JP2008211637A

JP2008211637A - Ｐｏｎ通信システム、局側装置及び加入者側装置

Info

Publication number: JP2008211637A
Application number: JP2007047574A
Authority: JP
Inventors: Homare Otani; 誉大谷
Original assignee: Mitsubishi Electric Corp
Current assignee: Mitsubishi Electric Corp
Priority date: 2007-02-27
Filing date: 2007-02-27
Publication date: 2008-09-11

Abstract

【課題】容易かつ有効にＤｏＳ攻撃等の不正トラフィックを抑制する。
【解決手段】局側装置１のトラフィック管理部１１０は、トラフィック監視・抽出部１１１により抽出されたトラフィック情報に基づき、ＬＬＩＤ毎に上り方向の不正トラフィックを検出し、検出したＬＬＩＤ毎の不正トラフィックに対して加入者側装置２でフィルタリング処理を実施するためのフィルタリング設定情報を出力し、加入者側装置２のＬＬＩＤフィルタリング設定部２１１は局側装置１からのフィルタリング設定情報に基づき不正トラフィックを送信しているＬＬＩＤに対してフィルタリング処理を設定する。
【選択図】図１

Description

この発明は、ＤｏＳ（Denial of Service：サービス拒否、サービス妨害、サービス不能）攻撃等の不正トラフィックを抑制するＰＯＮ（Passive Optical Network)通信システム、局側装置及び加入者側装置に関するものである。

インターネット、ＬＡＮ（Local Area Network）、ＷＡＮ（Wide Area Network）等のネットワークを利用した通信システムでは、クラッカによる不正アクセスやサーバーシステムの停止又は破壊を目的とするＤｏｓ攻撃等の危険に常時さらされている。そのため、ネットワークに接続された機器において、このような不正トラフィックに対する対策が必須である。

ＤｏＳ攻撃で使用される不正なパケットの種類に関して、大きく以下の２つに分類することができる。
（１）アドレス固定型ＤｏＳ攻撃：一見正常なパケット及び通信内容であるにもかかわらず、パケット数がターゲットとなったサーバに到底処理できないほど大量であり、かつ送信元ＩＰアドレスがある程度の範囲内に限定されるもの
（２）アドレス不定型ＤｏＳ攻撃：一見正常なパケット及び通信内容であるにもかかわらず、パケット数がターゲットとなったサーバに到底処理できないほど大量であり、かつ送信元ＩＰアドレスがある程度の範囲内に限定されないもの

上記（１）〜（２）に示すＤｏＳ攻撃等の不正トラフィックを抑制する装置として、例えば特許文献１に記載の有害トラフィック制御装置は、収容される各ユーザ端末からの上りトラフィックから有害トラフィックを検出する有害トラフィック検出手段と、有害トラフィックの検出に応じて、当該有害トラフィックを送信するユーザ端末に割り当てられる上り送信帯域をＬＬＩＤ（Logical Link Identifier）毎に削減する帯域管理手段とを備えたものである。

特開２００６−８０５８２号公報（請求項４、請求項６）

従来の不正トラフィックの抑制する装置は以上のように構成されているので、局側装置において、ＤｏＳ攻撃等の不正トラフィックに対応して加入者側装置の上り送信帯域を制御しなければならず、特に大量の不正トラフィックが発生した場合に、局側装置における加入者側装置の上り送信帯域の制御負荷が増大するという課題があった。

この発明は上記のよう課題を解決するためになされたもので、局側装置において、ＤｏＳ攻撃等の不正トラフィックに対応して加入者側装置の上り送信帯域の制御を不要とし、容易かつ有効にＤｏＳ攻撃等の不正トラフィックを抑制することができるＰＯＮ通信システム、局側装置及び加入者側装置を得ることを目的とする。

この発明に係るＰＯＮ通信システムは、加入者側装置と該加入者側装置を収容する局側装置との間で通信するＰＯＮ通信システムにおいて、上記局側装置が、上記加入者側装置からの上り方向のトラフィックを監視してトラフィック情報を抽出するトラフィック監視・抽出部と、抽出されたトラフィック情報に基づき、論理リンク識別子であるＬＬＩＤ毎又は送信元アドレス毎に上り方向の不正トラフィックを検出し、検出したＬＬＩＤ毎又は送信元アドレス毎の不正トラフィックに対して上記加入者側装置でフィルタリング処理を実施するためのフィルタリング設定情報を出力するトラフィック管理部と、出力されたフィルタリング設定情報を、拡張ＯＡＭを用いて上記加入者側装置への下り方向のトラフィックに挿入する拡張ＯＡＭ挿入部とを備え、上記加入者側装置が、上記局側装置からの下り方向のトラフィックから拡張ＯＡＭを用いて挿入されたフィルタリング設定情報を抽出する拡張ＯＡＭ抽出部と、抽出されたフィルタリング設定情報に基づき、不正トラフィックを送信しているＬＬＩＤ又は送信元アドレスに対してフィルタリング処理を設定するフィルタリング設定部と、設定されたフィルタリング処理に基づき、ＬＬＩＤ又は送信元アドレスの上り方向の不正トラフィックに対してフィルタリング処理を実施するフィルタリング実施部とを備えたものである。

この発明により、局側装置において、ＤｏＳ攻撃等の不正トラフィックに対応して加入者側装置の上り送信帯域の制御を不要とし、容易かつ有効にＤｏＳ攻撃等の不正トラフィックを抑制することができるという効果が得られる。

以下、この発明を適用した具体的な実施の形態について、図面を参照しながら詳細に説明する。
実施の形態１．
図１はこの発明の実施の形態１によるＰＯＮ通信システム、局側装置及び加入者側装置の構成を示すブロック図である。図１において、局側装置１は光ファイバ１０、スターカプラ１１及び光ファイバ１２−１〜１２−ｎを介して複数の加入者側装置２−１〜２−ｎと接続され、加入者側装置２−１〜２−ｎはコンピュータ３−１〜３−ｎと接続されている。加入者側装置２−１〜２−ｎ及びコンピュータ３−１〜３−ｎは一般にユーザ宅に設置される。また、局側装置１はＬＡＮケーブル１３を介してＯＳＳ（Operation Support System）４と接続されている。ＰＯＮ通信システムでは、加入者側装置２と該加入者側装置２を収容する局側装置１との間で通信を行う。

局側装置１は、トラフィック管理部１１０、トラフィック監視・抽出部１１１、監視情報データベース１１２、ＬＬＩＤフィルタリングテーブル１１３、拡張ＯＡＭ（Operation, Administration and Maintenance）挿入部１１４、ＳＮＩ（Service Node Interface）１２０、ＰＯＮインタフェース（ＰＯＮＩ／Ｆ）１２１及びＯＳＳインタフェース（ＯＳＳＩ／Ｆ）１２２を備え、ＰＯＮインタフェース１２１は、ＷＤＭ（Wavelength Division Multiplexing）カプラ１００、Ｏ／Ｅ変換部１０１及びＥ／Ｏ変換部１０２を備えている。

ＳＮＩ１２０はコアネットワークに接続されるインタフェースで、ＰＯＮインタフェース１２１は加入者装置２−１〜２−ｎ側のインタフェースであり、ＯＳＳインタフェース１２２は装置の状態及びＰＯＮ区間の通信を監視制御するＯＳＳ４とのインタフェースである。

ＰＯＮインタフェース１２１において、ＷＤＭカプラ１００は上り方向の光信号を分割すると共に下り方向の光信号を多重する。Ｏ／Ｅ変換部１０１はＷＤＭカプラ１００から入力される上り方向の光信号を電気信号に変換してトラフィック監視・抽出部１１１に出力する。Ｅ／Ｏ変換部１０２は下り方向のトラフィックを電気信号から光信号に変換してＷＤＭカプラ１００に出力する。ＰＯＮ通信システムにおいては、上下方向に異なる波長の光信号を使用しており（下り方向：１４９０ｎｍ、上り方向１３１０ｎｍ）、ＷＤＭカプラ１００で波長多重を行うことにより、上下方向のトラフィックの送受信を１本の光ファイバ１０で実現可能となる。

ＯＳＳ４は、ＬＡＮケーブル１３を介して局側装置１のＯＳＳインタフェース１２２に接続され、トラフィック管理部１１０にアクセス可能であり、トラフィック管理部１１０に対して、不正アクセス検出に関する種々の設定を行うことが可能である。不正アクセスの検出方法としては、単位時間当たりの平均トラフィック量の急激な増加、単位時間当たりの受信パケット数の急激な増加、予め設定されている不正パケットとのパターンマッチング等が挙げられ、ＯＳＳ４は、トラフィック管理部１１０に対して、単位時間当たりの平均トラフィック量閾値Ｔ、単位時間当たりの受信パケット数閾値Ｆ、不正パケットパターン等の不正アクセス検出に関する設定を行う。

加入者側装置２−１〜２−ｎは、拡張ＯＡＭ抽出部２１０、ＬＬＩＤフィルタリング設定部（フィルタリング設定部）２１１、ＬＬＩＤフィルタリング処理部２１２、パケット転送・廃棄部２１３、ＵＮＩ（User Node Interface）２２０及びＰＯＮインタフェース（ＰＯＮＩ／Ｆ）２２１を備え、ＰＯＮインタフェース２２１は、ＷＤＭカプラ２００、Ｏ／Ｅ変換部２０１及びＥ／Ｏ変換部２０２を備えている。ここで、ＬＬＩＤフィルタリング処理部２１２及びパケット転送・廃棄部２１３によりフィルタリング実施部２１４を構成している。

ＵＮＩ２２０はコンピュータ３−１〜３−ｎのユーザ側のインタフェースで、ＰＯＮインタフェース２２１は局側装置１側のインタフェースである。

ＰＯＮインタフェース２２１において、ＷＤＭカプラ２００は上り方向の光信号を多重すると共に下り方向の光信号を分割する。Ｏ／Ｅ変換部２０１はＷＤＭカプラ２００から入力される下り方向の光信号を電気信号に変換して拡張ＯＡＭ抽出部２１０に出力する。Ｅ／Ｏ変換部２０２は上り方向の電気信号を光信号に変換してＷＤＭカプラ２００に出力する。

局側装置１において、トラフィック監視・抽出部１１１は、Ｏ／Ｅ変換部１０１からＳＮＩ１２０に出力される上り方向のトラフィックを常時監視し、監視したＬＬＩＤ、送信元アドレスを含む送信元ユーザ情報、上り送信帯域、受信パケット数等のトラフィック情報を、単位時間毎にトラフィック管理部１１０へ出力する。

トラフィック管理部１１０はＬＬＩＤ毎のトラフィック情報を監視情報データベース１１２へ格納する。ここで、トラフィック管理部１１０は、監視情報データベース１１２に常時アクセス可能であり、監視情報データベース１１２に格納されている情報を、即座に書き込み・読み出すことができる。

ＯＳＳ４も監視情報データベース１１２に格納されている情報を常時閲覧可能である。このとき、ＯＳＳ４は、ＯＳＳインタフェース１２２を介して、トラフィック管理部１１０に監視情報データベース１１２の情報を閲覧して更新する旨を通知し、通知を受けたトラフィック管理部１１０は、所望の情報を監視情報データベース１１２より読み出して、ＯＳＳインタフェース１２２を介してＯＳＳ４に送信する。

また、ＯＳＳ４は閲覧情報の更新を自動的に行うことも可能である。この場合、ＯＳＳ４はトラフィック管理部１１０に対して予め更新周期タイマを設定し、トラフィック管理部１１０は、ＯＳＳ４からのアクセス有無に依らず設定された更新周期タイマを参照し、監視情報データベース１１２に自動アクセスを実行して、読み出した情報をＯＳＳ４に送信する。

まずアドレス固定型ＤｏＳ攻撃の不正トラフィックの抑制について説明する。
トラフィック監視・抽出部１１１は、ユーザから送信されたＤｏＳ攻撃等の不正トラフィックを監視し、監視したＬＬＩＤ、送信元アドレスを含む送信元ユーザ情報、上り送信帯域、受信パケット数等のトラフィック情報を、単位時間毎にトラフィック管理部１１０へ出力する。

なお、この実施の形態１では、加入者側装置２−１〜２−ｎに割り当てられている論理識別子であるＬＬＩＤ毎に不正トラフィックを検出するが、一つの加入者側装置２−１〜２−ｎ以下に複数のユーザ（コンピュータ３）が存在する場合には、ユーザ毎にＬＬＩＤが割り当てられているものとする。

トラフィック管理部１１０は、ある特定のＬＬＩＤにおいて単位時間当たりの平均トラフィック量が短時間で急激に増大して予め設定されている所定の閾値Ｔ以上で、かつ、不正トラフィックのＬＬＩＤ数が所定の閾値Ｎ未満の場合に、アドレス固定型ＤｏＳ攻撃の不正トラフィックであると判断し、ＬＬＩＤフィルタリングテーブル１１３にフィルタリング処理すべき当該ＬＬＩＤを設定する。

ここで、トラフィック管理部１１０は、上記不正トラフィックの検出方法に加えて、ある特定のＬＬＩＤにおいて単位時間当たりの受信パケット数が短時間で急激に増大して予め設定されている閾値Ｆ以上で、かつ、不正トラフィックのＬＬＩＤ数が所定の閾値Ｎ未満の場合に、アドレス固定型ＤｏＳ攻撃の不正トラフィックであると判断しても良い。

また、トラフィック管理部１１０は、上記不正トラフィックの検出方法に加えて、ある特定のＬＬＩＤにおいて予めＯＳＳ４から設定されている不正パケットパターンとのマッチングにより不正パケットパターンであることを検出し、かつ、不正トラフィックのＬＬＩＤ数が所定の閾値Ｎ未満の場合に、アドレス固定型ＤｏＳ攻撃の不正トラフィックであると判断しても良い。

トラフィック管理部１１０は、ある特定のＬＬＩＤにおいて不正トラフィックを検出した場合に、当該ＬＬＩＤの情報として、不正アクセス検出回数を監視情報データベース１１２に格納し、その後も当該ＬＬＩＤからの不正トラフィックを検出した場合には、監視情報データベース１１２に格納されている当該ＬＬＩＤの過去の不正アクセス検出回数を一つインクリメントする。

そして、トラフィック管理部１１０は、アドレス固定型ＤｏＳ攻撃の不正トラフィックであると判断しているので、加入者側装置２−１〜２−ｎでフィルタリング処理を実施するためのフィルタリング設定情報として、フィルタリング処理を指示するフィルタリング処理指示情報、不正トラフィックを送信しているＬＬＩＤ、不正トラフィックを廃棄させるための廃棄モード情報、監視情報データベース１１２に格納されている当該ＬＬＩＤの過去の不正アクセス検出回数に基づく当該ＬＬＩＤのトラフィックの遮断又は制限の指示を示すフィルタ種別情報を拡張ＯＡＭ挿入部１１４に通知する。

このフィルタ種別情報は、廃棄モード情報と共に拡張ＯＡＭ挿入部１１４に通知されるものであり、ＬＬＩＤ毎の不正アクセス検出回数により重み付けを実施し、例えば、不正アクセスとして検出されたＬＬＩＤの過去の不正アクセス検出回数が０回だった場合にはトラフィックを所定の割合だけ制限するのみとし、不正アクセス検出回数が１回以上の場合にはトラフィックを遮断するといった処理を指示するものである。なお、フィルタ種別情報として、不正アクセス検出回数に関係なく完全に遮断の処理を指示しても良い。

拡張ＯＡＭ挿入部１１４は、トラフィック管理部１１０より通知された加入者側装置２−１〜２−ｎでフィルタリング処理を実施するためのフィルタリング設定情報を、すなわち、フィルタリング処理を指示するフィルタリング処理指示情報、不正トラフィックを送信しているＬＬＩＤ、不正トラフィックを廃棄させるための廃棄モード情報、トラフィックの遮断又は制限を示すフィルタ種別情報を、加入者側装置２−１〜２−ｎへの下り方向のトラフィックに拡張ＯＡＭを用いて挿入する。

当該ＬＬＩＤの加入者側装置２−１〜２−ｎの拡張ＯＡＭ抽出部２１０は、局側装置１からの下り方向のトラフィックの中から、拡張ＯＡＭを用いて挿入されたフィルタリング設定情報を抽出し、抽出したフィルタリング設定情報、すなわち、フィルタリング処理を指示するフィルタリング処理指示情報、不正トラフィックを送信しているＬＬＩＤ、不正トラフィックを廃棄させるための廃棄モード情報、トラフィックの遮断又は制限を示すフィルタ種別情報をＬＬＩＤフィルタリング設定部２１１に通知する。

ＬＬＩＤフィルタリング設定部２１１は、拡張ＯＡＭ抽出部２１０より通知されたフィルタリング設定情報に基づき、不正トラフィックを送信しているＬＬＩＤに対してフィルタリング処理を設定する。設定する内容としては、不正トラフィックを送信しているＬＬＩＤに対する廃棄モード設定で、フィルタ種別情報よりデコードされたトラフィックの遮断又は制限設定となる。

フィルタリング実施部２１４は、ＬＬＩＤフィルタリング設定部２１１により設定されたフィルタリング処理に基づき、不正トラフィックを送信しているＬＬＩＤの上り方向のトラフィックに対してフィルタリング処理を実施する。

ここで、具体的なフィルタリング処理に関して説明する。
ＬＬＩＤフィルタリング処理部２１２は、ＬＬＩＤフィルタリング設定部２１１により設定されたフィルタリング処理を実施する際に、廃棄モードでトラフィックの遮断又は制限が設定されているので、当該ＬＬＩＤの上り方向の不正トラフィックに対して廃棄遮断識別子又は廃棄制限識別子を付与する。

廃棄遮断識別子が付与されている場合には、パケット転送・廃棄部２１３は、ＬＬＩＤフィルタリング処理部２１２により出力される上り方向のトラフィックの中から、廃棄遮断識別子が付与されたパケットを検出して廃棄し、廃棄遮断識別子が付与されていないパケットを転送する。一方、廃棄制限別子が付与されている場合には、パケット転送・廃棄部２１３は、ＬＬＩＤフィルタリング処理部２１２により出力される上り方向のトラフィックの中から、廃棄制限識別子が付与されたパケットを検出して、所定の割合のパケットを、廃棄制限識別子を削除して転送し、その他を廃棄する。また、パケット転送・廃棄部２１３は、同時に内部に保有するＬＬＩＤ毎の廃棄カウンタにより、上り方向のトラフィックのパケット廃棄数をカウントし、当該ＬＬＩＤとパケット廃棄数を一括で定期的に上り方向のトラフィックに挿入する。

次にアドレス不定型ＤｏＳ攻撃の不正トラフィックの抑制について説明する。
単一の加入者側装置２−１〜２−ｎからアドレス不定型ＤｏＳ攻撃等、複数の不正トラフィックが送信されている場合において、不正トラフィックを検出して廃棄している間にも、次々と異なるＬＬＩＤの不正トラフィックが送信される場合が考えられる。この場合、不正トラフィックの廃棄よりも、正常トラフィックのみを転送し、それ以外は無条件に廃棄した方が効率的である。

単一の加入者側装置２−１〜２−ｎにおいて、不正トラフィックのＬＬＩＤ数が正常トラフィックのＬＬＩＤ数を上回る等、予め設定しておいた不正トラフィックのＬＬＩＤ数の所定の閾値Ｎ以上の場合に、トラフィック管理部１１０は、アドレス不定型ＤｏＳ攻撃の不正トラフィックであると判断して、フィルタリング設定情報として、廃棄モード情報の代わりに正常トラフィックのみを転送させる転送モード情報を拡張ＯＡＭ挿入部１１４に通知することにより、廃棄モードから転送モードに動作移行することが可能である。

すなわち、トラフィック管理部１１０は、単位時間当たりの平均トラフィック量が短時間で急激に増大して予め設定されている所定の閾値Ｔ以上で、又はある特定のＬＬＩＤにおいて単位時間当たりの受信パケット数が短時間で急激に増大して予め設定されている閾値Ｆ以上で、又はある特定のＬＬＩＤにおいて予めＯＳＳ４から設定されている不正パケットパターンとのマッチングにより不正パケットパターンであることを検出し、かつ、不正トラフィックのＬＬＩＤ数が所定の閾値Ｎ以上の場合に、アドレス不定型ＤｏＳ攻撃であると判断し、ＬＬＩＤフィルタリングテーブル１１３にフィルタリングすべき当該ＬＬＩＤを設定する。

そして、トラフィック管理部１１０は、加入者側装置２−１〜２−ｎでフィルタリング処理を実施するためのフィルタリング設定情報として、フィルタリング処理を指示するフィルタリング処理指示情報、不正トラフィックを送信しているＬＬＩＤ、正常トラフィックのみを転送させる転送モード情報を拡張ＯＡＭ挿入部１１４に通知する。ここで、トラフィック管理部１１０は、転送モード情報の場合には、フィルタ種別情報を拡張ＯＡＭ挿入部１１４に通知しない。

拡張ＯＡＭ挿入部１１４は、トラフィック管理部１１０より通知された加入者側装置２−１〜２−ｎでフィルタリング処理を実施するためのフィルタリング設定情報を、すなわち、フィルタリング処理を指示するフィルタリング処理指示情報、不正トラフィックを送信しているＬＬＩＤ、正常トラフィックのみを転送させる転送モード情報を、加入者側装置２−１〜２−ｎへの下り方向のトラフィックに拡張ＯＡＭを用いて挿入する。

当該ＬＬＩＤの加入者側装置２−１〜２−ｎの拡張ＯＡＭ抽出部２１０は、局側装置１からの下り方向のトラフィックの中から、拡張ＯＡＭを用いて挿入されたフィルタリング設定情報を抽出し、抽出したフィルタリング設定情報、すなわち、フィルタリング処理を指示するフィルタリング処理指示情報、不正トラフィックを送信しているＬＬＩＤ、正常トラフィックのみを転送させる転送モード情報をＬＬＩＤフィルタリング設定部２１１に通知する。

ＬＬＩＤフィルタリング設定部２１１は、拡張ＯＡＭ抽出部２１０より通知されたフィルタリング設定情報に基づき、不正トラフィックを送信しているＬＬＩＤに対してフィルタリング処理を設定する。設定する内容としては、正常トラフィックを送信しているＬＬＩＤに対する転送モード設定となる。

ここで、具体的なフィルタリング処理に関して説明する。
ＬＬＩＤリングフィルタ処理部２１２は、ＬＬＩＤフィルタリング設定部２１１により設定されたフィルタリング処理を実施する際に、転送モードが設定されているので、不正トラフィックを送信しているＬＬＩＤ以外のＬＬＩＤの上り方向の正常トラフィックに対して転送識別子を付与する。

パケット転送・廃棄部２１３は、ＬＬＩＤフィルタリング処理部２１２により出力される上り方向のトラフィックの中から、転送識別子が付与されたパケットを、転送識別子を削除して転送し、転送識別子が付与されていないパケットを廃棄する。また、パケット転送・廃棄部２１３は、同時に内部に保有するＬＬＩＤ毎の廃棄カウンタにより、上り方向のトラフィックのパケット廃棄数をカウントし、当該ＬＬＩＤとパケット廃棄数を一括で定期的に上り方向のトラフィックに挿入する。

アドレス固定型ＤｏＳ攻撃の不正トラフィックの廃棄後、又はアドレス不定型ＤｏＳ攻撃の不正トラフィックの廃棄後において、局側装置１のトラフィック監視・抽出部１１１は、加入者側装置２−１〜２−ｎのパケット転送・廃棄部２１３により挿入された当該ＬＬＩＤ及びパケット廃棄数をまとめた廃棄情報を抽出してトラフィック管理部１１０に出力する。トラフィック管理部１１０はパケット廃棄数を参照して、不正トラフィックの送信が停止しているか否かを判断する。

局側装置１のトラフィック管理部１１０が不正アクセスを検出し、加入者側装置２−１〜２−ｎのフィルタリング実施部２１４が当該ＬＬＩＤの上り方向のトラフィックのフィルタリング実施後、局側装置１のトラフィック管理部１１０は、不正トラフィックの送信停止を検出して不正アクセスが終了したと判断した場合に、ＬＬＩＤフィルタリングテーブル１１３に設定されている当該ＬＬＩＤを解除すると共に、フィルタリング解除情報として、フィルタリング処理を解除させるためのフィルタリング処理解除指示情報と解除する当該ＬＬＩＤを拡張ＯＡＭ挿入部１１４に通知する。

拡張ＯＡＭ挿入部１１４は、トラフィック管理部１１０より通知されたフィルタリング解除情報、すなわち、フィルタリング処理解除指示情報と解除する当該ＬＬＩＤを、加入者側装置２−１〜２−ｎへの下り方向のトラフィックに拡張ＯＡＭを用いて挿入する。

当該ＬＬＩＤの加入者側装置２−１〜２−ｎの拡張ＯＡＭ抽出部２１０は、局側装置１からの下り方向のトラフィックの中から、拡張ＯＡＭを用いて挿入されたフィルタリング解除情報を抽出し、抽出したフィルタリング解除情報、すなわち、フィルタリング処理を解除させるためのフィルタリング処理解除指示情報と解除する当該ＬＬＩＤをＬＬＩＤフィルタリング設定部２１１に通知する。

ＬＬＩＤフィルタリング設定部２１１は、拡張ＯＡＭ抽出部２１０より通知されたフィルタリング解除情報に基づき、当該ＬＬＩＤに対して設定していたフィルタリング処理を解除する。フィルタリング実施部２１４は、ＬＬＩＤフィルタリング設定部２１１によりフィルタリング処理が解除された当該ＬＬＩＤの上り方向のトラフィックを通過させる。

ＬＬＩＤフィルタリングテーブル１１３は、上述のように受信トラフィックによるＤｙｎａｍｉｃ設定が可能であるが、その他にＯＳＳ４からも常時アクセスでき、ＯＳＳ４が、装置管理者の指示により、所望のＬＬＩＤをＬＬＩＤフィルタリングテーブル１１３にＳｔａｔｉｃ設定し、拡張ＯＡＭによりフィルタ設定することで、当該ＬＬＩＤが付与されたトラフィックを遮断又は制限することが可能となる。

ＯＳＳ４が、装置管理者の指示により、ＬＬＩＤフィルタリングテーブル１１３にＳｔａｔｉｃ設定した場合は、ＬＬＩＤフィルタリングテーブル１１３にＤｙｎａｍｉｃ設定された情報とは独立して管理される。また、フィルタリング処理するＬＬＩＤが重複した場合には、Ｄｙｎａｍｉｃ設定及びＳｔａｔｉｃ設定のどちらの設定が優先されるかどうかに関しては、ＯＳＳ４が装置管理者の指示により選択することが可能である。

ＯＳＳ４が装置管理者の指示によりＬＬＩＤフィルタリングテーブル１１３にＳｔａｔｉｃ設定した場合は、そのフィルタリング解除方法として、動的フィルタリング解除は行われず、ＯＳＳ４が装置管理者の指示によりＬＬＩＤフィルタリングテーブル１１３にアクセスし、当該ＬＬＩＤのフィルタリング設定解除を行う必要がある。このように、フィルタリング設定解除を実施しない限り、フィルタリング制御を実行し続けることが可能となる。

上述のようにＬＬＩＤフィルタリングは、Ｄｙｎａｍｉｃ設定及びＳｔａｔｉｃ設定の両者が可能であり、装置管理者の意図に沿った不正トラフィックの検出・防御が可能となる。

以上のように、この実施の形態１によれば、局側装置１が、加入者側装置２−１〜２−ｎからの上り方向のトラフィックを監視してトラフィック情報を抽出するトラフィック監視・抽出部１１１と、抽出されたトラフィック情報に基づき、論理リンク識別子であるＬＬＩＤ毎に上り方向の不正トラフィックを検出し、検出したＬＬＩＤ毎の不正トラフィックに対して加入者側装置２−１〜２−ｎでフィルタリング処理を実施するためのフィルタリング設定情報を出力するトラフィック管理部１１０と、出力されたフィルタリング設定情報を、拡張ＯＡＭを用いて加入者側装置２−１〜２−ｎへの下り方向のトラフィックに挿入する拡張ＯＡＭ挿入部１１４とを備え、加入者側装置２−１〜２−ｎが、局側装置１からの下り方向のトラフィックから拡張ＯＡＭを用いて挿入されたフィルタリング設定情報を抽出する拡張ＯＡＭ抽出部２１０と、抽出されたフィルタリング設定情報に基づき、不正トラフィックを送信しているＬＬＩＤに対してフィルタリング処理を設定するＬＬＩＤフィルタリング設定部２１１と、設定されたフィルタリング処理に基づき、ＬＬＩＤの上り方向の不正トラフィックに対してフィルタリング処理を実施するフィルタリング実施部２１４とを備えたことにより、局側装置１において、ＤｏＳ攻撃等の不正トラフィックに対応して加入者側装置２−１〜２−ｎの上り送信帯域の制御を不要とし、容易かつ有効にＤｏＳ攻撃等の不正トラフィックを抑制することができるという効果が得られる。

実施の形態２．
上記実施の形態１では、ＬＬＩＤ毎にＤｏＳ攻撃を検出し抑制しているが、この実施の形態２は、ＬＬＩＤ毎ではなく、ＭＡＣアドレス、ＩＰアドレス等の送信元アドレス毎にＤｏＳ攻撃を検出し抑制するものである。

図２はこの発明の実施の形態２によるＰＯＮ通信システム、局側装置及び加入者側装置の構成を示すブロック図である。図２に示す構成は、上記実施の形態１の図１に示す構成のうち、局側装置１におけるＬＬＩＤフィルタリングテーブル１１３をアドレスフィルタリングテーブル１１５に置き換え、加入者側装置２−１〜２−ｎにおけるＬＬＩＤフィルタリング設定部２１１及びＬＬＩＤフィルタリング処理部２１２を、それぞれアドレスフィルタリング設定部（フィルタリング設定部）２１５及びアドレスフィルタリング処理部２１６に置き換えたものであり、各部の不正アクセスの検出及び抑制に係る処理は、ＬＬＩＤを送信元アドレスに置き換えたものである。なお、アドレスフィルタリング処理部２１６とパケット転送・廃棄部２１３によりフィルタリング実施部２１４を構成している。

まずアドレス固定型ＤｏＳ攻撃の不正トラフィックの抑制について説明する。
トラフィック監視・抽出部１１１は、ユーザから送信されたＤｏＳ攻撃等の不正トラフィックを監視し、監視したＬＬＩＤ、送信元アドレスを含む送信元ユーザ情報、上り送信帯域、受信パケット数等のトラフィック情報を、単位時間毎にトラフィック管理部１１０へ出力する。トラフィック管理部１１０は、送信元アドレス毎のトラフィック情報を監視情報データベース１１２へ格納する。

トラフィック管理部１１０は、ある特定の送信元アドレスにおいて単位時間当たりの平均トラフィック量が短時間で急激に増大して予め設定されている所定の閾値Ｔ以上で、かつ、不正トラフィックの送信元アドレス数が所定の閾値Ｎ未満の場合に、アドレス固定型ＤｏＳ攻撃の不正トラフィックであると判断し、アドレスフィルタリングテーブル１１５にフィルタリング処理すべき当該送信元アドレスを設定する。

ここで、トラフィック管理部１１０は、上記不正トラフィックの検出方法に加えて、ある特定の送信元アドレスにおいて単位時間当たりの受信パケット数が短時間で急激に増大して予め設定されている閾値Ｆ以上で、かつ、不正トラフィックの送信元アドレス数が所定の閾値Ｎ未満の場合に、アドレス固定型ＤｏＳ攻撃の不正トラフィックであると判断しても良い。

また、トラフィック管理部１１０は、上記不正トラフィックの検出方法に加えて、ある特定の送信元アドレスにおいて予めＯＳＳ４から設定されている不正パケットパターンとのマッチングにより不正パケットパターンであることを検出し、かつ、不正トラフィックの送信元アドレス数が所定の閾値Ｎ未満の場合に、アドレス固定型ＤｏＳ攻撃の不正トラフィックであると判断しても良い。

トラフィック管理部１１０は、ある特定の送信元アドレスにおいて不正トラフィックを検出した場合に、当該送信元アドレスの情報として、不正アクセス検出回数を監視情報データベース１１２に格納し、その後も当該送信元アドレスからの不正トラフィックを検出した場合には、監視情報データベース１１２に格納されている当該送信元アドレスの過去の不正アクセス検出回数を一つインクリメントする。

そして、トラフィック管理部１１０は、アドレス固定型ＤｏＳ攻撃の不正トラフィックであると判断しているので、加入者側装置２−１〜２−ｎでフィルタリング処理を実施するためのフィルタリング設定情報として、フィルタリング処理を指示するフィルタリング処理指示情報、不正トラフィックを送信している送信元アドレス、不正トラフィックを廃棄させるための廃棄モード情報、監視情報データベース１１２に格納されている当該送信元アドレスの過去の不正アクセス検出回数に基づく当該送信元アドレスのトラフィックの遮断又は制限の指示を示すフィルタ種別情報を拡張ＯＡＭ挿入部１１４に通知する。

このフィルタ種別情報は、廃棄モード情報と共に拡張ＯＡＭ挿入部１１４に通知されるものであり、送信元アドレス毎の不正アクセス検出回数により重み付けを実施し、例えば、不正アクセスが検出された送信元アドレスの過去の不正アクセス検出回数が０回だった場合にはトラフィックを所定の割合だけ制限するのみとし、不正アクセス検出回数が１回以上の場合にはトラフィックを遮断するといった処理を指示するものである。なお、フィルタ種別情報として、不正アクセス検出回数に関係なく完全に遮断の処理を指示しても良い。

拡張ＯＡＭ挿入部１１４は、トラフィック管理部１１０より通知された加入者側装置２−１〜２−ｎでフィルタリング処理を実施するためのフィルタリング設定情報を、すなわち、フィルタリング処理を指示するフィルタリング処理指示情報、不正トラフィックを送信している送信元アドレス、不正トラフィックを廃棄させるための廃棄モード情報、トラフィックの遮断又は制限を示すフィルタ種別情報を、加入者側装置２−１〜２−ｎへの下り方向のトラフィックに拡張ＯＡＭを用いて挿入する。

当該送信元アドレスのユーザを収容する加入者側装置２−１〜２−ｎの拡張ＯＡＭ抽出部２１０は、局側装置１からの下り方向のトラフィックの中から、拡張ＯＡＭを用いて挿入されたフィルタリング設定情報を抽出し、抽出したフィルタリング設定情報、すなわち、フィルタリング処理を指示するフィルタリング処理指示情報、不正トラフィックを送信している送信元アドレス、不正トラフィックを廃棄させるための廃棄モード情報、トラフィックの遮断又は制限を示すフィルタ種別情報をアドレスフィルタリング設定部２１５に通知する。

アドレスフィルタリング設定部２１５は、拡張ＯＡＭ抽出部２１０より通知されたフィルタリング設定情報に基づき、不正トラフィックを送信している送信元アドレスに対してフィルタリング処理を設定する。設定する内容としては、不正トラフィックを送信している送信元アドレスに対する廃棄モード設定で、フィルタ種別情報よりデコードされたトラフィックの遮断又は制限設定となる。

フィルタリング実施部２１４は、アドレスフィルタリング設定部２１５により設定されたフィルタリング処理に基づき、不正トラフィックを送信している送信元アドレスの上り方向のトラフィックに対してフィルタリング処理を実施する。

ここで、具体的なフィルタリング処理に関して説明する。
アドレスフィルタリング処理部２１６は、アドレスフィルタリング設定部２１５により設定されたフィルタリング処理を実施する際に、廃棄モードでトラフィックの遮断又は制限が設定されているので、当該送信元アドレスの上り方向の不正トラフィックに対して廃棄遮断識別子又は廃棄制限識別子を付与する。

廃棄遮断識別子が付与されている場合には、パケット転送・廃棄部２１３は、アドレスフィルタリング処理部２１６により出力される上り方向のトラフィックの中から、廃棄遮断識別子が付与されたパケットを検出して廃棄し、廃棄遮断識別子が付与されていないパケットを転送する。一方、棄遮制限別子が付与されている場合には、パケット転送・廃棄部２１３は、アドレスフィルタリング処理部２１６により出力される上り方向のトラフィックの中から、廃棄制限識別子が付与されたパケットを検出して、所定の割合のパケットを、廃棄制限識別子を削除して転送し、その他を廃棄する。また、パケット転送・廃棄部２１３は、同時に内部に保有する送信元アドレス毎の廃棄カウンタにより、上り方向のトラフィックのパケット廃棄数をカウントし、当該送信元アドレスとパケット廃棄数を一括で定期的に上り方向のトラフィックに挿入する。

次にアドレス不定型ＤｏＳ攻撃の不正トラフィックの抑制について説明する。
単一の加入者側装置２−１〜２−ｎからアドレス不定型ＤｏＳ攻撃等、複数の不正トラフィックが送信されている場合において、不正トラフィックを検出して廃棄している間にも、次々と異なる送信元アドレスの不正トラフィックが送信される場合が考えられる。この場合、不正トラフィックの廃棄よりも、正常トラフィックのみを転送し、それ以外は無条件に廃棄した方が効率的である。

単一の加入者側装置２−１〜２−ｎにおいて、不正トラフィックの送信元アドレス数が正常トラフィックの送信元アドレス数を上回る等、予め設定しておいた不正トラフィックの送信元アドレス数の所定の閾値Ｎ以上の場合に、トラフィック管理部１１０は、アドレス不定型ＤｏＳ攻撃の不正トラフィックであると判断して、フィルタリング設定情報として、廃棄モード情報の代わりに正常トラフィックのみを転送させる転送モード情報を拡張ＯＡＭ挿入部１１４に通知することにより、廃棄モードから転送モードに動作移行することが可能である。

すなわち、トラフィック管理部１１０は、単位時間当たりの平均トラフィック量が短時間で急激に増大して予め設定されている所定の閾値Ｔ以上で、又はある特定の送信元アドレスにおいて単位時間当たりの受信パケット数が短時間で急激に増大して予め設定されている閾値Ｆ以上で、又はある特定の送信元アドレスにおいて予めＯＳＳ４から設定されている不正パケットパターンとのマッチングにより不正パケットパターンであることを検出し、かつ、不正トラフィックの送信元アドレス数が所定の閾値Ｎ以上の場合に、アドレス不定型ＤｏＳ攻撃であると判断し、アドレスフィルタリングテーブル１１５にフィルタリングすべき当該送信元アドレスを設定する。

そして、トラフィック管理部１１０は、加入者側装置２−１〜２−ｎでフィルタリング処理を実施するためのフィルタリング設定情報として、フィルタリング処理を指示するフィルタリング処理指示情報、不正トラフィックを送信している送信元アドレス、正常トラフィックのみを転送させる転送モード情報を拡張ＯＡＭ挿入部１１４に通知する。ここで、トラフィック管理部１１０は、転送モード情報の場合には、フィルタ種別情報を拡張ＯＡＭ挿入部１１４に通知しない。

拡張ＯＡＭ挿入部１１４は、トラフィック管理部１１０より通知された加入者側装置２−１〜２−ｎでフィルタリング処理を実施するためのフィルタリング設定情報を、すなわち、フィルタリング処理を指示するフィルタリング処理指示情報、不正トラフィックを送信している送信元アドレス、正常トラフィックのみを転送させる転送モード情報を、加入者側装置２−１〜２−ｎへの下り方向のトラフィックに拡張ＯＡＭを用いて挿入する。

当該送信元アドレスのユーザを収容する加入者側装置２−１〜２−ｎの拡張ＯＡＭ抽出部２１０は、局側装置１からの下り方向のトラフィックの中から、拡張ＯＡＭを用いて挿入されたフィルタリング設定情報を抽出し、抽出したフィルタリング設定情報、すなわち、フィルタリング処理を指示するフィルタリング処理指示情報、不正トラフィックを送信している送信元アドレス、正常トラフィックのみを転送させる転送モード情報をアドレスフィルタリング設定部２１５に通知する。

アドレスフィルタリング設定部２１５は、拡張ＯＡＭ抽出部２１０より通知されたフィルタリング設定情報に基づき、不正トラフィックを送信している送信元アドレスに対してフィルタリング処理を設定する。設定する内容としては、正常トラフィックを送信している送信元アドレスに対する転送モード設定となる。

ここで、具体的なフィルタリング処理に関して説明する。
アドレスリングフィルタ処理部２１６は、アドレスフィルタリング設定部２１５により設定されたフィルタリング処理を実施する際に、転送モードが設定されているので、不正トラフィックを送信している送信元アドレス以外の送信元アドレスの上り方向の正常トラフィックに対して転送識別子を付与する。

パケット転送・廃棄部２１３は、アドレスフィルタリング処理部２１６により出力される上り方向のトラフィックの中から、転送識別子が付与されたパケットを、転送識別子を削除して転送し、転送識別子が付与されていないパケットを廃棄する。また、パケット転送・廃棄部２１３は、同時に内部に保有する送信元アドレス毎の廃棄カウンタにより、上り方向のトラフィックのパケット廃棄数をカウントし、当該送信元アドレスとパケット廃棄数を一括で定期的に上り方向のトラフィックに挿入する。

アドレス固定型ＤｏＳ攻撃の不正トラフィックの廃棄後、又はアドレス不定型ＤｏＳ攻撃の不正トラフィックの廃棄後において、局側装置１のトラフィック監視・抽出部１１１は、加入者側装置２−１〜２−ｎのパケット転送・廃棄部２１３により挿入された当該送信元アドレス及びパケット廃棄数をまとめた廃棄情報を抽出してトラフィック管理部１１０に出力する。トラフィック管理部１１０はパケット廃棄数を参照して、不正トラフィックの送信が停止しているか否かを判断する。

局側装置１のトラフィック管理部１１０が不正アクセスを検出し、加入者側装置２−１〜２−ｎのフィルタリング実施部２１４が当該送信元アドレスの上り方向のトラフィックのフィルタリング実施後、局側装置１のトラフィック管理部１１０は、不正トラフィックの送信停止を検出して不正アクセスが終了したと判断した場合に、アドレスフィルタリングテーブル１１５に設定されている当該送信元アドレスを解除すると共に、フィルタリング解除情報として、フィルタリング処理を解除させるためのフィルタリング処理解除指示情報と解除する当該送信元アドレスを拡張ＯＡＭ挿入部１１４に通知する。

拡張ＯＡＭ挿入部１１４は、トラフィック管理部１１０より通知されたフィルタリング解除情報、すなわち、フィルタリング処理解除指示情報と解除する当該送信元アドレスを、加入者側装置２−１〜２−ｎへの下り方向のトラフィックに拡張ＯＡＭを用いて挿入する。

当該送信元アドレスのユーザを収容する加入者側装置２−１〜２−ｎの拡張ＯＡＭ抽出部２１０は、局側装置１からの下り方向のトラフィックの中から、拡張ＯＡＭを用いて挿入されたフィルタリング解除情報を抽出し、抽出したフィルタリング解除情報、すなわち、フィルタリング処理を解除させるためのフィルタリング処理解除指示情報と解除する当該送信元アドレスをアドレスフィルタリング設定部２１５に通知する。

アドレスフィルタリング設定部２１５は、拡張ＯＡＭ抽出部２１０より通知されたフィルタリング解除情報に基づき、当該送信元アドレスに対して設定していたフィルタリング処理を解除する。フィルタリング実施部２１４は、アドレスフィルタリング設定部２１５によりフィルタリング処理が解除された当該送信元アドレスの上り方向のトラフィックを通過させる。

この実施の形態２でも、上記実施の形態１と同様に、アドレスフィルタリングはＳｔａｔｉｃ設定も可能であり、上述のＤｙｎａｍｉｃ設定と合わせて装置管理者の意図に沿った不正トラフィック検出・防御が可能となる。また、この実施の形態２では、実施の形態１とは異なり、ユーザ毎にＬＬＩＤを割り当てる必要はない。

以上のように、この実施の形態２によれば、局側装置１が、加入者側装置２−１〜２−ｎからの上り方向のトラフィックを監視してトラフィック情報を抽出するトラフィック監視・抽出部１１１と、抽出されたトラフィック情報に基づき、送信元アドレス毎に上り方向の不正トラフィックを検出し、検出した送信元アドレス毎の不正トラフィックに対して加入者側装置２−１〜２−ｎでフィルタリング処理を実施するためのフィルタリング設定情報を出力するトラフィック管理部１１０と、出力されたフィルタリング設定情報を、拡張ＯＡＭを用いて加入者側装置２−１〜２−ｎへの下り方向のトラフィックに挿入する拡張ＯＡＭ挿入部１１４とを備え、加入者側装置２−１〜２−ｎが、局側装置１からの下り方向のトラフィックから拡張ＯＡＭを用いて挿入されたフィルタリング設定情報を抽出する拡張ＯＡＭ抽出部２１０と、抽出されたフィルタリング設定情報に基づき、不正トラフィックを送信している送信元アドレスに対してフィルタリング処理を設定するアドレスフィルタリング設定部２１５と、設定されたフィルタリング処理に基づき、送信元アドレスの上り方向の不正トラフィックに対してフィルタリング処理を実施するフィルタリング実施部２１４とを備えたことにより、局側装置１において、ＤｏＳ攻撃等の不正トラフィックに対応して加入者側装置２−１〜２−ｎの上り送信帯域の制御を不要とし、容易かつ有効にＤｏＳ攻撃等の不正トラフィックを抑制することができるという効果が得られる。

なお、図面を参照してこの発明の実施の形態について詳述してきたが、この発明は上記実施の形態１及び上記実施の形態２に限定されるものではなく、この発明の要旨を逸脱しない範囲における設計等も技術的範囲に含まれるものとする。

この発明の実施の形態１によるＰＯＮ通信システム、局側装置及び加入者側装置の構成を示すブロック図である。この発明の実施の形態２によるＰＯＮ通信システム、局側装置及び加入者側装置の構成を示すブロック図である。

符号の説明

１局側装置、２−１〜２−ｎ加入者側装置、３−１〜３−ｎコンピュータ、４ＯＳＳ、１０，１２−１〜１２−ｎ光ファイバ、１１スターカプラ、１３ＬＡＮケーブル、１００，２００ＷＤＭカプラ、１０１，２０１Ｏ／Ｅ変換部、１０２，２０２Ｅ／Ｏ変換部、１１０トラフィック管理部、１１１トラフィック監視・抽出部、１１２監視情報データベース、１１３ＬＬＩＤフィルタリングテーブル、１１４拡張ＯＡＭ挿入部、１１５アドレスフィルタリングテーブル、１２０ＳＮＩ、１２１，２２１ＰＯＮインタフェース、１２２ＯＳＳインタフェース、２１０拡張ＯＡＭ抽出部、２１１ＬＬＩＤフィルタリング設定部、２１２ＬＬＩＤフィルタリング処理部、２１３パケット転送・廃棄部、２１４フィルタリング実施部、２１５アドレスフィルタリング設定部、２１６アドレスフィルタリング処理部、２２０ＵＮＩ。

Claims

加入者側装置と該加入者側装置を収容する局側装置との間で通信するＰＯＮ（Passive Optical Network)通信システムにおいて、
上記局側装置が、
上記加入者側装置からの上り方向のトラフィックを監視してトラフィック情報を抽出するトラフィック監視・抽出部と、
抽出されたトラフィック情報に基づき、論理リンク識別子であるＬＬＩＤ(Logical Link Identifier)毎又は送信元アドレス毎に上り方向の不正トラフィックを検出し、検出したＬＬＩＤ毎又は送信元アドレス毎の不正トラフィックに対して上記加入者側装置でフィルタリング処理を実施するためのフィルタリング設定情報を出力するトラフィック管理部と、
出力されたフィルタリング設定情報を、拡張ＯＡＭ（Operation, Administration and Maintenance）を用いて上記加入者側装置への下り方向のトラフィックに挿入する拡張ＯＡＭ挿入部とを備え、
上記加入者側装置が、
上記局側装置からの下り方向のトラフィックから拡張ＯＡＭを用いて挿入されたフィルタリング設定情報を抽出する拡張ＯＡＭ抽出部と、
抽出されたフィルタリング設定情報に基づき、不正トラフィックを送信しているＬＬＩＤ又は送信元アドレスに対してフィルタリング処理を設定するフィルタリング設定部と、
設定されたフィルタリング処理に基づき、ＬＬＩＤ又は送信元アドレスの上り方向の不正トラフィックに対してフィルタリング処理を実施するフィルタリング実施部とを備えたことを特徴とするＰＯＮ通信システム。
トラフィック監視・抽出部は、トラフィック情報として、ＬＬＩＤ、送信元アドレスを含む送信元ユーザ情報、上り送信帯域、受信パケット数を抽出し、
トラフィック管理部は、ＬＬＩＤ毎若しくは送信元アドレス毎の単位時間当たりの平均トラフィック量、ＬＬＩＤ毎若しくは送信元アドレス毎の単位時間当たりの受信パケット数、又は予め指定された不正パケットパターンのマッチングに基づき、ＬＬＩＤ毎又は送信元アドレス毎の不正トラフィックを検出し、フィルタリング設定情報として、フィルタリング処理を指示するフィルタリング処理指示情報と、不正トラフィックを送信しているＬＬＩＤ又は送信元アドレスと、不正トラフィックを廃棄させるための廃棄モード情報又は正常トラフィックのみを転送させる転送モード情報を出力することを特徴とする請求項１記載のＰＯＮ通信システム。
トラフィック管理部は、不正トラフィックを送信しているＬＬＩＤ又は送信元アドレスの数に基づき、フィルタリング設定情報として、廃棄モード情報又は転送モード情報を出力することを特徴とする請求項２記載のＰＯＮ通信システム。
トラフィック管理部は、抽出されたトラフィック情報と共にＬＬＩＤ毎又は送信元アドレス毎の不正アクセス検出回数を監視情報データベースに格納し、フィルタリング設定情報として廃棄モード情報を出力する際に、不正トラフィックを送信しているＬＬＩＤ又は送信元アドレスの上記監視情報データベースに格納されている不正アクセス検出回数に基づき、フィルタリング設定情報として、トラフィックの遮断又は制限を示すフィルタ種別情報を出力することを特徴とする請求項１記載のＰＯＮ通信システム。
トラフィック管理部は、トラフィック監視・抽出部により抽出されたトラフィック情報に基づき、ＬＬＩＤ又は送信元アドレスの上り方向の不正トラフィックの停止を検出した場合に、加入者側装置で設定されているフィルタリング処理を解除させるためのフィルタリング解除情報を出力し、
拡張ＯＡＭ挿入部は出力されたフィルタリング解除情報を、拡張ＯＡＭを用いて上記加入者側装置への下り方向のトラフィックに挿入し、
拡張ＯＡＭ抽出部は下り方向のトラフィックから拡張ＯＡＭを用いて挿入されたフィルタリング解除情報を抽出し、
フィルタリング設定部は、抽出されたフィルタリング解除情報に基づき、設定しているフィルタリング処理を解除することを特徴とする請求項１記載のＰＯＮ通信システム。
フィルタリング実施部は、フィルタリング処理を実施する際に、ＬＬＩＤ又は送信元アドレスの上り方向のトラフィックのパケット廃棄数をカウントし、カウントしたパケット廃棄数をＬＬＩＤ又は送信元アドレスの上り方向のトラフィックに挿入し、
トラフィック管理部は、トラフィック監視・抽出部により抽出されたパケット廃棄数に基づき、ＬＬＩＤ又は送信元アドレスの上り方向の不正トラフィックの停止を検出することを特徴とする請求項５記載のＰＯＮ通信システム。
加入者側装置を収容するＰＯＮ通信システムの局側装置において、
上記加入者側装置からの上り方向のトラフィックを監視してトラフィック情報を抽出するトラフィック監視・抽出部と、
抽出されたトラフィック情報に基づき、論理リンク識別子であるＬＬＩＤ毎又は送信元アドレス毎に上り方向の不正トラフィックを検出し、検出したＬＬＩＤ毎又は送信元アドレス毎の不正トラフィックに対して上記加入者側装置でフィルタリング処理を実施するためのフィルタリング設定情報を出力するトラフィック管理部と、
出力されたフィルタリング設定情報を、拡張ＯＡＭを用いて上記加入者側装置への下り方向のトラフィックに挿入する拡張ＯＡＭ挿入部とを備えたことを特徴とする局側装置。
トラフィック監視・抽出部は、トラフィック情報として、ＬＬＩＤ、送信元アドレスを含む送信元ユーザ情報、上り送信帯域、受信パケット数を抽出し、
トラフィック管理部は、ＬＬＩＤ毎若しくは送信元アドレス毎の単位時間当たりの平均トラフィック量、ＬＬＩＤ毎若しくは送信元アドレス毎の単位時間当たりの受信パケット数、又は予め指定された不正パケットパターンのマッチングに基づき、ＬＬＩＤ毎又は送信元アドレス毎の不正トラフィックを検出し、フィルタリング設定情報として、フィルタリング処理を指示するフィルタリング処理指示情報と、不正トラフィックを送信しているＬＬＩＤ又は送信元アドレスと、不正トラフィックを廃棄させるための廃棄モード情報又は正常トラフィックのみを転送させる転送モード情報を出力することを特徴とする請求項７記載の局側装置。
トラフィック管理部は、不正トラフィックを送信しているＬＬＩＤ又は送信元アドレスの数に基づき、フィルタリング設定情報として、廃棄モード情報又は転送モード情報を出力することを特徴とする請求項８記載の局側装置。
トラフィック管理部は、抽出されたトラフィック情報と共にＬＬＩＤ毎又は送信元アドレス毎の不正アクセス検出回数を監視情報データベースに格納し、フィルタリング設定情報として廃棄モード情報を出力する際に、不正トラフィックを送信しているＬＬＩＤ又は送信元アドレスの上記監視情報データベースに格納されている不正アクセス検出回数に基づき、フィルタリング設定情報として、トラフィックの遮断又は制限を示すフィルタ種別情報を出力することを特徴とする請求項７記載の局側装置。
トラフィック管理部は、トラフィック監視・抽出部により抽出されたトラフィック情報に基づき、ＬＬＩＤ又は送信元アドレスの上り方向の不正トラフィックの停止を検出した場合に、加入者側装置で設定されているフィルタリング処理を解除させるためのフィルタリング解除情報を出力し、
拡張ＯＡＭ挿入部は出力されたフィルタリング解除情報を、拡張ＯＡＭを用いて上記加入者側装置への下り方向のトラフィックに挿入することを特徴とする請求項７記載の局側装置。
ＰＯＮ通信システムの局側装置により収容される加入者側装置において、
上記局側装置からの下り方向のトラフィックから拡張ＯＡＭを用いて挿入された、論理リンク識別子であるＬＬＩＤ毎又は送信元アドレス毎の不正トラフィックに対するフィルタリング処理を実施するためのフィルタリング設定情報を抽出する拡張ＯＡＭ抽出部と、
抽出されたフィルタリング設定情報に基づき、不正トラフィックを送信しているＬＬＩＤ又は送信元アドレスに対してフィルタリング処理を設定するフィルタリング設定部と、
設定されたフィルタリング処理に基づき、ＬＬＩＤ又は送信元アドレスの上り方向の不正トラフィックに対してフィルタリング処理を実施するフィルタリング実施部とを備えたことを特徴とする加入者側装置。
フィルタリング実施部は、フィルタリング処理を実施する際に、ＬＬＩＤ又は送信元アドレスの上り方向のトラフィックのパケット廃棄数をカウントし、カウントしたパケット廃棄数をＬＬＩＤ又は送信元アドレスの上り方向のトラフィックに挿入し、
拡張ＯＡＭ抽出部は下り方向のトラフィックからパケット廃棄数に基づき出力されたフィルタリング解除情報を抽出し、
フィルタリング設定部は、抽出されたフィルタリング解除情報に基づき、設定しているフィルタリング処理を解除することを特徴とする請求項１２記載の加入者側装置。