JP2011223256A - 通信監視装置、方法およびプログラム - Google Patents

Abstract

【課題】通信監視装置への通信の誘導が困難な情報処理装置であっても、情報処理装置に係る通信を制限することを課題とする。
【解決手段】通信監視装置２０において、検疫対象ノード９０からの通信を通信監視装置２０に誘導する、第一通信誘導部２３と、他の情報処理装置からの検疫対象ノード９０に対する通信を通信監視装置２０に誘導する、第二通信誘導部２４と、通信監視装置２０を宛先とする通信を受信する送受信部２５と、検疫対象ノード９０からの通信監視装置２０を宛先とする通信が受信された場合に、第一通信誘導部２３による誘導が成功していると判断する誘導成功判断部２６と、第一通信誘導部２３による誘導が成功していると判断された場合に、第二通信誘導部２４による通信の誘導を解除する通信誘導解除部２８と、を備えた。
【選択図】図３

Description

本発明は、ネットワークを介して接続された情報処理装置による通信を監視する通信監視装置に関する。

従来、受信したＡＲＰ（Ａｄｄｒｅｓｓ Ｒｅｓｏｌｕｔｉｏｎ Ｐｒｏｔｏｃｏｌ）要求パケットの送信元端末が検疫前の状態である場合に、自装置のＭＡＣ（Ｍｅｄｉａ Ａｃｃｅｓｓ Ｃｏｎｔｒｏｌ）アドレスを応答することで、検疫前の端末からのパケットを自装置に誘導するネットワーク監視装置がある（特許文献１を参照）。

また、第１のコンピュータに記録された第２のコンピュータの通信アドレスを対策機器の通信アドレスに変更し、第２のコンピュータに記録された第１のコンピュータの通信アドレスを対策機器の通信アドレスに変更することで、コントロール対象コンピュータの通信サービスを制限する対策機器がある（特許文献２を参照）。

特開２００８−２７１２４２号公報 特許第４０８２６１３号公報

従来、ネットワークに情報処理装置を参加させる場合に、参加する情報処理装置の環境（主にセキュリティ関連の環境が所定のセキュリティポリシーを満たしているか否か）を確認して、所定の条件を満たす場合にのみネットワークへの参加を許可する「検疫」や、ネットワークにおける通信のキャプチャ、制限、リダイレクト等、ネットワーク上の通信を監視し、状況に応じて制限する技術が用いられている。そして、このような通信の監視または制限を行うために、対象となる情報処理装置（以下、「対象装置」とも称する）からの通信を通信監視装置に誘導する技術が用いられており、例えば、対象装置に対して、この対象装置が通信を行いたい装置の物理アドレスとして通信監視装置の物理アドレスを通知することで、対象装置からの通信を通信監視装置に誘導する技術がある。

しかし、ネットワークに接続された情報処理装置の種類によっては、通信の誘導を行うことが出来ない場合がある。例えば、ネットワークに参加する情報処理装置を検疫等するために、誘導先の物理アドレスを通知することによる通信の誘導をしようとした場合にも、誘導用の通信を不正な通信と認識してしまい、正常な検疫等を受けることが出来ない情報処理装置がある。このような情報処理装置がネットワークに接続された場合、未検疫の状態で内部ネットワークや外部ネットワークとの通信が可能となるおそれがあり、ネットワークのセキュリティを低下させる可能性がある。

本発明は、上記した問題に鑑み、通信監視装置への通信の誘導が困難な情報処理装置であっても、該情報処理装置に係る通信を制限することを課題とする。

本発明は、以下の構成を備えることで、上記した課題を解決することとした。即ち、本発明は、ネットワークにおける情報処理装置による通信を監視する通信監視装置であって、前記情報処理装置のうちの対象装置からの通信を該通信監視装置に誘導する、第一の通
信誘導手段と、前記対象装置以外の情報処理装置からの該対象装置に対する通信を該通信監視装置に誘導する、第二の通信誘導手段と、該通信監視装置を宛先とする通信を受信する受信手段と、前記受信手段によって、前記対象装置からの該通信監視装置を宛先とする通信が受信された場合に、前記第一の通信誘導手段による誘導が成功していると判断する誘導成功判断手段と、前記誘導成功判断手段によって、前記第一の通信誘導手段による誘導が成功していると判断された場合に、前記第二の通信誘導手段による通信の誘導を解除する通信誘導解除手段と、を備える通信監視装置である。

本発明において、対象装置とは、通信の監視や制限の対象となる情報処理装置であり、本発明に係る通信監視装置は、対象装置に係る通信を、通信監視装置に誘導する。しかし、上述の通り、情報処理装置の種類によっては、通信の誘導を行うことが出来ず、内部ネットワークや外部ネットワークとの間で通信を行うことが可能なものがある。そこで、本発明では、対象装置以外の情報処理装置からの対象装置に対する通信を、通信監視装置に誘導することで、対象装置からの通信の誘導に成功しなかった場合であっても、対象装置に係る通信を制限することを可能とした。

更に、本発明では、対象装置からの通信監視装置を宛先とする通信が受信された場合に、対象装置に対する通信誘導が成功していると判断し、対象装置以外の情報処理装置に対する通信誘導を解除することとした。これによって、対象装置に対する通信誘導が成功している場合には不要な他の装置に対する通信誘導を行わず、リソースを節約するとともに、対象装置の検疫が完了する等して対象装置による通信が許可された場合に、即座に内部ネットワークおよび外部ネットワークとの通信を行わせることが可能となる。

また、本発明において、前記第一の通信誘導手段は、前記対象装置に対して、他の装置の物理アドレスとして該通信監視装置の物理アドレスを通知することで、該対象装置からの通信を該通信監視装置に誘導し、前記誘導成功判断手段は、前記受信手段によって、前記対象装置からの該通信監視装置の物理アドレスを宛先とする通信が受信された場合に、前記第一の通信誘導手段による誘導が成功していると判断してもよい。

対象装置に係る通信を、通信監視装置に誘導する具体的な方法としては、通信を誘導したい端末に対して、誘導先の物理アドレスを通知する方法があるが、通信の誘導には、その他の方法が採用されてもよい。また、物理アドレスを通知する方法としては、ＡＲＰが知られているが、通知に用いられるパケットは、ＡＲＰ要求パケット（ＧＡＲＰパケットを含む）であってもよいし、ＡＲＰ応答パケットであってもよい。このことは、以下に説明する第二の通信誘導手段による通信誘導についても同様である。

また、本発明において、前記第二の通信誘導手段は、前記対象装置以外の情報処理装置に対して、前記対象装置の物理アドレスとして該通信監視装置の物理アドレスを通知することで、前記対象装置以外の情報処理装置からの該対象装置に対する通信を該通信監視装置に誘導し、前記通信誘導解除手段は、前記対象装置以外の情報処理装置に対して、前記対象装置の物理アドレスを通知することで、前記第二の通信誘導手段による通信の誘導を解除してもよい。

また、本発明において、前記第二の通信誘導手段は、前記対象装置と外部ネットワークとの間の通信を仲介する通信仲介装置に対して、前記対象装置の物理アドレスとして該通信監視装置の物理アドレスを通知することで、該通信仲介装置によって仲介される、該外部ネットワークからの該対象装置に対する通信を該通信監視装置に誘導し、前記通信誘導解除手段は、前記通信仲介装置に対して、前記対象装置の物理アドレスを通知することで、前記第二の通信誘導手段による通信の誘導を解除してもよい。

即ち、第二の通信誘導手段によって通信誘導が行われる装置は、ネットワーク内の対象装置以外の情報処理装置であってもよいし、ルータやゲートウェイ等の通信仲介装置であってもよい。ルータやゲートウェイ等の通信仲介装置に対して通信誘導を行う場合には、これらの通信仲介装置によって通信が仲介される外部ネットワークからの通信を、まとめて誘導することが出来る。

また、本発明に係る通信監視装置は、前記第一の通信誘導手段による誘導に対する応答が所定の条件に従って受信されない場合に、前記第一の通信誘導手段による誘導が失敗していると判断する誘導失敗判断手段を更に備え、前記第二の通信誘導手段は、前記誘導失敗判断手段によって前記第一の通信誘導手段による誘導が失敗していると判断された場合に、前記対象装置以外の情報処理装置からの該対象装置に対する通信を該通信監視装置に誘導してもよい。

上記説明した通り、対象装置によっては、当該対象装置が備える通信内容の分析機能等により、第一の通信誘導手段による当該対象装置に対する通信誘導が失敗する場合がある。このため、本発明では、第一の通信誘導手段による通信誘導に対する、対象装置からの応答が所定の条件に従って受信されているか否かを判定することによって、第一の通信誘導手段による通信誘導の失敗を判断し、失敗したと判断された場合に、第二の通信誘導手段による、他の情報処理装置に対する通信誘導を行い、当該対象装置に係る通信を制限することとした。ここで、所定の条件とは、第一の通信誘導手段による通信誘導が成功しているか否かを判定するために設定される条件であり、例えば、通信誘導のための物理アドレスの通知等に対する応答率や、応答の有無、応答の内容、等が所定の条件として設定されてよい。これによって、第二の通信誘導手段による不必要な通信誘導を避けつつ、対象装置に係る通信を制限することが出来る。

また、本発明において、前記第一の通信誘導手段は、前記対象装置からの通信を定期的に該通信監視装置に誘導してもよい。

第一の通信誘導手段による通信誘導（具体的には、例えば物理アドレスの通知）を定期的に行うことで、定期的に通信誘導の失敗を判断し、時機に応じて第二の通信誘導手段による通信誘導を行うことが出来る。

また、本発明に係る通信監視装置は、前記誘導された通信の少なくとも一部を転送しないことで、前記対象装置に係る通信の少なくとも一部を遮断する通信遮断手段を更に備えてもよい。

ここで、通信の遮断とは、何らかの方法を用いて情報処理装置による通信を行わせないことを指す。通信を遮断する方法としては、他の情報処理装置から送信されたパケット等を横取りし、遮断の対象となる通信を転送しないことで通信を遮断する方法の他、通信を物理的に遮断する方法等、様々な方法が採用されてよい。

更に、本発明は、コンピュータが実行する方法、又はコンピュータに実行させるプログラムとしても把握することが可能である。また、本発明は、そのようなプログラムをコンピュータその他の装置、機械等が読み取り可能な記録媒体に記録したものでもよい。ここで、コンピュータ等が読み取り可能な記録媒体とは、データやプログラム等の情報を電気的、磁気的、光学的、機械的、または化学的作用によって蓄積し、コンピュータ等から読み取ることができる記録媒体をいう。

本発明によれば、通信監視装置への通信の誘導が困難な情報処理装置であっても、該情
報処理装置に係る通信を制限することが可能となる。

実施形態に係る検疫システムの構成を示す概略図である。 実施形態に係るネットワーク監視装置のハードウェア構成を示す図である。 実施形態に係るネットワーク監視装置の機能構成の概略を示す図である。 実施形態に係る通信誘導処理の流れを示すフローチャートである。 実施形態に係る定期誘導処理の流れを示すフローチャートである。 実施形態に係る通信誘導解除処理の流れを示すフローチャートである。 実施形態に係る通信遮断処理の流れを示すフローチャートである。

以下、本発明に係る通信監視装置を含む検疫システム１の実施の形態について、図面に基づいて説明する。但し、本発明に係る通信監視装置は、検疫を行わないシステムにおいても、通信の監視または制限を行うために用いることが出来る。

＜システムの構成＞
図１は、本実施形態に係る検疫システム１の構成を示す概略図である。本実施形態に係る検疫システム１は、検疫対象となる情報処理装置９０（以下、「検疫対象ノード９０」と称する）が接続されるネットワークセグメント２と、ルータ１０を介してネットワークセグメント２と通信可能に接続されている業務サーバ５０および検疫サーバ３０と、を備える。そして、ネットワークセグメント２には、検疫が完了していない検疫対象ノード９０による通信を遮断するためのネットワーク監視装置２０が接続されている。

なお、ネットワーク監視装置２０は、本発明に係る通信監視装置に相当し、ルータ１０は、本発明に係る通信仲介装置に相当する。また、業務サーバ５０は、検疫対象ノード９０に対して業務のためのサービスを提供し、検疫サーバ３０は、ネットワークセグメント２に接続された検疫対象ノード９０に対して検疫サービスを提供する。

なお、本実施形態に係る検疫システム１では、検疫対象ノード９０から接続される各種サーバは、インターネットや広域ネットワークを介して遠隔地において接続されたものであり、例えばＡＳＰ（Ａｐｐｌｉｃａｔｉｏｎ Ｓｅｒｖｉｃｅ Ｐｒｏｖｉｄｅｒ）によって提供されるが、これらのサーバは、必ずしも遠隔地に接続されたものである必要はない。例えば、これらのサーバは、検疫対象ノード９０やネットワーク監視装置２０が存在するローカルネットワーク上に接続されていてもよい。

図２は、本実施形態に係るネットワーク監視装置２０のハードウェア構成を示す図である。なお、図２においては、ネットワーク監視装置２０以外の構成（ルータ１０、検疫サーバ３０、検疫対象ノード９０、および業務サーバ５０等）については、図示を省略している。ネットワーク監視装置２０は、ＣＰＵ（Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）１１、ＲＡＭ（Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）１３、ＲＯＭ（Ｒｅａｄ Ｏｎｌｙ Ｍｅｍｏｒｙ）１２、ＥＥＰＲＯＭ（Ｅｌｅｃｔｒｉｃａｌｌｙ Ｅｒａｓａｂｌｅ ａｎｄ Ｐｒｏｇｒａｍｍａｂｌｅ Ｒｅａｄ Ｏｎｌｙ Ｍｅｍｏｒｙ）やＨＤＤ（Ｈａｒｄ Ｄｉｓｋ Ｄｒｉｖｅ）等の記憶装置１４、ＮＩＣ（Ｎｅｔｗｏｒｋ Ｉｎｔｅｒｆａｃｅ Ｃａｒｄ）１５等の通信ユニット、等を備えるコンピュータである。

図３は、本実施形態に係るネットワーク監視装置２０の機能構成の概略を示す図である。ネットワーク監視装置２０は、記憶装置１４に記録されているプログラムが、ＲＡＭ１３に読み出され、ＣＰＵ１１によって実行されることで、通信遮断部２１と、リダイレク
ト部２２と、第一通信誘導部２３と、第二通信誘導部２４と、送受信部２５と、誘導成功判断部２６と、誘導失敗判断部２７と、通信誘導解除部２８と、を備える通信監視装置として機能する。なお、本実施形態では、通信監視装置の備える各機能は、汎用プロセッサであるＣＰＵ１１によって実行されるが、これらの機能の一部または全部は、１または複数の専用プロセッサによって実行されてもよい。

なお、以下に説明する本実施形態に係る処理において、第一通信誘導部２３および第二通信誘導部２４は、誘導対象の装置のアクセスリストに正しい通信相手から通知されたＭＡＣアドレスが保持されることを防止するため、誘導用のＭＡＣアドレスを、時間をおいて複数回通知してもよい。複数回通知する場合の回数および時間間隔は、実施の形態に応じて適宜設定されることが好ましい。

＜処理の流れ＞
次に、本実施形態に係るネットワーク監視装置２０によって実行される処理の流れを、フローチャートを用いて説明する。

図４は、本実施形態に係る通信誘導処理の流れを示すフローチャートである。本実施形態に係る通信誘導処理は、上記説明した検疫システム１において、ユーザの検疫対象ノード９０が、ネットワークセグメント２に参加したことを契機として開始される。なお、本フローチャートに示された処理の具体的な内容および処理順序は、本発明を実施するための一例である。具体的な処理内容および処理順序は、本発明の実施の形態に応じて適宜選択されてよい。

ステップＳ１０１およびステップＳ１０２では、未検疫の検疫対象ノード９０の接続検出に伴って、検疫対象ノード９０からの通信がネットワーク監視装置２０に誘導される。ネットワークに参加した検疫対象ノード９０は、自身のＩＰアドレスと重複するＩＰアドレスを有する端末がネットワーク内に存在するか否かを確認するために、ＧＡＲＰ（Ｇｒａｔｕｉｔｏｕｓ ＡＲＰ）パケットをブロードキャスト送信する。なお、ＧＡＲＰパケットとは、自装置（即ち、この場合は送信元の検疫対象ノード９０）のＩＰアドレスを有する端末のＭＡＣアドレスを問合せるＡＲＰパケットであり、検疫対象ノード９０は、他の装置からＧＡＲＰに対する応答があった場合、ネットワークセグメント２内にＩＰアドレスが重複する他の端末が存在すると判断する。ネットワーク監視装置２０は、検疫対象ノード９０からブロードキャスト送信されたＧＡＲＰパケットを受信すると、ネットワークに新たな端末が参加したと判断する（ステップＳ１０１）。

ネットワーク監視装置２０は、ＧＡＲＰパケットの送信元の検疫対象ノード９０のＭＡＣアドレスを、ネットワーク監視装置２０によって保持されている検疫済み端末のＭＡＣアドレスと比較する等の方法で、ＧＡＲＰパケットの送信元の検疫対象ノード９０が、検疫済みの端末であるか否かを判定する。そして、ネットワーク監視装置２０の第一通信誘導部２３は、ＧＡＲＰパケットの送信元が未検疫の検疫対象ノード９０（本発明の対象装置に相当する）である場合、この検疫対象ノード９０に対して、ルータ１０のＩＰアドレスに対応するＭＡＣアドレスとしてネットワーク監視装置２０のＭＡＣアドレスを通知するＡＲＰのアドレス解決要求（以下、「ＡＲＰ要求」と称する）を送信する（ステップＳ１０２）。即ち、ここでＡＲＰ要求としてＧＡＲＰの送信元端末へ通知されるＭＡＣアドレスは、デフォルトゲートウェイであるルータ１０のＭＡＣアドレスを、ネットワーク監視装置２０のＭＡＣアドレスで偽装するものである。換言すれば、ステップＳ１０２において送信されるＡＲＰ要求は、検疫対象ノード９０からの外部ネットワークに対する以降の通信をネットワーク監視装置２０に誘導するための、通信誘導用のＡＲＰ要求である。その後、処理はステップＳ１０３へ進む。

ネットワーク監視装置２０から送信された通信誘導用のＡＲＰ要求を受信した未検疫の検疫対象ノード９０は、通常、通知された内容、即ち外部ネットワーク（業務サーバ５０等）との通信に用いるＭＡＣアドレスとしてネットワーク監視装置２０のＭＡＣアドレスをアドレスリストに登録し、保持する。このため、以降、検疫対象ノード９０は、ルータ１０を経由する通信（即ち、外部ネットワーク宛の通信）を試みる場合に、偽装されたネットワーク監視装置２０のＭＡＣアドレス宛にパケットを送信することとなる。そして、ネットワーク監視装置２０は、検疫のために必要な通信を除いて、原則として未検疫の検疫対象ノード９０から送信されたパケットを転送せずに破棄する。換言すると、上記したような方法によって、ネットワーク監視装置２０の通信遮断部２１は、未検疫の検疫対象ノード９０による通信を遮断する。

但し、検疫対象ノード９０によっては、通信内容の整合性分析等を行って、ネットワーク監視装置２０から送信された通信誘導用のＡＲＰ要求を、正しいＭＡＣアドレスを通知するものではないと判断し、通知された内容を保持しない場合がある。

ステップＳ１０３では、外部ネットワークからの検疫対象ノード９０に対する通信がネットワーク監視装置２０に誘導される。ネットワーク監視装置２０の第二通信誘導部２４は、ルータ１０に対して、検疫対象ノード９０のＩＰアドレスに対応するＭＡＣアドレスとしてネットワーク監視装置２０のＭＡＣアドレスを通知するための、ＧＡＲＰパケットを送信する。即ち、ここでＧＡＲＰパケットを用いてルータ１０へ通知されるＭＡＣアドレスは、検疫対象ノード９０のＭＡＣアドレスを、ネットワーク監視装置２０のＭＡＣアドレスで偽装するものである。換言すれば、このＧＡＲＰパケットは、外部ネットワークからルータ１０を経由して入ってきた検疫対象ノード９０への以降の通信をネットワーク監視装置２０に誘導するための、通信誘導用のＧＡＲＰパケットである。

なお、ステップＳ１０３では、ルータ１０のみならず、ネットワークセグメント２上の他の情報処理装置に対しても、ルータ１０に送信されるものと同様のＧＡＲＰパケット、即ち、検疫対象ノード９０のＩＰアドレスに対応するＭＡＣアドレスとしてネットワーク監視装置２０のＭＡＣアドレスを通知するための、通信誘導用のＧＡＲＰパケットが送信されてよい。このようにすることで、ネットワークセグメント２上の他の情報処理装置からの通信についても、未検疫の検疫対象ノード９０に対する通信をネットワーク監視装置２０に誘導することが出来る。

ネットワーク監視装置２０から送信された通信誘導用のＧＡＲＰパケットを受信したルータ１０やネットワークセグメント２上の他の情報処理装置は、通常、通知された内容、即ち未検疫の検疫対象ノード９０のＩＰアドレスに対応するＭＡＣアドレスとしてネットワーク監視装置２０のＭＡＣアドレスをアドレスリストに登録し、保持する。このため、以降、ルータ１０は、検疫対象ノード９０宛の通信が外部ネットワークから入ってきた場合に、偽装されたネットワーク監視装置２０のＭＡＣアドレス宛にパケットを送信することとなる。また、ネットワークセグメント２上の他の情報処理装置は、検疫対象ノード９０に送りたいパケットを、偽装されたネットワーク監視装置２０のＭＡＣアドレス宛に送信することとなる。そして、ネットワーク監視装置２０は、検疫のために必要な通信を除いて、原則として未検疫の検疫対象ノード９０に対して送信されたパケットを転送せずに破棄する。換言すると、上記したような方法によって、ネットワーク監視装置２０の通信遮断部２１は、未検疫の検疫対象ノード９０に対する通信を遮断する。その後、処理はステップＳ１０４へ進む。

なお、検疫対象ノード９０が、ＩＰアドレス重複の確認のためのＧＡＲＰを送信しない種類の端末である場合、本フローチャートに示されたステップＳ１０１からステップＳ１０３までの処理は実行されない。このため、検疫対象ノード９０の接続検出は、ＧＡＲＰ
以外のパケット通信を検出することで行われてもよい。例えば、検疫対象ノード９０から送信されたその他のブロードキャストパケットを受信することで検疫対象ノード９０の接続を検出してもよいし、ＮＩＣ１５をプロミスキャスモードで動作させることで、ブロードキャストパケットでもネットワーク監視装置２０宛のパケットでもないパケットについても取得し、検疫対象ノード９０の接続を検出することとしてもよい。

ステップＳ１０４およびステップＳ１０５では、検疫対象ノード９０からの通信検出に伴って、検疫対象ノード９０からの通信がネットワーク監視装置２０に誘導される。ステップＳ１０２における通信誘導が成功している場合、検疫対象ノード９０は、外部ネットワークとの通信については、ＡＲＰ要求を行わず、デフォルトゲートウェイであるルータ１０のＭＡＣアドレスを宛先ＭＡＣアドレスに設定して通信を行うが、検疫対象ノード９０が通信したい端末がネットワークセグメント２に接続された他の情報処理端末である場合や、ステップＳ１０２における通信誘導が失敗している（成功していない）場合には、ネットワークに参加した検疫対象ノード９０は、通信したい端末（例えば、業務サーバ５０）と通信を行うために、ＡＲＰ要求をブロードキャスト送信する。そして、ネットワーク監視装置２０の送受信部２５は、検疫対象ノード９０によって送信されたＡＲＰ要求を受信する（ステップＳ１０４）。

ここで、一般的なネットワークであれば、検疫対象ノード９０が通信したい端末が、業務サーバ５０等の外部ネットワーク（ネットワークセグメント２の外）にある端末である場合には、ルータ１０が自身のＭＡＣアドレスを通知することとなり、また、検疫対象ノード９０が通信したい端末が、ネットワークセグメント２上の情報処理装置である場合には、通信対象の情報処理装置が自身のＭＡＣアドレスを通知することとなる。しかし、本実施形態に係るネットワーク構成では、ネットワークセグメント２にはネットワーク監視装置２０が接続されており、検疫対象ノード９０によって送信されたＡＲＰ要求が受信されると、ネットワーク監視装置２０の第一通信誘導部２３は、自身（ネットワーク監視装置２０）のＭＡＣアドレスを検疫対象ノード９０へ通知する（ステップＳ１０５）。

本実施形態に係るネットワーク監視装置２０では、ネットワーク監視装置２０による通信誘導用のＭＡＣアドレス通知には、ＡＲＰ要求が用いられる。即ち、ネットワーク監視装置２０の第一通信誘導部２３は、検疫対象ノード９０に対して、検疫対象ノード９０が通信したい端末のＩＰアドレスに対応するＭＡＣアドレスとしてネットワーク監視装置２０のＭＡＣアドレスを通知するための、ＡＲＰ要求を送信する。即ち、ここでＡＲＰ要求として検疫対象ノード９０へ通知されるＭＡＣアドレスは、ネットワークセグメント２内の他の端末のＭＡＣアドレスを、ネットワーク監視装置２０のＭＡＣアドレスで偽装するものである。このため、本実施形態に係るネットワーク監視装置２０によれば、未検疫の検疫対象ノード９０は、ネットワークセグメント２内の他の端末等のＭＡＣアドレスとしてネットワーク監視装置２０のＭＡＣアドレスをアドレスリストに登録することとなる。換言すれば、ステップＳ１０５において送信されるＡＲＰ要求は、検疫対象ノード９０からの内部ネットワーク（ネットワークセグメント２）に対する以降の通信をネットワーク監視装置２０に誘導するための、通信誘導用のＡＲＰ要求である。その後、処理はステップＳ１０６へ進む。

なお、本実施形態では、検疫対象ノード９０に対してＡＲＰ要求を送信することで、通信誘導を行うこととしているが、このような方法に代えて、ステップＳ１０４で受信されたＡＲＰ要求に対するＡＲＰ応答を送信することで、通信誘導を行うこととしてもよい。また、検疫対象ノード９０によっては、ネットワーク監視装置２０から送信された通信誘導用のＡＲＰ要求を、正しいＭＡＣアドレスを通知するものではないと判断して、通知された内容を保持しない場合があることは、ステップＳ１０２において説明した処理と同様である。

ステップＳ１０６では、外部ネットワークからの検疫対象ノード９０に対する通信がネットワーク監視装置２０に誘導される。ネットワーク監視装置２０の第二通信誘導部２４は、ルータ１０に対して、検疫対象ノード９０のＩＰアドレスに対応するＭＡＣアドレスとしてネットワーク監視装置２０のＭＡＣアドレスを通知するための、通信誘導用のＧＡＲＰパケットを送信する。これは、ステップＳ１０３において送信されたＧＡＲＰパケットと同様のパケットである。また、ステップＳ１０６においても、ステップＳ１０３と同様、ネットワークセグメント２上の他の情報処理装置に対して、ルータ１０に送信されるものと同様のＧＡＲＰパケットが送信されてよい。このようにすることで、ネットワークセグメント２上の他の情報処理装置からの通信についても、未検疫の検疫対象ノード９０に対する通信をネットワーク監視装置２０に誘導することが出来る。その後、処理はステップＳ１０７へ進む。

ステップＳ１０７では、ＡＲＰ応答が受信される。ネットワーク監視装置２０の送受信部２５は、ステップＳ１０５において送信されたＡＲＰ要求に対するＡＲＰ応答を受信する。このＡＲＰ応答は、検疫対象ノード９０から送信され、検疫対象ノード９０のＭＡＣアドレスをネットワーク監視装置２０に通知するものであるが、ＡＲＰ要求に対する応答として送信されていることで、ステップＳ１０５において行われた通信誘導が検疫対象ノード９０において破棄や遮断等されなかったことの判断の目安となる。なお、ステップＳ１０７において検疫対象ノード９０からのＡＲＰ応答が所定の条件に従って受信されない場合（例えば、応答率が閾値以下である場合や、応答がタイムアウト等した場合）、ネットワーク監視装置２０は、通信誘導が失敗したと判断してもよい。通信誘導の失敗を判定するための所定の条件については、ステップＳ２０２の説明において後述する。その後、本フローチャートに示された処理は終了し、処理は図５を用いて説明する定期誘導処理へ進む。

なお、検疫対象ノード９０からのＡＲＰ応答が受信された場合、通信誘導が成功した可能性があるが、実際に通信誘導用のＭＡＣアドレスが検疫対象ノード９０のアドレスリストに登録されたことまでは確認できない。但し、実施の形態によっては、検疫対象ノード９０からのＡＲＰ応答が受信されたことをもって、通信誘導が成功したと判断し、図６を用いて後述する通信誘導解除処理を行うこととしてもよい。

図４に示したフローチャートを用いて説明した通信誘導処理以降、未検疫の検疫対象ノード９０は、検疫サーバ３０による検疫が完了するまで、図５から図７を用いて説明する定期誘導処理、通信誘導解除処理および通信遮断処理の対象となる。なお、検疫サーバ３０による検疫が完了した検疫対象ノード９０については、ＭＡＣアドレス等の端末識別情報がネットワーク監視装置２０によって保持されることで、検疫済みの端末と認識され、以降、検疫の有効期限が徒過する等の理由で検疫済みのステータスが失われるまで、上記説明した通信誘導処理、および以下に説明する定期誘導処理、通信誘導解除処理および通信遮断処理の対象とはならない。

図５は、本実施形態に係る定期誘導処理の流れを示すフローチャートである。本実施形態に係る定期誘導処理は、図４を用いて説明した通信誘導処理が終了したことを契機として、未検疫の検疫対象ノード９０に対して開始される。なお、本フローチャートに示された処理の具体的な内容および処理順序は、本発明を実施するための一例である。具体的な処理内容および処理順序は、本発明の実施の形態に応じて適宜選択されてよい。

ステップＳ２０１では、通信誘導用のＡＲＰ要求が送信される。ネットワーク監視装置２０の第一通信誘導部２３は、定期的（例えば、１分毎）に通信誘導用のＡＲＰ要求を検疫対象ノード９０に対して送信する。ここで送信されるＡＲＰ要求は、ステップＳ１０２
において説明したＡＲＰ要求と同様、ルータ１０のＩＰアドレスに対応するＭＡＣアドレスとしてネットワーク監視装置２０のＭＡＣアドレスを通知するＡＲＰ要求である。その後、処理はステップＳ２０２へ進む。

ステップＳ２０２およびステップＳ２０３では、ＡＲＰ応答が所定の条件に従って受信されているか否かが判定され、ＡＲＰ応答が所定の条件に従って受信されていない場合、他の端末からの検疫対象ノード９０に対する通信がネットワーク監視装置２０に誘導される。ステップＳ２０１において、通信誘導用のＡＲＰ要求が送信されると、誘導失敗判断部２７は、送信されたＡＲＰ要求に対するＡＲＰ応答が所定の条件に従って受信されているか否かを判定する（ステップＳ２０２）。ここで、所定の条件とは、第一通信誘導部２３による通信誘導が成功しているか否かを判定するために設定される条件であり、本実施形態では、２５０ミリ秒おきに３秒間ＡＲＰ要求を送信したときの応答率が、予め設定された閾値（例えば５０％）より大であること、が所定の条件として設定される。但し、第一通信誘導部２３による通信誘導が成功しているか否かを判定するために設定される条件は、実施の形態に応じて適宜設定されることが好ましい。例えば、前記閾値は異なる値であってもよいし、所定の条件として、ＡＲＰ要求の送信から所定時間内にＡＲＰ応答が受信されたこと（換言すれば、タイムアウトせずにＡＲＰ応答が受信されたこと）、等が設定されてもよい。

検疫対象ノード９０からのＡＲＰ応答が所定の条件に従って受信されない場合、誘導失敗判断部２７は、通信誘導が失敗したと判断し、第二通信誘導部２４は、ルータ１０やネットワークセグメント２上の他の情報処理装置等の他の端末に対して、検疫対象ノード９０のＩＰアドレスに対応するＭＡＣアドレスとしてネットワーク監視装置２０のＭＡＣアドレスを通知するための、通信誘導用のＧＡＲＰパケットを送信する（ステップＳ２０３）。これは、ステップＳ１０３やステップＳ１０６において送信されたＧＡＲＰパケットと同様のパケットである。即ち、第二通信誘導部２４は、誘導失敗判断部２７によって、第一通信誘導部２３による誘導が失敗していると判断された場合に、ルータ１０やネットワークセグメント２上の他の情報処理装置等の他の端末からの検疫対象ノード９０に対する通信を、ネットワーク監視装置２０に誘導する。その後、本フローチャートに示された処理は、定期的（例えば、１分毎）に繰り返される。

本フローチャートを用いて説明した処理によれば、定期的に検疫対象ノード９０における通信誘導の有効または無効を判断することで、例えば、セキュリティソフト等による通信内容の整合性分析等の機能（換言すれば、検疫対象ノード９０に対する通信誘導の失敗の原因となる機能）が有効化または無効化されていることによる検疫対象ノード９０の挙動の変化に応じて、必要な場合にのみ第二通信誘導部２４によるルータ１０や他の情報処理装置等に対する通信誘導を行い、不要な場合（検疫対象ノード９０に対する通信誘導が成功していると考えられる場合）には、第二通信誘導部２４によるルータ１０や他の情報処理装置等に対する通信誘導を行わないようにすることが出来る。

なお、検疫対象ノード９０からのＡＲＰ応答が受信された場合、通信誘導が成功した可能性があるが、実際に通信誘導用のＭＡＣアドレスが検疫対象ノード９０のアドレスリストに登録されたことまでは確認できていないため、判断は留保される。但し、実施の形態によっては、検疫対象ノード９０からのＡＲＰ応答が所定の条件に従って受信されたことをもって、通信誘導が成功したと判断し、図６を用いて後述する通信誘導解除処理を行うこととしてもよい。

図６は、本実施形態に係る通信誘導解除処理の流れを示すフローチャートである。本実施形態に係る通信誘導解除処理は、ネットワーク監視装置２０の送受信部２５によって、未検疫の検疫対象ノード９０から、宛先ＭＡＣアドレスにネットワーク監視装置２０のＭ
ＡＣアドレスが設定されたＩＰパケットが受信されたことを契機として開始される。なお、本フローチャートに示された処理の具体的な内容および処理順序は、本発明を実施するための一例である。具体的な処理内容および処理順序は、本発明の実施の形態に応じて適宜選択されてよい。

ステップＳ３０１では、受信パケットの宛先ＩＰアドレスおよび宛先ＭＡＣアドレス等に基づいて、通信誘導が成功しているか否かが判定される。未検疫の検疫対象ノード９０から送信されたパケット（即ち、送信元アドレスが検疫対象ノード９０のアドレスであるパケット）が、送受信部２５によって受信されると、ネットワーク監視装置２０の誘導成功判断部２６は、受信されたパケットが、宛先ＩＰアドレスに任意の情報処理装置のＩＰアドレスが設定され、且つ宛先ＭＡＣアドレスにネットワーク監視装置２０のＭＡＣアドレスが設定されたパケットであるか否かを判定する。ここで、任意の情報処理装置とは、例えば、業務用サーバやネットワークセグメント２内の他の情報処理装置等、検疫対象ノード９０が通信したい端末である。即ち、本ステップでは、任意の情報処理装置に対する通信が、宛先ＭＡＣアドレスにネットワーク監視装置２０のＭＡＣアドレスが設定されて行われていることを確認することで、ステップＳ１０２やステップＳ１０５において行った通信誘導が有効となっているか否かが判断される。

任意の情報処理装置を宛先とする受信パケットの宛先ＭＡＣアドレスにネットワーク監視装置２０のＭＡＣアドレスが設定されている場合、実際に通信誘導用のＭＡＣアドレスが検疫対象ノード９０のアドレスリストに登録されており、通信誘導が成功していると判断することが出来る。この場合、処理はステップＳ３０２へ進む。それ以外の場合、本フローチャートに示された処理は終了する。

ステップＳ３０２では、第二通信誘導部２４による通信誘導が解除される。第一通信誘導部２３による通信誘導が成功していると判断された場合、ネットワーク監視装置２０の通信誘導解除部２８は、ルータ１０やネットワークセグメント２上の他の情報処理装置等の他の端末に対して、検疫対象ノード９０のＩＰアドレスに対応するＭＡＣアドレスとして検疫対象ノード９０のＭＡＣアドレス（即ち、正しいＭＡＣアドレス）を通知するための、ＧＡＲＰパケットを送信する。即ち、このＧＡＲＰパケットは、ステップＳ１０３やステップＳ１０６において行われた、第二通信誘導部２４による通信誘導を解除するための、通信誘導解除用のＧＡＲＰパケットである。その後、処理はステップＳ３０３へ進む。

ステップＳ３０３では、通信のリダイレクトが行われる。ネットワーク監視装置２０のリダイレクト部２２は、通信遮断中の検疫対象ノード９０から取得した通信がＨＴＴＰ（ＨｙｐｅｒＴｅｘｔ Ｔｒａｎｓｆｅｒ Ｐｒｏｔｏｃｏｌ）通信であった場合、ＨＴＴＰの接続要求に指定された通信相手に拘らず、検疫サーバ３０へ接続するようリダイレクトする。検疫対象ノード９０は、リダイレクトの要求を受信すると、ネットワーク監視装置２０から通知された所定の検疫サーバ３０へ接続する。なお、この際、検疫対象ノード９０から送信されるパケットの宛先ＭＡＣアドレスにはネットワーク監視装置２０のＭＡＣアドレスが設定されているが、ネットワーク監視装置２０は、宛先ＩＰアドレスが検疫サーバ３０であるパケットについては遮断（パケット破棄）することなく検疫対象ノード９０へ転送する。

以後、検疫対象ノード９０が未検疫である間、ネットワーク監視装置２０は、宛先ＩＰアドレスが検疫サーバ３０であるパケットについては転送を行い、それ以外のパケットは転送することなく破棄（通信遮断）する。このような処理によって、検疫対象ノード９０は、ネットワークセグメント２のセキュリティを確保しつつ、検疫サービスを受けることが出来る。なお、本実施形態では、パケット転送の要否は宛先ＩＰアドレスを参照するこ
とで判断されるが、その他の方法が採用されてもよい。例えば、宛先ＩＰアドレスに加えて、通信プロトコルの種類やポート番号、ＵＲＬ等を参照して、転送の要否が判断されてもよい。

上記リダイレクト処理によって検疫サーバ３０に接続され、検疫サーバ３０による検疫が完了すると、以降、検疫対象ノード９０は検疫済みとなり、本実施形態において説明された通信の制限が解除され、上記説明した通信誘導処理、定期誘導処理、通信誘導解除処理および以下に説明する通信遮断処理の対象から外される。

また、ネットワーク監視装置２０の通信誘導解除部２８は、検疫対象ノード９０が検疫済となると、検疫済みとなった検疫対象ノード９０に対して、偽装されていた宛先（例えば、業務サーバ５０や、他の情報処理装置）の正しいＭＡＣアドレスを通知し、また、ルータ１０やネットワークセグメント２上の端末等に対して、検疫済みとなった検疫対象ノード９０の正しいＭＡＣアドレスを通知することで、第一通信誘導部２３および第二通信誘導部２４による通信誘導を解除する。

図７は、本実施形態に係る通信遮断処理の流れを示すフローチャートである。本実施形態に係る通信遮断処理は、ネットワーク監視装置２０によって、未検疫の検疫対象ノード９０を通信対象とするＩＰパケットが受信されたことを契機として開始される。なお、本フローチャートに示された処理の具体的な内容および処理順序は、本発明を実施するための一例である。具体的な処理内容および処理順序は、本発明の実施の形態に応じて適宜選択されてよい。

検疫対象ノード９０は、ネットワーク監視装置２０による通信誘導が有効に働いていない場合、業務サーバ５０等の他の情報処理端末に対して、正しいＩＰアドレスおよび正しいＭＡＣアドレスを指定して、通信を行う。ここで、正しいＭＡＣアドレスとは、通信先がネットワークセグメント２上の端末である場合、通信先端末のＭＡＣアドレスであり、通信先が外部ネットワークの端末である場合、デフォルトゲートウェイであるルータ１０のＭＡＣアドレスである。但し、通信先がネットワークセグメント２上の端末である場合、送信パケットは通信先に到着するが、通信先からの返信パケットは、通信先（例えば、ネットワークセグメント２上の端末等）によって送信される際に、宛先ＭＡＣアドレスにネットワーク監視装置２０のＭＡＣアドレスを付されてネットワークセグメント２へ送出される。また、通信がルータ１０を経由して行われる場合、送信パケットは通信先（例えば、業務サーバ５０等）に到着するが、通信先からの返信パケットは、ルータ１０によって仲介される際に、宛先ＭＡＣアドレスにネットワーク監視装置２０のＭＡＣアドレスを付されてネットワークセグメント２へ送出される。これは、上述したステップＳ１０３およびステップＳ１０６における、ルータ１０やネットワークセグメント２上の端末等に対する通信誘導が有効に働いているためである。

即ち、本実施形態に係るネットワーク監視装置２０によれば、検疫対象ノード９０に対する通信誘導が失敗している場合であっても、ルータ１０に対する通信誘導が成功していれば、検疫対象ノード９０と他の情報処理端末との間の通信のうち、当該他の情報処理端末から検疫対象ノード９０に対して送信されたＩＰパケットを、ネットワーク監視装置２０に誘導することが出来る。

ステップＳ４０１およびステップＳ４０２では、未検疫の検疫対象ノード９０に対する返信パケットが受信および破棄されることで、未検疫の検疫対象ノード９０に対する通信が遮断される。ネットワーク監視装置２０の送受信部２５は、ルータ１０やネットワークセグメント２上の端末等から送信されたパケット（即ち、送信元ＭＡＣアドレスがルータ１０やネットワークセグメント２上の端末等のＭＡＣアドレスであるパケット）を受信す
る（ステップＳ４０１）。このパケットは、宛先ＩＰアドレスに未検疫の検疫対象ノード９０のＩＰアドレスが設定されたパケットであるが、ルータ１０やネットワークセグメント２上の端末等に対する通信誘導が成功した結果として、これらの装置（ルータ１０やネットワークセグメント２上の端末等）によって宛先ＭＡＣアドレスにネットワーク監視装置２０のＭＡＣアドレスが設定されているため、ネットワーク監視装置２０によって受信される。

そして、ネットワーク監視装置２０の通信遮断部２１は、通信誘導の結果誘導された、検疫対象ノード９０に対するパケットを受信すると、これを検疫対象ノード９０に対して転送せず、破棄する（ステップＳ４０２）。即ち、本実施形態に係るネットワーク監視装置２０によれば、ネットワーク監視装置２０への通信の誘導が困難な検疫対象ノード９０であっても、検疫対象ノード９０に対する他の端末からの通信を遮断することで、検疫対象ノード９０に係る通信を制限することが出来る。その後、本フローチャートに示された処理は終了する。

図４から図７に示されたフローチャートを用いて説明した上記実施形態において、通信誘導および通信誘導解除のためのＭＡＣアドレスの通知は、ＡＲＰ要求（ＧＡＲＰを含む）やＡＲＰ応答等を用いて行われたが、ＭＡＣアドレスの通知に用いられる方法は、フローチャートを用いて説明した上記実施の形態に限定されない。例えば、ＡＲＰ要求を用いてＭＡＣアドレスを通知していたステップにおいて、ＡＲＰ応答を用いてＭＡＣアドレスを通知することも可能であるし、ＧＡＲＰを用いてＭＡＣアドレスを通知していたステップにおいて、通常のＡＲＰ要求を用いてＭＡＣアドレスを通知することも可能である。また、ＭＡＣアドレスの通知にその他のプロトコルが用いられてもよい。

１ 検疫システム
２０ ネットワーク監視装置（通信監視装置）
２１ 通信遮断部
２２ リダイレクト部
２３ 第一通信誘導部
２４ 第二通信誘導部
２５ 送受信部
２６ 誘導成功判断部
２７ 誘導失敗判断部
２８ 通信誘導解除部
３０ 検疫サーバ
９０ 検疫対象ノード（情報処理装置）

Claims (9)

1. ネットワークにおける情報処理装置による通信を監視する通信監視装置であって、
   前記情報処理装置のうちの対象装置からの通信を該通信監視装置に誘導する、第一の通信誘導手段と、
   前記対象装置以外の情報処理装置からの該対象装置に対する通信を該通信監視装置に誘導する、第二の通信誘導手段と、
   該通信監視装置を宛先とする通信を受信する受信手段と、
   前記受信手段によって、前記対象装置からの該通信監視装置を宛先とする通信が受信された場合に、前記第一の通信誘導手段による誘導が成功していると判断する誘導成功判断手段と、
   前記誘導成功判断手段によって、前記第一の通信誘導手段による誘導が成功していると判断された場合に、前記第二の通信誘導手段による通信の誘導を解除する通信誘導解除手段と、
   を備える通信監視装置。
2. 前記第一の通信誘導手段は、前記対象装置に対して、他の装置の物理アドレスとして該通信監視装置の物理アドレスを通知することで、該対象装置からの通信を該通信監視装置に誘導し、
   前記誘導成功判断手段は、前記受信手段によって、前記対象装置からの該通信監視装置の物理アドレスを宛先とする通信が受信された場合に、前記第一の通信誘導手段による誘導が成功していると判断する、
   請求項１に記載の通信監視装置。
3. 前記第二の通信誘導手段は、前記対象装置以外の情報処理装置に対して、前記対象装置の物理アドレスとして該通信監視装置の物理アドレスを通知することで、前記対象装置以外の情報処理装置からの該対象装置に対する通信を該通信監視装置に誘導し、
   前記通信誘導解除手段は、前記対象装置以外の情報処理装置に対して、前記対象装置の物理アドレスを通知することで、前記第二の通信誘導手段による通信の誘導を解除する、
   請求項１または２に記載の通信監視装置。
4. 前記第二の通信誘導手段は、前記対象装置と外部ネットワークとの間の通信を仲介する通信仲介装置に対して、前記対象装置の物理アドレスとして該通信監視装置の物理アドレスを通知することで、該通信仲介装置によって仲介される、該外部ネットワークからの該対象装置に対する通信を該通信監視装置に誘導し、
   前記通信誘導解除手段は、前記通信仲介装置に対して、前記対象装置の物理アドレスを通知することで、前記第二の通信誘導手段による通信の誘導を解除する、
   請求項１から３の何れか一項に記載の通信監視装置。
5. 前記第一の通信誘導手段による誘導に対する応答が所定の条件に従って受信されない場合に、前記第一の通信誘導手段による誘導が失敗していると判断する誘導失敗判断手段を更に備え、
   前記第二の通信誘導手段は、前記誘導失敗判断手段によって前記第一の通信誘導手段による誘導が失敗していると判断された場合に、前記対象装置以外の情報処理装置からの該対象装置に対する通信を該通信監視装置に誘導する、
   請求項１から４の何れか一項に記載の通信監視装置。
6. 前記第一の通信誘導手段は、前記対象装置からの通信を定期的に該通信監視装置に誘導する、
   請求項５に記載の通信監視装置。
7. 前記誘導された通信の少なくとも一部を転送しないことで、前記対象装置に係る通信の少なくとも一部を遮断する通信遮断手段を更に備える、
   請求項１から６の何れか一項に記載の通信監視装置。
8. ネットワークにおける情報処理装置による通信を監視するコンピュータが、
   前記情報処理装置のうちの対象装置からの通信を該コンピュータに誘導する、第一の通信誘導ステップと、
   前記対象装置以外の情報処理装置からの該対象装置に対する通信を該コンピュータに誘導する、第二の通信誘導ステップと、
   該コンピュータを宛先とする通信を受信する受信ステップと、
   前記受信ステップにおいて、前記対象装置からの該コンピュータを宛先とする通信が受信された場合に、前記第一の通信誘導ステップでの誘導が成功していると判断する誘導成功判断ステップと、
   前記誘導成功判断ステップにおいて、前記第一の通信誘導ステップでの誘導が成功していると判断された場合に、前記第二の通信誘導ステップによる通信の誘導を解除する通信誘導解除ステップと、
   を実行する通信監視方法。
9. ネットワークにおける情報処理装置による通信を監視するコンピュータに、
   前記情報処理装置のうちの対象装置からの通信を該コンピュータに誘導する、第一の通信誘導ステップと、
   前記対象装置以外の情報処理装置からの該対象装置に対する通信を該コンピュータに誘導する、第二の通信誘導ステップと、
   該コンピュータを宛先とする通信を受信する受信ステップと、
   前記受信ステップにおいて、前記対象装置からの該コンピュータを宛先とする通信が受信された場合に、前記第一の通信誘導ステップでの誘導が成功していると判断する誘導成功判断ステップと、
   前記誘導成功判断ステップにおいて、前記第一の通信誘導ステップでの誘導が成功していると判断された場合に、前記第二の通信誘導ステップによる通信の誘導を解除する通信誘導解除ステップと、
   を実行させる通信監視用プログラム。

Images