次に、本発明の実施の形態に係るネット� ��ークセキュリティ監視システムについて図� ��に基づいて説明する。なお、この実施の形� ��により本発明が限定されるものではない。

 図1は、本発明の実施の形態に係るネット ワークセキュリティ監視装置を備えたネット ワークの構成例を示すものである。図1では� �ネットワーク50に情報処理端末31,32,33とアプ� ��ケーションサーバ20とルータ40とが接続され 、ネットワーク50内における不正アクセスを� ��視し防止するネットワークセキュリティ監� ��装置10が接続されている。

 図2は、本発明の実施の形態に係るネットワ ークセキュリティ監視装置10の構成を示すブ� ��ック図である。
 図2に示すように、ネットワークセキュリテ ィ監視装置10は、ネットワーク上に接続され� ��全ての情報処理端末から送受信されるパケ� ��トを監視するパケット監視手段11と、ネッ� �ワーク内の全ての情報処理端末に関するア� �セスポリシー15を管理するポリシー管理手段 14と、アクセスポリシー15に基づきネットワ� �ク内の情報処理端末間の通信許可/不許可を� ��断するアクセス制御手段12と、特定の情報� �理端末間の通信を遮断する通信遮断手段13と 、で構成され、アクセス制御手段12がパケッ� ��監視手段11から受け取ったパケット情報の� �信元アドレス情報から情報処理端末を特定� �、アクセスポリシー15に基づき該情報処理端 末とネットワーク上に接続された他の情報処 理端末間の通信許可/不許可を判断するとと� �に、通信遮断手段13が不許可と判断された情 報処理端末間の通信を遮断するための情報を 一定時間間隔毎に繰返して送信することで、 前記アクセスポリシーで不許可と定義された 情報処理端末間の通信を遮断し、許可と定義 された情報処理端末間の通信可能状態を保持 する。ここで前記「一定時間間隔毎に繰返し て送信すること」は、不許可と判断された情 報処理端末のアクセスポリシーが不許可から 許可に更新されるまで行われるものとする。 さらに時間間隔値はユーザが適宜に設定する ものとする。すなわち不許可と判断された情 報処理端末と他の(複数の)情報処理端末間の� ��信を一斉に遮断することで、不許可と判断� ��れた情報処理端末間の通信を迅速かつ確実� ��遮断する制御を行うことができる。

 図3に本発明の実施の形態に係るネットワー クセキュリティ監視装置が備えるアクセスポ リシーの設定例を示す。図1、図2および図3を 用いて具体例(アクセスポリシー15で情報処理 端末C2とサーバA1間、および情報処理端末C2と 情報処理端末C1間の通信が不許可に設定され� ��いる場合の例)を説明する。
 パケット監視手段11が情報処理端末C2からの サーバA1に対して送信したパケット(ARP要求)� �受信すると、アクセス制御手段12がパケット 監視手段11から受け取ったパケット情報の送� ��元アドレス情報から情報処理端末を特定し� ��アクセスポリシー15に基づき該情報処理端� �とネットワーク上に接続された他の情報処� �端末間の通信許可/不許可を判断する。この� ��合、情報処理端末C2とサーバA1間、および情 報処理端末C2と情報処理端末C1間の通信が不� �可であるため、情報処理端末C2とサーバA1間� ��通信を遮断するための情報を情報処理端末C 2およびサーバA1に対して一定時間間隔毎に繰 返して送信するとともに、情報処理端末C2と� ��報処理端末C1間の通信を遮断するための情� �を情報処理端末C2および情報処理端末C1に対� ��て一定時間間隔毎に繰返して送信する。こ� ��繰返して送信することは、情報処理端末C2� �サーバA1間、および情報処理端末C2と情報処� ��端末C1間のアクセスポリシーが不許可から� �可に更新されるまで行われる。以上から、� �報処理端末C2からサーバA1に対して送信した� ��ケット(ARP要求)受信を契機として、情報処� �端末C2とサーバA1間、および情報処理端末C2� �情報処理端末C1間の通信を迅速かつ確実に遮 断することができる。同時にアクセスポリシ ー15で許可と定義された情報処理端末C2と情� �処理端末C3間、および情報処理端末C2とルー� ��R1間の通信可能状態を保持することになる� �

 パケット監視手段11は、ネットワーク上に� �続された情報処理端末から送信されるARP要� �を受取り、アクセス制御手段12が該ARP要求の 送信元アドレス情報から情報処理端末を特定 し、アクセス制御手段12がアクセスポリシー1 5に基づき該情報処理端末とネットワーク上� �接続された他の情報処理端末間の通信許可/� ��許可を判断するとともに、通信遮断手段13� �不許可と判断された情報処理端末間の通信� �遮断するための情報(例えば、偽りのARP応答) を一定時間間隔毎に繰返して送信する。ここ で前記「一定時間間隔毎に繰返して送信する こと」は、ネットワーク上に遅延が起きてい る場合やARPテーブルが静的に設定された場合 においても不許可と判断された情報処理端末 間の通信を迅速かつ確実に遮断する制御を行 うことを実現している。
 すなわち、アクセスポリシーで情報処理端� ��C1と情報処理端末C2間の通信が不許可に設定 されている場合、ネットワーク上に遅延が起 きていると、通信を遮断するための情報を通 信端末C1(またはC2)が受信した後に、正しいARP 応答が情報処理端末C1(またはC2)に届くことが あり、この場合は後に届いた情報で情報処理 端末C1(またはC2)のARPテーブルが書き換えられ 、情報処理端末C1と情報処理端末C2間の通信� �遮断するアクセス制御ができなくなるとい� �問題点を解消することができる。
 また、アクセスポリシーで情報処理端末C1� �情報処理端末C2間の通信が不許可に設定され ている場合、情報処理端末C1のARPテーブルが� ��的に設定された場合に、情報処理端末C1か� �ARP要求を送信せずに情報処理端末C2へ情報が 送信され、情報処理端末C1と情報処理端末C2� �の通信を遮断するアクセス制御ができなく� �るという問題点を解消することができる。

 図4に本発明の実施の形態に係るネットワー クセキュリティ監視装置と情報処理端末C1
,C2間および情報処理端末C1とC2間のシーケン� �例を示す。図4を用いて具体例(アクセス
ポリシーで情報処理端末C1と情報処理端末C2� �の通信が不許可に設定されている場合の例
)を説明する。
 (1) 情報処理端末C1は情報処理端末C2と通信� ��開始するにあたって、情報処理端末C2のMAC� �ドレスを得るために、自身のIPアドレスとMAC アドレス(mac_C1)、及びC2のIPアドレスを設定し てARP要求をブロードキャスト送信する(S01)。
 (2) 情報処理端末C2は、自身のIPアドレスが� ��定されたARP要求を受信すると、送信元C1に� �して、自身のIPアドレスとMACアドレス(mac_C2)� ��設定してARP応答を送信する(S02)。情報処理� �末C1はARP応答を受信すると、自身のARPテーブ ルを更新(情報処理端末C2のMACアドレスとして mac_C2を設定)する。このARPテーブルの情報は� �定時間キャッシュされるため、情報処理端� �C1は以降ARP要求を送信せずにARPテーブルの情 報を用いて通信が可能となる。
 (3) セキュリティ監視装置は、情報処理端� �C1から送信されたARP要求を受信し、アクセス ポリシーに基づき情報処理端末C1と情報処理� ��末C2間通信の不許可を判断すると、 情報処 理端末C1に対して、C2のIPアドレスと偽造MACア ドレス(mac_XX) を設定してARP応答を送信する(S 03)。情報処理端末C1はARP応答を受信すると、� ��身のARPテーブルを更新(情報処理端末C2のMAC� ��ドレスとしてmac_XXを設定)する。情報処理端 末C1はARPテーブルの情報を用いて通信しよう� ��するが、MACアドレスが不正であるため、情� ��処理端末C2との通信ができなくなる。
 (4) さらにセキュリティ監視装置は、情報� �理端末C2に対して、C1のIPアドレスと偽造MAC� �ドレス(mac_YY) を設定してARP応答を送信する( S04)。情報処理端末C2はARP応答を受信すると、 自身のARPテーブルを更新(情報処理端末C1のMAC アドレスとしてmac_YYを設定)するため、情報� �理端末C1との通信ができなくなる。
 (5) 上記S02で述べたARP応答が、ネットワー� �上に遅延が起きていると、情報処理端末C1に 遅れて届くことがある(S02’)。この場合、情� ��処理端末C1のARPテーブルには、正しい情報� �書き換えられる(情報処理端末C2のMACアドレ� �としてmac_C2が設定される)ことになる。すな� ��ち情報処理端末C1から情報処理端末C2に対し て送信する通信を遮断する制御ができなくな る。
 (6) そこでセキュリティ監視装置は、一定� �間(T1)経過後に、情報処理端末C1に対して、C2 のIPアドレスと偽造MACアドレス(mac_XX) を設定 してARP応答を送信する(S05)。情報処理端末C1� �ARP応答を受信すると、自身のARPテーブルを� �新(情報処理端末C2のMACアドレスとしてmac_XX� �設定)するため、情報処理端末C2との通信が� �きなくなる。セキュリティ監視装置は、ア� �セスポリシーが不許可から許可に更新され� �まで一定時間間隔(T1)毎に繰返し送信を続け� ��(S07,S10)。
 (7) 同様にセキュリティ監視装置は、一定� �間(T1)経過後に、情報処理端末C2に対して、C1 のIPアドレスと偽造MACアドレス(mac_YY) を設定 してARP応答を送信する(S06)。情報処理端末C2� �ARP応答を受信すると、自身のARPテーブルを� �新(情報処理端末C1のMACアドレスとしてmac_YY� �設定)するため、情報処理端末C1との通信が� �きなくなる。セキュリティ監視装置は、ア� �セスポリシーが不許可から許可に更新され� �まで一定時間間隔(T1)毎に繰返し送信を続け� ��(S08,S11)。
 (8) 情報処理端末C1のARPテーブルが静的に設 定(例えばC2のMACアドレスとしてmac_C2が設定)� �れた場合(S09)に、情報処理端末C1から情報処� ��端末C2に対して送信する通信を遮断する制� �ができなくなるが、セキュリティ監視装置� �、一定時間(T1)経過後に、情報処理端末C1に� �して、C2のIPアドレスと偽造MACアドレス(mac_XX ) を設定してARP応答を送信する(S10)ため、情� ��処理端末C1は自身のARPテーブルを更新(情報� ��理端末C2のMACアドレスとしてmac_XXを設定)し� ��情報処理端末C2との通信ができなくなる。

 またパケット監視手段11は、ネットワー� �内の全てのIPアドレスに対して一定時間間隔 毎にARP要求をブロードキャストで送信すると ともに、受け取ったARP応答の送信元アドレス 情報に基づきアクセス制御手段12が情報処理� ��末を特定し、アクセス制御手段12がアクセ� �ポリシー15に基づき該情報処理端末とネット ワーク上に接続された他の情報処理端末間の 通信許可/不許可を判断するとともに、通信� �断手段13が不許可と判断された情報処理端末 間の通信を遮断するための情報(例えば、偽� �のARP応答)を一定時間間隔毎に繰返して送信� ��る。ここで前記「ネットワーク内の全てのI Pアドレスに対して一定時間間隔毎にARP要求� �ブロードキャストで送信する」ことにより� �長時間に渡りパケット送受信していない情� �処理端末を検出し、不許可と判断された情� �処理端末間の通信を確実に遮断する制御を� �うことができる。またアクセスポリシーに� �録されていない情報処理端末を検出した場� �は、該情報処理端末に関する通信は不許可� �してアクセスポリシーに登録することで、� �実に不正アクセスを遮断する制御を行うこ� �ができる。

 図5は、本発明の実施の形態に係るネットワ ークセキュリティ監視装置を備えたネットワ ークに不正端末が接続された構成例を示すも のである。
 図5に示すように、セキュリティ監視装置が 備えるアクセスポリシーには、情報処理端末 C1,C2,C3間の通信許可/不許可が設定されており 、この時点でセキュリティ監視装置は情報処 理端末CXを認識していない状態にある。
 セキュリティ監視装置は、ネットワークに� ��続された情報処理端末を監視するために、� ��ットワーク内の全てのIPアドレスに対して� �定時間間隔毎にARP要求をブロードキャスト� �送信し、情報処理端末C1,C2,C3,CXからARP応答を 受信する。受信したARP応答の送信元アドレス 情報に基づき情報処理端末を特定し、アクセ スポリシーに基づき情報処理端末C1,C2,C3,CX間� ��通信許可/不許可を判断するとともに、不許 可と判断された情報処理端末に対して通信を 遮断するための情報(例えば、偽りのARP応答)� ��一定時間間隔毎に繰返して送信する。また� ��報処理端末CXについては、アクセスポリシ� �に登録されていないため、情報処理端末CXを アクセスポリシーに追加登録し、情報処理端 末CXと情報処理端末C1,C2,C3間の通信を不許可� �して設定する。これにより、不正に接続さ� �た情報処理端末CXの不正アクセスを確実に遮 断することができる。

 次に図6は、図5に示した構成例に基づき、� �発明の実施の形態に係るネットワークセキ� �リティ監視装置と情報処理端末CX ,C1,C2,C3間� ��シーケンス例を示したものである。図6を用 いて具体例を説明する。
 (1) セキュリティ監視装置は、ネットワー� �に接続された情報処理端末を監視するため� �、ネットワーク内の全てのIPアドレスに対し てARP要求をブロードキャストで送信する(S61)� ��このS61のステップは一定時間間隔毎に繰返� ��て行うものとする。
 (2) セキュリティ監視装置は、情報処理端� �C1,C2,C3,CXからARP応答を受信する(S62)。受信し� ��ARP応答の送信元アドレス情報に基づき情報� ��理端末を特定し、アクセスポリシーに基づ� ��情報処理端末C1,C2,C3,CX間の通信許可/不許可� ��判断する。ここで情報処理端末CXについて� �、アクセスポリシーに登録されていないた� �、情報処理端末CXをアクセスポリシーに追加 登録し、情報処理端末CXと情報処理端末C1,C2,C 3間の通信を不許可として設定する。
 (3) セキュリティ監視装置は、不許可と判� �された情報処理端末CXと他の情報処理端末C1, C2,C3間の通信を遮断するために、情報処理端� ��CXに対して情報処理端末C1,C2,C3のMACアドレス として偽造MACアドレス(mac_Z1,mac_Z2,
mac_Z3)を有するARP応答を送信するとともに、� �報処理端末C1,C2,C3に対しても情報処理端末CX� ��MACアドレスとして偽造MACアドレス(mac_XX)を� �するARP応答を送信する(S63)。情報処理端末CX� ��ARP応答を受信すると、自身のARPテーブルを� ��新(情報処理端末C1のMACアドレスとしてmac_Z1� ��設定、情報処理端末C2のMACアドレスとしてma c_Z2を設定、情報処理端末C3のMACアドレスとし てmac_Z3を設定)するため、情報処理端末C1,C2,C3 との通信ができなくなる。同様にして、情報 処理端末C1,C2,C3はARP応答を受信すると、自身� ��ARPテーブルを更新(情報処理端末CXのMACアド� ��スとしてmac_XXを設定)するため、情報処理端 末CXとの通信ができなくなる。
 (4) セキュリティ監視装置は、アクセスポ� �シーが不許可から許可に更新されるまで一� �時間間隔(T1)毎に繰返し送信を続ける(S64)。

 以上から、アクセスポリシーに基づき情� ��処理端末CXと通信が不許可とされている情� �処理端末C1,C2,C3、および情報処理端末CXに対� ��て、偽りのMACアドレスを有するARP応答を一� ��時間間隔毎に繰返して送信することで、情� ��処理端末間(CXとC1間、CXとC2間、CXとC3間)の� �信を速やかに且つ確実に遮断することがで� �る。

 次に図7は、本発明の実施の形態に係るネッ トワークセキュリティ監視装置が備えるアク セスポリシーが許可から不許可に変更された 時の情報処理端末C1とC2間のシーケンス例を� �すものである。図7を用いて具体例を説明す� ��。
 (1) セキュリティ監視装置は、アクセスポ� �シーで情報処理端末C1と情報処理端末C2間の� ��信が許可から不許可に変更された時に、情� ��処理端末C1に対して、C2のIPアドレスと偽造M ACアドレス(mac_XX) を設定してARP応答を送信す る(S71)。情報処理端末C1はARP応答を受信する� �、自身のARPテーブルを更新(情報処理端末C2� �MACアドレスとしてmac_XXを設定)する。情報処� ��端末C1はARPテーブルの情報を用いて通信し� �うとするが、MACアドレスが不正であるため� �情報処理端末C2との通信ができなくなる。
 (2) さらにセキュリティ監視装置は、情報� �理端末C2に対して、C1のIPアドレスと偽造MAC� �ドレス(mac_YY) を設定してARP応答を送信する( S72)。情報処理端末C2はARP応答を受信すると、 自身のARPテーブルを更新(情報処理端末C1のMAC アドレスとしてmac_YYを設定)するため、情報� �理端末C1との通信ができなくなる。
 (3) セキュリティ監視装置は、アクセスポ� �シーが不許可から許可に更新されるまで一� �時間間隔(T1)毎に繰返し送信を続ける(S73,S74,S 75,S76)。

 以上から、アクセスポリシーが許可から� ��許可に変更された時に、該当する情報処理� ��末(例えばC1,C2)に対して偽りのMACアドレスを 有するARP応答を一定時間間隔毎に繰返して送 信することで、情報処理端末間C1とC2間の通� �を速やかに且つ確実に遮断することができ� �。

 次に図8は、本発明の実施の形態に係るネッ トワークセキュリティ監視装置が備えるアク セスポリシーが不許可から許可に変更された 時の情報処理端末C1とC2間のシーケンス例を� �すものである。図8を用いて具体例を説明す� ��。
 (1) セキュリティ監視装置は、アクセスポ� �シーで情報処理端末C1と情報処理端末C2間の� ��信が不許可に設定されているため、情報処� ��端末C1に対して、C2のIPアドレスと偽造MACア� ��レス(mac_XX) を設定してARP応答を一定時間間 隔(T1)毎に繰返し送信する(S81,S83)とともに、� �報処理端末C2に対して、C1のIPアドレスと偽� �MACアドレス(mac_YY) を設定してARP応答を一定� ��間間隔(T1)毎に繰返し送信する(S82,S84)。
 (2) セキュリティ監視装置は、アクセスポ� �シーで情報処理端末C1と情報処理端末C2間の� ��信が不許可から許可に変更された時に、(S81 ,S83)および(S82,S84)の繰返し送信を停止すると� ��もに、情報処理端末C1に対して情報処理端� �C2の正しいMACアドレス(mac_C2)を有するARP応答� ��送信する(S85)。情報処理端末C1はARP応答を受 信すると、自身のARPテーブルを更新(情報処� �端末C2のMACアドレスとしてmac_C2を設定)し、� �報処理端末C2との通信ができるようになる。
 (3) さらにセキュリティ監視装置は、情報� �理端末C2に対して情報処理端末C1の正しいMAC� ��ドレス(mac_C1)を有するARP応答を送信する(S86) 。情報処理端末C2はARP応答を受信すると、自� ��のARPテーブルを更新(情報処理端末C1のMACア� ��レスとしてmac_C1を設定)し、情報処理端末C1� ��の通信ができるようになる。

 以上から、アクセスポリシーが不許可か� ��許可に変更された時に、情報処理端末間(C1� ��C2間)の通信遮断の制御を止めるとともに、� ��報処理端末C1,C2に対して正しいMACアドレス� �有するARP応答を送信することで、情報処理� �末間C1とC2間の通信を速やかに再開すること� ��できる。

 またネットワークセキュリティ監視装置� ��備えるアクセスポリシーで不許可と判断さ� ��た情報処理端末Xがネットワーク外部の情報 処理端末と接続しようとしている場合、セキ ュリティ監視装置が情報処理端末CXに対して� ��継装置のMACアドレスとして偽りのMACアドレ� ��を有するARP応答を一定時間間隔毎に繰返し� ��送信する。さらにセキュリティ監視装置は� ��ネットワーク内の全ての中継装置に対して� ��報処理端末CXのMACアドレスとして偽りのMAC� �ドレスを有するARP応答を一定時間間隔毎に� �返して送信する。すなわち、不許可と判断� �れた情報処理端末CXに対して中継装置のMACア ドレスとして偽りのMACアドレスを有するARP応 答を一定時間間隔毎に繰返して送信すること で、情報処理端末CXがネットワーク外部の情� ��処理端末と接続することができなくなる。

 またネットワークセキュリティ監視装置� ��備えるポリシー管理手段14は、ネットワー� �内の情報処理端末のMACアドレス/IPアドレス� �他に、ソフトウエア更新履歴情報ならびに� �続状況などの情報を保持するとともに、前� �の情報に基づき情報処理端末間の通信許可/� ��許可を判断するためのアクセスポリシーを� ��理する。ここで、アクセスポリシーの管理� ��ついては、ソフトウエア更新履歴情報など� ��情報に基づきアクセスポリシーをプログラ� ��で自動更新する場合と、手動によりアクセ� ��ポリシーを更新する場合とがある。

 以上から、ポリシー管理手段14は、ネッ� �ワーク内の情報処理端末のMACアドレス/IPア� �レスの他に、ソフトウエア更新履歴情報、� �らびに接続状況などの情報に基づき、情報� �理端末間の通信の許可/不許可を判断するた� ��のアクセスポリシーを管理することで、例� ��ばウィルス情報が更新されていない情報処� ��端末のアクセス対象端末を制限することが� ��能となり、フェイルセーフなシステムを実� ��することができる。

 次に図9は、本発明の実施の形態に係るネッ トワークセキュリティ監視システムの構成例 を示すものである。
 図9に示すように、ネットワークセキュリテ ィ監視システムは、前記で説明したネットワ ークセキュリティ監視装置をセグメント毎に 配置するとともに、セグメント内のセキュリ ティ管理をするネットワークセキュリティ監 視装置がアクセスポリシーで不許可と定義さ れた情報処理端末間の通信を遮断し、許可と 定義された情報処理端末間の通信可能状態を 保持している。これにより、セグメント内で 不許可と判断された情報処理端末間の通信を 迅速かつ確実に遮断する制御を行うことが可 能になる。

 さらにネットワークセキュリティ監視シ� ��テムは、ネットワーク全体のアクセスポリ� ��ーを一元管理するセキュリティマネージャ� ��置を備え、該マネージャ装置から最新のポ� ��シー情報を各セグメントに配置されたネッ� ��ワークセキュリティ監視装置にタイムリー� ��配布するとともに、セグメント内のセキュ� ��ティ管理をするネットワークセキュリティ� ��視装置がアクセスポリシーで不許可と定義� ��れた情報処理端末間の通信を遮断し、許可� ��定義された情報処理端末間の通信可能状態� ��保持している。これにより、システム全体� ��ポリシー情報を共有し一元管理することが� ��能になるとともに、セグメント毎に最新の� ��リシー情報を用いて情報処理端末間の通信� ��監視し、不許可と判断された情報処理端末� ��の通信を迅速かつ確実に遮断する制御を行� ��ことが可能になる。

 次に図10は本発明の実施の形態に係るネ� �トワークセキュリティ監視装置が通信許可� �ストを用いて不正な通信遮断を検出するシ� �ケンス例を示す図である。

 [Phase1:通信可能状態]
 この段階では情報処理端末A1と情報処理端� �B間は通信可能状態にあり、情報処理端末A1� �ARPテーブルには情報処理端末BのMACアドレス( MAC-B)が設定され、情報処理端末BのARPテーブ� �には情報処理端末A1のMACアドレス(MAC-A1)が設� ��されている。

 [Phase2:不正な通信遮断が発生していること� �検出]
 セキュリティ監視装置は、情報処理端末Zが 情報処理端末A1と情報処理端末B間の通信を不 正に遮断していることを検出する。
 情報処理端末Zは、情報処理端末A1に対して� ��送信元IPアドレス(IP-B)と不正なMACアドレス(M AC-YY)とを有するARPパケットを送信する(P01)。� ��報処理端末A1は該ARPパケットを受信すると� �身のARPテーブルを更新(情報処理端末BのMACア ドレスとしてMAC-YYを設定)する。この状態で� �報処理端末A1がARPテーブルの情報を用いて情 報処理端末Bに対して送信しようとすると、� �報処理端末BのMACアドレスが不正であるため� ��信ができなくなる。
 また情報処理端末Zは、情報処理端末Bに対� �て、送信元IPアドレス(IP-A1)と不正なMACアド� �ス(MAC-XX)とを有するARPパケットを送信する(P0 2)。情報処理端末Bは該ARPパケットを受信する と自身のARPテーブルを更新(情報処理端末A1の MACアドレスとしてMAC-XXを設定)する。この状� �で情報処理端末BがARPテーブルの情報を用い� ��情報処理端末A1に対して送信しようとする� �、情報処理端末A1のMACアドレスが不正である ため送信ができなくなる。
 一方、セキュリティ監視装置は、常時ネッ� ��ワーク上で送受信されるARPパケットを監
視し、ARPパケットの送信先IPアドレスが通信� ��可リストに登録された情報処理端末An(n:1以� ��の自然数)のIPアドレスと同じIPアドレスを� �するARPパケットを抽出し、該ARPパケットの� �信元IPアドレスから情報処理端末Bを特定し� �該ARPパケットの送信元MACアドレスが前記ア� �セスポリシーに登録された情報処理端末BのM ACアドレスと異なる場合に、該ARPパケットを� ��正に通信遮断を行う攻撃と判断すると共に� ��不正に通信遮断を行う攻撃パケットを検出� ��た旨のアラームを発信する。
 図10の例では、P01で送信されたARPパケット� �送信先IPアドレス(IP-A1)が通信許可リストに� �録されているため、該ARPパケットを抽出し� �該ARPパケットの送信元IPアドレスから情報処 理端末Bを特定し、該ARPパケットの送信元MAC� �ドレスが前記アクセスポリシーに登録され� �情報処理端末BのMACアドレス(MAC-B)と同じか判 定する。該ARPパケットの送信元MACアドレスが MAC-YYであり、情報処理端末BのMACアドレス(MAC- B)と異なるため、該ARPパケットを不正に通信� ��断を行う攻撃と判断する(P03)と共に、不正� �通信遮断を行う攻撃パケットを検出した旨� �アラームを発信する(P05)。
 ここでセキュリティ監視装置が保持する通� ��許可リストは、ネットワーク上に接続され� ��全ての情報処理端末と通信許可された情報� ��理端末An(n:1以上の自然数)のIPアドレス{IP-An1 , IP-An2,・・・, IP-Ani}(i:1以上の自然数)及びMA Cアドレス{MAC-An1, MAC-An2,・・・, MAC-Anj}(j:1以� ��の自然数)を有するものである。
 また、セキュリティ監視装置は、常時ネッ� ��ワーク上で送受信されるARPパケットを監視� ��、ARPパケットの送信元IPアドレスが通信許� �リストに登録された情報処理端末An(n:1以上� �自然数)のIPアドレスと同じIPアドレスを有す るARPパケットを抽出し、該ARPパケットの送信 元MACアドレスが通信許可リストに登録された 情報処理端末AnのMACアドレスと同じものがな� ��場合に、該ARPパケットを不正に通信遮断を� ��う攻撃と判断すると共に、不正に通信遮断� ��行う攻撃パケットを検出した旨のアラーム� ��発信する。
 図10の例では、P02で送信されたARPパケット� �送信元IPアドレス(IP-A1)が通信許可リストに� �録されているため、該ARPパケットを抽出し� �該ARPパケットの送信元MACアドレスが通信許� �リストに登録された情報処理端末A1のMACアド レスと同じものがないか判定する。該パケッ トの送信元MACアドレスがMAC-XXであり、通信許 可リストに登録された情報処理端末A1のMACア� ��レス(MAC-A1) と異なるため、該ARPパケットを 不正に通信遮断を行う攻撃と判断する(P04) � �共に、不正に通信遮断を行う攻撃パケット� �検出した旨のアラームを発信する(P05)。

 [Phase3:通信可能状態に復旧]
 セキュリティ監視装置はP03で不正な通信遮� ��を検出した場合、情報処理端末A1に対して� �報処理端末Bの正しいMACアドレス(MAC-B)を有す るARPパケットを送信する(P06)。情報処理端末A 1は該パケットを受信すると自身のARPテーブ� �を更新(情報処理端末BのMACアドレスとしてMAC -Bを設定)する。この状態で情報処理端末A1がA RPテーブルの情報を用いて情報処理端末Bに対 して送信することが可能になる。
 またセキュリティ監視装置はP04で不正な通� ��遮断を検出した場合、情報処理端末Bに対し て情報処理端末A1の正しいMACアドレス(MAC-A1)� �有するARPパケットを送信する(P07)。情報処理 端末Bは該パケットを受信すると自身のARPテ� �ブルを更新(情報処理端末BのMACアドレスとし てMAC-A1を設定)する。この状態で情報処理端� �BがARPテーブルの情報を用いて情報処理端末A 1に対して送信することが可能になる。

 次に図11は本発明の実施の形態に係るネッ� �ワークセキュリティ監視装置が備える通信� �可リストの設定例を示す図である。
 通信許可リストは、ネットワーク上に接続� ��れた全ての情報処理端末と通信許可された� ��報処理端末An(n:1以上の自然数)のIPアドレス{ IP-An1, IP-An2,・・・, IP-Ani}(i:1以上の自然数)� �びMACアドレス{MAC-An1, MAC-An2,・・・, MAC-Anj}(j :1以上の自然数)を定義したものである。
 図11の例では、情報処理端末A1のIPアドレス� ��して {IP-A1}、MACアドレスとして {MAC-A1}が定 義されている。
 また情報処理端末A2のIPアドレスとして {IP- A2}、MACアドレスとして {MAC-A21, MAC-A22,・・・ , MAC-A2j}(j:2以上の自然数)が定義されている� �
 また情報処理端末A3のIPアドレスとして {IP- A31, IP-A32,・・・, IP-A3i}(i:2以上の自然数)、MA Cアドレスとして {MAC-A3}が定義されている。
 また情報処理端末A4のIPアドレスとして {IP- A41, IP-A42,・・・, IP-A4k}(k:2以上の自然数)、MA Cアドレスとして {MAC-A41, MAC-A42,・・・, MAC-A 4m}(m:2以上の自然数)が定義されている。
 ここで情報処理端末AnのIPアドレス/MACアド� �スが複数個定義されている理由は、例えば� �仮想ルータのような場合に複数個のIPアドレ スやMACアドレスを持つことがあることを考慮 しているためである。

 次に図12は本発明の実施の形態に係るネ� �トワークセキュリティ監視装置がFMAC生成ア� ��ゴリズムを用いて不正な通信遮断を検出す� ��シーケンス例を示す図である。

 [Phase1:通信可能状態]
 この段階では情報処理端末A1と情報処理端� �B間は通信可能状態にあり、情報処理端末A1� �ARPテーブルには情報処理端末BのMACアドレス( MAC-B)が設定され、情報処理端末BのARPテーブ� �には情報処理端末A1のMACアドレス(MAC-A1)が設� ��されている。

 [Phase2:不正な通信遮断が発生していること� �検出]
 セキュリティ監視装置は、情報処理端末Zが 情報処理端末A1と情報処理端末B間の通信を不 正に遮断していることを検出する。
 情報処理端末Zは、情報処理端末A1に対して� ��送信元IPアドレス(IP-B)と不正なMACアドレス(M AC-YY)とを有するARPパケットを送信する(P11)。� ��報処理端末A1は該ARPパケットを受信すると� �身のARPテーブルを更新(情報処理端末BのMACア ドレスとしてMAC-YYを設定)する。この状態で� �報処理端末A1がARPテーブルの情報を用いて情 報処理端末Bに対して送信しようとすると、� �報処理端末BのMACアドレスが不正であるため� ��信ができなくなる。
 また情報処理端末Zは、情報処理端末Bに対� �て、送信元IPアドレス(IP-A1)と不正なMACアド� �ス(MAC-XX)とを有するARPパケットを送信する(P1 2)。情報処理端末Bは該ARPパケットを受信する と自身のARPテーブルを更新(情報処理端末A1の MACアドレスとしてMAC-XXを設定)する。この状� �で情報処理端末BがARPテーブルの情報を用い� ��情報処理端末A1に対して送信しようとする� �、情報処理端末A1のMACアドレスが不正である ため送信ができなくなる。
 一方、セキュリティ監視装置においては、� ��記アクセスポリシーに基づき不許可と判断� ��れた情報処理端末間の通信を遮断するため� ��、該情報処理端末に対して偽りのMACアドレ� ��(FMAC)を有するARPパケットを送信する時に、F MACは複数の入力パラメータを用いて一方向関 数genFMACにより生成されることにする。ここ� �一方向関数genFMACは、例えばハッシュ関数と� ��てハッシュ値FMACを算出するために、
 FMAC = genFMAC(SeedMac,
Time, Secret)
のように定義される。パラメータSeedMacは、� �ンダー識別子(OUI: Organizationally
Unique Identifier)であり、MACアドレス(48bit)中の� ��位24bitは、このベンダー識別子で構成され� �。パラメータTimeは、時刻情報であり、年・� ��・日・時・分・秒などの情報が組合せて使� ��される。パラメータSecretは、秘密鍵情報で� ��り、特定の管理者だけが知り得る非公開情� ��である。MACアドレス(48bit)中の下位24bitは、� ��ラメータTime, Secretを入力とするハッシュ関 数により生成される疑似乱数で構成される。 ハッシュ関数は、出力から入力のデータを推 測できないこと、同じ出力を持つ入力データ を容易に作成できないこと等の特徴がある。
 次にセキュリティ監視装置は、常時ネット� ��ーク上で送受信されるARPパケットを監視し� ��偽りのMACアドレスを有するARPパケットを抽� ��する。ここで抽出の条件として、例えばARP� ��ケットのMACアドレスが前記通信許可リスト� ��たは前記アクセスポリシーに登録された情� ��処理端末のMACアドレスと同じでない場合と� ��る。抽出されたARPパケットのMACアドレスが� ��記一方向関数genFMACを用いて生成したFMACの� �と異なる場合に、該ARPパケットを不正に通� �遮断を行う攻撃と判断する。すなわち抽出� �れたARPパケットが、セキュリティ監視装置� �アクセスポリシーに基づき不許可と判断さ� �た情報処理端末間の通信を遮断するために� �信したARPパケットと同じものかを判定し、� �なる場合には、該ARPパケットを不正に通信� �断を行う攻撃と判断する。なおFMACの値はハ� ��シュ関数を利用して生成されているため、� ��三者が不正な通信遮断を行おうとしてこの� ��を利用することはできない。
 また不正に通信遮断を行う攻撃を検出した� ��合にアラームを発信することで、管理者は� ��速な対処を行うことが可能になる。
 図12の例では、P11で送信されたARPパケット� �送信元MACアドレス(MAC-YY)が偽りのMACアドレス であるため、該ARPパケットを抽出し、該ARPパ ケットの送信元MACアドレスが前記一方向関数 genFMACを用いて生成したFMACの値と同じか判定� ��る。異なる場合には、該ARPパケットを不正� ��通信遮断を行う攻撃と判断する(P13)と共に� �不正に通信遮断を行う攻撃パケットを検出� �た旨のアラームを発信する(P15)。
 またP12で送信されたARPパケットの送信元MAC� ��ドレス(MAC-XX)が偽りのMACアドレスであるた� �、該ARPパケットを抽出し、該ARPパケットの� �信元MACアドレスが前記一方向関数genFMACを用� ��て生成したFMACの値と同じか判定する。異な る場合には、該ARPパケットを不正に通信遮断 を行う攻撃と判断する(P14)と共に、不正に通� ��遮断を行う攻撃パケットを検出した旨のア� ��ームを発信する(P15)。

 また前記一方向関数genFMACのパラメータとし て時刻情報(Time)を用いることで、FMACの値は� �刻により変化する値となるため、仮に第三� �がFMACの値を盗んで、この値を用いて不正な� ��信遮断を行おうとしても、セキュリティ監� ��装置は不正な通信遮断を検出することがで� ��る。
 なお時刻情報(Time)としては、年・月・日・� ��・分・秒などの情報を組合せて使用するこ� ��が考えられる。この場合セキュリティ監視� ��置は、例えば、図12のP13で不正な通信遮断� �検出するために、ARPパケットの送信元MACア� �レスが一方向関数genFMACを用いて生成したFMAC の値と同じか判定する時に、タイムラグを考 慮した判定処理を行うことが必要になる。例 えば次の様な判定処理を行う。
 IF { ARPパケットの送信元MACアドレス = genF MAC(SeedMac, T1, Secret)} or
   {
ARPパケットの送信元MACアドレス = genFMAC(SeedM ac,
T2, Secret)}
 ELSE ・・・・不正な通信遮断を検出
 ここで、例えばT1=14時11分、T2=14時12分など� �使用される。

 以上から、アクセスポリシーに基づき不� ��可と判断された情報処理端末間の通信を遮� ��するために送信するARPパケット中の「偽り� ��MACアドレス(FMAC)」を、一方向関数genFMACを用 いて生成することで、不正に通信遮断を行う ARPパケットと本発明で通信を遮断するために 送信するARPパケットとを容易に判別ができる ようになる。ハッシュ関数の特徴を利用して 、不正に通信遮断を行うARPパケット中の「偽 りのMACアドレス」とFMACの値とを比較照合す� �ことで、容易に不正に通信遮断を行う攻撃� �検出することが可能になる。また不正に通� �遮断を行う攻撃を検出した場合にアラーム� �発信することで、管理者は迅速な対処を行� �ことが可能になる。

 次に前述の図9で説明したネットワークセ キュリティ監視システムに、前述の図10~図12� ��説明したネットワークセキュリティ監視装� ��をセグメント毎に配置することで、セグメ� ��ト内に配置されたセキュリティ監視装置が� ��易に且つ確実に不正に通信遮断を行う攻撃� ��検出することが可能になる。また攻撃を検� ��した場合にアラームを発信することで、迅� ��な対処を行うことが可能になる。さらに攻� ��を検出した場合に、正しいMACアドレスを有� ��るARPパケットを送信することで、不正に通� ��遮断された情報処理端末間の通信を速やか� ��通信可能状態に復旧することが可能になる� ��