JP4256834B2 - 不正機器の接続位置特定装置および接続位置特定方法 - Google Patents

Description

本発明は、ネットワーク上のネットワーク機器に接続された不正機器の位置を特定する不正機器の接続位置特定装置に関するものである。

従来、多段接続されたスイッチングハブの各ポートに接続された端末とその各ポートとの対応関係を用いて、端末やスイッチングハブがどのように接続されているかをあらわす形態を作成するネットワークトポロジ作成方法が開示されている（例えば、特許文献１）。
特開２００２−１９０８１９号公報（段落００００２３、図２）

しかしながら、特許文献１に開示された方法では、下位に位置する複数のスイッチングハブの間で互いに接続されているポートを検出することができないため、下位に位置するスイッチングハブなどのネットワーク機器に不正に接続された機器の接続ポートを特定することができないという不都合があった。

そこで、本発明は、前記の課題を解決するためになされたものであり、その目的は、ネットワークにおけるネットワーク機器に不正に接続された機器の接続ポートを特定することが可能な不正機器の接続位置特定装置および接続位置特定方法を提供することである。

前記課題を解決するために本発明は、遠隔管理機能付のネットワーク機器を接続して多段に構成されたネットワークの前記遠隔管理機能付ネットワーク機器に不正に接続された機器の位置を特定する不正機器の接続位置特定装置であって、記憶部とこれを制御する処理部とを備えるものである。そして、前記処理部は、前記遠隔管理機能付ネットワーク機器に接続された前記機器の不正接続を検知した場合、少なくとも、前記検知した機器の物理アドレスとそのポートとの対応関係を保持する前記遠隔管理機能付ネットワーク機器に対して双方向通信を行い、前記各遠隔管理機能付ネットワーク機器のポートの先に接続されている前記遠隔管理機能付ネットワーク機器および前記接続位置特定装置についての物理アドレスとその対応ポートを、当該各遠隔管理機能付ネットワーク機器に保持させた後に、前記双方向通信の対象となった当該前記各遠隔管理機能付ネットワーク機器が保持している前記物理アドレスと前記ポートとの対応関係を前記記憶部に収集する。
前記記憶部に収集した前記遠隔管理機能付ネットワーク機器についての前記物理アドレスと前記ポートとの対応関係において、前記不正接続の機器の物理アドレスに対応するポートの有無を判定し、前記不正接続の機器の物理アドレスに対応するポートが有る場合、そのポートと同じポートに対応する前記接続位置特定装置の物理アドレスが有るか無いかを判定し、当該ポートに対応する前記接続位置特定装置の物理アドレスが無いとき、前記不正接続の機器の物理アドレスに対応するポートと同じポートに対応する物理アドレスを設定された遠隔管理機能付ネットワーク機器に優先フラグを設定し、前記優先フラグを設定された遠隔管理機能付ネットワーク機器を優先して、前記不正接続の機器が接続されている終端の遠隔管理機能付ネットワーク機器およびそのポートを特定し、前記特定した終端の遠隔管理機能付ネットワーク機器およびそのポートを外部に出力する。

本発明によると、ネットワークにおいて不正機器が接続した遠隔管理機能付ネットワーク機器、およびそのポートを特定することができる。

［実施の形態１］
図１は、本発明の実施の形態１に係る不正機器の接続位置特定装置を含む全体のシステムを示すブロック図である。
図１において、不正機器の接続位置特定装置（以下単に「接続位置特定装置」という）１０は、スイッチ２１のポートＰ１に接続され、スイッチ２１は、下位に位置する複数のスイッチ２２，２３に接続されている。なお、スイッチ２１〜２３は、遠隔管理機能を持っている（後記のスイッチ２４〜２６も同じ）。ここにいう遠隔管理機能とは、接続位置特定装置１０からの要求に応じてＦＤＢやアドレストラックに保持する情報を返す機能をいう。

スイッチ２３は、下位に位置するスイッチ２４を介して、リピータハブ４１に接続され、このリピータハブ４１のポートＰ１には、コンピュータなどの機器５が接続されている。リピータハブ４１は、前記した遠隔管理機能を持っている（後記のリピータハブ４２も同じ）。前記した機器５は、接続が許可されている正当な機器である。
また、スイッチ２３は、下位に位置する複数のスイッチ２５，２６を介して、リピータハブ４２に接続され、このリピータハブ４２のポートＰ１およびポートＰ２には、それぞれコンピュータなどの機器７が接続されている。後で、機器３１が接続される。機器７は、前記した機器５と同様、正当な機器であり、機器３１は、ネットワークへの接続が許可されていない不正なパーソナルコンピュータなどの機器である。なお、図１において、符号Ｐ１，Ｐ２，Ｐ４，Ｐ６〜Ｐ８は、ポート番号を示している。また、機器１〜８は、正当な機器を示している。このように、複数のスイッチ（スイッチハブ）２１〜２６などの遠隔管理機能付ネットワーク機器が多段接続してネットワークが構成されている。

ここで、図１に示したネットワーク上のすべての機器、すなわち接続位置特定装置１０、スイッチ２１〜２６、リピータハブ４１，４２、機器１〜８，３１は、図２に示すように、それぞれ、ＩＰアドレス（論理アドレス）およびＭＡＣアドレス（物理アドレス）が割り当てられていることとする。

次に、前記した接続位置特定装置１０の構成を説明する。
図３は、接続位置特定装置の構成を示すブロック図である。図３において、接続位置特定装置１０は、例えばパーソナルコンピュータなどのコンピュータであり、バス１６０上に接続された処理部１１０、ネットワークを介して他の機器との通信を行うための通信インターフェース（通信Ｉ／Ｆ）１２０、記憶部１３０、表示部１４０および入力部１５０を備えている。以下にこれらを詳述する。
入力部１５０は、キーボードやマウスなどの入力デバイスであり、表示部１４０は、コンピュータディスプレイなどの表示デバイスである。

記憶部１３０は、メモリなどの記憶装置であり、機器アドレステーブル１３１、スイッチアドレステーブル１３２、リピータハブアドレステーブル１３３および制限エリア情報１３４が格納されている。機器アドレステーブル１３１には、ネットワークに接続される機器（例えば、機器１〜８など）のＩＰアドレスおよびＭＡＣアドレスが格納されるようになっている。
スイッチアドレステーブル１３２には、図１に示したスイッチ２１〜２６についてのＩＰアドレスおよびＭＡＣアドレスの対応関係などが格納される。また、リピータハブアドレステーブル１３３には、図１に示したリピータハブ４１，４２についてのＩＰアドレスおよびＭＡＣアドレスの対応関係などが格納される。なお、スイッチアドレステーブル１３２およびリピータハブアドレステーブル１３３の構成については、後記で詳述する。
制限エリア情報１３４は、ネットワークへの接続を、（１）許可するＩＰアドレスあるいはＭＡＣアドレス、または（２）許可しないＩＰアドレスあるいはＭＡＣアドレスに関するものであり、ここでは、ネットワークへの接続を許可しないＩＰアドレス「１９２．１６２．１．３１」〜「１９２．１６８．１．３９」が設定されていることとする。この制限エリア情報１３４に含まれているＩＰアドレスを用いた機器は、不正な機器と判断されることとなる。

処理部１１０は、ＣＰＵなどの処理装置であり、遠隔収集部１１１、機器アドレス検出部１１２、接続監視部１１３、通信部１１４および不正機器接続位置特定部（以下単に「特定部」という）１１５を有している。これら各部１１１〜１１５は、接続位置特定装置１０に組み込まれている接続位置特定プログラムにしたがって動作するようになっているが、詳細は後記する。前記した接続位置特定プログラムは、記憶部１３０の所定領域にあらかじめ格納されていてもよいし、ＣＤ−ＲＯＭなどのコンピュータ読み取り可能な記録媒体から読み込まれてもよい。

次に、スイッチ２１〜２６の構成を説明する。
図４は、スイッチの構成を示すブロックである。ここでは、スイッチ２１について説明するが、他のスイッチ２２〜２６の構成もスイッチ２１と同様である。
図４において、スイッチ２１は、処理部（プロセッサ）２００、記憶部（メモリ）２１０および複数のポートＰ１〜Ｐ８を備えている。記憶部２１０には、ポート番号とＭＡＣアドレスとの対応関係を保持するフォワーディングデータベース（以下「ＦＤＢ」と略す）２１１が格納されている。このＦＤＢ２１１により、ポートごとに学習した受信フレームの送信元ＭＡＣアドレスが保持される。

次に、リピータハブ４１，４２の構成を説明する。
図５は、リピータハブの構成を示すブロックである。ここでは、リピータハブ４１について説明するが、他のリピータハブ４２の構成もリピータハブ４１と同様である。
図５において、リピータハブ４１は、処理部（プロセッサ）４００、記憶部（メモリ）４１０および複数のポートＰ１〜Ｐ４を備えている。記憶部４１０には、アドレストラック４１１が格納されている。このアドレストラック４１１により、ポートごとに最後に学習した受信フレームの送信元ＭＡＣアドレスが保持される。

次に、前記した接続位置特定装置１０の全体的な処理手順について説明する。
図６は、接続位置特定装置の全体的な処理手順を示す図である。ここでは、あるタイミングで図１に示した機器３１がリピータハブ４２のポートＰ２に接続された場合を例にして説明する。
まず、図３に示した接続位置特定装置１０の処理部１１０は、自己の所属するネットワーク（ここでは「１９２．１６８．１．０／２４」で自己の論理アドレスを除く論理アドレス（「１９２．１６８．１．１」〜「１９２．１６８．１．２５４」のうちの「１９２．１６８．１．１０」を除くもの））宛にアドレス解決要求を送信して、その応答を返した接続機器のＩＰアドレスおよびＭＡＣアドレスを検出（以下「アドレス検出」という）する（Ｓ１００：このときの処理部１１０を図３に示した「機器アドレス検出部１１２」という）。これにより、接続位置特定装置１０は、機器１〜８、スイッチ２１〜２６およびリピータハブ４１，４２を含むすべてのノードについての接続機器のＩＰアドレスおよびＭＡＣアドレスを検出する。そして、接続位置特定装置１０は、これら接続機器のＩＰアドレスおよびＭＡＣアドレスの対応関係を図３の機器アドレステーブル１３１に登録する。

続いて、処理部１１０は、図３の機器アドレステーブル１３１上のアドレスに対し、ＳＮＭＰ ＧｅｔでＦＤＢに保持されている情報を要求し、この応答が返ったアドレスが遠隔管理機能付スイッチのものであると判断する。また、処理部１１０は、図３の機器アドレステーブル１３１上のアドレスに対し、ＳＮＭＰ Ｇｅｔでアドレストラックに保持されている情報を要求し、この応答が返ったアドレスが遠隔管理機能付リピータハブのものであると判断する。このようにして、遠隔管理機能付スイッチおよび遠隔管理機能付リピータハブのアドレスが判断され、処理部１１０が、図３に示したスイッチアドレステーブル１３１および図３に示したリピータハブアドレステーブル１３３を作成する（Ｓ２００：このときの処理部１１０も図３に示した「機器アドレス検出部１１２」という）。
なお、前記したＳＮＭＰは、Simple Network Management Protocolの略であり、ネットワーク環境での管理プロトコルである。

このときのスイッチアドレステーブル１３２の一例を図７に、リピータハブアドレステーブル１３３の一例を図８にそれぞれ示す。

まず、スイッチアドレステーブル１３２について説明する。図７によると、スイッチアドレステーブル１３２には、ＩＰアドレス、ＭＡＣアドレス、優先フラグおよび参照済フラグが相互に関連付けられて格納されている。ここでは、図１に示したスイッチ２１〜２６のＩＰアドレス（「１９２．１６８．１．２１」〜「１９２．１６８．１．２６」と、ＭＡＣアドレス（「００：２２：３３：００：００：２１」〜「００：２２：３３：００：００：２６」）とが格納されている。なお、優先フラグというのは、不正な機器の接続位置を特定する際に、そのレコード上のスイッチを優先的に参照することを示すフラグであり、参照済フラグというのは、既にレコードを参照したかを示すフラグであるが、詳細は後記する。

続いて、リピータハブアドレステーブル１３３について説明する。図８によると、リピータハブアドレステーブル１３３には、図１に示したリピータハブ４１，４２のＩＰアドレス（「１９２．１６８．１．４１」〜「１９２．１６８．１．４２」と、ＭＡＣアドレス（「００：３３：４４：００：００：４１」〜「００：３３：４４：００：００：４２」）とが格納されている。

図６に戻り、Ｓ３００では、処理部１１０は、アドレス解決要求プロトコルをモニタし、ネットワークの接続状況についての接続監視を行う（Ｓ３００：このときの処理部１１０を図３に示した「接続監視部１１３」という）。この場合において、例えば、機器３１がリピータハブ４２に接続され、接続時に機器３１がアドレス解決要求をブロードキャスト送信したものとする。すると、処理部１１０は、そのアドレス解決要求から取得した機器３１のＩＰアドレスと、それに対応するＭＡＣアドレスとを記憶する。そして、処理部１１０は、それらのアドレスが図３に示した機器アドレステーブル１３１に未登録のアドレスと判断し、機器３１が新規に接続されたと判断することとなる。

また、前記したブロードキャスト送信により、スイッチ２１〜２６にも、アドレス解決要求から取得した機器３１のアドレスが届くこととなる。このときのスイッチ２１〜２６のＦＤＢ２１１の保持状態を図９および図１０に示す。また、このときのリピータハブ４１，４２のアドレストラック４１１の保持状態を図１１に示す。

まず、スイッチ２１〜２６のＦＤＢ２１１の保持状態について説明する。スイッチ２１のＦＤＢ２１１には、図９（ａ）に示すように、前記した機器３１からのアドレス解決要求により保持された機器３１のＭＡＣアドレス「００：１１：２２：００：００：３１」とそれを受信したポート番号「８」との対応関係が保持されている（同図（ａ）の太枠参照）。また、図９（ｂ）に示すように、スイッチ２２のＦＤＢ２１１にも、機器３１からのアドレス解決要求により保持された機器３１のＭＡＣアドレス「００：１１：２２：００：００：３１」とそれを受信したポート番号「８」との対応関係が保持されている（同図（ｂ）の太枠参照）。さらに、図９（ｃ）に示すように、スイッチ２３のＦＤＢ２１１にも、機器３１からのアドレス解決要求により保持された機器３１のＭＡＣアドレス「００：１１：２２：００：００：３１」とそれを受信したポート番号「７」との対応関係が保持されている（同図（ｃ）の太枠参照）。このように、他のすべてのスイッチ２４〜２６のＦＤＢ２１１にも、図１０（ａ）、（ｂ）、（ｃ）に示すように、機器３１からのアドレス解決要求により保持された機器３１のＭＡＣアドレス「００：１１：２２：００：００：３１」とそれを受信したポート番号との対応関係が保持されている（同図（ａ）〜（ｃ）の太枠参照）。

続いて、リピータハブ４１，４２のアドレストラック４１１の保持状態について説明する。リピータハブ４１のアドレストラック４１１には、図１１（ａ）に示すように、図１に示した機器５のＭＡＣアドレス「００：１１：２２：００：００：０５」とそれを受信したポート番号「１」との対応関係が保持されている。これに対して、図１１（ｂ）に示すように、リピータハブ４１のアドレストラック４１１には、前記した機器３１からのアドレス解決要求により保持された機器３１のＭＡＣアドレス「００：１１：２２：００：００：３１」とそれを受信したポート番号「２」との対応関係が保持されている（同図（ｂ）の太枠参照）。
なお、図１１（ｂ）では、２つのポート番号「１」，「２」に対応するＭＡＣアドレスが保持されているが、ポート「１」にリピータハブなどを介して他の遠隔管理機能付ネットワーク機器も接続されている場合、ポート「１」で受信したＭＡＣアドレスは同じポートに接続されている別の遠隔管理機能付ネットワーク機器のＭＡＣアドレスに書き換えられる。アドレストラック４１１には、最後に受信したフレームの送信元ＭＡＣアドレスを保持するものであるからである。

図６に戻って説明を続ける。Ｓ４００では、処理部１１０は、例えば、Ｓ３００で接続監視を行っていたときに接続された機器３１からのアドレス解決要求に基づいて取得した機器３１のＩＰアドレス「１９２．１６８．１．３１」が図３に示した制限エリア情報１３４に含まれているので、不正機器と検知し（Ｓ４００の「ＹＥＳ」の場合）、Ｓ５００に移行する。
Ｓ５００では、処理部１１０は、Ｓ４００で不正機器と検知した機器３１のＩＰアドレス「１９２．１６８．１．３１」とＭＡＣアドレス「００：１１：２２：００：００：３１」とを用いて機器３１の接続位置を特定する（Ｓ５００：このときの処理部１１０を図３に示した「特定部」１１５という）。この特定処理については次の図１２で詳述する。

図１２は、図６のＳ５００における処理手順の詳細を示す図である。
まず、図３に示した処理部１１０は、すべてのスイッチ２１〜２６とリピータハブ４１，４２に対して、例えばＳＮＭＰ Ｇｅｔ要求を行う（Ｓ５０１：このときの処理部１１０を図３に示した「通信部１１４」という）。このＳＭＮＰ Ｇｅｔ要求により、図１に示したスイッチ２１〜２６およびリピータハブ４１，４２は、前記した要求に対する応答を接続位置特定装置１０に返すこととなり、途中にあるスイッチ２１〜２６のＦＤＢ２１１には、ポート毎に受信できた前記応答フレームの送信元ＭＡＣアドレスが保持されることとなる。このときのスイッチ２１〜２６のＦＤＢ２１１の保持状態を図１３および図１４に示す。

図１３（ａ）に示すように、スイッチ２１のＦＤＢ２１１には、例えば、図１に示したスイッチ２３などのＭＡＣアドレス（「００：２２：３３：００：００：２３」など）がポートごとに保持されている。同様に、スイッチ２２，２３のＦＤＢ２１１にも、図１３（ｂ）、（ｃ）に示すように、ＭＡＣアドレスがポートごとに保持されている。
さらに、他のスイッチ２４〜２６のＦＤＢ２１１にも、図１４（ａ）〜（ｃ）に示すように、ＭＡＣアドレスがポートごとに保持されている。

なお、Ｓ５０１では、ＳＮＭＰ Ｇｅｔ要求を用いることとしたが、スイッチ２１〜２６やリピータハブ４１，４２との双方向の通信を行うのであれば、ＡＲＰ要求・応答、ＩＣＭＰ(Internet Control Message Protocol) Echoなどの通信を行ってもよい。
また、前記した双方向通信は、スイッチ２１〜２６のＦＤＢ２１１に保持されているＭＡＣアドレスとポートとの保持期限が切れない間隔（ここではエージングタイマがタイムアップする前にという意味）で行うこととする。

図１２に戻り、Ｓ５０２において、処理部１１０は、図７に示したスイッチアドレステーブル１３１を参照し、例えば、図１に示したスイッチ２１のＩＰアドレスおよびＭＡＣアドレスを用いて（図７の最上段参照）、スイッチ２１のＦＤＢ２１の記憶データを収集する。この収集は、例えば、ＳＮＭＰ要求（ネットワーク管理要求）で行う（このときの処理部１１０を図３に示した「遠隔収集部１１１」という）。これにより、処理部１１０は、図１３（ａ）に示したスイッチ２１のＦＤＢ２１１の記憶データを収集して図３の記憶部１３０の所定領域に格納することとなる。

次に、処理部１１０では、Ｓ５０２で行ったＳＮＭＰ要求により収集した図１３（ａ）のスイッチ２１のＦＤＢ２１１から、Ｓ３００で検出され記憶された機器３１のＭＡＣアドレスに対応するポートの有無を判断する（Ｓ５０３）。図１３（ａ）には、機器３１のＭＡＣアドレス「００：１１：２２：００：００：３１」に対応するポート「８」が存在するので、Ｓ５０３において、処理部１１０は、対応するポートが有ると判断し（Ｓ５０３の「ＹＥＳ」の場合）、次のＳ５０４に進み、Ｓ５０３で有ると判断したポート「８」と同じポートに接続位置特定装置１０のＭＡＣアドレス「００：１１：２２：００：００：１０」が有るかどうかを判断する。
図１３（ａ）には、ポート「８」とは異なるポート「１」に、接続位置特定装置１０のＭＡＣアドレス「００：１１：２２：００：００：１０」が存在するので、Ｓ５０４において、Ｓ５０３で有ると判断したポート「８」と同じポートに接続位置特定装置１０のＭＡＣアドレスが無いと判断され（Ｓ５０４の「ＮＯ」の場合）、Ｓ５０５に進む。

Ｓ５０５において、図１３（ａ）に示したスイッチ２１のＦＤＢ２１１から、ポート「８」にスイッチ２３〜２６のＭＡＣアドレス（「００：２２：３３：００：００：２３」〜「００：２２：３３：００：００：２６」）が登録されているので、処理部１１０は、Ｓ５０３で有ると判断したポート「８」と同じポートにスイッチのＭＡＣアドレスが有ると判断し（Ｓ５０５の「ＹＥＳ」の場合）、次のＳ５０６に進む。Ｓ５０６において、処理部１１０は、図７に示したスイッチアドレステーブル１３２中、図１５に示すように、Ｓ５０５でＭＡＣアドレスが有ると判断したスイッチ２３〜２６の優先フラグを設定する（図１５中「優先」参照）。また、スイッチ２１の参照済フラグを設定する（図１５中「済」参照）。このようにして、図１に示した機器３１の通信経路となるスイッチ２３〜２６を選定する。

そして、処理部１１０は、Ｓ５０７に進み、図１５に示したスイッチアドレステーブル１３２中、参照済フラグが未設定、すなわち未参照のスイッチ２２〜２６が有ると判断し（Ｓ５０７の「ＹＥＳ」の場合）、Ｓ５０２に戻る。

Ｓ５０２において、処理部１１０は、図１５に示したスイッチアドレステーブル１３２を参照し、例えば、優先フラグが設定され、かつ未参照のスイッチ２４のＩＰアドレス「１９２．１６２．１．２４」およびＭＡＣアドレス「００：２２：３３：００：００：２４」を用いて、図１４（ａ）に示したスイッチ２４のＦＤＢ２２１の記憶データを収集する。図１４（ａ）に示したスイッチ２４のＦＤＢ２２１には、不正に接続された機器３１のＭＡＣアドレスに対応するポート「８」が存在し、かつ、そのポート「８」には、接続位置特定装置１０のＭＡＣアドレスが存在するので、処理部１１０は、Ｓ５０３の「ＹＥＳ」に進んだ後、次のＳ５０４で「ＹＥＳ」に進んでＳ５０７に移行する。そして、処理部１１０は、図１５に示したスイッチアドレステーブル１３２中、未処理のスイッチ２２，２３，２５，２６が有ると判断し（Ｓ５０７の「ＹＥＳ」の場合）、Ｓ５０２に戻る。

次のＳ５０２において、処理部１１０は、図１５に示したスイッチアドレステーブル１３２を参照し、例えば、優先フラグが設定され、かつ未参照のスイッチ２５のＩＰアドレス「１９２．１６２．１．２５」およびＭＡＣアドレス「００：２２：３３：００：００：２５」を用いて、図１４（ｂ）に示したスイッチ２５のＦＤＢ２２１の記憶データを収集する。図１４（ｂ）に示したスイッチ２５のＦＤＢ２２１には、不正に接続された機器３１のＭＡＣアドレスに対応するポート「７」が存在するが、そのポート「７」には、接続位置特定装置１０のＭＡＣアドレスが存在しないので、処理部１１０は、Ｓ５０３の「ＹＥＳ」に進んだ後、次のＳ５０４で「ＮＯ」に進んでＳ５０５に移行する。
Ｓ５０５では、処理部１１０は、図１４（ｂ）に示したスイッチ２５のＦＤＢ２２１に、Ｓ５０３で有ると判断したポート「７」にスイッチ２６のＭＡＣアドレス「００：２２：３３：００：００：２６」が有ると判断し（Ｓ５０５の「ＹＥＳ」の場合）、次のＳ５０６、Ｓ５０７の「ＹＥＳ」、Ｓ５０２の順に進む。
Ｓ５０６では、図１６に示すように、Ｓ５０５で有ると判断されたＭＡＣアドレスのスイッチ２６の優先フラグが有効になるように更新設定される。

次のＳ５０２において、処理部１１０は、図１６に示したスイッチアドレステーブル１３２を参照し、優先フラグが設定され、かつ未参照のスイッチ２６のＩＰアドレス「１９２．１６２．１．２６」およびＭＡＣアドレス「００：２２：３３：００：００：２６」を用いて、図１４（ｃ）に示したスイッチ２６のＦＤＢ２２１の記憶データを収集する。図１４（ｃ）に示したスイッチ２６のＦＤＢ２２１には、制限エリア内に接続された機器３１のＭＡＣアドレスに対応するポート「７」が存在するが、そのポート「７」には、接続位置特定装置１０のＭＡＣアドレスが存在しないので、処理部１１０は、Ｓ５０３の「ＹＥＳ」に進んだ後、次のＳ５０４で「ＮＯ」に進んでＳ５０５に移行する。
Ｓ５０５では、処理部１１０は、図１４（ｃ）に示したスイッチ２６のＦＤＢ２２１に、Ｓ５０３で有ると判断したポート「７」にスイッチのＭＡＣアドレスがないと判断し（Ｓ５０５の「ＮＯ」の場合）、次のＳ５０８に進む。
Ｓ５０８では、図１４（ｃ）に示したスイッチ２６のＦＤＢ２２１に、Ｓ５０３で有ると判断したポート「７」にリピータハブ４２のＭＡＣアドレス「００：２２：３３：００：００：４２」が存在するので、Ｓ５０８の「ＹＥＳ」に進み、Ｓ５０９に移行する。
なお、Ｓ５０８において「ＮＯ」の場合、処理部１１０は、次のＳ５０８Ａに進み、スイッチとポートを特定し、後記するＳ５１１に移行する。

Ｓ５０９では、まず、処理部１１０は、図８に示したリピータハブアドレステーブル１３３を参照して、Ｓ５０８で検出したリピータハブ４２のＩＰアドレス「１９２．１６２．１．４２」およびＭＡＣアドレス「００：３３：４４：００：００：４２」を用い、ＳＮＭＰ要求により、図１１（ｂ）に示したリピータハブ４２のアドレストラック４１１の記憶データを収集する。図１１（ｂ）に示したリピータハブ４２のアドレストラック４１１には、不正に接続された機器３１のＭＡＣアドレス「００：１１：２２：００：００：３１」に対応するポート「２」が存在するので、処理部１１０は、Ｓ５０９の「ＹＥＳ」に進み、Ｓ５１０に移行する。

Ｓ５１０では、処理部１１０は、リピータハブ４２とポート「２」を特定し、次のＳ５１１で、その旨の情報、すなわちリピータハブ４２のポート「２」を表示部１４０に外部出力して表示させる。この表示では、リピータハブ４２のＩＰアドレスやＭＡＣアドレスを表示するようにしてもよい。
なお、Ｓ５０９において「ＮＯ」の場合、処理部１１０は、リピータハブのみ特定し（Ｓ５０９Ａ）、Ｓ５１１で、その旨の情報を表示部１４０に表示する。
このようにして、利用者は、機器３１が接続されたリピータハブ４２、およびそのポート「２」を確認することが可能となる。例えば、スイッチの上位や下位のどの位置に接続されているかなどのトポロジに左右されず、また、ＭＡＣアドレスとポートの対応関係の収集を必ずしも全てのネットワーク機器に対してしなくても不正な機器３１の位置を接続ポートにより特定することが可能である。したがって、機器３１の接続位置を迅速に特定し、ネットワークへの不正な接続を回避するよう対策を講じることが可能となる。

［実施の形態２］
図１７は、本発明の実施の形態２に係る不正機器の接続位置特定装置を含む全体のシステムを示すブロック図である。なお、前記した実施の形態１と同じ部分は、同一の符号を付し重複説明を省略する。
図１７において、図１に示した遠隔管理機能付リピータハブ４２の下位に、遠隔管理機能を持たない非対応リピータハブ５１を接続し、この非対応リピータハブ５１のポートＰ２に、前記した不正機器３１を接続する。その他の構成は、実施の形態１の場合とほぼ同様であるので、説明を省略する。

この場合、図１７に示した接続位置特定装置１０では、前記した図１２に示したＳ５０１により、図１７に示したスイッチ２１〜２３のＦＤＢ２１１は、図１８（ａ）〜（ｃ）に示すような保持状態となる。また、図１７に示したスイッチ２４〜２６のＦＤＢ２１１は、図１９（ａ）〜（ｃ）に示すような保持状態となる。さらに、図１７に示した遠隔管理機能付リピータハブ４１，４２のアドレストラック４１１は、図２０（ａ）、（ｂ）に示すような保持状態となる。そして、接続位置特定装置１０の処理部１１０が、図１２に示したＳ５０２からＳ５１０までの処理を実行することにより、図１７に示したリピータハブ４２のポート「２」を表示部１４０に表示することとなる。
すなわち、処理部１１０は、不正接続の機器３１と接続位置特定装置１０の物理アドレスを保持し、かつ、そのそれぞれの物理アドレスに対応するポートが不一致のスイッチ２１，２３，２５，２６およびリピータハブ４２を不正機器３１のＭＡＣアドレスに対応するポートの方向に選定していくことにより、機器３１が接続されている非対応リピータハブ５１がつながれている遠隔管理機能を有する上位のリピータハブ４２のポート「２」を特定して外部に出力することとなる。これにより、利用者は、不正機器３１が接続された終端のリピータハブ４２、およびそのポート「２」を確認することが可能となり、有益である。
また、遠隔管理機能を有する上位のリピータハブ４２のポート「２」に保持されているＭＡＣアドレスが不正機器３１から機器７のものに書き換わった場合でも、ポートは不明だが不正機器３１が接続するリピータハブ４２までは特定可能であり、有益である。

［実施の形態３］
図２１は、本発明の実施の形態３に係る不正機器の接続位置特定装置を含む全体のシステムを示すブロック図である。なお、前記した実施の形態１，２と同じ部分は、同一の符号を付し重複説明を省略する。
図２１において、図１に示したスイッチ２３とスイッチ２６との間に非対応リピータハブ５２を接続し、スイッチ２６のポート「２」に、前記した機器３１を接続している。なお、非対応リピータハブ５２は、遠隔管理機能を持たないものである。その他の構成は、実施の形態１の場合とほぼ同様であるので、説明を省略する。

この場合、図２１に示した接続位置特定装置１０では、前記した図６に示したＳ２００により、図２２に示すスイッチアドレステーブル１３２を作成し、その後、図１２に示したＳ５０１により、図２１に示したスイッチ２１〜２４，２６のＦＤＢ２１１は、図２３（ａ）〜（ｅ）に示すような保持状態となる。そして、接続位置特定装置１０の処理部１１０が、図１２に示したＳ５０２からＳ５１０までの処理を実行することにより、図２２に示したスイッチアドレステーブル１３２が図２４、図２５の順に更新される。
そして最終的に、処理部１１０は、図２１に示したスイッチ２６のポート「２」を表示部１４０に表示することとなる。
すなわち、処理部１１０は、不正接続の機器３１と接続位置特定装置１０の物理アドレスを保持し、かつそのそれぞれの物理アドレスに対応するポートが不一致のスイッチ２１，２３，２６を不正機器３１のＭＡＣアドレスに対応するポートの方向に選定していくことにより、機器３１が接続されているスイッチ２６の「２」を特定して外部に出力することとなる。これにより、利用者は、機器３１が接続された終端のスイッチ２６、およびそのポート「２」を確認することが可能となる。

なお、本発明は、前記した実施の形態に限定されない。スイッチの台数は既知の技術により変更が可能である。また、スイッチは、本発明の趣旨を逸脱しない限りにおいて、種々に組み合わせてネットワークを構築してもよい。
また、接続位置特定装置１０の構成（データ構造を含む）およびプログラム処理の手順は、既知の技術により種々の変更が可能である。例えば、図１２のＳ５０２〜Ｓ５０７では、スイッチアドレステーブル１３２に登録されているスイッチのＦＤＢ２１１を順次収集してその内容を参照する場合について説明したが、すべてのスイッチのＦＤＢ２１１を一括で収集した後、それらの内容を参照するようにしてもよい。

本発明の実施の形態１に係る不正機器の接続位置特定装置を含む全体のシステムを示すブロック図である。 図１のスイッチを含む機器のＩＰアドレスおよびＭＡＣアドレスを示す図である。 図１の接続位置特定装置の構成を示すブロック図である。 図１のスイッチの構成を示すブロックである。 図１のリピータハブの構成を示すブロックである。 図１の接続位置特定装置の全体的な処理手順を示す図である。 図３のスイッチアドレステーブルの一例を示す図である。 図３のリピータハブアドレステーブルの一例を示す図である。 図１の３つのスイッチのＦＤＢの保持状態を示す図である。 図９のスイッチ以外の３つのスイッチのＦＤＢの保持状態を示す図である。 図１のリピータハブのアドレストラックの保持状態を示す図である。 図６のＳ５００における処理手順の詳細を示す図である。 図１２のＳ５０１により保持される３つのスイッチのＦＤＢの保持状態を示す図である。 図１３のスイッチ以外の３つのスイッチのＦＤＢの保持状態を示す図である。 図１３のＳ５０６により設定された優先フラグを含むスイッチアドレステーブルを示す図である。 図１３のＳ５０６により設定された優先フラグを含む他のスイッチアドレステーブルを示す図である。 本発明の実施の形態２に係る不正機器の接続位置特定装置を含む全体のシステムを示すブロック図である。 図１７の３つのスイッチのＦＤＢの保持状態を示す図である。 図１８のスイッチ以外の３つのスイッチのＦＤＢの保持状態を示す図である。 図１７のリピータハブのアドレストラックの保持状態を示す図である。 本発明の実施の形態３に係る不正機器の接続位置特定装置を含む全体のシステムを示すブロック図である。 図２１の接続位置特定装置におけるスイッチアドレステーブルのデータ構造を示す図である。 図２１のスイッチにおけるＦＤＢの保持状態を示す図である。 図２２のスイッチアドレステーブル中の優先フラグを設定した状態を示す図である。 図２４のスイッチアドレステーブル中の優先フラグを設定した状態を示す図である。

符号の説明

１０ 接続位置特定装置
２１〜２６ スイッチ
４１，４２ リピータハブ

Claims (11)

1. ネットワークに接続するポートを複数有し、ポート毎に受信したフレームの送信元物理アドレスを学習して複数保持するフォワーディングデータベース（以降「ＦＤＢ」と記す）を備え、かつ遠隔機器からの要求によりＦＤＢの内容を要求元に応答する遠隔管理機能を備える遠隔管理機能付ネットワーク機器を多段に接続して構成されたネットワークの前記遠隔管理機能付ネットワーク機器に不正に接続された機器の位置を特定する不正機器の接続位置特定装置であって、
   記憶部とこれを制御する処理部とを備え、
   前記処理部は、
   前記遠隔管理機能付ネットワーク機器に接続された前記機器の不正接続を検知した場合、少なくとも、前記検知した機器の物理アドレスとそのポートとの対応関係を保持する前記遠隔管理機能付ネットワーク機器に対して双方向通信を行い、前記各遠隔管理機能付ネットワーク機器のポートの先に接続されている前記遠隔管理機能付ネットワーク機器および前記接続位置特定装置についての物理アドレスとその対応ポートを、当該各遠隔管理機能付ネットワーク機器に保持させた後に、
   前記双方向通信の対象となった当該各遠隔管理機能付ネットワーク機器が保持している前記物理アドレスと前記ポートとの対応関係を前記記憶部に収集し、
   前記記憶部に収集した前記遠隔管理機能付ネットワーク機器についての前記物理アドレスと前記ポートとの対応関係において、前記不正接続の機器の物理アドレスに対応するポートの有無を判定し、
   前記不正接続の機器の物理アドレスに対応するポートが有る場合、そのポートと同じポートに対応する前記接続位置特定装置の物理アドレスが有るか無いかを判定し、
   当該ポートに対応する前記接続位置特定装置の物理アドレスが無いとき、前記不正接続の機器の物理アドレスに対応するポートと同じポートに対応する物理アドレスを設定された遠隔管理機能付ネットワーク機器に優先フラグを設定し、
   前記優先フラグを設定された遠隔管理機能付ネットワーク機器を優先して、前記不正接続の機器が接続されている終端の遠隔管理機能付ネットワーク機器およびそのポートを特定し、
   その特定した終端の遠隔管理機能付ネットワーク機器およびそのポートを外部に出力する
   ことを特徴とする不正機器の接続位置特定装置。
2. 前記処理部は、
   ある物理アドレスとポートとの対応関係において、前記不正接続の機器の物理アドレスが保持されているポートがあり、そのポートに前記接続位置特定装置の物理アドレスが保持されておらず、さらにそのポートに他の前記遠隔管理機能付ネットワーク機器の物理アドレスが保持されていない場合、
   この物理アドレスとポートとの対応関係を有する前記遠隔管理機能付ネットワーク機器が前記不正接続の機器に接続される前記遠隔管理機能付ネットワーク機器で、当該不正接続の機器の物理アドレスが保持されているポートが、前記不正接続の機器が接続するポートであると判断する
   ことを特徴とする請求項１に記載の不正機器の接続位置特定装置。
3. 前記処理部は、
   前記各遠隔管理機能付ネットワーク機器に保持されている前記物理アドレスと前記ポートとの対応関係の保持期限が切れない間隔で、前記接続位置特定装置と前記遠隔管理機能付ネットワーク機器との双方向の通信を行うことを特徴とする請求項１に記載の不正機器の接続位置特定装置。
4. 前記処理部は、
   アドレス解決要求により、自己が接続するのとは別の前記遠隔管理機能付ネットワーク機器の物理アドレスおよび論理アドレスを検出し、検出した物理アドレスおよび論理アドレスを用いて、前記遠隔管理機能付ネットワーク機器が保持している前記物理アドレスと前記ポートとの対応関係を収集する要求であるネットワーク管理要求を前記遠隔管理機能付ネットワーク機器に行うことを特徴とする請求項１に記載の不正機器の接続位置特定装置。
5. 前記記憶部には、予め、ネットワークへの接続を許す論理アドレス、または接続を許さない論理アドレスのテーブルを有し、
   前記処理部は、
   前記機器が前記ネットワークに接続された時に出力するアドレス解決要求から当該機器の論理アドレスを取得し、
   前記取得した論理アドレスが許すアドレスでない場合、あるいは許さないアドレスである場合、不正接続と判断する
   ことを特徴とする請求項１に記載の不正機器の接続位置特定装置。
6. 請求項１ないし請求項５のいずれか一項に記載の不正機器の接続位置特定装置において、
   前記遠隔管理機能付ネットワーク機器の下位に、遠隔管理機能を持たない非対応ネットワーク機器を接続してネットワークを構成し、その非対応ネットワーク機器に機器が不正に接続された場合、
   前記処理部は、
   少なくとも、前記検知した機器の物理アドレスとそのポートとの対応関係を保持する前記遠隔管理機能付ネットワーク機器に対して双方向通信を行い、前記各遠隔管理機能付ネットワーク機器のポートの先に接続されている前記遠隔管理機能付ネットワーク機器および前記接続位置特定装置についての物理アドレスとその対応ポートを、当該各遠隔管理機能付ネットワーク機器に保持させた後に、
   前記双方向通信の対象となった当該各遠隔管理機能付ネットワーク機器が保持している前記物理アドレスと前記ポートとの対応関係を前記記憶部に収集し、
   前記各遠隔管理機能付ネットワーク機器についての前記物理アドレスと前記ポートとの対応関係において、前記不正接続の機器の物理アドレスに対応するポートの有無を判定し、
   前記不正接続の機器の物理アドレスに対応するポートが有る場合、そのポートと同じポートに対応する前記接続位置特定装置の物理アドレスが有るか無いかを判定し、
   当該ポートに対応する前記接続位置特定装置の物理アドレスが無いとき、前記不正接続の機器の物理アドレスに対応するポートと同じポートに対応する物理アドレスを設定された遠隔管理機能付ネットワーク機器に優先フラグを設定し、
   前記優先フラグを設定された遠隔管理機能付ネットワーク機器を優先して、前記不正接続の機器が接続されている終端の遠隔管理機能付ネットワーク機器およびそのポートを特定し、
   その特定した終端の遠隔管理機能付ネットワーク機器を前記非対応ネットワーク機器の上位に接続されているものとして当該遠隔管理機能付ネットワーク機器のポートを外部に出力する
   ことを特徴とする不正機器の接続位置特定装置。
7. 請求項１ないし請求項５のいずれか一項に記載の不正機器の接続位置特定装置において、
   前記遠隔管理機能付ネットワーク機器で、さらに、上位の遠隔管理機能付ネットワーク機器と下位の遠隔管理機能付ネットワーク機器との間に、遠隔管理機能を持たない非対応ネットワーク機器を接続してネットワークを構成し、下位の遠隔管理機能付ネットワーク機器に機器が不正に接続された場合、
   前記処理部は、
   少なくとも、前記検知した機器の物理アドレスとそのポートとの対応関係を保持する前記遠隔管理機能付ネットワーク機器に対して双方向通信を行い、前記各遠隔管理機能付ネットワーク機器のポートの先に接続されている前記遠隔管理機能付ネットワーク機器および前記接続位置特定装置についての物理アドレスとその対応ポートを、当該各遠隔管理機能付ネットワーク機器に保持させた後に、
   前記双方向通信の対象となった当該各遠隔管理機能付ネットワーク機器が保持している前記物理アドレスと前記ポートとの対応関係を前記記憶部に収集し、
   前記各遠隔管理機能付ネットワーク機器についての前記物理アドレスと前記ポートとの対応関係において、前記不正接続の機器の物理アドレスに対応するポートの有無を判定し、
   前記不正接続の機器の物理アドレスに対応するポートが有る場合、そのポートと同じポートに対応する前記接続位置特定装置の物理アドレスが有るか無いかを判定し、
   当該ポートに対応する前記接続位置特定装置の物理アドレスが無いとき、前記不正接続の機器の物理アドレスに対応するポートと同じポートに対応する物理アドレスを設定された遠隔管理機能付ネットワーク機器に優先フラグを設定し、
   前記優先フラグを設定された遠隔管理機能付ネットワーク機器を優先して、前記不正接続の機器が接続されている終端の遠隔管理機能付ネットワーク機器およびそのポートを特定し、
   その特定した終端の遠隔管理機能付ネットワーク機器を前記下位の遠隔管理機能付ネットワーク機器としてその終端の遠隔管理機能付ネットワーク機器のポートを外部に出力する
   ことを特徴とする不正機器の接続位置特定装置。
8. 請求項１ないし請求項５のいずれか一項に記載の不正機器の接続位置特定装置において、
   前記遠隔管理機能付ネットワーク機器の下位に、ネットワークに接続するポートを複数有し、ポート毎に受信したフレームのうち最後に受信したフレームの送信元物理アドレス１つだけを保持するアドレストラックを備えるリピータハブで、かつ遠隔機器からの要求によりアドレストラックの内容を要求元に応答する遠隔管理機能を備える遠隔管理機能付リピータハブを接続してネットワークを構成し、その遠隔管理機能付リピータハブに機器が不正に接続された場合、
   前記処理部は、
   少なくとも、前記検知した機器の物理アドレスとそのポートとの対応関係を保持する前記遠隔管理機能付ネットワーク機器および遠隔管理機能付リピータハブに対して双方向通信を行い、前記各遠隔管理機能付ネットワーク機器のポートの先に接続されている前記遠隔管理機能付ネットワーク機器、前記遠隔管理機能付リピータハブ、および前記接続位置特定装置についての物理アドレスとその対応ポートを、当該各遠隔管理機能付ネットワーク機器に保持させた後に、
   前記双方向通信の対象となった当該各遠隔管理機能付ネットワーク機器が保持している前記物理アドレスと前記ポートとの対応関係を前記記憶部に収集し、
   前記各遠隔管理機能付ネットワーク機器についての前記物理アドレスと前記ポートとの対応関係において、前記不正接続の機器の物理アドレスに対応するポートの有無を判定し、
   前記不正接続の機器の物理アドレスに対応するポートが有る場合、そのポートと同じポートに対応する前記接続位置特定装置の物理アドレスが有るか無いかを判定し、
   当該ポートに対応する前記接続位置特定装置の物理アドレスが無いとき、前記不正接続の機器の物理アドレスに対応するポートと同じポートに対応する物理アドレスを設定された遠隔管理機能付ネットワーク機器に優先フラグを設定し、
   前記優先フラグを設定された遠隔管理機能付ネットワーク機器を優先して、前記不正接続の機器が接続されている終端の遠隔管理機能付ネットワーク機器およびそのポートを特定し、
   当該特定した終端の遠隔管理機能付ネットワーク機器の前記物理アドレスと前記ポートとの対応関係において、前記不正接続の機器の物理アドレスを保持するポートに前記遠隔管理機能付リピータハブの物理アドレスが保持されていないときには前記特定された終端の遠隔管理機能付ネットワーク機器とそのポートを外部に出力し、
   または、前記特定した終端の遠隔管理機能付ネットワーク機器の前記物理アドレスと前記ポートとの対応関係において、前記不正接続の機器の物理アドレスを保持するポートに前記遠隔管理機能付リピータハブの物理アドレスが保持され、さらに前記不正接続の機器の物理アドレスをアドレストラックに保持していない遠隔管理機能付リピータハブを特定し、その遠隔管理機能付リピータハブを外部に出力し、
   あるいは、前記特定した終端の遠隔管理機能付ネットワーク機器の前記物理アドレスと前記ポートとの対応関係において、前記不正接続の機器の物理アドレスを保持するポートに前記遠隔管理機能付リピータハブの物理アドレスが保持され、さらに前記不正接続の機器の物理アドレスをアドレストラックに保持している遠隔管理機能付リピータハブを特定し、その遠隔管理機能付リピータハブとそのポートを外部に出力する
   ことを特徴とする不正機器の接続位置特定装置。
9. ネットワークに接続するポートを複数有し、ポート毎に受信したフレームの送信元物理アドレスを学習して複数保持するフォワーディングデータベース（以降「ＦＤＢ」と記す）を備え、かつ遠隔機器からの要求によりＦＤＢの内容を要求元に応答する遠隔管理機能を備える遠隔管理機能付ネットワーク機器を多段に接続して構成されたネットワークの前記遠隔管理機能付ネットワーク機器に不正に接続された機器の位置を特定する不正機器の接続位置特定装置における接続位置特定方法であって、
   前記不正機器の接続位置特定装置は、記憶部とこれを制御する処理部とを備え、
   前記処理部は、
   前記遠隔管理機能付ネットワーク機器に接続された前記機器の不正接続を検知した場合、少なくとも、前記検知した機器の物理アドレスとそのポートとの対応関係を保持する前記遠隔管理機能付ネットワーク機器に対して双方向通信を行い、前記各遠隔管理機能付ネットワーク機器のポートの先に接続されている前記遠隔管理機能付ネットワーク機器および前記接続位置特定装置についての物理アドレスとその対応ポートを、当該各遠隔管理機能付ネットワーク機器に保持させるステップと、
   前記双方向通信の対象となった当該各遠隔管理機能付ネットワーク機器が保持している前記物理アドレスと前記ポートとの対応関係を前記記憶部に収集するステップと、
   前記記憶部に収集した前記遠隔管理機能付ネットワーク機器についての前記物理アドレスと前記ポートとの対応関係において、前記不正接続の機器の物理アドレスに対応するポートの有無を判定し、
   前記不正接続の機器の物理アドレスに対応するポートが有る場合、そのポートと同じポートに対応する前記接続位置特定装置の物理アドレスが有るか無いかを判定し、
   当該ポートに対応する前記接続位置特定装置の物理アドレスが無いとき、前記不正接続の機器の物理アドレスに対応するポートと同じポートに対応する物理アドレスを設定された遠隔管理機能付ネットワーク機器に優先フラグを設定し、
   前記優先フラグを設定された遠隔管理機能付ネットワーク機器を優先して、前記不正接続の機器が接続されている終端の遠隔管理機能付ネットワーク機器およびそのポートを特定するステップと、
   前記特定した終端の遠隔管理機能付ネットワーク機器およびそのポートを外部に出力するステップと
   を実行することを特徴とする接続位置特定方法。
10. 前記記憶部には、予め、ネットワークへの接続を許す論理アドレス、または接続を許さない論理アドレスのテーブルを有し、
    前記処理部は、
    前記機器が前記ネットワークに接続された時に出力するアドレス解決要求から当該機器の論理アドレスを取得し、
    前記取得した論理アドレスが許すアドレスでない場合、あるいは許さないアドレスである場合、不正接続と判断する
    ことを特徴とする請求項９に記載の接続位置特定方法。
11. 前記処理部は、
    ある物理アドレスとポートの対応関係において、前記不正接続の機器の物理アドレスが保持されているポートがあり、そのポートに前記接続位置特定装置の物理アドレスが保持されておらず、さらにそのポートに他の前記遠隔管理機能付ネットワーク機器の物理アドレスが保持されていない場合、
    この物理アドレスとポートの対応関係を有する前記遠隔管理機能付ネットワーク機器が前記不正接続の機器に接続される前記遠隔管理機能付ネットワーク機器で、当該不正接続の機器の物理アドレスが保持されているポートが、前記不正接続の機器が接続するポートであると判断する
    ことを特徴とする請求項９または請求項１０に記載の接続位置特定方法。
    

Images