JP2009284529A - 帯域制御装置、帯域制御方法及び帯域制御プログラム - Google Patents
帯域制御装置、帯域制御方法及び帯域制御プログラム Download PDFInfo
- Publication number
- JP2009284529A JP2009284529A JP2009193341A JP2009193341A JP2009284529A JP 2009284529 A JP2009284529 A JP 2009284529A JP 2009193341 A JP2009193341 A JP 2009193341A JP 2009193341 A JP2009193341 A JP 2009193341A JP 2009284529 A JP2009284529 A JP 2009284529A
- Authority
- JP
- Japan
- Prior art keywords
- data
- smtp
- unit
- application
- bandwidth control
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Pending
Links
Images
Landscapes
- Data Exchanges In Wide-Area Networks (AREA)
Abstract
【課題】特定のアプリケーションレイヤレベルのトラフィックに対して自律的に規制をかけ、ネットワークリソースを公平に利用させる帯域制御装置を提供する。
【解決手段】帯域制御装置は、情報処理装置から送信されるデータのアプリケーションレイヤレベルのデータ内容を検査し、規制対象となるデータを検知した場合に、該検知した規制対象となるデータに対して、規定値の遅延を付加させ、検知した規制対象となるデータのＬ３トラフィックと、Ｌ４コネクションと、アプリケーションレイヤレベルのトランザクションと、の少なくとも１つに対して処理時間を増大させる規制制御を行う。
【選択図】図１
【解決手段】帯域制御装置は、情報処理装置から送信されるデータのアプリケーションレイヤレベルのデータ内容を検査し、規制対象となるデータを検知した場合に、該検知した規制対象となるデータに対して、規定値の遅延を付加させ、検知した規制対象となるデータのＬ３トラフィックと、Ｌ４コネクションと、アプリケーションレイヤレベルのトランザクションと、の少なくとも１つに対して処理時間を増大させる規制制御を行う。
【選択図】図１
Description
本発明は、帯域制御装置、その帯域制御装置における帯域制御方法及び帯域制御プログラムに関するものである。
現在、インターネットの利用者は増加の一途をたどっており、コミュニケーションの一手段として、電子メールを利用する利用者の数も増大している。とりわけ、携帯電話の利用者の急増により、コンピュータ同士間によるメールトラフィックの増加に加えて、携帯電話によるメールトラフィックも増加しているのが現状である。
なお、電子メールの有用な機能の１つに同報機能がある。近年、この同報機能を利用し、不特定多数のユーザに向けて広告等のダイレクトメールが送信されるケースが急増している。なお、このような迷惑メールをＳＰＡＭメールと称す。
このＳＰＡＭメールは、大量のメールトラフィックの要因となり、さらに、ＳＰＡＭメールにはメールの到達を確認するためのアドレスが必ずしも記載されているとは限らず、大量の未送達メールが発生する場合がある。未送達メールの処理が過大になると、受信サーバにとってはＤｏｓアタック（Ｄｅｎｙ Ｏｆ Ｓｅｒｖｉｃｅ Ａｔｔａｃｋ）（サービス拒否攻撃）の原因となる。このため、ＳＰＡＭメールの配信処理、及び、未送達メールの返信処理のためにＩＳＰ（Ｉｎｔｅｒｎｅｔ Ｓｅｒｖｉｃｅ Ｐｒｏｖｉｄｅｒ）やキャリア、企業等は、メールサーバの増設を行わなければならない。
以下、図１、図２を参照しながら、従来のメール配信システムの概略について説明する。なお、以下の処理動作は、ＳＭＴＰ（Ｓｉｍｐｌｅ Ｍａｉｌ Ｔｒａｎｓｆｅｒ Ｐｒｏｔｏｃｏｌ）をメールの転送プロトコルとして使用した場合を例にとり説明する。
図１に示すメール配信システムは、ＩＳＰ、キャリア、企業等の管理下に設けられているネットワーク管理ドメイン（３）の境界に、ルータ（１０１）を配置し、管理ドメイン（３）内に、メールサーバ（以下、ＭＴＡ（Ｍｅｓｓａｇｅ Ｔｒａｎｓｆｅｒ Ａｇｅｎｔ）と称す）（２−１〜２−３）を配備している。また、管理ドメイン（３）外にはＭＴＡ（２−４、２−５）が存在する構成となっている。なお、ＭＴＡ（２−４）は、悪意を持ったユーザが使用するものとし、ＭＴＡ（２−５）は、通常のユーザが管理するものとする。なお、図１のメール配信システムでは、ＭＴＡ（２−４、２−５）から管理ドメイン（３）内のＭＴＡ（２−２）に対してメール配送が行われている例を示している。
通常のルータ（１０１）は、ルータ（１０１）自身に流入されるトラフィックがメールトラフィックであるか否かを識別せずに、ＩＰアドレスを基に管理ドメイン（３）内のＭＴＡ（２−１〜２−３）に対してトラフィックを配送する。このため、ルータ（１０１）は、ＭＴＡ（２−４）から大量のＳＭＴＰトラフィック（１０２）が流入されると、その流入されたＳＭＴＰトラフィック（１０２）をＭＴＡ（２−２）に配送することになる。
また、ルータ（１０１）は、ＭＴＡ（２−５）からもＳＭＴＰトラフィック（１０３）が流入されると、その流入されたＳＭＴＰトラフィック（１０３）をＭＴＡ（２−２）に配送することになる。このとき、ルータ（１０１）からＭＴＡ（２−２）に配送されるＳＭＴＰトラフィック（１０２）の量が多くなり、ＭＴＡ（２−２）において、ルータ（１０１）から配送されるＳＭＴＰトラフィック（１０２）を処理することが出来なくなると、ＭＴＡ（２−２）は、ルータ（１０１）を介してＭＴＡ（２−５）から配送されるＳＭＴＰトラフィック（１０３）を受け付けられなくなる。
また、ルータ（１０１）自身もＭＴＡ（２−４）から流入されるＳＭＴＰトラフィック（１０２）の転送処理に集中してしまうと、他のユーザであるＭＴＡ（２−５）からＳＭＴＰトラフィック（１０３）が流入された際に、その流入されたＳＭＴＰトラフィック（１０３）をＭＴＡ（２−２）に配送する処理がＳＭＴＰトラフィック（１０２）により妨げられてしまうことになる。
このように、単にルータ（１０１）が配備されているだけのメール配信システムでは、大量のＳＰＡＭメール配信のトラフィックを制御することができないことになる。
また、近年では、メールトラフィックを識別する装置としてＬ４レイヤを識別できるファイアウォールがある。しかしながら、ファイアウォールはアプリケーションレイヤレベルの内容までは精査しないため、ファイアウォールでは外部から転送されたメールがＳＰＡＭメールか否かを判定することはできないことになる。
なお、図２のメール配信システムは、管理ドメイン（３）内のＭＴＡ（２−２）がメール配信サーバとなったケースを示している。ＩＳＰやキャリアが、サーバのホスティングサービスを行っているケースでは、そのサービスと契約した外部のユーザが管理ドメイン（３）内のＭＴＡ（２−２）を用いてＳＰＡＭメールの配信を行うケースも想定される。図２では、ＭＴＡ（２−２）からＭＴＡ（２−４）やＭＴＡ（２−５）に向けて大量のＳＭＴＰトラフィック（１０４）が配信され、ＭＴＡ（２−１）から配信されたＳＭＴＰトラフィック（１０６）と、ＭＴＡ（２−３）から配信されたＳＭＴＰトラフィック（１０５）と、がルータ（１０１）で圧迫されている状態が示されている。
なお、本発明より先に出願された技術文献として、正規利用者の通信トラフィックを確保しながら、分散型サービス不能攻撃（ＤＤｏｓ攻撃）の攻撃トラフィックの伝送帯域を制限することを可能とするものがあり、例えば、ゲート装置において、ＤＤｏｓ攻撃の攻撃容疑パケットを検出すると、上流の通信装置に対して攻撃容疑パケットの伝送帯域制限値を通知し、上流の通信装置は、攻撃容疑パケットの伝送帯域を受信した伝送帯域制限値に制限しながら、更に上流の通信装置に対して伝送帯域制限値の通知を最上流まで繰り返し、各通信装置が攻撃容疑パケットの伝送帯域を制限するものがある（例えば、特許文献１、２参照）。
また、ゲート装置において、ＤＤｏｓ攻撃の攻撃容疑パケットを検出すると、上流の通信装置に対して攻撃容疑パケットの容疑シグネチャと正規条件とを送信し、上流の通信装置は、容疑シグネチャで識別されるパケットの伝送帯域を制限しながら、正規条件と容疑シグネチャとを基に生成される正規シグネチャで識別されるパケットの伝送帯域制限を解除しつつ、更に、上流の通信装置に対して容疑シグネチャと正規条件との送信を最上流まで繰り返し、各通信装置が攻撃容疑パケットの帯域制限を実施しながら、攻撃容疑パケットから攻撃パケットを検出して、更に帯域を制限するものがある（例えば、特許文献３参照）。
しかしながら、上記特許文献１〜３は、攻撃容疑パケットを検出した時に、攻撃容疑パケットの伝送帯域を制限しているが、ゲート装置が上流の通信装置に対して攻撃容疑パケットの伝送帯域を制限する情報を送信することで、各通信装置が攻撃容疑パケットの伝送帯域を制限していることから、１つの装置内で攻撃容疑パケットの伝送帯域を制限することは困難であると考えられる。
本発明は、上記事情に鑑みてなされたものであり、特定のアプリケーションレイヤレベルのトラフィックに対して自律的に規制をかけ、ネットワークリソースを公平に利用させることを可能とする帯域制御装置、帯域制御方法及び帯域制御プログラムを提供することを目的とするものである。
かかる目的を達成するために本発明は以下の特徴を有することとする。
本発明にかかる帯域制御装置は、
ネットワークを介して接続される情報処理装置間に配設する帯域制御装置であって、
前記情報処理装置から送信されるデータのアプリケーションレイヤレベルのデータ内容を検査し、規制対象となるデータを検知した場合に、該検知した規制対象となるデータに対して、規定値の遅延を付加させ、前記検知した規制対象となるデータのＬ３トラフィックと、Ｌ４コネクションと、アプリケーションレイヤレベルのトランザクションと、の少なくとも１つに対して処理時間を増大させる規制制御を行うことを特徴とする。
ネットワークを介して接続される情報処理装置間に配設する帯域制御装置であって、
前記情報処理装置から送信されるデータのアプリケーションレイヤレベルのデータ内容を検査し、規制対象となるデータを検知した場合に、該検知した規制対象となるデータに対して、規定値の遅延を付加させ、前記検知した規制対象となるデータのＬ３トラフィックと、Ｌ４コネクションと、アプリケーションレイヤレベルのトランザクションと、の少なくとも１つに対して処理時間を増大させる規制制御を行うことを特徴とする。
本発明にかかる帯域制御装置は、
ネットワークを介して接続される情報処理装置間に配設する帯域制御装置であって、
アプリケーションレイヤレベルのデータの遷移状態を監視し、規制対象となるデータを検知した場合に、該検知した規制対象となるデータに対して、規定値の遅延を付加させ、前記検知した規制対象となるデータのＬ３トラフィックと、Ｌ４コネクションと、アプリケーションレイヤレベルのトランザクションと、の少なくとも１つに対して処理時間を増大させる規制制御を行うことを特徴とする。
ネットワークを介して接続される情報処理装置間に配設する帯域制御装置であって、
アプリケーションレイヤレベルのデータの遷移状態を監視し、規制対象となるデータを検知した場合に、該検知した規制対象となるデータに対して、規定値の遅延を付加させ、前記検知した規制対象となるデータのＬ３トラフィックと、Ｌ４コネクションと、アプリケーションレイヤレベルのトランザクションと、の少なくとも１つに対して処理時間を増大させる規制制御を行うことを特徴とする。
本発明にかかる帯域制御方法は、
ネットワークを介して接続される情報処理装置間に配設する帯域制御装置で行う帯域制御方法であって、
前記情報処理装置から送信されるデータのアプリケーションレイヤレベルのデータ内容を検査し、規制対象となるデータを検知した場合に、該検知した規制対象となるデータに対して、規定値の遅延を付加させ、前記検知した規制対象となるデータのＬ３トラフィックと、Ｌ４コネクションと、アプリケーションレイヤレベルのトランザクションと、の少なくとも１つに対して処理時間を増大させる規制制御を行うことを特徴とする。
ネットワークを介して接続される情報処理装置間に配設する帯域制御装置で行う帯域制御方法であって、
前記情報処理装置から送信されるデータのアプリケーションレイヤレベルのデータ内容を検査し、規制対象となるデータを検知した場合に、該検知した規制対象となるデータに対して、規定値の遅延を付加させ、前記検知した規制対象となるデータのＬ３トラフィックと、Ｌ４コネクションと、アプリケーションレイヤレベルのトランザクションと、の少なくとも１つに対して処理時間を増大させる規制制御を行うことを特徴とする。
本発明にかかる帯域制御方法は、
ネットワークを介して接続される情報処理装置間に配設する帯域制御装置で行う帯域制御方法であって、
アプリケーションレイヤレベルのデータの遷移状態を監視し、規制対象となるデータを検知した場合に、該検知した規制対象となるデータに対して、規定値の遅延を付加させ、前記検知した規制対象となるデータのＬ３トラフィックと、Ｌ４コネクションと、アプリケーションレイヤレベルのトランザクションと、の少なくとも１つに対して処理時間を増大させる規制制御を行うことを特徴とする。
ネットワークを介して接続される情報処理装置間に配設する帯域制御装置で行う帯域制御方法であって、
アプリケーションレイヤレベルのデータの遷移状態を監視し、規制対象となるデータを検知した場合に、該検知した規制対象となるデータに対して、規定値の遅延を付加させ、前記検知した規制対象となるデータのＬ３トラフィックと、Ｌ４コネクションと、アプリケーションレイヤレベルのトランザクションと、の少なくとも１つに対して処理時間を増大させる規制制御を行うことを特徴とする。
本発明にかかる帯域制御プログラムは、
ネットワークを介して接続される情報処理装置間に配設する帯域制御装置に実行させる帯域制御プログラムであって、
前記情報処理装置から送信されるデータのアプリケーションレイヤレベルのデータ内容を検査し、規制対象となるデータを検知した場合に、該検知した規制対象となるデータに対して、規定値の遅延を付加させ、前記検知した規制対象となるデータのＬ３トラフィックと、Ｌ４コネクションと、アプリケーションレイヤレベルのトランザクションと、の少なくとも１つに対して処理時間を増大させる規制制御を、コンピュータに実行させることを特徴とする。
ネットワークを介して接続される情報処理装置間に配設する帯域制御装置に実行させる帯域制御プログラムであって、
前記情報処理装置から送信されるデータのアプリケーションレイヤレベルのデータ内容を検査し、規制対象となるデータを検知した場合に、該検知した規制対象となるデータに対して、規定値の遅延を付加させ、前記検知した規制対象となるデータのＬ３トラフィックと、Ｌ４コネクションと、アプリケーションレイヤレベルのトランザクションと、の少なくとも１つに対して処理時間を増大させる規制制御を、コンピュータに実行させることを特徴とする。
本発明にかかる帯域制御プログラムは、
ネットワークを介して接続される情報処理装置間に配設する帯域制御装置に実行させる帯域制御プログラムであって、
アプリケーションレイヤレベルのデータの遷移状態を監視し、規制対象となるデータを検知した場合に、該検知した規制対象となるデータに対して、規定値の遅延を付加させ、前記検知した規制対象となるデータのＬ３トラフィックと、Ｌ４コネクションと、アプリケーションレイヤレベルのトランザクションと、の少なくとも１つに対して処理時間を増大させる規制制御を、コンピュータに実行させることを特徴とする。
ネットワークを介して接続される情報処理装置間に配設する帯域制御装置に実行させる帯域制御プログラムであって、
アプリケーションレイヤレベルのデータの遷移状態を監視し、規制対象となるデータを検知した場合に、該検知した規制対象となるデータに対して、規定値の遅延を付加させ、前記検知した規制対象となるデータのＬ３トラフィックと、Ｌ４コネクションと、アプリケーションレイヤレベルのトランザクションと、の少なくとも１つに対して処理時間を増大させる規制制御を、コンピュータに実行させることを特徴とする。
本発明によれば、特定のアプリケーションレイヤレベルのトラフィックに対して自律的に規制をかけ、ネットワークリソースを公平に利用させることが可能となる。
まず、本実施形態における帯域制御装置について説明する。
本実施形態における帯域制御装置は、ネットワークを介して接続される情報処理装置間に配備されるネットワーク機器となる帯域制御装置であって、帯域制御装置が情報処理装置から送信されるデータのアプリケーションレイヤのデータ内容を検査し、規制対象となるデータを検知した際に、該検知した規制対象となるデータの一連のＬ３トラフィック、Ｌ４コネクション、アプリケーションレイヤレベルのトランザクションの遮断をしたり、帯域制限をしたり、遅延付加をしたりすることを特徴とするものである。詳細には、帯域制御装置が、規制対象となるデータを検知した際に、該検知した規制対象となるデータのアプリケーションレイヤレベルの新規のＬ７セッション（トランザクション）トラフィックの通過を禁止することになる。また、帯域制御装置においてアプリケーションレイヤレベルの終端処理を行っている場合には、セッションの確立を拒絶することになる。また、Ｌ３トラフィック、または、Ｌ４コネクショントラフィックの流量（＝帯域）を規定値以下に制限することになる。また、規制対象となるデータのアプリケーションレイヤレベルのデータに対し、規定値の遅延を付加し、規制対象となるデータのアプリケーションレイヤレベルの処理時間を増大させることになる。
本実施形態における帯域制御装置は、ネットワークを介して接続される情報処理装置間に配備されるネットワーク機器となる帯域制御装置であって、帯域制御装置が情報処理装置から送信されるデータのアプリケーションレイヤのデータ内容を検査し、規制対象となるデータを検知した際に、該検知した規制対象となるデータの一連のＬ３トラフィック、Ｌ４コネクション、アプリケーションレイヤレベルのトランザクションの遮断をしたり、帯域制限をしたり、遅延付加をしたりすることを特徴とするものである。詳細には、帯域制御装置が、規制対象となるデータを検知した際に、該検知した規制対象となるデータのアプリケーションレイヤレベルの新規のＬ７セッション（トランザクション）トラフィックの通過を禁止することになる。また、帯域制御装置においてアプリケーションレイヤレベルの終端処理を行っている場合には、セッションの確立を拒絶することになる。また、Ｌ３トラフィック、または、Ｌ４コネクショントラフィックの流量（＝帯域）を規定値以下に制限することになる。また、規制対象となるデータのアプリケーションレイヤレベルのデータに対し、規定値の遅延を付加し、規制対象となるデータのアプリケーションレイヤレベルの処理時間を増大させることになる。
なお、規制対象となるデータとしては、以下の（１）〜（５）の場合のデータが挙げられる。
（１）特定のＬ３アドレスのデータトラフィック量が規定値を超過した場合（なお、データトラフィック量が規定値を超過したか否かを判断する際の判断基準としては、単位時間あたりのデータトラフィック量、または、データトラフィック量の総量が挙げられる）。
（２）特定のＬ３アドレスのＬ４コネクション数が規定値を超過した場合（判断基準としては、（１）と同様に、単位時間あたり、または、総量）。
（３）アプリケーションレイヤレベルにおいて識別される情報処理装置を監視対象とし、該監視対象とした情報処理装置からのデータトラフィック量が規定値を超過した場合（判断基準としては、（１）と同様に、単位時間あたり、または、総量）。
（４）特定の情報処理装置からのＬ４コネクション数が規定値を超過した場合（判断基準としては、（１）と同様に、単位時間あたり、または、総量）。
（５）特定の情報処理装置からのアプリケーションレイヤレベルでのトランザクション数が規定値を超過した場合（判断基準としては、（１）と同様に、単位時間あたり、または、総量）。
なお、上記の（１）〜（５）の各場合を組み合わせた場合を基に規制対象となるデータとすることも可能である。
（１）特定のＬ３アドレスのデータトラフィック量が規定値を超過した場合（なお、データトラフィック量が規定値を超過したか否かを判断する際の判断基準としては、単位時間あたりのデータトラフィック量、または、データトラフィック量の総量が挙げられる）。
（２）特定のＬ３アドレスのＬ４コネクション数が規定値を超過した場合（判断基準としては、（１）と同様に、単位時間あたり、または、総量）。
（３）アプリケーションレイヤレベルにおいて識別される情報処理装置を監視対象とし、該監視対象とした情報処理装置からのデータトラフィック量が規定値を超過した場合（判断基準としては、（１）と同様に、単位時間あたり、または、総量）。
（４）特定の情報処理装置からのＬ４コネクション数が規定値を超過した場合（判断基準としては、（１）と同様に、単位時間あたり、または、総量）。
（５）特定の情報処理装置からのアプリケーションレイヤレベルでのトランザクション数が規定値を超過した場合（判断基準としては、（１）と同様に、単位時間あたり、または、総量）。
なお、上記の（１）〜（５）の各場合を組み合わせた場合を基に規制対象となるデータとすることも可能である。
また、本実施形態における帯域制御装置は、アプリケーションレイヤレベルのデータの遷移状態を監視し、該監視するアプリケーションレイヤレベルのデータの遷移状態を基に、規制対象となるデータを検知した際に、該検知した規制対象となるデータの一連のＬ３トラフィック、Ｌ４コネクション、アプリケーションレイヤレベルのトランザクションの遮断をしたり、帯域制限をしたり、遅延付加をしたりすることを特徴とするものである。
なお、アプリケーションレイヤレベルのデータの遷移状態を監視する際の処理動作は、上述した規制対象となるデータを検知する際の処理動作と同様である。特に、ＳＭＴＰ（Ｓｉｍｐｌｅ Ｍａｉｌ Ｔｒａｎｓｆｅｒ Ｐｒｏｔｏｃｏｌ）による電子メール（以下、メールと称す）配信システムにおいて、配送元のＳＭＴＰサーバ、および、配送先のＳＭＴＰサーバのＩＰアドレス単位、メール配信のＴＣＰコネクション単位、メール配信のＳＭＴＰトランザクション単位に、配信メールのＩＰパケット数、ＴＣＰコネクション数、送信メール数、ＳＭＴＰトランザクションの継続時間、ＳＭＴＰメッセージの送信元メールアドレス（Ｍａｉｌ Ｆｒｏｍ）数、ＳＭＴＰメッセージの宛先メールアドレス（Ｒｃｐｔ−Ｔｏ）数、ＳＭＴＰエラー応答数、同時に確立するＴＣＰコネクション数、同時に確立するＳＭＴＰトランザクション数、を計測し、各計測値の何れかが、事前に設定していた規定値を超過した際に、または、その規定値を超過した複数の計測値の組み合わせにより、規制対象となるデータと判断し、以後、その規制対象となるデータに合致するＩＰパケット、ＴＣＰコネクション、ＳＭＴＰトランザクションに対して規制処理を実施することになる。なお、規制対象となるデータを予め設定することも可能である。
また、規制対象となるデータに対する規制制御は、ＩＰレベルと、ＴＣＰレベルと、ＳＭＴＰレベルと、に分かれて行われることになる。規制対象となるデータに対するＩＰレベルの規制制御は、ＩＰパケットの廃棄と、ＩＰパケットの遅延付加と、ＩＰパケットの帯域規制（ポリシング、シェーピング）と、である。また、規制対象となるデータに対するＴＣＰレベルの規制制御は、ＴＣＰコネクションの切断と、ＴＣＰコネクションのコネクション数の規制（新規ＴＣＰコネクションの受付拒否）と、ＴＣＰのＡＣＫ応答遅延付加と、である。また、規制対象となるデータに対するＳＭＴＰトランザクションレベルの規制制御は、ＳＭＴＰトランザクションの強制終了と、ＳＭＴＰトランザクションのトランザクション数の規制（新規ＳＭＴＰトランザクションの通過拒否）と、ＳＭＴＰコマンド応答の遅延付加と、である。
また、本実施形態における帯域制御装置は、ポート番号に、ＳＭＴＰが含まれていないパケットデータを、規制対象となるデータから除外する機能と、ポート番号に、ＳＭＴＰが含まれており、尚且つ、該パケットデータのＩＰアドレスが、規制対象外とする特定の送信元ＩＰアドレスまたは宛先ＩＰアドレスであるパケットデータを、規制対象となるデータから除外する機能と、規制対象外とする特定のメールアドレスが含まれるパケットデータを、規制対象となるデータから除外する機能と、の少なくとも１つの機能を搭載することも可能である。
以下、添付図面を参照しながら、本実施形態におけるアプリケーション帯域制御装置について説明する。
本実施形態におけるアプリケーション帯域制御装置は、外部の通信機器から受信するデータのアプリケーションレイヤのデータ内容を検査し、規制対象となるデータを検知した際に、該検知した規制対象となるデータのＬ３トラフィック、Ｌ４コネクション、アプリケーションレイヤレベルのトランザクションに対して規制制御を行い、ネットワークリソースを公平に利用させることを可能とするものである。
具体的には、規制対象となるデータのＬ３トラフィック、Ｌ４コネクション、アプリケーションレイヤレベルのトランザクションの遮断処理をしたり、帯域制限処理をしたり、遅延付加処理をしたりすることで、悪質と考えられるユーザが使用するＭＴＡから送信されるメールトラフィックに対して自律的に規制をかけ、ＳＰＡＭメールによるトラフィックの増大を軽減することを特徴とするものである。
図３は、本実施形態におけるアプリケーション帯域制御装置（１）を配置したメール配信システムの概略図である。なお、図３に示すメール配信システムは図１に示す従来のメール配信システムに対応するシステム構成である。
図３に示すメール配信システムは、アプリケーション帯域制御装置（１）が、悪意を持ったユーザの使用するＭＴＡ（２−４）から配信されるメールトラフィック（６）に対してのみ規制をかけ、ＭＴＡ（２−４）から配信される一部のトラフィック（４）のみをＭＴＡ（２−２）に対して配信する状態を示すものである。なお、アプリケーション帯域制御装置（１）は、ＭＴＡ（２−５）から配信されるメールトラフィック（５）は正常にＭＴＡ（２−２）に配信している。
また、図４は、本実施形態におけるアプリケーション帯域制御装置（１）を配置した別のメール配信システムの概略図である。なお、図４に示すメール配信システムは図２に示す従来のメール配信システムに対応するシステム構成である。
図４に示すメール配信システムは、アプリケーション帯域制御装置（１）が、悪意を持ったユーザの使用するＭＴＡ（２−２）から配信されたＳＰＡＭメールに対して規制をかけ、管理ドメイン（３）の外部のＭＴＡ（２−４、２−５）への配信を停止している状態を示すものである。なお、アプリケーション帯域制御装置（１）は、管理ドメイン（３）内の他のＭＴＡ（２−１）、ＭＴＡ（２−３）から配信されるメールトラフィックは正常に外部のＭＴＡ（２−４、２−５）に配信している。
次に、図５〜図１１を参照しながら、本実施形態におけるアプリケーション帯域制御装置（１）について説明する。なお、図５は、本実施形態におけるアプリケーション帯域制御装置（１）の構成例を示すブロック図であり、図５には、一実施例として、メールを対象としたアプリケーション帯域制御装置（１）の構成例を示している。また、図６は、図５に示すＬ３／Ｌ４通過許可リスト（３５）のデータベースの構成例を示す。また、図７は、図５に示すＬ３／Ｌ４規制対象リスト（３６）のデータベースの構成例を示す。また、図８は、図５に示すアプリケーション通過許可リスト（５５）のデータベースの構成例を示す。また、図９〜図１１は、図５に示すアプリケーション規制対象リスト（５６）及び規制対象リスト（６６）のデータベースの構成例を示す。なお、本実施例ではＬ３レイヤとしてＩＰを、Ｌ４レイヤとしてＴＣＰを、アプリケーションレイヤとしてＳＭＴＰを用いた場合を例にとり説明する。
（アプリケーション帯域制御装置（１）の構成）
まず、図５を参照しながら、本実施形態におけるアプリケーション帯域制御装置（１）の構成について説明する。
アプリケーション帯域制御装置（１）は、図５に示すように、ネットワークインタフェース（２０）と、トラフィック制御部（３０）と、Ｌ４終端部（４０）と、アプリケーション処理部（５０）と、判定部（６０）と、を有して構成される。
まず、図５を参照しながら、本実施形態におけるアプリケーション帯域制御装置（１）の構成について説明する。
アプリケーション帯域制御装置（１）は、図５に示すように、ネットワークインタフェース（２０）と、トラフィック制御部（３０）と、Ｌ４終端部（４０）と、アプリケーション処理部（５０）と、判定部（６０）と、を有して構成される。
（ネットワークインタフェース（２０）の構成）
ネットワークインタフェース（２０）は、１つ以上の入出力ポートを有して構成されている。なお、図５に示すネットワークインタフェース（２０）は、２つの入出力ポートを具備する構成例を示しており、入力ポート（２１）、及び、出力ポート（２３）は管理ドメイン（３）内の機器と接続するポートとである。また、入力ポート（２２）、及び、出力ポート（２４）は管理ドメイン（３）外の機器と接続するポートである。
ネットワークインタフェース（２０）は、１つ以上の入出力ポートを有して構成されている。なお、図５に示すネットワークインタフェース（２０）は、２つの入出力ポートを具備する構成例を示しており、入力ポート（２１）、及び、出力ポート（２３）は管理ドメイン（３）内の機器と接続するポートとである。また、入力ポート（２２）、及び、出力ポート（２４）は管理ドメイン（３）外の機器と接続するポートである。
（ネットワークインタフェース（２０）の機能）
ネットワークインタフェース（２０）は、物理レイヤ（ｌａｙｅｒ１）、および、データリンクレイヤ（ｌａｙｅｒ２）の終端処理を行う。なお、本実施例では、物理レイヤ、データリンクレイヤの種類については特に限定しないが、以下の説明では、データリンクレイヤとしてＥｔｈｅｒｎｅｔ（登録商標）を使用する場合について説明する。また、ネットワークインタフェース（２０）とトラフィック制御部（３０）との間はＭＡＣフレームデータによるデータ転送を行うものとする。
ネットワークインタフェース（２０）は、物理レイヤ（ｌａｙｅｒ１）、および、データリンクレイヤ（ｌａｙｅｒ２）の終端処理を行う。なお、本実施例では、物理レイヤ、データリンクレイヤの種類については特に限定しないが、以下の説明では、データリンクレイヤとしてＥｔｈｅｒｎｅｔ（登録商標）を使用する場合について説明する。また、ネットワークインタフェース（２０）とトラフィック制御部（３０）との間はＭＡＣフレームデータによるデータ転送を行うものとする。
ネットワークインタフェース（２０）は、管理ドメイン内の入力ポート（２１）、または、管理ドメイン外の入力ポート（２２）を介してネットワークから受信したＭＡＣフレームデータをトラフィック制御部（３０）のＬ３データ受信部（３１）に送信する。また、ネットワークインタフェース（２０）は、トラフィック制御部（３０）のＬ３データ送信部（３２）から受信したＭＡＣフレームデータを、管理ドメイン内の出力ポート（２３）、または、管理ドメイン外の出力ポート（２４）を介してネットワークへ送信する。
（トラフィック制御部（３０）の構成）
トラフィック制御部（３０）は、ネットワークインタフェース（２０）と、Ｌ４終端部（４０）と、判定部（６０）と、接続している。
なお、トラフィック制御部（３０）は、Ｌ３データ受信部（３１）と、Ｌ３データ送信部（３２）と、Ｌ３データ計測部（３３）と、データバッファ（３４）と、Ｌ３／Ｌ４通過許可リスト（３５）と、Ｌ３／Ｌ４規制対象リスト（３６）と、を有して構成される。
トラフィック制御部（３０）は、ネットワークインタフェース（２０）と、Ｌ４終端部（４０）と、判定部（６０）と、接続している。
なお、トラフィック制御部（３０）は、Ｌ３データ受信部（３１）と、Ｌ３データ送信部（３２）と、Ｌ３データ計測部（３３）と、データバッファ（３４）と、Ｌ３／Ｌ４通過許可リスト（３５）と、Ｌ３／Ｌ４規制対象リスト（３６）と、を有して構成される。
（Ｌ３データ受信部（３１）の機能）
Ｌ３データ受信部（３１）は、ネットワークインタフェース（２０）から送信されるＭＡＣフレームデータを受信する。そして、Ｌ３データ受信部（３１）は、ネットワークインタフェース（２０）から受信したＭＡＣフレームデータを基に、ＩＰヘッダ情報の抽出処理、ＩＰアドレスの抽出処理、上位プロトコル（ＴＣＰ／ＵＤＰほか）の特定処理を行う。なお、Ｌ３データ受信部（３１）は、上位プロトコルの特定処理により、上位プロトコルが特定できた場合には、その特定できた上位プロトコルのＴＣＰヘッダ情報をＭＡＣフレームデータから抽出することになる。なお、Ｌ３データ受信部（３１）は、ネットワークインタフェース（２０）から受信したＭＡＣフレームデータを、データバッファ（３４）に一旦格納することになる。
Ｌ３データ受信部（３１）は、ネットワークインタフェース（２０）から送信されるＭＡＣフレームデータを受信する。そして、Ｌ３データ受信部（３１）は、ネットワークインタフェース（２０）から受信したＭＡＣフレームデータを基に、ＩＰヘッダ情報の抽出処理、ＩＰアドレスの抽出処理、上位プロトコル（ＴＣＰ／ＵＤＰほか）の特定処理を行う。なお、Ｌ３データ受信部（３１）は、上位プロトコルの特定処理により、上位プロトコルが特定できた場合には、その特定できた上位プロトコルのＴＣＰヘッダ情報をＭＡＣフレームデータから抽出することになる。なお、Ｌ３データ受信部（３１）は、ネットワークインタフェース（２０）から受信したＭＡＣフレームデータを、データバッファ（３４）に一旦格納することになる。
また、Ｌ３データ受信部（３１）は、Ｌ３データ受信部（３１）において、ＭＡＣフレームデータから抽出したＩＰヘッダ情報とＴＣＰヘッダ情報とを基に、Ｌ３／Ｌ４通過許可リスト（３５）に格納されている規制対象外とするデータのＩＰアドレスとＴＣＰコネクション情報（図６参照）、または、Ｌ３／Ｌ４規制対象リスト（３６）に格納されている規制対象となるデータのＩＰアドレスとＴＣＰコネクション情報（図７参照）を参照し、データバッファ（３４）に一旦格納したＭＡＣフレームデータを、Ｌ３データ送信部（３２）に転送するか、または、Ｌ４データ受信部（４１）に転送するか、または、トラフィック制御部（３０）内で廃棄するか、を決定することになる。なお、ＩＰアドレスは、ＭＡＣフレームデータから抽出した送信元ＩＰアドレス（図６、図７のＩＰ ＳＡ）、宛先ＩＰアドレス（図６、図７のＩＰ ＤＡ）を一組とした情報であり、ＩＰアドレスを識別するために使用するものである。また、ＴＣＰコネクション情報は、送信元ＩＰアドレス（図６、図７のＩＰ ＳＡ）、宛先ＩＰアドレス（図６、図７のＩＰ ＤＡ）、プロトコル（図６、図７のＰｒｏｔｏｃｏｌ）、送信元ポート番号（図６、図７のＳＰ）、宛先ポート番号（図６、図７のＤＰ）を一組とした情報であり、ＴＣＰコネクションを識別するために使用する情報である。
Ｌ３データ受信部（３１）は、データバッファ（３４）に一旦格納したＭＡＣフレームデータが、Ｌ３／Ｌ４通過許可リスト（３５）に格納されている規制対象外とするＩＰアドレス、または、ＴＣＰコネクション情報に合致すると判断した場合には、Ｌ３データ受信部（３１）は、そのＭＡＣフレームデータをＬ３データ送信部（３２）に転送することになる。なお、この処理をパケットスルー処理と称することにする。
また、Ｌ３データ受信部（３１）は、データバッファ（３４）に一旦格納したＭＡＣフレームデータが、Ｌ３／Ｌ４通過許可リスト（３５）に格納されている規制対象外とするＩＰアドレス、または、ＴＣＰコネクション情報に合致せず、Ｌ３／Ｌ４規制対象リスト（３６）に格納されている規制対象となるＩＰアドレス、または、ＴＣＰコネクション情報に合致しないと判断した場合には、Ｌ３データ受信部（３１）は、そのＭＡＣフレームデータをＬ４データ受信部（４１）に転送することになる。なお、この処理をアプリケーション中継処理と称することにする。
また、Ｌ３データ受信部（３１）は、データバッファ（３４）に一旦格納したＭＡＣフレームデータが、Ｌ３／Ｌ４通過許可リスト（３５）に格納されている規制対象外とするＩＰアドレス、または、ＴＣＰコネクション情報に合致せず、Ｌ３／Ｌ４規制対象リスト（３６）に格納されている規制対象となるＩＰアドレス、または、ＴＣＰコネクション情報に合致すると判断した場合には、Ｌ３データ受信部（３１）は、Ｌ３／Ｌ４規制対象リスト（３６）内の規制動作フィールド（図７の規制動作）を参照し、そのＭＡＣフレームデータを、Ｌ４データ受信部（４１）へ転送するか（アプリケーション中継処理）、または、トラフィック制御部（３０）内で廃棄処理するか（ＭＡＣフレームデータ破棄処理）、を決定することになる。
例えば、Ｌ３データ受信部（３１）は、図７に示すＬ３／Ｌ４規制対象リスト（３６）内の「規制動作」が「中継」であると判断した場合には、ＭＡＣフレームデータを、Ｌ４データ受信部（４１）へ転送することになる（アプリケーション中継処理）。また、Ｌ３データ受信部（３１）は、図７に示すＬ３／Ｌ４規制対象リスト（３６）内の「規制動作」が「廃棄」であると判断した場合には、ＭＡＣフレームデータを、トラフィック制御部（３０）内で廃棄処理することになる（ＭＡＣフレームデータ破棄処理）。
また、Ｌ３データ受信部（３１）は、Ｌ３データ受信部（３１）において抽出したＩＰヘッダ情報とＴＣＰヘッダ情報とをＬ３データ計測部（３３）に送信することになる。また、Ｌ３データ受信部（３１）は、データバッファ（３４）に一旦格納したＭＡＣフレームデータを、Ｌ４データ受信部（４１）に転送する場合には、そのＭＡＣフレームデータから抽出したＩＰヘッダ情報とＴＣＰヘッダ情報とをＬ４データ受信部（４１）に転送することになる。
なお、Ｌ３データ受信部（３１）は、判定部（６０）からの指定により、Ｌ３／Ｌ４通過許可リスト（３５）、Ｌ３／Ｌ４規制対象リスト（３６）に登録されているＩＰアドレス、または、ＴＣＰコネクション情報を基に、ＭＡＣフレームデータに対して、パケットスルー処理、アプリケーション中継処理、ＭＡＣフレームデータ破棄処理を実施することになる。
（Ｌ３データ送信部（３２）の機能）
Ｌ３データ送信部（３２）は、データバッファ（３４）を介してＬ３データ受信部（３１）から受信したＭＡＣフレームデータをネットワークインタフェース（２０）に送信する。また、Ｌ３データ送信部（３２）は、Ｌ４終端部（４０）内のＬ４データ送信部（４２）から送信されるＴＣＰデータを受信し、該受信したＴＣＰデータに対して、該ＴＣＰデータの属するＩＰヘッダ情報を付与し、ＩＰデータを構築する。そして、Ｌ３データ送信部（３２）は、該構築したＩＰデータに対しＭＡＣヘッダ情報を付与し、ＭＡＣフレームデータを作成し、その作成したＭＡＣフレームデータをネットワークインタフェース（２０）に送信することになる。なお、Ｌ３データ送信部（３２）は、Ｌ３データ送信部（３２）において構築したＩＰデータが規制対象のＩＰデータである場合には、データバッファ（３４）にＩＰデータを一旦格納し、送信規制処理を行った後に、データバッファ（３４）に一旦格納したＩＰデータを取り出し、該取り出したＩＰデータに対してＭＡＣヘッダ情報を付与し、ＭＡＣフレームデータを作成し、その作成したＭＡＣフレームデータをネットワークインタフェース（２０）に送信することになる。
Ｌ３データ送信部（３２）は、データバッファ（３４）を介してＬ３データ受信部（３１）から受信したＭＡＣフレームデータをネットワークインタフェース（２０）に送信する。また、Ｌ３データ送信部（３２）は、Ｌ４終端部（４０）内のＬ４データ送信部（４２）から送信されるＴＣＰデータを受信し、該受信したＴＣＰデータに対して、該ＴＣＰデータの属するＩＰヘッダ情報を付与し、ＩＰデータを構築する。そして、Ｌ３データ送信部（３２）は、該構築したＩＰデータに対しＭＡＣヘッダ情報を付与し、ＭＡＣフレームデータを作成し、その作成したＭＡＣフレームデータをネットワークインタフェース（２０）に送信することになる。なお、Ｌ３データ送信部（３２）は、Ｌ３データ送信部（３２）において構築したＩＰデータが規制対象のＩＰデータである場合には、データバッファ（３４）にＩＰデータを一旦格納し、送信規制処理を行った後に、データバッファ（３４）に一旦格納したＩＰデータを取り出し、該取り出したＩＰデータに対してＭＡＣヘッダ情報を付与し、ＭＡＣフレームデータを作成し、その作成したＭＡＣフレームデータをネットワークインタフェース（２０）に送信することになる。
なお、Ｌ３データ送信部（３２）は、判定部（６０）からの指定により、Ｌ３／Ｌ４規制対象リスト（３６）に登録されているＩＰアドレス、または、ＴＣＰコネクション情報に合致するＩＰデータと判断し、尚かつ、規制動作が「遅延」に該当するＩＰデータに対し、送信規制処理（遅延付加処理）を実施することになる。
（Ｌ３データ計測部（３３）の機能）
Ｌ３データ計測部（３３）は、Ｌ３データ受信部（３１）から送信されたＩＰヘッダ情報とＴＣＰヘッダ情報とを受信し、該受信したＩＰヘッダ情報とＴＣＰヘッダ情報とを基に、同一送信元ＩＰアドレスで、同一宛先ポート番号（本実施例では、ＳＭＴＰ）のＴＣＰコネクション数、または、同一宛先ＩＰアドレスで、同一送信元ポート番号（本実施例ではＳＭＴＰ）のＴＣＰコネクション数の計測を行うことになる。
Ｌ３データ計測部（３３）は、Ｌ３データ受信部（３１）から送信されたＩＰヘッダ情報とＴＣＰヘッダ情報とを受信し、該受信したＩＰヘッダ情報とＴＣＰヘッダ情報とを基に、同一送信元ＩＰアドレスで、同一宛先ポート番号（本実施例では、ＳＭＴＰ）のＴＣＰコネクション数、または、同一宛先ＩＰアドレスで、同一送信元ポート番号（本実施例ではＳＭＴＰ）のＴＣＰコネクション数の計測を行うことになる。
Ｌ３データ計測部（３３）は、Ｌ３データ受信部（３１）から受信したＩＰヘッダ情報とＴＣＰヘッダ情報とを基に計測した、同一送信元ＩＰアドレスで、同一宛先ポート番号のＴＣＰコネクション数、または、同一宛先ＩＰアドレスで、同一送信元ポート番号のＴＣＰコネクション数が、Ｌ３データ計測部（３３）に予め設定されている規定値以上になったと判定した場合に、その規定値以上になったと判定したＩＰヘッダ情報とＴＣＰヘッダ情報とを判定部（６０）に送信することになる。
（データバッファ（３４）の機能）
データバッファ（３４）は、Ｌ３データ受信部（３１）とＬ３データ送信部（３２）とから送信されるデータ（Ｌ３データ受信部（３１）からはＭＡＣフレームデータ、Ｌ３データ送信部（３２）からはＩＰデータ）を一時的に保存するために使用するものである。
データバッファ（３４）は、Ｌ３データ受信部（３１）とＬ３データ送信部（３２）とから送信されるデータ（Ｌ３データ受信部（３１）からはＭＡＣフレームデータ、Ｌ３データ送信部（３２）からはＩＰデータ）を一時的に保存するために使用するものである。
（Ｌ３／Ｌ４通過許可リスト（３５）、Ｌ３／Ｌ４規制対象リスト（３６）の機能）
Ｌ３／Ｌ４通過許可リスト（３５）は、規制対象外とするデータのＩＰアドレスと、ＴＣＰコネクション情報と、が格納されている。Ｌ３／Ｌ４通過許可リスト（３５）に格納されているデータに関しては、規制動作は全て通過処理（パケットスルー処理）を行うことになるため、Ｌ３／Ｌ４通過許可リスト（３５）には、規制動作を示す規制動作情報の項目が存在しないことになる。また、Ｌ３／Ｌ４規制対象リスト（３６）には、規制対象となるデータのＩＰアドレスと、ＴＣＰコネクション情報と、規制動作情報と、が格納されている。
Ｌ３／Ｌ４通過許可リスト（３５）は、規制対象外とするデータのＩＰアドレスと、ＴＣＰコネクション情報と、が格納されている。Ｌ３／Ｌ４通過許可リスト（３５）に格納されているデータに関しては、規制動作は全て通過処理（パケットスルー処理）を行うことになるため、Ｌ３／Ｌ４通過許可リスト（３５）には、規制動作を示す規制動作情報の項目が存在しないことになる。また、Ｌ３／Ｌ４規制対象リスト（３６）には、規制対象となるデータのＩＰアドレスと、ＴＣＰコネクション情報と、規制動作情報と、が格納されている。
なお、Ｌ３／Ｌ４通過許可リスト（３５）と、Ｌ３／Ｌ４規制対象リスト（３６）と、に格納される情報は、判定部（６０）から設定されることになる。また、Ｌ３／Ｌ４通過許可リスト（３５）と、Ｌ３／Ｌ４規制対象リスト（３６）と、に格納されている情報は、Ｌ３データ受信部（３１）が参照し、Ｌ３データ受信部（３１）において抽出したＩＰヘッダ情報とＴＣＰヘッダ情報との照合用に使用されることになる。なお、Ｌ３／Ｌ４通過許可リスト（３５）のデータ構造の構成例を図６に示す。また、Ｌ３／Ｌ４規制対象リスト（３６）のデータ構造の構成例を図７に示す。
図６に示すＬ３／Ｌ４通過許可リスト（３５）は、ＩＰの送信元アドレス：ＩＰ ＳＡと、ＩＰの宛先アドレス：ＩＰ ＤＡと、Ｐｒｏｔｏｃｏｌと、送信元ポート番号：ＳＰ（Ｓｏｕｒｃｅ Ｐｏｒｔ）と、宛先ポート番号：ＤＰ（Ｄｅｓｔｉｎａｔｉｏｎ Ｐｏｒｔ）と、を有して構成されるデータ構造となっている。
図７に示すＬ３／Ｌ４規制対象リスト（３６）は、Ｌ３／Ｌ４通過許可リスト（３５）に、規制動作を示す規制動作情報の項目が新たに追加されたデータ構造となっている。なお、規制動作としては、本実施例では、中継（アプリケーション中継処理）、遅延（遅延付加処理）、廃棄（ＭＡＣフレームデータ破棄処理）が挙げられる。
（Ｌ４終端部（４０）の構成）
Ｌ４終端部（４０）は、トラフィック制御部（３０）と、アプリケーション処理部（５０）と、判定部（６０）と、接続している。
なお、Ｌ４終端部（４０）は、Ｌ４データ受信部（４１）と、Ｌ４データ送信部（４２）と、Ｌ４データ計測部（４３）と、データバッファ（４４）と、を有して構成される。
Ｌ４終端部（４０）は、トラフィック制御部（３０）と、アプリケーション処理部（５０）と、判定部（６０）と、接続している。
なお、Ｌ４終端部（４０）は、Ｌ４データ受信部（４１）と、Ｌ４データ送信部（４２）と、Ｌ４データ計測部（４３）と、データバッファ（４４）と、を有して構成される。
（Ｌ４データ受信部（４１）の機能）
Ｌ４データ受信部（４１）は、トラフィック制御部（３０）のＬ３データ受信部（３１）から送信されたＭＡＣフレームデータ、及び、ＩＰヘッダ情報とＴＣＰヘッダ情報とを受信する。Ｌ４データ受信部（４１）は、トラフィック制御部（３０）のＬ３データ受信部（３１）から送信されたＭＡＣフレームデータを受信するとＴＣＰの終端処理を行うことになる。なお、ＴＣＰの終端処理としては、ＴＣＰコネクションの状態遷移管理、ＴＣＰコネクションのオープン処理（３ウェイ・ハンド・シェーク）、ＴＣＰコネクションのクローズ処理（４ウェイ・ハンド・シェーク）、ＭＡＣフレームデータからのＴＣＰデータの取り出し処理、到着パケットの順序管理、ＳＭＴＰメッセージの再構築処理等が挙げられる。
Ｌ４データ受信部（４１）は、トラフィック制御部（３０）のＬ３データ受信部（３１）から送信されたＭＡＣフレームデータ、及び、ＩＰヘッダ情報とＴＣＰヘッダ情報とを受信する。Ｌ４データ受信部（４１）は、トラフィック制御部（３０）のＬ３データ受信部（３１）から送信されたＭＡＣフレームデータを受信するとＴＣＰの終端処理を行うことになる。なお、ＴＣＰの終端処理としては、ＴＣＰコネクションの状態遷移管理、ＴＣＰコネクションのオープン処理（３ウェイ・ハンド・シェーク）、ＴＣＰコネクションのクローズ処理（４ウェイ・ハンド・シェーク）、ＭＡＣフレームデータからのＴＣＰデータの取り出し処理、到着パケットの順序管理、ＳＭＴＰメッセージの再構築処理等が挙げられる。
また、Ｌ４データ受信部（４１）は、ＭＡＣフレームデータを受信した際に、該受信したＭＡＣフレームデータに含まれる上位プロトコルデータ（本実施例ではＳＭＴＰメッセージ）の抽出処理を行い、該抽出したＳＭＴＰメッセージをＳＭＴＰ中継処理用にアプリケーションデータ受信部（５１）に送信する。なお、Ｌ４データ受信部（４１）は、アプリケーションデータ受信部（５１）からバックプレッシャー信号を受信すると、アプリケーションデータ受信部（５１）に対するＳＭＴＰメッセージの送信を停止し、ＳＭＴＰメッセージをデータバッファ（４４）に一時的に格納することになる。そして、Ｌ４データ受信部（４１）は、バックプレッシャー信号の受信が解除されることで、データバッファ（４４）に一時的に格納したＳＭＴＰメッセージを読み出し、該読み出したＳＭＴＰメッセージをアプリケーションデータ受信部（５１）に送信することになる。
また、Ｌ４データ受信部（４１）は、ＴＣＰの終端処理であるＴＣＰコネクションの状態遷移管理により、個々のＴＣＰコネクションの遷移状態を管理し、該当ＴＣＰデータのＴＣＰコネクション情報、及び、そのＴＣＰコネクションの開始通知および終了通知をＬ４データ計測部（４３）に送信する。また、Ｌ４データ受信部（４１）は、判定部（６０）から指定されたＭＡＣフレームデータ内のＴＣＰデータに対する受信規制処理を実施することになる。なお、ＴＣＰデータに対する受信規制処理としては、新規コネクション受付拒否（ＳＹＮパケットデータ受信時のデータ廃棄）、既接続コネクションの切断（以後の受信データの廃棄）が挙げられる。
（Ｌ４データ送信部（４２）の機能）
Ｌ４データ送信部（４２）は、アプリケーションデータ送信部（５２）からＳＭＴＰ中継処理用に送信されたＳＭＴＰメッセージを受信し、該受信したＳＭＴＰメッセージを基にＴＣＰデータの構築処理を行い、その構築処理を行ったＴＣＰデータをＬ３データ送信部（３２）に転送する。その際、Ｌ４データ送信部（４２）は、Ｌ４データ受信部（４１）内で管理するＴＣＰコネクションの遷移状態の情報を参照し、ＴＣＰデータの送信制御を行うことになる。
Ｌ４データ送信部（４２）は、アプリケーションデータ送信部（５２）からＳＭＴＰ中継処理用に送信されたＳＭＴＰメッセージを受信し、該受信したＳＭＴＰメッセージを基にＴＣＰデータの構築処理を行い、その構築処理を行ったＴＣＰデータをＬ３データ送信部（３２）に転送する。その際、Ｌ４データ送信部（４２）は、Ｌ４データ受信部（４１）内で管理するＴＣＰコネクションの遷移状態の情報を参照し、ＴＣＰデータの送信制御を行うことになる。
なお、Ｌ４データ送信部（４２）は、アプリケーションデータ送信部（５２）から送信されるＳＭＴＰメッセージの受信を停止したい場合には、バックプレッシャー信号をアプリケーションデータ送信部（５２）に送信する。なお、Ｌ４データ送信部（４２）は、判定部（６０）から指定された、特定のＴＣＰデータに対する送信規制処理を実施することになる。ＴＣＰデータに対する送信規制処理としては、新規コネクション受付拒否（ＳＹＮパケットデータ受信時のＲＳＴパケットデータ送信）、既接続コネクションの切断（ＦＩＮパケットデータ送信）、ＴＣＰのＡＣＫ送出遅延等が挙げられる。
（Ｌ４データ計測部（４３）の機能）
Ｌ４データ計測部（４３）は、Ｌ４データ受信部（４１）から送信されたＴＣＰコネクション情報と該当ＴＣＰコネクションの開始通知、および、終了通知に基づいて、該当ＴＣＰコネクションの継続時間を計測する。
Ｌ４データ計測部（４３）は、Ｌ４データ受信部（４１）から送信されたＴＣＰコネクション情報と該当ＴＣＰコネクションの開始通知、および、終了通知に基づいて、該当ＴＣＰコネクションの継続時間を計測する。
また、Ｌ４データ計測部（４３）は、Ｌ４データ受信部（４１）から送信されたＴＣＰコネクション情報と該当ＴＣＰコネクションの開始通知、終了通知に基づいて、判定部（６０）に、新規開始ＴＣＰコネクションと、終了ＴＣＰコネクションと、を通知する。
また、Ｌ４データ計測部（４３）は、Ｌ４データ計測部（４３）内で管理しているＴＣＰコネクションの継続時間が閾値以上になった場合に、ＴＣＰコネクション情報を判定部（６０）に送信することになる。なお、ＴＣＰコネクションの継続時間の閾値は、Ｌ４データ計測部（４３）に予め設定しておくことになる。また、ＴＣＰコネクション継続時間の閾値は変更することも可能である。
（データバッファ（４４）の機能）
データバッファ（４４）は、Ｌ４データ受信部（４１）とＬ４データ送信部（４２）とから送信されるデータ（Ｌ４データ受信部（４１）からはＳＭＴＰメッセージ、Ｌ４データ送信部（４２）からはＴＣＰデータ）を一時的に保存するために使用するものである。
データバッファ（４４）は、Ｌ４データ受信部（４１）とＬ４データ送信部（４２）とから送信されるデータ（Ｌ４データ受信部（４１）からはＳＭＴＰメッセージ、Ｌ４データ送信部（４２）からはＴＣＰデータ）を一時的に保存するために使用するものである。
（アプリケーション処理部（５０）の構成）
アプリケーション処理部（５０）は、Ｌ４終端部（４０）と、判定部（６０）と、接続している。
なお、アプリケーション処理部（５０）は、アプリケーションデータ受信部（５１）と、アプリケーションデータ送信部（５２）と、アプリケーションデータ計測部（５３）と、データバッファ（５４）と、アプリケーション通過許可リスト（５５）と、アプリケーション規制対象リスト（５６）と、アプリケーション実行部（５７）と、を有して構成される。
アプリケーション処理部（５０）は、Ｌ４終端部（４０）と、判定部（６０）と、接続している。
なお、アプリケーション処理部（５０）は、アプリケーションデータ受信部（５１）と、アプリケーションデータ送信部（５２）と、アプリケーションデータ計測部（５３）と、データバッファ（５４）と、アプリケーション通過許可リスト（５５）と、アプリケーション規制対象リスト（５６）と、アプリケーション実行部（５７）と、を有して構成される。
（アプリケーションデータ受信部（５１）の機能）
アプリケーションデータ受信部（５１）は、Ｌ４データ受信部（４１）から送信されるＳＭＴＰメッセージを受信する。そして、アプリケーションデータ受信部（５１）は、その受信したＳＭＴＰメッセージをメッセージ単位にアプリケーション実行部（５７）に送信することになる。なお、アプリケーション実行部（５７）は、ＳＭＴＰメッセージの量が、転送処理容量を超えたと判断した場合は、ＳＭＴＰメッセージの一時的な保存が必要と判断し、バックプレッシャー信号をアプリケーションデータ受信部（５１）に送信することになる。これにより、アプリケーションデータ受信部（５１）は、アプリケーション実行部（５７）からバックプレッシャー信号を受信することになり、アプリケーションデータ受信部（５１）は、ＳＭＴＰメッセージをデータバッファ（５４）に一時的に格納することになる。そして、アプリケーションデータ受信部（５１）は、データバッファ（５４）に一時的に格納したＳＭＴＰメッセージを識別するためのＳＭＴＰメッセージ識別情報をアプリケーション実行部（５７）に送信する。そして、アプリケーション実行部（５７）は、ＳＭＴＰメッセージの量が、転送処理容量を超えていないと判断した場合は、転送処理が可能と判断し、アプリケーション実行部（５７）は、バックプレッシャー信号の送信を停止し、アプリケーションデータ受信部（５１）から受信したＳＭＴＰメッセージ識別情報を基に、一時的にデータバッファ（５４）に格納したＳＭＴＰメッセージを読み出すことになる。これにより、アプリケーション実行部（５７）は、一時的にデータバッファ（５４）に格納されたＳＭＴＰメッセージを取得することになる。
アプリケーションデータ受信部（５１）は、Ｌ４データ受信部（４１）から送信されるＳＭＴＰメッセージを受信する。そして、アプリケーションデータ受信部（５１）は、その受信したＳＭＴＰメッセージをメッセージ単位にアプリケーション実行部（５７）に送信することになる。なお、アプリケーション実行部（５７）は、ＳＭＴＰメッセージの量が、転送処理容量を超えたと判断した場合は、ＳＭＴＰメッセージの一時的な保存が必要と判断し、バックプレッシャー信号をアプリケーションデータ受信部（５１）に送信することになる。これにより、アプリケーションデータ受信部（５１）は、アプリケーション実行部（５７）からバックプレッシャー信号を受信することになり、アプリケーションデータ受信部（５１）は、ＳＭＴＰメッセージをデータバッファ（５４）に一時的に格納することになる。そして、アプリケーションデータ受信部（５１）は、データバッファ（５４）に一時的に格納したＳＭＴＰメッセージを識別するためのＳＭＴＰメッセージ識別情報をアプリケーション実行部（５７）に送信する。そして、アプリケーション実行部（５７）は、ＳＭＴＰメッセージの量が、転送処理容量を超えていないと判断した場合は、転送処理が可能と判断し、アプリケーション実行部（５７）は、バックプレッシャー信号の送信を停止し、アプリケーションデータ受信部（５１）から受信したＳＭＴＰメッセージ識別情報を基に、一時的にデータバッファ（５４）に格納したＳＭＴＰメッセージを読み出すことになる。これにより、アプリケーション実行部（５７）は、一時的にデータバッファ（５４）に格納されたＳＭＴＰメッセージを取得することになる。
なお、アプリケーションデータ受信部（５１）は、バックプレッシャー信号の受信が解除された際に、データバッファ（５４）に一時的に格納したＳＭＴＰメッセージを読み出し、該読み出したＳＭＴＰメッセージをアプリケーション実行部（５７）に送信することも可能である。
また、アプリケーションデータ受信部（５１）は、アプリケーション実行部（５７）からバックプレッシャー信号を受信し、ＳＭＴＰメッセージを一時的にデータバッファ（５４）に格納する際に、そのデータバッファ（５４）が一杯で、ＳＭＴＰメッセージをデータバッファ（５４）に格納できず、Ｌ４データ受信部（４１）から送信されるＳＭＴＰメッセージの受信を停止したい場合には、アプリケーションデータ受信部（５１）は、Ｌ４データ受信部（４１）に対し、バックプレッシャー信号を送信することになる。これにより、Ｌ４データ受信部（４１）は、アプリケーションデータ受信部（５１）に対するＳＭＴＰメッセージの送信を停止することになり、Ｌ４データ受信部（４１）は、ＳＭＴＰメッセージをデータバッファ（４４）に一時的に格納することになる。
（アプリケーションデータ送信部（５２）の機能）
アプリケーションデータ送信部（５２）は、アプリケーション実行部（５７）から受信したＳＭＴＰメッセージをＬ４終端部（４０）内のＬ４データ送信部（４２）に送信する。なお、アプリケーションデータ送信部（５２）はＬ４データ送信部（４２）からのバックプレッシャー信号を受信すると、Ｌ４データ送信部（４２）へのＳＭＴＰメッセージの送信を停止し、ＳＭＴＰメッセージを一時的にデータバッファ（５４）に格納することになる。そして、アプリケーションデータ送信部（５２）は、バックプレッシャー信号の受信が解除された際に、データバッファ（５４）に一時的に格納したＳＭＴＰメッセージを読み出し、該読み出したＳＭＴＰメッセージをＬ４データ送信部（４２）に送信することになる。
アプリケーションデータ送信部（５２）は、アプリケーション実行部（５７）から受信したＳＭＴＰメッセージをＬ４終端部（４０）内のＬ４データ送信部（４２）に送信する。なお、アプリケーションデータ送信部（５２）はＬ４データ送信部（４２）からのバックプレッシャー信号を受信すると、Ｌ４データ送信部（４２）へのＳＭＴＰメッセージの送信を停止し、ＳＭＴＰメッセージを一時的にデータバッファ（５４）に格納することになる。そして、アプリケーションデータ送信部（５２）は、バックプレッシャー信号の受信が解除された際に、データバッファ（５４）に一時的に格納したＳＭＴＰメッセージを読み出し、該読み出したＳＭＴＰメッセージをＬ４データ送信部（４２）に送信することになる。
（アプリケーション実行部（５７）の機能）
アプリケーション実行部（５７）は、アプリケーションデータ受信部（５１）から受信したＳＭＴＰメッセージ、または、データバッファ（５４）から読み出したＳＭＴＰメッセージの解釈処理、そのＳＭＴＰメッセージの転送判断処理、新規ＳＭＴＰメッセージの生成処理を行うことになる。通常、アプリケーション実行部（５７）は、ＳＭＴＰメッセージを次のネットワークに中継することになる（ＳＭＴＰ中継）。この場合、アプリケーション実行部（５７）は、ＳＭＴＰメッセージをアプリケーションデータ送信部（５２）に転送することになる。
アプリケーション実行部（５７）は、アプリケーションデータ受信部（５１）から受信したＳＭＴＰメッセージ、または、データバッファ（５４）から読み出したＳＭＴＰメッセージの解釈処理、そのＳＭＴＰメッセージの転送判断処理、新規ＳＭＴＰメッセージの生成処理を行うことになる。通常、アプリケーション実行部（５７）は、ＳＭＴＰメッセージを次のネットワークに中継することになる（ＳＭＴＰ中継）。この場合、アプリケーション実行部（５７）は、ＳＭＴＰメッセージをアプリケーションデータ送信部（５２）に転送することになる。
なお、アプリケーション実行部（５７）は、ＳＭＴＰメッセージの転送処理の際に、アプリケーションデータ送信部（５２）から、他のデータ処理中につきデータの送信中断の指示がされていて、ＳＭＴＰメッセージの一時的な保存が必要な場合には、アプリケーション実行部（５７）は、ＳＭＴＰメッセージをデータバッファ（５４）に一時的に格納することになる。そして、アプリケーション実行部（５７）は、アプリケーションデータ送信部（５２）から、データの送信中断の指示が解除された場合には、アプリケーション実行部（５７）は、データバッファ（５４）に一時的に格納したＳＭＴＰメッセージの読み出し処理を行い、該読み出したＳＭＴＰメッセージをアプリケーションデータ送信部（５２）を介してＬ４データ送信部（４２）に送信することになる。
なお、アプリケーション実行部（５７）は、アプリケーションデータ送信部（５２）から、データの送信中断の指示がされていて、ＳＭＴＰメッセージの一時的な保存が必要な場合には、アプリケーション実行部（５７）は、ＳＭＴＰメッセージをデータバッファ（５４）に一時的に格納し、該格納したＳＭＴＰメッセージを識別するためのＳＭＴＰメッセージ識別情報をアプリケーションデータ送信部（５２）に送信し、アプリケーションデータ送信部（５２）は、データの受信が可能となったと判断した場合に、アプリケーション実行部（５７）から受信したＳＭＴＰメッセージ識別情報を基に、データバッファ（５４）に格納されたＳＭＴＰメッセージの読み出し処理を行い、ＳＭＴＰメッセージ識別情報に該当するＳＭＴＰメッセージを取得し、該取得したＳＭＴＰメッセージをＬ４データ送信部（４２）に送信することも可能である。
また、アプリケーション実行部（５７）は、ＳＭＴＰメッセージの解釈処理を行った結果、ＳＭＴＰトランザクションの状態と、ＳＭＴＰメッセージの送信元メールアドレス、および、宛先メールアドレスの情報を抽出することになる。そして、アプリケーション実行部（５７）は、ＳＭＴＰメッセージから抽出したＳＭＴＰトランザクションの状態を基に、ＳＭＴＰ中継処理を行っているＳＭＴＰトランザクションを管理することになる。また、アプリケーション実行部（５７）は、ＳＭＴＰメッセージから抽出したＳＭＴＰトランザクションの状態と、ＳＭＴＰメッセージの送信元メールアドレス、および、宛先メールアドレス、の情報をアプリケーションデータ計測部（５３）に送信することになる。
また、アプリケーション実行部（５７）は、ＳＭＴＰメッセージの送信元メールアドレス、および、宛先メールアドレスを基に、アプリケーション通過許可リスト（５５）に格納されている規制対象外とするメールアドレス、または、アプリケーション規制対象リスト（５６）に格納されている規制対象とするメールアドレスとの照合処理を行い、その照合処理の結果を基に、無条件通過、条件通過、規制処理を決定することになる。
アプリケーション実行部（５７）は、ＳＭＴＰメッセージの送信元メールアドレス、または、宛先メールアドレスが、アプリケーション通過許可リスト（５５）に格納されているメールアドレスに合致する場合、アプリケーション実行部（５７）は、該ＳＭＴＰトランザクションの処理として無条件にＳＭＴＰ中継処理を実施することになる。
また、アプリケーション実行部（５７）は、ＳＭＴＰメッセージの送信元メールアドレス、または、宛先メールアドレスが、アプリケーション通過許可リスト（５５）に格納されているメールアドレスに合致せず、アプリケーション規制対象リスト（５６）に格納されているメールアドレスに合致しない場合、アプリケーション実行部（５７）は該ＳＭＴＰトランザクションの処理としてＳＭＴＰ中継処理を実施することになる。
また、アプリケーション実行部（５７）は、ＳＭＴＰメッセージの送信元メールアドレス、または、宛先メールアドレスが、アプリケーション通過許可リスト（５５）に格納されているメールアドレスに合致せず、アプリケーション規制対象リスト（５６）に格納されているメールアドレスに合致する場合、アプリケーション実行部（５７）は、アプリケーション規制対象リスト（５６）内の規制内容フィールド（図９の規制動作）を参照し、該ＳＭＴＰトランザクションの処理として複数の規制処理（廃棄、遅延、中継）から１つを選択して処理を実施することになる。
（アプリケーションデータ計測部（５３）の機能）
アプリケーションデータ計測部（５３）は、アプリケーション実行部（５７）から送信された情報（ＳＭＴＰトランザクションの状態と、ＳＭＴＰメッセージの送信元メールアドレス、および、宛先メールアドレス、の情報）に基づいて、該当するＳＭＴＰトランザクションのメール数をＩＰアドレス別に計測することになる。また、アプリケーションデータ計測部（５３）は、該当するＳＭＴＰトランザクションにおけるＭＡＩＬコマンド数、ＲＣＰＴコマンド数、ＳＭＴＰエラー応答数を計測する。そして、アプリケーションデータ計測部（５３）は、上記の何れかの計測数が各計測数個別の規定値以上になったと判断した場合に、その規定値以上になったＳＭＴＰトランザクション、ＳＴＭＰトランザクションの計測情報、を判定部（６０）に送信することになる。
アプリケーションデータ計測部（５３）は、アプリケーション実行部（５７）から送信された情報（ＳＭＴＰトランザクションの状態と、ＳＭＴＰメッセージの送信元メールアドレス、および、宛先メールアドレス、の情報）に基づいて、該当するＳＭＴＰトランザクションのメール数をＩＰアドレス別に計測することになる。また、アプリケーションデータ計測部（５３）は、該当するＳＭＴＰトランザクションにおけるＭＡＩＬコマンド数、ＲＣＰＴコマンド数、ＳＭＴＰエラー応答数を計測する。そして、アプリケーションデータ計測部（５３）は、上記の何れかの計測数が各計測数個別の規定値以上になったと判断した場合に、その規定値以上になったＳＭＴＰトランザクション、ＳＴＭＰトランザクションの計測情報、を判定部（６０）に送信することになる。
（データバッファ（５４）の機能）
データバッファ（５４）は、アプリケーションデータ受信部（５１）と、アプリケーションデータ送信部（５２）と、アプリケーション実行部（５７）と、が使用するデータの一時的な格納場所に使用される。
データバッファ（５４）は、アプリケーションデータ受信部（５１）と、アプリケーションデータ送信部（５２）と、アプリケーション実行部（５７）と、が使用するデータの一時的な格納場所に使用される。
（アプリケーション通過許可リスト（５５）、アプリケーション規制対象リスト（５６）の機能）
アプリケーション通過許可リスト（５５）には、図８に示すように、Ｌ３／Ｌ４通過許可リスト（３５）の項目に加えて規制対象外とするメールアドレスの項目が追加されており、アプリケーション実行部（５７）やアプリケーションデータ受信部（５１）から参照されることになる。
アプリケーション通過許可リスト（５５）には、図８に示すように、Ｌ３／Ｌ４通過許可リスト（３５）の項目に加えて規制対象外とするメールアドレスの項目が追加されており、アプリケーション実行部（５７）やアプリケーションデータ受信部（５１）から参照されることになる。
また、アプリケーション規制対象リスト（５６）には、図９に示すように、Ｌ３／Ｌ４規制対象リスト（３６）の項目に加えて、規制起動判定用のＴＣＰコネクション上限数と、規制対象とするメールアドレスと、規制起動判定用のメール上限数と、の少なくとも１つの項目が追加されており、アプリケーション実行部（５７）やアプリケーションデータ受信部（５１）から参照されることになる。なお、図９は、Ｌ３／Ｌ４規制対象リスト（３６）の項目に加えて、規制起動判定用のＴＣＰコネクション上限数と、規制対象とするメールアドレスと、規制起動判定用のメール上限数と、の３つの項目が追加された構成を示している。
なお、図１０は、Ｌ３／Ｌ４規制対象リスト（３６）の項目に加えて、規制起動判定用のＴＣＰコネクション上限数の項目が追加された構成を示している。また、図１１は、別の例で、Ｌ３／Ｌ４規制対象リスト（３６）の項目に加えて、規制対象とするメールアドレスと、規制起動判定用のメール上限数と、の項目が追加された構成を示している。
（判定部（６０）の構成）
判定部（６０）は、トラフィック制御部（３０）と、Ｌ４終端部（４０）と、アプリケーション処理部（５０）と、接続して構成されている。
判定部（６０）は、トラフィック制御部（３０）と、Ｌ４終端部（４０）と、アプリケーション処理部（５０）と、接続して構成されている。
判定部（６０）は、Ｌ３データ計測部（３３）と、Ｌ４データ計測部（４３）と、アプリケーションデータ計測部（５３）と、から送信される各レイヤの計測情報を収集し、該収集した計測情報を基に、規制対象とすべき事象（ＩＰアドレス単位、ＴＣＰコネクション単位、ＳＭＴＰトランザクション単位、メールアドレス単位毎）の判定を実施することになる。そして、判定部（６０）は、その実施した判定結果をトラフィック制御部（３０）と、Ｌ４終端部（４０）と、アプリケーション処理部（５０）と、に送信し、各部位での規制処理指示を行うことになる。
なお、判定部（６０）は、通過許可リスト（６５）と、規制対象リスト（６６）と、規制対象管理リスト（６７）と、判定論理部（６１）と、から構成される。
（通過許可リスト（６５）の機能）
通過許可リスト（６５）は、トラフィック制御部（３０）内のＬ３／Ｌ４通過許可リスト（３５）およびアプリケーション処理部（５０）内のアプリケーション通過許可リスト（５５）のマスターリストであり、両リストが組み合わさったものである。なお、通過許可リスト（６５）は、本実施形態におけるアプリケーション帯域制御装置（１）を使用する使用者により設定されることになり、通過許可リスト（６５）は、Ｌ３／Ｌ４通過許可リスト（３５）とアプリケーション通過許可リスト（５５）とに分割され、トラフィック制御部（３０）とアプリケーション処理部（５０）とに登録されることになる。
通過許可リスト（６５）は、トラフィック制御部（３０）内のＬ３／Ｌ４通過許可リスト（３５）およびアプリケーション処理部（５０）内のアプリケーション通過許可リスト（５５）のマスターリストであり、両リストが組み合わさったものである。なお、通過許可リスト（６５）は、本実施形態におけるアプリケーション帯域制御装置（１）を使用する使用者により設定されることになり、通過許可リスト（６５）は、Ｌ３／Ｌ４通過許可リスト（３５）とアプリケーション通過許可リスト（５５）とに分割され、トラフィック制御部（３０）とアプリケーション処理部（５０）とに登録されることになる。
（規制対象リスト（６６）の機能）
規制対象リスト（６６）は、トラフィック制御部（３０）内のＬ３／Ｌ４規制対象リスト（３６）およびアプリケーション処理部（５０）内のアプリケーション規制対象リスト（５６）のマスターリストであり、両リストが組み合わさったものである。規制対象管理リスト（６６）は、アプリケーション帯域制御装置（１）にて、規制対象となっているＩＰアドレス、ＴＣＰコネクション、ＳＭＴＰトランザクションを管理している動的なリストである。
規制対象リスト（６６）は、トラフィック制御部（３０）内のＬ３／Ｌ４規制対象リスト（３６）およびアプリケーション処理部（５０）内のアプリケーション規制対象リスト（５６）のマスターリストであり、両リストが組み合わさったものである。規制対象管理リスト（６６）は、アプリケーション帯域制御装置（１）にて、規制対象となっているＩＰアドレス、ＴＣＰコネクション、ＳＭＴＰトランザクションを管理している動的なリストである。
（規制対象管理リスト（６７）の機能）
規制対象管理リスト（６７）は、Ｌ３データ計測部（３３）から通知されるＩＰアドレス情報と、Ｌ４データ計測部（４３）から通知されるＴＣＰコネクション情報と、アプリケーションデータ計測部（５３）から通知されるＳＭＴＰトランザクション情報と、を受信し、該受信したＩＰアドレス情報と、ＴＣＰコネクション情報と、ＳＭＴＰトランザクション情報と、を管理することになる。
規制対象管理リスト（６７）は、Ｌ３データ計測部（３３）から通知されるＩＰアドレス情報と、Ｌ４データ計測部（４３）から通知されるＴＣＰコネクション情報と、アプリケーションデータ計測部（５３）から通知されるＳＭＴＰトランザクション情報と、を受信し、該受信したＩＰアドレス情報と、ＴＣＰコネクション情報と、ＳＭＴＰトランザクション情報と、を管理することになる。
（判定論理部（６１）の機能）
判定論理部（６１）は、Ｌ３データ計測部（３３）から通知されるＩＰヘッダ情報、ＴＣＰヘッダ情報と、Ｌ４データ計測部（４３）から通知される新規開始ＴＣＰコネクション、終了ＴＣＰコネクション、ＴＣＰコネクション情報と、アプリケーションデータ計測部（５３）から通知されるＳＭＴＰトランザクション情報、ＳＴＭＰトランザクションの計測情報と、規制対象リスト（６６）内の項目と、を照合することになる。これは、当該ＳＭＴＰトランザクションがＳＭＴＰ規制対象トラフィックであるか否かを判断するためである。
判定論理部（６１）は、Ｌ３データ計測部（３３）から通知されるＩＰヘッダ情報、ＴＣＰヘッダ情報と、Ｌ４データ計測部（４３）から通知される新規開始ＴＣＰコネクション、終了ＴＣＰコネクション、ＴＣＰコネクション情報と、アプリケーションデータ計測部（５３）から通知されるＳＭＴＰトランザクション情報、ＳＴＭＰトランザクションの計測情報と、規制対象リスト（６６）内の項目と、を照合することになる。これは、当該ＳＭＴＰトランザクションがＳＭＴＰ規制対象トラフィックであるか否かを判断するためである。
判定論理部（６１）は、当該ＳＭＴＰトランザクションがＳＭＴＰ規制対象トラフィックであると判断した場合は、該当するＳＭＴＰトランザクション情報、ＴＣＰコネクション情報、ＩＰアドレス情報を、規制対象管理リスト（６７）に追加することになる。同時に、判定論理部（６１）は、当該ＳＭＴＰトランザクションがＳＭＴＰ規制対象トラフィックであると判断した規制対象リスト（６６）内の規制動作フィールドに記載されている規制動作を、トラフィック制御部（３０）、Ｌ４終端部（４０）、アプリケーション処理部（５０）に対して送信し、各部位での規制処理指示を行い、規制対象の単位（ＩＰアドレス単位、ＴＣＰコネクション単位、ＳＭＴＰトランザクション単位、メールアドレス単位）毎の規制動作を実行させることになる。
（アプリケーション帯域制御装置（１）における処理動作）
次に、図１２を参照しながら、上記構成からなるアプリケーション帯域制御装置（１）における帯域制御について説明する。なお、図１２は、本実施形態におけるアプリケーション帯域制御装置（１）における制御処理を示すフロチャートである。
次に、図１２を参照しながら、上記構成からなるアプリケーション帯域制御装置（１）における帯域制御について説明する。なお、図１２は、本実施形態におけるアプリケーション帯域制御装置（１）における制御処理を示すフロチャートである。
まず、外部の通信機器から入力ポート（２１、２２）を介してネットワークインタフェース（２０）にパケットデータが到着すると、ネットワークインタフェース（２０）は、そのパケットデータを受信することになる（ステップＳ１）。そして、ネットワークインタフェース（２０）は、その受信したパケットデータをトラフィック制御部（３０）のＬ３データ受信部（３１）に送信し、Ｌ３データ受信部（３１）は、Ｌ３データ受信部（３１）の具備するＳＭＴＰ Ｔｒａｆｆｉｃフィルタ（図示せず）にて、ネットワークインタフェース（２０）から受信したパケットデータに対してフィルタリングを実行し、そのパケットデータがＳＭＴＰパケットデータであるか否かを判定することになる（ステップＳ２）。
次に、Ｌ３データ受信部（３１）は、ネットワークインタフェース（２０）から送信されたパケットデータがＳＭＴＰパケットデータであると判定した場合は（ステップＳ２／ＳＭＴＰ）、Ｌ３データ受信部（３１）は、Ｌ３／Ｌ４通過許可リスト（３５）の参照処理を行い、ＳＭＴＰパケットデータが、Ｌ３／Ｌ４通過許可リスト（３５）に格納されている規制対象外とするデータのＩＰアドレス、または、ＴＣＰコネクション情報に一致するか否かを判定することになる（ステップＳ３）。
なお、上記ステップＳ２の判定処理において、Ｌ３データ受信部（３１）がＳＭＴＰパケットデータであると判定する判定条件とは、パケットデータがＴＣＰパケットデータで、尚且つ、送信元ポート番号：ＳＰ（Ｓｏｕｒｃｅ Ｐｏｒｔ）、もしくは、宛先ポート番号：ＤＰ（Ｄｅｓｔｉｎａｔｉｏｎ Ｐｏｒｔ）の値が、ＳＭＴＰ（＝２５）の場合である。それ以外のパケットデータの場合には（ステップＳ２／ＮＯ・ＳＭＴＰ）、Ｌ３データ受信部（３１）は、パケットデータをデータバッファ（３４）を介してそのままＬ３データ送信部（３２）に通過させ（パケットスルー：ステップＳ５）、ネットワークインタフェース（２０）に転送することになる（ステップＳ１１）。
また、ステップＳ３の判定処理において、当該ＳＭＴＰパケットデータが、Ｌ３／Ｌ４通過許可リスト（３５）に格納されている規制対象外とするデータのＩＰアドレス、または、ＴＣＰコネクション情報と一致するとＬ３データ受信部（３１）が判定した場合は（ステップＳ３／Ｈｉｔ）、Ｌ３データ受信部（３１）は、ＳＭＴＰパケットデータを通過許可パケットデータと判定し、ＳＭＴＰパケットデータをデータバッファ（３４）を介してそのままＬ３データ送信部（３２）に通過させ（パケットスルー：ステップＳ５）、ネットワークインタフェース（２０）に転送することになる（ステップＳ１１）。
また、ステップＳ３の判定処理において、当該ＳＭＴＰパケットデータが、Ｌ３／Ｌ４通過許可リスト（３５）に格納されている規制対象外とするＩＰアドレス、または、ＴＣＰコネクション情報と一致しないとＬ３データ受信部（３１）が判定した場合は（ステップＳ３／ＮＯ・Ｈｉｔ）、Ｌ３データ受信部（３１）は、ＳＭＴＰパケットデータを規制対象パケットデータと判定し、Ｌ３データ受信部（３１）は、その規制対象パケットデータと判定したＳＭＴＰパケットデータが、送信元ポート番号：ＳＰ（Ｓｏｕｒｃｅ Ｐｏｒｔ）、または、宛先ポート番号：ＤＰ（Ｄｅｓｔｉｎａｔｉｏｎ Ｐｏｒｔ）の何れのポート番号かを判定することになる（ステップＳ４）。
そして、ステップＳ４の判定処理において、Ｌ３データ受信部（３１）は、ＳＭＴＰパケットデータが、送信元ポート番号：ＳＰ（Ｓｏｕｒｃｅ Ｐｏｒｔ）であると判定した場合は（ステップＳ４／ＳＰ＝ＳＭＴＰ）、Ｌ３データ受信部（３１）は、ＳＭＴＰパケットデータが、ＳＭＴＰのコマンド応答を含むパケットデータであると判定し（ＳＰ＝ＳＭＴＰ：ＳＭＴＰのコマンドレスポンス）、規制対象となるパケットデータとしては取り扱わないがＳＭＴＰの遷移状態を管理するために、アプリケーション処理部（５０）においてＳＭＴＰパケットデータのＳＭＴＰモニタを行うことになる（ステップＳ９−１）。
また、ステップＳ４の判定処理において、Ｌ３データ受信部（３１）は、ＳＭＴＰパケットデータが、宛先ポート番号：ＤＰ（Ｄｅｓｔｉｎａｔｉｏｎ Ｐｏｒｔ）であると判定した場合は（ステップＳ４／ＤＰ＝ＳＭＴＰ）、Ｌ３データ受信部（３１）は、ＳＭＴＰパケットデータが、ＳＭＴＰのコマンド、及び、メールデータを構成するパケットデータであると判定する（ＤＰ＝ＳＭＴＰ：ＳＭＴＰのコマンド、及び、メールデータ）。そして、Ｌ３データ受信部（３１）は、当該ＳＭＴＰパケットデータを、規制対象パケットデータとして取り扱う為に、Ｌ３／Ｌ４規制対象リスト（３６）の参照処理を行い、当該ＳＭＴＰパケットデータが、Ｌ３／Ｌ４規制対象リスト（３６）に格納されている規制対象となるデータのＩＰアドレス、または、ＴＣＰコネクション情報に一致するか否かを判定することになる（ステップＳ６）。
次に、Ｌ３データ受信部（３１）は、当該ＳＭＴＰパケットデータが、Ｌ３／Ｌ４規制対象リスト（３６）に格納されている規制対象となるデータのＩＰアドレス、または、ＴＣＰコネクション情報に一致しないと判定した場合は（ステップＳ６／ＮＯ・Ｈｉｔ）、アプリケーション処理部（５０）において当該ＳＭＴＰパケットデータのＳＭＴＰモニタを行うことになる（ステップＳ９−１）。
また、Ｌ３データ受信部（３１）は、当該ＳＭＴＰパケットデータが、Ｌ３／Ｌ４規制対象リスト（３６）に格納されている規制対象となるデータのＩＰアドレス、または、ＴＣＰコネクション情報に一致すると判定した場合は（ステップＳ６／Ｈｉｔ）、当該ＳＭＴＰパケットデータに対して規制処理であるコネクション数の制限処理（ステップＳ７）や、ポリシング（ステップＳ８）を行い、その後、アプリケーション処理部（５０）においてＳＭＴＰパケットデータのＳＭＴＰモニタを行うことになる（ステップＳ９−２）。
なお、ステップＳ７のコネクション数の制限処理は、図５に示すＬ４終端部（４０）にて実施することになる。また、ステップＳ８のポリシングは、図５に示すＬ３データ受信部（３１）にて実施することになる。
また、ステップＳ９−１、ステップＳ９−２で行うＳＭＴＰモニタでは、ＩＰアドレス単位、ＴＣＰコネクション単位のＳＭＴＰトラフィックの統計情報収集を実施することになる。なお、ステップＳ９−１、ステップＳ９−２のＳＭＴＰモニタのＩＰアドレス単位、ＴＣＰコネクション単位のＳＭＴＰトラフィックの統計情報収集は、図５に示すアプリケーションデータ計測部（５３）で実施することになる。なお、ステップＳ９−２においてＳＭＴＰモニタを実施したＳＭＴＰパケットデータは、図５に示すＬ３データ送信部（３２）で規制処理である遅延付加・シェーピングを実施することになる（ステップＳ１０）。
なお、ステップＳ９−１においてＳＭＴＰモニタを実施したパケットデータ、または、ステップＳ１０において遅延付加・シェーピングを実施したパケットデータは、ネットワークインタフェース（２０）に送信されることになる（ステップＳ１１）。
また、ステップＳ９−１、ステップＳ９−２においてＳＭＴＰモニタを実施して収集した統計情報は、図５に示す判定部（６０）に集められ、判定部（６０）においてＳＭＴＰ規制対象トラフィックであるか否かの判定処理を行い、規制対象トラフィックであると判定した場合には、ステップＳ６における規制対象リストの参照処理と、ステップＳ７におけるコネクション数の制限処理と、ステップＳ８におけるポリシングと、ステップＳ１０における遅延付加・シェーピングと、を行うことになる（ステップＳ１２）。
なお、本実施形態におけるアプリケーション帯域制御装置（１）を構成するトラフィック制御部（３０）と、Ｌ４終端部（４０）と、アプリケーション処理部（５０）と、判定部（６０）と、は、専用のハードウェアおよびファームウェアにて構成することも可能であり、また、汎用ＣＰＵとソフトウェアとで構成しても本実施形態における処理動作を実現することは可能である。
このように、本実施形態におけるアプリケーション帯域制御装置（１）は、アプリケーション処理部（５０）において、アプリケーションレイヤのデータ内容を検査して、規制対象となるデータを検知する一方で、規制対象となるデータに対する規制制御は、Ｌ３レイヤとなるトラフィック制御部（３０）、もしくは、Ｌ４レイヤとなるＬ４終端部（４０）においてトラフィックとコネクションとの規制制御を行うことになる。これにより、本実施形態におけるアプリケーション帯域制御装置（１）は、アプリケーションレイヤとなるアプリケーション処理部（５０）においてトランザクションの規制制御を行う場合に比べて処理能力を大きく改善することが可能となる。例えば、本実施形態におけるアプリケーション帯域制御装置（１）は、様々なＳＭＴＰトラフィックの中から不特定多数のユーザに対して無差別に配信されるメールを規制することが可能となる。
次に、第２の実施形態について説明する。
第２の実施形態におけるアプリケーション帯域制御装置（１）は、上記の第１の実施形態におけるアプリケーション帯域制御装置（１）における処理動作に加えて、ＳＭＴＰメッセージの送信元メールアドレス（Ｍａｉｌ Ｆｒｏｍ）、および、宛先メールアドレス（ＲＣＰＴ−Ｔｏ）を検索し、該検索したＳＭＴＰメッセージの送信元メールアドレス（Ｍａｉｌ Ｆｒｏｍ）、および、宛先メールアドレス（ＲＣＰＴ−Ｔｏ）を基にメールアドレス毎のメール数を計測し、該計測したメールアドレス毎のメール数を基にメールアドレス単位でメール配信を規制することを特徴とするものである。
第２の実施形態におけるアプリケーション帯域制御装置（１）は、上記の第１の実施形態におけるアプリケーション帯域制御装置（１）における処理動作に加えて、ＳＭＴＰメッセージの送信元メールアドレス（Ｍａｉｌ Ｆｒｏｍ）、および、宛先メールアドレス（ＲＣＰＴ−Ｔｏ）を検索し、該検索したＳＭＴＰメッセージの送信元メールアドレス（Ｍａｉｌ Ｆｒｏｍ）、および、宛先メールアドレス（ＲＣＰＴ−Ｔｏ）を基にメールアドレス毎のメール数を計測し、該計測したメールアドレス毎のメール数を基にメールアドレス単位でメール配信を規制することを特徴とするものである。
なお、この第２の実施形態におけるアプリケーション帯域制御装置（１）は、図５に示すアプリケーション帯域制御装置（１）の具備するアプリケーション実行部（５７）において、ＳＭＴＰメッセージの送信元メールアドレス（Ｍａｉｌ Ｆｒｏｍ）、および、宛先メールアドレス（ＲＣＰＴ−Ｔｏ）を検索し、該検索したＳＭＴＰメッセージの送信元メールアドレス（Ｍａｉｌ Ｆｒｏｍ）、および、宛先メールアドレス（ＲＣＰＴ−Ｔｏ）をアプリケーションデータ計測部（５３）に送信する。そして、アプリケーションデータ計測部（５３）は、送信元メールアドレス（Ｍａｉｌ Ｆｒｏｍ）、および、宛先メールアドレス（ＲＣＰＴ−Ｔｏ）を基に、メールアドレス毎のメール数を計測し、その計測したメールアドレス毎のメール数を判定部（６０）に送信する。そして、判定部（６０）は、アプリケーションデータ計測部（５３）から受信したメールアドレス毎のメール数を基に、規制対象管理リスト（６７）の更新と、規制対象リスト（６６）の検索、通過許可リスト（６５）の検索を実施し、メールアドレス単位でメール配信を規制することになる。これにより、特定のユーザが送信するメールをよりきめ細かく特定し、送信メールの制限を行うことが可能となる。
次に、第３の実施形態について説明する。
第３の実施形態におけるアプリケーション帯域制御装置（１）は、図５に示すアプリケーションデータ計測部（５３）において、アプリケーション実行部（５７）から送信された情報（ＳＭＴＰトランザクションの状態と、ＳＭＴＰメッセージの送信元メールアドレス、および、宛先メールアドレスの情報）に基づいて、該当するＳＭＴＰメッセージの宛先メールアドレス数をＩＰアドレス別に計測し、そのＩＰアドレス別に計測したＳＭＴＰメッセージの宛先メールアドレス数を判定部（６０）に送信する。そして、判定部（６０）は、アプリケーションデータ計測部（５３）から受信したＩＰアドレス毎のＳＭＴＰメッセージの宛先メールアドレス数を基に、規制対象管理リスト（６７）の更新と、規制対象リスト（６６）の検索、通過許可リスト（６５）の検索を実施し、ＩＰアドレス単位でメール配信を規制し、１トランザクションにおける宛先メールアドレス数の制限処理を行うことを特徴とするものである。これにより、特定のユーザが送信するメールをよりきめ細かく特定し、送信メールの制限を行うことが可能となる。
第３の実施形態におけるアプリケーション帯域制御装置（１）は、図５に示すアプリケーションデータ計測部（５３）において、アプリケーション実行部（５７）から送信された情報（ＳＭＴＰトランザクションの状態と、ＳＭＴＰメッセージの送信元メールアドレス、および、宛先メールアドレスの情報）に基づいて、該当するＳＭＴＰメッセージの宛先メールアドレス数をＩＰアドレス別に計測し、そのＩＰアドレス別に計測したＳＭＴＰメッセージの宛先メールアドレス数を判定部（６０）に送信する。そして、判定部（６０）は、アプリケーションデータ計測部（５３）から受信したＩＰアドレス毎のＳＭＴＰメッセージの宛先メールアドレス数を基に、規制対象管理リスト（６７）の更新と、規制対象リスト（６６）の検索、通過許可リスト（６５）の検索を実施し、ＩＰアドレス単位でメール配信を規制し、１トランザクションにおける宛先メールアドレス数の制限処理を行うことを特徴とするものである。これにより、特定のユーザが送信するメールをよりきめ細かく特定し、送信メールの制限を行うことが可能となる。
次に、第４の実施形態について説明する。
第４の実施形態におけるアプリケーション帯域制御装置（１）は、ＩＰアドレス毎のパケット数とＴＣＰコネクション毎のパケット数とを計測するための計測機能を図５に示すＬ３データ計測部（３３）に付加し、よりきめ細かいトラフィック量の監視を行うことを特徴とするものである。
第４の実施形態におけるアプリケーション帯域制御装置（１）は、ＩＰアドレス毎のパケット数とＴＣＰコネクション毎のパケット数とを計測するための計測機能を図５に示すＬ３データ計測部（３３）に付加し、よりきめ細かいトラフィック量の監視を行うことを特徴とするものである。
次に、第５の実施形態について説明する。
第５の実施形態におけるアプリケーション帯域制御装置（１）は、図１２に示すステップＳ１０の遅延付加・シェーピング処理において、図５に示すＬ３データ受信部（３１）がＩＰパケットレベルの処理を行うかわりに、図５に示すＬ４データ受信部（４１）と、Ｌ４データ送信部（４２）と、においてＴＣＰのＡＣＫ応答遅延付加・ＴＣＰウィンドウサイズの変更処理を行うこととする。これにより、特定のユーザが送信するメールのトラフィック量に応じて、特定のＴＣＰコネクションに対する制限をかけることが可能となる。
第５の実施形態におけるアプリケーション帯域制御装置（１）は、図１２に示すステップＳ１０の遅延付加・シェーピング処理において、図５に示すＬ３データ受信部（３１）がＩＰパケットレベルの処理を行うかわりに、図５に示すＬ４データ受信部（４１）と、Ｌ４データ送信部（４２）と、においてＴＣＰのＡＣＫ応答遅延付加・ＴＣＰウィンドウサイズの変更処理を行うこととする。これにより、特定のユーザが送信するメールのトラフィック量に応じて、特定のＴＣＰコネクションに対する制限をかけることが可能となる。
次に、第６の実施形態について説明する。
第６の実施形態におけるアプリケーション帯域制御装置（１）は、図１２に示すステップＳ１０の遅延付加・シェーピング処理において、図５に示すＬ３データ受信部（３１）がＩＰパケットレベルの処理を行うかわりに、図５に示すアプリケーション実行部（５７）においてＳＭＴＰコマンド応答の遅延付加を行うこととする。これにより、特定のユーザが送信するメールのトラフィック量に応じて、特定のＳＭＴＰトランザクションに対する制限をかけることが可能となる。
第６の実施形態におけるアプリケーション帯域制御装置（１）は、図１２に示すステップＳ１０の遅延付加・シェーピング処理において、図５に示すＬ３データ受信部（３１）がＩＰパケットレベルの処理を行うかわりに、図５に示すアプリケーション実行部（５７）においてＳＭＴＰコマンド応答の遅延付加を行うこととする。これにより、特定のユーザが送信するメールのトラフィック量に応じて、特定のＳＭＴＰトランザクションに対する制限をかけることが可能となる。
次に、第７の実施形態について説明する。
第７の実施形態におけるアプリケーション帯域制御装置は、図１２のステップＳ７におけるコネクション数の制限処理を行うかわりに、ＳＭＴＰトランザクションの規制処理を、アプリケーション実行部（５７）が実施することとする。これにより、特定の情報処理装置から送信されるメールのトラフィック量に応じて、制限をかけることが可能となる。
第７の実施形態におけるアプリケーション帯域制御装置は、図１２のステップＳ７におけるコネクション数の制限処理を行うかわりに、ＳＭＴＰトランザクションの規制処理を、アプリケーション実行部（５７）が実施することとする。これにより、特定の情報処理装置から送信されるメールのトラフィック量に応じて、制限をかけることが可能となる。
次に、第８の実施形態について説明する。
第８の実施形態におけるアプリケーション帯域制御装置（１）は、図５に示す判定部（６０）からの指示によりアプリケーション実行部（５７）において特定のＳＭＴＰトランザクションに対する規制処理を実施し、また、アプリケーションデータ受信部（５１）において特定の送信元アドレスのＳＭＴＰトランザクションに対する受信規制処理を実施し、また、アプリケーションデータ送信部（５２）において特定の宛先アドレスのＳＭＴＰトランザクションに対する送信規制処理を実施することとする。これにより、特定の情報処理装置から送信されるメールのトラフィック量に対して制限をかけることが可能となる。
第８の実施形態におけるアプリケーション帯域制御装置（１）は、図５に示す判定部（６０）からの指示によりアプリケーション実行部（５７）において特定のＳＭＴＰトランザクションに対する規制処理を実施し、また、アプリケーションデータ受信部（５１）において特定の送信元アドレスのＳＭＴＰトランザクションに対する受信規制処理を実施し、また、アプリケーションデータ送信部（５２）において特定の宛先アドレスのＳＭＴＰトランザクションに対する送信規制処理を実施することとする。これにより、特定の情報処理装置から送信されるメールのトラフィック量に対して制限をかけることが可能となる。
なお、上述する実施形態は本発明の好適な実施の形態の一例であり、本発明の実施形態は、これに限定されるものではなく、本発明の要旨を逸脱しない範囲において種々の変更を施した形態での実施が可能である。例えば、上記の実施形態におけるアプリケーション帯域制御装置における処理動作は、コンピュータプログラムにより実行することも可能であり、また、上記のプログラムは、光記録媒体、磁気記録媒体、光磁気記録媒体、または半導体等の記録媒体に記録し、その記録媒体からプログラムを情報処理装置に読み込ませることで、上述した処理動作を情報処理装置において実行させることも可能である。また、所定のネットワークを介して接続されている外部機器からプログラムを情報処理装置に読み込ませることで、上述した処理動作を情報処理装置において実行させることも可能である。また、上記の実施形態におけるアプリケーション帯域制御装置は、Ｌ３レイヤとしてＩＰ、Ｌ４レイヤとしてＴＣＰ、アプリケーションレイヤとしてＳＭＴＰの場合ついて説明したが、Ｌ３レイヤ、Ｌ４レイヤ、アプリケーションレイヤの各プロトコルは他のプロトコルを用いた場合でも適用可能である。
本発明にかかる帯域制御装置、帯域制御方法及び帯域制御プログラムは、ネットワークを介して接続した情報処理装置の間に設けられるブリッジ、ルータ、ゲートウェイ等のネットワーク機器に適用可能である。
１ アプリケーション帯域制御装置
２−１〜Ｎ（Ｎは任意の整数） ＭＴＡ（Message Transfer Agent:メールサーバ）
３ 管理ドメイン
２０ ネットワークインタフェース
２１、２２ 入力ポート
２３、２４ 出力ポート
３０ トラフィック制御部
３１ Ｌ３データ受信部
３２ Ｌ３データ送信部
３３ Ｌ３データ計測部
３４、４４、５４ データバッファ
３５ Ｌ３／Ｌ４通過許可リスト
３６ Ｌ３／Ｌ４規制対象リスト
４０ Ｌ４終端部
４１ Ｌ４データ受信部
４２ Ｌ４データ送信部
４３ Ｌ４データ計測部
５０ アプリケーション処理部
５１ アプリケーションデータ受信部
５２ アプリケーションデータ送信部
５３ アプリケーションデータ計測部
５５ アプリケーション通過許可リスト
５６ アプリケーション規制対象リスト
５７ アプリケーション実行部
６０ 判定部
６１ 判定論理部
６５ 通過許可リスト
６６ 規制対象リスト
６７ 規制対象管理リスト
１０１ ルータ
２−１〜Ｎ（Ｎは任意の整数） ＭＴＡ（Message Transfer Agent:メールサーバ）
３ 管理ドメイン
２０ ネットワークインタフェース
２１、２２ 入力ポート
２３、２４ 出力ポート
３０ トラフィック制御部
３１ Ｌ３データ受信部
３２ Ｌ３データ送信部
３３ Ｌ３データ計測部
３４、４４、５４ データバッファ
３５ Ｌ３／Ｌ４通過許可リスト
３６ Ｌ３／Ｌ４規制対象リスト
４０ Ｌ４終端部
４１ Ｌ４データ受信部
４２ Ｌ４データ送信部
４３ Ｌ４データ計測部
５０ アプリケーション処理部
５１ アプリケーションデータ受信部
５２ アプリケーションデータ送信部
５３ アプリケーションデータ計測部
５５ アプリケーション通過許可リスト
５６ アプリケーション規制対象リスト
５７ アプリケーション実行部
６０ 判定部
６１ 判定論理部
６５ 通過許可リスト
６６ 規制対象リスト
６７ 規制対象管理リスト
１０１ ルータ
Claims (12)
- ネットワークを介して接続される情報処理装置間に配設する帯域制御装置であって、
前記情報処理装置から送信されるデータのアプリケーションレイヤレベルのデータ内容を検査し、規制対象となるデータを検知した場合に、該検知した規制対象となるデータに対して、規定値の遅延を付加させ、前記検知した規制対象となるデータのＬ３トラフィックと、Ｌ４コネクションと、アプリケーションレイヤレベルのトランザクションと、の少なくとも１つに対して処理時間を増大させる規制制御を行うことを特徴とする帯域制御装置。 - 前記アプリケーションレイヤレベルのデータ内容は、
ＳＭＴＰメッセージの送信元メールアドレスと、宛先メールアドレスと、の少なくとも１つであることを特徴とする請求項１記載の帯域制御装置。 - ネットワークを介して接続される情報処理装置間に配設する帯域制御装置であって、
アプリケーションレイヤレベルのデータの遷移状態を監視し、規制対象となるデータを検知した場合に、該検知した規制対象となるデータに対して、規定値の遅延を付加させ、前記検知した規制対象となるデータのＬ３トラフィックと、Ｌ４コネクションと、アプリケーションレイヤレベルのトランザクションと、の少なくとも１つに対して処理時間を増大させる規制制御を行うことを特徴とする帯域制御装置。 - 前記アプリケーションレイヤレベルのデータの遷移状態は、
配信メールのＩＰパケット数と、ＴＣＰコネクション数と、送信メール数と、ＳＭＴＰトランザクションの継続時間と、ＳＭＴＰメッセージの送信元メールアドレス（Ｍａｉｌ Ｆｒｏｍ）数と、ＳＭＴＰメッセージの宛先メールアドレス（Ｒｃｐｔ−Ｔｏ）数と、ＳＭＴＰエラー応答数と、同時に確立するＴＣＰコネクション数と、同時に確立するＳＭＴＰトランザクション数と、の少なくとも１つを計測した結果に基づいた状態であることを特徴とする請求項３記載の帯域制御装置。 - 前記規制対象となるデータに対する規制制御は、ＩＰレベルと、ＴＣＰレベルと、ＳＭＴＰトランザクションレベルと、に分割されてなることを特徴とする請求項１から４の何れか１項に記載の帯域制御装置。
- 前記規制対象となるデータに対するＩＰレベルの規制制御は、ＩＰパケットデータの遅延付加であることを特徴とする請求項５記載の帯域制御装置。
- 前記規制対象となるデータに対するＴＣＰレベルの規制制御は、ＴＣＰのＡＣＫ応答遅延付加であることを特徴とする請求項５記載の帯域制御装置。
- 前記規制対象となるデータに対するＳＭＴＰトランザクションレベルの規制制御は、ＳＭＴＰコマンド応答の遅延付加であることを特徴とする請求項５記載の帯域制御装置。
- ネットワークを介して接続される情報処理装置間に配設する帯域制御装置で行う帯域制御方法であって、
前記情報処理装置から送信されるデータのアプリケーションレイヤレベルのデータ内容を検査し、規制対象となるデータを検知した場合に、該検知した規制対象となるデータに対して、規定値の遅延を付加させ、前記検知した規制対象となるデータのＬ３トラフィックと、Ｌ４コネクションと、アプリケーションレイヤレベルのトランザクションと、の少なくとも１つに対して処理時間を増大させる規制制御を行うことを特徴とする帯域制御方法。 - ネットワークを介して接続される情報処理装置間に配設する帯域制御装置で行う帯域制御方法であって、
アプリケーションレイヤレベルのデータの遷移状態を監視し、規制対象となるデータを検知した場合に、該検知した規制対象となるデータに対して、規定値の遅延を付加させ、前記検知した規制対象となるデータのＬ３トラフィックと、Ｌ４コネクションと、アプリケーションレイヤレベルのトランザクションと、の少なくとも１つに対して処理時間を増大させる規制制御を行うことを特徴とする帯域制御方法。 - ネットワークを介して接続される情報処理装置間に配設する帯域制御装置に実行させる帯域制御プログラムであって、
前記情報処理装置から送信されるデータのアプリケーションレイヤレベルのデータ内容を検査し、規制対象となるデータを検知した場合に、該検知した規制対象となるデータに対して、規定値の遅延を付加させ、前記検知した規制対象となるデータのＬ３トラフィックと、Ｌ４コネクションと、アプリケーションレイヤレベルのトランザクションと、の少なくとも１つに対して処理時間を増大させる規制制御を、コンピュータに実行させることを特徴とする帯域制御プログラム。 - ネットワークを介して接続される情報処理装置間に配設する帯域制御装置に実行させる帯域制御プログラムであって、
アプリケーションレイヤレベルのデータの遷移状態を監視し、規制対象となるデータを検知した場合に、該検知した規制対象となるデータに対して、規定値の遅延を付加させ、前記検知した規制対象となるデータのＬ３トラフィックと、Ｌ４コネクションと、アプリケーションレイヤレベルのトランザクションと、の少なくとも１つに対して処理時間を増大させる規制制御を、コンピュータに実行させることを特徴とする帯域制御プログラム。
Priority Applications (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP2009193341A JP2009284529A (ja) | 2003-11-27 | 2009-08-24 | 帯域制御装置、帯域制御方法及び帯域制御プログラム |
Applications Claiming Priority (2)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP2003397081 | 2003-11-27 | ||
| JP2009193341A JP2009284529A (ja) | 2003-11-27 | 2009-08-24 | 帯域制御装置、帯域制御方法及び帯域制御プログラム |
Related Parent Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| JP2006287894A Division JP2007068208A (ja) | 2003-11-27 | 2006-10-23 | 帯域制御装置、帯域制御方法及び帯域制御プログラム |
Publications (1)
| Publication Number | Publication Date |
|---|---|
| JP2009284529A true JP2009284529A (ja) | 2009-12-03 |
Family
ID=41454409
Family Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| JP2009193341A Pending JP2009284529A (ja) | 2003-11-27 | 2009-08-24 | 帯域制御装置、帯域制御方法及び帯域制御プログラム |
Country Status (1)
| Country | Link |
|---|---|
| JP (1) | JP2009284529A (ja) |
Cited By (1)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| JP2014529974A (ja) * | 2011-09-06 | 2014-11-13 | アルカテル−ルーセント | ネットワーク輻輳を回避するための方法およびその装置 |
Citations (3)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| JP2003169094A (ja) * | 2001-11-30 | 2003-06-13 | Site Rock Corp | メール検出・規制方法およびメールサーバ |
| JP2003173315A (ja) * | 2001-12-05 | 2003-06-20 | Fumio Mizoguchi | 通信管理装置及び管理プログラム |
| JP2005033529A (ja) * | 2003-07-14 | 2005-02-03 | Udtech Japan Kk | 電子メールトラフィックコントローラ |
-
2009
- 2009-08-24 JP JP2009193341A patent/JP2009284529A/ja active Pending
Patent Citations (3)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| JP2003169094A (ja) * | 2001-11-30 | 2003-06-13 | Site Rock Corp | メール検出・規制方法およびメールサーバ |
| JP2003173315A (ja) * | 2001-12-05 | 2003-06-20 | Fumio Mizoguchi | 通信管理装置及び管理プログラム |
| JP2005033529A (ja) * | 2003-07-14 | 2005-02-03 | Udtech Japan Kk | 電子メールトラフィックコントローラ |
Cited By (2)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| JP2014529974A (ja) * | 2011-09-06 | 2014-11-13 | アルカテル−ルーセント | ネットワーク輻輳を回避するための方法およびその装置 |
| US9356878B2 (en) | 2011-09-06 | 2016-05-31 | Alcatel Lucent | Method for avoiding network congestion and an apparatus thereof |
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| JP2005184792A (ja) | 帯域制御装置、帯域制御方法及び帯域制御プログラム | |
| US7926108B2 (en) | SMTP network security processing in a transparent relay in a computer network | |
| US7647411B1 (en) | System and method for controlling distribution of network communications | |
| US6941348B2 (en) | Systems and methods for managing the transmission of electronic messages through active message date updating | |
| US8583787B2 (en) | Zero-minute virus and spam detection | |
| US8185953B2 (en) | Detecting anomalous network application behavior | |
| WO2014101758A1 (zh) | 一种检测邮件攻击的方法、装置及设备 | |
| US6189035B1 (en) | Method for protecting a network from data packet overload | |
| KR20110089179A (ko) | 네트워크 침입 방지 | |
| US7958557B2 (en) | Determining a source of malicious computer element in a computer network | |
| CN105991637A (zh) | 网络攻击的防护方法和装置 | |
| US8301712B1 (en) | System and method for protecting mail servers from mail flood attacks | |
| EP1234244A1 (en) | Electronic message filter having a whitelist database and a quarantining mechanism | |
| US20060265459A1 (en) | Systems and methods for managing the transmission of synchronous electronic messages | |
| CN107135185A (zh) | 一种攻击处理方法、设备及系统 | |
| US7437758B2 (en) | Propagation of viruses through an information technology network | |
| US7958187B2 (en) | Systems and methods for managing directory harvest attacks via electronic messages | |
| Schatzmann et al. | Inferring spammers in the network core | |
| JP2009284529A (ja) | 帯域制御装置、帯域制御方法及び帯域制御プログラム | |
| JP2007068208A (ja) | 帯域制御装置、帯域制御方法及び帯域制御プログラム | |
| CN109660452B (zh) | 一种垃圾邮件源检测方法及装置 | |
| Marsono | Packet‐level open‐digest fingerprinting for spam detection on middleboxes | |
| JP2005210455A (ja) | 電子メール中継装置 | |
| KR101399037B1 (ko) | 발송자의 아이피 주소를 이용한 스팸 메일 처리 방법 및 장치 | |
| Xiaofeng et al. | Flow-based anti-spam |
Legal Events
| Date | Code | Title | Description |
|---|---|---|---|
| A621 | Written request for application examination |
Free format text: JAPANESE INTERMEDIATE CODE: A621 Effective date: 20090824 |
|
| A977 | Report on retrieval |
Free format text: JAPANESE INTERMEDIATE CODE: A971007 Effective date: 20110209 |
|
| A131 | Notification of reasons for refusal |
Free format text: JAPANESE INTERMEDIATE CODE: A131 Effective date: 20110628 |
|
| A521 | Written amendment |
Free format text: JAPANESE INTERMEDIATE CODE: A523 Effective date: 20110829 |
|
| RD01 | Notification of change of attorney |
Free format text: JAPANESE INTERMEDIATE CODE: A7421 Effective date: 20110920 |
|
| A131 | Notification of reasons for refusal |
Free format text: JAPANESE INTERMEDIATE CODE: A131 Effective date: 20111213 |
|
| A02 | Decision of refusal |
Free format text: JAPANESE INTERMEDIATE CODE: A02 Effective date: 20120605 |