JP4491489B2 - ネットワーク監視装置，ネットワーク監視システム及びネットワーク監視方法 - Google Patents

ネットワーク監視装置，ネットワーク監視システム及びネットワーク監視方法 Download PDF

Info

Publication number
JP4491489B2
JP4491489B2 JP2008130278A JP2008130278A JP4491489B2 JP 4491489 B2 JP4491489 B2 JP 4491489B2 JP 2008130278 A JP2008130278 A JP 2008130278A JP 2008130278 A JP2008130278 A JP 2008130278A JP 4491489 B2 JP4491489 B2 JP 4491489B2
Authority
JP
Japan
Prior art keywords
network
address
terminal
information
frame
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Expired - Fee Related
Application number
JP2008130278A
Other languages
English (en)
Other versions
JP2008252924A (ja
Inventor
芳昭 足達
秀樹 外岡
弘司 鴨志田
良光 浪岡
貴之 亀田
久雄 菊池
浩二 武富
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Hitachi Ltd
Hitachi Information and Control Solutions Ltd
Original Assignee
Hitachi Ltd
Hitachi Information and Control Solutions Ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Hitachi Ltd, Hitachi Information and Control Solutions Ltd filed Critical Hitachi Ltd
Priority to JP2008130278A priority Critical patent/JP4491489B2/ja
Publication of JP2008252924A publication Critical patent/JP2008252924A/ja
Application granted granted Critical
Publication of JP4491489B2 publication Critical patent/JP4491489B2/ja
Anticipated expiration legal-status Critical
Expired - Fee Related legal-status Critical Current

Links

Images

Landscapes

  • Small-Scale Networks (AREA)

Description

本発明は、ネットワーク監視装置，ネットワーク監視方法，ネットワーク監視用プログラム及びネットワーク監視用プログラムが格納された記録媒体に関する。
許可されていない不正な端末がネットワークに接続されることを防止するために、不正端末の存在を検出し、さらにその不正端末がネットワーク上の他の装置と通信できなくなるようなネットワークシステムを実現することが求められている。ＩＰ（Internet Protocol）プロトコルを使用したネットワークにおいて、不正な端末の存在を監視するために、ＩＥＴＦ(Internet Engineering Task Force) から発行されているＲＦＣ(RequestFor Comments) ２１３１に示されるＤＨＣＰ(Dynamic Host Configuration Protocol) を応用した方式がある。この種の方式として、特開平８−１８６５６９号公報(特許文献１)に記載の技術では、アドレス管理装置がＤＨＣＰを使って割り当てたアドレス情報とネットワーク上を伝送されるパケットから抽出したアドレス情報を使って、アドレス管理装置がネットワーク内の不正な端末の存在を監視する。一方、特開２００２−１５８７０１号公報（特許文献２）に記載の技術は、ケーブルモデム装置において、ＤＨＣＰで割り当てたＩＰアドレスを管理しておき、割り当てたＩＰアドレス以外を使用したパケットがネットワークから入り込んできた場合に不正利用と判断し、そのパケットをケーブルモデム装置で廃棄する。
また、ＯＳＩ（Open Systems Intetconnection）参照モデルにおける物理層のアドレス情報（ＩＰアドレスなど）やデータリンク層のアドレス情報を使用せずに、監視装置とネットワークに接続された端末それぞれに予め専用ソフトウェアをインストールしておき、監視装置側の専用ソフトウェアと端末側の専用ソフトウェアが連携して、端末内の情報を取り出すことにより、監視装置が該当端末の状態を把握するシステムなどが知られている。
特開平８−１８６５６９号公報 特開２００２−１５８７０１号公報
上記の従来の技術では、ＤＨＣＰで割り当てたアドレス情報をもとに、ネットワーク上の不正な装置の存在を検出するものであるが、一般のネットワーク環境においてはＤＨＣＰでアドレスを割り当てる環境だけでなく、装置に固定的に割り付けたアドレスを使用するネットワーク環境も存在するのが一般的である。
また、中継装置をネットワークの中に入れて、この中継装置で特定のフレームを常に廃棄することで、他の装置と通信をできなくする方式もあるが、このような中継装置を使うことによる、中継装置自体の障害時の考慮や、ネットワーク性能が中継性能に依存すること、あるいは、この不正な装置から送信されるフレームによるネットワークトラフィックなどについても考慮が必要となる。
また、ネットワークに接続される装置の数が多くなると、ネットワークの管理や維持に関わる作業やそれに伴う費用、あるいはネットワーク管理者の負担が大きくなるが、これらを軽減することについては考慮されていない。
本発明の目的は、システム構成に大きく影響を受けずに、ネットワークを監視することが可能なものを提供することにある。ＤＨＣＰでアドレスを割り当てる環境に限定せずに、装置に固定的に割り付けたアドレスを使用するネットワーク環境においても、許可されていない装置の存在を検出することである。その場合、許可されていない装置がネットワークへ接続されたタイミングでその存在を検出することである。さらに、許可されていない装置の存在を検出するのみでなく、許可されていない装置自体がネットワークを使って他の装置と通信をできないようにさせること（以下、これを切り離しと呼ぶ）である。また、許可されていない装置と判断される装置を含めてネットワーク上に接続する装置に本発明に関わる専用ソフトウェアを予め入れておく必要が無いことによりネットワークセキュリティを強化することを目的とする。
また、本発明は、許可されていない端末の存在を判断する際に使用するアドレス管理情報をネットワークのフレーム内の情報あるいはフレームの送信元アドレス情報から生成することにより、ネットワークの管理や維持に関わる作業やそれに伴う費用、あるいはネットワーク管理者の負担を軽減すること目的とする。
また、本発明は、許可されていない装置として、一旦切り離した装置を管理者等の判断で、外部から指示することにより、ネットワーク上の他の装置の使用者に影響を与えることなく、一旦切り離した装置を使用できるようにすることである。また、同様に、接続されている装置を管理者等の判断で、外部からの指示することにより、ネットワーク上の他の装置の使用者に影響を与えることなく、接続されている装置を使用できなくなるように切り離すことである。これにより、ネットワークの管理や維持に関わる作業やそれに伴う費用、あるいはネットワーク管理者の負担を軽減すること目的とする。
上記目的の少なくとも１を達成するため、本発明では、送信元ネットワークアドレス領域，送信元物理アドレス領域，送信先ネットワークアドレス領域及び送信先物理アドレス領域を含んだ情報をフレームとして授受するローカルネットワークについて監視を行うものにおいて、前記ローカルネットワークに接続する端末は、前記ローカルネットワークに自端末と同じネットワークアドレスをもった他端末が存在すると判断すると、自律的に前記ローカルネットワークから離脱するものとなして、前記ローカルネットワークに流れるフレームを前記端末から受信する受信手段と、前記フレームを送信した端末が許可端末に相当するかを判断する判断手段と、前記許可端末に相当しないと判断された場合に、フレームの送信元ネットワークアドレス領域に、前記許可端末に相当しないと判断された端末の送信元ネットワークアドレスの情報を格納し、フレームの送信元物理アドレス領域に、予め定められた所定の物理アドレスを格納し、さらに、前記許可端末に相当しないと判断された端末の送信元ネットワークアドレスが前記ローカルネットワークで保護すべき端末によって用いられている場合は、前記予め定められた所定の物理アドレスを、前記保護すべき端末の物理アドレスの情報として、前記送信元ネットワークアドレスの情報及び前記送信元物理アドレスが格納されたフレームを前記受信したフレームに対する応答フレームとして生成して、該生成したフレームを送信する送信手段を有するように構成した。より具体的或いは代替的には、ネットワークに流れる情報を受信する受信手段と、ネットワーク接続のために送信された情報に基づいて予め定められた許可端末に相当する情報か判断する判断手段と、許可端末に相当しないと判断された場合に前記情報を送信した端末を特定するアドレスがネットワークで用いられていることを示す情報をネットワークに流す送信手段を有することを特徴とするネットワーク監視装置、ネットワークに接続された端末の切り離し指示あるいは接続指示を外部端末から受け付ける手段と、受け付けた指示が切り離し指示の場合には、該当端末を切り離すために、ネットワークにネットワークアドレスの重複状態を発生させるための情報を生成する手段を有することを特徴とするネットワーク監視装置、ネットワークに流れる情報を受信する受信手段と、ネットワークアドレスに対となる該ネットワークアドレスより物理層側のアドレスを得るために送信された情報に基づいて、予め定められた許可端末に相当する情報か判断する判断手段と、許可端末に相当しないと判断された場合に、該ネットワークアドレス相当とは異なる物理層側アドレスを示す情報をネットワークに流す送信手段を有することを特徴とするネットワーク監視装置、ネットワークに流れる情報を受信する受信手段と、複数の端末に順に情報が受信されるように、アドレスを含んだ情報を返信するよう要求する情報を送信し、返信された情報に基づいて、予め定められた許可端末に相当する情報か判断する判断手段と、許可端末に相当しないと判断された場合に、該ネットワークアドレス相当とは異なる該ネットワークアドレスより物理層側のアドレスを示す情報をネットワークに流す送信手段を有することを特徴とするネットワーク監視装置あるいはネットワークに流れる情報を受信する受信手段と、ネットワーク接続のために送信された情報に基づいて予め定められた許可端末に相当する情報か判断する判断手段と、許可端末に相当しないと判断された場合に前記情報を送信した端末を特定するアドレスについて重複状態を発生させるための情報をネットワークに流す送信手段を有することを特徴とするネットワーク監視装置と構成し、また、接続を許可しない装置がネットワークに接続されたタイミングで、許可されていない装置の存在を検出し、さらに、ネットワークからこの許可されていない装置を切り離すことである。このとき、接続を行う装置側には本システム専用の処理を予め組み込んでおく必要が無いことを特徴とする。


すなわち、具体的には、ネットワークに接続された複数の装置やネットワークの状態を監視する監視システムにおいて、監視システム宛フレームとネットワーク上のすべての装置宛のブロードキャストフレームを受信する手段またはネットワークを流れる全てのフレームを受信する手段と、装置に対するネットワークへの接続可否情報を登録する手段と、この登録された接続可否情報と前記フレームデータ内容を比較して接続可否を判断する手段と、接続を許可しないと判断した場合には該当装置を切り離すために、ネットワーク内にＩＰアドレスの重複状態を発生させるフレームを生成する手段と、監視システムからこのフレームをネットワークに送出し、ネットワーク内にＩＰアドレスの重複状態を発生させることにより該当装置をネットワークから切り離す手段を設けること、一方、切り離される該当装置には切り離しを行うための本システム専用処理を予め組み込んでおくことが不要であること、としたことを特徴とする。
これにより、例えば、接続が許可されていない、個人の持ち込みＰＣ（Personal Computer）がウイルスに汚染されていた場合においても、本監視システムはＰＣがネットワークに接続したことを検出し、物理層のレベルで該当ＰＣを切り離す。これにより、汚染されたフレームはネットワークに送出されなくなり、ネットワーク上の他の装置に対するウイルス汚染の拡散防止に有効となる。一方、予め組み込まれた専用ソフトウェアと連携して、通信をさせないようにする方式では、この専用ソフトウェアが組み込まれていない許可されていないＰＣを接続された場合には効果が期待できない。しかし、本発明では許可されていないＰＣと判断される装置を含めてネットワーク上に接続する装置には本発明に関わる専用ソフトウェアを予め組み込んでおく必要が無いことから、予め組み込まれた専用ソフトウェアと連携して、通信をさせないようにする方式に比べて、ネットワークセキュリティを強化できる。
さらに、上記目的を達成するための本発明の特徴はネットワーク監視システムがネットワークを監視することによって、ネットワークに接続された装置がもつアドレス情報を収集し、順次アドレス情報を順次作り上げていき、これをネットワークへの接続可否情報として使用することができるようにすることを特徴としている。
具体的には、ネットワークに接続された複数の装置やネットワークの状態を監視する監視システムにおいて、監視システム宛フレームとネットワーク上のすべての装置宛のブロードキャストフレームを受信する手段またはネットワークを流れる全てのフレームを受信する手段と、装置に対するネットワークへの接続可否情報を登録する手段と、この登録された接続可否情報と前記フレームデータ内容を比較して接続可否を判断する手段と、接続を許可しないと判断した場合には該当装置を切り離すために、ネットワーク内にＩＰアドレスの重複状態を発生させるフレームを生成する手段と、監視システムからこのフレームをネットワークに送出し、ネットワーク内にＩＰアドレスの重複状態を発生させることにより該当装置をネットワークから切り離す手段を設けること、一方、切り離される該当装置には切り離しを行うための本システム専用処理を予め組み込んでおくことが不要であること、さらに、監視システムはネットワーク上の全ての装置または指定された１つ以上の装置に対してＡＲＰフレームの発行を誘発するフレームを発行する手段と各装置から発行されたＡＲＰフレームからＩＰアドレスとＭＡＣアドレス情報を抽出する手段、のうち少なくとも一つの手段を設け、さらに、この抽出したＩＰアドレスとＭＡＣアドレスを組み合わせて、ネットワークに接続された装置のアドレス情報を一意的に生成する手段と、生成された一意的なアドレス情報の要素分類をキーにして外部から昇順もしくは降順に並べ替える手段と、生成された一意的なアドレス情報の個々の要素に対して外部から有効あるいは無効の設定を可能とする手段を設け、これらの手段により装置アドレス情報を生成し、装置に対するネットワークへの接続可否情報としてこの装置アドレス情報を使用することを特徴とする。
これにより、ネットワークに接続される多くの装置のアドレス情報の作成において、例えば、別の手段により、接続許可申請書に記載されたアドレス情報をもとにネットワーク管理者が装置に対するネットワークへの接続可否情報を作成する場合に対して、ネットワーク管理者や装置所有者の申請処理等に関わる負担軽減に有効となる。
また、上記目的を達成するための本発明の特徴は、許可されていない装置として、一旦切り離した装置を管理者等の判断で、監視システムから指示することにより、ネットワーク上の他の装置の使用者に影響を与えることなく、該当装置を使用できるようにすること、また、逆に、接続されている装置を使用できなくなるように切り離すことである。
すなわち、具体的には、監視システム宛フレームとネットワーク上のすべての装置宛のブロードキャストフレームを受信する手段またはネットワークを流れる全てのフレームを受信する手段と、装置に対するネットワークへの接続可否情報を登録する手段と、この登録された接続可否情報と前記フレームデータ内容を比較して接続可否を判断する手段と、接続を許可しないと判断した場合には、該当装置を切り離すために、ネットワーク内にＩＰアドレスの重複状態を発生させるフレームを生成する手段と、監視システムからこのフレームをネットワークに送出し、ネットワーク内にＩＰアドレスの重複状態を発生させることにより該当装置をネットワークから切り離す手段と、一旦切り離された装置を許可された装置に外部から変更するための手段と、一旦切り離された装置が他の装置と通信できるようにするための接続フレームを生成する手段と、監視システムからこの接続フレームをネットワーク上に接続されている全ての装置に対して送出することによって、一旦切り離された装置が他の装置と通信できるようにする手段と、接続されている装置を切り離すために外部から変更するための手段を備えたことであり、一方、切り離される該当装置には切り離しや接続を行うための本システム専用処理を予め組み込んでおくことが不要であることを特徴とする。
これにより、例えば、接続が許可されていないために切り離したＰＣに対して、所定の手続きが行われた後に、ネットワーク管理者が該当装置を許可する場合において、他の装置の使用者にも負担をかけること無く、該当ＰＣをネットワークに組み入れて使用できる環境を提供できることになり、ネットワーク管理者の負担軽減にも有効となる。
上記した本発明の特徴および上記した以外の発明の特徴は、以下の記載によりさらに明確とされる。
本発明では、ネットワーク監視システムはネットワーク内を流れるフレームデータのうち、ネットワークに接続した装置が発行するＡＲＰフレームを監視し、このＡＲＰフレームからＡＲＰフレームを送出した装置のＩＰアドレスとＭＡＣアドレスを抽出する手段を使用する。また、装置に対するネットワークへの接続可否情報として、外部から、ネットワークへの接続を許可する装置のＩＰアドレスあるいはＭＡＣアドレスのうち少なくとも１つのアドレス情報が監視システムに登録されている。この登録手段により登録されたアドレス情報とＡＲＰフレームから抽出したアドレス情報を比較して、一致しない場合には、許可しない装置であるとみなし、該当装置を切り離す手段を実行する。該当装置を切り離すために、ＩＰアドレスの重複状態を発生させるフレームを生成する手段を使用して、前記ＡＲＰフレームから抽出した該当装置のＩＰアドレスとネットワーク監視システムのＭＡＣアドレスを組み合わせてフレームを生成する。その後、監視システムからこのフレームをネットワークに送出し、ネットワーク内にＩＰアドレスの重複状態を発生させる。本フレームを受け取った該当装置はＩＰアドレスの重複状態が発生したことを検知して、自律的にネットワークから離脱する。これにより、許可されていない該当装置がネットワークから切り離されることになる。
さらに、本発明では、ネットワーク監視システムはネットワーク内を流れるフレームデータのうち、ネットワークに接続された装置が自発的に発行するＡＲＰフレームを監視し、このＡＲＰフレームからＡＲＰフレームを送出した装置のＩＰアドレスとＭＡＣアドレスを抽出する手段を使用する。これにより、ネットワークに接続された装置のアドレス情報が順次作り上げられていく。一方、ネットワーク上の全ての装置または指定された１つ以上の装置に対してＡＲＰフレームの発行を誘発するフレームを発行することにより、各装置から発行されたＡＲＰフレームに対しても同様の処理を行い、ネットワークに接続された装置のアドレス情報を順次作り上げていく。また、この順次作り上げられたアドレス情報をもとに一意的に生成する手段を使って、一意的なアドレス情報を生成する。さらに、この生成された一意的なアドレス情報の要素分類をキーにした外部から昇順もしくは降順に並べ替える手段と、生成された一意的なアドレス情報の個々の要素に対して外部から有効あるいは無効の設定を可能とする手段を提供する。この提供された手段を使用して生成された、装置アドレス情報のＩＰアドレスあるいはＭＡＣアドレスのうち少なくとも１つのアドレス情報を装置に対するネットワークへの接続可否情報として使用する。
さらに、本発明では、許可されない装置として切り離された装置を許可された装置にするために、外部からの変更指示にもとづき、この切り離された装置が他の装置と通信できるようにするための接続フレームを生成する手段を使用する。このとき、この許可されていない装置が発行したＡＲＰフレームから抽出したＩＰアドレスとＭＡＣアドレスを、装置に対するネットワークへの接続可否情報として新たに登録すると同時に、これらのアドレスを組み合わせたフレームを生成する。その後、監視システムからこのフレームをネットワークに接続されている全ての装置宛てに送出し、各装置が通信を行うために持っているＩＰアドレスとＭＡＣアドレスの対応表を更新させる。これにより、一旦切り離された装置はネットワーク上の他の装置と通信ができる環境が整うことになる。また、接続されている装置を切り離するために、外部からの変更指示にもとづき、接続されている装置が他の装置と通信できないようにするためのＩＰアドレス重複状態発生フレームを生成する手段を使用する。その後、監視システムからこのフレームをネットワークに接続されている全ての装置宛てに送出する。これにより、これまで接続されていた装置をネットワーク上の他の装置と通信ができなくさせることができる。
また、ネットワークに流れる情報を受信する受信手段と、ネットワーク接続のために送信された情報に基づいて予め定められた許可端末に相当する情報か判断する判断手段と、許可端末に相当しないと判断された場合に前記情報を送信した端末を特定するアドレスがネットワークで用いられていることを示す情報をネットワークに流す送信手段を有することを特徴とするネットワーク監視装置を構成する（構成１）。
構成１において、端末に対応してネットワークへの接続可或は否に関する情報を登録する手段と、この登録された接続可或は否に関する情報と受信情報を比較することで、許可の可否を判断することを特徴とするネットワーク監視装置を構成する（構成２）。
構成２において、前記受信手段宛の情報とネットワークの複数端末宛のブロードキャスト情報あるいはマルチキャスト情報を受信、またはネットワークを流れる実質的に全ての情報を受信することを特徴とするネットワーク監視装置を構成する（構成３）。
構成３において、該許可されないと判断された端末に切り離し専用手段が設置されるか否かにかからわらず、該端末がネットワークから切り離されるよう構成されることを特徴とするネットワーク監視装置を構成する（構成４）。
構成１において、接続を許可しない端末がネットワークに存在することを検出したことを、または、接続を許可しない端末をネットワークから切り離したことを、外部端末に通知する手段と、ネットワークに接続された端末の切り離し指示あるいは接続指示のうち少なくとも一つを外部端末から受け付ける手段と、受け付けた指示が切り離し指示の場合には、ネットワークアドレスの重複状態を発生させるための情報を生成する手段を有することを特徴とするネットワーク監視装置を構成する（構成５）。
構成５において、受け付けた指示が接続指示の場合には、ネットワーク内にネットワークアドレスの重複状態を解消させるための情報を生成する手段を有することを特徴とするネットワーク監視装置を構成する（構成６）。
また、ネットワークに接続された端末の切り離し指示あるいは接続指示を外部端末から受け付ける手段と、受け付けた指示が切り離し指示の場合には、該当端末を切り離すために、ネットワークにネットワークアドレスの重複状態を発生させるための情報を生成する手段を有することを特徴とするネットワーク監視装置を構成する（構成７）。
構成７において、受け付けた指示が接続指示の場合には、ネットワーク内にネットワークアドレスの重複状態を解消させるための情報を生成する手段を有することを特徴とするネットワーク監視装置を構成する（構成８）。
構成１乃至８において、ネットワークの端末から発行されるアドレス要求情報を監視し、このアドレス要求情報からネットワークアドレスと物理層側アドレス情報を抽出する手段と、ネットワーク上の全ての端末または指定された１つ以上の端末に対してアドレス要求情報の発行を誘発する情報を発行する手段と、各端末から発行されたアドレス要求情報からネットワークアドレスと物理層側アドレス情報を抽出する手段、のうち少なくとも一つの手段を設け、さらに、この抽出したネットワークアドレスと物理層側アドレスを組み合わせて、ネットワークに接続された端末のアドレス情報を一意的に生成する手段と、生成された一意的なアドレス情報の要素分類に応じて外部から昇順もしくは降順に並べ替える手段と、生成された一意的なアドレス情報の個々の要素に対して外部から有効あるいは無効の設定を可能とする手段を設け、これらの手段により端末アドレス情報を生成し、端末に対するネットワークへの接続可否情報としてこの端末アドレス情報を使用することを特徴とするネットワーク監視装置を構成する（構成９）。
構成１乃至８において、切り離し手段として、許可されない端末がネットワークアドレスの重複状態を検出するために発行するアドレス要求情報に対して、特定の物理層側アドレスを設定したアドレス要求応答情報を生成する手段を有することを特徴とするネットワーク監視装置を構成する（構成１０）。
構成１乃至８において、切り離し手段として、許可されない端末がアドレス解決のために発行するアドレス要求情報に対して、特定の物理層側アドレスを設定したアドレス要求応答情報を生成する手段を有することを特徴とするネットワーク監視装置を構成する（構成１１）。
構成１乃至８において、該当端末をネットワークに接続する手段として、アドレス要求情報から得られた該当特定端末の物理層側アドレスと該当端末のネットワークアドレスとを使用して、アドレス要求応答情報を生成する手段を設け、このアドレス要求応答情報をネットワーク内の各端末に向けることを特徴とするネットワーク監視装置を構成する（構成１２）。
構成１０または１１において、特定の物理層側アドレスを設定したアドレス要求応答情報を生成する手段として、許可されない端末のネットワークアドレスがネットワーク内の他の端末で現在使用されているか否かを判断する手段を設け、このネットワークアドレスがすでに他の端末で使用されている場合にはアドレス要求応答情報内の送信元物理層側アドレスを端末同一ネットワークアドレスを使用している他の端末の物理層側アドレスとし、このネットワークアドレスが他の端末で使用されていない場合にはアドレス要求応答情報内の送信元物理層側アドレスを監視装置の物理層側アドレスもしくはネットワーク上に存在しえない物理層側アドレスを設定したアドレス要求応答情報を生成する手段を設け、このアドレス要求応答情報をネットワークに送出させることにより、許可されない端末にネットワークアドレス重複状態が発生したことを認識させ、許可されない端末がネットワーク上の許可されない端末以外の端末と通信ができない状態にするのと同時に、同一ネットワークアドレスをすでに使用していた端末とネットワーク上の許可されない端末以外の端末との通信が継続できることを特徴とするネットワーク監視装置を構成する（構成１３）。
構成１乃至８において、該当ネットワークのネットワークアドレス体系のホスト番号部がとりうる最小値から最大値までの全てのホスト番号のうち、接続可否のチェックを行う端末のホスト番号の範囲とチェックを行うタイミング情報を設定する手段と、この範囲のホスト番号を使ったチェック用ネットワークアドレスを生成する手段と、このチェック用ネットワークアドレスを使って、相手端末からの応答を期待できる要求情報を生成する手段と、この要求情報を前記設定されたタイミング情報にもとづいたタイミングで監視装置から送出し、その応答の情報の存在またはその情報内容と、端末に対するネットワークへの接続可否情報とを比較して接続可否を判断することを特徴とするネットワーク監視装置を構成する（構成１４）。
構成１４において、相手端末からの応答を期待できる要求情報を生成する手段として、ＩＣＭＰ要求情報あるいはアドレス要求情報を生成することを特徴とするネットワーク監視装置を構成する（構成１５）。
構成１乃至８において、端末に対するネットワークへの接続可否情報として、端末のネットワークアドレスおよび物理層側アドレスのうち少なくとも１つを、あるいは、接続許可時間帯および接続不許可時間帯のうち少なくとも１つを、あるいは前回接続した時刻からある閾値以上の経過時間がたった場合にはその接続を拒否するために使用される時刻情報を、あるいは、前回接続した時刻からある閾値以上の経過時間がたった場合には現在接続されている端末を切り離すために使用される時刻情報を、あるいは、これまでに接続を許可されなかった回数、あるいは、許容されるネットワークトラフィックの閾値、あるいは端末のネットワークへの接続許可台数、あるいは端末の所有者情報、あるいはこれらの少なくとも１つ以上を組み合わせたものを、使用することを特徴とするネットワーク監視装置を構成する（構成１６）。
また、ネットワークに流れる情報を受信する受信手段と、ネットワークアドレスに対となる該ネットワークアドレスより物理層側のアドレスを得るために送信された情報に基づいて、予め定められた許可端末に相当する情報か判断する判断手段と、許可端末に相当しないと判断された場合に、該ネットワークアドレス相当とは異なる物理層側アドレスを示す情報をネットワークに流す送信手段を有することを特徴とするネットワーク監視装置を構成する（構成１７）。
また、ネットワークに流れる情報を受信する受信手段と、複数の端末に順に情報が受信されるように、アドレスを含んだ情報を返信するよう要求する情報を送信し、返信された情報に基づいて、予め定められた許可端末に相当する情報か判断する判断手段と、許可端末に相当しないと判断された場合に、該ネットワークアドレス相当とは異なる該ネットワークアドレスより物理層側のアドレスを示す情報をネットワークに流す送信手段を有することを特徴とするネットワーク監視装置を構成する（構成１８）。
また、ネットワークに流れる情報を受信する受信手段と、ネットワーク接続のために送信された情報に基づいて予め定められた許可端末に相当する情報か判断する判断手段と、許可端末に相当しないと判断された場合に前記情報を送信した端末を特定するアドレスについて重複状態を発生させるための情報をネットワークに流す送信手段を有することを特徴とするネットワーク監視装置を構成する（構成１９）。
また、ネットワークに流れる情報を受信し、ネットワーク接続のために送信された情報に基づいて予め定められた許可端末に相当する情報か判断し、許可端末に相当しないと判断された場合に前記情報を送信した端末を特定するアドレスがネットワークで用いられていること示す情報をネットワークに流すネットワーク監視方法を構成する（構成２０）。
また、ネットワークに流れる情報を受信し、ネットワーク接続のために送信された情報に基づいて予め定められた許可端末に相当する情報か判断し、許可端末に相当しないと判断された場合に前記情報を送信した端末を特定するアドレスがネットワークで用いられていること示す情報をネットワークに流すことを電子計算機になさしめるプログラムを構成する（構成２１）。
また、ネットワークに流れる情報を受信し、ネットワーク接続のために送信された情報に基づいて予め定められた許可端末に相当する情報か判断し、許可端末に相当しないと判断された場合に前記情報を送信した端末を特定するアドレスがネットワークで用いられていること示す情報をネットワークに流すことを電子計算機になさしめるプログラムを格納した記録媒体を構成する（構成２２）。
本発明では、システム構成に大きく影響を受けずに、ネットワークを監視することが可能となる。
以下、本発明の一実施例を図を用いて詳細に説明する。なお、以下、通信プロトコルはＩＰプロトコル（ＴＣＰ／ＩＰなど）、ネットワークはオフィス等で多く用いられているＬＡＮを使用するシステムを用いて説明する。
＜システムの全体構成＞
はじめに、本発明が対象とするネットワーク監視システムの全体構成を図２に示す。複数の装置２０１〜２０３が標準的なＬＡＮ２１０に接続されている。ＰＣなどの各装置には業界標準的なＯＳ（Operating System）が搭載されており、このＯＳのなかには業界標準の通信プロトコル（ＩＰプロトコルなど）が実装されており、このプロトコルに対応したネットワーク層のアドレス（ＩＰアドレス）や物理層のアドレス（ＭＡＣアドレス）が割り当てられている。各装置に搭載された業務プログラムはそれぞれの装置の業務プログラムと通信を行いながら、全体の業務を進める。一方、ネットワーク監視システム２００はこのＬＡＮに許可されていない装置が接続された場合、これを検出し、さらに、この装置をＬＡＮから切り離すために監視をしている。なお、「物理層側」とは対象層（例えばネットワーク層）、に対して物理層の側であることを示す。
装置が他の装置と通信を行うためには図３にあるようなＩＰフレーム３００を使ってＬＡＮ上にデータを送出するが、相手先にデータを到達させるためには宛先ＭＡＣアドレス３０１とＩＰヘッダ３０２に含まれる宛先ＩＰアドレス３０３の２つのアドレスが必要である。
一般に、ネットワークに接続された装置が立ち上がった段階では、該当装置においては宛先の装置のＩＰアドレスはわかっているものの、宛先装置のＭＡＣアドレスを所持していない。このため、この宛先装置のＭＡＣアドレスを取得するために、ＲＦＣ８２６で規定されたＡＲＰ（Address Resolution Protocol）プロトコルを用いる。図４にこのＡＲＰプロトコルフレーム４００のフォーマットを示す。
ＡＲＰフレームのフレームデータ４０１において、アドレス情報関連部は送信元ＭＡＣアドレス４０２，送信元ＩＰアドレス４０３，探索ＭＡＣアドレス４０４および探索ＩＰアドレス４０５で構成される。また、ＯＰ(オペレーションフィールド)において、ＡＲＰの種別（ＡＲＰ要求あるいはＡＲＰ応答）が区別される。
一方、このＡＲＰプロトコルを用いて宛先装置のＭＡＣアドレスを得るための典型的な通信例を図５に示す。ここでは装置ｄ５０４において、装置ｂ５０２宛にデータを送るイベント５０５が発生した場合、装置ｄ５０４は宛先装置ｂ５０２のＭＡＣアドレスを取得する必要がある。そのため、装置ｄ５０４は宛先ＩＰアドレスが装置ｂ５０２のＩＰアドレスＩＰｂを含むＡＲＰ要求フレーム５０６をネットワーク上の全ての装置宛にブローキャスト方式で送信する。それを受信した各装置はＡＲＰフレーム内のＩＰアドレスＩＰｂが自分自身に対する要求であると認識した場合には、自装置のＭＡＣアドレスを設定したＡＲＰ応答フレームを装置ｄ５０４に送り返す。本例では、装置ｂ５０２はＡＲＰフレーム内のＩＰアドレスＩＰｂをみて、これが自分自身に対する要求であると認識し、自装置のＭＡＣアドレスを設定したＡＲＰ応答フレーム５０７を装置ｄ５０４に送り返す。これにより、装置ｄ５０４は宛先である装置ｂ５０２のＭＡＣアドレス（ＭＡＣｂ）を取得することができたので、このＩＰアドレス（ＩＰｂ）とＭＡＣアドレス（ＭＡＣｂ）を使ってデータ通信５０８を行う。
＜構成＞
以下、第１の実施例について説明する。
本発明のネットワーク監視システムの構成を図１に示す。ネットワーク監視システム２００はネットワーク１２０からフレームを受信するフレーム受信処理部１０２，ネットワークに接続される装置に対する接続可否情報を管理する接続可否情報管理処理部１０４，接続された装置が許可されている装置であるか否かを判断する接続可否判断処理部１０６，該当装置をネットワークから切り離すためのＩＰアドレス重複状態発生フレーム生成処理部１０５，生成されたフレームをネットワークへ送信するフレーム送信処理部１０１，フレームの送信タイミングを制御するタイミング情報管理処理部１０８，接続を許可されない装置を検出したことや該当装置を切り離したことを外部に通知するための外部通知処理部１０７，外部からの装置の切り離し指示や装置の接続指示等を受け付ける外部指示受付処理部１０９，いったん切り離された装置を接続するためのフレームを生成する接続用フレーム生成処理部１１０，装置に対する接続可否チェック用ＩＰアドレスを生成するための接続可否チェック用ＩＰアドレス生成処理部１１２，そのＩＰアドレス生成のために予め登録されたアドレス管理情報１１３，生成された接続可否チェック用ＩＰアドレスのフレームを生成するためのチェック用フレーム生成処理部１１１，ネットワークから受信したフレーム内容からネットワークに接続されている装置のアドレス情報を生成するための装置アドレス情報生成処理部１０３，外部から指示を行う外部装置１１４からなる。ここで、ＩＰアドレス重複状態とは、ネットワークに接続された複数の装置が同一のＩＰアドレスを誤って使用している状態を指している。
＜許可されていない装置の切り離し処理＞
図１を用いて、許可されていない装置の切り離し処理を説明する。
ネットワーク監視システムはブロードキャスト方式を使ってネットワーク１２０上のすべての装置宛に送られるＡＲＰ要求フレームをフレーム受信処理部１０２で受信する。そして、ＡＲＰ要求フレームを発行した装置を特定するために、このフレームから該当装置のアドレス情報であるＩＰアドレスとＭＡＣアドレスを抽出する。一方、このネットワークに接続することを許可されている装置のアドレス情報は接続可否情報管理処理部１０４に予め格納されているので、接続可否判断処理部１０６において前記ＡＲＰフレームから抽出したアドレス情報が、接続可否情報として登録されているか否かのチェックが行われる。もし、登録されていない場合には許可されていない装置が接続されたと判断し、該当装置をネットワークから切り離す処理を実行する。本処理を実行するために、ＩＰアドレス重複状態発生フレーム生成処理部１０５において、該当装置と同じＩＰアドレスをもった装置を論理的にネットワーク内に生成するためのフレームをつくり、フレーム送信処理部１０１を経由して、このフレームをネットワーク１２０内の全装置宛に送信し、ネットワーク内をＩＰアドレス重複状態とする。このとき、ネットワークへの送信タイミングはタイミング情報管理処理部１０８に従い送信される。このフレームを受信した該当装置（前記ＡＲＰ要求フレームを発行した装置）はネットワーク内に自装置と同じＩＰアドレスをもった他装置が存在する（ＩＰアドレス重複状態）と判断し、自律的にネットワークから離脱する。
これにより、許可されていない装置をネットワークから切り離すことができる。
＜許可された装置の外部からの切り離し処理＞
一方、前記切り離し処理は接続可否判断処理部１０６から実行されたが、この切り離し処理は外部装置１１４からの指示を受けて実行されることもある。これについては実施例３で説明する。
以上、切り離し処理について述べたが、フレーム受信処理においては監視システム宛フレームもしくはネットワーク上のすべての装置宛のブロードキャストフレームのみを受信しているが、ネットワーク上を流れるすべてのフレームを受信して、その後、本発明で必要なフレームを抽出してもよい。
＜構成処理部＞
以下、許可されていない装置の切り離し処理に関する構成処理部について詳細に説明する。
接続可否情報管理処理部１０４で管理される情報を図６に示す。接続可否情報６００はネットワークへの接続を許可する装置のＭＡＣアドレス６０１と接続を許可する装置のＩＰアドレス６０２の組み合わせで構成されており、ネットワークに装置が接続された場合、接続可否判断処理部１０６において、接続されたこの装置のＩＰアドレスとＭＡＣアドレスと、接続可否情報の内容とが比較されることにより、該当装置の接続可否判断がなされる。この接続可否情報はあらかじめ外部から登録されたものを使用してもよいし、監視システムが動作中に外部から更新されたものでもよい。また、装置アドレス情報生成処理部１０３から生成された情報も接続可否情報として使用できる。
図６ではＭＡＣアドレスとＩＰアドレスの１対１の組み合わせであるが、図７に示すように接続可否情報７００としてＭＡＣアドレス（ＭＡＣ１）とＩＰアドレス（ＩＰ１）の組み合わせ７０１，ＩＰアドレス（ＩＰ２）のみの場合７０２，ＭＡＣアドレス（ＭＡＣ３）のみの場合７０３、あるいはＩＰアドレスの範囲指定（ＩＰ４〜ＩＰ５）の場合７０４などとすることができる。これらはネットワークのセキュリティポリシーやネットワーク環境あるいは、運用方針などに従って使い分けられることになる。
また、図８に示すように、接続可否情報８００として、装置毎にネットワークへの接続許可時間帯８０１，接続不許可時間帯８０２および所有者情報８０３を使用することもできる。例えば、ネットワークへの接続が許可されている装置１の場合８０４では、時刻ａから時刻ｂの間だけは接続を許可するが、これ以外の時間帯は許可をしない。逆に、装置３の場合８０５では時刻ｅから時刻ｆの間はネットワークへの接続を許可しない場合などである。なお、図８では装置毎に時間帯を設定しているが、これらは装置毎でなくても、例えばネットワーク全体で決めてもよい。所有者情報８０３は装置の使用者を特定し、例えば、その使用者権限によりネットワークへの接続を許可したり、許可しなかったりする場合の判断材料に使用するものである。これらの、所有者権限については、例えば、ディレクトリシステムと連携することで、さらにきめ細かな接続可否判断が可能となる。
また、図９に示すように、接続可否情報９００は装置毎に、前回の接続時刻９０１と、前回接続した時刻からある閾値以上の経過時間がたった場合には新たな接続を拒否するために使用される接続拒否用経過時間９０２と、前回接続した時刻からある閾値以上の経過時間がたった場合には現在接続されている装置を切り離すために使用される接続中断用経過時間９０３と、接続を許可されなかった回数９０４などをもつこともできる。これはたとえ、許可されているＰＣなどの装置であっても、一定期間以上、ネットワークに接続されていない装置は、例えば、ウイルスチェックパターンが最新のものに更新されていないため、最近のウイルスに汚染されている場合も想定される。そのような場合において、前回接続してからの経過時間が接続拒否用経過時間９０２を超えている場合には、ネットワークへの接続を許可しないことにより、ネットワークへの悪影響を及ぼす可能性を下げるうえで有効である。同様に、たとえ、許可されている装置であっても、例えば、サービス運用に合わせて、連続して接続をした状態を維持する時間に制限をつけたい場合がある。そのような場合において、今回接続した時刻からの経過時間が接続中断用経過時間９０３を超えた場合には該当装置を切り離すことにより、きめこまかなネットワーク運用が可能となる。例えば、装置１の場合９０５においては、接続拒否用経過時間（時間１）以上たった後は装置１をネットワークに接続しようとしてもできないし、一方、装置１をネットワークに接続した後、接続中断用経過時間（時間ａ）がたつとネットワークから切り離されることになる。
なお、接続可否情報９００においては接続拒否用経過時間９０２および接続中断用経過時間９０３を装置毎にもっているがそれぞれをシステム全体でもってもかまわない。
また、図では示していないが、ネットワークへ接続される装置の全台数を一定以下に抑えることで、ネットワークトラフィックを一定以下に抑えることを目的に、接続可否情報として、装置のネットワークへの接続許可台数やネットワークトラフィック状態も利用することができる。
タイミング情報管理処理部１０８はネットワークに送出するフレームの送出タイミングを制御するものである。図１０に示すように、タイミング情報１０００はフレーム種別毎に送信タイミング１００１，１００２，１００３，１００４とフレームの送出繰り返し回数１００５のうち少なくとも１つ以上を組み合わせた形で使用されている。
例えば、ＩＰアドレス重複状態発生用フレーム１０１０の場合には、フレーム送出要求があると、即時にネットワークへ送出される。アドレス収集用フレーム１０４０の場合には、Ｔ５秒のインターバル１とＴ６秒インターバル２従って、ネットワークへ送出される。
どの送信タイミングでネットワークへ送出されるかはセキュリティ管理やネットワークシステムの運用方針等で決まるものである。これにより、ネットワークの負荷状態や装置の使用状況に応じたきめこまかな制御が可能となる。なお、このタイミング情報はあらかじめ外部から登録されたものを使用してもよいし、監視システムが動作中に外部から更新されたものであってもよい。
ＩＰアドレス重複状態発生フレーム生成処理部１０５はネットワーク上にＩＰアドレスが重複した状態、すなわち、同一ＩＰアドレスを複数の装置が使用している状態を作るために、該当フレームを作成するものである。
例えば、ＰＣをネットワークに接続して、該当ＰＣを立ち上げると、該当ＰＣのＩＰアドレスが他の装置に使用されていないことを該当ＰＣのＯＳ（Operating System）がチェック処理（ＩＰアドレスの重複チェック処理）を行う。
このとき、図１１に示すようなＡＲＰ要求フレーム１１００が該当ＰＣからネットワークに対してブロードキャストされる。このとき、送信元アドレス１１０１のＩＰアドレスは該当ＰＣのＩＰアドレス（ＩＰ１）１１１２を、ＭＡＣアドレスは該当ＰＣのＭＡＣアドレス（ＭＡＣ１）１１１１である。一方、探索アドレス１１０２のＩＰアドレスは該当ＰＣのＩＰアドレス（ＩＰ１）１１１４を、ＭＡＣアドレス１１１３は０が設定される。監視システムでは受信したこのＡＲＰ要求フレーム１１００を利用して、図１２に示すようにＩＰアドレス重複状態発生フレーム−ａ１２００もしくは、ＩＰアドレス重複状態発生フレーム−ｂ１２５０を生成する。具体的に以下に詳細に説明する。ここでのポイントは許可されていないＰＣ（装置）がネットワークに接続したときのネットワーク内の他の装置への影響、つまり、他の装置間の通信への影響を見極めることである。許可されていないＰＣがどのようなＩＰアドレスを使ってネットワークに接続してくるかによってその影響が決まる。例えば、許可されていないＰＣがネットワーク内の他の装置が使用しているＩＰアドレスを使用していた場合には、ネットワーク内の他の装置が通信時に使用している各装置内のＡＲＰ管理テーブル内の情報が破壊され、通信ができなくなる。そのため、該当ＰＣをネットワークから切り離すだけでなく、同時に、各装置がもつ破壊されたＡＲＰ管理テーブルを修復し、他の装置間の通信が継続できるようにすることがポイントである。すなわち、許可されていないＰＣがネットワーク内の他の装置が使用しているＩＰアドレスを使用していなかった場合にはＩＰアドレス重複状態発生フレーム−ａ１２００を生成する。具体的には、このとき、送信元アドレス１２０１のＩＰアドレスは該当ＰＣのＩＰアドレス（ＩＰ１）１２１２を、ＭＡＣアドレスは監視システムのＭＡＣアドレス（ＭＡＣｘ）１２１１とする。一方、探索アドレス１２０２のＩＰアドレスは該当ＰＣのＩＰアドレス（ＩＰ１）１２１４を、ＭＡＣアドレスは該当ＰＣのＭＡＣアドレス（ＭＡＣ１）１２１３を設定する。なお、ここでは送信元アドレス１２０１のＭＡＣアドレスとして監視システムのＭＡＣアドレス（ＭＡＣｘ）１２１１を使用したが、このＭＡＣアドレスはネットワーク内の他の装置が使用しないＭＡＣアドレスのビットパターンであってもよい。
一方、許可されていないＰＣがネットワーク内の他の装置が使用しているＩＰアドレスを使用していた場合にはＩＰアドレス重複状態発生フレーム−ｂを生成する。具体的には、このとき、送信元アドレス１２５１のＩＰアドレスは該当ＰＣのＩＰアドレス（ＩＰ１）１２６２を、ＭＡＣアドレスは同一ＩＰアドレスを使っていた他の装置のＭＡＣアドレス（ＭＡＣｙ）１２６１とする。一方、探索アドレス１２５２のＩＰアドレスは該当ＰＣのＩＰアドレス（ＩＰ１）１２６４を、ＭＡＣアドレスは該当ＰＣのＭＡＣアドレス（ＭＡＣ１）１２６３を設定する。
このように設定したフレームをネットワーク内の全装置宛に送出することにより、ネットワーク内にＩＰアドレス重複状態を発生させる。ネットワークから本フレームを受信した該当ＰＣは自分が使用したＩＰアドレスは重複状態であることを認識（自装置以外の装置が同一のＩＰアドレスを使用していることを認識）し、ネットワークから自律的に離脱する。また、同時に、破壊された各装置がもつＡＲＰ管理テーブルを修復し、他の装置間の通信が継続できるようにする。
なお、本処理部は接続可否判断処理部１０６で接続を許可しないと判断された場合、あるいは、外部装置１１４から特定の装置を切り離す要求指示を外部指示受付処理部１０９で受け付けた場合にも実行される。
図１３に許可されていない装置の切り離し処理の一例をフローチャートに示す。この例では処理１３００で受信したフレームを特定するためにフレームヘッダ内のプロトコル種別をチェックし、プロトコルがＡＲＰ以外の場合には処理を終了する。なお、このプロトコル種別は図３のＩＰフレーム３００内のタイプ３０４で識別することができる。ＡＲＰの場合には処理１３１０において監視システム自身が発行したＡＲＰについては処理対象外として処理を終了する。処理１３２０において、受信したＡＲＰの種別がＡＲＰ要求フレームであるか、ＡＲＰ応答フレームであるかを判断し、ＡＲＰ要求フレームのみを以降の処理対象とする。処理１３３０において該当ＡＲＰフレーム１１００から送信元のＩＰアドレスと送信元のＭＡＣアドレスを抽出し、処理１３４０において該当アドレスが接続可否情報テーブル９００に登録されているか、さらに、処理１３５０において接続可否情報テーブル９００の許可条件を満足しているか否かをチェックして、登録されていない場合、あるいは満足していない場合には該当装置を切り離し対象として選択する。
処理１３６０において、許可されていない装置のＩＰアドレスがネットワーク内の他の装置で現在使用しているかどうかをチェックし、他の装置で使用されていない場合には処理１３７０において、ネットワーク内にＩＰアドレス重複状態を発生させるためにＩＰアドレス重複状態発生フレーム−ａを生成する。このとき、送信元ＭＡＣアドレスを監視システムのＭＡＣアドレスとする。許可されていない装置のＩＰアドレスがネットワーク内の他の装置で現在使用されている場合には処理１３８０において、ネットワーク内にＩＰアドレス重複状態を発生させるためにＩＰアドレス重複状態発生フレーム−ｂ１２５０を生成する。このとき送信元ＭＡＣアドレスを、同一ＩＰアドレスを現在使用している他の装置のＭＡＣアドレスとする。処理１３９０においてタイミング管理情報テーブル１０００からフレーム送信タイミング情報を抽出し、このタイミング情報を使用して処理１４００において上記で生成したＩＰアドレス重複状態発生フレーム（ＩＰアドレス重複状態発生フレーム−ａもしくはＩＰアドレス重複状態発生フレーム−ｂ１２５０を）をネットワークへ送信する。ここで、処理１３４０において接続可否情報テーブル９００の代わりに接続可否情報テーブル６００，７００，８００を用いてもよい。
接続可否チェック用ＩＰアドレス生成処理部１１２について説明する。
これまでの説明ではブロードキャスト方式を使ってネットワーク１２０上のすべての装置宛に送られてくるＡＲＰ要求フレームに対する処理の流れを説明したが、この処理を補完するために下記処理を行う。これは例えば、監視システムを何らかの理由で一度停止し、再度立ち上げた場合を想定すると、監視システムが停止中に許可されていない装置がネットワークに接続された場合にはこの許可されていない装置の存在を検出することが遅れることがある。図１を使って以下説明する。監視システムが許可されていない装置の存在を能動的に検出するために、ネットワーク上の全ての装置または指定された１つ以上の装置に対してＡＲＰフレームの発行を誘発するためのフレームを発行する。そのために、発行対象となる装置の決定はアドレス管理情報１１３にあらかじめ登録されているものを使用する。ここには、例えば、対象となる装置のＩＰアドレスの範囲指定やチェック用フレーム送出のタイミング情報が登録されている。また、ＩＰアドレスの範囲指定がされていない場合には該当ネットワークのアドレス体系およびネットマスク情報をもとにネットワーク上のすべてのホストのＩＰアドレスを生成して発行することになる。例えば、図１８に示すような該当ネットワークのＩＰアドレスやネットマスク情報をもとにネットワーク上のすべてのホストのＩＰアドレスを生成して発行することになる。図１８においては、ＩＰアドレス１８００は１７２．２０．１００．５２、サブネットマスク１８０１は２５５．２５５．２５５．１９２であるため、ネットワークアドレス部は２６ビット、ホスト部は６ビットである。次に、アドレス管理情報１１３をもとに接続可否チェック用ＩＰアドレス生成処理部１１２で順次、ＩＰドレスを生成し、そのＩＰアドレスを使って、チェック用フレーム生成処理部１１１でチェック用フレームを生成する。このとき、図２２に示すように、ＲＦＣ７９２で規定されたＩＣＭＰプロトコル２２００を使用する。ここで、タイプ２２０１が８であるＩＣＭＰエコー要求フレームを生成した後、フレーム送信処理部１０１を使ってこのフレームをネットワークへ送信する。これをアドレス管理情報１１３の内容に従い繰り返す。このとき、ネットワークのトラフィック負荷を上昇させないようにアドレス管理情報１１３に登録された送信間隔でフレームをネットワークへ送信する。ネットワークに接続された装置はこのＩＣＭＰエコー要求フレームに対する応答をＩＣＭＰエコー応答フレームで本監視システム宛に返してくるので、この情報をフレーム受信処理部１０２で受信する。その後、この応答フレームの送信元装置のＩＰアドレスとＭＡＣアドレスを組み合わせたアドレス情報を使って、接続可否判断が行われる。その後の接続可否判断処理以降の処理は前記処理と同じである。
なお、ここではチェック用にＩＣＭＰエコー要求フレームを使った例を示したが、ＩＣＭＰエコー要求フレームでなくても、接続可否チェックをされる装置から応答が返えされるフレームであればよい。たとえば、図２２に示すＩＣＭＰタイムスタンプ要求やＩＣＭＰアドレスマスク要求、あるいは、ＡＲＰ要求フレームなどであってもよい。
次に、図２３に接続可否チェック処理のための一例をフローチャートに示す。
図２３の処理は一度起動されると動き続ける例を示している。処理２３０１〜２３０３は初期化処理である。まず、処理２３０１ではアドレス管理情報１１３から接続可否チェック用に使用する装置のＩＰアドレスの範囲情報（例えば、ＩＰｘからＩＰｙの範囲のアドレス情報を収集する場合にはその範囲）および、フレーム送信タイミングを読み込む。フレーム送信タイミングについてはタイミング管理情報１０００に設定される。また、監視システムが接続されているネットワークのアドレス体系情報を把握するためのＩＰアドレスとサブネットマスク情報を読み込む。次に、処理２３０３において、フレームを出すタイミングを規定したタイミング管理情報テーブル１０００から、チェック用１０３０の送信タイミングｂ（インターバル１）Ｔ３および送信タイミングｃ（インターバル２）Ｔ４を取り込む。処理２３０４において、処理２３０５〜２３０９の処理で使用するインデックスを初期化する。すなわち、ホスト番号を１つずつ更新するためのホスト番号管理用インデックス、および、範囲指定されたＩＰアドレスを１つずつ更新するためのアドレス範囲管理用インデックスを初期化する。処理２３０５においては、処理２３０１で読み込んだ情報にしたがい、接続可否チェック用ＩＰアドレスが範囲指定されていた場合には処理２３０８で該当ＩＰアドレスを選択し、処理２３０９において次回の選択用にインデックスを更新する。接続可否チェック用ＩＰアドレスが範囲指定されていない場合には処理
２３０６でサブネットマスクに従いホスト番号部を抽出し、ホスト番号を生成する。処理２３０７において次回のホスト番号を生成するためにインデックスを更新する。処理２３１０ではＩＰアドレスを生成し、処理２３１１ではこのＩＰアドレスを使用したＩＣＭＰエコー要求フレームを生成し、処理２３１２ではこのフレームを送信する。処理２３１３では指定された全てのホスト（装置）に対してアドレス収集用のＩＣＭＰエコー要求フレームを発行したかを判断し、全てが完了した場合には処理２１１４でインターバル２の間休止し、以後処理を続行する。一方、全てが完了していない場合にはインターバル１の間休止し、次のホスト（装置）に対する処理を続行する。
本実施例によればネットワークに接続を許可される装置情報を予め登録しておくことにより、ネットワークへの接続を許可されていない装置がネットワークに接続されたタイミングで、監視システムはその存在を検出し、さらに、許可されていない装置自体が他の装置と通信をできなくするように、許可されていない装置をネットワークから切り離すことができる。また、許可されていない装置を切り離す際には、許可されていない装置が使用したＩＰアドレスのネットワーク内での使用状況により、許可されていない装置の切り離し方法を変え、これにより、ネットワーク内の他の装置間の通信を継続できるようにしていることである。また、許可されていない装置がネットワークに接続された後に、監視システムを起動させた場合においても、該当装置の存在を検知し、さらに、該当装置をネットワークから切り離すことができる。また、許可されていない装置と判断される装置を含めてネットワーク上に接続される装置には本発明に関わる専用ソフトウェアを予め入れておく必要が無いことからネットワークセキュリティを強化することができる。
以下、実施例２について説明する。
＜構成＞
本発明のネットワーク監視システムの構成のうち、特徴部を図１５に示す。なお、その他の部分は概略、図１と同じである。図１５において、ネットワーク監視システム２００はネットワーク１２０からフレームを受信するフレーム受信処理部１０２，受信したフレームのうち、ネットワーク上の各装置から自発的あるいは誘発的に発行されたＡＲＰフレームからＩＰアドレスとＭＡＣアドレス情報を抽出するＡＲＰフレームのアドレス情報抽出処理部１５０１，この抽出したＩＰアドレスとＭＡＣアドレスを組み合わせて、ネットワークに接続された装置のアドレス情報を一意的に生成するアドレス情報生成処理部１５０２，生成された一意的なアドレス情報の要素分類をキーにして外部から昇順もしくは降順に並べ替えを行い、さらに、このアドレス情報の個々の要素に対して、外部から有効あるいは無効の設定を行うための外部装置１１４、その設定結果に従って生成される、ネットワークに接続された装置の装置アドレス情報生成処理部１０３，ネットワーク上の全ての装置または指定された１つ以上の装置に対して、ＡＲＰフレームの発行を誘発するフレームを発行するためのアドレス情報収集用ＩＰアドレス生成処理部１５０５，そのＩＰアドレス生成のために予め登録されたアドレス管理情報１１３，アドレス情報収集用フレーム生成処理部１５０４，生成されたフレームをネットワークへ送信するフレーム送信処理部１０１からなる。なお、接続可否情報管理処理部１０４および本図に記載されていない他の処理部は図１と同様である。
＜装置アドレス情報生成処理＞
図１５を用いて、装置アドレス情報生成処理を説明する。
ネットワーク監視システム２００はブロードキャスト方式を使ってネットワーク１２０上のすべての装置宛に送られてくるＡＲＰ要求フレームを受信処理部１０２で受信する。そして、ＡＲＰ要求フレームを発行した装置を特定するために、ＡＲＰフレームのアドレス情報抽出処理部１５０１において、受信したＡＲＰフレームから該当装置のアドレス情報であるＩＰアドレスとＭＡＣアドレスを抽出する。アドレス情報生成処理部１５０２においては抽出したアドレス情報がすでに登録されていないかをチェックし、登録されていない場合のみ、今回受信したアドレス情報を登録する。この結果、本処理部１５０２を処理することで、ネットワークに接続された装置のアドレス情報が一意的に作成される。ここで、以上の処理が一定時間実施された場合にはアドレス生成情報として、図１６に示すアドレス情報１６００ができる。いずれも、アドレス情報としてＩＰアドレスとＭＡＣアドレスの組み合わせを基本に、さらに、時刻情報をもつこともある。ここで、この情報をそのまま接続可否情報管理処理部１０４で用いるのではなく、ネットワークシステムの運用等に照らし合わせて、装置アドレス情報生成処理部１０３で処理を行う。例えば、ＤＨＣＰサーバ環境の場合、時間の経過とともに同一ＩＰアドレスが複数の装置に割り当てられるので、ＩＰアドレスとＭＡＣアドレスを１対１に対応付けることはできない。そのような場合には図１７に示す装置アドレス情報１７００における装置３のようにＭＡＣアドレス（ＭＡＣ３）のみを登録１７０３する。また、装置によってはＬＡＮアダプタの故障等によるＬＡＮアダプタの交換でＭＡＣアドレスが変更になる場合を考慮して、装置２のようにＩＰアドレス（ＩＰ２）みを登録１７０２することもある。
このようなネットワークシステムの運用等に照らし合わせた設定が必要となることから
、外部装置１１４に対しては、生成された一意的なアドレス情報の要素分類をキーにして
、外部から昇順もしくは降順に並べ替えを行うことができるインタフェースおよび、一意的なアドレス情報の個々の要素に対する有効あるいは無効の設定を行うためのインタフェースが提供されている。
したがって、外部装置１１４からこのインタフェースを使用して図１７に示すような装置アドレス情報１７００を生成する。例えば、図１６を例に説明する。要素分類としてＩＰアドレス１６０１をキーに、昇順に並べ替え、要素としてＭＡＣ２を無効とする。図１７における、装置２の情報１７０２はこのケースを示している。ＭＡＣ２を無効としたため、ＭＡＣ部は空白となっている。ここで生成された情報は接続可否情報として接続可否情報管理処理部１０４で使用できることになる。接続可否情報管理処理部１０４以降の処理の流れは図１と同じである。
図１９にアドレス情報を受動的に収集して、アドレス情報を生成する一例をフローチャートに示す。本処理は装置アドレス情報生成処理を行うための前処理である、アドレス情報生成の一例である。この例では処理１９０１において停止要求があるまでネットワークからアドレス情報を収集している。処理１９０２では受信したフレームのプロトコル種別を調べて、それがＡＲＰフレームの場合のみを以降の処理対象としている。処理１９０３は監視システムが発行したＡＲＰフレームは処理対象外とするものである。処理１９０４において、受信したＡＲＰフレームからＩＰアドレスとＭＡＣアドレスを抽出し、処理１９０５においてこのアドレス情報がすでに登録されているか否かをチェックし、未登録のアドレス情報のみを図１６のアドレス情報テーブル１６００に登録することにより一意的なアドレス情報を生成する。
次に、図２０において外部からの指示に従って、図１７の装置アドレス情報１７００を生成するための一例をフローチャートに示す。ここでは前記の処理で生成されたアドレス情報１６００をもとに装置アドレス情報１７００を生成する。処理２０１０では、アドレス情報１６００を編集するために、外部から、アドレス部であるＭＡＣアドレスやＩＰアドレスをキーにした並べ替えを行う指示があるか否かを判断する。並べ替えを行う指示がある場合には、処理２０１１において、ＩＰアドレスやＭＡＣアドレスをキーにした昇順あるいは降順の並べ替えを行う。処理２０１２においては、各アドレス部に対する有効、あるいは無効の指示を取り込み、その指示に従ってアドレス情報１６００をもとに装置アドレス情報１７００を生成するための判断を行う。処理２０１３はＭＡＣアドレスのみを有効とした装置アドレス情報１７００を作成する。処理２０１４はＩＰアドレスのみを有効とした装置アドレス情報１７００を作成する。また、処理２０１５はＭＡＣアドレスとＩＰアドレスの双方を有効とした装置アドレス情報１７００を作成する。処理２０１６において、全ての装置に対する編集が終われば処理を終了する。
一方、前記はブロードキャスト方式を使ってネットワーク１２０上のすべての装置宛に送られてくるＡＲＰ要求フレームに対する処理の流れを説明したが、この処理を補完するために下記処理を行う。これは例えば、監視システムを何らかの理由で一度停止し、再度立ち上げた場合には、その時点ですでにネットワークに接続された全ての装置のアドレス情報を生成することが困難となる場合を想定したものである。
図１５を使って以下説明する。監視システムがアドレス情報を能動的に生成するために、ネットワーク上の全ての装置または指定された１つ以上の装置に対してＡＲＰフレームの発行を誘発するためのフレームを発行する。そのために、発行対象となる装置の決定はアドレス管理情報１１３にあらかじめ登録されているものを使用する。ここには、例えば、対象となるＩＰアドレスの範囲指定や個別指定されたＩＰアドレスリストがある。また、アドレス指定されていない場合には、例えば、図１８に示すような該当ネットワークのＩＰアドレスやネットマスク情報をもとにネットワーク上のすべてのホストのＩＰアドレスを生成して発行することになる。図１８においては、ＩＰアドレス１８００は１７２．２０．１００．５２、サブネットマスク１８０１は２５５．２５５．２５５．１９２であるため、ネットワークアドレス部は２６ビット、ホスト部は６ビットである。アドレス管理情報１１３をもとにアドレス情報収集用ＩＰアドレス生成処理部で順次、ＩＰアドレスを生成し、そのＩＰアドレスを使って、アドレス情報収集用フレーム生成処理部１５０４で生成されたＡＲＰ要求フレームをフレーム送信処理部１０１からネットワークへ送信する。これをアドレス管理情報１１３の内容に従い繰り返す。ネットワークに接続された装置はこのＡＲＰ要求フレームに対する応答をＡＲＰ応答フレームとして本監視システム宛に返してくるので、この情報をフレーム受信処理部１０２で受信する。その後の処理は前記処理と同じである。図２１にアドレス情報を能動的に収集して、アドレス情報を生成する一例をフローチャートに示す。図２１の処理は一度起動されると動き続ける例を示している。処理２１０１〜２１０３は初期化処理である。まず、処理２１０１ではアドレス管理情報１１３からアドレス収集用に使用する装置のＩＰアドレスの範囲情報（例えば、ＩＰｘからＩＰｙの範囲のアドレス情報を収集する場合にはその範囲）および、フレーム送信タイミングを読み込む。フレーム送信タイミングについてはタイミング管理情報１０００に設定される。また、監視システムが接続されているネットワークのアドレス体系情報を把握するためのＩＰアドレスとサブネットマスク情報を読み込む。次に、処理２１０３において、フレームを出すタイミングを規定したタイミング情報管理テーブル１０００から、アドレス収集用１０４０の送信タイミングｂ（インターバル１）Ｔ５および送信タイミングｃ（インターバル２）Ｔ６を取り込む。処理２１０４において、処理２１０５〜２１０９の処理で使用するインデックスを初期化する。すなわち、ホスト番号を１つずつ更新するためのホスト番号管理用インデックス、および、範囲指定されたＩＰアドレスを１つずつ更新するためのアドレス範囲管理用インデックスを初期化する。処理２１０５においては、処理２１０１で読み込んだ情報にしたがい、アドレス情報収集用ＩＰアドレスが範囲指定されていた場合には処理２１０８で該当ＩＰアドレスを選択し、処理２１０９において次回の選択用にインデックスを更新する。アドレス情報収集用ＩＰアドレスが範囲指定されていない場合には処理２１０６でサブネットマスクに従いホスト番号部を抽出し、ホスト番号を生成する。処理２１０７において次回のホスト番号を生成するためにインデックスを更新する。処理２１１０ではＩＰアドレスを生成し、処理２１１１ではこのＩＰアドレスを使用したＡＲＰ要求フレームを生成し、処理２１１２ではこのフレームを送信する。処理２１１３では指定された全てのホスト（装置）に対してアドレス収集用のＡＲＰ要求フレームを発行したかを判断し、全てが完了した場合には処理２１１４でインターバル２の間休止し、以後処理を続行する。一方、全てが完了していない場合にはインターバル１の間休止し、次のホスト（装置）に対する処理を続行する。
本実施例によれば、ネットワークに接続されている装置が自発的にネットワークに送出するアドレス情報を含んだフレームを監視することにより、ネットワークに接続されている装置のアドレス情報を生成する（受動的）ことに加えて、さらに、接続された装置にアドレス情報の送出を誘発させるフレームをネットワーク内の装置に送出することによりアドレス情報を生成する（能動的）。この２つの方式により生成されたアドレス情報をもとにして、ネットワークシステムの運用方針等に従ったきめ細かな管理情報を生成することができ、これを、許可されていない端末の存在を判断する際に使用するアドレス管理情報とすることができる。これにより、これら多数の装置の管理情報を、例えば、手作業で作成しなくてもよく、ネットワークの管理や維持に関わる作業やそれに伴う費用、あるいはネットワーク管理者の負担を軽減することができる。
以下、実施例３について説明する。
＜構成＞
本発明のネットワーク監視システムの構成を図１に示す。
ネットワークに接続された装置の接続状態を管理し、一旦切り離された装置を許可された装置に外部から変更するための手段および、許可された装置を切り離すために外部から変更するための手段を提供する接続情報管理処理部１１５，この処理部で管理される接続状態情報に対して、装置の接続状態情報やアドレス情報の要素分類をキーにして外部から昇順もしくは降順に並べ替えを行い、さらに、この接続状態に対して、外部から「接続」あるいは「切り離し」の設定を行うための外部装置１１４，この設定指示を受け付ける外部指示受付処理部１０９，一旦切り離された装置を他の装置と通信できるようにするための接続フレームを生成する接続用フレーム生成処理部１１０，許可された装置を切り離すためのフレームを生成するためのＩＰアドレス重複状態発生フレーム生成処理部１０５，生成されたフレームをネットワークへ送信するフレーム送信処理部１０１からなる。
図１および図２４を用いて、一旦切り離された装置に対する接続処理および、許可されていた装置の切り離し処理を説明する。
接続情報管理処理部１１５ではネットワークに接続された装置の接続状態を管理している。外部から、一旦切り離された装置を許可された装置に変更する場合、あるいはその逆に、許可されていた装置を切り離す装置に変更する場合には、外部装置１１４から接続あるいは切り離し指示が行われる。
この接続指示あるいは切り離し指示は外部指示受付処理部１０９で受け付けられ、接続可否情報７００と接続可否判断処理部１０６の結果に従った接続状態情報２４００がまず作成される。次に、この指示内容にしたがい接続情報管理処理部１１５で管理される接続状態情報２４００が変更される。外部装置１１４に対しては、接続状態およびアドレス情報の要素分類をキーにして、外部から昇順もしくは降順に並べ替えを行うことができるインタフェースおよび、この接続情報に対応した装置に対して、接続あるいは切り離しの設定を行うためのインタフェースが提供されており、このインタフェースを使用して外部から該当装置の接続あるいは切り離し指示を行う。例えば、要素分類として接続状態情報２４０１をキーに、昇順に並べ替え、切り離された複数の装置、または接続状態の装置を抽出する。この複数の装置から接続を行う装置あるいは切り離しを行う装置を選択して、該当装置を接続状態あるいは切り離し状態とする指示を行う。
＜一旦切り離された装置に対する外部からの接続処理＞
図２４に接続情報管理処理部１１５で管理される接続状態情報２４００を示す。接続状態情報２４００は装置ごとに現在の接続状態２４０１，ＭＡＣアドレス２４０２，ＩＰアドレス２４０３をもっている。たとえば、装置１ ２４０４は「接続」状態を、装置２ ２４０５は「停止」中の状態を、装置３ ２４０６は「切り離し」状態を示している。
一旦切り離された装置に対する外部からの接続処理一例を図２５のフローチャートに示す。処理２５０１では外部装置１１４からの指示を取り込むものである。処理２５０２において、切り離し指示を外部指示受付処理部１０９で受け付けた後、接続可否情報７００と接続可否判断処理部１０６の結果に従った接続状態情報２４００を作成する。処理２５０３においては、要素分類として接続状態情報２４０１をキーに昇順あるいは降順に並べ替え要求があれば、処理２５０４でその処理を行い、切り離された複数の装置を抽出し、この複数の装置から接続を行う装置選択する。
この後、処理２５０５において、選択された装置の接続状態情報２４００が「切り離し」状態から「接続」状態に設定変更されると、処理２５０６において該当装置のアドレス情報を生成する。処理２５０７において接続用フレームを全装置宛に送る接続用フレーム１４００（ＡＲＰ応答フレーム）を生成する。処理２５０８において、全装置宛にフレームをネットワークへ送信する。
ここで、図１において接続用フレーム生成処理部１１０の処理について詳細に説明する。本処理部は一旦、切り離された特定の装置を再度、ネットワークに接続するために、該当接続フレームを作成するものである。
このときのポイントは接続フレームを該当装置のみに送信するだけでは不十分である。つまり、ネットワークに接続されているすべての装置が個々に管理しているＩＰアドレスとＭＡＣアドレスの対応表のうち、今回接続を許可する装置のＩＰアドレスとＭＡＣアドレスの対応関係を正しく直さなければならない。
そのために、図１４に示す接続用フレーム１４００を作成する。具体的には、送信元アドレス１４０１のＩＰアドレスは接続しようとする該当装置のＩＰアドレス（ＩＰ１）１４１２とし、ＭＡＣアドレスは該当装置のＭＡＣアドレス（ＭＡＣ１）１４１１とする。一方、探索アドレス１４０２のＩＰアドレスは監視システムのＩＰアドレス（ＩＰｘ）１４１４を、ＭＡＣアドレスは監視システムのＭＡＣアドレス（ＭＡＣｘ）１４１３を設定する。これを該当装置宛ではなく、ネットワークに接続されているすべての装置に対して送出し、各装置が持っているＡＲＰ管理テーブル内のＩＰアドレスとＭＡＣアドレスの対応関係も正しくなるように更新する。これにより、切り離されていた装置は他の装置と通信を行うことができるようになる。
以上は、接続情報管理処理部１１５で管理される接続状態情報２４００を外部から変更することで、切り離された装置の接続処理について述べたが、この接続処理は外部装置１１４からの直接の指示を受けて実行されることもある。そのときは、接続状態情報を使用せずに、外部装置１１４から接続対象装置のＩＰアドレスを直接指定する。
外部指示受付処理部ではこのＩＰアドレスに対応したこの装置のＭＡＣアドレスを接続可否情報７００から取り出し、このＩＰアドレスとＭＡＣアドレスを組み合わせた接続用フレームの生成を接続用フレームの生成処理部１１０に依頼する。以後の処理は前記接続処理と同じである。これにより、外部から指定された装置をネットワークに接続することができる。
＜接続されている装置に対する外部からの切り離し処理＞
一方、外部装置から、許可されている装置を切り離すための指示が行われた場合には、同様に外部指示受付処理部１０９を介して、接続状態情報が変更され、切り離し処理が実行される。このとき、実施例１で説明した切り離し処理が行われる。
以上は、接続情報管理処理部１１５で管理される接続状態情報を外部から変更することで、接続されている装置を切り離す処理であるが、この切り離し処理は外部装置１１４からの直接の指示を受けて実行されることもある。そのときは、接続状態情報を使用せずに、外部装置１１４から切り離し対象装置のＩＰアドレスを直接指定する。
外部指示受付処理部ではこのＩＰアドレスに対応したこの装置のＭＡＣアドレスを接続可否情報７００から取り出し、このＩＰアドレスとＭＡＣアドレスを組み合わせたＩＰアドレス重複状態発生フレームの生成をＩＰアドレス重複状態発生フレーム生成処理部１０５に依頼する。以後の処理は実施例１と同じである。これにより、外部から、指定された装置を切り離すことができる。
例えば、ネットワーク内のウイルス攻撃などを監視しているセキュリティ装置が、攻撃を検知した後、攻撃をしているネットワーク内の装置の切り離しや、あるいは、攻撃を受けているサーバを守るために、このサーバを切り離す場合などにも使用される。
なお、本実施例では外部装置１１４とネットワーク監視システム２００が直接接続されている図１の構成を使って説明したが、外部装置と監視システムがネットワークを介して接続されている場合であってもよい。
本実施例によれば、許可されていない装置として一旦切り離した装置を、管理者等の判断で、ネットワーク上の他の装置の使用者に影響を与えることなく、外部から指示することにより、再度、使用できるようにすることができる。また、接続されている装置の切り離しについても、管理者等の判断で、ネットワーク上の他の装置の使用者に影響を与えることなく、外部から指示することにより、接続されている装置を切り離すことができるようになる。これにより、ネットワークの管理や維持に関わる作業やそれに伴う費用、あるいはネットワーク管理者の負担を軽減することができる。
以上のように、ＤＨＣＰでアドレスを割り当てる環境に限定せずに、装置に固定的に割り付けたアドレスを使用するネットワーク環境においても、ネットワークへの接続を許可されていない装置がネットワークに接続されたタイミングで、監視システムはその存在を検出し、さらに、許可されていない装置自体が他の装置と通信をできなくするように、許可されていない装置をネットワークから切り離すことができる。また、許可されていない装置を切り離す際には、許可されていない装置が使用したＩＰアドレスのネットワーク内での使用状況により、許可されていない装置の切り離し方法を変え、これにより、ネットワーク内の他の装置間の通信を継続できるようにしていることである。また、許可されていない装置がネットワークに接続された後に、監視システムを起動させた場合においても、該当装置の存在を検知し、さらに、該当装置をネットワークから切り離すことができる。また、許可されていない装置と判断される装置を含めてネットワーク上に接続される装置には本発明に関わる専用ソフトウェアを予め入れておく必要が無いことからネットワークセキュリティを強化することができる。
また、ネットワークに接続されている装置が自発的にネットワークに送出するアドレス情報を含んだフレームを監視することにより、ネットワークに接続されている装置のアドレス情報を生成する（受動的）ことに加えて、さらに、接続された装置にアドレス情報の送出を誘発させるフレームをネットワーク内の装置に送出することによりアドレス情報を生成する（能動的）。この２つの方式により生成されたアドレス情報をもとにして、ネットワークシステムの運用方針等に従ったきめ細かな管理情報を生成することができ、これを、許可されていない端末の存在を判断する際に使用するアドレス管理情報とすることができる。これにより、これら多数の装置の管理情報を、例えば、手作業で作成しなくてもよく、ネットワークの管理や維持に関わる作業やそれに伴う費用、あるいはネットワーク管理者の負担を軽減することができる。
また、許可されていない装置として、一旦切り離した装置を管理者等の判断で、外部から指示することにより、ネットワーク上の他の装置の使用者に影響を与えることなく、一旦切り離した装置を使用できるようにすることができる。また、接続されている装置の切り離しについても、管理者等の判断で、外部から指示することにより、ネットワーク上の他の装置の使用者に影響を与えることなく、接続されている装置を切り離すことができる。これにより、ネットワークの管理や維持に関わる作業やそれに伴う費用、あるいはネットワーク管理者の負担を軽減することができる。
ネットワーク監視システムの構成図。 ネットワーク監視システムの全体構成図。 ＩＰフレームのフォーマット。 ＡＲＰプロトコルのフォーマット。 ＡＲＰプロトコルによるアドレス解決の通信例。 実施例１の接続可否情報を示す図（１）。 実施例１の接続可否情報を示す図（２）。 実施例１の接続可否情報を示す図（３）。 実施例１の接続可否情報を示す図（４）。 実施例１のフレーム送出タイミング管理情報。 実施例１のＡＲＰ要求フレームフォーマット。 実施例１のＩＰアドレス重複状態発生フレームフォーマット。 実施例１の装置の切り離し処理のフローチャート。 実施例３の接続用フレームフォーマット。 実施例２のネットワーク監視システムの構成図（装置アドレス情報生成）。 実施例２のアドレス情報を示す図。 実施例２の装置アドレス情報を示す図。 実施例１，２のアドレス体系を示す図。 実施例２の受動的なアドレス情報生成処理のフローチャート。 実施例２の装置アドレス情報生成処理のフローチャート。 実施例２の能動的なアドレス情報生成処理のフローチャート。 実施例１のＩＣＭＰプロトコルのフレームフォーマット。 実施例１の接続可否チェック処理のフローチャート。 実施例３の切り離された装置を外部から接続，切り離す場合に使用する接続状態情報の図。 実施例３の切り離された装置を外部から接続する処理のフローチャート。
符号の説明
１０１…フレーム送信処理部、１０２…フレーム受信処理部、１０３…装置アドレス情報生成処理部、１０４…接続可否情報管理処理部、１０５…ＩＰアドレス重複状態発生フレーム生成処理部、１０６…接続可否判断処理部、１０７…外部通知処理部、１０８…タイミング情報管理処理部、１０９…外部指示受付処理部、１１０…接続用フレーム生成処理部、１１１…チェック用フレーム生成処理部、１１２…接続可否チェック用ＩＰアドレス生成処理部、１１３…アドレス管理情報、１１４…外部装置、１１５…接続情報管理処理部、１２０…ネットワーク、２００…ネットワーク監視システム。

Claims (3)

  1. 送信元ネットワークアドレス領域，送信元物理アドレス領域，送信先ネットワークアドレス領域及び送信先物理アドレス領域を含んだ情報をフレームとして授受するローカルネットワークについて監視を行うネットワーク監視装置において、
    前記ローカルネットワークに接続する端末は、前記ローカルネットワークに自端末と同じネットワークアドレスをもった他端末が存在すると判断すると、自律的に前記ローカルネットワークから離脱するものとなして、
    前記ローカルネットワークに流れるフレームを前記端末から受信する受信手段と、
    前記フレームを送信した端末が許可端末に相当するかを判断する判断手段と、
    前記許可端末に相当しないと判断された場合に、フレームの送信元ネットワークアドレス領域に、前記許可端末に相当しないと判断された端末の送信元ネットワークアドレスの情報を格納し、フレームの送信元物理アドレス領域に、予め定められた所定の物理アドレスを格納し、さらに、前記許可端末に相当しないと判断された端末の送信元ネットワークアドレスが前記ローカルネットワークで保護すべき端末によって用いられている場合は、前記予め定められた所定の物理アドレスを、前記保護すべき端末の物理アドレスの情報として、前記送信元ネットワークアドレスの情報及び前記送信元物理アドレスが格納されたフレームを前記受信したフレームに対する応答フレームとして生成して、該生成したフレームを送信する送信手段を有することを特徴とするネットワーク監視装置。
  2. 送信元ネットワークアドレス領域，送信元物理アドレス領域，送信先ネットワークアドレス領域及び送信先物理アドレス領域を含んだ情報をフレームとして授受するローカルネットワークについて監視を行うネットワーク監視システムにおいて、
    前記ローカルネットワークに接続する端末は、前記ローカルネットワークに自端末と同じネットワークアドレスをもった他端末が存在すると判断すると、自律的に前記ローカルネットワークから離脱するものとなして、
    前記ローカルネットワークに流れるフレームを前記端末から受信する受信手段と、
    前記フレームを送信した端末が許可端末に相当するかを判断する判断手段と、
    前記許可端末に相当しないと判断された場合に、フレームの送信元ネットワークアドレス領域に、前記許可端末に相当しないと判断された端末の送信元ネットワークアドレスの情報を格納し、フレームの送信元物理アドレス領域に、予め定められた所定の物理アドレスを格納し、さらに、前記許可端末に相当しないと判断された端末の送信元ネットワークアドレスが前記ローカルネットワークで保護すべき端末によって用いられている場合は、前記予め定められた所定の物理アドレスを、前記保護すべき端末の物理アドレスの情報として、前記送信元ネットワークアドレスの情報及び前記送信元物理アドレスが格納されたフレームを前記受信したフレームに対する応答フレームとして生成して、該生成したフレームを送信する送信手段を有することを特徴とするネットワーク監視システム。
  3. 送信元ネットワークアドレス領域，送信元物理アドレス領域，送信先ネットワークアドレス領域及び送信先物理アドレス領域を含んだ情報をフレームとして授受するローカルネットワークについて監視を行うネットワーク監視方法において、
    前記ローカルネットワークに接続する端末は、前記ローカルネットワークに自端末と同じネットワークアドレスをもった他端末が存在すると判断すると、自律的に前記ローカルネットワークから離脱するものとなして、
    前記ローカルネットワークに流れるフレームを前記端末から受信し、
    前記フレームを送信した端末が許可端末に相当するかを判断し、
    前記許可端末に相当しないと判断された場合に、フレームの送信元ネットワークアドレス領域に、前記許可端末に相当しないと判断された端末の送信元ネットワークアドレスの情報を格納し、フレームの送信元物理アドレス領域に、予め定められた所定の物理アドレスを格納し、さらに、前記許可端末に相当しないと判断された端末の送信元ネットワークアドレスが前記ローカルネットワークで保護すべき端末によって用いられている場合は、前記予め定められた所定の物理アドレスを、前記保護すべき端末の物理アドレスの情報として、前記送信元ネットワークアドレスの情報及び前記送信元物理アドレスが格納されたフレームを前記受信したフレームに対する応答フレームとして生成して、該生成したフレームを送信するネットワーク監視方法。
JP2008130278A 2008-05-19 2008-05-19 ネットワーク監視装置，ネットワーク監視システム及びネットワーク監視方法 Expired - Fee Related JP4491489B2 (ja)

Priority Applications (1)

Application Number Priority Date Filing Date Title
JP2008130278A JP4491489B2 (ja) 2008-05-19 2008-05-19 ネットワーク監視装置，ネットワーク監視システム及びネットワーク監視方法

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
JP2008130278A JP4491489B2 (ja) 2008-05-19 2008-05-19 ネットワーク監視装置，ネットワーク監視システム及びネットワーク監視方法

Related Parent Applications (1)

Application Number Title Priority Date Filing Date
JP2004069937A Division JP2005260615A (ja) 2004-03-12 2004-03-12 ネットワーク監視装置，ネットワーク監視方法，ネットワーク監視用プログラム及びネットワーク監視用プログラムが格納された記録媒体

Publications (2)

Publication Number Publication Date
JP2008252924A JP2008252924A (ja) 2008-10-16
JP4491489B2 true JP4491489B2 (ja) 2010-06-30

Family

ID=39977246

Family Applications (1)

Application Number Title Priority Date Filing Date
JP2008130278A Expired - Fee Related JP4491489B2 (ja) 2008-05-19 2008-05-19 ネットワーク監視装置，ネットワーク監視システム及びネットワーク監視方法

Country Status (1)

Country Link
JP (1) JP4491489B2 (ja)

Families Citing this family (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP5278358B2 (ja) * 2010-03-15 2013-09-04 三菱電機株式会社 ネットワ−ク接続装置
JP6625077B2 (ja) * 2017-01-30 2019-12-25 株式会社日立製作所 Ｕｓｂ中継装置を用いたウイルス検出システム及びウイルス検出方法

Citations (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2005198090A (ja) * 2004-01-08 2005-07-21 Fujitsu Ltd ネットワーク不正接続防止方法及び装置

Family Cites Families (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2593191B2 (ja) * 1988-06-22 1997-03-26 三菱電機株式会社 端末制御監視装置
JP3499621B2 (ja) * 1994-12-27 2004-02-23 株式会社東芝 アドレス管理装置およびアドレス管理方法

Patent Citations (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2005198090A (ja) * 2004-01-08 2005-07-21 Fujitsu Ltd ネットワーク不正接続防止方法及び装置

Also Published As

Publication number Publication date
JP2008252924A (ja) 2008-10-16

Similar Documents

Publication Publication Date Title
JP5790827B2 (ja) 制御装置、制御方法、及び通信システム
EP0943202B1 (en) Method and apparatus for assignment of ip addresses
JP5826920B2 (ja) 遮断サーバを用いたスプーフィング攻撃に対する防御方法
US6907470B2 (en) Communication apparatus for routing or discarding a packet sent from a user terminal
JP4664143B2 (ja) パケット転送装置、通信網及びパケット転送方法
US8369346B2 (en) Method and system for restricting a node from communicating with other nodes in a broadcast domain of an IP (internet protocol) network
JP2005197823A (ja) ファイアウォールとルータ間での不正アクセス制御装置
KR20160002058A (ko) 모드버스 통신 패턴 학습에 기반한 비정상 트래픽 탐지 장치 및 방법
JP2020017809A (ja) 通信装置及び通信システム
CN105959282A (zh) Dhcp攻击的防护方法及装置
JP2004302538A (ja) ネットワークセキュリティシステム及びネットワークセキュリティ管理方法
JP6117050B2 (ja) ネットワーク制御装置
US7551559B1 (en) System and method for performing security actions for inter-layer binding protocol traffic
JP4384236B2 (ja) ネットワーク監視装置，ネットワーク監視方法，ネットワーク監視用プログラム及びネットワーク監視用プログラムが格納された記録媒体
KR20040109985A (ko) Ｄｈｃｐ 패킷을 이용한 동적 ｉｐ 주소할당 환경에서의ａｒｐ/ｉｐ 스푸핑 자동 방지 방법
JP4491489B2 (ja) ネットワーク監視装置，ネットワーク監視システム及びネットワーク監視方法
Bi et al. Source address validation improvement (SAVI) solution for DHCP
CN106953830B (zh) Dns安全防护方法、装置及dns
JP2005260615A (ja) ネットワーク監視装置，ネットワーク監視方法，ネットワーク監視用プログラム及びネットワーク監視用プログラムが格納された記録媒体
JP3790486B2 (ja) パケット中継装置、パケット中継システムおよびオトリ誘導システム
JP2008154012A (ja) ネットワーク監視装置，ネットワーク監視方法，ネットワーク通信方法，ネットワーク検疫システム
KR100765340B1 (ko) 가상의 인라인 네트워크 보안방법
JP4767683B2 (ja) 中継装置、不正アクセス防止装置、およびアクセス制御プログラム
CN106685861A (zh) 一种软件定义网络系统及其报文转发控制方法
JP2009278293A (ja) パケット送信元特定システム、パケット送信元特定方法、およびパケット送信元特定プログラム

Legal Events

Date Code Title Description
A131 Notification of reasons for refusal

Free format text: JAPANESE INTERMEDIATE CODE: A131

Effective date: 20090519

A521 Request for written amendment filed

Free format text: JAPANESE INTERMEDIATE CODE: A523

Effective date: 20090715

A131 Notification of reasons for refusal

Free format text: JAPANESE INTERMEDIATE CODE: A131

Effective date: 20090915

A521 Request for written amendment filed

Free format text: JAPANESE INTERMEDIATE CODE: A523

Effective date: 20091113

TRDD Decision of grant or rejection written
A01 Written decision to grant a patent or to grant a registration (utility model)

Free format text: JAPANESE INTERMEDIATE CODE: A01

Effective date: 20100323

A01 Written decision to grant a patent or to grant a registration (utility model)

Free format text: JAPANESE INTERMEDIATE CODE: A01

A61 First payment of annual fees (during grant procedure)

Free format text: JAPANESE INTERMEDIATE CODE: A61

Effective date: 20100405

FPAY Renewal fee payment (event date is renewal date of database)

Free format text: PAYMENT UNTIL: 20130409

Year of fee payment: 3

R150 Certificate of patent or registration of utility model

Free format text: JAPANESE INTERMEDIATE CODE: R150

Ref document number: 4491489

Country of ref document: JP

Free format text: JAPANESE INTERMEDIATE CODE: R150

FPAY Renewal fee payment (event date is renewal date of database)

Free format text: PAYMENT UNTIL: 20130409

Year of fee payment: 3

FPAY Renewal fee payment (event date is renewal date of database)

Free format text: PAYMENT UNTIL: 20140409

Year of fee payment: 4

LAPS Cancellation because of no payment of annual fees