JP2008060766A - ネットワーク監視装置、検疫システム、セキュアゲートウェイ、ネットワーク監視プログラム及びネットワーク監視方法 - Google Patents
ネットワーク監視装置、検疫システム、セキュアゲートウェイ、ネットワーク監視プログラム及びネットワーク監視方法 Download PDFInfo
- Publication number
- JP2008060766A JP2008060766A JP2006233255A JP2006233255A JP2008060766A JP 2008060766 A JP2008060766 A JP 2008060766A JP 2006233255 A JP2006233255 A JP 2006233255A JP 2006233255 A JP2006233255 A JP 2006233255A JP 2008060766 A JP2008060766 A JP 2008060766A
- Authority
- JP
- Japan
- Prior art keywords
- terminal
- quarantine
- network
- connection request
- unit
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Granted
Links
Images
Landscapes
- Data Exchanges In Wide-Area Networks (AREA)
Abstract
【課題】ＶＬＡＮ対応スイッチを導入することなく、既存のネットワークへ検疫システムを追加可能とすることを目的とする。
【解決手段】エージェント３は、エージェント端末３００にインストールされ、他の端末からのＡＲＰ Ｒｅｑｕｅｓｔに対してエージェント端末３００がＡＲＰ Ｒｅｐｌｙを出力しないように制御する。ＳＧＷ１００は、監視ネットワークに接続された端末へのＡＲＰ Ｒｅｑｕｅｓｔを検出し、送信元端末の検疫判定を行う。ＳＧＷ１００は、検疫判定の結果、送信元端末が検疫済であれば、ＡＲＰ Ｒｅｑｕｅｓｔの宛先のエージェント端末３００にインストールされたエージェント３へ、ＡＲＰ Ｒｅｑｕｅｓｔに対してＡＲＰ Ｒｅｐｌｙを出力するように指示する。指示を受けたエージェント３は、エージェント端末３００をＡＲＰ Ｒｅｐｌｙを出力するように制御する。
【選択図】図３
【解決手段】エージェント３は、エージェント端末３００にインストールされ、他の端末からのＡＲＰ Ｒｅｑｕｅｓｔに対してエージェント端末３００がＡＲＰ Ｒｅｐｌｙを出力しないように制御する。ＳＧＷ１００は、監視ネットワークに接続された端末へのＡＲＰ Ｒｅｑｕｅｓｔを検出し、送信元端末の検疫判定を行う。ＳＧＷ１００は、検疫判定の結果、送信元端末が検疫済であれば、ＡＲＰ Ｒｅｑｕｅｓｔの宛先のエージェント端末３００にインストールされたエージェント３へ、ＡＲＰ Ｒｅｑｕｅｓｔに対してＡＲＰ Ｒｅｐｌｙを出力するように指示する。指示を受けたエージェント３は、エージェント端末３００をＡＲＰ Ｒｅｐｌｙを出力するように制御する。
【選択図】図３
Description
本発明は、例えば、コンピュータがネットワークを介して接続されているネットワークシステムにおいて、不正端末を検出し排除する検疫システムに関する。
従来、ＶＬＡＮ（Ｖｉｒｔｕａｌ Ｌｏｃａｌ Ａｒｅａ Ｎｅｔｗｏｒｋ）対応スイッチ（Ｓｗｉｔｃｈ）を用いたＶＬＡＮ制御による検疫システムがある。しかし、既存のネットワークＶＬＡＮ対応スイッチを用いたＶＬＡＮ制御による検疫システムを導入するには、新たにＶＬＡＮ対応のスイッチを導入しなければならない。これには導入コストが必要であるのみならず、ネットワークに関する各種の設定変更や、既存ネットワークからの変更に伴う障害発生の危険など、多くのリスクがある。
また、特許文献１には、クライアントのセキュリティチェック方法についての記載がある。特許文献１では、クライアントには何らかのセキュリティチェックツールが備わっていることを前提としている。しかし、攻撃者が攻撃を目的としてクライアントをネットワークに接続した場合、この前提は成立せず、検疫完了前のクライアントから攻撃を受ける可能性がある。
特開２００５−２９３００７号公報
ＶＬＡＮ対応スイッチを用いたＶＬＡＮ制御による検疫システムにおいては、ＶＬＡＮ対応のスイッチを導入しなければならない。また、ネットワークに関する設定変更をしなければならない。したがって、既存のネットワークへ検疫機能を追加することが難しい。
また、特許文献１に記載されたクライアントのセキュリティチェック方法においては、接続したクライアントの検疫完了前には攻撃を受け得る。そのため、接続したクライアントの検疫を完了するまでに、クライアントには何らかのセキュリティチェックツールが備わっているという前提を必要としない他の防御方式が必要である。
また、特許文献１に記載されたクライアントのセキュリティチェック方法においては、接続したクライアントの検疫完了前には攻撃を受け得る。そのため、接続したクライアントの検疫を完了するまでに、クライアントには何らかのセキュリティチェックツールが備わっているという前提を必要としない他の防御方式が必要である。
本発明は、例えば、新たなＶＬＡＮ対応スイッチを導入することなく、既存のネットワークへ検疫システムを追加可能とするとともに、新規端末が攻撃端末であった場合に、その端末のみを端末レベルで隔離することを目的とする。
また新規にネットワークに接続された端末が不正端末であった場合など、不正端末に何らセキュリティチェックツールが備わっていなくても、不正端末を検出し排除することを目的とする。
さらに、新規にネットワークに接続された端末を不正であると判断する前に、上記端末が攻撃を開始した場合であっても、検疫済の端末が被害を受けない検疫システムを構築することを目的とする。
また新規にネットワークに接続された端末が不正端末であった場合など、不正端末に何らセキュリティチェックツールが備わっていなくても、不正端末を検出し排除することを目的とする。
さらに、新規にネットワークに接続された端末を不正であると判断する前に、上記端末が攻撃を開始した場合であっても、検疫済の端末が被害を受けない検疫システムを構築することを目的とする。
本発明に係るネットワーク監視装置は、例えば、送信元端末から接続要求を受信しても応答の指示がされない限り接続要求に対して応答しない送信先端末に宛てられた接続要求を、ネットワークを介して通信装置により受信する接続要求受信部と、
端末が検疫済か否かを示す検疫判定情報を記憶装置に記憶する検疫判定情報記憶部と、
上記検疫判定情報記憶部が記憶した検疫判定情報に基づき、送信元端末が検疫済か否かを処理装置により判定する検疫判定部と、
上記送信元端末が検疫済であると上記検疫判定部が判定した場合、接続要求に対して応答するように送信先端末へ処理装置により指示する応答指示部と
を備えることを特徴とする。
端末が検疫済か否かを示す検疫判定情報を記憶装置に記憶する検疫判定情報記憶部と、
上記検疫判定情報記憶部が記憶した検疫判定情報に基づき、送信元端末が検疫済か否かを処理装置により判定する検疫判定部と、
上記送信元端末が検疫済であると上記検疫判定部が判定した場合、接続要求に対して応答するように送信先端末へ処理装置により指示する応答指示部と
を備えることを特徴とする。
本発明に係るネットワーク監視装置によれば、応答指示部が指示した送信先端末以外は送信元端末からの接続要求に対して応答しない。そのため、ＶＬＡＮ制御を用いることなく、不正端末を検出し排除することができる。また、ＶＬＡＮ制御を用いる必要がないので、既存のネットワークへ容易に検疫機能を追加することができる。
図１は、実施の形態における検疫システム１０００の外観の一例を示す図である。
図１において、検疫システム１０００は、サーバＡ９１０Ａ、サーバＢ９１０Ｂ、サーバＣ９１０Ｃ、ＰＣ（パーソナルコンピュータ）Ａ９０９Ａ、ＰＣＢ９０９Ｂ、ＰＣＣ９０９Ｃなどを備える。また、ＰＣＡ９０９Ａ、ＰＣＢ９０９Ｂ、ＰＣＣ９０９Ｃは、ＬＣＤ（液晶）９０１、キーボード９０２（Ｋｅｙ・Ｂｏａｒｄ：Ｋ／Ｂ）、マウス９０３、ＦＤＤ９０４（Ｆｌｅｘｉｂｌｅ・Ｄｉｓｃ・Ｄｒｉｖｅ）などのハードウェア資源を備え、これらのハードウェア資源はケーブルや信号線で接続されている。
サーバＡ９１０Ａ、サーバＢ９１０Ｂ、サーバＣ９１０Ｃ、ＰＣＡ９０９Ａ、ＰＣＢ９０９Ｂ、ＰＣＣ９０９Ｃは、コンピュータであり、ローカルエリアネットワーク９４２（ＬＡＮ）やインターネット９４０により接続されている。
ここで、サーバＡ９１０Ａは、ＳＧＷ１００（セキュアゲートウェイ、ネットワーク監視装置）の一例である。また、ＰＣＡ９０９Ａ、ＰＣＢ９０９Ｂ、ＰＣＣ９０９Ｃ、サーバＣ９１０Ｃは、エージェント端末３００の一例である。また、サーバＢ９１０Ｂは、管理サーバ２００の一例である。
図１において、検疫システム１０００は、サーバＡ９１０Ａ、サーバＢ９１０Ｂ、サーバＣ９１０Ｃ、ＰＣ（パーソナルコンピュータ）Ａ９０９Ａ、ＰＣＢ９０９Ｂ、ＰＣＣ９０９Ｃなどを備える。また、ＰＣＡ９０９Ａ、ＰＣＢ９０９Ｂ、ＰＣＣ９０９Ｃは、ＬＣＤ（液晶）９０１、キーボード９０２（Ｋｅｙ・Ｂｏａｒｄ：Ｋ／Ｂ）、マウス９０３、ＦＤＤ９０４（Ｆｌｅｘｉｂｌｅ・Ｄｉｓｃ・Ｄｒｉｖｅ）などのハードウェア資源を備え、これらのハードウェア資源はケーブルや信号線で接続されている。
サーバＡ９１０Ａ、サーバＢ９１０Ｂ、サーバＣ９１０Ｃ、ＰＣＡ９０９Ａ、ＰＣＢ９０９Ｂ、ＰＣＣ９０９Ｃは、コンピュータであり、ローカルエリアネットワーク９４２（ＬＡＮ）やインターネット９４０により接続されている。
ここで、サーバＡ９１０Ａは、ＳＧＷ１００（セキュアゲートウェイ、ネットワーク監視装置）の一例である。また、ＰＣＡ９０９Ａ、ＰＣＢ９０９Ｂ、ＰＣＣ９０９Ｃ、サーバＣ９１０Ｃは、エージェント端末３００の一例である。また、サーバＢ９１０Ｂは、管理サーバ２００の一例である。
図２は、実施の形態におけるＳＧＷ１００、管理サーバ２００及びエージェント端末３００のハードウェア資源の一例を示す図である。
図２において、ＳＧＷ１００、管理サーバ２００及びエージェント端末３００は、プログラムを実行するＣＰＵ９１１（Ｃｅｎｔｒａｌ・Ｐｒｏｃｅｓｓｉｎｇ・Ｕｎｉｔ、中央処理装置、処理装置、演算装置、マイクロプロセッサ、マイクロコンピュータ、プロセッサともいう）を備えている。ＣＰＵ９１１は、バス９１２を介してＲＯＭ９１３、ＲＡＭ９１４、通信ボード９１５、ＬＣＤ９０１、キーボード９０２、マウス９０３、ＦＤＤ９０４、磁気ディスク装置９２０と接続され、これらのハードウェアデバイスを制御する。磁気ディスク装置９２０の代わりに、光ディスク装置、メモリカード読み書き装置などの記憶装置でもよい。
図２において、ＳＧＷ１００、管理サーバ２００及びエージェント端末３００は、プログラムを実行するＣＰＵ９１１（Ｃｅｎｔｒａｌ・Ｐｒｏｃｅｓｓｉｎｇ・Ｕｎｉｔ、中央処理装置、処理装置、演算装置、マイクロプロセッサ、マイクロコンピュータ、プロセッサともいう）を備えている。ＣＰＵ９１１は、バス９１２を介してＲＯＭ９１３、ＲＡＭ９１４、通信ボード９１５、ＬＣＤ９０１、キーボード９０２、マウス９０３、ＦＤＤ９０４、磁気ディスク装置９２０と接続され、これらのハードウェアデバイスを制御する。磁気ディスク装置９２０の代わりに、光ディスク装置、メモリカード読み書き装置などの記憶装置でもよい。
ＲＡＭ９１４は、揮発性メモリの一例である。ＲＯＭ９１３、ＦＤＤ９０４、磁気ディスク装置９２０の記憶媒体は、不揮発性メモリの一例である。これらは、記憶装置９８４の一例である。
通信ボード９１５、キーボード９０２、ＦＤＤ９０４などは、入力装置９８２の一例である。
通信ボード９１５、キーボード９０２、ＦＤＤ９０４などは、入力装置９８２の一例である。
通信ボード９１５は、ＬＡＮ９４２等に接続されている。通信ボード９１５は、ＬＡＮ９４２に限らず、インターネット９４０、ＩＳＤＮ等のＷＡＮ（ワイドエリアネットワーク）などに接続されていても構わない。
磁気ディスク装置９２０又はＲＯＭ９１３などには、オペレーティングシステム９２１（ＯＳ）、ウィンドウシステム９２２、プログラム群９２３、ファイル群９２４が記憶されている。プログラム群９２３のプログラムは、ＣＰＵ９１１、オペレーティングシステム９２１、ウィンドウシステム９２２により実行される。
磁気ディスク装置９２０又はＲＯＭ９１３などには、オペレーティングシステム９２１（ＯＳ）、ウィンドウシステム９２２、プログラム群９２３、ファイル群９２４が記憶されている。プログラム群９２３のプログラムは、ＣＰＵ９１１、オペレーティングシステム９２１、ウィンドウシステム９２２により実行される。
上記プログラム群９２３には、以下に述べる実施の形態の説明において「ネットワーク監視部１１０」、「管理サーバ処理部２１０」、「端末制御部３１０」として説明する機能を実行するプログラムがそれぞれ記憶されている。プログラムは、ＣＰＵ９１１により読み出され実行される。
ファイル群９２４には、以下に述べる実施の形態の説明において、「判定」「指示」として説明する情報やデータや信号値や変数値やパラメータが、「ファイル」や「データベース」の各項目として記憶されている。「ファイル」や「データベース」は、ディスクやメモリなどの記録媒体に記憶される。ディスクやメモリになどの記憶媒体に記憶された情報やデータや信号値や変数値やパラメータは、読み書き回路を介してＣＰＵ９１１によりメインメモリやキャッシュメモリに読み出され、抽出・検索・参照・比較・演算・計算・処理・出力・印刷・表示などのＣＰＵ９１１の動作に用いられる。抽出・検索・参照・比較・演算・計算・処理・出力・印刷・表示のＣＰＵ９１１の動作の間、情報やデータや信号値や変数値やパラメータは、メインメモリやキャッシュメモリやバッファメモリに一時的に記憶される。
また、以下に述べる実施の形態の説明において説明するフローチャートの矢印の部分は主としてデータや信号の入出力を示し、データや信号値は、ＲＡＭ９１４のメモリ、ＦＤＤ９０４のフレキシブルディスク、コンパクトディスク、磁気ディスク装置９２０の磁気ディスク、その他光ディスク、ミニディスク、ＤＶＤ（Ｄｉｇｉｔａｌ・Ｖｅｒｓａｔｉｌｅ・Ｄｉｓｃ）等の記録媒体に記録される。また、データや信号は、バス９１２や信号線やケーブルその他の伝送媒体によりオンライン伝送される。
ファイル群９２４には、以下に述べる実施の形態の説明において、「判定」「指示」として説明する情報やデータや信号値や変数値やパラメータが、「ファイル」や「データベース」の各項目として記憶されている。「ファイル」や「データベース」は、ディスクやメモリなどの記録媒体に記憶される。ディスクやメモリになどの記憶媒体に記憶された情報やデータや信号値や変数値やパラメータは、読み書き回路を介してＣＰＵ９１１によりメインメモリやキャッシュメモリに読み出され、抽出・検索・参照・比較・演算・計算・処理・出力・印刷・表示などのＣＰＵ９１１の動作に用いられる。抽出・検索・参照・比較・演算・計算・処理・出力・印刷・表示のＣＰＵ９１１の動作の間、情報やデータや信号値や変数値やパラメータは、メインメモリやキャッシュメモリやバッファメモリに一時的に記憶される。
また、以下に述べる実施の形態の説明において説明するフローチャートの矢印の部分は主としてデータや信号の入出力を示し、データや信号値は、ＲＡＭ９１４のメモリ、ＦＤＤ９０４のフレキシブルディスク、コンパクトディスク、磁気ディスク装置９２０の磁気ディスク、その他光ディスク、ミニディスク、ＤＶＤ（Ｄｉｇｉｔａｌ・Ｖｅｒｓａｔｉｌｅ・Ｄｉｓｃ）等の記録媒体に記録される。また、データや信号は、バス９１２や信号線やケーブルその他の伝送媒体によりオンライン伝送される。
また、以下に述べる実施の形態の説明において「〜部」として説明するものは、「〜回路」、「〜装置」、「〜機器」、「〜手段」であってもよく、また、「〜ステップ」、「〜手順」、「〜処理」であってもよい。すなわち、「〜部」として説明するものは、ＲＯＭ９１３に記憶されたファームウェアで実現されていても構わない。或いは、ソフトウェアのみ、或いは、素子・デバイス・基板・配線などのハードウェアのみ、或いは、ソフトウェアとハードウェアとの組み合わせ、さらには、ファームウェアとの組み合わせで実施されても構わない。ファームウェアとソフトウェアは、プログラムとして、磁気ディスク、フレキシブルディスク、光ディスク、コンパクトディスク、ミニディスク、ＤＶＤ等の記録媒体に記憶される。プログラムはＣＰＵ９１１により読み出され、ＣＰＵ９１１により実行される。すなわち、プログラムは、以下に述べる「〜部」としてコンピュータを機能させるものである。あるいは、以下に述べる「〜部」の手順や方法をコンピュータに実行させるものである。
実施の形態１．
実施の形態１では、ＶＬＡＮ機能を使用することなく不正端末を検出し排除する検疫システム１０００について説明する。
実施の形態１では、ＶＬＡＮ機能を使用することなく不正端末を検出し排除する検疫システム１０００について説明する。
まず、図３に基づき実施の形態１に係る検疫システム１０００の構成を説明する。
検疫システム１０００は、監視下のネットワークを保護するＳＧＷ１００と、端末が監視下のネットワークのセキュリティポリシーに合致する正常端末であるかを判断する管理サーバ２００と、各端末に設定（インストール）され、当該端末がセキュリティポリシーに合致するものであることを保証するエージェント３とを備える。
図３において、不正端末５００はエージェント３がインストールされておらず、また未検疫の端末である。その他のエージェント３がインストールされたエージェント端末３００は検疫済の正常端末である。
検疫システム１０００は、監視下のネットワークを保護するＳＧＷ１００と、端末が監視下のネットワークのセキュリティポリシーに合致する正常端末であるかを判断する管理サーバ２００と、各端末に設定（インストール）され、当該端末がセキュリティポリシーに合致するものであることを保証するエージェント３とを備える。
図３において、不正端末５００はエージェント３がインストールされておらず、また未検疫の端末である。その他のエージェント３がインストールされたエージェント端末３００は検疫済の正常端末である。
検疫システム１０００の構成要素について簡単に説明する。
ＳＧＷ１００は、保護対象のネットワークである監視ネットワークの通信を監視する。ＳＧＷ１００は、未検疫端末を検出し検疫判定を行う機能と、通信を監視し、検疫済端末の通信は透過、未検疫端末の通信は遮断する機能とを有する。図３においては、不正端末５００はエージェント３がインストールされておらず、未検疫であるため、ＳＧＷ１００は不正端末５００の通信を遮断する。一方、ＳＧＷ１００は、正常端末であるエージェント端末３００の通信を透過する。
エージェント３は、端末にインストールされ、端末が安全な状態であることを監視する。また、エージェント３は、ＯＳ等のパッチや、ウィルス駆除ソフトの定義ファイルなどが最新であることをチェックし、管理サーバ２００に通知する機能と、ＳＧＷ１００が検疫判定を行う際に、端末にエージェント３をインストール済みであることをＳＧＷ１００へ通知する機能とを有する。
管理サーバ２００は、ＳＧＷ１００やエージェント３へ必要な情報を配布する機能と、ＳＧＷ１００やエージェント３からの情報を収集し管理する機能とを有する。
検疫システム１０００は、以上の構成要素を用いて、外部から端末を持ち込んでも、自由に通信することを防止するシステムである。
ＳＧＷ１００は、保護対象のネットワークである監視ネットワークの通信を監視する。ＳＧＷ１００は、未検疫端末を検出し検疫判定を行う機能と、通信を監視し、検疫済端末の通信は透過、未検疫端末の通信は遮断する機能とを有する。図３においては、不正端末５００はエージェント３がインストールされておらず、未検疫であるため、ＳＧＷ１００は不正端末５００の通信を遮断する。一方、ＳＧＷ１００は、正常端末であるエージェント端末３００の通信を透過する。
エージェント３は、端末にインストールされ、端末が安全な状態であることを監視する。また、エージェント３は、ＯＳ等のパッチや、ウィルス駆除ソフトの定義ファイルなどが最新であることをチェックし、管理サーバ２００に通知する機能と、ＳＧＷ１００が検疫判定を行う際に、端末にエージェント３をインストール済みであることをＳＧＷ１００へ通知する機能とを有する。
管理サーバ２００は、ＳＧＷ１００やエージェント３へ必要な情報を配布する機能と、ＳＧＷ１００やエージェント３からの情報を収集し管理する機能とを有する。
検疫システム１０００は、以上の構成要素を用いて、外部から端末を持ち込んでも、自由に通信することを防止するシステムである。
次に、図４に基づき検疫システム１０００が未検疫端末を検出した場合の動作について説明する。図４は、図３に示す検疫システム１０００が未検疫端末を検出した場合の動作を示す図である。
検疫システム１０００は、未検疫端末を検出した場合、以下の動作により検疫判定を行う。
１．端末が通信を開始する。ＳＧＷ１００は、この通信を拾い、端末が検疫済か未検疫かを判定する（１）。ＳＧＷ１００は端末が未検疫であると判定すると検疫処理を管理サーバ２００へ依頼する。管理サーバ２００は、エージェント３がインストールされているか否か、及びパッチ情報を端末へ問合せする（２）。ここでは、管理サーバ２００は、ＳＧＷ１００経由で端末へ問合せを行っているが、直接端末へ問合せを行っても構わない。
２．端末にインストールされたエージェント３は、必要な情報を管理サーバ２００へ通知する（３，４）。
３．管理サーバ２００は、ＳＧＷ１００へ検疫結果を通知する（５）。
４．ＳＷＧ１は、検疫結果に従い、通信を透過もしくは破棄する。図４において、ＳＧＷ１００は、不正端末５００の通信であれば破棄し、エージェント端末３００の通信であれば透過する（６）。
ＳＧＷ１００は、一度検疫済みとなった端末を記憶し、それ以降記憶された端末は、ＳＧＷ１００にて透過中継される。
検疫システム１０００は、未検疫端末を検出した場合、以下の動作により検疫判定を行う。
１．端末が通信を開始する。ＳＧＷ１００は、この通信を拾い、端末が検疫済か未検疫かを判定する（１）。ＳＧＷ１００は端末が未検疫であると判定すると検疫処理を管理サーバ２００へ依頼する。管理サーバ２００は、エージェント３がインストールされているか否か、及びパッチ情報を端末へ問合せする（２）。ここでは、管理サーバ２００は、ＳＧＷ１００経由で端末へ問合せを行っているが、直接端末へ問合せを行っても構わない。
２．端末にインストールされたエージェント３は、必要な情報を管理サーバ２００へ通知する（３，４）。
３．管理サーバ２００は、ＳＧＷ１００へ検疫結果を通知する（５）。
４．ＳＷＧ１は、検疫結果に従い、通信を透過もしくは破棄する。図４において、ＳＧＷ１００は、不正端末５００の通信であれば破棄し、エージェント端末３００の通信であれば透過する（６）。
ＳＧＷ１００は、一度検疫済みとなった端末を記憶し、それ以降記憶された端末は、ＳＧＷ１００にて透過中継される。
上記の説明において、ＳＧＷ１００は、端末が開始した通信を拾うことで、検疫判定を行った。端末は、通常、通信に先立ちＡＲＰ（Ａｄｄｒｅｓｓ Ｒｅｓｏｌｕｔｉｏｎ Ｐｒｏｔｏｃｏｌ） Ｒｅｑｕｅｓｔをブロードキャストして、相手先のＭＡＣ（Ｍｅｄｉａ Ａｃｃｅｓｓ Ｃｏｎｔｒｏｌ）アドレスを解決しようとする。そこで、ＳＧＷ１００は、このＡＲＰ Ｒｅｑｕｅｓｔを拾うことで上述した検疫判定を開始することが可能である。
ここで、実施の形態１に係る検疫システム１０００に使用されるスイッチは、ＶＬＡＮ機能を有さないことを特徴とする。しかし、上述した検疫システム１０００の動作を単純に行う場合、スイッチがＶＬＡＮ機能を有さないために弊害を伴うことになる。そこで、まず、スイッチがＶＬＡＮ機能を有さないことによる弊害について説明し、次に、この弊害の解決方法について説明する。
図５及び図６において、各々の端末はスイッチ４により接続される。あるシステムを初めから検疫システムとして構築する場合、一般にスイッチ４はＶＬＡＮ機能を持つものが用いられる。この理由は、未検疫端末と検疫済端末とを分けるためである。スイッチ４がＶＬＡＮ機能を持つことにより、仮に新規接続された端末が攻撃端末（不正端末５００）であった場合でも、検疫済端末であるエージェント端末３００とはＶＬＡＮが異なり、攻撃端末が接続されてもエージェント端末３００に被害が及ぶことは無い。
一方で、ＶＬＡＮ機能が無い環境でそのまま検疫システム１０００を構築しようとした場合、検疫済端末と新規接続端末は同じネットワークに存在するため、検疫済端末であるか否かを問わず通信が成立してしまう。
図５及び図６において、各々の端末はスイッチ４により接続される。あるシステムを初めから検疫システムとして構築する場合、一般にスイッチ４はＶＬＡＮ機能を持つものが用いられる。この理由は、未検疫端末と検疫済端末とを分けるためである。スイッチ４がＶＬＡＮ機能を持つことにより、仮に新規接続された端末が攻撃端末（不正端末５００）であった場合でも、検疫済端末であるエージェント端末３００とはＶＬＡＮが異なり、攻撃端末が接続されてもエージェント端末３００に被害が及ぶことは無い。
一方で、ＶＬＡＮ機能が無い環境でそのまま検疫システム１０００を構築しようとした場合、検疫済端末と新規接続端末は同じネットワークに存在するため、検疫済端末であるか否かを問わず通信が成立してしまう。
図５及び図６に示すように、新規にネットワークに接続された端末が攻撃端末である場合、ネットワーク内に存在する端末を探索するため大量にＡＲＰ Ｒｅｑｕｅｓｔを送信することが考えられる。同じスイッチ４に接続されている端末は、このＡＲＰ ＲｅｑｕｅｓｔにＡＲＰ Ｒｅｐｌｙを返してしまうため、攻撃端末にその存在が知られる。その結果、攻撃端末の攻撃が成立するのみならず、スイッチ４で区切られているため、ＳＧＷ１００からは内部で攻撃が行なわれていることさえも知ることができない。
また、仮に攻撃端末がネットワークに接続されたことを判断できたとしても、ＶＬＡＮ機能を有さないため、ＶＬＡＮによる隔離が不可能である。そのため、攻撃端末のみを隔離することは出来ず、正常なエージェント端末３００も含めてスイッチ４以下のすべての端末を隔離することになる。つまり、スイッチ４以下の正常なエージェント端末３００は、正常であるにもかかわらず他のネットワークから隔離されることになる。また、エージェント３は監視下のエージェント端末３００が攻撃されていることを判断できたとしても、攻撃を受けているのでそれを通知することが困難となることが考えられる。そのため、被害が拡大するおそれがある。
ＶＬＡＮ機能を有さないことによりこのような弊害がある。そこで、次に、上述したＶＬＡＮ機能を有さないことによる弊害を解決する方法について説明する。
エージェント３とＳＧＷ１００とが次の動作を行うことにより上記弊害を解決する。
エージェント３とＳＧＷ１００とが次の動作を行うことにより上記弊害を解決する。
まず、エージェント３の動作について説明する。
エージェント端末３００にインストールされたエージェント３は、エージェント端末３００が以下の動作となるように制御する。
（１）エージェント端末３００は、ＳＧＷ１００から誘導（指示）がない限り、すべてのＡＲＰ Ｒｅｑｕｅｓｔに対してＡＲＰ Ｒｅｐｌｙを返さない。また、エージェント端末３００は、ＡＲＰ Ｒｅｑｕｅｓｔを受信してもＡＲＰキャッシュは更新しない。
（２）エージェント端末３００は、ＳＧＷ１００からのＡＲＰ誘導があった場合のみＡＲＰ Ｒｅｐｌｙを出力する。
（３）エージェント端末３００は、エージェント端末３００が出したＡＲＰ Ｒｅｑｕｅｓｔに対するＡＲＰ Ｒｅｐｌｙだけを受取る。
エージェント端末３００にインストールされたエージェント３は、エージェント端末３００が以下の動作となるように制御する。
（１）エージェント端末３００は、ＳＧＷ１００から誘導（指示）がない限り、すべてのＡＲＰ Ｒｅｑｕｅｓｔに対してＡＲＰ Ｒｅｐｌｙを返さない。また、エージェント端末３００は、ＡＲＰ Ｒｅｑｕｅｓｔを受信してもＡＲＰキャッシュは更新しない。
（２）エージェント端末３００は、ＳＧＷ１００からのＡＲＰ誘導があった場合のみＡＲＰ Ｒｅｐｌｙを出力する。
（３）エージェント端末３００は、エージェント端末３００が出したＡＲＰ Ｒｅｑｕｅｓｔに対するＡＲＰ Ｒｅｐｌｙだけを受取る。
上記（１）については、エージェント端末３００が所属するサブネット以外からのＡＲＰ ＲｅｑｕｅｓｔにはＡＲＰ Ｒｅｐｌｙを出力することも可能である。しかし、通常、攻撃者は攻撃端末のアドレスを詐称する。そのため、ここでは、すべてのＡＲＰ Ｒｅｑｕｅｓｔに対してＡＲＰ Ｒｅｐｌｙを返さないこととする。
また、エージェント端末３００のＡＲＰキャッシュについては、ＡＲＰ Ｒｅｐｌｙを受信することで通常のＡＲＰプロトコルスタックが更新する。
また、エージェント端末３００のＡＲＰキャッシュについては、ＡＲＰ Ｒｅｐｌｙを受信することで通常のＡＲＰプロトコルスタックが更新する。
次に、ＳＧＷ１００の動作について説明する。
まず、ＳＧＷ１００の動作の概要を説明する。ＳＧＷ１００は、ＡＲＰ Ｒｅｑｕｅｓｔを受信した後、ＡＲＰ Ｒｅｑｕｅｓｔの出力元が正常端末であるか否かの判定を終えるまでこれを保持する。ＳＧＷ１００は、ＡＲＰ Ｒｅｑｕｅｓｔの出力元が正常端末であると判断した場合、ＡＲＰ Ｒｅｑｕｅｓｔの送信先の端末をＡＲＰ Ｒｅｐｌｙを出力するように誘導する。ＳＧＷ１００は、ＡＲＰ Ｒｅｑｕｅｓｔの出力元が不正端末であると判定した場合、ＡＲＰ Ｒｅｑｕｅｓｔを破棄し、これ以降はどの端末もその出力元の端末へＡＲＰ Ｒｅｐｌｙを出力しない。
まず、ＳＧＷ１００の動作の概要を説明する。ＳＧＷ１００は、ＡＲＰ Ｒｅｑｕｅｓｔを受信した後、ＡＲＰ Ｒｅｑｕｅｓｔの出力元が正常端末であるか否かの判定を終えるまでこれを保持する。ＳＧＷ１００は、ＡＲＰ Ｒｅｑｕｅｓｔの出力元が正常端末であると判断した場合、ＡＲＰ Ｒｅｑｕｅｓｔの送信先の端末をＡＲＰ Ｒｅｐｌｙを出力するように誘導する。ＳＧＷ１００は、ＡＲＰ Ｒｅｑｕｅｓｔの出力元が不正端末であると判定した場合、ＡＲＰ Ｒｅｑｕｅｓｔを破棄し、これ以降はどの端末もその出力元の端末へＡＲＰ Ｒｅｐｌｙを出力しない。
次に、ＳＧＷ１００の動作を詳細に説明する。
（１）監視（防御対象）ネットワーク内の、検疫済みのすべてのエージェント端末３００についてＩＰ（Ｉｎｔｅｒｎｅｔ Ｐｒｏｔｏｃｏｌ）アドレスとＭＡＣアドレスの対応表を持つ。この表をＡＲＰ解決テーブルと呼ぶ。ＳＧＷ１００は検疫判定後にＡＲＰ解決テーブルを更新する。つまり、ＳＧＷ１００は、端末が正常なエージェント端末３００であると判定した場合、ＡＲＰ解決テーブルにＩＰアドレスとＭＡＣアドレスとを追加する。
（２）監視ネットワークから、送信元の端末が監視ネットワーク以外のアドレスを持つＡＲＰ Ｒｅｑｕｅｓｔを受信した場合、送信元端末を不正端末としてＡＲＰ Ｒｅｑｕｅｓｔを破棄する。
（３）監視ネットワークから、送信元端末と送信先端末との両方が監視ネットワークのアドレスであるＡＲＰ Ｒｅｑｕｅｓｔを受信した場合
（３．１）送信元端末と送信先端末とがいずれも検疫済の場合、ＡＲＰ Ｒｅｐｌｙを出力するように送信先端末を誘導する。ここで、端末が検疫済か否かはＡＲＰ解決テーブルによって判定できる。
（３．２）送信先端末は検疫済だが送信元端末が未検疫の場合、管理サーバ２００へ検疫処理を依頼する。管理サーバ２００による検疫処理の結果、送信元端末が正常端末であると判定された場合、ＡＲＰ Ｒｅｐｌｙを出力するように送信先端末を誘導する。
（３．３）上記（３．１）及び（３．２）以外の場合、ＡＲＰ Ｒｅｑｕｅｓｔを破棄する。つまり、送信先端末をＡＲＰ Ｒｅｐｌｙを出力するように誘導しない。すなわち、送信先端末はＡＲＰ Ｒｅｐｌｙを出力しない。
（４）監視ネットワークから、送信元端末が監視ネットワークのアドレスで、送信先端末が外部ネットワークのＡＲＰ Ｒｅｑｕｅｓｔを受信した場合
（４．１）送信元端末が検疫済端末の場合、ＡＲＰ Ｒｅｑｕｅｓｔを中継する。送信元端末が未検疫端末の場合、管理サーバ２００へ検疫処理を依頼する。管理サーバ２００による検疫処理の結果、送信元端末が正常端末であると判定された場合、ＡＲＰ Ｒｅｐｌｙを出力するように送信先端末を誘導する。
（４．２）上記（４．１）以外の場合、（３．３）の場合と同様にＡＲＰ Ｒｅｑｕｅｓｔを破棄する。
（５）監視ネットワーク外からＡＲＰ Ｒｅｑｕｅｓｔを受信した場合
（５．１）送信先端末が検疫済の場合、ＡＲＰ Ｒｅｐｌｙを出力するように送信先端末を誘導する。送信先端末が出力した外部に出て行くＡＲＰ Ｒｅｐｌｙは、ＳＧＷ１００にて単に中継する。
（５．２）上記（５．１）以外の場合、（３．３）の場合と同様にＡＲＰ Ｒｅｑｕｅｓｔを破棄する。
（１）監視（防御対象）ネットワーク内の、検疫済みのすべてのエージェント端末３００についてＩＰ（Ｉｎｔｅｒｎｅｔ Ｐｒｏｔｏｃｏｌ）アドレスとＭＡＣアドレスの対応表を持つ。この表をＡＲＰ解決テーブルと呼ぶ。ＳＧＷ１００は検疫判定後にＡＲＰ解決テーブルを更新する。つまり、ＳＧＷ１００は、端末が正常なエージェント端末３００であると判定した場合、ＡＲＰ解決テーブルにＩＰアドレスとＭＡＣアドレスとを追加する。
（２）監視ネットワークから、送信元の端末が監視ネットワーク以外のアドレスを持つＡＲＰ Ｒｅｑｕｅｓｔを受信した場合、送信元端末を不正端末としてＡＲＰ Ｒｅｑｕｅｓｔを破棄する。
（３）監視ネットワークから、送信元端末と送信先端末との両方が監視ネットワークのアドレスであるＡＲＰ Ｒｅｑｕｅｓｔを受信した場合
（３．１）送信元端末と送信先端末とがいずれも検疫済の場合、ＡＲＰ Ｒｅｐｌｙを出力するように送信先端末を誘導する。ここで、端末が検疫済か否かはＡＲＰ解決テーブルによって判定できる。
（３．２）送信先端末は検疫済だが送信元端末が未検疫の場合、管理サーバ２００へ検疫処理を依頼する。管理サーバ２００による検疫処理の結果、送信元端末が正常端末であると判定された場合、ＡＲＰ Ｒｅｐｌｙを出力するように送信先端末を誘導する。
（３．３）上記（３．１）及び（３．２）以外の場合、ＡＲＰ Ｒｅｑｕｅｓｔを破棄する。つまり、送信先端末をＡＲＰ Ｒｅｐｌｙを出力するように誘導しない。すなわち、送信先端末はＡＲＰ Ｒｅｐｌｙを出力しない。
（４）監視ネットワークから、送信元端末が監視ネットワークのアドレスで、送信先端末が外部ネットワークのＡＲＰ Ｒｅｑｕｅｓｔを受信した場合
（４．１）送信元端末が検疫済端末の場合、ＡＲＰ Ｒｅｑｕｅｓｔを中継する。送信元端末が未検疫端末の場合、管理サーバ２００へ検疫処理を依頼する。管理サーバ２００による検疫処理の結果、送信元端末が正常端末であると判定された場合、ＡＲＰ Ｒｅｐｌｙを出力するように送信先端末を誘導する。
（４．２）上記（４．１）以外の場合、（３．３）の場合と同様にＡＲＰ Ｒｅｑｕｅｓｔを破棄する。
（５）監視ネットワーク外からＡＲＰ Ｒｅｑｕｅｓｔを受信した場合
（５．１）送信先端末が検疫済の場合、ＡＲＰ Ｒｅｐｌｙを出力するように送信先端末を誘導する。送信先端末が出力した外部に出て行くＡＲＰ Ｒｅｐｌｙは、ＳＧＷ１００にて単に中継する。
（５．２）上記（５．１）以外の場合、（３．３）の場合と同様にＡＲＰ Ｒｅｑｕｅｓｔを破棄する。
つまり、端末にインストールされたエージェント３は、ＡＲＰ Ｒｅｑｕｅｓｔを端末が受信してもＡＲＰ Ｒｅｐｌｙを返さないように端末を制御する。そして、端末にインストールされたエージェント３に、ＳＧＷ１００が働きかけることにより、端末がＡＲＰ Ｒｅｐｌｙを生成する。
この方法によれば、端末はＳＧＷ１００から指示されない限りＡＲＰ Ｒｅｐｌｙを返さないため、上述したＶＬＡＮ機能を有さないことによる弊害を解決することが可能である。また、新規にネットワークに接続された端末が不正であると判断する前に、上記端末が攻撃を開始した場合にも監視ネットワークの端末は被害を受けることはない。
また、エージェント３がＡＲＰ解決テーブルのような情報を持つ必要がない。そのため、エージェント３の処理負荷が軽い。また、エージェント３がＡＲＰ解決テーブルのような情報持たないので、検疫済の端末の増減に伴うＡＲＰ解決テーブルの変更時に、エージェント３に変更情報を何度も再配信する煩雑さも無い。
また、エージェント３がＡＲＰ解決テーブルのような情報を持つ必要がない。そのため、エージェント３の処理負荷が軽い。また、エージェント３がＡＲＰ解決テーブルのような情報持たないので、検疫済の端末の増減に伴うＡＲＰ解決テーブルの変更時に、エージェント３に変更情報を何度も再配信する煩雑さも無い。
次に、図７から図９に基づき、上述したＳＧＷ１００、管理サーバ２００及びエージェント３の動作を実現する検疫システム１０００の機能及び処理の一例について詳細に説明する。
図７は、実施の形態１に係る検疫システム１０００の機能を示す機能ブロック図である。検疫システム１０００は、ＳＧＷ１００、管理サーバ２００、エージェント端末３００を備える。
ＳＧＷ１００は、ネットワーク監視部１１０、表示装置Ａ９８６Ａ、処理装置Ａ９８０Ａ、入力装置Ａ９８２Ａ、記憶装置Ａ９８４Ａ、通信装置Ａ９８８Ａを備える。ネットワーク監視部１１０は、接続要求受信部１１２、ネットワーク判定部１１４、アドレス判定部１１６、検疫判定情報記憶部１１８、検疫判定部１２０、検疫処理指示部１２２、検疫処理結果受信部１２４、検疫処理結果判定部１２６、応答指示部１２８を備える。
管理サーバ２００は、管理サーバ処理部２１０、処理装置Ｂ９８０Ｂ、入力装置Ｂ９８２Ｂ、記憶装置Ｂ９８４Ｂ、通信装置Ｂ９８８Ｂを備える。管理サーバ処理部２１０は、検疫処理実施部２１２、検疫処理結果送信部２１４を備える。
エージェント端末３００は、端末制御部３１０、処理装置Ｃ９８０Ｃ、入力装置Ｃ９８２Ｃ、記憶装置Ｃ９８４Ｃ、通信装置Ｃ９８８Ｃを備える。端末制御部３１０は、上述したエージェント３である。
ＳＧＷ１００は、ネットワーク監視部１１０、表示装置Ａ９８６Ａ、処理装置Ａ９８０Ａ、入力装置Ａ９８２Ａ、記憶装置Ａ９８４Ａ、通信装置Ａ９８８Ａを備える。ネットワーク監視部１１０は、接続要求受信部１１２、ネットワーク判定部１１４、アドレス判定部１１６、検疫判定情報記憶部１１８、検疫判定部１２０、検疫処理指示部１２２、検疫処理結果受信部１２４、検疫処理結果判定部１２６、応答指示部１２８を備える。
管理サーバ２００は、管理サーバ処理部２１０、処理装置Ｂ９８０Ｂ、入力装置Ｂ９８２Ｂ、記憶装置Ｂ９８４Ｂ、通信装置Ｂ９８８Ｂを備える。管理サーバ処理部２１０は、検疫処理実施部２１２、検疫処理結果送信部２１４を備える。
エージェント端末３００は、端末制御部３１０、処理装置Ｃ９８０Ｃ、入力装置Ｃ９８２Ｃ、記憶装置Ｃ９８４Ｃ、通信装置Ｃ９８８Ｃを備える。端末制御部３１０は、上述したエージェント３である。
図８は、実施の形態１に係るＳＧＷ１００の動作であるネットワーク監視処理を表すフローチャートである。ネットワーク監視処理は、上述したＳＧＷ１００の動作を実現する。
まず、接続要求受信処理（Ｓ１１０）では、接続要求受信部１１２は、送信元端末から送信先端末に宛てられた接続要求であるＡＲＰ Ｒｅｑｕｅｓｔを、ネットワークを介して通信装置Ａ９８８Ａにより受信する。ここで、送信先端末もＡＲＰ Ｒｅｑｕｅｓｔ受信している。しかし、上述したように送信先端末が、エージェント３がインストールされたエージェント端末３００であれば、送信先端末はエージェント３（端末制御部３１０）の制御により、接続要求を受信しても応答の指示がされない限り接続要求に対して応答しない。
次に、ネットワーク判定処理（Ｓ１２０）では、ネットワーク判定部１１４は、ＡＲＰ Ｒｅｑｕｅｓｔが監視ネットワークに接続された端末から送信されたか否かを処理装置Ａ９８０Ａにより判定する。つまり、ネットワーク判定部１１４は、送信元端末が監視ネットワークの内部の端末であるか外部の端末であるかを判定する。また、ネットワーク判定部１１４は、ＡＲＰ Ｒｅｑｕｅｓｔの宛先の端末である送信先端末が監視ネットワークの内部の端末であるか外部の端末であるかを判定する。
送信元端末が内部の端末であり、送信先端末が内部の端末である場合、ネットワーク判定部１１４は、（Ｓ１３０）へ進む。送信元端末が内部の端末であり、送信先端末が外部の端末である場合、ネットワーク判定部１１４は、（Ｓ１３１）へ進む。送信元端末が外部の端末であり、送信先端末が内部の端末である場合、ネットワーク判定部１１４は、（Ｓ１４２）へ進む。ここで、送信元端末が外部の端末であり、送信先端末が外部の端末であるＡＲＰ Ｒｅｑｕｅｓｔについては、監視ネットワークへの影響がない。そのため、送信先端末が外部の端末であるＡＲＰ Ｒｅｑｕｅｓｔは、ＳＧＷ１００は受信しないか、あるいは受信したとしても特に処理は行わない。
送信元端末が内部の端末であり、送信先端末が内部の端末である場合、ネットワーク判定部１１４は、（Ｓ１３０）へ進む。送信元端末が内部の端末であり、送信先端末が外部の端末である場合、ネットワーク判定部１１４は、（Ｓ１３１）へ進む。送信元端末が外部の端末であり、送信先端末が内部の端末である場合、ネットワーク判定部１１４は、（Ｓ１４２）へ進む。ここで、送信元端末が外部の端末であり、送信先端末が外部の端末であるＡＲＰ Ｒｅｑｕｅｓｔについては、監視ネットワークへの影響がない。そのため、送信先端末が外部の端末であるＡＲＰ Ｒｅｑｕｅｓｔは、ＳＧＷ１００は受信しないか、あるいは受信したとしても特に処理は行わない。
まず、送信元端末が内部の端末であり、送信先端末が内部の端末である場合について説明する。上述したＳＧＷ１００の動作では（３）の処理に該当する。
まず、上述したＳＧＷ１００の（３）の動作の前に、アドレス判定処理（Ｓ１３０）において上述したＳＧＷ１００の（２）の動作を行う。アドレス判定処理（Ｓ１３０）では、アドレス判定部１１６は、ＡＲＰ Ｒｅｑｕｅｓｔに含まれる送信元端末のアドレスが監視ネットワークのアドレスであるか否かを判定する。アドレス判定部１１６は、ＡＲＰ Ｒｅｑｕｅｓｔに含まれるアドレスが監視ネットワークの内部のアドレスでないと判定した場合、送信元端末を不正端末であると判定し、受信したＡＲＰ Ｒｅｑｕｅｓｔを破棄する。つまり、送信元端末が内部の端末であるとネットワーク判定部１１４が判定した場合、すなわち、ＡＲＰ Ｒｅｑｕｅｓｔが監視ネットワークに接続された端末から送信されたとネットワーク判定部１１４が判定した場合に、ＡＲＰ Ｒｅｑｕｅｓｔに含まれるアドレスが監視ネットワークの外部のアドレスである場合には、送信元端末を不正端末であると判定して、受信したＡＲＰ Ｒｅｑｕｅｓｔを破棄する。
次に、検疫判定処理（Ｓ１４０）では、検疫判定部１２０は、ＡＲＰ解決テーブル（検疫判定情報の一例）に基づき、送信元端末及び送信先端末が検疫済か否かを処理装置Ａ９８０Ａにより判定する。送信元端末が検疫済であり、かつ、送信先端末が検疫済であると判定した場合、検疫判定部１２０は（Ｓ１８０）へ進む。送信先端末は検疫済だが、送信元端末が未検疫であると判定した場合、検疫判定部１２０は（Ｓ１５０）へ進む。その他の場合には、検疫判定部１２０は受信したＡＲＰ Ｒｅｑｕｅｓｔを破棄する。
次に、検疫処理指示処理（Ｓ１５０）では、検疫処理指示部１２２は、管理サーバ２００へ送信元端末の検疫処理の指示を処理装置Ａ９８０Ａにより行う。検疫処理の指示を受けた管理サーバ２００の動作については後述する。
次に、検疫処理結果受信処理（Ｓ１６０）では、検疫処理結果受信部１２４は、検疫処理指示部１２２が指示した検疫処理を、後述する管理サーバ２００の検疫処理結果送信部２１４が行った結果である、送信元端末が不正端末であるか否かを示す検疫処理結果を管理サーバ２００から通信装置Ａ９８８Ａにより受信する。
そして、検疫処理結果判定処理（Ｓ１７０）では、検疫処理結果判定部１２６は、検疫処理結果受信部１２４が受信した検疫処理結果が送信元端末を不正端末である示しているか否かを処理装置Ａ９８０Ａにより判定する。検疫処理結果が送信元端末を不正端末である示していると判定した場合、検疫処理結果判定部１２６は受信したＡＲＰ Ｒｅｑｕｅｓｔを破棄する。検疫処理結果が送信元端末を不正端末である示していないと判定した場合、検疫処理結果判定部１２６は（Ｓ１８０）へ進む。
そして、応答指示処理（Ｓ１８０）では、応答指示部１２８は、ＡＲＰ Ｒｅｑｕｅｓｔに対して応答する（ＡＲＰ Ｒｅｐｌｙを出力する）ように送信先端末へ処理装置Ａ９８０Ａにより指示する。ここで送信先端末は、上記の処理によりエージェント３がインストールされたエージェント端末３００に限定されている。送信先端末にインストールされたエージェント３（端末制御部３１０）は、応答指示部１２８からＡＲＰ Ｒｅｑｕｅｓｔに対して応答するように指示された場合に、ＡＲＰ Ｒｅｑｕｅｓｔに対して応答するように制御する。つまり、送信先端末は、エージェント３（端末制御部３１０）の制御により、応答指示部１２８から指示を受けることにより、ＡＲＰ Ｒｅｐｌｙを送信元端末へ出力する。
まず、上述したＳＧＷ１００の（３）の動作の前に、アドレス判定処理（Ｓ１３０）において上述したＳＧＷ１００の（２）の動作を行う。アドレス判定処理（Ｓ１３０）では、アドレス判定部１１６は、ＡＲＰ Ｒｅｑｕｅｓｔに含まれる送信元端末のアドレスが監視ネットワークのアドレスであるか否かを判定する。アドレス判定部１１６は、ＡＲＰ Ｒｅｑｕｅｓｔに含まれるアドレスが監視ネットワークの内部のアドレスでないと判定した場合、送信元端末を不正端末であると判定し、受信したＡＲＰ Ｒｅｑｕｅｓｔを破棄する。つまり、送信元端末が内部の端末であるとネットワーク判定部１１４が判定した場合、すなわち、ＡＲＰ Ｒｅｑｕｅｓｔが監視ネットワークに接続された端末から送信されたとネットワーク判定部１１４が判定した場合に、ＡＲＰ Ｒｅｑｕｅｓｔに含まれるアドレスが監視ネットワークの外部のアドレスである場合には、送信元端末を不正端末であると判定して、受信したＡＲＰ Ｒｅｑｕｅｓｔを破棄する。
次に、検疫判定処理（Ｓ１４０）では、検疫判定部１２０は、ＡＲＰ解決テーブル（検疫判定情報の一例）に基づき、送信元端末及び送信先端末が検疫済か否かを処理装置Ａ９８０Ａにより判定する。送信元端末が検疫済であり、かつ、送信先端末が検疫済であると判定した場合、検疫判定部１２０は（Ｓ１８０）へ進む。送信先端末は検疫済だが、送信元端末が未検疫であると判定した場合、検疫判定部１２０は（Ｓ１５０）へ進む。その他の場合には、検疫判定部１２０は受信したＡＲＰ Ｒｅｑｕｅｓｔを破棄する。
次に、検疫処理指示処理（Ｓ１５０）では、検疫処理指示部１２２は、管理サーバ２００へ送信元端末の検疫処理の指示を処理装置Ａ９８０Ａにより行う。検疫処理の指示を受けた管理サーバ２００の動作については後述する。
次に、検疫処理結果受信処理（Ｓ１６０）では、検疫処理結果受信部１２４は、検疫処理指示部１２２が指示した検疫処理を、後述する管理サーバ２００の検疫処理結果送信部２１４が行った結果である、送信元端末が不正端末であるか否かを示す検疫処理結果を管理サーバ２００から通信装置Ａ９８８Ａにより受信する。
そして、検疫処理結果判定処理（Ｓ１７０）では、検疫処理結果判定部１２６は、検疫処理結果受信部１２４が受信した検疫処理結果が送信元端末を不正端末である示しているか否かを処理装置Ａ９８０Ａにより判定する。検疫処理結果が送信元端末を不正端末である示していると判定した場合、検疫処理結果判定部１２６は受信したＡＲＰ Ｒｅｑｕｅｓｔを破棄する。検疫処理結果が送信元端末を不正端末である示していないと判定した場合、検疫処理結果判定部１２６は（Ｓ１８０）へ進む。
そして、応答指示処理（Ｓ１８０）では、応答指示部１２８は、ＡＲＰ Ｒｅｑｕｅｓｔに対して応答する（ＡＲＰ Ｒｅｐｌｙを出力する）ように送信先端末へ処理装置Ａ９８０Ａにより指示する。ここで送信先端末は、上記の処理によりエージェント３がインストールされたエージェント端末３００に限定されている。送信先端末にインストールされたエージェント３（端末制御部３１０）は、応答指示部１２８からＡＲＰ Ｒｅｑｕｅｓｔに対して応答するように指示された場合に、ＡＲＰ Ｒｅｑｕｅｓｔに対して応答するように制御する。つまり、送信先端末は、エージェント３（端末制御部３１０）の制御により、応答指示部１２８から指示を受けることにより、ＡＲＰ Ｒｅｐｌｙを送信元端末へ出力する。
次に、送信元端末が内部の端末であり、送信先端末が外部の端末である場合について説明する。上述したＳＧＷ１００の動作では（４）の処理に該当する。
まず、上述したＳＧＷ１００の（４）の動作の前に、アドレス判定処理（Ｓ１３１）において上述したＳＧＷ１００の（２）の動作を行う。（Ｓ１３１）は上述した（Ｓ１３０）と同様である。
次に、検疫判定処理（Ｓ１４１）では、検疫判定部１２０は、ＡＲＰ解決テーブルに基づき、送信元端末が検疫済か否かを処理装置Ａ９８０Ａにより判定する。送信元端末が検疫済であると判定した場合、検疫判定部１２０は（Ｓ１８１）へ進む。送信元端末が未検疫であると判定した場合、検疫判定部１２０は（Ｓ１５１）へ進む。
（Ｓ１５１）から（Ｓ１７１）までは、上述した（Ｓ１５０）から（Ｓ１７０）までと同様である。
そして、応答指示処理（Ｓ１８１）では、応答指示部１２８は、ＡＲＰ Ｒｅｑｕｅｓｔを透過する。つまり、応答指示部１２８は、送信先端末へＡＲＰ Ｒｅｑｕｅｓｔを送信する。
まず、上述したＳＧＷ１００の（４）の動作の前に、アドレス判定処理（Ｓ１３１）において上述したＳＧＷ１００の（２）の動作を行う。（Ｓ１３１）は上述した（Ｓ１３０）と同様である。
次に、検疫判定処理（Ｓ１４１）では、検疫判定部１２０は、ＡＲＰ解決テーブルに基づき、送信元端末が検疫済か否かを処理装置Ａ９８０Ａにより判定する。送信元端末が検疫済であると判定した場合、検疫判定部１２０は（Ｓ１８１）へ進む。送信元端末が未検疫であると判定した場合、検疫判定部１２０は（Ｓ１５１）へ進む。
（Ｓ１５１）から（Ｓ１７１）までは、上述した（Ｓ１５０）から（Ｓ１７０）までと同様である。
そして、応答指示処理（Ｓ１８１）では、応答指示部１２８は、ＡＲＰ Ｒｅｑｕｅｓｔを透過する。つまり、応答指示部１２８は、送信先端末へＡＲＰ Ｒｅｑｕｅｓｔを送信する。
次に、送信元端末が外部の端末であり、送信先端末が内部の端末である場合について説明する。上述したＳＧＷ１００の動作では（５）の処理に該当する。
検疫判定処理（Ｓ１４２）では、検疫判定部１２０は、ＡＲＰ解決テーブルに基づき、送信元端末が検疫済か否かを処理装置Ａ９８０Ａにより判定する。送信先端末が検疫済であると判定した場合、検疫判定部１２０は（Ｓ１８２）へ進む。送信元端末が未検疫であると判定した場合、監視ネットワークの内部に未だ検出されていない不正端末が潜伏している可能性があり、かつ、その不正端末と連絡を取り合おうとする外部の端末がＡＲＰ Ｒｅｑｕｅｓｔを送信したと考えられる。そのため、検疫判定部１２０は受信したＡＲＰ Ｒｅｑｕｅｓｔを破棄する。
（Ｓ１８２）は、（Ｓ１８０）と同様である。
検疫判定処理（Ｓ１４２）では、検疫判定部１２０は、ＡＲＰ解決テーブルに基づき、送信元端末が検疫済か否かを処理装置Ａ９８０Ａにより判定する。送信先端末が検疫済であると判定した場合、検疫判定部１２０は（Ｓ１８２）へ進む。送信元端末が未検疫であると判定した場合、監視ネットワークの内部に未だ検出されていない不正端末が潜伏している可能性があり、かつ、その不正端末と連絡を取り合おうとする外部の端末がＡＲＰ Ｒｅｑｕｅｓｔを送信したと考えられる。そのため、検疫判定部１２０は受信したＡＲＰ Ｒｅｑｕｅｓｔを破棄する。
（Ｓ１８２）は、（Ｓ１８０）と同様である。
また、（Ｓ１８０）、（Ｓ１８１）及び（Ｓ１８２）それぞれの前に、検疫判定情報記憶部１１８は、端末が検疫済か否かを示す端末のＩＰアドレスとＭＡＣアドレスのペアをＡＲＰ解決テーブルに記憶する処理を加えても構わない。
図９は、実施の形態１に係る管理サーバ２００の動作である管理サーバ処理を表すフローチャートである。管理サーバ処理は、ＳＧＷ１００がネットワーク監視処理の（Ｓ１５０）及び（Ｓ１５１）において、管理サーバ２００へ検疫処理の指示をした場合に実行される。
まず、検疫実施処理（Ｓ２１０）では、検疫処理実施部２１２は、ＳＧＷ１００の検疫処理指示部１２２の指示を受け、端末が監視ネットワークのセキュリティポリシーに合致しない不正端末であるか否かを処理装置Ｂ９８０Ｂにより判定する。ここで、検疫処理実施部２１２は、端末等からエージェント３がインストールされているか否かを示す情報や、ＯＳのパッチのバージョン情報等を受信し、端末が不正端末か否かを判定する。
次に、検疫処理結果送信処理（Ｓ２２０）では、検疫処理結果送信部２１４は、検疫処理実施部２１２が判定した結果である検疫処理結果を通信装置Ｂ９８８Ｂにより送信する。
まず、検疫実施処理（Ｓ２１０）では、検疫処理実施部２１２は、ＳＧＷ１００の検疫処理指示部１２２の指示を受け、端末が監視ネットワークのセキュリティポリシーに合致しない不正端末であるか否かを処理装置Ｂ９８０Ｂにより判定する。ここで、検疫処理実施部２１２は、端末等からエージェント３がインストールされているか否かを示す情報や、ＯＳのパッチのバージョン情報等を受信し、端末が不正端末か否かを判定する。
次に、検疫処理結果送信処理（Ｓ２２０）では、検疫処理結果送信部２１４は、検疫処理実施部２１２が判定した結果である検疫処理結果を通信装置Ｂ９８８Ｂにより送信する。
次に、図１０、図１１を使用してＳＧＷ１００の動作の一例を具体的に説明する。ここでは、特に、監視ネットワークの内部の端末が攻撃されるおそれのある２つのケースについて説明する。
まず、図１０に基づき、監視ネットワークに正常であるか不正であるか不明な未検疫の端末が接続され、監視ネットワークの内部の端末へアクセスする場合の動作について説明する。つまり、送信元端末が内部の端末であり、送信先端末が内部の端末である場合であり、上述したＳＧＷ１００の動作では（３）の処理に該当する。
まず、図１０に基づき、監視ネットワークに正常であるか不正であるか不明な未検疫の端末が接続され、監視ネットワークの内部の端末へアクセスする場合の動作について説明する。つまり、送信元端末が内部の端末であり、送信先端末が内部の端末である場合であり、上述したＳＧＷ１００の動作では（３）の処理に該当する。
まず、図１０（Ａ）に示すように、監視ネットワークに接続された未検疫の端末が監視ネットワークの内部の端末へのアクセスを開始する場合、まず、相手先のＭＡＣアドレスを知るためにＡＲＰ Ｒｅｑｕｅｓｔを出力する。ここでは、例えば、端末Ａが端末Ｂへアクセスしようとしていると仮定する。端末Ａは端末ＢへＡＲＰ Ｒｅｑｕｅｓｔを送信するが、ＡＲＰ Ｒｅｑｕｅｓｔは同一ネットワーク（監視ネットワーク）へブロードキャストされるので、ＳＧＷ１００まで到達する。ＳＧＷ１００はこのＡＲＰ Ｒｅｑｕｅｓｔを受信する（Ｓ１１０）。送信元の端末Ａは上述したように監視ネットワークの内部の端末である（Ｓ１２０）。次に、ＳＧＷ１００は、受信したＡＲＰ Ｒｅｑｕｅｓｔに含まれる送信元の端末ＡのＩＰアドレスが監視ネットワークのアドレスであることを確認する（Ｓ１３０）。ここでは、ＡＲＰ Ｒｅｑｕｅｓｔに含まれる送信元の端末ＡのＩＰアドレスが監視ネットワークのアドレスであったとする。次に、ＳＧＷ１００は、送信元の端末Ａが新規端末（未検疫端末）であることをＡＲＰ解決テーブルから知る（Ｓ１４０）。しかし、この段階では、端末Ａはエージェント３が搭載された端末かどうかを判定できない。
そこで次に、図１０（Ｂ）に示すように、ＳＧＷ１００は、新規端末であると検出した端末Ａについて、ＡＲＰ Ｒｅｑｕｅｓｔ情報を管理サーバ２００に送信して、検疫処理の指示をする（Ｓ１５０）。そして、ＳＧＷ１００は、管理サーバ２００から検疫結果を得る（Ｓ１６０）。
そして、図１０（Ｃ）に示すように、端末Ａがエージェント３の搭載された正常端末であると判定された場合（Ｓ１７０でＯＫ）、端末ＡのＭＡＣアドレスとＩＰアドレスのペアをＡＲＰ解決テーブルに格納する。その後、端末Ａが出力したＡＲＰ Ｒｅｑｕｅｓｔに対して応答するように宛先であった端末Ｂを誘導する。端末ＡのＭＡＣアドレス、ＩＰアドレスによってＡＲＰ Ｒｅｐｌｙを誘導することができる（Ｓ１８０）。
一方、端末Ａが不正端末であると判定された場合（Ｓ１７０でＮＧ）、ＳＧＷ１００は端末ＢへのＡＲＰ Ｒｅｐｌｙ誘導しない。また、端末Ｂは、自発的にＡＲＰ Ｒｅｐｌｙを返すことはない。したがって、端末Ａに対して端末ＢからＡＲＰ Ｒｅｐｌｙが送られることはなく、端末Ａは端末Ｂの存在を知ることができない。そのため、端末Ｂは端末Ａ等からの攻撃を免れることが可能となる。
一方、端末Ａが不正端末であると判定された場合（Ｓ１７０でＮＧ）、ＳＧＷ１００は端末ＢへのＡＲＰ Ｒｅｐｌｙ誘導しない。また、端末Ｂは、自発的にＡＲＰ Ｒｅｐｌｙを返すことはない。したがって、端末Ａに対して端末ＢからＡＲＰ Ｒｅｐｌｙが送られることはなく、端末Ａは端末Ｂの存在を知ることができない。そのため、端末Ｂは端末Ａ等からの攻撃を免れることが可能となる。
次に、図１１に基づき、監視ネットワークの外部から監視ネットワークの内部の端末宛にＡＲＰ Ｒｅｑｕｅｓｔが到達した場合の動作について説明する。つまり、送信元端末が外部の端末であり、送信先端末が内部の端末である場合であり、上述したＳＧＷ１００の動作では（５）の処理に該当する。
ＳＧＷ１００は、ＡＲＰ Ｒｅｑｕｅｓｔを受信する（１）（Ｓ１１０）。送信元端末は上述したように監視ネットワークの外部の端末である（Ｓ１２０）。ここで、受信したＡＲＰ Ｒｅｑｕｅｓｔの送信元が監視ネットワークの外部であることは、ＡＲＰ Ｒｅｑｕｅｓｔの送信元ＩＰアドレスにより判断できる。そこで、ＳＧＷ１００は、送信先の端末が検疫済であるか否かを判定する（Ｓ１４２）。送信先の端末が検疫済であるか否かはＡＲＰ解決テーブルを参照し、ＡＲＰ解決テーブルに送信先の端末のＭＡＣアドレスがあるか否かにより判定できる。送信先の端末が検疫済の場合（Ｓ１４２でＹＥＳ）、ＳＧＷ１００監視ネットワークにある宛先端末にＡＲＰ Ｒｅｐｌｙを出力させるようエージェント３を誘導する（３）（Ｓ１８２）。宛先端末が出力した外部に出て行くＡＲＰ Ｒｅｐｌｙは、ＳＧＷ１００にて単に中継する（４）。
一方、送信先の端末についてＡＲＰ解決テーブルを参照し、ＡＲＰ解決テーブルに送信先のＭＡＣアドレスが無い場合、送信先の端末は未検疫であると判定される（Ｓ１４２でＮＯ）。つまり、この場合、監視ネットワークの内部に未だ検出されていない不正端末が潜伏している可能性があり、かつ、その不正端末と連絡を取り合おうとする外部の端末がＡＲＰ Ｒｅｑｕｅｓｔを送信したと考えられる。そのため、ＳＧＷ１００は、受信したＡＲＰ Ｒｅｑｕｅｓｔを破棄する。
一方、送信先の端末についてＡＲＰ解決テーブルを参照し、ＡＲＰ解決テーブルに送信先のＭＡＣアドレスが無い場合、送信先の端末は未検疫であると判定される（Ｓ１４２でＮＯ）。つまり、この場合、監視ネットワークの内部に未だ検出されていない不正端末が潜伏している可能性があり、かつ、その不正端末と連絡を取り合おうとする外部の端末がＡＲＰ Ｒｅｑｕｅｓｔを送信したと考えられる。そのため、ＳＧＷ１００は、受信したＡＲＰ Ｒｅｑｕｅｓｔを破棄する。
実施の形態１に係る検疫システム１０００によれば、ＶＬＡＮ制御を用いることなく、不正端末を検出し排除することができる。
また、ＶＬＡＮ制御を用いる必要がないので、既存のネットワークへ容易に検疫機能を追加することができる。
さらに、各端末にインストールされるエージェント３は、ＡＲＰ解決テーブルのような情報を持つ必要がない。そのため、各端末の処理負荷が軽く、ＡＲＰ解決テーブルの変更情報を各端末へ再配信する必要も無いためネットワーク負荷もかからない。
また、さらに、端末はＡＲＰ Ｒｅｑｕｅｓｔを受信しても、ＳＧＷ１００から誘導されるまではＡＲＰ Ｒｅｐｌｙを出力しない。そのため、新規にネットワークに接続された端末を不正であると判断する前に、上記端末が攻撃を開始した場合であっても、被害を受けることはない。
また、ＶＬＡＮ制御を用いる必要がないので、既存のネットワークへ容易に検疫機能を追加することができる。
さらに、各端末にインストールされるエージェント３は、ＡＲＰ解決テーブルのような情報を持つ必要がない。そのため、各端末の処理負荷が軽く、ＡＲＰ解決テーブルの変更情報を各端末へ再配信する必要も無いためネットワーク負荷もかからない。
また、さらに、端末はＡＲＰ Ｒｅｑｕｅｓｔを受信しても、ＳＧＷ１００から誘導されるまではＡＲＰ Ｒｅｐｌｙを出力しない。そのため、新規にネットワークに接続された端末を不正であると判断する前に、上記端末が攻撃を開始した場合であっても、被害を受けることはない。
実施の形態１に係る検疫システム１０００をまとめると、不正端末を検出し排除する検疫システム１０００において、監視ネットワークを保護するためのＳＧＷ１００と、端末が監視ネットワークのセキュリティポリシーに合致する正常端末であるかどうかを判断する管理サーバ２００と、各端末に設定して当該端末がセキュリティポリシーに合致するものであることを保証するエージェント３とからなり、
該エージェント３は、端末がＡＲＰ Ｒｅｑｕｅｓｔに応答することを防ぐ機構と、ＳＧＷ１００から誘導された時のみ誘導されたＡＲＰ Ｒｅｐｌｙを端末に出力させる機構を有し、
該ＳＧＷ１００は、ＡＲＰ Ｒｅｑｕｅｓｔを受取った際に、それが未検疫端末からであれば先ず検疫判定を行い、次にＡＲＰ Ｒｅｑｕｅｓｔの送信者の検疫結果が正常であれば、ＡＲＰ Ｒｅｑｕｅｓｔの宛先に設定されたエージェント３へＡＲＰ Ｒｅｐｌｙを出力するように誘導する機構を有することを特徴とする。
また、実施の形態１に係る検疫システム１０００は、未検疫端末の検疫判定の実施期間中に未検疫端末が攻撃を開始してもこれを防ぐことを可能とすることを特徴とする。
さらに、実施の形態１に係る検疫システム１０００は、検疫ネットワークを想定していない、ＶＬＡＮ機能の無いスイッチネットワークへも、容易に検疫機能をアドオンすることを可能とするアドオン型検疫ネットワークシステムであることを特徴とする。
該エージェント３は、端末がＡＲＰ Ｒｅｑｕｅｓｔに応答することを防ぐ機構と、ＳＧＷ１００から誘導された時のみ誘導されたＡＲＰ Ｒｅｐｌｙを端末に出力させる機構を有し、
該ＳＧＷ１００は、ＡＲＰ Ｒｅｑｕｅｓｔを受取った際に、それが未検疫端末からであれば先ず検疫判定を行い、次にＡＲＰ Ｒｅｑｕｅｓｔの送信者の検疫結果が正常であれば、ＡＲＰ Ｒｅｑｕｅｓｔの宛先に設定されたエージェント３へＡＲＰ Ｒｅｐｌｙを出力するように誘導する機構を有することを特徴とする。
また、実施の形態１に係る検疫システム１０００は、未検疫端末の検疫判定の実施期間中に未検疫端末が攻撃を開始してもこれを防ぐことを可能とすることを特徴とする。
さらに、実施の形態１に係る検疫システム１０００は、検疫ネットワークを想定していない、ＶＬＡＮ機能の無いスイッチネットワークへも、容易に検疫機能をアドオンすることを可能とするアドオン型検疫ネットワークシステムであることを特徴とする。
実施の形態２．
実施の形態２では、不正端末をおとりネットワークに誘導し、不正端末の挙動の解析を行う方法について説明する。
実施の形態２では、不正端末をおとりネットワークに誘導し、不正端末の挙動の解析を行う方法について説明する。
図１２に基づき不正端末をおとりネットワークに誘導する動作について説明する。図１２は、図３に示す検疫システム１０００におとり端末７１を接続した検疫システム１０００である。
スイッチ４には、予めおとりネットワーク７のおとり端末７１を接続する。例えば、図１０（Ｂ）に示す検疫処理で端末Ａが不正端末であると判定された場合等、送信元端末が不正端末であると判定された場合にはＡＲＰ Ｒｅｑｕｅｓｔを破棄するとした。しかし、ＡＲＰ Ｒｅｑｕｅｓｔを破棄する代わりに、応答指示部１２８がＡＲＰ Ｒｅｑｕｅｓｔに対してＡＲＰ Ｒｅｐｌｙを返すようにおとり端末７１を誘導する。これにより、不正端末は以後おとり端末７１と通信を開始する。以上により、おとりネットワーク７に不正端末を誘い込み、不正端末の挙動を解析することが可能となる。
スイッチ４には、予めおとりネットワーク７のおとり端末７１を接続する。例えば、図１０（Ｂ）に示す検疫処理で端末Ａが不正端末であると判定された場合等、送信元端末が不正端末であると判定された場合にはＡＲＰ Ｒｅｑｕｅｓｔを破棄するとした。しかし、ＡＲＰ Ｒｅｑｕｅｓｔを破棄する代わりに、応答指示部１２８がＡＲＰ Ｒｅｑｕｅｓｔに対してＡＲＰ Ｒｅｐｌｙを返すようにおとり端末７１を誘導する。これにより、不正端末は以後おとり端末７１と通信を開始する。以上により、おとりネットワーク７に不正端末を誘い込み、不正端末の挙動を解析することが可能となる。
つまり、実施の形態２に係る検疫システム１０００は、未検疫端末を端末単位で隔離することを可能とすることを特徴とする。
実施の形態３．
実施の形態３では、同一ネットワークでの重複したアドレスの使用を防止するｇｒａｔｕｉｔｏｕｓ ＡＲＰを上記実施の形態で説明した検疫システム１０００で実現する方法について説明する。
実施の形態３では、同一ネットワークでの重複したアドレスの使用を防止するｇｒａｔｕｉｔｏｕｓ ＡＲＰを上記実施の形態で説明した検疫システム１０００で実現する方法について説明する。
端末に搭載されたＯＳの種類によっては、同一ネットワークでの重複したアドレスの使用を防止する目的で、端末の起動時に自分宛のＡＲＰ ＲｅｑｕｅｓｔあるいはＡＲＰ Ｒｅｐｌｙを出力することがある。この時に出力されるＡＲＰはｇｒａｔｕｉｔｏｕｓ ＡＲＰと呼ばれる。
通常の環境におけるｇｒａｔｕｉｔｏｕｓ ＡＲＰの目的と動作について説明する。
ｇｒａｔｕｉｔｏｕｓ ＡＲＰの目的は、ＩＰアドレスの重複チェックと、ネットワークの内部の端末やスイッチ等の機器のＡＲＰキャッシュを更新することである。
ｇｒａｔｕｉｔｏｕｓ ＡＲＰの動作は、ある端末がネットワークに接続した際に、自分自身へＡＲＰ Ｒｅｑｕｅｓｔを送信し、自分自身でそのＡＲＰ Ｒｅｑｕｅｓｔに対してＡＲＰ Ｒｅｐｌｙを返すものである。自分が送信したＡＲＰ Ｒｅｐｌｙ以外にＡＲＰ Ｒｅｐｌｙを受信しなければ、スイッチ以下のネットワークでＩＰアドレスが重複していないことがわかる。
ｇｒａｔｕｉｔｏｕｓ ＡＲＰの目的は、ＩＰアドレスの重複チェックと、ネットワークの内部の端末やスイッチ等の機器のＡＲＰキャッシュを更新することである。
ｇｒａｔｕｉｔｏｕｓ ＡＲＰの動作は、ある端末がネットワークに接続した際に、自分自身へＡＲＰ Ｒｅｑｕｅｓｔを送信し、自分自身でそのＡＲＰ Ｒｅｑｕｅｓｔに対してＡＲＰ Ｒｅｐｌｙを返すものである。自分が送信したＡＲＰ Ｒｅｐｌｙ以外にＡＲＰ Ｒｅｐｌｙを受信しなければ、スイッチ以下のネットワークでＩＰアドレスが重複していないことがわかる。
次に、上記実施の形態で説明した検疫システム１０００を構築したネットワークにおけるｇｒａｔｕｉｔｏｕｓ ＡＲＰの動作について説明する。
ｇｒａｔｕｉｔｏｕｓ ＡＲＰ Ｒｅｑｕｅｓｔを受取った、送信者以外のすべてのエージェント端末３００は、このＡＲＰ Ｒｅｑｕｅｓｔに対してＡＲＰ Ｒｅｐｌｙを出力しないようにエージェント３が制御する。また、エージェント３はエージェント端末３００のＡＲＰキャッシュを更新しないように制御する。このようにすることにより、上記実施の形態で説明した検疫システム１０００が機能する。一方で、このままではｇｒａｔｕｉｔｏｕｓ ＡＲＰの目的であるＩＰアドレス重複チェックが機能しない。
しかし、ｇｒａｔｕｉｔｏｕｓ ＡＲＰの目的であるＩＰアドレス重複チェックは、ＳＧＷ１００のＡＲＰ解決テーブルを使用することにより実現する。
ＳＧＷ１００は、検疫判定後の端末のＩＰアドレスはＡＲＰ解決テーブルで管理している。ｇｒａｔｕｉｔｏｕｓ ＡＲＰ Ｒｅｑｕｅｓｔを受信したＳＧＷ１００は、ｇｒａｔｕｉｔｏｕｓ ＡＲＰ Ｒｅｑｕｅｓｔに含まれるＩＰアドレスが既に検疫済の端末と同一であればＩＰの重複が発生している。この場合、上記実施の形態で説明したＳＧＷ１００がＡＲＰ Ｒｅｑｕｅｓｔに対してＡＲＰ Ｒｅｐｌｙを出力するか否かを判定した動作と同様に、ｇｒａｔｕｉｔｏｕｓ ＡＲＰ Ｒｅｑｕｅｓｔに対してＡＲＰ Ｒｅｐｌｙを出力するか否かを判定する。ここで、上記実施の形態における送信先端末に該当するのは、ｇｒａｔｕｉｔｏｕｓ ＡＲＰ Ｒｅｑｕｅｓｔの送信元端末と同じＩＰアドレスを持つ別の端末である。つまり、ＳＧＷ１００は、ｇｒａｔｕｉｔｏｕｓ ＡＲＰ Ｒｅｑｕｅｓｔの送信者と同じＩＰアドレスを持つ別の端末を、ＡＲＰ Ｒｅｐｌｙを出力するように誘導するか否かを判定する。ここで、ｇｒａｔｕｉｔｏｕｓ ＡＲＰ Ｒｅｑｕｅｓｔの送信元端末が不正端末でないと判定された場合、ｇｒａｔｕｉｔｏｕｓ ＡＲＰ Ｒｅｑｕｅｓｔの送信者と同じＩＰアドレスを持つ別の端末にＡＲＰ Ｒｅｐｌｙの出力が指示される。その結果出力されたＡＲＰ Ｒｅｐｌｙをｇｒａｔｕｉｔｏｕｓ ＡＲＰ Ｒｅｑｕｅｓｔの送信元端末が受信し、ＩＰアドレスの重複が検出される。
ｇｒａｔｕｉｔｏｕｓ ＡＲＰ Ｒｅｑｕｅｓｔを受取った、送信者以外のすべてのエージェント端末３００は、このＡＲＰ Ｒｅｑｕｅｓｔに対してＡＲＰ Ｒｅｐｌｙを出力しないようにエージェント３が制御する。また、エージェント３はエージェント端末３００のＡＲＰキャッシュを更新しないように制御する。このようにすることにより、上記実施の形態で説明した検疫システム１０００が機能する。一方で、このままではｇｒａｔｕｉｔｏｕｓ ＡＲＰの目的であるＩＰアドレス重複チェックが機能しない。
しかし、ｇｒａｔｕｉｔｏｕｓ ＡＲＰの目的であるＩＰアドレス重複チェックは、ＳＧＷ１００のＡＲＰ解決テーブルを使用することにより実現する。
ＳＧＷ１００は、検疫判定後の端末のＩＰアドレスはＡＲＰ解決テーブルで管理している。ｇｒａｔｕｉｔｏｕｓ ＡＲＰ Ｒｅｑｕｅｓｔを受信したＳＧＷ１００は、ｇｒａｔｕｉｔｏｕｓ ＡＲＰ Ｒｅｑｕｅｓｔに含まれるＩＰアドレスが既に検疫済の端末と同一であればＩＰの重複が発生している。この場合、上記実施の形態で説明したＳＧＷ１００がＡＲＰ Ｒｅｑｕｅｓｔに対してＡＲＰ Ｒｅｐｌｙを出力するか否かを判定した動作と同様に、ｇｒａｔｕｉｔｏｕｓ ＡＲＰ Ｒｅｑｕｅｓｔに対してＡＲＰ Ｒｅｐｌｙを出力するか否かを判定する。ここで、上記実施の形態における送信先端末に該当するのは、ｇｒａｔｕｉｔｏｕｓ ＡＲＰ Ｒｅｑｕｅｓｔの送信元端末と同じＩＰアドレスを持つ別の端末である。つまり、ＳＧＷ１００は、ｇｒａｔｕｉｔｏｕｓ ＡＲＰ Ｒｅｑｕｅｓｔの送信者と同じＩＰアドレスを持つ別の端末を、ＡＲＰ Ｒｅｐｌｙを出力するように誘導するか否かを判定する。ここで、ｇｒａｔｕｉｔｏｕｓ ＡＲＰ Ｒｅｑｕｅｓｔの送信元端末が不正端末でないと判定された場合、ｇｒａｔｕｉｔｏｕｓ ＡＲＰ Ｒｅｑｕｅｓｔの送信者と同じＩＰアドレスを持つ別の端末にＡＲＰ Ｒｅｐｌｙの出力が指示される。その結果出力されたＡＲＰ Ｒｅｐｌｙをｇｒａｔｕｉｔｏｕｓ ＡＲＰ Ｒｅｑｕｅｓｔの送信元端末が受信し、ＩＰアドレスの重複が検出される。
また、ｇｒａｔｕｉｔｏｕｓ ＡＲＰ Ｒｅｑｕｅｓｔを受信したＳＧＷ１００は、そのＩＰアドレスがＡＲＰ解決テーブルに存在しなければ、受信したｇｒａｔｕｉｔｏｕｓ ＡＲＰ Ｒｅｑｕｅｓｔ情報を用いて送信元端末の検疫判定を実施する。判定の結果、正常端末であれば、ＳＧＷ１００はｇｒａｔｕｉｔｏｕｓ ＡＲＰ Ｒｅｑｕｅｓｔの送信元端末自身に、ｇｒａｔｕｉｔｏｕｓ ＡＲＰ Ｒｅｑｕｅｓｔに対してｇｒａｔｕｉｔｏｕｓ ＡＲＰのＲｅｐｌｙを作成するように指示する。そして、送信元端末自身がＡＲＰ Ｒｅｐｌｙを出力しこれを送信元端末自身が受信する。ｇｒａｔｕｉｔｏｕｓ ＡＲＰ Ｒｅｑｕｅｓｔの送信元端末は、他の端末からＡＲＰ Ｒｅｐｌｙを受信しないため、ＩＰアドレスが重複していないことを確認できる。
つまり、初めからｇｒａｔｕｉｔｏｕｓ ＡＲＰ Ｒｅｐｌｙを出力する端末では、そのＩＰアドレスがＳＧＷ１００のＡＲＰ解決テーブルに無い場合は通常の検疫を行う。ＩＰアドレスが重複している場合は後者を不正端末として扱う。また、ｇｒａｔｕｉｔｏｕｓ ＡＲＰの送信元端末が不正端末であった場合、ＳＧＷ１００は不正端末として扱うのみである。
また、ｇｒａｔｕｉｔｏｕｓ ＡＲＰ Ｒｅｐｌｙを出力した端末が、ｇｒａｔｕｉｔｏｕｓ ＡＲＰに期待するＩＰの重複チェックを実施させるために、既に存在している端末から１回のＲｅｐｌｙを出力させるようエージェント３を誘導しても良い。
また、ｇｒａｔｕｉｔｏｕｓ ＡＲＰ Ｒｅｐｌｙを出力した端末が、ｇｒａｔｕｉｔｏｕｓ ＡＲＰに期待するＩＰの重複チェックを実施させるために、既に存在している端末から１回のＲｅｐｌｙを出力させるようエージェント３を誘導しても良い。
このように動作することにより、上記実施の形態で説明した検疫システム１０００によってｇｒａｔｕｉｔｏｕｓ ＡＲＰは正常に動作する。
実施の形態４．
実施の形態４では、外部から到達するＡＲＰ Ｒｅｑｕｅｓｔについて、すべての場合に内部の端末からＡＲＰ Ｒｅｐｌｙを返すことが危険である場合に、送信元のネットワークの安全性を確認する方法について説明する。
実施の形態４では、外部から到達するＡＲＰ Ｒｅｑｕｅｓｔについて、すべての場合に内部の端末からＡＲＰ Ｒｅｐｌｙを返すことが危険である場合に、送信元のネットワークの安全性を確認する方法について説明する。
ＳＧＷ１００は、内部の端末へＡＲＰ Ｒｅｐｌｙを誘導する前に、送信元端末のネットワークについてホワイトリスト照合を実施して相手の素性をチェックする。
図１３、図１４に基づき送信元のネットワークの安全性を確認する機能を備えた検疫システム１０００の機能と動作を詳細に説明する。
図１３は、実施の形態４に係る検疫システム１０００の機能を示す機能ブロック図である。図１３に示す機能ブロック図について、図７に示す機能ブロック図と異なる部分のみ説明する。
ＳＧＷ１００のネットワーク監視部１１０は、ホワイトリスト記憶部１３０、ホワイトリスト判定部１３２を備える。ホワイトリスト記憶部１３０は、監視ネットワーク以外で安全なネットワークをホワイトリストとして記憶装置Ａ９８４Ａに記憶する。ホワイトリスト判定部１３２は、ＡＲＰ Ｒｅｑｕｅｓｔが監視ネットワークでないネットワークに接続された端末から送信された場合に、ホワイトリスト記憶部１３０が記憶したホワイトリストに基づき、ＡＲＰ Ｒｅｑｕｅｓｔを送信した端末が接続されたネットワークが安全なネットワークであるか否かを処理装置Ａ９８０Ａにより判定する。
ＳＧＷ１００のネットワーク監視部１１０は、ホワイトリスト記憶部１３０、ホワイトリスト判定部１３２を備える。ホワイトリスト記憶部１３０は、監視ネットワーク以外で安全なネットワークをホワイトリストとして記憶装置Ａ９８４Ａに記憶する。ホワイトリスト判定部１３２は、ＡＲＰ Ｒｅｑｕｅｓｔが監視ネットワークでないネットワークに接続された端末から送信された場合に、ホワイトリスト記憶部１３０が記憶したホワイトリストに基づき、ＡＲＰ Ｒｅｑｕｅｓｔを送信した端末が接続されたネットワークが安全なネットワークであるか否かを処理装置Ａ９８０Ａにより判定する。
図１４は、実施の形態４に係るＳＧＷ１００の動作であるネットワーク監視処理を表すフローチャートである。実施の形態４に係るネットワーク監視処理について、実施の形態１に係るネットワーク監視処理と異なる部分についてのみ説明する。
（Ｓ１２０）で、送信元端末が外部の端末であり、送信先端末が内部の端末であると判定された場合に、ネットワーク判定部１１４は（Ｓ１９０）へ進む。ホワイトリスト判定処理（Ｓ１９０）では、ホワイトリスト判定部１３２は、ホワイトリストに基づき、送信元端末が接続されたネットワークが安全なネットワークであるか否かを判定する。送信元端末が接続されたネットワークが安全なネットワークでないと判定した場合、ホワイトリスト判定部１３２はＡＲＰ Ｒｅｑｕｅｓｔを破棄する。送信元端末が接続されたネットワークが安全なネットワークであると判定した場合、ホワイトリスト判定部１３２は、（Ｓ１４２）へ進む。
（Ｓ１２０）で、送信元端末が外部の端末であり、送信先端末が内部の端末であると判定された場合に、ネットワーク判定部１１４は（Ｓ１９０）へ進む。ホワイトリスト判定処理（Ｓ１９０）では、ホワイトリスト判定部１３２は、ホワイトリストに基づき、送信元端末が接続されたネットワークが安全なネットワークであるか否かを判定する。送信元端末が接続されたネットワークが安全なネットワークでないと判定した場合、ホワイトリスト判定部１３２はＡＲＰ Ｒｅｑｕｅｓｔを破棄する。送信元端末が接続されたネットワークが安全なネットワークであると判定した場合、ホワイトリスト判定部１３２は、（Ｓ１４２）へ進む。
実施の形態４に係る検疫システム１０００によれば、送信元が監視ネットワークの外部である場合に、送信元端末が接続されたネットワークの安全性を確認した上でＡＲＰ Ｒｅｐｌｙを出力するか否かを決定する。したがって、監視ネットワークのより高い安全性を確保することができる。
上記実施の形態に係る検疫システム１０００によれば、既存のスイッチネットワークへ容易に検疫ネットワーク（検疫システム）をアドオンすることが可能となる。すなわち、既存のネットワーク機器を用いたまま、不正端末を排除するための機能を実現することが可能となる。
また、上記実施の形態に係る検疫システム１０００は、ＶＬＡＮによる不正端末隔離の代わりに、ＡＲＰパケットを制御することで同様の機能を実現しアドオン性を高めたのみならず、検疫中に攻撃を開始されてもこの攻撃を防ぐことや、ＡＲＰパケットの制御により攻撃者をおとりネットワークに誘導することをも可能である。
ここで、ＳＧＷ１００は、ネットワーク監視装置の一例である。つまり、ネットワーク管理装置は、ＳＧＷ１００やゲートウェイに限定されず、ルータ、スイッチ、ファイアウォールやその他のコンピュータであっても構わない。また、ＡＲＰ Ｒｅｑｕｅｓｔは、接続要求の一例である。つまり、接続要求は、ＡＲＰ Ｒｅｑｕｅｓｔに限定されるわけではなく、例えば、他のプロトコルによるものであっても構わない。すなわち、接続要求に対する応答もＡＲＰ Ｒｅｐｌｙに限定されるわけではなく、接続要求によって異なるものである。
また、上記実施の形態で「〜処理」として説明したものは、「〜ステップ」と読み替えすることができるものである。
また、上記実施の形態で「〜処理」として説明したものは、「〜ステップ」と読み替えすることができるものである。
１０００ 検疫システム、１００ ＳＧＷ、１１０ ネットワーク監視部、１１２ 接続要求受信部、１１４ ネットワーク判定部、１１６ アドレス判定部、１１８ 検疫判定情報記憶部、１２０ 検疫判定部、１２２ 検疫処理指示部、１２４ 検疫処理結果受信部、１２６ 検疫処理結果判定部、１２８ 応答指示部、１３０ ホワイトリスト記憶部、１３２ ホワイトリスト判定部、２００ 管理サーバ、２１０ 管理サーバ処理部、２１２ 検疫処理実施部、２１４ 検疫処理結果送信部、３００ エージェント端末、３１０ 端末制御部、３ エージェント、４ スイッチ、９０１Ａ，９０１Ｂ，９０１Ｃ ＬＣＤ、９０２Ａ，９０２Ｂ，９０２Ｃ キーボード、９０３Ａ，９０３Ｂ，９０３Ｃ マウス、９０４Ａ，９０４Ｂ，９０４Ｃ ＦＤＤ、９０９Ａ ＰＣＡ、９０９Ｂ ＰＣＢ、９０９Ｃ ＰＣＣ、９１０ サーバ、９１１ ＣＰＵ、９１２ バス、９１３ ＲＯＭ、９１４ ＲＡＭ、９１５ 通信ボード、９１６Ａ，９１６Ｂ 他のサーバ、９２０ 磁気ディスク装置、９２１ ＯＳ、９２２ ウィンドウシステム、９２３ プログラム群、９２４ ファイル群、９４０ インターネット、９４２ ＬＡＮ、９８０Ａ 処理装置Ａ、９８０Ｂ 処理装置Ｂ、９８０Ｃ 処理装置Ｃ、９８２Ａ 入力装置Ａ、９８２Ｂ 入力装置Ｂ、９８２Ｃ 入力装置Ｃ、９８４Ａ 記憶装置Ａ、９８４Ｂ 記憶装置Ｂ、９８４Ｃ 記憶装置Ｃ、９８６Ａ 表示装置Ａ、９８８Ａ 通信装置Ａ、Ｂ９８８Ｂ 通信装置、９８８Ｃ 通信装置Ｃ。
Claims (11)
- 送信元端末から接続要求を受信しても応答の指示がされない限り接続要求に対して応答しない送信先端末に宛てられた接続要求を、ネットワークを介して通信装置により受信する接続要求受信部と、
端末が検疫済か否かを示す検疫判定情報を記憶装置に記憶する検疫判定情報記憶部と、
上記検疫判定情報記憶部が記憶した検疫判定情報に基づき、送信元端末が検疫済か否かを処理装置により判定する検疫判定部と、
上記送信元端末が検疫済であると上記検疫判定部が判定した場合、接続要求に対して応答するように送信先端末へ処理装置により指示する応答指示部と
を備えることを特徴とするネットワーク監視装置。 - 上記ネットワーク監視装置は、さらに、
上記送信元端末が検疫済でないと上記検疫判定部が判定した場合、管理サーバへ上記送信元端末の検疫処理の指示を処理装置により行う検疫処理指示部と、
上記検疫処理指示部が指示した検疫処理を上記管理サーバが行った結果である、送信元端末が不正な端末であるか否かを示す検疫処理結果を上記管理サーバから通信装置により受信する検疫処理結果受信部とを備え、
送信元端末が不正な端末でないと上記検疫処理結果受信部が受信した検疫処理結果が示す場合、上記応答指示部は接続要求に対して応答するように送信先端末へ指示する
ことを特徴とする請求項１記載のネットワーク監視装置。 - 上記検疫判定部は、上記検疫判定情報記憶部が記憶した検疫判定情報に基づき、送信先端末が検疫済か否かを判定し、
上記応答指示部は、上記送信先端末が検疫済でないと上記検疫判定部が判定した場合、接続要求に対して応答するように送信先端末へ指示しない
ことを特徴とする請求項１記載のネットワーク監視装置。 - 上記接続要求受信部は、送信元端末のアドレスを含む接続要求を受信し、
上記ネットワーク監視装置は、さらに、
上記接続要求が監視ネットワークに接続された端末から送信されたか否かを判定するネットワーク判定部と、
上記接続要求に含まれる送信元端末のアドレスが上記監視ネットワークのアドレスであるか否かを処理装置により判定するアドレス判定部とを備え、
上記接続要求が監視ネットワークに接続された端末から送信されたと上記ネットワーク判定部が判定し、かつ、上記接続要求に含まれる送信元端末のアドレスが上記監視ネットワークのアドレスでないと上記アドレス判定部が判定した場合、上記応答指示部は、接続要求に対して応答するように送信先端末へ指示しない
ことを特徴とする請求項１記載のネットワーク監視装置。 - 送信元端末が不正な端末であると上記検疫処理結果受信部が受信した検疫処理結果が示す場合、上記応答指示部は、上記送信先端末とは異なるおとり端末を応答するように指示する
ことを特徴とする請求項２記載のネットワーク監視装置。 - 上記ネットワーク監視装置は、さらに、
監視ネットワーク以外で安全なネットワークをホワイトリストとして記憶装置に記憶するホワイトリスト記憶部と、
上記接続要求が監視ネットワークに接続された端末から送信されたか否かを判定するネットワーク判定部と、
上記接続要求が監視ネットワークでないネットワークに接続された端末から送信されたと上記ネットワーク判定部が判定した場合、上記ホワイトリスト記憶部が記憶したホワイトリストに基づき、上記接続要求を送信した端末が接続されたネットワークが安全なネットワークであるか否かを判定するホワイトリスト判定部とを備え、
上記接続要求を送信した端末が接続されたネットワークが安全なネットワークでないと上記ホワイトリスト判定部が判定した場合、上記応答指示部は、接続要求に対して応答するように送信先端末へ指示しない
ことを特徴とする請求項１記載のネットワーク監視装置。 - 監視ネットワークに接続された端末と監視ネットワークを監視するネットワーク監視装置とを備える検疫システムにおいて、
端末は、
接続要求を受信しても応答しないように制御する端末制御部を備え、
ネットワーク監視装置は、
監視ネットワークに接続された送信先端末宛の接続要求を通信装置により受信する接続要求受信部と、
端末が検疫済か否かを示す検疫判定情報を記憶装置に記憶する検疫判定情報記憶部と、
上記検疫判定情報記憶部が記憶した検疫判定情報に基づき、上記接続要求受信部が受信した接続要求の送信元の端末である送信元端末が検疫済か否かを処理装置により判定する検疫判定部と、
上記送信元端末が検疫済であると上記検疫判定部が判定した場合、接続要求に対して応答するように送信先端末へ処理装置により指示する応答指示部とを備え、
上記端末制御部は、上記応答指示部から接続要求に対して応答するように指示された場合に、接続要求に対して応答するように制御する
ことを特徴とする検疫システム。 - 上記検疫システムは、さらに、管理サーバを備え、
上記ネットワーク監視装置は、さらに、
上記送信元端末が検疫済でないと上記検疫判定部が判定した場合、管理サーバへ上記送信元端末の検疫処理の指示を処理装置により行う検疫処理指示部を備え、
管理サーバは、
上記検疫処理指示部の指示を受け、端末が監視ネットワークのセキュリティポリシーに合致しない不正な端末であるか否かを処理装置により判定する検疫処理実施部と、
上記検疫処理実施部が判定した結果である検疫処理結果を通信装置により送信する検疫処理結果送信部とを備え、
上記ネットワーク監視装置は、さらに、
上記検疫処理結果送信部が送信した検疫処理結果を通信装置により受信する検疫処理結果受信部を備え、
送信元端末が不正な端末でないと上記検疫処理結果受信部が受信した検疫処理結果が示す場合、上記応答指示部は、送信先端末を応答するように指示する
ことを特徴とする請求項７記載の検疫システム。 - 監視ネットワークに接続され、ＡＲＰ（Ａｄｄｒｅｓｓ Ｒｅｓｏｌｕｔｉｏｎ Ｐｒｏｔｏｃｏｌ） Ｒｅｑｕｅｓｔを受信してもセキュアゲートウェイから指示されない限りＡＲＰ Ｒｅｑｕｅｓｔに対してＡＲＰ Ｒｅｐｌｙを出力しない送信先端末宛のＡＲＰ Ｒｅｑｕｅｓｔを通信装置により受信する接続要求受信部と、
端末が検疫済か否かを示す検疫判定情報を記憶装置に記憶する検疫判定情報記憶部と、
上記検疫判定情報記憶部が記憶した検疫判定情報に基づき、上記接続要求受信部が受信した接続要求の送信元の端末である送信元端末が検疫済か否かを処理装置により判定する検疫判定部と、
上記送信元端末が検疫済であると上記検疫判定部が判定した場合、ＡＲＰ Ｒｅｑｕｅｓｔに対してＡＲＰ Ｒｅｐｌｙを出力するように、送信先端末を処理装置により指示する応答指示部と
を備えることを特徴とするセキュアゲートウェイ。 - 送信元端末から接続要求を受信しても応答の指示がされない限り接続要求に対して応答しない送信先端末に宛てられた接続要求を、ネットワークを介して通信装置により受信する接続要求受信処理と、
記憶装置に記憶した端末が検疫済か否かを示す検疫判定情報に基づき、送信元端末が検疫済か否かを処理装置により判定する検疫判定処理と、
上記送信元端末が検疫済であると上記検疫判定処理で判定した場合、接続要求に対して応答するように送信先端末を処理装置により指示する応答指示処理と
をコンピュータに実行させることを特徴とするネットワーク監視プログラム。 - 通信装置が、送信元端末から接続要求を受信しても応答の指示がされない限り接続要求に対して応答しない送信先端末に宛てられた接続要求を、ネットワークを介して受信する接続要求受信ステップと、
処理装置が、記憶装置に上記検疫判定情報記憶ステップで記憶した端末が検疫済か否かを示す検疫判定情報に基づき、送信元端末が検疫済か否かを判定する検疫判定ステップと、
処理装置が、上記送信元端末が検疫済であると上記検疫判定ステップで判定した場合、接続要求に対して応答するように送信先端末を指示する応答指示ステップと
を備えることを特徴とするネットワーク監視方法。
Priority Applications (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP2006233255A JP4745922B2 (ja) | 2006-08-30 | 2006-08-30 | ネットワーク監視装置、検疫システム、セキュアゲートウェイ、ネットワーク監視プログラム及びネットワーク監視方法 |
Applications Claiming Priority (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP2006233255A JP4745922B2 (ja) | 2006-08-30 | 2006-08-30 | ネットワーク監視装置、検疫システム、セキュアゲートウェイ、ネットワーク監視プログラム及びネットワーク監視方法 |
Publications (2)
| Publication Number | Publication Date |
|---|---|
| JP2008060766A true JP2008060766A (ja) | 2008-03-13 |
| JP4745922B2 JP4745922B2 (ja) | 2011-08-10 |
Family
ID=39243042
Family Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| JP2006233255A Expired - Fee Related JP4745922B2 (ja) | 2006-08-30 | 2006-08-30 | ネットワーク監視装置、検疫システム、セキュアゲートウェイ、ネットワーク監視プログラム及びネットワーク監視方法 |
Country Status (1)
| Country | Link |
|---|---|
| JP (1) | JP4745922B2 (ja) |
Cited By (10)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| JP2009225046A (ja) * | 2008-03-14 | 2009-10-01 | Toshiba Corp | 通信妨害装置及び通信妨害プログラム |
| JP2009225045A (ja) * | 2008-03-14 | 2009-10-01 | Toshiba Corp | 通信妨害装置及び通信妨害プログラム |
| JP2010118745A (ja) * | 2008-11-11 | 2010-05-27 | Sumitomo Electric System Solutions Co Ltd | 検疫制御装置、検疫制御コンピュータプログラム、通信妨害方法、端末装置、エージェントコンピュータプログラム、コンピュータプログラムセット、及び誤学習処理方法 |
| JP2011039850A (ja) * | 2009-08-12 | 2011-02-24 | Nomura Research Institute Ltd | 通信エージェント、検疫ネットワークシステム |
| JP2012034129A (ja) * | 2010-07-29 | 2012-02-16 | Pfu Ltd | 管理サーバ、通信遮断装置、情報処理システム、方法およびプログラム |
| JP2012080216A (ja) * | 2010-09-30 | 2012-04-19 | Nec Corp | 検疫装置、検疫システム、検疫方法、及びプログラム |
| JP2013046214A (ja) * | 2011-08-24 | 2013-03-04 | Mitsubishi Electric Corp | 検疫システム、ゲートウェイ装置、設備機器および設備系ｌａｎ構築方法 |
| KR101585342B1 (ko) * | 2014-09-30 | 2016-01-14 | 한국전력공사 | 이상행위 탐지 장치 및 방법 |
| US10356113B2 (en) | 2016-07-11 | 2019-07-16 | Korea Electric Power Corporation | Apparatus and method for detecting abnormal behavior |
| JP2019160126A (ja) * | 2018-03-16 | 2019-09-19 | デジタルア−ツ株式会社 | 情報処理装置、情報処理プログラム、記録媒体及び情報処理方法 |
Citations (4)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| JPH09214550A (ja) * | 1996-01-30 | 1997-08-15 | Fujitsu Ltd | 中継装置 |
| JP2002142004A (ja) * | 2000-10-31 | 2002-05-17 | Toshiba Corp | 通信装置 |
| JP2006050152A (ja) * | 2004-08-03 | 2006-02-16 | Toshiba Corp | 情報通信システム、情報通信方法、パケット転送装置、パケット転送プログラム、パケット転送方法、防御対象端末、防御対象プログラム及び防御対象方法 |
| JP2006109101A (ja) * | 2004-10-05 | 2006-04-20 | Ntt Docomo Inc | 移動通信方法、移動通信システム、セッション制御装置及び発信端末 |
-
2006
- 2006-08-30 JP JP2006233255A patent/JP4745922B2/ja not_active Expired - Fee Related
Patent Citations (4)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| JPH09214550A (ja) * | 1996-01-30 | 1997-08-15 | Fujitsu Ltd | 中継装置 |
| JP2002142004A (ja) * | 2000-10-31 | 2002-05-17 | Toshiba Corp | 通信装置 |
| JP2006050152A (ja) * | 2004-08-03 | 2006-02-16 | Toshiba Corp | 情報通信システム、情報通信方法、パケット転送装置、パケット転送プログラム、パケット転送方法、防御対象端末、防御対象プログラム及び防御対象方法 |
| JP2006109101A (ja) * | 2004-10-05 | 2006-04-20 | Ntt Docomo Inc | 移動通信方法、移動通信システム、セッション制御装置及び発信端末 |
Cited By (11)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| JP2009225046A (ja) * | 2008-03-14 | 2009-10-01 | Toshiba Corp | 通信妨害装置及び通信妨害プログラム |
| JP2009225045A (ja) * | 2008-03-14 | 2009-10-01 | Toshiba Corp | 通信妨害装置及び通信妨害プログラム |
| JP2010118745A (ja) * | 2008-11-11 | 2010-05-27 | Sumitomo Electric System Solutions Co Ltd | 検疫制御装置、検疫制御コンピュータプログラム、通信妨害方法、端末装置、エージェントコンピュータプログラム、コンピュータプログラムセット、及び誤学習処理方法 |
| JP2011039850A (ja) * | 2009-08-12 | 2011-02-24 | Nomura Research Institute Ltd | 通信エージェント、検疫ネットワークシステム |
| JP2012034129A (ja) * | 2010-07-29 | 2012-02-16 | Pfu Ltd | 管理サーバ、通信遮断装置、情報処理システム、方法およびプログラム |
| US9444821B2 (en) | 2010-07-29 | 2016-09-13 | Pfu Limited | Management server, communication cutoff device and information processing system |
| JP2012080216A (ja) * | 2010-09-30 | 2012-04-19 | Nec Corp | 検疫装置、検疫システム、検疫方法、及びプログラム |
| JP2013046214A (ja) * | 2011-08-24 | 2013-03-04 | Mitsubishi Electric Corp | 検疫システム、ゲートウェイ装置、設備機器および設備系ｌａｎ構築方法 |
| KR101585342B1 (ko) * | 2014-09-30 | 2016-01-14 | 한국전력공사 | 이상행위 탐지 장치 및 방법 |
| US10356113B2 (en) | 2016-07-11 | 2019-07-16 | Korea Electric Power Corporation | Apparatus and method for detecting abnormal behavior |
| JP2019160126A (ja) * | 2018-03-16 | 2019-09-19 | デジタルア−ツ株式会社 | 情報処理装置、情報処理プログラム、記録媒体及び情報処理方法 |
Also Published As
| Publication number | Publication date |
|---|---|
| JP4745922B2 (ja) | 2011-08-10 |
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| JP4745922B2 (ja) | ネットワーク監視装置、検疫システム、セキュアゲートウェイ、ネットワーク監視プログラム及びネットワーク監視方法 | |
| KR102181185B1 (ko) | 단말의 안전한 네트워크 접속을 위한 시스템 및 방법 | |
| US10282548B1 (en) | Method for detecting malware within network content | |
| US8539582B1 (en) | Malware containment and security analysis on connection | |
| JP4746393B2 (ja) | ネットワークを介するソフトウェア配信を外部の悪意のある侵入から隔離する方法、システム、および装置 | |
| CN106797375B (zh) | 恶意软件代理的行为检测 | |
| US20170331842A1 (en) | Sdn controller | |
| KR102364445B1 (ko) | 컨트롤러 기반의 네트워크 접속을 제어하기 위한 시스템 및 그에 관한 방법 | |
| US10509904B2 (en) | USB attack protection | |
| US20100071065A1 (en) | Infiltration of malware communications | |
| JP6256773B2 (ja) | セキュリティシステム | |
| KR102379720B1 (ko) | 가상화 단말에서 데이터 플로우를 제어하기 위한 시스템 및 그에 관한 방법 | |
| KR102407136B1 (ko) | 컨트롤러 기반 네트워크 접속을 제어하기 위한 시스템 및 그에 관한 방법 | |
| JP2008054204A (ja) | 接続装置及び端末装置及びデータ確認プログラム | |
| US20060015939A1 (en) | Method and system to protect a file system from viral infections | |
| JP7166969B2 (ja) | ルータ攻撃検出装置、ルータ攻撃検出プログラム及びルータ攻撃検出方法 | |
| JP2020119596A (ja) | ログ解析システム、解析装置、方法、および解析用プログラム | |
| US11159533B2 (en) | Relay apparatus | |
| JP6635029B2 (ja) | 情報処理装置、情報処理システム及び通信履歴解析方法 | |
| JP6911723B2 (ja) | ネットワーク監視装置、ネットワーク監視方法及びネットワーク監視プログラム | |
| JP7444596B2 (ja) | 情報処理システム | |
| JP6286314B2 (ja) | マルウェア通信制御装置 | |
| WO2023079731A1 (ja) | ＤｏＳ攻撃対処装置及びＤｏＳ攻撃対処プログラム | |
| JP7067187B2 (ja) | 通信制御装置、通信制御方法、及びプログラム | |
| JP2006222662A (ja) | 不正アクセス防止システム、不正アクセス防止方法、および不正アクセス防止プログラム |
Legal Events
| Date | Code | Title | Description |
|---|---|---|---|
| A621 | Written request for application examination |
Free format text: JAPANESE INTERMEDIATE CODE: A621 Effective date: 20090414 |
|
| A977 | Report on retrieval |
Free format text: JAPANESE INTERMEDIATE CODE: A971007 Effective date: 20101222 |
|
| A131 | Notification of reasons for refusal |
Free format text: JAPANESE INTERMEDIATE CODE: A131 Effective date: 20110111 |
|
| A521 | Written amendment |
Free format text: JAPANESE INTERMEDIATE CODE: A523 Effective date: 20110222 |
|
| A131 | Notification of reasons for refusal |
Free format text: JAPANESE INTERMEDIATE CODE: A131 Effective date: 20110322 |
|
| A521 | Written amendment |
Free format text: JAPANESE INTERMEDIATE CODE: A523 Effective date: 20110413 |
|
| TRDD | Decision of grant or rejection written | ||
| A01 | Written decision to grant a patent or to grant a registration (utility model) |
Free format text: JAPANESE INTERMEDIATE CODE: A01 Effective date: 20110510 |
|
| A01 | Written decision to grant a patent or to grant a registration (utility model) |
Free format text: JAPANESE INTERMEDIATE CODE: A01 |
|
| A61 | First payment of annual fees (during grant procedure) |
Free format text: JAPANESE INTERMEDIATE CODE: A61 Effective date: 20110512 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20140520 Year of fee payment: 3 |
|
| R150 | Certificate of patent or registration of utility model |
Free format text: JAPANESE INTERMEDIATE CODE: R150 |
|
| LAPS | Cancellation because of no payment of annual fees |