JP5509999B2 - 不正接続防止装置及びプログラム - Google Patents
不正接続防止装置及びプログラム Download PDFInfo
- Publication number
- JP5509999B2 JP5509999B2 JP2010081430A JP2010081430A JP5509999B2 JP 5509999 B2 JP5509999 B2 JP 5509999B2 JP 2010081430 A JP2010081430 A JP 2010081430A JP 2010081430 A JP2010081430 A JP 2010081430A JP 5509999 B2 JP5509999 B2 JP 5509999B2
- Authority
- JP
- Japan
- Prior art keywords
- terminal
- identification information
- normal
- address
- registered
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Active
Links
Images
Description
本発明は、ネットワークへの不正接続を防止する不正接続防止装置及びプログラムに関する。
近年、企業内のＬＡＮ（Ｌｏｃａｌ Ａｒｅａ Ｎｅｔｗｏｒｋ）などへの不正接続や、ネットワーク内の端末がウィルスに感染することによって、ネットワーク内の情報資産が不正アクセスされ、秘密情報が漏洩してしまうことが問題になっている。また、秘密情報の漏洩のみならず、セキュリティが不十分であるために、ウィルスに感染してしまった端末から、ネットワーク全体にウィルス感染が拡大するおそれもある。そのため、パッチ等が万全でない端末からの接続も、不正接続とみなす必要がある。
一般に、ＩＰｖ６（Ｉｎｔｅｒｎｅｔ Ｐｒｏｔｏｃｏｌ Ｖｅｒｓｉｏｎ ６）環境において、ネットワークに接続された端末は、重複アドレス検出の為に、送信元ＩＰアドレスが未指定である近隣要請メッセージを、マルチキャストで送信する。重複アドレス検出の近隣要請メッセージを送信した後、送信された近隣要請メッセージに対応した近隣広告メッセージが１秒以内に返ってこなければ、アドレスが重複していないということなので、目標のアドレスは利用可能アドレスとなる。
また、ネットワークに接続された端末は、目的のＩＰアドレスに対応するＭＡＣアドレスを取得するため、近隣要請メッセージをマルチキャストで送信する。近隣要請メッセージを受信した端末のうち、目的のＭＡＣアドレスを記憶している端末は、目的の端末のＭＡＣアドレスを格納した近隣広告メッセージを送信してアドレス解決を行う。
また、ネットワークに接続された端末は、目的のＩＰアドレスに対応するＭＡＣアドレスを取得するため、近隣要請メッセージをマルチキャストで送信する。近隣要請メッセージを受信した端末のうち、目的のＭＡＣアドレスを記憶している端末は、目的の端末のＭＡＣアドレスを格納した近隣広告メッセージを送信してアドレス解決を行う。
そこで、受信した近隣要請メッセージに対して近隣要請メッセージを送ることによって不正接続を防止する方法が開示されている（例えば、特許文献１参照）。この方法は、ＩＰｖ６環境、あるいはＩＰｖ６とＩＰｖ４（Ｉｎｔｅｒｎｅｔ Ｐｒｏｔｏｃｏｌ Ｖｅｒｓｉｏｎ ４）とが混在するネットワークに適用される。この方法によれば、上記ネットワークにおいて、防御対象への不正なアクセスを防ぐため、ネットワークエージェントが、ネットワークを監視する。ネットワークエージェントは、受信した近隣要請メッセージに含まれるＭＡＣアドレスに基づいて、不正接続を防止する。
さらに、この方法では、重複アドレス検出の為に送信された近隣要請メッセージと、アドレス解決のために送信された近隣要請メッセージに対し、ネットワークエージェントが偽の近隣広告メッセージを送信する。
ユーザは、予めネットワーク内での接続を許可される端末のＭＡＣアドレスをデータベースに登録する。ネットワークエージェントは、マルチキャストで送信された近隣要請メッセージを受信すると、近隣要請メッセージの送信元ＭＡＣアドレスをデータベースに照合して不正接続であるか否かを判定する。不正接続であれば、ネットワークエージェントは、送信元ＩＰアドレスが未指定であるか否かを判定する。未指定であれば、この近隣要請メッセージは、重複アドレス検出のために送信されたものである。この場合、ネットワークエージェントは、アドレスが重複している旨の近隣広告メッセージを送信する。送信元ＩＰアドレスが指定されていれば、ネットワークエージャントは、送信元のリンク層アドレスを架空のものに設定した近隣広告の非要請メッセージを、全ノードにマルチキャストで送信する。
このようにして、ネットワークエージェントは、予めデータベースに登録されていない端末がネットワークに接続することを防止する。
このようにして、ネットワークエージェントは、予めデータベースに登録されていない端末がネットワークに接続することを防止する。
しかし、特許文献１に記載の方法では、データベースに登録されていない端末は、ネットワーク上の他の全ての端末と通信できないように制御される。このため、パッチ等が未適用などの理由によりデータベースに登録されていない違反端末もまた、ネットワーク上の他の全ての端末と通信できないよう制御される。
パッチを適用するためには、ネットワークを介さずにパッチを入手する、あるいは、パッチを適用するための閉鎖的なネットワークを作成し、そのネットワークに端末を接続する、などの方法をとる必要がある。これらの方法は、いずれも煩雑であり、ユーザ、管理者双方の負担が大きくなる。
パッチを適用するためには、ネットワークを介さずにパッチを入手する、あるいは、パッチを適用するための閉鎖的なネットワークを作成し、そのネットワークに端末を接続する、などの方法をとる必要がある。これらの方法は、いずれも煩雑であり、ユーザ、管理者双方の負担が大きくなる。
本発明は、上記問題点に鑑みてなされたものであり、セキュリティレベルを維持しつつ、ネットワーク構成を変更することなく導入可能な、違反端末を、特定の端末とは通信可能であるが、他の端末とは通信できないように制御する不正接続防止装置及びプログラムを提供することを目的とする。
上記目的を達成するため、本発明の第１の観点に係る不正接続防止装置は、
ネットワークに接続し、前記ネットワーク内で通信を行う通信手段と、
予め登録された登録端末を識別する登録端末識別情報を記憶する登録端末記憶手段と、
前記ネットワーク内での通信を許可された前記登録端末である正常端末を識別する正常端末識別情報を記憶する正常端末記憶手段と、
前記ネットワーク内での通信を許可されていない前記登録端末である違反端末との通信を特別に許可される特定端末を識別する特定端末識別情報を記憶する特定端末記憶手段と、
前記通信手段が近隣要請メッセージを受信すると、受信した当該近隣要請メッセージと、前記登録端末記憶手段が記憶する登録端末識別情報と、前記正常端末記憶手段が記憶する前記正常端末識別情報と、前記特定端末記憶手段が記憶する特定端末識別情報に基づいて、前記通信手段からパケットを送信するパケット送信制御手段と、
を備え、
前記パケット送信制御手段は、送信元が前記登録端末でもなく前記特定端末でもない未登録端末である重複アドレス検出の近隣要請メッセージを前記通信手段が受信すると、該未登録端末に、アドレスが重複している旨を送信し、
前記パケット送信制御手段は、送信元が前記違反端末であって目標が前記特定端末でない近隣要請メッセージを前記通信手段が受信すると、該違反端末に、該違反端末が目標に対するリンク層アドレスを偽りのものに変更する偽近隣広告メッセージを送信する、
ことを特徴とする。
ネットワークに接続し、前記ネットワーク内で通信を行う通信手段と、
予め登録された登録端末を識別する登録端末識別情報を記憶する登録端末記憶手段と、
前記ネットワーク内での通信を許可された前記登録端末である正常端末を識別する正常端末識別情報を記憶する正常端末記憶手段と、
前記ネットワーク内での通信を許可されていない前記登録端末である違反端末との通信を特別に許可される特定端末を識別する特定端末識別情報を記憶する特定端末記憶手段と、
前記通信手段が近隣要請メッセージを受信すると、受信した当該近隣要請メッセージと、前記登録端末記憶手段が記憶する登録端末識別情報と、前記正常端末記憶手段が記憶する前記正常端末識別情報と、前記特定端末記憶手段が記憶する特定端末識別情報に基づいて、前記通信手段からパケットを送信するパケット送信制御手段と、
を備え、
前記パケット送信制御手段は、送信元が前記登録端末でもなく前記特定端末でもない未登録端末である重複アドレス検出の近隣要請メッセージを前記通信手段が受信すると、該未登録端末に、アドレスが重複している旨を送信し、
前記パケット送信制御手段は、送信元が前記違反端末であって目標が前記特定端末でない近隣要請メッセージを前記通信手段が受信すると、該違反端末に、該違反端末が目標に対するリンク層アドレスを偽りのものに変更する偽近隣広告メッセージを送信する、
ことを特徴とする。
本発明の第２の観点に係るプログラムは、
コンピュータに
予め登録された登録端末を識別する登録端末識別情報を登録端末記憶手段に記憶する手順と、
ネットワーク内での通信を許可された前記登録端末である正常端末を識別する正常端末識別情報を正常端末記憶手段に記憶する手順と、
前記ネットワーク内での通信を許可されていない前記登録端末である違反端末と特別に通信を許可される特定端末を識別する特定端末識別情報を特定端末記憶手段に記憶する手順と、
近隣要請メッセージを受信すると、受信した当該近隣要請メッセージと、前記登録端末記憶手段が記憶する登録端末識別情報と、前記正常端末記憶手段が記憶する前記正常端末識別情報と、前記特定端末記憶手段が記憶する特定端末識別情報に基づいて、該近隣要請メッセージの送信元と目標を判定する手順と、
送信元が前記登録端末でもなく前記特定端末でもない重複アドレス検出の近隣要請メッセージを前記通信手段が受信すると、アドレスが重複している旨を返信する手順と、
前記パケット送信制御手段は、送信元が前記違反端末であって目標が前記特定端末でない近隣要請メッセージを前記通信手段が受信すると、該違反端末が目標のリンク層アドレスを偽りのものに変更する偽近隣広告メッセージを該違反端末に送信する手順と、
を実行させる。
コンピュータに
予め登録された登録端末を識別する登録端末識別情報を登録端末記憶手段に記憶する手順と、
ネットワーク内での通信を許可された前記登録端末である正常端末を識別する正常端末識別情報を正常端末記憶手段に記憶する手順と、
前記ネットワーク内での通信を許可されていない前記登録端末である違反端末と特別に通信を許可される特定端末を識別する特定端末識別情報を特定端末記憶手段に記憶する手順と、
近隣要請メッセージを受信すると、受信した当該近隣要請メッセージと、前記登録端末記憶手段が記憶する登録端末識別情報と、前記正常端末記憶手段が記憶する前記正常端末識別情報と、前記特定端末記憶手段が記憶する特定端末識別情報に基づいて、該近隣要請メッセージの送信元と目標を判定する手順と、
送信元が前記登録端末でもなく前記特定端末でもない重複アドレス検出の近隣要請メッセージを前記通信手段が受信すると、アドレスが重複している旨を返信する手順と、
前記パケット送信制御手段は、送信元が前記違反端末であって目標が前記特定端末でない近隣要請メッセージを前記通信手段が受信すると、該違反端末が目標のリンク層アドレスを偽りのものに変更する偽近隣広告メッセージを該違反端末に送信する手順と、
を実行させる。
本発明によれば、セキュリティレベルを維持しつつ、ネットワーク構成を変更することなく導入可能な、違反端末を、特定の端末とは通信可能であるが、他の端末とは通信できないように制御する不正接続防止装置及びプログラムを提供することができる。
以下、本発明の実施形態に係る不正接続防止装置について、図面を参照して詳細に説明する。
図１に示すように、本実施形態に係る不正接続防止装置１００は、ネットワーク１０に接続されている。このネットワーク１０には、複数の正常端末１１０−ａ、１１０−ｂと、複数の違反端末１２０−ａ、１２０−ｂと、複数の未登録端末１３０−ａ、１３０−ｂと、パッチサーバ１４０と、ポリシーマネージャ１５０とが、接続されている。
以下では、正常端末１１０−ａ、１１０−ｂを、総称して正常端末１１０とも呼ぶ。また、違反端末１２０−ａ、１２０ーｂを、適宜、総称して違反端末１２０とも呼ぶ。さらに、未登録端末１３０−ａ、１３０−ｂを、適宜、総称して、未登録端末１３０とも呼ぶ。
また、正常端末１１０と、違反端末１２０と、を総称して登録端末１１５とも呼ぶ。また、違反端末１２０と、未登録端末１３０と、を総称して不正端末１２５とも呼ぶ。
それぞれの端末は、固有の識別情報であるＭＡＣアドレスを有する。
また、ネットワーク１０に接続した端末には、それぞれ固有のＩＰアドレスが割り振られる。ただし、未登録端末１３０は、重複アドレス検出の近隣要請メッセージを送信すると、後述のように、不正接続防止装置１００によってＩＰアドレスが割り振られないので、通常は、ＩＰアドレスを有しない。
また、ネットワーク１０に接続した端末には、それぞれ固有のＩＰアドレスが割り振られる。ただし、未登録端末１３０は、重複アドレス検出の近隣要請メッセージを送信すると、後述のように、不正接続防止装置１００によってＩＰアドレスが割り振られないので、通常は、ＩＰアドレスを有しない。
正常端末１１０は、ネットワーク１０内での通信を許可された端末である。正常端末１１０は、ＣＰＵ（Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）とＲＯＭ（Ｒｅａｄ Ｏｎｌｙ Ｍｅｍｏｒｙ）とＲＡＭ（Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）とを含む制御部と、ハードディスク装置を含む記憶部と、ＮＩＣ（Ｎｅｔｗｏｒｋ Ｉｎｔｅｒｆａｃｅ Ｃａｒｄ）またはルータまたはモデム等を含む通信部と、を備えるコンピュータである。
ＲＯＭは、プログラムデータ等を記憶するものであり、ＣＰＵは、ＲＯＭに記憶されたデータのプログラムに従って処理を実行する。ＲＡＭは、ＣＰＵが処理を実行するのに必要なデータを記憶するものである。
違反端末１２０は、不正接続防止装置１００によってネットワーク１０内での通信を、原則としてブロックされる端末である。違反端末１２０は、ＣＰＵとＲＯＭとＲＡＭを含む制御部と、ハードディスク装置を含む記憶部と、ＮＩＣまたはルータまたはモデム等を含む通信部と、を備えるコンピュータである。
未登録端末１３０は、後述の登録端末データベース１０５に登録されていないため、不正接続防止装置１００によってネットワーク１０上の通信がブロックされる端末である。未登録端末１３０は、ＣＰＵとＲＯＭとＲＡＭを含む制御部と、ハードディスク装置を含む記憶部と、ＮＩＣまたはルータまたはモデム等を含む通信部と、を備えるコンピュータである。
パッチサーバ１４０は、違反端末１２０との通信を、特別に許可された特定端末である。パッチサーバ１４０は、登録端末１１５にパッチを提供する。パッチサーバ１４０は、ＣＰＵとＲＯＭとＲＡＭを含む制御部と、ハードディスク装置を含む記憶部と、ＮＩＣまたはルータまたはモデム等を含む通信部と、を備えるコンピュータである。パッチサーバ１４０は、記憶部に登録端末１１５に提供するパッチを保存する。
ポリシーマネージャ１５０は、特別に違反端末１２０と通信することを許可される特定端末である。ポリシーマネージャ１５０は、ネットワーク１０内の登録端末１１５が、ネットワーク１０内で通信をしてもよいか否かを判定する。ポリシーマネージャ１５０は、ＣＰＵとＲＯＭとＲＡＭを含む制御部と、ハードディスク装置を含む記憶部と、ＮＩＣまたはルータまたはモデム等を含む通信部と、を備えるコンピュータである。ポリシーマネージャ１５０は、登録端末１１５が、ネットワーク１０内で通信をしてもよいか否かを判定する基準であるセキュリティポリシー１５１を記憶部に保存する。
ポリシーマネージャ１５０は、ネットワーク１０内の登録端末１１５にアクセスし、登録端末１１５がセキュリティポリシー１５１に合致するか否かを繰り返し判定する。ポリシーマネージャ１５０は、その判定結果が得られる度に、その判定結果を、不正接続防止装置１００に送信する。
ポリシーマネージャ１５０は、ネットワーク１０内の登録端末１１５にアクセスし、登録端末１１５がセキュリティポリシー１５１に合致するか否かを繰り返し判定する。ポリシーマネージャ１５０は、その判定結果が得られる度に、その判定結果を、不正接続防止装置１００に送信する。
不正接続防止装置１００は、図２に示すように、制御部１０１と、通信部１０２と、タイマ１０３と、入力部１０４と、記憶部１０９と、を備える。
制御部１０１は、ＣＰＵとＲＯＭとＲＡＭと、を有する。
通信部１０２は、ＮＩＣ、ルータ又はモデム等を有する。タイマ１０３は、現在時刻をカウントする。入力部１０４は、キーボードまたはマウス等を備える。記憶部１０９は、ハードディスク装置を有する。記憶部１０９には、登録端末データベース１０５と、特定端末データベース１０６と、正常端末データベース１０７と、不正端末データベース１０８と、が格納されている。
制御部１０１は、ＣＰＵとＲＯＭとＲＡＭと、を有する。
通信部１０２は、ＮＩＣ、ルータ又はモデム等を有する。タイマ１０３は、現在時刻をカウントする。入力部１０４は、キーボードまたはマウス等を備える。記憶部１０９は、ハードディスク装置を有する。記憶部１０９には、登録端末データベース１０５と、特定端末データベース１０６と、正常端末データベース１０７と、不正端末データベース１０８と、が格納されている。
図３に示すように、登録端末データベース１０５には、正常端末１１０と違反端末１２０のＭＡＣアドレスが予め登録され、保存されている。
図４に示すように、特定端末データベース１０６には、特定端末、すなわちパッチサーバ１４０とポリシーマネージャ１５０のＭＡＣアドレスとＩＰアドレスが、対応付けられてエントリに格納され、保存されている。
図５に示すように、正常端末データベース１０７には、正常端末１１０のＭＡＣアドレスとＩＰアドレスが、エントリに格納され、保存されている。
図６に示すように、不正端末データベース１０８には、通信部１０２が受信した近隣要請メッセージの送信元である不正端末１２５のＩＰアドレスとＭＡＣアドレスと、受信した近隣要請メッセージの目標である正常端末１１０のＩＰアドレスとＭＡＣアドレスと、登録されてからの経過時間であるエージングタイムと、が対応付けられてエントリに格納される。
エントリは、決まったデータ長を持ったデータであり、具体的には、受信した近隣要請メッセージの送信元である不正端末１２５のＩＰアドレスとＭＡＣアドレスと、目標である正常端末１１０のＩＰアドレスとＭＡＣアドレスと、エージングタイムとが、エントリの決まった領域にそれぞれ保存される。
図４に示すように、特定端末データベース１０６には、特定端末、すなわちパッチサーバ１４０とポリシーマネージャ１５０のＭＡＣアドレスとＩＰアドレスが、対応付けられてエントリに格納され、保存されている。
図５に示すように、正常端末データベース１０７には、正常端末１１０のＭＡＣアドレスとＩＰアドレスが、エントリに格納され、保存されている。
図６に示すように、不正端末データベース１０８には、通信部１０２が受信した近隣要請メッセージの送信元である不正端末１２５のＩＰアドレスとＭＡＣアドレスと、受信した近隣要請メッセージの目標である正常端末１１０のＩＰアドレスとＭＡＣアドレスと、登録されてからの経過時間であるエージングタイムと、が対応付けられてエントリに格納される。
エントリは、決まったデータ長を持ったデータであり、具体的には、受信した近隣要請メッセージの送信元である不正端末１２５のＩＰアドレスとＭＡＣアドレスと、目標である正常端末１１０のＩＰアドレスとＭＡＣアドレスと、エージングタイムとが、エントリの決まった領域にそれぞれ保存される。
不正接続防止装置１００の制御部１０１は、通信部１０２によって受信された近隣要請メッセージの送信元のＭＡＣアドレスと、目標のＩＰアドレスと、に基づいて、登録端末データベース１０５と、特定端末データベース１０６と、正常端末データベース１０７と、不正端末データベース１０８を参照して、不正端末１２５と正常端末１１０との間の通信をブロックしつつ、違反端末１２０がパッチサーバ１４０とポリシーマネージャ１５０と通信するのを許可する。
次に、本発明の実施形態に係る不正接続防止装置１００の構成について、詳細に説明する。
図２に示される不正接続防止装置１００の入力部１０４に、ＭＡＣアドレスが入力されると、制御部１０１は、入力されたＭＡＣアドレスを、記憶部１０９の登録端末データベース１０５（図３参照）に登録する。
不正接続防止装置１００では、通信部１０２が、ポリシーマネージャ１５０から出力される判定結果を、ネットワーク１０を介して受信する。制御部１０１は、通信部１０２によって受信された判定結果に対応して、図４の正常端末データベース１０７と図５の不正端末データベース１０８を繰り返し更新する。
制御部１０１は、セキュリティポリシー１５１に合致する登録端末１１５のＭＡＣアドレスとＩＰアドレスを正常端末データベース１０７に登録する。
制御部１０１は、セキュリティポリシー１５１に合致する登録端末１１５のＭＡＣアドレスとＩＰアドレスを正常端末データベース１０７に登録する。
また、制御部１０１は、セキュリティポリシー１５１に合致するようになった不正端末１２５のエントリを、不正端末データベース１０８から消去する。代わりに、制御部１０１は、消去したＭＡＣアドレスとＩＰアドレスを正常端末データベース１０７へ登録する。
また、制御部１０１は、セキュリティポリシー１５１に合致しなくなった正常端末１１０のＭＡＣアドレスとＩＰアドレスを正常端末データベース１０７から消去する。
また、制御部１０１は、セキュリティポリシー１５１に合致しなくなった正常端末１１０のＭＡＣアドレスとＩＰアドレスを正常端末データベース１０７から消去する。
不正接続防止装置１００では、ネットワーク１０を介してマルチキャストで送信された近隣要請メッセージを、通信部１０２が受信する。制御部１０１は、受信した近隣要請メッセージと、登録端末データベース１０５と、特定端末データベース１０６と、正常端末データベース１０７と、に基づいて、後に詳しく説明する不正接続防止処理（図７参照）を行う。
不正接続防止処理で、不正接続防止装置１００は、受信した近隣要請メッセージに対して、パケットＰ１乃至Ｐ４を送信する。不正接続防止装置１００は、パケットＰ１乃至Ｐ４を送信することによって、ネットワーク１０内で不正端末１２５が通信を行うことをブロックしつつ、違反端末１２０とパッチサーバ１４０及びポリシーマネージャ１５０とが通信することを許可する。
不正接続防止処理で、不正接続防止装置１００は、受信した近隣要請メッセージに対して、パケットＰ１乃至Ｐ４を送信する。不正接続防止装置１００は、パケットＰ１乃至Ｐ４を送信することによって、ネットワーク１０内で不正端末１２５が通信を行うことをブロックしつつ、違反端末１２０とパッチサーバ１４０及びポリシーマネージャ１５０とが通信することを許可する。
パケットＰ１は、未登録端末１３０から送信された重複アドレス検出の近隣要請メッセージに対して、アドレスが重複している旨を返信するための近隣広告メッセージである。
図８に示すように、パケットＰ１のＩＰフィールドの宛先ＩＰアドレス、送信元ＩＰアドレスはそれぞれ、全ノードマルチキャストアドレス、重複アドレス検出の対象であるＩＰアドレスである。パケットＰ１のＩＣＭＰフィールドの目標ＩＰアドレス、Ｓ（Ｓｏｌｉｃｉｔｅｄ）フラグ、目標リンク層アドレスはそれぞれ、重複アドレス検出の対象であるＩＰアドレス、０、重複アドレス検出の近隣要請メッセージを送信した未登録端末１３０のＭＡＣアドレスである。
ここで、近隣広告メッセージのＳフラグが１であることは、その近隣広告メッセージが、近隣要請メッセージへの返信のメッセージであることを示している。ただし、重複アドレス検出の近隣要請メッセージへの応答で用いられる近隣広告メッセージのＳフラグは０を用いることが一般的である。
図８に示すように、パケットＰ１のＩＰフィールドの宛先ＩＰアドレス、送信元ＩＰアドレスはそれぞれ、全ノードマルチキャストアドレス、重複アドレス検出の対象であるＩＰアドレスである。パケットＰ１のＩＣＭＰフィールドの目標ＩＰアドレス、Ｓ（Ｓｏｌｉｃｉｔｅｄ）フラグ、目標リンク層アドレスはそれぞれ、重複アドレス検出の対象であるＩＰアドレス、０、重複アドレス検出の近隣要請メッセージを送信した未登録端末１３０のＭＡＣアドレスである。
ここで、近隣広告メッセージのＳフラグが１であることは、その近隣広告メッセージが、近隣要請メッセージへの返信のメッセージであることを示している。ただし、重複アドレス検出の近隣要請メッセージへの応答で用いられる近隣広告メッセージのＳフラグは０を用いることが一般的である。
パケットＰ２は、不正端末１２５から送信された近隣要請メッセージに対して、対象のリンク層アドレスを偽ＭＡＣアドレスに変更する近隣広告メッセージである。
図９に示すように、パケットＰ２は、ＩＰフィールドの宛先ＩＰアドレス、送信元ＩＰアドレスはそれぞれ、受信した近隣要請メッセージの送信元のＭＡＣアドレス、不正接続防止装置１００のＩＰアドレスである。パケットＰ２のＩＣＭＰフィールドの目標ＩＰアドレス、Ｓフラグ、Ｏ（Ｏｖｅｒｒｉｄｅ）フラグ、目標リンク層アドレスはそれぞれ、受信した近隣要請メッセージの目標のＩＰアドレス、１、１、偽ＭＡＣアドレスである。
ここで、Ｏフラグが１である近隣広告メッセージを受信した端末の既存のリンク層アドレスは、受信した近隣広告メッセージに含まれている目標リンク層アドレスに上書きされる。
Ｏフラグが０のとき、対象のリンク層アドレスが記憶されていない場合にのみ、近隣広告メッセージに含まれるリンク層アドレスにより対象のリンク層アドレスが更新される。
図９に示すように、パケットＰ２は、ＩＰフィールドの宛先ＩＰアドレス、送信元ＩＰアドレスはそれぞれ、受信した近隣要請メッセージの送信元のＭＡＣアドレス、不正接続防止装置１００のＩＰアドレスである。パケットＰ２のＩＣＭＰフィールドの目標ＩＰアドレス、Ｓフラグ、Ｏ（Ｏｖｅｒｒｉｄｅ）フラグ、目標リンク層アドレスはそれぞれ、受信した近隣要請メッセージの目標のＩＰアドレス、１、１、偽ＭＡＣアドレスである。
ここで、Ｏフラグが１である近隣広告メッセージを受信した端末の既存のリンク層アドレスは、受信した近隣広告メッセージに含まれている目標リンク層アドレスに上書きされる。
Ｏフラグが０のとき、対象のリンク層アドレスが記憶されていない場合にのみ、近隣広告メッセージに含まれるリンク層アドレスにより対象のリンク層アドレスが更新される。
パケットＰ３は、不正端末１２５が送信した近隣要請メッセージの送信元に対するリンク層アドレスを偽ＭＡＣアドレスに変更する、全ノードにマルチキャスト送信される近隣広告メッセージである。
図１０に示すように、パケットＰ３のＩＰフィールドの宛先ＩＰアドレス、送信元ＩＰアドレスはそれぞれ、全ノードマルチキャストアドレス、受信した近隣要請メッセージの送信元ＩＰアドレスである。パケットＰ３のＩＣＭＰフィールドの目標ＩＰアドレス、Ｓフラグ、Ｏフラグ、目標リンク層アドレスはそれぞれ、受信した近隣要請メッセージの送信元ＩＰアドレス、０、１、偽ＭＡＣアドレスである。
図１０に示すように、パケットＰ３のＩＰフィールドの宛先ＩＰアドレス、送信元ＩＰアドレスはそれぞれ、全ノードマルチキャストアドレス、受信した近隣要請メッセージの送信元ＩＰアドレスである。パケットＰ３のＩＣＭＰフィールドの目標ＩＰアドレス、Ｓフラグ、Ｏフラグ、目標リンク層アドレスはそれぞれ、受信した近隣要請メッセージの送信元ＩＰアドレス、０、１、偽ＭＡＣアドレスである。
パケットＰ４は、近隣要請メッセージの送信元に対するリンク層アドレスを、正しいＭＡＣアドレスに変更する旨をパッチサーバ１４０とポリシーマネージャ１５０とに送信する近隣要請メッセージである。
図１１に示すように、パケットＰ４のＩＰフィールドの宛先ＩＰアドレス、送信元ＩＰアドレスはそれぞれ、特定端末データベース１０６に登録されているＩＰアドレス、受信した近隣要請メッセージの送信元ＩＰアドレスである。パケットＰ４のＩＣＭＰフィールドの目標ＩＰアドレス、送信元リンク層アドレスはそれぞれ、ＩＰフィールドの宛先ＩＰアドレスと同一のＩＰアドレス、受信した近隣要請メッセージの正しいアドレスである。
図１１に示すように、パケットＰ４のＩＰフィールドの宛先ＩＰアドレス、送信元ＩＰアドレスはそれぞれ、特定端末データベース１０６に登録されているＩＰアドレス、受信した近隣要請メッセージの送信元ＩＰアドレスである。パケットＰ４のＩＣＭＰフィールドの目標ＩＰアドレス、送信元リンク層アドレスはそれぞれ、ＩＰフィールドの宛先ＩＰアドレスと同一のＩＰアドレス、受信した近隣要請メッセージの正しいアドレスである。
不正接続防止処理において、不正接続防止装置１００の制御部１０１は、受信した近隣要請メッセージの送信元リンク層アドレスを、登録端末データベース１０５と、特定端末データベース１０６と、正常端末データベース１０７と、から検索することによって、受信した近隣要請メッセージの送信元が、未登録端末１３０なのか、違反端末１２０なのかを判定する。
送信元リンク層アドレスが、登録端末データベース１０５と、特定端末データベース１０６のいずれからも検出できない場合、制御部１０１は、送信元が、未登録端末１３０であると判定する。
また、送信元リンク層アドレスを、登録端末データベース１０５から検出でき、かつ、正常端末データベース１０７から検出できない場合、制御部１０１は、送信元が違反端末１２０であると判定する。
送信元リンク層アドレスが、登録端末データベース１０５と、特定端末データベース１０６のいずれからも検出できない場合、制御部１０１は、送信元が、未登録端末１３０であると判定する。
また、送信元リンク層アドレスを、登録端末データベース１０５から検出でき、かつ、正常端末データベース１０７から検出できない場合、制御部１０１は、送信元が違反端末１２０であると判定する。
受信した近隣要請メッセージの送信元が、未登録端末１３０であると判定されると、制御部１０１は、受信した近隣要請メッセージの送信元ＩＰアドレスが、未指定であるか否かを判定する。送信元ＩＰアドレスが未指定であると、受信した近隣要請メッセージは、重複アドレス検出の近隣要請メッセージであると判定することができる。
送信元が違反端末１２０であると判定されると、制御部１０１は、受信した近隣要請メッセージの目標ＩＰアドレスを、特定端末データベース１０６から検索し、受信した近隣要請メッセージの目標がパッチサーバ１４０又はポリシーマネージャ１５０であるか否かを判定する。目標ＩＰアドレスが特定端末データベース１０６から検出された場合には、制御部１０１は、受信した近隣要請メッセージの目標が、パッチサーバ１４０またはポリシーマネージャ１５０であると判定する。
未登録端末１３０から送信された重複アドレス検出の近隣要請メッセージを受信すると、不正接続防止装置１００は、受信した重複アドレス検出の近隣要請メッセージに対し、アドレスが重複している旨のパケットＰ１（図８参照）を、通信部１０２から送信する。
これにより、未登録端末１３０は、アドレスが重複していることを検出するので、未登録端末１３０は、ネットワーク１０内でＩＰアドレスが割り振らなくなる。この結果、未登録端末１３０は、ネットワーク１０内で通信を行うことができない。
これにより、未登録端末１３０は、アドレスが重複していることを検出するので、未登録端末１３０は、ネットワーク１０内でＩＰアドレスが割り振らなくなる。この結果、未登録端末１３０は、ネットワーク１０内で通信を行うことができない。
また、送信元が違反端末１２０であり、目標がパッチサーバ１４０でもポリシーマネージャ１５０でもない近隣要請メッセージを受信すると、不正接続防止装置１００は、受信した近隣要請メッセージの送信元である違反端末１２０に、目標のリンク層アドレスを偽りのものに変更するパケットＰ２（図９参照）を送信し、受信した近隣要請メッセージの送信元である違反端末１２０に対するリンク層アドレスを偽りのものに変更するパケットＰ３（図１０参照）を全ノードにマルチキャスト送信する。送信後、不正接続防止装置１００は、受信した近隣要請メッセージの送信元である違反端末１２０に対するリンク層アドレスを正しいものに変更するパケットＰ４（図１１参照）をパッチサーバ１４０とポリシーマネージャ１５０とにそれぞれ送信する。
近隣要請メッセージを送信した違反端末１２０は、目標から近隣広告メッセージを受信することにより、目標に対するリンク層アドレスに正しいＭＡＣアドレスを一時的に記憶する。しかし、パケットＰ２を受信することによって、目標に対するリンク層アドレスには、偽ＭＡＣアドレスが上書きされるため、目標との通信を行うことができなくなる。
また、ネットワーク１０内の端末は、違反端末１２０から送信された近隣要請メッセージを受信することにより、送信元の違反端末１２０に対して、正しいＭＡＣアドレスをリンク層アドレスに一時的に記憶する。しかし、パケットＰ３を受信することにより、ネットワーク１０内の端末は、受信した近隣要請メッセージの送信元である違反端末１２０に対するリンク層アドレスを、偽ＭＡＣアドレスに変更する。
ただし、パッチサーバ１４０とポリシーマネージャ１５０は、パケットＰ４を受信し、違反端末１２０に対するリンク層アドレスを正しいものに変更する。そのため、パッチサーバ１４０ならびにポリシーマネージャ１５０は、違反端末１２０と通信することが可能になる。
また、ネットワーク１０内の端末は、違反端末１２０から送信された近隣要請メッセージを受信することにより、送信元の違反端末１２０に対して、正しいＭＡＣアドレスをリンク層アドレスに一時的に記憶する。しかし、パケットＰ３を受信することにより、ネットワーク１０内の端末は、受信した近隣要請メッセージの送信元である違反端末１２０に対するリンク層アドレスを、偽ＭＡＣアドレスに変更する。
ただし、パッチサーバ１４０とポリシーマネージャ１５０は、パケットＰ４を受信し、違反端末１２０に対するリンク層アドレスを正しいものに変更する。そのため、パッチサーバ１４０ならびにポリシーマネージャ１５０は、違反端末１２０と通信することが可能になる。
また、不正接続防止装置１００は、送信元が未登録端末１３０である近隣要請メッセージを受信すると、受信した近隣要請メッセージの送信元に、目標のリンク層アドレスを、偽りのものに変更するパケットＰ２（図９参照）を送信し、ネットワーク１０内の全端末に近隣要請メッセージの送信元である未登録端末１３０に対するリンク層アドレスを偽りのものに変更するパケットＰ３（図１０参照）をマルチキャストで送信する。
これによって、重複アドレス検出の近隣要請メッセージが送信されなかった場合など、なんらかの理由で未登録端末１３０にＩＰアドレスが割り振られることがあったとしても、未登録端末１３０は、目標ＩＰアドレスに対して偽のＭＡＣアドレスを記憶するため、ネットワーク１０内の端末との間で、正しく通信ができなくなる。
また、ネットワーク１０内の端末は、未登録端末１３０が送信した近隣要請メッセージを受信しても、パケットＰ３を受信することによって、未登録端末１３０に対して偽のＭＡＣアドレスを記憶するため、未登録端末１３０との間で、正しく通信ができなくなる。
これによって、重複アドレス検出の近隣要請メッセージが送信されなかった場合など、なんらかの理由で未登録端末１３０にＩＰアドレスが割り振られることがあったとしても、未登録端末１３０は、目標ＩＰアドレスに対して偽のＭＡＣアドレスを記憶するため、ネットワーク１０内の端末との間で、正しく通信ができなくなる。
また、ネットワーク１０内の端末は、未登録端末１３０が送信した近隣要請メッセージを受信しても、パケットＰ３を受信することによって、未登録端末１３０に対して偽のＭＡＣアドレスを記憶するため、未登録端末１３０との間で、正しく通信ができなくなる。
また、ネットワーク１０上の端末が、マルチキャストで送信する近隣要請メッセージを受信すると、不正接続防止装置１００は、受信した近隣要請メッセージに基づいて、登録端末データベース１０５と、特定端末データベース１０６と、正常端末データベース１０７とを参照して、受信した近隣要請メッセージの送信元と目標とを調べる。送信元が不正端末１２５であり、目標が正常端末１１０である場合、不正接続防止装置１００は、送信元の端末のＩＰアドレスとＭＡＣアドレスと、目標の端末のＩＰアドレスとＭＡＣアドレスとを対応付けて、受信した近隣要請メッセージ毎に、それぞれエントリに保存する。
また、不正接続防止装置１００は、各エントリの登録に合わせて、タイマ１０３が出力する時間に基づいて、不正端末データベース１０８の各エントリに、近隣要請メッセージを受信してからの経過時間であるエージングタイムを登録する。エージングタイムは、０秒から始まってカウントされ、３００秒になるとそのエントリは削除される。また、エントリに記憶される組み合わせと同じ組み合わせの送信元と目標である近隣要請メッセージを受信すると、不正接続防止装置１００は、該当するエントリのエージングタイムを０秒にリセットし、カウントをリスタートする。
また、不正接続防止装置１００は、各エントリの登録に合わせて、タイマ１０３が出力する時間に基づいて、不正端末データベース１０８の各エントリに、近隣要請メッセージを受信してからの経過時間であるエージングタイムを登録する。エージングタイムは、０秒から始まってカウントされ、３００秒になるとそのエントリは削除される。また、エントリに記憶される組み合わせと同じ組み合わせの送信元と目標である近隣要請メッセージを受信すると、不正接続防止装置１００は、該当するエントリのエージングタイムを０秒にリセットし、カウントをリスタートする。
しかし、不正接続防止処理において、パケットＰ１乃至パケットＰ４のいずれかが送信エラーなどによって、宛先に届かない場合もある。そこで、不正接続防止装置１００の制御部１０１は、不正端末データベース１０８と登録端末データベース１０５とに基づいて、後に詳しく説明する定期不正接続防止処理（図１２参照）を行う。
定期不正接続防止処理において、不正接続防止装置１００は、不正端末１２５に、アドレス解決の目標であった正常端末１１０に対するリンク層アドレスを、偽りのものに変更するパケットＰ５（図１３参照）を、１秒おきに送信する。
パケットＰ５は、図１３に示すように、不正端末データベース１０８に保存されるエントリに登録されている不正端末１２５のＩＰアドレスを、宛先ＩＰアドレスと目標ＩＰアドレスに格納し、同エントリに記憶される正常端末１１０のＩＰアドレスを、送信元ＩＰアドレスに格納し、偽ＭＡＣアドレスを送信元リンク層アドレスに格納した、近隣要請メッセージである。
正常端末１１０の正しいＭＡＣアドレスを取得した不正端末１２５も、パケットＰ５を受信することによって、正常端末１１０に対して偽ＭＡＣアドレスを記憶することになる。
正常端末１１０の正しいＭＡＣアドレスを取得した不正端末１２５も、パケットＰ５を受信することによって、正常端末１１０に対して偽ＭＡＣアドレスを記憶することになる。
パケットＰ５を送信後、不正接続防止装置１００は、更に、パケットＰ５の宛先であった不正端末１２５に対するリンク層アドレスを偽りのものに変更するパケットＰ６（図１４参照）を、ネットワーク１０内の全端末にマルチキャストで送信する。
パケットＰ６は、図１４に示すように、宛先ＩＰアドレスが全ノードマルチキャストアドレスで、送信元ＩＰアドレスと目標ＩＰアドレスとがパケットＰ５の目標ＩＰアドレスと同じＩＰアドレスで、Ｓフラグが０で、Ｏフラグが１で、目標リンク層アドレスが偽ＭＡＣアドレスである、近隣広告メッセージである。
不正端末１２５の正しいＭＡＣアドレスを取得したネットワーク１０内の端末も、パケットＰ６を受信することによって、不正端末１２５に対して偽のＭＡＣアドレスを記憶することになる。
また、パケットＰ６を送信した後、不正接続防止装置１００は、登録端末データベース１０５を参照して、パケットＰ６の宛先であった不正端末１２５が違反端末１２０であるか否かを判定する。パケットＰ６の宛先である不正端末１２５が違反端末１２０であれば、不正接続防止装置１００は、パケットＰ６の宛先である違反端末１２０に対応するリンク層アドレスを正しいものに変更するパケットＰ７（図１５参照）を、パッチサーバ１４０とポリシーマネージャ１５０にそれぞれ送信する。
不正端末１２５の正しいＭＡＣアドレスを取得したネットワーク１０内の端末も、パケットＰ６を受信することによって、不正端末１２５に対して偽のＭＡＣアドレスを記憶することになる。
また、パケットＰ６を送信した後、不正接続防止装置１００は、登録端末データベース１０５を参照して、パケットＰ６の宛先であった不正端末１２５が違反端末１２０であるか否かを判定する。パケットＰ６の宛先である不正端末１２５が違反端末１２０であれば、不正接続防止装置１００は、パケットＰ６の宛先である違反端末１２０に対応するリンク層アドレスを正しいものに変更するパケットＰ７（図１５参照）を、パッチサーバ１４０とポリシーマネージャ１５０にそれぞれ送信する。
パケットＰ７は、図１５に示すように、宛先ＩＰアドレスが特定端末データベース１０６に登録されているＩＰアドレスで、送信元ＩＰアドレスと目標ＩＰアドレスがパケットＰ５の目標になった違反端末１２０のＩＰアドレスで、送信元リンク層アドレスが目標ＩＰアドレスに対応する正しいＭＡＣアドレスである、近隣要請メッセージである。
パケットＰ６によって違反端末１２０に対して通信ができなくなったパッチサーバ１４０及びポリシーマネージャ１５０は、パケットＰ７を受信することにより、通信できなくなった違反端末１２０に対して再び通信ができるようになる。
パケットＰ６によって違反端末１２０に対して通信ができなくなったパッチサーバ１４０及びポリシーマネージャ１５０は、パケットＰ７を受信することにより、通信できなくなった違反端末１２０に対して再び通信ができるようになる。
また、不正接続防止装置１００は、登録端末データベース１０５と正常端末データベース１０７と不正端末データベース１０８と、ポリシーマネージャ１５０から受信した判定結果とに基づいて、更新前はセキュリティポリシー１５１を満たしておらず、更新後セキュリティポリシー１５１を満たすようになった（すなわち、正常端末１１０に変化した）違反端末１２０に対して端末設定変更処理（図１６参照）を行う。
端末設定変更処理では、不正接続防止装置１００は、不正端末データベース１０８に基づいて、正常端末１１０に変化した違反端末１２０が、そのように変化する前にアドレス解決しようとした正常端末１１０に対するリンク層アドレスを正しいものに変更するパケットＰ８（図１７参照）を、正常端末１１０に変化した違反端末１２０に送信する。
パケットＰ８は、ＩＰフィールドの宛先ＩＰアドレス、送信元ＩＰアドレスがそれぞれ、正常端末に変化した違反端末１２０のＩＰアドレス、正常端末に変化した違反端末１２０がアドレス解決しようとした正常端末１１０のＩＰアドレスで、ＩＣＭＰフィールドの目標ＩＰアドレス、送信元リンク層アドレスがそれぞれ、正常端末１１０に変化した違反端末１２０のＩＰアドレス、正常端末１１０に変化した違反端末１２０がアドレス解決しようとした正常端末１１０の正しいＭＡＣアドレスである、近隣要請メッセージである。
不正接続防止装置１００は、送信元が違反端末１２０で目標が正常端末１１０である近隣要請メッセージを受信すると、不正接続防止処理によって、パケットＰ２を送信する。パケットＰ２を受信した違反端末１２０は、対象の正常端末１１０に対して、偽のＭＡＣアドレスを記憶することになる。
しかし、違反端末１２０が正常端末１１０に変化すると、不正接続防止装置１００は、違反端末正常化処理で、パケットＰ８を送信する。パケットＰ８を受信した違反端末１２０（正常端末１１０に遷移した端末）は、アドレス解決をしようとした目標の正常端末１１０の正しいＭＡＣアドレスを記憶する。
これによって、記憶する偽ＭＡＣアドレスを正しいＭＡＣアドレスに変更するので、正常端末１１０に変化した違反端末１２０は、正常端末１１０と通信することが、短時間で可能になる。
しかし、違反端末１２０が正常端末１１０に変化すると、不正接続防止装置１００は、違反端末正常化処理で、パケットＰ８を送信する。パケットＰ８を受信した違反端末１２０（正常端末１１０に遷移した端末）は、アドレス解決をしようとした目標の正常端末１１０の正しいＭＡＣアドレスを記憶する。
これによって、記憶する偽ＭＡＣアドレスを正しいＭＡＣアドレスに変更するので、正常端末１１０に変化した違反端末１２０は、正常端末１１０と通信することが、短時間で可能になる。
また、不正接続防止装置１００は、正常端末１１０に変化した違反端末１２０のＭＡＣアドレスとＩＰアドレスを正常端末データベース１０７に登録する。また、不正端末データベース１０８から正常端末に変化した違反端末１２０に関するエントリを削除する。
このようにして、正常端末１１０に変化した違反端末１２０は、不正接続防止装置１００により、他の正常端末１１０と通信できない状態を解除される。
このようにして、正常端末１１０に変化した違反端末１２０は、不正接続防止装置１００により、他の正常端末１１０と通信できない状態を解除される。
次に、図７を参照して、近隣要請メッセージ受信時に不正接続防止装置１００が行う不正接続防止処理を詳細に説明する。
不正接続防止装置１００は、近隣要請メッセージを受信すると（ステップＳ１００）、受信した近隣要請メッセージの送信元が未登録端末１３０であるか否かを判定する（ステップＳ１１０）。受信したパケットの送信元が未登録端末１３０であると（ステップＳ１１０が“ＹＥＳ”）、不正接続防止装置１００は、受信したパケットが重複アドレス検出の近隣要請メッセージであるか否かを判定する（ステップＳ１１１）。
受信した近隣要請メッセージの送信元が未登録端末１３０であり、受信した近隣要請メッセージが重複アドレス検出の近隣要請メッセージであった場合（ステップＳ１１１が“ＹＥＳ”）、不正接続防止装置１００はパケットＰ１を送信する（ステップＳ１１２）。
受信した近隣要請メッセージの送信元が未登録端末１３０であり、受信した近隣要請メッセージが重複アドレス検出の近隣要請メッセージではない場合（ステップＳ１１１が“ＮＯ”）、不正接続防止装置１００は、パケットＰ２を送信し（ステップＳ１１３）、パケットＰ３を送信する（ステップＳ１１４）。
送信後、不正接続防止装置１００は、受信した近隣要請メッセージの目標が正常端末１１０であるか調べる（ステップＳ１１５）。目標が正常端末１１０でなければ（ステップＳ１１５が“ＮＯ”）、不正接続防止装置１００は処理を終了する。目標が正常端末１１０であれば（ステップＳ１１５が“ＹＥＳ”）、不正接続防止装置１００は、不正端末データベース１０８を更新する（ステップＳ１１６）。
送信後、不正接続防止装置１００は、受信した近隣要請メッセージの目標が正常端末１１０であるか調べる（ステップＳ１１５）。目標が正常端末１１０でなければ（ステップＳ１１５が“ＮＯ”）、不正接続防止装置１００は処理を終了する。目標が正常端末１１０であれば（ステップＳ１１５が“ＹＥＳ”）、不正接続防止装置１００は、不正端末データベース１０８を更新する（ステップＳ１１６）。
受信した近隣要請メッセージの送信元が未登録端末１３０でない場合（ステップＳ１１０が“ＮＯ”）、不正接続防止装置１００は、送信元が違反端末であるか否かを判定する（ステップ１２０）。
受信した近隣要請メッセージ送信元が違反端末１２０でない場合（ステップＳ１２０が“ＮＯ”）、不正接続防止装置１００は作業を終了する。
送信元の違反端末１２０であった場合（ステップＳ１２０が“ＹＥＳ”）、不正接続防止装置１００は、受信した近隣要請メッセージの宛先ＩＰアドレスを登録端末データベース１０５から検索することによって、近隣要請メッセージの宛先がポリシーマネージャ１５０又はパッチサーバ１４０であるか否かを判定する（ステップＳ１２１）。
送信元の違反端末１２０であった場合（ステップＳ１２０が“ＹＥＳ”）、不正接続防止装置１００は、受信した近隣要請メッセージの宛先ＩＰアドレスを登録端末データベース１０５から検索することによって、近隣要請メッセージの宛先がポリシーマネージャ１５０又はパッチサーバ１４０であるか否かを判定する（ステップＳ１２１）。
受信した近隣要請メッセージの目標がポリシーマネージャ１５０又はパッチサーバ１４０である場合（ステップＳ１２１が“ＹＥＳ”）、不正接続防止装置１００は作業を終了する。
受信した近隣要請メッセージ目標がポリシーマネージャ１５０とパッチサーバ１４０のうちのいずれでもない場合（ステップＳ１２１が“ＮＯ”）、不正接続防止装置１００はパケットＰ２を送信し（ステップＳ１２２）、パケットＰ３を送信し（ステップＳ１２３）、パケットＰ４を送信する（ステップＳ１２４）。
更に、不正接続防止装置１００は、受信した近隣要請メッセージの目標が正常端末１１０であるか否かを判定する（ステップＳ１２５）。目標が正常端末１１０でなければ（ステップＳ１２５が“ＮＯ”）不正接続防止装置１００は処理を終了する。目標が正常端末１１０であれば（ステップＳ１２５が“ＹＥＳ”）、不正接続防止装置１００は、不正端末データベース１０８を更新する（ステップＳ１２６）。
受信した近隣要請メッセージ目標がポリシーマネージャ１５０とパッチサーバ１４０のうちのいずれでもない場合（ステップＳ１２１が“ＮＯ”）、不正接続防止装置１００はパケットＰ２を送信し（ステップＳ１２２）、パケットＰ３を送信し（ステップＳ１２３）、パケットＰ４を送信する（ステップＳ１２４）。
更に、不正接続防止装置１００は、受信した近隣要請メッセージの目標が正常端末１１０であるか否かを判定する（ステップＳ１２５）。目標が正常端末１１０でなければ（ステップＳ１２５が“ＮＯ”）不正接続防止装置１００は処理を終了する。目標が正常端末１１０であれば（ステップＳ１２５が“ＹＥＳ”）、不正接続防止装置１００は、不正端末データベース１０８を更新する（ステップＳ１２６）。
理解を容易にするために、未登録端末１３０から重複アドレス検出の近隣要請メッセージを受信した場合の具体例について説明する。
例えば、ＭＡＣアドレスがＭＡＣ−３ＢでＩＰアドレスが割り振られていない未登録端末１３０−ｂから送信された重複アドレス検出の近隣要請メッセージを、不正接続防止装置１００が受信したとする。なお、重複アドレス検出の対象のＩＰアドレスは、実際にはネットワーク１０内では使用されていないＩＰ−３Ｂとする。
不正接続防止装置１００は未登録端末１３０−ｂから送信された重複アドレス検出の近隣要請メッセージに対して、パケットＰ１−１を送信する。
パケットＰ１−１は、図８に示すように、ＩＰフィールドの宛先ＩＰアドレス、送信元ＩＰアドレスはそれぞれ、全ノードマルチキャストアドレス、ＩＰ−３Ｂである。パケットＰ１のＩＣＭＰフィールドの目標ＩＰアドレス、Ｓフラグ、目標リンク層アドレスはそれぞれ、ＩＰ−３Ｂ、０、ＭＡＣ−３Ｂである。
パケットＰ１−１を受信した重複アドレス検出中の未登録端末１３０−ｂは、ＩＰ−３Ｂが重複していると判定し、ＩＰ−３Ｂを使用することができない。また、未登録端末１３０−ｂが、他のＩＰアドレスで重複アドレス検出の近隣要請メッセージを作成しても同じ結果となる。
結果として、未登録端末１３０に対しては、有効なＩＰアドレスの割り当てが行われず、未登録端末１３０は、ネットワーク１０内で通信を行うことができない。
例えば、ＭＡＣアドレスがＭＡＣ−３ＢでＩＰアドレスが割り振られていない未登録端末１３０−ｂから送信された重複アドレス検出の近隣要請メッセージを、不正接続防止装置１００が受信したとする。なお、重複アドレス検出の対象のＩＰアドレスは、実際にはネットワーク１０内では使用されていないＩＰ−３Ｂとする。
不正接続防止装置１００は未登録端末１３０−ｂから送信された重複アドレス検出の近隣要請メッセージに対して、パケットＰ１−１を送信する。
パケットＰ１−１は、図８に示すように、ＩＰフィールドの宛先ＩＰアドレス、送信元ＩＰアドレスはそれぞれ、全ノードマルチキャストアドレス、ＩＰ−３Ｂである。パケットＰ１のＩＣＭＰフィールドの目標ＩＰアドレス、Ｓフラグ、目標リンク層アドレスはそれぞれ、ＩＰ−３Ｂ、０、ＭＡＣ−３Ｂである。
パケットＰ１−１を受信した重複アドレス検出中の未登録端末１３０−ｂは、ＩＰ−３Ｂが重複していると判定し、ＩＰ−３Ｂを使用することができない。また、未登録端末１３０−ｂが、他のＩＰアドレスで重複アドレス検出の近隣要請メッセージを作成しても同じ結果となる。
結果として、未登録端末１３０に対しては、有効なＩＰアドレスの割り当てが行われず、未登録端末１３０は、ネットワーク１０内で通信を行うことができない。
また、理解を容易にするために、具体的に、未登録端末１３０−ａが送信元であり、目標が正常端末１１０−ａである近隣要請メッセージを、不正接続防止装置１００が受信した場合について説明する。
不正接続防止装置１００は、パケットＰ２−１を送信し（ステップＳ１１３）、パケットＰ３−１を送信する（ステップＳ１１４）。
なお、未登録端末１３０−ａは、重複アドレス検出を行うことなくＩＰアドレスが割り振られた未登録端末１３０であり、ＭＡＣアドレス、ＩＰアドレスはそれぞれ、ＭＡＣ−３Ａ、ＩＰ−３Ａである。また、正常端末１１０−ａのＭＡＣアドレス、ＩＰアドレスはそれぞれ、ＭＡＣ−１Ａ、ＩＰ−１Ａである。
不正接続防止装置１００は、パケットＰ２−１を送信し（ステップＳ１１３）、パケットＰ３−１を送信する（ステップＳ１１４）。
なお、未登録端末１３０−ａは、重複アドレス検出を行うことなくＩＰアドレスが割り振られた未登録端末１３０であり、ＭＡＣアドレス、ＩＰアドレスはそれぞれ、ＭＡＣ−３Ａ、ＩＰ−３Ａである。また、正常端末１１０−ａのＭＡＣアドレス、ＩＰアドレスはそれぞれ、ＭＡＣ−１Ａ、ＩＰ−１Ａである。
パケットＰ２−１は近隣広告メッセージであり、図９に示すように、宛先ＩＰアドレスがＩＰ−１Ａで、送信元ＩＰアドレスがＩＰ−０Ａで、目標ＩＰアドレスが不正接続防止装置１００の受信した近隣要請メッセージの目標ＩＰアドレスで、Ｓフラグが１で、Ｏフラグが１で、目標リンク層アドレスが不正接続防止装置１００の保存する全てのデータベースに登録されていない偽ＭＡＣアドレスである。
なお、ＩＰ−０Ａは、不正接続防止装置１００に割り振られたＩＰアドレスである。
なお、ＩＰ−０Ａは、不正接続防止装置１００に割り振られたＩＰアドレスである。
未登録端末１３０−ａは、正常端末１１０−ａから正しいＭＡＣアドレスが格納された近隣広告メッセージを受信することで、目標である正常端末１１０−ａの正しいＭＡＣアドレスをリンク層アドレスに一時的に記憶する。
しかし、パケットＰ２−１を受信することによって、未登録端末１３０−ａは、アドレス解決の目標である正常端末１１０−ａに対して偽のＭＡＣアドレスを取得するため、正しく通信できない。
しかし、パケットＰ２−１を受信することによって、未登録端末１３０−ａは、アドレス解決の目標である正常端末１１０−ａに対して偽のＭＡＣアドレスを取得するため、正しく通信できない。
パケットＰ３−１は、近隣広告メッセージであり、図１０に示すように、宛先ＩＰアドレスが全ノードマルチキャストアドレスで、送信元ＩＰアドレスがＩＰ−３Ａで、目標ＩＰアドレスがＩＰ−３Ａで、Ｓフラグが０で、Ｏフラグが１で、目標リンク層アドレスが偽ＭＡＣアドレスである。
ネットワーク１０内の端末は、未登録端末１３０−ａから送信された近隣要請メッセージを受信することで、未登録端末１３０−ａのＭＡＣアドレスを、一時的にリンク層アドレスに記憶する。
しかし、パケットＰ３−１を受信することによって、ネットワーク１０内の端末は、未登録端末１３０−ａに対して偽のＭＡＣアドレスを取得するため、未登録端末１３０−ａに対して正しく通信を行えない。
ネットワーク１０内の端末は、未登録端末１３０−ａから送信された近隣要請メッセージを受信することで、未登録端末１３０−ａのＭＡＣアドレスを、一時的にリンク層アドレスに記憶する。
しかし、パケットＰ３−１を受信することによって、ネットワーク１０内の端末は、未登録端末１３０−ａに対して偽のＭＡＣアドレスを取得するため、未登録端末１３０−ａに対して正しく通信を行えない。
また、不正接続防止装置１００は、受信した近隣要請メッセージの目標が正常端末１１０−ａであるので、パケットＰ２−１とパケットＰ３−１を送信後、不正端末データベース１０８を更新する（ステップＳ１１６）。
不正端末データベース１０８には、未登録端末１３０−ａのＩＰ−３ＡとＭＡＣ−３Ａと、正常端末１１０−ａのＩＰ−１ＡとＭＡＣ−１Ａと、がエントリに登録される。
また、同エントリにはエージングタイムが登録され、エージングタイムは０秒から開始される。なお、同一のエントリがすでに存在している場合は、エージングタイムを０秒にリセットする。
不正端末データベース１０８には、未登録端末１３０−ａのＩＰ−３ＡとＭＡＣ−３Ａと、正常端末１１０−ａのＩＰ−１ＡとＭＡＣ−１Ａと、がエントリに登録される。
また、同エントリにはエージングタイムが登録され、エージングタイムは０秒から開始される。なお、同一のエントリがすでに存在している場合は、エージングタイムを０秒にリセットする。
ステップＳ１１１乃至Ｓ１１６によって、未登録端末１３０は、不正接続防止装置１００が接続されたネットワーク１０内において通信ができない。
理解を容易にするために、更に、違反端末１２０−ａが送信元であり、目標が正常端末１１０−ａである近隣要請メッセージを、不正接続防止装置１００が受信した場合について説明する。
なお、違反端末１２０−ａのＭＡＣアドレス、ＩＰアドレスはそれぞれ、ＭＡＣ−２Ａ、ＩＰ−２Ａである。また、正常端末１１０−ａのＭＡＣアドレス、ＩＰアドレスはそれぞれ、ＭＡＣ−１Ａ、ＩＰ−１Ａである。
なお、違反端末１２０−ａのＭＡＣアドレス、ＩＰアドレスはそれぞれ、ＭＡＣ−２Ａ、ＩＰ−２Ａである。また、正常端末１１０−ａのＭＡＣアドレス、ＩＰアドレスはそれぞれ、ＭＡＣ−１Ａ、ＩＰ−１Ａである。
近隣要請メッセージの送信元が違反端末１２０であるので（ステップＳ１２０が“ＹＥＳ”）、不正接続防止装置１００は、パケットＰ２−２を送信し（ステップＳ１２２）、パケットＰ３−２を送信する（ステップＳ１２３）。また、目標が正常端末１１０なので（ステップＳ１２４が“ＹＥＳ”）、不正接続防止装置１００は、パケットＰ４−２を送信する（ステップＳ１２５）。
パケットＰ２−２は近隣広告メッセージであり、図９に示すように、宛先ＩＰアドレスがＩＰ−２Ａで、送信元ＩＰアドレスがＩＰ−０Ａで、目標ＩＰアドレスがＩＰ−１Ａで、Ｓフラグが１で、Ｏフラグが１で、目標リンク層アドレスが偽ＭＡＣアドレスである。
アドレス解決のために正常端末１１０−ａに近隣要請メッセージを送信した違反端末１２０−ａは、正常端末１１０−ａから近隣広告メッセージを受信する。正常端末１１０−ａから送信された近隣広告メッセージを受信した違反端末１２０−ａは、正常端末１１０−ａの正しいＭＡＣアドレスであるＭＡＣ−１ＡをＩＰ−１Ａに対応付けて記憶する。
しかし、違反端末１２０−ａは、更にパケットＰ２−２を受信することによって、ＩＰ−１Ａに対して偽ＭＡＣアドレスを記憶する。そのため、違反端末１２０−ａは、アドレス解決を行った正常端末１１０−ａに対して正しく通信をできない。
しかし、違反端末１２０−ａは、更にパケットＰ２−２を受信することによって、ＩＰ−１Ａに対して偽ＭＡＣアドレスを記憶する。そのため、違反端末１２０−ａは、アドレス解決を行った正常端末１１０−ａに対して正しく通信をできない。
パケットＰ３−２は近隣広告メッセージであり、図１０に示すように、宛先ＩＰアドレスが全ノードマルチキャストアドレスで、送信元ＩＰアドレスがＩＰ−２Ａで、目標ＩＰアドレスがＩＰ−２Ａで、Ｓフラグが０で、Ｏフラグが１で、目標リンク層アドレスが偽ＭＡＣアドレスである。
ネットワーク１０内の端末は、違反端末１２０−ａが送信した近隣要請メッセージを受信することで、違反端末１２０−ａのＭＡＣ−２ＡとＩＰ−２Ａを対応付けて記憶する。
しかし、ネットワーク１０内の端末は、更にパケットＰ３−２を受信することによって、不違反端末１２０−ａに対して偽のＭＡＣアドレスを記憶する。これによって、ネットワーク１０内の端末は、違反端末１２０−ａに対して正しく通信を行えない。
しかし、ネットワーク１０内の端末は、更にパケットＰ３−２を受信することによって、不違反端末１２０−ａに対して偽のＭＡＣアドレスを記憶する。これによって、ネットワーク１０内の端末は、違反端末１２０−ａに対して正しく通信を行えない。
パケットＰ４−２は、パッチサーバ１４０とポリシーマネージャ１５０にそれぞれ送信される。パケットＰ４−２のうちパッチサーバ１４０に送信されるパケットＰ４−２−１は、図１１に示すように宛先ＩＰアドレスがＩＰ−４Ａで、送信元ＩＰアドレスがＩＰ−２Ａで、目標ＩＰアドレスがＩＰ−４Ａで、送信元リンク層アドレスがＭＡＣ−２Ａである、近隣要請メッセージである。
なお、同様のパケットＰ４−２−２は、ポリシーマネージャ１５０に送信される。
なお、同様のパケットＰ４−２−２は、ポリシーマネージャ１５０に送信される。
パッチサーバ１４０とポリシーマネージャ１５０は、パケットＰ３−２を受信することによって違反端末１２０−ａと一時的に正しく通信できなくなる。しかしパッチサーバ１４０とポリシーマネージャ１５０は、更にパケットＰ４−２を受信することによって、違反端末１２０−ａの正しいＭＡＣアドレスを記憶する。これによって、パッチサーバ１４０ならびにポリシーマネージャ１５０は、違反端末１２０−ａに対して通信することができるようになる。
更に、不正接続防止装置１００は、受信した近隣要請メッセージの目標が正常端末１１０であるから（ステップＳ１２４が“ＹＥＳ”）、パケットＰ２−２とパケットＰ３−２とパケットＰ４−２を送信後、不正端末データベース１０８を更新する（ステップＳ１２５）。
不正接続防止装置１００は、不正端末データベース１０８に、違反端末１２０−ａのＩＰ−２ＡとＭＡＣ−２Ａと、正常端末１１０−ａのＩＰ−１ＡとＭＡＣ−１Ａを一つのエントリに登録する。
また、同エントリにはエージングタイムが登録され、エージングタイムは０秒から開始される。なお、同一のエントリがすでに存在している場合は、エージングタイムを０秒にリセットする。
不正接続防止装置１００は、不正端末データベース１０８に、違反端末１２０−ａのＩＰ−２ＡとＭＡＣ−２Ａと、正常端末１１０−ａのＩＰ−１ＡとＭＡＣ−１Ａを一つのエントリに登録する。
また、同エントリにはエージングタイムが登録され、エージングタイムは０秒から開始される。なお、同一のエントリがすでに存在している場合は、エージングタイムを０秒にリセットする。
以上説明した近隣要請メッセージ受信時の不正接続防止処理によって、不正接続防止装置１００は、不正端末１２５がネットワーク１０内で通信を行うことをブロックしつつ、パッチサーバ１４０及びポリシーマネージャ１５０が違反端末１２０と通信することを許可する。
次に、図１２を参照して、不正接続防止装置１００が定期的に行う定期不正接続防止処理について詳細に説明する。
定期不正接続防止処理で、不正接続防止装置１００は、不正端末データベース１０８に保存される各エントリに基づいて、パケットＰ５を送信し（ステップＳ３０１）、パケットＰ６を送信する（ステップＳ３０２）。また、パケットＰ６を送信後、不正接続防止装置１００は、パケットＰ６の目標にした不正端末１２５が違反端末１２０であるか否かを判定する（ステップＳ３０３）。目標にした不正端末１２５が違反端末１２０である場合（ステップＳ３０３が“ＹＥＳ”）、更にパケットＰ７を送信し（ステップＳ３０４）、不正端末１２５が違反端末１２０でないなら（ステップＳ３０３が“ＮＯ”）、処理を終了する。
理解を容易にするために、具体的に、図６に示す不正端末データベース１０８に記憶されている、違反端末１２０−ａと正常端末１１０−ａのＭＡＣアドレス並びにＩＰアドレスに対して定期不正接続防止処理を行う場合について説明する。
なお、違反端末１２０−ａのＭＡＣアドレス、ＩＰアドレスはそれぞれ、ＭＡＣ−２Ａ、ＩＰ−２Ａである。また、正常端末１１０−ａのＭＡＣアドレス、ＩＰアドレスはそれぞれ、ＭＡＣ−１Ａ、ＩＰ−１Ａである。
なお、違反端末１２０−ａのＭＡＣアドレス、ＩＰアドレスはそれぞれ、ＭＡＣ−２Ａ、ＩＰ−２Ａである。また、正常端末１１０−ａのＭＡＣアドレス、ＩＰアドレスはそれぞれ、ＭＡＣ−１Ａ、ＩＰ−１Ａである。
パケットＰ５−１は、図１３に示すように、ＩＰ−２Ａを宛先ＩＰアドレスと目標ＩＰアドレスに格納し、ＩＰ−１Ａを送信元ＩＰアドレスに格納し、偽ＭＡＣアドレスを送信元リンク層アドレスに格納した、近隣要請メッセージである。
例えば、違反端末１２０−ａが、正常端末１１０−ａに対し近隣要請メッセージを送信した際、不正接続防止処理によるパケットＰ２が受信できなかったとする。違反端末１２０−ａは正常端末１１０−ａの正しいＭＡＣアドレスを取得し、正常端末１１０−ａに対して通信が可能になる。しかし、パケットＰ５−１を受信することによって、違反端末１２０−ａは、送信元の正常端末１１０−ａに関するリンク層アドレスが、偽ＭＡＣアドレスに更新される。
つまり、不正端末１２５が、アドレス解決のために近隣要請メッセージを送信後、なんらかの理由でアドレス解決の目標である正常端末１１０の正しいＭＡＣアドレスを取得したとしても、パケットＰ５を受信することによって、不正端末１２５は、正常端末１１０と通信ができない。
例えば、違反端末１２０−ａが、正常端末１１０−ａに対し近隣要請メッセージを送信した際、不正接続防止処理によるパケットＰ２が受信できなかったとする。違反端末１２０−ａは正常端末１１０−ａの正しいＭＡＣアドレスを取得し、正常端末１１０−ａに対して通信が可能になる。しかし、パケットＰ５−１を受信することによって、違反端末１２０−ａは、送信元の正常端末１１０−ａに関するリンク層アドレスが、偽ＭＡＣアドレスに更新される。
つまり、不正端末１２５が、アドレス解決のために近隣要請メッセージを送信後、なんらかの理由でアドレス解決の目標である正常端末１１０の正しいＭＡＣアドレスを取得したとしても、パケットＰ５を受信することによって、不正端末１２５は、正常端末１１０と通信ができない。
パケットＰ６−１は近隣広告メッセージであり、図１４に示すように、宛先ＩＰアドレスが全ノードマルチキャストアドレスで、送信元ＩＰアドレスと目標ＩＰアドレスとがＩＰ−２Ａで、Ｓフラグが０で、Ｏフラグが１で、目標リンク層アドレスが偽ＭＡＣアドレスである。
例えば、不正接続防止処理においてパケットＰ３が正常端末１１０−ｂに届かず、正常端末１１０−ｂが、違反端末１２０−ａの正しいＭＡＣアドレスを取得したとする。しかし、正常端末１１０−ｂは、パケットＰ６−１を受信することによって、違反端末１２０−ａに対し、偽のＭＡＣアドレスを取得する。そのため、正常端末１１０−ａは、違反端末１２０−ａに対して正しく通信を行えない。
例えば、不正接続防止処理においてパケットＰ３が正常端末１１０−ｂに届かず、正常端末１１０−ｂが、違反端末１２０−ａの正しいＭＡＣアドレスを取得したとする。しかし、正常端末１１０−ｂは、パケットＰ６−１を受信することによって、違反端末１２０−ａに対し、偽のＭＡＣアドレスを取得する。そのため、正常端末１１０−ａは、違反端末１２０−ａに対して正しく通信を行えない。
パケットＰ７−１は、パッチサーバ１４０とポリシーマネージャ１５０に対してそれぞれユニキャストで送信される。図１５に示すように、パケットＰ７−１のうち、パッチサーバ１４０に送信されるパケットＰ７−１−１は、送信元ＩＰアドレスがＩＰ−２Ａで、目標ＩＰアドレスがＩＰ−２Ａで、送信元リンク層アドレスがＭＡＣ−２Ａである、近隣要請メッセージである。また、同様のパケットＰ７−１−２が、ポリシーマネージャ１５０にも送信される。
パッチサーバ１４０とポリシーマネージャ１５０は、パケットＰ６−１を受信することによって、違反端末１２０−ａに対して通信できなくなる。しかし、更にパケットＰ７−１を受信することによって、パッチサーバ１４０とポリシーマネージャ１５０は、違反端末１２０−ａの正しいＭＡＣアドレスを取得する。そのため、パッチサーバ１４０とポリシーマネージャ１５０は、違反端末１２０−ａに対して通信することができる。
パッチサーバ１４０とポリシーマネージャ１５０は、パケットＰ６−１を受信することによって、違反端末１２０−ａに対して通信できなくなる。しかし、更にパケットＰ７−１を受信することによって、パッチサーバ１４０とポリシーマネージャ１５０は、違反端末１２０−ａの正しいＭＡＣアドレスを取得する。そのため、パッチサーバ１４０とポリシーマネージャ１５０は、違反端末１２０−ａに対して通信することができる。
以上説明した定期不正接続防止処理によって、不正接続防止装置１００は、より厳重に、不正端末１２５と正常端末１１０との通信を防止しつつ、パッチサーバ１４０及びポリシーマネージャ１５０と違反端末１２０とが通信することを許可することができる。
次に、図１６のフローチャートを参照して、端末設定変更処理について詳細に説明する。
不正接続防止装置１００は、ポリシーマネージャ１５０から送信された判定結果を受信し、正常端末データベース１０７と照らし合わすことで、違反端末１２０が正常端末１１０に変化したことを検出する。正常端末１１０に変化した違反端末１２０を検出した不正接続防止装置１００は、図１６に示す端末設定変更処理を実行する。
端末設定変更処理で、不正接続防止装置１００は、パケットＰ８を送信し（ステップＳ４０１）、不正端末データベース１０８を更新し（ステップＳ４０２）、正常端末１１０データベースを更新する（ステップＳ４０３）。
理解を容易にするために、具体的に、違反端末１２０−ａが正常端末１１０に変化した場合について説明する。
図６に示すように、違反端末１２０−ａのＩＰアドレスとＭＡＣアドレスであるＩＰ−２ＡとＭＡＣ−２Ａは、不正端末データベース１０８において、２つのエントリに保存されている。それぞれのエントリには、１２４秒のエージングタイムとＩＰ−１ＡとＭＡＣ−１Ａ、１７秒のエージングタイムとＩＰ−１ＢとＭＡＣ−１Ｂ、が格納されている。
これは、エージングタイムに相当する時間だけ遡った時点で、違反端末１２０−ａが、正常端末１１０−ａと正常端末１１０−ｂに対してそれぞれ、アドレス解決の為に近隣要請メッセージを送信したことを意味する。ただし、違反端末１２０−ａは、不正接続防止装置１００から送信された偽の近隣広告メッセージを受信し、偽ＭＡＣアドレスを記憶しているため、正常端末１１０に対して通信ができない。
図６に示すように、違反端末１２０−ａのＩＰアドレスとＭＡＣアドレスであるＩＰ−２ＡとＭＡＣ−２Ａは、不正端末データベース１０８において、２つのエントリに保存されている。それぞれのエントリには、１２４秒のエージングタイムとＩＰ−１ＡとＭＡＣ−１Ａ、１７秒のエージングタイムとＩＰ−１ＢとＭＡＣ−１Ｂ、が格納されている。
これは、エージングタイムに相当する時間だけ遡った時点で、違反端末１２０−ａが、正常端末１１０−ａと正常端末１１０−ｂに対してそれぞれ、アドレス解決の為に近隣要請メッセージを送信したことを意味する。ただし、違反端末１２０−ａは、不正接続防止装置１００から送信された偽の近隣広告メッセージを受信し、偽ＭＡＣアドレスを記憶しているため、正常端末１１０に対して通信ができない。
また、セキュリティポリシー１５１を満たした違反端末１２０−ａは、ポリシーマネージャ１５０によって、正常端末１１０であると判定される。正常端末１１０であるとポリシーマネージャ１５０に判定された違反端末１２０−ａが、ネットワーク１０内で通信できるようにするために、不正接続防止装置１００は、端末設定変更処理を実行する。
不正接続防止装置１００は、ＩＰ−１Ａに対してＭＡＣ−１Ａを格納したパケットＰ８−１と、ＩＰ−１Ｂに対してＭＡＣ−１Ｂを格納したパケットＰ８−２とを送信し（ステップＳ４０１）、不正端末データベース１０８を更新し（ステップＳ４０２）、正常端末データベース１０７を更新する（ステップＳ４０３）。
不正接続防止装置１００は、ＩＰ−１Ａに対してＭＡＣ−１Ａを格納したパケットＰ８−１と、ＩＰ−１Ｂに対してＭＡＣ−１Ｂを格納したパケットＰ８−２とを送信し（ステップＳ４０１）、不正端末データベース１０８を更新し（ステップＳ４０２）、正常端末データベース１０７を更新する（ステップＳ４０３）。
図１７に示すように、パケットＰ８−１は、宛先ＩＰアドレスがＩＰ−２Ａで、送信元ＩＰアドレスがＩＰ−１Ａで、目標ＩＰアドレスがＩＰ−２Ａで、送信元リンク層アドレスがＭＡＣ−１Ａである近隣要請メッセージである。同様に、パケットＰ８−２は、宛先ＩＰアドレスがＩＰ−２Ａで、送信元ＩＰアドレスがＩＰ−１Ｂで、目標ＩＰアドレスがＩＰ−２Ａで、送信元リンク層アドレスがＭＡＣ−１Ｂである近隣要請メッセージである。
パケットＰ８−１とパケットＰ８−２を受信した違反端末１２０−ａは、正常端末１１０−ａと正常端末１１０−ｂに対してのリンク層アドレスを、偽のＭＡＣアドレスから正しいＭＡＣアドレスへ変更する。これによって、正常端末に変化した違反端末１２０−ａは、正常端末１１０−ａならびに正常端末１１０−ｂに通信することが自動的に可能になる。
また、不正接続防止装置１００は、不正端末データベース１０８から違反端末１２０−ａのエントリを全て削除し（ステップＳ４０２）、正常端末１１０データベースに違反端末１２０−ａのＩＰアドレスとＭＡＣアドレスを登録する（ステップＳ４０３）。
正常端末データベース１０７が更新されることにより、違反端末１２０−ａは、アドレス解決のために近隣要請メッセージを送信しても不正接続防止装置１００にブロックされることはない。
また、不正端末データベース１０８が更新されることにより、違反端末１２０−ａは、定期不正接続防止処理による通信のブロックが解除される。
また、不正端末データベース１０８が更新されることにより、違反端末１２０−ａは、定期不正接続防止処理による通信のブロックが解除される。
このように、違反端末１２０がセキュリティポリシー１５１を満たしたことがポリシーマネージャ１５０によって検知されると、端末設定変更処理によって、正常端末１１０に変化した違反端末１２０は、ネットワーク１０内において通信することが自動的に可能になる。
以上説明したように、本実施形態によれば、不正端末１２５と正常端末１１０との通信をブロックしつつ、事前に登録されたパッチサーバ１４０及びポリシーマネージャ１５０と、違反端末１２０との間では、通信できるようにした。また、違反端末１２０がセキュリティポリシー１５１を満たすと、セキュリティポリシー１５１を満たす違反端末１２０が自動的に正常端末１１０と通信ができるようにした。
また、マルチキャストで送信される近隣要請メッセージを利用しているため、ネットワークの構成を変更することなく、セキュリティレベルを維持しつつ、不正接続防止装置１５０を導入することができる。
また、マルチキャストで送信される近隣要請メッセージを利用しているため、ネットワークの構成を変更することなく、セキュリティレベルを維持しつつ、不正接続防止装置１５０を導入することができる。
これまで、図面を参照して本発明の実施形態について詳述してきたが、具体的な構成はこの実施形態に限られるものではなく、この発明の趣旨を逸脱しない範囲の設計変更等も含まれる。
例えば、正常端末１１０と違反端末１２０と未登録端末１３０はコンピュータ端末に限定したが、制御部と記憶部と通信部を備えた、ネットワーク１０に接続された電子機器端末でもよい。
また、登録端末データベース１０５には、予め登録端末１１５のＭＡＣアドレスが登録されているものとして説明したが、登録端末１１５に特定のアプリケーションをインストールすることによって、登録端末データベース１０５への登録を自動化してもよい。
この場合、特定のアプリケーションがインストールされた端末から特定の情報を含むパケットを不正接続防止装置１００に送信する。不正接続防止装置１００は、特定の情報を含むパケットを受信すると、受信したパケットの送信元のＭＡＣアドレスを登録端末データベース１０５に登録するようにすればよい。
この場合、特定のアプリケーションがインストールされた端末から特定の情報を含むパケットを不正接続防止装置１００に送信する。不正接続防止装置１００は、特定の情報を含むパケットを受信すると、受信したパケットの送信元のＭＡＣアドレスを登録端末データベース１０５に登録するようにすればよい。
また、ポリシーマネージャ１５０は、登録端末１１５にアクセスすることによって、パッチ適応状況を調べるものとして説明したが、特定のアプリケーションを登録端末１１５にインストールすることによってパッチ適応状況を調べても良い。
この場合、特定のアプリケーションがインストールされた端末からパッチ適用状況を、ポリシーマネージャ１５０に送信する。パッチ適用状況を受信したポリシーマネージャ１５０は、セキュリティポリシー１５１と受信したパッチ適応状況を比較して、登録端末１１５が最新のパッチを適応しているかを確認する。
この場合、特定のアプリケーションがインストールされた端末からパッチ適用状況を、ポリシーマネージャ１５０に送信する。パッチ適用状況を受信したポリシーマネージャ１５０は、セキュリティポリシー１５１と受信したパッチ適応状況を比較して、登録端末１１５が最新のパッチを適応しているかを確認する。
また、特定のアプリケーションを登録端末１１５にインストールすることによって、インストールされたこのアプリケーションが、登録端末１１５の登録端末データベース１０５への登録と、パッチ適応状況の確認の両方を行っても良い。
また、本実施形態では、パッチサーバ１４０はコンピュータ端末であるものとして説明したが、ハードディスクとネットワークインターフェースと、ＯＳ（Ｏｐｅｒａｔｉｎｇ Ｓｙｓｔｅｍ）と、管理用ユーティリティなどが一体化されて構成されるＮＡＳ（Ｎｅｔｗｏｒｋ Ａｔｔａｃｈｅｄ Ｓｔｏｒａｇｅ）であってもよい。
また、パッチサーバ１４０は単体の装置であるものとして説明したが、ポリシーマネージャ１５０に組み込まれていても良いし、不正接続防止装置１００に組み込まれていても良い。
また、同様に、ポリシーマネージャ１５０が、不正接続防止装置１００に組み込まれていても良いし、不正接続防止装置１００がパッチサーバ１４０とポリシーマネージャ１５０が一つの装置であっても良い。
また、同様に、ポリシーマネージャ１５０が、不正接続防止装置１００に組み込まれていても良いし、不正接続防止装置１００がパッチサーバ１４０とポリシーマネージャ１５０が一つの装置であっても良い。
また、不正端末データベース１０８において、エージングタイムが３００秒になったエントリは消去されると説明したが、消去される基準となる時間は、任意に変更可能である。
また、定期不正接続防止処理において、１秒おきに、パケットを送信すると説明したが、時間は１秒に限られず、任意に変更可能である。ただし、エージングタイムより短いことが好ましい。
また、定期不正接続防止処理において、１秒おきに、パケットを送信すると説明したが、時間は１秒に限られず、任意に変更可能である。ただし、エージングタイムより短いことが好ましい。
上記実施形態では、プログラムが、それぞれメモリ等に予め記憶されているものとして説明した。しかし、通信装置を、装置の全部又は一部として動作させ、あるいは、上述の処理を実行させるためのプログラムを、フレキシブルディスク、ＣＤ（Ｃｏｍｐａｃｔ Ｄｉｓｋ）、ＤＶＤ（Ｄｉｇｉｔａｌ Ｖｅｒｓａｔｉｌｅ Ｄｉｓｋ）、ＭＯ（Ｍａｇｎｅｔｏ Ｏｐｔｉｃａｌ ｄｉｓｋ）などのコンピュータ読み取り可能な記録媒体に格納して配布し、これを別のコンピュータにインストールし、上述の手段として動作させ、あるいは、上述の工程を実行させてもよい。
さらに、インターネット上のサーバ装置が有するディスク装置等にプログラムを格納しておき、例えば、搬送波に重畳させて、コンピュータにダウンロード等するものとしてもよい。
上記の実施形態の一部又は全部は、以下の付記のようにも記載されうるが、以下には限られない。
（付記１）ネットワークに接続し、前記ネットワーク内で通信を行う通信手段と、
予め登録された登録端末を識別する登録端末識別情報を記憶する登録端末記憶手段と、
前記ネットワーク内での通信を許可された前記登録端末である正常端末を識別する正常端末識別情報を記憶する正常端末記憶手段と、
前記ネットワーク内での通信を許可されていない前記登録端末である違反端末との通信を特別に許可される特定端末を識別する特定端末識別情報を記憶する特定端末記憶手段と、
前記通信手段が近隣要請メッセージを受信すると、受信した当該近隣要請メッセージと、前記登録端末記憶手段が記憶する登録端末識別情報と、前記正常端末記憶手段が記憶する前記正常端末識別情報と、前記特定端末記憶手段が記憶する特定端末識別情報に基づいて、前記通信手段からパケットを送信するパケット送信制御手段と、
を備え、
前記パケット送信制御手段は、送信元が前記登録端末でもなく前記特定端末でもない未登録端末である重複アドレス検出の近隣要請メッセージを前記通信手段が受信すると、該未登録端末に、アドレスが重複している旨を送信し、
前記パケット送信制御手段は、送信元が前記違反端末であって目標が前記特定端末でない近隣要請メッセージを前記通信手段が受信すると、該違反端末に、目標に対するリンク層アドレスを偽りのものに変更する偽近隣広告メッセージを送信する、
ことを特徴とする不正接続防止装置。
予め登録された登録端末を識別する登録端末識別情報を記憶する登録端末記憶手段と、
前記ネットワーク内での通信を許可された前記登録端末である正常端末を識別する正常端末識別情報を記憶する正常端末記憶手段と、
前記ネットワーク内での通信を許可されていない前記登録端末である違反端末との通信を特別に許可される特定端末を識別する特定端末識別情報を記憶する特定端末記憶手段と、
前記通信手段が近隣要請メッセージを受信すると、受信した当該近隣要請メッセージと、前記登録端末記憶手段が記憶する登録端末識別情報と、前記正常端末記憶手段が記憶する前記正常端末識別情報と、前記特定端末記憶手段が記憶する特定端末識別情報に基づいて、前記通信手段からパケットを送信するパケット送信制御手段と、
を備え、
前記パケット送信制御手段は、送信元が前記登録端末でもなく前記特定端末でもない未登録端末である重複アドレス検出の近隣要請メッセージを前記通信手段が受信すると、該未登録端末に、アドレスが重複している旨を送信し、
前記パケット送信制御手段は、送信元が前記違反端末であって目標が前記特定端末でない近隣要請メッセージを前記通信手段が受信すると、該違反端末に、目標に対するリンク層アドレスを偽りのものに変更する偽近隣広告メッセージを送信する、
ことを特徴とする不正接続防止装置。
（付記２）前記パケット送信制御手段は、
送信元が前記違反端末であって目標が前記特定端末でない近隣要請メッセージを、前記通信手段が受信すると、
前記偽近隣広告メッセージを該違反端末に送信するとともに、
該違反端末に対するリンク層アドレスを偽りのものに変更する旨をマルチキャストで送信し、
該違反端末に対するリンク層アドレスを偽りのものに変更する旨をマルチキャストで送信した後に、該違反端末に対するリンク層アドレスを正しいものに変更する旨を前記特定端末に送信する、
ことを特徴とする付記１に記載の不正接続防止装置。
送信元が前記違反端末であって目標が前記特定端末でない近隣要請メッセージを、前記通信手段が受信すると、
前記偽近隣広告メッセージを該違反端末に送信するとともに、
該違反端末に対するリンク層アドレスを偽りのものに変更する旨をマルチキャストで送信し、
該違反端末に対するリンク層アドレスを偽りのものに変更する旨をマルチキャストで送信した後に、該違反端末に対するリンク層アドレスを正しいものに変更する旨を前記特定端末に送信する、
ことを特徴とする付記１に記載の不正接続防止装置。
（付記３）前記パケット送信制御手段は、
送信元が前記未登録端末である近隣要請メッセージを前記通信手段が受信すると、
前記偽近隣広告メッセージを該未登録端末に送信し、
該未登録端末に対するリンク層アドレスを偽りのものに変更する旨をマルチキャストで送信する、
ことを特徴とする付記１または２に記載の不正接続防止装置。
送信元が前記未登録端末である近隣要請メッセージを前記通信手段が受信すると、
前記偽近隣広告メッセージを該未登録端末に送信し、
該未登録端末に対するリンク層アドレスを偽りのものに変更する旨をマルチキャストで送信する、
ことを特徴とする付記１または２に記載の不正接続防止装置。
（付記４）前記パケット送信制御手段は、前記正常端末記憶手段を参照し、新規に前記正常端末記憶手段に登録された前記正常端末識別情報を検知すると、該正常端末識別情報で識別される前記正常端末に、他の前記正常端末に対するリンク層アドレスを正しいものに変更する旨をマルチキャストで送信する、
ことを特徴とする付記１乃至３の何れかに記載の不正接続防止装置。
ことを特徴とする付記１乃至３の何れかに記載の不正接続防止装置。
（付記５）送信元が前記違反端末で、目標が前記正常端末である近隣要請メッセージを前記通信手段が受信すると、受信した当該近隣要請メッセージの送信元である前記違反端末を識別する違反端末識別情報と、受信した当該近隣要請メッセージの目標である前記正常端末を識別する前記正常端末識別情報とを、対応付けて記憶する違反端末記憶手段と、
送信元が前記未登録端末で、目標が前記正常端末である近隣要請メッセージを前記通信手段が受信すると、受信した当該近隣要請メッセージの送信元である前記未登録端末を識別する未登録端末識別情報と、受信した当該近隣要請メッセージの目標である前記正常端末を識別する前記正常端末識別情報とを、対応付けて記憶する未登録端末記憶手段と、
を更に備え、
前記パケット送信制御手段は、前記違反端末記憶手段が記憶する前記違反端末識別情報と前記正常端末識別情報と、前記未登録端末記憶手段が記憶する前記未登録端末識別情報と前記正常端末識別情報に基づいて、前記正常端末識別情報に対するリンク層アドレスを偽りのものに変更する旨を、該正常端末識別情報に識別情報を対応付けられる前記違反端末と前記未登録端末に、定期的に送信する、
ことを特徴とする付記１乃至４の何れかに記載の不正接続防止装置。
送信元が前記未登録端末で、目標が前記正常端末である近隣要請メッセージを前記通信手段が受信すると、受信した当該近隣要請メッセージの送信元である前記未登録端末を識別する未登録端末識別情報と、受信した当該近隣要請メッセージの目標である前記正常端末を識別する前記正常端末識別情報とを、対応付けて記憶する未登録端末記憶手段と、
を更に備え、
前記パケット送信制御手段は、前記違反端末記憶手段が記憶する前記違反端末識別情報と前記正常端末識別情報と、前記未登録端末記憶手段が記憶する前記未登録端末識別情報と前記正常端末識別情報に基づいて、前記正常端末識別情報に対するリンク層アドレスを偽りのものに変更する旨を、該正常端末識別情報に識別情報を対応付けられる前記違反端末と前記未登録端末に、定期的に送信する、
ことを特徴とする付記１乃至４の何れかに記載の不正接続防止装置。
（付記６）時刻情報をカウントし、カウントした当該時刻情報を出力する時刻情報カウント手段を更に備え、
前記違反端末記憶手段は、前記時刻情報カウント手段が出力する前記時刻情報に基づいて、近隣要請メッセージを受信してからの経過時間を、当該近隣要請メッセージの送信元の前記違反端末識別情報と、当該近隣要請メッセージの目標の前記正常端末識別情報に、更に対応付けて記憶し、前記経過時間が一定の時間になると、当該経過時間に対応付けられる情報を消去し、
前記未登録端末記憶手段は、前記時刻情報カウント手段が出力する前記時刻情報に基づいて、近隣要請メッセージを受信してからの経過時間を、当該近隣要請メッセージの送信元の前記未登録端末識別情報と、当該近隣要請メッセージの目標の前記正常端末識別情報に、更に対応付けて記憶し、前記経過時間が一定の時間になると、当該経過時間に対応付けられる情報を消去する、
ことを特徴とする付記５に記載の不正接続防止装置。
前記違反端末記憶手段は、前記時刻情報カウント手段が出力する前記時刻情報に基づいて、近隣要請メッセージを受信してからの経過時間を、当該近隣要請メッセージの送信元の前記違反端末識別情報と、当該近隣要請メッセージの目標の前記正常端末識別情報に、更に対応付けて記憶し、前記経過時間が一定の時間になると、当該経過時間に対応付けられる情報を消去し、
前記未登録端末記憶手段は、前記時刻情報カウント手段が出力する前記時刻情報に基づいて、近隣要請メッセージを受信してからの経過時間を、当該近隣要請メッセージの送信元の前記未登録端末識別情報と、当該近隣要請メッセージの目標の前記正常端末識別情報に、更に対応付けて記憶し、前記経過時間が一定の時間になると、当該経過時間に対応付けられる情報を消去する、
ことを特徴とする付記５に記載の不正接続防止装置。
（付記７）前記ネットワークに接続する端末の登録を受け付け、登録を受け付けた前記端末を識別する端末識別情報を出力する端末登録手段を、
更に備え、
前記登録端末記憶手段は、前記端末登録手段が出力する前記端末識別情報を受信し、受信した当該端末識別情報を記憶する、
ことを特徴とする付記１乃至６の何れかに記載の不正接続防止装置。
更に備え、
前記登録端末記憶手段は、前記端末登録手段が出力する前記端末識別情報を受信し、受信した当該端末識別情報を記憶する、
ことを特徴とする付記１乃至６の何れかに記載の不正接続防止装置。
（付記８）前記ネットワーク内の端末の前記ネットワーク内における通信の可否を判定する基準である接続判定基準を記憶する接続判定基準記憶手段と、
前記接続判定基準記憶手段が記憶する前記接続判定基準に基づいて、前記登録端末の前記ネットワーク内での通信の可否を繰り返し判定し、前記登録端末の前記ネットワークで通信が可であると判定されると、該登録端末を識別する前記登録端末識別情報を判定毎に出力する正常端末判定手段と、
を更に備え、
前記正常端末記憶手段は、前記正常端末判定手段が判定毎に出力する前記登録端末識別情報を受信し、受信した当該登録端末識別情報に基づいて、記憶する前記正常端末識別情報を更新し、
前記パケット送信制御手段は、前記通信手段が近隣要請メッセージを受信すると、前記通信手段が受信した当該近隣要請メッセージと、前記登録端末記憶手段が記憶する登録端末識別情報と、前記正常端末記憶手段が更新した最新の前記正常端末識別情報と、前記特定端末記憶手段が記憶する特定端末識別情報に基づいて、前記通信手段からパケットを送信する、
ことを特徴とする付記１乃至７の何れかに記載の不正接続防止装置。
前記接続判定基準記憶手段が記憶する前記接続判定基準に基づいて、前記登録端末の前記ネットワーク内での通信の可否を繰り返し判定し、前記登録端末の前記ネットワークで通信が可であると判定されると、該登録端末を識別する前記登録端末識別情報を判定毎に出力する正常端末判定手段と、
を更に備え、
前記正常端末記憶手段は、前記正常端末判定手段が判定毎に出力する前記登録端末識別情報を受信し、受信した当該登録端末識別情報に基づいて、記憶する前記正常端末識別情報を更新し、
前記パケット送信制御手段は、前記通信手段が近隣要請メッセージを受信すると、前記通信手段が受信した当該近隣要請メッセージと、前記登録端末記憶手段が記憶する登録端末識別情報と、前記正常端末記憶手段が更新した最新の前記正常端末識別情報と、前記特定端末記憶手段が記憶する特定端末識別情報に基づいて、前記通信手段からパケットを送信する、
ことを特徴とする付記１乃至７の何れかに記載の不正接続防止装置。
（付記９）コンピュータに
予め登録された登録端末を識別する登録端末識別情報を登録端末記憶手段に記憶する手順と、
ネットワーク内での通信を許可された前記登録端末である正常端末を識別する正常端末識別情報を正常端末記憶手段に記憶する手順と、
前記ネットワーク内での通信を許可されていない前記登録端末である違反端末と特別に通信を許可される特定端末を識別する特定端末識別情報を特定端末記憶手段に記憶する手順と、
近隣要請メッセージを受信すると、受信した当該近隣要請メッセージと、前記登録端末記憶手段が記憶する登録端末識別情報と、前記正常端末記憶手段が記憶する前記正常端末識別情報と、前記特定端末記憶手段が記憶する特定端末識別情報に基づいて、該近隣要請メッセージの送信元と目標を判別する手順と、
送信元が前記登録端末でもなく前記特定端末でもない重複アドレス検出の近隣要請メッセージを前記通信手段が受信すると、アドレスが重複している旨を返信する手順と、
前記パケット送信制御手段は、送信元が前記違反端末であって目標が前記特定端末でない近隣要請メッセージを前記通信手段が受信すると、目標のリンク層アドレスを偽りのものに変更する偽近隣広告メッセージを該違反端末に送信する手順と、
を実行させるためのプログラム。
予め登録された登録端末を識別する登録端末識別情報を登録端末記憶手段に記憶する手順と、
ネットワーク内での通信を許可された前記登録端末である正常端末を識別する正常端末識別情報を正常端末記憶手段に記憶する手順と、
前記ネットワーク内での通信を許可されていない前記登録端末である違反端末と特別に通信を許可される特定端末を識別する特定端末識別情報を特定端末記憶手段に記憶する手順と、
近隣要請メッセージを受信すると、受信した当該近隣要請メッセージと、前記登録端末記憶手段が記憶する登録端末識別情報と、前記正常端末記憶手段が記憶する前記正常端末識別情報と、前記特定端末記憶手段が記憶する特定端末識別情報に基づいて、該近隣要請メッセージの送信元と目標を判別する手順と、
送信元が前記登録端末でもなく前記特定端末でもない重複アドレス検出の近隣要請メッセージを前記通信手段が受信すると、アドレスが重複している旨を返信する手順と、
前記パケット送信制御手段は、送信元が前記違反端末であって目標が前記特定端末でない近隣要請メッセージを前記通信手段が受信すると、目標のリンク層アドレスを偽りのものに変更する偽近隣広告メッセージを該違反端末に送信する手順と、
を実行させるためのプログラム。
１０ ネットワーク
１００ 不正接続防止装置
１０１ 制御部
１０２ 通信部
１０３ タイマ
１０４ 入力部
１０５ 登録端末データベース
１０６ 特定端末データベース
１０７ 正常端末データベース
１０８ 不正端末データベース
１１０ 正常端末
１１５ 登録端末
１２０ 違反端末
１２５ 不正端末
１３０ 未登録端末
１４０ パッチサーバ
１５０ ポリシーマネージャ
１００ 不正接続防止装置
１０１ 制御部
１０２ 通信部
１０３ タイマ
１０４ 入力部
１０５ 登録端末データベース
１０６ 特定端末データベース
１０７ 正常端末データベース
１０８ 不正端末データベース
１１０ 正常端末
１１５ 登録端末
１２０ 違反端末
１２５ 不正端末
１３０ 未登録端末
１４０ パッチサーバ
１５０ ポリシーマネージャ
Claims (9)
- ネットワークに接続し、前記ネットワーク内で通信を行う通信手段と、
予め登録された登録端末を識別する登録端末識別情報を記憶する登録端末記憶手段と、
前記ネットワーク内での通信を許可された前記登録端末である正常端末を識別する正常端末識別情報を記憶する正常端末記憶手段と、
前記ネットワーク内での通信を許可されていない前記登録端末である違反端末との通信を特別に許可される特定端末を識別する特定端末識別情報を記憶する特定端末記憶手段と、
前記通信手段が近隣要請メッセージを受信すると、受信した当該近隣要請メッセージと、前記登録端末記憶手段が記憶する登録端末識別情報と、前記正常端末記憶手段が記憶する前記正常端末識別情報と、前記特定端末記憶手段が記憶する特定端末識別情報に基づいて、前記通信手段からパケットを送信するパケット送信制御手段と、
を備え、
前記パケット送信制御手段は、送信元が前記登録端末でもなく前記特定端末でもない未登録端末である重複アドレス検出の近隣要請メッセージを前記通信手段が受信すると、該未登録端末に、アドレスが重複している旨を送信し、
前記パケット送信制御手段は、送信元が前記違反端末であって目標が前記特定端末でない近隣要請メッセージを前記通信手段が受信すると、該違反端末に、該違反端末が目標に対するリンク層アドレスを偽りのものに変更する偽近隣広告メッセージを送信する、
ことを特徴とする不正接続防止装置。 - 前記パケット送信制御手段は、
送信元が前記違反端末であって目標が前記特定端末でない近隣要請メッセージを、前記通信手段が受信すると、
前記偽近隣広告メッセージを該違反端末に送信するとともに、
マルチキャストを受信する端末が該違反端末に対するリンク層アドレスを偽りのものに変更する旨をマルチキャストで送信し、
マルチキャストを受信する端末が該違反端末に対するリンク層アドレスを偽りのものに変更する旨をマルチキャストで送信した後に、前記特定端末が該違反端末に対するリンク層アドレスを正しいものに変更する旨を該特定端末に送信する、
ことを特徴とする請求項１に記載の不正接続防止装置。 - 前記パケット送信制御手段は、
送信元が前記未登録端末である近隣要請メッセージを前記通信手段が受信すると、
前記偽近隣広告メッセージを該未登録端末に送信し、
マルチキャストを受信する端末が該未登録端末に対するリンク層アドレスを偽りのものに変更する旨をマルチキャストで送信する、
ことを特徴とする請求項１または２に記載の不正接続防止装置。 - 前記パケット送信制御手段は、前記正常端末記憶手段を参照し、新規に前記正常端末記憶手段に登録された前記正常端末識別情報を検知すると、該正常端末識別情報で識別される前記正常端末に、該正常端末識別情報で識別される前記正常端末が他の前記正常端末に対するリンク層アドレスを正しいものに変更する旨をマルチキャストで送信する、
ことを特徴とする請求項１乃至３の何れか一項に記載の不正接続防止装置。 - 送信元が前記違反端末で、目標が前記正常端末である近隣要請メッセージを前記通信手段が受信すると、受信した当該近隣要請メッセージの送信元である前記違反端末を識別する違反端末識別情報と、受信した当該近隣要請メッセージの目標である前記正常端末を識別する前記正常端末識別情報とを、対応付けて記憶する違反端末記憶手段と、
送信元が前記未登録端末で、目標が前記正常端末である近隣要請メッセージを前記通信手段が受信すると、受信した当該近隣要請メッセージの送信元である前記未登録端末を識別する未登録端末識別情報と、受信した当該近隣要請メッセージの目標である前記正常端末を識別する前記正常端末識別情報とを、対応付けて記憶する未登録端末記憶手段と、
を更に備え、
前記パケット送信制御手段は、前記違反端末記憶手段が記憶する前記違反端末識別情報と前記正常端末識別情報に基づいて、該正常端末識別情報に識別情報を対応付けられる前記違反端末が前記正常端末識別情報に対するリンク層アドレスを偽りのものに変更する旨を、該正常端末識別情報に識別情報を対応付けられる前記違反端末に、定期的に送信し、
前記パケット送信制御手段は、前記未登録端末記憶手段が記憶する前記未登録端末識別情報と前記正常端末識別情報に基づいて、該正常端末識別情報に識別情報を対応付けられる前記未登録端末が前記正常端末識別情報に対するリンク層アドレスを偽りのものに変更する旨を、該正常端末識別情報に識別情報を対応付けられる前記未登録端末に、定期的に送信する、
ことを特徴とする請求項１乃至４の何れか一項に記載の不正接続防止装置。 - 時刻情報をカウントし、カウントした当該時刻情報を出力する時刻情報カウント手段を更に備え、
前記違反端末記憶手段は、前記時刻情報カウント手段が出力する前記時刻情報に基づいて、近隣要請メッセージを受信してからの経過時間を、当該近隣要請メッセージの送信元の前記違反端末識別情報と、当該近隣要請メッセージの目標の前記正常端末識別情報に、更に対応付けて記憶し、前記経過時間が一定の時間になると、当該経過時間に対応付けられる情報を消去し、
前記未登録端末記憶手段は、前記時刻情報カウント手段が出力する前記時刻情報に基づいて、近隣要請メッセージを受信してからの経過時間を、当該近隣要請メッセージの送信元の前記未登録端末識別情報と、当該近隣要請メッセージの目標の前記正常端末識別情報に、更に対応付けて記憶し、前記経過時間が一定の時間になると、当該経過時間に対応付けられる情報を消去する、
ことを特徴とする請求項５に記載の不正接続防止装置。 - 前記ネットワークに接続する端末の登録を受け付け、登録を受け付けた前記端末を識別する端末識別情報を出力する端末登録手段を、
更に備え、
前記登録端末記憶手段は、前記端末登録手段が出力する前記端末識別情報を受信し、受信した当該端末識別情報を記憶する、
ことを特徴とする請求項１乃至６の何れか一項に記載の不正接続防止装置。 - 前記ネットワーク内の端末の前記ネットワーク内における通信の可否を判定する基準である接続判定基準を記憶する接続判定基準記憶手段と、
前記接続判定基準記憶手段が記憶する前記接続判定基準に基づいて、前記登録端末の前記ネットワーク内での通信の可否を繰り返し判定し、前記登録端末の前記ネットワークで通信が可であると判定されると、該登録端末を識別する前記登録端末識別情報を判定毎に出力する正常端末判定手段と、
を更に備え、
前記正常端末記憶手段は、前記正常端末判定手段が判定毎に出力する前記登録端末識別情報を受信し、受信した当該登録端末識別情報に基づいて、記憶する前記正常端末識別情報を更新し、
前記パケット送信制御手段は、前記通信手段が近隣要請メッセージを受信すると、前記通信手段が受信した当該近隣要請メッセージと、前記登録端末記憶手段が記憶する登録端末識別情報と、前記正常端末記憶手段が更新した最新の前記正常端末識別情報と、前記特定端末記憶手段が記憶する特定端末識別情報に基づいて、前記通信手段からパケットを送信する、
ことを特徴とする請求項１乃至７の何れか一項に記載の不正接続防止装置。 - コンピュータに
予め登録された登録端末を識別する登録端末識別情報を登録端末記憶手段に記憶する手順と、
ネットワーク内での通信を許可された前記登録端末である正常端末を識別する正常端末識別情報を正常端末記憶手段に記憶する手順と、
前記ネットワーク内での通信を許可されていない前記登録端末である違反端末と特別に通信を許可される特定端末を識別する特定端末識別情報を特定端末記憶手段に記憶する手順と、
近隣要請メッセージを受信すると、受信した当該近隣要請メッセージと、前記登録端末記憶手段が記憶する登録端末識別情報と、前記正常端末記憶手段が記憶する前記正常端末識別情報と、前記特定端末記憶手段が記憶する特定端末識別情報に基づいて、該近隣要請メッセージの送信元と目標を判別する手順と、
送信元が前記登録端末でもなく前記特定端末でもない重複アドレス検出の近隣要請メッセージを前記通信手段が受信すると、アドレスが重複している旨を返信する手順と、
前記パケット送信制御手段は、送信元が前記違反端末であって目標が前記特定端末でない近隣要請メッセージを前記通信手段が受信すると、該違反端末が目標のリンク層アドレスを偽りのものに変更する偽近隣広告メッセージを該違反端末に送信する手順と、
を実行させるためのプログラム。
Priority Applications (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP2010081430A JP5509999B2 (ja) | 2010-03-31 | 2010-03-31 | 不正接続防止装置及びプログラム |
Applications Claiming Priority (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP2010081430A JP5509999B2 (ja) | 2010-03-31 | 2010-03-31 | 不正接続防止装置及びプログラム |
Publications (2)
| Publication Number | Publication Date |
|---|---|
| JP2011217016A JP2011217016A (ja) | 2011-10-27 |
| JP5509999B2 true JP5509999B2 (ja) | 2014-06-04 |
Family
ID=44946339
Family Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| JP2010081430A Active JP5509999B2 (ja) | 2010-03-31 | 2010-03-31 | 不正接続防止装置及びプログラム |
Country Status (1)
| Country | Link |
|---|---|
| JP (1) | JP5509999B2 (ja) |
Families Citing this family (3)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| KR101312074B1 (ko) | 2012-12-06 | 2013-09-25 | (주)넷맨 | Mac주소 정보를 감시하면서 복구하는 방법 |
| WO2016170598A1 (ja) * | 2015-04-21 | 2016-10-27 | 株式会社Pfu | 情報処理装置、方法およびプログラム |
| JP7444600B2 (ja) | 2019-12-25 | 2024-03-06 | アズビル株式会社 | 検出装置および検出方法 |
Family Cites Families (2)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| JP4179300B2 (ja) * | 2005-03-31 | 2008-11-12 | 日本電気株式会社 | ネットワーク管理方法および装置並びに管理プログラム |
| JP2006352719A (ja) * | 2005-06-20 | 2006-12-28 | Hitachi Ltd | ネットワーク監視装置，ネットワーク監視方法，ネットワークシステム及びネットワーク監視方法及びネットワーク通信方法 |
-
2010
- 2010-03-31 JP JP2010081430A patent/JP5509999B2/ja active Active
Also Published As
| Publication number | Publication date |
|---|---|
| JP2011217016A (ja) | 2011-10-27 |
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| US7694343B2 (en) | Client compliancy in a NAT environment | |
| US7836501B2 (en) | Client compliancy with self-policing clients | |
| JP4327630B2 (ja) | インターネット・プロトコルを用いたストレージエリア・ネットワーク・システム、セキュリティ・システム、セキュリティ管理プログラム、ストレージ装置 | |
| KR101270041B1 (ko) | Ａｒｐ 스푸핑 공격 탐지 시스템 및 방법 | |
| US6754716B1 (en) | Restricting communication between network devices on a common network | |
| US7725932B2 (en) | Restricting communication service | |
| US20050283831A1 (en) | Security system and method using server security solution and network security solution | |
| US20050050365A1 (en) | Network unauthorized access preventing system and network unauthorized access preventing apparatus | |
| JP4179300B2 (ja) | ネットワーク管理方法および装置並びに管理プログラム | |
| US10630700B2 (en) | Probe counter state for neighbor discovery | |
| CN101827138A (zh) | 一种优化的ipv6过滤规则处理方法和设备 | |
| US20070294699A1 (en) | Conditionally reserving resources in an operating system | |
| KR20080071208A (ko) | 소프트웨어 실행 관리 장치, 그 방법 및 프로그램 | |
| Song et al. | Novel duplicate address detection with hash function | |
| Nam et al. | Mitigating ARP poisoning-based man-in-the-middle attacks in wired or wireless LAN | |
| US8234503B2 (en) | Method and systems for computer security | |
| JP5509999B2 (ja) | 不正接続防止装置及びプログラム | |
| JP4767683B2 (ja) | 中継装置、不正アクセス防止装置、およびアクセス制御プログラム | |
| CN107395615B (zh) | 一种打印机安全防护的方法和装置 | |
| JP4321375B2 (ja) | アクセス制御システム、アクセス制御方法、およびアクセス制御プログラム | |
| JP5267893B2 (ja) | ネットワーク監視システム、ネットワーク監視方法、及びネットワーク監視プログラム | |
| JP2009225045A (ja) | 通信妨害装置及び通信妨害プログラム | |
| JP2008227600A (ja) | 通信妨害装置及び通信妨害プログラム | |
| JP5540679B2 (ja) | ネットワーク機器、通信制御方法、及びプログラム | |
| Kalil | Policy Creation and Bootstrapping System for Customer Edge Switching |
Legal Events
| Date | Code | Title | Description |
|---|---|---|---|
| A621 | Written request for application examination |
Free format text: JAPANESE INTERMEDIATE CODE: A621 Effective date: 20121107 |
|
| A977 | Report on retrieval |
Free format text: JAPANESE INTERMEDIATE CODE: A971007 Effective date: 20130913 |
|
| A131 | Notification of reasons for refusal |
Free format text: JAPANESE INTERMEDIATE CODE: A131 Effective date: 20130924 |
|
| TRDD | Decision of grant or rejection written | ||
| A01 | Written decision to grant a patent or to grant a registration (utility model) |
Free format text: JAPANESE INTERMEDIATE CODE: A01 Effective date: 20140225 |
|
| A61 | First payment of annual fees (during grant procedure) |
Free format text: JAPANESE INTERMEDIATE CODE: A61 Effective date: 20140310 |
|
| R150 | Certificate of patent or registration of utility model |
Ref document number: 5509999 Country of ref document: JP Free format text: JAPANESE INTERMEDIATE CODE: R150 |