JP4767683B2

JP4767683B2 - 中継装置、不正アクセス防止装置、およびアクセス制御プログラム

Info

Publication number: JP4767683B2
Application number: JP2005370977A
Authority: JP
Inventors: 義一浅野; 英幸天久
Original assignee: Fujitsu Ltd
Current assignee: Fujitsu Ltd
Priority date: 2005-12-22
Filing date: 2005-12-22
Publication date: 2011-09-07
Anticipated expiration: 2025-12-22
Also published as: JP2007174406A

Description

本発明は、不正アクセスを防止する不正アクセス防止装置および不正アクセス防止プログラムに関するものである。

従来、ネットワークに接続された複数の端末がワームなどのウィルスに感染された端末からの感染を防ぐために、感染した端末のＩＰアドレスを調べて、その感染している端末が存在するセグメントにある他の端末が持つ当該感染端末のＭＡＣアドレスを書き換えることで、当該セグメント内の感染の拡大を防ぐ技術がある（特許文献１）。
特開２００５−２８６８７７号公報

上述した技術では、セグメント内の他の端末へのアクセスを不可にして感染の拡大を防止できるが、しかし、感染端末が接続されているセグメント外にはアクセスできてしまい、充分な感染防止がされていないという問題があった。

本発明は、これらの問題を解決するため、端末に仮ＩＰアドレスを付与してセキュリティ情報のチェックがＯＫのときに正ＩＰアドレスを付与して不正アクセスを防止すると共に、不正アクセスを監視して見つけたときに不正端末のＭＡＣアドレスを無効にすると共にファイアウォールが持つ定義テーブルの当該不正端末のＭＡＣアドレスを無効にして他のセグメントへのアクセスを不可にするようにしている。

本発明は、端末に仮ＩＰアドレスを付与してセキュリティ情報のチェックを行い、セキュリティ上の問題がないと判断したときに正ＩＰアドレスを付与して不正アクセスを防止すると共に、不正アクセスを監視して見つけたときに不正端末のＭＡＣアドレスを無効にすると共にファイアウォールが持つ定義テーブルの当該不正端末のＭＡＣアドレスを無効にして、不正端末からの他のセグメントへのアクセスを不可にすることにより、不正端末のセグメント内のアクセスおよびセグメント外へのアクセスを不可にして不正アクセスを完全に防止することが可能となる。

本発明は、端末に仮ＩＰアドレスを付与してセキュリティ情報のチェックがＯＫのときに正ＩＰアドレスを付与して不正アクセスを防止すると共に、不正アクセスを監視して見つけたときに不正端末のＭＡＣアドレスを無効にすると共にファイアウォールが持つ定義テーブルの当該不正端末のＭＡＣアドレスを無効にして他のセグメントへのアクセスを不可にし、不正端末のセグメント内のアクセスおよびセグメント外へのアクセスを不可にして不正アクセスを完全に防止することを実現した。

図１は、本発明のシステム構成図を示す。
図１の（ａ）は、特定セグメントに専用装置３を設置する場合を示す。図１の（ａ）は、本発明に係る専用装置３を１つの特定セグメントと、他のセグメントとの間に接続（設置）したものであって、当該特定セグメント内のネットワークに接続された端末１から、当該特定セグメント内の他の端末１への不正アクセス、および他のセグメントの端末１への不正アクセスの両者を防止するものである。

図１の（ａ）において、端末１は、不正アクセスを防止する端末であって、ここでは、セグメントＡ（特定セグメント）に接続された端末であり、エージェント１１、クライアント情報１２、およびＡＲＰテーブル１３などから構成されるものである。

エージェント１１は、端末１にインストールしたものであって、端末１の不正アクセスを防止するためのもの（プログラム）である（図２から図７を用いて後述する）。

クライアント情報１２は、端末１が保持する情報（ハードウェア情報、ソフトウェア情報、セキュリティ情報、ＭＡＣアドレスなど）である（図５参照）。

ＡＲＰテーブル１３は、通信相手の端末のＩＰアドレス、ＭＡＣアドレスなどを登録して管理するテーブルである（図７の（ａ）参照）。

スイッチ２は、多数の端末１が相互に通信するための公知のスイッチ（宛先に向けてパケットを送信するもの）である。

専用装置３は、本発明に係る装置であって、ここでは、１つの特定セグメント（セグメントＡ）と他のセグメントとの間に接続（設置）した装置であり、ＤＨＣＰサーバ３１、ＩＰ割当手段３２、定義書換手段３３、ファイアウォール３４などから構成されるものである。

ＤＨＣＰサーバ３１は、公知のセグメント内の端末に一意のＩＰアドレスを割り当てて相互に通信可能にするものである。

ファイアウォール３４は、特定セグメントと、外部の他のセグメントの端末との間の不正アクセスを防止する公知のものである（図２から図８参照）。

図１の（ｂ）は、複数のセグメントと、他のセグメントとの間に専用装置３を設置する場合を示す。図１の（ｂ）は、本発明に係る専用装置３を複数のセグメントにそれぞれ設置（接続）したものであって、各セグメント内のネットワークに接続された複数の端末１が、当該各セグメント内の他の端末１への不正アクセス、および他のセグメントの端末１への不正アクセスの両者をそれぞれ防止するものである。端末１、専用装置３は、図１の（ａ）の端末１、専用装置３と同じであるので説明を省略する。

次に、図２のフローチャートの順番に従い、図１の構成の動作を詳細に説明する。
図２は、本発明の動作説明フローチャートを示す。ここで、端末１は、エージェント１１、クライアント情報（ハードウェア情報、ソフトウェア情報、セキュリティ情報）１２、ＡＲＰテーブル１３から構成され、図１の端末１、エージェント１１、クライアント情報１２、ＡＲＰテーブル１３と同じである。また、専用装置３は、情報送受信機能３６、検疫機能３７、メール送信機能３８、ＤＨＣＰサーバ３１などから構成され、図１と図２の専用装置３、ＤＨＣＰサーバ３１は同じである。

図２の本発明の動作説明フローチャートを用いて処理の一例の説明を行う。
（ステップＳ１）端末１は、専用装置３に接続要求する。本実施の一例では、端末１を例えば図１の（ａ）のセグメントＡのＬＡＮに新規に接続し、当該端末１のＭＡＣアドレスを通知して仮ＩＰアドレスの割当要求を行う。

（ステップＳ２）専用装置３は、ステップＳ１で端末１から通知されたＭＡＣアドレスが、ＤＨＣＰサーバ３１に予め登録されているＭＡＣアドレスか判別する。ＭＡＣアドレスが予め登録されている場合（ＹＥＳの場合）には、専用装置３は予め仮ＩＰアドレスの割当を行っても良いＭＡＣアドレスの端末１からの仮ＩＰアドレスの要求と判断し、仮ＩＰアドレスを割り当てる。

（ステップＳ３）専用装置３は、当該仮ＩＰアドレスを発行し、端末１に通知する。
（ステップＳ４）専用装置３は、ステップＳ２において、ステップＳ１で端末１から通知されたＭＡＣアドレスがＤＨＣＰサーバ３１に予め登録されているＭＡＣアドレスではないと判断すると、仮ＩＰアドレスを割り当てることなく、不正アクセスとしてログファイルなどに記録する。専用端末３が未登録のＭＡＣアドレスの端末１に対しては仮ＩＰアドレスを発行しないことで、未登録のＭＡＣアドレスの端末１からのアクセスを不可にし、不正アクセスを防止する。

（ステップＳ５）は、ステップＳ３で仮ＩＰアドレスの発行を受けた端末１のエージェント１１がパケットに仮ＩＰアドレス、ＭＡＣアドレス、および端末１のクライアント情報１２を設定して当該パケットを専用装置３に送信し、正ＩＰアドレスの要求を行う。

（ステップＳ６）専用装置３の情報送受信機能は、ステップＳ５で受信したパケットに設定されているクライアント情報１２を保存する。

（ステップＳ７）専用装置３の情報送受信機能３６が専用装置３の検疫機能３７に検疫依頼する。

（ステップＳ８）専用装置３は、ステップＳ７で検疫依頼を受けた検疫機能３７がステップＳ６で保存した端末１のクライアント情報１２と、セキュリティポリシ情報３９に予め格納しておいた当該端末１のクライアント情報（ハードウェア情報、ソフトウェア情報、セキュリティ情報）１２とを読み出し、ステップＳ５で正ＩＰアドレスの要求を行った端末１の接続を許可するか否かを判断する。本実施の一例では、端末１から送られてきたクライアント情報１２が、予め格納しておいたセキュリティポリシ情報３９中のクライアント情報と一致すると、真正の端末１からの正ＩＰアドレスの割当要求と判断し、ステップＳ９に遷移する。

（ステップＳ９）専用装置３は、ＤＨＣＰサーバ設定ファイル４０を編集して正ＩＰアドレスを割り当てる。

（ステップＳ１０）専用装置３は、ＤＨＣＰサーバを再起動して、ステップＳ９で割り当てた正ＩＰアドレスを有効にする。

（ステップＳ１１）専用装置３は、結果（ここでは、正ＩＰアドレスを割り当てた旨の通知）を情報送受信機能３６を経由して端末１のエージェント１１に通知する。

一方、ステップＳ８において、端末１から送られてきたクライアント情報が専用装置３のセキュリティポリシ情報３９のクライアント情報と一致しない場合、専用装置３は、一致しないクライアント情報を送信した端末１からの正ＩＰアドレスの要求と判断し、ステップＳ１２に遷移する。

（ステップＳ１２）専用端末３は、警告メッセージ送信要求して警告メッセージを端末１に送信する。これにより、正ＩＰアドレスの発行を拒否された端末１は、正ＩＰアドレスが発行されず、他の端末と通信不可であり、不正アクセスを防止できる。

（ステップＳ１３）ステップＳ１１で正ＩＰアドレスを割り当てた旨の連絡を受けた端末１のエージェント１１が正ＩＰアドレスの取得要求をＤＨＣＰサーバ３１に送信する。

（ステップＳ１４）ステップＳ１３の取得要求を受信したＤＨＣＰサーバ３１が当該端末１に正ＩＰアドレスを発行し、通知する。端末１では、発行された正ＩＰアドレスと自身のＭＡＣアドレスなどをＡＲＰテーブル１３に設定するなどし、以降、端末１は、発行された正ＩＰドレスおよび自端末１のＭＡＣアドレスを用いて図１で自セグメント内、更に他のセグメント内の他の端末１と自由にパケット通信することが可能となる。

以上のように、端末１をあるセグメントに接続すると、当該端末１は自端末１のＭＡＣアドレスを通知してＤＨＣＰサーバ３１に仮ＩＰアドレスの発行要求を行うが、登録されていないときは仮ＩＰアドレスが発行されず、未登録ＭＡＣアドレスの端末１は通信が不可とされ、不正アクセスを防止できる。次に、ＭＡＣアドレスが登録されていて仮ＩＰアドレスの発行を受けた端末１１がクライアント情報を送信して正ＩＰアドレスの発行要求しても、予め登録したセキュリティポリシ情報３９中のクライアント情報と照合して一致しないときは正ＩＰアドレスが発行されず、正しいＭＡＣアドレスを持っていても正しいクライアント情報を持っていない端末１には正ＩＰアドレスの発行をしなく、不正アクセスを防止できる。ここで、正しいクライアント情報を持っている端末１は、初めて正ＩＰアドレスの発行を受け、当該正ＩＰアドレス、自端末のＭＡＣアドレスを用いて他の端末１と相互に通信することが可能となる。

図３は、本発明の応答文例（ＤＨＣＰ．ＣＯＮＦの例）を示す。これは、既述した図２のＳ８で端末１から送信されてきたクライアント情報１２と、予め登録しておいたセキュリティポリシ情報３９中のクライアント情報とを比較し、一致したときに合格として、図中の合格とした電文（正ＩＰアドレスなど）を端末１に専用装置３が送信する例を示す。一致しないときに不合格として、図中の不合格とした電文（仮ＩＰアドレスなど）を端末１に専用装置３が送信する例を示す。

図４は、本発明の動作説明フローチャート（情報送信）を示す。これは、管理者がセキュリティポリシ情報３９、ＤＨＣＰサーバ設定ファイル４０などを変更し、セキュリティを管理するときの様子を示す。

図４において、（ステップＳ２１）専用装置３のセキュリティポリシ変更機能は、管理者が端末（管理）を操作したのを受け付けて、セキュリティポリシ情報を変更する。本実施の一例では、ウイルスパターン情報を最新のものに変更（更新）すると共に、セキュリティポリシ情報３９中のウィルスパターン情報（バージョン情報）を最新の情報に変更（更新）する。

（ステップＳ２２）ＤＨＣＰサーバ３１は、ステップＳ２１でセキュリティポリシ情報が編集されると、必要に応じてＤＨＣＰサーバ設定ファイル４０の内容を編集する。本実施の一例では、専用装置３のセキュリティポリシ情報のウイルスパターン情報が変更されると、端末１群に割り当て済の正ＩＰアドレスが無効になるように、ＤＨＣＰサーバ設定ファイル４０を編集する。専用装置３は、ＤＨＣＰサーバ設定ファイル４０を編集した場合には、ＤＨＣＰサーバ３１を再起動し、編集後のＤＨＣＰサーバ設定ファイル４０を有効にする。

（ステップＳ２３）専用装置３は、専用装置３の情報送受信機能３６に、端末１に対して、専用装置３のセキュリティポリシ情報のウイルスパターン情報が変更されたこと、正ＩＰアドレスが変更されたことを示す情報を送信するように指示を行う。

（ステップＳ２４）専用装置３の情報送受信機能３６は、端末１に、専用装置３のセキュリティポリシ情報のウイルスパターン情報が変更されたこと、正ＩＰアドレスが変更されたことを示す情報を送信する。

端末１は、ステップＳ２４の通知を受けて、ウイルスパターンを専用端末３のセキュリティポリシ情報が持つウイルスパターンの情報にバージョンアップを行うことでクライアント情報１２のウイルスパターン情報を更新して、先述のステップＳ５以下の処理を行うことにより正ＩＰアドレスの要求を行い、専用装置３に正ＩＰアドレスの発行をさせる。

以上によって、管理者が随時、ウイルスパータン情報（バージョン情報）などを更新して各端末１のクライアント情報１２中の該等情報を最新に更新することにより、既述した図２のＳ８のチェック時に、端末１から送信されてきたクライアント情報１２と、セキュリティポリシ情報３９中のクライアント情報と照合して一致したときのみ正ＩＰアドレスを割り当て、一方、一致しないときは正ＩＰアドレスを割り当てない（あるいは既に正ＩＰアドレスを割り当てていたときは仮ＩＰアドレスに変更する）という手順を行うことにより、随時更新した最新のセキュリティポリシ情報をもとに不正アクセスをチェックし、不正アクセスのときは正ＩＰアドレスの割り当てた端末１と言えども仮ＩＰアドレスに変更し、セキュリティを確保することが可能となる。

図５は、本発明のクライアント情報例を示す。これは、既述した図２、図４の端末１が保持するクライアント情報１２の例を示す。クライアント情報１２は、図示の下記の情報を対応づけて登録したものであり、図４で説明したように、管理者が随時、更新、変更可能なものである。

・ハードウェア情報：
・ＢＩＯＳＮｕｍｂｅｒ
・ＣＰＵＮｍｍｂｅｒ
・ハードディスクＮｕｍｂｅｒ
・ソフトウェア情報：
・ウイルスパターンバージョン
・ＯＳバッチバージョン
・セキュリテイ情報：
・端末ＩＤ
・ログインＩＤ
ここで、ハードウェア情報は、端末１のハードウェア情報であって、例えば図示のＢＩＯＳの番号、ＣＰＵの番号、ハードディスク装置の番号などである。ソフトウェア情報は、端末１にインストールされているソフトウェアの情報であって、ウイルスパターンバージョン、ＯＳのバッチバージョンなどである。セキュリティ情報は、端末のＩＤ，ログインＩＤなどである。

以上のように、端末１のハードウェア情報、ソフトウェア情報、セキュリティ情報からなるクライアント情報１２を、図４で説明したように、管理者がネットワークを介し随時更新、変更し、よりセキュリティの高いシステムを実現し、不正端末１による不正アクセスを防止することが可能となる。

図６は、本発明の動作説明フローチャート（不正チェック）を示す。
図６の（ａ）は全体フローチャートを示し、図６の（ｂ）は詳細フローチャートを示す。端末１、専用装置３は、図１の端末１、専用装置３である。

図６の（ａ）において、（ステップＳ３１）専用装置３の不正ＰＣチェック機能４２が不正ＰＣ監視する。本実施の一例では、後述する図６の（ｂ）のステップＳ４１で専用装置３がＰｉｎｇコマンドをブロードキャストアドレスで発行し、ステップＳ４２で専用装置３がＡＲＰコマンドでＡＲＰテーブル１３の一覧を取得する（Ｍａｃアドレス一覧を取得する）。更に、図６の（ｂ）のステップＳ４３で専用装置３がネットワークに流れるパケットを取得し、ステップＳ４４で専用装置３がパケット解析で送信元のＩＰアドレスとＭＡＣアドレスを取得する。

以上によって、セグメント内のネットワークに接続されている端末１群のＭＡＣアドレス、更に、ＡＲＰテーブル１３に登録されている通信相手のＩＰアドレスとＭＡＣアドレス、更に、ネットワークに流れているパケットに設定されている送信元のＩＰアドレスとＭＡＣアドレスを収集してその一覧を作成することが可能となる。

（ステップＳ３２）専用装置３は、ＤＨＣＰサーバ設定ファイル４０の内容（通信を許可されたＭＡＣアドレス）を読み込む。

（ステップＳ３３）専用装置３は、ステップＳ３２で読み込んだＭＡＣアドレスは登録されているか判別する（図６の（ｂ）のＳ４５）。これは、ステップＳ３１で収集したＭＡＣアドレスが、ステップＳ３２で読み出したＤＨＣＰサーバ設定ファイル４０にある通信許可された端末１のＭＡＣアドレスか判別する。ＹＥＳの場合には、収集したＭＡＣアドレスが通信許可された端末１のＭＡＣアドレスと判明したので、終了する。ＮＯの場合には、収集したＭＡＣアドレスが通信許可された端末１のＭＡＣアドレスでないと判明したので、ステップＳ３４でクライアントＰＣ状態情報を編集（即ち、不許可ＭＡＣアドレスを登録）し、更に、ファイアウォール定義テーブル４３に設定（当該ＭＡＣアドレスを無効に設定）する。ファイアウォール定義テーブル４３中の不正ＭＡＣアドレスを無効（意味の値に変更）する（図８の（ｂ）参照）ことで、ファイアウォール３４で当該端末１からのパケットを阻止し、不正ＭＡＣアドレスの端末１がファイアウォールを越えて外部のセグメントにパケット送信できないようにする。また、端末１のＡＲＰテーブル１３に登録されている通信相手の端末１のＩＰアドレスとＭＡＣアドレスの対のうち、不正ＭＡＣアドレスを無効にし、各端末１から不正ＭＡＣアドレスの端末１へアクセスできないように設定する（図８の（ａ）参照）。

（ステップＳ３５）専用装置３は、警告メール送信要求をメール送信機能３８に行い、メール送信する。これにより、不正ＭＡＣアドレスの不正端末１がネットワークに接続されている旨をメールで管理者に知らせることが可能となる（図６の（ｂ）のＳ４７）。

（ステップＳ３６）専用装置３は、不正端末がネットワークに接続されている旨の警告メッセージを全ての端末１に送信して全ての利用者に知らせる（図６の（ｂ）のＳ４７）。

以上によって、セグメント内のネットワークに接続されている端末１のＭＡＣアドレスを収集およびネットワークに流れているパケットを監視して送信元のＭＡＣアドレスを収集し、これら収集したＭＡＣアドレスが通信許可された端末１のＭＡＣアドレスか判別し、通信許可されていないＭＡＣアドレスが検出されたときに、当該不正ＭＡＣアドレスについて全端末１および管理者に知らせて注意を促すことが可能となる。更に、ファイアウォール定義テーブル４３中の当該不正ＭＡＣアドレスを無効（意味のないＭＡＣアドレスに書き換える）にし、セグメントと他のセグメントとの間に接続したファイアウォール３４で当該不正ＭＡＣアドレスのパケットを阻止し、不正ＭＡＣアドレスの端末１がセグメントの外に通信不可とすることが可能となる。また、専用装置３が全端末１のＡＲＰテーブル１３中のＩＰアドレスとＭＡＣアドレスのうちの不正ＭＡＣアドレスを無効に自動的に書き換えることにより、当該端末１から不正端末１に通信不可にすることが可能となる。尚、各端末１のＡＲＰテーブル１３は所定時間毎にクリアされるので、その毎あるいはそれよりも短い時間毎に、専用装置３が全端末１のＡＲＰテーブル１３中の不正ＭＡＣアドレスを見つけたときに無効に書き換える。

図７は、本発明のテーブル例を示す。
図７の（ａ）は、ＡＲＰテーブルの例を示す。ＡＲＰテーブル１３は、各端末１が持つものであって、図示の下記の情報を対応づけて登録したものである。

・ＩＰアドレス：
・ＭＡＣアドレス：
・Ｔｙｐｅ：
ここで、ＩＰアドレスはセグメント内で一意に割り当てられたアドレスである。ＭＡＣアドレスは端末１が持つ固有の一意のＩＤ（アドレス）である。ＴｙｐｅはＩＰアドレス，ＭＡＣアドレスのタイプを表す（ここでは、動的に書換可能なタイプを表す）。ここで、上段のＭＡＣアドレスは、００−００−００−００−００−００は無効に設定した例を示す。尚、ＡＲＰテーブル１３には、通信相手の端末１のＩＰアドレス、ＭＡＣアドレスＭの対を登録する。

図７の（ｂ）は、ファイアウォール定義テーブルの例を示す。ファイアフォール定義テーブル３５は、ファイアフォール３４が保持するテーブルであって、当該ファイルフォール３４を通過あるいは阻止するための情報を設定するものであり、本発明では不正ＭＡＣアドレスについて無効に設定し、パケットの通過を阻止し、セグメント内の不正端末１からセグメント外のネットワークへの送信（アクセス）を不可にするものである。

（付記１）
不正アクセスを防止する不正アクセス防止装置において、
端末から当該端末の仮ＩＰアドレスおよびＭＡＣアドレスを設定した、セキュリティ情報を付加した本ＩＰアドレスの要求の通信が受信されたときに、保持するセキュリティ情報と照合してアクセスを許可するかどうかを判断するアクセス判断手段と、
前記アクセス判断手段がアクセスを許可すると判断すると本ＩＰアドレスを割り当てるＩＰ割当手段と、
前記ＩＰ割当手段が割り当てた本ＩＰアドレスを要求元の端末に返信する返信手段と、
を有すること特徴とする不正アクセス防止装置。

（付記２）
前記あるセグメント内の端末のアクセスを監視してＩＰアドレスおよびＭＡＣアドレスを収集する収集手段と、当該ＩＰアドレスおよびＭＡＣアドレスから不正アクセスを検出したときに、前記各端末が有する通信先の不正端末のＩＰアドレスおよびＭＡＣアドレスの対のうち当該ＭＡＣアドレスを無効に書き換える書換え手段と、
を併せて有することを特徴とする付記１記載の不正アクセス防止装置。

（付記３）
不正アクセスを防止する不正アクセス防止装置において、
あるセグメントと他のセグメントとの間にファイアウォールを設け、
前記あるセグメント内の端末のアクセスを監視してＩＰアドレスおよびＭＡＣアドレスを収集する手段と、
前記収集したＩＰアドレスおよびＭＡＣアドレスから不正アクセスの端末を検出する手段と、
前記不正アクセスの端末が検出されたときに、前記ファイアウォールが持つ、前記他のセグメントの端末と通信可のＭＡＣアドレスを定義する定義テーブル中の不正端末のＭＡＣアドレスを無効に設定する手段と
を備えたことを特徴とする不正アクセス防止装置。

（付記４）
不正アクセスを防止する不正アクセス防止装置において、
端末から当該端末の仮ＩＰアドレスおよびＭＡＣアドレスを設定した、セキュリティ情報を付加した本ＩＰアドレスの要求の通信が受信されたときに、保持するセキュリティ情報と照合してチェックする手段と、
前記照合の結果、ＯＫと判明したときに本ＩＰアドレスを割り当てる手段と、
前記割り当てた本ＩＰアドレスを要求元の端末に前記仮ＩＰアドレスおよびＭＡＣアドレスを設定して返信し、当該本ＩＰアドレスと当該端末のＭＡＣアドレスを設定して他の端末と通信可とする手段と
をあるセグメントと他のセグメントとの間に設けると共に、
前記あるセグメントと他のセグメントとの間にファイアウォールを設け、
前記あるセグメント内の端末のアクセスを監視してＩＰアドレスおよびＭＡＣアドレスを収集する手段と、
前記収集したＩＰアドレスおよびＭＡＣアドレスから不正アクセスの端末を検出する手段と、
前記不正アクセスの端末が検出されたときに、前記ファイアウォールが持つ、前記他のセグメントの端末と通信可のＭＡＣアドレスを定義する定義テーブル中の不正端末のＭＡＣアドレスを無効に設定する手段と
を備えたことを特徴とする不正アクセス防止装置。

（付記５）
不正アクセスを防止する不正アクセス防止プログラムにおいて、
あるセグメントと他のセグメントとの間に接続した装置内に設けたコンピュータを、
端末から当該端末の仮ＩＰアドレスおよびＭＡＣアドレスを設定した、セキュリティ情報を付加した本ＩＰアドレスの要求の通信が受信されたときに、保持するセキュリティ情報と照合してチェックする手段と、
前記照合の結果、ＯＫと判明したときに本ＩＰアドレスを割り当てる手段と、
前記割り当てた本ＩＰアドレスを要求元の端末に前記仮ＩＰアドレスおよびＭＡＣアドレスを設定して返信する手段と
して動作させるための不正アクセス防止プログラム。

（付記６）
あるセグメントと他のセグメントとの間に接続したファイアウォールで不正アクセスを防止する不正アクセス防止プログラムにおいて、
コンピュータを、
あるセグメント内の端末のアクセスを監視してＩＰアドレスおよびＭＡＣアドレスを収集する手段と、
前記収集したＩＰアドレスおよびＭＡＣアドレスから不正アクセスを検出する手段と、
前記不正アクセスの端末が検出されたときに、前記ファイアウォールが持つ、前記他のセグメントの端末と通信可のＭＡＣアドレスを定義する定義テーブル中の不正端末のＭＡＣアドレスを無効に設定する手段と
して動作させるための不正アクセス防止プログラム。

本発明は、端末に仮ＩＰアドレスを付与してセキュリティ情報のチェックがＯＫのときに正ＩＰアドレスを付与して不正アクセスを防止すると共に、不正アクセスを監視して見つけたときに不正端末のＭＡＣアドレスを無効にすると共にファイアウォールが持つ定義テーブルの当該不正端末のＭＡＣアドレスを無効にして他のセグメントへのアクセスを不可にし、不正端末のセグメント内のアクセスおよびセグメント外へのアクセスを不可にして不正アクセスを完全に防止する不正アクセス防止装置および不正アクセス防止プログラムに関するものである。

本発明のシステム構成図である。本発明の動作説明フローチャートである。本発明の応答文例である。本発明の動作説明フローチャート（情報送信）である。本発明のクライアント情報例である。本発明の動作説明フローチャート（不正チェック）である。本発明のテーブル例である。

符号の説明

１：端末
１１：エージェント
１２：クライアント情報
１３：ＡＲＰテーブル
２：スイッチ
３：専用装置
３１：ＤＨＣＰサーバ
３４：ファイアウォール
３５：検疫マネージャ
３６：情報送受信機能
３７：検疫機能
３８：メール送信機能
３９：セキュリティポリシ情報
４０：ＤＨＣＰサーバ設定ファイル
４１：セキュリティポリシ変更機能
４２：不正ＰＣチェック機能

Claims

第１の端末と第２の端末との通信の中継処理を行なう中継装置であって、
前記第１の端末のＭＡＣアドレスと、前記第１の端末に関する情報を保持する保持手段と、
前記第１の端末から受信したアクセス要求に含まれるＭＡＣアドレスが、前記保持手段に保持されているＭＡＣアドレスと同じである場合に、前記第１の端末に第１のＩＰアドレスを割り当てる第１の割当手段と、
割り当てた前記第１のＩＰアドレスを用いて前記第１の端末から送信された前記第１の端末に関する情報を受信する受信手段と、
受信した前記第１の端末に関する情報を、前記保持手段が保持する前記第１の端末に関する情報と照合する照合手段と、
前記照合手段が照合した結果に基づいて、前記第１の端末から前記第２の端末のアクセスを許可するか否かを判断する判断手段と、
前記判断手段が前記第１の端末から前記第２の端末へのアクセスを許可すると判断した場合に、前記第１の端末に第２のＩＰアドレスを割り当てる第２の割当手段と、
割り当てた第２のＩＰアドレスを用いて行われる前記第１の端末から前記第２の端末へのアクセスを中継する中継手段と
を含むことを特徴とする中継装置。
前記第１の端末が前記中継装置を介さずに通信可能な他の端末のＭＡＣアドレスを収集する収集手段と、
前記判断手段が前記第１の端末のアクセスを許可しないと判断した場合に、前記収集手段で収集したＭＡＣアドレスに識別される前記他の端末に、前記他の端末が有する前記第１の端末のＭＡＣアドレスを無効なアドレスに書き換える指示を送信する送信手段と
をさらに含むことを特徴とする請求項１記載の中継装置。
前記第１の端末に関する情報が、前記第１の端末のハードウェアに関する情報であるＢＩＯＳ番号、ＣＰＵ番号およびハードディスク番号、前記第１の端末のソフトウェアに関する情報であるウィルスパターンバージョンおよびＯＳバージョン、並びに前記第１の端末に設定された情報である端末ＩＤおよびログインＩＤのうち、いずれか少なくとも１つを含む情報であること
を特徴とする請求項１または請求項２記載の中継装置。
第１の端末と第２の端末との通信の中継処理を行なう中継装置であって、
該保持手段に保持したＭＡＣアドレスで識別される前記第１の端末のＭＡＣアドレスと、前記第１の端末に関する情報とを保持する保持手段と、
前記第１の端末から受信したアクセス要求に含まれるＭＡＣアドレスが、前記保持手段に保持されているＭＡＣアドレスと同じである場合に、前記第１の端末に第１のＩＰアドレスを割り当てる第１の割当手段と、
割り当てた前記第１のＩＰアドレスを用いて前記第１の端末から送信された前記第１の端末に関する情報を受信する受信手段と、
受信した前記第１の端末に関する情報を、前記保持手段が保持する前記第１の端末に関する情報と照合する照合手段と、
前記照合手段が照合した結果に基づいて、前記第１の端末と前記第２の端末との通信の中継を許可するか否かを判断する判断手段と、
前記判断手段が中継を許可しない判断をした場合に、前記保持手段に保持された前記第１の端末のＭＡＣアドレスを無効なアドレスに書き換える書換手段と
を含むことを特徴とする中継装置。
不正アクセスを防止する不正アクセス防止装置において、
端末から当該端末の仮ＩＰアドレスおよびＭＡＣアドレスを設定した、セキュリティ情報を付加した本ＩＰアドレスの要求の通信が受信されたときに、保持するセキュリティ情報と照合してチェックする手段と、
前記照合の結果、ＯＫと判明したときに本ＩＰアドレスを割り当てる手段と、
前記割り当てた本ＩＰアドレスを要求元の端末に前記仮ＩＰアドレスおよびＭＡＣアドレスを設定して返信し、当該本ＩＰアドレスと当該端末のＭＡＣアドレスを設定して他の端末と通信可とする手段と
をあるセグメントと他のセグメントとの間に設けると共に、
前記あるセグメントと他のセグメントとの間にファイアウォールを設け、
前記あるセグメント内の端末のアクセスを監視してＩＰアドレスおよびＭＡＣアドレスを収集する手段と、
前記収集したＩＰアドレスとＭＡＣアドレスから不正アクセスの端末を検出する手段と、
前記不正アクセスの端末が検出されたときに、前記ファイアウォールが持つ、前記他のセグメントの端末と通信可のＭＡＣアドレスを定義する定義テーブル中の不正端末のＭＡＣアドレスを無効に設定する手段と
を備えたことを特徴とする不正アクセス防止装置。
第１の端末と第２の端末との通信の中継処理を行なうコンピュータに、
前記第１の端末のＭＡＣアドレスと、前記第１の端末に関する情報を保持手段に保持し、
前記第１の端末から受信したアクセス要求に含まれるＭＡＣアドレスが、前記保持手段に保持されているＭＡＣアドレスと同じである場合に、前記第１の端末に第１のＩＰアドレスを割り当て、
割り当てた前記第１のＩＰアドレスを用いて前記第１の端末から送信された前記第１の端末に関する情報を受信し、
受信した前記第１の端末に関する情報を、前記保持手段が保持する前記第１の端末に関する情報と照合し、
照合した結果に基づいて、前記第１の端末から前記第２の端末のアクセスを許可するか否かを判断し、
前記第１の端末から前記第２の端末へのアクセスを許可すると判断した場合に、前記第１の端末に第２のＩＰアドレスを割り当て、
割り当てた第２のＩＰアドレスを用いて行われる前記第１の端末から前記第２の端末へのアクセスを中継すること
を実行させることを特徴とするアクセス制御プログラム。