JP2011124774A - ネットワーク監視装置、ネットワーク監視方法 - Google Patents

Abstract

【課題】未登録ノードから登録ノードへの通信を妨害すると共に、未登録ノードが設定されたノードと通信を行うこと。
【解決手段】監視ユニット１０１の未登録ＰＣ検出モジュール２０４は、登録済みリストおよび検出リストを参照して、未登録ノードから送信されたＡＲＰ要求パケットを検出する。未登録ノードからのＡＰＲ要求パケットを検出した場合、ＡＲＰ要求パケットの宛先が接続許可リストに含まれているかを判定する。未登録ＰＣ検出モジュール２０４は、接続許可リストに含まれていると判定した場合、未登録ノードと宛先ノードとの通信を許可する。
【選択図】図３

Description

本発明は、ネットワーク上のアクセスを監視するネットワーク監視装置およびネットワーク監視方法に関する。

近年、ネットワーク上の不正アクセスに対処するための様々な手法が提案されている。このような手法の一つとして、アドレス解決プロトコル（Address Resolution Protocol：ＡＲＰ）を利用した方法が挙げられる。

アドレス解決プロトコル（ＡＲＰ）は、ネットワーク上でＩＰアドレスが既知であるノードのＭＡＣアドレスを決定するためのプロトコルである。

ネットワーク上の各ノードは、アドレス解決プロトコル要求（ＡＲＰ要求）を送信し、他のノードから送信されるアドレス解決プロトコル応答（ＡＲＰ応答）に基づいて、ＩＰアドレス（ネットワークアドレス）とＭＡＣアドレス（物理アドレス）との対応をＡＲＰテーブルへ記述する。このため、偽装されたＡＲＰ応答を送信することで、ノードのＡＲＰテーブルに他のノードの偽のＭＡＣアドレスを記述することもできる。ＡＲＰテーブルに偽のＭＡＣアドレスを記述されたノードは、正常な通信を行うことができない。換言すると、ノードが不正なノードである場合には、不正なノードによる通信を妨害することができる。

特許文献１には、未認証端末から送信されたＡＲＰ要求を受信し、該未認証端末へ偽装ＡＲＰ応答を送信し、該未認証端末のアクセス先である認証済み端末へ偽装ＡＲＰ要求を送信するネットワーク検疫装置が開示されている。ネットワーク検疫装置は、上述の偽装ＡＲＰ応答および偽装ＡＲＰ要求により、未認証端末と認証済み端末との間の通信を妨害することができる。

特開２００６−２６２０１９号公報

特許文献１のネットワーク検疫装置では、未登録ノードはネットワーク上のノードに全くアクセスすることができなかった。

本発明の目的は、未登録ノードから登録ノードへの通信を妨害すると共に、未登録ノードが設定されたノードと通信を行うことが可能になるネットワーク監視装置およびネットワーク監視方法を提供することである。

本発明の一例に係わる、複数のノードが接続されたネットワークを監視するネットワーク監視装置であって、アドレス解決プロトコル要求パケットを受信したことに応答して、前記受信したアドレス解決プロトコル要求パケットに含まれる送信元物理アドレスに基づいて、前記受信したアドレス解決プロトコル要求パケットの送信元ノードが未登録ノードであるかどうかを判定する未登録ノード判定手段と、前記未登録ノード判定手段によって前記送信元ノードが未登録ノードであると判定された場合、前記受信したアドレス解決プロトコル要求パケットに含まれる宛先ネットワークアドレスに基づいて、前記受信したアドレス解決プロトコル要求パケットの宛先ノードが接続許可ノードであるかを判定する接続許可ノード判定手段と、前記接続許可ノード判定手段によって前記宛先ノードが接続許可ノードであると判定された場合、前記送信元ノードと前記宛先ノードとの通信を許可する手段と、前記接続許可ノード判定手段によって前記宛先ノードが接続許可ノードではないと判定された場合、前記受信したアドレス解決プロトコル要求パケットに含まれる宛先ネットワークアドレスに対応するノードである宛先ノードへ、偽装アドレス解決プロトコル要求パケットを送信する偽装アドレス解決プロトコル要求送信手段と、前記宛先ノードから送信された、前記偽装アドレス解決プロトコル要求パケットに対するアドレス解決プロトコル応答パケットを受信したことに応答して、前記未登録ノードへ、偽装アドレス解決プロトコル応答パケットを送信する偽装アドレス解決プロトコル応答送信手段とを具備することを特徴とする。

本発明によれば、未登録ノードから登録ノードへの通信を妨害すると共に、未登録ノードが設定されたノードと通信を行うことが可能になるになる。

第１の実施形態に係るネットワーク監視装置が接続されるネットワークの例を示す図。 図１のネットワーク上におけるデータの流れを説明する図。 同実施形態のネットワーク監視装置の機能構成を示すブロック図。 同実施形態のネットワーク監視装置が保持するリストを説明する図。 図４の登録済みリストおよび検出リストのエントリの記述例を説明する図。 図４の接続許可リストのエントリの記述例を説明する図。 同実施形態のネットワーク監視装置が送受信するＡＲＰパケットを説明する図。 図４の送信リストのエントリの記述例を説明する図。 同実施形態のネットワーク監視装置が監視するパケットのシーケンス図。 図９のシーケンス完了後における各ノードのＡＲＰテーブルを示す図。 第１の実施形態に係わるネットワーク監視装置による未登録ＰＣ排除処理の手順を示すフローチャート。 登録済みリストにコンピュータの情報が追加される手順を示すフローチャートシーケンス図。 第２の実施形態に係わる登録済みリストの更新を行うセキュリティサーバの構成を示すブロック図。 第２の実施形態に係わるコンピュータが電源オンされてから、電源オフされるまでの検疫エージェントソフトウェア、セキュリティサーバ、および監視ユニットによって行われる処理の手順を示すフローチャート。

本発明の実施の形態を以下に図面を参照して説明する。

以下、図面を参照して本発明の実施形態を説明する。

（第１の実施形態）
まず、図１を参照して、本発明の第１の実施形態に係るネットワーク監視装置が接続されるネットワークの例について説明する。このネットワーク監視装置は、例えば、パーソナルコンピュータとして実現される。

このネットワーク上には、セキュリティサーバ（安全保障装置）１００、監視ユニット１０１，１２１、ルータ１１０、登録済みコンピュータ１０２，１２３、および未登録コンピュータ１０３，１２２が接続される。セキュリティサーバ１００、監視ユニット１０１、登録済みコンピュータ１０２、および未登録コンピュータ１０３が接続されるセグメントと、監視ユニット１２１、未登録コンピュータ１２２、および登録済みコンピュータ１２３が接続されるセグメントとは、ルータ１１０を介して相互に接続される。

このネットワーク上では、セキュリティサーバ１００、監視ユニット１０１，１２１、および登録済みコンピュータ１０２，１２３による通信のみを許可する。一方、未登録コンピュータ１０３，１２２は、セキュリティサーバ１００のみへの通信を許可する。

セキュリティサーバ１００は、ネットワーク上の登録済みコンピュータの情報を記述した登録済みリストを保持する。登録済みリストには、例えば、登録済みコンピュータ１０２，１２３のＭＡＣアドレス（物理アドレス）、ＩＰアドレス（ネットワークアドレス）、ホスト名等が記述される。登録済みリストは、セキュリティサーバ１００上で作成および更新される。セキュリティサーバ１００は、この登録済みリストを監視ユニット１０１，１２１へ配布する。

また、セキュリティサーバ１００は、監視ユニット１０１，１２１により新たに検出された未登録コンピュータ１０３、１２２に関する情報が記述された検出リストを、監視ユニット１０１，１２１それぞれから受信する。セキュリティサーバ１００は、受信した検出リストに基づき、登録済みリストを更新する。なお、登録済みリストは、セキュリティサーバ１００上で、手動で変更してもよい。

監視ユニット１０１，１２１は、ネットワーク上のパケットを監視し、未登録コンピュータ１０３，１２２による登録済みコンピュータ１０２，１２３へのアクセスを検出して、登録済みコンピュータへのアクセスを排除する。具体的には、監視ユニット１０１，１２１は、未登録コンピュータ１０３，１２２から送信されるアドレス解決プロトコル要求パケット（ＡＲＰ要求パケット）、又は未登録コンピュータ１０３，１２２へ送信されるアドレス解決プロトコル要求パケット（ＡＲＰ要求パケット）を検出した場合、未登録コンピュータ１０３，１２２による登録済みコンピュータ１０２，１２３へのアクセスを妨害するための処理を実行する。

アドレス解決プロトコル（ＡＲＰ）は、ネットワーク上でＩＰアドレスが既知であるノードのＭＡＣアドレスを決定するためのプロトコルである。二つのノード間で通信を行う場合、第一のノードは、通信に先立ち、通信相手である第二のノードのＭＡＣアドレスを調査するため、第二のノードのＩＰアドレスを指定したアドレス解決プロトコル要求パケット（ＡＲＰ要求パケット）をネットワーク上へブロードキャストする。このＡＲＰ要求パケットを受信した第二のノードは、この第二のノードのＭＡＣアドレスを含むアドレス解決プロトコル応答パケット（ＡＲＰ応答パケット）を第一のノードへ送信（ユニキャスト）する。第一のノードは、このＡＲＰ応答パケットに含まれる第二のノードのＭＡＣアドレスを取得し、第二のノードのＩＰアドレスとＭＡＣアドレスとを第一のノード内に保持するＡＲＰテーブルへ記述する。以降、二つのノード間で通信を行う場合、第一のノードは、このＡＲＰテーブルを参照し、ＡＲＰテーブルに記述された第二のノードのＭＡＣアドレスへパケットを送信する。

なお、ＡＲＰ要求パケットを送信したノードは、このＡＲＰ要求パケットに応答するＡＲＰ応答パケットを複数受信した場合、これらＡＲＰ応答パケットを受信した順に処理する。つまり、一つのＡＲＰ要求パケットを送信したノードは、複数のＡＲＰ応答パケットを受信し得る。また、ＡＲＰ要求パケットを送信していないノードも、複数のＡＲＰ応答パケットを受信し得、これらＡＲＰ応答パケットを受信した順に処理する。

上述のように、第一のノードは、ＡＲＰ応答に基づいてＡＲＰテーブルを記述するため、偽装されたＡＲＰ応答を第一のノードへ送信することで、第一のノードのＡＲＰテーブルに第二のノードのＭＡＣアドレスとは異なる偽のＭＡＣアドレスを記述することができる。ＡＲＰテーブルに偽のＭＡＣアドレスを記述された第一のノードは、正常な通信を行うことができない。したがって、第一のノードが未登録ノードである場合には、第一のノードによる通信を妨害することができる。

以上のようなＡＲＰの性質を利用して、未登録コンピュータ１０３，１２２からネットワーク上の他のノードへのアクセス、およびネットワーク上の他のノードから未登録コンピュータ１０３，１２２へのアクセスを排除することができる。

また、監視ユニット１０１，１２１は、新たに検出した未登録コンピュータ１０３，１２２に関する情報を検出リストに記述し、所定の期間毎、又はセキュリティサーバ１００による指示に応じて、検出リストをセキュリティサーバ１００へ送信する。検出リストには、未登録コンピュータ１０３，１２２に関する情報として、例えば、未登録コンピュータ１０３，１２２のＭＡＣアドレス（物理アドレス）、ＩＰアドレス（ネットワークアドレス）、ホスト名等が記述される。

監視ユニット１０１，１２１は、未登録コンピュータ１０３，１２２を検出した場合に、未登録コンピュータ１０３，１２２に関する情報を検出リストに記述する収集モードと、未登録コンピュータ１０３，１２２を検出した場合に、未登録コンピュータ１０３，１２２に関する情報を検出リストに記述し、未登録コンピュータ１０３，１２２による登録済みコンピュータへのアクセスを排除するブロックモードのいずれかの動作モードに設定される。

なお、監視ユニット１０１，１２１は、各セグメントに一台以上設けられる。また、セキュリティサーバ１００と同一セグメントにある監視ユニット１０１は、セキュリティサーバ１００の機能を兼ねてもよい。

図２は、上述のネットワーク上におけるデータの流れを示す図である。

セキュリティサーバ１００は、監視ユニット１０１，１２１へ登録済みリスト、接続許可リストおよび動作モードを示す情報を送信する。登録済みリストには、登録済みコンピュータ１０２と登録済みコンピュータ１２３とに関する情報が記述されている。また、接続許可リストには、セキュリティサーバ１００に関する情報が記述されている。

監視ユニット１０１，１２１は、受信した動作モードを示す情報に基づき、収集モードとブロックモードのいずれかのモードで動作する。

監視ユニット１０１，１２１はそれぞれ属するセグメント内のＡＲＰ要求パケットを監視する。この監視により、監視ユニット１０１は、登録済みコンピュータ１０２と未登録コンピュータ１０３とを検出する。また、監視ユニット１２１は、未登録コンピュータ１２２と登録済みコンピュータ１２３とを検出する。

収集モードで動作している場合、監視ユニット１０１は、未登録コンピュータ１０３に関する情報を監視ユニット１０１が保持する検出リストに記述し、監視ユニット１２１は、未登録コンピュータ１２２に関する情報を監視ユニット１２１が保持する検出リストに記述する。監視ユニット１０１，１２１は、それぞれ保持する検出リストをセキュリティサーバ１００へ送信する。

ブロックモードで動作している場合、監視ユニット１０１は、未登録コンピュータ１０３に関する情報を監視ユニット１０１が保持する検出リストに記述し、さらに未登録コンピュータ１０３による登録済みコンピュータ１０２，１２３へのアクセスを排除する。また、監視ユニット１２１は、未登録コンピュータ１２２に関する情報を監視ユニット１２１が保持する検出リストに記述し、さらに未登録コンピュータ１２２による登録済みコンピュータ１０２，１２３へのアクセスを排除する。なお、監視ユニット１０１は、未登録コンピュータ１０３，１２２からセキュリティサーバ１００へのアクセスは許可する。

監視ユニット１０１、１２１はそれぞれ、以下の三つの対策により、未登録コンピュータ１０３から登録済みコンピュータ１０２へのアクセス、および未登録コンピュータ１２２から登録済みコンピュータ１２３へのアクセスをブロックする。

第一に、監視ユニット１０１は、未登録コンピュータ１０３の通信相手のコンピュータ１０２のＡＲＰテーブルに、未登録コンピュータ１０３のＩＰアドレスと監視ユニット１０１のＭＡＣアドレスとのペアを登録する。したがって、監視ユニット１０１は、監視ユニット１０１のＭＡＣアドレスを送信元ＭＡＣアドレスとして含み、且つ未登録コンピュータ１０３のＩＰアドレスを送信元ＩＰアドレスとして含む偽装ＡＲＰリクエストを通信相手のコンピュータ１０２へ送信する。

第二に、監視ユニット１０１は、未登録コンピュータ１０３のＡＲＰテーブルに、通信相手のコンピュータ１０２のＩＰアドレスと未登録コンピュータのＭＡＣアドレスとのペアを登録する。したがって、監視ユニット１０１は、未登録コンピュータ１０３のＭＡＣアドレスを送信元ＭＡＣアドレスとして含み、且つ通信相手のコンピュータ１０２のＩＰアドレスを送信元ＩＰアドレスとして含む偽装ＡＲＰリプライを未登録コンピュータ１０３へ送信する。

第三に、監視ユニット１０１は、監視ユニット１０１のＡＲＰテーブルに、未登録コンピュータ１０３のＩＰアドレスと監視ユニット１０１のＭＡＣアドレスとのペアを登録し、ＡＲＰテーブルを偽装する。

以上の三つの対策により、監視ユニット１０１、１２１はそれぞれ、未登録コンピュータ１０３から通信相手の登録済みコンピュータ１０２へのアクセス、および未登録コンピュータ１２２から通信相手の登録済みコンピュータ１２３へのアクセスをブロックする。

さらに、監視ユニット１０１，１２１は、それぞれ保持する検出リストをセキュリティサーバ１００へ送信する。

検出リストを受信したセキュリティサーバ１００は、この検出リストに基づき、記述された未登録コンピュータ１０３，１２２のうち、新たに登録されたコンピュータに関する情報を登録済みリストに記述する。

セキュリティサーバ１００は、未登録コンピュータからの要求に応じてエージェントソフトウェアをインストールする機能を有する。エージェントソフトウェアは、インストールされているコンピュータの情報（マシン名、ＩＰアドレス等）をセキュリティサーバに送信する機能を有する。

以下では、主に、一台の監視ユニット１０１に注目して、本実施形態のネットワーク監視装置について説明する。ただし、監視ユニット１２１等のネットワーク上の他の監視ユニットも、監視ユニット１０１と同様の動作をするものとする。また、以下では、監視ユニット１０１が、未登録コンピュータ１０３から登録済みコンピュータ１０２へのアクセスを排除することを想定する。

図３は、監視ユニット１０１の機能構成を示すブロック図である。
監視ユニット１０１は、ネットワークインタフェースモジュール２０１、受信モジュール２０２、通信プロトコル判定モジュール２０３、未登録ＰＣ検出モジュール２０４、宛先判定モジュール２０５、ＡＲＰテーブル偽装モジュール２０６、偽装ＡＲＰリクエスト送信モジュール２０７、偽装ＡＲＰリプライ送信モジュール２０８、名前解決パケット送受信モジュール２０９、ＡＲＰテーブル記憶モジュール２１０、登録済みリスト記憶モジュール２１１、検出リスト記憶モジュール２１２、送信リスト記憶モジュール２１３、および接続許可リスト記憶モジュール２１４等から構成される。

ネットワークインタフェースモジュール２０１は、監視ユニット１０１をネットワークへ接続するためのインタフェースである。ネットワークインタフェースモジュール２０１は、例えば、監視ユニット１０１から他のノードへ送信するパケット、および監視ユニット１０１が他のノードから受信するパケットの送受信等を制御する。ネットワークインタフェースモジュール２０１は、受信モジュール２０２、偽装ＡＲＰリクエスト送信モジュール２０７、偽装ＡＲＰリプライ送信モジュール２０８、および名前解決パケット送受信モジュール２０９等のパケットの送受信を行う各部に接続される。

受信モジュール２０２は、ネットワークインタフェースモジュール２０１を介して、他のノードから送信されるパケットを受信する。受信されるパケットは、ブロードキャストパケットと監視ユニット１０１のＭＡＣアドレス宛のパケットである。受信モジュール２０２は、受信したパケットのデータを通信プロトコル判定モジュール２０３へ出力する。

通信プロトコル判定モジュール２０３は、受信したパケットのプロトコルを判定する。通信プロトコル判定モジュール２０３は、受信したパケットのプロトコルがＡＲＰである場合に、受信したパケットのデータ、すなわちＡＲＰパケットのデータを未登録ＰＣ検出モジュール２０４へ出力する。

未登録ＰＣ検出モジュール２０４は、登録済みリスト記憶モジュール２１１に格納された登録済みリスト、および検出リスト記憶モジュール２１２に格納された検出リストを参照し、受信したＡＲＰパケットの送信元のコンピュータが未登録のコンピュータであるかどうかを判定する。

また、受信したＡＲＰパケットの送信元のコンピュータが未登録のコンピュータの場合、未登録ＰＣ検出モジュール２０４は、接続許可リスト記憶モジュール２１４に格納された接続許可リストを参照し、受信したＡＲＰパケットの送信先が接続許可リストに登録されているかを判定する。

図４から図７を参照して、上述の登録済みリスト、検出リスト、送信リスト、および接続許可リストをそれぞれ説明する。

登録済みリストは、登録済みコンピュータの情報を記述するリストである。登録済みリストに格納される各エントリは、一台の登録済みコンピュータのＭＡＣアドレス、ＩＰアドレス、ホスト名等の情報を含む。図５は、各エントリの記述の例である。ＭＡＣアドレスのフィールドには、機器固有のＭＡＣアドレス（物理アドレス）の値が記述される。ＩＰアドレスのフィールドには、ネットワーク上で割り当てられたＩＰアドレス（ネットワークアドレス）の値が記述される。ホスト名のフィールドには、ＩＰアドレスに基づく名前解決等によって取得された名称が記述される。登録済みリストは、セキュリティサーバ１００で作成され、セキュリティサーバ１００から監視ユニット１０１へ配布される。図２に示すネットワークでは、セキュリティサーバ１００は、登録済みコンピュータ１０２と登録済みコンピュータ１２３との情報を登録済みリストに記載する。

検出リストは、監視ユニット１０１と同一セグメント上に存在するコンピュータで、登録済みリストに記載されていないコンピュータの情報を記述するリスト、すなわち未登録コンピュータの情報を記述するリストである。検出リストに格納される各エントリは、一台の未登録コンピュータのＭＡＣアドレス、ＩＰアドレス、ホスト名等の情報を含む。登録済みリストと同様に、各エントリは図５のように記述される。ＭＡＣアドレスのフィールドには、機器固有のＭＡＣアドレス（物理アドレス）の値が記述される。ＩＰアドレスのフィールドには、ネットワーク上で割り当てられたＩＰアドレス（ネットワークアドレス）の値が記述される。ホスト名のフィールドには、ＩＰアドレスに基づく名前解決等によって取得された名称が記述される。なお、ホスト名のフィールドは空欄であってもよい。

接続許可リストは、ネットワーク上に存在するコンピュータで、未登録コンピュータとの通信を許可するコンピュータの情報を記述するリストである。接続許可リストに格納される各エントリは、一台の接続許可コンピュータのＩＰアドレス、ホスト名等の情報を含む。接続許可リストの各エントリは図６に示すように記述される。ＩＰアドレスのフィールドには、ネットワーク上で割り当てられたＩＰアドレス（ネットワークアドレス）の値が記述される。ホスト名のフィールドには、ＩＰアドレスに基づく名前解決等によって取得された名称が記述される。なお、ホスト名のフィールドは空欄であってもよい。

監視ユニット１０１の未登録ＰＣ検出モジュール２０４は、受信したＡＲＰ要求パケット内の送信元ＭＡＣアドレスが、登録済みリストに登録されていないＭＡＣアドレスである場合、ＡＲＰ要求パケットの送信元コンピュータを未登録コンピュータと判定し、この送信元コンピュータに関する情報を記述したエントリを検出リストへ追加する。ただし、未登録ＰＣ検出モジュール２０４は、該送信元コンピュータの情報が、既に検出リストに登録されている場合には、新たなエントリを追加しない。

図７に、ＡＲＰパケット部を含むイーサネット（登録商標）フレームのフォーマットを示す。

イーサネットフレームは、先頭から順に、６バイトの宛先ハードウェアアドレス（Destination HW Address）、６バイトの送信元ハードウェアアドレス（Source HW Address）、２バイトのプロトコルタイプ（Type）、最大１５００バイトのデータ部（Data）、１８バイトのトレーラ（Trailer）の各フィールドから構成される。

宛先ハードウェアアドレスは、イーサネットフレームの宛先である機器（ノード）のＭＡＣアドレス（物理アドレス）を示す。送信元ハードウェアアドレスは、イーサネットフレームの送信元である機器（ノード）のＭＡＣアドレス（物理アドレス）を示す。プロトコルタイプは、通信に用いる、イーサネットの上位に位置するプロトコルの種類を示す。ＡＲＰにより通信を行う場合、プロトコルタイプのフィールドには“0806h”が設定される。

データ部は、プロトコルタイプに指定したプロトコル毎に設定されるフィールドそれぞれの値を含む。プロトコルタイプにＡＲＰが指定された場合、データ部はＡＲＰパケットとして必要なフィールドにより構成される。したがって、データ部（ＡＲＰパケット部）は、２バイトのハードウェアタイプ（Hardware Type）、２バイトのプロトコルタイプ（Protocol Type）、１バイトのＭＡＣアドレス長（Hardware Length）、１バイトのＩＰアドレス長（Protocol Length）、２バイトの動作（Operation）、６バイトの送信元ＭＡＣアドレス（Sender MAC）、４バイトの送信元ＩＰアドレス（Sender IP）、６バイトの宛先ＭＡＣアドレス（Target MAC）、および４バイトの宛先ＩＰアドレス（Target IP）の各フィールドから構成される。

ハードウェアタイプは、ネットワークの物理的な媒体の種類を示す。イーサネットの場合、ハードウェアタイプのフィールドには、“0001h”が設定される。

プロトコルタイプは、ＡＲＰプロトコルで取り扱うプロトコルの種類を示す。ＩＰの場合、プロトコルタイプのフィールドには、“0800h”が設定される。

ＭＡＣアドレス長は、ＭＡＣアドレスの長さを示す。イーサネットの場合、ＭＡＣアドレスの長さは６バイトであり、ＭＡＣアドレス長のフィールドには、“06h”が設定される。

ＩＰアドレス長は、ＩＰアドレスの長さを示す。Version４のＩＰ（ＩＰｖ４）の場合、ＩＰアドレスの長さは４バイトであり、ＩＰアドレス長のフィールドには、“04h”が設定される。

動作は、ＡＲＰの動作の種類を示す。ＡＲＰによる通信では、最初に一台のコンピュータがＡＲＰ要求を送信し、このＡＲＰ要求に該当するコンピュータがＡＲＰ応答を返す。このため、動作のフィールドには要求と応答とを判別するための値が設定される。具体的には、ＡＲＰパケットがＡＲＰ要求のパケットである場合、動作のフィールドには、“0001h”が設定される。一方、ＡＲＰパケットがＡＲＰ応答のパケットである場合、動作のフィールドには、“0002h”が設定される。

送信元ＭＡＣアドレスは、送信元の機器（ノード）固有のＭＡＣアドレス（物理アドレス）を示す。したがって、イーサネットフレームの送信元ハードウェアアドレスのフィールドと、ＡＲＰパケット部の送信元ＭＡＣアドレスのフィールドとは、同じ値が設定される。

送信元ＩＰアドレスは、送信元の機器（ノード）に割り当てられたＩＰアドレス（ネットワークアドレス）を示す。

宛先ＭＡＣアドレスは、宛先の機器（ノード）固有のＭＡＣアドレス（物理アドレス）を示す。したがって、イーサネットフレームの宛先ハードウェアアドレスのフィールドと、ＡＲＰパケット部の宛先ＭＡＣアドレスのフィールドとは、同じ値が設定される。ＡＲＰパケットがＡＲＰ要求パケットである場合（動作のフィールドにＡＲＰ要求に対応する値が設定されている場合）、宛先ＭＡＣアドレスは不明であるため、宛先ＭＡＣアドレスのフィールドには、“0”が設定される。

宛先ＩＰアドレスは、宛先の機器（ノード）に割り当てられたＩＰアドレス（ネットワークアドレス）を示す。

また、トレーラは、イーサネットフレームの末尾に付加されるデータ列である。トレーラは、誤り訂正符号等に用いられる。

上述のフォーマットに基づくＡＲＰ要求パケットを受信した場合、未登録ＰＣ検出モジュール２０４は、まず、受信したＡＲＰ要求パケットから送信元ＭＡＣアドレスを抽出する。そして、未登録ＰＣ検出モジュール２０４は、送信元ＭＡＣアドレスが登録済みリストに記載されている場合、送信元コンピュータを登録済みコンピュータであると判定する。

また、未登録ＰＣ検出モジュール２０４は、送信元ＭＡＣアドレスが登録済みリストに記載されていない場合、送信元コンピュータを未登録コンピュータであると判定する。送信元コンピュータが未登録コンピュータであると判定された場合、未登録ＰＣ検出モジュール２０４は、受信したＡＲＰ要求パケットに含まれる送信元ＭＡＣアドレスと送信元ＩＰアドレスとが記述されたエントリを検出リストへ追加し、ＡＲＰ要求パケットに含まれる情報を受信時刻と共に、送信リスト記憶モジュール２１３に格納される送信リストへ記述する。なお、受信したＡＲＰ要求パケットに含まれる送信元ＭＡＣアドレスと送信元ＩＰアドレスとが記述されたエントリが、既に検出リストに登録されている場合には、未登録ＰＣ検出モジュール２０４は、検出リストにこのエントリを追加しない。

上述のように、受信したＡＲＰ要求パケットに含まれる送信元ＭＡＣアドレスのみに基づいて、送信元コンピュータが未登録コンピュータであるかどうかを判定することで、ＤＨＣＰ環境でＩＰアドレスとＭＡＣアドレスとの対応が動的に変化する場合や、未登録コンピュータがＩＰアドレスを偽装しているような場合でも、ＡＲＰ要求パケットの送信元コンピュータが未登録コンピュータであるかどうかを判定することができる。

送信リストは、図４に示すように、ネットワーク上から未登録コンピュータを排除するための妨害パケットを生成し、送信するための情報を記述するリストである。妨害パケットとは、送信元ＭＡＣアドレスと送信元ＩＰアドレスとの対応関係を偽装したＡＲＰ要求パケット（偽装ＡＲＰ要求パケット）およびＡＲＰ応答パケット（偽装ＡＲＰ応答パケット）である。未登録ＰＣ検出モジュール２０４は、登録済みリストに登録されていない送信元ＭＡＣアドレスを含むＡＲＰ要求パケットを受信した場合、すなわち、未登録コンピュータからブロードキャストされたＡＲＰ要求を受信した場合、該ＡＲＰ要求パケットの情報を含むエントリを送信リストへ追加する。

図８は、送信リストの各エントリを構成するフィールドの例を示す。

送信リストのエントリは、送信元ＭＡＣアドレス、送信元ＩＰアドレス、宛先ＭＡＣアドレス、宛先ＩＰアドレス、受信時刻、リクエスト送信フラグ等から構成される。

送信元ＭＡＣアドレス（Sender MAC）は、未登録コンピュータのＭＡＣアドレスを示す。したがって、送信元ＭＡＣアドレスのフィールドには、未登録コンピュータから送信されたＡＲＰ要求に含まれる送信元ＭＡＣアドレスの値が設定される。

送信元ＩＰアドレス（Sender IP）は、未登録コンピュータのＩＰアドレスを示す。したがって、送信元ＩＰアドレスのフィールドには、未登録コンピュータから送信されたＡＲＰ要求に含まれる送信元ＩＰアドレスの値が設定される。

宛先ＭＡＣアドレス（Target MAC）は、０を示す。これは、宛先ＭＡＣアドレスのフィールドに、未登録コンピュータから送信されるＡＲＰ要求に含まれる宛先ＭＡＣアドレスの値である０が設定されるためである。

宛先ＩＰアドレス（Target IP）は、未登録コンピュータのアクセス先のコンピュータのＩＰアドレスを示す。したがって、宛先ＩＰアドレスのフィールドには、未登録コンピュータから送信されたＡＲＰ要求に含まれる宛先ＩＰアドレスの値が設定される。

受信時刻は、監視ユニット１０１が未登録コンピュータから送信されたＡＲＰ要求を受信した時刻を示す。

リクエスト送信フラグは、未登録コンピュータのアクセス先のコンピュータへ偽装ＡＲＰリクエストパケットを送信したどうかを示す。したがって、リクエスト送信フラグのフィールドには、偽装ＡＲＰリクエストパケットが未登録コンピュータのアクセス先のコンピュータへ送信済みである場合に“True”が設定され、未送信である場合に“False”が設定される。

上述のフィールドに基づくエントリが、送信リストへ追加され、監視ユニット１０１は、送信リストを参照して未登録コンピュータを排除する処理を実行する。

監視ユニット１０１の宛先判定モジュール２０５は、送信リストから読み出したエントリに記述された宛先ＩＰアドレスが、監視ユニット１０１のＩＰアドレスと一致するかどうかを判定する。宛先判定モジュール２０５は、この判定結果を偽装ＡＲＰリクエスト送信モジュール２０７へ出力する。

ＡＲＰテーブル偽装モジュール２０６は、ＡＲＰテーブル記憶モジュール２１０に格納されたＡＲＰテーブルを偽装する処理を実行する。ＡＲＰテーブルは、上述したように、ＩＰアドレスとＭＡＣアドレスとが対応づけて記述されたテーブルである。各ノードは、それぞれＡＲＰテーブルを保持し、受信したＡＲＰ要求パケットに含まれる送信元ＩＰアドレスと送信元ＭＡＣアドレス、および受信したＡＲＰ応答パケットに含まれる送信元ＩＰアドレスと送信元ＭＡＣアドレスを対応づけてＡＲＰテーブルに登録する。登録しようとするＩＰアドレスが既にＡＲＰテーブルに登録されている場合に、ＡＲＰテーブルにおいて、該ＩＰアドレスに対応づけられたＭＡＣアドレスは、受信したＡＲＰ要求パケット又はＡＲＰ応答パケットに含まれる送信元ＭＡＣアドレスで上書きされる。

ＡＲＰテーブル偽装モジュール２０６は、未登録コンピュータ１０３のＩＰアドレスに、監視ユニット１０１のＭＡＣアドレスを対応づけて、ＡＲＰテーブルを上書きする。未登録コンピュータ１０３のＩＰアドレスに偽のＭＡＣアドレスを対応づけることで、ＩＣＭＰリダイレクトが有効になっている場合に、登録済みコンピュータ１０２から未登録コンピュータ１０３への通信が、監視ユニット１０１から未登録コンピュータ１０３へのリダイレクトによって成立してしまうことを防止することができる。

宛先判定モジュール２０５により、送信リストから読み出したエントリに記述された宛先ＩＰアドレスが、監視ユニット１０１のＩＰアドレスと一致しないと判定された場合に、偽装ＡＲＰリクエスト送信モジュール２０７は、未登録コンピュータのアクセス先のコンピュータへ偽装ＡＲＰ要求パケットを送信する。偽装ＡＲＰリクエスト送信モジュール２０７は、送信リストから読み出したエントリに記述された情報に基づいて、偽装ＡＲＰ要求パケットを生成する。

偽装ＡＲＰ要求パケットを構成する各フィールドには、以下のように値が設定される。

送信元ＩＰアドレスのフィールドには、送信リストのエントリに記述された送信元ＩＰアドレスが設定される。送信元ＭＡＣアドレスのフィールドには、監視ユニット１０１のＭＡＣアドレスが設定される。宛先ＩＰアドレスのフィールドには、送信リストのエントリに記述された宛先ＩＰアドレスが記述される。宛先ＭＡＣアドレスのフィールドには、“0”が設定される。

したがって、例えば、送信元ＩＰアドレスのフィールドには、未登録コンピュータ１０３のＩＰアドレスが設定される。送信元ＭＡＣアドレスのフィールドには、監視ユニット１０１のＭＡＣアドレスが設定される。宛先ＩＰアドレスのフィールドには、登録済みコンピュータ１０２のＩＰアドレスが記述される。宛先ＭＡＣアドレスのフィールドには、“0”が設定される。

偽装ＡＲＰリプライ送信モジュール２０８は、未登録コンピュータへ偽装ＡＲＰ応答パケットを送信する。偽装ＡＲＰリプライ送信モジュール２０８は、送信リストから読み出したエントリに記述された情報に基づいて、偽装ＡＲＰ応答パケットを生成する。

偽装ＡＲＰ応答パケットを構成する各フィールドには、以下のように値が設定される。

送信元ＩＰアドレスのフィールドには、送信リストのエントリに記述された宛先ＩＰアドレスが設定される。送信元ＭＡＣアドレスのフィールドには、送信リストのエントリに記述された送信元ＭＡＣアドレスが設定される。宛先ＩＰアドレスのフィールドには、送信リストのエントリに記述された送信元ＩＰアドレスが記述される。宛先ＭＡＣアドレスのフィールドには、送信リストのエントリに記述された送信元ＭＡＣアドレスが記述される。

したがって、例えば、送信元ＩＰアドレスのフィールドには、登録済みコンピュータ１０２のＩＰアドレスが設定される。送信元ＭＡＣアドレスのフィールドには、未登録コンピュータ１０３のＭＡＣアドレスが設定される。宛先ＩＰアドレスのフィールドには、未登録コンピュータ１０３のＩＰアドレスが記述される。宛先ＭＡＣアドレスのフィールドには、未登録コンピュータ１０３のＭＡＣアドレスが設定される。

名前解決パケット送受信モジュール２０９は、検出リストに登録されたＭＡＣアドレスとＩＰアドレスとからなるエントリを読み出し、該ＩＰアドレスに対応するホスト名を取得し、ホスト名を追加したエントリにより検出リストを更新する。名前解決パケット送受信モジュール２０９は、ＩＰアドレスに基づき、例えば、ＤＮＳ又はＮｅｔＢＩＯＳ等により名前解決を行う。検出リストの各エントリにホスト名を追加することで、ホスト名に基づくノードへのアクセスが可能になる。

図９は、本実施形態のネットワーク監視装置である監視ユニット１０１が、未登録コンピュータから登録済みコンピュータへのアクセスを排除する例を示すシーケンス図である。ここでは、未登録コンピュータ１０３から登録済みコンピュータ１０２へのアクセスを監視ユニット１０１が排除することを想定する。なお、監視ユニット１０１のＭＡＣアドレスをＭＡＣ０、ＩＰアドレスをＩＰ０、登録済みコンピュータ１０２のＭＡＣアドレスをＭＡＣ１、ＩＰアドレスをＩＰ１、未登録コンピュータ１０３のＭＡＣアドレスをＭＡＣ２、ＩＰアドレスＩＰ２とする。

まず、未登録コンピュータ１０３は、アクセス先（攻撃先）である登録済みコンピュータ１０２のＭＡＣアドレスを問い合わせるＡＲＰ要求パケットをブロードキャストする（Ｓ１１Ａ，Ｓ１１Ｂ）。ブロードキャストによる送信であるため、監視ユニット１０１および登録済みコンピュータ１０２は共に、ＡＲＰ要求パケットを受信する。このＡＲＰ要求パケットは、未登録コンピュータ１０３のＭＡＣアドレス（ＭＡＣ２）を示す送信元ＭＡＣアドレス、未登録コンピュータ１０３のＩＰアドレス（ＩＰ２）を示す送信元ＩＰアドレス、登録済みコンピュータ１０２のＭＡＣアドレスを問い合わせるため“０”を示す宛先ＭＡＣアドレス、および登録済みコンピュータ１０２のＩＰアドレス（ＩＰ１）を示す宛先ＩＰアドレスを含む。監視ユニット１０１および登録済みコンピュータ１０２は、それぞれのＡＲＰテーブルに、未登録コンピュータ１０３のＩＰアドレス（ＩＰ２）とＭＡＣアドレス（ＭＡＣ２）とを対応づけて登録する。

ブロードキャストされたＡＲＰ要求パケットの宛先である登録済みコンピュータ１０２は、ＡＲＰ要求パケットの受信に応答して、ＡＲＰ応答パケットを未登録コンピュータ１０３へユニキャストする（Ｓ１２）。このＡＲＰ応答パケットは、登録済みコンピュータ１０２のＭＡＣアドレス（ＭＡＣ１）を示す送信元ＭＡＣアドレス、登録済みコンピュータ１０２のＩＰアドレス（ＩＰ１）を示す送信元ＩＰアドレス、未登録コンピュータ１０３のＭＡＣアドレス（ＭＡＣ２）を示す宛先ＭＡＣアドレス、および未登録コンピュータ１０３のＩＰアドレス（ＩＰ２）を示す宛先ＩＰアドレスを含む。ユニキャストによる送信であるため、未登録コンピュータ１０３のみがＡＲＰ応答パケットを受信し、監視ユニット１０１はＡＲＰ応答パケットを受信できない。未登録コンピュータ１０３は、ＡＲＰテーブルに、登録済みコンピュータ１０２のＩＰアドレス（ＩＰ１）とＭＡＣアドレス（ＭＡＣ１）とを対応づけて登録する。これにより、未登録コンピュータ１０３と登録済みコンピュータ１０２との間で、パケットの送受信が可能となる。

また、監視ユニット１０１は、自身のＡＲＰテーブルに対応づけて登録された、未登録コンピュータ１０３のＩＰアドレス（ＩＰ２）とＭＡＣアドレス（ＭＡＣ２）とを書き換えて偽装する。監視ユニット１０１は、未登録コンピュータ１０３のＩＰアドレス（ＩＰ２）に対して、監視ユニット１０１のＭＡＣアドレス（ＭＡＣ０）を対応づけて登録する。これにより、登録済みコンピュータ１０２から未登録コンピュータ１０３への通信が、監視ユニット１０１のリダイレクト機能により成立してしまうことを防止する。

そして、監視ユニット１０１は、登録済みコンピュータ１０２のＡＲＰテーブルに登録された、未登録コンピュータ１０３のＩＰアドレス（ＩＰ２）とＭＡＣアドレス（ＭＡＣ２）とを書き換えるために、未登録コンピュータ１０３のＭＡＣアドレスを監視ユニット１０１のＭＡＣアドレス（ＭＡＣ０）に偽装した偽装ＡＲＰ要求パケットをブロードキャストする（Ｓ１３Ａ，Ｓ１３Ｂ）。したがって、偽装ＡＲＰ要求パケットは、監視ユニット１０１のＭＡＣアドレス（ＭＡＣ０）を示す送信元ＭＡＣアドレス、未登録コンピュータ１０３のＩＰアドレス（ＩＰ２）を示す送信元ＩＰアドレス、登録済みコンピュータ１０２のＭＡＣアドレスを問い合わせるため“０”を示す宛先ＭＡＣアドレス、および登録済みコンピュータ１０２のＩＰアドレス（ＩＰ１）を示す宛先ＩＰアドレスを含む。また、ブロードキャストによる送信であるため、未登録コンピュータ１０３および登録済みコンピュータ１０２は共に偽装ＡＲＰ要求パケットを受信するが、未登録コンピュータ１０３は自身が宛先ではないため、偽装ＡＲＰ要求パケットを無視する。登録済みコンピュータ１０２は、ＡＲＰテーブルに、未登録コンピュータ１０３のＩＰアドレス（ＩＰ２）と監視ユニット１０１のＭＡＣアドレス（ＭＡＣ０）とを対応づけて登録する。これにより、登録済みコンピュータ１０２から未登録コンピュータ１０３へのパケットの送信を妨害することができる。

登録済みコンピュータ１０２は、偽装ＡＲＰ要求パケットの受信に応答して、ＡＲＰ応答パケットを監視ユニット１０１へユニキャストする（Ｓ１４）。このＡＲＰ応答パケットは、登録済みコンピュータ１０２のＭＡＣアドレス（ＭＡＣ１）を示す送信元ＭＡＣアドレス、登録済みコンピュータ１０２のＩＰアドレス（ＩＰ１）を示す送信元ＩＰアドレス、監視ユニット１０１のＭＡＣアドレス（ＭＡＣ０）を示す宛先ＭＡＣアドレス、および未登録コンピュータ１０３のＩＰアドレス（ＩＰ２）を示す宛先ＩＰアドレスを含む。監視ユニット１０１は、ＡＲＰテーブルに、登録済みコンピュータ１０２のＩＰアドレス（ＩＰ１）とＭＡＣアドレス（ＭＡＣ１）とを対応づけて登録する。

登録済みコンピュータ１０２からのＡＲＰ応答パケットを受信した監視ユニット１０１は、登録済みコンピュータ１０２から未登録コンピュータ１０３へ通常のＡＲＰ応答パケットが送信（Ｓ１２）されたものと判断する。そして、監視ユニット１０１は、未登録コンピュータ１０３へ、登録済みコンピュータ１０２のＭＡＣアドレスがＭＡＣ２（未登録コンピュータ１０３のＭＡＣアドレス）であると偽装する偽装ＡＲＰ応答パケットをユニキャストする（Ｓ１５）。したがって、この偽装ＡＲＰ応答パケットは、未登録コンピュータ１０３のＭＡＣアドレス（ＭＡＣ２）を示す送信元ＭＡＣアドレス、登録済みコンピュータ１０２のＩＰアドレス（ＩＰ１）を示す送信元ＩＰアドレス、未登録コンピュータ１０３のＭＡＣアドレス（ＭＡＣ２）を示す宛先ＭＡＣアドレス、および未登録コンピュータ１０３のＩＰアドレス（ＩＰ２）を示す宛先ＩＰアドレスを含む。未登録コンピュータ１０３は、ＡＲＰテーブルに、登録済みコンピュータ１０２のＩＰアドレス（ＩＰ１）と未登録コンピュータ１０３のＭＡＣアドレス（ＭＡＣ２）とを対応づけて登録する。これにより、未登録コンピュータ１０３から登録済みコンピュータ１０２へのパケットの送信を妨害することができる。

以上の処理の結果、各ノードのＡＲＰテーブルは図１０のように記述される。

未登録コンピュータ１０３のＡＲＰテーブルには、登録済みコンピュータ１０２のＩＰアドレス（ＩＰ１）に、未登録コンピュータ１０３のＭＡＣアドレス（ＭＡＣ２）が対応づけて登録される。監視ユニット１０１のＡＲＰテーブルには、登録済みコンピュータ１０２のＩＰアドレス（ＩＰ１）とＭＡＣアドレス（ＭＡＣ１）、および未登録コンピュータ１０３のＩＰアドレス（ＩＰ２）と監視ユニット１０１のＭＡＣアドレス（ＭＡＣ０）が、それぞれ対応づけて登録される。登録済みコンピュータ１０２のＡＲＰテーブルには、未登録コンピュータ１０３のＩＰアドレス（ＩＰ２）に、監視ユニット１０１のＭＡＣアドレス（ＭＡＣ０）が対応づけて登録される。

各ノードのＡＲＰテーブルが上述のように記載されることにより、未登録コンピュータ１０３から登録済みコンピュータ１０２へのパケットの送信、登録済みコンピュータ１０２から未登録コンピュータ１０３へのパケットの送信、および監視ユニット１０１のリダイレクト機能を用いた登録済みコンピュータ１０２から未登録コンピュータ１０３へのパケットの送信を妨害することができる。

なお、上述したように、未登録コンピュータ１０３が登録済みコンピュータ１０２へＡＲＰ要求パケットを送信（Ｓ１１Ａ）し、登録済みコンピュータ１０２からのＡＲＰ応答パケットを受信（Ｓ１２）してから、監視ユニット１０１からの偽装ＡＲＰ応答パケットを受信（Ｓ１５）するまで、未登録コンピュータ１０３は登録済みコンピュータ１０２へパケットを送信することができる。このため、監視ユニット１０１は、未登録コンピュータ１０３からのブロードキャストによるＡＲＰ要求パケットを受信（Ｓ１１Ｂ）した後、速やかに、登録済みコンピュータ１０２へ偽装ＡＲＰ要求パケットを送信し、登録済みコンピュータ１０２から未登録コンピュータ１０３へのパケットの送信（返信）を妨害する。

また、監視ユニット１０１から送信される偽装ＡＲＰ応答パケット（Ｓ１５）は、登録済みコンピュータ１０２から送信される通常のＡＲＰ応答パケット（Ｓ１２）よりも後に、未登録コンピュータ１０３に受信される必要がある。これは、未登録コンピュータ１０３のＡＲＰテーブルに、通常のＡＲＰ応答パケットに基づいて、登録済みコンピュータ１０２のＩＰアドレス（ＩＰ１）とＭＡＣアドレス（ＭＡＣ１）とを対応づけて登録した後、偽装ＡＲＰ応答パケットに基づいて、登録済みコンピュータ１０２のＩＰアドレス（ＩＰ１）に対応づけられるＭＡＣアドレスを未登録コンピュータ１０３のＭＡＣアドレス（ＭＡＣ２）に更新して登録するためである。

偽装ＡＲＰ要求パケット（Ｓ１３Ａ）は、未登録コンピュータ１０３により送信されたＡＲＰ要求パケット（Ｓ１１Ａ）よりも後に、登録済みコンピュータ１０２に到達するため、ＡＲＰ要求パケット（Ｓ１１Ａ）に応答するＡＲＰ応答パケット（Ｓ１２）が送信された後に、偽装ＡＲＰ要求パケット（Ｓ１３Ａ）に応答するＡＲＰ応答パケット（Ｓ１４）が登録済みコンピュータ１０２から送信される。したがって、監視ユニット１０１は、登録済みコンピュータ１０２から送信される偽装ＡＲＰ要求パケット（Ｓ１３Ａ）に対するＡＲＰ応答パケット（Ｓ１４）を待って、受信後に、未登録コンピュータ１０３へ偽装ＡＲＰ応答パケットを送信（Ｓ１５）することで、偽装ＡＲＰ応答パケット（Ｓ１５）を登録済みコンピュータ１０２から送信される通常のＡＲＰ応答パケット（Ｓ１２）よりも後に、未登録コンピュータ１０３に受信させることができる。

なお、偽装ＡＲＰ応答パケット（Ｓ１５）は、偽装ＡＲＰ要求パケットであってもよい。この偽装ＡＲＰ要求パケットは、未登録コンピュータ１０３のＭＡＣアドレス（ＭＡＣ２）を示す送信元ＭＡＣアドレス、登録済みコンピュータ１０２のＩＰアドレス（ＩＰ１）を示す送信元ＩＰアドレス、未登録コンピュータ１０３のＭＡＣアドレスを問い合わせるため“０”を示す宛先ＭＡＣアドレス、および未登録コンピュータ１０３のＩＰアドレス（ＩＰ２）を示す宛先ＩＰアドレスを含む。但し、この偽装ＡＲＰ要求パケットを未登録コンピュータ１０３へ送信した場合、未登録コンピュータ１０３は、この偽装ＡＲＰ要求パケットに応答するＡＲＰ応答パケットを送信するため、ネットワーク上に不要なパケットが送出される可能性がある。

監視ユニット１０１は、以下のような手順でも未登録コンピュータ１０３と登録済みコンピュータとの間の通信を妨害することができる。すなわち、監視ユニット１０１は、未登録コンピュータ１０３からのＡＲＰ要求パケットを受信し、所定の時間だけ待った後に、未登録コンピュータ１０３へ偽装ＡＲＰ応答パケットを送信する。そして、監視ユニット１０１は、通信相手である登録済みコンピュータ１０２へ偽装ＡＲＰ要求パケットを送信する。

しかし、この場合、未登録コンピュータ１０３が登録済みコンピュータ１０２からのＡＲＰ応答パケットを受信した後に、未登録コンピュータ１０３に偽装ＡＲＰ応答パケットを受信させるために、監視ユニット１０１は、上述のように、未登録コンピュータ１０３からのＡＲＰ要求パケットを受信した後、所定の時間だけ待つ必要がある。しかし、所定の時間だけ待つ間、監視ユニット１０１は、未登録コンピュータ１０３から登録済みコンピュータ１０２へのアクセス、および登録済みコンピュータ１０２から未登録コンピュータ１０３へのアクセス（応答）を排除することができない。また、この所定の時間として十分な時間を確保しなければ、未登録コンピュータ１０３へ偽装ＡＲＰ応答パケットを再送しなければならなくなる可能性がある。

本実施形態のネットワーク監視装置である監視ユニット１０１は、先に、未登録コンピュータ１０３の通信相手である登録済みコンピュータ１０２へ偽装ＡＲＰ要求パケットを送信する。これにより、登録済みコンピュータ１０２から未登録コンピュータ１０３への通信が可能となる時間を短縮することができる。そして、登録済みコンピュータ１０２からの偽装ＡＲＰ要求パケットに対するＡＲＰ応答パケットを受信したことをトリガとして、監視ユニット１０１は、未登録コンピュータ１０３へ偽装ＡＲＰ応答パケットを送信する。このため、監視ユニット１０１は、待ち時間なく、登録済みコンピュータ１０２から未登録コンピュータ１０３へのアクセス（応答）を排除することができる。また、偽装ＡＲＰ要求パケットに対するＡＲＰ応答パケットを、登録済みコンピュータ１０２から受信したことに応答して、偽装ＡＲＰ応答パケットを未登録コンピュータ１０３へ送信することで、登録済みコンピュータ１０２から未登録コンピュータ１０３へのＡＲＰ応答パケットよりも後に、偽装ＡＲＰ応答パケットを未登録コンピュータ１０３に受信させることができる。したがって、上述の方法において発生する可能性がある、待ち時間が短いことによる偽装ＡＲＰ応答パケットの再送（リトライ）が、本実施形態では発生しない。また、偽装ＡＲＰ要求パケットに対するＡＲＰ応答パケットをトリガとするため、本実施形態では、余分な待ち時間を確保する必要がなく、未登録コンピュータ１０３と登録済みコンピュータ１０２との間で通信が可能となる時間を短縮することができる。

さらに、偽装ＡＲＰ応答パケットは、未登録コンピュータ１０３のＭＡＣアドレス（ＭＡＣ２）を送信元ＭＡＣアドレスとして含む。つまり、未登録コンピュータ１０３のＡＲＰテーブルには、未登録コンピュータ１０３のＭＡＣアドレス（ＭＡＣ２）と登録済みコンピュータ１０２のＩＰアドレス（ＩＰ１）とのペアが登録される。未登録コンピュータ１０３自身のＭＡＣアドレスをＡＲＰテーブルに登録することで、ネットワーク上に、不正なパケットが送出されず、不正なパケットによるトラフィックの増加を抑制することができる。なお、偽装ＡＲＰ応答パケットに含まれる送信元ＭＡＣアドレスは、監視ユニット１０１のＭＡＣアドレス（ＭＡＣ０）であってもよい。この場合、監視ユニット１０１により、未登録コンピュータ１０３から送信される不正なパケットを監視することができる。

また、監視ユニット１０１は、未登録コンピュータ１０３から送信されるGratuitous ARPパケット受信した場合、このパケットを無視する。

Gratuitous ARPとは、宛先ＩＰアドレスのフィールドに自身のＩＰアドレスを設定したＡＲＰ要求パケットである。Gratuitous ARPは、通常、ＩＰアドレスの重複を確認するために用いられる。宛先ＩＰアドレスのフィールドに自身のＩＰアドレスを設定したＡＲＰ要求パケットをブロードキャストした場合、重複したＩＰアドレスを持つ他のノードがなければ、このＡＲＰ要求パケットに対する応答はない。しかし、重複したＩＰアドレスを持つ他のノードがある場合には、そのノードからＡＲＰ応答パケットが返信される。したがって、ＡＲＰ応答パケットが返信されるかどうかによって、ＩＰアドレスの重複を確認することができる。

監視ユニット１０１がGratuitous ARPパケットを無視するのは、未登録コンピュータ１０３のオペレーティングシステム（ＯＳ）が、例えば、Windows Vista（登録商標）やWindows（登録商標） Server 2008であって、“ＤＨＣＰからＩＰアドレスを取得する”設定になっている場合に、ＤＨＣＰサーバでリース可能なＩＰアドレスが無くなるという問題が生じる可能性があるためである。監視ユニット１０１が、未登録コンピュータ１０３からGratuitous ARPパケットを受信し、未登録コンピュータ１０３へ偽装ＡＲＰ要求パケットを送信（Ｓ１３Ｂ）すると、未登録コンピュータ１０３は、現在使用中のＩＰアドレスが無効であると判定し、ＤＨＣＰサーバに対して再度ＩＰアドレスを要求する。したがって、上述の処理が繰り返されると、ＤＨＣＰサーバでリース可能なＩＰアドレスが枯渇してしまう。このため、監視ユニット１０１は、未登録コンピュータ１０３から送信されるGratuitous ARPパケット受信した場合、このパケットを無視する。

なお、上述した、未登録ＰＣをネットワークに接続した場合に、監視・排除ユニットに通信を妨害され、どこにも接続することができない。未登録ＰＣでも接続許可リストに記載されたコンピュータには接続することが可能である。

図１１は、本実施形態のネットワーク監視装置である監視ユニット１０１が、未登録ＰＣが接続許可リストに登録されているコンピュータとの通信を許可する例を示すシーケンス図である。ここでは、未登録コンピュータ１０３からセキュリティサーバ１００へのアクセスを監視ユニット１０１が許可することを想定する。なお、監視ユニット１０１のＭＡＣアドレスをＭＡＣ０、ＩＰアドレスをＩＰ０、セキュリティサーバ１００のＭＡＣアドレスをＭＡＣ３、ＩＰアドレスをＩＰ３、未登録コンピュータ１０３のＭＡＣアドレスをＭＡＣ２、ＩＰアドレスＩＰ２とする。

まず、未登録コンピュータ１０３は、アクセス先であるセキュリティサーバ１００のＭＡＣアドレスを問い合わせるＡＲＰ要求パケットをブロードキャストする（Ｓ１１Ａ，Ｓ１１Ｂ）。ブロードキャストによる送信であるため、監視ユニット１０１およびセキュリティサーバ１００は共に、ＡＲＰ要求パケットを受信する。このＡＲＰ要求パケットは、未登録コンピュータ１０３のＭＡＣアドレス（ＭＡＣ２）を示す送信元ＭＡＣアドレス、未登録コンピュータ１０３のＩＰアドレス（ＩＰ２）を示す送信元ＩＰアドレス、セキュリティサーバ１００のＭＡＣアドレスを問い合わせるため“０”を示す宛先ＭＡＣアドレス、およびセキュリティサーバ１００のＩＰアドレス（ＩＰ３）を示す宛先ＩＰアドレスを含む。監視ユニット１０１およびセキュリティサーバ１００は、それぞれのＡＲＰテーブルに、未登録コンピュータ１０３のＩＰアドレス（ＩＰ２）とＭＡＣアドレス（ＭＡＣ２）とを対応づけて登録する。

ブロードキャストされたＡＲＰ要求パケットの宛先であるセキュリティサーバ１００は、ＡＲＰ要求パケットの受信に応答して、ＡＲＰ応答パケットを未登録コンピュータ１０３へユニキャストする（Ｓ１２）。このＡＲＰ応答パケットは、セキュリティサーバ１００のＭＡＣアドレス（ＭＡＣ３）を示す送信元ＭＡＣアドレス、セキュリティサーバ１００のＩＰアドレス（ＩＰ３）を示す送信元ＩＰアドレス、未登録コンピュータ１０３のＭＡＣアドレス（ＭＡＣ２）を示す宛先ＭＡＣアドレス、および未登録コンピュータ１０３のＩＰアドレス（ＩＰ２）を示す宛先ＩＰアドレスを含む。ユニキャストによる送信であるため、未登録コンピュータ１０３のみがＡＲＰ応答パケットを受信し、監視ユニット１０１はＡＲＰ応答パケットを受信できない。未登録コンピュータ１０３は、ＡＲＰテーブルに、セキュリティサーバ１００のＩＰアドレス（ＩＰ３）とＭＡＣアドレス（ＭＡＣ３）とを対応づけて登録する。これにより、未登録コンピュータ１０３とセキュリティサーバ１００との間で、パケットの送受信が可能となる。

そして、監視ユニット１０１は、セキュリティサーバ１００のＡＲＰテーブルに登録された、未登録コンピュータ１０３のＩＰアドレス（ＩＰ２）とＭＡＣアドレス（ＭＡＣ２）とを書き換えるために、未登録コンピュータ１０３のＭＡＣアドレスを監視ユニット１０１のＭＡＣアドレス（ＭＡＣ０）に偽装した偽装ＡＲＰ要求パケットをブロードキャストする（Ｓ１３Ａ，Ｓ１３Ｂ）。したがって、偽装ＡＲＰ要求パケットは、監視ユニット１０１のＭＡＣアドレス（ＭＡＣ０）を示す送信元ＭＡＣアドレス、未登録コンピュータ１０３のＩＰアドレス（ＩＰ２）を示す送信元ＩＰアドレス、セキュリティサーバ１００のＭＡＣアドレスを問い合わせるため“０”を示す宛先ＭＡＣアドレス、およびセキュリティサーバ１００のＩＰアドレス（ＩＰ１）を示す宛先ＩＰアドレスを含む。また、ブロードキャストによる送信であるため、未登録コンピュータ１０３およびセキュリティサーバ１００は共に偽装ＡＲＰ要求パケットを受信するが、未登録コンピュータ１０３は自身が宛先ではないため、偽装ＡＲＰ要求パケットを無視する。セキュリティサーバ１００は、ＡＲＰテーブルに、未登録コンピュータ１０３のＩＰアドレス（ＩＰ２）と監視ユニット１０１のＭＡＣアドレス（ＭＡＣ０）とを対応づけて登録する。これにより、セキュリティサーバ１００から未登録コンピュータ１０３へのパケットの送信を妨害することができる。

セキュリティサーバ１００は、偽装ＡＲＰ要求パケットの受信に応答して、ＡＲＰ応答パケットを監視ユニット１０１へユニキャストする（Ｓ１４）。このＡＲＰ応答パケットは、セキュリティサーバ１００のＭＡＣアドレス（ＭＡＣ１）を示す送信元ＭＡＣアドレス、セキュリティサーバ１００のＩＰアドレス（ＩＰ１）を示す送信元ＩＰアドレス、監視ユニット１０１のＭＡＣアドレス（ＭＡＣ０）を示す宛先ＭＡＣアドレス、および未登録コンピュータ１０３のＩＰアドレス（ＩＰ２）を示す宛先ＩＰアドレスを含む。監視ユニット１０１は、ＡＲＰテーブルに、セキュリティサーバ１００のＩＰアドレス（ＩＰ１）とＭＡＣアドレス（ＭＡＣ１）とを対応づけて登録する。

セキュリティサーバ１００からのＡＲＰ応答パケットを受信した監視ユニット１０１は、セキュリティサーバ１００から未登録コンピュータ１０３へ通常のＡＲＰ応答パケットが送信（Ｓ１２）されたものと判断する。そして、監視ユニット１０１は、未登録コンピュータ１０３へ、セキュリティサーバ１００のＭＡＣアドレスがＭＡＣ２（未登録コンピュータ１０３のＭＡＣアドレス）であると偽装する偽装ＡＲＰ応答パケットをユニキャストする（Ｓ１５）。したがって、この偽装ＡＲＰ応答パケットは、未登録コンピュータ１０３のＭＡＣアドレス（ＭＡＣ２）を示す送信元ＭＡＣアドレス、セキュリティサーバ１００のＩＰアドレス（ＩＰ１）を示す送信元ＩＰアドレス、未登録コンピュータ１０３のＭＡＣアドレス（ＭＡＣ２）を示す宛先ＭＡＣアドレス、および未登録コンピュータ１０３のＩＰアドレス（ＩＰ２）を示す宛先ＩＰアドレスを含む。未登録コンピュータ１０３は、ＡＲＰテーブルに、セキュリティサーバ１００のＩＰアドレス（ＩＰ１）と未登録コンピュータ１０３のＭＡＣアドレス（ＭＡＣ２）とを対応づけて登録する。これにより、未登録コンピュータ１０３からセキュリティサーバ１００へのパケットの送信を妨害することができる。

図１１は、監視ユニット１０１による未登録コンピュータ排除処理の手順を示すフローチャートである。

まず、監視ユニット１０１は、他のノードから送信されたパケットを受信する（ステップＳ１０１）。次に、監視ユニット１０１は、受信したパケットがＡＲＰ要求パケットであるかどうかを判定する（ステップＳ１０２）。受信したパケットがＡＲＰ要求パケットであるかどうかは、上述したように、パケットに含まれるプロトコルタイプのフィールド設定された値等に基づいて判定することができる。

受信したパケットがＡＲＰ要求パケットである場合（ステップＳ１０２のＹＥＳ）、監視ユニット１０１は、受信したパケットがGratuitous ARPパケットであるかどうかを判定する（ステップＳ１０３）。なお、受信したパケットに含まれる送信元ＩＰアドレスのフィールドに“０”の値が設定されているか、送信元ＩＰアドレスと宛先ＩＰアドレスとが等しい場合に、受信したパケットはGratuitous ARPパケットであると判定される。

受信したパケットがGratuitous ARPパケットでない場合（ステップＳ１０３のＮＯ）、監視ユニット１０１は、受信したパケットに含まれる送信元ＭＡＣアドレスが登録済みリストに記載されているかどうかを判定する（ステップＳ１０４）。

受信したパケットに含まれる送信元ＭＡＣアドレスが登録済みリストに記載されていない場合（ステップＳ１０４のＮＯ）、監視ユニット１０１は、受信したパケットの送信元のコンピュータを未登録コンピュータであると判定し、受信したパケットに含まれる宛先ＩＰアドレスが接続許可リストに記載されているか否かを判定する（ステップＳ１０５）。

受信したパケットに含まれる宛先ＩＰアドレスが接続許可リストに記載されていない場合（ステップＳ１０５のＮＯ）、監視ユニット１０１は、該未登録コンピュータのアクセス先のコンピュータへ偽装ＡＲＰ要求パケットを送信する（ステップＳ１０６）。監視ユニット１０１は、自身のＡＲＰテーブルを偽装する（ステップＳ１０７）。

次いで、監視ユニット１０１は、未登録コンピュータのアクセス先のコンピュータからＡＲＰ応答パケットを受信する（ステップＳ１０８）。そして、監視ユニット１０１は、未登録コンピュータへ偽装ＡＲＰ応答パケットを送信する（ステップＳ１０９）。

以上の処理により、監視ユニット１０１は、未登録コンピュータと接続が許可されたコンピュータとのアクセスを許可すると共に、未登録コンピュータと接続が許可されていないコンピュータとのアクセスを排除することができる。

未登録コンピュータは、接続許可リストに記載されたコンピュータへの接続が可能になるので、接続許可リストにセキュリティサーバを記述しておくことで、未登録コンピュータはセキュリティサーバに接続しエージェントソフトのインストールが可能になる。インストール後はそのソフトが動作することで、定期的にステータスをセキュリティサーバに送信するようになる。セキュリティサーバは、そのステータスを受信すると、登録済みリストに追加し、監視・排除ユニットに送信する。監視・排除ユニットが登録済みリストを更新すると、ブロックされることなく、社内ネットワークで使用可能になる。

エージェントソフトのインストールは、例えば以下のように行われる。セキュリティサーバをウェブサーバとして構成し、ウェブページにエージェントソフトウェアのインストーラのリンク先を貼り付けておく。コンピュータは未登録でもセキュリティサーバにはアクセス可能なので、そのリンク先をクリックすることで、インストーラが転送される。インストラーは、転送先のコンピュータで実行されることによってエージェントソフトウェアがインストールされる。

エージェントソフトウェアは、例えば以下のような機能を有する。セキュリティサーバ１００上に共有フォルダを作成する。共有フォルダの名前は、セキュリティサーバ１００が区別できるように、自機のＭＡＣアドレス（例えば、yy-yy-yy-yy-yy-yy）とする。なお、区別できるのであれば、別の名前であっても良い。

そして、エージェントソフトウェアは、ファイル名が“Config”である、テキストファイルを作成する。エージェントソフトウェアは、コンピュータからシステム情報を取得して、テキストファイル内にコンピュータ名、IPアドレスを記述する。

例えば、以下のように記入する。

コンピュータ名=computer1
IPアドレス=xxx.xxx.xxx.xxx
また、エージェントソフトウェアは、定期的にステータスをセキュリティサーバに送信する。セキュリティサーバは、ステータスを受信すると、登録済みリストに追加し、監視ユニットに送信する。監視ユニットが登録済みリストを更新すると、ブロックされることなく、社内ネットワークで使用可能になる。

次に、図１２を参照して、登録済みリストにコンピュータの情報が追加される手順を説明する。
コンピュータの電源がオンされると（ステップＳ２０１）、エージェントソフトウェアは、電源がオフされるまで（ステップＳ２０３）、ステータスを定期的に送信する（ステップＳ２０２）。

セキュリティサーバは、エージェントソフトウェアから送信されるステータスを定期的に受信する（ステップＳ２０４）。セキュリティサーバは、ステータスを受信したか判定する（ステップＳ２０５）。ステータスを受信したと判定された場合（ステップＳ２０５のＹＥＳ）、セキュリティサーバは、コンピュータの情報が登録済みリストに存在するかを判定する（ステップＳ２０６）。登録済みリストに存在しないと判定された場合（ステップＳ２０６のＮＯ）、セキュリティサーバは、登録済みリストにコンピュータの情報を追加する（ステップＳ２０７）。そして、セキュリティサーバは、登録済みリストを監視ユニットに送信する（ステップＳ２０８）。

監視ユニットは、自機が有する登録済みリストをセキュリティサーバから送信された登録済みリストに置き換えることによって、登録済みリストを更新する（ステップＳ２０９）。

以上説明したように、本実施形態によれば、未登録コンピュータから予めアクセス許可されたセキュリティサーバ等へのノードにアクセスすることが可能になる。また、未登録コンピュータから登録済みリストを配信するセキュリティサーバにアクセスが可能になることで、未登録コンピュータを簡単に登録コンピュータにすることができる。また、未登録コンピュータだけを社内ネットワークから隔離したネットワークに接続することもできるようになる。

また、本実施形態によれば、未登録ノードと未登録ノードのアクセス先のノードとの間で通信が可能な期間を短縮できる。本実施形態のネットワーク監視装置である監視ユニット１０１は、未登録ノードから送信されるＡＲＰ要求パケットを検出した場合、監視ユニット１０１のＡＲＰテーブルを偽装し、未登録ノードのアクセス先のノードへ偽装ＡＲＰ要求パケットを送信し、未登録ノードへ偽装ＡＲＰ応答パケットを送信することにより、未登録ノードと未登録ノードのアクセス先のノードとの間の通信を妨害する。監視ユニット１０１は、未登録ノードのアクセス先のノードへ偽装ＡＲＰ要求パケットを送信し、未登録ノードのアクセス先のノードから偽装ＡＲＰ要求パケットに対するＡＲＰ応答パケットを受信した後、未登録ノードへ偽装ＡＲＰ応答パケットを送信することで、未登録ノードと未登録ノードのアクセス先のノードとの間で通信が可能な期間を短縮することができる。また、上述のように偽装ＡＲＰ要求パケットおよび偽装ＡＲＰ応答パケットを送信することで、無駄な待ち時間なく、また、偽装ＡＲＰ応答パケットの再送（リトライ）をすることなく、各ノードのＡＲＰテーブルを偽装することができる。

（第２の実施形態）
なお、セキュリティサーバ１００は、コンピュータに検疫エージェントソフトウェアを転送することもできる。検疫エージェントソフトウェアは、電源オン時またはネットワークに接続時に、インストールされているコンピュータの検疫を実行し、検疫結果をセキュリティサーバに送信する。検疫エージェントソフトウェアによって実行される検疫は、アンチウイルスソフトウェアのパターンファイルの最新版が導入されているかを判定したり、オペレーティングシステムに対して最新のパッチファイルが当てられているかを判定したりする処理で有る。

検疫エージェントソフトウェアは、第１の実施形態で説明した“Config”ファイルが格納されるセキュリティサーバ上の共有フォルダ内に、検疫結果をファイル名が“Status”であるテキストファイルを格納する。

“Status”ファイルに記述される検疫結果は、合格、不合格の何れかである。また、“Status”ファイルは以下に示すように、検疫実施日時および検疫結果が記述される。

2009/09/08 14:28:00 合格
2009/09/08 15:20:00 不合格
なお、コンピュータの電源オン時には、登録済みリストにコンピュータの情報は記述されていない。検疫結果が“合格”の場合に、セキュリティサーバが登録済みリストにコンピュータの情報を記述し、新たな登録済みリストを監視ユニットに送信する。

登録済みリストに追加された後は、監視ユニットにブロックされなくなるので、社内ネットワークが使用可能になる。追加されるまでは、接続許可リストに存在するコンピュータのみとの接続が可能である。

コンピュータがＷＳＵＳ（Windows Server Update Services）やパターンファイルを配信するサーバ等の対策サーバを接続許可リストに加えておくことで、検疫結果が不合格であっても、コンピュータは対策サーバに接続することができる。検疫に不合格した場合、コンピュータは、対策サーバと接続して対策を試みた後、再度検疫を行い、合格すれば、登録済みリストに追加される。

また、検疫エージェントソフトウェアは、稼動中にセキュリティサーバ内の“Status”ファイルに書込み日時を定期的に書き込む（例えば、1分間隔）。セキュリティサーバは“Status”ファイルが更新されなくなったら（例えば、３分以上）、コンピュータが電源オフされたか、ネットワークから切断されたと見なす。そして、セキュリティサーバは、登録済みリストからコンピュータの情報を削除し、新たな登録済みリストを監視ユニットに送信する。

検疫エージェントソフトウェアからのステータスの送信は、第１の実施形態と同様に行われる。セキュリティサーバは、共有フォルダ内のＭＡＣアドレス名のフォルダを検索して、エージェントがインストールされたか確認する。１分ごとにエージェントが“Status”ファイルに記述し、セキュリティサーバが３分ごとに“Status”ファイルをポーリングすることで動作中であるか判断する。

次に、図１３を参照して、登録済みリストの更新を行うセキュリティサーバの構成を説明する。
セキュリティサーバは、Statusファイル管理モジュール３０１、検疫結果判定モジュール３０２、登録済みリスト管理モジュール３０３、ステータス判定モジュール３０４、および登録済みリスト送信モジュール３０５等を有する。

Statusファイル管理モジュール３０１は、検疫エージェントソフトウェア３１０から送信された“Status”ファイルを受信し、検疫エージェントソフトウェア３１０から送られるコマンドに応じて“Status”ファイルを送信したコンピュータに対応するフォルダに書き込む。

検疫結果判定モジュール３０２は、“Status”ファイルを参照することによって、検疫結果が合格および不合格の何れのあるかを判定する。検疫結果判定モジュール３０２は判定結果を登録済みリスト管理モジュール３０３に通知する。検疫結果判定モジュール３０２は、検疫結果が合格の場合に、サーバ１００が有する登録済みリスト３０７にコンピュータの情報を記述する。

ステータス判定モジュール３０４は、“Status”ファイルを定期的にポーリングすることで、コンピュータが動作中であるかを判定する。ステータス判定モジュール３０４は、判定結果を登録済みリスト管理モジュール３０３に通知する。登録済みリスト管理モジュール３０３は、コンピュータが動作していないと判定された場合に、登録済みリスト３０７からコンピュータの情報を削除する。

登録済みリスト送信モジュール３０５は、登録済みリスト３０７が変更された場合、登録済みリスト３０７を監視ユニット（１０１，１２１）に送信する。

次に、図１４を参照して、コンピュータが電源オンされてから、電源オフされるまでの検疫エージェントソフトウェア、セキュリティサーバ、および監視ユニットによって行われる処理を説明する。

先ず、コンピュータが電源オンされると（ステップＳ３０１）、検疫エージェントソフトウェア３１０は、検疫を実施する（ステップＳ３０２）。そして、検疫エージェントソフトウェア３１０は、検疫結果をセキュリティサーバ１００に送信する（ステップＳ３０３）。そして、検疫エージェントソフトウェア３１０は、検疫結果が合格ではなかった場合（ステップＳ３０４のＮＯ）に対策サーバに接続して、対策を実施する（ステップＳ３２０）。

検疫結果判定モジュール３０２は、コンピュータから送信された検疫結果を含む“Status”ファイルを受信したら、コンピュータが検疫に合格したかを判定する（ステップＳ３０５）。検疫に合格しなかったと判定された場合（ステップＳ３０５のＮＯ）、再度コンピュータから検疫結果が送られてくるのを待ち、検疫結果を受信したら再度ステップＳ３０５の処理を実行する。

検疫に合格したと判定された場合（ステップＳ３０５のＹＥＳ）、セキュリティサーバ１００の登録済みリスト管理モジュール３０３は、登録済みリストにコンピュータの情報を追記する（ステップＳ３０６）。そして、登録済みリスト送信モジュール３０５は、登録済みリストを監視ユニット（１０１，１２１）に送信する（ステップＳ３０７）。監視ユニット（１０１，１２１）は、自機が有する登録済みリストをセキュリティサーバ１００から送信された登録済みリストに置き換えることによって、登録済みリストを更新する（ステップＳ３０８）。

検疫に合格した場合（ステップＳ３０４のＹＥＳ）、検疫エージェントソフトウェア３１０は、“Status”ファイルに定期的に書込みを行う（ステップＳ３０９）。セキュリティサーバ１００は、“Status”ファイルを定期的にポーリングする（ステップＳ３１０）。コンピュータの電源がオフにされると（ステップＳ３１２）、セキュリティサーバ１００は、“Status”ファイルへの書込みがされなくなる。“Status”ファイルへの書込みがない場合（ステップＳ３１１のＮＯ）、セキュリティサーバ１００は、自機が有する登録済みリストからコンピュータの情報を削除する（ステップＳ３１３）。そして、セキュリティサーバ１００は、登録済みリストを監視ユニット（１０１，１２１）に送信する（ステップＳ３１４）。監視ユニット（１０１，１２１）は、自機が有する登録済みリストをセキュリティサーバ１００から送信された登録済みリストに置き換えることによって、登録済みリストを更新する（ステップＳ３１５）。

本実施形態によれば、認証ＶＬＡＮ（Virtual Local Area Network）、ＰＦＷ（Personal firewall）、ゲートウェイ、ＤＨＣＰ（Dynamic Host Configuration Protocol）等を使うことなく、検疫ネットワークを構成することができる。

なお、本発明は、上記実施形態そのままに限定されるものではなく、実施段階ではその要旨を逸脱しない範囲で構成要素を変形して具体化できる。また、上記実施形態に開示されている複数の構成要素の適宜な組み合せにより種々の発明を形成できる。例えば、実施形態に示される全構成要素から幾つかの構成要素を削除してもよい。更に、異なる実施形態に亘る構成要素を適宜組み合せてもよい。

１００…セキュリティサーバ（安全保障装置）、１０１，１２１…監視ユニット（ネットワーク監視装置）、２０１…ネットワークインタフェース部、２０２…受信部、２０３…通信プロトコル判定部、２０４…未登録ＰＣ検出部、２０５…宛先判定部、２０６…ＡＲＰテーブル偽装部、２０７…偽装ＡＲＰリクエスト送信部、２０８…偽装ＡＲＰリプライ送信部、２０９…名前解決パケット送信部、２１０…ＡＲＰテーブル記憶部、２１１…登録済みリスト記憶部、２１２…検出リスト記憶部、２１３…送信リスト記憶部、２１４…接続許可リスト記憶モジュール。

Claims (9)

1. 複数のノードが接続されたネットワークを監視するネットワーク監視装置であって、
   アドレス解決プロトコル要求パケットを受信したことに応答して、前記受信したアドレス解決プロトコル要求パケットに含まれる送信元物理アドレスに基づいて、前記受信したアドレス解決プロトコル要求パケットの送信元ノードが未登録ノードであるかどうかを判定する未登録ノード判定手段と、
   前記未登録ノード判定手段によって前記送信元ノードが未登録ノードであると判定された場合、前記受信したアドレス解決プロトコル要求パケットに含まれる宛先ネットワークアドレスに基づいて、前記受信したアドレス解決プロトコル要求パケットの宛先ノードが接続許可ノードであるかを判定する接続許可ノード判定手段と、
   前記接続許可ノード判定手段によって前記宛先ノードが接続許可ノードであると判定された場合、前記送信元ノードと前記宛先ノードとの通信を許可する手段と、
   前記接続許可ノード判定手段によって前記宛先ノードが接続許可ノードではないと判定された場合、前記受信したアドレス解決プロトコル要求パケットに含まれる宛先ネットワークアドレスに対応するノードである宛先ノードへ、偽装アドレス解決プロトコル要求パケットを送信する偽装アドレス解決プロトコル要求送信手段と、
   前記宛先ノードから送信された、前記偽装アドレス解決プロトコル要求パケットに対するアドレス解決プロトコル応答パケットを受信したことに応答して、前記未登録ノードへ、偽装アドレス解決プロトコル応答パケットを送信する偽装アドレス解決プロトコル応答送信手段と、
   を具備することを特徴とするネットワーク監視装置。
2. 前記偽装アドレス解決プロトコル要求パケットは、前記ネットワーク監視装置の物理アドレスを送信元物理アドレスとして含み、且つ前記未登録ノードのネットワークアドレスを送信元ネットワークアドレスとして含み、
   前記偽装アドレス解決プロトコル応答パケットは、前記宛先ノードの物理アドレス以外の所定の物理アドレスを送信元物理アドレスとして含み、且つ前記宛先ノードのネットワークアドレスを送信元ネットワークアドレスとして含むことを特徴とする請求項１に記載のネットワーク監視装置。
3. 前記偽装アドレス解決プロトコル応答送信手段は、前記宛先ノードから送信された、前記偽装アドレス解決プロトコル要求パケットに対するアドレス解決プロトコル応答パケットを受信したことに応答して、前記未登録ノードへ、前記未登録ノードの物理アドレスを送信元物理アドレスとして含み、且つ前記宛先ノードのネットワークアドレスを送信元ネットワークアドレスとして含む偽装アドレス解決プロトコル応答パケットを送信することを特徴とする請求項２記載のネットワーク監視装置。
4. 前記ネットワーク監視装置が保持する、ネットワークアドレスと物理アドレスとの対応を記述したＡＲＰテーブルに、前記未登録ノードのネットワークアドレスと前記ネットワーク監視装置の物理アドレスとを対応づけて記述するＡＲＰテーブル偽装手段をさらに具備することを特徴とする請求項２記載のネットワーク監視装置。
5. 前記未登録ノード判定手段は、前記受信したアドレス解決プロトコル要求パケットの送信元ノードが未登録ノードであり、且つ前記受信したアドレス解決プロトコル要求パケットがグラチュータスアドレス解決プロトコル要求パケットである場合、前記アドレス解決プロトコル要求パケットを無視することを特徴とする請求項２記載のネットワーク監視装置。
6. ノードから検疫結果を受信する受信手段と、
   前記ノードから送信された検疫結果が合格を示す場合に、前記検疫結果を送信したノードを示す情報を登録済みリストに記載する手段と、
   前記登録済みリストを、当該登録済みリストに記載されているノード間の通信を許可するネットワーク監視装置に送信する手段と、
   前記検疫結果が合格を示すノードから定期的に送信されるステータスを受信する手段と、
   前記ステータスを受信することができなくなった場合に、前記登録済みリストから前記検疫結果を送信したノードを示す情報を削除することによって新たな登録済みリストを生成する手段と、
   前記新たな登録済みリストを前記ネットワーク監視装置に送信する手段と、
   を具備することを特徴とする安全保障装置。
7. 前記登録済みリストに情報が記載されていないノードに対して、当該ノードの前記検疫を実行する検疫エージェントソフトウェアをインストールするためのインストーラを送信する手段を更に具備することを特徴とする請求項６に記載の安全保障装置。
8. 複数のノードが接続されたネットワークを該ネットワーク上に接続されたネットワーク監視装置によって監視するネットワーク監視方法であって、
   アドレス解決プロトコル要求パケットを受信したことに応答して、前記受信したアドレス解決プロトコル要求パケットに含まれる送信元物理アドレスに基づいて、前記受信したアドレス解決プロトコル要求パケットの送信元ノードが未登録ノードであるかどうかを判定し、
   前記送信元ノードが未登録ノードである場合、前記受信したアドレス解決プロトコル要求パケットに含まれる宛先ネットワークアドレスに基づいて、前記受信したアドレス解決プロトコル要求パケットの宛先ノードが接続許可ノードであるかを判定し、
   前記宛先ノードが接続許可ノードであると判定された場合、前記送信元ノードと前記宛先ノードとの通信を許可し、
   前記宛先ノードが接続許可ノードではないと判定された場合、前記受信したアドレス解決プロトコル要求パケットに含まれる宛先ネットワークアドレスに対応するノードである宛先ノードへ偽装アドレス解決プロトコル要求パケットを送信し、
   前記宛先ノードから送信された、前記偽装アドレス解決プロトコル要求パケットに対するアドレス解決プロトコル応答パケットを受信したことに応答して、前記未登録ノードへ、偽装アドレス解決プロトコル応答パケットを送信することを特徴とするネットワーク監視方法。
9. 前記偽装アドレス解決プロトコル要求パケットは、前記ネットワーク監視装置の物理アドレスを送信元物理アドレスとして含み、且つ前記未登録ノードのネットワークアドレスを送信元ネットワークアドレスとして含み、
   前記偽装アドレス解決プロトコル応答パケットは、前記宛先ノードの物理アドレス以外の所定の物理アドレスを送信元物理アドレスとして含み、且つ前記宛先ノードのネットワークアドレスを送信元ネットワークアドレスとして含むことを特徴とする請求項８に記載のネットワーク監視方法。

Images