通信システム、通信装置、サーバ、通信方法
【課題】外部装置に対して受信パケットに適用する処理内容を問い合わせて学習するタイプの通信装置において、ＤｏＳ攻撃等への耐性を高め、かつ、その負荷の上昇を抑える構成の提供。
【解決手段】通信システムは、不正パケットであるか否かを判別するための定義パタンとパケットとを照合することにより不正パケットを廃棄し、その他のパケットについては送信元に対し該パケットに適用する処理内容を通知するサーバと、前記サーバに対し未知のパケットを転送し、前記サーバから通知された処理内容に基づいて、受信パケットを処理する通信装置と、を含む。
【解決手段】通信システムは、不正パケットであるか否かを判別するための定義パタンとパケットとを照合することにより不正パケットを廃棄し、その他のパケットについては送信元に対し該パケットに適用する処理内容を通知するサーバと、前記サーバに対し未知のパケットを転送し、前記サーバから通知された処理内容に基づいて、受信パケットを処理する通信装置と、を含む。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、通信システム、通信装置、サーバ、通信方法およびプログラムに関し、特に、外部装置に対して受信パケットに適用する処理内容を問い合わせて学習する通信装置を含む通信システム、通信装置、サーバ、通信方法およびプログラムに関する。
【背景技術】
【０００２】
特許文献１に、異常トラフィックに対する対処（フィルタリング、帯域制限等）をなしうるようにしたトラフィック制御システムが開示されている。同文献によると、異常トラフィック検出装置は、異常トラフィックを検出した場合に、管理サーバに対して、検出した異常トラフィックの情報を通知する。管理サーバは、通知された異常トラフィック情報に含まれる異常トラフィックの送信元情報により認証サーバから異常トラフィックを送信したユーザを特定する。さらに、管理サーバは、あらかじめ規定しておいたユーザ毎の異常トラフィック対処方法であって、異常トラフィックを送信したユーザに該当する対処方法を、異常トラフィック検出装置に送信する。異常トラフィック検出装置は、その対処方法に従って、トラフィック制御に関する設定を行う、と記載されている。
【０００３】
また、特許文献２、非特許文献１、２には、オープンフローという仕組みが提案されている。このオープンフローでは、ネットワークに配置されたオープンフロースイッチは、オープンフローコントローラという制御装置に対して受信パケットに適用する処理内容を問い合わせて学習する。このようなオープンフローには、フロー単位での経路制御、障害回復、負荷分散、最適化を、安価なスイッチで実現できるという利点がある。
【先行技術文献】
【特許文献】
【０００４】
【特許文献１】特開２００８−１１３４０９号公報
【特許文献２】国際公開第２００８／０９５０１０号
【非特許文献】
【０００５】
【非特許文献１】Ｎｉｃｋ ＭｃＫｅｏｗｎほか７名、“ＯｐｅｎＦｌｏｗ： Ｅｎａｂｌｉｎｇ Ｉｎｎｏｖａｔｉｏｎ ｉｎ Ｃａｍｐｕｓ Ｎｅｔｗｏｒｋｓ”、［ｏｎｌｉｎｅ］、［平成２３（２０１１）年７月２６日検索］、インターネット〈URL: http://www.openflow.org/documents/openflow-wp-latest.pdf〉
【非特許文献２】“ＯｐｅｎＦｌｏｗ Ｓｗｉｔｃｈ Ｓｐｅｃｉｆｉｃａｔｉｏｎ” Ｖｅｒｓｉｏｎ １．１．０ Ｉｍｐｌｅｍｅｎｔｅｄ （Ｗｉｒｅ Ｐｒｏｔｏｃｏｌ ０ｘ０２） ［平成２３（２０１１）年７月２６日検索］、インターネット〈URL:http://www.openflow.org/documents/openflow-spec-v1.1.0.pdf〉
【発明の概要】
【発明が解決しようとする課題】
【０００６】
以下の分析は、本発明によって与えられたものである。特許文献２、非特許文献１、２のオープンフロースイッチのように、外部装置に対して受信パケットに適用する処理内容を問い合わせて学習するタイプの通信装置では、ＤｏＳ攻撃（Ｄｅｎｙ ｏｆ Ｓｅｒｖｉｃｅ Ａｔｔａｃｋ）のような不正パケットを大量に受信すると、負荷が上昇してしまい、その他の不正でないパケットの処理に影響を与えてしまうという問題点がある。
【０００７】
一般のルータ装置等では、ＭＡＣアドレスやＩＰアドレス等といった予め用意した条件によるフィルタリング処理を行うことで、不正な受信を防御するといった方法が知られている。しかしながら、この方法では、パケット受信の都度、通信装置の運用メモリ領域に展開されたフィルタ条件を参照して検索を行うことになり、上記したタイプの通信装置の負荷を低減することにはつながらない。加えて、防御性を高めるために、細かく、複雑、大量のフィルタ条件を登録すると、相応の運用系メモリ領域が占有され、負荷も増大してしまうことになる。
【０００８】
本発明は、上記した事情に鑑みてなされたものであって、その目的とするところは、外部装置に対して受信パケットに適用する処理内容を問い合わせて学習するタイプの通信装置のＤｏＳ攻撃等への耐性を高めつつ、その負荷の上昇を抑えることのできる通信システム、通信装置、サーバ、通信方法およびプログラムを提供することにある。
【課題を解決するための手段】
【０００９】
本発明の第１の視点によれば、不正パケットであるか否かを判別するための定義パタンとパケットとを照合することにより不正パケットを廃棄し、その他のパケットについては送信元に対し該パケットに適用する処理内容を通知するサーバと、前記サーバに対し未知のパケットを転送し、前記サーバから通知された処理内容に基づいて、受信パケットを処理する通信装置と、を含む通信システムが提供される。
【００１０】
本発明の第２の視点によれば、不正パケットであるか否かを判別するための定義パタンとパケットとを照合することにより不正パケットを廃棄し、その他のパケットについては送信元に対し該パケットに適用する処理内容を通知するサーバと接続され、前記サーバに対し未知のパケットを転送し、前記サーバから通知された処理内容に基づいて、受信パケットを処理する通信装置が提供される。
【００１１】
本発明の第３の視点によれば、上記した通信装置と、接続され、不正パケットであるか否かを判別するための定義パタンと前記通信装置から送信された前記未知のパケットとを照合することにより不正パケットを廃棄し、その他のパケットについては前記通信装置に対し該パケットに適用する処理内容を通知するサーバが提供される。
【００１２】
本発明の第４の視点によれば、不正パケットであるか否かを判別するための定義パタンを用いて、通信装置から処理内容の問い合わせを受けたパケットのうち不正パケットを廃棄するステップと、前記通信装置に対し、その他のパケットに適用する処理内容を通知するステップと、前記通知された処理内容に基づいて、受信パケットを処理するステップと、を含む通信方法が提供される。本方法は、通信装置に対し処理内容を通知するサーバという、特定の機械に結びつけられている。
【００１３】
本発明の第５の視点によれば、上記した通信装置およびサーバにそれぞれ実行させるコンピュータプログラムが提供される。なお、このプログラムは、コンピュータが読み取り可能な記憶媒体に記録することができる。即ち、本発明は、コンピュータプログラム製品として具現することも可能である。
【発明の効果】
【００１４】
外部装置に対して受信パケットに適用する処理内容を問い合わせて学習するタイプの通信装置において、ＤｏＳ攻撃等への耐性を高め、かつ、その負荷の上昇を抑えることが可能となる。
【図面の簡単な説明】
【００１５】
【図１】本発明の一実施形態の構成を表わした図である。
【図２】本発明の一実施形態の動作を説明するための図である。
【図３】本発明の第１の実施形態の通信装置（スイッチ）の構成を表わしたブロック図である。
【図４】本発明の第１の実施形態の通信装置（スイッチ）の動作を説明するための図である。
【図５】本発明の第１の実施形態の通信装置（スイッチ）の動作を説明するための図である。
【図６】本発明の第２の実施形態の通信装置（スイッチ）の構成を表わしたブロック図である。
【図７】本発明の第２の実施形態の通信装置（スイッチ）の動作を説明するための図である。
【図８】本発明の第２の実施形態の通信装置（スイッチ）の動作を説明するための図である。
【図９】本発明の第３の実施形態の通信装置（スイッチ）の構成を表わしたブロック図である。
【発明を実施するための形態】
【００１６】
はじめに本発明の一実施形態の概要について図面を参照して説明する。なお、この概要に付記した図面参照符号は、理解を助けるための一例として各要素に便宜上付記したものであり、本発明を図示の態様に限定することを意図するものではない。
【００１７】
本発明は、その一実施形態において、サーバ２０と、サーバ２０に対し未知のパケットを転送し、サーバ２０から通知された処理内容に基づいて、受信パケットを処理する通信装置１０と、を含む構成にて実現できる。ここで、未知のパケットとは、通信装置１０が、その内部の転送テーブルや非特許文献２のフローテーブル等に、当該パケットの処理内容を規定したエントリがないパケットをいうものとする。
【００１８】
前記サーバ２０は、通信装置１０から未知のパケットを受信すると、不正パケットであるか否かを判別するための定義パタン（図１の不正パケット定義パタン２１）とを照合する。前記照合の結果、不正パケットであると判定した場合、サーバ２０は不正パケットを廃棄する。一方、前記照合の結果、不正パケットでないと判断した場合、サーバ２０は、送信元の通信装置１０に対し該パケット（その他のパケット）に適用する処理内容を通知する。不正パケット定義パタン２１は、例えば、不正な送信元あるいは正規の送信元を判別するためのＭＡＣアドレスやＩＰアドレス等を含んだ構成とすることができる。
【００１９】
上記構成を備えることにより、図２に示すように、例えば、ＤｏＳ攻撃のような不正パケットが通信装置に送られると、通信装置１０においてはフィルタ条件等の照合が行われることはない。そして、サーバ２０が不正パケット定義パタン２１との照合を行い、不正パケットとして廃棄が行われる。このため、サーバ２０における不正パケット定義パタン２１を細かく複雑なものにしても、通信装置の負荷が上昇することはない。
【００２０】
［第１の実施形態］
続いて、本発明の第１の実施形態について図面を参照して詳細に説明する。図３は、本発明の第１の実施形態の通信装置（スイッチ）の構成を表わしたブロック図である。
【００２１】
図３を参照すると、インタフェース部１１−１、１１−２と、サーバ通信部１２と、共通制御部１３と、照合部１４と、処理規則管理部１５と、パケット処理部１６と、を備えたスイッチ１０Ａが示されている。
【００２２】
インタフェース部１１−１、１１−２は、他の装置とパケットを送受信する物理ポートによって構成される。なお、図３の例では、２つのインタフェース部を示しているが、インタフェース部は、３つ以上あってもよい。
【００２３】
サーバ通信部１２は、図１に示したサーバ２０と通信するためのｏｕｔ−ｂａｎｄポートによって構成される。なお、サーバ通信部１２は、インタフェース部のポートをサーバ用に割り当てることでもよい。
【００２４】
処理規則管理部１５は、テーブルなどを用いて、パケットを特定するためのマッチングキーと、前記マッチングキーに適合するパケットに適用する処理内容（転送、ヘッダ書き換え、廃棄等）と、を対応付けた処理規則を管理する。なお、このような処理規則としては、非特許文献２のフローエントリを用いることもできる。また、この処理規則は、非特許文献２のフローテーブルのようなテーブルに格納して管理することもできる。
【００２５】
共通制御部１３は、照合部１４からの要求に応じて、サーバ２０に対し、未知のパケットを送信する。また、共通制御部１３は、サーバ２０から、前記未知のパケットを特定するためのマッチングキーと、このマッチングキーに適合する処理内容を受信すると、これらを用いて処理規則を生成し、処理規則管理部１５に送信する。また、共通制御部１３は、サーバ２０から送信指示を受けたパケット（未知のパケット）をパケット処理部１６に送信し、サーバ２０から指示されたポート（例えば、インタフェース部１１−２）から送信させる。なお、サーバ２０が非特許文献２に記載のオープンフロープロトコルに、共通制御部１３とサーバ２０間のこれらのやり取りは、非特許文献２に記載のオープンフロープロトコルのＰａｃｋｅｔ−Ｉｎメッセージ、Ｆｌｏｗ Ｍｏｄメッセージ、Ｐａｃｋｅｔ−Ｏｕｔメッセージを用いることができる。
【００２６】
照合部１４は、インタフェース部１１−１から受信されたパケットのヘッダ等と、処理規則管理部１５に記憶されている処理規則のマッチングキーとを照合する。前記照合の結果、受信パケットに適合するマッチングキーを持つ処理規則が見つかった場合、照合部１４は、受信パケットとともに、当該処理規則に定められた処理内容をパケット処理部１６に送信する。一方、前記照合の結果、受信パケットに適合するマッチングキーを持つ処理規則が見つからなかった場合、照合部１４は、受信パケットを共通制御部１３に送信し、受信パケットに対応する処理規則の設定を要求する。
【００２７】
パケット処理部１６は、照合部１４から指示された処理内容に従って、受信パケットを処理する。例えば、照合部１４から指示された処理内容が特定ポート（例えば、インタフェース部１１−２）からの転送である場合、受信パケットをインタフェース部１１−２から送信する処理を行う。また、パケット処理部１６は、サーバ２０から指示に応じて、指定されたポート（例えば、インタフェース部１１−２）からパケットを送信する処理を行う。
【００２８】
なお、図３に示したスイッチ１０Ａの各部（処理手段）は、スイッチ１０Ａを構成するコンピュータに、そのハードウェアを用いて、上記した各処理を実行させるコンピュータプログラムにより実現することもできる。
【００２９】
続いて、本実施形態の動作について図面を参照して詳細に説明する。図４に示すように、インタフェース部１１−１よりパケットを受信すると、照合部１４は、処理規則管理部１５を参照して、受信パケットに対応するマッチングキーを持つ処理規則を検索する。
【００３０】
ここでは、スイッチ１０Ａが学習していない、即ち、処理規則管理部１５に対応する処理規則が記憶されていないパケットを受信したため、照合部１４は、共通制御部１３に対して受信パケットを送信する。
【００３１】
前記受信パケットを受信した共通制御部１３は、サーバ通信部１２を介してサーバ２０に、受信パケットを送信し、前記受信パケットを特定するためのマッチングキーと、このマッチングキーに適合するパケットに適用すべき処理内容とを要求する。
【００３２】
サーバ２０は、スイッチ１０Ａからパケットを受信すると、不正パケットであるか否かを判別するための定義パタン（図１の不正パケット定義パタン２１）を参照して、受信パケットが不正パケットであるか否かを判定する。前記判定の結果、受信パケットが不正パケットであると判定した場合、サーバ２０は、受信パケットを廃棄する。
【００３３】
一方、前記判定の結果、受信パケットが不正パケットでないと判定した場合、サーバ２０は、受信パケットを特定するためのマッチングキーと、このマッチングキーに適合するパケットに適用すべき処理内容とを生成し、スイッチ１０Ａにこれらを送信する。また、サーバ２０は、スイッチ１０Ａに対し、指定したポートから、前記受信パケットを送信するよう指示する。
【００３４】
前記受信パケットを特定するためのマッチングキーと、このマッチングキーに適合するパケットに適用すべき処理内容とを受信した共通制御部１３は、前記マッチングキーと処理内容を用いて処理規則を生成し、処理規則管理部１５に送信する。これにより、前記マッチングキーに適合する後続パケットは、前記処理規則に従って処理されることになる。
【００３５】
前記受信パケットの送信指示するを受信した共通制御部１３は、パケット処理部１６に、受信パケットとサーバ２０から指示された指示内容を送信する。
【００３６】
パケット処理部１６は、前記指示内容に従って、受信パケットを処理する。例えば、サーバ２０からの指示内容が、特定のポート（例えば、インタフェース部１１−２）から受信パケットの送信を指示するものであった場合、パケット処理部１６は、前記特定のポート（例えば、インタフェース部１１−２）から受信パケットを送信する。
【００３７】
その後、図５に示すように、インタフェース部１１−１より、後続パケットを受信すると、照合部１４は、処理規則管理部１５を参照して、受信パケットに対応するマッチングキーを持つ処理規則を検索する。
【００３８】
ここでは、スイッチ１０Ａが学習済みの、即ち、処理規則管理部１５に対応する処理規則が記憶されているパケットを受信したため、受信パケットに対応するマッチングキーを持つ処理規則が抽出される。照合部１４は、パケット処理部１６に対して受信パケットと、前記抽出した処理規則に定められた処理内容を送信する。
【００３９】
パケット処理部１６は、前記処理内容に従って、受信パケットを処理する。例えば、照合部１４から送信された処理内容が、特定のポート（例えば、インタフェース部１１−２）から受信パケットの送信を指示するものであった場合、パケット処理部１６は、前記特定のポート（例えば、インタフェース部１１−２）から受信パケットを送信する。
【００４０】
以上のように、本実施形態によれば、不正パケットに対するフィルタリングを、サーバ２０に依頼し、スイッチ１０Ａの負荷を軽減させることが可能となる。また、サーバ２０に設定する不正パケット定義パタンを、適宜更新することにより、防御性を向上させることも可能となっている。
【００４１】
［第２の実施形態］
続いて、スイッチに機能を追加した本発明の第２の実施形態について図面を参照して詳細に説明する。図６は、本発明の第２の実施形態の通信装置（スイッチ）の構成を表わしたブロック図である。
【００４２】
図３に示した第１の実施形態のスイッチ１０Ａとの相違点は、スイッチ１０Ｂのサーバ通信部１２と共通制御部１３との間に、パケット流入量監視部（流入監視部）１７と、流入制御部１８とが追加されている点である。その他の構成は、上記第１の実施形態と略同様であるので、以下、相違点を中心に説明する。
【００４３】
パケット流入量監視部１７は、サーバ２０によって不正なパケットでないと判定されたパケットについて、単位時間当たりの流入量を計算する。前記単位時間当たりの流入量が所定の閾値を超えた場合、パケット流入量監視部１７は、サーバ２０からの処理規則やパケット送信指示を、共通制御部１３ではなく、流入制御部１８に転送する。また、パケット流入量監視部１７は、前記単位時間当たりの流入量が所定の閾値を超えた場合、所定の監視装置へ通知を行う。
【００４４】
流入制御部１８は、サーバ２０からの処理規則やパケット送信指示を廃棄する動作を行う。より好ましくは、流入制御部１８が、単位時間当たりの流入量が所定の閾値を超えたパケットを廃棄する処理規則を処理規則管理部１５に設定するよう、共通制御部１３に要求するようにしてもよい。
【００４５】
続いて、本実施形態の動作について図面を参照して詳細に説明する。サーバ２０によって不正なパケットでないと判定されたパケットの処理規則や送信指示が受信されると、パケット流入量監視部１７は、前記単位時間当たりの流入量を更新する。
【００４６】
ここで、単位時間当たりの流入量が、前記所定の閾値以下である場合、パケット流入量監視部１７は、第１の実施形態と同様に、パケットの処理規則や送信指示を共通制御部１３に転送する（図７参照）。
【００４７】
一方、単位時間当たりの流入量が、前記所定の閾値超えている場合、パケット流入量監視部１７は、図８に示すように、パケットの処理規則や送信指示を流入制御部１８に転送するとともに、管理装置に送信する（図８参照）。
【００４８】
以上のように、本実施形態によれば、サーバ２０によって不正なパケットでないと判定されたパケットであっても、単位時間当たりの流入量が所定の閾値よりも大きいパケットの転送を抑止することができる。その理由は、パケット流入量監視部１７にて不正なパケットでないと判定されたパケットの流入量を監視し、その値が異常である場合には、転送しないように構成したためである。
【００４９】
［第３の実施形態］
続いて、スイッチの共通制御部を冗長化した本発明の第３の実施形態について図面を参照して詳細に説明する。図９は、本発明の第３の実施形態の通信装置（スイッチ）の構成を表わしたブロック図である。
【００５０】
図６に示した第２の実施形態のスイッチ１０Ｂとの相違点は、共通制御部１３が共通制御部（非運用系；第１の制御部）１３−１と共通制御部（運用系；第２の制御部）１３−２とに分離され、互いに独立して動作可能となっている点である。その他の構成は、上記第２の実施形態と略同様であるので、以下、相違点を中心に説明する。
【００５１】
共通制御部（非運用系）１３−１は、未知のパケットのサーバ２０側の転送等を行う処理規則要求部１９と、上述したパケット流入量監視部１７、流入制御部１８とを備えている。
【００５２】
また、共通制御部（運用系）１３−２は、サーバ２０からの応答に基づいて処理規則幹部部１５への処理規則の送信やパケット処理部１６へのパケット送信指示等を行う。
【００５３】
本実施形態のスイッチ１０Ｃの基本的な動作は、上記した第２の実施形態と同様である。以上のように、本実施形態によれば、不用意な未知のパケットの処理やパケット流入量の監視処理を共通制御部１３−１（非運用系）に委ねる構成となっているため、大量の不正パケットが送信された場合であっても、共通制御部（運用系）１３−２が影響を受けないようにすることが可能になる。
【００５４】
以上、本発明の各実施形態を説明したが、本発明は、上記した実施形態に限定されるものではなく、本発明の基本的技術的思想を逸脱しない範囲で、更なる変形・置換・調整を加えることができる。例えば、上記した各実施形態で示したスイッチ、サーバの構成は、本発明を簡単に説明するために示したものであり、適宜変更することが可能である。各実施形態は関連技術であるオープンフローを参照しているが、本発明はオープンフローを用いることに限定されない。例えば、オープンフローに限らず、パケットの転送経路を制御装置が集中制御する通信アーキテクチャを、本発明に適用できる。
【００５５】
例えば、上記した実施形態では、スイッチがサーバに対し、受信パケットが不正パケットであるか否かの判定と、処理内容の決定を依頼するものとしているが、ユーザ側の機器に同様に仕組みを設けてもよい。このようにすることで、ネットワーク内に不正パケットが流れることを防ぐとともに、ユーザに近い側でのフロー制御（パケット転送、パケット廃棄、ヘッダ書き換え等）を行わせることが可能になる。
【００５６】
最後に、本発明の好ましい形態を要約する。
［第１の形態］
（上記第１の視点による通信システム参照）
［第２の形態］
第１の形態において、
前記サーバは、前記定義パタンとの照合の結果、不正パケットであると判断した場合、該不正パケットを廃棄するとともに、前記通信装置に対し、不正パケットと同一の特徴を持つパケットを廃棄する処理内容を通知する通信システム。
［第３の形態］
第１または第２の形態において、
前記通信装置は、所定時間内に、同一の送信元から受信したパケット流入量を監視する流入監視部を備え、前記所定のサーバから不正パケットでないと判別されたパケットであっても前記パケット流入量が所定の閾値を超えている送信元からのパケットである場合、所定の措置を講ずる流入制御部を備える通信システム。
［第４の形態］
第３の形態において、
前記流入制御部は、前記所定の措置として、当該パケットの転送を中止する通信システム。
［第５の形態］
第３の形態において、
前記流入制御部は、前記所定の管理装置に対し、前記パケット流入量が所定の閾値を超えたことを通知する通信システム。
［第６の形態］
第３〜第５いずれか一の形態において、
前記通信装置の、
少なくとも前記流入監視部および前記流入制御部を含む第１の制御部と、
前記サーバから通知された処理内容に従って動作する第２の制御部とが、互いに独立して動作するよう構成されている通信システム。
［第７の形態］
（上記第２の視点による通信装置参照）
［第８の形態］
第７の形態において、
さらに、所定時間内に、同一の送信元から受信したパケット流入量を監視する流入監視部を備え、前記所定のサーバから不正パケットでないと判別されたパケットであっても前記パケット流入量が所定の閾値を超えている送信元からのパケットである場合、所定の措置を講ずる流入制御部を備える通信装置。
［第９の形態］
（上記第３の視点によるサーバ参照）
［第１０の形態］
（上記第４の視点による通信方法参照）
［第１１の形態］
（上記第５の視点によるプログラム参照）
なお、上記した第７、第９から第１１の形態は、上記した第１の形態と同様に、第２〜第６の形態に展開することが可能である。
【符号の説明】
【００５７】
１０ 通信装置
１０Ａ〜１０Ｃ スイッチ
１１−１、１１−２ インタフェース部
１２ サーバ通信部
１３ 共通制御部
１３−１ 共通制御部（非運用系）
１３−２ 共通制御部（運用系）
１４ 照合部
１５ 処理規則管理部
１６ パケット処理部
１７ パケット流入量監視部
１８ 流入制御部
１９ 処理規則要求部
２０ サーバ
２１ 不正パケット定義パタン
【技術分野】
【０００１】
本発明は、通信システム、通信装置、サーバ、通信方法およびプログラムに関し、特に、外部装置に対して受信パケットに適用する処理内容を問い合わせて学習する通信装置を含む通信システム、通信装置、サーバ、通信方法およびプログラムに関する。
【背景技術】
【０００２】
特許文献１に、異常トラフィックに対する対処（フィルタリング、帯域制限等）をなしうるようにしたトラフィック制御システムが開示されている。同文献によると、異常トラフィック検出装置は、異常トラフィックを検出した場合に、管理サーバに対して、検出した異常トラフィックの情報を通知する。管理サーバは、通知された異常トラフィック情報に含まれる異常トラフィックの送信元情報により認証サーバから異常トラフィックを送信したユーザを特定する。さらに、管理サーバは、あらかじめ規定しておいたユーザ毎の異常トラフィック対処方法であって、異常トラフィックを送信したユーザに該当する対処方法を、異常トラフィック検出装置に送信する。異常トラフィック検出装置は、その対処方法に従って、トラフィック制御に関する設定を行う、と記載されている。
【０００３】
また、特許文献２、非特許文献１、２には、オープンフローという仕組みが提案されている。このオープンフローでは、ネットワークに配置されたオープンフロースイッチは、オープンフローコントローラという制御装置に対して受信パケットに適用する処理内容を問い合わせて学習する。このようなオープンフローには、フロー単位での経路制御、障害回復、負荷分散、最適化を、安価なスイッチで実現できるという利点がある。
【先行技術文献】
【特許文献】
【０００４】
【特許文献１】特開２００８−１１３４０９号公報
【特許文献２】国際公開第２００８／０９５０１０号
【非特許文献】
【０００５】
【非特許文献１】Ｎｉｃｋ ＭｃＫｅｏｗｎほか７名、“ＯｐｅｎＦｌｏｗ： Ｅｎａｂｌｉｎｇ Ｉｎｎｏｖａｔｉｏｎ ｉｎ Ｃａｍｐｕｓ Ｎｅｔｗｏｒｋｓ”、［ｏｎｌｉｎｅ］、［平成２３（２０１１）年７月２６日検索］、インターネット〈URL: http://www.openflow.org/documents/openflow-wp-latest.pdf〉
【非特許文献２】“ＯｐｅｎＦｌｏｗ Ｓｗｉｔｃｈ Ｓｐｅｃｉｆｉｃａｔｉｏｎ” Ｖｅｒｓｉｏｎ １．１．０ Ｉｍｐｌｅｍｅｎｔｅｄ （Ｗｉｒｅ Ｐｒｏｔｏｃｏｌ ０ｘ０２） ［平成２３（２０１１）年７月２６日検索］、インターネット〈URL:http://www.openflow.org/documents/openflow-spec-v1.1.0.pdf〉
【発明の概要】
【発明が解決しようとする課題】
【０００６】
以下の分析は、本発明によって与えられたものである。特許文献２、非特許文献１、２のオープンフロースイッチのように、外部装置に対して受信パケットに適用する処理内容を問い合わせて学習するタイプの通信装置では、ＤｏＳ攻撃（Ｄｅｎｙ ｏｆ Ｓｅｒｖｉｃｅ Ａｔｔａｃｋ）のような不正パケットを大量に受信すると、負荷が上昇してしまい、その他の不正でないパケットの処理に影響を与えてしまうという問題点がある。
【０００７】
一般のルータ装置等では、ＭＡＣアドレスやＩＰアドレス等といった予め用意した条件によるフィルタリング処理を行うことで、不正な受信を防御するといった方法が知られている。しかしながら、この方法では、パケット受信の都度、通信装置の運用メモリ領域に展開されたフィルタ条件を参照して検索を行うことになり、上記したタイプの通信装置の負荷を低減することにはつながらない。加えて、防御性を高めるために、細かく、複雑、大量のフィルタ条件を登録すると、相応の運用系メモリ領域が占有され、負荷も増大してしまうことになる。
【０００８】
本発明は、上記した事情に鑑みてなされたものであって、その目的とするところは、外部装置に対して受信パケットに適用する処理内容を問い合わせて学習するタイプの通信装置のＤｏＳ攻撃等への耐性を高めつつ、その負荷の上昇を抑えることのできる通信システム、通信装置、サーバ、通信方法およびプログラムを提供することにある。
【課題を解決するための手段】
【０００９】
本発明の第１の視点によれば、不正パケットであるか否かを判別するための定義パタンとパケットとを照合することにより不正パケットを廃棄し、その他のパケットについては送信元に対し該パケットに適用する処理内容を通知するサーバと、前記サーバに対し未知のパケットを転送し、前記サーバから通知された処理内容に基づいて、受信パケットを処理する通信装置と、を含む通信システムが提供される。
【００１０】
本発明の第２の視点によれば、不正パケットであるか否かを判別するための定義パタンとパケットとを照合することにより不正パケットを廃棄し、その他のパケットについては送信元に対し該パケットに適用する処理内容を通知するサーバと接続され、前記サーバに対し未知のパケットを転送し、前記サーバから通知された処理内容に基づいて、受信パケットを処理する通信装置が提供される。
【００１１】
本発明の第３の視点によれば、上記した通信装置と、接続され、不正パケットであるか否かを判別するための定義パタンと前記通信装置から送信された前記未知のパケットとを照合することにより不正パケットを廃棄し、その他のパケットについては前記通信装置に対し該パケットに適用する処理内容を通知するサーバが提供される。
【００１２】
本発明の第４の視点によれば、不正パケットであるか否かを判別するための定義パタンを用いて、通信装置から処理内容の問い合わせを受けたパケットのうち不正パケットを廃棄するステップと、前記通信装置に対し、その他のパケットに適用する処理内容を通知するステップと、前記通知された処理内容に基づいて、受信パケットを処理するステップと、を含む通信方法が提供される。本方法は、通信装置に対し処理内容を通知するサーバという、特定の機械に結びつけられている。
【００１３】
本発明の第５の視点によれば、上記した通信装置およびサーバにそれぞれ実行させるコンピュータプログラムが提供される。なお、このプログラムは、コンピュータが読み取り可能な記憶媒体に記録することができる。即ち、本発明は、コンピュータプログラム製品として具現することも可能である。
【発明の効果】
【００１４】
外部装置に対して受信パケットに適用する処理内容を問い合わせて学習するタイプの通信装置において、ＤｏＳ攻撃等への耐性を高め、かつ、その負荷の上昇を抑えることが可能となる。
【図面の簡単な説明】
【００１５】
【図１】本発明の一実施形態の構成を表わした図である。
【図２】本発明の一実施形態の動作を説明するための図である。
【図３】本発明の第１の実施形態の通信装置（スイッチ）の構成を表わしたブロック図である。
【図４】本発明の第１の実施形態の通信装置（スイッチ）の動作を説明するための図である。
【図５】本発明の第１の実施形態の通信装置（スイッチ）の動作を説明するための図である。
【図６】本発明の第２の実施形態の通信装置（スイッチ）の構成を表わしたブロック図である。
【図７】本発明の第２の実施形態の通信装置（スイッチ）の動作を説明するための図である。
【図８】本発明の第２の実施形態の通信装置（スイッチ）の動作を説明するための図である。
【図９】本発明の第３の実施形態の通信装置（スイッチ）の構成を表わしたブロック図である。
【発明を実施するための形態】
【００１６】
はじめに本発明の一実施形態の概要について図面を参照して説明する。なお、この概要に付記した図面参照符号は、理解を助けるための一例として各要素に便宜上付記したものであり、本発明を図示の態様に限定することを意図するものではない。
【００１７】
本発明は、その一実施形態において、サーバ２０と、サーバ２０に対し未知のパケットを転送し、サーバ２０から通知された処理内容に基づいて、受信パケットを処理する通信装置１０と、を含む構成にて実現できる。ここで、未知のパケットとは、通信装置１０が、その内部の転送テーブルや非特許文献２のフローテーブル等に、当該パケットの処理内容を規定したエントリがないパケットをいうものとする。
【００１８】
前記サーバ２０は、通信装置１０から未知のパケットを受信すると、不正パケットであるか否かを判別するための定義パタン（図１の不正パケット定義パタン２１）とを照合する。前記照合の結果、不正パケットであると判定した場合、サーバ２０は不正パケットを廃棄する。一方、前記照合の結果、不正パケットでないと判断した場合、サーバ２０は、送信元の通信装置１０に対し該パケット（その他のパケット）に適用する処理内容を通知する。不正パケット定義パタン２１は、例えば、不正な送信元あるいは正規の送信元を判別するためのＭＡＣアドレスやＩＰアドレス等を含んだ構成とすることができる。
【００１９】
上記構成を備えることにより、図２に示すように、例えば、ＤｏＳ攻撃のような不正パケットが通信装置に送られると、通信装置１０においてはフィルタ条件等の照合が行われることはない。そして、サーバ２０が不正パケット定義パタン２１との照合を行い、不正パケットとして廃棄が行われる。このため、サーバ２０における不正パケット定義パタン２１を細かく複雑なものにしても、通信装置の負荷が上昇することはない。
【００２０】
［第１の実施形態］
続いて、本発明の第１の実施形態について図面を参照して詳細に説明する。図３は、本発明の第１の実施形態の通信装置（スイッチ）の構成を表わしたブロック図である。
【００２１】
図３を参照すると、インタフェース部１１−１、１１−２と、サーバ通信部１２と、共通制御部１３と、照合部１４と、処理規則管理部１５と、パケット処理部１６と、を備えたスイッチ１０Ａが示されている。
【００２２】
インタフェース部１１−１、１１−２は、他の装置とパケットを送受信する物理ポートによって構成される。なお、図３の例では、２つのインタフェース部を示しているが、インタフェース部は、３つ以上あってもよい。
【００２３】
サーバ通信部１２は、図１に示したサーバ２０と通信するためのｏｕｔ−ｂａｎｄポートによって構成される。なお、サーバ通信部１２は、インタフェース部のポートをサーバ用に割り当てることでもよい。
【００２４】
処理規則管理部１５は、テーブルなどを用いて、パケットを特定するためのマッチングキーと、前記マッチングキーに適合するパケットに適用する処理内容（転送、ヘッダ書き換え、廃棄等）と、を対応付けた処理規則を管理する。なお、このような処理規則としては、非特許文献２のフローエントリを用いることもできる。また、この処理規則は、非特許文献２のフローテーブルのようなテーブルに格納して管理することもできる。
【００２５】
共通制御部１３は、照合部１４からの要求に応じて、サーバ２０に対し、未知のパケットを送信する。また、共通制御部１３は、サーバ２０から、前記未知のパケットを特定するためのマッチングキーと、このマッチングキーに適合する処理内容を受信すると、これらを用いて処理規則を生成し、処理規則管理部１５に送信する。また、共通制御部１３は、サーバ２０から送信指示を受けたパケット（未知のパケット）をパケット処理部１６に送信し、サーバ２０から指示されたポート（例えば、インタフェース部１１−２）から送信させる。なお、サーバ２０が非特許文献２に記載のオープンフロープロトコルに、共通制御部１３とサーバ２０間のこれらのやり取りは、非特許文献２に記載のオープンフロープロトコルのＰａｃｋｅｔ−Ｉｎメッセージ、Ｆｌｏｗ Ｍｏｄメッセージ、Ｐａｃｋｅｔ−Ｏｕｔメッセージを用いることができる。
【００２６】
照合部１４は、インタフェース部１１−１から受信されたパケットのヘッダ等と、処理規則管理部１５に記憶されている処理規則のマッチングキーとを照合する。前記照合の結果、受信パケットに適合するマッチングキーを持つ処理規則が見つかった場合、照合部１４は、受信パケットとともに、当該処理規則に定められた処理内容をパケット処理部１６に送信する。一方、前記照合の結果、受信パケットに適合するマッチングキーを持つ処理規則が見つからなかった場合、照合部１４は、受信パケットを共通制御部１３に送信し、受信パケットに対応する処理規則の設定を要求する。
【００２７】
パケット処理部１６は、照合部１４から指示された処理内容に従って、受信パケットを処理する。例えば、照合部１４から指示された処理内容が特定ポート（例えば、インタフェース部１１−２）からの転送である場合、受信パケットをインタフェース部１１−２から送信する処理を行う。また、パケット処理部１６は、サーバ２０から指示に応じて、指定されたポート（例えば、インタフェース部１１−２）からパケットを送信する処理を行う。
【００２８】
なお、図３に示したスイッチ１０Ａの各部（処理手段）は、スイッチ１０Ａを構成するコンピュータに、そのハードウェアを用いて、上記した各処理を実行させるコンピュータプログラムにより実現することもできる。
【００２９】
続いて、本実施形態の動作について図面を参照して詳細に説明する。図４に示すように、インタフェース部１１−１よりパケットを受信すると、照合部１４は、処理規則管理部１５を参照して、受信パケットに対応するマッチングキーを持つ処理規則を検索する。
【００３０】
ここでは、スイッチ１０Ａが学習していない、即ち、処理規則管理部１５に対応する処理規則が記憶されていないパケットを受信したため、照合部１４は、共通制御部１３に対して受信パケットを送信する。
【００３１】
前記受信パケットを受信した共通制御部１３は、サーバ通信部１２を介してサーバ２０に、受信パケットを送信し、前記受信パケットを特定するためのマッチングキーと、このマッチングキーに適合するパケットに適用すべき処理内容とを要求する。
【００３２】
サーバ２０は、スイッチ１０Ａからパケットを受信すると、不正パケットであるか否かを判別するための定義パタン（図１の不正パケット定義パタン２１）を参照して、受信パケットが不正パケットであるか否かを判定する。前記判定の結果、受信パケットが不正パケットであると判定した場合、サーバ２０は、受信パケットを廃棄する。
【００３３】
一方、前記判定の結果、受信パケットが不正パケットでないと判定した場合、サーバ２０は、受信パケットを特定するためのマッチングキーと、このマッチングキーに適合するパケットに適用すべき処理内容とを生成し、スイッチ１０Ａにこれらを送信する。また、サーバ２０は、スイッチ１０Ａに対し、指定したポートから、前記受信パケットを送信するよう指示する。
【００３４】
前記受信パケットを特定するためのマッチングキーと、このマッチングキーに適合するパケットに適用すべき処理内容とを受信した共通制御部１３は、前記マッチングキーと処理内容を用いて処理規則を生成し、処理規則管理部１５に送信する。これにより、前記マッチングキーに適合する後続パケットは、前記処理規則に従って処理されることになる。
【００３５】
前記受信パケットの送信指示するを受信した共通制御部１３は、パケット処理部１６に、受信パケットとサーバ２０から指示された指示内容を送信する。
【００３６】
パケット処理部１６は、前記指示内容に従って、受信パケットを処理する。例えば、サーバ２０からの指示内容が、特定のポート（例えば、インタフェース部１１−２）から受信パケットの送信を指示するものであった場合、パケット処理部１６は、前記特定のポート（例えば、インタフェース部１１−２）から受信パケットを送信する。
【００３７】
その後、図５に示すように、インタフェース部１１−１より、後続パケットを受信すると、照合部１４は、処理規則管理部１５を参照して、受信パケットに対応するマッチングキーを持つ処理規則を検索する。
【００３８】
ここでは、スイッチ１０Ａが学習済みの、即ち、処理規則管理部１５に対応する処理規則が記憶されているパケットを受信したため、受信パケットに対応するマッチングキーを持つ処理規則が抽出される。照合部１４は、パケット処理部１６に対して受信パケットと、前記抽出した処理規則に定められた処理内容を送信する。
【００３９】
パケット処理部１６は、前記処理内容に従って、受信パケットを処理する。例えば、照合部１４から送信された処理内容が、特定のポート（例えば、インタフェース部１１−２）から受信パケットの送信を指示するものであった場合、パケット処理部１６は、前記特定のポート（例えば、インタフェース部１１−２）から受信パケットを送信する。
【００４０】
以上のように、本実施形態によれば、不正パケットに対するフィルタリングを、サーバ２０に依頼し、スイッチ１０Ａの負荷を軽減させることが可能となる。また、サーバ２０に設定する不正パケット定義パタンを、適宜更新することにより、防御性を向上させることも可能となっている。
【００４１】
［第２の実施形態］
続いて、スイッチに機能を追加した本発明の第２の実施形態について図面を参照して詳細に説明する。図６は、本発明の第２の実施形態の通信装置（スイッチ）の構成を表わしたブロック図である。
【００４２】
図３に示した第１の実施形態のスイッチ１０Ａとの相違点は、スイッチ１０Ｂのサーバ通信部１２と共通制御部１３との間に、パケット流入量監視部（流入監視部）１７と、流入制御部１８とが追加されている点である。その他の構成は、上記第１の実施形態と略同様であるので、以下、相違点を中心に説明する。
【００４３】
パケット流入量監視部１７は、サーバ２０によって不正なパケットでないと判定されたパケットについて、単位時間当たりの流入量を計算する。前記単位時間当たりの流入量が所定の閾値を超えた場合、パケット流入量監視部１７は、サーバ２０からの処理規則やパケット送信指示を、共通制御部１３ではなく、流入制御部１８に転送する。また、パケット流入量監視部１７は、前記単位時間当たりの流入量が所定の閾値を超えた場合、所定の監視装置へ通知を行う。
【００４４】
流入制御部１８は、サーバ２０からの処理規則やパケット送信指示を廃棄する動作を行う。より好ましくは、流入制御部１８が、単位時間当たりの流入量が所定の閾値を超えたパケットを廃棄する処理規則を処理規則管理部１５に設定するよう、共通制御部１３に要求するようにしてもよい。
【００４５】
続いて、本実施形態の動作について図面を参照して詳細に説明する。サーバ２０によって不正なパケットでないと判定されたパケットの処理規則や送信指示が受信されると、パケット流入量監視部１７は、前記単位時間当たりの流入量を更新する。
【００４６】
ここで、単位時間当たりの流入量が、前記所定の閾値以下である場合、パケット流入量監視部１７は、第１の実施形態と同様に、パケットの処理規則や送信指示を共通制御部１３に転送する（図７参照）。
【００４７】
一方、単位時間当たりの流入量が、前記所定の閾値超えている場合、パケット流入量監視部１７は、図８に示すように、パケットの処理規則や送信指示を流入制御部１８に転送するとともに、管理装置に送信する（図８参照）。
【００４８】
以上のように、本実施形態によれば、サーバ２０によって不正なパケットでないと判定されたパケットであっても、単位時間当たりの流入量が所定の閾値よりも大きいパケットの転送を抑止することができる。その理由は、パケット流入量監視部１７にて不正なパケットでないと判定されたパケットの流入量を監視し、その値が異常である場合には、転送しないように構成したためである。
【００４９】
［第３の実施形態］
続いて、スイッチの共通制御部を冗長化した本発明の第３の実施形態について図面を参照して詳細に説明する。図９は、本発明の第３の実施形態の通信装置（スイッチ）の構成を表わしたブロック図である。
【００５０】
図６に示した第２の実施形態のスイッチ１０Ｂとの相違点は、共通制御部１３が共通制御部（非運用系；第１の制御部）１３−１と共通制御部（運用系；第２の制御部）１３−２とに分離され、互いに独立して動作可能となっている点である。その他の構成は、上記第２の実施形態と略同様であるので、以下、相違点を中心に説明する。
【００５１】
共通制御部（非運用系）１３−１は、未知のパケットのサーバ２０側の転送等を行う処理規則要求部１９と、上述したパケット流入量監視部１７、流入制御部１８とを備えている。
【００５２】
また、共通制御部（運用系）１３−２は、サーバ２０からの応答に基づいて処理規則幹部部１５への処理規則の送信やパケット処理部１６へのパケット送信指示等を行う。
【００５３】
本実施形態のスイッチ１０Ｃの基本的な動作は、上記した第２の実施形態と同様である。以上のように、本実施形態によれば、不用意な未知のパケットの処理やパケット流入量の監視処理を共通制御部１３−１（非運用系）に委ねる構成となっているため、大量の不正パケットが送信された場合であっても、共通制御部（運用系）１３−２が影響を受けないようにすることが可能になる。
【００５４】
以上、本発明の各実施形態を説明したが、本発明は、上記した実施形態に限定されるものではなく、本発明の基本的技術的思想を逸脱しない範囲で、更なる変形・置換・調整を加えることができる。例えば、上記した各実施形態で示したスイッチ、サーバの構成は、本発明を簡単に説明するために示したものであり、適宜変更することが可能である。各実施形態は関連技術であるオープンフローを参照しているが、本発明はオープンフローを用いることに限定されない。例えば、オープンフローに限らず、パケットの転送経路を制御装置が集中制御する通信アーキテクチャを、本発明に適用できる。
【００５５】
例えば、上記した実施形態では、スイッチがサーバに対し、受信パケットが不正パケットであるか否かの判定と、処理内容の決定を依頼するものとしているが、ユーザ側の機器に同様に仕組みを設けてもよい。このようにすることで、ネットワーク内に不正パケットが流れることを防ぐとともに、ユーザに近い側でのフロー制御（パケット転送、パケット廃棄、ヘッダ書き換え等）を行わせることが可能になる。
【００５６】
最後に、本発明の好ましい形態を要約する。
［第１の形態］
（上記第１の視点による通信システム参照）
［第２の形態］
第１の形態において、
前記サーバは、前記定義パタンとの照合の結果、不正パケットであると判断した場合、該不正パケットを廃棄するとともに、前記通信装置に対し、不正パケットと同一の特徴を持つパケットを廃棄する処理内容を通知する通信システム。
［第３の形態］
第１または第２の形態において、
前記通信装置は、所定時間内に、同一の送信元から受信したパケット流入量を監視する流入監視部を備え、前記所定のサーバから不正パケットでないと判別されたパケットであっても前記パケット流入量が所定の閾値を超えている送信元からのパケットである場合、所定の措置を講ずる流入制御部を備える通信システム。
［第４の形態］
第３の形態において、
前記流入制御部は、前記所定の措置として、当該パケットの転送を中止する通信システム。
［第５の形態］
第３の形態において、
前記流入制御部は、前記所定の管理装置に対し、前記パケット流入量が所定の閾値を超えたことを通知する通信システム。
［第６の形態］
第３〜第５いずれか一の形態において、
前記通信装置の、
少なくとも前記流入監視部および前記流入制御部を含む第１の制御部と、
前記サーバから通知された処理内容に従って動作する第２の制御部とが、互いに独立して動作するよう構成されている通信システム。
［第７の形態］
（上記第２の視点による通信装置参照）
［第８の形態］
第７の形態において、
さらに、所定時間内に、同一の送信元から受信したパケット流入量を監視する流入監視部を備え、前記所定のサーバから不正パケットでないと判別されたパケットであっても前記パケット流入量が所定の閾値を超えている送信元からのパケットである場合、所定の措置を講ずる流入制御部を備える通信装置。
［第９の形態］
（上記第３の視点によるサーバ参照）
［第１０の形態］
（上記第４の視点による通信方法参照）
［第１１の形態］
（上記第５の視点によるプログラム参照）
なお、上記した第７、第９から第１１の形態は、上記した第１の形態と同様に、第２〜第６の形態に展開することが可能である。
【符号の説明】
【００５７】
１０ 通信装置
１０Ａ〜１０Ｃ スイッチ
１１−１、１１−２ インタフェース部
１２ サーバ通信部
１３ 共通制御部
１３−１ 共通制御部（非運用系）
１３−２ 共通制御部（運用系）
１４ 照合部
１５ 処理規則管理部
１６ パケット処理部
１７ パケット流入量監視部
１８ 流入制御部
１９ 処理規則要求部
２０ サーバ
２１ 不正パケット定義パタン
【特許請求の範囲】
【請求項１】
不正パケットであるか否かを判別するための定義パタンとパケットとを照合することにより不正パケットを廃棄し、その他のパケットについては送信元に対し該パケットに適用する処理内容を通知するサーバと、
前記サーバに対し未知のパケットを転送し、前記サーバから通知された処理内容に基づいて、受信パケットを処理する通信装置と、を含む通信システム。
【請求項２】
前記サーバは、前記定義パタンとの照合の結果、不正パケットであると判断した場合、該不正パケットを廃棄するとともに、前記通信装置に対し、不正パケットと同一の特徴を持つパケットを廃棄する処理内容を通知する請求項１の通信システム。
【請求項３】
前記通信装置は、所定時間内に、同一の送信元から受信したパケット流入量を監視する流入監視部を備え、前記所定のサーバから不正パケットでないと判別されたパケットであっても前記パケット流入量が所定の閾値を超えている送信元からのパケットである場合、所定の措置を講ずる流入制御部を備える請求項１または２の通信システム。
【請求項４】
前記流入制御部は、前記所定の措置として、当該パケットの転送を中止する請求項３の通信システム。
【請求項５】
前記流入制御部は、前記所定の管理装置に対し、前記パケット流入量が所定の閾値を超えたことを通知する請求項３の通信システム。
【請求項６】
前記通信装置において、
少なくとも前記流入監視部および前記流入制御部を含む第１の制御部と、
前記サーバから通知された処理内容に従って動作する第２の制御部とが、互いに独立して動作するよう構成されている請求項３から５いずれか一の通信システム。
【請求項７】
不正パケットであるか否かを判別するための定義パタンとパケットとを照合することにより不正パケットを廃棄し、その他のパケットについては送信元に対し該パケットに適用する処理内容を通知するサーバと接続され、
前記サーバに対し未知のパケットを転送し、前記サーバから通知された処理内容に基づいて、受信パケットを処理する通信装置。
【請求項８】
さらに、所定時間内に、同一の送信元から受信したパケット流入量を監視する流入監視部を備え、前記所定のサーバから不正パケットでないと判別されたパケットであっても前記パケット流入量が所定の閾値を超えている送信元からのパケットである場合、所定の措置を講ずる流入制御部を備える請求項７の通信装置。
【請求項９】
サーバに対し未知のパケットを転送し、前記サーバから通知された処理内容に基づいて、受信パケットを処理する通信装置と、接続され、
不正パケットであるか否かを判別するための定義パタンと前記通信装置から送信された前記未知のパケットとを照合することにより不正パケットを廃棄し、その他のパケットについては前記通信装置に対し該パケットに適用する処理内容を通知するサーバ。
【請求項１０】
不正パケットであるか否かを判別するための定義パタンを用いて、通信装置から処理内容の問い合わせを受けたパケットのうち不正パケットを廃棄するステップと、
前記通信装置に対し、その他のパケットに適用する処理内容を通知するステップと、
前記通知された処理内容に基づいて、受信パケットを処理するステップと、
を含む通信方法。
【請求項１】
不正パケットであるか否かを判別するための定義パタンとパケットとを照合することにより不正パケットを廃棄し、その他のパケットについては送信元に対し該パケットに適用する処理内容を通知するサーバと、
前記サーバに対し未知のパケットを転送し、前記サーバから通知された処理内容に基づいて、受信パケットを処理する通信装置と、を含む通信システム。
【請求項２】
前記サーバは、前記定義パタンとの照合の結果、不正パケットであると判断した場合、該不正パケットを廃棄するとともに、前記通信装置に対し、不正パケットと同一の特徴を持つパケットを廃棄する処理内容を通知する請求項１の通信システム。
【請求項３】
前記通信装置は、所定時間内に、同一の送信元から受信したパケット流入量を監視する流入監視部を備え、前記所定のサーバから不正パケットでないと判別されたパケットであっても前記パケット流入量が所定の閾値を超えている送信元からのパケットである場合、所定の措置を講ずる流入制御部を備える請求項１または２の通信システム。
【請求項４】
前記流入制御部は、前記所定の措置として、当該パケットの転送を中止する請求項３の通信システム。
【請求項５】
前記流入制御部は、前記所定の管理装置に対し、前記パケット流入量が所定の閾値を超えたことを通知する請求項３の通信システム。
【請求項６】
前記通信装置において、
少なくとも前記流入監視部および前記流入制御部を含む第１の制御部と、
前記サーバから通知された処理内容に従って動作する第２の制御部とが、互いに独立して動作するよう構成されている請求項３から５いずれか一の通信システム。
【請求項７】
不正パケットであるか否かを判別するための定義パタンとパケットとを照合することにより不正パケットを廃棄し、その他のパケットについては送信元に対し該パケットに適用する処理内容を通知するサーバと接続され、
前記サーバに対し未知のパケットを転送し、前記サーバから通知された処理内容に基づいて、受信パケットを処理する通信装置。
【請求項８】
さらに、所定時間内に、同一の送信元から受信したパケット流入量を監視する流入監視部を備え、前記所定のサーバから不正パケットでないと判別されたパケットであっても前記パケット流入量が所定の閾値を超えている送信元からのパケットである場合、所定の措置を講ずる流入制御部を備える請求項７の通信装置。
【請求項９】
サーバに対し未知のパケットを転送し、前記サーバから通知された処理内容に基づいて、受信パケットを処理する通信装置と、接続され、
不正パケットであるか否かを判別するための定義パタンと前記通信装置から送信された前記未知のパケットとを照合することにより不正パケットを廃棄し、その他のパケットについては前記通信装置に対し該パケットに適用する処理内容を通知するサーバ。
【請求項１０】
不正パケットであるか否かを判別するための定義パタンを用いて、通信装置から処理内容の問い合わせを受けたパケットのうち不正パケットを廃棄するステップと、
前記通信装置に対し、その他のパケットに適用する処理内容を通知するステップと、
前記通知された処理内容に基づいて、受信パケットを処理するステップと、
を含む通信方法。
【図１】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【公開番号】特開２０１３−７０３２５（Ｐ２０１３−７０３２５Ａ）
【公開日】平成２５年４月１８日（２０１３．４．１８）
【国際特許分類】
【出願番号】特願２０１１−２０８８７８（Ｐ２０１１−２０８８７８）
【出願日】平成２３年９月２６日（２０１１．９．２６）
【出願人】（０００００４２３７）日本電気株式会社 (19,353)
【Ｆターム（参考）】
【公開日】平成２５年４月１８日（２０１３．４．１８）
【国際特許分類】
【出願日】平成２３年９月２６日（２０１１．９．２６）
【出願人】（０００００４２３７）日本電気株式会社 (19,353)
【Ｆターム（参考）】
[ Back to top ]