WO2016170598A1 - 情報処理装置、方法およびプログラム - Google Patents

情報処理装置、方法およびプログラム Download PDF

Info

Publication number
WO2016170598A1
WO2016170598A1 PCT/JP2015/062105 JP2015062105W WO2016170598A1 WO 2016170598 A1 WO2016170598 A1 WO 2016170598A1 JP 2015062105 W JP2015062105 W JP 2015062105W WO 2016170598 A1 WO2016170598 A1 WO 2016170598A1
Authority
WO
WIPO (PCT)
Prior art keywords
terminal
communication data
physical address
communication
destination
Prior art date
Application number
PCT/JP2015/062105
Other languages
English (en)
French (fr)
Inventor
成吾 寺田
峻 小林
Original Assignee
株式会社Pfu
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 株式会社Pfu filed Critical 株式会社Pfu
Priority to JP2017513865A priority Critical patent/JP6476530B2/ja
Priority to PCT/JP2015/062105 priority patent/WO2016170598A1/ja
Publication of WO2016170598A1 publication Critical patent/WO2016170598A1/ja
Priority to US15/662,570 priority patent/US20170322862A1/en

Links

Images

Classifications

    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F11/00—Error detection; Error correction; Monitoring
    • G06F11/30—Monitoring
    • G06F11/34—Recording or statistical evaluation of computer activity, e.g. of down time, of input/output operation ; Recording or statistical evaluation of user activity, e.g. usability assessment
    • G06F11/3466—Performance evaluation by tracing or monitoring
    • G06F11/3485—Performance evaluation by tracing or monitoring for I/O devices
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L43/00—Arrangements for monitoring or testing data switching networks
    • H04L43/08—Monitoring or testing based on specific metrics, e.g. QoS, energy consumption or environmental parameters
    • H04L43/0876—Network utilisation, e.g. volume of load or congestion level
    • H04L43/0882—Utilisation of link capacity
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L43/00—Arrangements for monitoring or testing data switching networks
    • H04L43/06—Generation of reports
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L43/00—Arrangements for monitoring or testing data switching networks
    • H04L43/06—Generation of reports
    • H04L43/062—Generation of reports related to network traffic
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L45/00—Routing or path finding of packets in data switching networks
    • H04L45/16—Multipoint routing
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L45/00—Routing or path finding of packets in data switching networks
    • H04L45/74—Address processing for routing
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L65/00—Network arrangements, protocols or services for supporting real-time applications in data packet communication
    • H04L65/1066—Session management
    • H04L65/1076—Screening of IP real time communications, e.g. spam over Internet telephony [SPIT]
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L67/00—Network arrangements or protocols for supporting network services or applications
    • H04L67/01—Protocols
    • H04L67/10—Protocols in which an application is distributed across nodes in the network
    • H04L67/1001—Protocols in which an application is distributed across nodes in the network for accessing one among a plurality of replicated servers
    • H04L67/1034—Reaction to server failures by a load balancer
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F11/00—Error detection; Error correction; Monitoring
    • G06F11/30—Monitoring
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L41/00—Arrangements for maintenance, administration or management of data switching networks, e.g. of packet switching networks
    • H04L41/06—Management of faults, events, alarms or notifications
    • H04L41/0654—Management of faults, events, alarms or notifications using network fault recovery
    • H04L41/0668—Management of faults, events, alarms or notifications using network fault recovery by dynamic selection of recovery network elements, e.g. replacement by the most appropriate element after failure
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L43/00—Arrangements for monitoring or testing data switching networks
    • H04L43/02—Capturing of monitoring data
    • H04L43/026—Capturing of monitoring data using flow identification
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L43/00—Arrangements for monitoring or testing data switching networks
    • H04L43/06—Generation of reports
    • H04L43/065—Generation of reports related to network devices
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L43/00—Arrangements for monitoring or testing data switching networks
    • H04L43/10—Active monitoring, e.g. heartbeat, ping or trace-route

Definitions

  • This disclosure relates to a technology for controlling communication in a network.
  • an object of the present disclosure is to control communication in an IPv6 environment.
  • a communication data acquisition unit that acquires communication data on a network and a terminal included in a transmission source or destination of the acquired communication data are target terminals that meet a predetermined condition. Communication data transmitted from the target terminal is notified to the target terminal and the target terminal by notifying a physical address of a predetermined terminal as a physical address of a terminal other than the target terminal.
  • An information processing apparatus comprising: a communication guiding unit that guides to the predetermined terminal.
  • the present disclosure can be grasped as an information processing apparatus, a system, a method executed by a computer, or a program executed by the computer.
  • the present disclosure can also be understood as a program recorded on a recording medium readable by a computer, other devices, machines, or the like.
  • a computer-readable recording medium is a recording medium that stores information such as data and programs by electrical, magnetic, optical, mechanical, or chemical action and can be read from a computer or the like.
  • communication can be controlled in an IPv6 environment.
  • FIG. 1 is a schematic diagram illustrating a configuration of a system 1 according to the present embodiment.
  • the system 1 according to the present embodiment is connected to a network segment 2 to which one or a plurality of user terminals 90 to be managed are connected and a user terminal 90 on the network segment 2 via a router 10 so as to be communicable.
  • a business server 50 and a management server 30 and a network monitoring device 20 connected to a monitoring port of the router 10 are provided.
  • the business server 50 provides a service for business to the user terminal 90.
  • the management server 30 also has a role as a network use application Web server, a patch distribution server, a quarantine server, or the like. For example, for the user terminal 90 connected to the network segment 2, the management server 30 determines whether the user terminal 90 is a “normal” terminal or an “abnormal” terminal based on whether or not the administrator approves the use application and the quarantine result. By determining this, permission / non-permission of communication in the network segment 2 of the user terminal 90 is managed.
  • various servers connected from the user terminal 90 are connected at remote locations via the Internet or a wide area network, but these servers are not necessarily connected to remote locations. Need not be.
  • these servers may be connected to a local network where the user terminal 90 and the network monitoring device 20 exist.
  • FIG. 2 is a diagram illustrating a hardware configuration of the network monitoring apparatus 20 according to the present embodiment.
  • the network monitoring device 20 includes a CPU (Central Processing Unit) 11, a RAM (Random Access Memory) 13, a ROM (Read Only Memory) 12, an EEPROM (Electrically Erasable and Programmable Read Only Memory) 14, a computer including a communication unit (Network Interface Card) 15, and the like.
  • the specific hardware configuration of the network monitoring device 20 can be appropriately omitted, replaced, or added depending on the embodiment.
  • the network monitoring device 20 is not limited to a single device.
  • the network monitoring device 20 may be realized by a plurality of devices using a so-called cloud or distributed computing technology.
  • FIG. 2 configurations other than the network monitoring device 20 (router 10, management server 30, business server 50, user terminal 90, etc.) are not shown, but the router 10, management server 30, user The terminal 90 and the business server 50 are all computers having the same hardware configuration as that of the network monitoring device 20.
  • FIG. 3 is a diagram showing an outline of a functional configuration of the network monitoring apparatus 20 according to the present embodiment.
  • the network monitoring device 20 reads out a program recorded in the storage 14 to the RAM 13 and executes it by the CPU 11, whereby the communication data acquisition unit 21, the management unit 22, the target terminal determination unit 23, and the type determination unit 24.
  • Function as an information processing apparatus including a communication guiding unit 25, a communication blocking unit 26, a communication transfer unit 27, and a guidance releasing unit 28.
  • each function of the information processing apparatus is executed by the CPU 11 that is a general-purpose processor. However, part or all of these functions may be executed by one or a plurality of dedicated processors.
  • the communication data acquisition unit 21 acquires communication data on the network.
  • the network monitoring device 20 is connected to the monitoring port of the router 10 and acquires packets (communication data) transmitted and received by the user terminal 90 by acquiring packets output to the monitoring ports. .
  • the management unit 22 manages terminal information of terminals on the network, such as the user terminal 90, the router 10, the business server 50, and the management server 30. Specifically, the management unit 22 is connected to the network based on information input by a network administrator or information obtained by analyzing communication data acquired by the communication data acquisition unit 21. The terminal MAC address (physical address) and the corresponding IPv6 address (logical address) are accumulated and managed in the terminal information table on the storage 14. Furthermore, the management unit 22 stores and manages terminal status, guidance information, transfer packet information, and the like in the terminal information table.
  • the terminal status is information indicating the status (normal / abnormal) of each terminal determined by the management server 30, and is stored in association with the terminal information of each terminal.
  • the management server 30 has a role as a network use application Web server, a patch distribution server, a quarantine server, or the like. For this reason, for example, the management server 30 sets the terminal status “abnormal” for a terminal that has not been approved by the administrator, a terminal that has not passed the quarantine, a terminal in which communication presumed to be caused by malware is detected, or the like. Notify the monitoring device 20. In addition, the management server 30 notifies the network monitoring device 20 to set the terminal status “normal” for the terminal approved by the administrator or the terminal that has passed the quarantine.
  • the management unit 22 of the network monitoring device 20 that has received the notification from the management server 30 stores the notified terminal status in the terminal information table in association with the terminal information of the corresponding terminal.
  • the guidance information is information in which the type of the sent guidance packet and the correct address information are recorded in association with the terminal information of each terminal to which the guidance packet is notified.
  • the guidance packet is a packet that notifies false address information
  • the correct address information is a combination of an IPv6 address and a correct MAC address corresponding to the IPv6 address. The types of induced packets will be described later in the description of the processing flow.
  • the transfer packet information is information including a condition for the acquired packet to be transferred and a transfer destination address of the packet to be transferred.
  • the acquisition packet is an HTTP (Hypertext Transfer Protocol) packet” is set as the transfer condition.
  • the IPv6 address of the management server 30 is set as the transfer destination of the HTTP packet.
  • the target terminal determination unit 23 compares the acquired transmission source or destination of communication data with the terminal information managed as the target of communication guidance by the management unit 22, thereby including the transmission source or destination of communication data. It is determined whether or not the terminal being connected is a target terminal that meets a predetermined condition.
  • terminal information managed as a communication guidance target is information of a terminal for which the terminal status “abnormal” is set in the terminal information table.
  • the type determination unit 24 determines the type of communication data.
  • the type determination unit 24 determines the protocol type, message type, multicast / unicast type, and the like of the communication data by analyzing the header and body of the communication data (packet).
  • the communication guiding unit 25 operates the neighbor cache of the target terminal by notifying the target terminal of the MAC address of the predetermined terminal as the MAC address of the terminal other than the target terminal, and is transmitted from the target terminal. Neighboring each terminal that received the notification by guiding the communication data to the predetermined terminal and notifying the terminal other than the target terminal of the MAC address of the predetermined terminal as the MAC address of the target terminal. The cache is operated, and communication data transmitted with the target terminal as a destination is guided to the predetermined terminal.
  • the communication guiding unit 25 guides communication data to the network monitoring device 20 by notifying the MAC address of the network monitoring device 20 as the MAC address of a predetermined terminal.
  • the MAC address notified as the MAC address of the predetermined terminal is not limited to the example in the present embodiment.
  • the communication guiding unit 25 can notify the MAC address of the terminal that is desired to acquire the derived communication data as the MAC address of the predetermined terminal.
  • communication targeted for guidance is IPv6 communication
  • NDP Network Control Message Protocol
  • ICMPv6 Internet Control Message Protocol for IPv6
  • the type of packet used for guiding the communication in the present embodiment is a “neighbor advertisement (NA) message” or “router advertisement (RA) message” used in NDP of ICMPv6.
  • the communication guiding unit 25 notifies the MAC address for guidance a plurality of times over time in order to prevent the MAC address notified from the correct communication partner from being held in the access list of the terminal to be guided. May be. It is preferable that the number of times and the time interval when notifying a plurality of times are appropriately set according to the embodiment.
  • the communication blocking unit 26 does not transfer at least a part of the communication data acquired by the network monitoring device 20 as a result of the guidance by the communication guiding unit 25 to the original destination, thereby at least a part of the communication related to the target terminal. Cut off.
  • the communication transfer unit 27 is a type of communication that the communication data transmitted from the target terminal acquired by the network monitoring device 20 as a result of guidance by the communication guidance unit 25 may be transferred to a predetermined destination by the type determination unit 24.
  • the communication data is transferred to a predetermined destination (for example, the management server 30).
  • the guidance cancellation unit 28 has been induced to communicate by being notified of a fake MAC address when the terminal once determined to be the target terminal by the target terminal determination unit 23 does not meet the predetermined condition.
  • the communication induction by the communication induction unit 25 is canceled.
  • the guidance cancellation unit 28 notifies the terminal other than the target terminal of the correct MAC address of the target terminal, and notifies the target terminal of the MAC address of the terminal other than the target terminal.
  • the communication guidance by the communication guidance unit 25 is canceled.
  • FIG. 4 is a flowchart showing a flow of terminal management processing according to the present embodiment.
  • the terminal management process according to the present embodiment is started when a notification for changing the terminal status transmitted by the management server 30 is received.
  • the notification of the terminal status change includes information (for example, a MAC address or an IPv6 address) that can identify the terminal to be changed, and the content of the change.
  • step S101 to step S104 the content of the change included in the received notification is determined, and the terminal status is changed.
  • the management unit 22 can identify information (for example, the terminal specified in the received notification) , MAC address or IPv6 address), the terminal information to be changed is retrieved from the terminal information table, and the terminal status associated with the terminal information is set to “abnormal” (step S102). Thereafter, the process proceeds to step S105.
  • the management unit 22 can identify the terminal specified in the received notification. Based on the information, the terminal information to be changed is retrieved from the terminal information table, and the terminal status of the terminal is set to “normal” (step S104). Thereafter, the process proceeds to step S107.
  • step S105 and step S106 a communication induction packet is generated and transmitted.
  • the communication guiding unit 25 directs the neighbor advertisement (NA) message for guidance or the router advertisement (RA) message for guidance regarding the default router to the terminal. Generate and send.
  • NA neighbor advertisement
  • RA router advertisement
  • the communication guiding unit 25 sends the MAC address, router flag (R flag), reachable flag (S) of the network monitoring device 20 itself to the terminal (guidance target terminal) whose terminal status has been changed. Flag) and a neighbor advertisement (NA) message in which the overwrite flag (O flag) is set (step S105) and transmitted from the communication unit 15 (step S106).
  • the communication guiding unit 25 generates a router advertisement (RA) message that advertises the MAC address of the network monitoring device 20 itself as the MAC address corresponding to the IPv6 address of the router in the link local to the guidance target terminal ( (Step S105), and transmitted from the communication unit 15 (Step S106).
  • RA router advertisement
  • step S107 restoration packet generation processing is executed.
  • the guidance canceling unit 28 notifies the correct MAC address to the neighboring cache of the related terminal (restoring the neighboring cache) and terminates the guidance of communication. Then, a restoration packet generation process is executed. Specific processing contents of the restoration packet generation processing will be described later with reference to the flowchart of FIG. Thereafter, the processing shown in this flowchart ends.
  • FIG. 5 is a flowchart showing a flow of communication analysis processing according to the present embodiment.
  • the communication analysis processing according to the present embodiment is started when the network monitoring device 20 acquires a packet.
  • step S201 it is determined whether or not the acquired packet is an IPv6 packet.
  • the communication data acquisition unit 21 determines whether or not the packet is an IPv6 packet by referring to the header of the packet acquired by the network monitoring device 20. Since the communication control according to the present embodiment is communication control for IPv6 communication, if it is determined that the acquired packet is not an IPv6 packet, the process proceeds to step S209, and the packet is discarded. However, even if the acquired packet is not an IPv6 packet (for example, if it is an IPv4 packet), the process proceeds to the process for the corresponding protocol (description is omitted), and the processes such as communication analysis and communication guidance are performed. It may be broken. On the other hand, if it is determined that the acquired packet is an IPv6 packet, the process proceeds to step S202.
  • step S204 information is extracted from the acquired packet, and based on the extracted information, it is determined whether or not the terminal involved in communication is the target terminal for the communication guidance process.
  • the target terminal determination unit 23 acquires a source MAC address and a source IPv6 address as source terminal information from the acquired packet, and acquires a destination MAC address and a destination IPv6 address as destination terminal information (step S202). Then, the target terminal determination unit 23 determines whether the terminal included in the source or destination of the acquired packet is a target terminal that meets a predetermined condition based on the information extracted in step S202. (Step S203 and Step S204).
  • step S203 If the source terminal is the router 10 and the destination is specified by multicast (YES in step S203), the process proceeds to the guided packet generation process in step S206. This is because the guidance target terminal may be included in the multicast destination.
  • step S203 determines that the transmission source is extracted in step S202.
  • the terminal related to the packet transmission source or destination is set to the target terminal for communication guidance processing (“abnormal” is set in the terminal status) It is determined whether it is a terminal that has been set (step S204). As a result of checking the terminal status, if neither the transmission source terminal nor the destination terminal is the guidance target, the process proceeds to step S209, and the acquired packet is discarded.
  • step S205 it is determined whether or not the destination MAC address is the MAC address of the network monitoring device 20.
  • the network monitoring device 20 determines whether or not the destination MAC address set in the acquired packet is the MAC address of the network monitoring device 20. Determine. If it is determined that the destination MAC address is the MAC address of the network monitoring device 20, since the packet has already been successfully guided, the process proceeds to step S207. On the other hand, when it is determined that the destination MAC address is not the MAC address of the network monitoring device 20, the packet is a packet that has not been subjected to communication guidance, and thus the processing proceeds to the guidance packet generation processing in step S206.
  • step S206 guided packet generation processing is performed. Specific processing contents of the guidance packet generation processing will be described later with reference to the flowchart of FIG.
  • step S207 and step S208 when the acquired packet is a packet to be transferred, a transfer packet generation process is executed.
  • the type determination unit 24 analyzes the header and body of the acquired packet determined to have succeeded in communication guidance in step S205 based on the transfer packet information set in advance in the terminal information table, so that the acquired packet is It is determined whether or not it is a transfer target, and a transfer destination is determined (step S207).
  • a transfer packet generation process is executed (step S208).
  • the process proceeds to step S209.
  • the acquisition packet is an HTTP packet is set as the transfer condition, and for example, the MAC address and IPv6 address of the management server 30 are set as the transfer destination. Therefore, in step S207, for example, when the acquired packet is an HTTP packet, it is determined that the acquired packet is a transfer target, and the MAC address and IPv6 address of the management server 30 are determined as the transfer destination of the acquired packet.
  • the management server 30 that has received the redirected HTTP access transmits, for example, a Web page for network use application to the transmission source terminal (unapproved terminal) of the acquired packet.
  • An unapproved terminal transmits a network use application to the management server 30 via the Web page.
  • the management server 30 transmits a notification for changing the terminal status to “normal” to the network monitoring device 20.
  • the processing by the network monitoring apparatus 20 that has received the notification is as already described with reference to FIG.
  • the management server 30 that has received the redirected packet may perform patch distribution or quarantine on a terminal for which the terminal status “abnormal” is set.
  • the unnecessary communication by the unauthorized terminal is blocked, and the IPv6 packet of the guided terminal is used as a network use application Web server, a patch distribution server, a quarantine server, or the like. It can be transferred to the management server 30 provided to reduce the load of network operation and management.
  • the specific processing contents of the transfer packet generation processing will be described later with reference to the flowchart of FIG.
  • step S209 the acquired packet is discarded.
  • the communication blocking unit 26 discards the packet without transferring the acquired packet to the original destination.
  • a packet related to the target terminal is guided to the network monitoring device 20, and the guided packet is not transferred (discarded), thereby blocking communication in the network related to the target terminal. To do. Thereafter, the processing shown in this flowchart ends.
  • FIG. 6 is a flowchart showing a flow of communication guidance processing according to the present embodiment. This flowchart explains the communication guidance process in step S206 of FIG. 5 in more detail.
  • step S301 to step S304 it is determined whether the acquired packet corresponds to a predetermined message used in ICMPv6 NDP.
  • the type determination unit 24 refers to the header of the acquired packet, so that the acquired packet is used in NDP, a router solicitation (RS) message, a router advertisement (RA) message, a neighbor solicitation (NS). It is determined whether the message corresponds to a Neighbor Solicitation (NA) message or a Neighbor Advertisement (NA) message.
  • RS router solicitation
  • RA router advertisement
  • NS neighbor solicitation
  • NA Neighbor Solicitation
  • NA Neighbor Advertisement
  • the router solicitation (RS) message is a type of communication data inquiring about router information including the MAC address of the router on the network
  • the router advertisement (RA) message is unicast of the router information including the MAC address of the router.
  • the type of communication data to be notified by multicast is the type of communication data to be notified by multicast
  • the neighbor solicitation (NS) message is the type of communication data inquiring about the MAC address corresponding to the IPv6 address of the terminal on the network
  • the neighbor advertisement (NA) message This is the type of communication data for notifying the MAC address corresponding to the IPv6 address of the upper terminal.
  • step S306 If it is determined that the acquired packet is a packet including a router advertisement (RA) message, the process proceeds to step S306. If it is determined that the acquired packet is a packet including a router solicitation (RS) message, the process proceeds to step S309. If it is determined that the acquired packet is a packet including a neighbor solicitation (NS) message, the process proceeds to step S310. If it is determined that the acquired packet is a packet including a neighbor advertisement (NA) message, the process proceeds to step S312. If it is determined that the acquired packet is not one of the above-mentioned types of packets, the process proceeds to step S305.
  • RS router solicitation
  • NA neighbor advertisement
  • step S305 it is determined whether or not the acquired packet is a unicast packet.
  • the type determination unit 24 determines that it is not any of the NDP router solicitation (RS) message, router advertisement (RA) message, neighbor solicitation (NS) message, and neighbor advertisement (NA) message. It is determined whether the acquired packet is a unicast packet related to other types of communication (for example, TCP / UDP communication or ICMPv6 Ping). The determination is made by referring to the protocol number set in the header, the destination IPv6 address, and the like. If it is determined that the acquired packet is a unicast packet, the process proceeds to step S312. On the other hand, if it is determined that the acquired packet is a multicast packet, the process proceeds to step S313.
  • RS NDP router solicitation
  • RA router advertisement
  • NS neighbor solicitation
  • NA neighbor advertisement
  • a guided packet generation process is executed when it is determined that the acquired packet is a router advertisement (RA) message. If the acquired packet is a router advertisement (RA) message, the type determination unit 24 determines whether or not the destination IPv6 address is a unicast address (step S306).
  • RA router advertisement
  • the communication guiding unit 25 notifies the router 10 of the MAC address of the network monitoring device 20 as the MAC address of the destination terminal.
  • An (NA) message is generated, and a guidance router advertisement (RA) message is generated to notify the destination terminal of the packet of the MAC address of the network monitoring device 20 as the MAC address of the router 10 (step S307). ). Thereafter, the process proceeds to step S314.
  • the communication guiding unit 25 acquires router information from the router advertisement (RA) message of the acquired packet, and the MAC address of the network monitoring device 20 as the MAC address of the router 10 Is generated for each of one or a plurality of terminals included in the multicast destination (step S308). Thereafter, the process proceeds to step S314.
  • RA router advertisement
  • a guided packet generation process is performed when it is determined that the acquired packet is a router solicitation (RS) message.
  • the communication guiding unit 25 notifies the MAC address of the network monitoring device 20 as the MAC address of the router 10 to the transmission source terminal of the packet.
  • a neighbor advertisement (NA) message for guidance for generating a router advertisement (RA) message for notification and notifying the destination router of the packet of the MAC address of the network monitoring device 20 as the MAC address of the transmission source terminal Is generated. Thereafter, the process proceeds to step S314.
  • a guided packet generation process is executed when it is determined that the acquired packet is a duplicate address detection based on a neighbor solicitation (NS) message.
  • NS neighbor solicitation
  • the communication guiding unit 25 receives the acquired packet.
  • a guidance neighboring advertisement (NA) message for notifying the MAC address of the network monitoring apparatus 20 as a MAC address corresponding to the source IPv6 address is generated for each of the terminals that perform the process (step S311).
  • duplicate address detection is a neighbor solicitation (NS) message that inquires about the MAC address of the terminal having the IPv6 address of its own terminal (that is, in this case, the source user terminal 90). Based on the response from the other terminal to the request (NS) message, the presence / absence of another terminal having a duplicate IPv6 address in the network segment 2 is determined.
  • the communication guiding unit 25 sends a MAC address corresponding to the IPv6 address of the acquired packet address resolution target to the network monitoring device.
  • a guide neighboring advertisement (NA) message of 20 is generated (step S311 or step S312). Thereafter, the process proceeds to step S314.
  • step S312 guided packet generation processing is executed when it is determined that the acquired packet is a unicast packet that is not a neighbor solicitation (NS) message, neighbor advertisement (NA) message, or NDP message other than duplicate address detection. Is done.
  • the communication guiding unit 25 transmits the source of the packet A guidance neighbor advertisement (NA) message for notifying the terminal of the MAC address of the network monitoring device 20 as the MAC address of the destination terminal is generated, and the MAC address of the source terminal is transmitted to the destination terminal of the packet A guidance neighbor advertisement (NA) message for notifying the MAC address of the network monitoring device 20 is generated.
  • NA guidance neighbor advertisement
  • the communication guiding unit 25 sets the MAC address of the network monitoring device 20 itself, a router flag (R flag), a reachable flag (S flag), and a neighbor advertisement (NA) message in which an overwrite flag (O flag) is set. Is generated. Thereafter, the process proceeds to step S314.
  • a guidance packet generation process is executed when it is determined that the acquired packet is a multicast packet other than a predetermined NDP message.
  • the communication guiding unit 25 When the acquired packet is not one of NDP router solicitation (RS), router advertisement (RA), neighbor solicitation (NS), and neighbor advertisement (NA), and the destination address is designated by a multicast address, the communication guiding unit 25 generates a guidance neighbor advertisement (NA) message for notifying the MAC address of the network monitoring device 20 as the MAC address corresponding to the transmission source IPv6 address to each of the terminals that receive the acquisition packet.
  • RS NDP router solicitation
  • RA router advertisement
  • NS neighbor solicitation
  • NA neighbor advertisement
  • the communication guiding unit 25 sends a guidance neighbor advertisement (NA) message for notifying the transmission source terminal of the packet of the MAC address of the network monitoring device 20 as the MAC address of the terminal included in the destination multicast address. Generate. Thereafter, the process proceeds to step S314.
  • NA guidance neighbor advertisement
  • step S314 and step S315 guidance information is recorded and a guidance packet is transmitted.
  • the management unit 22 uses the type of the guidance packet transmitted (neighbor advertisement (NA) message / router advertisement (RA) message) and the fake MAC address notified for communication guidance.
  • NA neighbor advertisement
  • RA router advertisement
  • An incorrect correct MAC address is associated with the notified terminal information of each terminal and recorded as guidance information in the terminal information table (step S314).
  • the communication guiding unit 25 transmits the generated packet via the communication unit 15. Thereafter, the processing shown in this flowchart ends.
  • FIG. 7 is a flowchart showing a flow of transfer packet generation processing according to the present embodiment. This flowchart explains the transfer packet generation processing in step S208 of FIG. 5 in more detail.
  • the communication transfer unit 27 determines whether or not it is necessary to change the source MAC address and source IPv6 address of the acquired packet to those of the network monitoring device 20 itself (step S401). For example, when the acquired packet communicates between different network segments beyond the router 10, it is determined that the source MAC address needs to be changed. Further, for example, when the acquired packet is a network address converted, it is determined that the source IPv6 address needs to be changed. If it is determined that the source address needs to be changed, the communication transfer unit 27 changes the source MAC address and source IPv6 address of the acquired packet to those of the network monitoring device 20 itself (step S402). On the other hand, when it is determined that the source address does not need to be changed, the process of step S402 is skipped.
  • the communication transfer unit 27 generates a transfer packet by reading the correct MAC address of the terminal corresponding to the destination IPv6 address from the terminal information table and setting it as the destination MAC address of the transfer packet (step S403).
  • the communication transfer unit 27 sends the generated transfer packet to the network via the communication unit 15 (step S404). Thereafter, the processing shown in this flowchart ends.
  • FIG. 8 is a flowchart showing the flow of restoration packet generation processing according to the present embodiment. This flowchart explains the restoration packet generation processing in step S107 of FIG. 4 in more detail.
  • the guidance cancellation unit 28 reads guidance information related to one or a plurality of terminals that are targets of guidance cancellation from the terminal information table (step S501).
  • the guidance information includes the type of the guidance packet transmitted (Neighbor Advertisement (NA) message / Router Advertisement (RA) message) and the correct MAC address in the terminal information of each notified terminal. It is the information recorded with it.
  • the guidance cancellation unit 28 When the related guidance information is read, the guidance cancellation unit 28 generates a restoration packet for each of one or more terminals that are targets of guidance cancellation (from step S502 to step S504).
  • the guidance cancellation unit 28 refers to the guidance information acquired in step S501, so that the terminal that is the destination of the restoration packet is any message of the neighbor advertisement (NA) message and the router advertisement (RA) message. It is determined whether communication is induced by (step S502).
  • terminal for guidance cancellation When it is determined that the terminal serving as the destination of the restoration packet (hereinafter referred to as “terminal for guidance cancellation”) has been guided by communication by the neighborhood advertisement (NA) message (YES in step S502), the guidance cancellation unit 28 The combination of the correct IPv6 address and the correct MAC address corresponding to the fake MAC address notified in relation to the terminal whose terminal status is “normal” in S104 is read from the guidance information, and this is sent to the guidance cancellation target terminal. A unicast neighbor advertisement (NA) message for notification is generated (step S503).
  • NA neighborhood advertisement
  • the guidance cancellation unit 28 determines that the terminal status has become “normal” in step S104.
  • step S505 The processing from step S502 to step S504 is repeatedly executed until a restoration packet is generated for all terminals that are targets of guidance cancellation (step S505).
  • the guidance cancellation unit 28 sends the generated restoration packet to the network via the communication unit 15 (step S506). Thereafter, the processing shown in this flowchart ends.
  • the network monitoring device 20 acquires and acquires packets, frames, and the like transmitted and received by the user terminal 90 from a monitoring port of a switch, router, or gateway (in the example illustrated in FIG. 1, the router 10).
  • a monitoring port of a switch, router, or gateway in the example illustrated in FIG. 1, the router 10.
  • An example of operating in a passive mode that does not transfer packets has been described (see FIG. 1).
  • the network configuration shown in the above embodiment is an example for carrying out the technology according to the present disclosure, and other network configurations may be adopted in the implementation.
  • FIG. 9 is a schematic diagram showing a variation of the configuration of the system according to the present disclosure.
  • the network monitoring device 20 is connected between each user terminal 90 on the network and a switch, proxy, gateway, or router, so that the user terminal 90 transmits and receives. Packet or frame to be acquired.
  • the network monitoring device 20 operates in an inline mode in which packets that do not need to be blocked are transferred.
  • the network monitoring device 20 is not connected to the monitoring port, but is simply connected to the network segment 2 (not shown), and the frame flowing through the network segment 2 is changed to its own MAC address. By acquiring everything including those not addressed, it is possible to acquire packets, frames, and the like transmitted and received by the user terminal 90. Also in this case, the network monitoring device 20 operates in the passive mode.
  • the network monitoring device 20 may be included in a router or a switch.
  • communication data performed by a terminal in an IPv6 environment network can be guided to an arbitrary terminal by controlling data link layer information used for communication using NDP of ICMPv6. .
  • IPv6 communications in the IPv6 environment or the dual stack environment are monitored and a fraudulent connection terminal, a terminal infected with malware, or the like is detected, a neighbor advertisement (NA) message, a router advertisement, etc. Since the communication of the corresponding terminal can be guided to the network monitoring device 20 using the (RA) message, it is possible to increase the security level without changing the network configuration or the like.
  • NA neighbor advertisement
  • RA router advertisement
  • Network monitoring device 20 Network monitoring device 30 Management server 90 User terminal

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • General Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Hardware Design (AREA)
  • Theoretical Computer Science (AREA)
  • Environmental & Geological Engineering (AREA)
  • Computing Systems (AREA)
  • Business, Economics & Management (AREA)
  • Multimedia (AREA)
  • General Business, Economics & Management (AREA)
  • Quality & Reliability (AREA)
  • Physics & Mathematics (AREA)
  • General Physics & Mathematics (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)

Abstract

ＩＰｖ６環境において通信を制御することを課題とする。ネットワーク監視装置に、ネットワーク上の通信データを取得する通信データ取得部と、取得された通信データの送信元または宛先に含まれている端末が、所定の条件に合致する対象端末であるか否かを判定する対象端末判定部と、前記対象端末に対して、該対象端末以外の端末の物理アドレスとして所定の端末の物理アドレスを通知することで、該対象端末から送信される通信データを、該所定の端末に誘導する、通信誘導部と、を備えた。

Description

情報処理装置、方法およびプログラム
　本開示は、ネットワークにおいて通信を制御する技術に関する。
　従来、未登録端末から送信された重複アドレス検出の近隣要請メッセージを受信すると、アドレスが重複している旨を返信し、また、違反端末から送信され、目標がパッチサーバとポリシーマネージャのどちらでもない近隣要請メッセージを受信すると、受信した近隣要請メッセージの送信元に、目標に対するリンク層アドレスを偽りのものに変更する旨を返信することによって、不正端末がネットワーク内で通信を行うことをブロックしつつ、パッチサーバ及びポリシーマネージャが違反端末と通信することを許可する不正接続防止装置が提案されている（特許文献１を参照）。
特開２０１１－２１７０１６号公報
　従来、ＩＰｖ４（Ｉｎｔｅｒｎｅｔ　Ｐｒｏｔｏｃｏｌ　ｖｅｒｓｉｏｎ　４）環境で使用されているＡＲＰ（Ａｄｄｒｅｓｓ　Ｒｅｓｏｌｕｔｉｏｎ　Ｐｒｏｔｏｃｏｌ）／ＧＡＲＰ（Ｇｒａｔｕｉｔｏｕｓ　ＡＲＰ）を利用して、ネットワークに接続された端末が保持するＡＲＰテーブルを書き換えることで、端末間の通信を制御する技術が存在する。しかし、ＩＰｖ６（Ｉｎｔｅｒｎｅｔ　Ｐｒｏｔｏｃｏｌ　ｖｅｒｓｉｏｎ　６）環境では、ＡＲＰ／ＧＡＲＰを使用することが出来ないため、従来の方法でＩＰｖ６通信を制御することは出来ない。また、ＩＰｖ４およびＩＰｖ６が共存するデュアルスタック環境においても、ＡＲＰ／ＧＡＲＰを利用した通信制御方式では、ＩＰｖ４通信を制御することのみ可能であり、ＩＰｖ６通信を制御することは出来ない。
　本開示は、上記した問題に鑑み、ＩＰｖ６環境において通信を制御することを課題とする。
　本開示の一例は、ネットワーク上の通信データを取得する通信データ取得手段と、取得された通信データの送信元または宛先に含まれている端末が、所定の条件に合致する対象端末であるか否かを判定する対象端末判定手段と、前記対象端末に対して、該対象端末以外の端末の物理アドレスとして所定の端末の物理アドレスを通知することで、該対象端末から送信される通信データを、該所定の端末に誘導する、通信誘導手段と、を備える、情報処理装置である。
　本開示は、情報処理装置、システム、コンピュータによって実行される方法またはコンピュータに実行させるプログラムとして把握することが可能である。また、本開示は、そのようなプログラムをコンピュータその他の装置、機械等が読み取り可能な記録媒体に記録したものとしても把握出来る。ここで、コンピュータ等が読み取り可能な記録媒体とは、データやプログラム等の情報を電気的、磁気的、光学的、機械的または化学的作用によって蓄積し、コンピュータ等から読み取ることが出来る記録媒体をいう。
　本開示によれば、ＩＰｖ６環境において通信を制御することが可能となる。
実施形態に係るシステムの構成を示す概略図である。 実施形態に係るネットワーク監視装置のハードウェア構成を示す図である。 実施形態に係るネットワーク監視装置の機能構成の概略を示す図である。 実施形態に係る端末管理処理の流れを示すフローチャートである。 実施形態に係る通信解析処理の流れを示すフローチャートである。 実施形態に係る通信誘導処理の流れを示すフローチャートである。 実施形態に係る転送パケット生成処理の流れを示すフローチャートである。 実施形態に係る復元パケット生成処理の流れを示すフローチャートである。 システムの構成のバリエーションを示す概略図である。
　以下、本開示に係る情報処理装置を含むシステム１の実施の形態について、図面に基づいて説明する。なお、本実施形態では、管理サーバを用いて管理されるシステムにおいて通信の誘導を行う例について説明しているが、本開示に係る技術は、本実施形態に例示したシステムとは異なる構成が採用されたシステムにおいても、通信の誘導、監視または制限を行うために用いることが出来る。
　＜システムの構成＞
　図１は、本実施形態に係るシステム１の構成を示す概略図である。本実施形態に係るシステム１は、管理対象となる１または複数のユーザ端末９０が接続されるネットワークセグメント２と、ルータ１０を介してネットワークセグメント２上のユーザ端末９０と通信可能に接続されている業務サーバ５０および管理サーバ３０と、ルータ１０のモニタリングポートに接続されたネットワーク監視装置２０と、を備える。
　ここで、業務サーバ５０は、ユーザ端末９０に対して業務のためのサービスを提供する。また、管理サーバ３０は、ネットワーク利用申請Ｗｅｂサーバやパッチ配布サーバ、検疫サーバ等としての役割を備えている。例えば、管理サーバ３０は、ネットワークセグメント２に接続されたユーザ端末９０について、利用申請に対する管理者承認の有無や検疫結果に基づいて、当該ユーザ端末９０が「正常」な端末か「異常」な端末かを決定することで、ユーザ端末９０のネットワークセグメント２における通信の許可／不許可を管理する。
　なお、本実施形態に係るシステム１では、ユーザ端末９０から接続される各種サーバは、インターネットや広域ネットワークを介して遠隔地において接続されるが、これらのサーバは、必ずしも遠隔地に接続されたものである必要はない。例えば、これらのサーバは、ユーザ端末９０やネットワーク監視装置２０が存在するローカルネットワーク上に接続されていてもよい。
　図２は、本実施形態に係るネットワーク監視装置２０のハードウェア構成を示す図である。ネットワーク監視装置２０は、ＣＰＵ（Ｃｅｎｔｒａｌ　Ｐｒｏｃｅｓｓｉｎｇ　Ｕｎｉｔ）１１、ＲＡＭ（Ｒａｎｄｏｍ　Ａｃｃｅｓｓ　Ｍｅｍｏｒｙ）１３、ＲＯＭ（Ｒｅａｄ　Ｏｎｌｙ　Ｍｅｍｏｒｙ）１２、ＥＥＰＲＯＭ（Ｅｌｅｃｔｒｉｃａｌｌｙ　Ｅｒａｓａｂｌｅ　ａｎｄ　Ｐｒｏｇｒａｍｍａｂｌｅ　Ｒｅａｄ　Ｏｎｌｙ　Ｍｅｍｏｒｙ）やＨＤＤ（Ｈａｒｄ　Ｄｉｓｋ　Ｄｒｉｖｅ）等のストレージ１４、通信ユニット（Ｎｅｔｗｏｒｋ　Ｉｎｔｅｒｆａｃｅ　Ｃａｒｄ）１５、等を備えるコンピュータである。但し、ネットワーク監視装置２０の具体的なハードウェア構成に関しては、実施の態様に応じて適宜省略や置換、追加が可能である。また、ネットワーク監視装置２０は、単一の装置に限定されない。ネットワーク監視装置２０は、所謂クラウドや分散コンピューティングの技術等を用いた、複数の装置によって実現されてよい。
　なお、図２においては、ネットワーク監視装置２０以外の構成（ルータ１０、管理サーバ３０、業務サーバ５０およびユーザ端末９０等）については、図示を省略しているが、ルータ１０、管理サーバ３０、ユーザ端末９０、および業務サーバ５０等は、何れも、ネットワーク監視装置２０と同様のハードウェア構成を有するコンピュータである。
　図３は、本実施形態に係るネットワーク監視装置２０の機能構成の概略を示す図である。ネットワーク監視装置２０は、ストレージ１４に記録されているプログラムが、ＲＡＭ１３に読み出され、ＣＰＵ１１によって実行されることで、通信データ取得部２１、管理部２２、対象端末判定部２３、種別判定部２４、通信誘導部２５、通信遮断部２６、通信転送部２７および誘導解除部２８を備える情報処理装置として機能する。なお、本実施形態では、情報処理装置の備える各機能は、汎用プロセッサであるＣＰＵ１１によって実行されるが、これらの機能の一部または全部は、１または複数の専用プロセッサによって実行されてもよい。
　通信データ取得部２１は、ネットワーク上の通信データを取得する。上述の通り、ネットワーク監視装置２０は、ルータ１０のモニタリングポートに接続されており、このモニタリングポートに出力されるパケットを取得することで、ユーザ端末９０によって送受信されるパケット（通信データ）を取得する。
　管理部２２は、ユーザ端末９０やルータ１０、業務サーバ５０、管理サーバ３０等の、ネットワーク上の端末の端末情報を管理する。具体的には、管理部２２は、ネットワークの管理者によって入力された情報や、通信データ取得部２１によって取得された通信データを解析することによって得られた情報に基づいて、ネットワークに接続された端末のＭＡＣアドレス（物理アドレス）およびこれに対応するＩＰｖ６アドレス（論理アドレス）を、ストレージ１４上の端末情報テーブルに蓄積・管理する。更に、管理部２２は、端末情報テーブルに、端末ステータス、誘導情報および転送パケット情報等を蓄積・管理する。
　ここで、端末ステータスは、管理サーバ３０によって決定された各端末のステータス（正常／異常）を示す情報であり、各端末の端末情報に関連付けられて保存される。上述の通り、本実施形態において、管理サーバ３０は、ネットワーク利用申請Ｗｅｂサーバやパッチ配布サーバ、検疫サーバ等としての役割を備えている。このため、例えば、管理サーバ３０は、管理者未承認の端末や、検疫未合格の端末、マルウェアによると推測される通信が検知された端末等について、端末ステータス「異常」を設定するよう、ネットワーク監視装置２０に通知する。また、管理サーバ３０は、管理者承認済みの端末や、検疫に合格した端末について、端末ステータス「正常」を設定するよう、ネットワーク監視装置２０に通知する。管理サーバ３０による通知を受けたネットワーク監視装置２０の管理部２２は、通知された端末ステータスを、該当する端末の端末情報に関連付けて、端末情報テーブルに保存する。
　また、誘導情報は、送信された誘導パケットの種類および正しいアドレス情報が、誘導パケットが通知された各端末の端末情報に紐付けて記録された情報である。ここで、誘導パケットとは、偽のアドレス情報を通知したパケットであり、正しいアドレス情報とは、ＩＰｖ６アドレスと、当該ＩＰｖ６アドレスに対応する正しいＭＡＣアドレスとの組み合わせである。誘導パケットの種類については、処理の流れの説明において後述する。
　また、転送パケット情報は、取得パケットが転送の対象となるための条件、および転送の対象となったパケットの転送先アドレスが含まれる情報である。本実施形態では、例えば、転送条件として、「取得パケットがＨＴＴＰ（Ｈｙｐｅｒｔｅｘｔ　Ｔｒａｎｓｆｅｒ　Ｐｒｏｔｏｃｏｌ）パケットであること」が設定される。そして、ＨＴＴＰパケットの転送先には、例えば、管理サーバ３０のＩＰｖ６アドレスが設定されている。
　対象端末判定部２３は、取得された通信データの送信元または宛先と、管理部２２によって通信誘導の対象として管理されている端末情報とを比較することで、通信データの送信元または宛先に含まれている端末が、所定の条件に合致する対象端末であるか否かを判定する。ここで、「通信誘導の対象として管理されている端末情報」は、本実施形態では、端末情報テーブルにおいて、端末ステータス「異常」が設定されている端末の情報である。
　種別判定部２４は、通信データの種別を判定する。種別判定部２４は、通信データ（パケット）のヘッダーやボディを解析することで、通信データのプロトコル種別や、メッセージ種別、マルチキャスト／ユニキャストの種別、等を判定する。
　通信誘導部２５は、対象端末に対して、当該対象端末以外の端末のＭＡＣアドレスとして所定の端末のＭＡＣアドレスを通知することで、対象端末の近隣キャッシュを操作し、当該対象端末から送信される通信データを、当該所定の端末に誘導し、また、対象端末以外の端末に対して、当該対象端末のＭＡＣアドレスとして所定の端末のＭＡＣアドレスを通知することで、通知を受けた各端末の近隣キャッシュを操作し、当該対象端末を宛先として送信される通信データを、当該所定の端末に誘導する。
　なお、本実施形態において、通信誘導部２５は、所定の端末のＭＡＣアドレスとして、ネットワーク監視装置２０のＭＡＣアドレスを通知することで、通信データをネットワーク監視装置２０に誘導する。但し、所定の端末のＭＡＣアドレスとして通知されるＭＡＣアドレスは、本実施形態における例に限定されない。通信誘導部２５は、所定の端末のＭＡＣアドレスとして、誘導された通信データを取得させたい端末のＭＡＣアドレスを通知することが出来る。
　本実施形態では、誘導の対象となる通信はＩＰｖ６通信であり、誘導にはＩＣＭＰｖ６（Ｉｎｔｅｒｎｅｔ　Ｃｏｎｔｒｏｌ　Ｍｅｓｓａｇｅ　Ｐｒｏｔｏｃｏｌ　ｆｏｒ　ＩＰｖ６）のＮＤＰ（Ｎｅｉｇｈｂｏｒ　Ｄｉｓｃｏｖｅｒｙ　Ｐｒｏｔｏｃｏｌ：近隣者発見プロトコル）が用いられる。具体的には、本実施形態において通信の誘導に用いられるパケットの種類は、ＩＣＭＰｖ６のＮＤＰで用いられる「近隣広告（ＮＡ）メッセージ」または「ルータ広告（ＲＡ）メッセージ」である。
　なお、通信誘導部２５は、誘導対象の端末のアクセスリストに正しい通信相手から通知されたＭＡＣアドレスが保持されることを防止するため、誘導用のＭＡＣアドレスを、時間をおいて複数回通知してもよい。複数回通知する場合の回数および時間間隔は、実施の形態に応じて適宜設定されることが好ましい。
　通信遮断部２６は、通信誘導部２５による誘導の結果ネットワーク監視装置２０に取得された通信データのうち、少なくとも一部を本来の宛先に転送しないことで、対象端末に係る通信の少なくとも一部を遮断する。
　通信転送部２７は、通信誘導部２５による誘導の結果ネットワーク監視装置２０に取得された、対象端末から送信された通信データが、種別判定部２４によって、所定の宛先に転送してよい種別の通信データであると判定された場合に、当該通信データを所定の宛先（例えば、管理サーバ３０）に転送する。
　誘導解除部２８は、対象端末判定部２３によって一旦対象端末であると判定された端末が、所定の条件に合致しなくなった場合に、偽のＭＡＣアドレスが通知されることによって通信誘導されていた各端末に対して、正しいＭＡＣアドレスを通知することで、通信誘導部２５による通信の誘導を解除する。具体的には、誘導解除部２８は、対象端末以外の端末に対して、対象端末の正しいＭＡＣアドレスを通知し、対象端末に対して、対象端末以外の端末のＭＡＣアドレスを通知することで、通信誘導部２５による通信の誘導を解除する。
　＜処理の流れ＞
　次に、本実施形態に係るネットワーク監視装置２０によって実行される処理の流れを、フローチャートを用いて説明する。なお、以下に説明する処理の具体的な内容および順序は、本開示に係る技術を実施するための一例である。具体的な処理内容および処理順序は、本開示に係る技術の実施の形態に応じて適宜選択されてよい。
　図４は、本実施形態に係る端末管理処理の流れを示すフローチャートである。本実施形態に係る端末管理処理は、管理サーバ３０によって送信された、端末ステータスを変更する通知が受信されたことを契機として開始される。端末ステータス変更の通知は、変更の対象となる端末を特定可能な情報（例えば、ＭＡＣアドレスまたはＩＰｖ６アドレス）と、変更の内容と、を含む。
　ステップＳ１０１からステップＳ１０４では、受信された通知に含まれる変更の内容が判定され、端末ステータスが変更される。変更の内容が、端末ステータスを「正常」から「異常」へ変更するものである場合（ステップＳ１０１のＹＥＳ）、管理部２２は、受信された通知に指定された端末を特定可能な情報（例えば、ＭＡＣアドレスまたはＩＰｖ６アドレス）に基づいて、端末情報テーブルから、変更対象の端末情報を索出し、当該端末情報に紐付けられた端末ステータスを「異常」に設定する（ステップＳ１０２）。その後、処理はステップＳ１０５へ進む。
　一方、変更の内容が、端末ステータスを「異常」から「正常」へ変更するものである場合、（ステップＳ１０３のＹＥＳ）、管理部２２は、受信された通知に指定された端末を特定可能な情報に基づいて、端末情報テーブルから、変更対象の端末情報を索出し、当該端末の端末ステータスを「正常」に設定する（ステップＳ１０４）。その後、処理はステップＳ１０７へ進む。
　ステップＳ１０５およびステップＳ１０６では、通信誘導パケットが生成および送信される。端末のステータスが「正常」から「異常」へ変更された場合、通信誘導部２５は、該当端末に対してデフォルトルータに関する誘導用の近隣広告（ＮＡ）メッセージまたは誘導用のルータ広告（ＲＡ）メッセージを生成し、送信する。
　具体的には、通信誘導部２５は、端末ステータス変更の対象となった端末（誘導対象端末）に対して、ネットワーク監視装置２０自身のＭＡＣアドレス、ルータフラグ（Ｒフラグ）、到達可能フラグ（Ｓフラグ）、上書きフラグ（Ｏフラグ）を設定した近隣広告（ＮＡ）メッセージを生成し（ステップＳ１０５）、通信ユニット１５から送信する（ステップＳ１０６）。または、通信誘導部２５は、誘導対象端末に対して、リンクローカル内のルータのＩＰｖ６アドレスに対応するＭＡＣアドレスとしてネットワーク監視装置２０自身のＭＡＣアドレスを広告するルータ広告（ＲＡ）メッセージを生成し（ステップＳ１０５）、通信ユニット１５から送信する（ステップＳ１０６）。このような誘導用のメッセージが送信されることで、誘導対象端末の近隣キャッシュが制御され、誘導対象端末のＩＰｖ６通信がネットワーク監視装置２０へ誘導される。その後、本フローチャートに示された処理は終了する。
　ステップＳ１０７では、復元パケット生成処理が実行される。端末のステータスが「異常」から「正常」へ変更された場合、誘導解除部２８は、関連する端末の近隣キャッシュに正しいＭＡＣアドレスを通知（近隣キャッシュを復元）して通信の誘導を終了させるために、復元パケット生成処理を実行する。復元パケット生成処理の具体的な処理内容については、図８のフローチャートを参照して後述する。その後、本フローチャートに示された処理は終了する。
　図５は、本実施形態に係る通信解析処理の流れを示すフローチャートである。本実施形態に係る通信解析処理は、ネットワーク監視装置２０によって、パケットが取得されたことを契機として開始される。
　ステップＳ２０１では、取得されたパケットがＩＰｖ６パケットであるか否かが判定される。通信データ取得部２１は、ネットワーク監視装置２０によって取得されたパケットのヘッダー等を参照することで、当該パケットが、ＩＰｖ６パケットであるか否かを判定する。本実施形態に係る通信制御は、ＩＰｖ６通信を対象とした通信制御であるため、取得されたパケットがＩＰｖ６パケットではないと判定された場合、処理はステップＳ２０９へ進み、当該パケットは破棄される。但し、取得されたパケットがＩＰｖ６パケットではない場合（例えば、ＩＰｖ４パケットであった場合）でも、該当するプロトコルのための処理（説明は省略する）に進み、通信解析および通信誘導等の処理が行われてもよい。一方、取得されたパケットがＩＰｖ６パケットであると判定された場合、処理はステップＳ２０２へ進む。
　ステップＳ２０２からステップＳ２０４では、取得パケットから情報が抽出され、抽出された情報に基づいて、通信に係る端末が、通信誘導処理の対象端末であるか否かが判定される。対象端末判定部２３は、取得されたパケットから送信元端末情報として送信元ＭＡＣアドレス、送信元ＩＰｖ６アドレスを取得し、宛先端末情報として宛先ＭＡＣアドレス、宛先ＩＰｖ６アドレスを取得する（ステップＳ２０２）。そして、対象端末判定部２３は、ステップＳ２０２で抽出された情報に基づいて、取得パケットの送信元または宛先に含まれている端末が、所定の条件に合致する対象端末であるか否かを判定する（ステップＳ２０３およびステップＳ２０４）。
　送信元端末がルータ１０であり、且つ宛先がマルチキャストで指定されている場合（ステップＳ２０３のＹＥＳ）、処理はステップＳ２０６の誘導パケット生成処理へ進む。これは、マルチキャストの宛先の中に、誘導対象端末が含まれている可能性があるためである。
　また、ステップＳ２０３における判定結果がＮＯであった場合（即ち、ユニキャストパケットであるか、送信元がルータでないマルチキャストパケットである場合）、対象端末判定部２３は、ステップＳ２０２で抽出された送信元アドレスおよび宛先アドレスと、端末情報テーブルに予め蓄積されている端末情報とを比較することで、パケットの送信元または宛先に係る端末が、通信誘導処理の対象端末（端末ステータスに「異常」が設定されている端末）であるか否かを判定する（ステップＳ２０４）。端末ステータスを確認した結果、送信元端末および宛先端末が何れも誘導対象で無い場合には、処理はステップＳ２０９へ進み、取得パケットは破棄される。一方、端末ステータスを確認した結果、パケットの送信元および宛先に係る端末の少なくとも何れかの端末ステータスが「異常」であり、通信誘導処理の対象端末であると判定された場合、処理はステップＳ２０５へ進む。
　ステップＳ２０５では、宛先ＭＡＣアドレスがネットワーク監視装置２０のＭＡＣアドレスであるか否かが判定される。取得パケットが既に通信誘導されているパケットであるか否かを判定するために、ネットワーク監視装置２０は、取得パケットに設定されている宛先ＭＡＣアドレスがネットワーク監視装置２０のＭＡＣアドレスであるか否かを判定する。宛先ＭＡＣアドレスがネットワーク監視装置２０のＭＡＣアドレスであると判定された場合、既に当該パケットは通信誘導が成功したパケットであるため、処理はステップＳ２０７へ進む。一方、宛先ＭＡＣアドレスがネットワーク監視装置２０のＭＡＣアドレスでないと判定された場合、当該パケットは通信誘導が行われていないパケットであるため、処理はステップＳ２０６の誘導パケット生成処理へ進む。
　ステップＳ２０６では、誘導パケット生成処理が行われる。誘導パケット生成処理の具体的な処理内容については、図６のフローチャートを参照して後述する。
　ステップＳ２０７およびステップＳ２０８では、取得されたパケットが転送対象のパケットである場合に、転送パケット生成処理が実行される。種別判定部２４は、予め端末情報テーブルに設定された転送パケット情報に基づいて、ステップＳ２０５において通信誘導に成功していると判定された取得パケットのヘッダーやボディを解析することで、取得パケットが転送の対象であるか否かを判定し、転送先を決定する（ステップＳ２０７）。取得されたパケットが転送対象のパケットであると判定された場合、転送パケット生成処理が実行される（ステップＳ２０８）。一方、取得されたパケットが転送対象のパケットでないと判定された場合、処理はステップＳ２０９へ進む。
　先述の通り、本実施形態では、例えば、転送条件として、「取得パケットがＨＴＴＰパケットであること」が設定され、転送先として、例えば、管理サーバ３０のＭＡＣアドレスおよびＩＰｖ６アドレスが設定される。このため、ステップＳ２０７では、例えば、取得パケットがＨＴＴＰパケットである場合に、取得パケットが転送対象であると判定され、取得パケットの転送先として管理サーバ３０のＭＡＣアドレスおよびＩＰｖ６アドレスが決定される。
　このようにすることで、管理者より承認されていないために端末ステータス「異常」が設定されている端末からのＨＴＴＰアクセスを管理サーバ３０にリダイレクトすることが出来る。リダイレクトされたＨＴＴＰアクセスを受けた管理サーバ３０は、例えば、ネットワーク利用申請のためのＷｅｂページ等を、当該取得パケットの送信元端末（未承認の端末）に対して送信する。未承認の端末は、当該Ｗｅｂページを介して管理サーバ３０にネットワーク利用申請を送信する。その後、ネットワーク利用申請が管理者によって承認されると、管理サーバ３０は、端末ステータスを「正常」に変更するための通知をネットワーク監視装置２０に対して送信する。通知を受けたネットワーク監視装置２０による処理については、図４を用いて既に説明した通りである。また、リダイレクトされたパケットを受信した管理サーバ３０は、端末ステータス「異常」が設定されている端末に対して、パッチの配布や、検疫を行ってもよい。
　即ち、本実施形態に係る技術によれば、許可されていない端末による不要な通信を遮断しつつ、誘導した該当端末のＩＰｖ６パケットをネットワーク利用申請Ｗｅｂサーバやパッチ配布サーバ、検疫サーバ等の役割を備える管理サーバ３０へ転送して、ネットワーク運用・管理の負荷軽減を行うことが出来る。転送パケット生成処理の具体的な処理内容については、図７のフローチャートを参照して後述する。
　ステップＳ２０９では、取得パケットが破棄される。通信遮断部２６は、取得パケットを本来の宛先に転送せず、パケットを破棄する。則ち、本実施形態に係るシステムでは、対象端末に係るパケットをネットワーク監視装置２０へ誘導し、誘導したパケットを転送しない（破棄する）ことで、誘導対象端末に係るネットワーク内での通信を遮断することとしている。その後、本フローチャートに示された処理は終了する。
　図６は、本実施形態に係る通信誘導処理の流れを示すフローチャートである。本フローチャートは、図５のステップＳ２０６の通信誘導処理をより詳細に説明するものである。
　ステップＳ３０１からステップＳ３０４では、取得パケットが、ＩＣＭＰｖ６のＮＤＰで用いられる所定のメッセージに該当するかが判定される。種別判定部２４は、取得パケットのヘッダーを参照することで、取得パケットが、ＮＤＰで用いられる、ルータ要請（ＲＳ：　Ｒｏｕｔｅｒ　Ｓｏｌｉｃｉｔａｔｉｏｎ）メッセージ、ルータ広告（ＲＡ：　Ｒｏｕｔｅｒ　Ａｄｖｅｒｔｉｓｅｍｅｎｔ）メッセージ、近隣要請（ＮＳ：　Ｎｅｉｇｈｂｏｒ　Ｓｏｌｉｃｉｔａｔｉｏｎ）メッセージおよび近隣広告（ＮＡ：　Ｎｅｉｇｈｂｏｒ　Ａｄｖｅｒｔｉｓｅｍｅｎｔ）メッセージの何れに該当するかを判定する。
　ここで、ルータ要請（ＲＳ）メッセージは、ネットワーク上のルータのＭＡＣアドレスを含むルータ情報を問い合わせる種別の通信データであり、ルータ広告（ＲＡ）メッセージは、ルータのＭＡＣアドレスを含むルータ情報をユニキャスト／マルチキャストによって通知する種別の通信データであり、近隣要請（ＮＳ）メッセージは、ネットワーク上の端末のＩＰｖ６アドレスに対応するＭＡＣアドレスを問い合わせる種別の通信データであり、近隣広告（ＮＡ）メッセージは、ネットワーク上の端末のＩＰｖ６アドレスに対応するＭＡＣアドレスを通知する種別の通信データである。
　取得パケットが、ルータ広告（ＲＡ）メッセージを含むパケットであると判定された場合、処理はステップＳ３０６へ進む。取得パケットが、ルータ要請（ＲＳ）メッセージを含むパケットであると判定された場合、処理はステップＳ３０９へ進む。取得パケットが、近隣要請（ＮＳ）メッセージを含むパケットであると判定された場合、処理はステップＳ３１０へ進む。取得パケットが、近隣広告（ＮＡ）メッセージを含むパケットであると判定された場合、処理はステップＳ３１２へ進む。取得パケットが、上記の何れの種別のパケットでもないと判定された場合、処理はステップＳ３０５へ進む。
　ステップＳ３０５では、取得パケットが、ユニキャストパケットであるか否かが判定される。種別判定部２４は、上記したステップＳ３０１からステップＳ３０４において、ＮＤＰのルータ要請（ＲＳ）メッセージ、ルータ広告（ＲＡ）メッセージ、近隣要請（ＮＳ）メッセージおよび近隣広告（ＮＡ）メッセージの何れでもないと判定された取得パケットが、その他の種別の通信（例えば、ＴＣＰ／ＵＤＰ通信やＩＣＭＰｖ６のＰｉｎｇ）に係るユニキャストパケットであるか否かを判定する。判定は、ヘッダーに設定されたプロトコル番号および宛先ＩＰｖ６アドレス等を参照することで行われる。取得パケットがユニキャストパケットであると判定された場合、処理はステップＳ３１２へ進む。一方、取得パケットがマルチキャストパケットであると判定された場合、処理はステップＳ３１３へ進む。
　ステップＳ３０６からステップＳ３０８では、取得パケットがルータ広告（ＲＡ）メッセージであると判定された場合の誘導パケット生成処理が実行される。取得パケットがルータ広告（ＲＡ）メッセージである場合、種別判定部２４は、宛先ＩＰｖ６アドレスがユニキャストアドレスであるか否かを判定する（ステップＳ３０６）。
　宛先アドレスがユニキャストアドレスである場合（ステップＳ３０６のＹＥＳ）、通信誘導部２５は、ルータ１０に対して、宛先端末のＭＡＣアドレスとしてネットワーク監視装置２０のＭＡＣアドレスを通知するための誘導用近隣広告（ＮＡ）メッセージを生成し、当該パケットの宛先端末に対して、ルータ１０のＭＡＣアドレスとしてネットワーク監視装置２０のＭＡＣアドレスを通知するための、誘導用ルータ広告（ＲＡ）メッセージを生成する（ステップＳ３０７）。その後、処理はステップＳ３１４へ進む。
　宛先アドレスがマルチキャストアドレスである場合（ステップＳ３０６のＮＯ）、通信誘導部２５は、取得パケットのルータ広告（ＲＡ）メッセージからルータ情報を取得し、ルータ１０のＭＡＣアドレスとしてネットワーク監視装置２０のＭＡＣアドレスを通知するための、ユニキャストの誘導用ルータ広告（ＲＡ）メッセージを、当該マルチキャストの宛先に含まれる１または複数の端末の夫々に対して生成する（ステップＳ３０８）。その後、処理はステップＳ３１４へ進む。
　ステップＳ３０９では、取得パケットがルータ要請（ＲＳ）メッセージであると判定された場合の誘導パケット生成処理が実行される。種別判定部２４によって、パケットがルータ要請であると判定された場合、通信誘導部２５は、当該パケットの送信元端末に対して、ルータ１０のＭＡＣアドレスとしてネットワーク監視装置２０のＭＡＣアドレスを通知するための誘導用ルータ広告（ＲＡ）メッセージを生成し、当該パケットの宛先ルータに対して、送信元端末のＭＡＣアドレスとしてネットワーク監視装置２０のＭＡＣアドレスを通知するための誘導用近隣広告（ＮＡ）メッセージを生成する。その後、処理はステップＳ３１４へ進む。
　ステップＳ３１０から３１１では、取得パケットが近隣要請（ＮＳ）メッセージによる重複アドレス検知であると判定された場合の誘導パケット生成処理が実行される。近隣要請（ＮＳ）メッセージに設定された宛先ＩＰｖ６アドレスと送信元ＩＰｖ６アドレスとが同一である場合（ステップＳ３１０のＮＯ、つまり、重複アドレス検知である場合）、通信誘導部２５は、取得パケットを受信する端末の夫々に対して、送信元ＩＰｖ６アドレスに対応するＭＡＣアドレスとしてネットワーク監視装置２０のＭＡＣアドレスを通知するための誘導用近隣広告（ＮＡ）メッセージを生成する（ステップＳ３１１）。ここで、重複アドレス検知とは、自端末（即ち、この場合は送信元のユーザ端末９０）のＩＰｖ６アドレスを有する端末のＭＡＣアドレスを問合せる近隣要請（ＮＳ）メッセージであり、ユーザ端末９０は、近隣要請（ＮＳ）メッセージに対する他の端末からの応答に基づいて、ネットワークセグメント２内におけるＩＰｖ６アドレスが重複する他の端末の有無を判断する。また、取得パケットが、近隣要請（ＮＳ）メッセージである場合、通信誘導部２５は、取得パケットの送信元端末に対して、取得パケットのアドレス解決対象のＩＰｖ６アドレスに対応するＭＡＣアドレスをネットワーク監視装置２０のものとした誘導用近隣広告（ＮＡ）メッセージを生成する（ステップＳ３１１またはステップＳ３１２）。その後、処理はステップＳ３１４へ進む。
　ステップＳ３１２では、取得パケットが、重複アドレス検知以外の近隣要請（ＮＳ）メッセージ、近隣広告（ＮＡ）メッセージ、またはＮＤＰメッセージではないユニキャストパケットであると判定された場合の、誘導パケット生成処理が実行される。取得パケットが、重複アドレス検知以外の近隣要請（ＮＳ）メッセージ、近隣広告（ＮＡ）メッセージ、またはＮＤＰメッセージではないユニキャストパケットであると判定された場合、通信誘導部２５は、当該パケットの送信元端末に対して、宛先端末のＭＡＣアドレスとしてネットワーク監視装置２０のＭＡＣアドレスを通知するための誘導用近隣広告（ＮＡ）メッセージを生成し、当該パケットの宛先端末に対して、送信元端末のＭＡＣアドレスとしてネットワーク監視装置２０のＭＡＣアドレスを通知するための誘導用近隣広告（ＮＡ）メッセージを生成する。具体的には、通信誘導部２５は、ネットワーク監視装置２０自身のＭＡＣアドレス、ルータフラグ（Ｒフラグ）、到達可能フラグ（Ｓフラグ）、上書きフラグ（Ｏフラグ）を設定した近隣広告（ＮＡ）メッセージを生成する。その後、処理はステップＳ３１４へ進む。
　ステップＳ３１３では、取得パケットが、所定のＮＤＰメッセージ以外のマルチキャストパケットであると判定された場合の、誘導パケット生成処理が実行される。取得パケットが、ＮＤＰのルータ要請（ＲＳ）、ルータ広告（ＲＡ）、近隣要請（ＮＳ）および近隣広告（ＮＡ）の何れでもなく、且つ宛先アドレスがマルチキャストアドレスで指定されている場合、通信誘導部２５は、取得パケットを受信する端末の夫々に対して、送信元ＩＰｖ６アドレスに対応するＭＡＣアドレスとしてネットワーク監視装置２０のＭＡＣアドレスを通知するための、誘導用近隣広告（ＮＡ）メッセージを生成する。また、通信誘導部２５は、当該パケットの送信元端末に対して、宛先マルチキャストアドレスに含まれる端末のＭＡＣアドレスとしてネットワーク監視装置２０のＭＡＣアドレスを通知するための誘導用近隣広告（ＮＡ）メッセージを生成する。その後、処理はステップＳ３１４へ進む。
　ステップＳ３１４およびステップＳ３１５では、誘導情報が記録され、誘導パケットが送信される。誘導パケットが生成されると、管理部２２は、送信された誘導パケットの種類（近隣広告（ＮＡ）メッセージ／ルータ広告（ＲＡ）メッセージ）、および通信誘導のために通知される偽のＭＡＣアドレスではない正しいＭＡＣアドレスを、通知された各端末の端末情報に紐付けて、誘導情報として端末情報テーブルに記録する（ステップＳ３１４）。そして、通信誘導部２５は、通信ユニット１５を介して、生成されたパケットを送信する。その後、本フローチャートに示された処理は終了する。
　図７は、本実施形態に係る転送パケット生成処理の流れを示すフローチャートである。本フローチャートは、図５のステップＳ２０８の転送パケット生成処理をより詳細に説明するものである。
　はじめに、通信転送部２７は、取得パケットの送信元ＭＡＣアドレス、送信元ＩＰｖ６アドレスをネットワーク監視装置２０自身のものへと変更することが必要であるか否かを判断する（ステップＳ４０１）。例えば、当該取得パケットが、ルータ１０を超えて異なるネットワークセグメント間で通信を行うものである場合には、送信元ＭＡＣアドレスの変更が必要であると判定される。また、例えば、当該取得パケットが、ネットワークアドレス変換されるものである場合、送信元ＩＰｖ６アドレスの変更が必要であると判定される。送信元アドレスの変更が必要であると判定された場合、通信転送部２７は、取得パケットの送信元ＭＡＣアドレス、送信元ＩＰｖ６アドレスをネットワーク監視装置２０自身のものへと変更する（ステップＳ４０２）。一方、送信元アドレスの変更が不要であると判定された場合、ステップＳ４０２の処理はスキップされる。
　そして、通信転送部２７は、宛先ＩＰｖ６アドレスに対応する端末の正しいＭＡＣアドレスを端末情報テーブルより読み出し、転送パケットの宛先ＭＡＣアドレスに設定することで、転送パケットを生成する（ステップＳ４０３）。転送パケットが生成されると、通信転送部２７は、生成された転送パケットを、通信ユニット１５を介して、ネットワークに送出する（ステップＳ４０４）。その後、本フローチャートに示された処理は終了する。
　図８は、本実施形態に係る復元パケット生成処理の流れを示すフローチャートである。本フローチャートは、図４のステップＳ１０７の復元パケット生成処理をより詳細に説明するものである。
　はじめに、誘導解除部２８は、誘導解除の対象となる１または複数の端末に係る誘導情報を、端末情報テーブルから読み出す（ステップＳ５０１）。ここで、誘導情報は、上述の通り、送信された誘導パケットの種類（近隣広告（ＮＡ）メッセージ／ルータ広告（ＲＡ）メッセージ）、および正しいＭＡＣアドレスが、通知された各端末の端末情報に紐付けて記録された情報である。関連する誘導情報が読み出されると、誘導解除部２８は、誘導解除の対象となる１または複数の端末の夫々に対する復元パケットを生成する（ステップＳ５０２からステップＳ５０４）。
　具体的には、誘導解除部２８は、ステップＳ５０１で取得された誘導情報を参照することで、復元パケットの宛先となる端末が近隣広告（ＮＡ）メッセージおよびルータ広告（ＲＡ）メッセージの何れのメッセージによって通信誘導されたかを判定する（ステップＳ５０２）。
　復元パケットの宛先となる端末（以下、「誘導解除対象端末」と称する）が、近隣広告（ＮＡ）メッセージによって通信誘導されたと判定された場合（ステップＳ５０２のＹＥＳ）、誘導解除部２８は、ステップＳ１０４で端末ステータスが「正常」となった端末に関連して通知されていた偽のＭＡＣアドレスに対応する正しいＩＰｖ６アドレスと正しいＭＡＣアドレスの組み合わせを誘導情報から読み出して、これを誘導解除対象端末に通知するためのユニキャストの近隣広告（ＮＡ）メッセージを生成する（ステップＳ５０３）。
　一方、誘導解除対象端末が、ルータ広告（ＲＡ）メッセージによって通信誘導されたと判定された場合（ステップＳ５０２のＮＯ）、誘導解除部２８は、ステップＳ１０４で端末ステータスが「正常」となった端末に関連して通知されていた偽のＭＡＣアドレスに対応する正しいＩＰｖ６アドレスと正しいＭＡＣアドレスの組み合わせを誘導情報から読み出して、これを誘導解除対象端末に通知するためのユニキャストのルータ広告（ＲＡ）メッセージを生成する（ステップＳ５０４）。
　ステップＳ５０２からステップＳ５０４の処理は、誘導解除の対象となる全ての端末についての復元パケットが生成されるまで、繰り返し実行される（ステップＳ５０５）。誘導解除の対象となる全ての端末についての復元パケットが生成されると、誘導解除部２８は、生成された復元パケットを、通信ユニット１５を介して、ネットワークに送出する（ステップＳ５０６）。その後、本フローチャートに示された処理は終了する。
　＜バリエーション＞
　上記実施形態では、ネットワーク監視装置２０が、スイッチ、ルータまたはゲートウェイ（図１に示した例では、ルータ１０）のモニタリングポートから、ユーザ端末９０によって送受信されるパケットやフレーム等を取得し、取得したパケットを転送しないパッシブモードで動作する例について説明した（図１を参照）。但し、上記実施形態に示したネットワーク構成は、本開示に係る技術を実施するための一例であり、実施にあたってはその他のネットワーク構成が採用されてもよい。
　図９は、本開示に係るシステムの構成のバリエーションを示す概略図である。図９に例示した構成が採用される場合、ネットワーク監視装置２０は、ネットワーク上の各ユーザ端末９０と、スイッチ、プロキシ、ゲートウェイまたはルータと、の間に接続されることで、ユーザ端末９０によって送受信されるパケットやフレーム等を取得する。この場合、ネットワーク監視装置２０は、遮断しなくてもよいパケットについては転送するインラインモードで動作する。
　また、例えば、ネットワーク監視装置２０は、モニタリングポートに接続されず、単にネットワークセグメント２に接続されている場合であっても（図示は省略する）、ネットワークセグメント２を流れるフレームを、自身のＭＡＣアドレス宛でないものも含めて全て取得することで、ユーザ端末９０によって送受信されるパケットやフレーム等を取得することが出来る。この場合も、ネットワーク監視装置２０は、パッシブモードで動作する。また、例えば、ネットワーク監視装置２０は、ルータまたはスイッチに内包されてもよい。
　＜効果＞
　本実施形態によれば、ＩＣＭＰｖ６のＮＤＰを利用して、通信に利用するデータリンク層の情報を制御することで、ＩＰｖ６環境のネットワーク内端末が行う通信データを任意の端末へ誘導することが出来る。また、本実施形態によれば、誘導された通信データの転送中止による通信の遮断、および任意の宛先への通信データの転送を実現することも可能である。
　更に、本実施形態によれば、ＩＰｖ６環境またはデュアルスタック環境における全てのＩＰｖ６通信を監視し、不正接続端末やマルウェアに感染した端末等を検知した場合等に、近隣広告（ＮＡ）メッセージ、ルータ広告（ＲＡ）メッセージを利用して、該当端末の通信をネットワーク監視装置２０へ誘導することが出来るため、ネットワークの構成等を変更することなく、セキュリティレベルを高めることが可能である。
　　２０　ネットワーク監視装置
　　３０　管理サーバ
　　９０　ユーザ端末

Claims (16)

  1. 　ネットワーク上の通信データを取得する通信データ取得手段と、
    　取得された通信データの送信元または宛先に含まれている端末が、所定の条件に合致する対象端末であるか否かを判定する対象端末判定手段と、
    　前記対象端末に対して、該対象端末以外の端末の物理アドレスとして所定の端末の物理アドレスを通知することで、該対象端末から送信される通信データを、該所定の端末に誘導する、通信誘導手段と、
    　を備える、情報処理装置。
  2. 　前記通信誘導手段は、更に、前記対象端末以外の端末に対して、該対象端末の物理アドレスとして前記所定の端末の物理アドレスを通知することで、該対象端末を宛先として送信される通信データを、該所定の端末に誘導する、
    　請求項１に記載の情報処理装置。
  3. 　前記通信データの種別を判定する種別判定手段を更に備え、
    　前記種別判定手段によって、前記通信データが、該通信データの送信元端末の物理アドレスをマルチキャストする種別の通信データであると判定された場合、前記通信誘導手段は、該通信データの宛先に含まれる１または複数の端末に対して、該送信元端末の物理アドレスとして前記所定の端末の物理アドレスを通知する、
    　請求項２に記載の情報処理装置。
  4. 　前記種別判定手段によって、前記通信データが、ルータの物理アドレスをマルチキャストする種別の通信データであると判定された場合、前記通信誘導手段は、該マルチキャストの宛先に含まれる１または複数の端末に対して、該ルータの物理アドレスとして前記所定の端末の物理アドレスを通知する、
    　請求項３に記載の情報処理装置。
  5. 　前記通信データの種別を判定する種別判定手段を更に備え、
    　前記種別判定手段によって、前記通信データが、該通信データの送信元端末の物理アドレスをユニキャストする種別の通信データであると判定された場合、前記通信誘導手段は、該通信データの送信元端末に対して、宛先端末の物理アドレスとして前記所定の端末の物理アドレスを通知し、該通信データの宛先端末に対して、前記送信元端末の物理アドレスとして前記所定の端末の物理アドレスを通知する、
    　請求項２に記載の情報処理装置。
  6. 　前記種別判定手段によって、前記通信データが、ルータの物理アドレスをユニキャストする種別の通信データであると判定された場合、前記通信誘導手段は、該ルータに対して、宛先端末の物理アドレスとして前記所定の端末の物理アドレスを通知し、該通信データの宛先端末に対して、該ルータの物理アドレスとして前記所定の端末の物理アドレスを通知する、
    　請求項５に記載の情報処理装置。
  7. 　前記通信データの種別を判定する種別判定手段を更に備え、
    　前記種別判定手段によって、前記通信データが、前記ネットワーク上の端末の物理アドレスを問い合わせる種別の通信データであり、且つ該通信データに設定された宛先論理アドレスと送信元論理アドレスとが同一であると判定された場合、前記通信誘導手段は、該通信データを受信する１または複数の端末の夫々に対して、該送信元端末の物理アドレスとして前記所定の端末の物理アドレスを通知する、
    　請求項２に記載の情報処理装置。
  8. 　前記通信データの種別を判定する種別判定手段を更に備え、
    　前記種別判定手段によって、前記通信データが、前記ネットワーク上の端末の物理アドレスを問い合わせる種別の通信データであると判定された場合、前記通信誘導手段は、該通信データの送信元端末に対して、宛先端末の物理アドレスとして前記所定の端末の物理アドレスを通知し、該通信データの１または複数の宛先端末の夫々に対して、前記送信元端末の物理アドレスとして前記所定の端末の物理アドレスを通知する、
    　請求項２に記載の情報処理装置。
  9. 　前記通信データの種別を判定する種別判定手段を更に備え、
    　前記種別判定手段によって、前記通信データが、前記ネットワーク上の端末の物理アドレスを通知する種別の通信データであると判定された場合、前記通信誘導手段は、該通信データの送信元端末に対して、宛先端末の物理アドレスとして前記所定の端末の物理アドレスを通知し、該通信データの１または複数の宛先端末の夫々に対して、前記送信元端末の物理アドレスとして前記所定の端末の物理アドレスを通知する、
    　請求項２に記載の情報処理装置。
  10. 　前記通信誘導手段は、前記所定の端末の物理アドレスとして、該情報処理装置の物理アドレスを通知することで、通信データを該情報処理装置に誘導する、
    　請求項１から９の何れか一項に記載の情報処理装置。
  11. 　前記通信誘導手段による誘導の結果該情報処理装置に取得された通信データのうち、少なくとも一部を本来の宛先に転送しないことで、前記対象端末に係る通信の少なくとも一部を遮断する通信遮断手段を更に備える、
    　請求項１０に記載の情報処理装置。
  12. 　前記通信誘導手段による誘導の結果該情報処理装置に取得された、前記対象端末から送信された通信データが、前記種別判定手段によって、所定の宛先に転送してよい種別の通信データであると判定された場合に、該通信データを所定の宛先に転送する通信転送手段を更に備える、
    　請求項１０または１１に記載の情報処理装置。
  13. 　前記対象端末判定手段によって一旦前記対象端末であると判定された端末が、前記所定の条件に合致しなくなった場合に、前記対象端末以外の端末に対して前記対象端末の物理アドレスを通知し、該対象端末に対して該対象端末以外の端末の物理アドレスを通知することで、前記通信誘導手段による通信の誘導を解除する誘導解除手段を更に備える、
    　請求項１から１２の何れか一項に記載の情報処理装置。
  14. 　前記ネットワーク上の端末の端末情報を管理する管理手段を更に備え、
    　前記対象端末判定手段は、前記通信データの送信元または宛先と、前記管理手段によって通信誘導の対象として管理されている端末情報とを比較することで、通信データの送信元または宛先に含まれている端末が、所定の条件に合致する対象端末であるか否かを判定する、
    　請求項１から１３の何れか一項に記載の情報処理装置。
  15. 　コンピュータが、
    　ネットワーク上の通信データを取得する通信データ取得ステップと、
    　取得された通信データの送信元または宛先に含まれている端末が、所定の条件に合致する対象端末であるか否かを判定する対象端末判定ステップと、
    　前記対象端末に対して、該対象端末以外の端末の物理アドレスとして所定の端末の物理アドレスを通知することで、該対象端末から送信される通信データを、該所定の端末に誘導する、通信誘導ステップと、
    　を実行する方法。
  16. 　コンピュータを、
    　ネットワーク上の通信データを取得する通信データ取得手段と、
    　取得された通信データの送信元または宛先に含まれている端末が、所定の条件に合致する対象端末であるか否かを判定する対象端末判定手段と、
    　前記対象端末に対して、該対象端末以外の端末の物理アドレスとして所定の端末の物理アドレスを通知することで、該対象端末から送信される通信データを、該所定の端末に誘導する、通信誘導手段と、
    　として機能させるプログラム。
     
PCT/JP2015/062105 2015-04-21 2015-04-21 情報処理装置、方法およびプログラム WO2016170598A1 (ja)

Priority Applications (3)

Application Number Priority Date Filing Date Title
JP2017513865A JP6476530B2 (ja) 2015-04-21 2015-04-21 情報処理装置、方法およびプログラム
PCT/JP2015/062105 WO2016170598A1 (ja) 2015-04-21 2015-04-21 情報処理装置、方法およびプログラム
US15/662,570 US20170322862A1 (en) 2015-04-21 2017-07-28 Information processing apparatus, method, and medium

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
PCT/JP2015/062105 WO2016170598A1 (ja) 2015-04-21 2015-04-21 情報処理装置、方法およびプログラム

Related Child Applications (1)

Application Number Title Priority Date Filing Date
US15/662,570 Continuation US20170322862A1 (en) 2015-04-21 2017-07-28 Information processing apparatus, method, and medium

Publications (1)

Publication Number Publication Date
WO2016170598A1 true WO2016170598A1 (ja) 2016-10-27

Family

ID=57143174

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/JP2015/062105 WO2016170598A1 (ja) 2015-04-21 2015-04-21 情報処理装置、方法およびプログラム

Country Status (3)

Country Link
US (1) US20170322862A1 (ja)
JP (1) JP6476530B2 (ja)
WO (1) WO2016170598A1 (ja)

Families Citing this family (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US10826915B2 (en) * 2015-06-02 2020-11-03 Mitsubishi Electric Corporation Relay apparatus, network monitoring system, and program
CN113709273B (zh) * 2021-08-31 2023-10-24 迈普通信技术股份有限公司 地址迁移方法、通信设备及双活系统

Citations (7)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2004185498A (ja) * 2002-12-05 2004-07-02 Matsushita Electric Ind Co Ltd アクセス制御装置
JP2006287299A (ja) * 2005-03-31 2006-10-19 Nec Corp ネットワーク管理方法および装置並びに管理プログラム
JP2007104396A (ja) * 2005-10-05 2007-04-19 Nippon Telegraph & Telephone East Corp 不正接続防止システムおよび方法、プログラム
JP2008092465A (ja) * 2006-10-04 2008-04-17 Internatl Business Mach Corp <Ibm> コンピュータ端末がネットワークに接続して通信することを管理・制御するための装置および方法。
JP2011217016A (ja) * 2010-03-31 2011-10-27 Nec Corp 不正接続防止装置及びプログラム
JP2013046214A (ja) * 2011-08-24 2013-03-04 Mitsubishi Electric Corp 検疫システム、ゲートウェイ装置、設備機器および設備系ｌａｎ構築方法
JP2013258739A (ja) * 2009-03-20 2013-12-26 Netman Co Ltd ＩＰｖ６ネットワーク内ホスト遮断及び探索方法

Patent Citations (7)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2004185498A (ja) * 2002-12-05 2004-07-02 Matsushita Electric Ind Co Ltd アクセス制御装置
JP2006287299A (ja) * 2005-03-31 2006-10-19 Nec Corp ネットワーク管理方法および装置並びに管理プログラム
JP2007104396A (ja) * 2005-10-05 2007-04-19 Nippon Telegraph & Telephone East Corp 不正接続防止システムおよび方法、プログラム
JP2008092465A (ja) * 2006-10-04 2008-04-17 Internatl Business Mach Corp <Ibm> コンピュータ端末がネットワークに接続して通信することを管理・制御するための装置および方法。
JP2013258739A (ja) * 2009-03-20 2013-12-26 Netman Co Ltd ＩＰｖ６ネットワーク内ホスト遮断及び探索方法
JP2011217016A (ja) * 2010-03-31 2011-10-27 Nec Corp 不正接続防止装置及びプログラム
JP2013046214A (ja) * 2011-08-24 2013-03-04 Mitsubishi Electric Corp 検疫システム、ゲートウェイ装置、設備機器および設備系ｌａｎ構築方法

Also Published As

Publication number Publication date
JPWO2016170598A1 (ja) 2017-08-17
US20170322862A1 (en) 2017-11-09
JP6476530B2 (ja) 2019-03-06

Similar Documents

Publication Publication Date Title
EP2612488B1 (en) Detecting botnets
CN107276878B (zh) 在网络环境下使用本地策略应用进行云电子邮件消息扫描
US10491561B2 (en) Equipment for offering domain-name resolution services
US20180191525A1 (en) Network device using ip address and method thereof
US20100281159A1 (en) Manipulation of dhcp packets to enforce network health policies
US10397225B2 (en) System and method for network access control
JP2008177714A (ja) ネットワークシステム、サーバ、ｄｄｎｓサーバおよびパケット中継装置
JP6737610B2 (ja) 通信装置
JP2020017809A (ja) 通信装置及び通信システム
Aziz Al Kabir et al. Securing IOT devices against emerging security threats: Challenges and mitigation techniques
Song et al. DS‐ARP: A New Detection Scheme for ARP Spoofing Attacks Based on Routing Trace for Ubiquitous Environments
US20210112093A1 (en) Measuring address resolution protocol spoofing success
Lu et al. An SDN‐based authentication mechanism for securing neighbor discovery protocol in IPv6
JP6476530B2 (ja) 情報処理装置、方法およびプログラム
US20220210197A1 (en) Low latency cloud-assisted network security with local cache
US20180007075A1 (en) Monitoring dynamic device configuration protocol offers to determine anomaly
JP2007266931A (ja) 通信遮断装置、通信遮断プログラム
US20230208874A1 (en) Systems and methods for suppressing denial of service attacks
US11159533B2 (en) Relay apparatus
JP2012138727A (ja) 情報処理装置、アドレス重複対処方法およびアドレス重複対処用プログラム
JP4677501B2 (ja) 中継装置および中継方法
US8660143B2 (en) Data packet interception system
JP5420465B2 (ja) 通信監視装置、方法およびプログラム
KR20210021831A (ko) 가상 네트워크 기능을 이용한 네트워크 트래픽 감시 방법 및 장치
JP2007208575A (ja) 不正トラフィック管理装置およびシステム

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 15889838

Country of ref document: EP

Kind code of ref document: A1

ENP Entry into the national phase

Ref document number: 2017513865

Country of ref document: JP

Kind code of ref document: A

NENP Non-entry into the national phase

Ref country code: DE

122 Ep: pct application non-entry in european phase

Ref document number: 15889838

Country of ref document: EP

Kind code of ref document: A1