JP2017168915A - スイッチ装置、制御方法およびプログラム - Google Patents

Abstract

【課題】ポート認証方式にもとづくスイッチに認証機能を持たないハブが接続され、ハブに正規端末と不正端末が接続された場合、スイッチに接続される多数の装置（端末）で不正端末を検出したり、不正端末をアクセス不可にすると正規端末もアクセス不可になってしまったりする。【解決手段】ポート認証方式にもとづくスイッチ装置であって、登録される端末の識別子を記憶する記憶手段と、認証サーバから受信された第１フレームが認証成功フレームであれば、前記第１フレームに含まれている送信先端末の識別子を前記記憶手段に登録する登録手段と、端末から受信された第２フレームが認証要求フレームでなければ、前記第２フレームに含まれている送信元端末の識別子が前記記憶手段に登録されているかを確認し、登録されていなければ、前記第２フレームを破棄し、登録されていれば、前記第２フレームを転送するセキュリティ手段とを備える。【選択図】 図１

Description

本発明は、スイッチ装置、制御方法およびプログラムに関する。

通信ネットワークにおけるスイッチングハブ等のスイッチに不正な装置が接続されることがある。このことに対する技術が特許文献１〜３に記載されている。すなわち、特許文献１に記載のネットワーク制御装置は、各々、不正な装置を検出し、不正な装置が直接接続されたスイッチングハブへ制御指令を送信する。制御指令を受信したスイッチングハブは、不正な装置が接続された自身の接続ポートを電子的に制御し、不正な装置のネットワーク接続を遮断する。

また、特許文献２に記載の認証装置は、認証データベースに未格納の端末からの通信要求時に、Ｌ２（Layer2）およびＬ３（Layer3）スイッチから収集された認証に必要な端末のネットワーク情報を、あらかじめ設定されたネットワーク上における端末についての収容情報テーブルを用いて精査し、端末の認証を行う。

さらに、特許文献３に記載の認証ロギングシステムは、認証スイッチおよび認証サーバの認証ログ情報を１つにまとめ、その情報を解析し、ユーザＩＤ（Identification）詐称の不正ユーザを検出する。

特開２０１５−３５７２４号公報 特開２０１４−１８６７０３号公報 特開２００９−２９６５１０号公報

ところで、図６のように、ネットワーク３、認証サーバ４と接続されている、ポート認証方式のスイッチングハブ１にユーザが正規な（認証サーバ４で認証される）端末５を接続した後、不正なユーザが認証機能を持たないハブ６をスイッチングハブ１と正規端末５の間に接続するようなことがある。なお、ポート認証方式は、ＩＥＥＥ８０２．１Ｘに準拠し、ポート単位で認証を行う方式である。ＩＥＥＥは、Institute of Electrical and Electronics Engineersの略称である。その場合、正規端末５は認証サーバ４に認証されてネットワーク３へアクセス可能となる。ところが、ポート認証方式のスイッチングハブ１は認証された端末５が接続されているポート２を通信可能に設定するため、不正な（認証サーバ４で認証されない）端末７がそのハブ６に接続されると、認証無しで、不正端末７もネットワーク３へアクセス可能となってしまうというセキュリティ問題が生じる。

この問題に対して、特許文献１に記載の技術によれば、不正端末のスイッチとの接続を遮断して不正端末を通信不可とすることが可能となるように思われる。ところが、その際、スイッチのポートが遮断されるため、不正端末が接続されたハブに接続されている正規端末も通信不可となってしまう。さらに、特許文献１に記載の技術では、不正端末の検出がスイッチに接続される複数のネットワーク制御装置によって行われるため、多数のネットワーク制御装置に不正端末の検出を行う機能を備えさせるコストが看過できない。また、特許文献２、３に記載の技術は、ＭＡＣ（Media Access Control）アドレス認証方式に関するものであり、上記問題はポート認証方式に関するものである。

このように、ポート認証方式にもとづくスイッチに認証機能を持たないハブが接続され、ハブに正規端末と不正端末が接続された場合、スイッチに接続される多数の装置（端末）で不正端末を検出したり、不正端末をアクセス不可にすると正規端末もアクセス不可になってしまったりすることが課題である。

本発明の目的は、上記課題を解決するスイッチ装置、制御方法およびプログラムを提供することである。

本発明のスイッチ装置は、ポート認証方式にもとづくスイッチ装置であって、登録される端末の識別子を記憶する記憶手段と、認証サーバから受信された第１フレームが認証成功フレームであるかを判定し、前記第１フレームが認証成功フレームであれば、前記第１フレームに含まれている送信先端末の識別子を前記記憶手段に登録する登録手段と、端末から受信された第２フレームが認証要求フレームであるかを判定し、前記第２フレームが認証要求フレームでなければ、前記第２フレームに含まれている送信元端末の識別子が前記記憶手段に登録されているかを確認し、前記送信元端末の識別子が前記記憶手段に登録されていなければ、前記第２フレームを破棄し、前記送信元端末の識別子が前記記憶手段に登録されていれば、前記第２フレームを転送するセキュリティ手段とを備えることを特徴とする。

本発明のスイッチ装置の制御方法は、ポート認証方式にもとづくスイッチ装置の制御方法であって、登録される端末の識別子を記憶手段に記憶する記憶工程と、認証サーバから受信された第１フレームが認証成功フレームであるかを判定し、前記第１フレームが認証成功フレームであれば、前記第１フレームに含まれている送信先端末の識別子を前記記憶手段に登録する登録工程と、端末から受信された第２フレームが認証要求フレームであるかを判定し、前記第２フレームが認証要求フレームでなければ、前記第２フレームに含まれている送信元端末の識別子が前記記憶手段に登録されているかを確認し、前記送信元端末の識別子が前記記憶手段に登録されていなければ、前記第２フレームを破棄し、前記送信元端末の識別子が前記記憶手段に登録されていれば、前記第２フレームを転送するセキュリティ工程とを備えることを特徴とする。

本発明のスイッチ装置のプログラムは、ポート認証方式にもとづくスイッチ装置に、登録される端末の識別子を記憶手段に記憶する記憶処理と、認証サーバから受信された第１フレームが認証成功フレームであるかを判定し、前記第１フレームが認証成功フレームであれば、前記第１フレームに含まれている送信先端末の識別子を前記記憶手段に登録する登録処理と、端末から受信された第２フレームが認証要求フレームであるかを判定し、前記第２フレームが認証要求フレームでなければ、前記第２フレームに含まれている送信元端末の識別子が前記記憶手段に登録されているかを確認し、前記送信元端末の識別子が前記記憶手段に登録されていなければ、前記第２フレームを破棄し、前記送信元端末の識別子が前記記憶手段に登録されていれば、前記第２フレームを転送するセキュリティ処理とを実行させることを特徴とする。

本発明によれば、ポート認証方式にもとづくスイッチに認証機能を持たないハブが接続され、ハブに正規端末と不正端末が接続された場合、スイッチのみで不正端末を検出して、不正端末をアクセス不可とし、正規端末をアクセス可能とすることが可能となる。

第１の実施形態に係るスイッチ装置の構成例を示すブロック図である。 第２の実施形態に係るスイッチ装置の構成例を示すブロック図である。 第２の実施形態に係るスイッチ装置の動作例を示すフローチャートである。 第２の実施形態に係るスイッチ装置の動作例を示すフローチャートである。 第２の実施形態に係るスイッチ装置の構成例を示すブロック図である。 スイッチを含むネットワークの構成を示す図である。

以下、本発明の実施形態に係るスイッチ装置、制御方法およびプログラムについて説明する。なお、図面における矢印の向きは、一例を示すものであり、ブロック間の信号の向きを限定するものではない。

まず、本発明の第１の実施形態について、図面を参照して説明する。

本実施形態では、自装置に認証機能を持たないハブが接続され、ハブに正規端末と不正端末が接続された場合、自装置のみで不正端末を検出して、不正端末をアクセス不可とし、正規端末をアクセス可能とする、最小限の要素で構成されたポート認証方式にもとづくスイッチ装置について説明する。

図１に、本実施形態に係るスイッチ装置の構成例を示す。スイッチ装置１００は、記憶部１０１、登録部１０２、セキュリティ部１０３を含む。

スイッチ装置１００は、ポート認証方式にもとづく通信スイッチ装置である。

記憶部１０１は、登録される端末の識別子を記憶する。

登録部１０２は、受信された認証成功フレームに含まれている送信先端末の識別子を記憶部１０１に登録する。

セキュリティ部１０３は、端末から受信された認証要求フレームではないフレームに含まれている送信元端末の識別子が記憶部１０１に登録されているかを確認し、登録されていなければ、そのフレームを破棄し、登録されていれば、そのフレームを転送する。

上記の構成例を踏まえ、本実施形態に係るスイッチ装置１００の動作例について説明する。

ユーザ等の所定操作により起動されたスイッチ装置１００において、登録部１０２が、認証サーバから受信された第１フレームが認証成功フレームであれば、第１フレームに含まれている送信先端末の識別子を記憶部１０１に登録する。セキュリティ部１０３が、端末から受信された第２フレームが認証要求フレームでなければ、第２フレームに含まれている送信元端末の識別子が記憶部１０１に登録されているかを確認する。送信元端末の識別子が記憶部１０１に登録されていなければ、セキュリティ部１０３は第２フレームを破棄する。送信元端末の識別子が記憶部１０１に登録されていれば、セキュリティ部１０３は第２フレームを転送する。

図６において、スイッチングハブ１を本実施形態に係るスイッチ装置１００に置き換えた場合、正規端末５は認証要求を行って認証サーバ４に認証されて、正規端末５の識別子が記憶部１０１に登録されるため、正規端末５はネットワーク３へアクセス可能となる。不正端末７は認証要求を行わないため認証サーバ４に認証されず、不正端末７の識別子が記憶部１０１に登録されないため、不正端末７はネットワーク３へアクセス不可となる。また、不正端末７はスイッチ装置１００のみで検出される。

このように、ポート認証方式にもとづくスイッチに認証機能を持たないハブが接続され、ハブに正規端末と不正端末が接続された場合、スイッチのみで不正端末を検出して、不正端末をアクセス不可とし、正規端末をアクセス可能とすることが可能となる。

次に、本発明の第２の実施形態について、図面を参照して説明する。

本実施形態では、自装置に認証機能を持たないハブが接続され、ハブに正規端末と不正端末が接続された場合、自装置のみで不正端末を検出して、不正端末をアクセス不可とし、正規端末をアクセス可能とするポート認証方式にもとづくスイッチ装置について説明する。

図２に、本実施形態に係るスイッチ装置の構成例を示す。スイッチ装置１０は、認証端末情報登録部１１、ポートセキュリティ部１２、認証端末情報記憶部１３、スイッチ処理部１４を含む。スイッチ装置１０には、ネットワーク２０、認証サーバ３０、端末４０が接続されている。

スイッチ装置１０は、８０２．１Ｘのポート認証方式にもとづく通信スイッチ装置である。

ネットワーク２０は、例えば、社内通信ネットワークを含む。

認証サーバ３０は、８０２．１Ｘのポート認証方式に準拠し、端末４０のネットワーク２０へのアクセスのための認証を行う。

端末４０は、８０２．１Ｘのポート認証方式に対応し、スイッチ装置１０のいくつかのポートにそれぞれ接続されている少なくとも一つの通信端末を含む。

認証端末情報登録部１１は、受信された認証成功フレームに含まれている送信先端末のＭＡＣアドレス（識別子）を認証端末情報記憶部１３に登録する。

ポートセキュリティ部１２は、不正端末の接続を判定し、不正端末からのフレームを破棄する。

認証端末情報記憶部１３は、登録される認証端末情報の記憶を行う。なお、図２における認証端末情報記憶部１３中の表は認証端末情報の記憶例である。

スイッチ処理部１４は、ネットワーク２０、認証サーバ３０、端末４０の間で送受信されるフレームのスイッチ処理を行う。

上記の構成例を踏まえ、本実施形態に係るスイッチ装置１０の動作例について、図３〜図５を参照して説明する。図３、図４は本実施形態に係るスイッチ装置の動作例を示すフローチャートである。

まず、認証サーバに認証された端末情報を登録する動作について、図３を参照して説明する。

ユーザ等の所定操作により起動されたスイッチ装置１０が認証サーバ３０からフレームを受信する（Ｓ３０１）と、認証端末情報登録部１１がそのフレームが認証成功フレームであるかを判定する（Ｓ３０２）。なお、認証サーバ３０は端末４０を認証すると端末４０が認証されたことを示す識別子を含む認証成功フレームをスイッチ装置１０へ送信する。認証成功フレームであれば（Ｓ３０２でＹｅｓ）、認証端末情報登録部１１は認証成功フレームに含まれている送信先端末のＭＡＣアドレスを認証端末情報記憶部１３に登録し（Ｓ３０３）、ステップＳ３０１の処理が行われる。その登録の際、認証端末情報登録部１１はその送信先端末のＭＡＣアドレスを送信先端末の接続されているポート番号と対応付けてもよい。なお、その登録の際、ポート認証方式にもとづき該ポートを通信可能にする処理も行われる。認証成功フレームでなければ（Ｓ３０２でＮｏ）、ステップＳ３０１の処理が行われる。

次に、不正端末のネットワークへのアクセスを遮断する動作について、図４を参照して説明する。

ユーザ等の所定操作により起動されたスイッチ装置１０が端末４０からフレームを受信する（Ｓ４０１）と、ポートセキュリティ部１２がそのフレームが認証要求フレームであるかを判定する（Ｓ４０２）。なお、端末４０は認証サーバ３０に認証要求を行うためＩＤやパスワード、認証要求であることを示す識別子を含む認証要求フレームを認証サーバ３０へ送信する。認証要求フレームであれば（Ｓ４０２でＹｅｓ）、ポートセキュリティ部１２はそのフレームをスイッチ処理部１４に認証サーバ３０へ転送させる（Ｓ４０３）。認証要求フレームでなければ（Ｓ４０２でＮｏ）、ポートセキュリティ部１２はそのフレームに含まれている送信元端末のＭＡＣアドレスが認証端末情報記憶部１３に登録されているかを確認する（Ｓ４０４）。登録されていなければ（Ｓ４０４でＮｏ）、ポートセキュリティ部１２は不正端末が接続されていると判定し、該フレームを破棄する（Ｓ４０５）。この際、ポートセキュリティ部１２が該ＭＡＣアドレス、および該フレームが受信されたポート番号を記憶してもよい。登録されていれば（Ｓ４０４でＹｅｓ）、ポートセキュリティ部１２は該フレームをスイッチ処理部１４にネットワーク２０へ転送させる（Ｓ４０６）。ステップＳ４０３、Ｓ４０５あるいはＳ４０６の処理の後、ステップＳ４０１の処理が行われる。

なお、ステップＳ４０４で登録されていない場合（Ｓ４０４でＮｏ）、さらに、ポートセキュリティ部１２がその登録されていないＭＡＣアドレス、該フレームが受信されたポート番号、認証端末情報記憶部１３でそのポート番号に対応するＭＡＣアドレスを含む通知（不正端末接続の通知）を管理者等の外部へ出力してもよい。その出力の方法は、例えば、ログ出力、Ｅメール送信、シスログ送信などである。これにより、不正端末接続の通知を受けた管理者は不正端末や不正ハブの撤去等を行うことが可能となる。また、図５のように、秘密情報が存在しない疑似ネットワーク５０をスイッチ処理部１４に接続しておき、ステップＳ４０４で登録されていない場合（Ｓ４０４でＮｏ）に、ポートセキュリティ部１２は該フレームを破棄する代わりに、スイッチ処理部１４に疑似ネットワーク５０へ転送させてもよい。なお、疑似ネットワーク５０にアクセスされてもセキュリティ被害は起こらない。また、図５における認証端末情報記憶部１３中の表は認証端末情報の記憶例である。これにより、不正端末は直ちに通信不可とならないため、不正端末のユーザは不正接続が発覚したことを認識できず、その場に留まっている可能性がある。その時間に、不正接続の通知を受けた管理者は不正ユーザの身柄の確保等を行うことが可能となる。

図６において、スイッチングハブ１を本実施形態に係るスイッチ装置１０に置き換えた場合、正規端末５は認証要求を行って認証サーバ４に認証されて、正規端末５のＭＡＣアドレスが認証端末情報記憶部１３に登録されるため、正規端末５はネットワーク３へアクセス可能となる。不正端末７は認証を行わないため認証サーバ４に認証されず、不正端末７のＭＡＣアドレスが認証端末情報記憶部１３に登録されないため、不正端末７はネットワーク３へアクセス不可となる。また、不正端末７はスイッチ装置１０のみで検出される。

このように、ポート認証方式にもとづくスイッチに認証機能を持たないハブが接続され、ハブに正規端末と不正端末が接続された場合、スイッチのみで不正端末を検出して、不正端末をアクセス不可とし、正規端末をアクセス可能とすることが可能となる。

なお、以上の実施形態において、係る動作処理を実行させるためのプログラムを、ＣＤ−ＲＯＭ、ＭＯなどのコンピュータ読取可能な記録媒体に格納して配布してもよい。該プログラムをスイッチ装置にインストールすることにより、スイッチ装置に該動作処理を実行させてもよい。ＣＤ−ＲＯＭはCompact Disk Read-Only Memoryの略称で、ＭＯはMagneto-Optical diskの略称である。

本発明は、スイッチ装置、制御方法およびプログラムに利用可能である。

１ スイッチングハブ
２ ポート
３ ネットワーク
４ 認証サーバ
５ 正規端末
６ ハブ
７ 不正端末
１０ スイッチ装置
１１ 認証端末情報登録部
１２ ポートセキュリティ部
１３ 認証端末情報記憶部
１４ スイッチ処理部
２０ ネットワーク
３０ 認証サーバ
４０ 端末
５０ 疑似ネットワーク
１００ スイッチ装置
１０１ 記憶部
１０２ 登録部
１０３ セキュリティ部

Claims (9)

1. ポート認証方式にもとづくスイッチ装置であって、
   登録される端末の識別子を記憶する記憶手段と、
   認証サーバから受信された第１フレームが認証成功フレームであるかを判定し、前記第１フレームが認証成功フレームであれば、前記第１フレームに含まれている送信先端末の識別子を前記記憶手段に登録する登録手段と、
   端末から受信された第２フレームが認証要求フレームであるかを判定し、前記第２フレームが認証要求フレームでなければ、前記第２フレームに含まれている送信元端末の識別子が前記記憶手段に登録されているかを確認し、前記送信元端末の識別子が前記記憶手段に登録されていなければ、前記第２フレームを破棄し、前記送信元端末の識別子が前記記憶手段に登録されていれば、前記第２フレームを転送するセキュリティ手段と
   を備えることを特徴とするスイッチ装置。
2. 前記セキュリティ手段は、前記送信元端末の識別子が前記記憶手段に登録されていない場合、前記第２フレームを疑似ネットワークへ転送する
   ことを特徴とする請求項１に記載のスイッチ装置。
3. 前記登録手段は、前記受信された第１フレームが認証成功フレームである場合、前記第１フレームの送信先端末の識別子を前記送信先端末の接続されているポート番号と対応付けて前記記憶手段に登録し、
   前記セキュリティ手段は、前記第２フレームの送信元端末の識別子が前記記憶手段に登録されていない場合、さらに、前記送信元端末の識別子、前記第２フレームが受信された受信ポート番号、前記記憶手段で前記受信ポート番号に対応付けられている識別子を含む通知を外部へ出力する
   ことを特徴とする請求項１または請求項２に記載のスイッチ装置。
4. ポート認証方式にもとづくスイッチ装置の制御方法であって、
   登録される端末の識別子を記憶手段に記憶する記憶工程と、
   認証サーバから受信された第１フレームが認証成功フレームであるかを判定し、前記第１フレームが認証成功フレームであれば、前記第１フレームに含まれている送信先端末の識別子を前記記憶手段に登録する登録工程と、
   端末から受信された第２フレームが認証要求フレームであるかを判定し、前記第２フレームが認証要求フレームでなければ、前記第２フレームに含まれている送信元端末の識別子が前記記憶手段に登録されているかを確認し、前記送信元端末の識別子が前記記憶手段に登録されていなければ、前記第２フレームを破棄し、前記送信元端末の識別子が前記記憶手段に登録されていれば、前記第２フレームを転送するセキュリティ工程と
   を備えることを特徴とするスイッチ装置の制御方法。
5. 前記セキュリティ工程は、前記送信元端末の識別子が前記記憶手段に登録されていない場合、前記第２フレームを疑似ネットワークへ転送する
   ことを特徴とする請求項４に記載のスイッチ装置の制御方法。
6. 前記登録工程は、前記受信された第１フレームが認証成功フレームである場合、前記第１フレームの送信先端末の識別子を前記送信先端末の接続されているポート番号と対応付けて前記記憶手段に登録し、
   前記セキュリティ工程は、前記第２フレームの送信元端末の識別子が前記記憶手段に登録されていない場合、さらに、前記送信元端末の識別子、前記第２フレームが受信された受信ポート番号、前記記憶手段で前記受信ポート番号に対応付けられている識別子を含む通知を外部へ出力する
   ことを特徴とする請求項４または請求項５に記載のスイッチ装置の制御方法。
7. ポート認証方式にもとづくスイッチ装置に、 登録される端末の識別子を記憶手段に記憶する記憶処理と、
   認証サーバから受信された第１フレームが認証成功フレームであるかを判定し、前記第１フレームが認証成功フレームであれば、前記第１フレームに含まれている送信先端末の識別子を前記記憶手段に登録する登録処理と、
   端末から受信された第２フレームが認証要求フレームであるかを判定し、前記第２フレームが認証要求フレームでなければ、前記第２フレームに含まれている送信元端末の識別子が前記記憶手段に登録されているかを確認し、前記送信元端末の識別子が前記記憶手段に登録されていなければ、前記第２フレームを破棄し、前記送信元端末の識別子が前記記憶手段に登録されていれば、前記第２フレームを転送するセキュリティ処理と
   を実行させることを特徴とするスイッチ装置のプログラム。
8. 前記セキュリティ処理は、前記送信元端末の識別子が前記記憶手段に登録されていない場合、前記第２フレームを疑似ネットワークへ転送する
   ことを特徴とする請求項７に記載のスイッチ装置のプログラム。
9. 前記登録処理は、前記受信された第１フレームが認証成功フレームである場合、前記第１フレームの送信先端末の識別子を前記送信先端末の接続されているポート番号と対応付けて前記記憶手段に登録し、
   前記セキュリティ処理は、前記第２フレームの送信元端末の識別子が前記記憶手段に登録されていない場合、さらに、前記送信元端末の識別子、前記第２フレームが受信された受信ポート番号、前記記憶手段で前記受信ポート番号に対応付けられている識別子を含む通知を外部へ出力する
   ことを特徴とする請求項７または請求項８に記載のスイッチ装置のプログラム。

Images