JP5390798B2 - ネットワーク機器についての早期警告のための方法と装置 - Google Patents

Description

本発明はコンピュータネットワークセキュリティに関し、特にネットワーク機器についての早期警告のための方法と装置に関する。

イーサネット（登録商標）においては、ネットワーク層はデータパケットに含まれるＩＰ（インターネットプロトコル）アドレスによりネットワーク内の各デバイスを識別する。データリンク層はＭＡＣ（メディアアクセス制御）アドレスによりネットワーク内の各デバイスを識別する。ネットワーク機器は少なくとも１つのＩＰアドレスとＭＡＣアドレスの間の対応関係（mapping relationship）を含んだＡＲＰ（アドレス解決プロトコル）テーブルを有することがあり、そのネットワーク機器はＡＲＰテーブルの対応関係をチェックしてデータパケット中のＩＰアドレスに対応したＭＡＣアドレスを得ることができ、データパケットはＭＡＣアドレスに対応するデバイスに送られる。

もしネットワーク機器がＡＲＰテーブルの位置づけ関係をチェックすることでデータパケット中のＩＰアドレスに対応したＭＡＣアドレスを取得することができない場合、ネットワーク機器のブロードキャストドメインの範囲でブロードキャストする方法でＡＲＰ要求パケットが送信され、ＡＲＰ要求パケット中のＩＰアドレスと一致するＩＰアドレスを有するネットワーク機器が応答し、該ネットワーク機器がＡＲＰ要求パケットを送信したネットワーク機器に対するフィードバックとして応答パケット中でそのＭＡＣアドレスを送信する。将来の使用のために前記ＩＰアドレスと前記ＭＡＣアドレスの間の対応関係はＡＲＰテーブルに格納される。データパケットはネットワーク機器によりＭＡＣアドレスに送られる。

悪意の使用者は、ネットワーク機器により前記ＡＲＰテーブルに書き込まれる違反な対応関係を取得するようにネットワークアドレスを捏造することでＡＲＰ攻撃をすることが可能である。例えば、ＡＲＰデータパケットはその使用者のネットワーク機器のＭＡＣアドレスとＡＲＰテーブルに既に格納されたＩＰアドレスとを含んでおり、ＡＲＰ攻撃をする使用者はＡＲＰ攻撃をしようとするネットワーク機器に前記ＡＲＰデータパケットを送ることができる。ネットワーク機器が前記ＡＲＰデータパケットを受信するとき、ＡＲＰテーブル中のＩＰアドレスに応じてテーブルを更新し、その結果として、悪意の使用者は他の使用者に送られるべきデータパケットを受信することができる。以後、そのネットワーク機器は捏造されたＩＰアドレスの代わりに悪意の使用者の機器に全てのデータパケットを誤って送ってしまうことになる。

更に、悪意の使用者は標準のゲートウエイを攻撃するのに同じ技術を用いることができる。悪意の使用者は上述の方法を用いてイーサネット（登録商標)内のゲートウエイのＩＰアドレスを捏造することができ、それによって前記ゲートウエイに接続された全ての端末機器を正しいゲートウエイを介した通信ができないようにして、ネットワークのセキュリティとプライバシーを危うくさせる。

悪意の使用者からの上述の攻撃は一般的にＡＲＰテーブルのＩＰアドレスとＭＡＣアドレスの間の対応関係の不正さによって引き起こされ、現状、ＩＰアドレスとＭＡＣアドレスの間の対応関係を正しく構築したり、攻撃源らしきものを察知して使用者に早期警告を与えることで、攻撃源を除くことが行われており、現在の１つの方策としては、ＤＨＣＰ（Dynamic Host Configuration Protocol）サーバーからＩＰアドレスとＭＡＣアドレスの間の正しい対応関係をインポートするものがあり、それ以外としてＤＨＣＰや静的なＩＰアドレスの割り当てがないネットワークにおいては、静的なＡＲＰ構成によって正しいＩＰアドレスとＭＡＣアドレスの間の対応関係が一般的に作成される。

ところが、適正な使用者から正しいＭＡＣアドレス情報を得ることは容易ではなく、使用者数が多いネットワークの構成を手動で作成することは重労働であって、作動させることも非常に複雑である。

本発明は、使用者に自動的に警告できるネットワーク機器についての早期警告のための方法と装置に関し、よって使用者が遅れずに異常な機器を突きとめることができるものである。

まず、本発明は、ネットワーク機器についての早期警告のための方法を提供し、ネットワーク機器についての早期警告のための方法であって、先ず、ＡＲＰ要求パケットは少なくとも一度検知範囲内のネットワーク機器に送信され、そのＡＲＰ応答パケットは予め設定された時間内に受信され、第１の判断条件は前記ＡＲＰ応答パケットの数量が前記ＡＲＰ要求パケットの数量と同じであることを少なくとも有するものとされ、前記第１の判断条件を満たすＭＡＣアドレスとＩＰアドレスの間の対応関係は格納され、ＡＲＰデータパケットを送受信し、前記ＡＲＰデータパケットはＡＲＰ要求パケットとＡＲＰ応答パケットを有してなり、第２の判断条件は少なくとも前記ＡＲＰデータパケット中の送信元ＩＰアドレスと送信元ＭＡＣアドレスが前記格納された対応関係と整合しないものとされ、前記第２の判断条件を満たすとき早期警告がなされることを特徴とする。

一方、本発明は、ネットワーク機器についての早期警告装置を提供し、少なくとも一度検知範囲内のネットワーク機器にＡＲＰ要求パケットを送信しＡＲＰ応答パケットを予め設定された時間内に受信する送受信部と、第１の判断条件は少なくとも前記ＡＲＰ応答パケットの数量が前記ＡＲＰ要求パケットの数量と同じであることであって、前記第１の判断条件を満たすＡＲＰ応答パケットのＩＰアドレスとＭＡＣアドレスの間の対応関係を格納し、ＡＲＰデータパケットがモニターされ、前記ＡＲＰデータパケットはＡＲＰ要求パケットとＡＲＰ応答パケットを有してなり、第２の判断条件が少なくとも前記ＡＲＰデータパケット中の送信元ＩＰアドレスと送信元ＭＡＣアドレスが前記格納された対応関係と整合しないものであって、前記送受信部によって受信されたＡＲＰデータパケットが前記第２の判断条件を満たすとき早期警告を行なう解析部と、前記送受信部と前記解析部の間の通信を可能とする通信部とを有することを特徴とする。

本発明の実施形態に従えば、上述の技術的な構成において、検知範囲内のネットワーク機器のネットワークアドレス情報は自動的に識別され、ＡＲＰ要求パケットを送信することで能動的に格納され、さらには格納中においてＡＲＰ応答パケットの正しさについての幾つかの試験が実施され、高度な正しさをもった対応関係テーブルが自動的に構築され得ることになる。

さらに、高度な正しさをもった対応関係テーブルが構築されることから、前記対応関係テーブルのネットワークアドレス情報と検知範囲内で受信したＡＲＰデータパケット内のネットワークアドレス情報を比較することで、異常なネットワークアドレスを有する機器は遅れることなく検知でき、よって早期警告を行って使用者にとって便利に遅れることなく異常な機器を突きとめられる。

本発明は、１つには、より高い正しさを以って対応関係テーブルを自動的に構築できるネットワーク機器についての早期警告方法を提供するものであり、対応関係テーブル（mapping relationship table）を用いて異常なネットワークアドレスを持つネットワーク機器について早期警告をするものである。

図１に示すように、早期警告を行うときには、本発明の一実施形態に従えば、先ず、より高い正しさを以って対応関係テーブルを構築する方法が提供される。その方法は次のように詳述される。本発明の一実施形態においては、ネットワーク機器のネットワークアドレス情報（ＩＰアドレスとＭＡＣアドレスを有する。）を取得するため、先ず、要求パケットが検知範囲内のネットワーク機器に送信される（Ｓ１０１）。次いで、或る時間の後、ＡＲＰ応答パケットが各ネットワーク機器から受信される（Ｓ１０２）。より高い正しさを以って対応関係テーブルを構築するため、実施形態では、返信されたＡＲＰ応答パケットのネットワークアドレス情報が正しいか否かを判断するために第１の判断条件が設定される。第１の判断条件が満たされているとき、ＡＲＰ応答パケットのＩＰアドレスとＭＡＣアドレスの間の対応関係が格納される（Ｓ１０３）。ネットワークアドレス情報が正しいか否かを判断するための第１の判断条件は複数の条件の組み合わせで設定でき、本発明の実施形態に従う第１の判断条件は、少なくとも受信したＡＲＰ応答パケットの数量が送信したＡＲＰ要求パケットの数量と同じであることを有するものとされる。

前記対応関係テーブルを用いてネットワーク機器についての早期警告を行うときには、ＡＲＰデータパケットが監視される。ここでＡＲＰデータパケットは、ネットワーク機器から送信されたＡＲＰ要求パケットとすることもでき、あるいはネットワーク機器から送信されたＡＲＰ応答パケットであっても良い。受信したＡＲＰデータパケットのネットワークアドレス情報が正しいか否かを判断するため、本発明の実施形態においては、第２の判断条件が設定される。もし第２の判断条件が満たされるならば、それはＡＲＰデータパケット中のネットワークアドレス情報が異常であると推定されることを示し、次いで早期警告の知らせが送信される（Ｓ１０４）。本発明の実施形態に従う第２の判断条件は、１つの条件若しくは複数の条件の組み合わせで設定できる。前記第２の判断条件は少なくとも前記ＡＲＰデータパケット中の送信元ＩＰアドレスと送信元ＭＡＣアドレスが格納された対応関係と整合しないことを有するものとされる。

上述の技術的な構成においては、正常なネットワーク機器がＡＲＰ要求パケットを受信したとき、そのＡＲＰ要求パケット中のＩＰアドレスと、同一のＩＰアドレスを有するネットワーク機器が返答を行い、これによって受信したＡＲＰ応答パケットの数量が送信したＡＲＰ要求パケットの数量と同じであることを正しいとする。しかしながら、ネットワークを攻撃するためには、ネットワーク機器がどのＡＲＰ要求パケットも受信していない状況で悪意の使用者は能動的にＡＲＰ応答パケットを送ることができる。このため受信したＡＲＰ応答パケットの数量がＡＲＰ要求パケットのそれと同じであるか否かを判断することは前記ＡＲＰ応答パケットに対応したネットワーク機器のネットワークアドレスが異常か否かを決定するための条件の１つされ、それ故に対応関係テーブルのネットワークアドレスはより高い正しさを有することになる。

本発明の背景で説明したように、悪意の使用者は通常ＩＰアドレスかＭＡＣアドレスを捏造することでネットワーク機器を攻撃し、ＡＲＰデータパケット（要求パケット若しくは応答パケット）を使用してＩＰアドレスとＭＡＣアドレスの間の正しい対応関係を変えてくる。従って、上述の方法によって正しい対応関係テーブルを構築した後、検知範囲内でのＡＲＰデータパケットを監視して異常なネットワーク機器に対する自動的な早期警告を使用者に対して行い、それは使用者にとって悪意の使用者を識別させ、遅れることなく攻撃源を除くことに便宜となる。

手順Ｓ１０１の最適化として、本発明の一実施形態においては、対応関係テーブルを構築する際にＡＲＰ要求パケットが複数回送信され、ＡＲＰ要求パケットの各送信ごとに対応して予め設定した時間内でそれぞれＡＲＰ応答パケットが受信される。もし受信したＡＲＰ応答パケットの数量が送信したＡＲＰ要求パケットの数量と同じでないときでは、これは第１の判断条件が満たされないことを示す。本発明の一実施形態においては、ＡＲＰ要求パケットは同じ周期若しくは異なる周期で送信され、更にはＡＲＰ応答パケットは同じ周期若しくは異なる周期で受信される。

ＡＲＰ要求パケットが送信されたとき、特にＡＲＰ要求パケットが一度だけ送信されるとき、もし異常なネットワークアドレスを有するＡＲＰ応答パケットが受信され、若しくは複数のネットワーク機器から受信した応答パケットの数量がＡＲＰ要求パケットの数量に対応するならば、異常なネットワークアドレスを持った可能性のある機器を除くことができ、上述の方法で正しいネットワークアドレスを格納することができる。実施形態においては、所望の送信周期に設定でき、悪意の使用者が正確な送信周期を知ることも困難である。捏造したネットワークアドレスを持ったネットワーク機器からのＡＲＰ要求パケットの能動的な送信周期は一般的に固定であり、よって異常なネットワークアドレスを持ったネットワーク機器をさらには除くことができる。加えて、ＩＰ競合（即ち、ＩＰアドレスが複数のネットワーク機器に割り当てられている。）であるネットワーク機器は遅れることなく上述の方法によって識別される。

第１の判断条件が満たされているか否かについての手順Ｓ１０３は次のようである。受信したＡＲＰ応答パケットの数量が送信したＡＲＰ要求パケットの数量と同じであるか否かを決める多くの方法があり、本発明の一実施形態では次の手順のものを提供する。検知範囲内のネットワーク機器にＡＲＰ要求パケットを送信したときに、予め設定された時間期限までＡＲＰ応答パケットを待つ。もしＡＲＰ応答パケット中のＩＰアドレスとＭＡＣアドレスの間の対応関係が未だ格納されていない場合は、その対応関係が格納される。もし対応関係が既に格納されている場合は、ＡＲＰ要求パケットに対応した或るネットワーク機器から同じＡＲＰ要求パケットが複数回送信されていることを示し、それによってＡＲＰ応答パケットの数量がＡＲＰ要求パケットの数量と同じではないことが決定される。上述の格納プロセスは、一時的な格納テーブルを構築したり、或いは対応関係テーブルに直接格納することで実施することができる。

応答パケットの正しさは受信された際に毎回チェックされ、格納されたネットワークアドレス情報の中にＩＰアドレスとＭＡＣアドレスの間の正しい対応関係が取得される。本発明の背景で説明したように、悪意の使用者は、通常ＩＰアドレスかＭＡＣアドレスのネットワークアドレスを捏造することでネットワーク機器を攻撃し、悪意の攻撃をするためにＡＲＰテーブルのＩＰアドレスとＭＡＣアドレスの間の正しい対応関係を変えてくる。上述の方法は、ＡＲＰ要求パケットが一度きり送信された後にＡＲＰ応答パケットが複数回受信されるか否かをチェックするものであり、したがって、上述の方法は前記ＡＲＰ応答パケットの数量が前記ＡＲＰ要求パケットの数量と同じであるか否かを判断するのに使用することができる。

さらに、受信したＡＲＰ応答パケットの数量が送信したＡＲＰ要求パケットの数量と同じであるか否かを判断する手順Ｓ１０３については、図２に示すように、本発明の一実施形態では次の手順のものを更に提供する。一度ＡＲＰ要求パケットが検知範囲内のネットワーク機器に送信され（Ｓ２０１）、予め設定された時間期限までＡＲＰ応答パケットを待つ（Ｓ２０２）。前述の実施形態と異なるところは、本実施形態ではカウンターが配設される。もしＡＲＰ応答パケット中のＩＰアドレスとＭＡＣアドレスの間の対応関係が未だ格納されていない場合は、その対応関係が格納される（Ｓ２０３、Ｓ２０４）。もし対応関係が既に格納されている場合は、カウンターの値に１を加える（Ｓ２０５）。ＡＲＰ要求パケットを送信する回数が予め設定された値に達したとき（Ｓ２０６）、もしカウンターの値が要求パケットを送信する回数と同じであれば、受信したＡＲＰ応答パケットの数量が送信したＡＲＰ要求パケットの数量と同じであることを示すことになる（Ｓ２０７）。上述の手順は一時格納テーブルに格納しても良く、永続的な格納テーブルに格納しても良い。

上述の手順Ｓ１０３については、対応関係テーブルを更新する方法が本発明の一実施形態として詳述され、本発明の技術的な構成をさらに最適化するものである。

本発明の一実施形態では、手順Ｓ１０３に説明されたところのＡＲＰ応答パケット中のＩＰアドレスとＭＡＣアドレスの間の対応関係の格納を更に最適化するために、ＡＲＰ要求パケットが送信されるときに検知するネットワーク内に停止状態か新規のＩＰアドレスが割り当てられたネットワーク機器があることも考えて、停止状態か新規のＩＰアドレスが割り当てられたネットワーク機器のための対応するＡＲＰ通知機構部が存在するものとされ、送信元ＩＰアドレスとして同じ宛先ＩＰアドレスを持つＡＲＰデータパケットを送信することで、対応するネットワーク機器に現在のＩＰアドレスを通知するものである。それ故、本実施形態においては、ネットワーク機器の状態はネットワーク機器の始動やネットワークアドレス情報の変化などを有しているものとされており、ネットワーク機器の状態変化が識別されるとき、もしＡＲＰ通知機構部を満足するＡＲＰデータパケットが監視され、且つＡＲＰデータパケットのネットワークアドレスと、対応関係テーブルに格納されているＩＰアドレスとＭＡＣアドレスの間の対応関係との間に競合がない場合には、格納されている対応関係が更新される。その更新のプロセスは、次の状況を有しているものとされる。ＩＰアドレスが検知範囲内であり、対応関係テーブルにはＩＰアドレスとＭＡＣアドレスの間の対応関係が未だ格納されていないときには、対応関係テーブルにＩＰアドレスとＭＡＣアドレスの間の対応関係が格納される。もしＡＲＰデータパケットのＩＰアドレスが未だ格納されておらず、ＭＡＣアドレスが既に格納されているときには、前記ＡＲＰ応答パケット中のＩＰアドレスとＭＡＣアドレスの間の対応関係が格納され、既に格納されたＩＰアドレスとＭＡＣアドレスの間の対応関係は維持され或いは削除される。もし、既に格納されたＩＰアドレスとＭＡＣアドレスの間の対応関係を維持する場合は、複数のＩＰアドレスを有する或るネットワーク機器が対応関係テーブルによって支持できることが示される。

手順Ｓ１０４のような対応関係テーブルの使用によるネットワーク機器の早期警告方法については、早期警告通知が送られたか否かの第２の判断条件が１つの条件若しくは複数の条件の組み合わせで設定でき、第２の判断条件の組み合わせのいくつかの例及び早期警告を送信を可能とする対応するプロセスは次のように説明される。

図３に示すように、早期警告を送るプロセスは次のように説明される。ＡＲＰデータパケットが検知されたとき（Ｓ３０１）、そのＡＲＰデータパケット中のＩＰアドレスとＭＡＣアドレスの間の対応関係が対応関係テーブルに格納されたＩＰアドレスとＭＡＣアドレスの間の対応関係と比較される（Ｓ３０２）。前記第２の判断条件は、ＡＲＰデータパケット中のネットワークアドレスの組み合わせが対応関係テーブルに格納された対応関係に整合しないことを有していても良く、その第２の判断条件が満たされる場合には早期警告通知が行われることになり、更には、前記第２の判断条件は、ＡＲＰデータパケットのＭＡＣアドレスが既に格納され、すなわち、早期警告通知が行われる前に前記対応関係テーブルにＭＡＣアドレスが既に格納されたか否かの更なる検出を行うことができ（Ｓ３０３）、もし既に格納されているならば、対応関係テーブルにＩＰアドレスとＭＡＣアドレスの間の正しい対応関係が格納されていることから、ＡＲＰデータパケット中のＭＡＣアドレスは真正なＭＡＣアドレスであることを示すことになる。それ故にＡＲＰデータパケットを送信するところのネットワーク機器は多分捏造したネットワークアドレスを持つネットワーク機器であり、使用者に遅滞なく通知するように早期警告通知が行われる（Ｓ３０５）。加えて、本発明の一実施形態にかかる第２の判断条件は、前記ＡＲＰデータパケット中のＭＡＣアドレスが未だ格納されておらず、且つＡＲＰデータパケットの送信周期と要求範囲が予め設定された値を越えることを有していても良い。すなわち、もしＡＲＰデータパケットのＭＡＣアドレスが前記対応関係テーブルに存在しない場合、ＭＡＣアドレスはそこからＡＲＰデータパケットが送信されるところのネットワーク機器のなりすまし（spoofing）ＭＡＣアドレスであり、ネットワーク機器が異常なネットワーク機器か否かをより正確に判断するために、本発明の実施形態では次の手順を提供する。ネットワーク機器からのＡＲＰデータパケットの送信周期と要求範囲が検知され（Ｓ３０４）、それらの送信周期と要求範囲が予め設定された値を越えるときには通知がなされるものとする（Ｓ３０５）。

上記の説明は、ＡＲＰデータパケット中のネットワークアドレスの組み合わせが対応関係テーブルに格納された対応関係と整合しない状況のものである。ＡＲＰデータパケット中のネットワークアドレスの組み合わせが対応関係テーブルに格納された対応関係と整合するときでは、ネットワーク機器が異常なネットワーク機器か否かについての判断の正しさを改善するために、本発明の実施形態にかかる第２の判断条件は、送信元ＩＰアドレスと送信元ＭＡＣアドレスが格納されたＩＰアドレスとＭＡＣアドレスの間の対応関係と整合していることと、前記ＡＲＰデータパケットの送信周期と要求範囲が予め設定された値を越えることを有していても良い。すなわち、ＡＲＰデータパケットのネットワークアドレスの組み合わせが対応関係テーブルに格納された対応関係と整合するときでは、ＡＲＰデータパケットの送信周期と要求範囲についての更なる検知が必要とされ（Ｓ３０４）、送信周期と要求範囲が予め設定された値を越えるときには通知がなされるものとされる（Ｓ３０５）。

本発明の一実施形態では、手順Ｓ３０４について、ネットワーク機器からのＡＲＰデータパケットの送信周期と要求範囲についての検知のための現実的なプロセスは次のようである。ネットワーク機器から送信されたＡＲＰデータパケットが受信されたとき、ネットワーク機器からのＡＲＰデータパケットの送信範囲は、ＡＲＰデータパケット中の送信元ネットワークアドレス情報（ＩＰアドレスとＭＡＣアドレスを有する。）と宛先ネットワークアドレスに従って得られるものとなっている。さらには、ＡＲＰデータパケットを受信する回数は、ネットワーク機器からのＡＲＰデータパケットの送信周期を計算するように格納することができる。送信周期が予め設定された値を越えるときには通知がなされ、使用者は異常なネットワークアドレスを持ったネットワーク機器を遅れることなく突き止めることができる。また、そこからＡＲＰデータパケットが送信されるところのネットワーク機器の要求範囲は送信周期と受信回数に従って補充（refresh）できる。

上記の実施形態では、ＡＲＰデータパケットの受信したＩＰアドレスとＭＡＣアドレスが異常なネットワークアドレスであるときには、捏造されたネットワークアドレスを持つネットワーク機器は対応関係テーブルを用いても識別することができない状況を示している。しかしながら、悪意の使用者は通常ＡＲＰテーブル内のＩＰアドレスとＭＡＣアドレスの間の対応関係を変えるようにＡＲＰデータパケットを送信してネットワークを攻撃することから、ネットワークには多数のＡＲＰデータパケットがあるものとされ、ネットワーク中のネットワーク機器からのＡＲＰデータパケットの送信範囲及び周期をチェックすることで捏造されたネットワークアドレスを持つネットワーク機器の更なる検知を図ることができる。

対応関係テーブルの構築についてのＳ１０１からＳ１０３までの手順に続く手順Ｓ１０４では、異常なネットワークアドレスを持ったネットワーク機器が識別されたときに早期警告を行うこともでき、行わないようにすることもできる。すなわち、第２の判断条件は、
対応関係テーブルを構築するプロセスにおいて、受信したＡＲＰ応答パケットの数量が送信されたＡＲＰ要求パケットの数量と同じでないことをさらに有する。ＡＲＰデータパケットの数量がＡＲＰ要求パケットの数量と同じでないと識別されたとき、早期警告通知がなされることになる。

さらに、もし対応関係テーブルを更新する途中で異常なネットワークアドレスのネットワーク機器が識別された場合には早期警告がなされ、それ故、第２の判断条件は、ネットワーク機器の状態が変化したときには、受信したＡＲＰデータパケットのネットワークアドレス情報と、対応関係テーブルに格納されたＩＰアドレスとＭＡＣアドレスの間の対応関係の間に競合があるものとすること、すなわち、受信したＡＲＰデータパケット中にＩＰアドレスは既に格納されているが、ＩＰアドレスとＭＡＣアドレスの間の対応関係が未だ格納されていないことを有していても良い。この競合状況においては、１つの状況はＩＰアドレスの競合であり、他の状況は捏造されたネットワークアドレスを持ったネットワーク機器の存在である。上記２つの状況の共通した特徴は受信されたＡＲＰデータパケット中のＩＰアドレスが既に格納されているが、ＩＰアドレスとＭＡＣアドレスの間の対応関係が未だ格納されていない。それ故に、競合するＩＰアドレスを有するネットワーク機器と捏造されたネットワークアドレスを有するネットワーク機器が通知を送信する手段によって知らされるようにすることができる。

本発明の一実施形態に従えば、プロミスキャスモードのネットワークカードを持ったネットワーク機器が識別されたとき、早期警告をなすものとされる。すなわち、第２の判断条件は、さらにはプロミスキャスモードのネットワークカードを有している。この検出プロセスは次のようにされる。先ず、ＡＲＰデータパケットが生成され、その宛先ＭＡＣアドレスがＦＦ：ＦＦ：ＦＦ：ＦＦ：ＦＦ：ＦＦであり、ＡＲＰ要求パケットがネットワーク内の全てのホストコンピュータに送信される。もしプロミスキャスモードのネットワークカードがない場合、それら自身のＭＡＣアドレスは異なることからデータパケットは受信されない。しかしプロミスキャスモードのネットワークカードはータパケットを受信して、どのホストコンピュータがプロミスキャスモードのネットワークカードを有するかが決定できることになる。

プロミスキャスモードのネットワークカードはネットワーク内の全てのデータパケットを受信することから、パスワードや重要なファイル情報などの情報の漏れのおそれがあるが、上述の実施形態によって遅れることなくプロミスキャスモードのネットワークカードを識別することができる。

さらに、プロミスキャスモードのネットワーク機器の検出についての上述の実施形態は、受信したＡＲＰデータパケットの受信したＩＰアドレスとＭＡＣアドレスが捏造されたネットワークアドレスであるときに、多数のＡＲＰデータパケットが存在するか否かを検出する方法として使用することができる。

捏造されたネットワークアドレスを持ったネットワーク機器についての早期警告方法の上述の実施形態について、本発明の他の実施形態では、ネットワーク機器についての早期警告のための対応する装置を提供する。その装置は異常なネットワークアドレスを有する機器についての早期警告を可能とする。図４に示すように、前記装置は送受信部４０１と、解析部４０２と、通信部４０３を有する。

対応関係テーブルを構築する必要があるときでは、ＡＲＰ要求パケットが少なくとも一度送受信部４０１によって検知範囲内のネットワーク機器に送信され、予め設定された時間内にＡＲＰ応答パケットが受信される。対応関係テーブルを使用して早期警告がなされるとき、検知範囲内ではＡＲＰデータパケットは監視されるべきである。解析部４０２によって対応関係テーブルが構築されたときでは、第１の判断条件を満たす前記ＡＲＰ応答パケット中のＭＡＣアドレスとＩＰアドレスの間の対応関係が格納される。対応関係テーブルを使用して早期警告がなされるとき、送受信部４０１から受信したＡＲＰデータパケットは解析されて、第２の判断条件を満たすか否かが判断される。第２の判断条件が満たされるときは早期警告がなされることになる。通信部４０３は前記送受信部４０１と前記解析部４０２の間の通信を可能とするものであり、通信部４０３は送受信部４０１からＡＲＰデータパケットを受け取り、次いでそれを解析部４０２に送信し、解析部４０２によってＩＰアドレスとＭＡＣアドレスの間の対応関係は遅れることなく格納され、早期警告も遅れることなく行われる。さらには、図４で破線で示すように送受信部４０１からのＡＲＰデータパケットを得るために解析部４０２に知らせるように通信部４０３は解析部４０２にお知らせメッセージを送ることだけ可能である。

さらに、解析部４０２が検知範囲内のネットワーク機器の状態変化を検知したとき、もしネットワーク機器からのＡＲＰデータパケット中のＩＰアドレスが未だ格納されておらず、しかしＭＡＣアドレスは格納されている場合、前記ＡＲＰ応答パケット中のＩＰアドレスとＭＡＣアドレスの間の対応関係は格納される。

命令がプロセッサーを具備するネットワーク機器内で設定される場合において、異常なネットワークアドレスを持ったネットワーク機器についての早期警告方法の手順に関し上述の実施形態は、１つの命令若しくは複数の命令によって実現でき、プロセッサーは従って実行を行う。さらには、全ての命令は記憶媒体に格納することができる。前記ネットワーク機器はコンピュータであっても良く、他のネットワーク機器でも良い。

上記説明や図は、本発明の範囲を限定するようには解釈されるものではなく、添付の請求項によって定義されるものである。当分野の技術者によってなされる種々の変形例や代替的な構成や均等物も、本発明の真の思想や範囲から乖離することなく、用いられることもあり得る。

本発明の一実施形態にかかるネットワーク機器についての早期警告方法を説明するフローチャートである。 本発明の一実施形態にかかるＡＲＰ応答パケットネットワークアドレスのチェックを説明するフローチャートである。 本発明の一実施形態にかかる対応関係の使用によりＡＲＰデータパケットのチェックを説明するフローチャートである。 本発明の他の実施形態にかかるネットワーク機器についての早期警告装置を説明する主要ブロック図である。

４０１ 送受信部
４０２ 解析部
４０３ 通信部

Claims (12)

1. ネットワーク機器についての早期警告のための方法であって、
   ＡＲＰ（アドレス解決プロトコル）要求パケットは少なくとも一度検知範囲内のネットワーク機器に送信され、そのＡＲＰ応答パケットは予め設定された時間内に受信され、
   ＩＰアドレスとＭＡＣアドレスの間の正しい対応関係を構築するための第１の判断条件は前記ＡＲＰ応答パケットの数量が前記ＡＲＰ要求パケットの数量と同じであることを少なくとも有するものとされ、前記第１の判断条件を満たす前記ＡＲＰ要求パケット中のＭＡＣ（メディアアクセス制御）アドレスとＩＰ（インターネットプロトコル）アドレスの間の対応関係は格納され、
   ＡＲＰデータパケットを送受信し、前記ＡＲＰデータパケットはＡＲＰ要求パケットとＡＲＰ応答パケットを有してなり、前記ＡＲＰデータパケット中のネットワークアドレス情報（ＩＰアドレスとＭＡＣアドレス）が異常であると推定するための第２の判断条件を満たすときに早期警告がなされ、
   前記検知範囲内のネットワーク機器の状態が変化したとき、ネットワーク機器からのＡＲＰデータパケット内のＩＰアドレスが未だ格納されていないが、ＭＡＣアドレスが既に格納されている場合、前記ＡＲＰ応答パケットのＩＰアドレスとＭＡＣアドレス間の対応関係が格納され、
   前記ＡＲＰ要求パケット及びＡＲＰ応答パケットの送信周期は所定の送信周期に設定することができることを特徴とするネットワーク機器についての早期警告のための方法。
2. 前記第２の判断条件は、少なくとも前記ＡＲＰデータパケット中の送信元ＩＰアドレスと送信元ＭＡＣアドレスが前記格納された対応関係と整合しないものとされることを特徴とする請求項１記載の方法。
3. 前記第２の判断条件は、ＡＲＰデータパケットのＭＡＣアドレスが既に格納されていることであることを特徴とする請求項１記載の方法。
4. 前記第２の判断条件は、前記ＡＲＰデータパケットのＭＡＣアドレスが未だ格納されておらず、前記ＡＲＰデータパケットの送信周期と要求範囲が予め設定された値を越えるものであることを特徴とする請求項１記載の方法。
5. 前記第２の判断条件は、前記データパケット中の送信元ＩＰアドレスと送信元ＭＡＣアドレスが、格納されたＩＰアドレスとＭＡＣアドレスの間の対応関係と整合しているときに、前記ＡＲＰデータパケットの送信周期と要求範囲が予め設定された値を越えるものであることを特徴とする請求項１記載の方法。
6. 前記第２の判断条件は、プロミスキャスモードのネットワーク機器が存在することを特徴とする請求項１記載の方法。
7. 前記第２の判断条件は、前記ＡＲＰ応答パケットの数量が前記ＡＲＰ要求パケットの数量と同じではないことを特徴とする請求項１記載の方法。
8. 前記第２の判断条件は、検知範囲のネットワーク機器の状態が変化したとき、そのネットワーク機器からのＡＲＰデータパケット中のＩＰアドレスが格納されることを特徴とする請求項１記載の方法。
9. 請求項1乃至８のいずれか１つによる方法を実行するためのネットワーク機器についての早期警告装置であって、
   少なくとも一度検知範囲内のネットワーク機器にＡＲＰ要求パケットを送信し既に送信された前記ＡＲＰ要求パケットに対応するＡＲＰ応答パケットを予め設定された時間内に受信し、ＡＲＰデータパケットはＡＲＰ要求パケット及びＡＲＰ応答パケットを含むとされ、前記ＡＲＰデータパケットを送受信する送受信部と、
   ＩＰアドレスとＭＡＣアドレスの間の正しい対応関係を構築するための第１の判断条件は少なくとも前記ＡＲＰ応答パケットの数量が前記ＡＲＰ要求パケットの数量と同じであるとされ、前記第１の判断条件を満たす前記ＡＲＰ応答パケットのＩＰアドレスとＭＡＣアドレスの間の対応関係を格納し、前記ＡＲＰデータパケット中のネットワークアドレス情報（ＩＰアドレスとＭＡＣアドレス）が異常であると推定するための第２の判断条件は少なくとも前記ＡＲＰデータパケット中の送信元ＩＰアドレスと送信元ＭＡＣアドレスが、格納された対応関係と整合しないとされ、前記送受信部によって受信されたＡＲＰデータパケットが前記第２の判断条件を満たすとき早期警告を行なう解析部と、
   前記送受信部と前記解析部の間の通信を可能とする通信部とを有することを特徴とするネットワーク機器についての早期警告装置。
10. 検知範囲のネットワーク機器の状態が変化したとき、もしそのネットワーク機器からのＡＲＰデータパケット中のＩＰアドレスが未だ格納されていないが、ＭＡＣアドレスは既に格納された場合、前記ＡＲＰ応答パケットのＩＰアドレスとＭＡＣアドレスの間の対応関係が格納されることを特徴とする請求項９記載の早期警告装置。
11. プロセッサーと、そのプロセッサーにより実行される少なくとも１つの命令と有し、
    少なくとも一度検知範囲内のネットワーク機器にＡＲＰ要求パケットを送信して、そのＡＲＰ応答パケットを予め設定された時間内に受信し、
    ＩＰアドレスとＭＡＣアドレスの間の正しい対応関係を構築するための第１の判断条件を満たす前記ＡＲＰ応答パケットのＩＰアドレスとＭＡＣアドレスの間の対応関係を格納し、ここで前記第１の判断条件は少なくとも前記ＡＲＰ応答パケットの数量が前記ＡＲＰ要求パケットの数量と同じであることとされ、
    ＡＲＰデータパケットを送受信し、前記ＡＲＰデータパケットはＡＲＰ要求パケットとＡＲＰ応答パケットを有してなり、前記ＡＲＰデータパケット中のネットワークアドレス情報（ＩＰアドレスとＭＡＣアドレス）が異常であると推定するための第２の判断条件を満たすとき早期警告がなされ、ここで前記第２の判断条件は少なくとも前記ＡＲＰデータパケット中の送信元ＩＰアドレスと送信元ＭＡＣアドレスが前記格納された対応関係と整合しないとされ、
    前記検知範囲内のネットワーク機器の状態が変化したとき、ネットワーク機器からのＡＲＰデータパケット内のＩＰアドレスが未だ格納されていないが、ＭＡＣアドレスが既に格納されている場合、前記ＡＲＰ応答パケットのＩＰアドレスとＭＡＣアドレス間の対応関係が格納され、
    前記ＡＲＰ要求パケット及びＡＲＰ応答パケットの送信周期は所定の送信周期に設定することができること
    の各手順を実施するように、前記プロセッサーは前記命令を実行することを特徴とするネットワーク機器。
12. ネットワーク機器についての早期警告のための少なくとも１つの命令を格納する記憶媒体であって、
    少なくとも一度検知範囲内のネットワーク機器にＡＲＰ要求パケットを送信して、そのＡＲＰ応答パケットを予め設定された時間内に受信し、
    ＩＰアドレスとＭＡＣアドレスの間の正しい対応関係を構築するための第１の判断条件を満たす前記ＡＲＰ応答パケットのＩＰアドレスとＭＡＣアドレスの間の対応関係を格納し、ここで前記第１の判断条件は少なくとも前記ＡＲＰ応答パケットの数量が前記ＡＲＰ要求パケットの数量と同じであることとされ、
    ＡＲＰデータパケットを送受信し、前記ＡＲＰデータパケットはＡＲＰ要求パケットとＡＲＰ応答パケットを有してなり、前記ＡＲＰデータパケット中のネットワークアドレス情報（ＩＰアドレスとＭＡＣアドレス）が異常であると推定するための第２の判断条件を満たすとき早期警告がなされ、ここで前記第２の判断条件は少なくとも前記ＡＲＰデータパケット中の送信元ＩＰアドレスと送信元ＭＡＣアドレスが前記格納された対応関係と整合しないとされ、
    前記検知範囲内のネットワーク機器の状態が変化したとき、ネットワーク機器からのＡＲＰデータパケット内のＩＰアドレスが未だ格納されていないが、ＭＡＣアドレスが既に格納されている場合、前記ＡＲＰ応答パケットのＩＰアドレスとＭＡＣアドレス間の対応関係が格納され、
    前記ＡＲＰ要求パケット及びＡＲＰ応答パケットの送信周期は所定の送信周期に設定することができること
    の各手順を実施するように前記命令が実行されることを特徴とする記憶媒体。