JP2015050717A - コントローラ、コンピュータシステム、ネットワーク構成変更方法、及びネットワーク構成変更プログラム - Google Patents
コントローラ、コンピュータシステム、ネットワーク構成変更方法、及びネットワーク構成変更プログラム Download PDFInfo
- Publication number
- JP2015050717A JP2015050717A JP2013182580A JP2013182580A JP2015050717A JP 2015050717 A JP2015050717 A JP 2015050717A JP 2013182580 A JP2013182580 A JP 2013182580A JP 2013182580 A JP2013182580 A JP 2013182580A JP 2015050717 A JP2015050717 A JP 2015050717A
- Authority
- JP
- Japan
- Prior art keywords
- network
- controller
- virtual
- virtual network
- unauthorized access
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Granted
Links
- 230000008859 change Effects 0.000 title claims description 47
- 238000000034 method Methods 0.000 title claims description 27
- 238000012545 processing Methods 0.000 claims abstract description 13
- 238000001514 detection method Methods 0.000 claims description 180
- 238000012546 transfer Methods 0.000 claims description 26
- 230000004044 response Effects 0.000 claims description 14
- 230000008569 process Effects 0.000 claims description 7
- 238000004891 communication Methods 0.000 description 84
- 230000005856 abnormality Effects 0.000 description 30
- 238000010586 diagram Methods 0.000 description 29
- 238000007726 management method Methods 0.000 description 22
- 230000002159 abnormal effect Effects 0.000 description 21
- 230000009471 action Effects 0.000 description 14
- 230000006870 function Effects 0.000 description 9
- 238000012544 monitoring process Methods 0.000 description 8
- 238000005516 engineering process Methods 0.000 description 6
- 230000005540 biological transmission Effects 0.000 description 4
- 238000001914 filtration Methods 0.000 description 4
- 238000006243 chemical reaction Methods 0.000 description 3
- 238000010276 construction Methods 0.000 description 3
- 238000002347 injection Methods 0.000 description 3
- 239000007924 injection Substances 0.000 description 3
- 239000000470 constituent Substances 0.000 description 2
- 230000002265 prevention Effects 0.000 description 2
- 230000001960 triggered effect Effects 0.000 description 2
- 241000700605 Viruses Species 0.000 description 1
- 238000004458 analytical method Methods 0.000 description 1
- 238000012550 audit Methods 0.000 description 1
- 238000012217 deletion Methods 0.000 description 1
- 230000037430 deletion Effects 0.000 description 1
- 238000009434 installation Methods 0.000 description 1
- 238000012806 monitoring device Methods 0.000 description 1
- 238000003672 processing method Methods 0.000 description 1
Images
Landscapes
- Data Exchanges In Wide-Area Networks (AREA)
Abstract
【解決手段】本発明によるコントローラは、セキュリティ強度が異なる複数の仮想ネットワークから選択された一の仮想ネットワークを構成するように、少なくとも1つのスイッチのフローエントリを設定するフロー制御部を具備する。このとき、スイッチは、自身に設定されたフローエントリに従って、受信パケットの中継処理を行い、前記選択された仮想ネットワークを構成する。
【選択図】図1
Description
本発明によるコンピュータシステムでは、セキュリティ強度の異なる複数のネットワーク構成が用意される。本発明に係るコントローラは、スイッチのフローテーブルを変更することで、用意された複数の仮想ネットワーク構成から選択された一のネットワーク構成に、現在のネットワーク構成を変更する。本発明によれば、オープンフロー技術を利用しているため短時間でセキュリティ強度の異なるネットワーク構成に変更できる。このため、全ての仮想サーバに対して仮想ファイアウォールを割り当てることなく、所望の時期に、所望の仮想サーバに対して仮想ファイアウォールを割り当てるように、ネットワーク構成を変更することが可能となる。すなわち、本発明によれば、少ないセキュリティ資源で、不正アクセスに対して適時適切な防御を行うことが可能となる。又、セキュリティ強度向上のためのコストを削減することができる。更に、本発明によるコントローラは、不正アクセス検知装置からの侵入検知情報に応じて、ネットワーク構成を変更できる。このため、アプリケーションレベルの不正アクセスの検出に応じて、所定の仮想サーバや仮想ネットワークに対するセキュリティレベルを変更することができる。
本発明によるコンピュータシステム1では、オープンフロープロトコルに従って通信経路の構築及びパケットデータの転送制御が行われる。図1は、本発明によるコンピュータシステム1の実施の形態における構成の一例を示す図である。図1を参照して、本発明によるコンピュータシステム1は、オープンフローコントローラ11(以下、OFC11と称す)、クラウドコントローラ12(以下、CC12と称す)、構成管理情報データベース13、複数のスイッチ2−1〜2−n(以下、OFS2−1〜2−nと称す)、不正アクセス検知装置3、ルータ装置4、負荷分散装置5、物理サーバ6(ここでは、一例としてWEBサーバ6−1、NAS(Network Attached Storage)6−2)、及びファイアウォール装置7を具備する。 ただし、nは自然数である。
第1の実施の形態
図4から図17を参照して、第1の実施の形態におけるネットワーク構成変更動作の一例を説明する。第1の実施の形態では、図4に示す仮想ネットワーク構成を基準構成とし、ネットワーク構成を変更することでWEBサーバ60に対するセキュリティレベルを変更する動作を説明する。
図17から図20を参照して、第2の実施の形態におけるネットワーク構成変更動作の一例を説明する。第2の実施の形態では、図17に示す仮想ネットワーク構成を基準構成とし、ネットワーク構成を変更することで企業サイト200内のWEBサーバ210に対するセキュリティレベルを変更する動作を説明する。図17に示すネットワークは、図4に示すWEBサーバ60に替えて、専用線300等を介してOFS群20に接続された企業サイト200を備える。ここで、企業サイト200は、WEBサーバ210、オープンフロースイッチ群220(以下、OFS群220と称す)、ファイアウォール230、イントラネット240を備える。例えば、企業サイト200を利用する企業は、コンピュータシステム1を運営する会社にセキュリティの代行を委託する。
2 :オープンフロースイッチ(OFS)
3 :不正アクセス検知装置
4 :ルータ装置
5 :負荷分散装置
6 :物理サーバ
7 :ファイアウォール装置
10 :コントローラ
11 :オープンフローコントローラ(OFC)
12 :クラウドコントローラ(CC)
13 :構成管理情報データベース
20、20−1〜20−5、230 :オープンフロースイッチ群(OFS群)
40 :ルータ
50 :負荷分散装置
60、210 :WEBサーバ
61、211 :WAF付WEBサーバ
70、230 :ファイアウォール
100 :インターネット
111 :フロー制御部
112 :ネットワーク設定部
131 :ネットワーク識別子
132 :ネットワーク構成情報
133 :使用ネットワーク情報
200 :企業サイト
210 :WEBサーバ
Claims (17)
- セキュリティ強度が異なる複数の仮想ネットワークから選択された一の仮想ネットワークを構成するように、少なくとも1つのスイッチのフローエントリを設定するフロー制御部を具備し、
前記スイッチは、自身に設定されたフローエントリに従って、受信パケットの中継処理を行い、前記選択された仮想ネットワークを構成する
コントローラ。 - 請求項1に記載のコントローラにおいて、
前記フロー制御部は、使用中の仮想ネットワークに対する不正アクセスの検知に応じて、少なくとも1つのスイッチのフローエントリを設定する
コントローラ。 - 請求項1又は2に記載のコントローラにおいて、
前記フロー制御部は、使用中の仮想ネットワークに対する不正アクセスの内容に応じた仮想ネットワークを、前記複数の仮想ネットワークから選択し、前記選択された仮想ネットワークに変更するように、少なくとも1つのスイッチのフローエントリを設定する
コントローラ。 - 請求項2又は3に記載のコントローラにおいて、
前記フロー制御部は、Simple Mail Transfer Protocolによる電子メールにより通知される侵入検知情報に基づいて、少なくとも1つのスイッチのフローエントリを設定する
コントローラ。 - 請求項1から4のいずれか1項に記載のコントローラにおいて、
前記フロー制御部は、使用中の仮想ネットワークにおける仮想サーバと外部ネットワークとの間にファイアウォールが挿入された仮想ネットワークを選択し、前記選択された仮想ネットワークに変更するように、少なくとも1つのスイッチのフローエントリを設定する
コントローラ。 - 請求項1から5のいずれか1項に記載のコントローラにおいて、
前記フロー制御部は、使用中の仮想ネットワークにおける仮想サーバと外部ネットワークとの間に負荷分散装置が挿入された仮想ネットワークを選択し、前記選択された仮想ネットワークに変更するように、少なくとも1つのスイッチのフローエントリを設定する
コントローラ。 - 請求項1から6のいずれか1項に記載のコントローラにおいて、
使用中の仮想ネットワークにおける仮想サーバをWAF付の仮想サーバに変更するクラウドコントローラを更に具備する
コントローラ。 - 請求項1から7のいずれか1項に記載のコントローラと、
セキュリティ強度が異なる複数の仮想ネットワークの構成情報が登録された構成管理情報データベースと、
前記コントローラによって設定されたフローエントリに従って、受信パケットの中継処理を行い、前記選択された仮想ネットワークを構成する複数のスイッチと
を具備する
コンピュータシステム。 - 請求項8に記載のコンピュータシステムにおいて、
転送パケットを監視し、不正アクセスを検出し侵入検知情報を出力する不正アクセス検知装置を更に具備し、
前記コントローラは、前記不正アクセス検知装置から出力された侵入検知情報に基づいて、前記複数のスイッチのいずれかのフローエントリを変更し、仮想ネットワークの構成を変更する
コンピュータシステム。 - 請求項9に記載のコンピュータシステムにおいて、
前記不正アクセス検知装置は、前記侵入検知情報をSimple Mail Transfer Protocolによる電子メールにより転送し、
前記複数のスイッチのいずれかは、受信した前記侵入検知情報を前記コントローラにパケットインする
コンピュータシステム。 - セキュリティ強度が異なる複数の仮想ネットワークから、一の仮想ネットワークを選択するステップと、
前記選択された仮想ネットワークを構成するように、少なくとも1つのスイッチのフローエントリを設定するステップと
を具備し、
前記スイッチは、自身に設定されたフローエントリに従って、受信パケットの中継処理を行い、前記選択された仮想ネットワークを構成する
ネットワーク構成変更方法。 - 請求項11に記載のネットワーク構成変更方法において、
前記フローエントリを設定するステップは、使用中の仮想ネットワークに対する不正アクセスの検知に応じて、少なくとも1つのスイッチのフローエントリを設定するステップを備える
ネットワーク構成変更方法。 - 請求項11又は12に記載のネットワーク構成変更方法において、
前記仮想ネットワークを選択するステップは、使用中の仮想ネットワークに対する不正アクセスの内容に応じた仮想ネットワークを、前記複数の仮想ネットワークから選択するステップを備える
ネットワーク構成変更方法。 - 請求項12又は13に記載のネットワーク構成変更方法において、
前記フローエントリを設定するステップは、Simple Mail Transfer Protocolによる電子メールにより通知される侵入検知情報に基づいて、少なくとも1つのスイッチのフローエントリを設定するステップを備える
ネットワーク構成変更方法。 - 請求項11から14のいずれか1項に記載のネットワーク構成変更方法において、
前記仮想ネットワークを選択するステップは、使用中の仮想ネットワークにおける仮想サーバと外部ネットワークとの間にファイアウォールが挿入された仮想ネットワークを選択するステップを備える
ネットワーク構成変更方法。 - 請求項11から15のいずれか1項に記載のネットワーク構成変更方法において、
前記仮想ネットワークを選択するステップは、使用中の仮想ネットワークにおける仮想サーバと外部ネットワークとの間に負荷分散装置が挿入された仮想ネットワークを選択するステップを備える
ネットワーク構成変更方法。 - 請求項11から16のいずれか1項に記載のネットワーク構成変更方法をコンピュータに実行させるネットワーク構成変更プログラム。
Priority Applications (1)
Application Number | Priority Date | Filing Date | Title |
---|---|---|---|
JP2013182580A JP5882961B2 (ja) | 2013-09-03 | 2013-09-03 | コントローラ、コンピュータシステム、ネットワーク構成変更方法、及びネットワーク構成変更プログラム |
Applications Claiming Priority (1)
Application Number | Priority Date | Filing Date | Title |
---|---|---|---|
JP2013182580A JP5882961B2 (ja) | 2013-09-03 | 2013-09-03 | コントローラ、コンピュータシステム、ネットワーク構成変更方法、及びネットワーク構成変更プログラム |
Publications (2)
Publication Number | Publication Date |
---|---|
JP2015050717A true JP2015050717A (ja) | 2015-03-16 |
JP5882961B2 JP5882961B2 (ja) | 2016-03-09 |
Family
ID=52700354
Family Applications (1)
Application Number | Title | Priority Date | Filing Date |
---|---|---|---|
JP2013182580A Active JP5882961B2 (ja) | 2013-09-03 | 2013-09-03 | コントローラ、コンピュータシステム、ネットワーク構成変更方法、及びネットワーク構成変更プログラム |
Country Status (1)
Country | Link |
---|---|
JP (1) | JP5882961B2 (ja) |
Cited By (6)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
JP2016184870A (ja) * | 2015-03-26 | 2016-10-20 | 株式会社エヌ・ティ・ティ・データ | ネットワーク情報出力システム及びネットワーク情報出力方法 |
JP2017147575A (ja) * | 2016-02-16 | 2017-08-24 | 富士通株式会社 | 制御プログラム、制御装置、および、制御方法 |
JP2018520524A (ja) * | 2016-06-22 | 2018-07-26 | ホアウェイ・テクノロジーズ・カンパニー・リミテッド | 悪意があるデータフローのネットワーク侵入を検知および防止するシステムおよび方法 |
JP2019037001A (ja) * | 2018-11-22 | 2019-03-07 | 株式会社エヌ・ティ・ティ・データ | ネットワーク情報出力システム及びネットワーク情報出力方法 |
EP3496362A1 (en) | 2017-12-05 | 2019-06-12 | Cyber Security Cloud, Inc. | Firewall device |
JP2019165493A (ja) * | 2019-05-28 | 2019-09-26 | ホアウェイ・テクノロジーズ・カンパニー・リミテッド | 悪意があるデータフローのネットワーク侵入を検知および防止するシステムおよび方法 |
Citations (3)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
JP2007006054A (ja) * | 2005-06-23 | 2007-01-11 | Hitachi Ltd | パケット中継装置及びパケット中継システム |
WO2011043416A1 (ja) * | 2009-10-07 | 2011-04-14 | 日本電気株式会社 | 情報システム、制御サーバ、仮想ネットワーク管理方法およびプログラム |
WO2012127886A1 (ja) * | 2011-03-18 | 2012-09-27 | 日本電気株式会社 | ネットワークシステム、及びポリシー経路設定方法 |
-
2013
- 2013-09-03 JP JP2013182580A patent/JP5882961B2/ja active Active
Patent Citations (3)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
JP2007006054A (ja) * | 2005-06-23 | 2007-01-11 | Hitachi Ltd | パケット中継装置及びパケット中継システム |
WO2011043416A1 (ja) * | 2009-10-07 | 2011-04-14 | 日本電気株式会社 | 情報システム、制御サーバ、仮想ネットワーク管理方法およびプログラム |
WO2012127886A1 (ja) * | 2011-03-18 | 2012-09-27 | 日本電気株式会社 | ネットワークシステム、及びポリシー経路設定方法 |
Non-Patent Citations (2)
Title |
---|
DENIAL-OF-SERVICE (DOS) SECURED VIRTUAL TENANT NETWORKS (VTN), VALUE-ADDED DOS PROTECTION AS A SERVI, JPN6015026814, 2012, pages 1 - 11, ISSN: 0003108209 * |
大谷イビサ: "ラドウェアとNEC、OpenFlowによるDDoS対策ソリューション", ASCII.JP, JPN6015026812, 15 June 2012 (2012-06-15), ISSN: 0003108210 * |
Cited By (9)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
JP2016184870A (ja) * | 2015-03-26 | 2016-10-20 | 株式会社エヌ・ティ・ティ・データ | ネットワーク情報出力システム及びネットワーク情報出力方法 |
JP2017147575A (ja) * | 2016-02-16 | 2017-08-24 | 富士通株式会社 | 制御プログラム、制御装置、および、制御方法 |
US10560452B2 (en) | 2016-02-16 | 2020-02-11 | Fujitsu Limited | Apparatus and method to control transfer apparatuses depending on a type of an unauthorized communication occurring in a network |
JP2018520524A (ja) * | 2016-06-22 | 2018-07-26 | ホアウェイ・テクノロジーズ・カンパニー・リミテッド | 悪意があるデータフローのネットワーク侵入を検知および防止するシステムおよび方法 |
US11399034B2 (en) | 2016-06-22 | 2022-07-26 | Huawei Cloud Computing Technologies Co., Ltd. | System and method for detecting and preventing network intrusion of malicious data flows |
EP3496362A1 (en) | 2017-12-05 | 2019-06-12 | Cyber Security Cloud, Inc. | Firewall device |
US11088991B2 (en) | 2017-12-05 | 2021-08-10 | Cyber Security Cloud, Inc. | Firewall device to automatically select a rule required for each individual web server |
JP2019037001A (ja) * | 2018-11-22 | 2019-03-07 | 株式会社エヌ・ティ・ティ・データ | ネットワーク情報出力システム及びネットワーク情報出力方法 |
JP2019165493A (ja) * | 2019-05-28 | 2019-09-26 | ホアウェイ・テクノロジーズ・カンパニー・リミテッド | 悪意があるデータフローのネットワーク侵入を検知および防止するシステムおよび方法 |
Also Published As
Publication number | Publication date |
---|---|
JP5882961B2 (ja) | 2016-03-09 |
Similar Documents
Publication | Publication Date | Title |
---|---|---|
JP7503616B2 (ja) | ネットワーク制御システムのパブリッククラウドへの拡張 | |
US10805330B2 (en) | Identifying and handling threats to data compute nodes in public cloud | |
US10057234B1 (en) | Systems and methods for providing network security monitoring | |
JP5882961B2 (ja) | コントローラ、コンピュータシステム、ネットワーク構成変更方法、及びネットワーク構成変更プログラム | |
US20160212012A1 (en) | System and method of network functions virtualization of network services within and across clouds | |
US20150089566A1 (en) | Escalation security method for use in software defined networks | |
JP2006339933A (ja) | ネットワークアクセス制御方法、およびシステム | |
US11785048B2 (en) | Consistent monitoring and analytics for security insights for network and security functions for a security service | |
EP3993331B1 (en) | Flow metadata exchanges between network and security functions for a security service | |
US11824897B2 (en) | Dynamic security scaling | |
JP6359260B2 (ja) | クラウド環境においてセキュアなクレジットカードシステムを実現するための情報処理システムおよびファイアウォール装置 | |
Ali et al. | Byod cyber forensic eco-system | |
EP3166281B1 (en) | Integrated security system having threat visualization | |
Trandafir et al. | FirewallPK: Security tool for centralized Access Control List management | |
Elouafiq et al. | Aggressive and Intelligent Self-Defensive Network: Towards a New Generation of Semi-autonomous Networks |
Legal Events
Date | Code | Title | Description |
---|---|---|---|
A977 | Report on retrieval |
Free format text: JAPANESE INTERMEDIATE CODE: A971007 Effective date: 20150619 |
|
A131 | Notification of reasons for refusal |
Free format text: JAPANESE INTERMEDIATE CODE: A131 Effective date: 20150707 |
|
A521 | Request for written amendment filed |
Free format text: JAPANESE INTERMEDIATE CODE: A523 Effective date: 20150828 |
|
A131 | Notification of reasons for refusal |
Free format text: JAPANESE INTERMEDIATE CODE: A131 Effective date: 20151124 |
|
A521 | Request for written amendment filed |
Free format text: JAPANESE INTERMEDIATE CODE: A523 Effective date: 20160114 |
|
TRDD | Decision of grant or rejection written | ||
A01 | Written decision to grant a patent or to grant a registration (utility model) |
Free format text: JAPANESE INTERMEDIATE CODE: A01 Effective date: 20160202 |
|
A61 | First payment of annual fees (during grant procedure) |
Free format text: JAPANESE INTERMEDIATE CODE: A61 Effective date: 20160204 |
|
R150 | Certificate of patent or registration of utility model |
Ref document number: 5882961 Country of ref document: JP Free format text: JAPANESE INTERMEDIATE CODE: R150 |
|
R250 | Receipt of annual fees |
Free format text: JAPANESE INTERMEDIATE CODE: R250 |
|
R250 | Receipt of annual fees |
Free format text: JAPANESE INTERMEDIATE CODE: R250 |
|
R250 | Receipt of annual fees |
Free format text: JAPANESE INTERMEDIATE CODE: R250 |
|
R250 | Receipt of annual fees |
Free format text: JAPANESE INTERMEDIATE CODE: R250 |
|
R250 | Receipt of annual fees |
Free format text: JAPANESE INTERMEDIATE CODE: R250 |
|
R250 | Receipt of annual fees |
Free format text: JAPANESE INTERMEDIATE CODE: R250 |