JP7376288B2 - 特定装置および特定方法 - Google Patents

Description

本発明は、特定装置および特定方法に関し、特にＩＰｖ６環境におけるネットワークの監視技術に関する。

近年、ＩｏＴの普及により様々な機器がインターネットにつながるようになっている。これにともなって、インターネットにつながる機器の数も爆発的に増え、従来インターネットプロトコルとして用いられてきたＩＰｖ４から、新たに１２８ビットのアドレス長を持つプロトコルとしてＩＰｖ６への移行が進んでいる。また、ネットワーク監視装置などの多くのネットワークセキュリティ製品においても、ＩＰｖ６に対応したものが急速に求められている。

ＩＰｖ６環境において、ＩＰｖ６アドレスの自動設定を行う際に、ＲＡ（Ｒｏｕｔｅｒ Ａｄｖｅｒｔｉｓｅｍｅｎｔ）パケットが送受信される。ＲＡパケットを受信した端末装置は、ＲＡパケットの送信元アドレスを、デフォルトゲートウェイとして設定する。

例えば、悪意のあるものから不正なＲＡパケットが送信された場合、そのＲＡパケットを受信した端末装置において、不正なＲＡパケットの送信元アドレスが、正規のデフォルトゲートウェイよりも優先度が高い設定のデフォルトゲートウェイとして追加されてしまうことがある。また、悪意のあるものによって、正規のデフォルトゲートウェイとは異なるデフォルトゲートウェイが正規の端末装置に設定され、ネットワークへの不正アクセスが行われるということも可能となる。

例えば、特許文献１は、ＩＰｖ６環境におけるネットワークへの不正接続を防止する技術を開示している。特許文献１に記載の技術では、ネットワークに監視装置を設置し、ネットワーク内を流れるＮＳ（Ｎｅｉｇｈｂｏｒ Ｓｏｌｉｃｉｔａｔｉｏｎ）パケットを監視して、ＮＳパケットの送信元アドレスやＭＡＣアドレスをもとに、ネットワークへの接続が許可されている端末装置かどうかを判断する。

特開２００７－１０４３９６号公報

しかし、特許文献１に記載の技術によるネットワーク内を流れるＮＳパケットの監視では、不正の検出のために、ネットワークに接続されている端末装置に設定されている優先度が最も高い設定のデフォルトゲートウェイを把握することが困難であった。

本発明は、上述した課題を解決するためになされたものであり、ＩＰｖ６環境において、ネットワークに接続されている端末装置に設定されている優先度が最も高い設定のデフォルトゲートウェイの情報を把握する新たな不正の検出技術を提供することを目的とする。

上述した課題を解決するために、本発明に係る特定装置は、ＴＣＰ通信での接続の終了を示す第１制御ビットをヘッダに含む送信パケットを生成するように構成された生成部と、前記生成部により生成された前記送信パケットの送信元アドレスとして、自装置に設定されているＩＰｖ６アドレスとは異なる送信元アドレスを設定するように構成された設定部と、前記設定部によって前記送信元アドレスが設定された前記送信パケットを予め設定された端末装置に送信するように構成された送信部と、前記送信パケットに対する応答を示す第２制御ビットがヘッダに含まれた応答パケットをキャプチャするように構成された取得部と、前記取得部によってキャプチャされた前記応答パケットに含まれる前記応答パケットの送信先を示す情報を抽出するように構成された抽出部と、前記抽出部によって抽出された前記送信先を示す情報に基づいて、前記端末装置に設定されているデフォルトゲートウェイを特定するように構成された特定部とを備える。

また、本発明に係る特定装置において、監視対象のネットワークにおける正規デフォルトゲートウェイに関する情報を記憶するように構成された記憶部と、前記特定部によって特定された前記端末装置に設定されているデフォルトゲートウェイが、前記記憶部に記憶されている前記正規デフォルトゲートウェイと一致するか否かを判断するように構成された判断部とをさらに備えていてもよい。

また、本発明に係る特定装置において、前記判断部は、前記正規デフォルトゲートウェイと一致しないと判断した場合に、前記特定部によって特定された前記端末装置に設定されている前記デフォルトゲートウェイは不正なデフォルトゲートウェイであると判断してもよい。

また、本発明に係る特定装置において、前記設定部は、前記送信元アドレスとして、リンクローカル内のグローバル識別子もしくはサブネット識別子が異なるユニークローカルＩＰｖ６ユニキャストアドレスを設定してもよい。

また、本発明に係る特定装置において、前記第１制御ビットは、ＦＩＮフラグを含み、
前記第２制御ビットは、ＲＳＴフラグおよびＡＣＫフラグを含んでいてもよい。

また、本発明に係る特定装置において、前記送信部は、前記端末装置が開いていないポートに前記送信パケットを送信してもよい。

上述した課題を解決するために、本発明に係る特定方法は、ＴＣＰ通信での接続の終了を示す第１制御ビットがヘッダに含まれた送信パケットを生成する第１ステップと、前記第１ステップで生成された前記送信パケットの送信元アドレスとして、自装置に設定されているＩＰｖ６アドレスとは異なる送信元アドレスを設定する第２ステップと、前記第２ステップで前記送信元アドレスが設定された前記送信パケットを予め設定された端末装置に送信する第３ステップと、前記送信パケットに対する応答を示す第２制御ビットがヘッダに含まれた応答パケットをキャプチャする第４ステップと、前記第４ステップでキャプチャされた前記応答パケットに含まれる前記応答パケットの送信先を示す情報を抽出する第５ステップと、前記第５ステップで抽出された前記送信先を示す情報に基づいて、前記端末装置に設定されているデフォルトゲートウェイを特定する第６ステップとを備える。

本発明によれば、自装置に設定されているＩＰｖ６アドレスとは異なる送信元アドレスが設定された第１制御ビットをヘッダに含む送信パケットを端末装置に送信し、送信パケットに対する応答を示す第２制御ビットが含まれる応答パケットをキャプチャして、応答パケットの送信先を示す情報を抽出する。そのため、ＩＰｖ６環境において、端末装置に設定されている優先度が最も高い設定のデフォルトゲートウェイの情報を把握する新たな不正の検出技術を実現することができる。

図１は、本発明の実施の形態に係る特定装置を含むネットワークシステムの構成を示すブロック図である。 図２は、実施の形態に係る特定装置の構成を示すブロック図である。 図３は、実施の形態に係る特定装置のハードウェア構成を示すブロック図である。 図４は、実施の形態に係る特定方法を説明するためのフローチャートである。 図５は、実施の形態に係るネットワークシステムの動作を示すシーケンス図である。

以下、本発明の好適な実施の形態について、図１から図５を参照して詳細に説明する。
［ネットワークシステムの構成］
まず、本発明の実施の形態に係る特定装置１を備えるネットワークシステムの概要について説明する。
本発明の実施の形態に係る特定装置１は、ＬＡＮなどのネットワークＮＷに接続されている端末装置３ａ、３ｂに設定されている最も優先度が高い設定のデフォルトゲートウェイの情報を特定する。特定装置１は、例えば、図１に示すようなネットワークシステムに設けられる。また、ネットワークシステムは、例えば、ＢＡ（Ｂｕｉｌｄｉｎｇ Ａｕｔｏｍａｔｉｏｎ）システムなどに設けられる。

ネットワークシステムは、図１に示すように、ネットワークＮＷを介して互いに通信可能に接続されている特定装置１と、ルータ２ａ、２ｂと、端末装置３ａ、３ｂとを備える。

ルータ２ａ、２ｂは、ＩＰｖ６に対応したルータであり、ゲートウェイとして機能する。本実施の形態では、ルータ２ａのＭＡＣアドレスは、「Ｓ」であり、ルータ２ｂのＭＡＣアドレスは、「Ｒ」であるものとする。また、本実施の形態では、ネットワークＮＷにおける正規のルータは、ルータ２ａであり、ルータ２ｂは、不正なルータであるものとする。

端末装置３ａ、３ｂは、ＩＰｖ６が動作するＰＣなどの端末である。図１に示す複数の端末装置３ａ、３ｂのうち、端末装置３ａには、正規のルータ２ａがデフォルトゲートウェイとして設定されている。一方、端末装置３ｂには、正規のデフォルトゲートウェイとは異なるデフォルトゲートウェイが優先度が最も高いデフォルトゲートウェイとして設定されている。

端末装置３ａは、事前に送信されたルータ２ａからのＩＣＭＰｖ６の正規のルータ広告（Ｒｏｕｔｅｒ Ａｄｖｅｒｔｉｓｅｍｅｎｔ：ＲＡ）パケットを受信し、ＲＡパケットの送信元のルータ２ａをデフォルトゲートウェイとして設定している。端末装置３ａについては、正規デフォルトゲートウェイが設定されている。

一方、ルータ２ｂは、事前に端末装置３ｂに対して不正なＲＡパケットを送信している。不正なＲＡパケットを受信した端末装置３ｂでは、ＲＡパケットの送信元であるルータ２ｂが、優先度が最も高いデフォルトゲートウェイとして追加されている。したがって、本実施の形態では、端末装置３ｂには不正なデフォルトゲートウェイが設定されている。

また、本実施の形態において、特定装置１は、ＴＣＰプロトコルを用いて、デフォルトゲートウェイを特定したい端末装置３ａ、３ｂの閉じているポートに対して、ＦＩＮフラグ（第１制御ビット）をセットしたＴＣＰパケットを送信パケットとして送信する。また、特定装置１は、送信パケットを特定対象の端末装置３ａ、３ｂに送信する際に、送信元アドレスを特定装置１に設定されているＩＰｖ６アドレス「Ｇ」とは異なる送信元アドレスを設定する。送信元アドレスとして、リンクローカル内に存在する何れのリンクローカルアドレスとも異なるユニークローカルＩＰｖ６ユニキャストアドレス、例えば「Ｈ」が設定される。

ＴＣＰプロトコルにおいて、ＦＩＮパケットはコネクションの終了を示す。そのため、ＦＩＮフラグがセットされた送信パケットを受信すると、端末装置３ａ、３ｂは、対象のポートが閉じているため、接続リセットを示すＲＳＴフラグとＡＣＫフラグ（第２制御ビット）がセットされたＴＣＰパケットを応答パケットとして返送する。しかし、送信パケットの送信元アドレス「Ｈ」はリンクローカルとは違うグローバル識別子もしくはサブネット識別子のアドレスであるため、端末装置３ａ、３ｂに設定されている最も優先度が高い設定のデフォルトゲートウェイを送信先として、端末装置３ａ、３ｂは応答パケットを送信する。

このとき、特定装置１は、ネットワークＮＷを流れるＲＳＴパケットとＡＣＫパケットとを含む応答パケットをキャプチャする。さらに、特定装置１は、キャプチャした応答パケットに含まれるそれぞれの応答パケットの送信先を示す情報から、端末装置３ａ、３ｂに設定されているデフォルトゲートウェイを特定する。

［特定装置の機能ブロック］
次に、本実施の形態に係る特定装置１の構成について、図２のブロック図を用いて説明する。
図２に示すように、特定装置１は、生成部１０、設定部１１、送信部１２、取得部１３、抽出部１４、特定部１５、記憶部１６、および判断部１７を備える。

生成部１０は、ＴＣＰ通信におけるコネクションの終了を示すＦＩＮフラグが設定された送信パケットを生成する。より詳細には、生成部１０は、送信パケットのヘッダにおいてＦＩＮフラグを立てる。

設定部１１は、生成部１０によって生成された送信パケットの送信元アドレスとして、特定装置１に設定されているＩＰｖ６アドレス「Ｇ」とは異なる送信元アドレスを設定する。具体的には、設定部１１は、送信元アドレスとして、リンクローカル内に存在しない、グローバル識別子もしくはサブネット識別子が異なるユニークローカルＩＰｖ６ユニキャストアドレス「Ｈ」を設定する。

送信部１２は、送信元アドレス「Ｈ」が設定され、ＦＩＮフラグが設定された送信パケットを、端末装置３ａ、３ｂに送信する。送信部１２は、デフォルトゲートウェイ情報を取得したいスキャン対象の端末装置３ａ、３ｂに送信パケットを送信する。

取得部１３は、ネットワークＮＷを流れるＦＩＮフラグが設定されたヘッダを有する送信パケットに対する応答を示す、ＲＳＴフラグおよびＡＣＫフラグがヘッダに含まれた応答パケットをキャプチャする。

抽出部１４は、キャプチャされた応答パケットに含まれる、その応答パケットの送信先を示す情報を抽出する。具体的には、抽出部１４は応答パケットに含まれる送信先のＭＡＣアドレスを抽出する。本実施の形態では、端末装置３ａによる応答パケットに含まれる送信先のＭＡＣアドレスは、ルータ２ａを示すＭＡＣアドレス「Ｓ」である。一方、端末装置３ｂの応答パケットに含まれる送信先のＭＡＣアドレスは、ルータ２ｂを示すＭＡＣアドレス「Ｒ」となっている。

特定部１５は、抽出部１４によって抽出された応答パケットの送信先を示す情報に基づいて、端末装置３ａ、３ｂに設定されているデフォルトゲートウェイを特定する。端末装置３ａ、３ｂによって送信される応答パケットの送信先アドレスを示すＭＡＣアドレスは、それぞれの端末装置３ａ、３ｂに設定されているデフォルトゲートウェイである。そのため、特定部１５は、ＭＡＣアドレス「Ｓ」を有するルータ２ｂが、端末装置３ａにおいて最も優先度が高い設定のデフォルトゲートウェイとして設定されていることを特定する。また、特定部１５は、端末装置３ｂの応答パケットの送信先ＭＡＣアドレス「Ｒ」で示されるルータ２ｂが、端末装置３ｂにおいて最も優先度が高い設定のデフォルトゲートウェイとして設定されていることを特定する。

記憶部１６は、監視対象のネットワークＮＷにおける正規デフォルトゲートウェイに関する情報を記憶している。本実施の形態では、ルータ２ａが正規のルータであり、ＭＡＣアドレス「Ｓ」で示されるルータ２ａが正規のデフォルトゲートウェイとして予め登録されている。

判断部１７は、特定部１５によって特定された端末装置３ａ、３ｂに設定されている最も優先度が高い設定のデフォルトゲートウェイが、記憶部１６に記憶されている正規デフォルトゲートウェイと一致するか否かを判断する。本実施の形態では、判断部１７は、端末装置３ａに設定されているデフォルトゲートウェイ（ＭＡＣアドレス「Ｓ」）は、正規デフォルトゲートウェイであると判断する。一方、判断部１７は、端末装置３ｂに設定されているデフォルトゲートウェイ（ＭＡＣアドレス「Ｒ」）は、正規デフォルトゲートウェイではなく、不正なデフォルトゲートウェイであると判断する。

［特定装置のハードウェア構成］
次に上述した機能を有する特定装置１のハードウェア構成の一例について、図３を用いて説明する。

図３に示すように、特定装置１は、例えば、バス１０１を介して接続されるプロセッサ１０２、主記憶装置１０３、通信インターフェース１０４、補助記憶装置１０５、入出力Ｉ／Ｏ１０６を備えるコンピュータと、これらのハードウェア資源を制御するプログラムによって実現することができる。

主記憶装置１０３には、プロセッサ１０２が各種制御や演算を行うためのプログラムが予め格納されている。プロセッサ１０２と主記憶装置１０３とによって、図２に示した生成部１０、設定部１１、取得部１３、抽出部１４、特定部１５、判断部１７など、特定装置１の各機能が実現される。

通信インターフェース１０４は、特定装置１とルータ２ａ、２ｂ、端末装置３ａ、３ｂや各種外部電子機器との間をネットワーク接続するためのインターフェース回路である。通信インターフェース１０４によって図２で説明した送信部１２、および取得部１３が実現される。

補助記憶装置１０５は、読み書き可能な記憶媒体と、その記憶媒体に対してプログラムやデータなどの各種情報を読み書きするための駆動装置とで構成されている。補助記憶装置１０５には、記憶媒体としてハードディスクやフラッシュメモリなどの半導体メモリを使用することができる。

補助記憶装置１０５は、特定装置１が、端末装置３ａ、３ｂに設定されている最も優先度が高い設定のデフォルトゲートウェイを特定するためのプログラムを格納するプログラム格納領域を有する。補助記憶装置１０５によって、図２で説明した記憶部１６が実現される。さらには、例えば、上述したデータやプログラムやなどをバックアップするためのバックアップ領域などを有していてもよい。

入出力Ｉ／Ｏ１０６は、外部機器からの信号を入力したり、外部機器へ信号を出力したりするＩ／Ｏ端子により構成される。

表示装置１０７は、液晶ディスプレイなどによって構成される。表示装置１０７は、特定部１５によって特定されたデフォルトゲートウェイや、判断部１７による判断結果を表示画面に表示することができる。

［特定方法］
次に上述した構成を有する特定装置１の動作について、図４のフローチャートを用いて説明する。なお、以下において、記憶部１６には、予め正規デフォルトゲートウェイに関する情報が格納されているものとする。

まず、生成部１０は、ＦＩＮフラグが設定されたＴＣＰパケットを送信パケットとして生成する（ステップＳ１）。次に、設定部１１は、送信パケットの送信元アドレスとして、リンクローカルとは違うグローバル識別子もしくはサブネット識別子のユニークローカルＩＰｖ６ユニキャストアドレスを設定する（ステップＳ２）。

次に、送信部１２は、ＦＩＮフラグを立てた送信パケットを、スキャン対象の端末装置３ａ、３ｂに送信する（ステップＳ３）。このとき送信部１２は、端末装置３ａ、３ｂが開いていないポートに対して送信パケットを送信する。その後、取得部１３は、端末装置３ａ、３ｂが送信パケットに対する応答としてＲＳＴフラグとＡＣＫフラグとがヘッダに含まれた応答パケットをキャプチャする（ステップＳ４）。

次に、抽出部１４は、ステップＳ４でキャプチャされた応答パケットに含まれる、その応答パケットの送信先を示す情報を抽出する（ステップＳ５）。より詳細には、抽出部１４は、端末装置３ａ、３ｂが送信した応答パケットの送信先ＭＡＣアドレスを抽出する。その後、特定部１５は、抽出された送信先を示す情報に基づいて、端末装置３ａ、３ｂに設定されている最も優先度が高い設定のデフォルトゲートウェイを特定する（ステップＳ６）。

次に、判断部１７は、ステップＳ６で特定されたデフォルトゲートウェイに基づいて、それぞれの端末装置３ａ、３ｂに設定されている最も優先度が高い設定のデフォルトゲートウェイが正規デフォルトゲートウェイと一致するか否かを判断する（ステップＳ７）。その後、表示装置１０７において判断部１７による判断結果を表示する（ステップＳ８）。あるいは、判断結果は、通信インターフェース１０４からネットワークＮＷ上の図示されない特定の端末装置に送出することができる。

［ネットワークシステムの動作シーケンス］
次に、上述した特定装置１を備えるネットワークシステムの動作について、図５のシーケンス図を参照して説明する。なお、以下において、端末装置３ａには、デフォルトゲートウェイとして正規のルータ２ａが予め設定されており、端末装置３ｂには、デフォルトゲートウェイとして不正なルータ２ｂが予め設定されているものとする。

まず、特定装置１は、ＦＩＮフラグが設定された送信パケットを生成する（ステップＳ１００）。その後、特定装置１は、自装置のＩＰｖ６アドレス「Ｇ」とは異なる、すなわち、リンクローカルのグローバル識別子もしくはサブネット識別子が違うユニークローカルＩＰｖ６ユニキャストアドレス「Ｈ」を送信元アドレスとして、生成した送信パケットをスキャン対象の端末装置３ａ、３ｂに送信する（ステップＳ１０１、Ｓ１０２）。より詳細には、特定装置１は、端末装置３ａ、３ｂが開いていないポートにＦＩＮフラグを立てた送信パケットを送信する。

次に、ＦＩＮフラグが設定された送信パケットを受信した端末装置３ａは、応答パケットを生成して送信する（ステップＳ１０３）。より詳細には、端末装置３ａは、端末装置３ａにおいて設定されているデフォルトゲートウェイ「Ｓ」を送信先としてＲＳＴフラグおよびＡＣＫフラグが設定された応答パケットをルータ２ａ（ＭＡＣアドレス「Ｓ」）に送信する。

一方、ＦＩＮフラグが設定された送信パケットを受信した端末装置３ｂは、端末装置３ｂにおいて設定されているデフォルトゲートウェイ「Ｒ」を送信先として、ＲＳＴフラグおよびＡＣＫフラグが設定された応答パケットをルータ２ｂ（ＭＡＣアドレス「Ｒ」）に送信する（ステップＳ１０４）。

次に、特定装置１は、ネットワークＮＷを流れるＲＳＴフラグおよびＡＣＫフラグが設定された応答パケットをキャプチャする（ステップＳ１０５）。次に、特定装置１は、キャプチャされた応答パケットのそれぞれに含まれる、応答パケットの送信先を示すＭＡＣアドレス「Ｓ」、「Ｒ」を抽出し、ＭＡＣアドレス「Ｓ」、「Ｒ」から端末装置３ａ、３ｂに設定されている最も優先度が高い設定のデフォルトゲートウェイを特定する（ステップＳ１０６）。

特定装置１は、端末装置３ａに設定されている優先度が最も高い設定のデフォルトゲートウェイはＭＡＣアドレス「Ｓ」を有するルータ２ａであると特定する。一方、端末装置３ｂに設定されている優先度が最も高い設定のデフォルトゲートウェイはＭＡＣアドレス「Ｒ」を有するルータ２ｂであると特定する。

その後、特定装置１は、記憶部１６に格納されている正規デフォルトゲートウェイを参照し、端末装置３ａ、３ｂに設定されている最も優先度が高い設定のデフォルトゲートウェイが正規デフォルトゲートウェイと一致するか否かを判断する（ステップＳ１０７）。本実施の形態では、端末装置３ａに設定されている優先度が最も高い設定のデフォルトゲートウェイは、正規デフォルトゲートウェイであると判断する。一方、端末装置３ｂに設定されている優先度が最も高い設定のデフォルトゲートウェイは、正規デフォルトゲートウェイではなく、不正なデフォルトゲートウェイであると判断する。

特定装置１は、さらに、不正なデフォルトゲートウェイであるルータ２ｂは、不正なルータであると判断し、これらの判断結果を表示装置１０７に表示させることができる。あるいは、特定装置１は、判断結果をネットワークＮＷ上の図示されない特定の端末装置に送信することができる。

以上説明したように、本実施の形態に係る特定装置１によれば、リンクローカルのグローバル識別子もしくはサブネット識別子が違うユニークローカルＩＰｖ６ユニキャストアドレスを送信元アドレスとして設定し、ＦＩＮフラグが設定された送信パケットを、特定対象の端末装置３ａ、３ｂが開いていないポートに対して送信する。さらに、特定装置１は、端末装置３ａ、３ｂによるＲＳＴフラグとＡＣＫフラグとが設定された応答パケットをキャプチャして、応答パケットに含まれる送信先ＭＡＣアドレスを抽出する。そのため、端末装置３ａ、３ｂに設定されている最も優先度が高い設定のデフォルトゲートウェイを特定することができる。

また、特定装置１によれば、ＴＣＰプロトコルを利用してスキャン対象とする端末装置３ａ、３ｂのデフォルトゲートウェイを特定するので、端末装置３ａ、３ｂなどに新たなソフトウェアをインストールする必要がなく、より簡易な構成で端末装置３ａ、３ｂに設定されている優先度が最も高いデフォルトゲートウェイを特定することができる。

また、特定装置１によれば、不正なデフォルトゲートウェイを特定することができるので、ネットワークＮＷにおける不正端末を検出することが可能となる。

なお、説明した実施の形態では、特定対象の端末装置３ａ、３ｂが２つである場合を例示したが、端末装置３ａ、３ｂの数は２つ以外であってもよい。

以上、本発明の特定装置および特定方法における実施の形態について説明したが、本発明は説明した実施の形態に限定されるものではなく、請求項に記載した発明の範囲において当業者が想定し得る各種の変形を行うことが可能である。

１…特定装置、２ａ、２ｂ…ルータ、３ａ、３ｂ…端末装置、１０…生成部、１１…設定部、１２…送信部、１３…取得部、１４…抽出部、１５…特定部、１６…記憶部、１７…判断部、１０１…バス、１０２…プロセッサ、１０３…主記憶装置、１０４…通信インターフェース、１０５…補助記憶装置、１０６…入出力Ｉ／Ｏ、１０７…表示装置、ＮＷ…ネットワーク。

Claims (6)

1. ＴＣＰ通信での接続の終了を示す第１制御ビットをヘッダに含む送信パケットを生成するように構成された生成部と、
   前記生成部により生成された前記送信パケットの送信元アドレスとして、自装置に設定されているＩＰｖ６アドレスとは異なり、かつ、リンクローカル内に存在する何れのリンクローカルアドレスとも異なるユニークローカルＩＰｖ６ユニキャストアドレスを設定するように構成された設定部と、
   前記設定部によって前記送信元アドレスが設定された前記送信パケットを予め設定された端末装置の開いていないポートに送信するように構成された送信部と、
   前記送信パケットに対する応答を示すＲＳＴフラグおよびＡＣＫフラグを含む第２制御ビットがヘッダに含まれた応答パケットをキャプチャするように構成された取得部と、
   前記取得部によってキャプチャされた前記応答パケットに含まれる前記応答パケットの送信先を示す情報を抽出するように構成された抽出部と、
   前記抽出部によって抽出された前記送信先を示す情報に基づいて、前記端末装置に設定されているデフォルトゲートウェイを特定するように構成された特定部と
   を備える特定装置。
2. 請求項１に記載の特定装置において、
   監視対象のネットワークにおける正規デフォルトゲートウェイに関する情報を記憶するように構成された記憶部と、
   前記特定部によって特定された前記端末装置に設定されているデフォルトゲートウェイが、前記記憶部に記憶されている前記正規デフォルトゲートウェイと一致するか否かを判断するように構成された判断部と
   をさらに備える
   ことを特徴とする特定装置。
3. 請求項２に記載の特定装置において、
   前記判断部は、前記正規デフォルトゲートウェイと一致しないと判断した場合に、前記特定部によって特定された前記端末装置に設定されている前記デフォルトゲートウェイは不正なデフォルトゲートウェイであると判断する
   ことを特徴とする特定装置。
4. 請求項１から３のいずれか１項に記載の特定装置において、
   前記設定部は、前記送信元アドレスとして、リンクローカル内のグローバル識別子もしくはサブネット識別子が異なるユニークローカルＩＰｖ６ユニキャストアドレスを設定する
   ことを特徴とする特定装置。
5. 請求項１から４のいずれか１項に記載の特定装置において、
   前記第１制御ビットは、ＦＩＮフラグを含む
   ことを特徴とする特定装置。
6. ＴＣＰ通信での接続の終了を示す第１制御ビットがヘッダに含まれた送信パケットを生成する第１ステップと、
   前記第１ステップで生成された前記送信パケットの送信元アドレスとして、自装置に設
   定されているＩＰｖ６アドレスとは異なり、かつ、リンクローカル内に存在する何れのリンクローカルアドレスとも異なるユニークローカルＩＰｖ６ユニキャストアドレスを設定する第２ステップと、
   前記第２ステップで前記送信元アドレスが設定された前記送信パケットを予め設定された端末装置の開いていないポートに送信する第３ステップと、
   前記送信パケットに対する応答を示すＲＳＴフラグおよびＡＣＫフラグを含む第２制御ビットがヘッダに含まれた応答パケットをキャプチャする第４ステップと、
   前記第４ステップでキャプチャされた前記応答パケットに含まれる前記応答パケットの送信先を示す情報を抽出する第５ステップと、
   前記第５ステップで抽出された前記送信先を示す情報に基づいて、前記端末装置に設定されているデフォルトゲートウェイを特定する第６ステップと
   を備える特定方法。

Images