アクセスレベル保安装置及び保安システム
アクセスレベルでの保安装置及び保安システムが開示される。アクセスレベルでの保安遮断装置は、多層分析部と、プロセッサと、を備える。多層分析部は、スイッチファブリックを通じて入力されるパケットデータのヘッダを統計的方法で分析し、その分析結果を出力する。プロセッサは、多層分析部の分析結果に応答して、パケットデータを遮断するか否かを決定する１次保安ルールフィルターを生成し、１次保安ルールフィルターに基づいて、スイッチファブリックを制御する遮断命令を出力し、パケットデータを伝送するＩＰアドレスを確認して外部に出力し、遮断するＩＰ情報を有するＩＰ管理命令に応答して、遮断命令を出力する。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、アクセスレベルでのネットワーク保安装置及び保安システムに係り、より詳細には、インターネットを通じてアクセスされるものではない、ノート型パソコン、パーソナルコンピュータ等におけるアクセスレベルでのパケットデータの特性と類型とをリアルタイムで統計的に分析して有害トラフィックを遮断し、またネットワークを通じて接続された多様なユーザのＩＰ（インターネットプロトコル）を管理することができるアクセスレベル保安装置及びそれを含む保安システムに関する。
【背景技術】
【０００２】
現代社会は、インターネットの発達につれて、いつでもどこでもインターネットを通じて多様なウイルスにさらされている。特に、有線ネットワークを構築して使う会社、学校、団体など、多様な組職では、一つのネットワークウイルスがネットワーク全体を一瞬に無力化し、これによる被害は、有害ウイルスの発見、遮断、そして、ネットワークが正常に復旧されるまでインターネットだけではなく、内部ネットワークを使えないという致命的で長期間の被害を与える結果をもたらす。
【０００３】
最近、ウイルスは、ネットワークが発達する以前のウイルスと異なって、一つのコンピュータを無力化させることよりはネットワーク全体を占領して複数台のコンピュータを無力化させることが特徴である。したがって、このようなネットワークウイルスの危険、脅威、事故などを遮断、対応、予防するための多様なネットワーク保安装置が登場しており、多くのネットワーク管理者及びネットワークサービス提供者は、このようなネットワーク保安装置の導入を積極的に検討している状況である。
【０００４】
図１は、保安機能を含む一般的なネットワーク構成を説明するブロック図である。
図１を参照すると、保安機能を含む一般的なネットワークは、インターネット１０と端末機５０との間にルーター２０、防火壁３０、バックボーンスイッチ４０を備える。防火壁（ファイアーウォール）３０によってインターネット１０を通じて流入されるデータのうち、有害なデータがフィルタリングされる。
【０００５】
このように、一般的なネットワーク保安装置は、インターネットと接続されるゲートウェイで外部からの侵入を探知し及び遮断する。すなわち、図１で、インターネット１０とルーター３０とを通じて侵入する有害データの遮断に集中している。
【０００６】
このようなネットワーク保安装置は、インターネットのような外部ネットワークから内部ネットワーク資源を保護することができるが、内部ユーザあるいは訪問者が移動型保存装置（例えば、フラッシュメモリ、ノート型パソコン）などを用いて端末機５０にアクセスしネットワークにアクセスしてウイルスを伝播させる場合には、このようなアクセスを効率的に阻むことができない。
【０００７】
また、既存に知られたウイルスではない新種または変種ウイルスが端末機５０から侵入したら、既存の保安装置は、新種または変種ウイルスの形態を把握できる資料がないために、ネットワーク全体の保安が脆弱になるという問題がある。
【発明の概要】
【発明が解決しようとする課題】
【０００８】
本発明が解決しようとする技術的課題は、内部ユーザあるいは訪問者のコンピュータなどが接続されるアクセスレベルでの有害トラフィックをリアルタイムで分析及び遮断し、アクセスレベルでのＩＰの効率的な管理が可能なアクセスレベル保安装置を提供することである。
【０００９】
本発明が解決しようとする他の技術的課題は、内部ユーザあるいは訪問者のコンピュータなどが接続されるアクセスレベルでの有害トラフィックをリアルタイムで分析及び遮断し、アクセスレベルでのＩＰの効率的な管理が可能なアクセスレベル保安システムを提供することである。
【課題を解決するための手段】
【００１０】
前記技術的課題を解決するための本発明の一側面によるアクセスレベル保安装置は、多層分析部と、プロセッサと、を備える。
【００１１】
多層分析部は、スイッチファブリックを通じて入力されるパケットデータのヘッダを統計的方法で分析し、その分析結果を出力する。
【００１２】
プロセッサは、前記多層分析部の分析結果に応答して、前記パケットデータを遮断するか否かを決定する１次保安ルールフィルターを生成し、前記１次保安ルールフィルターに基づいて、前記スイッチファブリックを制御する遮断命令を出力し、前記パケットデータを伝送するＩＰ（Ｉｎｔｅｒｎｅｔ Ｐｒｏｔｏｃｏｌ）アドレスを確認して外部に出力し、遮断するＩＰ情報を有するＩＰ管理命令に応答して、前記遮断命令を出力する。
前記多層分析部は、前記パケットデータのヘッダを第４レイヤレベルＬ４まで分析することができる。前記統計的方法では、入力されるパケットデータごとに、前記パケットデータのヘッダのソースアドレス（ｓｏｕｒｃｅ ａｄｄｒｅｓｓ）、プロトコル（ｐｒｏｔｏｃｏｌ）タイプ、ソースＩＰ、デスティネーションＩＰ、ソースサービスポート（ｓｏｕｒｃｅ ｓｅｒｖｉｃｅ ｐｏｒｔ）、デスティネーションサービスポート（ｄｅｓｔｉｎａｔｉｏｎ ｓｅｒｖｉｃｅ ｐｏｒｔ）を分析し続けて、その分布パターンを用いてネットワークトラフィックの特徴を確認することができる。前記多層分析部は、ＡＳＩＣ（Ａｐｐｌｉｃａｔｉｏｎ Ｓｐｅｃｉｆｉｃ Ｉｎｔｅｇｒａｔｅｄ Ｃｉｒｃｕｉｔ）で形成されうる。
【００１３】
前記プロセッサは、前記１次保安ルールフィルターを参照し、パケットの流入時間、パケットの量（ｐａｃｋｅｔ ｑｕａｎｔｉｔｙ）及びパケットの連続性（ｐａｃｋｅｔ ｃｏｎｔｉｎｕｉｔｙ）を分析して、前記パケットデータを遮断するか否かを決定する２次保安ルールフィルターを生成し、前記２次保安ルールフィルターに基づいて、前記遮断命令を出力することができる。
【００１４】
アクセスレベル保安装置は、前記１次保安ルールフィルターと前記２次保安ルールフィルターとから生成されたログファイルを受信して保存するメモリをさらに備えうる。
【００１５】
前記スイッチファブリックは、前記１次保安ルールフィルター、２次保安ルールフィルター及び前記ＩＰ管理命令に基づいて発生する、遮断するＩＰを有する前記遮断命令に応答して、前記遮断するＩＰを遮断することができる。
【００１６】
前記プロセッサは、ＡＲＰ（Ａｄｄｒｅｓｓ Ｒｅｓｏｌｕｔｉｏｎ Ｐｒｏｔｏｃｏｌ）トラップを用いて、前記パケットデータを伝送するＩＰアドレスとＭＡＣアドレスとを確認して外部に出力することができる。
【００１７】
前記ＩＰ管理命令は、外部の管理者によって作られたＩＰ管理政策によって遮断及び許容するＩＰアドレスが定めることができる。
【００１８】
前記技術的課題を解決するための本発明の他の側面による保安システムは、アクセスレベル保安装置と、ネットワーク管理部と、を備える。
【００１９】
アクセスレベル保安装置は、入力されるパケットデータのヘッダを統計的方法で分析して有害トラフィックを遮断し、ＩＰ管理ポリシーによって、前記パケットデータを伝送するＩＰアドレスを遮断する。
【００２０】
ネットワーク管理部は、前記ＩＰ管理ポリシーを保存し、前記ＩＰ管理ポリシーに応答して、遮断するＩＰ情報を有するＩＰ管理命令を出力し、前記アクセスレベル保安装置から出力される有害トラフィックについての情報を保存する。
【００２１】
前記アクセスレベル保安装置は、スイッチファブリックを通じて入力される前記パケットデータのヘッダを前記統計的方法で分析し、その分析結果を出力する多層分析部と、前記多層分析部の分析結果に応答して、前記パケットデータを遮断するか否かを決定する１次保安ルールフィルターを生成し、前記１次保安ルールフィルターに基づいて、前記スイッチファブリックを制御する遮断命令を出力し、前記パケットデータを伝送するＩＰアドレスを確認して、前記ネットワーク管理部に出力し、前記ＩＰ管理命令に応答して、前記遮断命令を出力するプロセッサと、を備える。
【００２２】
前記多層分析部は、前記パケットデータのヘッダを第４レイヤレベルＬ４まで分析することができる。前記統計的方法では、入力されるパケットデータごとに、前記パケットデータのヘッダのソースアドレス、プロトコルタイプ、ソースＩＰ、デスティネーションＩＰ、ソースサービスポート、デスティネーションサービスポートを分析し続けて、その分布パターンを用いてネットワークトラフィックの特徴を確認することができる。
【００２３】
前記多層分析部は、ＡＳＩＣ（Ａｐｐｌｉｃａｔｉｏｎ Ｓｐｅｃｉｆｉｃ Ｉｎｔｅｇｒａｔｅｄ Ｃｉｒｃｕｉｔ）で形成されうる。前記プロセッサは、前記１次保安ルールフィルターを参照し、パケットの流入時間、パケットの量及びパケットの連続性を分析して、前記パケットデータを遮断するか否かを決定する２次保安ルールフィルターを生成し、前記２次保安ルールフィルターに基づいて、前記遮断命令を出力することができる。
【００２４】
前記アクセスレベル保安装置は、前記１次保安ルールフィルターと前記２次保安ルールフィルターとから生成されたログファイルを受信して保存するメモリをさらに備えうる。
【００２５】
前記スイッチファブリックは、前記１次保安ルールフィルター、２次保安ルールフィルター及び前記ＩＰ管理命令に基づいて発生する、遮断するＩＰを有する前記遮断命令に応答して、前記遮断するＩＰを遮断することができる。
【００２６】
前記プロセッサは、ＡＲＰ（Ａｄｄｒｅｓｓ Ｒｅｓｏｌｕｔｉｏｎ Ｐｒｏｔｏｃｏｌ）トラップを用いて、前記パケットデータを伝送するＩＰアドレスとＭＡＣアドレスとを確認して、前記ネットワーク管理部に出力することができる。
【００２７】
前記ネットワーク管理部は、前記プロセッサから前記ＩＰアドレスとＭＡＣアドレスとを受信して、前記スイッチファブリックに接続されたポートのデータベースを生成し、前記ＩＰ管理ポリシーに応答して、前記データベースのポートのうち、有害なパケットデータを伝送するポートを遮断するための前記ＩＰ管理命令を出力することができる。前記ＩＰ管理ポリシーは、外部の管理者によって遮断及び許容するＩＰアドレスを定めうる。
【発明の効果】
【００２８】
本発明によれば、ネットワークのアクセスレベルで発生しうる、分かっているあるいは変形された有害トラフィックを、保安装置を含む保安システムを用いて統計的方法で探知及び遮断できる。また、モジュール化された多層分析部を使用することによって、パケットデータを非常に早い時間内に分析及び遮断することができる。
【００２９】
また、管理者が、ネットワークのＩＰをアクセスレベルで効率的に管理し、ネットワーク管理部に伝送されるパケットについての情報を通じて内部ネットワークの細部的な現況をリアルタイムで把握することができる。
【図面の簡単な説明】
【００３０】
【図１】保安機能を含む一般的なネットワーク構成を説明するブロック図である。
【図２】本発明によるアクセスレベル保安装置を含む保安システムを含むネットワーク構成を説明するブロック図である。
【図３】図２の保安システム及びアクセスレベル保安装置の構成を説明するブロック図である。
【図４】X軸をソースＩＰとし、Ｙ軸をソースサービスポートとして入力されるパケットデータを分析した結果を示す図である。
【図５】２次保安ルールフィルターを生成する過程を説明する図である。
【図６】図５に形成された集団が如何なるウイルスパターンに対応するかを説明する表である。
【発明を実施するための形態】
【００３１】
本発明と本発明の動作上の利点及び本発明の実施によって達成される目的を十分に理解するためには、本発明の望ましい実施形態を例示する添付図面及び図面に記載の内容を参照しなければならない。
【００３２】
以下、添付図面を参照して、本発明の望ましい実施形態を説明する。
【００３３】
図２は、本発明によるアクセスレベル装置を含む保安システムを含むネットワーク構成を説明するブロック図である。
【００３４】
図２を参照すると、本発明の実施形態によるアクセスレベルでの有害トラフィック遮断が可能な保安システム２００は、ネットワーク上でバックボーンスイッチ４０と端末機５０との間に設けられる。バックボーンスイッチ４０と端末機５０との間で保安システム２００は、端末機５０側から流入されるパケットデータをリアルタイムで分析して有害データを遮断すると同時に、端末機５０側に接続された複数のＩＰを確認して、ＩＰ管理ポリシーによってＩＰ資源を効率的に管理する。
【００３５】
ここで、端末機５０は、パーソナルコンピュータ、ノート型パソコン、ＵＳＢメモリのように多様な装置のうち一つであり得る。また、アクセスレベルとは、インターネットに接続されるゲートウェイの外部から侵入するものではなく、ネットワーク上で内部ユーザのように端末機５０側に接続されてネットワークに侵入する場合を意味する。バックボーンスイッチ４０の前端の構造は、図１と同一であるので、説明を省略する。
【００３６】
図２には、ネットワークの系統図に一つの保安システム２００のみ示されているが、これは、説明の便宜のためのものであり、保安システム２００は、複数個設けられることがあり、また保安システム２００に接続される端末機も複数個であり得る。
【００３７】
図３は、図２の保安システム及びアクセスレベル保安装置の構成を説明するブロック図である。
【００３８】
以下、図２及び図３を参照して、保安システムの動作が詳しく説明される。
【００３９】
保安システム２００は、アクセスレベル保安装置２１０及びネットワーク管理部２５０を備える。
【００４０】
アクセスレベル保安装置２１０は、入力されるパケットデータのヘッダを統計的方法で分析して有害トラフィックを遮断し、ＩＰ管理ポリシーによって、前記パケットデータを伝送するＩＰアドレスを遮断する。
【００４１】
ネットワーク管理部２５０は、ＩＰ管理ポリシーを保存し、前記ＩＰ管理ポリシーに応答して、遮断するＩＰ情報を有するＩＰ管理命令ＩＰＣＴＲＬを出力し、アクセスレベル保安装置２１０から出力される有害トラフィックについての情報を保存する。
【００４２】
図３を参照して、アクセスレベル保安装置２１０についてさらに説明する。
【００４３】
アクセスレベル保安装置２１０は、スイッチファブリック３０５、多層分析部３１０及びプロセッサ３２０を備える。また、メモリ３３０をさらに備えることができる。
【００４４】
スイッチファブリック３０５は、端末機５０−１、５０−２、５０−ｎがネットワークにアクセスする時、端末機５０−１、５０−２、５０−ｎと接続されるスイッチである。端末機５０−１、５０−２、５０−ｎは、物理プロトコルＰＨＹを通じてスイッチファブリック３０５と接続されるが、図３ではＰＨＹは省略する。スイッチファブリック３０５は、それぞれの端末機５０−１、５０−２、５０−ｎから入力されるパケットデータを遮断することができる。
【００４５】
多層分析部３１０は、スイッチファブリック３０５を通じて入力されるパケットデータのヘッダを統計的方法で分析し、その分析結果を出力する。プロセッサ３２０は、多層分析部３１０の分析結果に応答して、前記パケットデータを遮断するか否かを決定する１次保安ルールフィルターを生成し、前記１次保安ルールフィルターに基づいてスイッチファブリック３０５を制御する遮断命令ＢＬＫを出力する。また、プロセッサ３２０は、パケットデータを伝送するＩＰアドレスを確認してネットワーク管理部２５０に出力し、ＩＰ管理命令ＩＰＣＴＲＬに応答して遮断命令ＢＬＫを出力する。
【００４６】
多層分析部３１０は、スイッチファブリック３０５を通じて入力されるパケットデータをリアルタイムで統計的方法を用いて分析し、その分析結果を出力する。ここで、多層分析部３１０は、ＡＳＩＣ（Ａｐｐｌｉｃａｔｉｏｎ Ｓｐｅｃｉｆｉｃ Ｉｎｔｅｇｒａｔｅｄ Ｃｉｒｃｕｉｔ）で形成される。すなわち、パケットデータを分析する多層分析部３１０は、ハードウェアで作られることで、ソフトウェアを用いてパケットデータを分析するよりは迅速にパケットデータの分析が可能である。
【００４７】
多層分析部３１０は、パケットデータのヘッダを第４レイヤレベルＬ４まで分析する。ここで、多層分析部３１０が利用する統計的方法は、入力されるパケットデータごとに、前記パケットデータのヘッダのソースアドレス、プロトコルタイプ、ソースＩＰ、デスティネーションＩＰ、ソースサービスポート、デスティネーションサービスポートを分析し続けて、その分布パターンを用いてネットワークトラフィックの特徴を確認するというものである。
【００４８】
パケットデータのヘッダの第４レイヤレベルＬ４まで存在する前記要素（ソースアドレス、プロトコルタイプ、ソースＩＰ、デスティネーションＩＰ、ソースサービスポート、デスティネーションサービスポート）をパケットデータごとに抽出し、前記要素のそれぞれの変化を観察して、その変化が正常なパケットデータと類似しているか／異なるかを分析して、その分析結果がプロセッサ３２０に出力される。
【００４９】
プロセッサ３２０は、多層分析部３１０の分析結果に応答して、前記パケットデータを遮断するか否かを決定する１次保安ルールフィルターを生成し、前記１次保安ルールフィルターに基づいてスイッチファブリック３０５を制御する遮断命令ＢＬＫを出力する。
【００５０】
図４は、X軸をソースＩＰとし、Ｙ軸をソースサービスポートとして入力されるパケットデータを分析した結果を示す図である。
【００５１】
図４によって、ネットワークを攻撃するウイルスパターンを確認することができる。ウイルスパターンのうち、ＤｏＳ（Ｄｅｎｉａｌ ｏｆ Ｓｅｒｖｉｃｅ）は、ソースＩＰは固定された状態でソースサービスポートが変化されるパターンを有する。
【００５２】
図４で、ソースＩＰは、固定された状態でソースサービスポートが非常に早く変化される領域４１０を確認し、多層分析部３１０から出力される分析結果から、前記領域４１０に含まれるパケットデータは、有害トラフィックと見なされる。
ウイルスパターンのうち、ＤＤｏＳ（Ｄｉｓｔｒｉｂｕｔｅｄ Ｄｅｎｉａｌ ｏｆ Ｓｅｒｖｉｃｅ）は、ソースＩＰが変化されるか（ｓｐｏｏｆｅｄ）によって二つに分類されうる。変化されるＤＤｏＳは、ソースサービスポートの約９０％以上が変化を見せ、普通のＤＤｏＳは、ソースＩＰの約４０％以上が変化される。
【００５３】
図４で、変化されるＤＤｏＳ領域４２０と普通のＤＤｏＳ領域４３０とを確認し、多層分析部３１０から出力される分析結果から、前記領域４２０、４３０に含まれるパケットデータは、有害トラフィックと見なされる。
【００５４】
ウイルスパターンのうち、Ｗｏｒｍ Ａｔｔａｃｋは、ソースＩＰとソースサービスポートの約８０％以上が変化を見せる。図４で、変化されるＷｏｒｍ Ａｔｔａｃｋ領域４４０を確認し、多層分析部３１０から出力される分析結果から、前記領域４４０に含まれるパケットデータは、有害トラフィックと見なされる。
【００５５】
プロセッサ３２０は、このように有害トラフィックと見なされたパケットデータ要素を使用して、パケットデータを遮断するか否かを決定する１次保安ルールフィルターを生成する。そしてプロセッサ３２０は、１次保安ルールフィルターに基づいて、前記有害トラフィックと見なされたパケットデータ要素を遮断するために、スイッチファブリック３０５に遮断命令ＢＬＫを出力する。遮断命令ＢＬＫは、遮断するＩＰ情報を有している。スイッチファブリック３０５は、遮断命令ＢＬＫに応答して有害なパケットデータ要素が入力されるＩＰポートを遮断する。ＩＰポートの遮断は、プログラムによったものではなく、スイッチファブリック３０５によって有害なＩＰが発見されたポートが直接遮断されるハードウェア的な方法によって行われるので、ソフトウェア的にＩＰポートを遮断するよりは遥かに迅速かつ正確に遮断することができる。
【００５６】
図４には、X軸をソースＩＰとし、Ｙ軸をソースサービスポートとして入力されるパケットデータを分析した結果を示してしているが、入力されるパケットデータを分析した結果を示すためにX軸とY軸とは多様に変形され、プロセッサ３２０は、そのような動作を行う。
【００５７】
前記のように生成された１次保安ルールフィルターは、一般的なウイルスパターンを有するパケットデータの検出に良い性能を見せる。しかし、検出エラー率を低めて変形されたウイルスパターンも検出するために、プロセッサ３２０は１次保安ルールフィルターを参照し、パケットの流入時間、パケットの量及びパケットの連続性を分析して、前記パケットデータを遮断するか否かを決定する２次保安ルールフィルターを生成し、前記２次保安ルールフィルターに基づいて遮断命令ＢＬＫを出力する。
【００５８】
パケットの流入時間は、パケットの量とパケットの連続性とを分析するための基本的なパラメータとして作用する。
【００５９】
図５は、２次保安ルールフィルターを生成する過程を説明する図である。
【００６０】
図６は、図５に形成された集団が如何なるウイルスパターンに対応するかを説明する表である。
【００６１】
図５に示すように、パケットの流入時間、パケットの量及びパケットの連続性を互いに関連づけて３次元軸で表示する時、１次保安ルールフィルターを生成させたパケットデータを分析して、図５に示すような集団が見えるならば、プロセッサ３２０は、集団に属したパケットデータを有害トラフィックと容易に見なすことができる。なぜならば、普通のトラフィックでは、図５に示すような集団が表われないためである。
【００６２】
図６に示されたように、ウイルスパターンのうち、ＤｏＳ（Ｄｅｎｉａｌ ｏｆ Ｓｅｒｖｉｃｅ）は、パケットの流入時間は短く、パケット量は多く、パケットの連続性は非常に高い特徴を有する。ここで、パケットの流入時間の長短、パケット量の多少及びパケットの連続性の高低の基準は、本発明の実施形態による保安システムを設計する設計者によって設計されて、あらかじめ保安システムに設定される。設計基準は、保安システムが適用されるネットワーク環境によって多様に定義されうる。図６に開示された短い、長い、低い、高いの概念は、図５を理解しやすいように表示した一つの説明例である。したがって、このような特徴を有した集団が形成されれば（図５参照）、この集団に属するパケットデータは、ＤｏＳパターンを有するウイルスである可能性が非常に高い。
【００６３】
このように生成された２次保安ルールフィルターに基づいて、プロセッサ３２０は、遮断命令ＢＬＫをスイッチファブリック３０５に出力し、スイッチファブリック３０５は、遮断命令ＢＬＫが指示するポートを遮断する。
【００６４】
アクセスレベル保安装置２１０は、１次保安ルールフィルターと前記２次保安ルールフィルターとから生成されたログファイルを受信して保存するメモリ３３０をさらに備える。メモリ３３０に保存された１次保安ルールフィルターと２次保安ルールフィルターは、多層分析部３１０の動作時、既存に検索された有害トラフィックの資料として利用されることによって、多層分析部３１０の動作をさらに早くできる。また、メモリ３３０に保存された１次保安ルールフィルターと２次保安ルールフィルターは、ネットワーク管理部２５０に伝達されてネットワーク管理部２５０に保存されることによって、管理者の利用資料として利用されることもある。
【００６５】
プロセッサ３２０は、ＡＲＰ（Ａｄｄｒｅｓｓ Ｒｅｓｏｌｕｔｉｏｎ Ｐｒｏｔｏｃｏｌ）トラップを用いて、前記パケットデータを伝送するＩＰアドレスＩＰＡとＭＡＣアドレスＭＡＣＡとを確認して、ネットワーク管理部２５０に出力する。
【００６６】
ＡＲＰトラップを利用すれば、スイッチファブリック３０５に接続される端末機５０−１、５０−２、５０−ｎのＩＰアドレスＩＰＡとＭＡＣアドレスＭＡＣＡとを把握することができるので、その把握されたＩＰアドレスＩＰＡとＭＡＣアドレスＭＡＣＡとをネットワーク管理部２５０に伝送することによって、ネットワーク管理部２５０が、スイッチファブリック３０５に接続されたＩＰを管理できるようにする。
【００６７】
ネットワーク管理部２５０は、プロセッサ３２０からＩＰアドレスＩＰＡとＭＡＣアドレスＭＡＣＡとを受信して、スイッチファブリック３０５に接続されたポートのデータベースを生成する。そして、ＩＰ管理ポリシーに応答してデータベースのポートのうち、有害なパケットデータを伝送するポートを遮断するためのＩＰ管理命令ＩＰＣＴＲＬを出力する。ＩＰ管理ポリシーは、外部の管理者によってあらかじめ遮断及び許容するＩＰアドレスが定められたデータベースである。または、ＩＰ管理ポリシーは、管理者がリアルタイムでスイッチファブリック３０５に接続されたＩＰアドレスＩＰＡとＭＡＣアドレスＭＡＣＡとに関する情報を観察しながら、有害なトラフィックを伝送すると判断されるポートやその他の遮断する必要があるポートを変更することによって、ＩＰ管理を効率的かつ多様に行わせうる。
【００６８】
プロセッサ３２０は、ＩＰ管理命令ＩＰＣＴＲＬに応答して遮断命令ＢＬＫを発生することによって、不要なポートを遮断することができる。従来、特定ＩＰアドレスを遮断する場合、プログラム的に遮断する方法を利用したが、本発明の実施形態による保安システムは、ＩＰ管理ポリシーによってスイッチファブリック３０５に遮断命令ＢＬＫを伝送して、スイッチファブリック３０５が不要なＩＰが発見されたポートをハードウェア的に遮断させることによって、非常に迅速にＩＰ管理を行うことができる。
【００６９】
以上、本発明の望ましい実施形態について詳しく記述したが、当業者ならば、特許請求の範囲に定義された本発明の精神及び範囲に外れずに、本発明を多様に変形または変更して実施できるということが分かる。したがって、本発明のこれからの実施形態の変更は、本発明の技術を外れることができない。
【産業上の利用可能性】
【００７０】
本発明は、ネットワーク保安分野に利用されうる。
【技術分野】
【０００１】
本発明は、アクセスレベルでのネットワーク保安装置及び保安システムに係り、より詳細には、インターネットを通じてアクセスされるものではない、ノート型パソコン、パーソナルコンピュータ等におけるアクセスレベルでのパケットデータの特性と類型とをリアルタイムで統計的に分析して有害トラフィックを遮断し、またネットワークを通じて接続された多様なユーザのＩＰ（インターネットプロトコル）を管理することができるアクセスレベル保安装置及びそれを含む保安システムに関する。
【背景技術】
【０００２】
現代社会は、インターネットの発達につれて、いつでもどこでもインターネットを通じて多様なウイルスにさらされている。特に、有線ネットワークを構築して使う会社、学校、団体など、多様な組職では、一つのネットワークウイルスがネットワーク全体を一瞬に無力化し、これによる被害は、有害ウイルスの発見、遮断、そして、ネットワークが正常に復旧されるまでインターネットだけではなく、内部ネットワークを使えないという致命的で長期間の被害を与える結果をもたらす。
【０００３】
最近、ウイルスは、ネットワークが発達する以前のウイルスと異なって、一つのコンピュータを無力化させることよりはネットワーク全体を占領して複数台のコンピュータを無力化させることが特徴である。したがって、このようなネットワークウイルスの危険、脅威、事故などを遮断、対応、予防するための多様なネットワーク保安装置が登場しており、多くのネットワーク管理者及びネットワークサービス提供者は、このようなネットワーク保安装置の導入を積極的に検討している状況である。
【０００４】
図１は、保安機能を含む一般的なネットワーク構成を説明するブロック図である。
図１を参照すると、保安機能を含む一般的なネットワークは、インターネット１０と端末機５０との間にルーター２０、防火壁３０、バックボーンスイッチ４０を備える。防火壁（ファイアーウォール）３０によってインターネット１０を通じて流入されるデータのうち、有害なデータがフィルタリングされる。
【０００５】
このように、一般的なネットワーク保安装置は、インターネットと接続されるゲートウェイで外部からの侵入を探知し及び遮断する。すなわち、図１で、インターネット１０とルーター３０とを通じて侵入する有害データの遮断に集中している。
【０００６】
このようなネットワーク保安装置は、インターネットのような外部ネットワークから内部ネットワーク資源を保護することができるが、内部ユーザあるいは訪問者が移動型保存装置（例えば、フラッシュメモリ、ノート型パソコン）などを用いて端末機５０にアクセスしネットワークにアクセスしてウイルスを伝播させる場合には、このようなアクセスを効率的に阻むことができない。
【０００７】
また、既存に知られたウイルスではない新種または変種ウイルスが端末機５０から侵入したら、既存の保安装置は、新種または変種ウイルスの形態を把握できる資料がないために、ネットワーク全体の保安が脆弱になるという問題がある。
【発明の概要】
【発明が解決しようとする課題】
【０００８】
本発明が解決しようとする技術的課題は、内部ユーザあるいは訪問者のコンピュータなどが接続されるアクセスレベルでの有害トラフィックをリアルタイムで分析及び遮断し、アクセスレベルでのＩＰの効率的な管理が可能なアクセスレベル保安装置を提供することである。
【０００９】
本発明が解決しようとする他の技術的課題は、内部ユーザあるいは訪問者のコンピュータなどが接続されるアクセスレベルでの有害トラフィックをリアルタイムで分析及び遮断し、アクセスレベルでのＩＰの効率的な管理が可能なアクセスレベル保安システムを提供することである。
【課題を解決するための手段】
【００１０】
前記技術的課題を解決するための本発明の一側面によるアクセスレベル保安装置は、多層分析部と、プロセッサと、を備える。
【００１１】
多層分析部は、スイッチファブリックを通じて入力されるパケットデータのヘッダを統計的方法で分析し、その分析結果を出力する。
【００１２】
プロセッサは、前記多層分析部の分析結果に応答して、前記パケットデータを遮断するか否かを決定する１次保安ルールフィルターを生成し、前記１次保安ルールフィルターに基づいて、前記スイッチファブリックを制御する遮断命令を出力し、前記パケットデータを伝送するＩＰ（Ｉｎｔｅｒｎｅｔ Ｐｒｏｔｏｃｏｌ）アドレスを確認して外部に出力し、遮断するＩＰ情報を有するＩＰ管理命令に応答して、前記遮断命令を出力する。
前記多層分析部は、前記パケットデータのヘッダを第４レイヤレベルＬ４まで分析することができる。前記統計的方法では、入力されるパケットデータごとに、前記パケットデータのヘッダのソースアドレス（ｓｏｕｒｃｅ ａｄｄｒｅｓｓ）、プロトコル（ｐｒｏｔｏｃｏｌ）タイプ、ソースＩＰ、デスティネーションＩＰ、ソースサービスポート（ｓｏｕｒｃｅ ｓｅｒｖｉｃｅ ｐｏｒｔ）、デスティネーションサービスポート（ｄｅｓｔｉｎａｔｉｏｎ ｓｅｒｖｉｃｅ ｐｏｒｔ）を分析し続けて、その分布パターンを用いてネットワークトラフィックの特徴を確認することができる。前記多層分析部は、ＡＳＩＣ（Ａｐｐｌｉｃａｔｉｏｎ Ｓｐｅｃｉｆｉｃ Ｉｎｔｅｇｒａｔｅｄ Ｃｉｒｃｕｉｔ）で形成されうる。
【００１３】
前記プロセッサは、前記１次保安ルールフィルターを参照し、パケットの流入時間、パケットの量（ｐａｃｋｅｔ ｑｕａｎｔｉｔｙ）及びパケットの連続性（ｐａｃｋｅｔ ｃｏｎｔｉｎｕｉｔｙ）を分析して、前記パケットデータを遮断するか否かを決定する２次保安ルールフィルターを生成し、前記２次保安ルールフィルターに基づいて、前記遮断命令を出力することができる。
【００１４】
アクセスレベル保安装置は、前記１次保安ルールフィルターと前記２次保安ルールフィルターとから生成されたログファイルを受信して保存するメモリをさらに備えうる。
【００１５】
前記スイッチファブリックは、前記１次保安ルールフィルター、２次保安ルールフィルター及び前記ＩＰ管理命令に基づいて発生する、遮断するＩＰを有する前記遮断命令に応答して、前記遮断するＩＰを遮断することができる。
【００１６】
前記プロセッサは、ＡＲＰ（Ａｄｄｒｅｓｓ Ｒｅｓｏｌｕｔｉｏｎ Ｐｒｏｔｏｃｏｌ）トラップを用いて、前記パケットデータを伝送するＩＰアドレスとＭＡＣアドレスとを確認して外部に出力することができる。
【００１７】
前記ＩＰ管理命令は、外部の管理者によって作られたＩＰ管理政策によって遮断及び許容するＩＰアドレスが定めることができる。
【００１８】
前記技術的課題を解決するための本発明の他の側面による保安システムは、アクセスレベル保安装置と、ネットワーク管理部と、を備える。
【００１９】
アクセスレベル保安装置は、入力されるパケットデータのヘッダを統計的方法で分析して有害トラフィックを遮断し、ＩＰ管理ポリシーによって、前記パケットデータを伝送するＩＰアドレスを遮断する。
【００２０】
ネットワーク管理部は、前記ＩＰ管理ポリシーを保存し、前記ＩＰ管理ポリシーに応答して、遮断するＩＰ情報を有するＩＰ管理命令を出力し、前記アクセスレベル保安装置から出力される有害トラフィックについての情報を保存する。
【００２１】
前記アクセスレベル保安装置は、スイッチファブリックを通じて入力される前記パケットデータのヘッダを前記統計的方法で分析し、その分析結果を出力する多層分析部と、前記多層分析部の分析結果に応答して、前記パケットデータを遮断するか否かを決定する１次保安ルールフィルターを生成し、前記１次保安ルールフィルターに基づいて、前記スイッチファブリックを制御する遮断命令を出力し、前記パケットデータを伝送するＩＰアドレスを確認して、前記ネットワーク管理部に出力し、前記ＩＰ管理命令に応答して、前記遮断命令を出力するプロセッサと、を備える。
【００２２】
前記多層分析部は、前記パケットデータのヘッダを第４レイヤレベルＬ４まで分析することができる。前記統計的方法では、入力されるパケットデータごとに、前記パケットデータのヘッダのソースアドレス、プロトコルタイプ、ソースＩＰ、デスティネーションＩＰ、ソースサービスポート、デスティネーションサービスポートを分析し続けて、その分布パターンを用いてネットワークトラフィックの特徴を確認することができる。
【００２３】
前記多層分析部は、ＡＳＩＣ（Ａｐｐｌｉｃａｔｉｏｎ Ｓｐｅｃｉｆｉｃ Ｉｎｔｅｇｒａｔｅｄ Ｃｉｒｃｕｉｔ）で形成されうる。前記プロセッサは、前記１次保安ルールフィルターを参照し、パケットの流入時間、パケットの量及びパケットの連続性を分析して、前記パケットデータを遮断するか否かを決定する２次保安ルールフィルターを生成し、前記２次保安ルールフィルターに基づいて、前記遮断命令を出力することができる。
【００２４】
前記アクセスレベル保安装置は、前記１次保安ルールフィルターと前記２次保安ルールフィルターとから生成されたログファイルを受信して保存するメモリをさらに備えうる。
【００２５】
前記スイッチファブリックは、前記１次保安ルールフィルター、２次保安ルールフィルター及び前記ＩＰ管理命令に基づいて発生する、遮断するＩＰを有する前記遮断命令に応答して、前記遮断するＩＰを遮断することができる。
【００２６】
前記プロセッサは、ＡＲＰ（Ａｄｄｒｅｓｓ Ｒｅｓｏｌｕｔｉｏｎ Ｐｒｏｔｏｃｏｌ）トラップを用いて、前記パケットデータを伝送するＩＰアドレスとＭＡＣアドレスとを確認して、前記ネットワーク管理部に出力することができる。
【００２７】
前記ネットワーク管理部は、前記プロセッサから前記ＩＰアドレスとＭＡＣアドレスとを受信して、前記スイッチファブリックに接続されたポートのデータベースを生成し、前記ＩＰ管理ポリシーに応答して、前記データベースのポートのうち、有害なパケットデータを伝送するポートを遮断するための前記ＩＰ管理命令を出力することができる。前記ＩＰ管理ポリシーは、外部の管理者によって遮断及び許容するＩＰアドレスを定めうる。
【発明の効果】
【００２８】
本発明によれば、ネットワークのアクセスレベルで発生しうる、分かっているあるいは変形された有害トラフィックを、保安装置を含む保安システムを用いて統計的方法で探知及び遮断できる。また、モジュール化された多層分析部を使用することによって、パケットデータを非常に早い時間内に分析及び遮断することができる。
【００２９】
また、管理者が、ネットワークのＩＰをアクセスレベルで効率的に管理し、ネットワーク管理部に伝送されるパケットについての情報を通じて内部ネットワークの細部的な現況をリアルタイムで把握することができる。
【図面の簡単な説明】
【００３０】
【図１】保安機能を含む一般的なネットワーク構成を説明するブロック図である。
【図２】本発明によるアクセスレベル保安装置を含む保安システムを含むネットワーク構成を説明するブロック図である。
【図３】図２の保安システム及びアクセスレベル保安装置の構成を説明するブロック図である。
【図４】X軸をソースＩＰとし、Ｙ軸をソースサービスポートとして入力されるパケットデータを分析した結果を示す図である。
【図５】２次保安ルールフィルターを生成する過程を説明する図である。
【図６】図５に形成された集団が如何なるウイルスパターンに対応するかを説明する表である。
【発明を実施するための形態】
【００３１】
本発明と本発明の動作上の利点及び本発明の実施によって達成される目的を十分に理解するためには、本発明の望ましい実施形態を例示する添付図面及び図面に記載の内容を参照しなければならない。
【００３２】
以下、添付図面を参照して、本発明の望ましい実施形態を説明する。
【００３３】
図２は、本発明によるアクセスレベル装置を含む保安システムを含むネットワーク構成を説明するブロック図である。
【００３４】
図２を参照すると、本発明の実施形態によるアクセスレベルでの有害トラフィック遮断が可能な保安システム２００は、ネットワーク上でバックボーンスイッチ４０と端末機５０との間に設けられる。バックボーンスイッチ４０と端末機５０との間で保安システム２００は、端末機５０側から流入されるパケットデータをリアルタイムで分析して有害データを遮断すると同時に、端末機５０側に接続された複数のＩＰを確認して、ＩＰ管理ポリシーによってＩＰ資源を効率的に管理する。
【００３５】
ここで、端末機５０は、パーソナルコンピュータ、ノート型パソコン、ＵＳＢメモリのように多様な装置のうち一つであり得る。また、アクセスレベルとは、インターネットに接続されるゲートウェイの外部から侵入するものではなく、ネットワーク上で内部ユーザのように端末機５０側に接続されてネットワークに侵入する場合を意味する。バックボーンスイッチ４０の前端の構造は、図１と同一であるので、説明を省略する。
【００３６】
図２には、ネットワークの系統図に一つの保安システム２００のみ示されているが、これは、説明の便宜のためのものであり、保安システム２００は、複数個設けられることがあり、また保安システム２００に接続される端末機も複数個であり得る。
【００３７】
図３は、図２の保安システム及びアクセスレベル保安装置の構成を説明するブロック図である。
【００３８】
以下、図２及び図３を参照して、保安システムの動作が詳しく説明される。
【００３９】
保安システム２００は、アクセスレベル保安装置２１０及びネットワーク管理部２５０を備える。
【００４０】
アクセスレベル保安装置２１０は、入力されるパケットデータのヘッダを統計的方法で分析して有害トラフィックを遮断し、ＩＰ管理ポリシーによって、前記パケットデータを伝送するＩＰアドレスを遮断する。
【００４１】
ネットワーク管理部２５０は、ＩＰ管理ポリシーを保存し、前記ＩＰ管理ポリシーに応答して、遮断するＩＰ情報を有するＩＰ管理命令ＩＰＣＴＲＬを出力し、アクセスレベル保安装置２１０から出力される有害トラフィックについての情報を保存する。
【００４２】
図３を参照して、アクセスレベル保安装置２１０についてさらに説明する。
【００４３】
アクセスレベル保安装置２１０は、スイッチファブリック３０５、多層分析部３１０及びプロセッサ３２０を備える。また、メモリ３３０をさらに備えることができる。
【００４４】
スイッチファブリック３０５は、端末機５０−１、５０−２、５０−ｎがネットワークにアクセスする時、端末機５０−１、５０−２、５０−ｎと接続されるスイッチである。端末機５０−１、５０−２、５０−ｎは、物理プロトコルＰＨＹを通じてスイッチファブリック３０５と接続されるが、図３ではＰＨＹは省略する。スイッチファブリック３０５は、それぞれの端末機５０−１、５０−２、５０−ｎから入力されるパケットデータを遮断することができる。
【００４５】
多層分析部３１０は、スイッチファブリック３０５を通じて入力されるパケットデータのヘッダを統計的方法で分析し、その分析結果を出力する。プロセッサ３２０は、多層分析部３１０の分析結果に応答して、前記パケットデータを遮断するか否かを決定する１次保安ルールフィルターを生成し、前記１次保安ルールフィルターに基づいてスイッチファブリック３０５を制御する遮断命令ＢＬＫを出力する。また、プロセッサ３２０は、パケットデータを伝送するＩＰアドレスを確認してネットワーク管理部２５０に出力し、ＩＰ管理命令ＩＰＣＴＲＬに応答して遮断命令ＢＬＫを出力する。
【００４６】
多層分析部３１０は、スイッチファブリック３０５を通じて入力されるパケットデータをリアルタイムで統計的方法を用いて分析し、その分析結果を出力する。ここで、多層分析部３１０は、ＡＳＩＣ（Ａｐｐｌｉｃａｔｉｏｎ Ｓｐｅｃｉｆｉｃ Ｉｎｔｅｇｒａｔｅｄ Ｃｉｒｃｕｉｔ）で形成される。すなわち、パケットデータを分析する多層分析部３１０は、ハードウェアで作られることで、ソフトウェアを用いてパケットデータを分析するよりは迅速にパケットデータの分析が可能である。
【００４７】
多層分析部３１０は、パケットデータのヘッダを第４レイヤレベルＬ４まで分析する。ここで、多層分析部３１０が利用する統計的方法は、入力されるパケットデータごとに、前記パケットデータのヘッダのソースアドレス、プロトコルタイプ、ソースＩＰ、デスティネーションＩＰ、ソースサービスポート、デスティネーションサービスポートを分析し続けて、その分布パターンを用いてネットワークトラフィックの特徴を確認するというものである。
【００４８】
パケットデータのヘッダの第４レイヤレベルＬ４まで存在する前記要素（ソースアドレス、プロトコルタイプ、ソースＩＰ、デスティネーションＩＰ、ソースサービスポート、デスティネーションサービスポート）をパケットデータごとに抽出し、前記要素のそれぞれの変化を観察して、その変化が正常なパケットデータと類似しているか／異なるかを分析して、その分析結果がプロセッサ３２０に出力される。
【００４９】
プロセッサ３２０は、多層分析部３１０の分析結果に応答して、前記パケットデータを遮断するか否かを決定する１次保安ルールフィルターを生成し、前記１次保安ルールフィルターに基づいてスイッチファブリック３０５を制御する遮断命令ＢＬＫを出力する。
【００５０】
図４は、X軸をソースＩＰとし、Ｙ軸をソースサービスポートとして入力されるパケットデータを分析した結果を示す図である。
【００５１】
図４によって、ネットワークを攻撃するウイルスパターンを確認することができる。ウイルスパターンのうち、ＤｏＳ（Ｄｅｎｉａｌ ｏｆ Ｓｅｒｖｉｃｅ）は、ソースＩＰは固定された状態でソースサービスポートが変化されるパターンを有する。
【００５２】
図４で、ソースＩＰは、固定された状態でソースサービスポートが非常に早く変化される領域４１０を確認し、多層分析部３１０から出力される分析結果から、前記領域４１０に含まれるパケットデータは、有害トラフィックと見なされる。
ウイルスパターンのうち、ＤＤｏＳ（Ｄｉｓｔｒｉｂｕｔｅｄ Ｄｅｎｉａｌ ｏｆ Ｓｅｒｖｉｃｅ）は、ソースＩＰが変化されるか（ｓｐｏｏｆｅｄ）によって二つに分類されうる。変化されるＤＤｏＳは、ソースサービスポートの約９０％以上が変化を見せ、普通のＤＤｏＳは、ソースＩＰの約４０％以上が変化される。
【００５３】
図４で、変化されるＤＤｏＳ領域４２０と普通のＤＤｏＳ領域４３０とを確認し、多層分析部３１０から出力される分析結果から、前記領域４２０、４３０に含まれるパケットデータは、有害トラフィックと見なされる。
【００５４】
ウイルスパターンのうち、Ｗｏｒｍ Ａｔｔａｃｋは、ソースＩＰとソースサービスポートの約８０％以上が変化を見せる。図４で、変化されるＷｏｒｍ Ａｔｔａｃｋ領域４４０を確認し、多層分析部３１０から出力される分析結果から、前記領域４４０に含まれるパケットデータは、有害トラフィックと見なされる。
【００５５】
プロセッサ３２０は、このように有害トラフィックと見なされたパケットデータ要素を使用して、パケットデータを遮断するか否かを決定する１次保安ルールフィルターを生成する。そしてプロセッサ３２０は、１次保安ルールフィルターに基づいて、前記有害トラフィックと見なされたパケットデータ要素を遮断するために、スイッチファブリック３０５に遮断命令ＢＬＫを出力する。遮断命令ＢＬＫは、遮断するＩＰ情報を有している。スイッチファブリック３０５は、遮断命令ＢＬＫに応答して有害なパケットデータ要素が入力されるＩＰポートを遮断する。ＩＰポートの遮断は、プログラムによったものではなく、スイッチファブリック３０５によって有害なＩＰが発見されたポートが直接遮断されるハードウェア的な方法によって行われるので、ソフトウェア的にＩＰポートを遮断するよりは遥かに迅速かつ正確に遮断することができる。
【００５６】
図４には、X軸をソースＩＰとし、Ｙ軸をソースサービスポートとして入力されるパケットデータを分析した結果を示してしているが、入力されるパケットデータを分析した結果を示すためにX軸とY軸とは多様に変形され、プロセッサ３２０は、そのような動作を行う。
【００５７】
前記のように生成された１次保安ルールフィルターは、一般的なウイルスパターンを有するパケットデータの検出に良い性能を見せる。しかし、検出エラー率を低めて変形されたウイルスパターンも検出するために、プロセッサ３２０は１次保安ルールフィルターを参照し、パケットの流入時間、パケットの量及びパケットの連続性を分析して、前記パケットデータを遮断するか否かを決定する２次保安ルールフィルターを生成し、前記２次保安ルールフィルターに基づいて遮断命令ＢＬＫを出力する。
【００５８】
パケットの流入時間は、パケットの量とパケットの連続性とを分析するための基本的なパラメータとして作用する。
【００５９】
図５は、２次保安ルールフィルターを生成する過程を説明する図である。
【００６０】
図６は、図５に形成された集団が如何なるウイルスパターンに対応するかを説明する表である。
【００６１】
図５に示すように、パケットの流入時間、パケットの量及びパケットの連続性を互いに関連づけて３次元軸で表示する時、１次保安ルールフィルターを生成させたパケットデータを分析して、図５に示すような集団が見えるならば、プロセッサ３２０は、集団に属したパケットデータを有害トラフィックと容易に見なすことができる。なぜならば、普通のトラフィックでは、図５に示すような集団が表われないためである。
【００６２】
図６に示されたように、ウイルスパターンのうち、ＤｏＳ（Ｄｅｎｉａｌ ｏｆ Ｓｅｒｖｉｃｅ）は、パケットの流入時間は短く、パケット量は多く、パケットの連続性は非常に高い特徴を有する。ここで、パケットの流入時間の長短、パケット量の多少及びパケットの連続性の高低の基準は、本発明の実施形態による保安システムを設計する設計者によって設計されて、あらかじめ保安システムに設定される。設計基準は、保安システムが適用されるネットワーク環境によって多様に定義されうる。図６に開示された短い、長い、低い、高いの概念は、図５を理解しやすいように表示した一つの説明例である。したがって、このような特徴を有した集団が形成されれば（図５参照）、この集団に属するパケットデータは、ＤｏＳパターンを有するウイルスである可能性が非常に高い。
【００６３】
このように生成された２次保安ルールフィルターに基づいて、プロセッサ３２０は、遮断命令ＢＬＫをスイッチファブリック３０５に出力し、スイッチファブリック３０５は、遮断命令ＢＬＫが指示するポートを遮断する。
【００６４】
アクセスレベル保安装置２１０は、１次保安ルールフィルターと前記２次保安ルールフィルターとから生成されたログファイルを受信して保存するメモリ３３０をさらに備える。メモリ３３０に保存された１次保安ルールフィルターと２次保安ルールフィルターは、多層分析部３１０の動作時、既存に検索された有害トラフィックの資料として利用されることによって、多層分析部３１０の動作をさらに早くできる。また、メモリ３３０に保存された１次保安ルールフィルターと２次保安ルールフィルターは、ネットワーク管理部２５０に伝達されてネットワーク管理部２５０に保存されることによって、管理者の利用資料として利用されることもある。
【００６５】
プロセッサ３２０は、ＡＲＰ（Ａｄｄｒｅｓｓ Ｒｅｓｏｌｕｔｉｏｎ Ｐｒｏｔｏｃｏｌ）トラップを用いて、前記パケットデータを伝送するＩＰアドレスＩＰＡとＭＡＣアドレスＭＡＣＡとを確認して、ネットワーク管理部２５０に出力する。
【００６６】
ＡＲＰトラップを利用すれば、スイッチファブリック３０５に接続される端末機５０−１、５０−２、５０−ｎのＩＰアドレスＩＰＡとＭＡＣアドレスＭＡＣＡとを把握することができるので、その把握されたＩＰアドレスＩＰＡとＭＡＣアドレスＭＡＣＡとをネットワーク管理部２５０に伝送することによって、ネットワーク管理部２５０が、スイッチファブリック３０５に接続されたＩＰを管理できるようにする。
【００６７】
ネットワーク管理部２５０は、プロセッサ３２０からＩＰアドレスＩＰＡとＭＡＣアドレスＭＡＣＡとを受信して、スイッチファブリック３０５に接続されたポートのデータベースを生成する。そして、ＩＰ管理ポリシーに応答してデータベースのポートのうち、有害なパケットデータを伝送するポートを遮断するためのＩＰ管理命令ＩＰＣＴＲＬを出力する。ＩＰ管理ポリシーは、外部の管理者によってあらかじめ遮断及び許容するＩＰアドレスが定められたデータベースである。または、ＩＰ管理ポリシーは、管理者がリアルタイムでスイッチファブリック３０５に接続されたＩＰアドレスＩＰＡとＭＡＣアドレスＭＡＣＡとに関する情報を観察しながら、有害なトラフィックを伝送すると判断されるポートやその他の遮断する必要があるポートを変更することによって、ＩＰ管理を効率的かつ多様に行わせうる。
【００６８】
プロセッサ３２０は、ＩＰ管理命令ＩＰＣＴＲＬに応答して遮断命令ＢＬＫを発生することによって、不要なポートを遮断することができる。従来、特定ＩＰアドレスを遮断する場合、プログラム的に遮断する方法を利用したが、本発明の実施形態による保安システムは、ＩＰ管理ポリシーによってスイッチファブリック３０５に遮断命令ＢＬＫを伝送して、スイッチファブリック３０５が不要なＩＰが発見されたポートをハードウェア的に遮断させることによって、非常に迅速にＩＰ管理を行うことができる。
【００６９】
以上、本発明の望ましい実施形態について詳しく記述したが、当業者ならば、特許請求の範囲に定義された本発明の精神及び範囲に外れずに、本発明を多様に変形または変更して実施できるということが分かる。したがって、本発明のこれからの実施形態の変更は、本発明の技術を外れることができない。
【産業上の利用可能性】
【００７０】
本発明は、ネットワーク保安分野に利用されうる。
【特許請求の範囲】
【請求項１】
スイッチファブリックを通じて入力されるパケットデータのヘッダを統計的方法で分析し、その分析結果を出力する多層分析部と、
前記多層分析部の分析結果に応答して、前記パケットデータを遮断するか否かを決定する１次保安ルールフィルターを生成し、前記１次保安ルールフィルターに基づいて、前記スイッチファブリックを制御する遮断命令を出力し、前記パケットデータを伝送するＩＰアドレスを確認して外部に出力し、遮断するＩＰ情報を有するＩＰ管理命令に応答して、前記遮断命令を出力するプロセッサと、
を備えるアクセスレベル保安装置。
【請求項２】
前記多層分析部は、前記パケットデータのヘッダを第４レイヤレベルＬ４まで分析する請求項１に記載のアクセスレベル保安装置。
【請求項３】
前記統計的方法では、入力されるパケットデータごとに、前記パケットデータのヘッダのソースアドレス、プロトコルタイプ、ソースＩＰ、デスティネーションＩＰ、ソースサービスポート、デスティネーションサービスポートを分析し続けて、その分布パターンを用いてネットワークトラフィックの特徴を確認することを特徴とする請求項１に記載のアクセスレベル保安装置。
【請求項４】
前記多層分析部は、ＡＳＩＣで形成されている請求項１に記載のアクセスレベル保安装置。
【請求項５】
前記プロセッサは、前記１次保安ルールフィルターを参照し、パケットの流入時間、パケットの量及びパケットの連続性を分析して、前記パケットデータを遮断するか否かを決定する２次保安ルールフィルターを生成し、前記２次保安ルールフィルターに基づいて、前記遮断命令を出力する請求項１に記載のアクセスレベル保安装置。
【請求項６】
前記１次保安ルールフィルターと前記２次保安ルールフィルターとから生成されたログファイルを受信して保存するメモリをさらに備える請求項５に記載のアクセスレベル保安装置。
【請求項７】
前記スイッチファブリックは、前記１次保安ルールフィルター、２次保安ルールフィルター及び前記ＩＰ管理命令に基づいて発生する、遮断するＩＰを有する前記遮断命令に応答して、前記遮断するＩＰを遮断する請求項５に記載のアクセスレベルでの保安装置。
【請求項８】
前記プロセッサは、ＡＲＰトラップを用いて、前記パケットデータを伝送するＩＰアドレスとＭＡＣアドレスとを確認して外部に出力する請求項１に記載のアクセスレベル保安装置。
【請求項９】
前記ＩＰ管理命令は、外部の管理者によって作られたＩＰ管理ポリシーによって遮断及び許容するＩＰアドレスを定める請求項１に記載のアクセスレベル保安装置。
【請求項１０】
入力されるパケットデータのヘッダを統計的方法で分析して有害トラフィックを遮断し、ＩＰ管理ポリシーによって、前記パケットデータを伝送するＩＰアドレスを遮断するアクセスレベル保安装置と、
前記ＩＰ管理ポリシーを保存し、前記ＩＰ管理ポリシーに応答して、遮断するＩＰ情報を有するＩＰ管理命令を出力し、前記アクセスレベル保安装置から出力される有害トラフィックについての情報を保存するネットワーク管理部と、
を備える保安システム。
【請求項１１】
前記アクセスレベル保安装置は、
スイッチファブリックを通じて入力される前記パケットデータのヘッダを前記統計的方法で分析し、その分析結果を出力する多層分析部と、
前記多層分析部の分析結果に応答して、前記パケットデータを遮断するか否かを決定する１次保安ルールフィルターを生成し、前記１次保安ルールフィルターに基づいて、前記スイッチファブリックを制御する遮断命令を出力し、前記パケットデータを伝送するＩＰアドレスを確認して、前記ネットワーク管理部に出力し、前記ＩＰ管理命令に応答して、前記遮断命令を出力するプロセッサと、
を備える請求項１０に記載の保安システム。
【請求項１２】
前記多層分析部は、前記パケットデータのヘッダを第４レイヤレベルＬ４まで分析する請求項１１に記載の保安システム。
【請求項１３】
前記統計的方法では、入力されるパケットデータごとに、前記パケットデータのヘッダのソースアドレス、プロトコルタイプ、ソースＩＰ、デスティネーションＩＰ、ソースサービスポート、デスティネーションサービスポートを分析し続けて、その分布パターンを用いてネットワークトラフィックの特徴を確認する請求項１１に記載の保安システム。
【請求項１４】
前記多層分析部は、ＡＳＩＣで形成されている請求項１１に記載の保安システム。
【請求項１５】
前記プロセッサは、前記１次保安ルールフィルターを参照し、パケットの流入時間、パケットの量及びパケットの連続性を分析して、前記パケットデータを遮断するか否かを決定する２次保安ルールフィルターを生成し、前記２次保安ルールフィルターに基づいて、前記遮断命令を出力する請求項１１に記載の保安システム。
【請求項１６】
前記アクセスレベル保安装置は、前記１次保安ルールフィルターと前記２次保安ルールフィルターとから生成されたログファイルを受信して保存するメモリをさらに備える請求項１５に記載の保安システム。
【請求項１７】
前記スイッチファブリックは、前記１次保安ルールフィルター、２次保安ルールフィルター及び前記ＩＰ管理命令に基づいて発生する、遮断するＩＰを有する前記遮断命令に応答して、前記遮断するＩＰを遮断する請求項１５に記載の保安システム。
【請求項１８】
前記プロセッサは、ＡＲＰトラップを用いて、前記パケットデータを伝送するＩＰアドレスとＭＡＣアドレスとを確認して、前記ネットワーク管理部に出力する請求項１１に記載の保安システム。
【請求項１９】
前記ネットワーク管理部は、前記プロセッサから前記ＩＰアドレスとＭＡＣアドレスとを受信して、前記スイッチファブリックに接続されたポートのデータベースを生成し、前記ＩＰ管理ポリシーに応答して、前記データベースのポートのうち、有害なパケットデータを伝送するポートを遮断するための前記ＩＰ管理命令を出力する請求項１８に記載の保安システム。
【請求項２０】
前記ＩＰ管理ポリシーは、外部の管理者によって遮断及び許容するＩＰアドレスが定められる請求項１９記載の保安システム。
【請求項１】
スイッチファブリックを通じて入力されるパケットデータのヘッダを統計的方法で分析し、その分析結果を出力する多層分析部と、
前記多層分析部の分析結果に応答して、前記パケットデータを遮断するか否かを決定する１次保安ルールフィルターを生成し、前記１次保安ルールフィルターに基づいて、前記スイッチファブリックを制御する遮断命令を出力し、前記パケットデータを伝送するＩＰアドレスを確認して外部に出力し、遮断するＩＰ情報を有するＩＰ管理命令に応答して、前記遮断命令を出力するプロセッサと、
を備えるアクセスレベル保安装置。
【請求項２】
前記多層分析部は、前記パケットデータのヘッダを第４レイヤレベルＬ４まで分析する請求項１に記載のアクセスレベル保安装置。
【請求項３】
前記統計的方法では、入力されるパケットデータごとに、前記パケットデータのヘッダのソースアドレス、プロトコルタイプ、ソースＩＰ、デスティネーションＩＰ、ソースサービスポート、デスティネーションサービスポートを分析し続けて、その分布パターンを用いてネットワークトラフィックの特徴を確認することを特徴とする請求項１に記載のアクセスレベル保安装置。
【請求項４】
前記多層分析部は、ＡＳＩＣで形成されている請求項１に記載のアクセスレベル保安装置。
【請求項５】
前記プロセッサは、前記１次保安ルールフィルターを参照し、パケットの流入時間、パケットの量及びパケットの連続性を分析して、前記パケットデータを遮断するか否かを決定する２次保安ルールフィルターを生成し、前記２次保安ルールフィルターに基づいて、前記遮断命令を出力する請求項１に記載のアクセスレベル保安装置。
【請求項６】
前記１次保安ルールフィルターと前記２次保安ルールフィルターとから生成されたログファイルを受信して保存するメモリをさらに備える請求項５に記載のアクセスレベル保安装置。
【請求項７】
前記スイッチファブリックは、前記１次保安ルールフィルター、２次保安ルールフィルター及び前記ＩＰ管理命令に基づいて発生する、遮断するＩＰを有する前記遮断命令に応答して、前記遮断するＩＰを遮断する請求項５に記載のアクセスレベルでの保安装置。
【請求項８】
前記プロセッサは、ＡＲＰトラップを用いて、前記パケットデータを伝送するＩＰアドレスとＭＡＣアドレスとを確認して外部に出力する請求項１に記載のアクセスレベル保安装置。
【請求項９】
前記ＩＰ管理命令は、外部の管理者によって作られたＩＰ管理ポリシーによって遮断及び許容するＩＰアドレスを定める請求項１に記載のアクセスレベル保安装置。
【請求項１０】
入力されるパケットデータのヘッダを統計的方法で分析して有害トラフィックを遮断し、ＩＰ管理ポリシーによって、前記パケットデータを伝送するＩＰアドレスを遮断するアクセスレベル保安装置と、
前記ＩＰ管理ポリシーを保存し、前記ＩＰ管理ポリシーに応答して、遮断するＩＰ情報を有するＩＰ管理命令を出力し、前記アクセスレベル保安装置から出力される有害トラフィックについての情報を保存するネットワーク管理部と、
を備える保安システム。
【請求項１１】
前記アクセスレベル保安装置は、
スイッチファブリックを通じて入力される前記パケットデータのヘッダを前記統計的方法で分析し、その分析結果を出力する多層分析部と、
前記多層分析部の分析結果に応答して、前記パケットデータを遮断するか否かを決定する１次保安ルールフィルターを生成し、前記１次保安ルールフィルターに基づいて、前記スイッチファブリックを制御する遮断命令を出力し、前記パケットデータを伝送するＩＰアドレスを確認して、前記ネットワーク管理部に出力し、前記ＩＰ管理命令に応答して、前記遮断命令を出力するプロセッサと、
を備える請求項１０に記載の保安システム。
【請求項１２】
前記多層分析部は、前記パケットデータのヘッダを第４レイヤレベルＬ４まで分析する請求項１１に記載の保安システム。
【請求項１３】
前記統計的方法では、入力されるパケットデータごとに、前記パケットデータのヘッダのソースアドレス、プロトコルタイプ、ソースＩＰ、デスティネーションＩＰ、ソースサービスポート、デスティネーションサービスポートを分析し続けて、その分布パターンを用いてネットワークトラフィックの特徴を確認する請求項１１に記載の保安システム。
【請求項１４】
前記多層分析部は、ＡＳＩＣで形成されている請求項１１に記載の保安システム。
【請求項１５】
前記プロセッサは、前記１次保安ルールフィルターを参照し、パケットの流入時間、パケットの量及びパケットの連続性を分析して、前記パケットデータを遮断するか否かを決定する２次保安ルールフィルターを生成し、前記２次保安ルールフィルターに基づいて、前記遮断命令を出力する請求項１１に記載の保安システム。
【請求項１６】
前記アクセスレベル保安装置は、前記１次保安ルールフィルターと前記２次保安ルールフィルターとから生成されたログファイルを受信して保存するメモリをさらに備える請求項１５に記載の保安システム。
【請求項１７】
前記スイッチファブリックは、前記１次保安ルールフィルター、２次保安ルールフィルター及び前記ＩＰ管理命令に基づいて発生する、遮断するＩＰを有する前記遮断命令に応答して、前記遮断するＩＰを遮断する請求項１５に記載の保安システム。
【請求項１８】
前記プロセッサは、ＡＲＰトラップを用いて、前記パケットデータを伝送するＩＰアドレスとＭＡＣアドレスとを確認して、前記ネットワーク管理部に出力する請求項１１に記載の保安システム。
【請求項１９】
前記ネットワーク管理部は、前記プロセッサから前記ＩＰアドレスとＭＡＣアドレスとを受信して、前記スイッチファブリックに接続されたポートのデータベースを生成し、前記ＩＰ管理ポリシーに応答して、前記データベースのポートのうち、有害なパケットデータを伝送するポートを遮断するための前記ＩＰ管理命令を出力する請求項１８に記載の保安システム。
【請求項２０】
前記ＩＰ管理ポリシーは、外部の管理者によって遮断及び許容するＩＰアドレスが定められる請求項１９記載の保安システム。
【図１】
【図２】
【図３】
【図４】
【図５】
【図６】
【図２】
【図３】
【図４】
【図５】
【図６】
【公表番号】特表２０１１−５２３８２２（Ｐ２０１１−５２３８２２Ａ）
【公表日】平成２３年８月１８日（２０１１．８．１８）
【国際特許分類】
【出願番号】特願２０１１−５１１４８７（Ｐ２０１１−５１１４８７）
【出願日】平成２０年６月５日（２００８．６．５）
【国際出願番号】ＰＣＴ／ＫＲ２００８／００３１５０
【国際公開番号】ＷＯ２００９／１４５３７９
【国際公開日】平成２１年１２月３日（２００９．１２．３）
【出願人】（５１０３１２９７２）ハンドリームネット カンパニー リミテッド (1)
【Ｆターム（参考）】
【公表日】平成２３年８月１８日（２０１１．８．１８）
【国際特許分類】
【出願日】平成２０年６月５日（２００８．６．５）
【国際出願番号】ＰＣＴ／ＫＲ２００８／００３１５０
【国際公開番号】ＷＯ２００９／１４５３７９
【国際公開日】平成２１年１２月３日（２００９．１２．３）
【出願人】（５１０３１２９７２）ハンドリームネット カンパニー リミテッド (1)
【Ｆターム（参考）】
[ Back to top ]