知財求人 - 知財ポータルサイト「IP Force」
(19)【発行国】日本国特許庁(JP)
(12)【公報種別】特許公報(B2)
(11)【特許番号】
(24)【登録日】2024-04-08
(45)【発行日】2024-04-16
(54)【発明の名称】端末隔離システム、端末隔離方法および端末隔離プログラム
(51)【国際特許分類】
H04L 12/28 20060101AFI20240409BHJP
H04L 45/42 20220101ALI20240409BHJP
【ＦＩ】
H04L12/28 200Z
H04L45/42
【請求項の数】
7
(21)【出願番号】P 2020040177
(22)【出願日】2020-03-09
(65)【公開番号】P2021141551
(43)【公開日】2021-09-16
【審査請求日】2023-02-02
(73)【特許権者】
【識別番号】000004237
【氏名又は名称】日本電気株式会社
(74)【代理人】
【識別番号】100080816
【弁理士】
【氏名又は名称】加藤 朝道
(74)【代理人】
【識別番号】100098648
【弁理士】
【氏名又は名称】内田 潔人
(72)【発明者】
【氏名】加藤 剛史
【審査官】大石 博見
(56)【参考文献】
【文献】特開２０１７－０９１４９３（ＪＰ，Ａ）
(58)【調査した分野】(Int.Cl.，ＤＢ名)
Ｈ０４Ｌ １２／２８
Ｈ０４Ｌ ４５／４２
(57)【特許請求の範囲】
【請求項1】
少なくとも一の端末が接続されており、プライバシーセパレータ機能を有するアクセスポイントに対し、該アクセスポイントの隣接スイッチを介してネットワークへの接続をコントロールするコントローラを備え、該コントローラは、
一の端末の隔離要求を受信したとき、
隔離要求端末を送信元とし、検疫セグメントを宛先とするパケットのみの転送を許可する第１の通信制御ルールを設定する第１の信号と、
第１の通信制御ルールを除いて該隔離要求端末を送信元とするパケットを破棄する第２の通信制御ルールを決定する第２の信号と、
を前記隣接スイッチに対し発信する端末隔離要求処理部と、
前記ネットワークに接続されている機器の前記ネットワーク内における位置を特定するためのトポロジ情報を保持するトポロジ情報保持部と、
保持されているトポロジ情報を用いて前記隣接スイッチを決定する隣接スイッチ決定部と、を有すること、
を特徴とする、インターネットからの端末隔離システム。
【請求項2】
前記端末隔離システムは、前記アクセスポイントに接続されており、プライバシーセパレータ機能により相互に通信できない複数の端末が配下のネットワークに存在する少なくとも一のネットワーク機器のネットワークインタフェースを特定するための中継対象インタフェース情報を保持する中継対象インタフェース情報保持部と、
ＡＲＰパケットを受信してＡＲＰ情報を取得するＡＲＰ情報取得部と、
取得したＡＲＰ情報と、保持されている前記中継対象インタフェース情報とに基づいて前記ＡＲＰパケットの送信元の端末と、送信先の端末とが中継の対象である同一のインタフェースの配下に位置しているか否かを判断する中継対象判断部と、
判断結果と、保持されている前記ＡＲＰ情報に基づいて、ＡＲＰリプライを送信するＡＲＰ情報応答部と、
前記送信元の端末と前記送信先の端末とが中継の対象であると判断された場合に前記送信元の機器と前記送信先の端末との間の通信を中継する中継部と、
を有すること、
を特徴とする中継装置、をさらに含む請求項１に記載の端末隔離システム。
【請求項3】
前記アクセスポイントが複数存在し、前記中継装置は、
前記複数のアクセスポイントの内の一のアクセスポイントに接続されており、
接続されているアクセスポイント以外の少なくとも一のアクセスポイントに接続されている端末間の通信を中継すること、
を特徴とする、中継装置を含む請求項２に記載の端末隔離システム。
【請求項4】
少なくとも一の端末が接続されており、プライバシーセパレータ機能を有するアクセスポイントに対し、該アクセスポイントの隣接スイッチを介してネットワークへの接続をコントロールするコントローラを備えた通信システムにおける端末隔離方法であって、該コントローラは、
一の端末の隔離要求を受信したとき、
隔離要求端末を送信元とし、検疫セグメントを宛先とするパケットのみの転送を許可する通信制御ルールを設定する第１の信号と、
第１の通信制御ルールを除いて該隔離要求端末を送信元とするパケットを破棄する第２の通信制御ルールを設定する第２の信号と、
を前記隣接スイッチに対し発信するステップと、
ネットワークに接続されている機器の前記ネットワーク内における位置を特定するためのトポロジ情報を取得するトポロジ情報取得ステップと、
取得されたトポロジ情報を用いて前記隣接スイッチを決定するステップと、を有すること、
を特徴とする、インターネットからの端末隔離方法。
【請求項5】
前記アクセスポイントに接続されており、プライバシーセパレータ機能により相互に通信できない複数の端末が配下のネットワークに存在する少なくとも一のネットワーク機器のネットワークインタフェースを特定するための中継対象インタフェース情報を取得するステップと、ＡＲＰパケットを受信してＡＲＰ情報を取得するステップと、
取得したＡＲＰ情報と、取得されている前記中継対象インタフェース情報とに基づいて前記ＡＲＰパケットの送信元の端末と、送信先の端末とが中継の対象である同一のインタフェースの配下に位置しているか否かを判断するステップと、
判断結果と、取得されている前記ＡＲＰ情報に基づいて、ＡＲＰリプライを送信するステップと、
前記送信元の端末と前記送信先の端末とが中継の対象であると判断された場合に前記送信元の機器と前記送信先の端末との間の通信を中継するステップとをさらに有すること、
を特徴とする請求項４に記載の端末隔離方法。
【請求項6】
少なくとも一の端末が接続されており、プライバシーセパレータ機能を有するアクセスポイントに対し、該アクセスポイントの隣接スイッチを介してネットワークへの接続をコントロールするコントローラを備えた通信システムにおいて実行されるプログラムであって、該コントローラは、
一の端末の隔離要求を受信したとき、
隔離要求端末を送信元とし、検疫セグメントを宛先とするパケットのみの転送を許可する通信制御ルールを設定する第１の信号と、
第１の通信制御ルールを除いて該隔離要求端末を送信元とするパケットを破棄する第２の通信制御ルールを設定する第２の信号と、
を前記隣接スイッチに対し発信する処理と、
ネットワークに接続されている機器の前記ネットワーク内における位置を特定するためのトポロジ情報を取得するトポロジ情報取得処理と、
取得されたトポロジ情報を用いて前記隣接スイッチを決定する処理と、を実行すること、
を特徴とする、インターネットからの端末隔離プログラム。
【請求項7】
前記アクセスポイントに接続されており、プライバシーセパレータ機能により相互に通信できない複数の端末が配下のネットワークに存在する少なくとも一のネットワーク機器のネットワークインタフェースを特定するための中継対象インタフェース情報を取得する処理と、ＡＲＰパケットを受信してＡＲＰ情報を取得する処理と、
取得したＡＲＰ情報と、保持されている前記中継対象インタフェース情報とに基づいて前記ＡＲＰパケットの送信元の端末と、送信先の端末とが中継の対象である同一のインタフェースの配下に位置しているか否かを判断する処理と、
判断結果と、取得されている前記ＡＲＰ情報に基づいて、ＡＲＰリプライを送信する処理と、
前記送信元の端末と前記送信先の端末とが中継の対象であると判断された場合に前記送信元の機器と前記送信先の端末との間の通信を中継する処理とをさらに実行すること、
を特徴とする請求項６に記載の端末隔離プログラム。
【発明の詳細な説明】
【技術分野】
【0001】
本システム等は、ネットワーク上で目的となる端末の通信経路を制御することにより、他の機器との間の通信を遮断して隔離する技術および方法等に関する。
【背景技術】
【0002】
ネットワークに参加している端末がコンピュータウィルスに感染したり、マルウェアを実行したりした場合及びその疑いがある場合には、その端末（以下、被疑端末という）が悪意ある通信を行って被害が拡大することを防止するため、ルータやスイッチ等のネットワーク機器により被疑端末の通信を遮断する場合がある。しかしながら被疑端末の通信を完全に遮断してしまうと、ネットワークを使用して被疑端末の感染状況を調査したり、復旧作業をしたりすることが不可能となる。そこで、被疑端末の通信を完全に遮断するのではなく、例えば検疫サーバが設置された検疫セグメントとの通信のみを許可することで、ネットワーク上で被疑端末を隔離し、検疫セグメントよりリモートで調査、復旧を図るといったことが考えられる。
【0003】
特許文献１には、無線ＬＡＮアクセスポイントに接続された端末装置が不正状態に陥った場合にその端末を個別に隔離しうる接続管理装置、端末装置、接続管理方法、及びプログラムが開示されている。具体的には、端末装置が接続されている無線ＬＡＮアクセスポイントを有する業務用のネットワークと、隔離用のネットワークと、を設け、不正状態監視部においていずれかの端末装置が不正状態にあるかどうかを判定する。いずれかの端末装置に不正状態が発生すると、その端末装置が接続している無線ＬＡＮアクセスポイントの情報を取得し、この無線ＬＡＮアクセスポイントに接続中の他の正常状態の端末装置を特定することができる。設定変更部は、特定した端末装置の近隣で収容数に余裕のある無線ＬＡＮアクセスポイントをそれぞれ検索し、各端末装置のエージェントに対して、そのＳＳＩＤを案内して、接続の切り替えを促す。設定変更部はさらに、不正状態にある端末が接続している無線ＬＡＮアクセスポイントの設定を変更して、当該無線ＬＡＮアクセスポイントに接続可能な端末装置を自身に限定し、Ｌ２（レイヤ２）スイッチを操作して、隔離用のネットワークには、当該端末が接続されている当該無線ＬＡＮアクセスポイントのみを接続させる、と記載されている。
【0004】
特許文献２には、スイッチ等のネットワーク機器のＶＬＡＮ（Ｖｉｒｔｕａｌ ＬＡＮ）機能により、端末を隔離する方法およびネットワークシステムが開示されている。具体的には、ネットワーク構成をＶＬＡＮ機能により、運用ネットワークとウィルスチェック用ネットワークに分離し、機器の接続時に、前記ウィルスチェック用ネットワークにおいてウィルスのチェックを行い、前記ウィルスチェックにより安全を確認した前記機器を、前記運用ネットワークへ収容する、と記載されている。
【0005】
特許文献３には、攻撃が検知された端末の通信を遮断するために、攻撃を遮断するための設定を行う対象のスイッチを特定し、特定されたスイッチに攻撃を遮断するための設定を行うネットワーク管理部を有するネットワークシステムが開示されている。具体的には、攻撃を受けた端末装置のＩＰアドレスと、前記スイッチが収容する端末装置に割り当てられたアドレスを対応づけるための情報と、前記各スイッチの各ポートの学習情報と、前記各スイッチの隣接情報とに基づいて、前記攻撃を受けた端末装置から最もホップ数が少ないレイヤ２スイッチを特定し、前記特定したレイヤ２スイッチに対し、前記攻撃を受けた端末装置の通信を遮断するフィルタを設定する、と記載されている。
【先行技術文献】
【特許文献】
【0006】
【文献】特開２０１３－２０７６４２号公報
【文献】国際公開第２００４／１１４５９９号
【文献】特開２０１８－１２１３２０号公報
【発明の概要】
【発明が解決しようとする課題】
【0007】
なお、上記先行技術文献の各開示を、本書に引用をもって繰り込むものとする。以下の
分析は、本発明者らによってなされたものである。
分析は、本発明者らによってなされたものである。
【0008】
上記の通り、正常状態の端末の設定を変更して他のアクセスポイントへ接続を切替え、不正状態の端末については無線ＬＡＮアクセスポイントの設定を変更して業務用のネットワークから隔離用のネットワークへ接続先を変更することで無線ＬＡＮアクセスポイントに接続された不正状態の端末をネットワーク上で隔離することが可能である。
【0009】
しかしながら、上記構成により被疑端末を隔離する方法をとると、アクセスポイントを被疑端末隔離用に専用化しているため、被疑端末隔離用とそれ以外の端末用のアクセスポイントを用意する必要がある。また被疑端末が複数である場合に、端末毎に隔離を同時に実施するためには隔離した端末同士の通信をも禁止するポリシーとする必要があるが、これを実現するには同時に隔離を実施する端末として想定される端末の台数だけアクセスポイントを冗長に設置する必要がある。この問題は、多数の無線デバイスが接続されるＩｏＴ用途のネットワークシステムにおいては顕著となる。
【0010】
また、スイッチ等のネットワーク機器のＶＬＡＮ機能を用いて被疑端末が収容されるネットワークを検疫用に設けられた別のＶＬＡＮとすることで被疑端末を隔離することが可能である。しかしながら、収容されるネットワークが変更となるため、ＩＰアドレスの再割り当てが必要となり、ＤＨＣＰ等の処理時間が発生し、復旧に要する時間が長くなるといった問題が生ずる。
【0011】
なお、端末を隔離するための一つの方法として、ＡＣＬ（Ａｃｃｅｓｓ Ｃｏｎｔｒｏｌ Ｌｉｓｔ）と一般に呼ばれるＩＰアドレスのルールを記載して、被疑端末の通信先を検疫セグメントのみに限定することにより端末を隔離することができる。端末の通信先の限定は、周辺の端末に感染して被害が拡大することを防ぐために、被疑端末に近いネットワーク機器で行うことが望ましい。このため無線ＬＡＮアクセスポイントにおいて上記通信先の限定を行うことが望ましいが、ＩＰアドレスによる通信先の限定を行うためには、ソフトウエア処理で行うと全てのパケットの転送速度の著しい低下を招くため、高速なハードウエア処理によるものを採用することが望ましい。しかしながら、ハードウエア処理が可能な無線ＬＡＮアクセスポイントは高価であり、ＩｏＴ用途のシステムで無線ＬＡＮアクセスポイントを多数準備する場合にはコストがさらにかさむといった問題が生じる。
【0012】
本発明の一視点において、無線ＬＡＮアクセスポイントの増設をすることなく、低コストで被疑端末を端末毎に個別に隔離することが可能であり、かつ、迅速に隔離することに貢献しうる端末隔離システム、端末隔離方法および端末隔離プログラムを、提供することを主たる目的とする。
【課題を解決するための手段】
【0013】
本発明の第一の視点によれば、少なくとも一の端末が接続されており、プライバシーセパレータ機能を有するアクセスポイントに対し、該アクセスポイントの隣接スイッチを介してネットワークへの接続をコントロールするコントローラを備え、該コントローラは、一の端末の隔離要求を受信したとき、該隔離要求端末を送信元とし、検疫セグメントを宛先とするパケットのみの転送を許可する第１の通信制御ルールを設定する第１の信号と、第１の通信制御ルールを除いて該隔離要求端末を送信元とするパケットを破棄する第２の通信制御ルールを決定する第２の信号と、を前記隣接スイッチに対し発信する端末隔離要求処理部を有することを特徴とする、インターネットからの端末隔離システムが提供される。
【0014】
本発明の第二の視点によれば、少なくとも一の端末が接続されており、プライバシーセパレータ機能を有するアクセスポイントに対し、該アクセスポイントの隣接スイッチを介してネットワークへの接続をコントロールするコントローラを備えた通信システムにおける端末隔離方法であって、該コントローラは、一の端末の隔離要求を受信したとき、該隔離要求端末を送信元とし、検疫セグメントを宛先とするパケットのみの転送を許可する通信制御ルールを設定する第１の信号と、第１の通信制御ルールを除いて該隔離要求端末を送信元とするパケットを破棄する第２の通信制御ルールを設定する第２の信号と、を前記隣接スイッチに対し発信するステップを有すること、を特徴とする、インターネットからの端末隔離方法が提供される。
【0015】
本発明の第三の視点によれば、少なくとも一の端末が接続されており、プライバシーセパレータ機能を有するアクセスポイントに対し、該アクセスポイントの隣接スイッチを介してネットワークへの接続をコントロールするコントローラを備えた通信システムにおいて実行されるプログラムであって、該コントローラは、一の端末の隔離要求を受信したとき、該隔離要求端末を送信元とし、検疫セグメントを宛先とするパケットのみの転送を許可する通信制御ルールを設定する第１の信号と、第１の通信制御ルールを除いて該隔離要求端末を送信元とするパケットを破棄する第２の通信制御ルールを設定する第２の信号と、を前記隣接スイッチに対し発信するステップを実行すること、を特徴とする、インターネットからの端末隔離プログラムが提供される。
なお、このプログラムは、コンピュータが読み取り可能な記憶媒体に記録することができる。記憶媒体は、半導体メモリ、ハードディスク、磁気記録媒体、光記録媒体等の非トランジェント（ｎｏｎ－ｔｒａｎｓｉｅｎｔ）なものとすることができる。本発明は、コンピュータプログラム製品として具現することも可能である。
なお、このプログラムは、コンピュータが読み取り可能な記憶媒体に記録することができる。記憶媒体は、半導体メモリ、ハードディスク、磁気記録媒体、光記録媒体等の非トランジェント（ｎｏｎ－ｔｒａｎｓｉｅｎｔ）なものとすることができる。本発明は、コンピュータプログラム製品として具現することも可能である。
【発明の効果】
【0016】
本発明の各視点によれば、アクセスポイントの増設をすることなく、被疑端末を端末毎に個別に隔離すること、かつ、迅速に隔離すること、に寄与する端末隔離システム、端末隔離方法および端末隔離プログラムが提供される。
【図面の簡単な説明】
【0017】
【図1】一実施形態の概要を説明するための図である。
【図2】実施形態１のシステムの概要を説明するための図である。
【図3】実施形態１のシステムのコントローラが送信する通信制御ルールの一例を示す図である。
【図4】実施形態１のシステムにおける処理の流れを説明するためのフローチャートである。
【図5】実施形態１のシステムにおけるハードウエア構成の概略図である。
【図6】実施形態２のシステムにおけるコントローラの構成の一例を示すブロック図である。
【図7】実施形態２のシステムにおけるネットワーク構成のトポロジ情報の一例を示すための隣接行列である。
【図8】実施形態２のシステムにおけるコントローラの構成の別の一例を示すブロック図である。
【図9】実施形態３のシステムの概要を説明するための図である。
【図10】実施形態３のシステムにおける中継装置の構成の一例を示すブロック図である。
【図11】実施形態３のシステムにおける中継対象インタフェース情報の一例を示す。
【図12】実施形態３のシステムにおける中継装置がＡＲＰリクエストに対して応答するＡＲＰリプライの内容の一例を示す図である。
【図13】実施形態３のシステムにおいて中継装置が複数ある場合のシステム構成を説明するための図である。
【図14】実施形態３のシステムにおいて中継装置が複数ある場合に、中継装置０２と中継装置０３とが中継対象とするインタフェースの分担を示す図である。
【図15】実施形態３のシステムにおける処理の流れを説明するためのフローチャートである。
【図16】実施形態３のシステムにおけるハードウエア構成の概略図である。
【発明を実施するための形態】
【0018】
初めに、一実施形態の概要について説明する。なお、この概要に付記した図面参照符号は、理解を助けるための一例として各要素に便宜上付記したものであり、この概要の記載はなんらの限定を意図するものではない。
【0019】
一実施形態のシステムは、少なくとも一の端末４１が接続されており、プライバシーセパレータ機能を有するアクセスポイント３１に対し、該アクセスポイント３１の隣接スイッチ２１を介してネットワークへの接続をコントロールするコントローラ０１を備え、該コントローラ０１は、一の端末の隔離要求を受信したとき、該隔離要求端末を送信元とし、検疫セグメント６１を宛先とするパケットのみの転送を許可する第１の通信制御ルールを設定する第１の信号と、第１の通信制御ルールを除いて該隔離要求端末を送信元とするパケットを破棄する第２の通信制御ルールを決定する第２の信号と、を前記隣接スイッチ２１に対し発信する端末隔離要求処理部７１を有する。
【0020】
上記一実施形態のシステムでは、アクセスポイントに設けられたプライバシーセパレータにより被疑端末と他の端末との間の通信が禁止される。アクセスポイントに隣接されたスイッチに対して通信制御ルールを設定するための信号をコントローラの端末隔離要求処理部から送信することで、端末の通信先を検疫セグメントのみに限定し、被疑端末の隔離を実現させている。
【0021】
即ち、プライバシーセパレータ機能を有する無線ＬＡＮアクセスポイントと、比較的安価である有線ＬＡＮ用の高速処理が可能であるスイッチなどのネットワーク機器と、を無線ＬＡＮアクセスポイントに隣接して設置して組み合わせることで、通信速度の低下が無く、かつ、低コストで端末の隔離が可能なシステムの提供が可能となる。
【0022】
以下に具体的な実施の形態について、図面を参照してさらに詳しく説明する。なお、各実施形態において同一構成要素には同一の符号を付し、その説明を省略する。
【0023】
［第１の実施形態］
［無線ＬＡＮアクセスポイント］
図２は本実施形態の端末隔離システムのシステム構成の概略を示す図である。この図にあるように、無線ＬＡＮアクセスポイント３１には少なくとも一の端末が無線で接続されている。これらの端末同士はプライバシーセパレータが設定されていることにより相互の通信が遮断されている。プライバシーセパレータとは、アクセスポイントに接続されている機器同士の通信を遮断するものであり、アイソレーション機能とも呼ばれる。当機能は比較的安価な無線ＬＡＮアクセスポイントでも設定が可能である。当アクセスポイント３１は隣接するレイヤ２スイッチ２１に有線接続されている。なお、無線ＬＡＮアクセスポイント３１は後述するレイヤ２スイッチと同様にパケット転送のために端末のＭＡＣアドレスを学習して保持し、コントローラ等からのＭＡＣアドレスが収容されるインタフェースの問い合わせに応答する機能を有する。
［無線ＬＡＮアクセスポイント］
図２は本実施形態の端末隔離システムのシステム構成の概略を示す図である。この図にあるように、無線ＬＡＮアクセスポイント３１には少なくとも一の端末が無線で接続されている。これらの端末同士はプライバシーセパレータが設定されていることにより相互の通信が遮断されている。プライバシーセパレータとは、アクセスポイントに接続されている機器同士の通信を遮断するものであり、アイソレーション機能とも呼ばれる。当機能は比較的安価な無線ＬＡＮアクセスポイントでも設定が可能である。当アクセスポイント３１は隣接するレイヤ２スイッチ２１に有線接続されている。なお、無線ＬＡＮアクセスポイント３１は後述するレイヤ２スイッチと同様にパケット転送のために端末のＭＡＣアドレスを学習して保持し、コントローラ等からのＭＡＣアドレスが収容されるインタフェースの問い合わせに応答する機能を有する。
【0024】
［コントローラ］
コントローラ０１はセキュリティ監視システム８１から被疑端末４１を隔離する指示を受けて隔離を実行する機能を有する端末隔離要求処理部７１を有する。
コントローラ０１はセキュリティ監視システム８１から被疑端末４１を隔離する指示を受けて隔離を実行する機能を有する端末隔離要求処理部７１を有する。
【0025】
［端末隔離要求処理部］
端末隔離要求処理部７１はコントローラ０１において、被疑端末４１の隔離要求をセキュリティ監視システム８１から受信すると、被疑端末４１を送信元とし、検疫セグメント６１を宛先とするパケットのみの転送を許可する通信制御ルールを設定する信号を隣接スイッチであるレイヤ２スイッチ２１に対して送信する。図３に送信される通信制御ルールの一例を示す。この図にあるように、検疫セグメント（１９２．１６８．Ｙ．０／２４）を宛先とするパケットのみの転送を許可する通信制御ルールを設定する第１の通信制御ルール９１と、第１の通信制御ルールを除いて該隔離要求端末を送信元（１９２．１６８．Ｘ．１）とするパケットを破棄する第２の通信制御ルール９２と、を信号として前記隣接スイッチに対し発信する。第２の通信制御ルール９２に対して第１の通信制御ルール９１が適用の優先度が高くなっており、第１の通信制御ルール９１に該当しない場合に第２の通信制御ルール９２が適用される。第１、第２の通信制御ルールにより、被疑端末４１を送信元とする通信は検疫セグメント６１に対してのみ可能とするように限定することができ、被疑端末４１を隔離することが可能である。
端末隔離要求処理部７１はコントローラ０１において、被疑端末４１の隔離要求をセキュリティ監視システム８１から受信すると、被疑端末４１を送信元とし、検疫セグメント６１を宛先とするパケットのみの転送を許可する通信制御ルールを設定する信号を隣接スイッチであるレイヤ２スイッチ２１に対して送信する。図３に送信される通信制御ルールの一例を示す。この図にあるように、検疫セグメント（１９２．１６８．Ｙ．０／２４）を宛先とするパケットのみの転送を許可する通信制御ルールを設定する第１の通信制御ルール９１と、第１の通信制御ルールを除いて該隔離要求端末を送信元（１９２．１６８．Ｘ．１）とするパケットを破棄する第２の通信制御ルール９２と、を信号として前記隣接スイッチに対し発信する。第２の通信制御ルール９２に対して第１の通信制御ルール９１が適用の優先度が高くなっており、第１の通信制御ルール９１に該当しない場合に第２の通信制御ルール９２が適用される。第１、第２の通信制御ルールにより、被疑端末４１を送信元とする通信は検疫セグメント６１に対してのみ可能とするように限定することができ、被疑端末４１を隔離することが可能である。
【0026】
ここで端末隔離要求処理部７１は無線ＬＡＮアクセスポイント３１やレイヤ２スイッチ２１に対して被疑端末４１のＭＡＣアドレスを指定して通信を禁止する通信制御ルールである信号を送ることで被疑端末４１を遮断できるが、この方法では被疑端末４１が検疫セグメント６１との通信もできなくなり異常状態から復旧することが不可能となる。
【0027】
［レイヤ２スイッチ］
レイヤ２スイッチ１１、２１は端末等のネットワーク機器の通信パケットを転送する。パケットを転送するためにパケットの送信元ＭＡＣアドレスフィールドから各ポート配下に接続されている端末等のＭＡＣアドレスを学習し、保持する。また、コントローラ０１などからのＭＡＣアドレスが収容されるインタフェースの問い合わせに応答する機能を持つ。
レイヤ２スイッチ１１、２１は端末等のネットワーク機器の通信パケットを転送する。パケットを転送するためにパケットの送信元ＭＡＣアドレスフィールドから各ポート配下に接続されている端末等のＭＡＣアドレスを学習し、保持する。また、コントローラ０１などからのＭＡＣアドレスが収容されるインタフェースの問い合わせに応答する機能を持つ。
【0028】
レイヤ２スイッチ２１は無線ＬＡＮアクセスポイント３１に隣接して接続されている。当スイッチはコントローラ０１の端末隔離要求処理部７１から通信制御ルールを設定する信号を受信し、受信した信号に基づいて図３に記載されているようなリストを保持し、リストに含まれる通信制御ルールに基づいて通信の制御（パケットの転送、破棄等）を行うことが可能である。無線ＬＡＮアクセスポイント３１のプライバシーセパレータ機能が有効であるため、レイヤ２スイッチ２１を無線ＬＡＮアクセスポイント３１に隣接して接続することで、無線ＬＡＮアクセスポイント３１そのものでアクセス制御することができなくとも、被疑端末４１の異常状態が他のネットワーク機器に蔓延することはない。
【0029】
なお本実施形態では無線ＬＡＮアクセスポイント３１のアップリンク先のスイッチはレイヤ２スイッチ２１のみの単数であるが、複数スイッチが存在する場合には端末隔離要求処理部７１は全てのスイッチに通信制御ルールを設定する信号を送信する必要がある。
【0030】
［レイヤ３スイッチ］
レイヤ３スイッチ５１は端末からの通信パケットをＩＰアドレスでルーティングする。ルーティングのためにユーザ端末のＩＰアドレスに対応するＭＡＣアドレスをＡＲＰプロトコルで解決し保持する。また、コントローラ０１等のネットワーク管理システムからＳＮＭＰなどのプロトコルでＩＰアドレスに対応するＭＡＣアドレスの問い合わせに応答する機能を持つ。
レイヤ３スイッチ５１は端末からの通信パケットをＩＰアドレスでルーティングする。ルーティングのためにユーザ端末のＩＰアドレスに対応するＭＡＣアドレスをＡＲＰプロトコルで解決し保持する。また、コントローラ０１等のネットワーク管理システムからＳＮＭＰなどのプロトコルでＩＰアドレスに対応するＭＡＣアドレスの問い合わせに応答する機能を持つ。
【0031】
［セキュリティ監視システム］
セキュリティ監視システム８１はユーザ端末を監視し、異常またはその疑いを検知すると被疑端末のＩＰアドレスをコントローラ０１に端末隔離要求として通知し、ネットワークから隔離するように指示する。
セキュリティ監視システム８１はユーザ端末を監視し、異常またはその疑いを検知すると被疑端末のＩＰアドレスをコントローラ０１に端末隔離要求として通知し、ネットワークから隔離するように指示する。
【0032】
［検疫セグメント］
検疫セグメント６１は被疑端末の調査やセキュリティパッチの配布など、被疑端末を復旧させるためのシステムが接続されている。被疑端末４１が隔離されると検疫セグメント
との間のみ通信が可能となり、オンラインのまま調査と復旧処理等を実行することが可能である。
検疫セグメント６１は被疑端末の調査やセキュリティパッチの配布など、被疑端末を復旧させるためのシステムが接続されている。被疑端末４１が隔離されると検疫セグメント
との間のみ通信が可能となり、オンラインのまま調査と復旧処理等を実行することが可能である。
【0033】
［処理の流れ］
図４は本実施形態の端末隔離システムにおけるコントローラ０１の処理の流れを示すフローチャートである。この図にあるように、まず、セキュリティ監視システム８１が端末の異常を検知すると、被疑端末４１を隔離する要求である端末隔離要求をコントローラ０１に対して送信する。コントローラ０１はこの端末隔離要求を受信する（ステップＳ０１）。受信に応じて隣接スイッチであるレイヤ２スイッチ２１に対して通信制御ルールを設定するための信号の送信を実行する（ステップＳ０２）。具体的には、被疑端末４１を送信元とし、検疫セグメント６１を宛先とするパケットのみの転送を許可する通信制御ルールを設定する第１の信号と、第１の通信制御ルールを除いて被疑端末４１を送信元とするパケットを破棄する第２の通信制御ルールを設定する第２の信号とをレイヤ２スイッチ２１に対して送信する。
図４は本実施形態の端末隔離システムにおけるコントローラ０１の処理の流れを示すフローチャートである。この図にあるように、まず、セキュリティ監視システム８１が端末の異常を検知すると、被疑端末４１を隔離する要求である端末隔離要求をコントローラ０１に対して送信する。コントローラ０１はこの端末隔離要求を受信する（ステップＳ０１）。受信に応じて隣接スイッチであるレイヤ２スイッチ２１に対して通信制御ルールを設定するための信号の送信を実行する（ステップＳ０２）。具体的には、被疑端末４１を送信元とし、検疫セグメント６１を宛先とするパケットのみの転送を許可する通信制御ルールを設定する第１の信号と、第１の通信制御ルールを除いて被疑端末４１を送信元とするパケットを破棄する第２の通信制御ルールを設定する第２の信号とをレイヤ２スイッチ２１に対して送信する。
【0034】
［ハードウエア構成］
次に、第１の実施形態に係る端末隔離システムを構成する各種装置のハードウエア構成を説明する。図５は、第１の実施形態に係るコントローラ０１のハードウエア構成の一例を示すブロック図である。
次に、第１の実施形態に係る端末隔離システムを構成する各種装置のハードウエア構成を説明する。図５は、第１の実施形態に係るコントローラ０１のハードウエア構成の一例を示すブロック図である。
【0035】
コントローラ０１は、情報処理装置（コンピュータ）により構成可能であり、図５に例示する構成を備える。例えば、コントローラ０１は、内部バス１０５により相互に接続される、ＣＰＵ（Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉt）１０１、メモリ１０２、入出力インタフェース１０３及び通信手段であるＮＩＣ（Ｎｅｔｗｏｒｋ Ｉｎｔｅｒｆａｃｅ Ｃａｒｄ）１０４等を備える。
【0036】
但し、図５に示す構成は、コントローラ０１のハードウエア構成を限定する趣旨ではない。コントローラ０１は、図示しないハードウエアを含んでもよいし、必要に応じて入出力インタフェース１０３を備えていなくともよい。また、コントローラ０１に含まれるＣＰＵ等の数も図５の例示に限定する趣旨ではなく、例えば、複数のＣＰＵがコントローラ０１に含まれていてもよい。
【0037】
メモリ１０２は、ＲＡＭ（Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）、ＲＯＭ（Ｒｅａｄ Ｏｎｌｙ Ｍｅｍｏｒｙ）、補助記憶装置（ハードディスク等）である。
【0038】
入出力インタフェース１０３は、図示しない表示装置や入力装置のインタフェースとなる手段である。表示装置は、例えば、液晶ディスプレイ等である。入力装置は、例えば、キーボードやマウス等のユーザ操作を受け付ける装置である。
【0039】
コントローラ０１の機能は、処理モジュールである端末隔離要求処理プログラムにより実現される。当該処理モジュールは、例えば、メモリ１０２に格納された端末隔離要求処理プログラムをＣＰＵ１０１が実行することで実現される。また、そのプログラムは、ネットワークを介してダウンロードするか、あるいは、プログラムを記憶した記憶媒体を用いて、更新することができる。さらに、上記処理モジュールは、半導体チップにより実現されてもよい。即ち、上記処理モジュールが行う機能を何らかのハードウエア、及び／又は、ソフトウエアで実行する手段があればよい。
【0040】
セキュリティ監視システム８１において被疑端末の異常が検知されると、端末隔離要求がネットワークを通じてコントローラ０１に対して送信される。コントローラ０１は、ＮＩＣ１０４を介して当該要求を受信する。ＣＰＵ１０１では処理モジュールである端末隔離要求処理プログラムが実行されており、当該要求をメモリ１０２に一時的に保持する。当該要求には被疑端末４１を特定する情報が含まれており、同プログラムはその情報をもとに通信制御ルールを生成する。同プログラムは生成された通信制御ルールと、メモリ１０２に保持されている隣接スイッチであるレイヤ２スイッチ２１の宛先とに基づいて通信制御ルールを設定する信号を、ＮＩＣ１０４を介して送信する。
【0041】
［第２の実施形態］
第２の実施形態における端末隔離システムは、ネットワークに接続されている機器のネットワーク内における位置を特定するためのトポロジ情報を用いて無線ＬＡＮアクセスポイントに隣接する隣接スイッチを決定することが可能である。コントローラ０１は隔離要求を受けて隣接スイッチに対して通信制御ルールを設定する信号を送信するが、送信先である隣接スイッチのネットワーク上における位置を特定する必要がある。なぜなら、端末毎に隔離を実行するためには他のネットワーク機器との通信を、端末から最も近い位置で遮断する必要がある。本来であれば無線ＬＡＮアクセスポイントにより通信の遮断を実行すべきであるが、上述の通りコストや性能の問題により無線ＬＡＮアクセスポイントにより実行することが適切ではない場合がある。そこで、本実施形態の端末隔離システムではプライバシーセパレータ機能を有する無線ＬＡＮアクセスポイントに最も近い隣接したスイッチの位置を特定し、特定されたスイッチにて通信制御ルールを実行して被疑端末を他のネットワーク機器より隔離することが可能なシステムを提供する。
第２の実施形態における端末隔離システムは、ネットワークに接続されている機器のネットワーク内における位置を特定するためのトポロジ情報を用いて無線ＬＡＮアクセスポイントに隣接する隣接スイッチを決定することが可能である。コントローラ０１は隔離要求を受けて隣接スイッチに対して通信制御ルールを設定する信号を送信するが、送信先である隣接スイッチのネットワーク上における位置を特定する必要がある。なぜなら、端末毎に隔離を実行するためには他のネットワーク機器との通信を、端末から最も近い位置で遮断する必要がある。本来であれば無線ＬＡＮアクセスポイントにより通信の遮断を実行すべきであるが、上述の通りコストや性能の問題により無線ＬＡＮアクセスポイントにより実行することが適切ではない場合がある。そこで、本実施形態の端末隔離システムではプライバシーセパレータ機能を有する無線ＬＡＮアクセスポイントに最も近い隣接したスイッチの位置を特定し、特定されたスイッチにて通信制御ルールを実行して被疑端末を他のネットワーク機器より隔離することが可能なシステムを提供する。
【0042】
［コントローラ］
図６は実施形態２のシステムにおけるコントローラの構成の一例を示すブロック図である。この図にあるように、コントローラ０１はセキュリティ監視システム８１から被疑端末４１を隔離する指示を受けて隔離を実行する機能を有する端末隔離要求処理部７１を有する。本実施形態の端末隔離システムは、トポロジ情報保持部１４と、隣接スイッチ決定部１５と、をさらに有する。ここで端末隔離要求処理部７１については上記にて説明済みのため記載は省略する。
図６は実施形態２のシステムにおけるコントローラの構成の一例を示すブロック図である。この図にあるように、コントローラ０１はセキュリティ監視システム８１から被疑端末４１を隔離する指示を受けて隔離を実行する機能を有する端末隔離要求処理部７１を有する。本実施形態の端末隔離システムは、トポロジ情報保持部１４と、隣接スイッチ決定部１５と、をさらに有する。ここで端末隔離要求処理部７１については上記にて説明済みのため記載は省略する。
【0043】
［トポロジ情報保持部］
トポロジ情報保持部１４は、ネットワークに接続されている機器のネットワーク内における位置を特定するためのトポロジ情報を保持する機能を有する。図７は図２のネットワークにおけるトポロジ情報の一例を示すための隣接行列である。なお、被疑端末４１以外の端末や検疫セグメント、インターネットについては図示を省略している。この行列では縦軸および横軸にネットワークの要素を配置し、各要素が相互に接続されていれば１、接続されていなければ０を表示している。この図により、ネットワーク上のどの要素がどの要素に隣接して接続されているかを把握することができる。トポロジ情報は各ネットワーク機器のＬＬＤＰ（Ｌｉｎｋ Ｌａｙｅｒ Ｄｉｓｃｏｖｅｒｙ Ｐｒｏｔｏｃｏｌ）などの情報から収集する方法や、ネットワーク管理者があらかじめ入力しておく方法などがある。
トポロジ情報保持部１４は、ネットワークに接続されている機器のネットワーク内における位置を特定するためのトポロジ情報を保持する機能を有する。図７は図２のネットワークにおけるトポロジ情報の一例を示すための隣接行列である。なお、被疑端末４１以外の端末や検疫セグメント、インターネットについては図示を省略している。この行列では縦軸および横軸にネットワークの要素を配置し、各要素が相互に接続されていれば１、接続されていなければ０を表示している。この図により、ネットワーク上のどの要素がどの要素に隣接して接続されているかを把握することができる。トポロジ情報は各ネットワーク機器のＬＬＤＰ（Ｌｉｎｋ Ｌａｙｅｒ Ｄｉｓｃｏｖｅｒｙ Ｐｒｏｔｏｃｏｌ）などの情報から収集する方法や、ネットワーク管理者があらかじめ入力しておく方法などがある。
【0044】
［隣接スイッチ決定部］
隣接スイッチ決定部１５は、保持されているトポロジ情報を用いて隣接スイッチを決定する。隣接スイッチとは、プライバシーセパレータ機能を有する無線ＬＡＮアクセスポイント３１にネットワークトポロジ上において最も近傍に位置するスイッチを指す。具体的には図７で示した隣接行列などで表現されたトポロジ情報に基づいて無線ＬＡＮアクセスポイント３１の隣接スイッチを特定し、特定された結果を端末隔離要求処理部７１に対して出力する。本実施形態では無線ＬＡＮアクセスポイント３１に隣接するネットワーク機器は被疑端末４１とレイヤ２スイッチ２１である。被疑端末４１は隔離の対象そのものであるので、レイヤ２スイッチ２１が隣接スイッチとして決定される。
隣接スイッチ決定部１５は、保持されているトポロジ情報を用いて隣接スイッチを決定する。隣接スイッチとは、プライバシーセパレータ機能を有する無線ＬＡＮアクセスポイント３１にネットワークトポロジ上において最も近傍に位置するスイッチを指す。具体的には図７で示した隣接行列などで表現されたトポロジ情報に基づいて無線ＬＡＮアクセスポイント３１の隣接スイッチを特定し、特定された結果を端末隔離要求処理部７１に対して出力する。本実施形態では無線ＬＡＮアクセスポイント３１に隣接するネットワーク機器は被疑端末４１とレイヤ２スイッチ２１である。被疑端末４１は隔離の対象そのものであるので、レイヤ２スイッチ２１が隣接スイッチとして決定される。
【0045】
［別の構成］
図８は本実施形態の端末隔離システムにおける別の構成を示す図である。別の構成では、コントローラ０１の隣接スイッチ決定部１５がさらに端末接続位置情報収集手段１２と端末接続位置探索手段１３とを有する。
図８は本実施形態の端末隔離システムにおける別の構成を示す図である。別の構成では、コントローラ０１の隣接スイッチ決定部１５がさらに端末接続位置情報収集手段１２と端末接続位置探索手段１３とを有する。
【0046】
［端末接続位置情報収集手段］
端末接続位置情報収集手段１２は無線ＬＡＮアクセスポイント３１、レイヤ２スイッチ２１、レイヤ３スイッチ５１、レイヤ２スイッチ１１へ隔離対象である被疑端末４１が接続されているネットワーク上の位置を問い合わせて端末接続位置探索手段１３へ応答する。具体的には、最初にレイヤ３スイッチ５１へ被疑端末４１のＩＰアドレスに対応するＭＡＣアドレスを問い合わせる。次にレイヤ２スイッチ２１、レイヤ２スイッチ１１、無線ＬＡＮアクセスポイント３１へそのＭＡＣアドレスがどのインタフェースに接続されているかを問い合わせる。レイヤ２スイッチからはインタフェース２１１の配下に、無線ＬＡＮアクセスポイント３１からは無線インタフェース３１１の配下に被疑端末４１は接続されていると応答が得られる。レイヤ２スイッチ１１からは当該ＭＡＣアドレスは見当たらないという応答を得る。隔離対象の被疑端末４１のＩＰアドレスが接続されている場所は各ネットワーク機器に問い合わせることで、あらかじめ当手段が保持しておいてもよい。当手段は収集した端末接続場所の情報を端末接続位置探索手段１３へ出力する。
端末接続位置情報収集手段１２は無線ＬＡＮアクセスポイント３１、レイヤ２スイッチ２１、レイヤ３スイッチ５１、レイヤ２スイッチ１１へ隔離対象である被疑端末４１が接続されているネットワーク上の位置を問い合わせて端末接続位置探索手段１３へ応答する。具体的には、最初にレイヤ３スイッチ５１へ被疑端末４１のＩＰアドレスに対応するＭＡＣアドレスを問い合わせる。次にレイヤ２スイッチ２１、レイヤ２スイッチ１１、無線ＬＡＮアクセスポイント３１へそのＭＡＣアドレスがどのインタフェースに接続されているかを問い合わせる。レイヤ２スイッチからはインタフェース２１１の配下に、無線ＬＡＮアクセスポイント３１からは無線インタフェース３１１の配下に被疑端末４１は接続されていると応答が得られる。レイヤ２スイッチ１１からは当該ＭＡＣアドレスは見当たらないという応答を得る。隔離対象の被疑端末４１のＩＰアドレスが接続されている場所は各ネットワーク機器に問い合わせることで、あらかじめ当手段が保持しておいてもよい。当手段は収集した端末接続場所の情報を端末接続位置探索手段１３へ出力する。
【0047】
［端末接続位置探索手段］
端末接続位置探索手段１３は指定されたIPアドレスの端末が接続されている場所を探索して端末隔離要求処理部７１へ応答する。探索にあたり、ネットワークのトポロジをトポロジ情報保持部１４へ格納しておく必要がある。トポロジ情報は各ネットワーク機器のＬＬＤＰなどの情報から収集する方法や、ネットワーク管理者がトポロジ情報保持部１４へあらかじめ入力しておく方法があるが、既に他の発明で開示されているため説明は割愛する。端末接続位置探索手段１３はトポロジ情報保持部１４の情報と隔離対象ＩＰアドレスの端末の接続場所情報を元にアクセスポイント３１のインタフェース３１１配下にユーザ端末が接続されていることを検出して端末隔離要求処理部７１へ応答する。
端末接続位置探索手段１３は指定されたIPアドレスの端末が接続されている場所を探索して端末隔離要求処理部７１へ応答する。探索にあたり、ネットワークのトポロジをトポロジ情報保持部１４へ格納しておく必要がある。トポロジ情報は各ネットワーク機器のＬＬＤＰなどの情報から収集する方法や、ネットワーク管理者がトポロジ情報保持部１４へあらかじめ入力しておく方法があるが、既に他の発明で開示されているため説明は割愛する。端末接続位置探索手段１３はトポロジ情報保持部１４の情報と隔離対象ＩＰアドレスの端末の接続場所情報を元にアクセスポイント３１のインタフェース３１１配下にユーザ端末が接続されていることを検出して端末隔離要求処理部７１へ応答する。
【0048】
［第３の実施形態］
本実施形態では第１および第２の実施形態の端末隔離システムに加えて中継装置０２を有する構成の端末隔離システムを提供する。無線ＬＡＮアクセスポイントのプライバシーセパレータ機能はアクセスポイントに接続されている端末相互の通信を制限することが可能であるが、アクセスポイント配下に閉じた通信をするアプリケーション等が存在する。身近な例では端末間のファイル共有や、無線ＬＡＮ接続が可能な複合機等が挙げられる。本実施形態では、被疑端末を隔離しつつ、アクセスポイントに接続されている端末同士で直接通信も可能である端末隔離システムを提供する。
本実施形態では第１および第２の実施形態の端末隔離システムに加えて中継装置０２を有する構成の端末隔離システムを提供する。無線ＬＡＮアクセスポイントのプライバシーセパレータ機能はアクセスポイントに接続されている端末相互の通信を制限することが可能であるが、アクセスポイント配下に閉じた通信をするアプリケーション等が存在する。身近な例では端末間のファイル共有や、無線ＬＡＮ接続が可能な複合機等が挙げられる。本実施形態では、被疑端末を隔離しつつ、アクセスポイントに接続されている端末同士で直接通信も可能である端末隔離システムを提供する。
【0049】
［中継装置］
図９は本実施形態の端末隔離システムの概要を示す図である。この図にあるように、端末４２は同一の無線ＬＡＮアクセスポイント３１に接続され、アプリケーションサービスを提供するサーバ４３と通信する。通常はこの通信は同一サブネット内で行われるため、通信経路は無線アクセスポイント３１のみを経由しレイヤ２スイッチ２１とレイヤ３スイッチ５１を経由しない。しかし無線ＬＡＮアクセスポイント３１でプライバシーセパレータ機能が有効な場合は被疑端末４１、端末４２、サーバ４３間では直接通信することができない。そこで中継装置０２を経由してアクセスポイント配下の相互通信を実現する。
図９は本実施形態の端末隔離システムの概要を示す図である。この図にあるように、端末４２は同一の無線ＬＡＮアクセスポイント３１に接続され、アプリケーションサービスを提供するサーバ４３と通信する。通常はこの通信は同一サブネット内で行われるため、通信経路は無線アクセスポイント３１のみを経由しレイヤ２スイッチ２１とレイヤ３スイッチ５１を経由しない。しかし無線ＬＡＮアクセスポイント３１でプライバシーセパレータ機能が有効な場合は被疑端末４１、端末４２、サーバ４３間では直接通信することができない。そこで中継装置０２を経由してアクセスポイント配下の相互通信を実現する。
【0050】
図１０は本実施形態の端末隔離システムにおける中継装置０２の構成を示す図である。中継装置０２は中継対象インタフェース情報保持部２２と、ＡＲＰ情報取得部２３と、中継対象判断部２４と、ＡＲＰ情報応答部２５と、中継部２６と、を含む。
【0051】
［中継対象インタフェース保持部］
中継対象インタフェース情報保持部２２は、無線ＬＡＮアクセスポイント３１に接続されており、プライバシーセパレータ機能により相互に通信できない複数の端末が配下のネットワークに存在する少なくとも一のネットワーク機器のネットワークインタフェースを特定するための中継対象インタフェース情報を保持する。図１１に中継対象インタフェース情報の一例を示す。この図にあるように、中継対象インタフェース情報として、レイヤ２スイッチ２１と、インタフェース２１１が指定されている。これは、レイヤ２スイッチ２１のインタフェース２１１配下である端末４２やサーバ４３などが中継対象となることを示している。保持されている中継対象インタフェース情報は、後述する中継対象判断部２４において用いられる。
中継対象インタフェース情報保持部２２は、無線ＬＡＮアクセスポイント３１に接続されており、プライバシーセパレータ機能により相互に通信できない複数の端末が配下のネットワークに存在する少なくとも一のネットワーク機器のネットワークインタフェースを特定するための中継対象インタフェース情報を保持する。図１１に中継対象インタフェース情報の一例を示す。この図にあるように、中継対象インタフェース情報として、レイヤ２スイッチ２１と、インタフェース２１１が指定されている。これは、レイヤ２スイッチ２１のインタフェース２１１配下である端末４２やサーバ４３などが中継対象となることを示している。保持されている中継対象インタフェース情報は、後述する中継対象判断部２４において用いられる。
【0052】
［ＡＲＰ情報取得部］
ＡＲＰ情報取得部２３は、ＡＲＰパケットを受信してＡＲＰ情報を取得する。端末４２がサーバ４３との通信を開始したとする。端末４２はブロードキャストであるＡＲＰリクエストを送信しサーバ４３のＩＰアドレスに対応するＭＡＣアドレスを問い合わせる。ＡＲＰリクエストは無線ＬＡＮアクセスポイント３１に到達するがプライバシーセパレータ機能が有効であるためＡＲＰリクエストはサーバ４３には到達しない。レイヤ２スイッチ２１にはＡＲＰリクエストが到達する。レイヤ２スイッチ２１はＡＲＰリクエストをブロードキャストするので、中継装置０２に端末４２からサーバ４３宛のＡＲＰリクエストが到達する。ＡＲＰ情報取得部２３はＡＲＰリクエストを取得し、記憶域に格納する。
ＡＲＰ情報取得部２３は、ＡＲＰパケットを受信してＡＲＰ情報を取得する。端末４２がサーバ４３との通信を開始したとする。端末４２はブロードキャストであるＡＲＰリクエストを送信しサーバ４３のＩＰアドレスに対応するＭＡＣアドレスを問い合わせる。ＡＲＰリクエストは無線ＬＡＮアクセスポイント３１に到達するがプライバシーセパレータ機能が有効であるためＡＲＰリクエストはサーバ４３には到達しない。レイヤ２スイッチ２１にはＡＲＰリクエストが到達する。レイヤ２スイッチ２１はＡＲＰリクエストをブロードキャストするので、中継装置０２に端末４２からサーバ４３宛のＡＲＰリクエストが到達する。ＡＲＰ情報取得部２３はＡＲＰリクエストを取得し、記憶域に格納する。
【0053】
［中継対象判断部］
中継対象判断部２４は、取得したＡＲＰ情報と、保持されている前記中継対象インタフェース情報とに基づいて前記ＡＲＰパケットの送信元の端末と、送信先の端末とが中継の対象である同一のインタフェースの配下に位置しているか否かを判断する。具体的には、取得したＡＲＰ情報を参照して、ＡＲＰリクエストの送信元である端末４２のＭＡＣアドレスを学習しているインタフェースを、保持されている中継対象インタフェース情報に掲載されているネットワーク機器に問い合わせる。中継対象インタフェース情報を参照するとレイヤ２スイッチ２１が掲載されているので、レイヤ２スイッチ２１に対して、ＡＲＰ情報取得部２３で取得した端末４２のＭＡＣアドレスを学習しているインタフェースを問い合わせる。その結果インタフェース２１１という応答が得られ、中継対象インタフェース情報の情報と一致することが確認される。次に、ＡＲＰリクエストの問い合わせ先であるサーバ４３の接続されているインタフェースを確認する。ここでＡＲＰ情報に含まれているのはサーバ４３のＩＰアドレスであるので、まずレイヤ３スイッチ５１に対し、サーバ４３のＭＡＣアドレスを問い合わせる。なおサーバ４３のＭＡＣアドレスは中継対象判断部２４が、サーバ４３のＩＰアドレスに対してＡＲＰリクエストをブロードキャストし、サーバ４３からの応答によりＭＡＣアドレスを取得してもよい。次に、中継対象インタフェース情報を参照し、レイヤ２スイッチ２１に、サーバ４３のＭＡＣアドレスが接続されているインタフェースを問い合わせる。応答としてインタフェース２１１が返ってくると、端末４２とサーバ４３とが中継対象である同一のインタフェース２１１に接続されているとして、中継対象であるとの判断結果を得る。
中継対象判断部２４は、取得したＡＲＰ情報と、保持されている前記中継対象インタフェース情報とに基づいて前記ＡＲＰパケットの送信元の端末と、送信先の端末とが中継の対象である同一のインタフェースの配下に位置しているか否かを判断する。具体的には、取得したＡＲＰ情報を参照して、ＡＲＰリクエストの送信元である端末４２のＭＡＣアドレスを学習しているインタフェースを、保持されている中継対象インタフェース情報に掲載されているネットワーク機器に問い合わせる。中継対象インタフェース情報を参照するとレイヤ２スイッチ２１が掲載されているので、レイヤ２スイッチ２１に対して、ＡＲＰ情報取得部２３で取得した端末４２のＭＡＣアドレスを学習しているインタフェースを問い合わせる。その結果インタフェース２１１という応答が得られ、中継対象インタフェース情報の情報と一致することが確認される。次に、ＡＲＰリクエストの問い合わせ先であるサーバ４３の接続されているインタフェースを確認する。ここでＡＲＰ情報に含まれているのはサーバ４３のＩＰアドレスであるので、まずレイヤ３スイッチ５１に対し、サーバ４３のＭＡＣアドレスを問い合わせる。なおサーバ４３のＭＡＣアドレスは中継対象判断部２４が、サーバ４３のＩＰアドレスに対してＡＲＰリクエストをブロードキャストし、サーバ４３からの応答によりＭＡＣアドレスを取得してもよい。次に、中継対象インタフェース情報を参照し、レイヤ２スイッチ２１に、サーバ４３のＭＡＣアドレスが接続されているインタフェースを問い合わせる。応答としてインタフェース２１１が返ってくると、端末４２とサーバ４３とが中継対象である同一のインタフェース２１１に接続されているとして、中継対象であるとの判断結果を得る。
【0054】
［ＡＲＰ情報応答部］
ＡＲＰ情報応答部２５は、中継対象判断部２４における判断結果と、保持されている前記ＡＲＰ情報に基づいて、ＡＲＰリプライを送信する。中継対象判断部２４にて端末４２とサーバ４３とが中継対象であるとの判断結果が得られると、保持されているＡＲＰ情報に基づいて、ＡＲＰリプライを端末４２に対して行う。図１２はＡＲＰリクエストに対して当部が応答するＡＲＰリプライの内容の一例を示す図である。このＡＲＰリプライはサーバ４３のＩＰアドレスに対応するＭＡＣアドレスとして中継装置０２自身のＭＡＣアドレスを応答するものである。ＡＲＰリプライの宛先は端末４２のＭＡＣアドレスを指定しているため、当リプライはサーバ４３には到達せず、サーバ４３でＩＰアドレスの重複を検知されることはない。
ＡＲＰ情報応答部２５は、中継対象判断部２４における判断結果と、保持されている前記ＡＲＰ情報に基づいて、ＡＲＰリプライを送信する。中継対象判断部２４にて端末４２とサーバ４３とが中継対象であるとの判断結果が得られると、保持されているＡＲＰ情報に基づいて、ＡＲＰリプライを端末４２に対して行う。図１２はＡＲＰリクエストに対して当部が応答するＡＲＰリプライの内容の一例を示す図である。このＡＲＰリプライはサーバ４３のＩＰアドレスに対応するＭＡＣアドレスとして中継装置０２自身のＭＡＣアドレスを応答するものである。ＡＲＰリプライの宛先は端末４２のＭＡＣアドレスを指定しているため、当リプライはサーバ４３には到達せず、サーバ４３でＩＰアドレスの重複を検知されることはない。
【0055】
［中継部］
中継部２６は、ＡＲＰリクエストの送信元の端末と送信先の端末とが中継の対象であると判断された場合に前記送信元の機器と前記送信先の端末との間の通信を中継する。具体的には、上記ＡＲＰリプライを受けた端末４２は、ＡＲＰリプライの内容に基づいて、サーバ４３宛のパケットの宛先として中継装置０２のＭＡＣアドレスを付したパケットを送信する。中継装置０２はこれを受信し、パケットのヘッダを参照し、宛先ＩＰアドレスがサーバ４３で、宛先ＭＡＣアドレスが中継装置０２のＭＡＣアドレスであった場合には、宛先ＩＰアドレスと宛先ＭＡＣアドレスとの組が相違しているため中継が必要であると判断する。中継部２６は中継時にパケットヘッダの宛先ＭＡＣアドレスをサーバ４３のＭＡＣアドレスに書き換えてパケットを中継転送する。このようにしてプライバシーセパレータ機能により相互に通信できない端末間の通信を中継することで通信を可能としている。端末４２からサーバ４３宛の通信経路は、端末４２、無線ＬＡＮアクセスポイント３１、レイヤ２スイッチ２１、中継装置０２、レイヤ２スイッチ２１、無線ＬＡＮアクセスポイント３１、サーバ４３となる。中継装置０２はサーバ４３から端末４２宛の通信パケットも同様に中継部２６で中継することで双方向の通信が可能となる。
中継部２６は、ＡＲＰリクエストの送信元の端末と送信先の端末とが中継の対象であると判断された場合に前記送信元の機器と前記送信先の端末との間の通信を中継する。具体的には、上記ＡＲＰリプライを受けた端末４２は、ＡＲＰリプライの内容に基づいて、サーバ４３宛のパケットの宛先として中継装置０２のＭＡＣアドレスを付したパケットを送信する。中継装置０２はこれを受信し、パケットのヘッダを参照し、宛先ＩＰアドレスがサーバ４３で、宛先ＭＡＣアドレスが中継装置０２のＭＡＣアドレスであった場合には、宛先ＩＰアドレスと宛先ＭＡＣアドレスとの組が相違しているため中継が必要であると判断する。中継部２６は中継時にパケットヘッダの宛先ＭＡＣアドレスをサーバ４３のＭＡＣアドレスに書き換えてパケットを中継転送する。このようにしてプライバシーセパレータ機能により相互に通信できない端末間の通信を中継することで通信を可能としている。端末４２からサーバ４３宛の通信経路は、端末４２、無線ＬＡＮアクセスポイント３１、レイヤ２スイッチ２１、中継装置０２、レイヤ２スイッチ２１、無線ＬＡＮアクセスポイント３１、サーバ４３となる。中継装置０２はサーバ４３から端末４２宛の通信パケットも同様に中継部２６で中継することで双方向の通信が可能となる。
【0056】
［中継装置が複数ある場合のシステム構成］
本構成は、上記実施形態を基本として、アクセスポイントが複数存在し、中継装置は、複数のアクセスポイントの内の一のアクセスポイントに接続されており、接続されているアクセスポイント以外の少なくとも一のアクセスポイントに接続されている端末間の通信を中継すること、を特徴とする、中継装置を含む端末隔離システムである。かかるシステムの具体例として図１３を示す。図１３の構成は２台の中継装置０２と中継装置０３とがそれぞれ別のアクセスポイント配下に接続されている構成である。アクセスポイントは３１～３９が存在する。中継装置０２、中継装置０３の内部構成は上述の中継装置０２の構成と同一であるので説明は省略する。中継装置０２と中継装置０３は中継対象インタフェースを図１４のように分担する。本構成によると、複数の中継装置が中継対象インタフェースを分担することで送信元端末と送信先端末が同じアクセスポイントに閉じている通信の中継を実現しており、中継装置自身を無線接続デバイスとすることで中継装置を手軽に設置することが可能である。
本構成は、上記実施形態を基本として、アクセスポイントが複数存在し、中継装置は、複数のアクセスポイントの内の一のアクセスポイントに接続されており、接続されているアクセスポイント以外の少なくとも一のアクセスポイントに接続されている端末間の通信を中継すること、を特徴とする、中継装置を含む端末隔離システムである。かかるシステムの具体例として図１３を示す。図１３の構成は２台の中継装置０２と中継装置０３とがそれぞれ別のアクセスポイント配下に接続されている構成である。アクセスポイントは３１～３９が存在する。中継装置０２、中継装置０３の内部構成は上述の中継装置０２の構成と同一であるので説明は省略する。中継装置０２と中継装置０３は中継対象インタフェースを図１４のように分担する。本構成によると、複数の中継装置が中継対象インタフェースを分担することで送信元端末と送信先端末が同じアクセスポイントに閉じている通信の中継を実現しており、中継装置自身を無線接続デバイスとすることで中継装置を手軽に設置することが可能である。
【0057】
［処理の流れ］
図１５は本実施形態の端末隔離システムにおける中継装置の処理の流れを示すフローチャートである。まず、記憶域に保持されている中継対象インタフェース情報を取得する（ステップＳ１１）。次にＡＲＰパケットを受信してＡＲＰ情報を取得する（ステップＳ１２）。次に取得したＡＲＰ情報と、取得されている前記中継対象インタフェース情報とに基づいて前記ＡＲＰパケットの送信元の端末と、送信先の端末とが中継の対象である同一インタフェースの配下に位置しているか否かを判断する（ステップＳ１３）。その結果、ＡＲＰリクエスト送信元と送信先とが中継対象の同一インタフェース配下である場合には、ＡＲＰリプライを送信し（ステップＳ１４）、中継を開始する（ステップＳ１５）。ＡＲＰリクエスト送信元と送信先とが中継対象の同一インタフェース配下でない場合には中継を行わず、ＡＲＰ情報を取得する処理（ステップＳ１２）に戻る。
図１５は本実施形態の端末隔離システムにおける中継装置の処理の流れを示すフローチャートである。まず、記憶域に保持されている中継対象インタフェース情報を取得する（ステップＳ１１）。次にＡＲＰパケットを受信してＡＲＰ情報を取得する（ステップＳ１２）。次に取得したＡＲＰ情報と、取得されている前記中継対象インタフェース情報とに基づいて前記ＡＲＰパケットの送信元の端末と、送信先の端末とが中継の対象である同一インタフェースの配下に位置しているか否かを判断する（ステップＳ１３）。その結果、ＡＲＰリクエスト送信元と送信先とが中継対象の同一インタフェース配下である場合には、ＡＲＰリプライを送信し（ステップＳ１４）、中継を開始する（ステップＳ１５）。ＡＲＰリクエスト送信元と送信先とが中継対象の同一インタフェース配下でない場合には中継を行わず、ＡＲＰ情報を取得する処理（ステップＳ１２）に戻る。
【0058】
［ハードウエア構成］
次に、第３の実施形態に係る端末隔離システムを構成する各種装置のハードウエア構成を説明する。図１６は、第３の実施形態に係る中継装置０２のハードウエア構成の一例を示すブロック図である。
次に、第３の実施形態に係る端末隔離システムを構成する各種装置のハードウエア構成を説明する。図１６は、第３の実施形態に係る中継装置０２のハードウエア構成の一例を示すブロック図である。
【0059】
中継装置０２は、情報処理装置（コンピュータ）により構成可能であり、図５に例示する構成を備える。例えば、中継装置０２は、内部バス２０５により相互に接続される、ＣＰＵ（Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉt）２０１、メモリ２０２、入出力インタフェース２０３及び通信手段であるＮＩＣ（Ｎｅｔｗｏｒｋ Ｉｎｔｅｒｆａｃｅ Ｃａｒｄ）２０４等を備える。
【0060】
但し、図１６に示す構成は、中継装置０２のハードウエア構成を限定する趣旨ではない。中継装置０２は、図示しないハードウエアを含んでもよいし、必要に応じて入出力インタフェース２０３を備えていなくともよい。また、中継装置０２に含まれるＣＰＵ等の数も図１６の例示に限定する趣旨ではなく、例えば、複数のＣＰＵが中継装置０２に含まれていてもよい。
【0061】
メモリ２０２は、ＲＡＭ（Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）、ＲＯＭ（Ｒｅａｄ Ｏｎｌｙ Ｍｅｍｏｒｙ）、補助記憶装置（ハードディスク等）である。
【0062】
入出力インタフェース２０３は、図示しない表示装置や入力装置のインタフェースとなる手段である。表示装置は、例えば、液晶ディスプレイ等である。入力装置は、例えば、キーボードやマウス等のユーザ操作を受け付ける装置である。
【0063】
中継装置０２の機能は、処理モジュールである中継対象インタフェース情報取得プログラムと、ＡＲＰ情報取得プログラムと、中継対象判断プログラムと、ＡＲＰ情報応答プログラムと、中継プログラムと、により実現される。当該処理モジュールは、例えば、メモリ２０２に格納された各プログラムをＣＰＵ２０１が実行することで実現される。また、そのプログラムは、ネットワークを介してダウンロードするか、あるいは、プログラムを記憶した記憶媒体を用いて、更新することができる。さらに、上記処理モジュールは、半導体チップにより実現されてもよい。即ち、上記処理モジュールが行う機能を何らかのハードウエア、及び／又は、ソフトウエアで実行する手段があればよい。
【0064】
まず初めに中継対象インタフェース情報取得プログラムがＣＰＵ２０１で実行され、メモリ２０２へ保持されている中継対象インタフェース情報がＲＡＭなどの同プログラムのために確保された作業領域に呼び出される。端末４２からサーバ４３へアクセス要求があったとき、中継装置０２にＡＲＰリクエストが到達する。次にＡＲＰ情報取得プログラムがＣＰＵ２０１で実行状態となり、ＮＩＣ２０４でＡＲＰリクエストを受信しその内容をＡＲＰ情報としてメモリ２０２に保持する。次に中継対象判断プログラムがＣＰＵ２０１で実行される。同プログラムはメモリ２０２に保持されているＡＲＰ情報を参照して、ＡＲＰリクエストの送信元と送信先とを配下においているインタフェース情報を、ＮＩＣ２０４を介して、レイヤ２スイッチ２１やレイヤ３スイッチ５１へ問い合わせる。なお、このインタフェース情報は、同プログラムが、メモリ２０２に保持されているＡＲＰ情報に含まれるサーバ４３のＩＰアドレスを呼び出して、当該ＩＰアドレスに対するＡＲＰリクエストをブロードキャストすることで得ることもできる。問い合わせの結果応答されたインタフェース情報をメモリに保持されている中継対象インタフェース情報と照合し、ＡＲＰリクエストの送信元を配下に置くインタフェース情報と送信先を配下におくインタフェース情報とが同一であり、かつ中継対象インタフェース情報に含まれている場合には中継対象であるとして、ＡＲＰ情報応答プログラムを起動して、ＡＲＰリクエストに対して応答を行う。応答するＡＲＰ情報は同プログラムにより生成されるが、ＡＲＰリプライに含まれる送信先ＭＡＣアドレスは中継装置０２のネットワークインタフェースのＭＡＣアドレスとする。端末４２からパケットが中継装置に到達すると、ＣＰＵ２０１にて中継プログラムが実行状態となり、パケットを転送する。このとき、パケットヘッダの送信先ＭＡＣアドレスを中継装置０２のネットワークインタフェースのＭＡＣアドレスからサーバ４３のＭＡＣアドレスに書き換えてパケットをサーバ４３に向け送信する。
【0065】
上記の実施形態の一部又は全部は、以下のようにも記載され得るが、以下には限られな
い。
［形態１］
上述の第１の視点に係る端末隔離システムのとおりである。
［形態２］
前記端末隔離システムは、前記ネットワークに接続されている機器の前記ネットワーク内における位置を特定するためのトポロジ情報を保持するトポロジ情報保持部と、
保持されているトポロジ情報を用いて前記隣接スイッチを決定する隣接スイッチ決定部と、をさらに有すること、
を特徴とする、好ましくは形態１に記載の端末隔離システム。
［形態３］
前記端末隔離システムは、
前記アクセスポイントに接続されており、プライバシーセパレータ機能により相互に通信できない複数の端末が配下のネットワークに存在する少なくとも一のネットワーク機器のネットワークインタフェースを特定するための中継対象インタフェース情報を保持する中継対象インタフェース情報保持部と、
ＡＲＰパケットを受信してＡＲＰ情報を取得するＡＲＰ情報取得部と、
取得したＡＲＰ情報と、保持されている前記中継対象インタフェース情報とに基づいて前記ＡＲＰパケットの送信元の端末と、送信先の端末とが中継の対象である同一インタフェースの配下に位置しているか否かを判断する中継対象判断部と、
判断結果と、保持されている前記ＡＲＰ情報に基づいて、ＡＲＰリプライを送信するＡＲＰ情報応答部と、
前記送信元の端末と前記送信先の端末とが中継の対象であると判断された場合に前記送信元の機器と前記送信先の端末との間の通信を中継する中継部と、
を有すること、
を特徴とする中継装置、をさらに含む、好ましくは形態１または形態２に記載の端末隔離システム。
［形態４］
前記アクセスポイントが複数存在し、
前記中継装置は、
前記複数のアクセスポイントの内の一のアクセスポイントに接続されており、
接続されているアクセスポイント以外の少なくとも一のアクセスポイントに接続されている端末間の通信を中継すること、
を特徴とする、中継装置を含む、好ましくは形態３に記載の端末隔離システム。
［形態５］
上述の第２の視点に係る端末隔離方法のとおりである。
［形態６］
ネットワークに接続されている機器の前記ネットワーク内における位置を特定するためのトポロジ情報を取得するトポロジ情報取得ステップと、
取得されたトポロジ情報を用いて前記隣接スイッチを決定するステップをさらに有すること、
を特徴とする、好ましくは形態５に記載の端末隔離方法。
［形態７］
前記アクセスポイントに接続されており、プライバシーセパレータ機能により相互に通信できない複数の端末が配下のネットワークに存在する少なくとも一のネットワーク機器のネットワークインタフェースを特定するための中継対象インタフェース情報を取得するステップと、
ＡＲＰパケットを受信してＡＲＰ情報を取得するステップと、
取得したＡＲＰ情報と、取得されている前記中継対象インタフェース情報とに基づいて前記ＡＲＰパケットの送信元の端末と、送信先の端末とが中継の対象である同一インタフェースの配下に位置しているか否かを判断するステップと、
判断結果と、取得されている前記ＡＲＰ情報に基づいて、ＡＲＰリプライを送信するステップと、
前記送信元の端末と前記送信先の端末とが中継の対象であると判断された場合に前記送信元の機器と前記送信先の端末との間の通信を中継するステップとをさらに有すること、
を特徴とする、好ましくは形態５または形態６に記載の端末隔離方法。
［形態８］
上記第３の視点に係る端末隔離プログラムのとおりである。
［形態９］
ネットワークに接続されている機器の前記ネットワーク内における位置を特定するためのトポロジ情報を取得するトポロジ情報取得処理と、
取得されたトポロジ情報を用いて前記隣接スイッチを決定する処理をさらに実行すること、
を特徴とする、好ましくは形態８に記載の端末隔離プログラム。
［形態１０］
前記アクセスポイントに接続されており、プライバシーセパレータ機能により相互に通信できない複数の端末が配下のネットワークに存在する少なくとも一のネットワーク機器のネットワークインタフェースを特定するための中継対象インタフェース情報を取得する処理と、
ＡＲＰパケットを受信してＡＲＰ情報を取得する処理と、
取得したＡＲＰ情報と、保持されている前記中継対象インタフェース情報とに基づいて前記ＡＲＰパケットの送信元の端末と、送信先の端末とが中継の対象である同一インタフェースの配下に位置しているか否かを判断する処理と、
判断結果と、取得されている前記ＡＲＰ情報に基づいて、ＡＲＰリプライを送信する処理と、
前記送信元の端末と前記送信先の端末とが中継の対象であると判断された場合に前記送信元の機器と前記送信先の端末との間の通信を中継する処理とをさらに実行すること、
を特徴とする、好ましくは形態８または形態９に記載の端末隔離プログラム。
い。
［形態１］
上述の第１の視点に係る端末隔離システムのとおりである。
［形態２］
前記端末隔離システムは、前記ネットワークに接続されている機器の前記ネットワーク内における位置を特定するためのトポロジ情報を保持するトポロジ情報保持部と、
保持されているトポロジ情報を用いて前記隣接スイッチを決定する隣接スイッチ決定部と、をさらに有すること、
を特徴とする、好ましくは形態１に記載の端末隔離システム。
［形態３］
前記端末隔離システムは、
前記アクセスポイントに接続されており、プライバシーセパレータ機能により相互に通信できない複数の端末が配下のネットワークに存在する少なくとも一のネットワーク機器のネットワークインタフェースを特定するための中継対象インタフェース情報を保持する中継対象インタフェース情報保持部と、
ＡＲＰパケットを受信してＡＲＰ情報を取得するＡＲＰ情報取得部と、
取得したＡＲＰ情報と、保持されている前記中継対象インタフェース情報とに基づいて前記ＡＲＰパケットの送信元の端末と、送信先の端末とが中継の対象である同一インタフェースの配下に位置しているか否かを判断する中継対象判断部と、
判断結果と、保持されている前記ＡＲＰ情報に基づいて、ＡＲＰリプライを送信するＡＲＰ情報応答部と、
前記送信元の端末と前記送信先の端末とが中継の対象であると判断された場合に前記送信元の機器と前記送信先の端末との間の通信を中継する中継部と、
を有すること、
を特徴とする中継装置、をさらに含む、好ましくは形態１または形態２に記載の端末隔離システム。
［形態４］
前記アクセスポイントが複数存在し、
前記中継装置は、
前記複数のアクセスポイントの内の一のアクセスポイントに接続されており、
接続されているアクセスポイント以外の少なくとも一のアクセスポイントに接続されている端末間の通信を中継すること、
を特徴とする、中継装置を含む、好ましくは形態３に記載の端末隔離システム。
［形態５］
上述の第２の視点に係る端末隔離方法のとおりである。
［形態６］
ネットワークに接続されている機器の前記ネットワーク内における位置を特定するためのトポロジ情報を取得するトポロジ情報取得ステップと、
取得されたトポロジ情報を用いて前記隣接スイッチを決定するステップをさらに有すること、
を特徴とする、好ましくは形態５に記載の端末隔離方法。
［形態７］
前記アクセスポイントに接続されており、プライバシーセパレータ機能により相互に通信できない複数の端末が配下のネットワークに存在する少なくとも一のネットワーク機器のネットワークインタフェースを特定するための中継対象インタフェース情報を取得するステップと、
ＡＲＰパケットを受信してＡＲＰ情報を取得するステップと、
取得したＡＲＰ情報と、取得されている前記中継対象インタフェース情報とに基づいて前記ＡＲＰパケットの送信元の端末と、送信先の端末とが中継の対象である同一インタフェースの配下に位置しているか否かを判断するステップと、
判断結果と、取得されている前記ＡＲＰ情報に基づいて、ＡＲＰリプライを送信するステップと、
前記送信元の端末と前記送信先の端末とが中継の対象であると判断された場合に前記送信元の機器と前記送信先の端末との間の通信を中継するステップとをさらに有すること、
を特徴とする、好ましくは形態５または形態６に記載の端末隔離方法。
［形態８］
上記第３の視点に係る端末隔離プログラムのとおりである。
［形態９］
ネットワークに接続されている機器の前記ネットワーク内における位置を特定するためのトポロジ情報を取得するトポロジ情報取得処理と、
取得されたトポロジ情報を用いて前記隣接スイッチを決定する処理をさらに実行すること、
を特徴とする、好ましくは形態８に記載の端末隔離プログラム。
［形態１０］
前記アクセスポイントに接続されており、プライバシーセパレータ機能により相互に通信できない複数の端末が配下のネットワークに存在する少なくとも一のネットワーク機器のネットワークインタフェースを特定するための中継対象インタフェース情報を取得する処理と、
ＡＲＰパケットを受信してＡＲＰ情報を取得する処理と、
取得したＡＲＰ情報と、保持されている前記中継対象インタフェース情報とに基づいて前記ＡＲＰパケットの送信元の端末と、送信先の端末とが中継の対象である同一インタフェースの配下に位置しているか否かを判断する処理と、
判断結果と、取得されている前記ＡＲＰ情報に基づいて、ＡＲＰリプライを送信する処理と、
前記送信元の端末と前記送信先の端末とが中継の対象であると判断された場合に前記送信元の機器と前記送信先の端末との間の通信を中継する処理とをさらに実行すること、
を特徴とする、好ましくは形態８または形態９に記載の端末隔離プログラム。
【符号の説明】
【0066】
０１ コントローラ
０２、０３ 中継装置
１１ スイッチ、またはレイヤ２スイッチ
１２ 端末接続位置情報収集手段
１３ 端末接続位置探索手段
１４ トポロジ情報保持部
１５ 隣接スイッチ決定部
２１ 隣接スイッチ、またはレイヤ２スイッチ
２２ 中継対象インタフェース情報保持部
２３ ＡＲＰ情報取得部
２４ 中継対象判断部
２５ ＡＲＰ情報応答部
２６ 中継部
３１～３９ アクセスポイント、または無線ＬＡＮアクセスポイント
４１ 端末、被疑端末
４２、４４ 端末
４３ サーバ
５１ レイヤ３スイッチ
６１ 検疫セグメント
７１ 端末隔離要求処理部
８１ セキュリティ監視システム
９１ 第１の通信制御ルール
９２ 第２の通信制御ルール
１０１、２０１ ＣＰＵ（ＣｅｎｔｒａｌＰｒｏｃｅｓｓｉｎｇＵｎｉt）
１０２、２０２ メモリ
１０３、２０３ 入出力インタフェース
１０４、２０４ ＮＩＣ（ＮｅｔｗｏｒｋＩｎｔｅｒｆａｃｅＣａｒｄ）
１０５、２０５ 内部バス
２１１～２１９、３１１、３１２、３２１、３２２ インタフェース
０２、０３ 中継装置
１１ スイッチ、またはレイヤ２スイッチ
１２ 端末接続位置情報収集手段
１３ 端末接続位置探索手段
１４ トポロジ情報保持部
１５ 隣接スイッチ決定部
２１ 隣接スイッチ、またはレイヤ２スイッチ
２２ 中継対象インタフェース情報保持部
２３ ＡＲＰ情報取得部
２４ 中継対象判断部
２５ ＡＲＰ情報応答部
２６ 中継部
３１～３９ アクセスポイント、または無線ＬＡＮアクセスポイント
４１ 端末、被疑端末
４２、４４ 端末
４３ サーバ
５１ レイヤ３スイッチ
６１ 検疫セグメント
７１ 端末隔離要求処理部
８１ セキュリティ監視システム
９１ 第１の通信制御ルール
９２ 第２の通信制御ルール
１０１、２０１ ＣＰＵ（ＣｅｎｔｒａｌＰｒｏｃｅｓｓｉｎｇＵｎｉt）
１０２、２０２ メモリ
１０３、２０３ 入出力インタフェース
１０４、２０４ ＮＩＣ（ＮｅｔｗｏｒｋＩｎｔｅｒｆａｃｅＣａｒｄ）
１０５、２０５ 内部バス
２１１～２１９、３１１、３１２、３２１、３２２ インタフェース
【図1】
【図2】
【図3】
【図4】
【図5】
【図6】
【図7】
【図8】
【図9】
【図10】
【図11】
【図12】
【図13】
【図14】
【図15】
【図16】