(57)【要約】【課題】  認証サーバを有しない複数の情報処理装置から構成されるネットワークにおいて、不正な装置のネットワーク接続を装置単位で遮断する手段を提供する。【解決手段】  不正な装置を各装置で検出し、不正な装置が直接接続されたスイッチングハブの制御指令を各装置から送信する。当該制御指令を受信したスイッチングハブは、制御指令の内容に基づき、不正な装置が接続された自身の接続ポート、もしくは当該スイッチングハブが有する経路情報テーブルを電子的に制御し、不正な装置のネットワーク接続を遮断する。【選択図】  図1
2015035724.tif 000002
【特許請求の範囲】
【請求項１】
ネットワークに分散した複数の情報処理装置を備えたネットワーク制御装置において、
前記情報処理装置は相互に認証する手段を有し、前記ネットワーク内に異常な情報処理装置が存在する場合、ネットワークに分散した前記情報処理装置が前記異常な情報処理装置を検知する手段と、
前記複数の情報処理装置の内、前記不正な装置を検知した一台以上の情報処理装置が、前記不正な装置のネットワーク接続を電子的に制御する手段を備えたことを特徴とするネットワーク制御装置。
【請求項２】
請求項1のネットワーク制御装置において、
前記不正な装置のネットワーク接続を電子的に制御する手段として、ネットワーク経由で前記不正な装置のネットワーク接続を制御することを有することを特徴とするネットワーク制御装置。
【請求項３】
請求項2のネットワーク制御装置において、
前記不正な装置のネットワーク接続を制御する手段として、不正な装置が接続されたスイッチングハブへ制御指令を送信することを特徴とするネットワーク制御装置。
【請求項４】
請求項１のネットワーク制御装置において、
不正な装置を検知した前記複数の情報処理装置が、当該スイッチへアクセスする装置を一台、もしくは不正な装置を検知した装置数以下に絞る手段を有することを特徴とするネットワーク制御装置。
【請求項５】
請求項１のネットワーク制御装置において、
前記情報処理装置が異常な情報処理装置を検知する手段として、
前記認証失敗回数を参照すること特徴とするネットワーク制御装置。
【請求項６】
請求項１のネットワーク制御装置において、
前記情報処理装置が異常な情報処理装置を検知する手段として、
認証リクエストの受信頻度を計数することを特徴とするネットワーク制御装置。
【請求項７】
請求項１のネットワーク制御装置において、
前記情報処理装置が異常な情報処理装置を検知する手段として、
認証失敗回数および認証リクエストの受信頻度を参照することを特徴とするネットワーク制御装置。
【請求項８】
請求項１のネットワーク制御装置において、
前記情報処理装置が異常な情報処理装置を検知する手段として、
取得したフレームやパケットから送信元を不正な情報処理装置と見なすことを特徴とするネットワーク制御装置。
【請求項９】
請求項１のネットワーク制御装置において、
前記情報処理装置が異常な情報処理装置を検知する手段として、
正常範囲外のデータを発信する装置を不正な装置と見なすことを特徴とするネットワーク制御装置。
【請求項１０】
請求項１のネットワーク制御装置において、
前記情報処理装置が異常な情報処理装置を検知する手段として、
同一ネットワーク内の他情報処理装置からMACアドレスまたはIPアドレスを取得し、取得したMACアドレスまたはIPアドレスに該当する装置を不正な装置と見なすことを特徴とするネットワーク制御装置。
【請求項１１】
請求項１のネットワーク制御装置において、
前記情報処理装置が異常な情報処理装置を検知する手段として、
同一ネットワーク内の他情報処理装置から不正な装置を検出したメッセージを受信し、前記メッセージを受信した装置自身がネットワークを監視し、不正な装置を前記メッセージを受信した装置自身が検出することを特徴とするネットワーク制御装置。
【請求項１２】
請求項3のネットワーク制御装置において、
前記不正な装置が接続されたスイッチングハブへ制御指令を送信する手段として、各装置が所有する一台以上のスイッチ経路情報テーブルを参照し、不正な装置が接続された直近のスイッチのスイッチ経路情報テーブルを取得し、前記不正な装置が接続された直近のスイッチの経路情報テーブルを再構成し、前記不正な装置が接続された直近のスイッチが有する経路情報テーブルを書き換える指令を前記不正な装置が接続された直近のスイッチへ送信することを特徴とするネットワーク制御装置。
【請求項１３】
請求項3のネットワーク制御装置において、
前記不正な装置が接続されたスイッチングハブへ制御指令を送信する手段として、前記各情報処理装置が所有する一台以上のスイッチの経路情報テーブルを参照し、不正な装置が接続された直近のスイッチのスイッチ経路情報テーブルを取得できない場合、前記不正な装置が接続された直近のスイッチを制御する依頼をネットワーク内の他の情報処理装置へ通知することを特徴とするネットワーク制御装置。
【請求項１４】
請求項13のネットワーク制御装置において、
前記各情報処理装置が所有する一台以上のスイッチ経路情報テーブルに関して、前記スイッチ経路情報テーブルが、前記スイッチ経路情報テーブルと対応するスイッチが有する経路情報テーブルの内容を反映することを特徴とするネットワーク制御装置。
【請求項１５】
請求項12のネットワーク制御装置において、
前記不正な情報処理装置が接続された直近のスイッチの経路情報テーブルを再構成する手段として、前記不正な情報処理装置が接続されたスイッチの接続ポートを無効にすることを特徴とするネットワーク制御装置。
【請求項１６】
請求項12のネットワーク制御装置において、
前記不正な情報処理装置が接続された直近のスイッチの経路情報テーブルを再構成する手段として、前記不正な情報処理装置のVLAN IDを書き換えることを特徴とするネットワーク制御装置。
【請求項１７】
請求項4のネットワーク制御装置において、
スイッチへアクセスする情報処理装置を一台、もしくは不正な情報処理装置を検知した情報処理装置数以下に絞る手段として、スイッチを制御する情報処理装置の優先順位を元に実行することを特徴とするネットワーク制御装置。
【請求項１８】
請求項１７のネットワーク制御装置において、
優先順位を元にスイッチへアクセスする情報処理装置を一台、もしくは不正な情報処理装置を検知した情報処理装置数以下に絞る処理として、優先順位が低い情報処理装置は、不正な情報処理装置の検知処理と、前記不正な情報処理装置が接続された直近のスイッチを制御する依頼のみ実行することを特徴とするネットワーク制御装置。
【請求項１９】
請求項１７のネットワーク制御装置において、
優先順位を元にスイッチへアクセスする情報処理装置を一台、もしくは不正な情報処理装置を検知した情報処理装置数以下に絞る処理として、優先順位が低い情報処理装置は、時間差をおいて不正な情報処理装置が直接接続されたスイッチが有する経路情報テーブルを参照、もしくは更新するための制御指令を送信することを特徴とするネットワーク制御装置。
【請求項２０】
請求項１７のネットワーク制御装置において、
優先順位を元にスイッチへアクセスする制御装置を一台、もしくは不正な制御処理装置を検知した制御処理装置数以下に絞る処理として、優先順位が低い制御処理装置は、処理の実行周期、または実行優先度を低く設定することを特徴とするネットワーク制御装置。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は情報通信ネットワークを形成するネットワーク制御装置に関する。
【背景技術】
【０００２】
情報処理装置向けセキュリティ技術として認証技術がある。
【０００３】
情報処理装置における認証技術とは、情報処理装置を利用する者や通信する対象の正当性を保証する技術であり、IT社会を支える基本的なセキュリティ技術である。
【０００４】
情報システムでは、RADIUS(Remote Access Dial-In User Service)サーバなどのユーザ情報管理サーバが、パスワードなどを元にユーザを認証し、情報システム利用可否を判定する。
【０００５】
正当でないと判定された情報処理装置は、情報システムへログインできず、情報システムの利用を制限される。
【０００６】
近年、情報システムに加え、電力やガスなどのインフラを支える産業制御システムに置いてもセキュリティ技術が重要視されるようになった。
【０００７】
中でも、不正な情報処理装置の侵入を防ぐ方法を提供する認証技術は、悪意ある者が産業制御システムへ不正にアクセスし、不正な制御信号を送信する脅威や、システムそのものが乗っ取られる脅威を防ぐことができる。
【０００８】
産業制御システムの不正アクセスによる被害例として、制御装置の破損や制御の不完全処理が挙げられる。特に送電システムや発電システムなど、重要なインフラシステムへ不正にアクセスされた場合、その被害も尋常でない。以上の理由により、産業制御システムへの不正アクセスは確実に遮蔽される必要がある。
【０００９】
加え、不正な装置と判断された装置ネットワーク接続されたままで有る場合、システムの制御処理が阻害される可能性がある。たとえば、インターネット上の情報システムの場合、不正アクセスできなかった情報処理装置が、認証サーバに対して多くの認証リクエストを送信することでDoS(Denial of Service:サービス不能)攻撃が成立する恐れがある。
【００１０】
可用性を重視する産業制御システムにおいてDoS攻撃が発生した場合、ネットワークの負荷が増大し、制御処理が阻害される可能性が高い。不正と判断された装置は、ネットワーク接続を遮断し、制御処理を実行する装置を保護しなければならない。
【００１１】
不正な装置のネットワーク接続を遮断する技術として、IEEE802.1Xと呼ばれる技術がある(非特許文献1)。 IEEE802.1Xは、LAN(Local Area Network)における認証およびネットワーク接続を制限する技術であり、本技術に対応したLayer2スイッチングハブ(以下スイッチングハブ)およびRADIUSサーバから構成される。
【００１２】
IEEE802.1Xでは、ネットワークへ接続する各情報処理装置がサプリカントと呼ばれる専用クライアントアプリケーションを有しており、サプリカントは、スイッチングハブを介し、RADIUSサーバとEAP(Extended Authentication Protocol)認証を行う。RADIUSサーバは、クライアントを認証できなかった場合、スイッチングハブに対してスイッチングハブ内部の経路情報テーブルを書き換えるよう指令を与える。指令を受信したスイッチングハブは経路情報テーブルを書き換え、論理的に別のネットワークグループに割り当てる。こうすることで RADIUSサーバが検知した不正な装置の接続を遮断できる。
【００１３】
認証技術として、RADIUSサーバのような専用認証サーバを用いない認証技術もある。非特許文献2の技術は、専用サーバを用いず、通信を行う当該ノード間で相互に認証する方式である。 
産業制御システムの場合、単一障害点となり得るRADIUSサーバなどの専用サーバ設置は望まれない。加えて、サーバの導入コストや維持コストの負担もあり、システムのライフサイクルが情報システムと比べて非常に長い産業制御システムにとって、その管理コストも大きな負担となる。したがって、産業制御システム内の制御ネットワークにおいて、非特許文献2の相互認証ネットワーク技術は有用である。
【００１４】
しかしながら、非特許文献2記載の相互認証ネットワークはRADIUSサーバを有しないため、非特許文献1の装置隔離技術を導入できない。つまり非特許文献2の技術に代表される相互認証ネットワークでは、スイッチングハブを制御する手段が現状存在しない。
【００１５】
認証サーバを用いずに不正な装置のネットワーク接続を遮断する公知技術として、スイッチングハブが異常を検知し、当該情報処理装置を隔離する手段がある(特許文献1)。
【００１６】
特許文献1における技術は、スイッチングハブ内の各ポートをスイッチングハブ自身が監視し、異常な振舞いを検知し、該当するポートの通信を遮断するスイッチングハブである。このスイッチングハブは、過剰なブロードキャストフレームなど、異常な通信データを検知した場合、自身の経路情報テーブルを強制的に書き換え、異常を検出したポートのネットワーク接続を遮断する。 
【先行技術文献】
【特許文献】
【００１７】
【特許文献１】特開平11−341039号公報
【非特許文献】
【００１８】
【非特許文献１】IEEE802.1X-2004
【非特許文献２】電子情報通信学会技術研究報告、102巻、693号、125p-128p(2003)
【発明の概要】
【発明が解決しようとする課題】
【００１９】
しかしながら、ポート単位で通信を遮断する特許文献1の技術は、複数のスイッチングハブをカスケード接続した場合、スイッチングハブ単位で通信を遮断される。そのため、遮断されたスイッチングハブに接続された正常な装置のネットワーク接続が遮断される恐れもある。
【００２０】
加えて、特許文献1のスイッチングハブの不正な装置を検知する手段が機能しなくなった場合、そこが単一障害点となり得る。単一障害点は、システムの可用性を低下させるため、高い可用性が求められる制御システムに適用することは難しい。したがって特許文献1の技術は、制御システムで求められる十分な性能を満足できない。
【００２１】
本発明は装置単位で不正な情報処理装置をネットワークから隔離し、かつ単一障害のリスクが無い情報処理のネットワーク制御装置を提供することを目的とする。 
【課題を解決するための手段】
【００２２】
上記課題を達成するために、本発明はネットワークに分散した複数の情報処理装置を備えたネットワーク制御装置において、前記情報処理装置は相互に認証する手段を有し、前記ネットワーク内に異常な情報処理装置が存在する場合、ネットワークに分散した前記情報処理装置が前記異常な情報処理装置を検知する手段と、前記複数の情報処理装置の内、前記不正な装置を検知した一台以上の情報処理装置が、前記不正な装置のネットワーク接続を電子的に制御する手段を備えたことを特徴とするものである。
【００２３】
更に本発明はネットワーク制御装置において、前記不正な装置のネットワーク接続を電子的に制御する手段として、ネットワーク経由で前記不正な装置のネットワーク接続を制御することを有することを特徴とするものである。
【００２４】
更に本発明はネットワーク制御装置において、前記不正な装置のネットワーク接続を制御する手段として、不正な装置が接続されたスイッチングハブへ制御指令を送信することを特徴とするものである。
【００２５】
更に本発明はネットワーク制御装置において、不正な装置を検知した前記複数の情報処理装置が、当該スイッチへアクセスする装置を一台、もしくは不正な装置を検知した装置数以下に絞る手段を有することを特徴とするものである。
【００２６】
更に本発明はネットワーク制御装置において、前記情報処理装置が異常な情報処理装置を検知する手段として、前記認証失敗回数を参照すること特徴とするものである。
【００２７】
更に本発明はネットワーク制御装置において、前記情報処理装置が異常な情報処理装置を検知する手段として、認証リクエストの受信頻度を計数することを特徴とするものである。
【００２８】
更に本発明はネットワーク制御装置において、前記情報処理装置が異常な情報処理装置を検知する手段として、認証失敗回数および認証リクエストの受信頻度を参照することを特徴とするものである。
【００２９】
更に本発明はネットワーク制御装置において、前記情報処理装置が異常な情報処理装置を検知する手段として、取得したフレームやパケットから送信元を不正な情報処理装置と見なすことを特徴とするものである。
【００３０】
更に本発明はネットワーク制御装置において、前記情報処理装置が異常な情報処理装置を検知する手段として、正常範囲外のデータを発信する装置を不正な装置と見なすことを特徴とするものである。
【００３１】
更に本発明はネットワーク制御装置において、前記情報処理装置が異常な情報処理装置を検知する手段として、同一ネットワーク内の他情報処理装置からMACアドレスまたはIPアドレスを取得し、取得したMACアドレスまたはIPアドレスに該当する装置を不正な装置と見なすことを特徴とするものである。
【００３２】
更に本発明はネットワーク制御装置において、前記情報処理装置が異常な情報処理装置を検知する手段として、同一ネットワーク内の他情報処理装置から不正な装置を検出したメッセージを受信し、前記メッセージを受信した装置自身がネットワークを監視し、不正な装置を前記メッセージを受信した装置自身が検出することを特徴とするものである。
【００３３】
更に本発明はネットワーク制御装置において、前記不正な装置が接続されたスイッチングハブへ制御指令を送信する手段として、各装置が所有する一台以上のスイッチ経路情報テーブルを参照し、不正な装置が接続された直近のスイッチのスイッチ経路情報テーブルを取得し、前記不正な装置が接続された直近のスイッチの経路情報テーブルを再構成し、前記不正な装置が接続された直近のスイッチが有する経路情報テーブルを書き換える指令を前記不正な装置が接続された直近のスイッチへ送信することを特徴とするものである。
【００３４】
更に本発明はネットワーク制御装置において、前記不正な装置が接続されたスイッチングハブへ制御指令を送信する手段として、前記各情報処理装置が所有する一台以上のスイッチの経路情報テーブルを参照し、不正な装置が接続された直近のスイッチのスイッチ経路情報テーブルを取得できない場合、前記不正な装置が接続された直近のスイッチを制御する依頼をネットワーク内の他の情報処理装置へ通知することを特徴とするものである。
【００３５】
更に本発明はネットワーク制御装置において、前記各情報処理装置が所有する一台以上のスイッチ経路情報テーブルに関して、前記スイッチ経路情報テーブルが、前記スイッチ経路情報テーブルと対応するスイッチが有する経路情報テーブルの内容を反映することを特徴とするものである。
【００３６】
更に本発明はネットワーク制御装置において、前記不正な情報処理装置が接続された直近のスイッチの経路情報テーブルを再構成する手段として、前記不正な情報処理装置が接続されたスイッチの接続ポートを無効にすることを特徴とするものである。
【００３７】
更に本発明はネットワーク制御装置において、前記不正な情報処理装置が接続された直近のスイッチの経路情報テーブルを再構成する手段として、前記不正な情報処理装置のVLAN IDを書き換えることを特徴とするものである。
【００３８】
更に本発明はネットワーク制御装置において、スイッチへアクセスする情報処理装置を一台、もしくは不正な情報処理装置を検知した情報処理装置数以下に絞る手段として、スイッチを制御する情報処理装置の優先順位を元に実行することを特徴とするものである。
【００３９】
更に本発明はネットワーク制御装置において、優先順位を元にスイッチへアクセスする情報処理装置を一台、もしくは不正な情報処理装置を検知した情報処理装置数以下に絞る処理として、優先順位が低い情報処理装置は、不正な情報処理装置の検知処理と、前記不正な情報処理装置が接続された直近のスイッチを制御する依頼のみ実行することを特徴とするものである。
【００４０】
更に本発明はネットワーク制御装置において、優先順位を元にスイッチへアクセスする情報処理装置を一台、もしくは不正な情報処理装置を検知した情報処理装置数以下に絞る処理として、優先順位が低い情報処理装置は、時間差をおいて不正な情報処理装置が直接接続されたスイッチが有する経路情報テーブルを参照、もしくは更新するための制御指令を送信することを特徴とするものである。
【００４１】
更に本発明はネットワーク制御装置において、優先順位を元にスイッチへアクセスする制御装置を一台、もしくは不正な制御処理装置を検知した制御処理装置数以下に絞る処理として、優先順位が低い制御処理装置は、処理の実行周期、または実行優先度を低く設定することを特徴とするものである。
【００４２】
このように、スイッチングハブに接続された各装置は、ネットワーク内で不正な装置を検出した場合、異常装置が接続するスイッチングハブを特定し、対象のスイッチングハブの経路情報テーブルを書き換える制御信号を送信する。制御信号を受信したスイッチングハブは、制御信号の内容に応じ、異常装置のネットワーク接続を遮断する。
【００４３】
また、スイッチングハブを制御できる装置が限定される場合、異常装置を検知した装置がスイッチングハブを制御できる装置へ通知し、対象スイッチングハブの経路情報テーブルを書き換える。
【発明の効果】
【００４４】
本発明によれば、認証サーバが存在しない認証ネットワークにおいて、不正な装置を装置単位で隔離することができる。そのため、誤って正当な装置のネットワーク接続を遮断することを防ぐことが実現できる。
【００４５】
加えて、各装置が異常装置を検知するため、単一障害点のリスクを回避できる。そのため、システムの可用性低下を避けることなく、異常装置のネットワーク接続の遮断を実現できる。
【図面の簡単な説明】
【００４６】
【図１】本発明の情報処理装置の全体構成を示す図。
【図２】スイッチ制御処理部11の構成を示す図。
【図３】スイッチアクセス情報管理部12を示す図。
【図４】スイッチアクセス情報データベースの構成例を示す図。
【図５】異常装置検知部13の構成を示す図。
【図６】本発明の情報処理装置から構成されるネットワークの構成例を示す図。
【図７】図6の構成例において、本発明の情報処理装置のフローチャートを示す図。
【図８】本発明の情報処理装置から構成されるネットワークの構成例を示す図。
【図９】図8の構成例において、本発明の情報処理装置のフローチャートを示す図。
【図１０】図8の構成例において、本発明の情報処理装置のフローチャートを示す図。
【発明を実施するための形態】
【００４７】
以下、図面を用いて本発明の実施例を説明する。
【実施例１】
【００４８】
図1は、本発明の実施形態である情報処理装置M1の構成である。本情報処理装置M1は、スイッチ制御処理部11と、スイッチアクセス情報管理部12および異常装置検知部13から構成される。情報処理装置M1は、レイヤー2スイッチングハブ(以下、L2スイッチ)SW1に接続されており、スイッチSW1経由で他の情報処理装置と通信する。
【００４９】
図2は、スイッチ制御処理部11の構成である。スイッチ制御処理部11は、スイッチ制御指令送信部111と、スイッチ制御指令生成部112と、スイッチ情報同期部113から構成される。
【００５０】
スイッチ制御指令送信部111は、L2スイッチSW1の経路情報テーブルを強制的に書き換える制御指令を送信する。または検出した異常な情報処理装置の情報を他の情報処理装置へ通知する。
【００５１】
スイッチ制御指令生成部112は、不正装置検出部13から得られた不正な情報処理装置の情報をもとに、スイッチアクセス情報管理部12へ情報を問い合わせ、不正な情報処理装置が接続されたスイッチやポート情報を取得する。またL2スイッチSW1に認証が必要な場合、ログインIDやパスワードなどの認証情報も併せて取得する。これらの情報を取得後、スイッチ制御指令を生成し、スイッチ制御指令送信部111へ通知する。
スイッチ制御指令生成部112は、最新のスイッチSW1の経路情報テーブルを取得し、スイッチアクセス情報管理部12へ転送する。
【００５２】
図3はスイッチアクセス情報管理部12の構成を示す。スイッチアクセス情報管理部12は、データベース管理部121と、スイッチアクセス情報データベース122から構成される。
【００５３】
データベース管理部121は、スイッチアクセス情報データベース122を管理する。例えば、スイッチ制御指令生成部112の問い合わせに対して応答し、スイッチアクセス情報データベース122への参照処理や、スイッチ制御指令生成部112から取得した経路情報テーブルの更新処理を実行する。
【００５４】
図４にスイッチアクセス情報データベース122の構成例を示す。スイッチアクセス情報データベース122は、ネットワークに接続された各情報処理装置のアドレスと接続されたスイッチやスイッチの接続ポートの対応テーブル122aやVLAN(Virtual LAN)情報122b、スイッチへのアクセスに必要なログイン情報122cを有する。任意装置のネットワーク接続を遮断する方法によっては、VLAN情報122bは不要な場合もある。例えば、スイッチが自身の任意ポートを無効化する機能を有する場合、VLAN情報122bは不要である。
【００５５】
スイッチアクセス情報データベース122の情報は、スイッチ制御指令生成部112を介し、スイッチSW1と同期する。各情報処理装置からL2スイッチSW1へ定期的に問い合わせ、スイッチアクセス情報データベース122の内容を常に最新状態にする。
【００５６】
図５に不正装置検出部13の構成を示す。不正装置検出部13はネットワーク監視部133と、不正疑惑装置検知部132と、不正装置判定部131から構成される。
【００５７】
ネットワーク監視部133は、情報処理装置M1が接続されたポートからL2スイッチSW1が処理するパケットやフレーム情報を取得することで、ネットワークを監視する。取得したパケットやフレーム情報は、不正疑惑装置検出部132へ転送する。もしくは、自情報処理装置宛てのパケットやフレームのみ監視し、取得した情報を不正疑惑装置検出部132へ転送する。
【００５８】
不正疑惑装置検出部132は、ネットワーク監視部132から取得したパケットやフレームから、異常な挙動をする情報処理装置を検出し、不正な情報処理装置の可能性がある情報処理装置としてリスト化する。例えば、不正疑惑装置検出部132にて、認証リクエストパケットの受信頻度や受信間隔を計測し、過剰に認証リクエストパケットを送信する情報処理装置を検出する。
【００５９】
不正装置判定部131は、不正疑惑装置検出部132が検出した不正な情報処理装置の疑いがある情報処理装置が、異常な情報処理装置かどうか判断する。例えば、認証リクエストパケット受信回数の閾値を不正装置判定部133が有しており、不正疑惑装置検出部132から得た認証リクエストパケット受信回数の計数情報と比較し、閾値を超える場合、当該情報処理装置を不正装置として判断する。
【００６０】
不正装置判定部131が不正な情報処理装置と判断した場合、当該情報処理装置のMACアドレスをスイッチ制御処理部11のスイッチ制御指令生成部112へ転送する。
【００６１】
本発明の一連の処理を、図を用いて説明する。
【００６２】
図6は、スイッチ制御処理部11と、スイッチアクセス情報管理部12と、不正装置検出部13とを具備する複数の情報処理装置M11〜M13およびL2スイッチSW11から構成されるネットワークである。情報処理装置M11〜M13と通信するためには、各情報処理装置と認証する必要があり、情報処理装置M11〜M13は、認証完了するまで、認証用の通信データのみ受け付けるものとする。認証完了後、情報処理装置M11〜M13は、認証用以外の通信データも受信許可する。
【００６３】
このネットワークおいて、接続許可されない情報処理装置(不正装置)X11が接続したものとする。
【００６４】
図７に本発明における一連の処理のフローチャートを示す。 
不正装置X11は認証リクエストをネットワーク内の各情報処理装置に送信する。不正装置X11は、各情報処理装置の認証突破を試み、あらゆるパターンの認証リクエストパケットを情報処理装置M11〜M13へ転送する。
【００６５】
不正装置X11の認証リクエストは、情報処理装置M11〜M13の不正装置検出部13にて、不正装置X11のデータ送信状況の統計しつつ、各情報処理装置M11〜M13にて認証処理を実行する。仮に不正装置X11が正当な情報処理装置である場合、認証処理完了と共に他通信データの受信を許可され、他情報処理装置と正常に通信できるようになる(S002)。 
不正装置X11の認証リクエスト送信回数が所定の回数を超え、不正装置検出部13にて認証リクエスト送信元(不正装置X11)を不正な情報処理装置と判定する(ステップ(以下、Sと称する)001)。例えば、認証失敗した回数が2回以上の情報処理装置から、更に認証リクエストを受信した場合に、認証リクエスト送信元を不正な情報処理装置と判断する。
【００６６】
不正装置検出部13により不正装置X11が不正な情報処理装置と判定された場合、不正装置X11のMACアドレスを取得し、その情報をスイッチ制御処理部11へ受け渡す(S003)。不正装置X11のMACアドレスを取得できない場合、ARP(Address Resolution Protocol)により不正装置X11のMACアドレスを取得する。
【００６７】
不正装置X11のMACアドレスを受け取ったスイッチ制御処理部11内のスイッチ制御指令生成部112は、不正装置X11のアドレス情報をスイッチアクセス情報管理部へ受け渡す。不正装置X11の情報を取得したスイッチアクセス情報管理部12は、データベース管理部121と不正装置X11のMACアドレスをもとに、スイッチアクセス情報データベースへ問い合わせ、不正装置X11が接続されたL2スイッチSW11の接続ポート情報を取得し、スイッチ制御指令生成部112へ転送する(S004)。
【００６８】
不正装置X11が接続されたポート情報を取得したスイッチ制御指令生成部112は、L2スイッチSW11の経路情報テーブルを再構成し(S005)、当該ポートの通信を情報処理装置M11〜M13のネットワークから隔離する指令を生成する。例えば、不正装置X11が接続されたポートに別のネットワークグループ に振り分ける指令や、該当するポートを無効化する指令を生成する。
【００６９】
また、不正な情報処理装置が接続された直近のスイッチの経路情報テーブルを再構成する手段として、不正な情報処理装置のVLAN IDを書き換えることも可能である。
【００７０】
このように生成された指令は、スイッチ制御指令送信部111にてL2スイッチSW11にて送信される。不正な装置が接続された直近のL2スイッチSW11へ経路情報テーブルを書き換える経路情報テーブル更新指令を送信する。L2スイッチSW11は、この指令を受信した後、自身の経路情報を更新する(S006)。
【００７１】
L2スイッチSW11へアクセスする時、IDやパスワードによる認証が必要な場合がある。例として、HTTP(Hypertext Transfer protocol)ベースでL2スイッチSW11内の管理コンソールへログインする方法が挙げられる。このようにスイッチ制御に認証が必要な場合、認証が完了次第、スイッチの経路情報を更新する。
【００７２】
以上の手続きにより、不正装置X11は情報処理装置M11〜M13のネットワークから論理的に遮断される。
【００７３】
また、以上の手続きは、情報処理装置M11〜M13が独立して実行され、情報処理装置M11〜M13の内、異常を検知した各情報処理装置がそれぞれL2スイッチSW11を制御する。情報処理装置M11〜M13の内、一台でも不正装置X11を検出し、L2スイッチSW11を制御できたらよい。したがって、単一障害点のリスクを回避できるのみでなく、不正装置X11が接続してから早急に対処できる。
【００７４】
不正な情報処理装置の通信遮断する以外の用途として、情報処理装置の故障などが原因で異常な振舞いをする情報処理装置を不正な装置として検出し、ネットワークから通信を遮断することもできる。例えば、異常な制御パラメータ、又は、正常範囲外のデータを送信する情報処理装置を不正な情報処理装置とみなし、同様の処理を実行することで、当該情報処理装置のネットワーク接続を遮断できる。
【００７５】
ネットワーク内の各情報処理装置が独立してスイッチを制御する方法のほか、L2スイッチSW11を制御する情報処理装置を少数に絞る方法もある。例えば、情報処理装置M11〜M13間でL2スイッチSW11を制御する優先順位を規定する。ネットワーク内の各情報処理装置が不正な情報処理装置を同時に検出した場合、優先度の高い情報処理装置がL2スイッチSW11を制御する。
【００７６】
優先度が高い情報処理装置がL2スイッチSW11を制御する方法として、優先度が低い情報処理装置は、不正な情報処理装置の検出する処理のみを実行する方法がある。その実施例として、優先度が低い情報処理装置が不正な情報処理装置を検知した場合、スイッチの制御依頼を優先度が高い情報処理装置へ送信する方法が挙げられる。
【００７７】
これにより、L2スイッチSW11へアクセスする情報処理装置を一台、もしくは不正な情報処理装置を検知した装置数以下に絞ることが実現できる。
【００７８】
他にも、時間差をおいて不正な情報処理装置が直接接続されたスイッチが有する経路情報テーブルを参照、もしくは更新するための制御指令を送信すること、更には、当該スイッチの経路情報テーブルが更新済みである場合、スイッチの制御処理を実行しない方法もある。
【００７９】
加えて、不正装置検出部13のネットワーク監視処理や、不正な疑いがある情報処理装置の検出処理の処理周期や処理の優先度を、優先順位毎で異なる設定をする方法もある。例えば、優先度が低い情報処理装置を意図的に不正装置検出部13の処理の優先度を低く設定する方法や、処理の実行周期を長く設定する方法がある。
【００８０】
ネットワーク監視部13の処理のみでなく、本発明の処理の一部またはすべてに対し、処理周期や処理の優先度を設定する方法も同様である。
【００８１】
L2スイッチSW11を制御する情報処理装置の優先順位の決定方法は、各情報処理装置の処理性能や情報処理装置が実行する本来の制御処理の重要度に応じ決定する方法がある。優先度の順位付けの例として処理性能が高い情報処理装置や、本来の制御処理の重要性が低い情報処理装置の優先度を高く設定する方法がある。
【００８２】
複数のスイッチをカスケード接続した場合、特許文献1記載の公知技術ではスイッチ単位でネットワーク接続を遮断する。そのため、遮断されたスイッチに接続された正当な情報処理装置の通信まで遮断される恐れがある。この問題を解決する本発明の他の実施例を示す。
【実施例２】
【００８３】
図8は、スイッチ制御処理部11と、スイッチアクセス情報管理部12と、不正装置検出部13とを具備する複数の情報処理装置M21〜M24およびL2スイッチSW21およびL2スイッチSW22から構成されるネットワークである。
【００８４】
ここで、不正装置X21が情報処理装置M21へ不正アクセスを試みるものとする。
以下、図9に示すフローチャートを基に説明する。
【００８５】
情報処理装置M21は、自装置の不正装置検出部13により、不正装置X21を不正な情報処理装置と判定し(S101)、不正装置X21のMACアドレス取得後(S１０３)、情報処理装置M21中のスイッチアクセス情報管理部12へ、情報処理装置M21からL2スイッチSW22を制御可能か、不正装置X21が接続されたL2スイッチSW22へのアクセス情報を問い合わせる(S104)。情報処理装置M21からL2L2スイッチSW22を制御できる場合、スイッチ一台の時と同じ手続きでL2スイッチSW22へ制御指令を送信し、不正装置X21をネットワークから隔離する(S105、S106)。
【００８６】
情報処理装置M21がL2スイッチSW22を制御するための情報を有しない場合、スイッチアクセス情報管理部12は、L2スイッチSW22を制御できない諭旨を示すメッセージをスイッチ制御指令生成部112へ通知する。
【００８７】
通知を受けたスイッチ制御指令生成部112は、不正装置X21の遮断要求をユニキャスト、マルチキャスト、もしくはブロードキャストで送信し、不正装置X21のネットワーク接続を遮断する要求(遮断要求)を他の情報処理装置へ通知する(S107)。
【００８８】
情報処理装置M21が、L2スイッチSW22を制御できる情報処理装置の情報を有する場合、ユニキャストもしくはマルチキャストで送信し、そうでない場合に、ブロードキャストで不正装置X21の遮断要求のメッセージを送信する。
【００８９】
図１０に不正装置X21の遮断要求を受信した情報処理装置が実行する処理のフローチャートを示す。
【００９０】
不正装置X21の遮断要求を受信した各情報処理装置は、不正装置X21の遮断要求から不正装置X21のMACアドレスを取得する(S201)。MACアドレスを取得する方法として、遮断要求の中にMACアドレスを埋め込む方法や、埋め込まれた不正装置X21のIPアドレスからARP経由でMACアドレスを取得する方法がある。その他、遮断要求を受信した各情報処理装置が再度、自身で不正装置の有無を確認し、直接MACアドレスを取得する方法もある。
【００９１】
各情報処理装置は、前述の方法で取得した不正装置X21のMACアドレスから、自装置が、不正装置X21が接続された直近のL2スイッチSW22を制御可能かどうか調べる(S202)。
【００９２】
遮断要求を受信した任意の情報処理装置(ここでは、情報処理装置M24とする)がL2スイッチSW22を制御可能である場合、情報処理装置M24は、隔離対象の不正装置X21を基本処理と同じ手続きで不正装置X21をネットワークから隔離する(S203、S204)。
【００９３】
以上の手続きにより、不正な情報処理装置を装置単位でネットワークから隔離でき、正当な情報処理装置がネットワークから隔離されるリスクを減らし、ネットワークの可用性を向上化できる。
【００９４】
本発明の手続きは、非特許文献1記載の認証サーバを用いない方式が前提であるが、認証サーバが存在するネットワークにおいても適用される。例えば、定常時が認証サーバで運用し、認証サーバ障害時に限り、本発明の方式を採用する方法もある。この場合、認証サーバの優先度を高く設定することで、本発明の方式を最大限活用できる。
【００９５】
他の構成として、スイッチにスイッチ制御処理部11と、スイッチアクセス情報管理部12と、不正装置検出部13のうち、一つまたは複数の部位を具備する構成もある。
【００９６】
例えば、不正装置検出部13をスイッチが有する場合、ネットワーク全体で検知精度を向上することができる。また、制御情報送信部11と、スイッチアクセス情報管理部12と、不正装置検出部13の全てを具備する方法もある。
【符号の説明】
【００９７】
RADIUS:Remote Access Dial-In User Service
LAN:Local Area Network
VLAN:Virtual LAN
VLAN ID:VLAN identification
DoS:Denial of Service
IEEE802.1X:LAN接続時に使用する認証規格
EAP:Extended Authentication Protocol
HTTP: Hypertext Transfer protocol
Mxx：本発明を適用した情報処理装置
Xxx：不正な動作をする不正な装置
SWxx：レイヤー2スイッチングハブ
Sxxx：フローチャートにおける処理ブロック
11：スイッチ制御処理部 
111：スイッチ制御指令送信部
112：スイッチ制御指令生成部
12：スイッチアクセス情報管理部
121：データベース管理部
122：スイッチアクセス情報データベース
13：不正装置検出部
131：ネットワーク監視部
132：不正疑惑装置検出部
133：不正装置判断部
【図１】
2015035724.tif 000003
【図２】
2015035724.tif 000004
【図３】
2015035724.tif 000005
【図４】
2015035724.tif 000006
【図５】
2015035724.tif 000007
【図６】
2015035724.tif 000008
【図７】
2015035724.tif 000009
【図８】
2015035724.tif 000010
【図９】
2015035724.tif 000011
【図１０】
2015035724.tif 000012