(57)【要約】【課題】特定の通信装置を簡単に登録することができる不正端末遮断システム等を提供することを目的とする。【解決手段】不正端末遮断装置２は、ＩＰアドレスとＭＡＣアドレスとを対応付けたテーブル２３ａを記憶する記憶部２３と、傍受したＡＲＰリクエストパケットにテーブル２３ａに登録されていないＭＡＣアドレスが存在した場合に、当該ＭＡＣアドレスの通信装置の通信を遮断する。不正端末遮断装置２は、ＡＲＰリクエストパケットに含まれるグループＩＤを取得した場合に、当該ＡＲＰリクエストパケットに含まれている通信装置のＩＰアドレスとＭＡＣアドレスとを識別子テーブルに登録する。【選択図】図２
2011205451.tif 000002
【特許請求の範囲】
【請求項１】
少なくとも、正当な第１通信装置と、当該第１通信装置の要求に応じて通信を行う正当な第２通信装置と、不正端末遮断装置とが通信回線を介して接続され、
前記不正端末遮断装置は、
前記通信回線を介してパケットの送受信を行う通信手段と、
少なくとも通信識別子と物理識別子とを対応付けた識別子テーブルを記憶する記憶手段と、
前記識別子テーブルを参照して、前記通信手段により傍受した物理識別子要求パケットに前記識別子テーブルに登録されていない物理識別子が存在した場合に、当該物理識別子の通信装置の通信を遮断する遮断処理を行う遮断処理手段とを備え、
前記第１通信装置は、前記第２通信装置と通信をするために当該第２通信装置の物理識別子を要求する前記物理識別子要求パケットに、複数の装置を一群のグループとして扱うためのグループ識別子を含めて送信し、
前記不正端末遮断装置は、前記物理識別子要求パケットに含まれるグループ識別子を取得した場合に、当該物理識別子要求パケットに含まれている第１通信装置の通信識別子と物理識別子とを識別子テーブルに登録すること
を特徴とする不正端末遮断システム。
【請求項２】
前記第１通信装置は、前記物理識別子要求パケットに、前記グループ識別子に加えて、当該第１通信装置を認証するための認証値として、秘密鍵、物理識別子又は当該グループ識別子を変換した値を含めることを特徴とする請求項１に記載の不正端末遮断システム。
【請求項３】
前記第１通信装置は、前記物理識別子要求パケットに、前記グループ識別子に加えて、当該第１通信装置を認証するための認証値として、物理識別子又は当該グループ識別子を公開鍵暗号方式における私有鍵により暗号化した値を含めることを特徴とする請求項１に記載の不正端末遮断システム。
【請求項４】
前記第１通信装置は、前記認証値を得るための計算対象として、前記通信識別子を含めることを特徴とする請求項２又は請求項３に記載の不正端末遮断システム。
【請求項５】
前記不正端末遮断装置は、前記グループ識別子を含む物理識別子要求パケットを受信したときに、当該物理識別子要求パケットに含まれている第１通信装置の通信識別子と物理識別子とを識別子テーブルに一時的に登録することを特徴とする請求項１乃至請求項４の何れか一項に記載の不正端末遮断システム。
【請求項６】
前記不正端末遮断装置は、前記一時的に前記識別子テーブルに登録された第１通信装置の通信識別子と物理識別子とを、当該不正端末遮断システムの管理者の操作に応じた入力に基づいて、正式に前記識別子テーブルに登録することを特徴とする請求項４に記載の不正端末遮断システム。
【請求項７】
第１通信装置と、当該第１通信装置の要求に応じて通信を行う第２通信装置とが通信回線を介して接続され、
前記通信回線を介してパケットの送受信を行う通信手段と、
通信識別子と物理識別子とを対応付けた識別子テーブルを記憶する記憶手段と、
前記識別子テーブルを参照して、前記通信手段により傍受した物理識別子要求パケットに前記識別子テーブルに登録されていない物理識別子が存在した場合に、当該物理識別子の通信装置の通信を遮断する遮断処理を行う遮断処理手段とを備え、
前記通信手段が、前記第１通信装置から送信された複数の装置を一群のグループとして扱うためのグループ識別子を含む前記物理識別子要求パケットを受信したときに、前記記憶手段が、当該物理識別子要求パケットに含まれている第１通信装置の通信識別子と物理識別子とを識別子テーブルに登録すること
を特徴とする不正端末遮断装置。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、通信回線に不正に接続された不正端末の通信を遮断する不正端末遮断装置及びこれに用いる不正端末遮断装置に関する。
【背景技術】
【０００２】
従来より、不正な通信を遮断する技術として、下記の特許文献１に記載された技術が知られている。この特許文献１には、ＬＡＮ（Local Area Network）ネットワーク上でＩＰ（Internet Protocol）通信を行う通信システムにおいて、当該ＬＡＮネットワークに接続される不正端末を検出する不正端末遮断装置が記載されている。
【０００３】
例えば図１８に示すように、不正端末遮断装置１１０は、通信装置１００Ａ，１００Ｂが接続されたＬＡＮネットワークに対して、不正端末１２０が接続されたときに当該不正端末の通信を遮断する。正当な通信装置１００Ａ，１００Ｂ及び不正端末１２０は、図１９及び図２０に示すように、ＬＡＮＩ／Ｆ１０１，１１１を有し、ＬＡＮネットワークに接続可能となっている。これらＬＡＮＩ／Ｆ１０１，１１１には、固有のＭＡＣ（Media Access Control address）アドレスが割り当てられている。このＬＡＮネットワークにおいて、ＩＰ通信部１０２及び処理部１０３によりＩＰ通信を行うためには、ＡＲＰ（Address Resolution Protocol）（ＲＦＣ（Request For Comments）８２６）により通信相手とＭＡＣアドレスを交換する必要がある。
【０００４】
不正端末遮断装置１１０は、傍受したＡＲＰリクエストパケットから送信元アドレスを取得し、事前に登録されたアドレス情報（ＭＡＣアドレス、ＩＰアドレス）と照合する。このＡＲＰリクエストパケットは、例えば図２１に示すようになる。このＡＲＰリクエストパケットは、不正端末１２０が通信装置１００Ｂになりすまして、通信装置１００ＡのＭＡＣアドレス（ａ）を取得する際に送信される。不正端末遮断装置１１０は、照合した結果、ＡＲＰリクエストパケットの送信元が不正端末１２０であるか否かを判定する。不正端末遮断装置１１０は、不正端末１２０の存在を判定した場合には、当該不正端末１２０の通信を妨害するパケットを送信することによって、不正端末１２０の通信を遮断している。
【先行技術文献】
【特許文献】
【０００５】
【特許文献１】特開２００７−２６６９３１号公報
【発明の概要】
【発明が解決しようとする課題】
【０００６】
しかしながら、前記従来の技術では、不正端末遮断装置１１０に登録されるアドレス情報は、ＡＲＰパケットに含まれる情報（ＭＡＣアドレス、ＩＰアドレス）により構成される。通常、これらのＭＡＣアドレス及びＩＰアドレスは、通信装置１００Ａ，１００Ｂ単位に割り当てられる。このため、機種や商品群といったグループ単位で通信を許可したい場合であっても、不正端末遮断装置１１０は、該当する装置毎に個別に、ＭＡＣアドレス及びＩＰアドレスを登録する必要があった。
【０００７】
そこで、本発明は、上述した実情に鑑みて提案されたものであり、特定の通信装置を簡単に登録することができる不正端末遮断システム及びこれに用いる不正端末遮断装置を提供することを目的とする。
【課題を解決するための手段】
【０００８】
上記の課題を解決する第１の発明に係る不正端末遮断システムは、少なくとも、正当な第１通信装置と、当該第１通信装置の要求に応じて通信を行う正当な第２通信装置と、不正端末遮断装置とが通信回線を介して接続され、前記不正端末遮断装置は、前記通信回線を介してパケットの送受信を行う通信手段と、少なくとも通信識別子と物理識別子とを対応付けた識別子テーブルを記憶する記憶手段と、前記識別子テーブルを参照して、前記通信手段により傍受した物理識別子要求パケットに前記識別子テーブルに登録されていない物理識別子が存在した場合に、当該物理識別子の通信装置の通信を遮断する遮断処理を行う遮断処理手段とを備え、前記第１通信装置は、前記第２通信装置と通信をするために当該第２通信装置の物理識別子を要求する前記物理識別子要求パケットに、複数の装置を一群のグループとして扱うためのグループ識別子を含めて送信し、前記不正端末遮断装置は、前記物理識別子要求パケットに含まれるグループ識別子を取得した場合に、当該物理識別子要求パケットに含まれている第１通信装置の通信識別子と物理識別子とを識別子テーブルに登録することを特徴とするものである。
【０００９】
第１の発明に係る不正端末遮断システムであって、第２の発明は、前記第１通信装置は、前記物理識別子要求パケットに、前記グループ識別子に加えて、当該第１通信装置を認証するための認証値として、秘密鍵、物理識別子又は当該グループ識別子を変換した値を含めることを特徴とする。
【００１０】
第１の発明に係る不正端末遮断システムであって、第３の発明は、前記第１通信装置は、前記物理識別子要求パケットに、前記グループ識別子に加えて、当該第１通信装置を認証するための認証値として、物理識別子又は当該グループ識別子を公開鍵暗号方式における私有鍵により暗号化した値を含めることを特徴とする。
【００１１】
第２の発明又は第３の発明に係る不正端末遮断システムであって、第４の発明は、前記第１通信装置は、前記認証値を得るための計算対象として、前記通信識別子を含めることを特徴とする。
【００１２】
第１の発明乃至第４の発明の何れかに係る不正端末遮断システムであって、第５の発明は、前記不正端末遮断装置は、前記グループ識別子を含む物理識別子要求パケットを受信したときに、当該物理識別子要求パケットに含まれている第１通信装置の通信識別子と物理識別子とを識別子テーブルに一時的に登録することを特徴とする。
【００１３】
第４の発明に係る不正端末遮断システムであって、第６の発明は、前記不正端末遮断装置は、前記一時的に前記識別子テーブルに登録された第１通信装置の通信識別子と物理識別子とを、当該不正端末遮断システムの管理者の操作に応じた入力に基づいて、正式に識別子テーブルに登録することを特徴とする。
【００１４】
上記の課題を解決する第７の発明に係る不正端末遮断装置は、第１通信装置と、当該第１通信装置の要求に応じて通信を行う第２通信装置とが通信回線を介して接続され、前記通信回線を介してパケットの送受信を行う通信手段と、通信識別子と物理識別子とを対応付けた識別子テーブルを記憶する記憶手段と、前記識別子テーブルを参照して、前記通信手段により傍受した物理識別子要求パケットに前記識別子テーブルに登録されていない物理識別子が存在した場合に、当該物理識別子の通信装置の通信を遮断する遮断処理を行う遮断処理手段とを備え、前記通信手段が、前記第１通信装置から送信された複数の装置を一群のグループとして扱うためのグループ識別子を含む前記物理識別子要求パケットを受信したときに、前記記憶手段が、当該物理識別子要求パケットに含まれている第１通信装置の通信識別子と物理識別子とを識別子テーブルに登録することを特徴とする。
【発明の効果】
【００１５】
本発明によれば、特定の通信装置にグループ識別子を設定することによって、当該装置群を簡単に登録することができる。
【図面の簡単な説明】
【００１６】
【図１】本発明の第１実施形態として示す不正端末遮断システムの一構成例を示すブロック図である。
【図２】本発明の第１実施形態として示す不正端末遮断システムにおける通信装置の一構成例を示すブロック図である。
【図３】本発明の第１実施形態として示す不正端末遮断システムにおける不正端末遮断装置の一構成例を示すブロック図である。
【図４】本発明の第１実施形態として示す不正端末遮断システムにおいて送信されるＡＲＰリクエストパケットの一例を示す図である。
【図５】本発明の第１実施形態として示す不正端末遮断システムにおいて、不正端末遮断装置がＡＲＰリクエストパケットを受信したときの処理手順を示すフローチャートである。
【図６】本発明の第１実施形態として示す不正端末遮断システムにおける通信装置の一構成例を示すブロック図である。
【図７】本発明の第２実施形態として示す不正端末遮断システムにおける通信装置の一構成例を示すブロック図である。
【図８】本発明の第２実施形態として示す不正端末遮断システムにおける不正端末遮断装置の一構成例を示すブロック図である。
【図９】本発明の第２実施形態として示す不正端末遮断システムにおいて送信されるＡＲＰリクエストパケットの一例を示す図である。
【図１０】本発明の第２実施形態として示す不正端末遮断システムにおいて、不正端末遮断装置がＡＲＰリクエストパケットを受信したときの処理手順を示すフローチャートである。
【図１１】本発明の第２実施形態として示す不正端末遮断システムにおける不正端末遮断装置の他の構成例を示すブロック図である。
【図１２】本発明の第２実施形態として示す不正端末遮断システムにおいて送信されるＡＲＰリクエストパケットの他の一例を示す図である。
【図１３】本発明の第２実施形態として示す不正端末遮断システムにおける通信装置の一構成例を示すブロック図である。
【図１４】本発明の第２実施形態として示す不正端末遮断システムにおいて送信されるＡＲＰリクエストパケットの他の一例を示す図である。
【図１５】本発明の第３実施形態として示す不正端末遮断システムの一構成例を示すブロック図である。
【図１６】本発明の第３実施形態として示す不正端末遮断システムにおける不正端末遮断装置の他の構成例を示すブロック図である。
【図１７】本発明の第３実施形態として示す不正端末遮断システムにおいて、不正端末遮断装置がＡＲＰリクエストパケットを受信したときの処理手順を示すフローチャートである。
【図１８】背景技術を説明する通信システム図である。
【図１９】背景技術における通信装置の一例を示すブロック図である。
【図２０】背景技術における不正端末遮断装置の一例を示すブロック図である。
【図２１】背景技術において伝送されるＡＲＰリクエストパケットの一例を示す図である。
【発明を実施するための形態】
【００１７】
以下、本発明の実施の形態について図面を参照して説明する。
【００１８】
［第１実施形態］
本発明の第１実施形態として示す不正端末遮断システムは、例えば図１に示すように構成される。この不正端末遮断システムは、ＬＡＮ等の通信回線からなる通信ネットワークＮＴに対して、複数の通信装置１Ａ，１Ｂ、不正端末遮断装置２が接続されている。この不正端末遮断システムにおいて、通信装置１Ａ，１Ｂは、正当に接続された装置である。不正端末遮断装置２は、通信装置１Ａ，１Ｂが接続された通信ネットワークＮＴに対して、不正端末３が接続されてパケットを送信したときに当該不正端末３の通信を遮断するものである。
【００１９】
通信装置１Ａは、ＩＰアドレス（通信識別子）として「Ａ」が設定され、ＭＡＣアドレス（物理識別子）として「ａ」が設定されている。通信装置１Ｂは、ＩＰアドレスとして「Ｂ」が設定され、ＭＡＣアドレスとして「ｂ」が設定されている。また、通信装置１Ａ，１Ｂには、同じグループＩＤ（グループ識別子）として「Ｍ」が設定されている。このグループＩＤは、複数の装置を一群のグループとして扱うための識別子である。グループＩＤは、例えば、通信装置１Ａ，１Ｂを使用する部署等の管理者が設定した任意のグループや、特定種類、商品群の機器ごとに、付与される。
【００２０】
不正端末３は、ＩＰアドレスとして「Ｘ」が設定され、ＭＡＣアドレスとして「ｘ」が設定されている。不正端末３には、グループＩＤは付与されていない。この不正端末３としては、通信装置１Ａ，１Ｂと不正に通信をしたい悪意の第三者により接続された通信装置や、ワーム等のウィルスに感染して他の装置に不正なデータを送信する通信装置等が挙げられる。
【００２１】
通信装置１Ａ，１Ｂは、図２に示すように、ＬＡＮＩ／Ｆ１１、ＩＰ通信部１２、処理部１３を有する。通信装置１Ａ，１Ｂには、それぞれ、グループＩＤ１４ａが付与されている。このグループＩＤ１４ａは、不正端末遮断システムの管理者により設定され又は製造時において設定されて、メモリやハードディスク装置に記憶されている。
【００２２】
このような通信装置１Ａ，１Ｂは、処理部１３により、アプリケーションデータの生成等を行い、ＩＰ通信部１２によりＩＰヘッダやデータリンク層ヘッダを付加する処理を行って、ＬＡＮＩ／Ｆ１１を介してパケットの送受信を行う。
【００２３】
通信装置１Ａ，１Ｂは、他の通信装置と通信を開始するときに、通信相手のＩＰアドレスを取得することを要求するＡＲＰリクエストパケット（物理識別子要求パケット）を通信ネットワークＮＴ上にブロードキャストする。このとき、通信装置１Ａ，１Ｂは、ＩＰ通信部１２により、ＡＲＰリクエストパケットのパディング領域に、グループＩＤ１４ａをコピーして格納する。
【００２４】
このようなＡＲＰリクエストパケットは、例えば、図４に示すようになる。図４は、通信装置１Ａが通信装置１ＢのＭＡＣアドレスを取得したい場合のＡＲＰリクエストパケットを示している。すなわち、通信装置１Ａが第１通信装置とすると、通信装置１Ｂが当該第１通信装置の要求に応じて通信を行う第２通信装置となる。
【００２５】
イーサネット（登録商標）プロトコルにおけるＡＲＰリクエストフィールドの宛先ＭＡＣアドレスにはブロードキャストアドレス、送信元ＭＡＣアドレスフィールドには通信装置１ＡのＭＡＣアドレスが格納される。ＡＲＰプロトコルにおける送信元ＭＡＣアドレスフィールドには通信装置１ＡのＭＡＣアドレス（ａ）、送信元ＩＰアドレスには通信装置１ＡのＩＰアドレス（Ａ）、宛先ＭＡＣアドレスフィールドには「０」、宛先ＩＰアドレスフィールドには通信装置１ＢのＩＰアドレス（Ｂ）が格納される。イーサネット（登録商標）プロトコルにおけるパディング領域には、グループＩＤフィールドが設けられ、当該グループＩＤフィールドに、通信装置１Ａの自己のグループＩＤ（Ｍ）が格納される。
【００２６】
通信装置１Ａ，１Ｂは、ＬＡＮＩ／Ｆ１１により、ＡＲＰリクエストパケットを受信する。このとき、ＬＡＮＩ／Ｆ１１は、当該ＡＲＰリクエストパケットの宛先ＩＰアドレスが自己のＩＰアドレスである場合に、自己のＭＡＣアドレスを含むＡＲＰレスポンスパケットを、ＡＲＰリクエストパケットの送信元に返信する。
【００２７】
通信装置１Ａ，１Ｂは、ＬＡＮＩ／Ｆ１１により、通信相手から、ＡＲＰレスポンスパケットを受信する。これにより、ＬＡＮＩ／Ｆ１１は、当該ＡＲＰレスポンスパケットに格納されている通信相手のＭＡＣアドレスを得ることができる。
【００２８】
不正端末遮断装置２は、ＬＡＮＩ／Ｆ２１、処理部２２、記憶部２３、設定Ｉ／Ｆ２４を有する。
【００２９】
記憶部２３には、通信ネットワークＮＴに正当に接続された通信装置１Ａ，１ＢのＩＰアドレスとＭＡＣアドレスとの組を記憶したアドレステーブル（識別子テーブル）２３ａが格納される。このアドレステーブル２３ａは、ＬＡＮＩ／Ｆ１１が通信ネットワークＮＴ内に送受信されるパケットを傍受することにより、随時ＩＰアドレスとＭＡＣアドレスとの組が登録される。
【００３０】
また、記憶部２３には、アドレステーブル２３ａに、ＩＰアドレス及びＭＡＣアドレスに対応したグループＩＤが格納されている。アドレステーブル２３ａには、通信装置１Ａ，１ＢのグループＩＤ（Ｍ）を含む複数のグループＩＤが格納されている。このアドレステーブル２３ａは、不正端末遮断システムの管理者のＰＣ操作等に応じて、設定Ｉ／Ｆ２４を介して供給されたグループＩＤを登録することにより構築される。そして、アドレステーブル２３ａには、通信ネットワークＮＴに流れるＡＲＰパケットを傍受することにより、通信装置１Ａ，１ＢごとにグループＩＤに対応したＩＰアドレス及びＭＡＣアドレスを登録できる。
【００３１】
ＬＡＮＩ／Ｆ２１は、通信ネットワークＮＴ内に流れるＡＲＰリクエストパケットを傍受する。このＡＲＰリクエストパケットは、処理部２２に供給される。
【００３２】
処理部２２は、ＬＡＮＩ／Ｆ２１を介して供給されたＡＲＰリクエストパケットのパディング領域から、グループＩＤを取得する。このグループＩＤは、図４に示したように、イーサネット（登録商標）プロトコルにおけるパディング領域のグループＩＤフィールドに格納されている。処理部２２は、ＡＲＰリクエストパケットに含まれるグループＩＤを取得した場合に、当該ＡＲＰリクエストパケットに含まれている通信装置１Ａ，１ＢのＩＰアドレスとＭＡＣアドレスとをアドレステーブル２３ａに登録する。これにより、記憶部２３は、通信装置１Ａ，１ＢのＭＡＣアドレス、ＩＰアドレス、グループＩＤが対応付けられたアドレステーブル２３ａを記憶できる。
【００３３】
処理部２２は、ＬＡＮＩ／Ｆ２１により傍受したＡＲＰリクエストパケットの送信元ＭＡＣアドレスが、アドレステーブル２３ａに登録されていないＭＡＣアドレスである場合に、当該ＭＡＣアドレスの通信装置の通信を遮断する遮断処理を行う（遮断処理手段）。また、処理部２２は、図５に示すように、ＡＲＰリクエストパケットのパディング領域に含まれているグループＩＤが、アドレステーブル２３ａに登録されていない場合には（ステップＳ１１）、当該ＡＲＰリクエストパケットの送信元の通信を遮断する（ステップＳ１２）。
【００３４】
不正端末遮断装置２が送信元の通信を遮断する処理は、既知の手法により不正端末３から通信装置１Ａ，１Ｂへの通信を遮断できればよい。不正端末３の通信を遮断する処理は、例えば、ARPSpoofにより実現できる。例えば、不正端末遮断装置２が、不正端末３がＩＰアドレスからＭＡＣアドレスを問い合わせるＡＲＰパケットを受信した場合、当該パケットに含まれるＩＰアドレスに拘わらず、偽のＭＡＣアドレスを応答する。これにより、不正端末３によって正しいＭＡＣアドレスを取得することを防止でき、ＩＰを利用した通信を遮断できる。また、不正端末３からのＡＲＰの問い合わせに対して、不正端末３を管理するサーバなどの他の通信装置のＭＡＣアドレスをＡＲＰの応答とする。これによって、不正端末３の通信先を当該他の通信装置に誘導することができる。
【００３５】
以上説明したように、第１実施形態として示した不正端末遮断システムによれば、特定の通信装置群にグループＩＤを設定することによって、当該装置群を簡単に登録することができる。そして、不正端末遮断装置２は、当該グループＩＤを参照して、通信の遮断をすることができる。したがって、不正端末遮断装置２は、不正端末３が通信ネットワークＮＴに接続され、通信装置１Ａ，１ＢのＩＰアドレスを偽装してＡＲＰリクエストパケットを送信しても、グループＩＤに基づいて通信を遮断できる。
【００３６】
また、この不正端末遮断システムによれば、特定の通信装置をグループＩＤにより纏めて登録することができるので、グループに属する通信装置ごとに不正端末遮断装置２に登録する必要が無く、管理者の負担を低減することができる。
【００３７】
更に、この不正端末遮断システムによれば、ＡＲＰパケットのパディング領域という不使用領域を使用することにより、通信手順の変更やトラフィックの増加を発生させることなく、グループＩＤによって機種や商品群といったグループ単位で通信を許可できる。
【００３８】
なお、通信装置１Ａ，１Ｂは、図６に示すように、設定Ｉ／Ｆ１５を備え、当該設定Ｉ／Ｆ１５に接続されたＰＣ等からの信号に応じて、グループＩＤ１４ａが設定しても良い。このように、設定Ｉ／Ｆ１５を介して通信装置１Ａ，１ＢのグループＩＤ１４ａを設定可能とすることにより、より柔軟に通信装置１Ａ，１Ｂのグループ化を行って、管理者の負担を軽減できる。
【００３９】
［第２実施形態］
つぎに、第２実施形態に係る不正端末遮断システムについて説明する。なお、上述の第１実施形態と同様の部分については同一符号を付することによりその詳細な説明を省略する。
【００４０】
第２実施形態として示す不正端末遮断システムは、ＡＲＰリクエストパケットに、グループＩＤに加えて、通信装置１Ａ，１Ｂを認証する認証値として他の値を含める。
【００４１】
このような不正端末遮断システムにおける通信装置１Ａ，１Ｂには、図７に示すように、グループＩＤ１４ａに加えて、認証値１４ｂが設定される。認証値１４ｂは、グループＩＤ１４ａと同様に、管理者によるＰＣ操作や製造時に設定されて、記憶される。この認証値１４ｂは、グループＩＤ１４ａと同様に、ＩＰ通信部１２により読み取られる。ＩＰ通信部１２は、図９に示すように、ＡＲＰリクエストパケットのパディング領域に、グループＩＤ１４ａに加えて認証値１４ｂを追加して含める。なお、通信装置１Ａ，１Ｂは、秘密鍵、ＭＡＣアドレス及び当該グループＩＤを結合し、例えば、ＭＤ４、ＭＤ５といった所定のハッシュ関数により変換した値を、当該通信装置１Ａ，１Ｂの認証値として使用する。
【００４２】
不正端末遮断装置２は、図８に示すように、アドレステーブル２３ａに、通信装置１Ａ，１Ｂを認証するための認証値としての秘密鍵２３ｂを記憶している。秘密鍵２３ｂは、グループＩＤと同様に、設定Ｉ／Ｆ２４を介して設定されて、記憶部２３のアドレステーブル２３ａに登録される。なお、不正端末遮断装置２には、通信装置１Ａ，１Ｂが使用する秘密鍵２３ｂと同じ値を登録する。
【００４３】
処理部２２は、ＬＡＮＩ／Ｆ２１により傍受したＡＲＰリクエストパケットの送信元ＭＡＣアドレスが、アドレステーブル２３ａに登録されていないＭＡＣアドレスである場合に、当該ＭＡＣアドレスの通信装置の通信を遮断する遮断処理を行う（遮断処理手段）。また、処理部２２は、図１０に示すように、ＡＲＰリクエストパケットのパディング領域に含まれているグループＩＤが、アドレステーブル２３ａに登録されていない場合には（ステップＳ１１）、当該ＡＲＰリクエストパケットの送信元の通信を遮断する（ステップＳ１２）。一方、グループＩＤがアドレステーブル２３ａに登録されている場合には、処理部２２は、ＡＲＰリクエストパケットに含まれる認証値が、アドレステーブル２３ａに登録されている正しい認証値であるかを判定する（ステップＳ２１）。このとき、処理部２２は、予め記憶部２３に登録された秘密鍵２３ｂ、グループＩＤ、ＭＡＣアドレスを用いて認証値を計算し、当該計算値と受信した認証値とを比較する。受信した認証値が正しい認証値である場合には、当該ＡＲＰリクエストパケットの送信元の通信を許可する。一方、正しい認証値ではない場合には、当該ＡＲＰリクエストパケットの送信元の通信を遮断する（ステップＳ１２）。
【００４４】
このような不正端末遮断システムによれば、ＡＲＰリクエストパケットに、グループＩＤに加えて認証値を含めるので、認証値が正しくなければ当該不正端末３の通信を遮断でき、セキュリティ性を向上させることができる。すなわち、ＡＲＰリクエストパケットに含まれるグループＩＤと認証値を不正端末３が傍受し、それらを使用してＡＲＰリクエストを送信することよって、通信装置１Ａ，１Ｂに偽装されても、通信装置１Ａ，１ＢとはＭＡＣアドレスが異なるため、不正端末遮断装置２が認証値が正しくないと判定して、当該不正端末３の通信を遮断することができる。したがって、この不正端末遮断システムは、よりセキュリティ性を高めることができる。
【００４５】
また、第２実施形態において、通信装置１Ａ，１Ｂは、通信装置１Ａ，１Ｂを認証するための認証値としてＭＡＣアドレス及びグループＩＤを結合し、ハッシュした値を公開鍵暗号方式における私有鍵により暗号化した値を含めても良い。これに対し、不正端末遮断装置２は、図１１に示すように、通信装置１Ａ，１Ｂの私有鍵により暗号化された認証値を復号できる通信装置１Ａ，１Ｂの公開鍵２３ｃを記憶している。
【００４６】
このような不正端末遮断システムは、通信装置１Ａ，１Ｂの処理部２２により、グループＩＤと、グループＩＤとＭＡＣアドレスからなる値をハッシュした値に対して公開鍵暗号方式の私有鍵により暗号化した値とをパディング領域に含むＡＲＰリクエストパケットを送信する。
【００４７】
処理部２２は、ＡＲＰリクエストパケットのパディング領域から、グループＩＤと認証値を取得する。処理部２２は、グループＩＤがアドレステーブル２３ａに予め登録されているか否かを判定する。また、処理部２２は、受信した認証値を公開鍵２３ｃにより復号した値を得る。そして、当該復号した値と、登録されたグループＩＤとＭＡＣアドレスからなる値をハッシュした値とが、同一であるか否かを判定する。処理部２２は、グループＩＤがアドレステーブル２３ａに予め登録されており、当該復号した値と、登録されたグループＩＤとＭＡＣアドレスからなる値をハッシュした値とが同一である場合に、ＡＲＰリクエストパケットの送信元が正当であると判定する。そうでない場合、処理部２２は、ＡＲＰリクエストパケットの送信元が不正端末３であると判定して、不正端末３の通信を遮断する。
【００４８】
以上のように、この不正端末遮断システムであっても、ＡＲＰリクエストパケットに、グループＩＤに加えて認証値を含めるので、認証値が異なっていれば当該不正端末３の通信を遮断でき、セキュリティ性を向上させることができる。また、この不正端末遮断システムによれば、認証値として上述の秘密鍵２３ｂを用いるよりも、セキュリティ性を向上させることができる。すなわち、不正端末遮断装置２等から秘密鍵２３ｂが漏洩した場合に、当該秘密鍵２３ｂとＡＲＰリクエストパケットのグループＩＤ及びＭＡＣアドレスとによって、認証値を偽装できる。しかし、この不正端末遮断システムによれば、不正端末遮断装置２等から通信装置１Ａ，１Ｂの公開鍵２３ｃが漏洩しても、通信装置１Ａ，１Ｂの私有鍵が漏洩しなければ、不正端末３により認証値を生成することができない。したがって、この不正端末遮断システムは、よりセキュリティ性を高めることができる。
【００４９】
更に、第２実施形態として示す不正端末遮断システムにおいて、通信装置１Ａ，１Ｂは、認証値を得るための計算対象として、ＩＰアドレスを含めても良い。また、この不正端末遮断システムにおいて、通信装置１Ａ，１Ｂは、図１３に示すように、グループＩＤ１４ａに加えて、秘密鍵１４ｃが設定されている。
【００５０】
この通信装置１Ａ，１Ｂは、例えば図１４に示すように、認証値フィールドに、秘密鍵１４ｃ、ＭＡＣアドレス、ＩＰアドレス、グループＩＤ１４ａを結合し、ハッシュした値を格納したＡＲＰリクエストパケットを作成する。また、通信装置１Ａ，１Ｂは、ＩＰアドレスを含む値をハッシュした値に対して公開鍵暗号方式の私有鍵により暗号化した値を認証値フィールドに含めても良い。
【００５１】
処理部２２は、ＡＲＰリクエストパケットのパディング領域から、グループＩＤと認証値を取得する。処理部２２は、グループＩＤがアドレステーブル２３ａに予め登録されているか否かを判定する。また、処理部２２は、受信した認証値と、通信装置１Ａ，１Ｂと同様の方法により、ＩＰアドレスを含む値を計算して得た認証値とが一致しているか否かを判定する。処理部２２は、グループＩＤがアドレステーブル２３ａに予め登録されており、当該受信した認証値と、登録されたＩＰアドレスを含む値から計算した値とが同一である場合に、ＡＲＰリクエストパケットの送信元が正当であると判定する。そうでない場合、処理部２２は、ＡＲＰリクエストパケットの送信元が不正端末３であると判定して、不正端末３の通信を遮断する。
【００５２】
以上のように、この不正端末遮断システムは、ＡＲＰリクエストパケットに、グループＩＤに加えて認証値を含めるので、認証値が異なっていれば当該不正端末３の通信を遮断でき、セキュリティ性を向上させることができる。ここで、不正端末３が取得したＭＡＣアドレスを使用して、他のネットワークからＡＲＰリクエストパケットを送信した場合には、容易に偽装されてしまう。しかし、この不正端末遮断システムは、他のネットワークから不正端末３がＡＲＰリクエストパケットを送信しても、通信ネットワークＮＴと他のネットワークとではＩＰアドレスが異なるため、通信ネットワークＮＴで傍受した認証値が一致しなくなる。したがって、この不正端末遮断システムは、よりセキュリティ性を高めることができる。
【００５３】
［第３実施形態］
つぎに、第３実施形態に係る不正端末遮断システムについて説明する。なお、上述の実施形態と同様の部分については同一符号を付することによりその詳細な説明を省略する。
【００５４】
第３実施形態として示す不正端末遮断システムは、グループＩＤを含むＡＲＰリクエストパケットに含まれている通信装置１Ａ，１ＢのＩＰアドレスとＭＡＣアドレスとを不正端末遮断装置２のアドレステーブル２３ａに一時的に登録する。そして、不正端末遮断装置２は、一時的にアドレステーブル２３ａに登録された通信装置１Ａ，１ＢのＩＰアドレスとＭＡＣアドレスとを、当該不正端末遮断システムの管理者のＰＣ操作等に応じて、正式にアドレステーブル２３ａに登録するものである。
【００５５】
この不正端末遮断システムは、例えば、図１５に示すように、通信装置１Ａ，１ＢのグループＩＤ（Ｍ）を盗聴した不正端末３’が通信ネットワークＮＴに接続されている。この場合、不正端末３’は、ＡＲＰリクエストパケットのパディング領域にグループＩＤ（Ｍ）を格納すると不正と判断されず、通信装置１Ａ，１ＢのＭＡＣアドレスを取得してしまう恐れがある。これに対し、不正端末遮断システムは、グループＩＤが不正端末遮断装置２のアドレステーブル２３ａに登録されていても、一時的にアドレステーブル２３ａに仮に登録する。
【００５６】
このために、不正端末遮断装置２は、図１６に示すように、記憶部２３に、一時的にアドレステーブル２３ａに登録されたＭＡＣアドレス２３ｄとステータス２３ｅとを対応付けた一時登録テーブルを記憶している。ステータス２３ｅは、管理者により正式に登録が許可された「承認」、管理者により未だ登録の可否がされていない「保留」、管理者により登録が拒否された「遮断」の何れかである。このステータス２３ｅは、設定Ｉ／Ｆ２４を介して、管理者のＰＣ操作等により、ＭＡＣアドレスごとに、「承認」又は「遮断」の命令が供給されることにより、「保留」から「承認」又は「遮断」に切り替えられる。
【００５７】
また、不正端末遮断装置２は、通知Ｉ／Ｆ２５を備える。ＡＲＰリクエストパケットの送信元ＭＡＣアドレスがアドレステーブル２３ａに未登録である場合に、その旨を通知Ｉ／Ｆ２５を介して、管理者に通知する。通知Ｉ／Ｆ２５は、例えば、管理者の操作ＰＣが接続され、未登録のＭＡＣアドレスを有する端末からＡＲＰリクエストパケットが送信された旨が画面表示等により通知される。
【００５８】
このような不正端末遮断システムにおける不正端末遮断装置２は、ＡＲＰパケットを受信したときに、図１７に示す処理を行う。
【００５９】
先ず、処理部２２は、通信ネットワークＮＴから傍受したＡＲＰリクエストパケットに含まれるグループＩＤ及びＭＡＣアドレスを取り出す。次に、処理部２２は、ステップＳ１１において、受信したグループＩＤが、記憶部２３のアドレステーブル２３ａに登録されているか否かを判定する。受信したグループＩＤが登録されていない場合には、ステップＳ１２において、当該ＡＲＰリクエストパケットの送信元を不正端末３と判定し、通信を遮断する。一方、受信したグループＩＤが登録されている場合には、ステップＳ３１に処理を進める。
【００６０】
ステップＳ３１において、処理部２２は、ＡＲＰリクエストパケットの送信元ＭＡＣアドレスがアドレステーブル２３ａに登録されているか否かを判定する。ＡＲＰリクエストパケットの送信元ＭＡＣアドレスがアドレステーブル２３ａに登録されていない場合、ステップＳ３４において、処理部２２は、通知Ｉ／Ｆ２５を介して、ＭＡＣアドレスが登録されていない端末が通信ネットワークＮＴに接続された旨の通知を行う。また、処理部２２は、ステップＳ３５において、記憶部２３に一時的に登録するために、当該ＭＡＣアドレス２３ｄを記憶し、当該ＭＡＣアドレス２３ｄに対応して「保留」のステータス２３ｅを記憶して、一時登録テーブルを更新する。
【００６１】
ＡＲＰリクエストパケットの送信元ＭＡＣアドレスがアドレステーブル２３ａに登録されている場合、処理部２２は、ステップＳ３２において、ステータス２３ｅが「遮断」であるか否かを判定する。ステータス２３ｅが「遮断」である場合には、処理部２２は、ステップＳ３３において、ＡＲＰリクエストパケットの送信元が不正端末３であり、当該不正端末３の通信を遮断する。一方、処理部２２は、ステータス２３ｅが「遮断」ではない場合、予め設定されたポリシーに従った処理を行う。
【００６２】
以上のように、第３実施形態として示した不正端末遮断システムによれば、グループＩＤがアドレステーブル２３ａに登録されて、ＭＡＣアドレスがアドレステーブル２３ａに登録されていない場合には、一時的な登録とする。したがって、この不正端末遮断システムによれば、グループＩＤが登録されていれば自動的にアドレステーブル２３ａに登録して通信を許可することを回避できる。
【００６３】
また、この不正端末遮断システムは、一時的にアドレステーブル２３ａに登録している場合、その後の管理者のＰＣ操作に応じて正式な登録をすることができる。したがって、この不正端末遮断システムによれば、新たに通信ネットワークＮＴに接続された通信装置が不正端末３であるかの判断を管理者に委ねることができ、よりセキュリティ性を高めることができる。
【００６４】
なお、上述の実施の形態は本発明の一例である。このため、本発明は、上述の実施形態に限定されることはなく、この実施の形態以外であっても、本発明に係る技術的思想を逸脱しない範囲であれば、設計等に応じて種々の変更が可能であることは勿論である。
【符号の説明】
【００６５】
１Ａ，１Ｂ  通信装置
２  不正端末遮断装置
３  不正端末
１１  ＬＡＮＩ／Ｆ
１２  ＩＰ通信部
１３  処理部
１４ａ  グループＩＤ
１４ｂ  認証値
１４ｃ  秘密鍵
２１  ＬＡＮＩ／Ｆ
２２  処理部
２３  記憶部
２３ａ  アドレステーブル
２３ｂ  秘密鍵
２３ｃ  公開鍵
２３ｄ  ＭＡＣアドレス
２３ｅ  ステータス
【図１】
2011205451.tif 000003
【図２】
2011205451.tif 000004
【図３】
2011205451.tif 000005
【図４】
2011205451.tif 000006
【図５】
2011205451.tif 000007
【図６】
2011205451.tif 000008
【図７】
2011205451.tif 000009
【図８】
2011205451.tif 000010
【図９】
2011205451.tif 000011
【図１０】
2011205451.tif 000012
【図１１】
2011205451.tif 000013
【図１２】
2011205451.tif 000014
【図１３】
2011205451.tif 000015
【図１４】
2011205451.tif 000016
【図１５】
2011205451.tif 000017
【図１６】
2011205451.tif 000018
【図１７】
2011205451.tif 000019
【図１８】
2011205451.tif 000020
【図１９】
2011205451.tif 000021
【図２０】
2011205451.tif 000022
【図２１】
2011205451.tif 000023