認証サーバ
【課題】認証サーバにてユーザの状態をトレースする。
【解決手段】ＲＡＤＩＵＳサーバ（認証サーバ）３１内に、ユーザトレース機能を有するトレース情報管理部３６を設け、ユーザ毎にユーザ端末のＩＰアドレスとＭＡＣアドレス、ユーザ端末が繋がっているパケット中継装置のＩＰアドレスとポート番号、ログイン時間、ログアウト時間をトレース情報管理ＤＢ６０に格納する。これらの情報は、認証サーバ３１が認証とアカウンティングのためにユーザ属性管理ＤＢ５０に保持しているユーザ毎の属性、及びパケット中継装置のＡＲＰテーブルと認証ログから取得する。これらの情報を照合することによって、各ユーザが任意の時刻にどこに存在し、どの端末でアクセスしているかをトレースすることができる。
【解決手段】ＲＡＤＩＵＳサーバ（認証サーバ）３１内に、ユーザトレース機能を有するトレース情報管理部３６を設け、ユーザ毎にユーザ端末のＩＰアドレスとＭＡＣアドレス、ユーザ端末が繋がっているパケット中継装置のＩＰアドレスとポート番号、ログイン時間、ログアウト時間をトレース情報管理ＤＢ６０に格納する。これらの情報は、認証サーバ３１が認証とアカウンティングのためにユーザ属性管理ＤＢ５０に保持しているユーザ毎の属性、及びパケット中継装置のＡＲＰテーブルと認証ログから取得する。これらの情報を照合することによって、各ユーザが任意の時刻にどこに存在し、どの端末でアクセスしているかをトレースすることができる。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、認証サーバに係り、特に、管理しているユーザ端末（サプリカント）の属性をもとにユーザの位置をトレースする認証サーバに関する。
【背景技術】
【０００２】
ユーザ端末がＬＡＮ（Ｌｏｃａｌ Ａｒｅａ Ｎｅｔｗｏｒｋ）へ接続する際に、ＩＥＥＥ ８０２．１Ｘ認証（以下、８０２．１Ｘ認証）を用いてユーザを認証し、ネットワーク利用の可否を制御する形式が広く利用されている。
８０２．１Ｘ認証を使ったユーザ認証方式は、サプリカントを呼ばれる認証クライアントソフトウェアを搭載したユーザ端末、ＮＡＳ（Ｎｅｔｗｏｒｋ Ａｃｃｅｓｓ Ｓｅｒｖｅｒ）として機能するパケット中継装置、そして認証サーバで構成される。認証サーバには、ＲＡＤＩＵＳ（Ｒｅｍｏｔｅ Ａｕｔｈｅｎｔｉｃａｔｉｏｎ Ｄｉａｌ Ｉｎ Ｕｓｅｒ Ｓｅｒｖｉｃｅ）サーバとＴＡＣＡＣＳ（Ｔｅｒｍｉｎａｌ Ａｃｃｅｓｓ Ｃｏｎｔｒｏｌｌｅｒ Ａｃｃｅｓｓ Ｃｏｎｔｒｏｌ Ｓｙｓｔｅｍ）サーバとが一般に利用されているが、以降、記述の簡略化のためＲＡＤＩＵＳサーバの場合のみを記す。
【０００３】
ユーザのＬＡＮ利用の可否を認証する手続きは、ユーザ端末が、パケット中継装置に対してＥＡＰ（Ｅｘｔｅｎｄｅｄ Ａｕｔｈｅｎｔｉｃａｔｉｏｎ Ｐｒｏｔｏｃｏｌ）開始パケットを発行することで始まる。ＥＡＰ開始パケットを受信したパケット中継装置は、ＥＡＰリクエストパケットをユーザ端末に対して送信し、それに対してユーザ端末はＥＡＰレスポンスパケットを返信する。ＥＡＰレスポンスパケットを受信したパケット中継装置は、ＥＡＰレスポンスパケットをＲＡＤＩＵＳリクエストパケットへ載せ、ＲＡＤＩＵＳサーバへ送信する。ＲＡＤＩＵＳサーバがＲＡＤＩＵＳリクエストパケットを受信すると、ユーザ端末とＲＡＤＩＵＳサーバとの間で認証処理がスタートする。認証処理の方式は複数方式が存在し、ＩＤとパスワードで認証するＥＡＰ−ＭＤ５（Ｍｅｓｓａｇｅ Ｄｉｇｅｓｔ ５）や、電子証明書を用いて認証するＥＡＰ−ＴＬＳ（Ｔｒａｎｓｐｏｒｔ Ｌａｙｅｒ Ｓｅｃｕｒｉｔｙ）などがある。
【０００４】
認証が成立すると、ＲＡＤＩＵＳサーバは、認証結果をＥＡＰ成功パケットに記し、更にそれをＲＡＤＩＵＳアクセプトパケットへ載せ、パケット中継装置へ送信する。一方、認証に失敗すると、ＲＡＤＩＵＳサーバは、認証結果をＥＡＰ失敗パケットに記し、更にそれをＲＡＤＩＵＳリジェクトパケットへ載せ、パケット中継装置へ送信する。パケット中継装置は、ＲＡＤＩＵＳアクセプトパケットを受信すると、ユーザ端末が接続するポートからの社内ＬＡＮアクセスを許可する。また、受信したＲＡＤＩＵＳアクセプトパケットからＲＡＤＩＵＳヘッダを取り除き、ＥＡＰ成功パケットのみをユーザ端末へ転送し、ユーザ端末に認証成功の旨を通知する。これによりユーザ端末は、社内ＬＡＮへのアクセス要求が認可されたことを認識する。一方、パケット中継装置がＲＡＤＩＵＳリジェクトパケットを受信すると、ユーザ端末が接続するポートからの社内ＬＡＮアクセスを不許可とする。また、受信したＲＡＤＩＵＳリジェクトパケットからＲＡＤＩＵＳヘッダを取り除き、ＥＡＰ失敗パケットのみをユーザ端末へ転送し、ユーザ端末に認証失敗の旨を通知する。これによりユーザ端末は、社内ＬＡＮへのアクセス要求が拒絶されたことを認識する。
【０００５】
このときＲＡＤＩＵＳサーバでは、認証とアカウンティングのため、各ユーザのユーザ名やパスワード、ユーザ端末が繋がるパケット中継装置のポート番号などをユーザ属性と言う形式で一元管理している。これらの情報は、ＲＡＤＩＵＳサーバがパケット中継装置からＲＡＤＩＵＳリクエストパケットを受信する際に取得可能である。
ユーザ名やユーザ端末のＭＡＣアドレスやＩＰアドレスを組み合わせて管理する方式について述べた公知文献としては、例えば特許文献１及び特許文献２がある。
【先行技術文献】
【特許文献】
【０００６】
【特許文献１】特開２００４−２４２１４２号公報
【特許文献２】特開２００３−３４８１１４号公報
【発明の概要】
【発明が解決しようとする課題】
【０００７】
認証サーバを利用してユーザを認証するのは、成りすましをした不正ユーザや不正端末からのネットワーク利用を排除するためである。しかしながら、現在認証サーバで管理しているユーザ属性は、ログイン時の認証とアカウンティングのためにしか利用されて来なかった。ユーザが任意の時刻にどこに存在し、どの端末を利用してネットワークにアクセスしているのか、といった情報を継続的に確認する機能はなかった。また、ユーザ端末がどのＩＰアドレスを割り当てられているのかも時系列に管理されていなかった。そのため、仮にある特定の時刻に、あるＩＰアドレスを送信元アドレスとしたユーザ端末が不正アクセスをしていて、それ認識したとしても、そのユーザを特定することはできなかった。
【０００８】
本発明は、以上の点に鑑み、認証サーバがユーザ端末の持つＩＰアドレスと、ユーザのログアウト時間情報等を取得し、ユーザ毎に、ユーザ端末のＩＰアドレスとＭＡＣアドレス、ユーザ端末が繋がっているパケット中継装置のＩＰアドレスとポート番号、ログイン時間情報、ログアウト時間情報のログを取ることを目的とする。そして、本発明は、これらのログ情報（以下、トレース情報管理ＤＢ又はトレース情報と呼ぶ）を、ユーザ毎にログイン時間、ログアウト時間に従ってソートすることにより、ユーザ端末が最初にどのパケット中継装置を介してログインし、その後ログアウトしてどのパケット中継装置を介して再びログインしたなどのユーザの行動をトレースすることを目的のひとつとする。また、本発明は、このトレース情報管理ＤＢを使うことによって、例えば、ユーザＩＤが同一にも関わらずＭＡＣアドレスが頻繁に異なっているユーザがいた場合、不正端末によるアクセスや、成りすましを警告することを目的のひとつとする。他にも、本発明は、任意の時刻に、ある特定のＩＰアドレスを利用したユーザが不正にネットワークを利用していることを検知した場合、時刻とＩＰアドレスからそのユーザを特定することを目的のひとつとする。
【課題を解決するための手段】
【０００９】
上記課題を解決するため、認証サーバ内にトレース情報管理部を設け、トレース情報管理部内にはＡＲＰ（Ａｄｄｒｅｓｓ Ｒｅｓｏｌｕｔｉｏｎ Ｐｒｏｔｏｃｏｌ）テーブル取得部、認証ログ取得部を設ける。ＡＲＰテーブル取得部は、パケット中継装置内にあるＡＲＰテーブルを取得し、格納する。そして、トレース情報管理部からの要求に従い、ＭＡＣアドレス情報を基に、ＩＰアドレス情報を提供する。認証ログ取得部は、パケット中継装置内にある認証ログ情報を取得し、認証ログＤＢに格納する。そして、トレース情報管理部からの要求に従い、ユーザＩＤ情報を基にログアウト時間情報を提供する。
【００１０】
トレース情報管理部によるトレース情報管理ＤＢを生成する処理について説明する。まず、トレース情報管理部は、認証サーバの既存認証ログ情報（ユーザ属性）から、認証したユーザのＩＤ情報、認証したユーザが使っている端末のＭＡＣアドレス、端末が繋がっているパケット中継装置のＩＰアドレスとポート番号、ログイン時間情報を取り出す。
次に、ＡＲＰテーブル管理部を通して、既ユーザＩＤ情報に対応したＭＡＣアドレス（該ユーザが使用している端末のＭＡＣアドレス）を基に該当するＩＰアドレスを検索し、取得する。
【００１１】
次に、認証ログ取得部を通して、既ユーザＩＤ情報に対応した認証ログアウト時間情報を取得する。
次に、それらの情報をユーザ単位にトレース情報管理ＤＢに格納する。つまり、トレース情報管理ＤＢには、ユーザ毎に、そのユーザが使用している端末のＩＰアドレスとＭＡＣアドレス、端末が繋がっているパケット中継装置のＩＰアドレスとポート番号、ログイン時間、ログアウト時間情報が記録されているため、各ユーザが任意の時刻にどこに存在し、どの端末でアクセスしているかをトレースすることができる。
【００１２】
認証サーバは、例えば、パケット処理部と回線インタフェースとで構成される認証サーバであって、
パケット処理部は、ユーザ属性制御部とトレース情報管理部とを有し、
ユーザ属性制御部はユーザ属性管理ＤＢ、トレース情報管理部はトレース情報管理ＤＢを有することを特徴とし、
トレース情報管理部にて、ユーザ毎にユーザ端末のＩＰアドレス、ＭＡＣアドレス、ユーザ端末が接続しているパケット中継装置のＩＰアドレス、ポート番号、ユーザのログイン時間、ログアウト時間を記録する。
【００１３】
また、上述のＲＡＤＩＵＳサーバは、例えば、
トレース情報管理部内にＭＡＣ−ＩＰテーブル取得部とＭＡＣ−ＩＰテーブル、認証ログ取得部と認証ログを有することを特徴とし、
ＤＨＣＰサーバからＭＡＣ−ＩＰテーブルを取得すると、ユーザ属性管理ＤＢにて保持しているログイン済みユーザ端末のＭＡＣアドレスを検索キーとしてＭＡＣ−ＩＰテーブルを検索し、検索することによって該当ユーザ端末に対応するＩＰアドレスを取得し、トレース情報管理ＤＢへそのＩＰアドレスを追加登録することを特徴とし、
パケット中継装置から認証ログを定期的に取得すると、ユーザ属性管理ＤＢにて保持しているログイン済みユーザのユーザ名、及びユーザ端末のＭＡＣアドレスを検索キーとして認証ログを検索し、検索することによって該当ユーザのログアウト情報を取得し、トレース情報管理ＤＢへその時刻を追加登録する。
【００１４】
本発明の第１の解決手段によると、
接続されるユーザ端末のＭＡＣアドレスと該ユーザ端末のＩＰアドレスが対応して記憶されたアドレス解決テーブルを有し、前記ユーザ端末との認証又は通信についてのログを管理するひとつ又は複数のパケット中継装置と、該パケット中継装置を介して前記ユーザ端末と通信してユーザ認証を行う認証サーバとを備えたシステムにおける前記認証サーバであって、
ユーザ識別子に対応して、前記ユーザ端末のＭＡＣアドレスと、前記ユーザ端末のＩＰアドレスと、前記パケット中継装置のＩＰアドレスと、前記ユーザ端末が繋がる前記パケット中継装置のポートのポート識別子と、前記ユーザ端末のログイン時刻又はログアウト時刻とが記憶されるトレース情報記憶部と、
前記ユーザ端末とのユーザ認証において受信される情報から、少なくともユーザ識別子と、前記ユーザ端末のＭＡＣアドレスと、前記パケット中継装置のＩＰアドレスと、前記ユーザ端末が接続される前記パケット中継装置のポートのポート識別子とを取得し、取得した各情報を対応して前記トレース情報記憶部に記憶する認証制御部と、
前記ユーザ端末が接続された前記パケット中継装置の前記アドレス解決テーブルを参照して、前記認証制御部で取得された前記ユーザ端末のＭＡＣアドレスに基づき、対応する前記ユーザ端末のＩＰアドレスを取得し、取得した前記ユーザ端末のＩＰアドレスをユーザ識別子に対応して前記トレース情報記憶部に記憶するアドレス解決部と、
前記パケット中継装置での前記ログを参照して前記ユーザ端末のログアウト時刻を求め、求められたログアウト時刻をユーザ識別子に対応して前記トレース情報記憶部に記憶するログ管理部と
を備えた前記認証サーバが提供される。
【００１５】
本発明の第２の解決手段によると、
ユーザ端末のＭＡＣアドレスと該ユーザ端末のＩＰアドレスが対応して記憶されたアドレス対応テーブルを有するアドレス管理装置と、前記ユーザ端末との認証又は通信についてのログを管理するひとつ又は複数のパケット中継装置と、該パケット中継装置を介して前記ユーザ端末と通信してユーザ認証を行う認証サーバとを備えたシステムにおける前記認証サーバであって、
ユーザ識別子に対応して、前記ユーザ端末のＭＡＣアドレスと、前記ユーザ端末のＩＰアドレスと、前記パケット中継装置のＩＰアドレスと、前記ユーザ端末が繋がる前記パケット中継装置のポートのポート識別子と、前記ユーザ端末のログイン時刻又はログアウト時刻とが記憶されるトレース情報記憶部と、
前記ユーザ端末とのユーザ認証において受信される情報から、少なくともユーザ識別子と、前記ユーザ端末のＭＡＣアドレスと、前記パケット中継装置のＩＰアドレスと、前記ユーザ端末が接続される前記パケット中継装置のポートのポート識別子とを取得し、取得した各情報を対応して前記トレース情報記憶部に記憶する認証制御部と、
前記アドレス管理装置の前記アドレス対応テーブルを参照して、前記認証制御部で取得された前記ユーザ端末のＭＡＣアドレスに基づき、対応する前記ユーザ端末のＩＰアドレスを取得し、取得した前記ユーザ端末のＩＰアドレスをユーザ識別子に対応して前記トレース情報記憶部に記憶するアドレス解決部と、
前記パケット中継装置での前記ログを参照して前記ユーザ端末のログアウト時刻を求め、求められたログアウト時刻をユーザ識別子に対応して前記トレース情報記憶部に記憶するログ管理部と
を備えた前記認証サーバが提供される。
【発明の効果】
【００１６】
従来、認証サーバが持つ認証ログ情報には、ユーザＩＤ情報、ユーザが使用する端末のＭＡＣアドレス、端末が繋がっているパケット中継装置のＩＰアドレスとポート番号、ログイン時間情報はあるが、ユーザ端末が持つＩＰアドレスやユーザのログアウト時間情報は無かった。
【００１７】
これに対し、本発明は、認証サーバにトレース情報管理部を設け、ＡＲＰテーブル取得部、認証ログ取得部を制御し、認証サーバがユーザ端末の持つＩＰアドレスと、ユーザのログアウト時間情報を取得することができ、ユーザ毎に、ユーザ端末のＩＰアドレスとＭＡＣアドレス、ユーザ端末が繋がっているパケット中継装置のＩＰアドレスとポート番号、ログイン時間情報、ログアウト時間情報のログを取ることが可能になる。そして、本発明によると、これらのログ情報を、ユーザ毎にログイン、ログアウト時間に従ってソートすることにより、ユーザ端末が最初にどのパケット中継装置を介してログインし、その後ログアウトしてどのパケット中継装置を介して再びログインしたかが分かるので、ユーザの行動をトレースすることが可能になる。また、本発明によると、このトレース情報管理ＤＢを使うことによって、例えば、ユーザＩＤが同一にも関わらずＭＡＣアドレスが頻繁に異なっているユーザがいた場合、不正端末によるアクセスや、成りすましを警告することができる。他にも、本発明によると、任意の時刻に、ある特定のＩＰアドレスを利用したユーザが不正にネットワークを利用していることを検知した場合、時刻とＩＰアドレスからそのユーザを特定することができる。
【図面の簡単な説明】
【００１８】
【図１】第１の実施の形態におけるユーザ端末とパケット中継装置とＲＡＤＩＵＳサーバが設置されるネットワーク構成を示す図である。
【図２】第１の実施の形態におけるＲＡＤＩＵＳサーバの構成を示す図である。
【図３】第１の実施の形態におけるＲＡＤＩＵＳサーバにて保持されるユーザ属性の説明図である。
【図４】第１の実施の形態におけるＲＡＤＩＵＳサーバにて保持されるユーザ毎のトレース情報を記憶したトレース情報管理データベースの説明図である。
【図５】第１の実施の形態におけるトレース情報を作成するシーケンスを示す図である。
【図６】第２の実施の形態におけるＲＡＤＩＵＳサーバの構成を示す図である。
【図７】第２の実施の形態におけるトレース情報を作成するシーケンスを示す図である。
【発明を実施するための形態】
【００１９】
１．第１の実施の形態
図１〜図５を参照して認証サーバをＲＡＤＩＵＳサーバとしたときの実施の形態について説明する。
図１に、本実施の形態におけるネットワーク構成図を示す。
本ネットワークシステムは、例えば、複数のパケット中継装置ａ２１、ｂ２２と、ＲＡＤＩＵＳサーバ（認証サーバ）３１と、ＤＨＣＰ（Ｄｙｎａｍｉｃ Ｈｏｓｔ Ｃｏｎｆｉｇｕｒａｔｉｏｎ Ｐｒｏｔｏｃｏｌ）サーバ（アドレス配布サーバ）４４を備える。また、パケット中継装置ａ２１は、複数のユーザ端末ａ１１、ｂ１３と接続され、パケット中継装置ａ２１と、当該ユーザ端末ａ１１、ｂ１３は、例えば社内の部署に対応するサブネットワーク（以下、便宜上部署と呼ぶ。）４１を構成する。パケット中継装置ｂ２２も同様に、ユーザ端末ａ１２、ｃ１４と接続され、サブネットワーク４２を構成する。なお、ユーザ端末ａ１１、ａ１２は、同じ端末が移動したことを示している。
【００２０】
本ネットワークシステムは、部署が複数存在し、社内ＬＡＮ４３を介して各部署が相互に繋がっている。ＲＡＤＩＵＳサーバ３１は、複数の部署のユーザ属性を一元管理しており、例えば社内ＬＡＮ４３とは別のネットワークに置かれている。各部署内にはパケット中継装置ａ２１、ｂ２２がそれぞれ置かれ、ユーザ端末（サプリカント）ａ１１、ａ１２、ｂ１３、ｃ１４が社内ＬＡＮ４３へ接続する際は、初めにパケット中継装置ａ２１、ｂ２２を介してＲＡＤＩＵＳサーバ３１へアクセスし、社内ＬＡＮ４３へのアクセス許可を求める必要がある。ＤＨＣＰサーバ４４は、認証されたユーザ端末ａ１１、ａ１２、ｂ１３、ｃ１４にＩＰアドレスを割当てる。
なお、認証サーバは、ＲＡＤＩＵＳサーバ３１に限らず適宜の認証サーバを用いてもよい。また、各ユーザ端末ａ１１、ａ１２、ｂ１３、ｃ１４は、直接パケット中継装置ａ２１、ｂ２２に接続される以外にもスイッチなどを介して接続されてもよい。
【００２１】
パケット中継装置ａ２１は、接続されるユーザ端末ａ１１、ａ１２のＭＡＣアドレスと、当該ユーザ端末ａ１１、ａ１２のＩＰアドレスがそれぞれ対応して記憶されたＡＲＰテーブル（アドレス解決テーブル）を有し、ユーザ端末ａ１１、ａ１２との認証又は通信についてのログを管理する。パケット中継装置ｂ２２も同様である。ＲＡＤＩＵＳサーバ３１は、パケット中継装置ａ２１、ｂ２２を介してユーザ端末ａ１１、ａ１２、ｂ１３、ｃ１４と通信してユーザ認証を行う。
【００２２】
図２は、第１の実施の形態におけるＲＡＤＩＵＳサーバの構成を示す図である。
ＲＡＤＩＵＳサーバ３１は、例えば、パケット処理部３３と、回線インタフェース３２を備える。パケット処理部３３は、パケット送受信部３４と、ＲＡＤＩＵＳ制御部（認証制御部）３５と、トレース情報管理部３６を有する。ＲＡＤＩＵＳ制御部３５は、ユーザ属性管理データベース（以下、ＤＢ）５０を有する。トレース情報管理部３６は、ＡＲＰテーブル取得部（アドレス解決部）４５と、認証ログ取得部（ログ管理部）４６と、トレース情報管理ＤＢ（トレース情報記憶部）６０を有する。ＡＲＰテーブル取得部４５は、ＡＲＰテーブル３７を有し、認証ログ取得部４６は、認証ログＤＢ３８を有する。なお、各データベース、テーブルは、適宜の記憶装置にまとめられていてもよい。
【００２３】
回線インタフェース３２は、例えば、パケット中継装置ａ２１、ｂ２２等の外部の機器と通信するためのインタフェースである。パケット処理部３３は、パケットの送受信等を制御する。パケット送受信部３４は、例えば、受信したパケットをＲＡＤＩＵＳ制御部３５、トレース情報管理部３６に転送し、また、ＲＡＤＩＵＳ制御部３５等からのパケットを回線インタフェース３２へ転送する。ＲＡＤＩＵＳ制御部３５は、認証、アカウンティングに必要となるユーザ属性を管理する。
【００２４】
トレース情報管理部３６は、ＲＡＤＩＵＳ制御部３５内のユーザ属性管理ＤＢ５０からユーザ名、ユーザ端末のＭＡＣアドレス、ユーザ端末が接続しているパケット中継装置のＩＰアドレスとポート番号を取得し、そしてＲＡＤＩＵＳ制御部３５からログイン時間情報を取得し、ＡＲＰテーブル３７からユーザ端末のＩＰアドレスを取得し、認証ログＤＢ３８からログアウト時間を取得すると、それらの情報をトレース情報管理ＤＢ６０に格納する。ＡＲＰテーブル取得部４５は、パケット中継装置ａ２１、ｂ２２よりＡＲＰテーブルを取得し、ユーザ端末ａ１１、ａ１２、ｂ１３、ｃ１４のＭＡＣアドレスに基づいて対応するＩＰアドレスを検索する。認証ログ取得部４６は、パケット中継装置ａ２１、ｂ２２より認証ログを取得し、ユーザ名等に基づいて対応するユーザのログアウト時間を検索する。認証ログＤＢ３８は、例えば、ユーザ識別子（例えば、ユーザ名等）と、ユーザ端末のＭＡＣアドレスと、発生したログ内容と、ログが発生した時刻を記憶する。なお、発生するログ内容としては、例えば、ユーザのログイン、ログアウト等がある。
なお、ＲＡＤＩＵＳサーバ３１は、トレース情報を表示する管理画面である出力部又は外部の装置に表示するためにトレース情報を出力する出力部７０をさらに備えてもよい。
【００２５】
図３は、第１の実施の形態におけるＲＡＤＩＵＳサーバにて保持されるユーザ属性の説明図である。
ユーザ属性は、例えば、ユーザ毎に、ユーザ名（Ｕｓｅｒ−Ｎａｍｅ）と、ユーザ端末が接続するパケット中継装置のＩＰアドレス（ＮＡＳ−ＩＰ−Ａｄｄｒｅｓｓ）と、ユーザ端末が接続するパケット中継装置のポート番号（ＮＡＳ−Ｐｏｒｔ）と、ユーザ端末のＭＡＣアドレス（Ｃａｌｌｉｎｇ−Ｓｔａｔｉｏｎ−Ｉｄ）を含む。これらのユーザ属性は、ＲＡＤＩＵＳリクエストパケット受信時にトレース情報管理部３６により取得され、トレース情報管理ＤＢ６０に記憶される。一方、ユーザ属性管理ＤＢ５０には、上述のユーザ属性と、ＲＡＤＩＵＳで規定（例えば、ＲＦＣ２８６５参照。）されている他の属性（例えば、ユーザパスワード（Ｕｓｅｒ−Ｐａｓｓｗｏｒｄ）等）が記憶される。
【００２６】
図４は、第１の実施の形態におけるＲＡＤＩＵＳサーバにて保持されるユーザ毎のトレース情報を記憶したトレース情報管理データベースの説明図である。
トレース情報管理ＤＢ６０は、例えば、ひとつのユーザＩＤ６１に対応して、ユーザ端末のＭＡＣアドレス６２と、ユーザ端末のＩＰアドレス６３と、ユーザ端末が接続するパケット中継装置のＩＰアドレス６４と、ユーザ端末が接続するパケット中継装置のポート番号６５と、ユーザのログイン時間６６と、ユーザのログアウト時間６７との組み合わせ６８をひとつ又は複数記憶する。
【００２７】
トレース情報管理ＤＢ６０に格納した情報は、例えば、ＲＡＤＩＵＳサーバ３１の管理画面、及びリモート端末から参照可能であり、管理者がこれらのデータを参照する場合、各情報は時系列に表示されることができる。これによって管理者は、ユーザが使用している端末のＭＡＣアドレスとＩＰアドレス、ユーザ端末が接続しているパケット中継装置のＩＰアドレスとポート番号を把握することができ、ＲＡＤＩＵＳサーバ３１におけるユーザトレースが可能となる。
【００２８】
図５は、第１の実施の形態におけるトレース情報を作成するシーケンスを示す図である。
ユーザ端末ａ１１が社内ＬＡＮ４３へ接続するときのシーケンスを、ユーザ端末ａ１１が初め部署Ａ４１にいたと仮定し、詳述する。
ユーザ端末ａ１１がパケット中継装置ａ２１に接続すると（手順Ｓ１１）、パケット中継装置ａ２１はＥＡＰリクエストパケットをユーザ端末ａ１１へ送信し（手順Ｓ１２）、それに対してユーザ端末ａ１１はＥＡＰレスポンスパケットを返信する（手順Ｓ１３）。ＥＡＰレスポンスパケットには、例えば、ユーザ名、ユーザ端末ａ１１のＭＡＣアドレスなどの認証に必要な情報が記載されており、ＥＡＰレスポンスパケットを受信したパケット中継装置ａ２１は、そのパケットにＲＡＤＩＵＳヘッダを付与し、さらにパケット中継装置ａ２１のＩＰアドレス、パケット中継装置ａ２１のポート番号等の属性を付与して、ＲＡＤＩＵＳリクエストパケットとして、ＲＡＤＩＵＳサーバ３１へ送信する（手順Ｓ１４）。このとき、ユーザ端末ａ１１が接続するパケット中継装置ａ２１のポート０１は、ＲＡＤＩＵＳパケットのみを通す設定となっている。
【００２９】
パケット中継装置ａ２１より発信されたＲＡＤＩＵＳリクエストパケットを受信するＲＡＤＩＵＳサーバ３１は、本実施の形態においては図２に示す構成となっている。ＲＡＤＩＵＳリクエストパケットは、ＲＡＤＩＵＳサーバ３１の回線インタフェース３２にて受信される。その後ＲＡＤＩＵＳリクエストパケットはパケット処理部３３内のパケット送受信部３４を経由して、ＲＡＤＩＵＳ制御部３５へ到達する。ＲＡＤＩＵＳ制御部３５は、ユーザ属性管理ＤＢ５０を保持し、認証、アカウンティングに必要となるユーザ属性５１（図３参照）を管理している。ＲＡＤＩＵＳ制御部３５は、それらの属性を取得すると、認証シーケンスを走らせる（手順Ｓ１５）。認証処理の方式は複数存在し、ＩＤとパスワードで認証するＥＡＰ−ＭＤ５や、電子証明書を用いて認証するＥＡＰ−ＴＬＳなどがある。
【００３０】
認証が成立すると、ＲＡＤＩＵＳサーバ３１は、認証結果を記したＥＡＰサクセスパケットを作成する。次に、そのパケットにＲＡＤＩＵＳヘッダを付加してＲＡＤＩＵＳアクセプトパケットとし、パケット中継装置ａ２１へ送信する（手順Ｓ１６）。ＲＡＤＩＵＳアクセプトパケットを受信したパケット中継装置ａ２１は、ここでユーザ端末ａ１１が接続するポート０１を社内ＬＡＮ４３へアクセス可能なポートとして設定する（手順Ｓ１７）。また、受信したＲＡＤＩＵＳアクセプトパケットからＲＡＤＩＵＳヘッダを取り除き、取り出したＥＡＰサクセスパケットをユーザ端末ａ１１へ転送する（手順Ｓ１８）。ＥＡＰサクセスパケットを受信すると、ユーザ端末ａ１１は自端末が認証に成功したことを認識する。
【００３１】
認証に成功したユーザ端末ａ１１は、以後ＲＡＤＩＵＳサーバ３１以外へアクセスすることが可能となる。その状態に至ると、ユーザ端末ａ１１は、まず初めにＤＨＣＰサーバ４４へＤＨＣＰディスカバーを送信し、ユーザ端末ａ１１が送信元アドレスとして利用すべきＩＰアドレスを要求する（手順Ｓ１９）。ＤＨＣＰサーバ４４から送信元ＩＰアドレスが割り当てられると（手順Ｓ２０）、ユーザ端末ａ１１は以降そのＩＰアドレスを送信元ＩＰアドレスとして、社内ＬＡＮ４３へアクセス可能となる（手順Ｓ２１）。なお、割り当てられたＩＰアドレスは、ユーザ端末ａ１１のＭＡＣアドレスに対応して、パケット中継装置ａ２１のＡＲＰテーブルに記憶される。
【００３２】
このときＲＡＤＩＵＳサーバ３１内のトレース情報管理部３６では、図４に示すトレース情報管理ＤＢ６０を保持し、次の３段階の処理を施すことによって、ユーザトレースに必要な情報を格納していく。なお、このユーザトレースに必要な情報を格納していく処理は、３段階に限らず適宜の段階に分けてもよいし、まとめてもよい。
【００３３】
まずは、ユーザログイン時のユーザ属性登録処理である。ＲＡＤＩＵＳ制御部３５がＲＡＤＩＵＳリクエストパケットを受信すると、ＲＡＤＩＵＳリクエストパケットによって得られる属性のうち、図３に示すところの、Ｕｓｅｒ−Ｎａｍｅ（ユーザ名）、ＮＡＳ−ＩＰ−Ａｄｄｒｅｓｓ（ユーザ端末が繋がるパケット中継装置のＩＰアドレス）、ＮＡＳ−Ｐｏｒｔ（ユーザ端末が繋がるパケット中継装置のポート番号）、Ｃａｌｌｉｎｇ−Ｓｔａｔｉｏｎ−Ｉｄ（ユーザ端末のＭＡＣアドレス）を、トレース情報管理部３６へ通知する（手順Ｓ２２）。また、このとき、例えば、ＲＡＤＩＵＳアクセプトパケットを発行した時間を、ユーザのログインした時間として、トレース情報管理部３６に通知する。なお、ＲＡＤＩＵＳアクセプトパケットを発行した時間以外にも、適宜のログイン時間を定めてもよい。本実施の形態の場合、各属性それぞれの値及びログインした時間は、「ユーザ名：ユーザａ」、「ＩＰアドレス：１０．１０．１０．１」、「ポート番号：０１」、「ＭＡＣアドレス：００：１１：２２：３３：４４：５５」、及び「ログイン時間：０８／０４／０１ ０９：００」であり、これらの情報をユーザＩＤ６１に対応して図４のトレース情報管理ＤＢ６０に登録する（段階Ｐ１）。
【００３４】
次に、ユーザ端末ａ１１のＩＰアドレスをトレース情報管理ＤＢ６０へ登録する処理が続く。トレース情報管理部３６は、ＡＲＰテーブル取得部４５を保持しており、段階Ｐ１が終了すると、ＡＲＰテーブル取得部４５に対してユーザ端末ａ１１のＩＰアドレスを取得するよう要求する。この要求の際、トレース情報管理ＤＢ６０に登録されているユーザ端末ａ１１の「ＭＡＣアドレス６２：００：１１：２２：３３：４４：５５」をＡＲＰテーブル取得部４５へ通知する。トレース情報管理部３６から要求を受け取ったＡＲＰテーブル取得部４５は、例えばＳＮＭＰ（Ｓｉｍｐｌｅ Ｎｅｔｗｏｒｋ Ｍａｎａｇｅｍｅｎｔ Ｐｒｏｔｏｃｏｌ）或いはＮＥＴＣＯＮＦ（ＮＥＴｗｏｒｋ ＣＯＮＦｉｇｕｒａｔｉｏｎ）を用いて、ユーザ端末ａ１１が接続されたパケット中継装置ａ２１が保持するＡＲＰテーブルの取得要求を発行する（手順Ｓ２３）。なお、ユーザ端末ａ１１が接続するパケット中継装置ａ２１は、トレース情報管理ＤＢ６０に基づきユーザ端末のＭＡＣアドレス６２に対応するパケット中継装置のＩＰアドレス６４より特定できる。ＡＲＰテーブル取得部４５は、パケット中継装置ａ２１からＡＲＰテーブルを取得する（手順Ｓ２４）と、取得した情報をＡＲＰテーブル３７に格納する。
【００３５】
続いてＡＲＰテーブル取得部４５は、トレース情報管理部３６から受け取ったユーザ端末ａ１１の「ＭＡＣアドレス６２：００：１１：２２：３３：４４：５５」を検索キーとしてＡＲＰテーブル３７を検索し、ユーザ端末ａ１１のＩＰアドレスを取得する。本実施の形態の場合、「ＩＰアドレス：１０．１０．１０．２」が結果として返される。ＡＲＰテーブル取得部４５は、上記「ＩＰアドレス：１０．１０．１０．２」をトレース情報管理部３６へ通知し、トレース情報管理部３６は、ユーザＩＤ６１（「ユーザａ」）に対応してそのＩＰアドレス（「１０．１０．１０．２」）を図４のトレース情報管理ＤＢ６０に追加登録する（段階Ｐ２）。
【００３６】
なお、ＡＲＰテーブル取得部４５は、トレース情報管理ＤＢ６０に登録されているユーザ端末のＭＡＣアドレス６２をユーザ端末ａ１１が接続されたパケット中継装置ａ２１に送信して、パケット中継装置ａ２１がＡＲＰテーブルを検索して得られた対応するＩＰアドレスを、パケット中継装置ａ２１から受信してもよい。
【００３７】
次に、ユーザのログアウト時間をトレース情報管理ＤＢ６０へ登録する処理が続く。トレース情報管理部３６は、認証ログ取得部４６を保持しており、段階Ｐ２が終了すると、認証ログ取得部４６に対してユーザａのログアウト時間を取得するよう要求する。この要求の際、トレース情報管理ＤＢ６０に登録されているユーザ端末ａ１１の「ユーザＩＤ６１：ユーザａ」及び「ＭＡＣアドレス６２：００：１１：２２：３３：４４：５５」を認証ログ取得部４６へ通知する。トレース情報管理部３６から要求を受け取った認証ログ取得部４６は、パケット中継装置ａ２１内の認証ログ情報を定期的に取得し、認証ログＤＢ３８に蓄積している。パケット中継装置ａ２１は、ユーザ端末ａ１１との接続が途切れたことを検知すると（手順Ｓ２５）、ＲＡＤＩＵＳサーバ３１内のトレース情報管理部３６に対して、そのときまでのログを通知する（手順Ｓ２６）。トレース情報管理部３６は、通知されたログを認証ログＤＢ３８に記憶する。
【００３８】
続いて認証ログ取得部４６は、トレース情報管理部３６から受け取ったユーザ端末ａ１１の「ユーザＩＤ６１：ユーザａ」及び「ＭＡＣアドレス６２：００：１１：２２：３３：４４：５５」をキーとして、蓄積された認証ログＤＢ３８を検索する。例えば、認証ログに、ユーザＩＤ及びユーザ端末のＭＡＣアドレスの組に対してログ発生時刻とログ内容が「ログアウト」を示すログ内容とが含まれていても良いし、最後のログの時刻に基づくログアウト時刻を定めてもよい。本実施の形態の場合、「ログアウト時間：０８／０４／０１ １２：００」が結果として返される。認証ログ取得部４６は、上記「ログアウト時間：０８／０４／０１ １２：００」をトレース情報管理部３６へ通知し、トレース情報管理部３６は、ユーザＩＤ６１（「ユーザａ」）に対応して、そのログアウト時間６７（「０８／０４／０１ １２：００」）を図４のトレース情報管理ＤＢ６０に追加登録する（段階Ｐ３）。トレース情報管理ＤＢ６０に格納した情報は、ＲＡＤＩＵＳサーバ３１の管理画面、或いはリモート端末から参照可能であり、管理者はユーザの挙動を容易に理解することができる。
【００３９】
ここで、ユーザａが部署Ｂ４２へ移動したとする。このときも同様のシーケンスが走った後、図４のトレース情報管理ＤＢ６０にトレース情報を格納する。本実施の形態の場合、各値は、「ユーザＩＤ６１：ユーザａ」、「ユーザ端末のＭＡＣアドレス６２：００：１１：２２：３３：４４：５５」、「ユーザ端末のＩＰアドレス６３：１０：１０：２０：２」、「パケット中継装置のＩＰアドレス６４：１０．１０．２０．１」、「パケット中継装置のポート番号６５：０２」、「ログイン時間６６：０８／０４／０１ １３：００」、「ログアウト時間６７：０８／０４／０１ １７：００」となっており、例えば、パケット中継装置のＩＰアドレス６４やポート番号６５からユーザ端末ａが接続するパケット中継装置が、パケット中継装置ａ２１からパケット中継装置ｂ２２へ変わったことが分かる。以上のように、ユーザ端末ａがＲＡＤＩＵＳサーバ３１へ認証を求めて来るたびに、トレース情報管理部３６がユーザａの上記情報を図４のトレース情報管理ＤＢ６０へ格納していくことによって、ユーザａの状態をトレースしていくことができる。
【００４０】
一方、図４に示すユーザｂの場合、ユーザＩＤ６１が同一にも関わらず、初めのログイン時と次のログイン時とでユーザ端末のＭＡＣアドレス６２が、「００：１２：３４：５６：７８：９ａ」から「００：６６：７７：８８：９９：ａａ」へ変更されている。これは、認可されていない不正端末を利用してユーザｂが社内ＬＡＮ４３へアクセスしている可能性や、ユーザｂ以外のユーザがユーザｂのパスワードを不正に取得し成りすましている可能性を示唆している。このように、トレース情報管理部３６にて、ユーザ端末のＭＡＣアドレス６２を監視することによって、成りすましの検知も可能である。
【００４１】
なお、ＲＡＤＩＵＳサーバ３１は、トレース情報管理ＤＢ６０に記憶された各情報を、ユーザＩＤ６１毎に、ログイン時間６６又はログアウト時間６７で時系列にソートして、ユーザの行動をトレース（追跡）したトレース情報を求め出力部７０に表示又は出力してもよい。また、ＲＡＤＩＵＳサーバ３１は、ユーザ毎に時系列にソートされたトレース情報に対して、ユーザ端末のＭＡＣアドレス６２やＩＰアドレス６３、パケット中継装置のＩＰアドレス６４やポート番号６５などが変化した箇所を特定し、その箇所を強調して表示してもよい。
【００４２】
他にも、例えば２００８年４月１２日の午前１０時に、送信元ＩＰアドレスを１０．１０．１０．３とした端末から大量のＤｏＳ（Ｄｅｎｉａｌ ｏｆ Ｓｅｒｖｉｃｅ）アタックパケットが送信されていることを、パケット中継装置ａ２１にて検知したとする。この場合、ＲＡＤＩＵＳサーバ３１にて図４のトレース情報管理ＤＢ６０（例えば、ユーザ端末のＩＰアドレス６３、ログイン時間６６、ログアウト時間６７等）を参照し、ＤｏＳアタックのあった時刻とＤｏＳアタックを送信していた端末のＩＰアドレスから、ＤｏＳアタック送信者を特定することができる。本実施の形態の場合、ＲＡＤＩＵＳサーバ３１は、ユーザｂがＤｏＳアタック送信者であったと判断することができる。例えば、このようなユーザｂのユーザ名などを出力部７０に表示したり、ユーザｂからの当該ネットワークへのアクセスを拒否することもできる。なお、トレース情報管理ＤＢ６０に記憶されたトレース情報の使い方は、上述の例に限らず適宜の使い方ができる。
【００４３】
以上のように、ＲＡＤＩＵＳサーバ３１内に新たにトレース情報管理部３６を設け、ＲＡＤＩＵＳ制御部３５内のユーザ属性管理ＤＢ５０からはユーザが使用している端末のＭＡＣアドレス、ユーザ端末が接続しているパケット中継装置のＩＰアドレスとポート番号を取得し、ＲＡＤＩＵＳ制御部３５からユーザのログイン時間を取得し、パケット中継装置内のＡＲＰテーブルと認証ログからはそれぞれユーザ端末のＩＰアドレス、ログアウト時間を取得する。これらの情報を把握することによって、ＲＡＤＩＵＳサーバ３１においてユーザトレース機能を提供することが可能となる。
【００４４】
２．第２の実施の形態
ユーザ端末のＩＰアドレスは、ＤＨＣＰサーバ（アドレス管理装置）からも取得可能である。
本実施の形態のＤＨＣＰサーバは、例えば、ユーザ端末のＭＡＣアドレスと当該ユーザ端末に割り当てたＩＰアドレスが対応して記憶されたアドレス対応テーブルを有する。
ユーザ端末のＩＰアドレス以外のユーザ属性の取得は、第１の実施の形態の段階Ｐ１と段階Ｐ３と同一であるため、本実施の形態のＲＡＤＩＵＳサーバの構成と段階Ｐ２のシーケンスを図６、７を参照して以下に詳述し、他は省略する。
【００４５】
図６に、本実施の形態におけるＲＡＤＩＵＳサーバの構成図を示す。
本実施の形態のＲＡＤＩＵＳサーバ３１０は、例えば、第１の実施の形態のＲＡＤＩＵＳサーバ３１が備えるＡＲＰテーブル取得部４５に換えて、ＭＡＣ−ＩＰテーブル取得部４７を備える。ＭＡＣ−ＩＰテーブル取得部４７は、ＭＡＣ−ＩＰテーブル（アドレス対応テーブル）３９を有する。ＭＡＣ−ＩＰテーブル取得部４７は、ＤＨＣＰサーバ４４よりＭＡＣアドレスとＩＰアドレスの対を含むアドレス対応テーブルを取得してＭＡＣ−ＩＰテーブル３９に記憶し、ＭＡＣアドレスに基づいて対応するＩＰアドレスを検索する。なお、回線インタフェース３２、パケット送受信部３４、ＲＡＤＩＵＳ制御部３５、認証ログ取得部４６、トレース情報管理ＤＢ６０及び出力部７０は、第１の実施の形態と同様である。
【００４６】
図７は、第２の実施の形態におけるトレース情報を作成するシーケンスを示す図である。
なお、ステップＴ２３、Ｔ２４及びＰ２以外の処理（ステップＴ１１〜Ｔ２２、Ｔ２５、Ｔ２６、Ｐ１、Ｐ３）については、図５に示す第１の実施の形態の対応する処理（ステップＳ１１〜Ｓ２２、Ｓ２５、Ｓ２６、Ｐ１、Ｐ３）と同様である。従って、以下に、ステップＴ２３、Ｔ２４及びＰ２の処理について説明し、他のステップの説明は省略する。
【００４７】
トレース情報管理部３６は、ＭＡＣ−ＩＰテーブル取得部４７を保持しており、段階Ｐ１が終了すると、ＭＡＣ−ＩＰテーブル取得部４７に対してユーザ端末ａ１１のＩＰアドレスを取得するよう要求する。この要求の際、トレース情報管理ＤＢ６０に登録されているユーザ端末ａ１１の「ＭＡＣアドレス６２：００：１１：２２：３３：４４：５５」をＭＡＣ−ＩＰテーブル取得部４７へ通知する。トレース情報管理部３６から要求を受け取ったＭＡＣ−ＩＰテーブル取得部４７は、ＤＨＣＰサーバ４４へＭＡＣアドレスとＩＰアドレスの対を記したアドレス対応テーブルの取得要求を発行する（手順Ｔ２３）。ＤＨＣＰサーバ４４からＭＡＣアドレスとＩＰアドレスの対を記したアドレス対応テーブルを取得する（手順Ｔ２４）と、取得した情報をＭＡＣ−ＩＰテーブル３９に格納する。
【００４８】
続いてＭＡＣ−ＩＰテーブル取得部４７は、トレース情報管理部３６から受け取ったユーザ端末ａ１１の「ＭＡＣアドレス６２：００：１１：２２：３３：４４：５５」を検索キーとしてＭＡＣ−ＩＰテーブル３９を検索し、対応するユーザ端末ａ１１のＩＰアドレスを取得する。本実施の形態の場合、「ＩＰアドレス：１０．１０．１０．２」が結果として返される。ＭＡＣ−ＩＰテーブル取得部４７は、上記「ＩＰアドレス：１０．１０．１０．２」をトレース情報管理部３６へ通知し、トレース情報管理部３６は、ユーザＩＤ６１（「ユーザａ」）に対応してそのＩＰアドレス（「１０．１０．１０．２」）を図６のトレース情報管理ＤＢ６０に追加登録する（段階Ｐ２）。
【００４９】
なお、ＭＡＣ−ＩＰテーブル取得部４７は、トレース情報管理ＤＢ６０に登録されているユーザ端末ａ１１のＭＡＣアドレス６２をＤＨＣＰサーバ４４に送信して、ＤＨＣＰサーバ４４がアドレス対応テーブルを検索して得られた対応するＩＰアドレスを、ＤＨＣＰサーバ４４から受信してもよい。
なお、ＩＰアドレスを管理する装置は、ＤＨＣＰサーバ４４に限らず適宜のアドレス管理装置を用いてもよい。
【００５０】
３．第１、第２の実施の形態の変形例
認証サーバをＴＡＣＡＣＳサーバとしたときの例について説明する。
認証サーバをＲＡＤＩＵＳサーバにしたときと同様に、ＴＡＣＡＣＳサーバ内にトレース情報管理部を設ける。トレース情報管理部は、ＡＲＰテーブル取得部と認証ログ取得部を有する。トレース情報管理部は、ＴＡＣＡＣＳ制御部内のＴＡＣＡＣＳ属性管理ＤＢからユーザ名、ユーザ端末のＭＡＣアドレス、ユーザ端末が接続しているパケット中継装置のＩＰアドレスとポート番号を取得し、そしてＴＡＣＡＣＳ制御部からログイン時間情報を取得し、ＡＲＰテーブルからユーザ端末のＩＰアドレスを取得し、認証ログからログアウト時間を取得すると、それらの情報をトレース情報管理ＤＢに格納する。
【００５１】
トレース情報管理ＤＢに格納した情報は、ＴＡＣＡＣＳサーバの管理画面、或いはリモート端末から参照可能であり、管理者はユーザの挙動を容易に理解することができる。
なお、具体的なＴＡＣＡＣＳサーバの構成及び動作については、第１及び第２の実施の形態のＲＡＤＩＵＳサーバと同様である。
【産業上の利用可能性】
【００５２】
本発明は、例えば、８０２．１Ｘ認証を用いる認証サーバに適用することができる。
【符号の説明】
【００５３】
１１ 移動前のユーザ端末ａ
１２ 移動後のユーザ端末ａ
１３、１４ ユーザ端末
２１、２２ パケット中継装置
３１、３１０ ＲＡＤＩＵＳサーバ
３２ 回線インタフェース
３３ パケット処理部
３４ パケット送受信部
３５ ＲＡＤＩＵＳ制御部
３６ トレース情報管理部
３７ ＡＲＰテーブル
３８ 認証ログＤＢ
３９ ＭＡＣ−ＩＰテーブル
４１、４２ サブネットワーク（部署）
４３ 社内ＬＡＮ
４４ ＤＨＣＰサーバ
４５ ＡＲＰテーブル取得部
４６ 認証ログ取得部
４７ ＭＡＣ−ＩＰテーブル取得部
５０ ユーザ属性管理ＤＢ
６０ トレース情報管理ＤＢ
７０ 出力部
【技術分野】
【０００１】
本発明は、認証サーバに係り、特に、管理しているユーザ端末（サプリカント）の属性をもとにユーザの位置をトレースする認証サーバに関する。
【背景技術】
【０００２】
ユーザ端末がＬＡＮ（Ｌｏｃａｌ Ａｒｅａ Ｎｅｔｗｏｒｋ）へ接続する際に、ＩＥＥＥ ８０２．１Ｘ認証（以下、８０２．１Ｘ認証）を用いてユーザを認証し、ネットワーク利用の可否を制御する形式が広く利用されている。
８０２．１Ｘ認証を使ったユーザ認証方式は、サプリカントを呼ばれる認証クライアントソフトウェアを搭載したユーザ端末、ＮＡＳ（Ｎｅｔｗｏｒｋ Ａｃｃｅｓｓ Ｓｅｒｖｅｒ）として機能するパケット中継装置、そして認証サーバで構成される。認証サーバには、ＲＡＤＩＵＳ（Ｒｅｍｏｔｅ Ａｕｔｈｅｎｔｉｃａｔｉｏｎ Ｄｉａｌ Ｉｎ Ｕｓｅｒ Ｓｅｒｖｉｃｅ）サーバとＴＡＣＡＣＳ（Ｔｅｒｍｉｎａｌ Ａｃｃｅｓｓ Ｃｏｎｔｒｏｌｌｅｒ Ａｃｃｅｓｓ Ｃｏｎｔｒｏｌ Ｓｙｓｔｅｍ）サーバとが一般に利用されているが、以降、記述の簡略化のためＲＡＤＩＵＳサーバの場合のみを記す。
【０００３】
ユーザのＬＡＮ利用の可否を認証する手続きは、ユーザ端末が、パケット中継装置に対してＥＡＰ（Ｅｘｔｅｎｄｅｄ Ａｕｔｈｅｎｔｉｃａｔｉｏｎ Ｐｒｏｔｏｃｏｌ）開始パケットを発行することで始まる。ＥＡＰ開始パケットを受信したパケット中継装置は、ＥＡＰリクエストパケットをユーザ端末に対して送信し、それに対してユーザ端末はＥＡＰレスポンスパケットを返信する。ＥＡＰレスポンスパケットを受信したパケット中継装置は、ＥＡＰレスポンスパケットをＲＡＤＩＵＳリクエストパケットへ載せ、ＲＡＤＩＵＳサーバへ送信する。ＲＡＤＩＵＳサーバがＲＡＤＩＵＳリクエストパケットを受信すると、ユーザ端末とＲＡＤＩＵＳサーバとの間で認証処理がスタートする。認証処理の方式は複数方式が存在し、ＩＤとパスワードで認証するＥＡＰ−ＭＤ５（Ｍｅｓｓａｇｅ Ｄｉｇｅｓｔ ５）や、電子証明書を用いて認証するＥＡＰ−ＴＬＳ（Ｔｒａｎｓｐｏｒｔ Ｌａｙｅｒ Ｓｅｃｕｒｉｔｙ）などがある。
【０００４】
認証が成立すると、ＲＡＤＩＵＳサーバは、認証結果をＥＡＰ成功パケットに記し、更にそれをＲＡＤＩＵＳアクセプトパケットへ載せ、パケット中継装置へ送信する。一方、認証に失敗すると、ＲＡＤＩＵＳサーバは、認証結果をＥＡＰ失敗パケットに記し、更にそれをＲＡＤＩＵＳリジェクトパケットへ載せ、パケット中継装置へ送信する。パケット中継装置は、ＲＡＤＩＵＳアクセプトパケットを受信すると、ユーザ端末が接続するポートからの社内ＬＡＮアクセスを許可する。また、受信したＲＡＤＩＵＳアクセプトパケットからＲＡＤＩＵＳヘッダを取り除き、ＥＡＰ成功パケットのみをユーザ端末へ転送し、ユーザ端末に認証成功の旨を通知する。これによりユーザ端末は、社内ＬＡＮへのアクセス要求が認可されたことを認識する。一方、パケット中継装置がＲＡＤＩＵＳリジェクトパケットを受信すると、ユーザ端末が接続するポートからの社内ＬＡＮアクセスを不許可とする。また、受信したＲＡＤＩＵＳリジェクトパケットからＲＡＤＩＵＳヘッダを取り除き、ＥＡＰ失敗パケットのみをユーザ端末へ転送し、ユーザ端末に認証失敗の旨を通知する。これによりユーザ端末は、社内ＬＡＮへのアクセス要求が拒絶されたことを認識する。
【０００５】
このときＲＡＤＩＵＳサーバでは、認証とアカウンティングのため、各ユーザのユーザ名やパスワード、ユーザ端末が繋がるパケット中継装置のポート番号などをユーザ属性と言う形式で一元管理している。これらの情報は、ＲＡＤＩＵＳサーバがパケット中継装置からＲＡＤＩＵＳリクエストパケットを受信する際に取得可能である。
ユーザ名やユーザ端末のＭＡＣアドレスやＩＰアドレスを組み合わせて管理する方式について述べた公知文献としては、例えば特許文献１及び特許文献２がある。
【先行技術文献】
【特許文献】
【０００６】
【特許文献１】特開２００４−２４２１４２号公報
【特許文献２】特開２００３−３４８１１４号公報
【発明の概要】
【発明が解決しようとする課題】
【０００７】
認証サーバを利用してユーザを認証するのは、成りすましをした不正ユーザや不正端末からのネットワーク利用を排除するためである。しかしながら、現在認証サーバで管理しているユーザ属性は、ログイン時の認証とアカウンティングのためにしか利用されて来なかった。ユーザが任意の時刻にどこに存在し、どの端末を利用してネットワークにアクセスしているのか、といった情報を継続的に確認する機能はなかった。また、ユーザ端末がどのＩＰアドレスを割り当てられているのかも時系列に管理されていなかった。そのため、仮にある特定の時刻に、あるＩＰアドレスを送信元アドレスとしたユーザ端末が不正アクセスをしていて、それ認識したとしても、そのユーザを特定することはできなかった。
【０００８】
本発明は、以上の点に鑑み、認証サーバがユーザ端末の持つＩＰアドレスと、ユーザのログアウト時間情報等を取得し、ユーザ毎に、ユーザ端末のＩＰアドレスとＭＡＣアドレス、ユーザ端末が繋がっているパケット中継装置のＩＰアドレスとポート番号、ログイン時間情報、ログアウト時間情報のログを取ることを目的とする。そして、本発明は、これらのログ情報（以下、トレース情報管理ＤＢ又はトレース情報と呼ぶ）を、ユーザ毎にログイン時間、ログアウト時間に従ってソートすることにより、ユーザ端末が最初にどのパケット中継装置を介してログインし、その後ログアウトしてどのパケット中継装置を介して再びログインしたなどのユーザの行動をトレースすることを目的のひとつとする。また、本発明は、このトレース情報管理ＤＢを使うことによって、例えば、ユーザＩＤが同一にも関わらずＭＡＣアドレスが頻繁に異なっているユーザがいた場合、不正端末によるアクセスや、成りすましを警告することを目的のひとつとする。他にも、本発明は、任意の時刻に、ある特定のＩＰアドレスを利用したユーザが不正にネットワークを利用していることを検知した場合、時刻とＩＰアドレスからそのユーザを特定することを目的のひとつとする。
【課題を解決するための手段】
【０００９】
上記課題を解決するため、認証サーバ内にトレース情報管理部を設け、トレース情報管理部内にはＡＲＰ（Ａｄｄｒｅｓｓ Ｒｅｓｏｌｕｔｉｏｎ Ｐｒｏｔｏｃｏｌ）テーブル取得部、認証ログ取得部を設ける。ＡＲＰテーブル取得部は、パケット中継装置内にあるＡＲＰテーブルを取得し、格納する。そして、トレース情報管理部からの要求に従い、ＭＡＣアドレス情報を基に、ＩＰアドレス情報を提供する。認証ログ取得部は、パケット中継装置内にある認証ログ情報を取得し、認証ログＤＢに格納する。そして、トレース情報管理部からの要求に従い、ユーザＩＤ情報を基にログアウト時間情報を提供する。
【００１０】
トレース情報管理部によるトレース情報管理ＤＢを生成する処理について説明する。まず、トレース情報管理部は、認証サーバの既存認証ログ情報（ユーザ属性）から、認証したユーザのＩＤ情報、認証したユーザが使っている端末のＭＡＣアドレス、端末が繋がっているパケット中継装置のＩＰアドレスとポート番号、ログイン時間情報を取り出す。
次に、ＡＲＰテーブル管理部を通して、既ユーザＩＤ情報に対応したＭＡＣアドレス（該ユーザが使用している端末のＭＡＣアドレス）を基に該当するＩＰアドレスを検索し、取得する。
【００１１】
次に、認証ログ取得部を通して、既ユーザＩＤ情報に対応した認証ログアウト時間情報を取得する。
次に、それらの情報をユーザ単位にトレース情報管理ＤＢに格納する。つまり、トレース情報管理ＤＢには、ユーザ毎に、そのユーザが使用している端末のＩＰアドレスとＭＡＣアドレス、端末が繋がっているパケット中継装置のＩＰアドレスとポート番号、ログイン時間、ログアウト時間情報が記録されているため、各ユーザが任意の時刻にどこに存在し、どの端末でアクセスしているかをトレースすることができる。
【００１２】
認証サーバは、例えば、パケット処理部と回線インタフェースとで構成される認証サーバであって、
パケット処理部は、ユーザ属性制御部とトレース情報管理部とを有し、
ユーザ属性制御部はユーザ属性管理ＤＢ、トレース情報管理部はトレース情報管理ＤＢを有することを特徴とし、
トレース情報管理部にて、ユーザ毎にユーザ端末のＩＰアドレス、ＭＡＣアドレス、ユーザ端末が接続しているパケット中継装置のＩＰアドレス、ポート番号、ユーザのログイン時間、ログアウト時間を記録する。
【００１３】
また、上述のＲＡＤＩＵＳサーバは、例えば、
トレース情報管理部内にＭＡＣ−ＩＰテーブル取得部とＭＡＣ−ＩＰテーブル、認証ログ取得部と認証ログを有することを特徴とし、
ＤＨＣＰサーバからＭＡＣ−ＩＰテーブルを取得すると、ユーザ属性管理ＤＢにて保持しているログイン済みユーザ端末のＭＡＣアドレスを検索キーとしてＭＡＣ−ＩＰテーブルを検索し、検索することによって該当ユーザ端末に対応するＩＰアドレスを取得し、トレース情報管理ＤＢへそのＩＰアドレスを追加登録することを特徴とし、
パケット中継装置から認証ログを定期的に取得すると、ユーザ属性管理ＤＢにて保持しているログイン済みユーザのユーザ名、及びユーザ端末のＭＡＣアドレスを検索キーとして認証ログを検索し、検索することによって該当ユーザのログアウト情報を取得し、トレース情報管理ＤＢへその時刻を追加登録する。
【００１４】
本発明の第１の解決手段によると、
接続されるユーザ端末のＭＡＣアドレスと該ユーザ端末のＩＰアドレスが対応して記憶されたアドレス解決テーブルを有し、前記ユーザ端末との認証又は通信についてのログを管理するひとつ又は複数のパケット中継装置と、該パケット中継装置を介して前記ユーザ端末と通信してユーザ認証を行う認証サーバとを備えたシステムにおける前記認証サーバであって、
ユーザ識別子に対応して、前記ユーザ端末のＭＡＣアドレスと、前記ユーザ端末のＩＰアドレスと、前記パケット中継装置のＩＰアドレスと、前記ユーザ端末が繋がる前記パケット中継装置のポートのポート識別子と、前記ユーザ端末のログイン時刻又はログアウト時刻とが記憶されるトレース情報記憶部と、
前記ユーザ端末とのユーザ認証において受信される情報から、少なくともユーザ識別子と、前記ユーザ端末のＭＡＣアドレスと、前記パケット中継装置のＩＰアドレスと、前記ユーザ端末が接続される前記パケット中継装置のポートのポート識別子とを取得し、取得した各情報を対応して前記トレース情報記憶部に記憶する認証制御部と、
前記ユーザ端末が接続された前記パケット中継装置の前記アドレス解決テーブルを参照して、前記認証制御部で取得された前記ユーザ端末のＭＡＣアドレスに基づき、対応する前記ユーザ端末のＩＰアドレスを取得し、取得した前記ユーザ端末のＩＰアドレスをユーザ識別子に対応して前記トレース情報記憶部に記憶するアドレス解決部と、
前記パケット中継装置での前記ログを参照して前記ユーザ端末のログアウト時刻を求め、求められたログアウト時刻をユーザ識別子に対応して前記トレース情報記憶部に記憶するログ管理部と
を備えた前記認証サーバが提供される。
【００１５】
本発明の第２の解決手段によると、
ユーザ端末のＭＡＣアドレスと該ユーザ端末のＩＰアドレスが対応して記憶されたアドレス対応テーブルを有するアドレス管理装置と、前記ユーザ端末との認証又は通信についてのログを管理するひとつ又は複数のパケット中継装置と、該パケット中継装置を介して前記ユーザ端末と通信してユーザ認証を行う認証サーバとを備えたシステムにおける前記認証サーバであって、
ユーザ識別子に対応して、前記ユーザ端末のＭＡＣアドレスと、前記ユーザ端末のＩＰアドレスと、前記パケット中継装置のＩＰアドレスと、前記ユーザ端末が繋がる前記パケット中継装置のポートのポート識別子と、前記ユーザ端末のログイン時刻又はログアウト時刻とが記憶されるトレース情報記憶部と、
前記ユーザ端末とのユーザ認証において受信される情報から、少なくともユーザ識別子と、前記ユーザ端末のＭＡＣアドレスと、前記パケット中継装置のＩＰアドレスと、前記ユーザ端末が接続される前記パケット中継装置のポートのポート識別子とを取得し、取得した各情報を対応して前記トレース情報記憶部に記憶する認証制御部と、
前記アドレス管理装置の前記アドレス対応テーブルを参照して、前記認証制御部で取得された前記ユーザ端末のＭＡＣアドレスに基づき、対応する前記ユーザ端末のＩＰアドレスを取得し、取得した前記ユーザ端末のＩＰアドレスをユーザ識別子に対応して前記トレース情報記憶部に記憶するアドレス解決部と、
前記パケット中継装置での前記ログを参照して前記ユーザ端末のログアウト時刻を求め、求められたログアウト時刻をユーザ識別子に対応して前記トレース情報記憶部に記憶するログ管理部と
を備えた前記認証サーバが提供される。
【発明の効果】
【００１６】
従来、認証サーバが持つ認証ログ情報には、ユーザＩＤ情報、ユーザが使用する端末のＭＡＣアドレス、端末が繋がっているパケット中継装置のＩＰアドレスとポート番号、ログイン時間情報はあるが、ユーザ端末が持つＩＰアドレスやユーザのログアウト時間情報は無かった。
【００１７】
これに対し、本発明は、認証サーバにトレース情報管理部を設け、ＡＲＰテーブル取得部、認証ログ取得部を制御し、認証サーバがユーザ端末の持つＩＰアドレスと、ユーザのログアウト時間情報を取得することができ、ユーザ毎に、ユーザ端末のＩＰアドレスとＭＡＣアドレス、ユーザ端末が繋がっているパケット中継装置のＩＰアドレスとポート番号、ログイン時間情報、ログアウト時間情報のログを取ることが可能になる。そして、本発明によると、これらのログ情報を、ユーザ毎にログイン、ログアウト時間に従ってソートすることにより、ユーザ端末が最初にどのパケット中継装置を介してログインし、その後ログアウトしてどのパケット中継装置を介して再びログインしたかが分かるので、ユーザの行動をトレースすることが可能になる。また、本発明によると、このトレース情報管理ＤＢを使うことによって、例えば、ユーザＩＤが同一にも関わらずＭＡＣアドレスが頻繁に異なっているユーザがいた場合、不正端末によるアクセスや、成りすましを警告することができる。他にも、本発明によると、任意の時刻に、ある特定のＩＰアドレスを利用したユーザが不正にネットワークを利用していることを検知した場合、時刻とＩＰアドレスからそのユーザを特定することができる。
【図面の簡単な説明】
【００１８】
【図１】第１の実施の形態におけるユーザ端末とパケット中継装置とＲＡＤＩＵＳサーバが設置されるネットワーク構成を示す図である。
【図２】第１の実施の形態におけるＲＡＤＩＵＳサーバの構成を示す図である。
【図３】第１の実施の形態におけるＲＡＤＩＵＳサーバにて保持されるユーザ属性の説明図である。
【図４】第１の実施の形態におけるＲＡＤＩＵＳサーバにて保持されるユーザ毎のトレース情報を記憶したトレース情報管理データベースの説明図である。
【図５】第１の実施の形態におけるトレース情報を作成するシーケンスを示す図である。
【図６】第２の実施の形態におけるＲＡＤＩＵＳサーバの構成を示す図である。
【図７】第２の実施の形態におけるトレース情報を作成するシーケンスを示す図である。
【発明を実施するための形態】
【００１９】
１．第１の実施の形態
図１〜図５を参照して認証サーバをＲＡＤＩＵＳサーバとしたときの実施の形態について説明する。
図１に、本実施の形態におけるネットワーク構成図を示す。
本ネットワークシステムは、例えば、複数のパケット中継装置ａ２１、ｂ２２と、ＲＡＤＩＵＳサーバ（認証サーバ）３１と、ＤＨＣＰ（Ｄｙｎａｍｉｃ Ｈｏｓｔ Ｃｏｎｆｉｇｕｒａｔｉｏｎ Ｐｒｏｔｏｃｏｌ）サーバ（アドレス配布サーバ）４４を備える。また、パケット中継装置ａ２１は、複数のユーザ端末ａ１１、ｂ１３と接続され、パケット中継装置ａ２１と、当該ユーザ端末ａ１１、ｂ１３は、例えば社内の部署に対応するサブネットワーク（以下、便宜上部署と呼ぶ。）４１を構成する。パケット中継装置ｂ２２も同様に、ユーザ端末ａ１２、ｃ１４と接続され、サブネットワーク４２を構成する。なお、ユーザ端末ａ１１、ａ１２は、同じ端末が移動したことを示している。
【００２０】
本ネットワークシステムは、部署が複数存在し、社内ＬＡＮ４３を介して各部署が相互に繋がっている。ＲＡＤＩＵＳサーバ３１は、複数の部署のユーザ属性を一元管理しており、例えば社内ＬＡＮ４３とは別のネットワークに置かれている。各部署内にはパケット中継装置ａ２１、ｂ２２がそれぞれ置かれ、ユーザ端末（サプリカント）ａ１１、ａ１２、ｂ１３、ｃ１４が社内ＬＡＮ４３へ接続する際は、初めにパケット中継装置ａ２１、ｂ２２を介してＲＡＤＩＵＳサーバ３１へアクセスし、社内ＬＡＮ４３へのアクセス許可を求める必要がある。ＤＨＣＰサーバ４４は、認証されたユーザ端末ａ１１、ａ１２、ｂ１３、ｃ１４にＩＰアドレスを割当てる。
なお、認証サーバは、ＲＡＤＩＵＳサーバ３１に限らず適宜の認証サーバを用いてもよい。また、各ユーザ端末ａ１１、ａ１２、ｂ１３、ｃ１４は、直接パケット中継装置ａ２１、ｂ２２に接続される以外にもスイッチなどを介して接続されてもよい。
【００２１】
パケット中継装置ａ２１は、接続されるユーザ端末ａ１１、ａ１２のＭＡＣアドレスと、当該ユーザ端末ａ１１、ａ１２のＩＰアドレスがそれぞれ対応して記憶されたＡＲＰテーブル（アドレス解決テーブル）を有し、ユーザ端末ａ１１、ａ１２との認証又は通信についてのログを管理する。パケット中継装置ｂ２２も同様である。ＲＡＤＩＵＳサーバ３１は、パケット中継装置ａ２１、ｂ２２を介してユーザ端末ａ１１、ａ１２、ｂ１３、ｃ１４と通信してユーザ認証を行う。
【００２２】
図２は、第１の実施の形態におけるＲＡＤＩＵＳサーバの構成を示す図である。
ＲＡＤＩＵＳサーバ３１は、例えば、パケット処理部３３と、回線インタフェース３２を備える。パケット処理部３３は、パケット送受信部３４と、ＲＡＤＩＵＳ制御部（認証制御部）３５と、トレース情報管理部３６を有する。ＲＡＤＩＵＳ制御部３５は、ユーザ属性管理データベース（以下、ＤＢ）５０を有する。トレース情報管理部３６は、ＡＲＰテーブル取得部（アドレス解決部）４５と、認証ログ取得部（ログ管理部）４６と、トレース情報管理ＤＢ（トレース情報記憶部）６０を有する。ＡＲＰテーブル取得部４５は、ＡＲＰテーブル３７を有し、認証ログ取得部４６は、認証ログＤＢ３８を有する。なお、各データベース、テーブルは、適宜の記憶装置にまとめられていてもよい。
【００２３】
回線インタフェース３２は、例えば、パケット中継装置ａ２１、ｂ２２等の外部の機器と通信するためのインタフェースである。パケット処理部３３は、パケットの送受信等を制御する。パケット送受信部３４は、例えば、受信したパケットをＲＡＤＩＵＳ制御部３５、トレース情報管理部３６に転送し、また、ＲＡＤＩＵＳ制御部３５等からのパケットを回線インタフェース３２へ転送する。ＲＡＤＩＵＳ制御部３５は、認証、アカウンティングに必要となるユーザ属性を管理する。
【００２４】
トレース情報管理部３６は、ＲＡＤＩＵＳ制御部３５内のユーザ属性管理ＤＢ５０からユーザ名、ユーザ端末のＭＡＣアドレス、ユーザ端末が接続しているパケット中継装置のＩＰアドレスとポート番号を取得し、そしてＲＡＤＩＵＳ制御部３５からログイン時間情報を取得し、ＡＲＰテーブル３７からユーザ端末のＩＰアドレスを取得し、認証ログＤＢ３８からログアウト時間を取得すると、それらの情報をトレース情報管理ＤＢ６０に格納する。ＡＲＰテーブル取得部４５は、パケット中継装置ａ２１、ｂ２２よりＡＲＰテーブルを取得し、ユーザ端末ａ１１、ａ１２、ｂ１３、ｃ１４のＭＡＣアドレスに基づいて対応するＩＰアドレスを検索する。認証ログ取得部４６は、パケット中継装置ａ２１、ｂ２２より認証ログを取得し、ユーザ名等に基づいて対応するユーザのログアウト時間を検索する。認証ログＤＢ３８は、例えば、ユーザ識別子（例えば、ユーザ名等）と、ユーザ端末のＭＡＣアドレスと、発生したログ内容と、ログが発生した時刻を記憶する。なお、発生するログ内容としては、例えば、ユーザのログイン、ログアウト等がある。
なお、ＲＡＤＩＵＳサーバ３１は、トレース情報を表示する管理画面である出力部又は外部の装置に表示するためにトレース情報を出力する出力部７０をさらに備えてもよい。
【００２５】
図３は、第１の実施の形態におけるＲＡＤＩＵＳサーバにて保持されるユーザ属性の説明図である。
ユーザ属性は、例えば、ユーザ毎に、ユーザ名（Ｕｓｅｒ−Ｎａｍｅ）と、ユーザ端末が接続するパケット中継装置のＩＰアドレス（ＮＡＳ−ＩＰ−Ａｄｄｒｅｓｓ）と、ユーザ端末が接続するパケット中継装置のポート番号（ＮＡＳ−Ｐｏｒｔ）と、ユーザ端末のＭＡＣアドレス（Ｃａｌｌｉｎｇ−Ｓｔａｔｉｏｎ−Ｉｄ）を含む。これらのユーザ属性は、ＲＡＤＩＵＳリクエストパケット受信時にトレース情報管理部３６により取得され、トレース情報管理ＤＢ６０に記憶される。一方、ユーザ属性管理ＤＢ５０には、上述のユーザ属性と、ＲＡＤＩＵＳで規定（例えば、ＲＦＣ２８６５参照。）されている他の属性（例えば、ユーザパスワード（Ｕｓｅｒ−Ｐａｓｓｗｏｒｄ）等）が記憶される。
【００２６】
図４は、第１の実施の形態におけるＲＡＤＩＵＳサーバにて保持されるユーザ毎のトレース情報を記憶したトレース情報管理データベースの説明図である。
トレース情報管理ＤＢ６０は、例えば、ひとつのユーザＩＤ６１に対応して、ユーザ端末のＭＡＣアドレス６２と、ユーザ端末のＩＰアドレス６３と、ユーザ端末が接続するパケット中継装置のＩＰアドレス６４と、ユーザ端末が接続するパケット中継装置のポート番号６５と、ユーザのログイン時間６６と、ユーザのログアウト時間６７との組み合わせ６８をひとつ又は複数記憶する。
【００２７】
トレース情報管理ＤＢ６０に格納した情報は、例えば、ＲＡＤＩＵＳサーバ３１の管理画面、及びリモート端末から参照可能であり、管理者がこれらのデータを参照する場合、各情報は時系列に表示されることができる。これによって管理者は、ユーザが使用している端末のＭＡＣアドレスとＩＰアドレス、ユーザ端末が接続しているパケット中継装置のＩＰアドレスとポート番号を把握することができ、ＲＡＤＩＵＳサーバ３１におけるユーザトレースが可能となる。
【００２８】
図５は、第１の実施の形態におけるトレース情報を作成するシーケンスを示す図である。
ユーザ端末ａ１１が社内ＬＡＮ４３へ接続するときのシーケンスを、ユーザ端末ａ１１が初め部署Ａ４１にいたと仮定し、詳述する。
ユーザ端末ａ１１がパケット中継装置ａ２１に接続すると（手順Ｓ１１）、パケット中継装置ａ２１はＥＡＰリクエストパケットをユーザ端末ａ１１へ送信し（手順Ｓ１２）、それに対してユーザ端末ａ１１はＥＡＰレスポンスパケットを返信する（手順Ｓ１３）。ＥＡＰレスポンスパケットには、例えば、ユーザ名、ユーザ端末ａ１１のＭＡＣアドレスなどの認証に必要な情報が記載されており、ＥＡＰレスポンスパケットを受信したパケット中継装置ａ２１は、そのパケットにＲＡＤＩＵＳヘッダを付与し、さらにパケット中継装置ａ２１のＩＰアドレス、パケット中継装置ａ２１のポート番号等の属性を付与して、ＲＡＤＩＵＳリクエストパケットとして、ＲＡＤＩＵＳサーバ３１へ送信する（手順Ｓ１４）。このとき、ユーザ端末ａ１１が接続するパケット中継装置ａ２１のポート０１は、ＲＡＤＩＵＳパケットのみを通す設定となっている。
【００２９】
パケット中継装置ａ２１より発信されたＲＡＤＩＵＳリクエストパケットを受信するＲＡＤＩＵＳサーバ３１は、本実施の形態においては図２に示す構成となっている。ＲＡＤＩＵＳリクエストパケットは、ＲＡＤＩＵＳサーバ３１の回線インタフェース３２にて受信される。その後ＲＡＤＩＵＳリクエストパケットはパケット処理部３３内のパケット送受信部３４を経由して、ＲＡＤＩＵＳ制御部３５へ到達する。ＲＡＤＩＵＳ制御部３５は、ユーザ属性管理ＤＢ５０を保持し、認証、アカウンティングに必要となるユーザ属性５１（図３参照）を管理している。ＲＡＤＩＵＳ制御部３５は、それらの属性を取得すると、認証シーケンスを走らせる（手順Ｓ１５）。認証処理の方式は複数存在し、ＩＤとパスワードで認証するＥＡＰ−ＭＤ５や、電子証明書を用いて認証するＥＡＰ−ＴＬＳなどがある。
【００３０】
認証が成立すると、ＲＡＤＩＵＳサーバ３１は、認証結果を記したＥＡＰサクセスパケットを作成する。次に、そのパケットにＲＡＤＩＵＳヘッダを付加してＲＡＤＩＵＳアクセプトパケットとし、パケット中継装置ａ２１へ送信する（手順Ｓ１６）。ＲＡＤＩＵＳアクセプトパケットを受信したパケット中継装置ａ２１は、ここでユーザ端末ａ１１が接続するポート０１を社内ＬＡＮ４３へアクセス可能なポートとして設定する（手順Ｓ１７）。また、受信したＲＡＤＩＵＳアクセプトパケットからＲＡＤＩＵＳヘッダを取り除き、取り出したＥＡＰサクセスパケットをユーザ端末ａ１１へ転送する（手順Ｓ１８）。ＥＡＰサクセスパケットを受信すると、ユーザ端末ａ１１は自端末が認証に成功したことを認識する。
【００３１】
認証に成功したユーザ端末ａ１１は、以後ＲＡＤＩＵＳサーバ３１以外へアクセスすることが可能となる。その状態に至ると、ユーザ端末ａ１１は、まず初めにＤＨＣＰサーバ４４へＤＨＣＰディスカバーを送信し、ユーザ端末ａ１１が送信元アドレスとして利用すべきＩＰアドレスを要求する（手順Ｓ１９）。ＤＨＣＰサーバ４４から送信元ＩＰアドレスが割り当てられると（手順Ｓ２０）、ユーザ端末ａ１１は以降そのＩＰアドレスを送信元ＩＰアドレスとして、社内ＬＡＮ４３へアクセス可能となる（手順Ｓ２１）。なお、割り当てられたＩＰアドレスは、ユーザ端末ａ１１のＭＡＣアドレスに対応して、パケット中継装置ａ２１のＡＲＰテーブルに記憶される。
【００３２】
このときＲＡＤＩＵＳサーバ３１内のトレース情報管理部３６では、図４に示すトレース情報管理ＤＢ６０を保持し、次の３段階の処理を施すことによって、ユーザトレースに必要な情報を格納していく。なお、このユーザトレースに必要な情報を格納していく処理は、３段階に限らず適宜の段階に分けてもよいし、まとめてもよい。
【００３３】
まずは、ユーザログイン時のユーザ属性登録処理である。ＲＡＤＩＵＳ制御部３５がＲＡＤＩＵＳリクエストパケットを受信すると、ＲＡＤＩＵＳリクエストパケットによって得られる属性のうち、図３に示すところの、Ｕｓｅｒ−Ｎａｍｅ（ユーザ名）、ＮＡＳ−ＩＰ−Ａｄｄｒｅｓｓ（ユーザ端末が繋がるパケット中継装置のＩＰアドレス）、ＮＡＳ−Ｐｏｒｔ（ユーザ端末が繋がるパケット中継装置のポート番号）、Ｃａｌｌｉｎｇ−Ｓｔａｔｉｏｎ−Ｉｄ（ユーザ端末のＭＡＣアドレス）を、トレース情報管理部３６へ通知する（手順Ｓ２２）。また、このとき、例えば、ＲＡＤＩＵＳアクセプトパケットを発行した時間を、ユーザのログインした時間として、トレース情報管理部３６に通知する。なお、ＲＡＤＩＵＳアクセプトパケットを発行した時間以外にも、適宜のログイン時間を定めてもよい。本実施の形態の場合、各属性それぞれの値及びログインした時間は、「ユーザ名：ユーザａ」、「ＩＰアドレス：１０．１０．１０．１」、「ポート番号：０１」、「ＭＡＣアドレス：００：１１：２２：３３：４４：５５」、及び「ログイン時間：０８／０４／０１ ０９：００」であり、これらの情報をユーザＩＤ６１に対応して図４のトレース情報管理ＤＢ６０に登録する（段階Ｐ１）。
【００３４】
次に、ユーザ端末ａ１１のＩＰアドレスをトレース情報管理ＤＢ６０へ登録する処理が続く。トレース情報管理部３６は、ＡＲＰテーブル取得部４５を保持しており、段階Ｐ１が終了すると、ＡＲＰテーブル取得部４５に対してユーザ端末ａ１１のＩＰアドレスを取得するよう要求する。この要求の際、トレース情報管理ＤＢ６０に登録されているユーザ端末ａ１１の「ＭＡＣアドレス６２：００：１１：２２：３３：４４：５５」をＡＲＰテーブル取得部４５へ通知する。トレース情報管理部３６から要求を受け取ったＡＲＰテーブル取得部４５は、例えばＳＮＭＰ（Ｓｉｍｐｌｅ Ｎｅｔｗｏｒｋ Ｍａｎａｇｅｍｅｎｔ Ｐｒｏｔｏｃｏｌ）或いはＮＥＴＣＯＮＦ（ＮＥＴｗｏｒｋ ＣＯＮＦｉｇｕｒａｔｉｏｎ）を用いて、ユーザ端末ａ１１が接続されたパケット中継装置ａ２１が保持するＡＲＰテーブルの取得要求を発行する（手順Ｓ２３）。なお、ユーザ端末ａ１１が接続するパケット中継装置ａ２１は、トレース情報管理ＤＢ６０に基づきユーザ端末のＭＡＣアドレス６２に対応するパケット中継装置のＩＰアドレス６４より特定できる。ＡＲＰテーブル取得部４５は、パケット中継装置ａ２１からＡＲＰテーブルを取得する（手順Ｓ２４）と、取得した情報をＡＲＰテーブル３７に格納する。
【００３５】
続いてＡＲＰテーブル取得部４５は、トレース情報管理部３６から受け取ったユーザ端末ａ１１の「ＭＡＣアドレス６２：００：１１：２２：３３：４４：５５」を検索キーとしてＡＲＰテーブル３７を検索し、ユーザ端末ａ１１のＩＰアドレスを取得する。本実施の形態の場合、「ＩＰアドレス：１０．１０．１０．２」が結果として返される。ＡＲＰテーブル取得部４５は、上記「ＩＰアドレス：１０．１０．１０．２」をトレース情報管理部３６へ通知し、トレース情報管理部３６は、ユーザＩＤ６１（「ユーザａ」）に対応してそのＩＰアドレス（「１０．１０．１０．２」）を図４のトレース情報管理ＤＢ６０に追加登録する（段階Ｐ２）。
【００３６】
なお、ＡＲＰテーブル取得部４５は、トレース情報管理ＤＢ６０に登録されているユーザ端末のＭＡＣアドレス６２をユーザ端末ａ１１が接続されたパケット中継装置ａ２１に送信して、パケット中継装置ａ２１がＡＲＰテーブルを検索して得られた対応するＩＰアドレスを、パケット中継装置ａ２１から受信してもよい。
【００３７】
次に、ユーザのログアウト時間をトレース情報管理ＤＢ６０へ登録する処理が続く。トレース情報管理部３６は、認証ログ取得部４６を保持しており、段階Ｐ２が終了すると、認証ログ取得部４６に対してユーザａのログアウト時間を取得するよう要求する。この要求の際、トレース情報管理ＤＢ６０に登録されているユーザ端末ａ１１の「ユーザＩＤ６１：ユーザａ」及び「ＭＡＣアドレス６２：００：１１：２２：３３：４４：５５」を認証ログ取得部４６へ通知する。トレース情報管理部３６から要求を受け取った認証ログ取得部４６は、パケット中継装置ａ２１内の認証ログ情報を定期的に取得し、認証ログＤＢ３８に蓄積している。パケット中継装置ａ２１は、ユーザ端末ａ１１との接続が途切れたことを検知すると（手順Ｓ２５）、ＲＡＤＩＵＳサーバ３１内のトレース情報管理部３６に対して、そのときまでのログを通知する（手順Ｓ２６）。トレース情報管理部３６は、通知されたログを認証ログＤＢ３８に記憶する。
【００３８】
続いて認証ログ取得部４６は、トレース情報管理部３６から受け取ったユーザ端末ａ１１の「ユーザＩＤ６１：ユーザａ」及び「ＭＡＣアドレス６２：００：１１：２２：３３：４４：５５」をキーとして、蓄積された認証ログＤＢ３８を検索する。例えば、認証ログに、ユーザＩＤ及びユーザ端末のＭＡＣアドレスの組に対してログ発生時刻とログ内容が「ログアウト」を示すログ内容とが含まれていても良いし、最後のログの時刻に基づくログアウト時刻を定めてもよい。本実施の形態の場合、「ログアウト時間：０８／０４／０１ １２：００」が結果として返される。認証ログ取得部４６は、上記「ログアウト時間：０８／０４／０１ １２：００」をトレース情報管理部３６へ通知し、トレース情報管理部３６は、ユーザＩＤ６１（「ユーザａ」）に対応して、そのログアウト時間６７（「０８／０４／０１ １２：００」）を図４のトレース情報管理ＤＢ６０に追加登録する（段階Ｐ３）。トレース情報管理ＤＢ６０に格納した情報は、ＲＡＤＩＵＳサーバ３１の管理画面、或いはリモート端末から参照可能であり、管理者はユーザの挙動を容易に理解することができる。
【００３９】
ここで、ユーザａが部署Ｂ４２へ移動したとする。このときも同様のシーケンスが走った後、図４のトレース情報管理ＤＢ６０にトレース情報を格納する。本実施の形態の場合、各値は、「ユーザＩＤ６１：ユーザａ」、「ユーザ端末のＭＡＣアドレス６２：００：１１：２２：３３：４４：５５」、「ユーザ端末のＩＰアドレス６３：１０：１０：２０：２」、「パケット中継装置のＩＰアドレス６４：１０．１０．２０．１」、「パケット中継装置のポート番号６５：０２」、「ログイン時間６６：０８／０４／０１ １３：００」、「ログアウト時間６７：０８／０４／０１ １７：００」となっており、例えば、パケット中継装置のＩＰアドレス６４やポート番号６５からユーザ端末ａが接続するパケット中継装置が、パケット中継装置ａ２１からパケット中継装置ｂ２２へ変わったことが分かる。以上のように、ユーザ端末ａがＲＡＤＩＵＳサーバ３１へ認証を求めて来るたびに、トレース情報管理部３６がユーザａの上記情報を図４のトレース情報管理ＤＢ６０へ格納していくことによって、ユーザａの状態をトレースしていくことができる。
【００４０】
一方、図４に示すユーザｂの場合、ユーザＩＤ６１が同一にも関わらず、初めのログイン時と次のログイン時とでユーザ端末のＭＡＣアドレス６２が、「００：１２：３４：５６：７８：９ａ」から「００：６６：７７：８８：９９：ａａ」へ変更されている。これは、認可されていない不正端末を利用してユーザｂが社内ＬＡＮ４３へアクセスしている可能性や、ユーザｂ以外のユーザがユーザｂのパスワードを不正に取得し成りすましている可能性を示唆している。このように、トレース情報管理部３６にて、ユーザ端末のＭＡＣアドレス６２を監視することによって、成りすましの検知も可能である。
【００４１】
なお、ＲＡＤＩＵＳサーバ３１は、トレース情報管理ＤＢ６０に記憶された各情報を、ユーザＩＤ６１毎に、ログイン時間６６又はログアウト時間６７で時系列にソートして、ユーザの行動をトレース（追跡）したトレース情報を求め出力部７０に表示又は出力してもよい。また、ＲＡＤＩＵＳサーバ３１は、ユーザ毎に時系列にソートされたトレース情報に対して、ユーザ端末のＭＡＣアドレス６２やＩＰアドレス６３、パケット中継装置のＩＰアドレス６４やポート番号６５などが変化した箇所を特定し、その箇所を強調して表示してもよい。
【００４２】
他にも、例えば２００８年４月１２日の午前１０時に、送信元ＩＰアドレスを１０．１０．１０．３とした端末から大量のＤｏＳ（Ｄｅｎｉａｌ ｏｆ Ｓｅｒｖｉｃｅ）アタックパケットが送信されていることを、パケット中継装置ａ２１にて検知したとする。この場合、ＲＡＤＩＵＳサーバ３１にて図４のトレース情報管理ＤＢ６０（例えば、ユーザ端末のＩＰアドレス６３、ログイン時間６６、ログアウト時間６７等）を参照し、ＤｏＳアタックのあった時刻とＤｏＳアタックを送信していた端末のＩＰアドレスから、ＤｏＳアタック送信者を特定することができる。本実施の形態の場合、ＲＡＤＩＵＳサーバ３１は、ユーザｂがＤｏＳアタック送信者であったと判断することができる。例えば、このようなユーザｂのユーザ名などを出力部７０に表示したり、ユーザｂからの当該ネットワークへのアクセスを拒否することもできる。なお、トレース情報管理ＤＢ６０に記憶されたトレース情報の使い方は、上述の例に限らず適宜の使い方ができる。
【００４３】
以上のように、ＲＡＤＩＵＳサーバ３１内に新たにトレース情報管理部３６を設け、ＲＡＤＩＵＳ制御部３５内のユーザ属性管理ＤＢ５０からはユーザが使用している端末のＭＡＣアドレス、ユーザ端末が接続しているパケット中継装置のＩＰアドレスとポート番号を取得し、ＲＡＤＩＵＳ制御部３５からユーザのログイン時間を取得し、パケット中継装置内のＡＲＰテーブルと認証ログからはそれぞれユーザ端末のＩＰアドレス、ログアウト時間を取得する。これらの情報を把握することによって、ＲＡＤＩＵＳサーバ３１においてユーザトレース機能を提供することが可能となる。
【００４４】
２．第２の実施の形態
ユーザ端末のＩＰアドレスは、ＤＨＣＰサーバ（アドレス管理装置）からも取得可能である。
本実施の形態のＤＨＣＰサーバは、例えば、ユーザ端末のＭＡＣアドレスと当該ユーザ端末に割り当てたＩＰアドレスが対応して記憶されたアドレス対応テーブルを有する。
ユーザ端末のＩＰアドレス以外のユーザ属性の取得は、第１の実施の形態の段階Ｐ１と段階Ｐ３と同一であるため、本実施の形態のＲＡＤＩＵＳサーバの構成と段階Ｐ２のシーケンスを図６、７を参照して以下に詳述し、他は省略する。
【００４５】
図６に、本実施の形態におけるＲＡＤＩＵＳサーバの構成図を示す。
本実施の形態のＲＡＤＩＵＳサーバ３１０は、例えば、第１の実施の形態のＲＡＤＩＵＳサーバ３１が備えるＡＲＰテーブル取得部４５に換えて、ＭＡＣ−ＩＰテーブル取得部４７を備える。ＭＡＣ−ＩＰテーブル取得部４７は、ＭＡＣ−ＩＰテーブル（アドレス対応テーブル）３９を有する。ＭＡＣ−ＩＰテーブル取得部４７は、ＤＨＣＰサーバ４４よりＭＡＣアドレスとＩＰアドレスの対を含むアドレス対応テーブルを取得してＭＡＣ−ＩＰテーブル３９に記憶し、ＭＡＣアドレスに基づいて対応するＩＰアドレスを検索する。なお、回線インタフェース３２、パケット送受信部３４、ＲＡＤＩＵＳ制御部３５、認証ログ取得部４６、トレース情報管理ＤＢ６０及び出力部７０は、第１の実施の形態と同様である。
【００４６】
図７は、第２の実施の形態におけるトレース情報を作成するシーケンスを示す図である。
なお、ステップＴ２３、Ｔ２４及びＰ２以外の処理（ステップＴ１１〜Ｔ２２、Ｔ２５、Ｔ２６、Ｐ１、Ｐ３）については、図５に示す第１の実施の形態の対応する処理（ステップＳ１１〜Ｓ２２、Ｓ２５、Ｓ２６、Ｐ１、Ｐ３）と同様である。従って、以下に、ステップＴ２３、Ｔ２４及びＰ２の処理について説明し、他のステップの説明は省略する。
【００４７】
トレース情報管理部３６は、ＭＡＣ−ＩＰテーブル取得部４７を保持しており、段階Ｐ１が終了すると、ＭＡＣ−ＩＰテーブル取得部４７に対してユーザ端末ａ１１のＩＰアドレスを取得するよう要求する。この要求の際、トレース情報管理ＤＢ６０に登録されているユーザ端末ａ１１の「ＭＡＣアドレス６２：００：１１：２２：３３：４４：５５」をＭＡＣ−ＩＰテーブル取得部４７へ通知する。トレース情報管理部３６から要求を受け取ったＭＡＣ−ＩＰテーブル取得部４７は、ＤＨＣＰサーバ４４へＭＡＣアドレスとＩＰアドレスの対を記したアドレス対応テーブルの取得要求を発行する（手順Ｔ２３）。ＤＨＣＰサーバ４４からＭＡＣアドレスとＩＰアドレスの対を記したアドレス対応テーブルを取得する（手順Ｔ２４）と、取得した情報をＭＡＣ−ＩＰテーブル３９に格納する。
【００４８】
続いてＭＡＣ−ＩＰテーブル取得部４７は、トレース情報管理部３６から受け取ったユーザ端末ａ１１の「ＭＡＣアドレス６２：００：１１：２２：３３：４４：５５」を検索キーとしてＭＡＣ−ＩＰテーブル３９を検索し、対応するユーザ端末ａ１１のＩＰアドレスを取得する。本実施の形態の場合、「ＩＰアドレス：１０．１０．１０．２」が結果として返される。ＭＡＣ−ＩＰテーブル取得部４７は、上記「ＩＰアドレス：１０．１０．１０．２」をトレース情報管理部３６へ通知し、トレース情報管理部３６は、ユーザＩＤ６１（「ユーザａ」）に対応してそのＩＰアドレス（「１０．１０．１０．２」）を図６のトレース情報管理ＤＢ６０に追加登録する（段階Ｐ２）。
【００４９】
なお、ＭＡＣ−ＩＰテーブル取得部４７は、トレース情報管理ＤＢ６０に登録されているユーザ端末ａ１１のＭＡＣアドレス６２をＤＨＣＰサーバ４４に送信して、ＤＨＣＰサーバ４４がアドレス対応テーブルを検索して得られた対応するＩＰアドレスを、ＤＨＣＰサーバ４４から受信してもよい。
なお、ＩＰアドレスを管理する装置は、ＤＨＣＰサーバ４４に限らず適宜のアドレス管理装置を用いてもよい。
【００５０】
３．第１、第２の実施の形態の変形例
認証サーバをＴＡＣＡＣＳサーバとしたときの例について説明する。
認証サーバをＲＡＤＩＵＳサーバにしたときと同様に、ＴＡＣＡＣＳサーバ内にトレース情報管理部を設ける。トレース情報管理部は、ＡＲＰテーブル取得部と認証ログ取得部を有する。トレース情報管理部は、ＴＡＣＡＣＳ制御部内のＴＡＣＡＣＳ属性管理ＤＢからユーザ名、ユーザ端末のＭＡＣアドレス、ユーザ端末が接続しているパケット中継装置のＩＰアドレスとポート番号を取得し、そしてＴＡＣＡＣＳ制御部からログイン時間情報を取得し、ＡＲＰテーブルからユーザ端末のＩＰアドレスを取得し、認証ログからログアウト時間を取得すると、それらの情報をトレース情報管理ＤＢに格納する。
【００５１】
トレース情報管理ＤＢに格納した情報は、ＴＡＣＡＣＳサーバの管理画面、或いはリモート端末から参照可能であり、管理者はユーザの挙動を容易に理解することができる。
なお、具体的なＴＡＣＡＣＳサーバの構成及び動作については、第１及び第２の実施の形態のＲＡＤＩＵＳサーバと同様である。
【産業上の利用可能性】
【００５２】
本発明は、例えば、８０２．１Ｘ認証を用いる認証サーバに適用することができる。
【符号の説明】
【００５３】
１１ 移動前のユーザ端末ａ
１２ 移動後のユーザ端末ａ
１３、１４ ユーザ端末
２１、２２ パケット中継装置
３１、３１０ ＲＡＤＩＵＳサーバ
３２ 回線インタフェース
３３ パケット処理部
３４ パケット送受信部
３５ ＲＡＤＩＵＳ制御部
３６ トレース情報管理部
３７ ＡＲＰテーブル
３８ 認証ログＤＢ
３９ ＭＡＣ−ＩＰテーブル
４１、４２ サブネットワーク（部署）
４３ 社内ＬＡＮ
４４ ＤＨＣＰサーバ
４５ ＡＲＰテーブル取得部
４６ 認証ログ取得部
４７ ＭＡＣ−ＩＰテーブル取得部
５０ ユーザ属性管理ＤＢ
６０ トレース情報管理ＤＢ
７０ 出力部
【特許請求の範囲】
【請求項１】
接続されるユーザ端末のＭＡＣアドレスと該ユーザ端末のＩＰアドレスが対応して記憶されたアドレス解決テーブルを有し、前記ユーザ端末との認証又は通信についてのログを管理するひとつ又は複数のパケット中継装置と、該パケット中継装置を介して前記ユーザ端末と通信してユーザ認証を行う認証サーバとを備えたシステムにおける前記認証サーバであって、
ユーザ識別子に対応して、前記ユーザ端末のＭＡＣアドレスと、前記ユーザ端末のＩＰアドレスと、前記パケット中継装置のＩＰアドレスと、前記ユーザ端末が繋がる前記パケット中継装置のポートのポート識別子と、前記ユーザ端末のログイン時刻又はログアウト時刻とが記憶されるトレース情報記憶部と、
前記ユーザ端末とのユーザ認証において受信される情報から、少なくともユーザ識別子と、前記ユーザ端末のＭＡＣアドレスと、前記パケット中継装置のＩＰアドレスと、前記ユーザ端末が接続される前記パケット中継装置のポートのポート識別子とを取得し、取得した各情報を対応して前記トレース情報記憶部に記憶する認証制御部と、
前記ユーザ端末が接続された前記パケット中継装置の前記アドレス解決テーブルを参照して、前記認証制御部で取得された前記ユーザ端末のＭＡＣアドレスに基づき、対応する前記ユーザ端末のＩＰアドレスを取得し、取得した前記ユーザ端末のＩＰアドレスをユーザ識別子に対応して前記トレース情報記憶部に記憶するアドレス解決部と、
前記パケット中継装置での前記ログを参照して前記ユーザ端末のログアウト時刻を求め、求められたログアウト時刻をユーザ識別子に対応して前記トレース情報記憶部に記憶するログ管理部と
を備えた前記認証サーバ。
【請求項２】
ユーザ端末のＭＡＣアドレスと該ユーザ端末のＩＰアドレスが対応して記憶されたアドレス対応テーブルを有するアドレス管理装置と、前記ユーザ端末との認証又は通信についてのログを管理するひとつ又は複数のパケット中継装置と、該パケット中継装置を介して前記ユーザ端末と通信してユーザ認証を行う認証サーバとを備えたシステムにおける前記認証サーバであって、
ユーザ識別子に対応して、前記ユーザ端末のＭＡＣアドレスと、前記ユーザ端末のＩＰアドレスと、前記パケット中継装置のＩＰアドレスと、前記ユーザ端末が繋がる前記パケット中継装置のポートのポート識別子と、前記ユーザ端末のログイン時刻又はログアウト時刻とが記憶されるトレース情報記憶部と、
前記ユーザ端末とのユーザ認証において受信される情報から、少なくともユーザ識別子と、前記ユーザ端末のＭＡＣアドレスと、前記パケット中継装置のＩＰアドレスと、前記ユーザ端末が接続される前記パケット中継装置のポートのポート識別子とを取得し、取得した各情報を対応して前記トレース情報記憶部に記憶する認証制御部と、
前記アドレス管理装置の前記アドレス対応テーブルを参照して、前記認証制御部で取得された前記ユーザ端末のＭＡＣアドレスに基づき、対応する前記ユーザ端末のＩＰアドレスを取得し、取得した前記ユーザ端末のＩＰアドレスをユーザ識別子に対応して前記トレース情報記憶部に記憶するアドレス解決部と、
前記パケット中継装置での前記ログを参照して前記ユーザ端末のログアウト時刻を求め、求められたログアウト時刻をユーザ識別子に対応して前記トレース情報記憶部に記憶するログ管理部と
を備えた前記認証サーバ。
【請求項３】
前記アドレス管理装置は、前記ユーザ端末にＩＰアドレスを割り当てるアドレス配布サーバである請求項２に記載の認証サーバ。
【請求項４】
前記認証制御部は、前記ユーザ端末がユーザ認証された時刻をログイン時刻とし、ユーザ識別子に対応して前記トレース情報記憶部に記憶する請求項１乃至３のいずれかに記載の認証サーバ。
【請求項５】
前記認証サーバは、ＲＡＤＩＵＳサーバ又はＴＡＣＡＣＳサーバであることを特徴とする請求項１乃至４のいずれかに記載の認証サーバ。
【請求項６】
前記アドレス解決部は、前記パケット中継装置から前記アドレス解決テーブルを取得し、前記認証制御部で取得されたログイン済みの前記ユーザ端末のＭＡＣアドレスを検索キーとして取得した前記アドレス解決テーブルを検索し、該当ユーザ端末に対応するＩＰアドレスを取得する請求項１に記載の認証サーバ。
【請求項７】
前記アドレス解決部は、ＳＮＭＰ又はＮＥＴＣＯＭＦを利用して前記パケット中継装置から前記アドレス解決テーブルを取得する請求項６に記載の認証サーバ。
【請求項８】
前記認証管理部は、
前記パケット中継装置から前記ログを定期的に取得し、前記トレース情報記憶部に記憶されたユーザ識別子及び前記ユーザ端末のＭＡＣアドレスを検索キーとして前記ログを検索し、該当するユーザのログアウト時刻を取得する請求項１乃至７のいずれかに記載の認証サーバ。
【請求項９】
前記トレース情報記憶部に記憶された各情報を、ユーザ識別子毎に、ログイン時刻又はログアウト時刻でソートして、ユーザの行動をトレースしたトレース情報を求める請求項１乃至８のいずれかに記載の認証サーバ。
【請求項１０】
求められたトレース情報を表示又は出力する出力部をさらに備える請求項１乃至９のいずれかに記載の認証サーバ。
【請求項１】
接続されるユーザ端末のＭＡＣアドレスと該ユーザ端末のＩＰアドレスが対応して記憶されたアドレス解決テーブルを有し、前記ユーザ端末との認証又は通信についてのログを管理するひとつ又は複数のパケット中継装置と、該パケット中継装置を介して前記ユーザ端末と通信してユーザ認証を行う認証サーバとを備えたシステムにおける前記認証サーバであって、
ユーザ識別子に対応して、前記ユーザ端末のＭＡＣアドレスと、前記ユーザ端末のＩＰアドレスと、前記パケット中継装置のＩＰアドレスと、前記ユーザ端末が繋がる前記パケット中継装置のポートのポート識別子と、前記ユーザ端末のログイン時刻又はログアウト時刻とが記憶されるトレース情報記憶部と、
前記ユーザ端末とのユーザ認証において受信される情報から、少なくともユーザ識別子と、前記ユーザ端末のＭＡＣアドレスと、前記パケット中継装置のＩＰアドレスと、前記ユーザ端末が接続される前記パケット中継装置のポートのポート識別子とを取得し、取得した各情報を対応して前記トレース情報記憶部に記憶する認証制御部と、
前記ユーザ端末が接続された前記パケット中継装置の前記アドレス解決テーブルを参照して、前記認証制御部で取得された前記ユーザ端末のＭＡＣアドレスに基づき、対応する前記ユーザ端末のＩＰアドレスを取得し、取得した前記ユーザ端末のＩＰアドレスをユーザ識別子に対応して前記トレース情報記憶部に記憶するアドレス解決部と、
前記パケット中継装置での前記ログを参照して前記ユーザ端末のログアウト時刻を求め、求められたログアウト時刻をユーザ識別子に対応して前記トレース情報記憶部に記憶するログ管理部と
を備えた前記認証サーバ。
【請求項２】
ユーザ端末のＭＡＣアドレスと該ユーザ端末のＩＰアドレスが対応して記憶されたアドレス対応テーブルを有するアドレス管理装置と、前記ユーザ端末との認証又は通信についてのログを管理するひとつ又は複数のパケット中継装置と、該パケット中継装置を介して前記ユーザ端末と通信してユーザ認証を行う認証サーバとを備えたシステムにおける前記認証サーバであって、
ユーザ識別子に対応して、前記ユーザ端末のＭＡＣアドレスと、前記ユーザ端末のＩＰアドレスと、前記パケット中継装置のＩＰアドレスと、前記ユーザ端末が繋がる前記パケット中継装置のポートのポート識別子と、前記ユーザ端末のログイン時刻又はログアウト時刻とが記憶されるトレース情報記憶部と、
前記ユーザ端末とのユーザ認証において受信される情報から、少なくともユーザ識別子と、前記ユーザ端末のＭＡＣアドレスと、前記パケット中継装置のＩＰアドレスと、前記ユーザ端末が接続される前記パケット中継装置のポートのポート識別子とを取得し、取得した各情報を対応して前記トレース情報記憶部に記憶する認証制御部と、
前記アドレス管理装置の前記アドレス対応テーブルを参照して、前記認証制御部で取得された前記ユーザ端末のＭＡＣアドレスに基づき、対応する前記ユーザ端末のＩＰアドレスを取得し、取得した前記ユーザ端末のＩＰアドレスをユーザ識別子に対応して前記トレース情報記憶部に記憶するアドレス解決部と、
前記パケット中継装置での前記ログを参照して前記ユーザ端末のログアウト時刻を求め、求められたログアウト時刻をユーザ識別子に対応して前記トレース情報記憶部に記憶するログ管理部と
を備えた前記認証サーバ。
【請求項３】
前記アドレス管理装置は、前記ユーザ端末にＩＰアドレスを割り当てるアドレス配布サーバである請求項２に記載の認証サーバ。
【請求項４】
前記認証制御部は、前記ユーザ端末がユーザ認証された時刻をログイン時刻とし、ユーザ識別子に対応して前記トレース情報記憶部に記憶する請求項１乃至３のいずれかに記載の認証サーバ。
【請求項５】
前記認証サーバは、ＲＡＤＩＵＳサーバ又はＴＡＣＡＣＳサーバであることを特徴とする請求項１乃至４のいずれかに記載の認証サーバ。
【請求項６】
前記アドレス解決部は、前記パケット中継装置から前記アドレス解決テーブルを取得し、前記認証制御部で取得されたログイン済みの前記ユーザ端末のＭＡＣアドレスを検索キーとして取得した前記アドレス解決テーブルを検索し、該当ユーザ端末に対応するＩＰアドレスを取得する請求項１に記載の認証サーバ。
【請求項７】
前記アドレス解決部は、ＳＮＭＰ又はＮＥＴＣＯＭＦを利用して前記パケット中継装置から前記アドレス解決テーブルを取得する請求項６に記載の認証サーバ。
【請求項８】
前記認証管理部は、
前記パケット中継装置から前記ログを定期的に取得し、前記トレース情報記憶部に記憶されたユーザ識別子及び前記ユーザ端末のＭＡＣアドレスを検索キーとして前記ログを検索し、該当するユーザのログアウト時刻を取得する請求項１乃至７のいずれかに記載の認証サーバ。
【請求項９】
前記トレース情報記憶部に記憶された各情報を、ユーザ識別子毎に、ログイン時刻又はログアウト時刻でソートして、ユーザの行動をトレースしたトレース情報を求める請求項１乃至８のいずれかに記載の認証サーバ。
【請求項１０】
求められたトレース情報を表示又は出力する出力部をさらに備える請求項１乃至９のいずれかに記載の認証サーバ。
【図１】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【公開番号】特開２０１０−１８７２２３（Ｐ２０１０−１８７２２３Ａ）
【公開日】平成２２年８月２６日（２０１０．８．２６）
【国際特許分類】
【出願番号】特願２００９−３０１５７（Ｐ２００９−３０１５７）
【出願日】平成２１年２月１２日（２００９．２．１２）
【出願人】（５０４４１１１６６）アラクサラネットワークス株式会社 (315)
【Ｆターム（参考）】
【公開日】平成２２年８月２６日（２０１０．８．２６）
【国際特許分類】
【出願日】平成２１年２月１２日（２００９．２．１２）
【出願人】（５０４４１１１６６）アラクサラネットワークス株式会社 (315)
【Ｆターム（参考）】
[ Back to top ]