JP4672780B2 - ネットワーク監視装置及びネットワーク監視方法 - Google Patents

Description

本発明は、ネットワーク上の不正アクセスを監視するネットワーク監視装置及びネットワーク監視方法に関する。

近年、ネットワーク上の不正アクセスに対処するための様々な手法が提案されている。このような手法の一つとして、アドレス解決プロトコル（Address Resolution Protocol：ＡＲＰ）を利用した方法が挙げられる。

アドレス解決プロトコル（ＡＲＰ）は、ネットワーク上でＩＰアドレスが既知であるノードのＭＡＣアドレスを決定するためのプロトコルである。

ネットワーク上の各ノードは、アドレス解決プロトコル要求（ＡＲＰ要求）を送信し、他のノードから送信されるアドレス解決プロトコル応答（ＡＲＰ応答）に基づいて、ＩＰアドレス（ネットワークアドレス）とＭＡＣアドレス（物理アドレス）との対応をＡＲＰテーブルへ記述する。このため、偽装されたＡＲＰ応答を送信することで、ノードのＡＲＰテーブルに他のノードの偽のＭＡＣアドレスを記述することもできる。ＡＲＰテーブルに偽のＭＡＣアドレスを記述されたノードは、正常な通信を行うことができない。換言すると、ノードが不正なノードである場合には、不正なノードによる通信を妨害することができる。

特許文献１には、未認証端末から送信されたＡＲＰ要求を受信し、該未認証端末へ偽装ＡＲＰ応答を送信し、該未認証端末のアクセス先である認証済み端末へ偽装ＡＲＰ要求を送信するネットワーク検疫装置が開示されている。ネットワーク検疫装置は、上述の偽装ＡＲＰ応答及び偽装ＡＲＰ要求により、未認証端末と認証済み端末との間の通信を妨害することができる。

特開２００６−２６２０１９号公報

特許文献１のネットワーク検疫装置では、未認証端末がネットワーク検疫装置から偽装ＡＲＰ応答を受信するまでの期間と、認証済み端末がネットワーク検疫装置から偽装ＡＲＰ要求を受信するまでの期間とにおいて、未認証端末と認証済み端末との間で通信が実行される可能性がある。このため、未認証端末と認証済み端末との間で通信が実行され得る期間を短縮するための新たな機能の実現が必要である。

本発明は上述の事情を考慮してなされたものであり、不正ノードと不正ノードのアクセス先のノードとの間で通信が可能な期間を短縮できるネットワーク監視装置を提供することを目的とする。

上述の課題を解決するため、本発明は、複数のノードが接続されたネットワークを監視するネットワーク監視装置であって、アドレス解決プロトコル要求パケットを受信したことに応答して、前記受信したアドレス解決プロトコル要求パケットの送信元物理アドレスに基づいて、前記受信したアドレス解決プロトコル要求パケットの送信元ノードが不正ノードであるかどうかを判定する不正ノード判定手段と、前記送信元ノードが不正ノードである場合、前記受信したアドレス解決プロトコル要求パケットの宛先ネットワークアドレスに対応する宛先ノードへ、宛先ネットワークアドレスが前記宛先ノードのネットワークアドレスであり、送信元物理アドレスが前記ネットワーク監視装置の物理アドレスであり、且つ送信元ネットワークアドレスが前記不正ノードのネットワークアドレスである偽装アドレス解決プロトコル要求パケットを送信する偽装アドレス解決プロトコル要求送信手段と、前記宛先ノードから前記ネットワーク監視装置にユニキャストされた、前記偽装アドレス解決プロトコル要求パケットに対するアドレス解決プロトコル応答パケットを受信したことに応答して、前記不正ノードへ、送信元物理アドレスが前記宛先ノードの物理アドレス以外の所定の物理アドレスであり、且つ送信元ネットワークアドレスが前記宛先ノードのネットワークアドレスである偽装アドレス解決プロトコル応答パケットを送信する偽装アドレス解決プロトコル応答送信手段とを具備することを特徴とする。

本発明によれば、不正ノードと不正ノードのアクセス先のノードとの間で通信が可能な期間を短縮できる。

本発明の一実施形態に係るネットワーク監視装置が接続されるネットワークの例を示す図。 図１のネットワーク上におけるデータの流れを説明する図。 同実施形態のネットワーク監視装置の機能構成を示すブロック図。 同実施形態のネットワーク監視装置が保持するリストを説明する図。 図４の登録済みリスト及び検出リストのエントリの記述例を説明する図。 同実施形態のネットワーク監視装置が送受信するＡＲＰパケットを説明する図。 図４の送信リストのエントリの記述例を説明する図。 同実施形態のネットワーク監視装置が監視するパケットのシーケンス図。 図８のシーケンス完了後における各ノードのＡＲＰテーブルを示す図。 同実施形態のネットワーク監視装置による不正ＰＣ排除処理の手順を示すフローチャート。 同実施形態のネットワーク監視装置が監視するパケットの別のシーケンス図。 図１１のシーケンス完了後における各ノードのＡＲＰテーブルを示す図。 同実施形態のネットワーク監視装置による不正ＰＣ排除処理の別の手順を示すフローチャート。 同実施形態のネットワーク監視装置が監視するパケットの他のシーケンス図。 図１４のシーケンス完了後における各ノードのＡＲＰテーブルを示す図。 図１４のシーケンス完了後における各ノードのＡＲＰテーブルを示す別の図。 同実施形態のネットワーク監視装置が監視するパケットのさらに別のシーケンス図。 図１７のシーケンス完了後における各ノードのＡＲＰテーブルを示す図。 同実施形態のネットワーク監視装置が監視するパケットのさらに他のシーケンス図。 図１９のシーケンス完了後における各ノードのＡＲＰテーブルを示す図。 同実施形態のネットワーク監視装置をマルチスレッドにより実現する例を示すブロック図。 図２１の受信スレッドによる受信処理の手順を示すフローチャート。 図２１の名前解決スレッドによる名前解決処理の手順を示すフローチャート。 図２１の送信スレッドによる送信処理の手順を示すフローチャート。 図２１の受信スレッドによる受信処理の別の手順を示すフローチャート。 図２１の送信スレッドによる送信処理の別の手順を示すフローチャート。

以下、図面を参照して本発明の実施形態を説明する。

まず、図１を参照して、本発明の一実施形態に係るネットワーク監視装置が接続されるネットワークの例について説明する。このネットワーク監視装置は、例えば、パーソナルコンピュータとして実現される。

このネットワーク上には、セキュリティサーバ１００、監視ユニット１０１，１２１、ルータ１１０、登録済みコンピュータ１０２，１２３、及び未登録コンピュータ１０３，１２２が接続される。セキュリティサーバ１００、監視ユニット１０１、登録済みコンピュータ１０２、及び未登録コンピュータ１０３が接続されるセグメントと、監視ユニット１２１、未登録コンピュータ１２２、及び登録済みコンピュータ１２３が接続されるセグメントとは、ルータ１１０を介して相互に接続される。

このネットワーク上では、セキュリティサーバ１００、監視ユニット１０１，１２１、及び登録済みコンピュータ１０２，１２３による通信のみを許可する。一方、未登録コンピュータ１０３，１２２は、不正コンピュータであるとされ、未登録コンピュータ１０３，１２２による通信を妨害することで、ネットワーク上の不正アクセスが排除される。

セキュリティサーバ１００は、ネットワーク上の登録済みコンピュータの情報を記述した登録済みリストを保持する。登録済みリストには、例えば、登録済みコンピュータ１０２，１２３のＭＡＣアドレス（物理アドレス）、ＩＰアドレス（ネットワークアドレス）、ホスト名等が記述される。登録済みリストは、セキュリティサーバ１００上で作成及び更新される。セキュリティサーバ１００は、この登録済みリストを監視ユニット１０１，１２１へ配布する。

また、セキュリティサーバ１００は、監視ユニット１０１，１２１により新たに検出された未登録コンピュータ１０３、１２２に関する情報が記述された検出リストを、監視ユニット１０１，１２１それぞれから受信する。セキュリティサーバ１００は、受信した検出リストに基づき、登録済みリストを更新する。なお、登録済みリストは、セキュリティサーバ１００上で、手動で変更してもよい。

監視ユニット１０１，１２１は、ネットワーク上のパケットを監視し、未登録コンピュータ１０３，１２２によるアクセス（不正アクセス）を検出して、不正アクセスを排除する。具体的には、監視ユニット１０１，１２１は、未登録コンピュータ１０３，１２２から送信されるアドレス解決プロトコル要求パケット（ＡＲＰ要求パケット）、又は未登録コンピュータ１０３，１２２へ送信されるアドレス解決プロトコル要求パケット（ＡＲＰ要求パケット）を検出した場合、未登録コンピュータ１０３，１２２によるアクセスを妨害するための処理を実行する。

アドレス解決プロトコル（ＡＲＰ）は、ネットワーク上でＩＰアドレスが既知であるノードのＭＡＣアドレスを決定するためのプロトコルである。二つのノード間で通信を行う場合、第一のノードは、通信に先立ち、通信相手である第二のノードのＭＡＣアドレスを調査するため、第二のノードのＩＰアドレスを指定したアドレス解決プロトコル要求パケット（ＡＲＰ要求パケット）をネットワーク上へブロードキャストする。このＡＲＰ要求パケットを受信した第二のノードは、この第二のノードのＭＡＣアドレスを含むアドレス解決プロトコル応答パケット（ＡＲＰ応答パケット）を第一のノードへ送信（ユニキャスト）する。第一のノードは、このＡＲＰ応答パケットに含まれる第二のノードのＭＡＣアドレスを取得し、第二のノードのＩＰアドレスとＭＡＣアドレスとを第一のノード内に保持するＡＲＰテーブルへ記述する。以降、二つのノード間で通信を行う場合、第一のノードは、このＡＲＰテーブルを参照し、ＡＲＰテーブルに記述された第二のノードのＭＡＣアドレスへパケットを送信する。

なお、ＡＲＰ要求パケットを送信したノードは、このＡＲＰ要求パケットに応答するＡＲＰ応答パケットを複数受信した場合、これらＡＲＰ応答パケットを受信した順に処理する。つまり、一つのＡＲＰ要求パケットを送信したノードは、複数のＡＲＰ応答パケットを受信し得る。また、ＡＲＰ要求パケットを送信していないノードも、複数のＡＲＰ応答パケットを受信し得、これらＡＲＰ応答パケットを受信した順に処理する。

上述のように、第一のノードは、ＡＲＰ応答に基づいてＡＲＰテーブルを記述するため、偽装されたＡＲＰ応答を第一のノードへ送信することで、第一のノードのＡＲＰテーブルに第二のノードのＭＡＣアドレスとは異なる偽のＭＡＣアドレスを記述することができる。ＡＲＰテーブルに偽のＭＡＣアドレスを記述された第一のノードは、正常な通信を行うことができない。したがって、第一のノードが不正なノードである場合には、第一のノードによる通信を妨害することができる。

以上のようなＡＲＰの性質を利用して、未登録コンピュータ１０３，１２２からネットワーク上の他のノードへのアクセス、及びネットワーク上の他のノードから未登録コンピュータ１０３，１２２へのアクセスを排除することができる。

また、監視ユニット１０１，１２１は、新たに検出した未登録コンピュータ１０３，１２２に関する情報を検出リストに記述し、所定の期間毎、又はセキュリティサーバ１００による指示に応じて、検出リストをセキュリティサーバ１００へ送信する。検出リストには、未登録コンピュータ１０３，１２２に関する情報として、例えば、未登録コンピュータ１０３，１２２のＭＡＣアドレス（物理アドレス）、ＩＰアドレス（ネットワークアドレス）、ホスト名等が記述される。

監視ユニット１０１，１２１は、未登録コンピュータ１０３，１２２を検出した場合に、未登録コンピュータ１０３，１２２に関する情報を検出リストに記述する収集モードと、未登録コンピュータ１０３，１２２を検出した場合に、未登録コンピュータ１０３，１２２に関する情報を検出リストに記述し、未登録コンピュータ１０３，１２２による不正アクセスを排除するブロックモードのいずれかの動作モードに設定される。

なお、監視ユニット１０１，１２１は、各セグメントに一台以上設けられる。また、セキュリティサーバ１００と同一セグメントにある監視ユニット１０１は、セキュリティサーバ１００の機能を兼ねてもよい。

図２は、上述のネットワーク上におけるデータの流れを示す図である。

セキュリティサーバ１００は、監視ユニット１０１，１２１へ登録済みリスト及び動作モードを示す情報を送信する。登録済みリストには、登録済みコンピュータ１０２と登録済みコンピュータ１２３とに関する情報が記述されている。

監視ユニット１０１，１２１は、受信した動作モードを示す情報に基づき、収集モードとブロックモードのいずれかのモードで動作する。

監視ユニット１０１，１２１はそれぞれ属するセグメント内のＡＲＰ要求パケットを監視する。この監視により、監視ユニット１０１は、登録済みコンピュータ１０２と未登録コンピュータ１０３とを検出する。また、監視ユニット１２１は、未登録コンピュータ１２２と登録済みコンピュータ１２３とを検出する。

収集モードで動作している場合、監視ユニット１０１は、未登録コンピュータ１０３に関する情報を監視ユニット１０１が保持する検出リストに記述し、監視ユニット１２１は、未登録コンピュータ１２２に関する情報を監視ユニット１２１が保持する検出リストに記述する。監視ユニット１０１，１２１は、それぞれ保持する検出リストをセキュリティサーバ１００へ送信する。

ブロックモードで動作している場合、監視ユニット１０１は、未登録コンピュータ１０３に関する情報を監視ユニット１０１が保持する検出リストに記述し、さらに未登録コンピュータ１０３による不正アクセスを排除する。また、監視ユニット１２１は、未登録コンピュータ１２２に関する情報を監視ユニット１２１が保持する検出リストに記述し、さらに未登録コンピュータ１２２による不正アクセスを排除する。

監視ユニット１０１、１２１はそれぞれ、以下の三つの対策により、未登録コンピュータ１０３から登録済みコンピュータ１０２への不正アクセス、及び未登録コンピュータ１２２から登録済みコンピュータ１２３への不正アクセスをブロックする。

第一に、監視ユニット１０１は、未登録コンピュータ１０３の通信相手のコンピュータ１０２のＡＲＰテーブルに、未登録コンピュータ１０３のＩＰアドレスと監視ユニット１０１のＭＡＣアドレスとのペアを登録する。したがって、監視ユニット１０１は、監視ユニット１０１のＭＡＣアドレスを送信元ＭＡＣアドレスとして含み、且つ未登録コンピュータ１０３のＩＰアドレスを送信元ＩＰアドレスとして含む偽装ＡＲＰリクエストを通信相手のコンピュータ１０２へ送信する。

第二に、監視ユニット１０１は、未登録コンピュータ１０３のＡＲＰテーブルに、通信相手のコンピュータ１０２のＩＰアドレスと未登録コンピュータのＭＡＣアドレスとのペアを登録する。したがって、監視ユニット１０１は、未登録コンピュータ１０３のＭＡＣアドレスを送信元ＭＡＣアドレスとして含み、且つ通信相手のコンピュータ１０２のＩＰアドレスを送信元ＩＰアドレスとして含む偽装ＡＲＰリプライを未登録コンピュータ１０３へ送信する。

第三に、監視ユニット１０１は、監視ユニット１０１のＡＲＰテーブルに、未登録コンピュータ１０３のＩＰアドレスと監視ユニット１０１のＭＡＣアドレスとのペアを登録し、ＡＲＰテーブルを偽装する。

以上の三つの対策により、監視ユニット１０１、１２１はそれぞれ、未登録コンピュータ１０３から通信相手の登録済みコンピュータ１０２への不正アクセス、及び未登録コンピュータ１２２から通信相手の登録済みコンピュータ１２３への不正アクセスをブロックする。

さらに、監視ユニット１０１，１２１は、それぞれ保持する検出リストをセキュリティサーバ１００へ送信する。

検出リストを受信したセキュリティサーバ１００は、この検出リストに基づき、記述された未登録コンピュータ１０３，１２２のうち、新たに登録されたコンピュータに関する情報を登録済みリストに記述する。

以下では、主に、一台の監視ユニット１０１に注目して、本実施形態のネットワーク監視装置について説明する。ただし、監視ユニット１２１等のネットワーク上の他の監視ユニットも、監視ユニット１０１と同様の動作をするものとする。また、以下では、監視ユニット１０１が、未登録コンピュータ１０３から登録済みコンピュータ１０２への不正アクセスを排除することを想定する。

図３は、監視ユニット１０１の機能構成を示すブロック図である。

監視ユニット１０１は、ネットワークインタフェース部２０１、受信部２０２、通信プロトコル判定部２０３、不正ＰＣ検出部２０４、宛先判定部２０５，ＡＲＰテーブル偽装部２０６、偽装ＡＲＰリクエスト送信部２０７、偽装ＡＲＰリプライ送信部２０８、名前解決パケット送受信部２０９、ＡＲＰテーブル記憶部２１０、登録済みリスト記憶部２１１、検出リスト記憶部２１２、送信リスト記憶部２１３等から構成される。

ネットワークインタフェース部２０１は、監視ユニット１０１をネットワークへ接続するためのインタフェースである。ネットワークインタフェース部２０１は、例えば、監視ユニット１０１から他のノードへ送信するパケット、及び監視ユニット１０１が他のノードから受信するパケットの送受信等を制御する。ネットワークインタフェース部２０１は、受信部２０２、偽装ＡＲＰリクエスト送信部２０７、偽装ＡＲＰリプライ送信部２０８、名前解決パケット送受信部２０９等のパケットの送受信を行う各部に接続される。

受信部２０２は、ネットワークインタフェース部２０１を介して、他のノードから送信されるパケットを受信する。受信されるパケットは、ブロードキャストパケットと監視ユニット１０１のＭＡＣアドレス宛のパケットである。受信部２０２は、受信したパケットのデータを通信プロトコル判定部２０３へ出力する。

通信プロトコル判定部２０３は、受信したパケットのプロトコルを判定する。通信プロトコル判定部２０３は、受信したパケットのプロトコルがＡＲＰである場合に、受信したパケットのデータ、すなわちＡＲＰパケットのデータを不正ＰＣ検出部２０４へ出力する。

不正ＰＣ検出部２０４は、登録済みリスト記憶部２１１に格納された登録済みリスト、及び検出リスト記憶部２１２に格納された検出リストを参照し、受信したＡＲＰパケットの送信元のコンピュータが未登録のコンピュータである不正コンピュータであるかどうかを判定する。

監視ユニット１０１には、不正コンピュータ検出のため、登録済みリスト記憶部２１１に登録済みリストが格納され、検出リスト記憶部２１２に検出リストが格納される。また、監視ユニット１０１には、不正コンピュータ排除のため、送信リスト記憶部２１３に送信リストが格納される。

図４から図７を参照して、上述の登録済みリスト、検出リスト、及び送信リストをそれぞれ説明する。

登録済みリストは、登録済みコンピュータの情報を記述するリストである。登録済みリストに格納される各エントリは、一台の登録済みコンピュータのＭＡＣアドレス、ＩＰアドレス、ホスト名等の情報を含む。図５は、各エントリの記述の例である。ＭＡＣアドレスのフィールドには、機器固有のＭＡＣアドレス（物理アドレス）の値が記述される。ＩＰアドレスのフィールドには、ネットワーク上で割り当てられたＩＰアドレス（ネットワークアドレス）の値が記述される。ホスト名のフィールドには、ＩＰアドレスに基づく名前解決等によって取得された名称が記述される。登録済みリストは、セキュリティサーバ１００で作成され、セキュリティサーバ１００から監視ユニット１０１へ配布される。図２に示すネットワークでは、セキュリティサーバ１００は、登録済みコンピュータ１０２と登録済みコンピュータ１２３との情報を登録済みリストに記載する。

検出リストは、監視ユニット１０１と同一セグメント上に存在するコンピュータで、登録済みリストに記載されていないコンピュータの情報を記述するリスト、すなわち不正コンピュータの情報を記述するリストである。検出リストに格納される各エントリは、一台の不正コンピュータのＭＡＣアドレス、ＩＰアドレス、ホスト名等の情報を含む。登録済みリストと同様に、各エントリは図５のように記述される。ＭＡＣアドレスのフィールドには、機器固有のＭＡＣアドレス（物理アドレス）の値が記述される。ＩＰアドレスのフィールドには、ネットワーク上で割り当てられたＩＰアドレス（ネットワークアドレス）の値が記述される。ホスト名のフィールドには、ＩＰアドレスに基づく名前解決等によって取得された名称が記述される。なお、ホスト名のフィールドは空欄であってもよい。

監視ユニット１０１の不正ＰＣ検出部２０４は、受信したＡＲＰ要求パケット内の送信元ＭＡＣアドレスが、登録済みリストに登録されていないＭＡＣアドレスである場合、ＡＲＰ要求パケットの送信元コンピュータを不正コンピュータと判定し、この送信元コンピュータに関する情報を記述したエントリを検出リストへ追加する。ただし、不正ＰＣ検出部２０４は、該送信元コンピュータの情報が、既に検出リストに登録されている場合には、新たなエントリを追加しない。

図６に、ＡＲＰパケット部を含むイーサネット（登録商標）フレームのフォーマットを示す。

イーサネットフレームは、先頭から順に、６バイトの宛先ハードウェアアドレス（Destination HW Address）、６バイトの送信元ハードウェアアドレス（Source HW Address）、２バイトのプロトコルタイプ（Type）、最大１５００バイトのデータ部（Data）、１８バイトのトレーラ（Trailer）の各フィールドから構成される。

宛先ハードウェアアドレスは、イーサネットフレームの宛先である機器（ノード）のＭＡＣアドレス（物理アドレス）を示す。送信元ハードウェアアドレスは、イーサネットフレームの送信元である機器（ノード）のＭＡＣアドレス（物理アドレス）を示す。プロトコルタイプは、通信に用いる、イーサネットの上位に位置するプロトコルの種類を示す。ＡＲＰにより通信を行う場合、プロトコルタイプのフィールドには“0806h”が設定される。

データ部は、プロトコルタイプに指定したプロトコル毎に設定されるフィールドそれぞれの値を含む。プロトコルタイプにＡＲＰが指定された場合、データ部はＡＲＰパケットとして必要なフィールドにより構成される。したがって、データ部（ＡＲＰパケット部）は、２バイトのハードウェアタイプ（Hardware Type）、２バイトのプロトコルタイプ（Protocol Type）、１バイトのＭＡＣアドレス長（Hardware Length）、１バイトのＩＰアドレス長（Protocol Length）、２バイトの動作（Operation）、６バイトの送信元ＭＡＣアドレス（Sender MAC）、４バイトの送信元ＩＰアドレス（Sender IP）、６バイトの宛先ＭＡＣアドレス（Target MAC）、及び４バイトの宛先ＩＰアドレス（Target IP）の各フィールドから構成される。

ハードウェアタイプは、ネットワークの物理的な媒体の種類を示す。イーサネットの場合、ハードウェアタイプのフィールドには、“0001h”が設定される。

プロトコルタイプは、ＡＲＰプロトコルで取り扱うプロトコルの種類を示す。ＩＰの場合、プロトコルタイプのフィールドには、“0800h”が設定される。

ＭＡＣアドレス長は、ＭＡＣアドレスの長さを示す。イーサネットの場合、ＭＡＣアドレスの長さは６バイトであり、ＭＡＣアドレス長のフィールドには、“06h”が設定される。

ＩＰアドレス長は、ＩＰアドレスの長さを示す。Version４のＩＰ（ＩＰｖ４）の場合、ＩＰアドレスの長さは４バイトであり、ＩＰアドレス長のフィールドには、“04h”が設定される。

動作は、ＡＲＰの動作の種類を示す。ＡＲＰによる通信では、最初に一台のコンピュータがＡＲＰ要求を送信し、このＡＲＰ要求に該当するコンピュータがＡＲＰ応答を返す。このため、動作のフィールドには要求と応答とを判別するための値が設定される。具体的には、ＡＲＰパケットがＡＲＰ要求のパケットである場合、動作のフィールドには、“0001h”が設定される。一方、ＡＲＰパケットがＡＲＰ応答のパケットである場合、動作のフィールドには、“0002h”が設定される。

送信元ＭＡＣアドレスは、送信元の機器（ノード）固有のＭＡＣアドレス（物理アドレス）を示す。したがって、イーサネットフレームの送信元ハードウェアアドレスのフィールドと、ＡＲＰパケット部の送信元ＭＡＣアドレスのフィールドとは、同じ値が設定される。

送信元ＩＰアドレスは、送信元の機器（ノード）に割り当てられたＩＰアドレス（ネットワークアドレス）を示す。

宛先ＭＡＣアドレスは、宛先の機器（ノード）固有のＭＡＣアドレス（物理アドレス）を示す。したがって、イーサネットフレームの宛先ハードウェアアドレスのフィールドと、ＡＲＰパケット部の宛先ＭＡＣアドレスのフィールドとは、同じ値が設定される。ＡＲＰパケットがＡＲＰ要求パケットである場合（動作のフィールドにＡＲＰ要求に対応する値が設定されている場合）、宛先ＭＡＣアドレスは不明であるため、宛先ＭＡＣアドレスのフィールドには、“0”が設定される。

宛先ＩＰアドレスは、宛先の機器（ノード）に割り当てられたＩＰアドレス（ネットワークアドレス）を示す。

また、トレーラは、イーサネットフレームの末尾に付加されるデータ列である。トレーラは、誤り訂正符号等に用いられる。

上述のフォーマットに基づくＡＲＰ要求パケットを受信した場合、不正ＰＣ検出部２０４は、まず、受信したＡＲＰ要求パケットから送信元ＭＡＣアドレスを抽出する。そして、不正ＰＣ検出部２０４は、送信元ＭＡＣアドレスが登録済みリストに記載されている場合、送信元コンピュータを登録済みコンピュータであると判定する。

また、不正ＰＣ検出部２０４は、送信元ＭＡＣアドレスが登録済みリストに記載されていない場合、送信元コンピュータを不正コンピュータであると判定する。送信元コンピュータが不正コンピュータであると判定された場合、不正ＰＣ検出部２０４は、受信したＡＲＰ要求パケットに含まれる送信元ＭＡＣアドレスと送信元ＩＰアドレスとが記述されたエントリを検出リストへ追加し、ＡＲＰ要求パケットに含まれる情報を受信時刻と共に、送信リスト記憶部２１３に格納される送信リストへ記述する。なお、受信したＡＲＰ要求パケットに含まれる送信元ＭＡＣアドレスと送信元ＩＰアドレスとが記述されたエントリが、既に検出リストに登録されている場合には、不正ＰＣ検出部２０４は、検出リストにこのエントリを追加しない。

上述のように、受信したＡＲＰ要求パケットに含まれる送信元ＭＡＣアドレスのみに基づいて、送信元コンピュータが不正コンピュータであるかどうかを判定することで、ＤＨＣＰ環境でＩＰアドレスとＭＡＣアドレスとの対応が動的に変化する場合や、不正コンピュータがＩＰアドレスを偽装しているような場合でも、ＡＲＰ要求パケットの送信元コンピュータが不正コンピュータであるかどうかを判定することができる。

送信リストは、図４に示すように、ネットワーク上から不正コンピュータを排除するための妨害パケットを生成し、送信するための情報を記述するリストである。妨害パケットとは、送信元ＭＡＣアドレスと送信元ＩＰアドレスとの対応関係を偽装したＡＲＰ要求パケット（偽装ＡＲＰ要求パケット）及びＡＲＰ応答パケット（偽装ＡＲＰ応答パケット）である。不正ＰＣ検出部２０４は、登録済みリストに登録されていない送信元ＭＡＣアドレスを含むＡＲＰ要求パケットを受信した場合、すなわち、不正コンピュータからブロードキャストされたＡＲＰ要求を受信した場合、該ＡＲＰ要求パケットの情報を含むエントリを送信リストへ追加する。

図７は、送信リストの各エントリを構成するフィールドの例を示す。

送信リストのエントリは、送信元ＭＡＣアドレス、送信元ＩＰアドレス、宛先ＭＡＣアドレス、宛先ＩＰアドレス、受信時刻、リクエスト送信フラグ等から構成される。

送信元ＭＡＣアドレス（Sender MAC）は、不正コンピュータのＭＡＣアドレスを示す。したがって、送信元ＭＡＣアドレスのフィールドには、不正コンピュータから送信されたＡＲＰ要求に含まれる送信元ＭＡＣアドレスの値が設定される。

送信元ＩＰアドレス（Sender IP）は、不正コンピュータのＩＰアドレスを示す。したがって、送信元ＩＰアドレスのフィールドには、不正コンピュータから送信されたＡＲＰ要求に含まれる送信元ＩＰアドレスの値が設定される。

宛先ＭＡＣアドレス（Target MAC）は、０を示す。これは、宛先ＭＡＣアドレスのフィールドに、不正コンピュータから送信されるＡＲＰ要求に含まれる宛先ＭＡＣアドレスの値である０が設定されるためである。

宛先ＩＰアドレス（Target IP）は、不正コンピュータのアクセス先のコンピュータのＩＰアドレスを示す。したがって、宛先ＩＰアドレスのフィールドには、不正コンピュータから送信されたＡＲＰ要求に含まれる宛先ＩＰアドレスの値が設定される。

受信時刻は、監視ユニット１０１が不正コンピュータから送信されたＡＲＰ要求を受信した時刻を示す。

リクエスト送信フラグは、不正コンピュータのアクセス先のコンピュータへ偽装ＡＲＰリクエストパケットを送信したどうかを示す。したがって、リクエスト送信フラグのフィールドには、偽装ＡＲＰリクエストパケットが不正コンピュータのアクセス先のコンピュータへ送信済みである場合に“True”が設定され、未送信である場合に“False”が設定される。

上述のフィールドに基づくエントリが、送信リストへ追加され、監視ユニット１０１は、送信リストを参照して不正コンピュータを排除する処理を実行する。

監視ユニット１０１の宛先判定部２０５は、送信リストから読み出したエントリに記述された宛先ＩＰアドレスが、監視ユニット１０１のＩＰアドレスと一致するかどうかを判定する。宛先判定部２０５は、この判定結果を偽装ＡＲＰリクエスト送信部２０７へ出力する。

ＡＲＰテーブル偽装部２０６は、ＡＲＰテーブル記憶部２１０に格納されたＡＲＰテーブルを偽装する処理を実行する。ＡＲＰテーブルは、上述したように、ＩＰアドレスとＭＡＣアドレスとが対応づけて記述されたテーブルである。各ノードは、それぞれＡＲＰテーブルを保持し、受信したＡＲＰ要求パケットに含まれる送信元ＩＰアドレスと送信元ＭＡＣアドレス、及び受信したＡＲＰ応答パケットに含まれる送信元ＩＰアドレスと送信元ＭＡＣアドレスを対応づけてＡＲＰテーブルに登録する。登録しようとするＩＰアドレスが既にＡＲＰテーブルに登録されている場合に、ＡＲＰテーブルにおいて、該ＩＰアドレスに対応づけられたＭＡＣアドレスは、受信したＡＲＰ要求パケット又はＡＲＰ応答パケットに含まれる送信元ＭＡＣアドレスで上書きされる。

ＡＲＰテーブル偽装部２０６は、未登録コンピュータ１０３のＩＰアドレスに、監視ユニット１０１のＭＡＣアドレスを対応づけて、ＡＲＰテーブルを上書きする。未登録コンピュータ１０３のＩＰアドレスに偽のＭＡＣアドレスを対応づけることで、ＩＣＭＰリダイレクトが有効になっている場合に、登録済みコンピュータ１０２から未登録コンピュータ１０３への通信が、監視ユニット１０１から未登録コンピュータ１０３へのリダイレクトによって成立してしまうことを防止することができる。

宛先判定部２０５により、送信リストから読み出したエントリに記述された宛先ＩＰアドレスが、監視ユニット１０１のＩＰアドレスと一致しないと判定された場合に、偽装ＡＲＰリクエスト送信部２０７は、不正コンピュータのアクセス先のコンピュータへ偽装ＡＲＰ要求パケットを送信する。偽装ＡＲＰリクエスト送信部２０７は、送信リストから読み出したエントリに記述された情報に基づいて、偽装ＡＲＰ要求パケットを生成する。

偽装ＡＲＰ要求パケットを構成する各フィールドには、以下のように値が設定される。

送信元ＩＰアドレスのフィールドには、送信リストのエントリに記述された送信元ＩＰアドレスが設定される。送信元ＭＡＣアドレスのフィールドには、監視ユニット１０１のＭＡＣアドレスが設定される。宛先ＩＰアドレスのフィールドには、送信リストのエントリに記述された宛先ＩＰアドレスが記述される。宛先ＭＡＣアドレスのフィールドには、“0”が設定される。

したがって、例えば、送信元ＩＰアドレスのフィールドには、未登録コンピュータ１０３のＩＰアドレスが設定される。送信元ＭＡＣアドレスのフィールドには、監視ユニット１０１のＭＡＣアドレスが設定される。宛先ＩＰアドレスのフィールドには、登録済みコンピュータ１０２のＩＰアドレスが記述される。宛先ＭＡＣアドレスのフィールドには、“0”が設定される。

偽装ＡＲＰリプライ送信部２０８は、不正コンピュータへ偽装ＡＲＰ応答パケットを送信する。偽装ＡＲＰリプライ送信部２０８は、送信リストから読み出したエントリに記述された情報に基づいて、偽装ＡＲＰ応答パケットを生成する。

偽装ＡＲＰ応答パケットを構成する各フィールドには、以下のように値が設定される。

送信元ＩＰアドレスのフィールドには、送信リストのエントリに記述された宛先ＩＰアドレスが設定される。送信元ＭＡＣアドレスのフィールドには、送信リストのエントリに記述された送信元ＭＡＣアドレスが設定される。宛先ＩＰアドレスのフィールドには、送信リストのエントリに記述された送信元ＩＰアドレスが記述される。宛先ＭＡＣアドレスのフィールドには、送信リストのエントリに記述された送信元ＭＡＣアドレスが記述される。

したがって、例えば、送信元ＩＰアドレスのフィールドには、登録済みコンピュータ１０２のＩＰアドレスが設定される。送信元ＭＡＣアドレスのフィールドには、未登録コンピュータ１０３のＭＡＣアドレスが設定される。宛先ＩＰアドレスのフィールドには、未登録コンピュータ１０３のＩＰアドレスが記述される。宛先ＭＡＣアドレスのフィールドには、未登録コンピュータ１０３のＭＡＣアドレスが設定される。

名前解決パケット送受信部２０９は、検出リストに登録されたＭＡＣアドレスとＩＰアドレスとからなるエントリを読み出し、該ＩＰアドレスに対応するホスト名を取得し、ホスト名を追加したエントリにより検出リストを更新する。名前解決パケット送受信部２０９は、ＩＰアドレスに基づき、例えば、ＤＮＳ又はＮｅｔＢＩＯＳ等により名前解決を行う。検出リストの各エントリにホスト名を追加することで、ホスト名に基づくノードへのアクセスが可能になる。

図８は、本実施形態のネットワーク監視装置である監視ユニット１０１が、不正アクセスを排除する例を示すシーケンス図である。ここでは、不正コンピュータである未登録コンピュータ１０３から登録済みコンピュータ１０２への不正アクセスを監視ユニット１０１が排除することを想定する。なお、監視ユニット１０１のＭＡＣアドレスをＭＡＣ０、ＩＰアドレスをＩＰ０、登録済みコンピュータ１０２のＭＡＣアドレスをＭＡＣ１、ＩＰアドレスをＩＰ１、未登録コンピュータ１０３のＭＡＣアドレスをＭＡＣ２、ＩＰアドレスＩＰ２とする。

まず、未登録コンピュータ１０３は、アクセス先（攻撃先）である登録済みコンピュータ１０２のＭＡＣアドレスを問い合わせるＡＲＰ要求パケットをブロードキャストする（Ｓ１１Ａ，Ｓ１１Ｂ）。ブロードキャストによる送信であるため、監視ユニット１０１及び登録済みコンピュータ１０２は共に、ＡＲＰ要求パケットを受信する。このＡＲＰ要求パケットは、未登録コンピュータ１０３のＭＡＣアドレス（ＭＡＣ２）を示す送信元ＭＡＣアドレス、未登録コンピュータ１０３のＩＰアドレス（ＩＰ２）を示す送信元ＩＰアドレス、登録済みコンピュータ１０２のＭＡＣアドレスを問い合わせるため“０”を示す宛先ＭＡＣアドレス、及び登録済みコンピュータ１０２のＩＰアドレス（ＩＰ１）を示す宛先ＩＰアドレスを含む。監視ユニット１０１及び登録済みコンピュータ１０２は、それぞれのＡＲＰテーブルに、未登録コンピュータ１０３のＩＰアドレス（ＩＰ２）とＭＡＣアドレス（ＭＡＣ２）とを対応づけて登録する。

ブロードキャストされたＡＲＰ要求パケットの宛先である登録済みコンピュータ１０２は、ＡＲＰ要求パケットの受信に応答して、ＡＲＰ応答パケットを未登録コンピュータ１０３へユニキャストする（Ｓ１２）。このＡＲＰ応答パケットは、登録済みコンピュータ１０２のＭＡＣアドレス（ＭＡＣ１）を示す送信元ＭＡＣアドレス、登録済みコンピュータ１０２のＩＰアドレス（ＩＰ１）を示す送信元ＩＰアドレス、未登録コンピュータ１０３のＭＡＣアドレス（ＭＡＣ２）を示す宛先ＭＡＣアドレス、及び未登録コンピュータ１０３のＩＰアドレス（ＩＰ２）を示す宛先ＩＰアドレスを含む。ユニキャストによる送信であるため、未登録コンピュータ１０３のみがＡＲＰ応答パケットを受信し、監視ユニット１０１はＡＲＰ応答パケットを受信できない。未登録コンピュータ１０３は、ＡＲＰテーブルに、登録済みコンピュータ１０２のＩＰアドレス（ＩＰ１）とＭＡＣアドレス（ＭＡＣ１）とを対応づけて登録する。これにより、未登録コンピュータ１０３と登録済みコンピュータ１０２との間で、パケットの送受信が可能となる。

また、監視ユニット１０１は、自身のＡＲＰテーブルに対応づけて登録された、未登録コンピュータ１０３のＩＰアドレス（ＩＰ２）とＭＡＣアドレス（ＭＡＣ２）とを書き換えて偽装する。監視ユニット１０１は、未登録コンピュータ１０３のＩＰアドレス（ＩＰ２）に対して、監視ユニット１０１のＭＡＣアドレス（ＭＡＣ０）を対応づけて登録する。これにより、登録済みコンピュータ１０２から未登録コンピュータ１０３への通信が、監視ユニット１０１のリダイレクト機能により成立してしまうことを防止する。

そして、監視ユニット１０１は、登録済みコンピュータ１０２のＡＲＰテーブルに登録された、未登録コンピュータ１０３のＩＰアドレス（ＩＰ２）とＭＡＣアドレス（ＭＡＣ２）とを書き換えるために、未登録コンピュータ１０３のＭＡＣアドレスを監視ユニット１０１のＭＡＣアドレス（ＭＡＣ０）に偽装した偽装ＡＲＰ要求パケットをブロードキャストする（Ｓ１３Ａ，Ｓ１３Ｂ）。したがって、偽装ＡＲＰ要求パケットは、監視ユニット１０１のＭＡＣアドレス（ＭＡＣ０）を示す送信元ＭＡＣアドレス、未登録コンピュータ１０３のＩＰアドレス（ＩＰ２）を示す送信元ＩＰアドレス、登録済みコンピュータ１０２のＭＡＣアドレスを問い合わせるため“０”を示す宛先ＭＡＣアドレス、及び登録済みコンピュータ１０２のＩＰアドレス（ＩＰ１）を示す宛先ＩＰアドレスを含む。また、ブロードキャストによる送信であるため、未登録コンピュータ１０３及び登録済みコンピュータ１０２は共に偽装ＡＲＰ要求パケットを受信するが、未登録コンピュータ１０３は自身が宛先ではないため、偽装ＡＲＰ要求パケットを無視する。登録済みコンピュータ１０２は、ＡＲＰテーブルに、未登録コンピュータ１０３のＩＰアドレス（ＩＰ２）と監視ユニット１０１のＭＡＣアドレス（ＭＡＣ０）とを対応づけて登録する。これにより、登録済みコンピュータ１０２から未登録コンピュータ１０３へのパケットの送信を妨害することができる。

登録済みコンピュータ１０２は、偽装ＡＲＰ要求パケットの受信に応答して、ＡＲＰ応答パケットを監視ユニット１０１へユニキャストする（Ｓ１４）。このＡＲＰ応答パケットは、登録済みコンピュータ１０２のＭＡＣアドレス（ＭＡＣ１）を示す送信元ＭＡＣアドレス、登録済みコンピュータ１０２のＩＰアドレス（ＩＰ１）を示す送信元ＩＰアドレス、監視ユニット１０１のＭＡＣアドレス（ＭＡＣ０）を示す宛先ＭＡＣアドレス、及び未登録コンピュータ１０３のＩＰアドレス（ＩＰ２）を示す宛先ＩＰアドレスを含む。監視ユニット１０１は、ＡＲＰテーブルに、登録済みコンピュータ１０２のＩＰアドレス（ＩＰ１）とＭＡＣアドレス（ＭＡＣ１）とを対応づけて登録する。

登録済みコンピュータ１０２からのＡＲＰ応答パケットを受信した監視ユニット１０１は、登録済みコンピュータ１０２から未登録コンピュータ１０３へ通常のＡＲＰ応答パケットが送信（Ｓ１２）されたものと判断する。そして、監視ユニット１０１は、未登録コンピュータ１０３へ、登録済みコンピュータ１０２のＭＡＣアドレスがＭＡＣ２（未登録コンピュータ１０３のＭＡＣアドレス）であると偽装する偽装ＡＲＰ応答パケットをユニキャストする（Ｓ１５）。したがって、この偽装ＡＲＰ応答パケットは、未登録コンピュータ１０３のＭＡＣアドレス（ＭＡＣ２）を示す送信元ＭＡＣアドレス、登録済みコンピュータ１０２のＩＰアドレス（ＩＰ１）を示す送信元ＩＰアドレス、未登録コンピュータ１０３のＭＡＣアドレス（ＭＡＣ２）を示す宛先ＭＡＣアドレス、及び未登録コンピュータ１０３のＩＰアドレス（ＩＰ２）を示す宛先ＩＰアドレスを含む。未登録コンピュータ１０３は、ＡＲＰテーブルに、登録済みコンピュータ１０２のＩＰアドレス（ＩＰ１）と未登録コンピュータ１０３のＭＡＣアドレス（ＭＡＣ２）とを対応づけて登録する。これにより、未登録コンピュータ１０３から登録済みコンピュータ１０２へのパケットの送信を妨害することができる。

以上の処理の結果、各ノードのＡＲＰテーブルは図９のように記述される。

未登録コンピュータ１０３のＡＲＰテーブルには、登録済みコンピュータ１０２のＩＰアドレス（ＩＰ１）に、未登録コンピュータ１０３のＭＡＣアドレス（ＭＡＣ２）が対応づけて登録される。監視ユニット１０１のＡＲＰテーブルには、登録済みコンピュータ１０２のＩＰアドレス（ＩＰ１）とＭＡＣアドレス（ＭＡＣ１）、及び未登録コンピュータ１０３のＩＰアドレス（ＩＰ２）と監視ユニット１０１のＭＡＣアドレス（ＭＡＣ０）が、それぞれ対応づけて登録される。登録済みコンピュータ１０２のＡＲＰテーブルには、未登録コンピュータ１０３のＩＰアドレス（ＩＰ２）に、監視ユニット１０１のＭＡＣアドレス（ＭＡＣ０）が対応づけて登録される。

各ノードのＡＲＰテーブルが上述のように記載されることにより、未登録コンピュータ１０３から登録済みコンピュータ１０２へのパケットの送信、登録済みコンピュータ１０２から未登録コンピュータ１０３へのパケットの送信、及び監視ユニット１０１のリダイレクト機能を用いた登録済みコンピュータ１０２から未登録コンピュータ１０３へのパケットの送信を妨害することができる。

なお、上述したように、未登録コンピュータ１０３が登録済みコンピュータ１０２へＡＲＰ要求パケットを送信（Ｓ１１Ａ）し、登録済みコンピュータ１０２からのＡＲＰ応答パケットを受信（Ｓ１２）してから、監視ユニット１０１からの偽装ＡＲＰ応答パケットを受信（Ｓ１５）するまで、未登録コンピュータ１０３は登録済みコンピュータ１０２へパケットを送信することができる。このため、監視ユニット１０１は、未登録コンピュータ１０３からのブロードキャストによるＡＲＰ要求パケットを受信（Ｓ１１Ｂ）した後、速やかに、登録済みコンピュータ１０２へ偽装ＡＲＰ要求パケットを送信し、登録済みコンピュータ１０２から未登録コンピュータ１０３へのパケットの送信（返信）を妨害する。

また、監視ユニット１０１から送信される偽装ＡＲＰ応答パケット（Ｓ１５）は、登録済みコンピュータ１０２から送信される通常のＡＲＰ応答パケット（Ｓ１２）よりも後に、未登録コンピュータ１０３に受信される必要がある。これは、未登録コンピュータ１０３のＡＲＰテーブルに、通常のＡＲＰ応答パケットに基づいて、登録済みコンピュータ１０２のＩＰアドレス（ＩＰ１）とＭＡＣアドレス（ＭＡＣ１）とを対応づけて登録した後、偽装ＡＲＰ応答パケットに基づいて、登録済みコンピュータ１０２のＩＰアドレス（ＩＰ１）に対応づけられるＭＡＣアドレスを未登録コンピュータ１０３のＭＡＣアドレス（ＭＡＣ２）に更新して登録するためである。

偽装ＡＲＰ要求パケット（Ｓ１３Ａ）は、未登録コンピュータ１０３により送信されたＡＲＰ要求パケット（Ｓ１１Ａ）よりも後に、登録済みコンピュータ１０２に到達するため、ＡＲＰ要求パケット（Ｓ１１Ａ）に応答するＡＲＰ応答パケット（Ｓ１２）が送信された後に、偽装ＡＲＰ要求パケット（Ｓ１３Ａ）に応答するＡＲＰ応答パケット（Ｓ１４）が登録済みコンピュータ１０２から送信される。したがって、監視ユニット１０１は、登録済みコンピュータ１０２から送信される偽装ＡＲＰ要求パケット（Ｓ１３Ａ）に対するＡＲＰ応答パケット（Ｓ１４）を待って、受信後に、未登録コンピュータ１０３へ偽装ＡＲＰ応答パケットを送信（Ｓ１５）することで、偽装ＡＲＰ応答パケット（Ｓ１５）を登録済みコンピュータ１０２から送信される通常のＡＲＰ応答パケット（Ｓ１２）よりも後に、未登録コンピュータ１０３に受信させることができる。

なお、偽装ＡＲＰ応答パケット（Ｓ１５）は、偽装ＡＲＰ要求パケットであってもよい。この偽装ＡＲＰ要求パケットは、未登録コンピュータ１０３のＭＡＣアドレス（ＭＡＣ２）を示す送信元ＭＡＣアドレス、登録済みコンピュータ１０２のＩＰアドレス（ＩＰ１）を示す送信元ＩＰアドレス、未登録コンピュータ１０３のＭＡＣアドレスを問い合わせるため“０”を示す宛先ＭＡＣアドレス、及び未登録コンピュータ１０３のＩＰアドレス（ＩＰ２）を示す宛先ＩＰアドレスを含む。但し、この偽装ＡＲＰ要求パケットを未登録コンピュータ１０３へ送信した場合、未登録コンピュータ１０３は、この偽装ＡＲＰ要求パケットに応答するＡＲＰ応答パケットを送信するため、ネットワーク上に不要なパケットが送出される可能性がある。

監視ユニット１０１は、以下のような手順でも未登録コンピュータ１０３と登録済みコンピュータとの間の通信を妨害することができる。すなわち、監視ユニット１０１は、未登録コンピュータ１０３（不正コンピュータ）からのＡＲＰ要求パケットを受信し、所定の時間だけ待った後に、未登録コンピュータ１０３へ偽装ＡＲＰ応答パケットを送信する。そして、監視ユニット１０１は、通信相手である登録済みコンピュータ１０２へ偽装ＡＲＰ要求パケットを送信する。

しかし、この場合、未登録コンピュータ１０３が登録済みコンピュータ１０２からのＡＲＰ応答パケットを受信した後に、未登録コンピュータ１０３に偽装ＡＲＰ応答パケットを受信させるために、監視ユニット１０１は、上述のように、未登録コンピュータ１０３からのＡＲＰ要求パケットを受信した後、所定の時間だけ待つ必要がある。しかし、所定の時間だけ待つ間、監視ユニット１０１は、未登録コンピュータ１０３から登録済みコンピュータ１０２への不正アクセス、及び登録済みコンピュータ１０２から未登録コンピュータ１０３へのアクセス（応答）を排除することができない。また、この所定の時間として十分な時間を確保しなければ、未登録コンピュータ１０３へ偽装ＡＲＰ応答パケットを再送しなければならなくなる可能性がある。

本実施形態のネットワーク監視装置である監視ユニット１０１は、先に、未登録コンピュータ１０３の通信相手である登録済みコンピュータ１０２へ偽装ＡＲＰ要求パケットを送信する。これにより、登録済みコンピュータ１０２から未登録コンピュータ１０３への通信が可能となる時間を短縮することができる。そして、登録済みコンピュータ１０２からの偽装ＡＲＰ要求パケットに対するＡＲＰ応答パケットを受信したことをトリガとして、監視ユニット１０１は、未登録コンピュータ１０３へ偽装ＡＲＰ応答パケットを送信する。このため、監視ユニット１０１は、待ち時間なく、登録済みコンピュータ１０２から未登録コンピュータ１０３へのアクセス（応答）を排除することができる。また、偽装ＡＲＰ要求パケットに対するＡＲＰ応答パケットを、登録済みコンピュータ１０２から受信したことに応答して、偽装ＡＲＰ応答パケットを未登録コンピュータ１０３へ送信することで、登録済みコンピュータ１０２から未登録コンピュータ１０３へのＡＲＰ応答パケットよりも後に、偽装ＡＲＰ応答パケットを未登録コンピュータ１０３に受信させることができる。したがって、上述の方法において発生する可能性がある、待ち時間が短いことによる偽装ＡＲＰ応答パケットの再送（リトライ）が、本実施形態では発生しない。また、偽装ＡＲＰ要求パケットに対するＡＲＰ応答パケットをトリガとするため、本実施形態では、余分な待ち時間を確保する必要がなく、未登録コンピュータ１０３（不正コンピュータ）と登録済みコンピュータ１０２との間で通信が可能となる時間を短縮することができる。

さらに、偽装ＡＲＰ応答パケットは、未登録コンピュータ１０３のＭＡＣアドレス（ＭＡＣ２）を送信元ＭＡＣアドレスとして含む。つまり、未登録コンピュータ１０３のＡＲＰテーブルには、未登録コンピュータ１０３のＭＡＣアドレス（ＭＡＣ２）と登録済みコンピュータ１０２のＩＰアドレス（ＩＰ１）とのペアが登録される。未登録コンピュータ１０３自身のＭＡＣアドレスをＡＲＰテーブルに登録することで、ネットワーク上に、不正なパケットが送出されず、不正なパケットによるトラフィックの増加を抑制することができる。なお、偽装ＡＲＰ応答パケットに含まれる送信元ＭＡＣアドレスは、監視ユニット１０１のＭＡＣアドレス（ＭＡＣ０）であってもよい。この場合、監視ユニット１０１により、未登録コンピュータ１０３から送信される不正なパケットを監視することができる。

また、監視ユニット１０１は、未登録コンピュータ１０３から送信されるGratuitous ARPパケット受信した場合、このパケットを無視する。

Gratuitous ARPとは、宛先ＩＰアドレスのフィールドに自身のＩＰアドレスを設定したＡＲＰ要求パケットである。Gratuitous ARPは、通常、ＩＰアドレスの重複を確認するために用いられる。宛先ＩＰアドレスのフィールドに自身のＩＰアドレスを設定したＡＲＰ要求パケットをブロードキャストした場合、重複したＩＰアドレスを持つ他のノードがなければ、このＡＲＰ要求パケットに対する応答はない。しかし、重複したＩＰアドレスを持つ他のノードがある場合には、そのノードからＡＲＰ応答パケットが返信される。したがって、ＡＲＰ応答パケットが返信されるかどうかによって、ＩＰアドレスの重複を確認することができる。

監視ユニット１０１がGratuitous ARPパケットを無視するのは、未登録コンピュータ１０３のオペレーティングシステム（ＯＳ）が、例えば、Windows Vista（登録商標）やWindows（登録商標） Server 2008であって、“ＤＨＣＰからＩＰアドレスを取得する”設定になっている場合に、ＤＨＣＰサーバでリース可能なＩＰアドレスが無くなるという問題が生じる可能性があるためである。監視ユニット１０１が、未登録コンピュータ１０３からGratuitous ARPパケットを受信し、未登録コンピュータ１０３へ偽装ＡＲＰ要求パケットを送信（Ｓ１３Ｂ）すると、未登録コンピュータ１０３は、現在使用中のＩＰアドレスが無効であると判定し、ＤＨＣＰサーバに対して再度ＩＰアドレスを要求する。したがって、上述の処理が繰り返されると、ＤＨＣＰサーバでリース可能なＩＰアドレスが枯渇してしまう。このため、監視ユニット１０１は、未登録コンピュータ１０３から送信されるGratuitous ARPパケット受信した場合、このパケットを無視する。

図１０は、監視ユニット１０１による不正コンピュータ排除処理の手順を示すフローチャートである。

まず、監視ユニット１０１は、他のノードから送信されたパケットを受信する（ステップＳ１０１）。次に、監視ユニット１０１は、受信したパケットがＡＲＰ要求パケットであるかどうかを判定する（ステップＳ１０２）。受信したパケットがＡＲＰ要求パケットであるかどうかは、上述したように、パケットに含まれるプロトコルタイプのフィールド設定された値等に基づいて判定することができる。

受信したパケットがＡＲＰ要求パケットである場合（ステップＳ１０２のＹＥＳ）、監視ユニット１０１は、受信したパケットがGratuitous ARPパケットであるかどうかを判定する（ステップＳ１０３）。なお、受信したパケットに含まれる送信元ＩＰアドレスのフィールドに“０”の値が設定されているか、送信元ＩＰアドレスと宛先ＩＰアドレスとが等しい場合に、受信したパケットはGratuitous ARPパケットであると判定される。

受信したパケットがGratuitous ARPパケットでない場合（ステップＳ１０３のＮＯ）、監視ユニット１０１は、受信したパケットに含まれる送信元ＭＡＣアドレスが登録済みリストに記載されているかどうかを判定する（ステップＳ１０４）。

受信したパケットに含まれる送信元ＭＡＣアドレスが登録済みリストに記載されていない場合（ステップＳ１０４のＮＯ）、監視ユニット１０１は、受信したパケットの送信元のコンピュータを不正コンピュータであると判定し、該不正コンピュータのアクセス先のコンピュータへ偽装ＡＲＰ要求パケットを送信する（ステップＳ１０５）。監視ユニット１０１は、自身のＡＲＰテーブルを偽装する（ステップＳ１０６）。

次いで、監視ユニット１０１は、不正コンピュータのアクセス先のコンピュータからＡＲＰ応答パケットを受信する（ステップＳ１０７）。そして、監視ユニット１０１は、不正コンピュータへ偽装ＡＲＰ応答パケットを送信する（ステップＳ１０８）。

以上の処理により、監視ユニット１０１は、不正コンピュータによる他のコンピュータへのアクセス、及び他のコンピュータから不正コンピュータへのアクセスを排除することができる。

図１１は、本実施形態のネットワーク監視装置である監視ユニット１０１が、不正アクセスを排除する別の例を示すシーケンス図である。図８に示したシーケンス図と同様に、不正コンピュータである未登録コンピュータ１０３から登録済みコンピュータ１０２への不正アクセスを監視ユニット１０１が排除することを想定する。なお、監視ユニット１０１のＭＡＣアドレスをＭＡＣ０、ＩＰアドレスをＩＰ０、登録済みコンピュータ１０２のＭＡＣアドレスをＭＡＣ１、ＩＰアドレスをＩＰ１、未登録コンピュータ１０３のＭＡＣアドレスをＭＡＣ２、ＩＰアドレスＩＰ２とする。また、ＭＡＣ３をいずれのノードにも割り当てられていない架空のＭＡＣアドレスとする。

まず、未登録コンピュータ１０３は、アクセス先（攻撃先）である登録済みコンピュータ１０２のＭＡＣアドレスを問い合わせるＡＲＰ要求パケットをブロードキャストする（Ｓ２１Ａ，Ｓ２１Ｂ）。ブロードキャストによる送信であるため、監視ユニット１０１及び登録済みコンピュータ１０２は共に、ＡＲＰ要求パケットを受信する。このＡＲＰ要求パケットは、未登録コンピュータ１０３のＭＡＣアドレス（ＭＡＣ２）を示す送信元ＭＡＣアドレス、未登録コンピュータ１０３のＩＰアドレス（ＩＰ２）を示す送信元ＩＰアドレス、登録済みコンピュータ１０２のＭＡＣアドレスを問い合わせるため“０”を示す宛先ＭＡＣアドレス、及び登録済みコンピュータ１０２のＩＰアドレス（ＩＰ１）を示す宛先ＩＰアドレスを含む。監視ユニット１０１及び登録済みコンピュータ１０２は、それぞれのＡＲＰテーブルに、未登録コンピュータ１０３のＩＰアドレス（ＩＰ２）とＭＡＣアドレス（ＭＡＣ２）とを対応づけて登録する。

ブロードキャストされたＡＲＰ要求パケットの宛先である登録済みコンピュータ１０２は、ＡＲＰ要求パケットの受信に応答して、ＡＲＰ応答パケットを未登録コンピュータ１０３へユニキャストする（Ｓ２２）。このＡＲＰ応答パケットは、登録済みコンピュータ１０２のＭＡＣアドレス（ＭＡＣ１）を示す送信元ＭＡＣアドレス、登録済みコンピュータ１０２のＩＰアドレス（ＩＰ１）を示す送信元ＩＰアドレス、未登録コンピュータ１０３のＭＡＣアドレス（ＭＡＣ２）を示す宛先ＭＡＣアドレス、及び未登録コンピュータ１０３のＩＰアドレス（ＩＰ２）を示す宛先ＩＰアドレスを含む。ユニキャストによる送信であるため、未登録コンピュータ１０３のみがＡＲＰ応答パケットを受信し、監視ユニット１０１はＡＲＰ応答パケットを受信できない。未登録コンピュータ１０３は、ＡＲＰテーブルに、登録済みコンピュータ１０２のＩＰアドレス（ＩＰ１）とＭＡＣアドレス（ＭＡＣ１）とを対応づけて登録する。これにより、未登録コンピュータ１０３と登録済みコンピュータ１０２との間で、パケットの送受信が可能となる。

そして、監視ユニット１０１は、登録済みコンピュータ１０２のＡＲＰテーブルに登録された、未登録コンピュータ１０３のＩＰアドレス（ＩＰ２）とＭＡＣアドレス（ＭＡＣ２）とを書き換えるために、未登録コンピュータ１０３のＭＡＣアドレスを架空のＭＡＣアドレスに偽装した偽装ＡＲＰ要求パケットをブロードキャストする（Ｓ２３Ａ，Ｓ２３Ｂ）。したがって、偽装ＡＲＰ要求パケットは、架空のＭＡＣアドレス（ＭＡＣ３）を示す送信元ＭＡＣアドレス、未登録コンピュータ１０３のＩＰアドレス（ＩＰ２）を示す送信元ＩＰアドレス、登録済みコンピュータ１０２のＭＡＣアドレスを問い合わせるため“０”を示す宛先ＭＡＣアドレス、及び登録済みコンピュータ１０２のＩＰアドレス（ＩＰ１）を示す宛先ＩＰアドレスを含む。また、ブロードキャストによる送信であるため、未登録コンピュータ１０３及び登録済みコンピュータ１０２は共に偽装ＡＲＰ要求パケットを受信するが、未登録コンピュータ１０３は自身が宛先ではないため、偽装ＡＲＰ要求パケットを無視する。登録済みコンピュータ１０２は、ＡＲＰテーブルに、未登録コンピュータ１０３のＩＰアドレス（ＩＰ２）と架空のＭＡＣアドレス（ＭＡＣ３）とを対応づけて登録する。これにより、登録済みコンピュータ１０２から未登録コンピュータ１０３へのパケットの送信を妨害することができる。

登録済みコンピュータ１０２は、偽装ＡＲＰ要求パケットの受信に応答して、ＡＲＰ応答パケットを架空のコンピュータへユニキャストする（Ｓ２４）。このＡＲＰ応答パケットは、登録済みコンピュータ１０２のＭＡＣアドレス（ＭＡＣ１）を示す送信元ＭＡＣアドレス、登録済みコンピュータ１０２のＩＰアドレス（ＩＰ１）を示す送信元ＩＰアドレス、架空のＭＡＣアドレス（ＭＡＣ３）を示す宛先ＭＡＣアドレス、及び未登録コンピュータ１０３のＩＰアドレス（ＩＰ２）を示す宛先ＩＰアドレスを含む。このＡＲＰ応答パケットは、宛先ＭＡＣアドレスが架空のＭＡＣアドレス（ＭＡＣ３）に偽装されているため、架空のコンピュータへ送信され、未登録コンピュータ１０３によって受信されることはない。

そして、監視ユニット１０１は、未登録コンピュータ１０３からＡＲＰ要求パケットを受信（Ｓ２１Ｂ）してから所定の期間（例えば５秒）が経過した後、未登録コンピュータ１０３へ、登録済みコンピュータ１０２のＭＡＣアドレスがＭＡＣ３（架空のＭＡＣアドレス）であると偽装する偽装ＡＲＰ応答パケットをユニキャストする（Ｓ２５）。したがって、この偽装ＡＲＰ応答パケットは、架空のＭＡＣアドレス（ＭＡＣ３）を示す送信元ＭＡＣアドレス、登録済みコンピュータ１０２のＩＰアドレス（ＩＰ１）を示す送信元ＩＰアドレス、未登録コンピュータ１０３のＭＡＣアドレス（ＭＡＣ２）を示す宛先ＭＡＣアドレス、及び未登録コンピュータ１０３のＩＰアドレス（ＩＰ２）を示す宛先ＩＰアドレスを含む。未登録コンピュータ１０３は、ＡＲＰテーブルに、登録済みコンピュータ１０２のＩＰアドレス（ＩＰ１）と架空のＭＡＣアドレス（ＭＡＣ３）とを対応づけて登録する。これにより、未登録コンピュータ１０３から登録済みコンピュータ１０２へのパケットの送信を妨害することができる。

以上の処理の結果、各ノードのＡＲＰテーブルは図１２のように記述される。

未登録コンピュータ１０３のＡＲＰテーブルには、登録済みコンピュータ１０２のＩＰアドレス（ＩＰ１）に、架空のＭＡＣアドレス（ＭＡＣ３）が対応づけて登録される。監視ユニット１０１のＡＲＰテーブルには、未登録コンピュータ１０３のＩＰアドレス（ＩＰ２）に、未登録コンピュータ１０３のＭＡＣアドレス（ＭＡＣ２）が対応づけて登録される。登録済みコンピュータ１０２のＡＲＰテーブルには、未登録コンピュータ１０３のＩＰアドレス（ＩＰ２）に、架空のＭＡＣアドレス（ＭＡＣ３）が対応づけて登録される。

各ノードのＡＲＰテーブルが上述のように記載されることにより、未登録コンピュータ１０３から登録済みコンピュータ１０２へのパケットの送信、及び登録済みコンピュータ１０２から未登録コンピュータ１０３へのパケットの送信を妨害することができる。

また、架空のＭＡＣアドレスを用いて、不正アクセスを排除する処理を実行することで、処理を簡素化することができる。

なお、偽装ＡＲＰ応答パケット（Ｓ２５）は、偽装ＡＲＰ要求パケットであってもよい。この偽装ＡＲＰ要求パケットは、架空のＭＡＣアドレス（ＭＡＣ３）を示す送信元ＭＡＣアドレス、登録済みコンピュータ１０２のＩＰアドレス（ＩＰ１）を示す送信元ＩＰアドレス、未登録コンピュータ１０３のＭＡＣアドレスを問い合わせるため“０”を示す宛先ＭＡＣアドレス、及び未登録コンピュータ１０３のＩＰアドレス（ＩＰ２）を示す宛先ＩＰアドレスを含む。但し、この偽装ＡＲＰ要求パケットを未登録コンピュータ１０３へ送信した場合、未登録コンピュータ１０３は、この偽装ＡＲＰ要求パケットに応答するＡＲＰ応答パケットを送信するため、ネットワーク上に不要なパケットが送出される可能性がある。

図１３は、監視ユニット１０１による不正コンピュータ排除処理の別の手順を示すフローチャートである。

まず、監視ユニット１０１は、他のノードから送信されたパケットを受信する（ステップＳ２０１）。次に、監視ユニット１０１は、受信したパケットがＡＲＰ要求パケットであるかどうかを判定する（ステップＳ２０２）。受信したパケットがＡＲＰ要求パケットであるかどうかは、上述したように、パケットに含まれるプロトコルタイプのフィールド設定された値等に基づいて判定することができる。

受信したパケットがＡＲＰ要求パケットである場合（ステップＳ２０２のＹＥＳ）、監視ユニット１０１は、受信したパケットがGratuitous ARPパケットであるかどうかを判定する（ステップＳ２０３）。なお、受信したパケットに含まれる送信元ＩＰアドレスのフィールドに“０”の値が設定されているか、送信元ＩＰアドレスと宛先ＩＰアドレスとが等しい場合に、受信したパケットはGratuitous ARPパケットであると判定される。

受信したパケットがGratuitous ARPパケットでない場合（ステップＳ２０３のＮＯ）、監視ユニット１０１は、受信したパケットに含まれる送信元ＭＡＣアドレスが登録済みリストに記載されているかどうかを判定する（ステップＳ２０４）。

受信したパケットに含まれる送信元ＭＡＣアドレスが登録済みリストに記載されていない場合（ステップＳ２０４のＮＯ）、監視ユニット１０１は、受信したパケットの送信元のコンピュータを不正コンピュータであると判定し、該不正コンピュータのアクセス先のコンピュータへ偽装ＡＲＰ要求パケットを送信する（ステップＳ２０５）。

次いで、監視ユニット１０１は、不正コンピュータからＡＲＰ要求パケットを受信してから所定の期間が経過するまで、処理の実行を待つ（ステップＳ２０６）。不正コンピュータからＡＲＰ要求パケットを受信してから所定の期間が経過すると、監視ユニット１０１は、不正コンピュータへ偽装ＡＲＰ応答パケットを送信する（ステップＳ２０７）。

以上の処理により、監視ユニット１０１は、不正コンピュータによる他のコンピュータへのアクセス、及び他のコンピュータから不正コンピュータへのアクセスを排除することができる。

図１４は、本実施形態のネットワーク監視装置である監視ユニット１０１が、不正アクセスを排除する他の例を示すシーケンス図である。ここでは、登録済みコンピュータ１０２から不正コンピュータである未登録コンピュータ１０３への不正アクセスを監視ユニット１０１が排除することを想定する。なお、監視ユニット１０１のＭＡＣアドレスをＭＡＣ０、ＩＰアドレスをＩＰ０、登録済みコンピュータ１０２のＭＡＣアドレスをＭＡＣ１、ＩＰアドレスをＩＰ１、未登録コンピュータ１０３のＭＡＣアドレスをＭＡＣ２、ＩＰアドレスＩＰ２とする。

まず、登録済みコンピュータ１０２は、アクセス先である未登録コンピュータ１０３のＭＡＣアドレスを問い合わせるＡＲＰ要求パケットをブロードキャストする（Ｓ３１Ａ，Ｓ３１Ｂ）。ブロードキャストによる送信であるため、監視ユニット１０１及び未登録コンピュータ１０３は共に、ＡＲＰ要求パケットを受信する。このＡＲＰ要求パケットは、登録済みコンピュータ１０２のＭＡＣアドレス（ＭＡＣ１）を示す送信元ＭＡＣアドレス、登録済みコンピュータ１０２のＩＰアドレス（ＩＰ１）を示す送信元ＩＰアドレス、未登録コンピュータ１０３のＭＡＣアドレスを問い合わせるため“０”を示す宛先ＭＡＣアドレス、及び未登録コンピュータ１０３のＩＰアドレス（ＩＰ２）を示す宛先ＩＰアドレスを含む。監視ユニット１０１及び未登録コンピュータ１０３は、それぞれのＡＲＰテーブルに、登録済みコンピュータ１０２のＩＰアドレス（ＩＰ１）とＭＡＣアドレス（ＭＡＣ１）とを対応づけて登録する。

ブロードキャストされたＡＲＰ要求パケットの宛先である未登録コンピュータ１０３は、ＡＲＰ要求パケットの受信に応答して、ＡＲＰ応答パケットを登録済みコンピュータ１０２へユニキャストする（Ｓ３２）。このＡＲＰ応答パケットは、未登録コンピュータ１０３のＭＡＣアドレス（ＭＡＣ２）を示す送信元ＭＡＣアドレス、未登録コンピュータ１０３のＩＰアドレス（ＩＰ２）を示す送信元ＩＰアドレス、登録済みコンピュータ１０２のＭＡＣアドレス（ＭＡＣ１）を示す宛先ＭＡＣアドレス、及び登録済みコンピュータ１０２のＩＰアドレス（ＩＰ１）を示す宛先ＩＰアドレスを含む。ユニキャストによる送信であるため、登録済みコンピュータ１０２のみがＡＲＰ応答パケットを受信し、監視ユニット１０１はＡＲＰ応答パケットを受信できない。登録済みコンピュータ１０２は、ＡＲＰテーブルに、未登録コンピュータ１０３のＩＰアドレス（ＩＰ２）とＭＡＣアドレス（ＭＡＣ２）とを対応づけて登録する。これにより、未登録コンピュータ１０３と登録済みコンピュータ１０２との間で、パケットの送受信が可能となる。

監視ユニット１０１は、登録済みコンピュータ１０２からブロードキャストされたＡＲＰ要求パケットを受信（Ｓ３１Ｂ）し、ＡＲＰ要求パケットの宛先のコンピュータである未登録コンピュータ１０３が不正コンピュータであるかどうかを判定する。具体的には、監視ユニット１０１は、ＡＲＰ要求パケットに含まれる宛先ＩＰアドレス（ＩＰ２）が検出リストに記載されているかどうかを判定する。ＡＲＰ要求パケットに含まれる宛先ＩＰアドレス（ＩＰ２）が検出リストに記載されている場合、監視ユニット１０１は、検出リストにおいて宛先ＩＰアドレス（ＩＰ２）に対応づけられたＭＡＣアドレス（ＭＡＣ２）を取得する。そして、検出リストに記載されている場合、監視ユニット１０１は、未登録コンピュータ１０３による不正アクセスを排除するための以下の処理を実行する。

監視ユニット１０１は、登録済みコンピュータ１０２のＡＲＰテーブルに登録された、未登録コンピュータ１０３のＩＰアドレス（ＩＰ２）とＭＡＣアドレス（ＭＡＣ２）とを書き換えるために、未登録コンピュータ１０３のＭＡＣアドレスを監視ユニット１０１のＭＡＣアドレスに偽装した偽装ＡＲＰ要求パケットをブロードキャストする（Ｓ３３Ａ，Ｓ３３Ｂ）。したがって、偽装ＡＲＰ要求パケットは、監視ユニット１０１のＭＡＣアドレス（ＭＡＣ０）を示す送信元ＭＡＣアドレス、未登録コンピュータ１０３のＩＰアドレス（ＩＰ２）を示す送信元ＩＰアドレス、登録済みコンピュータ１０２のＭＡＣアドレスを問い合わせるため“０”を示す宛先ＭＡＣアドレス、及び登録済みコンピュータ１０２のＩＰアドレス（ＩＰ１）を示す宛先ＩＰアドレスを含む。また、ブロードキャストによる送信であるため、未登録コンピュータ１０３及び登録済みコンピュータ１０２は共に偽装ＡＲＰ要求パケットを受信するが、未登録コンピュータ１０３は自身が宛先ではないため、偽装ＡＲＰ要求パケットを無視する。登録済みコンピュータ１０２は、ＡＲＰテーブルに、未登録コンピュータ１０３のＩＰアドレス（ＩＰ２）と監視ユニット１０１のＭＡＣアドレス（ＭＡＣ０）とを対応づけて登録する。これにより、登録済みコンピュータ１０２から未登録コンピュータ１０３へのパケットの送信を妨害することができる。

登録済みコンピュータ１０２は、偽装ＡＲＰ要求パケットの受信に応答して、ＡＲＰ応答パケットを監視ユニット１０１へユニキャストする（Ｓ３４）。このＡＲＰ応答パケットは、登録済みコンピュータ１０２のＭＡＣアドレス（ＭＡＣ１）を示す送信元ＭＡＣアドレス、登録済みコンピュータ１０２のＩＰアドレス（ＩＰ１）を示す送信元ＩＰアドレス、監視ユニット１０１のＭＡＣアドレス（ＭＡＣ０）を示す宛先ＭＡＣアドレス、及び未登録コンピュータ１０３のＩＰアドレス（ＩＰ２）を示す宛先ＩＰアドレスを含む。監視ユニット１０１は、ＡＲＰテーブルに、登録済みコンピュータ１０２のＩＰアドレス（ＩＰ１）とＭＡＣアドレス（ＭＡＣ１）とを対応づけて登録する。

登録済みコンピュータ１０２からのＡＲＰ応答パケットを受信した監視ユニット１０１は、未登録コンピュータ１０３から登録済みコンピュータ１０２へ通常のＡＲＰ応答パケットが送信（Ｓ３２）されたものと判断する。そして、監視ユニット１０１は、未登録コンピュータ１０３へ、登録済みコンピュータ１０２のＭＡＣアドレスがＭＡＣ２（未登録コンピュータ１０３のＭＡＣアドレス）であると偽装する偽装ＡＲＰ応答パケットをユニキャストする（Ｓ３５）。したがって、この偽装ＡＲＰ応答パケットは、未登録コンピュータ１０３のＭＡＣアドレス（ＭＡＣ２）を示す送信元ＭＡＣアドレス、登録済みコンピュータ１０２のＩＰアドレス（ＩＰ１）を示す送信元ＩＰアドレス、未登録コンピュータ１０３のＭＡＣアドレス（ＭＡＣ２）を示す宛先ＭＡＣアドレス、及び未登録コンピュータ１０３のＩＰアドレス（ＩＰ２）を示す宛先ＩＰアドレスを含む。未登録コンピュータ１０３は、ＡＲＰテーブルに、登録済みコンピュータ１０２のＩＰアドレス（ＩＰ１）と未登録コンピュータ１０３のＭＡＣアドレス（ＭＡＣ２）とを対応づけて登録する。これにより、未登録コンピュータ１０３から登録済みコンピュータ１０２へのパケットの送信を妨害することができる。

以上の処理の結果、各ノードのＡＲＰテーブルは図１５のように記述される。

未登録コンピュータ１０３のＡＲＰテーブルには、登録済みコンピュータ１０２のＩＰアドレス（ＩＰ１）に、未登録コンピュータ１０３のＭＡＣアドレス（ＭＡＣ２）が対応づけて登録される。監視ユニット１０１のＡＲＰテーブルには、登録済みコンピュータ１０２のＩＰアドレス（ＩＰ１）に、登録済みコンピュータ１０２のＭＡＣアドレス（ＭＡＣ１）が対応づけて登録される。登録済みコンピュータ１０２のＡＲＰテーブルには、未登録コンピュータ１０３のＩＰアドレス（ＩＰ２）に、監視ユニット１０１のＭＡＣアドレス（ＭＡＣ０）が対応づけて登録される。

各ノードのＡＲＰテーブルが上述のように記載されることにより、未登録コンピュータ１０３から登録済みコンピュータ１０２へのパケットの送信、登録済みコンピュータ１０２から未登録コンピュータ１０３へのパケットの送信を妨害することができる。

なお、登録済みコンピュータ１０２から未登録コンピュータ１０３への不正アクセスを排除する処理に、図１１に示したシーケンス図の場合と同様に、いずれのノードにも割り当てられていない架空のＭＡＣアドレス（ＭＡＣ３）を用いることもできる。

また、偽装ＡＲＰ応答パケット（Ｓ３５）は、偽装ＡＲＰ要求パケットであってもよい。この偽装ＡＲＰ要求パケットは、未登録コンピュータ１０３のＭＡＣアドレス（ＭＡＣ２）を示す送信元ＭＡＣアドレス、登録済みコンピュータ１０２のＩＰアドレス（ＩＰ１）を示す送信元ＩＰアドレス、未登録コンピュータ１０３のＭＡＣアドレスを問い合わせるため“０”を示す宛先ＭＡＣアドレス、及び未登録コンピュータ１０３のＩＰアドレス（ＩＰ２）を示す宛先ＩＰアドレスを含む。但し、この偽装ＡＲＰ要求パケットを未登録コンピュータ１０３へ送信した場合、未登録コンピュータ１０３は、この偽装ＡＲＰ要求パケットに応答するＡＲＰ応答パケットを送信するため、ネットワーク上に不要なパケットが送出される可能性がある。

登録済みコンピュータ１０２から未登録コンピュータ１０３への不正アクセスを排除する処理に、架空のＭＡＣアドレスを用いた場合、各ノードのＡＲＰテーブルは図１６のように記述される。

未登録コンピュータ１０３のＡＲＰテーブルには、登録済みコンピュータ１０２のＩＰアドレス（ＩＰ１）に、架空のＭＡＣアドレス（ＭＡＣ３）が対応づけて登録される。監視ユニット１０１のＡＲＰテーブルには、登録済みコンピュータ１０２のＩＰアドレス（ＩＰ１）に、登録済みコンピュータ１０２のＭＡＣアドレス（ＭＡＣ１）が対応づけて登録される。登録済みコンピュータ１０２のＡＲＰテーブルには、未登録コンピュータ１０３のＩＰアドレス（ＩＰ２）に、架空のＭＡＣアドレス（ＭＡＣ３）が対応づけて登録される。

各ノードのＡＲＰテーブルが上述のように記載されることにより、未登録コンピュータ１０３から登録済みコンピュータ１０２へのパケットの送信、登録済みコンピュータ１０２から未登録コンピュータ１０３へのパケットの送信を妨害することができる。

図１７は、本実施形態のネットワーク監視装置である監視ユニット１０１が、不正アクセスを排除するさらに別の例を示すシーケンス図である。ここでは、不正コンピュータである未登録コンピュータ１０３から監視ユニット１０１への不正アクセスを監視ユニット１０１が排除することを想定する。なお、監視ユニット１０１のＭＡＣアドレスをＭＡＣ０、ＩＰアドレスをＩＰ０、未登録コンピュータ１０３のＭＡＣアドレスをＭＡＣ２、ＩＰアドレスＩＰ２とする。

まず、未登録コンピュータ１０３は、アクセス先（攻撃先）である監視ユニット１０１のＭＡＣアドレスを問い合わせるＡＲＰ要求パケットをブロードキャストする（Ｓ４１）。このＡＲＰ要求パケットは、未登録コンピュータ１０３のＭＡＣアドレス（ＭＡＣ２）を示す送信元ＭＡＣアドレス、未登録コンピュータ１０３のＩＰアドレス（ＩＰ２）を示す送信元ＩＰアドレス、監視ユニット１０１のＭＡＣアドレスを問い合わせるため“０”を示す宛先ＭＡＣアドレス、及び監視ユニット１０１のＩＰアドレス（ＩＰ０）を示す宛先ＩＰアドレスを含む。監視ユニット１０１は、ＡＲＰテーブルに、未登録コンピュータ１０３のＩＰアドレス（ＩＰ２）とＭＡＣアドレス（ＭＡＣ２）とを対応づけて登録する。

ブロードキャストされたＡＲＰ要求パケットの宛先である監視ユニット１０１は、ＡＲＰ要求パケットの受信に応答して、ＡＲＰ応答パケットを未登録コンピュータ１０３へユニキャストする（Ｓ４２）。このＡＲＰ応答パケットは、監視ユニット１０１のＭＡＣアドレス（ＭＡＣ０）を示す送信元ＭＡＣアドレス、監視ユニット１０１のＩＰアドレス（ＩＰ０）を示す送信元ＩＰアドレス、未登録コンピュータ１０３のＭＡＣアドレス（ＭＡＣ２）を示す宛先ＭＡＣアドレス、及び未登録コンピュータ１０３のＩＰアドレス（ＩＰ２）を示す宛先ＩＰアドレスを含む。未登録コンピュータ１０３は、ＡＲＰテーブルに、監視ユニット１０１のＩＰアドレス（ＩＰ０）とＭＡＣアドレス（ＭＡＣ０）とを対応づけて登録する。これにより、未登録コンピュータ１０３と監視ユニット１０１との間で、パケットの送受信が可能となる。

また、監視ユニット１０１は、自身のＡＲＰテーブルに対応づけて登録された、未登録コンピュータ１０３のＩＰアドレス（ＩＰ２）とＭＡＣアドレス（ＭＡＣ２）とを書き換えて偽装する。監視ユニット１０１は、未登録コンピュータ１０３のＩＰアドレス（ＩＰ２）に対して、監視ユニット１０１のＭＡＣアドレス（ＭＡＣ０）を対応づけて登録する。

そして、監視ユニット１０１は、未登録コンピュータ１０３へ、監視ユニット１０１のＭＡＣアドレスがＭＡＣ２（未登録コンピュータ１０３のＭＡＣアドレス）であると偽装する偽装ＡＲＰ応答パケットをユニキャストする（Ｓ４３）。したがって、この偽装ＡＲＰ応答パケットは、未登録コンピュータ１０３のＭＡＣアドレス（ＭＡＣ２）を示す送信元ＭＡＣアドレス、監視ユニット１０１のＩＰアドレス（ＩＰ０）を示す送信元ＩＰアドレス、未登録コンピュータ１０３のＭＡＣアドレス（ＭＡＣ２）を示す宛先ＭＡＣアドレス、及び未登録コンピュータ１０３のＩＰアドレス（ＩＰ２）を示す宛先ＩＰアドレスを含む。未登録コンピュータ１０３は、ＡＲＰテーブルに、監視ユニット１０１のＩＰアドレス（ＩＰ０）と未登録コンピュータ１０３のＭＡＣアドレス（ＭＡＣ２）とを対応づけて登録する。これにより、未登録コンピュータ１０３から監視ユニット１０１へのパケットの送信を妨害することができる。

以上の処理の結果、各ノードのＡＲＰテーブルは図１８のように記述される。

未登録コンピュータ１０３のＡＲＰテーブルには、監視ユニット１０１のＩＰアドレス（ＩＰ０）に、未登録コンピュータ１０３のＭＡＣアドレス（ＭＡＣ２）が対応づけて登録される。監視ユニット１０１のＡＲＰテーブルには、未登録コンピュータ１０３のＩＰアドレス（ＩＰ２）に、監視ユニット１０１のＭＡＣアドレス（ＭＡＣ０）が対応づけて登録される。

各ノードのＡＲＰテーブルが上述のように記載されることにより、未登録コンピュータ１０３から監視ユニット１０１へのパケットの送信、及び監視ユニット１０１から未登録コンピュータ１０３へのパケットの送信を妨害することができる。

なお、監視ユニット１０１から未登録コンピュータ１０３への偽装ＡＲＰ応答パケットの送信（Ｓ４３）は、監視ユニット１０１から未登録コンピュータ１０３へのＡＲＰ応答パケットの送信（Ｓ４２）の直後に行う。これにより、監視ユニット１０１と未登録コンピュータ１０３との間で通信が可能となる時間をごく短時間に抑えることができる。

また、上述の未登録コンピュータ１０３による不正アクセスを排除する処理に、図１１に示すシーケンス図と同様に、いずれのノードにも割り当てられていない架空のＭＡＣアドレスを用いてもよい。

なお、偽装ＡＲＰ応答パケット（Ｓ４３）は、偽装ＡＲＰ要求パケットであってもよい。この偽装ＡＲＰ要求パケットは、未登録コンピュータ１０３のＭＡＣアドレス（ＭＡＣ２）を示す送信元ＭＡＣアドレス、監視ユニット１０１のＩＰアドレス（ＩＰ０）を示す送信元ＩＰアドレス、未登録コンピュータ１０３のＭＡＣアドレスを問い合わせるため“０”を示す宛先ＭＡＣアドレス、及び未登録コンピュータ１０３のＩＰアドレス（ＩＰ２）を示す宛先ＩＰアドレスを含む。但し、この偽装ＡＲＰ要求パケットを未登録コンピュータ１０３へ送信した場合、未登録コンピュータ１０３は、この偽装ＡＲＰ要求パケットに応答するＡＲＰ応答パケットを送信するため、ネットワーク上に不要なパケットが送出される可能性がある。

図１９は、本実施形態のネットワーク監視装置である監視ユニット１０１が、不正アクセスを排除するさらに他の例を示すシーケンス図である。ここでは、監視ユニット１０１から不正コンピュータである未登録コンピュータ１０３への不正アクセスを監視ユニット１０１が排除することを想定する。これは例えば、監視ユニット１０１上のＯＳやアプリケーションプログラムによって、未登録コンピュータ１０３への不正アクセスが実行された場合に、本実施形態の不正コンピュータ排除機能を備える監視ユニット１０１内のモジュールによって実行される処理である。なお、監視ユニット１０１のＭＡＣアドレスをＭＡＣ０、ＩＰアドレスをＩＰ０、未登録コンピュータ１０３のＭＡＣアドレスをＭＡＣ２、ＩＰアドレスＩＰ２とする。

まず、監視ユニット１０１は、アクセス先である未登録コンピュータ１０３のＭＡＣアドレスを問い合わせるＡＲＰ要求パケットをブロードキャストする（Ｓ５１）。このＡＲＰ要求パケットは、監視ユニット１０１のＭＡＣアドレス（ＭＡＣ０）を示す送信元ＭＡＣアドレス、監視ユニット１０１のＩＰアドレス（ＩＰ０）を示す送信元ＩＰアドレス、未登録コンピュータ１０３のＭＡＣアドレスを問い合わせるため“０”を示す宛先ＭＡＣアドレス、及び未登録コンピュータ１０３のＩＰアドレス（ＩＰ２）を示す宛先ＩＰアドレスを含む。未登録コンピュータ１０３は、ＡＲＰテーブルに、監視ユニット１０１のＩＰアドレス（ＩＰ０）とＭＡＣアドレス（ＭＡＣ０）とを対応づけて登録する。

ブロードキャストされたＡＲＰ要求パケットの宛先である未登録コンピュータ１０３は、ＡＲＰ要求パケットの受信に応答して、ＡＲＰ応答パケットを監視ユニット１０１へユニキャストする（Ｓ５２）。このＡＲＰ応答パケットは、未登録コンピュータ１０３のＭＡＣアドレス（ＭＡＣ２）を示す送信元ＭＡＣアドレス、未登録コンピュータ１０３のＩＰアドレス（ＩＰ２）を示す送信元ＩＰアドレス、監視ユニット１０１のＭＡＣアドレス（ＭＡＣ０）を示す宛先ＭＡＣアドレス、及び監視ユニット１０１のＩＰアドレス（ＩＰ０）を示す宛先ＩＰアドレスを含む。監視ユニット１０１は、ＡＲＰテーブルに、未登録コンピュータ１０３のＩＰアドレス（ＩＰ２）とＭＡＣアドレス（ＭＡＣ２）とを対応づけて登録する。これにより、未登録コンピュータ１０３と監視ユニット１０１との間で、パケットの送受信が可能となる。

監視ユニット１０１は、ブロードキャストしたＡＲＰ要求パケットの宛先のコンピュータである未登録コンピュータ１０３が不正コンピュータであるかどうかを判定する。具体的には、監視ユニット１０１は、ＡＲＰ要求パケットに含まれる宛先ＩＰアドレス（ＩＰ２）が検出リストに記載されているかどうかを判定する。ＡＲＰ要求パケットに含まれる宛先ＩＰアドレス（ＩＰ２）が検出リストに記載されている場合、監視ユニット１０１は、検出リストにおいて宛先ＩＰアドレス（ＩＰ２）に対応づけられたＭＡＣアドレス（ＭＡＣ２）を取得する。そして、検出リストに記載されている場合、監視ユニット１０１は、未登録コンピュータ１０３による不正アクセスを排除するための以下の処理を実行する。

監視ユニット１０１は、自身のＡＲＰテーブルに対応づけて登録された、未登録コンピュータ１０３のＩＰアドレス（ＩＰ２）とＭＡＣアドレス（ＭＡＣ２）とを書き換えて偽装する。監視ユニット１０１は、未登録コンピュータ１０３のＩＰアドレス（ＩＰ２）に対して、監視ユニット１０１のＭＡＣアドレス（ＭＡＣ０）を対応づけて登録する。

そして、監視ユニット１０１は、未登録コンピュータ１０３へ、監視ユニット１０１のＭＡＣアドレスがＭＡＣ２（未登録コンピュータ１０３のＭＡＣアドレス）であると偽装する偽装ＡＲＰ応答パケットをユニキャストする（Ｓ５３）。したがって、この偽装ＡＲＰ応答パケットは、未登録コンピュータ１０３のＭＡＣアドレス（ＭＡＣ２）を示す送信元ＭＡＣアドレス、監視ユニット１０１のＩＰアドレス（ＩＰ０）を示す送信元ＩＰアドレス、未登録コンピュータ１０３のＭＡＣアドレス（ＭＡＣ２）を示す宛先ＭＡＣアドレス、及び未登録コンピュータ１０３のＩＰアドレス（ＩＰ２）を示す宛先ＩＰアドレスを含む。未登録コンピュータ１０３は、ＡＲＰテーブルに、監視ユニット１０１のＩＰアドレス（ＩＰ０）と未登録コンピュータ１０３のＭＡＣアドレス（ＭＡＣ２）とを対応づけて登録する。これにより、未登録コンピュータ１０３から監視ユニット１０１へのパケットの送信を妨害することができる。

以上の処理の結果、各ノードのＡＲＰテーブルは図１８のように記述される。

未登録コンピュータ１０３のＡＲＰテーブルには、監視ユニット１０１のＩＰアドレス（ＩＰ０）に、未登録コンピュータ１０３のＭＡＣアドレス（ＭＡＣ２）が対応づけて登録される。監視ユニット１０１のＡＲＰテーブルには、未登録コンピュータ１０３のＩＰアドレス（ＩＰ２）に、監視ユニット１０１のＭＡＣアドレス（ＭＡＣ０）が対応づけて登録される。

各ノードのＡＲＰテーブルが上述のように記載されることにより、未登録コンピュータ１０３から監視ユニット１０１へのパケットの送信、及び監視ユニット１０１から未登録コンピュータ１０３へのパケットの送信を妨害することができる。

なお、監視ユニット１０１から未登録コンピュータ１０３への偽装ＡＲＰ応答パケットの送信（Ｓ５３）は、未登録コンピュータ１０３から監視ユニット１０１へのＡＲＰ応答パケットの送信（Ｓ５２）の直後に行う。これにより、監視ユニット１０１と未登録コンピュータ１０３との間で通信が可能となる時間をごく短時間に抑えることができる。

また、上述の未登録コンピュータ１０３による不正アクセスを排除する処理に、図１１に示すシーケンス図と同様に、いずれのノードにも割り当てられていない架空のＭＡＣアドレスを用いてもよい。

なお、偽装ＡＲＰ応答パケット（Ｓ５３）は、偽装ＡＲＰ要求パケットであってもよい。この偽装ＡＲＰ要求パケットは、未登録コンピュータ１０３のＭＡＣアドレス（ＭＡＣ２）を示す送信元ＭＡＣアドレス、監視ユニット１０１のＩＰアドレス（ＩＰ０）を示す送信元ＩＰアドレス、未登録コンピュータ１０３のＭＡＣアドレスを問い合わせるため“０”を示す宛先ＭＡＣアドレス、及び未登録コンピュータ１０３のＩＰアドレス（ＩＰ２）を示す宛先ＩＰアドレスを含む。但し、この偽装ＡＲＰ要求パケットを未登録コンピュータ１０３へ送信した場合、未登録コンピュータ１０３は、この偽装ＡＲＰ要求パケットに応答するＡＲＰ応答パケットを送信するため、ネットワーク上に不要なパケットが送出される可能性がある。

図２１は、上述した監視ユニット１０１の機能を、マルチスレッドにより実現する例を示すブロック図である。監視ユニット１０１は、ＡＲＰテーブル記憶部２１０に格納されたＡＲＰテーブル、登録済みリスト記憶部２１１に格納された登録済みリスト、検出リスト記憶部２１２に格納された検出リスト、及び送信リスト記憶部２１３に格納された送信リストを保持し、受信スレッド３０１、名前解決スレッド３０２、及び送信スレッド３０３により、不正ノードによるアクセスを監視及び排除する処理を行う。

受信スレッド３０１は、他のノードから送信されるＡＲＰ要求パケットを受信し、登録済みリストを参照して、このＡＲＰ要求パケットを送信したノードが不正ノードであるかどうかを判定する。また、受信スレッド３０１は、検出リスト及び登録済みリストを参照して、このＡＲＰ要求パケットの宛先が不正ノードであるかどうかを判定する。

受信スレッド３０１は、ＡＲＰ要求パケットを送信したノードが不正ノードである場合、又はＡＲＰ要求パケットの宛先が不正ノードである場合、妨害パケット（偽装ＡＲＰ要求パケット及び偽装ＡＲＰ応答パケット）を送信するために必要な情報を記述したエントリを送信リストの先頭へ追加する。送信リストに追加されるエントリは、図７を参照して説明したように、受信したＡＲＰ要求パケットに含まれる送信元ＭＡＣアドレス、送信元ＩＰアドレス、宛先ＭＡＣアドレス、及び宛先ＩＰアドレス、並びに受信時刻、及びリクエスト送信フラグを含む。また、送信リストに含まれるエントリは、送信リストの先頭から順に処理される。したがって、エントリを送信リストの先頭に追加することで、このエントリの内容に基づく妨害パケットが他のパケットよりも優先的に送信される。これにより、不正コンピュータが大量に存在する場合にも、不正コンピュータによるアクセスを排除することができる。

また、受信スレッド３０１は、受信したＡＲＰ要求パケットに含まれる送信元ＭＡＣアドレスが、登録済みリスト及び検出リストに記載されていない場合、受信したＡＲＰ要求パケットに含まれるＩＰアドレスとＭＡＣアドレスとを対応づけて検出リストへ登録する。該ＩＰアドレスが検出リストに既に記載されている場合、検出リストにおいて対応づけられたＭＡＣアドレスを、受信したＡＲＰ要求パケットに含まれるＭＡＣアドレスで上書きする。

名前解決スレッド３０２は、検出リストを検索し、ホスト名が記述されていないエントリに対して、名前解決によりホスト名を設定する。具体的には、名前解決スレッド３０２は、検出リストを検索し、ホスト名が記載されていないエントリを読み出す。そして、名前解決スレッド３０２は、読み出したエントリに記述されたＩＰアドレスに基づき、ＤＮＳ又はＮｅｔＢＩＯＳ等による名前解決のための名前解決パケットを送受信する。名前解決が成功した場合、名前解決スレッド３０２は、読み出したエントリのホスト名のフィールドに取得した名前を記述する。

送信スレッド３０３は、送信リストに登録されたエントリを先頭から読み出し、読み出したエントリに記述された内容に応じて、偽装ＡＲＰ要求パケット及び偽装ＡＲＰ応答パケットを生成し、送信する。偽装ＡＲＰ要求パケットは、監視ユニット１０１のＭＡＣアドレス又は架空のＭＡＣアドレスを示す送信元ＭＡＣアドレス、読み出したエントリに記述された送信元ＩＰアドレスを示す送信元ＩＰアドレス、読み出したエントリに記述された宛先ＭＡＣアドレスを示す宛先ＭＡＣアドレス、及び読み出したエントリに記述された宛先ＩＰアドレスを示す宛先ＩＰアドレスを含む。偽装ＡＲＰ応答パケットは、読み出したエントリに記述された送信元ＭＡＣアドレス又は架空のＭＡＣアドレスを示す送信元ＭＡＣアドレス、読み出したエントリに記述された宛先ＩＰアドレスを示す送信元ＩＰアドレス、読み出したエントリに記述された送信元ＭＡＣアドレスを示す宛先ＭＡＣアドレス、及び読み出したエントリに記述された送信元ＩＰアドレスを示す宛先ＩＰアドレスを含む。

また、送信スレッド３０３は、監視ユニット１０１に保持するＡＲＰテーブルを偽装する。具体的には、ＡＲＰテーブルに、送信リストから読み出したエントリに記述された送信元ＩＰアドレスと送信元ＭＡＣアドレスとが対応づけられて記載されている場合に、送信スレッド３０３は、当該ＭＡＣアドレスを監視ユニット１０１のＭＡＣアドレス又は架空のＭＡＣアドレスに書き換える。

図２２に、受信スレッド３０１による受信処理の手順を示すフローチャートを示す。

まず、受信スレッド３０１は、他のノードから送信されたＡＲＰ要求パケットを受信する（ステップＳ３０１）。次に、受信スレッド３０１は、受信したＡＲＰ要求パケットに含まれる送信元ＭＡＣアドレスが登録済みリストに記載されているかどうかを判定する（ステップＳ３０２）。

受信したＡＲＰ要求パケットに含まれる送信元ＭＡＣアドレスが登録済みリストに記載されていない場合（ステップＳ３０２のＮＯ）、受信スレッド３０１は、受信したＡＲＰ要求パケットに含まれる送信元ＭＡＣアドレスが検出リストに記載されているかどうかを判定する（ステップＳ３０３）。

受信したＡＲＰ要求パケットに含まれる送信元ＭＡＣアドレスが検出リストに記載されていない場合（ステップＳ３０３のＮＯ）、受信スレッド３０１は、検出リストに、ＡＲＰ要求パケットに含まれる送信元ＩＰアドレスと送信元ＭＡＣアドレスとを対応づけて登録する（ステップＳ３０４）。そして、受信スレッド３０１は、受信したＡＲＰ要求パケットに含まれる情報を受信時刻と共に記述したエントリを送信リストの先頭へ追加する（ステップＳ３０５）。

次いで、受信スレッド３０１は、受信スレッド３０１がスレッドの終了条件を満たしているかどうかを判定する（ステップＳ３０６）。受信スレッド３０１がスレッドの終了条件を満たしている場合（ステップＳ３０６のＹＥＳ）、受信スレッド３０１は、受信処理を終了する。受信スレッド３０１がスレッドの終了条件を満たしていない場合（ステップＳ３０６のＮＯ）、受信スレッド３０１は再度、ステップＳ３０１から処理を実行する。

以上の処理により、受信スレッド３０１は、不正ノードからのＡＲＰ要求パケットを検出し、不正ノードによるアクセス及び不正ノードへのアクセスを排除するために必要な情報を送信リストへ登録することができる。

図２３は、名前解決スレッド３０２による名前解決処理の手順を示すフローチャートである。

まず、名前解決スレッド３０２は、検出リストからホスト名が記述されていないエントリを読み出す（ステップＳ４０１）。名前解決スレッド３０２は、読み出したエントリに記述されたＩＰアドレスに基づき、名前解決を要求する名前解決パケットをＤＮＳサーバ等へ送信する（ステップＳ４０２）。名前解決スレッド３０２は、この名前解決パケットに対する応答パケットを受信し、名前解決が成功したかどうかを判定する（ステップＳ４０３）。

名前解決が成功した場合（ステップＳ４０３のＹＥＳ）、名前解決スレッド３０２は、読み出したエントリのホスト名のフィールドに、名前解決により取得した名前を設定する（ステップＳ４０４）。ホスト名が設定されたエントリにより、検出リストは更新される。

次いで、名前解決スレッド３０２は、名前解決スレッド３０２がスレッドの終了条件を満たしているかどうかを判定する（ステップＳ４０５）。名前解決スレッド３０２がスレッドの終了条件を満たしている場合（ステップＳ４０５のＹＥＳ）、名前解決スレッド３０２は、名前解決処理を終了する。名前解決スレッド３０２がスレッドの終了条件を満たしていない場合（ステップＳ４０５のＮＯ）、名前解決スレッド３０２は再度、ステップＳ４０１から処理を実行する。

以上の処理により、名前解決スレッド３０２は、検出リストのエントリにホスト名を記述することができる。

図２４は、送信スレッド３０３による送信処理の手順を示すフローチャートである。

まず、送信スレッド３０３は、送信リストの先頭のエントリを読み出す（ステップＳ５０１）。次に、送信スレッド３０３は、読み出したエントリに基づく偽装ＡＲＰ要求パケットが既に送信されたかどうかを判定する（ステップＳ５０２）。すなわち、読み出したエントリに含まれるリクエスト送信フラグが“True”である場合、送信スレッド３０３は、偽装ＡＲＰ要求パケットが送信済みであると判定する。一方、読み出したエントリに含まれるリクエスト送信フラグが“False”である場合、送信スレッド３０３は、偽装ＡＲＰ要求パケットが未送信であると判定する。

偽装ＡＲＰ要求パケットが送信されていない場合（ステップＳ５０２のＮＯ）、送信スレッド３０３は、不正ノードのアクセス先のノードへ、偽装ＡＲＰ要求パケットを送信する（ステップＳ５０３）。そして、送信スレッド３０３は、自身のＡＲＰテーブルを偽装する（ステップＳ５０４）。また、送信スレッド３０３は、送信リストから読み出したエントリのリクエスト送信フラグのフィールドに、“True”を設定する（ステップＳ５０５）。

ステップＳ５０５の処理を行った後、又は偽装ＡＲＰ要求パケットが既に送信されている場合（ステップＳ５０２のＹＥＳ）、送信スレッド３０３は、偽装ＡＲＰ要求パケットに対する応答であるＡＲＰ応答パケットを、不正ノードのアクセス先のノードから受信したかどうかを判定する（ステップＳ５０６）。

不正ノードのアクセス先のノードからＡＲＰ応答パケットを受信した場合（ステップＳ５０６のＹＥＳ）、送信スレッド３０３は、不正ノードへ偽装ＡＲＰ応答パケットを送信する（ステップＳ５０７）。

不正ノードのアクセス先のノードからＡＲＰ応答パケットを受信していない場合（ステップＳ５０６のＮＯ）、送信スレッド３０３は、読み出したエントリを送信リストの最後の位置に戻す（ステップＳ５０８）。

次いで、送信スレッド３０３は、送信スレッド３０３がスレッドの終了条件を満たしているかどうかを判定する（ステップＳ５０９）。送信スレッド３０３がスレッドの終了条件を満たしている場合（ステップＳ５０９のＹＥＳ）、送信スレッド３０３は、送信処理を終了する。送信スレッド３０３がスレッドの終了条件を満たしていない場合（ステップＳ５０９のＮＯ）、送信スレッド３０３は再度、ステップＳ５０１から処理を実行する。

以上の処理により、送信スレッド３０３は、送信リストから読み出したエントリに基づき、不正ノードによるアクセス及び不正ノードへのアクセスを排除するための処理を実行することができる。

なお、不正ノードの排除に架空のＭＡＣアドレスを用いる場合、上述のステップＳ５０６の処理において、監視ユニット１０１は、送信リストから読み出したエントリに含まれる受信時刻から所定の時間が経過したかどうかを判定する。

図２５は、受信スレッド３０１による受信処理の別の手順を示すフローチャートである。図２５のフローチャートは、不正ノード宛のＡＲＰ要求パケットを受信した場合の受信処理を示す。

まず、受信スレッド３０１は、他のノードから送信されたＡＲＰ要求パケットを受信する（ステップＳ６０１）。次に、受信スレッド３０１は、受信したＡＲＰ要求パケットに含まれる宛先ＩＰアドレスが検出リストに記載されているかどうかを判定する（ステップＳ６０２）。宛先ＩＰアドレスが検出リストに記載されている場合には、ＡＲＰ要求パケットが不正ノード宛のパケットである可能性があると判定される。

受信したＡＲＰ要求パケットに含まれる宛先ＩＰアドレスが検出リストに記載されている場合（ステップＳ６０２のＹＥＳ）、受信スレッド３０１は、検出リストから宛先ＩＰアドレスに対応するＭＡＣアドレスを抽出し、抽出したＭＡＣアドレスを受信したＡＲＰ要求パケットの宛先ＭＡＣアドレスのフィールドに設定する（ステップＳ６０３）。そして、受信スレッド３０１は、受信したＡＲＰ要求パケットに含まれる宛先ＩＰアドレスと送信元ＩＰアドレスの値を入れ替えて設定し、また、宛先ＭＡＣアドレスと送信元ＭＡＣアドレスの値を入れ替えて設定する（ステップＳ６０４）。

ステップＳ６０４の処理を行った後、又は受信したＡＲＰ要求パケットに含まれる宛先ＩＰアドレスが検出リストに記載されていない場合（ステップＳ６０２のＮＯ）、以降のステップＳ６０５からステップＳ６０９の処理を実行する。なお、ステップＳ６０５からステップＳ６０９の処理は、図２２に示すフローチャートのステップＳ３０２からステップＳ３０６の処理と同様の処理である。

図２６は、送信スレッド３０３による送信処理の別の手順を示すフローチャートである。図２６のフローチャートは、不正ノードから監視ユニット１０１宛のＡＲＰ要求パケットが送信された場合の送信処理を示す。

まず、送信スレッド３０３は、送信リストの先頭のエントリを読み出す（ステップＳ７０１）。次に、送信スレッド３０３は、読み出したエントリに基づく偽装ＡＲＰ要求パケットが既に送信されたかどうかを判定する（ステップＳ７０２）。すなわち、読み出したエントリに含まれるリクエスト送信フラグが“True”である場合、送信スレッド３０３は、偽装ＡＲＰ要求パケットが送信済みであると判定する。一方、読み出したエントリに含まれるリクエスト送信フラグが“False”である場合、送信スレッド３０３は、偽装ＡＲＰ要求パケットが未送信であると判定する。

偽装ＡＲＰ要求パケットが送信されていない場合（ステップＳ７０２のＮＯ）、送信スレッド３０３は、読み出したエントリが生成された際のＡＲＰ要求パケットが監視ユニット１０１宛のパケットであるかどうかを判定する（ステップＳ７０３）。つまり、送信スレッド３０３は、読み出したエントリに含まれる宛先ＩＰアドレスが、監視ユニット１０１のＩＰアドレスと同じかどうかを判定する。

読み出したエントリが生成された際のＡＲＰ要求パケットが監視ユニット１０１宛のパケットでない場合（ステップＳ７０３のＮＯ）、送信スレッド３０３は、不正ノードのアクセス先のノードへ、偽装ＡＲＰ要求パケットを送信する（ステップＳ７０４）。

ステップＳ７０４の処理を行った後、又は読み出したエントリが生成された際のＡＲＰ要求パケットが監視ユニット１０１宛のパケットである場合（ステップＳ７０３のＹＥＳ）、以降のステップＳ７０５からステップＳ７１０の処理を実行する。なお、ステップＳ７０５からステップＳ７１０の処理は、図２４に示すフローチャートのステップＳ５０４からステップＳ５０９の処理と同様の処理である。

以上説明したように、本実施形態によれば、不正ノードと不正ノードのアクセス先のノードとの間で通信が可能な期間を短縮できる。本実施形態のネットワーク監視装置である監視ユニット１０１は、不正ノードから送信されるＡＲＰ要求パケットを検出した場合、監視ユニット１０１のＡＲＰテーブルを偽装し、不正ノードのアクセス先のノードへ偽装ＡＲＰ要求パケットを送信し、不正ノードへ偽装ＡＲＰ応答パケットを送信することにより、不正ノードと不正ノードのアクセス先のノードとの間の通信を妨害する。監視ユニット１０１は、不正ノードのアクセス先のノードへ偽装ＡＲＰ要求パケットを送信し、不正ノードのアクセス先のノードから偽装ＡＲＰ要求パケットに対するＡＲＰ応答パケットを受信した後、不正ノードへ偽装ＡＲＰ応答パケットを送信することで、不正ノードと不正ノードのアクセス先のノードとの間で通信が可能な期間を短縮することができる。また、上述のように偽装ＡＲＰ要求パケット及び偽装ＡＲＰ応答パケットを送信することで、無駄な待ち時間なく、また、偽装ＡＲＰ応答パケットの再送（リトライ）をすることなく、各ノードのＡＲＰテーブルを偽装することができる。

また本発明は上記実施形態そのままに限定されるものではなく、実施段階ではその要旨を逸脱しない範囲で構成要素を変形して具体化できる。また、上記実施形態に開示されている複数の構成要素の適宜な組み合わせにより、種々の発明を形成できる。例えば、実施形態に示される全構成要素からいくつかの構成要素を削除してもよい。さらに、異なる実施形態にわたる構成要素を適宜組み合わせてもよい。

２０１…ネットワークインタフェース部、２０２…受信部、２０３…通信プロトコル判定部、２０４…不正ＰＣ検出部、２０５…宛先判定部、２０６…ＡＲＰテーブル偽装部、２０７…偽装ＡＲＰリクエスト送信部、２０８…偽装ＡＲＰリプライ送信部、２０９…名前解決パケット送信部、２１０…ＡＲＰテーブル記憶部、２１１…登録済みリスト記憶部、２１２…検出リスト記憶部、２１３…送信リスト記憶部。

Claims (8)

1. 複数のノードが接続されたネットワークを監視するネットワーク監視装置であって、
   アドレス解決プロトコル要求パケットを受信したことに応答して、前記受信したアドレス解決プロトコル要求パケットの送信元物理アドレスに基づいて、前記受信したアドレス解決プロトコル要求パケットの送信元ノードが不正ノードであるかどうかを判定する不正ノード判定手段と、
   前記送信元ノードが不正ノードである場合、前記受信したアドレス解決プロトコル要求パケットの宛先ネットワークアドレスに対応する宛先ノードへ、宛先ネットワークアドレスが前記宛先ノードのネットワークアドレスであり、送信元物理アドレスが前記ネットワーク監視装置の物理アドレスであり、且つ送信元ネットワークアドレスが前記不正ノードのネットワークアドレスである偽装アドレス解決プロトコル要求パケットを送信する偽装アドレス解決プロトコル要求送信手段と、
   前記宛先ノードから前記ネットワーク監視装置にユニキャストされた、前記偽装アドレス解決プロトコル要求パケットに対するアドレス解決プロトコル応答パケットを受信したことに応答して、前記不正ノードへ、送信元物理アドレスが前記宛先ノードの物理アドレス以外の所定の物理アドレスであり、且つ送信元ネットワークアドレスが前記宛先ノードのネットワークアドレスである偽装アドレス解決プロトコル応答パケットを送信する偽装アドレス解決プロトコル応答送信手段とを具備することを特徴とするネットワーク監視装置。
2. 前記偽装アドレス解決プロトコル応答送信手段は、前記宛先ノードから送信された、前記偽装アドレス解決プロトコル要求パケットに対するアドレス解決プロトコル応答パケットを受信したことに応答して、前記不正ノードへ、送信元物理アドレスが前記不正ノードの物理アドレスであり、且つ送信元ネットワークアドレスが前記宛先ノードのネットワークアドレスである偽装アドレス解決プロトコル応答パケットを送信することを特徴とする請求項１記載のネットワーク監視装置。
3. 前記ネットワーク監視装置が保持する、ネットワークアドレスと物理アドレスとの対応を記述したＡＲＰテーブルに、前記不正ノードのネットワークアドレスと前記ネットワーク監視装置の物理アドレスとを対応づけて記述するＡＲＰテーブル偽装手段をさらに具備することを特徴とする請求項１記載のネットワーク監視装置。
4. 前記不正ノード判定手段は、アドレス解決プロトコル要求パケットを受信したことに応答して、前記受信したアドレス解決プロトコル要求パケットの宛先ネットワークアドレスに基づいて、前記受信したアドレス解決プロトコル要求パケットの宛先ノードが不正ノードであるかどうかを判定し、
   前記偽装アドレス解決プロトコル要求送信手段は、前記宛先ノードが不正ノードである場合、前記受信したアドレス解決プロトコル要求パケットの送信元ノードへ、送信元物理アドレスが前記ネットワーク監視装置の物理アドレスであり、且つ送信元ネットワークアドレスが前記不正ノードのネットワークアドレスである偽装アドレス解決プロトコル要求パケットを送信することを特徴とする請求項１記載のネットワーク監視装置。
5. 前記不正ノード判定手段は、アドレス解決プロトコル要求パケットを受信したことに応答して、前記受信したアドレス解決プロトコル要求パケットの宛先ネットワークアドレスに基づいて、前記ネットワーク監視装置が前記アドレス解決プロトコル要求パケットの宛先ノードであるかどうかを判定し、
   前記偽装アドレス解決プロトコル応答送信手段は、前記ネットワーク監視装置が前記宛先ノードである場合、前記不正ノードへ、送信元物理アドレスが前記不正ノードの物理アドレスであり、且つ送信元ネットワークアドレスが前記宛先ノードのネットワークアドレスである偽装アドレス解決プロトコル応答パケットを送信することを特徴とする請求項１記載のネットワーク監視装置。
6. 前記不正ノード判定手段は、前記ネットワーク監視装置がアドレス解決プロトコル要求パケットを送信したことに応答して、前記送信したアドレス解決プロトコル要求パケットの宛先ネットワークアドレスに基づいて、前記アドレス解決プロトコル要求パケットの宛先ノードが不正ノードであるかどうかを判定し、
   前記偽装アドレス解決プロトコル応答送信手段は、前記宛先ノードが不正ノードである場合、前記宛先ノードへ、送信元物理アドレスが前記宛先ノードの物理アドレスであり、且つ送信元ネットワークアドレスが前記ネットワーク監視装置のネットワークアドレスである偽装アドレス解決プロトコル応答パケットを送信することを特徴とする請求項１記載のネットワーク監視装置。
7. 前記不正ノード判定手段は、前記受信したアドレス解決プロトコル要求パケットの送信元ノードが不正ノードであり、且つ前記受信したアドレス解決プロトコル要求パケットがグラチュータスアドレス解決プロトコル要求パケットである場合、前記アドレス解決プロトコル要求パケットを無視することを特徴とする請求項１記載のネットワーク監視装置。
8. 複数のノードが接続されたネットワークを該ネットワーク上に接続されたネットワーク監視装置によって監視するネットワーク監視方法であって、
   アドレス解決プロトコル要求パケットを受信したことに応答して、前記受信したアドレス解決プロトコル要求パケットの送信元物理アドレスに基づいて、前記受信したアドレス解決プロトコル要求パケットの送信元ノードが不正ノードであるかどうかを判定し、
   前記送信元ノードが不正ノードである場合、前記受信したアドレス解決プロトコル要求パケットの宛先ネットワークアドレスに対応する宛先ノードへ、宛先ネットワークアドレスが前記宛先ノードのネットワークアドレスであり、送信元物理アドレスが前記ネットワーク監視装置の物理アドレスであり、且つ送信元ネットワークアドレスが前記不正ノードのネットワークアドレスである偽装アドレス解決プロトコル要求パケットを送信し、
   前記宛先ノードから前記ネットワーク監視装置にユニキャストされた、前記偽装アドレス解決プロトコル要求パケットに対するアドレス解決プロトコル応答パケットを受信したことに応答して、前記不正ノードへ、送信元物理アドレスが前記不正ノードの物理アドレスであり、且つ送信元ネットワークアドレスが前記宛先ノードのネットワークアドレスである偽装アドレス解決プロトコル応答パケットを送信することを特徴とするネットワーク監視方法。

Images