JP5015945B2 - スヌープ・エコー応答エクストラクタ - Google Patents

Description

本発明は、ネットワーク・セキュリティに係り、さらに詳細に説明すれば、ネットワーク・データ処理システム内のスヌーピング装置からエコー応答を抽出するためのプログラムに係る。

多くの努力が、セキュリティ上の脅威を検出し且つこれに応答するネットワーク・セキュリティ製品の開発に向けられている。ハッカーによって使用される２つの最も一般的な技術は、ポート・スキャン及びネットワーク・スヌーピングである。ネットワーク・スヌーピングが特に危険である理由は、スヌーピング装置がネットワーク上で全てのトラフィックを受動的に傍受して、ユーザＩＤ及びパスワードに関する情報を収集するからである。

ネットワーク上で誰かがスヌーピングを行っていることを検出する問題を理解するには、目隠しされた１群の人々が正餐用のテーブルを囲んで座っている状況を考慮すればよい。すなわち、それぞれの人は、直接の会話を通して他の人に話しかけることができる。全ての人は、その人に向けられていない如何なる会話も盗み聞きしないことに合意する。しかし、悪者の参加者は、テーブルの近くに座り、全ての会話を盗聴することができる。さらに、この悪者は、テーブルでまともな態度で話すことができる。これらの人々は、悪者の存在を知ることができない。悪者の存在のことを知っていたとしても、悪者が誰であるかを知らないであろう。

同様に、ハッカーは、ネットワーク・トラフィックを盗聴するようにコンピュータ装置を修正することができる。例えば、臨時従業員は、ユーザＩＤ及びパスワードを記録するように、コンピュータをスヌープ・モードに設定することができる。有効なユーザＩＤ及びパスワードが得られると、ハッカーは、例えば、機密情報にアクセスすることができるであろう。ハッカーは、無線ルータの範囲にある階段の吹き抜けに、ラップトップ・コンピュータを持って隠れていて、機密情報を盗むことがある。

本発明は、従来技術の欠陥を認識し、コンピュータ・ネットワーク内のスヌーピング装置から応答を抽出するための技術を提供する。コンピュータ・ネットワークに接続されたパケット送信元装置は、偽造した（bogus）ハードウェア・アドレス及び有効なネットワーク・プロトコル・アドレスを有するエコー要求パケットを生成する。パケット送信元装置は、このエコー要求パケットをコンピュータ・ネットワーク上に送信する。コンピュータ・ネットワーク上のエコー応答パケットを受信することに応答して、パケット送信元装置は、スヌーピング装置の存在を識別する。

図１及び図２は、本発明の実施形態を実装することができる、データ処理環境を例示する図面として提示される。図１及び図２は、単に例示的なものであるに過ぎず、本発明の実施形態を実装することできる環境に関する如何なる制限も主張又は意図するものではない。本発明の精神及び範囲から逸脱することなく、図示された環境に対し多くの修正を施すことができる。

図１は、本発明の実施形態を実装することができる、データ処理システムのネットワークの概観を示す。ネットワーク・データ処理システム１００は、本発明の実施形態を実装することができるコンピュータのネットワークである。ネットワーク・データ処理システム１００が含むネットワーク１０２は、ネットワーク・データ処理システム１００内の相互に接続された種々の装置及びコンピュータの間の通信リンクを提供するために使用される媒体である。ネットワーク１０２は、ワイヤ、無線通信リンク又は光ファイバ・ケーブルのような接続を含むことができる。

図示の例では、サーバ１０４及びストレージ１０６は、ネットワーク１０２に接続する。さらに、クライアント１１２、１１４、１１６及び１１８は、ネットワーク１０２に接続する。これらのクライアント１１２、１１４、１１６及び１１８は、例えば、パーソナル・コンピュータ又はネットワーク・コンピュータとすることができる。具体的には、クライアント１１２は、無線通信を通してネットワーク１０２に接続されたラップトップ・コンピュータとすることができる。クライアント１１４及び１１６は、例えば、デスクトップ・コンピュータとすることができる。クライアント１１８は、例えば、パーソナル・デジタル・アシスタント（ＰＤＡ）、タブレット・コンピュータ又は電話機とすることができる。図示の例において、サーバ１０４は、ブート・ファイル、オペレーティング・システムのイメージ、並びにクライアント１１２、１１４、１１６及び１１８に対するアプリケーションのようなデータを提供する。この例では、クライアント１１２、１１４、１１６及び１１８は、サーバ１０４に対するクライアントである。ネットワーク・データ処理システム１００は、図示されていない追加のサーバ、クライアント及び他の装置を含むことができる。

図示の例では、ネットワーク・データ処理システム１００は、ネットワーク１０２を備えたインターネットであって、互いに通信するために伝送制御プロトコル／インターネット・プロトコル（ＴＣＰ／ＩＰ）スイートを使用するネットワーク及びゲートウェイの世界的な集合体を表す。インターネットの中心は、データ及びメッセージを発送する、何千もの商用、政府用、教育用及び他のコンピュータ・システムから成る、主要ノード又はホスト・コンピュータ間の高速データ通信線のバックボーンである。もちろん、ネットワーク・データ処理システム１００は、イントラネット、ローカル・エリア・ネットワーク（ＬＡＮ）、広域ネットワーク（ＷＡＮ）等の、多くの異なるタイプのネットワークとしても実装することができる。図１は、１例として図示されたものであって、本発明の諸実施形態のアーキテクチャ上の制限を示すことを意図するものではない。

図２は、本発明の実施形態を実装することができる、データ処理システムのブロック図を示す。データ処理システム２００は、図１のサーバ１０４又はクライアント１１２のようなコンピュータの１例であり、その内部には本発明の実施形態用のプロセスを実装するコンピュータ使用可能コードすなわち命令が存在する。

図示の例では、データ処理システム２００は、ノース・ブリッジ兼メモリ・コントローラ・ハブ（ＮＢ／ＭＣＨ）２０８及びサウスブリッジ兼入出力コントローラ・ハブ（ＳＢ／ＭＣＨ）２１０を含む、ハブ・アーキテクチャを使用する。処理ユニット２０６、主メモリ２０４及びグラフィックス・プロセッサ２１８は、ＮＢ／ＭＣＨ ２０８に接続される。 グラフィックス・プロセッサ２１８は、アクセラレィテッド・グラフィックス・ポート（ＡＧＰ）を介して、ＮＢ／ＭＣＨ ２０８に接続することができる。

ネットワーク・アダプタ２１２は、ＳＢ／ＩＣＨ ２１０に接続する。オーディオ・アダプタ２１６、キーボード及びマウス・アダプタ２２０、モデム２２２、読み取り専用メモリ（ＲＯＭ）２２４、ハード・ディスク・ドライブ（ＨＤＤ）２２６、ＣＤ−ＲＯＭドライブ２３０、ユニバーサル・シリアル・バス（ＵＳＢ）ポート及び他の通信ポート２３２、ＰＣＩ／ＰＣＩｅ装置２３４は、バス２３８及びバス２４０を通して、ＳＢ／ＩＣＨ ２１０に接続する。ＰＣＩ／ＰＣＩｅ装置は、例えば、イーサネット（登録商標）・アダプタ、アドイン・カード、ノート型コンピュータ用のＰＣカードを含むことができる。ＰＣＩはカード・バス・コントローラを使用するが、ＰＣＩｅはこれを使用しない。ＲＯＭ ２２４は、例えば、フラッシュ型の基本入出力システム（ＢＩＯＳ）とすることができる。

ＨＤＤ ２２６及びＣＤ−ＲＯＭドライブ２３０は、バス２４０を通して、ＳＢ／ＩＣＨ ２１０に接続する。ＨＤＤ ２２６及びＣＤ−ＲＯＭドライブ２３０は、例えば、統合ドライブ・エレクトロニクス（ＩＤＥ）又はシリアル・アドバンスト・テクノロジー・アタッチメント（ＳＡＴＡ）インタフェースを使用することができる。ＳＩＯ（Super I/O）装置２３６は、ＳＢ／ＩＣＨ ２１０に接続することができる。

オペレーティング・システムは、処理ユニット２０６上で稼働し、データ処理システム２００内の種々のコンポーネントを統制及び制御する。クライアントとして、オペレーティング・システムは、Ｍｉｃｒｏｓｏｆｔ Ｗｉｎｄｏｗｓ ＸＰ（「Ｍｉｃｒｏｓｏｆｔ」及び「Ｗｉｎｄｏｗｓ」は、マイクロソフト社の登録商標）のような市販のオペレーティング・システムとすることができる。Ｊａｖａプログラミング・システムのようなオブジェクト指向のプログラミング・システムは、オペレーティング・システムと共に稼働することができ、データ処理システム２００上で実行中のＪａｖａプログラム又はアプリケーションからオペレーティング・システムへの呼び出しを提供する（「Ｊａｖａ」は、サン・マイクロシステムズ社の登録商標）。

サーバとして、データ処理システム２００は、例えば、ＡＩＸ（Advanced Interactive Executive）オペレーティング・システム又はＬＩＮＵＸオペレーティング・システムを搭載した、ＩＢＭ ｅＳｅｒｖｅｒ ｐＳｅｒｉｅｓコンピュータ・システムとすることができる（「ｅＳｅｒｖｅｒ」、「ｐＳｅｒｉｅｓ」及び「ＡＩＸ」は、ＩＢＭ社の商標であり、「ＬＩＮＵＸ」は、リーナス・トーバルズの商標）。データ処理システム２００は、処理ユニット２０６内に複数のプロセッサを含む、対称マルチプロセッサ（ＳＭＰ）システムとすることができる。代替的に、単一プロセッサ・システムを使用することもできる。

オペレーティング・システム、オブジェクト指向のプログラミング・システム及びアプリケーション又はプログラム用の命令は、ＨＤＤ ２２６のようなストレージ装置に置かれ、処理ユニット２０６による実行のために主メモリ２０４にロードすることができる。本発明の実施形態用のプロセスは、例えば、主メモリ２０４、ＲＯＭ １２４のようなメモリ内、又は１つ以上の周辺装置２２６及び２３０内に置かれたコンピュータ使用可能なプログラム・コードを使用する、処理ユニット２０６によって実行することができる。

当業者には明らかなように、図１及び図２のハードウェアは、実装に応じて変わることがある。図１及び図２に示すハードウェアに加えて、又はそのハードウェアに代えて、フラッシュ・メモリ、それと同等の不揮発性メモリ、光ディスク・ドライブ等の、他の内部ハードウェア又は周辺装置を使用することができる。また、本発明のプロセスは、多重プロセッサ・データ処理システムにも適用することができる。

幾つかの例では、データ処理システム２００は、オペレーティング・システムのファイル又はユーザ生成データを格納するための不揮発性メモリ又はフラッシュ・メモリで構成される、パーソナル・デジタル・アシスタント（ＰＤＡ）とすることができる。

バス・システムは、図２のバス２３８又はバス２４０のような、１つ以上のバスから構成することができる。もちろん、このバス・システムは、異なるコンポーネント又は装置の間でデータを転送する、任意のタイプの通信ファブリック又はアーキテクチャを使用して実装することができる。通信ユニットは、図２のモデム２２２又はネットワーク・アダプタ２１２のような、データを送信及び受信するために使用される１つ以上の装置を含むことができる。メモリは、例えば、主メモリ２０４、ＲＯＭ ２２４又はＮＢ／ＭＣＨ ２０８内にあるキャッシュとすることができる。図１及び図２に図示した例及び前述の例は、アーキテクチャ上の制限を意味するものではない。例えば、データ処理システム２００は、ＰＤＡの形式を取ることに加えて、タブレット・コンピュータ、ラップトップ・コンピュータ、電話機の形式を取ることができる。

図１に戻って説明すると、悪者のクライアント１２０も、ネットワーク１０２に接続されている。悪者のクライアント１２０は、ネットワーク１０２上のネットワーク・トラフィックを受信し且つこれを記録するようにスヌープ・モードで動作する、無許可の計算装置とすることができる。例えば、臨時従業員は、ユーザＩＤ及びパスワードを記録するように、コンピュータをスヌープ・モードに設定することができる。有効なユーザＩＤ及びパスワードが得られると、ハッカーは、例えば、機密情報にアクセスすることができるであろう。ハッカーは、ネットワーク１０２内の無線ルータの範囲にある階段の吹き抜けに、図示の例における悪質なクライアント１２０のようなラップトップ・コンピュータを持って隠れていて、機密情報を盗むことがある。

１つの解決策は、架空のユーザＩＤ及びパスワードを使用して架空のサーバにログインする際の会話をシミュレートすることであろう。その場合、悪者は同じ会話を試みるであろう。

本発明の実施形態に従って、ネットワーク上の或る装置は、他の如何なる装置も応答すべきでない、エコー応答パケットを生成する。諸パケットがハードウェア層及びネットワーク・アドレス層内で互いに異なって扱われる方法を使用すると、応答を送信するように悪者を騙すことができる。このようにして、悪者が識別されるであろう。

図３及び図４は、本発明の実施形態に従ったスヌープ・エコー応答エクストラクタの動作を例示する。図３を参照すると、パケット送信元装置（以下「送信元装置」と略記）３０４は、ネットワーク３０２を介して、パケットをパケット送信先装置（以下「送信先装置」と略記）３０６に送信する。このパケットは、ルーティング情報を含む。このルーティング情報は、送信先のメディア・アクセス制御（ＭＡＣ）アドレス及び送信先のインターネット・プロトコル（ＩＰ）アドレスを含む。ＭＡＣアドレスは、或るネットワーク・インタフェースカード・カード（ＮＩＣ）を他の全てのものから識別するために、イーサネット（登録商標）及びトークン・リング・アダプタに焼き付けられる、一意的な通し番号である。ＭＡＣアドレスは、ハードウェア・アドレスである。これに対し、ＩＰアドレスは、インターネット・プロトコル又はネットワークのソフトウェア・アドレスである。パケット・ルーティングのさらなる詳細は、国際標準化機構（ＩＳＯ）の７階層ネットワーク・モデルに関連する規格書において見いだすことができる。送信元装置３０４は、送信すべきパケットを構築する前に、先ず送信先装置３０６のＭＡＣアドレスを識別しなければならない。送信元装置３０４のオペレーティング・システムは、送信先装置３０６のＭＡＣアドレスを得るために、アドレス解決プロトコル（ＡＲＰ）コールを送信する。送信先装置３０６がローカルでなければ、送信元装置３０４のオペレーティング・システムは、当該パケットをルータに送信し、これに応じて、当該ルータは、ネットワーク上でＡＲＰの呼び出しを行う。このルータがＡＲＰの応答を得れば、当該ルータは、当該パケットをＭＡＣアドレスに直接的に送信する。このルータが応答を得なければ、当該ルータは、当該パケットを他のルータに送信する。

スヌーピング装置３２０は、他の装置に向けたパケットを受信するように、スヌープ・モードで動作する計算装置である。すなわち、スヌーピング装置３２０は、それ自体の構成済みＭＡＣアドレスと一致する送信先ＭＡＣアドレスを有するパケットのみを受信するような通常の計算装置とは異なり、ＭＡＣアドレスに拘わらずパケットを受信する。このことは、ネットワーク・インタフェース・カード（ＮＩＣ）をプロミスキャス・モードで動作させることとも称される。図３の例では、スヌーピング装置３２０は、送信先装置３０６に向けたパケットを受信する。

図４を参照すると、送信元装置３０４は、エコー要求パケットを生成する。エコー要求は、「ピング」（ping：packet Internetgroperの略語）として知られている。ピングは、パケットを送信し且つ応答を待機することにより、特定のＩＰアドレスに到達可能であるか否かをオンラインで決定するために使用される、インターネット・ユーティリィティである。また、ピングは、ネットワークをテスト及びデバッグしたり、ユーザ又はサーバがオンラインであるか否かを確認するためにも使用することができる。

本発明の実施形態に従って、送出元装置３０４は、偽造した送信先ＭＡＣアドレス及び有効なＩＰアドレス又はイーサネット（登録商標）・ブロードキャスト・アドレスを有するエコー要求を送信する。従って、当該ＩＰアドレスが検査される唯一の方法は、或る装置が、当該ＭＡＣアドレスを無視して、当該パケットを読み取ることである。換言すれば、スヌーピング装置だけが、当該ＭＡＣアドレスを有する他の送信先へ向けたエコー要求に応答するであろう。

図示の例では、「偽造」すなわち「変更」したＭＡＣアドレスが使用される。幾つかの装置を検出するためには、「ブロードキャスト」又は「マルチキャスト」ＭＡＣアドレスが必要である。そうすると、スヌーピング装置は、当該装置に依存する一意的な態様で、当該ピングに応答する。例えば、装置は、スヌープする場合は２回応答し、スヌープしない場合は１回だけ応答する。ブロードキャスト・アドレスは、一般に、アドレス解決用の要求を送信するために使用されるか、又はネットワーク上の全てのノード若しくはネットワークの一部に対するサービスを宣伝するために使用される。これに対し、マルチキャスト・アドレスは、一般に、或るメッセージを複数の送信先に対し同時に送信するために使用される。マルチキャストは、１対多の送信であるという点でブロードキャストに類似するが、不特定多数の送信先にメッセージを送信するブロードキャストとは異なり、特定グループの送信先にしかメッセージを送信しない。

図示の例では、スヌーピング装置３２０は、ハードウェア層において当該送信先ＭＡＣアドレスを無視し、当該パケットをインターネット・プロトコル層へ転送する。この場合、当該ＩＰアドレスは、スヌーピング装置３２０について有効なＩＰアドレスである。これを達成するには、サブネット内の全てのアドレスを循環させるか、又は（後述のように）ブロードキャストＩＰアドレスを使用すればよい。当該ＩＰアドレスがスヌーピング装置３２０について有効であるので、スヌーピング装置３２０は、当該パケットを処理し、エコー・パケットを戻す。

図５は、本発明の実施形態に従ったスヌーピング装置を例示する。図５のスヌーピング装置４００は、プロミスキャス・モードで動作中の装置である。かかるスヌーピング装置は、既知の態様で動作する。しかし、本発明のスヌープ・エコー応答抽出技術に起因して、スヌーピング装置４００は、エコー要求に応答するように「騙され」、その結果、それ自体をプロミスキャス・モードで動作中の装置として識別する。

スヌーピング装置４００は、ハードウェア層４１０及びインターネット・プロトコル層４２０を含む。ハードウェア層４１０は、例えば、ネットワーク・インタフェース・カード（ＮＩＣ）とすることができる。スヌーピング装置４００は、ハードウェア層４１０においてエコー要求パケットを受信する。ハードウェア層４１０は、当該パケットの送信先ＭＡＣアドレスを無視し、当該パケットをＩＰ層４２０へ転送する（ステップ４１２）。

ＩＰ層４２０は、パケット情報を記録し（ステップ４２２）、当該送信先ＩＰアドレスが当該システムの構成済みＩＰアドレスと一致するか否かを決定する（ステップ４２４）。ＩＰアドレスが一致しなければ、ＩＰ層４２０は、当該パケットを無視する（ステップ４２６）。さもなければ、ＩＰ層４２０は、当該パケットを処理する（ステップ４２８）。すなわち、エコー要求の場合は、当該パケットを処理する結果として、ＩＰ層４２０は、エコー応答を生成し、これをハードウェア層４１０を介してネットワーク上に戻す。

従って、本発明の目標は、スヌーピング装置４００によって処理されるであろうＩＰアドレスを有するエコー要求を生成することである。この目標を達成する１つの方法は、サブネット内の全てのＩＰアドレスを循環させ、各ＩＰアドレスごとにエコー要求を送信することである。しかし、ＩＰアドレスのうちの幾つかは正当な装置によって使用されるであろう。従って、本発明の実施形態に従った送出元装置は、偽造したＭＡＣアドレスを使用する。 プロミスキャス装置だけが、偽造した送信先ＭＡＣアドレスを有するパケットを受信するであろう。送信されるエコー要求内の送信先ＩＰアドレスがスヌーピング装置４００の構成済みＩＰアドレスと一致する場合、スヌーピング装置４００は、当該パケットを処理して、エコー応答を戻すであろう。

本発明の他の実施形態に従った、他のエコー応答抽出方法は、偽造したＭＡＣアドレス及びブロードキャストＩＰアドレスを有するエコー要求パケットを生成することである。ネットワーク上の各装置は、当該装置がかかるパケットを受信すべきものであれば、当該パケットを処理するであろう。しかし、正当な装置のハードウェア層は、偽造した送信先ＭＡＣアドレスに起因して、かかるパケットを無視するであろう。それにも拘わらず、スヌーピング装置４００は、偽造した送信先ＭＡＣアドレスを無視し、当該パケットを処理のためにＩＰ層へ転送するであろう。ブロードキャストＩＰアドレスがスヌーピング装置４００について有効であるので、スヌーピング装置４００は、当該パケットを処理して、エコー応答を戻すであろう。

図６〜図８は、本発明の実施形態に従ったエコー要求パケットを例示する。具体的には、図６は、代表的なエコー要求パケットを示す。図６のパケットは、送信元ＭＡＣアドレス及び送信先ＭＡＣアドレスを含む。

図７では、送信先ＭＡＣアドレスが、偽造したＭＡＣアドレスに設定されている。従って、図７のエコー要求パケットに応答する任意の装置は、スヌープ・モードで動作していなければならない。図７のパケットが有効な送信先ＩＰアドレスを有することに留意されたい。当該パケットを処理するためには、受信装置は、当該装置の構成済みＩＰアドレスと一致するＩＰアドレスを確認しなければならない。本発明の１つの実施形態に従って、送信元装置は、サブネット内のＩＰアドレスを循環させつつ、エコー要求パケットを反復的に生成し且つ送信する。

図８では、エコー要求パケットが、ブロードキャストＩＰアドレスを使用して生成される。再び、送信先ＭＡＣアドレスは、偽造したＭＡＣアドレスである。従って、ネットワークに接続された装置がスヌープ・モードで動作していなければ、応答は受信されないであろう。図８の例では、送信先ＩＰアドレスは、ブロードキャストＩＰアドレスに設定されている。この例では、ブロードキャストＩＰアドレスは、「２５５.２５５.２５５.０」である。しかし、ブロードキャストＩＰアドレスは、ネットワーク構成に依存して変わることがある。

図９は、本発明の実施形態に従った、循環されたＩＰアドレスを使用するスヌープ・エコー応答エクストラクタの動作を示すフローチャートである。図１０は、本発明の実施形態に従った、ブロードキャストＩＰアドレスを使用するスヌープ・エコー応答エクストラクタの動作を示すフローチャートである。これらのフローチャートの各ブロック及びブロックの組み合わせは、コンピュータ・プログラム命令によって実装することができる。

これらのコンピュータ・プログラム命令を、プロセッサ又は他のプログラム可能なデータ処理装置に提供すると、当該プロセッサ又は他のプログラム可能なデータ処理装置上で実行される命令が、各フローチャートのブロックで指定された機能を実装するための手段を作成することを目的として、マシンを生産することができる。また、これらのコンピュータ・プログラム命令を、コンピュータ可読メモリ、ストレージ又は伝送媒体内に具体化すると、当該コンピュータ可読メモリ又はストレージ内に格納された命令が、各フローチャートのブロックで指定された機能を実装する命令手段を含む製品を生産することを目的として、プロセッサ又は他のプログラム可能なデータ処理装置に対し特定の態様で機能するように指示することができる。

従って、これらのフローチャートの諸ブロックは、指定された機能を実行するための手段の組み合わせ、指定された機能を実行するためのステップの組み合わせ及び指定された機能を実行するためのコンピュータ使用可能なプログラム・コードを支持する。また、これらのフローチャートの各ブロック及びブロックの組み合わせは、指定された機能又はステップを実行する専用のハードウェア・ベースのコンピュータ・システム、又は専用ハードウェア及びコンピュータ命令の組み合わせによって実装することができる。

図９は、スヌープ・エコー応答エクストラクタの動作を示す。動作が開始すると、スヌープ・エコー応答エクストラクタは、サブネット内の次の有効なアドレスを選択し（ブロック６０２）、偽造したＭＡＣアドレスを有するエコー要求パケットを生成し（ブロック６０４）、当該エコー要求パケットを選択されたアドレスへ送信し（ブロック６０６）、その後、エコー応答が受信されるか否かを決定する（ブロック６０８）。

エコー応答が受信されなければ、スヌープ・エコー応答エクストラクタは、当該サブネット内の最終アドレスが考慮されたか否かを決定する（ブロック６１０）。最終アドレスが考慮されていれば、動作は終了する。さもなければ、ブロック６０２に戻って、当該サブネット内の次のアドレスを選択する。このプロセスは、当該サブネット内の全てのアドレスが考慮されるまで繰り返される。

エコー応答が受信されるならば（ブロック６０８）、スヌープ・エコー応答エクストラクタは、プロミスキャス装置を識別し（ブロック６１２）、次のブロック６１０で、前述のように、当該サブネット内の最終アドレスが考慮されたか否かを決定する。ブロック６１２でプロミスキャス装置を識別するには、例えば、送信元ＩＰアドレスについてエコー応答パケットを検査すればよい。プロミスキャス装置を識別した後、是正措置を取ることができる。ネットワークに接続された計算装置は、単に誤動作しているだけかもしれない。スヌーピング装置が識別されるならば、調査を行うことにより、プロミスキャス装置を突き止めるか又は当該装置からの全てのトラフィックを阻止することができ、その結果、当該装置がネットワークに接続された資源にアクセスするのを防止することができる。

図１０は、ブロードキャストＩＰアドレスを使用するスヌープ・エコー応答エクストラクタの動作を示す。動作が開始すると、スヌープ・エコー応答エクストラクタは、偽造したＭＡＣアドレス及びブロードキャストＩＰアドレスを有するエコー要求パケットを生成し（ブロック７０２）、ブロードキャストＩＰアドレスに当該エコー要求パケットを送信し（ブロック７０４）、その後、エコー応答が受信されるか否かを決定する（ブロック７０６）。

エコー応答が受信されなければ、動作は終了する。さもなければ、スヌープ・エコー応答エクストラクタは、プロミスキャス装置を識別し（ブロック７０８）、そして動作が終了する。ブロック７０８でプロミスキャス装置を識別するには、例えば、送信元ＩＰアドレスについてエコー応答パケットを検査すればよい。プロミスキャス装置を識別した後、是正措置を取ることができる。ネットワークに接続された計算装置は、単に誤動作しているだけかもしれない。スヌーピング装置が識別されるならば、調査を行うことにより、プロミスキャス装置を突き止めるか又は当該装置からの全てのトラフィックを阻止することができ、その結果、当該装置がネットワークに接続された資源にアクセスするのを防止することができる。

従って、本発明は、ネットワーク環境内のスヌーピング装置を識別するための機構を提供することにより、従来技術の欠陥を解決する。スヌープ・エコー応答エクストラクタは、スヌーピング装置だけによって受信されるであろう偽造したＭＡＣアドレスを有するエコー要求パケットを生成する。また、スヌープ・エコー応答エクストラクタは、スヌーピング装置を当該エコー要求に応答させるようなＩＰアドレスを使用する。

本発明は、完全にハードウェアの実施形態、完全にソフトウェアの実施形態、又はソフトウェア及びハードウェア要素の両方を含む実施形態の形式を取ることができる。推奨実施形態では、本発明は、ファームウェア、常駐ソフトウェア、マイクロコード等を含む、ソフトウェアで実装される。

また、本発明は、コンピュータ又は任意の命令実行システムに関連して又はこれらによって使用するためのプログラム・コードを提供する、コンピュータ使用可能媒体又はコンピュータ可読媒体からアクセス可能なコンピュータ・プログラム製品の形式を取ることができる。この記載の目的上、コンピュータ使用可能媒体又はコンピュータ可読媒体は、前記命令実行システム又は装置に関連して又はこれらによって使用するためのプログラムを保持し、格納し、通信し、伝送し、移送することができる、任意の有形的装置とすることができる。

媒体は、電子、磁気、光学、電磁気、赤外線又は半導体式のシステム（若しくは装置）又は伝送媒体とすることができる。コンピュータ可読媒体の例には、半導体又は固体メモリ、磁気テープ、取り外し可能なフレキシブル・ディスク、ランダム・アクセス・メモリ（ＲＡＭ）、読み取り専用メモリ（ＲＯＭ）、剛体磁気ディスク及び光ディスク等がある。光ディスクの例には、読み取り専用のＣＤ−ＲＯＭ、読み書き可能なＣＤ−Ｒ／Ｗ及びＤＶＤがある。

プログラム・コードを格納及び／又は実行するのに適したデータ処理システムは、システム・バスを通してメモリ要素に直接的又は間接的に接続された少なくとも１つのプロセッサを含む。これらのメモリ要素は、プログラム・コードの実行中に使用されるローカル・メモリ、バルク・ストレージ、プログラム・コードの実行中にバルク・ストレージからの検索回数を減少させるために少なくとも或るプログラム・コードの一時的記憶領域を提供するキャッシュ・メモリを含むことができる。

Ｉ／Ｏ装置（キーボード、ディスプレイ、ポインティング装置等を含む）は、システムに対し直接的に又は介在するＩ／Ｏコントローラを通して結合することができる。

また、ネットワーク・アダプタをデータ処理システムに対し結合することもできる。そのようにすると、当該データ処理システムは、介在する専用又は公衆ネットワークを通して、他のデータ処理システム、遠隔プリンタ又は記憶装置に結合されるようになる。ネットワーク・アダプタの例には、モデム、ケーブル・モデム及びイーサネット（登録商標）・カード等がある。

本発明に関する記述は、例示及び説明を目的として与えられたものであって、網羅的であること及び開示された形態に本発明を限定することを意図するものではない。当業者にとって、多くの修正及び変形が明らかであろう。実施形態は、本発明の原理及び実際的な応用を最もよく説明し、考えられる特定の用途に適するような種々の修正を伴う種々の実施形態に関して当業者が本発明を理解することを可能にするために、選択され説明されたものである。

本発明の実施形態を実装することができる、データ処理システムのネットワークの概観を示す図である。 本発明の実施形態を実装することができる、データ処理システムのブロック図である 本発明の実施形態に従った、スヌープ・エコー応答エクストラクタの動作を示す図である。 本発明の実施形態に従った、スヌープ・エコー応答エクストラクタの動作を示す図である。 本発明の実施形態に従った、スヌーピング装置を示すブロック図である。 本発明の実施形態に従った、エコー要求パケットを示す図である。 本発明の実施形態に従った、エコー要求パケットを示す図である。 本発明の実施形態に従った、エコー要求パケットを示す図である。 本発明の実施形態に従った、循環されたＩＰアドレスを使用するスヌープ・エコー応答エクストラクタの動作を示すフローチャートである。 本発明の実施形態に従った、ブロードキャストＩＰアドレスを使用するスヌープ・エコー応答エクストラクタの動作を示すフローチャートである。

符号の説明

３０２ ネットワーク
３０４ パケット送信元装置
３０６ パケット送信先装置
３２０ スヌーピング装置

Claims (11)

1. コンピュータ・ネットワーク内のスヌーピング装置からエコー応答を引き出すための方法であって、パケット送信元装置が、
   スヌーピング装置からエコー応答を引き出すために、前記パケット送信元装置の送信元ハードウェア・アドレス及び送信元ネットワーク・プロトコル・アドレスと、偽造した宛先メディア・アクセス制御（ＭＡＣ）アドレスと、有効な宛先ネットワーク・プロトコル・アドレスとを有するエコー要求パケットを生成するステップと、
   前記エコー要求パケットを前記コンピュータ・ネットワーク上の１以上のデバイスに送信するステップであって、前記スヌーピング・デバイスは、前記エコー要求パケットをハードウェア層において受信し、当該ハードウェア層において前記受信したエコー要求パケット中の前記偽造した宛先メディア・アクセス制御（ＭＡＣ）アドレスを無視し、前記受信したエコー要求パケットをインターネットプロトコル層へ転送し、当該インターネットプロトコル層において前記転送されたエコー要求パケットを処理してエコー応答パケットを前記パケット送信元装置へ送信し、前記スヌーピング装置以外の前記コンピュータ・ネットワーク上の装置は、前記偽造した宛先メディア・アクセス制御（ＭＡＣ）アドレスに起因して、ハードウェア層において前記エコー要求パケットを無視する、前記送信するステップと、
   前記コンピュータ・ネットワーク上のエコー応答パケットを受信することに応答して、前記１以上のデバイス中にあるスヌーピング装置の存在を識別するステップと
   を実行することを含む、前記方法。
2. 前記エコー要求パケットを生成するステップが、前記有効な宛先ネットワーク・プロトコル・アドレスをサブネットから選択することを含み、
   前記パケット送信元装置が、
   前記サブネット内のネットワーク・プロトコル・アドレスを循環させるステップと、
   前記サブネット内の複数のネットワーク・プロトコル・アドレスの各々ごとに一つのエコー要求パケットを生成するステップと
   を実行することをさらに含む、請求項１に記載の方法。
3. 前記有効な宛先ネットワーク・プロトコル・アドレスが、ＩＰアドレス又はブロードキャスト・アドレスである、請求項１又は２に記載の方法。
4. 前記パケット送信元装置が、
   前記スヌーピング装置の送信元ネットワーク・プロトコル・アドレスを識別するために前記エコー応答パケットを検査するステップを実行することをさらに含む、請求項１〜３のいずれか一項に記載の方法。
5. 前記パケット送信元装置が、
   前記スヌーピング装置の前記送信元ネットワーク・プロトコル・アドレスから発信される全てのネットワーク・トラフィックを阻止するステップを実行することをさらに含む、請求項４に記載の方法。
6. コンピュータ・ネットワーク内のスヌーピング装置からエコー応答を引き出すための装置であって、
   プロセッサと、
   前記プロセッサに動作可能に接続されたネットワーク・アダプタと、
   前記プロセッサに動作可能に接続され且つコンピュータ命令を格納するメモリとを備え、
   前記プロセッサが、前記コンピュータ命令の制御下で、
   スヌーピング装置からエコー応答を引き出すために、前記パケット送信元装置の送信元ハードウェア・アドレス及び送信元ネットワーク・プロトコル・アドレスと、偽造した宛先メディア・アクセス制御（ＭＡＣ）アドレスと、有効な宛先ネットワーク・プロトコル・アドレスとを有するエコー要求パケットを生成し、
   前記ネットワーク・アダプタを使用して、前記エコー要求パケットを前記コンピュータ・ネットワーク上の１以上のデバイスに送信し、ここで、前記スヌーピング・デバイスは、前記エコー要求パケットをハードウェア層において受信し、当該ハードウェア層において前記受信したエコー要求パケット中の前記偽造した宛先メディア・アクセス制御（ＭＡＣ）を無視し、前記受信したエコー要求パケットをインターネットプロトコル層へ転送し、当該インターネットプロトコル層において前記転送されたエコー要求パケットを処理してエコー応答パケットを前記パケット送信元装置へ送信し、前記スヌーピング装置以外の前記コンピュータ・ネットワーク上の装置は、前記偽造した宛先メディア・アクセス制御（ＭＡＣ）アドレスに起因して、ハードウェア層において前記エコー要求パケットを無視し、
   前記コンピュータ・ネットワーク上のエコー応答パケットを受信することに応答して、前記１以上のデバイス中にあるスヌーピング装置の存在を識別する、前記装置。
7. 前記エコー要求パケットを生成することが、前記有効な宛先ネットワーク・プロトコル・アドレスをサブネットから選択することを含み、
   前記プロセッサが、前記コンピュータ命令の制御下で、
   前記サブネット内のネットワーク・プロトコル・アドレスを循環させ、
   前記サブネット内の複数のネットワーク・プロトコル・アドレスの各々ごとに一つのエコー要求パケットを生成する、請求項６に記載の装置。
8. 前記有効な宛先ネットワーク・プロトコル・アドレスが、ＩＰアドレス又はブロードキャスト・アドレスである、請求項６又は７に記載の装置。
9. 前記プロセッサが、前記コンピュータ命令の制御下で、
   前記スヌーピング装置の送信元ネットワーク・プロトコル・アドレスを識別するために前記エコー応答パケットを検査する、請求項６〜８のいずれか一項に記載の装置。
10. 前記プロセッサが、前記コンピュータ命令の制御下で、
    前記スヌーピング装置の前記送信元ネットワーク・プロトコル・アドレスから発信される全てのネットワーク・トラフィックを阻止する、請求項９に記載の装置。
11. コンピュータ・ネットワーク内のスヌーピング装置から応答を抽出するためのコンピュータ・プログラムであって、コンピュータに請求項１〜５のいずれか一項に記載の方法の各ステップを実行させる前記コンピュータ・プログラム。

Images