(57)【特許請求の範囲】
【請求項１】
ＶＬＡＮ機能を有するレイヤー２スイッチを備えたネットワークにおいて発信された、ＡＲＰパケットを検出する、ＡＲＰ検出部と、
前記ＡＲＰパケットが検出されると、それに基づいて、前記レイヤー２スイッチを対象として、前記ＡＲＰパケットの発信元のＭＡＣアドレスを含む複数のＭＡＣアドレスが登録されているポートの検出を実行し、検出できた場合は、検出された前記ポートに、ＶＬＡＮ機能を有していない集線装置を介して、新たに端末が接続されたと判定する、接続状態判定部と、
前記接続状態判定部によって、前記集線装置を介して前記新たに端末が接続されたと判定された場合に、新たに接続された前記端末に対して、セキュリティポリシの検査を実行させる、端末判定部と、
を備え、
前記端末判定部は、前記セキュリティポリシの検査の結果、隔離の必要がある場合に、前記集線装置に先に接続されている端末に対して、イーサーネットフレームにタグを付けるよう指示を行い、
前記集線装置が接続されているポートに、隔離用のＶＬＡＮと業務用のＶＬＡＮとを接続し、
そして、前記レイヤー２スイッチに対して、前記集線装置が接続されているポートをトランクポートに設定し、前記タグ付きのイーサーネットフレームのみが前記業務用ＶＬＡＮを介して送信されるように指示を行う、ことを特徴とする端末検知装置。
【請求項２】
前記接続状態判定部が、検出された前記ＡＲＰパケットから、前記ＡＲＰパケットの発信元のＭＡＣアドレスを抽出し、抽出したＭＡＣアドレスを前記レイヤー２スイッチのＭＡＣアドレステーブルに照合することによって、前記ＡＲＰパケットの発信元のＭＡＣアドレスを含む複数のＭＡＣアドレスが登録されているポートを検出する、請求項１に記載の端末検知装置。
【請求項３】
ＶＬＡＮ機能を有するレイヤー２スイッチを備えたネットワークの管理を行うサーバ装置であって、
前記ネットワークにおいて発信された、ＡＲＰパケットを検出する、ＡＲＰ検出部と、
前記ＡＲＰパケットが検出されると、それに基づいて、前記レイヤー２スイッチを対象として、前記ＡＲＰパケットの発信元のＭＡＣアドレスを含む複数のＭＡＣアドレスが登録されているポートの検出を実行し、検出できた場合に、検出された前記ポートに、ＶＬＡＮ機能を有していない集線装置を介して、新たに端末が接続されたと判定する、接続状態判定部と、
前記接続状態判定部によって、前記集線装置を介して前記新たに端末が接続されたと判定された場合に、新たに接続された前記端末に対して、セキュリティポリシの検査を実行させる、端末判定部と、
を備え、
前記端末判定部は、前記セキュリティポリシの検査の結果、隔離の必要がある場合に、
前記集線装置に先に接続されている端末に対して、イーサーネットフレームにタグを付けるよう指示を行い、
前記集線装置が接続されているポートに、隔離用のＶＬＡＮと業務用のＶＬＡＮとを接続し、
そして、前記レイヤー２スイッチに対して、前記集線装置が接続されているポートをトランクポートに設定し、前記タグ付きのイーサーネットフレームのみが前記業務用ＶＬＡＮを介して送信されるように指示を行う、ことを特徴とするサーバ装置。
【請求項４】
前記接続状態判定部が、検出された前記ＡＲＰパケットから、前記ＡＲＰパケットの発信元のＭＡＣアドレスを抽出し、抽出したＭＡＣアドレスを前記レイヤー２スイッチのＭＡＣアドレステーブルに照合することによって、前記ＡＲＰパケットの発信元のＭＡＣアドレスを含む複数のＭＡＣアドレスが登録されているポートを検出する、請求項３に記載のサーバ装置。
【請求項５】
（ａ）ＶＬＡＮ機能を有するレイヤー２スイッチを備えたネットワークにおいて発信された、ＡＲＰパケットを検出する、ステップと、
（ｂ）前記（ａ）のステップで前記ＡＲＰパケットが検出されると、それに基づいて、前記レイヤー２スイッチを対象として、前記ＡＲＰパケットの発信元のＭＡＣアドレスを含む複数のＭＡＣアドレスが登録されているポートの検出を実行する、ステップと、
（ｃ）前記（ｂ）のステップで前記ポートを検出できた場合に、検出された前記ポートに、ＶＬＡＮ機能を有していない集線装置を介して、新たに端末が接続されたと判定する、ステップと、
（ｄ）前記（ｃ）のステップで、前記集線装置を介して前記新たに端末が接続されたと判定された場合に、新たに接続された前記端末に対して、セキュリティポリシの検査を実行させる、ステップと、
（ｅ）前記（ｄ）のステップにおける前記セキュリティポリシの検査の結果、隔離の必要がある場合に、
前記集線装置に先に接続されている端末に対して、イーサーネットフレームにタグを付けるよう指示を行い、
前記集線装置が接続されているポートに、隔離用のＶＬＡＮと業務用のＶＬＡＮとを接続し、
そして、前記レイヤー２スイッチに対して、前記集線装置が接続されているポートをトランクポートに設定し、前記タグ付きのイーサーネットフレームのみが前記業務用ＶＬＡＮを介して送信されるように指示を行う、ステップと、
を有することを特徴とする端末検知方法。
【請求項６】
前記（ｂ）のステップにおいて、検出された前記ＡＲＰパケットから、前記ＡＲＰパケットの発信元のＭＡＣアドレスを抽出し、抽出したＭＡＣアドレスを前記レイヤー２スイッチのＭＡＣアドレステーブルに照合することによって、前記ＡＲＰパケットの発信元のＭＡＣアドレスを含む複数のＭＡＣアドレスが登録されているポートを検出する、請求項５に記載の端末検知方法。
【請求項７】
コンピュータに、
（ａ）ＶＬＡＮ機能を有するレイヤー２スイッチを備えたネットワークにおいて発信された、ＡＲＰパケットを検出する、ステップと、
（ｂ）前記（ａ）のステップで前記ＡＲＰパケットが検出されると、それに基づいて、前記レイヤー２スイッチを対象として、前記ＡＲＰパケットの発信元のＭＡＣアドレスを含む複数のＭＡＣアドレスが登録されているポートの検出を実行する、ステップと、
（ｃ）前記（ｂ）のステップで前記ポートを検出できた場合に、検出された前記ポートに、ＶＬＡＮ機能を有していない集線装置を介して、新たに端末が接続されたと判定する、ステップと、
（ｄ）前記（ｃ）のステップで、前記集線装置を介して前記新たに端末が接続されたと判定された場合に、新たに接続された前記端末に対して、セキュリティポリシの検査を実行させる、ステップと、
（ｅ）前記（ｄ）のステップにおける前記セキュリティポリシの検査の結果、隔離の必要がある場合に、
前記集線装置に先に接続されている端末に対して、イーサーネットフレームにタグを付けるよう指示を行い、
前記集線装置が接続されているポートに、隔離用のＶＬＡＮと業務用のＶＬＡＮとを接続し、
そして、前記レイヤー２スイッチに対して、前記集線装置が接続されているポートをトランクポートに設定し、前記タグ付きのイーサーネットフレームのみが前記業務用ＶＬＡＮを介して送信されるように指示を行う、ステップと、
を実行させるプログラム。
【請求項８】
前記（ｂ）のステップにおいて、検出された前記ＡＲＰパケットから、前記ＡＲＰパケットの発信元のＭＡＣアドレスを抽出し、抽出したＭＡＣアドレスを前記レイヤー２スイッチのＭＡＣアドレステーブルに照合することによって、前記ＡＲＰパケットの発信元のＭＡＣアドレスを含む複数のＭＡＣアドレスが登録されているポートを検出する、請求項７に記載のプログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、レイヤー２スイッチを備えるネットワークシステムにおいて、レイヤー２スイッチに間接的に接続された端末の検知に利用される、端末検知装置、サーバ装置、端末検知方法、及びプログラムに関する。
【背景技術】
【０００２】
近年、企業等においては、ネットワークでの情報漏洩を防止するため、検疫システムの導入が進められている（例えば、特許文献１参照。）。検疫システムは、ネットワークに接続する端末のセキュリティ状態を判定し、不適切と判定された端末をネットワークから切り離すことによって、ネットワークのセキュリティを保持している。
【０００３】
このような検疫システムでは、一般に、ネットワークの制御をより厳密に行うために、ＶＬＡＮ（Virtual LAN）機能を有するレイヤー２スイッチが利用されている。レイヤー２スイッチは、インターネットプロトコルの通信に利用されるレイヤーよりも低いレイヤー（データリンク層）において、ネットワークを制御している。
【０００４】
具体的には、検疫システムにおいて、ＶＬＡＮ機能を有するレイヤー２スイッチは、予め、業務用のＶＬＡＮと隔離用のＶＬＡＮとを備えている。そして、検疫システムを構成する検疫サーバは、レイヤー２スイッチに接続された端末のセキュリティポリシに従い、その端末をどちらかのＶＬＡＮに所属させる。
【０００５】
つまり、検疫サーバは、レイヤー２スイッチのいずれかのポートに端末が接続されると、ＳＮＭＰ（Simple Network Management Protocol）を利用して、端末のポートへの接続を検知する。そして、検疫サーバは、端末におけるエージェントプログラムのインストールのチェック、セキュリティポリシのチェックなどを実行する。
【０００６】
その後、検疫サーバは、セキュリティポリシを満たす安全な端末のみを業務用のＶＬＡＮに接続させ、セキュリティポリシを満たさない端末を隔離用のＶＬＡＮによって隔離する。その後、検疫サーバは、セキュリティポリシを満たさない端末に対して、エージェントプログラムのインストールといった、セキュリティポリシを満たすための処理を施してから、これらを業務用のＶＬＡＮに接続させる。この結果、ネットワークのセキュリティが保たれる。
【先行技術文献】
【特許文献】
【０００７】
【特許文献１】特開２００８−５４２０４号公報
【発明の概要】
【発明が解決しようとする課題】
【０００８】
ところで、上述の検疫システムでは、レイヤー２スイッチの各ポートに、端末が直接接続されることが前提とされている。一方、実際には、各ポートに、端末ではなく、例えば、ＶＬＡＮ機能を持たないハブが接続され、更に、このハブのポートに端末が複数台接続される場合が想定される。
【０００９】
このような場合、上述の検疫システムは、ＶＬＡＮ機能を持たないハブに接続された１台目の端末については検知できるが、２台目以降の端末については検知できないため、２台目以降の端末に対しては、セキュリティポリシに基づく隔離及び復旧は不可能となる。
【００１０】
また、ネットワークシステムにおけるハブを、全てＶＬＡＮ機能を有するレイヤー２スイッチに置き換えれば、上記の隔離及び復旧ができない問題は解消されるが、この場合は、従前の資産を有効に生かすことができず、企業等にとってコストがかかってしまう。このため、上述のような場合であっても、端末の接続を確実に検知することが求められている。
【００１１】
本発明の目的の一例は、上記問題を解消し、レイヤー２スイッチのポートに、ＶＬＡＮ機能を有していない集線装置を介して、複数の端末が接続された場合に、１台目に加えて２台目以降の端末の接続も検知し得る、端末検知装置、それを備えたサーバ装置、端末検知方法、及びプログラムを提供することにある。
【課題を解決するための手段】
【００１２】
上記目的を達成するため、本発明の一側面における端末検知装置は、
ＶＬＡＮ機能を有するレイヤー２スイッチを備えたネットワークにおいて発信された、ＡＲＰパケットを検出する、ＡＲＰ検出部と、
前記ＡＲＰパケットが検出されると、それに基づいて、前記レイヤー２スイッチを対象として、前記ＡＲＰパケットの発信元のＭＡＣアドレスを含む複数のＭＡＣアドレスが登録されているポートの検出を実行し、検出できた場合は、検出された前記ポートに、ＶＬＡＮ機能を有していない集線装置を介して、新たに端末が接続されたと判定する、接続状態判定部と、を備えていることを特徴とする。
【００１３】
また、上記目的を達成するため、本発明の一側面におけるサーバ装置は、ＶＬＡＮ機能を有するレイヤー２スイッチを備えたネットワークの管理を行うサーバ装置であって、
前記ネットワークにおいて発信された、ＡＲＰパケットを検出する、ＡＲＰ検出部と、
前記ＡＲＰパケットが検出されると、それに基づいて、前記レイヤー２スイッチを対象として、前記ＡＲＰパケットの発信元のＭＡＣアドレスを含む複数のＭＡＣアドレスが登録されているポートの検出を実行し、検出できた場合に、検出された前記ポートに、ＶＬＡＮ機能を有していない集線装置を介して、新たに端末が接続されたと判定する、接続状態判定部と、を備えていることを特徴とする。
【００１４】
更に、上記目的を達成するため、本発明の一側面における端末検知方法は、
（ａ）ＶＬＡＮ機能を有するレイヤー２スイッチを備えたネットワークにおいて発信された、ＡＲＰパケットを検出する、ステップと、
（ｂ）前記（ａ）のステップで前記ＡＲＰパケットが検出されると、それに基づいて、前記レイヤー２スイッチを対象として、前記ＡＲＰパケットの発信元のＭＡＣアドレスを含む複数のＭＡＣアドレスが登録されているポートの検出を実行する、ステップと、
（ｃ）前記（ｂ）のステップで前記ポートを検出できた場合に、検出された前記ポートに、ＶＬＡＮ機能を有していない集線装置を介して、新たに端末が接続されたと判定する、ステップと、を有することを特徴とする。
【００１５】
更に、上記目的を達成するため、本発明の一側面におけるプログラムは、
コンピュータに、
（ａ）ＶＬＡＮ機能を有するレイヤー２スイッチを備えたネットワークにおいて発信された、ＡＲＰパケットを検出する、ステップと、
（ｂ）前記（ａ）のステップで前記ＡＲＰパケットが検出されると、それに基づいて、前記レイヤー２スイッチを対象として、前記ＡＲＰパケットの発信元のＭＡＣアドレスを含む複数のＭＡＣアドレスが登録されているポートの検出を実行する、ステップと、
（ｃ）前記（ｂ）のステップで前記ポートを検出できた場合に、検出された前記ポートに、ＶＬＡＮ機能を有していない集線装置を介して、新たに端末が接続されたと判定する、ステップと、を実行させることを特徴とする。
【発明の効果】
【００１６】
以上の特徴により、本発明によれば、レイヤー２スイッチのポートに、ＶＬＡＮ機能を有していない集線装置を介して、複数の端末が接続された場合に、１台目に加えて２台目以降の端末の接続も検知することができる。
【図面の簡単な説明】
【００１７】
【図１】図１は、本発明の実施の形態における端末検知装置及びサーバ装置が用いられるネットワークの全体構成を示す図である。
【図２】図２は、本発明の実施の形態における端末検知装置及びサーバ装置の構成を示すブロック図である。
【図３】図３は、本発明の実施の形態におけるサーバ装置の第１の動作を示すシーケンス図である。
【図４】図４は、本発明の実施の形態におけるサーバ装置の第２の動作を示すシーケンス図である。
【図５】図５は、本発明の実施の形態におけるサーバ装置の第３の動作を示すシーケンス図である。
【図６】図６は、本発明の実施の形態における端末検知装置及びサーバ装置を実現するコンピュータの一例を示すブロック図である。
【発明を実施するための形態】
【００１８】
（実施の形態）
以下、本発明の実施の形態における、端末検知装置、サーバ装置、端末検知方法、及びプログラムについて、図１〜図６を参照しながら説明する。最初に、本実施の形態における端末検知装置及びサーバ装置が用いられるネットワークについて図１を用いて説明する。図１は、本発明の実施の形態における端末検知装置及びサーバ装置が用いられるネットワークの全体構成を示す図である。
【００１９】
図１に示すように、本実施の形態では、端末検知装置１０は、サーバ装置２０に備えられており、サーバ装置２０の一部を構成している。サーバ装置２０は、ネットワーク７０を構成し、ネットワーク７０の管理を行っている。また、ネットワーク７０は、サーバ装置２０に加え、レイヤー２スイッチ３０、ハブ４０、端末５１〜５３、業務ネットワーク６０を備えている。
【００２０】
レイヤー２スイッチ３０は、仮想的にネットワークを分割する機能、いわゆる「ＶＬＡＮ機能」を備えている。ＶＬＡＮ機能の具体例としては、国際標準であるＩＥＥＥ８０２．１Ｑに準拠したタグＶＬＡＮ機能が挙げられる。更に、レイヤー２スイッチ３０は、ネットワーク管理プロトコルによってサーバ装置２０と通信する機能も備えている。ネットワーク管理プロトコルとしては、インターネット上の業界標準であるＲＦＣで規定されているＳＮＭＰ（Simple Network Management Protocol）等が挙げられる。
【００２１】
また、レイヤー２スイッチ３０は、ポート３１〜３４を備えている。このうち、ポート３１には、サーバ装置２０が接続されている。ポート３１は、複数のタグＶＬＡＮそれぞれに所属するイーサーネット（登録商標）フレームを送出可能なトランク（Trunk）ポートに設定されている。一方、ポート３２〜ポート３４は、アクセスポートに設定されている。特に、ポート３２及びポート３３には、接続される端末の状態に応じて、ポートＶＬＡＮが設定される。
【００２２】
ハブ４０は、イーサーネットで構成されたネットワークで利用される集線装置であり、ＶＬＡＮ機能を有していない。ハブ４０は、ＶＬＡＮ機能及びＳＮＭＰ機能を有していないレイヤー２のスイッチと同等であり、ハブ４０をこれと置き換えることも可能である。
【００２３】
業務ネットワーク６０は、イントラネット等の業務ネットワークであり、業務サーバ及びインターネットへの接続に利用される。また、業務ネットワーク６０は、企業の上流ネットワークへのアクセス経路を含んでいても良い。
【００２４】
また、図１において、端末５１〜５３は、それぞれ、ネットワーク７０の利用者が利用するコンピュータである。端末５１〜５３は、ネットワーク７０に接続する際、又は接続後の起動時に、同一のネットワークセグメント上でのＩＰアドレスの重複を確認するため、ＡＲＰパケット（Gratuitous ARP）をブロードキャストで発信する。
【００２５】
なお、本実施の形態において、ネットワーク７０は、図１の例に限定されるものではない。図１の例では、３つの端末のみが例示されているが、端末の数は限定されるものではない。また、図１の例では、１つのレイヤー２スイッチ３０のみが例示されているが、レイヤー２スイッチ３０の数も限定されるものではない。
【００２６】
続いて、本実施の形態における端末検知装置及びサーバ装置の構成について図２を用いて説明する。図２は、本発明の実施の形態における端末検知装置及びサーバ装置の構成を示すブロック図である。
【００２７】
図２に示すように、端末検知装置１０は、上述したようにサーバ装置２０の一部を構成し、ＡＲＰ（Address Resolution Protocol）検出部１１と、接続状態判定部１２とを備えている。このうち、ＡＲＰ検出部１１は、ＶＬＡＮ機能を有するレイヤー２スイッチ３０を備えたネットワーク７０において発信された、ＡＲＰパケットを検出する。つまり、いずれかの端末がネットワーク７０上でＡＲＰパケットを発信すると、ＡＲＰ検出部１１は、これを検出する。
【００２８】
接続状態判定部１２は、ＡＲＰパケットが検出されると、検出したＡＲＰパケットに基づいて、レイヤー２スイッチ３０を対象として、ＡＲＰパケットの発信元のＭＡＣアドレスを含む複数のＭＡＣアドレスが登録されているポートの検出を実行する。そして、複数のＭＡＣアドレスが登録されているポートが検出されたとすると、このことは、検出されたポートには、ＡＲＰパケットの送信元の端末を入れて複数の端末が、ＶＬＡＮ機能を有していない集線装置を介して接続されていることを意味している。
【００２９】
従って、接続状態判定部１２は、複数のＭＡＣアドレスが登録されているポートを検出した場合は、検出されたポートに、ＶＬＡＮ機能を有していない集線装置（図１の例ではハブ４０）を介して、新たに端末が接続されたと判定する。このように、端末検知装置１０は、レイヤー２スイッチのポートに、ＶＬＡＮ機能を有していない集線装置を介して、複数の端末が接続された場合に、１台目に加えて２台目以降の端末の接続も検知することができる。
【００３０】
ここで、端末検知装置１０及びサーバ装置２０の構成について更に具体的に説明する。本実施の形態では、図２に示すように、端末検知装置１０において、接続状態判定部１２は、ＩＰ／ＭＡＣアドレス抽出部１３と、接続検出部１４とを備えている。
【００３１】
ＩＰ／ＭＡＣアドレス抽出部１３は、検出されたＡＲＰパケットから、ＡＲＰパケットの発信元のＩＰアドレス及びＭＡＣアドレスを抽出し、抽出したＩＰアドレス及びＭＡＣアドレスを接続検出部１４に通知する。
【００３２】
接続検出部１４は、先ず、通知されたＩＰアドレスから、発信元の端末が接続されたレイヤー２スイッチ３０を特定し、そのＭＡＣアドレステーブルを取得する。そして、接続検出部１４は、通知されたＭＡＣアドレスをレイヤー２スイッチのＭＡＣアドレステーブルに照合することによって、ＡＲＰパケットの発信元のＭＡＣアドレスを含む複数のＭＡＣアドレスが登録されているポートの検出を実行する。ポートが検出された場合は、接続検出部１４は、ハブ４０を介して、新たに端末が接続されたと判定する。
【００３３】
また、図２に示すように、サーバ装置２０は、端末検知装置１０の他に、ＶＬＡＮ設定部２１と、接続通知受取部２２と、端末判定部２３とを備えている。このうち、ＶＬＡＮ設定部２１は、外部からのシステム管理者の指示に応じて、又は端末判定部２３の指示に応じて、レイヤー２スイッチ３０の各ポート（アクセスポート）が接続されるＶＬＡＮを設定する。
【００３４】
本実施の形態では、レイヤー２スイッチ３０は、検疫のための隔離用ＶＬＡＮと、業務ネットワーク６０への接続を可能にする業務用ＶＬＡＮとを設定可能となっている。ＶＬＡＮ設定部２１は、外部からのシステム管理者の指示に応じて、又は端末判定部２３の指示に応じて、各ポート（アクセスポート）のＶＬＡＮ番号（VLAN ID）を、隔離用ＶＬＡＮのＶＬＡＮ番号又は業務用ＶＬＡＮのＶＬＡＮ番号に設定する。
【００３５】
接続通知受取部２１は、レイヤー２スイッチ３０のポート（アクセスポート）に直接端末が接続された場合に、レイヤー２スイッチ３０から、端末の接続を知らせる通知を受け取る。本実施の形態では、接続通知受取部２１は、レイヤー２スイッチ３０のポート３３に、端末５３が接続されると、レイヤー２スイッチ３０から、そのことを知らせる通知を受け取る。また、接続通知受取部２１は、受け取った通知を端末判定部２３に入力する。
【００３６】
端末判定部２３は、レイヤー２スイッチ３０のポートに直接又は間接的に接続された端末と通信し、この端末のセキュリティ状態を判定する。そして、判定の結果、例えば、ポートに直接接続されている端末が安全な場合は、端末判定部２３は、ＶＬＡＮ設定部２１に指示を行い、この端末が接続されているポートのＶＬＡＮを業務用ＶＬＡＮに設定させる。また、判定の結果、例えば、ポートに直接接続されている端末が安全でない場合は、端末判定部２３は、ＶＬＡＮ設定部２１に指示を行い、端末が接続されているポートのＶＬＡＮを隔離用ＶＬＡＮに設定させる。更に、この場合は、端末判定部２３は、検疫ネットワークを構成する検疫サーバ（図１及び図２において図示せず）に、上記の端末を対象として検疫処理を行わせる。
【００３７】
次に、本発明の実施の形態におけるサーバ装置２０、更には端末検知装置１０の動作について図３〜図５を用いて説明する。なお、以下の説明においては、適宜図１及び図２を参酌する。また、本実施の形態１では、端末検知装置１０を動作させることによって、端末検知方法が実施されるので、本実施の形態における端末検知方法の説明は、以下の端末検知装置１０の動作説明に代える。
【００３８】
最初に、図３を用いて、サーバ装置２０の第１の動作について説明する。図３は、本発明の実施の形態におけるサーバ装置の第１の動作を示すシーケンス図である。第１の動作は、サーバ装置２０が通常行う動作であり、この場合において端末検知装置１０は動作を停止した状態にある。
【００３９】
図３に示すように、先ず、システム管理者からの指示により、サーバ装置２０のＶＬＡＮ設定部２１は、レイヤー２スイッチ３０のポート（アクセスポート）３２及びポート（アクセスポート）３３それぞれのＶＬＡＮ番号（VLAN ID）を隔離用ＶＬＡＮのＶＬＡＮ番号に設定する（ステップＣ１）。
【００４０】
本例では、ポート３２のＶＬＡＮ番号（VLAN ID）は、隔離用ＶＬＡＮのＶＬＡＮ番号である「１０」に設定され、ポート３３のＶＬＡＮ番号（VLAN ID）は、隔離用ＶＬＡＮのＶＬＡＮ番号である「２０」に設定される。ステップＣ１の実行により、各アクセスポートに端末が接続された場合、各端末は、隔離用ＶＬＡＮに接続されることとなる。
【００４１】
次に、端末５３が、レイヤー２スイッチ３０のポート（アクセスポート）３３に接続される（ステップＣ２）と、レイヤー２スイッチ３０は、ネットワーク管理プロトコル（ＳＮＭＰ）を利用して、そのことを、サーバ装置２０の接続通知受取部２２に通知する（ステップＣ３）。
【００４２】
接続通知受取部２２は、ポート（アクセスポート）３３に接続された端末５３がセキュリティポリシ等を満たしているかを判定するため、ポート３３に割り当てられているＶＬＡＮの番号（この場合は「２０」）を端末判定部２３に通知する（ステップＣ４）。
【００４３】
サーバ装置２０は、レイヤー２スイッチ３０に設定された全てのＶＬＡＮと通信できるので、端末判定部２３は、ＶＬＡＮ番号が「２０」のネットワークに接続されている端末５３と通信し、端末５３にセキュリティポリシの検査を実行させる（ステップＣ５）。その後、端末５３は、端末判定部２３に、セキュリティポリシの検査結果を送信する（ステップＣ６）。
【００４４】
ステップＣ６で得られた検査結果から、端末５３が安全であると判断できる場合は、端末判定部２３は、ＶＬＡＮ設定部２１に対して、レイヤー２スイッチ３０のポート（アクセスポート）３３が業務ＶＬＡＮに所属するように、ＶＬＡＮ設定を通知する（ステップＣ７）。
【００４５】
ステップＣ７が実行されると、ＶＬＡＮ設定部２１は、レイヤー２スイッチ３０のポート（アクセスポート）３３のＶＬＡＮ番号を、業務ＶＬＡＮ用のＶＬＡＮ番号に設定する（ステップＣ８）。なお、ステップＣ６で得られた検査結果から、端末５３が安全でないと判断できた場合は、端末判定部２３は、検疫サーバ（図１〜図３において図示せず）に検疫処理を実行させる。
【００４６】
次に、図４を用いて、サーバ装置２０の第２の動作について説明する。図４は、本発明の実施の形態におけるサーバ装置の第２の動作を示すシーケンス図である。第２の動作は、主に端末検知装置１０によって行われ、ＶＬＡＮ機能を有していないハブ４０に一台の端末が接続された場合の動作である。
【００４７】
図４に示すように、先ず、ポート（アクセスポート）３２に、ＶＬＡＮ機能を持たないハブ４０が接続される（ステップＣ９）。この時、ステップＣ１で述べたように、ポート（アクセスポート）３２には、隔離用ＶＬＡＮのＶＬＡＮ番号「１０」が割り当てられている。
【００４８】
次に、ＶＬＡＮ機能を持たないハブ４０に、端末５１が接続される（ステップＣ１０）。この場合、ＶＬＡＮ機能を持たないハブ４０が、端末５１とレイヤー２スイッチ３０との間に挿入されているため、端末５１の種類によっては、サーバ装置２０の接続通知受取部２２に端末５１の接続が通知されないことがある。
【００４９】
次に、端末５１は、ネットワークに接続されると、ＡＲＰパケット（Gratuitous ARP）をブロードキャストする（ステップＣ１１）。ステップＣ１１が実行されると、端末検知装置１０のＡＲＰ検出部１１は、そのＡＲＰパケット（Gratuitous ARP）を検出する（ステップＣ１１）。そして、ＡＲＰ検出部１１は、検出したＡＲＰパケット（Gratuitous ARP）を、ＩＰ／ＭＡＣアドレス抽出部１３に渡す。
【００５０】
次に、ＩＰ／ＭＡＣアドレス抽出部１３は、ＡＲＰ検出部１１から受け取ったＡＲＰパケット（Gratuitous ARP）から、端末５１のＩＰアドレスとＭＡＣアドレスとを抽出する（ステップＣ１２）。そして、ＩＰ／ＭＡＣアドレス抽出部１３は、抽出したＩＰアドレスとＭＡＣアドレスとを接続検出部１４に通知する（ステップＣ１３）。
【００５１】
次に、接続検出部１４は、通知されたＩＰアドレスから、発信元の端末が接続されたレイヤー２スイッチ３０を特定し、特定したレイヤー２スイッチ３０に、ＭＡＣアドレステ-ブルの取得を依頼する（ステップＣ１４）。そして、接続検出部１４は、依頼を受けたレイヤー２スイッチ３０から、各アクセスポートのＭＡＣアドレスを示すＭＡＣアドレステーブルを取得する（ステップＣ１５）。
【００５２】
更に、接続検出部１４は、ステップＣ１２で抽出されたＭＡＣアドレスが登録されているポートの検出を行い、検出結果を端末判定部２３に通知する。図４の例では、ハブ４０に端末５１のみが接続されているため、接続検出部１４は、ステップＣ１２で抽出されたＭＡＣアドレスのみが登録されている１つのポート（アクセスポート）を検出することとなる。
【００５３】
レイヤー２スイッチ３０のポート３２に一つのＭＡＣアドレスのみが登録されている場合は、端末判定部２３は、このＭＡＣアドレスを持つ端末５１と通信を行う。そして、端末判定部２３は、端末５１にセキュリティポリシの検査を実行させる（ステップＣ１７）。その後、端末５１は、端末判定部２３に、セキュリティポリシの検査結果を送信する（ステップＣ１８）。
【００５４】
ステップＣ１８で得られた検査結果から、端末５１が安全であると判断できる場合は、端末判定部２３は、ＶＬＡＮ設定部２１に対して、レイヤー２スイッチ３０のポート（アクセスポート）３２が業務ＶＬＡＮに所属するように、ＶＬＡＮ設定を通知する（ステップＣ１９）。
【００５５】
ステップＣ１９が実行されると、ＶＬＡＮ設定部２１は、レイヤー２スイッチ３０のポート（アクセスポート）３２のＶＬＡＮ番号を、業務ＶＬＡＮ用のＶＬＡＮ番号に設定する（ステップＣ２０）。なお、ステップＣ１８で得られた検査結果から、端末５１が安全でないと判断できた場合は、端末判定部２３は、検疫サーバ（図１〜図３において図示せず）に検疫処理を実行させる。
【００５６】
続いて、図５を用いて、サーバ装置２０の第３の動作について説明する。図５は、本発明の実施の形態におけるサーバ装置の第３の動作を示すシーケンス図である。第３の動作も、第２の動作と同様に、主に端末検知装置１０によって行われる動作である。但し、第３の動作は、第２の動作と異なり、ＶＬＡＮ機能を有していないハブ４０に新たに端末が接続され、それに接続されている端末が複数台となった場合の動作である。
【００５７】
図５に示すように、先ず、ＶＬＡＮ機能を持たないハブ４０に、端末５１に加えて、端末５２が接続される（ステップＣ２１）。このとき、図４におけるステップＣ１９及びＣ２０に示したように、ＶＬＡＮ機能を持たないハブ４０に、既に、セキュリティポリシを満たす端末５１が接続されているため、ポート（アクセスポート）３２は業務用ＶＬＡＮに割り当てられている。
【００５８】
次に、端末５２は、業務用ＶＬＡＮに直接接続されているため、ＡＲＰパケット（Gratuitous ARP）をブロードキャストする（ステップＣ２２）。このとき、端末５２は、未だセキュリティポリシの検査を受けていない状態であるため、ネットワーク７０のセキュリティレベルが確保されていないとも考えられるが、以下の各ステップにより、セキュリティレベルは確保される。
【００５９】
ステップＣ２２が実行されると、端末検知装置１０のＡＲＰ検出部１１は、そのＡＲＰパケット（Gratuitous ARP）を検出する。そして、ＡＲＰ検出部１１は、検出したＡＲＰパケット（Gratuitous ARP）を、ＩＰ／ＭＡＣアドレス抽出部１３に渡す。
【００６０】
次に、ＩＰ／ＭＡＣアドレス抽出部１３は、ＡＲＰ検出部１１から受け取ったＡＲＰパケット（Gratuitous ARP）から、端末５２のＩＰアドレスとＭＡＣアドレスとを抽出する（ステップＣ２３）。そして、ＩＰ／ＭＡＣアドレス抽出部１３は、抽出したＩＰアドレスとＭＡＣアドレスとを接続検出部１４に通知する
（ステップＣ２４）。
【００６１】
次に、接続検出部１４は、通知されたＩＰアドレスから、発信元の端末５２が接続されたレイヤー２スイッチ３０を特定し、特定したレイヤー２スイッチ３０に、ＭＡＣアドレステーブルの取得を依頼する（ステップＣ２５）。そして、接続検出部１４は、依頼を受けたレイヤー２スイッチ３０から、各アクセスポートのＭＡＣアドレスを示すＭＡＣアドレステーブルを取得する（ステップＣ２６）。
【００６２】
更に、接続検出部１４は、ステップＣ１２で抽出されたＭＡＣアドレスが登録されているポートの検出を行い、検出結果を端末判定部２３に通知する（ステップＣ２７）。図５の例では、ハブ４０に端末５１に加えて、端末５２も接続されているため、接続検出部１４は、ステップＣ２３で抽出されたＭＡＣアドレスを含む複数のＭＡＣアドレスが登録されている１つのポート（アクセスポート）を検出することとなる。この場合、接続検出部１４は、ハブ４０を介して、新たに端末が接続されたと判定する。
【００６３】
次に、端末判定部２３は、新たに接続された端末５２と通信を行う。そして、端末判定部２３は、端末５２にセキュリティポリシの検査を実行させる（ステップＣ２８）。その後、端末５２は、端末判定部２３に、セキュリティポリシの検査結果を送信する（ステップＣ２９）。
【００６４】
ステップＣ２９で得られた検査結果から、端末５２が安全であると判断できる場合は、端末判定部２３は、ＶＬＡＮ設定部２１に対して、ポート３２においては、図４に示したステップＣ１９で通知したＶＬＡＮ設定が維持されるように、ＶＬＡＮ設定を通知する（ステップＣ３０）。ＶＬＡＮ設定部２１は、通知に従って、レイヤー２スイッチ３０のポート（アクセスポート）３２のＶＬＡＮを設定する（ステップＣ３１）。
【００６５】
一方、ステップＣ２９で得られた検査結果から、端末５２が安全でないと判断できる場合は、端末判定部２３は、端末５２のみを隔離する必要がある。例えば、端末判定部２３は、端末５１に対しては、イーサーネットフレームに、端末５１が送信元であることを示すタグを付けるように指示を行う。そして、端末判定部２３は、ポート３２をトランクポートに設定し、更に、ＶＬＡＮ設定部２１に指示を行って、ポート３２を隔離用ＶＬＡＮと業務用ＶＬＡＮとの両方に接続させる。また、端末判定部２３は、レイヤー２スイッチ３０に対しては、ポート３２を通るイーサーネットフレームのうち、タグ付きのイーサーネットフレームのみが業務用ＶＬＡＮを介して送信されるように指示を行う。
【００６６】
以上のように、本実施の形態によれば、ＶＬＡＮ機能を持たないハブ４０の配下に２台以上の端末が接続された場合において、これらの端末の接続を検知することができる。このため、ＶＬＡＮ機能を有していない集線装置がネットワークに組み込まれていたとしても、検疫システムを確実に動作させることができる。つまり、企業等は、ＶＬＡＮ機能を有していないハブを多数所有していたとしても、これらを高価なレイヤー２スイッチに置き換えることなく、セキュリティポリシによる端末の隔離及び復旧といった検疫処理を実現できる。
【００６７】
また、本実施の形態におけるプログラムは、コンピュータに、図４に示すステップＣ１２〜Ｃ１６、及び図５に示すステップＣ２３〜Ｃ２７を実行させるプログラムであれば良い。このプログラムをコンピュータにインストールし、実行することによって、端末検知装置１０と端末検知方法とを実現することができる。この場合、コンピュータのＣＰＵ（Central Processing Unit）は、ＡＲＰ検出部１１及び接続状態判定部１２として機能し、処理を行なう。また、本実施の形態では、コンピュータは、サーバ装置２０を実現しているコンピュータであっても良い。
【００６８】
ここで、実施の形態におけるプログラムを実行でき、且つ、端末検知装置１０、更にはサーバ装置２０を実現できるコンピュータについて図６を用いて説明する。図６は、本発明の実施の形態における端末検知装置及びサーバ装置を実現するコンピュータの一例を示すブロック図である。
【００６９】
図６に示すように、コンピュータ１１０は、ＣＰＵ１１１と、メインメモリ１１２と、記憶装置１１３と、入力インターフェイス１１４と、表示コントローラ１１５と、データリーダ／ライタ１１６と、通信インターフェイス１１７とを備える。これらの各部は、バス１２１を介して、互いにデータ通信可能に接続される。
【００７０】
ＣＰＵ１１１は、記憶装置１１３に格納された、本実施の形態におけるプログラム（コード）をメインメモリ１１２に展開し、これらを所定順序で実行することにより、各種の演算を実施する。メインメモリ１１２は、典型的には、ＤＲＡＭ（Dynamic Random Access Memory）等の揮発性の記憶装置である。また、本実施の形態におけるプログラムは、コンピュータ読み取り可能な記録媒体１２０に格納された状態で提供される。なお、本実施の形態におけるプログラムは、通信インターフェイス１１７を介して接続されたインターネット上で流通するものであっても良い。
【００７１】
また、記憶装置１１３の具体例としては、ハードディスクの他、フラッシュメモリ等の半導体記憶装置が挙げられる。入力インターフェイス１１４は、ＣＰＵ１１１と、キーボード及びマウスといった入力機器１１８との間のデータ伝送を仲介する。表示コントローラ１１５は、ディスプレイ装置１１９と接続され、ディスプレイ装置１１９での表示を制御する。データリーダ／ライタ１１６は、ＣＰＵ１１１と記録媒体１２０との間のデータ伝送を仲介し、記録媒体１２０からのプログラムの読み出し、及びコンピュータ１１０における処理結果の記録媒体１２０への書き込みを実行する。通信インターフェイス１１７は、ＣＰＵ１１１と、他のコンピュータとの間のデータ伝送を仲介する。
【００７２】
また、記録媒体１２０の具体例としては、ＣＦ（Compact Flash）及びＳＤ（Secure Digital）等の汎用的な半導体記憶デバイス、フレキシブルディスク（Flexible Disk）等の磁気記憶媒体、又はＣＤ−ＲＯＭ（Compact Disk Read Only Memory）などの光学記憶媒体が挙げられる。
【産業上の利用可能性】
【００７３】
以上のように、本発明によれば、レイヤー２スイッチのポートに、ＶＬＡＮ機能を有していない集線装置を介して、複数の端末が接続された場合に、１台目に加えて２台目以降の端末の接続も検知できる。本発明は、ＶＬＡＮ機能を有していない集線装置と、ＶＬＡＮ機能を有しているレイヤー２スイッチとが混在している、ネットワークに、特に有用である。
【符号の説明】
【００７４】
１０  端末検知装置
１１  ＡＲＰ検出部
１２  接続状態判定部
１３  ＩＰ／ＭＡＣアドレス抽出部
１４  接続検出部
２０  サーバ装置
２１  ＶＬＡＮ設定部
２２  接続通知受取部
２３  端末判定部
３０  レイヤー２スイッチ
３１、３２、３３、３４  ポート
４０  ハブ
５１、５２、５３  端末
６０  業務ネットワーク
１１０  コンピュータ
１１１  ＣＰＵ
１１２  メインメモリ
１１３  記憶装置
１１４  入力インターフェイス
１１５  表示コントローラ
１１６  データリーダ／ライタ
１１７  通信インターフェイス
１１８  入力機器
１１９  ディスプレイ装置
１２０  記録媒体
１２１  バス
【図１】
0005333789.tif 000002
【図２】
0005333789.tif 000003
【図３】
0005333789.tif 000004
【図４】
0005333789.tif 000005
【図５】
0005333789.tif 000006
【図６】
0005333789.tif 000007