JP2003178024A - 不正アクセス追跡方法、そのプログラム及びそのプログラムが記録された記録媒体 - Google Patents

Abstract

(57)【要約】 【課題】 ＩＰアドレスを詐称して不正アクセスした犯
人のコンピュータのＭＡＣアドレスを取得することがで
きる不正アクセス追跡方法を提供する。 【解決手段】 監視サーバ２でＭＩＢ監視エージェント
１３が、監視対象である管理情報ベース（ＭＩＢ）３１
の更新を検出するとともに、当該更新において記録され
たＩＰアドレスとＭＡＣアドレスのペアを、更新時刻に
対応づけて当該監視エージェント１３の監視ログ１３３
に記録しておき、不正アクセス追跡に際しては、不正ア
クセスの時刻と当該不正アクセスに使用されたＩＰアド
レスとを入力したＭＡＣアドレス追跡エージェント１２
が、監視サーバ２に移動し、当該追跡エージェントが、
監視ログ１３３から、当該不正アクセスの時刻以前でか
つ最後に記録された更新時刻と当該ＩＰアドレスとに対
応づけられたＭＡＣアドレスを取得し、該取得したＭＡ
Ｃアドレスを記録し、ＭＡＣアドレス追跡エージェント
１２が、コンソール４に移動してＭＡＣアドレスを出力
する。

Description

【発明の詳細な説明】

【０００１】

【発明の属する技術分野】本発明は、社内ネットワーク
等で不正アクセスを行った犯人のコンピュータをつきと
める技術に係り、特に、ＩＰアドレスを詐称して不正ア
クセスした犯人のコンピュータのＭＡＣアドレスを取得
することができる不正アクセス追跡方法、そのプログラ
ム及びそのプログラムが記録された記録媒体に関する。

【０００２】

【従来の技術】近年にあっては、サーバへの不正アクセ
スが急増しており、その犯人の追跡の重要性を増してい
る。なお、犯人の追跡とは、犯人の使用したコンピュー
タを特定等することであり、追跡という言葉が便宜的に
使われる。

【０００３】従来は、各種ログから、不正アクセスに使
用されたＩＰアドレスを特定し、そのＩＰアドレスをも
つコンピュータを犯人のものとすることができた。

【０００４】

【発明が解決しようとする課題】しかし、ＩＰアドレス
は詐称が容易であるため、突き止めたＩＰアドレスか
ら、実際のアクセス元コンピュータを必ずしも特定でき
なかった。つまり、ＩＰアドレスは、ＤＨＣＰサーバや
管理者から割り当てられたものが通常正当なものとされ
るが、これをコンピュータの設定変更で詐称することは
容易であり、ＩＰアドレスが衝突しない限り機能的に不
都合は生じない。しかも、ＩＰアドレスからコンピュー
タを特定できないので、不正アクセスの犯人にとっては
都合がよい。

【０００５】ＩＰアドレスの詐称対策としては、セキュ
リティ機能つきのハブが使用される。このハブに、ＩＰ
アドレスとＭＡＣアドレスの組をコンピュータごとに設
定しておけば、この組からはずれたコンピュータからの
アクセス要求を拒否するというフィルタリングを行うこ
とができる。

【０００６】しかしながら、企業といった組織では、社
員の異動に伴いコンピュータを交換することが多くな
り、この場合はハブのセキュリティの再設定が必要にな
るが、その作業が繁雑なため、設定がされないことが多
い。そのため、詐称したＩＰアドレスでの不正アクセス
対策は必ずしも万全ではなかった。

【０００７】そこで、詐称したＩＰアドレスから犯人の
コンピュータのＭＡＣアドレスを得ることができれば、
ハブの問題が解決できるばかりでなく、コンピュータの
ＭＡＣアドレスを変更することは通常不可能であるから
言い逃れができなくなり、しがたって、そのメリットは
非常に大きい。

【０００８】そこで本発明は、上記の従来の課題に鑑み
てなされたものであり、その目的とするところは、ＩＰ
アドレスを詐称して不正アクセスした犯人のコンピュー
タのＭＡＣアドレスを取得することができる不正アクセ
ス追跡方法を提供することにある。

【０００９】

【課題を解決するための手段】上記従来の課題を解決す
るために、請求項１の本発明は、不正アクセスに使用さ
れたＩＰアドレスからアクセス元のコンピュータのＭＡ
Ｃアドレスを入手する不正アクセス追跡方法であって、
監視サーバで監視エージェントが、監視対象である管理
情報ベースの更新を検出するとともに、当該更新におい
て記録されたＩＰアドレスとＭＡＣアドレスのペアを、
更新時刻に対応づけて当該監視エージェントの監視ログ
に記録しておき、不正アクセス追跡に際しては、不正ア
クセスの時刻と当該不正アクセスに使用されたＩＰアド
レスとを入力した追跡エージェントが、前記監視サーバ
に移動し、当該追跡エージェントが、前記監視エージェ
ントの監視ログから、当該不正アクセスの時刻以前でか
つ最後に記録された更新時刻と当該ＩＰアドレスとに対
応づけられたＭＡＣアドレスを取得し、該取得したＭＡ
Ｃアドレスを当該追跡エージェントの追跡ログに記録
し、当該追跡エージェントが、予め定められたコンピュ
ータに移動して当該ＭＡＣアドレスの記録された追跡ロ
グを出力することを特徴とする不正アクセス追跡方法を
もって解決手段とする。

【００１０】請求項１の本発明によれば、不正アクセス
に使用されたＩＰアドレスからアクセス元のコンピュー
タのＭＡＣアドレスを入手するために、監視サーバで監
視エージェントが、監視対象である管理情報ベースの更
新を検出するとともに、当該更新において記録されたＩ
ＰアドレスとＭＡＣアドレスのペアを、更新時刻に対応
づけて当該監視エージェントの監視ログに記録してお
き、不正アクセス追跡に際しては、不正アクセスの時刻
と当該不正アクセスに使用されたＩＰアドレスとを入力
した追跡エージェントが、前記監視サーバに移動し、当
該追跡エージェントが、前記監視エージェントの監視ロ
グから、当該不正アクセスの時刻以前でかつ最後に記録
された更新時刻と当該ＩＰアドレスとに対応づけられた
ＭＡＣアドレスを取得し、該取得したＭＡＣアドレスを
当該追跡エージェントの追跡ログに記録し、当該追跡エ
ージェントが、予め定められたコンピュータに移動して
当該ＭＡＣアドレスの記録された追跡ログを出力するの
で、ＩＰアドレスを詐称して不正アクセスした犯人のコ
ンピュータのＭＡＣアドレスを取得することができる。

【００１１】請求項２の本発明は、不正アクセスに使用
されたＩＰアドレスからアクセス元のコンピュータのＭ
ＡＣアドレスを入手する不正アクセス追跡方法であっ
て、複数の監視サーバのそれぞれで監視エージェント
が、監視対象である管理情報ベースの更新を検出すると
ともに、当該更新において記録されたＩＰアドレスとＭ
ＡＣアドレスのペアを、更新時刻に対応づけて当該監視
エージェントの監視ログに記録しておき、不正アクセス
追跡に際しては、不正アクセスの時刻と当該不正アクセ
スに使用されたＩＰアドレスとを入力した追跡エージェ
ントが、前記複数の監視サーバのそれぞれのＩＰアドレ
スと当該各監視サーバに割り当てられたネットワークセ
グメントのアドレスとを対応づけたテーブルから、当該
不正アクセスに使用されたＩＰアドレスを含むセグメン
トのアドレスに対応する監視サーバのＩＰアドレスを求
め、当該追跡エージェントが、当該求めたＩＰアドレス
をもつ監視サーバに移動し、該監視サーバにおける監視
エージェントの監視ログから、当該不正アクセスの時刻
以前でかつ最後に記録された更新時刻と当該ＩＰアドレ
スとに対応づけられたＭＡＣアドレスを取得し、該取得
したＭＡＣアドレスを当該追跡エージェントの追跡ログ
に記録し、当該追跡エージェントが、予め定められたコ
ンピュータに移動し当該ＭＡＣアドレスの記録された追
跡ログを出力することを特徴とする不正アクセス追跡方
法をもって解決手段とする。

【００１２】請求項２の本発明によれば、不正アクセス
に使用されたＩＰアドレスからアクセス元のコンピュー
タのＭＡＣアドレスを入手するために、複数の監視サー
バのそれぞれで監視エージェントが、監視対象である管
理情報ベースの更新を検出するとともに、当該更新にお
いて記録されたＩＰアドレスとＭＡＣアドレスのペア
を、更新時刻に対応づけて当該監視エージェントの監視
ログに記録しておき、不正アクセス追跡に際しては、不
正アクセスの時刻と当該不正アクセスに使用されたＩＰ
アドレスとを入力した追跡エージェントが、前記複数の
監視サーバのそれぞれのＩＰアドレスと当該各監視サー
バに割り当てられたネットワークセグメントのアドレス
とを対応づけたテーブルから、当該不正アクセスに使用
されたＩＰアドレスを含むセグメントのアドレスに対応
する監視サーバのＩＰアドレスを求め、当該追跡エージ
ェントが、当該求めたＩＰアドレスをもつ監視サーバに
移動し、該監視サーバにおける監視エージェントの監視
ログから、当該不正アクセスの時刻以前でかつ最後に記
録された更新時刻と当該ＩＰアドレスとに対応づけられ
たＭＡＣアドレスを取得し、該取得したＭＡＣアドレス
を当該追跡エージェントの追跡ログに記録し、当該追跡
エージェントが、予め定められたコンピュータに移動し
当該ＭＡＣアドレスの記録された追跡ログを出力するの
で、ＩＰアドレスを詐称して不正アクセスした犯人のコ
ンピュータのＭＡＣアドレスを取得することができる。

【００１３】請求項３の本発明は、前記監視エージェン
トまたは追跡エージェントをコンピュータで動作させる
プログラムである不正アクセス追跡プログラムをもって
解決手段とする。

【００１４】請求項４の本発明は、前記監視エージェン
トまたは追跡エージェントをコンピュータで動作させる
プログラムである不正アクセス追跡プログラムが記録さ
れた記録媒体をもって解決手段とする。

【００１５】請求項３または４の本発明にあっては、監
視エージェントまたは追跡エージェントをコンピュータ
で動作させるプログラムである不正アクセス追跡プログ
ラムを半導体メモリ、磁気ディスク、光ディスク、光磁
気ディスク、磁気テープなどのコンピュータ読み取り可
能な記録媒体に記録したり、インターネットなどの通信
網を介して伝送させて、広く流通させることができるよ
うにしている。

【００１６】

【発明の実施の形態】以下、本発明の実施の形態を図面
を参照して説明する。図１は、本発明の不正アクセス追
跡方法を実施するためのネットワークの構成の一例を示
す図である。図１に示すように、例えば企業内のイント
ラネットにおいて、ウェブサーバ１と、監視目的で使用
される監視サーバ２と、ルータ３と、ネットワーク管理
者のコンピュータであるコンソール４とがＬＡＮ回線で
接続等されている。また、ネットワークには、サーバへ
の攻撃に使用とする犯人のコンピュータ５が接続されて
いる。なお、コンピュータ５はどのセグメントに属して
いても問題はない。ウェブサーバ１は、例えば、社員へ
の情報提供を行っており、犯人にとっては攻撃対象であ
る。なお、犯人のコンピュータ５以外のコンピュータに
ついては図示省略している。

【００１７】各ルータ３、ウェブサーバ１はそれぞれ、
ＭＩＢ（管理情報ベース）３１を有している。これら各
ルータ３等は、ＩＰパケットが到着したときに、そのＩ
ＰアドレスとＭＡＣアドレス（物理アドレス）のペア
（以下、アドレスペアまたはペアという）を、自分のＭ
ＩＢ３１に書き込む。また、書き込み済みのＩＰアドレ
スを含むペアが到着したときは、そのペアで書き込み済
みのＩＰアドレスを含むペアを上書き更新する。

【００１８】監視サーバ２、コンソール４は、それぞ
れ、エージェントを動作させるためのプラットフォーム
（基本プログラム）であるエージェント受容体１１を動
作させている。

【００１９】監視サーバ２にあっては、エージェント受
容体１１がＭＩＢ監視エージェント１３を動作させてい
る。ＭＩＢ監視エージェント１３は、監視対象として割
り当てられたＭＩＢ３１を監視し、アドレスペアの更新
があったときは、そのペアを取得し、更新時刻に対応づ
けて、自分の監視ログに記録するようになっている。図
１の左のＭＩＢ監視エージェント１３のように、監視対
象は複数のＭＩＢ３１であってもよい。また、複数のＭ
ＩＢ監視エージェント１３が１つのＭＩＢ３１を監視し
てもよい。

【００２０】また、コンソール４にあっては、エージェ
ント受容体１１がＭＡＣアドレス追跡エージェント１２
を待機させている。そして、エージェント受容体１１が
動作する監視サーバ２、コンソール４の間ではＭＡＣア
ドレス追跡エージェント１２が移動することができ、Ｍ
ＡＣアドレス追跡エージェント１２は、不正アクセスの
時刻と使用されたＩＰアドレスが入力されると、監視サ
ーバ２へと移動し、犯人のコンピュータのＭＡＣアドレ
スを入手し、そのＭＡＣアドレスをコンソール４に戻っ
てから報告するようになっている。

【００２１】図２は、監視サーバ２とコンソール４の構
成を示す図である。

【００２２】監視サーバ２には、エージェント受容体１
１とＭＩＢ監視エージェント１３が動作している。ＭＩ
Ｂ監視エージェント１３は、ＭＩＢ監視機能１３１とア
ドレスペア記録機能１３２と監視ログ１３３を備えてい
る。ＭＩＢ監視機能１３１は、監視対象のＭＩＢ３１の
更新を監視し、更新で新たに記録されたペアを取得する
機能である。アドレスペア記録機能１３２は、取得した
ペアを更新時刻に対応づけて監視ログ１３３に記録する
機能である。

【００２３】コンソール４には、エージェント受容体１
１が動作しており、ＭＡＣアドレス追跡エージェント１
２が待機している。ＭＡＣアドレス追跡エージェント１
２は、情報入力機能１２１と、テーブル検索機能１２２
と、サーバ移動機能１２３と、ＭＡＣアドレス検索機能
１２４と、追跡ログ出力機能１２５と、追跡ログ１２６
とを備えている。

【００２４】情報入力機能１２１は、不正アクセスの時
刻と使用されたＩＰアドレスを入力して追跡ログ１２６
に記録する機能である。テーブル検索機能１２２は、後
述する監視エージェント管理テーブル４１から監視サー
バ２のＩＰアドレスを検索する機能である。サーバ移動
機能１２３は、エージェント自身がコンソール４と監視
サーバ２の間を移動する機能である。ＭＡＣアドレス検
索機能１２４は、移動先の監視サーバ２で監視ログ１３
３からＭＡＣアドレスを検索して追跡ログ１２６に記録
する機能である。追跡ログ出力機能１２５は、追跡ログ
１２６をコンソール４の表示装置等に表示する機能であ
る。

【００２５】また、コンソール４は、各監視サーバ２の
アドレスが記録された監視エージェント管理テーブル４
１を備えている。

【００２６】図３は、監視エージェント管理テーブル４
１を示す図である。監視エージェント管理テーブル４１
は、ネットワークセグメントのネットワークアドレスＮ
Ａと、そのネットワークセグメントを割り当てられた監
視サーバ２のＩＰアドレスとが対応づけて記録される。
ネットワークアドレスＮＡは、実際には、サブネットア
ドレスとサブネットマスクなどによって表現される。

【００２７】次に、本実施の形態の作用を説明する。図
４は、本実施の形態における不正アクセスとＭＡＣアド
レス入手の様子を示すシーケンス図である。図５は、不
正アクセスの課程でのＭＩＢ３１の更新の様子を示す図
である。図６は、監視ログ１３３に記録される内容を示
す図である。ここで、犯人のコンピュータ５のＭＡＣア
ドレスを「ＸＸ：ＸＸ：ＸＸ：ＸＸ：ＸＸ：０１」と
し、正規のＩＰアドレスを「１９２．１６８．１１．１
０１」として説明する。なお、図１のネットワーク構成
では、コンピュータ５からウェブサーバ１へのアクセス
は、２つのルータ３を介してなされるが、コンピュータ
５が属するネットワークセグメントを担当する図１右の
ルータ３を例として説明する。なお、時刻については便
宜的に例示する。

【００２８】まず、犯人がコンピュータ５から、正規の
ＩＰアドレス「１９２．１６８．１１．１０１」を使用
して、ウェブサーバ１へ１０時にアクセスする（ステッ
プＳ１）と、ルータ３は、図５（ａ）に示すように、そ
の正規のＩＰアドレスと、コンピュータ５のＭＡＣアド
レス「ＸＸ：ＸＸ：ＸＸ：ＸＸ：ＸＸ：０１」のペア
を、自分のＭＩＢ３１（以下単にＭＩＢ３１という）に
記録する（ステップＳ３）。すると、図１の右の監視サ
ーバ２（以下、単に監視サーバ２という）で動作するＭ
ＩＢ監視エージェント１３（以下、単にＭＩＢ監視エー
ジェント１３という）が、図６に示すように、ＭＩＢ監
視機能１３１により、ＭＩＢ３１からこのアドレスペア
を取得し、これをアドレスペア記録機能１３２により、
更新時刻「１０時」に対応づけて監視ログ１３３に記録
する（ステップＳ５）。なお、この更新時刻は、ネット
ワークの遅延時間を無視できれば、アドレスペアの取得
時刻で代用することができ、以下においても同様であ
る。

【００２９】そして、コンピュータ５において、正規の
ＩＰアドレスが不正なＩＰアドレス「１９２．１６８．
１１．１０４」に書き換えられ（ステップＳ７）、１１
時にウェブサーバ１へのアクセスがなされる（ステップ
Ｓ９）と、ルータ３は、図５（ｂ）に示すように、不正
なＩＰアドレスとＭＡＣアドレス「ＸＸ：ＸＸ：ＸＸ：
ＸＸ：ＸＸ：０１」のペアで、正規のＩＰアドレスを含
むペアを更新する（ステップＳ１１）。すると、ＭＩＢ
監視エージェント１３が、図６に示すように、更新され
たアドレスペアを取得し、これを更新時刻「１１時」に
対応づけて監視ログ１３３に記録する（ステップＳ１
３）。

【００３０】なおルータ３は、これ以降の不正アクセス
のときはＭＩＢ３１の更新を行わない。したがってＭＩ
Ｂ３１の内容は、図５（ｂ）のままである。

【００３１】そして、コンピュータ５において、不正な
ＩＰアドレスが正規のＩＰアドレス「１９２．１６８．
１１．１０１」に戻され（ステップＳ１５）、そして１
２時にウェブサーバ１へのアクセスがなされる（ステッ
プＳ１７）と、ルータ３は、図５（ｃ）に示すように、
その正規のＩＰアドレスを含むペアで、不正なＩＰアド
レスを含むペアを更新する（ステップＳ１９）。する
と、ＭＩＢ監視エージェント１３が、図６に示すよう
に、更新されたアドレスペアを取得し、これを更新時刻
「１２時」に対応づけて監視ログ１３３に記録する（ス
テップＳ２１）。

【００３２】ここで、ステップＳ９からステップＳ１７
までの間に、犯人のコンピュータ５からなされた不正ア
クセスによりウェブサーバ１が被害を受けたこととす
る。そして、所定の追跡処理が行われた結果、不正アク
セスに使用されたＩＰアドレス「１９２．１６８．１
１．１０４」と不正アクセスの時刻「１１時１０分」が
得られ、これがコンソール４からＭＡＣアドレス追跡エ
ージェント１２に入力されたこととする（ステップＳ３
１）。

【００３３】ＭＡＣアドレス追跡エージェント１２は、
情報入力機能１２１により、このＩＰアドレスと不正ア
クセスの時刻を追跡ログ１２６に記録した上で、テーブ
ル検索機能１２２により監視エージェント管理テーブル
４１を検索して、移動先となる監視サーバ２のＩＰアド
レスを求める（ステップＳ３３）。つまり、監視エージ
ェント管理テーブル４１を参照して、ＩＰアドレス「１
９２．１６８．１１．１０４」を含むネットワークセグ
メントのネットワークアドレスを求め、これに対応する
監視サーバ２のＩＰアドレスを求めるのである。

【００３４】そして、ＭＡＣアドレス追跡エージェント
１２は、サーバ移動機能１２３により、監視サーバ２へ
移動する（ステップＳ３５）。続いて、ＭＡＣアドレス
追跡エージェント１２は、ＭＡＣアドレス検索機能１２
４により、監視ログ１３３を参照して、犯人のコンピュ
ータ５のＭＡＣアドレスを検索する（ステップＳ３
７）。つまり、ＭＡＣアドレス追跡エージェント１２
は、まず、監視ログ１３３から、不正アクセスの時刻
「１１時１０分」以前でかつ、最後に記録された更新時
刻を求める。ここでは、更新時刻「１１時」が求まる。
そして、その更新時刻と不正アクセスに使用されたＩＰ
アドレス、つまり「１９２．１６８．１１．１０４」と
に対応づけられたＭＡＣアドレス「ＸＸ：ＸＸ：ＸＸ：
ＸＸ：ＸＸ：０１」を取得し、得られたＭＡＣアドレス
を追跡ログ１２６に記録する。

【００３５】そしてＭＡＣアドレス追跡エージェント１
２は、コンソール４へと戻り（ステップＳ３９）、最後
に、不正なＩＰアドレス「１９２．１６８．１１．１０
４」、不正アクセスの時刻「１１時１０分」及びＭＡＣ
アドレス「ＸＸ：ＸＸ：ＸＸ：ＸＸ：ＸＸ：０１」を含
んだ追跡ログ１２６を表示装置等に出力する（ステップ
Ｓ４１）。なお、例えば監視サーバ２やエージェント受
容体１１が障害などで動作していない場合には、ＭＡＣ
アドレスが入手できないが、その場合であっても、ＭＡ
Ｃアドレス追跡エージェント１２は追跡不可であること
を示す追跡ログ１２６を出力する。

【００３６】さて、上記実施例では、入力された不正Ｉ
Ｐアドレスに対し、監視サーバ２のＩＰアドレスが１つ
求まるとして説明したが、図１の左のＭＩＢ監視エージ
ェント１３のように、複数のＭＩＢ３１を監視対象とし
ている場合は、これら複数のＭＩＢ３１で更新されたア
ドレスペアと不正アクセスの時刻とが、１つの監視ログ
１３３に記録されるので、一方のＭＩＢ３１にしか不正
の記録が残らない不正アクセスの場合であっても、他方
のＭＩＢ３１から生成した監視ログ１３３から、犯人の
コンピュータのＭＡＣアドレスを入手することができ
る。

【００３７】また、複数のＭＩＢ監視エージェント１３
が１つのＭＩＢ３１を監視している場合は、上記と異な
るＭＡＣアドレスの入手方法を実施することができる。
以下に相違点を説明する。

【００３８】まず、ＭＡＣアドレス追跡エージェント１
２が、これら複数のＭＩＢ監視エージェント１３のいる
監視サーバ２を巡回することができる。つまり、ステッ
プＳ３３の検索処理では、複数の監視サーバ２のＩＰア
ドレスが求まるので、それら監視サーバ２で、ステップ
Ｓ３７のようにＭＡＣアドレスを検索しながら巡回を行
い、最後にコンソール４へと戻ればよい。

【００３９】また、複数のＭＡＣアドレス追跡エージェ
ント１２をコンソール４で動作させておき、各ＭＡＣア
ドレス追跡エージェント１２が、複数の監視サーバ２の
それぞれに移動してＭＡＣアドレスを入手するようにも
できる。かかる処理によれば、いずれかのＭＡＣアドレ
ス追跡エージェント１２が、ネットワークの途中で処理
不能となっても、処理可能な他のＭＡＣアドレス追跡エ
ージェント１２により犯人のコンピュータのＭＡＣアド
レスを入手することができる。

【００４０】また、上記実施例では、ＭＡＣアドレス追
跡エージェント１２が、コンソール４へ戻るようにした
が、他のコンピュータを戻る場所として設定しておい
て、ＭＡＣアドレスを取得したら、そのコンピュータへ
戻り報告を行うようにしてもよい。

【００４１】以上説明したように、本実施例の不正アク
セス追跡方法によれば、不正アクセスに使用されたＩＰ
アドレスからアクセス元のコンピュータのＭＡＣアドレ
スを入手するために、複数の監視サーバのそれぞれでＭ
ＩＢ監視エージェント１３が、監視対象である管理情報
ベース（ＭＩＢ）の更新を検出するとともに、当該更新
において記録されたＩＰアドレスとＭＡＣアドレスのペ
アを、更新時刻に対応づけて当該監視エージェントの監
視ログに記録しておき、不正アクセス追跡に際しては、
不正アクセスの時刻と当該不正アクセスに使用されたＩ
Ｐアドレスとを入力した追跡エージェントが、複数の監
視サーバのそれぞれのＩＰアドレスと当該各監視サーバ
に割り当てられたネットワークセグメントのアドレスと
を対応づけた監視エージェント管理テーブル４１から、
当該不正アクセスに使用されたＩＰアドレスを含むセグ
メントのアドレスに対応する監視サーバのＩＰアドレス
を求め、当該追跡エージェントが、当該求めたＩＰアド
レスをもつ監視サーバに移動し、該監視サーバにおける
監視エージェントの監視ログから、当該不正アクセスの
時刻以前でかつ最後に記録された更新時刻と当該ＩＰア
ドレスとに対応づけられたＭＡＣアドレスを取得し、該
取得したＭＡＣアドレスを当該追跡エージェントの追跡
ログに記録し、当該追跡エージェントが、予め定められ
たコンソール４に移動し当該ＭＡＣアドレスの記録され
た追跡ログを出力するので、ＩＰアドレスを詐称して不
正アクセスした犯人のコンピュータのＭＡＣアドレスを
取得することができる。

【００４２】なお、上記説明したエージェント受容体１
１、ＭＡＣアドレス追跡エージェント１２、ＭＩＢ監視
エージェント１３をコンピュータで動作させるためのプ
ログラムは、半導体メモリ、磁気ディスク、光ディス
ク、光磁気ディスク、磁気テープなどのコンピュータ読
み取り可能な記録媒体に記録したり、インターネットな
どの通信網を介して伝送させて、広く流通させることが
できる。

【００４３】また、上記実施例では、不正アクセスの対
象を１つのウェブサーバとして、このサーバに対する３
回のアクセスを例に説明したが、ＦＴＰサーバやＴＥＬ
ＮＥＴサーバなどの他の種類のサーバが不正アクセスの
対象であっても、または、各回のアクセス対象が異なっ
ても、同様の作用効果を得ることができる。

【００４４】

【発明の効果】以上説明したように、本発明によれば、
ＩＰアドレスからＭＡＣアドレスを取得することができ
るので、ＩＰアドレスを詐称して不正アクセスした犯人
のコンピュータを特定することができる。

【図面の簡単な説明】

【図１】本発明の不正アクセス追跡方法を実施するため
のネットワークの構成の一例を示す図である。

【図２】監視サーバ２とコンソール４の構成を示す図で
ある。

【図３】監視エージェント管理テーブル４１を示す図で
ある。

【図４】不正アクセスとＭＡＣアドレス入手の様子を示
すシーケンス図である。

【図５】不正アクセスの課程でのＭＩＢ３１の更新の様
子を示す図である。

【図６】監視ログ１３３に記録される内容を示す図であ
る。

【符号の説明】

１ ウェブサーバ ２ 監視サーバ ３ ルータ ４ 管理者のコンピュータ ５ 犯人のコンピュータ １１ エージェント受容体 １２ ＭＡＣアドレス追跡エージェント １３ ＭＩＢ監視エージェント

Claims (4)

【特許請求の範囲】
1. 【請求項１】 不正アクセスに使用されたＩＰアドレス
   からアクセス元のコンピュータのＭＡＣアドレスを入手
   する不正アクセス追跡方法であって、 監視サーバで監視エージェントが、監視対象である管理
   情報ベースの更新を検出するとともに、当該更新におい
   て記録されたＩＰアドレスとＭＡＣアドレスのペアを、
   更新時刻に対応づけて当該監視エージェントの監視ログ
   に記録しておき、 不正アクセス追跡に際しては、 不正アクセスの時刻と当該不正アクセスに使用されたＩ
   Ｐアドレスとを入力した追跡エージェントが、前記監視
   サーバに移動し、 当該追跡エージェントが、前記監視エージェントの監視
   ログから、当該不正アクセスの時刻以前でかつ最後に記
   録された更新時刻と当該ＩＰアドレスとに対応づけられ
   たＭＡＣアドレスを取得し、該取得したＭＡＣアドレス
   を当該追跡エージェントの追跡ログに記録し、 当該追跡エージェントが、予め定められたコンピュータ
   に移動して当該ＭＡＣアドレスの記録された追跡ログを
   出力することを特徴とする不正アクセス追跡方法。
2. 【請求項２】 不正アクセスに使用されたＩＰアドレス
   からアクセス元のコンピュータのＭＡＣアドレスを入手
   する不正アクセス追跡方法であって、 複数の監視サーバのそれぞれで監視エージェントが、監
   視対象である管理情報ベースの更新を検出するととも
   に、当該更新において記録されたＩＰアドレスとＭＡＣ
   アドレスのペアを、更新時刻に対応づけて当該監視エー
   ジェントの監視ログに記録しておき、 不正アクセス追跡に際しては、 不正アクセスの時刻と当該不正アクセスに使用されたＩ
   Ｐアドレスとを入力した追跡エージェントが、前記複数
   の監視サーバのそれぞれのＩＰアドレスと当該各監視サ
   ーバに割り当てられたネットワークセグメントのアドレ
   スとを対応づけたテーブルから、当該不正アクセスに使
   用されたＩＰアドレスを含むセグメントのアドレスに対
   応する監視サーバのＩＰアドレスを求め、 当該追跡エージェントが、当該求めたＩＰアドレスをも
   つ監視サーバに移動し、該監視サーバにおける監視エー
   ジェントの監視ログから、当該不正アクセスの時刻以前
   でかつ最後に記録された更新時刻と当該ＩＰアドレスと
   に対応づけられたＭＡＣアドレスを取得し、該取得した
   ＭＡＣアドレスを当該追跡エージェントの追跡ログに記
   録し、 当該追跡エージェントが、予め定められたコンピュータ
   に移動し当該ＭＡＣアドレスの記録された追跡ログを出
   力することを特徴とする不正アクセス追跡方法。
3. 【請求項３】 前記監視エージェントまたは追跡エージ
   ェントをコンピュータで動作させるプログラムである不
   正アクセス追跡プログラム。
4. 【請求項４】 前記監視エージェントまたは追跡エージ
   ェントをコンピュータで動作させるプログラムである不
   正アクセス追跡プログラムが記録された記録媒体。