JP2006148778A - パケット転送制御装置 - Google Patents

Abstract

【課題】 不正アクセス、そのなかでも特にＤｏＳ攻撃によるネットワークおよび端末の可用性の低下回避をネットワーク規模で防御する。
【解決手段】 パケット網においてパケットを転送するパケット転送制御装置が、転送するパケットが不正アクセスを引き起こす可能性を検知するための侵入検知手段を備え、その侵入検知結果を当該パケットを中継すべき後続のパケット転送制御装置に伝播する。当該パケットに対する侵入検知結果は当該パケット自身に付与され、当該パケットと共に後続のパケット転送制御装置によってネットワーク上を転送される。また、パケット転送制御装置が、不正アクセスから保護すべき被保護システムに障害が生じているか否かを監視し、障害の度合いに応じてパケットの通過または廃棄といったトラヒック制御を行う。
【選択図】 図１

Description

本発明は、パケット通信網に利用する。特に、ネットワークシステムに対する外部からの不正アクセスの可能性がある通信トラヒックの特定とその防御に関する。

ＤｏＳ（Ｄｅｎｉａｌ ｏｆ Ｓｅｒｖｉｃｅ）攻撃やコンピュータへの不正侵入といった外部からの不正アクセスによって生じるネットワークシステムの障害を防ぐための要素技術として、侵入検知システム（ＩＤＳ；Ｉｎｔｒｕｓｉｏｎ Ｄｅｔｅｃｔｉｏｎ Ｓｙｓｔｅｍ）が用いられる。

侵入検知システムは、保護対象とするネットワークや端末を監視し、障害の要因となる不正アクセスを検出した時点で管理者にアラートを通知する。監視対象が端末である場合はホストＩＤＳと呼ばれ、監視対象がネットワークである場合はネットワークＩＤＳと呼ばれる。

このうちネットワークＩＤＳでは、ネットワークを流れるパケットを監視して分析する。分析の結果、不正アクセスと思われる振る舞いが存在すると判断された場合は、当該アクセスに関する情報（ＩＰアドレス、ポート番号、攻撃の種別など）を含んだアラートを管理者に通知したり、該当する通信記録を保存するなどの対策が行われる。

侵入検知システムは、その侵入判定方法によって、ミスユース検知型とアノマリ（異常）検知型とに分類できる。
（ミスユース検知型）
不正アクセスを行うパケットに共通するパターンを予め抽出する。そして、不正アクセスに共通するパターンが記述されたルール（シグニチャと呼ばれる）をデータベースに登録する。

侵入検知システムでは、ネットワーク上を流れるパケットがシグニチャに記述されているパターンと一致するか否かを逐次検査することによって、不正なアクセスを試みるパケットを検出する（例えば、非特許文献１参照）。

（異常検知型）
ミスユース型が、個々の不正アクセスに共通するパターンのデータベースを構成することに対し、異常検知型では、正常状態の特徴値を予め抽出しておき、その特徴値から外れるトラヒックを異常トラヒックとみなす。

特徴値の抽出とその異常判定には確率統計的な手法が主にとられる。すなわち、ネットワークのトラヒックに対して幾つかの検査項目を定める。次に事前に監視対象とするネットワークのトラヒックを確率統計的に分析し、検査項目が正常と考えられる範囲を設定しておく、侵入検知システムの運用に際して、監視対象とするネットワークのトラヒック検査項目を実際に測定し、それらの値が定められた正常範囲から外れる場合に、異常と判定する（例えば、非特許文献２参照）。

ミスユース型では、個々の不正アクセスについて厳密にシグニチャが定義される。故に、誤検知、すなわち正常なパケットを不正と判定することが少ないという利点がある。その一方で、予めシグニチャを登録しておく必要があるため、新種や亜種の攻撃に対して即時的に対応できない。さらに、端末やネットワークの可用性を低下させるＤｏＳ攻撃のように、単体では正常であるパケットをより集めて行う攻撃の検出が難しいなどの課題がある。

これに対し、異常検知型では、予め攻撃の特徴を登録しておく必要がないため、新種や亜種の攻撃に対して即時に対応できる。その一方で、誤検知率がミスユース検知型と比較して高いなどの課題がある。このため、実際に用いられている侵入検知システムはミスユース検知型が主流である。

また、侵入検知システムとパケットのフィルタリングを行うファイアウォールとを連携させることで、検知した不正アクセスに対する防御を自動的に行う装置も用いられつつある。このような枠組みは、侵入防御システムと呼ばれる。侵入防御システムでは、侵入検知システムが発行したアラートの内容に基づきファイアウォールの設定を動的に書き換えることによって、不正アクセスに対する制御が行われる。具体的な防御法として、不正アクセスが試みられた端末のポートを閉じたり、不正アクセスを試みたホストからのアクセスを遮断するなどが挙げられる。

Ｍａｒｔｉｎ Ｒｏｅｓｃｈ、"ＳＮＯＲＴ−ＬＩＧＨＴＷＥＩＧＨＴ ＩＮＴＲＵＳＩＯＮ ＤＥＴＥＣＴＩＯＮ ＦＯＲ ＮＥＴＷＯＲＫＳ"，Ｐｒｏｃｅｅｄｉｎｇｓ ｏｆ ＬＩＳＡ’９９：１３ｔｈ Ｓｙｓｔｅｍ Ａｄｍｉｎｉｓｔｒａｔｉｏｎ Ｃｏｎｆｅｒｅｎｃｅ，Ｓｅａｔｌｅ，Ｗａｓｈｉｎｇｔｏｎ，ＵＳＡ，Ｎｏｖｅｎｂｅｒ７−１２，１９９９，ｐ２２９−２３８ Ａｌｅｋｓａｎｄａｒ Ｌａｚａｒｅｖｉｃ，Ａｙｓｅｌ Ｏｚｇｕｒ，Ｌｅｖｅｎｔ Ｅｒｔｏｚ，Ｊａｉｄｅｅｐ Ｓｒｉｖａｓｔａｖａ，Ｖｉｐｉｎ Ｋｕｍａｒ，Ｄｅｐａｒｔｍｅｎｔ ｏｆ Ｃｏｍｐｕｔｅｒ Ｓｃｉｅｎｃｅ Ｄｅｐａｒｔｍｅｎｔ，Ｕｎｉｖｅｒｓｉｔｙ ｏｆ Ｍｉｎｎｅｓｏｔａ，"Ａ Ｃｏｍｐａｒａｔｉｖｅ Ｓｔｕｄｙ ｏｆ Ａｎｏｍａｌｙ Ｄｅｔｅｃｔｉｏｎ Ｓｃｈｅｍｅｓ ｉｎ Ｎｅｔｗｏｒｋ Ｉｎｔｒｕｓｉｏｎ Ｄｅｔｅｃｔｉｏｎ"，Ｐｒｏｃ．ＳＩＡＭ Ｃｏｎｆ．Ｄａｔａ Ｍｉｎｉｎｇ，２００３． Ｙ．Ｋｉｍ，ｅｔ ａｌ，"ＰａｃｋｅｔＳｃｏｒｅ：Ｓｔａｔｉｓｔｉｃｓ−ｂａｓｅｄ Ｏｖｅｒｌｏａｄ Ｃｏｎｔｒｏｌ ａｇａｉｎｓｔ Ｄｉｓｔｒｉｂｕｔｅｄ Ｄｅｎｉａｌ−ｏｆ−Ｓｅｒｖｉｃｅ Ａｔｔａｃｋｓ"，ＩＥＥＥ ＩＮＦＯＣＯＭ ２００４，Ｍａｒ．２００４． 特開２００１−３４５８４９号公報

侵入検知システム、特に異常検知型侵入検知システムでは、誤検知の問題が存在する。すなわち、侵入検知システムによる判定は、その不正の可能性を示唆するものであり、必ずしも不正と判定されたトラヒックが常に不正であるとは限らない。

これに対し商用ネットワークを想定した場合には、ネットワーク上を流れるパケットは顧客の財産であり、できる限り保護すべき対象である。すなわち、正常の可能性が完全に否定できないトラヒックに対し無条件にペナルティを与えることは、大きなリスクが存在する。

したがって、トラヒックにペナルティを与えないことによって被る損失が、ペナルティを与えることによって生じるリスクより大きくなって初めて、不正の可能性があるトラヒックに対して制限を加えることができるといえる。

特にＤｏＳ攻撃は量的攻撃を基本とし、個々のパケットによってもたらされる損失は小さい。したがって、端末やネットワークの可用性を低下させない範囲で異常トラヒックを許容した方が、正常の可能性があるトラヒックまでも巻き込んで異常トラヒックを制限するよりも、経済的な損失が小さくなる。

これは、異常トラヒックに対して与えるべき制限の度合いが、保護対象とするシステム（被保護システム）の状態に強く依存することを意味する。

従来の侵入検知システムは、不正アクセスの要因となる異常トラヒックを特定するものである。また、侵入防御システムでは、単に侵入検知システムのアラートに従ってトラヒックに制限を加えるのみである。すなわち、被保護システムの状態、すなわち、その異常トラヒックを許容することによって実際に障害が生じるか否かが基本的に考慮されていない。

したがって、侵入検知システムで誤検知を生じた場合には、その誤検知は必ず損失として転換される。その結果、誤検知による損害を小さくするためには、その判定精度の向上が必要となる。本質的に誤検知率が高い異常検知型の侵入検知システムが実用化に至らない理由はこの問題に依存する。

この問題を解決するため、被保護対象システムの負荷状態を考慮したトラヒック制御手法も提案されている（例えば、非特許文献３参照）。しかしながら、非特許文献３のトラヒック制御は、被保護システムの負荷状態が正常になるまで、不正アクセスの可能性が高いセッションのトラヒックを順番に遮断していくことに相当する。その結果、不正アクセスの可能性が高いと誤って判定された正常ユーザが全くサービスを受けられないという問題が依然として残る。

さらに、非特許文献３では、その被保護システムをサーバと規定し、その侵入検知をネットワークの出口側、すなわち被保護システムとなるサーバの近傍で行う。このため、従来の侵入検知防御システムと同様に、次に示す課題が生じる。

通常、侵入検知防御システムは、被保護システム、すなわち被攻撃者側に併設される。言い換えるならば侵入検知点、被保護システム、防御点がネットワーク上の同じ場所に配置される。地理的に分散したホストから一斉に特定ホストを攻撃するＤＤｏＳ（Ｄｉｓｔｒｉｂｕｔｅ Ｄｅｎｉａｌ ｏｆ Ｓｅｒｖｉｃｅ）のような攻撃では、より被攻撃者に近いほど、容易に異常トラヒックを検知できる。しかしながら、異常トラヒックの要因は様々であり、必ずしも被攻撃者側で検知することが常に最善であるとは限らない。

例えば、ワームに感染したホストから送信される異常トラヒックは、ネットワークの入り口、すなわち攻撃者に近い箇所でより明確にその異常性を把握できる。したがって、被保護システム付近で侵入検知を試みる既存の侵入検知防御システムでは、検知可能な不正アクセスの種類が大きく制約されているといえる。

近年のネットワークの高速化に伴い、侵入検知システムにおけるシグニチャとの比較処理、侵入検知処理がボトルネックとなっていることが指摘されている。特に、ネットワーク帯域の利用率が高まると、その帯域で追従できなくなり、判定精度が著しく低下する。

パケットの転送制御装置での輻輳や端末のオーバーロードといった、ＤｏＳ攻撃に伴う障害発生時には、監視すべきパケット量が通常の状態と比較して増加する。すなわち、侵入検知システムが最も必要となる場合において、侵入検知システム自体が過負荷となり、有効に働かなくなるという問題が生じる。

本発明は、このような背景に行われたものであって、不正アクセス、そのなかでも特にＤｏＳ攻撃によるネットワークおよび端末の可用性の低下回避をネットワーク規模で防御するためのパケット転送制御装置を提供することを目的とする。

本発明の特徴は、パケット網においてパケットを転送するパケット転送制御装置が、転送するパケットが不正アクセスを引き起こす可能性を検知するための侵入検知手段を備え、その侵入検知結果を当該パケットを中継すべき後続のパケット転送制御装置に伝播する点にある。

本発明によれば、当該パケットに対する侵入検知結果は当該パケット自身に付与され、当該パケットと共に後続のパケット転送制御装置によってネットワーク上を転送される。また、本発明のもう一つの特徴として、パケット転送制御装置が、不正アクセスから保護すべき被保護システムに障害が生じているか否かを監視し、障害の度合いに応じてパケットの通過または廃棄といったトラヒック制御を行う点にある。ここで、被保護システムとして、パケット転送制御装置自身を含む。

また、パケット転送制御装置において被保護システムの障害を検知した場合は、その障害の度合い、パケットに付与された侵入検知結果、および自分自身で推定したパケットの侵入検知結果に応じてトラヒック制御を行う。

すなわち、本発明では、パケット転送制御装置が、その被保護システムにおける障害の度合いに応じて、当該パケット転送制御装置およびこれまでパケットを中継してきたパケット転送制御装置によって検知された侵入検知結果に基づき、トラヒック制御を局所的かつ即時的に行う。このとき、検知された不正の危険性が高くかつ誤検知の可能性が極めて小さい場合を除き、侵入検知結果のみに基づくパケット廃棄処理は行われない。したがって、被保護システムが正常である限り侵入検知システムの誤検知による損失が生じない。故に、誤検知による損失機会を大きく削減することができる。

さらに、本発明によれば、個々のパケット転送制御装置において検出された侵入検知結果はパケットに付与され、後段のパケット転送制御装置に通知される。これにより、ネットワークを転送されるパケットは、パケット転送制御装置で中継されるたびに、その不正アクセスの可能性を検査されることになる。これにより、その被保護システムに障害が生じたパケット転送制御装置のみでは検知することが難しい不正アクセスも考慮した、トラヒック制御が可能となる。

最後に、侵入検知結果がパケットに付与されるため、必ずしも全てのパケット転送制御装置において侵入検知処理を行う必要がなくなる。すなわち、侵入検知処理と異常性に基づくトラヒック制御（パケットの通過または廃棄）処理をネットワーク上に機能分散させることができる。

一般的に、トラヒック制御処理より、侵入検知処理の方が負荷が高い。故に、端末付近、およびネットワークの出入り口付近のパケット転送制御装置にのみ侵入検知機能を持たせ、コアネットワークのパケット転送制御装置には、トラヒック制御処理のみを実装することによって、侵入検知結果に基づくトラヒック制御処理をネットワーク全体で高いスループットで実現できる。

すなわち、本発明は、パケット転送制御装置であって、本発明の特徴とするところは、自装置から転送するパケットが不正アクセスであることの確からしさを示す度合いである異常度、または、その不正アクセスの種類を推定する侵入検知手段と、この侵入検知手段により推定された侵入検知結果を当該パケット自身に付与する手段と、他装置から到着したパケットに付与された前記侵入検知結果に基づきトラヒック制御を行う手段とを備えたところにある（請求項１）。

これにより、検知結果通知用に特別なパケットを用意する必要がなく、効率の良いトラヒック制御を行うことができる。また、ネットワーク上で侵入検知処理と侵入検知結果（障害検知結果は考慮しない）に基づくトラヒック制御処理とを機能分散することが可能となる。この構成は、侵入検知機能によって検知された不正アクセスの危険性が非常に高い場合や誤検知の可能性が極めて低い場合など、被保護システムの障害の有無を考慮する必要性が小さい場合に用いるに適する。

また、自装置に接続された不正アクセスから保護すべき被保護システムに障害が生じているか否かを検知する障害発生検知手段が設けられ、前記トラヒック制御を行う手段は、他装置から到着したパケットに付与された前記侵入検知結果および前記障害発生検知手段の障害発生検知結果に基づきトラヒック制御を行う手段を備えることができる（請求項２）。

これにより、他装置、被保護システムの双方の検知結果に基づきトラヒック制御を行うことができるため、適切かつ正確なトラヒック制御を行うことができる。

あるいは、前記トラヒック制御を行う手段は、他装置から到着したパケットに付与された前記侵入検知結果および自装置の前記侵入検知手段の侵入検知結果および前記障害発生検知手段の障害発生検知結果に基づきトラヒック制御を行う手段を備えることができる（請求項３）。

これにより、他装置、自装置、被保護システムの３者の検知結果に基づきトラヒック制御を行うことができるため、適切かつ正確なトラヒック制御を行うことができる。

また、自装置から転送するパケットが不正アクセスである確率を前記異常度とし、この確率を前記侵入検知手段の侵入検知結果として用いることができる（請求項４）。

あるいは、自装置から転送するパケットによって引き起こされる可能性がある不正アクセスの種類とその異常度とを推定し、当該推定された不正アクセスの種類とその異常度との組のリストを前記侵入検知手段の侵入検知結果として用いることができる（請求項５）。

これによれば、単に、異常度を侵入検知結果として用いる場合と比較して不正アクセスの種類までも把握できるので、不正アクセスの種類に応じた適切かつ正確なトラヒック制御を行うことができる。

また、自装置から転送するパケットに予め侵入検知結果が付与されていたときには、当該侵入検知結果と、自装置の前記侵入検知手段の侵入検知結果とを比較し、当該パケットに予め付与されていた前記侵入検知結果を更新する手段を備えることができる（請求項６）。

これにより、常に新しい検知結果をネットワーク内に周知させることができるため、適切かつ正確なトラヒック制御を行うことができる。

例えば、前記更新する手段は、転送するパケットに予め付与されていた前記侵入検知結果としての異常度が自装置の前記侵入検知手段の侵入検知結果としての異常度よりも低いときには、当該パケットに予め付与されていた前記侵入検知結果を自装置の前記侵入検知手段の侵入検知結果により更新する手段を備えることができる（請求項７）。

これによれば、異常度の高い最新の検知結果を素早くネットワーク内に周知させることができるため、安全性が高く、適切かつ正確なトラヒック制御を行うことができる。

あるいは、前記更新する手段は、転送するパケットに予め付与されていた前記侵入検知結果としての異常度と、自装置の前記侵入検知手段の侵入検知結果としての異常度との平均値により当該パケットに予め付与されていた前記侵入検知結果を更新する手段を備えることができる（請求項８）。

これによれば、ネットワーク内の平均的な異常度をネットワーク内に周知させることができるため、可用性が高く、適切かつ正確なトラヒック制御を行うことができる。

あるいは、パケットに付与する不正アクセスの種類とその異常度との組のリスト長の上限が予め定められ、前記更新する手段は、転送するパケットに予め付与されていた前記侵入検知結果としての不正アクセスの種類と異常度との組のリストと、自装置の前記侵入検知手段の侵入検知結果としての不正アクセスの種類とその異常度との組のリストとを比較し、転送するパケットに予め付与されていた前記侵入検知結果としての異常度が自装置の前記侵入検知手段の侵入検知結果としての異常度よりも低いときには、当該パケットに予め付与されていた前記侵入検知結果を自装置の前記侵入検知手段の侵入検知結果の中から前記リスト長の上限を越えない範囲内にあり最も高い異常度を有する侵入検知結果により更新する手段を備えることができる（請求項９）。

これによれば、異常度の高い最新の検知結果をその不正アクセスの種別の情報と共に素早くネットワーク内に周知させることができるため、単に、異常度のみを通知する場合と比較してさらに適切かつ正確なトラヒック制御を行うことができる。

また、前記侵入検知結果をパケット自身に付与する手段は、パケットに付与される侵入検知結果をパケットのヘッダに埋め込む手段を備えることができる（請求項１０）。

例えば、前記パケットのヘッダに埋め込む手段は、前記侵入検知結果をＩＰｖ４ヘッダのＴｏＳフィールドに埋め込む手段を備えることができる（請求項１１）。

あるいは、前記パケットのヘッダに埋め込む手段は、前記侵入検知結果をＩＰｖ４オプションヘッダに埋め込む手段を備えることができる（請求項１２）。

あるいは、前記パケットのヘッダに埋め込む手段は、前記侵入検知結果をＩＰｖ６オプションヘッダに埋め込む手段を備えることができる（請求項１３）。

また、前記障害発生検知手段は、被保護システムの負荷の度合いの監視結果を当該被保護システムに障害が生じているか否かを測る指標として用いる手段を備えることができる（請求項１４）。

あるいは、前記障害発生検知手段は、被保護システムの輻輳状態の度合いの監視結果を当該被保護システムに障害が生じているか否かを測る指標として用いる手段を備えることができる（請求項１５）。

また、複数の被保護システムに対し、個々の被保護システムの正常性の度合いを示す正常度を計算する手段と、この計算する手段の計算結果に基づき前記正常度が最小となる被保護システムを現在保護すべき被保護システムとして選択する手段とを備えることができる（請求項１６）。

これにより、複数の被保護システムが有り、その全てを保護することが困難である場合には、現在保護すべき被保護システムを適切かつ正確に選択することができる。

また、前記被保護システムに障害が生じているか否かを測る指標に基づき推定される当該被保護システムの障害の度合いが閾値以上となったときには、自装置の出力パケットキューに存在するパケットの内、異常度が大きいものから順に廃棄する手段を備えることができる（請求項１７）。

これにより、異常度の高いパケットを優先的に速やかに廃棄することができる。

また、前記被保護システムに障害が生じているか否かを測る指標に基づき推定される当該被保護システムの障害の度合い、または、自装置の出力パケットキューに入力されるパケットの異常度に比例して当該出力パケットキューに入力されるパケットの廃棄確率を増加させる手段を備えることができる（請求項１８）。

これにより、異常度の高いパケットをその異常度に応じて適応的に廃棄することができる。

また、パケットが属するフローの異常度に反比例させてそのフローが本来占有すべきデータレート（公平共有データレート）を低く設定する手段と、被保護システムの障害の度合いが閾値以上のときには、各フローのデータレートが前記公平共有データレートに近付くように自装置の出力パケットキューに入力されるパケットの廃棄確率を設定する手段とを備えることができる（請求項１９）。

これにより、フローの公平共有データレートを設定する段階からトラヒック制御を開始することができるため、トラヒック制御に伴うネットワーク環境の振動を小さく抑えることができる。

このときに、自装置から転送するパケットが不正アクセスであることの確からしさを示す度合いである異常度、または、その不正アクセスの種類を推定する侵入検知手段を備え、この侵入検知手段または他装置から到着したパケットに付与された侵入検知結果に基づき前記異常度を認識する手段を備えることもできる（請求項２０）。

これによれば、自装置の侵入検知手段の検知結果に基づき前記異常度を認識し、自装置の出力パケットキューに存在するパケットの内、異常度が大きいものから順に廃棄したり、自装置の出力パケットキューに入力されるパケットの異常度に比例して当該出力パケットキューに入力されるパケットの廃棄確率を増加させたり、パケットが属するフローの異常度に反比例させてそのフローが本来占有すべきデータレート（公平共有データレート）を低く設定することができる。

本発明によれば、不正アクセス、そのなかでも特にＤｏＳ攻撃によるネットワークおよび端末の可用性の低下回避をネットワーク規模で防御することができる。

本発明実施例のパケット転送制御装置の構成を図２〜図４および図７を参照して説明する。図２は端末用パケット転送制御装置の構成例を示す図である。図３はエッジ用パケット転送制御装置の構成例を示す図である。図４はコア用パケット転送制御装置の構成例を示す図である。図７はフィルタのブロック構成図である。

本実施例のパケット転送制御装置は、図２および図３および図７に示すように、自装置から転送するパケットが不正アクセスであることの確からしさを示す度合いである異常度、または、その不正アクセスの種類を推定する侵入検知部１と、この侵入検知部１により推定された侵入検知結果を当該パケット自身に付与する侵入検知結果埋め込み部４と、他装置から到着したパケットに付与された前記侵入検知結果に基づきトラヒック制御を行うフィルタ７内の通過・廃棄判定部３とを備える（請求項１）。

また、自装置に接続された不正アクセスから保護すべき被保護システムであるネットワーク端末５０に障害が生じているか否かを検知するフィルタ７内の正常度比較部２が設けられ、通過・廃棄判定部３は、他装置から到着したパケットに付与された前記侵入検知結果および正常度比較部２の障害発生検知結果に基づきトラヒック制御を行う手段を備える（請求項２）。

あるいは、通過・廃棄判定部３は、他装置から到着したパケットに付与された前記侵入検知結果および自装置の侵入検知部１の侵入検知結果および正常度比較部２の障害発生検知結果に基づきトラヒック制御を行う侵入検知結果検出部５および侵入検知結果選択部６を備える（請求項３）。

また、自装置から転送するパケットが不正アクセスである確率を前記異常度とし、この確率を侵入検知部１の侵入検知結果として用いることができる（請求項４）。

さらに、自装置から転送するパケットによって引き起こされる可能性がある不正アクセスの種類とその異常度とを推定し、当該推定された不正アクセスの種類とその異常度との組のリストを侵入検知部１の侵入検知結果として用いる（請求項５）。

また、侵入検知結果埋め込み部４は、自装置から転送するパケットに予め侵入検知結果が付与されていたときには、当該侵入検知結果と、自装置の侵入検知部１の侵入検知結果とを比較し、当該パケットに予め付与されていた前記侵入検知結果を更新する手段を備える（請求項６）。

例えば、侵入検知結果埋め込み部４の前記更新する手段は、転送するパケットに予め付与されていた前記侵入検知結果としての異常度が自装置の侵入検知部１の侵入検知結果としての異常度よりも低いときには、当該パケットに予め付与されていた前記侵入検知結果を自装置の侵入検知部１の侵入検知結果により更新する手段を備える（請求項７）。

あるいは、侵入検知結果埋め込み部４の前記更新する手段は、転送するパケットに予め付与されていた前記侵入検知結果としての異常度と、自装置の侵入検知部１の侵入検知結果としての異常度との平均値により当該パケットに予め付与されていた前記侵入検知結果を更新する手段を備える（請求項８）。

あるいは、パケットに付与する不正アクセスの種類とその異常度との組のリスト長の上限が予め定められ、侵入検知結果埋め込み部４の前記更新する手段は、転送するパケットに予め付与されていた前記侵入検知結果としての不正アクセスの種類と異常度との組のリストと、自装置の侵入検知部１の侵入検知結果としての不正アクセスの種類とその異常度との組のリストとを比較し、転送するパケットに予め付与されていた前記侵入検知結果としての異常度が自装置の侵入検知部１の侵入検知結果としての異常度よりも低いときには、当該パケットに予め付与されていた前記侵入検知結果を自装置の侵入検知部１の侵入検知結果の中から前記リスト長の上限を越えない範囲内にあり最も高い異常度を有する侵入検知結果により更新する手段を備える（請求項９）。

また、侵入検知結果埋め込み部４は、パケットに付与される侵入検知結果をパケットのヘッダに埋め込む手段を備える（請求項１０）。

例えば、侵入検知結果埋め込み部４は、前記侵入検知結果をＩＰｖ４ヘッダのＴｏＳフィールドに埋め込む手段を備える（請求項１１）。

あるいは、侵入検知結果埋め込み部４は、前記侵入検知結果をＩＰｖ４オプションヘッダに埋め込む手段を備える（請求項１２）。

あるいは、侵入検知結果埋め込み部４は、前記侵入検知結果をＩＰｖ６オプションヘッダに埋め込む手段を備える（請求項１３）。

また、正常度比較部２は、被保護システムの負荷の度合いの監視結果を当該被保護システムに障害が生じているか否かを測る指標として用いる手段を備える（請求項１４）。

あるいは、正常度比較部２は、被保護システムの輻輳状態の度合いの監視結果を当該被保護システムに障害が生じているか否かを測る指標として用いる手段を備える（請求項１５）。この際には、正常度比較部２は、平均キュー長計算部１０によって計算されたバッファ処理部１１における平均キュー長の情報を用いる。このとき、平均キュー長計算部１０を介さずに、キュー長の即値を用いることも可能である。

さらに、正常度比較部２は、複数の被保護システムに対し、個々の被保護システムの正常性の度合いを示す正常度を計算する手段と、この計算する手段の計算結果に基づき前記正常度が最小となる被保護システムを現在保護すべき被保護システムとして選択する手段とを備える（請求項１６）。

また、通過・廃棄判定部３は、前記被保護システムに障害が生じているか否かを測る指標に基づき推定される当該被保護システムの障害の度合いが閾値以上となったときには、自装置の出力パケットキューに存在するパケットの内、異常度が大きいものから順に廃棄する手段を備える（請求項１７）。

あるいは、通過・廃棄判定部３は、前記被保護システムに障害が生じているか否かを測る指標に基づき推定される当該被保護システムの障害の度合い、または、自装置の出力パケットキューに入力されるパケットの異常度に比例して当該出力パケットキューに入力されるパケットの廃棄確率を増加させる手段を備える（請求項１８）。

あるいは、通過・廃棄判定部３は、パケットが属するフローの異常度に反比例させてそのフローが本来占有すべきデータレート（公平共有データレート）を低く設定する手段と、被保護システムの障害の度合いが閾値以上のときには、各フローのデータレートが前記公平共有データレートに近付くように自装置の出力パケットキューに入力されるパケットの廃棄確率を設定する手段とを備える（請求項１９）。

このとき、他装置から到着したパケットに付与された侵入検知結果のみならず自装置の侵入検知部１の検知結果に基づき前記異常度を認識することもできる（請求項２０）。

以下では、本実施例をさらに詳細に説明する。

本発明実施例のパケット転送制御システムは、ネットワークにおける配置箇所に応じて、様々な構成をとり得る。本発明とするパケット転送制御システムでは、以下の３つが主要機能となる。すなわち、１）不正アクセスによって引き起こされる被保護システムの障害検知機能、２）転送するパケットが不正アクセスを引き起こす可能性があるか否かを判定する侵入検知機能、３）後段のパケット転送制御装置への侵入検知結果伝達機能、および４）障害検知結果、侵入検知結果、および前段の伝達された侵入検知結果の組み合わせに基づくトラヒック制御機能である。本発明では、パケット転送制御装置の配置位置に応じて、その構成を柔軟にカスタマイズできる。

障害検知機能（フィルタ７の正常度比較部２）、侵入検知機能（侵入検知部１）、およびトラヒック制御機能（フィルタ７の通過・廃棄判定部３）を備えるパケット転送制御装置は、そのパケット転送制御装置単体で、侵入・障害検知結果に基づくトラヒック制御が可能となる。

侵入検知機能と侵入検知結果伝達機能（侵入検知結果埋め込み部４）を備えるパケット転送制御装置とトラヒック制御機能を備えるパケット転送制御装置とでネットワークを構成することにより、ネットワーク上で侵入検知処理と侵入検知結果（障害検知結果は考慮しない）に基づくトラヒック制御処理とを機能分散することが可能となる（請求項１）。この構成は、侵入検知機能によって検知された不正アクセスの危険性が非常に高い場合や誤検知の可能性が極めて低い場合など、被保護システムの障害の有無を考慮する必要性が小さい場合に用いられる。

侵入検知機能と侵入検知結果伝達機能を備えるパケット転送制御装置と障害検知機能とトラヒック制御機能を備えるパケット転送制御装置とでネットワークを構成すると、前述の特徴に加え、被保護システムの障害の有無を考慮したトラヒック制御が可能となる（請求項２）。

さらに、侵入検知機能と侵入検知結果伝達機能とを備えるパケット転送制御装置と、侵入検知機能、障害検知機能、およびトラヒック制御機能を備えるパケット転送制御装置とでネットワークを構成した場合には、前述の特徴に加え、トラヒック制御を行うパケット転送制御装置において、自身で判定した侵入検知結果をも考慮することが可能である。これにより、より多くの種類の不正アクセスの検出が可能となる（請求項３）。

本発明の実施例として、そのうち最も基本的な構成をとる３種のパケット転送制御システム、すなわち、端末用、エッジ用、およびコア用について説明する。図１は、本発明による３種のパケット転送制御システムを用いたネットワークの構成例を示している。ネットワーク端末に隣接して設置されるパケット転送制御装置を端末用パケット転送制御装置（Ｕと図示）と呼ぶ。

端末用パケット転送制御装置は、不正アクセスによるネットワーク端末と端末への回線の可用性低下を防ぐことをその目的とする。端末用パケット転送制御装置では、上述した本発明の３つの主要機能の全てを備える。ここで１）における監視すべき障害は、ネットワーク端末の過負荷、端末への通信回線の輻輳となる。

また、ネットワーク端末の互換性を維持するため、ネットワーク端末と端末用パケット転送制御装置との間では侵入検知結果が付与されていない通常パケットを用いてパケット転送がなされ、端末用パケット転送制御装置とパケット通信網との間では、端末用パケット転送制御装置による侵入検知結果が付与された侵入検知結果付きパケットを用いて転送がなされる。

一方、エッジ用およびコア用パケット転送制御装置（Ｃと図示）はパケット通信網の内部に設置され、不正アクセスによるネットワーク帯域の可用性低下を防ぐことを目的とする。エッジ用パケット転送制御装置（Ｅと図示）では、上述した本発明の３つの主要機能の全てを備える。

一方、コア用パケット転送制御装置では、高速なコアネットワークに対応するため、侵入検知機能が省略される。また、被保護システムの障害として、パケット転送制御装置間の通信回線の輻輳を仮定する。

図２は、端末用パケット転送制御システムの構成例を示す図である。ネットワーク端末５０から受信したパケットは、まずフロー分析部８−Ｕに入力される。フロー分析部８−Ｕは、新たに入力されたパケット、および過去に入力されたパケットの履歴を用いて、入力パケットに関連するトラヒックを分析し、その特徴ベクトルを抽出する。

一方、パケット通信網Ｎから当該パケット転送制御装置に向けて送信されたパケットも同様に、フロー分析部８−Ｎに入力され、その特徴ベクトルが抽出される。さらに、コネクション分析部９は、ネットワーク端末５０側のフロー分析部８−Ｕとパケット通信網側のフロー分析部８−Ｎとの双方の結果に基づき、ネットワーク端末５０からパケット通信網Ｎ方向に流れるフローと、パケット通信網Ｎからネットワーク端末５０方向に流れるフローの相関関係の分析、並びに送受信アプリケーション間のコネクションの状態検証を行う。

フロー分析機能、およびコネクション分析機能からの出力は、特徴ベクトルとして侵入検知部１に入力される。侵入検知部１は、入力された特徴ベクトルに基づき、そのパケットが不正アクセスを引き起こす可能性があるか否かを判定し、その侵入検知結果を出力する。

パケットをネットワーク端末５０からパケット通信網Ｎに転送する場合は、侵入検知結果埋め込み部４において、当該パケット転送制御装置による異常検知結果がパケットに付与され、侵入検知結果付きパケットがパケット通信網Ｎに送出される。

一方、パケットをパケット通信網Ｎからネットワーク端末５０に転送する場合には、侵入検知結果付きパケットと、当該パケット転送制御装置の侵入検知結果部１から出力された侵入検知結果がフィルタ７に入力される。

フィルタ７では、まず、被保護システムにおける障害の度合いを確認する。すなわち、正常度比較部２により、ネットワーク端末５０からそのＣＰＵ利用率（または平均ＣＰＵ利用率）、メモリ利用率（または平均メモリ利用率）といった負荷を測る指標（請求項１５）を取得し、平均キュー長計算部１０により、バッファ処理部１１に備えられている出力パケットキューの平均長を輻輳状態として取得する（請求項１６）。このとき、平均キュー長計算部１０を介さずに、キュー長の即値を用いることも可能である。

次に、これらの障害の度合いに応じて、当該パケット転送制御装置による侵入検知結果、および他のパケット転送制御システムによって当該パケットに付与された侵入検知結果に基づき、パケットの通過または廃棄処理といったトラヒック制御を行う。フィルタ７から出力されたパケットは、侵入検知結果削除部１２において、付与されている侵入検知結果を取り除いた後、ネットワーク端末５０に対して送出される。

図３は、エッジ用パケット転送制御装置の構成例を示す図である。図３に示すように、エッジ用パケット転送制御装置では、複数のネットワークインタフェース１３がスイッチ１４に接続される構成をとる。

パケット通信網からネットワークインタフェース１３に侵入検知結果付きパケットが入力されると、端末用パケット転送制御装置と同様に、フロー分析部８においてその特徴ベクトルの抽出がなされる。ここで抽出されたフローの特徴ベクトルは、当該パケットを他のパケット通信網に送出する他のネットワークインタフェース１３の侵入検知部１で再度用いられる。故に、特徴ベクトル埋め込み部１５は、特徴ベクトルを、侵入検知結果と同様にパケットに埋め込む。

次に、コネクション分析部９において、パケット通信網側から入力されたパケットに関するトラヒックの特徴ベクトルの履歴と、スイッチ１４側から転送されたトラヒックの特徴ベクトルの履歴とを基に、コネクションに関する特徴ベクトルを抽出する。

侵入検知部１では、フローの特徴ベクトルと、コネクションの特徴ベクトルとを基に、そのパケットが不正アクセスを引き起こす可能性があるか否かを判定し、その結果を侵入検知結果埋め込み部４に出力する。

侵入検知結果埋め込み部４、および特徴ベクトル埋め込み部１５は、その侵入検知結果、並びにフローの特徴ベクトルをパケットに付与する。そして特徴ベクトル・侵入検知結果付きパケットが、宛先ＩＰアドレスに応じて、スイッチ１４を介して適切なネットワークインタフェース１３に転送される。

スイッチ１４から転送された特徴ベクトル・侵入検知結果付きパケットはスプリッタ１６によって、ａ）特徴ベクトル、または、ｂ）侵入検知結果付きパケットに分割される。特徴ベクトルは、コネクション分析部９と侵入検知部１に、侵入検知結果付きパケットはフィルタ７にそれぞれ入力される。

侵入検知部１は、パケットに付与されていたフローの特徴ベクトルと、コネクション分析部９から出力される特徴ベクトルとに基づき、その不正アクセスの有無を推定し、その侵入検知結果をフィルタ７に対して出力する。

フィルタ７は、正常度比較部２または平均キュー長計算部１０により被保護システムの障害の度合いを監視する。ここでは、バッファ処理部１１の出力パケットキューの平均長を測ることで、その輻輳状態を監視する。そして、被保護システムの障害の度合いに応じて、当該パケット転送制御装置で推定した侵入検知結果、および、当該パケットをこれまでに中継したパケット転送制御装置が当該パケットに付与した侵入検知結果に基づき、パケットの通過または廃棄といったトラヒック制御を行う。

図４は、コア用パケット転送制御装置の構成例を示す図である。コア用検知システムでは、高スループット化を狙っているため、侵入検知処理を行わない。故に、フィルタ７において、当該パケット転送制御装置のバッファ処理部１１の出力パケットキューの輻輳状態に応じて、入力パケットに付与された侵入検知結果に基づくパケットの廃棄または通過処理といったトラヒック制御のみが行われる。

次に、パケット転送制御システムを構成する個々のモジュールの実施例について説明する。図５は、フロー分析部８、８−Ｕ、８−Ｎ（以下では、単に符号８とする）の構成例を示したものである。フロー分析部８は、パケット転送制御装置に入力されたパケット自身の分析や、これまでに受信したパケットの履歴に基づきそのパケットが属するフローを分析し、それらの特徴ベクトルを抽出する。ここで、フローとは、宛先ＩＰアドレス、宛先ポート番号、送信元ＩＰアドレス、送信元ポート番号、およびプロトコル番号が等しいパケットの集合を指す。

フローの分析手法として、シグニチャ型分析手法と、統計型分析手法とに大別される。シグニチャ型分析では、予め検査すべきルールをデータベースに登録する。ここで、シグニチャにおいて記述されるルールとして、１）ヘッダの内容がルールの内容と一致するか否か、２）ペイロード部に特定のキーワードが含まれているか否か、などが挙げられる。

次に、パケットを受信する毎に、受信したパケットがシグニチャの条件に合致するか否かを逐次検証する。そして合致したシグニチャの種別が特徴ベクトルの一要素として出力される。

一方、統計型分析手法では、過去に入力されたパケットの履歴を元に、そのパケットが属するフローやトラヒック全体の統計量を算出する。ここでフロー単位で算出される統計量として、パケットレート、Ｓｙｎパケットレート、Ｒｅｊパケットレート、などがある。

さらに、集約したフローの統計量として、当該パケットと同一宛先ＩＰアドレスを持つフローの統計パケットレート、当該パケットと同一サービスに属するフローの統計レート、などが特徴ベクトルとして出力される。

コネクション分析部９は、１）コネクションの一方のアプリケーションからもう片方のアプリケーションへと流れるフローとその逆方向に流れるフローとの相対関係を表す特徴ベクトルを抽出し、また、２）アプリケーション間のコネクションの状態遷移をトレースしその正当性を検証する。

例えば、あるホストに着目したとき、そのホストへの上りフローの合計データレートと下りフローの合計データレート比が著しく異なる場合には、そのホストに対して何らかの不正アクセスが行われている可能性が高いとされる。また、コネクションの状態遷移において不正が検出された場合には、そのエラーの種別を特徴ベクトルの一要素として出力する。

侵入検知部１では、フロー分析部８、および、コネクション分析部９から得られた特徴ベクトルに基づき、そのパケットが不正アクセスを引き起こす可能性があるか否かの判定を行う。ここで、本実施例では、侵入検知部１の出力として以下が得られるものとする。

そのパケットが不正アクセスである確からしさを示す指標（以下、この指標を異常度と呼ぶ（請求項４））。

そのパケットが引き起こす可能性がある不正アクセスの種類とその異常度のリスト（請求項５）。

ここで検査対象パケットの異常度を記号Ｐで表す。本実施例では、異常度Ｐとして、当該パケットが不正アクセスである確率を用いる（請求項４、５）。故に、異常度Ｐのその値域は０≦Ｐ≦１．０となる。また、不正アクセスの種類とその異常度も併せて特定しておくことで、後述するフィルタ７において不正アクセスの危険度とその異常度とに応じて、より洗練されたトラヒック制御を行うことが可能である。

本発明は、侵入検知アルゴリズムを規定するものではない。したがって、そのアルゴリズムとして、決定木、Ｂａｙｅｓｉａｎ Ｎｅｔｗｏｒｋ、クラスタリングといった統計学習アルゴリズムや、特徴ベクトルから不正アクセスの種類や異常度を推定するメタルールを予めデータベースに登録しておくなど、様々な推定アルゴリズムを利用できる。

侵入検知結果埋め込み部４は、侵入検知部１で出力された侵入検知結果をパケットに付与する。侵入検知結果は、当該パケットを中継する各パケット転送制御装置においてパケットに付与され得る。故に、パケット転送制御装置において、それ以前に付与された侵入検知結果を残したまま新しい侵入検知結果をパケットに追加すると、パケット長がホップ数に比例して増加するという問題が生じる。そこで、転送するパケットに付与されていた侵入検知結果と、当該パケット転送制御装置による侵入検知結果とを用いて、パケットに付与される侵入検知結果を書き換える（請求項６）。その実施例として以下がある。
・異常度Ｐの更新
より大きい異常度を選択する（請求項７）。すなわち、任意のホストに対しパケットを転送する際に、ｉ番目に通過するパケット転送制御装置に入力されるパケットが有する異常度をＰＥｉとする。また、そのパケット転送制御装置が推定した異常度をＰＩｉとおく。このとき、
ＰＥｉ＋１＝ｍａｘ（ＰＥｉ，ＰＩｉ）
平均化する（請求項８）。すなわち、
ＰＥｉ＋１＝［（ｉ−１）ＰＥｉ＋ＰＩｉ］／ｉ
・不正アクセスの種類と異常度のリストの更新
パケットに付与される不正アクセスの種類と異常度の組のリスト長の上限を定めておく、次に転送されるパケットに予め付与されていた不正アクセスの種類と異常度の組のリストと、当該パケット転送制御装置自身が推定した不正アクセスの種類と異常度の組のリストから、パケットに付与可能なリスト長さの上限の範囲内で、最も高い異常度を有する不正アクセスの種類と異常度の組を当該パケットのリストに付与する（請求項９）。

侵入検知結果はパケットのヘッダに付与される（請求項１０）。その実施方法として、以下がある。
・独自ヘッダの利用
・ＩＰｖｅｓｉｏｎ４
ＴｏＳフィールドの利用（請求項１１）。：ＴｏＳフィールドは８ｂｉｔのみであることから、異常度Ｐのみ付与する。

ＩＰｖ４オプションの利用（請求項１２）。
・ＩＰｖｅｒｓｉｏｎ６
中継点オプションヘッダの利用（請求項１３）。

図６は、ＩＰｖ６中継点オプションヘッダを用いて侵入検知結果をパケットに付与する実施例を示している。図６は、後続のパケット転送制御装置に伝達する侵入検知結果として、そのパケットの異常度Ｐと、不正アクセスの種別とその異常度のリストの双方としている。また、リストに格納可能な不正アクセスの種類と異常度の組の数を２としている。

まず、先頭のＩＰｖ６ヘッダ内の次ヘッダ番号には中継点オプションヘッダを表現する０が入る。中継点オプションヘッダの次ヘッダ番号は、次に続くヘッダがＴＣＰヘッダであれば、ＴＣＰヘッダに対応する６が格納される。拡張ヘッダ長は当該中継点オプションヘッダ長を８バイト単位で表現して−１した値が格納される。

本実施例では、中継点オプションヘッダ長は２４バイトであるため、２が格納される。オプション番号は８ビットの識別子であり、上位２ビットでルータ装置がオプションを認識できなかった場合の動作を示し、次の１ビットでオプションが経路上で変更可能か否かを表し、下位５ビットはオプションの内容を示すオプション番号部分となる。

本パケット転送制御装置では、動作は００（認識できない場合は読み飛ばす）とし、経路上変更可能ビットは１（変更可能）とする。次にオプションデータ長（バイト単位）として１２が格納される。次の３２ｂｉｔにはそのパケット異常度Ｐが３２ｂｉｔ浮動小数点表現で格納される。その後、不正アクセスの種別（３２ｂｉｔ表現）とその異常度（３２ｂｉｔ浮動少数点表現）の組が二つ格納される。

図７は、被保護とするシステムの状態、および侵入検知部１の検知結果に基づき、パケットの通過または廃棄処理を行うフィルタ７のブロック構成例を示している。まず、侵入検知結果付きパケットが侵入検知結果検出部５に入力される。侵入検知結果検出部５は、当該パケットをこれまで中継してきたパケット転送制御装置によって付与された侵入検知結果をコピーし、侵入検知結果選択部６に対し出力する。

侵入検知結果選択部６では、侵入検知結果埋め込み部４と同様の方法を用いて、パケットに付与されている侵入検知結果、および、当該パケット転送制御装置によって求めた侵入検知結果から、通過・廃棄判定部３において用いる侵入検知結果を選択する。

フィルタ７では、保護すべきシステムに障害が生じているか否かを正常度比較部２にて判定する。正常度比較部２には、保護すべき対象に応じて、以下の２種が入力される。
・（平均）ＣＰＵ利用率、（平均）メモリ利用率（請求項１４）。パケット転送制御装置が、端末の可用性維持を目的とする場合に入力される。
・（平均）キュー長（請求項１５）。平均キュー長は平均キュー長計算部１０から入力される。バッファ処理部１１の出力パケットキューの平均キュー長を示す。平均キュー長計算部１０を介さずに、キュー長の即値を用いることもできる。

正常度比較部２では、被保護システムの障害の大きさを示すパラメータとして以下を通過・廃棄判定部３に対して出力する。すなわち、キュー長（またはＣＰＵ利用率、メモリ利用率）の平均値（または即値）Ｑ、下限ターゲットキュー長Ｑｌｏｗ、上限ターゲットキュー長Ｑｈｉｇｈ、最大キュー長Ｑｍａｘである。キュー長が短い場合には、キューが頻繁に空となり、システムの利用率が低下する。故に、システムの利用率の低下を防ぐため、キュー長が下限ターゲットキュー長Ｑｌｏｗ以上となるようにパケットを転送制御することが望ましい。

その一方で、キュー長が長くなり過ぎると被保護システムの可用性低下の原因となる。すなわち、パケット転送制御装置の遅延時間が増加による時間制約の違反や、キューのオーバフロー、すなわちキュー長がＱｍａｘに達することによるパケットロスが生じる。故に、キュー長が上限ターゲットキュー長Ｑｈｉｇｈ未満となるように、パケットを転送制御しなければならない。

被保護システムが複数存在する場合は、個々の被保護システムの正常度を計算し、その正常度が最も小さい被保護システムのパラメータを通過・廃棄判定部３に対して出力する（請求項１６）。ここで、単一のパケット転送制御装置が保護すべきシステムがｎ個存在するものとする。ｎ個の被保護システムのキュー長をＱｉ（ｉ＝１，…，ｎ）とする。同様に、それぞれの被保護システムの下限ターゲットキュー長をＱｌｏｗ，ｉ、上限ターゲットキュー長をＱｈｉｇｈ，ｉとする。またキューの長さをＱｍａｘ，ｉとする。このとき、被保護システムｉの正常度Ｈｉ（−１．０≦Ｈｉ≦１．０）を以下のように定める。
Ｈｉ＝
Ｑｉ／Ｑｌｏｗ，ｉ
：０≦Ｑｉ＜Ｑｌｏｗ，ｉ
（Ｑｈｉｇｈ，ｉ−Ｑｉ）／（Ｑｈｉｇｈ，ｉ−Ｑｌｏｗ，ｉ）
：Ｑｌｏｗ，ｉ≦Ｑｉ＜Ｑｈｉｇｈ，ｉ
（Ｑｈｉｇｈ，ｉ−Ｑｉ）／（Ｑｍａｘ，ｉ−Ｑｈｉｇｈ，ｉ）
：Ｑｈｉｇｈ，ｉ≦Ｑｉ＜Ｑｍａｘ，ｉ
…（１）
ここで、Ｑｉに対するＨｉの変化を図８に示す。図８では横軸にキュー長をとり、縦軸に正常度をとる。図８に示されるように、０≦Ｑｉ＜Ｑｌｏｗ，ｉの範囲では、正常度Ｈｉは０から線形に増加する。そして、Ｑｉ＝Ｑｌｏｗ，ｉにおいてＨｉ＝１に達する。その後、減少に転じ、Ｑｉ＝Ｑｈｉｇｈ，ｉにおいてＨｉ＝０に、Ｑｉ＝Ｑｍａｘ，ｉにおいてＨｉ＝−１となる。特にＨｉ＜０であるとき、その被保護システムに障害が生じているとみなす。

通過・廃棄判定部３は、正常度比較部２から入力された被保護システムのパラメータ、すなわち（Ｑ，Ｑｍａｘ，Ｑｈｉｇｈ，Ｑｌｏｗ）、および侵入検知結果に応じて、当該パケット転送制御装置に入力されたパケット（または出力パケットキュー中のパケット）を通過させるべきか廃棄させるべきかの判定を行う。

まず、侵入検知結果として、不正アクセスの種類とその異常度のリストが与えられている場合を考える。このとき、パケット転送制御装置の管理者は、不正アクセスの種類と異常度、および被保護システムのパラメータを条件とするパケットの通過または廃棄ルールを定めたデータベースを作成しておく。通過・廃棄判定部３では、このデータベースに基づきパケットの通過または廃棄を判定する。特に、検知された不正アクセスの危険度が高く、かつ、その誤検知の確率が極めて小さい場合は、被保護システムの状態に関わらず、パケットを廃棄することも可能である。

次に、異常度Ｐに基づき、パケットの通過または廃棄判定を行う。この判定の実施例として、以下の３つを説明する。
・手法１：異常度最大パケット廃棄（請求項１７、２０）
・手法２：高異常度高確率廃棄（請求項１８、２０）
・手法３：Ｈｙｂｒｉｄ ＭＸＱ（請求項１９、２０）
手法１では、Ｑ＞Ｑｈｉｇｈならば、キューの中から異常度の高い順にＱ−Ｑｈｉｇｈ個のパケットを選択する。選択されたパケットはバッファ処理部１１で廃棄される。本手法では、キュー長が常にＱｈｉｇｈ内に維持されるというメリットがある。

その一方で、パケットの廃棄が異常度のみに基づいて行われるため、異常度以外を考慮したＱｏＳ管理がなされない。また、高い異常度を持つパケットと同じフローに属する他のパケットは、他のフローに属するパケットより比較的高い異常度を有する。このため、全てのフローの異常度が低い場合でも、一部のフローのパケットのみがバースト的に廃棄されやすいといった課題がある。

手法２では、被保護システムの負荷が高く、かつ、異常度が高いパケットほど、高い確率で廃棄される。すなわち、廃棄確率をＢ（Ｑ，Ｐ）とすると、
Ｂ（Ｑ，Ｐ）＝
０
：０≦Ｑ＜Ｑｌｏｗ
Ｐ（（Ｑ−Ｑｌｏｗ）／（Ｑｈｉｇｈ−Ｑｌｏｗ））^k
：Ｑｌｏｗ≦Ｑ＜Ｑｈｉｇｈ
Ｐ
：Ｑｈｉｇｈ≦Ｑ＜Ｑｍａｘ
…（２）
手法２を用いることにより、キュー長増加時に、フロー間で異常度に比例した帯域共有がなされる。ただし、手法２は、キュー長管理を目的とするものではない。例えば、全てのフローの異常度が０である場合には、Ｑの値に関わらず、本手法によって廃棄されるパケットは、存在しない。故に、ＱｏＳ制御が必要な場合は、ＲＥＤ（Ｒａｎｄａｍ Ｅａｒｌｙ Ｄｅｔｅｃｔｉｏｎ）との併用、または、本手法を実装したキューを複数本用いて既存の優先制御方式ＷＦＱ（Ｗｅｉｇｈｔｅｄ Ｆａｉｒ Ｑｕｅｉｎｇ）、ＣＢＱ（Ｃｌａｓｓ Ｂａｓｅｄ Ｑｕｅｉｎｇ）などと併用される。

手法３は既存のキューイングアルゴリズムの一つＭＸＱ（例えば、特許文献１参照）を拡張した手法である。ＭＸＱは全てのＴＣＰコネクション間で公平な帯域共有を図るためのキューイングアルゴリズムである。ＭＸＱにおける公平な帯域共有とは、それぞれのフローが占める帯域が、公平共有データレートＦと等しくなることを指す。ここでＭＸＱにおけるＦは、リンクの帯域Ｃ、アクティブなフロー数がＮであるとき、Ｆ＝Ｃ／Ｎと与えられる。

手法３は、上述のＭＸＱに異常度の概念を導入する。ここでＮ本のアクティブなフローが存在するとする。ｉ（ｉ＝１，…，Ｎ）番目のフローの異常度をＰｉとする。ここでフローの異常度とは、そのフローに属する最も新しいパケットの異常度である。このとき、ｉ（ｉ＝１，…，Ｎ）番目のフローの公平共有データレートＦｉを式３のように定義する。

Ｆｉ＝Ｃ［（１−Ｐｉ）／（Σ_{j=1 to N}（１−Ｐｊ））］ …（３）
本発明によれば、キューには４つのパラメータがある。すなわち（Ｑ，Ｑｌｏｗ，Ｑｈｉｇｈ，Ｑｍａｘ）。これらのパラメータ、およびＦｉを導入することで、ＭＸＱにおける可動式シャットアウト閾値は式（４）のように与えられる。
Ｔｉ＝
Ｃ
：０≦Ｑ＜Ｑｌｏｗ
［（（Ｑ−Ｑｌｏｗ）／（Ｑｈｉｇｈ−Ｑｌｏｗ））^k0（Ｆｉ−Ｃ）］＋Ｃ
：Ｑｌｏｗ≦Ｑ＜Ｑｈｉｇｈ
（（Ｑｍａｘ−Ｑ）／（Ｑｍａｘ−Ｑｈｉｇｈ））^k1Ｆｉ
：Ｑｈｉｇｈ≦Ｑ≦Ｑｍａｘ
…（４）
１０個のフローが存在するとする。そのうち９つのフローの異常度Ｐｉ（ｉ＝１，…，９）を０．１とし、残る１つの異常度Ｐ１０を０．９とする。また、Ｑｌｏｗ＝０．２，Ｑｈｉｇｈ＝０．８とする。このとき、式（４）による可動式シャットアウト閾値は図９になる。図９は横軸にＱ／Ｑｍａｘをとり、縦軸にＴｉ／Ｃをとる。

以上から、フローｉの平均データレートをＬｉとすると、そのパケット廃棄率Ｂｉは以下のように与えられる。
Ｂｉ（Ｌｉ，Ｆｉ，Ｐｉ，Ｑ｜０≦Ｑ＜Ｑｈｉｇｈ）＝
１
：Ｔｉ≦Ｌｉ
（（Ｌｉ−Ｆｉ）／（Ｔｉ−Ｆｉ））^k3
：Ｆｉ≦Ｌｉ＜Ｔｉ
０
：Ｌｉ＜Ｆｉ
…（５）
Ｂｉ（Ｌｉ，Ｆｉ，Ｐｉ，Ｑ｜Ｑｈｉｇｈ≦Ｑ＜Ｑｍａｘ）＝
１
：Ｔｉ≦Ｌｉ
０
：Ｌｉ＜Ｆｉ
…（６）
ここで、１０個のフローが存在するとする。そのうち９つのフローの異常度Ｐｉ（ｉ＝０，…，９）を０．１とし、残る１つの異常度Ｐ１０を０．９とする。また、Ｑｌｏｗ＝０．２、Ｑｈｉｇｈ＝０．８とする。このとき、パケット廃棄率Ｂ（Ｌ，Ｆ，Ｑ）の変化例を図１０に示す。図１０は横軸にＬｉ／Ｃをとり、縦軸にＢ（Ｌｉ，ＦＩ，Ｐｉ，Ｑ）をとる。図１０に示されるように、Ｑの値が大きくなると、Ｐが大きいフローはデータレートが低い状態でもその廃棄確率が大きくなる。

次にバッファ処理部１１にて、入力されたパケットのバッファリングをすると共に、および、通過・廃棄判定部３からの結果に基づくパケットの廃棄処理がなされる。端末用パケット転送制御装置では、最後に侵入検知結果削除部１２において、フィルタ７から出力されたパケットから異常度を取り除く。

本発明によれば、不正アクセス、そのなかでも特にＤｏＳ攻撃によるネットワークおよび端末の可用性の低下回避をネットワーク規模で防御することができるので、ネットワークの管理者にとっては、効率の良いネットワーク管理を行う上で有用であり、ネットワークのユーザにとっては、サービス品質の高いサービスの提供を受ける上で有用である。

本実施例のネットワーク構成例を示す図。 本実施例の端末用パケット転送制御装置のブロック構成図。 本実施例のエッジ用パケット転送制御装置のブロック構成図。 本実施例のコア用パケット転送制御装置のブロック構成および全体構成図。 本実施例のフロー分析部の構成例を示す図。 本実施例のＩＰｖ６中継点オプションヘッダを用いた侵入検知結果の付与状況を示す図。 本実施例のフィルタのブロック構成図。 Ｑｉに対する正常度Ｈｉの変化を示す図。 本実施例の可動式シャットアウト閾値の変化を示す図。 本実施例の手法３におけるパケット廃棄率を示す図。

符号の説明

１ 侵入検知部
２ 正常度比較部
３ 通過・廃棄判定部
４ 侵入検知結果埋め込み部
５ 侵入検知結果検出部
６ 侵入検知結果選択部
７ フィルタ
８、８−Ｕ、８−Ｎ フロー分析部
９ コネクション分析部
１０ 平均キュー長計算部
１１ バッファ処理部
１２ 侵入検知結果削除部
１３ ネットワークインタフェース
１４ スイッチ
１５ 特徴ベクトル埋め込み部
１６ スプリッタ
５０ ネットワーク端末
Ｕ 端末用パケット転送制御装置
Ｅ エッジ用パケット転送制御装置

Claims (20)

1. 自装置から転送するパケットが不正アクセスであることの確からしさを示す度合いである異常度、または、その不正アクセスの種類を推定する侵入検知手段と、
   この侵入検知手段により推定された侵入検知結果を当該パケット自身に付与する手段と、
   他装置から到着したパケットに付与された前記侵入検知結果に基づきトラヒック制御を行う手段と
   を備えたパケット転送制御装置。
2. 自装置に接続された不正アクセスから保護すべき被保護システムに障害が生じているか否かを検知する障害発生検知手段が設けられ、
   前記トラヒック制御を行う手段は、他装置から到着したパケットに付与された前記侵入検知結果および前記障害発生検知手段の障害発生検知結果に基づきトラヒック制御を行う手段を備えた
   請求項１記載のパケット転送制御装置。
3. 前記トラヒック制御を行う手段は、他装置から到着したパケットに付与された前記侵入検知結果および自装置の前記侵入検知手段の侵入検知結果および前記障害発生検知手段の障害発生検知結果に基づきトラヒック制御を行う手段を備えた
   請求項１または２記載のパケット転送制御装置。
4. 自装置から転送するパケットが不正アクセスである確率を前記異常度とし、この確率を前記侵入検知手段の侵入検知結果として用いる
   請求項１ないし３のいずれかに記載のパケット転送制御装置。
5. 自装置から転送するパケットによって引き起こされる可能性がある不正アクセスの種類とその異常度とを推定し、
   当該推定された不正アクセスの種類とその異常度との組のリストを前記侵入検知手段の侵入検知結果として用いる
   請求項１ないし４のいずれかに記載のパケット転送制御装置。
6. 自装置から転送するパケットに予め侵入検知結果が付与されていたときには、当該侵入検知結果と、自装置の前記侵入検知手段の侵入検知結果とを比較し、当該パケットに予め付与されていた前記侵入検知結果を更新する手段を備えた請求項１記載のパケット転送制御装置。
7. 前記更新する手段は、転送するパケットに予め付与されていた前記侵入検知結果としての異常度が自装置の前記侵入検知手段の侵入検知結果としての異常度よりも低いときには、当該パケットに予め付与されていた前記侵入検知結果を自装置の前記侵入検知手段の侵入検知結果により更新する手段を備えた請求項６記載のパケット転送制御装置。
8. 前記更新する手段は、転送するパケットに予め付与されていた前記侵入検知結果としての異常度と、自装置の前記侵入検知手段の侵入検知結果としての異常度との平均値により当該パケットに予め付与されていた前記侵入検知結果を更新する手段を備えた請求項６記載のパケット転送制御装置。
9. パケットに付与する不正アクセスの種類とその異常度との組のリスト長の上限が予め定められ、
   前記更新する手段は、転送するパケットに予め付与されていた前記侵入検知結果としての不正アクセスの種類と異常度との組のリストと、自装置の前記侵入検知手段の侵入検知結果としての不正アクセスの種類とその異常度との組のリストとを比較し、転送するパケットに予め付与されていた前記侵入検知結果としての異常度が自装置の前記侵入検知手段の侵入検知結果としての異常度よりも低いときには、当該パケットに予め付与されていた前記侵入検知結果を自装置の前記侵入検知手段の侵入検知結果の中から前記リスト長の上限を越えない範囲内にあり最も高い異常度を有する侵入検知結果により更新する手段を備えた
   請求項５または６記載のパケット転送制御装置。
10. 前記侵入検知結果をパケット自身に付与する手段は、パケットに付与される侵入検知結果をパケットのヘッダに埋め込む手段を備えた請求項１記載のパケット転送制御装置。
11. 前記パケットのヘッダに埋め込む手段は、前記侵入検知結果をＩＰｖ４ヘッダのＴｏＳフィールドに埋め込む手段を備えた請求項１０記載のパケット転送制御装置。
12. 前記パケットのヘッダに埋め込む手段は、前記侵入検知結果をＩＰｖ４オプションヘッダに埋め込む手段を備えた請求項１０記載のパケット転送制御装置。
13. 前記パケットのヘッダに埋め込む手段は、前記侵入検知結果をＩＰｖ６オプションヘッダに埋め込む手段を備えた請求項１０記載のパケット転送制御装置。
14. 前記障害発生検知手段は、被保護システムの負荷の度合いの監視結果を当該被保護システムに障害が生じているか否かを測る指標として用いる手段を備えた請求項２記載のパケット転送制御装置。
15. 前記障害発生検知手段は、被保護システムの輻輳状態の度合いの監視結果を当該被保護システムに障害が生じているか否かを測る指標として用いる手段を備えた請求項２記載のパケット転送制御装置。
16. 複数の被保護システムに対し、個々の被保護システムの正常性の度合いを示す正常度を計算する手段と、
    この計算する手段の計算結果に基づき前記正常度が最小となる被保護システムを現在保護すべき被保護システムとして選択する手段と
    を備えた請求項２記載のパケット転送制御装置。
17. 前記被保護システムに障害が生じているか否かを測る指標に基づき推定される当該被保護システムの障害の度合いが閾値以上となったときには、自装置の出力パケットキューに存在するパケットの内、異常度が大きいものから順に廃棄する手段を備えた請求項２記載のパケット転送制御装置。
18. 前記被保護システムに障害が生じているか否かを測る指標に基づき推定される当該被保護システムの障害の度合い、または、自装置の出力パケットキューに入力されるパケットの異常度に比例して当該出力パケットキューに入力されるパケットの廃棄確率を増加させる手段を備えた請求項２記載のパケット転送制御装置。
19. パケットが属するフローの異常度に反比例させてそのフローが本来占有すべきデータレート（公平共有データレート）を低く設定する手段と、
    被保護システムの障害の度合いが閾値以上のときには、各フローのデータレートが前記公平共有データレートに近付くように自装置の出力パケットキューに入力されるパケットの廃棄確率を設定する手段と
    を備えた請求項２記載のパケット転送制御装置。
20. 自装置から転送するパケットが不正アクセスであることの確からしさを示す度合いである異常度、または、その不正アクセスの種類を推定する侵入検知手段を備え、
    この侵入検知手段または他装置から到着したパケットに付与された侵入検知結果に基づき前記異常度を認識する手段を備えた
    請求項１７ないし１９のいずれかに記載のパケット転送制御装置。

Images