(57)【要約】【課題】登録されたネットワーク機器のみをネットワークに接続可能とするネットワーク管理システムにおいて、未登録のネットワーク機器による不正アクセスを防止すること。【解決手段】ＤＨＣＰサーバ装置は、ＩＣＭＰに基づくエコー要求メッセージをネットワークに送出して、不正利用されているＩＰアドレスを識別する。そして、不正利用されているＩＰアドレスを記述した不正利用アドレスリストを不正利用防止装置に送信する。不正利用防止装置は、不正利用アドレスリストを受信すると、ネットワーク内で伝送されているパケットの送信元ＩＰアドレスをパケットモニタリング部から取得し（Ｓ３２０）、その送信元ＩＰアドレスが不正利用されているＩＰアドレスであると判断すると（Ｓ３３０でＹｅｓ）、宛先到達不能メッセージを作成して（Ｓ３４０）、その宛先到達不能メッセージを、送信元ＩＰアドレス宛でネットワークに送出する（Ｓ３５０）。【選択図】  図４
2004241831.tif 000002
【特許請求の範囲】
【請求項１】
ネットワーク機器のＭＡＣアドレスを記憶するデータベースと、
該データベースに記憶されたＭＡＣアドレスを有するネットワーク機器のみを所定のネットワークに接続可能とする接続管理手段と、
前記ネットワークに接続されたネットワーク機器の識別情報を取得する識別情報取得手段と、
該識別情報取得手段が取得した前記ネットワーク機器の識別情報に基づいて、前記ネットワークに接続されたネットワーク機器が、前記接続管理手段によって前記ネットワークに接続可能とされたネットワーク機器であるか否かを判断する接続監視手段と、
該接続監視手段が、前記接続管理手段によって前記ネットワークに接続可能とされたネットワーク機器ではないと判断した前記ネットワーク機器について、該ネットワーク機器が前記ネットワーク内の他のネットワーク機器へアクセスするのを阻止するアクセス阻止手段と、
を備えることを特徴とするネットワーク管理システム。
【請求項２】
前記アクセス阻止手段は、前記接続監視手段が前記接続管理手段によって前記ネットワークに接続可能とされたネットワーク機器ではないと判断した前記ネットワーク機器に、該ネットワーク機器がアクセスを試みる前記他のネットワーク機器が前記ネットワーク内に存在しないことを表す虚偽情報を入力することによって、該ネットワーク機器が前記ネットワーク内の他のネットワーク機器へアクセスするのを阻止することを特徴とする請求項１に記載のネットワーク管理システム。
【請求項３】
前記ネットワークはＴＣＰ／ＩＰ構成のネットワークであり、前記接続管理手段は、動的ホスト設定プロトコル（ＤＨＣＰ）に基づき、前記データベースに記憶されたＭＡＣアドレスを有するネットワーク機器のみにＩＰアドレスを付与して、該ネットワーク機器を前記ネットワークに接続可能とすることを特徴とする請求項１に記載のネットワーク管理システム。
【請求項４】
前記識別情報取得手段は、前記ネットワークに接続されたネットワーク機器の前記識別情報として、前記ネットワークに接続されたネットワーク機器のＩＰアドレスを取得し、
前記接続監視手段は、前記識別情報取得手段が前記識別情報として取得したネットワーク機器のＩＰアドレスと、前記接続管理手段によってネットワーク機器に付与されたＩＰアドレスと、を比較することによって、前記ネットワークに接続されたネットワーク機器が、前記接続管理手段によって前記ネットワークに接続可能とされたネットワーク機器であるか否かを判断することを特徴とする請求項３に記載のネットワーク管理システム。
【請求項５】
前記識別情報取得手段は、インターネット制御メッセージプロトコル（ＩＣＭＰ）に基づき、予め定められた範囲に属するＩＰアドレスの夫々を宛先としたエコー要求メッセージを前記ネットワーク内に送出し、該エコー要求メッセージに対する応答信号としてのエコー応答メッセージを前記ネットワークを通じて受信すると、該エコー応答メッセージに記述された該メッセージ送信元のＩＰアドレスを、前記ネットワークに接続されたネットワーク機器の識別情報として取得することを特徴とする請求項４に記載のネットワーク管理システム。
【請求項６】
前記識別情報取得手段は、前記ネットワーク内で伝送されるパケットを収集して、該パケットに記述された該パケット送信元のＩＰアドレスを、前記ネットワークに接続されたネットワーク機器の識別情報として取得することを特徴とする請求項４に記載のネットワーク管理システム。
【請求項７】
前記アクセス阻止手段は、前記接続監視手段が前記接続管理手段によって前記ネットワークに接続可能とされたネットワーク機器ではないと判断した前記ネットワーク機器に、該ネットワーク機器がアクセスを試みる前記他のネットワーク機器が前記ネットワーク内に存在しないことを表す宛先到達不能メッセージを、インターネット制御メッセージプロトコル（ＩＣＭＰ）に基づき送信することによって、該ネットワーク機器が前記ネットワーク内の他のネットワーク機器へアクセスするのを阻止することを特徴とする請求項３〜請求項６のいずれかに記載のネットワーク管理システム。
【発明の詳細な説明】
【０００１】
【発明の属する技術分野】
本発明は、ＭＡＣアドレスに基づきネットワーク機器を認証し、そのネットワーク機器を所定のネットワークに接続可能とするネットワーク管理システムに関する。
【０００２】
【従来の技術】
近年では、携帯型通信端末（通信手段を備える携帯型のパーソナルコンピュータ（ＰＣ）等）の普及が進んでおり、それに伴って、携帯型通信端末を容易にネットワークに接続することが可能なＤＨＣＰ（動的ホスト設定プロトコル）サーバをネットワーク内に設ける例が多くなってきている。
【０００３】
周知のように、ＴＣＰ／ＩＰ通信を前提としたネットワークに端末を接続する場合には、その端末にＩＰアドレスを割り当てる必要がある。ＤＨＣＰサーバは、自身と通信可能に接続されたＤＨＣＰクライアント機能を備える端末からＩＰアドレスのリース要求を受けると、ＩＰアドレスを要求元の端末に付与して、その端末を上記ＴＣＰ／ＩＰ構成のネットワークに接続可能とする（即ち、端末をネットワーク内の各端末とＴＣＰ／ＩＰ通信可能な状態にする）。
【０００４】
したがって、ネットワークの利用者は、ＤＨＣＰクライアント機能を備える端末を用いれば、端末の設定画面を用いてＩＰアドレスを手入力しなくても、自身の端末を容易にネットワークに接続することができる。
尚、ＤＨＣＰサーバを備えるネットワークは周知公用のものであるので、ここでは、そのようなネットワークに関する先行技術文献を非開示とする。
【０００５】
【発明が解決しようとする課題】
ところで、上記ＤＨＣＰサーバを備えるネットワークにおいては、端末が備えるネットワーク機器のＭＡＣ（Ｍｅｄｉａ  Ａｃｃｅｓｓ  Ｃｏｎｔｒｏｌ）アドレスを予めデータベースに登録し、データベースに登録されたＭＡＣアドレスを備えるネットワーク機器のみにＩＰアドレスを付与して、そのネットワーク機器をネットワークに接続可能とするように、ＤＨＣＰサーバを構築すれば、そのネットワークに接続可能な端末を制限することができる。
【０００６】
しかしながら、上述の手法では、悪意を持った者が、ネットワーク機器に正しいＩＰアドレスを設定して、ＤＨＣＰサーバを介さず、ネットワーク機器をネットワークに接続可能にし、そのネットワーク機器を用いて、上記ネットワークに不正にアクセスする可能性がある。
【０００７】
特に、ＤＨＣＰサーバを用いたネットワークでは、ＤＨＣＰサーバからネットワーク機器に付与されたＩＰアドレスを覚えておき、後日、同一のＩＰアドレスを手動で設定することで不正アクセスを行うことが可能であるため、ネットワークにおけるセキュリティの確保が難しいといった問題がある。
【０００８】
本発明は、こうした問題に鑑みなされたものであり、データベースに登録されたＭＡＣアドレスを有するネットワーク機器を、ネットワークに接続可能とするネットワーク管理システムにおいて、データベースに登録されていないネットワーク機器による当該ネットワークへの不正アクセスを防止することを目的とする。
【０００９】
【課題を解決するための手段】
かかる目的を達成するためになされた本発明（請求項１）のネットワーク管理システムは、ネットワーク機器のＭＡＣアドレスを記憶するデータベースと、データベースに記憶されたＭＡＣアドレスを有するネットワーク機器のみを所定のネットワークに接続可能とする接続管理手段と、を備えると共に、識別情報取得手段と、接続監視手段と、アクセス阻止手段と、を備える。
【００１０】
識別情報取得手段は、接続管理手段によって管理される上記所定のネットワークに接続されたネットワーク機器の識別情報を取得する。接続監視手段は、この識別情報取得手段が取得したネットワーク機器の識別情報に基づいて、上記ネットワークに接続されたネットワーク機器が、接続管理手段によって接続可能とされたネットワーク機器であるか否かを判断する。
【００１１】
また、アクセス阻止手段は、その接続監視手段が、接続管理手段によってネットワークに接続可能とされたネットワーク機器ではないと判断したネットワーク内のネットワーク機器について、そのネットワーク機器がネットワーク内の他のネットワーク機器へアクセスするのを阻止する。
【００１２】
このように構成にされた本発明のネットワーク管理システムによれば、接続監視手段の動作によって、接続管理手段を介さずに不正にネットワークに接続されたネットワーク機器を発見することができ、そのネットワーク機器がネットワーク内の他のネットワーク機器にアクセスするのを、アクセス阻止手段によって阻止することができる。
【００１３】
したがって、このネットワーク管理システムによれば、データベースに登録されていないネットワーク機器がネットワーク内のサーバ装置等に不正にアクセスするのを防止することができ、悪意をもった利用者によって、例えばネットワークに接続されたファイルサーバ装置等から、不正にファイル等がダウンロードされるのを防止することができる。即ち、本発明によれば、接続制限がなされるべきネットワークに関し、そのネットワークを適切に管理することができる。
【００１４】
ところで、不正アクセスを阻止するためには、例えば、ネットワーク内において重要なデータを管理する装置をネットワークから一時的に遮断することが考えられる。しかしながら、そのような手法を採用すると、正当な利用者に不満が及ぶ可能性が高い。したがって、請求項１に記載のネットワーク管理システムにおいては、具体的に請求項２に記載のようにアクセス阻止手段を構成するのがよい。
【００１５】
請求項２に記載のネットワーク管理システムにおけるアクセス阻止手段は、接続管理手段によってネットワークに接続可能とされたネットワーク機器ではないと判断されたネットワーク内のネットワーク機器に、そのネットワーク機器がアクセスを試みるネットワーク内の他のネットワーク機器がネットワーク内に存在しないことを表す虚偽情報を入力することにより、接続管理手段によってネットワークに接続可能とされたネットワーク機器ではないと判断されたネットワーク機器が、ネットワーク内の他のネットワーク機器へアクセスするのを阻止する。
【００１６】
このように構成された請求項２記載のネットワーク管理システムによれば、不正に接続されたネットワーク機器と、該ネットワーク機器がアクセスする他のネットワーク機器との間の通信を選択的に妨害することができるので、正当なネットワーク機器による当該ネットワークの利用を妨害することなく、不正に接続されたネットワーク機器がネットワーク内の他のネットワーク機器に不正にアクセスするのを確実に阻止することができる。
【００１７】
また、上記請求項１，２に記載の発明をＴＣＰ／ＩＰ構成のネットワークに適用する場合には、請求項３記載のようにネットワーク管理システムを構成すればよい。
請求項３記載のネットワーク管理システムにおいては、接続管理手段が、動的ホスト設定プロトコル（ＤＨＣＰ）に基づき、データベースに記憶されたＭＡＣアドレスを有するネットワーク機器のみにＩＰアドレスを付与して、そのネットワーク機器を、ＴＣＰ／ＩＰ構成にされた上記所定のネットワークに接続可能とする。請求項３記載のネットワーク管理システムによれば、接続管理手段によって当該ＴＣＰ／ＩＰ構成のネットワークに接続可能とされたネットワーク機器以外の機器による当該ネットワークへの不正アクセスを阻止することができる。
【００１８】
この他、請求項３記載のネットワーク管理システムにおいては、請求項４に記載のように識別情報取得手段及び接続監視手段を構成するのがよい。請求項４に記載のネットワーク管理システムにおける識別情報取得手段は、上記識別情報として、ネットワークに接続されたネットワーク機器のＩＰアドレスを取得する。
【００１９】
また、接続監視手段は、識別情報取得手段が識別情報として取得したネットワーク機器のＩＰアドレスと、接続管理手段によってネットワーク機器に付与されたＩＰアドレスと、を比較することによって、ネットワークに接続されたネットワーク機器が、接続管理手段によってネットワークに接続可能とされたネットワーク機器であるか否かを判断する。
【００２０】
このように構成にされた請求項４記載のネットワーク管理システムによれば、ネットワーク内の各ネットワーク機器が接続管理手段によって接続可能とされたネットワーク機器であるか否かを、ＩＰアドレスに基づき、接続監視手段にて、容易に判断することができる。
【００２１】
また、請求項４記載のネットワーク管理システムにおける識別情報取得手段は、請求項５記載のように構成されるとよい。請求項５記載のネットワーク管理システムにおける識別情報取得手段は、インターネット制御メッセージプロトコル（ＩＣＭＰ）に基づき、予め定められた範囲に属するＩＰアドレスの夫々を宛先としたエコー要求メッセージをネットワーク内に送出する。更にこの識別情報取得手段は、送出したエコー要求メッセージに対する応答信号としてのエコー応答メッセージをネットワークを通じて受信し、エコー応答メッセージに記述されたメッセージ送信元のＩＰアドレスを、ネットワークに接続されたネットワーク機器の識別情報として、そのエコー応答メッセージから取得する。
【００２２】
インターネット制御メッセージプロトコルは、広く普及したプロトコルであるため、インターネット制御メッセージプロトコルに基づく手法で、ネットワーク機器のＩＰアドレスを収集する請求項５記載の発明によれば、低コストにネットワーク管理システムを構築することができる。
【００２３】
ただし、この手法では、エコー応答メッセージに基づいてネットワーク内の機器を認識するため、エコー応答メッセージを返さないように設計された不正なネットワーク機器を発見することができない。したがって、そのようなネットワーク機器を発見できるようにするためには、請求項４記載のネットワーク管理システムにおいて、識別情報取得手段を請求項６記載のように構成するのがよい。
【００２４】
請求項６記載のネットワーク管理システムにおける識別情報取得手段は、ネットワーク内で伝送されるパケットを収集して、そのパケットに記述されたパケット送信元のＩＰアドレスを、ネットワークに接続されたネットワーク機器の識別情報として取得する。
【００２５】
請求項６記載のネットワーク管理システムによれば、ネットワーク内で伝送されるパケットの送信元ＩＰアドレスに基づき、ネットワークに接続されたネットワーク機器を認識することができるので、エコー応答メッセージを返さないように設計された不正なネットワーク機器をも発見することができ、ネットワークのセキュリティを一層強固なものとすることができる。
【００２６】
その他、請求項３〜請求項６のいずれかに記載のネットワーク管理システムにおいては、請求項７に記載のようにアクセス阻止手段を構成するとよい。
請求項７記載のネットワーク管理システムにおけるアクセス阻止手段は、接続管理手段によってネットワークに接続可能とされたネットワーク機器ではないと判断されたネットワーク機器に、そのネットワーク機器がアクセスを試みる他のネットワーク機器がネットワーク内に存在しないことを表す宛先到達不能メッセージを、インターネット制御メッセージプロトコル（ＩＣＭＰ）に基づき送信する。
【００２７】
即ち、請求項７記載のネットワーク管理システムにおけるアクセス阻止手段は、インターネット制御メッセージプロトコル（ＩＣＭＰ）に基づく上述の宛先到達不能メッセージを送信することによって、その送信先のネットワーク機器がネットワーク内の他のネットワーク機器へアクセスするのを阻止する。
【００２８】
したがって、請求項７記載のネットワーク管理システムによれば、アクセス阻止手段により、不正に接続されたネットワーク機器と、そのネットワーク機器がアクセスするネットワーク機器との間の通信を選択的に妨害することができ、正当なネットワーク機器による当該ネットワークの利用を妨害することなく、不正に接続されたネットワーク機器がネットワーク内の他のネットワーク機器に不正にアクセスするのを確実に阻止することができる。
【００２９】
【発明の実施の形態】
以下に本発明の実施例について、図面とともに説明する。尚、図１は、本発明が適用された第一実施例のネットワーク管理システム１の構成を表す説明図である。また図２は、ネットワーク管理システム１に設けられたＤＨＣＰサーバ装置１０の構成を表すブロック図（ａ）、及び、不正利用防止装置２０の構成を表すブロック図（ｂ）である。
【００３０】
第一実施例のネットワーク管理システム１は、通信線Ｌを介して互いに接続されたゲートウェイ装置３と、ファイルサーバ装置５と、ＤＨＣＰサーバ装置１０と、不正利用防止装置２０と、を備える。これらゲートウェイ装置３、ファイルサーバ装置５、ＤＨＣＰサーバ装置１０、及び、不正利用防止装置２０は、予め当該システムの管理者により、固定のＩＰアドレスが割り当てられ、互いにＴＣＰ／ＩＰ通信可能な状態にされている。即ち、第一実施例のネットワーク管理システム１には、少なくともゲートウェイ装置３、ファイルサーバ装置５、ＤＨＣＰサーバ装置１０、及び、不正利用防止装置２０によって、ＴＣＰ／ＩＰ構成のローカルエリアネットワーク（ＬＡＮ）が構築されている。
【００３１】
本実施例のゲートウェイ装置３は、広域ネットワーク（ＷＡＮ）としてのインターネットに接続されており、ＬＡＮ内の各利用者端末（ＰＣ）をＷＡＮに接続する役割を果たす。一方、ファイルサーバ装置５は、周知のファイルサーバ装置であって、ＣＰＵ、メモリ（ＲＯＭ、ＲＡＭ）、各種ファイルが格納されたデータベース、通信制御部（図示せず）など、を備え、ＬＡＮ内の端末からファイルのダウンロード要求があると、そのファイルを端末に提供する。
【００３２】
一方、ＤＨＣＰサーバ装置１０は、図２（ａ）に示すように、ＣＰＵ及びメモリ（ＲＯＭ，ＲＡＭ）等からなり当該装置を統括制御する制御部１１と、ハードディスク装置などで構成される記憶部１３と、通信線Ｌに接続されＬＡＮ内のネットワーク機器との間で通信を行う通信制御部１５と、を備える。このＤＨＣＰサーバ装置１０は、制御部１１にて、各種プログラムを実行し、ＤＨＣＰサーバ１１ａ、及び、不正利用検出処理部１１ｂ、メールサーバ１１ｃとしての機能を果たす。
【００３３】
このＤＨＣＰサーバ装置１０は、記憶部１３に、上記ＬＡＮへの接続を許可すべきネットワーク機器のＭＡＣアドレスを記憶するアドレスＤＢ（データベース）１３ａを備えており、ＭＡＣアドレスを備えるネットワーク機器を内蔵しＤＨＣＰクライアント機能を備える利用者端末（ＰＣ）から通信線Ｌを介して、動的ホスト設定プロトコル（ＤＨＣＰ）に基づく周知の通信手順により、ＩＰアドレスのリース要求が送信されてくると、ＤＨＣＰサーバ１１ａにて、そのリース要求と共に送信されてきたＭＡＣアドレスがアドレスＤＢ１３ａに登録されているＭＡＣアドレスであるか否かを判断する。
【００３４】
そして、利用者端末（ＰＣ）から送信されてきたＭＡＣアドレスがアドレスＤＢ１３ａに登録されているＭＡＣアドレスであると判断すると、ＤＨＣＰサーバ１１ａは、予め許可されたＩＰアドレスの範囲内で、その要求元にリースすべきＩＰアドレスを選択し、ＤＨＣＰに基づく手順で、そのＩＰアドレスを、上記ＭＡＣアドレスを有するリース要求元の利用者端末（ＰＣ）にリース（付与）する。
【００３５】
これにより、利用者端末（ＰＣ）は、ＴＣＰ／ＩＰ構成の上記ＬＡＮと、ＴＣＰ／ＩＰ通信可能に接続される。尚、利用者端末（ＰＣ）へのリースが可能なＩＰアドレスの範囲に関する情報は、記憶部１３に記憶されている。一方、利用者端末（ＰＣ）から送信されてきたＭＡＣアドレスがアドレスＤＢ１３ａに登録されたものでないと判断すると、ＤＨＣＰサーバ１１ａは、その端末にＩＰアドレスをリース（付与）しないようにする。
【００３６】
また、ＤＨＣＰサーバ装置１０は、不正利用検出処理部１１ｂにて、図３に示す不正利用検出処理を実行することにより、上記ＬＡＮに接続された端末がＤＨＣＰサーバ１１ａによってネットワークに接続可能とされた利用者端末（ＰＣ）であるか否か判断する。尚、図３は、不正利用検出処理部１１ｂが繰り返し実行する不正利用検出処理を表すフローチャートである。
【００３７】
不正利用検出処理部１１ｂは、不正利用検出処理の実行を開始すると、まずＳ１１０にて、ＩＰアドレスの走査範囲情報を読み込む。走査範囲情報は、記憶部１３に記憶されており、ＩＰアドレスの走査開始位置及び走査終了位置に関する情報を備える。尚、本実施例におけるＩＰアドレスの走査範囲には、上述のゲートウェイ装置３、ファイルサーバ装置５、ＤＨＣＰサーバ装置１０、不正利用防止装置２０に割り当てられたＩＰアドレスが含まれないようにされている。
【００３８】
この走査範囲情報の読み込みが終了すると、不正利用検出処理部１１ｂは、ＤＨＣＰサーバ１１ａが利用者端末（ＰＣ）にリースしているＩＰアドレスを表すリースＩＰアドレスリスト１３ｂを読み出す（Ｓ１２０）。
その後、不正利用検出処理部１１ｂは、周知のインターネット制御メッセージプロトコル（ＩＣＭＰ）に基づき、走査範囲情報に基づいて定められる範囲のＩＰアドレスの夫々を宛先としたエコー要求メッセージを作成して、それをＬＡＮ内に送出し、応答信号を受信する。そして、所定時間内に受信できたエコー要求メッセージに対する応答信号としてのエコー応答メッセージを解析する（Ｓ１３０）。
【００３９】
周知のようにエコー応答メッセージには、メッセージ送信元のＩＰアドレスが記述されており、不正利用検出処理部１１ｂは、受信できた各エコー応答メッセージを解析して、各エコー応答メッセージに記述されたメッセージ送信元のＩＰアドレスを抽出することで、ＬＡＮに接続された端末のＩＰアドレスを取得し（Ｓ１３０）、そのＩＰアドレスとリースＩＰアドレスリストに列挙されたＩＰアドレスとを比較する（Ｓ１４０）。
【００４０】
また、不正利用検出処理部１１ｂは、その比較結果に基づき、リースＩＰアドレスリストに列挙されていないＩＰアドレスが、受信されたエコー応答メッセージの送信元ＩＰアドレスとして存在すると判断すると、ＬＡＮに接続され、そのＩＰアドレスを使用する端末が、ＤＨＣＰサーバ１１ａによって、ＬＡＮに接続可能とされた利用者端末（ＰＣ）ではなく、不正にＩＰアドレスを使用する端末であるとして（Ｓ１５０でＹｅｓ）、そのＩＰアドレスを記述した不正利用アドレスリストを作成する（Ｓ１６０）。
【００４１】
その後、不正利用検出処理部１１ｂは、作成した不正利用アドレスリストをログ情報として記憶部１３に保存する（Ｓ１７０）と共に、その不正利用アドレスリストを格納した電子メールを作成して、その電子メールを、予め設定された宛先に（例えば、システム管理者の電子メールアドレスを宛先にして）送信する（Ｓ１８５）。尚、電子メールの送信は、当該ＤＨＣＰサーバ装置１０に構築されたメールサーバ１１ｃを介して行われる。また、電子メールの送信先に関する情報は、記憶部１３に送信先情報１３ｃとして記憶されている。
【００４２】
この電子メールの送信が終了すると、不正利用検出処理部１１ｂは、その不正利用アドレスリストを不正利用防止装置２０に送信する（Ｓ１９０）。尚、上記送信先情報には、電子メールの送信先に加えて、不正利用防止装置２０の宛先を表すＩＰアドレスが記憶されている。上述の送信処理が終了すると、不正利用検出処理部１１ｂは、不正利用検出処理を終了する。
【００４３】
次に、不正利用防止装置２０について説明する。尚、図４は、不正利用防止装置２０が実行する処理を表すフローチャートであり、図４（ａ）は、不正利用防止装置２０のリスト更新処理部２１ａが繰り返し実行するリスト更新処理を表すフローチャート、図４（ｂ）は、不正利用防止装置２０の不正利用防止処理部２１ｂが繰り返し実行する不正利用防止処理を表すフローチャート、である。
【００４４】
図２（ｂ）に示すように第一実施例の不正利用防止装置２０は、ＣＰＵ及びメモリ（ＲＯＭ，ＲＡＭ）等からなり当該装置を統括制御する制御部２１と、ハードディスク装置などで構成される記憶部２３と、通信線Ｌに接続されＬＡＮ内のネットワーク機器との間で通信を行う通信制御部２５と、を備えている。この不正利用防止装置２０は、制御部２１にて、各種プログラムを実行し、リスト更新処理部２１ａ、不正利用防止処理部２１ｂ、及びパケットモニタリング部２１ｃとしての機能を果たす。
【００４５】
リスト更新処理部２１ａは、ＤＨＣＰサーバ装置１０の不正利用検出処理部１１ｂから送信されてくる不正利用アドレスリストを受信して、当該装置に取り込む構成にされている。即ち、リスト更新処理部２１ａは、図４（ａ）に示すリスト更新処理を実行すると、ＤＨＣＰサーバ装置１０の不正利用検出処理部１１ｂから不正利用アドレスリストが送信されてくるまで待機し、不正利用アドレスリストを受信すると（Ｓ２１０でＹｅｓ）、その不正利用アドレスリストを、記憶部２３に保存する（Ｓ２２０）。
【００４６】
この際、リスト更新処理部２１ａは、既に保存された不正利用アドレスリストが記憶部２３に存在すると判断すると、今回受信した不正利用アドレスリストを、前回までに保存された不正利用アドレスリストに上書きして、不正利用アドレスリストを更新する。この不正利用アドレスリストの保存が終了すると、リスト更新処理部２１ａは当該リスト更新処理を終了する。
【００４７】
一方、不正利用防止処理部２１ｂは、不正利用防止処理を実行すると、記憶部２３に記憶された不正利用アドレスリスト２３ａを読み出した後（Ｓ３１０）、ＬＡＮ内で伝送されたパケットの監視結果をパケットモニタリング部２１ｃから取得する（Ｓ３２０）。
【００４８】
パケットモニタリング部２１ｃは、ＬＡＮ内で伝送されるパケットを、自身を宛先とするパケットに限定せず受信して、そのパケットに含まれるパケット送信先及びパケット送信元のＩＰアドレスやＭＡＣアドレスなどの情報を抽出するものである。その抽出結果は、上記パケットの監視結果として、制御部２１のメモリ等に一時記憶される。尚、パケットモニタリングの手法は周知であるので、ここでは、その手法に関して、これ以上の説明を省略することにする。
【００４９】
不正利用防止処理部２１ｂは、パケットモニタリング部２１ｃからパケットの監視結果（パケット送信先及びパケット送信元のＩＰアドレスやＭＡＣアドレスなど）を取得すると、そのＩＰアドレスが、記憶部２３から読み出された不正利用アドレスリストに登録されているＩＰアドレスと一致するか否か判断する（Ｓ３３０）。そして、一致しないと判断すると（Ｓ３３０でＮｏ）、処理をＳ３６０に移行する。
【００５０】
一方、ＬＡＮ内で伝送されたパケットの送信元ＩＰアドレスが、不正利用アドレスリストに登録されているＩＰアドレスと一致すると判断すると（Ｓ３３０でＹｅｓ）、不正利用防止処理部２１ｂは、ＩＣＭＰに基づいて、そのパケットの送信先が存在しないことを表す宛先到達不能メッセージを作成し（Ｓ３４０）、上記パケット送信元のＩＰアドレスを宛先として、その宛先到達不能メッセージを送信する（Ｓ３５０）。
【００５１】
周知のように、ＩＰ（インターネットプロトコル）は、コネクションレス型のプロトコルであるため、信頼性のある通信が行えるようには設計されていない。ＩＣＭＰは、そのようなＩＰ構成のネットワークにおいて、ＩＰパケットの送信時にエラーが起きた際のエラーメッセージ等をＩＰパケットの送信元に通知する役割を備える。
【００５２】
ＩＣＭＰに基づく宛先到達不能メッセージは、送信元から送出されたＩＰパケットが宛先に届かなかった場合に通常使用される。この宛先到達不能メッセージを受信した端末は、宛先が不明であるとして、送信したＩＰパケットに対する応答パケットの受信待機を解除するため、そのＩＰパケット送信元の端末から、宛先が不明であるとされた送信先へのアクセスは一時的に不可能になる。
【００５３】
本実施例では、そのような特徴を有する宛先到達不能メッセージを、不正にＩＰアドレスを使用する端末に送信することで（Ｓ３５０）、不正にＩＰアドレスを使用する端末（即ち、不正に当該ＬＡＮに接続された端末）がＬＡＮ内に存在するその他のネットワーク機器へアクセスするのを阻止するのである。
【００５４】
この宛先到達不能メッセージの送信が完了すると、不正利用防止処理部２１ｂは、処理をＳ３６０に移して、リスト更新処理部２１ａにより不正利用アドレスリストが更新されたか否か判断する。そして、不正利用アドレスリストが更新されていないと判断すると（Ｓ３６０でＮｏ）、処理をＳ３２０に戻す。一方、不正利用アドレスリストが更新されたと判断すると（Ｓ３６０でＹｅｓ）、当該不正利用防止処理を一旦終了して、再びＳ３１０から不正利用防止処理を実行する。
【００５５】
以上、第一実施例のネットワーク管理システム１について説明したが、このネットワーク管理システム１によれば、接続管理手段としてのＤＨＣＰサーバ１１ａが、動的ホスト設定プロトコル（ＤＨＣＰ）に基づき、アドレスＤＢ１３ａに登録されたＭＡＣアドレスを有する利用者端末（ＰＣ）のみにＩＰアドレスを付与して、その利用者端末（ＰＣ）を、ＴＣＰ／ＩＰ構成のＬＡＮに接続可能にする。
【００５６】
また、このネットワーク管理システム１によれば、識別情報取得手段としての機能を備える不正利用検出処理部１１ｂが、走査範囲情報に従う範囲のＩＰアドレスについてアドレススキャンを行うことで、そのＩＰアドレスの夫々を宛先としたエコー要求メッセージをＬＡＮ内に送出すると共に、その応答信号としてのエコー応答メッセージをＬＡＮを通じて受信し、エコー応答メッセージに記述されたメッセージ送信元のＩＰアドレスを抽出する（Ｓ１３０）。
【００５７】
この他、本実施例によれば、接続監視手段としての機能を備える不正利用検出処理部１１ｂが、アドレススキャン（Ｓ１３０）により取得できたＬＡＮ内の端末のＩＰアドレスと、ＤＨＣＰサーバ１１ａがリース中のＩＰアドレスと、を比較することによって、ＬＡＮに接続された各端末が、ＤＨＣＰサーバ１１ａによってＬＡＮに接続可能とされた利用者端末（ＰＣ）であるか否かを判断する（Ｓ１４０，Ｓ１５０）。
【００５８】
そして、リース中のＩＰアドレス以外のＩＰアドレスを使用する端末が存在する場合には、その端末がＤＨＣＰサーバ１１ａを介してＬＡＮに接続可能とされた利用者端末（ＰＣ）ではないと判断して（Ｓ１５０でＹｅｓ）、その端末が使用するＩＰアドレスを表した不正利用アドレスリストを作成し、本発明のアクセス阻止手段としての機能を備える不正利用防止装置２０に、その不正利用アドレスリストを送信する（Ｓ１９０）。
【００５９】
不正利用防止装置２０は、この不正利用アドレスリストをＤＨＣＰサーバ装置１０から受信すると、パケットモニタリング部２１ｃによるパケットの監視結果に基づき、不正利用防止処理部２１ｂにて、不正利用アドレスリストに列挙されたＩＰアドレスを使用する端末からＬＡＮ内にパケットが送出されているか否かを判断し（Ｓ３３０）、不正利用アドレスリストに列挙されたＩＰアドレスを使用する端末からＬＡＮ内にパケットが送出されていると判断すると（Ｓ３３０でＹｅｓ）、その端末のアクセス先がＬＡＮ内に存在しないことを表す虚偽情報としての宛先到達不能メッセージを、そのパケットの送信元に送信する（Ｓ３５０）。
【００６０】
これにより、不正利用防止装置２０は、ＤＨＣＰサーバ１１ａからＩＰアドレスが付与された利用者端末（ＰＣ）ではない端末が、ＬＡＮ内の他のネットワーク機器（利用者端末（ＰＣ）や、サーバ装置）に、アクセスするのを阻止する。
したがって、本実施例のネットワーク管理システム１によれば、ＤＨＣＰサーバ１１ａを介さずにＬＡＮに接続された端末が、ＬＡＮ内のネットワーク機器（ファイルサーバ装置５等）に不正にアクセスするのを防止することができ、例えば、悪意をもった利用者が、そのファイルサーバ装置５から、不正にファイル等をダウンロードするのを防止することができる。
【００６１】
また、本実施例のネットワーク管理システム１によれば、不正に接続された端末の通信を選択的に妨害することができるので、正当な利用者によるネットワークの利用を妨げることなく、不正アクセスを確実に阻止することができる。その他、本実施例によれば、広く普及したインターネット制御メッセージプロトコル（ＩＣＭＰ）を利用して、ＬＡＮ内で使用されるＩＰアドレスの情報を収集したり、不正アクセスの阻止を行うため、低コストに本発明のネットワーク管理システムを構築することができる。
【００６２】
次に、第二実施例について説明することにする。尚、以下においては、第一実施例と同一構成の各部に関する説明を、省略することにする。
図５は、第二実施例のネットワーク管理システム３０の構成を表すブロック図である。図５に示すように、第二実施例のネットワーク管理システム３０は、通信線Ｌに接続されたゲートウェイ装置３と、不正利用防止装置２０と、ＤＨＣＰサーバ装置３１と、ファイルサーバ装置３３と、ＤＮＳ（Ｄｏｍａｉｎ  Ｎａｍｅ  Ｓｙｓｔｅｍ）サーバ装置３５と、プロキシサーバ装置３７と、を備える。
【００６３】
第二実施例のネットワーク管理システム３０におけるゲートウェイ装置３、不正利用防止装置２０、ＤＨＣＰサーバ装置３１、ファイルサーバ装置３３、ＤＮＳサーバ装置３５、及び、プロキシサーバ装置３７は、予め当該システムの管理者により、固定のＩＰアドレスが割り当てられ、互いにＴＣＰ／ＩＰ通信可能な状態にされている。即ち、第二実施例のネットワーク管理システム３０には、ゲートウェイ装置３、不正利用防止装置２０、ＤＨＣＰサーバ装置３１、ファイルサーバ装置３３、ＤＮＳサーバ装置３５、及び、プロキシサーバ装置３７などからなるＴＣＰ／ＩＰ構成のＬＡＮが構築されている。
【００６４】
第二実施例のファイルサーバ装置３３及びＤＮＳサーバ装置３５及びプロキシサーバ装置３７は夫々、ＣＰＵ及びメモリ等からなる制御部と、ハードディスク等からなる記憶部と、通信制御部と、を備えており、制御部にて、夫々のサーバ装置として機能するための各種プログラムを実行する。また、第二実施例におけるファイルサーバ装置３３及びＤＮＳサーバ装置３５及びプロキシサーバ装置３７の夫々は、制御部にて、パケット監視部３９としての機能を実現する構成にされている。
【００６５】
図６は、パケット監視部３９が繰り返し実行するパケット監視処理を表すフローチャートである。パケット監視部３９は、図６に示すパケット監視処理を実行することにより、自装置宛に送信されてきたパケットの受信結果を記録し、その記録結果をＤＨＣＰサーバ装置３１に送信する。
【００６６】
具体的に説明すると、パケット監視部３９は、自装置宛に送信されてきたパケットに含まれるパケット送信元のＩＰアドレスをＳ４１０にて抽出し、抽出したＩＰアドレスを受信記録としてメモリ等に一時記憶する（Ｓ４２０）。
その後、パケット監視部３９は、予め定められた受信記録の送信条件が満足されているか否かを判断し（Ｓ４３０）、満足されていなければ（Ｓ４３０でＮｏ）、処理をＳ４１０に戻すことで、送信条件が満足されるまで、自装置に送信されてくるパケットの送信元ＩＰアドレスを逐次抽出し（Ｓ４１０）、それをメモリ等に追加記憶する（Ｓ４２０）。尚、パケット監視部３９は、例えば、所定パケット数分の受信記録が蓄積されると、送信条件が満足されたと判断する構成にされていてもよいし、所定時間が経過すると、送信条件が満足されたと判断する構成にされていてもよい。
【００６７】
Ｓ４３０において送信条件が満足されたと判断すると（Ｓ４３０でＹｅｓ）、パケット監視部３９は、処理をＳ４４０に移して、自装置で受信されたパケットの送信元ＩＰアドレスを表した送信元アドレスリストを上記受信記録に基づき作成し、その送信元アドレスリストをＤＨＣＰサーバ装置３１に送信する。その後、パケット監視部３９は、当該パケット監視処理を終了する。
【００６８】
一方、第二実施例のＤＨＣＰサーバ装置３１は、不正利用検出処理部３２にて、図７に示す不正利用検出処理を実行する構成にされている。尚、図７は、不正利用検出処理部３２が繰り返し実行する不正利用検出処理を表すフローチャートである。
【００６９】
第二実施例のＤＨＣＰサーバ装置３１は、上述した第一実施例のＤＨＣＰサーバ装置１０と概ね同一構成の制御部１１と、記憶部１３と、通信制御部１５と、を備えており、制御部１１にて、ＤＨＣＰサーバ１１ａ、及び、第一実施例の不正利用検出処理部１１ｂに代替する不正利用検出処理部３２、並びに、メールサーバ１１ｃとしての機能を実現する構成にされている。
【００７０】
不正利用検出処理部３２は、図７に示す不正利用検出処理を実行すると、パケット監視部３９から送信元アドレスリストを受信するまで待機し、パケット監視部３９から送信元アドレスリストを受信すると（Ｓ５１０でＹｅｓ）、記憶部１３からリースＩＰアドレスリスト１３ｂを読み出して（Ｓ５２０）、それら送信元アドレスリストに列挙されたＩＰアドレスと、リースＩＰアドレスリスト１３ｂに列挙されたＩＰアドレスとを比較する（Ｓ５３０）。
【００７１】
そして、比較結果に基づき、リースＩＰアドレスリストに列挙されていないＩＰアドレスが、送信元アドレスリストに存在すると判断すると、不正利用検出処理部３２は、そのＩＰアドレスを使用する端末が、ＤＨＣＰサーバ１１ａによって、ＬＡＮに接続可能とされた利用者端末（ＰＣ）ではなく、ＬＡＮ内において不正にＩＰアドレスを使用する端末であるとして（Ｓ５４０でＹｅｓ）、そのＩＰアドレスを記述した不正利用アドレスリストを作成する（Ｓ５５０）。尚、Ｓ５４０においてＩＰアドレスを不正利用する端末が存在しないと判断すると、不正利用検出処理部３２は、処理をＳ５１０に戻す。
【００７２】
Ｓ５５０における不正利用アドレスリストの作成が完了すると、不正利用検出処理部３２は、その不正利用アドレスリストをログ情報として記憶部１３に保存する（Ｓ５６０）と共に、その不正利用アドレスリストを格納した電子メールを作成して（Ｓ５７０）、その電子メールを、予め設定された宛先に送信する（Ｓ５８０）。
【００７３】
この電子メールの送信が終了すると、不正利用検出処理部３２は、その不正利用アドレスリストを不正利用防止装置２０に送信する（Ｓ５９０）。また、不正利用アドレスリストの送信が終了すると、不正利用検出処理部３２は、不正利用検出処理を終了する。
【００７４】
一方、不正利用アドレスリストを受信する不正利用防止装置２０は、第一実施例のそれと同一構成にされている。即ち、不正利用防止装置２０は、パケットモニタリング部２１ｃから得られた監視結果に基づき、ＬＡＮ内で伝送されたパケットの送信元ＩＰアドレスが、不正利用アドレスリストに登録されているＩＰアドレスと一致するか否か判断し（Ｓ３３０）、一致すると判断すると（Ｓ３３０でＹｅｓ）、そのパケットの送信先が存在しないことを表す宛先到達不能メッセージを作成し（Ｓ３４０）、上記パケット送信元のＩＰアドレスを宛先として、その宛先到達不能メッセージを送信する（Ｓ３５０）。これにより、ＩＰアドレスを不正利用する端末からＬＡＮ内の他のネットワーク機器へのアクセスは阻止される。
【００７５】
以上、第二実施例のネットワーク管理システム３０について説明したが、第二実施例のネットワーク管理システムによれば、識別情報取得手段として機能する各サーバ装置内蔵のパケット監視部３９が、ＬＡＮ内で伝送され、自装置宛に送信されてきたパケットを収集して、そのパケットに記述されたパケット送信元のＩＰアドレスを、ＬＡＮに接続されたネットワーク機器の識別情報として取得し、そのパケット送信元ＩＰアドレスを表す送信元アドレスリストを、ＤＨＣＰサーバ装置３１の不正利用検出処理部３２に提供する。
【００７６】
また、不正利用検出処理部３２は、その送信元アドレスリストとリースＩＰアドレスリストに基づき、不正利用アドレスリストを作成し、その不正利用アドレスリストを本発明のアクセス阻止手段として機能する不正利用防止装置２０に送信する。
【００７７】
即ち、第二実施例のネットワーク管理システム３０によれば、送信元アドレスリストに基づき、ＩＰアドレスを不正利用する端末を識別するので、エコー応答メッセージを返さないように設計された不正なネットワーク機器をも発見することができ、ＬＡＮへの不正アクセスを確実に阻止することができる。
【００７８】
尚、本発明のネットワーク管理システム１，３０は、上記実施例に限定されるものではなく、種々の態様を採ることができる。上記実施例では、ＬＡＮ内にＤＨＣＰサーバ装置１０、３１を一つ設ける例を説明したが、例えば、ＬＡＮ内にＤＨＣＰサーバ装置を複数個備えるネットワーク管理システムに、本発明を適用しても構わない。
【図面の簡単な説明】
【図１】第一実施例のネットワーク管理システム１の構成を表すブロック図である。
【図２】ＤＨＣＰサーバ装置１０及び不正利用防止装置２０の構成を表すブロック図である。
【図３】不正利用検出処理部１１ｂが実行する不正利用検出処理を表すフローチャートである。
【図４】不正利用防止装置２０が制御部２１にて実行するリスト更新処理及び不正利用防止処理を表すフローチャートである。
【図５】第二実施例のネットワーク管理システム３０の構成を表すフローチャートである。
【図６】第二実施例の各サーバ装置がパケット監視部３９にて実行するパケット監視処理を表すフローチャートである。
【図７】ＤＨＣＰサーバ装置３１が不正利用検出処理部３２にて実行する不正利用検出処理を表すフローチャートである。
【符号の説明】
１，３０…ネットワーク管理システム、３…ゲートウェイ装置、５，３３…ファイルサーバ装置、１０，３１…ＤＨＣＰサーバ装置、１１，２１…制御部、１１ａ…ＤＨＣＰサーバ、１１ｂ，３２…不正利用検出処理部、１１ｃ…メールサーバ、１３，２３…記憶部、１３ａ…アドレスＤＢ、１３ｂ…リースＩＰアドレスリスト、１３ｃ…送信先情報、１５，２５…通信制御部、２０…不正利用防止装置、２１ａ…リスト更新処理部、２１ｂ…不正利用防止処理部、２１ｃ…パケットモニタリング部、２３ａ…不正利用アドレスリスト、３５…ＤＮＳサーバ装置、３７…プロキシサーバ装置、３９…パケット監視部、Ｌ…通信線
【図１】
2004241831.tif 000003
【図２】
2004241831.tif 000004
【図３】
2004241831.tif 000005
【図４】
2004241831.tif 000006
【図５】
2004241831.tif 000007
【図６】
2004241831.tif 000008
【図７】
2004241831.tif 000009