JP2012205159A

JP2012205159A - フロー別流量監視制御方法、通信装置、およびプログラム

Info

Publication number: JP2012205159A
Application number: JP2011069035A
Authority: JP
Inventors: Kenji Mihashi; 健治三橋
Original assignee: Fujitsu Ltd
Current assignee: Fujitsu Ltd
Priority date: 2011-03-26
Filing date: 2011-03-26
Publication date: 2012-10-22

Abstract

【課題】複数フローが平等なフロー廃棄になるように制御するとともに、ＤｏＳ攻撃からの通信装置を適切に防御するフロー別流量監視制御方法および通信装置を提供する。
【解決手段】受信したパケットのヘッダ情報を抽出するステップと、フロー情報と、該フロー情報に対応するアドレス情報が関連づけられたテーブルを用い、前記ヘッダ情報に示されるアドレス情報からフローを検索するステップと、前記フローが前記テーブルに存在した場合には、前記フローに関連するアドレス情報に検索履歴情報を関連づけて検索履歴管理情報格納手段に格納するとともに、前記アドレス情報に対応したフローの処理情報を取得するステップと、前記検索履歴情報と前記フローの処理情報を用いて前記受信したパケットのキューイングを行なうステップと、前記検索履歴情報によりサービス妨害攻撃の発生を検出する。
【選択図】図３

Description

本発明は、フロー別流量監視制御方法、通信装置、およびプログラムに関し、特に、ＩＰ（Internet Protocol）ネットワークにおけるサービス妨害（ＤｏＳ：Denial of Service）攻撃の可能性のあるフローの流量をフロー別に監視するフロー別流量監視制御方法、通信装置、およびプログラムに関する。

データ通信において、受信側の処理が追いつかず、データを取りこぼしたりするのを防ぐため、通信状況に応じて送信停止や速度制限などの調整を行なうフロー制御技術が知られている。

一方、サービス妨害（ＤｏＳ：Denial of Service）攻撃は、インターネット経由での不正アクセスであり、大量のデータや不正パケットを送りつけ、ネットワークに接続された資源に過剰な負荷をかけて、攻撃対象のシステムが本来のサービスを実行できなくさせるものである。

ＤｏＳ攻撃を検出する技術については、様々な技術が開示されている。

例えば、単位時間当たりに受信したフローのパケット数またはバイト数が閾値を超えたことで、ＤｏＳ攻撃を検出する技術に関し、先行技術文献がある。

また、ＤｏＳ攻撃を正確に識別する技術、および攻撃被疑を検知した対応フローをサイト内で遮断する技術に関し、先行文献がある。

特開２００７−１１６４０５号公報特開２００６−３５２６６９号公報特開２００６−１６４０３８号公報

従来技術においては、パケット流量の監視および制御する場合に、対象のフローまたはキュークラスを固定的に設定し、対象を限定していた。しかし、実際には複数のフローを束ねたキュークラス単位で監視対象となることが多く、一律な閾値が適用された結果、一つのフローの帯域違反が他のフローの廃棄を招いていた。

ＤｏＳ攻撃パケットを拒否するための上記先行技術文献に開示の技術は、通常では監視対象として設定しないプロトコル系パケットのフローを指定してパケット数やバイト数が著しく多いフローを固定的な基準で検出するために、非常に多くの資源を用意しなければならなかった。

本発明は、ネットワークに流れるプロトコル系パケットも含め、全てのフローを制御対象とするフロー別の流量を監視制御する技術に関し、特に複数フローが平等なフロー廃棄になるように制御するとともに、ＤｏＳ攻撃からの通信装置を適切に防御することを目的とする。

上記課題を解決するための方法の一観点は、受信したパケットのヘッダ情報を抽出するステップと、フロー情報と、該フロー情報に対応するアドレス情報が関連づけられたテーブルを用い、前記ヘッダ情報に示されるアドレス情報からフローを検索するステップと、前記フローが前記テーブルに存在した場合には、前記フローに関連するアドレス情報に検索履歴情報を関連づけて検索履歴管理情報格納手段に格納するとともに、前記アドレス情報に対応したフローの処理情報を取得するステップと、前記検索履歴情報と前記フローの処理情報を用いて前記受信したパケットのキューイングを行なうステップと、前記検索履歴情報によりサービス妨害攻撃の発生を検出するステップとを含んでいる。

以上、開示の技術によれば、全パケットを監視対象とし、且つソフトウェアモジュールごとの処理性能に合わせて柔軟に輻輳状態の判断が行なえるようにしたため、一つのフローの帯域違反が他のフローへの影響を受けなくなるとともに、高度なデータ解析が可能となるので、ＤｏＳ攻撃を受けていると判断したら、エントリの無効化、帯域制限などの防御策について保守者を介さず、リアルタイムに適用することができる。

本発明の適用される通信装置のネットワーク配置図である。本発明の適用される通信装置の構成図である。本発明の一実施形態における通信装置の詳細構成図である。本発明の一実施形態における優先／帯域制御部の構成図である。本発明の一実施形態におけるフロー別流量監視制御手順のフローチャート（その１）である。本発明の一実施形態におけるフロー別流量監視制御手順のフローチャート（その２）である。本発明による通信装置で使用するパケットの構造図である。本発明の一実施形態における通信装置で使用する管理テーブルの構成図である。

図１は、本発明の適用される通信装置のネットワーク配置図であり、（ａ）ＬＡＮに接続されたＬ２ＳＷ、及び（ｂ）ＷＡＮに接続されたＬ３ＳＷである。

（ａ）ＬＡＮに接続されたＬ２ＳＷ
Ｌ２ＳＷ（レイヤ２スイッチ）（２）は、ネットワークの中継機器の一つであり、データリンク層（第２層）のデータでパケット３_１、３_２の行先を判断して転送を行なうものである。

複数のユーザ端末４_１〜４_３が接続されているＬＡＮ（Local Aria Network）（１）にはパケット情報が飛び交っており、不正なパケット攻撃を受ける可能性がある。

そのため、Ｌ２ＳＷ（２）にてパケット流量の監視制御が行われる。

（ｂ）ＷＡＮに接続されたＬ３ＳＷ
Ｌ３ＳＷ（レイヤ３スイッチ）（６_１〜６_４）は、ネットワークの中継機器の一つであり、ネットワーク層（第３層）のデータでパケットの行先を判断して転送を行なうものである。

Ｌ３ＳＷ［Edge］６_１、６_３では、Ｌ３ＳＷ［Core］６_２、６_４と異なり、ＵｐｐｅｒＬｉｎｋとＬｏｗｅｒＬｉｎｋの帯域が異なり、サービス品質（ＱｏＳ：Quality of Service）による流量制御を必要とする。

図２は、本発明に適用される通信装置の構成図である。

通信装置７は、図１で説明したＬ２ＳＷ（２）およびＬ３ＳＷ（６_１〜６_４）であり、回線処理モジュール８_１〜８_３、フォワーディング処理モジュール９_１、９_２、９_３、スイッチングモジュール１０、および装置制御モジュール１１で構成される。

回線処理モジュール８_１〜８_３は、外部の回線と直接接続し、パケットの送受信処理を行うモジュールである。

フォワーディング処理モジュール９_１、９_２、９_３は、パケットのＬ２,Ｌ３,Ｌ４ヘッダ情報を解析し、装置内におけるパケット処理方法を決めるモジュールであり、ＱｏＳキュー単位に帯域制御と優先制御を行う優先／帯域制御部９１_１、９１_２と、パケットの廃棄もしくはＱｏＳキュークラスへの振り分け指示を行なう制御部９２を備える。

スイッチングモジュール１０は、装置内のスロット間スイッチングを行なうモジュールである。

装置制御モジュール１１は、装置全体を統括して装置管理及び通信プロトコル終端を行うモジュールである。

本発明は、フォワーディング処理モジュール９_１、９_２、９_３内の優先／帯域制御部９１_１、９１_２および制御部９２に適用される。なお、後述する図３との対応において、制御部９２は、ソフトウェア処理部２５に対応し、その他のモジュール部はパケットに対する読み取り加工処理がメインのため、一般的には優先／帯域制御部９１_１、９１_２とは区別される。

図３は、本発明の一実施形態における通信装置の詳細構成図である。

パケット受信用バッファ１２は、パケットが到着した場合、パケット振り分け先のＱｏＳキュークラスが決まるまでの間、到着したパケットを格納する。

受信パケットは、最適な経路を選択して送信するルーチングパケット１３、ＩＰアドレスから物理層のネットワーク・アドレス（ＭＡＣアドレス）を求めるために利用されるＡＲＰ（Address Resolution Protocol）パケット１４、およびＩＰの機能を補完するためのＩＣＭＰ（Internet Control Message Protocol）パケット１５が存在する。

なお、ＡＲＰは、Ｌ２レイヤのプロトコルであることからＬ２ヘッダを解析して装置内の処理を決める。ＩＣＭＰは、Ｌ３レイヤのプロトコルであることからＬ３ヘッダを解析して装置内の処理を決める。

フロー識別モジュール１６は、受信用パケットのＬ２／Ｌ３／Ｌ４ヘッダ情報を抽出し、それらを検索キーとしてＣＡＭ（Content Addressable Memory）１７へ送信する。

ＣＡＭ（Content Addressable Memory）１７は、ロンゲストプレフィックス方式でフローのエントリ検索を行い、ヒットしたエントリのアドレス情報を返す。アドレス情報はアドレスデコーダ１８により、セレクタ２０向けおよび連想メモリ２２向けのアドレス情報へと変換される。ロンゲストプレフィックス方式は、対象となっているあるアドレスに対し、複数のプレフィックスの中から上位ビットが最も長く合致するプレフィックスを選択する方式である。

ＣＡＭテーブル１７ａは、ＣＡＭ１７に付随するテーブルであり、テーブル構造については、後述する図８にて説明する。

セレクタ２０は、アドレスデコーダ１８より受信したアドレス情報に対応したヒット履歴格納用ＦＩＦＯ［ＩＣＭＰ］（２１ａ）、ＦＩＦＯ［ＡＲＰ］（２１ｂ）へ時刻情報１９を格納する。

ヒット履歴格納用ＦＩＦＯ［ＩＣＭＰ］（２１ａ）、ＦＩＦＯ［ＡＲＰ］（２１ｂ）は、フローごとの管理ＦＩＦＯであり、ＦＩＦＯの構造については、後述する図８にて説明する。

連想メモリ２２は、アドレスデコーダ１８より受信したアドレス情報に対応した連想メモリテーブル２２ａにアクセスし、ＱｏＳキューおよび有効または無効に関する情報を取得する。

連想メモリテーブル２２ａは、連想メモリ２２に付随するテーブルであり、テーブル構造については、後述する図８にて説明する。

制御部２３は、ヒット履歴格納用ＦＩＦＯ（２１ａ），（２１ｂ）の情報と連想メモリ２２の情報（有効または無効フラグ、ＱｏＳキュー番号）を基にパケットの廃棄もしくはＱｏＳキュークラスへの振り分け指示を行なう。

優先／帯域制御部２４は、ＱｏＳキュー単位に優先制御と帯域制御を行う。優先／帯域制御部２４の詳細については図４にて説明する。

ソフトウェア処理部２５は、フォワーディング処理モジュール９のソフトウェアで終端するパケットの処理を行う。

流量解析動的制御部２５１は、フォワーディング処理モジュール９_１、９_２、９_３のソフトウェアで終端するパケットの処理が完了するたびに該当するヒット履歴格納用ＦＩＦＯ（２１ａ）、（２１ｂ）よりヒット履歴を読み出す。また、単位時間当たりのヒット率を計算し、ＤｏＳ攻撃を受けていると判断した場合にはフローエントリの一時的な無効化や、ＱｏＳキューの帯域変更を動的に行い、パケット廃棄動作を起動させる。

ＡＲＰ処理モジュール２５２は、前述したＡＲＰ（Address Resolution Protocol）パケット１４を処理するモジュールである。

ＩＣＭＰ処理モジュール２５３は、前述したＩＣＭＰ（Internet Control Message Protocol）パケット１５を処理するモジュールである。

このように、ソフトウェアモジュールごとに流量制御するため、あるモジュールで輻輳してもその影響が他のソフトウェアモジュールに及ぶことは無く、ソフトウェアモジュール自身の処理性能に合わせてパケット供給を行なうことができる。

以上の構成において、フロー識別モジュール１６→ＣＡＭ１７→アドレスデコーダ１８→セレクタ２０→制御部２３→優先／帯域制御部２４のルートは、パケットのヘッダ部のみの処理になる。

本例では、パケットの種類として、ルーチングパケット１３、ＡＲＰパケット１４、およびＩＣＭＰパケット１５を例にして説明したが、多種類あるパケットのうちで自装置宛フローと、他装置宛フローの一例として上げたものであり、本発明はその他のパケットに対しても適用することが可能である。

ＡＲＰパケット１４、およびＩＣＭＰパケット１５は、ＡＲプロトコル、ＩＣＭプロトコルを任意の通信の制御部（ソフトウェア処理部）へ伝達するためのパケットであり、本例では、ＤｏＳ攻撃の代表例として、それらのパケットを対象として説明した。

なお、本例では流量監視制御対象を自装置宛フローとした場合について記載している。

図４は、本発明の一実施形態における優先／帯域制御部の構成図である。図４に示すように、優先／帯域制御部２４は、クラシファイア２４１と、メインスケジューラ２４２と、ＱｏＳキューアドレス管理ＦＩＦＯ１（２４３_１）〜ＦＩＦ３（２４３_３）とＱｏＳ共有メモリ２４４と、セレクタ２４５とからなる。

クラシファイア（Classifier）２４１は、制御部２３から指示されたＱｏＳキューにパケット受信用バッファ１２から受信したパケットを振り分けて格納する分類装置であり、制御部２３から振り分け指示を受けた場合は、ＱｏＳ共有メモリ２４４へ受信したパケットを格納し、受信パケットのアドレスをＱｏＳキューアドレス管理ＦＩＦＯ１（２４３_１）〜ＦＩＦＯ３（２４３_３）へ格納する。

メインスケジューラ２４２は、流量解析動的制御部２５１から送信される帯域調整値に基づいて、ＱｏＳ共有メモリ２４４に格納されたパケットの読出し順序および回数を指示する。

ＱｏＳキューアドレス管理ＦＩＦＯ１（２４３_１）〜ＦＩＦＯ３（２４３_３）は、ＱｏＳ共有メモリ２４４に格納されたパケットのアドレスが格納される。

ＱｏＳ共有メモリ２４４は、パケット受信用バッファ１２から受信したパケットを格納する。

セレクタ２４５は、メインスケジューラ２４２からの指示の元、ＱｏＳ共有メモリ２４４からパケットを読み出す。

以上の構成により、優先／帯域制御部２４は、パケット振り分け先のＱｏＳキュークラスを決定してＱｏＳの利用条件や運用条件の規定を決めるＱｏＳポリシーを実現する。

ＱｏＳポリシーとは、どのアプリケーションを優先するか、各アプリケーションに対するＱｏＳの評価尺度をどの程度にするのかを決めたものを呼ぶ。

図５は、本発明の一実施形態におけるフロー別流量監視制御手順のフローチャート（その１）である。以下に、図３通信装置の詳細構成図を参照しながら、フロー別流量監視制御手順を時系列的に説明する。

Ｓ１．パケット受信用バッファ１２は、パケットが到着し、自バッファ内にパケットが格納されているかを確認する。

Ｓ２．フロー識別モジュール１６は、パケット受信用バッファ１２内に格納されているパケットのヘッダ領域を抽出し、それらを検索キーとしてＣＡＭ１７へ送信する。

パケットのヘッダ領域（Ｌ２ヘッダ、Ｌ３ヘッダ、Ｌ４ヘッダ）については、図５にて詳述する。

Ｓ３．ＣＡＭ１７は、ロンゲストプレフィックス方式で、フローのエントリ検索を行い、ヒットしたエントリのアドレス情報をアドレスデコーダ１８へ送信する。ロンゲストプレフィックス方式は、対象となっているあるアドレスに対し、複数のプレフィックスの中から上位ビットがもっとも長く合致するプレフィックスを選択する方式である。アドレスデコーダ１８は、このアドレス情報をデコードし、セレクタ２０向けのアドレス情報と、連想メモリ２２向けのアドレス情報に変換する。なお、フローエントリがヒットする詳細説明は、図８にて後述する。

Ｓ４．受信した時刻情報２３を含むセレクタ２０は、アドレスデコーダ１８より受信したアドレス情報に示されるフロー種別により、アドレス情報に対応したヒット履歴格納用ＦＩＦＯ［ＩＣＭＰ］（２１ａ）およびヒット履歴格納用ＦＩＦＯ［ＡＲＰ］（２１ｂ）・・・・等へそれぞれ時刻情報を格納する。

Ｓ５．連想メモリ２２は、アドレスデコーダ１８より受信したアドレス情報に対応した連想メモリテーブル２２ａにアクセスし、フロー情報の判別（ＱｏＳキューおよび有効／無効に関する情報より）を行なう。

Ｓ６．制御部２３は、前述のＳ４によるヒット履歴格納用ＦＩＦＯの情報（Ｆｕｌｌ、ＡｌｍｏｓｔＦｕｌｌ）と、前述のＳ５による有効／無効フラグ、ＱｏＳキュー番号）を元に、パケットの廃棄もしくはＱｏＳクラスへの振り分けを行なう。

Ｓ７．優先／帯域制御部２４は、ＱｏＳキュー単位に優先制御と帯域制御を行う。具体的には、ＱｏＳ共有メモリ２４４にパケットを格納し、格納したパケットのアドレスをＱｏＳキューアドレス管理ＦＩＦＯ１（２４３_１）〜ＱｏＳキューアドレス管理ＦＩＦＯ３（２４３_３）に振り分ける動作をする。

以上のフローチャートは、受信パケットのヘッダ情報を抽出してからＱｏＳキュー単位に優先／帯域制御を行うまでを示す。

特に、フロー識別処理の際に装置内のデバイス間での情報伝達されるエントリアドレスと、ヒット時刻を管理することにより、全ての履歴をデータ解析可能な形で保存できることに着目している。

図６は、本発明の一実施形態におけるフロー別流量監視制御手順のフローチャート（その２）である。以下に、図３通信装置の詳細構成図を参照しながら、フロー別流量監視制御手順を時系列的に説明する。

Ｓ８．優先／帯域制御２４より出力されるパケットのうち、自装置宛については、ソフトウェア処理部２５へのフォワーディング（forwarding）を行なう。自装置宛のパケットは、ＡＲＰパケット１４とＩＣＭＰパケット１５である。

Ｓ９．優先／帯域制御２４より出力されるパケットのうち、他装置宛については、他装置へのフォワーディング（forwarding）を行なう。他装置宛のパケットは、ルーチングパケット１３である。

Ｓ１０．フォワーディング処理モジュール９のソフトウェアで終端するパケットの処理を行う。

Ｓ１１．流量解析動的制御部２５１は、フォワーディング処理モジュール９のソフトウェアで終端するパケットの処理が完了するたびに該当するヒット履歴格納用ＦＩＦＯ（２１）よりヒット履歴を読みだし、流量の解析と、動的制御を実行する。流量の解析は、単位時間あたりのヒット率を算定する。動的制御は、ＤｏＳ攻撃を受けていると判断した場合にフローエントリの無効化、ＱｏＳキューの帯域変更およびパケット廃棄動作である。上記動的制御は、流量解析動的制御部２５１より連想メモリ２２および優先／帯域制御部２４に対して指示される。

以上のフローチャートは、ＱｏＳキュー単位に優先／帯域制御を行ってから、特に自装置宛のパケットについて流量解析と動的制御を行うまでを示す。

特に、フローのエントリアドレスとヒット時刻がデータとして装置内のソフトウェア処理部に渡されるため、高度なデータ解析が可能となる。その結果、攻撃を受けていると判断したら、エントリの無効化、帯域制限などの防御策について保守者を介さずリアルタイムに適用できる。

図７は、本発明による通信装置で処理するパケットの構造である。到着するパケットのヘッダ構造は図７に示すとおりであり、ネットワークレイヤーごとヘッダを具備する。

レイヤ２であれば、Ｌ２ヘッダには、ＭＡＣＤｓｔ（４８ビット）とＭＡＣＳｒｃ（４８ビット）が該当する。

レイヤ３であれば、Ｌ３ヘッダには、ＩＰＳｒｃ（３２ビット）とＩＰＤｓｔ（３２ビット）が該当する。

レイヤ４であれば、Ｌ４ヘッダには、ＰｏｒｔＳｒｃ（１６ビット）とＰｏｒｔＤｓｔ（１６ビット）が該当する。

ネットワークポリシーの適用単位となるフローは、これらのヘッダ情報に基づいて決められる。

ペイロード（Ｐａｙｌｏａｄ）は、パケット、フレーム、セルなどで、制御用のヘッダ部分などを除いた実データを伝送するフィールドであり、ＦＣＳ［３２ビット］は、フレーム・チェック・シーケンス（Frame check sequence）であり、受信側が伝送誤りを検出できるようにするために、送信側がフレームと呼ぶデータ転送単位の最後尾に付けるビット列である。

以上の構成において、Ｌ２ヘッダ、Ｌ３ヘッダ及びＬ４ヘッダのヘッダ構造は、ネットワークレイヤごとのヘッダを具備している。よって、ネットワークポリシーの適用単位となるフローは、これらのヘッダ情報に基づいて決められる。

図８は、本発明の一実施形態における通信装置で使用する管理テーブルの構成図である。ＣＡＭテーブル１７ａの構造は、［フローNo.０］、［フローNo.１］、［フローNo.２］、［フローNo.３］・・・の中で、Ｌ２／Ｌ３／Ｌ４ヘッダをキーとした検索により、［フローNo.１］エントリーがヒット状態を示す。

ＣＡＭ（Content Addressable Memory）テーブル１７ａは、ヒットしたエントリのアドレス情報0x0000_0010をアドレスデコーダ１８に返す。

アドレスデコーダ１８は、ヒット履歴管理用ＦＩＦＯ（２１）に対し、［フローNo.１のヒット履歴］へヒットした時刻を格納する。

更に、アドレスデコーダ１８は、連想メモリ２２の［フローNo.１の処理詳細］から、ヒットしたフローに対する処理詳細である「ＱｏＳキュー（ＦＩＦＯ）番号：２」及び「有効／無効フラグ：有効」の情報を取得する。

以上の構成により、アドレスデコーダ１８は、ＣＡＭテーブル１７ａからフローエントリがヒットしたエントリアドレスを受信し、このエントリアドレスに対応した連想メモリ２２ａのアドレスからヒットしたフローに対する処理詳細を取得でき、且つ、ヒットした時刻をフローごとのヒット履歴管理用ＦＩＦＯ（２１）へ格納できる。

本発明によるフロー別流量監視制御方法および通信装置は、キュークラスではなく、フロー単位に独立した流量制御が可能となるため、他の違反フローの影響を受けなくなり、全てのプロトコル系パケットを制御対象として網羅できるため、セキュリティ対策となる。更に、プロトコルごとの処理能力に合わせて最大限の性能と、最小限の廃棄となる流量制御を実現できる。

以上から、不平等な廃棄率の改善、ＤｏＳ攻撃パケットの防御、保守工数の削減に貢献できる通信装置を提供でき、また、通信装置の管理者にとって利便性が大幅に向上する。

以上の実施態様に関し、さらに以下の付記を開示する。
（付記１）
受信したパケットのヘッダ情報を抽出するステップと、
フロー情報と、該フロー情報に対応するアドレス情報が関連づけられたテーブルを用い、前記ヘッダ情報に示されるアドレス情報からフローを検索するステップと、
前記フローが前記テーブルに存在した場合には、前記フローに関連するアドレス情報に検索履歴情報を関連づけて検索履歴管理情報格納手段に格納するとともに、前記アドレス情報に対応したフローの処理情報を取得するステップと、
前記検索履歴情報と前記フローの処理情報を用いて前記受信したパケットのキューイングを行なうステップと、
前記検索履歴情報によりサービス妨害攻撃の発生を検出するステップと、
を含むことを特徴とするフロー別流量監視制御方法。
（付記２）
付記１において、
前記キューイングを行なうステップは、ＱｏＳキュー単位に行なうことを特徴とするフロー別流量監視制御方法。
（付記３）
付記１において、
前記サービス妨害攻撃の発生を検出するステップは、読み出された自装置宛のパケットをソフトウェア処理で終端処理が完了するたびに該当する前記検索履歴情報を読み出すことを特徴とするフロー別流量監視制御方法。
（付記４）
付記３において、
前記サービス妨害攻撃の発生を検出するステップは、単位時間あたりの前記検索履歴情報の発生率を算定することを特徴とするフロー別流量監視制御方法。
（付記５）
受信したパケットのヘッダ情報を抽出する手段と、
フロー情報と、該フロー情報に対応するアドレス情報が関連づけられたテーブルと、
ヘッダ情報に示されるアドレス情報からフローを検索する手段と、
前記フローが前記テーブルに存在した場合には、前記フローに関連するアドレス情報に検索履歴情報を関連づけて格納する手段と、
前記アドレス情報に対応したフローの処理情報を取得する手段と、
前記検索履歴管理情報と前記フローの処理情報を用いて前記受信したパケットのキューイングを行なう手段と、
前記検索履歴情報によりサービス妨害攻撃の発生を検出する手段と、
を備えることを特徴とする通信装置。
（付記６）
付記５において、
前記受信したパケットのキューイングを行なう手段は、ＱｏＳキュー単位に優先選択と帯域制御を行なうことを特徴とする通信装置。
（付記７）
付記５において、
前記サービス妨害攻撃の発生を検出する手段は、読み出された自装置宛のパケットをソフトウェア処理で終端処理が完了するたびに該当する前記検索履歴情報を読み出すことを特徴とする通信装置。
（付記８）
付記７において、
前記サービス妨害攻撃の発生を検出するステップは、単位時間あたりの前記検索履歴情報の発生率を算定することを特徴とする通信装置。
（付記９）
コンピュータに、
受信したパケットのヘッダ情報を抽出するステップと、
フロー情報と、該フロー情報に対応するアドレス情報が関連づけられたテーブルを用い、前記ヘッダ情報に示されるアドレス情報からフローを検索するステップと、
前記フローが前記テーブルに存在した場合には、前記フローに関連するアドレス情報に検索履歴情報を関連づけて検索履歴管理情報格納手段に格納するとともに、前記アドレス情報に対応したフローの処理情報を取得するステップと、
前記検索履歴情報と前記フローの処理情報を用いて前記受信したパケットのキューイングを行なうステップと、
前記検索履歴情報によりサービス妨害攻撃の発生を検出するステップと、
を実行させることを特徴とするプログラム。
（付記１０）
付記９において、
前記キューイングを行なうステップは、ＱｏＳキュー単位に行なうことを特徴とするプログラム。
（付記１１）
付記９において、
前記サービス妨害攻撃の発生を検出するステップは、読み出された自装置宛のパケットをソフトウェア処理で終端処理が完了するたびに該当する前記検索履歴情報を読み出すことを特徴とするフロー別流量監視制御方法。
前記キューイングは、ＱｏＳキュー単位に行なうことを特徴とするプログラム。
（付記１２）
付記１１において、
前記サービス妨害攻撃の発生を検出するステップは、単位時間あたりの前記検索履歴情報の発生率を算定することを特徴とするプログラム。

１ＬＡＮ
２Ｌ２ＳＷ
３_１、３_２パケット
４_１、４_２、４_３ユーザ端末
５ＷＡＮ
６_１、６_２、６_３、６_４Ｌ３ＳＷ
７通信装置（Ｌ２ＳＷ、Ｌ３ＳＷ）
８_１、８_２、８_３回線処理モジュール
９_１、９_２、９_３フォワーディング処理モジュール
１０スイッチングモジュール
１１装置制御モジュール
１２パケット受信用バッファ
１３ルーチングパケット
１４ＡＲＰパケット
１５ＩＣＭＰパケット
１６フロー識別モジュール
１７ＣＡＭ
１７ａＣＡＭテーブル
１８アドレスデコーダ
１９時刻情報
２０セレクタ
２１、２１ａ、２１ｂヒット履歴管理用ＦＩＦＯ
２２連想メモリ
２２ａ連想メモリテーブル
２３制御部
２４優先／帯域制御部
２４１クラシファイヤ
２４２メインスケジューラ
２４３_１、２４３_２、２４３_３ＱｏＳキューアドレス管理ＦＩＦＯ
２４４ＱｏＳ共有メモリ
２４５セレクタ
２５ソフトウェア処理部
２５１流量解析動的制御部
２５２ＡＲＰ処理モジュール
２５３ＩＣＭＰ処理モジュール

Claims

受信したパケットのヘッダ情報を抽出するステップと、
フロー情報と、該フロー情報に対応するアドレス情報が関連づけられたテーブルを用い、前記ヘッダ情報に示されるアドレス情報からフローを検索するステップと、
前記フローが前記テーブルに存在した場合には、前記フローに関連するアドレス情報に検索履歴情報を関連づけて検索履歴管理情報格納手段に格納するとともに、前記アドレス情報に対応したフローの処理情報を取得するステップと、
前記検索履歴情報と前記フローの処理情報を用いて前記受信したパケットのキューイングを行なうステップと、
前記検索履歴情報によりサービス妨害攻撃の発生を検出するステップと、
を含むことを特徴とするフロー別流量監視制御方法。
請求項１において、
前記キューイングを行なうステップは、ＱｏＳキュー単位に行なうことを特徴とするフロー別流量監視制御方法。
請求項１において、
前記サービス妨害攻撃の発生を検出するステップは、読み出された自装置宛のパケットをソフトウェア処理で終端処理が完了するたびに該当する前記検索履歴情報を読み出すことを特徴とするフロー別流量監視制御方法。
請求項３において、
前記サービス妨害攻撃の発生を検出するステップは、単位時間あたりの前記検索履歴情報の発生率を算定することを特徴とするフロー別流量監視制御方法。
受信したパケットのヘッダ情報を抽出する手段と、
フロー情報と、該フロー情報に対応するアドレス情報が関連づけられたテーブルと、
ヘッダ情報に示されるアドレス情報からフローを検索する手段と、
前記フローが前記テーブルに存在した場合には、前記フローに関連するアドレス情報に検索履歴情報を関連づけて格納する手段と、
前記アドレス情報に対応したフローの処理情報を取得する手段と、
前記検索履歴管理情報と前記フローの処理情報を用いて前記受信したパケットのキューイングを行なう手段と、
前記検索履歴情報によりサービス妨害攻撃の発生を検出する手段と、
を備えることを特徴とする通信装置。
請求項５において、
前記受信したパケットのキューイングを行なう手段は、ＱｏＳキュー単位に優先選択と帯域制御を行なうことを特徴とする通信装置。
請求項５において、
前記サービス妨害攻撃の発生を検出する手段は、読み出された自装置宛のパケットをソフトウェア処理で終端処理が完了するたびに該当する前記検索履歴情報を読み出すことを特徴とする通信装置。
請求項７において、
前記サービス妨害攻撃の発生を検出するステップは、単位時間あたりの前記検索履歴情報の発生率を算定することを特徴とする通信装置。
コンピュータに、
受信したパケットのヘッダ情報を抽出するステップと、
フロー情報と、該フロー情報に対応するアドレス情報が関連づけられたテーブルを用い、前記ヘッダ情報に示されるアドレス情報からフローを検索するステップと、
前記フローが前記テーブルに存在した場合には、前記フローに関連するアドレス情報に検索履歴情報を関連づけて検索履歴管理情報格納手段に格納するとともに、前記アドレス情報に対応したフローの処理情報を取得するステップと、
前記検索履歴情報と前記フローの処理情報を用いて前記受信したパケットのキューイングを行なうステップと、
前記検索履歴情報によりサービス妨害攻撃の発生を検出するステップと、
を実行させることを特徴とするプログラム。