JP2019009637A - ネットワーク監視装置 - Google Patents

Abstract

【課題】監視プログラムが動作せず、アドレス情報が登録されていない端末の監視制御が、ＩＰｖ６によるネットワークで実施できるようにする。【解決手段】監視部１０１は、ＬＡＮ１２１を監視して、いずれかの端末１２２からＬＡＮ１２１に送出されたデフォルトゲートウェイの設定情報を要求する第１メッセージを検知する。送信部１０２は、監視部１０１が第１メッセージを検知すると、第１メッセージの送信元に、自装置をデフォルトゲートウェイとする設定情報を含む第２メッセージを送信する。判断部１０４は、ネットワーク監視装置１００をデフォルトゲートウェイとして経由する、第１メッセージの送信元の端末１２２とサーバ１３２との間でやりとりされる第３メッセージの正／不正を判断する。【選択図】 図１

Description

本発明は、ネットワーク監視装置に関し、特に、ローカルエリアネットワークに接続する機器を監視するネットワーク監視装置に関する。

近年ＩｏＴの普及により、様々な機器がインターネットに接続されるようになり、インターネットに接続される機器の数も爆発的に増え、ＩＰｖ４からＩＰｖ６への移行が加速している。このため、ネットワーク監視装置などの多くのネットワークセキュリティ製品においても、従来のＩＰｖ４に対応した装置からＩＰｖ６に対応した装置が急速に求められている。

従来の技術では、不正な接続を防ぐためにネットワーク内の端末を把握しようとすると、多くの場合、各端末にエージェントなどのソフトウエアをインストールして常に動作させていた。また、ＩＰｖ４では、ＡＲＰ（Address Resolution Protocol）などのアドレス解決プロトコルを使用していた。また、接続した端末のＩＰｖ６アドレスとＭＡＣアドレスの組み合わせが「許可端末リスト」に記憶されているか否かで、接続した端末の正／不正を判断する技術も提案されている（特許文献１参照）。

特開２００７−１０４３９６号公報

ところで、エージェントなどのソフトウエアを動作させておくことで、不正を監視するシステムでは、エージェントが動作していない機器においては、不正を監視することができない。また、特許文献１の技術では、ＩＰｖ４のアドレス解決プロトコルを用いることができないＩＰｖ６においても、端末の接続制御ができるが、端末のアドレス情報が予め登録されている必要がある。

このため、例えば、企業内のネットワークに、新規に端末を接続する場合、当該端末が不正と判断されないようにするために、予めエージェントをインストールしておく、または、予め、端末のＭＡＣアドレスとＩＰｖ６アドレスとの情報などを、「許可端末リスト」に登録しておく必要がある。このため、従来では、新規に購入された端末は、エージェントが動作していなく、また、アドレス情報が登録されていないため、ネットワークに仮接続することもできない。例えば、新規に購入した端末を、企業外の広域網への接続は遮断し、構内ネットワークの接続は許可しようとする場合、上述した技術では対応できない。

上述したように、従来では、ＩＰｖ６によるネットワークでは、アドレス情報が登録されておらず、エージェントなどの監視プログラムが動作していない端末については、監視制御ができないという問題があった。

本発明は、以上のような問題点を解消するためになされたものであり、監視プログラムが動作せず、アドレス情報が登録されていない端末の監視制御が、ＩＰｖ６によるネットワークで実施できるようにすることを目的とする。

本発明に係るネットワーク監視装置は、複数の端末が接続されているＩＰｖ６によるネットワークを監視して、いずれかの端末からネットワーク以外に送信される不正なメッセージを破棄するネットワーク監視装置であって、ネットワークを監視して、いずれかの端末からネットワークに送出されたデフォルトゲートウェイの設定情報を要求する第１メッセージを検知するように構成された監視部と、監視部が第１メッセージを検知すると、第１メッセージの送信元に、自装置をデフォルトゲートウェイとする設定情報を含む第２メッセージを送信するように構成された送信部と、自装置をデフォルトゲートウェイとして、ネットワークのルータを介して第１メッセージの送信元とネットワーク以外の他のネットワークに接続されている通信先との間でやりとりされる第３メッセージの転送を実施するように構成された転送部と、転送部で転送される第３メッセージの正／不正を判断するように構成された判断部と、判断部が不正と判断した第３メッセージの転送を遮断するように構成された遮断部とを備える。

上記ネットワーク監視装置において、送信部は、自装置をネットワークのルータの優先度より高い優先度のデフォルトゲートウェイとした設定情報を含む第２メッセージを送信すればよい。

上記ネットワーク監視装置において、送信部は、ルータをデフォルトゲートウェイとした設定情報を含み、ルータの生存時間を０とした第４メッセージを第１メッセージの送信元に送信した後で、第２メッセージを送信するようにしてもよい。

上記ネットワーク監視装置において、遮断部は、第１メッセージの送信元に、存在していないデフォルトゲートウェイの設定情報を含む第５メッセージを送信することで、遮断を実施すればよい。

上記ネットワーク監視装置において、第２メッセージが送信された後で、自装置をデフォルトゲートウェイとする設定情報を含む第６メッセージを、マルチキャストでネットワークに送出するように構成された追加送信部を更に備えるようにしてもよい。

上記ネットワーク監視装置において、追加送信部は、第２メッセージが送信された後で、設定されている時間間隔で、第６メッセージを送出する。

以上説明したことにより、本発明によれば、アドレス情報が登録されておらず、エージェントなどの監視プログラムが動作していない端末の監視制御が、ＩＰｖ６によるネットワークで実施できるという優れた効果が得られる。

図１は、本発明の実施の形態１におけるネットワーク監視装置の構成を示す構成図である。 図２は、本発明の実施の形態１におけるネットワーク監視装置の動作例を説明するためのフローチャートである。 図３は、本発明の実施の形態２におけるネットワーク監視装置の構成を示す構成図である。 図４は、本発明におけるネットワーク監視装置のハードウエア構成を示す構成図である。

以下、本発明の実施の形態について参照して説明する。

［実施の形態１］
はじめに、本発明の実施の形態１におけるネットワーク監視装置１００について、図１を参照して説明する。ネットワーク監視装置１００は、複数の端末１２２が接続されているＩＰｖ６によるＬＡＮ（ネットワーク）１２１を監視する。ＬＡＮ１２１は、ルータ１２３を経由してＬＡＮ１２１以外のＷＡＮ（外部ネットワーク）１３１に接続している。例えば、端末１２２は、ルータ１２３を介し、ＷＡＮ１３１接続されている通信先となるサーバ１３２と接続可能とされている。ネットワーク監視装置１００は、いずれかの端末１２２からＬＡＮ１２１以外のＷＡＮ１３１に送信される不正なメッセージを破棄する。

ネットワーク監視装置１００は、監視部１０１、送信部１０２、転送部１０３、判断部１０４、遮断部１０５を備える。

監視部１０１は、ＬＡＮ１２１を監視して、いずれかの端末１２２からＬＡＮ１２１に送出されたデフォルトゲートウェイの設定情報を要求する第１メッセージを検知する。送信部１０２は、監視部１０１が第１メッセージを検知すると、第１メッセージの送信元に、自装置をデフォルトゲートウェイとする設定情報を含む第２メッセージを送信する。

転送部１０３は、ネットワーク監視装置１００をデフォルトゲートウェイとして、ＬＡＮ１２１のルータ１２３を介し、第１メッセージの送信元とサーバ１３２との間でやりとりされる第３メッセージの転送を実施する。転送部１０３は、例えば、第１メッセージの送信元の端末１２２からサーバ１３２へのリクエスト（第３メッセージ）の送信を受け付け、受け付けたリクエストをルータ１２３に転送する。これにより、ルータ１２３は、リクエストをサーバ１３２に送信する。また、このリクエストに対するサーバ１３２からのアンサー（第３メッセージ）は、ルータ１２３で受けられ、ネットワーク監視装置１００の転送部１０３を介し、第１メッセージの送信元の端末１２２へ転送される。

ここで、第１メッセージは、例えば、ＩＰｖ６プロトコルにおけるＲＳ（Router Solicitation）である。また、第２メッセージは、ＩＰｖ６プロトコルにおけるＲＡ（Router Advertisement）である。例えば、一般に、端末１２２がＬＡＮ１２１に接続されると、まず、リンクローカルアドレスが自動的に設定される。次いで、端末１２２は、設定されたリンクローカルアドレスを送信元アドレスとし、ＬＡＮ１２１に接続されているルータ１２３に、ＲＳ（ルータ要請）メッセージを送信し、グローバルユニキャストのプレフィックスを得ようとする。ＲＳは、例えば、マルチキャストで送信する。

このＲＳがルータ１２３で受け付けられると、ルータ１２３は、ＲＳの送信元の端末１２２にＲＡを返す。ＲＡには、端末１２２に割り当てるプレフィックス、デフォルトゲートウェイ、有効期限などの情報が含まれている。このＲＡを受信した端末１２２は、受信したプレフィックスと自身のＭＡＣアドレスを利用し、ＥＵＩ−６４により生成したインターフェースＩＤを組み合わせることで、グローバルユニキャストアドレスを生成して設定する。

ネットワーク監視装置１００の監視部１０１は、上述したように端末１２２から送出されるＲＳ（第１メッセージ）を検出する。監視部１０１がＲＳを検出すると、送信部１０２が、ネットワーク監視装置１００をゲートウェイとする情報を含むＲＡ（第２メッセージ）を端末１２２に返す。ここで、端末１２２から送出されるＲＳは、ルータ１２３においても受け付けられ、ルータ１２３も、ルータ１２３をゲートウェイとする情報を含むＲＡを端末１２２に送信する。

ルータ１２３より優先度が高いデフォルトゲートウェイとして端末１２２に設定されるように、送信部１０２は、自装置をルータ１２３の優先度より高い優先度のデフォルトゲートウェイとした設定情報を含むＲＡを送信する。これにより、送信部１０２では、ネットワーク監視装置１００がデフォルトゲートウェイとして設定されるようになる。

送信部１０２は、まず、ルータ１２３をデフォルトゲートウェイとした設定情報を含み、ルータ１２３の生存時間（ルータ生存時間）を０とし、送信元をルータ１２３とした第４メッセージ（ＲＡ）を、ＲＳの送信元の端末１２２に送信する。次いで、送信部１０２は、ネットワーク監視装置１００をデフォルトゲートウェイとした第２メッセージ（ＲＡ）を、ＲＳの送信元の端末１２２に送信する。第４メッセージを受け付けた端末１２２では、ルータ１２３をデフォルトゲートウェイに設定しない。この結果、端末１２２では、この後受け付けた第２メッセージにより、ネットワーク監視装置１００をデフォルトゲートウェイとして設定する。

上述したことにより、端末１２２では、ネットワーク監視装置１００をデフォルトゲートウェイとする。このため、例えば、端末１２２が、ＷＡＮ１３１に収容（接続）されているサーバ１３２との間でセッションを確立し、メッセージの送受信をおこなおうとすると、これらのメッセージは、ネットワーク監視装置１００を経由する（中継される）ことになる。

このように、ネットワーク監視装置１００をデフォルトゲートウェイとして（見なして）経由する（中継される）、ＬＡＮ１２１のルータ１２３を介して第１メッセージの送信元の端末１２２とサーバ１３２との間でやりとりされる第３メッセージの正／不正を、判断部１０４が判断する。判断部１０４は、例えば、サーバ１３２が許可していない宛先の場合、不正と判断する。また、判断部１０４は、第３メッセージのやりとりが許可されていないポートを使用されている場合、不正と判断する。

遮断部１０５は、判断部１０４が不正と判断した第３メッセージの転送を遮断する。例えば、遮断部１０５は、転送部１０３による第３メッセージの転送を停止する。また、遮断部１０５は、第３メッセージを破棄する。また、例えば、遮断部１０５は、第１メッセージの送信元の端末１２２に、存在していないデフォルトゲートウェイの設定情報を含むＲＡ（第５メッセージ）を送信してもよい。これにより、第１メッセージの送信元の端末１２２は、サーバ１３２との通信が遮断された状態となる。

上述したように、実施の形態１では、端末１２２では、監視プログラムが動作しておらず、また、端末１２２のアドレス情報が登録された装置は存在していないが、ネットワーク監視装置１００により、ＩＰｖ６によるネットワークの監視が実現できる。このように、実施の形態１によれば、各端末にエージェントを入れることなく、更には既存のネットワークの設定を変更することなく、外部通信しようとする端末を把握し、この通信を監視し、不正と判断したメッセージは遮断することができるようになる。

次に、本発明の実施の形態１におけるネットワーク監視装置の動作例について、図２を参照して説明する。

まず、監視部１０１が、いずれかの端末１２２からＬＡＮ１２１に送出されたデフォルトゲートウェイの設定情報を要求する第１メッセージを検知すると（ステップＳ１０１のｙｅｓ）、ステップＳ１０２で、送信部１０２が、第１メッセージの送信元に、自装置をデフォルトゲートウェイとする設定情報を含む第２メッセージを送信する。

次に、転送部１０３により端末１２２とサーバ１３２との間で、第３メッセージのやりとりが始まると（ステップＳ１０３のｙｅｓ）、ステップＳ１０４で、判断部１０４が、第３メッセージの正／不正を判断する。

判断部１０４が、第３メッセージを不正と判断すると（ステップＳ１０５のｙｅｓ）、ステップＳ１０６で、遮断部１０５が、第３メッセージの転送を遮断する。また、判断部１０４により、第３メッセージが不正と判断されると、管理者に視認可能なアラートを出すようにしてもよい。ネットワーク監視装置１００は、上述した各ステップの動作を、終了の指示を受け付けるまで継続する（ステップＳ１０７）。

［実施の形態２］
次に、本発明の実施の形態２におけるネットワーク監視装置１００について、図３を参照して説明する。実施の形態２におけるネットワーク監視装置１００は、前述した実施の形態１と同様に、複数の端末１２２が接続されているＬＡＮ１２１を監視する。また、ネットワーク監視装置１００は、前述した実施の形態１と同様に、監視部１０１、送信部１０２、転送部１０３、判断部１０４、遮断部１０５を備える。

実施の形態２におけるネットワーク監視装置１００は、送信部１０２が第２メッセージを送信した後で、自装置をデフォルトゲートウェイとする設定情報を含む第６メッセージを、マルチキャストでＬＡＮ１２１に送出する追加送信部１０６を更に備える。追加送信部１０６は、例えば、第２メッセージが送信された後で、設定されている時間間隔で、マルチキャストで第６メッセージを送出し続ける。

第６メッセージは、マルチキャストにより、ＬＡＮ１２１に接続されている全ての端末１２２に送信される。第６メッセージは、自装置をルータ１２３の優先度より高い優先度のデフォルトゲートウェイとした設定情報を含んでいるようにするとよい。第６メッセージは、例えば、ＩＰｖ６プロトコルにおけるＲＡである。

なお、第６メッセージにおいては、ルータ生存時間を、第６メッセージの送出間隔より少し長い時間（例えば５秒）に設定しておいてもよい。このようにしておくと、ルータ生存時間を超えて次の第６メッセージが受信されない場合、端末１２２は、ＲＳを送信し、デフォルトゲートウェイなどの情報を再設定する。ネットワーク監視装置１００が故障した場合、上述したように、ルータ生存時間を超えて次の第６メッセージが受信されない状態となる。従って、この場合、ネットワーク監視装置１００が故障すると、端末１２２は、ＲＳを送信し、結果としてルータ１２３をデフォルトゲートウェイとして設定する。この結果、端末１２２は、ネットワーク監視装置１００が故障しても、ＷＡＮ１３１におけるサーバ１３２との通信が可能となる。

なお、上述した実施の形態におけるネットワーク監視装置は、図４に示すように、ＣＰＵ（Central Processing Unit；中央演算処理装置）２０１と主記憶装置２０２と外部記憶装置２０３とネットワーク接続装置２０４となどを備えたコンピュータ機器であり、主記憶装置に展開されたプログラムによりＣＰＵが動作することで、上述した各機能が実現される。ネットワーク接続装置２０４は、ネットワーク２０５に接続する。また、各機能は、複数のコンピュータ機器に分散させるようにしてもよい。

以上に説明したように、本発明では、監視部で、端末から送出された第１メッセージを検知すると、送信部で、第１メッセージの送信元に、自装置をデフォルトゲートウェイとする設定情報を含む第２メッセージを送信し、判断部で、転送部で転送される第３メッセージの正／不正を判断するようにした。この結果、本発明によれば、アドレス情報が登録されておらず、エージェントなどの監視プログラムが動作していない端末の監視制御が、ＩＰｖ６によるネットワークで実施できるようになる。

なお、本発明は以上に説明した実施の形態に限定されるものではなく、本発明の技術的思想内で、当分野において通常の知識を有する者により、多くの変形および組み合わせが実施可能であることは明白である。

１００…ネットワーク監視装置、１０１…監視部、１０２…送信部、１０３…転送部、１０４…判断部、１０５…遮断部、１２１…ＬＡＮ（ネットワーク）、１２２…端末、１２３…ルータ、１３１…ＷＡＮ（外部ネットワーク）、１３２…サーバ。

Claims (6)

1. 複数の端末が接続されているＩＰｖ６によるネットワークを監視して、いずれかの前記端末から前記ネットワーク以外に送信される不正なメッセージを破棄するネットワーク監視装置であって、
   前記ネットワークを監視して、いずれかの前記端末から前記ネットワークに送出されたデフォルトゲートウェイの設定情報を要求する第１メッセージを検知するように構成された監視部と、
   前記監視部が前記第１メッセージを検知すると、前記第１メッセージの送信元に、自装置をデフォルトゲートウェイとする設定情報を含む第２メッセージを送信するように構成された送信部と、
   自装置をデフォルトゲートウェイとして、前記ネットワークのルータを介して前記第１メッセージの送信元と前記ネットワーク以外の他のネットワークに接続されている通信先との間でやりとりされる第３メッセージの転送を実施するように構成された転送部と、
   前記転送部で転送される前記第３メッセージの正／不正を判断するように構成された判断部と、
   前記判断部が不正と判断した前記第３メッセージの転送を遮断するように構成された遮断部と
   を備えることを特徴とするネットワーク監視装置。
2. 請求項１記載のネットワーク監視装置において、
   前記送信部は、自装置を前記ネットワークのルータの優先度より高い優先度のデフォルトゲートウェイとした設定情報を含む前記第２メッセージを送信する
   ことを特徴とするネットワーク監視装置。
3. 請求項１記載のネットワーク監視装置において、
   前記送信部は、前記ルータをデフォルトゲートウェイとした設定情報を含み、前記ルータの生存時間を０とした第４メッセージを前記第１メッセージの送信元に送信した後で、前記第２メッセージを送信する
   ことを特徴とするネットワーク監視装置。
4. 請求項１〜３のいずれか１項に記載のネットワーク監視装置において、
   前記遮断部は、前記第１メッセージの送信元に、存在していないデフォルトゲートウェイの設定情報を含む第５メッセージを送信することを特徴とするネットワーク監視装置。
5. 請求項１〜４のいずれか１項に記載のネットワーク監視装置において、
   前記第２メッセージが送信された後で、自装置をデフォルトゲートウェイとする設定情報を含む第６メッセージを、マルチキャストで前記ネットワークに送出するように構成された追加送信部を更に備えることを特徴とするネットワーク監視装置。
6. 請求項５記載のネットワーク監視装置において、
   前記追加送信部は、前記第２メッセージが送信された後で、設定されている時間間隔で、前記第６メッセージを送出することを特徴とするネットワーク監視装置。

Images