(57)【要約】  アクセスポリシーに基づき情報処理端末間の通信の可否を制御するネットワークセキュリティ監視装置ならびにネットワークセキュリティ監視システムを提供する。  情報処理端末31,32,33とアプリケーションサーバ20とルータ40とが接続されたネットワーク50内に、不正アクセスを監視し防止するネットワークセキュリティ監視装置10が配置されたシステムにおいて、ネットワーク上に接続された情報処理端末間の通信許可／不許可をアクセスポリシーに基づき判断し、不許可と判断された情報処理端末のアクセスポリシーが不許可から許可に更新されるまで、不許可と判断された情報処理端末間の通信を遮断するための情報を一定時間間隔毎に繰返して送信することで、前記アクセスポリシーで不許可と定義された情報処理端末間の通信を迅速かつ確実に遮断し、許可と定義された情報処理端末間の通信可能状態を保持する。
2009031453.tif 000002
【特許請求の範囲】
【請求項１】
ネットワーク上に接続された情報処理端末間の通信の可否をアクセスポリシーに基づき制御するネットワークセキュリティ監視装置であって、ネットワーク上に接続された全ての情報処理端末から送受信されるパケットを監視するパケット監視手段と、ネットワーク内の全ての情報処理端末に関するアクセスポリシーを管理するポリシー管理手段と、前記アクセスポリシーに基づきネットワーク内の情報処理端末間の通信許可／不許可を判断するアクセス制御手段と、特定の情報処理端末間の通信を遮断する通信遮断手段と、で構成され、前記アクセス制御手段が前記パケット監視手段から受け取ったパケット情報の送信元アドレス情報から情報処理端末を特定し、前記アクセスポリシーに基づき該情報処理端末とネットワーク上に接続された他の情報処理端末間の通信許可／不許可を判断するとともに、前記通信遮断手段が不許可と判断された情報処理端末間の通信を遮断するための情報を一定時間間隔毎に繰返して送信することで、前記アクセスポリシーで不許可と定義された情報処理端末間の通信を遮断し、許可と定義された情報処理端末間の通信可能状態を保持することを特徴とするネットワークセキュリティ監視装置。
【請求項２】
請求項１に記載のネットワークセキュリティ監視装置において、前記パケット監視手段がネットワーク上に接続された情報処理端末から送信されるARP要求を受取り、前記アクセス制御手段が該ARP要求の送信元アドレス情報から情報処理端末を特定し、前記アクセス制御手段が前記アクセスポリシーに基づき該情報処理端末とネットワーク上に接続された他の情報処理端末間の通信許可／不許可を判断するとともに、前記通信遮断手段が不許可と判断された情報処理端末間の通信を遮断するための情報を一定時間間隔毎に繰返して送信することを特徴とする請求項１に記載のネットワークセキュリティ監視装置。
【請求項３】
請求項１に記載のネットワークセキュリティ監視装置において、前記パケット監視手段がネットワーク内の全てのIPアドレスに対して一定時間間隔毎にARP要求をブロードキャストで送信するとともに、受け取ったARP応答の送信元アドレス情報に基づき前記アクセス制御手段が情報処理端末を特定し、前記アクセス制御手段が前記アクセスポリシーに基づき該情報処理端末とネットワーク上に接続された他の情報処理端末間の通信許可／不許可を判断するとともに、前記通信遮断手段が不許可と判断された情報処理端末間の通信を遮断するための情報を一定時間間隔毎に繰返して送信することを特徴とする請求項１に記載のネットワークセキュリティ監視装置。
【請求項４】
請求項１乃至請求項３に記載のネットワークセキュリティ監視装置において、前記通信遮断手段が、不許可と判断された情報処理端末CXと情報処理端末｛C1,C2,・・・,CN｝（1≦N≦ネットワーク内の情報処理端末数）間の通信を遮断するために、情報処理端末CXに対して情報処理端末｛C1,C2,・・・, CN｝のMACアドレスとして偽りのMACアドレスを有するARP応答を一定時間間隔毎に繰返して送信するとともに、情報処理端末｛C1, C2,・・・, CN｝に対しても情報処理端末CXのMACアドレスとして偽りのMACアドレスを有するARP応答を一定時間間隔毎に繰返して送信することを特徴とする請求項１乃至請求項３に記載のネットワークセキュリティ監視装置。
【請求項５】
請求項２乃至請求項４に記載のネットワークセキュリティ監視装置において、情報処理端末C1と情報処理端末C2間の通信許可／不許可を規定するアクセスポリシーが許可から不許可に変更された時に、前記通信遮断手段が情報処理端末C1に対して情報処理端末C2のMACアドレスとして偽りのMACアドレスを有するARP応答を一定時間間隔毎に繰返して送信するとともに、情報処理端末C2に対して情報処理端末C1のMACアドレスとして偽りのMACアドレスを有するARP応答を一定時間間隔毎に繰返して送信する手段を有することを特徴とする請求項２乃至請求項４に記載のネットワークセキュリティ監視装置。
【請求項６】
請求項２乃至請求項４に記載のネットワークセキュリティ監視装置において、情報処理端末C1と情報処理端末C2間の通信許可／不許可を規定するアクセスポリシーが不許可から許可に変更された時に、前記通信遮断手段が情報処理端末C1,C2間の通信を遮断するための情報を一定時間間隔毎に繰返して送信することを停止するとともに、情報処理端末C1に対して情報処理端末C2の正しいMACアドレスを有するARP応答を送信し、情報処理端末C2に対して情報処理端末C1の正しいMACアドレスを有するARP応答を送信する手段を有することを特徴とする請求項２乃至請求項４に記載のネットワークセキュリティ監視装置。
【請求項７】
請求項２乃至請求項４に記載のネットワークセキュリティ監視装置において、不許可と判断された情報処理端末CXがネットワーク外部の情報処理端末と接続しようとしている場合、前記通信遮断手段が情報処理端末CXに対して中継装置のMACアドレスとして偽りのMACアドレスを有するARP応答を一定時間間隔毎に繰返して送信するとともに、ネットワーク内の全ての中継装置に対して情報処理端末CXのMACアドレスとして偽りのMACアドレスを有するARP応答を一定時間間隔毎に繰返して送信することを特徴とする請求項２乃至請求項４に記載のネットワークセキュリティ監視装置。
【請求項８】
請求項１乃至請求項７に記載のネットワークセキュリティ監視装置において、前記ポリシー管理手段はネットワーク内の情報処理端末のMACアドレス／IPアドレスの他に、ソフトウエア更新履歴情報ならびに接続状況などの情報を保持するとともに、前記の情報に基づき情報処理端末間の通信許可／不許可を判断するためのアクセスポリシーを管理することを特徴とする請求項１乃至請求項７に記載のネットワークセキュリティ監視装置。
【請求項９】
一つまたは複数のセグメントで構成されるネットワークにおいて、請求項１乃至請求項８に記載のネットワークセキュリティ監視装置をセグメント毎に配置するとともに、セグメント内のセキュリティ管理をするネットワークセキュリティ監視装置がアクセスポリシーで不許可と定義された情報処理端末間の通信を遮断し、許可と定義された情報処理端末間の通信可能状態を保持することを特徴とするネットワークセキュリティ監視システム。
【請求項１０】
請求項９に記載のネットワークセキュリティ監視システムに、ネットワーク全体のアクセスポリシーを一元管理するセキュリティマネージャ装置を備え、該マネージャ装置から最新のポリシー情報を各セグメントに配置されたネットワークセキュリティ監視装置にタイムリーに配布するとともに、セグメント内のセキュリティ管理をするネットワークセキュリティ監視装置がアクセスポリシーで不許可と定義された情報処理端末間の通信を遮断し、許可と定義された情報処理端末間の通信可能状態を保持することを特徴とするネットワークセキュリティ監視システム。
【請求項１１】
請求項１乃至請求項８に記載のネットワークセキュリティ監視装置において、ネットワーク上に接続された全ての情報処理端末と通信許可された情報処理端末An(n：1以上の自然数)のIPアドレス{IP-An1, IP-An2,・・・, IP-Ani}(i：1以上の自然数)及びMACアドレス{MAC-An1, MAC-An2,・・・, MAC-Anj}(j：1以上の自然数)を有する通信許可リストを保持し、前記アクセス制御手段は、前記パケット監視手段から受け取ったARPパケットの中から該ARPパケットの送信元IPアドレスが前記通信許可リストに登録されたIPアドレスと同じであるARPパケットを抽出するとともに、該IPアドレスから情報処理端末Ak(k：1以上の自然数)を特定し、該ARPパケットの送信元MACアドレスが前記通信許可リストに登録された情報処理端末AkのMACアドレスと異なる場合に、該ARPパケットを不正に通信遮断を行う攻撃と判断するとともに、
(1) 不正に通信遮断を行う攻撃パケットを検出した旨のアラームを発信する
(2) 該ARPパケットの送信先IPアドレスの情報処理端末Bに対して情報処理端末Akの正しいMACアドレスを有するARPパケットを送信する
ことを特徴とする請求項１乃至請求項８に記載のネットワークセキュリティ監視装置。
【請求項１２】
請求項１乃至請求項８に記載のネットワークセキュリティ監視装置において、ネットワーク上に接続された全ての情報処理端末と通信許可された情報処理端末An(n：1以上の自然数)のIPアドレス{IP-An1, IP-An2,・・・, IP-Ani}(i：1以上の自然数)及びMACアドレス{MAC-An1, MAC-An2,・・・, MAC-Anj}(j：1以上の自然数)を有する通信許可リストを保持し、前記アクセス制御手段は、前記パケット監視手段から受け取ったARPパケットの中から該ARPパケットの送信先IPアドレスが前記通信許可リストに登録されたIPアドレスと同じであるARPパケットを抽出するとともに、該IPアドレスから情報処理端末Ak(k：1以上の自然数)を特定し、さらに該ARPパケットの送信元IPアドレスから情報処理端末Bを特定し、該ARPパケットの送信元MACアドレスが前記アクセスポリシーに登録された情報処理端末BのMACアドレスと異なる場合に、該ARPパケットを不正に通信遮断を行う攻撃と判断するとともに、
(1) 不正に通信遮断を行う攻撃パケットを検出した旨のアラームを発信する
(2) 情報処理端末Akに対して情報処理端末Bの正しいMACアドレスを有するARPパケットを送信する
ことを特徴とする請求項１乃至請求項８に記載のネットワークセキュリティ監視装置。
【請求項１３】
請求項１乃至請求項８に記載のネットワークセキュリティ監視装置において、前記アクセスポリシーに基づき不許可と判断された情報処理端末間の通信を遮断するために、該情報処理端末に対して偽りのMACアドレス(FMAC)を有するARPパケットを送信する時に、FMACは複数の入力パラメータを用いて一方向関数genFMACにより生成されるとともに、前記アクセス制御手段は、前記パケット監視手段から受け取ったARPパケットの中から、偽りのMACアドレスを有するARPパケットを抽出し、該MACアドレスが前記一方向関数genFMACを用いて生成したFMACと異なる場合に、該ARPパケットを不正に通信遮断を行う攻撃と判断し、不正に通信遮断を行う攻撃パケットを検出した旨のアラームを発信することを特徴とする請求項１乃至請求項８に記載のネットワークセキュリティ監視装置。
【請求項１４】
請求項９乃至請求項１０に記載のネットワークセキュリティ監視システムにおいて、請求項１１乃至請求項１３に記載のネットワークセキュリティ監視装置をセグメント毎に配置し、該ネットワークセキュリティ監視装置がセグメント内で不正に通信遮断を行う攻撃を検出した場合にアラームを発信するとともに、不正に通信遮断された情報処理端末間の通信を通信可能状態に復旧することを特徴とするネットワークセキュリティ監視システム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、ネットワーク上に接続された情報処理端間の通信の可否をアクセスポリシーに基づき制御するネットワークセキュリティ監視装置ならびにネットワークセキュリティ監視システムに関する。
【背景技術】
【０００２】
近年、ネットワーク利用環境が大規模化しネットワーク環境構成の複雑化が進んできている中で、ネットワークセキュリティは必要不可欠のものになってきており、ネットワークへの不正アクセスを防止するための技術に関して多くの研究開発が行われている。【０００３】
例えば、特許文献１に記載のアクセス制御装置は、ネットワークとのデータを送受信するネットワークアクセス部、ネットワーク内の通信端末間の通信許可／不許可を判断するアクセス判断部、ネットワーク内の通信端末間の通信を監視するネットワーク監視部、各通信端末に対してアクセスを許可する通信端末を示すアクセスポリシー、通信端末間の通信を阻害する情報を送信する通信阻害部、ネットワークアクセス部を介して送受信する情報（パケット）の解析、組み立てを行うプロトコル処理部で構成され、ネットワーク監視部がアクセスポリシーで許可されていない通信端末間の通信を検出した場合、通信阻害部を通じてその通信端末間の通信を阻害することで、通信端末のハードウエアやソフトウエアを変更する事なく、不正端末が静的にARPテーブルを設定した場合でもアクセス制限を可能とし且つ、通信端末の組み合わせでアクセス制御を行うことを可能としている。【０００４】
また、特許文献２に記載の不正接続防止システムは、ネットワークへの接続を許可されていない不許可装置が当該ネットワークの情報処理装置へ接続することを防止するために、ネットワークへの接続を許可されている情報処理装置のMACアドレスを承認リスト部に登録し、承認リスト部に登録されていない不許可装置によりブロードキャストされたARPリクエストに対して、情報処理装置から正しいARP応答パケットが不許可装置へ送信された後もしくは所定時間経過後に、情報処理装置のMACアドレスとして偽りのMACアドレスを有するARP応答パケットを不許可装置へ送信する不正接続防止装置を備え、ネットワークへの接続を許可されていないPCなどの不許可装置が、内部サーバや、その他の同一サブネット上に存在する機器に接続することを防止できるとともに、ルータなどを経由して、外部ネットワークにおける機器に接続することも防止することを可能としている。【０００５】
また、特許文献３に記載のネットワーク不正接続防止装置は、登録済の端末の各々に対してARP リクエストを順次送信する第1手段と、該ARPリクエストに応答して返って来たARPリプライから、その端末の個有情報が登録済であるか否かを判定する第2手段と、第2手段で未登録と判定されたとき、該端末を不正端末と見做して該端末の個有情報が重複して存在することを示す妨害メッセージを送信する第3手段と、を備えることで、LAN内の不正接続防止を抑制することを可能としている。【０００６】
【特許文献１】特開2004-185498
【特許文献２】特開2005-079706
【特許文献３】特開2005-198090
【発明の開示】
【発明が解決しようとする課題】
【０００７】
しかしながら、特許文献１に記載のアクセス制御装置では、ARP要求を監視することで通信端末間の通信を監視し、アクセスポリシーで許可されていない通信端末間（通信端末C1と通信端末C2間）の通信を検出した場合に、アクセス制御装置が通信端末C1およびC2に対して偽造ARP応答を送信することでアクセス制御を行っているため、（ｉ）ネットワーク上に遅延が起きている場合に、アクセス制御装置が通信端末C1およびC2に対して偽造ARP応答を送信し、偽造ARP応答を通信端末C1およびC2が受信した後に、正しいARP応答が通信端末C1またはC2に届くことがあり、この場合は後に届いた情報で通信端末C1およびC2のARPテーブルが書き換えられることになり、通信端末C1と通信端末C2間の通信を遮断するアクセス制御ができないという問題点がある。
また、（ii）アクセスポリシーで許可されている通信端末間（通信端末C1と通信端末C2間）の通信が行われている時にアクセスポリシーが許可から不許可に変更されても、通信端末C1と通信端末C2の通信端末のARPテーブルが設定済である（ARP要求を送信しない）ため、通信端末C1と通信端末C2間の通信を遮断するアクセス制御ができないという問題点がある。
また、（iii）アクセスポリシーで許可されていない通信端末C1のARPテーブルが静的に設定された場合に、通信端末C1からARP要求を送信せずに通信端末C2へ情報が送信され、通信端末C1と通信端末C2間の通信を遮断するアクセス制御ができないという問題点がある。【０００８】
特許文献２に記載の不正接続防止装置では、ネットワークへの接続を許可されている情報処理装置のMACアドレスを承認リスト部に登録し、承認リスト部に登録されていない不許可装置によりブロードキャストされたARPリクエストに対して、情報処理装置から正しいARP応答パケットが不許可装置へ送信された後もしくは所定時間経過後に、情報処理装置のMACアドレスとして偽りのMACアドレスを有するARP応答パケットを不許可装置へ送信することとしているため、上記問題点（ｉ）は略解消されている。しかし特許文献１に記載のアクセス制御装置は、アクセスポリシーに基づき特定の通信端末間の通信許可／不許可を判断しアクセス制御を行っているのに対して、特許文献２に記載の不正接続防止装置は、承認リストに登録されていない不許可装置と承認リストに登録されている全情報処理装置との通信を遮断することとしている点に相違はあるが、アクセスポリシーを承認リストに置き換えると、上記問題点（ii）および（iii）は解消されていない。【０００９】
また特許文献３に記載のネットワーク不正接続防止装置では、ネットワーク内の端末に対してARP リクエストを順次送信し、該ARPリクエストに応答して返って来たARPリプライから、その端末の個有情報がアドレス情報データベース部に登録済であるか否かを判定し、登録されていない不正端末に対して該端末の個有情報が重複して存在することを示す妨害メッセージ（妨害ARPリプライまたは妨害ARPリクエスト）を送信し、さらにネットワーク上のロスを考慮して一定時間間隔毎に所定回数繰返して送信することとしているため、上記問題点（ｉ）は略解消されている。しかし特許文献１に記載のアクセス制御装置は、アクセスポリシーに基づき特定の通信端末間の通信許可／不許可を判断しアクセス制御を行っているのに対して、特許文献３に記載のネットワーク不正接続防止装置は、アドレス情報データベース部に登録されていない不許可装置とアドレス情報データベース部に登録されている全情報処理装置との通信を遮断することとしている点に相違はあるが、アクセスポリシーをアドレス情報データベース部に置き換えると、上記問題点（ii）および（iii）は解消されていない。【００１０】
本発明は、上記問題を解決するため、アクセスポリシーに基づきネットワーク上に接続された情報処理端末間の通信許可／不許可を判断し、不許可と判断された情報処理端末間の通信を確実に遮断する制御を行うネットワークセキュリティ監視装置ならびにネットワークセキュリティ監視システムを提供することを目的とする。
【課題を解決するための手段】
【００１１】
上記目的を達成するため、請求項１に記載のネットワークセキュリティ監視装置は、ネットワーク上に接続された情報処理端末間の通信の可否をアクセスポリシーに基づき制御するネットワークセキュリティ監視装置であって、ネットワーク上に接続された全ての情報処理端末から送受信されるパケットを監視するパケット監視手段と、ネットワーク内の全ての情報処理端末に関するアクセスポリシーを管理するポリシー管理手段と、前記アクセスポリシーに基づきネットワーク内の情報処理端末間の通信許可／不許可を判断するアクセス制御手段と、特定の情報処理端末間の通信を遮断する通信遮断手段と、で構成され、前記アクセス制御手段が前記パケット監視手段から受け取ったパケット情報の送信元アドレス情報から情報処理端末を特定し、前記アクセスポリシーに基づき該情報処理端末とネットワーク上に接続された他の情報処理端末間の通信許可／不許可を判断するとともに、前記通信遮断手段が不許可と判断された情報処理端末間の通信を遮断するための情報を一定時間間隔毎に繰返して送信することで、前記アクセスポリシーで不許可と定義された情報処理端末間の通信を遮断し、許可と定義された情報処理端末間の通信可能状態を保持することを特徴とする。ここで前記「一定時間間隔毎に繰返して送信すること」は、不許可と判断された情報処理端末のアクセスポリシーが不許可から許可に更新されるまで行われるものとする。すなわち不許可と判断された情報処理端末と他の(複数の)情報処理端末間の通信を一斉に遮断することで、不許可と判断された情報処理端末間の通信を迅速かつ確実に遮断する制御を行うことができる。同時にアクセスポリシーで許可と定義された情報処理端末間の通信可能状態を保持することになる。【００１２】
請求項２に記載のネットワークセキュリティ監視装置は、請求項１に記載のネットワークセキュリティ監視装置において、前記パケット監視手段がネットワーク上に接続された情報処理端末から送信されるARP要求を受取り、前記アクセス制御手段が該ARP要求の送信元アドレス情報から情報処理端末を特定し、前記アクセス制御手段が前記アクセスポリシーに基づき該情報処理端末とネットワーク上に接続された他の情報処理端末間の通信許可／不許可を判断するとともに、前記通信遮断手段が不許可と判断された情報処理端末間の通信を遮断するための情報(例えば、偽りのARP応答)を一定時間間隔毎に繰返して送信することを特徴とする。ここで前記「一定時間間隔毎に繰返して送信すること」は、ネットワーク上に遅延が起きている場合やARPテーブルが静的に設定された場合においても不許可と判断された情報処理端末間の通信を迅速かつ確実に遮断する制御を行うことを実現している。
すなわち、アクセスポリシーで情報処理端末C1と情報処理端末C2間の通信が不許可に設定されている場合、ネットワーク上に遅延が起きていると、通信を遮断するための情報を通信端末C1(またはC2)が受信した後に、正しいARP応答が情報処理端末C1(またはC2)に届くことがあり、この場合は後に届いた情報で情報処理端末C1(またはC2)のARPテーブルが書き換えられ、情報処理端末C1と情報処理端末C2間の通信を遮断するアクセス制御ができなくなるという問題点を解消することができる。
また、アクセスポリシーで情報処理端末C1と情報処理端末C2間の通信が不許可に設定されている場合、情報処理端末C1のARPテーブルが静的に設定された場合に、情報処理端末C1からARP要求を送信せずに情報処理端末C2へ情報が送信され、情報処理端末C1と情報処理端末C2間の通信を遮断するアクセス制御ができなくなるという問題点を解消することができる。【００１３】
請求項３に記載のネットワークセキュリティ監視装置は、請求項１に記載のネットワークセキュリティ監視装置において、前記パケット監視手段がネットワーク内の全てのIPアドレスに対して一定時間間隔毎にARP要求をブロードキャストで送信するとともに、受け取ったARP応答の送信元アドレス情報に基づき前記アクセス制御手段が情報処理端末を特定し、前記アクセス制御手段が前記アクセスポリシーに基づき該情報処理端末とネットワーク上に接続された他の情報処理端末間の通信許可／不許可を判断するとともに、前記通信遮断手段が不許可と判断された情報処理端末間の通信を遮断するための情報(例えば、偽りのARP応答)を一定時間間隔毎に繰返して送信することを特徴とする。ここで前記「ネットワーク内の全てのIPアドレスに対して一定時間間隔毎にARP要求をブロードキャストで送信する」ことにより、長時間に渡りパケット送受信していない情報処理端末を検出し、不許可と判断された情報処理端末間の通信を確実に遮断する制御を行うことができる。またアクセスポリシーに登録されていない情報処理端末を検出した場合は、該情報処理端末に関する通信は不許可としてアクセスポリシーに登録することで、確実に不正アクセスを遮断する制御を行うことができる。【００１４】
請求項４に記載のネットワークセキュリティ監視装置は、請求項１乃至請求項３に記載のネットワークセキュリティ監視装置において、前記通信遮断手段が、不許可と判断された情報処理端末CXと情報処理端末｛C1,C2,・・・,CN｝（1≦N≦ネットワーク内の情報処理端末数）間の通信を遮断するために、情報処理端末CXに対して情報処理端末｛C1,C2,・・・, CN｝のMACアドレスとして偽りのMACアドレスを有するARP応答を一定時間間隔毎に繰返して送信するとともに、情報処理端末｛C1, C2,・・・, CN｝に対しても情報処理端末CXのMACアドレスとして偽りのMACアドレスを有するARP応答を一定時間間隔毎に繰返して送信することを特徴とする。すなわち、アクセスポリシーに基づき情報処理端末CXと通信が不許可とされている情報処理端末(例えばC1,C2,C3)、および情報処理端末CXに対して、偽りのMACアドレスを有するARP応答を一定時間間隔毎に繰返して送信することとなり、情報処理端末間(CXとC1間、CXとC2間、CXとC3間)の通信を速やかに且つ確実に遮断する制御を行うことができる。【００１５】
請求項５に記載のネットワークセキュリティ監視装置は、請求項２乃至請求項４に記載のネットワークセキュリティ監視装置において、情報処理端末C1と情報処理端末C2間の通信許可／不許可を規定するアクセスポリシーが許可から不許可に変更された時に、前記通信遮断手段が情報処理端末C1に対して情報処理端末C2のMACアドレスとして偽りのMACアドレスを有するARP応答を一定時間間隔毎に繰返して送信するとともに、情報処理端末C2に対して情報処理端末C1のMACアドレスとして偽りのMACアドレスを有するARP応答を一定時間間隔毎に繰返して送信する手段を有することを特徴とする。すなわち、アクセスポリシーが許可から不許可に変更された時に、該当する情報処理端末(例えばC1,C2)に対して偽りのMACアドレスを有するARP応答を一定時間間隔毎に繰返して送信することとなり、情報処理端末間(C1とC2間)の通信を速やかに且つ確実に遮断する制御を行うことができる。【００１６】
請求項６に記載のネットワークセキュリティ監視装置は、請求項２乃至請求項４に記載のネットワークセキュリティ監視装置において、情報処理端末C1と情報処理端末C2間の通信許可／不許可を規定するアクセスポリシーが不許可から許可に変更された時に、前記通信遮断手段が情報処理端末C1,C2間の通信を遮断するための情報を一定時間間隔毎に繰返して送信することを停止するとともに、情報処理端末C1に対して情報処理端末C2の正しいMACアドレスを有するARP応答を送信し、情報処理端末C2に対して情報処理端末C1の正しいMACアドレスを有するARP応答を送信する手段を有することを特徴とする。すなわち、アクセスポリシーが不許可から許可に変更された時に、情報処理端末間(C1とC2間)の通信遮断の制御を止めるとともに、情報処理端末(C1,C2)に対して正しいMACアドレスを有するARP応答を送信することで、情報処理端末間(C1とC2間)の通信を速やかに再開する制御を行うことができる。【００１７】
請求項７に記載のネットワークセキュリティ監視装置は、請求項２乃至請求項４に記載のネットワークセキュリティ監視装置において、不許可と判断された情報処理端末CXがネットワーク外部の情報処理端末と接続しようとしている場合、前記通信遮断手段が情報処理端末CXに対して中継装置のMACアドレスとして偽りのMACアドレスを有するARP応答を一定時間間隔毎に繰返して送信するとともに、ネットワーク内の全ての中継装置に対して情報処理端末CXのMACアドレスとして偽りのMACアドレスを有するARP応答を一定時間間隔毎に繰返して送信することを特徴とする。すなわち、不許可と判断された情報処理端末CXに対して中継装置のMACアドレスとして偽りのMACアドレスを有するARP応答を一定時間間隔毎に繰返して送信することで、情報処理端末CXがネットワーク外部の情報処理端末と接続することができなくなる。【００１８】
請求項８に記載のネットワークセキュリティ監視装置は、請求項１乃至請求項７に記載のネットワークセキュリティ監視装置において、前記ポリシー管理手段はネットワーク内の情報処理端末のMACアドレス／IPアドレスの他に、ソフトウエア更新履歴情報ならびに接続状況などの情報を保持するとともに、前記の情報に基づき情報処理端末間の通信許可／不許可を判断するためのアクセスポリシーを管理することを特徴とする。ここで、アクセスポリシーの管理については、ソフトウエア更新履歴情報などの情報に基づきアクセスポリシーをプログラムで自動更新する場合と、手動によりアクセスポリシーを更新する場合とがある。すなわち、ネットワーク内の情報処理端末のMACアドレス／IPアドレスの他に、ソフトウエア更新履歴情報、ならびに接続状況などの情報に基づき、情報処理端末間の通信の許可／不許可を判断するためのアクセスポリシーを管理することで、例えばウィルス情報が更新されていない情報処理端末のアクセス対象端末を制限することが可能となり、フェイルセーフなシステムを実現することができる。【００１９】
請求項９に記載のネットワークセキュリティ監視システムは、一つまたは複数のセグメントで構成されるネットワークにおいて、請求項１乃至請求項８に記載のネットワークセキュリティ監視装置をセグメント毎に配置するとともに、セグメント内のセキュリティ管理をするネットワークセキュリティ監視装置がアクセスポリシーで不許可と定義された情報処理端末間の通信を遮断し、許可と定義された情報処理端末間の通信可能状態を保持することを特徴とする。【００２０】
請求項１０に記載のネットワークセキュリティ監視システムは、請求項９に記載のネットワークセキュリティ監視システムに、ネットワーク全体のアクセスポリシーを一元管理するセキュリティマネージャ装置を備え、該マネージャ装置から最新のポリシー情報を各セグメントに配置されたネットワークセキュリティ監視装置にタイムリーに配布するとともに、セグメント内のセキュリティ管理をするネットワークセキュリティ監視装置がアクセスポリシーで不許可と定義された情報処理端末間の通信を遮断し、許可と定義された情報処理端末間の通信可能状態を保持することを特徴とする。【００２１】
請求項１１に記載のネットワークセキュリティ監視装置は、請求項１乃至請求項８に記載のネットワークセキュリティ監視装置において、ネットワーク上に接続された全ての情報処理端末と通信許可された情報処理端末An(n：1以上の自然数)のIPアドレス{IP-An1, IP-An2,・・・, IP-Ani}(i：1以上の自然数)及びMACアドレス{MAC-An1, MAC-An2,・・・, MAC-Anj}(j：1以上の自然数)を有する通信許可リストを保持し、前記アクセス制御手段は、前記パケット監視手段から受け取ったARPパケットの中から該ARPパケットの送信元IPアドレスが前記通信許可リストに登録されたIPアドレスと同じであるARPパケットを抽出するとともに、該IPアドレスから情報処理端末Ak(k：1以上の自然数)を特定し、該ARPパケットの送信元MACアドレスが前記通信許可リストに登録された情報処理端末AkのMACアドレスと異なる場合に、該ARPパケットを不正に通信遮断を行う攻撃と判断するとともに、
(1) 不正に通信遮断を行う攻撃パケットを検出した旨のアラームを発信する
(2) 該ARPパケットの送信先IPアドレスの情報処理端末Bに対して情報処理端末Akの正しいMACアドレスを有するARPパケットを送信する
ことを特徴とする。【００２２】
請求項１２に記載のネットワークセキュリティ監視装置は、請求項１乃至請求項８に記載のネットワークセキュリティ監視装置において、ネットワーク上に接続された全ての情報処理端末と通信許可された情報処理端末An(n：1以上の自然数)のIPアドレス{IP-An1, IP-An2,・・・, IP-Ani}(i：1以上の自然数)及びMACアドレス{MAC-An1, MAC-An2,・・・, MAC-Anj}(j：1以上の自然数)を有する通信許可リストを保持し、前記アクセス制御手段は、前記パケット監視手段から受け取ったARPパケットの中から該ARPパケットの送信先IPアドレスが前記通信許可リストに登録されたIPアドレスと同じであるARPパケットを抽出するとともに、該IPアドレスから情報処理端末Ak(k：1以上の自然数)を特定し、さらに該ARPパケットの送信元IPアドレスから情報処理端末Bを特定し、該ARPパケットの送信元MACアドレスが前記アクセスポリシーに登録された情報処理端末BのMACアドレスと異なる場合に、該ARPパケットを不正に通信遮断を行う攻撃と判断するとともに、
(1) 不正に通信遮断を行う攻撃パケットを検出した旨のアラームを発信する
(2) 情報処理端末Akに対して情報処理端末Bの正しいMACアドレスを有するARPパケット応答を送信する
ことを特徴とする。【００２３】
請求項１３に記載のネットワークセキュリティ監視装置は、請求項１乃至請求項８に記載のネットワークセキュリティ監視装置において、前記アクセスポリシーに基づき不許可と判断された情報処理端末間の通信を遮断するために、該情報処理端末に対して偽りのMACアドレス(FMAC)を有するARPパケットを送信する時に、FMACは複数の入力パラメータを用いて一方向関数genFMACにより生成されるとともに、前記アクセス制御手段は、前記パケット監視手段から受け取ったARPパケットの中から、偽りのMACアドレスを有するARPパケットを抽出し、該MACアドレスが前記一方向関数genFMACを用いて生成したFMACと異なる場合に、該ARPパケットを不正に通信遮断を行う攻撃と判断し、不正に通信遮断を行う攻撃パケットを検出した旨のアラームを発信することを特徴とする。ここで前記一方向関数genFMACは、例えばハッシュ関数としてハッシュ値FMACを算出するために、
FMAC = genFMAC(SeedMac,
Time, Secret)
のように定義される。パラメータSeedMacは、ベンダー識別子(OUI: Organizationally
Unique Identifier)であり、MACアドレス(48bit)中の上位24bitは、このベンダー識別子で構成される。パラメータTimeは、時刻情報であり、年・月・日・時・分・秒などの情報が組合せて使用される。パラメータSecretは、秘密鍵情報であり、特定の管理者だけが知り得る非公開情報である。MACアドレス(48bit)中の下位24bitは、パラメータTime, Secretを入力とするハッシュ関数により生成される疑似乱数で構成される。【００２４】
請求項１４に記載のネットワークセキュリティ監視システムは、請求項９乃至請求項１０に記載のネットワークセキュリティ監視システムにおいて、請求項１１乃至請求項１３に記載のネットワークセキュリティ監視装置をセグメント毎に配置し、該ネットワークセキュリティ監視装置がセグメント内で不正に通信遮断を行う攻撃を検出した場合にアラームを発信するとともに、不正に通信遮断された情報処理端末間の通信を通信可能状態に復旧することを特徴とする。
【発明の効果】
【００２５】
請求項１に係る発明によれば、ネットワーク上に接続された情報処理端末間の通信許可／不許可をアクセスポリシーに基づき判断し、不許可と判断された情報処理端末のアクセスポリシーが不許可から許可に更新されるまで、不許可と判断された情報処理端末間の通信を遮断するための情報を一定時間間隔毎に繰返して送信すること、および不許可と判断された情報処理端末と他の(複数の)情報処理端末間の通信を一斉に遮断することで、不許可と判断された情報処理端末間の通信を迅速かつ確実に遮断する制御を行うことが可能になる。同時にアクセスポリシーで許可と定義された情報処理端末間の通信可能状態を保持することになる。【００２６】
請求項２に係る発明によれば、ネットワーク上に接続された情報処理端末間の通信許可／不許可をアクセスポリシーに基づき判断し、不許可と判断された情報処理端末に対して不許可端末と他の情報処理端末間の通信を遮断するための情報(例えば、偽りのARP応答)を一定時間間隔毎に繰返して送信することで、ネットワーク上に遅延が起きている場合やARPテーブルが静的に設定された場合においても不許可と判断された情報処理端末間の通信を迅速かつ確実に遮断する制御を行うことが可能になる。
すなわち、アクセスポリシーで情報処理端末C1と情報処理端末C2間の通信が不許可に設定されている場合、ネットワーク上に遅延が起きていると、通信を遮断するための情報を通信端末C1(またはC2)が受信した後に、正しいARP応答が情報処理端末C1(またはC2)に届くことがあり、この場合は後に届いた情報で情報処理端末C1(またはC2)のARPテーブルが書き換えられ、情報処理端末C1と情報処理端末C2間の通信を遮断するアクセス制御ができなくなるという問題点を解消することができる。
また、アクセスポリシーで情報処理端末C1と情報処理端末C2間の通信が不許可に設定されている場合、情報処理端末C1のARPテーブルが静的に設定された場合に、情報処理端末C1からARP要求を送信せずに情報処理端末C2へ情報が送信され、情報処理端末C1と情報処理端末C2間の通信を遮断するアクセス制御ができなくなるという問題点を解消することができる。【００２７】
請求項３に係る発明によれば、ネットワーク内の全てのIPアドレスに対して一定時間間隔毎にARP要求をブロードキャストで送信することで、長時間に渡りパケット送受信していない情報処理端末を検出し、不許可と判断された情報処理端末間の通信を確実に遮断する制御を行うことが可能になる。またアクセスポリシーに登録されていない情報処理端末を検出した場合は、該情報処理端末に関する通信は不許可としてアクセスポリシーに登録することで、確実に不正アクセスを遮断する制御を行うことが可能になる。【００２８】
請求項４に係る発明によれば、アクセスポリシーに基づき情報処理端末CXと通信が不許可とされている情報処理端末(例えばC1,C2,C3)、および情報処理端末CXに対して、偽りのMACアドレスを有するARP応答を一定時間間隔毎に繰返して送信することで、情報処理端末間(CXとC1間、CXとC2間、CXとC3間)の通信を速やかに且つ確実に遮断する制御を行うことが可能になる。【００２９】
請求項５に係る発明によれば、アクセスポリシーが許可から不許可に変更された時に、該当する情報処理端末(例えばC1,C2)に対して偽りのMACアドレスを有するARP応答を一定時間間隔毎に繰返して送信することで、情報処理端末間(C1とC2間)の通信を速やかに且つ確実に遮断する制御を行うことが可能になる。【００３０】
請求項６に係る発明によれば、アクセスポリシーが不許可から許可に変更された時に、情報処理端末間(C1とC2間)の通信遮断の制御を止めるとともに、情報処理端末(C1,C2)に対して正しいMACアドレスを有するARP応答を送信することで、情報処理端末間(C1とC2間)の通信を速やかに再開する制御を行うことが可能になる。【００３１】
請求項７に係る発明によれば、不許可と判断された情報処理端末CXに対して中継装置のMACアドレスとして偽りのMACアドレスを有するARP応答を一定時間間隔毎に繰返して送信することで、情報処理端末CXがネットワーク外部の情報処理端末と接続することができなくなる効果がある。【００３２】
請求項８に係る発明によれば、ネットワーク内の情報処理端末のMACアドレス／IPアドレスの他に、ソフトウエア更新履歴情報、ならびに接続状況などの情報に基づき、情報処理端末間の通信の許可／不許可を判断するためのアクセスポリシーを管理することで、例えばウィルス情報が更新されていない情報処理端末のアクセス対象端末を制限することが可能となり、フェイルセーフなシステムを実現することが可能になる。【００３３】
請求項９に係る発明によれば、ネットワークセキュリティ監視装置をセグメント毎に配置してセグメント毎にネットワークセキュリティ監視装置がアクセスポリシーで不許可と定義された情報処理端末間の通信を遮断し、許可と定義された情報処理端末間の通信可能状態を保持することで、セグメント内で不許可と判断された情報処理端末間の通信を迅速かつ確実に遮断する制御を行うことが可能になる。【００３４】
請求項１０に係る発明によれば、ネットワーク全体のアクセスポリシーを一元管理するセキュリティマネージャ装置を備え、該マネージャ装置から最新のポリシー情報を各セグメントに配置されたネットワークセキュリティ監視装置にタイムリーに配布することで、システム全体でポリシー情報を共有し一元管理することが可能になるとともに、セグメント毎に最新のポリシー情報を用いて情報処理端末間の通信を監視し、不許可と判断された情報処理端末間の通信を迅速かつ確実に遮断する制御を行うことが可能になる。【００３５】
請求項１１に係る発明によれば、ARPパケットの送信元IPアドレスが通信許可リストに登録されたIPアドレスと同じであるARPパケットを抽出し、該IPアドレスから情報処理端末Ak(k：1以上の自然数)を特定し、該ARPパケットの送信元MACアドレスが前記通信許可リストに登録された情報処理端末AkのMACアドレスと異なる場合に、該ARPパケットを不正に通信遮断を行う攻撃と判断することで、不正に通信遮断を行う攻撃を確実かつ容易に検出することが可能になる。
また不正に通信遮断を行う攻撃を検出した場合にアラームを発信することで、管理者は迅速な対処を行うことが可能になる。さらに攻撃を検出した場合に、正しいMACアドレスを有するARPパケットを送信することで、不正に通信遮断された情報処理端末間の通信を速やかに通信可能状態に復旧することが可能になる。【００３６】
請求項１２に係る発明によれば、ARPパケットの送信先IPアドレスが通信許可リストに登録されたIPアドレスと同じであるARPパケットを抽出するとともに、該IPアドレスから情報処理端末Ak(k：1以上の自然数)を特定し、さらに該ARPパケットの送信元IPアドレスから情報処理端末Bを特定し、該ARPパケットの送信元MACアドレスが前記アクセスポリシーに登録された情報処理端末BのMACアドレスと異なる場合に、該ARPパケットを不正に通信遮断を行う攻撃と判断することで、不正に通信遮断を行う攻撃を確実かつ容易に検出することが可能になる。
また不正に通信遮断を行う攻撃を検出した場合にアラームを発信することで、管理者は迅速な対処を行うことが可能になる。さらに攻撃を検出した場合に、正しいMACアドレスを有するARPパケットを送信することで、不正に通信遮断された情報処理端末間の通信を速やかに通信可能状態に復旧することが可能になる。【００３７】
請求項１３に係る発明によれば、アクセスポリシーに基づき不許可と判断された情報処理端末間の通信を遮断するために送信するARPパケット中の「偽りのMACアドレス(FMAC)」を、一方向関数genFMACを用いて生成することで、不正に通信遮断を行うARPパケットと本発明で通信を遮断するために送信するARPパケットとを容易に判別ができるようになる。ここで一方向関数genFMACは、例えばハッシュ関数としてハッシュ値FMACを算出するために、
FMAC = genFMAC(SeedMac,
Time, Secret)
のように定義される。パラメータSeedMacは、ベンダー識別子(OUI: Organizationally
Unique Identifier)であり、MACアドレス(48bit)中の上位24bitは、このベンダー識別子で構成される。パラメータTimeは、時刻情報であり、年・月・日・時・分・秒などの情報が組合せて使用される。パラメータSecretは、秘密鍵情報であり、特定の管理者だけが知り得る非公開情報である。MACアドレス(48bit)中の下位24bitは、パラメータTime, Secretを入力とするハッシュ関数により生成される疑似乱数で構成される。ハッシュ関数は、出力から入力のデータを推測できないこと、同じ出力を持つ入力データを容易に作成できないこと等の特徴がある。この特徴を利用して、不正に通信遮断を行うARPパケット中の「偽りのMACアドレス」とFMACの値とを比較照合することで、容易に不正に通信遮断を行う攻撃を検出することが可能になる。
また不正に通信遮断を行う攻撃を検出した場合にアラームを発信することで、管理者は迅速な対処を行うことが可能になる。【００３８】
請求項１４に係る発明によれば、セグメント内に配置されたセキュリティ監視装置が容易に且つ確実に不正に通信遮断を行う攻撃を検出することが可能になる。また攻撃を検出した場合にアラームを発信することで、迅速な対処を行うことが可能になる。さらに攻撃を検出した場合に、正しいMACアドレスを有するARPパケットを送信することで、不正に通信遮断された情報処理端末間の通信を速やかに通信可能状態に復旧することが可能になる。
【図面の簡単な説明】
【００３９】
【図１】本発明の実施の形態に係るネットワークセキュリティ監視装置を備えたネットワークの構成例を示す図である。
【図２】本発明の実施の形態に係るネットワークセキュリティ監視装置の構成を示すブロック図である。
【図３】本発明の実施の形態に係るネットワークセキュリティ監視装置が備えるアクセスポリシーの設定例を示す図である。
【図４】本発明の実施の形態に係るネットワークセキュリティ監視装置と情報処理端末C1,C2間および情報処理端末C1とC2間のシーケンス例を示す図である。
【図５】本発明の実施の形態に係るネットワークセキュリティ監視装置を備えたネットワークに不正端末が接続された構成例を示す図である。
【図６】本発明の実施の形態に係るネットワークセキュリティ監視装置と情報処理端末CX ,C1,C2,C3間のシーケンス例を示す図である。
【図７】本発明の実施の形態に係るネットワークセキュリティ監視装置が備えるアクセスポリシーが許可から不許可に変更された時の情報処理端末C1とC2間のシーケンス例を示す図である。
【図８】本発明の実施の形態に係るネットワークセキュリティ監視装置が備えるアクセスポリシーが不許可から許可に変更された時の情報処理端末C1とC2間のシーケンス例を示す図である。
【図９】本発明の実施の形態に係るネットワークセキュリティ監視システムの構成例を示す図である。
【図１０】本発明の実施の形態に係るネットワークセキュリティ監視装置が通信許可リストを用いて不正な通信遮断を検出するシーケンス例を示す図である。
【図１１】本発明の実施の形態に係るネットワークセキュリティ監視装置が備える通信許可リストの設定例を示す図である。
【図１２】本発明の実施の形態に係るネットワークセキュリティ監視装置がFMAC生成アルゴリズムを用いて不正な通信遮断を検出するシーケンス例を示す図である。
【符号の説明】
【００４０】
１０  ネットワークセキュリティ監視装置
１１  パケット監視手段
１２  アクセス制御手段
１３  通信遮断手段
１４  ポリシー管理手段
１５  アクセスポリシー
２０  アプリケーションサーバ
３１  情報処理端末
３２  情報処理端末
３３  情報処理端末
４０  ルータ
５０  ネットワーク
【発明を実施するための最良の形態】
【００４１】
次に、本発明の実施の形態に係るネットワークセキュリティ監視システムについて図面に基づいて説明する。なお、この実施の形態により本発明が限定されるものではない。【００４２】
図１は、本発明の実施の形態に係るネットワークセキュリティ監視装置を備えたネットワークの構成例を示すものである。図１では、ネットワーク50に情報処理端末31,32,33とアプリケーションサーバ20とルータ40とが接続され、ネットワーク50内における不正アクセスを監視し防止するネットワークセキュリティ監視装置10が接続されている。【００４３】
図２は、本発明の実施の形態に係るネットワークセキュリティ監視装置10の構成を示すブロック図である。
図２に示すように、ネットワークセキュリティ監視装置10は、ネットワーク上に接続された全ての情報処理端末から送受信されるパケットを監視するパケット監視手段11と、ネットワーク内の全ての情報処理端末に関するアクセスポリシー15を管理するポリシー管理手段14と、アクセスポリシー15に基づきネットワーク内の情報処理端末間の通信許可／不許可を判断するアクセス制御手段12と、特定の情報処理端末間の通信を遮断する通信遮断手段13と、で構成され、アクセス制御手段12がパケット監視手段11から受け取ったパケット情報の送信元アドレス情報から情報処理端末を特定し、アクセスポリシー15に基づき該情報処理端末とネットワーク上に接続された他の情報処理端末間の通信許可／不許可を判断するとともに、通信遮断手段13が不許可と判断された情報処理端末間の通信を遮断するための情報を一定時間間隔毎に繰返して送信することで、前記アクセスポリシーで不許可と定義された情報処理端末間の通信を遮断し、許可と定義された情報処理端末間の通信可能状態を保持する。ここで前記「一定時間間隔毎に繰返して送信すること」は、不許可と判断された情報処理端末のアクセスポリシーが不許可から許可に更新されるまで行われるものとする。さらに時間間隔値はユーザが適宜に設定するものとする。すなわち不許可と判断された情報処理端末と他の(複数の)情報処理端末間の通信を一斉に遮断することで、不許可と判断された情報処理端末間の通信を迅速かつ確実に遮断する制御を行うことができる。【００４４】
図３に本発明の実施の形態に係るネットワークセキュリティ監視装置が備えるアクセスポリシーの設定例を示す。図１、図２および図３を用いて具体例(アクセスポリシー15で情報処理端末C2とサーバA1間、および情報処理端末C2と情報処理端末C1間の通信が不許可に設定されている場合の例)を説明する。
パケット監視手段11が情報処理端末C2からのサーバA1に対して送信したパケット(ARP要求)を受信すると、アクセス制御手段12がパケット監視手段11から受け取ったパケット情報の送信元アドレス情報から情報処理端末を特定し、アクセスポリシー15に基づき該情報処理端末とネットワーク上に接続された他の情報処理端末間の通信許可／不許可を判断する。この場合、情報処理端末C2とサーバA1間、および情報処理端末C2と情報処理端末C1間の通信が不許可であるため、情報処理端末C2とサーバA1間の通信を遮断するための情報を情報処理端末C2およびサーバA1に対して一定時間間隔毎に繰返して送信するとともに、情報処理端末C2と情報処理端末C1間の通信を遮断するための情報を情報処理端末C2および情報処理端末C1に対して一定時間間隔毎に繰返して送信する。この繰返して送信することは、情報処理端末C2とサーバA1間、および情報処理端末C2と情報処理端末C1間のアクセスポリシーが不許可から許可に更新されるまで行われる。以上から、情報処理端末C2からサーバA1に対して送信したパケット(ARP要求)受信を契機として、情報処理端末C2とサーバA1間、および情報処理端末C2と情報処理端末C1間の通信を迅速かつ確実に遮断することができる。同時にアクセスポリシー15で許可と定義された情報処理端末C2と情報処理端末C3間、および情報処理端末C2とルータR1間の通信可能状態を保持することになる。【００４５】
パケット監視手段11は、ネットワーク上に接続された情報処理端末から送信されるARP要求を受取り、アクセス制御手段12が該ARP要求の送信元アドレス情報から情報処理端末を特定し、アクセス制御手段12がアクセスポリシー15に基づき該情報処理端末とネットワーク上に接続された他の情報処理端末間の通信許可／不許可を判断するとともに、通信遮断手段13が不許可と判断された情報処理端末間の通信を遮断するための情報(例えば、偽りのARP応答)を一定時間間隔毎に繰返して送信する。ここで前記「一定時間間隔毎に繰返して送信すること」は、ネットワーク上に遅延が起きている場合やARPテーブルが静的に設定された場合においても不許可と判断された情報処理端末間の通信を迅速かつ確実に遮断する制御を行うことを実現している。
すなわち、アクセスポリシーで情報処理端末C1と情報処理端末C2間の通信が不許可に設定されている場合、ネットワーク上に遅延が起きていると、通信を遮断するための情報を通信端末C1(またはC2)が受信した後に、正しいARP応答が情報処理端末C1(またはC2)に届くことがあり、この場合は後に届いた情報で情報処理端末C1(またはC2)のARPテーブルが書き換えられ、情報処理端末C1と情報処理端末C2間の通信を遮断するアクセス制御ができなくなるという問題点を解消することができる。
また、アクセスポリシーで情報処理端末C1と情報処理端末C2間の通信が不許可に設定されている場合、情報処理端末C1のARPテーブルが静的に設定された場合に、情報処理端末C1からARP要求を送信せずに情報処理端末C2へ情報が送信され、情報処理端末C1と情報処理端末C2間の通信を遮断するアクセス制御ができなくなるという問題点を解消することができる。【００４６】
図４に本発明の実施の形態に係るネットワークセキュリティ監視装置と情報処理端末C1
,C2間および情報処理端末C1とC2間のシーケンス例を示す。図４を用いて具体例(アクセス
ポリシーで情報処理端末C1と情報処理端末C2間の通信が不許可に設定されている場合の例
)を説明する。
(1) 情報処理端末C1は情報処理端末C2と通信を開始するにあたって、情報処理端末C2のMACアドレスを得るために、自身のIPアドレスとMACアドレス(mac_C1)、及びC2のIPアドレスを設定してARP要求をブロードキャスト送信する（S01）。
(2) 情報処理端末C2は、自身のIPアドレスが設定されたARP要求を受信すると、送信元C1に対して、自身のIPアドレスとMACアドレス(mac_C2)を設定してARP応答を送信する（S02）。情報処理端末C1はARP応答を受信すると、自身のARPテーブルを更新（情報処理端末C2のMACアドレスとしてmac_C2を設定）する。このARPテーブルの情報は一定時間キャッシュされるため、情報処理端末C1は以降ARP要求を送信せずにARPテーブルの情報を用いて通信が可能となる。
(3) セキュリティ監視装置は、情報処理端末C1から送信されたARP要求を受信し、アクセスポリシーに基づき情報処理端末C1と情報処理端末C2間通信の不許可を判断すると、  情報処理端末C1に対して、C2のIPアドレスと偽造MACアドレス(mac_XX) を設定してARP応答を送信する（S03）。情報処理端末C1はARP応答を受信すると、自身のARPテーブルを更新（情報処理端末C2のMACアドレスとしてmac_XXを設定）する。情報処理端末C1はARPテーブルの情報を用いて通信しようとするが、MACアドレスが不正であるため、情報処理端末C2との通信ができなくなる。
(4) さらにセキュリティ監視装置は、情報処理端末C2に対して、C1のIPアドレスと偽造MACアドレス(mac_YY) を設定してARP応答を送信する（S04）。情報処理端末C2はARP応答を受信すると、自身のARPテーブルを更新（情報処理端末C1のMACアドレスとしてmac_YYを設定）するため、情報処理端末C1との通信ができなくなる。
(5) 上記S02で述べたARP応答が、ネットワーク上に遅延が起きていると、情報処理端末C1に遅れて届くことがある（S02’）。この場合、情報処理端末C1のARPテーブルには、正しい情報が書き換えられる（情報処理端末C2のMACアドレスとしてmac_C2が設定される）ことになる。すなわち情報処理端末C1から情報処理端末C2に対して送信する通信を遮断する制御ができなくなる。
(6) そこでセキュリティ監視装置は、一定時間(T1)経過後に、情報処理端末C1に対して、C2のIPアドレスと偽造MACアドレス(mac_XX) を設定してARP応答を送信する（S05）。情報処理端末C1はARP応答を受信すると、自身のARPテーブルを更新（情報処理端末C2のMACアドレスとしてmac_XXを設定）するため、情報処理端末C2との通信ができなくなる。セキュリティ監視装置は、アクセスポリシーが不許可から許可に更新されるまで一定時間間隔(T1)毎に繰返し送信を続ける（S07,S10）。
(7) 同様にセキュリティ監視装置は、一定時間(T1)経過後に、情報処理端末C2に対して、C1のIPアドレスと偽造MACアドレス(mac_YY) を設定してARP応答を送信する（S06）。情報処理端末C2はARP応答を受信すると、自身のARPテーブルを更新（情報処理端末C1のMACアドレスとしてmac_YYを設定）するため、情報処理端末C1との通信ができなくなる。セキュリティ監視装置は、アクセスポリシーが不許可から許可に更新されるまで一定時間間隔(T1)毎に繰返し送信を続ける（S08,S11）。
(8) 情報処理端末C1のARPテーブルが静的に設定（例えばC2のMACアドレスとしてmac_C2が設定）された場合（S09）に、情報処理端末C1から情報処理端末C2に対して送信する通信を遮断する制御ができなくなるが、セキュリティ監視装置は、一定時間(T1)経過後に、情報処理端末C1に対して、C2のIPアドレスと偽造MACアドレス(mac_XX) を設定してARP応答を送信する（S10）ため、情報処理端末C1は自身のARPテーブルを更新（情報処理端末C2のMACアドレスとしてmac_XXを設定）し、情報処理端末C2との通信ができなくなる。【００４７】
またパケット監視手段11は、ネットワーク内の全てのIPアドレスに対して一定時間間隔毎にARP要求をブロードキャストで送信するとともに、受け取ったARP応答の送信元アドレス情報に基づきアクセス制御手段12が情報処理端末を特定し、アクセス制御手段12がアクセスポリシー15に基づき該情報処理端末とネットワーク上に接続された他の情報処理端末間の通信許可／不許可を判断するとともに、通信遮断手段13が不許可と判断された情報処理端末間の通信を遮断するための情報(例えば、偽りのARP応答)を一定時間間隔毎に繰返して送信する。ここで前記「ネットワーク内の全てのIPアドレスに対して一定時間間隔毎にARP要求をブロードキャストで送信する」ことにより、長時間に渡りパケット送受信していない情報処理端末を検出し、不許可と判断された情報処理端末間の通信を確実に遮断する制御を行うことができる。またアクセスポリシーに登録されていない情報処理端末を検出した場合は、該情報処理端末に関する通信は不許可としてアクセスポリシーに登録することで、確実に不正アクセスを遮断する制御を行うことができる。【００４８】
図５は、本発明の実施の形態に係るネットワークセキュリティ監視装置を備えたネットワークに不正端末が接続された構成例を示すものである。
図５に示すように、セキュリティ監視装置が備えるアクセスポリシーには、情報処理端末C1,C2,C3間の通信許可／不許可が設定されており、この時点でセキュリティ監視装置は情報処理端末CXを認識していない状態にある。
セキュリティ監視装置は、ネットワークに接続された情報処理端末を監視するために、ネットワーク内の全てのIPアドレスに対して一定時間間隔毎にARP要求をブロードキャストで送信し、情報処理端末C1,C2,C3,CXからARP応答を受信する。受信したARP応答の送信元アドレス情報に基づき情報処理端末を特定し、アクセスポリシーに基づき情報処理端末C1,C2,C3,CX間の通信許可／不許可を判断するとともに、不許可と判断された情報処理端末に対して通信を遮断するための情報(例えば、偽りのARP応答)を一定時間間隔毎に繰返して送信する。また情報処理端末CXについては、アクセスポリシーに登録されていないため、情報処理端末CXをアクセスポリシーに追加登録し、情報処理端末CXと情報処理端末C1,C2,C3間の通信を不許可として設定する。これにより、不正に接続された情報処理端末CXの不正アクセスを確実に遮断することができる。【００４９】
次に図６は、図５に示した構成例に基づき、本発明の実施の形態に係るネットワークセキュリティ監視装置と情報処理端末CX ,C1,C2,C3間のシーケンス例を示したものである。図６を用いて具体例を説明する。
(1) セキュリティ監視装置は、ネットワークに接続された情報処理端末を監視するために、ネットワーク内の全てのIPアドレスに対してARP要求をブロードキャストで送信する（S61）。このS61のステップは一定時間間隔毎に繰返して行うものとする。
(2) セキュリティ監視装置は、情報処理端末C1,C2,C3,CXからARP応答を受信する（S62）。受信したARP応答の送信元アドレス情報に基づき情報処理端末を特定し、アクセスポリシーに基づき情報処理端末C1,C2,C3,CX間の通信許可／不許可を判断する。ここで情報処理端末CXについては、アクセスポリシーに登録されていないため、情報処理端末CXをアクセスポリシーに追加登録し、情報処理端末CXと情報処理端末C1,C2,C3間の通信を不許可として設定する。
(3) セキュリティ監視装置は、不許可と判断された情報処理端末CXと他の情報処理端末C1,C2,C3間の通信を遮断するために、情報処理端末CXに対して情報処理端末C1,C2,C3のMACアドレスとして偽造MACアドレス(mac_Z1,mac_Z2,
mac_Z3)を有するARP応答を送信するとともに、情報処理端末C1,C2,C3に対しても情報処理端末CXのMACアドレスとして偽造MACアドレス(mac_XX)を有するARP応答を送信する（S63）。情報処理端末CXはARP応答を受信すると、自身のARPテーブルを更新（情報処理端末C1のMACアドレスとしてmac_Z1を設定、情報処理端末C2のMACアドレスとしてmac_Z2を設定、情報処理端末C3のMACアドレスとしてmac_Z3を設定）するため、情報処理端末C1,C2,C3との通信ができなくなる。同様にして、情報処理端末C1,C2,C3はARP応答を受信すると、自身のARPテーブルを更新（情報処理端末CXのMACアドレスとしてmac_XXを設定）するため、情報処理端末CXとの通信ができなくなる。
(4) セキュリティ監視装置は、アクセスポリシーが不許可から許可に更新されるまで一定時間間隔(T1)毎に繰返し送信を続ける（S64）。【００５０】
以上から、アクセスポリシーに基づき情報処理端末CXと通信が不許可とされている情報処理端末C1,C2,C3、および情報処理端末CXに対して、偽りのMACアドレスを有するARP応答を一定時間間隔毎に繰返して送信することで、情報処理端末間(CXとC1間、CXとC2間、CXとC3間)の通信を速やかに且つ確実に遮断することができる。【００５１】
次に図７は、本発明の実施の形態に係るネットワークセキュリティ監視装置が備えるアクセスポリシーが許可から不許可に変更された時の情報処理端末C1とC2間のシーケンス例を示すものである。図７を用いて具体例を説明する。
(1) セキュリティ監視装置は、アクセスポリシーで情報処理端末C1と情報処理端末C2間の通信が許可から不許可に変更された時に、情報処理端末C1に対して、C2のIPアドレスと偽造MACアドレス(mac_XX) を設定してARP応答を送信する（S71）。情報処理端末C1はARP応答を受信すると、自身のARPテーブルを更新（情報処理端末C2のMACアドレスとしてmac_XXを設定）する。情報処理端末C1はARPテーブルの情報を用いて通信しようとするが、MACアドレスが不正であるため、情報処理端末C2との通信ができなくなる。
(2) さらにセキュリティ監視装置は、情報処理端末C2に対して、C1のIPアドレスと偽造MACアドレス(mac_YY) を設定してARP応答を送信する（S72）。情報処理端末C2はARP応答を受信すると、自身のARPテーブルを更新（情報処理端末C1のMACアドレスとしてmac_YYを設定）するため、情報処理端末C1との通信ができなくなる。
(3) セキュリティ監視装置は、アクセスポリシーが不許可から許可に更新されるまで一定時間間隔(T1)毎に繰返し送信を続ける（S73,S74,S75,S76）。【００５２】
以上から、アクセスポリシーが許可から不許可に変更された時に、該当する情報処理端末(例えばC1,C2)に対して偽りのMACアドレスを有するARP応答を一定時間間隔毎に繰返して送信することで、情報処理端末間C1とC2間の通信を速やかに且つ確実に遮断することができる。【００５３】
次に図８は、本発明の実施の形態に係るネットワークセキュリティ監視装置が備えるアクセスポリシーが不許可から許可に変更された時の情報処理端末C1とC2間のシーケンス例を示すものである。図８を用いて具体例を説明する。
(1) セキュリティ監視装置は、アクセスポリシーで情報処理端末C1と情報処理端末C2間の通信が不許可に設定されているため、情報処理端末C1に対して、C2のIPアドレスと偽造MACアドレス(mac_XX) を設定してARP応答を一定時間間隔(T1)毎に繰返し送信する（S81,S83）とともに、情報処理端末C2に対して、C1のIPアドレスと偽造MACアドレス(mac_YY) を設定してARP応答を一定時間間隔(T1)毎に繰返し送信する（S82,S84）。
(2) セキュリティ監視装置は、アクセスポリシーで情報処理端末C1と情報処理端末C2間の通信が不許可から許可に変更された時に、（S81,S83）および（S82,S84）の繰返し送信を停止するとともに、情報処理端末C1に対して情報処理端末C2の正しいMACアドレス(mac_C2)を有するARP応答を送信する（S85）。情報処理端末C1はARP応答を受信すると、自身のARPテーブルを更新（情報処理端末C2のMACアドレスとしてmac_C2を設定）し、情報処理端末C2との通信ができるようになる。
(3) さらにセキュリティ監視装置は、情報処理端末C2に対して情報処理端末C1の正しいMACアドレス(mac_C1)を有するARP応答を送信する（S86）。情報処理端末C2はARP応答を受信すると、自身のARPテーブルを更新（情報処理端末C1のMACアドレスとしてmac_C1を設定）し、情報処理端末C1との通信ができるようになる。【００５４】
以上から、アクセスポリシーが不許可から許可に変更された時に、情報処理端末間(C1とC2間)の通信遮断の制御を止めるとともに、情報処理端末C1,C2に対して正しいMACアドレスを有するARP応答を送信することで、情報処理端末間C1とC2間の通信を速やかに再開することができる。【００５５】
またネットワークセキュリティ監視装置が備えるアクセスポリシーで不許可と判断された情報処理端末Xがネットワーク外部の情報処理端末と接続しようとしている場合、セキュリティ監視装置が情報処理端末CXに対して中継装置のMACアドレスとして偽りのMACアドレスを有するARP応答を一定時間間隔毎に繰返して送信する。さらにセキュリティ監視装置は、ネットワーク内の全ての中継装置に対して情報処理端末CXのMACアドレスとして偽りのMACアドレスを有するARP応答を一定時間間隔毎に繰返して送信する。すなわち、不許可と判断された情報処理端末CXに対して中継装置のMACアドレスとして偽りのMACアドレスを有するARP応答を一定時間間隔毎に繰返して送信することで、情報処理端末CXがネットワーク外部の情報処理端末と接続することができなくなる。【００５６】
またネットワークセキュリティ監視装置が備えるポリシー管理手段14は、ネットワーク内の情報処理端末のMACアドレス／IPアドレスの他に、ソフトウエア更新履歴情報ならびに接続状況などの情報を保持するとともに、前記の情報に基づき情報処理端末間の通信許可／不許可を判断するためのアクセスポリシーを管理する。ここで、アクセスポリシーの管理については、ソフトウエア更新履歴情報などの情報に基づきアクセスポリシーをプログラムで自動更新する場合と、手動によりアクセスポリシーを更新する場合とがある。【００５７】
以上から、ポリシー管理手段14は、ネットワーク内の情報処理端末のMACアドレス／IPアドレスの他に、ソフトウエア更新履歴情報、ならびに接続状況などの情報に基づき、情報処理端末間の通信の許可／不許可を判断するためのアクセスポリシーを管理することで、例えばウィルス情報が更新されていない情報処理端末のアクセス対象端末を制限することが可能となり、フェイルセーフなシステムを実現することができる。【００５８】
次に図９は、本発明の実施の形態に係るネットワークセキュリティ監視システムの構成例を示すものである。
図９に示すように、ネットワークセキュリティ監視システムは、前記で説明したネットワークセキュリティ監視装置をセグメント毎に配置するとともに、セグメント内のセキュリティ管理をするネットワークセキュリティ監視装置がアクセスポリシーで不許可と定義された情報処理端末間の通信を遮断し、許可と定義された情報処理端末間の通信可能状態を保持している。これにより、セグメント内で不許可と判断された情報処理端末間の通信を迅速かつ確実に遮断する制御を行うことが可能になる。【００５９】
さらにネットワークセキュリティ監視システムは、ネットワーク全体のアクセスポリシーを一元管理するセキュリティマネージャ装置を備え、該マネージャ装置から最新のポリシー情報を各セグメントに配置されたネットワークセキュリティ監視装置にタイムリーに配布するとともに、セグメント内のセキュリティ管理をするネットワークセキュリティ監視装置がアクセスポリシーで不許可と定義された情報処理端末間の通信を遮断し、許可と定義された情報処理端末間の通信可能状態を保持している。これにより、システム全体でポリシー情報を共有し一元管理することが可能になるとともに、セグメント毎に最新のポリシー情報を用いて情報処理端末間の通信を監視し、不許可と判断された情報処理端末間の通信を迅速かつ確実に遮断する制御を行うことが可能になる。【００６０】
次に図10は本発明の実施の形態に係るネットワークセキュリティ監視装置が通信許可リストを用いて不正な通信遮断を検出するシーケンス例を示す図である。【００６１】
[Phase1：通信可能状態]
この段階では情報処理端末A1と情報処理端末B間は通信可能状態にあり、情報処理端末A1のARPテーブルには情報処理端末BのMACアドレス(MAC-B)が設定され、情報処理端末BのARPテーブルには情報処理端末A1のMACアドレス(MAC-A1)が設定されている。【００６２】
[Phase2：不正な通信遮断が発生していることを検出]
セキュリティ監視装置は、情報処理端末Zが情報処理端末A1と情報処理端末B間の通信を不正に遮断していることを検出する。
情報処理端末Zは、情報処理端末A1に対して、送信元IPアドレス(IP-B)と不正なMACアドレス(MAC-YY)とを有するARPパケットを送信する(P01)。情報処理端末A1は該ARPパケットを受信すると自身のARPテーブルを更新（情報処理端末BのMACアドレスとしてMAC-YYを設定）する。この状態で情報処理端末A1がARPテーブルの情報を用いて情報処理端末Bに対して送信しようとすると、情報処理端末BのMACアドレスが不正であるため送信ができなくなる。
また情報処理端末Zは、情報処理端末Bに対して、送信元IPアドレス(IP-A1)と不正なMACアドレス(MAC-XX)とを有するARPパケットを送信する(P02)。情報処理端末Bは該ARPパケットを受信すると自身のARPテーブルを更新（情報処理端末A1のMACアドレスとしてMAC-XXを設定）する。この状態で情報処理端末BがARPテーブルの情報を用いて情報処理端末A1に対して送信しようとすると、情報処理端末A1のMACアドレスが不正であるため送信ができなくなる。
一方、セキュリティ監視装置は、常時ネットワーク上で送受信されるARPパケットを監
視し、ARPパケットの送信先IPアドレスが通信許可リストに登録された情報処理端末An(n：1以上の自然数)のIPアドレスと同じIPアドレスを有するARPパケットを抽出し、該ARPパケットの送信元IPアドレスから情報処理端末Bを特定し、該ARPパケットの送信元MACアドレスが前記アクセスポリシーに登録された情報処理端末BのMACアドレスと異なる場合に、該ARPパケットを不正に通信遮断を行う攻撃と判断すると共に、不正に通信遮断を行う攻撃パケットを検出した旨のアラームを発信する。
図10の例では、P01で送信されたARPパケットの送信先IPアドレス(IP-A1)が通信許可リストに登録されているため、該ARPパケットを抽出し、該ARPパケットの送信元IPアドレスから情報処理端末Bを特定し、該ARPパケットの送信元MACアドレスが前記アクセスポリシーに登録された情報処理端末BのMACアドレス(MAC-B)と同じか判定する。該ARPパケットの送信元MACアドレスがMAC-YYであり、情報処理端末BのMACアドレス(MAC-B)と異なるため、該ARPパケットを不正に通信遮断を行う攻撃と判断する(P03)と共に、不正に通信遮断を行う攻撃パケットを検出した旨のアラームを発信する(P05)。
ここでセキュリティ監視装置が保持する通信許可リストは、ネットワーク上に接続された全ての情報処理端末と通信許可された情報処理端末An(n：1以上の自然数)のIPアドレス{IP-An1, IP-An2,・・・, IP-Ani}(i：1以上の自然数)及びMACアドレス{MAC-An1, MAC-An2,・・・, MAC-Anj}(j：1以上の自然数)を有するものである。
また、セキュリティ監視装置は、常時ネットワーク上で送受信されるARPパケットを監視し、ARPパケットの送信元IPアドレスが通信許可リストに登録された情報処理端末An(n：1以上の自然数)のIPアドレスと同じIPアドレスを有するARPパケットを抽出し、該ARPパケットの送信元MACアドレスが通信許可リストに登録された情報処理端末AnのMACアドレスと同じものがない場合に、該ARPパケットを不正に通信遮断を行う攻撃と判断すると共に、不正に通信遮断を行う攻撃パケットを検出した旨のアラームを発信する。
図10の例では、P02で送信されたARPパケットの送信元IPアドレス(IP-A1)が通信許可リストに登録されているため、該ARPパケットを抽出し、該ARPパケットの送信元MACアドレスが通信許可リストに登録された情報処理端末A1のMACアドレスと同じものがないか判定する。該パケットの送信元MACアドレスがMAC-XXであり、通信許可リストに登録された情報処理端末A1のMACアドレス(MAC-A1) と異なるため、該ARPパケットを不正に通信遮断を行う攻撃と判断する(P04) と共に、不正に通信遮断を行う攻撃パケットを検出した旨のアラームを発信する(P05)。【００６３】
[Phase3：通信可能状態に復旧]
セキュリティ監視装置はP03で不正な通信遮断を検出した場合、情報処理端末A1に対して情報処理端末Bの正しいMACアドレス(MAC-B)を有するARPパケットを送信する(P06)。情報処理端末A1は該パケットを受信すると自身のARPテーブルを更新（情報処理端末BのMACアドレスとしてMAC-Bを設定）する。この状態で情報処理端末A1がARPテーブルの情報を用いて情報処理端末Bに対して送信することが可能になる。
またセキュリティ監視装置はP04で不正な通信遮断を検出した場合、情報処理端末Bに対して情報処理端末A1の正しいMACアドレス(MAC-A1)を有するARPパケットを送信する(P07)。情報処理端末Bは該パケットを受信すると自身のARPテーブルを更新（情報処理端末BのMACアドレスとしてMAC-A1を設定）する。この状態で情報処理端末BがARPテーブルの情報を用いて情報処理端末A1に対して送信することが可能になる。【００６４】
次に図11は本発明の実施の形態に係るネットワークセキュリティ監視装置が備える通信許可リストの設定例を示す図である。
通信許可リストは、ネットワーク上に接続された全ての情報処理端末と通信許可された情報処理端末An(n：1以上の自然数)のIPアドレス{IP-An1, IP-An2,・・・, IP-Ani}(i：1以上の自然数)及びMACアドレス{MAC-An1, MAC-An2,・・・, MAC-Anj}(j：1以上の自然数)を定義したものである。
図11の例では、情報処理端末A1のIPアドレスとして {IP-A1}、MACアドレスとして {MAC-A1}が定義されている。
また情報処理端末A2のIPアドレスとして {IP-A2}、MACアドレスとして {MAC-A21, MAC-A22,・・・, MAC-A2j}(j：2以上の自然数)が定義されている。
また情報処理端末A3のIPアドレスとして {IP-A31, IP-A32,・・・, IP-A3i}(i：2以上の自然数)、MACアドレスとして {MAC-A3}が定義されている。
また情報処理端末A4のIPアドレスとして {IP-A41, IP-A42,・・・, IP-A4k}(k：2以上の自然数)、MACアドレスとして {MAC-A41, MAC-A42,・・・, MAC-A4m}(m：2以上の自然数)が定義されている。
ここで情報処理端末AnのIPアドレス／MACアドレスが複数個定義されている理由は、例えば、仮想ルータのような場合に複数個のIPアドレスやMACアドレスを持つことがあることを考慮しているためである。【００６５】
次に図12は本発明の実施の形態に係るネットワークセキュリティ監視装置がFMAC生成アルゴリズムを用いて不正な通信遮断を検出するシーケンス例を示す図である。【００６６】
[Phase1：通信可能状態]
この段階では情報処理端末A1と情報処理端末B間は通信可能状態にあり、情報処理端末A1のARPテーブルには情報処理端末BのMACアドレス(MAC-B)が設定され、情報処理端末BのARPテーブルには情報処理端末A1のMACアドレス(MAC-A1)が設定されている。【００６７】
[Phase2：不正な通信遮断が発生していることを検出]
セキュリティ監視装置は、情報処理端末Zが情報処理端末A1と情報処理端末B間の通信を不正に遮断していることを検出する。
情報処理端末Zは、情報処理端末A1に対して、送信元IPアドレス(IP-B)と不正なMACアドレス(MAC-YY)とを有するARPパケットを送信する(P11)。情報処理端末A1は該ARPパケットを受信すると自身のARPテーブルを更新（情報処理端末BのMACアドレスとしてMAC-YYを設定）する。この状態で情報処理端末A1がARPテーブルの情報を用いて情報処理端末Bに対して送信しようとすると、情報処理端末BのMACアドレスが不正であるため送信ができなくなる。
また情報処理端末Zは、情報処理端末Bに対して、送信元IPアドレス(IP-A1)と不正なMACアドレス(MAC-XX)とを有するARPパケットを送信する(P12)。情報処理端末Bは該ARPパケットを受信すると自身のARPテーブルを更新（情報処理端末A1のMACアドレスとしてMAC-XXを設定）する。この状態で情報処理端末BがARPテーブルの情報を用いて情報処理端末A1に対して送信しようとすると、情報処理端末A1のMACアドレスが不正であるため送信ができなくなる。
一方、セキュリティ監視装置においては、前記アクセスポリシーに基づき不許可と判断された情報処理端末間の通信を遮断するために、該情報処理端末に対して偽りのMACアドレス(FMAC)を有するARPパケットを送信する時に、FMACは複数の入力パラメータを用いて一方向関数genFMACにより生成されることにする。ここで一方向関数genFMACは、例えばハッシュ関数としてハッシュ値FMACを算出するために、
FMAC = genFMAC(SeedMac,
Time, Secret)
のように定義される。パラメータSeedMacは、ベンダー識別子(OUI: Organizationally
Unique Identifier)であり、MACアドレス(48bit)中の上位24bitは、このベンダー識別子で構成される。パラメータTimeは、時刻情報であり、年・月・日・時・分・秒などの情報が組合せて使用される。パラメータSecretは、秘密鍵情報であり、特定の管理者だけが知り得る非公開情報である。MACアドレス(48bit)中の下位24bitは、パラメータTime, Secretを入力とするハッシュ関数により生成される疑似乱数で構成される。ハッシュ関数は、出力から入力のデータを推測できないこと、同じ出力を持つ入力データを容易に作成できないこと等の特徴がある。
次にセキュリティ監視装置は、常時ネットワーク上で送受信されるARPパケットを監視し、偽りのMACアドレスを有するARPパケットを抽出する。ここで抽出の条件として、例えばARPパケットのMACアドレスが前記通信許可リストまたは前記アクセスポリシーに登録された情報処理端末のMACアドレスと同じでない場合とする。抽出されたARPパケットのMACアドレスが前記一方向関数genFMACを用いて生成したFMACの値と異なる場合に、該ARPパケットを不正に通信遮断を行う攻撃と判断する。すなわち抽出されたARPパケットが、セキュリティ監視装置がアクセスポリシーに基づき不許可と判断された情報処理端末間の通信を遮断するために送信したARPパケットと同じものかを判定し、異なる場合には、該ARPパケットを不正に通信遮断を行う攻撃と判断する。なおFMACの値はハッシュ関数を利用して生成されているため、第三者が不正な通信遮断を行おうとしてこの値を利用することはできない。
また不正に通信遮断を行う攻撃を検出した場合にアラームを発信することで、管理者は迅速な対処を行うことが可能になる。
図12の例では、P11で送信されたARPパケットの送信元MACアドレス(MAC-YY)が偽りのMACアドレスであるため、該ARPパケットを抽出し、該ARPパケットの送信元MACアドレスが前記一方向関数genFMACを用いて生成したFMACの値と同じか判定する。異なる場合には、該ARPパケットを不正に通信遮断を行う攻撃と判断する(P13)と共に、不正に通信遮断を行う攻撃パケットを検出した旨のアラームを発信する(P15)。
またP12で送信されたARPパケットの送信元MACアドレス(MAC-XX)が偽りのMACアドレスであるため、該ARPパケットを抽出し、該ARPパケットの送信元MACアドレスが前記一方向関数genFMACを用いて生成したFMACの値と同じか判定する。異なる場合には、該ARPパケットを不正に通信遮断を行う攻撃と判断する(P14)と共に、不正に通信遮断を行う攻撃パケットを検出した旨のアラームを発信する(P15)。【００６８】
また前記一方向関数genFMACのパラメータとして時刻情報(Time)を用いることで、FMACの値は時刻により変化する値となるため、仮に第三者がFMACの値を盗んで、この値を用いて不正な通信遮断を行おうとしても、セキュリティ監視装置は不正な通信遮断を検出することができる。
なお時刻情報(Time)としては、年・月・日・時・分・秒などの情報を組合せて使用することが考えられる。この場合セキュリティ監視装置は、例えば、図12のP13で不正な通信遮断を検出するために、ARPパケットの送信元MACアドレスが一方向関数genFMACを用いて生成したFMACの値と同じか判定する時に、タイムラグを考慮した判定処理を行うことが必要になる。例えば次の様な判定処理を行う。
IF { ARPパケットの送信元MACアドレス = genFMAC(SeedMac, T1, Secret)} or
{
ARPパケットの送信元MACアドレス = genFMAC(SeedMac,
T2, Secret)}
ELSE ・・・・不正な通信遮断を検出
ここで、例えばT1=14時11分、T2=14時12分などが使用される。【００６９】
以上から、アクセスポリシーに基づき不許可と判断された情報処理端末間の通信を遮断するために送信するARPパケット中の「偽りのMACアドレス(FMAC)」を、一方向関数genFMACを用いて生成することで、不正に通信遮断を行うARPパケットと本発明で通信を遮断するために送信するARPパケットとを容易に判別ができるようになる。ハッシュ関数の特徴を利用して、不正に通信遮断を行うARPパケット中の「偽りのMACアドレス」とFMACの値とを比較照合することで、容易に不正に通信遮断を行う攻撃を検出することが可能になる。また不正に通信遮断を行う攻撃を検出した場合にアラームを発信することで、管理者は迅速な対処を行うことが可能になる。【００７０】
次に前述の図９で説明したネットワークセキュリティ監視システムに、前述の図10〜図12で説明したネットワークセキュリティ監視装置をセグメント毎に配置することで、セグメント内に配置されたセキュリティ監視装置が容易に且つ確実に不正に通信遮断を行う攻撃を検出することが可能になる。また攻撃を検出した場合にアラームを発信することで、迅速な対処を行うことが可能になる。さらに攻撃を検出した場合に、正しいMACアドレスを有するARPパケットを送信することで、不正に通信遮断された情報処理端末間の通信を速やかに通信可能状態に復旧することが可能になる。
【産業上の利用可能性】
【００７１】
近年、インターネットを中心にした情報ネットワーク社会が形成されていく中で、ネットワークセキュリティは必要不可欠のものになってきており、セキュリティ関連のツールが多くのベンダーやソフトハウスからリリースされ、多くの企業や大学などで利用されているが、本発明は、アクセスポリシーに基づき情報処理端末間の通信の可否を制御する技術を提供するものであり、前記セキュリティ関連のツールに本発明の技術を利用することが可能である。
本発明によれば、ネットワーク上に接続された情報処理端末間の通信許可／不許可をアクセスポリシーに基づき判断し、不許可と判断された情報処理端末のアクセスポリシーが不許可から許可に更新されるまで、不許可と判断された情報処理端末間の通信を遮断するための情報を一定時間間隔毎に繰返して送信すること、および不許可と判断された情報処理端末と他の(複数の)情報処理端末間の通信を一斉に遮断することで、不許可と判断された情報処理端末間の通信を迅速かつ確実に遮断する制御を行うことが可能になる。同時にアクセスポリシーで許可と定義された情報処理端末間の通信可能状態を保持することになる。また不正に通信遮断を行う攻撃を検出した場合にアラームを発信することで、管理者は迅速に対処することが可能になる。さらに攻撃を検出した場合に、正しいMACアドレスを有するARPパケットを送信することで、不正に通信遮断された情報処理端末間の通信を速やかに通信可能状態に復旧することが可能になる。
【図１】
2009031453.tif 000003
【図２】
2009031453.tif 000004
【図３】
2009031453.tif 000005
【図４】
2009031453.tif 000006
【図５】
2009031453.tif 000007
【図６】
2009031453.tif 000008
【図７】
2009031453.tif 000009
【図８】
2009031453.tif 000010
【図９】
2009031453.tif 000011
【図１０】
2009031453.tif 000012
【図１１】
2009031453.tif 000013
【図１２】
2009031453.tif 000014
【手続補正書】
【提出日】平成20年12月9日(2008.12.9)
【手続補正１】
【補正対象書類名】特許請求の範囲
【補正対象項目名】全文
【補正方法】変更
【補正の内容】
【特許請求の範囲】
【請求項１】
（削除）
【請求項２】
（削除）
【請求項３】
（削除）
【請求項４】
（削除）
【請求項５】
（削除）
【請求項６】
（削除）
【請求項７】
（削除）
【請求項８】
（削除）
【請求項９】
（削除）
【請求項１０】
（削除）
【請求項１１】
ネットワーク上に接続された情報処理端末間の通信の可否をアクセスポリシーに基づき制御するネットワークセキュリティ監視装置であって、ネットワーク上に接続された全ての情報処理端末から送受信されるパケットを監視するパケット監視手段と、ネットワーク内の全ての情報処理端末に関するアクセスポリシーを管理するポリシー管理手段と、前記アクセスポリシーに基づきネットワーク内の情報処理端末間の通信許可／不許可を判断するアクセス制御手段と、特定の情報処理端末間の通信を遮断する通信遮断手段と、で構成され、ネットワーク上に接続された全ての情報処理端末と通信許可された情報処理端末Ａｎ（ｎ：１以上の自然数）のＩＰアドレス｛ＩＰ−Ａｎ１，ＩＰ−Ａｎ２，・・・，ＩＰ−Ａｎｉ｝（ｉ：１以上の自然数）及びＭＡＣアドレス｛ＭＡＣ−Ａｎ１，ＭＡＣ−Ａｎ２，・・・，ＭＡＣ−Ａｎｊ｝（ｊ：１以上の自然数）を有する通信許可リストを保持し、前記アクセス制御手段は、前記パケット監視手段から受け取ったＡＲＰパケットの中から該ＡＲＰパケットの送信元ＩＰアドレスが前記通信許可リストに登録されたＩＰアドレスと同じであるＡＲＰパケットを抽出するとともに、該ＩＰアドレスから情報処理端末Ａｋ（ｋ：１以上の自然数）を特定し、前記通信許可リストに登録された情報処理端末ＡｋのＭＡＣアドレスの中に該ＡＲＰパケットの送信元ＭＡＣアドレスと同じものがない場合に、該ＡＲＰパケットを不正に通信遮断を行う攻撃と判断するとともに、
（１）不正に通信遮断を行う攻撃パケットを検出した旨のアラームを発信する
（２）該ＡＲＰパケットの送信先ＩＰアドレスの情報処理端末Ｂに対して情報処理端末Ａｋの正しいＭＡＣアドレスを有するＡＲＰパケットを送信する
ことを特徴とするネットワークセキュリティ監視装置。
【請求項１２】
ネットワーク上に接続された情報処理端末間の通信の可否をアクセスポリシーに基づき制御するネットワークセキュリティ監視装置であって、ネットワーク上に接続された全ての情報処理端末から送受信されるパケットを監視するパケット監視手段と、ネットワーク内の全ての情報処理端末に関するアクセスポリシーを管理するポリシー管理手段と、前記アクセスポリシーに基づきネットワーク内の情報処理端末間の通信許可／不許可を判断するアクセス制御手段と、特定の情報処理端末間の通信を遮断する通信遮断手段と、で構成され、ネットワーク上に接続された全ての情報処理端末と通信許可された情報処理端末Ａｎ（ｎ：１以上の自然数）のＩＰアドレス｛ＩＰ−Ａｎ１，ＩＰ−Ａｎ２，・・・，ＩＰ−Ａｎｉ｝（ｉ：１以上の自然数）及びＭＡＣアドレス｛ＭＡＣ−Ａｎ１，ＭＡＣ−Ａｎ２，・・・，ＭＡＣ−Ａｎｊ｝（ｊ：１以上の自然数）を有する通信許可リストを保持し、前記アクセス制御手段は、前記パケット監視手段から受け取ったＡＲＰパケットの中から該ＡＲＰパケットの送信先ＩＰアドレスが前記通信許可リストに登録されたＩＰアドレスと同じであるＡＲＰパケットを抽出するとともに、該ＩＰアドレスから情報処理端末Ａｋ（ｋ：１以上の自然数）を特定し、さらに該ＡＲＰパケットの送信元ＩＰアドレスから情報処理端末Ｂを特定し、前記アクセスポリシーに登録された情報処理端末ＢのＭＡＣアドレスの中に該ＡＲＰパケットの送信元ＭＡＣアドレスと同じものがない場合に、該ＡＲＰパケットを不正に通信遮断を行う攻撃と判断するとともに、
（１）不正に通信遮断を行う攻撃パケットを検出した旨のアラームを発信する
（２）情報処理端末Ａｋに対して情報処理端末Ｂの正しいＭＡＣアドレスを有するＡＲＰパケットを送信する
ことを特徴とするネットワークセキュリティ監視装置。
【請求項１３】
ネットワーク上に接続された情報処理端末間の通信の可否をアクセスポリシーに基づき制御するネットワークセキュリティ監視装置であって、ネットワーク上に接続された全ての情報処理端末から送受信されるパケットを監視するパケット監視手段と、ネットワーク内の全ての情報処理端末に関するアクセスポリシーを管理するポリシー管理手段と、前記アクセスポリシーに基づきネットワーク内の情報処理端末間の通信許可／不許可を判断するアクセス制御手段と、特定の情報処理端末間の通信を遮断する通信遮断手段と、で構成され、前記通信遮断手段が、前記アクセスポリシーに基づき不許可と判断された情報処理端末間の通信を遮断するために、該情報処理端末に対して偽りのＭＡＣアドレス（ＦＭＡＣ）を有するＡＲＰパケットを送信する際に、ＦＭＡＣは複数の入力パラメータを用いて一方向関数ｇｅｎＦＭＡＣにより生成されるとともに、前記アクセス制御手段は、前記パケット監視手段から受け取ったＡＲＰパケットの中から、偽りのＭＡＣアドレスを有するＡＲＰパケットを抽出し、該ＭＡＣアドレスが前記一方向関数ｇｅｎＦＭＡＣを用いて生成したＦＭＡＣと異なる場合に、該ＡＲＰパケットを不正に通信遮断を行う攻撃と判断し、不正に通信遮断を行う攻撃パケットを検出した旨のアラームを発信することを特徴とするネットワークセキュリティ監視装置。
【請求項１４】
一つまたは複数のセグメントで構成されるネットワークにおいて、請求項１１乃至請求項１３に記載のネットワークセキュリティ監視装置をセグメント毎に配置し、該ネットワークセキュリティ監視装置がセグメント内で不正に通信遮断を行う攻撃を検出した場合にアラームを発信するとともに、不正に通信遮断された情報処理端末間の通信を通信可能状態に復旧することを特徴とするネットワークセキュリティ監視システム。
【手続補正２】
【補正対象書類名】明細書
【補正対象項目名】０００４
【補正方法】変更
【補正の内容】
【０００４】
記載のアクセス制御装置は、アクセスポリシーに基づき特定の通信端末間の通信許可／不許可を判断しアクセス制御を行っているのに対して、特許文献３に記載のネットワーク不正接続防止装置は、アドレス情報データベース部に登録されていない不許可装置とアドレス情報データベース部に登録されている全情報処理装置との通信を遮断することとしている点に相違はあるが、アクセスポリシーをアドレス情報データベース部に置き換えると、上記問題点（ｉｉ）および（ｉｉｉ）は解消されていない。
［００１０］
本発明は、上記問題を解決するため、アクセスポリシーに基づきネットワーク上に接続された情報処理端末間の通信許可／不許可を判断し、不許可と判断された情報処理端末間の通信を確実に遮断する制御を行うネットワークセキュリティ監視装置ならびにネットワークセキュリティ監視システムを提供することを目的とする。
課題を解決するための手段
［００１１］
【手続補正３】
【補正対象書類名】明細書
【補正対象項目名】０００８
【補正方法】変更
【補正の内容】
【０００８】
［００１８］
［００１９］
［００２０］
［００２１］
上記目的を達成するため、請求項１１に記載のネットワークセキュリティ監視装置は、ネットワーク上に接続された情報処理端末間の通信の可否をアクセスポリシーに基づき制御するネットワークセキュリティ監視装置であって、ネットワーク上に接続された全ての情報処理端末から送受信されるパケットを監視するパケット監視手段と、ネットワーク内の全ての情報処理端末に関するアクセスポリシーを管理するポリシー管理手段と、前記アクセスポリシーに基づきネットワーク内の情報処理端末間の通信許可／不許可を判断するアクセス制御手段と、特定の情報処理端末間の通信を遮断する通信遮断手段と、で構成され、ネットワーク上に接続された全ての情報処理端末と通信許可された情報処理端末Ａｎ（ｎ：１以上の自然数）のＩＰアドレス｛ＩＰ−Ａｎ１，ＩＰ−Ａｎ２，・・・，ＩＰ−Ａｎｉ｝（ｉ：１以上の自然数）及びＭＡＣアドレス｛ＭＡＣ−Ａｎ１，ＭＡＣ−Ａｎ２，・・・，ＭＡＣ−Ａｎｊ｝（ｊ：１以上の自然数）を有する通信許可リストを保持し、前記アクセス制御手段は、前記パケット監視手段から受け取ったＡＲＰパケットの中から該ＡＲＰパケットの送信元ＩＰアドレスが前記通信許可リストに登録されたＩＰアドレスと同じであるＡＲＰパケットを抽出するとともに、該ＩＰアドレスから情報処理端末Ａｋ（ｋ：１以上の自然数）を特定し、前記通信許可リストに登録された情報処理端末ＡｋのＭＡＣアドレスの中に該ＡＲＰパケットの送信元ＭＡＣアドレスと同じものがない場合に、該ＡＲＰパケットを不正に通信遮断を行う攻撃と判断するとともに、
（１）不正に通信遮断を行う攻撃パケットを検出した旨のアラームを発信する
（２）該ＡＲＰパケットの送信先ＩＰアドレスの情報処理端末Ｂに対して情報処理端末Ａｋの正しいＭＡＣアドレスを有するＡＲＰパケットを送信する
【手続補正４】
【補正対象書類名】明細書
【補正対象項目名】０００９
【補正方法】変更
【補正の内容】
【０００９】
ことを特徴とする。
［００２２］
請求項１２に記載のネットワークセキュリティ監視装置は、ネットワーク上に接続された情報処理端末間の通信の可否をアクセスポリシーに基づき制御するネットワークセキュリティ監視装置であって、ネットワーク上に接続された全ての情報処理端末から送受信されるパケットを監視するパケット監視手段と、ネットワーク内の全ての情報処理端末に関するアクセスポリシーを管理するポリシー管理手段と、前記アクセスポリシーに基づきネットワーク内の情報処理端末間の通信許可／不許可を判断するアクセス制御手段と、特定の情報処理端末間の通信を遮断する通信遮断手段と、で構成され、ネットワーク上に接続された全ての情報処理端末と通信許可された情報処理端末Ａｎ（ｎ：１以上の自然数）のＩＰアドレス｛ＩＰ−Ａｎ１，ＩＰ−Ａｎ２，・・・，ＩＰ−Ａｎｉ｝（ｉ：１以上の自然数）及びＭＡＣアドレス｛ＭＡＣ−Ａｎ１，ＭＡＣ−Ａｎ２，・・・，ＭＡＣ−Ａｎｊ｝（ｊ：１以上の自然数）を有する通信許可リストを保持し、前記アクセス制御手段は、前記パケット監視手段から受け取ったＡＲＰパケットの中から該ＡＲＰパケットの送信先ＩＰアドレスが前記通信許可リストに登録されたＩＰアドレスと同じであるＡＲＰパケットを抽出するとともに、該ＩＰアドレスから情報処理端末Ａｋ（ｋ：１以上の自然数）を特定し、さらに該ＡＲＰパケットの送信元ＩＰアドレスから情報処理端末Ｂを特定し、前記アクセスポリシーに登録された情報処理端末ＢのＭＡＣアドレスの中に該ＡＲＰパケットの送信元ＭＡＣアドレスと同じものがない場合に、該ＡＲＰパケットを不正に通信遮断を行う攻撃と判断するとともに、
（１）不正に通信遮断を行う攻撃パケットを検出した旨のアラームを発信する
（２）情報処理端末Ａｋに対して情報処理端末Ｂの正しいＭＡＣアドレスを有するＡＲＰパケットを送信する
ことを特徴とする。
［００２３］
請求項１３に記載のネットワークセキュリティ監視装置は、ネットワーク上に接続された情報処理端末間の通信の可否をアクセスポリシーに基づき制御するネットワークセキュリティ監視装置であって、ネットワーク上に接続された全ての情報処理端末から送受信されるパケットを監視するパケット監視手段と、ネットワーク内の全ての情報処理端末に関するアクセスポリシーを管理するポリシー管理手段と、前記アクセスポリシーに基づきネットワーク内の情報処理端末間の通信許可／不許可を判断するアクセス制御手
【手続補正５】
【補正対象書類名】明細書
【補正対象項目名】００１０
【補正方法】変更
【補正の内容】
【００１０】
段と、特定の情報処理端末間の通信を遮断する通信遮断手段と、で構成され、前記通信遮断手段が、前記アクセスポリシーに基づき不許可と判断された情報処理端末間の通信を遮断するために、該情報処理端末に対して偽りのＭＡＣアドレス（ＦＭＡＣ）を有するＡＲＰパケットを送信する際に、ＦＭＡＣは複数の入力パラメータを用いて一方向関数ｇｅｎＦＭＡＣにより生成されるとともに、前記アクセス制御手段は、前記パケット監視手段から受け取ったＡＲＰパケットの中から、偽りのＭＡＣアドレスを有するＡＲＰパケットを抽出し、該ＭＡＣアドレスが前記一方向関数ｇｅｎＦＭＡＣを用いて生成したＦＭＡＣと異なる場合に、該ＡＲＰパケットを不正に通信遮断を行う攻撃と判断し、不正に通信遮断を行う攻撃パケットを検出した旨のアラームを発信することを特徴とする。ここで前記一方向関数ｇｅｎＦＭＡＣは、例えばハッシュ関数としてハッシュ値ＦＭＡＣを算出するために、
ＦＭＡＣ＝ｇｅｎＦＭＡＣ（ＳｅｅｄＭａｃ，Ｔｉｍｅ，Ｓｅｃｒｅｔ）
のように定義される。パラメータＳｅｅｄＭａｃは、ベンダー識別子（ＯＵＩ：Ｏｒｇａｎｉｚａｔｉｏｎａｌｌｙ  Ｕｎｉｑｕｅ  Ｉｄｅｎｔｉｆｉｅｒ）であり、ＭＡＣアドレス（４８ｂｉｔ）中の上位２４ｂｉｔは、このベンダー識別子で構成される。パラメータＴｉｍｅは、時刻情報であり、年・月・日・時・分・秒などの情報が組合せて使用される。パラメータＳｅｃｒｅｔは、秘密鍵情報であり、特定の管理者だけが知り得る非公開情報である。ＭＡＣアドレス（４８ｂｉｔ）中の下位２４ｂｉｔは、パラメータＴｉｍｅ，Ｓｅｃｒｅｔを入力とするハッシュ関数により生成される疑似乱数で構成される。
［００２４］
請求項１４に記載のネットワークセキュリティ監視システムは、一つまたは複数のセグメントで構成されるネットワークにおいて、請求項１１乃至請求項１３に記載のネットワークセキュリティ監視装置をセグメント毎に配置し、該ネットワークセキュリティ監視装置がセグメント内で不正に通信遮断を行う攻撃を検出した場合にアラームを発信するとともに、不正に通信遮断された情報処理端末間の通信を通信可能状態に復旧することを特徴とする。
発明の効果
［００２５］
【手続補正６】
【補正対象書類名】明細書
【補正対象項目名】００１３
【補正方法】変更
【補正の内容】
【００１３】
［００３４］
［００３５］
請求項１１に係る発明によれば、ＡＲＰパケットの送信元ＩＰアドレスが通信許可リストに登録されたＩＰアドレスと同じであるＡＲＰパケットを抽出し、該ＩＰアドレスから情報処理端末Ａｋ（ｋ：１以上の自然数）を特定し、該ＡＲＰパケットの送信元ＭＡＣアドレスが前記通信許可リストに登録された情報処理端末ＡｋのＭＡＣアドレスと異なる場合に、該ＡＲＰパケットを不正に通信遮断を行う攻撃と判断することで、不正に通信遮断を行う攻撃を確実かつ容易に検出することが可能になる。
また不正に通信遮断を行う攻撃を検出した場合にアラームを発信することで、管理者は迅速な対処を行うことが可能になる。さらに攻撃を検出した場合に、正しいＭＡＣアドレスを有するＡＲＰパケットを送信することで、不正に通信遮断された情報処理端末間の通信を速やかに通信可能状態に復旧することが可能になる。
［００３６］
請求項１２に係る発明によれば、ＡＲＰパケットの送信先ＩＰアドレスが通信許可リストに登録されたＩＰアドレスと同じであるＡＲＰパケットを抽出するとともに、該ＩＰアドレスから情報処理端末Ａｋ（ｋ：１以上の自然数）を特定し、さらに該ＡＲＰパケットの送信元ＩＰアドレスから情報処理端末Ｂを特定し、該ＡＲＰパケットの送信元ＭＡＣアドレスが前記アクセスポリシーに登録された情報処理端末ＢのＭＡＣアドレスと異なる場合に、該ＡＲＰパケットを不正に通信遮断を行う攻撃と判断することで、不正に通信遮断を行う攻撃を確実かつ容易に検出することが可能になる。
【手続補正７】
【補正対象書類名】明細書
【補正対象項目名】００１４
【補正方法】変更
【補正の内容】
【００１４】
また不正に通信遮断を行う攻撃を検出した場合にアラームを発信することで、管理者は迅速な対処を行うことが可能になる。さらに攻撃を検出した場合に、正しいＭＡＣアドレスを有するＡＲＰパケットを送信することで、不正に通信遮断された情報処理端末間の通信を速やかに通信可能状態に復旧することが可能になる。
［００３７］
請求項１３に係る発明によれば、アクセスポリシーに基づき不許可と判断された情報処理端末間の通信を遮断するために送信する層パケット中の「偽りのＭＡＣアドレス（ＦＭＡＣ）」を、一方向関数ｇｅｎＦＭＡＣを用いて生成することで、不正に通信遮断を行うＡＲＰパケットと本発明で通信を遮断するために送信するＡＲＰパケットとを容易に判別ができるようになる。ここで一方向関数ｇｅｎＦＭＡＣは、例えばハッシュ関数としてハッシュ値ＦＭＡＣを算出するために、
ＦＭＡＣ＝ｇｅｎＦＭＡＣ（ＳｅｅｄＭａｃ，Ｔｉｍｅ，Ｓｅｃｒｅｔ）
のように定義される。パラメータＳｅｅｄＭａｃは、ベンダー識別子（ＯＵＩ：Ｏｒｇａｎｉｚａｔｉｏｎａｌｌｙ  Ｕｎｉｑｕｅ  Ｉｄｅｎｔｉｆｉｅｒ）であり、ＭＡＣアドレス（４８ｂｉｔ）中の上位２４ｂｉｔは、このベンダー識別子で構成される。パラメータＴｉｍｅは、時刻情報であり、年・月・日・時・分・秒などの情報が組合せて使用される。パラメータＳｅｃｒｅｔは、秘密鍵情報であり、特定の管理者だけが知り得る非公開情報である。ＭＡＣアドレス（４８ｂｉｔ）中の下位２４ｂｉｔは、パラメータＴｉｍｅ，Ｓｅｃｒｅｔを入力とするハッシュ関数により生成される疑似乱数で構成される。ハッシュ関数は、出力から入力のデータを推測できないこと、同じ出力を持つ入力データを容易に作成できないこと等の特徴がある。この特徴を利用して、不正に通信遮断を行うＡＲＰパケット中の「偽りのＭＡＣアドレス」とＦＭＡＣの値とを比較照合することで、容易に不正に通信遮断を行う攻撃を検出することが可能になる。
また不正に通信遮断を行う攻撃を検出した場合にアラームを発信することで、管理者は迅速な対処を行うことが可能になる。
［００３８］
請求項１４に係る発明によれば、セグメント内に配置されたセキュリティ監視装置が容易に且つ確実に不正に通信遮断を行う攻撃を検出することが可能になる。また攻撃を検出した場合にアラームを発信することで、迅速な対処を行うことが可能になる。さらに攻撃を検出した場合に、正しいＭＡＣアドレスを有するＡＲＰパケットを送信するこ
【国際調査報告】
2009031453.tif 000015
2009031453.tif 000016
2009031453.tif 000017
2009031453.tif 000018