JP7417395B2 - 不正検出装置および不正検出方法 - Google Patents

Description

本発明は、不正検出装置および不正検出方法に関し、特にＩＰｖ６環境における不正を検知する技術に関する。

近年、ＩｏＴの普及により様々な機器がインターネットにつながるようになっている。これにともなって、インターネットにつながる機器の数も爆発的に増え、従来インターネットプロトコルとして用いられてきたＩＰｖ４から、新たに１２８ビットのアドレス長を持つプロトコルとしてＩＰｖ６への移行が進んでいる。また、ネットワーク監視装置などの多くのネットワークセキュリティ製品においても、ＩＰｖ６に対応したものが急速に求められている。

ＩＰｖ６環境における、盗聴や通信妨害のハッキングのひとつとして、近隣探索（Ｎｅｉｇｈｂｏｒ Ｄｉｓｃｏｖｅｒｙ：ＮＤ）スプーフィングが知られている。これはＩＰｖ４のａｒｐスプーフィングに相当する手法である。ＩＰｖ６環境では、ＩＣＭＰｖ６による近隣探索により、目的のＩＰｖ６アドレスのＭＡＣアドレスを探し出し、探し出したＭＡＣアドレスを近隣キャッシュに登録する。例えば、不正アクセスなどによりマルウェアに感染した端末装置が同一リンク内にあった場合、この不正な端末装置が任意の端末装置からの近隣要請（Ｎｅｉｇｈｂｏｒ Ｓｏｌｉｃｉｔａｔｉｏｎ：ＮＳ）に対して、使われていないＭＡＣアドレスを格納した近隣広告（Ｎｅｉｇｈｂｏｒ Ａｄｖｅｒｔｉｓｅｍｅｎｔ：ＮＡ）を返信したようになりすますことでＤｏＳ攻撃などが可能となる（非特許文献１参照）。

このような近隣探索スプーフィングを検知する上での対策として、例えば、非特許文献１は、ＮＤ関連のパケットを監視して、Ｌ２（Ｄａｔａ ｌｉｎｋ ｌａｙｅｒ）とＬ３（Ｎｅｔｗｏｒｋ ｌａｙｅｒ）のアドレスマッピングを学習し、すでに学習済みのＬ３に関する不正端末からのＮＡをフィルタによりブロックする手法を開示している。

上記の近隣探索スプーフィングを検知する従来技術によると、例えば、スイッチングＨＵＢ等で予めＩＰアドレスとＭＡＣアドレスとの正常なペアを登録または学習しておき、スイッチングＨＵＢ内に流れるＮＡパケットで、正常とされるペアから外れたＮＡパケットが流れた場合に不正であると判断する。

ＩＰｖ６ 技術検証協議会「セキュリティ評価・対策検証部会最終報告書 ２．１．１．２．対策案」２０１２年８月

しかし、非特許文献１に記載の技術では、例えば、ＩＰアドレスが変更されるＩＰｖ６環境も存在するなかで、登録済みのＩＰアドレスが変更されることや、端末装置が新たに追加される度にＩＰアドレスとＭＡＣアドレスとのペアを新たに登録しなければならず、誤検知や登録作業が増えるなどの欠点があった。

本発明は、上述した課題を解決するためになされたものであり、予めＩＰアドレスとＭＡＣアドレスとのペアの登録や学習を必要とせず、より簡易な構成により近隣探索スプーフィングを検知することを目的とする。

上述した課題を解決するために、本発明に係る不正検出装置は、ネットワーク上を流れるパケットを監視して、近隣探索プロトコルに基づく近隣広告パケットを検知するように構成された検知部と、検知された前記近隣広告パケットの送信元のＭＡＣアドレスを送信先のＭＡＣアドレスとして設定し、マルチキャストグループへの参加状況を問い合わせる問い合わせパケットを前記ネットワークを介してオールノードマルチキャスト送信するように構成された送信部と、前記問い合わせパケットに対する応答パケットを前記送信先のＭＡＣアドレスを有する端末装置から受信するように構成された受信部と、前記応答パケットに含まれる、前記応答パケットの送信元である前記端末装置が参加するマルチキャストグループを識別するマルチキャストアドレスが示す第１のＩＰアドレスと、前記近隣広告パケットにより近隣探索の対象となっている第２のＩＰアドレスとが異なる場合に、前記応答パケットの送信元の前記端末装置は不正であると判断するように構成された判断部とを備える。

また、本発明に係る不正検出装置において、前記判断部は、前記受信部が前記応答パケットを受信しなかった場合に、前記問い合わせパケットの前記送信先のＭＡＣアドレスを有する前記端末装置は不正であると判断してもよい。

また、本発明に係る不正検出装置において、前記判断部は、前記検知部が検知した前記近隣広告パケットから、前記第２のＩＰアドレスを取得してもよい。

また、本発明に係る不正検出装置において、前記マルチキャストアドレスは、要請ノードマルチキャストアドレスであってもよい。

また、本発明に係る不正検出装置において、前記判断部による判断結果を表示画面に表示するように構成された表示装置をさらに備えていてもよい。

上述した課題を解決するために、本発明に係る不正検出方法は、ネットワーク上を流れるパケットを監視して、近隣探索プロトコルに基づく近隣広告パケットを検知する第１ステップと、前記第１ステップで検知された前記近隣広告パケットの送信元のＭＡＣアドレスを送信先のＭＡＣアドレスとして設定し、マルチキャストグループへの参加状況を問い合わせる問い合わせパケットを前記ネットワークを介してオールノードマルチキャスト送信する第２ステップと、前記問い合わせパケットに対する応答パケットを前記送信先のＭＡＣアドレスを有する端末装置から受信する第３ステップと、前記応答パケットに含まれる、前記応答パケットの送信元である前記端末装置が参加するマルチキャストグループを識別するマルチキャストアドレスが示す第１のＩＰアドレスと、前記近隣広告パケットにより近隣探索の対象となっている第２のＩＰアドレスとが異なる場合に、前記応答パケットの送信元の前記端末装置は不正であると判断する第４ステップとを備える。

本発明によれば、近隣探索プロトコルに基づく所定のパケットを検知し、その所定のパケットの送信元のＭＡＣアドレスを送信先のＭＡＣアドレスとしてオールノードマルチキャスト送信した問い合わせパケットに対する応答パケットに含まれる、送信元の端末装置が参加するマルチキャストアドレスが示す第１のＩＰアドレスと、近隣探索の対象となっている第２のＩＰアドレスとが異なる場合に、応答パケットの送信元の端末装置は不正であると判断する。そのため、予めＩＰアドレスとＭＡＣアドレスとのペアの登録や学習を必要とせず、より簡易な構成により近隣探索スプーフィングを検知することができる。

図１は、本発明の実施の形態に係る不正検出装置を含むネットワークシステムの構成を示すブロック図である。 図２は、実施の形態に係る不正検出装置の構成を示すブロック図である。 図３は、実施の形態に係る不正検出装置のハードウェア構成を示すブロック図である。 図４は、実施の形態に係る不正検出方法を説明するためのフローチャートである。 図５は、実施の形態に係るネットワークシステムの動作を示すシーケンス図である。 図６は、実施の形態に係るネットワークシステムの動作を示すシーケンス図である。

以下、本発明の好適な実施の形態について、図１から図６を参照して詳細に説明する。

［ネットワークシステムの構成］
まず、本発明の実施の形態に係る不正検出装置１を備えるネットワークシステムの概要について説明する。図１に示すように、ネットワークシステムは不正検出装置１と、ＬＡＮなどのネットワークＮＷを介して接続されている複数の端末装置２、３、４とを備える。ネットワークシステムは、例えば、ＢＡ（Ｂｕｉｌｄｉｎｇ Ａｕｔｏｍａｔｉｏｎ）システムなどに設けられる。

本発明の実施の形態に係る不正検出装置１は、ネットワークＮＷを監視して、近隣探索スプーフィングを行う不正端末を検出する。

端末装置２、３、４は、ＩＰｖ６が動作するＰＣなどの端末である。本実施の形態において、図１に示す端末装置２、３は正規端末である。一方、端末装置４は、例えば、マルウェアなどに感染した不正端末である。図１に示すように、端末装置２、３、４には、それぞれＩＰｖ６アドレスが設定されている。

不正検出装置１は、ネットワークＮＷを流れるパケットを監視して、近隣探索プロトコル（ＮＤＰ）に基づくＮＡパケットおよびＮＳパケット（所定のパケット）を検知する。不正検出装置１は、検知したＮＡパケットに含まれるターゲットリンク層アドレス（Ｔａｒｇｅｔ Ｌｉｎｋ－ｌａｙｅｒ Ａｄｄｒｅｓｓ）、または、ＮＳパケットに含まれるソースリンク層アドレス（Ｓｏｕｒｃｅ Ｌｉｎｋ－ｌａｙｅｒ Ａｄｄｒｅｓｓ）が示すＭＡＣアドレスを取得する。

近隣探索スプーフィングを行う不正端末は、ネットワークＮＷの通信傍受やデータの改ざんなどの不正アクセスを行う目的で、ネットワークＮＷ上の他の正規の端末装置になりすましてＮＡパケットあるいはＮＳパケットを送信する。このような不正端末は、不正なＮＡパケットやＮＳパケットにおけるオプションフォーマットのフィールド「Ｔａｒｇｅｔ Ｌｉｎｋ－ｌａｙｅｒ Ａｄｄｒｅｓｓ」または「Ｓｏｕｒｃｅ Ｌｉｎｋ－ｌａｙｅｒ Ａｄｄｒｅｓｓ」に自装置のＭＡＣアドレスを格納する。

本実施の形態に係る不正検出装置１は、検知したＮＡパケットに含まれるＴａｒｇｅｔ Ｌｉｎｋ－ｌａｙｅｒ Ａｄｄｒｅｓｓ、またはＮＳパケットに含まれるＳｏｕｒｃｅ Ｌｉｎｋ－ｌａｙｅｒ Ａｄｄｒｅｓｓが示すＭＡＣアドレスを送信先ＭＡＣアドレスとして設定し、検査のためのＧｅｎｅｒａｌ ＱｕｅｒｙのＭｕｌｔｉｃａｓｔ Ｌｉｓｔｅｎｅｒ Ｑｕｅｒｙ（ＭＬＱ）をオールノードマルチキャスト送信する。

ＭＬＱパケットは、ルータがリスナーに対して受信を希望するマルチキャストグループが存在するかどうかを問い合わせることに用いられるメッセージである。また、Ｇｅｎｅｒａｌ Ｑｕｅｒｙは、リンクローカルスコープ内に存在するすべてのリスナーに対して、どのマルチキャストグループに参加しているのかを調べるクエリである。

不正検出装置１は、ＭＬＱパケットに対する応答パケットとしてＭＬＱパケットを受信した端末装置が参加しているマルチキャストグループを識別するマルチキャストアドレスを報告するためのＭｕｌｔｉｃａｓｔ Ｌｉｓｔｅｎｅｒ Ｒｅｐｏｒｔ（ＭＬＲ）を受信する。ＭＬＲパケットには、要請ノードマルチキャストアドレスが含まれる。要請ノードマルチキャストアドレスは、インターフェースに割り当てられたユニキャストアドレスやエニーキャストアドレスであるＩＰｖ６アドレスから計算される。

また、要請ノードマルチキャストアドレスは、ユニキャストアドレスやエニーキャストアドレスの下位２４ｂｉｔから構成される。要請ノードマルチキャストアドレスのアドレス範囲は、［ＦＦ０２：：１ＦＦ００：００００］から［ＦＦ０２：：１ＦＦＦＦ：ＦＦＦＦ］であることから、ＩＰｖ６アドレスが容易に判別可能である。

本実施の形態に係る不正検出装置１は、検査のために送信したＭＬＱパケットに対する応答として受信したＭＬＲパケットに含まれる要請ノードマルチキャストアドレスが示すＭＬＲパケットの送信元のＩＰｖ６アドレス（第１のＩＰアドレス）と、ＮＳパケットやＮＡパケットの送信により近隣探索の対象となっているＩＰｖ６アドレス（第２のＩＰアドレス）とを比較する。これらのＩＰｖ６アドレスが一致しない場合には、不正検出装置１は、ＭＬＲパケットの送信元は、近隣探索スプーフィングを行う不正端末であると判断する。

［不正検出装置の機能ブロック］
不正検出装置１は、図２に示すように、検知部１０、送信部１１、受信部１２、判断部１３、および記憶部１４を備える。

検知部１０は、ネットワークＮＷを流れるパケットを監視して、近隣探索プロトコルに基づくＮＳパケットおよびＮＡパケットを検知する。検知部１０は、例えば、ポートミラーリングにより、ネットワークＮＷ上のパケットを監視することができる。

送信部１１は、検知部１０により検知されたＮＳパケットまたはＮＡパケットの送信元ＭＡＣアドレスを送信先ＭＡＣアドレスとして設定し、Ｇｅｎｅｒａｌ ＱｕｅｒｙのＭＬＱパケットをオールノードマルチキャスト送信する。より詳細には、送信部１１は、ＮＳパケットまたはＮＡパケットに含まれる、Ｓｏｕｒｃｅ／Ｔａｒｇｅｔ Ｌｉｎｋ－ｌａｙｅｒ Ａｄｄｒｅｓｓに格納された、パケットの送信元ＭＡＣアドレスを、ＭＬＱパケットの送信先ＭＡＣアドレスとして設定する。例えば、端末装置４がＮＳパケットまたはＮＡパケットを送信した場合、Ｓｏｕｒｃｅ／Ｔａｒｇｅｔ Ｌｉｎｋ－ｌａｙｅｒ Ａｄｄｒｅｓｓに格納されたＭＡＣアドレス「Ｈ」を、ＭＬＱパケットの送信先ＭＡＣアドレスとして設定する。

受信部１２は、送信部１１により送信されたＭＬＱパケットに対する応答パケットであるＭＬＲパケットを受信する。受信部１２によって受信されるＭＬＲパケットは、ＭＬＱパケットの送信先ＭＡＣアドレス、例えば「Ｈ」を有する端末装置４によって返信されたＭＬＲパケットである。なお、ＭＬＱパケットの送信先ＭＡＣアドレス「Ｈ」を有する図１の端末装置４が、ＩＰｖ６プロトコルスタックを無効にしたステルス端末の場合には、端末装置４はＭＬＲパケットを返さない。この場合、受信部１２は、ＭＬＱパケットの送信先である端末装置４からＭＬＲパケットを受信しないことになる。この場合の不正検出処理については後述する。

判断部１３は、受信部１２が受信したＭＬＲパケットに含まれる要請ノードマルチキャストアドレスが示すＩＰｖ６アドレスと、検知部１０によって検知されたＮＳパケットまたはＮＡパケットにより近隣探索の対象となっているＩＰｖ６アドレスとが異なる場合には、ＭＬＲパケットの送信元の端末装置（例えば、端末装置４）は、不正であると判断する。

より詳細には、判断部１３は、受信部１２が受信したＭＬＲパケットに含まれる、ＭＬＲパケットの送信元の端末装置４が参加するマルチキャストグループを識別する要請ノードマルチキャストアドレスが示すＩＰｖ６アドレス（図１の「Ｋ」）を取得する。前述したように、要請ノードマルチキャストアドレスは、リンクローカルのプレフィックスにＩＰｖ６アドレスの下位２４ｂｉｔ（下位３バイト）を加えることで生成される。これに基づき、判断部１３は、ＭＬＲパケットに含まれる要請ノードマルチキャストアドレスから、ＩＰｖ６アドレス（図１の「Ｋ」）を判別することができる。

また、判断部１３は、検知部１０が検知したＮＳパケットまたはＮＡパケットから近隣探索の対象となっているＩＰｖ６アドレスを判別して取得することができる。例えば、近隣探索の対象となっているＩＰｖ６アドレスが、端末装置３のＩＰｖ６アドレス「Ｇ」であり、ＭＬＲパケットの要請ノードマルチキャストアドレスが示すＩＰｖ６アドレスが「Ｋ」である場合を考える。この場合、ＩＰｖ６アドレスは一致しないので、判断部１３は、ＭＬＲパケットの送信元の端末装置４（ＩＰｖ６アドレス「Ｋ」、ＭＡＣアドレス「Ｈ」）は不正であると判断する。

また、判断部１３は、受信部１２がＭＬＲパケットをＭＬＱパケットの送信先ＭＡＣアドレス、例えば「Ｈ」の端末装置４から受信しなかった場合には、その送信先ＭＡＣアドレス「Ｈ」の端末装置４は不正であると判断する。例えば、判断部１３は、送信部１１がＭＬＱパケットを送信してから一定の時間が経過した場合に、ＭＬＲパケットを受信しなかった場合に、ＭＬＲパケットの受信はなかったとすることができる。

記憶部１４は、検知部１０が検知したＮＳパケットまたはＮＡパケットにより近隣探索の対象となっているＩＰｖ６アドレスに関する情報を記憶する。

［不正検出装置のハードウェア構成］
次に上述した機能を有する不正検出装置１のハードウェア構成の一例について、図３を用いて説明する。

図３に示すように、不正検出装置１は、例えば、バス１０１を介して接続されるプロセッサ１０２、主記憶装置１０３、通信インターフェース１０４、補助記憶装置１０５、入出力Ｉ／Ｏ１０６を備えるコンピュータと、これらのハードウェア資源を制御するプログラムによって実現することができる。

主記憶装置１０３には、プロセッサ１０２が各種制御や演算を行うためのプログラムが予め格納されている。プロセッサ１０２と主記憶装置１０３とによって、図２に示した検知部１０、送信部１１、受信部１２、判断部１３など、不正検出装置１の各機能が実現される。

通信インターフェース１０４は、不正検出装置１と端末装置２、３、４や各種外部電子機器との間をネットワーク接続するためのインターフェース回路である。通信インターフェース１０４により、図２で説明した送信部１１によって送信処理されたパケットが送信される。また、通信インターフェース１０４より受信されたパケットが受信部１２によって受信処理される。

補助記憶装置１０５は、読み書き可能な記憶媒体と、その記憶媒体に対してプログラムやデータなどの各種情報を読み書きするための駆動装置とで構成されている。補助記憶装置１０５には、記憶媒体としてハードディスクやフラッシュメモリなどの半導体メモリを使用することができる。

補助記憶装置１０５は、不正検出装置１が、ネットワークＮＷ上で近隣探索スプーフィングを行う不正端末を検出するためのプログラムを格納するプログラム格納領域を有する。補助記憶装置１０５によって、図２で説明した記憶部１４が実現される。さらには、例えば、上述したデータやプログラムやなどをバックアップするためのバックアップ領域などを有していてもよい。

入出力Ｉ／Ｏ１０６は、外部機器からの信号を入力したり、外部機器へ信号を出力したりするＩ／Ｏ端子により構成される。

入力装置１０７は、キーボードやタッチパネルなどで構成され、操作入力を受け付けて対応する信号を生成する。

表示装置１０８は、液晶ディスプレイなどによって構成される。表示装置１０８は、判断部１３による判断結果を表示画面に表示することができる。

［不正検出方法］
次に上述した構成を有する不正検出装置１の動作について、図４のフローチャートを用いて説明する。

まず、検知部１０は、ネットワークＮＷを流れるパケットを監視する（ステップＳ１）。その後、検知部１０によってＮＳパケットまたはＮＡパケットが検知されると（ステップＳ２：ＹＥＳ）、送信部１１は、ＮＳパケットまたはＮＡパケットの送信元ＭＡＣアドレスを、送信先ＭＡＣアドレスとして設定して、Ｇｅｎｅｒａｌ ＱｕｅｒｙのＭＬＱパケットをオールノードマルチキャスト送信する（ステップＳ３）。例えば、ＮＡパケットに含まれるＴａｒｇｅｔ Ｌｉｎｋ－ｌａｙｅｒ ＡｄｄｒｅｓｓのＭＡＣアドレスを、ＭＬＱパケットの送信先ＭＡＣアドレスとして設定する。

次に、受信部１２は、ＭＬＱパケットに対する応答であるＭＬＲパケットを、ＭＬＱパケットの送信先ＭＡＣアドレスを有する端末装置から受信しなかった場合には（ステップＳ４：ＮＯ）、判断部１３は、ＭＬＱパケットの送信先ＭＡＣアドレスを有する端末装置は不正であると判断する（ステップＳ７）。

一方、受信部１２は、ＭＬＱパケットに対するＭＬＲパケットを、ＭＬＱパケットの送信先ＭＡＣアドレスを有する端末装置から受信した場合（ステップＳ４：ＹＥＳ）、判断部１３は、以下の処理を実行する。すなわち、判断部１３は、ＭＬＲパケットに含まれる要請ノードマルチキャストアドレスが示すＩＰｖ６アドレスと、検知部１０が検知したＮＳパケットまたはＮＡパケットにより近隣探索の対象となっているＩＰｖ６アドレスとを比較する（ステップＳ５）。

判断部１３は、ＭＬＲパケットに含まれる要請ノードマルチキャストアドレスが示すＩＰｖ６アドレスと、検知部１０が検知したＮＳパケットまたはＮＡパケットにより近隣探索の対象となっているＩＰｖ６アドレスとが一致しない場合には（ステップＳ６：ＮＯ）、ＭＬＲパケットの送信元の端末装置は不正であると判断する（ステップＳ７）。

その後、表示装置１０８は、判断結果を表示画面に表示して出力する（ステップＳ８）。なお、判断部１３による判断結果は、ネットワークＮＷ上の特定のサーバなどに通信インターフェース１０４から送出される構成とすることもできる。

［ネットワークシステムの動作シーケンス］
次に、本実施の形態に係る不正検出装置１を備えるネットワークシステムの動作を図５および図６のシーケンス図を参照して説明する。以下において、端末装置２、３は正規端末であり、端末装置４は不正端末であるものとする。また、端末装置２は、ＩＰｖ６アドレス「Ａ」、ＭＡＣアドレス「Ｓ」を有し、端末装置３は、ＩＰｖ６アドレス「Ｇ」、ＭＡＣアドレス「Ｍ」を有する。また、端末装置４は、ＩＰｖ６アドレス「Ｋ」、ＭＡＣアドレス「Ｈ」を有する。

［不正なＮＡパケットが検知される場合］
図５は、端末装置４が不正なＮＡパケットを送信する場合のネットワークシステムの動作シーケンスである。

不正検出装置１は、ネットワークＮＷを監視している（ステップＳ１００）。その後、正規端末である端末装置２は、ＮＳパケットをオールノードマルチキャスト送信する（ステップＳ１０１）。より詳細には、端末装置２は、正規端末である端末装置３のＭＡＣアドレスを解決するために、端末装置３のＩＰｖ６アドレス「Ｇ」（図５の「Ｔａｒｇｅｔ ＩＰｖ６：Ｇ」）を指定する。なお、図５に示すように、ＮＳパケットの送信元には、端末装置２が示されている（図５の「Ｓｒｃ：端末装置２」）。

次に、不正検出装置１は、端末装置２がステップＳ１０１で送信したＮＳパケットを検知する（ステップＳ１０２）。このとき、不正検出装置１は、近隣探索の対象となっているＩＰｖ６アドレス「Ｇ」をＮＳパケットから取得する。なお、端末装置４においても、端末装置２によりオールノードマルチキャスト送信されたＮＳパケットは受信されている。

次に、端末装置４は、端末装置３になりすまして、ＮＳパケットに対する応答としてＮＡパケットを送信する（ステップＳ１０３）。より詳細には、端末装置４は、ＮＡパケットのＴａｒｇｅｔ Ｌｉｎｋ－ｌａｙｅｒ Ａｄｄｒｅｓｓに自装置のＭＡＣアドレス「Ｈ」を格納し、ＮＳパケットの送信元である端末装置２に対して、不正なＮＡパケットを返信する。また、この不正なＮＡパケットの送信元は端末装置４がなりすましている端末装置３を示している（図５の「Ｓｒｃ：端末装置３」）。

ネットワークＮＷ上を流れるパケットを監視する不正検出装置１は、端末装置４が送信した不正なＮＡパケットを検知する（ステップＳ１０４）。次に、不正検出装置１は、ＮＡパケットのＴａｒｇｅｔ Ｌｉｎｋ－ｌａｙｅｒ Ａｄｄｒｅｓｓ「Ｈ」を、
送信先ＭＡＣアドレス「Ｈ」としたＧｅｎｅｒａｌ ＱｕｅｒｙのＭＬＱパケットを、オールノードマルチキャスト送信する（ステップＳ１０５）。

次に、ＭＡＣアドレス「Ｈ」の端末装置４は、ＭＬＱパケットを受信し、ＭＬＱパケットに対する応答パケットとしてＭＬＲパケットを不正検出装置１に返信する（ステップＳ１０６）。具体的には、ＭＬＱパケットを受信した端末装置４は、自装置が所属しているマルチキャストアドレスをＭＬＲパケットとして返信する。このＭＬＲパケットには、端末装置４のＩＰｖ６アドレス「Ｋ」に基づいた要請ノードマルチキャストアドレスが含まれる。

その後、不正検出装置１は、端末装置４からのＭＬＲパケットを受信し、ＭＬＲパケットに含まれる要請ノードマルチキャストアドレスが示すＩＰｖ６アドレス「Ｋ」と、近隣探索の対象となっているＩＰｖ６アドレス「Ｇ」とは一致しないため（ステップＳ１０７：ＮＯ）、ＭＬＲパケットの送信元である端末装置４は不正であると判断する（ステップＳ１０８）。なお、ステップＳ１０１で送信されたＮＳパケットに対して、正規の端末装置３がＮＡパケットを送信する場合には、ステップＳ１０７において、近隣探索の対象となっているＩＰｖ６アドレスと、要請ノードマルチキャストアドレスが示すＩＰｖ６アドレスとは一致することになる。

その後、不正検出装置１は、端末装置４が不正であると判断した結果を出力する（ステップＳ１０９）。

［不正なＮＳパケットが検知される場合］
図６は、端末装置４が不正なＮＳパケットを送信する場合のネットワークシステムの動作シーケンスを示している。

まず、不正検出装置１は、ネットワークＮＷ上を流れるパケットを監視する（ステップＳ２００）。その後、端末装置４は、自装置のＭＡＣアドレス「Ｈ」を「Ｓｏｕｒｃｅ Ｌｉｎｋ－ｌａｙｅｒ Ａｄｄｒｅｓｓ」に格納し、正規の端末装置２になりすましてＮＳパケットを送信する（ステップＳ２０１）。この不正なＮＳパケットは、端末装置４が端末装置２になりすまして（図６の「Ｓｒｃ：端末装置２」）、端末装置３のＩＰｖ６アドレス「Ｇ」のＭＡＣアドレスを問い合わせるものである（図６の「Ｔａｒｇｅｔ ＩＰｖ６：Ｇ」）。図６に示すように、正規の端末装置２は、実際にはＮＳパケットを送信していない。

次に、不正検出装置１は、端末装置４が送信した不正なＮＳパケットを検知する（ステップＳ２０２）。次に、不正検出装置１は、検知したＮＳパケットのＳｏｕｒｃｅ Ｌｉｎｋ－ｌａｙｅｒ Ａｄｄｒｅｓｓが示すＭＡＣアドレス「Ｈ」を送信先ＭＡＣアドレスとしたＧｅｎｅｒａｌ ＱｕｅｒｙのＭＬＱパケットをオールノードマルチキャスト送信する（ステップＳ２０３）。

ＭＬＱパケットを受信した端末装置４は、自装置のＩＰｖ６アドレス「Ｋ」に基づいた要請ノードマルチキャストアドレスを含むＭＬＲパケットを返信する（ステップＳ２０４）。次に、不正検出装置１は、ＭＬＲパケットを受信し、ＭＬＲパケットに含まれる要請ノードマルチキャストアドレスが示すＩＰｖ６アドレス「Ｋ」と、近隣探索の対象となっているＩＰｖ６アドレス「Ｇ」とは一致しないため（ステップＳ２０５：ＮＯ）、ＭＬＲパケットの送信元の端末装置４は不正であると判断する（ステップＳ２０６）。

その後、表示装置１０８は、判断結果を表示画面に表示する（ステップＳ２０７）。

以上説明したように、本実施の形態によれば、ネットワークＮＷ上を流れるＮＳパケットおよびＮＡパケットを検知して、これらのパケットに含まれるＳｏｕｒｃｅ／Ｔａｒｇｅｔ Ｌｉｎｋ－ｌａｙｅｒ Ａｄｄｒｅｓｓに格納されたＭＡＣアドレスを送信先ＭＡＣアドレスとしてＧｅｎｅｒａｌ ＱｕｅｒｙのＭＬＱパケットをオールノードマルチキャスト送信する。また、ＭＬＱパケットに対する応答であるＭＬＲパケットに含まれる要請ノードマルチキャストアドレスが示すＩＰｖ６アドレスと近隣探索の対象となっているＩＰｖ６アドレスとを比較して不正端末を検出する。そのため、予めＩＰアドレスとＭＡＣアドレスとのペアの登録や学習を必要とせず、より簡易な構成により近隣探索スプーフィングを検知することができる。

また、本実施の形態によれば、送信先ＭＡＣアドレスを指定したＭＬＱパケットに対する応答であるＭＬＲパケットが受信されなかった場合には、ＭＬＱパケットの送信先の端末装置は不正であると判断する。そのため、不正端末がステルス端末の場合であっても、近隣探索スプーフィングを検知することができる。

なお、説明した実施の形態に係る不正検出装置１では、判断部１３によるＩＰｖ６アドレスの比較による判断結果を出力し、例えば、表示装置１０８の表示画面に判断結果を表示する場合を例示した。これに加えて、不正検出装置１は、正規の端末装置２、３が送信した１つのＮＳパケットに対して、２つ以上のＮＡパケットを検知した場合においても、その旨を表示装置１０８に表示させることができる。例えば、判断部１３が、近隣探索の対象となっているＩＰｖ６アドレスとＭＬＲパケットに含まれる要請ノードマルチキャストアドレスが示すＩＰｖ６アドレスが同じであると判断した場合であっても、２つ以上のＮＡパケットが検知された場合には、ユーザに対して不正の可能性を通知することができる。

以上、本発明の不正検出装置および不正検出方法における実施の形態について説明したが、本発明は説明した実施の形態に限定されるものではなく、請求項に記載した発明の範囲において当業者が想定し得る各種の変形を行うことが可能である。

１…不正検出装置、２、３、４…端末装置、１０…検知部、１１…送信部、１２…受信部、１３…判断部、１４…記憶部、１０１…バス、１０２…プロセッサ、１０３…主記憶装置、１０４…通信インターフェース、１０５…補助記憶装置、１０６…入出力Ｉ／Ｏ、１０７…入力装置、１０８…表示装置、ＮＷ…ネットワーク。

Claims (6)

1. ネットワーク上を流れるパケットを監視して、近隣探索プロトコルに基づく近隣広告パケットを検知するように構成された検知部と、
   検知された前記近隣広告パケットの送信元のＭＡＣアドレスを送信先のＭＡＣアドレスとして設定し、マルチキャストグループへの参加状況を問い合わせる問い合わせパケットを前記ネットワークを介してオールノードマルチキャスト送信するように構成された送信部と、
   前記問い合わせパケットに対する応答パケットを前記送信先のＭＡＣアドレスを有する端末装置から受信するように構成された受信部と、
   前記応答パケットに含まれる、前記応答パケットの送信元である前記端末装置が参加するマルチキャストグループを識別するマルチキャストアドレスが示す第１のＩＰアドレスと、前記近隣広告パケットにより近隣探索の対象となっている第２のＩＰアドレスとが異なる場合に、前記応答パケットの送信元の前記端末装置は不正であると判断するように構成された判断部と
   を備える不正検出装置。
2. 請求項１に記載の不正検出装置において、
   前記判断部は、前記受信部が前記応答パケットを受信しなかった場合に、前記問い合わせパケットの前記送信先のＭＡＣアドレスを有する前記端末装置は不正であると判断する
   ことを特徴とする不正検出装置。
3. 請求項１または請求項２に記載の不正検出装置において、
   前記判断部は、前記検知部が検知した前記近隣広告パケットから、前記第２のＩＰアドレスを取得する
   ことを特徴とする不正検出装置。
4. 請求項１から３のいずれか１項に記載の不正検出装置において、
   前記マルチキャストアドレスは、要請ノードマルチキャストアドレスである
   ことを特徴とする不正検出装置。
5. 請求項１から４のいずれか１項に記載の不正検出装置において、
   前記判断部による判断結果を表示画面に表示するように構成された表示装置をさらに備える
   ことを特徴とする不正検出装置。
6. ネットワーク上を流れるパケットを監視して、近隣探索プロトコルに基づく近隣広告パケットを検知する第１ステップと、
   前記第１ステップで検知された前記近隣広告パケットの送信元のＭＡＣアドレスを送信先のＭＡＣアドレスとして設定し、マルチキャストグループへの参加状況を問い合わせる問い合わせパケットを前記ネットワークを介してオールノードマルチキャスト送信する第２ステップと、
   前記問い合わせパケットに対する応答パケットを前記送信先のＭＡＣアドレスを有する端末装置から受信する第３ステップと、
   前記応答パケットに含まれる、前記応答パケットの送信元である前記端末装置が参加するマルチキャストグループを識別するマルチキャストアドレスが示す第１のＩＰアドレスと、前記近隣広告パケットにより近隣探索の対象となっている第２のＩＰアドレスとが異なる場合に、前記応答パケットの送信元の前記端末装置は不正であると判断する第４ステップと
   を備える不正検出方法。

Images