JP4195480B2 - コンピュータ端末がネットワークに接続して通信することを管理・制御するための装置および方法。 - Google Patents

Description

本発明は、ネットワークにコンピュータ端末などを接続し、通信することを監視・制御することに関する。

最近、企業などのイントラネットなどでは、情報漏洩やコンピュータ・ウィルスの蔓延を防ぐため、許可を得ていないコンピュータの接続を防止し、アンチウィルス・ソフトをインストールしていないコンピュータの接続を制限している。例えば、正規の認証を受けていないコンピュータが、ネットワークに接続した場合に、このコンピュータから送信されるパケット・データを、ネットワーク内で全て遮断することで、接続を防止する。また、アンチウィルス・ソフトをインストールしていないコンピュータや、最新のウィルスのパターン・ファイルが適用されていないコンピュータが接続された場合、アンチウィルス・ソフトに関係するサーバに接続し、ウィルスのパターン・ファイルのデータをダウンロードすることのみ許可し、それ以外のネットワークのリソースへの接続を制限する。また、Ｍｉｃｒｏｓｏｆｔ（登録商標）社のＷｉｎｄｏｗｓ（登録商標）ＯＳ（Ｏｐｅｒａｔｉｎｇ Ｓｙｓｔｅｍ）に最新のパッチが適用されていないコンピュータが接続されたことを検知した場合にも、同様にパッチをダウンロードする以外の接続を制限する。

インターナショナル・ビジネス・マシーンズ・コーポレーション（登録商標）から、特許出願された特許文献１では、ネットワークに接続されたコンピュータからのパケット・データを監視し、該コンピュータの通信を制限すべきだと判断した場合には、該コンピュータに対し、ＡＲＰ（Ａｄｄｒｅｓｓ Ｒｅｓｏｌｕｔｉｏｎ Ｐｒｏｔｏｃｏｌ）テーブルを書き換えるためのＡＲＰ情報（ＡＲＰリクエストやＡＲＰリプライ）を送信することで、該コンピュータからのパケット・データを誘導し、パケット・データの破棄により、ネットワークの接続を防止し、また、パケット・データを限定的に通過させることでネットワークへの接続を制限している。

しかし、ＡＲＰ情報によりネットワークへの接続を制限したコンピュータからのウィルスのパターン・ファイルやＷｉｎｄｏｗｓＯＳのパッチのダウンロード・データが増加した場合、ネットワークに接続された他のコンピュータのパケット・データを監視することが困難になる。すなわち、許可を受けていないコンピュータを検出するには、該コンピュータが送出するパケット・データ（特にＡＲＰリクエスト）をキャプチャする必要があるが、ダウンロード・データの増加により、パケット・データのキャプチャ・ミスする確率が高くなり、また、これ以外の接続を制御するためのデータ等を送出することが困難になり、ネットワークに接続されるコンピュータ端末の通信を管理・制御することについて、機能不全を起こす恐れがある。特に、クライアント・コンピュータにＧｉｇａｂｉｔ Ｅｔｈｅｒｎｅｔ対応のものが標準になり、さらに、ネットワークの帯域が増加すると予想されるなかで、この機能不全は、益々、顕著になることが予想される。

特開２００６−７４７０５号公報

ネットワークに接続が制限されたコンピュータからのデータ・ダウンロードの増加に関わらず、ネットワークの監視・制御機能を維持する装置および方法を提供する。

上記課題を解決するため、本発明においては、コンピュータ端末がネットワークに接続するのを制御する装置を提案する。該装置は、ネットワークに対しデータを送受信する機能を有する第１のインタフェースと、ネットワークに対しデータを送受信する機能を有する第２のインタフェースと、前記第１のインタフェースで受信したネットワークデータが、第１の端末から送信されたものか否かを判定する手段と、前記判定する手段により、前記ネットワークデータが前記第1の端末から送信されたと判断したことに応答して、前記第1の端末のテーブルの前記ネットワークデータの送信先アドレスを、前記第２のインタフェースのアドレスに変更する情報を生成する手段と、前記第２のインタフェースのアドレスに変更する情報を前記第１の端末に送信する手段と、前記第２のインタフェースを通過するネットワークデータの帯域を所定の値に制限する手段と、を有する装置である。該装置により、第２のインタフェースでセキュリティ・パッチやその帯域制御を行うことで、第１のインタフェースでネットワークを監視し、ＰＣ端末の接続を制御する機能が害されることがなくなる。

図１は、ネットワークに不正接続しているコンピュータなどの端末を検出し監視することで、不正接続端末のネットワーク接続を制御するネットワーク検疫装置に関するハードウェア構成１００の概略を例示している。中央演算処理装置であるＣＰＵ１０１は各種オペレーティング・システムの制御下で様々なプログラムを実行する。ＣＰＵ１０１はバス１０２を介して、メモリ１０３、ディスク１０４、ディスプレイ・アダプタ１０５、ユーザ・インタフェース１０６と相互接続される。

ディスク１０４には、コンピュータを機能させるために必要なソフトウェア、オペレーティング・システムおよび本発明を実行するためのプログラム等が含まれる。これらのプログラムは必要に応じメモリに読み出されＣＰＵで実行される。また、ディスク１０４には、ネットワークをモニタリングしてキャプチャしたネットワークデータ（パケット）や、正規に認証を受けたＰＣ端末等のネットワーク・アドレスなどを記録しておく。なお、ディスク１０４は、フラッシュメモリなどで代用可能であり、記録可能な媒体であればハードディスクに限定されないことは当業者には自明である。

ディスプレイ・アダプタ１０５を通してディスプレイ装置１０７に接続され、ユーザ・インタフェース１０６を通して、キーボード１０８およびマウス１０９に接続され、ネットワーク・インタフェース１１０および１１１を通してネットワークに接続される。キーボード１０８およびマウス１０９により、本装置が操作され、ディスプレイ装置１０７に、処理の途中経過や処理結果が表示される。第１ネットワーク・インタフェース１１０および第２ネットワーク・インタフェースには、ネットワーク・カードなどが接続される。基本的には第１ネットワーク・インタフェース１１０を介して、ネットワークデータの取得や送信が行われ、第２ネットワーク・インタフェース１１１により、帯域制限を行う。第１ネットワーク・インタフェース１１０および第２ネットワーク・インタフェース１１１には、スイッチング・ハブなどが接続される。

ネットワークを介して、本発明が分散環境で実施される場合もある。なお、このハードウェア構成１００は、コンピュータ・システム、バス配置およびネットワーク接続の一実施形態の例示に過ぎず、本発明の特徴は、さまざまなシステム構成で、同一の構成要素を複数有する形態で、または、ネットワーク上にさらに分散された形態で実現することができる。

図２は、不正接続端末等のネットワーク接続を制御するネットワーク検疫装置が動作するネットワーク環境の一例である。ネットワーク検疫装置２０１は、第１ネットワーク・インタフェース２１１と第２ネットワーク・インタフェース２１２を介してスイッチング・ハブ２０２に接続される。スイッチング・ハブ２０２の上位には、ルータ２０３が存在する。ネットワーク検疫装置２０１は、ネットワーク・セグメント毎に存在する。これは、データをブロードキャストすることでデータの宛先を制御したりするためであり、これ以外の方法でデータの宛先を制御等できる場合は、この接続構成に限られることはない。このネットワーク・セグメントには、サーバ−Ａ２０４、サーバ−Ｂ２０５、ＰＣ−Ａ２０６、ＰＣ−Ｂ２０７およびＰＣ−Ｃ２０８が接続されている。サーバ−Ａ２０４が一般業務で利用するサーバで、サーバ−Ｂ２０５が、セキュリティ・パッチをダウンロードするためのサーバだとする。

ここでは、ＰＣ−Ａ２０６は、正規の接続認証を受け、アンチウィルス・ソフトなどを備えたセキュリティ設定に何も問題のない端末であると確認されているものとする。ＰＣ−Ａ２０６は、ネットワーク内のサーバ−Ａ２０４およびサーバ−Ｂ２０５共に接続可能である。一方、ＰＣ−Ｂ２０７が、正規の認証を受けていない不正接続ＰＣ端末であると判断された場合、ネットワーク検疫装置２０１は、ＰＣ−Ｂ２０７からのデータ、または他のネットワーク機器からのデータを、ネットワーク検疫装置２０１に流れるように誘導し、それらのデータを他のサーバや端末に送信されないように遮断する。通常、この遮断はネットワーク・インタフェース２１１で行われる。また、ＰＣ−Ｃ２０８は、正規の認証を受けているが、セキュリティの設定が十分でない場合、例えば、アンチウィルス・ソフトのパターン・ファイルが最新のものに更新されていない場合、すなわちセキュリティ設定違反ＰＣ端末であるとＰＣ−Ｃ２０８が判断された場合は、セキュリティ・パッチやパターン・ファイルを供給するサーバ−Ｂにのみ接続できるように、ネットワーク検疫装置２０１によって制御される。ＰＣ−Ｃ２０８とセキュリティ・パッチ・ダウンロード用サーバとの間のデータは、通常、第２ネットワーク・インタフェース２１２を経由するように誘導し、制御される。

図３は、ネットワーク検疫装置３０１の機能構成の概略を例示したものである。ネットワーク検疫装置３０１は、インタフェース３０１と３０２を介してスイッチングＨＵＢ３３０と接続される。

パケット送受信部３１２は、インタフェース３１１を介して、パケット・データをキャプチャしたり、送信したりする。パケット送受信部３１２はＯＳ（Ｏｐｅｒａｔｉｏｎｇ Ｓｙｓｔｅｍ）のネットワーク・スタックの機能であってもよい。パケット・データ判断部３１３は、パケット送受信部３１２でキャプチャしたパケット・データから、不正接続ＰＣ端末や、セキュリティ設定が不十分なＰＣ端末が接続されていないか等を判断することで監視する。この監視は、ブロードキャストによる不正接続ＰＣ端末からのＡＲＰパケット、不正接続ＰＣ端末からの非ＡＲＰパケット、または、セキュリティ設定違反ＰＣ端末からのパケットなどを検出し判断することで行われる。

パケット・データ誘導部３１４は、セキュリティ設定違反ＰＣ端末（第１の端末）や不正接続ＰＣ端末（第２の端末）からのＡＲＰパケットを検出した場合に、パケット・データをリダイレクトすることで、不正接続ＰＣ端末やセキュリティ設定違反ＰＣ端末が他のサーバやＰＣ端末に接続しないように、接続先を偽造したＡＲＰ情報を作成する。この偽造ＡＲＰ情報はパケット送受信部が送信する。なお、ＡＲＰパケットのキャプチャ以外に、リピータＨＵＢや、高機能のＨＵＢでミラーリング機能がある場合は、全てのパケットをキャプチャ可能であるので、非ＡＲＰパケットからも不正接続ＰＣ端末やセキュリティ設定違反ＰＣ端末を検出可能である。

偽造したＡＲＰ情報としては、例えば、各サーバや各ＰＣ端末のＩＰアドレス（Ｉｎｔｅｒｎｅｔ Ｐｒｏｔｏｃｏｌ Ａｄｄｒｅｓｓ）に対応するＭＡＣアドレス（Ｍｅｄｉａ Ａｃｃｅｓｓ Ｃｏｎｔｒｏｌ Ａｄｄｒｅｓｓ）を、ネットワーク検疫装置の第１ネットワーク・インタフェース３１１または第２ネットワーク・インタフェース３２１のＭＡＣアドレスとして偽造したものである。また、接続先のサーバやＰＣ端末には、ＡＲＰテーブル内の不正接続ＰＣ端末やセキュリティ設定違反ＰＣ端末のＭＡＣアドレスを、ネットワーク検疫装置のＭＡＣアドレスにするように偽装ＡＲＰ情報を出し、直接、接続先のサーバやＰＣ端末が、不正接続ＰＣ端末やセキュリティ設定違反ＰＣ端末と通信するのを防ぐことが好ましい。

ちなみに、不正接続ＰＣ端末に関係するパケット・データの場合は、第１ネットワーク・インタフェース３１１に該パケット・データを誘導する。また、セキュリティ設定違反ＰＣ端末に関係するパケット・データの場合は、サーバＢ２０５との通信に関しては第２ネットワーク・インタフェース３２１に, それ以外の通信に関しては第1ネットワーク・インタフェース３１１に該パケット・データを誘導することが好ましい。このように誘導する先のインタフェースを分ける理由は、セキュリティ設定違反ＰＣ端末が第２ネットワーク・インタフェース３２１を介してセキュリティ・パッチをダウンロードする際に、不正接続ＰＣ端末からのパケット・データを確実に検出して遮断するためである。ただし、多少の取りこぼしがあっていいのであれば、不正接続ＰＣ端末からのパケット・データを第２ネットワーク・インタ・フェース３２１に誘導しても構わない。また、不正接続ＰＣ端末やセキュリティ設定違反ＰＣ端末の通信相手となるサーバやＰＣ端末も、直接通信しないように、偽造したＡＲＰ情報を送信する。

パケット・データ・アクセス制御部３１５は、不正接続ＰＣ端末からの非ＡＲＰパケットや、セキュリティ設定違反ＰＣ端末からのセキュリティ・パッチ用サーバ以外への宛先のパケットである場合、そのパケット・データを破棄することで、ネットワークへの接続を遮断する。なお、パケット・データ・アクセス制御部３１５は、セキュリティ設定違反ＰＣ端末からのセキュリティ・パッチ用サーバ以外への宛先のパケットである場合、セキュリティ設定が不十分である旨の警告表示をするためのＷｅｂサーバ等に、パケット・データをリダイレクトすることもある。

パケット送受信部３２２は、第２ネットワーク・インタフェース３２１を介して、パケット・データをキャプチャしたり、送信したりする。パケット送受信部３２２はパケット送受信部３１２と同様の機能を有する。

パケット・データ・アクセス制御部３２３は、セキュリティ設定違反ＰＣ端末から、セキュリティ・パッチをダウンロードする以外の接続、すなわち、セキュリティ設定違反を修正する目的以外で、ネットワーク内のサーバや他のＰＣ端末に接続しようとする場合に、アクセスを制限する。制限は、例えば、パケット・データを全て破棄したり、または、セキュリティ設定が不十分である旨の警告表示をするためのＷｅｂサーバ等に、パケット・データをリダイレクトすることを含む。

帯域制御部３２４は、セキュリティ設定違反ＰＣ端末から、セキュリティ・パッチをダウンロードする場合に、そのデータの流通量が多くなってネットワーク内の帯域を圧迫しそうな場合に、その帯域を制限するものである。これは、セキュリティ・パッチを配布するサーバに対しても、ＡＲＰテーブルの書き換えを行うことで実現する。

図４は、ネットワーク検疫装置が、不正接続ＰＣ端末や、セキュリティ設定違反ＰＣ端末のパケット・データを処理するフロー４００を例示したものである。処理フローは、大きく第１ネットワーク・インタフェースと第２ネットワーク・インタフェースに分かれる。処理フロー４００は、ステップ４０１から開始する。ステップ４０２でパケット・データをキャプチャする。ステップ４０２では、ステップ４０２でキャプチャした不正接続ＰＣ端末から、接続先サーバやＰＣ端末のＭＡＣアドレスを要求するようなＡＲＰパケットであるか否かを判断する。このＡＲＰパケットは、通常、最初の接続時にブロードキャスト等でネットワーク内に送信されるものである。ステップ４０３で、不正接続ＰＣ端末からのＡＲＰパケットであると判断した場合（ＹＥＳ）、ステップ４０４に進む。不正接続ＰＣ端末か否かの判断は、例えば、パケット・データの送信元ＭＡＣアドレスなどを基に、判断できる。

ステップ４０４では、不正接続ＰＣ端末が関係する通信を遮断するため、偽造ＡＲＰ情報を送信する。この偽造ＡＲＰ情報は、不正接続ＰＣ端末のＡＲＰテーブルと、不正接続ＰＣ端末と通信するサーバやＰＣ端末のＡＲＰテーブルを書き換えるための情報である。書き換える内容は、例えば、不正接続ＰＣ端末のＡＲＰテーブルの場合は、テーブル中のＭＡＣアドレスを、ネットワーク検疫装置の第１ネットワーク・インタフェースに変更することで、不正接続ＰＣ端末がサーバや他の端末ＰＣ等に対し直接パケット・データを送信できなくする。不正接続ＰＣ端末と通信するサーバや他のＰＣ端末等のＡＲＰテーブルの場合は、テーブル中の不正接続ＰＣ端末のＭＡＣアドレスを、ネットワーク検疫装置の第１ネットワーク・インタフェースに変更することで、サーバや他の端末ＰＣ等が不正接続ＰＣ端末に対し直接パケット・データを送信できなくする。ステップ４０４の後、次のパケット・データを処理するためステップ４０２に戻る。

ステップ４０３で、不正接続ＰＣ端末からのＡＲＰパケットでないと判断した場合（ＮＯ）、ステップ４０５に進む。ステップ４０５では、キャプチャしたパケット・データが不正接続ＰＣ端末からの通常のパケット、すなわち非ＡＲＰパケットであるか否か判断する。ステップ４０５で、不正接続ＰＣ端末からの非ＡＲＰパケットであると判断した場合（ＹＥＳ）、該パケット・データを破棄する。その後、次のパケット・データを処理するためステップ４０２に戻る。

ステップ４０５では、キャプチャしたパケット・データが不正接続ＰＣ端末からの非ＡＲＰパケットでないと判断した場合（ＮＯ）、ステップ４０７に進む。ステップ４０７では、キャプチャしたパケット・データが、セキュリティ設定違反ＰＣ端末からの報告パケットか否か判断する。この報告パケットは、ＰＣ端末内でセキュリティ設定違反があった場合に、エージェントのようなプログラムが、ネットワーク検疫装置に知らせるためのパケットである。ＰＣ端末内で、エージェントを動作させる代わりに、セキュリティ・パッチ・ダウンロード用サーバへのアクセス履歴から、ＰＣ端末がセキュリティ設定違反であるか否かを判断するように構成することも可能である。ただ、ＰＣ端末内で、細かい設定等を含めて、より精度を上げて把握するためには、ＰＣ端末内の設定等を実際に把握できるエージェント・プログラムを利用し、報告パケットによる報告を受けるのが好ましい。ステップ４０７で、キャプチャしたパケット・データが、セキュリティ設定違反ＰＣ端末からの報告パケットであると判断した場合（ＹＥＳ）、ステップ４０８に進む。

ステップ４０８では、セキュリティ設定違反ＰＣ端末の関係する通信を制御するため、偽造ＡＲＰ情報を送信する。この偽造ＡＲＰ情報は、セキュリティ設定違反ＰＣ端末のＡＲＰテーブルと、セキュリティ設定違反ＰＣ端末と通信するサーバやＰＣ端末のＡＲＰテーブルを書き換えるための情報である。書き換える内容は、例えば、セキュリティ設定違反ＰＣ端末のＡＲＰテーブルの場合は、テーブル中、セキュリティ・パッチ・ダウンロード用サーバのＭＡＣアドレスを、ネットワーク検疫装置の第２ネットワーク・インタフェースに変更し、その他のＭＡＣアドレスをネットワーク検疫装置の第１ネットワーク・インタフェースに変更することで、セキュリティ設定違反ＰＣ端末がサーバや他の端末ＰＣ等に対し直接パケット・データを送信できなくする。

セキュリティ設定違反ＰＣ端末と通信するセキュリティ・パッチ・ダウンロード用サーバの場合は、ＡＲＰテーブル中のセキュリティ設定違反ＰＣ端末のＭＡＣアドレスを、ネットワーク検疫装置の第２ネットワーク・インタフェースに変更することで、第２ネットワーク・インタフェースにおいて、セキュリティ・パッチなどのダウンロード・データの帯域制限が容易となる。また、その他のサーバやＰＣ端末の場合は、ＡＲＰテーブル中のセキュリティ設定違反ＰＣ端末のＭＡＣアドレスを、ネットワーク検疫装置の第１ネットワーク・インタフェースに変更することで、他のサーバや端末ＰＣ等がセキュリティ設定違反ＰＣ端末に対し直接パケット・データを送信できなくする。

ステップ４０８で、セキュリティ設定違反ＰＣ端末とセキュリティ・パッチ・ダウンロード用サーバが第２ネットワーク・インタフェースを介して通信するようにＡＲＰテーブルが偽装されるため、第２ネットワーク・インタフェースでは、リダイレクト処理が開始される。その結果、ステップ４２１に進んでリダイレクト処理が第２ネットワーク・インタフェースで平行して行われる。ステップ４０８の後、次のパケット・データを処理するためステップ４０２に戻る。

ステップ４０７で、キャプチャしたパケット・データが、セキュリティ設定違反ＰＣ端末からの報告パケットでないと判断した場合（ＮＯ）、ステップ４１０に進む。ステップ４１０では、セキュリティ設定違反ＰＣ端末のパケット・データをそのまま破棄するか、または、必要に応じてセキュリティ設定違反である旨の警告表示をするためのＷｅｂサーバにリダイレクトする。その後、次のパケットを処理するため、ステップ４０２に戻る。

第２ネットワーク・インタフェースでの処理は、ステップ４２１で開始される。ステップ４２２で、パケットをキャプチャする。ステップ４２３でパケットを、サーバやＰＣ端末にリダイレクトするため再送信する。なお、ネットワークの負荷を見て、必要であれば、帯域制限をしても良い。第２ネットワーク・インタフェースでの処理フローの詳細は後述する。

なお、図４に表現されたパケット・データ以外のパケット・データも受取るが、それらは、通常のプロトコルの規約に従って処理される。例えば、リモートでネットワーク検疫装置を制御する場合、その制御するためのパケット・データは、通常の処理に従い、ネッットワーク検疫装置内で処理される。

図５は、ネットワーク内のサーバや端末ＰＣが持つＡＲＰテーブルを例示したものである。ここでは、ＰＣ端末などはネットワーク内の全ての機器に対応するＭＡＣアドレスをＡＲＰテーブルに持つ必要はないので、図５は例示の１形態に過ぎないことは当業者には自明である。図５ではＰＣ−Ｂが不正接続ＰＣ端末であり、ＰＣ−Ｃがセキュリティ設定違反端末ＰＣであると仮定する。また、サーバＢをセキュリティ・パッチ・ダウンロード用サーバであるとする。ＡＲＰテーブル中太線で囲まれたＭＡＣアドレスは書き換えられたもの、すなわち、偽装ＡＲＰ情報によりＭＡＣアドレスが偽造されたものを表す。第１ネットワーク・インタフェースのＭＡＣアドレスは００：００：００：００：０１、第２ネットワーク・インタフェースのＭＡＣアドレスは００：００：００：００：０２、サーバＡのＭＡＣアドレスは００：００：００：００：０３、サーバＢのＭＡＣアドレスは００：００：００：００：０４、ＰＣ−ＡのＭＡＣアドレスは００：００：００：００：０５、ＰＣ−ＢのＭＡＣアドレスは００：００：００：００：０６ＰＣ−ＣのＭＡＣアドレスは、００：００：００：００：０８である。

例えば、サーバＡのＡＲＰテーブル中、ＰＣ−ＢとＰＣ−ＣのＭＡＣアドレスは、両方とも第１ネットワーク・インタフェースのＭＡＣアドレスに書き換えられている。この書き換えによりサーバＡから、ＰＣ−ＢおよびＰＣ−Ｃ宛てのパケット・データは、ネットワーク検疫装置の第１ネットワーク・インタフェースに送信されることになる。また、不正接続端末ＰＣであるＰＣ−ＢのＡＲＰテーブルは、サーバＡを含めた全てのネットワーク機器のＭＡＣアドレスが、第１ネットワーク・インタフェースのＭＡＣアドレスに書き換えられている。これにより、ＰＣ−Ｂからのパケット・データは、サーバＡを含め全てのネットワーク機器と直接送受信できなくなる。

セキュリティ・パッチ・ダウンロード用サーバであるサーバＢのＡＲＰテーブル中、ＰＣ−ＢのＭＡＣアドレスは、第１ネットワーク・インタフェースのＭＡＣアドレスに書き換えられ、セキュリティ設定違反ＰＣ端末であるＰＣ−ＣのＭＡＣアドレスは、第２ネットワーク・インタフェースのＭＡＣアドレスに書き換えられている。また、ＰＣ−ＣのＡＲＰテーブル中、サーバＢのＡＲＰテーブルも、第２ネットワーク・インタフェースのＭＡＣアドレスに書き換えられている。これらの書き換えにより、ＰＣ−Ｂのセキュリティ・パッチ・ダウンロードの通信は、第２ネットワーク・インタフェースに限定することができ、容易に帯域制限が可能になる。

ルータのＡＲＰテーブルは、不正接続ＰＣ端末であるＰＣ−ＢのＭＡＣアドレスを第１ネットワーク・インタフェースに書き換え、ルータがＰＣ−Ｂに直接パケット・データを送信しないようにしている。同様にＰＣ−ＢのＡＲＰテーブル中、ルータのＭＡＣアドレスを第１ネットワーク・インタフェースに書き換え、ＰＣ−Ｂからルータに直接パケット・データを送信できなくしている。また、ルータのＡＲＰテーブル中、セキュリティ設定違反ＰＣ端末であるＰＣ−ＣのＭＡＣアドレスを第２ネットワーク・インタフェースに書き換えている。セキュリティ・パッチ・ダウンロード用サーバが、このサブネットワークの外にある場合に、このような書き換えが行われる。もし、セキュリティ・パッチ・ダウンロード用サーバが、サブネットワーク内にしかない場合は、ＰＣ−Ｃのパケット・データがサブネットワーク外に出ないようにするため、ルータのＡＲＰテーブルのＰＣ−ＣのＭＡＣアドレスは第１ネットワーク・インタフェースに書き換えられる。

図６は、第２ネットワーク・インタフェースでパケット・データの流量について、セキュリティ・パッチ等のダウンロード用サーバが複数ある場合に、帯域制御する処理フローを例示したもので、図４の第２ネットワーク・インタフェースの処理フローをさらに詳細に説明するものである。図６（ａ）は、パケットのサーバ毎の帯域制御の例を示している。処理はステップ６０１で開始される。ステップ６０３で、パケットをキャプチャする。ステップ６０５で、キャプチャしたパケットがサーバ１のセキュリティ・パッチに関連するパケットか否かを判断する。ステップ６０５で、サーバ１のセキュリティ・パッチに関連するパケットであると判断した場合（ＹＥＳ）、ステップ６０７に進み、帯域制御なしでそのパケット・データをリダイレクトする。ここで帯域制御をしないのは、例えば、サーバ１は緊急度の高いセキュリティ・パッチを配布するような場合である。その後、次のパケットを処理するため、ステップ６０３に戻る。

ステップ６０５で、サーバ１のセキュリティ・パッチに関連するパケットでないと判断した場合（ＮＯ）、ステップ６０９に進む。ステップ６０９では、キャプチャしたパケットがサーバ２のセキュリティ・パッチに関連するパケットか否か判断する。ステップ６０９で、サーバ２のセキュリティ・パッチに関連するパケットであると判断した場合（ＹＥＳ）、ステップ６１１に進み、帯域幅Ａで制御しつつのセキュリティ・パッチのパケット・データをリダイレクトする。その後、次のパケットを処理するため、ステップ６０３に戻る。

ステップ６０９で、サーバ２のセキュリティ・パッチに関連するパケットでないと判断した場合（ＮＯ）、ステップ６１３に進む。ステップ６１３では、キャプチャしたパケットがサーバ３のセキュリティ・パッチに関連するパケットか否かを判断する。

ステップ６１３で、サーバ３のセキュリティ・パッチに関連するパケットであると判断した場合（ＹＥＳ）、ステップ６１５に進む。ステップ６１５では、帯域幅Ｂで制御しつつそのパケット・データをリダイレクトする。その後、次のパケットを処理するため、ステップ６０３に戻る。

ステップ６１５で、サーバ３のセキュリティ・パッチに関連するパケットでないと判断した場合（ＮＯ）、ステップ６１７に進む。ステップ６１７では、セキュリティ・パッチに関連するパケット・データでないので、そのパケット・データを破棄するか、または、必要に応じてセキュリティ設定違反である旨の警告を出すＷｅｂサーバにそのパケット・データをリダイレクトしても良い。

ステップ６０５、６０９および６１３の判断ボックスでは、サーバからのパケット・データおよびサーバからのパケット・データ、すなわち双方向のパケット・データについて判断することに限定されるわけではないが、双方向のパケット・データについて判断するほうが好ましい。これは、サーバおよびセキュリティ設定違反ＰＣ端末の両方のＡＲＰテーブルが偽装されているからである。パケット・データの破棄やリダイレクトは、必要に応じて、サーバからのパケットか、サーバ宛のパケットかの方向により、行うことが好ましい。

図６（ｂ）は、ポート番号毎の帯域制御の例を示している。ポート番号の判断で帯域制御の処理が変わる点以外は、図６（ａ）と同じなので、ここでは、詳しい説明は省略する。また、サーバおよびポート番号の両方を組み合わせた帯域制御も可能であることは、この図６を用いれば当業者に容易に実現可能であることはいうまでもないことである。

図７は、ネットワーク検疫装置と管理用回線等との接続形態を例示したものである。現状では、ＡＲＰパケットなどのブロードキャストによるデータ送信は、サブネットワーク内に制限されるので、ネットワーク検疫装置はサブネットワークごとに配置する必要がある。巨大な企業のイントラネットでは、サブネットワークが多数になり、その分ネットワーク検疫装置も多数になる。このような場合、ネットワーク検疫装置を、効率よく管理する必要が生じ、管理用回線との接続が重要なポイントの１つとなる。

図７（ａ）は、ネットワーク検疫装置が、管理サーバと、管理用ネットワーク・インタフェースを介して接続される。管理用ネットワークは、ＰＣ端末等が利用する通常のネットワークとは切り離されているので、パケット・データの監視やリダイレクト処理に管理用データがまぎれて取得ミスすることもなく、またセキュリティ上も問題が少ないと思われる。ネットワーク検疫装置は、管理用ネットワーク・インタフェースを介して、管理用パケット・データを送受信する。

図７（ｂ）は、ネットワーク検疫装置が、管理サーバと、管理用ネットワーク・インタフェースを介して接続されが、ネットワーク自体はＰＣ端末等と同じネットワークに接続する。これは、新たなネットワーク回線を設けることが困難な場合に、管理用ネットワーク・インタフェースのデータの送受信を確保するためのものである。監視やリダイレクト処理にまぎれて、管理不能となる可能性が低くなる。

図７（ｃ）は、第１ネットワーク・インタフェースが、管理用ネットワーク・インタフェースと、ネットワーク監視用インタフェースを兼用したものである。管理用データ・パケットがセキュリティ・パッチ・データにまぎれて取りこぼす可能性が少なくなる。

以上、本発明によれば、ネットワーク監視用のネットワーク・インタフェースと、セキュリティ・パッチ等のダウンロードを帯域制御するネットワーク・インタフェースを分けて、パケットを誘導することで、ネットワークの監視のためのデータ送受信が影響を受けることを最小にしながら、セキュリティ・パッチ等のダウンロードを帯域制御することが可能になる。

図８は、ネットワーク検疫装置とネットワークの異なる接続形態を例示したものである。不正接続ＰＣ８０７のパケットが、第３ネットワーク・インタフェース８１３に流れるようにＡＲＰ情報で誘導し、第３ネットワーク・インタフェース８１３で不正接続ＰＣ８０７のパケットを破棄等することで接続制御するものである。また、セキュリティ設定違反端末８０８が、セキュリティ・パッチ・ダウンロード用サーバ８０５以外に接続しようとする場合には、第３ネットワーク・インタフェース８１３にパケットが流れるように誘導することが好ましい。図８の場合は、図３のパケット・データ・アクセス制御部３１５は、第３ネットワーク・インタフェース８１３で動作することになる。この構成により、アクセス制御を行う第３ネットワーク・インタフェース８１３のパケットは、パケットのキャプチャやＡＲＰ情報の送信を行う第１ネットワーク・インタフェース８１１や、セキュリティ設定違反ＰＣのセキュリティ・データのダウンロードの制御等を行う第２ネットワーク・インタフェース８１２のパケットと分離されるので、それぞれの機能が、相互のデータ送受信の影響をさらに受けにくくすることができる。

以上、本発明を実施の形態を用いて説明したが、本発明の技術的範囲は上記実施の形態に記載の範囲には限定されない。上記実施の形態に、多様な変更または改良を加えることが可能であることが当業者に明らかである。その様な変更または改良を加えた形態も本発明の技術的範囲に含まれ得ることが、特許請求の範囲の記載から明らかである。

ネットワーク検疫装置に関するハードウェア構成の概略を示している。 不正接続端末等のネットワーク接続を制御するネットワーク検疫装置が動作するネットワーク環境の一例である。 ネットワーク検疫装置の機能構成の概略を例示したものである。 ネットワーク検疫装置が、不正接続ＰＣ端末や、セキュリティ設定違反ＰＣ端末のパケット・データを処理するフローを例示したものである。 ネットワーク内のサーバや端末ＰＣが持つＡＲＰテーブルを例示したものである。 帯域制御する処理フローを例示したものである。 ネットワーク検疫装置と管理用回線等との接続形態を例示したものである。 ネットワーク検疫装置とネットワークの異なる接続形態を例示したものである。

Claims (8)

1. コンピュータ端末がネットワークに接続するのを制御する装置であって、
   ネットワークに対しデータを送受信する機能を有する第１のインタフェースと、
   ネットワークに対しデータを送受信する機能を有する第２のインタフェースと、
   前記第１のインタフェースでスイッチングＨＵＢからパケットをキャプチャする手段と、
   前記パケットが前記第１の端末から送信されたセキュリティ設定違反報告パケットであると判断したことに応答して、前記第1の端末のＡＲＰテーブルのセキュリティ・パッチ・ダウンロード用サーバのＭＡＣアドレスを前記第２のインタフェースのＭＡＣアドレスに変更し、それ以外のＭＡＣアドレスを前記第１のインタフェースのＭＡＣアドレスに変更するＡＲＰ情報を生成し送信する手段と、
   前記パケットが前記第２の端末から送信されたＡＲＰパケットであると判断したことに応答して、前記第２の端末のＡＲＰテーブルのＭＡＣアドレスを前記第１のインタフェースのＭＡＣアドレスに変更するＡＲＰ情報生成し送信する手段と、
   前記第２のインタフェースを通過するパケット・データの帯域を所定の値に制限する手段と、
   前記第１のインタフェースを通過する第１の端末および第２の端末からのパケット・データを破棄する手段と
   を有する装置であって、
   前記第１の端末が、セキュリティ設定違反端末であり、
   前記第２の端末は、不正接続端末である
   装置。
2. 前記装置はさらに、
   管理用ネットワークデータを送受信する第３のインタフェースと
   を有する請求項１に記載の装置。
3. 前記制限する手段は、前記第１の端末と通信するサーバ毎に前記帯域を制限する所定の値を異なる値としている、
   請求項１に記載の装置。
4. コンピュータ端末がネットワークに接続するのを制御する装置であって、
   ネットワークに対しデータを送受信する機能を有する第１のインタフェースと、
   ネットワークに対しデータを送受信する機能を有する第２のインタフェースと、
   ネットワークに対しデータを送受信する機能を有する第３のインタフェースと、
   前記第１のインタフェースでスイッチングＨＵＢからパケットをキャプチャする手段と、
   前記パケットが前記第１の端末から送信されたセキュリティ設定違反報告パケットであると判断したことに応答して、前記第1の端末のＡＲＰテーブルのセキュリティ・パッチ・ダウンロード用サーバのＭＡＣアドレスを前記第２のインタフェースのＭＡＣアドレスに変更し、それ以外のＭＡＣアドレスを前記第３のインタフェースのＭＡＣアドレスに変更するＡＲＰ情報を生成し送信する手段と、
   前記パケットが前記第２の端末から送信されたＡＲＰパケットであると判断したことに応答して、前記第２の端末のＡＲＰテーブルのＭＡＣアドレスを前記第３のインタフェースのＭＡＣアドレスに変更するＡＲＰ情報生成し送信する手段と、
   前記第２のインタフェースを通過するパケット・データの帯域を所定の値に制限する手段と、
   前記第３のインタフェースを通過する第１の端末および第２の端末からのパケット・データを破棄する手段と
   を有する装置であって、
   前記第１の端末が、セキュリティ設定違反端末であり、
   前記第２の端末は、不正接続端末である
   装置。
5. コンピュータ端末がネットワークに接続するのを制御する方法であって、
   第１のインタフェースで、スイッチングＨＵＢからパケットをキャプチャするステップと、
   前記キャプチャしたパケットが、第１の端末または第２の端末から送信されたものか否かを判定するステップと、
   前記判定するステップにより、前記パケットが前記第１の端末から送信されたセキュリティ設定違反報告パケットであると判断したことに応答して、前記第１の端末のＡＲＰテーブルのセキュリティ・パッチ・ダウンロード用サーバのＭＡＣアドレスを第２のインタフェースのＭＡＣアドレスに変更し、それ以外のＭＡＣアドレスを前記第１のインタフェースのＭＡＣアドレスに変更するＡＲＰ情報を生成し送信するステップと、
   前記判定するステップにより、前記パケットが前記第２の端末から送信されたＡＲＰパケットであると判断したことに応答して、前記第２の端末のＡＲＰテーブルのＭＡＣアドレスを前記第１のインタフェースのＭＡＣアドレスに変更するＡＲＰ情報生成し送信するステップと、
   前記第２のインタフェースを通過するパケット・データの帯域を所定の値に制限するステップと、
   前記第１のインタフェースを通過する第１の端末および第２の端末からのパケット・データを破棄するステップと
   を有する方法であって、
   前記第１の端末が、セキュリティ設定違反端末であり、
   前記第２の端末は、不正接続端末である
   方法。
6. 前記制限するステップは、前記第１の端末と通信するサーバ毎に前記帯域を制限する所定の値を異なる値としている、
   請求項５に記載の方法。
7. コンピュータ端末がネットワークに接続するのを制御する方法であって、
   第１のインタフェースで、スイッチングＨＵＢからパケットをキャプチャするステップと、
   前記キャプチャしたパケットが、第１の端末または第２の端末から送信されたものか否かを判定するステップと、
   前記判定するステップにより、前記パケットが前記第１の端末から送信されたセキュリティ設定違反報告パケットであると判断したことに応答して、前記第１の端末のＡＲＰテーブルのセキュリティ・パッチ・ダウンロード用サーバのＭＡＣアドレスを第２のインタフェースのＭＡＣアドレスに変更し、それ以外のＭＡＣアドレスを第３のインタフェースのＭＡＣアドレスに変更するＡＲＰ情報を生成し送信するステップと、
   前記判定するステップにより、前記パケットが前記第２の端末から送信されたＡＲＰパケットであると判断したことに応答して、前記第２の端末のＡＲＰテーブルのＭＡＣアドレスを前記第３のインタフェースのＭＡＣアドレスに変更するＡＲＰ情報生成し送信するステップと、
   前記第２のインタフェースを通過するパケット・データの帯域を所定の値に制限するステップと、
   前記第３のインタフェースを通過する第１の端末および第２の端末からのパケット・データを破棄するステップと
   を有する方法であって、
   前記第１の端末が、セキュリティ設定違反端末であり、
   前記第２の端末は、不正接続端末である
   方法。
8. 請求項５乃至７のいずれか１項に記載の方法の各ステップを、コンピュータに実行させるための、コンピュータ・プログラム。

Images