JP5826920B2

JP5826920B2 - 遮断サーバを用いたスプーフィング攻撃に対する防御方法

Info

Publication number: JP5826920B2
Application number: JP2014510237A
Authority: JP
Inventors: ジュンセオブキム; ウーヤンジュン
Original assignee: ESTsoft Corp
Current assignee: ESTsoft Corp
Priority date: 2011-05-12
Filing date: 2012-03-08
Publication date: 2015-12-02
Anticipated expiration: 2032-03-08
Also published as: JP2014517593A; US9038182B2; KR20120126674A; DE112012002054T5; WO2012153913A1; US20140325651A1; KR101231975B1

Description

本発明は、遮断サーバを用いたスプーフィング（なりすまし）攻撃に対する防御方法に係り、さらに詳しくは、ネットワーク網の内部のクライアントに受信されるＡＲＰパケットに含まれているＩＰ及びＭＡＣアドレスを検査して、スプーフィング攻撃に用いられるものであると確認されれば、正常のＩＰアドレスと対応するＭＡＣアドレスに変更することを特徴とする遮断サーバを用いたスプーフィング攻撃に対する防御方法に関する。

インターネットの使用がますます増大するに伴い、ハッキングの技術もまた増大しており、現在に至ってはハッキングプログラムなどがネットワーク上に散在する状況にまで至ってしまい、今度は、専門家ではなく、一般人もハッカーになりうるという状況に至ってしまった。

このように、ＤｏＳ、ＤＤｏＳ、スニッフィングまたはハイジャックなどのハッキングのために用いられる根本的な手段が、ＡＲＰまたはＩＰスプーフィングである。これらのうち、アドレス解決プロトコル（ＡＲＰ：ＡｄｄｒｅｓｓＲｅｓｏｌｕｔｉｏｎＰｒｏｔｏｃｏｌ）スプーフィングは、発信者（送り手）のハードウェアアドレスと発信者のＩＰアドレスを操作することであり、ローカルネットワークにおいて、他のシステムのＩＰアドレスに対して、攻撃システムのＭＡＣアドレスをＡＲＰリプライパケットのソース情報として用いて、ローカルネットワーク内の他のルータやスイッチ、ホストのＡＲＰテーブルを変更することにより、攻撃システムのＩＰアドレスではないパケットを、攻撃システムのＭＡＣアドレスを付けて攻撃システムに転送する攻撃技法である。

また、ＩＰスプーフィングは、自分のソースＩＰを変更して他のシステムに自分が誰であるか隠したり、他のシステムであると誤認させたりする攻撃のための手段として用いられる。

現在、ＡＲＰやＩＰスプーフィング攻撃による被害は、ハッキング被害のほとんどを占めると認められ、誰かがインターネットに載っているスプーフィングツールを用いて特定のホストを攻撃したり、網内にある情報を盗み見することによりセキュリティが維持されるべき個人情報が盗用されやすくなったりするのが現状である。

例えば、ＡＲＰスプーフィングを用いて同じ内部ネットワークに接続された他のホストにおいて行われる種々のＩＰパケットを盗み見することにより、個人情報が流出される虞があり、金融情報さえ露出される危険があり、特定のサーバの管理者レベルのＩＤ及びパスワードを盗み見することにより、サーバ情報を自分勝手に操作することが可能であるのが現状である。さらには、ＩＰスプーフィングを行って外部ネットワーク上において行われるオンライン作業を盗み見する場合に一層多くのシステムが攻撃に露出されやすくなる。

このようなスプーフィングを防ぐために現在用いられている技法としては、フィルタリング機能付きルータを用いて、外部網から入ってくるＩＰパケットに対してそれぞれのポートに接続されたホストに関する個別のＩＰアドレスを用いることなく、ローカルネットワークに割り当てられたＩＰネットワークアドレス及びマスクを用いてフィルタリングを行う方法がある。しかしながら、前記方法は、フィルタリングに各ホストの個別のＩＰアドレスではなく、ローカルネットワークアドレスを用いるため、攻撃者が任意のローカルネットワークの他のアドレスを用いてスプーフィングを行う場合に、これを突き止めることができないだけではなく、ＡＲＰスプーフィングに対しては全く対応することができないという問題点があった。

上述した問題点を解消するための本発明は、各クライアントＰＣが遮断サーバから得たネットワーク網内の全てのクライアントＰＣの有効なＩＰ−ＭＡＣアドレス情報を含んでいる許容ＩＰ−ＭＡＣアドレス一覧及び遮断ＭＡＣアドレス一覧を用いてＡＲＰテーブル及びＡＲＰパケットを検査することにより、ＡＲＰスプーフィング攻撃にリアルタイムにてまたは事後に対応できるようにする遮断サーバを用いたスプーフィング攻撃に対する防御方法を提供することを目的とする。

また、本発明は、許容ＩＰ−ＭＡＣアドレス一覧及び遮断ＩＰ−ＭＡＣアドレス一覧を遮断サーバまたは各クライアントに格納して遮断サーバやクライアントが独自的にスプーフィング攻撃を監視及び遮断できるようにする遮断サーバを用いたスプーフィング攻撃に対する防御方法を提供することを目的とする。

上述の問題点を解消するために案出された本発明は、ネットワーク網の内部のＬ２スイッチ１０４を介して中継されるＡＲＰパケットに含まれているＩＰアドレス及びＭＡＣアドレスを検査して、スプーフィング攻撃がなされていると判断されれば、前記ＡＲＰパケットの伝送を遮断する防御方法であって、遮断サーバ１０８のアドレス収集部１０８−１が、前記ネットワーク網の内部に接続されたクライアント１０６のＩＰアドレス及びＭＡＣアドレスを収集する第１ステップと、前記アドレス収集部１０８−１が、前記第１ステップにおいて収集した前記ＩＰアドレス及び前記ＭＡＣアドレスを互いに対応付けた許容ＩＰ−ＭＡＣアドレス一覧を生成し、前記許容ＩＰ−ＭＡＣアドレス一覧を許容アドレスＤＢ１０８−３に格納する第２ステップと、前記アドレス収集部１０８−１が、前記ネットワーク網の内部に接続されたクライアント１０６のうち、スプーフィング攻撃をする攻撃者が用いるクライアント１０６のＭＡＣアドレスに関する情報である遮断ＭＡＣアドレス一覧を遮断アドレスＤＢ１０８−４に格納する第３ステップと、前記クライアント１０６にＡＲＰパケットが流入すれば、前記クライアント１０６のＡＲＰパケット処理部１０６−１ｃは、前記ＡＲＰパケットに含まれている送信者のＩＰアドレス及びＭＡＣアドレスを抽出して前記遮断サーバ１０８に伝送しながらスプーフィング攻撃有無の検査を要請する第４ステップと、遮断サーバ１０８のアドレス検査部１０８−２の検査結果、前記第４ステップにおいて抽出された送信者のＭＡＣアドレスが前記遮断アドレスＤＢ１０８−４に格納された遮断ＭＡＣアドレス一覧に含まれている場合に、前記ＡＲＰパケットが感染ＡＲＰパケットであるということを前記遮断サーバ１０８が前記クライアント１０６に通報する第５ステップと、前記ＡＲＰパケット処理部１０６−１ｃが、前記感染ＡＲＰパケットの送受信を遮断する第６ステップと、を含む。

前記第５ステップは、前記第４ステップにおいて抽出された送信者のＭＡＣアドレスが前記遮断ＭＡＣアドレス一覧に含まれていない場合に、前記送信者のＩＰアドレス及びＭＡＣアドレスが前記許容ＩＰ−ＭＡＣアドレス一覧にないか、あるいは、前記送信者のＩＰアドレス及びＭＡＣアドレスが前記許容ＩＰ−ＭＡＣアドレス一覧にマッピングされてアドレス対として格納されている許容ＩＰ−ＭＡＣアドレスの構成と異なれば、前記ＡＲＰパケットを疑いのあるＡＲＰパケットとして定義する第５−１ステップと、前記アドレス検査部１０８−２が、単位時間の間に前記クライアント１０６に流入したＡＲＰパケットのうち、前記疑いのあるＡＲＰパケットに含まれている送信者のＭＡＣアドレスと同じ送信者のＭＡＣアドレスを有するＡＲＰパケットの伝送数を累積する第５−２ステップと、所定の時間の間に累積された伝送数が臨界値を超える場合に、前記疑いのあるＡＲＰパケットを感染ＡＲＰパケットとして分類する第５−３ステップと、をさらに含む。

他の実施形態に係る本発明は、ネットワーク網の内部のＬ２スイッチ１０４を介して中継されるＡＲＰパケットに含まれているＩＰアドレス及びＭＡＣアドレスを検査して、スプーフィング攻撃がなされていると判断されれば、前記ＡＲＰパケットの伝送を遮断する防御方法であって、遮断サーバ１０８のアドレス収集部１０８−１が、前記ネットワーク網の内部に接続されたクライアント１０６のＩＰアドレス及びＭＡＣアドレスを収集する第１ステップと、前記アドレス収集部１０８−１が、前記第１ステップにおいて収集した前記ＩＰアドレス及び前記ＭＡＣアドレスを互いに対応付けた許容ＩＰ−ＭＡＣアドレス一覧を生成し、前記許容ＩＰ−ＭＡＣアドレス一覧を許容アドレスＤＢ１０８−３に格納する第２ステップと、前記アドレス収集部１０８−１が、前記ネットワーク網の内部に接続されたクライアント１０６のうち、スプーフィング攻撃をする攻撃者が用いるクライアント１０６のＭＡＣアドレスに関する情報である遮断ＭＡＣアドレス一覧を遮断アドレスＤＢ１０８−４に格納する第３ステップと、前記クライアント１０６のＡＲＰテーブル保護部１０６−１ｂが、前記クライアント１０６のＡＲＰテーブルに含まれているＡＲＰエントリのＩＰアドレス及びＭＡＣアドレスを抽出して前記遮断サーバ１０８に伝送しながらスプーフィング攻撃有無の検査を要請する第４ステップと、遮断サーバ１０８のアドレス検査部１０８−２の検査結果、前記第４ステップにおいて抽出されたＭＡＣアドレスが前記遮断アドレスＤＢ１０８−４に格納された遮断ＭＡＣアドレス一覧に含まれている場合に、前記ＡＲＰエントリが感染ＡＲＰエントリであるということを前記遮断サーバ１０８が前記クライアント１０６に通報する第５ステップと、前記ＡＲＰテーブル保護部１０６−１ｂが、前記感染ＡＲＰエントリに含まれているＩＰアドレスを抽出し、前記抽出されたＩＰアドレスと対応付けられて格納された正常ＭＡＣアドレスを前記許容ＩＰ−ＭＡＣアドレス一覧から照会する第６ステップと、前記ＡＲＰテーブル保護部１０６−１ｂが、前記感染ＡＲＰエントリのＭＡＣアドレスを前記照会された正常ＭＡＣアドレスに変更する第７ステップと、を含む。

さらに他の実施形態に係る本発明は、ネットワーク網の内部のＬ２スイッチ１０４を介して中継されるＡＲＰパケットに含まれているＩＰアドレス及びＭＡＣアドレスを検査してスプーフィング攻撃がなされていると判断されれば、前記ＡＲＰパケットの伝送を遮断する防御方法であって、遮断サーバ１０８のアドレス収集部１０８−１が、前記ネットワーク網の内部に接続されたクライアント１０６のＩＰアドレス及びＭＡＣアドレスを収集する第１ステップと、前記アドレス収集部１０８−１が、前記第１ステップにおいて収集した前記ＩＰアドレス及び前記ＭＡＣアドレスを互いに対応付けた許容ＩＰ−ＭＡＣアドレス一覧を生成し、前記許容ＩＰ−ＭＡＣアドレス一覧を前記クライアント１０６の許容アドレスＤＢ１０６−１ｄに格納する第２ステップと、前記アドレス収集部１０８−１が、前記ネットワーク網の内部に接続されたクライアント１０６のうち、スプーフィング攻撃をする攻撃者が用いるクライアント１０６のＭＡＣアドレスに関する情報である遮断ＭＡＣアドレス一覧を前記クライアント１０６の遮断アドレスＤＢ１０６−１ｅに格納する第３ステップと、前記クライアント１０６にＡＲＰパケットが流入すれば、前記クライアント１０６のＡＲＰパケット処理部１０６−１ｃは、前記ＡＲＰパケットに含まれている送信者のＩＰアドレス及びＭＡＣアドレスを抽出してスプーフィング攻撃の有無を検査する第４ステップと、前記第４ステップにおいて抽出された送信者のＭＡＣアドレスが前記遮断ＭＡＣアドレス一覧に含まれている場合に、前記ＡＲＰパケット処理部１０６−１ｃが、前記ＡＲＰパケットを感染ＡＲＰパケットとして分類する第５ステップと、前記ＡＲＰパケット処理部１０６−１ｃが、前記感染ＡＲＰパケットの送受信を遮断する第６ステップと、を含む。

前記第５ステップは、前記第４ステップにおいて抽出された送信者のＭＡＣアドレスが前記遮断ＭＡＣアドレス一覧に含まれていない場合に、前記送信者のＩＰアドレス及びＭＡＣアドレスが前記許容ＩＰ−ＭＡＣアドレス一覧にないか、あるいは、前記送信者のＩＰアドレス及びＭＡＣアドレスが前記許容ＩＰ−ＭＡＣアドレス一覧にマッピングされてアドレス対として格納されている許容ＩＰ−ＭＡＣアドレスの構成と異なれば、前記ＡＲＰパケットを疑いのあるＡＲＰパケットとして定義する第５−１ステップと、前記ＡＲＰパケット処理部１０６−１ｃが、単位時間の間に前記クライアント１０６に流入したＡＲＰパケットのうち、前記疑いのあるＡＲＰパケットに含まれている送信者のＭＡＣアドレスと同じ送信者ＭＡＣアドレスを有するＡＲＰパケットの伝送数を累積する第５−２ステップと、所定の時間の間に累積された伝送数が臨界値を超える場合に、前記疑いのあるＡＲＰパケットを感染ＡＲＰパケットとして分類する第５−３ステップと、をさらに含む。

さらに他の実施形態に係る本発明は、ネットワーク網の内部のＬ２スイッチ１０４を介して中継されるＡＲＰパケットに含まれているＩＰアドレス及びＭＡＣアドレスを検査してスプーフィング攻撃がなされていると判断されれば、前記ＡＲＰパケットの伝送を遮断する防御方法であって、遮断サーバ１０８のアドレス収集部１０８−１が、前記ネットワーク網の内部に接続されたクライアント１０６のＩＰアドレス及びＭＡＣアドレスを収集する第１ステップと、前記アドレス収集部１０８−１が、前記第１ステップにおいて収集した前記ＩＰアドレス及び前記ＭＡＣアドレスを互いに対応付けた許容ＩＰ−ＭＡＣアドレス一覧を生成し、前記許容ＩＰ−ＭＡＣアドレス一覧を前記クライアント１０６の許容アドレスＤＢ１０６−１ｄに格納する第２ステップと、前記アドレス収集部１０８−１が、前記ネットワーク網の内部に接続されたクライアント１０６のうち、スプーフィング攻撃をする攻撃者が用いるクライアント１０６のＭＡＣアドレスに関する情報である遮断ＭＡＣアドレス一覧を前記クライアント１０６の遮断アドレスＤＢ１０６−１ｅに格納する第３ステップと、前記クライアント１０６のＡＲＰテーブル保護部１０６−１ｂが、前記クライアント１０６のＡＲＰテーブルに含まれているＡＲＰエントリのＩＰアドレス及びＭＡＣアドレスを抽出してスプーフィング攻撃の有無を検査する第４ステップと、前記第４ステップにおいて抽出されたＭＡＣアドレスが前記遮断ＭＡＣアドレス一覧に含まれている場合に、前記ＡＲＰテーブル保護部１０６−１ｂが、前記ＡＲＰエントリを感染ＡＲＰエントリとして分類する第５ステップと、前記ＡＲＰテーブル保護部１０６−１ｂが、前記感染ＡＲＰエントリに含まれているＩＰアドレスを抽出し、前記抽出されたＩＰアドレスと対応付けられて格納された正常ＭＡＣアドレスを前記許容ＩＰ−ＭＡＣアドレス一覧から照会する第６ステップと、前記ＡＲＰテーブル保護部１０６−１ｂが、前記感染ＡＲＰエントリのＭＡＣアドレスを前記照会された正常ＭＡＣアドレスに変更する第７ステップと、を含む。

さらに他の実施形態に係る本発明は、ネットワーク網の内部のＬ２スイッチ１０４を介して中継されるＡＲＰパケットに含まれているＩＰアドレス及びＭＡＣアドレスを検査してスプーフィング攻撃がなされていると判断されれば、前記ＡＲＰパケットの伝送を遮断する防御方法であって、特定のクライアント１０６に設けられている装置のＩＰアドレス及びＭＡＣアドレスを収集する第１ステップと、第１ステップにおいて収集した前記ＩＰアドレス及び前記ＭＡＣアドレスを互いに対応付けたローカルＩＰ−ＭＡＣアドレス一覧を前記クライアント１０６の許容アドレスＤＢ１０６−１ｄに格納する第２ステップと、前記特定のクライアント１０６からＡＲＰパケットが送信されるとき、前記特定のクライアント１０６のＡＲＰパケット処理部１０６−１ｃは、前記送信されるＡＲＰパケットに含まれている送信者のＩＰアドレス及びＭＡＣアドレスを抽出してスプーフィング攻撃の有無を検査する第２ステップと、第２ステップにおいて抽出された送信者のＩＰアドレスが前記ローカルＩＰ−ＭＡＣアドレス一覧に含まれていないか、あるいは、抽出された送信者のＩＰアドレスと同じＩＰアドレスに対応付けられて格納されたＭＡＣアドレスが前記送信されるＡＲＰパケットに含まれている送信者のＭＡＣアドレスとは異なる場合に、前記ＡＲＰパケット処理部１０６−１ｃが、前記送信されるＡＲＰパケットを感染ＡＲＰパケットとして分類する第３ステップと、前記ＡＲＰパケット処理部１０６−１ｃが、前記感染ＡＲＰパケットの送信を遮断する第４ステップと、を含む。

本発明によれば、ネットワーク網に対するスプーフィング攻撃を遮断するに当たって、ネットワーク網に接続された正常ハードウェアに関するＩＰアドレス及びＭＡＣアドレスを予め格納して監視することができるので、早い時間内に正確な防御が可能になるという効果がある。

また、遮断サーバだけではなく、それぞれのクライアントにも許容アドレス一覧及び遮断アドレス一覧を格納し、それぞれのクライアントが攻撃の感知と防御を行うことができるので、遮断サーバの負荷を低減し、攻撃への対応時間を短縮することができるという効果がある。

本発明の実施形態に係る遮断サーバが含まれているネットワーク網の構成要素を示すブロック図。図１の遮断サーバの構成要素を示すブロック図。図１のクライアントの構成要素を示すブロック図。スプーフィング攻撃を遮断する過程を示す手順図。スプーフィング攻撃であると疑われるパケットを監視する過程を示す手順図。

以下、添付図面に基づき、本発明の実施形態に係る「遮断サーバを用いたスプーフィング攻撃に対する防御方法」（以下、「防御方法」と称する。）について説明する。

図１は、本発明の実施形態に係る遮断サーバが含まれているネットワーク網の構成要素を示すブロック図であり、図２は、図１の遮断サーバの構成要素を示すブロック図であり、そして図３は、図１のクライアントの構成要素を示すブロック図である。

本発明の実施形態に係るスプーフィング攻撃に対する防御方法は、ネットワーク網に含まれているＬ２スイッチ１０４の下端に接続されたクライアント１０６と、それぞれのクライアント１０６と接続された遮断サーバ１０８と、手動で遮断対象を入力する管理者端末１１０と、によって行われる。クライアント１０６は、クライアント１１０６−１からクライアントＮ１０６−ＮまでのＮ個の端末から構成される。

クライアント１１０６−１〜クライアントＮ１０６−Ｎは、ＡＲＰを介して互いにＩＰパケットを送受する。このために、ＡＲＰパケットには、クライアント１１０６−１〜クライアントＮ１０６−ＮのＩＰアドレスとマッピングされたＭＡＣアドレスが含まれる。

遮断サーバ１０８は、ＩＰ−ＭＡＣアドレス一覧収集手順によりクライアント１０６または管理者端末１１０から有効なＩＰ−ＭＡＣアドレス一覧を受け取り、これを基に許容ＩＰ−ＭＡＣアドレス一覧を構成する。遮断サーバ１０８は、許容ＩＰ−ＭＡＣアドレス一覧を有していて、Ｌ２スイッチ１０４を介して出入するＡＲＰパケットを検査してスプーフィング攻撃であるか否かを判断する。

遮断サーバ１０８は、許容ＩＰ−ＭＡＣアドレス一覧をそれぞれのクライアント１０６に伝送して格納するようにし、クライアント１０６が直接的にスプーフィング攻撃を監視できるようにしてもよい。

本発明においては、クライアント１０６のＩＰアドレスと、これに対応するＭＡＣアドレス（それぞれのクライアントに設けられたアダプタのＭＡＣアドレス）とを組み合わせて「ＩＰ−ＭＡＣアドレス」とする。

クライアント１０６は、ＡＲＰスプーフィング攻撃検査ステップにおいて、ＡＲＰテーブル保護部１０６−１ｂ及びＡＲＰパケット処理部１０６−１ｃを介してＡＲＰテーブルの感染有無を検査し、クライアント１０６に出入するＡＲＰパケットを検査する。

ＡＲＰテーブル保護部１０６−１ｂは、クライアント１０６に設けられたＡＲＰテーブルの全てのＡＲＰエントリを把握する。ＡＲＰエントリの把握は、周期的に行われてもよく、遮断アドレスに関する情報が更新される度に行われてもよい。ＡＲＰエントリのうち、感染ＡＲＰエントリがある場合には、攻撃遮断過程が行われる。

ＡＲＰパケット処理部１０６−１ｃは、ＡＲＰパケットがクライアント１０６に入ってくる度にＡＲＰパケットの感染有無を検査する。

検査過程において発見された感染ＡＲＰエントリあるいは感染ＡＲＰパケットは、遮断サーバ１０８によってＡＲＰスプーフィング攻撃遮断ステップにおいて処理され（図４参照）、疑いのあるＡＲＰエントリあるいは疑いのあるＡＲＰパケットは、疑いのあるＭＡＣアドレス確認要請ステップにおいて処理される（図５参照）。

図４は、スプーフィング攻撃を遮断する過程を示す手順図であり、図５は、スプーフィング攻撃であると疑われるパケットを監視する過程を示す手順図である。

以下、図１乃至図５に基づき、本発明の実施形態に係る遮断サーバ１０８の動作過程について説明する。

遮断サーバ１０８は、ネットワーク網の内部の全てのクライアント１０６のＩＰ−ＭＡＣアドレス一覧を収集して格納する（ステップＳ１０２）。遮断サーバ１０８が収集する対象は、ローカルネットワークを構成する全ての端末を網羅し、一つのルータ１０２の下部に接続された全てのＬ２スイッチ１０４及びクライアント１０６をも含む。

このために、ネットワーク網に含まれているクライアント１０６は、自分のＩＰアドレス及び全てのアダプタハードウェアのＭＡＣアドレスを収集して遮断サーバ１０８に伝送する。

ＩＰ−ＭＡＣアドレスの収集及び伝送は、自動的に（周期的に）行われてもよく、装備の交替や追加などの所定のイベントが発生したときに行われてもよい。

クライアント１０６は、新たなアダプタを追加したり既存のアダプタを除去することによりアダプタ情報の変更が感知される場合に変更された最新のＩＰ−ＭＡＣアドレスを遮断サーバ１０８に伝送する。

ＩＰ−ＭＡＣアドレスの収集は、管理者によって手動で行われてもよいが、ネットワーク網の管理者は、ネットワーク網に接続された１台以上の個別のクライアント１０６−１〜１０６−Ｎに関するＩＰ−ＭＡＣアドレスを収集して管理者端末１１０を介して遮断サーバ１０８に手動で入力する。

クライアント１０６によって自動的に収集されたり管理者によって手動で入力されたＩＰ−ＭＡＣアドレス情報は、遮断サーバ１０８に格納される。アドレス収集部１０８−１は、クライアント１０６または管理者端末１１０から入力される有効なＩＰ−ＭＡＣアドレス一覧を受け取る。

遮断サーバ１０８に格納されるＩＰ−ＭＡＣアドレス情報は、ネットワーク網に含まれている装置（スイッチ、クライアント）に関する有効なアドレス情報であるため、データパケットの交換が許容されるホワイトリストとなる。

本発明においては、歪曲されていない真のＩＰ−ＭＡＣアドレス一覧を許容ＩＰ−ＭＡＣアドレス一覧として定義し、許容ＩＰ−ＭＡＣアドレス一覧のうち、特定のクライアント１０６に設けられている装置に関するアドレス情報を当該のクライアント１０６のローカルＩＰ−ＭＡＣアドレス一覧であると称する。

ローカルＩＰ−ＭＡＣアドレス一覧は、主として特定のクライアント１０６によって自動的に生成されて遮断サーバ１０８に送られる。許容ＩＰ−ＭＡＣアドレス一覧のうち、ローカルＩＰ−ＭＡＣアドレス一覧を除く残りの一覧は、管理者が手動で入力したり、クライアント１０６が攻撃監視過程において取得して入力したり、外部機関のセキュリティシステムから入手して格納する。

ローカルＩＰ−ＭＡＣアドレス一覧を特に別途に保管する理由は、クライアント１０６からのＡＲＰパケットの感染有無を確認するためである。クライアント１０６自身の全ての装置に関するＭＡＣアドレスを有している状況下で、クライアント１０６が他のホストに向かってＡＲＰパケットを送信するとき、送信されるＡＲＰパケットに含まれている送信者のＩＰアドレスがローカルＩＰ−ＭＡＣアドレス一覧に含まれていないか、あるいは、送信者のＩＰアドレスと同じＩＰアドレスに対応付けられて格納されたＭＡＣアドレスが送信されるＡＲＰパケットに含まれている送信者のＭＡＣアドレスとは異なれば、クライアント１０６自身が既にスプーフィング攻撃を受けてＩＰアドレス及びＭＡＣアドレスの変更がなされていると認められる。このときには、直ちにＡＲＰパケットの送信を遮断しなければならないが、このために、ローカルＩＰ−ＭＡＣアドレス一覧を別途に管理することが好ましい。

許容ＩＰ−ＭＡＣアドレス一覧のＩＰアドレス及びＭＡＣアドレスの関係は、１：Ｎの関係である。すなわち、一つのＩＰアドレスを有するクライアント１０６に独立したＭＡＣアドレスを有する多数のアダプタが設けられうるため、一つのＩＰアドレスと多数のＭＡＣアドレスがそれぞれのアドレス対として格納されうる。

遮断サーバ１０８は、許容ＩＰ−ＭＡＣアドレス一覧を管理するために自動的にクライアント１０６に許容ＩＰ−ＭＡＣアドレス一覧を要請して受け取る方式や、管理者が手動で許容ＩＰ−ＭＡＣアドレス一覧を入力すればこれを格納する方式に対応可能である。

一方、Ｌ２スイッチ１０４を介して中継されるＡＲＰパケットのイーサネットヘッダに記録された出発地（送信者）のＭＡＣアドレスがスプーフィング攻撃に用いられるものである場合には、遮断ＭＡＣアドレス一覧に追加することにより今後のさらなる攻撃を防ぐことができる。

スプーフィング攻撃を試みる端末は、ネットワーク網に含まれているクライアント１０６のうちの一つであり、本発明における遮断ＭＡＣアドレス一覧とは、攻撃者が用いるクライアント１０６のハードウェアアドレスを意味する。遮断ＭＡＣアドレス一覧は、遮断サーバ１０８による持続的な監視と管理者の入力などにより生成及び追加可能である。

ＩＰアドレスとこれに対応するＭＡＣアドレスを対にして対応付けて格納する許容ＩＰ−ＭＡＣアドレス一覧とは異なり、遮断ＭＡＣアドレス一覧には、パケット転送が遮断されるＭＡＣアドレスのみ記載される。これは、攻撃者がＩＰアドレスを任意に変調してＡＲＰパケットに含める場合にも同じＭＡＣアドレスを有するＬ２スイッチ１０４にデータが伝送されてスプーフィング攻撃が行われるため、これを防ぐために、ＩＰアドレスとは無関係に同じＭＡＣアドレスを有するＬ２スイッチ１０４にデータパケットが伝送されないようにするためである。

遮断サーバ１０８は、許容ＩＰ−ＭＡＣアドレス一覧及び遮断ＭＡＣアドレス一覧をそれぞれ許容アドレスＤＢ１０８−３及び遮断アドレスＤＢ１０８−４に格納する。遮断サーバ１０８は、二つのＤＢ１０８−３、１０８−４に格納された許容ＩＰ−ＭＡＣアドレス一覧及び遮断ＭＡＣアドレス一覧を基にネットワーク網を出入するＡＲＰパケットの感染有無を確認する。

また、遮断サーバ１０８は、特定のクライアント１０６がネットワーク網に接続される時点を通知されたとたんに、当該クライアント１０６に許容ＩＰ−ＭＡＣアドレス一覧及び遮断ＭＡＣアドレス一覧を伝送する。

許容ＩＰ−ＭＡＣアドレス一覧及び遮断ＭＡＣアドレス一覧に変動が発生すれば、遮断サーバ１０８は、ネットワーク網に含まれている全てのクライアント１０６に変動された許容ＩＰ−ＭＡＣアドレス一覧及び遮断ＩＰ−ＭＡＣアドレス一覧を伝送する。

クライアント１０６に伝送された許容ＩＰ−ＭＡＣアドレス一覧及び遮断ＭＡＣアドレス一覧は、クライアント１０６の内部に存在する許容アドレスＤＢ１０６−１ｄ及び遮断アドレスＤＢ１０６−１ｅにそれぞれ格納される。クライアント１０６に許容ＩＰ−ＭＡＣアドレス一覧及び遮断ＭＡＣアドレス一覧を伝送して格納するようにすることは選択的に採択しうるポリシーであり、クライアント１０６がこのようなアドレス一覧を有している場合には、自分に入力されるＡＲＰパケットを自ら検査してスプーフィング攻撃の有無を判断することができる。もし、政策的な選択によってそれぞれのクライアント１０６にはアドレス一覧を伝送しないと設定すれば、ＡＲＰパケットが入力される度に遮断サーバ１０８が攻撃の有無を判断する。

ＡＲＰテーブル保護部１０６−１ｂは、新たな許容ＩＰ−ＭＡＣアドレス一覧及び遮断ＭＡＣアドレス一覧が伝送される度にクライアント１０６のＡＲＰテーブルに含まれているＡＲＰエントリを検査して感染の有無を検査する。

［遮断サーバにのみ許容アドレス一覧が格納された場合］
先ず、遮断サーバ１０８のみが許容ＩＰ−ＭＡＣアドレス一覧及び遮断ＭＡＣアドレス一覧を有している場合の検査過程について説明する。

Ｌ２スイッチ１０４は、ネットワーク網の内部において受け渡されるＡＲＰパケットを中継（受信及び送信）する（ステップＳ１０４）。

クライアント１０６にインストールされたネットワークフィルタドライバは、クライアント１０６に出入するＡＲＰパケットをリアルタイムにて検査する。ここで、ＡＲＰパケットとは、ＡＲＰ要請（リクエスト）及びＡＲＰ応答（リプライ）をはじめとするあらゆるオペレーションタイプのＡＲＰパケットのことをいう。

ＡＲＰパケットを受信したクライアント１０６のＡＲＰパケット処理部１０６−１ｃは、受信されたＡＲＰパケットに含まれている出発地（送信者）のＩＰアドレス及びＭＡＣアドレスを抽出して遮断サーバ１０８に伝送することにより、スプーフィング攻撃有無の検査を要請する（ステップＳ１０６）。また、ＡＲＰテーブル保護部１０６−１ｂは、ＡＲＰテーブルに含まれているＡＲＰエントリの出発地のＩＰアドレス及びＭＡＣアドレスを抽出して遮断サーバ１０８に伝送する。

検査要請は、所定の時間おきに周期的に行われてもよく、ＡＲＰパケットが入力される度にまたは許容または遮断アドレス一覧が変更される度に行われてもよい。

アドレス検査部１０８−２は、抽出されたＩＰ−ＭＡＣアドレスをＤＢ１０８−３、１０８−４に格納されたアドレス一覧と比較してスプーフィング攻撃の有無を検査する（ステップＳ１０８）。

アドレス検査部１０８−２は、先ず、伝送されたＡＲＰパケットまたはＡＲＰエントリの出発地のＭＡＣアドレスと同じアドレスが遮断アドレスＤＢ１０８−４に格納されているか否かを検査する。

攻撃者が用いるクライアント１０６から伝送されたＡＲＰパケットまたはＡＲＰエントリの出発地のＭＡＣアドレスが遮断アドレスＤＢ１０８−４に格納されたＩＰ−ＭＡＣアドレス一覧のＭＡＣアドレスと同じであれば、このＡＲＰパケットは、変調されたＭＡＣアドレスにパケットデータを横取りしようとするスプーフィング攻撃に用いられるものであると判断することができ、これを感染ＡＲＰパケットと称する。

例えば、クライアント１１０６−１が攻撃者の端末であり、クライアント２１０６−２とクライアント３１０６−３との間において受け渡されるパケットを横取りしようとすると仮定する。

クライアント１１０６−１は、クライアント２１０６−２及びクライアント３１０６−３に感染ＡＲＰパケットを送って自分のＭＡＣアドレスを正常の受信者のアドレスであるようにだます。すなわち、クライアント２１０６−２のＡＲＰテーブルにおいてクライアント３１０６−３のＭＡＣアドレスを記録するところにクライアント１１０６−１のＭＡＣアドレスが記載されるようにし、クライアント３１０６−３のＡＲＰテーブルにおいてクライアント２１０６−２のＭＡＣアドレスを記録するところにクライアント１１０６−１のＭＡＣアドレスが記載されるようにする。

このように感染した場合には、クライアント２１０６−２がクライアント３１０６−３に送るパケットと、クライアント３１０６−３がクライアント２１０６−２に送るパケットが両方ともクライアント１１０６−１に転送される。クライアント１１０６−１は、クライアント２１０６−２及びクライアント３１０６−３から入力されるパケットをキャプチャして格納した後、再び正常の目的地に送ったり、パケットの転送を遮断して正常の通信が行われないようにする。

遮断サーバ１０８は、予め格納した全てのクライアント１０６のＩＰ−ＭＡＣアドレス対と新たに入力されるＡＲＰパケットまたはＡＲＰエントリに含まれているＩＰ−ＭＡＣアドレス対とを比較して、正常のＭＡＣアドレスを有するものであるか否かを判断する。

攻撃者クライアント１０６から入力された感染ＡＲＰパケットは、遮断サーバ１０８によって受信者のＭＡＣアドレスを有するクライアント１０６に伝送されないように遮断（ドロップ）され、クライアント１０６のＡＲＰテーブルは、正常の装置のＭＡＣアドレスに変更される。

伝送されたＡＲＰパケットまたはＡＲＰエントリの送信者（出発地）のＭＡＣアドレスと同じアドレスが遮断アドレスＤＢ１０８−４に含まれていなければ、アドレス検査部１０８−２は、許容アドレスＤＢ１０８−３を検査してこれと同じＭＡＣアドレスがあるか否かを判断する。

もし、送信者のＩＰアドレス及びＭＡＣアドレスの組み合わせが許容ＩＰ−ＭＡＣアドレス一覧に格納された組み合わせの内容と同じであれば、このＡＲＰパケットは、正常の装置から送られたものであるため、スプーフィング攻撃とは無関係なものであるといえる。このため、ＡＲＰパケットに含まれている目的地のＩＰ−ＭＡＣアドレスに相当するクライアント１０６にデータパケットを伝送しなければならないが、その前に疑いのあるパケットに対する検査ステップを経る。

二つのＤＢ１０８−３、１０８−４に格納されたアドレスのうち、送信者のＭＡＣアドレスと同じアドレスを見出すことができないか、あるいは、送信者のＭＡＣアドレスが遮断ＭＡＣアドレス一覧にはないものの、ＩＰアドレス及びＭＡＣアドレスの組み合わせが許容ＩＰ−ＭＡＣアドレス一覧に格納された組み合わせの内容とは異なれば、未だ最終的に安全なパケットであるか、それとも感染されたパケットであるかを確定することができない状態である。このときには、疑いのあるＡＲＰパケットとして分類して別途の検査過程（図４におけるＡステップとして図５に示す）を経るようにする。

流入したＡＲＰパケットの送信者のＭＡＣアドレスが遮断ＭＡＣアドレス一覧になければ、感染パケットではない可能性が高いが、追加の２種類の条件の充足有無を確認した後に疑いのあるＡＲＰパケットとして分類する。

第一は、送信者のＩＰアドレス及びＭＡＣアドレスが許容ＩＰ−ＭＡＣアドレス一覧にない場合である。換言すれば、遮断一覧にもないものの、許容一覧にもなければ、その送信者からは最初に入ってきたパケットである可能性が高いため疑いのあるＡＲＰパケットとして分類する。

第二は、送信者のＩＰアドレス及びＭＡＣアドレスが許容ＩＰ−ＭＡＣアドレス一覧に個別的に含まれているものの、許容ＩＰ−ＭＡＣアドレス一覧に格納された組み合わせとは異なる場合である。例えば、クライアント１１０６−１及びクライアント２１０６−２のＩＰ−ＭＡＣアドレスが［Ａ−ａ］及び［Ｂ−ｂ］とそれぞれマッピングされて許容ＩＰ−ＭＡＣアドレス一覧にアドレス対として格納されているが、特定のクライアント１０６に入ってきたＡＲＰパケットの送信者のＩＰ−ＭＡＣアドレス対が［Ａ−ｂ］または［Ｂ−ａ］である場合をいう。それぞれのＩＰアドレスであるＡ、Ｂと、ＭＡＣアドレスであるａ、ｂが許容一覧にあるものの、マッピングされたアドレス対の構成要素が変更された場合であるため、スプーフィング攻撃によってアドレスが変更されたのではないかと疑う必要はある。

許容ＩＰ−ＭＡＣアドレス一覧に格納されたアドレス対の内容と正確に一致しない場合には、直ちに感染ＡＲＰパケットとして分類して遮断してもよいが、ネットワーク網の内部の通信状況に応じてＭＡＣアドレスを変更する場合もありうるため、最終的な確認のために一応疑いのあるパケットとして分類する。

疑いのあるＡＲＰパケットについては、アドレス検査部１０８−２が単位時間の間に当該疑いのあるＡＲＰパケットの出発地ＭＡＣアドレスと同じ出発地ＭＡＣアドレスを有するＡＲＰパケットの伝送数を累積する（ステップＳ２０２）。

所定の時間の間に累積された数が特定の臨界値を超える場合には、ネットワーク網に対して持続的に過度なＡＲＰパケットを発送するのであるため、スプーフィング攻撃を試みていると見なせばよい（ステップＳ２０４）。通常は、１秒当たりに２０回以上のＡＲＰパケットの発送が行われる場合にスプーフィング攻撃が試みられていると判断すればよいが、この数値はネットワークの状態に応じて変更可能である。次いで、疑いのあるＡＲＰパケットを感染ＡＲＰパケットとして分類して遮断過程が行われる。

一方、いずれかのクライアント１０６から他のクライアント１０６へのＡＲＰパケットについても同じ方法によりスプーフィング攻撃による感染の有無を判断することができる。

アドレス検査部１０８−２は、Ｌ２スイッチ１０４を経て他のクライアント１０６へ向かうＡＲＰパケットのイーサネットヘッダの出発地ＩＰアドレス及び出発地ＭＡＣアドレスがローカルＩＰ−ＭＡＣアドレス一覧に含まれるか否かを検査する。ローカルＩＰ−ＭＡＣアドレス一覧は、ネットワーク網に含まれている特定のクライアント１０６の全てのハードウェアに関するアドレス情報を有しているため、特定のクライアント１０６からのＡＲＰパケットの出発地アドレスがローカルＩＰ−ＭＡＣアドレス一覧とは異なれば、当該特定のクライアント１０６は既にスプーフィング攻撃によって感染されたと見なすことができる。

このため、ＡＲＰパケットのイーサネットヘッダの出発地ＩＰアドレス及び出発地ＭＡＣアドレスがローカルＩＰ−ＭＡＣアドレス一覧に含まれていないＡＲＰパケットは感染ＡＲＰパケットであると判断して遮断過程を行う。送信されるＡＲＰパケットから出発地ＩＰアドレス及びＭＡＣアドレスを抽出し、抽出されたＩＰアドレスがローカルＩＰ−ＭＡＣアドレス一覧になければ、感染ＡＲＰパケットである。

また、抽出されたＩＰアドレスと同じＩＰアドレスがローカルＩＰ−ＭＡＣアドレス一覧に含まれているか否かを照会する。照会の結果、同じＩＰアドレスが発見され、これと対応付けられて格納されたＭＡＣアドレスがあれば、これを照会する。送信されるＡＲＰパケットの出発地のＭＡＣアドレスとローカルＩＰ−ＭＡＣアドレス一覧から照会したＭＡＣアドレスとが同じでなければ、これもまた感染ＡＲＰパケットである。

このような全ての検査過程を経て安全なＡＲＰパケットであると認められる場合には、指定された目的地へのＡＲＰパケットの送受信が行われる（ステップＳ１１８）。

［クライアントにも許容アドレス一覧が格納された場合］
個別クライアント１０６の許容アドレスＤＢ１０６−１ｄ及び遮断アドレスＤＢ１０６−１ｅに許容ＩＰ−ＭＡＣアドレス一覧及び遮断ＭＡＣアドレス一覧が格納されている場合には、Ｌ２スイッチ１０４を経て各クライアント１０６にＡＲＰパケットが入力される度に、または、許容アドレスＤＢ１０６−１ｄ及び遮断アドレスＤＢ１０６−１ｅが更新される度にクライアント１０６のＡＲＰテーブル保護部１０６−１ｂ及びＡＲＰパケット処理部１０６−１ｃが自主的にスプーフィング攻撃の有無を検査する。このときには、遮断サーバ１０８に感染有無の検査を要請することなく、クライアント１０６が直接的に行う。

この場合にも、上述のように、出発地のＭＡＣアドレスがＤＢ１０６−１ｄ、１０６−１ｅに格納されたアドレス一覧と同じであるか否かを判断する。ＡＲＰテーブル保護部１０６−１ｂは、遮断サーバ１０８が収集して生成した許容ＩＰ−ＭＡＣアドレス一覧及び遮断ＭＡＣアドレス一覧を周期的にまたは特定のイベントが発生する度に受信することにより、許容アドレスＤＢ１０６−１ｄ及び遮断アドレスＤＢ１０６−１ｅを常に更新された状態にする。

ＡＲＰテーブル保護部１０６−１ｂは、周期的にＡＲＰエントリを検査して抽出されたＩＰ−ＭＡＣアドレスをＤＢ１０６−１ｄ、１０６−１ｅに格納されたアドレス一覧と比較して感染の有無を判断する。また、ＡＲＰパケット処理部１０６−１ｃは、ＡＲＰパケットが出入する度にＩＰ−ＭＡＣアドレスを抽出して感染の有無を判断する。

もし、出発地のＭＡＣアドレスが遮断ＩＰ−ＭＡＣアドレス一覧に格納されたＭＡＣアドレスと同じであれば、ＡＲＰパケット処理部１０６−１ｃが当該ＡＲＰパケットを遮断するか、あるいは、ＡＲＰテーブル保護部１０６−１ｂがＡＲＰエントリのＭＡＣアドレスを変更する。

また、疑いのあるＡＲＰパケットについても、上述したように、所定の時間の間に同じＭＡＣアドレスを有するＡＲＰパケットが流入するかを監視し、特定の臨界値を超える場合には、感染ＡＲＰパケットとして分類する。

さらに、クライアント１０６からのＡＲＰパケットの出発地ＩＰ−ＭＡＣアドレスがローカルＩＰ−ＭＡＣアドレス一覧に格納された情報とは異なる場合に感染ＡＲＰパケットとして分類する。

［スプーフィング攻撃遮断過程］
遮断サーバ１０８またはクライアント１０６によって感染ＡＲＰパケットであると判明された場合に、当該ＡＲＰパケットがネットワーク網の内部を伝送されないようにする必要がある。

このために、先ず、感染ＡＲＰパケットの送受信を遮断し、ＡＲＰテーブルにおいて当該ＩＰ−ＭＡＣアドレスを修正する（ステップＳ１１２）。ＡＲＰパケット処理部１０６−１ｃは、遮断サーバ１０８からＡＲＰパケットがスプーフィング攻撃に用いられているという検査結果を通報されれば、当該感染ＡＲＰパケットの送受信を遮断する。

そして、ＡＲＰテーブル保護部１０６−１ｂは、ＡＲＰエントリがスプーフィング攻撃に用いられているという検査結果を通報されれば、当該感染ＡＲＰエントリに含まれているＩＰ−ＭＡＣアドレスのうち、ＩＰアドレスを抽出し、抽出されたＩＰアドレスと対応付けられて格納された正常のＭＡＣアドレスを遮断サーバ１０８のＤＢ１０８−３、１０８−４やクライアント１０６のＤＢ１０６−１ｄ、１０６−１ｅから照会する。正常のＭＡＣアドレスが照会されれば、感染ＡＲＰエントリの出発地（送信者）アドレスを格納された正常のＭＡＣアドレスに固定設定する（ステップＳ１１４）。今後、当該ＩＰアドレスを有するＡＲＰパケットが入ってきたときに、固定設定された正常ＭＡＣアドレスを有するクライアント１０６にのみ向かうことになる。

ＡＲＰテーブル保護部１０６−１ｂ及びＡＲＰパケット処理部１０６−１ｃは、遮断されたパケットのオペレーションタイプ、出発地ＩＰアドレス、出発地ＭＡＣアドレス、対象地ＩＰアドレス、対象地ＭＡＣアドレス、パケット発信プロセスなどの情報を遮断サーバ１０８に伝送する（ステップＳ１１６）。遮断サーバ１０８のアドレス収集部１０８−１は、ＡＲＰテーブル保護部１０６−１ｂ及びＡＲＰパケット処理部１０６−１ｃが伝送したデータを受信して遮断アドレスＤＢ１０８−４を更新する。

以上、添付図面に基づいて本発明の好適な実施形態について説明したが、上述の本発明の技術的構成は、本発明が属する技術分野における当業者が本発明の技術的思想や必須的特徴を変更することなく他の具体的な形態で実施可能であるということが理解できる筈である。よって、上述の実施形態はあらゆる面において例示的なものであり、限定的なものではないと理解さるべきであり、本発明の範囲は前記詳細な説明よりは後述する特許請求の範囲によって開示され、特許請求の範囲の意味及び範囲並びにその等価概念から導き出されるあらゆる変更または変形された形態が本発明の範囲に含まれるものと解釈さるべきである。

１０２：ルータ
１０４：Ｌ２スイッチ
１０６：クライアント
１０８：遮断サーバ
１１０：管理者端末

Claims

ネットワーク網の内部のＬ２スイッチ（１０４）を介して中継されるＡＲＰパケットに含まれているＩＰアドレス及びＭＡＣアドレスを検査して、スプーフィング攻撃がなされていると判断されれば、前記ＡＲＰパケットの伝送を遮断する防御方法であって、
遮断サーバ（１０８）のアドレス収集部（１０８−１）が、前記ネットワーク網の内部に接続されたクライアント（１０６）のＩＰアドレス及びＭＡＣアドレスを収集する第１ステップと、
前記アドレス収集部（１０８−１）が、前記第１ステップにおいて収集した前記ＩＰアドレス及び前記ＭＡＣアドレスを互いに対応付けた許容ＩＰ−ＭＡＣアドレス一覧を生成し、前記許容ＩＰ−ＭＡＣアドレス一覧を許容アドレスＤＢ（１０８−３）に格納する第２ステップと、
前記アドレス収集部（１０８−１）が、前記ネットワーク網の内部に接続されたクライアント（１０６）のうち、スプーフィング攻撃をする攻撃者が用いるクライアント（１０６）のＭＡＣアドレスに関する情報である遮断ＭＡＣアドレス一覧を遮断アドレスＤＢ（１０８−４）に格納する第３ステップと、
前記クライアント（１０６）にＡＲＰパケットが流入すれば、前記クライアント（１０６）のＡＲＰパケット処理部（１０６−１ｃ）は、前記ＡＲＰパケットに含まれている送信者のＩＰアドレス及びＭＡＣアドレスを抽出して前記遮断サーバ（１０８）に伝送しながらスプーフィング攻撃有無の検査を要請する第４ステップと、
遮断サーバ（１０８）のアドレス検査部（１０８−２）の検査の結果、前記第４ステップにおいて抽出された送信者のＭＡＣアドレスが前記遮断アドレスＤＢ（１０８−４）に格納された遮断ＭＡＣアドレス一覧に含まれている場合に、前記ＡＲＰパケットが感染ＡＲＰパケットであるということを前記遮断サーバ（１０８）が前記クライアント（１０６）に通報する第５ステップと、
前記ＡＲＰパケット処理部（１０６−１ｃ）が、前記感染ＡＲＰパケットの送受信を遮断する第６ステップと、
を含み、
前記第５ステップは、
前記第４ステップにおいて抽出された送信者のＭＡＣアドレスが前記遮断ＭＡＣアドレス一覧に含まれていない場合に、前記送信者のＩＰアドレス及びＭＡＣアドレスが前記許容ＩＰ−ＭＡＣアドレス一覧にないか、あるいは、前記送信者のＩＰアドレス及びＭＡＣアドレスが前記許容ＩＰ−ＭＡＣアドレス一覧にマッピングされてアドレス対として格納されている許容ＩＰ−ＭＡＣアドレスの構成と異なれば、前記ＡＲＰパケットを疑いのあるＡＲＰパケットとして定義する第５−１ステップと、
前記アドレス検査部（１０８−２）が、単位時間の間に前記クライアント（１０６）に流入したＡＲＰパケットのうち、前記疑いのあるＡＲＰパケットに含まれている送信者のＭＡＣアドレスと同じ送信者のＭＡＣアドレスを有するＡＲＰパケットの伝送数を累積する第５−２ステップと、
前記単位時間の間に累積された伝送数が臨界値を超える場合に、前記疑いのあるＡＲＰパケットを前記感染ＡＲＰパケットとして分類する第５−３ステップと、
を含む遮断サーバを用いたスプーフィング攻撃に対する防御方法。
ネットワーク網の内部のＬ２スイッチ（１０４）を介して中継されるＡＲＰパケットに含まれているＩＰアドレス及びＭＡＣアドレスを検査してスプーフィング攻撃がなされていると判断されれば、前記ＡＲＰパケットの伝送を遮断する防御方法であって、
遮断サーバ（１０８）のアドレス収集部（１０８−１）が、前記ネットワーク網の内部に接続されたクライアント（１０６）のＩＰアドレス及びＭＡＣアドレスを収集する第１ステップと、
前記アドレス収集部（１０８−１）が、前記第１ステップにおいて収集した前記ＩＰアドレス及び前記ＭＡＣアドレスを互いに対応付けた許容ＩＰ−ＭＡＣアドレス一覧を生成し、前記許容ＩＰ−ＭＡＣアドレス一覧を前記クライアント（１０６）の許容アドレスＤＢ（１０６−１ｄ）に格納する第２ステップと、
前記アドレス収集部（１０８−１）が、前記ネットワーク網の内部に接続されたクライアント（１０６）のうち、スプーフィング攻撃をする攻撃者が用いるクライアント（１０６）のＭＡＣアドレスに関する情報である遮断ＭＡＣアドレス一覧を前記クライアント（１０６）の遮断アドレスＤＢ（１０６−１ｅ）に格納する第３ステップと、
前記クライアント（１０６）にＡＲＰパケットが流入すれば、前記クライアント（１０６）のＡＲＰパケット処理部（１０６−１ｃ）は、前記ＡＲＰパケットに含まれている送信者のＩＰアドレス及びＭＡＣアドレスを抽出してスプーフィング攻撃の有無を検査する第４ステップと、
前記第４ステップにおいて抽出された送信者のＭＡＣアドレスが前記遮断ＭＡＣアドレス一覧に含まれている場合に、前記ＡＲＰパケット処理部（１０６−１ｃ）が、前記ＡＲＰパケットを感染ＡＲＰパケットとして分類する第５ステップと、
前記ＡＲＰパケット処理部（１０６−１ｃ）が、前記感染ＡＲＰパケットの送受信を遮断する第６ステップと、
を含み、
前記第５ステップは、
前記第４ステップにおいて抽出された送信者のＭＡＣアドレスが前記遮断ＭＡＣアドレス一覧に含まれていない場合に、前記送信者のＩＰアドレス及びＭＡＣアドレスが前記許容ＩＰ−ＭＡＣアドレス一覧にないか、あるいは、前記送信者のＩＰアドレス及びＭＡＣアドレスが前記許容ＩＰ−ＭＡＣアドレス一覧にマッピングされてアドレス対として格納されている許容ＩＰ−ＭＡＣアドレスの構成と異なれば、前記ＡＲＰパケットを疑いのあるＡＲＰパケットとして定義する第５−１ステップと、
前記ＡＲＰパケット処理部（１０６−１ｃ）が、単位時間の間に前記クライアント（１０６）に流入したＡＲＰパケットのうち、前記疑いのあるＡＲＰパケットに含まれている送信者のＭＡＣアドレスと同じ送信者ＭＡＣアドレスを有するＡＲＰパケットの伝送数を累積する第５−２ステップと、
前記単位時間の間に累積された伝送数が臨界値を超える場合に、前記疑いのあるＡＲＰパケットを前記感染ＡＲＰパケットとして分類する第５−３ステップと、
をさらに含む遮断サーバを用いたスプーフィング攻撃に対する防御方法。
前記第６ステップは、さらに、前記抽出された送信者のＩＰアドレスに対応する前記ＭＡＣアドレスを前記許容アドレスＤＢから抽出して、前記感染ＡＲＰパケットに含まれる送信者のＭＡＣアドレスを該抽出されたＭＡＣアドレスに変更することを特徴とする請求項１または請求項２に記載の遮断サーバを用いたスプーフィング攻撃に対する防御方法。