JP5163060B2 - 中継装置 - Google Patents

Description

本発明は、ケーブルが挿脱される複数のケーブル接続部を備え、各ケーブル接続部に挿入されたケーブル間の接続を中継する中継装置に関する。

ハブ及びルータ等のネットワーク機器におけるセキュリティの向上を図る技術として、フィルタリング機能が一般的に用いられている。フィルタリング機能とは、送信されてきたデータを検査して通過させるか否かを判断する機能である。具体的には、送信されてくるデータのヘッダ情報には、送信元の装置に割り当てられたＭＡＣ（Media Access Control）アドレス、送信先の装置に割り当てられたＭＡＣアドレス等の情報が含まれており、データが送信されてきた場合に、そのヘッダ情報に基づく送信元のＭＡＣアドレスが、予め通過を許可するＭＡＣアドレスに登録されたＭＡＣアドレスである場合にのみデータを通過させ、不要なデータを通過させない機能である。

また、特許文献１には、侵入防止機能付きハブにおいて、全ポートへの接続許可を、接続相手の端末のＩＰ（Internet Protocol ）アドレスで設定し、受信したＡＲＰ（Address Resolution Protocol ）フレームの送信元のＩＰアドレスが、接続許可を設定されたＩＰアドレスに一致しない場合、このＡＲＰフレームを最後に受信したポートを使用できなくする機能が開示されている。

更に、特許文献２には、ポートに接続されるケーブルに、ケーブルＩＤが格納されたＩＣタグが装着されており、各ポートにケーブルが接続された場合、各ポートと、接続されたケーブルのＩＣタグから読み取ったケーブルＩＤとを対応付けて登録しておき、運用中に、各ポートに接続されているケーブルのＩＣタグからケーブルＩＤを読み取り、各ポートに対応付けて設定してあるケーブルＩＤに一致しない場合、即ち、不適切なケーブルが接続されていた場合、そのポートを遮断するネットワーク中継器が開示されている。

上述した特許文献１では、接続許可が設定されていない装置がいずれかのポートに接続された場合であっても、この装置が接続されたポートを使用できなくすることによって、不正に接続された装置との間での通信を禁止するので、セキュリティを維持することができる。また、特許文献２でも、予め登録されたケーブルではないケーブルが接続された場合に、そのケーブルが接続されたポートを遮断するので、不正に接続されたケーブルを介した通信を禁止してセキュリティを維持することができる。
特開平１１−１７７５９７号公報 特開２００７−１６６３４７号公報

ところで、各ポートを、使用可能とする開放状態及び使用禁止とする閉塞状態のいずれかに設定できる機能を備えたハブが提供されている。このようなハブは、複数のポートにおいて、使用するポートに対しては開放状態に設定し、使用しないポートに対しては閉塞状態に設定しておくことによって、使用しないポートを予め使用できないように設定しておく場合が多い。また、このようなハブは、開放状態に設定されたポートに対してケーブルが不正に接続された場合、上述した特許文献１，２の技術等を用いてセキュリティを維持するように構成されている場合が多い。

一方、閉塞状態に設定されたポートは、使用禁止であるので、ケーブルが接続された場合であっても、何も行なわないように設定されていることが多い。即ち、閉塞状態に設定されたポートにケーブルが接続された場合、接続されたケーブルを介した通信を行なわないが、ケーブルが接続されているか否かの判断、及び接続されたケーブルが適切なケーブルであるか不正なケーブルであるかの判断も行なわないことが多い。

ここで、ハブに対して侵入を試みようとする侵入者は通常、複数のポートを有するハブにおいて、まずケーブルが接続されていないポートに対してケーブルを接続させ、このポートを介した侵入に失敗した場合、ケーブルが接続されているポートに対して、接続してあるケーブルを抜いて自身のケーブルを接続、又は接続してあるケーブルを介して自身の機器を接続して攻撃する傾向がある。

上述した特許文献１，２等の従来の技術では、侵入者が、ケーブルが接続されているポート（開放状態に設定されているポート）に対して攻撃を開始した場合には有効である。しかし、ケーブルが接続されていないポート（閉塞状態に設定されているポート）については、上述したように、ケーブルが接続されているか否かを検出しないため、侵入者が閉塞状態に設定されたポートに対してケーブルを接続して攻撃を試みている段階では、侵入者の行動を把握することはできなかった。

本発明は斯かる事情に鑑みてなされたものであり、その目的とするところは、各ポート（ケーブル接続部）が使用可能であるか否かに拘わらず、各ケーブル接続部にケーブルが挿入されたことを正確に把握することが可能であり、各ケーブル接続部に対するケーブルの挿入状態に基づいて不正な接続が行なわれたか否かを検知することが可能な中継装置を提供することにある。

本発明の他の目的は、複雑な処理を行なうことなく、不正な接続が行なわれたか否かを把握することが可能な中継装置を提供することにある。

本中継装置は、ケーブルが挿脱される複数のケーブル接続部と、各ケーブル接続部に挿入されたケーブル間の接続を中継する中継手段と、各ケーブル接続部に対するケーブルの挿脱を検出する検出手段とを備える点を特徴とする。よって、各ケーブル接続部が使用可能に設定されているか否かに拘わらず、各ケーブル接続部にケーブルが抜き挿しされたことを正確に検出することが可能である。また、本中継装置は、正確に検出された各ケーブル接続部に対するケーブルの挿脱状態が予め設定してある所定基準を満たした場合に、不正な接続が行なわれたことを検知する点を特徴とする。よって、不正な接続が行なわれたことを正確に把握することが可能となる。

本中継装置は、各ケーブル接続部にケーブルが挿入されたことを検出した場合、ケーブルを介して接続された機器から、該機器を特定する情報を取得して蓄積する点を特徴とする。よって、各ケーブル接続部が使用可能に設定されているか否かに拘わらず、各ケーブル接続部に対して挿入されたケーブルを介して接続された機器を把握することが可能である。また、本中継装置は、蓄積した情報に基づいて、該情報で特定される機器の、各ケーブル接続部に対するケーブルの挿脱状態が前記所定基準を満たした場合に、不正な接続が行なわれたことを検知する点を特徴とする。よって、各ケーブル接続部に挿入されたケーブルを介してどのような機器がどのように接続されたかに基づいて、不正な接続が行なわれたことを正確に把握することが可能となる。

本中継装置は、時計手段を備え、各ケーブル接続部にケーブルが挿入されたことを検出した場合、検出した時点での時刻と、前記ケーブルを介して接続された機器から取得した情報とを対応付けて蓄積する点を特徴とする。また、本中継装置は、蓄積した情報をさらに用いて、所定時間内に同一の機器を示す情報が所定数以上含まれる場合、不正な接続が行なわれたことを検知する点を特徴とする。よって、ケーブルを介して同一の機器が所定時間内に所定回数以上接続してきた場合、不正な接続が行なわれたと判断することが可能となる。

本中継装置は、ネットワークケーブルが挿脱される複数のケーブル接続部を備えており、各ケーブル接続部にネットワークケーブルが挿入されたことを検出した場合、ネットワークケーブルを介して接続された機器から、該機器に割り当てられたＭＡＣアドレスを取得して蓄積する点を特徴とする。よって、ネットワークケーブルを介して複数のネットワーク機器との接続が可能な中継装置において、各ケーブル接続部に対して挿入されたネットワークケーブルを介して接続されたネットワーク機器をＭＡＣアドレスによって把握することが可能となる。

本発明に係る中継装置は、不正な接続が行なわれたことを検知した場合、その旨を報知することが可能となる。

本中継装置によれば、各ケーブル接続部に対してケーブルが抜き挿しされたことを正確に検出することができるので、各ケーブル接続部を閉塞状態又は開放状態に設定可能な中継装置において、ケーブルが電気的に接続されているか否かの検知、データの送受信が可能であるか否かの検知等の各処理を行なわない閉塞状態に設定されたケーブル接続部に対しても、ケーブルの挿脱状態を確実に把握することができる。また、各ケーブル接続部に対するケーブルの挿脱状態が予め設定してある所定基準を満たした場合に、不正な接続が行なわれたことを正確に検知できるので、例えば中継装置に対して侵入を試みようとする侵入者が、各ケーブル接続部に対してケーブルを挿脱している場合に、このような行動を確実に検知することができ、中継装置に対する不審な行動を早期に把握することができる。

本中継装置によれば、ケーブルが電気的に接続されているか否かの検知、データの送受信が可能であるか否かの検知等の各処理を行なわない閉塞状態に設定されていたケーブル接続部に対しても、ケーブルを介して接続された機器を確実に把握することができる。また、ケーブルを介して接続された機器の情報を蓄積しておくことにより、蓄積した情報に基づいて、各ケーブル接続部に挿入されたケーブルを介してどのような機器が接続されたかを把握することができるので、ケーブルを介して接続された機器に基づいて、不正な接続が行なわれたか否かを正確に把握することができる。よって、例えば中継装置に対して侵入を試みようとする侵入者が、各ケーブル接続部に対してケーブルを介した機器の接続及び切断を繰り返している場合に、このような行動を確実に検知することができ、中継装置に対する不審な行動を早期に把握することができる。

本中継装置によれば、同一の機器が所定時間内に所定回数以上接続してきた場合に不正な接続が行なわれたと判断するので、例えば中継装置に対して侵入を試みようとする侵入者が、各ケーブル接続部に対して所定時間内にケーブルを所定回数以上抜き挿しした場合に、このような状況を確実に検知することができ、中継装置に対する侵入者の不審な行動を早期に把握できるので、何らかの対策を早期に講じることができる。

本中継装置によれば、ネットワークケーブルを介してネットワーク機器との接続が可能に構成されている場合、各ケーブル接続部に挿入されたネットワークケーブルを介して接続された機器を、各機器に割り当てられたＭＡＣアドレスによって把握することができる。従って、ネットワーク機器は通常、ネットワークケーブルを介して他のネットワーク機器に接続された場合、両機器のＭＡＣアドレスを含む情報を送受信するので、受信した情報に含まれるＭＡＣアドレスを蓄積しておけばよく、複雑な処理を行なうことなく、ケーブルを介して接続された機器を把握することができ、不正な接続が行なわれたか否かを容易に検知することができる。

本中継装置によれば、不正な接続が行なわれたことを検知した場合、その旨を報知することにより、例えば中継装置に対して侵入を試みようとする侵入者が、各ケーブル接続部に対してケーブルを挿脱している段階でこのような行動を報知できるので、中継機器に対する侵入の行動に対して早期に何らかの対策を講じることができる。

以下に、本発明に係る中継装置をその実施形態を示す図面に基づいて詳述する。図１は本実施形態に係る中継装置の外観を説明するための模式図である。図１（ａ）には本実施形態の中継装置１の外観図を、図１（ｂ）には図１（ａ）に示した中継装置１の縦断面図をそれぞれ示している。なお、図１（ｂ）では、図１（ａ）に示す中継装置１の正面が右側に、背面が左側になるように図示している。

本実施形態に係る中継装置１は、例えばハブであり、複数のケーブル（ネットワークケーブル）がそれぞれ挿脱可能な複数のポート（ケーブル接続部）２，２…が設けられており、各ポート２，２…に接続（挿入）されたケーブル間の接続を中継する。即ち、中継装置１は、各ポート２，２…に接続されたケーブルのそれぞれを介して接続されるネットワーク機器間の接続を中継する。

また、本実施形態に係る中継装置１において、ポート２，２…のそれぞれの内部には、ケーブルが挿入されたことを検知するケーブル挿入検知部（検出手段）１４（図２参照）が設けられている。ケーブル挿入検知部１４は、例えば非常に小型のスライドスイッチ又はプッシュロックスイッチ等によって構成されたディップスイッチを備えている。具体的には、ケーブル挿入検知部１４は、図１（ｂ）に示すように、ポート２にケーブルの接続部（コネクタ、プラグ、ジャック）が挿入された場合の当接面に押し込み型の自動復帰スイッチ２ａと、自動復帰スイッチ２ａが押し込まれたことを検知する検知部２ｂとにより構成されている。

図１（ｂ）に示すような構成により、ポート２にケーブルが挿入された場合、自動復帰スイッチ２ａが押下され、検知部２ｂが、自動復帰スイッチ２ａが押下されたこと、即ちケーブルが挿入されたことを検知することができる。また、ポート２からケーブルが取り外された場合、自動復帰スイッチ２ａが図１（ｂ）に示す元の位置に戻り、検知部２ｂが、自動復帰スイッチ２ａが元の位置に戻ったこと、即ち接続されていたケーブルが取り外されたことを検知することができる。ケーブル挿入検知部１４は、検知部２ｂによってポート２にケーブルが挿入されたことを検知した場合、及び検知部２ｂによってポート２からケーブルが取り外されたことを検知した場合、ポート２のポート番号と、ケーブルの挿脱状態とを制御部１０（図２参照）へ通知する。

なお、ケーブル挿入検知部１４は、上述した構成に限られず、例えば、ケーブルの接続部が挿入される空間を隔てた２箇所に赤外線送信部及び赤外線受光部を設けておき、赤外線送信部から送信された赤外線が赤外線受光部によって受光できた場合に、ケーブルは挿入されていないことを検知し、赤外線受光部が赤外線を受光できなくなった場合、即ち、挿入されたケーブルの接続部によって赤外線が遮断された場合に、ケーブルが挿入されたことを検知するようにしてもよい。

図２は本実施形態に係る中継装置１の構成例を示すブロック図である。本実施形態の中継装置１は、制御部１０、ＲＯＭ１１、ＲＡＭ１２、メモリ部１３、ケーブル挿入検知部１４、不正接続検知処理部１５、各ポート２，２…に挿入されたケーブルを介して接続されるネットワーク機器との間でデータの送受信を行なうためのネットワークインタフェース１６等を備えており、これらのハードウェア各部はそれぞれバス１ａを介して相互に接続されている。なお、上述したようにケーブル挿入検知部１４は各ポート２，２…の内部にそれぞれ設けられているが、図２ではまとめてケーブル挿入検知部１４と表示している。

制御部１０は、例えばＣＰＵ（Central Processing Unit）又はＭＰＵ（Micro Processor Unit）等であり、時計（時計手段）１０ａを備えている。制御部１０は、時計１０ａによって所定のタイミングを計時しながら、ＲＯＭ１１又はメモリ部１３に予め格納してある制御プログラムを適宜ＲＡＭ１２に読み出して実行すると共に、上述したハードウェア各部の動作を制御する。なお、時計１０ａは絶対時刻（年、月、日、時、分、秒）を刻時しており、制御部１０は時計１０ａが示す絶対時間に基づいて現在時刻を取得することができる。

ＲＯＭ１１は、中継装置１を本発明の中継装置として動作させるために必要な種々の制御プログラムを予め格納している。ＲＡＭ１２は、例えばＳＲＡＭ又はフラッシュメモリ等で構成されており、制御部１０による制御プログラムの実行時に発生する種々のデータを一時的に記憶する。

メモリ部１３は、例えばフラッシュメモリのような書き換え可能なメモリである。メモリ部１３は、中継装置１を本発明の中継装置として動作させるために必要な種々の制御プログラム、図３（ａ）に示すようなポート状態管理テーブル１３ａ、図３（ｂ）に示すような接続履歴テーブル１３ｂ、図４に示すような閾値データ１３ｃ等を予め格納している。

図３はテーブルの登録内容を示す模式図であり、図３（ａ）にはポート状態管理テーブル１３ａの登録内容を、図３（ｂ）には接続履歴テーブル１３ｂの登録内容をそれぞれ示している。ポート状態管理テーブル１３ａは、中継装置１が備える各ポート２，２…について、閉塞／開放状態、ケーブルの挿入／取り外し状態（レイヤ０の状態）、レイヤ１の状態（物理接続状態）、レイヤ２の状態（データリンク状態）を管理するためのテーブルである。

図３（ａ）に示すように、ポート状態管理テーブル１３ａには、中継装置１が備える各ポート２，２…毎に、ポート番号、閉塞／開放状態情報、レイヤ０状態情報、レイヤ１状態情報、レイヤ２状態情報が対応付けて登録されている。ポート番号の欄には、各ポート２，２…に割り当てられたポート番号が予め登録されており、閉塞／開放状態情報の欄には、各ポート２，２…に対して設定された状態が登録されている。なお、開放状態とは各ポート２，２…が使用可能状態であることを示しており、閉塞状態とは各ポート２，２…が使用禁止状態であることを示している。閉塞／開放状態情報は、例えば、中継装置１の管理者が中継装置１に接続されたコンピュータを介して各ポート２，２…に対する閉塞／開放状態を変更する都度、制御部１０によって更新される。

レイヤ０状態情報の欄には、各ポート２，２…がケーブルを挿入された状態の場合に「接続」が登録され、各ポート２，２…がケーブルを取り外された状態の場合に「未接続」が登録される。レイヤ０状態情報は、各ポート２，２…の内部に設けられたケーブル挿入検知部１４が各ポート２，２…に対するケーブルの挿入を検知する都度、又は各ポート２，２…からのケーブルの取り外しを検知する都度、制御部１０によって更新される。

レイヤ１状態情報の欄には、各ポート２，２…がケーブルを介して外部のネットワーク機器と電気的に接続されている状態の場合に「up」が登録され、各ポート２，２…が外部のネットワーク機器と電気的に接続されていない状態の場合に「down」が登録される。レイヤ１状態情報は、ネットワークインタフェース１６が、各ポート２，２…がケーブルを介して外部のネットワーク機器と電気的に接続されたことを検出する都度、又は各ポート２，２…と外部のネットワーク機器との電気的な接続が終了したことを検出する都度、制御部１０によって更新される。

レイヤ２状態情報の欄には、各ポート２，２…がケーブルを介して外部のネットワーク機器との間でデータの送受信が可能である状態の場合に「up」が登録され、各ポート２，２…が外部のネットワーク機器との間でデータの送受信が可能でない状態の場合に「down」が登録される。レイヤ２状態情報は、ネットワークインタフェース１６が、各ポート２，２…を介して外部のネットワーク機器との間でデータの送受信ができた場合、又は各ポート２，２…を介して外部のネットワーク機器との間でデータの送受信ができなくなった場合、制御部１０によって更新される。

接続履歴テーブル（蓄積手段）１３ｂは、各ポート２，２…についてケーブルが挿入（接続）された履歴を管理するテーブルである。図３（ｂ）に示すように、接続履歴テーブル１３ｂには、各ポート２，２…にケーブルが挿入された時刻を示すケーブル挿入検知時刻、各ポート２，２…のポート番号、各ポート２，２…に挿入されたケーブルを介して接続されたネットワーク機器のＭＡＣアドレスがそれぞれ対応付けて１つの履歴情報として登録されている。ケーブル挿入検知時刻の欄には、ケーブル挿入検知部１４がいずれかのポート２にケーブルが挿入されたことを検知した時点で時計１０ａが示す時刻が登録され、ポート番号の欄には、ケーブル挿入検知部１４がケーブルの挿入を検知したポート２のポート番号が登録される。ケーブル挿入検知時刻及びポート番号は、ケーブル挿入検知部１４がいずれかのポート２にケーブルが挿入されたことを検知する都度、制御部１０によって登録される。

ＭＡＣアドレスの欄には、ケーブル挿入検知部１４がケーブルの挿入を検知したポート２がケーブルを介して接続されたネットワーク機器のＭＡＣアドレスが登録される。ＭＡＣアドレスは、ケーブル挿入検知部１４がいずれかのポート２に対するケーブルの挿入を検知した場合に、後述する不正接続検知処理部１５が、このポート２にケーブルを介して接続されたネットワーク機器からＭＡＣアドレスを取得する都度、不正接続検知処理部１５によって登録される。

図４は閾値データ１３ｃの内容を示す模式図である。閾値データ１３ｃには、大項目として、最大登録件数と不正接続判断基準とが設けられている。最大登録件数には、接続履歴テーブル１３ｂに登録可能な履歴情報の数（例えば２００）が登録されている。不正接続判断基準は、小項目として、単位時間、接続回数及び監視対象が設けられており、図４に示した閾値データ１３ｃでは、単位時間として「１時間」が登録され、接続回数として「３回」が登録され、監視対象として「同一ＭＡＣアドレス」が登録されている。閾値データ１３ｃの登録内容は、例えば、中継装置１の管理者が中継装置１に接続されたコンピュータを介して変更又は追加する都度、制御部１０によって変更又は追加される。

不正接続検知処理部１５は、ケーブル挿入検知部１４がいずれかのポート２にケーブルが挿入されたことを検知した場合、制御部１０を介してケーブルが挿入されたポート２のポート番号と、このポート２にケーブルが挿入されたことを示す情報とを取得する。不正接続検知処理部（取得手段）１５は、通知されたポート２が開放状態である場合、通常の処理を行ない、このポート２に挿入されたケーブルを介して接続されたネットワーク機器とネットワークインタフェース１６を介して通信することによって、このネットワーク機器に割り当てられたＭＡＣアドレスを取得する。

また、不正接続検知処理部１５は、通知されたポート２が閉塞状態である場合、一時的にポート２の閉塞状態を解除して開放状態に設定し、このポート２に挿入されたケーブルを介して接続されたネットワーク機器から、このネットワーク機器に割り当てられたＭＡＣアドレスを取得する。不正接続検知処理部１５は、ケーブルを介して取得したＭＡＣアドレスを、既に接続履歴テーブル１３ｂに登録してあるケーブル挿入検知時刻及びポート番号に対応させて登録する。

更に、不正接続検知処理部（検知手段）１５は、閾値データ１３ｃによって規定された不正接続判断基準を参照し、上述したように接続履歴テーブル１３ｂに順次登録された履歴情報に基づいて、不正な接続が行なわれたか否かを判断する。具体的には、図４に示すような閾値データ１３ｃを用いた場合、不正接続検知処理部１５は、接続履歴テーブル１３ｂに登録された履歴情報において、１時間内に同一のＭＡＣアドレスの履歴情報が３つ以上含まれる場合、不正な接続が行なわれたと判断する。

これは、１時間内において同一のＭＡＣアドレスのネットワーク機器がケーブルを介して３回接続してきた状況であり、本実施形態の中継装置１は、このような状況を不正な接続が行なわれた状況であると判断する。なお、不正な接続とは、例えば、中継装置１の各ポート２，２…に対するケーブルの挿脱が通常は行なわれない環境であった場合に、各ポート２，２…に対してケーブルの抜き挿しが所定時間内に所定回数以上行なわれた状況のことを意味する。

しかし、１時間内に同一のＭＡＣアドレスのネットワーク機器がケーブルを介して３回以上接続された状況のみが不正な接続が行なわれた状況ではない。従って、閾値データ１３ｃの登録内容は、適宜変更が可能であるので、例えば、閾値データ１３ｃの監視対象として「異なるＭＡＣアドレス」が登録されていた場合には、１時間内において、接続されたネットワーク機器が同一であるか否かに拘わらず、ネットワーク機器がケーブルを介して３回接続された時点で、不正な接続が行なわれたと判断するので、中継装置１への侵入者が異なるネットワーク機器を接続した場合であっても、そのような不審な行動を検出することができる。

なお、不正接続検知処理部１５は、専用のハードウェアによって構成してもよく、上述した各処理を規定したコンピュータプログラムをＲＯＭ１１又はメモリ部１３に予め格納しておき、このコンピュータプログラムを制御部１０が実行することによって実現されるソフトウェア的機能として構成してもよい。

ネットワークインタフェース１６は、各ポート２，２…に挿入されたケーブルを介して複数のネットワーク機器とデータの送受信を行なうだけでなく、中継装置１を介したネットワーク全体の状態を監視しているネットワーク監視装置（図示せず）ともデータの送受信を行なう。なお、本実施形態では、上述したように不正接続検知処理部１５が不正な接続が行なわれたことを検知した場合、制御部１０からの指示に従って、ネットワークインタフェース１６が、不正な接続が行なわれた旨をネットワーク監視装置へ通知する。

以下に、上述した中継装置１において、いずれかのポート２にケーブルが挿入（接続）された場合に制御部１０が行なう処理について説明する。
いずれかのポート２にケーブルが挿入された場合、ケーブル挿入検知部１４が、ポート２に対するケーブルの挿入を検知し、ケーブルが挿入されたポート２のポート番号と、ケーブルが挿入されたことを示す情報とを制御部１０へ通知する。

制御部１０は、ポート状態管理テーブル１３ａにおいて、通知されたポート２のレイヤ０状態情報の欄を「接続」に更新し、この時点で時計１０ａが示す時刻と、通知されたポート２のポート番号とを接続履歴テーブル１３ｂに登録する。また、制御部１０は、ケーブル挿入検知部１４から通知されたポート番号及びケーブルが挿入されたことを示す情報を不正接続検知処理部１５へ通知する。不正接続検知処理部１５は、ポート状態管理テーブル１３ａの登録内容に基づいて、通知されたポート２が閉塞状態であるか開放状態であるかを判断する。

不正接続検知処理部１５は、通知されたポート２が開放状態である場合、通常の処理によって、このポート２に挿入されたケーブルを介して接続されたネットワーク機器から、このネットワーク機器に割り当てられたＭＡＣアドレスを取得し、取得したＭＡＣアドレスを、既に接続履歴テーブル１３ｂに登録してあるケーブル挿入検知時刻及びポート番号に対応させて登録する。

また、不正接続検知処理部１５は、通知されたポート２が閉塞状態である場合、一時的にポート２の閉塞状態を解除し、このポート２に挿入されたケーブルを介して接続されたネットワーク機器から、このネットワーク機器に割り当てられたＭＡＣアドレスを取得し、取得したＭＡＣアドレスを、既に接続履歴テーブル１３ｂに登録してあるケーブル挿入検知時刻及びポート番号に対応させて登録する。なお、不正接続検知処理部１５は、ＭＡＣアドレスの取得を完了した後は、このポート２を再度閉塞状態に設定しておく。

不正接続検知処理部１５は、ネットワーク機器から取得したＭＡＣアドレスの接続履歴テーブル１３ｂへの登録を行なった後、接続履歴テーブル１３ｂの登録内容から、この時点から１時間前までに登録された履歴情報を抽出し、同一のＭＡＣアドレスの履歴情報が３つ以上ある場合、不正な接続が行なわれたと判断し、その旨を制御部１０へ通知する。一方、同一のＭＡＣアドレスの履歴情報が３つ以上ない場合、不正接続検知処理部１５は、不正な接続が行なわれていないと判断し、通常の動作に処理を戻す。

なお、不正接続検知処理部１５から不正な接続が行なわれたことを通知された場合、制御部１０は、ケーブル挿入検知部１４からケーブルが挿入されたと通知されたポート２、即ち、最後にケーブルが挿入されたポート２が開放状態であれば、このポート２を閉塞状態に設定し、このポート２を使用禁止にする。また、制御部１０は、不正接続検知処理部１５から不正な接続が行なわれたことを通知された場合、ネットワークインタフェース１６を介して接続してあるネットワーク監視装置に対して、不正な接続が行なわれたこと、又は不正に接続してきたネットワーク機器のＭＡＣアドレス等を通知する。

一方、いずれかのポート２からケーブルが取り外された場合、ケーブル挿入検知部１４が、ポート２に対するケーブルの取り外しを検知し、ケーブルが取り外されたポート２のポート番号と、ケーブルが取り外されたことを示す情報とを制御部１０へ通知する。そして、制御部１０は、ポート状態管理テーブル１３ａにおいて、通知されたポート２のレイヤ０状態情報の欄を「非接続」に更新し、これにより、ポート状態管理テーブル１３ａによって各ポート２，２…に対するケーブルの挿脱状態を管理することができる。

以下に、本実施形態の中継装置１において、いずれかのポート２にケーブルが挿入された場合、又はいずれかのポート２からケーブルが取り外された場合に制御部１０が行なう処理についてフローチャートに基づいて説明する。図５及び図６はケーブルの挿脱状態の管理処理の手順を示すフローチャートである。なお、以下の処理は、中継装置１のＲＯＭ１１又はメモリ部１３に記憶してある制御プログラムに従って制御部１０によって実行される。

中継装置１の制御部１０は、ケーブル挿入検知部１４によっていずれかのポート２に対するケーブルの挿入を検知したか否かを判断しており（Ｓ１）、ケーブルの挿入を検知していないと判断した場合（Ｓ１：ＮＯ）、ケーブル挿入検知部１４によっていずれかのポート２からのケーブルの取り外しを検知したか否かを判断する（Ｓ２）。

いずれかのポート２からケーブルの取り外しを検知したと判断した場合（Ｓ２：ＹＥＳ）、制御部１０は、ポート状態管理テーブル１３ａにおいて、ケーブルが取り外されたポート２のレイヤ０状態情報を「非接続」に更新し（Ｓ３）、ステップＳ１７へ処理を移行する。いずれかのポート２からのケーブルの取り外しを検知していないと判断した場合（Ｓ２：ＮＯ）、制御部１０は、ステップＳ３の処理をスキップし、ステップＳ１７へ処理を移行する。

ステップＳ１でケーブルの挿入を検知したと判断した場合（Ｓ１：ＹＥＳ）、制御部１０は、ポート状態管理テーブル１３ａにおいて、ケーブルが挿入されたポート２のレイヤ０状態情報を「接続」に更新し（Ｓ４）、この時点で時計１０ａが示す時刻と、通知されたポート２のポート番号とを接続履歴テーブル１３ｂに登録する（Ｓ５）。なお、ここで、接続履歴テーブル１３ｂに登録されている履歴情報の数が、閾値データ１３ｃに設定されている最大登録件数に達している場合、制御部１０は、例えばネットワークインタフェース１６を介してネットワーク監視装置に、その旨を通知する。又は、制御部１０は、接続履歴テーブル１３ｂに登録された履歴情報を、ケーブル挿入検知時刻の古いものから順に消去してもよい。

制御部１０は、不正接続検知処理部１５によって、ステップＳ１でケーブルの挿入が検知されたポート２が閉塞状態であるか否かを判断する（Ｓ６）。閉塞状態でないと判断した場合（Ｓ６：ＮＯ）、即ちケーブルの挿入が検知されたポート２が開放状態である場合、制御部１０は、ネットワークインタフェース１６を介して、このポート２に挿入されたケーブルを介して接続された接続相手（ネットワーク機器）のＭＡＣアドレスを取得する（Ｓ７）。制御部１０は、取得したＭＡＣアドレスを、ステップＳ５で接続履歴テーブル１３ｂに登録したケーブル挿入検知時刻及びポート番号に対応させて登録する（Ｓ８）。

ケーブルの挿入が検知されたポート２が閉塞状態であると判断した場合（Ｓ６：ＹＥＳ）、制御部１０は、一時的に隔離されたネットワークとしてポート２の閉塞状態を解除し（Ｓ９）、ネットワークインタフェース１６を介して、このポート２に挿入されたケーブルを介して接続された接続相手（ネットワーク機器）のＭＡＣアドレスを取得する（Ｓ１０）。そして、制御部１０は、ステップＳ９で閉塞状態を解除したポート２を閉塞状態に設定し（Ｓ１１）、取得したＭＡＣアドレスを、ステップＳ５で接続履歴テーブル１３ｂに登録したケーブル挿入検知時刻及びポート番号に対応させて登録する（Ｓ８）。

制御部１０は、上述したように履歴情報を登録した接続履歴テーブル１３ｂに基づく不正接続検知処理を、不正接続検知処理部１５によって実行する（Ｓ１２）。なお、不正接続検知処理の詳細については図７に基づいて後述する。そして、制御部１０は、不正接続検知処理部１５による不正接続検知処理の結果、不正な接続が行なわれたか否かを判断し（Ｓ１３）、不正な接続が行なわれたと判断した場合（Ｓ１３：ＹＥＳ）、ステップＳ１でケーブルの挿入が検知されたポート２が閉塞状態であるか否かを判断する（Ｓ１４）。

閉塞状態でないと判断した場合（Ｓ１４：ＮＯ）、制御部１０は、このポート２を閉塞状態に設定し（Ｓ１５）、不正な接続が行なわれた旨を、ネットワークインタフェース１６を介してネットワーク監視装置へ通知する（Ｓ１６）。閉塞状態であると判断した場合（Ｓ１４：ＹＥＳ）、制御部１０は、ステップＳ１５の処理をスキップし、不正な接続が行なわれた旨を、ネットワークインタフェース１６を介してネットワーク監視装置へ通知する（Ｓ１６）。

ステップＳ１３で、不正接続検知処理部１５による不正接続検知処理の結果、不正な接続が行なわれていないと判断した場合（Ｓ１３：ＮＯ）、制御部１０は、ステップＳ１４〜Ｓ１６の処理をスキップし、ステップＳ１７へ処理を移行する。
制御部１０は、例えば、電源（図示せず）からの電力供給が終了されたか否か、又は中継装置１の管理者による動作終了の指示を受け付けたか否かに基づいて、上述した処理の終了指示を受け付けたか否かを判断しており（Ｓ１７）、終了指示を受け付けたと判断した場合（Ｓ１７：ＹＥＳ）、上述した処理を終了し、終了指示を受け付けていないと判断した場合（Ｓ１７：ＮＯ）、ステップＳ１へ処理を戻し、上述したステップＳ１〜Ｓ１７の処理を繰り返す。

以下に、上述したケーブルの挿脱状態の管理処理における不正接続検知処理（図６中のステップＳ１２）についてフローチャートに基づいて説明する。図７は不正接続検知処理の手順を示すフローチャートである。なお、以下の処理は、制御部１０からの指示に従って不正接続検知処理部１５によって実行される。また、以下では、図４に示した閾値データ１３ｃに基づく処理を例に説明する。即ち、１時間内に同一のＭＡＣアドレスのネットワーク機器がケーブルを介して３回接続された場合、不正な接続が行なわれたと判定する。

不正接続検知処理部１５は、不正接続検知処理を行なう場合、制御部１０の時計１０ａによって現在時刻を取得する（Ｓ２１）。不正接続検知処理部１５は、接続履歴テーブル１３ｂに登録されている履歴情報から、現在時刻から１時間前までに登録された１時間分の履歴情報を抽出する（Ｓ２２）。なお、接続履歴テーブル１３ｂに登録されたケーブル挿入検知時刻は、各履歴情報が接続履歴テーブル１３ｂに登録された時刻に一致するので、不正接続検知処理部１５は、接続履歴テーブル１３ｂのケーブル挿入検知時刻に基づいて履歴情報を抽出することができる。

不正接続検知処理部１５は、抽出した１時間分の履歴情報において、同一のＭＡＣアドレス毎に履歴情報の数を計数し（Ｓ２３）、同一のＭＡＣアドレスの履歴情報が３つ以上あるか否かを判断する（Ｓ２４）。同一のＭＡＣアドレスの履歴情報が３つ以上あると判断した場合（Ｓ２４：ＹＥＳ）、不正接続検知処理部１５は、不正な接続が行なわれたと判断し（Ｓ２５）、その旨を制御部１０へ通知して図６に示したケーブルの挿脱状態の管理処理へ処理を戻す。

一方、同一のＭＡＣアドレスの履歴情報が３つ以上ないと判断した場合（Ｓ２４：ＮＯ）、不正接続検知処理部１５は、不正な接続が行なわれていないと判断し（Ｓ２６）、その旨を制御部１０へ通知して図６に示したケーブルの挿脱状態の管理処理へ処理を戻す。

上述したように、本実施形態の中継装置１では、各ポート２，２…が、ケーブルが電気的に接続されているか否かを検知するレイヤ１の状態検知、及びデータの送受信が可能であるか否かを検知するレイヤ２の状態検知を行なわない閉塞状態に設定されているか否かに拘わらず、ポート状態管理テーブル１３ａに基づいて、各ポート２，２…に対するケーブルの挿脱状態を確実に把握することができる。従って、正確に把握してある挿脱状態に基づいて、例えば中継装置１に侵入を試みている侵入者が、ポート２，２…に対してケーブルを抜き挿ししている不審な行動を検知することができ、中継装置１に対する侵入の可能性を早期に把握することができる。

また、本実施形態の中継装置１では、不正な接続が行なわれたことを把握した場合に、その旨をネットワーク監視装置へ通知するので、侵入者が、中継装置１のポート２，２…に対してケーブルを抜き挿ししている時点で、その不審な行動を管理者等に通知することができ、また、中継装置１への侵入に対する何らかの対策を早期に講じることができる。例えば、ケーブルを介して不正な接続を行なってきたネットワーク機器のＭＡＣアドレスを把握しているので、このネットワーク機器との通信を禁止することにより、中継装置１への侵入を確実に防止することができる。

また、侵入者が中継装置１に対して実際にケーブルを抜き挿ししている時点で、その行動を把握できるので、例えば、この中継機器１が設置されている部屋の鍵を閉めて不審者を監禁することができ、また、この部屋に設けられている防犯用カメラを作動させる等、種々の対応策を講じることができる。

また、本実施形態の中継装置１では、各ポート２，２…に対して実際にケーブルが抜き挿しされている状態を把握できるので、ケーブルを介して中継装置１に接続しているコンピュータから中継装置１に対してリモート操作で何らかの調整処理を行なう場合に、各ポート２，２…に対してケーブルが実際に挿入されているか否かに応じた処理を行なうことができ、中継装置１に対する保守作業及び運用作業の品質及び効率の向上を図ることができる。

上述した中継装置１は、自身のポート２，２…にケーブルが挿脱されたことを監視することによって、不審なケーブルの挿入状態の発生を検知するので、中継装置１が接続されるネットワークの規模、ネットワーク監視装置の性能等には拘わらず、また、ネットワーク監視装置に新たな機能を設けることなく、中継装置１に対する侵入者の行動を早期に把握できる。これにより、ネットワーク全体に対するセキュリティを向上させることができる。また、ネットワーク監視装置を設けていない場合であっても、中継装置１を用いることのみによって、中継装置１を介したネットワークに対するセキュリティを向上させることができる。

上述した中継装置１は、自身のポート２，２…にケーブルが挿脱されたことを監視しており、不審なケーブルの挿入状態が発生した場合にネットワーク監視装置にその旨を通知する。しかし、例えば、中継装置１にランプ又は音声出力部等の報知手段を設け、不審なケーブルの挿入状態が発生した場合にランプの点滅又は警告音の出力等によって、中継装置１の周囲の人に通知（報知）すると共に、侵入者に対して警告を発するようにしてもよい。なお、ネットワーク監視装置を設けていないネットワークにおいては、中継装置１をこのような構成とすることによって、セキュリティの向上が期待できる。

上述した本実施形態の中継装置１は、不正接続検知処理部１５によって不正な接続が行なわれたことを検知した場合にのみ、その旨をネットワーク監視装置へ通知していた。しかし、例えば、ケーブル挿入検知部１４によって各ポート２，２…に対するケーブルの挿脱を検知する都度、各ポート２，２…に対するケーブルの挿脱状態をネットワーク監視装置へ通知してもよい。この場合、ネットワーク監視装置は、中継装置１における各ポート２，２…に対するケーブルの挿脱状態をも監視することができる。

上述した本実施形態の中継装置１では、各ポート２，２…にケーブルを介して接続された各ネットワーク機器を、各ネットワーク機器のＭＡＣアドレスによって管理していた。しかし、各ネットワーク機器を識別できる情報であればＭＡＣアドレスに限られない。

本実施形態に係る中継装置の外観を説明するための模式図である。 本実施形態に係る中継装置の構成例を示すブロック図である。 テーブルの登録内容を示す模式図である。 閾値データの内容を示す模式図である。 ケーブルの挿脱状態の管理処理の手順を示すフローチャートである。 ケーブルの挿脱状態の管理処理の手順を示すフローチャートである。 不正接続検知処理の手順を示すフローチャートである。

符号の説明

１ 中継装置
１０ 制御部
１０ａ 時計（時計手段）
２ ポート（ケーブル接続部）
１３ メモリ部
１３ｂ 接続履歴テーブル（蓄積手段）
１４ ケーブル挿入検知部（検出手段）
１５ 不正接続検知処理部（取得手段）

Claims (6)

1. ケーブルが挿脱される複数のケーブル接続部と、
   各ケーブル接続部に挿入されたケーブル間の接続を中継する中継手段と、
   各ケーブル接続部に対するケーブルの挿脱を検出する検出手段と、
   該検出手段が検出した各ケーブル接続部に対するケーブルの挿脱状態が予め設定してある所定基準を満たした場合に、不正な接続が行なわれたことを検知する検知手段と
   を備えることを特徴とする中継装置。
2. 前記検出手段が各ケーブル接続部にケーブルが挿入されたことを検出した場合、該ケーブルを介して接続された機器から、該機器を特定する情報を取得する取得手段と、
   該取得手段が取得した情報を蓄積する蓄積手段とを備え、
   前記検知手段は、前記蓄積手段が蓄積した情報に基づいて、該情報で特定される機器の、各ケーブル接続部に対するケーブルの挿脱状態が前記所定基準を満たした場合に、不正な接続が行なわれたことを検知することを特徴とする請求項１に記載の中継装置。
3. 時計手段を備え、
   前記蓄積手段は、前記検出手段が各ケーブル接続部にケーブルが挿入されたことを検出した場合、検出した時点で前記時計手段が示した時刻と、前記取得手段が取得した情報とを対応付けて蓄積するように構成されており、
   前記検知手段は、前記蓄積手段が蓄積した情報をさらに用いて、所定時間内に同一の機器を示す情報が所定数以上含まれる場合、不正な接続が行なわれたことを検知するように構成されていることを特徴とする請求項２に記載の中継装置。
4. 前記ケーブルは、ネットワークケーブルであり、
   前記取得手段において取得する前記機器を特定する情報が、該機器に割り当てられたＭＡＣアドレスであることを特徴とする請求項２又は３に記載の中継装置。
5. 前記検知手段が不正な接続が行なわれたことを検知した場合、その旨を報知する手段を備えることを特徴とする請求項１乃至４のいずれかひとつに記載の中継装置。
6. ケーブルが挿脱される複数のケーブル接続部と、
   各ケーブル接続部に挿入されたケーブル間の接続を中継する中継手段と、
   各ケーブル接続部にケーブルが挿入されたことを検出する検出手段と、
   該検出手段が各ケーブル接続部にケーブルが挿入されたことを検出した場合、該ケーブルを介して接続された機器から、該機器を特定する情報を取得する取得手段と、
   時計手段と、
   前記検出手段が各ケーブル接続部にケーブルが挿入されたことを検出した場合、検出した時点で前記時計手段が示した時刻と、前記取得手段が取得した情報とを対応付けて蓄積する蓄積手段と、
   所定時間内に同一の機器を示す情報が所定数以上前記蓄積手段に蓄積された場合、不正な接続が行なわれたことを検知する検知手段と
   を備えることを特徴とする中継装置。

Images