JP5333789B2 - Terminal detection apparatus, server apparatus, terminal detection method, and program - Google Patents
Terminal detection apparatus, server apparatus, terminal detection method, and program Download PDFInfo
- Publication number
- JP5333789B2 JP5333789B2 JP2010221559A JP2010221559A JP5333789B2 JP 5333789 B2 JP5333789 B2 JP 5333789B2 JP 2010221559 A JP2010221559 A JP 2010221559A JP 2010221559 A JP2010221559 A JP 2010221559A JP 5333789 B2 JP5333789 B2 JP 5333789B2
- Authority
- JP
- Japan
- Prior art keywords
- terminal
- port
- vlan
- mac address
- detected
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Expired - Fee Related
Links
- 238000001514 detection method Methods 0.000 title claims description 80
- 238000002955 isolation Methods 0.000 claims description 21
- 238000007689 inspection Methods 0.000 claims description 15
- 239000000284 extract Substances 0.000 claims description 5
- 230000006870 function Effects 0.000 description 40
- 238000010586 diagram Methods 0.000 description 12
- 238000000605 extraction Methods 0.000 description 9
- 238000004891 communication Methods 0.000 description 6
- 230000005540 biological transmission Effects 0.000 description 4
- 238000000034 method Methods 0.000 description 3
- 238000011084 recovery Methods 0.000 description 3
- 239000004065 semiconductor Substances 0.000 description 2
- 230000004913 activation Effects 0.000 description 1
- 210000002816 gill Anatomy 0.000 description 1
- 238000009434 installation Methods 0.000 description 1
- 230000003287 optical effect Effects 0.000 description 1
- 238000011144 upstream manufacturing Methods 0.000 description 1
Landscapes
- Small-Scale Networks (AREA)
Description
本発明は、レイヤー２スイッチを備えるネットワークシステムにおいて、レイヤー２スイッチに間接的に接続された端末の検知に利用される、端末検知装置、サーバ装置、端末検知方法、及びプログラムに関する。 The present invention relates to a terminal detection device, a server device, a terminal detection method, and a program used for detection of a terminal indirectly connected to the layer 2 switch in a network system including a layer 2 switch.
近年、企業等においては、ネットワークでの情報漏洩を防止するため、検疫システムの導入が進められている（例えば、特許文献１参照。）。検疫システムは、ネットワークに接続する端末のセキュリティ状態を判定し、不適切と判定された端末をネットワークから切り離すことによって、ネットワークのセキュリティを保持している。 In recent years, companies and the like have been introducing a quarantine system in order to prevent information leakage on a network (see, for example, Patent Document 1). The quarantine system maintains the security of the network by determining the security state of the terminal connected to the network and disconnecting the terminal determined to be inappropriate from the network.
このような検疫システムでは、一般に、ネットワークの制御をより厳密に行うために、ＶＬＡＮ（Virtual LAN）機能を有するレイヤー２スイッチが利用されている。レイヤー２スイッチは、インターネットプロトコルの通信に利用されるレイヤーよりも低いレイヤー（データリンク層）において、ネットワークを制御している。 In such a quarantine system, a layer 2 switch having a VLAN (Virtual LAN) function is generally used in order to more strictly control the network. The layer 2 switch controls the network in a layer (data link layer) lower than a layer used for Internet protocol communication.
具体的には、検疫システムにおいて、ＶＬＡＮ機能を有するレイヤー２スイッチは、予め、業務用のＶＬＡＮと隔離用のＶＬＡＮとを備えている。そして、検疫システムを構成する検疫サーバは、レイヤー２スイッチに接続された端末のセキュリティポリシに従い、その端末をどちらかのＶＬＡＮに所属させる。 Specifically, in the quarantine system, a layer 2 switch having a VLAN function includes a business VLAN and an isolation VLAN in advance. Then, the quarantine server constituting the quarantine system makes the terminal belong to one of the VLANs according to the security policy of the terminal connected to the layer 2 switch.
つまり、検疫サーバは、レイヤー２スイッチのいずれかのポートに端末が接続されると、ＳＮＭＰ（Simple Network Management Protocol）を利用して、端末のポートへの接続を検知する。そして、検疫サーバは、端末におけるエージェントプログラムのインストールのチェック、セキュリティポリシのチェックなどを実行する。 That is, when a terminal is connected to any port of the layer 2 switch, the quarantine server detects connection to the terminal port using SNMP (Simple Network Management Protocol). Then, the quarantine server executes an agent program installation check, a security policy check, etc. in the terminal.
その後、検疫サーバは、セキュリティポリシを満たす安全な端末のみを業務用のＶＬＡＮに接続させ、セキュリティポリシを満たさない端末を隔離用のＶＬＡＮによって隔離する。その後、検疫サーバは、セキュリティポリシを満たさない端末に対して、エージェントプログラムのインストールといった、セキュリティポリシを満たすための処理を施してから、これらを業務用のＶＬＡＮに接続させる。この結果、ネットワークのセキュリティが保たれる。 Thereafter, the quarantine server connects only secure terminals that satisfy the security policy to the business VLAN, and isolates terminals that do not satisfy the security policy using the isolation VLAN. Thereafter, the quarantine server performs processing for satisfying the security policy, such as installation of an agent program, on a terminal that does not satisfy the security policy, and then connects these to the business VLAN. As a result, network security is maintained.
ところで、上述の検疫システムでは、レイヤー２スイッチの各ポートに、端末が直接接続されることが前提とされている。一方、実際には、各ポートに、端末ではなく、例えば、ＶＬＡＮ機能を持たないハブが接続され、更に、このハブのポートに端末が複数台接続される場合が想定される。 By the way, in the above-described quarantine system, it is assumed that a terminal is directly connected to each port of the layer 2 switch. On the other hand, in reality, it is assumed that not each terminal is connected to each port but, for example, a hub having no VLAN function is connected, and further, a plurality of terminals are connected to this hub port.
このような場合、上述の検疫システムは、ＶＬＡＮ機能を持たないハブに接続された１台目の端末については検知できるが、２台目以降の端末については検知できないため、２台目以降の端末に対しては、セキュリティポリシに基づく隔離及び復旧は不可能となる。 In such a case, the above-described quarantine system can detect the first terminal connected to the hub that does not have the VLAN function, but cannot detect the second and subsequent terminals. However, isolation and recovery based on the security policy is impossible.
また、ネットワークシステムにおけるハブを、全てＶＬＡＮ機能を有するレイヤー２スイッチに置き換えれば、上記の隔離及び復旧ができない問題は解消されるが、この場合は、従前の資産を有効に生かすことができず、企業等にとってコストがかかってしまう。このため、上述のような場合であっても、端末の接続を確実に検知することが求められている。 In addition, if all the hubs in the network system are replaced with layer 2 switches having a VLAN function, the above-mentioned problem that the isolation and recovery cannot be solved, but in this case, the existing assets cannot be utilized effectively. It costs money for companies. For this reason, even in the case described above, it is required to reliably detect the connection of the terminal.
本発明の目的の一例は、上記問題を解消し、レイヤー２スイッチのポートに、ＶＬＡＮ機能を有していない集線装置を介して、複数の端末が接続された場合に、１台目に加えて２台目以降の端末の接続も検知し得る、端末検知装置、それを備えたサーバ装置、端末検知方法、及びプログラムを提供することにある。 An example of the object of the present invention is to solve the above-mentioned problem, and when a plurality of terminals are connected to a layer 2 switch port via a concentrator that does not have a VLAN function, An object of the present invention is to provide a terminal detection device, a server device including the terminal detection device, a terminal detection method, and a program capable of detecting connection of second and subsequent terminals.
上記目的を達成するため、本発明の一側面における端末検知装置は、
ＶＬＡＮ機能を有するレイヤー２スイッチを備えたネットワークにおいて発信された、ＡＲＰパケットを検出する、ＡＲＰ検出部と、
前記ＡＲＰパケットが検出されると、それに基づいて、前記レイヤー２スイッチを対象として、前記ＡＲＰパケットの発信元のＭＡＣアドレスを含む複数のＭＡＣアドレスが登録されているポートの検出を実行し、検出できた場合は、検出された前記ポートに、ＶＬＡＮ機能を有していない集線装置を介して、新たに端末が接続されたと判定する、接続状態判定部と、を備えていることを特徴とする。
In order to achieve the above object, a terminal detection device according to one aspect of the present invention includes:
An ARP detection unit for detecting an ARP packet transmitted in a network having a layer 2 switch having a VLAN function;
When the ARP packet is detected, detection of a port in which a plurality of MAC addresses including the MAC address of the source of the ARP packet are registered can be performed and detected for the layer 2 switch. A connection state determination unit that determines that a terminal is newly connected to the detected port via a line concentrator that does not have a VLAN function.
また、上記目的を達成するため、本発明の一側面におけるサーバ装置は、ＶＬＡＮ機能を有するレイヤー２スイッチを備えたネットワークの管理を行うサーバ装置であって、
前記ネットワークにおいて発信された、ＡＲＰパケットを検出する、ＡＲＰ検出部と、
前記ＡＲＰパケットが検出されると、それに基づいて、前記レイヤー２スイッチを対象として、前記ＡＲＰパケットの発信元のＭＡＣアドレスを含む複数のＭＡＣアドレスが登録されているポートの検出を実行し、検出できた場合に、検出された前記ポートに、ＶＬＡＮ機能を有していない集線装置を介して、新たに端末が接続されたと判定する、接続状態判定部と、を備えていることを特徴とする。
In order to achieve the above object, a server apparatus according to an aspect of the present invention is a server apparatus that manages a network including a layer 2 switch having a VLAN function.
An ARP detector that detects an ARP packet transmitted in the network;
When the ARP packet is detected, detection of a port in which a plurality of MAC addresses including the MAC address of the source of the ARP packet are registered can be performed and detected for the layer 2 switch. A connection state determination unit that determines that a terminal is newly connected to the detected port via a line concentrator that does not have a VLAN function.
更に、上記目的を達成するため、本発明の一側面における端末検知方法は、
（ａ）ＶＬＡＮ機能を有するレイヤー２スイッチを備えたネットワークにおいて発信された、ＡＲＰパケットを検出する、ステップと、
（ｂ）前記（ａ）のステップで前記ＡＲＰパケットが検出されると、それに基づいて、前記レイヤー２スイッチを対象として、前記ＡＲＰパケットの発信元のＭＡＣアドレスを含む複数のＭＡＣアドレスが登録されているポートの検出を実行する、ステップと、
（ｃ）前記（ｂ）のステップで前記ポートを検出できた場合に、検出された前記ポートに、ＶＬＡＮ機能を有していない集線装置を介して、新たに端末が接続されたと判定する、ステップと、を有することを特徴とする。
Furthermore, in order to achieve the above object, a terminal detection method according to one aspect of the present invention includes:
(A) detecting an ARP packet transmitted in a network including a layer 2 switch having a VLAN function;
(B) When the ARP packet is detected in the step (a), a plurality of MAC addresses including the MAC address of the source of the ARP packet are registered based on the ARP packet. Performing the detection of the ports that are present, and
(C) When the port is detected in the step (b), it is determined that a terminal is newly connected to the detected port via a concentrator that does not have a VLAN function. It is characterized by having.
更に、上記目的を達成するため、本発明の一側面におけるプログラムは、
コンピュータに、
（ａ）ＶＬＡＮ機能を有するレイヤー２スイッチを備えたネットワークにおいて発信された、ＡＲＰパケットを検出する、ステップと、
（ｂ）前記（ａ）のステップで前記ＡＲＰパケットが検出されると、それに基づいて、前記レイヤー２スイッチを対象として、前記ＡＲＰパケットの発信元のＭＡＣアドレスを含む複数のＭＡＣアドレスが登録されているポートの検出を実行する、ステップと、
（ｃ）前記（ｂ）のステップで前記ポートを検出できた場合に、検出された前記ポートに、ＶＬＡＮ機能を有していない集線装置を介して、新たに端末が接続されたと判定する、ステップと、を実行させることを特徴とする。
Furthermore, in order to achieve the above object, a program according to one aspect of the present invention is provided.
On the computer,
(A) detecting an ARP packet transmitted in a network including a layer 2 switch having a VLAN function;
(B) When the ARP packet is detected in the step (a), a plurality of MAC addresses including the MAC address of the source of the ARP packet are registered based on the ARP packet. Performing the detection of the ports that are present, and
(C) When the port is detected in the step (b), it is determined that a terminal is newly connected to the detected port via a concentrator that does not have a VLAN function. Are executed.
以上の特徴により、本発明によれば、レイヤー２スイッチのポートに、ＶＬＡＮ機能を有していない集線装置を介して、複数の端末が接続された場合に、１台目に加えて２台目以降の端末の接続も検知することができる。 As described above, according to the present invention, when a plurality of terminals are connected to the port of the layer 2 switch via a concentrator that does not have a VLAN function, the second unit is added to the first unit. Subsequent terminal connections can also be detected.
（実施の形態）
以下、本発明の実施の形態における、端末検知装置、サーバ装置、端末検知方法、及びプログラムについて、図１〜図６を参照しながら説明する。最初に、本実施の形態における端末検知装置及びサーバ装置が用いられるネットワークについて図１を用いて説明する。図１は、本発明の実施の形態における端末検知装置及びサーバ装置が用いられるネットワークの全体構成を示す図である。
(Embodiment)
Hereinafter, a terminal detection device, a server device, a terminal detection method, and a program according to an embodiment of the present invention will be described with reference to FIGS. First, a network in which the terminal detection device and the server device in the present embodiment are used will be described with reference to FIG. FIG. 1 is a diagram illustrating an overall configuration of a network in which a terminal detection device and a server device according to an embodiment of the present invention are used.
図１に示すように、本実施の形態では、端末検知装置１０は、サーバ装置２０に備えられており、サーバ装置２０の一部を構成している。サーバ装置２０は、ネットワーク７０を構成し、ネットワーク７０の管理を行っている。また、ネットワーク７０は、サーバ装置２０に加え、レイヤー２スイッチ３０、ハブ４０、端末５１〜５３、業務ネットワーク６０を備えている。 As shown in FIG. 1, in this embodiment, the terminal sensing device 10, are gills prepare for the server device 20 constitutes a part of the server device 20. The server device 20 configures the network 70 and manages the network 70. In addition to the server apparatus 20, the network 70 includes a layer 2 switch 30, a hub 40, terminals 51 to 53, and a business network 60.
レイヤー２スイッチ３０は、仮想的にネットワークを分割する機能、いわゆる「ＶＬＡＮ機能」を備えている。ＶＬＡＮ機能の具体例としては、国際標準であるＩＥＥＥ８０２．１Ｑに準拠したタグＶＬＡＮ機能が挙げられる。更に、レイヤー２スイッチ３０は、ネットワーク管理プロトコルによってサーバ装置２０と通信する機能も備えている。ネットワーク管理プロトコルとしては、インターネット上の業界標準であるＲＦＣで規定されているＳＮＭＰ（Simple Network Management Protocol）等が挙げられる。 The layer 2 switch 30 has a function of virtually dividing the network, that is, a so-called “VLAN function”. As a specific example of the VLAN function, there is a tag VLAN function compliant with IEEE 802.1Q, which is an international standard. Furthermore, the layer 2 switch 30 also has a function of communicating with the server device 20 using a network management protocol. Examples of the network management protocol include SNMP (Simple Network Management Protocol) defined by RFC, which is an industry standard on the Internet.
また、レイヤー２スイッチ３０は、ポート３１〜３４を備えている。このうち、ポート３１には、サーバ装置２０が接続されている。ポート３１は、複数のタグＶＬＡＮそれぞれに所属するイーサーネット（登録商標）フレームを送出可能なトランク（Trunk）ポートに設定されている。一方、ポート３２〜ポート３４は、アクセスポートに設定されている。特に、ポート３２及びポート３３には、接続される端末の状態に応じて、ポートＶＬＡＮが設定される。 The layer 2 switch 30 includes ports 31 to 34. Among these, the server device 20 is connected to the port 31. The port 31 is set as a trunk port that can transmit an Ethernet (registered trademark) frame belonging to each of the plurality of tag VLANs. On the other hand, the ports 32 to 34 are set as access ports. In particular, the port VLAN is set in the port 32 and the port 33 according to the state of the connected terminal.
ハブ４０は、イーサーネットで構成されたネットワークで利用される集線装置であり、ＶＬＡＮ機能を有していない。ハブ４０は、ＶＬＡＮ機能及びＳＮＭＰ機能を有していないレイヤー２のスイッチと同等であり、ハブ４０をこれと置き換えることも可能である。 The hub 40 is a line concentrator used in a network configured by Ethernet and does not have a VLAN function. The hub 40 is equivalent to a layer 2 switch that does not have a VLAN function and an SNMP function, and the hub 40 can be replaced with this.
業務ネットワーク６０は、イントラネット等の業務ネットワークであり、業務サーバ及びインターネットへの接続に利用される。また、業務ネットワーク６０は、企業の上流ネットワークへのアクセス経路を含んでいても良い。 The business network 60 is a business network such as an intranet, and is used for connection to a business server and the Internet. Further, the business network 60 may include an access path to a company upstream network.
また、図１において、端末５１〜５３は、それぞれ、ネットワーク７０の利用者が利用するコンピュータである。端末５１〜５３は、ネットワーク７０に接続する際、又は接続後の起動時に、同一のネットワークセグメント上でのＩＰアドレスの重複を確認するため、ＡＲＰパケット（Gratuitous ARP）をブロードキャストで発信する。 In FIG. 1, terminals 51 to 53 are computers used by users of the network 70, respectively. The terminals 51 to 53 broadcast ARP packets (Gratuitous ARP) in order to confirm duplication of IP addresses on the same network segment when connecting to the network 70 or at the time of activation after connection.
なお、本実施の形態において、ネットワーク７０は、図１の例に限定されるものではない。図１の例では、３つの端末のみが例示されているが、端末の数は限定されるものではない。また、図１の例では、１つのレイヤー２スイッチ３０のみが例示されているが、レイヤー２スイッチ３０の数も限定されるものではない。 In the present embodiment, the network 70 is not limited to the example of FIG. In the example of FIG. 1, only three terminals are illustrated, but the number of terminals is not limited. In the example of FIG. 1, only one layer 2 switch 30 is illustrated, but the number of layer 2 switches 30 is not limited.
続いて、本実施の形態における端末検知装置及びサーバ装置の構成について図２を用いて説明する。図２は、本発明の実施の形態における端末検知装置及びサーバ装置の構成を示すブロック図である。 Then, the structure of the terminal detection apparatus and server apparatus in this Embodiment is demonstrated using FIG. FIG. 2 is a block diagram showing the configuration of the terminal detection device and the server device in the embodiment of the present invention.
図２に示すように、端末検知装置１０は、上述したようにサーバ装置２０の一部を構成し、ＡＲＰ（Address Resolution Protocol）検出部１１と、接続状態判定部１２とを備えている。このうち、ＡＲＰ検出部１１は、ＶＬＡＮ機能を有するレイヤー２スイッチ３０を備えたネットワーク７０において発信された、ＡＲＰパケットを検出する。つまり、いずれかの端末がネットワーク７０上でＡＲＰパケットを発信すると、ＡＲＰ検出部１１は、これを検出する。 As shown in FIG. 2, the terminal detection device 10 constitutes a part of the server device 20 as described above, and includes an ARP (Address Resolution Protocol) detection unit 11 and a connection state determination unit 12. Among these, the ARP detection unit 11 detects the ARP packet transmitted in the network 70 including the layer 2 switch 30 having the VLAN function. That is, when any terminal transmits an ARP packet on the network 70, the ARP detection unit 11 detects this.
接続状態判定部１２は、ＡＲＰパケットが検出されると、検出したＡＲＰパケットに基づいて、レイヤー２スイッチ３０を対象として、ＡＲＰパケットの発信元のＭＡＣアドレスを含む複数のＭＡＣアドレスが登録されているポートの検出を実行する。そして、複数のＭＡＣアドレスが登録されているポートが検出されたとすると、このことは、検出されたポートには、ＡＲＰパケットの送信元の端末を入れて複数の端末が、ＶＬＡＮ機能を有していない集線装置を介して接続されていることを意味している。 When the ARP packet is detected, the connection state determination unit 12 registers a plurality of MAC addresses including the MAC address of the ARP packet source for the layer 2 switch 30 based on the detected ARP packet. Perform port discovery. If a port where a plurality of MAC addresses are registered is detected, this means that the detected port has a terminal that is the source of the ARP packet, and the plurality of terminals have a VLAN function. It means that there is no connection through the concentrator.
従って、接続状態判定部１２は、複数のＭＡＣアドレスが登録されているポートを検出した場合は、検出されたポートに、ＶＬＡＮ機能を有していない集線装置（図１の例ではハブ４０）を介して、新たに端末が接続されたと判定する。このように、端末検知装置１０は、レイヤー２スイッチのポートに、ＶＬＡＮ機能を有していない集線装置を介して、複数の端末が接続された場合に、１台目に加えて２台目以降の端末の接続も検知することができる。 Therefore, when the connection state determination unit 12 detects a port in which a plurality of MAC addresses are registered, a concentrator (a hub 40 in the example of FIG. 1) that does not have a VLAN function is detected at the detected port. It is determined that a terminal is newly connected through the network. As described above, when a plurality of terminals are connected to the port of the layer 2 switch via a line concentrator that does not have a VLAN function, the terminal detection device 10 adds the first device and the second and subsequent devices. It is also possible to detect the connection of other terminals.
ここで、端末検知装置１０及びサーバ装置２０の構成について更に具体的に説明する。本実施の形態では、図２に示すように、端末検知装置１０において、接続状態判定部１２は、ＩＰ／ＭＡＣアドレス抽出部１３と、接続検出部１４とを備えている。 Here, the configurations of the terminal detection device 10 and the server device 20 will be described more specifically. In the present embodiment, as shown in FIG. 2, in the terminal detection device 10, the connection state determination unit 12 includes an IP / MAC address extraction unit 13 and a connection detection unit 14.
ＩＰ／ＭＡＣアドレス抽出部１３は、検出されたＡＲＰパケットから、ＡＲＰパケットの発信元のＩＰアドレス及びＭＡＣアドレスを抽出し、抽出したＩＰアドレス及びＭＡＣアドレスを接続検出部１４に通知する。 The IP / MAC address extraction unit 13 extracts the IP address and MAC address of the ARP packet source from the detected ARP packet, and notifies the connection detection unit 14 of the extracted IP address and MAC address.
接続検出部１４は、先ず、通知されたＩＰアドレスから、発信元の端末が接続されたレイヤー２スイッチ３０を特定し、そのＭＡＣアドレステーブルを取得する。そして、接続検出部１４は、通知されたＭＡＣアドレスをレイヤー２スイッチのＭＡＣアドレステーブルに照合することによって、ＡＲＰパケットの発信元のＭＡＣアドレスを含む複数のＭＡＣアドレスが登録されているポートの検出を実行する。ポートが検出された場合は、接続検出部１４は、ハブ４０を介して、新たに端末が接続されたと判定する。 First, the connection detection unit 14 identifies the layer 2 switch 30 to which the source terminal is connected from the notified IP address, and acquires its MAC address table. Then, the connection detection unit 14 compares the notified MAC address with the MAC address table of the layer 2 switch to detect a port in which a plurality of MAC addresses including the MAC address of the ARP packet source are registered. Run. If a port is detected, the connection detection unit 14 determines that a new terminal has been connected via the hub 40.
また、図２に示すように、サーバ装置２０は、端末検知装置１０の他に、ＶＬＡＮ設定部２１と、接続通知受取部２２と、端末判定部２３とを備えている。このうち、ＶＬＡＮ設定部２１は、外部からのシステム管理者の指示に応じて、又は端末判定部２３の指示に応じて、レイヤー２スイッチ３０の各ポート（アクセスポート）が接続されるＶＬＡＮを設定する。 As shown in FIG. 2, the server device 20 includes a VLAN setting unit 21, a connection notification receiving unit 22, and a terminal determination unit 23 in addition to the terminal detection device 10. Among these, the VLAN setting unit 21 sets a VLAN to which each port (access port) of the layer 2 switch 30 is connected according to an instruction from the system administrator from the outside or according to an instruction from the terminal determination unit 23. To do.
本実施の形態では、レイヤー２スイッチ３０は、検疫のための隔離用ＶＬＡＮと、業務ネットワーク６０への接続を可能にする業務用ＶＬＡＮとを設定可能となっている。ＶＬＡＮ設定部２１は、外部からのシステム管理者の指示に応じて、又は端末判定部２３の指示に応じて、各ポート（アクセスポート）のＶＬＡＮ番号（VLAN ID）を、隔離用ＶＬＡＮのＶＬＡＮ番号又は業務用ＶＬＡＮのＶＬＡＮ番号に設定する。 In the present embodiment, the layer 2 switch 30 can set an isolation VLAN for quarantine and a business VLAN that enables connection to the business network 60. The VLAN setting unit 21 determines the VLAN number (VLAN ID) of each port (access port) according to an instruction from the system administrator from the outside or according to an instruction from the terminal determination unit 23, and the VLAN number of the isolation VLAN. Alternatively, it is set to the VLAN number of the business VLAN.
接続通知受取部２１は、レイヤー２スイッチ３０のポート（アクセスポート）に直接端末が接続された場合に、レイヤー２スイッチ３０から、端末の接続を知らせる通知を受け取る。本実施の形態では、接続通知受取部２１は、レイヤー２スイッチ３０のポート３３に、端末５３が接続されると、レイヤー２スイッチ３０から、そのことを知らせる通知を受け取る。また、接続通知受取部２１は、受け取った通知を端末判定部２３に入力する。 Connection notification receiving unit 21, when the terminal is connected directly to a port of the layer 2 switch 30 (access port), the Layer 2 switch 3 0 receives notification that the connection to the terminal. In this embodiment, connection notification receiving unit 21, the port 33 of the layer 2 switch 30, the terminal 53 is connected, the layer 2 switch 3 0 receives notification that his. The connection notification receiving unit 21 inputs the received notification to the terminal determination unit 23.
端末判定部２３は、レイヤー２スイッチ３０のポートに直接又は間接的に接続された端末と通信し、この端末のセキュリティ状態を判定する。そして、判定の結果、例えば、ポートに直接接続されている端末が安全な場合は、端末判定部２３は、ＶＬＡＮ設定部２１に指示を行い、この端末が接続されているポートのＶＬＡＮを業務用ＶＬＡＮに設定させる。また、判定の結果、例えば、ポートに直接接続されている端末が安全でない場合は、端末判定部２３は、ＶＬＡＮ設定部２１に指示を行い、端末が接続されているポートのＶＬＡＮを隔離用ＶＬＡＮに設定させる。更に、この場合は、端末判定部２３は、検疫ネットワークを構成する検疫サーバ（図１及び図２において図示せず）に、上記の端末を対象として検疫処理を行わせる。 The terminal determination unit 23 communicates with a terminal directly or indirectly connected to the port of the layer 2 switch 30, and determines the security state of this terminal. As a result of the determination, for example, when the terminal directly connected to the port is safe, the terminal determination unit 23 instructs the VLAN setting unit 21 to use the VLAN of the port to which the terminal is connected for business use. Set to VLAN. As a result of the determination, for example, if the terminal directly connected to the port is not secure, the terminal determination unit 23 instructs the VLAN setting unit 21 to isolate the VLAN of the port to which the terminal is connected as an isolation VLAN. To set. Further, in this case, the terminal determination unit 23 causes a quarantine server (not shown in FIGS. 1 and 2) that configures the quarantine network to perform the quarantine process on the above-described terminal.
次に、本発明の実施の形態におけるサーバ装置２０、更には端末検知装置１０の動作について図３〜図５を用いて説明する。なお、以下の説明においては、適宜図１及び図２を参酌する。また、本実施の形態１では、端末検知装置１０を動作させることによって、端末検知方法が実施されるので、本実施の形態における端末検知方法の説明は、以下の端末検知装置１０の動作説明に代える。 Next, operations of the server device 20 and the terminal detection device 10 according to the embodiment of the present invention will be described with reference to FIGS. In the following description, FIGS. 1 and 2 are referred to as appropriate. Moreover, in this Embodiment 1, since a terminal detection method is implemented by operating the terminal detection apparatus 10, description of the terminal detection method in this Embodiment is operation | movement description of the terminal detection apparatus 10 below. Replace.
最初に、図３を用いて、サーバ装置２０の第１の動作について説明する。図３は、本発明の実施の形態におけるサーバ装置の第１の動作を示すシーケンス図である。第１の動作は、サーバ装置２０が通常行う動作であり、この場合において端末検知装置１０は動作を停止した状態にある。 Initially, the 1st operation | movement of the server apparatus 20 is demonstrated using FIG. FIG. 3 is a sequence diagram showing a first operation of the server device according to the embodiment of the present invention. The first operation is an operation that the server device 20 normally performs. In this case, the terminal detection device 10 is in a stopped state.
図３に示すように、先ず、システム管理者からの指示により、サーバ装置２０のＶＬＡＮ設定部２１は、レイヤー２スイッチ３０のポート（アクセスポート）３２及びポート（アクセスポート）３３それぞれのＶＬＡＮ番号（VLAN ID）を隔離用ＶＬＡＮのＶＬＡＮ番号に設定する（ステップＣ１）。 As shown in FIG. 3, first, according to an instruction from the system administrator, the VLAN setting unit 21 of the server device 20 performs the VLAN numbers (port (access port) 32 and port (access port) 33 of the layer 2 switch 30. VLAN ID) is set to the VLAN number of the isolation VLAN (step C1).
本例では、ポート３２のＶＬＡＮ番号（VLAN ID）は、隔離用ＶＬＡＮのＶＬＡＮ番号である「１０」に設定され、ポート３３のＶＬＡＮ番号（VLAN ID）は、隔離用ＶＬＡＮのＶＬＡＮ番号である「２０」に設定される。ステップＣ１の実行により、各アクセスポートに端末が接続された場合、各端末は、隔離用ＶＬＡＮに接続されることとなる。 In this example, the VLAN number (VLAN ID) of the port 32 is set to “10” which is the VLAN number of the isolation VLAN, and the VLAN number (VLAN ID) of the port 33 is “VLAN number of the isolation VLAN”. 20 ". When a terminal is connected to each access port by executing Step C1, each terminal is connected to the isolation VLAN.
次に、端末５３が、レイヤー２スイッチ３０のポート（アクセスポート）３３に接続される（ステップＣ２）と、レイヤー２スイッチ３０は、ネットワーク管理プロトコル（ＳＮＭＰ）を利用して、そのことを、サーバ装置２０の接続通知受取部２２に通知する（ステップＣ３）。 Next, when the terminal 53 is connected to the port (access port) 33 of the layer 2 switch 30 (step C2), the layer 2 switch 30 uses the network management protocol (SNMP) to send it to the server. The connection notification receiving unit 22 of the device 20 is notified (step C3).
接続通知受取部２２は、ポート（アクセスポート）３３に接続された端末５３がセキュリティポリシ等を満たしているかを判定するため、ポート３３に割り当てられているＶＬＡＮの番号（この場合は「２０」）を端末判定部２３に通知する（ステップＣ４）。 The connection notification receiving unit 22 determines whether the terminal 53 connected to the port (access port) 33 satisfies the security policy or the like, and the VLAN number assigned to the port 33 (in this case, “20”). Is notified to the terminal determination unit 23 (step C4).
サーバ装置２０は、レイヤー２スイッチ３０に設定された全てのＶＬＡＮと通信できるので、端末判定部２３は、ＶＬＡＮ番号が「２０」のネットワークに接続されている端末５３と通信し、端末５３にセキュリティポリシの検査を実行させる（ステップＣ５）。その後、端末５３は、端末判定部２３に、セキュリティポリシの検査結果を送信する（ステップＣ６）。 Since the server device 20 can communicate with all the VLANs set in the layer 2 switch 30, the terminal determination unit 23 communicates with the terminal 53 connected to the network whose VLAN number is “20”, and the terminal 53 has security. Policy inspection is executed (step C5). Thereafter, the terminal 53 transmits the inspection result of the security policy to the terminal determination unit 23 (step C6).
ステップＣ６で得られた検査結果から、端末５３が安全であると判断できる場合は、端末判定部２３は、ＶＬＡＮ設定部２１に対して、レイヤー２スイッチ３０のポート（アクセスポート）３３が業務ＶＬＡＮに所属するように、ＶＬＡＮ設定を通知する（ステップＣ７）。 When the terminal 53 can determine that the terminal 53 is safe from the inspection result obtained in step C6, the terminal determination unit 23 determines that the port (access port) 33 of the layer 2 switch 30 is the business VLAN with respect to the VLAN setting unit 21. The VLAN setting is notified so as to belong to (step C7).
ステップＣ７が実行されると、ＶＬＡＮ設定部２１は、レイヤー２スイッチ３０のポート（アクセスポート）３３のＶＬＡＮ番号を、業務ＶＬＡＮ用のＶＬＡＮ番号に設定する（ステップＣ８）。なお、ステップＣ６で得られた検査結果から、端末５３が安全でないと判断できた場合は、端末判定部２３は、検疫サーバ（図１〜図３において図示せず）に検疫処理を実行させる。 When step C7 is executed, the VLAN setting unit 21 sets the VLAN number of the port (access port) 33 of the layer 2 switch 30 to the VLAN number for the business VLAN (step C8). If the terminal 53 can be determined to be unsafe from the inspection result obtained in step C6, the terminal determination unit 23 causes the quarantine server (not shown in FIGS. 1 to 3) to execute the quarantine process.
次に、図４を用いて、サーバ装置２０の第２の動作について説明する。図４は、本発明の実施の形態におけるサーバ装置の第２の動作を示すシーケンス図である。第２の動作は、主に端末検知装置１０によって行われ、ＶＬＡＮ機能を有していないハブ４０に一台の端末が接続された場合の動作である。 Next, the second operation of the server device 20 will be described with reference to FIG. FIG. 4 is a sequence diagram showing a second operation of the server device according to the embodiment of the present invention. The second operation is performed mainly by the terminal detection device 10 and is performed when one terminal is connected to the hub 40 that does not have a VLAN function.
図４に示すように、先ず、ポート（アクセスポート）３２に、ＶＬＡＮ機能を持たないハブ４０が接続される（ステップＣ９）。この時、ステップＣ１で述べたように、ポート（アクセスポート）３２には、隔離用ＶＬＡＮのＶＬＡＮ番号「１０」が割り当てられている。 As shown in FIG. 4, first, a hub 40 having no VLAN function is connected to a port (access port) 32 (step C9). At this time, as described in Step C1, the VLAN number “10” of the isolation VLAN is assigned to the port (access port) 32.
次に、ＶＬＡＮ機能を持たないハブ４０に、端末５１が接続される（ステップＣ１０）。この場合、ＶＬＡＮ機能を持たないハブ４０が、端末５１とレイヤー２スイッチ３０との間に挿入されているため、端末５１の種類によっては、サーバ装置２０の接続通知受取部２２に端末５１の接続が通知されないことがある。 Next, the terminal 51 is connected to the hub 40 having no VLAN function (step C10). In this case, since the hub 40 having no VLAN function is inserted between the terminal 51 and the layer 2 switch 30, depending on the type of the terminal 51, the connection of the terminal 51 to the connection notification receiving unit 22 of the server device 20 is possible. May not be notified.
次に、端末５１は、ネットワークに接続されると、ＡＲＰパケット（Gratuitous ARP）をブロードキャストする（ステップＣ１１）。ステップＣ１１が実行されると、端末検知装置１０のＡＲＰ検出部１１は、そのＡＲＰパケット（Gratuitous ARP）を検出する（ステップＣ１１）。そして、ＡＲＰ検出部１１は、検出したＡＲＰパケット（Gratuitous ARP）を、ＩＰ／ＭＡＣアドレス抽出部１３に渡す。 Next, when the terminal 51 is connected to the network, it broadcasts an ARP packet (Gratuitous ARP) (step C11). When step C11 is executed, the ARP detector 11 of the terminal detection apparatus 10 detects the ARP packet (Gratuitous ARP) (step C11). Then, the ARP detection unit 11 passes the detected ARP packet (Gratuitous ARP) to the IP / MAC address extraction unit 13.
次に、ＩＰ／ＭＡＣアドレス抽出部１３は、ＡＲＰ検出部１１から受け取ったＡＲＰパケット（Gratuitous ARP）から、端末５１のＩＰアドレスとＭＡＣアドレスとを抽出する（ステップＣ１２）。そして、ＩＰ／ＭＡＣアドレス抽出部１３は、抽出したＩＰアドレスとＭＡＣアドレスとを接続検出部１４に通知する（ステップＣ１３）。 Next, the IP / MAC address extraction unit 13 extracts the IP address and the MAC address of the terminal 51 from the ARP packet (Gratuitous ARP) received from the ARP detection unit 11 (step C12). Then, the IP / MAC address extraction unit 13 notifies the connection detection unit 14 of the extracted IP address and MAC address (step C13).
次に、接続検出部１４は、通知されたＩＰアドレスから、発信元の端末が接続されたレイヤー２スイッチ３０を特定し、特定したレイヤー２スイッチ３０に、ＭＡＣアドレステ-ブルの取得を依頼する（ステップＣ１４）。そして、接続検出部１４は、依頼を受けたレイヤー２スイッチ３０から、各アクセスポートのＭＡＣアドレスを示すＭＡＣアドレステーブルを取得する（ステップＣ１５）。 Next, the connection detection unit 14 identifies the layer 2 switch 30 to which the source terminal is connected from the notified IP address, and requests the identified layer 2 switch 30 to acquire the MAC address table. (Step C14). Then, the connection detection unit 14 acquires a MAC address table indicating the MAC address of each access port from the requested layer 2 switch 30 (step C15).
更に、接続検出部１４は、ステップＣ１２で抽出されたＭＡＣアドレスが登録されているポートの検出を行い、検出結果を端末判定部２３に通知する。図４の例では、ハブ４０に端末５１のみが接続されているため、接続検出部１４は、ステップＣ１２で抽出されたＭＡＣアドレスのみが登録されている１つのポート（アクセスポート）を検出することとなる。 Further, the connection detection unit 14 detects the port in which the MAC address extracted in step C12 is registered, and notifies the terminal determination unit 23 of the detection result. In the example of FIG. 4, since only the terminal 51 is connected to the hub 40, the connection detection unit 14 detects one port (access port) in which only the MAC address extracted in step C12 is registered. It becomes.
レイヤー２スイッチ３０のポート３２に一つのＭＡＣアドレスのみが登録されている場合は、端末判定部２３は、このＭＡＣアドレスを持つ端末５１と通信を行う。そして、端末判定部２３は、端末５１にセキュリティポリシの検査を実行させる（ステップＣ１７）。その後、端末５１は、端末判定部２３に、セキュリティポリシの検査結果を送信する（ステップＣ１８）。 When only one MAC address is registered in the port 32 of the layer 2 switch 30, the terminal determination unit 23 communicates with the terminal 51 having this MAC address. And the terminal determination part 23 makes the terminal 51 perform a test | inspection of a security policy (step C17). Thereafter, the terminal 51 transmits the inspection result of the security policy to the terminal determination unit 23 (step C18).
ステップＣ１８で得られた検査結果から、端末５１が安全であると判断できる場合は、端末判定部２３は、ＶＬＡＮ設定部２１に対して、レイヤー２スイッチ３０のポート（アクセスポート）３２が業務ＶＬＡＮに所属するように、ＶＬＡＮ設定を通知する（ステップＣ１９）。 If the terminal 51 can determine that the terminal 51 is safe from the inspection result obtained in step C18, the terminal determination unit 23 sets the port (access port) 32 of the layer 2 switch 30 to the business VLAN with respect to the VLAN setting unit 21. The VLAN setting is notified so as to belong to (step C19).
ステップＣ１９が実行されると、ＶＬＡＮ設定部２１は、レイヤー２スイッチ３０のポート（アクセスポート）３２のＶＬＡＮ番号を、業務ＶＬＡＮ用のＶＬＡＮ番号に設定する（ステップＣ２０）。なお、ステップＣ１８で得られた検査結果から、端末５１が安全でないと判断できた場合は、端末判定部２３は、検疫サーバ（図１〜図３において図示せず）に検疫処理を実行させる。 When step C19 is executed, the VLAN setting unit 21 sets the VLAN number of the port (access port) 32 of the layer 2 switch 30 to the VLAN number for the business VLAN (step C20). In addition, when it can be judged from the inspection result obtained in step C18 that the terminal 51 is not safe, the terminal determination unit 23 causes the quarantine server (not shown in FIGS. 1 to 3) to execute the quarantine process.
続いて、図５を用いて、サーバ装置２０の第３の動作について説明する。図５は、本発明の実施の形態におけるサーバ装置の第３の動作を示すシーケンス図である。第３の動作も、第２の動作と同様に、主に端末検知装置１０によって行われる動作である。但し、第３の動作は、第２の動作と異なり、ＶＬＡＮ機能を有していないハブ４０に新たに端末が接続され、それに接続されている端末が複数台となった場合の動作である。 Subsequently, a third operation of the server device 20 will be described with reference to FIG. FIG. 5 is a sequence diagram showing a third operation of the server device according to the embodiment of the present invention. The third operation is also an operation mainly performed by the terminal detection device 10 as in the second operation. However, unlike the second operation, the third operation is an operation when a terminal is newly connected to the hub 40 that does not have the VLAN function and a plurality of terminals are connected to the hub.
図５に示すように、先ず、ＶＬＡＮ機能を持たないハブ４０に、端末５１に加えて、端末５２が接続される（ステップＣ２１）。このとき、図４におけるステップＣ１９及びＣ２０に示したように、ＶＬＡＮ機能を持たないハブ４０に、既に、セキュリティポリシを満たす端末５１が接続されているため、ポート（アクセスポート）３２は業務用ＶＬＡＮに割り当てられている。 As shown in FIG. 5, first, in addition to the terminal 51, the terminal 52 is connected to the hub 40 having no VLAN function (step C21). At this time, as shown in steps C19 and C20 in FIG. 4, since the terminal 51 satisfying the security policy is already connected to the hub 40 having no VLAN function, the port (access port) 32 is set to the business VLAN. Assigned to.
次に、端末５２は、業務用ＶＬＡＮに直接接続されているため、ＡＲＰパケット（Gratuitous ARP）をブロードキャストする（ステップＣ２２）。このとき、端末５２は、未だセキュリティポリシの検査を受けていない状態であるため、ネットワーク７０のセキュリティレベルが確保されていないとも考えられるが、以下の各ステップにより、セキュリティレベルは確保される。 Next, since the terminal 52 is directly connected to the business VLAN, the terminal 52 broadcasts an ARP packet (Gratuitous ARP) (step C22). At this time, since the terminal 52 is not yet inspected for the security policy, it can be considered that the security level of the network 70 is not secured, but the security level is secured by the following steps.
ステップＣ２２が実行されると、端末検知装置１０のＡＲＰ検出部１１は、そのＡＲＰパケット（Gratuitous ARP）を検出する。そして、ＡＲＰ検出部１１は、検出したＡＲＰパケット（Gratuitous ARP）を、ＩＰ／ＭＡＣアドレス抽出部１３に渡す。 When step C22 is executed, the ARP detector 11 of the terminal detection apparatus 10 detects the ARP packet (Gratuitous ARP). Then, the ARP detection unit 11 passes the detected ARP packet (Gratuitous ARP) to the IP / MAC address extraction unit 13.
次に、ＩＰ／ＭＡＣアドレス抽出部１３は、ＡＲＰ検出部１１から受け取ったＡＲＰパケット（Gratuitous ARP）から、端末５２のＩＰアドレスとＭＡＣアドレスとを抽出する（ステップＣ２３）。そして、ＩＰ／ＭＡＣアドレス抽出部１３は、抽出したＩＰアドレスとＭＡＣアドレスとを接続検出部１４に通知する
（ステップＣ２４）。
Next, the IP / MAC address extraction unit 13 extracts the IP address and the MAC address of the terminal 52 from the ARP packet (Gratuitous ARP) received from the ARP detection unit 11 (step C23). Then, the IP / MAC address extraction unit 13 notifies the connection detection unit 14 of the extracted IP address and MAC address (step C24).
次に、接続検出部１４は、通知されたＩＰアドレスから、発信元の端末５２が接続されたレイヤー２スイッチ３０を特定し、特定したレイヤー２スイッチ３０に、ＭＡＣアドレステーブルの取得を依頼する（ステップＣ２５）。そして、接続検出部１４は、依頼を受けたレイヤー２スイッチ３０から、各アクセスポートのＭＡＣアドレスを示すＭＡＣアドレステーブルを取得する（ステップＣ２６）。 Next, the connection detection unit 14 identifies the layer 2 switch 30 to which the source terminal 52 is connected from the notified IP address, and requests the identified layer 2 switch 30 to acquire the MAC address table ( Step C25). Then, the connection detection unit 14 acquires a MAC address table indicating the MAC address of each access port from the requested layer 2 switch 30 (step C26).
更に、接続検出部１４は、ステップＣ１２で抽出されたＭＡＣアドレスが登録されているポートの検出を行い、検出結果を端末判定部２３に通知する（ステップＣ２７）。図５の例では、ハブ４０に端末５１に加えて、端末５２も接続されているため、接続検出部１４は、ステップＣ２３で抽出されたＭＡＣアドレスを含む複数のＭＡＣアドレスが登録されている１つのポート（アクセスポート）を検出することとなる。この場合、接続検出部１４は、ハブ４０を介して、新たに端末が接続されたと判定する。 Furthermore, the connection detection unit 14 detects the port in which the MAC address extracted in step C12 is registered, and notifies the terminal determination unit 23 of the detection result (step C27). In the example of FIG. 5, since the terminal 52 is connected to the hub 40 in addition to the terminal 51, the connection detection unit 14 registers a plurality of MAC addresses including the MAC address extracted in step C23. One port (access port) will be detected. In this case, the connection detection unit 14 determines that a new terminal is connected via the hub 40.
次に、端末判定部２３は、新たに接続された端末５２と通信を行う。そして、端末判定部２３は、端末５２にセキュリティポリシの検査を実行させる（ステップＣ２８）。その後、端末５２は、端末判定部２３に、セキュリティポリシの検査結果を送信する（ステップＣ２９）。 Next, the terminal determination unit 23 communicates with the newly connected terminal 52. Then, the terminal determination unit 23 causes the terminal 52 to execute a security policy check (step C28). Thereafter, the terminal 52 transmits the inspection result of the security policy to the terminal determination unit 23 (step C29).
ステップＣ２９で得られた検査結果から、端末５２が安全であると判断できる場合は、端末判定部２３は、ＶＬＡＮ設定部２１に対して、ポート３２においては、図４に示したステップＣ１９で通知したＶＬＡＮ設定が維持されるように、ＶＬＡＮ設定を通知する（ステップＣ３０）。ＶＬＡＮ設定部２１は、通知に従って、レイヤー２スイッチ３０のポート（アクセスポート）３２のＶＬＡＮを設定する（ステップＣ３１）。 If the terminal 52 can determine that the terminal 52 is safe from the inspection result obtained in step C29, the terminal determination unit 23 notifies the VLAN setting unit 21 in step C19 shown in FIG. The VLAN setting is notified so that the set VLAN setting is maintained (step C30). The VLAN setting unit 21 sets the VLAN of the port (access port) 32 of the layer 2 switch 30 in accordance with the notification (step C31).
一方、ステップＣ２９で得られた検査結果から、端末５２が安全でないと判断できる場合は、端末判定部２３は、端末５２のみを隔離する必要がある。例えば、端末判定部２３は、端末５１に対しては、イーサーネットフレームに、端末５１が送信元であることを示すタグを付けるように指示を行う。そして、端末判定部２３は、ポート３２をトランクポートに設定し、更に、ＶＬＡＮ設定部２１に指示を行って、ポート３２を隔離用ＶＬＡＮと業務用ＶＬＡＮとの両方に接続させる。また、端末判定部２３は、レイヤー２スイッチ３０に対しては、ポート３２を通るイーサーネットフレームのうち、タグ付きのイーサーネットフレームのみが業務用ＶＬＡＮを介して送信されるように指示を行う。 On the other hand, if it can be determined from the inspection result obtained in step C29 that the terminal 52 is not safe, the terminal determination unit 23 needs to isolate only the terminal 52. For example, the terminal determination unit 23 instructs the terminal 51 to attach a tag indicating that the terminal 51 is the transmission source to the Ethernet frame. Then, the terminal determination unit 23 sets the port 32 as a trunk port, and further instructs the VLAN setting unit 21 to connect the port 32 to both the isolation VLAN and the business VLAN. Further, the terminal determination unit 23 instructs the layer 2 switch 30 so that only the tagged Ethernet frame among the Ethernet frames passing through the port 32 is transmitted via the business VLAN.
以上のように、本実施の形態によれば、ＶＬＡＮ機能を持たないハブ４０の配下に２台以上の端末が接続された場合において、これらの端末の接続を検知することができる。このため、ＶＬＡＮ機能を有していない集線装置がネットワークに組み込まれていたとしても、検疫システムを確実に動作させることができる。つまり、企業等は、ＶＬＡＮ機能を有していないハブを多数所有していたとしても、これらを高価なレイヤー２スイッチに置き換えることなく、セキュリティポリシによる端末の隔離及び復旧といった検疫処理を実現できる。 As described above, according to the present embodiment, when two or more terminals are connected under the hub 40 having no VLAN function, the connection of these terminals can be detected. For this reason, even if a line concentrator that does not have a VLAN function is incorporated in the network, the quarantine system can be operated reliably. That is, even if a company or the like owns a large number of hubs that do not have a VLAN function, quarantine processing such as terminal isolation and recovery based on a security policy can be realized without replacing these with expensive layer 2 switches.
また、本実施の形態におけるプログラムは、コンピュータに、図４に示すステップＣ１２〜Ｃ１６、及び図５に示すステップＣ２３〜Ｃ２７を実行させるプログラムであれば良い。このプログラムをコンピュータにインストールし、実行することによって、端末検知装置１０と端末検知方法とを実現することができる。この場合、コンピュータのＣＰＵ（Central Processing Unit）は、ＡＲＰ検出部１１及び接続状態判定部１２として機能し、処理を行なう。また、本実施の形態では、コンピュータは、サーバ装置２０を実現しているコンピュータであっても良い。 Moreover, the program in this Embodiment should just be a program which makes a computer perform step C12-C16 shown in FIG. 4, and step C23-C27 shown in FIG. By installing and executing this program on a computer, the terminal detection device 10 and the terminal detection method can be realized. In this case, a CPU (Central Processing Unit) of the computer functions as the ARP detection unit 11 and the connection state determination unit 12 to perform processing. In the present embodiment, the computer may be a computer that implements the server device 20.
ここで、実施の形態におけるプログラムを実行でき、且つ、端末検知装置１０、更にはサーバ装置２０を実現できるコンピュータについて図６を用いて説明する。図６は、本発明の実施の形態における端末検知装置及びサーバ装置を実現するコンピュータの一例を示すブロック図である。 Here, a computer capable of executing the program in the embodiment and realizing the terminal detection apparatus 10 and further the server apparatus 20 will be described with reference to FIG. FIG. 6 is a block diagram illustrating an example of a computer that implements the terminal detection device and the server device according to the embodiment of the present invention.
図６に示すように、コンピュータ１１０は、ＣＰＵ１１１と、メインメモリ１１２と、記憶装置１１３と、入力インターフェイス１１４と、表示コントローラ１１５と、データリーダ／ライタ１１６と、通信インターフェイス１１７とを備える。これらの各部は、バス１２１を介して、互いにデータ通信可能に接続される。 As shown in FIG. 6, the computer 110 includes a CPU 111, a main memory 112, a storage device 113, an input interface 114, a display controller 115, a data reader / writer 116, and a communication interface 117. These units are connected to each other via a bus 121 so that data communication is possible.
ＣＰＵ１１１は、記憶装置１１３に格納された、本実施の形態におけるプログラム（コード）をメインメモリ１１２に展開し、これらを所定順序で実行することにより、各種の演算を実施する。メインメモリ１１２は、典型的には、ＤＲＡＭ（Dynamic Random Access Memory）等の揮発性の記憶装置である。また、本実施の形態におけるプログラムは、コンピュータ読み取り可能な記録媒体１２０に格納された状態で提供される。なお、本実施の形態におけるプログラムは、通信インターフェイス１１７を介して接続されたインターネット上で流通するものであっても良い。 The CPU 111 performs various calculations by developing the program (code) in the present embodiment stored in the storage device 113 in the main memory 112 and executing them in a predetermined order. The main memory 112 is typically a volatile storage device such as a DRAM (Dynamic Random Access Memory). Further, the program in the present embodiment is provided in a state of being stored in a computer-readable recording medium 120. Note that the program in the present embodiment may be distributed on the Internet connected via the communication interface 117.
また、記憶装置１１３の具体例としては、ハードディスクの他、フラッシュメモリ等の半導体記憶装置が挙げられる。入力インターフェイス１１４は、ＣＰＵ１１１と、キーボード及びマウスといった入力機器１１８との間のデータ伝送を仲介する。表示コントローラ１１５は、ディスプレイ装置１１９と接続され、ディスプレイ装置１１９での表示を制御する。データリーダ／ライタ１１６は、ＣＰＵ１１１と記録媒体１２０との間のデータ伝送を仲介し、記録媒体１２０からのプログラムの読み出し、及びコンピュータ１１０における処理結果の記録媒体１２０への書き込みを実行する。通信インターフェイス１１７は、ＣＰＵ１１１と、他のコンピュータとの間のデータ伝送を仲介する。 Specific examples of the storage device 113 include a hard disk and a semiconductor storage device such as a flash memory. The input interface 114 mediates data transmission between the CPU 111 and an input device 118 such as a keyboard and a mouse. The display controller 115 is connected to the display device 119 and controls display on the display device 119. The data reader / writer 116 mediates data transmission between the CPU 111 and the recording medium 120, and reads a program from the recording medium 120 and writes a processing result in the computer 110 to the recording medium 120. The communication interface 117 mediates data transmission between the CPU 111 and another computer.
また、記録媒体１２０の具体例としては、ＣＦ（Compact Flash）及びＳＤ（Secure Digital）等の汎用的な半導体記憶デバイス、フレキシブルディスク（Flexible Disk）等の磁気記憶媒体、又はＣＤ−ＲＯＭ（Compact Disk Read Only Memory）などの光学記憶媒体が挙げられる。 Specific examples of the recording medium 120 include general-purpose semiconductor storage devices such as CF (Compact Flash) and SD (Secure Digital), magnetic storage media such as a flexible disk, or CD-ROM (Compact Disk). Optical storage media such as Read Only Memory).
以上のように、本発明によれば、レイヤー２スイッチのポートに、ＶＬＡＮ機能を有していない集線装置を介して、複数の端末が接続された場合に、１台目に加えて２台目以降の端末の接続も検知できる。本発明は、ＶＬＡＮ機能を有していない集線装置と、ＶＬＡＮ機能を有しているレイヤー２スイッチとが混在している、ネットワークに、特に有用である。 As described above, according to the present invention, when a plurality of terminals are connected to a port of a layer 2 switch via a concentrator that does not have a VLAN function, the second unit is added to the first unit. Subsequent terminal connections can also be detected. The present invention is particularly useful for a network in which a line concentrator that does not have a VLAN function and a layer 2 switch that has a VLAN function are mixed.
１０ 端末検知装置
１１ ＡＲＰ検出部
１２ 接続状態判定部
１３ ＩＰ／ＭＡＣアドレス抽出部
１４ 接続検出部
２０ サーバ装置
２１ ＶＬＡＮ設定部
２２ 接続通知受取部
２３ 端末判定部
３０ レイヤー２スイッチ
３１、３２、３３、３４ ポート
４０ ハブ
５１、５２、５３ 端末
６０ 業務ネットワーク
１１０ コンピュータ
１１１ ＣＰＵ
１１２ メインメモリ
１１３ 記憶装置
１１４ 入力インターフェイス
１１５ 表示コントローラ
１１６ データリーダ／ライタ
１１７ 通信インターフェイス
１１８ 入力機器
１１９ ディスプレイ装置
１２０ 記録媒体
１２１ バス
DESCRIPTION OF SYMBOLS 10 Terminal detection apparatus 11 ARP detection part 12 Connection state determination part 13 IP / MAC address extraction part 14 Connection detection part 20 Server apparatus 21 VLAN setting part 22 Connection notification receiving part 23 Terminal determination part 30 Layer 2 switch 31, 32, 33, 34 port 40 hub 51, 52, 53 terminal 60 business network 110 computer 111 CPU
112 Main Memory 113 Storage Device 114 Input Interface 115 Display Controller 116 Data Reader / Writer 117 Communication Interface 118 Input Device 119 Display Device 120 Recording Medium 121 Bus
Claims (8)
前記ＡＲＰパケットが検出されると、それに基づいて、前記レイヤー２スイッチを対象として、前記ＡＲＰパケットの発信元のＭＡＣアドレスを含む複数のＭＡＣアドレスが登録されているポートの検出を実行し、検出できた場合は、検出された前記ポートに、ＶＬＡＮ機能を有していない集線装置を介して、新たに端末が接続されたと判定する、接続状態判定部と、
前記接続状態判定部によって、前記集線装置を介して前記新たに端末が接続されたと判定された場合に、新たに接続された前記端末に対して、セキュリティポリシの検査を実行させる、端末判定部と、
を備え、
前記端末判定部は、前記セキュリティポリシの検査の結果、隔離の必要がある場合に、前記集線装置に先に接続されている端末に対して、イーサーネットフレームにタグを付けるよう指示を行い、
前記集線装置が接続されているポートに、隔離用のＶＬＡＮと業務用のＶＬＡＮとを接続し、
そして、前記レイヤー２スイッチに対して、前記集線装置が接続されているポートをトランクポートに設定し、前記タグ付きのイーサーネットフレームのみが前記業務用ＶＬＡＮを介して送信されるように指示を行う、ことを特徴とする端末検知装置。 An ARP detection unit for detecting an ARP packet transmitted in a network having a layer 2 switch having a VLAN function;
When the ARP packet is detected, detection of a port in which a plurality of MAC addresses including the MAC address of the source of the ARP packet are registered can be performed and detected for the layer 2 switch. A connection state determination unit that determines that a terminal is newly connected to the detected port via a concentrator that does not have a VLAN function;
A terminal determination unit that causes the newly connected terminal to execute a security policy check when it is determined by the connection state determination unit that the terminal is newly connected via the line concentrator; ,
Equipped with a,
The terminal determination unit, as a result of the inspection of the security policy, instructs the terminal connected to the concentrator first to tag the Ethernet frame when isolation is necessary,
Connect the isolation VLAN and the business VLAN to the port to which the line concentrator is connected,
Then, the port to which the line concentrator is connected is set as a trunk port to the layer 2 switch, and an instruction is given so that only the Ethernet frame with the tag is transmitted through the business VLAN. , terminal detecting device, characterized in that.
前記ネットワークにおいて発信された、ＡＲＰパケットを検出する、ＡＲＰ検出部と、
前記ＡＲＰパケットが検出されると、それに基づいて、前記レイヤー２スイッチを対象として、前記ＡＲＰパケットの発信元のＭＡＣアドレスを含む複数のＭＡＣアドレスが登録されているポートの検出を実行し、検出できた場合に、検出された前記ポートに、ＶＬＡＮ機能を有していない集線装置を介して、新たに端末が接続されたと判定する、接続状態判定部と、
前記接続状態判定部によって、前記集線装置を介して前記新たに端末が接続されたと判定された場合に、新たに接続された前記端末に対して、セキュリティポリシの検査を実行させる、端末判定部と、
を備え、
前記端末判定部は、前記セキュリティポリシの検査の結果、隔離の必要がある場合に、
前記集線装置に先に接続されている端末に対して、イーサーネットフレームにタグを付けるよう指示を行い、
前記集線装置が接続されているポートに、隔離用のＶＬＡＮと業務用のＶＬＡＮとを接続し、
そして、前記レイヤー２スイッチに対して、前記集線装置が接続されているポートをトランクポートに設定し、前記タグ付きのイーサーネットフレームのみが前記業務用ＶＬＡＮを介して送信されるように指示を行う、ことを特徴とするサーバ装置。 A server device for managing a network including a layer 2 switch having a VLAN function,
An ARP detector that detects an ARP packet transmitted in the network;
When the ARP packet is detected, detection of a port in which a plurality of MAC addresses including the MAC address of the source of the ARP packet are registered can be performed and detected for the layer 2 switch. A connection state determination unit that determines that a terminal is newly connected to the detected port via a concentrator that does not have a VLAN function;
A terminal determination unit that causes the newly connected terminal to execute a security policy check when it is determined by the connection state determination unit that the terminal is newly connected via the line concentrator; ,
Equipped with a,
When the terminal determination unit needs to be isolated as a result of the inspection of the security policy,
Instructs the terminal previously connected to the line concentrator to tag the Ethernet frame,
Connect the isolation VLAN and the business VLAN to the port to which the line concentrator is connected,
Then, the port to which the line concentrator is connected is set as a trunk port to the layer 2 switch, and an instruction is given so that only the Ethernet frame with the tag is transmitted through the business VLAN. The server apparatus characterized by the above-mentioned.
（ｂ）前記（ａ）のステップで前記ＡＲＰパケットが検出されると、それに基づいて、前記レイヤー２スイッチを対象として、前記ＡＲＰパケットの発信元のＭＡＣアドレスを含む複数のＭＡＣアドレスが登録されているポートの検出を実行する、ステップと、
（ｃ）前記（ｂ）のステップで前記ポートを検出できた場合に、検出された前記ポートに、ＶＬＡＮ機能を有していない集線装置を介して、新たに端末が接続されたと判定する、ステップと、
（ｄ）前記（ｃ）のステップで、前記集線装置を介して前記新たに端末が接続されたと判定された場合に、新たに接続された前記端末に対して、セキュリティポリシの検査を実行させる、ステップと、
（ｅ）前記（ｄ）のステップにおける前記セキュリティポリシの検査の結果、隔離の必要がある場合に、
前記集線装置に先に接続されている端末に対して、イーサーネットフレームにタグを付けるよう指示を行い、
前記集線装置が接続されているポートに、隔離用のＶＬＡＮと業務用のＶＬＡＮとを接続し、
そして、前記レイヤー２スイッチに対して、前記集線装置が接続されているポートをトランクポートに設定し、前記タグ付きのイーサーネットフレームのみが前記業務用ＶＬＡＮを介して送信されるように指示を行う、ステップと、
を有することを特徴とする端末検知方法。 (A) detecting an ARP packet transmitted in a network including a layer 2 switch having a VLAN function;
(B) When the ARP packet is detected in the step (a), a plurality of MAC addresses including the MAC address of the source of the ARP packet are registered based on the ARP packet. Performing the detection of the ports that are present, and
(C) When the port is detected in the step (b), it is determined that a terminal is newly connected to the detected port via a concentrator that does not have a VLAN function. When,
(D) When it is determined in the step (c) that the terminal is newly connected via the line concentrator, the newly connected terminal is caused to execute a security policy check. Steps,
(E) As a result of the inspection of the security policy in the step (d), when isolation is necessary,
Instructs the terminal previously connected to the line concentrator to tag the Ethernet frame,
Connect the isolation VLAN and the business VLAN to the port to which the line concentrator is connected,
Then, the port to which the line concentrator is connected is set as a trunk port to the layer 2 switch, and an instruction is given so that only the Ethernet frame with the tag is transmitted through the business VLAN. , Step and
The terminal detection method characterized by having.
（ａ）ＶＬＡＮ機能を有するレイヤー２スイッチを備えたネットワークにおいて発信された、ＡＲＰパケットを検出する、ステップと、
（ｂ）前記（ａ）のステップで前記ＡＲＰパケットが検出されると、それに基づいて、前記レイヤー２スイッチを対象として、前記ＡＲＰパケットの発信元のＭＡＣアドレスを含む複数のＭＡＣアドレスが登録されているポートの検出を実行する、ステップと、
（ｃ）前記（ｂ）のステップで前記ポートを検出できた場合に、検出された前記ポートに、ＶＬＡＮ機能を有していない集線装置を介して、新たに端末が接続されたと判定する、ステップと、
（ｄ）前記（ｃ）のステップで、前記集線装置を介して前記新たに端末が接続されたと判定された場合に、新たに接続された前記端末に対して、セキュリティポリシの検査を実行させる、ステップと、
（ｅ）前記（ｄ）のステップにおける前記セキュリティポリシの検査の結果、隔離の必要がある場合に、
前記集線装置に先に接続されている端末に対して、イーサーネットフレームにタグを付けるよう指示を行い、
前記集線装置が接続されているポートに、隔離用のＶＬＡＮと業務用のＶＬＡＮとを接続し、
そして、前記レイヤー２スイッチに対して、前記集線装置が接続されているポートをトランクポートに設定し、前記タグ付きのイーサーネットフレームのみが前記業務用ＶＬＡＮを介して送信されるように指示を行う、ステップと、
を実行させるプログラム。 On the computer,
(A) detecting an ARP packet transmitted in a network including a layer 2 switch having a VLAN function;
(B) When the ARP packet is detected in the step (a), a plurality of MAC addresses including the MAC address of the source of the ARP packet are registered based on the ARP packet. Performing the detection of the ports that are present, and
(C) When the port is detected in the step (b), it is determined that a terminal is newly connected to the detected port via a concentrator that does not have a VLAN function. When,
(D) When it is determined in the step (c) that the terminal is newly connected via the line concentrator, the newly connected terminal is caused to execute a security policy check. Steps,
(E) As a result of the inspection of the security policy in the step (d), when isolation is necessary,
Instructs the terminal previously connected to the line concentrator to tag the Ethernet frame,
Connect the isolation VLAN and the business VLAN to the port to which the line concentrator is connected,
Then, the port to which the line concentrator is connected is set as a trunk port to the layer 2 switch, and an instruction is given so that only the Ethernet frame with the tag is transmitted through the business VLAN. , Step and
A program that executes
Priority Applications (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP2010221559A JP5333789B2 (en) | 2010-09-30 | 2010-09-30 | Terminal detection apparatus, server apparatus, terminal detection method, and program |
Applications Claiming Priority (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP2010221559A JP5333789B2 (en) | 2010-09-30 | 2010-09-30 | Terminal detection apparatus, server apparatus, terminal detection method, and program |
Publications (2)
| Publication Number | Publication Date |
|---|---|
| JP2012080217A JP2012080217A (en) | 2012-04-19 |
| JP5333789B2 true JP5333789B2 (en) | 2013-11-06 |
Family
ID=46239992
Family Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| JP2010221559A Expired - Fee Related JP5333789B2 (en) | 2010-09-30 | 2010-09-30 | Terminal detection apparatus, server apparatus, terminal detection method, and program |
Country Status (1)
| Country | Link |
|---|---|
| JP (1) | JP5333789B2 (en) |
Families Citing this family (2)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| US9276953B2 (en) | 2011-05-13 | 2016-03-01 | International Business Machines Corporation | Method and apparatus to detect and block unauthorized MAC address by virtual machine aware network switches |
| CN113507398B (en) * | 2021-07-08 | 2023-07-11 | 安天科技集团股份有限公司 | Network topology state detection method, device, computing equipment and storage medium |
Family Cites Families (2)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| JPH06120968A (en) * | 1992-10-09 | 1994-04-28 | Matsushita Electric Ind Co Ltd | Network management device and network constitution management system |
| JP4792962B2 (en) * | 2005-12-22 | 2011-10-12 | パナソニック電工株式会社 | Location information system |
-
2010
- 2010-09-30 JP JP2010221559A patent/JP5333789B2/en not_active Expired - Fee Related
Also Published As
| Publication number | Publication date |
|---|---|
| JP2012080217A (en) | 2012-04-19 |
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| JP5088517B2 (en) | Quarantine device, quarantine system, quarantine method, and program | |
| US10089028B2 (en) | Remote secure drive discovery and access | |
| TWI453624B (en) | Information security protection host | |
| CA2852471C (en) | Method and system for supporting wake-on-lan in a virtualized environment | |
| CN114145004B (en) | System and method for using DNS messages to selectively collect computer forensic data | |
| US11374964B1 (en) | Preventing lateral propagation of ransomware using a security appliance that dynamically inserts a DHCP server/relay and a default gateway with point-to-point links between endpoints | |
| US9246774B2 (en) | Sample based determination of network policy violations | |
| US20110099273A1 (en) | Monitoring apparatus, monitoring method, and a computer-readable recording medium storing a monitoring program | |
| CN113300917B (en) | Traffic monitoring method and device for Open Stack tenant network | |
| CN110011941B (en) | Message forwarding method and device | |
| WO2016121621A1 (en) | Information processing apparatus, information processing method and program | |
| JP2013222313A (en) | Failure contact efficiency system | |
| US9674061B2 (en) | Management system, management apparatus and management method | |
| JP5333789B2 (en) | Terminal detection apparatus, server apparatus, terminal detection method, and program | |
| US7724659B2 (en) | Network-based autodiscovery system for MAC forwarding dispatcher | |
| JP5898024B2 (en) | Malware detection apparatus and method | |
| US7856573B2 (en) | WPAR halted attack introspection stack execution detection | |
| CN113114588B (en) | Data processing method and device, electronic equipment and storage medium | |
| CN114172789B (en) | Virtual equipment link detection method, device, equipment and storage medium | |
| JP5678800B2 (en) | Information processing apparatus, system, and information processing program | |
| US11973773B2 (en) | Detecting and mitigating zero-day attacks | |
| US10250625B2 (en) | Information processing device, communication history analysis method, and medium | |
| KR101446280B1 (en) | System for detecting and blocking metamorphic malware using the Intermediate driver | |
| CN114465986B (en) | IP address conflict processing method, electronic device and computer readable storage medium | |
| US20240106855A1 (en) | Security telemetry from non-enterprise providers to shutdown compromised software defined wide area network sites |
Legal Events
| Date | Code | Title | Description |
|---|---|---|---|
| A977 | Report on retrieval |
Free format text: JAPANESE INTERMEDIATE CODE: A971007 Effective date: 20130207 |
|
| A131 | Notification of reasons for refusal |
Free format text: JAPANESE INTERMEDIATE CODE: A131 Effective date: 20130220 |
|
| A521 | Request for written amendment filed |
Free format text: JAPANESE INTERMEDIATE CODE: A523 Effective date: 20130419 |
|
| TRDD | Decision of grant or rejection written | ||
| A01 | Written decision to grant a patent or to grant a registration (utility model) |
Free format text: JAPANESE INTERMEDIATE CODE: A01 Effective date: 20130703 |
|
| A61 | First payment of annual fees (during grant procedure) |
Free format text: JAPANESE INTERMEDIATE CODE: A61 Effective date: 20130716 |
|
| R150 | Certificate of patent or registration of utility model |
Ref document number: 5333789 Country of ref document: JP Free format text: JAPANESE INTERMEDIATE CODE: R150 Free format text: JAPANESE INTERMEDIATE CODE: R150 |
|
| LAPS | Cancellation because of no payment of annual fees |