(57)【要約】【課題】不正端末からの通信を妨害しかつ監視サーバの常設を不要にする。【解決手段】サーバ１は、正規端末のＭＡＣアドレスとＩＰアドレスの欄からなる正規端末リストＬ１を記憶し、サブネットＳＮ１に接続された正規端末２１に対し、端末リストＬ１を送信する。正規端末２１のクライアントエージェントは、ネットワーク監視エージェントを起動し、このネットワーク監視エージェントは、アドレス解決プロトコルの要求の際に送信された、不正端末３１のＭＡＣアドレスが、正規端末リストＬ１内にあるか否かを判定し、Ｎｏと判定されると、不正端末３１に対し、偽のＭＡＣアドレスを含むアドレス解決プロトコルの応答を行う。【選択図】図１
2006157293.tif 000002
【特許請求の範囲】
【請求項１】
ネットワークに接続された正規端末の１つで動作するネットワーク監視エージェントが、正規端末へ送信された端末リストに基づいて、ネットワークに接続された不正端末からの通信を妨害するときに使用されるサーバであって、
予め端末リストを記憶し、ネットワークに接続されている正規端末を認識し、この正規端末に対し、前記端末リストを送信することを特徴とするサーバ。
【請求項２】
ネットワーク監視エージェントを起動できる旨が複数の正規端末から通知されるときに、これらの正規端末を候補とし、候補の中から選択した正規端末に対し、前記端末リストを送信することを特徴とする請求項１記載のサーバ。
【請求項３】
複数のネットワークのそれぞれに対応する端末リストを記憶し、端末リストを、対応するネットワークに接続されている正規端末に送信することを特徴とする請求項１または２記載のサーバ。
【請求項４】
前記記憶した端末リストを更新し、更新された端末リストを、ネットワーク監視エージェントが動作している正規端末に送信することを特徴とする請求項１ないし３のいずれかに記載のサーバ。
【請求項５】
ネットワーク監視エージェントから、ネットワークに新たに接続された正規端末を通知されたときに、この正規端末からの通信が妨害されないように端末リストを更新し、更新された端末リストを、ネットワーク監視エージェントに送信することを特徴とする請求項１ないし４のいずれかに記載のサーバ。
【請求項６】
複数のネットワークのそれぞれに対応する端末リストを記憶し、端末リストを、対応するネットワークに接続されている正規端末に送信し、
いずれかのネットワークに新たに接続された通信端末のアドレスを、当該ネットワークで動作しているネットワーク監視エージェントから取得し、このネットワーク監視エージェントが動作している正規端末のアドレスを備える端末リストではない端末リストを選択し、この端末リストに前記送信されたアドレスがあるか否かを判定し、肯定的な判定結果が得られたときに、このアドレスを端末リスト間で移動することにより端末リストの更新を行い、
更新された各端末リストを、この端末リストに対応するネットワークにおいてネットワーク監視エージェントが動作している正規端末に送信する
ことを特徴とする請求項１記載のサーバ。
【請求項７】
ネットワーク監視エージェントが動作している正規端末を継続的に認識し、認識不能のときは、ネットワークに接続されている他の正規端末を認識し、この正規端末に対し、端末リストを送信することを特徴とする請求項１ないし６のいずれかに記載のサーバ。
【請求項８】
ネットワーク監視エージェントが動作している正規端末の認識は、
当該ネットワーク監視エージェントにポーリングしたときの応答があることによりなされることを特徴とする請求項７記載のサーバ。
【請求項９】
ネットワーク監視エージェントが動作している正規端末の認識は、
ネットワーク監視エージェントが動作していることをネットワーク監視エージェントがサーバに通知することによりなされることを特徴とする請求項７記載のサーバ。
【請求項１０】
端末リストは、正規端末の欄からなる正規端末リストであることを特徴とする請求項１ないし９のいずれかに記載のサーバ。
【請求項１１】
正規端末リストにおいて、ネットワーク監視エージェントが動作している正規端末の欄に、その旨のマークを対応づけることにより、その旨を記憶することを特徴とする請求項１０記載のサーバ。
【請求項１２】
端末リストは、不正端末の欄からなることを特徴とする請求項１ないし９のいずれかに記載のサーバ。
【請求項１３】
端末リストの欄に端末のＭＡＣアドレス、またはＭＡＣアドレスとＩＰアドレス、またはＭＡＣアドレス、ＩＰアドレスおよびホスト名が格納されることを特徴とする請求項１ないし１２のいずれかに記載のサーバ。
【請求項１４】
不正端末からの通信の妨害は、
通信先のＩＰアドレスに対応するＭＡＣアドレスを求めるアドレス解決プロトコルの要求が、送信元の通信端末のＭＡＣアドレスとともに送信されたときに、このＭＡＣアドレスが正規端末のものか否かを、端末リストを基に判定し、正規端末のものでないと判定した場合は、送信元の通信端末を不正端末とし、この不正端末に対し偽のＭＡＣアドレスを含むアドレス解決プロトコルの応答を行うことである
請求項１ないし１３のいずれかに記載のサーバ。
【請求項１５】
前記偽のＭＡＣアドレスを含むアドレス解決プロトコルの応答は、正規のＭＡＣアドレスを含むアドレス解決プロトコルの応答よりも遅く行われることを特徴とする請求項１４記載のサーバ。
【請求項１６】
ネットワークに接続されている複数の正規端末の状態が通知されるときに、ネットワーク監視エージェントの動作に最も適した状態の正規端末を選択し、この正規端末に対し、端末リストを送信することを特徴とする請求項１ないし１５のいずれかに記載のサーバ。
【請求項１７】
ネットワーク監視エージェントを動作させることのできる正規端末とそうでない正規端末の区別を記憶しておき、この記憶したものに基づいて、ネットワーク監視エージェントを動作させることのできる正規端末を選択し、この正規端末に対し、端末リストを送信することを特徴とする請求項１ないし１６のいずれかに記載のサーバ。
【請求項１８】
ネットワークに接続される複数の正規端末の中でネットワーク監視エージェントを動作させる優先順位を記憶しておき、その優先順位に基づいて正規端末を選択し、この正規端末に対し、端末リストを送信することを特徴とする請求項１ないし１７のいずれかに記載のサーバ。
【請求項１９】
ネットワークに接続された正規端末の１つで動作するネットワーク監視エージェントが、正規端末へ送信された端末リストに基づいて、ネットワークに接続された不正端末からの通信を妨害するときに使用されるサーバが、予め端末リストを記憶し、ネットワークに接続されている正規端末を認識し、この正規端末に対し、前記端末リストを送信するときに、当該端末リストを受信する正規端末であって、
ネットワークに接続された不正端末からの通信を前記端末リストに基づいて妨害するネットワーク監視エージェントを動作させることが可能となっていることを特徴とする通信端末。
【請求項２０】
前記サーバが、ネットワーク監視エージェントを起動できる旨が複数の正規端末から通知され、これらの正規端末を候補とし、候補の中から選択した正規端末に対し、前記端末リストを送信するときに、
ネットワーク監視エージェントを起動できる旨を前記サーバに通知する
ことを特徴とする請求項１９記載の通信端末。
【請求項２１】
前記サーバが、ネットワーク監視エージェントから、ネットワークに新たに接続された正規端末を通知されたときに、この正規端末からの通信が妨害されないように端末リストを更新し、更新された端末リストを、ネットワーク監視エージェントに送信するものであるときに、
ネットワーク監視エージェントが、ネットワークに新たに接続された通信端末をサーバに通知することを特徴とする請求項１９または２０記載の通信端末。
【請求項２２】
前記サーバが、
複数のネットワークのそれぞれに対応する端末リストを記憶し、端末リストを、対応するネットワークに接続されている正規端末に送信し、
いずれかのネットワークに新たに接続された通信端末のアドレスを、当該ネットワークで動作しているネットワーク監視エージェントから通知されたときに、
このネットワーク監視エージェントが動作している正規端末のアドレスを備える端末リストではない端末リストを選択し、この端末リストに前記送信されたアドレスがあるか否かを判定し、肯定的な判定結果が得られたときに、このアドレスを端末リスト間で移動することにより端末リストの更新を行い、
更新された端末リストを、この端末リストに対応するネットワークにおいてネットワーク監視エージェントが動作している正規端末に送信するものであるときに、
ネットワーク監視エージェントが、ネットワークに新たに接続された通信端末のアドレスをサーバに通知することを特徴とする請求項１９記載の通信端末。
【請求項２３】
ネットワーク監視エージェントが動作している正規端末をサーバが認識するに際してのポーリングに対し、ネットワーク監視エージェントが応答することを特徴とする請求項１９ないし２２のいずれかに記載の通信端末。
【請求項２４】
ネットワーク監視エージェントが動作している正規端末をサーバが認識するに際し、
ネットワーク監視エージェントが、自身が動作していることをサーバに通知することを特徴とする請求項１９ないし２２のいずれかに記載の通信端末。
【請求項２５】
端末リストは、正規端末の欄からなることを特徴とする請求項１９ないし２４のいずれかに記載の通信端末。
【請求項２６】
端末リストは、不正端末の欄からなることを特徴とする請求項１９ないし２４のいずれかに記載の通信端末。
【請求項２７】
端末リストの欄に端末のＭＡＣアドレス、またはＭＡＣアドレスとＩＰアドレス、またはＭＡＣアドレス、ＩＰアドレスおよびホスト名が格納されることを特徴とする請求項１９ないし２６のいずれかに記載の通信端末。
【請求項２８】
不正端末からの通信の妨害は、
通信先のＩＰアドレスに対応するＭＡＣアドレスを求めるアドレス解決プロトコルの要求が、送信元の通信端末のＭＡＣアドレスとともに送信されたときに、このＭＡＣアドレスが正規端末のものか否かを、端末リストを基に判定し、正規端末のものでないと判定した場合は、送信元の通信端末を不正端末とし、この不正端末に対し偽のＭＡＣアドレスを含むアドレス解決プロトコルの応答を行うことである
請求項１９ないし２７のいずれかに記載の通信端末。
【請求項２９】
前記偽のＭＡＣアドレスを含むアドレス解決プロトコルの応答は、正規のＭＡＣアドレスを含むアドレス解決プロトコルの応答よりも遅く行われることを特徴とする請求項２８記載の通信端末。
【請求項３０】
サーバが、ネットワークに接続されている複数の正規端末の中から、ネットワーク監視エージェントの動作に最も適した正規端末を選択し、この正規端末に対し、端末リストを送信するときに、自身の状態をサーバに通知することを特徴とする請求項１９ないし２９のいずれかに記載の通信端末。
【請求項３１】
ネットワークに接続された正規端末の１つで動作するネットワーク監視エージェントが、正規端末へ送信された端末リストに基づいて、ネットワークに接続された不正端末からの通信を妨害するときに使用されるサーバであって、予め端末リストを記憶し、ネットワークに接続されている正規端末を認識し、この正規端末に対し、前記端末リストを送信することを特徴とするサーバと、
当該端末リストを受信する正規端末であって、ネットワークに接続された不正端末からの通信を前記端末リストに基づいて妨害するネットワーク監視エージェントを動作させることが可能となっていることを特徴とする通信端末と
を備えることを特徴とする通信システム。
【請求項３２】
前記サーバが、複数のネットワークのそれぞれに対応する端末リストを記憶し、端末リストを、対応するネットワークに接続されている正規端末に送信し、
いずれかのネットワーク監視エージェントが、ネットワークに新たに接続された通信端末のアドレスをサーバに通知し、
前記サーバが、このアドレスを通知してきたネットワーク監視エージェントが動作している正規端末のアドレスを備える端末リストではない端末リストを選択し、この端末リストに前記送信されたアドレスがあるか否かを判定し、肯定的な判定結果が得られたときに、このアドレスを端末リスト間で移動することにより端末リストの更新を行い、更新された端末リストを、この端末リストに対応するネットワークにおいて動作しているネットワーク監視エージェントに送信し、
このネットワーク監視エージェントが、送信された端末リストに基づいて不正端末からの通信を妨害する
ことを特徴とする請求項３１記載の通信システム。
【請求項３３】
不正端末からの通信の妨害は、
通信先のＩＰアドレスに対応するＭＡＣアドレスを求めるアドレス解決プロトコルの要求が、送信元の通信端末のＭＡＣアドレスとともに送信されたときに、このＭＡＣアドレスが正規端末のものか否かを、端末リストを基に判定し、正規端末のものでないと判定した場合は、送信元の通信端末を不正端末とし、この不正端末に対し偽のＭＡＣアドレスを含むアドレス解決プロトコルの応答を行うことである
請求項３１または３２記載の通信システム。
【請求項３４】
前記偽のＭＡＣアドレスを含むアドレス解決プロトコルの応答は、正規のＭＡＣアドレスを含むアドレス解決プロトコルの応答よりも遅く行われることを特徴とする請求項３３記載の通信システム。
【請求項３５】
請求項１ないし１８のいずれかに記載のサーバ、請求項１９ないし３０のいずれかに記載の通信端末、もしくは請求項３１ないし３４のいずれかに記載の通信システムとして１以上のコンピュータを機能させるコンピュータプログラム。
【請求項３６】
請求項３５記載のコンピュータプログラムを記録した記録媒体。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、不正端末からの通信を妨害しかつ監視サーバの常設を不要にするサーバ、通信端末および通信システムに関する。
【背景技術】
【０００２】
従来にあって、ネットワークへの接続や通信を許可されていない通信端末である不正端末からの通信を妨害するには、ネットワークに監視サーバを接続し、その監視サーバが不正端末を検出し、そして、その不正端末からの通信を妨害する構成が採用される。
【０００３】
この通信システムでは、例えば、図５に示すように、ネットワークへの接続や通信を許可された通信端末である正規端末２１への通信を不正端末３１が行う際に、不正端末３１は正規端末２１のインターネットプロトコルアドレス（以下、ＩＰアドレス）に対応する物理アドレスであるＭＡＣアドレスを求めるアドレス解決プロトコルの要求をブロードキャスト送信する。このとき、不正端末３１のＭＡＣアドレスも送信されるので、監視サーバ３は、このＭＡＣアドレスが正規端末のものか否かを端末リストＬを基に判定し、正規端末のものでないと判定した場合は、不正端末３１に対し偽のＭＡＣアドレスを含むアドレス解決プロトコルの応答を行う（非特許文献１参照）。
【非特許文献１】統合運用管理 WebSAM SecureVisor，［online］、［平成１６年１１月１２日検索］、インターネット＜URL：http://www.sw.nec.co.jp/middle/WebSAM/products/SecureVisor/＞
【発明の開示】
【発明が解決しようとする課題】
【０００４】
しかしながら、図５の通信システムでは、ネットワークに監視サーバ３を常設する必要があり、しかも、ネットワークが大きいときには、大きな処理能力の監視サーバ３が必要となる。これを回避するために、ネットワークを構成するネットワーク（以下、サブネットという）ごとに監視サーバ３を常設する構成が採用されるが、この場合でも、トータルでは大きな処理能力が必要であり、複数の監視サーバ３を設ける必要があるので、その管理が複雑化する。
【０００５】
本発明は、上記課題に鑑みてなされたものであり、その目的とするところは、不正端末からの通信を妨害しかつ監視サーバの常設を不要にすることにある。
【課題を解決するための手段】
【０００６】
上記の課題を解決するために、請求項１の本発明は、ネットワークに接続された正規端末の１つで動作するネットワーク監視エージェントが、正規端末へ送信された端末リストに基づいて、ネットワークに接続された不正端末からの通信を妨害するときに使用されるサーバであって、予め端末リストを記憶し、ネットワークに接続されている正規端末を認識し、この正規端末に対し、前記端末リストを送信することを特徴とするサーバをもって解決手段とする。
【０００７】
請求項２の本発明は、ネットワーク監視エージェントを起動できる旨が複数の正規端末から通知されるときに、これらの正規端末を候補とし、候補の中から選択した正規端末に対し、前記端末リストを送信することを特徴とする請求項１記載のサーバをもって解決手段とする。
【０００８】
請求項３の本発明は、複数のネットワークのそれぞれに対応する端末リストを記憶し、端末リストを、対応するネットワークに接続されている正規端末に送信することを特徴とする請求項１または２記載のサーバをもって解決手段とする。
【０００９】
請求項４の本発明は、前記記憶した端末リストを更新し、更新された端末リストを、ネットワーク監視エージェントが動作している正規端末に送信することを特徴とする請求項１ないし３のいずれかに記載のサーバをもって解決手段とする。
【００１０】
請求項５の本発明は、ネットワーク監視エージェントから、ネットワークに新たに接続された正規端末を通知されたときに、この正規端末からの通信が妨害されないように端末リストを更新し、更新された端末リストを、ネットワーク監視エージェントに送信することを特徴とする請求項１ないし４のいずれかに記載のサーバをもって解決手段とする。
【００１１】
請求項６の本発明は、複数のネットワークのそれぞれに対応する端末リストを記憶し、端末リストを、対応するネットワークに接続されている正規端末に送信し、いずれかのネットワークに新たに接続された通信端末のアドレスを、当該ネットワークで動作しているネットワーク監視エージェントから取得し、このネットワーク監視エージェントが動作している正規端末のアドレスを備える端末リストではない端末リストを選択し、この端末リストに前記送信されたアドレスがあるか否かを判定し、肯定的な判定結果が得られたときに、このアドレスを端末リスト間で移動することにより端末リストの更新を行い、更新された各端末リストを、この端末リストに対応するネットワークにおいてネットワーク監視エージェントが動作している正規端末に送信することを特徴とする請求項１記載のサーバをもって解決手段とする。
【００１２】
請求項７の本発明は、ネットワーク監視エージェントが動作している正規端末を継続的に認識し、認識不能のときは、ネットワークに接続されている他の正規端末を認識し、この正規端末に対し、端末リストを送信することを特徴とする請求項１ないし６のいずれかに記載のサーバをもって解決手段とする。
【００１３】
請求項８の本発明は、ネットワーク監視エージェントが動作している正規端末の認識は、当該ネットワーク監視エージェントにポーリングしたときの応答があることによりなされることを特徴とする請求項７記載のサーバをもって解決手段とする。
【００１４】
請求項９の本発明は、ネットワーク監視エージェントが動作している正規端末の認識は、ネットワーク監視エージェントが動作していることをネットワーク監視エージェントがサーバに通知することによりなされることを特徴とする請求項７記載のサーバをもって解決手段とする。
【００１５】
請求項１０の本発明は、端末リストは、正規端末の欄からなる正規端末リストであることを特徴とする請求項１ないし９のいずれかに記載のサーバをもって解決手段とする。
【００１６】
請求項１１の本発明は、正規端末リストにおいて、ネットワーク監視エージェントが動作している正規端末の欄に、その旨のマークを対応づけることにより、その旨を記憶することを特徴とする請求項１０記載のサーバをもって解決手段とする。
【００１７】
請求項１２の本発明は、端末リストは、不正端末の欄からなることを特徴とする請求項１ないし９のいずれかに記載のサーバをもって解決手段とする。
【００１８】
請求項１３の本発明は、端末リストの欄に端末のＭＡＣアドレス、またはＭＡＣアドレスとＩＰアドレス、またはＭＡＣアドレス、ＩＰアドレスおよびホスト名が格納されることを特徴とする請求項１ないし１２のいずれかに記載のサーバをもって解決手段とする。
【００１９】
請求項１４の本発明は、不正端末からの通信の妨害は、通信先のＩＰアドレスに対応するＭＡＣアドレスを求めるアドレス解決プロトコルの要求が、送信元の通信端末のＭＡＣアドレスとともに送信されたときに、このＭＡＣアドレスが正規端末のものか否かを、端末リストを基に判定し、正規端末のものでないと判定した場合は、送信元の通信端末を不正端末とし、この不正端末に対し偽のＭＡＣアドレスを含むアドレス解決プロトコルの応答を行うことである請求項１ないし１３のいずれかに記載のサーバをもって解決手段とする。
【００２０】
請求項１５の本発明は、前記偽のＭＡＣアドレスを含むアドレス解決プロトコルの応答は、正規のＭＡＣアドレスを含むアドレス解決プロトコルの応答よりも遅く行われることを特徴とする請求項１４記載のサーバをもって解決手段とする。
【００２１】
請求項１６の本発明は、ネットワークに接続されている複数の正規端末の状態が通知されるときに、ネットワーク監視エージェントの動作に最も適した状態の正規端末を選択し、この正規端末に対し、端末リストを送信することを特徴とする請求項１ないし１５のいずれかに記載のサーバをもって解決手段とする。
【００２２】
請求項１７の本発明は、ネットワーク監視エージェントを動作させることのできる正規端末とそうでない正規端末の区別を記憶しておき、この記憶したものに基づいて、ネットワーク監視エージェントを動作させることのできる正規端末を選択し、この正規端末に対し、端末リストを送信することを特徴とする請求項１ないし１６のいずれかに記載のサーバをもって解決手段とする。
【００２３】
請求項１８の本発明は、ネットワークに接続される複数の正規端末の中でネットワーク監視エージェントを動作させる優先順位を記憶しておき、その優先順位に基づいて正規端末を選択し、この正規端末に対し、端末リストを送信することを特徴とする請求項１ないし１７のいずれかに記載のサーバをもって解決手段とする。
【００２４】
請求項１９の本発明は、ネットワークに接続された正規端末の１つで動作するネットワーク監視エージェントが、正規端末へ送信された端末リストに基づいて、ネットワークに接続された不正端末からの通信を妨害するときに使用されるサーバが、予め端末リストを記憶し、ネットワークに接続されている正規端末を認識し、この正規端末に対し、前記端末リストを送信するときに、当該端末リストを受信する正規端末であって、ネットワークに接続された不正端末からの通信を前記端末リストに基づいて妨害するネットワーク監視エージェントを動作させることが可能となっていることを特徴とする通信端末をもって解決手段とする。
【００２５】
請求項２０の本発明は、前記サーバが、ネットワーク監視エージェントを起動できる旨が複数の正規端末から通知され、これらの正規端末を候補とし、候補の中から選択した正規端末に対し、前記端末リストを送信するときに、ネットワーク監視エージェントを起動できる旨を前記サーバに通知することを特徴とする請求項１９記載の通信端末をもって解決手段とする。
【００２６】
請求項２１の本発明は、前記サーバが、ネットワーク監視エージェントから、ネットワークに新たに接続された正規端末を通知されたときに、この正規端末からの通信が妨害されないように端末リストを更新し、更新された端末リストを、ネットワーク監視エージェントに送信するものであるときに、ネットワーク監視エージェントが、ネットワークに新たに接続された通信端末をサーバに通知することを特徴とする請求項１９または２０記載の通信端末をもって解決手段とする。
【００２７】
請求項２２の本発明は、前記サーバが、複数のネットワークのそれぞれに対応する端末リストを記憶し、端末リストを、対応するネットワークに接続されている正規端末に送信し、いずれかのネットワークに新たに接続された通信端末のアドレスを、当該ネットワークで動作しているネットワーク監視エージェントから通知されたときに、このネットワーク監視エージェントが動作している正規端末のアドレスを備える端末リストではない端末リストを選択し、この端末リストに前記送信されたアドレスがあるか否かを判定し、肯定的な判定結果が得られたときに、このアドレスを端末リスト間で移動することにより端末リストの更新を行い、更新された端末リストを、この端末リストに対応するネットワークにおいてネットワーク監視エージェントが動作している正規端末に送信するものであるときに、ネットワーク監視エージェントが、ネットワークに新たに接続された通信端末のアドレスをサーバに通知することを特徴とする請求項１９記載の通信端末をもって解決手段とする。
【００２８】
請求項２３の本発明は、ネットワーク監視エージェントが動作している正規端末をサーバが認識するに際してのポーリングに対し、ネットワーク監視エージェントが応答することを特徴とする請求項１９ないし２２のいずれかに記載の通信端末をもって解決手段とする。
【００２９】
請求項２４の本発明は、ネットワーク監視エージェントが動作している正規端末をサーバが認識するに際し、ネットワーク監視エージェントが、自身が動作していることをサーバに通知することを特徴とする請求項１９ないし２２のいずれかに記載の通信端末をもって解決手段とする。
【００３０】
請求項２５の本発明は、端末リストは、正規端末の欄からなることを特徴とする請求項１９ないし２４のいずれかに記載の通信端末をもって解決手段とする。
【００３１】
請求項２６の本発明は、端末リストは、不正端末の欄からなることを特徴とする請求項１９ないし２４のいずれかに記載の通信端末をもって解決手段とする。
【００３２】
請求項２７の本発明は、端末リストの欄に端末のＭＡＣアドレス、またはＭＡＣアドレスとＩＰアドレス、またはＭＡＣアドレス、ＩＰアドレスおよびホスト名が格納されることを特徴とする請求項１９ないし２６のいずれかに記載の通信端末をもって解決手段とする。
【００３３】
請求項２８の本発明は、不正端末からの通信の妨害は、通信先のＩＰアドレスに対応するＭＡＣアドレスを求めるアドレス解決プロトコルの要求が、送信元の通信端末のＭＡＣアドレスとともに送信されたときに、このＭＡＣアドレスが正規端末のものか否かを、端末リストを基に判定し、正規端末のものでないと判定した場合は、送信元の通信端末を不正端末とし、この不正端末に対し偽のＭＡＣアドレスを含むアドレス解決プロトコルの応答を行うことである請求項１９ないし２７のいずれかに記載の通信端末をもって解決手段とする。
【００３４】
請求項２９の本発明は、前記偽のＭＡＣアドレスを含むアドレス解決プロトコルの応答は、正規のＭＡＣアドレスを含むアドレス解決プロトコルの応答よりも遅く行われることを特徴とする請求項２８記載の通信端末をもって解決手段とする。
【００３５】
請求項３０の本発明は、サーバが、ネットワークに接続されている複数の正規端末の中から、ネットワーク監視エージェントの動作に最も適した正規端末を選択し、この正規端末に対し、端末リストを送信するときに、自身の状態をサーバに通知することを特徴とする請求項１９ないし２９のいずれかに記載の通信端末をもって解決手段とする。
【００３６】
請求項３１の本発明は、ネットワークに接続された正規端末の１つで動作するネットワーク監視エージェントが、正規端末へ送信された端末リストに基づいて、ネットワークに接続された不正端末からの通信を妨害するときに使用されるサーバであって、予め端末リストを記憶し、ネットワークに接続されている正規端末を認識し、この正規端末に対し、前記端末リストを送信することを特徴とするサーバと、当該端末リストを受信する正規端末であって、ネットワークに接続された不正端末からの通信を前記端末リストに基づいて妨害するネットワーク監視エージェントを動作させることが可能となっていることを特徴とする通信端末とを備えることを特徴とする通信システムをもって解決手段とする。
【００３７】
請求項３２の本発明は、前記サーバが、複数のネットワークのそれぞれに対応する端末リストを記憶し、端末リストを、対応するネットワークに接続されている正規端末に送信し、いずれかのネットワーク監視エージェントが、ネットワークに新たに接続された通信端末のアドレスをサーバに通知し、前記サーバが、このアドレスを通知してきたネットワーク監視エージェントが動作している正規端末のアドレスを備える端末リストではない端末リストを選択し、この端末リストに前記送信されたアドレスがあるか否かを判定し、肯定的な判定結果が得られたときに、このアドレスを端末リスト間で移動することにより端末リストの更新を行い、更新された端末リストを、この端末リストに対応するネットワークにおいて動作しているネットワーク監視エージェントに送信し、このネットワーク監視エージェントが、送信された端末リストに基づいて不正端末からの通信を妨害することを特徴とする請求項３１記載の通信システムをもって解決手段とする。
【００３８】
請求項３３の本発明は、不正端末からの通信の妨害は、通信先のＩＰアドレスに対応するＭＡＣアドレスを求めるアドレス解決プロトコルの要求が、送信元の通信端末のＭＡＣアドレスとともに送信されたときに、このＭＡＣアドレスが正規端末のものか否かを、端末リストを基に判定し、正規端末のものでないと判定した場合は、送信元の通信端末を不正端末とし、この不正端末に対し偽のＭＡＣアドレスを含むアドレス解決プロトコルの応答を行うことである請求項３１または３２記載の通信システムをもって解決手段とする。
【００３９】
請求項３４の本発明は、前記偽のＭＡＣアドレスを含むアドレス解決プロトコルの応答は、正規のＭＡＣアドレスを含むアドレス解決プロトコルの応答よりも遅く行われることを特徴とする請求項３３記載の通信システムをもって解決手段とする。
【００４０】
請求項３５の本発明は、請求項１ないし１８のいずれかに記載のサーバ、請求項１９ないし３０のいずれかに記載の通信端末、もしくは請求項３１ないし３４のいずれかに記載の通信システムとして１以上のコンピュータを機能させるコンピュータプログラムをもって解決手段とする。
【００４１】
請求項３６の本発明は、請求項３５記載のコンピュータプログラムを記録した記録媒体をもって解決手段とする。
【発明の効果】
【００４２】
本発明によれば、予め端末リストを記憶し、ネットワークに接続されている正規端末を認識し、この正規端末に対し、端末リストを送信することを特徴とするサーバと、端末リストを受信する正規端末であって、ネットワークに接続された不正端末からの通信を端末リストに基づいて妨害するネットワーク監視エージェントを動作させることが可能となっている通信端末とを備えるので、不正端末からの通信を妨害しかつ監視サーバの常設を不要にすることができる。
【発明を実施するための最良の形態】
【００４３】
以下、本発明の実施の形態を図面を参照して説明する。
【００４４】
図１は、本発明の実施の形態に係る通信システムの構成とこの通信システムで用いられる端末リストとを示す図である。
【００４５】
図１に示すように、サーバ１は、サブネットＳＮ０に接続され、サブネットＳＮ０にはサブネットマスクＳＮＭで区別されるサブネットＳＮ１がルータを介して接続されている。サブネットＳＮ１には、ＭＡＣアドレスＢとＩＰアドレスＪの正規端末２２が接続され、さらにＭＡＣアドレスＡとＩＰアドレスＩの正規端末２１が接続されることになる。また、サブネットＳＮ０にサブネットマスクＳＮＭで区別されるサブネットＳＮ２がルータを介して接続されている。サブネットＳＮ２には、ＭＡＣアドレスＣとＩＰアドレスＫの正規端末２３と、ＭＡＣアドレスＤとＩＰアドレスＬの正規端末２４とが接続されている。
【００４６】
各正規端末２１〜２４では、該正規端末で処理を行うクライアントエージェントが動作しており、例えば、正規端末２１ではさらに、該正規端末２１において、図１に示す不正端末３１からの通信を妨害するネットワーク監視エージェント（図ではＮＷ監視エージェント）が動作することになる。
【００４７】
図１では、さらに、サーバ１に記憶される正規端末リストＬ１と正規端末リストＬ２を示す。
【００４８】
正規端末リストＬ１は、正規端末２１の欄と正規端末２２の欄を備える。正規端末２１の欄にはＭＡＣアドレスＡとＩＰアドレスＩが格納されている。また、正規端末２２の欄にはＭＡＣアドレスＢとＩＰアドレスＪが格納されている。
【００４９】
正規端末リストＬ２は、正規端末２３の欄と正規端末２４の欄を備える。正規端末２３の欄にはＭＡＣアドレスＣとＩＰアドレスＫが格納されている。また、正規端末２４の欄にはＭＡＣアドレスＤとＩＰアドレスＬが格納されている。
【００５０】
また、各正規端末リストＬ１，Ｌ２の、サブネットに接続している正規端末の欄には、その旨を示す接続ステータスが対応づけられ、一方、接続していない正規端末の欄には、その旨を示す非接続ステータスが対応づけられる。また、ネットワーク監視エージェントが動作している正規端末の欄には、その旨を示す監視エージェントマークが対応づけられる。
【００５１】
［動作］
次に図１に示す通信システムの動作を説明する。
【００５２】
図２に示すように、正規端末２１がサブネットＳＮ１に接続すると、クライアントエージェントが、ＭＡＣアドレスＡ、ＩＰアドレスＩ、サブネットマスクＳＮＭをサーバ１に送信する（ステップＳ１）。サーバ１は、ＩＰアドレスＩとサブネットマスクＳＮＭにより示されるサブネットを検索する。ここでは、サブネットＳＮ１が検索される。そのサブネットＳＮ１に対応する正規端末リストを検索する。ここでは、正規端末リストＬ１が検索される。サーバ１は、正規端末リストＬ１の正規端末２１の欄に対応づけられていた非接続ステータスを接続ステータスに変更する。また、正規端末リストＬ１のいずれかの欄に監視エージェントマークが対応づけられているか否か判定する。Ｙｅｓと判定された場合は、サーバ１は自身を待機状態にする。
【００５３】
Ｎｏと判定された場合は、サーバ１は、正規端末２１のクライアントエージェントにネットワーク監視エージェントの起動を依頼する（ステップＳ２）。正規端末２１のクライアントエージェントは、ネットワーク監視エージェントの起動が可能であれば、この依頼を受ける旨をサーバ１に通知し、ネットワーク監視エージェントを起動する（ステップＳ３）。この通知を受けたサーバ１は、正規端末リストＬ１の正規端末２１の欄に監視エージェントマークを対応づけ、正規端末リストＬ１を正規端末２１のネットワーク監視エージェントに送信する（ステップＳ４）。正規端末２１のネットワーク監視エージェントは、正規端末リストＬ１を正規端末２１内に格納する。
【００５４】
不正端末３１から、例えば、ＩＰアドレスＪに対応するＭＡＣアドレス、つまりＭＡＣアドレスＢを求めるアドレス解決プロトコルの要求が不正端末３１のＭＡＣアドレスとともにブロードキャスト送信される。これに対し、正規端末２１のネットワーク監視エージェントは、不正端末３１のＭＡＣアドレスが、正規端末２１内に格納した正規端末リストＬ１内にあるか否かを判定する。ここでは、Ｎｏと判定される。これにより、正規端末２１のネットワーク監視エージェントは、不正端末３１に対し、ＭＡＣアドレスＢでない偽のＭＡＣアドレス、例えば、全ての桁が０のＭＡＣアドレスを含むアドレス解決プロトコルの応答を行う（ステップＳ５）。これにより、不正端末３１が偽のＭＡＣアドレスで正規端末２２に通信しようとしても通信できない、つまり正規端末２２への通信を妨害することができる。
【００５５】
なお、不正端末３１へは、正規端末２２からもアドレス解決プロトコルの応答がなされ、これには正規のＭＡＣアドレス、つまり正規端末２２のＭＡＣアドレスが含まれ、不正端末３１では、後から到来したアドレス解決プロトコルの応答に含まれたＭＡＣアドレスをアドレス解決プロトコル用のテーブルに記憶して使用するので、偽のＭＡＣアドレスを含むアドレス解決プロトコルの応答は、正規端末２２からの応答よりも遅く行うのが好ましい。
【００５６】
また、不正端末３１では、到来したアドレス解決プロトコルの応答に含まれたＭＡＣアドレスの記憶が行えないロックタイムが発生することがあるので、偽のＭＡＣアドレスを含むアドレス解決プロトコルの応答は、複数回行うのが好ましい。
【００５７】
また、あるオペレーティングシステムが動作している不正端末３１では、後から到来したアドレス解決プロトコルの応答に含まれたＭＡＣアドレスで、以前のＭＡＣアドレスを書き換える際に、以前のMACアドレスを別途記憶しておき、一定時間後に以前のMACアドレスを有する端末だけに対してアドレス解決プロトコルの要求を再度行い、このときは正しいＭＡＣアドレスを含むアドレス解決プロトコルの応答がなされ、それにより、正規端末への通信が行えるようになってしまうので、偽のＭＡＣアドレスを含むアドレス解決プロトコルの応答は、複数回行うのが好ましい。
【００５８】
さて、正規端末２１のネットワーク監視エージェントは、不正端末３１に対して偽のＭＡＣアドレスを含むアドレス解決プロトコルの応答を行った際に、不正端末３１のＭＡＣアドレスをサーバ１に送信する。サーバ１は、このＭＡＣアドレスの送信元であるネットワーク監視エージェントが動作している正規端末、ここでは正規端末２１の欄を備える正規端末リストではない正規端末リスト、ここでは正規端末リストＬ２を選択し、ここに不正端末３１のＭＡＣアドレスがあるか否かを判定する。ここでは、Ｎｏと判定されるので、ここでＹｅｓと判定された場合の処理（詳しくは後述する）が抑制される。
【００５９】
また、サーバ１は、例えば、正規端末リストＬ１でネットワーク監視エージェントマークが対応づけられている欄に対応する正規端末、ここでは正規端末２１のネットワーク監視エージェントに対し継続的にポーリングする（ステップＳ６）。このポーリングがなくなるとネットワーク監視エージェントは動作を終了するのだが、ポーリングがある限りは、例えば、ポーリングに対し、正規端末２１のネットワーク監視エージェントはサーバ１へ応答する（ステップＳ５）。サーバ１は、ネットワーク監視エージェントからの応答があった場合は、次の回にも、また正規端末２１のネットワーク監視エージェントに対しポーリングする。
【００６０】
一方、サーバ１は、図３に示すような、ここでは正規端末２１の切り離しや電源断などの理由で、ポーリングに対する応答がなかったときは、応答がなくなった正規端末２１に対応する正規端末リストＬ１で接続ステータスが対応づけられている他の欄を検索し、その欄が検索された場合は、その欄に対応する正規端末、例えば、正規端末２２のクライアントエージェントにネットワーク監視エージェントの起動を依頼する（ステップＳ１１）。
【００６１】
なお、正規端末２１がサブネットＳＮ１から切り離され、例えば、その後、サブネットＳＮ２に接続されるときに、正規端末２１の電源が入ったままの可能性がある。この場合、正規端末２１がサブネットＳＮ２に接続された後においてもネットワーク監視エージェントが動作し、これにより、サブネットＳＮ２の各正規端末からの通信が妨害されてしまうので、正規端末２１のクライアントエージェントは正規端末２１がサブネットＳＮ１から切り離されたときに、ネットワーク監視エージェントの動作を終了させる。
【００６２】
また、サーバ１は、単に、検索された欄に対応する正規端末のクライアントエージェントにネットワーク監視エージェントの起動を依頼するのでなく、以下のように動作することとしてもよい。
【００６３】
つまり、予め、ネットワーク監視エージェントを起動できるクライアントエージェントがその旨をサーバ１に継続的に通知し、サーバ１は、検索された欄に対応する正規端末のクライアントエージェントでかつネットワーク監視エージェントを起動できる旨の通知を通知してきたクライアントエージェントを候補として、複数の候補の中からクライアントエージェントを選択し、そのクライアントエージェントに対し、ネットワーク監視エージェントの起動を依頼するようにしてもよい。
【００６４】
さて、ステップＳ１１の依頼を受ける旨が、正規端末２２のクライアントエージェントからサーバ１に通知されると、サーバ１は、正規端末リストＬ１の正規端末２２の欄に対応するように、監視エージェントマークを移動し、正規端末リストＬ１を、正規端末２２のネットワーク監視エージェントに送信する（ステップＳ１２）。以下、上記と同様にして、今度は、正規端末２２のネットワーク監視エージェントにより不正端末３１からの通信を妨害することができる。
【００６５】
さて、このように、サーバ１がネットワーク監視エージェントを継続的にポーリングするのでなく、ネットワーク監視エージェントが自身の存在を継続的にサーバ１に通知するようにしてもよい。
【００６６】
この場合、例えば、正規端末２１のネットワーク監視エージェントは自身の存在を継続的にサーバ１に通知する。サーバ１は、サブネットＳＮ１からの正規端末２１の切り離しや正規端末２１の電源断などの理由で、この通知が途絶えたときは、上記と同様にして、例えば、正規端末２２のクライアントエージェントにネットワーク監視エージェントの起動を依頼する。以下、上記と同様にして、不正端末３１からの通信を妨害することができる。
【００６７】
さて、上記と同様にして、図４に示すように、サブネットＳＮ２では、正規端末２３でネットワーク監視エージェントが動作し、そして、サブネットＳＮ１から切り離された正規端末２１が、今度はサブネットＳＮ２に接続し、例えば、ＩＰアドレスＫに対応するＭＡＣアドレス、つまりＭＡＣアドレスＣを求めるアドレス解決プロトコルの要求が正規端末２１のＭＡＣアドレスとともにブロードキャスト送信された場合について説明する。
【００６８】
この場合、上記と同様にして、正規端末２３のネットワーク監視エージェントは、この要求の送信元のＭＡＣアドレスが、正規端末２３内に格納した正規端末リストＬ２内にあるか否かを判定する。ここでは、Ｎｏと判定される。これにより、正規端末２３のネットワーク監視エージェントは、正規端末２１に対し、偽のＭＡＣアドレスを含むアドレス解決プロトコルの応答を行う（ステップＳ２１）。これにより、正規端末２１から正規端末２３への通信が一時的に妨害される。
【００６９】
このような妨害が繰り返されるのを回避するため、先ず、正規端末２１のネットワーク監視エージェントは、正規端末２１のＭＡＣアドレスならびに正規端末２１の新たなＩＰアドレスＩ’をサーバ１に送信する（ステップＳ２２）。サーバ１は、このネットワーク監視エージェントが動作している正規端末、ここでは正規端末２３の欄を備える正規端末リストではない正規端末リスト、ここでは正規端末リストＬ１を選択し、ここに正規端末２１のＭＡＣアドレスがあるか否かを判定する（ステップＳ２３）。ここでは、Ｙｅｓと判定される。これにより、サーバ１は、正規端末リストＬ１における正規端末２１の欄をそのＭＡＣアドレスとともに正規端末リストＬ２に移動し、さらにＩＰアドレスＩ’でＩＰアドレスＩを上書きする。
【００７０】
そして、サーバ１は、ネットワーク監視エージェントマークを対応づけられた正規端末リストＬ１の欄に対応する正規端末のネットワーク監視エージェントに正規端末リストＬ１を送信し、一方、ネットワーク監視エージェントマークを対応づけられた正規端末リストＬ２の欄に対応する正規端末、ここでは正規端末２３のネットワーク監視エージェントに正規端末リストＬ２を送信する（ステップＳ２４）。
【００７１】
正規端末２３のネットワーク監視エージェントは、送信された正規端末リストＬ２、つまり正規端末２１の欄を備える正規端末リストＬ２で、正規端末２１内の正規端末リストＬを上書きする。これにより、正規端末２１からの通信の妨害をやめて通信を可能にすることができる（ステップＳ２５）。
【００７２】
なお、上記実施の形態では、サーバ１は、例えば、正規端末リストＬ１を正規端末２１に送信して格納させ、正規端末２１のネットワーク監視エージェントは、アドレス解決プロトコルの要求の送信元のＭＡＣアドレスが正規端末リストＬ１内にあるか否かにより、要求の送信元が不正端末であるか否かを判定したが、この判定は、アドレス解決プロトコルの要求の送信元のＭＡＣアドレスとＩＰアドレスの両方が正規端末リストＬ１内にあるか否かにより行ってもよい。ＭＡＣアドレスを用いる判定は、端末にＩＰアドレスが動的に割り当てられる環境（ＤＨＣＰ環境）において好適である。一方、ＭＡＣアドレスとＩＰアドレスの両方を用いる判定は、端末にＩＰアドレスが固定的に割り当てられる環境において好適である。
【００７３】
また、正規端末リストの欄には、正規端末のＭＡＣアドレス、ＩＰアドレスに加えて、当該正規端末のホスト名を格納し、サーバ１は、この正規端末リストを正規端末に送信して格納させ、正規端末のネットワーク監視エージェントは、アドレス解決プロトコルの要求の送信元のＭＡＣアドレス、ＩＰアドレスおよびホスト名が正規端末リスト内にあるか否かにより、要求の送信元が不正端末であるか否かを判定することとしてもよい。
【００７４】
また、上記実施の形態では、正規端末の欄からなる正規端末リストを用いたが、不正端末の欄からなる不正端末リストを用いる、つまり、サーバ１は、不正端末リストを正規端末に送信して格納させ、正規端末のネットワーク監視エージェントは、アドレス解決プロトコルの要求の送信元のＭＡＣアドレスあるいはＭＡＣアドレスとＩＰアドレスの両方あるいはＭＡＣアドレス、ＩＰアドレスおよびホスト名が不正端末リスト内にあるときは、要求の送信元が不正端末であると判定し、ないときは要求の送信元が正規端末であると判定することとしてもよい。
【００７５】
また、上記実施の形態では、サーバ１が正規端末リストまたは不正端末リスト全体を正規端末に送信して格納させたが、これら端末リストの差分のみを送信し、これを基に正規端末で最新の端末リストを生成し格納してもよい。
【００７６】
また、上記実施の形態では、１つのサブネットに接続されている正規端末の中で１つの正規端末だけでネットワーク監視エージェントを動作させればよいが、その正規端末の選択は、正規端末の状態の違いに基づいて行ってもよい。例えば、以下のような実施ができる。
【００７７】
１つのサブネットに接続されている各正規端末が自身のＣＰＵの稼働率をサーバ１に通知し、サーバ１が最もＣＰＵの稼働率の低い正規端末を選択することができる。
【００７８】
その際、各正規端末が自身のＣＰＵの稼働率に基づいてネットワーク監視エージェントを動作させられるか否かを判定し、Ｙｅｓと判定された場合にのみ通知するようにしてもよい。
【００７９】
また、予めネットワーク監視エージェントを動作させることのできる正規端末とそうでない正規端末とが区別されている場合は、その旨をサーバ１が記憶しておき、サーバ１がその記憶したものに基づいて、ネットワーク監視エージェントを動作させる正規端末を選択することができる。
【００８０】
また、ネットワーク監視エージェントを動作させることのできる正規端末の中でネットワーク監視エージェントを動作させる優先順位をサーバ１が記憶しておき、サーバ１がその記憶したものに基づいて、いずれかの正規端末を優先的に選択することができる。
【００８１】
また、上記実施の形態では、１つのサブネットに接続されている正規端末の中で１つの正規端末だけでネットワーク監視エージェントを動作させたが、複数の正規端末のそれぞれでネットワーク監視エージェントを動作させ、各ネットワーク監視エージェントが、不正端末からの通信の妨害を分散して行うことで、１つの正規端末にかかる負荷を複数の正規端末に分散させることができる。
【００８２】
また、上記実施の形態では、クライアントエージェントとネットワーク監視エージェントを明確に区別したが、両者は１つのエージェント内に構成してもよい。
【００８３】
なお、サーバ１または正規端末として一般的なコンピュータを機能させるコンピュータプログラム、もしくはサーバ１と正規端末からなる通信システムとして複数のコンピュータを機能させるコンピュータプログラムは、半導体メモリ、磁気ディスク、光ディスク、光磁気ディスク、磁気テープなどのコンピュータ読み取り可能な記録媒体に格納したり、インターネットなどの通信網を介して伝送させて、広く流通させることができる。
【図面の簡単な説明】
【００８４】
【図１】本発明の実施の形態に係る通信システムの構成とこの通信システムで用いられる端末リストとを示す図である。
【図２】図１の通信システムの動作を示す第１のシーケンス図である。
【図３】図１の通信システムの動作を示す第２のシーケンス図である。
【図４】図１の通信システムの動作を示す第３のシーケンス図である。
【図５】従来の監視サーバの動作を示すシーケンス図である。
【符号の説明】
【００８５】
１  サーバ
２１〜２４  正規端末
３１  不正端末
Ｌ１，Ｌ２  正規端末リスト
【図１】
2006157293.tif 000003
【図２】
2006157293.tif 000004
【図３】
2006157293.tif 000005
【図４】
2006157293.tif 000006
【図５】
2006157293.tif 000007