(57)【特許請求の範囲】
【請求項１】
ＩＰ（Internet Protocol）およびイーサネット(登録商標)を利用するネットワークに接続されるルータでの不正ルーティングを監視する不正ルーティング監視方法であって、
前記ルータのルーティングテーブル情報およびＡＲＰ（Address Resolution Protocol）テーブル情報を採取する第１のステップと、
前記ルーティングテーブル情報に登録された前記ネットワークの経路を示すＧＷ(ゲートウェイ)のＩＰアドレス情報を検出する第２のステップと、
前記ＡＲＰテーブル情報に登録された、前記検出されたＧＷのＩＰアドレス情報に対応するＧＷのＭＡＣ（Media Access Control Address）アドレス情報が正当であるか否かを検出する第３のステップと、
前記ＧＷのＩＰアドレス情報に対応するＧＷのＭＡＣアドレス情報が正当でないと検出された場合に、その旨を出力する第４のステップと、を備えること
を特徴とする不正ルーティング監視方法。
【請求項２】
請求項１に記載の不正ルーティング監視方法において、
前記第３のステップは、
前記ネットワークに対して前記ＧＷのＩＰアドレス情報を宛先としてＰｉｎｇ（Packet Internet Groper）コマンドを実行するステップと、
前記Ｐｉｎｇコマンド実行後のＡＲＰテーブル情報を採取するステップと、
前記ＧＷのＭＡＣアドレス情報と、前記Ｐｉｎｇコマンド実行後の前記ＡＲＰテーブル情報におけるＧＷのＭＡＣアドレス情報とが一致するか否かを比較するステップと、
前記比較の結果、一致しない場合と、前記Ｐｉｎｇコマンドの応答をあらかじめ定めた時間以内に受信しないときに、前記ＧＷのＭＡＣアドレス情報が正当でないとするステップと、を備えること
を特徴とする不正ルーティング監視方法。
【請求項３】
請求項１に記載の不正ルーティング監視方法において、
前記第３のステップは、
前記ＧＷのＩＰアドレス情報を宛先としてＰｉｎｇ（Packet Internet Groper）コマンドを実行するように前記ルータに指示するステップと、
前記Ｐｉｎｇコマンド実行後のＡＲＰテーブル情報を採取するステップと、
前記ＧＷのＭＡＣアドレス情報と、前記Ｐｉｎｇコマンド実行後の前記ＡＲＰテーブル情報におけるＧＷのＭＡＣアドレス情報とが一致するか否かを比較するステップと、
前記比較の結果、一致しない場合と、前記Ｐｉｎｇコマンドの応答をあらかじめ定めた時間以内に受信しないときに、前記ＧＷのＭＡＣアドレス情報が正当でないとするステップと、を備えること
を特徴とする不正ルーティング監視方法。
【請求項４】
ＩＰ（Internet Protocol）およびイーサネット(登録商標)を利用するネットワークに接続されるルータでの不正ルーティングを監視する不正ルーティング監視プログラムであって、
前記不正アクセス監視プログラムは、コンピュータに、
前記ルータのルーティングテーブル情報およびＡＲＰ（Address Resolution Protocol）テーブル情報を採取する第１のステップと、
前記ルーティングテーブル情報に登録された前記ネットワークの経路を示すＧＷ(ゲートウェイ)のＩＰアドレス情報を検出する第２のステップと、
前記ＡＲＰテーブル情報に登録された、前記検出されたＧＷのＩＰアドレス情報に対応するＧＷのＭＡＣ（Media Access Control Address）アドレス情報が正当であるか否かを検出する第３のステップと、
前記ＧＷのＩＰアドレス情報に対応するＧＷのＭＡＣアドレス情報が正当でないと検出された場合に、その旨を出力する第４のステップと、を実行させること
を特徴とする不正ルーティング監視プログラム。
【請求項５】
ＩＰ（Internet Protocol）およびイーサネット(登録商標)を利用するネットワークに接続されるルータでの不正ルーティングを監視する不正ルーティング監視装置であって、
前記ルータのルーティングテーブル情報およびＡＲＰ（Address Resolution Protocol）テーブル情報を採取する採取手段と、
前記ルーティングテーブル情報に登録された前記ネットワークの経路を示すＧＷ(ゲートウェイ)のＩＰアドレス情報を検出する検出手段と、
前記ＡＲＰテーブル情報に登録された、前記検出されたＧＷのＩＰアドレス情報に対応するＧＷのＭＡＣ（Media Access Control Address）アドレス情報が正当であるか否かを検出する正当性検出手段と、
前記正当性検出手段において前記ＧＷのＩＰアドレス情報に対応するＧＷのＭＡＣアドレス情報が正当でないと検出された場合に、その旨を出力する出力手段と、を備えること
を特徴とする不正ルーティング監視装置。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、ＩＰ（Internet Protocol）およびイーサネット(登録商標)を利用したネットワークにおける不正ルーティングを監視する技術に関する。
【背景技術】
【０００２】
現在、端末を接続させてＬＡＮ（Local Area Network）を構成し、ＬＡＮからルータを介してインターネット等の外部ネットワークに接続できるようなネットワークシステムが普及している。このようなイーサネット(登録商標)のネットワークシステムでは、種々の端末機が使用されることから、マルチベンダの使用に適したＩＰが使用されている。
また、このようなネットワークシステムにおいて、外部ネットワークあるいはＬＡＮ内部から、ＬＡＮに接続される端末に不正に侵入されることがある。このような不正侵入を監視するために、ネットワークに接続される情報機器の資源の構成及び利用状況の情報を収集し、不正利用および不正接続を検出する技術が提案されている(例えば、特許文献１参照)。
【０００３】
この従来技術は、図１１に示すように、２つのＬＡＮ（ローカルエリアネットワーク）１１、１２がインターネット１３と接続され、インターネット１３を通じて情報のやり取りが可能な構成となっている。インターネット１３には、ネットワークの利用状況等を監視するネットワーク集中監視装置１４が接続されると共に、コンピュータウィルスに対する最新のワクチンのダウンロードサービスを提供するウィルス対策ワクチン配布Ｗｅｂサイト１５が接続されている。ＬＡＮ１１および１２には、コンピュータなどの情報機器１１１、１１２と、メールの送受信を行うためのメールサーバ１１３と、ファイルを管理するファイルサーバ１１４と、プロキシの設定を行うプロキシサーバ１１５と、不正アクセスを防ぐためのファイアウォールサーバ１１６と、ＬＡＮ内における情報機器の接続状況及びトラフィックを監視する監視装置１１７とが接続されている。各情報機器１１１、１１２には、情報機器１１１および１１２における資源の構成及び利用状況並びに利用者による利用状況を収集するエージェントと、コンピュータウィルスに対するワクチンを投入するウィルス検知手段とを実装している。また、ネットワーク集中監視装置１４において、各情報機器のエージェントが収集した情報機器の資源の構成及び利用状況の情報を取得し、ネットワーク内における各情報機器の資源の構成及び利用状況を認識すると共に、不正利用および不正接続を検出している。
【０００４】
【特許文献１】特開2002-149435号公報
【発明の開示】
【発明が解決しようとする課題】
【０００５】
上記従来技術では、情報機器の資源の構成や利用状況の情報を、ネットワーク集中監視装置１４において逐一収集しなければならないので処理負荷が大きくなる。すなわち、上記従来技術では、ネットワーク集中監視装置１４でネットワークにおけるすべての利用状況等を把握しなければならない。このため、ネットワーク集中監視装置１４での処理はネットワーク規模が大きくなるほど増大する。
本発明の目的は、上記課題を解決するものであり、ＩＰおよびイーサネット（登録商標）を利用するネットワークで、より簡単に不正接続を検出する技術を提供することにある。
【課題を解決するための手段】
【０００６】
上記目的を達成させるために、本発明は、ＩＰ（Internet Protocol）およびイーサネット(登録商標)を利用するネットワークに接続されるルータでの不正ルーティングを監視する不正ルーティング監視方法であって、前記ルータのルーティングテーブル情報およびＡＲＰ（Address Resolution Protocol）テーブル情報を採取する第１のステップと、前記ルーティングテーブル情報に登録された前記ネットワークの経路を示すＧＷ(ゲートウェイ)のＩＰアドレス情報を検出する第２のステップと、前記ＡＲＰテーブル情報に登録された、前記検出されたＧＷのＩＰアドレス情報に対応するＧＷのＭＡＣ（Media Access Control Address）アドレス情報が正当であるか否かを検出する第３のステップと、前記ＧＷのＩＰアドレス情報に対応するＧＷのＭＡＣアドレス情報が正当でないと検出された場合に、その旨を出力する第４のステップと、を備える。  
本発明によれば、例えば、ルータのルーティングテーブルを不正に書き換えて、仮想的なルーティング情報を設定し、不正にアクセスを行うようなことが起こった場合に、その仮想的なルーティング情報のＭＡＣアドレス情報は実在しないので、ＧＷのＩＰアドレス情報に対応するＭＡＣアドレス情報の正当性を検証することにより、不正接続をより簡単に検出することができる。
【発明の効果】
【０００７】
本発明によれば、ＧＷ−ＩＰアドレス情報に対応するＭＡＣアドレス情報の正当性を検証することにより、不正接続をより簡単に検出することができる。
【発明を実施するための最良の形態】
【０００８】
以下、本発明の実施の形態を、図面を参照して説明する。
図１は、本発明の第１の実施の形態におけるＩＰ（Internet Protocol）およびイーサネット(登録商標)を利用したネットワークシステムの構成図を示している。第１の実施の形態では、端末が、不正アクセスの検出を行い、管理端末に通知する場合を例にする。
図１において、ＬＡＮ（ローカルエリアネットワーク）１は、インターネットなどのネットワーク２７０を介して監視センタ２６０に接続されている。ＬＡＮ１には、パーソナルコンピュータ等の複数の端末２０１Ａ、Ｂ、Ｃと、サーバ２３０と、ＬＡＮ１を管理するための管理端末２４０と、ＬＡＮ１をネットワーク２７０に接続するためのルータ（ＧＷ）２２０Ａとが接続されている。端末２０１Ａ、Ｂ、Ｃは、それぞれクライアントコンピュータとしてサーバ２３０と通信を行うことができる。また、ルータ２２０Ａおよびネットワーク２７０を介して他のネットワークの端末と通信を行うことができる。図１において、サーバ２３０、管理端末２４０および端末２０１Ａ、Ｂ、Ｃの各々には、オペレーティングシステムシステム（ＯＳ）２７１と、各種の業務を行なうためのアプリケーションプログラムＡＰ２７２と、本実施の形態における不正アクセス監視プログラム(監視ＰＲＯ)２７３と、ネットワークに接続するためのルーティング情報などの各種設定情報を記憶する設定テーブルＴ２７４とを備えている。
不正アクセス監視プログラム２７３は、設定テーブルＴ２７４に新たにルーティング情報が設定された場合に、その正当性を判断することにより、不正アクセスを監視するためのソフトウェアである。設定テーブルＴ２７４には、自端末のアドレス情報であるＩＰアドレスとＭＡＣアドレス（Media Access Control Address）、宛先の端末のアドレス情報であるルーティング情報およびＡＲＰ情報を記憶している。ルーティング情報は、スタティックルーティングとダイナミックルーティングいずれでもよい。図２に、端末２０１Ａに記憶している設定テーブルＴ２７４を示す。図２において、設定テーブルＴ２７４は、自端末のＩＰアドレスとＭＡＣアドレスとを対応させて記憶する自端末情報３１０と、ルーティング情報を記憶するルーティングテーブル３１１と、ＡＲＰ情報を記憶するＡＲＰ（Address Resolution Protocol）テーブル３１２とを記憶している。ルーティングテーブル３１１には、宛先端末ごとに、宛先端末のＩＰアドレスと、宛先端末との間で経由するＧＷのＩＰアドレスとが対応付けられて記憶される。ARPテーブル３１２には、ＧＷ毎に、ＧＷのＩＰアドレスとＧＷのＭＡＣアドレスとが対応して記憶される。
つぎに、図３に、不正に内容が追加された場合の設定テーブルＴ２７４の例を示す。図３に示す例では、設定テーブルＴ２７４が不正に書き換えられて、宛先端末のＩＰアドレス１９２．１６８．１．１／３２と、経由するＧＷのＩＰアドレス１０．０．０．１００とを含むレコードが追加され、また、ＡＲＰテーブル３１２に、ＧＷのＩＰアドレス１０．０．０．１と、ＧＷのＭＡＣアドレスｄｄｄｄ.ｄｄｄｄ.ｄｄｄｄとを含むレコードが追加されている。本実施の形態においては、端末のルーティングテーブル３１１を不正に書き換えて、仮想的なルーティング情報を設定し、その仮想的なルーティング情報により送受信を行うようなことが起こった場合に、その仮想的なルーティング情報のＭＡＣアドレス情報は実在しないので、後述する問い合わせを行うことにより、ＭＡＣアドレス情報が存在するかを検証することで不正を検出している。
つぎに、端末２０１Ａ、Ｂ、Ｃのハードウェア構成を図４に示す。端末２０１Ａ、Ｂ、Ｃは、パーソナルコンピュータなどの電子計算機である。図４に示すように、ＣＰＵ４０１と、ＲＯＭ、ＲＡＭなどのメモリ４０３と、キーボードなどの入力装置４０２と、処理結果等を表示するディスプレイ４０４とを備える。前述したＯＳ２７１、ＡＰ２７２、監視プログラム２７３および設定テーブル２７４は、メモリ４０３に記憶される。ＣＰＵ４０１は、メモリ４０３に記憶されたＯＳ２７１、ＡＰ２７２、監視プログラム２７３を実行する。
【０００９】
図１に示す構成において、端末２１１が端末２０１Ａに不正にアクセスしたときに、端末２０１Ａにおいて不正アクセスを検出する場合を例にして第１の実施の形態を説明する。
【００１０】
端末２０１Ａには、本実施の形態における不正アクセス監視プログラム２７３があらかじめインストールされていて、この不正アクセス監視プログラム２７３は、図３に示すように設定テーブルＴ２７４に新たにルーティング情報が登録されたとき、もしくは、あらかじめ定められた時間に起動される。起動周期は定期的でも不定期でもよい。本実施の形態において、ルーティング情報の登録には、正当な端末との送受信を行うためのルーティング情報の登録と、不正な端末による仮想的なルーティング情報の登録とがある場合を想定している。その仮想的なルーティング情報により送受信を行うようなことが起こった場合に、不正な端末は、仮想的なルーティング情報が宛先として設定されたパケットを受信することはできたとしても、その仮想的なルーティング情報のＭＡＣアドレス情報は実在しないので、リバースＡＲＰ（ＲＡＲＰ）コマンドや、ＡＲＰコマンド、Ｐｉｎｇ（Packet Internet Groper）コマンドなどの問い合わせに対しては応答しないので、これらのコマンドを実行することで不正を検出している。
本実施の形態における不正アクセス監視プログラム２７３は、次の３つの条件Ａ，Ｂ，Ｃを満たす場合に、不正アクセスが行われたと判断する。
（条件Ａ）  ディフォルトルート以外のゲートウェイを経由するルーティング情報がルーティングテーブル３１１に存在する。
（条件Ｂ）  ＡＲＰテーブル３１２中に条件Ａを満たすゲートウェイのＩＰアドレスと関連付けられているＭＡＣアドレスが存在する。
（条件Ｃ）  条件Ｂを満たすＡＲＰテーブル３１２に登録されたＭＡＣアドレスが実在のものと異なる。
これらの条件Ａ，Ｂ，Ｃをフローチャートに示したものが図６〜図９である。デェフォルトルート以外のゲートウェイ（ＧＷ）を経由するルーティング情報がルーティングテーブル３１１に存在し（条件Ａ）、ＡＲＰテーブル３１２中にそのゲートウェイのＩＰアドレスと関連付けられたＭＡＣアドレスが存在し（条件Ｂ）、そのＭＡＣアドレスがあらかじめ登録された実在のＧＷのものと異なる（条件Ｃ）場合に、不正であると判断する。
以下、不正アクセス監視プログラム２７３の動作を、図６〜図９に示すフローチャート（その１〜４）を参照して説明する。図６〜図９に、第１の実施の形態における不正監視プログラムのフローチャート（その１〜４）を示す。
図６において、不正アクセス監視プログラム２７３は、新たにルーティングテーブル３１１のレコードが登録されたとき、もしくは、定期的に、登録されたルーティング情報のＧＷのＩＰアドレス（ＧＷ―ＩＰアドレス）が、図３に示す設定テーブルＴ２７４のＡＲＰテーブル３１２に登録されているかを判断する（Ｓ６０１）。ＡＲＰテーブル３１２にＧＷ―ＩＰアドレスが登録されていなければ、通信を行うことができないので不正はされていないと判断する。ＡＲＰテーブル３１２にＧＷ―ＩＰアドレスが登録されていれば、ＡＲＰテーブル３１２に登録されているＧＷ―ＩＰアドレスに対応するＧＷのＭＡＣアドレスが正当であるか否かを検証する（Ｓ６０３）。この処理については、図７〜図９を用いて後述する。図３に示す例においては、新たに追加されたルーティングテーブル３１１のＧＷ−ＩＰアドレス10.0.0.1に対応するＡＲＰテーブル３１２のＭＡＣアドレスdddd.dddd.ddddについて検証する。
検証後、ＭＡＣアドレスについて不正の疑いがあれば（Ｓ６０４）、不正アクセスの可能性があるとして、ディスプレイ４０４にその旨を表示する（Ｓ６０５）。図５に、ディスプレイ４０４に表示する表示例の説明図を示す。図５に示すように、不正を検出した場合には、「
ＩＰアドレス10.0.0.1  ＭＡＣアドレスdddd.dddd.dddd」などと、検出した結果を表示する。また、不正を検出した場合に、アラーム音などを送出したり、不正なレコードをルーティングテーブル３１１およびＡＲＰテーブル３１２からクリアしたりしてもよい。
図６において、ＭＡＣアドレスが正当であれば、ルーティングテーブル３１１の他の新たなレコードについて検証する（Ｓ６０２）。もしくは、定期的に起動している場合には、すべてのレコードについて検証後、不正アクセス監視プログラム２７３を終了する。
つぎに、図６のＳ６０３での処理を図７〜図９を参照して説明する。ＭＡＣアドレスの正当性を検証するために、端末２０１Ａにおいて、不正アクセス監視プログラム２７３は、ネットワーク２７０に対してリバースＡＲＰ（ＲＡＲＰ）コマンドを要求する（Ｓ７０１）。この場合、リバースＡＲＰの要求として、Ｓ６０１で検出したＧＷ−ＩＰのＭＡＣアドレスを入力とする。ＲＡＲＰの応答がある場合には（Ｓ７０２）、ＲＡＲＰの応答からＩＰアドレスを取得し（Ｓ７０３）、取得したＩＰアドレスと、ＡＲＰテーブル３１２のＩＰアドレスとが一致するか否かを比較し（Ｓ７０４）、一致すれば、不正なしと判断し、図８に示すＳ８００へ移行する（Ｓ７０５）。不一致の場合には、不正の疑いがある（Ｓ７０７）として図６に示すＳ６０４に移行する（Ｓ７０７）。また、ＲＡＲＰの応答が、一定時間にない場合には、不正ルーティングか、障害発生か、もしくは、無許可のルータが設置された疑いがあるとして（Ｓ７０６）、図６に示すＳ６０４へ進む（Ｓ７０７）。
つぎに、図８のＳ８０１において、不正アクセス監視プログラム２７３は、ネットワーク２７０に対して、ＩＰアドレスからＭＡＣアドレスを取得するため、ＡＲＰを要求する（Ｓ８０１）。この場合、ＡＲＰの要求に、Ｓ６０１で検出したＧＷ−ＩＰのＩＰアドレスを含める。ＡＲＰの応答がある場合には（Ｓ８０２）、ＡＲＰの応答からＭＡＣアドレスを取得し（Ｓ８０３）、取得したＭＡＣアドレスと、ＡＲＰテーブル３１２内のＡＲＰ情報のＧＷ−ＩＰアドレスに対応するＭＡＣアドレスとが一致するか否かを比較し（Ｓ８０４）、一致すれば、不正なしと判断し、図９に示すＳ９０１へ移行する（Ｓ８０５）。不一致の場合には、不正の疑いがあるとして図６に示すＳ６０４に移行する（Ｓ８０７）。また、ＡＲＰの応答が、一定時間にない場合には、不正ルーティングか、障害発生か、もしくは、無許可のルータが設置された疑いがあるとして（Ｓ８０６）、図６に示すＳ６０４へ進む（Ｓ８０７）。
つぎに、図９に示すＳ９０１おいて、不正アクセス監視プログラム２７３は、ネットワーク２７０に対してＰｉｎｇ（Packet Internet Groper）コマンドを要求する（Ｓ９０１）。この場合、図６に示すＳ６０１で検出したＧＷ−ＩＰアドレスを宛先とする。Ｐｉｎｇの応答がある場合には、ＡＲＰテーブル３１２が更新されるため、ＡＲＰテーブル３１２を再検索し、ＧＷ−ＩＰアドレスに対するＭＡＣアドレスを取得し（Ｓ９０２）、取得したＭＡＣアドレスと、Ｐｉｎｇ実行前のＭＡＣアドレスとが一致するか否かを比較し（Ｓ９０３）、一致すれば、不正なしと判断し、図６に示すＳ６０２へ移行する（Ｓ９０４）。不一致の場合には、不正の疑いがある（Ｓ９０６）として図６に示すＳ６０４に移行する。また、Ｐｉｎｇの応答が、一定時間にない場合には、不正ルーティングか、障害発生か、もしくは、無許可のルータが設置された疑いがあるとして（Ｓ９０６）、Ｓ６０４へ進む（Ｓ９０６）。
以上、説明したように、ＧＷ−ＩＰアドレスのＭＡＣアドレスの正当性を検証することにより、不正アクセスをより簡単に検出することができる。また、図７〜図９に示すフローチャートは、不正を検出しない場合に、図７、図８、図９と順番に検証しているが、どれから実行してもよく、実行する順番変えてもよい。
また、端末２０１は、不正を検出した場合に、管理端末２４０や、監視センタ２６０の監視装置２５０に不正を検出した旨を通知するようにしてもよい。この場合、管理端末２４０や、監視センタ２６０の監視装置２５０は、端末２０１から不正検出の通知を受けると、不正アクセスの可能性があるとして、ディスプレイにその旨を表示することができる。
つぎに、第２の実施の形態を説明する。第１の実施の形態では、端末において不正アクセスを検出したが、第２の実施の形態では、図１に示す監視センタ２６０の監視装置２５０において、ルータ２２０Ａに不正ルーティングが設定されたことを検出する方法ついて説明する。本実施の形態におけるルータは、前述の端末２０１と同様のルーティングテーブル３１１やＡＲＰテーブル３１２の設定テーブルＴ２７４を備え、ＳＮＭＰ（Simple Network Management Protocol）に対応している。本実施の形態においてもネットワークシステムの構成は第１の実施の形態と同様である。また、監視装置２５０の構成は、図４に示す端末の構成と同様である。監視装置２５０には、第２の実施の形態における不正アクセス監視プログラム２７３があらかじめインストールされていて、あらかじめ定められた時間に起動される。起動周期は、定期的でも不定期でもよい。本実施の形態においても、ルーティング情報の登録には、正当な端末との送受信を行うためのルーティング情報の登録と、不正な端末による仮想的なルーティング情報の登録とがある場合を想定している。その仮想的なルーティング情報により送受信を行うようなことが起こった場合に、不正な端末は、仮想的なルーティング情報が宛先として設定されたパケットを受信することはできたとしても、その仮想的なルーティング情報のＭＡＣアドレス情報は実在しないので、Ｐｉｎｇ（Packet Internet Groper）コマンドの問い合わせに対しては応答しないので、これらのコマンドを実行することで不正を検出している。
図１０に、第２の実施の形態における不正アクセス監視プログラム２７３のフローチャートを示す。
監視装置２５０において、不正アクセス監視プログラム２７３は、ＳＮＭＰでルータ２２０Ａのルーティングテーブル３１１とＡＲＰテーブル３１２を採取する（Ｓ１００１、Ｓ１００２）。ルーティング情報のゲートウェイ（ＧＷ）―ＩＰアドレスが、ＡＲＰテーブル３１２に登録されているかを判断する（Ｓ１００３）。ＡＲＰテーブル３１２にＧＷ―ＩＰアドレスが登録されていなければ、通信を行うことができないので不正はされていないと判断する。ＡＲＰテーブル３１２にＧＷ―ＩＰアドレスが登録されていれば、ルータからそのＧＷにＰｉｎｇが実行可能かどうかを判断し（Ｓ１００４）、可能であれば、ルータに対してそのＧＷにＰｉｎｇを実行するように指示する（Ｓ１００６）。可能でなければ、監視装置２５０からそのＧＷに対してＰｉｎｇを実行する（Ｓ１００５）。この場合、あらかじめ監視装置２５０に、Ｐｉｎｇが実行可能なルータの識別情報を登録しておくことにより、登録してあるルータならば、そのＧＷにＰｉｎｇが実行可能であると判断し、登録していなければ実行不可能と判断する。Ｓ１００３で検出したＧＷ−ＩＰアドレスを宛先とする。Ｐｉｎｇの応答がある場合には（Ｓ１００７）、ＡＲＰテーブル３１２が更新されるため、ＡＲＰテーブル３１２を再検索し、ＧＷ−ＩＰアドレスに対するＭＡＣアドレスを取得し（Ｓ１００９）、取得したＭＡＣアドレスと、Ｐｉｎｇ実行前のＭＡＣアドレスとが一致するか否かを比較し（Ｓ１０１０）、一致すれば、不正なしと判断し、Ｓ１０１２へ移行する。不一致の場合には、不正の疑いがある（Ｓ１０１１）として、図５に示すようにディスプレイにその旨を表示する。また、Ｐｉｎｇの応答が、一定時間にない場合には、不正ルーティングか、障害発生か、もしくは、無許可のルータが設置された疑いがあるとして（Ｓ１００８）、不正の疑いがある旨を図５に示すようにディスプレイ等に表示して通知する。
ルーティングテーブル３１１のすべてのレコードを検証後、さらに、ルータが複数ある場合には、他のルータ検証も行う（Ｓ１０１２）。
【００１１】
以上、説明したように、監視装置において、ルータの設定テーブルＴ２７４を採取してルーティング情報の正当性を検証することにより、不正ルーティングが設定されたことを検出することができる。
【図面の簡単な説明】
【００１２】
【図１】第１の実施の形態におけるシステム構成図。
【図２】第１の実施の形態における設定テーブルＴ２７４の説明図。
【図３】第１の実施の形態における設定テーブルＴ２７４の説明図。
【図４】第１の実施の形態における端末の構成図。
【図５】第１の実施の形態における不正検出時の表示例の説明図。
【図６】第１の実施の形態における不正監視プログラムのフローチャート（その１）。
【図７】第１の実施の形態における不正監視プログラムのフローチャート（その２）。
【図８】第１の実施の形態における不正監視プログラムのフローチャート（その３）。
【図９】第１の実施の形態における不正監視プログラムのフローチャート（その４）。
【図１０】第２の実施の形態における不正監視プログラムのフローチャート。
【図１１】従来技術における構成図。
【符号の説明】
【００１３】
２０１Ａ、Ｂ、Ｃ…端末、２２０Ａ・Ｂ…ルータ、２３０・２６０…サーバ、２４０…管理端末、２５０…監視装置、２６０…監視センタ、１…ＬＡＮ、２７０…ネットワーク。
【図１】
0003729830.tif 000002
【図２】
0003729830.tif 000003
【図３】
0003729830.tif 000004
【図４】
0003729830.tif 000005
【図５】
0003729830.tif 000006
【図６】
0003729830.tif 000007
【図７】
0003729830.tif 000008
【図８】
0003729830.tif 000009
【図９】
0003729830.tif 000010
【図１０】
0003729830.tif 000011
【図１１】
0003729830.tif 000012