特許 6134954 ネットワークセキュリティ装置、ネットワーク管理方法、及びプログラム

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】特許公報(B1)

(11)【特許番号】6134954

(24)【登録日】2017年5月12日

(45)【発行日】2017年5月31日

(54)【発明の名称】ネットワークセキュリティ装置、ネットワーク管理方法、及びプログラム

(51)【国際特許分類】

   H04L 12/28 20060101AFI20170522BHJP

   H04L 12/70 20130101ALI20170522BHJP

【ＦＩ】

   H04L12/28 200M

   H04L12/28 200A

   H04L12/70 100Z

【請求項の数】8

【全頁数】15

(21)【出願番号】特願2016-5032(P2016-5032)

(22)【出願日】2016年1月14日

【審査請求日】2016年1月27日

(73)【特許権者】

【識別番号】000136136

【氏名又は名称】株式会社ＰＦＵ

(74)【代理人】

【識別番号】100137394

【弁理士】

【氏名又は名称】横井 敏弘

(72)【発明者】

【氏名】岸田 慎也

(72)【発明者】

【氏名】角谷 夏樹

(72)【発明者】

【氏名】中園 暢

【審査官】 宮島 郁美

(56)【参考文献】

【文献】 特開２０１３−１４５９５６（ＪＰ，Ａ）

【文献】 特開２００１−２１１１８０（ＪＰ，Ａ）

【文献】 特開２００５−７９７０６（ＪＰ，Ａ）

【文献】 特開２００７−２７４０８６（ＪＰ，Ａ）

【文献】 特開２００５−１９８０９０（ＪＰ，Ａ）

(58)【調査した分野】（Int.Cl.，ＤＢ名）

Ｈ０４Ｌ１２／００−１２／９５５

(57)【特許請求の範囲】

【請求項1】

通信を遮断すべき端末を特定する対象特定部と、
ＤＨＣＰサーバに対してＩＰアドレスの割り当てを要求するＤＨＣＰ要求情報を取得する要求取得部と、
前記ＤＨＣＰ要求情報により要求されたＩＰアドレスが使用不可能であることを通知する不可通知部と、
前記対象特定部により特定された端末のＤＨＣＰ要求情報が前記要求取得部により取得されたことを条件として、このＤＨＣＰ要求情報により要求されたＩＰアドレスを解放するためのＤＨＣＰリリース情報を、前記ＤＨＣＰサーバに送信するアドレス解放部と
を有するネットワークセキュリティ装置。

【請求項2】

前記不可通知部は、前記対象特定部により特定された端末に対して、前記ＤＨＣＰ要求情報により要求されたＩＰアドレスが使用中である旨を通知する
請求項１に記載のネットワークセキュリティ装置。

【請求項3】

前記アドレス解放部は、前記不可通知部により通知された端末がＤＨＣＰデクライン情報を送出する前に、ＤＨＣＰリリース情報を送信する
請求項１に記載のネットワークセキュリティ装置。

【請求項4】

前記アドレス解放部は、前記要求取得部により取得されたＤＨＣＰ要求情報と同じ識別情報を用いて、ＤＨＣＰリリース情報を送信する
請求項１に記載のネットワークセキュリティ装置。

【請求項5】

前記ＤＨＣＰ要求情報に対する応答情報であるＤＨＣＰ応答情報を取得するＤＨＣＰ応答取得部
をさらに有し、
前記アドレス解放部は、前記ＤＨＣＰ要求情報及びこれに対するＤＨＣＰ応答情報が取得されたことを条件として、これらの情報に基づいてＤＨＣＰリリース情報を生成し、生成されたＤＨＣＰリリース情報を送信する
請求項４に記載されたネットワークセキュリティ装置。

【請求項6】

前記アドレス解放部は、前記ＤＨＣＰ要求情報が取得された後、既定期間内に、これに対するＤＨＣＰ応答情報が取得されていない場合、当該ＤＨＣＰ要求情報と、予め用意された情報とに基づいて、ＤＨＣＰリリース情報を生成し、生成されたＤＨＣＰリリース情報を送信する
請求項５に記載のネットワークセキュリティ装置。

【請求項7】

通信を遮断すべき端末を特定する対象特定ステップと、
ＤＨＣＰサーバに対してＩＰアドレスの割り当てを要求するＤＨＣＰ要求情報を取得する要求取得ステップと、
前記ＤＨＣＰ要求情報により要求されたＩＰアドレスが使用不可能であることを通知する不可通知ステップと、
前記対象特定ステップにおいて特定された端末のＤＨＣＰ要求情報が、前記要求取得ステップにおいて取得されたことを条件として、このＤＨＣＰ要求情報により要求されたＩＰアドレスを解放するためのＤＨＣＰリリース情報を、前記ＤＨＣＰサーバに送信するアドレス解放ステップと
を有するネットワーク管理方法。

【請求項8】

通信を遮断すべき端末を特定する対象特定ステップと、
ＤＨＣＰサーバに対してＩＰアドレスの割り当てを要求するＤＨＣＰ要求情報を取得する要求取得ステップと、
前記ＤＨＣＰ要求情報により要求されたＩＰアドレスが使用不可能であることを通知する不可通知ステップと、
前記対象特定ステップにおいて特定された端末のＤＨＣＰ要求情報が、前記要求取得ステップにおいて取得されたことを条件として、このＤＨＣＰ要求情報により要求されたＩＰアドレスを解放するためのＤＨＣＰリリース情報を、前記ＤＨＣＰサーバに送信するアドレス解放ステップと
をコンピュータに実行させるプログラム。

【発明の詳細な説明】

【技術分野】

【0001】

本発明は、ネットワークセキュリティ装置、ネットワーク管理方法、及びプログラムに関する。

【背景技術】

【0002】

例えば、特許文献１には、許可端末に相当しないと判断された場合にフレームを送信した端末を特定するアドレスがネットワークで用いられていることを示すフレームをネットワークに流すネットワーク監視方法が開示されている。

【0003】

また、特許文献２には、ＤＨＣＰを使用して加入者端末に動的にＩＰアドレス割当を行うケーブルモデム装置に関し、割り当てられたＩＰアドレス以外のＩＰアドレスを加入者端末が不正に使用することを防止するケーブルモデム装置が開示されている。

【0004】

また、特許文献３には、ユーザアドレス管理テーブルのエントリ数が、サブＩ／Ｆ毎に配布ＩＰアドレス数を超えると、登録されている古い配布ＩＰアドレスが削除され、削除されたＩＰアドレスを使用したバックボーンネットワークへのアクセスを拒否して、不正アクセスを防ぐネットワークアドレス管理方法が開示されている。

【先行技術文献】

【特許文献】

【0005】

【特許文献1】特開２００５−２６０６１５

【特許文献2】特開２００２−１５８７０１

【特許文献3】特開２００４−１０４３５５

【発明の概要】

【発明が解決しようとする課題】

【0006】

通信遮断に伴うネットワークアドレスの枯渇を防止するネットワーク管理方法を提供することを目的とする。

【課題を解決するための手段】

【0007】

本発明に係るネットワークセキュリティ装置は、通信を遮断すべき端末を特定する対象特定部と、ＤＨＣＰサーバに対してＩＰアドレスの割り当てを要求するＤＨＣＰ要求情報を取得する要求取得部と、前記ＤＨＣＰ要求情報により要求されたＩＰアドレスが使用不可能であることを通知する不可通知部と、前記対象特定部により特定された端末のＤＨＣＰ要求情報が前記要求取得部により取得されたことを条件として、このＤＨＣＰ要求情報により要求されたＩＰアドレスを解放するためのＤＨＣＰリリース情報を、前記ＤＨＣＰサーバに送信するアドレス解放部とを有する。

【0008】

好適には、前記不可通知部は、前記対象特定部により特定された端末に対して、前記ＤＨＣＰ要求情報により要求されたＩＰアドレスが使用中である旨を通知する。

【0009】

好適には、前記アドレス解放部は、前記不可通知部により通知された端末がＤＨＣＰデクライン情報を送出する前に、ＤＨＣＰリリース情報を送信する。

【0010】

好適には、前記アドレス解放部は、前記要求取得部により取得されたＤＨＣＰ要求情報と同じ識別情報を用いて、ＤＨＣＰリリース情報を送信する。

【0011】

好適には、前記ＤＨＣＰ要求情報に対する応答情報であるＤＨＣＰ応答情報を取得するＤＨＣＰ応答取得部をさらに有し、前記アドレス解放部は、前記ＤＨＣＰ要求情報及びこれに対するＤＨＣＰ応答情報が取得されたことを条件として、これらの情報に基づいてＤＨＣＰリリース情報を生成し、生成されたＤＨＣＰリリース情報を送信する。

【0012】

好適には、前記アドレス解放部は、前記ＤＨＣＰ要求情報が取得された後、既定期間内に、これに対するＤＨＣＰ応答情報が取得されていない場合、当該ＤＨＣＰ要求情報と、予め用意された情報とに基づいて、ＤＨＣＰリリース情報を生成し、生成されたＤＨＣＰリリース情報を送信する。

【0013】

本発明に係るネットワーク管理方法は、通信を遮断すべき端末を特定する対象特定ステップと、ＤＨＣＰサーバに対してＩＰアドレスの割り当てを要求するＤＨＣＰ要求情報を取得する要求取得ステップと、前記ＤＨＣＰ要求情報により要求されたＩＰアドレスが使用不可能であることを通知する不可通知ステップと、前記対象特定ステップにおいて特定された端末のＤＨＣＰ要求情報が、前記要求取得ステップにおいて取得されたことを条件として、このＤＨＣＰ要求情報により要求されたＩＰアドレスを解放するためのＤＨＣＰリリース情報を、前記ＤＨＣＰサーバに送信するアドレス解放ステップとを有する。

【0014】

本発明に係るプログラムは、通信を遮断すべき端末を特定する対象特定ステップと、ＤＨＣＰサーバに対してＩＰアドレスの割り当てを要求するＤＨＣＰ要求情報を取得する要求取得ステップと、前記ＤＨＣＰ要求情報により要求されたＩＰアドレスが使用不可能であることを通知する不可通知ステップと、前記対象特定ステップにおいて特定された端末のＤＨＣＰ要求情報が、前記要求取得ステップにおいて取得されたことを条件として、このＤＨＣＰ要求情報により要求されたＩＰアドレスを解放するためのＤＨＣＰリリース情報を、前記ＤＨＣＰサーバに送信するアドレス解放ステップとをコンピュータに実行させる。

【発明の効果】

【0015】

通信遮断に伴うネットワークアドレスの枯渇を防止できる。

【図面の簡単な説明】

【0016】

【図1】情報処理システム１のハードウェア構成を例示する図である。

【図2】セキュリティ装置２のハードウェア構成を例示する図である。

【図3】セキュリティ装置２の機能構成を例示する図である。

【図4】（Ａ）は、通信規則ＤＢ６００に登録される情報を例示し、（Ｂ）は、解析結果ＤＢ６１０に登録される情報を例示する図である。

【図5】ＤＨＣＰ応答情報を取得できた場合の通信遮断処理（Ｓ１０）のシーケンス図である。

【図6】ＤＨＣＰ応答情報を取得できなかった場合の通信遮断処理（Ｓ２０）のシーケンス図である。

【図7】セキュリティ装置２によるＤＨＣＰ ＲＥＱＵＥＳＴパケット解析処理（Ｓ３０）のフローチャートである。

【図8】セキュリティ装置２によるＤＨＣＰ ＡＣＫパケット解析処理（Ｓ４０）のフローチャートである。

【図9】セキュリティ装置２によるＩＰ重複通知処理（Ｓ５０）のフローチャートである。

【発明を実施するための形態】

【0017】

以下、本発明の実施形態を、図面を参照して説明する。
図１は、情報処理システム１のハードウェア構成を例示する図である。
図１に例示するように、情報処理システム１は、セキュリティ装置２と、ＤＨＣＰサーバ８と、クライアント端末９とを含み、これらはネットワーク３を介して互いに接続している。
セキュリティ装置２は、ネットワーク３で送受信されるデータを監視し、所定の通信を遮断するコンピュータである。セキュリティ装置２は、本発明に係るネットワークセキュリティ装置の一例である。
本例では、ネットワーク３がＩＰｖ４のＩＰアドレスで通信が行われるＬＡＮ（Local Area Network）であり、セキュリティ装置２は、ＬＡＮ内で送受信されるパケットを監視し、遮断対象となるクライアント端末９Ａの通信をＩＰアドレスの衝突により遮断する。

【0018】

ＤＨＣＰサーバ８は、クライアント端末９に対して、動的にＩＰアドレスを割り当てるサーバ装置である。本例のＤＨＣＰサーバ８は、クライアント端末９からの要求に応じて、ＩＰｖ４のＩＰアドレスを割り当てる。
クライアント端末９は、ネットワーク３に接続されたコンピュータであり、セキュリティ装置２の監視下にある。本例のクライアント端末９は、ＤＨＣＰサーバ８により割り当てられたＩＰアドレスを用いて、通信を行う。

【0019】

ここで、ＩＰアドレスの衝突による通信遮断が必要となった背景を説明する。
近年、ＡＲＰテーブルを書き換えることにより通信を誘導・遮断することは、いわゆる「ＡＲＰスプーフィング」と呼ばれ、通信盗聴のための手法としても用いられることから、ＡＲＰスプーフィング対策を行うソフトウェアが出現し、クライアント端末にインストールされるようになってきた。
そういったソフトウェアの動作の一例としては、クライアント端末のＡＲＰテーブルが書き換えられるようなＡＲＰリプライパケットを検知すると、ＡＲＰリクエストパケットを受けたクライアント端末自身から再度ＡＲＰリクエストパケットを送信することで、クライアント端末のＡＲＰテーブルの書き換えを防止する、というものである。また、クライアント端末の通信先の端末のＡＲＰテーブルに対しても同様に、ＡＲＰテーブルの書き換えを防止する場合もある。
一方で、セキュリティ装置（比較例）は、ＡＲＰテーブル書き換えを行うことでクライアント端末の通信をセキュリティ装置へと誘導し遮断しているため、ＡＲＰテーブルの書き換えを防ぐようなソフトウェアが導入されたクライアント端末に対しては通信の誘導や遮断できなかった。
そこで、本例のセキュリティ装置２は、これまでのＡＲＰテーブルを書き換えるような手法から、ＩＰアドレスの衝突を利用し、クライアント端末９へのＩＰアドレス割り当て自体を妨害することで、通信を遮断する手法に変更することとなった。

【0020】

図２は、セキュリティ装置２のハードウェア構成を例示する図である。
図２に例示するように、セキュリティ装置２は、ＣＰＵ２００、メモリ２０２、ＨＤＤ２０４、及び、ネットワークインタフェース２０６（ネットワークＩＦ２０６）を有し、これらの構成はバス２１２を介して互いに接続している。
ＣＰＵ２００は、例えば、中央演算装置である。
メモリ２０２は、例えば、揮発性メモリであり、主記憶装置として機能する。
ＨＤＤ２０４は、例えば、ハードディスクドライブ装置であり、不揮発性の記録装置としてコンピュータプログラムやその他のデータファイルを格納する。
ネットワークＩＦ２０６は、有線又は無線で通信するためのインタフェースであり、ネットワーク３を介した通信を実現する。

【0021】

図３は、セキュリティ装置２の機能構成を例示する図である。
図３に例示するように、本例のセキュリティ装置２には、セキュリティプログラム５がインストールされると共に、通信規則データベース６００（通信規則ＤＢ６００）及び解析結果データベース６１０（解析結果ＤＢ６１０）が構成される。
セキュリティプログラム５は、遮断対象特定部５００、リスト作成部５１０、要求パケット取得部５２０、要求パケット解析部５３０、ＡＣＫパケット取得部５４０、ＡＣＫパケット解析部５５０、不可通知部５６０、及びアドレス解放部５７０を有する。
なお、セキュリティプログラム５の一部又は全部は、ＡＳＩＣなどのハードウェアにより実現されてもよい。

【0022】

セキュリティプログラム５において、遮断対象特定部５００は、通信を遮断すべき端末を特定する。例えば、遮断対象特定部５００は、ネットワーク３で送受信されるデータを監視し、既定の条件に合致するクライアント端末を遮断対象として特定する。本例の遮断対象特定部５００は、管理者により通信規則ＤＢ６００に登録されたＭＡＣアドレス（Media Access Control address）、有効期間、及びＯＳ（Operating System）種別に基づいて、遮断対象のクライアント端末９Ａを特定する。

【0023】

リスト作成部５１０は、ネットワーク３に接続しているクライアント端末９に関して、ＩＰアドレス衝突発生処理（後述）又はＩＰアドレス解放処理に用いる情報を収集する。本例のリスト作成部５１０は、ネットワーク３に接続しているクライアント端末９それぞれに対してＡＲＰ要求を行い、各クライアント端末９のＭＡＣアドレスを収集する。

【0024】

要求パケット取得部５２０は、ＤＨＣＰサーバに対してＩＰアドレスの割り当てを要求するＤＨＣＰ要求情報を取得する。本例の要求パケット取得部５２０は、ネットワーク３上で送受信されるパケットを監視して、ＤＨＣＰ ＲＥＱＵＥＳＴパケット（ＤＨＣＰリクエストパケット）を取得する。

【0025】

要求パケット解析部５３０は、要求パケット取得部５２０により取得されたＤＨＣＰ要求情報を解析し、解析結果を解析結果ＤＢ６１０に登録する。本例の要求パケット解析部５３０は、ＤＨＣＰ ＲＥＱＵＥＳＴパケットが遮断対象のクライアント端末９Ａから送信されたものである場合に、このＤＨＣＰ ＲＥＱＵＥＳＴパケットに含まれるトランザクションＩＤ（Transaction ID）、クライアント端末のＭＡＣアドレス（送信元のＭＡＣアドレス）、クライアント端末が使用することを希望するＩＰアドレス、及び、ＤＨＣＰサーバのＩＰアドレスを解析結果ＤＢ６１０に登録し、これ以外の場合に、ＤＨＣＰ ＲＥＱＵＥＳＴパケットを破棄する。

【0026】

ＡＣＫパケット取得部５４０は、ＤＨＣＰ要求情報に対する応答情報であるＤＨＣＰ応答情報を取得する。例えば、ＡＣＫパケット取得部５４０は、ＤＨＣＰ ＲＥＱＵＥＳＴパケットに対してＤＨＣＰサーバ８から返信されるＤＨＣＰ ＡＣＫパケットを取得する。ＡＣＫパケット取得部５４０は、ＤＨＣＰ ＲＥＱＵＥＳＴパケットに対してＤＨＣＰサーバ８から返信されるＤＨＣＰ ＡＣＫパケットを取得する。

【0027】

ＡＣＫパケット解析部５５０は、ＡＣＫパケット取得部５４０により取得されたＤＨＣＰ応答情報を解析し、解析結果を解析結果ＤＢ６１０に登録する。例えば、ＡＣＫパケット解析部５５０は、遮断対象のクライアント端末９Ａに対するＤＨＣＰ ＡＣＫパケットがＡＣＫパケット取得部５４０により取得された場合に、このＤＨＣＰ ＡＣＫパケットに含まれるＤＨＣＰサーバのＭＡＣアドレス及びＩＰアドレスを解析結果ＤＢ６１０に登録し、これ以外の場合に、取得されたＤＨＣＰ ＡＣＫパケットを破棄する。本例のＡＣＫパケット解析部５５０は、トランザクションＩＤに基づいて、遮断対象のクライアント端末９Ａから送信されたＤＨＣＰ ＲＥＱＵＥＳＴパケット（すなわち、解析結果ＤＢ６１０に登録されているＤＨＣＰ ＲＥＱＵＥＳＴパケット）に対応するＤＨＣＰ ＡＣＫパケットを特定する。

【0028】

不可通知部５６０は、ＤＨＣＰ要求情報により要求されたＩＰアドレスが使用不可能であることを、遮断対象特定部５００により遮断対象であると特定されたクライアント端末９Ａに対して通知する。より具体的には、不可通知部５６０は、ＤＨＣＰ要求情報により要求されたＩＰアドレスが使用中である旨を遮断対象のクライアント端末９Ａに通知して、要求されたＩＰアドレスが使用不可能であることを認識させる。

【0029】

本例の不可通知部５６０は、ＡＲＰ解析部５６２及びＡＲＰ返信部５６４を含む。
ＡＲＰ解析部５６２は、ネットワーク３で送出されるＡＲＰリクエストパケットを解析し、遮断対象特定部５００により遮断対象であると特定されたクライアント端末９ＡからのＡＲＰリクエストパケットである場合に、ＡＲＰ返信部５６４に対して、ＩＰアドレスが使用中である旨を示す返信を行うよう指示し、これ以外の場合に、ＡＲＰリクエストパケットを破棄する。
ＡＲＰ返信部５６４は、ＡＲＰ解析部５６２による解析結果に応じて、ＡＲＰリクエストパケットに対する返信情報として、ＩＰアドレスが使用中である旨を示すＡＲＰリプライパケットをネットワーク３に送出する。

【0030】

アドレス解放部５７０は、遮断対象特定部５００により特定された遮断対象のクライアント端末９Ａから送出されたＤＨＣＰ要求情報が要求パケット取得部５２０により取得されたことを条件として、このＤＨＣＰ要求情報により要求されたＩＰアドレスを解放するためのＤＨＣＰ ＲＥＬＥＡＳＥ（ＤＨＣＰリリース）情報を、ＤＨＣＰサーバ８に送信する。より具体的には、アドレス解放部５７０は、不可通知部５６０によりＩＰアドレスが使用中である旨を通知された遮断対象のクライアント端末９ＡがＤＨＣＰ ＤＥＣＬＩＮＥ（ＤＨＣＰデクライン）情報を送出する前に、ＤＨＣＰ ＲＥＬＥＡＳＥ情報をＤＨＣＰサーバ８に送信する。

【0031】

ＤＨＣＰ ＲＥＬＥＡＳＥ情報は、解析結果ＤＢ６１０に登録されている情報を用いて、遮断対象のクライアント端末９Ａから送信されたようなＤＨＣＰ ＲＥＬＥＡＳＥパケット（ＤＨＣＰリリースパケット）としてアドレス解放部５７０により作成される。すなわち、アドレス解放部５７０は、要求パケット取得部５２０により取得された遮断対象のクライアント端末９ＡのＤＨＣＰ要求情報と同じ識別情報（トランザクションＩＤ、クライアント端末のＭＡＣアドレス、クライアント端末が使用することを希望するＩＰアドレス、及び、ＤＨＣＰサーバのＩＰアドレス）を用いて、ＤＨＣＰ ＲＥＬＥＡＳＥパケットを作成する。
アドレス解放部５７０は、ＤＨＣＰ ＲＥＬＥＡＳＥパケットを作成する際に、ＡＣＫパケット取得部５４０により取得された遮断対象のクライアント端末９ＡへのＤＨＣＰ応答情報と同じ識別情報（ＤＨＣＰサーバのＭＡＣアドレス）を用いるが、ＤＨＣＰ応答情報が取得できなかった場合には、リスト作成部５１０により収集された情報を用いて、ＤＨＣＰ ＲＥＬＥＡＳＥパケットを作成し、ＤＨＣＰ ＤＥＣＬＩＮＥ情報が送出される前に、作成されたＤＨＣＰ ＲＥＬＥＡＳＥパケットを送信する。

【0032】

図４（Ａ）は、通信規則ＤＢ６００に登録される情報を例示し、図４（Ｂ）は、解析結果ＤＢ６１０に登録される情報を例示する図である。
図４（Ａ）に例示するように、本例の通信規則ＤＢ６００は、クライアント端末のＭＡＣアドレスに関連付けて、通信規則を格納している。通信規則は、例えば、通信不可である旨であってもよいし、有効期限や有効なＯＳなどの条件であってもよい。
図４（Ｂ）に例示するように、本例の解析結果ＤＢ６１０は、遮断対象のクライアント端末に関して、ＤＨＣＰ ＲＥＱＵＥＳＴパケットから抽出した「トランザクションＩＤ」、「クライアント端末のＭＡＣアドレス」、「使用を希望しているＩＰアドレス」、及び「ＤＨＣＰサーバのＩＰアドレス」と、ＤＨＣＰ ＡＣＫパケットから抽出した「ＤＨＣＰサーバのＭＡＣアドレス」及び「ＤＨＣＰサーバのＩＰアドレス」とを格納する。

【0033】

図５は、ＤＨＣＰ応答情報を取得できた場合の通信遮断処理（Ｓ１０）のシーケンス図である。
図５に示すように、ステップ１００（Ｓ１００）において、遮断対象のクライアント端末９Ａが、ＤＨＣＰによりＩＰアドレス割り当てを要求する場合は、ＤＨＣＰサーバ８に対してＤＨＣＰ ＤＩＳＣＯＶＥＲパケットを送信する。
ステップ１０２（Ｓ１０２）において、ＤＨＣＰサーバ８は、ＤＨＣＰ ＤＩＳＣＯＶＥＲパケットに対して、ネットワーク３上で利用可能なＩＰアドレス情報を含むＤＨＣＰ ＯＦＦＥＲパケットを送信する。
ステップ１０４（Ｓ１０４）において、ＤＨＣＰ ＯＦＦＥＲパケットを受け取ったクライアント端末９Ａは、ＤＨＣＰ ＯＦＦＥＲパケットに含まれているネットワーク３上で利用可能なＩＰアドレスを使用することを依頼するためのＤＨＣＰ ＲＥＱＵＥＳＴパケットを、ＤＨＣＰサーバ８に対して送信する。

【0034】

ステップ１０６（Ｓ１０６）において、セキュリティ装置２は、ネットワーク３を監視しており、クライアント端末９ＡがＤＨＣＰサーバ８に対して送信したＤＨＣＰ ＲＥＱＵＥＳＴパケットを取得する。
ステップ１０８（Ｓ１０８）において、ＤＨＣＰ ＲＥＱＵＥＳＴパケットを受け取ったＤＨＣＰサーバ８は、ＤＨＣＰ ＡＣＫパケットをクライアント端末９Ａに送信する。
ステップ１１０（Ｓ１１０）において、セキュリティ装置２は、ＤＨＣＰサーバ８からクライアント端末９Ａに送信されたＤＨＣＰ ＡＣＫパケットを取得する。セキュリティ装置２は、取得されたＤＨＣＰ ＲＥＱＵＥＳＴパケット及びＤＨＣＰ ＡＣＫパケットを解析することにより、クライアント端末９Ａが取得しようとしたＩＰアドレスがＤＨＣＰサーバ８から割り当てられたものであると判定する。

【0035】

ステップ１１２（Ｓ１１２）において、セキュリティ装置２は、取得された遮断対象のＤＨＣＰ ＲＥＱＵＥＳＴパケット及びＤＨＣＰ ＡＣＫパケットに含まれる、ネットワーク３上で利用可能なIPアドレス情報等に基づいて、ＤＨＣＰサーバ８に対して、ＤＨＣＰサーバ８が遮断対象に割り当てたＩＰアドレスの解放を依頼するためのＤＨＣＰ ＲＥＬＥＡＳＥパケットを、クライアント端末９ＡがＤＨＣＰ ＤＥＣＬＩＮＥパケットを送信するよりも前に送信する。
これにより、ＤＨＣＰサーバ８で割り当て可能なＩＰアドレスの枯渇が防止される。

【0036】

ステップ１１４（Ｓ１１４）において、クライアント端末９Ａは、ＤＨＣＰ ＲＥＱＵＥＳＴで使用を依頼したＩＰアドレスが、ネットワーク３上ですでに利用されているかを確認するために、ＡＲＰリクエストパケットを送信する。
ステップ１１６（Ｓ１１６）において、ＡＲＰリクエストパケットを受け取ったセキュリティ装置２は、遮断対象のクライアント端末９Ａが利用しようとしているＩＰアドレスがネットワーク３上で既に利用されていることを示すＡＲＰリプライパケットを送信する。クライアント端末９Ａは、このＡＲＰリプライパケットを受信すると、ＤＨＣＰサーバ８から割り当てられたＩＰアドレスはすでにネットワーク上で使用されており、ＩＰアドレス衝突が発生したものとして扱うため、クライアント端末９Ａの通信が遮断される。

【0037】

ステップ１１８（Ｓ１１８）において、クライアント端末９Ａは、ＩＰアドレスが使用中である旨のＡＲＰリプライパケットを受信すると、ＤＨＣＰサーバ８に対して、割り当てられたＩＰアドレスについてＤＨＣＰ ＤＥＣＬＩＮＥパケットを送信する。その後、遮断対象のクライアント端末９Ａは、ＤＨＣＰ ＤＩＳＣＯＶＥＲ（ＤＨＣＰディスカバー）（Ｓ１００）に戻り、上記処理を繰り返すことになる。
なお、ＤＨＣＰ ＤＥＣＬＩＮＥパケットよりも前に、セキュリティ装置２がＤＨＣＰ ＲＥＬＥＡＳＥパケットを送信する理由は、ＤＨＣＰサーバの中には、ＤＨＣＰ ＤＥＣＬＩＮＥパケットをＤＨＣＰ ＲＥＬＥＡＳＥパケットよりも先に受信した場合、割り当てようとしたＩＰアドレスはネットワーク上で利用できないものとして判断したまま、その後ＤＨＣＰ ＲＥＬＥＡＳＥパケットを受け取ったとしても、割り当てようとしたＩＰアドレスを別のクライアント端末に割り当てることがなくなってしまうものも存在するためである。

【0038】

図６は、ＤＨＣＰ応答情報を取得できなかった場合の通信遮断処理（Ｓ２０）のシーケンス図である。
ネットワーク３上のトラフィック量が非常に多いことなどを理由に、ＤＨＣＰ ＡＣＫパケットをセキュリティ装置２が受信できなかった場合には、図６に示すように、ＡＲＰリプライパケット送信処理（Ｓ２１６）の後に、セキュリティ装置２は、不足する情報を予め用意された情報で補って、ＤＨＣＰ ＲＥＬＥＡＳＥパケットを作成し（Ｓ２１８）、作成されたＤＨＣＰ ＲＥＬＥＡＳＥパケットをＤＨＣＰサーバ８に対して送信する（Ｓ２２０）。これにより、割り当てようとしたＩＰアドレスの解放を行う。
ＤＨＣＰ ＲＥＬＥＡＳＥパケットを受け取ったＤＨＣＰサーバ８は、ＤＨＣＰ ＡＣＫパケットによりクライアント端末９Ａに割り当てたＩＰアドレスの使用が終了したと判断し、割り当てたＩＰアドレスを解放する。

【0039】

図７は、セキュリティ装置２によるＤＨＣＰ ＲＥＱＵＥＳＴパケット解析処理（Ｓ３０）のフローチャートである。クライアント端末９がネットワーク３に接続されると、ＤＨＣＰサーバ８及びセキュリティ装置２を含むネットワーク３上の機器に対して、ネットワーク上で利用可能なＩＰアドレスの割り当てを目的として、ＤＨＣＰ ＲＥＱＵＥＳＴパケットを送信する。
ステップ３００（Ｓ３００）において、セキュリティ装置２の要求パケット取得部５２０は、クライアント端末９が送信するＤＨＣＰ ＲＥＱＵＥＳＴパケットを取得し、取得したパＤＨＣＰ ＲＥＱＵＥＳＴパケットを要求パケット解析部５３０に渡す。
要求パケット解析部５３０は、要求パケット取得部５２０により取得されたＤＨＣＰ ＲＥＱＵＥＳＴパケットを解析する。

【0040】

ステップ３１０（Ｓ３１０）において、遮断対象特定部５００は、要求パケット解析部５３０による解析結果と、通信規則ＤＢ６００に登録されている通信規則とに基づいて、遮断対象のクライアント端末９が送信したパケットであるか否かを判断する。通信規則は、例えば、遮断対象のＭＡＣアドレスであってもよいし、ＭＡＣアドレス、有効期限及び有効ＯＳなどが含まれた遮断条件であってもよい。
セキュリティ装置２は、遮断対象特定部５００により遮断対象であると判定された場合に、Ｓ３２０の処理に移行し、遮断対象ではないと判定された場合に、処理（Ｓ３０）を終了する。

【0041】

ステップ３２０（Ｓ３２０）において、要求パケット解析部５３０は、ＤＨＣＰ ＲＥＱＵＥＳＴパケットの解析結果を解析結果ＤＢ６１０に登録する。すなわち、要求パケット解析部５３０は、遮断対象の解析結果のみを解析結果ＤＢ６１０に登録する。より具体的には、要求パケット解析部５３０は、解析結果として、ＤＨＣＰ ＲＥＱＵＥＳＴパケットに含まれる、トランザクションＩＤ、クライアント端末（遮断対象）のＭＡＣアドレス、クライアント端末が使用することを希望するＩＰアドレス、及び、ＤＨＣＰサーバのＩＰアドレスを解析結果ＤＢ６１０に登録する。

【0042】

図８は、セキュリティ装置２によるＤＨＣＰ ＡＣＫパケット解析処理（Ｓ４０）のフローチャートである。ＤＨＣＰ ＲＥＱＵＥＳＴパケットを受け取ったＤＨＣＰサーバ８は、クライアント端末９及びセキュリティ装置２を含むネットワーク３上の機器に対して、ＤＨＣＰ ＡＣＫパケットを送信する。
ステップ４００（Ｓ４００）において、セキュリティ装置２のＡＣＫパケット取得部５４０は、ＤＨＣＰサーバ８が送出したＤＨＣＰ ＡＣＫパケットを取得し、取得したＤＨＣＰ ＡＣＫパケットをＡＣＫパケット解析部５５０に渡す。
ＡＣＫパケット解析部５５０は、ＡＣＫパケット取得部５４０により取得されたパケットを解析する。

【0043】

ステップ４１０（Ｓ４１０）において、ＡＣＫパケット解析部５５０は、パケットの解析結果と、解析結果ＤＢ６１０に登録されているＤＨＣＰ要求情報とに基づいて、ＤＨＣＰ ＲＥＱＵＥＳＴパケットに対応するＤＨＣＰ ＡＣＫパケットであるか否かを判定する。具体的には、ＡＣＫパケット解析部５５０は、ＤＨＣＰ ＲＥＱＵＥＳＴパケットを解析した結果得たトランザクションＩＤ（すなわち、解析結果ＤＢ６１０に登録されているトランザクションＩＤ）と、ＤＨＣＰ ＡＣＫパケットに含まれるトランザクションＩＤとを比較して、ＤＨＣＰ ＲＥＱＵＥＳＴパケットに対応するＤＨＣＰ ＡＣＫパケットであるか否か（すなわち、遮断対象に向けたＤＨＣＰ応答情報であるか否か）を判定する。
セキュリティ装置２は、ＡＣＫパケット解析部５５０によりＤＨＣＰ ＲＥＱＵＥＳＴパケットに対応するＤＨＣＰ ＡＣＫパケットであると判定された場合に、Ｓ４２０の処理に移行し、ＡＣＫパケット解析部５５０によりＤＨＣＰ ＲＥＱＵＥＳＴパケットに対応するＤＨＣＰ ＡＣＫパケットではないと判定された場合（すなわち、遮断対象に向けたＤＨＣＰ応答情報ではない場合）に、処理（Ｓ４０）を終了する。

【0044】

ステップ４２０（Ｓ４２０）において、ＡＣＫパケット解析部５５０は、解析結果を解析結果ＤＢ６１０に登録する。より具体的には、ＡＣＫパケット解析部５５０は、解析結果として、ＤＨＣＰ ＡＣＫパケットに含まれる、ＤＨＣＰサーバのＭＡＣアドレス及びＩＰアドレスを解析結果ＤＢ６１０に登録する。
ステップ４３０（Ｓ４３０）において、アドレス解放部５７０は、要求パケット解析部５３０による解析結果と、ＡＣＫパケット解析部５５０による解析結果とに基づいて、ＤＨＣＰ ＲＥＬＥＡＳＥパケットを作成し、作成されたＤＨＣＰ ＲＥＬＥＡＳＥパケットをＤＨＣＰサーバ８に送信する。ＤＨＣＰ ＲＥＬＥＡＳＥパケットは、遮断対象のクライアント端末９に割り当てられたＩＰアドレスを解放するための情報であり、解析結果である、トランザクションＩＤ、クライアント端末（遮断対象）のＭＡＣアドレス、クライアント端末（遮断対象）が使用することを希望するＩＰアドレス、ＤＨＣＰサーバのＩＰアドレス、及び、ＤＨＣＰサーバのＭＡＣアドレスを含む。
アドレス解放部５７０は、遮断対象についてＤＨＣＰ ＲＥＱＵＥＳＴパケット及びＤＨＣＰ ＡＣＫパケットが取得され解析されたことを条件として、不可通知部５６０による通知タイミングとは無関係に、ＤＨＣＰ ＲＥＬＥＡＳＥパケットをＤＨＣＰサーバ８に送信する。

【0045】

図９は、セキュリティ装置２によるＩＰ重複通知処理（Ｓ５０）のフローチャートである。ＤＨＣＰ ＡＣＫパケットを受け取ったクライアント端末９は、ＤＨＣＰサーバ８から割り当てられたＩＰアドレスが、すでにネットワーク３上で利用されているか否かを確認するために、セキュリティ装置２を含むネットワーク３上の機器に対して、ＡＲＰリクエストパケットを送信する。
ステップ５００（Ｓ５００）において、セキュリティ装置２のＡＲＰ解析部５６２は、クライアント端末９から受信したＡＲＰリクエストパケットを解析する。

【0046】

ステップ５１０（Ｓ５１０）において、ＡＲＰ解析部５６２は、ＡＲＰリクエストパケットの解析結果と、通信規則ＤＢ６００に登録されている通信規則とに基づいて、遮断対象のクライアント端末によるＡＲＰリクエストパケットであるか否かを判定する。
セキュリティ装置２は、遮断対象のクライアント端末９によるＡＲＰリクエストパケットであるとＡＲＰ解析部５６２により判定された場合に、Ｓ５２０の処理に移行し、遮断対象のクライアント端末９によるＡＲＰリクエストパケットではないとＡＲＰ解析部５６２により判定された場合に、処理（Ｓ５０）を終了する。

【0047】

ステップ５２０（Ｓ５２０）において、ＡＲＰ返信部５６４は、ＡＲＰ解析部５６２の解析結果に基づいて、ＩＰアドレスが使用中である旨を示すＡＲＰリプライパケットを作成し、作成されたＡＲＰリプライパケットをネットワーク３に送出する。

【0048】

ステップ５３０（Ｓ５３０）において、アドレス解放部５７０は、遮断対象のクライアント端末９に関して、既にＤＨＣＰ ＲＥＱＵＥＳＴパケットをこのクライアント端末9から受信している、かつ、ＤＨＣＰ ＲＥＱＵＥＳＴパケットに対応するＤＨＣＰ ＡＣＫパケット（すなわち、トランザクションＩＤによって紐づくＤＨＣＰ ＡＣＫパケット）をＤＨＣＰサーバ８から受信していない場合に、Ｓ５４０の処理に移行し、これ以外の場合に、処理（Ｓ５０）を終了する。

【0049】

ステップ５４０（Ｓ５４０）において、アドレス解放部５７０は、ＤＨＣＰ ＲＥＬＥＡＳＥパケットを作成し、ＤＨＣＰサーバ８に送信する。すなわち、遮断対象のクライアント端末９によるＤＨＣＰ ＲＥＱＵＥＳＴパケットが取得されたが、この取得タイミングから既定の期間内に、このＤＨＣＰ ＲＥＱＵＥＳＴパケットに対応するＤＨＣＰ ＡＣＫパケットをセキュリティ装置２が受信できなかった場合に、アドレス解放部５７０は、ＤＣＨＰ ＲＥＱＵＥＳＴパケットに含まれる情報と、リスト作成部５１０により予め収集された情報とに基づいて、ＤＨＣＰ ＲＥＬＥＡＳＥパケットを作成し、作成されたＤＨＣＰ ＲＥＬＥＡＳＥパケットをＤＨＣＰサーバ８に対して送信する。

【0050】

以上説明したように、本実施形態のセキュリティ装置２は、ネットワーク３で送受信されるパケットを監視し、遮断対象のクライアント端末９が送信する、端末が使用を希望するＩＰアドレスを取得するためのＡＲＰ（Address Resolution Protocol）リクエストパケットを解析し、ＡＲＰリクエストパケットに対して、使用を希望するＩＰアドレスがネットワーク３において既に使用されているということを示すＡＲＰリプライパケットを送信する。これにより、遮断対象のクライアント端末９に割り当てられるＩＰアドレスがネットワーク上で重複しているようにみえ、遮断対象のクライアント端末は、セキュリティ装置２によって通信が遮断されているということに端末操作者が気付かない。
また、セキュリティ装置２は、遮断対象のクライアント端末９がＩＰアドレスの重複を検知した際に送信するＤＨＣＰ ＤＥＣＬＩＮＥパケットよりも前に、ＤＨＣＰサーバ８に対してＤＨＣＰ ＲＥＬＥＡＳＥパケットを作成し送信することにより、ＤＨＣＰサーバ８において割り当て可能なＩＰアドレスの枯渇を防止することができる。

【符号の説明】

【0051】

１…情報処理システム
２…セキュリティ装置
５…セキュリティプログラム
５００…遮断対象特定部
５１０…リスト作成部
５２０…要求パケット取得部
５３０…要求パケット解析部
５４０…ＡＣＫパケット取得部
５５０…ＡＣＫパケット解析部
５６０…不可通知部
５６２…ＡＲＰ解析部
５６４…ＡＲＰ返信部
５７０…アドレス解放部
６００…通信規則データベース
６１０…解析結果データベース

【要約】

【課題】 通信遮断に伴うネットワークアドレスの枯渇を防止するネットワーク管理方法を提供する。
【解決手段】 ネットワーク管理方法は、通信を遮断すべき端末を特定する対象特定ステップと、ＤＨＣＰサーバに対してＩＰアドレスの割り当てを要求するＤＨＣＰ要求情報を取得する要求取得ステップと、ＤＨＣＰ要求情報により要求されたＩＰアドレスが使用不可能であることを通知する不可通知ステップと、対象特定ステップにおいて特定された端末のＤＨＣＰ要求情報が、要求取得ステップにおいて取得されたことを条件として、このＤＨＣＰ要求情報により要求されたＩＰアドレスを解放するためのＤＨＣＰリリース情報を、ＤＨＣＰサーバに送信するアドレス解放ステップとを有する。
【選択図】図５

【図1】

【図2】

【図3】

【図4】

【図5】

【図6】

【図7】

【図8】

【図9】