JP2009017269A - ネットワーク制御装置、ネットワーク制御方法、およびプログラム - Google Patents

Abstract

【課題】ルータ１４やＦＷ１５に既に設定されているフィルタ条件と、これらの機器に新たに設定されるフィルタ条件との競合を検出することができるネットワーク制御装置２０を提供する。
【解決手段】本発明のネットワーク制御装置２０は、通信データの一部を指定する指定情報と当該指定情報に該当する通信データの対処とを含むフィルタ条件が入力された場合に、当該入力されたフィルタ条件に含まれている指定情報が、通信制御装置に既に設定されているいずれかのフィルタ条件に含まれている指定情報と同一である場合にエラーを通知する。また、当該入力されたフィルタ条件に含まれている指定情報が、通信制御装置に既に設定されているいずれのフィルタ条件に含まれている指定情報とも異なる場合には、当該入力されたフィルタ条件を通信制御装置に設定する。
【選択図】図１

Description

本発明は、通信データの一部を指定する指定情報と、当該指定情報に該当する通信データの対処方法とを含むフィルタ条件を外部から受け付け、受け付けたフィルタ条件を、ルータ等の通信制御装置に設定するための技術に関する。

インターネットが普及し、情報インフラとしての重要度が増す一方で、ネットワーク上のトラフィックを増大させ、通信を処理している回線やネットワーク機器、サーバの機能（リソース）を占有することにより、他の利用者の利便性を妨害したり、サーバを過負荷にすることによってサーバそのものの異常動作を誘発させようとするＤｏＳ（Denial of Services）といわれるような攻撃が行われるようになってきた。

このようなＤｏＳ攻撃を検出する技術としては、例えば特許文献１のようなものがある。特許文献１では、攻撃検出システムが、第１の監視期間内に受信した信号の数をカウントし、カウントした信号数が第１の閾値を超えるか否かを判別し、カウントした信号数が第１の閾値を超えた場合に、第２の監視期間内に受信した信号の中から所定の処理内容の信号数をカウントし、カウントした所定の処理内容の信号数が、第２の閾値を超えるか否かを判別し、カウントした所定の処理内容の信号数が第２の閾値を超えた場合に、当該信号をＤｏＳ攻撃による信号と判別する。

また、ルータやファイアウォール等には、例えば図１１に示すようなＡＣＬ（Access Control List）６０が設けられており、当該ＡＣＬ６０には、ＡＣＬ番号６１毎に、通信データを指定する指定情報６３（例えば送信元ＩＰアドレス６５および宛先ＩＰアドレス６６等）と、当該指定情報６３に該当する通信データの対処方法６４とを含むフィルタ条件６２が格納されている。

図１１に示したＡＣＬ６０において、ＡＣＬ番号６１が「００１」のフィルタ条件６２は、送信元ＩＰアドレス６５がどのようなＩＰアドレスであっても、宛先ＩＰアドレス６６が「１９２．１６８．０．１００」である通信データについては、当該通信データによる総通信帯域の最大値が１００Ｍｂｐｓ以下に制限されることを意味している。

ＡＣＬ番号６１が「００２」のフィルタ条件６２では、送信元ＩＰアドレス６５が「１９２．１６８．０．２００」であって、プレフィックス長が２４、つまり送信元ＩＰアドレス６５が「１９２．１６８．０．０〜１９２．１６８．０．２５５」の範囲内のＩＰアドレスであり、かつ、宛先ＩＰアドレス６６が「１９２．１６８．０．１００」である通信データが廃棄されることを意味している。

ＡＣＬ番号６１が「００３」のフィルタ条件６２では、送信元ＩＰアドレス６５が「１９２．１６８．０．２００」であり、かつ、宛先ＩＰアドレス６６が「１９２．１６８．０．１００」である通信データが中継されることを意味している。

特許文献１の攻撃検出システムは、ＤｏＳ攻撃と判定された通信データを特定した場合に、当該通信データを指定する指定情報６３と、当該通信データを破棄する旨の対処方法６４とを含むフィルタ条件６２をＡＣＬ６０に登録することにより、ＤｏＳ攻撃と判定された通信データを遮断する。また、対処方法６４としては、ＤｏＳ攻撃と判定された通信データによる総通信帯域を所定値以下に制限することにより、ＤｏＳ攻撃と判定された通信データの影響を低くする場合もある。

特開２００６−２３７８９２号公報

ところで、ルータやファイアウォール等には、ＡＣＬに登録されているフィルタ条件が、ＡＣＬ番号順に優先適用される製品が多い。例えば、ルータやファイアウォール等に図１１に示したＡＣＬ６０が設定されている場合、ＡＣＬ番号６１が「００２」のフィルタ条件６２において、送信元のＩＰアドレスが「１９２．１６８．０．２００」である通信データは遮断されるべきであるが、ＡＣＬ番号６１が「００１」のフィルタ条件６２では、最大通信帯域が１００Ｍｂｐｓ以下に制限されるものの、宛先のＩＰアドレスが「１９２．１６８．０．１００」なので、当該通信データは中継されてしまう。これは、ＡＣＬに登録されている複数のフィルタ条件において、通信データを指定する情報が重複しているにもかかわらず、異なる対処方法が指定されていることによる。

小規模なネットワークであれば、全てのフィルタ条件を管理して、通信データを特定する情報が競合しないように設定することも可能であるが、ネットワークの規模が大きくなると、ルータやファイアウォールを介して通信を行う装置の台数も多くなり、設定すべきフィルタ条件の数も多くなる。そのため、全てのフィルタ条件を管理者が人手で管理するには限界がある。このような状況は、ルータやファイアウォール等が複数台あり、それぞれのフィルタ条件を一元管理するようなネットワークシステムではさらに問題となる。

また、フィルタ条件は、管理者によって設定される他に、攻撃検出装置によって設定される場合もある。これらのフィルタ条件が競合なく設定されなければ、攻撃検出装置によって検出された攻撃を正しく防ぐことができなかったり、管理者が意図した通信データの制御が実行されない場合がある。

本発明は上記事情を鑑みてなされたものであり、本発明の目的は、フィルタ条件の競合を検出きるようにすることにある。

上記課題を解決するために、本発明のネットワーク制御装置は、通信データの一部を指定する指定情報と当該指定情報に該当する通信データの対処とを含むフィルタ条件が入力された場合に、当該入力されたフィルタ条件に含まれている指定情報が、通信制御装置に既に設定されているいずれかのフィルタ条件に含まれている指定情報と同一である場合にエラーを通知する。

例えば、本発明の第一の態様は、通信データの一部を指定する指定情報と、当該指定情報を含む通信データの対処方法とを含むフィルタ条件を外部から受け付け、受け付けたフィルタ条件を通信制御装置に設定するネットワーク制御装置であって、外部からフィルタ条件を受け付けるフィルタ条件受付手段と、通信制御装置に設定されているフィルタ条件を格納するフィルタ条件格納手段と、フィルタ条件受付手段が外部からフィルタ条件を受け付けた場合に、フィルタ条件格納手段を参照して、フィルタ条件受付手段が受け付けたフィルタ条件に含まれている指定情報が、フィルタ条件格納手段に格納されているいずれかのフィルタ条件に含まれている指定情報と同一であるか否かを判定する競合判定手段と、競合判定手段によって、フィルタ条件受付手段が受け付けたフィルタ条件に含まれている指定情報が、フィルタ条件格納手段に格納されているいずれかのフィルタ条件に含まれている指定情報と同一であると判定された場合に、管理者にエラー通知を送信する判定結果通知手段と、競合判定手段によって、フィルタ条件受付手段が受け付けたフィルタ条件に含まれている指定情報が、フィルタ条件格納手段に格納されているいずれのフィルタ条件に含まれている指定情報とも異なると判定された場合に、フィルタ条件受付手段が受け付けたフィルタ条件を通信制御装置に設定するフィルタ条件設定手段とを備えることを特徴とするネットワーク制御装置を提供する。

また、本発明の第二の態様は、通信データの一部を指定する指定情報と、当該指定情報に該当する通信データの対処方法とを含むフィルタ条件を外部から受け付け、受け付けたフィルタ条件を通信制御装置に設定するネットワーク制御装置におけるネットワーク制御方法であって、ネットワーク制御装置が、外部からフィルタ条件を受け付けるステップと、通信制御装置に設定されているフィルタ条件をフィルタ条件格納手段に格納するステップと、外部からフィルタ条件を受け付けた場合に、フィルタ条件格納手段を参照して、受け付けたフィルタ条件に含まれている指定情報が、フィルタ条件格納手段に格納されているいずれかのフィルタ条件に含まれている指定情報と同一であるか否かを判定するステップと、受け付けたフィルタ条件に含まれている指定情報が、フィルタ条件格納手段に格納されているいずれかのフィルタ条件に含まれている指定情報と同一であると判定された場合に、管理者にエラー通知を送信するステップと、受け付けたフィルタ条件に含まれている指定情報が、フィルタ条件格納手段に格納されているいずれのフィルタ条件に含まれている指定情報とも異なると判定された場合に、受け付けたフィルタ条件を通信制御装置に設定するステップとを実行することを特徴とするネットワーク制御方法を提供する。

また、本発明の第三の態様は、コンピュータを、通信データの一部を指定する指定情報と、当該指定情報に該当する通信データの対処方法とを含むフィルタ条件を外部から受け付け、受け付けたフィルタ条件を通信制御装置に設定するネットワーク制御装置として機能させるプログラムであって、コンピュータに、外部からフィルタ条件を受け付けるフィルタ条件受付手段、通信制御装置に設定されているフィルタ条件を格納するフィルタ条件格納手段、フィルタ条件受付手段が外部からフィルタ条件を受け付けた場合に、フィルタ条件格納手段を参照して、フィルタ条件受付手段が受け付けたフィルタ条件に含まれている指定情報が、フィルタ条件格納手段に格納されているいずれかのフィルタ条件に含まれている指定情報と同一であるか否かを判定する競合判定手段、競合判定手段によって、フィルタ条件受付手段が受け付けたフィルタ条件に含まれている指定情報が、フィルタ条件格納手段に格納されているいずれかのフィルタ条件に含まれている指定情報と同一であると判定された場合に、管理者にエラー通知を送信する判定結果通知手段、および競合判定手段によって、フィルタ条件受付手段が受け付けたフィルタ条件に含まれている指定情報が、フィルタ条件格納手段に格納されているいずれのフィルタ条件に含まれている指定情報とも異なると判定された場合に、フィルタ条件受付手段が受け付けたフィルタ条件を通信制御装置に設定するフィルタ条件設定手段を実現させることを特徴とするプログラムを提供する。

本発明のネットワーク制御装置によれば、フィルタ条件の競合を検出することができる。これにより、設定されたフィルタ条件による通信データの制御が適切に実行される。

以下、本発明の実施の形態について説明する。

図１は、本発明の一実施形態にかかるネットワークシステム１０の構成の一例を示すシステム構成図である。ネットワークシステム１０は、攻撃検出装置１２、複数のルータ１４、およびネットワーク制御装置２０を備える。

それぞれのルータ１４は、通信網１３および通信網１６に接続され、通信網１３と通信網１６間のルーティングを行う。ルータ１４と通信網１６との間にはＦＷ（ファイアウォール）１５が設けられる場合もある。通信網１６にはサーバやユーザ端末等のコンピュータ１７が接続されている。

通信制御装置の一例であるルータ１４およびＦＷ１５は、通信データを指定する指定情報および当該指定情報に該当する通信データの対処を含む１つ以上のフィルタ条件を有するＡＣＬを保持しており、通信網１３から通信網１６へ流入する通信データおよび通信網１６から通信網１３へ流出する通信データの中継または破棄等を制御する。

攻撃検出装置１２は、通信網１３内に流れる通信データをモニタすることによりＤｏＳ攻撃の有無を監視し、ＤｏＳ攻撃を検出した場合に、当該ＤｏＳ攻撃に使用されている通信データを指定する指定情報および当該指定情報に該当する通信データを破棄する旨を含むフィルタ条件を、当該フィルタ条件が設定されるべきルータ１４またはＦＷ１５の識別情報と共にネットワーク制御装置２０へ送る。攻撃検出装置１２によるＤｏＳ攻撃検出には、例えば特開２００６−２３７８９２号公報等に開示されている方法を用いることができる。

ネットワーク制御装置２０は、複数のルータ１４およびＦＷ１５等の通信制御装置毎に、当該通信制御装置に設定されているフィルタ条件を保持している。ネットワーク制御装置２０は、フィルタ条件と、当該フィルタ条件の設定先の通信制御装置の識別情報とを含むトラフィック制御指示を管理者１１または攻撃検出装置１２から受信した場合に、受信したトラフィック制御指示に含まれる通信制御装置の識別情報に対応するフィルタ条件を抽出する。

そして、ネットワーク制御装置２０は、受信したトラフィック制御指示に含まれるフィルタ条件内の指定情報が、抽出したフィルタ条件内の指定情報と異なる場合に、受信したトラフィック制御指示に含まれるフィルタ条件を、当該トラフィック制御指示に含まれる通信制御装置の識別情報に対応するルータ１４またはＦＷ１５に、通信網１３を介して設定する。そして、ネットワーク制御装置２０は、設定したフィルタ条件を、当該フィルタ条件が設定された通信制御装置の識別情報に対応付けて保持する。

受信したトラフィック制御指示に含まれるフィルタ条件内の指定情報が、抽出したフィルタ条件内の指定情報と同一である場合、ネットワーク制御装置２０は、既に設定されている旨のエラーを管理者１１に通知する。これにより、同一の通信データについて異なる対処を有するフィルタ条件が設定されることを防止することができる。そのため、設定されたフィルタ条件を適切に機能させることができると共に、同一内容のフィルタ条件を重複して登録するような記憶領域の無駄を省くことができる。また、同一の通信データについて異なる対処を有するフィルタ条件が設定されることを防止することができるので、ＡＣＬに設定されるフィルタ条件の順番を考慮する必要が無くなり、ルータ１４およびＦＷ１５等の通信制御装置のフィルタ条件の管理が容易になる。

図２は、ネットワーク制御装置２０の機能構成の一例を示すブロック図である。ネットワーク制御装置２０は、フィルタ条件受付部２１、判定結果通知部２２、フィルタ条件設定部２３、競合判定部２４、およびフィルタ条件格納部２５を備える。

フィルタ条件格納部２５には、例えば図３に示すように、それぞれの通信制御装置を識別する装置名２５０毎に、１つ以上のフィルタ条件２５１が格納される。それぞれのフィルタ条件２５１には、通信データを指定する指定情報２５２と、当該指定情報２５２に該当する通信データの対処２５３とが含まれる。指定情報２５２には、通信データが流入または流出するインターフェイスを識別するインターフェイス名２５４、当該インターフェイス名２５４を介して通信データが流れる方向２５５、通信データの宛先ＩＰアドレス２５６、通信データの送信元ＩＰアドレス２５７、および送信元ＩＰアドレス２５７における送信元プレフィックス長２５８が含まれる。

なお、通信データを特定する情報には、図３に示した例の他に、送信元のＭＡＣ（Media Access Control）アドレス、宛先のＭＡＣアドレス、送信元のポート番号、または宛先のポート番号等が含まれていてもよい。

フィルタ条件受付部２１は、管理者１１または攻撃検出装置１２から、フィルタ条件および当該フィルタ条件が設定されるべき通信制御装置の識別情報を含むトラフィック制御指示を受信し、受信したトラフィック制御指示を競合判定部２４に供給する。

フィルタ条件受付部２１が管理者１１または攻撃検出装置１２から受信するトラフィック制御指示は、例えば図４に示すようなＸＭＬ（eXtensible Markup Language）形式のデータ構造を有する。領域３１では、フィルタ条件を設定する対象の通信制御装置の装置名として”router01”が指定されている。領域３２では、通信データが流入または流出するインターフェイス名として”Ether01”が指定されており、当該インターフェイスを介して通信データが流れる方向として”out”が指定されている。

領域３３は、領域３４および領域３５で指定される情報がＩＰアドレスであることを示している。領域３４には、通信データの宛先ＩＰアドレスとして”192.168.0.100”が指定されている。領域３５には、”192.168.0.200”であってプレフィックス長が２４であるＩＰアドレス、すなわち、”192.168.0.0〜192.168.0.255”のＩＰアドレスが通信データの送信元ＩＰアドレスとして指定されている。領域３６には、領域３７に示された”drop”という対処を設定する旨が格納されている。

競合判定部２４は、図４に示すトラフィック制御指示３０をフィルタ条件受付部２１を介して受信した場合に、当該トラフィック制御指示３０内で指定されている通信制御装置の装置名に基づいて、当該装置名に対応するフィルタ条件をフィルタ条件格納部２５から抽出する。そして、競合判定部２４は、抽出したフィルタ条件の中から、トラフィック制御指示３０に指定されているインターフェイス名、方向、および宛先ＩＰアドレスと同一のインターフェイス名、方向、および宛先ＩＰアドレスを含むフィルタ条件をさらに抽出する。

そして、競合判定部２４は、抽出したフィルタ条件の中で、トラフィック制御指示３０で指定されている送信元ＩＰアドレスと同一の送信元ＩＰアドレスを含むフィルタ条件が存在するか否かを判定する。トラフィック制御指示３０で指定されている送信元ＩＰアドレスと同一の送信元ＩＰアドレスを含むフィルタ条件が存在する場合、競合判定部２４は、フィルタ条件が競合している旨と共に、競合している送信元ＩＰアドレスを示す情報を判定結果通知部２２へ送る。

なお、送信元ＩＰアドレスは、プレフィックス長を用いて連続する数値範囲として指定することができる。ここで、トラフィック制御指示３０で指定される送信元ＩＰアドレスの最大値をＩＰＡｍａｘ、最小値をＩＰＡｍｉｎとし、当該トラフィック制御指示３０で指定されている装置名に対応付けられてフィルタ条件格納部２５に格納されており、当該トラフィック制御指示３０で指定されているインターフェイス名、方向、および宛先ＩＰアドレスと同一のインターフェイス名、方向、および宛先ＩＰアドレスを含むフィルタ条件に設定されている送信元ＩＰアドレスの最大値をＩＰＢｍａｘ、最小値をＩＰＢｍｉｎとすると、トラフィック制御指示３０で指定されている送信元ＩＰアドレスとフィルタ条件格納部２５に設定されているフィルタ条件内の送信元ＩＰアドレスとが競合する場合は、例えば図５に示す４通りが考えられる。

図５において、上下方向はＩＰアドレスの値の大きさを示しており、上へいくほど値が大きいことを示している。図５（ａ）は、ＩＰＡｍｉｎ以上、かつ、ＩＰＡｍａｘ以下の範囲に、ＩＰＢｍｉｎ以上、かつ、ＩＰＢｍａｘ以下の範囲が含まれる場合を示しており、この場合は、ＩＰＢｍｉｎ以上、かつ、ＩＰＢｍａｘ以下の範囲が、送信元ＩＰアドレスが競合している範囲となる。

図５（ｂ）は、ＩＰＡｍａｘがＩＰＢｍａｘ以上であり、かつ、ＩＰＡｍｉｎがＩＰＢｍｉｎよりも大きい場合を示しており、この場合は、ＩＰＡｍｉｎ以上、かつ、ＩＰＢｍａｘ以下の範囲が、送信元ＩＰアドレスが競合している範囲となる。

図５（ｃ）は、ＩＰＡｍａｘがＩＰＢｍａｘ未満であり、かつ、ＩＰＡｍｉｎがＩＰＢｍｉｎ以下の場合を示しており、この場合は、ＩＰＢｍｉｎ以上、かつ、ＩＰＡｍａｘ以下の範囲が、送信元ＩＰアドレスが競合している範囲となる。

図５（ｄ）は、ＩＰＡｍｉｎ以上、かつ、ＩＰＡｍａｘ以下の範囲が、ＩＰＢｍｉｎ以上、かつ、ＩＰＢｍａｘ以下の範囲に含まれる場合を示しており、この場合は、ＩＰＡｍｉｎ以上、かつ、ＩＰＡｍａｘ以下の範囲が、送信元ＩＰアドレスが競合している範囲となる。

送信元ＩＰアドレスが数値範囲で設定されており、競合する送信元ＩＰアドレスを数値範囲で特定することができる場合には、競合判定部２４は、送信元ＩＰアドレスが競合している旨と共に、競合している送信元ＩＰアドレスの数値範囲の最大値と最小値とを示す情報を判定結果通知部２２へ送る。

トラフィック制御指示３０で指定された装置名に対応するフィルタ条件がフィルタ条件格納部２５内に存在しない場合、または、トラフィック制御指示３０に指定されているインターフェイス名、方向、宛先ＩＰアドレス、および送信元ＩＰアドレスと同一のインターフェイス名、方向、宛先ＩＰアドレス、および送信元ＩＰアドレスを含むフィルタ条件がフィルタ条件格納部２５内に存在しない場合、競合判定部２４は、フィルタ条件の競合がない旨を判定結果通知部２２に通知する。

そして、競合判定部２４は、トラフィック制御指示３０内の情報をフィルタ条件格納部２５に登録すると共に、トラフィック制御指示３０をフィルタ条件設定部２３へ送る。フィルタ条件設定部２３は、通信網１３を介して、トラフィック制御指示３０で指定されている通信制御装置に、当該トラフィック制御指示３０で指定されているフィルタ条件を設定する。フィルタ条件設定部２３は、例えばＩＥＴＦ ＲＦＣ４７４１で規定されているＮＥＴＣＯＮＦを用いて、通信網１３を介して通信制御装置にフィルタ条件を設定する。

判定結果通知部２２は、フィルタ条件の競合がない旨を競合判定部２４から通知された場合に、例えば図６に示すようなデータ構造の判定結果４０を管理者１１へ送信する。図６に示した例では、判定結果４０はＸＭＬ形式で記述されており、領域４１に競合がない旨が記述されている。

また、送信元ＩＰアドレスが競合している旨と共に、送信元ＩＰアドレスの数値範囲の最大値と最小値とを示す情報を競合判定部２４から受信した場合、判定結果通知部２２は、例えば図７に示すようなデータ構造の判定結果４０を管理者１１へ送信する。図７に示した例では、判定結果４０はＸＭＬ形式で記述されており、領域４２にフィルタ条件の競合がある旨が記述されており、領域４３に送信元ＩＰアドレスの最小値が記述され、領域４４に送信元ＩＰアドレスの最大値が記述される。図７に示した例では、ＩＰＢｍｉｎ以上、かつ、ＩＰＢｍａｘ以下の送信元ＩＰアドレスについてのフィルタ条件が競合している旨が示されている。

なお、競合判定部２４は、送信元ＩＰアドレスが競合しているフィルタ条件に含まれる対処を判定結果通知部２２にさらに通知し、判定結果通知部２２は、送信元ＩＰアドレスが競合している旨、および、送信元ＩＰアドレスの数値範囲の最大値と最小値とを示す情報に加えて、競合しているフィルタ条件に既に設定されている対処を管理者１１に通知するようにしてもよい。

これにより、競合しているフィルタ条件と同一の対処を設定しようとしていた場合には、同一のフィルタ条件が設定される無駄を省くことができ、異なる対処を設定しようとしていた場合には、フィルタ条件の矛盾や設定ミスの発見につながることが期待できる。

図８は、ネットワーク制御装置２０の動作の一例を示すフローチャートである。管理者１１または攻撃検出装置１２からトラフィック制御指示を受信することにより、ネットワーク制御装置２０は本フローチャートに示す動作を開始する。

まず、競合判定部２４は、フィルタ条件受付部２１を介して、入力されたトラフィック制御指示を受け取り、受け取ったトラフィック制御指示に含まれている装置名に対応付けられているフィルタ条件を抽出し、抽出したフィルタ条件の中で、トラフィック制御指示に含まれているインターフェイス名、方向、および宛先ＩＰアドレスを含むフィルタ条件が存在するか否かを判定する（Ｓ１００）。

トラフィック制御指示に含まれている装置名に対応付けられているフィルタ条件がフィルタ条件格納部２５内に存在しない場合、または、トラフィック制御指示に含まれているインターフェイス名、方向、および宛先ＩＰアドレスを含むフィルタ条件が、トラフィック制御指示に含まれている装置名に対応付けられたフィルタ条件の中に存在しない場合（Ｓ１００：Ｎｏ）、競合判定部２４は、フィルタ条件に競合がない旨を判定結果通知部２２に通知する。判定結果通知部２２は、図６に示すような判定結果を管理者１１へ送信し（Ｓ１０６）、ステップＳ１０７に示す処理を実行する。

トラフィック制御指示に含まれているインターフェイス名、方向、および宛先ＩＰアドレスを含むフィルタ条件が、トラフィック制御指示に含まれている装置名に対応付けられたフィルタ条件の中に存在する場合（Ｓ１００：Ｙｅｓ）、競合判定部２４は、該当するフィルタ条件の中で、未選択のフィルタ条件を１つ選択し（Ｓ１０１）、後述する競合判定処理を実行する（Ｓ２００）。

次に、競合判定部２４は、ステップＳ２００の処理の結果、トラフィック制御指示で指定される送信元ＩＰアドレスと、ステップＳ１０１で選択したフィルタ条件に含まれる送信元アドレスとに、競合するＩＰアドレスが存在すると判定されたいか否かを判定する（Ｓ１０２）。送信元ＩＰアドレスに競合がない場合（Ｓ１０２：Ｎｏ）、競合判定部２４は、フィルタ条件に競合がない旨を判定結果通知部２２に通知する。判定結果通知部２２は、図６に示すような判定結果を管理者１１へ送信し（Ｓ１０４）、ステップＳ１０５に示す処理を実行する。

送信元ＩＰアドレスに競合がある場合（Ｓ１０２：Ｙｅｓ）、競合判定部２４は、フィルタ条件に競合がある旨と共に、競合している送信元ＩＰアドレスの最大値と最小値とを示す情報を判定結果通知部２２へ送る。判定結果通知部２２は、図７に示す判定結果を管理者１１へ送信する（Ｓ１０３）。

次に、競合判定部２４は、ステップＳ１００の判定に該当するフィルタ条件をステップＳ１０１において全て選択したか否かを判定する（Ｓ１０５）。未選択のフィルタ条件がある場合（Ｓ１０５：Ｎｏ）、競合判定部２４は、再びステップＳ１０１に示した処理を実行する。

ステップＳ１００の判定に該当するフィルタ条件をステップＳ１０１において全て選択した場合（Ｓ１０５：Ｙｅｓ）、競合判定部２４は、トラフィック制御指示の中に送信元ＩＰアドレスが競合していないフィルタ条件が存在するか否かを判定する（Ｓ１０７）。トラフィック制御指示の中に送信元ＩＰアドレスが競合していないフィルタ条件が存在しない場合（Ｓ１０７：Ｎｏ）、ネットワーク制御装置２０は、本フローチャートに示す動作を終了する。

トラフィック制御指示の中に送信元ＩＰアドレスが競合していないフィルタ条件が存在する場合（Ｓ１０７：Ｙｅｓ）、競合判定部２４は、該当するフィルタ条件をフィルタ条件格納部２５に登録すると共に、フィルタ条件設定部２３へ送る。フィルタ条件設定部２３は、競合判定部２４から受け取ったフィルタ条件を対応する通信制御装置に設定し（Ｓ１０８）、ネットワーク制御装置２０は、本フローチャートに示す動作を終了する。

図９は、競合判定処理（Ｓ２００）の一例を示すフローチャートである。なお、本フローチャートでは、トラフィック制御指示に含まれる送信元ＩＰアドレスと、フィルタ条件格納部２５内のフィルタ条件に含まれる送信元ＩＰアドレスとが数値範囲で設定されている場合を想定している。

まず、競合判定部２４は、トラフィック制御指示に含まれている送信元ＩＰアドレスの最大値および最小値を、それぞれ、ＩＰＡｍａｘおよびＩＰＡｍｉｎとする（Ｓ２０１）。そして、競合判定部２４は、Ｓ１０１で選択したフィルタ条件に含まれている送信元ＩＰアドレスの最大値および最小値を、それぞれ、ＩＰＢｍａｘおよびＩＰＢｍｉｎとする（Ｓ２０２）。

次に、競合判定部２４は、ＩＰＡｍａｘがＩＰＢｍｉｎ未満か否かを判定する（Ｓ２０３）。ＩＰＡｍａｘがＩＰＢｍｉｎ未満である場合（Ｓ２０３：Ｙｅｓ）、競合判定部２４は、送信元ＩＰアドレスの競合なしと判定し（Ｓ２１２）、本フローチャートに示す競合判定処理を終了する。

ＩＰＡｍａｘがＩＰＢｍｉｎ以上である場合（Ｓ２０３：Ｎｏ）、競合判定部２４は、ＩＰＡｍｉｎがＩＰＢｍｉｎ以下か否かを判定する（Ｓ２０４）。ＩＰＡｍｉｎがＩＰＢｍｉｎ以下である場合（Ｓ２０４：Ｙｅｓ）、競合判定部２４は、ＩＰＢｍａｘがＩＰＡｍａｘ以下であるか否かを判定する（Ｓ２０５）。

ＩＰＢｍａｘがＩＰＡｍａｘ以下である場合（Ｓ２０５：Ｙｅｓ）、競合判定部２４は、ＩＰＡｍｉｎ以上、かつ、ＩＰＢｍｉｎ未満の範囲、および、ＩＰＢｍａｘより大きく、かつ、ＩＰＡｍａｘ以下の範囲に送信元ＩＰアドレスの競合がなく、ＩＰＢｍｉｎ以上、かつ、ＩＰＢｍａｘ以下の範囲に送信元ＩＰアドレスの競合があると判定し、本フローチャートに示す競合判定処理を終了する。この場合のＩＰＡｍａｘ、ＩＰＡｍｉｎ、ＩＰＢｍａｘ、およびＩＰＢｍｉｎの関係を図示すると、例えば図５（ａ）のようになる。

ＩＰＢｍａｘがＩＰＡｍａｘよりも大きい場合（Ｓ２０５：Ｎｏ）、競合判定部２４は、ＩＰＡｍｉｎ以上、かつ、ＩＰＢｍｉｎ未満の範囲、および、ＩＰＡｍａｘより大きく、かつ、ＩＰＢｍａｘ以下の範囲に送信元ＩＰアドレスの競合がなく、ＩＰＢｍｉｎ以上、かつ、ＩＰＡｍａｘ以下の範囲に送信元ＩＰアドレスの競合があると判定し、本フローチャートに示す競合判定処理を終了する。この場合のＩＰＡｍａｘ、ＩＰＡｍｉｎ、ＩＰＢｍａｘ、およびＩＰＢｍｉｎの関係を図示すると、例えば図５（ｃ）のようになる。

ステップＳ２０４において、ＩＰＡｍｉｎがＩＰＢｍｉｎより大きい場合（Ｓ２０４：Ｎｏ）、競合判定部２４は、ＩＰＢｍａｘがＩＰＡｍｉｎ未満であるか否かを判定する（Ｓ２０８）。ＩＰＢｍａｘがＩＰＡｍｉｎ未満である場合（Ｓ２０８：Ｙｅｓ）、競合判定部２４は、ステップＳ２１２に示した処理を実行する。ＩＰＢｍａｘがＩＰＡｍｉｎ以上である場合（Ｓ２０８：Ｎｏ）、競合判定部２４は、ＩＰＢｍａｘがＩＰＡｍａｘ以下であるか否かを判定する（Ｓ２０９）。

ＩＰＢｍａｘがＩＰＡｍａｘ以下である場合（Ｓ２０９：Ｙｅｓ）、競合判定部２４は、ＩＰＢｍｉｎ以上、かつ、ＩＰＡｍｉｎ未満の範囲、および、ＩＰＢｍａｘより大きく、かつ、ＩＰＡｍａｘ以下の範囲に送信元ＩＰアドレスの競合がなく、ＩＰＡｍｉｎ以上、かつ、ＩＰＢｍａｘ以下の範囲に送信元ＩＰアドレスの競合があると判定し、本フローチャートに示す競合判定処理を終了する。この場合のＩＰＡｍａｘ、ＩＰＡｍｉｎ、ＩＰＢｍａｘ、およびＩＰＢｍｉｎの関係を図示すると、例えば図５（ｂ）のようになる。

ＩＰＢｍａｘがＩＰＡｍａｘよりも大きい場合（Ｓ２０９：Ｎｏ）、競合判定部２４は、ＩＰＢｍｉｎ以上、かつ、ＩＰＡｍｉｎ未満の範囲、および、ＩＰＡｍａｘより大きく、かつ、ＩＰＢｍａｘ以下の範囲に送信元ＩＰアドレスの競合がなく、ＩＰＡｍｉｎ以上、かつ、ＩＰＡｍａｘ以下の範囲に送信元ＩＰアドレスの競合があると判定し、本フローチャートに示す競合判定処理を終了する。この場合のＩＰＡｍａｘ、ＩＰＡｍｉｎ、ＩＰＢｍａｘ、およびＩＰＢｍｉｎの関係を図示すると、例えば図５（ｄ）のようになる。

図１０は、ネットワーク制御装置２０の機能を実現するコンピュータ５０の一例を示すハードウェア構成図である。コンピュータ５０は、ＣＰＵ（Central Processing Unit）５１、ＲＡＭ（Random Access Memory）５２、ＲＯＭ（Read Only Memory）５３、ＨＤＤ（Hard Disk Drive）５４、通信インターフェイス（Ｉ／Ｆ）５５、入出力インターフェイス（Ｉ／Ｆ）５６、およびメディアインターフェイス（Ｉ／Ｆ）５７を備える。

ＣＰＵ５１は、ＲＯＭ５３またはＨＤＤ５４に格納されたプログラムに基づいて動作し、各部の制御を行う。ＲＯＭ５３は、コンピュータ５０の起動時にＣＰＵ５１が実行するブートプログラムや、コンピュータ５０のハードウェアに依存するプログラム等を格納する。

ＨＤＤ５４は、ＣＰＵ５１によって実行されるプログラムを格納する。通信インターフェイス５５は、通信網１３を介して他の機器からデータを受信してＣＰＵ５１へ送ると共に、ＣＰＵ５１が生成したデータを、通信網１３を介して他の機器へ送信する。

ＣＰＵ５１は、入出力インターフェイス５６を介して、モニタやプリンタ等の出力装置、および、キーボードやマウス等の入力装置を制御する。ＣＰＵ５１は、入出力インターフェイス５６を介して、入力装置からデータを取得する。また、ＣＰＵ５１は、生成したデータを、入出力インターフェイス５６を介して出力装置へ出力する。

メディアインターフェイス５７は、記録媒体５８に格納されたプログラムまたはデータを読み取り、ＲＡＭ５２に提供する。ＲＡＭ５２を介してＣＰＵ５１に提供されるプログラムは、記録媒体５８に格納されている。当該プログラムは、記録媒体５８から読み出されて、ＲＡＭ５２を介してコンピュータ５０にインストールされ、ＣＰＵ５１によって実行される。記録媒体５８は、例えばＤＶＤ（Digital Versatile Disk）、ＰＤ（Phase change rewritable Disk）等の光学記録媒体、ＭＯ（Magneto-Optical disk）等の光磁気記録媒体、テープ媒体、磁気記録媒体、または半導体メモリ等である。

コンピュータ５０にインストールされて実行されるプログラムは、コンピュータ５０を、フィルタ条件受付部２１、判定結果通知部２２、フィルタ条件設定部２３、競合判定部２４、およびフィルタ条件格納部２５として機能させる。

コンピュータ５０は、これらのプログラムを、記録媒体５８から読み取って実行するが、他の例として、他の装置から、通信媒体を介してこれらのプログラムを取得してもよい。通信媒体とは、通信網１３、または、当該通信網１３を伝搬するディジタル信号もしくは搬送波を指す。

以上、本発明の実施の形態について説明した。

上記説明から明らかなように、本実施形態のネットワーク制御装置２０によれば、入力されたフィルタ条件と既に設定されているフィルタ条件との競合を検出することができる。これにより、設定されたフィルタ条件による通信データの制御が適切に実行される。

なお、本発明は、上記した実施形態に限定されるものではなく、その要旨の範囲内で数々の変形が可能である。

例えば、上記した実施形態において、ネットワーク制御装置２０は、管理者１１および攻撃検出装置１２からトラフィック制御指示を受け付けるが、管理者１１または攻撃検出装置１２のいずれか一方からのみトラフィック制御指示を受け付けるように構成されていてもよい。上記した実施形態において、攻撃検出装置１２とネットワーク制御装置２０とが１つの装置として実現されてもよい。

本発明の一実施形態にかかるネットワークシステム１０の構成の一例を示すシステム構成図である。 ネットワーク制御装置２０の機能構成の一例を示すブロック図である。 フィルタ条件格納部２５に格納されるデータ構造の一例を示す図である。 トラフィック制御指示３０のデータ構造の一例を示す図である。 新たに設定されるフィルタ条件のＩＰアドレスと、既に設定されているフィルタ条件のＩＰアドレスとの競合を説明するための概念図である。 競合が検出されなかった場合に送信される判定結果４０のデータ構造の一例を示す図である。 競合が検出された場合に送信される判定結果４０のデータ構造の一例を示す図である。 ネットワーク制御装置２０の動作の一例を示すフローチャートである。 競合判定処理（Ｓ２００）の一例を示すフローチャートである。 ネットワーク制御装置２０の機能を実現するコンピュータ５０の一例を示すハードウェア構成図である。 ＡＣＬ６０のデータ構造の一例を示す図である。

符号の説明

１０・・・ネットワークシステム、１１・・・管理者、１２・・・攻撃検出装置、１３・・・通信網、１４・・・ルータ、１５・・・ＦＷ、１６・・・通信網、１７・・・コンピュータ、２０・・・ネットワーク制御装置、２１・・・フィルタ条件受付部、２２・・・判定結果通知部、２３・・・フィルタ条件設定部、２４・・・競合判定部、２５・・・フィルタ条件格納部、２５０・・・装置名、２５１・・・フィルタ条件、２５２・・・指定情報、２５３・・・対処、２５４・・・インターフェイス名、２５５・・・方向、２５６・・・宛先ＩＰアドレス、２５７・・・送信元ＩＰアドレス、２５８・・・送信元プレフィックス長、３０・・・トラフィック制御指示、４０・・・判定結果、５０・・・コンピュータ、５１・・・ＣＰＵ、５２・・・ＲＡＭ、５３・・・ＲＯＭ、５４・・・ＨＤＤ、５５・・・通信インターフェイス、５６・・・入出力インターフェイス、５７・・・メディアインターフェイス、５８・・・記録媒体、６０・・・ＡＣＬ、６１・・・ＡＣＬ番号、６２・・・フィルタ条件、６３・・・指定情報、６４・・・対処方法、６５・・・送信元ＩＰアドレス、６６・・・宛先ＩＰアドレス

Claims (6)

1. 通信データの一部を指定する指定情報と、当該指定情報に該当する通信データの対処方法とを含むフィルタ条件を外部から受け付け、受け付けたフィルタ条件を通信制御装置に設定するネットワーク制御装置であって、
   外部からフィルタ条件を受け付けるフィルタ条件受付手段と、
   前記通信制御装置に設定されているフィルタ条件を格納するフィルタ条件格納手段と、
   前記フィルタ条件受付手段が外部からフィルタ条件を受け付けた場合に、前記フィルタ条件格納手段を参照して、前記フィルタ条件受付手段が受け付けたフィルタ条件に含まれている指定情報が、前記フィルタ条件格納手段に格納されているいずれかのフィルタ条件に含まれている指定情報と同一であるか否かを判定する競合判定手段と、
   前記競合判定手段によって、前記フィルタ条件受付手段が受け付けたフィルタ条件に含まれている指定情報が、前記フィルタ条件格納手段に格納されているいずれかのフィルタ条件に含まれている指定情報と同一であると判定された場合に、管理者にエラー通知を送信する判定結果通知手段と、
   前記競合判定手段によって、前記フィルタ条件受付手段が受け付けたフィルタ条件に含まれている指定情報が、前記フィルタ条件格納手段に格納されているいずれのフィルタ条件に含まれている指定情報とも異なると判定された場合に、前記フィルタ条件受付手段が受け付けたフィルタ条件を前記通信制御装置に設定するフィルタ条件設定手段と
   を備えることを特徴とするネットワーク制御装置。
2. 請求項１に記載のネットワーク制御装置であって、
   前記エラー通知には、前記フィルタ条件受付手段が受け付けたフィルタ条件に含まれている指定情報と同一の指定情報を含むと判定されたフィルタ条件に含まれる対処方法が含まれることを特徴とするネットワーク制御装置。
3. 請求項１または２に記載のネットワーク制御装置であって、
   前記指定情報には、少なくとも、送信元のＭＡＣアドレス、宛先のＭＡＣアドレス、送信元のＩＰアドレス、宛先のＩＰアドレス、送信元のポート番号、宛先のポート番号のいずれかが含まれることを特徴とするネットワーク制御装置。
4. 請求項１から３のいずれか一項に記載のネットワーク制御装置であって、
   前記フィルタ条件受付手段は、管理者、または、所定時間以内に特定の宛先へ送信された通信データの数に基づいて当該特定の宛先のサーバへの攻撃を検出する攻撃検出装置の少なくとも一方からフィルタ条件を受け付けることを特徴とするネットワーク制御装置。
5. 通信データの一部を指定する指定情報と、当該指定情報に該当する通信データの対処方法とを含むフィルタ条件を外部から受け付け、受け付けたフィルタ条件を通信制御装置に設定するネットワーク制御装置におけるネットワーク制御方法であって、
   前記ネットワーク制御装置が、
   外部からフィルタ条件を受け付けるステップと、
   前記通信制御装置に設定されているフィルタ条件をフィルタ条件格納手段に格納するステップと、
   外部からフィルタ条件を受け付けた場合に、前記フィルタ条件格納手段を参照して、受け付けたフィルタ条件に含まれている指定情報が、前記フィルタ条件格納手段に格納されているいずれかのフィルタ条件に含まれている指定情報と同一であるか否かを判定するステップと、
   受け付けたフィルタ条件に含まれている指定情報が、前記フィルタ条件格納手段に格納されているいずれかのフィルタ条件に含まれている指定情報と同一であると判定された場合に、管理者にエラー通知を送信するステップと、
   受け付けたフィルタ条件に含まれている指定情報が、前記フィルタ条件格納手段に格納されているいずれのフィルタ条件に含まれている指定情報とも異なると判定された場合に、受け付けたフィルタ条件を前記通信制御装置に設定するステップと
   を実行することを特徴とするネットワーク制御方法。
6. コンピュータを、通信データの一部を指定する指定情報と、当該指定情報に該当する通信データの対処方法とを含むフィルタ条件を外部から受け付け、受け付けたフィルタ条件を通信制御装置に設定するネットワーク制御装置として機能させるプログラムであって、
   前記コンピュータに、
   外部からフィルタ条件を受け付けるフィルタ条件受付手段、
   前記通信制御装置に設定されているフィルタ条件を格納するフィルタ条件格納手段、
   前記フィルタ条件受付手段が外部からフィルタ条件を受け付けた場合に、前記フィルタ条件格納手段を参照して、前記フィルタ条件受付手段が受け付けたフィルタ条件に含まれている指定情報が、前記フィルタ条件格納手段に格納されているいずれかのフィルタ条件に含まれている指定情報と同一であるか否かを判定する競合判定手段、
   前記競合判定手段によって、前記フィルタ条件受付手段が受け付けたフィルタ条件に含まれている指定情報が、前記フィルタ条件格納手段に格納されているいずれかのフィルタ条件に含まれている指定情報と同一であると判定された場合に、管理者にエラー通知を送信する判定結果通知手段、および
   前記競合判定手段によって、前記フィルタ条件受付手段が受け付けたフィルタ条件に含まれている指定情報が、前記フィルタ条件格納手段に格納されているいずれのフィルタ条件に含まれている指定情報とも異なると判定された場合に、前記フィルタ条件受付手段が受け付けたフィルタ条件を前記通信制御装置に設定するフィルタ条件設定手段
   を実現させることを特徴とするプログラム。

Images