(57)【要約】【課題】従来の技術による諸問題を解決するためのＬＡＮセキュリティー保護方法を提供する。【解決手段】ＬＡＮセキュリティーを保護する方法は、中央装置のポートとそれにそれぞれケーブル接続される複数の周辺装置との間の接続をモニターし、周辺装置とポートの接続が切断されたと検出される場合に当該ポートをディセーブルするステップを含む。【選択図】図１
2006314070.tif 000002
【特許請求の範囲】
【請求項１】
ＬＡＮセキュリティーを保護する方法であって、
中央装置のポートとそれにそれぞれケーブル接続される複数の周辺装置との間の接続をモニターし、
周辺装置とポートの接続が切断されたと検出される場合に当該ポートをディセーブルするステップを含むことを特徴とする方法。
【請求項２】
前記方法は更に、
周辺装置のＭＡＣアドレスをポートのインデックスに対応して記録するステップを含むことを特徴とする請求項１記載の方法。
【請求項３】
前記方法は更に、
周辺装置の中央装置におけるポートを通してリソースへのアクセルを許可し、
周辺装置のリソースへのアクセスを許可する前に各周辺装置のＭＡＣアドレスを検知するステップを含むことを特徴とする請求項２記載の方法。
【請求項４】
前記方法は更に、
検知された周辺装置のＭＡＣアドレスと、当該周辺装置の接続するポートのインデックスに対応して記録されたＭＡＣアドレスとの照合結果に基づいて、周辺装置の中央装置を通してリソースへのアクセルを許可するか否かを判断するステップを含むことを特徴とする請求項３記載の方法。
【請求項５】
前記方法は更に、
検知された周辺装置のＭＡＣアドレスが、当該周辺装置の接続するポートのインデックスに対応して記録されたＭＡＣアドレスと一致しない場合に、当該周辺装置の中央装置を通してリソースへのアクセルを許可しないステップを含むことを特徴とする請求項３記載の方法。
【請求項６】
前記方法は更に、
検知された周辺装置のＭＡＣアドレスが、当該周辺装置の接続するポートのインデックスに対応して記録されたＭＡＣアドレスと一致しない場合に、当該ポートをディセーブルするステップを含むことを特徴とする請求項３記載の方法。
【請求項７】
前記方法は更に、
再許可手順を行った後、いったんディセーブルされたポートを再びイネーブルするステップを含むことを特徴とする請求項１記載の方法。
【請求項８】
ＬＡＮセキュリティーを保護する方法であって、
中央装置のポートとそれぞれケーブル接続される複数の周辺装置のＭＡＣアドレスをポートのインデックスに対応して記録し、
中央装置における周辺装置と接続するポートを通してリソースへの当該周辺装置のアクセスを許可する前に、各周辺装置のＭＡＣアドレスを検知し、
中央装置のポートと複数の周辺装置との間の接続をモニターし、
周辺装置とポートの接続が切断されたと検出される場合に当該ポートをディセーブルするステップを含むことを特徴とする方法。
【請求項９】
前記方法は更に、
検知された周辺装置のＭＡＣアドレスと、当該周辺装置の接続するポートのインデックスに対応して記録されたＭＡＣアドレスとの照合結果に基づいて、周辺装置の中央装置を通してリソースへのアクセルを許可するか否かを判断するステップを含むことを特徴とする請求項９記載の方法。
【請求項１０】
前記方法は更に、
検知された周辺装置のＭＡＣアドレスが、当該周辺装置の接続するポートのインデックスに対応して記録されたＭＡＣアドレスと一致しない場合に、当該周辺装置の中央装置を通してリソースへのアクセルを許可しないステップを含むことを特徴とする請求項８記載の方法。
【請求項１１】
前記方法は更に、
検知された周辺装置のＭＡＣアドレスが、当該周辺装置の接続するポートのインデックスに対応して記録されたＭＡＣアドレスと一致しない場合に、当該ポートをディセーブルするステップを含むことを特徴とする請求項８記載の方法。
【請求項１２】
前記方法は更に、
再許可手順を行った後、いったんディセーブルされたポートを再びイネーブルするステップを含むことを特徴とする請求項８記載の方法。
【発明の詳細な説明】
【技術分野】
【０００１】
この発明はＬＡＮ（ローカルエリアネットワーク）のセキュリティー保護方法に関し、特にポート接続をモニターすることを内容とするＬＡＮセキュリティー保護方法に関する。
【背景技術】
【０００２】
コンピューターとネットワークの普及にしたがって、ＬＡＮは広範囲に使用されている。ＬＡＮは家庭または事務室で簡易に構築することができ、コンピューター同士またはコンピューターとネットワーク装置間のアクセスを可能にする。しかし、無許可の情報取得と、非意図的または無許可の情報利用は、個人または組織に対して大きな損害を与えることもしばしばある。ファイアウォールを備えたＬＡＮは高度のプライバシー及びセキュリティー対策を提供するにもかかわらず、外部の侵入（例えばハッキング）を完全には防げることができない。例えば、トロイ・ウィルスを利用して使用者のＩＤまたはパスワードを窃取することもないわけではない。
【発明の開示】
【発明が解決しようとする課題】
【０００３】
この発明は前述の問題を解決するためのＬＡＮセキュリティー保護方法を提供することを課題とする。
【課題を解決するための手段】
【０００４】
この発明はＬＡＮセキュリティーを保護する方法を提供する。該方法は、中央装置のポートとそれにそれぞれケーブル接続される複数の周辺装置との間の接続をモニターし、周辺装置とポートの接続が切断されたと検出される場合に当該ポートをディセーブルするステップを含む。
【０００５】
この発明は更にＬＡＮセキュリティーを保護する方法を提供する。該方法は、中央装置のポートとそれぞれケーブル接続される複数の周辺装置のＭＡＣアドレスをポートのインデックスに対応して記録し、中央装置における周辺装置と接続するポートを通してリソースへの当該周辺装置のアクセスを許可する前に、各周辺装置のＭＡＣアドレスを検知し、中央装置のポートと複数の周辺装置との間の接続をモニターし、周辺装置とポートの接続が切断されたと検出される場合に当該ポートをディセーブルするステップを含む。
【発明の効果】
【０００６】
この発明による方法は、中央装置と周辺装置間の接続をモニターすることによってセキュリティーを保護する。両者間の物理的な接続が断たれると、当該ポートを同時にディセーブルする。この発明は更に、ＭＡＣアドレスを比較することによってセキュリティーを保護する方法を提供する。これにより、いかなる無許可のネットワークアダプター置換は容易に検出することができる。
【発明を実施するための最良の形態】
【０００７】
かかる方法の特徴を詳述するために、具体的な実施例を挙げ、図示を参照にして以下に説明する。
【実施例１】
【０００８】
図１を参照する。図１はこの発明による方法を採用するＬＡＮ１０のブロック図である。図示によれば、複数のクライアント１４ａ−１４ｃはケーブル３０ａ−３０ｃを通して中央装置１２に接続される。この実施例によるケーブル３０ａ−３０ｃはＲＪ−４５ネットワークケーブルを使用し、クライアント１４ａ−１４ｃはパーソナルコンピューターであり、中央装置１２はクライアント１４ａ−１４ｃとサーバー２０間の接続を制御するハブ、ルーターまたはスイッチである。中央装置１２は５個のポートＰ１−Ｐ５を備え、そのうち第一ポートＰ１はケーブル３０を通してサーバー２０のポートＳ１と接続し、その他のポートＰ２、Ｐ４、Ｐ５はそれぞれクライアント１４ａ−１４ｃのポートＣ１−Ｃ３と接続する。この場合、ポートＣ３は一時的に未使用とされる。これによりクライアント１４ａ−１４ｃは中央装置１２を介してサーバー２０にアクセスし、中央装置１２はクライアント１４ａ−１４ｃのサーバー２０へのアクセス許可を制御する。
【０００９】
クライアント１４ａ−１４ｃはそれぞれ、中央装置１２とコミュニケートするためのネットワークアダプター２２ａ、２２ｂ、２２ｃを備える。ＴＣＰ／ＩＰなどのネットワークプロトコルでは、ネットワークアダプター２２ａ−２２ｃのメーカーはネットワークアダプターごとにそれぞれＭＡＣ（メディアアクセス制御）アドレスを指定しなければならない。各ＭＡＣアドレスはネットワーク装置の不揮発性メモリー（例えばＥＥＰＲＯＭまたはフラッシュメモリー）に焼き込まれる。そのため、別々のネットワーク装置が同一のＭＡＣアドレスを有することは理論的には不可能であり、ＭＡＣアドレスを利用してネットワーク装置を区別することも可能である。
【００１０】
図２を参照する。図２は中央装置１２のポートＰ２−Ｐ５の制御方法のフロートチャートである。中央装置１２には、クライアント１４ａ−１４ｃと接続するポートＰ２−Ｐ５の接続状態をモニターするためのセンサーまたは特殊回路が設けられる。ポートＰ２−Ｐ５とクライアント１４ａ−１４ｃ間いずれかの接続が断たれると検出されれば（ステップ１００）、中央装置１２は当該ポートＰ２、Ｐ４またはＰ５をディセーブルする（ステップ１０２）。例えば、ネットワークケーブル３０ｃをポートＰ５またはポートＣ３からはずせば、中央装置１２はそれを検知してポートＰ５をディセーブルする。注意すべきなのは、クライアント１４ａ−１４ｃ側のパワースイッチは中央装置１２によるモニタリングを影響することはない。言い換えれば、ネットワークケーブル３０ａ−３０ｃと中央装置１２のポートＰ２−Ｐ５及びネットワークアダプター２２ａ−２２ｃのポートＣ１−Ｃ３の物理的な接続を維持さえすれば、中央装置１２はポートＰ２、Ｐ４、Ｐ５をディセーブルすることはない。ポートＰ２−Ｐ５のいずれかがディセーブルされたら、ＬＡＮ１０のアドミニストレーターにより再びイネーブルされるまで、中央装置１２は当該ポートへのパケット送信を停止する。そのため、クライアント１４ａ、１４ｂまたは１４ｃのいずれかをその他の機器に置換すれば、中央装置１２は接続モニタリングによりそれを検知することができる。したがって、無許可の装置を利用してＬＡＮ１０のセキュリティーを容易に破壊することは防止される。
【実施例２】
【００１１】
その他の実施例では、中央装置１０は更に、ＭＡＣアドレスを比較することによってポートＰ２−Ｐ５の作動状態を制御する。図３と図４を参照する。図３は中央装置１２がネットワークアダプター２２ａ−２２ｃのＭＡＣアドレスを記録する際に用いられるルックアップテーブル（ＬＵＴ）であり、図４はＭＡＣアドレスの比較に基づいて、クライアント１４ａ−１４ｃにサーバー２０へのアクセスを許可する方法のフローチャートである。中央装置１２はＬＵＴを利用してクライアント１４ａ−１４ｃのＭＡＣアドレスを記録し、サーバー２０へのアクセス許可を制御する。初期状態では、ＬＡＮ１０のアドミニストレーターは中央装置１２のＬＵＴを予め設定する。ＬＵＴを設定する際、許可済みのクライアント１４ａ−１４ｃのＭＡＣアドレスを、ポートＰ２−Ｐ５のインデックスに対応して記録する。例えば、ポートＰ２に対応してＬＵＴに記録されるＭＡＣアドレスは第一クライアント１４ａのＭＡＣアドレスＡＣ１であり、ポートＰ４に対応してＬＵＴに記録されるＭＡＣアドレスは第二クライアント１４ｂのＭＡＣアドレスＡＣ２であり、ポートＰ５に対応してＬＵＴに記録されるＭＡＣアドレスは第三クライアント１４ｃのＭＡＣアドレスＡＣ３である。クライアント１４ａ−１４ｃのいずれかが中央装置１２に対してサーバー２０へのアクセス許可を求めれば、中央装置１２は当該クライアントのＭＡＣアドレスを検出して（図４のステップ１１０）、それをＬＵＴに記録されているＭＡＣアドレスと照合する（ステップ１１２）。例えば、クライアント１４ｂがアクセス許可を求める場合、中央装置１２はネットワークアダプター２２ｂのＭＡＣアドレスを検出して、それをＬＵＴに記録されるＭＡＣアドレスＡＣ２と照合する。両者が相違すれば、中央装置１２はポートＰ４をディセーブルする（ステップ１１６）。それに対して、両者が一致すれば、中央装置１２はクライアント２２ｂにサーバー２０へのアクセスを許可する（ステップ１１４）。したがって、サーバー２０にログインするためのＩＤとパスワードが窃取されても、ＭＡＣアドレスが合致しない限り、当該装置は中央装置１２を通してサーバー２０にアクセスすることはない。なお実施例１と同じように、実施例２でも中央装置１２はポートＰ２−Ｐ５とクライアント１４ａ−１４ｃ間の接続に対して検知を行う。
【００１２】
以上の両実施例のいずれにおいても、いったんディセーブルされたポートは再許可手順により再びイネーブルすることができる。再許可は前記実施例の手順をもう１回繰り返すか、またはシステムアドミニストレーターにより手動的に行われる。
【００１３】
以上はこの発明に好ましい実施例であって、この発明の実施の範囲を限定するものではない。よって、当業者のなし得る修正、もしくは変更であって、この発明の精神の下においてなされ、この発明に対して均等の効果を有するものは、いずれもこの発明の特許請求の範囲に属するものとする。
【産業上の利用可能性】
【００１４】
この発明による方法は、中央装置と周辺装置間の接続をモニターすることによってセキュリティーを保護する。両者間の物理的な接続が断たれると、当該ポートを同時にディセーブルする。この発明は更に、ＭＡＣアドレスを比較することによってセキュリティーを保護する方法を提供する。これにより、いかなる無許可のネットワークアダプター置換は容易に検出することができる。
【図面の簡単な説明】
【００１５】
【図１】この発明による方法を採用するＬＡＮのブロック図である。
【図２】中央装置のポートの制御方法のフロートチャートである。
【図３】中央装置がネットワークアダプターのＭＡＣアドレスを記録する際に用いられるＬＵＴである。
【図４】ＭＡＣアドレスの比較に基づいて、クライアントにサーバーへのアクセスを許可する方法のフローチャートである。
【符号の説明】
【００１６】
１０               ＬＡＮ
１２               中央装置
１４ａ−１４ｃ     クライアント
２０               サーバー
２２ａ−２２ｃ     ネットワークアダプター
３０、３０ａ−３０ｃ     ケーブル
【図１】
2006314070.tif 000003
【図２】
2006314070.tif 000004
【図３】
2006314070.tif 000005
【図４】
2006314070.tif 000006