不正接続検知システム
【課題】 接続権限を有さない不正な端末装置がＩＰアドレス等を書換えたなりすまし等によりネットワークへの不正接続を行った場合、これを検知して対処するための不正接続検知システムを提供する。
【解決手段】 ネットワークへの接続権限を有する端末装置には専用の監視プログラムが格納されていて、接続開始時の通知や、端末装置のＩＰアドレスの書換え等のなりすましの可能性のあるイベントの通知等を実行する。なりすましにより不正に接続された端末装置は当該監視プログラムを備えていないため、ＩＰアドレス等の照合からは接続が許諾された場合であっても、監視プログラムからの接続開始通知が受け付けられない場合は、当該端末装置の通信の中断処理を実行する。監視プログラムを備えた端末装置でＩＰアドレスの書換え等の不正ななりすまし行為が行われた場合にも、これを検知して対応することができる。
【解決手段】 ネットワークへの接続権限を有する端末装置には専用の監視プログラムが格納されていて、接続開始時の通知や、端末装置のＩＰアドレスの書換え等のなりすましの可能性のあるイベントの通知等を実行する。なりすましにより不正に接続された端末装置は当該監視プログラムを備えていないため、ＩＰアドレス等の照合からは接続が許諾された場合であっても、監視プログラムからの接続開始通知が受け付けられない場合は、当該端末装置の通信の中断処理を実行する。監視プログラムを備えた端末装置でＩＰアドレスの書換え等の不正ななりすまし行為が行われた場合にも、これを検知して対応することができる。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、接続権限を有さない不正な端末装置によるネットワークへの不正接続を検知するための不正接続検知システムに関するものである。
【背景技術】
【０００２】
社内ＬＡＮ等のクローズドなネットワークでの重要情報の管理においては、ネットワークの外部からの不正な侵入を防止することとあわせて、ネットワーク内部における不正な操作による情報の持ち出しへの対策が重要な課題となっている。不正な情報の持ち出し等が行われる場合には、ネットワークに正規に接続された端末を用いると不正操作の痕跡を残したり不正操作者が特定されたりする恐れがあるために、不正操作者が自ら所有する端末をネットワークに接続して不正な情報の持ち出し等が行われることがある。
【０００３】
このような不正操作に対応するために、ネットワークに接続された端末を特定するための管理サーバをネットワーク内に設け、管理サーバにはネットワークへの接続が許可された端末の識別情報を記憶させておき、ネットワークに端末が接続されると当該端末の識別情報を取得してネットワークへの接続権限を確認し、接続権限を有していない端末がネットワークに接続された場合に、当該端末に対して不正操作を停止させることが行われている。ネットワークに接続されている端末を特定するための識別情報には、一般に端末に付与されたＩＰアドレスやＭＡＣアドレスが用いられている。
【０００４】
端末に付与されたＩＰアドレスやＭＡＣアドレスを取得して端末が正規なものか否かを判定する方法としては、端末を起動してネットワークへの接続が開始されたときに、端末からＩＰアドレスやＭＡＣアドレスを含むブロードキャスト信号を送信し、これを受信した管理サーバに記憶されたものと照合する方法（例えば、特許文献１参照。）や、ＩＰアドレスをキーにＡＲＰを用いてＭＡＣアドレスを取得し、ＩＰアドレスとＭＡＣアドレスの組合せを管理サーバに記憶されたものと照合する方法（例えば、特許文献２参照。）などが開示されている。
【特許文献１】特開平６−３３４６７１号
【特許文献２】特開２０００−２０１１４３号
【発明の開示】
【発明が解決しようとする課題】
【０００５】
上記の方法により、接続権限を有しない端末がネットワークに接続された場合には、管理サーバが記憶していないＩＰアドレスやＭＡＣアドレスを検出することにより、不正な接続を検知してネットワークからの切断等の対処を行うことができる。しかしながら、この方法が有効なのは、ＩＰアドレスやＭＡＣアドレスが個々の端末と紐付けられていることが前提であり、ＩＰアドレスやＭＡＣアドレスが書き換えられてしまった場合には、不正な接続であることを検知することができない。
【０００６】
実際に不正接続が行われるケースでは、接続権限を持つ端末をネットワークから切り離し、一方で不正接続を行うために別の端末を持ち込んで、当該端末のＩＰアドレスやＭＡＣアドレスを、接続権限を有する端末のＩＰアドレスやＭＡＣアドレスに書き換えて接続するいわゆる「なりすまし」が行われることがある。なりすましが行われた場合、ＩＰアドレスやＭＡＣアドレス自体は接続権限を有する正規のものが用いられるので、不正であることを発見できないという問題がある。
【０００７】
なりすましによる情報の流出を防止するためには、重要情報が存在する端末へのアクセスの認証を強化するなど、他の方法と併用することが考えられるが、何らかの方法で端末へのアクセスを制御したとしても、ネットワーク上に不正な端末が接続された状態を許容してしまうと、パケット盗聴（スニーフィング）が行われた場合にもこれを検知できないという問題が生じる。従って、接続権限を有さない不正な端末がネットワークに接続された場合には、なりすましが行われている場合であってもこれをいち早く検出して対処を行うことが必要である。
【０００８】
本発明は、このような課題に対応するためになされたものであり、接続権限を有さない不正な端末装置がＩＰアドレスやＭＡＣアドレスを書き換えたなりすまし等によりネットワークへの不正接続を行った場合、これを検知して対処するための不正接続検知システムを提供することを目的とするものである。
【課題を解決するための手段】
【０００９】
以下に説明する本発明においては、いずれもネットワークへの接続権限を有する正規の端末には専用の監視プログラムが格納されており、当該端末のネットワークへの接続時には当該監視プログラムが所定の動作を行ってネットワークを管理する管理サーバに所定の情報を送信するよう構成することにより、当該情報の有無や内容によって、接続権限を有さない不正な端末のネットワークへの接続を検知することができる。
【００１０】
尚、以下の発明において、ネットワークとはＬＡＮなどアクセス権限を有するもののみが接続可能なクローズドなネットワークが該当する。端末装置には通常はパーソナルコンピュータなどのコンピュータ機器が該当するが、ネットワークに接続が可能なものであれば、ルータやゲートウェイなどのネットワーク機器、Ｗｅｂサーバ等のサーバ、ＰＤＡ等のモバイル端末などどのようなものであってもよい。
【００１１】
前述の課題を解決する本発明は、接続権限を有さない端末装置のネットワークへの不正接続を検知するための不正接続検知システムであって、前記ネットワークへの接続権限を有する正規の端末装置には、前記端末装置がネットワークに接続されると、ネットワークへの接続が開始されたことを示す接続開始通知を前記不正接続検知システムに送信するとともに、不正操作と定義された所定のイベントを検知すると前記イベントの発生通知を前記不正接続検知システムに送信する監視プログラムが格納されていて、前記ネットワークに接続されている端末装置を検出する接続端末検出手段と、前記正規の端末装置に格納された監視プログラムから送信された接続開始通知を受信する接続開始通知受信手段と、前記正規の端末装置に格納された監視プログラムから送信された前記イベントの発生通知を受信する発生通知受信手段と、前記接続端末検出手段が新たに前記ネットワークに接続中であると検出した端末装置について、前記接続開始通知受信手段が前記端末装置からの接続開始通知を受信したかを確認し、前記接続開始通知を受信していない場合は、前記端末装置が前記ネットワークに不正に接続されていると判定する第１の不正接続判定手段と、前記接続端末検出手段が前記ネットワークに接続中であると検出した端末装置について、前記発生通知受信手段が発生通知を受信した場合は、前記端末装置が前記ネットワークに不正に接続されていると判定する第２の不正接続判定手段と、前記第１の不正接続判定手段又は前記第２の不正接続判定手段が不正に接続されていると判定した端末装置について、前記端末装置又は前記端末装置の通信対象となっている端末装置に対して通信を阻害するためのパケット、若しくは前記端末装置と前記端末装置の通信対象となっている端末装置の間のセッションを切断するためのパケットを送信するパケット送信手段と、を備えることを特徴とする不正接続検知システムである。
【００１２】
また、本発明は、前記正規の端末装置について、前記端末装置の正規の識別情報又は前記端末装置の前記ネットワークへの正規の接続状態に関する情報の少なくとも一つに関する第１の端末情報を格納する端末情報格納手段と、前記接続開始通知受信手段が受信した接続開始通知から、前記端末装置の識別情報又は前記端末装置の前記ネットワークへの接続状態に関する情報の少なくとも一つに関する第２の端末情報を検出する端末情報検出手段と、を備えていて、前記監視プログラムは、前記接続開始通知として前記端末装置の識別情報又は前記端末装置の前記ネットワークへの接続状態に関する情報の少なくとも一つについて、前記端末装置の最新の情報を検出して前記不正接続検知システムに送信し、前記第１の不正接続判定手段は、前記端末情報検出手段が検出した第２の端末情報が、前記端末装置に関する前記端末情報格納手段に格納された第１の端末情報と一致しない場合は、前記端末装置が前記ネットワークに不正に接続されていると判定することを特徴とすることもできる。
【００１３】
本発明においては、監視プログラムはネットワークへの接続時に接続開始通知を送信するため、ＩＰアドレス等によりネットワークへの接続が確認された端末について管理サーバが接続開始通知を受信しないと、当該端末では本来は存在するべき監視プログラムが動作しておらず、ＩＰアドレス等が書き換えられた不正な端末であると判定することが可能になる。
【００１４】
また、例えばなりすましのために正規の端末装置のＩＰアドレスが書き換えられるなど不正操作の可能性がある動作をイベントとして予め設定し、正規の端末装置においてはかかる動作を監視するプログラムを格納することにより、不正操作の可能性がある場合には速やかに管理サーバに通知して、所定の対処を行うことが可能になる。
【００１５】
さらに、接続権限を有する正規の端末装置についてのＩＰアドレスやＭＡＣアドレス等の端末の識別情報、ゲートウェイやＤＨＣＰサーバのＩＰアドレスなど端末の接続状態に関する情報を予め管理サーバに記憶させておき、接続開始通知として接続時の端末のＩＰアドレス等の識別情報やゲートウェイのＩＰアドレス等の接続状態に関する情報を合わせて受信して照合することにより、端末の状態が正常であるか否かを確認して不正な接続でないかを判定するよう構成してもよい。
【００１６】
また、本発明の他の実施形態は、接続権限を有さない端末装置のネットワークへの不正接続を検知するための不正接続検知システムであって、前記ネットワークへの接続権限を有する正規の端末装置には、前記端末装置がネットワークに接続されると、ネットワークへの接続が開始されたことを示す接続開始通知を前記不正接続検知システムに送信するとともに、所定の間隔で前記端末装置に関する情報を前記不正接続検知システムに送信する監視プログラムが格納されていて、前記ネットワークに接続されている端末装置を検出する接続端末検出手段と、前記正規の端末装置に格納された監視プログラムから送信された接続開始通知を受信する接続開始通知受信手段と、前記接続端末検出手段が新たに前記ネットワークに接続中であると検出した端末装置について、前記接続開始通知受信手段が前記端末装置からの接続開始通知を受信したかを確認し、前記接続開始通知を受信していない場合は、前記端末装置が前記ネットワークに不正に接続されていると判定する第１の不正接続判定手段と、前記正規の端末装置に格納された監視プログラムから送信された前記端末装置に関する情報を受信する端末情報受信手段と、前記接続端末検出手段が前記ネットワークに接続中であると検出した端末装置について、前記端末情報受信手段が前記監視プログラムに設定された所定の間隔で前記端末装置に関する情報を受信したかを確認し、前記端末装置に関する情報を前記所定の間隔で受信していない場合は、前記端末装置が前記ネットワークに不正に接続されていると判定する第３の不正接続判定手段と、前記第１の不正接続判定手段又は前記第３の不正接続判定手段が不正に接続されていると判定した端末装置について、前記端末装置又は前記端末装置の通信対象となっている端末装置に対して通信を阻害するためのパケット、若しくは前記端末装置と前記端末装置の通信対象となっている端末装置の間のセッションを切断するためのパケットを送信するパケット送信手段と、を備えることを特徴とする不正接続検知システムである。
【００１７】
前記実施形態においては、前記正規の端末装置について、前記端末装置の正規の識別情報又は前記端末装置の前記ネットワークへの正規の接続状態に関する情報の少なくとも一つに関する第１の端末情報を格納する端末情報格納手段と、前記端末情報受信手段が受信した端末装置に関する情報から、前記端末装置の識別情報又は前記端末装置の前記ネットワークへの接続状態に関する情報の少なくとも一つに関する第２の端末情報を検出する端末情報検出手段と、を備えていて、前記監視プログラムは、前記端末装置に関する情報として前記端末装置の識別情報又は前記端末装置の前記ネットワークへの接続状態に関する情報の少なくとも一つについて、前記端末装置の最新の情報を検出して前記不正接続検知システムに送信し、前記第３の不正接続判定手段は、前記端末情報検出手段が検出した第２の端末情報が、前記端末装置に関する前記端末情報格納手段に格納された第１の端末情報と一致しない場合は、前記端末装置が前記ネットワークに不正に接続されていると判定することを特徴としてもよい。
【００１８】
前記実施形態では、監視プログラムはネットワークに接続されている間は所定の間隔で端末に関する情報を送信するため、ＩＰアドレス等によりネットワークへの接続が確認された端末について管理サーバが所定の間隔で端末に関する情報を受信しないと、当該端末では本来は存在するべき監視プログラムが動作しておらず、ＩＰアドレス等が書き換えられた不正な端末であると判定することが可能になる。
【００１９】
また、接続権限を有する正規の端末装置についてのＩＰアドレスやＭＡＣアドレス等の端末の識別情報、ゲートウェイやＤＨＣＰサーバのＩＰアドレスなど端末の接続状態に関する情報を予め管理サーバに記憶させておき、端末に関する情報として接続時の端末のＩＰアドレス等の識別情報やゲートウェイのＩＰアドレス等の接続状態に関する情報を合わせて受信して照合することにより、端末の状態が正常であるか否かを確認して不正な接続でないかを判定するよう構成してもよい。
【００２０】
この実施形態においても、例えばなりすましのために正規の端末装置のＩＰアドレスが書き換えられるなど不正操作の可能性がある動作をイベントとして予め設定し、正規の端末装置においてはかかる動作を監視するプログラムを格納することにより、不正操作の可能性がある場合には速やかに管理サーバに通知して、所定の対処を行うことが可能になる。
【００２１】
さらに、本発明の他の実施形態は、接続権限を有さない不正な端末装置のネットワークへの接続を検知するための不正接続検知システムであって、前記ネットワークへの接続権限を有する正規の端末装置には、前記不正接続検知システムからのリクエストに対して、所定のレスポンスを返信する監視プログラムが格納されていて、前記ネットワークに接続されている端末装置を検出する接続端末検出手段と、前記接続端末検出手段が前記ネットワークに接続中であると検出した端末装置に対して、前記リクエストを送信するリクエスト送信手段と、前記正規の端末装置に格納された監視プログラムから送信された前記リクエストに対するレスポンスを受信するレスポンス受信手段と、前記リクエスト送信手段がリクエストを送信した端末装置について、前記レスポンス受信手段が前記端末装置から前記リクエストに対するレスポンスを受信しない場合は、前記端末装置が前記ネットワークに不正に接続されていると判定する第４の不正接続判定手段と、前記第４の不正接続判定手段が不正に接続されていると判定した端末装置について、前記端末装置又は前記端末装置の通信対象となっている端末装置に対して通信を阻害するためのパケット、若しくは前記端末装置と前記端末装置の通信対象となっている端末装置の間のセッションを切断するためのパケットを送信するパケット送信手段と、を備えることを特徴とする不正接続検知システムである。
【００２２】
前記実施形態においては、前記正規の端末装置について、前記端末装置の正規の識別情報又は前記端末装置の前記ネットワークへの正規の接続状態に関する情報の少なくとも一つに関する第１の端末情報を格納する端末情報格納手段と、前記レスポンス受信手段が受信したレスポンスから、前記端末装置の識別情報又は前記端末装置の前記ネットワークへの接続状態に関する情報の少なくとも一つに関する第２の端末情報を検出する端末情報検出手段と、を備えていて、前記監視プログラムは、前記レスポンスとして前記端末装置の識別情報又は前記端末装置の前記ネットワークへの接続状態に関する情報の少なくとも一つについて、前記端末装置の最新の情報を検出して前記不正接続検知システムに送信し、前記第４の不正接続判定手段は、前記端末情報検出手段が検出した第２の端末情報が、前記端末装置に関する前記端末情報格納手段に格納された第１の端末情報と一致しない場合は、前記端末装置が前記ネットワークに不正に接続されていると判定することを特徴とすることもできる。
【００２３】
前記実施形態では、管理サーバからはＩＰアドレス等から接続中であると検出した端末装置に対して所定のリクエストを送信し、接続権限を有する正規の端末装置は予め格納された監視プログラムでリクエストに対する所定のレスポンスを応答するが、なりすまし等により不正に接続された端末装置はかかる監視プログラムを備えていないためにレスポンスの応答ができず、レスポンスの有無からＩＰアドレス等が書き換えられた不正な端末であると判定することが可能になる。
【００２４】
また、接続権限を有する正規の端末装置についてのＩＰアドレスやＭＡＣアドレス等の端末の識別情報、ゲートウェイやＤＨＣＰサーバのＩＰアドレスなど端末の接続状態に関する情報を予め管理サーバに記憶させておき、端末からのレスポンスとして接続時の端末のＩＰアドレス等の識別情報やゲートウェイのＩＰアドレス等の接続状態に関する情報を合わせて受信して照合することにより、端末の状態が正常であるか否かを確認して不正な接続でないかを判定するよう構成してもよい。
【００２５】
本発明は、本発明にかかる不正接続検知システムに対応して、不正接続検知システムの各々の構成により実施される不正接続検知方法として発明を特定することもできる。
【００２６】
つまり、本発明に対応する不正接続検知方法は、接続権限を有さない端末装置のネットワークへの不正接続を検知するための不正接続検知方法であって、前記ネットワークへの接続権限を有する正規の端末装置が、前記ネットワークへの接続処理を起動するステップと、前記正規の端末装置が、前記ネットワークへの接続を確立すると、前記ネットワークへの接続が開始されたことを示す接続開始通知を前記ネットワークの管理サーバに送信するステップと、前記管理サーバが、前記ネットワークに接続された端末装置を検出する端末検出ステップと、前記管理サーバが、前記端末検出ステップで新たに前記ネットワークに接続中であると検出した端末装置について、前記接続開始通知を受信したかを確認し、前記接続開始通知を受信していない場合は、前記端末装置が前記ネットワークに不正に接続されていると判定する第１の判定ステップと、前記正規の端末装置が、前記正規の端末装置において不正操作と定義された所定のイベントを検知するステップと、前記正規の端末装置が、前記所定のイベントを検知すると、前記イベントの発生通知を前記管理サーバに送信するステップと、前記管理サーバが、前記端末検出ステップで新たに前記ネットワークに接続中であると検出した端末装置について、前記発生通知を受信した場合は、前記端末装置が前記ネットワークに不正に接続されていると判定する第２の判定ステップと、前記第１の判定ステップ又は前記第２の判定ステップで不正に接続されていると判定した端末装置について、前記端末装置又は前記端末装置の通信対象となっている端末装置に対して通信を阻害するためのパケット、若しくは前記端末装置と前記端末装置の通信対象となっている端末装置の間のセッションを切断するためのパケットを送信するステップと、を有することを特徴とする不正接続検知方法である。
【００２７】
本発明に対応する不正接続検知方法は、前記接続通知を送信するステップにおいて、前記正規の端末装置は、前記接続開始通知として前記端末装置の識別情報又は前記端末装置の前記ネットワークへの接続状態に関する情報の少なくとも一つについて、前記正規の端末装置の最新の情報を検出して前記管理サーバに送信し、前記管理サーバが、前記接続開始通知から前記新たな端末装置の識別情報又は前記新たな端末装置の前記ネットワークへの接続状態に関する情報の少なくとも一つに関する第２の端末情報を検出するステップと、前記管理サーバが、前記第２の端末情報が、前記正規の端末装置について前記端末装置の正規の識別情報又は前記端末装置の前記ネットワークへの正規の接続状態に関する情報の少なくとも一つに関する第１の端末情報を格納する端末情報格納部に格納された第１の端末情報と一致しない場合は、前記新たな端末装置が前記ネットワークに不正に接続されていると判定する第３の判定ステップと、を有していて、前記パケットを送信するステップにおいては、前記第３の判定ステップにおいて不正に接続されていると判定した端末装置について、前記端末装置又は前記端末装置の通信対象となっている端末装置に対して通信を阻害するためのパケット、若しくは前記端末装置と前記端末装置の通信対象となっている端末装置の間のセッションを切断するためのパケットを送信することを特徴とすることもできる。
【００２８】
この他にも、本発明は、本発明にかかる不正接続検知システムの他の実施形態に対応して、不正接続検知システムの各々の実施形態により実施される不正接続検知方法として発明を特定することもできる。
【発明の効果】
【００２９】
ＩＰアドレスやＭＡＣアドレスを書き換えたなりすまし等によって接続権限を有さない不正な端末装置によるネットワークへの不正接続を行われた場合、従来のＩＰアドレスやＭＡＣアドレスをキーに付与された接続権限の確認のみでは対応することができないが、本発明により監視プログラムからの応答の有無により不正を検知して対処することが可能になる。
【発明を実施するための最良の形態】
【００３０】
本発明を実施するための最良の形態について、図面を用いて以下に詳細に説明する。尚、以下では主としてＩＰアドレスの書き換えによるなりすましに対応する例について説明するが、本発明はかかる実施形態に限定されるものではない。
【００３１】
図１は、本発明にかかる不正接続検知システムの設定の一例を示す図である。図２は、本発明にかかる不正接続検知システムに用いられるネットワーク管理サーバと端末装置の構成を示すブロック図である。図３は、本発明にかかる不正接続検知システムに記録される正規の端末からの通知記録の例を示す図である。図４は、本発明にかかる不正接続検知システムにおいて、接続権限を有する正規の端末装置が接続された場合の管理サーバの動作の例を示す図である。図５は、本発明にかかる不正接続検知システムにおいて、接続権限を有しない不正な端末装置が接続された場合の管理サーバの動作の第１の例を示す図である。図６は、本発明にかかる不正接続検知システムにおいて、接続権限を有しない不正な端末装置が接続された場合の管理サーバの動作の第２の例を示す図である。図７は、本発明にかかる不正接続検知システムにおける端末の起動時の管理サーバのフローを示すフローチャートである。図８は、本発明にかかる不正接続検知システムにおける端末からの定時連絡を受ける管理サーバの第１の監視フローを示すフローチャートである。図９は、本発明にかかる不正接続検知システムにおける端末からの定時連絡を受ける管理サーバの第２の監視フローを示すフローチャートである。図１０は、本発明にかかる不正接続検知システムにおける端末側の監視プログラムの第１のフローを示すフローチャートである。図１１は、本発明にかかる不正接続検知システムにおける端末側の監視プログラムの第２のフローを示すフローチャートである。
【００３２】
図１の例では、本発明にかかる不正接続検知システムは、ルータ２０の内側のクローズドなネットワークを監視するネットワーク管理サーバ１０に備えられている。ネットワーク管理サーバ１０では、端末情報格納部１１においてネットワークへの接続権限が与えられた正規の端末装置３０、４０についてのＩＰアドレスやＭＡＣアドレス等の識別情報、ゲートウェイやＤＨＣＰサーバのＩＰアドレス等のネットワークへの接続状態に関する情報などの端末情報が格納されている。
【００３３】
尚、ネットワーク管理サーバ１０はネットワークに接続された端末装置を所定の間隔で検出し、端末情報格納部１１に格納された通常の状態との対比や、端末情報格納部１１への接続状態等の履歴情報の書き込みを行うが、かかる機能は本発明にかかる不正接続検知システムとして動作するネットワーク管理サーバ１０と物理的に同一のコンピュータが用いられてもよいし、分離された２以上のコンピュータによってこれらの機能を果すものであってもよい。特に前者の機能については、一般に用いられているネットワーク管理用のサーバを用いることが可能である。
【００３４】
また、端末情報格納部１１に情報が格納される対象となる端末装置は、通常はネットワークを利用するユーザーが操作するコンピュータが対象となる他、ルータやＤＨＣＰサーバ、Ｗｅｂサーバなど、クローズドなネットワーク内に接続されている全てのノードを含むことができる。
【００３５】
ネットワークへの接続権限が与えられた正規の端末装置３０、４０には、それぞれネットワーク内での不正接続等の監視に用いられる監視プログラム３１、４１が格納されている。監視プログラム３１、４１は、コンピュータのオペレーションシステム等に含まれる一般的なネットワーク接続用のプログラムとは別に設けられていて、正規の端末装置３０、４０にのみインストールされる。従って、なりすましのために不正に持ち込まれたネットワークへの接続権限が与えられていない端末装置５０には、監視プログラムは格納されていない。
【００３６】
従って、監視プログラム３１、４１によって、ネットワークへの接続時にネットワーク管理サーバ１０に接続開始通知の送信、ネットワークに接続している間にネットワーク管理サーバに定期的に端末装置内の情報を送信するなどの動作を実行させることにより、ネットワーク管理サーバ１０においてネットワークに接続中であると検出された端末装置については、ネットワーク管理サーバ１０がかかる通知等を受信することになる。監視プログラム３１、４１から送信される通知等は、ネットワーク管理サーバ１０からのリクエストに対して応答するものであってもよい。ネットワークに接続中でありながらもネットワーク管理サーバ１０が通知等を受信しない端末装置については、監視プログラムがインストールされていないと推測されることから、なりすまし等により不正にネットワークに接続された端末装置であると判定することができる。
【００３７】
この構成をさらに具体的に説明すると、ネットワーク管理サーバ１０と正規の端末装置３０は、図２のように構成されている。図２の例では、ネットワーク管理サーバ１０は、端末情報格納部１１を備えた１台のコンピュータで構成されている。ネットワーク管理サーバ１０の起動時には、ＲＯＭ１０３に記憶された入力制御や出力制御などのハードウェア制御のための基本的な各種プログラムを起動するとともに、ＨＤＤ１０４からコンピュータのオペレーションシステムを読み出してネットワークの監視を開始する。続いて、ＨＤＤ１０４からネットワークへの不正接続を検知するための動作を実行するためのプログラムを読み出して、ＲＡＭ１０２をワークエリアとして機能させながら、ＣＰＵ１０１が演算処理を行って、ネットワークの監視を実行する。
【００３８】
一方、正規の端末装置３０の起動時には、ＲＯＭ３０３に記憶された入力制御や出力制御などのハードウェア制御のための基本的な各種プログラムを起動するとともに、ＨＤＤ３０４からコンピュータのオペレーションシステムが読み出される。続いて、ＨＤＤ３０４からネットワークへの不正接続を検知するために格納された監視プログラム３１が読み出されて、ＲＡＭ３０２をワークエリアとして機能させながら、ＣＰＵ３０１が演算処理を行って、監視プログラム３１によって定義された接続開始通知の送信などネットワーク管理サーバ１０に対する所定の動作等を実行する。
【００３９】
例えば、監視プログラム３１において、ネットワークへの接続時に接続開始通知を送信し、その後に所定の間隔で接続通知を送信するよう設定されている場合は、接続開始時や所定の時間到来時にはＲＡＭ３０２とＣＰＵ３０１で演算処理を行って、ＮＩＣ（ネットワークインターフェイスカード）３０５から、ＬＡＮを経由してネットワーク管理サーバ１０に接続開始通知等のデータが送信される。ネットワーク管理サーバ１０ではＮＩＣ１０５でこれを受け付けて、ＲＡＭ１０２とＣＰＵ１０１で演算処理を行って受け付けたデータを解釈し、接続開始通知等の受信をＨＤＤ１０４の端末情報格納部１１に記録する。ＨＤＤに監視プログラムが格納されていない場合には、かかるネットワーク管理サーバ１０に対するデータの送信が行われないため、ネットワーク管理サーバ１０では接続開始通知の不受理等から不正なネットワークへの接続を検知することができる。
【００４０】
図３は、本発明にかかる不正接続検知システムにおいて、ネットワーク管理サーバ１０の端末情報格納部１１に記録される正規の端末毎に設けられた通知記録を記録するテーブルの一例を示している。図３の例では、ネットワークへの接続権限を有する端末装置それぞれに端末ＩＤを付与し、端末ＩＤ毎に設けられたテーブルに、当該端末装置を特定する識別情報であるＩＰアドレスとＭＡＣアドレスが記録されている。また、当該端末装置のネットワークへの接続記録と、当該端末に備えられた監視プログラムからの通知記録が記録されている。
【００４１】
このうち、端末の識別情報であるＩＰアドレスとＭＡＣアドレスについては、ネットワークに接続された端末装置の接続権限を判定するキーとして用いることができる。つまり、ネットワーク管理サーバ１０がネットワークに新たな端末装置が接続されたことを検出すると、当該端末装置のＩＰアドレス又はＭＡＣアドレスを取得して、当該アドレスが端末情報格納部１１に接続権限を有するとして記録されている正規の端末装置のＩＰアドレス又はＭＡＣアドレスと対比する。同一のＩＰアドレス又はＭＡＣアドレスが存在しない場合は、接続権限のない端末装置である可能性があるので、ネットワーク管理サーバ１０はネットワークからの切断させるための何らかの処理を実行する。
【００４２】
尚、上記のＩＰアドレス又はＭＡＣアドレスを用いた判定は、いずれか一方をキーに判定してもよいし、双方の組合せが正規の端末装置と一致することを承認の条件としてもよい。また、このようにネットワークに接続されている端末装置からＩＰアドレス又はＭＡＣアドレスを取得しての接続権限の判定については、ネットワーク管理サーバ１０とは別のコンピュータにおいて、オペレーションシステムの機能等を用いて動作させることとしてもよいし、本発明にかかる不正接続検知システムとともにネットワーク管理サーバ１０において実行することとしてもよい。
【００４３】
ネットワークへの接続記録については、図３の例では過去のログも含めて記録されているが、かかるログは必須のものではなく、本発明にかかる不正接続検知システムを動作させるためには、少なくとも端末ＩＤやＩＰアドレス等により特定される端末装置がネットワークに接続中であるか否かを判定できる情報が記録されていればよく、ネットワークに接続中であることを示すフラグ等を用いることとしてもよい。
【００４４】
監視プログラムからの通知記録については、図３の例では過去のログも含めて記録されているが、かかるログは必須のものではなく、例えば直前の通知記録に関する情報のみを記録してそこからの経過時間を測定するなど、ネットワークに接続中の間に所定の間隔で通知記録を受け付けているかどうかを確認できるよう構成されていればよい。また、図３の例では応答時の端末装置のＩＰアドレスなどの情報が併せて記録されているが、このように端末装置の識別情報や接続状態に関する情報についても記録するよう構成すれば、応答の有無を確認するだけでなく、ＩＰアドレスが書き換えられるなど端末装置に何らかの変化が生じた場合に、これを検出して不正な操作を特定することが可能になる。
【００４５】
次に、図４乃至図６を用いて、本発明にかかる不正接続検知システムにおけるネットワーク管理サーバ１０の動作について説明する。図４は、接続権限を有する正規の端末装置が接続された場合の例を、図５と図６は、接続権限を有しない不正な端末装置が接続された場合の例を示している。
【００４６】
図４において、ネットワークへの接続権限を有する正規の端末装置４０に電源が入れられると、端末装置４０のオペレーティングシステムが起動されてネットワークへの接続処理が行われる。端末装置４０にパーソナルコンピュータ等が用いられると、通常はオペレーディングシステムによりルータやゲートウェイ、ファイルサーバなどのネットワーク内のノードに関する情報が集められ、ネットワークへの接続状態を把握する。
【００４７】
一方、ネットワーク管理サーバ１０も随時ネットワークに接続されているノードを検出してＩＰアドレス等の情報を集めており、ネットワークに接続されているノードを把握している。また、ネットワーク管理サーバ１０にはネットワークへの接続権限を有する端末装置のＩＰアドレス等の識別情報が記憶されており、ネットワーク管理サーバ１０はネットワークに接続されていることを検出した端末装置のＩＰアドレス等と接続権限を有する端末装置のＩＰアドレス等を対比して、接続権限を有していない端末装置がネットワークに接続された場合に、これを検知することができる。
【００４８】
図４においては、ネットワーク管理サーバ１０は端末装置４０がネットワークに検出されたことを検出し、端末装置４０からＩＰアドレス〔１２３．４５６．７８９．１２３〕を取得する。一方、ネットワーク管理サーバ１０には、端末装置４０がネットワークへの接続権限を有する端末装置であって、ＩＰアドレスが〔１２３．４５６．７８９．１２３〕であることが記憶されており、端末装置４０から取得したＩＰアドレスと一致するため、端末装置４０が接続権限を有する端末装置であることが確認できる。
【００４９】
ネットワークへの接続権限を有する端末装置４０には、ネットワークへの不正接続を検知するために用いられる専用の監視プログラム４１が格納されている。端末装置４０の電源が入れられてオペレーティングシステムが起動すると、監視プログラム４１も起動されてネットワークへの接続開始を通知する固有の信号をネットワーク管理サーバ１０に送信する。つまり、ネットワークへの接続権限を有する正規の端末装置がネットワークに接続された場合には、ネットワーク管理サーバ１０は必ず接続開始を通知する監視プログラム固有の信号を受信することになる。図４では、ネットワークへの接続開始が９時であるとすると、監視プログラムからの最初の通知を９時に受信しているので、ネットワークに接続された端末装置は、確かにネットワークへの接続権限を有する端末装置４０であると確認することができる。
【００５０】
また、監視プログラム４１は、端末装置４０がネットワークに接続されている間は、定期的に接続が継続されていることを通知する固有の信号をネットワーク管理サーバ１０に送信する。かかる信号の送信は、ネットワーク管理サーバ側から所定の間隔で接続中の端末に監視プログラム４１によってのみ応答可能なリクエストを送信し、監視プログラム４１からのレスポンスを受け付けることとしてもよい。いずれの方法であっても、ネットワークへの接続権限を有する正規の端末装置がネットワークに接続されている間は、ネットワーク管理サーバ１０は必ず接続が継続されていることを通知する監視プログラム固有の信号を受信することになる。図４では、ネットワークへの接続が開始された９時から１時間後の１０時に正常に通知を受けたことが記録されており、ネットワークへの接続権限を有する端末装置４０が正常な状態でネットワークへの接続を継続していることが確認できる。
【００５１】
尚、上記の接続が継続されていることを示す通知には、端末装置４０の最新の状態に関する情報を含むこととして、ネットワーク管理サーバ１０に記憶された正常な状態と対比するよう構成してもよい。端末装置４０の最新の状態には、ＩＰアドレスやＭＡＣアドレス等の端末の識別情報の他に、ゲートウェイやＤＨＣＰサーバのＩＰアドレスなど端末の接続状態に関する情報を用いてもよい。これらの情報が正常な状態と一致しない場合、例えばＩＰアドレスやＭＡＣアドレスが一致しない場合はアドレスが書き換えられた可能性があり、不正な操作が行われたと判定することができる。
【００５２】
図５において、端末装置５０はネットワークへの接続権限を有しておらず、ＩＰアドレスを書き換えたなりすましによってネットワークへの接続を試みようとしている。接続権限を有する正規の端末装置４０になりすましを行うために、ＩＰアドレスは端末装置４０のＩＰアドレス〔１２３．４５６．７８９．１２３〕に書き換えられている。尚、端末装置５０はネットワークへの接続権限を有する正規の端末装置ではないので、専用の監視プログラムは格納されていない。端末装置５０に電源が入れられると、端末装置５０のオペレーティングシステムが起動されてネットワークへの接続処理が行われる。
【００５３】
ネットワーク管理サーバ１０は端末装置５０がネットワークに検出されたことを検出し、端末装置５０からＩＰアドレス〔１２３．４５６．７８９．１２３〕を取得する。一方、ネットワーク管理サーバ１０には、ネットワークへの接続権限を有する端末装置のＩＰアドレスとして〔１２３．４５６．７８９．１２３〕が記憶されており、端末装置５０から取得したＩＰアドレスと一致するため、ＩＰアドレスによる判定のみからでは、端末装置５０はネットワークへの接続権限を有する正規の端末装置であると誤認されることになってしまう。
【００５４】
一方、端末装置５０には専用の監視プログラムが備えられていないため、ネットワークへの接続が開始されたとしても、接続開始を通知する固有の信号は送出されない。従って、ネットワーク管理サーバ１０において端末装置４０はネットワークに接続中のステータスとなっているものの、接続通知の記録がなされないため、端末装置４０以外の接続権限を有していない不正な端末装置が端末装置４０になりすましてネットワークに接続されているものと判定することができる。
【００５５】
また、接続が継続されている間についても、専用の監視プログラムが備えられていないため、正規の端末装置からは定期的に送出される接続が継続されていることを通知する固有の信号も送出されない。一方、ネットワーク管理サーバ１０において端末装置４０はネットワークに接続中のステータスとなっているため、かかる通知が受信されないことからも、接続権限を有していない不正な端末装置が端末装置４０になりすましてネットワークに接続されているものと判定することができる。
【００５６】
図６は、図５のケースにおいて、端末装置５０が端末装置４０になりすますために、端末装置４０のＩＰアドレスを他のＩＰアドレスに書き換える場合を示している。端末装置４０が起動された時点では正常に接続が行われ、監視プログラム４１から接続開始通知や接続が継続している間の端末からの情報等が送出される。このような状態であれば、ネットワーク管理サーバ１０は接続が正常であると判定するが、端末装置５０によるなりすましを行うために、端末装置４０のＩＰアドレスが他の接続権限を有する端末装置３０のＩＰアドレス〔１２３．４５６．７８９．１００〕に書き換えられたとする。ここで端末装置５０がＩＰアドレス〔１２３．４５６．７８９．１２３〕になりすまして接続すると、監視プログラム４１から接続が継続している間の端末からの情報等が送出されるため、なりすましが検知されない場合がある。
【００５７】
そこで、監視プログラム４１には、ＩＰアドレスやＭＡＣアドレスの変更など、なりすましに関連する所定の動作が実行された場合には、ネットワーク管理サーバ１０に通知する処理を実行させるよう設定することが好ましい。このように設定すると、端末装置４０のＩＰアドレスが書き換えられると、監視プログラム４１がその旨を通知する固有の信号をネットワーク管理サーバ１０に送出するため、ネットワーク管理サーバ１０では端末装置４０に関連して何らかの不正操作が行われた可能性があることを検知することができる。また、監視プログラム４１は、ネットワークを使用不可にする等のアクションを端末装置４０において実行するよう設定すると、端末装置４０側からもネットワークとの遮断操作を実行できるので、尚好ましい。
【００５８】
図５や図６の例の結果、ネットワークに接続されている端末が接続権限を有していない不正な端末装置であると判定されると、ネットワーク管理サーバ１０は端末装置５０の通信を切断するための処理を実行する。具体的には、例えば端末装置５０と通信対象端末の間にＴＣＰセッションが張られている場合であれば、そのセッションに対してリセットパケット又は終了パケットを送信して、セッションを切断することができる。
【００５９】
又は、端末装置５０に対して偽装ＡＲＰリダイレクトパケットを送信して、端末装置５０の送信パケットが通信対象端末に到達することを回避してもよい。端末装置５０の通信対象端末に対して偽装ＡＲＰリダイレクトパケットを送信して、端末装置５０と通信対象端末の間の通信を阻害することとしてもよい。
【００６０】
上記のような通信の切断処理に際しては、ネットワーク管理サーバ１０は、管理者に対してメールを送信する、不正操作やそれに対する対処のログを記録するなどその他の動作を行うこととしてもよい。
【００６１】
続いて、図７乃至図１１のフローチャートを用いて、本発明にかかる不正接続検知システムのフローについて説明する。図７乃至図９はネットワーク管理サーバ側のフローであって、図７は端末装置の起動時のフローを、図８及び図９は端末装置からの定時連絡を受けるネットワーク管理サーバのフローの２通りのパターンを示している。図１０及び図１１は端末装置側の監視プログラムのフローの２通りのパターンを示している。
【００６２】
図７を用いて、端末装置が起動してネットワークに接続されたときの、ネットワーク管理サーバ側のフローについて説明する。ある端末装置が起動されてクローズドなネットワークに接続されると、ネットワーク管理サーバは新たな端末装置が接続されたことを検出し（Ｓ０１）、当該端末装置のＩＰアドレスを特定する（Ｓ０２）。ここでネットワークに接続された端末装置を検出してＩＰアドレスを特定する方法は、ネットワーク管理サーバには予めネットワークへの接続が承認された端末装置についてのＩＰアドレスが記憶されているため、これらのＩＰアドレス宛にｐｉｎｇを送信して応答を受けることとすればよいが、その他にネットワーク監視やコンピュータのオペレーションシステムで通常利用される技術を用いればよく、特に限定されるものではない。例えば、ネットワーク上のパケットを盗聴するｓｎｏｏｐｉｎｇの手段を用いて、全てのネットワーク上に流れるパケットを監視し、受信した各々のパケットについて、送信元ＩＰアドレス、送信先ＩＰアドレス、送信元ＭＡＣアドレス（同一セグメント内の場合は送信元端末のＭＡＣアドレス、セグメントが異なる場合はルータのＭＡＣアドレス等）、送信先ＭＡＣアドレス等の情報を取得することもできる。
【００６３】
新たな端末装置の接続が検出されて承認されたＩＰアドレス宛にｐｉｎｇを送信した場合、ｐｉｎｇに対する応答の有無によって当該端末装置のＩＰアドレスが予め承認されたものであるか否かを判定する（Ｓ０３）。つまり、ｐｉｎｇに応答があれば承認されたＩＰアドレスであり、応答がない場合は承認されていないＩＰアドレスの端末装置が接続されたことになる。ＩＰアドレスが承認されたものでない場合は、偽装ＡＲＰリダイレクトパケットの送信など、当該端末装置の通信を中断させるための処理を実行する（Ｓ０９）。
【００６４】
次に、新たに接続された端末装置のＭＡＣアドレスを取得する（Ｓ０４）。ＭＡＣアドレスを直接特定できない場合には、ＩＰアドレスからＡＲＰを用いて特定することとしてもよい。ネットワーク管理サーバには、予めネットワークへの接続が承認された端末装置についてのＭＡＣアドレスが記憶されており、新たに接続された端末装置から取得したＭＡＣアドレスが接続権限を有するものであるか否か、承認されたＭＡＣアドレスが記憶されたテーブルを参照して確認する（Ｓ０５）。ＭＡＣアドレスが承認されたものでない場合は、偽装ＡＲＰリダイレクトパケットの送信など、当該端末装置の通信を中断させるための処理を実行する（Ｓ０９）。
【００６５】
ネットワーク管理サーバには、予めネットワークへの接続が承認された端末装置についてのＩＰアドレスとＭＡＣアドレスの組合せを記憶されておくこともできる。この場合、新たに接続された端末装置から取得したＩＰアドレスとＭＡＣアドレスの組合せが接続権限を有するものであるか否か、承認されたＩＰアドレスとＭＡＣアドレスの組合せが記憶されたテーブルを参照して確認する（Ｓ０６）。ＩＰアドレスとＭＡＣアドレスの組合せが承認されたものでない場合は、偽装ＡＲＰリダイレクトパケットの送信など、当該端末装置の通信を中断させるための処理を実行する（Ｓ０９）。
【００６６】
尚、ここまでのフローは通常のネットワーク監視において用いられているものであるが、本発明においてはネットワークに接続中の端末装置を識別するために、これらのフローによりネットワークに接続中の端末装置がＩＰアドレス等の識別情報をキーにして特定された状態にあることを前提としている。従って、ネットワークに接続中の端末装置が特定できれば、ＩＰアドレスとＭＡＣアドレスのいずれか一方又は双方の組合せ、若しくはその他の端末装置を識別できる識別情報のいずれにより特定するものであってもよい。
【００６７】
続いて、ＩＰアドレスとＭＡＣアドレスの組合せの承認まで確認された場合は、当該端末装置から監視プログラムからの接続開始通知を受けたか否かを確認する（Ｓ０７）。監視プログラムは接続権限を有する正規の端末装置にしか格納されていないので、ＩＰアドレスやＭＡＣアドレスが偽装されたものである場合は、接続開始通知を受信することはない。従って、接続開始通知を所定の時間内に受信しない場合には、なりすましの可能性があると判定して、偽装ＡＲＰリダイレクトパケットの送信など、当該端末装置の通信を中断させるための処理を実行する（Ｓ０９）。
【００６８】
一方、接続開始通知を受信した場合は、接続権限を有する正規の端末装置であると判定して、ネットワークへの接続を許容するとともに、当該端末装置がネットワークに接続されている間に不正操作が行われないことを監視するために、端末装置に格納された監視プログラムからの定時連絡についての連絡記録を開始する（Ｓ０８）。
【００６９】
ネットワーク管理サーバにおける端末装置に格納された監視プログラムからの提示連絡の受信による不正操作の判定は、図８又は図９のように行われる。図８はネットワークに接続されている端末の特定を先に行うパターンで、まずネットワーク内に接続中の端末装置をＩＰアドレス等を取得して特定し（Ｓ１０）、各々の端末装置から所定のタイミングで定時連絡を受け付けたか否かを確認する（Ｓ１１）。
【００７０】
定時連絡は接続権限を有する正規の端末装置にのみ格納された監視プログラムを起動して送信されるので、ＩＰアドレス等からはネットワークに接続中と判定されながら所定のタイミングで定時連絡を受け付けていない場合は、ＩＰアドレス等のなりすましによる不正な接続が行われている可能性がある。従って、所定のタイミングで定時連絡を受け付けていない場合は、なりすましの可能性があると判定して、偽装ＡＲＰリダイレクトパケットの送信など、当該端末装置の通信を中断させるための処理を実行する（Ｓ１３）。
【００７１】
一方、定時連絡を受け付けている場合は、当該定時連絡に含まれる端末装置から送信されたＩＰアドレスやＭＡＣアドレス等の識別情報、ゲートウェイサーバやＤＨＣＰサーバのＩＰアドレス等のネットワークへの接続状態に関する情報などを検出し、これらの最新情報が予めネットワーク管理サーバに記憶された通常の接続情報と異なるものでないか否かを確認する（Ｓ１２）。接続情報に異常が生じている場合は、当該端末装置の接続状態に何らかの不正操作が行われている可能性があると判定して、偽装ＡＲＰリダイレクトパケットの送信など、当該端末装置の通信を中断させるための処理を実行する（Ｓ１３）。接続情報に異常がない場合は、監視を継続する。
【００７２】
図９は、定時連絡の確認を先に行うパターンである。ネットワーク管理サーバはネットワークに接続中の端末装置から所定のタイミングで送信される定時連絡の受け付けるよう待機し（Ｓ１４）、所定のタイミングになると定時連絡を受けたか否かを確認する（Ｓ１５）。尚、このように所定のタイミングで定時連絡を受けるためには、接続権限を有する正規の端末装置にのみ格納された監視プログラムに定時連絡を実行するプログラムを含ませることとしてもよいし、ネットワーク管理サーバから所定のタイミングで監視プログラムのみで応答可能なリクエストを送信し、監視プログラムからのレスポンスとして定時連絡を受け付けることとしてもよい。
【００７３】
定時連絡を受けた場合には、当該定時連絡に含まれる端末装置から送信されたＩＰアドレスやＭＡＣアドレス等の識別情報、ゲートウェイサーバやＤＨＣＰサーバのＩＰアドレス等のネットワークへの接続状態に関する情報などを検出し、これらの最新情報が予めネットワーク管理サーバに記憶された通常の接続情報と異なるものでないか否かを確認する（Ｓ１６）。接続情報に異常が生じている場合は、当該端末装置の接続状態に何らかの不正操作が行われている可能性があると判定して、偽装ＡＲＰリダイレクトパケットの送信など、当該端末装置の通信を中断させるための処理を実行する（Ｓ１８）。接続情報に異常がない場合は、監視を継続する。
【００７４】
一方、定時連絡を受けなかった場合は、当該端末装置がネットワークに接続中であるか否かを確認する（Ｓ１７）。接続中か否かの確認は、他のネットワーク監視システムで管理するデータを参照することとしてもよいし、ｐｉｎｇの送信等により確認することとしてもよい。端末装置が接続されていない場合は、当該端末装置の電源がオフになるなど既に操作が終了していると判定できるので、監視を中止する。端末装置が接続されている場合は、接続中であるにもかかわらず定時連絡が行われないのは、監視プログラムを備えていない不正な端末装置が接続されている可能性があるため、なりすましの可能性があると判定して、偽装ＡＲＰリダイレクトパケットの送信など、当該端末装置の通信を中断させるための処理を実行する（Ｓ１８）。
【００７５】
図１０のフローチャートを用いて、端末装置側の監視プログラムで、ネットワーク管理サーバに対してネットワークへの接続開始時に接続開始通知を送信し、その後に所定のイベントが発生した場合にも通知を送信するフローについて説明する。まず、端末装置を起動してネットワークへの接続処理が実行されると（Ｓ２１）、ネットワークへの接続権限を有する正規の端末装置にのみ格納された監視プログラムを起動して（Ｓ２２）、ネットワーク管理サーバに所定の接続開始通知を送信する（Ｓ２３）。当該接続開始通知はネットワークへの接続権限を有する正規の端末装置にのみ格納された監視プログラムにより生成され、固有のデータ形式の採用、非公開のヘッダーの付与などにより、当該監視プログラムを備えていないと生成できないデータとして送信される。接続開始通知を受信したネットワーク管理サーバは、先に説明したフローにより、当該端末装置の接続の可否についての判定を行う。
【００７６】
ネットワーク管理サーバにおいてネットワークへの接続が許容されると、ＩＰアドレスの変更など、なりすまし等の不正操作の可能性がある所定の操作が実行されることを監視する（Ｓ２４、Ｓ２５）。所定の操作が実行されない場合はそのまま監視が継続されるが、所定の操作の実行を検出した場合は、当該端末装置において異常が発生したことの通知をネットワーク管理サーバに送信する（Ｓ２６）。通知を受けたネットワーク管理サーバは、不正操作の可能性があるとして、当該端末装置のネットワークへの接続を切断する処理等を実行する。尚、所定の操作の実行を検出した場合には、端末装置上においてネットワークを使用不可にする等のアクションを実行することとしてもよい。
【００７７】
図１１のフローチャートを用いて、端末装置側の監視プログラムで、ネットワーク管理サーバに対してネットワークへ接続中に定時連絡を送信するフローについて説明する。まず、端末装置を起動してネットワークへの接続処理が実行されると（Ｓ３１）、ネットワークへの接続権限を有する正規の端末装置にのみ格納された監視プログラムを起動して（Ｓ３２）、ネットワーク管理サーバに所定の接続開始通知を送信する（Ｓ３３）。当該接続開始通知はネットワークへの接続権限を有する正規の端末装置にのみ格納された監視プログラムにより生成され、固有のデータ形式の採用、非公開のヘッダーの付与などにより、当該監視プログラムを備えていないと生成できないデータとして送信される。接続開始通知を受信したネットワーク管理サーバは、先に説明したフローにより、当該端末装置の接続の可否についての判定を行う。
【００７８】
当該端末装置では接続開始通知の送信から定時までの所定の時間の経過をカウントし、定時になると当該端末装置の最新のＩＰアドレス等の接続情報を取得する（Ｓ３４）。当該接続情報は定時連絡として所定のタイミングでネットワーク管理サーバに送信されるが（Ｓ３５）、当該定時連絡はネットワークへの接続権限を有する正規の端末装置にのみ格納された監視プログラムにより生成され、固有のデータ形式の採用、非公開のヘッダーの付与などにより、当該監視プログラムを備えていないと生成できないデータとして送信される。定時連絡を受信したネットワーク管理サーバは、先に説明したフローにより、当該端末装置の接続継続の可否についての判定を行う。
【００７９】
当該定時連絡の送信により、ネットワーク管理サーバが当該端末装置の接続継続を不可と判定すると、当該端末装置のネットワークへの切断が切断される。ネットワークへの切断が実行された場合には（Ｓ３６）、当該端末装置の監視プログラムも停止する（Ｓ３７）。一方、ネットワーク管理サーバが当該端末装置の接続継続を可と判定すると、ネットワークへの切断は実行されずに（Ｓ３６）、定時連絡のための待機が継続される。
【図面の簡単な説明】
【００８０】
【図１】本発明にかかる不正接続検知システムの設定の一例を示す図である。
【図２】本発明にかかる不正接続検知システムに用いられるネットワーク管理サーバと端末装置の構成を示すブロック図である。
【図３】本発明にかかる不正接続検知システムに記録される正規の端末からの通知記録の例を示す図である。
【図４】本発明にかかる不正接続検知システムにおいて、接続権限を有する正規の端末装置が接続された場合の管理サーバの動作の例を示す図である。
【図５】本発明にかかる不正接続検知システムにおいて、接続権限を有しない不正な端末装置が接続された場合の管理サーバの動作の第１の例を示す図である。
【図６】本発明にかかる不正接続検知システムにおいて、接続権限を有しない不正な端末装置が接続された場合の管理サーバの動作の第２の例を示す図である。
【図７】本発明にかかる不正接続検知システムにおける端末の起動時の管理サーバのフローを示すフローチャートである。
【図８】本発明にかかる不正接続検知システムにおける端末からの定時連絡を受ける管理サーバの第１の監視フローを示すフローチャートである。
【図９】本発明にかかる不正接続検知システムにおける端末からの定時連絡を受ける管理サーバの第２の監視フローを示すフローチャートである。
【図１０】本発明にかかる不正接続検知システムにおける端末側の監視プログラムの第１のフローを示すフローチャートである。
【図１１】本発明にかかる不正接続検知システムにおける端末側の監視プログラムの第２のフローを示すフローチャートである。
【符号の説明】
【００８１】
１０ ネットワーク管理サーバ
１１ 端末情報格納部
２０ ルータ
３０ 端末装置
３１ 監視プログラム
４０ 端末装置
４１ 監視プログラム
５０ 端末装置
【技術分野】
【０００１】
本発明は、接続権限を有さない不正な端末装置によるネットワークへの不正接続を検知するための不正接続検知システムに関するものである。
【背景技術】
【０００２】
社内ＬＡＮ等のクローズドなネットワークでの重要情報の管理においては、ネットワークの外部からの不正な侵入を防止することとあわせて、ネットワーク内部における不正な操作による情報の持ち出しへの対策が重要な課題となっている。不正な情報の持ち出し等が行われる場合には、ネットワークに正規に接続された端末を用いると不正操作の痕跡を残したり不正操作者が特定されたりする恐れがあるために、不正操作者が自ら所有する端末をネットワークに接続して不正な情報の持ち出し等が行われることがある。
【０００３】
このような不正操作に対応するために、ネットワークに接続された端末を特定するための管理サーバをネットワーク内に設け、管理サーバにはネットワークへの接続が許可された端末の識別情報を記憶させておき、ネットワークに端末が接続されると当該端末の識別情報を取得してネットワークへの接続権限を確認し、接続権限を有していない端末がネットワークに接続された場合に、当該端末に対して不正操作を停止させることが行われている。ネットワークに接続されている端末を特定するための識別情報には、一般に端末に付与されたＩＰアドレスやＭＡＣアドレスが用いられている。
【０００４】
端末に付与されたＩＰアドレスやＭＡＣアドレスを取得して端末が正規なものか否かを判定する方法としては、端末を起動してネットワークへの接続が開始されたときに、端末からＩＰアドレスやＭＡＣアドレスを含むブロードキャスト信号を送信し、これを受信した管理サーバに記憶されたものと照合する方法（例えば、特許文献１参照。）や、ＩＰアドレスをキーにＡＲＰを用いてＭＡＣアドレスを取得し、ＩＰアドレスとＭＡＣアドレスの組合せを管理サーバに記憶されたものと照合する方法（例えば、特許文献２参照。）などが開示されている。
【特許文献１】特開平６−３３４６７１号
【特許文献２】特開２０００−２０１１４３号
【発明の開示】
【発明が解決しようとする課題】
【０００５】
上記の方法により、接続権限を有しない端末がネットワークに接続された場合には、管理サーバが記憶していないＩＰアドレスやＭＡＣアドレスを検出することにより、不正な接続を検知してネットワークからの切断等の対処を行うことができる。しかしながら、この方法が有効なのは、ＩＰアドレスやＭＡＣアドレスが個々の端末と紐付けられていることが前提であり、ＩＰアドレスやＭＡＣアドレスが書き換えられてしまった場合には、不正な接続であることを検知することができない。
【０００６】
実際に不正接続が行われるケースでは、接続権限を持つ端末をネットワークから切り離し、一方で不正接続を行うために別の端末を持ち込んで、当該端末のＩＰアドレスやＭＡＣアドレスを、接続権限を有する端末のＩＰアドレスやＭＡＣアドレスに書き換えて接続するいわゆる「なりすまし」が行われることがある。なりすましが行われた場合、ＩＰアドレスやＭＡＣアドレス自体は接続権限を有する正規のものが用いられるので、不正であることを発見できないという問題がある。
【０００７】
なりすましによる情報の流出を防止するためには、重要情報が存在する端末へのアクセスの認証を強化するなど、他の方法と併用することが考えられるが、何らかの方法で端末へのアクセスを制御したとしても、ネットワーク上に不正な端末が接続された状態を許容してしまうと、パケット盗聴（スニーフィング）が行われた場合にもこれを検知できないという問題が生じる。従って、接続権限を有さない不正な端末がネットワークに接続された場合には、なりすましが行われている場合であってもこれをいち早く検出して対処を行うことが必要である。
【０００８】
本発明は、このような課題に対応するためになされたものであり、接続権限を有さない不正な端末装置がＩＰアドレスやＭＡＣアドレスを書き換えたなりすまし等によりネットワークへの不正接続を行った場合、これを検知して対処するための不正接続検知システムを提供することを目的とするものである。
【課題を解決するための手段】
【０００９】
以下に説明する本発明においては、いずれもネットワークへの接続権限を有する正規の端末には専用の監視プログラムが格納されており、当該端末のネットワークへの接続時には当該監視プログラムが所定の動作を行ってネットワークを管理する管理サーバに所定の情報を送信するよう構成することにより、当該情報の有無や内容によって、接続権限を有さない不正な端末のネットワークへの接続を検知することができる。
【００１０】
尚、以下の発明において、ネットワークとはＬＡＮなどアクセス権限を有するもののみが接続可能なクローズドなネットワークが該当する。端末装置には通常はパーソナルコンピュータなどのコンピュータ機器が該当するが、ネットワークに接続が可能なものであれば、ルータやゲートウェイなどのネットワーク機器、Ｗｅｂサーバ等のサーバ、ＰＤＡ等のモバイル端末などどのようなものであってもよい。
【００１１】
前述の課題を解決する本発明は、接続権限を有さない端末装置のネットワークへの不正接続を検知するための不正接続検知システムであって、前記ネットワークへの接続権限を有する正規の端末装置には、前記端末装置がネットワークに接続されると、ネットワークへの接続が開始されたことを示す接続開始通知を前記不正接続検知システムに送信するとともに、不正操作と定義された所定のイベントを検知すると前記イベントの発生通知を前記不正接続検知システムに送信する監視プログラムが格納されていて、前記ネットワークに接続されている端末装置を検出する接続端末検出手段と、前記正規の端末装置に格納された監視プログラムから送信された接続開始通知を受信する接続開始通知受信手段と、前記正規の端末装置に格納された監視プログラムから送信された前記イベントの発生通知を受信する発生通知受信手段と、前記接続端末検出手段が新たに前記ネットワークに接続中であると検出した端末装置について、前記接続開始通知受信手段が前記端末装置からの接続開始通知を受信したかを確認し、前記接続開始通知を受信していない場合は、前記端末装置が前記ネットワークに不正に接続されていると判定する第１の不正接続判定手段と、前記接続端末検出手段が前記ネットワークに接続中であると検出した端末装置について、前記発生通知受信手段が発生通知を受信した場合は、前記端末装置が前記ネットワークに不正に接続されていると判定する第２の不正接続判定手段と、前記第１の不正接続判定手段又は前記第２の不正接続判定手段が不正に接続されていると判定した端末装置について、前記端末装置又は前記端末装置の通信対象となっている端末装置に対して通信を阻害するためのパケット、若しくは前記端末装置と前記端末装置の通信対象となっている端末装置の間のセッションを切断するためのパケットを送信するパケット送信手段と、を備えることを特徴とする不正接続検知システムである。
【００１２】
また、本発明は、前記正規の端末装置について、前記端末装置の正規の識別情報又は前記端末装置の前記ネットワークへの正規の接続状態に関する情報の少なくとも一つに関する第１の端末情報を格納する端末情報格納手段と、前記接続開始通知受信手段が受信した接続開始通知から、前記端末装置の識別情報又は前記端末装置の前記ネットワークへの接続状態に関する情報の少なくとも一つに関する第２の端末情報を検出する端末情報検出手段と、を備えていて、前記監視プログラムは、前記接続開始通知として前記端末装置の識別情報又は前記端末装置の前記ネットワークへの接続状態に関する情報の少なくとも一つについて、前記端末装置の最新の情報を検出して前記不正接続検知システムに送信し、前記第１の不正接続判定手段は、前記端末情報検出手段が検出した第２の端末情報が、前記端末装置に関する前記端末情報格納手段に格納された第１の端末情報と一致しない場合は、前記端末装置が前記ネットワークに不正に接続されていると判定することを特徴とすることもできる。
【００１３】
本発明においては、監視プログラムはネットワークへの接続時に接続開始通知を送信するため、ＩＰアドレス等によりネットワークへの接続が確認された端末について管理サーバが接続開始通知を受信しないと、当該端末では本来は存在するべき監視プログラムが動作しておらず、ＩＰアドレス等が書き換えられた不正な端末であると判定することが可能になる。
【００１４】
また、例えばなりすましのために正規の端末装置のＩＰアドレスが書き換えられるなど不正操作の可能性がある動作をイベントとして予め設定し、正規の端末装置においてはかかる動作を監視するプログラムを格納することにより、不正操作の可能性がある場合には速やかに管理サーバに通知して、所定の対処を行うことが可能になる。
【００１５】
さらに、接続権限を有する正規の端末装置についてのＩＰアドレスやＭＡＣアドレス等の端末の識別情報、ゲートウェイやＤＨＣＰサーバのＩＰアドレスなど端末の接続状態に関する情報を予め管理サーバに記憶させておき、接続開始通知として接続時の端末のＩＰアドレス等の識別情報やゲートウェイのＩＰアドレス等の接続状態に関する情報を合わせて受信して照合することにより、端末の状態が正常であるか否かを確認して不正な接続でないかを判定するよう構成してもよい。
【００１６】
また、本発明の他の実施形態は、接続権限を有さない端末装置のネットワークへの不正接続を検知するための不正接続検知システムであって、前記ネットワークへの接続権限を有する正規の端末装置には、前記端末装置がネットワークに接続されると、ネットワークへの接続が開始されたことを示す接続開始通知を前記不正接続検知システムに送信するとともに、所定の間隔で前記端末装置に関する情報を前記不正接続検知システムに送信する監視プログラムが格納されていて、前記ネットワークに接続されている端末装置を検出する接続端末検出手段と、前記正規の端末装置に格納された監視プログラムから送信された接続開始通知を受信する接続開始通知受信手段と、前記接続端末検出手段が新たに前記ネットワークに接続中であると検出した端末装置について、前記接続開始通知受信手段が前記端末装置からの接続開始通知を受信したかを確認し、前記接続開始通知を受信していない場合は、前記端末装置が前記ネットワークに不正に接続されていると判定する第１の不正接続判定手段と、前記正規の端末装置に格納された監視プログラムから送信された前記端末装置に関する情報を受信する端末情報受信手段と、前記接続端末検出手段が前記ネットワークに接続中であると検出した端末装置について、前記端末情報受信手段が前記監視プログラムに設定された所定の間隔で前記端末装置に関する情報を受信したかを確認し、前記端末装置に関する情報を前記所定の間隔で受信していない場合は、前記端末装置が前記ネットワークに不正に接続されていると判定する第３の不正接続判定手段と、前記第１の不正接続判定手段又は前記第３の不正接続判定手段が不正に接続されていると判定した端末装置について、前記端末装置又は前記端末装置の通信対象となっている端末装置に対して通信を阻害するためのパケット、若しくは前記端末装置と前記端末装置の通信対象となっている端末装置の間のセッションを切断するためのパケットを送信するパケット送信手段と、を備えることを特徴とする不正接続検知システムである。
【００１７】
前記実施形態においては、前記正規の端末装置について、前記端末装置の正規の識別情報又は前記端末装置の前記ネットワークへの正規の接続状態に関する情報の少なくとも一つに関する第１の端末情報を格納する端末情報格納手段と、前記端末情報受信手段が受信した端末装置に関する情報から、前記端末装置の識別情報又は前記端末装置の前記ネットワークへの接続状態に関する情報の少なくとも一つに関する第２の端末情報を検出する端末情報検出手段と、を備えていて、前記監視プログラムは、前記端末装置に関する情報として前記端末装置の識別情報又は前記端末装置の前記ネットワークへの接続状態に関する情報の少なくとも一つについて、前記端末装置の最新の情報を検出して前記不正接続検知システムに送信し、前記第３の不正接続判定手段は、前記端末情報検出手段が検出した第２の端末情報が、前記端末装置に関する前記端末情報格納手段に格納された第１の端末情報と一致しない場合は、前記端末装置が前記ネットワークに不正に接続されていると判定することを特徴としてもよい。
【００１８】
前記実施形態では、監視プログラムはネットワークに接続されている間は所定の間隔で端末に関する情報を送信するため、ＩＰアドレス等によりネットワークへの接続が確認された端末について管理サーバが所定の間隔で端末に関する情報を受信しないと、当該端末では本来は存在するべき監視プログラムが動作しておらず、ＩＰアドレス等が書き換えられた不正な端末であると判定することが可能になる。
【００１９】
また、接続権限を有する正規の端末装置についてのＩＰアドレスやＭＡＣアドレス等の端末の識別情報、ゲートウェイやＤＨＣＰサーバのＩＰアドレスなど端末の接続状態に関する情報を予め管理サーバに記憶させておき、端末に関する情報として接続時の端末のＩＰアドレス等の識別情報やゲートウェイのＩＰアドレス等の接続状態に関する情報を合わせて受信して照合することにより、端末の状態が正常であるか否かを確認して不正な接続でないかを判定するよう構成してもよい。
【００２０】
この実施形態においても、例えばなりすましのために正規の端末装置のＩＰアドレスが書き換えられるなど不正操作の可能性がある動作をイベントとして予め設定し、正規の端末装置においてはかかる動作を監視するプログラムを格納することにより、不正操作の可能性がある場合には速やかに管理サーバに通知して、所定の対処を行うことが可能になる。
【００２１】
さらに、本発明の他の実施形態は、接続権限を有さない不正な端末装置のネットワークへの接続を検知するための不正接続検知システムであって、前記ネットワークへの接続権限を有する正規の端末装置には、前記不正接続検知システムからのリクエストに対して、所定のレスポンスを返信する監視プログラムが格納されていて、前記ネットワークに接続されている端末装置を検出する接続端末検出手段と、前記接続端末検出手段が前記ネットワークに接続中であると検出した端末装置に対して、前記リクエストを送信するリクエスト送信手段と、前記正規の端末装置に格納された監視プログラムから送信された前記リクエストに対するレスポンスを受信するレスポンス受信手段と、前記リクエスト送信手段がリクエストを送信した端末装置について、前記レスポンス受信手段が前記端末装置から前記リクエストに対するレスポンスを受信しない場合は、前記端末装置が前記ネットワークに不正に接続されていると判定する第４の不正接続判定手段と、前記第４の不正接続判定手段が不正に接続されていると判定した端末装置について、前記端末装置又は前記端末装置の通信対象となっている端末装置に対して通信を阻害するためのパケット、若しくは前記端末装置と前記端末装置の通信対象となっている端末装置の間のセッションを切断するためのパケットを送信するパケット送信手段と、を備えることを特徴とする不正接続検知システムである。
【００２２】
前記実施形態においては、前記正規の端末装置について、前記端末装置の正規の識別情報又は前記端末装置の前記ネットワークへの正規の接続状態に関する情報の少なくとも一つに関する第１の端末情報を格納する端末情報格納手段と、前記レスポンス受信手段が受信したレスポンスから、前記端末装置の識別情報又は前記端末装置の前記ネットワークへの接続状態に関する情報の少なくとも一つに関する第２の端末情報を検出する端末情報検出手段と、を備えていて、前記監視プログラムは、前記レスポンスとして前記端末装置の識別情報又は前記端末装置の前記ネットワークへの接続状態に関する情報の少なくとも一つについて、前記端末装置の最新の情報を検出して前記不正接続検知システムに送信し、前記第４の不正接続判定手段は、前記端末情報検出手段が検出した第２の端末情報が、前記端末装置に関する前記端末情報格納手段に格納された第１の端末情報と一致しない場合は、前記端末装置が前記ネットワークに不正に接続されていると判定することを特徴とすることもできる。
【００２３】
前記実施形態では、管理サーバからはＩＰアドレス等から接続中であると検出した端末装置に対して所定のリクエストを送信し、接続権限を有する正規の端末装置は予め格納された監視プログラムでリクエストに対する所定のレスポンスを応答するが、なりすまし等により不正に接続された端末装置はかかる監視プログラムを備えていないためにレスポンスの応答ができず、レスポンスの有無からＩＰアドレス等が書き換えられた不正な端末であると判定することが可能になる。
【００２４】
また、接続権限を有する正規の端末装置についてのＩＰアドレスやＭＡＣアドレス等の端末の識別情報、ゲートウェイやＤＨＣＰサーバのＩＰアドレスなど端末の接続状態に関する情報を予め管理サーバに記憶させておき、端末からのレスポンスとして接続時の端末のＩＰアドレス等の識別情報やゲートウェイのＩＰアドレス等の接続状態に関する情報を合わせて受信して照合することにより、端末の状態が正常であるか否かを確認して不正な接続でないかを判定するよう構成してもよい。
【００２５】
本発明は、本発明にかかる不正接続検知システムに対応して、不正接続検知システムの各々の構成により実施される不正接続検知方法として発明を特定することもできる。
【００２６】
つまり、本発明に対応する不正接続検知方法は、接続権限を有さない端末装置のネットワークへの不正接続を検知するための不正接続検知方法であって、前記ネットワークへの接続権限を有する正規の端末装置が、前記ネットワークへの接続処理を起動するステップと、前記正規の端末装置が、前記ネットワークへの接続を確立すると、前記ネットワークへの接続が開始されたことを示す接続開始通知を前記ネットワークの管理サーバに送信するステップと、前記管理サーバが、前記ネットワークに接続された端末装置を検出する端末検出ステップと、前記管理サーバが、前記端末検出ステップで新たに前記ネットワークに接続中であると検出した端末装置について、前記接続開始通知を受信したかを確認し、前記接続開始通知を受信していない場合は、前記端末装置が前記ネットワークに不正に接続されていると判定する第１の判定ステップと、前記正規の端末装置が、前記正規の端末装置において不正操作と定義された所定のイベントを検知するステップと、前記正規の端末装置が、前記所定のイベントを検知すると、前記イベントの発生通知を前記管理サーバに送信するステップと、前記管理サーバが、前記端末検出ステップで新たに前記ネットワークに接続中であると検出した端末装置について、前記発生通知を受信した場合は、前記端末装置が前記ネットワークに不正に接続されていると判定する第２の判定ステップと、前記第１の判定ステップ又は前記第２の判定ステップで不正に接続されていると判定した端末装置について、前記端末装置又は前記端末装置の通信対象となっている端末装置に対して通信を阻害するためのパケット、若しくは前記端末装置と前記端末装置の通信対象となっている端末装置の間のセッションを切断するためのパケットを送信するステップと、を有することを特徴とする不正接続検知方法である。
【００２７】
本発明に対応する不正接続検知方法は、前記接続通知を送信するステップにおいて、前記正規の端末装置は、前記接続開始通知として前記端末装置の識別情報又は前記端末装置の前記ネットワークへの接続状態に関する情報の少なくとも一つについて、前記正規の端末装置の最新の情報を検出して前記管理サーバに送信し、前記管理サーバが、前記接続開始通知から前記新たな端末装置の識別情報又は前記新たな端末装置の前記ネットワークへの接続状態に関する情報の少なくとも一つに関する第２の端末情報を検出するステップと、前記管理サーバが、前記第２の端末情報が、前記正規の端末装置について前記端末装置の正規の識別情報又は前記端末装置の前記ネットワークへの正規の接続状態に関する情報の少なくとも一つに関する第１の端末情報を格納する端末情報格納部に格納された第１の端末情報と一致しない場合は、前記新たな端末装置が前記ネットワークに不正に接続されていると判定する第３の判定ステップと、を有していて、前記パケットを送信するステップにおいては、前記第３の判定ステップにおいて不正に接続されていると判定した端末装置について、前記端末装置又は前記端末装置の通信対象となっている端末装置に対して通信を阻害するためのパケット、若しくは前記端末装置と前記端末装置の通信対象となっている端末装置の間のセッションを切断するためのパケットを送信することを特徴とすることもできる。
【００２８】
この他にも、本発明は、本発明にかかる不正接続検知システムの他の実施形態に対応して、不正接続検知システムの各々の実施形態により実施される不正接続検知方法として発明を特定することもできる。
【発明の効果】
【００２９】
ＩＰアドレスやＭＡＣアドレスを書き換えたなりすまし等によって接続権限を有さない不正な端末装置によるネットワークへの不正接続を行われた場合、従来のＩＰアドレスやＭＡＣアドレスをキーに付与された接続権限の確認のみでは対応することができないが、本発明により監視プログラムからの応答の有無により不正を検知して対処することが可能になる。
【発明を実施するための最良の形態】
【００３０】
本発明を実施するための最良の形態について、図面を用いて以下に詳細に説明する。尚、以下では主としてＩＰアドレスの書き換えによるなりすましに対応する例について説明するが、本発明はかかる実施形態に限定されるものではない。
【００３１】
図１は、本発明にかかる不正接続検知システムの設定の一例を示す図である。図２は、本発明にかかる不正接続検知システムに用いられるネットワーク管理サーバと端末装置の構成を示すブロック図である。図３は、本発明にかかる不正接続検知システムに記録される正規の端末からの通知記録の例を示す図である。図４は、本発明にかかる不正接続検知システムにおいて、接続権限を有する正規の端末装置が接続された場合の管理サーバの動作の例を示す図である。図５は、本発明にかかる不正接続検知システムにおいて、接続権限を有しない不正な端末装置が接続された場合の管理サーバの動作の第１の例を示す図である。図６は、本発明にかかる不正接続検知システムにおいて、接続権限を有しない不正な端末装置が接続された場合の管理サーバの動作の第２の例を示す図である。図７は、本発明にかかる不正接続検知システムにおける端末の起動時の管理サーバのフローを示すフローチャートである。図８は、本発明にかかる不正接続検知システムにおける端末からの定時連絡を受ける管理サーバの第１の監視フローを示すフローチャートである。図９は、本発明にかかる不正接続検知システムにおける端末からの定時連絡を受ける管理サーバの第２の監視フローを示すフローチャートである。図１０は、本発明にかかる不正接続検知システムにおける端末側の監視プログラムの第１のフローを示すフローチャートである。図１１は、本発明にかかる不正接続検知システムにおける端末側の監視プログラムの第２のフローを示すフローチャートである。
【００３２】
図１の例では、本発明にかかる不正接続検知システムは、ルータ２０の内側のクローズドなネットワークを監視するネットワーク管理サーバ１０に備えられている。ネットワーク管理サーバ１０では、端末情報格納部１１においてネットワークへの接続権限が与えられた正規の端末装置３０、４０についてのＩＰアドレスやＭＡＣアドレス等の識別情報、ゲートウェイやＤＨＣＰサーバのＩＰアドレス等のネットワークへの接続状態に関する情報などの端末情報が格納されている。
【００３３】
尚、ネットワーク管理サーバ１０はネットワークに接続された端末装置を所定の間隔で検出し、端末情報格納部１１に格納された通常の状態との対比や、端末情報格納部１１への接続状態等の履歴情報の書き込みを行うが、かかる機能は本発明にかかる不正接続検知システムとして動作するネットワーク管理サーバ１０と物理的に同一のコンピュータが用いられてもよいし、分離された２以上のコンピュータによってこれらの機能を果すものであってもよい。特に前者の機能については、一般に用いられているネットワーク管理用のサーバを用いることが可能である。
【００３４】
また、端末情報格納部１１に情報が格納される対象となる端末装置は、通常はネットワークを利用するユーザーが操作するコンピュータが対象となる他、ルータやＤＨＣＰサーバ、Ｗｅｂサーバなど、クローズドなネットワーク内に接続されている全てのノードを含むことができる。
【００３５】
ネットワークへの接続権限が与えられた正規の端末装置３０、４０には、それぞれネットワーク内での不正接続等の監視に用いられる監視プログラム３１、４１が格納されている。監視プログラム３１、４１は、コンピュータのオペレーションシステム等に含まれる一般的なネットワーク接続用のプログラムとは別に設けられていて、正規の端末装置３０、４０にのみインストールされる。従って、なりすましのために不正に持ち込まれたネットワークへの接続権限が与えられていない端末装置５０には、監視プログラムは格納されていない。
【００３６】
従って、監視プログラム３１、４１によって、ネットワークへの接続時にネットワーク管理サーバ１０に接続開始通知の送信、ネットワークに接続している間にネットワーク管理サーバに定期的に端末装置内の情報を送信するなどの動作を実行させることにより、ネットワーク管理サーバ１０においてネットワークに接続中であると検出された端末装置については、ネットワーク管理サーバ１０がかかる通知等を受信することになる。監視プログラム３１、４１から送信される通知等は、ネットワーク管理サーバ１０からのリクエストに対して応答するものであってもよい。ネットワークに接続中でありながらもネットワーク管理サーバ１０が通知等を受信しない端末装置については、監視プログラムがインストールされていないと推測されることから、なりすまし等により不正にネットワークに接続された端末装置であると判定することができる。
【００３７】
この構成をさらに具体的に説明すると、ネットワーク管理サーバ１０と正規の端末装置３０は、図２のように構成されている。図２の例では、ネットワーク管理サーバ１０は、端末情報格納部１１を備えた１台のコンピュータで構成されている。ネットワーク管理サーバ１０の起動時には、ＲＯＭ１０３に記憶された入力制御や出力制御などのハードウェア制御のための基本的な各種プログラムを起動するとともに、ＨＤＤ１０４からコンピュータのオペレーションシステムを読み出してネットワークの監視を開始する。続いて、ＨＤＤ１０４からネットワークへの不正接続を検知するための動作を実行するためのプログラムを読み出して、ＲＡＭ１０２をワークエリアとして機能させながら、ＣＰＵ１０１が演算処理を行って、ネットワークの監視を実行する。
【００３８】
一方、正規の端末装置３０の起動時には、ＲＯＭ３０３に記憶された入力制御や出力制御などのハードウェア制御のための基本的な各種プログラムを起動するとともに、ＨＤＤ３０４からコンピュータのオペレーションシステムが読み出される。続いて、ＨＤＤ３０４からネットワークへの不正接続を検知するために格納された監視プログラム３１が読み出されて、ＲＡＭ３０２をワークエリアとして機能させながら、ＣＰＵ３０１が演算処理を行って、監視プログラム３１によって定義された接続開始通知の送信などネットワーク管理サーバ１０に対する所定の動作等を実行する。
【００３９】
例えば、監視プログラム３１において、ネットワークへの接続時に接続開始通知を送信し、その後に所定の間隔で接続通知を送信するよう設定されている場合は、接続開始時や所定の時間到来時にはＲＡＭ３０２とＣＰＵ３０１で演算処理を行って、ＮＩＣ（ネットワークインターフェイスカード）３０５から、ＬＡＮを経由してネットワーク管理サーバ１０に接続開始通知等のデータが送信される。ネットワーク管理サーバ１０ではＮＩＣ１０５でこれを受け付けて、ＲＡＭ１０２とＣＰＵ１０１で演算処理を行って受け付けたデータを解釈し、接続開始通知等の受信をＨＤＤ１０４の端末情報格納部１１に記録する。ＨＤＤに監視プログラムが格納されていない場合には、かかるネットワーク管理サーバ１０に対するデータの送信が行われないため、ネットワーク管理サーバ１０では接続開始通知の不受理等から不正なネットワークへの接続を検知することができる。
【００４０】
図３は、本発明にかかる不正接続検知システムにおいて、ネットワーク管理サーバ１０の端末情報格納部１１に記録される正規の端末毎に設けられた通知記録を記録するテーブルの一例を示している。図３の例では、ネットワークへの接続権限を有する端末装置それぞれに端末ＩＤを付与し、端末ＩＤ毎に設けられたテーブルに、当該端末装置を特定する識別情報であるＩＰアドレスとＭＡＣアドレスが記録されている。また、当該端末装置のネットワークへの接続記録と、当該端末に備えられた監視プログラムからの通知記録が記録されている。
【００４１】
このうち、端末の識別情報であるＩＰアドレスとＭＡＣアドレスについては、ネットワークに接続された端末装置の接続権限を判定するキーとして用いることができる。つまり、ネットワーク管理サーバ１０がネットワークに新たな端末装置が接続されたことを検出すると、当該端末装置のＩＰアドレス又はＭＡＣアドレスを取得して、当該アドレスが端末情報格納部１１に接続権限を有するとして記録されている正規の端末装置のＩＰアドレス又はＭＡＣアドレスと対比する。同一のＩＰアドレス又はＭＡＣアドレスが存在しない場合は、接続権限のない端末装置である可能性があるので、ネットワーク管理サーバ１０はネットワークからの切断させるための何らかの処理を実行する。
【００４２】
尚、上記のＩＰアドレス又はＭＡＣアドレスを用いた判定は、いずれか一方をキーに判定してもよいし、双方の組合せが正規の端末装置と一致することを承認の条件としてもよい。また、このようにネットワークに接続されている端末装置からＩＰアドレス又はＭＡＣアドレスを取得しての接続権限の判定については、ネットワーク管理サーバ１０とは別のコンピュータにおいて、オペレーションシステムの機能等を用いて動作させることとしてもよいし、本発明にかかる不正接続検知システムとともにネットワーク管理サーバ１０において実行することとしてもよい。
【００４３】
ネットワークへの接続記録については、図３の例では過去のログも含めて記録されているが、かかるログは必須のものではなく、本発明にかかる不正接続検知システムを動作させるためには、少なくとも端末ＩＤやＩＰアドレス等により特定される端末装置がネットワークに接続中であるか否かを判定できる情報が記録されていればよく、ネットワークに接続中であることを示すフラグ等を用いることとしてもよい。
【００４４】
監視プログラムからの通知記録については、図３の例では過去のログも含めて記録されているが、かかるログは必須のものではなく、例えば直前の通知記録に関する情報のみを記録してそこからの経過時間を測定するなど、ネットワークに接続中の間に所定の間隔で通知記録を受け付けているかどうかを確認できるよう構成されていればよい。また、図３の例では応答時の端末装置のＩＰアドレスなどの情報が併せて記録されているが、このように端末装置の識別情報や接続状態に関する情報についても記録するよう構成すれば、応答の有無を確認するだけでなく、ＩＰアドレスが書き換えられるなど端末装置に何らかの変化が生じた場合に、これを検出して不正な操作を特定することが可能になる。
【００４５】
次に、図４乃至図６を用いて、本発明にかかる不正接続検知システムにおけるネットワーク管理サーバ１０の動作について説明する。図４は、接続権限を有する正規の端末装置が接続された場合の例を、図５と図６は、接続権限を有しない不正な端末装置が接続された場合の例を示している。
【００４６】
図４において、ネットワークへの接続権限を有する正規の端末装置４０に電源が入れられると、端末装置４０のオペレーティングシステムが起動されてネットワークへの接続処理が行われる。端末装置４０にパーソナルコンピュータ等が用いられると、通常はオペレーディングシステムによりルータやゲートウェイ、ファイルサーバなどのネットワーク内のノードに関する情報が集められ、ネットワークへの接続状態を把握する。
【００４７】
一方、ネットワーク管理サーバ１０も随時ネットワークに接続されているノードを検出してＩＰアドレス等の情報を集めており、ネットワークに接続されているノードを把握している。また、ネットワーク管理サーバ１０にはネットワークへの接続権限を有する端末装置のＩＰアドレス等の識別情報が記憶されており、ネットワーク管理サーバ１０はネットワークに接続されていることを検出した端末装置のＩＰアドレス等と接続権限を有する端末装置のＩＰアドレス等を対比して、接続権限を有していない端末装置がネットワークに接続された場合に、これを検知することができる。
【００４８】
図４においては、ネットワーク管理サーバ１０は端末装置４０がネットワークに検出されたことを検出し、端末装置４０からＩＰアドレス〔１２３．４５６．７８９．１２３〕を取得する。一方、ネットワーク管理サーバ１０には、端末装置４０がネットワークへの接続権限を有する端末装置であって、ＩＰアドレスが〔１２３．４５６．７８９．１２３〕であることが記憶されており、端末装置４０から取得したＩＰアドレスと一致するため、端末装置４０が接続権限を有する端末装置であることが確認できる。
【００４９】
ネットワークへの接続権限を有する端末装置４０には、ネットワークへの不正接続を検知するために用いられる専用の監視プログラム４１が格納されている。端末装置４０の電源が入れられてオペレーティングシステムが起動すると、監視プログラム４１も起動されてネットワークへの接続開始を通知する固有の信号をネットワーク管理サーバ１０に送信する。つまり、ネットワークへの接続権限を有する正規の端末装置がネットワークに接続された場合には、ネットワーク管理サーバ１０は必ず接続開始を通知する監視プログラム固有の信号を受信することになる。図４では、ネットワークへの接続開始が９時であるとすると、監視プログラムからの最初の通知を９時に受信しているので、ネットワークに接続された端末装置は、確かにネットワークへの接続権限を有する端末装置４０であると確認することができる。
【００５０】
また、監視プログラム４１は、端末装置４０がネットワークに接続されている間は、定期的に接続が継続されていることを通知する固有の信号をネットワーク管理サーバ１０に送信する。かかる信号の送信は、ネットワーク管理サーバ側から所定の間隔で接続中の端末に監視プログラム４１によってのみ応答可能なリクエストを送信し、監視プログラム４１からのレスポンスを受け付けることとしてもよい。いずれの方法であっても、ネットワークへの接続権限を有する正規の端末装置がネットワークに接続されている間は、ネットワーク管理サーバ１０は必ず接続が継続されていることを通知する監視プログラム固有の信号を受信することになる。図４では、ネットワークへの接続が開始された９時から１時間後の１０時に正常に通知を受けたことが記録されており、ネットワークへの接続権限を有する端末装置４０が正常な状態でネットワークへの接続を継続していることが確認できる。
【００５１】
尚、上記の接続が継続されていることを示す通知には、端末装置４０の最新の状態に関する情報を含むこととして、ネットワーク管理サーバ１０に記憶された正常な状態と対比するよう構成してもよい。端末装置４０の最新の状態には、ＩＰアドレスやＭＡＣアドレス等の端末の識別情報の他に、ゲートウェイやＤＨＣＰサーバのＩＰアドレスなど端末の接続状態に関する情報を用いてもよい。これらの情報が正常な状態と一致しない場合、例えばＩＰアドレスやＭＡＣアドレスが一致しない場合はアドレスが書き換えられた可能性があり、不正な操作が行われたと判定することができる。
【００５２】
図５において、端末装置５０はネットワークへの接続権限を有しておらず、ＩＰアドレスを書き換えたなりすましによってネットワークへの接続を試みようとしている。接続権限を有する正規の端末装置４０になりすましを行うために、ＩＰアドレスは端末装置４０のＩＰアドレス〔１２３．４５６．７８９．１２３〕に書き換えられている。尚、端末装置５０はネットワークへの接続権限を有する正規の端末装置ではないので、専用の監視プログラムは格納されていない。端末装置５０に電源が入れられると、端末装置５０のオペレーティングシステムが起動されてネットワークへの接続処理が行われる。
【００５３】
ネットワーク管理サーバ１０は端末装置５０がネットワークに検出されたことを検出し、端末装置５０からＩＰアドレス〔１２３．４５６．７８９．１２３〕を取得する。一方、ネットワーク管理サーバ１０には、ネットワークへの接続権限を有する端末装置のＩＰアドレスとして〔１２３．４５６．７８９．１２３〕が記憶されており、端末装置５０から取得したＩＰアドレスと一致するため、ＩＰアドレスによる判定のみからでは、端末装置５０はネットワークへの接続権限を有する正規の端末装置であると誤認されることになってしまう。
【００５４】
一方、端末装置５０には専用の監視プログラムが備えられていないため、ネットワークへの接続が開始されたとしても、接続開始を通知する固有の信号は送出されない。従って、ネットワーク管理サーバ１０において端末装置４０はネットワークに接続中のステータスとなっているものの、接続通知の記録がなされないため、端末装置４０以外の接続権限を有していない不正な端末装置が端末装置４０になりすましてネットワークに接続されているものと判定することができる。
【００５５】
また、接続が継続されている間についても、専用の監視プログラムが備えられていないため、正規の端末装置からは定期的に送出される接続が継続されていることを通知する固有の信号も送出されない。一方、ネットワーク管理サーバ１０において端末装置４０はネットワークに接続中のステータスとなっているため、かかる通知が受信されないことからも、接続権限を有していない不正な端末装置が端末装置４０になりすましてネットワークに接続されているものと判定することができる。
【００５６】
図６は、図５のケースにおいて、端末装置５０が端末装置４０になりすますために、端末装置４０のＩＰアドレスを他のＩＰアドレスに書き換える場合を示している。端末装置４０が起動された時点では正常に接続が行われ、監視プログラム４１から接続開始通知や接続が継続している間の端末からの情報等が送出される。このような状態であれば、ネットワーク管理サーバ１０は接続が正常であると判定するが、端末装置５０によるなりすましを行うために、端末装置４０のＩＰアドレスが他の接続権限を有する端末装置３０のＩＰアドレス〔１２３．４５６．７８９．１００〕に書き換えられたとする。ここで端末装置５０がＩＰアドレス〔１２３．４５６．７８９．１２３〕になりすまして接続すると、監視プログラム４１から接続が継続している間の端末からの情報等が送出されるため、なりすましが検知されない場合がある。
【００５７】
そこで、監視プログラム４１には、ＩＰアドレスやＭＡＣアドレスの変更など、なりすましに関連する所定の動作が実行された場合には、ネットワーク管理サーバ１０に通知する処理を実行させるよう設定することが好ましい。このように設定すると、端末装置４０のＩＰアドレスが書き換えられると、監視プログラム４１がその旨を通知する固有の信号をネットワーク管理サーバ１０に送出するため、ネットワーク管理サーバ１０では端末装置４０に関連して何らかの不正操作が行われた可能性があることを検知することができる。また、監視プログラム４１は、ネットワークを使用不可にする等のアクションを端末装置４０において実行するよう設定すると、端末装置４０側からもネットワークとの遮断操作を実行できるので、尚好ましい。
【００５８】
図５や図６の例の結果、ネットワークに接続されている端末が接続権限を有していない不正な端末装置であると判定されると、ネットワーク管理サーバ１０は端末装置５０の通信を切断するための処理を実行する。具体的には、例えば端末装置５０と通信対象端末の間にＴＣＰセッションが張られている場合であれば、そのセッションに対してリセットパケット又は終了パケットを送信して、セッションを切断することができる。
【００５９】
又は、端末装置５０に対して偽装ＡＲＰリダイレクトパケットを送信して、端末装置５０の送信パケットが通信対象端末に到達することを回避してもよい。端末装置５０の通信対象端末に対して偽装ＡＲＰリダイレクトパケットを送信して、端末装置５０と通信対象端末の間の通信を阻害することとしてもよい。
【００６０】
上記のような通信の切断処理に際しては、ネットワーク管理サーバ１０は、管理者に対してメールを送信する、不正操作やそれに対する対処のログを記録するなどその他の動作を行うこととしてもよい。
【００６１】
続いて、図７乃至図１１のフローチャートを用いて、本発明にかかる不正接続検知システムのフローについて説明する。図７乃至図９はネットワーク管理サーバ側のフローであって、図７は端末装置の起動時のフローを、図８及び図９は端末装置からの定時連絡を受けるネットワーク管理サーバのフローの２通りのパターンを示している。図１０及び図１１は端末装置側の監視プログラムのフローの２通りのパターンを示している。
【００６２】
図７を用いて、端末装置が起動してネットワークに接続されたときの、ネットワーク管理サーバ側のフローについて説明する。ある端末装置が起動されてクローズドなネットワークに接続されると、ネットワーク管理サーバは新たな端末装置が接続されたことを検出し（Ｓ０１）、当該端末装置のＩＰアドレスを特定する（Ｓ０２）。ここでネットワークに接続された端末装置を検出してＩＰアドレスを特定する方法は、ネットワーク管理サーバには予めネットワークへの接続が承認された端末装置についてのＩＰアドレスが記憶されているため、これらのＩＰアドレス宛にｐｉｎｇを送信して応答を受けることとすればよいが、その他にネットワーク監視やコンピュータのオペレーションシステムで通常利用される技術を用いればよく、特に限定されるものではない。例えば、ネットワーク上のパケットを盗聴するｓｎｏｏｐｉｎｇの手段を用いて、全てのネットワーク上に流れるパケットを監視し、受信した各々のパケットについて、送信元ＩＰアドレス、送信先ＩＰアドレス、送信元ＭＡＣアドレス（同一セグメント内の場合は送信元端末のＭＡＣアドレス、セグメントが異なる場合はルータのＭＡＣアドレス等）、送信先ＭＡＣアドレス等の情報を取得することもできる。
【００６３】
新たな端末装置の接続が検出されて承認されたＩＰアドレス宛にｐｉｎｇを送信した場合、ｐｉｎｇに対する応答の有無によって当該端末装置のＩＰアドレスが予め承認されたものであるか否かを判定する（Ｓ０３）。つまり、ｐｉｎｇに応答があれば承認されたＩＰアドレスであり、応答がない場合は承認されていないＩＰアドレスの端末装置が接続されたことになる。ＩＰアドレスが承認されたものでない場合は、偽装ＡＲＰリダイレクトパケットの送信など、当該端末装置の通信を中断させるための処理を実行する（Ｓ０９）。
【００６４】
次に、新たに接続された端末装置のＭＡＣアドレスを取得する（Ｓ０４）。ＭＡＣアドレスを直接特定できない場合には、ＩＰアドレスからＡＲＰを用いて特定することとしてもよい。ネットワーク管理サーバには、予めネットワークへの接続が承認された端末装置についてのＭＡＣアドレスが記憶されており、新たに接続された端末装置から取得したＭＡＣアドレスが接続権限を有するものであるか否か、承認されたＭＡＣアドレスが記憶されたテーブルを参照して確認する（Ｓ０５）。ＭＡＣアドレスが承認されたものでない場合は、偽装ＡＲＰリダイレクトパケットの送信など、当該端末装置の通信を中断させるための処理を実行する（Ｓ０９）。
【００６５】
ネットワーク管理サーバには、予めネットワークへの接続が承認された端末装置についてのＩＰアドレスとＭＡＣアドレスの組合せを記憶されておくこともできる。この場合、新たに接続された端末装置から取得したＩＰアドレスとＭＡＣアドレスの組合せが接続権限を有するものであるか否か、承認されたＩＰアドレスとＭＡＣアドレスの組合せが記憶されたテーブルを参照して確認する（Ｓ０６）。ＩＰアドレスとＭＡＣアドレスの組合せが承認されたものでない場合は、偽装ＡＲＰリダイレクトパケットの送信など、当該端末装置の通信を中断させるための処理を実行する（Ｓ０９）。
【００６６】
尚、ここまでのフローは通常のネットワーク監視において用いられているものであるが、本発明においてはネットワークに接続中の端末装置を識別するために、これらのフローによりネットワークに接続中の端末装置がＩＰアドレス等の識別情報をキーにして特定された状態にあることを前提としている。従って、ネットワークに接続中の端末装置が特定できれば、ＩＰアドレスとＭＡＣアドレスのいずれか一方又は双方の組合せ、若しくはその他の端末装置を識別できる識別情報のいずれにより特定するものであってもよい。
【００６７】
続いて、ＩＰアドレスとＭＡＣアドレスの組合せの承認まで確認された場合は、当該端末装置から監視プログラムからの接続開始通知を受けたか否かを確認する（Ｓ０７）。監視プログラムは接続権限を有する正規の端末装置にしか格納されていないので、ＩＰアドレスやＭＡＣアドレスが偽装されたものである場合は、接続開始通知を受信することはない。従って、接続開始通知を所定の時間内に受信しない場合には、なりすましの可能性があると判定して、偽装ＡＲＰリダイレクトパケットの送信など、当該端末装置の通信を中断させるための処理を実行する（Ｓ０９）。
【００６８】
一方、接続開始通知を受信した場合は、接続権限を有する正規の端末装置であると判定して、ネットワークへの接続を許容するとともに、当該端末装置がネットワークに接続されている間に不正操作が行われないことを監視するために、端末装置に格納された監視プログラムからの定時連絡についての連絡記録を開始する（Ｓ０８）。
【００６９】
ネットワーク管理サーバにおける端末装置に格納された監視プログラムからの提示連絡の受信による不正操作の判定は、図８又は図９のように行われる。図８はネットワークに接続されている端末の特定を先に行うパターンで、まずネットワーク内に接続中の端末装置をＩＰアドレス等を取得して特定し（Ｓ１０）、各々の端末装置から所定のタイミングで定時連絡を受け付けたか否かを確認する（Ｓ１１）。
【００７０】
定時連絡は接続権限を有する正規の端末装置にのみ格納された監視プログラムを起動して送信されるので、ＩＰアドレス等からはネットワークに接続中と判定されながら所定のタイミングで定時連絡を受け付けていない場合は、ＩＰアドレス等のなりすましによる不正な接続が行われている可能性がある。従って、所定のタイミングで定時連絡を受け付けていない場合は、なりすましの可能性があると判定して、偽装ＡＲＰリダイレクトパケットの送信など、当該端末装置の通信を中断させるための処理を実行する（Ｓ１３）。
【００７１】
一方、定時連絡を受け付けている場合は、当該定時連絡に含まれる端末装置から送信されたＩＰアドレスやＭＡＣアドレス等の識別情報、ゲートウェイサーバやＤＨＣＰサーバのＩＰアドレス等のネットワークへの接続状態に関する情報などを検出し、これらの最新情報が予めネットワーク管理サーバに記憶された通常の接続情報と異なるものでないか否かを確認する（Ｓ１２）。接続情報に異常が生じている場合は、当該端末装置の接続状態に何らかの不正操作が行われている可能性があると判定して、偽装ＡＲＰリダイレクトパケットの送信など、当該端末装置の通信を中断させるための処理を実行する（Ｓ１３）。接続情報に異常がない場合は、監視を継続する。
【００７２】
図９は、定時連絡の確認を先に行うパターンである。ネットワーク管理サーバはネットワークに接続中の端末装置から所定のタイミングで送信される定時連絡の受け付けるよう待機し（Ｓ１４）、所定のタイミングになると定時連絡を受けたか否かを確認する（Ｓ１５）。尚、このように所定のタイミングで定時連絡を受けるためには、接続権限を有する正規の端末装置にのみ格納された監視プログラムに定時連絡を実行するプログラムを含ませることとしてもよいし、ネットワーク管理サーバから所定のタイミングで監視プログラムのみで応答可能なリクエストを送信し、監視プログラムからのレスポンスとして定時連絡を受け付けることとしてもよい。
【００７３】
定時連絡を受けた場合には、当該定時連絡に含まれる端末装置から送信されたＩＰアドレスやＭＡＣアドレス等の識別情報、ゲートウェイサーバやＤＨＣＰサーバのＩＰアドレス等のネットワークへの接続状態に関する情報などを検出し、これらの最新情報が予めネットワーク管理サーバに記憶された通常の接続情報と異なるものでないか否かを確認する（Ｓ１６）。接続情報に異常が生じている場合は、当該端末装置の接続状態に何らかの不正操作が行われている可能性があると判定して、偽装ＡＲＰリダイレクトパケットの送信など、当該端末装置の通信を中断させるための処理を実行する（Ｓ１８）。接続情報に異常がない場合は、監視を継続する。
【００７４】
一方、定時連絡を受けなかった場合は、当該端末装置がネットワークに接続中であるか否かを確認する（Ｓ１７）。接続中か否かの確認は、他のネットワーク監視システムで管理するデータを参照することとしてもよいし、ｐｉｎｇの送信等により確認することとしてもよい。端末装置が接続されていない場合は、当該端末装置の電源がオフになるなど既に操作が終了していると判定できるので、監視を中止する。端末装置が接続されている場合は、接続中であるにもかかわらず定時連絡が行われないのは、監視プログラムを備えていない不正な端末装置が接続されている可能性があるため、なりすましの可能性があると判定して、偽装ＡＲＰリダイレクトパケットの送信など、当該端末装置の通信を中断させるための処理を実行する（Ｓ１８）。
【００７５】
図１０のフローチャートを用いて、端末装置側の監視プログラムで、ネットワーク管理サーバに対してネットワークへの接続開始時に接続開始通知を送信し、その後に所定のイベントが発生した場合にも通知を送信するフローについて説明する。まず、端末装置を起動してネットワークへの接続処理が実行されると（Ｓ２１）、ネットワークへの接続権限を有する正規の端末装置にのみ格納された監視プログラムを起動して（Ｓ２２）、ネットワーク管理サーバに所定の接続開始通知を送信する（Ｓ２３）。当該接続開始通知はネットワークへの接続権限を有する正規の端末装置にのみ格納された監視プログラムにより生成され、固有のデータ形式の採用、非公開のヘッダーの付与などにより、当該監視プログラムを備えていないと生成できないデータとして送信される。接続開始通知を受信したネットワーク管理サーバは、先に説明したフローにより、当該端末装置の接続の可否についての判定を行う。
【００７６】
ネットワーク管理サーバにおいてネットワークへの接続が許容されると、ＩＰアドレスの変更など、なりすまし等の不正操作の可能性がある所定の操作が実行されることを監視する（Ｓ２４、Ｓ２５）。所定の操作が実行されない場合はそのまま監視が継続されるが、所定の操作の実行を検出した場合は、当該端末装置において異常が発生したことの通知をネットワーク管理サーバに送信する（Ｓ２６）。通知を受けたネットワーク管理サーバは、不正操作の可能性があるとして、当該端末装置のネットワークへの接続を切断する処理等を実行する。尚、所定の操作の実行を検出した場合には、端末装置上においてネットワークを使用不可にする等のアクションを実行することとしてもよい。
【００７７】
図１１のフローチャートを用いて、端末装置側の監視プログラムで、ネットワーク管理サーバに対してネットワークへ接続中に定時連絡を送信するフローについて説明する。まず、端末装置を起動してネットワークへの接続処理が実行されると（Ｓ３１）、ネットワークへの接続権限を有する正規の端末装置にのみ格納された監視プログラムを起動して（Ｓ３２）、ネットワーク管理サーバに所定の接続開始通知を送信する（Ｓ３３）。当該接続開始通知はネットワークへの接続権限を有する正規の端末装置にのみ格納された監視プログラムにより生成され、固有のデータ形式の採用、非公開のヘッダーの付与などにより、当該監視プログラムを備えていないと生成できないデータとして送信される。接続開始通知を受信したネットワーク管理サーバは、先に説明したフローにより、当該端末装置の接続の可否についての判定を行う。
【００７８】
当該端末装置では接続開始通知の送信から定時までの所定の時間の経過をカウントし、定時になると当該端末装置の最新のＩＰアドレス等の接続情報を取得する（Ｓ３４）。当該接続情報は定時連絡として所定のタイミングでネットワーク管理サーバに送信されるが（Ｓ３５）、当該定時連絡はネットワークへの接続権限を有する正規の端末装置にのみ格納された監視プログラムにより生成され、固有のデータ形式の採用、非公開のヘッダーの付与などにより、当該監視プログラムを備えていないと生成できないデータとして送信される。定時連絡を受信したネットワーク管理サーバは、先に説明したフローにより、当該端末装置の接続継続の可否についての判定を行う。
【００７９】
当該定時連絡の送信により、ネットワーク管理サーバが当該端末装置の接続継続を不可と判定すると、当該端末装置のネットワークへの切断が切断される。ネットワークへの切断が実行された場合には（Ｓ３６）、当該端末装置の監視プログラムも停止する（Ｓ３７）。一方、ネットワーク管理サーバが当該端末装置の接続継続を可と判定すると、ネットワークへの切断は実行されずに（Ｓ３６）、定時連絡のための待機が継続される。
【図面の簡単な説明】
【００８０】
【図１】本発明にかかる不正接続検知システムの設定の一例を示す図である。
【図２】本発明にかかる不正接続検知システムに用いられるネットワーク管理サーバと端末装置の構成を示すブロック図である。
【図３】本発明にかかる不正接続検知システムに記録される正規の端末からの通知記録の例を示す図である。
【図４】本発明にかかる不正接続検知システムにおいて、接続権限を有する正規の端末装置が接続された場合の管理サーバの動作の例を示す図である。
【図５】本発明にかかる不正接続検知システムにおいて、接続権限を有しない不正な端末装置が接続された場合の管理サーバの動作の第１の例を示す図である。
【図６】本発明にかかる不正接続検知システムにおいて、接続権限を有しない不正な端末装置が接続された場合の管理サーバの動作の第２の例を示す図である。
【図７】本発明にかかる不正接続検知システムにおける端末の起動時の管理サーバのフローを示すフローチャートである。
【図８】本発明にかかる不正接続検知システムにおける端末からの定時連絡を受ける管理サーバの第１の監視フローを示すフローチャートである。
【図９】本発明にかかる不正接続検知システムにおける端末からの定時連絡を受ける管理サーバの第２の監視フローを示すフローチャートである。
【図１０】本発明にかかる不正接続検知システムにおける端末側の監視プログラムの第１のフローを示すフローチャートである。
【図１１】本発明にかかる不正接続検知システムにおける端末側の監視プログラムの第２のフローを示すフローチャートである。
【符号の説明】
【００８１】
１０ ネットワーク管理サーバ
１１ 端末情報格納部
２０ ルータ
３０ 端末装置
３１ 監視プログラム
４０ 端末装置
４１ 監視プログラム
５０ 端末装置
【特許請求の範囲】
【請求項１】
接続権限を有さない端末装置のネットワークへの不正接続を検知するための不正接続検知システムであって、
前記ネットワークへの接続権限を有する正規の端末装置には、前記端末装置がネットワークに接続されると、ネットワークへの接続が開始されたことを示す接続開始通知を前記不正接続検知システムに送信するとともに、不正操作と定義された所定のイベントを検知すると前記イベントの発生通知を前記不正接続検知システムに送信する監視プログラムが格納されていて、
前記ネットワークに接続されている端末装置を検出する接続端末検出手段と、
前記正規の端末装置に格納された監視プログラムから送信された接続開始通知を受信する接続開始通知受信手段と、
前記正規の端末装置に格納された監視プログラムから送信された前記イベントの発生通知を受信する発生通知受信手段と、
前記接続端末検出手段が新たに前記ネットワークに接続中であると検出した端末装置について、前記接続開始通知受信手段が前記端末装置からの接続開始通知を受信したかを確認し、前記接続開始通知を受信していない場合は、前記端末装置が前記ネットワークに不正に接続されていると判定する第１の不正接続判定手段と、
前記接続端末検出手段が前記ネットワークに接続中であると検出した端末装置について、前記発生通知受信手段が発生通知を受信した場合は、前記端末装置が前記ネットワークに不正に接続されていると判定する第２の不正接続判定手段と、
前記第１の不正接続判定手段又は前記第２の不正接続判定手段が不正に接続されていると判定した端末装置について、前記端末装置又は前記端末装置の通信対象となっている端末装置に対して通信を阻害するためのパケット、若しくは前記端末装置と前記端末装置の通信対象となっている端末装置の間のセッションを切断するためのパケットを送信するパケット送信手段と、
を備えることを特徴とする不正接続検知システム。
【請求項２】
前記正規の端末装置について、前記端末装置の正規の識別情報又は前記端末装置の前記ネットワークへの正規の接続状態に関する情報の少なくとも一つに関する第１の端末情報を格納する端末情報格納手段と、
前記接続開始通知受信手段が受信した接続開始通知から、前記端末装置の識別情報又は前記端末装置の前記ネットワークへの接続状態に関する情報の少なくとも一つに関する第２の端末情報を検出する端末情報検出手段と、を備えていて、
前記監視プログラムは、前記接続開始通知として前記端末装置の識別情報又は前記端末装置の前記ネットワークへの接続状態に関する情報の少なくとも一つについて、前記端末装置の最新の情報を検出して前記不正接続検知システムに送信し、
前記第１の不正接続判定手段は、前記端末情報検出手段が検出した第２の端末情報が、前記端末装置に関する前記端末情報格納手段に格納された第１の端末情報と一致しない場合は、前記端末装置が前記ネットワークに不正に接続されていると判定すること
を特徴とする請求項１記載の不正接続検知システム。
【請求項３】
接続権限を有さない端末装置のネットワークへの不正接続を検知するための不正接続検知方法であって、
前記ネットワークへの接続権限を有する正規の端末装置が、前記ネットワークへの接続処理を起動するステップと、
前記正規の端末装置が、前記ネットワークへの接続を確立すると、前記ネットワークへの接続が開始されたことを示す接続開始通知を前記ネットワークの管理サーバに送信するステップと、
前記管理サーバが、前記ネットワークに接続された端末装置を検出する端末検出ステップと、
前記管理サーバが、前記端末検出ステップで新たに前記ネットワークに接続中であると検出した端末装置について、前記接続開始通知を受信したかを確認し、前記接続開始通知を受信していない場合は、前記端末装置が前記ネットワークに不正に接続されていると判定する第１の判定ステップと、
前記正規の端末装置が、前記正規の端末装置において不正操作と定義された所定のイベントを検知するステップと、
前記正規の端末装置が、前記所定のイベントを検知すると、前記イベントの発生通知を前記管理サーバに送信するステップと、
前記管理サーバが、前記端末検出ステップで新たに前記ネットワークに接続中であると検出した端末装置について、前記発生通知を受信した場合は、前記端末装置が前記ネットワークに不正に接続されていると判定する第２の判定ステップと、
前記第１の判定ステップ又は前記第２の判定ステップで不正に接続されていると判定した端末装置について、前記端末装置又は前記端末装置の通信対象となっている端末装置に対して通信を阻害するためのパケット、若しくは前記端末装置と前記端末装置の通信対象となっている端末装置の間のセッションを切断するためのパケットを送信するステップと、
を有することを特徴とする不正接続検知方法。
【請求項４】
前記接続通知を送信するステップにおいて、前記正規の端末装置は、前記接続開始通知として前記端末装置の識別情報又は前記端末装置の前記ネットワークへの接続状態に関する情報の少なくとも一つについて、前記正規の端末装置の最新の情報を検出して前記管理サーバに送信し、
前記管理サーバが、前記接続開始通知から前記新たな端末装置の識別情報又は前記新たな端末装置の前記ネットワークへの接続状態に関する情報の少なくとも一つに関する第２の端末情報を検出するステップと、
前記管理サーバが、前記第２の端末情報が、前記正規の端末装置について前記端末装置の正規の識別情報又は前記端末装置の前記ネットワークへの正規の接続状態に関する情報の少なくとも一つに関する第１の端末情報を格納する端末情報格納部に格納された第１の端末情報と一致しない場合は、前記新たな端末装置が前記ネットワークに不正に接続されていると判定する第３の判定ステップと、を有していて、
前記パケットを送信するステップにおいては、前記第３の判定ステップにおいて不正に接続されていると判定した端末装置について、前記端末装置又は前記端末装置の通信対象となっている端末装置に対して通信を阻害するためのパケット、若しくは前記端末装置と前記端末装置の通信対象となっている端末装置の間のセッションを切断するためのパケットを送信すること
を特徴とする請求項３記載の不正接続検知方法。
【請求項１】
接続権限を有さない端末装置のネットワークへの不正接続を検知するための不正接続検知システムであって、
前記ネットワークへの接続権限を有する正規の端末装置には、前記端末装置がネットワークに接続されると、ネットワークへの接続が開始されたことを示す接続開始通知を前記不正接続検知システムに送信するとともに、不正操作と定義された所定のイベントを検知すると前記イベントの発生通知を前記不正接続検知システムに送信する監視プログラムが格納されていて、
前記ネットワークに接続されている端末装置を検出する接続端末検出手段と、
前記正規の端末装置に格納された監視プログラムから送信された接続開始通知を受信する接続開始通知受信手段と、
前記正規の端末装置に格納された監視プログラムから送信された前記イベントの発生通知を受信する発生通知受信手段と、
前記接続端末検出手段が新たに前記ネットワークに接続中であると検出した端末装置について、前記接続開始通知受信手段が前記端末装置からの接続開始通知を受信したかを確認し、前記接続開始通知を受信していない場合は、前記端末装置が前記ネットワークに不正に接続されていると判定する第１の不正接続判定手段と、
前記接続端末検出手段が前記ネットワークに接続中であると検出した端末装置について、前記発生通知受信手段が発生通知を受信した場合は、前記端末装置が前記ネットワークに不正に接続されていると判定する第２の不正接続判定手段と、
前記第１の不正接続判定手段又は前記第２の不正接続判定手段が不正に接続されていると判定した端末装置について、前記端末装置又は前記端末装置の通信対象となっている端末装置に対して通信を阻害するためのパケット、若しくは前記端末装置と前記端末装置の通信対象となっている端末装置の間のセッションを切断するためのパケットを送信するパケット送信手段と、
を備えることを特徴とする不正接続検知システム。
【請求項２】
前記正規の端末装置について、前記端末装置の正規の識別情報又は前記端末装置の前記ネットワークへの正規の接続状態に関する情報の少なくとも一つに関する第１の端末情報を格納する端末情報格納手段と、
前記接続開始通知受信手段が受信した接続開始通知から、前記端末装置の識別情報又は前記端末装置の前記ネットワークへの接続状態に関する情報の少なくとも一つに関する第２の端末情報を検出する端末情報検出手段と、を備えていて、
前記監視プログラムは、前記接続開始通知として前記端末装置の識別情報又は前記端末装置の前記ネットワークへの接続状態に関する情報の少なくとも一つについて、前記端末装置の最新の情報を検出して前記不正接続検知システムに送信し、
前記第１の不正接続判定手段は、前記端末情報検出手段が検出した第２の端末情報が、前記端末装置に関する前記端末情報格納手段に格納された第１の端末情報と一致しない場合は、前記端末装置が前記ネットワークに不正に接続されていると判定すること
を特徴とする請求項１記載の不正接続検知システム。
【請求項３】
接続権限を有さない端末装置のネットワークへの不正接続を検知するための不正接続検知方法であって、
前記ネットワークへの接続権限を有する正規の端末装置が、前記ネットワークへの接続処理を起動するステップと、
前記正規の端末装置が、前記ネットワークへの接続を確立すると、前記ネットワークへの接続が開始されたことを示す接続開始通知を前記ネットワークの管理サーバに送信するステップと、
前記管理サーバが、前記ネットワークに接続された端末装置を検出する端末検出ステップと、
前記管理サーバが、前記端末検出ステップで新たに前記ネットワークに接続中であると検出した端末装置について、前記接続開始通知を受信したかを確認し、前記接続開始通知を受信していない場合は、前記端末装置が前記ネットワークに不正に接続されていると判定する第１の判定ステップと、
前記正規の端末装置が、前記正規の端末装置において不正操作と定義された所定のイベントを検知するステップと、
前記正規の端末装置が、前記所定のイベントを検知すると、前記イベントの発生通知を前記管理サーバに送信するステップと、
前記管理サーバが、前記端末検出ステップで新たに前記ネットワークに接続中であると検出した端末装置について、前記発生通知を受信した場合は、前記端末装置が前記ネットワークに不正に接続されていると判定する第２の判定ステップと、
前記第１の判定ステップ又は前記第２の判定ステップで不正に接続されていると判定した端末装置について、前記端末装置又は前記端末装置の通信対象となっている端末装置に対して通信を阻害するためのパケット、若しくは前記端末装置と前記端末装置の通信対象となっている端末装置の間のセッションを切断するためのパケットを送信するステップと、
を有することを特徴とする不正接続検知方法。
【請求項４】
前記接続通知を送信するステップにおいて、前記正規の端末装置は、前記接続開始通知として前記端末装置の識別情報又は前記端末装置の前記ネットワークへの接続状態に関する情報の少なくとも一つについて、前記正規の端末装置の最新の情報を検出して前記管理サーバに送信し、
前記管理サーバが、前記接続開始通知から前記新たな端末装置の識別情報又は前記新たな端末装置の前記ネットワークへの接続状態に関する情報の少なくとも一つに関する第２の端末情報を検出するステップと、
前記管理サーバが、前記第２の端末情報が、前記正規の端末装置について前記端末装置の正規の識別情報又は前記端末装置の前記ネットワークへの正規の接続状態に関する情報の少なくとも一つに関する第１の端末情報を格納する端末情報格納部に格納された第１の端末情報と一致しない場合は、前記新たな端末装置が前記ネットワークに不正に接続されていると判定する第３の判定ステップと、を有していて、
前記パケットを送信するステップにおいては、前記第３の判定ステップにおいて不正に接続されていると判定した端末装置について、前記端末装置又は前記端末装置の通信対象となっている端末装置に対して通信を阻害するためのパケット、若しくは前記端末装置と前記端末装置の通信対象となっている端末装置の間のセッションを切断するためのパケットを送信すること
を特徴とする請求項３記載の不正接続検知方法。
【図１】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【図１０】
【図１１】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【図１０】
【図１１】
【公開番号】特開２００６−１９００５７（Ｐ２００６−１９００５７Ａ）
【公開日】平成１８年７月２０日（２００６．７．２０）
【国際特許分類】
【出願番号】特願２００５−１１０４（Ｐ２００５−１１０４）
【出願日】平成１７年１月６日（２００５．１．６）
【分割の表示】特願２００５−５１８１０６（Ｐ２００５−５１８１０６）の分割
【原出願日】平成１６年７月９日（２００４．７．９）
【出願人】（３９７０６７８５３）株式会社インテリジェントウェイブ (20)
【Ｆターム（参考）】
【公開日】平成１８年７月２０日（２００６．７．２０）
【国際特許分類】
【出願日】平成１７年１月６日（２００５．１．６）
【分割の表示】特願２００５−５１８１０６（Ｐ２００５−５１８１０６）の分割
【原出願日】平成１６年７月９日（２００４．７．９）
【出願人】（３９７０６７８５３）株式会社インテリジェントウェイブ (20)
【Ｆターム（参考）】
[ Back to top ]