JP7444600B2 - Detection device and detection method - Google Patents

Detection device and detection method Download PDF

Info

Publication number
JP7444600B2
JP7444600B2 JP2019234003A JP2019234003A JP7444600B2 JP 7444600 B2 JP7444600 B2 JP 7444600B2 JP 2019234003 A JP2019234003 A JP 2019234003A JP 2019234003 A JP2019234003 A JP 2019234003A JP 7444600 B2 JP7444600 B2 JP 7444600B2
Authority
JP
Japan
Prior art keywords
packet
terminal device
network
identification information
detection device
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Active
Application number
JP2019234003A
Other languages
Japanese (ja)
Other versions
JP2021103836A (en
Inventor
貴彦 太田
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Azbil Corp
Original Assignee
Azbil Corp
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Azbil Corp filed Critical Azbil Corp
Priority to JP2019234003A priority Critical patent/JP7444600B2/en
Priority to KR1020200176612A priority patent/KR20210082364A/en
Priority to CN202011498504.2A priority patent/CN113037704B/en
Publication of JP2021103836A publication Critical patent/JP2021103836A/en
Application granted granted Critical
Publication of JP7444600B2 publication Critical patent/JP7444600B2/en
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/10—Network architectures or network communication protocols for network security for controlling access to devices or network resources
    • H04L63/101—Access control lists [ACL]
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/0876—Network architectures or network communication protocols for network security for authentication of entities based on the identity of the terminal or configuration, e.g. MAC address, hardware or software configuration or device fingerprint
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L12/00—Data switching networks
    • H04L12/02—Details
    • H04L12/16—Arrangements for providing special services to substations
    • H04L12/18—Arrangements for providing special services to substations for broadcast or conference, e.g. multicast
    • H04L12/185—Arrangements for providing special services to substations for broadcast or conference, e.g. multicast with management of multicast group membership
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L12/00—Data switching networks
    • H04L12/02—Details
    • H04L12/16—Arrangements for providing special services to substations
    • H04L12/18—Arrangements for providing special services to substations for broadcast or conference, e.g. multicast
    • H04L12/1863—Arrangements for providing special services to substations for broadcast or conference, e.g. multicast comprising mechanisms for improved reliability, e.g. status reports
    • H04L12/1877—Measures taken prior to transmission
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L43/00—Arrangements for monitoring or testing data switching networks
    • H04L43/08—Monitoring or testing based on specific metrics, e.g. QoS, energy consumption or environmental parameters
    • H04L43/0805—Monitoring or testing based on specific metrics, e.g. QoS, energy consumption or environmental parameters by checking availability
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L43/00—Arrangements for monitoring or testing data switching networks
    • H04L43/10—Active monitoring, e.g. heartbeat, ping or trace-route
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L45/00—Routing or path finding of packets in data switching networks
    • H04L45/16—Multipoint routing
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L61/00—Network arrangements, protocols or services for addressing or naming
    • H04L61/09—Mapping addresses
    • H04L61/25—Mapping addresses of the same type
    • H04L61/2503—Translation of Internet protocol [IP] addresses
    • H04L61/256—NAT traversal
    • H04L61/2571—NAT traversal for identification, e.g. for authentication or billing 
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L61/00—Network arrangements, protocols or services for addressing or naming
    • H04L61/50—Address allocation
    • H04L61/5069—Address allocation for group communication, multicast communication or broadcast communication
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/30—Network architectures or network communication protocols for network security for supporting lawful interception, monitoring or retaining of communications or communication related information
    • H04L63/308—Network architectures or network communication protocols for network security for supporting lawful interception, monitoring or retaining of communications or communication related information retaining data, e.g. retaining successful, unsuccessful communication attempts, internet access, or e-mail, internet telephony, intercept related information or call content

Landscapes

  • Engineering & Computer Science (AREA)
  • Signal Processing (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Computer Security & Cryptography (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Computer Hardware Design (AREA)
  • Health & Medical Sciences (AREA)
  • Cardiology (AREA)
  • General Health & Medical Sciences (AREA)
  • Environmental & Geological Engineering (AREA)
  • Technology Law (AREA)
  • Power Engineering (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)
  • Small-Scale Networks (AREA)

Description

本発明は、検出装置および検出方法に関し、特にＩＰｖ６環境においてネットワークに接続された機器を検出する技術に関する。 The present invention relates to a detection device and a detection method, and particularly to a technique for detecting devices connected to a network in an IPv6 environment.

近年、ＩｏＴの普及により様々な機器がインターネットにつながるようになっており、管理者が知らないうちに見知らぬ機器や悪意ある機器がネットワークに接続してしまうことも発生している。そのため、ネットワークへの接続が許可されていない機器や悪意のある機器が不正アクセスを行い、クラッキングや情報漏えいなどが発生することへの対策が必要とされている。 In recent years, with the spread of IoT, various devices have become connected to the Internet, and unknown or malicious devices have sometimes connected to the network without the administrator's knowledge. Therefore, countermeasures are needed to prevent devices that are not allowed to connect to the network or malicious devices to gain unauthorized access, resulting in cracking and information leaks.

そこで、このような不正アクセスを防止する従来技術として、ＩＰネットワーク上で、ＩＰアドレスとＭＡＣアドレスとの対応関係を指定するためのＡＲＰ（Ａｄｄｒｅｓｓ Ｒｅｓｏｌｕｔｉｏｎ Ｐｒｏｔｏｃｏｌ）パケットを監視して、不正な機器を特定する技術が提案されている（例えば、特許文献１から３参照）。 Therefore, as a conventional technology to prevent such unauthorized access, an unauthorized device is identified by monitoring ARP (Address Resolution Protocol) packets that specify the correspondence between IP addresses and MAC addresses on an IP network. Techniques to do so have been proposed (for example, see Patent Documents 1 to 3).

ところが、近年インターネットにつながる機器の数が爆発的に増加したことにより、ＩＰプロトコルネットワークで使用されるアドレス空間が拡張されるようになっている。従来のＡＲＰパケットの監視による不正アクセスの防止技術では、ネットワーク上の端末装置などの機器を把握するために、アドレス空間を総当たりで検索する。従来の技術では、多数の調査パケットを送信する必要があるので、ネットワーク負荷が増大し、また、検索にかかる時間も増加するという問題があった。 However, as the number of devices connected to the Internet has increased explosively in recent years, the address space used in IP protocol networks has been expanded. In conventional technology for preventing unauthorized access by monitoring ARP packets, address spaces are searched by brute force in order to identify devices such as terminal devices on a network. In the conventional technology, since it is necessary to transmit a large number of survey packets, there is a problem that the network load increases and the time required for searching also increases.

特開２００５－０７９７０６号公報Japanese Patent Application Publication No. 2005-079706 特開２００５－１９８０９０号公報Japanese Patent Application Publication No. 2005-198090 特開２００８－２２７６００号公報JP2008-227600A

本発明は、上述した課題を解決するためになされたものであり、ネットワークの負荷を低減しつつ、ネットワークへの接続が許可されていない端末装置を即座に検出することを目的とする。 The present invention has been made to solve the above-mentioned problems, and aims to immediately detect terminal devices that are not permitted to connect to the network while reducing the load on the network.

上述した課題を解決するために、本発明に係る検出装置は、調査パケットをネットワークを介してオールノードマルチキャスト送信するように構成された送信部と、前記調査パケットに対する応答パケットを受信するように構成された受信部と、前記応答パケットに含まれる、前記応答パケットの送出元の端末装置のアドレス情報から、前記応答パケットの送出元の前記端末装置に固有の第１識別情報を取得するように構成された取得部と、前記ネットワークへの接続が許可されている端末装置に固有の第２識別情報を記憶するように構成された記憶部と、前記取得部によって取得された前記第１識別情報と前記第２識別情報とを比較して、前記第１識別情報と前記第２識別情報とが一致しない場合に、前記第１識別情報を有する前記端末装置は、前記ネットワークへの接続が許可されていない未許可の端末装置であると判断するように構成された判断部とを備える。 In order to solve the above-mentioned problems, a detection device according to the present invention includes a transmitter configured to transmit a survey packet via an all-node multicast over a network, and a transmitter configured to receive a response packet to the survey packet. configured to acquire first identification information unique to the terminal device that is the sender of the response packet from the received unit and the address information of the terminal device that is the sender of the response packet that is included in the response packet. a storage unit configured to store second identification information specific to a terminal device that is permitted to connect to the network; and the first identification information acquired by the acquisition unit. Comparing the second identification information, if the first identification information and the second identification information do not match, the terminal device having the first identification information is not permitted to connect to the network. and a determination unit configured to determine that the terminal device is an unauthorized terminal device.

また、本発明に係る検出装置において、前記判断部による判断結果を提示するように構成された提示部をさらに備えていてもよい。 Further, the detection device according to the present invention may further include a presentation section configured to present the judgment result by the judgment section.

また、本発明に係る検出装置において、前記提示部は、前記判断結果、および、前記受信部で受信されたすべての前記応答パケットの送出元の端末装置に関する情報を提示してもよい。 Furthermore, in the detection device according to the present invention, the presenting unit may present the determination result and information regarding the terminal device from which all the response packets received by the receiving unit are sent.

また、本発明に係る検出装置において、前記調査パケットは、マルチキャストグループへの参加状況についての問い合わせを行うパケットであり、前記応答パケットは、前記調査パケットを受信した端末装置が参加しているマルチキャストグループを識別するマルチキャストアドレスを含むパケットあってもよい。 Furthermore, in the detection device according to the present invention, the survey packet is a packet for making an inquiry regarding the participation status in a multicast group, and the response packet is a packet for a multicast group in which the terminal device that received the survey packet participates. There may also be a packet containing a multicast address that identifies the .

また、本発明に係る検出装置において、前記第１識別情報および前記第２識別情報は、前記応答パケットの送出元の端末装置および前記ネットワークへの接続が許可されている端末装置に割り当てられているＭＡＣアドレスを含んでいてもよい。 Further, in the detection device according to the present invention, the first identification information and the second identification information are assigned to a terminal device that sends the response packet and a terminal device that is permitted to connect to the network. It may also include a MAC address.

上述した課題を解決するために、本発明に係る検出方法は、調査パケットをネットワークを介してオールノードマルチキャスト送信する第１ステップと、前記調査パケットに対する応答パケットを受信する第２ステップと、前記応答パケットに含まれる、前記応答パケットの送出元の端末装置のアドレス情報から、前記応答パケットの送出元の前記端末装置に固有の第１識別情報を取得する第３ステップと、前記第３ステップで取得された前記第１識別情報と、記憶部に記憶されている前記ネットワークへの接続が許可されている端末装置に固有の第２識別情報とを比較して、前記第１識別情報と前記第２識別情報とが一致しない場合に、前記第１識別情報を有する前記端末装置は、前記ネットワークへの接続が許可されていない未許可の端末装置であると判断する第４ステップとを備える。 In order to solve the above-mentioned problems, a detection method according to the present invention includes a first step of transmitting a survey packet via an all-node multicast via a network, a second step of receiving a response packet to the survey packet, and a second step of transmitting a survey packet by all-node multicasting via a network. a third step of acquiring first identification information unique to the terminal device that is the source of the response packet from address information of the terminal device that is the source of the response packet, which is included in the packet; and acquired in the third step. The first identification information stored in the storage unit is compared with second identification information unique to a terminal device that is permitted to connect to the network, and is stored in a storage unit, and the first identification information and the second identification information are compared. and a fourth step of determining that the terminal device having the first identification information is an unauthorized terminal device that is not permitted to connect to the network if the identification information does not match.

また、本発明に係る検出方法において、前記第４ステップでの判断結果を提示する第５ステップをさらに備えていてもよい。 Furthermore, the detection method according to the present invention may further include a fifth step of presenting the determination result in the fourth step.

本発明によれば、調査パケットをオールノードマルチキャスト送信し、調査パケットに対する応答パケットを受信して、応答パケットの送出元の端末装置に固有の第１識別情報を応答パケットから取得して、第１識別情報と記憶部に記憶されているネットワークへの接続が許可されている端末装置に固有の第２識別情報とを比較する。そのため、ネットワークの負荷を低減しつつ、ネットワークへの接続が許可されていない端末装置を即座に検出することができる。 According to the present invention, a survey packet is transmitted by all-node multicast, a response packet to the survey packet is received, first identification information unique to a terminal device that has sent the response packet is acquired from the response packet, and the first identification information is acquired from the response packet. The identification information is compared with second identification information stored in the storage unit and unique to the terminal device that is permitted to connect to the network. Therefore, it is possible to immediately detect a terminal device that is not permitted to connect to the network while reducing the load on the network.

図１は、本発明の実施の形態に係る検出装置を含むネットワークシステムの構成を示すブロック図である。FIG. 1 is a block diagram showing the configuration of a network system including a detection device according to an embodiment of the present invention. 図２は、実施の形態に係る検出装置の構成を示すブロック図である。FIG. 2 is a block diagram showing the configuration of the detection device according to the embodiment. 図３は、実施の形態に係る検出装置のハードウェア構成を示すブロック図である。FIG. 3 is a block diagram showing the hardware configuration of the detection device according to the embodiment. 図４は、実施の形態に係る検出方法を説明するためのフローチャートである。FIG. 4 is a flowchart for explaining the detection method according to the embodiment. 図５は、実施の形態に係るネットワークシステムの動作を示すシーケンス図である。FIG. 5 is a sequence diagram showing the operation of the network system according to the embodiment.

以下、本発明の好適な実施の形態について、図１から図５を参照して詳細に説明する。
［ネットワークシステムの構成］
まず、本発明の実施の形態に係る検出装置１を備えるネットワークシステムの概要について説明する。図１に示すように、ネットワークシステムは検出装置１と、ＬＡＮなどのネットワークＮＷを介して接続されている複数の端末装置２ａ、２ｂとを備える。ネットワークシステムは、例えば、ＢＡ（Ｂｕｉｌｄｉｎｇ Ａｕｔｏｍａｔｉｏｎ）システムなどに設けられる。 Hereinafter, preferred embodiments of the present invention will be described in detail with reference to FIGS. 1 to 5.
[Network system configuration]
First, an overview of a network system including a detection device 1 according to an embodiment of the present invention will be explained. As shown in FIG. 1, the network system includes a detection device 1 and a plurality of terminal devices 2a and 2b connected via a network NW such as a LAN. The network system is provided in, for example, a BA (Building Automation) system.

端末装置２ａ、２ｂは、ＩＰｖ６が動作するＰＣなどの機器である。本実施の形態では、端末装置２ａは、ネットワークＮＷへの接続が許可された正規端末であり、端末装置２ｂは、例えば、ネットワークＮＷへの接続が許可されていない未許可端末であるものとする。なお、以下において、端末装置２ａ、２ｂを総称して「端末装置２」ということがある。 The terminal devices 2a and 2b are devices such as PCs that operate on IPv6. In this embodiment, it is assumed that the terminal device 2a is a regular terminal that is permitted to connect to the network NW, and the terminal device 2b is, for example, an unauthorized terminal that is not permitted to connect to the network NW. . Note that hereinafter, the terminal devices 2a and 2b may be collectively referred to as "terminal device 2."

本実施の形態に係る検出装置１は、ネットワークＮＷに接続している端末装置２ａ、２ｂを検出し、さらに、予め用意されているホワイトリストを用いて、ネットワークＮＷへの接続が許可されていない未許可端末を検出する。 The detection device 1 according to the present embodiment detects the terminal devices 2a and 2b connected to the network NW, and further uses a white list prepared in advance to identify terminal devices 2a and 2b that are not allowed to connect to the network NW. Detect unauthorized terminals.

近年、ネットワークＮＷにつながる機器のほとんどはＩＰｖ６が有効となっている。このことに鑑み、本実施の形態に係る検出装置１は、ＩＣＭＰｖ６のＭｕｌｔｉｃａｓｔ Ｌｉｓｔｅｎｅｒ Ｄｉｓｃｏｖｅｒｙ（ＭＬＤ）メッセージタイプ１３０によるＭｕｌｔｉｃａｓｔ Ｌｉｓｔｅｎｅｒ Ｑｕｅｒｙ（ＭＬＱ）のうちのＧｅｎｅｒａｌ Ｑｕｅｒｙ（以下、「一般ＭＬＱ」という。）をオールノードマルチキャスト送信する。 In recent years, IPv6 has been enabled for most of the devices connected to the network NW. In view of this, the detection device 1 according to the present embodiment uses the General Query (hereinafter referred to as "general MLQ") of the Multicast Listener Query (MLQ) based on the Multicast Listener Discovery (MLD) message type 130 of ICMPv6. Send all-node multicast.

検出装置１は、送信する一般ＭＬＱパケットの宛先をオールノードマルチキャストアドレスにすることで、一般ＭＬＱパケットは、ローカルネットワーク（ネットワークＮＷ）に接続されているＩＰｖ６が有効なノードによって受信されることになる。本実施の形態では、一般ＭＬＱパケットをネットワークＮＷに接続されている端末装置２の検出、およびネットワークＮＷへの接続が許可されていない未許可端末を検出するための調査パケットとして用いる。 The detection device 1 sets the destination of the general MLQ packet to be sent to an all-node multicast address, so that the general MLQ packet is received by IPv6-enabled nodes connected to the local network (network NW). . In this embodiment, a general MLQ packet is used as an investigation packet for detecting terminal devices 2 connected to the network NW and for detecting unauthorized terminals that are not permitted to connect to the network NW.

ＭＬＱは、ルータがリスナーに対して受信を希望するマルチキャストグループが存在するかどうかを問い合わせることに用いられるメッセージである。また、Ｇｅｎｅｒａｌ Ｑｕｅｒｙは、リンクローカルスコープ内に存在するすべてのリスナーに対して、どのマルチキャストグループに参加しているのかを調べるクエリである。 MLQ is a message used by a router to inquire of a listener as to whether there is a multicast group that the router wishes to receive. Furthermore, the General Query is a query for checking which multicast groups all listeners existing within the link-local scope are participating in.

一般ＭＬＱパケットを受信した端末装置２ａ、２ｂは、各々が参加しているマルチキャストグループを識別するマルチキャストアドレスを報告するための応答パケットを、送出元の検出装置１に送信する。応答パケットは、ＩＣＭＰｖ６のＭＬＤメッセージタイプ１３１によるＭｕｌｔｉｃａｓｔ Ｌｉｓｔｅｎｅｒ Ｒｅｐｏｒｔ（ＭＬＲ）である。 The terminal devices 2a and 2b that have received the general MLQ packet transmit a response packet to the sending source detection device 1 to report a multicast address that identifies the multicast group in which each terminal device participates. The response packet is a Multicast Listener Report (MLR) according to the MLD message type 131 of ICMPv6.

ＭＬＤメッセージであるＭＬＲは、ＩＣＭＰｖ６パケットのフォーマットが使用される。ＩＣＭＰｖ６パケットは、ＩＰｖ６ヘッダとＩＣＭＰｖ６メッセージとで構成される。ＩＣＭＰｖ６メッセージの領域には、自装置が参加しているマルチキャストグループを識別するマルチキャストアドレスを報告するＭＬＲが格納される。また、ＩＰｖ６ヘッダには、送信元アドレスとしてＩＣＭＰｖ６パケットの送信元アドレス（アドレス情報）が格納される。送信元アドレスは、ＩＰｖ６アドレス（１２８ビット）であり、例えば、ステートレスアドレス自動設定が有効な環境では、ＩＰｖ６アドレスの下位６４ビットは、ＥＵＩ－６４フォーマットに従って、自ノードの４８ビットのＭＡＣアドレスから生成される。 The MLR, which is an MLD message, uses an ICMPv6 packet format. An ICMPv6 packet is composed of an IPv6 header and an ICMPv6 message. An MLR that reports a multicast address that identifies a multicast group in which the device itself is participating is stored in the ICMPv6 message area. Further, the IPv6 header stores the source address (address information) of the ICMPv6 packet as the source address. The source address is an IPv6 address (128 bits); for example, in an environment where stateless address automatic configuration is enabled, the lower 64 bits of the IPv6 address are generated from the 48-bit MAC address of the own node according to the EUI-64 format. be done.

以下において、ＩＣＭＰｖ６パケットで送信されるＭＬＲを「ＭＬＲパケット」という。 In the following, the MLR transmitted as an ICMPv6 packet will be referred to as an "MLR packet."

検出装置１は、ＭＬＲパケットをキャプチャすることで、ＭＬＲパケットの送出元の端末装置２に固有の識別情報としてＭＡＣアドレス情報（第１識別情報）を取得する。より具体的には、検出装置１は、ＭＬＲパケットにある送信元のＭＡＣアドレスを取得する。 By capturing the MLR packet, the detection device 1 acquires MAC address information (first identification information) as identification information unique to the terminal device 2 that is the source of the MLR packet. More specifically, the detection device 1 acquires the MAC address of the transmission source included in the MLR packet.

また、検出装置１は、キャプチャしたＭＬＲパケットより取得したＭＬＲパケットの送出元のＭＡＣアドレスと、予め用意されているホワイトリストに登録された、ネットワークＮＷへの接続が許可されている端末装置２のＭＡＣアドレス（第２識別情報）とを比較して、未許可端末を検出する。 The detection device 1 also uses the MAC address of the source of the MLR packet acquired from the captured MLR packet, and the terminal devices 2 that are registered in a pre-prepared whitelist and are permitted to connect to the network NW. An unauthorized terminal is detected by comparing the MAC address (second identification information).

前述したように、従来の技術において、ホワイトリストを利用して未許可端末を検出する場合には、ＡＲＰが利用される。従来の技術では、例えば、ＩＰアドレスの範囲［１７２．２２．１．１］～［１７２．２２．２５５．２５４］のホストに対して、６万回以上ものＡＲＰリクエストパケットを送信して検索するので、ネットワーク負荷がかかり、探索にも時間がかかる。 As described above, in the conventional technology, when detecting unauthorized terminals using a whitelist, ARP is used. In conventional technology, for example, searches are performed by sending ARP request packets more than 60,000 times to hosts in the IP address range [172.22.1.1] to [172.22.255.254]. Therefore, the network load is high and the search takes time.

この点において、本発明の実施の形態に係る検出装置１は、一般ＭＬＱパケットをオールノードマルチキャスト送信するので、１回の調査パケットの送信で、ネットワークＮＷに接続されている端末装置２の検出、および未許可端末の検出をより短い探索時間で行うことができる。 In this respect, since the detection device 1 according to the embodiment of the present invention transmits the general MLQ packet by all-node multicast, one transmission of the investigation packet can detect the terminal device 2 connected to the network NW. And unauthorized terminals can be detected in a shorter search time.

［検出装置の機能ブロック］
検出装置１は、図２に示すように、例えば、送信部１０、受信部１１、記憶部１２、取得部１３、判断部１４、および提示部１５を備える。 [Functional block of detection device]
As shown in FIG. 2, the detection device 1 includes, for example, a transmitting section 10, a receiving section 11, a storage section 12, an acquiring section 13, a determining section 14, and a presenting section 15.

送信部１０は、一般ＭＬＱパケットを、ネットワークＮＷを介してオールノードマルチキャスト送信する。例えば、送信部１０は、［ＦＦ０２：：１］を送信先とした一般ＭＬＱパケットを一定周期で送信することができる。 The transmitting unit 10 transmits the general MLQ packet by all-node multicasting via the network NW. For example, the transmitting unit 10 can transmit a general MLQ packet with [FF02::1] as the transmission destination at regular intervals.

受信部１１は、一般ＭＬＱパケットに対する応答パケットであるＭＬＲパケットを受信する。本実施の形態では、受信部１１は、図１に示すように、一般ＭＬＱパケットを受信した、ネットワークＮＷに接続されている正規端末および未許可端末を含む、すべての端末装置２からのＭＬＲパケットを受信する。 The receiving unit 11 receives an MLR packet that is a response packet to the general MLQ packet. In this embodiment, as shown in FIG. 1, the receiving unit 11 receives MLR packets from all terminal devices 2, including authorized terminals and unauthorized terminals connected to the network NW, which have received general MLQ packets. receive.

記憶部１２は、ネットワークＮＷへの接続が許可されている端末装置２（以下、「正規端末」ということがある。）に固有の識別情報としてＭＡＣアドレスが登録されたホワイトリストを記憶する。正規端末のＭＡＣアドレスは、ネットワークシステムが構築された際、および更新される際などに、例えば、図示されない入力装置によって受け付けられて、記憶部１２のホワイトリストに登録される。 The storage unit 12 stores a white list in which MAC addresses are registered as unique identification information of terminal devices 2 (hereinafter sometimes referred to as "authorized terminals") that are permitted to connect to the network NW. The MAC address of the authorized terminal is accepted by, for example, an input device (not shown) and registered in the whitelist of the storage unit 12 when the network system is constructed or updated.

取得部１３は、受信部１１が受信したＭＬＲパケットから、ＭＬＲパケットの送出元である端末装置２のＭＡＣアドレスを取得する。取得部１３が取得するＭＡＣアドレスによって、正規端末および未許可端末を含む、ネットワークＮＷに接続されている端末装置２の検出情報が得られる。 The acquisition unit 13 acquires, from the MLR packet received by the reception unit 11, the MAC address of the terminal device 2 that is the source of the MLR packet. The MAC addresses acquired by the acquisition unit 13 provide detection information on the terminal devices 2 connected to the network NW, including authorized terminals and unauthorized terminals.

判断部１４は、取得部１３が取得したＭＬＲパケットの送出元のＭＡＣアドレスと、記憶部１２に記憶されているホワイトリストに含まれる、ネットワークＮＷへの接続が許可されている端末装置２のＭＡＣアドレスとを比較する。判断部１４は、ＭＬＲパケットの送出元を示すＭＡＣアドレスが、ホワイトリストに登録されているＭＡＣアドレスと一致しない場合には、ＭＬＲパケットの送出元の端末装置２はネットワークＮＷへの接続が許可されていない未許可の端末装置２であると判断する。 The determining unit 14 determines the MAC address of the source of the MLR packet acquired by the acquiring unit 13 and the MAC address of the terminal device 2 that is permitted to connect to the network NW, which is included in the white list stored in the storage unit 12. Compare with address. If the MAC address indicating the source of the MLR packet does not match the MAC address registered in the whitelist, the determining unit 14 determines that the terminal device 2 that is the source of the MLR packet is not permitted to connect to the network NW. It is determined that the terminal device 2 is an unauthorized terminal device 2.

提示部１５は、判断部１４による判断結果を提示する。例えば、提示部１５は、判断結果を外部の予め設定されたサーバなどに提示することができる。また、提示部１５は、ＭＬＲパケットの送出元の端末装置２を示す検出情報を、同様に、外部の予め設定されたサーバなどに提示する構成とすることができる。 The presentation unit 15 presents the determination result by the determination unit 14. For example, the presentation unit 15 can present the determination result to an external preset server or the like. Further, the presenting unit 15 may be configured to similarly present detection information indicating the terminal device 2 that is the sending source of the MLR packet to an external preset server or the like.

［検出装置のハードウェア構成］
次に、上述した機能を有する検出装置１を実現するハードウェア構成の一例について、図３を用いて説明する。 [Hardware configuration of detection device]
Next, an example of a hardware configuration for realizing the detection device 1 having the above-described functions will be described using FIG. 3.

図３に示すように、検出装置１は、例えば、バス１０１を介して接続されるプロセッサ１０２、主記憶装置１０３、通信インターフェース１０４、補助記憶装置１０５、入出力Ｉ／Ｏ１０６を備えるコンピュータと、これらのハードウェア資源を制御するプログラムによって実現することができる。また、検出装置１は、バス１０１を介して接続される表示装置１０７を備えることができる。 As shown in FIG. 3, the detection device 1 includes, for example, a computer connected via a bus 101, including a processor 102, a main storage device 103, a communication interface 104, an auxiliary storage device 105, and an input/output I/O 106. This can be realized by a program that controls hardware resources. Furthermore, the detection device 1 can include a display device 107 connected via the bus 101.

主記憶装置１０３には、プロセッサ１０２が各種制御や演算を行うためのプログラムが予め格納されている。プロセッサ１０２と主記憶装置１０３とによって、図２に示した取得部１３、判断部１４など、検出装置１の各機能が実現される。 The main storage device 103 stores in advance programs for the processor 102 to perform various controls and calculations. The processor 102 and the main storage device 103 realize each function of the detection device 1, such as the acquisition unit 13 and the determination unit 14 shown in FIG.

通信インターフェース１０４は、検出装置１と端末装置２や各種外部電子機器との間をネットワーク接続するためのインターフェース回路である。通信インターフェース１０４によって図２で示した送信部１０、受信部１１、および提示部１５が実現される。 The communication interface 104 is an interface circuit for establishing a network connection between the detection device 1 and the terminal device 2 or various external electronic devices. The communication interface 104 realizes the transmitter 10, the receiver 11, and the presenter 15 shown in FIG.

補助記憶装置１０５は、読み書き可能な記憶媒体と、その記憶媒体に対してプログラムやデータなどの各種情報を読み書きするための駆動装置とで構成されている。補助記憶装置１０５には、記憶媒体としてハードディスクやフラッシュメモリなどの半導体メモリを使用することができる。 The auxiliary storage device 105 includes a readable and writable storage medium and a drive device for reading and writing various information such as programs and data to and from the storage medium. For the auxiliary storage device 105, a semiconductor memory such as a hard disk or a flash memory can be used as a storage medium.

補助記憶装置１０５は、検出装置１が、ネットワークＮＷに接続されている端末装置２を検出し、さらに、未許可端末を検出するための検出プログラムを格納するプログラム格納領域を有する。補助記憶装置１０５によって、図２で説明した記憶部１２が実現される。さらには、例えば、上述したデータやプログラムやなどをバックアップするためのバックアップ領域などを有していてもよい。 The auxiliary storage device 105 has a program storage area in which the detection device 1 stores a detection program for detecting the terminal device 2 connected to the network NW and further detecting an unauthorized terminal. The auxiliary storage device 105 implements the storage unit 12 described in FIG. Furthermore, for example, it may have a backup area for backing up the data, programs, etc. mentioned above.

入出力Ｉ／Ｏ１０６は、外部機器からの信号を入力したり、外部機器へ信号を出力したりするＩ／Ｏ端子により構成される。 The input/output I/O 106 is composed of I/O terminals that input signals from external devices and output signals to external devices.

表示装置１０７は、液晶ディスプレイなどによって構成される。表示装置１０７は、判断部１４による判断結果を表示画面に表示することができる。表示装置１０７によっても図２で説明した提示部１５を実現することができる。 The display device 107 is configured with a liquid crystal display or the like. The display device 107 can display the determination result by the determination unit 14 on a display screen. The presentation unit 15 described in FIG. 2 can also be realized by the display device 107.

［検出方法］
次に、上述した構成を有する検出装置１の動作について、図４のフローチャートを用いて説明する。なお、記憶部１２には、ネットワークＮＷへの接続が許可されている端末装置２のＭＡＣアドレスが登録されたホワイトリストが記憶されているものとする。 [Detection method]
Next, the operation of the detection device 1 having the above-described configuration will be explained using the flowchart of FIG. 4. It is assumed that the storage unit 12 stores a white list in which the MAC addresses of the terminal devices 2 that are permitted to connect to the network NW are registered.

まず、送信部１０は、一般ＭＬＱパケットを、ネットワークＮＷを介してオールノードマルチキャスト送信する（ステップＳ１）。次に、受信部１１は、一般ＭＬＱパケットを受信した端末装置２から、応答パケットであるＭＬＲパケットを受信する（ステップＳ２）。 First, the transmitter 10 transmits a general MLQ packet by all-node multicast via the network NW (step S1). Next, the receiving unit 11 receives an MLR packet, which is a response packet, from the terminal device 2 that received the general MLQ packet (step S2).

次に、取得部１３は、ステップＳ２で受信されたＭＬＲパケットから、送出元の端末装置２のＭＡＣアドレスを示す情報を取得する（ステップＳ３）。より詳細には、取得部１３は、ＭＬＲパケットのヘッダに格納されているＭＬＲパケットの送出元を示すＩＰｖ６アドレスより、送出元の端末装置２のＭＡＣアドレスを求める。ステップＳ３で取得されたＭＡＣアドレスより、正規端末および未許可端末を含むネットワークＮＷに接続されている端末装置２についてのより具体的な検出情報が得られる。 Next, the acquisition unit 13 acquires information indicating the MAC address of the sending terminal device 2 from the MLR packet received in step S2 (step S3). More specifically, the acquisition unit 13 obtains the MAC address of the terminal device 2 that is the sender from the IPv6 address that indicates the sender of the MLR packet and is stored in the header of the MLR packet. More specific detection information about the terminal device 2 connected to the network NW including authorized terminals and unauthorized terminals can be obtained from the MAC address acquired in step S3.

次に、判断部１４は、ステップＳ３で取得されたＭＬＲパケットの送出元のＭＡＣアドレスと、記憶部１２に記憶されているホワイトリストに登録されているＭＡＣアドレスとを比較する（ステップＳ４）。判断部１４は、ＭＬＲパケットから取得されたＭＡＣアドレスとホワイトリストに登録されているＭＡＣアドレスとが一致する場合には（ステップＳ５：ＹＥＳ）、ＭＬＲパケットの送出元の端末装置２は、正規の端末装置２であると判断する（ステップＳ６）。 Next, the determining unit 14 compares the MAC address of the source of the MLR packet acquired in step S3 with the MAC address registered in the white list stored in the storage unit 12 (step S4). If the MAC address acquired from the MLR packet matches the MAC address registered in the whitelist (step S5: YES), the determination unit 14 determines that the terminal device 2 that sent the MLR packet is a legitimate one. It is determined that it is the terminal device 2 (step S6).

一方、ＭＬＲパケットから取得されたＭＡＣアドレスが、ホワイトリストに登録されているＭＡＣアドレスのいずれとも一致しない場合には（ステップＳ５：ＮＯ）、判断部１４は、ＭＬＲパケットの送出元の端末装置２は、ネットワークＮＷへの接続が許可されていない未許可の端末装置２であると判断する（ステップＳ７）。 On the other hand, if the MAC address acquired from the MLR packet does not match any of the MAC addresses registered in the whitelist (step S5: NO), the determination unit 14 determines whether the determines that the terminal device 2 is an unauthorized terminal device 2 that is not permitted to connect to the network NW (step S7).

その後、提示部１５は、判断部１４による判断結果を提示する（ステップＳ８）。例えば、提示部１５は、ステップＳ７で検出されたネットワークＮＷへの接続が許可されていない未許可の端末装置２に関する情報を、外部の図示されない特定のサーバなどへ送出することができる。また、提示部１５は、未許可の端末装置２に関する情報に加えて、ステップＳ３で検出されたネットワークＮＷに接続されている端末装置２ａ、２ｂに関する情報についてもサーバなどに通知してもよい。 After that, the presenting unit 15 presents the determination result by the determining unit 14 (step S8). For example, the presentation unit 15 can send information regarding the unauthorized terminal device 2 detected in step S7 that is not permitted to connect to the network NW to an external specific server (not shown). In addition to the information regarding the unauthorized terminal device 2, the presentation unit 15 may also notify the server etc. of information regarding the terminal devices 2a and 2b connected to the network NW detected in step S3.

［ネットワークシステムの動作シーケンス］
次に、上述した構成を有する検出装置１、および端末装置２ａ、２ｂを備えるネットワークシステムの動作について、図５のシーケンス図を参照して説明する。以下において、端末装置２ａのＭＡＣアドレスは「Ｇ」、端末装置２ｂのＭＡＣアドレスは「Ｈ」であり、検出装置１が備えるホワイトリストには、ネットワークＮＷへの接続が許可されている端末装置２のＭＡＣアドレスとして「Ａ、Ｂ、Ｇ、Ｋ」が予め登録されているものとする。 [Network system operation sequence]
Next, the operation of the network system including the detection device 1 having the above-described configuration and the terminal devices 2a and 2b will be described with reference to the sequence diagram of FIG. 5. In the following, the MAC address of the terminal device 2a is "G", the MAC address of the terminal device 2b is "H", and the white list included in the detection device 1 includes terminal devices 2 that are permitted to connect to the network NW. It is assumed that "A, B, G, and K" are registered in advance as the MAC addresses of.

まず、検出装置１は、一般ＭＬＱパケットを、オールノードマルチキャスト送信する（ステップＳ１００）。次に、端末装置２ａ、２ｂは、一般ＭＬＱパケットを受信すると、応答パケットとして、ＭＬＲパケットをそれぞれ送信する（ステップＳ１０１、Ｓ１０２）。 First, the detection device 1 transmits a general MLQ packet by all-node multicast (step S100). Next, upon receiving the general MLQ packet, the terminal devices 2a and 2b each transmit an MLR packet as a response packet (steps S101 and S102).

端末装置２ａ、２ｂがそれぞれ送信するＭＬＲパケットには、各装置が参加するマルチキャストグループを識別するマルチキャストアドレスが格納され、また、ヘッダの送信元アドレスのフィールドには、自装置のＩＰｖ６アドレスが格納されている。検出装置１は、受信したＭＬＲパケットのヘッダに格納されている送信元アドレスからＭＬＲパケットの各々の送出元の端末装置２ａのＭＡＣアドレス「Ｇ」、および端末装置２ｂのＭＡＣアドレス「Ｈ」を取得する。 The MLR packets transmitted by the terminal devices 2a and 2b each contain a multicast address that identifies the multicast group in which each device participates, and the IPv6 address of the device itself is stored in the source address field of the header. ing. The detection device 1 obtains the MAC address “G” of the terminal device 2a and the MAC address “H” of the terminal device 2b that are the sender of each MLR packet from the source address stored in the header of the received MLR packet. do.

次に、検出装置１は、取得したＭＬＲパケットの送出元の端末装置２ａのＭＡＣアドレス「Ｇ」と、ホワイトリストに登録されているＭＡＣアドレス「Ａ、Ｂ、Ｇ、Ｋ」とを比較する（ステップＳ１０３）。ＭＡＣアドレス「Ｇ」は、ホワイトリストに登録されているＭＡＣアドレスと一致するため、検出装置１は、ＭＡＣアドレス「Ｇ」に対応する端末装置２ａは、正規端末であると判断する（ステップＳ１０４）。 Next, the detection device 1 compares the MAC address "G" of the terminal device 2a that sent the acquired MLR packet with the MAC addresses "A, B, G, K" registered in the white list ( Step S103). Since the MAC address "G" matches the MAC address registered in the whitelist, the detection device 1 determines that the terminal device 2a corresponding to the MAC address "G" is a legitimate terminal (step S104). .

一方、検出装置１は、取得したＭＬＲパケットの送出元の端末装置２ｂのＭＡＣアドレス「Ｈ」と、ホワイトリストに登録されているＭＡＣアドレスとを比較する（ステップＳ１０５）。ＭＡＣアドレス「Ｈ」は、ホワイトリストに登録されていないため、検出装置１は、ＭＡＣアドレス「Ｈ」に対応する端末装置２ｂは、未許可端末であると判断する（ステップＳ１０６）。 On the other hand, the detection device 1 compares the MAC address "H" of the terminal device 2b that is the source of the acquired MLR packet and the MAC address registered in the whitelist (step S105). Since the MAC address "H" is not registered in the white list, the detection device 1 determines that the terminal device 2b corresponding to the MAC address "H" is an unauthorized terminal (step S106).

その後、検出装置１は、ネットワークＮＷに接続されているすべての端末装置２ａ、２ｂを示す情報、および端末装置２ｂが未許可端末であることを示す情報を提示する（ステップＳ１０７）。例えば、検出装置１は、判断結果を、外部の特定のサーバなどへ送出することができる。 After that, the detection device 1 presents information indicating all the terminal devices 2a and 2b connected to the network NW and information indicating that the terminal device 2b is an unauthorized terminal (step S107). For example, the detection device 1 can send the determination result to an external specific server.

以上説明したように、本実施の形態に係る検出装置１によれば、調査パケットとして一般ＭＬＱパケットをオールノードマルチキャスト宛に１回送信するだけで、ローカルネットにつながっている端末装置２を検出できる。また、検出装置１によれば、検出された端末装置２のＭＡＣアドレスとホワイトリストに登録されたＭＡＣアドレスとを比較して、端末装置２が未許可の端末装置であるか否かを判断する。そのため、ネットワークＮＷの負荷を低減しつつ、ネットワークＮＷへの接続が許可されていない端末装置を即座に検出することができる。 As explained above, according to the detection device 1 according to the present embodiment, the terminal device 2 connected to the local network can be detected by simply sending a general MLQ packet as an investigation packet to the all-node multicast address once. . Furthermore, the detection device 1 compares the MAC address of the detected terminal device 2 with the MAC address registered in the whitelist to determine whether the terminal device 2 is an unauthorized terminal device. . Therefore, it is possible to immediately detect a terminal device that is not permitted to connect to the network NW while reducing the load on the network NW.

その結果として、未許可の端末装置や悪意のある端末装置などが不正アクセスにより、クラッキングや情報漏えいなどを行うことを防止することができる。 As a result, it is possible to prevent unauthorized terminal devices, malicious terminal devices, and the like from performing unauthorized access, such as cracking or information leakage.

なお、説明した実施の形態では、応答パケットであるＭＬＲパケットから送出元の端末装置２のＭＡＣアドレス情報を取得して、ホワイトリストに登録されているＭＡＣアドレスと比較して、未許可の端末装置２を検出する場合について説明した。しかし、ネットワークシステムが、制御システムなどであり、固定のＩＰｖ６アドレスが機器に割り当てられる環境においては、ＭＡＣアドレス同士の比較だけでなく、ＩＰｖ６アドレスも比較対象として用いることができる。 In addition, in the embodiment described, the MAC address information of the sending terminal device 2 is acquired from the MLR packet that is the response packet, and compared with the MAC address registered in the white list, the unauthorized terminal device is identified. The case where 2 is detected has been explained. However, in an environment where the network system is a control system or the like and fixed IPv6 addresses are assigned to devices, not only MAC addresses but also IPv6 addresses can be used for comparison.

この場合において、取得部１３は、ＭＬＲパケットのヘッダに含まれるＩＰｖ６アドレスをさらに取得して、ＭＬＲパケットの送信元ＩＰｖ６アドレスおよびＭＡＣアドレスの組と、ホワイトリストに登録されているＩＰｖ６アドレスおよびＭＡＣアドレスの組とを比較する。判断部１４は、ＩＰｖ６アドレスおよびＭＡＣアドレスの組がホワイトリストに登録されている組と一致する場合には、ＭＬＲパケットの送出元の端末装置２は、正規の端末装置２であると判断する。一方、ＩＰｖ６アドレスおよびＭＡＣアドレスの組がホワイトリストに登録されているＩＰｖ６アドレスおよびＭＡＣアドレスの組と一致しない場合、判断部１４は、ＭＬＲパケットの送出元の端末装置２は、未許可の端末装置２であると判断する。 In this case, the acquisition unit 13 further acquires the IPv6 address included in the header of the MLR packet, and combines the source IPv6 address and MAC address pair of the MLR packet with the IPv6 address and MAC address registered in the whitelist. Compare with the set of If the set of IPv6 address and MAC address matches the set registered in the whitelist, the determining unit 14 determines that the terminal device 2 that sent the MLR packet is a legitimate terminal device 2. On the other hand, if the set of IPv6 address and MAC address does not match the set of IPv6 address and MAC address registered in the whitelist, the determination unit 14 determines that the terminal device 2 sending the MLR packet is an unauthorized terminal device. 2.

以上、本発明の検出装置および検出方法における実施の形態について説明したが、本発明は説明した実施の形態に限定されるものではなく、請求項に記載した発明の範囲において当業者が想定し得る各種の変形を行うことが可能である。 Although the embodiments of the detection device and detection method of the present invention have been described above, the present invention is not limited to the described embodiments, and can be imagined by a person skilled in the art within the scope of the invention described in the claims. Various modifications are possible.

１…検出装置、２、２ａ、２ｂ…端末装置、１０…送信部、１１…受信部、１２…記憶部、１３…取得部、１４…判断部、１５…提示部、１０１…バス、１０２…プロセッサ、１０３…主記憶装置、１０４…通信インターフェース、１０５…補助記憶装置、１０６…入出力Ｉ／Ｏ、１０７…表示装置、ＮＷ…ネットワーク。 DESCRIPTION OF SYMBOLS 1... Detection device, 2, 2a, 2b... Terminal device, 10... Transmission section, 11... Receiving section, 12... Storage section, 13... Acquisition section, 14... Judgment section, 15... Presentation section, 101... Bus, 102... Processor, 103... Main storage device, 104... Communication interface, 105... Auxiliary storage device, 106... Input/output I/O, 107... Display device, NW... Network.

Claims (5)

調査パケットをネットワークを介してオールノードマルチキャスト送信するように構成された送信部と、
前記調査パケットに対する応答パケットを受信するように構成された受信部と、
前記応答パケットに含まれる、前記応答パケットの送出元の端末装置のアドレス情報から、前記応答パケットの送出元の前記端末装置に固有の第１識別情報を取得するように構成された取得部と、
前記ネットワークへの接続が許可されている端末装置に固有の第２識別情報を記憶するように構成された記憶部と、
前記取得部によって取得された前記第１識別情報と前記第２識別情報とを比較して、前記第１識別情報と前記第２識別情報とが一致しない場合に、前記第１識別情報を有する前記端末装置は、前記ネットワークへの接続が許可されていない未許可の端末装置であると判断するように構成された判断部と
を備える検出装置。 a transmitter configured to all-node multicast transmit the probing packet over the network;
a receiver configured to receive a response packet to the probe packet;
an acquisition unit configured to acquire first identification information specific to the terminal device that is the sender of the response packet from address information of the terminal device that is the sender of the response packet, which is included in the response packet;
a storage unit configured to store second identification information unique to terminal devices that are permitted to connect to the network;
The first identification information and the second identification information acquired by the acquisition unit are compared, and if the first identification information and the second identification information do not match, the A determination unit configured to determine that the terminal device is an unauthorized terminal device that is not permitted to connect to the network. 請求項１に記載の検出装置において、
前記判断部による判断結果を提示するように構成された提示部をさらに備える
ことを特徴とする検出装置。 The detection device according to claim 1,
A detection device further comprising a presentation section configured to present a judgment result by the judgment section. 請求項２に記載の検出装置において、
前記提示部は、前記判断結果、および、前記受信部で受信されたすべての前記応答パケットの送出元の端末装置に関する情報を提示する
ことを特徴とする検出装置。 The detection device according to claim 2,
The detection device is characterized in that the presentation unit presents the determination result and information regarding the terminal device that sent all the response packets received by the reception unit. 請求項１から３のいずれか１項に記載の検出装置において、
前記調査パケットは、マルチキャストグループへの参加状況についての問い合わせを行うパケットであり、
前記応答パケットは、前記調査パケットを受信した端末装置が参加しているマルチキャストグループを識別するマルチキャストアドレスを含むパケットである
ことを特徴とする検出装置。 The detection device according to any one of claims 1 to 3,
The survey packet is a packet that inquires about the status of participation in a multicast group,
The detection device is characterized in that the response packet is a packet that includes a multicast address that identifies a multicast group in which a terminal device that has received the survey packet participates. 請求項１から４のいずれか１項に記載の検出装置において、
前記第１識別情報および前記第２識別情報は、前記応答パケットの送出元の端末装置および前記ネットワークへの接続が許可されている端末装置に割り当てられているＭＡＣアドレスを含む
ことを特徴とする検出装置。 The detection device according to any one of claims 1 to 4,
Detection characterized in that the first identification information and the second identification information include MAC addresses assigned to a terminal device that sent the response packet and a terminal device that is permitted to connect to the network. Device.
JP2019234003A 2019-12-25 2019-12-25 Detection device and detection method Active JP7444600B2 (en)

Priority Applications (3)

Application Number Priority Date Filing Date Title
JP2019234003A JP7444600B2 (en) 2019-12-25 2019-12-25 Detection device and detection method
KR1020200176612A KR20210082364A (en) 2019-12-25 2020-12-16 Detection device and detection method
CN202011498504.2A CN113037704B (en) 2019-12-25 2020-12-17 Detection device and detection method

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
JP2019234003A JP7444600B2 (en) 2019-12-25 2019-12-25 Detection device and detection method

Publications (2)

Publication Number Publication Date
JP2021103836A JP2021103836A (en) 2021-07-15
JP7444600B2 true JP7444600B2 (en) 2024-03-06

Family

ID=76460477

Family Applications (1)

Application Number Title Priority Date Filing Date
JP2019234003A Active JP7444600B2 (en) 2019-12-25 2019-12-25 Detection device and detection method

Country Status (3)

Country Link
JP (1) JP7444600B2 (en)
KR (1) KR20210082364A (en)
CN (1) CN113037704B (en)

Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2002325077A (en) 2001-04-25 2002-11-08 Hitachi Software Eng Co Ltd Network managing method and equipment thereof
JP2006287299A (en) 2005-03-31 2006-10-19 Nec Corp Network control method and device, and control program
JP2011217016A (en) 2010-03-31 2011-10-27 Nec Corp Unauthorized connection prevention apparatus and program
US20170034004A1 (en) 2013-06-10 2017-02-02 Palo Alto Networks, Inc. Discovering network nodes
JP2017073721A (en) 2015-10-09 2017-04-13 株式会社 インターコム Information processing unit and program

Family Cites Families (8)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP4174392B2 (en) 2003-08-28 2008-10-29 日本電気株式会社 Network unauthorized connection prevention system and network unauthorized connection prevention device
JP2005157968A (en) * 2003-11-28 2005-06-16 Nec Soft Ltd Unauthorized connection detecting system
JP4245486B2 (en) 2004-01-08 2009-03-25 富士通株式会社 Network unauthorized connection prevention method and apparatus
JP2006222659A (en) * 2005-02-09 2006-08-24 Oki Electric Ind Co Ltd Radio communication device, system and method
CN100499669C (en) * 2005-09-09 2009-06-10 上海贝尔阿尔卡特股份有限公司 Network address reconstruction method in IPv6 switch-in network
JP2007104396A (en) * 2005-10-05 2007-04-19 Nippon Telegraph & Telephone East Corp Unjust connection preventing system, method, and program
JP2008227600A (en) 2007-03-08 2008-09-25 Toshiba Corp Communication jamming device and communication jamming program
CN106302188A (en) * 2015-05-18 2017-01-04 中兴通讯股份有限公司 The multicast message transmission control method of a kind of switch device and device

Patent Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2002325077A (en) 2001-04-25 2002-11-08 Hitachi Software Eng Co Ltd Network managing method and equipment thereof
JP2006287299A (en) 2005-03-31 2006-10-19 Nec Corp Network control method and device, and control program
JP2011217016A (en) 2010-03-31 2011-10-27 Nec Corp Unauthorized connection prevention apparatus and program
US20170034004A1 (en) 2013-06-10 2017-02-02 Palo Alto Networks, Inc. Discovering network nodes
JP2017073721A (en) 2015-10-09 2017-04-13 株式会社 インターコム Information processing unit and program

Non-Patent Citations (1)

* Cited by examiner, † Cited by third party
Title
Gunjan Bansal et al.，Detection of NDP Based Attacks using MLD，SIN'12:Proceedings of the Fifth International Conference on Security of Information and Networks，2012年10月，pp.163-167，https://dl.acm.org/doi/pdf/10.1145/2388576.2388600

Also Published As

Publication number Publication date
CN113037704A (en) 2021-06-25
CN113037704B (en) 2023-10-31
KR20210082364A (en) 2021-07-05
JP2021103836A (en) 2021-07-15

Similar Documents

Publication Publication Date Title
US10505908B2 (en) System and method for automatic wireless connection between a portable terminal and a digital device
US8543669B2 (en) Network switch and method of preventing IP address collision
US7724679B2 (en) Device and method for automatically detecting network information
US8774188B2 (en) Communication apparatus and method of controlling same
CN101179515B (en) Method and device for inhibiting black hole routing
US7530100B2 (en) Apparatus for limiting use of particular network address
US10097418B2 (en) Discovering network nodes
JP2007104396A (en) Unjust connection preventing system, method, and program
JP7444600B2 (en) Detection device and detection method
US20200267116A1 (en) Internet protocol version six address management
CN108989173B (en) Message transmission method and device
US10015179B2 (en) Interrogating malware
JP7376289B2 (en) Address monitoring device and address monitoring method
CN112601229B (en) Device and method for detecting illegality
JP7359586B2 (en) Address management device and address management method
US10298481B1 (en) Method and apparatus for testing VLAN
JP7232121B2 (en) Monitoring device and monitoring method
JP7376288B2 (en) Specific device and method
KR101125612B1 (en) Method for sensing and blocking illegal server of dynamic host configuration protocol
JP3432449B2 (en) Communication control apparatus and method
CN115604231A (en) Network address configuration method, routing device, node device and storage medium
CN113992583A (en) Table item maintenance method and device
JP2002237821A (en) Method and apparatus for discovering promiscuous-node for ip network as well as promiscuous-node discovering program
Sekhar et al. A Novel Approach for Spoofing Media Access Control Address

Legal Events

Date Code Title Description
A621 Written request for application examination

Free format text: JAPANESE INTERMEDIATE CODE: A621

Effective date: 20220922

A977 Report on retrieval

Free format text: JAPANESE INTERMEDIATE CODE: A971007

Effective date: 20230714

A131 Notification of reasons for refusal

Free format text: JAPANESE INTERMEDIATE CODE: A131

Effective date: 20230912

A521 Request for written amendment filed

Free format text: JAPANESE INTERMEDIATE CODE: A523

Effective date: 20231101

TRDD Decision of grant or rejection written
A01 Written decision to grant a patent or to grant a registration (utility model)

Free format text: JAPANESE INTERMEDIATE CODE: A01

Effective date: 20240130

A61 First payment of annual fees (during grant procedure)

Free format text: JAPANESE INTERMEDIATE CODE: A61

Effective date: 20240222

R150 Certificate of patent or registration of utility model

Ref document number: 7444600

Country of ref document: JP

Free format text: JAPANESE INTERMEDIATE CODE: R150