JP4720363B2 - フィルタリング装置 - Google Patents

Description

本発明は、ネットワークのパケットフィルタリングを行うフィルタリング装置に関するものである。

ネットワークのセキュリティ対策の一つとして、ＭＡＣアドレスに基づくフィルタリングを用いた不正アクセス防止システムが提供されている（例えば特許文献１）。

このようなシステムでは、フィルタリング装置のフィルタリングテーブルに、通信を許可するローカル機器（端末機器）のＭＡＣアドレスを手入力で登録していた。

一方、ユーザーから入力された機器名称、アドレス、機器種別を記録するアドレステーブルの内容に基づいてフィルタリングテーブルを自動設定する方式も提案されている（特許文献２）。
特開平１０−２７１１５４号公報（段落番号００７０） 特開２００３−３４８１１６号公報（公報第１頁左欄の解決手段）

特許文献１に開示されているＭＡＣアドレスのフィルタリングを行う場合、１２桁の数字列からなるＭＡＣアドレスを手入力する必要があるため、入力作業が大変な上に入力間違いが発生しやすいという問題があった。

また特許文献２に開示されている方式にあっては、フィルタリングテーブルが自動的に設定されるが、そのためには、ユーザーインターフェース手段によりユーザーが予め機器名称、アドレス、機器種別を入力してアドレステーブルに登録する必要があり、手間がかかる点では、特許文献１と同じであった。

本発明は、上述の問題点に鑑みて為されたもので、その目的とするところはローカル機器の固有識別情報をフィルタリングテーブルに自動的に登録することができ、ユーザーの手を煩わすことなくフィルタリング機能を実現するフィルタリング装置を提供することにある。

上述の目的を達成するために、請求項１の発明では、ローカル機器とともにネットワークに接続され、前記ローカル機器から固有識別情報が送られてくると、当該固有識別情報のフィルタリングテーブルでの登録の有無の判断を行い、該判断結果に基づいて当該ローカル機器からのデータの通過／破棄を行うフィルタリング装置において、照合対照の機器情報を設定しているフィルタリングルールと、前記ローカル機器から送られるデータを検出するデータ検出手段と、検出されたデータに含まれる機器情報がフィルタリングルールに設定されている機器情報と合致しているか否かを判断するデータ比較手段と、データ比較手段が合致していると判断したときに当該ローカル機器の前記固有識別情報を前記フィルタリングテーブルに登録するテーブル作成手段と、前記ローカル機器の機器情報を探索するタイミングを任意のタイミングで設定する手段とを備え、前記データ検出手段は機器情報の探索時に機器情報を検出することを特徴とする。

請求項１の発明によれば、検出したローカル機器の機器情報とフィルタリングルールとの照合結果に基づき、ローカル機器の固有識別情報を登録するフィルタリングテーブルを自動的に作り上げることができるため、ユーザーの手を煩わすことなく、フィルタリング機能を実現することができる。

また、任意のタイミングで、機器情報を探索して検出することにより、その都度フィルタリングテーブルの更新が可能となって、不要なローカル機器の固有識別情報をフィルタリングテーブルに登録する可能性が少なくなり、ネットワークのセキュリティ性を向上させることができる。

請求項２の発明では、ローカル機器とともにネットワークに接続され、前記ローカル機器から固有識別情報が送られてくると、当該固有識別情報のフィルタリングテーブルでの登録の有無の判断を行い、該判断結果に基づいて当該ローカル機器からのデータの通過／破棄を行うフィルタリング装置において、照合対照の機器情報を設定しているフィルタリングルールと、前記ローカル機器から送られるデータを検出するデータ検出手段と、検出されたデータに含まれる機器情報がフィルタリングルールに設定されている機器情報と合致しているか否かを判断するデータ比較手段と、データ比較手段が合致していると判断したときに当該ローカル機器の前記固有識別情報を前記フィルタリングテーブルに登録するテーブル作成手段とを備え、前記フィルタリングルールとして記憶される前記機器情報はローカル機器のＭＡＣアドレスに含まれるベンダコードであって、前記フィルタリングテーブルに登録される前記固有識別情報が前記ベンダコードを含むＭＡＣアドレスであることを特徴とする。

請求項２の発明では、通信が始まれば必ず検出可能なＭＡＣアドレスを機器情報として用い、就中ベンダコードという特定の情報を用いることで、特定のベンダ製品のみの通信の許可／禁止というフィルタリングが可能となり、ネットワークのセキュリティ性を個上位させることができる。

請求項３の発明では、ローカル機器とともにネットワークに接続され、前記ローカル機器から固有識別情報が送られてくると、当該固有識別情報のフィルタリングテーブルでの登録の有無の判断を行い、該判断結果に基づいて当該ローカル機器からのデータの通過／破棄を行うフィルタリング装置において、照合対照の機器情報を設定しているフィルタリングルールと、前記ローカル機器から送られるデータを検出するデータ検出手段と、検出されたデータに含まれる機器情報がフィルタリングルールに設定されている機器情報と合致しているか否かを判断するデータ比較手段と、データ比較手段が合致していると判断したときに当該ローカル機器の前記固有識別情報を前記フィルタリングテーブルに登録するテーブル作成手段とを備え、前記ネットワーク内のＭＡＣアドレスの重複を検出し、同一ＭＡＣアドレスに対するローカル機器のＩＰアドレスの変化が一定時間に所定回数発生したことが検出されると、当該ローカル機器に対する通信制御を行う不正検出手段を備えていることを特徴とする。

請求項３の発明によれば、不正に取得したＭＡＣアドレスを用いたローカル機器を通信できなくすることができ、ネットワークのセキュリティ性を向上させることができる。

請求項４の発明では、請求項３の発明において、前記ネットワークに接続されているローカル機器にＩＰアドレスを付与するＤＨＣＰサーバ手段を備え、前記不正検出手段による前記通信制御は不正なローカル機器にＩＰアドレスが前記ＤＨＣＰサーバ手段から付与されないように制御することを特徴とする。

請求項４の発明によれば、不正なローカル機器にＩＰアドレスを付与しないことで、ネットワークのセキュリティ性を向上させることができる。
請求項５の発明では、請求項２乃至４の何れかの発明において、前記データ検出手段は、前記ネットワーク上に伝送されるデータを常時検出し、前記データ比較手段は検出されたデータに含まれる前記固有識別情報が前記フィルタリングテーブルに登録されているか否かの判断を行い、否の場合にデータに含まれる機器情報と前記フィルタリングルールの機器情報とが合致しているか否かを判断することを特徴とする。
請求項５の発明によれば、ネットワークに新しいローカル機器が接続されて立ち上がると、リアルタイムに自動的にフィルタリングテーブルの更新が行える。
請求項６の発明では、請求項１乃至５の何れかの発明において、前記フィルタリングルールとして記憶される機器情報は、前記ローカル機器の種別情報であって、前記フィルタリングテーブルに登録される前記固有識別情報が前記種別情報に合致するローカル機器のＭＡＣアドレスであることを特徴とする。
請求項６の発明によれば、機器情報としては機器自体の種別情報を用い、且つ固有識別情報が種別情報に合致するローカル機器のＭＡＣアドレスであるので、より詳細なフィルタ設定が可能となる。

本発明は、検出したローカル機器の機器情報とフィルタリングルールとの照合結果に基づき、ローカル機器の固有識別情報を登録するフィルタリングテーブルを自動的に作り上げることができるため、ユーザーの手を煩わすことなく、フィルタリング機能を実現することができるという効果がある。

以下本発明を実施形態により説明する。
（実施形態１）
本実施形態のフィルタリング装置１は、図２に示すようにインターネット２に接続されるとともに、ローカルネットワークや無線ＬＡＮのアクセスポイント機器３を通じてパーソナルコンピュータ、設備機器、ホームゲートウェイなどのローカル機器４１…を接続している。 各ローカル機器４１…にはＩＰアドレスを設定し、またＭＡＣアドレスが付与されているものとする。例えばホームゲートウェイであるローカル機器４４では、ＩＰアドレスが（１９２．１６８．１．１）が、またＭＡＣアドレスが（００−００−００−００−０１）と付与され、パーソナルコンピュータであるローカル機器４１では、ＩＰアドレスが（１９２．１６８．１．２００）と設定され、ＭＡＣアドレスが（１１−１１−１１−００−００−０１）と付与されている。同様に他のローカル機器４２，４３、４５等にもＩＰアドレス及びＭＡＣアドレスが付与されているものとする。

フィルタリング装置１は、図１に示すように、インターネット接続機能部１０と、ローカルネットワークを通じてローカル機器４１…との間で通信を行うローカル機器接続機能部１１と、ローカル機器４１…からインターネット２へ送られるデータを検出するデータ検出手段であるデータ検出機能部１２と、フィルタリングテーブル１３と、フィルタリングルール（フィルタリングポリシー）１４と、データ比較手段であるデータ比較機能部１５と、テーブル作成手段であるテーブル作成機能部１６と、フィルタリング機能部１７とから少なくとも構成される。

フィルタリングテーブル１３とフィルタリングルール１４はフィルタリング装置１に備えられた記憶装置に記憶されるものであり、フィルタリングテーブル１３は通信の許可対象となるローカル機器４１…の固有識別情報（実施形態ではＭＡＣアドレス）を登録するテーブルである。フィルタリングルール１４はフィルタリングテーブル１４に対する登録対象となるローカル機器を判断するためのルール（照合対象の機器情報）が予め設定されている。

データ比較機能部１５は、後述するフィルタリングテーブル登録動作時においてデータ検出機能部１２が検出するローカル機器４１…からのデータに含まれる機器情報とフィルタリングルール１４に設定されている機器情報とを比較照合する機能と、通常時にローカル機器４１…からのデータに含まれる固有識別情報である送信元のＭＡＣアドレスとフィルタリングテーブル１３に登録されているＭＡＣアドレスとを比較照合する機能とからなる。

テーブル作成機能部１６は、フィルタリングテーブル登録動作時においてデータ検出機能部１２が検出するローカル機器４１…からのデータに含まれる機器情報がフィルタリングルール１４に設定されている機器情報に合致している否かを示すデータ比較機能部１５の判断結果に基づいてデータ中の送信元のＭＡＣアドレスをフィルタリングテーブル１３に登録させる機能と必要に応じてＭＡＣアドレスを削除する機能とを有する。

フィルタリング機能部１７は、通常時においてローカル機器４１…からのデータに含まれるＭＡＣアドレスがフィルタリングテーブル１３に登録されているＭＡＣアドレスに存在しているか否かを示すデータ比較機能部１５の判断結果に基づいて当該ローカル機器のデータの通過を許可するか破棄するかのフィルタリング処理を行う。

次に本実施形態のフィルタリング装置１の動作を図３に示すシーケンス図により説明する。

まずネットワークシステムの立ち上がり等の初期時に設定されるフィルタリングテーブル登録動作にあって、ホームゲートウェイたるローカル機器４４からパケット（データ）がフィルタリング装置１に到着すると、フィルタリング装置１内のデータ検出機能部１２はデータ中に含まれる機器情報をデータ比較機能部１５に渡す。データ比較機能部１５はこの機器情報がフィルタリングルール１４に設定されている機器情報と合致するか否かのルール照合を行う。そして合致していると判断されると、その判断結果に応じてテーブル作成機能部１６はデータに含まれる当該ローカル機器４４のＭＡＣアドレスをフィルタリングテーブル１３に登録する処理を行う。

一方パーソナルコンピュータである例えばローカル機器４１からパケット（データ）がフィルタリング装置１に到着すると、フィルタリング装置１内のデータ検出機能部１２が上述と同様にデータ中に含まれる機器情報をデータ比較機能部１５に渡す。そしてデータ比較機能部１５はこの機器情報がフィルタリングルール１４に設定されている機器情報と合致するか否かのルール照合を行う。ここでローカル機器４１の機器情報がフィルタリングルール１４に設定されていない場合、否と判断してローカル機器４１のデータを破棄する。そのためテーブル作成機能部１６は当該ローカル機器４１のＭＡＣアドレスをフィルタリングテーブル１３に登録しないのである。

次に通常時において、例えば上述のローカル機器４４からフィルタリング装置１にパケット（データ）が到着すると、データ検出機能部１２はデータに含まれるＭＡＣアドレスをデータ比較機能部１５に渡す。データ比較機能部１５はこのＭＡＣアドレスがフィルタリングテーブル１３に登録されているか否かの照合を行う。そして登録されている判断されると、その判断結果に応じてフィルタリング機能部１７はデータの通過を許可する。

一方上述のようにＭＡＣアドレスがフィルタリングテーブル１３に登録されなかったローカル機器４１からフィルタリング装置１にパケット（データ）が到着した場合も、上述と同様にデータ検出機能部１２はデータに含まれるＭＡＣアドレスをデータ比較機能部１５に渡す。そしてデータ比較機能部１５はこのＭＡＣアドレスがフィルタリングテーブル１３に登録されているか否かの照合を行うが、この場合は登録されていないと判断されることになり、その判断結果に応じてフィルタリング機能部１７はデータの通過を許可せず、データを破棄する処理を行う。

以上のように本実施形態では、フィルタリングテーブル１３に対して各ローカル機器４１…のＭＡＣアドレスの登録を自動的に行うことで、ユーザーの手間を省くことができる
尚フィルタリング装置１にＷｅｂサーバ機能からなる情報表示機能部１８を設けている場合には、通信を許可・拒否した情報を表示させることや、通信許可・拒否の変更も可能となる。

次に本実施形態でフィルタリングルール１４に設定する機器情報の例について説明する。

例１
本例は、ローカル機器４１…のＭＡＣアドレスの先頭３バイトに書き込まれるベンダコードが機器情報としている。この場合特定のベンダ製機器以外は通信を拒否することが可能となる。

表１は本例によるフィルタリングルール１４の設定内容例を示す。

例２
本例は、ローカル機器に設定するＩＰアドレスを機器情報としている。この機器情報はフィルタイリング装置１がネットワーク層まで対応している場合に相応しい。そしてＩＰアドレスの範囲を設定しておくことで、指定範囲外のＩＰアドレスを持ったローカル機器の通信を拒否することができる。

表２は本例によるフィルタリングルール１４の設定内容例を示す。

例３
本例は、通信を許可する機器の種別情報を機器情報としている。この機器情報はフィルタリング装置１及びローカル機器４１…がＵＰｎＰに対応している場合に相応しい。そして機器情報の指定範囲外のローカル機器の通信を拒否することができる。

表３は本例によるフィルタリングルール１４の設定内容例を示す。

（実施形態２）
上述の実施形態１では、ネットワークシステムの立ち上がり等でフィルタリングテーブル登録動作が行われるようになっているが、本実施形態では例えばローカル機器４１…の機器情報を取得してフィルタリングテーブル１３にＭＡＣアドレスを登録する動作を任意のタイミングで行うために、登録動作起動のスイッチＳＷと該スイッチＳＷが操作されたときに機器情報要求を各ローカル機器４１…に送るための機器情報要求機能部１９を図４に示すように備えている点に特徴がある。尚システム構成及びフィルタリング装置１内のその他の構成は実施形態１と基本的には同じであるので、同じ構成要素には同じ符号を付して説明は省略する。

次に本実施形態の動作を図５のシーケンス図で説明する。

今フィルタリング装置１のスイッチＳＷが操作されると、フィルタリング装置１では機器情報要求機能部１９から各ローカル機器４１…に機器情報要求が送られる。この機器情報要求を受け取ったローカル機器、例えば４４では、要求の応答として機器情報を含むパケット（データ）をフィルタリング装置１に送る。パケット（データ）がフィルタリング装置１に到着すると、実施形態１の場合と同様にフィルタリング装置１内のデータ検出機能部１２がデータ中に含まれる機器情報をデータ比較機能部１５に渡す。データ比較機能部１５はこの機器情報がフィルタリングルール１４に設定されている機器情報と合致するか否かのルール照合を行う。そして合致していると判断されると、その判断結果に応じてテーブル作成機能部１６はデータに含まれる当該ローカル機器４４のＭＡＣアドレスをフィルタリングテーブル１３に登録する処理を行う。

パーソナルコンピュータである例えばローカル機器４１に対して機器情報要求が送られると、これに対応してローカル機器４１から応答としてパケット（データ）がフィルタリング装置１に送られる。フィルタリング装置１ではパケット（データ）が到着すると、フィルタリング装置１内のデータ検出機能部１２が上述と同様にデータ中に含まれる機器情報をデータ比較機能部１５に渡す。そしてデータ比較機能部１５はこの機器情報がフィルタリングルール１４に設定されている機器情報と合致するか否かのルール照合を行う。ここでローカル機器４１の機器情報がフィルタリングルール１４に設定されていない場合、否と判断してローカル機器４１のデータを破棄する。そのためテーブル作成機能部１６は、当該ローカル機器４１のＭＡＣアドレスをフィルタリングテーブル１３に登録しないのである。

このようにしてローカル機器４１…に対する機器情報要求を行って、その時点でのローカル機器４１…に対応するフィルタリングテーブル１３への登録を行うのである。そして全てのローカル機器４１…の機器情報要求を行い、その要求に対応してＭＡＣアドレスの登録処理が終了した時点で、前のテーブル登録動作時にフィルタリングテーブル１３に登録されていたＭＡＣアドレスが今回のテーブル登録動作時に登録されていない場合には削除することで、フィルタリングテーブル１３の登録内容の更新を図る。尚この削除の代わりにスイッチＳＷの操作時にフィルタリングテーブル１３の登録内容を削除して新たなテーブル登録を行うようにしても、最終的には最新のフィルタリングテーブル１３を作成することができる。

登録動作終了後の通常時のフィルタリング処理は実施形態１と同じであるので説明は省略する。
（実施形態３）
実施形態２ではスイッチＳＷを操作することで任意のタイミングでテーブル登録動作を開始することができるなっているが、本実施形態では、常時テーブル登録動作ができるようになっている点で特徴がある。尚フィルタリング装置１の構成は実施形態１と同じであるので、図示を省略し、図１を参照する。

次に本実施形態の動作を図６のシーケンス図により説明する。

本実施形態では、例えばローカル機器４４からパケット（データ）がフィルタリング装置１に到着するとデータ検出機能部１２は検出したパケット（データ）をデータ比較機能部１５に渡す。データ比較機能部１５はまずデータに含まれるＭＡＣアドレスがフィルタリングテーブル１３に登録されているか否かの判断を行う。ここで登録されている場合にはフィルタリング機能部１７はデータの通過、つまり通信を許可する。一方否の場合、つまり未登録の場合には、データ比較機能部１５はデータに含まれる機器情報と前記フィルタリングルール１４に設定されている機器情報と合致しているか否かを判断する。この判断結果が合致する場合にはテーブル作成機能部１６はデータに含まれる当該ローカル機器４４のＭＡＣアドレスをフィルタリングテーブル１３に登録する。

同様に例えばローカル機器４１からパケット（データ）がフィルタリング装置１に到着するとデータ検出機能部１２は検出したパケット（データ）をデータ比較機能部１５に渡す。データ比較機能部１５はまずデータに含まれるＭＡＣアドレスがフィルタリングテーブル１３に登録されているか否かの判断を行う。ここで登録されている場合にはフィルタリング機能部１７はデータの通過、つまり通信を許可する。一方否の場合、つまり未登録の場合には、データ比較機能部１５はデータに含まれる機器情報と前記フィルタリングルール１４に設定されている機器情報と合致しているか否かを判断する。ここでローカル機器４１の機器情報がフィルタリングルール１４に設定されていない場合、否と判断されてデータが破棄される。そのためテーブル作成機能部１６はデータに含まれる当該ローカル機器４４のＭＡＣアドレスをフィルタリングテーブル１３には登録しない。

このように本実施形態では、通常時において、ローカル機器４１…からのデータに含まれるＭＡＣアドレスがフィルタリングテーブル１３に未登録の場合、つまり通信が許可されない場合に、その都度当該ローカル機器の機器情報をフィルタリングルール１４に設定されている機器情報と合致するか否かを判断し、合致する場合に当該ローカル機器のＭＡＣアドレスをフィルタリングテーブル１３に登録する処理を行うことで、新たにローカル機器が追加された場合にあっても、リアルタイム的にフィルタリングテーブル１３を更新することができるのである。
（実施形態４）
本実施形態は、図７に示すようにローカルネットワーク内のＭＡＣアドレスの重複を検出し、同一ＭＡＣアドレスに対するＩＰアドレスの変化が一定時間に所定回数発生したときに不正機器が存在することを検出する不正検出機能部２０を備えた点に特徴があり、不正検出機能部２０は不正なＭＡＣアドレスを持つローカル機器を検出した場合にフィルタリング機能部１７が通信を拒否するように指示する信号をフィルタリング機能部１７に与えるようになっている。尚本実施形態のその他の構成は実施形態１と同じであるので、同じ構成要素には同じ番号を付して説明は省略する。

つまり、本実施形態ではフィルタリングテーブル１３に登録する固有識別情報としてのＭＡＣアドレスとこれに対応するＩＰアドレスとを記述する図８に示すテーブルログ２１を不正検出機能部２０で作成するものである。つまりＭＡＣアドレスとＩＰアドレスの対応関係が頻繁に変化することはないという特性を利用したもので、不正検出機能部２０はテーブルログから同一ＭＡＣアドレスに対するＩＰアドレスの変化が一定時間に所定回数発生した場合、不正機器ありと判断するのである。

図８に示すテーブルログ２１の変遷ではＭＡＣアドレス（００−００−００−００−００−０１）に対応するＩＰアドレスが（１９２．１６８．１．１）→（１９２−１６８．１．３）→（１９２．１６８．１．１）と変化していることがわかる。

ＭＡＣアドレスを偽装する事例としては、例えばローカルネットワーク内に無線ルータが存在する環境において、悪意のある端末が無線ルータとローカル端末との通信を傍受することによりローカル端末のＭＡＣアドレスを不正に取得し、あたかも自分が当該ＭＡＣアドレスを持つローカル機器であるかのように振る舞い、不正に通信を行う場合がある。この場合、ローカル機器と悪意のある端末が同じＭＡＣアドレスを持つことになるが、ＩＰアドレスを覗き見することが困難であるため、ＩＰアドレスが異なっていることが多い。

このような環境下ではＭＡＣアドレスが同じでＩＰアドレスが異なる通信が頻繁に発生することになるので、この点に着目して、本実施形態では上述のように不正検出機能部２０によりＭＡＣアドアドレスの不正使用を検知するのである。

尚フィルタリング装置１にＷｅｂサーバ機能からなる情報表示機能部１８を設けている場合には、ＭＡＣアドレス偽装を検出したことを通知することもできる。また実施形態１以外の実施形態にも不正検出機能部２０を設けてることができるのは勿論である。
（実施形態５）
実施形態４では不正検出機能部２０は不正なＭＡＣアドレスを持つローカル機器を検出した場合にフィルタリング機能部１７が通信を拒否するように指示する信号をフィルタリング機能部１７に与えるようになっているが、本実施形態ではフィルタリング装置１内に図９に示すようにＤＨＣＰサーバ機能部２２を設け、このＤＨＣＰサーバ機能部２２により各ローカル機器４１…のＩＰアドレスを設定するようにするとともに、不正検出機能部２０は不正なＭＡＣアドレスを持つローカル機器を検出した場合にＤＨＣＰサーバ機能部２２から当該ローカル機器にＩＰアドレスを付与しないようにＤＨＣＰサーバ機能部２２に指示する信号を与えることで、不正なローカル機器をローカルネットワークから切り離すようにしている点に特徴がある。

尚本実施形態のその他の構成は実施形態４と同じであるので、同じ構成要素には同じ番号を付して説明は省略する。

実施形態１の回路構成図である。 実施形態１を用いたシステム構成図である。 実施形態１の動作説明用シーケンス図である。 実施形態２の回路構成図である。 実施形態２の動作説明用シーケンス図である。 実施形態３の動作説明用シーケンス図である。 実施形態４の回路構成図である。 実施形態５におけるテーブルログの変遷例図である。 実施形態５の回路構成図である。おけるテーブルログの変遷例図である。

符号の説明

１ フィルタリング装置
１０ インターネット接続機能部
１１ ローカル機器接続機能部
１２ データ検出機能部
１３ フィルタリングテーブル
１４ フィルタリングルール
１５ データ比較機能部
１６ テーブル作成機能部
１７ フィルタリング機能部
１８ 情報表示機能部

Claims (6)

1. ローカル機器とともにネットワークに接続され、前記ローカル機器から固有識別情報が送られてくると、当該固有識別情報のフィルタリングテーブルでの登録の有無の判断を行い、該判断結果に基づいて当該ローカル機器からのデータの通過／破棄を行うフィルタリング装置において、
   照合対照の機器情報を設定しているフィルタリングルールと、前記ローカル機器から送られるデータを検出するデータ検出手段と、検出されたデータに含まれる機器情報がフィルタリングルールに設定されている機器情報と合致しているか否かを判断するデータ比較手段と、データ比較手段が合致していると判断したときに当該ローカル機器の前記固有識別情報を前記フィルタリングテーブルに登録するテーブル作成手段と、前記ローカル機器の機器情報を探索するタイミングを任意のタイミングで設定する手段とを備え、
   前記データ検出手段は機器情報の探索時に機器情報を検出することを特徴とするフィルタリング装置。
2. ローカル機器とともにネットワークに接続され、前記ローカル機器から固有識別情報が送られてくると、当該固有識別情報のフィルタリングテーブルでの登録の有無の判断を行い、該判断結果に基づいて当該ローカル機器からのデータの通過／破棄を行うフィルタリング装置において、
   照合対照の機器情報を設定しているフィルタリングルールと、前記ローカル機器から送られるデータを検出するデータ検出手段と、検出されたデータに含まれる機器情報がフィルタリングルールに設定されている機器情報と合致しているか否かを判断するデータ比較手段と、データ比較手段が合致していると判断したときに当該ローカル機器の前記固有識別情報を前記フィルタリングテーブルに登録するテーブル作成手段とを備え、
   前記フィルタリングルールとして記憶される前記機器情報はローカル機器のＭＡＣアドレスに含まれるベンダコードであって、前記フィルタリングテーブルに登録される前記固有識別情報が前記ベンダコードを含むＭＡＣアドレスであることを特徴とするフィルタリング装置。
3. ローカル機器とともにネットワークに接続され、前記ローカル機器から固有識別情報が送られてくると、当該固有識別情報のフィルタリングテーブルでの登録の有無の判断を行い、該判断結果に基づいて当該ローカル機器からのデータの通過／破棄を行うフィルタリング装置において、
   照合対照の機器情報を設定しているフィルタリングルールと、前記ローカル機器から送られるデータを検出するデータ検出手段と、検出されたデータに含まれる機器情報がフィルタリングルールに設定されている機器情報と合致しているか否かを判断するデータ比較手段と、データ比較手段が合致していると判断したときに当該ローカル機器の前記固有識別情報を前記フィルタリングテーブルに登録するテーブル作成手段とを備え、
   前記ネットワーク内のＭＡＣアドレスの重複を検出し、同一ＭＡＣアドレスに対するローカル機器のＩＰアドレスの変化が一定時間に所定回数発生したことが検出されると、当該ローカル機器に対する通信制御を行う不正検出手段を備えていることを特徴とするフィルタリング装置。
4. 前記ネットワークに接続されているローカル機器にＩＰアドレスを付与するＤＨＣＰサーバ手段を備え、前記不正検出手段による前記通信制御は不正なローカル機器にＩＰアドレスが前記ＤＨＣＰサーバ手段から付与されないように制御することを特徴とする請求項３記載のフィルタリング装置。
5. 前記データ検出手段は、前記ネットワーク上に伝送されるデータを常時検出し、前記データ比較手段は検出されたデータに含まれる前記固有識別情報が前記フィルタリングテーブルに登録されているか否かの判断を行い、否の場合にデータに含まれる機器情報と前記フィルタリングルールの機器情報とが合致しているか否かを判断することを特徴とする請求項２乃至４の何れか記載のフィルタリング装置。
6. 前記フィルタリングルールとして記憶される機器情報は、前記ローカル機器の種別情報であって、前記フィルタリングテーブルに登録される前記固有識別情報が前記種別情報に合致するローカル機器のＭＡＣアドレスであることを特徴とする請求項１乃至５の何れか記載のフィルタリング装置。

Images