(57)【要約】【課題】多大な導入コストを必要とせずに、中間者攻撃を防御する技術を提供すること。【解決手段】各通信装置の論理アドレスおよび物理アドレスの対応関係を表すアドレス対応情報を記憶するアドレス対応情報記憶部１１と、各通信装置が接続されるネットワーク上において、論理アドレスに対する物理アドレスの解決要求に対する応答を表すアドレス応答を検出し、検出したアドレス応答に含まれる発信側の論理アドレスおよび発信側の物理アドレスの組み合わせがアドレス対応情報記憶部１１に記憶されていない場合に、不正なアドレス応答であると判断する不正アドレス応答検出部１２と、アドレス対応情報記憶部１１を参照することにより不正なアドレス応答を修復し、不正なアドレス応答の送信先に対して、修復したアドレス応答を送信する修復アドレス応答送信部１３と、を備える。【選択図】      図２
2014150504.tif 000002
【特許請求の範囲】
【請求項１】
各通信装置の論理アドレスおよび物理アドレスの対応関係を表すアドレス対応情報を記憶するアドレス対応情報記憶部と、
前記各通信装置が接続されるネットワーク上において、前記論理アドレスに対する物理アドレスの解決要求に対する応答を表すアドレス応答を検出し、検出したアドレス応答に含まれる発信側の論理アドレスおよび発信側の物理アドレスの組み合わせが前記アドレス対応情報記憶部に記憶されていない場合に、不正なアドレス応答であると判断する不正アドレス応答検出部と、
前記アドレス対応情報記憶部を参照することにより前記不正なアドレス応答を修復し、前記不正なアドレス応答の送信先に対して、修復したアドレス応答を送信する修復アドレス応答送信部と、
を備えたネットワーク監視装置。
【請求項２】
アドレス配布サーバにより前記各通信装置に対して送信されるアドレス配布応答を検出し、検出したアドレス配布応答に含まれるアドレス配布先の物理アドレスおよび配布される論理アドレスを前記アドレス対応情報記憶部に登録するアドレス対応情報登録部をさらに備えることを特徴とする請求項１に記載のネットワーク監視装置。
【請求項３】
不正なアドレス応答の発信側として判断する対象から除外する除外論理アドレスを記憶する除外論理アドレス記憶部をさらに備え、
前記不正アドレス応答検出部は、前記アドレス応答に含まれる発信側の論理アドレスが前記除外論理アドレスである場合には、該アドレス応答を不正なアドレス応答と判断しないことを特徴とする請求項１または請求項２に記載のネットワーク監視装置。
【請求項４】
各通信装置の論理アドレスおよび物理アドレスの対応関係を表すアドレス対応情報を記憶しておき、
前記各通信装置が接続されるネットワーク上において、前記論理アドレスに対する物理アドレスの解決要求に対する応答を表すアドレス応答を検出し、
検出したアドレス応答に含まれる発信側の論理アドレスおよび発信側の物理アドレスの組み合わせを表す前記アドレス対応情報を記憶していない場合に、不正なアドレス応答であると判断し、
前記アドレス対応情報を参照することにより前記不正なアドレス応答を修復し、
前記不正なアドレス応答の送信先に対して、修復したアドレス応答を送信する、ネットワーク監視方法。
【請求項５】
さらに、アドレス配布サーバにより前記各通信装置に対して送信されるアドレス配布応答を検出し、
検出したアドレス配布応答に含まれるアドレス配布先の物理アドレスおよび配布される論理アドレスの対応関係を表す前記アドレス対応情報を記憶することを特徴とする請求項４に記載のネットワーク監視方法。
【請求項６】
不正なアドレス応答の発信側として判断する対象から除外する除外論理アドレスをさらに記憶しておき、
前記アドレス応答に含まれる発信側の論理アドレスが前記除外論理アドレスである場合には、該アドレス応答を不正なアドレス応答と判断しないことを特徴とする請求項４または請求項５に記載のネットワーク監視方法。
【請求項７】
各通信装置の論理アドレスおよび物理アドレスの対応関係を表すアドレス対応情報を記憶するアドレス対応情報記憶部を用いて、
前記各通信装置が接続されるネットワーク上において、前記論理アドレスに対する物理アドレスの解決要求に対する応答を表すアドレス応答を検出し、検出したアドレス応答に含まれる発信側の論理アドレスおよび発信側の物理アドレスの組み合わせが前記アドレス対応情報記憶部に記憶されていない場合に、不正なアドレス応答であると判断する不正アドレス応答検出ステップと、
前記アドレス対応情報記憶部を参照することにより前記不正なアドレス応答を修復し、前記不正なアドレス応答の送信先に対して、修復したアドレス応答を送信する修復アドレス応答送信ステップと、
をコンピュータ装置に実行させるコンピュータ・プログラム。
【請求項８】
アドレス配布サーバにより前記各通信装置に対して送信されるアドレス配布応答を検出し、検出したアドレス配布応答に含まれるアドレス配布先の物理アドレスおよび配布される論理アドレスを前記アドレス対応情報記憶部に登録するアドレス対応情報登録ステップを、前記コンピュータ装置にさらに実行させることを特徴とする請求項７に記載のコンピュータ・プログラム。
【請求項９】
不正なアドレス応答の発信側として判断する対象から除外する除外論理アドレスを記憶する除外論理アドレス記憶部をさらに用いて、
前記不正アドレス応答検出ステップにおいて、前記アドレス応答に含まれる発信側の論理アドレスが前記除外論理アドレスである場合には、該アドレス応答を不正なアドレス応答と判断しないことを特徴とする請求項７または請求項８に記載のコンピュータ・プログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、中間者攻撃を防御するためにネットワークを監視する技術に関する。
【背景技術】
【０００２】
ネットワークに対する不正なアクセス手段として、ＡＲＰ（Address Resolution Protocol）スプーフィングと呼ばれる中間者攻撃が知られている。ＡＲＰとは、論理アドレスからそれに対応する物理アドレスを得るために用いられるプロトコルである。また、ＡＲＰスプーフィングとは、ある論理アドレスに対する物理アドレスを要求するＡＲＰ要求に対して、攻撃者端末が、自装置の物理アドレスを不正に応答するＡＲＰ応答によりその論理アドレスを有する正規の端末になりすますことをいう。
【０００３】
例えば、あるネットワークにおいて、ルータＢから、端末Ｄの論理アドレスに対するＡＲＰ要求がブロードキャストされたとする。攻撃者端末Ｅは、ルータＢに対して、端末Ｄの論理アドレスを発信側の論理アドレスとして含み、自装置の物理アドレスを発信側の物理アドレスとして含む不正なＡＲＰ応答を送信する。このＡＲＰ応答を受信したルータＢは、ＡＲＰ応答に含まれる端末Ｄの論理アドレスおよび攻撃者端末Ｅの物理アドレスの組み合わせを、ＡＲＰテーブルに格納する。
【０００４】
また、同じネットワークにおいて、端末Ｄから、ルータＢの論理アドレスに対するＡＲＰ要求がブロードキャストされたとする。攻撃者端末Ｅは、端末Ｄに対して、ルータＢの論理アドレスを発信側の論理アドレスとして含み、自装置の物理アドレスを発信側の物理アドレスとして含む不正なＡＲＰ応答を送信する。このＡＲＰ応答を受信した端末Ｄは、ＡＲＰ応答に含まれるルータＢの論理アドレスおよび攻撃者端末Ｅの物理アドレスの組み合わせを、ＡＲＰテーブルに格納する。
【０００５】
これにより、端末ＤからルータＢに送信されるはずの情報は、攻撃者端末Ｅに送信される。攻撃者端末Ｅは、端末ＤからルータＢ宛の情報を受信すると、端末ＤになりすましてルータＢにこの情報を転送可能となる。ルータＢは、攻撃者端末Ｅから転送された情報を、端末Dからの情報だとして外部ネットワークに転送してしまう。また、これに対して外部ネットワークから返信があった場合、ルータＢから端末Ｄに返信されるはずの情報は、攻撃者端末Ｅに返信される。攻撃者端末Ｅは、ルータＢから端末Ｄ宛の情報を受信すると、ルータＢになりすまして端末Ｄにこの情報を返信可能となる。このようにして、攻撃者端末Ｅは、端末ＤおよびルータＢ間で送受信される情報を盗聴する。
【０００６】
特許文献１には、このような中間者攻撃を防御する関連技術の一例が記載されている。この関連技術は、偽装ＡＲＰ要求および偽装ＡＲＰ応答を用いて不正な装置からの通信を防御する。
【０００７】
具体的には、この関連技術では、ネットワーク監視装置は、ネットワークに接続される登録済端末のリストを保持しておく。そして、ネットワーク監視装置は、リストにない未登録端末からのＡＲＰ要求を検出すると、要求先の登録済端末に対して、発信側の物理アドレスをネットワーク監視装置の物理アドレスに偽装した偽装ＡＲＰ要求を送信する。登録済端末は、一旦は未登録端末からのＡＲＰ要求を受信するが、その後、この偽装ＡＲＰ要求を受信する。そこで、登録済端末は、自装置のＡＲＰテーブルにおいて、未登録端末の論理アドレスに対してネットワーク監視装置の物理アドレスを対応付けるよう書き換える。これにより、この関連技術は、登録済端末から未登録端末への通信を防止する。また、ネットワーク監視装置は、ＡＲＰ要求の送信元である未登録端末に対して、発信側の物理アドレスを未登録端末自身の物理アドレスに偽装した偽装ＡＲＰ応答を送信する。未登録端末は、一旦は登録済端末からのＡＲＰ応答を受信するが、その後、この偽装ＡＲＰ応答を受信する。そこで、未登録端末は、自装置のＡＲＰテーブルにおいて、登録済端末の論理アドレスに対して未登録端末自身の物理アドレスを対応付けるよう書き換える。これにより、この関連技術は、未登録端末から登録済端末への通信を防御する。
【０００８】
また、特許文献２には、このような中間者攻撃を防御する他の関連技術の一例が記載されている。この関連技術は、不正な通信装置からのＡＲＰパケットを廃棄する。
【０００９】
具体的には、この関連技術では、回線収容装置は、各端末から送信される情報をネットワークに中継する中継ユニットを有し、各端末に割り当てられた論理アドレスおよび物理アドレスの対応関係をテーブルに記憶しておく。そして、回線収容装置は、ＡＲＰ要求またはＡＲＰ応答を端末から受信した際に、ＡＲＰパケットに含まれる発信側の物理アドレスおよび発信側の論理アドレスがテーブルに登録されていない場合、そのＡＲＰパケットをフィルタリングにより廃棄する。
【００１０】
また、特許文献３には、このような中間者攻撃を防御する他の関連技術の一例が記載されている。この関連技術は、動的に論理アドレスが割り当てられるネットワークにおいて静的な論理アドレスを用いる端末を不正な端末であるとみなして、そのような端末に対する通信を遮断する。
【００１１】
具体的には、この関連技術では、パケット転送装置は、アドレス配布サーバからのアドレス配布応答に含まれる論理アドレスを、アドレス配布要求元の端末に割り当てる前に、その論理アドレスに対するＡＲＰ要求をブロードキャストする。これに対するＡＲＰ応答があれば、このパケット転送装置は、応答してきた端末を、静的にその論理アドレスを用いる不正な端末であるとみなす。そして、パケット転送装置は、その不正な端末に対して、フィルタリングにより通信を遮断する。
【先行技術文献】
【特許文献】
【００１２】
【特許文献１】特開２０１０−２２００６６号公報
【特許文献２】特開２００６−９４４１７号公報
【特許文献３】特開２００７−３６３７４号公報
【発明の概要】
【発明が解決しようとする課題】
【００１３】
しかしながら、特許文献１〜特許文献３に記載された関連技術には、以下のような課題がある。
【００１４】
特許文献１に記載された関連技術は、未登録端末からのＡＲＰ要求を検出することにより、未登録端末および登録済端末間の通信を防御することができる。しかしながら、特許文献１には、未登録端末からのＡＲＰ応答を検出することについては記載されていない。したがって、この関連技術は、不正なＡＲＰ応答に基づく中間者攻撃を防御することはできない。
【００１５】
また、特許文献２に記載された関連技術は、ネットワークに接続される全ての端末から送信される情報を集線する集線装置によって実現される。したがって、この関連技術を用いて中間者攻撃を防御するには、既存の集線装置やネットワーク構成の置換が必要となり、導入コストが大きい。
【００１６】
また、特許文献３に記載された関連技術は、端末に対するアドレス配布のタイミングでしか、不正なＡＲＰ応答を検出することができない。したがって、この関連技術は、不正なＡＲＰ応答を検出できない場合があり、中間者攻撃を確実に防御できない。
【００１７】
本発明は、上述の課題を解決するためになされたもので、多大な導入コストを必要とせずに、中間者攻撃を防御する技術を提供することを目的とする。
【課題を解決するための手段】
【００１８】
本発明のネットワーク監視装置は、各通信装置の論理アドレスおよび物理アドレスの対応関係を表すアドレス対応情報を記憶するアドレス対応情報記憶部と、前記各通信装置が接続されるネットワーク上において、前記論理アドレスに対する物理アドレスの解決要求に対する応答を表すアドレス応答を検出し、検出したアドレス応答に含まれる発信側の論理アドレスおよび発信側の物理アドレスの組み合わせが前記アドレス対応情報記憶部に記憶されていない場合に、不正なアドレス応答であると判断する不正アドレス応答検出部と、前記アドレス対応情報記憶部を参照することにより前記不正なアドレス応答を修復し、前記不正なアドレス応答の送信先に対して、修復したアドレス応答を送信する修復アドレス応答送信部と、を備える。
【００１９】
また、本発明のネットワーク監視方法は、各通信装置の論理アドレスおよび物理アドレスの対応関係を表すアドレス対応情報を記憶しておき、前記各通信装置が接続されるネットワーク上において、前記論理アドレスに対する物理アドレスの解決要求に対する応答を表すアドレス応答を検出し、検出したアドレス応答に含まれる発信側の論理アドレスおよび発信側の物理アドレスの組み合わせを表す前記アドレス対応情報を記憶していない場合に、不正なアドレス応答であると判断し、前記アドレス対応情報を参照することにより前記不正なアドレス応答を修復し、前記不正なアドレス応答の送信先に対して、修復したアドレス応答を送信する。
【００２０】
また、本発明のコンピュータ・プログラムは、各通信装置の論理アドレスおよび物理アドレスの対応関係を表すアドレス対応情報を記憶するアドレス対応情報記憶部を用いて、前記各通信装置が接続されるネットワーク上において、前記論理アドレスに対する物理アドレスの解決要求に対する応答を表すアドレス応答を検出し、検出したアドレス応答に含まれる発信側の論理アドレスおよび発信側の物理アドレスの組み合わせが前記アドレス対応情報記憶部に記憶されていない場合に、不正なアドレス応答であると判断する不正アドレス応答検出ステップと、前記アドレス対応情報記憶部を参照することにより前記不正なアドレス応答を修復し、前記不正なアドレス応答の送信先に対して、修復したアドレス応答を送信する修復アドレス応答送信ステップと、をコンピュータ装置に実行させる。
【発明の効果】
【００２１】
本発明は、多大な導入コストを必要とせずに、中間者攻撃を防御する技術を提供することができる。
【図面の簡単な説明】
【００２２】
【図１】本発明の第１の実施の形態において監視対象となるネットワークの構成図である。
【図２】本発明の第１の実施の形態としてのネットワーク監視装置の機能ブロック図である。
【図３】本発明の第１の実施の形態としてのネットワーク監視装置のハードウェア構成の一例を示す図である。
【図４】本発明の第１の実施の形態としてのネットワーク監視装置の動作を説明するフローチャートである。
【図５】本発明の第２の実施の形態において監視対象となるネットワークの構成図である。
【図６】本発明の第２の実施の形態としてのネットワーク監視装置の機能ブロック図である。
【図７】本発明の第２の実施の形態としてのネットワーク監視装置のアドレス対応情報登録動作を説明するフローチャートである。
【図８】本発明の第２の実施の形態において監視対象となるネットワークの具体例を示す構成図である。
【図９】（ａ）および（ｂ）は、本発明の第２の実施の形態においてアドレス対応情報記憶部に記憶される情報の一例を示す図である。
【図１０】本発明の第３の実施の形態において監視対象となるネットワークの構成図である。
【図１１】本発明の第３の実施の形態としてのネットワーク監視装置の機能ブロック図である。
【図１２】本発明の第３の実施の形態としてのネットワーク監視装置の動作を説明するフローチャートである。
【発明を実施するための形態】
【００２３】
以下、本発明の実施の形態について、図面を参照して詳細に説明する。
【００２４】
（第１の実施の形態）
本発明の第１の実施の形態としてのネットワーク監視装置１０により監視されるネットワーク８０の構成を図１に示す。図１において、ネットワーク監視装置１０は、ネットワーク８０上の通信を監視可能にネットワーク８０に接続される。また、ネットワーク８０には、１つ以上の通信装置９０が接続されている。なお、図１には、２つの通信装置９０を示したが、本発明において監視対象となるネットワークに接続される通信装置の数を限定するものではない。
【００２５】
まず、監視対象のネットワーク８０に接続される通信装置９０について説明する。通信装置９０は、論理アドレスにより通信先が指定された情報を、論理アドレスに対応する物理アドレスを用いて送受信する装置である。論理アドレスとは、例えば、ＩＰ（Internet Protocol）アドレスである。また、物理アドレスとは、例えば、ＭＡＣ（Media Access Control）アドレスである。
【００２６】
また、通信装置９０は、アドレス対応関係テーブルを有している。アドレス対応関係テーブルには、他の装置の論理アドレスおよび物理アドレスの対応関係が記憶される。通信装置９０は、論理アドレスに対応する物理アドレスをアドレス対応関係テーブルから取得し、取得した物理アドレスを用いて通信を行う。
【００２７】
また、通信装置９０は、論理アドレスに対応する物理アドレスがアドレス対応関係テーブルに記憶されていない場合、論理アドレスに対する物理アドレスの解決を要求するアドレス要求をブロードキャストする。ここで、アドレス要求には、要求元の論理アドレスと、要求元の物理アドレスと、解決要求対象の論理アドレスとが含まれる。解決要求対象の論理アドレスを有する通信装置９０は、アドレス要求に対応するアドレス応答を、要求元の通信装置９０に対して送信する。このアドレス応答には、発信側の論理アドレスと、発信側の物理アドレスとが含まれる。つまり、アドレス応答に含まれる発信側の論理アドレスは、解決要求対象の論理アドレスを表す。また、アドレス応答に含まれる発信側の物理アドレスは、解決要求対象の物理アドレスを表す。このようなアドレス要求およびアドレス応答は、例えば、ＡＲＰ（Address Resolution Protocol）に基づく情報であってもよい。
【００２８】
また、通信装置９０は、アドレス要求の送信に応じて受信されたアドレス応答に基づき、アドレス対応関係テーブルを更新する。具体的には、通信装置９０は、受信したアドレス応答に含まれる発信側の論理アドレスと、発信側の物理アドレスとを対応付けてアドレス対応関係テーブルに登録する。もし、アドレス対応関係テーブルに、該当する論理アドレスが既に登録されている場合、通信装置９０は、該当する論理アドレスに対応する物理アドレスを、新たに受信したアドレス応答に含まれる発信側の物理アドレスに更新する。
【００２９】
次に、ネットワーク監視装置１０の機能ブロックを図２に示す。図２において、ネットワーク監視装置１０は、アドレス対応情報記憶部１１と、不正アドレス応答検出部１２と、修復アドレス応答送信部１３とを備える。
【００３０】
ここで、ネットワーク監視装置１０は、図３に示すようなハードウェア要素を含む装置によって構成可能である。図３において、ネットワーク監視装置１０は、ＣＰＵ（Central Processing Unit）１００１と、ＲＡＭ（Random Access Memory）１００２と、ＲＯＭ（Read Only Memory）１００３と、ハードディスク等の記憶装置１００４と、ネットワークインタフェース１００５とを備えたコンピュータ装置によって構成される。また、この場合、アドレス対応情報記憶部１１は、記憶装置１００４によって構成される。また、不正アドレス応答検出部１２および修復アドレス応答送信部１３は、ネットワークインタフェース１００５と、ＲＯＭ１００３および記憶装置１００４に記憶されたコンピュータ・プログラムおよび各種データをＲＡＭ１００２に読み込んで実行するＣＰＵ１００１とによって構成される。なお、ネットワーク監視装置１０およびその各機能ブロックを構成するハードウェア構成は、上述の構成に限定されない。
【００３１】
アドレス対応情報記憶部１１は、各通信装置９０の論理アドレスおよび物理アドレスの対応関係を表すアドレス対応情報を記憶する。
【００３２】
不正アドレス応答検出部１２は、ネットワーク８０における不正なアドレス応答を検出する。具体的には、不正アドレス応答検出部１２は、ネットワーク８０上の情報を監視することにより、いずれかの通信装置９０に対するアドレス応答を検出する。そして、不正アドレス応答検出部１２は、検出したアドレス応答に含まれる発信側の論理アドレスおよび発信側の物理アドレスの組み合わせが、アドレス対応情報記憶部１１に記憶されているか否かを判断する。そして、不正アドレス応答検出部１２は、その組み合わせがアドレス対応情報記憶部１１に記憶されていない場合に、不正なアドレス応答であると判断する。例えば、ＡＲＰに基づくアドレス応答の場合、不正アドレス応答検出部１２は、発信側の論理アドレスとしてRFC826で規定されるar$spaフィールドと、発信側の物理アドレスとしてRFC826で規定されるar$shaフィールドとの組み合わせについて判断処理を行えばよい。
【００３３】
修復アドレス応答送信部１３は、アドレス対応情報記憶部１１を参照することにより、不正なアドレス応答を修復する。そして、修復アドレス応答送信部１３は、不正なアドレス応答の送信先に対して、修復したアドレス応答を送信する。
【００３４】
例えば、修復アドレス応答送信部１３は、アドレス対応情報記憶部１１を参照することにより、不正なアドレス応答に含まれていた発信側の論理アドレスに対応する物理アドレスを特定する。そして、修復アドレス応答送信部１３は、特定した物理アドレスを発信側の物理アドレスとして含み、不正なアドレス応答に含まれていた発信側の論理アドレスを含むアドレス応答を生成する。例えば、ＡＲＰに基づくアドレス応答の場合、修復アドレス応答送信部１３は、不正なアドレス応答のar$spaフィールドの値をそのままar$spaフィールドに設定し、アドレス対応情報記憶部１１から取得した物理アドレスをar$shaフィールドに設定したアドレス応答を生成すればよい。そして、修復アドレス応答送信部１３は、生成したアドレス応答を、不正なアドレス応答の送信先として指定されていた通信装置９０に対して送信する。
【００３５】
以上のように構成されたネットワーク監視装置１０の動作について、図４を参照して説明する。
【００３６】
まず、不正アドレス応答検出部１２は、ネットワーク８０上の通信におけるアドレス応答を検出する（ステップＳ１）。
【００３７】
ここで、ステップＳ１で検出されたアドレス応答の送信先である通信装置９０は、このアドレス応答を受信する。これにより、この通信装置９０は、自装置のアドレス対応関係テーブルに、このアドレス応答に含まれる発信側の論理アドレスおよび発信側の物理アドレスを対応付けて登録することになる。
【００３８】
次に、ネットワーク監視装置１０において、不正アドレス応答検出部１２は、ステップＳ１で検出したアドレス応答に含まれる発信側の論理アドレスおよび発信側の物理アドレスの組み合わせが、アドレス対応情報記憶部１１に記憶されているか否かを判断する（ステップＳ２）。
【００３９】
ここで、該当する組み合わせがアドレス対応情報記憶部１１に記憶されていると判断された場合、ネットワーク監視装置１０の動作は終了する。
【００４０】
一方、該当する組み合わせがアドレス対応情報記憶部１１に記憶されていないと判断された場合、不正アドレス応答検出部１２は、ステップＳ１で検出されたアドレス応答を不正なものとみなす。そこで、修復アドレス応答送信部１３は、アドレス対応情報記憶部１１を参照することにより、不正なアドレス応答を修復する（ステップＳ３）。
【００４１】
例えば、修復アドレス応答送信部１３は、不正なアドレス応答に含まれる発信側の論理アドレスに対応する物理アドレスを、アドレス対応情報記憶部１１から取得する。そして、修復アドレス応答送信部１３は、不正なアドレス応答に含まれていた発信側の論理アドレスを含み、アドレス対応情報記憶部１１から取得した物理アドレスを発信側の物理アドレスとして含むアドレス応答を生成すればよい。
【００４２】
次に、修復アドレス応答送信部１３は、ステップＳ１で検出したアドレス応答の送信先の通信装置９０に対して、ステップＳ３で修復したアドレス応答を送信する（ステップＳ４）。
【００４３】
これにより、この通信装置９０は、修復されたアドレス応答に基づいて、アドレス対応関係テーブルを更新する。その結果、この通信装置９０において該当する論理アドレスに対して一旦登録された不正な物理アドレスは、修復されたアドレス応答に含まれる物理アドレスに書き換えられる。
【００４４】
以上で、ネットワーク監視装置１０は動作を終了する。
【００４５】
次に、本発明の第１の実施の形態の効果について述べる。
【００４６】
本発明の第１の実施の形態としてのネットワーク監視装置は、多大な導入コストを必要とせずに、中間者攻撃を防御することができる。
【００４７】
その理由は、アドレス対応情報記憶部が、各端末の論理アドレスおよび物理アドレスの対応関係を表すアドレス対応情報を記憶し、不正アドレス応答検出部が、発信側の論理アドレスおよび発信側の物理アドレスの組み合わせがアドレス対応情報記憶部に記憶されていないアドレス応答を不正なものとして検出し、修復アドレス応答送信部が、アドレス対応情報記憶部に基づいて不正なアドレス応答を修復し、不正なアドレス応答を受信した通信装置に対して修復したアドレス応答を送信するからである。
【００４８】
これにより、不正なアドレス応答を受信した通信装置は、一旦は、不正な物理アドレスを自装置のアドレス対応関係テーブルに登録するが、その後、修復したアドレス応答の受信により不正な物理アドレスを正しい物理アドレスに書き換える。その結果、本実施の形態は、不正な端末により不正に書き換えられた通信装置のアドレス対応関係テーブルを修復し、中間者攻撃を無効化することができる。
【００４９】
このように、本実施の形態は、監視対象のネットワークに対して、ネットワーク上の通信を監視できるよう本実施の形態のネットワーク監視装置を追加するだけで、中間者攻撃を防御することができ、既存の集線装置の置換やネットワーク構成の変更といった導入コストを必要としない。
【００５０】
（第２の実施の形態）
次に、本発明の第２の実施の形態について図面を参照して詳細に説明する。なお、本実施の形態の説明において参照する各図面において、本発明の第１の実施の形態と同一の構成および同様に動作するステップには同一の符号を付して本実施の形態における詳細な説明を省略する。
【００５１】
まず、本発明の第２の実施の形態としてのネットワーク監視装置２０により監視されるネットワーク８１の構成を図５に示す。図５において、ネットワーク監視装置２０は、ネットワーク８１上の通信を監視可能にネットワーク８１に接続される。ネットワーク８１には、１つ以上の通信装置９０と、アドレス配布サーバ９１とが接続される。なお、図５には、２つの通信装置９０を示したが、本発明において監視対象となるネットワークに接続される通信装置の数を限定するものではない。
【００５２】
アドレス配布サーバ９１は、各通信装置９０からのアドレス配布要求に応じて、アドレス配布応答を送信する。例えば、アドレス配布サーバ９１は、ＤＨＣＰ（Dynamic Host Configuration Protocol）に基づくアドレス配布を行う装置であってもよい。アドレス配布応答は、配布される論理アドレスと、アドレス配布先の通信装置９０の物理アドレスとを含み、アドレス配布先の通信装置９０に対して送信される。
【００５３】
次に、ネットワーク監視装置２０の機能ブロック構成を図６に示す。図６において、ネットワーク監視装置２０は、本発明の第１の実施の形態としてのネットワーク監視装置１０と同一の構成に加えて、さらに、アドレス対応情報登録部２４を備える。例えば、アドレス対応情報登録部２４は、ネットワークインタフェース１００５と、ＲＯＭ１００３および記憶装置１００４に記憶されたコンピュータ・プログラムおよび各種データをＲＡＭ１００２に読み込んで実行するＣＰＵ１００１とによって構成可能である。
【００５４】
アドレス対応情報登録部２４は、アドレス配布サーバ９１により各通信装置９０に対して送信されるアドレス配布応答を検出する。そして、アドレス対応情報登録部２４は、検出したアドレス配布応答に基づいて、アドレス対応情報をアドレス対応情報記憶部１１に登録する。具体的には、アドレス対応情報登録部２４は、検出したアドレス配布応答から、アドレス配布先の物理アドレスおよび配布される論理アドレスを抽出し、その対応関係を表すアドレス対応情報を登録すればよい。もし、抽出した物理アドレスに関するアドレス対応情報が既に登録されている場合、アドレス対応情報登録部２４は、その物理アドレスに対する論理アドレスを、新たにアドレス配布応答から抽出した論理アドレスに書き換える。
【００５５】
以上のように構成されたネットワーク監視装置２０の動作について、図面を参照して説明する。まず、ネットワーク監視装置２０のアドレス対応情報登録動作を図７に示す。
【００５６】
図７において、まず、アドレス対応情報登録部２４は、ネットワーク８１上の通信におけるアドレス配布応答を検出する（ステップＳ１１）。
【００５７】
次に、アドレス対応情報登録部２４は、ステップＳ１１で検出したアドレス配布応答から、アドレス配布先の物理アドレスおよび配布される論理アドレスを抽出し、アドレス対応情報としてアドレス対応情報記憶部１１に登録する（ステップＳ１２）。
【００５８】
以上で、ネットワーク監視装置２０は、アドレス対応情報登録動作を終了する。
【００５９】
また、ネットワーク監視装置２０は、このようにして動的に更新したアドレス対応情報記憶部１１を用いて、本発明の第１の実施の形態としてのネットワーク監視装置１０と同様に、図４に示したステップＳ１〜Ｓ４まで動作する。これにより、ネットワーク監視装置２０は、動的に変化する論理アドレスおよび物理アドレスの対応関係に基づいて、不正アドレス応答の検出および修復動作を行う。
【００６０】
次に、ネットワーク監視装置２０の動作を具体例で示す。
【００６１】
この具体例における監視対象のネットワーク８１の構成を図８に示す。図８において、ネットワーク８１には、ネットワーク監視装置２０、通信装置９０、ＤＨＣＰサーバ９１、ルータ９２、および、不正端末９３が接続される。
【００６２】
ＤＨＣＰサーバ９１およびルータ９２は、通信装置９０と同様に、アドレス管理テーブルを用いて通信を行う。
【００６３】
また、ルータ９２は、複数のポートを有する。複数のポートのうちの１つは、他の通常のポートで送受信される情報が出力されるミラーポートとして設定されている。通常の各ポートには、通信装置９０、ＤＨＣＰサーバ９１、不正端末９３がそれぞれ接続される。ミラーポートには、ネットワーク監視装置２０が接続される。これにより、ネットワーク監視装置２０は、ネットワーク８１上の通信を監視可能にネットワーク８１に接続される。
【００６４】
また、ＤＨＣＰサーバ９１は、物理アドレス「ＭＡＣ−Ｃ」を有し、論理アドレス「ＩＰ−Ｃ」を自装置に設定している。また、ルータ９２は、物理アドレス「ＭＡＣ−Ｂ」を有し、論理アドレス「ＩＰ−Ｂ」を自装置に設定している。また、通信装置９０は、物理アドレスとして「ＭＡＣ−Ｄ」を有する。また、不正端末９３は、物理アドレスとして「ＭＡＣ−Ｅ」を有する。
【００６５】
ネットワーク監視装置２０のアドレス対応情報記憶部１１は、図９（ａ）に示すように、ＤＨＣＰサーバ９１およびルータ９２の論理アドレスおよび物理アドレスの対応関係をアドレス対応情報として記憶している。
【００６６】
このとき、通信装置９０が、論理アドレスの配布要求メッセージを送信したとする。
【００６７】
これに応じて、ＤＨＣＰサーバ９１は、通信装置９０に対して論理アドレス「ＩＰ−Ｄ」を割り当て、物理アドレス「ＭＡＣ−Ｄ」および論理アドレス「ＩＰ−Ｄ」を含むアドレス配布応答を、通信装置９０に対して送信する。これにより、通信装置９０は、自装置の論理アドレスとして「ＩＰ−Ｄ」を設定する。
【００６８】
次に、ネットワーク監視装置２０のアドレス対応情報登録部２４は、このアドレス配布応答を検出する（ステップＳ１１）。
【００６９】
次に、アドレス対応情報登録部２４は、検出したアドレス配布応答から、物理アドレス「ＭＡＣ−Ｄ」および論理アドレス「ＩＰ−Ｄ」を抽出し、アドレス対応情報としてアドレス対応情報記憶部１１に登録する（ステップＳ１２）。
【００７０】
以上の動作により、アドレス対応情報記憶部１１は、図９（ｂ）に示すようなアドレス対応情報を記憶していることになる。
【００７１】
この状態で、通信装置９０が、ルータ９２の論理アドレス「ＩＰ−Ｂ」に対する物理アドレスを要求するアドレス要求をブロードキャストし、不正端末９３が、これに対する不正なアドレス応答を送信したことを想定する。このアドレス応答には、発信側の論理アドレスとしてルータ９２の論理アドレスである「ＩＰ−Ｂ」と、不正な発信側の物理アドレスとして「ＭＡＣ−Ｅ」とが含まれている。これにより、通信装置９０は、自装置のアドレス対応関係テーブルに、ルータ９２の論理アドレス「ＩＰ−Ｂ」に、不正端末９３の物理アドレス「ＭＡＣ−Ｅ」を対応付けて登録することになる。
【００７２】
ここで、ネットワーク監視装置２０の不正アドレス応答検出部１２が、このアドレス応答を検出する（ステップＳ１）。
【００７３】
次に、不正アドレス応答検出部１２は、この論理アドレス「ＩＰ−Ｂ」および物理アドレス「ＭＡＣ−Ｅ」の組み合わせが図９（ｂ）に示したアドレス対応情報記憶部１１に記憶されていないので、このアドレス応答は不正であると判断する（ステップＳ２でＮｏ）
次に、修復アドレス応答送信部１３は、アドレス応答の修復を行う（ステップＳ３）。具体的には、修復アドレス応答送信部１３は、図９（ｂ）に示したアドレス対応情報記憶部１１を参照し、不正なアドレス応答に含まれる発信側の論理アドレス「ＩＰ−Ｂ」に対応する物理アドレス「ＭＡＣ−Ｂ」を取得する。そして、修復アドレス応答送信部１３は、発信側の論理アドレスとして「ＩＰ−Ｂ」を含み、アドレス対応情報記憶部１１から取得した物理アドレス「ＭＡＣ−Ｂ」を発信側の物理アドレスとして含むアドレス応答を生成すればよい。
【００７４】
次に、修復アドレス応答送信部１３は、不正なアドレス応答の送信先であった通信装置９０に対して、ステップＳ３で修復したアドレス応答を送信する（ステップＳ４）。
【００７５】
これにより、通信装置９０は、修復されたアドレス応答に基づいて、アドレス対応関係テーブルを更新する。その結果、通信装置９０は、ルータ９２の論理アドレス「ＩＰ−Ｂ」に対して一旦登録した不正端末９３の物理アドレス「ＭＡＣ−Ｅ」を、ルータ９２の物理アドレス「ＭＡＣ−Ｂ」に書き換えることができる。
【００７６】
このように、ネットワーク監視装置２０は、通信装置９０に対してルータ９２になりすまそうとした不正端末９３の中間者攻撃を無効化する。
【００７７】
また、さらに、ルータ９２が、通信装置９０の論理アドレス「ＩＰ−Ｄ」に対する物理アドレスを要求するアドレス要求をブロードキャストし、不正端末９３が、これに対する不正なアドレス応答を送信したことを想定する。このアドレス応答には、発信側の論理アドレスとして通信装置９０の論理アドレスである「ＩＰ−Ｄ」と、不正な発信側の物理アドレスとして「ＭＡＣ−Ｅ」とが含まれている。これにより、ルータ９２は、自装置のアドレス対応関係テーブルに、通信装置９０の論理アドレス「ＩＰ−Ｄ」に、不正端末９３の物理アドレス「ＭＡＣ−Ｅ」を対応付けて登録することになる。
【００７８】
ここで、ネットワーク監視装置２０の不正アドレス応答検出部１２が、このアドレス応答を検出する（ステップＳ１）。
【００７９】
次に、不正アドレス応答検出部１２は、この論理アドレス「ＩＰ−Ｄ」および物理アドレス「ＭＡＣ−Ｅ」の組み合わせが図９（ｂ）に示したアドレス対応情報記憶部１１に記憶されていないので、このアドレス応答は不正であると判断する（ステップＳ２でＮｏ）
次に、修復アドレス応答送信部１３は、アドレス応答の修復を行う（ステップＳ３）。具体的には、修復アドレス応答送信部１３は、図９（ｂ）に示したアドレス対応情報記憶部１１を参照し、不正なアドレス応答に含まれる発信側の論理アドレス「ＩＰ−Ｄ」に対応する物理アドレス「ＭＡＣ−Ｄ」を取得する。そして、修復アドレス応答送信部１３は、発信側の論理アドレスとして「ＩＰ−Ｄ」を含み、アドレス対応情報記憶部１１から取得した物理アドレス「ＭＡＣ−Ｄ」を発信側の物理アドレスとして含むアドレス応答を生成すればよい。
【００８０】
次に、修復アドレス応答送信部１３は、不正なアドレス応答の送信先であったルータ９２に対して、ステップＳ３で修復したアドレス応答を送信する（ステップＳ４）。
【００８１】
これにより、ルータ９２は、修復されたアドレス応答に基づいて、アドレス対応関係テーブルを更新する。その結果、ルータ９２は、通信装置９０の論理アドレス「ＩＰ−Ｄ」に対して一旦登録した不正端末９３の物理アドレス「ＭＡＣ−Ｅ」を、通信装置９０の物理アドレス「ＭＡＣ−Ｄ」に書き換えることができる。
【００８２】
このように、ネットワーク監視装置２０は、ルータ９２に対して通信装置９０になりすまそうとした不正端末９３の中間者攻撃を無効化する。
【００８３】
以上で、具体例の説明を終了する。
【００８４】
次に、本発明の第２の実施の形態の効果について述べる。
【００８５】
本発明の第２の実施の形態としてのネットワーク監視装置は、動的に変化する論理アドレスおよび物理アドレスの対応関係に基づいて、多大な管理コストを必要とせずに、中間者攻撃を防御することができる。
【００８６】
その理由は、アドレス対応情報管理部が、アドレス配布サーバからのアドレス配布応答を検出することによりアドレス対応情報記憶部を動的に更新し、不正アドレス応答検出部が、動的に更新されるアドレス対応情報記憶部に基づいて不正アドレス応答を検出し、修復アドレス応答送信部が、動的に更新されるアドレス対応情報記憶部に基づいて不正なアドレス応答を修復するからである。
【００８７】
このように、本実施の形態は、監視対象のネットワークに接続される正常な通信装置が動的に変化する場合であっても、アドレス配布サーバからのアドレス配布応答を検出することにより、不正なアドレス応答の検出および修復に用いるアドレス対応情報記憶部を動的に更新するので、管理コストを低減する。
【００８８】
（第３の実施の形態）
次に、本発明の第３の実施の形態について図面を参照して詳細に説明する。なお、本実施の形態の説明において参照する各図面において、本発明の第１および第２の実施の形態と同一の構成および同様に動作するステップには同一の符号を付して本実施の形態における詳細な説明を省略する。
【００８９】
まず、本発明の第３の実施の形態としてのネットワーク監視装置３０により監視されるネットワーク８２の構成を図１０に示す。図１０において、ネットワーク監視装置３０は、ネットワーク８２上の通信を監視可能にネットワーク８２に接続される。ネットワーク８２には、１つ以上の通信装置９０と、アドレス配布サーバ９１と、不正接続防止装置９４とが接続される。なお、図１０には、２つの通信装置９０および１つの不正接続防止装置９４を示したが、本発明において監視対象となるネットワークに接続される通信装置および不正接続防止装置の数を限定するものではない。
【００９０】
不正接続防止装置９４は、未登録端末に対して、偽装したアドレス応答を送信することにより、未登録端末によるネットワーク８２に対する接続を防止する装置である。例えば、不正接続防止装置９４は、特許文献１に記載された関連技術を採用する装置であってもよい。この場合、不正接続防止装置９４は、アドレス対応情報記憶部１１に記憶されていない通信装置（未登録端末）からのアドレス要求を検出する。そして、不正接続防止装置９４は、検出したアドレス要求の送信元である未登録端末に対して、発信側の物理アドレスを未登録端末自身の物理アドレスに偽装したアドレス応答を送信する。その結果、未登録端末は、自装置のアドレス対応関係テーブルにおいて、登録済の通信装置９０の論理アドレスに対して、自装置自身の物理アドレスを対応付けるよう書き換えることになる。したがって、未登録端末は、登録済の通信装置９０に対して通信を行うことができない。この他、不正接続防止装置９４は、偽装したアドレス応答を用いて、未登録端末からのネットワーク８２への接続を防止する装置であれば、その他の関連技術により実現されるものであってもよい。
【００９１】
次に、ネットワーク監視装置３０の機能ブロック構成を図１１に示す。図１１において、ネットワーク監視装置３０は、本発明の第２の実施の形態としてのネットワーク監視装置２０に対して、不正アドレス応答検出部１２に替えて不正アドレス応答検出部３２を備え、さらに、除外論理アドレス記憶部３５を備える点が異なる。例えば、除外論理アドレス記憶部３５は、記憶装置１００４によって構成可能である。
【００９２】
除外論理アドレス記憶部３５は、不正なアドレス応答の発信側として判断する対象から除外する除外論理アドレスを記憶する。例えば、除外論理アドレス記憶部３５は、不正接続防止装置９４の論理アドレスを除外論理アドレスとして記憶する。
【００９３】
不正アドレス応答検出部３２は、アドレス応答に含まれる発信側の論理アドレスが除外論理アドレスである場合には、該アドレス応答を不正なアドレス応答として判断しない。
【００９４】
以上のように構成されたネットワーク監視装置３０の動作を、図１２を参照して説明する。
【００９５】
まず、不正アドレス応答検出部３２は、本発明の第１の実施の形態と同様にステップＳ１を実行することにより、ネットワーク８２上の通信におけるアドレス応答を検出する。
【００９６】
次に、不正アドレス応答検出部３２は、アドレス応答に含まれる発信側の論理アドレスが、除外論理アドレスであるか否かを判断する（ステップＳ２２）。
【００９７】
ここで、除外論理アドレスであると判断された場合、ネットワーク監視装置３０の動作は終了する。
【００９８】
一方、除外論理アドレスでないと判断された場合、ネットワーク監視装置３０は、ステップＳ２〜Ｓ４まで、本発明の第１の実施の形態と同様に動作することにより、不正なアドレス応答の検出および修復を行う。
【００９９】
以上で、ネットワーク監視装置３０は動作を終了する。
【０１００】
次に、本発明の第３の実施の形態の効果について述べる。
【０１０１】
本発明の第３の実施の形態としてのネットワーク監視装置は、多大な導入コストを必要としない中間者攻撃の防御技術を、偽装アドレス応答を用いた不正接続防止技術と共存させることができる。
【０１０２】
その理由は、除外論理アドレス記憶部が除外論理アドレスを記憶しておき、不正アドレス応答検出部が、検出したアドレス応答に含まれる発信側の論理アドレスが除外論理アドレスである場合には、検出したアドレス応答は不正なものではないと判断するからである。
【０１０３】
これにより、本発明の第３の実施の形態は、除外論理アドレス記憶部にあらかじめ不正接続防止装置の論理アドレスを記憶しておくことにより、不正接続防止装置により送信される偽装アドレス応答を不正なアドレス応答として判断しない。その結果、本実施の形態は、不正接続防止装置により接続が防止された未登録端末には、修復したアドレス応答を送信することがない。
【０１０４】
なお、本発明の第３の実施の形態において、除外論理アドレス記憶部は、不正接続防止装置の論理アドレスに限らず、不正なアドレス応答の送信元としての判断対象から除外することが適切なその他の装置の論理アドレスを記憶してもよい。また、除外論理アドレス記憶部は、１つ以上の論理アドレスを記憶していてもよい。
【０１０５】
また、上述した本発明の各実施の形態において、アドレス要求およびアドレス応答がＡＲＰに基づくものである例を中心に説明したが、アドレス要求およびアドレス応答は、その他のプロトコルに基づくものであってもよい。
【０１０６】
また、上述した本発明の各実施の形態において、監視対象のネットワークに対して１つのネットワーク監視装置を接続する例を中心に説明したが、ネットワーク構成に応じて、ネットワーク上の通信を監視可能に複数のネットワーク監視装置を接続してもよい。
【０１０７】
また、上述した本発明の第２の実施の形態において、ネットワーク監視装置が、ルータのミラーポートに接続されることによりネットワーク上の通信を監視する接続例を説明した。その他、各実施の形態としてのネットワーク監視装置は、ネットワーク上の通信を監視可能であれば、その他の接続形態によりネットワークに接続されていてもよい。
【０１０８】
また、上述した本発明の各実施の形態において、ネットワーク監視装置は、ルータ、アドレス配布サーバ、または、不正接続防止装置と同一の装置上に実現されていてもよい。あるいは、ネットワーク監視装置の各機能ブロックは、異なる装置に分散されて実現されていてもよい。
【０１０９】
また、上述した本発明の各実施の形態において、各フローチャートを参照して説明したネットワーク監視装置の動作を、本発明のコンピュータ・プログラムとしてコンピュータ装置の記憶装置（記憶媒体）に格納しておき、係るコンピュータ・プログラムを当該ＣＰＵが読み出して実行するようにしてもよい。そして、このような場合において、本発明は、係るコンピュータ・プログラムのコードあるいは記憶媒体によって構成される。
【０１１０】
また、上述した各実施の形態は、適宜組み合わせて実施されることが可能である。
【０１１１】
また、本発明は、上述した各実施の形態に限定されず、様々な態様で実施されることが可能である。
【符号の説明】
【０１１２】
１０、２０、３０    ネットワーク監視装置
１１    アドレス対応情報記憶部
１２、３２    不正アドレス応答検出部
１３    修復アドレス応答送信部
２４    アドレス対応情報登録部
３５    除外論理アドレス記憶部
８０、８１、８２    ネットワーク
９０    通信装置
９１    アドレス配布サーバ
９２    ルータ
９３    不正端末
９４    不正接続防止装置
１００１    ＣＰＵ
１００２    ＲＡＭ
１００３    ＲＯＭ
１００４    記憶装置
１００５    ネットワークインタフェース
【図１】
2014150504.tif 000003
【図２】
2014150504.tif 000004
【図３】
2014150504.tif 000005
【図４】
2014150504.tif 000006
【図５】
2014150504.tif 000007
【図６】
2014150504.tif 000008
【図７】
2014150504.tif 000009
【図８】
2014150504.tif 000010
【図９】
2014150504.tif 000011
【図１０】
2014150504.tif 000012
【図１１】
2014150504.tif 000013
【図１２】
2014150504.tif 000014