のＩＰアドレスであれば、異なる偽ＡＲＰ応答パケットが送出されても構わない。

再び図５に戻ると、ＡＲＰパケット送出部５３は、上記したステップＳ１４の処理が実行された後、状態が正規である発信元端末のＩＰアドレス及びＭＡＣアドレスを含むＡＲＰ応答パケット（正規のＡＲＰ応答パケット）を対象端末に対して送出する（ステップＳ１５）。ＡＲＰパケット送出部５３は、状態「正規」に対応付けて問合せ結果キャッシュ部４３に保持されている発信元端末情報に含まれるＩＰアドレス及びＭＡＣアドレスを含むＡＲＰ応答パケットを対象端末に対して送出する。

ここで、図９を参照して、ＡＲＰキャッシュ２１０が上記した図８に示す状態である対象端末に対して、正規のＡＲＰ応答パケットが送出された場合について説明する。図９は、ＡＲＰパケット送出部５３によって正規のＡＲＰ応答パケットが送出された場合の対象端末が有するＡＲＰキャッシュ２１０の状態を示す。

ＡＲＰパケット送出部５３によって送出された正規のＡＲＰ応答パケットは、ＩＰアドレス「１０．０．０．１」及びＭＡＣアドレス「００：００：ＡＢ：ＣＤ：ＥＦ：０１」を含むものとする。このＩＰアドレス「１０．０．０１」は問合せ結果キャッシュ部４３において状態「正規」に対応付けて保持されている発信元端末情報によって示される端末（発信元端末）に割り当てられているＩＰアドレスであり、ＭＡＣアドレス「００：００：ＡＢ：ＣＤ：ＥＦ：０１」は当該端末を特定するためのＭＡＣアドレスである。つまり、このＩＰアドレス及びＭＡＣアドレスを用いることによって、当該ＩＰアドレスが割り当てられている端末（ＭＡＣアドレスによって特定される端末）に対して通信を行うことができる。

この場合、図９に示すように、ＡＲＰパケット送出部５３によって送出された正規のＡＲＰ応答パケットに含まれるＩＰアドレス「１０．０．０．１」及びＭＡＣアドレス「００：００：ＡＢ：ＣＤ：ＥＦ：０１」を含むアドレス情報２１４が、ＡＲＰキャッシュ２１０に保持されている古いアドレス情報２１３に上書きされる。図９に示す例では、ＡＲＰキャッシュ２１０の領域０にアドレス情報２１４が上書きされている。これにより、対象端末は、例えば状態が正規である発信元端末（正規端末）にＡＲＰ要求パケットを送出することなく、アドレス情報２１４を用いて当該発信元端末と通信することができる。

また、ＡＲＰパケット送出部５３によって送出された正規のＡＲＰ応答パケットにＩＰアドレス「１０．０．０．２」及びＭＡＣアドレス「００：００：ＡＢ：ＣＤ：ＥＦ：０２」が含まれている場合を想定する。この場合には、図９に示すように、ＩＰアドレス「１０．０．０．２」及びＭＡＣアドレス「００：００：ＡＢ：ＣＤ：ＥＦ：０２」を含むアドレス情報２１５が、ＡＲＰキャッシュ２１０に保持されている古いアドレス情報２１３に上書きされる。図９に示す例では、ＡＲＰキャッシュ２１０の領域１にアドレス情報２１４が上書きされている。これにより、対象端末は、ＡＲＰ要求パケットを送出することなく、アドレス情報２１４を用いて通信することができる。

再び図５に戻ると、ＡＲＰパケット送出部５３は、問合せ結果キャッシュ部４３に保持されている対象端末を示す発信元端末情報（対象端末のＩＰアドレス及びＭＡＣアドレス）を含むＡＲＰ応答パケット（対象端末のＡＲＰ応答パケット）を、端末登録情報格納部４２に格納されている登録情報によって示される全ての正規端末に対して送出する（ステップＳ１６）。このとき、ＡＲＰパケット送出部５３は、端末登録情報格納部４２に格納されている登録情報に含まれる正規端末のＩＰアドレス及びＭＡＣアドレスを用いて対象端末のＡＲＰ応答パケットを送出する。

なお、対象端末のＩＰアドレス及びＭＡＣアドレスを含む対象端末のＡＲＰ応答パケットをブロードキャストにより全ての正規端末に送出する構成であっても構わない。

この処理により、正規端末が有するＡＲＰキャッシュには、対象端末のＩＰアドレス及びＭＡＣアドレスを含むアドレス情報（対象端末のアドレス情報）が保持される。これにより、正規端末は、ＡＲＰキャッシュに保持された対象端末のアドレス情報を用いることによって対象端末にアクセスすることができる。

一方、ステップＳ１２において、問合せ結果キャッシュ部４３に保持されている状態が不正でないと判定された場合、ステップＳ１１に戻って処理が繰り返される。また、問合せ結果キャッシュ部４３に対象端末を示す発信元端末情報が保持されていない場合についても同様に、ステップＳ１１に戻って処理が繰り返される。

上記したように本実施形態においては、例えば問合せ結果キャッシュ部４３に保持されている発信元端末情報によって示される端末が不正端末から正規端末に変更された場合に、当該変更を示す変更通知を入力し、当該変更された端末（対象端末）に対して予め定められた数（多数）の偽ＡＲＰ応答パケットが送出される。これにより、不正端末から正規端末に変更された対象端末が有するＡＲＰキャッシュをオーバーフローさせることで、当該対象端末が他の正規端末と通信を行う際にはＡＲＰ要求パケットが送出されるので、当該ＡＲＰキャッシュに保持されているアドレス情報がクリアされるのを待機することなく対象端末からの通信を可能とする。

また、本実施形態においては、対象端末が有するＡＲＰキャッシュをオーバーフローさせた後に、状態「正規」に対応付けて問合せ結果キャッシュ４３に保持されている発信元端末情報（発信元端末のＩＰアドレス及びＭＡＣアドレス）を含むＡＲＰ応答パケットが対象端末に対して送出される。これにより、正規端末である発信元端末のアドレス情報が対象端末のＡＲＰキャッシュに保持されるので、対象端末はＡＲＰ要求パケットを送出して当該正規端末（発信元端末）のＭＡＣアドレスを取得することなく当該正規端末と通信を行うことができる。

また、本実施形態においては、端末登録情報格納４２に格納されている登録情報によって示される全ての正規端末に対して対象端末のＩＰアドレス及びＭＡＣアドレスが含まれるＡＲＰ応答パケットが送出される。これにより、正規端末は、対象端末から送出されたＡＲＰ応答パケットに含まれる対象端末のＩＰアドレス及びＭＡＣアドレスを用いて対象端末へアクセスすることが可能となる。

［変形例］
次に、図１０〜図１２を参照して、本実施形態の変形例について説明する。なお、本変形例に係る通信妨害装置の構成については、前述した本実施形態に係る通信妨害装置５０と同様の構成であるので、図１及び図２を用いて説明する。

本変形例に係る通信妨害装置５０は、前述した本実施形態とは異なり、ＡＲＰパケット送出部５３によって偽ＡＲＰ応答パケットが不正端末から正規端末に変更された端末（対象端末）に対して送出されている間に当該対象端末から送出されたＡＲＰ要求パケットの数をカウントするリクエストカウンタ（図示せず）を有する。リクエストカウンタは、パケット収集部５１によって収集された対象端末を示す発信元端末情報を含むＡＲＰ要求パケットの数をカウントする。

問合せ結果キャッシュ部４３には、パケット収集部５１によって収集された複数のＡＲＰ要求パケットの各々に含まれている発信元端末情報及び当該発信元端末情報によって示される発信元端末が正規端末であるか不正端末であるかの問合せ部５２による判定結果に対応付けてリクエストカウンタによってカウントされた数（以下、リクエストカウント値と表記）が保持される。

ＡＲＰパケット送出部５３は、問合せ結果キャッシュ部４３に保持されているリクエストカウンタ値に基づいて、予め定められた数（例えば、２回）のＡＲＰ要求パケットが対象端末によって送出されるまで当該対象端末に対して偽ＡＲＰ応答パケットを送出する。この偽ＡＲＰ応答パケットには、前述したようにネットワーク３０上に存在する端末に割り当てられているＩＰアドレス以外のＩＰアドレス及び任意のＭＡＣアドレスが含まれる。

つまり、前述した本実施形態においては予め定められた数（例えば、１００００）の偽ＡＲＰ応答パケットが対象端末に対して送出されると当該偽ＡＲＰ応答パケットの送出処理が停止されるのに対して、本変形例においては、送出される偽ＡＲＰ応答パケットの数は定められておらず、当該対象端末からＡＲＰ要求パケットが送出された回数で偽ＡＲＰ応答パケットの送出処理が停止される点で前述した本実施形態とは異なる。

なお、上記したように偽ＡＲＰ応答パケットの送出処理を停止するために用いられるＡＲＰ要求パケットの送出回数は、予め定められているが、適宜変更可能である。以下、偽ＡＲＰ応答パケットの送出処理を停止するために用いられるＡＲＰ要求パケットの送出回数を、規定回数と表記する。

図１０は、本変形例に係る通信妨害装置５０が有する問合せ結果キャッシュ部４３のデータ構造の一例を示す。図１０に示すように、問合せ結果キャッシュ部４３には、発信元端末を示す発信元端末情報、状態及びリクエストカウンタ値が対応付けて保持されている。このリクエストカウンタ値は、上記したように当該リクエストカウンタ値に対応付けられている発信元端末情報によって示される端末（発信元端末）が不正端末から正規端末に変更され、当該端末（対象端末）に対して偽ＡＲＰ応答パケットが送出されている間に、当該端末によって送出されたＡＲＰ要求パケットの数である。

図１０に示す例では、問合せ結果キャッシュ部４３には、発信元端末Ａを示す発信元端末情報「Ａ（ｍａｃ、ｉｐ）」、状態「正規」及びリクエストカウンタ値「１」が保持されている。これによれば、発信元端末Ａは、当該発信元端末Ａに対して偽ＡＲＰ応答パケット送出されている間にＡＲＰ要求パケットを１回送出したことが示される。

問合せ結果キャッシュ部４３には、発信元端末Ｂを示す発信元端末情報「Ｂ（ｍａｃ、ｉｐ）」、状態「正規」及びリクエストカウンタ値「０」が保持されている。これによれば、例えば発信元端末Ｂは、当該発信元端末Ｂに対して偽ＡＲＰ応答パケットが送出されている間にＡＲＰ要求パケットをまだ送出していないか、または、当該偽ＡＲＰ応答パケット送出処理が実行されていないことを示す。

問合せ結果キャッシュ部４３には、発信元端末Ｃを示す発信元端末情報「Ｃ（ｍａｃ、ｉｐ）」、状態「不正」及びリクエストカウンタ値「０」が保持されている。なお、状態「不正」である場合には、発信元端末Ｃは、対象端末（不正端末から正規端末に変更された端末）でないためリクエストカウンタ値は０である。

問合せ結果キャッシュ部４３には、発信元端末Ｄを示す発信元端末情報「Ｄ（ｍａｃ、ｉｐ）」、状態「正規」及びリクエストカウンタ値「０」が保持されている。

次に、図１１のフローチャートを参照して、発信元端末からＡＲＰ要求パケットがブロードキャストにより送出された際の本変形例に係る通信妨害装置５０の処理手順について説明する。ここでは、上記した規定回数として例えば２回が予め定められているものとして説明する。

まず、前述した図４に示すステップＳ１に相当するステップＳ２１の処理が実行される。

次に、問合せ部５２は、パケット収集部５１によって収集されたＡＲＰ要求パケットを送出した発信元端末（当該ＡＲＰ要求パケットに含まれる発信元端末情報によって示される発信元端末）に対して前述した図５に示すステップＳ１４における偽ＡＲＰ応答パケット送出処理を実行中（偽ＡＲＰ応答パケット送出処理中）であるか否かを判定する（ステップＳ２２）。この偽ＡＲＰ応答パケットは、前述したようにネットワーク３０上に存在する端末に割り当てられているＩＰアドレス以外のＩＰアドレス及びＭＡＣアドレスを含む。

なお、偽ＡＲＰ応答パケット送出処理中である場合、パケット収集部５１によって収集されたパケットを送出した発信元端末は、不正端末から正規端末に変更された対象端末である。

偽ＡＲＰ応答パケット送出処理中であると判定された場合（ステップＳ２２のＹＥＳ）、問合せ部５２は、対象端末（発信元端末）によって送出されたＡＲＰ要求パケット（パケット収集部５１によって収集されたＡＲＰ要求パケット）が当該偽ＡＲＰ応答パケット送出処理中における１回目のＡＲＰ要求パケットであるか否かを判定する（ステップＳ２３）。つまり、問合せ部５２は、対象端末によって送出されたＡＲＰ要求パケットがＡＲＰ応答パケット送出処理を開始して初めてのものであるか否かを判定する。

このとき、問合せ部５２は、パケット収集部５１によって収集されたＡＲＰ要求パケットを送出した対象端末（発信元端末）に対応付けて問合せ結果キャッシュ部４３に保持されているリクエストカウンタ値を参照して、判定処理を実行する。つまり、対象端末（を示す発信元端末情報）に対応付けて問合せ結果キャッシュ部４３に保持されているリクエストカウンタ値が０であれば偽ＡＲＰ応答パケット送出処理中における１回目のＡＲＰ要求パケットであると判定される。

偽ＡＲＰ応答パケット送出処理中における１回目のＡＲＰ要求パケットでないと判定された場合（ステップＳ２３のＮＯ）、問合せ部５２は、偽ＡＲＰ応答パケット送出処理中における２回目のＡＲＰ要求パケットであると判定する。この場合、問合せ部５２は、対象端末に対応付けて問合せ結果キャッシュ部４３に保持されているリクエストカウンタ値をクリア、つまり、当該リクエストカウンタ値を０にする（ステップＳ２４）。

偽ＡＲＰ応答パケット送出処理中における２回目のＡＲＰ要求パケットであると判定された場合、ＡＲＰパケット送出部５３は、対象端末が有するＡＲＰキャッシュがあふれた、つまり、当該ＡＲＰキャッシュがオーバーフローしたためにＡＲＰ要求パケットが送出されたものとみなして、対象端末に対する偽ＡＲＰ応答パケット送出処理を停止する（ステップＳ２５）。

ステップＳ２５の処理が実行されると、前述した図４に示すステップＳ２〜ステップＳ５に相当するステップＳ２６〜ステップＳ２９の処理が実行される。

一方、ステップＳ２２において、偽ＡＲＰ応答パケット送出処理中でないと判定された場合には、ステップＳ２６以降の処理が実行される。

また、ステップＳ２３において、偽ＡＲＰ応答パケット送出処理中における１回目のＡＲＰ応答パケットであると判定された場合、対象端末に対応付けて問合せ結果キャッシュ部４３に保持されているリクエストカウンタ値に１を加える（ステップＳ３０）。つまり、対象端末に対応付けて問合せ結果キャッシュ部４３に保持されているリクエストカウンタ値を１にする。これにより、偽ＡＲＰ応答パケット送出処理中に対象端末から１回ＡＲＰ要求パケットが送出されたことが示される。ステップＳ３０の処理が実行されると、ステップＳ２６以降の処理が実行される。

なお、上記したように規定回数が２回である場合にはリクエストカウンタ値は０または１のみであるため、この場合にはリクエストカウンタに代えてフラグを用いる構成であっても構わない。

また、図１１においては、規定回数が２回であるものとして説明したが、上記したように当該規定回数は適宜変更可能であるため、当該規定回数は２回に限られない。規定回数は例えば１回であってもよいが、１回ＡＲＰ要求パケットが対象端末から送出されただけでは、当該対象端末が有するＡＲＰキャッシュがオーバーフローしたとみなすには信頼性が低いため、規定回数は例えば２回以上の複数回であることが好ましい。

次に、図１２のフローチャートを参照して、端末登録情報格納部４２に格納されている登録情報が変更された場合の本変形例に係る通信妨害装置５０の処理手順について説明する。

まず、前述した図５に示すステップＳ１１〜ステップＳ１３に相当するステップＳ３１〜ステップＳ３３の処理が実行される。

次に、ＡＲＰパケット送出部５３は、ネットワーク３０上に存在する端末に割り当てられているＩＰアドレス以外のＩＰアドレス及び任意のＭＡＣアドレスを含む偽ＡＲＰ応答パケットを、上記した図１１に示すステップＳ２５において偽ＡＲＰ応答パケットの送出処理が停止されるまで対象端末に対して送出する（ステップＳ３４）。

ステップＳ３４の処理が実行されると、前述した図５に示すステップＳ１５及びステップＳ１６に相当するステップＳ３５及びステップＳ３６の処理が実行される。

上記したように本変形例においては、前述した本実施形態と異なり、ネットワーク３０上に存在する端末に割り当てられているＩＰアドレス以外のＩＰアドレス及び任意のＭＡＣアドレスを含む偽ＡＲＰ応答パケットが、対象端末から例えば２回ＡＲＰ要求パケットが送出される（２回ＡＲＰ要求パケットがパケット収集部５１によって収集される）まで送出される。つまり、本変形例においては、ＡＲＰ要求パケットが対象端末から２回送出されると、当該対象端末が有するＡＲＰキャッシュがオーバーフローしたものとみなされる。これにより、前述した本実施形態では対象端末が有するＡＲＰキャッシュをオーバーフローさせるために、十分な多数の偽ＡＲＰ応答パケット送出されるのに対して、本変形例においては、上記したように対象端末が有するＡＲＰキャッシュのオーバーフローを認識することによって余分な偽ＡＲＰ応答パケットを送出することを抑制できる。したがって、本変形例においては、余分な偽ＡＲＰ応答パケットを送出することなく、当該対象端末が他の正規端末と通信を行う際にはＡＲＰ要求パケットが送出させることができるので、当該ＡＲＰキャッシュに保持されているアドレス情報がクリアされるのを待機することなく当該対象端末からの通信を可能とする。

なお、本願発明は、上記実施形態またはその変形例そのままに限定されるものではなく、実施段階ではその要旨を逸脱しない範囲で構成要素を変形して具体化できる。また、上記実施形態またはその変形例に開示されている複数の構成要素の適宜な組合せにより種々の発明を形成できる。例えば、実施形態またはその変形例に示される全構成要素から幾つかの構成要素を削除してもよい。更に、実施形態またはその変形例に亘る構成要素を適宜組合せてもよい。

本発明の実施形態に係る通信妨害装置が接続されるネットワークシステムについて説明するための図。 図１に示す通信妨害装置５０の主として機能構成を示すブロック図。 問合せ結果キャッシュ部４３のデータ構造の一例を示す図。 発信元端末からＡＲＰ要求パケットがブロードキャストにより送出された際の通信妨害装置５０の処理手順を示すフローチャート。 端末登録情報格納部４２に格納されている登録情報が変更された場合の通信妨害装置５０の処理手順を示すフローチャート。 ＡＲＰパケット送出部５３によって多数の偽ＡＲＰ応答パケットが送出される前の対象端末が有するＡＲＰキャッシュ２１０の状態を示す図。 ＡＲＰパケット送出部５３によって偽ＡＲＰ応答パケットが送出された場合の対象端末が有するＡＲＰキャッシュ２１０の状態を示す図。 ＡＲＰパケット送出部５３によって多数の偽ＡＲＰ応答パケットが送出された後の対象端末が有するＡＲＰキャッシュ２１０の状態を示す図。 ＡＲＰパケット送出部５３によって正規のＡＲＰ応答パケットが送出された場合の対象端末が有するＡＲＰキャッシュ２１０の状態を示す図。 本実施形態の変形例に係る通信妨害装置５０が有する問合せ結果キャッシュ部４３のデータ構造の一例を示す。 発信元端末からＡＲＰ要求パケットがブロードキャストにより送出された際の本変形例に係る通信妨害装置５０の処理手順を示すフローチャート。 端末登録情報格納部４２に格納されている登録情報が変更された場合の本変形例に係る通信妨害装置５０の処理手順を示すフローチャート。

符号の説明

１０…コンピュータ、２１，２２…端末、３０…ネットワーク、４０…外部記憶装置、４２…端末登録情報格納部、４３…問合せ結果キャッシュ部（保持手段）、５０…通信妨害装置、５１…パケット収集部、５２…問合せ部、５３…ＡＲＰパケット送出部、５４…登録情報受付部。

Claims (5)

1. 各種パケットを通信可能なネットワークに接続された通信妨害装置において、
   前記ネットワークに接続された端末から送出された当該端末を示す発信元端末情報を含むＡＲＰ要求パケットを、前記ネットワーク上から収集する収集手段と、
   前記ネットワークへの接続が許可されている正規端末を示す登録情報を予め格納する格納手段と、
   前記収集されたＡＲＰ要求パケットに含まれる発信元端末情報によって示される端末が前記正規端末であるか前記ネットワークへの接続が許可されていない不正端末であるかを、前記格納手段に格納されている登録情報に基づいて判定する第１の判定手段と、
   前記収集されたＡＲＰ要求パケットに含まれる発信元端末情報及び前記第１の判定手段による判定結果を対応付けて保持する保持手段と、
   前記端末が前記不正端末から前記正規端末に変更されたことを示す変更通知を入力する入力手段と、
   前記保持手段を参照して、前記入力された変更通知によって示される前記不正端末から前記正規端末に変更された端末を示す発信元端末情報に対応付けられている判定結果が前記不正端末であることを示すかを判定する第２の判定手段と、
   前記判定結果が前記不正端末であることを示すと前記第２の判定手段によって判定された場合、前記ネットワーク上に存在する端末に割り当てられているＩＰアドレス以外のＩＰアドレスを含む予め定められた数のＡＲＰ応答パケットを、前記不正端末から前記正規端末に変更された端末に対して送出する送出手段と
   を具備することを特徴とする通信妨害装置。
2. 前記送出手段は、前記予め定められた数のＡＲＰ応答パケットが送出された後に、前記正規端末であることを示す判定結果に対応付けて前記保持手段に保持されている発信元端末情報を含むＡＲＰ応答パケットを、前記不正端末から前記正規端末に変更された端末に対して更に送出し、前記保持手段に保持されている前記不正端末から前記正規端末に変更された端末を示す発信元端末情報を含むＡＲＰ応答パケットを、前記格納手段に格納されている登録情報によって示される正規端末に対して更に送出することを特徴とする請求項１記載の通信妨害装置。
3. 各種パケットを通信可能なネットワークに接続された通信妨害装置において、
   前記ネットワークに接続された端末から送出された当該端末を示す発信元端末情報を含むＡＲＰ要求パケットを、前記ネットワーク上から収集する収集手段と、
   前記ネットワークへの接続が許可されている正規端末を示す登録情報を予め格納する格納手段と、
   前記収集されたＡＲＰ要求パケットに含まれる発信元端末情報によって示される端末が前記正規端末であるか前記ネットワークへの接続が許可されていない不正端末であるかを、前記格納手段に格納されている登録情報に基づいて判定する第１の判定手段と、
   前記収集されたＡＲＰ要求パケットに含まれる発信元端末情報及び前記第１の判定手段による判定結果を対応付けて保持する保持手段と、
   前記端末が前記不正端末から前記正規端末に変更されたことを示す変更通知を入力する入力手段と、
   前記保持手段を参照して、前記入力された変更通知によって示される前記不正端末から前記正規端末に変更された端末を示す発信元端末情報に対応付けられている判定結果が前記不正端末であることを示すかを判定する第２の判定手段と、
   前記判定結果が前記不正端末であることを示すと前記第２の判定手段によって判定された場合、前記ネットワーク上に存在する端末に割り当てられているＩＰアドレス以外のＩＰアドレスを含むＡＲＰ応答パケットを、前記不正端末から前記正規端末に変更された端末から予め定められた数のＡＲＰ要求パケットが送出されるまで、前記正規端末から前記不正端末に変更された端末に対して送出する送出手段と
   を具備することを特徴とする通信妨害装置。
4. 前記送出手段によって前記ＡＲＰ応答パケットが前記不正端末から前記正規端末に変更された端末に対して送出されている間に、当該端末を示す発信元端末情報を含むＡＲＰ要求パケットが前記収集手段によって収集された数をカウントするカウンタを更に具備し、
   前記保持手段は、前記収集されたＡＲＰ要求パケットに含まれる発信元端末情報に対応付けて前記カウンタによってカウントされたカウンタ値を保持し、
   前記送出手段は、前記保持手段に保持されているカウンタ値に基づいて、前記予め定められた数の前記不正端末から前記正規端末に変更された端末を示す発信元端末情報を含むＡＲＰ要求パケットが前記収集手段によって収集されるまで前記ＡＲＰ応答パケットを送出する
   ことを特徴とする請求項３記載の通信妨害装置。
5. 各種パケットを通信可能なネットワークへの接続が許可されている正規端末を示す登録情報を予め格納する格納手段を含む外部記憶装置と、前記ネットワークに接続され、保持手段を備えるコンピュータとから構成される通信妨害装置において、前記コンピュータによって実行される通信妨害プログラムであって、
   前記コンピュータに、
   前記ネットワークに接続された端末から送出された当該端末を示す発信元端末情報を含むＡＲＰ要求パケットを、前記ネットワーク上から収集するステップと、
   前記収集されたＡＲＰ要求パケットに含まれる発信元端末情報によって示される端末が前記正規端末であるか前記ネットワークへの接続が許可されていない不正端末であるかを、前記格納手段に格納されている登録情報に基づいて判定するステップと、
   前記収集されたＡＲＰ要求パケットに含まれる発信元端末情報及び前記判定結果を対応付けて前記保持手段に保持させるステップと、
   前記端末が前記不正端末から前記正規端末に変更されたことを示す変更通知を入力するステップと、
   前記保持手段を参照して、前記入力された変更通知によって示される前記不正端末から前記正規端末に変更された端末を示す発信元端末情報に対応付けられている判定結果が前記不正端末であることを示すかを判定するステップと、
   前記判定結果が前記不正端末であることを示すと判定された場合、前記ネットワーク上に存在する端末に割り当てられているＩＰアドレス以外のＩＰアドレスを含む予め定められた数のＡＲＰ応答パケットを、前記不正端末から前記正規端末に変更された端末に対して送出するステップと
   を実行させるための通信妨害プログラム。

Images