JP7232121B2 - 監視装置および監視方法 - Google Patents

Description

本発明は、監視装置および監視方法に関し、特にＩＰｖ６環境におけるネットワークへの不正接続を監視する技術に関する。

近年、Ｉｏｔの普及により様々な機器がインターネットにつながるようになっている。これにともなって、インターネットにつながる機器の数も爆発的に増え、従来インターネットプロトコルとして用いられてきたＩＰｖ４から、新たに１２８ビットのアドレス長を持つプロトコルとしてＩＰｖ６への移行が進んでいる。また、ネットワーク監視装置などの多くのネットワークセキュリティ製品においても、ＩＰｖ６に対応したものが急速に求められている。

従来から、ネットワーク内の端末を把握する場合、各端末にエージェント（ＳＷ）を入れたり、ＩＰｖ４において使用される通信プロトコルであるａｒｐ（Ａｄｄｒｅｓｓ Ｒｅｓｏｌｕｔｉｏｎ Ｐｒｏｔｏｃｏｌ）などを用いたりしている。

しかし、特に組込み機器（例えば、カメラ）にエージェントを入れることは困難であり、様々な機器がネットワークにつながるようになった状況で、ネットワーク上の特定の機器や端末を把握することができない場合もあり得る。また、ネットワークに不正接続する端末の探索においても、ａｒｐはＩＰｖ４のプロトコルに基づいたものであり、ＩＰｖ６環境においては不正端末の探索が困難である。

そこで、従来からＩＰｖ６環境におけるネットワークへの不正接続を防止する技術が提案されている。例えば、特許文献１は、ネットワークに監視装置を設置し、ネットワーク内に流れるＮＳ（Ｎｅｉｇｈｂｏｒ Ｓｏｌｉｃｉｔａｔｉｏｎ）パケットを監視して、ＮＳパケットの送信元アドレスやＭＡＣアドレスをもとに、ネットワークへの接続が許可されている端末かどうかを判断する。

特開２００７－１０４３９６号公報

しかし、特許文献１に記載の技術では、盗聴目的でネットワークに不正に接続する端末（以下、「不正端末」という。）がＮＳパケットなどを自ら送信しないような場合、不正端末を検出することができない。

本発明は、上述した課題を解決するためになされたものであり、ネットワーク内を流れるＩＣＭＰｖ６パケットの監視負担を軽減しつつ、ＩＰｖ６環境において不正端末を検知することができる監視技術を提供することを目的とする。

上述した課題を解決するために、本発明に係る監視装置は、予め設定された不正なヘッダを含む送信パケットを生成するように構成された生成部と、前記送信パケットを通信ネットワークを介してオールノードマルチキャスト送信するように構成された送信部と、前記送信パケットを受信した端末からのエラーメッセージを含む返信パケットを前記通信ネットワークを介して受信するように構成された受信部と、前記返信パケットに含まれる、前記返信パケットの送信元である前記端末を識別する固有の識別情報を取得するように構成された取得部と、取得された前記識別情報を、記憶部に記憶されている識別情報のリストと照合するように構成された照合部と、前記照合部の照合結果に基づいて、前記送信元の前記端末が前記通信ネットワークに不正に接続する端末であるか否かを判断するように構成された判断部とを備える。

また、本発明に係る監視装置において、前記リストは、前記通信ネットワークへの接続が許可されている端末に固有の識別情報を含み、前記判断部は、前記取得部によって取得された前記識別情報が、前記リストに含まれていない場合に、その端末が前記通信ネットワークに不正に接続する端末であると判断してもよい。

また、本発明に係る監視装置において、さらに、前記判断部による判断結果を通知するように構成された通知部を備えていてもよい。

また、本発明に係る監視装置において、前記通信ネットワークは、ＩＰｖ６に対応した通信ネットワークであり、前記送信パケットは、前記送信パケットを受信した端末が、パケットに問題ありと判断する不正なＩＰｖ６ヘッダを含んでいてもよい。

また、本発明に係る監視装置において、前記返信パケットは、ＩＣＭＰｖ６によるパラメータ不正メッセージを含んでいてもよい。

また、本発明に係る監視装置において、前記識別情報は、ＭＡＣアドレスであってもよい。

また、本発明に係る監視装置において、前記取得部は、前記通信ネットワークに接続されている端末を検出し、その端末の情報としてＩＰアドレスおよびＭＡＣアドレスの少なくともいずれかを取得し、前記判断部は、検出された前記端末の情報、および前記照合部の照合結果に基づいて、前記送信元の前記端末が前記通信ネットワークに不正に接続する端末であるか否かを判断してもよい。

上述した課題を解決するために、本発明に係る監視方法は、予め設定された不正なヘッダを含む送信パケットを生成する生成ステップと、前記送信パケットを通信ネットワークを介してオールノードマルチキャスト送信する送信ステップと、前記送信パケットを受信した端末からのエラーメッセージを含む返信パケットを前記通信ネットワークを介して受信する受信ステップと、前記返信パケットに含まれる、前記返信パケットの送信元である前記端末を識別する固有の識別情報を取得する取得ステップと、取得された前記識別情報を、記憶部に記憶されている識別情報のリストと照合する照合ステップと、前記照合ステップでの照合結果に基づいて、前記送信元の前記端末が前記通信ネットワークに不正に接続する端末であるか否かを判断する判断ステップとを備える。

本発明によれば、予め設定された不正なヘッダを含む送信パケットをオールノードマルチキャスト送信し、その送信パケットを受信した端末からのエラーメッセージを含む返信パケットに含まれる端末の識別情報を取得して、識別情報のリストと照合するので、ネットワーク内を流れるＩＣＭＰｖ６パケットの監視負担を軽減しつつ、ＩＰｖ６環境において不正端末を検出することができる。

図１は、本発明の実施の形態に係る監視装置を含む不正接続監視システムの構成を示すブロック図である。 図２は、本実施の形態に係る監視装置の構成を示すブロック図である。 図３は、本実施の形態に係る監視装置のハードウェア構成を示すブロック図である。 図４は、本実施の形態に係る監視装置の動作を説明するためのフローチャートである。 図５は、本実施の形態に係るホワイトリストのデータ構造の一例を示す図である。

以下、本発明の好適な実施の形態について、図１から図５を参照して詳細に説明する。
［不正接続監視システムの構成］
本発明の実施の形態に係る不正接続監視システムは、不正アクセスによりネットワークＮＷに不正に接続する不正端末３を探索する。不正接続監視システムには、図１に示すように、監視装置１、正規端末２、および不正端末３が含まれる。

監視装置１、正規端末２、および不正端末３はＬＡＮなどのネットワークＮＷを介して互いに接続可能となっている。図１において、正規端末２は、ネットワークＮＷへの接続が許可されたＩＰｖ６が動作するＰＣなどの端末である。一方、不正端末３は、ネットワークＮＷへの接続が許可されていないＩＰｖ６が動作するＰＣなどの端末である。

本実施の形態では、不正接続監視システムは、リンクローカルの同一セグメント上におけるネットワークＮＷへの不正な接続を行う不正端末３を探索および検出する。図１の例では、３つの正規端末２の各々は、ＩＰｖ６アドレス「１」，「２」，「３」が割り当てられており、かつ、ＭＡＣアドレス「Ａ」，「Ｂ」，「Ｃ」を有する。また、不正端末３は、ＩＰｖ６アドレス「４」、およびＭＡＣアドレス「Ｄ」を有する。また、不正接続監視システムにおいてリンクローカルアドレス「ａ」が割り当てられている。

本実施の形態に係る不正接続監視システムは、ＩＰｖ６におけるインターネット通信メッセージプロトコル（ＩＣＭＰ）の仕様に定められたＩＣＭＰｖ６パラメータ不正メッセージ（ＩＣＭＰ Ｐａｒａｍｅｔｅｒ Ｐｒｏｂｌｅｍ）に関する取り決めを利用して、リンクローカルにおける不正端末３を検出する。

［監視装置の機能ブロック］
図２に示すように、監視装置１は、送受信部（送信部、受信部）１０、生成部１１、記憶部１２、取得部１３、照合部１４、判断部１５、および通知部１６を備える。

送受信部１０は、ネットワークＮＷを介して、正規端末２および不正端末３に対してパケットをオールノードマルチキャスト送信する。また、送受信部１０は、正規端末２、および不正端末３からネットワークＮＷを介して送られてくるパケットを受信する。より詳細には、送受信部１０は、後述の不正なＩＰｖ６ヘッダを含むマルチキャストパケットをオールノードマルチキャストアドレス宛に送信する。また、送受信部１０は、マルチキャストパケットに対する返信として、ネットワークＮＷ内の端末のそれぞれから返信される後述のＩＣＭＰｖ６エラーメッセージを受信する。

生成部１１は、予め設定された不正なヘッダを含むオールノードマルチキャストアドレス宛てのマルチキャストパケット（送信パケット）を生成する。予め設定された不正なヘッダとは、ＩＰｖ６ノードである正規端末２および不正端末３によってパケットに問題ありと判断されるＩＰｖ６ヘッダや、問題のあるフィールドが拡張ヘッダに含まれるＩＰｖ６ヘッダをいう。

ここで、ＩＰｖ６用のＩＣＭＰの仕様書（ＲＦＣ）において以下の取り決めがある。ＲＦＣによると、パケットを処理するＩＰｖ６ノードが、完全にそのパケットを処理することが不可能であるＩＰｖ６ヘッダ、もしくは拡張ヘッダに含まれる問題のあるフィールドを見つけたら、そのパケットは破棄しなければならないとされる。また、ＩＰｖ６ノードは、パケットの発信元にタイプと問題個所を示したＩＣＭＰｖ６パラメータ不正メッセージを送信すべきであるとされている。

生成部１１は、ネットワークＮＷ上の正規端末２および不正端末３からＩＣＭＰｖ６パラメータ不正メッセージ（ＩＣＭＰ Ｐａｒａｍｅｔｅｒ Ｐｒｏｂｌｅｍ）（以下、「ＩＣＭＰｖ６エラーメッセージ」ということがある。）の返信が来るような不正なヘッダを持つマルチキャストパケットを生成する。

例えば、生成部１１は、ＩＰｖ６ヘッダ内のホップバイホップオプション（Ｈｏｐ－ｂｙ－Ｈｏｐ Ｏｐｔｉｏｎ）の値がＩＰｖ６ノードによって認識できないＩＰｖ６拡張ヘッダのデータであるマルチキャストパケットを生成することができる。なお、生成部１１は、予め用意されている不正なヘッダを記憶部１２から読み出す構成としてもよい。

記憶部１２は、ネットワークＮＷへの接続を許可する正規端末２に固有の識別情報を記憶している。記憶部１２は、例えば、正規端末２のＭＡＣアドレスが登録されたホワイトリストを記憶している。

取得部１３は、送受信部１０によって受信されたネットワークＮＷ内の正規端末２および不正端末３からの返信パケットに含まれる送信元を示す固有の識別情報を取得する。取得部１３は、例えば、ＩＣＭＰｖ６エラーメッセージのパケットにおいて所定の位置にある送信元のＭＡＣアドレスを取得することができる。

また、取得部１３は、ネットワークＮＷに接続されている正規端末２、不正端末３を含む機器を検出し、それら機器の情報を取得することができる。例えば、取得部１３は、ネットワークＮＷ上の機器のＩＰアドレスおよびＭＡＣアドレスの少なくともいずれか一方を検出することができる。

照合部１４は、取得部１３によって取得されたＩＣＭＰｖ６エラーメッセージのパケットに含まれる送信元の識別情報を、記憶部１２に予め登録されている正規端末２の識別情報と照合する。より詳細には、照合部１４は、ＩＣＭＰｖ６エラーメッセージのパケットに含まれるＭＡＣアドレスを、ホワイトリストに登録されているＭＡＣアドレスと照合する。

判断部１５は、照合部１４の照合結果に基づいて、ＩＣＭＰｖ６エラーメッセージの送信元の端末がネットワークＮＷに不正に接続する端末であるか否かを判断する。具体的には、判断部１５は、ＩＣＭＰｖ６エラーメッセージのパケットに含まれるＭＡＣアドレスのうち、ホワイトリストに登録されているＭＡＣアドレスのいずれにも該当しない場合には、そのＭＡＣアドレスを有する端末は不正端末３であると判断する。

なお、判断部１５は、取得部１３によって検出され取得されたネットワークＮＷ上の機器の情報および照合部１４の照合結果に基づいて上記判断を行ってもよい。

通知部１６は、判断部１５による判断結果を出力する。例えば、判断部１５によって不正端末３であると判断された端末の識別情報を表示装置１０７に表示させることができる。また、インターネット等の通信ネットワークを介して接続されている図示されない外部のサーバなどに、不正端末３が検出されたこと及び不正端末３の識別情報を通知することができる。

［監視装置のハードウェア構成］
次に上述した機能を有する監視装置１のハードウェア構成の一例について、図３を用いて説明する。

図３に示すように、監視装置１は、例えば、バス１０１を介して接続されるプロセッサ１０２、主記憶装置１０３、通信インターフェース１０４、補助記憶装置１０５、入出力Ｉ／Ｏ１０６を備えるコンピュータと、これらのハードウェア資源を制御するプログラムによって実現することができる。

主記憶装置１０３には、プロセッサ１０２が各種制御や演算を行うためのプログラムが予め格納されている。プロセッサ１０２と主記憶装置１０３とによって、図２に示した生成部１１、取得部１３、照合部１４、判断部１５など、監視装置１の各機能が実現される。

通信インターフェース１０４は、監視装置１と正規端末２および不正端末３、各種外部電子機器との間をネットワーク接続するためのインターフェース回路である。

補助記憶装置１０５は、読み書き可能な記憶媒体と、その記憶媒体に対してプログラムやデータなどの各種情報を読み書きするための駆動装置とで構成されている。補助記憶装置１０５には、記憶媒体としてハードディスクやフラッシュメモリなどの半導体メモリを使用することができる。

補助記憶装置１０５は、監視装置１が不正端末３の検出処理を実行するためのプログラムを格納するプログラム格納領域を有する。また、補助記憶装置１０５は、ネットワークＮＷに接続が許可されている正規端末２のホワイトリストを記憶している。補助記憶装置１０５によって、図２で説明した記憶部１２が実現される。さらには、例えば、上述したデータやプログラムやなどをバックアップするためのバックアップ領域などを有していてもよい。

入出力Ｉ／Ｏ１０６は、外部機器からの信号を入力したり、外部機器へ信号を出力したりするＩ／Ｏ端子により構成される。

表示装置１０７は、液晶ディスプレイなどによって構成される。表示装置１０７は、付図２で説明した通知部１６を実現する。通知部１６による通知は、表示装置１０７に表示される。

［監視方法］
次に上述した構成を有する監視装置１の動作について図４のフローチャートを参照して説明する。以下前提として、記憶部１２には、予めネットワークＮＷに接続することが許可された端末の識別情報を含むホワイトリストが記憶されているものとする。

まず、生成部１１は、ネットワークＮＷ上の正規端末２および不正端末３からＩＣＭＰｖ６パラメータ不正メッセージ（ＩＣＭＰ Ｐａｒａｍｅｔｅｒ Ｐｒｏｂｌｅｍ）の返信が来るような不正なヘッダを持つパケットを生成する（ステップＳ１）。具体的には、生成部１１は、ＩＰｖ６ヘッダ内のホップバイホップオプション（Ｈｏｐ－ｂｙ－Ｈｏｐ Ｏｐｔｉｏｎ）の値がＩＰｖ６ノードによって認識できないＩＰｖ６拡張ヘッダのデータであるマルチキャストパケットを生成することができる。

次に、送受信部１０は、生成された不正なヘッダを持つマルチキャストパケットをオールノードマルチキャスト宛てに送信する（ステップＳ２）。具体的には、図１に示すように、送受信部１０は、ネットワークＮＷを介して、３つの正規端末２および不正端末３にマルチキャストパケットをオールノードマルチキャスト宛て（例えば、「ＦＥ０２：：１」）に送信する。

その後、送受信部１０は、不正なヘッダを持つマルチキャストパケットを受信した正規端末２および不正端末３から、返信パケットとしてＩＣＭＰｖ６エラーメッセージを受信する（ステップＳ３）。次に、取得部１３は、受信したＩＣＭＰｖ６エラーメッセージのパケットに含まれる送信元を示す固有の識別情報を取得する（ステップＳ４）。例えば、取得部１３は、固有の識別情報として送信元のＭＡＣアドレスを取得することができる。

次に、照合部１４は、取得部１３が取得した固有の識別情報を、記憶部１２に記憶されているホワイトリストと照合する（ステップＳ５）。具体的には、照合部１４は、ＩＣＭＰｖ６エラーメッセージのパケットに含まれる送信元のＭＡＣアドレスを、ホワイトリストに登録されているＭＡＣアドレスと照合する。

図５は、記憶部１２に記憶されているホワイトリストの一例を示している。予め用意されているホワイトリストには、ＭＡＣアドレス「Ａ」，「Ｂ」，「Ｃ」が登録されている。照合部１４は、ＩＣＭＰｖ６エラーメッセージのパケットに含まれるＭＡＣアドレスが「Ａ」，「Ｂ」，「Ｃ」に一致するか否かを照合結果として出力する。

ＩＣＭＰｖ６エラーメッセージのパケットに含まれるＭＡＣアドレスがホワイトリストに存在する場合（ステップＳ６：ＹＥＳ）、取得されたすべてのＭＡＣアドレスが、ホワイトリストと照合されるまで（ステップＳ８：ＮＯ）、ステップＳ３からステップＳ６を繰り返す。

一方、ＩＣＭＰｖ６エラーメッセージのパケットに含まれるＭＡＣアドレスがホワイトリストに存在しない場合には（ステップＳ６：ＮＯ）、判断部１５は、照合したＭＡＣアドレスを有する端末は、不正端末３であると判断する（ステップＳ７）。

その後、通知部１６は、不正端末３が存在すること、および不正端末のＭＡＣアドレスを通知する（ステップＳ９）。例えば、通知部１６は、表示装置１０７に不正端末３のＭＡＣアドレスなどを表示させることができる。また、通知部１６は、不正端末３が検出されなかった場合には、その旨を示す通知を行ってもよい。

以上説明したように、本実施の形態に係る監視装置１によれば、不正なヘッダを含むマルチキャストパケットをネットワークＮＷ内の端末にオールノードマルチキャスト送信し、その後端末から返信されるＩＣＭＰｖ６エラーメッセージのパケットに含まれる送信元の固有の識別情報を利用して、不正端末３を検出する。そのため、ネットワークＮＷ内の各端末がＮＳパケットを送信するのを待たずに、ＩＰｖ６環境においてリンクローカルに接続されている不正端末３を検出することができる。

また、ＩＣＭＰｖ６エラーメッセージのパケットに含まれる情報を用いるので、より少ない量の探索パケットの送信により、より短い時間で不正端末３を検出することができる。

なお、説明した実施の形態では、ネットワークＮＷ内の端末に固有の識別情報としてＭＡＣアドレスを用いた場合を例示した。しかし、固有の識別情報として用いる情報は、これに限らない。例えば、ＩＰｖ６アドレスとＭＡＣアドレスとの組み合わせ等を用いてもよい。

以上、本発明の監視装置および監視方法における実施の形態について説明したが、本発明は説明した実施の形態に限定されるものではなく、請求項に記載した発明の範囲において当業者が想定し得る各種の変形を行うことが可能である。

１…監視装置、２…正規端末、３…不正端末、１０…送受信部、１１…生成部、１２…記憶部、１３…取得部、１４…照合部、１５…判断部、１６…通知部、１０１…バス、１０２…プロセッサ、１０３…主記憶装置、１０４…通信インターフェース、１０５…補助記憶装置、１０６…入出力Ｉ／Ｏ、１０７…表示装置、ＮＷ…ネットワーク。

Claims (8)

1. 予め設定された不正なヘッダを含む送信パケットを生成するように構成された生成部と、
   前記送信パケットを通信ネットワークを介してオールノードマルチキャスト送信するように構成された送信部と、
   前記送信パケットを受信した端末からのエラーメッセージを含む返信パケットを前記通信ネットワークを介して受信するように構成された受信部と、
   前記返信パケットに含まれる、前記返信パケットの送信元である前記端末を識別する固有の識別情報を取得するように構成された取得部と、
   取得された前記識別情報を、記憶部に記憶されている識別情報のリストと照合するように構成された照合部と、
   前記照合部の照合結果に基づいて、前記送信元の前記端末が前記通信ネットワークに不正に接続する端末であるか否かを判断するように構成された判断部と
   を備える監視装置。
2. 請求項１に記載の監視装置において、
   前記リストは、前記通信ネットワークへの接続が許可されている端末に固有の識別情報を含み、
   前記判断部は、前記取得部によって取得された前記識別情報が、前記リストに含まれていない場合に、その端末が前記通信ネットワークに不正に接続する端末であると判断する
   ことを特徴とする監視装置。
3. 請求項１または請求項２に記載の監視装置において、
   さらに、前記判断部による判断結果を通知するように構成された通知部を備える
   ことを特徴とする監視装置。
4. 請求項１から３のいずれか１項に記載の監視装置において、
   前記通信ネットワークは、ＩＰｖ６に対応した通信ネットワークであり、
   前記送信パケットは、前記送信パケットを受信した端末が、パケットに問題ありと判断する不正なＩＰｖ６ヘッダを含む
   ことを特徴とする監視装置。
5. 請求項１から４のいずれか１項に記載の監視装置において、
   前記返信パケットは、ＩＣＭＰｖ６によるパラメータ不正メッセージを含む
   ことを特徴とする監視装置。
6. 請求項１から５のいずれか１項に記載の監視装置において、
   前記識別情報は、ＭＡＣアドレスである
   ことを特徴とする監視装置。
7. 請求項１から６のいずれか１項に記載の監視装置において、
   前記取得部は、前記通信ネットワークに接続されている端末を検出し、その端末の情報としてＩＰアドレスおよびＭＡＣアドレスの少なくともいずれかを取得し、
   前記判断部は、検出された前記端末の情報、および前記照合部の照合結果に基づいて、前記送信元の前記端末が前記通信ネットワークに不正に接続する端末であるか否かを判断する
   ことを特徴とする監視装置。
8. 予め設定された不正なヘッダを含む送信パケットを生成する生成ステップと、
   前記送信パケットを通信ネットワークを介してオールノードマルチキャスト送信する送信ステップと、
   前記送信パケットを受信した端末からのエラーメッセージを含む返信パケットを前記通信ネットワークを介して受信する受信ステップと、
   前記返信パケットに含まれる、前記返信パケットの送信元である前記端末を識別する固有の識別情報を取得する取得ステップと、
   取得された前記識別情報を、記憶部に記憶されている識別情報のリストと照合する照合ステップと、
   前記照合ステップでの照合結果に基づいて、前記送信元の前記端末が前記通信ネットワークに不正に接続する端末であるか否かを判断する判断ステップと
   を備える監視方法。

Images