(57)【特許請求の範囲】
【請求項１】
自装置と同じネットワークセグメントに接続された通信装置のＩＰ（Internet Protocol）アドレスとＭＡＣ（Media Access Control）アドレスを記憶する第１記憶部と、
前記ネットワークセグメントに接続が許可されていない通信装置が当該ネットワークセグメントに接続されていることを検知する検知部と、
接続が検知された前記通信装置に対して、前記第１記憶部にＩＰアドレスとＭＡＣアドレスが記憶されており、且つ、前記検知された通信装置が送信したＡＲＰ（Address Resolution Protocol）リクエストにＩＰアドレスが含まれていない通信装置を含む２以上の通信装置について各々に割り当てられたＭＡＣアドレスとは異なるＭＡＣアドレスをユニキャストでそれぞれ送信する送信部と
を備える情報処理装置。
【請求項２】
前記送信部は、接続が検知された前記通信装置に対して、前記第１記憶部に記憶されている全ての通信装置について、前記ユニキャストを行い、
前記第１記憶部に記憶されているＩＰアドレスが割り当てられた通信装置が前記ネットワークセグメントに接続されているか否かを確認する第１確認部と、
前記第１記憶部に記憶されているＩＰアドレスのうち前記第１確認部により接続されていないと確認された通信装置のＩＰアドレスを削除する第１削除部とを備える
請求項１に記載の情報処理装置。
【請求項３】
前記ネットワークセグメントに接続された通信装置のＩＰアドレス及びＭＡＣアドレスを登録した情報であって当該通信装置との通信の際に用いられる情報を記憶する第２記憶部と、
登録から一定期間が経過した前記ＩＰアドレス及びＭＡＣアドレスを前記情報から削除する第２削除部とを備え、
前記第１記憶部は、前記情報に登録されているＩＰアドレスが削除される前に当該ＩＰアドレスを前記ネットワークセグメントに接続される通信装置のＩＰアドレスとして記憶する
請求項１又は２に記載の情報処理装置。
【請求項４】
検知された前記通信装置が前記ネットワークセグメントに接続されているか否かを確認する第２確認部を備え、
前記送信部は、前記第２確認部により接続されていることが確認された場合に、前記検知された通信装置に対する前記ユニキャストを行う
請求項１から３のいずれか１項に記載の情報処理装置。
【請求項５】
前記接続が許可されていない通信装置が当該通信装置と同じＩＰアドレスが割り当てられた通信装置のＭＡＣアドレスを問い合わせるためのパケットを送信してきた場合には、当該接続が許可されていない通信装置に対して前記送信部が前記ユニキャストを行わない
請求項１から４のいずれか１項に記載の情報処理装置。
【請求項６】
前記送信部は、前記ネットワークセグメントに接続が許可されている通信装置から、前記検知部により接続が検知された通信装置のＩＰアドレスを含むパケットが送信されてきた場合には、当該検知された通信装置のＭＡＣアドレスとは異なるＭＡＣアドレスを当該パケットの送信元の通信装置にユニキャストで送信する
請求項１から５のいずれか１項に記載の情報処理装置。
【請求項７】
前記送信部は、前記検知部により前記接続が許可されていない通信装置が検知されている状況で、前記ネットワークセグメントに接続が許可されている通信装置からブロードキャストでパケットが送信されてきた場合に、当該接続が許可されていない通信装置に対して、当該パケットの送信元の通信装置のＭＡＣアドレスとは異なるＭＡＣアドレスをユニキャストで送信する
請求項１から６のいずれか１項に記載の情報処理装置。
【請求項８】
前記送信部は、前記パケットの送信元の通信装置に対して、前記接続が許可されていない通信装置のＭＡＣアドレスとは異なるＭＡＣアドレスをユニキャストで送信する
請求項７に記載の情報処理装置。
【請求項９】
コンピュータを、
自装置と同じネットワークセグメントに接続された通信装置のＩＰアドレスとＭＡＣアドレスを記憶する第１記憶部と、
前記ネットワークセグメントに接続が許可されていない通信装置が当該ネットワークセグメントに接続されていることを検知する検知部と、
接続が検知された前記通信装置に対して、前記第１記憶部にＩＰアドレスとＭＡＣアドレスが記憶されており、且つ、前記検知された通信装置が送信したＡＲＰリクエストにＩＰアドレスが含まれていない通信装置を含む２以上の通信装置について各々に割り当てられたＭＡＣアドレスとは異なるＭＡＣアドレスをユニキャストでそれぞれ送信する送信部
として機能させるためのプログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、通信を遮断する技術に関する。
【背景技術】
【０００２】
特定の通信装置と他の通信装置との通信を遮断する技術が知られている。例えば、特許文献１には、不正端末（特定の通信装置に相当）を対象とするＡＲＰ要求パケットを正常端末（他の通信装置に相当）から受信すると、不正端末のＭＡＣアドレスを偽りのものに変更するパケットＰ１をその正常端末に送信し、正常端末のＭＡＣアドレスを偽りのものに変更するパケットＰ４を不正端末にユニキャストで送信することで、互いの正しいＭＡＣアドレスが分からないようにして不正端末と正常端末との通信を遮断する技術が開示されている。
【０００３】
【特許文献１】特許第５４７７１０４号公報
【発明の概要】
【発明が解決しようとする課題】
【０００４】
特許文献１の技術では、上記のとおり、ＡＲＰ要求パケットを受信した場合に、そのＡＲＰ要求パケットを送信してきた１台の正常端末については不正端末との通信を遮断する動作が行われるが、それ以外の正常端末については通信を遮断する動作が行われない。そのため、例えば他の正常端末がＡＲＰリクエスト以外のブロードキャスト（例えば自装置のコンピュータ名を伝えるブロードキャストなど）を行って不正端末にＭＡＣアドレスが伝わり通信可能な状態になっていたとしても、その正常端末がＡＲＰ要求パケットを送信するまではその状態が放置されることになる。
そこで、本発明は、より多くの通信装置について、特定の通信装置との通信を遮断することを目的とする。
【課題を解決するための手段】
【０００５】
上記目的を達成するために、本発明は、自装置と同じネットワークセグメントに接続された通信装置のＩＰ（Internet Protocol）アドレスとＭＡＣ（Media Access Control）アドレスを記憶する第１記憶部と、前記ネットワークセグメントに接続が許可されていない通信装置が当該ネットワークセグメントに接続されていることを検知する検知部と、接続が検知された前記通信装置に対して、前記第１記憶部にＩＰアドレスとＭＡＣアドレスが記憶されており、且つ、前記検知された通信装置が送信したＡＲＰ（Address Resolution Protocol）リクエストにＩＰアドレスが含まれていない通信装置を含む２以上の通信装置について各々に割り当てられたＭＡＣアドレスとは異なるＭＡＣアドレスをユニキャストでそれぞれ送信する送信部とを備える情報処理装置を
提供する。
【０００６】
また、前記送信部は、接続が検知された前記通信装置に対して、前記第１記憶部に記憶されている全ての通信装置について、前記ユニキャストを行い、前記第１記憶部に記憶されているＩＰアドレスが割り当てられた通信装置が前記ネットワークセグメントに接続されているか否かを確認する第１確認部と、前記第１記憶部に記憶されているＩＰアドレスのうち前記第１確認部により接続されていないと確認された通信装置のＩＰアドレスを削除する第１削除部とを備えていてもよい。
さらに、前記ネットワークセグメントに接続された通信装置のＩＰアドレス及びＭＡＣアドレスを登録した情報であって当該通信装置との通信の際に用いられる情報を記憶する第２記憶部と、登録から一定期間が経過した前記ＩＰアドレス及びＭＡＣアドレスを前記情報から削除する第２削除部とを備え、前記第１記憶部は、前記情報に登録されているＩＰアドレスが削除される前に当該ＩＰアドレスを前記ネットワークセグメントに接続される通信装置のＩＰアドレスとして記憶してもよい。
【０００７】
また、検知された前記通信装置が前記ネットワークセグメントに接続されているか否かを確認する第２確認部を備え、前記送信部は、前記第２確認部により接続されていることが確認された場合に、前記検知された通信装置に対する前記ユニキャストを行ってもよい。
さらに、前記接続が許可されていない通信装置が当該通信装置と同じＩＰアドレスが割り当てられた通信装置のＭＡＣアドレスを問い合わせるためのパケットを送信してきた場合には、当該接続が許可されていない通信装置に対して前記送信部が前記ユニキャストを行わないようにしてもよい。
また、前記送信部は、前記ネットワークセグメントに接続が許可されている通信装置から、前記検知部により接続が検知された通信装置のＩＰアドレスを含むパケットが送信されてきた場合には、当該検知された通信装置についてのダミーのＭＡＣアドレスを当該パケットの送信元の通信装置にユニキャストで送信してもよい。
【０００８】
また、前記送信部は、前記検知部により前記接続が許可されていない通信装置が検知されている状況で、前記ネットワークセグメントに接続が許可されている通信装置からブロードキャストでパケットが送信されてきた場合に、当該接続が許可されていない通信装置に対して、当該パケットの送信元の通信装置のＭＡＣアドレスとは異なるＭＡＣアドレスをユニキャストで送信してもよい。
さらに、前記送信部は、前記パケットの送信元の通信装置に対して、前記接続が許可されていない通信装置のＭＡＣアドレスとは異なるＭＡＣアドレスをユニキャストで送信してもよい。
【０００９】
また、本発明は、コンピュータを、自装置と同じネットワークセグメントに接続された通信装置のＩＰアドレスとＭＡＣアドレスを記憶する第１記憶部と、前記ネットワークセグメントに接続が許可されていない通信装置が当該ネットワークセグメントに接続されていることを検知する検知部と、接続が検知された前記通信装置に対して、前記第１記憶部にＩＰアドレスとＭＡＣアドレスが記憶されており、且つ、前記検知された通信装置が送信したＡＲＰリクエストにＩＰアドレスが含まれていない通信装置を含む２以上の通信装置について各々に割り当てられたＭＡＣアドレスとは異なるＭＡＣアドレスをユニキャストでそれぞれ送信する送信部として機能させるためのプログラムを提供する。
【発明の効果】
【００１０】
本発明によれば、より多くの通信装置について、特定の通信装置との通信を遮断することができる。
【図面の簡単な説明】
【００１１】
【図１】実施例に係る通信システムの全体構成の一例を表す図
【図２】ユーザ装置のハードウェア構成を表す図
【図３】ユーザ装置のハードウェア構成を表す図
【図４】通信遮断装置のハードウェア構成を表す図
【図５】ユーザ装置が実現する機能構成を表す図
【図６】ユーザ装置が実現する機能構成を表す図
【図７】通信遮断装置が実現する機能構成を表す図
【図８】生成されたダミーＭＡＣアドレスの例を表す図
【図９】不正機器のＡＲＰテーブルの例を表す図
【図１０】記憶処理における動作手順の一例を表す図
【図１１】削除処理における動作手順の一例を表す図
【図１２】通信遮断処理における動作手順の一例を表す図
【図１３】変形例の通信遮断装置が実現する機能構成を表す図
【図１４】変形例の通信遮断処理における動作手順の一例を表す図
【図１５】変形例の通信遮断処理における動作手順の一例を表す図
【図１６】変形例の通信遮断処理における動作手順の一例を表す図
【図１７】正規機器のＡＲＰテーブルの例を表す図
【図１８】変形例の通信遮断処理における動作手順の一例を表す図
【発明を実施するための形態】
【００１２】
［１］実施例
［構成］
図１は実施例に係る通信システム１の全体構成の一例を表す。通信システム１は、装置同士が通信を行うためのシステムである。通信システム１が備える装置間では、各装置に割り当てられたＩＰ（Internet Protocol）アドレス及びＭＡＣ（Media Access Control）アドレスを用いた通信が行われる。
【００１３】
通信システム１は、複数のユーザ装置１０と、ユーザ装置２０と、通信遮断装置３０と、これらの装置が有線（無線でもよい）で接続されたイントラネット２とを備える。本実施例では、企業が管理する社内ＬＡＮ（Local Area Network）がイントラネット２として用いられる。
【００１４】
複数のユーザ装置１０は、いずれもパーソナルコンピュータやノートパソコン、タブレット端末などの通信装置であり、前述した企業の社員やその企業で働く他者の社員などのユーザによって利用される。ユーザ装置１０は、いずれもイントラネット２への接続が許可された装置であり、以下では「正規機器」ともいう。
【００１５】
ユーザ装置２０は、ユーザ装置１０と同様にパーソナルコンピュータやノートパソコン、タブレット端末などの通信装置であるが、ユーザ装置１０と異なり、イントラネット２への接続が許可されていない。ユーザ装置２０は、例えば悪意のあるユーザによってイントラネット２に不正に接続された装置であり、以下では「不正機器」ともいう。
【００１６】
通信遮断装置３０は、自装置と同じネットワークセグメントに接続された通信装置（本実施例ではイントラネット２に接続された通信装置）同士の通信を遮断する処理を行う情報処理装置である。通信遮断装置３０は、正規機器と不正機器との間の通信を遮断する。具体的には、通信遮断装置３０は、正規機器及び不正機器が互いを通信相手として通信を行おうとした際に、通信相手の正しいＭＡＣアドレスとは異なるダミーのＭＡＣアドレスを使用させることでその通信相手との通信を遮断する（「通信を遮断する」とは、通信ができない状態にすることをいう）。
【００１７】
各通信装置は、通信を迅速に開始するため、他の通信装置のＩＰアドレス及びＭＡＣアドレスを取得するとそれらを対応付けてＡＲＰ（Address Resolution Protocol）テーブルに登録しておき、以降の通信の際にＡＲＰテーブルから読み出したＩＰアドレス及びＭＡＣアドレスを用いて通信を開始する。通信遮断装置３０は、他の通信装置が記憶するＡＲＰテーブルに登録されたＭＡＣアドレスをダミーＭＡＣアドレスに上書きさせる。すると、その通信装置がダミーＭＡＣアドレスを用いて通信を開始しようしても、ＭＡＣアドレスが正しくないので通信を開始できない。通信遮断装置３０は、このようにしてダミーＭＡＣアドレスを用いて通信を遮断する。
【００１８】
図２はユーザ装置１０のハードウェア構成を表す。ユーザ装置１０は、ＣＰＵ（Central Processing Unit）１１と、ＲＡＭ（Random Access Memory）１２と、ＲＯＭ（Read Only Memory）１３と、ＨＤＤ（Hard Disk Drive）１４と、ＮＩＣ（Network Interface Card）１５と、ＵＩ（User Interface）１６とを備えるコンピュータである。
【００１９】
ＣＰＵ１１は、ＲＡＭ１２をワークエリアとして用いてＲＯＭ１３やＨＤＤ１４に記憶されているプログラムを実行することにより各ハードウェアの動作を制御する。ＨＤＤ１４は、ＣＰＵ１１が制御に用いるデータやプログラムを記憶する。ＮＩＣ１５は、通信回路を有し、イントラネット２に接続された他の通信装置と通信を行う。ＵＩ１６は、ディスプレイ及びそのディスプレイの表示面に重ねられたタッチパネル等を備え、画像の表示とユーザの操作の受け付けとを行うユーザインターフェースである。
【００２０】
図３はユーザ装置２０のハードウェア構成を表す。ユーザ装置２０のハードウェア構成は、図２に表すユーザ装置１０のハードウェア構成と共通している。
図４は通信遮断装置３０のハードウェア構成を表す。通信遮断装置３０のハードウェア構成は、ＵＩを備えていないことを除いてユーザ装置１０のハードウェア構成と共通している。このため、各ハードウェアの説明は省略する。なお、通信遮断装置３０がＵＩを備えていてもよい。
【００２１】
ユーザ装置１０のＣＰＵ１１がプログラムを実行して自装置のハードウェアを制御することで、以下に述べる機能が実現される。
図５はユーザ装置１０が実現する機能構成を表す。ユーザ装置１０は、ＡＲＰテーブル記憶部１０１と、アドレス情報取得部１０２と、アドレス情報登録部１０３と、アドレス情報削除部１０４と、通信部１０５とを備える。
【００２２】
ＡＲＰテーブル記憶部１０１は、自装置と同じネットワークセグメントに接続された通信装置のＩＰアドレス及びＭＡＣアドレスを登録した情報であるＡＲＰテーブルを記憶する。ＡＲＰテーブルは、上述したように、自装置と他の通信装置との通信の際に用いられる情報である。以下ではＡＲＰテーブルに互いに対応付けて記憶されたＩＰアドレス及びＭＡＣアドレスのことを「アドレス情報」という。
【００２３】
アドレス情報取得部１０２は、自装置と同じネットワークセグメントに接続された通信装置のＩＰアドレス及びＭＡＣアドレス（すなわちアドレス情報）を取得する。アドレス情報取得部１０２は、例えば、イントラネット２に接続されている他の通信装置のＩＰアドレスが先に取得されていてＭＡＣアドレスが取得されていない場合に、そのＩＰアドレスを通信相手のＩＰアドレスとして含むＡＲＰリクエストをブロードキャストで送信し、その応答で送信されてきたＡＲＰリプライに含まれる通信相手のＭＡＣアドレスを取得する。
【００２４】
また、アドレス情報取得部１０２は、本実施例では、イントラネット２に接続されている他の通信装置からＡＲＰリクエストが送信されてきた場合に、送信されてきたＡＲＰリクエストのパケットに含まれている送信元のＩＰアドレス及びＭＡＣアドレスを、送信元の通信装置のアドレス情報として取得する。アドレス情報取得部１０２は、こうして取得したアドレス情報をアドレス情報登録部１０３に供給する。
【００２５】
アドレス情報登録部１０３は、ＡＲＰテーブルに自装置と同じネットワークセグメントに接続された通信装置のＩＰアドレス及びＭＡＣアドレス（すなわちアドレス情報）を登録する。アドレス情報登録部１０３は、アドレス情報取得部１０２が取得したアドレス情報に含まれるＩＰアドレス及びＭＡＣアドレスを対応付けてＡＲＰテーブルに登録する。このときに、アドレス情報登録部１０３が登録しようとしたアドレス情報が既にＡＲＰテーブルに登録されている場合がある。
【００２６】
それは、例えば或るＩＰアドレスが割り当てられていた通信装置がイントラネット２から切り離され、他の通信装置に対してそのＩＰアドレスが割り当てられた場合である。アドレス情報登録部１０３は、そのように、登録しようとしたＩＰアドレスが既にＭＡＣアドレスに対応付けてＡＲＰテーブルに登録されている場合、登録されている方のＭＡＣアドレスを、取得されたアドレス情報に含まれるＭＡＣアドレスで書き換えて（上書きして）登録する。
【００２７】
アドレス情報削除部１０４は、ＡＲＰテーブルに登録されている通信装置のアドレス情報（ＩＰアドレス及びＭＡＣアドレス）を削除する。アドレス情報削除部１０４は、登録から一定期間が経過したアドレス情報をＡＲＰテーブルから削除する。登録から削除までの期間は、装置やＯＳ（Operating System）などによって予め決められていたり、ユーザが設定したりするものであり、例えば数分から数時間といった期間が設定される。
【００２８】
通信装置に割り当てられたＩＰアドレスの変更やＮＩＣの交換によるＭＡＣアドレスの変更などがあると、通信装置のＩＰアドレスとＭＡＣアドレスの対応付けが変化する。その場合、ＡＲＰテーブルに登録されている情報を用いて通信を行おうとしても通信ができなくなるので、アドレス情報削除部１０４が上記のとおり一定期間でアドレス情報を削除することで、次に通信を行う際には再びアドレス情報取得部１０２が通信相手のＭＡＣアドレスを取得して、正しいアドレス情報がＡＲＰテーブルに登録されることになる。
【００２９】
通信部１０５は、ＡＲＰテーブルに登録されている通信装置のアドレス情報（ＩＰアドレス及びＭＡＣアドレス）を用いてその通信装置と通信する。通信部１０５は、例えば通信相手のＩＰアドレスが指定されて通信を行う操作が行われると、そのＩＰアドレスに対応付けられているＭＡＣアドレスがＡＲＰテーブルに登録されているか否かを確認し、登録されていれば、そのＭＡＣアドレスを用いて通信相手と通信を行う。
【００３０】
通信部１０５は、ＩＰアドレスに対応付けられているＭＡＣアドレスがＡＲＰテーブルに登録されていなければ、アドレス情報取得部１０２にそのＩＰアドレスに対応するＭＡＣアドレスの取得を要求する。アドレス情報取得部１０２が要求されたＭＡＣアドレスを取得して通信部１０５に供給すると、通信部１０５は供給されたＭＡＣアドレスを用いて通信相手と通信を行う。
【００３１】
ユーザ装置２０のＣＰＵ２１がプログラムを実行して自装置のハードウェアを制御することで、以下に述べる機能が実現される。
図６はユーザ装置２０が実現する機能構成を表す。ユーザ装置２０は、ＡＲＰテーブル記憶部２０１と、アドレス情報取得部２０２と、アドレス情報登録部２０３と、アドレス情報削除部２０４と、通信部２０５とを備える。これらの各部は、ユーザ装置１０が備える同じ名称の各部と共通の機能を実現する。
【００３２】
通信遮断装置３０のＣＰＵ３１がプログラムを実行して自装置のハードウェアを制御することで、以下に述べる機能が実現される。
図７は通信遮断装置３０が実現する機能構成を表す。通信遮断装置３０は、ＡＲＰテーブル記憶部３０１と、アドレス情報取得部３０２と、アドレス情報登録部３０３と、アドレス情報削除部３０４と、通信部３０５と、アドレス情報複製部３１１と、アドレス情報一覧記憶部３１２と、一覧機器接続確認部３１３と、一覧機器削除部３１４と、不正機器検知部３１５と、ダミーＭＡＣアドレス送信部３１６とを備える。
【００３３】
ＡＲＰテーブル記憶部３０１から通信部３０５までの５つの機能は、ユーザ装置１０が備える同じ名称の機能と共通の機能を実現する。このうちのＡＲＰテーブル記憶部３０１は本発明の「第２記憶部」の一例であり、アドレス情報削除部３０４は本発明の「第２削除部」の一例である。
【００３４】
アドレス情報複製部３１１は、ＡＲＰテーブルに登録されている通信装置のアドレス情報（ＩＰアドレス及びＭＡＣアドレス）を複製し、アドレス情報一覧記憶部３１２に記憶させる。アドレス情報複製部３１１は、例えばアドレス情報登録部３０３が新たなアドレス情報をＡＲＰテーブルに登録したタイミングで、その登録されたアドレス情報を複製してアドレス情報一覧記憶部３１２に記憶させる。
【００３５】
アドレス情報複製部３１１は、上記タイミングで複製を行うことで、ＡＲＰテーブルに登録されているＩＰアドレスがアドレス情報削除部３０４によって削除される前にアドレス情報一覧記憶部３１２に記憶させる。アドレス情報複製部３１１は、複製したアドレス情報が既にアドレス情報一覧記憶部３１２に記憶されていれば、そのアドレス情報を上書きしてもよいし、記憶させなくてもよい。
【００３６】
アドレス情報一覧記憶部３１２は、自装置と同じネットワークセグメントに接続された通信装置（本実施例ではイントラネット２に接続された通信装置）のアドレス情報（すなわちＩＰアドレス及びＭＡＣアドレス）を記憶する。アドレス情報一覧記憶部３１２は本発明の「第１記憶部」の一例である。アドレス情報一覧記憶部３１２が記憶するアドレス情報は、アドレス情報取得部３０２が取得してアドレス情報複製部３１１により複製されたアドレス情報、すなわちイントラネット２に接続された通信装置のアドレス情報である。アドレス情報一覧記憶部３１２が記憶するアドレス情報には、正規機器のアドレス情報と不正機器のアドレス情報の両方が含まれる。
【００３７】
一覧機器接続確認部３１３は、アドレス情報一覧記憶部３１２に記憶されているＩＰアドレスが割り当てられた通信装置が自装置と同じネットワークセグメントに接続されているか否かを確認する。一覧機器接続確認部３１３は本発明の「第１確認部」の一例である。一覧機器接続確認部３１３は、アドレス情報一覧記憶部３１２に記憶されているＩＰアドレスを順番に読み出し、読み出したＩＰアドレスが割り当てられた通信装置のＭＡＣアドレスを問い合わせるＡＲＰリクエストをブロードキャストで送信する。一覧機器接続確認部３１３は、送信したＡＲＰリクエストに応答するＡＲＰリプライが帰ってきた場合に、そのＩＰアドレスが割り当てられた通信装置が接続されていることを確認する。
【００３８】
また、一覧機器接続確認部３１３は、上記のＡＲＰリプライが一定時間内に帰ってこない場合には、そのＩＰアドレスが割り当てられた通信装置が接続されていないことを確認する。一覧機器接続確認部３１３は、この接続確認を例えば一定の時間間隔で行い、接続されていないことを確認した通信装置のＩＰアドレスを一覧機器削除部３１４に供給する。この時間間隔が短いほど、接続されなくなった通信装置のＩＰアドレスを早く削除することができるが、ＡＲＰリクエストによるネットワークの負荷も増加するので、ネットワークの負荷が許容できる範囲において可能な限り短い時間間隔とすることが望ましい。
【００３９】
一覧機器削除部３１４は、アドレス情報一覧記憶部３１２に記憶されているＩＰアドレスのうち一覧機器接続確認部３１３により接続されていないと確認された通信装置のＩＰアドレスを削除する。一覧機器削除部３１４は本発明の「第１削除部」の一例である。一覧機器削除部３１４は、例えば一覧機器接続確認部３１３からＩＰアドレスが供給されたときに、アドレス情報一覧記憶部３１２を参照してそのＩＰアドレスを削除する。
【００４０】
一覧機器接続確認部３１３による接続の確認は前述したように一定の時間間隔で行われるが、そこで接続が確認されれば、その通信装置のＩＰアドレスは削除されない。従って、アドレス情報一覧記憶部３１２が記憶するＩＰアドレスは、ＡＲＰテーブル記憶部３０１に記憶されているアドレス情報（ＩＰアドレス及びＭＡＣアドレス）と異なり、時間の経過により一律に削除されるということはなく、接続されていないことが確認された通信装置のＩＰアドレスだけが削除される。
【００４１】
不正機器検知部３１５は、自装置と同じネットワークセグメント（本実施例ではイントラネット２）に接続が許可されていない通信装置（すなわち上述した不正機器）がそのネットワークセグメントに接続されていることを検知する。不正機器検知部３１５は本発明の「検知部」の一例である。本実施例では、イントラネット２を管理するネットワーク管理者が、正規機器のＭＡＣアドレスを一覧にしたリスト（以下「ホワイトリスト」という）を作成して正規機器を管理しているものとする。
【００４２】
不正機器検知部３１５には、アドレス情報取得部３０２がアドレス情報を取得したときにそのアドレス情報が供給される。不正機器検知部３１５は、供給されたアドレス情報に含まれるＭＡＣアドレスがホワイトリストに含まれているか否かを判断し、含まれている場合には、そのＭＡＣアドレスが割り当てられた通信装置を正規機器と判断する。一方、不正機器検知部３１５は、ホワイトリストにＭＡＣアドレスが含まれていない場合には、そのＭＡＣアドレスが割り当てられた通信装置が不正機器と判断（検知）する。不正機器検知部３１５は、こうして不正機器を検知すると、検知した不正機器のＭＡＣアドレスをダミーＭＡＣアドレス送信部３１６に供給する。
【００４３】
ダミーＭＡＣアドレス送信部３１６は、不正機器検知部３１５により接続が検知された通信装置（すなわち不正機器）に対して、アドレス情報一覧記憶部３１２にＩＰアドレスが記憶されている全ての通信装置についてダミーＭＡＣアドレスをユニキャストでそれぞれ送信する。ダミーＭＡＣアドレス送信部３１６は、本実施例では、それらのダミーＭＡＣアドレスを送信元ＭＡＣアドレスにセットしたＡＲＰリクエストをユニキャストで送信することで、ダミーＭＡＣアドレスを不正機器に送信する。ダミーＭＡＣアドレス送信部３１６は本発明の「送信部」の一例である。ダミーＭＡＣアドレスとは、前述の全ての通信装置の各々に割り当てられたＭＡＣアドレスとは異なるＭＡＣアドレスのことである。
【００４４】
ダミーＭＡＣアドレス送信部３１６は、アドレス情報一覧記憶部３１２を参照し、記憶されているアドレス情報を全て読み出し、読み出したアドレス情報に含まれている実際のＭＡＣアドレスのそれぞれについてダミーＭＡＣアドレスを生成する。
図８は生成されたダミーＭＡＣアドレスの例を表す。図８では、「ＭＡＣ０００１」、「ＭＡＣ０００２」、「ＭＡＣ０００３」、「ＭＡＣ０００４」、・・・、「ＭＡＣ０１００」までの１００の実際のＭＡＣアドレス（この例ではＭＡＣアドレスを簡易に表している）のそれぞれに対して、「ＭＡＣ１００１」、「ＭＡＣ１００２」、「ＭＡＣ１００３」、「ＭＡＣ１００４」、・・・、「ＭＡＣ１１００」までの１００のダミーＭＡＣアドレスが生成された例が表されている。
【００４５】
ダミーＭＡＣアドレス送信部３１６は、このように、或る通信装置のダミーＭＡＣアドレスとして、その通信装置の実際のＭＡＣアドレスとは異なるＭＡＣアドレスであり、且つ、他の通信装置の実際のＭＡＣアドレスとも異なるＭＡＣアドレスを生成する。これにより、実際のＭＡＣアドレスとダミーＭＡＣアドレスとはいずれも重複しないようになっている。
【００４６】
ダミーＭＡＣアドレス送信部３１６は、こうして生成したダミーＭＡＣアドレスの各々と、それらに対応する実際のＭＡＣアドレスのアドレス情報に含まれるＩＰアドレス（図中の「ＩＰ００１」、「ＩＰ００２」、「ＩＰ００３」、「ＩＰ００４」、・・・、「ＩＰ１００」）の各々とをヘッダに含む複数のＡＲＰリクエストのパケットを、不正機器検知部３１５から供給されたＩＰアドレス、すなわち不正機器に対して順次ユニキャストで送信する。以下ではこのようにダミーＭＡＣアドレスを含むパケットをユニキャストで送信することを、単にダミーＭＡＣアドレスを送信すると言うものとする。
【００４７】
不正機器のアドレス情報取得部２０２は、上記のダミーＭＡＣアドレスを含むＡＲＰリクエストのパケットを受信すると、受信したパケットに含まれている送信元のＩＰアドレス及びＭＡＣアドレスを、送信元の通信装置のアドレス情報として取得する。このとき、アドレス情報登録部１０３は、ＡＲＰテーブルに正しいＭＡＣアドレスが登録されていても、上述したように取得されたアドレス情報に含まれるダミーＭＡＣアドレスに書き換えて登録する。
【００４８】
図９は不正機器のＡＲＰテーブルの例を表す。図９（ａ）では、ダミーＭＡＣアドレスが送信されてくる前のＡＲＰテーブルの一例が表されている。この例では、「ＩＰ００１」、「ＩＰ００４」、・・・、「ＩＰ０９８」というＩＰアドレスに「ＭＡＣ０００１」、「ＭＡＣ０００４」、・・・、「ＭＡＣ００９８」というＭＡＣアドレスが対応付けて登録されている。図９（ｂ）では、それらのＭＡＣアドレスがいずれもダミーＭＡＣアドレス（「ＭＡＣ１００１」、「ＭＡＣ１００４」、・・・、「ＭＡＣ１０９８」）に書き換えられている。
【００４９】
このように不正機器のＡＲＰテーブルのＭＡＣアドレスがダミーＭＡＣアドレスに書き換えられた結果、不正機器は、イントラネット２に接続されている他の通信装置（正規機器はもちろん不正機器も）と通信を行おうとしても、ＩＰアドレスは正しいがＭＡＣアドレスが正しくないため、通信することができなくなっている。
【００５０】
［動作］
通信遮断装置３０は、上記の構成により、アドレス情報一覧記憶部３１２にアドレス情報を記憶させる記憶処理と、記憶処理で記憶させたアドレス情報を削除する削除処理と、アドレス情報一覧を用いて不正機器とその他の通信装置との通信を遮断する通信遮断処理を行う。以下、各処理における通信遮断装置３０の動作手順を説明する。
【００５１】
図１０は記憶処理における動作手順の一例を表す。この動作手順は、通信遮断装置３０がイントラネット２に接続されている通信装置からＡＲＰリクエストを受信することを契機に開始される。通信遮断装置３０（アドレス情報取得部３０２）は、受信したＡＲＰリクエストから、そのパケットに含まれている送信元の通信装置のアドレス情報を取得する（ステップＳ１１）。次に、通信遮断装置３０（アドレス情報登録部３０３）は、取得したアドレス情報を自装置のＡＲＰテーブルに登録する（ステップＳ１２）。そして、通信遮断装置３０（アドレス情報複製部３１１）は、ＡＲＰテーブルに登録されたアドレス情報を複製し、アドレス情報一覧記憶部３１２に記憶させ（ステップＳ１３）、この動作手順を終了する。以上の記憶処理が行われることで、イントラネット２に接続されている通信装置のアドレス情報が次々とアドレス情報一覧に加えられていく。
【００５２】
図１１は削除処理における動作手順の一例を表す。この動作手順は、通信遮断装置３０が起動したことを契機に開始される。通信遮断装置３０（一覧機器接続確認部３１３）は、削除処理を行うべき時刻（処理時刻）になったか否かを判断し（ステップＳ２１）、なった（ＹＥＳ）と判断するまでステップＳ２１の動作を繰り返す。処理時刻は、上述した一定の時間間隔で訪れる時刻である。
【００５３】
通信遮断装置３０（一覧機器接続確認部３１３）は、ステップＳ２１で処理時刻になった（ＹＥＳ）と判断すると、アドレス情報一覧記憶部３１２からアドレス情報を読み出し（ステップＳ２２）、読み出したアドレス情報に含まれるＩＰアドレスが割り当てられた通信装置のＭＡＣアドレスを問い合わせるためのＡＲＰリクエストをブロードキャストで送信する（ステップＳ２３）。通信遮断装置３０（一覧機器接続確認部３１３）は、送信したＡＲＰリクエストに応答するＡＲＰリプライを受信したか否かを判断し（ステップＳ２４）、受信していない（ＮＯ）と判断した場合、そのＩＰアドレスが割り当てられた通信装置の接続がないことを確認する（ステップＳ２５）。続いて、通信遮断装置３０（一覧機器削除部３１４）は、接続がないことが確認された通信装置のアドレス情報をアドレス情報一覧記憶部３１２から削除する（ステップＳ２６）。
【００５４】
ステップＳ２６の次に、又は、ステップＳ２４でＡＲＰリプライを受信した（ＹＥＳ）と判断した場合、通信遮断装置３０（一覧機器接続確認部３１３）は、全てのアドレス情報を読み出したか否かを判断し（ステップＳ２７）、まだ読み出していないアドレス情報がある（ＮＯ）と判断した場合にはステップＳ２２に戻って動作を行い、もう全て読み出した（ＹＥＳ）と判断した場合にはステップＳ２１に戻って動作を行う。以上の削除処理が行われることで、アドレス情報一覧に加えられたアドレス情報のうち、イントラネット２に実際に接続されている通信装置のアドレス情報だけがアドレス情報一覧に残され、それ以外のものは削除されていく。
【００５５】
図１２は通信遮断処理における動作手順の一例を表す。この動作手順は、図１０に表す記憶処理と同じ契機で開始され、まずステップＳ１１の動作（アドレス情報の取得）が行われる。次に、通信遮断装置３０（不正機器検知部３１５）は、取得したアドレス情報に含まれるＭＡＣアドレスに基づいて、送信元の通信装置が不正機器であるか否かを判断する不正機器の検知処理を行う（ステップＳ３２）。
【００５６】
通信遮断装置３０（ダミーＭＡＣアドレス送信部３１６）は、ステップＳ３２で不正機器を検知したか否かを判断し（ステップＳ３３）、検知していない（ＮＯ）と判断した場合にはこの動作手順を終了し、検知した（ＹＥＳ）と判断した場合には、まず、図７に表すアドレス情報一覧記憶部３１２から全てのアドレス情報を読み出す（ステップＳ３４）。次に、通信遮断装置３０（ダミーＭＡＣアドレス送信部３１６）は、読み出した全アドレス情報に含まれるＭＡＣアドレス群に基づいて重複のないダミーＭＡＣアドレスを生成し（ステップＳ３５）、生成したダミーＭＡＣアドレス及び正しいＩＰアドレスを含むパケットを、ステップＳ３２で検知された不正機器に送信する（ステップＳ３６）。
【００５７】
続いて、通信遮断装置３０（ダミーＭＡＣアドレス送信部３１６）は、一定期間が経過したか否かを判断し（ステップＳ３７）、経過した（ＹＥＳ）と判断するまでステップＳ３７の動作を繰り返す。通信遮断装置３０（ダミーＭＡＣアドレス送信部３１６）は、一定期間が経過した（ＹＥＳ）と判断すると、ステップＳ３４（全アドレス情報の読み出し）に戻って動作を行う。
【００５８】
以上の通信遮断処理が行われることで、不正機器が検知されたときに、その不正機器のＡＲＰテーブルにダミーＭＡＣアドレスが登録されて、不正機器とその他の通信装置との通信が遮断される。しかし、一度通信が遮断されても、しばらくすると、通信装置からのＡＲＰリクエストを受信した不正機器がその通信装置のアドレス情報を取得して、登録されていたダミーＭＡＣアドレスを正しいＭＡＣアドレスに書き換えることがある。本実施例では、上記のとおり通信遮断処理が行われることで、一度通信を遮断した後も、一定期間が経過する度に不正機器とその他の通信装置との通信が遮断される。これにより、不正機器の検知時にだけ通信を遮断する場合に比べて、不正機器が通信を遮断される期間を長くすることができる。
【００５９】
また、本実施例では、アドレス情報一覧にアドレス情報が含まれている通信装置全てと不正機器との通信を遮断している。このアドレス情報一覧を用いない場合、例えば不正機器が他の通信装置と通信しようとしてその通信機器へのＡＲＰリクエストを送信した場合に、その不正機器を検知してダミーＭＡＣアドレスを登録させ、それら２つの装置間の通信だけを遮断する方法（これを「比較方法１」という）を取ることが考えられる。この比較方法１に比べると、本実施例では、アドレス情報一覧を用いることで、不正機器が通信しようとしている通信装置だけでなく、それ以外の通信装置と不正機器との通信も遮断するため、より多くの通信装置について、不正機器のような特定の通信装置との通信を遮断することができる。
【００６０】
また、本実施例では、ＡＲＰテーブルとは別にアドレス情報一覧においてアドレス情報一覧が記憶される。ＡＲＰテーブルは実際の接続の有無に関係なく一定期間が経過するとアドレス情報が削除されるが、アドレス情報一覧は上記のとおり通信装置の接続の有無を確認した上で接続がなければその通信装置のアドレス情報が削除される。これにより、イントラネット２に接続されている通信装置なのに上記の通信遮断処理が行われても不正機器との通信が遮断されないということが起こらないようにすることができる。
【００６１】
また、アドレス情報一覧に含まれるアドレス情報は、そのアドレス情報が削除される前にＡＲＰテーブルから複製されたものである。これにより、ＡＲＰテーブルに登録されるアドレス情報を、通信を行うためだけでなく不正機器の通信を遮断するために活用しつつ、ＡＲＰテーブルでは削除されて失われてしまうそれらのアドレス情報を、ＡＲＰテーブルから削除された後もアドレス情報一覧において通信遮断のために活用し続けることができる。
【００６２】
［２］変形例
上述した実施例は本発明の実施の一例に過ぎず、以下のように変形させてもよい。また、実施例及び各変形例は必要に応じてそれぞれ組み合わせてもよい。
【００６３】
［２−１］不正機器の接続確認
ダミーＭＡＣアドレス送信部３１６は、実施例では図１２に表すステップＳ３７で一定期間が経過したと判断すると不正機器へのダミーＭＡＣアドレスの送信を行ったが、その際に、不正機器の接続確認を行ってもよい。
【００６４】
図１３は本変形例の通信遮断装置３０ａが実現する機能構成を表す。通信遮断装置３０ａは、図７に表す各部に加え、不正機器接続確認部３１７を備える。本変形例のダミーＭＡＣアドレス送信部３１６は、不正機器にダミーＭＡＣアドレスを送信してから一定期間が経過して、再びその不正機器にダミーＭＡＣアドレスを送信する前に、その不正機器のＩＰアドレスを不正機器接続確認部３１７に供給する。
【００６５】
不正機器接続確認部３１７は、不正機器検知部３１５により検知された通信装置が自装置と同じネットワークセグメントに接続されているか否かを確認する。不正機器接続確認部３１７は本発明の「第２確認部」の一例である。不正機器接続確認部３１７は、ダミーＭＡＣアドレス送信部３１６から不正機器（すなわち不正機器検知部３１５により検知された通信装置）のＩＰアドレスが供給されると、そのＩＰアドレスを含むＡＲＰリクエストを送信して、一覧機器接続確認部３１３と同様に不正機器の接続の有無を確認する。
【００６６】
不正機器接続確認部３１７は、接続の有無の確認結果をダミーＭＡＣアドレス送信部３１６に通知する。ダミーＭＡＣアドレス送信部３１６は、不正機器接続確認部３１７により不正機器の接続があると確認された場合に、検知された不正機器に対するダミーＭＡＣアドレスのユニキャストでの送信を行い、接続がないと確認された場合にはダミーＭＡＣアドレスのユニキャストでの送信を行わない。
【００６７】
図１４は本変形例の通信遮断処理における動作手順の一例を表す。図１４の例では、図１２に表すステップＳ１１（アドレス情報の取得）からステップＳ３７（一定期間の経過の判断）までの動作が行われる。ステップＳ３７で一定期間が経過した（ＹＥＳ）と判断すると、通信遮断装置３０（不正機器接続確認部３１７）は、不正機器の接続を確認する処理を行う（ステップＳ４１）。
【００６８】
続いて、通信遮断装置３０（ダミーＭＡＣアドレス送信部３１６）は、ステップＳ４１で不正機器の接続があると確認されたか否かを判断し（ステップＳ４２）、確認されなかった（ＮＯ）と判断した場合にはこの動作手順を終了し、確認された（ＹＥＳ）と判断した場合に、ステップＳ３４（全アドレス情報の読み出し）に戻って動作を続ける。本変形例によれば、不正機器の接続の有無にかかわらずダミーＭＡＣアドレスを送信する場合に比べて、イントラネット２の通信の負荷及び通信遮断装置の処理の負荷が軽減される。
【００６９】
なお、図１１に表す削除処理でもイントラネット２に接続されていないことが確認された通信装置のアドレス情報がアドレス情報一覧から削除される。そこで、ダミーＭＡＣアドレス送信部３１６は、一定期間が経過したときに、アドレス情報一覧を参照し、ダミーＭＡＣアドレスを送信しようとしている不正機器のアドレス情報が含まれていれば（つまり削除されていなければ）、ダミーＭＡＣアドレスを送信し、それが含まれていなければ、ダミーＭＡＣアドレスを送信しないようにしてもよい。
【００７０】
［２−２］通信遮断の契機
不正機器検知部３１５は、実施例では、アドレス情報取得部３０２が取得したアドレス情報に含まれるＭＡＣアドレスに基づいて（そのＭＡＣアドレスが上述したホワイトリストに含まれているか否かによって）、その通信装置が不正機器であるか否かを判断した。アドレス情報取得部３０２が取得するアドレス情報には、通信装置から送信されてきたＡＲＰパケットの送信元のアドレス情報が含まれる。
【００７１】
ここで、通信装置は、自装置のＩＰアドレスと重複するＩＰアドレスがないか否かを確認するために、自装置と同じＩＰアドレスが割り当てられた通信装置のＭＡＣアドレスを問い合わせるためのパケット（例えばＡＲＰリクエスト。なお、ＡＲＰリクエスト以外のパケットであってもよい）を送信することがある。その通信装置は、このＡＲＰリクエストに応答してＭＡＣアドレスを含むパケットが送信されてくると、自装置に割り当てられたＩＰアドレスが他の通信装置と重複していると判断して、新たなＩＰアドレスをＤＨＣＰ（Dynamic Host Configuration Protocol）サーバに要求する。
【００７２】
すると、ＤＨＣＰサーバはその要求に応答して新たなＩＰアドレスを通信装置に割り当てる。通信装置は、そうして割り当てられた新たなＩＰアドレスの重複を確認するため、再び自装置と同じＩＰアドレスが割り当てられた通信装置のＭＡＣアドレスを問い合わせるためのＡＲＰリクエストを送信する。ここまでの動作が繰り返し行われると、ＤＨＣＰサーバが割り当て可能なＩＰアドレスには限りがあるため、新たなＩＰアドレスが割り当てられなくなってしまう。
【００７３】
そこで、本変形例のダミーＭＡＣアドレス送信部３１６は、不正機器検知部３１５が接続を検知した通信装置（すなわち不正機器）が自装置と同じＩＰアドレスが割り当てられた通信装置のＭＡＣアドレスを問い合わせるためのＡＲＰリクエストを送信してきた場合には、その通信装置に対してダミーＭＡＣアドレスを含むパケットのユニキャストを行わない。
【００７４】
図１５は本変形例の通信遮断処理における動作手順の一例を表す。図１５の例では、図１２に表すステップＳ１１（アドレス情報の取得）からステップＳ３３（不正機器の検知有無の判断）までの動作が行われる。ステップＳ３３で不正機器が検知された（ＹＥＳ）と判断すると、通信遮断装置３０（ダミーＭＡＣアドレス送信部３１６）は、不正機器から送信されてきたその不正機器と同じＩＰアドレスが割り当てられた通信装置のＭＡＣアドレスを問い合わせるためのＡＲＰリクエストに含まれていたアドレス情報がステップＳ１１で取得されたのか否かを判断する（ステップＳ５１）。
【００７５】
通信遮断装置３０（ダミーＭＡＣアドレス送信部３１６）は、ステップＳ５１で述べられたアドレス情報がステップＳ１１で取得された（ＹＥＳ）と判断した場合には、この動作手順を終了し、ステップＳ１１で取得されたアドレス情報はステップＳ５１で述べられたものではなかった（ＮＯ）と判断した場合には、ステップＳ３４以降の動作を行い、不正機器の通信を遮断する。これにより、前述したように不正機器が自装置に割り当てられたＩＰアドレスが重複していると判断して新たなＩＰアドレスを要求することがなくなり、その結果、新たなＩＰアドレスが割り当てられなくなるという事態を防ぐことができる。
【００７６】
なお、ステップＳ５１における判断は、ステップＳ３２の前に行われてもよい。その場合、通信遮断装置３０は、ステップＳ５１でＹＥＳと判断すると、不正機器の検知処理を行わない。この場合も、自装置と同じＩＰアドレスが割り当てられた通信装置のＭＡＣアドレスを問い合わせるためのＡＲＰリクエストを送信してきた通信装置が不正機器である場合には、結果的に、ダミーＭＡＣアドレス送信部３１６がその不正機器に対してダミーＭＡＣアドレスを含むパケットのユニキャストを行わないことになる。
【００７７】
［２−３］正規機器への通信遮断処理
ダミーＭＡＣアドレス送信部３１６は、実施例では不正機器に対してダミーＭＡＣアドレスを送信する通信遮断処理を行ったが、これに限らず、正規機器に対して通信遮断処理を行ってもよい。
【００７８】
図１６は本変形例の通信遮断処理における動作手順の一例を表す。図１６の例では、図１２に表すステップＳ１１（アドレス情報の取得）の動作がまず行われる。通信遮断装置３０（アドレス情報取得部３０２）は、ステップＳ１１において不正機器のアドレス情報を取得する際、実施例で述べたように不正機器から送信されてきたＡＲＰリクエストに含まれる送信元（すなわち不正機器）のアドレス情報を取得する以外に、正規機器から送信されてきたＡＲＰリクエストでＭＡＣアドレスが要求されている通信装置のＩＰアドレスとして不正機器のＩＰアドレスを取得する場合がある。
【００７９】
通信遮断装置３０はその後、ステップＳ３４（全アドレス情報の読み出し）までの動作を行う。次に、通信遮断装置３０（ダミーＭＡＣアドレス送信部３１６）は、ステップＳ１１において取得されたアドレス情報を含んでいたＡＲＰリクエストが不正機器から送信されてきたものであったか否かを判断し（ステップＳ６１）、不正機器から送信されてきたものである（ＹＥＳ）と判断した場合には、図１２に表すステップＳ３５（ダミーＭＡＣアドレスの生成）以降の動作を行う。通信遮断装置３０（ダミーＭＡＣアドレス送信部３１６）は、ステップＳ６１においてＡＲＰリクエストは正規機器から送信されてきたものである（ＮＯ）と判断した場合には、ステップＳ３２で接続が検知された不正機器のダミーＭＡＣアドレスを生成する（ステップＳ６２）。
【００８０】
通信遮断装置３０（ダミーＭＡＣアドレス送信部３１６）は、不正機器のＭＡＣアドレスがアドレス情報一覧に含まれていれば、そのＭＡＣアドレスとは異なるダミーＭＡＣアドレスを生成し、含まれていなければ、例えばＭＡＣアドレスのうちの製造者を表す部分（上位の３オクテット）をどの製造者にも使われていないことが分かっているアドレスにしたダミーＭＡＣアドレス（必ず不正機器のＭＡＣアドレスとは異なるＭＡＣアドレスになる）を生成する。
【００８１】
続いて、通信遮断装置３０（ダミーＭＡＣアドレス送信部３１６）は、アドレス情報を取得した正規機器に対して、生成した不正機器のダミーＭＡＣアドレスをユニキャストで送信する（ステップＳ６３）。このダミーＭＡＣアドレスが送信されてきた正規機器は、不正機器のＭＡＣアドレスとしてダミーＭＡＣアドレスをＡＲＰテーブルに登録する。そして、通信遮断装置３０は、ステップＳ３７（一定期間の経過の判断）以降の動作を行う。これにより、正規機器に対するダミーＭＡＣアドレスの送信も、一定期間が経過する度に行われることになる。
【００８２】
このように、本変形例のダミーＭＡＣアドレス送信部３１６は、正規機器から不正機器検知部３１５により接続が検知された通信装置（すなわち不正機器）のＩＰアドレスを含むＡＲＰリクエストのパケットが送信されてきた場合には、その不正機器のＭＡＣアドレスとは異なるダミーのＭＡＣアドレスをパケットの送信元の通信装置である正規機器にユニキャストで送信する。
【００８３】
図１７は正規機器のＡＲＰテーブルの例を表す。図１７（ａ）では、ダミーＭＡＣアドレスが送信されてくる前のＡＲＰテーブルの一例が表されている。この例では、「ＩＰ００２」、「ＩＰ００５」、・・・、「ＩＰ０８５」というＩＰアドレスに「ＭＡＣ０００２」、「ＭＡＣ０００５」、・・・、「ＭＡＣ００８５」というＭＡＣアドレスが対応付けて登録されている。このうちの「ＭＡＣ０００２」及び「ＭＡＣ００８５」は正規機器のＭＡＣアドレスであり、「ＭＡＣ０００５」は図１６に表すステップＳ３２で検知された不正機器のＭＡＣアドレスであるものとする。
【００８４】
図１７（ｂ）では、それらのＭＡＣアドレスのうち、検知された不正機器のＭＡＣアドレスだけがダミーＭＡＣアドレスである「ＭＡＣ１００５」に書き換えられている。このように正規機器のＡＲＰテーブルにおける不正機器のＭＡＣアドレスがダミーＭＡＣアドレスで登録された結果、この正規機器は、検知された不正機器と通信を行おうとしても、ＩＰアドレスは正しいがＭＡＣアドレスが正しくないため、通信することができなくなっている。
【００８５】
このように、本変形例によれば、正規機器から不正機器のＩＰアドレスが取得された場合でも、その正規機器がその不正機器と通信することを遮断することができる。一方で、他の正規機器のＭＡＣアドレスはダミーＭＡＣアドレスに書き換えられておらず正しいＭＡＣアドレスのままであるため、それらの正規機器との通信は可能とすることができる。
【００８６】
［２−４］ブロードキャストを契機とする通信遮断
ダミーＭＡＣアドレス送信部３１６は、実施例では、ＡＲＰリクエストに含まれるアドレス情報が取得されたことを契機としてダミーＭＡＣアドレスを送信したが、それ以外のパケットがブロードキャストで送信されてきたことをも契機としてダミーＭＡＣアドレスを送信してもよい。
【００８７】
図１８は本変形例の通信遮断処理における動作手順の一例を表す。この動作手順は、イントラネット２に接続されている正規機器から何らかのパケットがブロードキャストで送信されてくることを契機に開始される。何らかのパケットとしては、ＡＲＰリクエストはもちろん、例えば自装置のコンピュータ名を通知するパケットなどが用いられる。通信遮断装置３０（アドレス情報取得部３０２）は、まず、正規機器からブロードキャストで送信されてきたパケットからアドレス情報を取得する（ステップＳ７１）。
【００８８】
続いて、通信遮断装置３０（ダミーＭＡＣアドレス送信部３１６）は、これまでに不正機器検知部３１５により接続が検知された不正機器があるか否かを判断し（ステップＳ７２）、ない（ＮＯ）と判断した場合にはこの動作手順を終了する。通信遮断装置３０（ダミーＭＡＣアドレス送信部３１６）は、ステップＳ７２において検知された不正機器がある（ＹＥＳ）と判断した場合には、図１６に表すステップＳ３４（全アドレス情報の読み出し）、Ｓ３５（ダミーＭＡＣアドレスの生成）、Ｓ３６（ダミーＭＡＣアドレスの送信）の動作を行って、検知された不正機器に対してダミーＭＡＣアドレスを送信する。
【００８９】
次に、通信遮断装置３０（ダミーＭＡＣアドレス送信部３１６）は、図１６に表すステップＳ６２（不正機器のダミーＭＡＣアドレスの生成）、Ｓ６３（正規機器へのダミーＭＡＣアドレスの送信）の動作を行って、パケットの送信元である正規機器に対してダミーＭＡＣアドレスを送信する。そして、通信遮断装置３０（ダミーＭＡＣアドレス送信部３１６）は、ステップＳ３７の動作を行って、一定期間毎にダミーＭＡＣアドレスの送信を行う。
【００９０】
以上のとおり、本変形例では、ダミーＭＡＣアドレス送信部３１６が、正規機器からブロードキャストでパケットが送信されてきて、且つ、不正機器検知部３１５により不正機器の接続が検知されている場合に、その不正機器に対して他の通信装置のダミーＭＡＣアドレスを送信し、さらに、その不正機器のダミーＭＡＣアドレスをパケットの送信元である正規機器に対してユニキャストで送信する。
【００９１】
正規機器がＡＲＰリクエストを送信した場合はもちろん、それ以外のパケットをブロードキャストで送信した場合でも、イントラネット２に接続されている不正機器はそのパケットを受信するので、その正規機器のＭＡＣアドレスを取得することになって正規機器との通信が可能となる。本変形例ではその場合に、その不正機器のＡＲＰテーブルに登録されているＭＡＣアドレスをダミーＭＡＣアドレスに書き換えさせ、また、その正規機器のＡＲＰテーブルに記憶されているその不正機器のＭＡＣアドレスをダミーＭＡＣアドレスに書き換えさせる。これにより、正規機器がＡＲＰリクエスト以外のブロードキャストを行った場合でも、その正規機器と不正機器との通信を遮断することができる。
【００９２】
なお、ダミーＭＡＣアドレス送信部３１６は、上記の場合に不正機器に対するダミーＭＡＣアドレスの送信だけを行ってもよい。正規機器のＭＡＣアドレスを取得した不正機器がその正規機器と通信を行うと正規機器のＡＲＰテーブルにその不正機器のＭＡＣアドレスが登録されることになるが、その前にこのダミーＭＡＣアドレスの書き換えが行われれば、その正規機器と不正機器との通信を遮断することができるからである。
【００９３】
［２−５］複数の不正機器
実施例では１つの不正機器が検知される場合を述べたが、複数の不正機器が検知されることも起こり得る。その場合、例えば図１２に表す通信遮断処理が検知された不正機器毎に行われ、ダミーＭＡＣアドレス送信部３１６が各不正機器に対してダミーＭＡＣアドレスを送信する。これにより、複数の不正機器のそれぞれについて、通信を遮断することができる。
【００９４】
［２−６］ネットワークセグメント
実施例では通信遮断装置３０が社内ＬＡＮであるイントラネット２に接続された通信装置の通信を遮断したが、これに限らない。例えばＷＡＮ（Wide Area Network）に接続された通信装置の通信を遮断してもよく、要するに、通信遮断装置は、自装置と同じネットワークセグメントに接続された通信装置の通信を遮断すればよい。
【００９５】
［２−７］不正機器の検知
不正機器検知部３１５による不正機器の検知方法は上述したものに限らない。例えばＭＡＣアドレスのホワイトリストの代わりにＩＰアドレスのホワイトリストを用いてもよいし、正規機器に特定のプログラムをインストールするようにしておき、不正機器検知部３１５からの問い合わせに対してそのプログラムの機能で応答があると正規機器と判断し、その応答がないと不正機器と判断してもよい。また、不正機器検知部３１５は、それら以外にも周知の方法で不正機器を検知してもよい。
【００９６】
また、不正機器検知部３１５は、アドレス情報取得部３０２が取得したアドレス情報に基づいて不正機器を検知したが、これに限らず、例えばＡＲＰテーブル記憶部３０１やアドレス情報一覧記憶部３１２を定期的に参照して、それらに記憶されているアドレス情報に基づいて不正機器を検知してもよい。
【００９７】
［２−８］ダミーＭＡＣアドレスが送信される通信装置
ダミーＭＡＣアドレス送信部３１６は、実施例では、不正機器に対して、アドレス情報一覧に含まれる通信装置のうちその不正機器を除く全ての通信装置のダミーＭＡＣアドレスを送信したが、これに限らない。例えば正規機器の中に、不正機器も含めてイントラネット２に接続されている全ての通信装置の情報を収集してネットワークの管理に用いるもの（通信遮断装置もそのような装置の１つといえる）があった場合に、ダミーＭＡＣアドレス送信部３１６がその通信装置のダミーＭＡＣアドレスを送信しないようにしてもよい。その場合でも、ダミーＭＡＣアドレス送信部３１６が少なくとも２以上の通信装置についてダミーＭＡＣアドレスを送信することで、実施例で述べた比較方法１のように２つの装置間の通信だけを遮断する場合に比べれば、より多くの通信装置について、不正機器のような特定の通信装置との通信を遮断することができる。
【００９８】
［２−９］接続の確認方法
一覧機器接続確認部３１３及び不正機器接続確認部３１７は、実施例及び上記の変形例ではＡＲＰリクエストを送信することで通信装置の接続を確認したが、これに限らない。例えば接続の確認対象の通信装置のＩＰアドレス宛にｐｉｎｇを飛ばすことで、そのｐｉｎｇに応答するパケットの有無により接続の有無を確認してもよいし、それ以外の周知の方法で接続の有無を確認してもよい。
【００９９】
［２−１０］ダミーＭＡＣアドレスの送信方法
ダミーＭＡＣアドレス送信部３１６は、実施例ではダミーＭＡＣアドレスを送信元ＭＡＣアドレスにセットしたＡＲＰリクエストをユニキャストで送信するという方法でダミーＭＡＣアドレスを送信した。この場合、同じＡＲＰリクエストに対してＡＲＰリプライを２以上受信した場合に２つ目以降のＡＲＰリプライを破棄して受け付けない通信装置であってもダミーＭＡＣアドレスを上書きさせることができるという利点があるが、これに限定されない。例えば送信先の通信装置が２つ目以降のＡＲＰリプライでも受け付けるものであれば、ダミーＭＡＣアドレスを送信元ＭＡＣアドレスにセットしたＡＲＰリプライをユニキャストで送信してもよい。同様に、ＡＲＰリクエストでもＡＲＰリプライでもないパケットであっても、送信先の通信装置がＭＡＣアドレスを上書きしてくれるのであれば、ダミーＭＡＣアドレスを含むそのパケットを送信してもよい。要するに、不正機器や正規機器が送信されてきたダミーＭＡＣアドレスでＡＲＰテーブルの正しいＭＡＣアドレスを上書きするのであれば、どのような方法でダミーＭＡＣアドレスを送信してもよい。
【０１００】
［２−１１］ダミーＭＡＣアドレス
ダミーＭＡＣアドレス送信部３１６は、実施例では各ＭＡＣアドレスについて異なるダミーＭＡＣアドレス（つまりユニークなダミーＭＡＣアドレス）を生成したが、これに限らず、単一のダミーＭＡＣアドレスを生成してもよい。その場合、アドレス情報一覧に含まれるＭＡＣアドレスが増えてもその度に新たなダミーＭＡＣアドレスを生成する必要がなくなり、ダミーＭＡＣアドレスをユニークにする場合に比べて処理の負荷が軽くなる。一方、実施例のようにダミーＭＡＣアドレスをユニークにすると、例えば不正機器が自身のＡＲＰテーブルのＭＡＣアドレスが重複していると異常と判断して何らかの対処(重複ＭＡＣアドレスを確認するＡＲＰリクエストの送付など)を行う機能を備える場合に、その対処を行わせないようにすることができる。
【０１０１】
［２−１２］発明のカテゴリ
本発明は、ユーザ装置のような通信装置、通信遮断装置のような情報処理装置の他、それらの装置を備える通信システムとしても捉えられる。また、それらの装置が実施する処理を実現するための情報処理方法やそれらの装置を制御するコンピュータを機能させるためのプログラムとしても捉えられる。これらのプログラムは、それを記憶させた光ディスク等の記録媒体の形態で提供されてもよいし、インターネット等のネットワークを介してコンピュータにダウンロードさせ、それをインストールして利用可能にするなどの形態で提供されてもよい。
【符号の説明】
【０１０２】
１…通信システム、２…イントラネット、１０…ユーザ装置（正規機器）、２０…ユーザ装置（不正機器）、３０…通信遮断装置、１０１、２０１、３０１…ＡＲＰテーブル記憶部、１０２、２０２、３０２…アドレス情報取得部、１０３、２０３、３０３…アドレス情報登録部、１０４、２０４、３０４…アドレス情報削除部、１０５、２０５、３０５…通信部、３１１…アドレス情報複製部、３１２…アドレス情報一覧記憶部、３１３…一覧機器接続確認部、３１４…一覧機器削除部、３１５…不正機器検知部、３１６…ダミーＭＡＣアドレス送信部、３１７…不正機器接続確認部
【図１】
0006564673.tif 000002
【図２】
0006564673.tif 000003
【図３】
0006564673.tif 000004
【図４】
0006564673.tif 000005
【図５】
0006564673.tif 000006
【図６】
0006564673.tif 000007
【図７】
0006564673.tif 000008
【図８】
0006564673.tif 000009
【図９】
0006564673.tif 000010
【図１０】
0006564673.tif 000011
【図１１】
0006564673.tif 000012
【図１２】
0006564673.tif 000013
【図１３】
0006564673.tif 000014
【図１４】
0006564673.tif 000015
【図１５】
0006564673.tif 000016
【図１６】
0006564673.tif 000017
【図１７】
0006564673.tif 000018
【図１８】
0006564673.tif 000019