JP3729830B2 - 不正ルーティング監視方法、不正ルーティング監視プログラムおよび不正ルーティング監視装置 - Google Patents
不正ルーティング監視方法、不正ルーティング監視プログラムおよび不正ルーティング監視装置 Download PDFInfo
- Publication number
- JP3729830B2 JP3729830B2 JP2004043254A JP2004043254A JP3729830B2 JP 3729830 B2 JP3729830 B2 JP 3729830B2 JP 2004043254 A JP2004043254 A JP 2004043254A JP 2004043254 A JP2004043254 A JP 2004043254A JP 3729830 B2 JP3729830 B2 JP 3729830B2
- Authority
- JP
- Japan
- Prior art keywords
- information
- address information
- routing
- unauthorized
- address
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Expired - Fee Related
Links
Images
Description
本発明は、ＩＰ（Internet Protocol）およびイーサネット(登録商標)を利用したネットワークにおける不正ルーティングを監視する技術に関する。
現在、端末を接続させてＬＡＮ（Local Area Network）を構成し、ＬＡＮからルータを介してインターネット等の外部ネットワークに接続できるようなネットワークシステムが普及している。このようなイーサネット(登録商標)のネットワークシステムでは、種々の端末機が使用されることから、マルチベンダの使用に適したＩＰが使用されている。
また、このようなネットワークシステムにおいて、外部ネットワークあるいはＬＡＮ内部から、ＬＡＮに接続される端末に不正に侵入されることがある。このような不正侵入を監視するために、ネットワークに接続される情報機器の資源の構成及び利用状況の情報を収集し、不正利用および不正接続を検出する技術が提案されている(例えば、特許文献１参照)。
また、このようなネットワークシステムにおいて、外部ネットワークあるいはＬＡＮ内部から、ＬＡＮに接続される端末に不正に侵入されることがある。このような不正侵入を監視するために、ネットワークに接続される情報機器の資源の構成及び利用状況の情報を収集し、不正利用および不正接続を検出する技術が提案されている(例えば、特許文献１参照)。
この従来技術は、図１１に示すように、２つのＬＡＮ（ローカルエリアネットワーク）１１、１２がインターネット１３と接続され、インターネット１３を通じて情報のやり取りが可能な構成となっている。インターネット１３には、ネットワークの利用状況等を監視するネットワーク集中監視装置１４が接続されると共に、コンピュータウィルスに対する最新のワクチンのダウンロードサービスを提供するウィルス対策ワクチン配布Ｗｅｂサイト１５が接続されている。ＬＡＮ１１および１２には、コンピュータなどの情報機器１１１、１１２と、メールの送受信を行うためのメールサーバ１１３と、ファイルを管理するファイルサーバ１１４と、プロキシの設定を行うプロキシサーバ１１５と、不正アクセスを防ぐためのファイアウォールサーバ１１６と、ＬＡＮ内における情報機器の接続状況及びトラフィックを監視する監視装置１１７とが接続されている。各情報機器１１１、１１２には、情報機器１１１および１１２における資源の構成及び利用状況並びに利用者による利用状況を収集するエージェントと、コンピュータウィルスに対するワクチンを投入するウィルス検知手段とを実装している。また、ネットワーク集中監視装置１４において、各情報機器のエージェントが収集した情報機器の資源の構成及び利用状況の情報を取得し、ネットワーク内における各情報機器の資源の構成及び利用状況を認識すると共に、不正利用および不正接続を検出している。
上記従来技術では、情報機器の資源の構成や利用状況の情報を、ネットワーク集中監視装置１４において逐一収集しなければならないので処理負荷が大きくなる。すなわち、上記従来技術では、ネットワーク集中監視装置１４でネットワークにおけるすべての利用状況等を把握しなければならない。このため、ネットワーク集中監視装置１４での処理はネットワーク規模が大きくなるほど増大する。
本発明の目的は、上記課題を解決するものであり、ＩＰおよびイーサネット（登録商標）を利用するネットワークで、より簡単に不正接続を検出する技術を提供することにある。
本発明の目的は、上記課題を解決するものであり、ＩＰおよびイーサネット（登録商標）を利用するネットワークで、より簡単に不正接続を検出する技術を提供することにある。
上記目的を達成させるために、本発明は、ＩＰ（Internet Protocol）およびイーサネット(登録商標)を利用するネットワークに接続されるルータでの不正ルーティングを監視する不正ルーティング監視方法であって、前記ルータのルーティングテーブル情報およびＡＲＰ（Address Resolution Protocol）テーブル情報を採取する第１のステップと、前記ルーティングテーブル情報に登録された前記ネットワークの経路を示すＧＷ(ゲートウェイ)のＩＰアドレス情報を検出する第２のステップと、前記ＡＲＰテーブル情報に登録された、前記検出されたＧＷのＩＰアドレス情報に対応するＧＷのＭＡＣ（Media Access Control Address）アドレス情報が正当であるか否かを検出する第３のステップと、前記ＧＷのＩＰアドレス情報に対応するＧＷのＭＡＣアドレス情報が正当でないと検出された場合に、その旨を出力する第４のステップと、を備える。
本発明によれば、例えば、ルータのルーティングテーブルを不正に書き換えて、仮想的なルーティング情報を設定し、不正にアクセスを行うようなことが起こった場合に、その仮想的なルーティング情報のＭＡＣアドレス情報は実在しないので、ＧＷのＩＰアドレス情報に対応するＭＡＣアドレス情報の正当性を検証することにより、不正接続をより簡単に検出することができる。
本発明によれば、例えば、ルータのルーティングテーブルを不正に書き換えて、仮想的なルーティング情報を設定し、不正にアクセスを行うようなことが起こった場合に、その仮想的なルーティング情報のＭＡＣアドレス情報は実在しないので、ＧＷのＩＰアドレス情報に対応するＭＡＣアドレス情報の正当性を検証することにより、不正接続をより簡単に検出することができる。
本発明によれば、ＧＷ−ＩＰアドレス情報に対応するＭＡＣアドレス情報の正当性を検証することにより、不正接続をより簡単に検出することができる。
以下、本発明の実施の形態を、図面を参照して説明する。
図１は、本発明の第１の実施の形態におけるＩＰ（Internet Protocol）およびイーサネット(登録商標)を利用したネットワークシステムの構成図を示している。第１の実施の形態では、端末が、不正アクセスの検出を行い、管理端末に通知する場合を例にする。
図１において、ＬＡＮ（ローカルエリアネットワーク）１は、インターネットなどのネットワーク２７０を介して監視センタ２６０に接続されている。ＬＡＮ１には、パーソナルコンピュータ等の複数の端末２０１Ａ、Ｂ、Ｃと、サーバ２３０と、ＬＡＮ１を管理するための管理端末２４０と、ＬＡＮ１をネットワーク２７０に接続するためのルータ（ＧＷ）２２０Ａとが接続されている。端末２０１Ａ、Ｂ、Ｃは、それぞれクライアントコンピュータとしてサーバ２３０と通信を行うことができる。また、ルータ２２０Ａおよびネットワーク２７０を介して他のネットワークの端末と通信を行うことができる。図１において、サーバ２３０、管理端末２４０および端末２０１Ａ、Ｂ、Ｃの各々には、オペレーティングシステムシステム（ＯＳ）２７１と、各種の業務を行なうためのアプリケーションプログラムＡＰ２７２と、本実施の形態における不正アクセス監視プログラム(監視ＰＲＯ)２７３と、ネットワークに接続するためのルーティング情報などの各種設定情報を記憶する設定テーブルＴ２７４とを備えている。
不正アクセス監視プログラム２７３は、設定テーブルＴ２７４に新たにルーティング情報が設定された場合に、その正当性を判断することにより、不正アクセスを監視するためのソフトウェアである。設定テーブルＴ２７４には、自端末のアドレス情報であるＩＰアドレスとＭＡＣアドレス（Media Access Control Address）、宛先の端末のアドレス情報であるルーティング情報およびＡＲＰ情報を記憶している。ルーティング情報は、スタティックルーティングとダイナミックルーティングいずれでもよい。図２に、端末２０１Ａに記憶している設定テーブルＴ２７４を示す。図２において、設定テーブルＴ２７４は、自端末のＩＰアドレスとＭＡＣアドレスとを対応させて記憶する自端末情報３１０と、ルーティング情報を記憶するルーティングテーブル３１１と、ＡＲＰ情報を記憶するＡＲＰ（Address Resolution Protocol）テーブル３１２とを記憶している。ルーティングテーブル３１１には、宛先端末ごとに、宛先端末のＩＰアドレスと、宛先端末との間で経由するＧＷのＩＰアドレスとが対応付けられて記憶される。ARPテーブル３１２には、ＧＷ毎に、ＧＷのＩＰアドレスとＧＷのＭＡＣアドレスとが対応して記憶される。
つぎに、図３に、不正に内容が追加された場合の設定テーブルＴ２７４の例を示す。図３に示す例では、設定テーブルＴ２７４が不正に書き換えられて、宛先端末のＩＰアドレス１９２．１６８．１．１／３２と、経由するＧＷのＩＰアドレス１０．０．０．１００とを含むレコードが追加され、また、ＡＲＰテーブル３１２に、ＧＷのＩＰアドレス１０．０．０．１と、ＧＷのＭＡＣアドレスｄｄｄｄ.ｄｄｄｄ.ｄｄｄｄとを含むレコードが追加されている。本実施の形態においては、端末のルーティングテーブル３１１を不正に書き換えて、仮想的なルーティング情報を設定し、その仮想的なルーティング情報により送受信を行うようなことが起こった場合に、その仮想的なルーティング情報のＭＡＣアドレス情報は実在しないので、後述する問い合わせを行うことにより、ＭＡＣアドレス情報が存在するかを検証することで不正を検出している。
つぎに、端末２０１Ａ、Ｂ、Ｃのハードウェア構成を図４に示す。端末２０１Ａ、Ｂ、Ｃは、パーソナルコンピュータなどの電子計算機である。図４に示すように、ＣＰＵ４０１と、ＲＯＭ、ＲＡＭなどのメモリ４０３と、キーボードなどの入力装置４０２と、処理結果等を表示するディスプレイ４０４とを備える。前述したＯＳ２７１、ＡＰ２７２、監視プログラム２７３および設定テーブル２７４は、メモリ４０３に記憶される。ＣＰＵ４０１は、メモリ４０３に記憶されたＯＳ２７１、ＡＰ２７２、監視プログラム２７３を実行する。
図１は、本発明の第１の実施の形態におけるＩＰ（Internet Protocol）およびイーサネット(登録商標)を利用したネットワークシステムの構成図を示している。第１の実施の形態では、端末が、不正アクセスの検出を行い、管理端末に通知する場合を例にする。
図１において、ＬＡＮ（ローカルエリアネットワーク）１は、インターネットなどのネットワーク２７０を介して監視センタ２６０に接続されている。ＬＡＮ１には、パーソナルコンピュータ等の複数の端末２０１Ａ、Ｂ、Ｃと、サーバ２３０と、ＬＡＮ１を管理するための管理端末２４０と、ＬＡＮ１をネットワーク２７０に接続するためのルータ（ＧＷ）２２０Ａとが接続されている。端末２０１Ａ、Ｂ、Ｃは、それぞれクライアントコンピュータとしてサーバ２３０と通信を行うことができる。また、ルータ２２０Ａおよびネットワーク２７０を介して他のネットワークの端末と通信を行うことができる。図１において、サーバ２３０、管理端末２４０および端末２０１Ａ、Ｂ、Ｃの各々には、オペレーティングシステムシステム（ＯＳ）２７１と、各種の業務を行なうためのアプリケーションプログラムＡＰ２７２と、本実施の形態における不正アクセス監視プログラム(監視ＰＲＯ)２７３と、ネットワークに接続するためのルーティング情報などの各種設定情報を記憶する設定テーブルＴ２７４とを備えている。
不正アクセス監視プログラム２７３は、設定テーブルＴ２７４に新たにルーティング情報が設定された場合に、その正当性を判断することにより、不正アクセスを監視するためのソフトウェアである。設定テーブルＴ２７４には、自端末のアドレス情報であるＩＰアドレスとＭＡＣアドレス（Media Access Control Address）、宛先の端末のアドレス情報であるルーティング情報およびＡＲＰ情報を記憶している。ルーティング情報は、スタティックルーティングとダイナミックルーティングいずれでもよい。図２に、端末２０１Ａに記憶している設定テーブルＴ２７４を示す。図２において、設定テーブルＴ２７４は、自端末のＩＰアドレスとＭＡＣアドレスとを対応させて記憶する自端末情報３１０と、ルーティング情報を記憶するルーティングテーブル３１１と、ＡＲＰ情報を記憶するＡＲＰ（Address Resolution Protocol）テーブル３１２とを記憶している。ルーティングテーブル３１１には、宛先端末ごとに、宛先端末のＩＰアドレスと、宛先端末との間で経由するＧＷのＩＰアドレスとが対応付けられて記憶される。ARPテーブル３１２には、ＧＷ毎に、ＧＷのＩＰアドレスとＧＷのＭＡＣアドレスとが対応して記憶される。
つぎに、図３に、不正に内容が追加された場合の設定テーブルＴ２７４の例を示す。図３に示す例では、設定テーブルＴ２７４が不正に書き換えられて、宛先端末のＩＰアドレス１９２．１６８．１．１／３２と、経由するＧＷのＩＰアドレス１０．０．０．１００とを含むレコードが追加され、また、ＡＲＰテーブル３１２に、ＧＷのＩＰアドレス１０．０．０．１と、ＧＷのＭＡＣアドレスｄｄｄｄ.ｄｄｄｄ.ｄｄｄｄとを含むレコードが追加されている。本実施の形態においては、端末のルーティングテーブル３１１を不正に書き換えて、仮想的なルーティング情報を設定し、その仮想的なルーティング情報により送受信を行うようなことが起こった場合に、その仮想的なルーティング情報のＭＡＣアドレス情報は実在しないので、後述する問い合わせを行うことにより、ＭＡＣアドレス情報が存在するかを検証することで不正を検出している。
つぎに、端末２０１Ａ、Ｂ、Ｃのハードウェア構成を図４に示す。端末２０１Ａ、Ｂ、Ｃは、パーソナルコンピュータなどの電子計算機である。図４に示すように、ＣＰＵ４０１と、ＲＯＭ、ＲＡＭなどのメモリ４０３と、キーボードなどの入力装置４０２と、処理結果等を表示するディスプレイ４０４とを備える。前述したＯＳ２７１、ＡＰ２７２、監視プログラム２７３および設定テーブル２７４は、メモリ４０３に記憶される。ＣＰＵ４０１は、メモリ４０３に記憶されたＯＳ２７１、ＡＰ２７２、監視プログラム２７３を実行する。
図１に示す構成において、端末２１１が端末２０１Ａに不正にアクセスしたときに、端末２０１Ａにおいて不正アクセスを検出する場合を例にして第１の実施の形態を説明する。
端末２０１Ａには、本実施の形態における不正アクセス監視プログラム２７３があらかじめインストールされていて、この不正アクセス監視プログラム２７３は、図３に示すように設定テーブルＴ２７４に新たにルーティング情報が登録されたとき、もしくは、あらかじめ定められた時間に起動される。起動周期は定期的でも不定期でもよい。本実施の形態において、ルーティング情報の登録には、正当な端末との送受信を行うためのルーティング情報の登録と、不正な端末による仮想的なルーティング情報の登録とがある場合を想定している。その仮想的なルーティング情報により送受信を行うようなことが起こった場合に、不正な端末は、仮想的なルーティング情報が宛先として設定されたパケットを受信することはできたとしても、その仮想的なルーティング情報のＭＡＣアドレス情報は実在しないので、リバースＡＲＰ（ＲＡＲＰ）コマンドや、ＡＲＰコマンド、Ｐｉｎｇ（Packet Internet Groper）コマンドなどの問い合わせに対しては応答しないので、これらのコマンドを実行することで不正を検出している。
本実施の形態における不正アクセス監視プログラム２７３は、次の３つの条件Ａ，Ｂ，Ｃを満たす場合に、不正アクセスが行われたと判断する。
（条件Ａ） ディフォルトルート以外のゲートウェイを経由するルーティング情報がルーティングテーブル３１１に存在する。
（条件Ｂ） ＡＲＰテーブル３１２中に条件Ａを満たすゲートウェイのＩＰアドレスと関連付けられているＭＡＣアドレスが存在する。
（条件Ｃ） 条件Ｂを満たすＡＲＰテーブル３１２に登録されたＭＡＣアドレスが実在のものと異なる。
これらの条件Ａ，Ｂ，Ｃをフローチャートに示したものが図６〜図９である。デェフォルトルート以外のゲートウェイ（ＧＷ）を経由するルーティング情報がルーティングテーブル３１１に存在し（条件Ａ）、ＡＲＰテーブル３１２中にそのゲートウェイのＩＰアドレスと関連付けられたＭＡＣアドレスが存在し（条件Ｂ）、そのＭＡＣアドレスがあらかじめ登録された実在のＧＷのものと異なる（条件Ｃ）場合に、不正であると判断する。
以下、不正アクセス監視プログラム２７３の動作を、図６〜図９に示すフローチャート（その１〜４）を参照して説明する。図６〜図９に、第１の実施の形態における不正監視プログラムのフローチャート（その１〜４）を示す。
図６において、不正アクセス監視プログラム２７３は、新たにルーティングテーブル３１１のレコードが登録されたとき、もしくは、定期的に、登録されたルーティング情報のＧＷのＩＰアドレス（ＧＷ―ＩＰアドレス）が、図３に示す設定テーブルＴ２７４のＡＲＰテーブル３１２に登録されているかを判断する（Ｓ６０１）。ＡＲＰテーブル３１２にＧＷ―ＩＰアドレスが登録されていなければ、通信を行うことができないので不正はされていないと判断する。ＡＲＰテーブル３１２にＧＷ―ＩＰアドレスが登録されていれば、ＡＲＰテーブル３１２に登録されているＧＷ―ＩＰアドレスに対応するＧＷのＭＡＣアドレスが正当であるか否かを検証する（Ｓ６０３）。この処理については、図７〜図９を用いて後述する。図３に示す例においては、新たに追加されたルーティングテーブル３１１のＧＷ−ＩＰアドレス10.0.0.1に対応するＡＲＰテーブル３１２のＭＡＣアドレスdddd.dddd.ddddについて検証する。
検証後、ＭＡＣアドレスについて不正の疑いがあれば（Ｓ６０４）、不正アクセスの可能性があるとして、ディスプレイ４０４にその旨を表示する（Ｓ６０５）。図５に、ディスプレイ４０４に表示する表示例の説明図を示す。図５に示すように、不正を検出した場合には、「
ＩＰアドレス10.0.0.1 ＭＡＣアドレスdddd.dddd.dddd」などと、検出した結果を表示する。また、不正を検出した場合に、アラーム音などを送出したり、不正なレコードをルーティングテーブル３１１およびＡＲＰテーブル３１２からクリアしたりしてもよい。
図６において、ＭＡＣアドレスが正当であれば、ルーティングテーブル３１１の他の新たなレコードについて検証する（Ｓ６０２）。もしくは、定期的に起動している場合には、すべてのレコードについて検証後、不正アクセス監視プログラム２７３を終了する。
つぎに、図６のＳ６０３での処理を図７〜図９を参照して説明する。ＭＡＣアドレスの正当性を検証するために、端末２０１Ａにおいて、不正アクセス監視プログラム２７３は、ネットワーク２７０に対してリバースＡＲＰ（ＲＡＲＰ）コマンドを要求する（Ｓ７０１）。この場合、リバースＡＲＰの要求として、Ｓ６０１で検出したＧＷ−ＩＰのＭＡＣアドレスを入力とする。ＲＡＲＰの応答がある場合には（Ｓ７０２）、ＲＡＲＰの応答からＩＰアドレスを取得し（Ｓ７０３）、取得したＩＰアドレスと、ＡＲＰテーブル３１２のＩＰアドレスとが一致するか否かを比較し（Ｓ７０４）、一致すれば、不正なしと判断し、図８に示すＳ８００へ移行する（Ｓ７０５）。不一致の場合には、不正の疑いがある（Ｓ７０７）として図６に示すＳ６０４に移行する（Ｓ７０７）。また、ＲＡＲＰの応答が、一定時間にない場合には、不正ルーティングか、障害発生か、もしくは、無許可のルータが設置された疑いがあるとして（Ｓ７０６）、図６に示すＳ６０４へ進む（Ｓ７０７）。
つぎに、図８のＳ８０１において、不正アクセス監視プログラム２７３は、ネットワーク２７０に対して、ＩＰアドレスからＭＡＣアドレスを取得するため、ＡＲＰを要求する（Ｓ８０１）。この場合、ＡＲＰの要求に、Ｓ６０１で検出したＧＷ−ＩＰのＩＰアドレスを含める。ＡＲＰの応答がある場合には（Ｓ８０２）、ＡＲＰの応答からＭＡＣアドレスを取得し（Ｓ８０３）、取得したＭＡＣアドレスと、ＡＲＰテーブル３１２内のＡＲＰ情報のＧＷ−ＩＰアドレスに対応するＭＡＣアドレスとが一致するか否かを比較し（Ｓ８０４）、一致すれば、不正なしと判断し、図９に示すＳ９０１へ移行する（Ｓ８０５）。不一致の場合には、不正の疑いがあるとして図６に示すＳ６０４に移行する（Ｓ８０７）。また、ＡＲＰの応答が、一定時間にない場合には、不正ルーティングか、障害発生か、もしくは、無許可のルータが設置された疑いがあるとして（Ｓ８０６）、図６に示すＳ６０４へ進む（Ｓ８０７）。
つぎに、図９に示すＳ９０１おいて、不正アクセス監視プログラム２７３は、ネットワーク２７０に対してＰｉｎｇ（Packet Internet Groper）コマンドを要求する（Ｓ９０１）。この場合、図６に示すＳ６０１で検出したＧＷ−ＩＰアドレスを宛先とする。Ｐｉｎｇの応答がある場合には、ＡＲＰテーブル３１２が更新されるため、ＡＲＰテーブル３１２を再検索し、ＧＷ−ＩＰアドレスに対するＭＡＣアドレスを取得し（Ｓ９０２）、取得したＭＡＣアドレスと、Ｐｉｎｇ実行前のＭＡＣアドレスとが一致するか否かを比較し（Ｓ９０３）、一致すれば、不正なしと判断し、図６に示すＳ６０２へ移行する（Ｓ９０４）。不一致の場合には、不正の疑いがある（Ｓ９０６）として図６に示すＳ６０４に移行する。また、Ｐｉｎｇの応答が、一定時間にない場合には、不正ルーティングか、障害発生か、もしくは、無許可のルータが設置された疑いがあるとして（Ｓ９０６）、Ｓ６０４へ進む（Ｓ９０６）。
以上、説明したように、ＧＷ−ＩＰアドレスのＭＡＣアドレスの正当性を検証することにより、不正アクセスをより簡単に検出することができる。また、図７〜図９に示すフローチャートは、不正を検出しない場合に、図７、図８、図９と順番に検証しているが、どれから実行してもよく、実行する順番変えてもよい。
また、端末２０１は、不正を検出した場合に、管理端末２４０や、監視センタ２６０の監視装置２５０に不正を検出した旨を通知するようにしてもよい。この場合、管理端末２４０や、監視センタ２６０の監視装置２５０は、端末２０１から不正検出の通知を受けると、不正アクセスの可能性があるとして、ディスプレイにその旨を表示することができる。
つぎに、第２の実施の形態を説明する。第１の実施の形態では、端末において不正アクセスを検出したが、第２の実施の形態では、図１に示す監視センタ２６０の監視装置２５０において、ルータ２２０Ａに不正ルーティングが設定されたことを検出する方法ついて説明する。本実施の形態におけるルータは、前述の端末２０１と同様のルーティングテーブル３１１やＡＲＰテーブル３１２の設定テーブルＴ２７４を備え、ＳＮＭＰ（Simple Network Management Protocol）に対応している。本実施の形態においてもネットワークシステムの構成は第１の実施の形態と同様である。また、監視装置２５０の構成は、図４に示す端末の構成と同様である。監視装置２５０には、第２の実施の形態における不正アクセス監視プログラム２７３があらかじめインストールされていて、あらかじめ定められた時間に起動される。起動周期は、定期的でも不定期でもよい。本実施の形態においても、ルーティング情報の登録には、正当な端末との送受信を行うためのルーティング情報の登録と、不正な端末による仮想的なルーティング情報の登録とがある場合を想定している。その仮想的なルーティング情報により送受信を行うようなことが起こった場合に、不正な端末は、仮想的なルーティング情報が宛先として設定されたパケットを受信することはできたとしても、その仮想的なルーティング情報のＭＡＣアドレス情報は実在しないので、Ｐｉｎｇ（Packet Internet Groper）コマンドの問い合わせに対しては応答しないので、これらのコマンドを実行することで不正を検出している。
図１０に、第２の実施の形態における不正アクセス監視プログラム２７３のフローチャートを示す。
監視装置２５０において、不正アクセス監視プログラム２７３は、ＳＮＭＰでルータ２２０Ａのルーティングテーブル３１１とＡＲＰテーブル３１２を採取する（Ｓ１００１、Ｓ１００２）。ルーティング情報のゲートウェイ（ＧＷ）―ＩＰアドレスが、ＡＲＰテーブル３１２に登録されているかを判断する（Ｓ１００３）。ＡＲＰテーブル３１２にＧＷ―ＩＰアドレスが登録されていなければ、通信を行うことができないので不正はされていないと判断する。ＡＲＰテーブル３１２にＧＷ―ＩＰアドレスが登録されていれば、ルータからそのＧＷにＰｉｎｇが実行可能かどうかを判断し（Ｓ１００４）、可能であれば、ルータに対してそのＧＷにＰｉｎｇを実行するように指示する（Ｓ１００６）。可能でなければ、監視装置２５０からそのＧＷに対してＰｉｎｇを実行する（Ｓ１００５）。この場合、あらかじめ監視装置２５０に、Ｐｉｎｇが実行可能なルータの識別情報を登録しておくことにより、登録してあるルータならば、そのＧＷにＰｉｎｇが実行可能であると判断し、登録していなければ実行不可能と判断する。Ｓ１００３で検出したＧＷ−ＩＰアドレスを宛先とする。Ｐｉｎｇの応答がある場合には（Ｓ１００７）、ＡＲＰテーブル３１２が更新されるため、ＡＲＰテーブル３１２を再検索し、ＧＷ−ＩＰアドレスに対するＭＡＣアドレスを取得し（Ｓ１００９）、取得したＭＡＣアドレスと、Ｐｉｎｇ実行前のＭＡＣアドレスとが一致するか否かを比較し（Ｓ１０１０）、一致すれば、不正なしと判断し、Ｓ１０１２へ移行する。不一致の場合には、不正の疑いがある（Ｓ１０１１）として、図５に示すようにディスプレイにその旨を表示する。また、Ｐｉｎｇの応答が、一定時間にない場合には、不正ルーティングか、障害発生か、もしくは、無許可のルータが設置された疑いがあるとして（Ｓ１００８）、不正の疑いがある旨を図５に示すようにディスプレイ等に表示して通知する。
ルーティングテーブル３１１のすべてのレコードを検証後、さらに、ルータが複数ある場合には、他のルータ検証も行う（Ｓ１０１２）。
本実施の形態における不正アクセス監視プログラム２７３は、次の３つの条件Ａ，Ｂ，Ｃを満たす場合に、不正アクセスが行われたと判断する。
（条件Ａ） ディフォルトルート以外のゲートウェイを経由するルーティング情報がルーティングテーブル３１１に存在する。
（条件Ｂ） ＡＲＰテーブル３１２中に条件Ａを満たすゲートウェイのＩＰアドレスと関連付けられているＭＡＣアドレスが存在する。
（条件Ｃ） 条件Ｂを満たすＡＲＰテーブル３１２に登録されたＭＡＣアドレスが実在のものと異なる。
これらの条件Ａ，Ｂ，Ｃをフローチャートに示したものが図６〜図９である。デェフォルトルート以外のゲートウェイ（ＧＷ）を経由するルーティング情報がルーティングテーブル３１１に存在し（条件Ａ）、ＡＲＰテーブル３１２中にそのゲートウェイのＩＰアドレスと関連付けられたＭＡＣアドレスが存在し（条件Ｂ）、そのＭＡＣアドレスがあらかじめ登録された実在のＧＷのものと異なる（条件Ｃ）場合に、不正であると判断する。
以下、不正アクセス監視プログラム２７３の動作を、図６〜図９に示すフローチャート（その１〜４）を参照して説明する。図６〜図９に、第１の実施の形態における不正監視プログラムのフローチャート（その１〜４）を示す。
図６において、不正アクセス監視プログラム２７３は、新たにルーティングテーブル３１１のレコードが登録されたとき、もしくは、定期的に、登録されたルーティング情報のＧＷのＩＰアドレス（ＧＷ―ＩＰアドレス）が、図３に示す設定テーブルＴ２７４のＡＲＰテーブル３１２に登録されているかを判断する（Ｓ６０１）。ＡＲＰテーブル３１２にＧＷ―ＩＰアドレスが登録されていなければ、通信を行うことができないので不正はされていないと判断する。ＡＲＰテーブル３１２にＧＷ―ＩＰアドレスが登録されていれば、ＡＲＰテーブル３１２に登録されているＧＷ―ＩＰアドレスに対応するＧＷのＭＡＣアドレスが正当であるか否かを検証する（Ｓ６０３）。この処理については、図７〜図９を用いて後述する。図３に示す例においては、新たに追加されたルーティングテーブル３１１のＧＷ−ＩＰアドレス10.0.0.1に対応するＡＲＰテーブル３１２のＭＡＣアドレスdddd.dddd.ddddについて検証する。
検証後、ＭＡＣアドレスについて不正の疑いがあれば（Ｓ６０４）、不正アクセスの可能性があるとして、ディスプレイ４０４にその旨を表示する（Ｓ６０５）。図５に、ディスプレイ４０４に表示する表示例の説明図を示す。図５に示すように、不正を検出した場合には、「
ＩＰアドレス10.0.0.1 ＭＡＣアドレスdddd.dddd.dddd」などと、検出した結果を表示する。また、不正を検出した場合に、アラーム音などを送出したり、不正なレコードをルーティングテーブル３１１およびＡＲＰテーブル３１２からクリアしたりしてもよい。
図６において、ＭＡＣアドレスが正当であれば、ルーティングテーブル３１１の他の新たなレコードについて検証する（Ｓ６０２）。もしくは、定期的に起動している場合には、すべてのレコードについて検証後、不正アクセス監視プログラム２７３を終了する。
つぎに、図６のＳ６０３での処理を図７〜図９を参照して説明する。ＭＡＣアドレスの正当性を検証するために、端末２０１Ａにおいて、不正アクセス監視プログラム２７３は、ネットワーク２７０に対してリバースＡＲＰ（ＲＡＲＰ）コマンドを要求する（Ｓ７０１）。この場合、リバースＡＲＰの要求として、Ｓ６０１で検出したＧＷ−ＩＰのＭＡＣアドレスを入力とする。ＲＡＲＰの応答がある場合には（Ｓ７０２）、ＲＡＲＰの応答からＩＰアドレスを取得し（Ｓ７０３）、取得したＩＰアドレスと、ＡＲＰテーブル３１２のＩＰアドレスとが一致するか否かを比較し（Ｓ７０４）、一致すれば、不正なしと判断し、図８に示すＳ８００へ移行する（Ｓ７０５）。不一致の場合には、不正の疑いがある（Ｓ７０７）として図６に示すＳ６０４に移行する（Ｓ７０７）。また、ＲＡＲＰの応答が、一定時間にない場合には、不正ルーティングか、障害発生か、もしくは、無許可のルータが設置された疑いがあるとして（Ｓ７０６）、図６に示すＳ６０４へ進む（Ｓ７０７）。
つぎに、図８のＳ８０１において、不正アクセス監視プログラム２７３は、ネットワーク２７０に対して、ＩＰアドレスからＭＡＣアドレスを取得するため、ＡＲＰを要求する（Ｓ８０１）。この場合、ＡＲＰの要求に、Ｓ６０１で検出したＧＷ−ＩＰのＩＰアドレスを含める。ＡＲＰの応答がある場合には（Ｓ８０２）、ＡＲＰの応答からＭＡＣアドレスを取得し（Ｓ８０３）、取得したＭＡＣアドレスと、ＡＲＰテーブル３１２内のＡＲＰ情報のＧＷ−ＩＰアドレスに対応するＭＡＣアドレスとが一致するか否かを比較し（Ｓ８０４）、一致すれば、不正なしと判断し、図９に示すＳ９０１へ移行する（Ｓ８０５）。不一致の場合には、不正の疑いがあるとして図６に示すＳ６０４に移行する（Ｓ８０７）。また、ＡＲＰの応答が、一定時間にない場合には、不正ルーティングか、障害発生か、もしくは、無許可のルータが設置された疑いがあるとして（Ｓ８０６）、図６に示すＳ６０４へ進む（Ｓ８０７）。
つぎに、図９に示すＳ９０１おいて、不正アクセス監視プログラム２７３は、ネットワーク２７０に対してＰｉｎｇ（Packet Internet Groper）コマンドを要求する（Ｓ９０１）。この場合、図６に示すＳ６０１で検出したＧＷ−ＩＰアドレスを宛先とする。Ｐｉｎｇの応答がある場合には、ＡＲＰテーブル３１２が更新されるため、ＡＲＰテーブル３１２を再検索し、ＧＷ−ＩＰアドレスに対するＭＡＣアドレスを取得し（Ｓ９０２）、取得したＭＡＣアドレスと、Ｐｉｎｇ実行前のＭＡＣアドレスとが一致するか否かを比較し（Ｓ９０３）、一致すれば、不正なしと判断し、図６に示すＳ６０２へ移行する（Ｓ９０４）。不一致の場合には、不正の疑いがある（Ｓ９０６）として図６に示すＳ６０４に移行する。また、Ｐｉｎｇの応答が、一定時間にない場合には、不正ルーティングか、障害発生か、もしくは、無許可のルータが設置された疑いがあるとして（Ｓ９０６）、Ｓ６０４へ進む（Ｓ９０６）。
以上、説明したように、ＧＷ−ＩＰアドレスのＭＡＣアドレスの正当性を検証することにより、不正アクセスをより簡単に検出することができる。また、図７〜図９に示すフローチャートは、不正を検出しない場合に、図７、図８、図９と順番に検証しているが、どれから実行してもよく、実行する順番変えてもよい。
また、端末２０１は、不正を検出した場合に、管理端末２４０や、監視センタ２６０の監視装置２５０に不正を検出した旨を通知するようにしてもよい。この場合、管理端末２４０や、監視センタ２６０の監視装置２５０は、端末２０１から不正検出の通知を受けると、不正アクセスの可能性があるとして、ディスプレイにその旨を表示することができる。
つぎに、第２の実施の形態を説明する。第１の実施の形態では、端末において不正アクセスを検出したが、第２の実施の形態では、図１に示す監視センタ２６０の監視装置２５０において、ルータ２２０Ａに不正ルーティングが設定されたことを検出する方法ついて説明する。本実施の形態におけるルータは、前述の端末２０１と同様のルーティングテーブル３１１やＡＲＰテーブル３１２の設定テーブルＴ２７４を備え、ＳＮＭＰ（Simple Network Management Protocol）に対応している。本実施の形態においてもネットワークシステムの構成は第１の実施の形態と同様である。また、監視装置２５０の構成は、図４に示す端末の構成と同様である。監視装置２５０には、第２の実施の形態における不正アクセス監視プログラム２７３があらかじめインストールされていて、あらかじめ定められた時間に起動される。起動周期は、定期的でも不定期でもよい。本実施の形態においても、ルーティング情報の登録には、正当な端末との送受信を行うためのルーティング情報の登録と、不正な端末による仮想的なルーティング情報の登録とがある場合を想定している。その仮想的なルーティング情報により送受信を行うようなことが起こった場合に、不正な端末は、仮想的なルーティング情報が宛先として設定されたパケットを受信することはできたとしても、その仮想的なルーティング情報のＭＡＣアドレス情報は実在しないので、Ｐｉｎｇ（Packet Internet Groper）コマンドの問い合わせに対しては応答しないので、これらのコマンドを実行することで不正を検出している。
図１０に、第２の実施の形態における不正アクセス監視プログラム２７３のフローチャートを示す。
監視装置２５０において、不正アクセス監視プログラム２７３は、ＳＮＭＰでルータ２２０Ａのルーティングテーブル３１１とＡＲＰテーブル３１２を採取する（Ｓ１００１、Ｓ１００２）。ルーティング情報のゲートウェイ（ＧＷ）―ＩＰアドレスが、ＡＲＰテーブル３１２に登録されているかを判断する（Ｓ１００３）。ＡＲＰテーブル３１２にＧＷ―ＩＰアドレスが登録されていなければ、通信を行うことができないので不正はされていないと判断する。ＡＲＰテーブル３１２にＧＷ―ＩＰアドレスが登録されていれば、ルータからそのＧＷにＰｉｎｇが実行可能かどうかを判断し（Ｓ１００４）、可能であれば、ルータに対してそのＧＷにＰｉｎｇを実行するように指示する（Ｓ１００６）。可能でなければ、監視装置２５０からそのＧＷに対してＰｉｎｇを実行する（Ｓ１００５）。この場合、あらかじめ監視装置２５０に、Ｐｉｎｇが実行可能なルータの識別情報を登録しておくことにより、登録してあるルータならば、そのＧＷにＰｉｎｇが実行可能であると判断し、登録していなければ実行不可能と判断する。Ｓ１００３で検出したＧＷ−ＩＰアドレスを宛先とする。Ｐｉｎｇの応答がある場合には（Ｓ１００７）、ＡＲＰテーブル３１２が更新されるため、ＡＲＰテーブル３１２を再検索し、ＧＷ−ＩＰアドレスに対するＭＡＣアドレスを取得し（Ｓ１００９）、取得したＭＡＣアドレスと、Ｐｉｎｇ実行前のＭＡＣアドレスとが一致するか否かを比較し（Ｓ１０１０）、一致すれば、不正なしと判断し、Ｓ１０１２へ移行する。不一致の場合には、不正の疑いがある（Ｓ１０１１）として、図５に示すようにディスプレイにその旨を表示する。また、Ｐｉｎｇの応答が、一定時間にない場合には、不正ルーティングか、障害発生か、もしくは、無許可のルータが設置された疑いがあるとして（Ｓ１００８）、不正の疑いがある旨を図５に示すようにディスプレイ等に表示して通知する。
ルーティングテーブル３１１のすべてのレコードを検証後、さらに、ルータが複数ある場合には、他のルータ検証も行う（Ｓ１０１２）。
以上、説明したように、監視装置において、ルータの設定テーブルＴ２７４を採取してルーティング情報の正当性を検証することにより、不正ルーティングが設定されたことを検出することができる。
２０１Ａ、Ｂ、Ｃ…端末、２２０Ａ・Ｂ…ルータ、２３０・２６０…サーバ、２４０…管理端末、２５０…監視装置、２６０…監視センタ、１…ＬＡＮ、２７０…ネットワーク。
Claims (5)
- ＩＰ（Internet Protocol）およびイーサネット(登録商標)を利用するネットワークに接続されるルータでの不正ルーティングを監視する不正ルーティング監視方法であって、
前記ルータのルーティングテーブル情報およびＡＲＰ（Address Resolution Protocol）テーブル情報を採取する第１のステップと、
前記ルーティングテーブル情報に登録された前記ネットワークの経路を示すＧＷ(ゲートウェイ)のＩＰアドレス情報を検出する第２のステップと、
前記ＡＲＰテーブル情報に登録された、前記検出されたＧＷのＩＰアドレス情報に対応するＧＷのＭＡＣ（Media Access Control Address）アドレス情報が正当であるか否かを検出する第３のステップと、
前記ＧＷのＩＰアドレス情報に対応するＧＷのＭＡＣアドレス情報が正当でないと検出された場合に、その旨を出力する第４のステップと、を備えること
を特徴とする不正ルーティング監視方法。 - 請求項１に記載の不正ルーティング監視方法において、
前記第３のステップは、
前記ネットワークに対して前記ＧＷのＩＰアドレス情報を宛先としてＰｉｎｇ（Packet Internet Groper）コマンドを実行するステップと、
前記Ｐｉｎｇコマンド実行後のＡＲＰテーブル情報を採取するステップと、
前記ＧＷのＭＡＣアドレス情報と、前記Ｐｉｎｇコマンド実行後の前記ＡＲＰテーブル情報におけるＧＷのＭＡＣアドレス情報とが一致するか否かを比較するステップと、
前記比較の結果、一致しない場合と、前記Ｐｉｎｇコマンドの応答をあらかじめ定めた時間以内に受信しないときに、前記ＧＷのＭＡＣアドレス情報が正当でないとするステップと、を備えること
を特徴とする不正ルーティング監視方法。 - 請求項１に記載の不正ルーティング監視方法において、
前記第３のステップは、
前記ＧＷのＩＰアドレス情報を宛先としてＰｉｎｇ（Packet Internet Groper）コマンドを実行するように前記ルータに指示するステップと、
前記Ｐｉｎｇコマンド実行後のＡＲＰテーブル情報を採取するステップと、
前記ＧＷのＭＡＣアドレス情報と、前記Ｐｉｎｇコマンド実行後の前記ＡＲＰテーブル情報におけるＧＷのＭＡＣアドレス情報とが一致するか否かを比較するステップと、
前記比較の結果、一致しない場合と、前記Ｐｉｎｇコマンドの応答をあらかじめ定めた時間以内に受信しないときに、前記ＧＷのＭＡＣアドレス情報が正当でないとするステップと、を備えること
を特徴とする不正ルーティング監視方法。 - ＩＰ（Internet Protocol）およびイーサネット(登録商標)を利用するネットワークに接続されるルータでの不正ルーティングを監視する不正ルーティング監視プログラムであって、
前記不正アクセス監視プログラムは、コンピュータに、
前記ルータのルーティングテーブル情報およびＡＲＰ（Address Resolution Protocol）テーブル情報を採取する第１のステップと、
前記ルーティングテーブル情報に登録された前記ネットワークの経路を示すＧＷ(ゲートウェイ)のＩＰアドレス情報を検出する第２のステップと、
前記ＡＲＰテーブル情報に登録された、前記検出されたＧＷのＩＰアドレス情報に対応するＧＷのＭＡＣ（Media Access Control Address）アドレス情報が正当であるか否かを検出する第３のステップと、
前記ＧＷのＩＰアドレス情報に対応するＧＷのＭＡＣアドレス情報が正当でないと検出された場合に、その旨を出力する第４のステップと、を実行させること
を特徴とする不正ルーティング監視プログラム。 - ＩＰ（Internet Protocol）およびイーサネット(登録商標)を利用するネットワークに接続されるルータでの不正ルーティングを監視する不正ルーティング監視装置であって、
前記ルータのルーティングテーブル情報およびＡＲＰ（Address Resolution Protocol）テーブル情報を採取する採取手段と、
前記ルーティングテーブル情報に登録された前記ネットワークの経路を示すＧＷ(ゲートウェイ)のＩＰアドレス情報を検出する検出手段と、
前記ＡＲＰテーブル情報に登録された、前記検出されたＧＷのＩＰアドレス情報に対応するＧＷのＭＡＣ（Media Access Control Address）アドレス情報が正当であるか否かを検出する正当性検出手段と、
前記正当性検出手段において前記ＧＷのＩＰアドレス情報に対応するＧＷのＭＡＣアドレス情報が正当でないと検出された場合に、その旨を出力する出力手段と、を備えること
を特徴とする不正ルーティング監視装置。
Priority Applications (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP2004043254A JP3729830B2 (ja) | 2004-02-19 | 2004-02-19 | 不正ルーティング監視方法、不正ルーティング監視プログラムおよび不正ルーティング監視装置 |
Applications Claiming Priority (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP2004043254A JP3729830B2 (ja) | 2004-02-19 | 2004-02-19 | 不正ルーティング監視方法、不正ルーティング監視プログラムおよび不正ルーティング監視装置 |
Publications (2)
| Publication Number | Publication Date |
|---|---|
| JP2005236665A JP2005236665A (ja) | 2005-09-02 |
| JP3729830B2 true JP3729830B2 (ja) | 2005-12-21 |
Family
ID=35019168
Family Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| JP2004043254A Expired - Fee Related JP3729830B2 (ja) | 2004-02-19 | 2004-02-19 | 不正ルーティング監視方法、不正ルーティング監視プログラムおよび不正ルーティング監視装置 |
Country Status (1)
| Country | Link |
|---|---|
| JP (1) | JP3729830B2 (ja) |
Families Citing this family (1)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| US7991877B2 (en) | 2007-10-05 | 2011-08-02 | International Business Machines Corporation | Rogue router hunter |
-
2004
- 2004-02-19 JP JP2004043254A patent/JP3729830B2/ja not_active Expired - Fee Related
Also Published As
| Publication number | Publication date |
|---|---|
| JP2005236665A (ja) | 2005-09-02 |
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| US7360242B2 (en) | Personal firewall with location detection | |
| US9049118B2 (en) | Probe election in failover configuration | |
| JP4195480B2 (ja) | コンピュータ端末がネットワークに接続して通信することを管理・制御するための装置および方法。 | |
| EP3297248B1 (en) | System and method for generating rules for attack detection feedback system | |
| JP5987627B2 (ja) | 不正アクセス検出方法、ネットワーク監視装置及びプログラム | |
| JP2008177714A (ja) | ネットワークシステム、サーバ、ｄｄｎｓサーバおよびパケット中継装置 | |
| US20170272456A1 (en) | Intrusion detection to prevent impersonation attacks in computer networks | |
| JP2003218873A (ja) | 通信監視装置及び監視方法 | |
| JP2007183773A (ja) | サーバ監視プログラム、サーバ監視装置、サーバ監視方法 | |
| US20090122721A1 (en) | Hybrid network discovery method for detecting client applications | |
| JP2001313640A (ja) | 通信ネットワークにおけるアクセス種別を判定する方法及びシステム、記録媒体 | |
| US20040243843A1 (en) | Content server defending system | |
| CN112491836B (zh) | 通信系统、方法、装置及电子设备 | |
| JP3729830B2 (ja) | 不正ルーティング監視方法、不正ルーティング監視プログラムおよび不正ルーティング監視装置 | |
| JP2003258795A (ja) | コンピュータ集合体運用方法及びその実施システム並びにその処理プログラム | |
| JP4767683B2 (ja) | 中継装置、不正アクセス防止装置、およびアクセス制御プログラム | |
| CN113242255B (zh) | 一种基于企业安全的智能流量分析方法及系统 | |
| CN101729544B (zh) | 一种安全能力协商方法和系统 | |
| CN112565203B (zh) | 一种集中管理平台 | |
| JP2008141352A (ja) | ネットワークセキュリティシステム | |
| JP4753264B2 (ja) | ネットワーク攻撃を検出するための方法、装置、およびコンピュータ・プログラム（ネットワーク攻撃の検出） | |
| JP2006013732A (ja) | ルーティング装置および情報処理装置の認証方法 | |
| JP2005236664A (ja) | 不正アクセス監視方法、不正アクセス監視プログラムおよび不正アクセス監視端末 | |
| JP2005210451A (ja) | 不正アクセス防止装置及びプログラム | |
| JP4561691B2 (ja) | 通信方法、情報処理装置、およびコンピュータプログラム |
Legal Events
| Date | Code | Title | Description |
|---|---|---|---|
| TRDD | Decision of grant or rejection written | ||
| A01 | Written decision to grant a patent or to grant a registration (utility model) |
Free format text: JAPANESE INTERMEDIATE CODE: A01 Effective date: 20050913 |
|
| A61 | First payment of annual fees (during grant procedure) |
Free format text: JAPANESE INTERMEDIATE CODE: A61 Effective date: 20051004 |
|
| R150 | Certificate of patent or registration of utility model |
Free format text: JAPANESE INTERMEDIATE CODE: R150 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20111014 Year of fee payment: 6 |
|
| LAPS | Cancellation because of no payment of annual fees |