ネットワーク・トラフィックのセキュリティのための方法およびシステム
【課題】本発明は、ネットワークのネットワーク・リソースを監視する適応ネットワーキングの方法およびそのためのシステムを提供する。
【解決手法】本願方法発明は、ネットワーク内のトラフィックを使用することによってユーザを自動的に発見するステップと、ユーザに関連するアプリケーションのパフォーマンスを監視するステップと、アプリケーションのパフォーマンスを査定するステップと、トラフィックを制御することを備える。本願システム発明は、適応ネットワーキングのためのシステムであって、複数のサブセットを備えるトラフィックであって、第１のサブセットが疑わしいトラフィックを含むトラフィックと、トラフィック用のリソースと、トラフィックを受信するための第一の装置であって、受信されたトラフィックを分類し、およびこの分類されたトラフィックをリソースに任意に割り当てるよう構成された第１の装置とを備える。
【解決手法】本願方法発明は、ネットワーク内のトラフィックを使用することによってユーザを自動的に発見するステップと、ユーザに関連するアプリケーションのパフォーマンスを監視するステップと、アプリケーションのパフォーマンスを査定するステップと、トラフィックを制御することを備える。本願システム発明は、適応ネットワーキングのためのシステムであって、複数のサブセットを備えるトラフィックであって、第１のサブセットが疑わしいトラフィックを含むトラフィックと、トラフィック用のリソースと、トラフィックを受信するための第一の装置であって、受信されたトラフィックを分類し、およびこの分類されたトラフィックをリソースに任意に割り当てるよう構成された第１の装置とを備える。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、ネットワーク・トラフィックのセキュリティに関する。詳細には、本発明は、トラフィック分類および／またはリソース配分を使用することによってネットワーク・トラフィックのセキュリティを提供することに関する。
【背景技術】
【０００２】
本出願は、参照により本明細書に組み込まれている、２００４年９月９日に出願した同時係属の米国仮特許出願第６０／６０９０６２号「METHODS AND SYSTEMS FOR REMOTE OUTBOUND CONTROL, SECURITY STRAWMAN」の米国法典第３５編１１９条に基づく優先権を主張するものである。
【０００３】
相互運用するネットワークの現在の接続世界では、望まれないアクセスおよび望まれない侵入を防ぐことは恒常的な問題である。ネットワークベースの攻撃に対処するための一部の手法は、応答を系統立てて作成するための工程として、侵入の発生を検出することを伴う。一般の侵入検出技術は偽陽性と偽陰性を被り、その両方ともが悲惨な結果をしばしばもたらす。偽陰性は攻撃からネットワークを保護し損なうという結果を招き、偽陽性は商機の逸失、または「虚報を伝えて周囲を騒がせる（cry wolf）」システムをもたらす。したがって、偽陽性は、このタイプの誤りが最終的にはネットワークを真の攻撃から保護するための解決策の効果をも減少させるので、ネットワーク保護の失敗をももたらす。
【０００４】
偽陽性および偽陰性の問題は、一般的な侵入検出システムの２つの特性からもたらされる。たとえばサービス拒否攻撃（ＤｏＳ：Denial of Service）などの侵入または攻撃からデータ・センタ、サーバおよびネットワーク・リソースを保護しようとする多くの製品および手法が存在するにもかかわらず、一般的な手法はすべて、以下の特性を共有している。
（１）この手法は、侵入検出の基礎を、ネットワーク・トラフィックのある種の調査だけに置く。すなわち、この手法がオンラインであろうとオフラインであろうと、各パケットを見て、その特性および内容を調査することによって攻撃が存在するかどうかこの手法が判断する。したがって、より具体的には、検出の助けとするために、ネットワーク内の他のツールおよびプロトコルとの対話から得られる外部からの知識はほとんど使用されない。さらに、トラフィックが信用できるか、それとも悪いと知られているかの判断は、現在のトラフィック自体の調査だけに基づく場合にはしばしば効果的でなく、または有用となるには手遅れである。
（２）侵入検出の結果は「黒」か「白」である。すなわち、トラフィックは信頼できる、または悪いと知られているに分類される。一般に、信頼できるものでも、悪いと知られているものでもないトラフィックの追加の分類はない。従来のシステムには、グレー・ゾーンの概念はない。したがって、中間の知られていない、または疑わしいが、悪いと知られているとはまだ判断されていないトラフィックのカテゴリはない。一般に、特定の実装およびユーザ構成に応じて、こうした疑わしいトラフィックは、信頼できる、または悪いと知られているに分類される。
【０００５】
上述したように、「信頼できる」または「悪いと知られている」の２つのカテゴリしかもたないことの１つの問題は、ユーザが結局はかなりの量の偽陽性、偽陰性またはその両方を有することになることである。偽陰性と偽陽性の両方には、多大な時間および金がかかり得る。偽陽性と偽陰性の両方は、悲惨な結果をもたらし得る。たとえば、偽陰性が発生する場合、検出措置は望まれない侵入に対する保護に失敗し、組織のリソースが侵入者に露呈される。また偽陽性は損害が大きいこともある。実装に応じて、悪いと知られているに分類されたトラフィックは、警告をトリガし、または破棄される（drop）。良いトラフィックを破棄すると一般に、商売を逃し、機会を逸することになり、しばしば追加の結果をもたらす。警告のトリガによって、情報技術（ＩＴ：information technology）要員が発生についての調査に時間を費やすことになり、それは従業員リソース、システムのダウン時間およびお金に関して企業に損失を負わせ得る。複数の誤った警告を有すると、システムが十分な時間「虚報を伝えて周囲を騒がせる」場合には警告が無視され、あるいは安全対策、反応のよい対抗策、ならびに通知および／または保護が効果的であるには過度に低く調整され、保護システムの信頼が損なわれる。これによって、保護システムが真の攻撃を検出し、それから保護する能力が低下する。
【０００６】
１９９６年６月１７日に出願された米国特許第５８３５７２６号「System for securing the flow of and selectively modifying packets in a computer network」および１９９９年４月１日に出願された米国特許第６７０１４３２号「Firewall including local bus」は、ファイヤウォール・タイプのシステムを含めて、上述の従来のシステムについて論じている。米国特許第５８３５７２６号および６７０１４３２号を、参照により本明細書に組み込む。
【先行技術文献】
【特許文献】
【０００７】
【特許文献１】米国仮特許出願第６０／６０９０６２号
【特許文献２】米国特許第５８３５７２６号
【特許文献３】米国特許第６７０１４３２号
【特許文献４】米国特許出願第１０／０７０５１５号
【特許文献５】米国特許出願第０９／９２３９２４号
【特許文献６】米国特許出願第０９／９６０６２３号
【特許文献７】米国特許出願第１０／０７０３３８号
【特許文献８】ＰＣＴ国際出願第ＰＣＴ／ＵＳ０３／０３２９７号
【発明の概要】
【発明が解決しようとする課題】
【０００８】
本発明は、ネットワーク保護のためのシステムおよびその方法である。このシステムは、ネットワークに害を及ぼし得るデータ・トラフィックを防止する。さらに、このシステムは、望まれない潜在的な侵入に関する偽陽性および偽陰性の判断を防止する。
【課題を解決するための手段】
【０００９】
トラフィックは、信頼できる、悪いと知られているおよび疑わしいを含めて、少なくとも３つのカテゴリに分類される。このシステムは、それぞれ異なるトラフィック・カテゴリのためにそれぞれ異なるリソースを使用し得る。これは、悪いデータまたは疑わしいデータがネットワーク・リソースに損害を与えることを防止し、また信頼できるトラフィックに向上されたサービスを提供し得る。このシステムは、ネットワーク・ユーザの履歴および使用を追跡する。履歴は、トラフィックについてどのカテゴリが指定されているか判断する際に使用される。新しいエンドポイントおよび／またはトラフィックは最初に疑わしいものとして取り扱われ、次いで後に信頼できるに格上げされ、または悪いに格下げされ得る。履歴は、向上された取扱いを受け得るいわゆるフリークエント・フライヤーを判断するために使用されることもできる。
【００１０】
悪いと判断されるトラフィックは、破棄され、またはネットワークのエッジへとブラックホールに入れられることもできる。疑わしいトラフィックは、異なるリソースを通って向けられ得る。異なるリソースは、異なる物理リソース、あるいは同じ物理リソース内にあるが、異なる優先度で取り扱われる異なる論理リソースであり得る。攻撃の検出は、ソース・ベース、宛先ベース、フリークエント・フライヤー・ベースまたはフロー・レート・ベースであり得る。
【００１１】
セキュリティ向上のため、追加の境界が、従来の侵入検出と併せて使用され得る。疑わしいおよび悪いトラフィックをそれぞれ異なるネットワーク・リソースで取り扱うことによって、従来の侵入検出方法によってもたらされるどんな誤りの影響もが最小限に抑えられる。本発明は、ハードウェア、ソフトウェアまたはその組合せで実装され得る。
本発明の新規な諸特徴について、添付の特許請求の範囲で述べる。しかし、説明のため、本発明の複数の実施形態について、以下の図面で述べる。
【図面の簡単な説明】
【００１２】
【図１Ａ】本発明によるトラフィック分類のためのプロセスを示す図である。
【図１Ｂ】追加の工程を伴う図１Ａのプロセスを示す図である。
【図２】ネットワークを介して第２の装置にトラフィックを送信する第１の装置を示す図である。
【図３】２つ以上のリソースを使用することによって第２の装置にトラフィックを送信する第１の装置を示す図である。
【図４】第３のリソースを使用する第１の装置を示す図である。
【図５】本発明によるリソース配分のためのプロセス・フローを示す図である。
【図６】ネットワークのリソース配分を概念的に示す図である。
【図７】ネットワークのリソース配分を使用してトラフィックを送信する複数の装置を概念的に示す図である。
【図８】一部の実施形態のネットワーク装置が知的であり、悪いトラフィックを局所的に破棄することを示す図である。
【図９Ａ】一般的な侵入検出システム内のクリティカル境界を概念的に示す図である。
【図９Ｂ】一般的な侵入検出システム内のクリティカル境界を概念的に示す図である。
【図１０】特定の実施形態で実施されるクリティカル境界を概念的に示す図である。
【図１１】本発明のシステム・アーキテクチュアを示す図である。
【図１２】企業アーキテクチュアをさらに詳細に示す図である。
【図１３】サービス・プロバイダ・アーキテクチュアをさらに詳細に示す図である。
【図１４】本発明によるアップストリーム通知を示す図である。
【図１５】本発明によるフィードバック通知を示す図である。
【発明を実施するための形態】
【００１３】
以下の記述では、説明するために、複数の詳細および代替物について述べる。しかし、本発明は、これらの具体的な詳細を使用せずに実施され得ることが当業者には理解されよう。他の場合では、不必要な詳細で本発明の説明を不明瞭にしないために、よく知られている構造および装置がブロック図の形で示されている。以下の節Ｉは、本発明の一部の実施形態のプロセス実施について述べている。節ＩＩは、一部の実施形態の実施によりもたらされるクリティカル境界について述べている。節ＩＩＩは複数のシステム実装について述べており、節ＩＶは本発明の具体的な利点について論じている。
【００１４】
本発明は、ネットワーク・リソースを監視し、インターネットまたは別のネットワークを介してアプリケーションを操作するエンドユーザのシステム上でパフォーマンスを測定するために使用される。監視を使用することによって、ネットワーク活動の固有のビューが、アプリケーションの知識、ネットワーク内のユーザの履歴知識、ユーザが使用するアプリケーション、トラフィック・パターン、ユーザおよびアプリケーションの予想される特性および要件を組み合わせる。この固有のビューは、偽陽性および偽陰性の数を減少させることによって侵入検出の効果を向上させるために使用される。これらの利点は新規の１組のアプリケーション・プログラミング・インターフェース（ＡＰＩ：application programming interface）、ネットワーク管理ツールおよびアプリケーションを使用することによって提供されるが、特定の代替物は、既存の侵入監視ツールに複数の新規な概念を取り入れる。
【００１５】
Ｉ プロセスの実施
Ａ．トラフィックの分類
図１Ａは、本発明の特定の実施形態によって実施されるプロセス１００を示している。図１Ａに示すように、工程１０５で、ネットワーク・リソースが監視される。次いで、工程１１０で、アプリケーション・パフォーマンスも監視される。たとえば、ネットワーク・リソースおよびアプリケーション・パフォーマンスの監視は、エンドユーザのシステム上でネットワークを介したアプリケーション操作のパフォーマンスを測定することを含み得る。ネットワークは、インターネット、ならびにたとえばローカル・エリア・ネットワーク、イントラネット、プライベート・ネットワークおよび仮想プライベート・ネットワークなど、他のタイプのネットワークを含み得る。トラフィックは一般に、ネットワーク内の１つのエンドポイントたとえばソースから、ネットワーク内の別のエンドポイントたとえば宛先に流れる。トラフィックは、ネットワーク上を流れるデータを指す。
【００１６】
一例として、図２は、例示的なネットワーク２００を介して第２の装置２１０にトラフィックを提供する第１の装置２０５を示している。ネットワーク２００は、たとえばインターネット２０１など、ネットワークのネットワークである。第１装置２０５は、宛先の働きをする第２装置２１０へのソースとして働く。第１および第２装置２０５、２１０はそれぞれ、サブネットワーク２０４Ａおよび２０４Ｄに個々に結合される。この実施形態では、第１および第２装置２０５および２１０は、インターネット２０１と、サブネットワーク２０４Ａおよび２０４Ｄとの間のインターフェースを提供する。図２に示すように、トラフィックは、ネットワーク・リソース２１５を通って第２装置２１０に到着する。図２に示すネットワーク２００は例示的なものであることが当業者には理解されよう。したがって、ネットワーク２００は、たとえばＭＰＬＳネットワーク、ＭＰＬＳ−ＶＰＮネットワーク、プライベート・ネットワーク、ＶＰＮネットワークおよび／またはＡＴＭネットワークなど、ネットワークの他のタイプおよび構成を表すものである。
【００１７】
上述したように、トラフィックは、それがネットワークを通ってソースから宛先に流れるときに監視される。図１Ａを再び参照すると、トラフィックがネットワークを通って流れる間、プロセス１００の工程１１５で、トラフィックの第１のサブセットが第１のカテゴリに分類される。第１のカテゴリのトラフィック・タイプは、信頼できる、悪いと知られている、疑わしいトラフィックおよび／またはその組合せを含む。追加のカテゴリ・レベルが、本発明に従って実施され得ることが当業者には理解されよう。次いで、工程１３０で、第１トラフィック・サブセットのカテゴリに基づいて、第２のトラフィック・サブセットについての措置が判断される。次いで、プロセス１００は終了する。第１トラフィック・サブセットは、ネットワーク・リソースの監視および／またはアプリケーションのパフォーマンスの監視に基づいて分類される。同様に、第２サブセットについての措置も、ネットワーク・リソースおよび／またはアプリケーションのパフォーマンスに基づく。
【００１８】
図１Ａに示す特定のプロセス実施の変形形態が当業者にはさらに理解されよう。たとえば、代替実装のプロセスは、追加の工程および／または工程のそれぞれ異なる順序を含む。具体的には、特定の実装のシステムは好ましくは、ネットワークのリソースおよび／またはアプリケーションを監視しながら、ユーザおよびネットワーク使用のそのパターンに基づく情報を含む履歴を追跡する。このシステムは、第１サブセットについての措置を判断し、および／または第２のトラフィック・サブセットを分類することもできる。図１Ｂは、これらの追加の工程を含むプロセス１０１の追加の例示的な実施を示している。複数の図の要素に関して使用されている参照番号は、図示する諸実施形態の同じ要素に関して同じである。たとえば、図１Ｂのプロセス１０１内の同様にラベル付けされた諸工程は、図１Ａのプロセス１００に関して上述した諸工程と同じである。図１Ｂに示すように、第１トラフィック・サブセットが工程１１５で分類された後に、プロセス１０１は工程１２０に移り、第１トラフィック・サブセットについて措置が判断される。次いで、プロセス１０１は工程１２５に移り、第２トラフィック・サブセットが分類される。次いで、工程１３０で、第２トラフィック・サブセットについて措置が判断され、プロセス１０１は工程１３５に移る。工程１３５で、ユーザ、およびそのネットワーク使用パターンの履歴が追跡される。次いで、プロセス１０１は終了する。上述したように、図１Ａおよび１Ｂに示した例示的な実装の可能な変形形態が当業者には理解されよう。たとえば、図１Ｂに示すプロセス１０１の等価のプロセス実施では、第２トラフィック・サブセットは、第１トラフィック・サブセットについて措置が判断される前に分類される。
【００１９】
好ましくは、トラフィックの第１サブセットと第２サブセットは重複しない。たとえば、本発明の特定の代替物によれば、第１トラフィック・サブセットは疑わしいトラフィックを含み、第２トラフィック・サブセットは信頼できるトラフィックを含む。代替の実施形態は、トラフィックをそれぞれ異なるやり方で扱う。たとえば、図３は、こうした実施形態によるネットワークを示している。図３は、追加のネットワーク・リソース３２０があることを除いて、図２と実質上同じ要素を伴う実質上同じネットワークを示している。図３に示すように、信頼できると分類されるトラフィックは、疑わしいトラフィックとは別に、追加のリソース３２０を介してルーティングされる、他の代替実施形態は、悪いと知られているトラフィックの第３のカテゴリを含む。一部の実施形態の悪いトラフィックはさらに、信頼できるおよび疑わしいトラフィックとは別のやり方で扱われる。図４は、追加のネットワーク・リソース４２５があることを除いて、図３と実質上同じ要素を伴う実質上同じネットワークを示している。図４に示すように、悪いと知られていると分類されるトラフィックは、追加のリソース４２５を介してルーティングされる、一部の実施形態では、トラフィックは、信頼できると既に判断されているトラフィックを含む。これらの実施形態については、節ＩＩＩでさらに述べる。
【００２０】
１．トラフィック監視
好ましくは本発明は、トラフィックを観察し、ネットワークのユーザを監視する。代替の実施形態はさらに、１つまたは複数のネットワーク・リソースを監視する。たとえば、一部の実施形態は、帯域幅の使用状況を監視する。これらの実施形態は、ネットワークを介したアプリケーションの操作のパフォーマンスを査定し、宛先での十分なアプリケーション・パフォーマンスを保証する必要性に応じてネットワークに変更を加える（inject）。また他の実施形態は、たとえば重要な取引が最良のサービスを受けることを保証することによって企業ポリシーを実施する。これらの実施形態では、ネットワーク上のユーザの母集団は、共有されるネットワーク・リソースのコストおよび使用を最小限に抑える十分なサービスを受け続ける。
【００２１】
共有されるネットワーク・リソースは、たとえばチャネル、プロトコルおよび／またはサービスなど、トラフィックのためのそれぞれ異なるルーティング機構を含む。これは、リソース配分を制限することによってトラフィックの流れを制約し、および／または変更を加え得る。リソース配分は、それぞれ別のやり方で分類されたトラフィックを、
（１）トラフィックがある方向または別の方向にルーティングされるようにそれぞれ異なるパスに、または
（２）トラフィックが、様々なサービス・レベルによるサービスのためにタグ付けされるようにそれぞれ異なるタグを付けて、または
（３）一部のトラフィック・タイプが他のトラフィック・タイプより優先されるようにそれぞれ異なるマークを付けて割り当てることによって実施され得る。
しかし、使用され得る様々な追加のリソース配分が当業者には理解されよう。リソース配分について、以下でさらに論じる。
【００２２】
２．トラフィックのカテゴリ
トラフィックは、異常な特性を有するトラフィックを検出することによって分類され得る。異常な特性を有するトラフィックが検出されるときに、異常なトラフィックには、トラフィックの信頼度を表す、攻撃の一環であることの非ゼロの確率が割り当てられ得る。信頼度が所定の閾値未満である場合、このシステムはこうしたトラフィックが攻撃であると見なすことができ、異常なトラフィックは疑わしいと分類される。
【００２３】
上述したように、ネットワーク・リソースおよび／またはアプリケーション・パフォーマンスは、第１のトラフィック・サブセットを分類するために監視される。監視および／または分類は、第１および／または第２トラフィック・サブセットについて取るべき措置を判断するために使用され得る。ネットワーク・リソースおよびパフォーマンスを測定することによってこのシステムは、それぞれ異なるリソースに渡るトラフィックの所与のサブセットのアプリケーション・パフォーマンスを認識する。その測定は、トラフィックを信頼できるまたは疑わしいと分類するために使用される。図３に関して上述したように、これらの実施形態は一般に、信頼できるトラフィックを第１の１組のリソースに送信し、疑わしいトラフィックを第２の１組のリソースに送信する。
【００２４】
第１および第２の別個のリソースは、疑わしいトラフィックが信頼できるトラフィックから分離されることを保証する。この分離によって、疑わしいトラフィック、具体的には問題があると判明する疑わしいトラフィック、たとえば後に悪いと判断される疑わしいトラフィックの悪影響が最低限に抑えられる。さらに、一部の実施形態の信頼できるトラフィックによって運ばれるデータには、疑わしいデータと比べて低い遅延など、より高い優先度が与えられる。これらの実施形態では、信頼できるトラフィックは疑わしいトラフィックに先手を取り、それによって、後に有害と判明するデータを運ぶ疑わしいトラフィックの潜在的に有害な効果を最小限に抑える。
【００２５】
３．新しいエンドポイントおよび降格
新しいエンドポイントおよび／または新しいトラフィックは最初に、疑わしいと分類される。これらの新しいエンドポイントおよび／または新しいトラフィックは後に、複数の要因に基づいて、疑わしいカテゴリから信頼できるまたは悪いカテゴリへと調整され得る。さらに、予想されるより多くのトラフィックを生成しているいずれのエンドポイントもが、疑わしいまたは悪いと分類され得る。さらに、異常なトラフィック、および／または異常な振る舞いをしているエンドポイントからのトラフィックは、疑わしいまたは悪いカテゴリに降格され得ることはめずらしい。トラフィックは、たとえばＤｏＳ攻撃からの過度なトラフィックなど、システム内にプログラムされた基準に従ってそれが動作するときに異常と判断される。異常なトラフィックおよび／またはエンドポイントは、当該のトラフィックが以前は信頼できると見なされていた場合でも降格され得る。これらの実施形態は一般に、攻撃の性質に関係なく、信頼できるエンドポイントであると見えるものから生じる攻撃から保護する。たとえば、信頼できるトラフィックが多過ぎるリソースを消費する場合、信頼できるトラフィックでも、信頼できるエンドポイントから行われる攻撃に対して保護するために一時的に降格される。一部の実施形態の信頼できるエンドポイントからの攻撃は、以下を含めて複数の可能なタイプのものであり得る。（１）信頼できるエンドポイントのソース・アドレスがスプーフィングされる。（２）信頼できるエンドポイントが実際には攻撃に関与している。（３）信頼できるエンドポイントが損なわれている。
【００２６】
以前に信頼できると分類されたエンドポイントおよび／またはトラフィックには、たとえば「フリークエント・フライヤー」として特別なステータスが割り当てられ得る。フリークエント・フライヤーのステータスについて、次に詳細に論じる。
【００２７】
４．フリークエント・フライヤー
「フリークエント・フライヤー」の概念が、特定のトラフィック・サブセットのカテゴリの判断および／またはそのサブセットについての措置の判断に役立てるために追加され得る。ネットワークおよびトラフィックを監視する間、特定の宛先または１組の宛先に向けられるトラフィックのソース・アドレスに関する履歴情報が追跡され得る。この履歴に関係する特定のパラメータの動向が発見され得る。一部の実施形態で動向が判断される対象のパラメータは以下を含む。
（１）それぞれのソース・アドレスの出現頻度のヒストグラム
（２）所与のソース・アドレスが１日の所与の時に発生する確率
（３）所与のソース・アドレスからのフロー間の到着時間間隔、および／または
（４）当業者によって理解される別のパラメータまたは動向
【００２８】
パラメータ動向のサブセットが、１つの宛先または１組の宛先に関連してアドレスを「フリークエント・フライヤー」と分類するために使用される。フリークエント・フライヤーは、正当であり、したがって信頼できると判断されるソース・アドレスである。この判断は、このソース・アドレスから当該宛先へのトラフィックの出現頻度および時間に関する履歴の観察に基づく。フリークエント・フライヤーを識別するための他の基準は、（１）そのアドレスから来ており、その宛先または１組の宛先に向けられたトラフィックに関係する時刻についての考慮、（２）トランザクション上の異常、および／または（３）たとえばトランザクションの頻度および／または新しさなど、完了したトランザクションに基づく。
【００２９】
フリークエント・フライヤーの概念は、特定の利点を有する。たとえば、単一パケットのインバウンド攻撃の特性は、かつて見たことのない単一のパケットが、エンドポイントから見えることである。一部の実施形態は、双方向トランザクションを完了するエンドポイントをフリークエント・フライヤーと宣言することによってこの特性を活用する。スプーフィングされるソースは一般に双方向トランザクションを完了し得ないので、スプーフィングされたアドレスの真の所有者による予想される応答は、第１のパケットを破棄しまたは無視することである。したがって、信頼できるデータおよび／またはトラフィックのフリークエント・フライヤー・カテゴリによって、スプーフィングされたソースの攻撃に対する保護を提供し得る。フリークエント・フライヤーの概念を使用する様々な追加の実施形態が当業者には理解されよう。たとえば、トランザクションで第３のパケットが、信頼できるエンドポイントについての良い表示と識別され得る。一部の実施形態は、第３のパケットがリセット（ＲＳＴ）パケットでないことを必要とし得る。
【００３０】
一部の実施形態は、フリークエント・フライヤーを判断するために、トランザクションにおける異常を利用する。これらの実施形態はしばしば、様々なタイプの単一パケットＵＤＰ（user datagram protocol：ユーザ・データグラム・プロトコル)Ｍｉｃｒｏｓｏｆｔ（登録商標）の様々な攻撃、たとえば「スラマー」に対して効果的である。スラマー・タイプの攻撃は、トランザクション上の異常を一般に含む。これらの実施形態はしばしば、かなりの割合のフリークエント・フライヤー顧客に、たとえばスラマー・トラフィックよりも高い優先度のリソースなど、よりよいサービスを提供する。したがって、これらの実施形態のフリークエント・フライヤーは、リソースの優先度が高いため、スラマー・トラフィックによる影響を受けない。感染していない場所からのフリークエント・フライヤー顧客の割合が大きくなるほど、これらの実施形態はスラマー・タイプの攻撃をますます最小限に抑える。図１〜４に示す諸実施形態によって実施される検出および制御は、上述のフリークエント・フライヤーの概念を含む。フリークエント・フライヤーの概念は、サービス・プロバイダおよび／または企業のために実装され得る。これらの実施形態は一般に、サービス・プロバイダと企業の間の通信を伴う。企業および／またはサービス・プロバイダのために実施される様々な実施形態の一部の例については、以下の節ＩＩＩで述べる。しかし、この議論は次に、一部の実施形態のリソースに進む。分類されるとトラフィックは一般に、１つまたは複数のリソースを通ってその宛先に到達しなければならない。
【００３１】
Ｂ．リソース配分
図５は、一部の実施形態のリソース配分のプロセス・フローを示している。この図に示すように、プロセス５００は工程５０５で開始し、データ・ストリームが受信される。一部の実施形態のデータ・ストリームは、データ・パケットを備える。次いで、工程５１０で、パケットは分類され、または上述したように、トラフィックはサブセットに分類される。工程５１５で、トラフィックがたとえば悪いと知られているデータを伴うパケットを含む場合、プロセス５００は工程５２０に移り、一部の実施形態では、悪いデータ（パケット）が破棄される。次いで、プロセス５００は終了する。
【００３２】
工程５１５で、トラフィックが悪いと（工程５１０で）分類されなかった場合、プロセス５００は工程５２５に移り、トラフィックが疑わしいかどうかの判断が行われる。工程５２５でトラフィックが信頼できると判断される場合、プロセス５００は工程５３０に移り、トラフィックは、たとえば信頼できるトラフィック用に指定された第１のリソースに割り当てられる。次いで、プロセス５００は終了する。工程５２５でトラフィックが疑わしい場合は、プロセス５００は工程５３５に移り、トラフィックは、たとえば疑わしいトラフィック用に指定された第２のリソースに割り当てられる。次いで、プロセス５００は終了する。
【００３３】
図６は、一部の実施形態のネットワーク６００が、例えば、リソースのタイプまたは品質によって複数のリソースに分割可能であることを示している。この図に示すように、一部の実施形態のネットワーク・リソースの配分は、疑わしい６３０、信頼できる６３５および悪い６４０トラフィックおよび／またはデータのためのリソースを含む。したがって、ネットワーク６００を通って第１の装置６０５から第２の装置６１０に移動するトラフィックは、これらのリソース・タイプのうちの１つまたは複数に関連付けられる。
【００３４】
図７は、一部の実施形態のリソース配分の別の例を示している。この図に示すように、ネットワーク７００は、疑わしいトラフィック用のリソース７３０と、信頼できるトラフィック７３５用のリソース７３５と、悪いと知られているトラフィック用のリソース７４０と、ソース７０５と、宛先７１０と、複数のネットワーク装置７４５、７５０、７５５および７６０とを含む。一部の実施形態のネットワーク装置７４５、７５０、７５５および７６０は、たとえば、ルータ、ブリッジおよび／または別のネットワーク特徴を含むネットワーク上のノードまたは「ホップ」など、ネットワーク・トポロジの特定の特徴を表す。ネットワーク装置７４５、７５０、７５５および７６０については、節ＩＩＩで以下でさらに論じる。
【００３５】
図７に示すように、ソース７０５から宛先７１０へのトラフィックは、様々な時および／またはネットワーク７００内の場所で、信頼できる、疑わしいまたは悪いと知られていると判断される。一部の実施形態は、トラフィックを分類するために、図１Ａおよび１Ｂに関して上述したプロセスを使用する。次いで、トラフィックの各カテゴリは、そのトラフィック・カテゴリに割り当てられたリソースに向けられる。たとえば、ネットワーク装置７４５からのトラフィックは、疑わしい７３０、信頼できる７３５および／または悪い７４０トラフィック用のリソースに向けられ、ネットワーク装置７５５からのトラフィックは、悪いトラフィック用のリソース７４０に向けられる。図７に示すように、一部の実施形態のリソースは、悪いトラフィックが疑わしいトラフィックに影響を及ぼさず、また疑わしいトラフィックが信頼できるトラフィックに影響を及ぼさないようにする。一部の実施形態は、リソース配分を別のやり方で実施する。これらの違いについて以下で述べる。
【００３６】
１．ブラックホール化
図８は、ネットワーク８００のネットワーク装置８４５、８５０、８５５および８６０が、悪いと分類されたトラフィックを別のやり方で扱い得ることを示している。たとえば、悪いトラフィックは破棄され得る。破棄されたトラフィックは、ネットワークのエッジでブラックホールに入れられる。図８は、トラフィックが破棄されおよび／またはブラックホールに入れられる一例を示している。ネットワーク装置は、データを破棄しおよび／またはブラックホールに入れる能力を含む。これらの実施形態では、データはしばしばパケットの形である。図８に示すように、一部の実施形態のネットワーク装置８４５、８５０、８５５および８６０は、悪いトラフィックを認識しおよび／または破棄するための手段８６５などの拡張された特徴を含む。一部の実施形態は、廃棄されたデータを悪いトラフィック用のリソース８４０などのリソースに配分しおよび／または割り当てずに、破棄および／またはブラックホール化を実施する。このシステムは、悪いと知られているトラフィックがこのように破棄されるように指定されることができ、また一部の実施形態では、破棄されたトラフィックはネットワークのエッジでブラックホールに入れられる。
【００３７】
２．レート制限
疑わしいトラフィックはレート制限され得る。一部の実施形態はトークン・バケットを使用することによってレート制限を達成し、一部の実施形態はたとえば重み付けされた公平なキューイングなど、別の手段によってレート制限を達成する。これらの実施形態では、疑わしいトラフィックに割り当てられる重みは、信頼できるトラフィックに割り当てられる重みより低い。
【００３８】
また、インターネット・サービス・プロバイダなどのサービス・プロバイダは、そのピアに関係する１つまたは複数のパラメータの知識を有する。たとえば、サービス・プロバイダは、その企業顧客のインバウンド・リンクの容量の知識を有する。こうした場合では、一部の実施形態のサービス・プロバイダは、この知識を使用して、企業のリンクの容量が圧倒されないようにトラフィックの流れを抑える。たとえば、特定の企業顧客は、そのサブネットワークの方におよび／またはそれを通って向けられるトラフィックを取り扱うための総インバウンド容量を有する。企業のサブネットワークを通って向けられる信頼できるおよび疑わしいトラフィックの合計が特定の企業サブネットワークの総インバウンド容量より多くなる場合、サービス・プロバイダは、レート制限しまたは疑わしいトラフィックの一部を破棄し得る。これらの場合、サービス・プロバイダは、疑わしいトラフィックを害するほどに、信頼できるトラフィックに関して企業に提供されるサービス品質を維持する。トラフィックのレート制限および／または破棄は、様々な方法を使用することによって達成される。一部の実施形態では、レート制限は、たとえばトークン・バケット、ＴｏＳマーキングおよび／またはＭＰＬＳ（マルチプロトコル・ラベル・スイッチ：multiprotocol label switch）タグを使用することによって実施される。一部の実施形態は、上述したように、バッファ管理手法および／またはブラックホール化を使用することによってパケットを破棄する。追加の手段が、たとえばトラフィックを備えるパケットをレート制限しおよび／または破棄することによってトラフィックを制御するために使用され得ることが当業者には理解されよう。
【００３９】
３．タグ付けおよびルーティング
それぞれ異なるトラフィック・カテゴリのためのリソースは、それぞれ異なるＴｏＳマーキングを備え得る。たとえば、信頼できるトラフィックには、信頼できるトラフィックが他のカテゴリからのトラフィックよりも優先されることを保証するＴｏＳマーキングが割り当てられる。同様に、それぞれ異なるトラフィック・カテゴリは、異なるやり方でルーティングされる。これらの実施形態について、以下の実施例でさらに述べる。一部の実施形態では、それぞれ異なるトラフィック・カテゴリは、それらが論理的にそれぞれ異なる経路を使用するように、異なるやり方でタグ付けされる。
【００４０】
４．論理対物理リソース
一部の実施形態のそれぞれ異なるリソースは、それぞれ異なる論理リソースを含む。それぞれ異なる論理リソースは実際に、同じ物理リソースを共有する。それぞれ異なる論理および／または物理リソースは好ましくは、それぞれ異なる優先度レベルに対応する。たとえば、優先キューイング（ＰＱ：priority queuing）は一部の実施形態のそれぞれ異なる優先レベルを提供するが、一部の実施形態はクラス・ベースの重み付けされた公平キューイング（ＣＢＷＦＱ：class-based weighted fair queuing）を使用して、それぞれ異なる優先度レベルを提供する。
【００４１】
Ｃ．リソース配分を伴う分類の実施例
１．ソース・ベース
それぞれ異なる実施形態は、攻撃の検出、ならびにトラフィックおよびルーティングの制御のためのそれぞれ異なる基準を使用する。上述したように、それぞれ異なる実施形態は、制御を行うために、それぞれ異なるカテゴリ、リソースおよび配分を使用する。検出および制御の対象のトラフィックについて、一部の実施形態はソースを使用するが、一部の実施形態は宛先を使用する。一部の実施形態では、パケットの属性が使用される。一部の実施形態は、特定の宛先アドレスに向けたトラフィックのソースをトラッキングする。ソースおよび／または宛先アドレスに基づいてこれらの実施形態は、トラフィックが信頼できるか、それとも疑わしいか判断する。ソース・アドレスは、トラフィックを適切なリソースに送信するために使用される。たとえば、そのソースのせいで疑わしいと判断されるトラフィックは、疑わしいトラフィックのために予約されたリソースへと向きが変更される。より具体的には、一部の実施形態は、疑わしトラフィックなどのトラフィックを、たとえば以下によって様々なリソースに向ける。
（１）指定された範囲のＴｏＳマーキングをトラフィックに割り当てる。
（２）トラフィックを１組の異なる物理経路に割り当てる。
（３）トラフィックがＭＰＬＳタグ付けされた特定の１組のルートに沿って、または特定の１組のＭＰＬＳ対応ルータに向けられるように、特定のＭＰＬＳタグでトラフィックをマーキングする。
【００４２】
２．宛先ベース
さらに、一部の実施形態は、特定の宛先アドレスまたは１組の宛先を有するトラフィックを追跡する。この宛先アドレスに基づいてこれらの実施形態は、トラフィックが信頼できるか、それとも疑わしいか判断する。一部の実施形態では、宛先アドレスは、トラフィックを適切なリソースに送信するために使用される。たとえば、宛先に基づいて疑わしいと判断されるトラフィックは、一部の実施形態では、疑わしいトラフィックのために予約されたリソースへと向きが変更される。上述したように、一部の実施形態では、たとえばＴｏＳマーキング、特定の物理経路および／またはタグ付けされたルート上のＭＰＬＳタグを使用することによって、それぞれ異なるやり方で疑わしいトラフィックを扱う。
【００４３】
３．フリークエント・フライヤー・ベース
一部の実施形態は、上述のフリークエント・フライヤー・モデルに基づいてトラフィックを識別し、分類しおよび／または制御する。また、上述したように、フリークエント・フライヤー・トラフィックは一般に、このトラフィック・カテゴリに最高のサービス品質を提供するために、最良の使用可能なリソースに割り当てられる。
【００４４】
４．フロー・ベース
他の識別、分類および／または制御方法のコンテキストにおけるソース・ベースおよび／または宛先ベースの分類および／またはリソース配分の諸特徴が適用され得る。たとえば、検出、制御およびフリークエント・フライヤーの地位の判断は、ソースと宛先の情報の組合せに基づく。これらの判断は、フロー単位の情報に基づく。トラフィックを識別しおよび／または分類する他のやり方が当業者には明らかである。たとえば、一部の実施形態は、宛先、あるいは企業、サービス・プロバイダおよび／または他の宛先とのその組合せを含む１組の宛先に基づいて構成される。
【００４５】
Ｄ．他のコンテキスト
上記内容は、他のコンテキストに拡張され得る。これらのコンテキストは、上述のスプーフィングされるソースの単一パケット攻撃、およびたとえば実トランザクションを演じるゾンビ・ファーム（zombie farm）など、追加のコンテキストを含む。これらの場合、成功したトランザクションが、時間をかけて１つまたは複数のエンドポイント単位に追跡される。長期の顧客を含むそれらエンドポイントは信頼できる。これらの実施形態は、新しいどのエンドポイントをも疑わしいまたは悪いと分類し、同様に、一部の実施形態は既定により、知られていないおよび／または新しいトラフィックを、悪いとしてではなく、疑わしいと分類する。
【００４６】
Ｅ．ユーザおよびトラフィック履歴
当技術分野の従来の侵入検出システム（ＩＤＳ：intrusion detection system）は一般にトラフィックが悪いことを判断するが、これらの侵入検出システムは一般に、疑わしいトラフィックが実際には信頼できることを判断しない。以下の節ＩＩは、従来の侵入検出システムの一部の共通の特徴について述べている。一般的な侵入検出システムとは異なり、一部の実施形態は、リソース使用、アプリケーション・パフォーマンス、およびネットワークの様々なユーザの他のパターンの履歴を保持する。履歴は一般に、データベース内に保持される。履歴は一般に、疑わしいトラフィックが信頼されるべきかどうか判断するために使用される。第１のトラフィック・サブセットの分類および／または第２のトラフィック・サブセットについての措置の判断は、１組のアプリケーション管理ツールおよびディレクトリを使用して実施され得る。たとえば、アプリケーション管理ツールおよびディレクトリが、疑わしいトラフィックが信頼されるべきかどうか判断するために使用される。特定の場合では、これらのアプリケーション管理ツールおよびディレクトリは、Ａｖａｙａ Ｉｎｃ．社によって提供される。
【００４７】
信頼できるトラフィックを他のトラフィックと区別するために、ディレクトリからの情報、および他のネットワーク管理およびアプリケーション管理ツールが使用される。これらのツールには、たとえば、ライトウェイト・ディレクトリ・アクセス・プロトコル（ＬＤＡＰ：lightweight directory access protocol）、セッション開始プロトコル（ＳＩＰ：session initiation protocol）および／またはＮｅｔｆｌｏｗｓ（登録商標）コンピュータ・ネットワーク・パフォーマンス・システムが含まれる。Ｎｅｔｆｌｏｗｓ（登録商標）は、ジョージア州ＡｐｐｌｉｎｇのＪａｎｕｓ Ｒｅｓｅａｒｃｈ Ｇｒｏｕｐ ｉｎｃ．社の商標である。ユーザの特性および要件の知識は、トラフィックが本当に信頼できるかどうかの判断に資する。たとえば、一部の実施形態は、所与のユーザが現在特定の地理的領域内に存在し、特定のアプリケーションを実行すると予想され、またセルラ装置を使用していることを知っている。一部の実施形態はＳＩＰディレクトリを使用することによってこの情報を取得するが、一部の実施形態はコール・サーバとの統合によって情報を発見する。トラフィックは、信頼できるエンドポイントの予想されるパターンにそれが一致するかどうか判断するために、このユーザから観察される。第１トラフィック・サブセットのカテゴリを判断する助けとし、および／または第２トラフィック・サブセットについての措置を判断するために、プロトコル・スイートが使用され得る。
【００４８】
一部の実施形態は、たとえば境界ゲートウェイ・プロトコル（ＢＧＰ：border gateway protocol）および単純ネットワーク管理プロトコル（ＳＮＭＰ：simple network management protocol）など、様々なプロトコルを使用することによって、たとえばルータなどの他のネットワーク要素と対話する。これらの実施形態は、検出と制御の両方の段階におけるプロトコルを活用する。たとえば、一部の実施形態は、プレフィックス情報を使用する。これらの実施形態は、知られているアドレス・プレフィックスを有するアドレスから生じる（それを源とする）トラフィックを疑わしいと見なす。次いで、これらの実施形態は、そのプレフィックスからの疑わしいトラフィックが実際に悪いと知られているかどうか判断する。また、疑わしいまたは悪いと知られているトラフィックを制御しようとするときに、一部の実施形態は、適切なプレフィックスを求めて適切なルート変更を送信するために、１組のＢＧＰ制御を活用する。さらに、ＳＮＭＰは、一部の実施形態の検出および制御において相乗作用的な役割を果たす。たとえば一部の実施形態では、検出および／または制御は、たとえばＳＮＭＰから得られるように、負荷の読出しの変化に基づく。
【００４９】
ＩＩ．クリティカル境界の実装
監視、査定および制御技術の提供によって、ネットワーク環境に追加の制約を加えることによりセキュリティ品質の解決策が向上する。追加の境界が、従来の侵入検出システム（ＩＤＳ）の境界と併せて実装される。これらの実施形態は、ネットワーク・トラフィックおよび攻撃に対処する際の追加の粒度レベルを提供する。攻撃に反応する際の巧妙さが向上すると、高い粒度レベルと共に、１つまたは複数のタイプのトラフィック用のリソースを選択することによってトラフィックを制御するシステムの固有の能力が活用される。疑わしいと判断されるトラフィックは、疑わしいトラフィックのために使用されるリソースが信頼できるトラフィックによって使用されるリソースと異なることを保証することによって、害を及ぼすことなしに依然として転送される。高い確実性のレベルで悪いと判断されるトラフィックだけが破棄される。アプリケーション・パフォーマンスを監視することによって、信頼できるトラフィックは、最良のサービス・レベルを受ける。これらの実施形態は、疑わしいトラフィックが受けるサービス・レベルをも制御する。たとえば、最も疑わしいトラフィックは、具体的には攻撃中などリソースが制約されるようになる場合には、最も格下げされたまたは最も低いサービス品質を受ける。
【００５０】
図９Ａおよび９Ｂは、当技術分野で知られている一般的な侵入検出の実装のクリティカル検出境界を概念的に示している。これらの図に示すように、当技術分野で知られている実装のクリティカル境界９０５は、拒否される悪いと知られているトラフィックと、通過を許される他のすべてのトラフィックとの間にある。当技術分野で知られているこれらの手法の欠点は、これらの実装の成功が、悪いトラフィックを武器として使用する攻撃の正確な検出に大きく依存していることである。しかし。上述したように、一般的な実装は、従来の境界で無数の攻撃を検出することにしばしば失敗する。したがって、これらの手法は、偽陽性および偽陰性の形の、斜線で示された大きい誤差範囲をもたらし得る。
【００５１】
それとは異なり、図１０は、本発明の好ましい実施形態によって実装される境界を示している。この図に示すように、一部の実施形態のクリティカル境界１０１０は、信頼できると判断されるトラフィックと、たとえば疑わしいおよび悪いと知られているトラフィックなど、他のすべてのトラフィックとの間にある。したがって、これらの実施形態の攻撃の検出および／または防止の成功は、悪いと知られているトラフィックと他のすべてのトラフィックとの間の従来の境界９０５を正確に特定する高い精度に依存しなくなる。
これは、疑わしいトラフィック・フローが依然としてアクセスを得ることができるという事実を活用し得る。疑わしいトラフィックのこの扱いは、境界をより「中心に」移動する傾向にある。この特徴は、偽陽性と偽陰性の間のより正確な均衡を可能にする。これは、疑わしいものになる、以前には信頼されていたトラフィックを信頼できるステータスから疑わしいステータスに降格または格下げする比較的な緩やかな措置を課すという利点を提供することもできる。したがって、降格は、当技術分野で知られている従来の許可／拒否の境界９０５で取られる措置より緩やかである。
【００５２】
ＩＩＩ．システム実装
Ａ．システムおよびルータ
アプリケーション・プログラミング・インターフェース（ＡＰＩ）、ネットワーク管理ツール、アプリケーションを使用することによって、またエンドユーザへのネットワーク・リソースおよびアプリケーション・パフォーマンスの監視によって、アプリケーション知識、ユーザの履歴知識、そのトラフィック・パターン、およびユーザが使用するアプリケーション、ならびにユーザおよびそのアプリケーションの予想される特性および要件を組み合わせる固有のビューが提供される。より知的なこのビューは、本発明の諸実施形態に、攻撃の検出およびそれへの応答のさらなる知識を提供する。一部の実施形態はさらに、攻撃に対するより厳密なおよび／または巧妙な反応をさらに可能にする。攻撃検出の知性は、標準の侵入検出手法の２つのカテゴリではなく、少なくとも３つのトラフィック・カテゴリを識別することによって大きく向上される。一部の実施形態は、アプリケーションを調査し、アプリケーションの知識の適用を従来のシステムに拡張し、既存の侵入検出システムを他のやり方でさらに向上させる。一部の実施形態は、たとえばダウン時間など、従来のシステムが直面する問題にさらに対処する。
【００５３】
様々な実施形態が、ソフトウェアおよび／またはハードウェアで実装される。ハードウェア実装は、装置、ネットワーク、ならびに／またはソフトウェア、ハードウェアおよび１つまたは複数の装置の組合せを含む。一部の実施形態は、たとえばソフトウェアおよび／またはハードウェアで実装されるルータなどのネットワーク装置内でネットワーク制御および管理機能を実装する。一部の実施形態のネットワーク装置は、当技術分野で知られている一般的な装置に比べて拡張された特徴を含む。これらの拡張型装置には、たとえば、Ａｖａｙａ Ｉｎｃ．社によって提供されるルーティング・インテリジェンス・ユニット（ＲＩＵ：routing intelligence unit）が含まれる。
【００５４】
一部の実施形態は、ネットワーク・アーキテクチュア内でルータおよび／またはルーティング・インテリジェンス・ユニットのうちの１つまたは複数にルート変更を加えることによって制御を行う。これらの実施形態は、トラフィックを所与のトラフィック・カテゴリに適したリソースに割り当てる。たとえば、一部の実施形態は、トラフィック・カテゴリの識別のためにＴｏＳマーキングを割り当てる。これらの実施形態がたとえば信頼できるおよび／またはフリークエント・フライヤ・トラフィックなど、より重要であると識別するトラフィックは、優先される扱いを受ける。
【００５５】
Ｂ．ＩＳＰおよび企業システム
上述した諸実施形態の様々な特徴は、それぞれ異なる実施形態で異なるやり方で組み合わされる。これらの実施形態は、企業および／またはインターネット・サービス・プロバイダ（ＩＳＰ）環境での実装を含む。たとえば図１１は、一部の実施形態のシステム１１００を示している。この図に示すように、システム１１００は、ネットワーク１１１５を介して企業サブネット１１１０に結合されたＩＳＰサブネット１１０５を含む。ネットワーク１１１５は一般に、広域ネットワーク、またはインターネットなどのネットワークのネットワークである。図１１にやはり示すように、ネットワーク・ルーティング装置１１２０、１１２５および１１３０の複数のインスタンスが、ネットワーク１１１５上の１つまたは複数の場所に設置される。図１１のシステム１１００内の装置は、たとえばルーティング・インテリジェンス・ユニット１１２０および１１３０、ならびに標準のルータ１１２５など、ネットワーク化された装置の異種の集合を含む。
【００５６】
Ｃ．実装場所
本発明は、企業および／またはインターネット・サービス・プロバイダのネットワーク内で実装され得る。企業内で実装される場合、一部の実施形態は、企業の中央本社、本社の端、支店内および／または支店の端で実装される。同様に、サービス・プロバイダ内で実装される場合、一部の実施形態は中心で、および／またはサービス・プロバイダのネットワークのエッジで実装される。具体的には、一部の実施形態は、企業および／またはサービス・プロバイダのネットワークのエッジのできるだけ近くに実装される。様々な実装場所は、通知およびフィードバックなどの特定の特徴を提供する。これらの実装について、以下で参照する図に関連して述べる。
【００５７】
１．企業サブネットワークのエッジおよび内部
たとえば、本発明は、企業ネットワークのエッジに配置され得る。これらの実施形態は具体的には、特定のサイトへの入トラフィックをスキャンすることに役立つ。図１２は、企業サブネットワーク１２１０のエッジに位置するネットワーク装置１２３０を含むネットワーク１２００を示している。この図に示すように、サブネット１２１０は、ネットワーク化された装置１２３０および１２３５と連携して動作する。サブネット１２１０は、ネストされた下位サブネット１２５５を含めて、サブネット１２１０を形成する複数のネットワーク装置１２４０、１２４５および１２５０をも含む。ネットワーク装置１２３０はルーティング・インテリジェンス・ユニットである。図１２に示す代表的な実施形態は、企業のサブネット１２１０内に入るトラフィックを分類するために、節Ｉで上記に論じた方法を一般に使用する。したがって、これらの実施形態は一般に、入トラフィックを、信頼できる、疑わしい、または悪いと知られていると分類する。悪いと知られているトラフィックは破棄され、またはブラックホールに入れられるが、信頼できるおよび疑わしいトラフィックは、これらのトラフィック・カテゴリのそれぞれに割り当てられるリソースに向けられる。上述したように、こうしたリソースには、たとえばＴｏＳマーキング、ＭＰＬＳタグ付けされたルート、それぞれ異なる物理リンク、それぞれ異なるルート、および／あるいは１つまたは複数のレート制御装置が含まれる。一部の実施形態では、レート制御は、トークン・バケットを使用することによって達成される。たとえば、一部の実施形態では、疑わしいトラフィックは、トークン・バケットを使用することによってサイトの基盤内でレート制限される。図１２にやはり示すように、追加のルーティング・インテリジェンス・ユニット１２５０が、企業サブネットワーク１２１０の基盤のかなり内部に置かれる。一部の実施形態はサブネットワーク１２１０内に下位サブネットのネストされた複数の層を有し、また追加のネットワーク装置および／またはルーティング・ユニットが任意選択で、ネストされたこれらのサブネットワークの非常に深い層内に設置されることが当業者には理解されよう。
【００５８】
ネットワーク装置１２３５〜４５は、それぞれ異なるサーバであり得る。こうした実施形態では、企業サブネットワーク１２１０内に入る信頼できるおよび疑わしいトラフィック・ストリームは、それぞれ異なるサーバ１２３５〜４５に向けられる。たとえば、一部の実施形態の疑わしいトラフィックは具体的にはネットワーク・サーバ装置１２４０に向けられるが、信頼できるトラフィックは信頼できるサーバ１２４５に向けられる。これらの実施形態は、信頼できるサーバが疑わしいトラフィックの内容によって影響を受ける状態にする可能性を小さくする。
【００５９】
図１２に示すネストされた装置および／またはサブネットワークのアーキテクチュアは、さらなる利点を有する。たとえば、ルーティング・インテリジェンス・ユニットの複数の設置１２３０および１２５０は、サイト、およびサイト内の様々な場所に向かう予定のトラフィックが、複数の段階で、様々な粒度レベルでチェックされることを可能にする。さらに、これらの実施形態では、悪いと知られているトラフィックは、ルーティング・インテリジェンス・ユニット１２３０で、またルーティング・インテリジェンス・ユニット１２５０でも破棄される。さらに、前に分類されたトラフィックは、これらの様々な位置で、格の上げ下げが行われる。さらに、図１２に示すルーティング・インテリジェンス・ユニット１２５０は、サイトの基盤内のより深くに、また特定のサーバのより近くに設置される。この位置の配置は、近くのサーバのためにより特化された検出および／または制御を可能にするなど、特定の利点を有する。
【００６０】
さらに、このシステム・アーキテクチュアは、それぞれ異なるサーバのサイト・サブネットワーク内の深くに到達するトラフィック量が、サイトのエッジで交差する総トラフィック量より小さいので、スケーラビリティを向上させ得る。さらに、本発明は、それぞれ異なるトラフィック・カテゴリをそれぞれ異なるサーバに向けるなど、前の実施例で述べた諸機能を実施する。
【００６１】
２．サービス・プロバイダ・サブネットワークのエッジおよび内部
図１３は、一部の実施形態のネットワーク装置が、サービス・プロバイダ・サブネット１３０５の複数の位置、たとえばネットワーク装置１３３０、１３５０および１３６０上にも設置されるネットワーク１３００を示している。この図に示す例示的なサイト（この場合、例示的なサービス・プロバイダ・サイト１３０５）は、サイト内への２つ以上のエントリ・ポイントを含む。具体的には、これらのエントリ・ポイントは、それぞれネットワーク装置１３３０および１３６０によって保護される。これらの外部の設置１３３０および１３６０は一般に、節Ｉで上述した方法のうちの１つまたは複数を使用して、エントリ・ポイントでトラフィックを調査しおよび／または分類する。上述したように、悪いと知られているトラフィックは、それがサイト１３０５内に入る前に破棄され得る。
【００６２】
やはり図１３に示すように、サービス・プロバイダ・サブネット１３０５は、下位サブネット１３５５、およびサイト内に設置されたネットワーク装置１３５０をも含む。したがって、図１２に示す企業モデルと同様に、一部の実施形態のサービス・プロバイダ・サブネット１３０５は、外部の設置１３３０および１３６０、ならびに内部の設置１３５０を含む。これらの実施形態では、それぞれ異なる設置場所が、複数の回線、および／または攻撃からの防御レベルを提供する。具体的には、内部設置１３５０は、サービス・プロバイダ・サイト１３０５のためのより粒度の高い検出および制御を提供する。
【００６３】
さらに、複数の設置は、サイト内に追加の特徴を提供し得る。これらの追加の特徴は、フィードバックおよび／またはアップストリーム通知を含む。たとえば、図１３に示すように、内部設置１３５０は、アップストリーム通知を使用することによって、そのより詳細な情報をネットワーク・エッジの外部設置１３３０と共有する。これらの実施形態のアップストリーム通知は一般に、たとえば（１）フリークエント・フライヤー情報を含めて、信頼できると判断されるトラフィック、（２）疑わしいと判断されるトラフィックおよび／または（３）悪いと判断されるトラフィックに関する制御／シグナリング・タイプの情報を含む。一部の実施形態のアップストリーム通知は、サイトのエッジの外部設置１３３０に、それぞれ異なるトラフィック・カテゴリについて異なるやり方で振舞うように要求する。一部の実施形態は、上述のそれぞれ異なるトラフィック・カテゴリについて異なる措置を実施する。同様に、外部位置１３３０は、サービス・プロバイダ・サブネットワーク１３０５内のある場所に向かう予定のトラフィックに関して情報を前方に送る。
【００６４】
３．さらなる通知例
上述のサイト内の通知は、サイト間の場所に適応され得る。こうしたシステムでは、サービス・プロバイダと企業の両方のサブネットワーク内のルーティング・インテリジェンス・ユニットなどのネットワーク装置は、上述の諸機能のうちの１つまたは複数を独立に実施する。サービス・プロバイダは、企業のネットワークに向けられた疑わしいトラフィックの存在について企業に通知する。これらの実施形態では、サービス・プロバイダは、トラフィック分類および制御に関係する様々な側面について企業に通知する。一部の実施形態のサービス・プロバイダは、企業顧客へのサービスとして通知を提供する。たとえば、図１４は、追加の制御タイプの情報、たとえば、企業１４１０に向けられたトラフィックが疑わしトラフィックを含むことの情報を付けて企業１４１０に通知するサービス・プロバイダ１４０５を含むネットワーク１４００を示している。図１４に示す異種のネットワーク装置の混合物は、ルーティング・インテリジェンス・ユニット１２３０および１３３０などの「インテリジェント」装置、ならびに一般的なルータ１４３５などの標準のネットワーク装置を含む。一部の実施形態は、インテリジェント装置を使用することによって、通知などの制御−信号情報を送受信する。
【００６５】
図１５は、企業サブネット１５１０上のネットワーク装置１２３０が、アップストリーム・サービス・プロバイダ１５０５上に置かれたネットワーク装置１３３０にフィードバック通知を送信することを示している。これらの通知は一般に、たとえば受信されたトラフィックの分類に関する情報など、制御タイプの情報をも含む。企業はしばしば、たとえばトラフィック・フローに関するより進歩した検出手法を使用することによって、より多くの知識を有するよりよい状況に置かれる。一部の実施形態の企業はさらに、サービス・プロバイダによりよいアップストリーム通知を提供する。たとえば、トラフィックは、企業の構内を離れるときにしばしば暗号化される。したがって、ネットワーク装置は、具体的にはサービス・プロバイダのエッジでは、分類／格付けの判断においてトラフィック（パケット）の内容を使用することができない。これらの判断については、図１〜６に関連して上記で論じている。
【００６６】
一部の実施形態の通知はさらに、たとえば、疑わしいとマーク付けされる特定のソースの識別、企業によって判断されるフリークエント・フライヤーのリスト、その場所のルーティング・インテリジェンス・ユニットに関する追加の情報、および／あるいは疑わしいトラフィックまたは疑わしいトラフィックのサブセットのレート制限に関する情報を含む。一部の実施形態では、レート制限によって、企業のインバウンド・リンクが圧倒されることを防止する。
【００６７】
Ｄ．常時オン・アーキテクチュアの提供
１．受動制御
一部の実施形態のネットワーク・ルーティング制御は「受動的」である。受動制御は、制御および保護の特性が常にオンであることを示す。これらの実施形態は、攻撃の検出に基づくトリガを必要としない。これらの実施形態の一部はさらに、完全に正当なトラフィックからなる攻撃に対処する。したがって、一部の実施形態は、「よりスマートな」攻撃を検出する。たとえば、一部の実施形態は、正当なソースから異常な負荷パターンを検出する。場合によっては、これらの実施形態は、負荷パラメータおよび／または一般的な侵入検出システムによっては検出不可能なパターンを検出する。ソースまたはタイプに関係なく、一部の実施形態は、攻撃が開始する場合に、攻撃が進行中であることを判断する必要はない。そうではなく、一部の実施形態では、信頼できるユーザは順調な体験を有し、攻撃は自動的に自己制限される。
【００６８】
２．常時オン
一部の実施形態は、攻撃が実際に行われているかどうか判断する能力に依存しない。図１〜６に関して上述したプロセスの判断は、通常と攻撃の状態のもとで同じ働きをするように設定される。こうしたシステムは、疑わしいトラフィックを検出し、疑わしいトラフィックの扱いに対する従来の手法を必ずしも必要としないやり方でそれを取り扱う。上述したように、当技術分野の一般的な手法は、疑わしいトラフィックを、悪いと知られているまたは信頼できるものとして取り扱う。さらに、悪いと知られているトラフィックは一般に破棄され、信頼できるトラフィックは一般に、信頼できるトラフィック用に指定されたリソースに送信される。したがって、一般的な手法は、不所望に多くの偽陽性および偽陰性をもたらす。それとは異なり、一部の実施形態はそうではなく、トラフィックが信頼できると判明する前はそれを疑わしいと扱うことによって「常時オン」アーキテクチュアを実装する。このように、こうしたシステムは、トラフィックが目標の宛先に攻撃データを運ぶ前には攻撃が容易に識別されない場合でも、攻撃の影響を最小限に抑える。これらの実施形態は、様々なやり方で実施される。たとえば、
（１）通常なトラフィックが通常の状態では有利な扱いを受ける。
（２）通常なトラフィックが通常の状態では有利な扱いを受けない。または
（３）通常なトラフィックが、整っている企業ポリシーに従って、または別の原理に従って有利なステータスを受ける。これらの実施形態の一部について次に述べる。
【００６９】
信頼できるおよび疑わしいトラフィックは最初に同じリソースを使用し、次いで信頼できるトラフィックがネットワーク動作の特定の期間の間にルーティングされる。常時オン・アーキテクチュアの特定の実装では、すべてのフローは既定により「ボトルネック」リソース内に向けられる。ボトルネックは最初に、通常のトラフィックを収容できるほど十分に広く設定される。あるいは、攻撃が開始されるまで、疑わしいトラフィックに対する検出可能な影響はない。通常のネットワーク動作の間、一部のエンドポイントは「信頼できる」になる。これらのエンドポイントが信頼できるものになるときに、こうしたシステムは、信頼できるエンドポイントにボトルネックを回避するよう指示する。あるいは、信頼できるトラフィックは、たとえば異常なネットワーク活動の期間中など様々な他の期間の間、ボトルネックの周りに、別のリソースを介して向けられ得る。
【００７０】
信頼できるおよび疑わしいトラフィックは、時および／またはネットワークの動作に関係なく、それぞれ異なるリソースに割り当てられる。ボトルネック・リソースに入るトラフィックは、たとえば十分には信頼されていないユーザからの（疑わしい）トラフィックなど、悪いおよび／または疑わしいトラフィックを含む。こうしたシステムは、ボトルネックを通って流れる悪いトラフィックをまだ認識さえしていない可能性が高い従来の侵入検出システムに比べて、具体的な利点を有する。したがって、従来のＩＤＳシステムは、悪いトラフィックの阻止（破棄）をそれが手遅れになるまで開始していない可能性が高い。
【００７１】
ＩＶ．利点
サービス・プロバイダは、上記実施形態のうちの１つまたは複数を企業顧客へのサービスとして提供する。このサービスは、これらの顧客に特定の利益をもたらす。たとえば、疑わしいトラフィックが依然としてサービスを受けることを可能にすることによって一部の実施形態は、信頼できるトラフィックが誤って破棄される機会を減少させる。したがって、商売を逃し、また機会を失うことの発生が最小限に抑えられる。したがって、これらの実施形態は具体的には、偽陽性の数を減少させる。さらに、信頼できるトラフィックが疑わしいトラフィックとは別個のリソースを使用することを保証することによって、信頼できるトラフィックのために特別な保護が提供される。たとえば、これらの実施形態の疑わしいトラフィックは、信頼できるトラフィックに影響を及ぼさない。これは、通過を許された疑わしいトラフィックの一部が実際には悪いものであると判断される場合に特に有利である。
【００７２】
さらに、攻撃が一般に企業内またはサービス・プロバイダ・ネットワーク内の輻輳など、負荷関連のパフォーマンス問題を引き起こすことを考慮すると、一部の実施形態は、問題が発生しているネットワークの部分から離すようにトラフィックを向けることによって攻撃関連のパフォーマンス問題を最小限に抑えおよび／または回避する。攻撃を受けるネットワークの負荷、パフォーマンス、輻輳および他の問題については、たとえば２００２年７月２５日に出願された、公開番号２００３／００３９２１２の米国特許出願第１０／０７０５１５号「Method and apparatus for the assessment and optimization of network traffic」、２００１年８月６日に出願された、公開番号２００２／００７８２２３の米国特許出願第０９／９２３９２４号「Method and apparatus for performance and cost optimization in an inter network」、２００１年９月２０日に出願された、公開番号２００２／００７５８１３の米国特許出願第０９／９６０６２３号「Method and apparatus for coordinating routing parameters via a back-channel communication medium」、２００２年１２月１２日に出願された、公開番号２００３／０１６１３２１の米国特許出願第１０／０７０３３８号「Method and apparatus for characterizing the quality of a network path」、および２００３年２月４日に出願された、国際公開番号ＷＯ／０３／０６７７３１のＰＣＴ国際出願第ＰＣＴ／ＵＳ０３／０３２９７号「Load optimization」に記載されている。これらの出願を、参考により本明細書に組み込む。
【００７３】
さらに、上述の諸実施形態の一部は、既存のアーキテクチュアへの代替のおよび／またはスケーラブルな改良を提供している。たとえば、こうしたシステムは、アウトバウンド・パフォーマンス最適化、アウトバウンド・アプリケーション・パフォーマンス最適化、アウトバウンド負荷最適化、インバウンド・パフォーマンス最適化、インバウンド・アプリケーション・パフォーマンス最適化および／またはインバウンド負荷最適化に関する１つまたは複数の方法および／またはシステムの代わりに、またはそれと併せて実装される。これらのコンテキストについては、たとえば上述の参照により組み込まれている諸米国特許出願に記載されている。
【００７４】
本発明について複数の具体的な詳細を参照して述べたが、本発明の精神から逸脱せずに本発明は他の特定の形で実施され得ることが当業者には理解されよう。したがって、本発明は、上記の例示的な詳細によって制限されるものではなく、添付の特許請求の範囲によって定められるものであることが当業者には理解されよう。
【技術分野】
【０００１】
本発明は、ネットワーク・トラフィックのセキュリティに関する。詳細には、本発明は、トラフィック分類および／またはリソース配分を使用することによってネットワーク・トラフィックのセキュリティを提供することに関する。
【背景技術】
【０００２】
本出願は、参照により本明細書に組み込まれている、２００４年９月９日に出願した同時係属の米国仮特許出願第６０／６０９０６２号「METHODS AND SYSTEMS FOR REMOTE OUTBOUND CONTROL, SECURITY STRAWMAN」の米国法典第３５編１１９条に基づく優先権を主張するものである。
【０００３】
相互運用するネットワークの現在の接続世界では、望まれないアクセスおよび望まれない侵入を防ぐことは恒常的な問題である。ネットワークベースの攻撃に対処するための一部の手法は、応答を系統立てて作成するための工程として、侵入の発生を検出することを伴う。一般の侵入検出技術は偽陽性と偽陰性を被り、その両方ともが悲惨な結果をしばしばもたらす。偽陰性は攻撃からネットワークを保護し損なうという結果を招き、偽陽性は商機の逸失、または「虚報を伝えて周囲を騒がせる（cry wolf）」システムをもたらす。したがって、偽陽性は、このタイプの誤りが最終的にはネットワークを真の攻撃から保護するための解決策の効果をも減少させるので、ネットワーク保護の失敗をももたらす。
【０００４】
偽陽性および偽陰性の問題は、一般的な侵入検出システムの２つの特性からもたらされる。たとえばサービス拒否攻撃（ＤｏＳ：Denial of Service）などの侵入または攻撃からデータ・センタ、サーバおよびネットワーク・リソースを保護しようとする多くの製品および手法が存在するにもかかわらず、一般的な手法はすべて、以下の特性を共有している。
（１）この手法は、侵入検出の基礎を、ネットワーク・トラフィックのある種の調査だけに置く。すなわち、この手法がオンラインであろうとオフラインであろうと、各パケットを見て、その特性および内容を調査することによって攻撃が存在するかどうかこの手法が判断する。したがって、より具体的には、検出の助けとするために、ネットワーク内の他のツールおよびプロトコルとの対話から得られる外部からの知識はほとんど使用されない。さらに、トラフィックが信用できるか、それとも悪いと知られているかの判断は、現在のトラフィック自体の調査だけに基づく場合にはしばしば効果的でなく、または有用となるには手遅れである。
（２）侵入検出の結果は「黒」か「白」である。すなわち、トラフィックは信頼できる、または悪いと知られているに分類される。一般に、信頼できるものでも、悪いと知られているものでもないトラフィックの追加の分類はない。従来のシステムには、グレー・ゾーンの概念はない。したがって、中間の知られていない、または疑わしいが、悪いと知られているとはまだ判断されていないトラフィックのカテゴリはない。一般に、特定の実装およびユーザ構成に応じて、こうした疑わしいトラフィックは、信頼できる、または悪いと知られているに分類される。
【０００５】
上述したように、「信頼できる」または「悪いと知られている」の２つのカテゴリしかもたないことの１つの問題は、ユーザが結局はかなりの量の偽陽性、偽陰性またはその両方を有することになることである。偽陰性と偽陽性の両方には、多大な時間および金がかかり得る。偽陽性と偽陰性の両方は、悲惨な結果をもたらし得る。たとえば、偽陰性が発生する場合、検出措置は望まれない侵入に対する保護に失敗し、組織のリソースが侵入者に露呈される。また偽陽性は損害が大きいこともある。実装に応じて、悪いと知られているに分類されたトラフィックは、警告をトリガし、または破棄される（drop）。良いトラフィックを破棄すると一般に、商売を逃し、機会を逸することになり、しばしば追加の結果をもたらす。警告のトリガによって、情報技術（ＩＴ：information technology）要員が発生についての調査に時間を費やすことになり、それは従業員リソース、システムのダウン時間およびお金に関して企業に損失を負わせ得る。複数の誤った警告を有すると、システムが十分な時間「虚報を伝えて周囲を騒がせる」場合には警告が無視され、あるいは安全対策、反応のよい対抗策、ならびに通知および／または保護が効果的であるには過度に低く調整され、保護システムの信頼が損なわれる。これによって、保護システムが真の攻撃を検出し、それから保護する能力が低下する。
【０００６】
１９９６年６月１７日に出願された米国特許第５８３５７２６号「System for securing the flow of and selectively modifying packets in a computer network」および１９９９年４月１日に出願された米国特許第６７０１４３２号「Firewall including local bus」は、ファイヤウォール・タイプのシステムを含めて、上述の従来のシステムについて論じている。米国特許第５８３５７２６号および６７０１４３２号を、参照により本明細書に組み込む。
【先行技術文献】
【特許文献】
【０００７】
【特許文献１】米国仮特許出願第６０／６０９０６２号
【特許文献２】米国特許第５８３５７２６号
【特許文献３】米国特許第６７０１４３２号
【特許文献４】米国特許出願第１０／０７０５１５号
【特許文献５】米国特許出願第０９／９２３９２４号
【特許文献６】米国特許出願第０９／９６０６２３号
【特許文献７】米国特許出願第１０／０７０３３８号
【特許文献８】ＰＣＴ国際出願第ＰＣＴ／ＵＳ０３／０３２９７号
【発明の概要】
【発明が解決しようとする課題】
【０００８】
本発明は、ネットワーク保護のためのシステムおよびその方法である。このシステムは、ネットワークに害を及ぼし得るデータ・トラフィックを防止する。さらに、このシステムは、望まれない潜在的な侵入に関する偽陽性および偽陰性の判断を防止する。
【課題を解決するための手段】
【０００９】
トラフィックは、信頼できる、悪いと知られているおよび疑わしいを含めて、少なくとも３つのカテゴリに分類される。このシステムは、それぞれ異なるトラフィック・カテゴリのためにそれぞれ異なるリソースを使用し得る。これは、悪いデータまたは疑わしいデータがネットワーク・リソースに損害を与えることを防止し、また信頼できるトラフィックに向上されたサービスを提供し得る。このシステムは、ネットワーク・ユーザの履歴および使用を追跡する。履歴は、トラフィックについてどのカテゴリが指定されているか判断する際に使用される。新しいエンドポイントおよび／またはトラフィックは最初に疑わしいものとして取り扱われ、次いで後に信頼できるに格上げされ、または悪いに格下げされ得る。履歴は、向上された取扱いを受け得るいわゆるフリークエント・フライヤーを判断するために使用されることもできる。
【００１０】
悪いと判断されるトラフィックは、破棄され、またはネットワークのエッジへとブラックホールに入れられることもできる。疑わしいトラフィックは、異なるリソースを通って向けられ得る。異なるリソースは、異なる物理リソース、あるいは同じ物理リソース内にあるが、異なる優先度で取り扱われる異なる論理リソースであり得る。攻撃の検出は、ソース・ベース、宛先ベース、フリークエント・フライヤー・ベースまたはフロー・レート・ベースであり得る。
【００１１】
セキュリティ向上のため、追加の境界が、従来の侵入検出と併せて使用され得る。疑わしいおよび悪いトラフィックをそれぞれ異なるネットワーク・リソースで取り扱うことによって、従来の侵入検出方法によってもたらされるどんな誤りの影響もが最小限に抑えられる。本発明は、ハードウェア、ソフトウェアまたはその組合せで実装され得る。
本発明の新規な諸特徴について、添付の特許請求の範囲で述べる。しかし、説明のため、本発明の複数の実施形態について、以下の図面で述べる。
【図面の簡単な説明】
【００１２】
【図１Ａ】本発明によるトラフィック分類のためのプロセスを示す図である。
【図１Ｂ】追加の工程を伴う図１Ａのプロセスを示す図である。
【図２】ネットワークを介して第２の装置にトラフィックを送信する第１の装置を示す図である。
【図３】２つ以上のリソースを使用することによって第２の装置にトラフィックを送信する第１の装置を示す図である。
【図４】第３のリソースを使用する第１の装置を示す図である。
【図５】本発明によるリソース配分のためのプロセス・フローを示す図である。
【図６】ネットワークのリソース配分を概念的に示す図である。
【図７】ネットワークのリソース配分を使用してトラフィックを送信する複数の装置を概念的に示す図である。
【図８】一部の実施形態のネットワーク装置が知的であり、悪いトラフィックを局所的に破棄することを示す図である。
【図９Ａ】一般的な侵入検出システム内のクリティカル境界を概念的に示す図である。
【図９Ｂ】一般的な侵入検出システム内のクリティカル境界を概念的に示す図である。
【図１０】特定の実施形態で実施されるクリティカル境界を概念的に示す図である。
【図１１】本発明のシステム・アーキテクチュアを示す図である。
【図１２】企業アーキテクチュアをさらに詳細に示す図である。
【図１３】サービス・プロバイダ・アーキテクチュアをさらに詳細に示す図である。
【図１４】本発明によるアップストリーム通知を示す図である。
【図１５】本発明によるフィードバック通知を示す図である。
【発明を実施するための形態】
【００１３】
以下の記述では、説明するために、複数の詳細および代替物について述べる。しかし、本発明は、これらの具体的な詳細を使用せずに実施され得ることが当業者には理解されよう。他の場合では、不必要な詳細で本発明の説明を不明瞭にしないために、よく知られている構造および装置がブロック図の形で示されている。以下の節Ｉは、本発明の一部の実施形態のプロセス実施について述べている。節ＩＩは、一部の実施形態の実施によりもたらされるクリティカル境界について述べている。節ＩＩＩは複数のシステム実装について述べており、節ＩＶは本発明の具体的な利点について論じている。
【００１４】
本発明は、ネットワーク・リソースを監視し、インターネットまたは別のネットワークを介してアプリケーションを操作するエンドユーザのシステム上でパフォーマンスを測定するために使用される。監視を使用することによって、ネットワーク活動の固有のビューが、アプリケーションの知識、ネットワーク内のユーザの履歴知識、ユーザが使用するアプリケーション、トラフィック・パターン、ユーザおよびアプリケーションの予想される特性および要件を組み合わせる。この固有のビューは、偽陽性および偽陰性の数を減少させることによって侵入検出の効果を向上させるために使用される。これらの利点は新規の１組のアプリケーション・プログラミング・インターフェース（ＡＰＩ：application programming interface）、ネットワーク管理ツールおよびアプリケーションを使用することによって提供されるが、特定の代替物は、既存の侵入監視ツールに複数の新規な概念を取り入れる。
【００１５】
Ｉ プロセスの実施
Ａ．トラフィックの分類
図１Ａは、本発明の特定の実施形態によって実施されるプロセス１００を示している。図１Ａに示すように、工程１０５で、ネットワーク・リソースが監視される。次いで、工程１１０で、アプリケーション・パフォーマンスも監視される。たとえば、ネットワーク・リソースおよびアプリケーション・パフォーマンスの監視は、エンドユーザのシステム上でネットワークを介したアプリケーション操作のパフォーマンスを測定することを含み得る。ネットワークは、インターネット、ならびにたとえばローカル・エリア・ネットワーク、イントラネット、プライベート・ネットワークおよび仮想プライベート・ネットワークなど、他のタイプのネットワークを含み得る。トラフィックは一般に、ネットワーク内の１つのエンドポイントたとえばソースから、ネットワーク内の別のエンドポイントたとえば宛先に流れる。トラフィックは、ネットワーク上を流れるデータを指す。
【００１６】
一例として、図２は、例示的なネットワーク２００を介して第２の装置２１０にトラフィックを提供する第１の装置２０５を示している。ネットワーク２００は、たとえばインターネット２０１など、ネットワークのネットワークである。第１装置２０５は、宛先の働きをする第２装置２１０へのソースとして働く。第１および第２装置２０５、２１０はそれぞれ、サブネットワーク２０４Ａおよび２０４Ｄに個々に結合される。この実施形態では、第１および第２装置２０５および２１０は、インターネット２０１と、サブネットワーク２０４Ａおよび２０４Ｄとの間のインターフェースを提供する。図２に示すように、トラフィックは、ネットワーク・リソース２１５を通って第２装置２１０に到着する。図２に示すネットワーク２００は例示的なものであることが当業者には理解されよう。したがって、ネットワーク２００は、たとえばＭＰＬＳネットワーク、ＭＰＬＳ−ＶＰＮネットワーク、プライベート・ネットワーク、ＶＰＮネットワークおよび／またはＡＴＭネットワークなど、ネットワークの他のタイプおよび構成を表すものである。
【００１７】
上述したように、トラフィックは、それがネットワークを通ってソースから宛先に流れるときに監視される。図１Ａを再び参照すると、トラフィックがネットワークを通って流れる間、プロセス１００の工程１１５で、トラフィックの第１のサブセットが第１のカテゴリに分類される。第１のカテゴリのトラフィック・タイプは、信頼できる、悪いと知られている、疑わしいトラフィックおよび／またはその組合せを含む。追加のカテゴリ・レベルが、本発明に従って実施され得ることが当業者には理解されよう。次いで、工程１３０で、第１トラフィック・サブセットのカテゴリに基づいて、第２のトラフィック・サブセットについての措置が判断される。次いで、プロセス１００は終了する。第１トラフィック・サブセットは、ネットワーク・リソースの監視および／またはアプリケーションのパフォーマンスの監視に基づいて分類される。同様に、第２サブセットについての措置も、ネットワーク・リソースおよび／またはアプリケーションのパフォーマンスに基づく。
【００１８】
図１Ａに示す特定のプロセス実施の変形形態が当業者にはさらに理解されよう。たとえば、代替実装のプロセスは、追加の工程および／または工程のそれぞれ異なる順序を含む。具体的には、特定の実装のシステムは好ましくは、ネットワークのリソースおよび／またはアプリケーションを監視しながら、ユーザおよびネットワーク使用のそのパターンに基づく情報を含む履歴を追跡する。このシステムは、第１サブセットについての措置を判断し、および／または第２のトラフィック・サブセットを分類することもできる。図１Ｂは、これらの追加の工程を含むプロセス１０１の追加の例示的な実施を示している。複数の図の要素に関して使用されている参照番号は、図示する諸実施形態の同じ要素に関して同じである。たとえば、図１Ｂのプロセス１０１内の同様にラベル付けされた諸工程は、図１Ａのプロセス１００に関して上述した諸工程と同じである。図１Ｂに示すように、第１トラフィック・サブセットが工程１１５で分類された後に、プロセス１０１は工程１２０に移り、第１トラフィック・サブセットについて措置が判断される。次いで、プロセス１０１は工程１２５に移り、第２トラフィック・サブセットが分類される。次いで、工程１３０で、第２トラフィック・サブセットについて措置が判断され、プロセス１０１は工程１３５に移る。工程１３５で、ユーザ、およびそのネットワーク使用パターンの履歴が追跡される。次いで、プロセス１０１は終了する。上述したように、図１Ａおよび１Ｂに示した例示的な実装の可能な変形形態が当業者には理解されよう。たとえば、図１Ｂに示すプロセス１０１の等価のプロセス実施では、第２トラフィック・サブセットは、第１トラフィック・サブセットについて措置が判断される前に分類される。
【００１９】
好ましくは、トラフィックの第１サブセットと第２サブセットは重複しない。たとえば、本発明の特定の代替物によれば、第１トラフィック・サブセットは疑わしいトラフィックを含み、第２トラフィック・サブセットは信頼できるトラフィックを含む。代替の実施形態は、トラフィックをそれぞれ異なるやり方で扱う。たとえば、図３は、こうした実施形態によるネットワークを示している。図３は、追加のネットワーク・リソース３２０があることを除いて、図２と実質上同じ要素を伴う実質上同じネットワークを示している。図３に示すように、信頼できると分類されるトラフィックは、疑わしいトラフィックとは別に、追加のリソース３２０を介してルーティングされる、他の代替実施形態は、悪いと知られているトラフィックの第３のカテゴリを含む。一部の実施形態の悪いトラフィックはさらに、信頼できるおよび疑わしいトラフィックとは別のやり方で扱われる。図４は、追加のネットワーク・リソース４２５があることを除いて、図３と実質上同じ要素を伴う実質上同じネットワークを示している。図４に示すように、悪いと知られていると分類されるトラフィックは、追加のリソース４２５を介してルーティングされる、一部の実施形態では、トラフィックは、信頼できると既に判断されているトラフィックを含む。これらの実施形態については、節ＩＩＩでさらに述べる。
【００２０】
１．トラフィック監視
好ましくは本発明は、トラフィックを観察し、ネットワークのユーザを監視する。代替の実施形態はさらに、１つまたは複数のネットワーク・リソースを監視する。たとえば、一部の実施形態は、帯域幅の使用状況を監視する。これらの実施形態は、ネットワークを介したアプリケーションの操作のパフォーマンスを査定し、宛先での十分なアプリケーション・パフォーマンスを保証する必要性に応じてネットワークに変更を加える（inject）。また他の実施形態は、たとえば重要な取引が最良のサービスを受けることを保証することによって企業ポリシーを実施する。これらの実施形態では、ネットワーク上のユーザの母集団は、共有されるネットワーク・リソースのコストおよび使用を最小限に抑える十分なサービスを受け続ける。
【００２１】
共有されるネットワーク・リソースは、たとえばチャネル、プロトコルおよび／またはサービスなど、トラフィックのためのそれぞれ異なるルーティング機構を含む。これは、リソース配分を制限することによってトラフィックの流れを制約し、および／または変更を加え得る。リソース配分は、それぞれ別のやり方で分類されたトラフィックを、
（１）トラフィックがある方向または別の方向にルーティングされるようにそれぞれ異なるパスに、または
（２）トラフィックが、様々なサービス・レベルによるサービスのためにタグ付けされるようにそれぞれ異なるタグを付けて、または
（３）一部のトラフィック・タイプが他のトラフィック・タイプより優先されるようにそれぞれ異なるマークを付けて割り当てることによって実施され得る。
しかし、使用され得る様々な追加のリソース配分が当業者には理解されよう。リソース配分について、以下でさらに論じる。
【００２２】
２．トラフィックのカテゴリ
トラフィックは、異常な特性を有するトラフィックを検出することによって分類され得る。異常な特性を有するトラフィックが検出されるときに、異常なトラフィックには、トラフィックの信頼度を表す、攻撃の一環であることの非ゼロの確率が割り当てられ得る。信頼度が所定の閾値未満である場合、このシステムはこうしたトラフィックが攻撃であると見なすことができ、異常なトラフィックは疑わしいと分類される。
【００２３】
上述したように、ネットワーク・リソースおよび／またはアプリケーション・パフォーマンスは、第１のトラフィック・サブセットを分類するために監視される。監視および／または分類は、第１および／または第２トラフィック・サブセットについて取るべき措置を判断するために使用され得る。ネットワーク・リソースおよびパフォーマンスを測定することによってこのシステムは、それぞれ異なるリソースに渡るトラフィックの所与のサブセットのアプリケーション・パフォーマンスを認識する。その測定は、トラフィックを信頼できるまたは疑わしいと分類するために使用される。図３に関して上述したように、これらの実施形態は一般に、信頼できるトラフィックを第１の１組のリソースに送信し、疑わしいトラフィックを第２の１組のリソースに送信する。
【００２４】
第１および第２の別個のリソースは、疑わしいトラフィックが信頼できるトラフィックから分離されることを保証する。この分離によって、疑わしいトラフィック、具体的には問題があると判明する疑わしいトラフィック、たとえば後に悪いと判断される疑わしいトラフィックの悪影響が最低限に抑えられる。さらに、一部の実施形態の信頼できるトラフィックによって運ばれるデータには、疑わしいデータと比べて低い遅延など、より高い優先度が与えられる。これらの実施形態では、信頼できるトラフィックは疑わしいトラフィックに先手を取り、それによって、後に有害と判明するデータを運ぶ疑わしいトラフィックの潜在的に有害な効果を最小限に抑える。
【００２５】
３．新しいエンドポイントおよび降格
新しいエンドポイントおよび／または新しいトラフィックは最初に、疑わしいと分類される。これらの新しいエンドポイントおよび／または新しいトラフィックは後に、複数の要因に基づいて、疑わしいカテゴリから信頼できるまたは悪いカテゴリへと調整され得る。さらに、予想されるより多くのトラフィックを生成しているいずれのエンドポイントもが、疑わしいまたは悪いと分類され得る。さらに、異常なトラフィック、および／または異常な振る舞いをしているエンドポイントからのトラフィックは、疑わしいまたは悪いカテゴリに降格され得ることはめずらしい。トラフィックは、たとえばＤｏＳ攻撃からの過度なトラフィックなど、システム内にプログラムされた基準に従ってそれが動作するときに異常と判断される。異常なトラフィックおよび／またはエンドポイントは、当該のトラフィックが以前は信頼できると見なされていた場合でも降格され得る。これらの実施形態は一般に、攻撃の性質に関係なく、信頼できるエンドポイントであると見えるものから生じる攻撃から保護する。たとえば、信頼できるトラフィックが多過ぎるリソースを消費する場合、信頼できるトラフィックでも、信頼できるエンドポイントから行われる攻撃に対して保護するために一時的に降格される。一部の実施形態の信頼できるエンドポイントからの攻撃は、以下を含めて複数の可能なタイプのものであり得る。（１）信頼できるエンドポイントのソース・アドレスがスプーフィングされる。（２）信頼できるエンドポイントが実際には攻撃に関与している。（３）信頼できるエンドポイントが損なわれている。
【００２６】
以前に信頼できると分類されたエンドポイントおよび／またはトラフィックには、たとえば「フリークエント・フライヤー」として特別なステータスが割り当てられ得る。フリークエント・フライヤーのステータスについて、次に詳細に論じる。
【００２７】
４．フリークエント・フライヤー
「フリークエント・フライヤー」の概念が、特定のトラフィック・サブセットのカテゴリの判断および／またはそのサブセットについての措置の判断に役立てるために追加され得る。ネットワークおよびトラフィックを監視する間、特定の宛先または１組の宛先に向けられるトラフィックのソース・アドレスに関する履歴情報が追跡され得る。この履歴に関係する特定のパラメータの動向が発見され得る。一部の実施形態で動向が判断される対象のパラメータは以下を含む。
（１）それぞれのソース・アドレスの出現頻度のヒストグラム
（２）所与のソース・アドレスが１日の所与の時に発生する確率
（３）所与のソース・アドレスからのフロー間の到着時間間隔、および／または
（４）当業者によって理解される別のパラメータまたは動向
【００２８】
パラメータ動向のサブセットが、１つの宛先または１組の宛先に関連してアドレスを「フリークエント・フライヤー」と分類するために使用される。フリークエント・フライヤーは、正当であり、したがって信頼できると判断されるソース・アドレスである。この判断は、このソース・アドレスから当該宛先へのトラフィックの出現頻度および時間に関する履歴の観察に基づく。フリークエント・フライヤーを識別するための他の基準は、（１）そのアドレスから来ており、その宛先または１組の宛先に向けられたトラフィックに関係する時刻についての考慮、（２）トランザクション上の異常、および／または（３）たとえばトランザクションの頻度および／または新しさなど、完了したトランザクションに基づく。
【００２９】
フリークエント・フライヤーの概念は、特定の利点を有する。たとえば、単一パケットのインバウンド攻撃の特性は、かつて見たことのない単一のパケットが、エンドポイントから見えることである。一部の実施形態は、双方向トランザクションを完了するエンドポイントをフリークエント・フライヤーと宣言することによってこの特性を活用する。スプーフィングされるソースは一般に双方向トランザクションを完了し得ないので、スプーフィングされたアドレスの真の所有者による予想される応答は、第１のパケットを破棄しまたは無視することである。したがって、信頼できるデータおよび／またはトラフィックのフリークエント・フライヤー・カテゴリによって、スプーフィングされたソースの攻撃に対する保護を提供し得る。フリークエント・フライヤーの概念を使用する様々な追加の実施形態が当業者には理解されよう。たとえば、トランザクションで第３のパケットが、信頼できるエンドポイントについての良い表示と識別され得る。一部の実施形態は、第３のパケットがリセット（ＲＳＴ）パケットでないことを必要とし得る。
【００３０】
一部の実施形態は、フリークエント・フライヤーを判断するために、トランザクションにおける異常を利用する。これらの実施形態はしばしば、様々なタイプの単一パケットＵＤＰ（user datagram protocol：ユーザ・データグラム・プロトコル)Ｍｉｃｒｏｓｏｆｔ（登録商標）の様々な攻撃、たとえば「スラマー」に対して効果的である。スラマー・タイプの攻撃は、トランザクション上の異常を一般に含む。これらの実施形態はしばしば、かなりの割合のフリークエント・フライヤー顧客に、たとえばスラマー・トラフィックよりも高い優先度のリソースなど、よりよいサービスを提供する。したがって、これらの実施形態のフリークエント・フライヤーは、リソースの優先度が高いため、スラマー・トラフィックによる影響を受けない。感染していない場所からのフリークエント・フライヤー顧客の割合が大きくなるほど、これらの実施形態はスラマー・タイプの攻撃をますます最小限に抑える。図１〜４に示す諸実施形態によって実施される検出および制御は、上述のフリークエント・フライヤーの概念を含む。フリークエント・フライヤーの概念は、サービス・プロバイダおよび／または企業のために実装され得る。これらの実施形態は一般に、サービス・プロバイダと企業の間の通信を伴う。企業および／またはサービス・プロバイダのために実施される様々な実施形態の一部の例については、以下の節ＩＩＩで述べる。しかし、この議論は次に、一部の実施形態のリソースに進む。分類されるとトラフィックは一般に、１つまたは複数のリソースを通ってその宛先に到達しなければならない。
【００３１】
Ｂ．リソース配分
図５は、一部の実施形態のリソース配分のプロセス・フローを示している。この図に示すように、プロセス５００は工程５０５で開始し、データ・ストリームが受信される。一部の実施形態のデータ・ストリームは、データ・パケットを備える。次いで、工程５１０で、パケットは分類され、または上述したように、トラフィックはサブセットに分類される。工程５１５で、トラフィックがたとえば悪いと知られているデータを伴うパケットを含む場合、プロセス５００は工程５２０に移り、一部の実施形態では、悪いデータ（パケット）が破棄される。次いで、プロセス５００は終了する。
【００３２】
工程５１５で、トラフィックが悪いと（工程５１０で）分類されなかった場合、プロセス５００は工程５２５に移り、トラフィックが疑わしいかどうかの判断が行われる。工程５２５でトラフィックが信頼できると判断される場合、プロセス５００は工程５３０に移り、トラフィックは、たとえば信頼できるトラフィック用に指定された第１のリソースに割り当てられる。次いで、プロセス５００は終了する。工程５２５でトラフィックが疑わしい場合は、プロセス５００は工程５３５に移り、トラフィックは、たとえば疑わしいトラフィック用に指定された第２のリソースに割り当てられる。次いで、プロセス５００は終了する。
【００３３】
図６は、一部の実施形態のネットワーク６００が、例えば、リソースのタイプまたは品質によって複数のリソースに分割可能であることを示している。この図に示すように、一部の実施形態のネットワーク・リソースの配分は、疑わしい６３０、信頼できる６３５および悪い６４０トラフィックおよび／またはデータのためのリソースを含む。したがって、ネットワーク６００を通って第１の装置６０５から第２の装置６１０に移動するトラフィックは、これらのリソース・タイプのうちの１つまたは複数に関連付けられる。
【００３４】
図７は、一部の実施形態のリソース配分の別の例を示している。この図に示すように、ネットワーク７００は、疑わしいトラフィック用のリソース７３０と、信頼できるトラフィック７３５用のリソース７３５と、悪いと知られているトラフィック用のリソース７４０と、ソース７０５と、宛先７１０と、複数のネットワーク装置７４５、７５０、７５５および７６０とを含む。一部の実施形態のネットワーク装置７４５、７５０、７５５および７６０は、たとえば、ルータ、ブリッジおよび／または別のネットワーク特徴を含むネットワーク上のノードまたは「ホップ」など、ネットワーク・トポロジの特定の特徴を表す。ネットワーク装置７４５、７５０、７５５および７６０については、節ＩＩＩで以下でさらに論じる。
【００３５】
図７に示すように、ソース７０５から宛先７１０へのトラフィックは、様々な時および／またはネットワーク７００内の場所で、信頼できる、疑わしいまたは悪いと知られていると判断される。一部の実施形態は、トラフィックを分類するために、図１Ａおよび１Ｂに関して上述したプロセスを使用する。次いで、トラフィックの各カテゴリは、そのトラフィック・カテゴリに割り当てられたリソースに向けられる。たとえば、ネットワーク装置７４５からのトラフィックは、疑わしい７３０、信頼できる７３５および／または悪い７４０トラフィック用のリソースに向けられ、ネットワーク装置７５５からのトラフィックは、悪いトラフィック用のリソース７４０に向けられる。図７に示すように、一部の実施形態のリソースは、悪いトラフィックが疑わしいトラフィックに影響を及ぼさず、また疑わしいトラフィックが信頼できるトラフィックに影響を及ぼさないようにする。一部の実施形態は、リソース配分を別のやり方で実施する。これらの違いについて以下で述べる。
【００３６】
１．ブラックホール化
図８は、ネットワーク８００のネットワーク装置８４５、８５０、８５５および８６０が、悪いと分類されたトラフィックを別のやり方で扱い得ることを示している。たとえば、悪いトラフィックは破棄され得る。破棄されたトラフィックは、ネットワークのエッジでブラックホールに入れられる。図８は、トラフィックが破棄されおよび／またはブラックホールに入れられる一例を示している。ネットワーク装置は、データを破棄しおよび／またはブラックホールに入れる能力を含む。これらの実施形態では、データはしばしばパケットの形である。図８に示すように、一部の実施形態のネットワーク装置８４５、８５０、８５５および８６０は、悪いトラフィックを認識しおよび／または破棄するための手段８６５などの拡張された特徴を含む。一部の実施形態は、廃棄されたデータを悪いトラフィック用のリソース８４０などのリソースに配分しおよび／または割り当てずに、破棄および／またはブラックホール化を実施する。このシステムは、悪いと知られているトラフィックがこのように破棄されるように指定されることができ、また一部の実施形態では、破棄されたトラフィックはネットワークのエッジでブラックホールに入れられる。
【００３７】
２．レート制限
疑わしいトラフィックはレート制限され得る。一部の実施形態はトークン・バケットを使用することによってレート制限を達成し、一部の実施形態はたとえば重み付けされた公平なキューイングなど、別の手段によってレート制限を達成する。これらの実施形態では、疑わしいトラフィックに割り当てられる重みは、信頼できるトラフィックに割り当てられる重みより低い。
【００３８】
また、インターネット・サービス・プロバイダなどのサービス・プロバイダは、そのピアに関係する１つまたは複数のパラメータの知識を有する。たとえば、サービス・プロバイダは、その企業顧客のインバウンド・リンクの容量の知識を有する。こうした場合では、一部の実施形態のサービス・プロバイダは、この知識を使用して、企業のリンクの容量が圧倒されないようにトラフィックの流れを抑える。たとえば、特定の企業顧客は、そのサブネットワークの方におよび／またはそれを通って向けられるトラフィックを取り扱うための総インバウンド容量を有する。企業のサブネットワークを通って向けられる信頼できるおよび疑わしいトラフィックの合計が特定の企業サブネットワークの総インバウンド容量より多くなる場合、サービス・プロバイダは、レート制限しまたは疑わしいトラフィックの一部を破棄し得る。これらの場合、サービス・プロバイダは、疑わしいトラフィックを害するほどに、信頼できるトラフィックに関して企業に提供されるサービス品質を維持する。トラフィックのレート制限および／または破棄は、様々な方法を使用することによって達成される。一部の実施形態では、レート制限は、たとえばトークン・バケット、ＴｏＳマーキングおよび／またはＭＰＬＳ（マルチプロトコル・ラベル・スイッチ：multiprotocol label switch）タグを使用することによって実施される。一部の実施形態は、上述したように、バッファ管理手法および／またはブラックホール化を使用することによってパケットを破棄する。追加の手段が、たとえばトラフィックを備えるパケットをレート制限しおよび／または破棄することによってトラフィックを制御するために使用され得ることが当業者には理解されよう。
【００３９】
３．タグ付けおよびルーティング
それぞれ異なるトラフィック・カテゴリのためのリソースは、それぞれ異なるＴｏＳマーキングを備え得る。たとえば、信頼できるトラフィックには、信頼できるトラフィックが他のカテゴリからのトラフィックよりも優先されることを保証するＴｏＳマーキングが割り当てられる。同様に、それぞれ異なるトラフィック・カテゴリは、異なるやり方でルーティングされる。これらの実施形態について、以下の実施例でさらに述べる。一部の実施形態では、それぞれ異なるトラフィック・カテゴリは、それらが論理的にそれぞれ異なる経路を使用するように、異なるやり方でタグ付けされる。
【００４０】
４．論理対物理リソース
一部の実施形態のそれぞれ異なるリソースは、それぞれ異なる論理リソースを含む。それぞれ異なる論理リソースは実際に、同じ物理リソースを共有する。それぞれ異なる論理および／または物理リソースは好ましくは、それぞれ異なる優先度レベルに対応する。たとえば、優先キューイング（ＰＱ：priority queuing）は一部の実施形態のそれぞれ異なる優先レベルを提供するが、一部の実施形態はクラス・ベースの重み付けされた公平キューイング（ＣＢＷＦＱ：class-based weighted fair queuing）を使用して、それぞれ異なる優先度レベルを提供する。
【００４１】
Ｃ．リソース配分を伴う分類の実施例
１．ソース・ベース
それぞれ異なる実施形態は、攻撃の検出、ならびにトラフィックおよびルーティングの制御のためのそれぞれ異なる基準を使用する。上述したように、それぞれ異なる実施形態は、制御を行うために、それぞれ異なるカテゴリ、リソースおよび配分を使用する。検出および制御の対象のトラフィックについて、一部の実施形態はソースを使用するが、一部の実施形態は宛先を使用する。一部の実施形態では、パケットの属性が使用される。一部の実施形態は、特定の宛先アドレスに向けたトラフィックのソースをトラッキングする。ソースおよび／または宛先アドレスに基づいてこれらの実施形態は、トラフィックが信頼できるか、それとも疑わしいか判断する。ソース・アドレスは、トラフィックを適切なリソースに送信するために使用される。たとえば、そのソースのせいで疑わしいと判断されるトラフィックは、疑わしいトラフィックのために予約されたリソースへと向きが変更される。より具体的には、一部の実施形態は、疑わしトラフィックなどのトラフィックを、たとえば以下によって様々なリソースに向ける。
（１）指定された範囲のＴｏＳマーキングをトラフィックに割り当てる。
（２）トラフィックを１組の異なる物理経路に割り当てる。
（３）トラフィックがＭＰＬＳタグ付けされた特定の１組のルートに沿って、または特定の１組のＭＰＬＳ対応ルータに向けられるように、特定のＭＰＬＳタグでトラフィックをマーキングする。
【００４２】
２．宛先ベース
さらに、一部の実施形態は、特定の宛先アドレスまたは１組の宛先を有するトラフィックを追跡する。この宛先アドレスに基づいてこれらの実施形態は、トラフィックが信頼できるか、それとも疑わしいか判断する。一部の実施形態では、宛先アドレスは、トラフィックを適切なリソースに送信するために使用される。たとえば、宛先に基づいて疑わしいと判断されるトラフィックは、一部の実施形態では、疑わしいトラフィックのために予約されたリソースへと向きが変更される。上述したように、一部の実施形態では、たとえばＴｏＳマーキング、特定の物理経路および／またはタグ付けされたルート上のＭＰＬＳタグを使用することによって、それぞれ異なるやり方で疑わしいトラフィックを扱う。
【００４３】
３．フリークエント・フライヤー・ベース
一部の実施形態は、上述のフリークエント・フライヤー・モデルに基づいてトラフィックを識別し、分類しおよび／または制御する。また、上述したように、フリークエント・フライヤー・トラフィックは一般に、このトラフィック・カテゴリに最高のサービス品質を提供するために、最良の使用可能なリソースに割り当てられる。
【００４４】
４．フロー・ベース
他の識別、分類および／または制御方法のコンテキストにおけるソース・ベースおよび／または宛先ベースの分類および／またはリソース配分の諸特徴が適用され得る。たとえば、検出、制御およびフリークエント・フライヤーの地位の判断は、ソースと宛先の情報の組合せに基づく。これらの判断は、フロー単位の情報に基づく。トラフィックを識別しおよび／または分類する他のやり方が当業者には明らかである。たとえば、一部の実施形態は、宛先、あるいは企業、サービス・プロバイダおよび／または他の宛先とのその組合せを含む１組の宛先に基づいて構成される。
【００４５】
Ｄ．他のコンテキスト
上記内容は、他のコンテキストに拡張され得る。これらのコンテキストは、上述のスプーフィングされるソースの単一パケット攻撃、およびたとえば実トランザクションを演じるゾンビ・ファーム（zombie farm）など、追加のコンテキストを含む。これらの場合、成功したトランザクションが、時間をかけて１つまたは複数のエンドポイント単位に追跡される。長期の顧客を含むそれらエンドポイントは信頼できる。これらの実施形態は、新しいどのエンドポイントをも疑わしいまたは悪いと分類し、同様に、一部の実施形態は既定により、知られていないおよび／または新しいトラフィックを、悪いとしてではなく、疑わしいと分類する。
【００４６】
Ｅ．ユーザおよびトラフィック履歴
当技術分野の従来の侵入検出システム（ＩＤＳ：intrusion detection system）は一般にトラフィックが悪いことを判断するが、これらの侵入検出システムは一般に、疑わしいトラフィックが実際には信頼できることを判断しない。以下の節ＩＩは、従来の侵入検出システムの一部の共通の特徴について述べている。一般的な侵入検出システムとは異なり、一部の実施形態は、リソース使用、アプリケーション・パフォーマンス、およびネットワークの様々なユーザの他のパターンの履歴を保持する。履歴は一般に、データベース内に保持される。履歴は一般に、疑わしいトラフィックが信頼されるべきかどうか判断するために使用される。第１のトラフィック・サブセットの分類および／または第２のトラフィック・サブセットについての措置の判断は、１組のアプリケーション管理ツールおよびディレクトリを使用して実施され得る。たとえば、アプリケーション管理ツールおよびディレクトリが、疑わしいトラフィックが信頼されるべきかどうか判断するために使用される。特定の場合では、これらのアプリケーション管理ツールおよびディレクトリは、Ａｖａｙａ Ｉｎｃ．社によって提供される。
【００４７】
信頼できるトラフィックを他のトラフィックと区別するために、ディレクトリからの情報、および他のネットワーク管理およびアプリケーション管理ツールが使用される。これらのツールには、たとえば、ライトウェイト・ディレクトリ・アクセス・プロトコル（ＬＤＡＰ：lightweight directory access protocol）、セッション開始プロトコル（ＳＩＰ：session initiation protocol）および／またはＮｅｔｆｌｏｗｓ（登録商標）コンピュータ・ネットワーク・パフォーマンス・システムが含まれる。Ｎｅｔｆｌｏｗｓ（登録商標）は、ジョージア州ＡｐｐｌｉｎｇのＪａｎｕｓ Ｒｅｓｅａｒｃｈ Ｇｒｏｕｐ ｉｎｃ．社の商標である。ユーザの特性および要件の知識は、トラフィックが本当に信頼できるかどうかの判断に資する。たとえば、一部の実施形態は、所与のユーザが現在特定の地理的領域内に存在し、特定のアプリケーションを実行すると予想され、またセルラ装置を使用していることを知っている。一部の実施形態はＳＩＰディレクトリを使用することによってこの情報を取得するが、一部の実施形態はコール・サーバとの統合によって情報を発見する。トラフィックは、信頼できるエンドポイントの予想されるパターンにそれが一致するかどうか判断するために、このユーザから観察される。第１トラフィック・サブセットのカテゴリを判断する助けとし、および／または第２トラフィック・サブセットについての措置を判断するために、プロトコル・スイートが使用され得る。
【００４８】
一部の実施形態は、たとえば境界ゲートウェイ・プロトコル（ＢＧＰ：border gateway protocol）および単純ネットワーク管理プロトコル（ＳＮＭＰ：simple network management protocol）など、様々なプロトコルを使用することによって、たとえばルータなどの他のネットワーク要素と対話する。これらの実施形態は、検出と制御の両方の段階におけるプロトコルを活用する。たとえば、一部の実施形態は、プレフィックス情報を使用する。これらの実施形態は、知られているアドレス・プレフィックスを有するアドレスから生じる（それを源とする）トラフィックを疑わしいと見なす。次いで、これらの実施形態は、そのプレフィックスからの疑わしいトラフィックが実際に悪いと知られているかどうか判断する。また、疑わしいまたは悪いと知られているトラフィックを制御しようとするときに、一部の実施形態は、適切なプレフィックスを求めて適切なルート変更を送信するために、１組のＢＧＰ制御を活用する。さらに、ＳＮＭＰは、一部の実施形態の検出および制御において相乗作用的な役割を果たす。たとえば一部の実施形態では、検出および／または制御は、たとえばＳＮＭＰから得られるように、負荷の読出しの変化に基づく。
【００４９】
ＩＩ．クリティカル境界の実装
監視、査定および制御技術の提供によって、ネットワーク環境に追加の制約を加えることによりセキュリティ品質の解決策が向上する。追加の境界が、従来の侵入検出システム（ＩＤＳ）の境界と併せて実装される。これらの実施形態は、ネットワーク・トラフィックおよび攻撃に対処する際の追加の粒度レベルを提供する。攻撃に反応する際の巧妙さが向上すると、高い粒度レベルと共に、１つまたは複数のタイプのトラフィック用のリソースを選択することによってトラフィックを制御するシステムの固有の能力が活用される。疑わしいと判断されるトラフィックは、疑わしいトラフィックのために使用されるリソースが信頼できるトラフィックによって使用されるリソースと異なることを保証することによって、害を及ぼすことなしに依然として転送される。高い確実性のレベルで悪いと判断されるトラフィックだけが破棄される。アプリケーション・パフォーマンスを監視することによって、信頼できるトラフィックは、最良のサービス・レベルを受ける。これらの実施形態は、疑わしいトラフィックが受けるサービス・レベルをも制御する。たとえば、最も疑わしいトラフィックは、具体的には攻撃中などリソースが制約されるようになる場合には、最も格下げされたまたは最も低いサービス品質を受ける。
【００５０】
図９Ａおよび９Ｂは、当技術分野で知られている一般的な侵入検出の実装のクリティカル検出境界を概念的に示している。これらの図に示すように、当技術分野で知られている実装のクリティカル境界９０５は、拒否される悪いと知られているトラフィックと、通過を許される他のすべてのトラフィックとの間にある。当技術分野で知られているこれらの手法の欠点は、これらの実装の成功が、悪いトラフィックを武器として使用する攻撃の正確な検出に大きく依存していることである。しかし。上述したように、一般的な実装は、従来の境界で無数の攻撃を検出することにしばしば失敗する。したがって、これらの手法は、偽陽性および偽陰性の形の、斜線で示された大きい誤差範囲をもたらし得る。
【００５１】
それとは異なり、図１０は、本発明の好ましい実施形態によって実装される境界を示している。この図に示すように、一部の実施形態のクリティカル境界１０１０は、信頼できると判断されるトラフィックと、たとえば疑わしいおよび悪いと知られているトラフィックなど、他のすべてのトラフィックとの間にある。したがって、これらの実施形態の攻撃の検出および／または防止の成功は、悪いと知られているトラフィックと他のすべてのトラフィックとの間の従来の境界９０５を正確に特定する高い精度に依存しなくなる。
これは、疑わしいトラフィック・フローが依然としてアクセスを得ることができるという事実を活用し得る。疑わしいトラフィックのこの扱いは、境界をより「中心に」移動する傾向にある。この特徴は、偽陽性と偽陰性の間のより正確な均衡を可能にする。これは、疑わしいものになる、以前には信頼されていたトラフィックを信頼できるステータスから疑わしいステータスに降格または格下げする比較的な緩やかな措置を課すという利点を提供することもできる。したがって、降格は、当技術分野で知られている従来の許可／拒否の境界９０５で取られる措置より緩やかである。
【００５２】
ＩＩＩ．システム実装
Ａ．システムおよびルータ
アプリケーション・プログラミング・インターフェース（ＡＰＩ）、ネットワーク管理ツール、アプリケーションを使用することによって、またエンドユーザへのネットワーク・リソースおよびアプリケーション・パフォーマンスの監視によって、アプリケーション知識、ユーザの履歴知識、そのトラフィック・パターン、およびユーザが使用するアプリケーション、ならびにユーザおよびそのアプリケーションの予想される特性および要件を組み合わせる固有のビューが提供される。より知的なこのビューは、本発明の諸実施形態に、攻撃の検出およびそれへの応答のさらなる知識を提供する。一部の実施形態はさらに、攻撃に対するより厳密なおよび／または巧妙な反応をさらに可能にする。攻撃検出の知性は、標準の侵入検出手法の２つのカテゴリではなく、少なくとも３つのトラフィック・カテゴリを識別することによって大きく向上される。一部の実施形態は、アプリケーションを調査し、アプリケーションの知識の適用を従来のシステムに拡張し、既存の侵入検出システムを他のやり方でさらに向上させる。一部の実施形態は、たとえばダウン時間など、従来のシステムが直面する問題にさらに対処する。
【００５３】
様々な実施形態が、ソフトウェアおよび／またはハードウェアで実装される。ハードウェア実装は、装置、ネットワーク、ならびに／またはソフトウェア、ハードウェアおよび１つまたは複数の装置の組合せを含む。一部の実施形態は、たとえばソフトウェアおよび／またはハードウェアで実装されるルータなどのネットワーク装置内でネットワーク制御および管理機能を実装する。一部の実施形態のネットワーク装置は、当技術分野で知られている一般的な装置に比べて拡張された特徴を含む。これらの拡張型装置には、たとえば、Ａｖａｙａ Ｉｎｃ．社によって提供されるルーティング・インテリジェンス・ユニット（ＲＩＵ：routing intelligence unit）が含まれる。
【００５４】
一部の実施形態は、ネットワーク・アーキテクチュア内でルータおよび／またはルーティング・インテリジェンス・ユニットのうちの１つまたは複数にルート変更を加えることによって制御を行う。これらの実施形態は、トラフィックを所与のトラフィック・カテゴリに適したリソースに割り当てる。たとえば、一部の実施形態は、トラフィック・カテゴリの識別のためにＴｏＳマーキングを割り当てる。これらの実施形態がたとえば信頼できるおよび／またはフリークエント・フライヤ・トラフィックなど、より重要であると識別するトラフィックは、優先される扱いを受ける。
【００５５】
Ｂ．ＩＳＰおよび企業システム
上述した諸実施形態の様々な特徴は、それぞれ異なる実施形態で異なるやり方で組み合わされる。これらの実施形態は、企業および／またはインターネット・サービス・プロバイダ（ＩＳＰ）環境での実装を含む。たとえば図１１は、一部の実施形態のシステム１１００を示している。この図に示すように、システム１１００は、ネットワーク１１１５を介して企業サブネット１１１０に結合されたＩＳＰサブネット１１０５を含む。ネットワーク１１１５は一般に、広域ネットワーク、またはインターネットなどのネットワークのネットワークである。図１１にやはり示すように、ネットワーク・ルーティング装置１１２０、１１２５および１１３０の複数のインスタンスが、ネットワーク１１１５上の１つまたは複数の場所に設置される。図１１のシステム１１００内の装置は、たとえばルーティング・インテリジェンス・ユニット１１２０および１１３０、ならびに標準のルータ１１２５など、ネットワーク化された装置の異種の集合を含む。
【００５６】
Ｃ．実装場所
本発明は、企業および／またはインターネット・サービス・プロバイダのネットワーク内で実装され得る。企業内で実装される場合、一部の実施形態は、企業の中央本社、本社の端、支店内および／または支店の端で実装される。同様に、サービス・プロバイダ内で実装される場合、一部の実施形態は中心で、および／またはサービス・プロバイダのネットワークのエッジで実装される。具体的には、一部の実施形態は、企業および／またはサービス・プロバイダのネットワークのエッジのできるだけ近くに実装される。様々な実装場所は、通知およびフィードバックなどの特定の特徴を提供する。これらの実装について、以下で参照する図に関連して述べる。
【００５７】
１．企業サブネットワークのエッジおよび内部
たとえば、本発明は、企業ネットワークのエッジに配置され得る。これらの実施形態は具体的には、特定のサイトへの入トラフィックをスキャンすることに役立つ。図１２は、企業サブネットワーク１２１０のエッジに位置するネットワーク装置１２３０を含むネットワーク１２００を示している。この図に示すように、サブネット１２１０は、ネットワーク化された装置１２３０および１２３５と連携して動作する。サブネット１２１０は、ネストされた下位サブネット１２５５を含めて、サブネット１２１０を形成する複数のネットワーク装置１２４０、１２４５および１２５０をも含む。ネットワーク装置１２３０はルーティング・インテリジェンス・ユニットである。図１２に示す代表的な実施形態は、企業のサブネット１２１０内に入るトラフィックを分類するために、節Ｉで上記に論じた方法を一般に使用する。したがって、これらの実施形態は一般に、入トラフィックを、信頼できる、疑わしい、または悪いと知られていると分類する。悪いと知られているトラフィックは破棄され、またはブラックホールに入れられるが、信頼できるおよび疑わしいトラフィックは、これらのトラフィック・カテゴリのそれぞれに割り当てられるリソースに向けられる。上述したように、こうしたリソースには、たとえばＴｏＳマーキング、ＭＰＬＳタグ付けされたルート、それぞれ異なる物理リンク、それぞれ異なるルート、および／あるいは１つまたは複数のレート制御装置が含まれる。一部の実施形態では、レート制御は、トークン・バケットを使用することによって達成される。たとえば、一部の実施形態では、疑わしいトラフィックは、トークン・バケットを使用することによってサイトの基盤内でレート制限される。図１２にやはり示すように、追加のルーティング・インテリジェンス・ユニット１２５０が、企業サブネットワーク１２１０の基盤のかなり内部に置かれる。一部の実施形態はサブネットワーク１２１０内に下位サブネットのネストされた複数の層を有し、また追加のネットワーク装置および／またはルーティング・ユニットが任意選択で、ネストされたこれらのサブネットワークの非常に深い層内に設置されることが当業者には理解されよう。
【００５８】
ネットワーク装置１２３５〜４５は、それぞれ異なるサーバであり得る。こうした実施形態では、企業サブネットワーク１２１０内に入る信頼できるおよび疑わしいトラフィック・ストリームは、それぞれ異なるサーバ１２３５〜４５に向けられる。たとえば、一部の実施形態の疑わしいトラフィックは具体的にはネットワーク・サーバ装置１２４０に向けられるが、信頼できるトラフィックは信頼できるサーバ１２４５に向けられる。これらの実施形態は、信頼できるサーバが疑わしいトラフィックの内容によって影響を受ける状態にする可能性を小さくする。
【００５９】
図１２に示すネストされた装置および／またはサブネットワークのアーキテクチュアは、さらなる利点を有する。たとえば、ルーティング・インテリジェンス・ユニットの複数の設置１２３０および１２５０は、サイト、およびサイト内の様々な場所に向かう予定のトラフィックが、複数の段階で、様々な粒度レベルでチェックされることを可能にする。さらに、これらの実施形態では、悪いと知られているトラフィックは、ルーティング・インテリジェンス・ユニット１２３０で、またルーティング・インテリジェンス・ユニット１２５０でも破棄される。さらに、前に分類されたトラフィックは、これらの様々な位置で、格の上げ下げが行われる。さらに、図１２に示すルーティング・インテリジェンス・ユニット１２５０は、サイトの基盤内のより深くに、また特定のサーバのより近くに設置される。この位置の配置は、近くのサーバのためにより特化された検出および／または制御を可能にするなど、特定の利点を有する。
【００６０】
さらに、このシステム・アーキテクチュアは、それぞれ異なるサーバのサイト・サブネットワーク内の深くに到達するトラフィック量が、サイトのエッジで交差する総トラフィック量より小さいので、スケーラビリティを向上させ得る。さらに、本発明は、それぞれ異なるトラフィック・カテゴリをそれぞれ異なるサーバに向けるなど、前の実施例で述べた諸機能を実施する。
【００６１】
２．サービス・プロバイダ・サブネットワークのエッジおよび内部
図１３は、一部の実施形態のネットワーク装置が、サービス・プロバイダ・サブネット１３０５の複数の位置、たとえばネットワーク装置１３３０、１３５０および１３６０上にも設置されるネットワーク１３００を示している。この図に示す例示的なサイト（この場合、例示的なサービス・プロバイダ・サイト１３０５）は、サイト内への２つ以上のエントリ・ポイントを含む。具体的には、これらのエントリ・ポイントは、それぞれネットワーク装置１３３０および１３６０によって保護される。これらの外部の設置１３３０および１３６０は一般に、節Ｉで上述した方法のうちの１つまたは複数を使用して、エントリ・ポイントでトラフィックを調査しおよび／または分類する。上述したように、悪いと知られているトラフィックは、それがサイト１３０５内に入る前に破棄され得る。
【００６２】
やはり図１３に示すように、サービス・プロバイダ・サブネット１３０５は、下位サブネット１３５５、およびサイト内に設置されたネットワーク装置１３５０をも含む。したがって、図１２に示す企業モデルと同様に、一部の実施形態のサービス・プロバイダ・サブネット１３０５は、外部の設置１３３０および１３６０、ならびに内部の設置１３５０を含む。これらの実施形態では、それぞれ異なる設置場所が、複数の回線、および／または攻撃からの防御レベルを提供する。具体的には、内部設置１３５０は、サービス・プロバイダ・サイト１３０５のためのより粒度の高い検出および制御を提供する。
【００６３】
さらに、複数の設置は、サイト内に追加の特徴を提供し得る。これらの追加の特徴は、フィードバックおよび／またはアップストリーム通知を含む。たとえば、図１３に示すように、内部設置１３５０は、アップストリーム通知を使用することによって、そのより詳細な情報をネットワーク・エッジの外部設置１３３０と共有する。これらの実施形態のアップストリーム通知は一般に、たとえば（１）フリークエント・フライヤー情報を含めて、信頼できると判断されるトラフィック、（２）疑わしいと判断されるトラフィックおよび／または（３）悪いと判断されるトラフィックに関する制御／シグナリング・タイプの情報を含む。一部の実施形態のアップストリーム通知は、サイトのエッジの外部設置１３３０に、それぞれ異なるトラフィック・カテゴリについて異なるやり方で振舞うように要求する。一部の実施形態は、上述のそれぞれ異なるトラフィック・カテゴリについて異なる措置を実施する。同様に、外部位置１３３０は、サービス・プロバイダ・サブネットワーク１３０５内のある場所に向かう予定のトラフィックに関して情報を前方に送る。
【００６４】
３．さらなる通知例
上述のサイト内の通知は、サイト間の場所に適応され得る。こうしたシステムでは、サービス・プロバイダと企業の両方のサブネットワーク内のルーティング・インテリジェンス・ユニットなどのネットワーク装置は、上述の諸機能のうちの１つまたは複数を独立に実施する。サービス・プロバイダは、企業のネットワークに向けられた疑わしいトラフィックの存在について企業に通知する。これらの実施形態では、サービス・プロバイダは、トラフィック分類および制御に関係する様々な側面について企業に通知する。一部の実施形態のサービス・プロバイダは、企業顧客へのサービスとして通知を提供する。たとえば、図１４は、追加の制御タイプの情報、たとえば、企業１４１０に向けられたトラフィックが疑わしトラフィックを含むことの情報を付けて企業１４１０に通知するサービス・プロバイダ１４０５を含むネットワーク１４００を示している。図１４に示す異種のネットワーク装置の混合物は、ルーティング・インテリジェンス・ユニット１２３０および１３３０などの「インテリジェント」装置、ならびに一般的なルータ１４３５などの標準のネットワーク装置を含む。一部の実施形態は、インテリジェント装置を使用することによって、通知などの制御−信号情報を送受信する。
【００６５】
図１５は、企業サブネット１５１０上のネットワーク装置１２３０が、アップストリーム・サービス・プロバイダ１５０５上に置かれたネットワーク装置１３３０にフィードバック通知を送信することを示している。これらの通知は一般に、たとえば受信されたトラフィックの分類に関する情報など、制御タイプの情報をも含む。企業はしばしば、たとえばトラフィック・フローに関するより進歩した検出手法を使用することによって、より多くの知識を有するよりよい状況に置かれる。一部の実施形態の企業はさらに、サービス・プロバイダによりよいアップストリーム通知を提供する。たとえば、トラフィックは、企業の構内を離れるときにしばしば暗号化される。したがって、ネットワーク装置は、具体的にはサービス・プロバイダのエッジでは、分類／格付けの判断においてトラフィック（パケット）の内容を使用することができない。これらの判断については、図１〜６に関連して上記で論じている。
【００６６】
一部の実施形態の通知はさらに、たとえば、疑わしいとマーク付けされる特定のソースの識別、企業によって判断されるフリークエント・フライヤーのリスト、その場所のルーティング・インテリジェンス・ユニットに関する追加の情報、および／あるいは疑わしいトラフィックまたは疑わしいトラフィックのサブセットのレート制限に関する情報を含む。一部の実施形態では、レート制限によって、企業のインバウンド・リンクが圧倒されることを防止する。
【００６７】
Ｄ．常時オン・アーキテクチュアの提供
１．受動制御
一部の実施形態のネットワーク・ルーティング制御は「受動的」である。受動制御は、制御および保護の特性が常にオンであることを示す。これらの実施形態は、攻撃の検出に基づくトリガを必要としない。これらの実施形態の一部はさらに、完全に正当なトラフィックからなる攻撃に対処する。したがって、一部の実施形態は、「よりスマートな」攻撃を検出する。たとえば、一部の実施形態は、正当なソースから異常な負荷パターンを検出する。場合によっては、これらの実施形態は、負荷パラメータおよび／または一般的な侵入検出システムによっては検出不可能なパターンを検出する。ソースまたはタイプに関係なく、一部の実施形態は、攻撃が開始する場合に、攻撃が進行中であることを判断する必要はない。そうではなく、一部の実施形態では、信頼できるユーザは順調な体験を有し、攻撃は自動的に自己制限される。
【００６８】
２．常時オン
一部の実施形態は、攻撃が実際に行われているかどうか判断する能力に依存しない。図１〜６に関して上述したプロセスの判断は、通常と攻撃の状態のもとで同じ働きをするように設定される。こうしたシステムは、疑わしいトラフィックを検出し、疑わしいトラフィックの扱いに対する従来の手法を必ずしも必要としないやり方でそれを取り扱う。上述したように、当技術分野の一般的な手法は、疑わしいトラフィックを、悪いと知られているまたは信頼できるものとして取り扱う。さらに、悪いと知られているトラフィックは一般に破棄され、信頼できるトラフィックは一般に、信頼できるトラフィック用に指定されたリソースに送信される。したがって、一般的な手法は、不所望に多くの偽陽性および偽陰性をもたらす。それとは異なり、一部の実施形態はそうではなく、トラフィックが信頼できると判明する前はそれを疑わしいと扱うことによって「常時オン」アーキテクチュアを実装する。このように、こうしたシステムは、トラフィックが目標の宛先に攻撃データを運ぶ前には攻撃が容易に識別されない場合でも、攻撃の影響を最小限に抑える。これらの実施形態は、様々なやり方で実施される。たとえば、
（１）通常なトラフィックが通常の状態では有利な扱いを受ける。
（２）通常なトラフィックが通常の状態では有利な扱いを受けない。または
（３）通常なトラフィックが、整っている企業ポリシーに従って、または別の原理に従って有利なステータスを受ける。これらの実施形態の一部について次に述べる。
【００６９】
信頼できるおよび疑わしいトラフィックは最初に同じリソースを使用し、次いで信頼できるトラフィックがネットワーク動作の特定の期間の間にルーティングされる。常時オン・アーキテクチュアの特定の実装では、すべてのフローは既定により「ボトルネック」リソース内に向けられる。ボトルネックは最初に、通常のトラフィックを収容できるほど十分に広く設定される。あるいは、攻撃が開始されるまで、疑わしいトラフィックに対する検出可能な影響はない。通常のネットワーク動作の間、一部のエンドポイントは「信頼できる」になる。これらのエンドポイントが信頼できるものになるときに、こうしたシステムは、信頼できるエンドポイントにボトルネックを回避するよう指示する。あるいは、信頼できるトラフィックは、たとえば異常なネットワーク活動の期間中など様々な他の期間の間、ボトルネックの周りに、別のリソースを介して向けられ得る。
【００７０】
信頼できるおよび疑わしいトラフィックは、時および／またはネットワークの動作に関係なく、それぞれ異なるリソースに割り当てられる。ボトルネック・リソースに入るトラフィックは、たとえば十分には信頼されていないユーザからの（疑わしい）トラフィックなど、悪いおよび／または疑わしいトラフィックを含む。こうしたシステムは、ボトルネックを通って流れる悪いトラフィックをまだ認識さえしていない可能性が高い従来の侵入検出システムに比べて、具体的な利点を有する。したがって、従来のＩＤＳシステムは、悪いトラフィックの阻止（破棄）をそれが手遅れになるまで開始していない可能性が高い。
【００７１】
ＩＶ．利点
サービス・プロバイダは、上記実施形態のうちの１つまたは複数を企業顧客へのサービスとして提供する。このサービスは、これらの顧客に特定の利益をもたらす。たとえば、疑わしいトラフィックが依然としてサービスを受けることを可能にすることによって一部の実施形態は、信頼できるトラフィックが誤って破棄される機会を減少させる。したがって、商売を逃し、また機会を失うことの発生が最小限に抑えられる。したがって、これらの実施形態は具体的には、偽陽性の数を減少させる。さらに、信頼できるトラフィックが疑わしいトラフィックとは別個のリソースを使用することを保証することによって、信頼できるトラフィックのために特別な保護が提供される。たとえば、これらの実施形態の疑わしいトラフィックは、信頼できるトラフィックに影響を及ぼさない。これは、通過を許された疑わしいトラフィックの一部が実際には悪いものであると判断される場合に特に有利である。
【００７２】
さらに、攻撃が一般に企業内またはサービス・プロバイダ・ネットワーク内の輻輳など、負荷関連のパフォーマンス問題を引き起こすことを考慮すると、一部の実施形態は、問題が発生しているネットワークの部分から離すようにトラフィックを向けることによって攻撃関連のパフォーマンス問題を最小限に抑えおよび／または回避する。攻撃を受けるネットワークの負荷、パフォーマンス、輻輳および他の問題については、たとえば２００２年７月２５日に出願された、公開番号２００３／００３９２１２の米国特許出願第１０／０７０５１５号「Method and apparatus for the assessment and optimization of network traffic」、２００１年８月６日に出願された、公開番号２００２／００７８２２３の米国特許出願第０９／９２３９２４号「Method and apparatus for performance and cost optimization in an inter network」、２００１年９月２０日に出願された、公開番号２００２／００７５８１３の米国特許出願第０９／９６０６２３号「Method and apparatus for coordinating routing parameters via a back-channel communication medium」、２００２年１２月１２日に出願された、公開番号２００３／０１６１３２１の米国特許出願第１０／０７０３３８号「Method and apparatus for characterizing the quality of a network path」、および２００３年２月４日に出願された、国際公開番号ＷＯ／０３／０６７７３１のＰＣＴ国際出願第ＰＣＴ／ＵＳ０３／０３２９７号「Load optimization」に記載されている。これらの出願を、参考により本明細書に組み込む。
【００７３】
さらに、上述の諸実施形態の一部は、既存のアーキテクチュアへの代替のおよび／またはスケーラブルな改良を提供している。たとえば、こうしたシステムは、アウトバウンド・パフォーマンス最適化、アウトバウンド・アプリケーション・パフォーマンス最適化、アウトバウンド負荷最適化、インバウンド・パフォーマンス最適化、インバウンド・アプリケーション・パフォーマンス最適化および／またはインバウンド負荷最適化に関する１つまたは複数の方法および／またはシステムの代わりに、またはそれと併せて実装される。これらのコンテキストについては、たとえば上述の参照により組み込まれている諸米国特許出願に記載されている。
【００７４】
本発明について複数の具体的な詳細を参照して述べたが、本発明の精神から逸脱せずに本発明は他の特定の形で実施され得ることが当業者には理解されよう。したがって、本発明は、上記の例示的な詳細によって制限されるものではなく、添付の特許請求の範囲によって定められるものであることが当業者には理解されよう。
【特許請求の範囲】
【請求項１】
ａ．ネットワーク内のトラフィックを使用することによってユーザを自動的に発見するステップと、
ｂ．前記ユーザに関連するアプリケーションのパフォーマンスを監視するステップと、
ｃ．前記アプリケーションのパフォーマンスを査定するステップと、
ｄ．前記トラフィックを制御するステップとを備える、方法。
【請求項２】
前記トラフィックを制御するステップが、負荷、コストおよびアプリケーション・パフォーマンス制約の間に適切な均衡を実施するステップを備え、前記トラフィックを制御するステップが複数の任意選択可能なリソースを備え、前記リソースが、リンク、経路、ＭＰＬＳタグ、サービス・タイプ（ＴｏＳ）マーキングおよび仮想ローカル・アクセス・ネットワーク（ＶＬＡＮ）のうちの１つを含む請求項１に記載の方法。
【請求項３】
適応ネットワーキングのためのシステムであって、
複数のサブセットを含むトラフィックを備え、第１のサブセットが疑わしいトラフィックを含み、さらに、
前記トラフィック用のリソースと、
前期トラフィックを受信する第１の装置とを備え、前記第１の装置は、前記受信されたトラフィックを分類するよう構成され、そして、分類された前記トラフィックを前記リソースに任意に割り当てるよう任意に構成される、システム。
【請求項１】
ａ．ネットワーク内のトラフィックを使用することによってユーザを自動的に発見するステップと、
ｂ．前記ユーザに関連するアプリケーションのパフォーマンスを監視するステップと、
ｃ．前記アプリケーションのパフォーマンスを査定するステップと、
ｄ．前記トラフィックを制御するステップとを備える、方法。
【請求項２】
前記トラフィックを制御するステップが、負荷、コストおよびアプリケーション・パフォーマンス制約の間に適切な均衡を実施するステップを備え、前記トラフィックを制御するステップが複数の任意選択可能なリソースを備え、前記リソースが、リンク、経路、ＭＰＬＳタグ、サービス・タイプ（ＴｏＳ）マーキングおよび仮想ローカル・アクセス・ネットワーク（ＶＬＡＮ）のうちの１つを含む請求項１に記載の方法。
【請求項３】
適応ネットワーキングのためのシステムであって、
複数のサブセットを含むトラフィックを備え、第１のサブセットが疑わしいトラフィックを含み、さらに、
前記トラフィック用のリソースと、
前期トラフィックを受信する第１の装置とを備え、前記第１の装置は、前記受信されたトラフィックを分類するよう構成され、そして、分類された前記トラフィックを前記リソースに任意に割り当てるよう任意に構成される、システム。
【図１Ａ】
【図１Ｂ】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９Ａ】
【図９Ｂ】
【図１０】
【図１１】
【図１２】
【図１３】
【図１４】
【図１５】
【図１Ｂ】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９Ａ】
【図９Ｂ】
【図１０】
【図１１】
【図１２】
【図１３】
【図１４】
【図１５】
【公開番号】特開２０１１−６５６５３（Ｐ２０１１−６５６５３Ａ）
【公開日】平成２３年３月３１日（２０１１．３．３１）
【国際特許分類】
【出願番号】特願２０１０−２２７２５２（Ｐ２０１０−２２７２５２）
【出願日】平成２２年１０月７日（２０１０．１０．７）
【分割の表示】特願２００７−５３１４３５（Ｐ２００７−５３１４３５）の分割
【原出願日】平成１７年９月８日（２００５．９．８）
【出願人】（５００３１０３３９）アバイア インコーポレーテッド (35)
【Ｆターム（参考）】
【公開日】平成２３年３月３１日（２０１１．３．３１）
【国際特許分類】
【出願日】平成２２年１０月７日（２０１０．１０．７）
【分割の表示】特願２００７−５３１４３５（Ｐ２００７−５３１４３５）の分割
【原出願日】平成１７年９月８日（２００５．９．８）
【出願人】（５００３１０３３９）アバイア インコーポレーテッド (35)
【Ｆターム（参考）】
[ Back to top ]