JP2005506736A - パケットネットワークのルータ内のノードセキュリティを提供するための方法及び装置。 - Google Patents

Abstract

ルータ（２００）は、発信元（１０２）からルータを経由し送信され、そのルータ以外の着信先の装置（１１２、１１６）に指定されるデータパケットを監視し（３０２）、データパケットが着信先の装置に対して潜在的に有害か否かを判定する。ルータは、データパケットが着信先の装置に対して潜在的に有害であるという判定に応答して、第二ルータと通信（３０７）することによって、第二ルータに今後のデータパケット送信を中断させることを含む、データパケット送信の中断を行う（３０７）。データパケットが着信先の装置に対して潜在的に有害ではないと判定に応答して、データパケットを送信する（３０８）。

Description

【技術分野】
【０００１】
本発明は一般的にデータ通信システムに関し、より詳細には、パケットデータネットワークのルータ内のノードセキュリティを提供するための方法及び装置に関する。
【背景技術】
【０００２】
公衆が接続可能なパケットデータ通信ネットワークは、ハッカーなど、進入要素によって、進入及び中断の対象とされる。ほんの少しの重要なノードを、有害なウイルス又はワームの目標とすることにより、ネットワーク全体を停止することが可能である。従来のルータは、ヘッダー情報を読み、関連したヘッダーに示される着信先に各データパケットを転送するに過ぎなかった。これは、データパケットによって搬送されるユーザデータにより損害を受け得るコンピュータ及び他のルータ等、着信先の装置に保護を提供していない。
【０００３】
従って、パケットネットワークのルータ内にノードセキュリティを提供する方法及び装置が必要とされている。好適には、方法と装置は、潜在的に有害なデータパケットがネットワークに進入した直後に、及びこれらが広範囲に損害を生じ得る着信先に到達し得る前に、これらを検出し、除去する能力を有する。
【発明を実施するための最良の形態】
【０００４】
図１を参照すると、本発明による例示的なパケットデータ通信ネットワークの電子ブロックダイヤグラム１００は、ネットワークを通じて、データパケットを送信する発信元１０２を含む。発信元は、データパケットを送信するために、ワークステーション、パーソナルコンピュータ、携帯又は無線マルチメディア装置等を利用し得る。ネットワークは、進入ルータ１０４、及び、有線又は無線の様々な組合せのローカルエリアネットワーク（ＬＡＮ）１０６、中間ルータ１０８，１１０，１１２、広域ネットワーク（ＷＡＮ）１１４、及び一つ以上のサーバ１１６を備え得る。データパケットの典型的な着信先は、例えばサーバ１１６である。発信元が悪意を持って、ネットワークの全て又は一部に損害を与えることを望む場合、着信先は、サーバ１１６、又は一つ以上のルータ１０４，１０６，１１０，１１２のどちらでもあり得る。
【０００５】
本発明の一態様は、ウイルス、ワーム、トロイの木馬など、有害なデータパケットを、ネットワーク進入後の可能な最も早い地点において、多くのネットワークが影響を受ける前に、検出し、除去するために、従来技術で行われた以上に効果的なネットワークルータを用いることである。別の関連する態様は、ネットワーク内のネットワーク又は構成要素のための“修復”方法を提供する。例えば、発信元１０２が、ネットワーク内に有害なデータパケットを送信しようとしている場合、有害なデータパケットをブロックするためには、進入ルータ１０４は適切な選択である。ある実施形態において、例えばルータ１１２のような一つ以上の下流ルータは“強化セキュリティー”ルータとして設計され得る。すなわち、そのような下流ルータは、上流のルータと比べ、有害なデータパケットの位置を特定することに関して、より洗練された検出機構をプログラムされ得、従って、上流のルータと協働して、有害なデータパケットを根絶する効果を統制および制御することによって、上記した修復効果を促進する。これは、一部の経済的なトレードオフを許容する。更に、本発明によるネットワークルータ間の協働によって、有害なデータパケットがより進入地点近傍で即時に、かつ長期間にわたって、データパケットを効果的に検出し、中断することを提供するための様々な技術について、以下で説明する。
【０００６】
図２を参照すると、本発明による例示的なルータ２００の電子的ブロックダイヤグラムは、ネットワークの別のノードと通信するための複数（１−Ｎ）の入力／出力（Ｉ／Ｏ）ポート２０２を含む。より詳細には、Ｉ／Ｏポートは、発信元からルータ２００を経由して送信され、ルータ２００以外の着信先の装置に指定されるデータパケットを受信し、そのデータパケットを着信先の装置に送信する。Ｉ／Ｏポート２０２は、本発明によるデータパケットを処理するためのプロセッサ２０８と接続される。
【０００７】
プロセッサ２０８は好適には、プロセッサ２０８をプログラムするためのソフトウェアおよび作動パラメータを備えるメモリ２１０を含む。メモリ２１０は、周知の技術を通じてデータパケットのルーティングを制御するための、ルーティング制御プログラム及びデータベース２１２を含む。速度を増大することを目的として、ルータ２００は、大容量データパケットのルーティングのための特定目的ハードウェアを含み得る。メモリ２１０は、さらに、本発明による、プロセッサ２０８をプログラミングするためのノードセキュリティプログラム２１４を含む。ノードセキュリティプログラム２１４は、プロセッサ２０８を、データパケットがルータ２００に進入する際に、選択したデータパケットを監視し、データパケットが着信先の装置（又は別の方法では、ルータ２００自身に）潜在的に有害であるか否かを、オンザフライ又はほぼリアルタイムで、判定するようにプログラムする。監視は好適には、不正なデータパケットにおける制御ヘッダーの性質を詳細に調べることから開始する。
【０００８】
最近遭遇した有害なデータパケットの履歴だけでなく、トラフィックに依存して、ルータ２００は処理し、監視は幾つかの異なる手段によって行われ得る。これらは、データパケットの部分集合の無作為抽出、所定のソースアドレスを有するデータパケットの監視、所定の着信先アドレスを有するデータパケットの監視、ソースアドレス及び目的アドレスの所定の組合せを有するデータパケットの監視を含む。監視されるデータパケットの選択は、源又は着信先によって使用されるポート番号を考慮することが適切であり得る。効果的には、データパケットの無作為抽出はルータの負荷処理を減少し、抽出率は、トラフィック及び攻撃頻度により調整され得る。アドレス指定の監視は、効果的に、公知の不審な発信元及び／又は標的とされた着信先に集中することを可能にする。
【０００９】
ノードセキュリティプログラム２１４は、さらに、データパケットが着信先装置に対して潜在的に有害であるという判定に応答して、第二ルータと通信することにより、第二ルータに今後のデータパケット送信を中断させることを含む、データパケット送信の中断を行い、着信先の装置に対して潜在的に有害ではないとの判定に応答して、データパケットを送信するようにプロセッサ２０８をプログラムする。プロセッサ２０８は、一旦、データパケット送信を中断するという決定が為されると、同一の発信元からの送信データパケットを中断し又は放棄するようにプログラムされ得る。
【００１０】
有害なデータパケットを検出するためにノードセキュリティプログラム２１４が使用するいくつかの技術がある。一つの公知の技術は、公知のウイルス、ワーム、トロイの木馬などの潜在的な存在を示し得るシグネチャ又はデータパターンを検査する。さらに、しばしば単一のデータパケットを調査しただけでは、最終的な決定は、不可能なため、プロセッサ２０８は第一データパケットが疑わしい場合、即ちデータパケットが有害であり得るが、更なるデータが確認のために必要な場合、プロセッサ２０８は好適には、最終的な判定が行われ得るまで、第一データパケットのソースアドレス及び着信先アドレスの少なくとも一つを有する今後のデータパケットを監視することを決定する。さらに、プロセッサ２０８は、好適には、データパケットのヘッダーを調査し、特に、このような不正及び／又はコードが、単一のソースから送信された場合、公知のように不正及び／又は実行可能なコードの存在を探す。さらに、データパケット内のユーザデータは、実行可能なコード含むか否かを判定するための公知の方法によって、分析され得る。診断ソフトウェアは、ネットワーク内の疑わしい、又は標本抽出したハードウェア、若しくはソフトウェアが改ざんされたか否かを調査するために実行され得る。
【００１１】
メモリ２１０は更に、プロセッサ２０８を有害なデータパケットをブロックするために、他のルータと協働するようにプログラムする上流／下流協働プログラム２１６を含む。プロセッサは、例えば公知の技術を使用して、有害なデータの発信元に指定された命令を送信し得、その命令処理に関与するルータに対してアドレス情報を要求する。例としては、ＩＰ ピング（Ｐｉｎｇ）及びＩＰトレースルート（Ｔｒａｃｅｒｏｕｔｅ）命令がある。その応答から、プロセッサ２０８は、ネットワークの侵入地点として、発信元によって使用されたであろう少なくとも一つの上流のルータのアドレスを学習し得る。これは、様々な技術によって達成され得る。例えば、プロセッサ２０８は、発信元からの今後のデータパケットを中断するために上流のルータに命令を送信し得る。別の方法では、プロセッサ２０８は、公知の技術を通じて、上流のルータにエージェント（エージェント２２０など）を転送し得、この場合、そのエージェントは発信元から今後のデータパケットを中断するように構成されている。別の選択肢は、プロセッサが、上流のルータにその潜在的に有害なデータパケットを検出する能力（ウイルスデータベースなど）を更新させることである。さらに、上流のルータが発信元からの送信をブロックするために必要なルータの近傍に、上流のルータがある必要がないことを認識すべきである。つまり、上流のルータは、他のルータ、ＬＡＮ、及びＷＡＮを通じて、要求中のルータと遠隔的に、接続され得る。
【００１２】
さらに、メモリ２１０は、公知の技術、不良ヘッダー及び疑わしい、ユーザデータから、新規の有害なシグネチャが選別されるなど、バージョン情報の学習するようにプロセッサ２０８をプログラムするための学習プログラム２１８を含む。新規の有害なシグネチャは、好適には、ネットワーク内の上流の協働するルータに通信される。これは、ネットワーク修復効果を提供する、有害なデータパケットを阻止するための動的かつ反復的な検出／警告／収容処理を有利にもたらし得る。従って、本発明による方法及び装置が、有害なデータパケットを、ネットワーク内部の進入地点、又は近傍において中断するための容易かつ効果的な方法を提供する。
【００１３】
図３を参照すると、フローチャート３００は、本発明による例示的なルータ２００の動作を説明する。上記したようにフローは、ルータ２００が、選択したデータパケットの監視すること（３０２）から開始する。従って、ルータ２００は、上記で概説した技術の少なくとも一つを使用して、データパケットが有害か否かを判定する（３０４）。データパケットが有害である場合、ルータ２００は、データパケット送信を中断し（３０６）、上記に開示したように、少なくとも一つの第二ルータと通信（３０７）することにより、第二ルータに今後のデータパケットを中断させる。一方、ステップ３０４において、ルータ２００は、データパケットが有害でないと判定した場合、次に、ルータ２００は、意図した着信先に対してデータパケットを送信する。
【００１４】
上記の開示により、本発明がパケットネットワークのルータ内のノードセキュリティを提供するための方法及び装置を利用可能にすることが、明らかとなったはずである。この方法及び装置は、潜在的に有害なデータパケットを、ネットワーク侵入直後、かつ広範囲な損害を生じる場所に到達し得る前に、検出し、除去する能力を有する。これは、有害なデータが進入を許容された場合に、ネットワークに修正効果を提供する。
【００１５】
上記の教示に照らして、本発明の多くの変更及び変形が可能である。従って、添付した請求項の範囲内において、本発明は上記で記載された以外に実施され得ることが理解されるべきである。
【図面の簡単な説明】
【００１６】
【図１】本発明による、例示的なパケットデータ通信ネットワークの電子ブロックダイヤグラム。
【図２】本発明による、例示的なルータの電子ブロックダイヤグラム。
【図３】本発明による例示的なルータの作動を説明するフローチャート。

Claims (11)

1. パケットネットワークのルータにおいてノードセキュリティを提供する方法であって、
   発信元から、前記ルータを経由して送信され、前記ルータ以外の着信先の装置に指定されるデータパケットを監視するステップと、
   前記ルータ内において、前記データパケットが、前記着信先の装置に対して潜在的に有害であるか否か判定するステップと、
   前記データパケットが、前記着信先の装置に対して潜在的に有害有害であるという判定に応答して、第二ルータと通信することによって、前記第二ルータに今後のデータパケットの送信を中断させることを含む、前記データパケット送信の中断を行うステップと、
   前記データパケットが、前記着信先の装置に対して潜在的に有害ではないという判定に応答して、前記データパケットを送信するステップとからなる方法。
2. 前記中断ステップは、発信元からの以後のデータパケットを廃棄するステップを含む請求項１に記載の方法。
3. 前記中断ステップは、発信元からの今後のデータパケットを中断するように、命令を上流のルータに送信するステップを含む請求項１に記載の方法。
4. 前記中断ステップは、発信元からの今後のデータパケットを阻止するように構成されたエージェントを、上流のルータに転送するステップを含む請求項１に記載の方法。
5. 前記判定するステップは、ワーム、ウイルス、トロイの木馬の少なくとも一つの潜在的な存在を検査するステップを含む請求項１に記載の方法。
6. 前記監視するステップは、
   データパケットの部分集合を無作為に抽出するステップと、
   所定のソースアドレスを有するデータパケットを監視するステップと、
   所定の着信先アドレスを有するデータパケットを監視するステップと、
   ソースアドレスと着信先アドレスとの所定の組合せを有するデータパケットを監視するステップとの少なくとも一つのステップを含む請求項１に記載の方法。
7. 前記判定するステップは、
   第一データパケットが疑わしいかを判定するステップと、
   前記第一データパケットが疑わしいという判定に応答して、前記第一データパケットのソースアドレス及び着信先アドレスと、それぞれに一致するソースアドレス及び着信先アドレスのうち少なくとも一方を有する今後のデータパケットを監視することを決定するステップとを含む請求項１に記載の方法。
8. 前記中断ステップは、上流のルータと協働することにより、前記上流のルータが、潜在的に有害なデータパケット検出能力を更新するようにさせるステップを含む請求項１に記載の方法。
9. 前記中断ステップは、前記ルータと隣接しない上流のルータと協働することによって、前記上流のルータに前記発信元からの送信をブロックさせるステップを含む請求項１に記載の方法。
10. 前記中断ステップは、さらに、関与するルータからのアドレス情報を要求する命令を発信元に送信することによって、前記上流のルータを識別するステップを含む請求項９に記載の方法。
11. パケットネットワーク内においてノードセキュリティを提供するルータであって、
    発信元からルータを経由して送信され、前記ルータ以外の着信先の装置に指定されるデータパケットを受信し、かつ前記着信先装置に前記データパケットを送信する複数のＩ／Ｏポートと、
    前記複数のＩ／Ｏポートに接続され、前記データパケットを処理するためのプロセッサとを備え、前記プロセッサは、
    前記データパケットを監視し、
    前記データパケットが、前記着信先の装置に対して潜在的に有害か否かを判定し、
    前記着信先の装置に対して潜在的に有害であるという判定に応答して、第二ルータと通信することにより、前記第二ルータに今後のデータパケット送信を中断させることを含む、前記データパケット送信の中断を行い、
    前記データパケットが前記着信先の装置に対して潜在的に有害でないという判定に応答して、前記データパケットを送信するようにプログラムされている、ルータ。

Images