特開 2024-30246 通信装置および通信装置の制御方法

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】公開特許公報(A)

(11)【公開番号】P2024030246

(43)【公開日】2024-03-07

(54)【発明の名称】通信装置および通信装置の制御方法

(51)【国際特許分類】

   H04L 41/085 20220101AFI20240229BHJP

【ＦＩ】

H04L41/085

【審査請求】未請求

【請求項の数】6

【出願形態】ＯＬ

(21)【出願番号】P 2022132967

(22)【出願日】2022-08-24

(71)【出願人】

【識別番号】000005223

【氏名又は名称】富士通株式会社

(74)【代理人】

【識別番号】100107766

【弁理士】

【氏名又は名称】伊東 忠重

(74)【代理人】

【識別番号】100070150

【弁理士】

【氏名又は名称】伊東 忠彦

(74)【代理人】

【識別番号】100107515

【弁理士】

【氏名又は名称】廣田 浩一

(72)【発明者】

【氏名】山田 純平

(57)【要約】

【課題】ネットワーク構成が不明なネットワーク上に複数の通信装置が配置される場合にも、通信装置に直接接続された端末の端末情報のみを出力する。
【解決手段】通信装置は、フレームの送信元の端末の端末情報を端末情報記憶部に格納し、他の通信装置から自発的に送信された自発フレームを受信したポートを除外ポートと判定して、除外ポート情報を除外ポート記憶部に格納し、ポートに接続された端末を識別する識別情報をポートの識別情報に対応付けて保持する対応テーブルを参照し、端末情報記憶部に保持された端末情報に対応付けて、端末が接続されているポートの識別情報を格納するポート情報格納処理部と、端末情報の出力要求に基づいて、端末情報記憶部に保持された端末情報のうち、除外ポートに対応する端末情報を除く端末情報を出力する端末情報出力処理部と、を有する。
【選択図】図３

【特許請求の範囲】

【請求項1】

端末または他の通信装置を接続可能な複数のポートを有し、フレームを送受信する通信装置であって、
前記ポートで受信したフレームの送信元の端末の端末情報を端末情報記憶部に格納し、前記受信したフレームが前記他の通信装置から自発的に送信された自発フレームである場合、自発フレームを受信したポートを除外ポートと判定するフレーム監視処理部と、
前記フレーム監視処理部が判定した前記除外ポートを識別する除外ポート情報が記憶される除外ポート記憶部と、
前記ポートに接続された端末を識別する識別情報を前記ポートの識別情報に対応付けて保持する対応テーブルを参照し、前記端末情報記憶部に保持された前記端末情報に対応付けて、前記端末が接続されているポートの識別情報を格納するポート情報格納処理部と、
端末情報の出力要求に基づいて、前記端末情報記憶部に保持された端末情報のうち、除外ポート記憶部に保持されているポートの識別情報に対応する端末情報を除く端末情報を出力する端末情報出力処理部と、
を有する通信装置。

【請求項2】

前記フレーム監視処理部は、前記ポートで受信したフレームが他の通信装置から送信されるが前記端末からは送信されないフレームである場合、前記自発フレームであると判定する
請求項１に記載の通信装置。

【請求項3】

前記フレーム監視処理部は、前記ポートで受信したフレームが前記通信装置の制御に使用されるフレームである場合、前記自発フレームであると判定する
請求項２に記載の通信装置。

【請求項4】

前記端末を識別する識別情報は、ＭＡＣアドレスであり
前記フレーム監視処理部は、前記受信したフレームに含まれるＭＡＣアドレスが前記自発フレームを送信する通信装置を示す特定ＭＡＣアドレスである場合、前記受信したフレームが前記自発フレームであると判定する
請求項１ないし請求項３のいずれか１項に記載の通信装置。

【請求項5】

複数の前記特定ＭＡＣアドレスを識別可能な共通ＭＡＣアドレスと、ＭＡＣアドレスの特定のビット群のマスクに使用するマスクコードとを保持する特定ＭＡＣアドレス記憶部を有し、
前記フレーム監視処理部は、前記受信したフレームに含まれるＭＡＣアドレスの前記特定のビット群を前記マスクコードによりマスクして得たＭＡＣアドレスが前記共通ＭＡＣアドレスと一致する場合、前記受信したフレームが前記自発フレームであると判定する
請求項４に記載の通信装置。

【請求項6】

端末または他の通信装置を接続可能な複数のポートを有し、フレームを送受信する通信装置の制御方法であって、
前記通信装置が有するフレーム監視処理部が、前記ポートで受信したフレームの送信元の端末の端末情報を端末情報記憶部に格納し、前記受信したフレームが前記他の通信装置から自発的に送信された自発フレームである場合、自発フレームを受信したポートを除外ポートと判定し、判定した前記除外ポートを識別する除外ポート情報を除外ポート記憶部に格納し、
前記通信装置が有するポート情報格納処理部が、前記ポートに接続された端末を識別する識別情報を前記ポートの識別情報に対応付けて保持する対応テーブルを参照し、前記端末情報記憶部に保持された前記端末情報に対応付けて、前記端末が接続されているポートの識別情報を格納し、
前記通信装置が有する端末情報出力処理部が、端末情報の出力要求に基づいて、前記端末情報記憶部に保持された端末情報のうち、除外ポート記憶部に保持されているポートの識別情報に対応する端末情報を除く端末情報を出力する
通信装置の制御方法。

【発明の詳細な説明】

【技術分野】

【0001】

本発明は、通信装置および通信装置の制御方法に関する。

【背景技術】

【0002】

近年、ネットワーク上には多様な端末が接続される。端末のネットワークへの不正な接続、または、脆弱なＯＳ（Operating System）を使用している端末によるマルウェアの感染を抑止するため、ネットワークにどのような端末が接続されているかを可視化することは、セキュリティ上重要である。

【0003】

例えば、Ｌ２スイッチ等のネットワーク機器において、端末が接続されているポート番号および端末で使用しているＯＳ、ＭＡＣ（Media Access Control）アドレスおよびＩＰ（Internet Protocol）アドレス等の端末情報を出力する手法が知られている。これにより、ネットワーク機器に接続された端末の端末情報が可視化される（例えば、特許文献１参照）。

【0004】

また、調査用端末から、ＭＡＣアドレス学習テーブルを保持するスイッチに接続し、ＭＡＣアドレス学習テーブルから調査用端末のＭＡＣアドレスに対応するポートを含む対を全て除去し、端末が接続されたポートを特定する手法が知られている（例えば、特許文献２参照）。

【先行技術文献】

【特許文献】

【0005】

【特許文献1】特開２０２０－３１３２１号公報

【特許文献2】特開２０１２－１７５１３９号公報

【発明の概要】

【発明が解決しようとする課題】

【0006】

例えば、ネットワーク機器は、他のネットワーク機器がブロードキャストするフレームを監視することで、端末情報を収集する。しかしながら、同一ネットワーク上に複数のネットワーク機器が接続される場合、ポートに直接接続された端末の端末情報だけでなく、他のネットワーク機器を介して接続された端末の端末情報も収集される。このため、例えば、脆弱性を有する端末が直接接続されているネットワーク機器を特定することが困難になる。この結果、ネットワーク構成が不明の場合、脆弱性を有する端末をネットワークから遮断することが困難である。

【0007】

１つの側面では、本発明は、ネットワーク構成が不明なネットワーク上に複数の通信装置が配置される場合にも、通信装置に直接接続された端末の端末情報のみを出力することを目的とする。

【課題を解決するための手段】

【0008】

一つの観点によれば、通信装置は、端末または他の通信装置を接続可能な複数のポートを有し、フレームを送受信する通信装置であって、前記ポートで受信したフレームの送信元の端末の端末情報を端末情報記憶部に格納し、前記受信したフレームが前記他の通信装置から自発的に送信された自発フレームである場合、自発フレームを受信したポートを除外ポートと判定するフレーム監視処理部と、前記フレーム監視処理部が判定した前記除外ポートを識別する除外ポート情報が記憶される除外ポート記憶部と、前記ポートに接続された端末を識別する識別情報を前記ポートの識別情報に対応付けて保持する対応テーブルを参照し、前記端末情報記憶部に保持された前記端末情報に対応付けて、前記端末が接続されているポートの識別情報を格納するポート情報格納処理部と、端末情報の出力要求に基づいて、前記端末情報記憶部に保持された端末情報のうち、除外ポート記憶部に保持されているポートの識別情報に対応する端末情報を除く端末情報を出力する端末情報出力処理部と、を有する。

【発明の効果】

【0009】

ネットワーク構成が不明なネットワーク上に複数の通信装置が配置される場合にも、通信装置に直接接続された端末の端末情報のみを出力することができる。

【図面の簡単な説明】

【0010】

【図1】一実施形態における通信装置を含むネットワークの構成の一例を示す図である。

【図2】図１に示すＬ２スイッチのハードウェア構成の一例を示すブロック図である。

【図3】図１に示すＬ２スイッチの機能構成の一例を示すブロック図である。

【図4】図３のＭＡＣアドレステーブル、端末情報記憶部および除外ポート記憶部の一例を示すブロック図である。

【図5】図１のサブネットワークＳＮＥＴ１に配置されるＬ２スイッチにおける除外ポートの一例を示す説明図である。

【図6】図３のフレーム監視処理部およびポート情報格納処理部により生成される端末情報記憶部に保持される内容の一例を示す図である。

【図7】図３のフレーム監視処理部の動作の一例を示すフロー図である。

【図8】図３のポート情報格納処理部の動作の一例を示すフロー図である。

【図9】図３の端末情報出力処理部の動作の一例を示すフロー図である。

【図10】図３の端末情報出力処理部が出力するファイルに含まれる端末情報一覧の一例を示す図である。

【図11】別の実施形態におけるＬ２スイッチの機能構成の一例を示すブロック図である。

【図12】図１１のＭＡＣアドレステーブル、端末情報記憶部、除外ポート記憶部および特定ＭＡＣアドレス記憶部の一例を示すブロック図である。

【発明を実施するための形態】

【0011】

以下、図面を参照して、実施形態が説明される。

【0012】

図１は、一実施形態における通信装置を含むネットワークの構成の一例を示す。図１に示すネットワーク１００は、複数のＬ２（Layer 2）スイッチ１０（１０Ａ、１０Ｂ、１０Ｃ、１０Ｄ）、ルータ２０およびネットワークの管理者用の端末３０を含む。各Ｌ２スイッチ１０は、イーサネットポート等の端末ＴＭまたは他のＬ２スイッチ１０等を接続可能な複数のポートを有する。ポートの数は、４つに限定されない。以下では、各ポートは、４つの識別番号１－４で識別される。Ｌ２スイッチ１０は、通信装置の一例である。

【0013】

Ｌ２スイッチ１０Ｃ、１０Ｄは、ルータ２０に接続され、Ｌ２スイッチ１０Ａ、１０Ｂは、Ｌ２スイッチ１０Ｃに接続される。そして、Ｌ２スイッチ１０Ａ、１０Ｂ、１０ＣおよびＬ２スイッチ１０Ａ、１０Ｂに接続される端末ＴＭ（ＴＭ－Ａ、ＴＭ－Ｂ、ＴＭ－Ｃ、ＴＭ－Ｄ、ＴＭ－Ｅ、ＴＭ－Ｆ）によりサブネットワークＳＮＥＴ１が構築される。Ｌ２スイッチ１０Ｄおよび端末３０によりサブネットワークＳＮＥＴ２が構築される。

【0014】

例えば、Ｌ２スイッチ１０Ａのポート１、２、３は、端末ＴＭ－Ａ、ＴＭ－Ｂ、ＴＭ－Ｃにそれぞれ接続される。Ｌ２スイッチ１０Ａのポート４は、Ｌ２スイッチ１０Ｃのポート１に接続される。Ｌ２スイッチ１０Ｂのポート１、２、３は、端末ＴＭ－Ｄ、ＴＭ－Ｅ、ＴＭ－Ｆにそれぞれ接続される。Ｌ２スイッチ１０Ａのポート４は、Ｌ２スイッチ１０Ｃのポート２に接続される。Ｌ２スイッチ１０Ｃのポート４は、ルータ２０に接続される。Ｌ２スイッチ１０Ｄの図示しない２つのポートは、ルータ２０とネットワークの管理者用の端末３０とにそれぞれ接続される。

【0015】

図２は、図１に示すＬ２スイッチ１０のハードウェア構成の一例を示す。Ｌ２スイッチ１０は、ＣＰＵ１１、メモリ１２、不揮発性メモリ１３、スイッチデバイス１４、ポート１－４およびコンソールポートを有する。ＣＰＵ１１は、メモリ１２、不揮発性メモリ１３、スイッチデバイス１４およびコンソールポートに接続される。

【0016】

ＣＰＵ１１は、Ｌ２スイッチ１０の全体を制御する制御部として機能する。例えば、ＣＰＵ１１は、スイッチデバイス１４の転送機能を設定し、他のＬ２スイッチ１０またはルータ２０からの中継フレームおよび自発フレームの送受信を制御する。例えば、中継フレームは、端末ＴＭが送信元のフレームであり、Ｌ２スイッチ１０またはルータ２０により中継されるフレームである。

【0017】

自発フレームは、Ｌ２スイッチ１０またはルータ２０等のネットワーク機器が自発的に送信する送信元のフレームであり、中継フレーム以外のフレームである。自発フレームは、ネットワーク機器間で送受信される。例えば、ループ回避制御のためのＳＴＰプロトコルで使用されるＢＰＤＵ（Bridge Protocol Data Unit）フレームは、ネットワーク機器の自発フレームの１つであり、ネットワーク機器間で送受信される。

【0018】

ＢＰＤＵフレームは、ネットワークが循環経路となることを抑止するためにＬ２スイッチ１０が定期的にブロードキャストするスパニングツリー用のフレームの一例である。また、ＢＰＤＵフレームは、Ｌ２スイッチ１０から送信されるが端末ＴＭからは送信されない第１フレームの一例である。

【0019】

メモリ１２は、例えば、ＲＡＭ（Random Access Memory）等の揮発性メモリである。メモリ１２は、例えば、ＣＰＵ１１が実行する制御プログラムを保持し、各種の設定データおよびテーブル等の情報を保持する。不揮発性メモリ１３は、例えば、フラッシュメモリであり、ＣＰＵ１１が実行する制御プログラムおよび各種初期値等を保持する。不揮発性メモリ１３に保持する制御プログラムは、メモリ１２にロードされた後、ＣＰＵ１１により実行される。制御プログラムを実行するＣＰＵ１１は、メモリ１２または不揮発性メモリ１３を作業領域として使用する。

【0020】

スイッチデバイス１４は、例えば、ＡＳＩＣ（Application Specific Integrated Circuit）またはＦＰＧＡ（Field-Programmable Gate Array）等に搭載される。スイッチデバイス１４は、例えば、イーサネットを介して他のＬ２スイッチ１０等のポートとの間で送受信されるフレームの中継を制御する。

【0021】

コンソールポートは、ＰＣ（Personal Computer）等のコンソール端末に接続される。ＣＰＵ１１は、コンソールポートを介してコンソール端末から入力されるコマンドに基づいて、設定の操作や端末情報等の各種情報の入出力を行うことができる。設定操作や端末情報等の各種情報の入出力は、リモートからイーサネットポートを経由し、ＳＳＨ（Secure Shell）またはＴｅｌｎｅｔ（Teletype network）等のプロトコルを使用して接続することで実施されてもよい。

【0022】

図３は、図１に示すＬ２スイッチ１０の機能構成の一例を示す。Ｌ２スイッチ１０は、機能構成として記憶部１５と処理部１６とを有する。処理部１６は、Ｌ２スイッチ１０に接続される端末ＴＭの情報を可視化する可視化処理を実施するソフトウェアとして機能する。記憶部１５は、処理部１６が実施する可視化処理に使用される情報を記憶する。記憶部１５は、図２のメモリ１２内の図示しないデータ領域に割り当てられる。処理部１６は、図２のメモリ１２内の図示しないプログラム領域に割り当てられる。

【0023】

記憶部１５は、ＭＡＣアドレステーブル１２１、端末情報記憶部１２２および除外ポート記憶部１２３を有する。ＭＡＣアドレステーブル１２１には、ポートのいずれかに直接または間接に接続される端末ＴＭのＭＡＣアドレスが、ポート番号に対応付けて保持される。ＭＡＣアドレステーブル１２１は、ポートに接続された端末ＴＭを識別する識別情報をポートの識別情報に対応付けて保持する対応テーブルの一例である。

【0024】

端末情報記憶部１２２には、端末ＴＭのＭＡＣアドレス、ＩＰアドレスおよび端末ＴＭの情報である端末情報が、ポート番号に対応付けて保持される。例えば、端末情報は、端末ＴＭに搭載されるＯＳの種別、ＯＳのバージョン情報およびホスト名のうちの１つまたは複数を含む。

【0025】

除外ポート記憶部１２３には、Ｌ２スイッチ１０が端末情報一覧を出力する場合に、端末情報一覧としての出力が除外されるポート番号である除外ポート番号が記憶される。除外ポート番号は、除外ポートを識別する除外ポート情報の一例である。ＭＡＣアドレステーブル１２１、端末情報記憶部１２２および除外ポート記憶部１２３の例は、図４に示される。

【0026】

処理部１６は、ＣＰＵ１１による端末情報出力プログラムの実行により実現されて端末情報の可視化処理を行うフレーム監視処理部１１１、ポート情報格納処理部１１２および端末情報出力処理部１１３を有する。また、処理部１６は、ＣＰＵ１１によるフレーム処理プログラムの実行により実現されるフレーム送受信処理部１１４と、コマンド処理プログラムの実行により実現されるコマンド入出力処理部１１５とを有する。

【0027】

なお、フレーム監視処理部１１１、ポート情報格納処理部１１２、端末情報出力処理部１１３、フレーム送受信処理部１１４およびコマンド入出力処理部１１５の１つまたは複数は、ハードウェアにより実現されてもよい。

【0028】

フレーム監視処理部１１１は、フレーム送受信処理部１１４により受信したフレームが解析対象のフレームである場合、ネットワーク機器が送信した自発フレームかどうかを判定する判定処理を実施する。また、フレーム監視処理部１１１は、受信したフレームが他のＬ２スイッチ１０から送信された自発フレームである場合、自発フレームを受信したポートを除外ポートと判定し、判定した除外ポートのポート番号を除外ポート記憶部１２３に格納する。フレーム監視処理部１１１の動作の例は、図７に示される。

【0029】

ポート情報格納処理部１１２は、ＭＡＣアドレステーブル１２１を定期的に参照し、ＭＡＣアドレステーブル１２１に保持されたポート番号を、端末情報記憶部１２２に保持された端末情報に対応付けて格納する処理を行う。ポート情報格納処理部１１２の動作の例は、図８に示される。

【0030】

端末情報出力処理部１１３は、コマンド入出力処理部１１５を介して受信する端末情報の出力要求に応じて、端末情報記憶部１２２および除外ポート記憶部１２３を参照し、端末情報を生成する。例えば、端末情報出力処理部１１３は、端末情報記憶部１２２に保持された端末情報のうち、除外ポート記憶部１２３に保持されているポート番号に対応する端末情報を除く端末情報を生成する。そして、端末情報出力処理部１１３は、生成した端末情報をコマンド入出力処理部１１５に出力する。端末情報出力処理部１１３の動作の例は、図９に示される。

【0031】

フレーム送受信処理部１１４は、フレームの送受信処理を実施する。コマンド入出力処理部１１５は、端末情報出力処理部１１３から受信した端末情報をコマンドラインインタフェースに出力する。

【0032】

図４は、図３のＭＡＣアドレステーブル１２１、端末情報記憶部１２２および除外ポート記憶部１２３の一例を示す。図４では、図１のＬ２スイッチ１０Ａの記憶部１５に保持される情報が示される。

【0033】

ＭＡＣアドレステーブル１２１は、ポート番号毎に、ポートに直接または間接に接続される端末ＴＭのＭＡＣアドレスを保持する。複数の端末ＴＭが接続されたＬ２スイッチ１０がポートに接続される場合、ＭＡＣアドレステーブル１２１は、１つのポート番号に対して複数のＭＡＣアドレスを保持する。

【0034】

端末情報記憶部１２２は、ＭＡＣアドレステーブル１２１に保持されたＭＡＣアドレスおよびＭＡＣアドレステーブル１２１からコピーされたポート番号とともに、ＭＡＣアドレス毎にＩＰアドレスおよび端末情報を保持する。図４に示す例では、端末情報として、端末ＴＭで実行されているＯＳの種別が示されるが、さらにＯＳのバージョンが含まれてもよい。なお、ＭＡＣアドレスおよびＩＰアドレスも、端末情報に含まれる。端末情報記憶部１２２の端末情報の欄に示すＷｉｎｄｏｗｓ１０、ＷｉｎｄｏｗｓＸＰ（Ｗｉｎｄｏｗｓは登録商標）は一例であり、他のＯＳの種別が示されてもよい。

【0035】

除外ポート記憶部１２３は、図３のフレーム監視処理部１１１により格納された除外ポート番号を保持する。ここで、除外ポートは、他のＬ２スイッチ１０等のネットワーク機器が接続されたポートであり、端末ＴＭが直接接続されないポートであり、上述したように、自発フレームの受信により判定される。

【0036】

図５は、図１のサブネットワークＳＮＥＴ１に配置されるＬ２スイッチ１０Ａ、１０Ｂ、１０Ｃにおける除外ポートの一例を示す説明図である。除外ポートの判定は、図３のフレーム監視処理部１１１により行われる。

【0037】

例えば、Ｌ２スイッチ１０Ａは、Ｌ２スイッチ１０Ｃからの自発フレームをポート４で受けるため、ポート４に端末ＴＭが直接接続されていないと判定する。Ｌ２スイッチ１０Ｂは、Ｌ２スイッチ１０Ｃからの自発フレームをポート４で受けるため、ポート４に端末ＴＭが直接接続されていないと判定する。

【0038】

同様に、Ｌ２スイッチ１０Ｃは、Ｌ２スイッチ１０Ａ、１０Ｂからの自発フレームをポート１、２でそれぞれ受けるため、ポート１、２に端末ＴＭが直接接続されていないと判定する。

【0039】

なお、Ｌ２スイッチ１０Ｃのポート４に接続されるルータ２０は、自発フレームを送信しないため、Ｌ２スイッチ１０Ｃは、ポート４を除外ポートと判定しない。また、Ｌ２スイッチ１０Ｃのポート３は、端末ＴＭ、他のＬ２スイッチ１０またはルータ２０のいずれにも接続されない空きポートであり、自発フレームおよび中継フレームを受信しない。このため、Ｌ２スイッチ１０Ｃは、ポート３を除外ポートと判定しない。

【0040】

図６は、図３のフレーム監視処理部１１１およびポート情報格納処理部１１２により生成される端末情報記憶部１２２に保持される内容の一例を示す。図６では、Ｌ２スイッチ１０Ａ、１０Ｂの端末情報記憶部１２２の内容が示される。

【0041】

図６において、各端末情報記憶部１２２の枠外の括弧内に示す端末ＴＭの識別子は、参考用であり、実際の端末情報記憶部１２２には含まれない。また、端末情報記憶部１２２において、古いＯＳを使用している端末ＴＭ－Ｃに対応するレコードが網掛けで示されている。しかしながら、網掛けは、説明を分かりやすくするために付加したものであり、実際の端末情報記憶部１２２には、古いＯＳを識別する情報は含まれない。

【0042】

各Ｌ２スイッチ１０Ａ、１０Ｂのポート情報格納処理部１１２は、自Ｌ２スイッチ１０のＭＡＣアドレステーブル１２１から取得したＭＡＣアドレスとポート番号の対を端末情報記憶部１２２に格納する。各Ｌ２スイッチ１０Ａ、１０Ｂのフレーム監視処理部１１１は、受信した中継フレームを解析し、端末情報を抽出する。端末情報には、ＩＰアドレスが含まれる。フレーム監視処理部１１１は、端末情報を解析した中継フレームを受信したポートに対応する端末情報記憶部１２２のレコードに、ＩＰアドレスを含む端末情報を格納する。

【0043】

端末情報記憶部１２２への端末ＴＭの情報の蓄積は、サブネットワークＳＮＥＴ１全体に同報されるフレームを監視することで行われる。このため、Ｌ２スイッチ１０Ａが生成した端末情報記憶部１２２には、Ｌ２スイッチ１０Ａに直接接続されていない端末ＴＭ－Ｄ、ＴＭ－Ｅ、ＴＭ－Ｆの情報も含まれる。同様に、Ｌ２スイッチ１０Ｂが生成した端末情報記憶部１２２には、Ｌ２スイッチ１０Ｂに直接接続されていない端末ＴＭ－Ａ、ＴＭ－Ｂ、ＴＭ－Ｃの情報も含まれる。したがって、各Ｌ２スイッチ１０の端末情報記憶部１２２を参照するだけでは、各Ｌ２スイッチ１０に直接接続されている端末ＴＭを判断することは困難である。

【0044】

図７は、図３のフレーム監視処理部１１１の動作の一例を示す。すなわち、図７は、通信装置の制御方法の一例を示す。フレームの監視を開始したフレーム監視処理部１１１は、ステップＳ１０において、自Ｌ２スイッチ１０によるフレームの受信を待つ。フレーム監視処理部１１１は、自Ｌ２スイッチ１０がフレームを受信した場合、処理をステップＳ１１に移行する。

【0045】

ステップＳ１１において、フレーム監視処理部１１１は、自Ｌ２スイッチ１０が受信したフレームのヘッダ情報からフレームの種別（プロトコル）を判定し、受信したフレームが解析対象フレームであるか否かを判定する。フレーム監視処理部１１１は、受信したフレームが解析対象フレームである場合、処理をステップＳ１２に移行する。フレーム監視処理部１１１は、受信したフレームが解析対象フレームでない場合、処理をステップＳ１０に戻し、自Ｌ２スイッチ１０によるフレームの受信を待つ。

【0046】

ステップＳ１２において、フレーム監視処理部１１１は、受信したフレームの解析処理を実施し、受信したフレームが他のＬ２スイッチ１０等のネットワーク機器が送信した自発フレームであるか否かを判定する。フレーム監視処理部１１１は、受信したフレームが自発フレームの場合、処理をステップＳ１３に移行し、受信したフレームが自発フレームでない場合、処理をステップＳ１５に移行する。

【0047】

例えば、フレーム監視処理部１１１は、フレームの種別がＢＰＤＵの場合、受信したフレームがＬ２スイッチ１０等のネットワーク機器が送信した自発フレームであると判定する。なお、フレーム監視処理部１１１は、フレーム種別がＬＬＤＰの場合、"System Capability"コードに基づいてネットワーク機器からの自発フレームか否かを判定してもよい。例えば、"System Capability"コードが"Ｂ：ブリッジ"または"Ｒ：ルータ"である場合、自発フレームであると判定することができる。

【0048】

このように、フレーム監視処理部１１１は、受信したフレームが他のＬ２スイッチ１０から送信されるが端末ＴＭからは送信されないフレームである場合、自発フレームであると判定する。換言すれば、フレーム監視処理部１１１は、受信したフレームが、ＢＰＤＵまたはＬＬＤＰのように、Ｌ２スイッチ１０の制御に使用されるフレーム種別である場合、自発フレームであると判定する。

【0049】

さらに、フレーム監視処理部１１１は、フレームの送信元のＭＡＣアドレスが特定のＭＡＣアドレスと判断した場合、Ｌ２スイッチ１０等のネットワーク機器が送信した自発フレームと判定してもよい。また、フレーム監視処理部１１１は、フレーム種別とフレーム種別以外のデータの値を組み合わせることで、自発フレームを判定してもよい。

【0050】

ステップＳ１３において、フレーム監視処理部１１１は、フレームの送信元のＭＡＣアドレスをキーとしてＭＡＣアドレステーブルを検索し、自発フレームを受信した自Ｌ２スイッチ１０のポートの番号を特定する。なお、フレーム監視処理部１１１は、スイッチデバイス１４の制御プログラム（例えば、受信ディスクリプタ）がフレームの受信時に記憶領域から取得する管理情報に基づいてポート番号を取得してもよい。

【0051】

次に、ステップＳ１４において、フレーム監視処理部１１１は、ステップＳ１３で特定した自発フレームを受信したポート番号を、除外ポート番号として除外ポート記憶部１２３に記憶させる。ステップＳ１４の後、処理は、ステップＳ１５に移行される。

【0052】

ステップＳ１５において、フレーム監視処理部１１１は、ステップＳ１１でのフレームの解析により特定したプロトコルに応じて、フレームに含まれる各種情報を抽出する。例えば、各種情報は、ＭＡＣアドレス、ＩＰアドレス、フレーム内のフィールドから判別できるＯＳ名、ＯＳのバージョンおよびホスト名のうちの１つまたは複数である。フレーム監視処理部１１１は、抽出した情報を端末情報として、端末情報記憶部１２２に格納する。ステップＳ１５の後、処理はステップＳ１０に戻される。

【0053】

図８は、図３のポート情報格納処理部１１２の動作の一例を示す。すなわち、図８は、通信装置の制御方法の一例を示す。ポート番号情報の付与処理を開始したポート情報格納処理部１１２は、図８に示すフローを一定時間毎に繰り返し実行する。

【0054】

まず、ステップＳ２０において、ポート情報格納処理部１１２は、記憶部１５内のＭＡＣアドレステーブル１２１からＭＡＣアドレスとポート番号とを対とするレコード情報を順次取得する。次に、ステップＳ２１において、ポート情報格納処理部１１２は、端末情報記憶部１２２のレコード番号を示すインデックスと最大レコード数とを比較する。ここで、インデックスは、処理がステップＳ２０からステップＳ２１に移行されるときに、最小レコード数に設定される。ポート情報格納処理部１１２は、インデックスが最大レコード数以下の場合、処理をステップＳ２２に移行し、インデックスが最大レコード数より大きい場合、処理をステップＳ２５に移行する。

【0055】

ステップＳ２２において、ポート情報格納処理部１１２は、自Ｌ２スイッチ１０が受信したフレームの送信元ＭＡＣアドレスをキーとして端末情報記憶部１２２のレコードを検索する。次に、ステップＳ２３において、ポート情報格納処理部１１２は、端末情報記憶部１２２において、ＭＡＣアドレスが送信元ＭＡＣアドレスと一致するレコードのポート番号を更新する。すなわち、フレーム監視処理部１１１により格納されたＭＡＣアドレス、ＩＰアドレスおよびＯＳ名、ＯＳバージョンなどの端末情報に、ポート番号が付加される。

【0056】

なお、端末情報記憶部１２２に格納されるポート番号は、自Ｌ２スイッチ１０がフレームを受信したときに、図２のスイッチデバイス１４の制御プログラムがメモリ１２等の記憶領域に格納する管理情報（受信ディスクリプタ）から取得されてもよい。

【0057】

次に、ステップＳ２４において、ポート情報格納処理部１１２は、インデックスを＋１して処理をステップＳ２１に戻す。これにより、端末情報記憶部１２２の全てのレコードのポート番号を更新することができる。

【0058】

一方、ステップＳ２５において、ポート情報格納処理部１１２は、予め設定された時間Ｔ１を待った後、処理をステップＳ２０に移行し、上述したポート番号の更新処理を実施する。

【0059】

図９は、図３の端末情報出力処理部１１３の動作の一例を示す。すなわち、図９は、通信装置の制御方法の一例を示す。図９に示すフローは、図３のコマンド入出力処理部１１５からの要求に応じて開始される。

【0060】

まず、端末情報出力処理部１１３は、ステップＳ３０において、端末情報記憶部１２２のレコード番号を示すインデックスと最大レコード数とを比較する。なお、インデックスは、図９の処理が開始されるときに、最小レコード数に設定される。端末情報出力処理部１１３は、インデックスが最大レコード数以下の場合、処理をステップＳ３１に移行し、インデックスが最大レコード数より大きい場合、全てのレコードの端末情報の出力が完了したため、図９に示す処理を終了する。

【0061】

ステップＳ３１において、端末情報出力処理部１１３は、現在のインデックスにより示される端末情報記憶部１２２のレコードの情報を取得する。次に、ステップＳ３２において、端末情報出力処理部１１３は、取得したレコードに含まれるポート番号が、除外ポート記憶部１２３に記憶されている除外ポート番号のいずれかと一致するか否かを判定する。

【0062】

端末情報出力処理部１１３は、ポート番号が除外ポート番号のいずれかと一致する場合、ステップＳ３１で取得したレコードの情報が自Ｌ２スイッチ１０に直接接続された端末ＴＭの情報でないため、処理をステップＳ３０に戻す。端末情報出力処理部１１３は、ポート番号が除外ポート番号のいずれとも一致しない場合、ステップＳ３１で取得したレコードの情報が自Ｌ２スイッチ１０に直接接続された端末ＴＭの情報であるため、処理をステップＳ３３に移行する。

【0063】

ステップＳ３３において、端末情報出力処理部１１３は、ステップＳ３１で取得したレコードに含まれるレコード情報（すなわち、端末情報）を端末情報記憶部１２２から取得し、取得したレコード情報を、例えば文字列としてファイルに出力する。

【0064】

次に、ステップＳ３４において、端末情報出力処理部１１３は、インデックスを＋１して処理をステップＳ３０に戻す。以上により、端末情報記憶部１２２の全てのレコードのうち、除外ポート番号で示されるポートを除くポートに接続された端末ＴＭの端末情報を出力することができる。なお、端末情報出力処理部１１３から出力されるファイルは、コマンド入出力処理部１１５により参照され、コマンドラインインタフェースに出力される。

【0065】

図１０は、図３の端末情報出力処理部１１３が出力するファイルに含まれる端末情報一覧の一例を示す。なお、図６と同様に、各端末情報一覧の枠外の括弧内に示す端末ＴＭの識別子は、参考用であり、実際の端末情報一覧には含まれない。また、端末情報一覧に示す網掛は、説明用であり、実際の端末情報一覧には含まれない。

【0066】

例えば、ネットワークの管理者は、端末３０を介してＳＳＨによりＬ２スイッチ１０Ａ、１０Ｂに接続し、Ｌ２スイッチ１０Ａ、１０Ｂの各々から端末情報一覧のファイルを取得する。端末３０は、Ｌ２スイッチ１０Ａ、１０Ｂの各々から受信したファイルに含まれる端末情報一覧を、例えば、端末３０の表示装置にコマンドラインとして表示する。図１０は、Ｌ２スイッチ１０Ａ、１０Ｂの端末情報出力処理部１１３から出力される端末情報一覧のファイルに基づいて、端末３０が表示装置に表示するＬ２スイッチ１０Ａ、１０Ｂの端末情報一覧でもある。

【0067】

ネットワークの管理者は、表示装置に表示された端末情報一覧を見ることで、例えば、古いＯＳ（この例では、ＷｉｎｄｏｗｓＸＰ）を使用している端末ＴＭ－Ｃと、端末ＴＭ－Ｃが接続されたＬ２スイッチ１０とを容易に認識することができる。そして、ネットワークの管理者は、端末ＴＭ－Ｃをネットワークから遮断したい場合、Ｌ２スイッチ１０Ａのポート３を遮断すればよいと判断できる。

【0068】

これに対して、図６に示す端末情報記憶部１２２の内容そのものがファイルとしてネットワークの管理者の端末３０に送信される場合、古いＯＳを使用している端末ＴＭ－Ｃが接続されているＬ２スイッチ１０およびポート番号を認識することは困難である。したがって、ネットワークの管理者は、端末ＴＭ－Ｃをネットワークから遮断するために、どのＬ２スイッチ１０のどのポートを遮断すればよいか判断することが困難である。換言すれば、ネットワークの管理者は、端末ＴＭ－Ｃが接続されているネットワーク構成が不明な場合、端末ＴＭ－Ｃをネットワークから遮断することが困難である。

【0069】

以上、この実施形態では、ネットワーク構成が不明なネットワーク上に複数のＬ２スイッチ１０が配置される場合にも、各Ｌ２スイッチ１０は、自Ｌ２スイッチ１０に直接接続された端末ＴＭの端末情報のみ含む端末情報一覧を出力することができる。端末情報一覧は、例えば、ネットワークの管理者が使用する端末３０からの端末情報の出力要求に基づいて、端末３０に送信される。

【0070】

これにより、ネットワークの管理者は、表示装置に表示された端末情報一覧を見ることができ、例えば、古いＯＳを使用している端末ＴＭ－Ｃと、端末ＴＭ－Ｃが接続されたＬ２スイッチ１０とを容易に認識することができる。このため、ネットワークの管理者は、端末ＴＭ－Ｃをネットワークから遮断したい場合、Ｌ２スイッチ１０Ａのポート３を遮断すればよいと判断できる。

【0071】

そして、例えば、脆弱性を有する端末ＴＭ－Ｃをネットワークから迅速に遮断することができ、マルウェアの感染などからネットワークを保護することができる。この結果、マルウェアの感染拡大を抑制することができ、感染が多数の端末ＴＭに広がることによる業務の停止等の不具合を抑制することができる。

【0072】

例えば、フレーム監視処理部１１１は、ポートで受信したフレームが他のＬ２スイッチ１０のみから送信されるフレームである場合、自発フレームであると判定し、自発フレームを受信したポートを除外ポートとすることができる。例えば、フレーム監視処理部１１１は、他のＬ２スイッチ１０がブロードキャストするＢＰＤＵフレームを受信したポートを除外ポートとすることができる。

【0073】

端末ＴＭが直接接続されたポートの判定は、各Ｌ２スイッチ１０が実施する。このため、ネットワークの管理者が使用する端末３０が端末情報一覧を出力するサブネットワークＳＮＥＴ１とは異なるサブネットワークＳＮＥＴ２に接続される場合にも、端末情報一覧を受信することができる。これにより、ネットワークの管理者は、脆弱性を有する端末ＴＭ－Ｃが接続されたＬ２スイッチ１０とポート番号とを認識することができる。

【0074】

また、端末情報一覧は、ＩＰアドレスなどの端末ＴＭの識別情報を含む。このため、ネットワークの管理者は、特定のＩＰアドレスを持つ端末ＴＭをネットワークから遮断したい場合、コマンドラインに表示された端末情報一覧からＩＰアドレスを検索し、遮断したい端末ＴＭが接続されたＬ２スイッチ１０とポート番号とを認識できる。これにより、特定のＩＰアドレスを持つ端末ＴＭをネットワークから容易に遮断することができる。

【0075】

図１１は、別の実施形態におけるＬ２スイッチ１０の機能構成の一例を示す。上述した実施形態と同様の要素については、同じ符号を付し、詳細な説明は省略する。図１１に示すＬ２スイッチ１０のハードウェア構成は、図２と同様である。また、図１１に示すＬ２スイッチ１０を含むネットワークの構成は、図１と同様である。

【0076】

この実施形態のＬ２スイッチ１０は、記憶部１５に特定ＭＡＣアドレス記憶部１２４が割り当てられることを除き、図３に示すＬ２スイッチ１０と同様の機能構成を有する。特定ＭＡＣアドレス記憶部１２４は、自発フレームを送信するネットワーク機器を識別するためにフレーム監視処理部１１１により使用される。これにより、図７で説明したフレームの種別により自発フレームを判定するだけでなく、フレームの送信元のＭＡＣアドレスに基づいて自発フレームを送信するＬ２スイッチ１０等のネットワーク機器を判定することができる。

【0077】

図１２は、図１１のＭＡＣアドレステーブル１２１、端末情報記憶部１２２、除外ポート記憶部１２３および特定ＭＡＣアドレス記憶部１２４の一例を示す。ＭＡＣアドレステーブル１２１、端末情報記憶部１２２および除外ポート記憶部１２３に保持される情報は、図４に示した情報と同じである。

【0078】

特定ＭＡＣアドレス記憶部１２４は、自発フレームを送信する複数のＬ２スイッチ１０を識別可能な共通ＭＡＣアドレスと、ＭＡＣアドレスの特定のビット群のマスクに使用するマスクコードとの対を保持する複数のレコードを有する。共通ＭＡＣアドレスは、ＭＡＣアドレスの下位の所定数のバイトが"００"にマスクされている。これにより、共通ＭＡＣアドレスにより、例えば、特定のベンダの製品を示すことができ、または、特定のベンダの特定の製品（例えば、特定のネットワーク機器）を示すことができる。

【0079】

ＭＡＣアドレスのマスクコードの"ｆｆ"は、フレームの送信元のＭＡＣアドレスにおいて、"ｆｆ"に対応する位置のバイトをマスクしないことを示す。マスクコードの"００"は、フレームの送信元のＭＡＣアドレスにおいて、"００"に対応する位置のバイトをマスクすることを示す。

【0080】

そして、フレーム監視処理部１１１（図３）は、自Ｌ２スイッチ１０が受信したフレームに含まれるＭＡＣアドレスと、特定ＭＡＣアドレス記憶部１２４に保持されたマスクコードとの論理積を計算し、比較用のＭＡＣアドレスを生成する。フレーム監視処理部１１１は、生成した比較用のＭＡＣアドレスが共通ＭＡＣアドレスと一致する場合、受信したフレームが自発フレームである判定する。

【0081】

すなわち、フレーム監視処理部１１１は、受信したフレームに含まれるＭＡＣアドレスの特定のビット群をマスクコードによりマスクして得たＭＡＣアドレスが共通ＭＡＣアドレスと一致する場合、受信したフレームが自発フレームであると判定する。フレーム監視処理部１１１は、生成した比較用のＭＡＣアドレスが共通ＭＡＣアドレスと一致しない場合、受信したフレームが自発フレームでないと判定する。

【0082】

なお、図１２に示すように、特定ＭＡＣアドレス記憶部１２４が複数のレコードを保持している場合、フレーム監視処理部１１１は、レコード毎にマスクコードとの論理積の計算と、計算により得たＭＡＣアドレスと共通ＭＡＣアドレスとの比較とを実施する。

【0083】

フレーム監視処理部１１１の動作は、図７のステップＳ１２の自発フレームの判定処理に、特定ＭＡＣアドレス記憶部１２４を使用した判定処理が追加されることを除き、図７の動作と同じである。ポート情報格納処理部１１２の動作は、図８と同じである。端末情報出力処理部１１３の動作は、図９と同じである。端末情報記憶部１２２に保持される内容は、図６と同じである。端末情報出力処理部１１３が出力するファイルに含まれる端末情報一覧は、図１０と同じである。

【0084】

以上、この実施形態においても上述した実施形態と同様の効果を得ることができる。例えば、ネットワーク構成が不明なネットワーク上に複数のＬ２スイッチ１０が配置される場合にも、各Ｌ２スイッチ１０は、自Ｌ２スイッチ１０に直接接続された端末ＴＭの端末情報のみ含む端末情報一覧を出力することができる。これにより、ネットワークの管理者は、表示装置に表示された端末情報一覧を見ることがで、例えば、古いＯＳを使用している端末ＴＭ－Ｃと、端末ＴＭ－Ｃが接続されたＬ２スイッチ１０とを容易に認識することができる。

【0085】

さらに、この実施形態では、各Ｌ２スイッチ１０は、共通ＭＡＣアドレスとマスクコードとが記憶された特定ＭＡＣアドレス記憶部１２４を記憶部１５に割り当てる。これにより、フレーム監視処理部１１１は、フレームの種別により自発フレームを判定するだけでなく、フレームの送信元のＭＡＣアドレスに基づいて自発フレームを送信するＬ２スイッチ１０等のネットワーク機器を判定することができる。

【0086】

なお、上述した実施形態では、除外ポートを判定し、判定した除外ポートに基づいて端末情報一覧を生成して出力する機能をＬ２スイッチ１０に搭載する例が説明された。しかしながら、除外ポートを判定し、判定した除外ポートに基づいて端末情報一覧を生成して出力する機能は、Ｌ３スイッチ、ルータまたは無線ＬＡＮアクセスポイント等の通信装置に搭載されてもよい。

【0087】

以上の詳細な説明により、実施形態の特徴点および利点は明らかになるであろう。これは、特許請求の範囲がその精神および権利範囲を逸脱しない範囲で前述のような実施形態の特徴点および利点にまで及ぶことを意図するものである。また、当該技術分野において通常の知識を有する者であれば、あらゆる改良および変更に容易に想到できるはずである。したがって、発明性を有する実施形態の範囲を前述したものに限定する意図はなく、実施形態に開示された範囲に含まれる適当な改良物および均等物に拠ることも可能である。

【符号の説明】

【0088】

１０（１０Ａ、１０Ｂ、１０Ｃ、１０Ｄ） Ｌ２スイッチ
１１ ＣＰＵ
１２ メモリ
１３ 不揮発性メモリ
１４ スイッチデバイス
１５ 記憶部
１６ 処理部
２０ ルータ
３０ 端末
１００ ネットワーク
１１１ フレーム監視処理部
１１２ ポート情報格納処理部
１１３ 端末情報出力処理部
１１４ フレーム送受信処理部
１１５ コマンド入出力処理部
１２１ ＭＡＣアドレステーブル
１２２ 端末情報記憶部
１２３ 除外ポート記憶部
１２４ 特定ＭＡＣアドレス記憶部
ＳＮＥＴ１、ＳＮＥＴ２ サブネットワーク
ＴＭ（ＴＭ－Ａ、ＴＭ－Ｂ、ＴＭ－Ｃ、ＴＭ－Ｄ、ＴＭ－Ｅ、ＴＭ－Ｆ） 端末

【図1】

【図2】

【図3】

【図4】

【図5】

【図6】

【図7】

【図8】

【図9】

【図10】

【図11】

【図12】