ネットワーク監視システムおよびネットワーク監視サーバならびにネットワーク監視プログラム
【課題】効率よくネットワークを監視し、不正に持ち込まれてネットワークに接続されている端末装置を監視し、その不正接続端末装置の使用を制限する。
【解決手段】ネットワークに接続された端末装置１２０，１２１と、前記ネットワークに接続されており、前記端末装置の該ネットワーク内のＩＰアドレスに応じてＭＡＣアドレスを取得するパケットを送信し、前記パケットに応じた前記端末装置からの応答により該端末装置のＭＡＣアドレスを取得し、前記ＭＡＣアドレスが前記ネットワーク内で登録済みであるかを確認し、未登録である場合には前記端末装置の前記ＩＰアドレスを名乗るブロードキャストを実行するネットワーク監視サーバ１１１と、を有する。
【解決手段】ネットワークに接続された端末装置１２０，１２１と、前記ネットワークに接続されており、前記端末装置の該ネットワーク内のＩＰアドレスに応じてＭＡＣアドレスを取得するパケットを送信し、前記パケットに応じた前記端末装置からの応答により該端末装置のＭＡＣアドレスを取得し、前記ＭＡＣアドレスが前記ネットワーク内で登録済みであるかを確認し、未登録である場合には前記端末装置の前記ＩＰアドレスを名乗るブロードキャストを実行するネットワーク監視サーバ１１１と、を有する。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、ネットワークにおいて未登録の端末装置を監視し、その未登録端末装置の動作を制限するネットワーク監視システムおよびネットワーク監視サーバならびにネットワーク監視プログラムに関する。
【背景技術】
【０００２】
オフィスなどでのネットワーク環境の整備により、コンピュータを持ち込み、有線あるいは無線のＬＡＮに接続することでネットワークを利用できる環境が各所で整っている。
また、これらのネットワークではＤＨＣＰなどにより、自動的にＩＰアドレスを割り当てるような設定がなされていることが一般的であり、複雑な設定無しにネットワークを使用できるようになっている。
【０００３】
このような状況では、不正に持ち込んだ端末装置を監視する必要が生じる。このようなネットワークにおける端末監視に関しては、以下の特許文献１に記載がなされている。
【先行技術文献】
【特許文献】
【０００４】
【特許文献１】特開2008-269195
【発明の概要】
【発明が解決しようとする課題】
【０００５】
以上の特許文献１記載の手法では、端末装置のＩＰアドレスと、中継サーバのＩＰアドレスとの比較により、正規の端末装置が正規の場所から接続されているか否かを確認することができる。
【０００６】
しかし、中継サーバなどを有しない小規模のＬＡＮなどのネットワーク内部では、このような手法の監視を用いることができない。
すなわち、一般的に使用されているネットワークでは、接続時には認証やアクセス制限ができないものであり、接続すれば誰でも自由にネットワークに接続できてしまうものであった。
【０００７】
このため、正規に接続されている端末装置と不正に持ち込まれた端末装置との区別がつかない状態になっていた。
本発明は、このような課題に鑑み創案されたもので、効率よくネットワークを監視し、不正に持ち込まれてネットワークに接続されている端末装置を監視し、その不正接続端末装置の使用を制限可能なネットワーク監視システムおよびネットワーク監視サーバ並びにネットワーク監視プログラムを実現することを目的としている。
【課題を解決するための手段】
【０００８】
上記目的を達成するために、本発明では、以下に記載するネットワーク監視システムおよびネットワーク監視サーバならびにネットワーク監視プログラムを用いる。
（１）請求項１記載の発明は、ネットワークに接続された端末装置と、前記ネットワークに接続されており、前記端末装置の該ネットワーク内のＩＰアドレスに応じてＭＡＣアドレスを取得するパケットを送信し、前記パケットに応じた前記端末装置からの応答により該端末装置のＭＡＣアドレスを取得し、前記ＭＡＣアドレスが前記ネットワーク内で登録済みであるかを確認し、未登録である場合には前記端末装置の前記ＩＰアドレスを名乗
るブロードキャストを実行するネットワーク監視サーバと、を有することを特徴とするネットワーク監視システムである。
【０００９】
（２）請求項２記載の発明は、前記ネットワーク監視サーバは、ＡＲＰパケットを送信することで、前記ネットワークに接続されている前記端末装置のＭＡＣアドレスを取得する、ことを特徴とする請求項１記載のネットワーク監視システムである。
【００１０】
（３）請求項３記載の発明は、前記ネットワーク監視サーバは、ネットワーク内のセグメント毎に配置される、該セグメント内で前記ネットワークに接続されている端末装置の監視を行う、ことを特徴とする請求項１または請求項２に記載のネットワーク監視システムである。
【００１１】
（４）請求項４記載の発明は、端末装置が接続されているネットワークに接続されており、前記端末装置の該ネットワーク内のＩＰアドレスに応じてＭＡＣアドレスを取得するパケットを送信し、前記パケットに応じた前記端末装置からの応答により該端末装置のＭＡＣアドレスを取得し、前記ＭＡＣアドレスが前記ネットワーク内で登録済みであるかを確認し、未登録である場合には前記端末装置の前記ＩＰアドレスを名乗るブロードキャストを実行する、ことを特徴とするネットワーク監視サーバである。
【００１２】
（５）請求項５記載の発明は、ＡＲＰパケットを送信することで、前記ネットワークに接続されている前記端末装置のＭＡＣアドレスを取得する、ことを特徴とする請求項４記載のネットワーク監視サーバである。
【００１３】
（６）請求項６記載の発明は、ネットワーク内のセグメント毎に配置され、該セグメント内で前記ネットワークに接続されている端末装置の監視を行う、ことを特徴とする請求項４または請求項５に記載のネットワーク監視サーバである。
【００１４】
（７）請求項７記載の発明は、端末装置が接続されているネットワークにて、前記端末装置の該ネットワーク内のＩＰアドレスに応じてＭＡＣアドレスを取得するパケットを送信するアドレス取得パケット送信手段、前記パケットに応じた前記端末装置からの応答により該端末装置のＭＡＣアドレスを取得するアドレス取得手段、前記ＭＡＣアドレスが前記ネットワーク内で登録済みであるかを確認するアドレス確認手段、前記ＭＡＣアドレスが未登録である場合に前記端末装置の前記ＩＰアドレスを名乗るブロードキャストを実行するブロードキャスト実行手段、としてネットワーク監視サーバのコンピュータを機能させることを特徴とするネットワーク監視プログラムである。
【００１５】
（８）以上の（１）〜（７）において、ネットワーク監視サーバは、前記端末装置からの応答による前記ＭＡＣアドレスが前記ネットワーク内で未登録である場合には、前記端末装置の前記ＩＰアドレスに加え、該ネットワーク内で重複しない仮のＭＡＣアドレスを用いて、ブロードキャストを実行する、ことを特徴とする。
【発明の効果】
【００１６】
上述した本発明のネットワーク監視システム，管理サーバおよびネットワーク監視プログラムによれば、以下のような効果を得ることができる。
（１）請求項１記載のネットワーク監視システムの発明では、端末装置の該ネットワーク内のＩＰアドレスに応じてＭＡＣアドレスを取得するパケットを送信し、パケットに応じた端末装置からの応答により該端末装置のＭＡＣアドレスを取得し、ＭＡＣアドレスがネットワーク内で登録済みであるかを確認する。
【００１７】
これにより、該端末装置がネットワーク内で正規に登録されている端末装置であるか、
不正に持ち込まれた未登録端末装置であるかを判別しつつ、効率よくネットワーク内を監視することができる。
【００１８】
そして、端末装置からの応答によってＭＡＣアドレスが未登録であると判明すれば、この端末装置（未登録端末装置）のＩＰアドレスを名乗るブロードキャストをネットワーク監視サーバが実行する。これにより、未登録端末装置は、該ネットワーク内での通信ができない状態になる。
【００１９】
このため、許可無く不正に持ち込まれてネットワークに接続されている未登録端末装置を監視するだけでなく、その未登録端末装置の使用を制限できるようになる。
さらに、ネットワーク監視サーバが、未登録端末装置のＩＰアドレスに加え、該ネットワーク内で重複しない仮のＭＡＣアドレスを用いて、ブロードキャストを実行することで、未登録端末装置の通信を一層確実に制限できるようになる。
【００２０】
（２）請求項２記載のネットワーク監視システムの発明においてネットワーク監視サーバは、ＡＲＰパケットを送信することで、ネットワークに接続されている端末装置のＭＡＣアドレスを取得している。すなわち、ネットワーク監視サーバは、ネットワーク内のＩＰアドレスを指定してＡＲＰ要求としてパケットを送信し、該ＡＲＰ要求を受けた端末装置からのＭＡＣアドレスを含むＡＲＰ応答を受信する。これにより、ネットワーク内の端末装置あるいは機器が、登録されたものであるか、否かを確実に把握することが可能になる。
【００２１】
（３）請求項３記載のネットワーク監視システムの発明では、
以上のように端末装置のＩＰアドレスに応じたＭＡＣアドレスを取得するパケットは異なるセグメントには到達できないため、ネットワーク監視サーバを、ネットワーク内のセグメント毎に配置することで、不正に持ち込まれてネットワークに接続されている未登録端末装置を監視するだけでなく、その未登録端末装置の使用を制限できるようになる。
【００２２】
（４）請求項４記載のネットワーク監視サーバの発明では、端末装置の該ネットワーク内のＩＰアドレスに応じてＭＡＣアドレスを取得するパケットを送信し、パケットに応じた端末装置からの応答により該端末装置のＭＡＣアドレスを取得し、ＭＡＣアドレスがネットワーク内で登録済みであるかを確認する。
【００２３】
これにより、該端末装置がネットワーク内で正規に登録されている端末装置であるか、不正に持ち込まれた未登録端末装置であるかを判別しつつ、効率よくネットワーク内を監視することができる。
【００２４】
そして、端末装置からの応答によってＭＡＣアドレスが未登録であると判明すれば、この端末装置（未登録端末装置）のＩＰアドレスを名乗るブロードキャストをネットワーク監視サーバが実行する。これにより、未登録端末装置は、該ネットワーク内での通信ができない状態になる。
【００２５】
このため、不正に持ち込まれてネットワークに接続されている未登録端末装置を監視するだけでなく、その未登録端末装置の使用を制限できるようになる。
さらに、ネットワーク監視サーバが、未登録端末装置のＩＰアドレスに加え、該ネットワーク内で重複しない仮のＭＡＣアドレスを用いて、ブロードキャストを実行することで、未登録端末装置の通信を一層確実に制限できるようになる。
【００２６】
（５）請求項５記載のネットワーク監視サーバの発明は、ＡＲＰパケットを送信することで、ネットワークに接続されている端末装置のＭＡＣアドレスを取得している。すなわ
ち、ネットワーク監視サーバは、ネットワーク内のＩＰアドレスを指定してＡＲＰ要求としてパケットを送信し、該ＡＲＰ要求を受けた端末装置からのＭＡＣアドレスを含むＡＲＰ応答を受信する。これにより、ネットワーク内の端末装置あるいは機器が、登録されたものであるか、否かを確実に把握することが可能になる。
【００２７】
（６）請求項３記載のネットワーク監視サーバの発明では、以上のように端末装置のＩＰアドレスに応じたＭＡＣアドレスを取得するパケットは異なるセグメントには到達できないため、ネットワーク監視サーバを、ネットワーク内のセグメント毎に配置することで、不正に持ち込まれてネットワークに接続されている未登録端末装置を監視するだけでなく、その未登録端末装置の使用を制限できるようになる。
【００２８】
（７）請求項７記載のネットワーク監視プログラムの発明では、端末装置の該ネットワーク内のＩＰアドレスに応じてＭＡＣアドレスを取得するパケットを送信するアドレス取得パケット送信手段、パケットに応じた端末装置からの応答により該端末装置のＭＡＣアドレスを取得するアドレス取得手段、ＭＡＣアドレスがネットワーク内で登録済みであるかを確認するアドレス確認手段、ＭＡＣアドレスが未登録である場合に端末装置のＩＰアドレスを名乗るブロードキャストを実行するブロードキャスト実行手段、を備えることで、端末装置の該ネットワーク内のＩＰアドレスに応じてＭＡＣアドレスを取得するパケットを送信し、パケットに応じた端末装置からの応答により該端末装置のＭＡＣアドレスを取得し、ＭＡＣアドレスがネットワーク内で登録済みであるかを確認する。
【００２９】
これにより、該端末装置がネットワーク内で正規に登録されている端末装置であるか、不正に持ち込まれた未登録端末装置であるかを判別しつつ、効率よくネットワーク内を監視することができる。
【００３０】
そして、端末装置からの応答によってＭＡＣアドレスが未登録であると判明すれば、この端末装置（未登録端末装置）のＩＰアドレスを名乗るブロードキャストをネットワーク監視サーバが実行する。これにより、未登録端末装置は、該ネットワーク内での通信ができない状態になる。
【００３１】
このため、不正に持ち込まれてネットワークに接続されている未登録端末装置を監視するだけでなく、その未登録端末装置の使用を制限できるようになる。
さらに、ネットワーク監視サーバが、未登録端末装置のＩＰアドレスに加え、該ネットワーク内で重複しない仮のＭＡＣアドレスを用いて、ブロードキャストを実行することで、未登録端末装置の通信を一層確実に制限できるようになる。
【図面の簡単な説明】
【００３２】
【図１】本発明の一実施形態のネットワーク監視システムの構成を示すブロック図である。
【図２】本発明の一実施形態のネットワーク監視システムの構成を示すブロック図である。
【図３】本発明の一実施形態のネットワーク監視システムの動作を示すフローチャートである。
【図４】本発明の一実施形態のネットワーク監視システムの構成を示すブロック図である。
【発明を実施するための形態】
【００３３】
以下、図面を参照して本発明の実施の形態を説明する。
〔１〕本実施形態のネットワーク監視システムの構成（１）：
図１は本発明の一実施形態としてのネットワーク監視システムが既存のネットワークシ
ステム１００において構成された状態を示すブロック図である。
【００３４】
この図１において、ネットワークシステム１００は、ＬＡＮ(Local Area Network)などのネットワークシステムである。
このネットワークシステム１００では、ルータ１００Ｒが外部ネットワークとネットワークシステム１００間を相互接続する通信機器である。
【００３５】
ハブ１００Ｈはスイッチングハブなどで構成され、複数の機器をネットワーク接続するネットワーク機器である。
管理サーバ１１０は、ネットワークシステム１００における各種制御や各種管理を行うものであり、後述する端末装置のＩＰアドレスとＭＡＣアドレスとの管理も行っている。
【００３６】
ネットワーク監視サーバ１１１は、端末装置の該ネットワーク内のＩＰアドレスに応じてＭＡＣアドレスを取得するパケットを送信し、パケットに応じた端末装置からの応答により該端末装置のＭＡＣアドレスを取得し、ＭＡＣアドレスがネットワーク内で登録済みであるかを確認する。
【００３７】
そして、ネットワーク監視サーバ１１１は、端末装置からの応答によってＭＡＣアドレスが未登録であると判明すれば、この端末装置（未登録端末装置）のＩＰアドレスを名乗るブロードキャストをが実行する。
【００３８】
ここで、ＩＰアドレス（Internet Protocol Address ）とは、ＩＰネットワークにおいて、パケットの宛先や送信元を特定するために利用される識別子である。なお、この実施形態で用いられるのは、ＬＡＮ内で利用できる「プライベートアドレス」である。また、ＭＡＣアドレス（Media Access Control address）は、ネットワーク上で、各ノードを識別するために設定されているLANカードなどのネットワーク機器のハードウェア固有の物
理アドレスである。
【００３９】
そして、、ネットワーク監視サーバ１１１は、図２に示されるように、端末装置の該ネットワーク内のＩＰアドレスに応じてＭＡＣアドレスを取得するパケットを送信するアドレス取得パケット送信手段、パケットに応じた端末装置からの応答により該端末装置のＭＡＣアドレスを取得する端末アドレス取得手段、ＭＡＣアドレスがネットワーク内で登録済みであるかを確認する端末アドレス確認手段、ＭＡＣアドレスが未登録である場合に端末装置のＩＰアドレスを名乗るブロードキャストを実行するブロードキャスト実行手段、を備える。
【００４０】
ファイルサーバ１１５はネットワークに接続されており、各種ファイルや各種データが格納されているネットワーク上のファイル格納手段である。
端末装置１２０-a〜端末装置１２０-nは、ネットワークに接続されたコンピュータ装置などの情報処理端末装置である。なお、ここでは、a〜nまでのｎ台の端末装置がネットワークに接続された状態を示しているが、台数は１台であっても複数台であっても構わない。
【００４１】
なお、この端末装置１２０-a〜端末装置１２０-nは、一般的なコンピュータ装置だけでなく、ネットワークに接続可能なプリンタ、スキャナ、複写機、ファクシミリ装置なども含まれる。
【００４２】
また、この端末装置１２０-a〜端末装置１２０-nは、ＩＰアドレスとＭＡＣアドレスとの組合せが、管理サーバ１１０により管理され、登録されているものとする。
また、端末装置１２１は、管理者の許可無く不正に持ち込まれてネットワークシステム
１００に接続され、ＤＨＣＰなどによって自動的にＩＰアドレスを割り当てるられて、使用可能になっている情報処理端末装置である。なお、この端末装置１２１は、一般的なコンピュータ装置だけでなく、ネットワークに接続可能なプリンタ、スキャナ、複写機、ファクシミリ装置などの場合も含まれる。なお、ここでは、１台の端末装置１２１がネットワークに接続された状態を示しているが、台数は１台であっても複数台であっても構わない。
【００４３】
〔２〕本実施形態のネットワーク監視システムの動作：
以下、図３のフローチャートを参照して、本実施形態のネットワーク監視システムの動作を説明する。
【００４４】
ここでは、ネットワーク監視サーバ１１１においてネットワーク監視プログラムが動作しており、ネットワークに許可無く接続された端末装置１２１を発見し、その端末装置１２１の動作を阻害する動作について説明する。
【００４５】
なお、このネットワーク監視サーバ１１１のネットワーク監視機能については、管理サーバ１１０において実現することも可能である。また、このネットワーク監視サーバ１１１のネットワーク監視機能については、端末装置１２０-a〜端末装置１２０-nのいずれかにおいて実現することも可能である。以下の説明では、ネットワーク監視サーバ１１１がネットワーク監視プログラムを実行するものとして説明を続ける。
【００４６】
ネットワーク監視サーバ１１１は所定の監視タイミングに達すると（図３中のステップＳ１０１でＹＥＳ）、アドレス取得パケット送信手段１１１ａが、該ネットワークシステム１００内の各端末装置１２０-a〜１２０-nや端末装置１２１の各ＩＰアドレスに応じてＭＡＣアドレスを取得するパケット（ＡＲＰパケット）を送信する（図５中のステップＳ１０２）。
【００４７】
ここで、許可を得て登録されている端末装置１２０-a〜１２０-nだけでなく、未知の端末装置１２１のＩＰアドレスの可能性にも配慮し、ネットワークシステム１００においてＤＨＣＰによって割り当てられる可能性のある全てのＩＰアドレスに対してアドレス取得パケット送信手段１１１ａがＡＲＰパケットを送信する。
【００４８】
あるいは、ここで、未知の端末装置１２１のＩＰアドレスの可能性にも配慮し、ネットワークシステム１００において動作可能な全てのＩＰアドレスに対してアドレス取得パケット送信手段１１１ａがＡＲＰパケットを送信する。
【００４９】
このＡＲＰパケットの送信は、ＡＲＰ要求とも呼ばれており、このＡＲＰ要求を受けた端末装置は、自分のＩＰアドレスとＭＡＣアドレスとをＡＲＰ応答として、ＡＲＰ要求の送信元に対して返信を行う。
【００５０】
ここで、アドレス取得パケット送信手段１１１ａが１つのＩＰアドレスに対してＡＲＰパケットを送信する（図３中のステップＳ１０２）毎に、いずれかの端末装置（端末装置１２０-a〜１２０-n、未知の端末装置１２１のいずれか）からのＡＲＰ応答を、端末アドレス取得手段１１１ｂが受信すべく待機する（図３中のステップＳ１０３）。
【００５１】
ここで、ＡＲＰ応答があれば（図３中のステップＳ１０３）、そのＡＲＰ応答に含まれるＭＡＣアドレスについて、端末アドレス確認手段１１１ｃは、管理サーバ１１０が管理している所定の管理テーブルを参照し、このＭＡＣアドレスがネットワークシステム１００内で既に登録済みであるかを確認する（図３中のステップＳ１０５）。
【００５２】
この端末装置からのＡＲＰ応答により得られたＭＡＣアドレスが登録済みであれば（図３中のステップＳ１０５でＮＯ）、ステップ１０２に戻り、別なＩＰアドレスに対してＡＲＰ要求を繰り返す（図３中のステップＳ１０２）。
【００５３】
一方、端末装置からのＡＲＰ応答によって得られたＭＡＣアドレスが、本ネットワークシステム１００内において未登録であると判明すれば（図３中のステップＳ１０５でＹＥＳ）、このＡＲＰ応答をした端末装置（この場合、未登録端末装置１２１）のＩＰアドレスを名乗るブロードキャストをネットワーク監視サーバ１１１内のブロードキャスト実行手段１１１ｄが実行する（図３中のステップＳ１０６）。
なお、この際に、ブロードキャスト実行手段１１１ｄは、未登録端末装置のＩＰアドレスに加え、該ネットワークシステム１００内で重複しない仮のＭＡＣアドレスを用いて、ブロードキャストを実行することで、未登録端末装置の通信を一層確実に制限できるようになる。
【００５４】
そして、ネットワークシステム１００内で割り当て可能なＩＰアドレス、あるいは、ネットワークシステム１００内で使用可能なＩＰアドレスの全てについて以上のＡＲＰ要求、ＡＲＰ応答の受信、未登録か否かの判断、未登録アドレスに対してＩＰアドレスを名乗ったブロードキャスト実行、を繰り返す（図３中のステップＳ１０７でＮＯ、Ｓ１０２）。
【００５５】
これにより、ネットワークシステム１００内では、未登録端末装置１２１のＩＰアドレスは監視サーバ１１１に乗っ取られた状態になり、未登録端末装置１２１はネットワークシステム１００内での通信が行えない状態になる。
【００５６】
あるいは、ネットワークシステム１００内では、未登録端末装置１２１のＩＰアドレスが、重複して存在するため、アドレスの衝突が検出され、その未登録端末装置１２１が持っていたＩＰアドレスそのものが使用不能な状態に陥る。
【００５７】
さらに、ネットワーク監視サーバ１１１が、未登録端末装置１２１のＩＰアドレスに加え、該ネットワーク内で重複しない仮のＭＡＣアドレスを用いてブロードキャストを実行することで、未登録端末装置１２１のＩＰアドレスとＭＡＣアドレスとの組み合わせによる通信が、一層確実に制限される。
【００５８】
以上のように、端末装置の該ネットワーク内のＩＰアドレスに応じてＭＡＣアドレスを取得するパケットを送信し、パケットに応じた端末装置からの応答により該端末装置のＭＡＣアドレスを取得し、ＭＡＣアドレスがネットワーク内で登録済みであるかを確認することで、該端末装置がネットワーク内で正規に登録されている端末装置であるか、許可を得ずに不正に持ち込まれた未登録端末装置であるかを判別しつつ、効率よくネットワーク内を監視することができる。そして、端末装置からの応答によってＭＡＣアドレスが未登録であると判明すれば、この端末装置（未登録端末装置）のＩＰアドレスを名乗るブロードキャストをネットワーク監視サーバが実行する。これにより、未登録端末装置は、該ネットワーク内での通信ができない状態になる。このため、許可無く不正に持ち込まれてネットワークに接続されている未登録端末装置を監視するだけでなく、その未登録端末装置の使用を制限できるようになる。
【００５９】
さらに、ネットワーク監視サーバが、未登録端末装置のＩＰアドレスに加え、該ネットワーク内で重複しない仮のＭＡＣアドレスを用いて、ブロードキャストを実行することで、未登録端末装置の通信を一層確実に制限できるようになる。
【００６０】
〔３〕本実施形態のネットワーク監視システムの構成（２）：
図４は本発明の実施形態としてのネットワーク監視システムが既存のネットワークシステム１００において構成された状態の他の例を示すブロック図である。
【００６１】
ここで、図１と同一物には同一番号を付すことで重複した説明を省略する。
この図４では、ネットワークシステム１００内にスイッチングハブ１００Ｈ１とスイッチングハブ１００Ｈ２とが存在しており、それぞれのスイッチングハブに端末装置が接続されている。
【００６２】
すなわち、ルータ１００Ｒに接続されたスイッチングハブ１００Ｈ１には、端末装置１２０-a〜端末装置１２０-mと、管理サーバ１１０と、ファイルサーバ１１５Ａと、未登録端末装置１２１とが接続されている。
【００６３】
なお、ここでは、a〜mまでの複数台の端末装置がネットワークに接続された状態を示しているが、台数は１台であっても複数台であっても構わない。
また、ルータ１００Ｒに接続されたスイッチングハブ１００Ｈ２には、端末装置１２０-n〜端末装置１２０-zと、ファイルサーバ１１５Ｂと、未登録端末装置１２２とが接続されている。なお、ここでは、n〜zまでの複数台の端末装置がネットワークに接続された状態を示しているが、台数は１台であっても複数台であっても構わない。
【００６４】
ここで、各スイッチングハブ以下の各装置のまとまりが、１セグメントを構成している。すなわち、図４の場合には、２つのセグメントが存在している。そして、ネットワーク監視サーバ１１１ＡによるＡＲＰ要求は、スイッチングハブ１００Ｈ１のセグメント内だけであり、スイッチングハブ１００Ｈ１を超えることができない。
【００６５】
このため、スイッチングハブ１００Ｈ２のセグメント内にも、監視サーバ１１１Ａと同等な監視サーバ１１１Ｂを配置している。従って、スイッチングハブ１００Ｈ２のセグメント内に、未登録端末装置１２２が存在する場合には、監視サーバ１１１Ｂが図３に示した手順で、未登録端末装置１２２の監視と動作制限とを実行すればよい。
【００６６】
以上のように端末装置１２０，１２１のＩＰアドレスに応じたＭＡＣアドレスを取得するパケットは異なるセグメントには到達できないため、ネットワーク監視サーバ１１１を、ネットワーク内のセグメント毎に配置することで、不正に持ち込まれてネットワークに接続されている未登録端末装置１２１，１２２を監視するだけでなく、その未登録端末装置１２１，１２２の使用を制限できるようになる。
【００６７】
〔４〕本実施形態のネットワーク監視システムの構成（３）：
以上の説明では、未登録端末装置１２１，１２２は、情報処理端末装置（ＰＣ）である場合を具体例にしてきた。これ以外に、許可無くネットワークに接続したプリンタ、スキャナ、ネットワーク接続可能なハードディスク装置などであっても、以上の場合と同様に監視と動作制限とが可能になる。
【００６８】
〔５〕本実施形態のネットワーク監視システムの応用：
以上説明したように、既存のネットワークシステム１００に対して、ネットワーク監視プログラムを搭載したネットワーク監視サーバ１１１を設けることにより、以上説明したように、不正に持ち込まれてネットワークに接続されている未登録端末装置１２１，１２２を監視するだけでなく、その未登録端末装置１２１，１２２の使用を制限できるようになる。
【００６９】
このため、本実施形態を適用しようとする場合に、そのネットワークシステム１００が本実施形態に対応可能か否かを事前に検討するのであれば、監視サーバ１１１をネットワ
ークシステム１００に接続してＡＲＰ要求を送信し、その反応としてＡＲＰ応答があるか否かを調べればよい。すなわち、ＡＲＰ要求に対してＡＲＰ応答があるネットワークシステム１００であれば、本実施形態を適用することが可能であり、不正に持ち込まれてネットワークに接続されている未登録端末装置を監視するだけでなく、その未登録端末装置の使用を制限できるようになる。
【００７０】
〔５〕実施形態の変形例：
以上の各実施形態の説明で使用してきたＩＰアドレス、ＭＡＣアドレス、ＡＲＰ要求／応答などに限定されず、同様のアドレスや要求／応答を用いて、同様の動作を実現することが可能である。この場合も、本実施形態の変形例として良好な結果を得ることが可能である。
【符号の説明】
【００７１】
１００ ネットワーク監視システム
１００Ｒ ルータ
１００Ｈ ハブ
１１０ 管理サーバ
１１１ ネットワーク監視サーバ
１１５ ファイルサーバ
１２０ 端末装置
１２１ 未登録端末装置
【技術分野】
【０００１】
本発明は、ネットワークにおいて未登録の端末装置を監視し、その未登録端末装置の動作を制限するネットワーク監視システムおよびネットワーク監視サーバならびにネットワーク監視プログラムに関する。
【背景技術】
【０００２】
オフィスなどでのネットワーク環境の整備により、コンピュータを持ち込み、有線あるいは無線のＬＡＮに接続することでネットワークを利用できる環境が各所で整っている。
また、これらのネットワークではＤＨＣＰなどにより、自動的にＩＰアドレスを割り当てるような設定がなされていることが一般的であり、複雑な設定無しにネットワークを使用できるようになっている。
【０００３】
このような状況では、不正に持ち込んだ端末装置を監視する必要が生じる。このようなネットワークにおける端末監視に関しては、以下の特許文献１に記載がなされている。
【先行技術文献】
【特許文献】
【０００４】
【特許文献１】特開2008-269195
【発明の概要】
【発明が解決しようとする課題】
【０００５】
以上の特許文献１記載の手法では、端末装置のＩＰアドレスと、中継サーバのＩＰアドレスとの比較により、正規の端末装置が正規の場所から接続されているか否かを確認することができる。
【０００６】
しかし、中継サーバなどを有しない小規模のＬＡＮなどのネットワーク内部では、このような手法の監視を用いることができない。
すなわち、一般的に使用されているネットワークでは、接続時には認証やアクセス制限ができないものであり、接続すれば誰でも自由にネットワークに接続できてしまうものであった。
【０００７】
このため、正規に接続されている端末装置と不正に持ち込まれた端末装置との区別がつかない状態になっていた。
本発明は、このような課題に鑑み創案されたもので、効率よくネットワークを監視し、不正に持ち込まれてネットワークに接続されている端末装置を監視し、その不正接続端末装置の使用を制限可能なネットワーク監視システムおよびネットワーク監視サーバ並びにネットワーク監視プログラムを実現することを目的としている。
【課題を解決するための手段】
【０００８】
上記目的を達成するために、本発明では、以下に記載するネットワーク監視システムおよびネットワーク監視サーバならびにネットワーク監視プログラムを用いる。
（１）請求項１記載の発明は、ネットワークに接続された端末装置と、前記ネットワークに接続されており、前記端末装置の該ネットワーク内のＩＰアドレスに応じてＭＡＣアドレスを取得するパケットを送信し、前記パケットに応じた前記端末装置からの応答により該端末装置のＭＡＣアドレスを取得し、前記ＭＡＣアドレスが前記ネットワーク内で登録済みであるかを確認し、未登録である場合には前記端末装置の前記ＩＰアドレスを名乗
るブロードキャストを実行するネットワーク監視サーバと、を有することを特徴とするネットワーク監視システムである。
【０００９】
（２）請求項２記載の発明は、前記ネットワーク監視サーバは、ＡＲＰパケットを送信することで、前記ネットワークに接続されている前記端末装置のＭＡＣアドレスを取得する、ことを特徴とする請求項１記載のネットワーク監視システムである。
【００１０】
（３）請求項３記載の発明は、前記ネットワーク監視サーバは、ネットワーク内のセグメント毎に配置される、該セグメント内で前記ネットワークに接続されている端末装置の監視を行う、ことを特徴とする請求項１または請求項２に記載のネットワーク監視システムである。
【００１１】
（４）請求項４記載の発明は、端末装置が接続されているネットワークに接続されており、前記端末装置の該ネットワーク内のＩＰアドレスに応じてＭＡＣアドレスを取得するパケットを送信し、前記パケットに応じた前記端末装置からの応答により該端末装置のＭＡＣアドレスを取得し、前記ＭＡＣアドレスが前記ネットワーク内で登録済みであるかを確認し、未登録である場合には前記端末装置の前記ＩＰアドレスを名乗るブロードキャストを実行する、ことを特徴とするネットワーク監視サーバである。
【００１２】
（５）請求項５記載の発明は、ＡＲＰパケットを送信することで、前記ネットワークに接続されている前記端末装置のＭＡＣアドレスを取得する、ことを特徴とする請求項４記載のネットワーク監視サーバである。
【００１３】
（６）請求項６記載の発明は、ネットワーク内のセグメント毎に配置され、該セグメント内で前記ネットワークに接続されている端末装置の監視を行う、ことを特徴とする請求項４または請求項５に記載のネットワーク監視サーバである。
【００１４】
（７）請求項７記載の発明は、端末装置が接続されているネットワークにて、前記端末装置の該ネットワーク内のＩＰアドレスに応じてＭＡＣアドレスを取得するパケットを送信するアドレス取得パケット送信手段、前記パケットに応じた前記端末装置からの応答により該端末装置のＭＡＣアドレスを取得するアドレス取得手段、前記ＭＡＣアドレスが前記ネットワーク内で登録済みであるかを確認するアドレス確認手段、前記ＭＡＣアドレスが未登録である場合に前記端末装置の前記ＩＰアドレスを名乗るブロードキャストを実行するブロードキャスト実行手段、としてネットワーク監視サーバのコンピュータを機能させることを特徴とするネットワーク監視プログラムである。
【００１５】
（８）以上の（１）〜（７）において、ネットワーク監視サーバは、前記端末装置からの応答による前記ＭＡＣアドレスが前記ネットワーク内で未登録である場合には、前記端末装置の前記ＩＰアドレスに加え、該ネットワーク内で重複しない仮のＭＡＣアドレスを用いて、ブロードキャストを実行する、ことを特徴とする。
【発明の効果】
【００１６】
上述した本発明のネットワーク監視システム，管理サーバおよびネットワーク監視プログラムによれば、以下のような効果を得ることができる。
（１）請求項１記載のネットワーク監視システムの発明では、端末装置の該ネットワーク内のＩＰアドレスに応じてＭＡＣアドレスを取得するパケットを送信し、パケットに応じた端末装置からの応答により該端末装置のＭＡＣアドレスを取得し、ＭＡＣアドレスがネットワーク内で登録済みであるかを確認する。
【００１７】
これにより、該端末装置がネットワーク内で正規に登録されている端末装置であるか、
不正に持ち込まれた未登録端末装置であるかを判別しつつ、効率よくネットワーク内を監視することができる。
【００１８】
そして、端末装置からの応答によってＭＡＣアドレスが未登録であると判明すれば、この端末装置（未登録端末装置）のＩＰアドレスを名乗るブロードキャストをネットワーク監視サーバが実行する。これにより、未登録端末装置は、該ネットワーク内での通信ができない状態になる。
【００１９】
このため、許可無く不正に持ち込まれてネットワークに接続されている未登録端末装置を監視するだけでなく、その未登録端末装置の使用を制限できるようになる。
さらに、ネットワーク監視サーバが、未登録端末装置のＩＰアドレスに加え、該ネットワーク内で重複しない仮のＭＡＣアドレスを用いて、ブロードキャストを実行することで、未登録端末装置の通信を一層確実に制限できるようになる。
【００２０】
（２）請求項２記載のネットワーク監視システムの発明においてネットワーク監視サーバは、ＡＲＰパケットを送信することで、ネットワークに接続されている端末装置のＭＡＣアドレスを取得している。すなわち、ネットワーク監視サーバは、ネットワーク内のＩＰアドレスを指定してＡＲＰ要求としてパケットを送信し、該ＡＲＰ要求を受けた端末装置からのＭＡＣアドレスを含むＡＲＰ応答を受信する。これにより、ネットワーク内の端末装置あるいは機器が、登録されたものであるか、否かを確実に把握することが可能になる。
【００２１】
（３）請求項３記載のネットワーク監視システムの発明では、
以上のように端末装置のＩＰアドレスに応じたＭＡＣアドレスを取得するパケットは異なるセグメントには到達できないため、ネットワーク監視サーバを、ネットワーク内のセグメント毎に配置することで、不正に持ち込まれてネットワークに接続されている未登録端末装置を監視するだけでなく、その未登録端末装置の使用を制限できるようになる。
【００２２】
（４）請求項４記載のネットワーク監視サーバの発明では、端末装置の該ネットワーク内のＩＰアドレスに応じてＭＡＣアドレスを取得するパケットを送信し、パケットに応じた端末装置からの応答により該端末装置のＭＡＣアドレスを取得し、ＭＡＣアドレスがネットワーク内で登録済みであるかを確認する。
【００２３】
これにより、該端末装置がネットワーク内で正規に登録されている端末装置であるか、不正に持ち込まれた未登録端末装置であるかを判別しつつ、効率よくネットワーク内を監視することができる。
【００２４】
そして、端末装置からの応答によってＭＡＣアドレスが未登録であると判明すれば、この端末装置（未登録端末装置）のＩＰアドレスを名乗るブロードキャストをネットワーク監視サーバが実行する。これにより、未登録端末装置は、該ネットワーク内での通信ができない状態になる。
【００２５】
このため、不正に持ち込まれてネットワークに接続されている未登録端末装置を監視するだけでなく、その未登録端末装置の使用を制限できるようになる。
さらに、ネットワーク監視サーバが、未登録端末装置のＩＰアドレスに加え、該ネットワーク内で重複しない仮のＭＡＣアドレスを用いて、ブロードキャストを実行することで、未登録端末装置の通信を一層確実に制限できるようになる。
【００２６】
（５）請求項５記載のネットワーク監視サーバの発明は、ＡＲＰパケットを送信することで、ネットワークに接続されている端末装置のＭＡＣアドレスを取得している。すなわ
ち、ネットワーク監視サーバは、ネットワーク内のＩＰアドレスを指定してＡＲＰ要求としてパケットを送信し、該ＡＲＰ要求を受けた端末装置からのＭＡＣアドレスを含むＡＲＰ応答を受信する。これにより、ネットワーク内の端末装置あるいは機器が、登録されたものであるか、否かを確実に把握することが可能になる。
【００２７】
（６）請求項３記載のネットワーク監視サーバの発明では、以上のように端末装置のＩＰアドレスに応じたＭＡＣアドレスを取得するパケットは異なるセグメントには到達できないため、ネットワーク監視サーバを、ネットワーク内のセグメント毎に配置することで、不正に持ち込まれてネットワークに接続されている未登録端末装置を監視するだけでなく、その未登録端末装置の使用を制限できるようになる。
【００２８】
（７）請求項７記載のネットワーク監視プログラムの発明では、端末装置の該ネットワーク内のＩＰアドレスに応じてＭＡＣアドレスを取得するパケットを送信するアドレス取得パケット送信手段、パケットに応じた端末装置からの応答により該端末装置のＭＡＣアドレスを取得するアドレス取得手段、ＭＡＣアドレスがネットワーク内で登録済みであるかを確認するアドレス確認手段、ＭＡＣアドレスが未登録である場合に端末装置のＩＰアドレスを名乗るブロードキャストを実行するブロードキャスト実行手段、を備えることで、端末装置の該ネットワーク内のＩＰアドレスに応じてＭＡＣアドレスを取得するパケットを送信し、パケットに応じた端末装置からの応答により該端末装置のＭＡＣアドレスを取得し、ＭＡＣアドレスがネットワーク内で登録済みであるかを確認する。
【００２９】
これにより、該端末装置がネットワーク内で正規に登録されている端末装置であるか、不正に持ち込まれた未登録端末装置であるかを判別しつつ、効率よくネットワーク内を監視することができる。
【００３０】
そして、端末装置からの応答によってＭＡＣアドレスが未登録であると判明すれば、この端末装置（未登録端末装置）のＩＰアドレスを名乗るブロードキャストをネットワーク監視サーバが実行する。これにより、未登録端末装置は、該ネットワーク内での通信ができない状態になる。
【００３１】
このため、不正に持ち込まれてネットワークに接続されている未登録端末装置を監視するだけでなく、その未登録端末装置の使用を制限できるようになる。
さらに、ネットワーク監視サーバが、未登録端末装置のＩＰアドレスに加え、該ネットワーク内で重複しない仮のＭＡＣアドレスを用いて、ブロードキャストを実行することで、未登録端末装置の通信を一層確実に制限できるようになる。
【図面の簡単な説明】
【００３２】
【図１】本発明の一実施形態のネットワーク監視システムの構成を示すブロック図である。
【図２】本発明の一実施形態のネットワーク監視システムの構成を示すブロック図である。
【図３】本発明の一実施形態のネットワーク監視システムの動作を示すフローチャートである。
【図４】本発明の一実施形態のネットワーク監視システムの構成を示すブロック図である。
【発明を実施するための形態】
【００３３】
以下、図面を参照して本発明の実施の形態を説明する。
〔１〕本実施形態のネットワーク監視システムの構成（１）：
図１は本発明の一実施形態としてのネットワーク監視システムが既存のネットワークシ
ステム１００において構成された状態を示すブロック図である。
【００３４】
この図１において、ネットワークシステム１００は、ＬＡＮ(Local Area Network)などのネットワークシステムである。
このネットワークシステム１００では、ルータ１００Ｒが外部ネットワークとネットワークシステム１００間を相互接続する通信機器である。
【００３５】
ハブ１００Ｈはスイッチングハブなどで構成され、複数の機器をネットワーク接続するネットワーク機器である。
管理サーバ１１０は、ネットワークシステム１００における各種制御や各種管理を行うものであり、後述する端末装置のＩＰアドレスとＭＡＣアドレスとの管理も行っている。
【００３６】
ネットワーク監視サーバ１１１は、端末装置の該ネットワーク内のＩＰアドレスに応じてＭＡＣアドレスを取得するパケットを送信し、パケットに応じた端末装置からの応答により該端末装置のＭＡＣアドレスを取得し、ＭＡＣアドレスがネットワーク内で登録済みであるかを確認する。
【００３７】
そして、ネットワーク監視サーバ１１１は、端末装置からの応答によってＭＡＣアドレスが未登録であると判明すれば、この端末装置（未登録端末装置）のＩＰアドレスを名乗るブロードキャストをが実行する。
【００３８】
ここで、ＩＰアドレス（Internet Protocol Address ）とは、ＩＰネットワークにおいて、パケットの宛先や送信元を特定するために利用される識別子である。なお、この実施形態で用いられるのは、ＬＡＮ内で利用できる「プライベートアドレス」である。また、ＭＡＣアドレス（Media Access Control address）は、ネットワーク上で、各ノードを識別するために設定されているLANカードなどのネットワーク機器のハードウェア固有の物
理アドレスである。
【００３９】
そして、、ネットワーク監視サーバ１１１は、図２に示されるように、端末装置の該ネットワーク内のＩＰアドレスに応じてＭＡＣアドレスを取得するパケットを送信するアドレス取得パケット送信手段、パケットに応じた端末装置からの応答により該端末装置のＭＡＣアドレスを取得する端末アドレス取得手段、ＭＡＣアドレスがネットワーク内で登録済みであるかを確認する端末アドレス確認手段、ＭＡＣアドレスが未登録である場合に端末装置のＩＰアドレスを名乗るブロードキャストを実行するブロードキャスト実行手段、を備える。
【００４０】
ファイルサーバ１１５はネットワークに接続されており、各種ファイルや各種データが格納されているネットワーク上のファイル格納手段である。
端末装置１２０-a〜端末装置１２０-nは、ネットワークに接続されたコンピュータ装置などの情報処理端末装置である。なお、ここでは、a〜nまでのｎ台の端末装置がネットワークに接続された状態を示しているが、台数は１台であっても複数台であっても構わない。
【００４１】
なお、この端末装置１２０-a〜端末装置１２０-nは、一般的なコンピュータ装置だけでなく、ネットワークに接続可能なプリンタ、スキャナ、複写機、ファクシミリ装置なども含まれる。
【００４２】
また、この端末装置１２０-a〜端末装置１２０-nは、ＩＰアドレスとＭＡＣアドレスとの組合せが、管理サーバ１１０により管理され、登録されているものとする。
また、端末装置１２１は、管理者の許可無く不正に持ち込まれてネットワークシステム
１００に接続され、ＤＨＣＰなどによって自動的にＩＰアドレスを割り当てるられて、使用可能になっている情報処理端末装置である。なお、この端末装置１２１は、一般的なコンピュータ装置だけでなく、ネットワークに接続可能なプリンタ、スキャナ、複写機、ファクシミリ装置などの場合も含まれる。なお、ここでは、１台の端末装置１２１がネットワークに接続された状態を示しているが、台数は１台であっても複数台であっても構わない。
【００４３】
〔２〕本実施形態のネットワーク監視システムの動作：
以下、図３のフローチャートを参照して、本実施形態のネットワーク監視システムの動作を説明する。
【００４４】
ここでは、ネットワーク監視サーバ１１１においてネットワーク監視プログラムが動作しており、ネットワークに許可無く接続された端末装置１２１を発見し、その端末装置１２１の動作を阻害する動作について説明する。
【００４５】
なお、このネットワーク監視サーバ１１１のネットワーク監視機能については、管理サーバ１１０において実現することも可能である。また、このネットワーク監視サーバ１１１のネットワーク監視機能については、端末装置１２０-a〜端末装置１２０-nのいずれかにおいて実現することも可能である。以下の説明では、ネットワーク監視サーバ１１１がネットワーク監視プログラムを実行するものとして説明を続ける。
【００４６】
ネットワーク監視サーバ１１１は所定の監視タイミングに達すると（図３中のステップＳ１０１でＹＥＳ）、アドレス取得パケット送信手段１１１ａが、該ネットワークシステム１００内の各端末装置１２０-a〜１２０-nや端末装置１２１の各ＩＰアドレスに応じてＭＡＣアドレスを取得するパケット（ＡＲＰパケット）を送信する（図５中のステップＳ１０２）。
【００４７】
ここで、許可を得て登録されている端末装置１２０-a〜１２０-nだけでなく、未知の端末装置１２１のＩＰアドレスの可能性にも配慮し、ネットワークシステム１００においてＤＨＣＰによって割り当てられる可能性のある全てのＩＰアドレスに対してアドレス取得パケット送信手段１１１ａがＡＲＰパケットを送信する。
【００４８】
あるいは、ここで、未知の端末装置１２１のＩＰアドレスの可能性にも配慮し、ネットワークシステム１００において動作可能な全てのＩＰアドレスに対してアドレス取得パケット送信手段１１１ａがＡＲＰパケットを送信する。
【００４９】
このＡＲＰパケットの送信は、ＡＲＰ要求とも呼ばれており、このＡＲＰ要求を受けた端末装置は、自分のＩＰアドレスとＭＡＣアドレスとをＡＲＰ応答として、ＡＲＰ要求の送信元に対して返信を行う。
【００５０】
ここで、アドレス取得パケット送信手段１１１ａが１つのＩＰアドレスに対してＡＲＰパケットを送信する（図３中のステップＳ１０２）毎に、いずれかの端末装置（端末装置１２０-a〜１２０-n、未知の端末装置１２１のいずれか）からのＡＲＰ応答を、端末アドレス取得手段１１１ｂが受信すべく待機する（図３中のステップＳ１０３）。
【００５１】
ここで、ＡＲＰ応答があれば（図３中のステップＳ１０３）、そのＡＲＰ応答に含まれるＭＡＣアドレスについて、端末アドレス確認手段１１１ｃは、管理サーバ１１０が管理している所定の管理テーブルを参照し、このＭＡＣアドレスがネットワークシステム１００内で既に登録済みであるかを確認する（図３中のステップＳ１０５）。
【００５２】
この端末装置からのＡＲＰ応答により得られたＭＡＣアドレスが登録済みであれば（図３中のステップＳ１０５でＮＯ）、ステップ１０２に戻り、別なＩＰアドレスに対してＡＲＰ要求を繰り返す（図３中のステップＳ１０２）。
【００５３】
一方、端末装置からのＡＲＰ応答によって得られたＭＡＣアドレスが、本ネットワークシステム１００内において未登録であると判明すれば（図３中のステップＳ１０５でＹＥＳ）、このＡＲＰ応答をした端末装置（この場合、未登録端末装置１２１）のＩＰアドレスを名乗るブロードキャストをネットワーク監視サーバ１１１内のブロードキャスト実行手段１１１ｄが実行する（図３中のステップＳ１０６）。
なお、この際に、ブロードキャスト実行手段１１１ｄは、未登録端末装置のＩＰアドレスに加え、該ネットワークシステム１００内で重複しない仮のＭＡＣアドレスを用いて、ブロードキャストを実行することで、未登録端末装置の通信を一層確実に制限できるようになる。
【００５４】
そして、ネットワークシステム１００内で割り当て可能なＩＰアドレス、あるいは、ネットワークシステム１００内で使用可能なＩＰアドレスの全てについて以上のＡＲＰ要求、ＡＲＰ応答の受信、未登録か否かの判断、未登録アドレスに対してＩＰアドレスを名乗ったブロードキャスト実行、を繰り返す（図３中のステップＳ１０７でＮＯ、Ｓ１０２）。
【００５５】
これにより、ネットワークシステム１００内では、未登録端末装置１２１のＩＰアドレスは監視サーバ１１１に乗っ取られた状態になり、未登録端末装置１２１はネットワークシステム１００内での通信が行えない状態になる。
【００５６】
あるいは、ネットワークシステム１００内では、未登録端末装置１２１のＩＰアドレスが、重複して存在するため、アドレスの衝突が検出され、その未登録端末装置１２１が持っていたＩＰアドレスそのものが使用不能な状態に陥る。
【００５７】
さらに、ネットワーク監視サーバ１１１が、未登録端末装置１２１のＩＰアドレスに加え、該ネットワーク内で重複しない仮のＭＡＣアドレスを用いてブロードキャストを実行することで、未登録端末装置１２１のＩＰアドレスとＭＡＣアドレスとの組み合わせによる通信が、一層確実に制限される。
【００５８】
以上のように、端末装置の該ネットワーク内のＩＰアドレスに応じてＭＡＣアドレスを取得するパケットを送信し、パケットに応じた端末装置からの応答により該端末装置のＭＡＣアドレスを取得し、ＭＡＣアドレスがネットワーク内で登録済みであるかを確認することで、該端末装置がネットワーク内で正規に登録されている端末装置であるか、許可を得ずに不正に持ち込まれた未登録端末装置であるかを判別しつつ、効率よくネットワーク内を監視することができる。そして、端末装置からの応答によってＭＡＣアドレスが未登録であると判明すれば、この端末装置（未登録端末装置）のＩＰアドレスを名乗るブロードキャストをネットワーク監視サーバが実行する。これにより、未登録端末装置は、該ネットワーク内での通信ができない状態になる。このため、許可無く不正に持ち込まれてネットワークに接続されている未登録端末装置を監視するだけでなく、その未登録端末装置の使用を制限できるようになる。
【００５９】
さらに、ネットワーク監視サーバが、未登録端末装置のＩＰアドレスに加え、該ネットワーク内で重複しない仮のＭＡＣアドレスを用いて、ブロードキャストを実行することで、未登録端末装置の通信を一層確実に制限できるようになる。
【００６０】
〔３〕本実施形態のネットワーク監視システムの構成（２）：
図４は本発明の実施形態としてのネットワーク監視システムが既存のネットワークシステム１００において構成された状態の他の例を示すブロック図である。
【００６１】
ここで、図１と同一物には同一番号を付すことで重複した説明を省略する。
この図４では、ネットワークシステム１００内にスイッチングハブ１００Ｈ１とスイッチングハブ１００Ｈ２とが存在しており、それぞれのスイッチングハブに端末装置が接続されている。
【００６２】
すなわち、ルータ１００Ｒに接続されたスイッチングハブ１００Ｈ１には、端末装置１２０-a〜端末装置１２０-mと、管理サーバ１１０と、ファイルサーバ１１５Ａと、未登録端末装置１２１とが接続されている。
【００６３】
なお、ここでは、a〜mまでの複数台の端末装置がネットワークに接続された状態を示しているが、台数は１台であっても複数台であっても構わない。
また、ルータ１００Ｒに接続されたスイッチングハブ１００Ｈ２には、端末装置１２０-n〜端末装置１２０-zと、ファイルサーバ１１５Ｂと、未登録端末装置１２２とが接続されている。なお、ここでは、n〜zまでの複数台の端末装置がネットワークに接続された状態を示しているが、台数は１台であっても複数台であっても構わない。
【００６４】
ここで、各スイッチングハブ以下の各装置のまとまりが、１セグメントを構成している。すなわち、図４の場合には、２つのセグメントが存在している。そして、ネットワーク監視サーバ１１１ＡによるＡＲＰ要求は、スイッチングハブ１００Ｈ１のセグメント内だけであり、スイッチングハブ１００Ｈ１を超えることができない。
【００６５】
このため、スイッチングハブ１００Ｈ２のセグメント内にも、監視サーバ１１１Ａと同等な監視サーバ１１１Ｂを配置している。従って、スイッチングハブ１００Ｈ２のセグメント内に、未登録端末装置１２２が存在する場合には、監視サーバ１１１Ｂが図３に示した手順で、未登録端末装置１２２の監視と動作制限とを実行すればよい。
【００６６】
以上のように端末装置１２０，１２１のＩＰアドレスに応じたＭＡＣアドレスを取得するパケットは異なるセグメントには到達できないため、ネットワーク監視サーバ１１１を、ネットワーク内のセグメント毎に配置することで、不正に持ち込まれてネットワークに接続されている未登録端末装置１２１，１２２を監視するだけでなく、その未登録端末装置１２１，１２２の使用を制限できるようになる。
【００６７】
〔４〕本実施形態のネットワーク監視システムの構成（３）：
以上の説明では、未登録端末装置１２１，１２２は、情報処理端末装置（ＰＣ）である場合を具体例にしてきた。これ以外に、許可無くネットワークに接続したプリンタ、スキャナ、ネットワーク接続可能なハードディスク装置などであっても、以上の場合と同様に監視と動作制限とが可能になる。
【００６８】
〔５〕本実施形態のネットワーク監視システムの応用：
以上説明したように、既存のネットワークシステム１００に対して、ネットワーク監視プログラムを搭載したネットワーク監視サーバ１１１を設けることにより、以上説明したように、不正に持ち込まれてネットワークに接続されている未登録端末装置１２１，１２２を監視するだけでなく、その未登録端末装置１２１，１２２の使用を制限できるようになる。
【００６９】
このため、本実施形態を適用しようとする場合に、そのネットワークシステム１００が本実施形態に対応可能か否かを事前に検討するのであれば、監視サーバ１１１をネットワ
ークシステム１００に接続してＡＲＰ要求を送信し、その反応としてＡＲＰ応答があるか否かを調べればよい。すなわち、ＡＲＰ要求に対してＡＲＰ応答があるネットワークシステム１００であれば、本実施形態を適用することが可能であり、不正に持ち込まれてネットワークに接続されている未登録端末装置を監視するだけでなく、その未登録端末装置の使用を制限できるようになる。
【００７０】
〔５〕実施形態の変形例：
以上の各実施形態の説明で使用してきたＩＰアドレス、ＭＡＣアドレス、ＡＲＰ要求／応答などに限定されず、同様のアドレスや要求／応答を用いて、同様の動作を実現することが可能である。この場合も、本実施形態の変形例として良好な結果を得ることが可能である。
【符号の説明】
【００７１】
１００ ネットワーク監視システム
１００Ｒ ルータ
１００Ｈ ハブ
１１０ 管理サーバ
１１１ ネットワーク監視サーバ
１１５ ファイルサーバ
１２０ 端末装置
１２１ 未登録端末装置
【特許請求の範囲】
【請求項１】
ネットワークに接続された端末装置と、
前記ネットワークに接続されており、前記端末装置の該ネットワーク内のＩＰアドレスに応じてＭＡＣアドレスを取得するパケットを送信し、前記パケットに応じた前記端末装置からの応答により該端末装置のＭＡＣアドレスを取得し、前記ＭＡＣアドレスが前記ネットワーク内で登録済みであるかを確認し、未登録である場合には前記端末装置の前記ＩＰアドレスを名乗るブロードキャストを実行するネットワーク監視サーバと、
を有することを特徴とするネットワーク監視システム。
【請求項２】
前記ネットワーク監視サーバは、ＡＲＰパケットを送信することで、前記ネットワークに接続されている前記端末装置のＭＡＣアドレスを取得する、
ことを特徴とする請求項１記載のネットワーク監視システム。
【請求項３】
前記ネットワーク監視サーバは、ネットワーク内のセグメント毎に配置される、該セグメント内で前記ネットワークに接続されている端末装置の監視を行う、
ことを特徴とする請求項１または請求項２に記載のネットワーク監視システム。
【請求項４】
端末装置が接続されているネットワークに接続されており、前記端末装置の該ネットワーク内のＩＰアドレスに応じてＭＡＣアドレスを取得するパケットを送信し、前記パケットに応じた前記端末装置からの応答により該端末装置のＭＡＣアドレスを取得し、前記ＭＡＣアドレスが前記ネットワーク内で登録済みであるかを確認し、未登録である場合には前記端末装置の前記ＩＰアドレスを名乗るブロードキャストを実行する、
ことを特徴とするネットワーク監視サーバ。
【請求項５】
ＡＲＰパケットを送信することで、前記ネットワークに接続されている前記端末装置のＭＡＣアドレスを取得する、
ことを特徴とする請求項４記載のネットワーク監視サーバ。
【請求項６】
ネットワーク内のセグメント毎に配置され、該セグメント内で前記ネットワークに接続されている端末装置の監視を行う、
ことを特徴とする請求項４または請求項５に記載のネットワーク監視サーバ。
【請求項７】
端末装置が接続されているネットワークにて、前記端末装置の該ネットワーク内のＩＰアドレスに応じてＭＡＣアドレスを取得するパケットを送信するアドレス取得パケット送信手段、
前記パケットに応じた前記端末装置からの応答により該端末装置のＭＡＣアドレスを取得するアドレス取得手段、
前記ＭＡＣアドレスが前記ネットワーク内で登録済みであるかを確認するアドレス確認手段、
前記ＭＡＣアドレスが未登録である場合に前記端末装置の前記ＩＰアドレスを名乗るブロードキャストを実行するブロードキャスト実行手段、
としてネットワーク監視サーバのコンピュータを機能させることを特徴とするネットワーク監視プログラム。
【請求項１】
ネットワークに接続された端末装置と、
前記ネットワークに接続されており、前記端末装置の該ネットワーク内のＩＰアドレスに応じてＭＡＣアドレスを取得するパケットを送信し、前記パケットに応じた前記端末装置からの応答により該端末装置のＭＡＣアドレスを取得し、前記ＭＡＣアドレスが前記ネットワーク内で登録済みであるかを確認し、未登録である場合には前記端末装置の前記ＩＰアドレスを名乗るブロードキャストを実行するネットワーク監視サーバと、
を有することを特徴とするネットワーク監視システム。
【請求項２】
前記ネットワーク監視サーバは、ＡＲＰパケットを送信することで、前記ネットワークに接続されている前記端末装置のＭＡＣアドレスを取得する、
ことを特徴とする請求項１記載のネットワーク監視システム。
【請求項３】
前記ネットワーク監視サーバは、ネットワーク内のセグメント毎に配置される、該セグメント内で前記ネットワークに接続されている端末装置の監視を行う、
ことを特徴とする請求項１または請求項２に記載のネットワーク監視システム。
【請求項４】
端末装置が接続されているネットワークに接続されており、前記端末装置の該ネットワーク内のＩＰアドレスに応じてＭＡＣアドレスを取得するパケットを送信し、前記パケットに応じた前記端末装置からの応答により該端末装置のＭＡＣアドレスを取得し、前記ＭＡＣアドレスが前記ネットワーク内で登録済みであるかを確認し、未登録である場合には前記端末装置の前記ＩＰアドレスを名乗るブロードキャストを実行する、
ことを特徴とするネットワーク監視サーバ。
【請求項５】
ＡＲＰパケットを送信することで、前記ネットワークに接続されている前記端末装置のＭＡＣアドレスを取得する、
ことを特徴とする請求項４記載のネットワーク監視サーバ。
【請求項６】
ネットワーク内のセグメント毎に配置され、該セグメント内で前記ネットワークに接続されている端末装置の監視を行う、
ことを特徴とする請求項４または請求項５に記載のネットワーク監視サーバ。
【請求項７】
端末装置が接続されているネットワークにて、前記端末装置の該ネットワーク内のＩＰアドレスに応じてＭＡＣアドレスを取得するパケットを送信するアドレス取得パケット送信手段、
前記パケットに応じた前記端末装置からの応答により該端末装置のＭＡＣアドレスを取得するアドレス取得手段、
前記ＭＡＣアドレスが前記ネットワーク内で登録済みであるかを確認するアドレス確認手段、
前記ＭＡＣアドレスが未登録である場合に前記端末装置の前記ＩＰアドレスを名乗るブロードキャストを実行するブロードキャスト実行手段、
としてネットワーク監視サーバのコンピュータを機能させることを特徴とするネットワーク監視プログラム。
【図１】
【図２】
【図３】
【図４】
【図２】
【図３】
【図４】
【公開番号】特開２０１１−４１３５（Ｐ２０１１−４１３５Ａ）
【公開日】平成２３年１月６日（２０１１．１．６）
【国際特許分類】
【出願番号】特願２００９−１４５２４０（Ｐ２００９−１４５２４０）
【出願日】平成２１年６月１８日（２００９．６．１８）
【出願人】（５９２１１２９３８）クオリティ株式会社 (121)
【Ｆターム（参考）】
【公開日】平成２３年１月６日（２０１１．１．６）
【国際特許分類】
【出願日】平成２１年６月１８日（２００９．６．１８）
【出願人】（５９２１１２９３８）クオリティ株式会社 (121)
【Ｆターム（参考）】
[ Back to top ]