JP5477104B2 - Unauthorized connection prevention device and program - Google Patents
Unauthorized connection prevention device and program Download PDFInfo
- Publication number
- JP5477104B2 JP5477104B2 JP2010073025A JP2010073025A JP5477104B2 JP 5477104 B2 JP5477104 B2 JP 5477104B2 JP 2010073025 A JP2010073025 A JP 2010073025A JP 2010073025 A JP2010073025 A JP 2010073025A JP 5477104 B2 JP5477104 B2 JP 5477104B2
- Authority
- JP
- Japan
- Prior art keywords
- terminal
- packet
- request packet
- arp request
- arp
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Active
Links
Images
Landscapes
- Small-Scale Networks (AREA)
Description
本発明は、ネットワークへの不正接続を防止する不正接続防止装置及びプログラムに関する。 The present invention relates to an unauthorized connection prevention apparatus and program for preventing unauthorized connection to a network.
近年、企業内のＬＡＮ（Ｌｏｃａｌ Ａｒｅａ Ｎｅｔｗｏｒｋ）などへの不正接続や、ネットワーク内の端末がウィルスに感染することによって、ネットワーク内の情報資産が不正アクセスされ、秘密情報が漏洩してしまうことが問題となっている。 In recent years, it has been a problem that information assets in a network are illegally accessed and secret information is leaked due to unauthorized connection to a company's local area network (LAN) or infection of a terminal in the network with a virus. It has become.
一般に、ＩＰｖ４（Ｉｎｔｅｒｎｅｔ Ｐｒｏｔｏｃｏｌ ｖｅｒｓｉｏｎ ４）環境のネットワークに接続された端末は、アドレス解決をするためにＡＲＰ（Ａｄｄｒｅｓｓ Ｒｅｓｏｌｕｔｉｏｎ Ｐｒｏｔｏｃｏｌ）要求パケットをブロードキャストで送信する。ＡＲＰ要求パケットの対象の端末は、ＡＲＰ要求パケットを受信すると、自己のＭＡＣアドレスを格納したＡＲＰ応答パケットを、受信したＡＲＰ要求パケットの送信元に返信する。ＡＲＰ要求パケットの送信元は、このＡＲＰ応答パケットを受信し、受信したＡＲＰ応答パケットに格納されたＭＡＣアドレスをＡＲＰキャッシュに記憶する。以上の動作により、ネットワーク内の端末は、アドレス解決をして、通信を行う。
そこで、ＡＲＰ応答パケットを利用して防御対象への不正なアクセスを防ぐ方法が開示されている（例えば、特許文献１参照）。特許文献１に開示された方法では、ネットワークでの接続を許可されている端末のリストが用いられる。より具体的には、そのリストに登録されていない装置からブロードキャスト送信されたＡＲＰ要求パケットに対して、偽のＭＡＣアドレスを有するＡＲＰ応答パケットが送信される。このようにすれば、ネットワーク内の端末を、不正アクセスから防御することができる。
特許文献１に記載の方法は、リストに登録されていない不許可装置からブロードバンドにＡＲＰ要求パケットが送信されると、防御対象の情報処理装置から正しいＡＲＰ応答パケットが返信された後に、同じネットワーク内の不正接続防止装置が、防御対象のＭＡＣアドレスとして偽のＭＡＣアドレスを有するＡＲＰ応答パケットを送信する。これによって、不許可装置の記憶する防御対象の情報処理装置のＩＰアドレスとＭＡＣアドレスの組み合わせが合わなくなるので、不正アクセスを防ぐことができる。
Generally, a terminal connected to a network in an IPv4 (Internet Protocol version 4) environment transmits an ARP (Address Resolution Protocol) request packet by broadcast in order to resolve an address. When receiving the ARP request packet, the target terminal of the ARP request packet returns an ARP response packet storing its own MAC address to the transmission source of the received ARP request packet. The transmission source of the ARP request packet receives this ARP response packet, and stores the MAC address stored in the received ARP response packet in the ARP cache. Through the above operation, the terminals in the network perform address resolution and communication.
Therefore, a method for preventing unauthorized access to a defense target using an ARP response packet is disclosed (for example, see Patent Document 1). In the method disclosed in
In the method described in
このように、特許文献１に記載の方法では、不正の端末であると認識された端末は、ネットワーク上の他の全ての端末と通信できないように制御される。不正の端末であると認識された端末の中には、パッチ等が未適用などの理由により、不正と識別された違反端末も含まれている。したがって、パッチが万全でない端末がパッチを適用するためには、パッチを適用するための閉鎖的なネットワークを新たに作成する必要や、外部記憶媒体にパッチを記憶させ、パッチを適用したい端末は個々に外部記憶媒体からパッチを適用させる必要がある。これらの方法は何れも煩雑であり、ユーザ、管理者双方の負担は大きい。
As described above, in the method described in
本発明は、上記問題点に鑑みてなされたものであり、違反端末を、特定の端末とは通信可能であるが、他の端末とは通信できないように制御する不正接続防止装置およびプログラムを提供することを目的とする。
また、本発明は、セキュリティレベルを維持しつつ、ネットワーク構成を変更することなく導入することが可能な不正接続防止装置およびプログラムを提供することを他の目的とする。
The present invention has been made in view of the above problems, and provides an unauthorized connection preventing apparatus and a program for controlling a violation terminal so that it can communicate with a specific terminal but cannot communicate with other terminals. The purpose is to do.
Another object of the present invention is to provide an unauthorized connection prevention apparatus and program that can be introduced without changing the network configuration while maintaining the security level.
上記目的を達成するため、本発明の第１の観点に係る不正接続防止装置は、
ネットワークに接続し、前記ネットワーク内で通信を行う通信部と、
予め登録された登録端末を識別する登録端末識別情報を記憶する登録端末記憶手段と、
前記ネットワーク内での通信を許可された前記登録端末である正常端末を識別する正常端末識別情報を記憶する正常端末記憶手段と、
前記ネットワーク内での通信を許可されていない前記登録端末である違反端末と特別に通信を許可される特定端末を識別する特定端末識別情報を記憶する特定端末記憶手段と、
前記通信部がＡＲＰ要求パケットを受信すると、受信した当該ＡＲＰ要求パケットと、前記登録端末記憶手段が記憶する登録端末識別情報と、前記正常端末記憶手段が記憶する前記正常端末識別情報と、前記特定端末記憶手段が記憶する特定端末識別情報に基づいて、前記通信部からパケットを送信するパケット送信制御手段と、
を備え、
前記パケット送信制御手段は、送信元が前記登録端末でもなく前記特定端末でもない未登録端末であるＡＲＰ要求パケットを前記通信部が受信すると、受信した当該ＡＲＰ要求パケットの対象に対する該未登録端末のＡＲＰキャッシュを偽りのものに変更する偽ＡＲＰ応答パケットを該未登録端末に送信し、
前記パケット送信制御手段は、送信元が前記違反端末であって対象が前記特定端末でないＡＲＰ要求パケットを前記通信部が受信すると、前記偽ＡＲＰ応答パケットを該違反端末に送信する、
ことを特徴とする。
In order to achieve the above object, an unauthorized connection prevention apparatus according to the first aspect of the present invention provides:
A communication unit connected to the network and performing communication in the network;
Registered terminal storage means for storing registered terminal identification information for identifying a registered terminal registered in advance;
Normal terminal storage means for storing normal terminal identification information for identifying a normal terminal that is the registered terminal permitted to communicate in the network;
Specific terminal storage means for storing specific terminal identification information for identifying a specific terminal that is specifically permitted to communicate with a violation terminal that is the registered terminal that is not permitted to communicate within the network;
When the communication unit receives the ARP request packet, the received ARP request packet, the registered terminal identification information stored in the registered terminal storage unit, the normal terminal identification information stored in the normal terminal storage unit, and the specific Based on the specific terminal identification information stored in the terminal storage means, packet transmission control means for transmitting a packet from the communication unit;
With
When the communication unit receives an ARP request packet that is an unregistered terminal whose transmission source is neither the registered terminal nor the specific terminal, the packet transmission control unit is configured to transmit the unregistered terminal to the target of the received ARP request packet . Sending a fake ARP response packet for changing the ARP cache to a fake one to the unregistered terminal;
The packet transmission control means transmits the fake ARP response packet to the violating terminal when the communication unit receives an ARP request packet whose source is the violating terminal and whose target is not the specific terminal.
It is characterized by that.
本発明の第２の観点に係るプログラムは、
コンピュータに
予め登録された登録端末を識別する登録端末識別情報を登録端末記憶手段に記憶する手順と、
ネットワーク内での通信を許可された前記登録端末である正常端末を識別する正常端末識別情報を正常端末記憶手段に記憶する手順と、
前記ネットワーク内での通信を許可されていない前記登録端末である違反端末と特別に通信を許可される特定端末を識別する特定端末識別情報を特定端末記憶手段に記憶する手順と、
ＡＲＰ要求パケットを受信すると、受信した当該ＡＲＰ要求パケットと、前記登録端末記憶手段が記憶する登録端末識別情報と、前記正常端末記憶手段が記憶する前記正常端末識別情報と、前記特定端末記憶手段が記憶する特定端末識別情報に基づいて、該ＡＲＰ要求パケットの送信元と対象を判別する手順と、
送信元が前記登録端末でもなく前記特定端末でもない未登録端末であるＡＲＰ要求パケットを受信すると、受信した当該ＡＲＰ要求パケットの対象に対する該未登録端末のＡＲＰキャッシュを偽りのものに変更する旨を該未登録端末に送信する手順と、
送信元が前記違反端末であるＡＲＰ要求パケットを受信すると、受信した当該ＡＲＰ要求パケットの対象に対する該違反端末のＡＲＰキャッシュを偽りのものに変更する旨を該違反端末に送信する手順と、
を実行させる。
The program according to the second aspect of the present invention is:
A procedure for storing in a registered terminal storage means registered terminal identification information for identifying a registered terminal registered in advance in a computer;
A procedure for storing normal terminal identification information in the normal terminal storage means for identifying a normal terminal that is the registered terminal permitted to communicate in a network;
A procedure for storing in a specific terminal storage means specific terminal identification information for identifying a specific terminal that is specifically allowed to communicate with a violating terminal that is the registered terminal that is not permitted to communicate within the network;
When receiving the ARP request packet, the received ARP request packet, the registered terminal identification information stored in the registered terminal storage means, the normal terminal identification information stored in the normal terminal storage means, and the specific terminal storage means A procedure for determining the source and target of the ARP request packet based on the stored specific terminal identification information;
When an ARP request packet that is an unregistered terminal that is neither the registered terminal nor the specific terminal is received, the ARP cache of the unregistered terminal for the target of the received ARP request packet is changed to a false one. Sending to the unregistered terminal;
When the ARP request packet whose source is the violating terminal is received, a procedure for transmitting to the violating terminal that the ARP cache of the violating terminal for the target of the received ARP request packet is changed to a false one;
Is executed.
本発明によれば、違反端末を、特定の端末とは通信可能であるが、他の端末とは通信できないように制御する不正接続防止装置を提供することができる。
更に、本発明によれば、セキュリティレベルを維持しつつ、ネットワーク構成を変更することなく不正接続防止装置を導入することができる。
According to the present invention, it is possible to provide an unauthorized connection preventing apparatus that controls a violation terminal so that it can communicate with a specific terminal but cannot communicate with another terminal.
Furthermore, according to the present invention, it is possible to introduce an unauthorized connection preventing apparatus without changing the network configuration while maintaining the security level.
以下、本発明の実施形態に係る不正接続防止システムについて図面を参照して説明する。 Hereinafter, an unauthorized connection prevention system according to an embodiment of the present invention will be described with reference to the drawings.
本実施形態に係る不正接続防止システム１は、図１に示すように、正常端末１１０と、違反端末１２０と、未登録端末１３０と、パッチサーバ１４０と、不正接続防止装置１５０と、を備える。これらは、同一のネットワーク１００に接続されている。
ネットワーク１００に接続された正常端末１１０と、違反端末１２０と、未登録端末１３０と、パッチサーバ１４０とは、各々１個ずつとなっているが、複数でもよい。
As illustrated in FIG. 1, the unauthorized
Although there are one
また、正常端末１１０と、違反端末１２０とを総称して登録端末１１５と呼び、違反端末１２０と、未登録端末１３０とを総称して不正端末１２５と呼ぶ。
Further, the
正常端末１１０は、最適なパッチが適用されている端末である。正常端末１１０は、ＣＰＵ（Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）とＲＯＭ（Ｒｅａｄ Ｏｎｌｙ Ｍｅｍｏｒｙ）とＲＡＭ（Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）とを含む制御部と、ハードディスク装置を含む記憶部と、ＮＩＣ（Ｎｅｔｗｏｒｋ Ｉｎｔｅｒｆａｃｅ Ｃａｒｄ）またはルータまたはモデム等を含む通信部と、を備えるコンピュータである。
The
違反端末１２０は、最適なパッチが適用されていないため、不正接続防止装置１５０によってネットワーク１００上の通信をブロックされる端末である。違反端末１２０は、ＣＰＵとＲＯＭとＲＡＭを含む制御部と、ハードディスク装置を含む記憶部と、ＮＩＣまたはルータまたはモデム等を含む通信部と、を備えるコンピュータである。
The violating
未登録端末１３０は、最適なパッチが適用されていてもネットワーク１００上の通信を不正接続防止装置１５０によってブロックされる端末である。未登録端末１３０は、ＣＰＵとＲＯＭとＲＡＭを含む制御部と、ハードディスク装置を含む記憶部と、ＮＩＣまたはルータまたはモデム等を含む通信部と、を備えるコンピュータである。
The
パッチサーバ１４０は、登録端末１１５にパッチを提供する装置である。パッチサーバ１４０は、ＣＰＵとＲＯＭとＲＡＭを含む制御部と、ハードディスク装置を含む記憶部と、ＮＩＣまたはルータまたはモデム等を含む通信部と、を備えるコンピュータである。パッチサーバ１４０は、記憶部に登録端末１１５に提供するパッチを保存する。
The
不正接続防止装置１５０は、図２に示すように、ＣＰＵとＲＯＭとＲＡＭを含む制御部１５１と、ハードディスク装置を含む記憶部１５９と、ＮＩＣまたはルータまたはモデム等を含む通信部１５２と、キーボードまたはマウス等を含む入力部１５３と、を備えるコンピュータである。記憶部１５９には、登録端末リスト１５４と、特定端末リスト１５５と、正常端末リスト１５６と、不正端末リスト１５７と、パッチリスト１５８が保存されている。
As shown in FIG. 2, the unauthorized
ＲＯＭは、プログラムデータ等を記憶するものであり、ＣＰＵは、ＲＯＭに記憶されたデータのプログラムに従って処理を実行する。ＲＡＭは、ＣＰＵが処理を実行するのに必要なデータを記憶するものである。 The ROM stores program data and the like, and the CPU executes processing according to the data program stored in the ROM. The RAM stores data necessary for the CPU to execute processing.
図３に示すように、登録端末リスト１５４には、正常端末１１０と違反端末１２０のＭＡＣアドレスが予め登録され、保存されている。
図４に示すように、特定端末リスト１５５には、パッチサーバ１４０のＭＡＣアドレスとＩＰアドレスが保存される。
図５に示すように、正常端末リスト１５６には、正常端末１１０のＭＡＣアドレスとＩＰアドレスが保存される。
図６に示すように、不正端末リスト１５７には、違反端末１２０のＭＡＣアドレス及びＩＰアドレスと、未登録端末１３０のＭＡＣアドレス及びＩＰアドレスと、が保存される。
図７に示すように、パッチリスト１５８には、不正接続防止装置１５０が登録端末１１５のパッチ適用状況を調べるためのパッチ情報が保存される。不正接続防止装置１５０は、パッチリスト１５８に保存されるパッチ情報を基準にして、登録端末１１５がネットワーク１００で通信しても良いか否かを判定する。
As shown in FIG. 3, in the registered
As shown in FIG. 4, the specific
As shown in FIG. 5, the
As illustrated in FIG. 6, the unauthorized
As shown in FIG. 7, the
不正接続防止装置１５０の制御部１５１は、通信部１５２が受信したＡＲＰ要求パケットの送信元ＭＡＣアドレス及び対象ＩＰアドレスと、登録端末リスト１５４と、特定端末１５５リストと、正常端末リスト１５６と、不正端末リスト１５７に基づいて、不正端末１２５のネットワーク１００での通信をブロックしつつ、違反端末１２０がパッチサーバ１４０と通信することを許可する。
The
不正接続防止装置１５０の構成についてさらに詳細に説明する。
The configuration of the unauthorized
図２に示される不正接続防止装置１５０の入力部１５３にＭＡＣアドレスが入力されると、制御部１５１は、入力されたＭＡＣアドレスを、記憶部１５９の登録端末リスト１５４（図３参照）に登録する。
When the MAC address is input to the
不正接続防止装置１５０の制御部１５１は、通信部１５２を介してネットワーク１００に接続し、登録端末リスト１５４にＭＡＣアドレスを登録された登録端末１１５に繰り返しアクセスする。制御部１５１は、パッチリスト１５８に基づいて、アクセスした登録端末１１５が最適なパッチを適用しているか否かを判定する。制御部１５１は、その判定結果に基づいて、図５に示す正常端末リスト１５６と、図６に示す不正端末リスト１５７を繰り返し更新する。
不正接続防止装置１５０は、最適なパッチが適用されている登録端末１１５のＭＡＣアドレスとＩＰアドレスとを正常端末リスト１５６に登録し、最適なパッチが適用されていない登録端末１１５のＭＡＣアドレスとＩＰアドレスとを不正端末リスト１５７に登録する。
The
The unauthorized
不正端末１２５に対して最適なパッチが適用されていることが不正接続防止装置１５０によって確認されると、その不正端末１２５のＭＡＣアドレスとＩＰアドレスが、自動的に不正端末リスト１５７から消去され、代わりに、その不正端末１２５のＭＡＣアドレスとＩＰアドレスが、自動的に正常端末リスト１５６へ登録される。
同様に、正常端末１１０に対して最適なパッチが適用されていないことが不正接続防止装置１５０によって確認されると、その正常端末１１０のＭＡＣアドレスとＩＰアドレスが自動的に正常端末リスト１５６から消去され、代わりに、その正常端末１１０のＭＡＣアドレスとＩＰアドレスとが、自動的に不正端末リスト１５７へ登録される。
When the unauthorized
Similarly, when the unauthorized
また、制御部１５１は、ＡＲＰ要求パケットを受信し、受信したＡＲＰ要求パケットの送信元ＭＡＣアドレスが登録端末リスト１５４に記憶されていなければ、そのＡＲＰ要求パケットの送信元は未登録端末１３０であると判定する。この場合、制御部１５１は、受信したＡＲＰ要求パケットの送信元のＭＡＣアドレスとＩＰアドレスを、不正端末リスト１５７に記憶する。
The
また、制御部１５１は、通信部１５２から受信したＡＲＰ要求パケットの送信元ＭＡＣアドレスと対象ＩＰアドレスと、登録端末リスト１５４と、特定端末１５５リストと、正常端末リスト１５６と、不正端末リスト１５７と、に基づいて、ＡＲＰ要求パケット受信時の不正接続防止処理（図８参照）を行う。これにより、制御部１５１は、不正端末１２５のネットワーク１００内での通信をブロックしつつ、違反端末１２０がパッチサーバ１４０と通信するのを許可する。
In addition, the
なお、ＡＲＰ要求パケット受信時の不正接続防止処理において、制御部１５１は、通信部１５２を介して受信したＡＲＰ要求パケットの送信元ＭＡＣアドレスを、正常端末リスト１５６と、登録端末リスト１５４と、特定端末リスト１５５と、から検索することによって、受信したＡＲＰ要求パケットの送信元が、正常端末１１０なのか、違反端末１２０なのか、未登録端末１３０なのかを判別する。
また、制御部１５１は、通信部１５２を介して受信したＡＲＰ要求パケットの対象ＩＰアドレスを、特定端末リスト１５５と正常端末リスト１５６から検索することによって、受信したＡＲＰ要求パケットの対象が、パッチサーバ１４０なのか不正端末１２５なのかを判別する。
制御部１５１は、判別した送信元と対象の組み合わせに対応して通信部１５２からパケットを送信する。
In the unauthorized connection prevention process at the time of receiving the ARP request packet, the
In addition, the
The
受信したＡＲＰ要求パケットの送信元ＭＡＣアドレスが正常端末リスト１５６に記憶されている場合、受信したＡＲＰ要求パケットの送信元は正常端末１１０であると判定される。
また、受信したＡＲＰ要求パケットの送信元ＭＡＣアドレスが、正常端末リスト１５６に登録されておらず、かつ、登録端末リスト１５４に記憶されている場合、受信したＡＲＰ要求パケットの送信元は違反端末１２０であると判定される。
また、受信したＡＲＰ要求パケットの送信元ＭＡＣアドレスが、特定端末リスト１５５に登録されておらず、かつ、登録端末リスト１５４に登録されていない場合、受信したＡＲＰ要求パケットの送信元は未登録端末１３０であると判定される。
When the transmission source MAC address of the received ARP request packet is stored in the
If the source MAC address of the received ARP request packet is not registered in the
If the source MAC address of the received ARP request packet is not registered in the specific
なお、受信したＡＲＰ要求パケットの対象ＩＰアドレスが、特定端末リスト１５５に記憶されている場合、受信したＡＲＰ要求パケットの対象は、パッチサーバ１４０であると判定される。
また、受信したＡＲＰ要求パケットの対象ＩＰアドレスが、特定端末リスト１５５に登録されておらず、正常端末リスト１５６に登録されていない場合、受信したＡＲＰ要求パケットの対象は、不正端末１２５であると判定される。
If the target IP address of the received ARP request packet is stored in the specific
If the target IP address of the received ARP request packet is not registered in the specific
不正接続防止装置１５０は、ＡＲＰ要求パケットを受信すると、受信したＡＲＰ要求パケットの送信元が違反端末１２０であって、対象がパッチサーバ１４０でない場合、対象のＡＲＰキャッシュを偽りのものに変更するパケットＰ１（図９参照）をＡＲＰ要求パケットの送信元である違反端末１２０に送信する。また、不正接続防止装置１５０は、ＡＲＰ要求パケットの送信元である違反端末１２０に対するＡＲＰキャッシュを偽りのものに変更するパケットＰ２（図１０参照）をブロードキャストで送信する。さらに、不正接続防止装置１５０は、ＡＲＰ要求パケットである違反端末１２０に対するＡＲＰキャッシュを正しいものに変更するパケットＰ３（図１１参照）をパッチサーバ１４０に送信する。
When receiving the ARP request packet, the unauthorized
対象がパッチサーバ１４０でないＡＲＰ要求パケットを送信した違反端末１２０は、対象からＡＲＰ応答パケットを受信することによって、対象に対してＡＲＰキャッシュに正しいＭＡＣアドレスを一時的に記憶する。しかし、パケットＰ１を受信することによって違反端末１２０は、対象に対するＡＲＰキャッシュを偽りのものに変更するので、違反端末１２０はＡＲＰ要求パケットの対象に対して通信ができなくなる。
また、ネットワーク１００内の端末は、違反端末１２０からＡＲＰ要求パケットを受信すると、違反端末１２０に対するＡＲＰキャッシュに、正しいＭＡＣアドレスを一時的に記憶する。しかし、パケットＰ２を受信することによって違反端末１２０に対するＡＲＰキャッシュが、偽りのものに変更されるので、ネットワーク１００内の端末は、違反端末１２０に対して通信ができなくなる。
ただし、パッチサーバ１４０は、パケットＰ３を受信することによって、違反端末１２０に対するＡＲＰキャッシュを正しいＭＡＣアドレスに変更するので、違反端末１２０とパッチサーバ１４０との通信は許可される。
The violating
In addition, when a terminal in the
However, since the
また、受信したＡＲＰ要求パケットの送信元が、違反端末１２０であって、受信したＡＲＰ要求パケットの対象がパッチサーバ１４０であるとする。この場合、不正接続防止装置１５０は、ＡＲＰ要求パケットの送信元である違反端末１２０に対するＡＲＰキャッシュを偽りのものに変更するパケットＰ２（図１０参照）をブロードキャストで送信する。さらに、不正接続防止装置１５０は、ＡＲＰ要求パケットの送信元である違反端末１２０に対するＡＲＰキャッシュを正しいものに変更するパケットＰ３（図１１参照）をパッチサーバ１４０に送信する。
Further, it is assumed that the transmission source of the received ARP request packet is the
違反端末１２０からＡＲＰ要求パケットを受信した端末は、送信元である違反端末１２０に対するＡＲＰキャッシュに正しいＭＡＣアドレスを一時的に記憶する。しかし、パケットＰ２を受信することによって、その端末は、違反端末１２０に対するＡＲＰキャッシュを偽りのものに変更する。このため、ネットワーク１００内の端末は、ＡＲＰ要求パケットの送信元である違反端末１２０に対して通信ができなくなる。
ただし、パッチサーバ１４０は、パケットＰ３を受信することによって、ＡＲＰ要求パケットの送信元である違反端末１２０のＡＲＰキャッシュを正しいＭＡＣアドレスに変更する。また、ＡＲＰ要求パケットの送信元である違反端末１２０は、パッチサーバ１４０からＡＲＰ応答パケットを受信することによって、パッチサーバ１４０の正しいＭＡＣアドレスをＡＲＰキャッシュに記憶する。これによって違反端末１２０とパッチサーバ１４０との通信が可能になる。
The terminal that has received the ARP request packet from the violating
However, the
また、不正接続防止装置１５０が受信したＡＲＰ要求パケットの送信元が正常端末１１０であって、受信したＡＲＰ要求パケットの対象が不正端末１２５であるとする。この場合、不正接続防止装置１５０は、受信したＡＲＰ要求パケットの対象に対するＡＲＰキャッシュを偽りのものに変更するパケットＰ１（図９参照）を、ＡＲＰ要求パケットの送信元である正常端末１１０に送信する。さらに、不正接続防止装置１５０は、ＡＲＰ要求パケットの送信元である正常端末１１０に対するＡＲＰキャッシュを偽りのものに変更するパケットＰ４（図１２参照）を、ＭＡＣアドレスとＩＰアドレスを不正端末リスト１５７に記憶される違反端末１２０と未登録端末１３０にユニキャストで送信する。
Further, it is assumed that the transmission source of the ARP request packet received by the unauthorized
対象が不正端末１２５であるＡＲＰ要求パケットを送信した正常端末１１０は、対象である不正端末１２５からＡＲＰ応答パケットを受信することによって、不正端末１２５の正しいＭＡＣアドレスをＡＲＰキャッシュに一時的に記憶する。しかし、正常端末１１０は、パケットＰ１を受信することによって、ＡＲＰ要求パケットの対象である不正端末１２５に対するＡＲＰキャッシュを偽りのＭＡＣアドレスに変更する。これによって、正常端末１１０は不正端末１２５に対して通信できなくなる。
また、不正端末１２５は、正常端末１１０からＡＲＰ要求パケットを受信することによって、正常端末１１０の正しいＭＡＣアドレスＡＲＰキャッシュに一時的に記憶する。しかし、不正端末１２５は、正しいＭＡＣアドレスを記憶後、パケットＰ４を受信すると、正常端末１１０に対するＡＲＰキャッシュを偽のＭＡＣアドレスに変更する。これによって、不正端末１２５は正常端末１１０に対して通信ができなくなる。
The
In addition, the
また、受信したＡＲＰ要求パケットの送信元が正常端末１１０であって、受信したＡＲＰ要求パケットの対象が不正端末１２５でなかったとする。この場合、不正接続防止装置１５０は、受信したＡＲＰ要求パケットの送信元である正常端末１１０に対するＡＲＰキャッシュを偽りのものに変更するパケットＰ４（図１２参照）を、ＭＡＣアドレスとＩＰアドレスが不正端末リスト１５７に記憶される違反端末１２０と未登録端末１３０にユニキャストで送信する。
Also, assume that the transmission source of the received ARP request packet is the
ネットワーク１００内の端末は、正常端末１１０から送信されたＡＲＰ要求パケットを受信することによって、正常端末１１０の正しいＭＡＣアドレスをＡＲＰキャッシュに一時的に記憶する。しかし、不正端末１２５は、ユニキャストで送信されたパケットＰ４を受信することによって、正常端末１１０のＭＡＣアドレスとして偽のＭＡＣアドレスをＡＲＰキャッシュに記憶することになる。これによって、不正端末１２５は正常端末１１０に対して通信ができなくなる。
A terminal in the
また、不正接続防止装置１５０が、受信したＡＲＰ要求パケットの送信元が未登録端末１３０であった場合について説明する。この場合、不正接続防止装置１５０は、受信したＡＲＰ要求パケットの対象に対するＡＲＰキャッシュを偽りのものに変更するパケットＰ１（図９参照）を、ＡＲＰ要求パケットの送信元である未登録端末１３０に送信する。さらに、不正接続防止装置１５０は、ＡＲＰ要求パケットの送信元である未登録端末１３０に対するＡＲＰキャッシュを偽りのものに変更するパケットＰ４（図１２参照）をブロードキャストで送信する。
In addition, a case will be described in which the unauthorized
未登録端末１３０は、送信したＡＲＰ要求パケットの対象からＡＲＰ応答パケットを受信することによって、対象の正しいＭＡＣアドレスをＡＲＰキャッシュに一時的に記憶する。しかし、ＡＲＰ要求パケットを送信した未登録端末１３０は、正しいＭＡＣアドレスを記憶後、パケットＰ１を受信することによって、送信したＡＲＰ要求パケットの対象に対するＡＲＰキャッシュに偽のＭＡＣアドレスを記憶する。これによって、未登録端末１３０はネットワーク内の端末に対して通信ができなくなる。
ネットワーク１００内の端末は、未登録端末１３０から送信されたＡＲＰ要求パケットを受信することによって、一時的に未登録端末の正しいＭＡＣアドレスをＡＲＰキャッシュに記憶する。しかし、パケットＰ４を受信することによって、ネットワーク１００内の端末は、ＡＲＰ要求パケットの送信元である未登録端末に対するＡＲＰキャッシュを偽のＭＡＣアドレスに変更する。このため、ネットワーク１００内の端末は未登録端末１３０に対して通信ができなくなる。
The
By receiving the ARP request packet transmitted from the
なお、ＡＲＰ応答パケットの順序性が保証されていないことから、不正接続防止装置１５０は、パケットＰ１を送信する際には、パケットＰ１送信後に、予備パケットとして、例えば、パケットＰ１を５００ミリ秒おきに２０回送信する。
Since the order of the ARP response packets is not guaranteed, the unauthorized
ＡＲＰ応答パケットの順序性が保証されていないことから、例えば、未登録端末１３０が、ＡＲＰ要求パケットを送信し、送信したＡＲＰ要求パケットに対して不正接続防止装置１５０からパケットＰ１を受信した後に、送信したＡＲＰ要求パケットの対象から正しいＭＡＣアドレスを有するＡＲＰ応答パケットを受信する場合がある。
この場合、この未登録端末１３０は、送信したＡＲＰ要求パケットの対象に対して通信する事が可能である。
しかし、不正接続防止装置１５０が予備パケットとしてパケットＰ１を５００ミリ秒おきに２０回送信するので、未登録端末１３０は再びＡＲＰ要求パケットの対象のＭＡＣアドレスとして偽のＭＡＣアドレス有する予備パケットを受信することになる。
これによって、未登録端末１３０は、送信したＡＲＰ要求パケットの対象に対して通信することができなくなる。
このように、予備パケットを送信することにより、ＡＲＰ応答パケットの順序がずれたとしても、通信のブロックを正確に実行することができるようになる。
Since the order of the ARP response packets is not guaranteed, for example, after the
In this case, the
However, since the unauthorized
As a result, the
As described above, by transmitting the spare packet, even if the order of the ARP response packet is shifted, the communication block can be accurately executed.
次に、不正接続防止装置１５０がＡＲＰ要求パケットを受信した時に行う不正接続防止処理について、図８を参照して説明する。
Next, unauthorized connection prevention processing performed when the unauthorized
不正接続防止装置１５０は、ＡＲＰ要求パケットを受信すると、受信したＡＲＰ要求パケットの送信元ＭＡＣアドレスと、ＡＲＰ要求パケットの対象ＩＰアドレスとを、登録端末リスト１５４と特定端末リスト１５５と正常端末リスト１５６と不正端末リスト１５７からそれぞれ検索する。この検索により、ＡＲＰ要求パケットの送信元と対象とが特定される。不正接続防止装置１５０は、特定された送信元と対象の組み合わせに対応してパケットを送信する。
まず、不正接続防止装置１５０は、受信したＡＲＰ要求パケットの送信元が違反端末１２０であるか否かを判定する（ステップＳ２１０）。
Upon receiving the ARP request packet, the unauthorized
First, the unauthorized
受信したＡＲＰ要求パケットの送信元が違反端末１２０であった場合（ステップＳ２１０が“ＹＥＳ”）、不正接続防止装置１５０は、受信したＡＲＰ要求パケットの対象がパッチサーバ１４０であるか否かを判定する（ステップＳ２１１）。受信したＡＲＰ要求パケットの対象がパッチサーバ１４０でなければ（ステップＳ２１１が“ＮＯ”）、不正接続防止装置１５０は、パケットＰ１を送信し（ステップＳ２１２）、パケットＰ２を送信し（ステップＳ２１３）、パケットＰ３を送信する（ステップＳ２１４）。
When the transmission source of the received ARP request packet is the violating terminal 120 (“YES” in step S210), the unauthorized
パケットＰ１は、先に説明したように、不正接続防止装置１５０が受信したＡＲＰ要求パケットの対象に対するＡＲＰキャッシュを偽ＭＡＣアドレスに変更させるＡＲＰ応答パケットである。パケットＰ１は、ＡＲＰ要求パケットの送信元へ送信される。ここで、偽ＭＡＣアドレスとは、ネットワーク１００に存在しない架空のＭＡＣアドレスである。
図９に示すように、パケットＰ１のＥｔｈｅｒｎｅｔ（登録商標）ヘッダの宛先ＭＡＣアドレス、送信元ＭＡＣアドレスは、それぞれ、受信したＡＲＰ要求パケットの送信元ＭＡＣアドレス、不正接続防止装置１５０のＭＡＣアドレスである。パケットＰ１のＡＲＰヘッダの送信元ＭＡＣアドレス、送信元ＩＰアドレス、対象ＭＡＣアドレス、対象ＩＰアドレスは、それぞれ偽ＭＡＣアドレス、受信したＡＲＰ要求パケットの対象ＩＰアドレス、受信したＡＲＰ要求パケットの送信元ＭＡＣアドレス、受信したＡＲＰ要求パケットの送信元ＩＰアドレスである。パケットＰ１は、ＡＲＰ要求パケットの送信元である違反端末１２０宛へユニキャストされる。
As described above, the packet P1 is an ARP response packet that changes the ARP cache for the target of the ARP request packet received by the unauthorized
As shown in FIG. 9, the destination MAC address and the source MAC address of the Ethernet (registered trademark) header of the packet P1 are the source MAC address of the received ARP request packet and the MAC address of the unauthorized
ＡＲＰ要求パケット（パケットＰ１）を送信した違反端末１２０は、対象からＡＲＰ応答パケットを受信することにより、対象の正しいＭＡＣアドレスをＡＲＰキャッシュに一時的に記憶する。しかし、ＡＲＰ応答パケットを受信した後、違反端末１２０は、パケットＰ１を受信することにより、送信したＡＲＰ要求パケットの対象に対するＡＲＰキャッシュを偽ＭＡＣアドレスに書き換える。これによって、違反端末１２０は、ＡＲＰ要求パケットの対象に対しての通信ができなくなる。
The violating
パケットＰ２は、先に説明したように、不正接続防止装置１５０が受信したＡＲＰ要求パケットの送信元に対するＡＲＰキャッシュを偽ＭＡＣアドレスに更新させるＡＲＰ応答パケットである。パケットＰ２は、ネットワーク１００内の全端末にブロードキャストで送信される。
図１０に示すように、パケットＰ２のＥｔｈｅｒｎｅｔ（登録商標）ヘッダの宛先ＭＡＣアドレス、送信元ＭＡＣアドレスはそれぞれブロードキャストアドレス、不正接続防止装置１５０のＭＡＣアドレスである。また、パケットＰ２のＡＲＰヘッダの送信元ＭＡＣアドレス、送信元ＩＰアドレス、対象ＭＡＣアドレス、対象ＩＰアドレスは、それぞれ偽ＭＡＣアドレス、ＡＲＰ要求パケットの送信元ＩＰアドレス、ブロードキャストアドレス、ＡＲＰ要求パケットの送信元ＩＰアドレスである。
As described above, the packet P2 is an ARP response packet that updates the ARP cache for the transmission source of the ARP request packet received by the unauthorized
As shown in FIG. 10, the destination MAC address and the source MAC address of the Ethernet (registered trademark) header of the packet P2 are the broadcast address and the MAC address of the unauthorized
ネットワーク１００内の端末は、違反端末１２０がブロードキャストで送信したＡＲＰ要求パケットを受信するため、送信元である違反端末１２０の正しいＭＡＣアドレスをＡＲＰキャッシュに、一時的に記憶する。しかし、ネットワーク１００内の端末は、ＡＲＰ要求パケットを受信した後、パケットＰ２を受信するので、ＡＲＰ要求パケットの送信元である違反端末１２０に対するＡＲＰキャッシュが偽のＭＡＣアドレスに変更される。これによって、ネットワーク１００内の端末は、ＡＲＰ要求パケットの送信元である違反端末１２０に対して通信ができなくなる。
The terminals in the
パケットＰ３は、先に説明したように、不正接続防止装置１５０が受信したＡＲＰ要求パケットの送信元に対するＡＲＰキャッシュを正しいＭＡＣアドレスに更新させるＡＲＰ応答パケットである。パケットＰ３は、特定端末リスト１５５にＭＡＣアドレスとＩＰアドレスを記憶されているパッチサーバ１４０宛にユニキャスト送信される。
図１１に示すように、パケットＰ３のＥｔｈｅｒｎｅｔ（登録商標）ヘッダの宛先ＭＡＣアドレス、送信元ＭＡＣアドレスはそれぞれパッチサーバ１４０のＭＡＣアドレス、ＡＲＰ要求パケットの送信元である違反端末１２０のＭＡＣアドレスである。パケットＰ３のＡＲＰヘッダの送信元ＭＡＣアドレス、送信元ＩＰアドレス、対象ＭＡＣアドレス、対象ＩＰアドレスは、それぞれ、ＡＲＰ要求パケットの送信元である違反端末１２０の正しいＭＡＣアドレス、ＡＲＰ要求パケットの送信元の違反端末１２０のＩＰアドレス、パッチサーバ１４０のＭＡＣアドレス、パッチサーバ１４０のＩＰアドレスである。
As described above, the packet P3 is an ARP response packet that updates the ARP cache for the transmission source of the ARP request packet received by the unauthorized
As shown in FIG. 11, the destination MAC address and the source MAC address of the Ethernet (registered trademark) header of the packet P3 are the MAC address of the
パケットＰ２を受信したパッチサーバ１４０では、ＡＲＰ要求パケットの送信元である違反端末１２０に対するＡＲＰキャッシュが、偽のＭＡＣアドレスに一時的に変更される。しかし、パッチサーバ１４０は、パケットＰ２を受信した後、パケットＰ３を受信すると、ＡＲＰ要求パケットの送信元である違反端末１２０に対するＡＲＰキャッシュを、正しいＭＡＣアドレスに変更する。これによって、パッチサーバ１４０は、ＡＲＰ要求パケットの送信元である違反端末１２０との通信が可能になる。
In the
また、不正接続防止装置１５０は、予備パケットとして、パケットＰ１を５００ミリ秒おきに２０回送信する（ステップＳ２１５）。
ＡＲＰ応答パケットの順序がずれ、ＡＲＰ要求パケットの送信元である違反端末１２０が、パケットＰ１を受信した後に、対象から正しいＭＡＣアドレスを取得したとしても、予備パケットとして送信されたパケットＰ１をさらに受信することによって、違反端末１２０のネットワーク１００内での通信を、確実にブロックすることができる。
Further, the unauthorized
Even if the ARP response packet is out of order and the violating
ＡＲＰ要求パケットの送信元が違反端末１２０であり（ステップＳ２１０が“ＹＥＳ”）、対象がパッチサーバ１４０である場合（ステップＳ２１１が“ＹＥＳ”）、 不正接続防止装置１５０は、パケットＰ２を送信し（ステップＳ２１６）、パケットＰ３を送信する（ステップＳ２１７）。
When the transmission source of the ARP request packet is the violating terminal 120 (“YES” in step S210) and the target is the patch server 140 (“YES” in step S211), the unauthorized
不正接続防止装置１５０は、まず、受信したＡＲＰ要求パケットの送信元に対するＡＲＰキャッシュを偽ＭＡＣアドレスに更新させるパケットＰ２（図１０参照）をブロードキャストする。続いて、不正接続防止装置１５０は、受信したＡＲＰ要求パケットの送信元に対するＡＲＰキャッシュを正しいＭＡＣアドレスに更新させるパケットＰ３を、特定端末リスト１５５に登録されているすべてのパッチサーバ１４０宛へユニキャストする。
パケットＰ２を受信した端末では、ＡＲＰ要求パケット送信元の違反端末１２０に対するＡＲＰキャッシュが偽ＭＡＣアドレスに変更される。これにより、その端末と、ＡＲＰ要求パケットの送信元である違反端末１２０との通信ができなくなる。ただし、パッチサーバ１４０は、パケットＰ２を受信した後、パケットＰ３を受信し、違反端末１２０に対するＡＲＰキャッシュが正しいＭＡＣアドレスへ変更されるので、違反端末１２０に対して通信可能となる。
The unauthorized
In the terminal that has received the packet P2, the ARP cache for the violating
ステップＳ２１０乃至ステップＳ２１７によって、違反端末１２０は、ネットワーク１００内での通信をブロックされる。ただし、違反端末１２０とパッチサーバ１４０との通信は許可される。
Through steps S210 to S217, the violating
ＡＲＰ要求パケットの送信元が違反端末１２０でない場合（ステップＳ２１０が“ＮＯ”）、不正接続防止装置１５０は、受信したＡＲＰ要求パケットの送信元が正常端末１１０であるか否かを判定する（ステップＳ２２０）。送信元が正常端末１１０であった場合（ステップＳ２２０が“ＹＥＳ”）、不正接続防止装置１５０は、受信したＡＲＰ要求パケットの対象が、不正端末１２５であるか否かを判定する（ステップＳ２２１）。受信したＡＲＰ要求パケットの対象が、不正端末１２５である場合（ステップＳ２２１が“ＹＥＳ”）、 不正接続防止装置１５０は、パケットＰ１を送信し（ステップＳ２２２）、パケットＰ４を送信する（ステップＳ２２３）。
When the transmission source of the ARP request packet is not the violating terminal 120 (Step S210 is “NO”), the unauthorized
パケットＰ１は、先に説明したように、不正接続防止装置１５０が受信したＡＲＰ要求パケットの対象に対するＡＲＰキャッシュを、偽ＭＡＣアドレスに変更させるＡＲＰ応答パケットである。パケットＰ１は、ＡＲＰ要求パケットの送信元へ送信される。
As described above, the packet P1 is an ARP response packet that changes the ARP cache for the target of the ARP request packet received by the unauthorized
ＡＲＰ要求パケットの送信元である正常端末１１０は、対象である不正端末１２５からＡＲＰ応答パケットを受信することによって、対象である不正端末１２５の正しいＭＡＣアドレスをＡＲＰキャッシュに一時的に記憶する。しかし、ＡＲＰ要求パケットの送信元である正常端末１１０は、正しいＭＡＣアドレスを記憶した後、パケットＰ１を受信することで、対象である不正端末１２５に対するＡＲＰキャッシュを偽のＭＡＣアドレスに書き換える。これによって、正常端末１１０から不正端末１２５への通信が確実にブロックされる。
The
パケットＰ４は、先に説明したように、不正接続防止装置１５０が受信したＡＲＰ要求パケットの送信元に対するＡＲＰキャッシュを、偽ＭＡＣアドレスに変更させるＡＲＰ応答パケットである。パケットＰ４は、不正端末リスト１５７にＭＡＣアドレスとＩＰアドレスを記憶される不正端末１２５に、ユニキャストで送信される。
図１２に示すように、パケットＰ４のＥｔｈｅｒｎｅｔ（登録商標）ヘッダの宛先ＭＡＣアドレス、送信元ＭＡＣアドレスは、それぞれ不正端末リストに保存される不正端末１２５のＭＡＣアドレス、ＡＲＰ要求パケットの送信元ＭＡＣアドレスである。パケットＰ４のＡＲＰヘッダの送信元ＭＡＣアドレス、送信元ＩＰアドレス、対象ＭＡＣアドレス、対象ＩＰアドレスは、それぞれ偽ＭＡＣアドレス、ＡＲＰ要求パケットの送信元ＩＰアドレス、宛先である不正端末１２５のＭＡＣアドレス、宛先である不正端末１２５のＩＰアドレスである。
As described above, the packet P4 is an ARP response packet that changes the ARP cache for the transmission source of the ARP request packet received by the unauthorized
As shown in FIG. 12, the destination MAC address and the source MAC address of the Ethernet (registered trademark) header of the packet P4 are the MAC address of the
ネットワーク１００内の不正端末１２５は、正常端末１１０から送信されたＡＲＰ要求パケットを受信することによって、送信元の正常端末１１０に対して正しいＭＡＣアドレスを、ＡＲＰキャッシュに一時的に記憶する。しかし、ネットワーク１００内の不正端末１２５は、正しいＭＡＣアドレスを記憶した後、パケットＰ４を受信することによって、ＡＲＰ要求パケットの送信元である正常端末１１０に対するＡＲＰキャッシュを偽のＭＡＣアドレスに書き換える。これによって、正常端末１１０からＡＲＰ要求パケットが送信されたとしても、不正端末１２５は、正常端末１１０の正しいＭＡＣアドレスをＡＲＰキャッシュに記憶することができず、正常端末１１０に対して通信ができなくなる。
By receiving the ARP request packet transmitted from the
続いて、不正接続防止装置１５０は、予備パケットとして、パケットＰ１を５００ミリ秒おきに２０回送信する（ステップＳ２２４）。
ＡＲＰ応答パケットの順序がずれ、ＡＲＰ要求パケットの送信元である正常端末１１０が、パケットＰ１を受信した後に、ＡＲＰ要求パケットの対象である不正端末１２５から正しいＡＲＰ応答パケットを受信したとしても、予備パケットとして送信されたパケットＰ１によって、正常端末１１０の不正端末１２５に対する通信をブロックすることができる。
Subsequently, the unauthorized
Even if the ARP response packet is out of order and the
不正接続防止装置１５０は、受信したＡＲＰ要求パケットの送信元が正常端末１１０であり（ステップＳ２２０が”ＹＥＳ”）、受信したＡＲＰ要求パケットの対象が不正端末１２５でない場合（ステップＳ２２１が“ＮＯ”）、不正端末リスト１５７にＭＡＣアドレスとＩＰアドレスを記憶される各不正端末１２５に、パケットＰ４をユニキャストで送信する。
In the unauthorized
ネットワーク１００内の不正端末１２５は、正常端末１１０からブロードキャストで送信されたＡＲＰ要求パケットを受信することによって、送信元である正常端末１１０の正しいＭＡＣアドレスを、ＡＲＰキャッシュに一時的に記憶する。しかし、正しいＭＡＣアドレスを記憶後、パケットＰ４を受信することによって、不正端末１２５は、正常端末１１０に対するＡＲＰキャッシュを偽のＭＡＣアドレスに書き換える。これによって、不正端末１２５は、正常端末１１０との通信をブロックされる。
また、ＡＲＰ要求パケットの送信元である正常端末１１０は、ＡＲＰ要求パケットの対象から正しいＭＡＣアドレスを取得するので、正常端末１１０は、ネットワーク１００内での通信を許可されることになる。
The
Further, since the
上記ステップＳ２２０乃至ステップＳ２２５が実行されることによって、正常端末１１０は、不正端末１２５からのアクセスから防御されつつ、ネットワーク１００内での通信を行うことができる。
By executing steps S220 to S225, the
不正接続防止装置１５０は、受信したＡＲＰ要求パケットの送信元が正常端末１１０でない場合（ステップＳ２２０が“ＮＯ”）、受信したＡＲＰ要求パケットの送信元が未登録端末１３０であるか否かを判定する（ステップＳ２３０）。
If the transmission source of the received ARP request packet is not the normal terminal 110 (step S220 is “NO”), the unauthorized
受信したＡＲＰ要求パケットの送信元が未登録端末１３０であると（ステップＳ２３０が“ＹＥＳ”）、不正接続防止装置１５０は、パケットＰ１を送信し（ステップＳ２３１）、パケットＰ２を送信する（ステップＳ２３２）。
If the transmission source of the received ARP request packet is the unregistered terminal 130 (step S230 is “YES”), the unauthorized
パケットＰ１は、先に説明したように、不正接続防止装置１５０が受信したＡＲＰ要求パケットの対象に対するＡＲＰキャッシュを偽ＭＡＣアドレスに変更させるＡＲＰ応答パケットである。パケットＰ１は、ＡＲＰ要求パケットの送信元へ送信される。
As described above, the packet P1 is an ARP response packet that changes the ARP cache for the target of the ARP request packet received by the unauthorized
ＡＲＰ要求パケットの送信元である未登録端末１３０は、送信したＡＲＰ要求パケットの対象からＡＲＰ応答パケットを受信することにより、送信したＡＲＰ要求パケットの対象に対して、正しいＭＡＣアドレスをＡＲＰキャッシュに一時的に記憶する。しかし、未登録端末１３０は、パケットＰ１を受信することにより、送信したＡＲＰ要求パケットの対象に対するＡＲＰキャッシュを偽ＭＡＣアドレスに書き換える。これにより、未登録端末１３０は、ＡＲＰ要求パケットの対象に対して通信ができなくなる。
By receiving the ARP response packet from the target of the transmitted ARP request packet, the
パケットＰ２は、先に説明したように、不正接続防止装置１５０が受信したＡＲＰ要求パケットの送信元に対するＡＲＰキャッシュを偽ＭＡＣアドレスに更新させるＡＲＰ応答パケットである。パケットＰ２は、ネットワーク１００内の全端末にブロードキャストで送信される。
As described above, the packet P2 is an ARP response packet that updates the ARP cache for the transmission source of the ARP request packet received by the unauthorized
ネットワーク１００内の端末は、未登録端末１３０から送信されたＡＲＰ要求パケットを受信することによって、未登録端末１３０の正しいＭＡＣアドレスをＡＲＰキャッシュに一時的に記憶する。しかし、ネットワーク１００内の端末は、パケットＰ２を受信することによって、未登録端末１３０に対するＡＲＰキャッシュが偽のＭＡＣアドレスに変更する。このため、その端末は、この未登録端末１３０に対して通信ができなくなる。
The terminal in the
続いて、不正接続防止装置１５０は、予備パケットとして、パケットＰ１を５００ミリ秒おきに２０回送信する（ステップＳ２３３）。
ＡＲＰ応答パケットの順序がずれ、ＡＲＰ要求パケットの送信元である未登録端末１３０が、パケットＰ１を受信した後に、ＡＲＰ要求パケットの対象から正しいＭＡＣアドレスを取得したとしても、予備パケットとして送信されたパケットＰ１によって、違反端末１２０のネットワーク内での通信をブロックすることができる。
Subsequently, the unauthorized
Even if the
ステップＳ２３０乃至ステップＳ２３３によって、未登録端末１３０のネットワーク内での通信がブロックされる。
Communication in the network of the
以上説明したように、本実施形態によれば、不正端末１２５のネットワーク１００内で通信をブロックしつつ、事前に登録したパッチサーバ１４０と違反端末１２０との通信を可能とした。また、違反端末１２０については、最適なパッチを適用すると、自動的に正常端末１１０と通信ができるようにした。
また、ＡＲＰ要求パケットがブロードキャストで送信されることを利用しているため、ネットワークの構成を変更することなく、セキュリティレベルを維持しつつ、不正接続防止装置１５０を導入することができる。
As described above, according to the present embodiment, communication between the
Further, since the ARP request packet is transmitted by broadcast, the unauthorized
これまで、本発明の実施形態について詳細に説明したが、具体的な構成は上記実施形態に限られるものではなく、本発明は、請求項に記載の意図する範囲を超えない限りにおいては、様々な変形や応用が可能である。 The embodiment of the present invention has been described in detail so far, but the specific configuration is not limited to the above-described embodiment, and the present invention is not limited to the intended scope described in the claims. Various modifications and applications are possible.
例えば、正常端末１１０と違反端末１２０と未登録端末１３０は、コンピュータ端末として説明した。しかしながら、正常端末１１０、違反端末１２０、未登録端末１３０は、制御部と記憶部と通信部を備えた、ネットワーク１００に接続された電子機器端末などであってもよい。
For example, the
また、登録端末リスト１５４には、登録端末１１５のＭＡＣアドレスが、予め登録されていると説明した。しかしながら、登録端末１１５に、特定のアプリケーションをインストールすることによって、登録端末リスト１５４への登録を自動化するようにしてもよい。
この場合、ネットワーク１００内の端末にインストールされた特定のアプリケーションが端末に特定の情報を含むパケットを送信させ、特定の情報を含むパケットを不正接続防止装置１５０が受信すると、不正接続防止装置１５０は、このパケットの送信元のＭＡＣアドレスを登録端末リスト１５４に登録する。
Further, it has been described that the MAC address of the registered terminal 115 is registered in advance in the registered
In this case, when a specific application installed in a terminal in the
また、上記実施形態では、不正接続防止装置１５０は、登録端末１１５にアクセスすることによって、パッチ適用状況を調べたが、特定のアプリケーションを登録端末１１５にインストールすることによってパッチ適用状況を調べるようにしても良い。
このアプリケーションが、インストールされた端末に、パッチ適用状況を不正接続防止装置１５０へ送信させる。不正接続防止装置１５０は、パッチ適用状況を受信し、受信したパッチ適用状況を確認することによって、登録端末１１５が最適なパッチを適用しているかを確認する。
In the above embodiment, the unauthorized
This application causes the installed terminal to transmit the patch application status to the unauthorized
また、特定のアプリケーションを登録端末１１５にインストールすることによって、インストールされたこのアプリケーションが、登録端末１１５の登録端末リスト１５４への登録と、パッチ適用状況の確認との両方を行っても良い。
Further, by installing a specific application in the registration terminal 115, the installed application may perform both registration in the
また、上記実施形態では、パッチサーバ１４０を、コンピュータ端末であるものとして説明した。しかしながら、パッチサーバ１４０は、ハードディスクとネットワークインターフェースと、ＯＳ（Ｏｐｅｒａｔｉｎｇ Ｓｙｓｔｅｍ）と、管理用ユーティリティなどが一体化されて構成されるＮＡＳ（Ｎｅｔｗｏｒｋ Ａｔｔａｃｈｅｄ Ｓｔｏｒａｇｅ）であってもよいし、パッチ以外のファイルを保存してもよい。
In the above embodiment, the
また、上記実施形態では、パッチサーバ１４０を、単体の装置として説明したが、パッチサーバ１４０は、不正接続防止装置１５０に組み込まれていても良い。
また、上記実施形態では、不正接続防止装置１５０が、登録端末１１５のパッチ適用状況を調べていたが、不正接続防止装置１５０ではない端末がパッチ適用状況を調べ、調べたパッチ適用状況を不正接続防止装置１５０に送信しても良い。
In the above embodiment, the
In the above-described embodiment, the unauthorized
また、正常端末１１０は、最適なパッチを適用された登録端末１１５であり、違反端末１２０は最適なパッチを適用されていない登録端末１１５であるとして説明した。しかしながら、最適なパッチが当てられているか否かを判断基準とする必要はない。判断基準は、不正接続防止装置１５０が導入されるシステムに合わせて適宜変更することが可能である。
例えば、指紋認証や、ＵＳＢ（Ｕｎｉｖｅｒｓａｌ Ｓｅｒｉａｌ Ｂｕｓ）ドングルに含まれる情報や、パスワードを利用するようにしてもよい。登録端末１１５は、特定の情報（指紋画像又はＵＳＢドングルに含まれる情報やパスワード等の暗号コード）を不正接続防止装置１５０に送信する。不正接続防止装置１５０は、特定の情報を受信すると、受信された情報と記憶する情報とを照合し、それらが一致したことを受けて、該当する登録端末１１５のＭＡＣアドレスとＩＰアドレスを正常端末リスト１５６に一時的に登録するようにしてもよい。
この場合、パッチサーバ１４０は、パッチを保存しているサーバである必要はなく、例えば、ネットワーク１００上の共有ファイルを保存するサーバやＮＡＳとして機能することができる。
Further, the
For example, fingerprint authentication, information included in a USB (Universal Serial Bus) dongle, or a password may be used. The registration terminal 115 transmits specific information (information included in a fingerprint image or USB dongle, an encryption code such as a password) to the unauthorized
In this case, the
また、ＡＲＰ要求パケット受信時の不正接続防止処理は、上記実施形態で説明したフローチャートのものに限定されない。例えば、ステップＳ２２０乃至ステップＳ２２５を実行し、ステップＳ２１０乃至ステップＳ２１７を実行し、ステップＳ２３０乃至ステップＳ２３３を実行してもよい。
また、図１３に示すように、不正接続防止装置１５０は、受信したＡＲＰ要求パケットの送信元が違反端末１２０であるか否かを判定し（ステップＳ３１０）、違反端末１２０であれば（ステップＳ３１０が“ＹＥＳ”）、パケットＰ２を送信し（ステップＳ３１１）、パケットＰ３を送信する（ステップＳ３１２）。パケットＰ３送信後、不正接続防止装置１５０は、対象がパッチサーバ１４０であるか否か判定し（ステップＳ３１３）、対象がパッチサーバ１４０であれば（ステップＳ３１３が“ＹＥＳ”）、処理を終了し、対象がパッチサーバ１４０でなければ（ステップＳ３１３が“ＮＯ”）、パケットＰ１を送信し（ステップＳ３１４）、予備パケットとしてパケットＰ１を送信してもよい（ステップＳ３１５）。
同様に、図１３に示すように、受信したＡＲＰ要求パケットの送信元が正常端末であれば（ステップＳ３２０が“ＹＥＳ”）、不正接続防止装置１５０は、まずパケットＰ４を送信し（ステップＳ３２１）、対象が不正端末１２５であるかを調べ（ステップＳ３２２）、対象が不正端末１２５でなければ（ステップＳ３２２が“ＮＯ”）、処理を終了し、対象が不正端末１２５であれば（ステップＳ３２２が“ＹＥＳ”）、パケット１を送信し（ステップＳ３２３）、予備パケットとしてパケットＰ１を送信し（ステップＳ３２４）てもよい。
Further, the unauthorized connection prevention process at the time of receiving the ARP request packet is not limited to the flowchart described in the above embodiment. For example, steps S220 to S225 may be executed, steps S210 to S217 may be executed, and steps S230 to S233 may be executed.
Further, as shown in FIG. 13, the unauthorized
Similarly, as shown in FIG. 13, if the transmission source of the received ARP request packet is a normal terminal (“YES” in step S320), the unauthorized
上記実施形態では、プログラムが、それぞれメモリ等に予め記憶されているものとして説明した。しかし、通信装置を、装置の全部又は一部として動作させ、あるいは、上述の処理を実行させるためのプログラムを、フレキシブルディスク、ＣＤ（Ｃｏｍｐａｃｔ Ｄｉｓｋ）、ＤＶＤ（Ｄｉｇｉｔａｌ Ｖｅｒｓａｔｉｌｅ Ｄｉｓｋ）、ＭＯ（Ｍａｇｎｅｔｏ Ｏｐｔｉｃａｌ ｄｉｓｋ）などのコンピュータ読み取り可能な記録媒体に格納して配布し、これを別のコンピュータにインストールし、上述の手段として動作させ、あるいは、上述の工程を実行させてもよい。 In the above-described embodiment, the program is described as being stored in advance in a memory or the like. However, a program for causing the communication apparatus to operate as all or part of the apparatus or to execute the above-described processing is a flexible disk, a CD (Compact Disk), a DVD (Digital Versatile Disk), or a MO (Magneto Optical disk). ) Or the like may be stored and distributed in a computer-readable recording medium, installed in another computer, and operated as the above-described means, or the above-described steps may be executed.
さらに、インターネット上のサーバ装置が有するディスク装置等にプログラムを格納しておき、例えば、搬送波に重畳させて、コンピュータにダウンロード等するものとしてもよい。 Furthermore, the program may be stored in a disk device or the like included in a server device on the Internet, and may be downloaded onto a computer by being superimposed on a carrier wave, for example.
上記の実施形態の一部又は全部は、以下の付記のようにも記載されうるが、以下には限られない。 A part or all of the above-described embodiment can be described as in the following supplementary notes, but is not limited thereto.
（付記１）ネットワークに接続し、前記ネットワーク内で通信を行う通信部と、
予め登録された登録端末を識別する登録端末識別情報を記憶する登録端末記憶手段と、
前記ネットワーク内での通信を許可された前記登録端末である正常端末を識別する正常端末識別情報を記憶する正常端末記憶手段と、
前記ネットワーク内での通信を許可されていない前記登録端末である違反端末と特別に通信を許可される特定端末を識別する特定端末識別情報を記憶する特定端末記憶手段と、
前記通信部がＡＲＰ要求パケットを受信すると、受信した当該ＡＲＰ要求パケットと、前記登録端末記憶手段が記憶する登録端末識別情報と、前記正常端末記憶手段が記憶する前記正常端末識別情報と、前記特定端末記憶手段が記憶する特定端末識別情報に基づいて、前記通信部からパケットを送信するパケット送信制御手段と、
を備え、
前記パケット送信制御手段は、送信元が前記登録端末でもなく前記特定端末でもない未登録端末であるＡＲＰ要求パケットを前記通信部が受信すると、受信した当該ＡＲＰ要求パケットの対象に対するＡＲＰキャッシュを偽りのものに変更する偽ＡＲＰ応答パケットを該未登録端末に送信し、
前記パケット送信制御手段は、送信元が前記違反端末であって対象が前記特定端末でないＡＲＰ要求パケットを前記通信部が受信すると、前記偽ＡＲＰ応答パケットを該違反端末に送信する、
ことを特徴とする不正接続防止装置。
(Supplementary Note 1) A communication unit that connects to a network and performs communication within the network;
Registered terminal storage means for storing registered terminal identification information for identifying a registered terminal registered in advance;
Normal terminal storage means for storing normal terminal identification information for identifying a normal terminal that is the registered terminal permitted to communicate in the network;
Specific terminal storage means for storing specific terminal identification information for identifying a specific terminal that is specifically permitted to communicate with a violation terminal that is the registered terminal that is not permitted to communicate within the network;
When the communication unit receives the ARP request packet, the received ARP request packet, the registered terminal identification information stored in the registered terminal storage unit, the normal terminal identification information stored in the normal terminal storage unit, and the specific Based on the specific terminal identification information stored in the terminal storage means, packet transmission control means for transmitting a packet from the communication unit;
With
When the communication unit receives an ARP request packet that is an unregistered terminal whose transmission source is neither the registered terminal nor the specific terminal, the packet transmission control unit falsely sets an ARP cache for the target of the received ARP request packet. Send a fake ARP response packet to change to the unregistered terminal,
The packet transmission control means transmits the fake ARP response packet to the violating terminal when the communication unit receives an ARP request packet whose source is the violating terminal and whose target is not the specific terminal.
A device for preventing unauthorized connection.
（付記２）前記パケット送信制御手段は、
送信元が前記未登録端末であるＡＲＰ要求パケットを前記通信部が受信すると、
前記偽ＡＲＰ応答パケットを該未登録端末に送信するとともに、
該未登録端末に対するＡＲＰキャッシュを偽りのものに変更する旨をブロードキャストで送信する、
ことを特徴とする付記１に記載の不正接続防止装置。
(Supplementary Note 2) The packet transmission control means includes:
When the communication unit receives an ARP request packet whose source is the unregistered terminal,
Sending the fake ARP response packet to the unregistered terminal;
Broadcast to change the ARP cache for the unregistered terminal to a fake one,
The unauthorized connection prevention apparatus according to
（付記３）前記パケット送信制御手段は、
送信元が前記違反端末であって対象が前記特定端末でないＡＲＰ要求パケットを前記通信部が受信すると、
前記偽ＡＲＰ応答パケットを該違反端末に送信するとともに、
該違反端末に対するＡＲＰキャッシュを偽りのものに変更する旨をブロードキャストで送信し、
該違反端末に対するＡＲＰキャッシュを偽りのものに変更する旨をブロードキャストで送信した後に、該違反端末に対するＡＲＰキャッシュを正しいものに変更する旨を前記特定端末に送信する、
ことを特徴とする付記１または２に記載の不正接続防止装置。
(Supplementary Note 3) The packet transmission control means includes:
When the communication unit receives an ARP request packet whose source is the violating terminal and whose target is not the specific terminal,
Sending the fake ARP response packet to the violating terminal;
Broadcasting to change the ARP cache for the violating terminal to a false one,
After broadcasting that the ARP cache for the violating terminal is changed to a false one, the fact that the ARP cache for the violating terminal is changed to a correct one is transmitted to the specific terminal.
The unauthorized connection preventing apparatus according to
（付記４）前記パケット送信制御手段は、
送信元が前記違反端末であって対象が前記特定端末であるＡＲＰ要求パケットを前記通信部が受信すると、
該違反端末に対するＡＲＰキャッシュを偽りのものに変更する旨をブロードキャストで送信し、
該違反端末に対するＡＲＰキャッシュを偽りのものに変更する旨をブロードキャストで送信した後に、該違反端末に対するＡＲＰキャッシュを正しいものに変更する旨を前記特定端末に送信する、
ことを特徴とする付記１乃至３の何れかに記載の不正接続防止装置。
(Supplementary Note 4) The packet transmission control means includes:
When the communication unit receives an ARP request packet whose transmission source is the violating terminal and whose target is the specific terminal,
Broadcasting to change the ARP cache for the violating terminal to a false one,
After broadcasting that the ARP cache for the violating terminal is changed to a false one, the fact that the ARP cache for the violating terminal is changed to a correct one is transmitted to the specific terminal.
The unauthorized connection prevention device according to any one of
（付記５）前記パケット送信制御手段は、
送信元が前記正常端末で対象が前記未登録端末であるＡＲＰ要求パケットを前記通信部が受信した場合と、送信元が前記正常端末で対象が前記違反端末であるＡＲＰ要求パケットを前記通信部が受信した場合に、
前記偽ＡＲＰ応答パケットを、受信した前記ＡＲＰ要求パケットの送信元である前記正常端末に送信する、
ことを特徴とする付記１乃至４の何れかに記載の不正接続防止装置。
(Supplementary Note 5) The packet transmission control means includes:
When the communication unit receives an ARP request packet in which the transmission source is the normal terminal and the target is the unregistered terminal, and the communication unit receives an ARP request packet in which the transmission source is the normal terminal and the target is the violation terminal. If received,
Sending the fake ARP response packet to the normal terminal that is the source of the received ARP request packet;
The unauthorized connection prevention apparatus according to any one of
（付記６）前記違反端末を識別する違反端末識別情報を記憶する違反端末記憶手段と、
前記通信部が前記未登録端末から送信されたＡＲＰ要求パケットを受信すると、受信した当該ＡＲＰ要求パケットに含まれる該未登録端末を識別する未登録端末識別情報を記憶する未登録端末記憶手段を更に備え、
前記パケット送信制御手段は、送信元が前記正常端末であるＡＲＰ要求パケットを前記通信部が受信すると、前記違反端末記憶手段が記憶する前記違反端末識別情報と前記未登録端末記憶手段が記憶する前記未登録端末識別情報に基づいて、受信したＡＲＰ要求パケットの送信元である前記正常端末に対するＡＲＰキャッシュを偽りのものに変更する旨を前記違反端末と前記未登録端末にそれぞれユニキャストで送信する、
ことを特徴とする付記１乃至５の何れかに記載の不正接続防止装置。
(Appendix 6) Violation terminal storage means for storing violation terminal identification information for identifying the violation terminal,
When the communication unit receives an ARP request packet transmitted from the unregistered terminal, unregistered terminal storage means for storing unregistered terminal identification information for identifying the unregistered terminal included in the received ARP request packet is further provided. Prepared,
When the communication unit receives an ARP request packet whose transmission source is the normal terminal, the packet transmission control means stores the violation terminal identification information stored in the violation terminal storage means and the unregistered terminal storage means Based on the unregistered terminal identification information, the fact that the ARP cache for the normal terminal that is the transmission source of the received ARP request packet is changed to a false one is transmitted to each of the violating terminal and the unregistered terminal by unicast,
The unauthorized connection preventing apparatus according to any one of
（付記７）前記パケット送信制御手段は、
送信元が前記正常端末で対象が前記未登録端末であるＡＲＰ要求パケットを前記通信部が受信した場合と、送信元が前記正常端末で対象が前記違反端末であるＡＲＰ要求パケットを前記通信部が受信した場合に、
前記偽ＡＲＰ応答パケットを該正常端末に送信するとともに、
前記正常端末に対するＡＲＰキャッシュを偽りのものに変更する旨を各前記違反端末と各前記未登録端末にユニキャストで送信する、
ことを特徴とする付記１乃至６の何れかに記載の不正接続防止装置。
(Supplementary note 7) The packet transmission control means includes:
When the communication unit receives an ARP request packet in which the transmission source is the normal terminal and the target is the unregistered terminal, and the communication unit receives an ARP request packet in which the transmission source is the normal terminal and the target is the violation terminal. If received,
Sending the fake ARP response packet to the normal terminal;
The ARP cache for the normal terminal is changed to a false one and transmitted to each of the violating terminals and each of the unregistered terminals by unicast.
The unauthorized connection preventing apparatus according to any one of
（付記８）前記パケット送信制御手段は、
前記通信部がＡＲＰ要求パケットを受信し、
前記偽ＡＲＰ応答パケットを、受信した当該ＡＲＰ要求パケットの送信元に送信すると、
送信後、受信した当該ＡＲＰ要求パケットの対象に対するＡＲＰキャッシュを偽りのものに変更する予備パケットを、一定期間に複数回、受信した当該ＡＲＰ要求パケットの送信元に送信する、
ことを特徴とする付記１乃至７の何れかに記載の不正接続防止装置。
(Supplementary note 8) The packet transmission control means includes:
The communication unit receives an ARP request packet;
When the fake ARP response packet is transmitted to the transmission source of the received ARP request packet,
After transmission, a spare packet for changing the ARP cache for the target of the received ARP request packet to a false one is transmitted to the transmission source of the received ARP request packet a plurality of times in a certain period.
The unauthorized connection prevention device according to any one of
（付記９）前記ネットワーク内の端末が前記ネットワーク内で通信してもよいか、いけないかを判定する基準である接続判定基準を記憶する接続判定基準記憶手段と、
前記接続判定基準記憶手段が記憶する前記接続判定基準に基づいて、前記登録端末が前記ネットワーク内で通信してもよいかを繰り返し判定し、前記登録端末が前記ネットワークで通信してもよいと判定すると、該登録端末を識別する前記登録端末識別情報を判定毎に出力する正常端末判定手段と、
を更に備え、
前記正常端末記憶手段は、前記正常端末判定手段が判定毎に出力する前記登録端末識別情報を受信し、受信した当該登録端末識別情報に基づいて、記憶する前記正常端末識別情報を更新する、
ことを特徴とする付記１乃至８の何れかに記載の不正接続防止装置。
(Supplementary Note 9) A connection determination criterion storage unit that stores a connection determination criterion that is a criterion for determining whether or not a terminal in the network may communicate within the network;
Based on the connection determination criterion stored in the connection determination criterion storage means, it is repeatedly determined whether the registration terminal may communicate within the network, and it is determined that the registration terminal may communicate over the network. Then, normal terminal determination means for outputting the registered terminal identification information for identifying the registered terminal for each determination,
Further comprising
The normal terminal storage means receives the registered terminal identification information output for each determination by the normal terminal determination means, and updates the stored normal terminal identification information based on the received registered terminal identification information.
The unauthorized connection preventing apparatus according to any one of
（付記１０）前記ネットワークに接続する端末の登録を受け付け、登録を受け付けた前記端末を識別する端末識別情報を出力する端末登録手段を、
更に備え、
前記登録端末記憶手段は、前記端末登録手段が出力する前記端末識別情報を受信し、受信した当該端末識別情報を記憶する、
ことを特徴とする付記１乃至９の何れかに記載の不正接続防止装置。
(Supplementary Note 10) Terminal registration means for receiving registration of a terminal connected to the network and outputting terminal identification information for identifying the terminal that has accepted registration;
In addition,
The registered terminal storage means receives the terminal identification information output by the terminal registration means, and stores the received terminal identification information;
The unauthorized connection preventing apparatus according to any one of
（付記１１）コンピュータに
予め登録された登録端末を識別する登録端末識別情報を登録端末記憶手段に記憶する手順と、
ネットワーク内での通信を許可された前記登録端末である正常端末を識別する正常端末識別情報を正常端末記憶手段に記憶する手順と、
前記ネットワーク内での通信を許可されていない前記登録端末である違反端末と特別に通信を許可される特定端末を識別する特定端末識別情報を特定端末記憶手段に記憶する手順と、
ＡＲＰ要求パケットを受信すると、受信した当該ＡＲＰ要求パケットと、前記登録端末記憶手段が記憶する登録端末識別情報と、前記正常端末記憶手段が記憶する前記正常端末識別情報と、前記特定端末記憶手段が記憶する特定端末識別情報に基づいて、該ＡＲＰ要求パケットの送信元と対象を判別する手順と、
送信元が前記登録端末でもなく前記特定端末でもない未登録端末であるＡＲＰ要求パケットを受信すると、受信した当該ＡＲＰ要求パケットの対象に対するＡＲＰキャッシュを偽りのものに変更する旨を該未登録端末に送信する手順と、
送信元が前記違反端末であるＡＲＰ要求パケットを受信すると、受信した当該ＡＲＰ要求パケットの対象に対するＡＲＰキャッシュを偽りのものに変更する旨を該違反端末に送信する手順と、
を実行させるためのプログラム。
(Additional remark 11) The procedure which memorize | stores the registration terminal identification information which identifies the registration terminal previously registered in the computer in a registration terminal memory | storage means,
A procedure for storing normal terminal identification information in the normal terminal storage means for identifying a normal terminal that is the registered terminal permitted to communicate in a network;
A procedure for storing in a specific terminal storage means specific terminal identification information for identifying a specific terminal that is specifically allowed to communicate with a violating terminal that is the registered terminal that is not permitted to communicate within the network;
When receiving the ARP request packet, the received ARP request packet, the registered terminal identification information stored in the registered terminal storage means, the normal terminal identification information stored in the normal terminal storage means, and the specific terminal storage means A procedure for determining the source and target of the ARP request packet based on the stored specific terminal identification information;
When an ARP request packet that is an unregistered terminal that is neither the registered terminal nor the specific terminal is received, the unregistered terminal is notified that the ARP cache for the target of the received ARP request packet is changed to a false one. Sending instructions,
A procedure for transmitting to the violating terminal that the ARP cache for the target of the received ARP request packet is changed to a false one when receiving the ARP request packet whose transmission source is the violating terminal;
A program for running
１ 不正接続防止システム
１００ ネットワーク
１１０ 正常端末
１１５ 登録端末
１２０ 違反端末
１２５ 不正端末
１３０ 未登録端末
１４０ パッチサーバ
１５０ 不正接続防止装置
１５１ 制御部
１５２ 通信部
１５３ 入力部
１５４ 登録端末リスト
１５５ 特定端末リスト
１５６ 正常端末リスト
１５７ 不正端末リスト
１５８ パッチリスト
１５９ 記憶部
1 Unauthorized
Claims (10)
予め登録された登録端末を識別する登録端末識別情報を記憶する登録端末記憶手段と、
前記ネットワーク内での通信を許可された前記登録端末である正常端末を識別する正常端末識別情報を記憶する正常端末記憶手段と、
前記ネットワーク内での通信を許可されていない前記登録端末である違反端末と特別に通信を許可される特定端末を識別する特定端末識別情報を記憶する特定端末記憶手段と、
前記通信部がＡＲＰ要求パケットを受信すると、受信した当該ＡＲＰ要求パケットと、前記登録端末記憶手段が記憶する登録端末識別情報と、前記正常端末記憶手段が記憶する前記正常端末識別情報と、前記特定端末記憶手段が記憶する特定端末識別情報に基づいて、前記通信部からパケットを送信するパケット送信制御手段と、
を備え、
前記パケット送信制御手段は、送信元が前記登録端末でもなく前記特定端末でもない未登録端末であるＡＲＰ要求パケットを前記通信部が受信すると、受信した当該ＡＲＰ要求パケットの対象に対する該未登録端末のＡＲＰキャッシュを偽りのものに変更する偽ＡＲＰ応答パケットを該未登録端末に送信し、
前記パケット送信制御手段は、送信元が前記違反端末であって対象が前記特定端末でないＡＲＰ要求パケットを前記通信部が受信すると、前記偽ＡＲＰ応答パケットを該違反端末に送信する、
ことを特徴とする不正接続防止装置。 A communication unit connected to the network and performing communication in the network;
Registered terminal storage means for storing registered terminal identification information for identifying a registered terminal registered in advance;
Normal terminal storage means for storing normal terminal identification information for identifying a normal terminal that is the registered terminal permitted to communicate in the network;
Specific terminal storage means for storing specific terminal identification information for identifying a specific terminal that is specifically permitted to communicate with a violation terminal that is the registered terminal that is not permitted to communicate within the network;
When the communication unit receives the ARP request packet, the received ARP request packet, the registered terminal identification information stored in the registered terminal storage unit, the normal terminal identification information stored in the normal terminal storage unit, and the specific Based on the specific terminal identification information stored in the terminal storage means, packet transmission control means for transmitting a packet from the communication unit;
With
When the communication unit receives an ARP request packet that is an unregistered terminal whose transmission source is neither the registered terminal nor the specific terminal, the packet transmission control unit is configured to transmit the unregistered terminal to the target of the received ARP request packet . Sending a fake ARP response packet for changing the ARP cache to a fake one to the unregistered terminal;
The packet transmission control means transmits the fake ARP response packet to the violating terminal when the communication unit receives an ARP request packet whose source is the violating terminal and whose target is not the specific terminal.
A device for preventing unauthorized connection.
送信元が前記未登録端末であるＡＲＰ要求パケットを前記通信部が受信すると、
前記偽ＡＲＰ応答パケットを該未登録端末に送信するとともに、
該未登録端末に対するＡＲＰキャッシュを偽りのものに変更する旨をブロードキャストで送信する、
ことを特徴とする請求項１に記載の不正接続防止装置。 The packet transmission control means includes
When the communication unit receives an ARP request packet whose source is the unregistered terminal,
Sending the fake ARP response packet to the unregistered terminal;
Broadcast to change the ARP cache for the unregistered terminal to a fake one,
The unauthorized connection preventing apparatus according to claim 1.
送信元が前記違反端末であって対象が前記特定端末でないＡＲＰ要求パケットを前記通信部が受信すると、
前記偽ＡＲＰ応答パケットを該違反端末に送信するとともに、
該違反端末に対するＡＲＰキャッシュを偽りのものに変更する旨をブロードキャストで送信し、
該違反端末に対するＡＲＰキャッシュを偽りのものに変更する旨をブロードキャストで送信した後に、該違反端末に対するＡＲＰキャッシュを正しいものに変更する旨を前記特定端末に送信する、
ことを特徴とする請求項１または２に記載の不正接続防止装置。 The packet transmission control means includes
When the communication unit receives an ARP request packet whose source is the violating terminal and whose target is not the specific terminal,
Sending the fake ARP response packet to the violating terminal;
Broadcasting to change the ARP cache for the violating terminal to a false one,
After broadcasting that the ARP cache for the violating terminal is changed to a false one, the fact that the ARP cache for the violating terminal is changed to a correct one is transmitted to the specific terminal.
The unauthorized connection prevention device according to claim 1 or 2.
送信元が前記違反端末であって対象が前記特定端末であるＡＲＰ要求パケットを前記通信部が受信すると、
該違反端末に対するＡＲＰキャッシュを偽りのものに変更する旨をブロードキャストで送信し、
該違反端末に対するＡＲＰキャッシュを偽りのものに変更する旨をブロードキャストで送信した後に、該違反端末に対するＡＲＰキャッシュを正しいものに変更する旨を前記特定端末に送信する、
ことを特徴とする請求項１乃至３の何れか一項に記載の不正接続防止装置。 The packet transmission control means includes
When the communication unit receives an ARP request packet whose transmission source is the violating terminal and whose target is the specific terminal,
Broadcasting to change the ARP cache for the violating terminal to a false one,
After broadcasting that the ARP cache for the violating terminal is changed to a false one, the fact that the ARP cache for the violating terminal is changed to a correct one is transmitted to the specific terminal.
The unauthorized connection prevention device according to any one of claims 1 to 3.
送信元が前記正常端末で対象が前記未登録端末であるＡＲＰ要求パケットを前記通信部が受信した場合と、送信元が前記正常端末で対象が前記違反端末であるＡＲＰ要求パケットを前記通信部が受信した場合に、
前記偽ＡＲＰ応答パケットを、受信した前記ＡＲＰ要求パケットの送信元である前記正常端末に送信する、
ことを特徴とする請求項１乃至４の何れか一項に記載の不正接続防止装置。 The packet transmission control means includes
When the communication unit receives an ARP request packet in which the transmission source is the normal terminal and the target is the unregistered terminal, and the communication unit receives an ARP request packet in which the transmission source is the normal terminal and the target is the violation terminal. If received,
Sending the fake ARP response packet to the normal terminal that is the source of the received ARP request packet;
The unauthorized connection prevention apparatus according to any one of claims 1 to 4.
前記通信部が前記未登録端末から送信されたＡＲＰ要求パケットを受信すると、受信した当該ＡＲＰ要求パケットに含まれる該未登録端末を識別する未登録端末識別情報を記憶する未登録端末記憶手段を更に備え、
前記パケット送信制御手段は、送信元が前記正常端末であるＡＲＰ要求パケットを前記通信部が受信すると、前記違反端末記憶手段が記憶する前記違反端末識別情報と前記未登録端末記憶手段が記憶する前記未登録端末識別情報に基づいて、受信したＡＲＰ要求パケットの送信元である前記正常端末に対するＡＲＰキャッシュを偽りのものに変更する旨を前記違反端末と前記未登録端末にそれぞれユニキャストで送信する、
ことを特徴とする請求項１乃至５の何れか一項に記載の不正接続防止装置。 Violation terminal storage means for storing violation terminal identification information for identifying the violation terminal,
When the communication unit receives an ARP request packet transmitted from the unregistered terminal, unregistered terminal storage means for storing unregistered terminal identification information for identifying the unregistered terminal included in the received ARP request packet is further provided. Prepared,
When the communication unit receives an ARP request packet whose transmission source is the normal terminal, the packet transmission control means stores the violation terminal identification information stored in the violation terminal storage means and the unregistered terminal storage means Based on the unregistered terminal identification information, the fact that the ARP cache for the normal terminal that is the transmission source of the received ARP request packet is changed to a false one is transmitted to each of the violating terminal and the unregistered terminal by unicast,
The unauthorized connection prevention device according to any one of claims 1 to 5.
送信元が前記正常端末で対象が前記未登録端末であるＡＲＰ要求パケットを前記通信部が受信した場合と、送信元が前記正常端末で対象が前記違反端末であるＡＲＰ要求パケットを前記通信部が受信した場合に、
前記偽ＡＲＰ応答パケットを該正常端末に送信するとともに、
前記正常端末に対するＡＲＰキャッシュを偽りのものに変更する旨を各前記違反端末と各前記未登録端末にユニキャストで送信する、
ことを特徴とする請求項１乃至６の何れか一項に記載の不正接続防止装置。 The packet transmission control means includes
When the communication unit receives an ARP request packet in which the transmission source is the normal terminal and the target is the unregistered terminal, and the communication unit receives an ARP request packet in which the transmission source is the normal terminal and the target is the violation terminal. If received,
Sending the fake ARP response packet to the normal terminal;
The ARP cache for the normal terminal is changed to a false one and transmitted to each of the violating terminals and each of the unregistered terminals by unicast.
The unauthorized connection preventing apparatus according to any one of claims 1 to 6.
前記通信部がＡＲＰ要求パケットを受信し、
前記偽ＡＲＰ応答パケットを、当該ＡＲＰ要求パケットの送信元に送信すると、
送信後、当該ＡＲＰ要求パケットの対象に対する当該ＡＲＰ要求パケットの送信元のＡＲＰキャッシュを偽りのものに変更する予備パケットを、一定期間に複数回、受信した当該ＡＲＰ要求パケットの送信元に送信する、
ことを特徴とする請求項１乃至７の何れか一項に記載の不正接続防止装置。 The packet transmission control means includes
The communication unit receives an ARP request packet;
When the fake ARP response packet, and transmits to the transmission source of those the ARP request packet,
After transmission, it transmits the source of the ARP cache of the ARP request packet to the target of those the ARP request packet the preliminary packets to change false ones, multiple times a period of time, the sender of the ARP request packet received ,
The unauthorized connection prevention device according to any one of claims 1 to 7.
前記接続判定基準記憶手段が記憶する前記接続判定基準に基づいて、前記登録端末が前記ネットワーク内で通信してもよいかを繰り返し判定し、前記登録端末が前記ネットワークで通信してもよいと判定すると、該登録端末を識別する前記登録端末識別情報を判定毎に出力する正常端末判定手段と、
を更に備え、
前記正常端末記憶手段は、前記正常端末判定手段が判定毎に出力する前記登録端末識別情報を受信し、受信した当該登録端末識別情報に基づいて、記憶する前記正常端末識別情報を更新する、
ことを特徴とする請求項１乃至８の何れか一項に記載の不正接続防止装置。 A connection criterion storage means for storing a connection criterion that is a criterion for determining whether or not a terminal in the network may communicate within the network;
Based on the connection determination criterion stored in the connection determination criterion storage means, it is repeatedly determined whether the registration terminal may communicate within the network, and it is determined that the registration terminal may communicate over the network. Then, normal terminal determination means for outputting the registered terminal identification information for identifying the registered terminal for each determination,
Further comprising
The normal terminal storage means receives the registered terminal identification information output for each determination by the normal terminal determination means, and updates the stored normal terminal identification information based on the received registered terminal identification information.
The unauthorized connection prevention device according to any one of claims 1 to 8.
予め登録された登録端末を識別する登録端末識別情報を登録端末記憶手段に記憶する手順と、
ネットワーク内での通信を許可された前記登録端末である正常端末を識別する正常端末識別情報を正常端末記憶手段に記憶する手順と、
前記ネットワーク内での通信を許可されていない前記登録端末である違反端末と特別に通信を許可される特定端末を識別する特定端末識別情報を特定端末記憶手段に記憶する手順と、
ＡＲＰ要求パケットを受信すると、受信した当該ＡＲＰ要求パケットと、前記登録端末記憶手段が記憶する登録端末識別情報と、前記正常端末記憶手段が記憶する前記正常端末識別情報と、前記特定端末記憶手段が記憶する特定端末識別情報に基づいて、該ＡＲＰ要求パケットの送信元と対象を判別する手順と、
送信元が前記登録端末でもなく前記特定端末でもない未登録端末であるＡＲＰ要求パケットを受信すると、受信した当該ＡＲＰ要求パケットの対象に対する該未登録端末のＡＲＰキャッシュを偽りのものに変更する旨を該未登録端末に送信する手順と、
送信元が前記違反端末であるＡＲＰ要求パケットを受信すると、受信した当該ＡＲＰ要求パケットの対象に対する該違反端末のＡＲＰキャッシュを偽りのものに変更する旨を該違反端末に送信する手順と、
を実行させるためのプログラム。 A procedure for storing in a registered terminal storage means registered terminal identification information for identifying a registered terminal registered in advance in a computer;
A procedure for storing normal terminal identification information in the normal terminal storage means for identifying a normal terminal that is the registered terminal permitted to communicate in a network;
A procedure for storing in a specific terminal storage means specific terminal identification information for identifying a specific terminal that is specifically allowed to communicate with a violating terminal that is the registered terminal that is not permitted to communicate within the network;
When receiving the ARP request packet, the received ARP request packet, the registered terminal identification information stored in the registered terminal storage means, the normal terminal identification information stored in the normal terminal storage means, and the specific terminal storage means A procedure for determining the source and target of the ARP request packet based on the stored specific terminal identification information;
When an ARP request packet that is an unregistered terminal that is neither the registered terminal nor the specific terminal is received, the ARP cache of the unregistered terminal for the target of the received ARP request packet is changed to a false one. Sending to the unregistered terminal;
When the ARP request packet whose source is the violating terminal is received, a procedure for transmitting to the violating terminal that the ARP cache of the violating terminal for the target of the received ARP request packet is changed to a false one;
A program for running
Priority Applications (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP2010073025A JP5477104B2 (en) | 2010-03-26 | 2010-03-26 | Unauthorized connection prevention device and program |
Applications Claiming Priority (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP2010073025A JP5477104B2 (en) | 2010-03-26 | 2010-03-26 | Unauthorized connection prevention device and program |
Publications (2)
| Publication Number | Publication Date |
|---|---|
| JP2011205560A JP2011205560A (en) | 2011-10-13 |
| JP5477104B2 true JP5477104B2 (en) | 2014-04-23 |
Family
ID=44881683
Family Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| JP2010073025A Active JP5477104B2 (en) | 2010-03-26 | 2010-03-26 | Unauthorized connection prevention device and program |
Country Status (1)
| Country | Link |
|---|---|
| JP (1) | JP5477104B2 (en) |
Family Cites Families (2)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| JP2006262019A (en) * | 2005-03-16 | 2006-09-28 | Fujitsu Ltd | Network quarantine program, recording medium recording program, network quarantine method, and network quarantine apparatus |
| JP2006352719A (en) * | 2005-06-20 | 2006-12-28 | Hitachi Ltd | Apparatus, method for monitoring network, network system, network monitoring method and network communication method |
-
2010
- 2010-03-26 JP JP2010073025A patent/JP5477104B2/en active Active
Also Published As
| Publication number | Publication date |
|---|---|
| JP2011205560A (en) | 2011-10-13 |
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| US7836121B2 (en) | Dynamic executable | |
| US7840688B2 (en) | Information processing device, server client system, method, and computer program | |
| US7539863B2 (en) | Remote services for portable computing environment | |
| US20190253385A1 (en) | Dynamic firewall configuration | |
| CN101802837B (en) | System and method for providing network and computer firewall protection with dynamic address isolation to a device | |
| JP5704518B2 (en) | Confidential information leakage prevention system, confidential information leakage prevention method, and confidential information leakage prevention program | |
| CN107690646B (en) | USB attack protection | |
| US20060075140A1 (en) | Client compliancy in a NAT environment | |
| US20220174469A1 (en) | Distributed, crowdsourced internet of things (iot) discovery and identification using block chain | |
| US20100031308A1 (en) | Safe and secure program execution framework | |
| CN116471109B (en) | Data transmission method, system, first end and control equipment | |
| KR102010488B1 (en) | SYSTEM AND METHOD FOR SECURE IoT TERMINAL REMOTE ACCESS AND IP ADDRESS ALLOTING METHOD | |
| JP2020017809A (en) | Communication apparatus and communication system | |
| KR100954370B1 (en) | Software execution management device and method thereof | |
| JP5340041B2 (en) | Access control system, access control method, and program | |
| EP2790374A1 (en) | Certificate generation method, certificate generation apparatus and information processing apparatus | |
| US8127033B1 (en) | Method and apparatus for accessing local computer system resources from a browser | |
| JP6442449B2 (en) | Method and system for removing router vulnerabilities | |
| KR20050100143A (en) | System and method for blocking p2p data communication | |
| CN107623662B (en) | Access control method, device and system | |
| US10817592B1 (en) | Content tracking system that dynamically tracks and identifies pirated content exchanged over a network | |
| JP5477104B2 (en) | Unauthorized connection prevention device and program | |
| KR20190036662A (en) | Network Securing Device and Securing method Using The Same | |
| Kalil | Policy Creation and Bootstrapping System for Customer Edge Switching | |
| US20050138431A1 (en) | Network protection software and method |
Legal Events
| Date | Code | Title | Description |
|---|---|---|---|
| A621 | Written request for application examination |
Free format text: JAPANESE INTERMEDIATE CODE: A621 Effective date: 20120924 |
|
| A977 | Report on retrieval |
Free format text: JAPANESE INTERMEDIATE CODE: A971007 Effective date: 20130809 |
|
| A131 | Notification of reasons for refusal |
Free format text: JAPANESE INTERMEDIATE CODE: A131 Effective date: 20130813 |
|
| A521 | Written amendment |
Free format text: JAPANESE INTERMEDIATE CODE: A523 Effective date: 20131009 |
|
| TRDD | Decision of grant or rejection written | ||
| A01 | Written decision to grant a patent or to grant a registration (utility model) |
Free format text: JAPANESE INTERMEDIATE CODE: A01 Effective date: 20140114 |
|
| A61 | First payment of annual fees (during grant procedure) |
Free format text: JAPANESE INTERMEDIATE CODE: A61 Effective date: 20140127 |
|
| R150 | Certificate of patent or registration of utility model |
Ref document number: 5477104 Country of ref document: JP Free format text: JAPANESE INTERMEDIATE CODE: R150 |