JP2017200152A - 通信制限範囲特定装置、通信制御装置、通信装置、通信システム、通信制限範囲特定方法、及びプログラム - Google Patents
通信制限範囲特定装置、通信制御装置、通信装置、通信システム、通信制限範囲特定方法、及びプログラム Download PDFInfo
- Publication number
- JP2017200152A JP2017200152A JP2016092107A JP2016092107A JP2017200152A JP 2017200152 A JP2017200152 A JP 2017200152A JP 2016092107 A JP2016092107 A JP 2016092107A JP 2016092107 A JP2016092107 A JP 2016092107A JP 2017200152 A JP2017200152 A JP 2017200152A
- Authority
- JP
- Japan
- Prior art keywords
- address
- communication
- packet
- restriction
- range
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Pending
Links
Images
Abstract
【課題】攻撃等により発生した不正や過度のトラフィックの要因となるパケットの送信元アドレスの範囲をより速やかに特定することができる通信制限範囲特定装置、通信制御装置、通信装置、通信システム、通信制限範囲特定方法、及びプログラムを提供する。【解決手段】通信制限範囲特定装置は、一つ又は複数のアドレスを含むアドレス範囲ごとに測定点を通過するパケットの個数を取得して、制限対象に該当する規制対象パケットの個数が一致する前記複数のアドレス範囲の中で、最も狭いアドレス範囲を含むように定めたアドレス範囲を、パケットの転送を制限する制限アドレス範囲として決定する制限範囲特定部を備える。【選択図】図１
Description
本発明の実施形態は、通信制限範囲特定装置、通信制御装置、通信装置、通信システム、通信制限範囲特定方法、及びプログラムに関する。
従来、複数のノードを含んで構成されるネットワークにおける通信を、そのネットワークの管理者が定める通信規則に従って制御する集中制御型の通信制御装置が知られている。関連するＯｐｅｎＦｌｏｗ（登録商標）という技術がある。ＯｐｅｎＦｌｏｗでは、コントローラが各ノードのスイッチを一元管理する（特許文献１、非特許文献１参照）。
ところで、サイバー攻撃は、年々過激化・巧妙化する傾向にあり、攻撃の手法やタイミングを予測しきることができず、攻撃が顕在化してから、管理者が定めた通信規則を変更するなどの対策を講じている。
ところで、サイバー攻撃は、年々過激化・巧妙化する傾向にあり、攻撃の手法やタイミングを予測しきることができず、攻撃が顕在化してから、管理者が定めた通信規則を変更するなどの対策を講じている。
"OpenFlow Switch Specification Version 1.3.1,"The Open Networking Foundation,(2013),［ｏｎｌｉｎｅ］、［平成２８（２０１６）年１月７日検索］、インターネット〈https://www.opennetworking.org/images/stories/downloads/sdn-resources/onf-specifications/openflow/openflow-spec-v1.3.1.pdf〉
しかしながら、攻撃が顕在化してから管理者が通信規則を変更するという対策をとる際に、新たに規則を追加する範囲を速やかに決定することが必要とされる。また、大規模なネットワークでは、通信規則を実施する範囲を適切に決定すること自体が困難となる場合がある。
本発明が解決しようとする課題は、攻撃等により発生した不正や過度のトラフィックの要因となるパケットの送信元アドレスの範囲をより速やかに特定することができる通信制限範囲特定装置、通信制御装置、通信装置、通信システム、通信制限範囲特定方法、及びプログラムを提供することである。
上記目的を達成するため、本発明の一態様に係る通信制限範囲特定装置は、一つ又は複数のアドレスを含むアドレス範囲ごとに測定点を通過するパケットの個数を取得して、制限対象に該当する規制対象パケットの個数が一致する前記複数のアドレス範囲の中で、最も狭いアドレス範囲を含むように定めたアドレス範囲を、パケットの転送を制限する制限アドレス範囲として決定する制限範囲特定部を備える。
また、本発明の一態様に係る通信制限範囲特定装置において、前記制限範囲特定部は、前記制限アドレス範囲を、前記規制対象パケットの送信元アドレスに対応するネットワークアドレスまたはＩＰアドレスとして規定する。
また、本発明の一態様に係る通信制御装置は、上記の通信制限範囲特定装置により決定された前記制限アドレス範囲を取得する制限アドレス範囲取得部と、前記制限アドレス範囲内のアドレスを送信元アドレスとして付与したパケットが前記規制対象パケットとして送信されている状況にあるかを判定する状況判定部と、を備える。
また、本発明の一態様に係る通信制御装置において、前記状況判定部は、前記制限アドレス範囲に該当する規制対象パケット数より、前記制限アドレス範囲を包含する包含アドレス範囲に該当する規制対象パケット数が多い場合、前記包含アドレス範囲内の複数のアドレスを送信元アドレスとして付与したパケットが前記規制対象パケットとして送信されている状況にあると判定する。
また、本発明の一態様に係る通信制御装置は、前記制限アドレス範囲に基づいて、当該アドレス範囲の送信元アドレスが付与されたパケットの転送を制限する転送制御部を備える。
また、本発明の一態様に係る通信制御装置において、前記転送制御部は、前記制限アドレス範囲の送信元アドレスが付与されたパケットの転送を制限させる。
また、本発明の一態様に係る通信装置は、一つ又は複数のアドレスを含むアドレス範囲ごとに測定点を通過するパケットの個数が計数され、制限対象に該当する規制対象パケットの個数が一致する前記複数のアドレス範囲の中で、最も狭いアドレス範囲を含むように定めたアドレス範囲を、パケットの転送を制限する制限アドレス範囲として決定する制限範囲特定部と、前記制限範囲特定部により決定された前記規制対象パケットを制限するアドレス範囲に基づいて、当該アドレス範囲の送信元アドレスが付与されたパケットを転送するスイッチ部とを備える。
また、本発明の一態様に係る通信システムは、一つ又は複数のアドレスを含むアドレス範囲ごとに測定点を通過するパケットの個数が計数され、制限対象に該当する規制対象パケットの個数が一致する前記複数のアドレス範囲の中で、最も狭いアドレス範囲を含むように定めたアドレス範囲を、パケットの転送を制限する制限アドレス範囲として決定する制限範囲特定部と、前記制限範囲特定部により決定された前記規制対象パケットを制限するアドレス範囲に基づいて、当該アドレス範囲の送信元アドレスが付与されたパケットを転送するスイッチ部とを備える。
また、本発明の一態様に係る通信システムは、通信制御装置は、一つ又は複数のアドレスを含むアドレス範囲ごとに測定点を通過するパケットの個数が計数され、制限対象に該当する規制対象パケットの個数が一致する前記複数のアドレス範囲の中で、最も狭いアドレス範囲を含むように定めたアドレス範囲を、パケットの転送を制限する制限アドレス範囲として決定する制限範囲特定部を備える。
また、本発明の一態様に係る通信制限範囲特定方法は、一つ又は複数のアドレスを含むアドレス範囲ごとに測定点を通過するパケットの個数が計数され、制限対象に該当する規制対象パケットの個数が一致する前記複数のアドレス範囲の中で、最も狭いアドレス範囲を含むように定めたアドレス範囲を、パケットの転送を制限する制限アドレス範囲として決定するステップを含む。
また、本発明の一態様に係るプログラムは、一つ又は複数のアドレスを含むアドレス範囲ごとに測定点を通過するパケットの個数が計数され、制限対象に該当する規制対象パケットの個数が一致する前記複数のアドレス範囲の中で、最も狭いアドレス範囲を含むように定めたアドレス範囲を、パケットの転送を制限する制限アドレス範囲として決定するステップを通信制限範囲特定装置のコンピュータに実行させるためのプログラムである。
本発明の一態様によれば、攻撃等により発生した不正や過度のトラフィックの要因となるパケットの送信元アドレスの範囲をより速やかに特定することができる通信制限範囲特定装置、通信制御装置、通信装置、通信システム、通信制限範囲特定方法、及びプログラムを提供することができる。
以下、図面を参照し、本発明の通信制限範囲特定装置、通信制御装置、通信装置、通信システム、通信制限範囲特定方法、及びプログラムの実施形態について説明する。
図１は、本実施形態の通信システム１の構成を示す図である。通信システム１は、ネットワークＮＷ１を形成する。ネットワークＮＷ１は、互いに通信を可能とする１又は複数の他のネットワークに接続されている。ネットワークＮＷ２とネットワークＮＷ３とネットワークＮＷ４は、他のネットワークの一例である。以下の説明において、ネットワークＮＷ１、ネットワークＮＷ２、ネットワークＮＷ３、ネットワークＮＷ４等を総称してネットワークＮＷということがある。例えば、各ネットワークＮＷは、異なるＩＳＰ（Internet Service Provider）等によって独立して管理されており、管理者が定める通信規則（ポリシー等）はそれぞれ異なるものとする。例えば、各ネットワークＮＷは、互いに接続されており、例えば、それぞれがインターネットの一部を構成する。
本実施形態の各通信システムにおいて、それぞれの通信規則を次の４つの規則に分けて規定する。
第１規則は、自通信システムにおいて通信することを許可しないものを、制限対象の通信として定める。例えば、通信システム１は、制限対象として定められた通信のパケットを、廃棄対象のパケットとして選択するための条件（「廃棄対象条件」）を、「廃棄対象情報」として管理する。通信システム１は、廃棄対象情報をリスト化したブラックリスト（「廃棄対象ブラックリスト」）又はテーブル化した「廃棄テーブル」を利用することにより、制限対象とする通信を規制する。通信システム１は、廃棄対象ブラックリスト、又は、廃棄テーブルを各装置の廃棄対象記憶部等にそれぞれ格納してもよい。制限対象には、各装置に共通するもの、装置毎に固有のものが含まれていてもよい。なお、上記及び以下の説明における「廃棄」には、第１規則に該当するパケットの転送を制限する、又はパケットを特定のポートに出力するなどのケースも含まれるものとし、これらを纏めて単に「廃棄」又は「制限」という。
第１規則は、自通信システムにおいて通信することを許可しないものを、制限対象の通信として定める。例えば、通信システム１は、制限対象として定められた通信のパケットを、廃棄対象のパケットとして選択するための条件（「廃棄対象条件」）を、「廃棄対象情報」として管理する。通信システム１は、廃棄対象情報をリスト化したブラックリスト（「廃棄対象ブラックリスト」）又はテーブル化した「廃棄テーブル」を利用することにより、制限対象とする通信を規制する。通信システム１は、廃棄対象ブラックリスト、又は、廃棄テーブルを各装置の廃棄対象記憶部等にそれぞれ格納してもよい。制限対象には、各装置に共通するもの、装置毎に固有のものが含まれていてもよい。なお、上記及び以下の説明における「廃棄」には、第１規則に該当するパケットの転送を制限する、又はパケットを特定のポートに出力するなどのケースも含まれるものとし、これらを纏めて単に「廃棄」又は「制限」という。
第２規則は、自通信システムにおいて通信することを許可する条件を定めるものである。例えば、通信システム１は、許可する通信によるパケットを選択する条件（「通信許可条件」）を、「通信許可情報」に纏めて管理する。通信システム１は、通信許可情報をリスト化したホワイトリスト（「通信許可ホワイトリスト」）又はテーブル化した「ＭＬＢテーブル」を利用することにより、許可する通信を抽出する。ＭＬＢテーブルの詳細については後述する。なお、「通信許可ホワイトリスト」はホワイトリストの一例である。
第３規則は、自通信システムにおける通信のパケットの転送先を決定する「ルーティング条件」を定めるものである。例えば、通信システム１は、ルーティング条件を、「ルーティング情報」として管理する。通信システム１は、「ルーティング情報」をテーブル化した「ルーティングテーブル」を利用して、通信を制御する。
第４規則は、自通信システムにおいて、通信相手として許可するものを限定する条件を定めるものである。例えば、通信システム１は、限定した通信相手からのパケットを選択する条件（「通信相手許可条件」）を、「通信相手許可情報」に纏めて管理してもよい。通信システム１は、通信相手許可情報をリスト化したホワイトリスト（「通信相手許可ホワイトリスト」）又はテーブル化した「ＱｏＳテーブル」を利用することにより、限定した通信相手を抽出する。ＱｏＳテーブルの詳細については後述する。なお、「通信相手許可ホワイトリスト」はホワイトリストの一例である。
通信システム１は、上記の規則の一部又は全部を利用して、その通信を制御する。
なお、本実施形態の以下の説明において、通信システム１において通信相手を限定して通信する特定の装置を対象装置と呼び、対象装置又は対象装置による通信の何れかを特定する情報を特定情報と呼ぶことがある。
通信システム１は、ｅＭＬＢＲ（egress Multi Layer Binding Router）１１と、ｉＭＬＢＲ（ingress MLBR）１２と、ｂＭＬＢＲ（border MLBR）１３と、中継装置１４と、管理装置１５とを含む。以下の説明において、ｅＭＬＢＲ１１と、ｉＭＬＢＲ１２と、ｂＭＬＢＲ１３とを総称してＭＬＢＲ１０ということがある。各ＭＬＢＲ１０は、通信システム１の通信ノードとして機能する。通信システム１は、複数のＭＬＢＲ１０によってネットワークＮＷ１を構成する。ネットワークＮＷ１内の各ＭＬＢＲ１０間は、互いに直接的に接続されていてもよく、中継装置１４等を介して接続されていてもよい。
通信システム１には、ユーザが操作する一又は複数の端末装置１７、ＩｏＴ（Internet of Things）と総称される各種データ端末１８などの端末が通信可能に接続される。例えば、端末装置１７とデータ端末１８は、ｅＭＬＢＲ１１等を介して、各端末からの要求等に起因する所望の通信を実施する。なお、端末装置１７は、ＩＤＳ（Intrusion Detection System）／ＩＰＳ（Intrusion Prevention System）として機能するプログラムを実行して、ＩＤＳ／ＩＰＳとして機能してもよい。以下の説明では、ＩＤＳ／ＩＰＳとして機能する端末装置１７を端末装置１７Ａと呼び、端末装置１７と端末装置１７Ａを総称する場合には単に端末装置１７という。
本実施形態の通信システム１は、端末装置１７Ａと、通信制限範囲特定装置１９とを備える。端末装置１７Ａには、通信制限範囲特定装置１９が接続される場合がある。通信制限範囲特定装置１９は、ＩＤＳ／ＩＰＳとして機能する端末装置１７Ａからの情報に基づいて、パケットの転送を制限する制限アドレス範囲を決定する。その詳細については後述する。
管理装置１５は、通信システム１における基本設定を行うとともに、各ＭＬＢＲ１０の状態を監視させてもよい。さらに管理装置１５は、連携サーバとして機能し、端末装置１７などの認証と検疫を担うＨＲＳ（Home RADIUS Server）として機能させてもよい。また、管理装置１５は、ＩＤＳ／ＩＰＳ等により検出した通信履歴を記憶するように構成してもよい。
通信システム１と同様に、通信システム２は、ネットワークＮＷ２を形成する。通信システム２は、ｅＭＬＢＲ２１と、ｉＭＬＢＲ２２と、ｂＭＬＢＲ２３と、管理装置２５とを含む。また、通信システム３は、ネットワークＮＷ３を形成する。通信システム３は、ｅＭＬＢＲ３１と、ｉＭＬＢＲ３２と、ｂＭＬＢＲ３３と、管理装置３５とを含む。通信システム２におけるｅＭＬＢＲ２１と、ｉＭＬＢＲ２２と、ｂＭＬＢＲ２３と、管理装置２５、及び、通信システム３におけるｅＭＬＢＲ３１と、ｉＭＬＢＲ３２と、ｂＭＬＢＲ３３と、管理装置３５は、通信システム１のｅＭＬＢＲ１１と、ｉＭＬＢＲ１２と、ｂＭＬＢＲ１３と、管理装置１５にそれぞれ対応する。
通信システム４は、ネットワークＮＷ４を形成する。通信システム４は、通信システム１とは異なり、ＭＬＢＲ１０を含まずに、ＭＬＢＲ１０とは異なるルータ等により構成される。
ところで、通信システム１において、端末装置１７及びデータ端末１８に到来するパケットの個数又は頻度が異常に高くなることがある。例えば、その原因がＤＤｏＳ攻撃の場合には、ネットワークＮＷ上に分散して配置された多数のコンピュータから端末装置１７及びデータ端末１８に対するパケットが到来する。通信システム１は、ＤＤｏＳ攻撃に参加しているコンピュータ等からのパケットを選択的に遮断して、通信の安全性を確保する。
なお、上記のように悪意を持って送られた攻撃パケットを遮断するように構成したシステムであっても、悪用されることが考えられる。通信システム１では、下記の点に留意してその完全性を確保する。
通信システム１は、端末装置１７とデータ端末１８などの端末について、真正性と健全性を検査して、その結果に応じて制限なしや、帯域制限や通信相手の限定等を課すサービス品質（ＱｏＳ）を決定する。
通信システム１は、ＭＬＢＲ１０が保持管理する物理ポート又は（セキュア）チャネルをキーにＭＡＣアドレスとＩＰアドレスとの対応関係を管理する。通信システム１は、上記の対応関係を満足しないパケットをアドレス詐称パケットとみなして廃棄する。
通信システム１は、真正性と健全性が確認された端末装置１７等の端末から、正当な攻撃パケットの廃棄要請を受ける。通信システム１は、その廃棄要請に基づいて、ＭＬＢＲ１０における転送を制限するための規則を更新し、以降、該当するアドレス非詐称及びアドレス詐称の攻撃パケット等を廃棄する。
（ＭＬＢＲ１０）
通信システム１を構成するＭＬＢＲ１０には、複数のタイプがあり、互いに構成と用途が異なる。利用者ネットワーク側の出口（egress）に設置するｅＭＬＢＲ１１と、ネットワークＮＷ１の利用者側入口（ingress）端部（エッジ）に設置するｉＭＬＢＲ１２と、他のネットワークとの境界（border）に配置するｂＭＬＢＲ１３は、ＭＬＢＲ１０の一例である。ＭＬＢＲ１０の各タイプを上記のように配置することにより、例えば、外部のネットワークから大量の送信元ＩＰアドレスを詐称するパケットが送り付けられても、ｂＭＬＢＲ１３等が経路表の逆行経路から外れた当該攻撃パケットを遮断する。さらに、ｂＭＬＢＲ１３等は、その処理を実施するに当たり送信元ＩＰアドレス以外の情報を組み合わせて利用して、より正確に処理をする。例えば、送信元ＩＰアドレス以外の情報には、攻撃パケットの廃棄を要請した端末装置１７もしくは実際に攻撃された通信端末等のＩＰアドレス、ＴＣＰ等のレイヤ４（Ｌ４）のポート番号、制御フラグ等が含まれていてもよい。
通信システム１を構成するＭＬＢＲ１０には、複数のタイプがあり、互いに構成と用途が異なる。利用者ネットワーク側の出口（egress）に設置するｅＭＬＢＲ１１と、ネットワークＮＷ１の利用者側入口（ingress）端部（エッジ）に設置するｉＭＬＢＲ１２と、他のネットワークとの境界（border）に配置するｂＭＬＢＲ１３は、ＭＬＢＲ１０の一例である。ＭＬＢＲ１０の各タイプを上記のように配置することにより、例えば、外部のネットワークから大量の送信元ＩＰアドレスを詐称するパケットが送り付けられても、ｂＭＬＢＲ１３等が経路表の逆行経路から外れた当該攻撃パケットを遮断する。さらに、ｂＭＬＢＲ１３等は、その処理を実施するに当たり送信元ＩＰアドレス以外の情報を組み合わせて利用して、より正確に処理をする。例えば、送信元ＩＰアドレス以外の情報には、攻撃パケットの廃棄を要請した端末装置１７もしくは実際に攻撃された通信端末等のＩＰアドレス、ＴＣＰ等のレイヤ４（Ｌ４）のポート番号、制御フラグ等が含まれていてもよい。
図２を参照して、通信システム１における各ＭＬＢＲ１０について説明する。図２は、通信システム１の構成例を示す図である。通信システム１における各ＭＬＢＲ１０の詳細について順に説明する。
（ｅＭＬＢＲ１１）
ｅＭＬＢＲ１１（通信装置）は、コントローラ１１１（制御部）と、ＩＦ部１１３と、ＩＦ部１１４と、スイッチ部１１２（転送部）と、記憶部１１５とを含む。コントローラ１１１と記憶部１１５の組み合わせは通信制御装置の一例である。
ｅＭＬＢＲ１１（通信装置）は、コントローラ１１１（制御部）と、ＩＦ部１１３と、ＩＦ部１１４と、スイッチ部１１２（転送部）と、記憶部１１５とを含む。コントローラ１１１と記憶部１１５の組み合わせは通信制御装置の一例である。
ＩＦ部１１３は、端末装置１７又はデータ端末１８とのインタフェースである。例えば、端末装置１７又はデータ端末１８と有線で通信する場合、ＩＦ部１１３は、通信回線が接続される物理ポートに対応させて設けられ、物理ポートを介して通信回線から取得したパケットをスイッチ部１１２に出力し、スイッチ部１１２により転送されたパケットを、物理ポートに接続される通信回線に出力する。また、例えば、端末装置１７又はデータ端末１８と無線で通信する場合、ＩＦ部１１３は、無線通信の（セキュア）チャネルに対応させて設けられ、特定の（セキュア）チャネルから取得したパケットをスイッチ部１１２に出力し、スイッチ部１１２により転送されたパケットを、特定の（セキュア）チャネルまたは有線の物理ポートに出力する。以下、物理ポートと（セキュア）チャネルを接続ポートと総称する。
ＩＦ部１１４は、他のＭＬＢＲ１０等と通信する際のインタフェースである。例えば、ＩＦ部１１４は、通信回線が接続される物理ポートに対応させて設けられ、物理ポートを介して通信回線から取得したパケットをスイッチ部１１２に出力する。また、スイッチ部１１２から転送されたパケットを、物理ポートに接続される通信回線に出力する。
スイッチ部１１２は、コントローラ１１１により設定された条件に基づいて、ＩＦ部１１３とＩＦ部１１４とコントローラ１１１等の間でパケットを転送する。例えば、スイッチ部１１２は、プロトコルスタックのレイヤ２（Ｌ２）からレイヤ４（Ｌ４）までの各ヘッダ情報に基づいて、当該パケットの転送を制御する。パケットを転送する処理の詳細は後述する。
記憶部１１５は、ＲＯＭ（Read Only Memory）、ＥＥＰＲＯＭ（Electrically Erasable and Programmable Read Only Memory）、ＨＤＤ（Hard Disk Drive）等の不揮発性の記憶装置と、ＲＡＭ（Random Access Memory）レジスタ等の揮発性の記憶装置によって実現される。記憶部１１５は、ｅＭＬＢＲ１１を機能させるためのプログラム、スイッチ部１１２を制御するための複数のテーブル、通信履歴情報等を格納する。
例えば、第１記憶部１１５１と第２記憶部１１５２と第３記憶部１１５３は、上記の複数のテーブルの一例である。第１記憶部１１５１は、ｅＭＬＢＲ１１が受信した受信パケット（受信データ）の転送を制限する条件（制限条件）を定めた第１規則（廃棄対象ブラックリスト）を記憶する。受信パケットは、ヘッダ情報とデータ（受信データ）とを含んで構成される。第２記憶部１１５２は、受信パケットの転送を許可する条件を定めた第２規則（通信許可ホワイトリスト）を記憶する。第３記憶部１１５３は、パケットの転送先を決定するルーティング条件を定めた第３規則（ルーテイングテーブル）を記憶する。
コントローラ１１１は、例えば、ＣＰＵ（Central Processing Unit）等のプロセッサを有する。コントローラ１１１は、記憶部１１５に記憶されているプログラムにより、記憶部１１５に記憶されている複数のテーブルに基づいて、スイッチ部１１２を制御する。例えば、コントローラ１１１は、管理装置１５から取得した各種情報、端末装置１７からの要請などに基づいて、第１記憶部１１５１と第２記憶部１１５２と第３記憶部１１５３とを更新し、スイッチ部１１２の転送処理を変更する。より具体的には、後述するように、第１記憶部１１５１に格納された第１規則は、スイッチ部１１２内の廃棄テーブル１１２１に、また第２記憶部１１５２に格納された第２規則は、スイッチ部１１２内のＭＬＢテーブル１１２４に、第３記憶部１１５３に格納された第３規則はスイッチ部１１２内のルーティングテーブル１１２５に登録され、パケットの転送を制御する。
（ｉＭＬＢＲ１２）
ｉＭＬＢＲ１２は、コントローラ１２１と、ＩＦ部１２３と、ＩＦ部１２４と、スイッチ部１２２と、記憶部１２５とを含む。
ｉＭＬＢＲ１２は、コントローラ１２１と、ＩＦ部１２３と、ＩＦ部１２４と、スイッチ部１２２と、記憶部１２５とを含む。
ＩＦ部１２３は、ｅＭＬＢＲ１１と通信する際のインタフェースである。ＩＦ部１２３は、ｅＭＬＢＲ１１に対する通信回線が接続される物理ポートに対応させて設けられ、物理ポートを介して通信回線から取得したパケットをスイッチ部１２２に出力する。また、スイッチ部１２２から転送されたパケットを、物理ポートに接続される通信回線を介してｅＭＬＢＲ１１に対し出力する。
ＩＦ部１２４は、他のＭＬＢＲ１０等と通信する際のインタフェースである。例えば、ＩＦ部１２４は、他のＭＬＢＲ１０等に対する通信回線が接続される物理ポートに対応させて設けられ、物理ポートを介して通信回線から取得したパケットをスイッチ部１２２に出力する。また、スイッチ部１２２から転送されたパケットを、物理ポートに接続される通信回線を介して他のＭＬＢＲ１０等に対し出力する。
スイッチ部１２２は、コントローラ１２１により設定された条件に基づいて、ＩＦ部１２３とＩＦ部１２４とコントローラ１２１等の間でパケットを転送する。例えば、スイッチ部１２２は、Ｌ２からＬ４までのヘッダ情報に基づいて、当該パケットの転送を制御する。パケットを転送する処理の詳細は後述する。
記憶部１２５は、ＲＯＭ、ＥＥＰＲＯＭ、ＨＤＤ等の不揮発性の記憶装置と、ＲＡＭ、レジスタ等の揮発性の記憶装置によって実現される。記憶部１２５は、ｉＭＬＢＲ１２を機能させるためのプログラム、スイッチ部１２２を制御するための複数のテーブル、通信履歴情報等を格納する。例えば、第１記憶部１２５１と第２記憶部１２５２と第３記憶部１２５３とは、上記の複数のテーブルの一例である。第１記憶部１２５１は、ｉＭＬＢＲ１２が受信した受信パケット（受信データ）の転送を制限する条件を定めた第１規則（廃棄対象ブラックリスト）を記憶する。第２記憶部１２５２は、受信パケットの転送を許可する条件を定めた第２規則（通信許可ホワイトリスト）を記憶する。第３記憶部１２５３は、パケットの転送先を決定するルーティング条件を定めた第３規則（ルーテイングテーブル）を記憶する。
コントローラ１２１は、例えば、ＣＰＵ等のプロセッサを有する。コントローラ１２１は、記憶部１２５に記憶されているプログラムにより、記憶部１２５に記憶されている複数のテーブルに基づいて、スイッチ部１２２を制御する。例えば、コントローラ１２１は、管理装置１５から取得した各種情報、端末装置１７からの要請などに基づいて、第１記憶部１２５１と第２記憶部１２５２と第３記憶部１２５３とに格納された各情報を更新し、スイッチ部１２２の転送処理を変更する。より具体的には、後述するように、第１記憶部１２５１に格納された第１規則は、スイッチ部１２２内の廃棄テーブル１２２１に、また第２記憶部１２５２に格納された第２規則は、スイッチ部１２２内でｕＲＰＦ strict mode又はloose modeとして機能するＭＬＢテーブル１２２４に、第３記憶部１２５３に格納された第３規則はスイッチ部１２２内のルーティングテーブル１２２５に登録され、パケットの転送を制御する。
（ｂＭＬＢＲ１３）
ｂＭＬＢＲ１３は、コントローラ１３１と、ＩＦ部１３３と、ＩＦ部１３４と、スイッチ部１３２と、記憶部１３５とを含む。
ｂＭＬＢＲ１３は、コントローラ１３１と、ＩＦ部１３３と、ＩＦ部１３４と、スイッチ部１３２と、記憶部１３５とを含む。
ＩＦ部１３３は、他のＭＬＢＲ１０等と通信する際のインタフェースである。ＩＦ部１３３は、他のＭＬＢＲ１０等に対する通信回線が接続される物理ポートに対応させて設けられ、物理ポートを介して通信回線から取得したパケットをスイッチ部１３２に出力する。また、スイッチ部１３２から転送されたパケットを、物理ポートに接続される通信回線を介してｅＭＬＢＲ１１に対し出力する。
ＩＦ部１３４は、他のネットワークＮＷ等と通信する際のインタフェースである。例えば、ＩＦ部１３４は、ネットワークＮＷ２に対する通信回線が接続される物理ポートに対応させて設けられ、物理ポートを介して通信回線から取得したパケットをスイッチ部１３２に出力する。また、スイッチ部１３２から転送されたパケットを、物理ポートに接続される通信回線を介して、ネットワークＮＷ２などの他のネットワークＮＷに対し出力する。
スイッチ部１３２は、コントローラ１３１により設定された条件に基づいて、ＩＦ部１３３とＩＦ部１３４とコントローラ１３１等の間でパケットを転送する。例えば、スイッチ部１２２は、Ｌ２からＬ４までのヘッダ情報に基づいて、当該パケットの転送を制御する。パケットを転送する処理の詳細は後述する。
記憶部１３５は、ＲＯＭ、ＥＥＰＲＯＭ、ＨＤＤ等の不揮発性の記憶装置と、ＲＡＭ、レジスタ等の揮発性の記憶装置によって実現される。記憶部１３５は、ｂＭＬＢＲ１３を機能させるためのプログラム、スイッチ部１３２を制御するための複数のテーブル、通信履歴情報等を格納する。例えば、第１記憶部１３５１と第２記憶部１３５２と第３記憶部１３５３とは、上記の複数のテーブルの一例である。第１記憶部１３５１は、ｂＭＬＢＲ１３が受信した受信パケット（受信データ）の転送を制限する条件を定めた第１規則（廃棄対象ブラックリスト）を記憶する。第２記憶部１３５２は、受信パケットの転送を許可する条件（許可条件）を定めた第２規則（通信許可ホワイトリスト）を記憶する。第３記憶部１３５３は、パケットの転送先を決定するルーティング条件を定めた第３規則（ルーテイングテーブル）を記憶する。
コントローラ１３１は、例えば、ＣＰＵ等のプロセッサを有する。コントローラ１３１は、記憶部１３５に記憶されているプログラムによりスイッチ部１３２を制御する。例えば、コントローラ１３１は、管理装置１５から取得した各種情報、端末装置１７からの要請などに基づいて、第１記憶部１３５１と第２記憶部１３５２と第３記憶部１３５３とに格納された各情報を更新し、スイッチ部１３２の転送処理を変更する。より具体的には、後述するように、第１記憶部１３５１に格納された第１規則は、スイッチ部１３２内の廃棄テーブル１３２１に、また第２記憶部１３５２に格納された第２規則は、スイッチ部１３２内でｕＲＰＦ loose mode又はstrict modeとして機能するＭＬＢテーブル１３２４に、第３記憶部１３５３に格納された第３規則はスイッチ部１３２内のルーティングテーブル１３２５に登録され、パケットの転送を制御する。
上記のとおり、各ＭＬＢＲ１０は、それぞれコントローラとスイッチ部とを含む。ＭＬＢＲ１０のコントローラは、他のＭＬＢＲ１０のコントローラから取得した情報等に基づいて、自装置のコントローラ及びスイッチ部をそれぞれ制御する。
（端末装置１７）
端末装置１７は、ＣＰＵと、ＲＯＭ、ＥＥＰＲＯＭ、ＨＤＤ、ＲＡＭ、レジスタ等の記憶装置と、を含むコンピュータであり、実行するプログラムにより端末或いはサーバとして機能する。例えば、端末装置１７のＣＰＵは、プログラムの実行により、端末装置１７を、ｓｎｏｒｔ（登録商標）などを実装しＩＤＳ／ＩＰＳとして機能する。端末装置１７は、端末装置１７に実装した、もしくは端末装置１７が接続しているローカルエリアネットワークに接続されたＩＤＳ／ＩＰＳにより、所定の通信量又は頻度を超えて到来するパケットや、その振る舞いの異常さもしくは既知の攻撃パターン（シグネチャ）や既知の攻撃パターンから予測される未知の攻撃パターン、もしくは既知のマルウェアや既知のマルウェア等から予想されるマルウェア、既知のエクスプロイトコード（プログラムのセキュリティ上の脆弱性（セキュリティホール）を攻撃するために作成されたプログラムの総称）もしくは既知のエクスプロイトコードから予測される未知のエクスプロイトコードなどからの攻撃パケットとして検出する。なお、上記の検出に当たり、ハニーポットを設置してもよい。ハニーポットとは、不正アクセスを行う攻撃パケットをおびき寄せ、攻撃をそらすためのおとりであり、ウイルスやワームの検体の入手、記録された操作ログ・通信ログなどから不正アクセスの手法や傾向の調査などに用いられるものである。
端末装置１７は、ＣＰＵと、ＲＯＭ、ＥＥＰＲＯＭ、ＨＤＤ、ＲＡＭ、レジスタ等の記憶装置と、を含むコンピュータであり、実行するプログラムにより端末或いはサーバとして機能する。例えば、端末装置１７のＣＰＵは、プログラムの実行により、端末装置１７を、ｓｎｏｒｔ（登録商標）などを実装しＩＤＳ／ＩＰＳとして機能する。端末装置１７は、端末装置１７に実装した、もしくは端末装置１７が接続しているローカルエリアネットワークに接続されたＩＤＳ／ＩＰＳにより、所定の通信量又は頻度を超えて到来するパケットや、その振る舞いの異常さもしくは既知の攻撃パターン（シグネチャ）や既知の攻撃パターンから予測される未知の攻撃パターン、もしくは既知のマルウェアや既知のマルウェア等から予想されるマルウェア、既知のエクスプロイトコード（プログラムのセキュリティ上の脆弱性（セキュリティホール）を攻撃するために作成されたプログラムの総称）もしくは既知のエクスプロイトコードから予測される未知のエクスプロイトコードなどからの攻撃パケットとして検出する。なお、上記の検出に当たり、ハニーポットを設置してもよい。ハニーポットとは、不正アクセスを行う攻撃パケットをおびき寄せ、攻撃をそらすためのおとりであり、ウイルスやワームの検体の入手、記録された操作ログ・通信ログなどから不正アクセスの手法や傾向の調査などに用いられるものである。
端末装置１７は、攻撃パケットを検出した場合に、ネットワークＮＷ１における攻撃パケットの転送を中断させることを要求するメッセージをｅＭＬＢＲ１１に対して送信する。例えば、ｅＭＬＢＲ１１が攻撃パケットの転送を中断させることを要求するメッセージを、攻撃パケットを廃棄することを要求する廃棄要請メッセージとして受け付けて、攻撃パケットを廃棄してもよい。以下の説明では、攻撃パケットの転送を中断させることを要求するメッセージをＤＲＭ（Dropping Request Message）と呼ぶ。後述するように、ＤＲＭは、攻撃パケットの送信元アドレスに接近するようＭＬＢＲ１０間でバケツリレーされる。ＤＲＭを受信した各ＭＬＢＲ１０は、前述の第１規則としてそれぞれの第１記憶部に登録する。
例えば、端末装置１７は、自装置の正当性と完全性を示す検証用データもしくは認証コードをＤＲＭに付加してｅＭＬＢＲ１１へ送信する。ｅＭＬＢＲ１１は、受信した検証用データもしくは認証コードを検証し，その正当性（ＩＤＳ／ＩＰＳが改ざんされたり、マルウェアに感染していたりしないことなど）と、完全性（データが改ざんされていないこと）とを確認する。なお、端末装置１７とｅＭＬＢＲ１１は、共通の検証用データもしくは認証コードを生成するＴＰＭ（Trusted Platform Module）やＨＳＭ（Hardware Security Module）などハードウェアを備えて構成する。これにより、端末装置１７とｅＭＬＢＲ１１は、ＴＰＭやＨＳＭにより生成された検証用データもしくは認証コードに基づいて、プラットホームの正当性やハードウェア、ソフトウェア、ＤＲＭなどの完全性を検証してもよい。
（攻撃パケットの転送を制限する処理）
図３から図５を参照して、攻撃パケットの転送を制限する処理について説明する。攻撃パケットの転送を制限する処理として、端末装置１７によるＤＲＭの生成から、ネットワークＮＷ１におけるＭＬＢＲ１０のうち攻撃パケットの送信元アドレスに最も接近しているｂＭＬＢＲ１３に、ＤＲＭによる要求が伝搬されて、ｂＭＬＢＲ１３が攻撃パケットを遮断するまでの処理を例示する。図３は、ｅＭＬＢＲ１１における処理の手順を示すフローチャートである。図４は、ｉＭＬＢＲ１２における処理の手順を示すフローチャートである。図５は、ｂＭＬＢＲ１３における処理の手順を示すフローチャートである。
図３から図５を参照して、攻撃パケットの転送を制限する処理について説明する。攻撃パケットの転送を制限する処理として、端末装置１７によるＤＲＭの生成から、ネットワークＮＷ１におけるＭＬＢＲ１０のうち攻撃パケットの送信元アドレスに最も接近しているｂＭＬＢＲ１３に、ＤＲＭによる要求が伝搬されて、ｂＭＬＢＲ１３が攻撃パケットを遮断するまでの処理を例示する。図３は、ｅＭＬＢＲ１１における処理の手順を示すフローチャートである。図４は、ｉＭＬＢＲ１２における処理の手順を示すフローチャートである。図５は、ｂＭＬＢＲ１３における処理の手順を示すフローチャートである。
まず、端末装置１７は、自装置に備える、もしくは接続しているローカルエリアネットワークに接続されたＩＤＳ／ＩＰＳが所定の通信量又は頻度を超えて到来するパケットや、設置されたハニーポットなどを利用して、到来するパケットの振る舞いの異常さもしくは既知の攻撃パターンや既知の攻撃パターンから予測される未知の攻撃パターン、もしくは既知のマルウェアや既知のマルウェア等から予想されるマルウェア、既知のエクスプロイトコードもしくは既知のエクスプロイトコードから予測される未知のエクスプロイトコードなどから、攻撃パケットの到来を検知する。その検知結果は、端末装置１７などの記憶領域に通信履歴情報（ログ）として書き込まれる。端末装置１７、このログに基づいて攻撃パケットに付与されている送信元アドレスを特定する。上記により特定された送信元アドレスは、攻撃パケットを実際に送信した攻撃ノードの実際のアドレスと一致しないこともある。端末装置１７は、特定された送信元アドレスと、宛先アドレスや宛先／送信元ポート番号などを組み合せた制限条件を含むＤＲＭを自動もしくは一部ネットワーク管理者やセキュリティ技術者が介在して生成し、ＤＲＭに検証用データもしくは認証コードを付与してｅＭＬＢＲ１１に送信する。なお、ＤＲＭには、ＤＲＭに記載された攻撃先ＩＰアドレスなどが正規に割り当てられたものかを検証するためにＲＰＫＩ（Resource Public-Key Infrastructure）を付加してもよい。
図３に示すように、ｅＭＬＢＲ１１のコントローラ１１１は、検証用データもしくは認証コードが付与されたＤＲＭを端末装置１７から取得する（Ｓ１１）。コントローラ１１１は、検証用データもしくは認証コードに基づいて、取得したＤＲＭが正当なものか否かを判定する（Ｓ１２）。ＤＲＭが正当なものでないと判定した場合、コントローラ１１１は、そのＤＲＭを破棄して、Ｓ１９の処理に進む。
一方、ＤＲＭが正当なものであると判定した場合、コントローラ１１１は、ＤＲＭを送信した端末装置の識別情報が正当か否かの判定（認証処理）を実施する（Ｓ１３）。これにより、コントローラ１１１は、検証用データもしくは認証コードが付与されているＤＲＭのみを処理の対象にすることで、虚偽の要求を処理の対象から削除してシステムの完全性を確保する。
次に、コントローラ１１１は、端末装置がＤＲＭのパケットに付与したＲＰＫＩの認証コードに基づいて、パケットに付与された送信元アドレス（端末装置１７のアドレス等）が正当なものであることについて判定する。ＤＲＭを送信した端末装置の識別情報が正当でないと判定した場合、コントローラ１１１は、そのＤＲＭを破棄して、Ｓ１９の処理に進む。
一方、端末装置の識別情報が正当であると判定した場合、コントローラ１１１は、そのＤＲＭに基づいて制限条件を生成する（Ｓ１４）。制限条件の生成についての詳細は後述する。
次に、コントローラ１１１は、抽出した制限条件が、第１記憶部１１５１に第１規則（廃棄対象ブラックリスト）として登録されているか否かを判定する（Ｓ１５）。抽出した制限条件が第１記憶部１１５１に登録されていないと判定した場合、コントローラ１１１は、抽出した制限条件を第１記憶部１１５１に追加して更新する（Ｓ１６）。ｅＭＬＢＲ１１は、更新された第１記憶部１１５１の情報を用いて、パケットの転送処理を実施する。
一方、抽出した制限条件が第１記憶部１１５１に既に登録されていると判定した場合、又はＳ１６の処理を終えた場合、コントローラ１１１は、抽出したＤＲＭに、そのＤＲＭに基づいて生成した制限条件を含めて転送用のＤＲＭを生成する。その転送用のＤＲＭに、予め接続先のｉＭＬＢＲ１２との間で交換した共有鍵を用いて生成したＡＨ（Authentication Header）を付加して転送ＤＲＭを生成する（Ｓ１７）。転送ＤＲＭは、ｅＭＬＢＲ１１の接続先のｉＭＬＢＲ１２に送られるものである。このＡＨにより、転送ＤＲＭにおけるデータの完全性が保証される。なお、転送ＤＲＭでは、ＡＨによりデータの完全性を保証できることから、端末装置１７により付与された検証用データもしくは認証コードに代えることができる。
次に、コントローラ１１１は、転送ＤＲＭを当該ｉＭＬＢＲ１２宛に送信する（Ｓ１８）。
なお、ＤＲＭを送信した端末装置１７の識別情報が正当でないと判定した場合、又はＳ１８の処理を終えた場合、コントローラ１１１は、第１記憶部１１５１に登録されている制限条件のうち、攻撃パケットが到来しない状態になった後、或いは、到来しなくなって所定期間が経過した後、その制限条件を削除する（Ｓ１９）。
上記の処理により、通信システム１は、ネットワークＮＷ１の端部に設けられたｅＭＬＢＲ１１（図１）を介して送られる端末装置１７等を標的とする攻撃パケットを、通信システム１単独で遮断することができる。上記のｅＭＬＢＲ１１は、例えば、アクセス系のルータとして構成されるスイッチであり、更には、目的のトラフィックを遮断するＩＰＳとしての機能を有している。
図４に示すように、ｉＭＬＢＲ１２のコントローラ１２１は、図３のＳ１８においてｅＭＬＢＲ１１から送信された転送ＤＲＭを取得する（Ｓ２１）。ｉＭＬＢＲ１２は、ＡＨに基づいて、取得した転送ＤＲＭが正当なものか否かを判定する（Ｓ２２）。転送ＤＲＭが正当なものでないと判定した場合、ｉＭＬＢＲ１２は、その転送ＤＲＭを破棄して、Ｓ２９の処理に進む。
一方、転送ＤＲＭが正当なものであると判定した場合、コントローラ１２１は、その転送ＤＲＭにより指定される制限条件を抽出する（Ｓ２４）。
次に、コントローラ１２１は、抽出した制限条件が、第１記憶部１２５１に第１規則（廃棄対象ブラックリスト）として登録されているか否かを判定する（Ｓ２５）。抽出した制限条件が第１記憶部１２５１に登録されていないと判定した場合、コントローラ１２１は、抽出した制限条件を第１記憶部１２５１に追加して更新する（Ｓ２６）。ｉＭＬＢＲ１２は、更新された第１記憶部１２５１の情報を用いて転送処理を実施する。
一方、抽出した制限条件が第１記憶部１２５１に既に登録されていると判定した場合、又はＳ２６の処理を終えた場合、コントローラ１２１は、抽出した制限条件に基づいて、転送先のｂＭＬＢＲ１３等を自己の経路表等をもとに決定する。転送先のｂＭＬＢＲ１３等には、同じＩＳＰに属する他のｉＭＬＢＲ１１を含めてもよい。コントローラ１２１は、転送先のｂＭＬＢＲ１３等との間で予め交換した共有鍵を用いて生成したＡＨを付加して、ｉＭＬＢＲ１２の接続先のｂＭＬＢＲ１３に送る転送ＤＲＭを生成する。このＡＨにより、転送ＤＲＭにおけるデータの完全性が保証される（Ｓ２７）。
次に、コントローラ１２１は、転送ＤＲＭを当該ｂＭＬＢＲ１３等に送信する（Ｓ２８）。
なお、ＤＲＭを送信した端末装置１７の識別情報が正当でないと判定した場合、又はＳ２８の処理を終えた場合、ｅＭＬＢＲ１１は、第１記憶部１２５１に登録されている制限条件のうち、攻撃パケットが到来しない状態になった後、或いは、到来しなくなって所定期間が経過した後、その制限条件を削除する（Ｓ２９）。
上記の処理により、通信システム１は、ネットワークＮＷ１の端部に設けられたｉＭＬＢＲ１２−１（図１）を介して送られる端末装置１７等を標的とする攻撃パケットを、通信システム１単独で遮断することができる。上記のｉＭＬＢＲ１２−１は、例えば、ブロードバンドルータとして構成されるスイッチであり、更には、目的のトラフィックを遮断するＩＰＳとしての機能を有している。
図５に示すように、ｂＭＬＢＲ１３は、図４のＳ２８においてｉＭＬＢＲ１２から送信された転送ＤＲＭを取得する（Ｓ３１）。ｂＭＬＢＲ１３は、ＡＨに基づいて、取得した転送ＤＲＭが正当なものか否かを判定する（Ｓ３２）。転送ＤＲＭが正当なものでないと判定した場合、ｂＭＬＢＲ１３は、その転送ＤＲＭを破棄して、Ｓ３９の処理に進む。
一方、転送ＤＲＭが正当なものであると判定した場合、コントローラ１３１は、その転送ＤＲＭにより指定される制限条件を抽出する（Ｓ３４）。
次に、コントローラ１３１は、抽出した制限条件が、第１記憶部１３５１に第１規則として登録されているか否かを判定する（Ｓ３５）。抽出した制限条件が第１記憶部１３５１に登録されていないと判定した場合、コントローラ１３１は、抽出した制限条件を第１記憶部１３５１に追加して更新する（Ｓ３６）。ｂＭＬＢＲ１３は、更新された第１記憶部１３５１の情報（廃棄対象ブラックリスト）を用いて転送処理を実施する。
なお、ＤＲＭを送信した端末装置１７の識別情報が正当でないと判定した場合、又はＳ３６の処理を終えた場合、コントローラ１３１は、自装置に接続されているネットワークＮＷの通信システムが、契約先ＩＳＰなど連携可能なものであるか否かを判定する（Ｓ４０）。連携可能な通信システムがないと判定した場合には、Ｓ３９の処理に進む。
一方、連携可能な通信システムがあると判定した場合には、コントローラ１３１は、抽出した転送ＤＲＭに基づいて、その転送ＤＲＭに、予め交換した共有鍵を用いてＡＨを付加して、ｂＭＬＢＲ１３の接続先のネットワークＮＷ２に送る転送ＤＲＭを生成する。このＡＨにより、転送ＤＲＭにおけるデータの完全性が保証される（Ｓ４７）。
次に、コントローラ１３１は、転送ＤＲＭを当該ネットワークＮＷ宛に送信する（Ｓ４８）。
なお、ＤＲＭを送信した端末装置１７の識別情報が正当でないと判定した場合、連携可能な通信システムがないと判定した場合、又はＳ４８の処理を終えた場合、コントローラ１３１は、第１記憶部１３５１に登録されている制限条件のうち、攻撃パケットが到来しない状態になった後、或いは、到来しなくなって所定期間が経過した後、その制限条件を削除する（Ｓ３９）。
上記の処理により、通信システム１は、ネットワークＮＷ１の端部に設けられたｂＭＬＢＲ１３−１（図１）を介してネットワークＮＷ１に流入する攻撃パケットを、通信システム１単独で遮断することができる。例えば、上記のｂＭＬＢＲ１３−１は、ブロードバンドルータとして構成されるスイッチであり、更には、制限条件に該当するトラフィックを遮断するＩＰＳ（図１）としての機能を有している。上記の処理により、制限条件の通知を受けたｂＭＬＢＲ１３−１は、ネットワークＮＷ１に流入する攻撃パケットを、通信システム１単独で遮断する。
さらに、ＭＬＢＲ１０を導入しているネットワークＮＷ２やネットワークＮＷ３を経由して攻撃パケットがネットワークＮＷ１に送られている場合には、ネットワークＮＷ１内の転送と同様にして、ネットワークＮＷ２やネットワークＮＷ３内で該当するｂＭＬＢＲ１３等に、各ＭＬＢＲ１０によって転送ＤＲＭがバケツリレーされる。このバケツリレーにより転送ＤＲＭが通知されて、例えば、攻撃パケットの送信元アドレスに最も接近したＭＬＢＲ１０で攻撃が遮断されるようになる。
（より具体的な一実施例）
以下の説明では、ＯｐｅｎＦｌｏｗ（登録商標）の技術を適用してＭＬＢＲ１０を構成する場合を例示する。
以下の説明では、ＯｐｅｎＦｌｏｗ（登録商標）の技術を適用してＭＬＢＲ１０を構成する場合を例示する。
（分散型のコントローラ）
ＯｐｅｎＦｌｏｗの各ノードは、ＯｐｅｎＦｌｏｗコントローラにより制御されるＯｐｅｎＦｌｏｗスイッチ部を備える。一般的なＯｐｅｎＦｌｏｗの技術では、１つのＯｐｅｎＦｌｏｗコントローラが複数のＯｐｅｎＦｌｏｗスイッチを一元管理する。
これに代えて、本実施形態のＭＬＢＲ１０は、コントローラ１１１とスイッチ部１１２とを備えており、ＭＬＢＲ１０毎に設けられたコントローラ１１１がスイッチ部１１２を管理する。この点が一般的なＯｐｅｎＦｌｏｗの構成と異なる。以下、上記の相違点を中心に説明する。
ＯｐｅｎＦｌｏｗの各ノードは、ＯｐｅｎＦｌｏｗコントローラにより制御されるＯｐｅｎＦｌｏｗスイッチ部を備える。一般的なＯｐｅｎＦｌｏｗの技術では、１つのＯｐｅｎＦｌｏｗコントローラが複数のＯｐｅｎＦｌｏｗスイッチを一元管理する。
これに代えて、本実施形態のＭＬＢＲ１０は、コントローラ１１１とスイッチ部１１２とを備えており、ＭＬＢＲ１０毎に設けられたコントローラ１１１がスイッチ部１１２を管理する。この点が一般的なＯｐｅｎＦｌｏｗの構成と異なる。以下、上記の相違点を中心に説明する。
ＭＬＢＲ１０のコントローラは、互いに通信することにより、分散型のコントローラとして機能して、例えばＤＲＭを順に転送する。上記のとおり、ＤＲＭは、各ＭＬＢＲ１０における転送を制限するための情報（廃棄対象ブラックリスト）である。ＭＬＢＲ１０は、ＤＲＭが通知されるまでに構成されていた転送情報を変更することなく、転送を制限する制限条件を追加し、また、制限条件を単位にして個々に削除する。これにより、通信システム１は、ネットワークＮＷ内の転送規則を維持したまま、転送を制限する制限条件のみを変更する。例えば、スイッチ部１１２を下記するように構成して、スイッチ部１１２において上記の処理を実施する。
（スイッチ部の一例）
図６から図９を参照して、スイッチ部のより具体的な一例について説明する。図６は、スイッチ部１１２を示す図である。スイッチ部１１２は、各段のフローテーブルとして、廃棄テーブル１１２１、パケットタイプテーブル１１２２、ＳＣＯＰＥテーブル１１２３、ＭＬＢテーブル１１２４、ルーティングテーブル１１２５を備える。図７から図９のそれぞれは、廃棄テーブル１１２１、パケットタイプテーブル１１２２、ＳＣＯＰＥテーブル１１２３の一例を示す図である。
図６から図９を参照して、スイッチ部のより具体的な一例について説明する。図６は、スイッチ部１１２を示す図である。スイッチ部１１２は、各段のフローテーブルとして、廃棄テーブル１１２１、パケットタイプテーブル１１２２、ＳＣＯＰＥテーブル１１２３、ＭＬＢテーブル１１２４、ルーティングテーブル１１２５を備える。図７から図９のそれぞれは、廃棄テーブル１１２１、パケットタイプテーブル１１２２、ＳＣＯＰＥテーブル１１２３の一例を示す図である。
（スイッチ部における各種テーブルの一例）
スイッチ部１１２において、廃棄テーブル１１２１には、廃棄するパケットのフローエントリが必要数格納される。廃棄するパケットのフローエントリは、前述のパケットの転送を制限する条件である第１規則（廃棄対象ブラックリスト）に対応する。例えば図７に示すように、廃棄テーブル１１２１は、格納されたフローエントリにマッチしたパケットを廃棄（ｄｒｏｐ）する。格納されたフローエントリにマッチしなかったパケットは、パケットタイプテーブル１１２２による選択処理の対象にする。フローエントリに規定する制限情報は、１つの送信元ＩＰアドレスであってもよく、或いは、複数の送信元ＩＰアドレスを含む送信元ネットワークアドレスであってもよい。さらに、宛先ＩＰアドレスや宛先ポート番号、送信元ポート番号、パケット長、パケットタイプ、ＴＣＰ制御フラグ等を適宜組み合わせて規定することによって、攻撃パケットと同じ宛先ＩＰアドレスに送信しようとしている他の一般ユーザの通信を妨げることを抑制することができる。例えば、廃棄テーブル１１２１のフローエントリとして、転送を制限する領域に対応するネットワークアドレスをマッチ条件として規定すると、廃棄テーブル１１２１は、そのネットワークアドレスが示すアドレス空間に含まれた送信元ＩＰアドレスが付与されているパケットの転送を制限する。図７に示す「129.168.3.0/24」は、ＩＰｖ４で記述した場合のネットワークアドレスの一例である。
スイッチ部１１２において、廃棄テーブル１１２１には、廃棄するパケットのフローエントリが必要数格納される。廃棄するパケットのフローエントリは、前述のパケットの転送を制限する条件である第１規則（廃棄対象ブラックリスト）に対応する。例えば図７に示すように、廃棄テーブル１１２１は、格納されたフローエントリにマッチしたパケットを廃棄（ｄｒｏｐ）する。格納されたフローエントリにマッチしなかったパケットは、パケットタイプテーブル１１２２による選択処理の対象にする。フローエントリに規定する制限情報は、１つの送信元ＩＰアドレスであってもよく、或いは、複数の送信元ＩＰアドレスを含む送信元ネットワークアドレスであってもよい。さらに、宛先ＩＰアドレスや宛先ポート番号、送信元ポート番号、パケット長、パケットタイプ、ＴＣＰ制御フラグ等を適宜組み合わせて規定することによって、攻撃パケットと同じ宛先ＩＰアドレスに送信しようとしている他の一般ユーザの通信を妨げることを抑制することができる。例えば、廃棄テーブル１１２１のフローエントリとして、転送を制限する領域に対応するネットワークアドレスをマッチ条件として規定すると、廃棄テーブル１１２１は、そのネットワークアドレスが示すアドレス空間に含まれた送信元ＩＰアドレスが付与されているパケットの転送を制限する。図７に示す「129.168.3.0/24」は、ＩＰｖ４で記述した場合のネットワークアドレスの一例である。
パケットタイプテーブル１１２２は、廃棄テーブル１１２１により廃棄されなかったパケットと、コントローラから取得したパケットを処理対象のパケットとし、パケットのタイプ毎のフローエントリを格納する。例えば図８に示すように、パケットタイプテーブル１１２２に格納するフローエントリには、ＩＰｖ４のパケットであることを特定するものと、ＩＰｖ６のパケットであることを特定するものと、コントローラ宛に送信するパケットであることを特定するものが含まれる。例えば、パケットタイプテーブル１１２２として、各パケットのタイプに対応するアクションを下記のように定義する。パケットタイプテーブル１１２２は、自ＭＬＢＲ１０宛のＩＣＭＰｖ６（Internet Control Message Protocol for IPv6）又はＡＲＰ（Address Resolution Protocol）、ＩＣＭＰ（Internet Control Message Protocol）、ＤＨＣＰ（Dynamic Host Configuration Protocol）、ＤＲＰ（Dropping Request Message Protocol）、ＲＩＰ（Routing Information Protocol）、ＯＳＰＦ（Open Shortest Path First）、ＢＧＰ（Border Gateway Protocol）などの通信制御パケットをコントローラ１１１宛のパケット（Ｐａｃｋｅｔ−Ｉｎ）とし、上記を除くＩＰｖ４のパケットをＭＬＢテーブル１１２４による処理の対象にし、上記を除くＩＰｖ６のパケットをＳＣＯＰＥテーブル１１２３による処理の対象にする。上記のＤＲＰは、ＤＲＭに検証データもしくは認証コードを付加した規格である。ＤＲＰの詳細については後述する。パケットタイプテーブル１１２２は、コントローラ１１１宛のパケットのうち、コントローラ１１１による判定結果に基づいて、必要であればＦｌｏｗ−Ｍｏｄにて各テーブルを更新するとともに、他のＭＬＢＲに転送が必要なパケットは、スイッチ部１１２に戻す（Ｐａｃｋｅｔ−Ｏｕｔ）。
ＳＣＯＰＥテーブル１１２３は、パケットタイプテーブル１１２２によりＩＰｖ６のパケットであると特定されたパケットに対し、スコープ（SCOPE）の逸脱有無を判定して当該パケットのルーティングを許可するか否かを特定する。例えば図９に示すように、当該パケットの送信元IPアドレスと宛先ＩＰアドレスが同じスコープ（グローバルアドレス、ユニークローカルアドレス、リンクローカルアドレスなど）に属し、ルーティングを許可すると判定した場合には、ＳＣＯＰＥテーブル１１２３は、当該パケットをＭＬＢテーブル１１２４による処理の対象にする。一方、当該パケットのスコープに逸脱がありルーティングを許可しないと判定した場合には、ＳＣＯＰＥテーブル１１２３は、対象のパケットを廃棄する。
ＭＬＢテーブル１１２４は、パケットタイプテーブル１１２２によりＩＰｖ４のパケットであると特定されたパケット、又は、ＳＣＯＰＥテーブル１１２３によりルーティングを許可するＩＰｖ６のパケットであると特定されたパケットに対し、当該パケットが転送を許可すべきパケットであるか否かを特定する。ＭＬＢテーブル１１２４は、端末装置１７等のＭＡＣアドレスとＩＰアドレス及びｅＭＬＢＲ１１の接続ポートの識別情報を組み合わせて、端末装置１７等を検証するための通信許可ホワイトリストとして機能して、アドレス詐称のチェックを実施する。例えば、当該パケットが転送を許可すべきパケットであると特定した場合、当該パケットをルーティングテーブル１１２５による転送処理の対象にする。当該パケットが転送すべきパケットでないと特定された場合、当該パケットをルーティングテーブル１１２５に従って、廃棄処理の対象にする。
ルーティングテーブル１１２５は、ＭＬＢテーブル１１２４により当該パケットが転送すべきパケットであると特定された場合、当該パケットをルーティングテーブル１１２５により規定される物理ポートに出力する。ルーティングテーブル１１２５は、当該パケットが転送すべきパケットでないと特定された場合、当該パケットをルーティングテーブル１１２５に従って、廃棄処理の対象にしてもよい。
上記の図２に示すように、ｉＭＬＢＲ１２のスイッチ部１２２は、各段のフローテーブルとして、廃棄テーブル１２２１、パケットタイプテーブル１２２２、ＳＣＯＰＥテーブル１２２３、ＭＬＢテーブル１２２４、ルーティングテーブル１２２５を備える。ｂＭＬＢＲ１３のスイッチ部１３２は、各段のフローテーブルとして、廃棄テーブル１３２１、パケットタイプテーブル１３２２、ＳＣＯＰＥテーブル１３２３、ＭＬＢテーブル１３２４、ルーティングテーブル１３２５を備える。ｉＭＬＢＲ１２のスイッチ部１２２と、ｂＭＬＢＲ１３のスイッチ部１３２は、下記を除き、スイッチ部１１２と同様の構成を備える。
ｉＭＬＢＲ１２では、ｅＭＬＢＲ１１が利用される形態に応じて、ＭＬＢテーブル１２２４に格納するデータを変える。例えば、ｅＭＬＢＲ１１が家庭用に用いられている場合には、ｉＭＬＢＲ１２は、グローバルＩＰアドレス（ＩＰｖ６の場合では、これに代えて、グローバルルーティングプリフィックスとサブネットＩＤである。以下の説明では、グローバルＩＰアドレス等という。）を、ｅＭＬＢＲ１１に割り当てる。この場合、ｉＭＬＢＲ１２のコントローラ１２１は、ｅＭＬＢＲ１１に割り当てたグローバルＩＰアドレス等とｅＭＬＢＲ１１のＭＡＣアドレス及びｉＭＬＢＲ１２の接続ポートの識別情報を組み合わせて生成したフローエントリを、ＭＬＢテーブル１２２４に登録して管理する。
また、例えば、グローバルアドレス空間のアドレスが割当てられている組織ユーザ、又は、グローバルアドレス空間のアドレスを保有している組織ユーザの場合には、組織ユーザのグローバルアドレス空間のネットワークアドレスとｅＭＬＢＲ１１のＭＡＣアドレス及びｉＭＬＢＲ１２の接続ポートの識別情報を組み合わせて生成したフローエントリを、ＭＬＢテーブル１２２４に登録して管理する。
なお、ｉＭＬＢＲ１２のＭＬＢテーブル１２２４は、主に、受信したパケットの入力ポートと送信元であるｅＭＬＢＲ１１のＭＡＣアドレス、及び送信元ＩＰアドレスが経路表に存在するか否かを組み合わせて判定し、これらの組み合わせに合致するものを転送するｕＲＰＦのストリクトモード（strictモード）又はルースモード（looseモード）相当の機能を実現するように構成される。例えば、ＭＬＢＲ１０を導入する過程などで、ｅＭＬＢＲ１１が未導入のユーザからネットワークアドレス空間内のアドレス詐称パケットが送信された場合に、ｕＲＰＦのストリクトモード又はルースモード相当の機能では、当該アドレス詐称パケットを廃棄することができないが、ｅＭＬＢＲ１１を併せて導入することで、アドレス詐称パケットの発生自体が制限される。また、ｉＭＬＢＲ１２宛にｅＭＬＢＲ１１を偽装する偽装パケットが送られたとしても、ｉＭＬＢＲ１２は、ＡＨの検証によりそれを検出することができ、同パケットを廃棄する。
ｂＭＬＢＲ１３は、主に、受信したパケットの送信元IPアドレスが経路表に存在するか否かを判定し、経路表に存在するものを転送する。上記の転送処理は、ｕＲＰＦのルースモード（looseモード）又はスクリクトモード（strictモード）相当のフィルタリングと同様の処理をする。そのため、ｂＭＬＢＲ１３と他のネットワークＮＷのｂＭＬＢＲとの間のリンクの接続ポートの識別情報や、リンクに接続されたｂＭＬＢＲ１３のＭＡＣアドレスとを組み合わせたフローエントリを、ＭＬＢテーブル１３２４に登録する必要はない。
ｂＭＬＢＲ１３のＭＬＢテーブル１３２４は、逆行経路から外れた送信元ＩＰアドレスのパケットを廃棄する。これに加えて、ＭＬＢテーブル１３２４は、送信元ＩＰアドレスを詐称する攻撃パケットを大量に送り込まれても、ｂＭＬＢＲ１３のＭＬＢテーブル１３２４の転送経路情報に基づいたｕＲＰＦの機能により、パケットを逆行経路内に閉じ込めることができる。すなわち、攻撃の被害を受けた端末装置１７から見れば攻撃パケットの送信元への経路（攻撃送信元経路）を特定できる。端末装置１７は、攻撃送信元経路に向けて廃棄要請を送信することで，その攻撃送信元経路からの攻撃をＭＬＢＲ１０の機能により遮断する。
（ｅＭＬＢＲ１１における端末装置１７等から送信されたパケットの転送処理）
認証・検疫に成功した端末装置１７は、ＭＬＢテーブル１１２４に登録・管理される。
ｅＭＬＢＲ１１は、パケットを受信すると、受信したパケットのフローエントリがＭＬＢテーブル１１２４に存在するか調べ、存在する場合には、受信したパケットのアドレスがプライベートＩＰアドレスであればグローバルＩＰアドレス等に変換してからＡＨを付加し、さらにＭＡＣアドレスを書き替えて、指定されたＱｏＳでｉＭＬＢＲ１２へ転送する。指定されたＱｏＳには、例えば、帯域制限なし、ＡＨを付加しての転送、帯域制限、通信相手限定などの項目を含めてもよい。
認証・検疫に成功した端末装置１７は、ＭＬＢテーブル１１２４に登録・管理される。
ｅＭＬＢＲ１１は、パケットを受信すると、受信したパケットのフローエントリがＭＬＢテーブル１１２４に存在するか調べ、存在する場合には、受信したパケットのアドレスがプライベートＩＰアドレスであればグローバルＩＰアドレス等に変換してからＡＨを付加し、さらにＭＡＣアドレスを書き替えて、指定されたＱｏＳでｉＭＬＢＲ１２へ転送する。指定されたＱｏＳには、例えば、帯域制限なし、ＡＨを付加しての転送、帯域制限、通信相手限定などの項目を含めてもよい。
一方、存在しない場合には、ｅＭＬＢＲ１１は、偽装パケットと見なして受信したパケットを廃棄する。ｅＭＬＢＲ１１は、接続ポートを介して、端末装置１７等の実在確認を適宜行い、ＭＬＢテーブル１１２４に登録された経路情報の有効期間を延長する。
（ＤＲＭの構成）
図１０を参照して、ＤＲＭの一例とその通信手順（ＤＲＰ）について説明する。図１０は、ＤＲＭの一例を説明するための図である。同図にＤＲＭを送信するパケットのフレーム構成の一例を示す。同フレームは、ＭＡＣヘッダ、ＩＰヘッダ、ＴＣＰヘッダ、ペイロードを含む。ペイロードにはＤＲＭが割り付けられる。ＤＲＭを送受信する端末装置１７及びＭＬＢＲ１０等は、ＤＲＭの通信手順を規定するＤＲＰを共有し、ＤＲＰに基づいて通信する。
図１０を参照して、ＤＲＭの一例とその通信手順（ＤＲＰ）について説明する。図１０は、ＤＲＭの一例を説明するための図である。同図にＤＲＭを送信するパケットのフレーム構成の一例を示す。同フレームは、ＭＡＣヘッダ、ＩＰヘッダ、ＴＣＰヘッダ、ペイロードを含む。ペイロードにはＤＲＭが割り付けられる。ＤＲＭを送受信する端末装置１７及びＭＬＢＲ１０等は、ＤＲＭの通信手順を規定するＤＲＰを共有し、ＤＲＰに基づいて通信する。
例えば、ＤＲＭは、ＤＲＭの通信手順を定めるプロトコル（ＤＲＰ）のバージョン、ＤＲＭのメッセージ長、ＤＲＭを送信する端末装置の識別情報、有効期間、監視規定時間、廃棄対象情報、ＲＰＫＩや攻撃の履歴情報の付加、さらに将来の機能拡張のための拡張情報、検証用データもしくは認証コードなどの情報を含む。有効期間は、ＭＬＢＲ１０が転送の制限を継続する期間を示す。監視規定時間は、攻撃パケットの有無を含む通信状態の監視を実施する周期を規定する。廃棄対象情報は、攻撃パケットの転送を制限するための攻撃パケットの送信元アドレス等を含む。なお、廃棄対象情報は、例えば、特定した送信元アドレスと宛先ＩＰアドレス，送信元／宛先ポート番号，さらにＴＣＰ制御フラグやパケット長，パケットタイプなどの属性データを適宜組み合せてもよい。このような組み合わせにより，廃棄対象とした送信元ネットワークアドレス空間内から、一般ユーザが同じ宛先にパケットを送っても，誤廃棄する確率を減らすことができる。検証用コードもしくは認証コードは、前述の端末装置１７が自装置の正当性と完全性を示す情報を付与するものである。
端末装置１７とｅＭＬＢＲ１１との間にファイアウォールが設けられている場合には、通信可能なプロトコルが制限される。この場合、端末装置１７は、ＩＣＭＰなどを用いてＭＬＢＲ１０に発見要求メッセージを送り、ｅＭＬＢＲ１１からの応答を取得して、ｅＭＬＢＲ１１を特定するとともに、先に応答したｅＭＬＢＲ１１の真正を確認する手順を実施する。その後、端末装置１７は、上記のフレームを用いてＤＲＭをｅＭＬＢＲ１１に送信する。
なお、ＭＬＢＲ１０間の通信において、相手先を認証する必要が無い場合には、ＤＲＭの検証が行えればよいため、ＭＬＢＲ１０は、検証用コードもしくは認証コードに代えて、上記のフレームのＩＰヘッダとＵＤＰヘッダの間にＡＨを付与したフレームを用いてもよく、ＤＲＭにＡＨを付与して上記のペイロードに収納してもよい。
図１１と図１２とを参照して、ＤｏＳ攻撃遮断実験の結果について説明する。
図１１は、ＤｏＳ攻撃遮断実験の構成を示す図である。図１１のｂＭＬＢＲ１３をｕＲＰＦ相当機能として機能させて、同図に示す範囲でランダムに送信元ＩＰアドレスを変えながら、ホストＥから攻撃パケットに見立てたＩＣＭＰパケットを１ｐｐｓの頻度で端末装置１７−１宛に送信する。端末装置１７−１は、受信したパケットの累計が１０パケットに達するとログに書き出す。端末装置１７−１は、攻撃パケットから抽出した攻撃元ＩＰアドレスと、送信先ＩＰアドレスと、パケットタイプとを組み合せてＤＲＭを生成して、ｅＭＬＢＲ１１宛に送信する。各ＭＬＢＲ１０は、前述の手順に従ってＤＲＭを転送して、廃棄テーブル１１２１等の廃棄テーブルに、ＤＲＭに基づいて生成した廃棄エントリを登録する。各ＭＬＢＲ１０は、上記の廃棄エントリを登録した後、該当するパケットを受信すると廃棄する。以上のモデルに基づいて実験を行う。
図１１は、ＤｏＳ攻撃遮断実験の構成を示す図である。図１１のｂＭＬＢＲ１３をｕＲＰＦ相当機能として機能させて、同図に示す範囲でランダムに送信元ＩＰアドレスを変えながら、ホストＥから攻撃パケットに見立てたＩＣＭＰパケットを１ｐｐｓの頻度で端末装置１７−１宛に送信する。端末装置１７−１は、受信したパケットの累計が１０パケットに達するとログに書き出す。端末装置１７−１は、攻撃パケットから抽出した攻撃元ＩＰアドレスと、送信先ＩＰアドレスと、パケットタイプとを組み合せてＤＲＭを生成して、ｅＭＬＢＲ１１宛に送信する。各ＭＬＢＲ１０は、前述の手順に従ってＤＲＭを転送して、廃棄テーブル１１２１等の廃棄テーブルに、ＤＲＭに基づいて生成した廃棄エントリを登録する。各ＭＬＢＲ１０は、上記の廃棄エントリを登録した後、該当するパケットを受信すると廃棄する。以上のモデルに基づいて実験を行う。
図１２は、各ノードで観測した累積パケット数の継時変化を示す図である。
同図におけるＧ１が、ホストＥが送信したパケットの累計（累積パケット数）を示し、Ｇ２が、ｂＭＬＢＲ１３をｕＲＰＦとして機能させたことにより廃棄したパケット数の累計を示し、Ｇ３が、端末装置１７−１が受信したパケット数の累計を示す。
同図におけるＧ１が、ホストＥが送信したパケットの累計（累積パケット数）を示し、Ｇ２が、ｂＭＬＢＲ１３をｕＲＰＦとして機能させたことにより廃棄したパケット数の累計を示し、Ｇ３が、端末装置１７−１が受信したパケット数の累計を示す。
Ｇ２に示すように、ｂＭＬＢＲ１３をｕＲＰＦとして機能させたことにより、ｂＭＬＢＲ１３は、約２／３のパケットを遮断している。
端末装置１７−１は、時刻ｔ１において、受信したパケット数の累計が１０パケットに達したことにより、ＤＲＭを送信する。Ｇ３に示すように、端末装置１７−１がＤＲＭを送信した後、端末装置１７−１が受信したパケット数の累計値に変化がなく、端末装置１７−１にパケットが到達しなくなったことが確認できる。
本実験では攻撃ホストＥが１台で、送信元ＩＰアドレスを詐称するＤｏＳ攻撃を模したものであるが、ＤＤｏＳ攻撃などの多重攻撃を受けた場合も、同様に攻撃パケットを廃棄する。
本実験では攻撃ホストＥが１台で、送信元ＩＰアドレスを詐称するＤｏＳ攻撃を模したものであるが、ＤＤｏＳ攻撃などの多重攻撃を受けた場合も、同様に攻撃パケットを廃棄する。
上記のとおり、本実施形態に示す通信システム１は、ＩＰトレースバックのような攻撃の発信源のアドレスを特定することなく、攻撃パケットの送信元アドレスに基づいて、同アドレスに接近するようＤＲＭを転送することで、攻撃パケットの経路に存在するＭＬＢＲ１０における攻撃パケットの転送を遮断する。
次に、図１から図１５までを参照して、ＤｏＳ／ＤＤｏＳとして知られる多重攻撃による攻撃パケットに対する対策の一例について説明する。
（端末装置１７Ａと通信制限範囲特定装置１９）
図１３は、端末装置１７Ａと通信制限範囲特定装置１９の構成を説明するための図である。図１３に示す通信制限範囲特定装置１９は、前述の図１、図２等に示されているように端末装置１７Ａと接続される。
図１３は、端末装置１７Ａと通信制限範囲特定装置１９の構成を説明するための図である。図１３に示す通信制限範囲特定装置１９は、前述の図１、図２等に示されているように端末装置１７Ａと接続される。
端末装置１７Ａは、ＣＰＵと、ＲＯＭ、ＥＥＰＲＯＭ、ＨＤＤ、ＲＡＭ、レジスタ等の記憶装置と、を含むコンピュータであり、実行するプログラムにより、ＭＬＢＲ１０を制御することで、通信システム１等における通信を制御する。端末装置１７Ａは、通信制御装置の一例である。
図１３に示す端末装置１７Ａは、ＩＤＳ／ＩＰＳ部１７１と、制限アドレス範囲取得部１７２と、状況判定部１７３と、転送制御部１７４と、記憶部１７７と、通信部１７８とを備える。端末装置１７Ａは、ＩＤＳ／ＩＰＳ部１７１と、制限アドレス範囲取得部１７２と、状況判定部１７３と、転送制御部１７４とを含む端末制御部１７０を形成する。
ＩＤＳ／ＩＰＳ部１７１は、端末装置１７ＡをＩＤＳ／ＩＰＳとして機能させる。ＩＤＳ／ＩＰＳ部１７１は、ＩＤＳ／ＩＰＳとして機能させて検出した結果を通信制限範囲特定装置１９に送る。制限アドレス範囲取得部１７２は、通信制限範囲特定装置１９により決定された制限アドレス範囲を取得する。状況判定部１７３は、制限アドレス範囲取得部１７２によって所得された結果（制限アドレス範囲）に基づいて、規制対象パケットとして送信されている状況にあるか否かを判定する。転送制御部１７４は、制限アドレス範囲に基づいてＤＲＭを送信し、当該アドレス範囲の送信元アドレスが付与されたパケットの転送を制限するように、ＭＬＢＲ１０を制御する。
通信制限範囲特定装置１９は、ＣＰＵと、ＲＯＭ、ＥＥＰＲＯＭ、ＨＤＤ、ＲＡＭ、レジスタ等の記憶装置と、を含むコンピュータであり、実行するプログラムにより、パケットの転送を制限する制限アドレス範囲を決定する。通信制限範囲特定装置１９は、例えば、ＩＤＳ／ＩＰＳとして機能する端末装置１７Ａからの情報に基づいて、上記の制限アドレス範囲を決定する。
図１３に示す通信制限範囲特定装置１９は、情報取得部１９１(取得部)と、制限範囲特定部１９２と、制限範囲出力部１９３と、記憶部１９７とを備える。通信制限範囲特定装置１９は、情報取得部１９１と、制限範囲特定部１９２と、制限範囲出力部１９３とが通信制限範囲特定制御部１９０を形成する。
本実施形態における端末装置１７Ａは、通信制限範囲特定装置１９からの情報に基づいてＭＬＢＲ１０へＤＲＭを送信することで、通信システム１等における通信を制御する。以下、その詳細について説明する。
（多重攻撃による攻撃パケットのツリー分析）
図１４を参照して、多重攻撃による攻撃パケットのツリー分析の一例について説明する。図１４は、多重攻撃による攻撃パケットのツリー分析の一例を示す図である。
なお、以下に示す手順により通信制限範囲特定装置１９は、ネットマスクの深さを変えながら、各ネットワークアドレス（アドレス範囲）で計数したパケット数をもとに、攻撃パケットの送信元アドレスを特定する。
図１４において、各ネットワークアドレスを節Ｓｃ（図１５では、○で示す）と呼ぶ。攻撃パケットの送信元アドレスの分布により、節Ｓｃは幹Ｔｒまたは枝Ｂｒを介してツリー状をなして連結される。幹Ｔｒは図１５に示す配置において、その上下に位置する各節Ｓｃに該当する攻撃パケットの個数が同じ場合に用いる。一方、枝Ｂｒは図１５に示す配置において、下に位置する節Ｓｃに該当する攻撃パケット数が、図１５に示す配置における上の節Ｓｃより少なくなる場合に、すなわち送信元アドレスが枝分かれする場合に用いる。そして、幹Ｔｒで連結された節Ｓｃの中で最も下位に位置する節Ｓｃを節ＳｃＢと呼ぶ。通信制限範囲特定装置１９は、節ＳｃＢに基づいて、制限すべき送信元ネットワークアドレスもしくは送信元ＩＰアドレスとして特定する。これを「制限アドレス範囲」と呼ぶ。なお、幹Ｔｒで連結された各節Ｓｃのパケット数は、同じ値になる。
図１４を参照して、多重攻撃による攻撃パケットのツリー分析の一例について説明する。図１４は、多重攻撃による攻撃パケットのツリー分析の一例を示す図である。
なお、以下に示す手順により通信制限範囲特定装置１９は、ネットマスクの深さを変えながら、各ネットワークアドレス（アドレス範囲）で計数したパケット数をもとに、攻撃パケットの送信元アドレスを特定する。
図１４において、各ネットワークアドレスを節Ｓｃ（図１５では、○で示す）と呼ぶ。攻撃パケットの送信元アドレスの分布により、節Ｓｃは幹Ｔｒまたは枝Ｂｒを介してツリー状をなして連結される。幹Ｔｒは図１５に示す配置において、その上下に位置する各節Ｓｃに該当する攻撃パケットの個数が同じ場合に用いる。一方、枝Ｂｒは図１５に示す配置において、下に位置する節Ｓｃに該当する攻撃パケット数が、図１５に示す配置における上の節Ｓｃより少なくなる場合に、すなわち送信元アドレスが枝分かれする場合に用いる。そして、幹Ｔｒで連結された節Ｓｃの中で最も下位に位置する節Ｓｃを節ＳｃＢと呼ぶ。通信制限範囲特定装置１９は、節ＳｃＢに基づいて、制限すべき送信元ネットワークアドレスもしくは送信元ＩＰアドレスとして特定する。これを「制限アドレス範囲」と呼ぶ。なお、幹Ｔｒで連結された各節Ｓｃのパケット数は、同じ値になる。
情報取得部１９１は、ＭＬＢＲ１０に送信する第１規則（廃棄対象ブラックリスト）となる制限範囲の生成に必要な各種情報を取得する。取得する情報には、ＩＤＳ／ＩＰＳによって攻撃パケットと判定されたパケットの直近及び過去のログ情報、通信制限範囲特定装置１９の制限範囲の履歴情報、ＤＲＭの履歴情報などが含まれる。
制限範囲特定部１９２は、情報取得部１９１によって取得された各種情報に基づいて、通信を制限するアドレス空間を決定する。制限範囲特定部１９２は、図１５に示すように、ネットマスクの深さを変えながら、各ネットワークアドレス（アドレス範囲）で計数されたパケット数をもとに、攻撃パケットの送信元アドレスを特定する。各ネットワークアドレスを節（図１５では○で表す）と呼び、攻撃パケットの送信元アドレスの分布により節は幹Ｔｒまたは枝Ｂｒを介してツリー状をなして連結する。幹Ｔｒはその上下に位置する各節に該当する攻撃パケットの個数が同じ場合、枝Ｂｒは下に位置する節に該当する攻撃パケット数が上の節より少なくなる場合、すなわち送信元アドレスが枝分かれする場合に用いる。そして、幹Ｔｒで連結された節(パケット数が一致)の中で最も下位に位置する節を、制限すべき送信元ネットワークアドレスもしくは送信ＩＰアドレスとして特定する。これを「制限アドレス範囲」と呼ぶ。
制限範囲出力部１９３は、制限範囲特定部１９２により決定した制限アドレス範囲をＩＤＳ／ＩＰＳに出力する。ＩＤＳ／ＩＰＳは、前述した図１０に示したＤＲＭのフォーマットに必要情報を付加してＤＲＭを生成し、さらに使用するプロトコルのヘッダ情報を付加して、ｅＭＬＢＲ１１に送信する。
（ツリー分析による攻撃パケットの送信元アドレスの特定）
ＤｏＳ／ＤＤｏＳとして知られる多重攻撃が実施されると、ネットワークＮＷに設けられたＩＤＳ／ＩＰＳは、その多重攻撃を検出し、その多重攻撃の履歴情報をログとして記録する。通信制限範囲特定装置１９は、ログに記録された履歴情報に基づいてツリー分析を実施して、攻撃パケットを送信した攻撃者が利用した送信元アドレスを特定する。以下の説明では、ＩＰｖ４タイプのパケットを例示して説明するが、これに限定するものではない。
ＤｏＳ／ＤＤｏＳとして知られる多重攻撃が実施されると、ネットワークＮＷに設けられたＩＤＳ／ＩＰＳは、その多重攻撃を検出し、その多重攻撃の履歴情報をログとして記録する。通信制限範囲特定装置１９は、ログに記録された履歴情報に基づいてツリー分析を実施して、攻撃パケットを送信した攻撃者が利用した送信元アドレスを特定する。以下の説明では、ＩＰｖ４タイプのパケットを例示して説明するが、これに限定するものではない。
図１５は、受信パケットの転送を制限するアドレス範囲を定める処理の手順を示すフローチャートである。
（初期条件の設定）
まず、通信制限範囲特定装置１９は、ＩＤＳ／ＩＰＳが前述の方法により攻撃パケットと判定したパケットのログ情報が、所定の個数、例えば１０００個より多ければ、無作為に所定の個数の範囲内で一部又はすべてを選択し、所定の個数以下であればすべてを、選択し（Ｓ１３１）、選択した解析対象の送信元アドレスを、アドレス値の順に並べて整理する（Ｓ１３２）。
まず、通信制限範囲特定装置１９は、ＩＤＳ／ＩＰＳが前述の方法により攻撃パケットと判定したパケットのログ情報が、所定の個数、例えば１０００個より多ければ、無作為に所定の個数の範囲内で一部又はすべてを選択し、所定の個数以下であればすべてを、選択し（Ｓ１３１）、選択した解析対象の送信元アドレスを、アドレス値の順に並べて整理する（Ｓ１３２）。
（解析対象範囲の決定）
次に、通信制限範囲特定装置１９は、解析対象の送信元アドレス（src addr）から、解析対象範囲を規定するネットワークアドレス（nw addr）を生成する（Ｓ１３３）。例えば、攻撃パケットがすり抜けてきたｂＭＬＢＲ１３のＭＬＢテーブル（ｕＲＰＦ）のネットワークアドレスの最浅ネットマスクをクラスＡに相当する「／８」と仮定し、ネットマスク初期値とする。通信制限範囲特定装置１９は、前記ネットマスク初期値とログに記録された攻撃パケットの送信元アドレスから、ネットワークアドレスの初期値とを設定する。例えば、図１５の例では、133.0.0.0/8と147.0.0.0/8それぞれを、ネットワークアドレスの初期値として分析対象範囲nw_addrに設定する。これを分析起点節と呼ぶ。上記のようにして設定されたネットワークアドレスnw_addrは、解析対象範囲を段階的に狭めて、すなわちネットマスクを深めながら分析を行う。
次に、通信制限範囲特定装置１９は、解析対象の送信元アドレス（src addr）から、解析対象範囲を規定するネットワークアドレス（nw addr）を生成する（Ｓ１３３）。例えば、攻撃パケットがすり抜けてきたｂＭＬＢＲ１３のＭＬＢテーブル（ｕＲＰＦ）のネットワークアドレスの最浅ネットマスクをクラスＡに相当する「／８」と仮定し、ネットマスク初期値とする。通信制限範囲特定装置１９は、前記ネットマスク初期値とログに記録された攻撃パケットの送信元アドレスから、ネットワークアドレスの初期値とを設定する。例えば、図１５の例では、133.0.0.0/8と147.0.0.0/8それぞれを、ネットワークアドレスの初期値として分析対象範囲nw_addrに設定する。これを分析起点節と呼ぶ。上記のようにして設定されたネットワークアドレスnw_addrは、解析対象範囲を段階的に狭めて、すなわちネットマスクを深めながら分析を行う。
図１４に示す例では、２つ分析起点節が存在し、２つの経路から攻撃パケットが到来する場合が示されている。
その第１の経路から到来する場合として、例えば、特定のｂＭＬＢＲ１３において、そのＭＬＢテーブル（ｕＲＰＦ）で規制されているネットワークアドレスを通り抜けた攻撃パケットが、端末装置１７に到来する状況を示す。さらに、所定の期間内に、第１の経路から端末装置１７に到来する攻撃パケットには、送信元アドレスが互いに異なる攻撃パケットが存在していることが示されている。
その第１の経路から到来する場合として、例えば、特定のｂＭＬＢＲ１３において、そのＭＬＢテーブル（ｕＲＰＦ）で規制されているネットワークアドレスを通り抜けた攻撃パケットが、端末装置１７に到来する状況を示す。さらに、所定の期間内に、第１の経路から端末装置１７に到来する攻撃パケットには、送信元アドレスが互いに異なる攻撃パケットが存在していることが示されている。
その第２の経路は、上記の第１の経路と異なるものである。第２の経路から到来する攻撃パケットには、上記の第１の経路から到来する攻撃パケットとは異なる送信元アドレスが付与されているものである。この例では、所定の期間内に、第２の経路から端末装置１７に到来する攻撃パケットには、同じ送信元ＩＰアドレスが付与されたものしか存在しなかったことが示されている。
この第１の場合と第２の場合は、独立しており、そのうち何れか一方又は両方が発生することがある。通信制限範囲特定装置１９は、それぞれの経路を解析対象とする。
（パケット数の計数）
次に、通信制限範囲特定装置１９は、解析対象範囲として規定したネットワークアドレス（nw_addr）毎に、ログ情報に記録されている攻撃パケットのネットワークアドレス（nw_addr）が一致したパケット数を計数する（Ｓ１３４）。例えば、第２の経路について解析する場合には、通信制限範囲特定装置１９は、147.0.0.0/8を分析起点節として、検出対象のネットワークアドレスのネットマスクを「／３２」まで順に深めながら、検出対象のネットワークアドレスについての各ネットマスクにおける検出パケット数を集計する。
次に、通信制限範囲特定装置１９は、解析対象範囲として規定したネットワークアドレス（nw_addr）毎に、ログ情報に記録されている攻撃パケットのネットワークアドレス（nw_addr）が一致したパケット数を計数する（Ｓ１３４）。例えば、第２の経路について解析する場合には、通信制限範囲特定装置１９は、147.0.0.0/8を分析起点節として、検出対象のネットワークアドレスのネットマスクを「／３２」まで順に深めながら、検出対象のネットワークアドレスについての各ネットマスクにおける検出パケット数を集計する。
次に、通信制限範囲特定装置１９は、解析対象範囲を段階的に狭めるように設定された各ネットワークアドレスnw_addrについて、上記の全ての計数値が一致するか否かを判定する（Ｓ１３５）。解析対象範囲に対応させて設定された複数のネットワークアドレスnw_addrについて、上記の全ての計数値が一致する場合には、通信制限範囲特定装置１９は、単独のＩＰアドレスを利用する攻撃と判定する（Ｓ１３６）。例えば、その集計結果に基づいて、ネットマスク長を「／８」から「／３２」まで段階的に定めた各ネットワークアドレスでのパケット数が同じ値をとる場合には、通信制限範囲特定装置１９は、単独の送信元ＩＰアドレス（図１５の場合、147.203.17.28/32）を用いて攻撃パケットを送信する状態にあると判定する。つまり、この場合には、通信制限範囲特定装置１９は、特定の固定ＩＰアドレスが付与されたパケットのみが到来している状況にあると特定できる。上記の場合は、上位の節のパケット数と下位の節のパケット数とが、「／８」から「／３２」を通して一致する場合に当たる。通信制限範囲特定装置１９の制限範囲特定部１９２は、この場合、最下位の節のネットワークアドレス内のアドレスを送信元ＩＰアドレスとして付与されたパケットが規制対象パケットとして送信されていると判定し、制限アドレス範囲として制限範囲出力部１９３は、端末装置１７Ａ（ＩＤＳ／ＩＰＳ）にその結果を出力する。
一方で、その集計結果に基づいて、ネットマスク長を「／８」から「／３２」までの各ネットワークアドレス（節）でのパケットの計数値が一致しない場合には、通信制限範囲特定装置１９は、単独の送信元ＩＰアドレスを利用した攻撃のみを受けている状況にないと判定する（Ｓ１３７）。つまり、第１の経路のように、ネットマスク長に応じてパケット数が変化する節には、通信制限範囲特定装置１９は、各ネットワークアドレスで規定されるアドレスに対応する位置に分岐節（123.80.0.0/16，123.80.36.0/22他）が存在すると判定する。上記の場合は、上位の節のパケット数より下位の節のパケット数が少なくなる場合に当たる。通信制限範囲特定装置１９の制限範囲特定部１９２は、この場合、上位の節のネットワークアドレス内の複数のアドレスを送信元ＩＰアドレスとして付与されたパケットが規制対象パケットとして送信されていると判定する。
次に、通信制限範囲特定装置１９は、その分岐節より下位のネットワークアドレスにおける複数のアドレスの利用状況について判定する（Ｓ１３８）。例えば、その分岐節のネットマスク長から「／３２」までの各ネットワークアドレスから送信されたパケット数がそれぞれ同じであれば、この場合も、上記と同様に固定ＩＰアドレス（例えば、123.80.100.25/32）が利用されている状況にあると判定する。
一方，その分岐節より下位に行くほどパケット数が少なくなる状況にあれば、通信制限範囲特定装置１９は、その分岐節のネットマスク長から「／３２」までの間に、別の分岐節があると判定する。その場合には、通信制限範囲特定装置１９は、一連の分岐節の中の最上位の分岐節（同分岐節と連結する幹Ｔｒの最下位の節）を送信元ネットワークアドレス（例えば、123.80.36.0/22）として特定する。
通信制限範囲特定装置１９は、上記の結果に基づいて、パケット数が所定数以上の分岐節に基づいて、経路毎の制限アドレス範囲を決定する。前述のとおり、通信制限範囲特定装置１９は、上記判定の所定数を、例えば１０にすることで、所望の確率（例えば、９９．８％）で送信元ネットワークアドレスを特定でき、攻撃パケットを制限することが可能になる。
また、今回特定した制限アドレス範囲を、前回特定した制限アドレス範囲やＤＲＭ履歴情報などと比較し、今回特定した制限アドレス範囲が前回までのものと一部重複している場合には、これらを包含するように新たな制限アドレス範囲を特定し、前回までの制限アドレス範囲を置き換える制限アドレス範囲として、ＩＤＳ／ＩＰＳとして機能する端末装置１７Ａなどに出力する。これを受け取った端末装置１７Ａは、前述した端末装置１７と同じ方法でＤＲＭを生成するとともに、送信済のＤＲＭを置き換える指示をＤＲＭの拡張情報フィールド（図１０）に記述してＭＬＢＲ１０に送信すれば、ＭＬＢＲ１０では第１記憶部１１５１に登録済の該当廃棄対象ブラックリストに上書きすることによって、第１記憶部１１５１のメモリ空間を無駄に消費することを抑制できる。
さらに、通信制限範囲特定装置１９は、分析対象としたパケットの属性情報について、宛先ＩＰアドレスや宛先ポート番号、送信元ポート番号、パケット長、パケットタイプ、ＴＣＰ制御フラグなどに共通するものを抽出して、制限アドレス範囲とともにＩＤＳ／ＩＰＳに出力してもよい。端末装置１７Ａ（ＩＤＳ／ＩＰＳ）では、これらの属性情報を適宜組み合わせてＤＲＭを生成し、ＭＬＢＲ１０に送信することによって、攻撃パケットと同じ宛先ＩＰアドレスに送信しようとしている他の一般ユーザの通信を妨げることを抑制することができる。
以上に説明した、実施形態によれば、通信制限範囲特定装置１９は、一つ又は複数のアドレスを含むアドレス範囲ごとに測定点を通過するパケットの個数を取得して、制限対象に該当する規制対象パケットの個数が一致する複数のアドレス範囲の中で、最も狭いアドレス範囲を含むように定めたアドレス範囲を、パケットの転送を制限する制限アドレス範囲として決定する制限範囲特定部１９２を備えることにより、攻撃等により発生した不正や過度のトラフィックの要因となるパケットの送信元アドレスの範囲をより速やかに特定することができる。
また、制限範囲特定部１９２は、制限アドレス範囲を、規制対象パケットの送信元アドレスに対応するネットワークアドレスまたはＩＰアドレスとして規定してもよい。
また、端末装置１７Ａは、上記の通信制限範囲特定装置１９により決定された制限アドレス範囲を取得する制限アドレス範囲取得部１７２と、制限アドレス範囲内のアドレスを送信元アドレスとして付与したパケットが規制対象パケットとして送信されている状況にあるかを判定する状況判定部１７３と、を備えるようにしてもよい。
また、状況判定部１７３は、制限アドレス範囲に該当する規制対象パケット数より、制限アドレス範囲を包含する包含アドレス範囲に該当する規制対象パケット数が多い場合、包含アドレス範囲内の複数のアドレスを送信元アドレスとして付与したパケットが規制対象パケットとして送信されている状況にあると判定するようにしてもよい。
また、端末装置１７Ａは、制限アドレス範囲に基づいて、当該アドレス範囲の送信元アドレスが付与されたパケットの転送を制限する転送制御部１７４を備えていてもよい。
なお、ＩＤＳ／ＩＰＳを備えた端末装置１７ＡからＤＲＭパケットがｅＭＬＢＲ１１に送信されると、ｅＭＬＢＲ１１のコントローラ１１１は、受信パケットの転送先から取得したＤＲＭ（第１制限要求）に基づいた転送ＤＲＭ（第２制限要求）を、受信パケットの送信元であるｉＭＬＢＲ１２（第１送信ノード）に対して送信するように制御する。端末装置１７は、受信パケットの転送先の一例である。これにより、通信システム１は、実際に被害を受けた端末装置１７からのＤＲＭによる申告に基づいて、攻撃パケットの転送を制限することができる。
また、ｅＭＬＢＲ１１の第１記憶部１１５１は、受信パケットの転送を制限する条件を列挙した廃棄対象ブラックリストを第１規則として記憶する。廃棄対象ブラックリストとは、例えば、受信パケットの転送を制限して、スイッチ部１１２において当該パケットを廃棄処理するなどのためのフローリストを記憶するものである。第２記憶部１１５２は、受信パケットの転送を許可する条件を列挙した通信許可ホワイトリストを第２規則として記憶する。通信許可ホワイトリストとは、例えば、受信パケットの転送をスイッチ部１１２に実施させるためのフローリストを記憶するものである。コントローラ１１１は、廃棄対象ブラックリストに基づいた制限を通信許可ホワイトリストに基づいた許可より優先させて、受信パケットの転送を制御する。これにより、コントローラ１１１は、廃棄対象ブラックリストに基づいて転送するパケットを抽出して、その結果に基づいて通信許可ホワイトリストに基づいて転送するように制御することができる。通信システム１は、上記のように廃棄対象ブラックリストを優先させたことにより、ＭＬＢＲ１０に対する攻撃をＭＡＣフレームや接続ポートベースでの制限ができるなど、制御装置や転送処理の負荷を軽減することができる。
また、受信パケットの転送を許可する条件に転送を許可する通信元の経路を示す逆行経路情報が含まれ、一部又は全部の該経路情報が示す経路の送信元情報に、前記受信データを含む受信パケットに付与された送信元情報が該当する場合、スイッチ部１１２は、その受信パケットを転送する。これにより、スイッチ部１１２は、逆行経路情報が示す経路の送信元情報に、受信パケットに付与された送信元情報が該当する場合に、その受信パケットを転送することができる。
また、ＭＬＢＲ１０は、第２規則として規定される該当経路情報に基づき、逆行経路から外れる送信元アドレスが付与された受信パケットの転送を制限する。ＭＬＢＲ１０は、通信許可ホワイトリストに登録されている逆行経路情報に基づいてｕＲＰＦ相当の機能の処理をする。ｂＭＬＢＲ１３は、ｕＲＰＦによる通信制御を実施することにより、通信許可ホワイトリストに登録された逆行経路情報の経路以外のパケットをブロックする。これにより、送信元ＩＰアドレス３２ビットすべてを変化させながら攻撃パケットを送り込まれても，ｂＭＬＢＲ１３の通信許可ホワイトリストに書き込まれた逆行経路情報から、攻撃パケットを送り込んだ送信元への逆行経路を特定できる。
また、ｉＭＬＢＲ１２（第１通信装置）は、複数のＭＬＢＲ１０を含むネットワークＮＷ１における通信利用者側の端部（エッジ）に設けられる。ｂＭＬＢＲ１３（第２通信装置）は、ネットワークＮＷ１における他のネットワークＮＷ側との境界に設けられる。ｂＭＬＢＲ１３のスイッチ部１３２は、ｉＭＬＢＲ１２を介して通知される転送ＤＲＭ（第１規則）に基づいて受信パケットの転送を制限することにより、ｂＭＬＢＲ１３は、転送ＤＲＭ（第１規則）に基づいて他のネットワークＮＷ側からのパケットの転送を制御することができる。
また、ＭＬＢＲ１０は、ｉＭＬＢＲ１２又はｂＭＬＢＲ１３などの他のＭＬＢＲ１０宛の転送ＤＲＭを、自ＭＬＢＲ１０内の経路情報に基づき、転送ＤＲＭに記述された送信元アドレスに向かう方向に送信する。これにより、ＭＬＢＲ１０は、ＭＬＢＲ１０間の通信により、転送ＤＲＭを中継することができ、一元管理するコントローラによる介在を得ることなく、速やかに転送ＤＲＭを転送することができる。
また、ｉＭＬＢＲ１２のスイッチ部１２２は、ｉＭＬＢＲ１２における転送ＤＲＭに基づいてｕＲＰＦのストリクトモード又はルースモード相当機能により通信する。スイッチ部１２２は、特にｕＲＰＦのストリクトモード相当機能では、送信元ＩＰアドレスに対する戻りのルートがルーティングテーブル１１２５に存在していることと、パケットを受信したインタフェースと経路情報が示すルートの出力インタフェースとが一致していることとについて判定する。ｂＭＬＢＲ１３のスイッチ部１３２は、ｂＭＬＢＲ１３における転送ＤＲＭに基づいて生成した廃棄対象ブラックリスト（第１規則）とｕＲＰＦのルースモード又はストリクトモード相当機能（第２規則）とにより通信する。スイッチ部１３２は、特にｕＲＰＦのルースモード相当機能では、送信元ＩＰアドレスに対する戻りのルートがルーティングテーブル１１２５に存在していることについて判定する。これにより、通信システム１は、通信許可ホワイトリストに登録された逆行経路情報に基づいた逆行経路に通信の範囲を制限することができ、送信元アドレスを詐称した攻撃パケットによる影響を低減することができる。
また、ネットワークＮＷ１は、複数の他のネットワークＮＷに接続され、他のネットワークＮＷに対応させて設けられたｂＭＬＢＲ１３を複数含む。複数のｂＭＬＢＲ１３は、他のネットワークＮＷに対応させて設けられたｂＭＬＢＲ１３にそれぞれ規定される通信逆行経路情報を共有する。これにより、通信システム１は、他のネットワークＮＷを含めて複数の経路が設定される場合においても、必要な対策を講じることができる。
なお、コントローラ１２１は、ｂＭＬＢＲ１３に対して転送ＤＲＭを通知した後、受信パケットの送信元である他のｂＭＬＢＲ１３（第２送信ノード）に対して、端末装置１７から取得したＤＲＭに基づいて生成した転送ＤＲＭ（第３制限要求）を送信するもしくは同じネットワーク上の複数のｂＭＬＢＲ１３に対して一斉に送信するように制御してもよい。これにより、上記のように、他のネットワークＮＷを含めて複数の経路が設定される場合においても、第１の経路の対策を講じた後に第２の経路に対しても必要な対策を講じることができる。コントローラ１２１は、第１の経路に対する処理を実施した後、一定時間経過しても攻撃パケットが止まらないときに、上記の第２の経路に対する対策を実施するようにしてもよい。
なお、コントローラ１２１は、ｂＭＬＢＲ１３に対して転送ＤＲＭを通知した後、受信パケットの送信元である他のｂＭＬＢＲ１３（第２送信ノード）に対して、端末装置１７から取得したＤＲＭに基づいて生成した転送ＤＲＭ（第３制限要求）を送信するもしくは同じネットワーク上の複数のｂＭＬＢＲ１３に対して一斉に送信するように制御してもよい。これにより、上記のように、他のネットワークＮＷを含めて複数の経路が設定される場合においても、第１の経路の対策を講じた後に第２の経路に対しても必要な対策を講じることができる。コントローラ１２１は、第１の経路に対する処理を実施した後、一定時間経過しても攻撃パケットが止まらないときに、上記の第２の経路に対する対策を実施するようにしてもよい。
また、ｅＭＬＢＲ１１（第３通信装置）は、ｉＭＬＢＲ１２に接続される。ｅＭＬＢＲ１１は、ｅＭＬＢＲ１１におけるＭＬＢテーブル１１２４として、端末装置１７の接続ポートとＭＡＣアドレスとＩＰアドレスの対応関係を記憶する。ｅＭＬＢＲ１１のスイッチ部１１２は、ＭＬＢテーブル１１２４に対応関係が存在するパケットの通信を許可する。これにより、ｅＭＬＢＲ１１のスイッチ部１１２は、ＭＬＢテーブル１１２４に対応関係が管理されている接続ポートとＭＡＣアドレスとＩＰアドレスに基づいて通信することができ、通信経路の途中でアドレスを詐称する攻撃に対して、必要な対策を講じることができる。
なお、通信制限範囲特定装置１９は、被害ノードとなった端末装置１７の被害を検出できるように、端末装置１７Ａとともにその端末装置１７（被害ノード）の近傍に設けるとよい。
以上説明した少なくともひとつの実施形態によれば、一つ又は複数のアドレスを含むアドレス範囲ごとに測定点を通過するパケットの個数を取得して、制限対象に該当する規制対象パケットの個数が一致する前記複数のアドレス範囲の中で、最も狭いアドレス範囲を含むように定めたアドレス範囲を、パケットの転送を制限する制限アドレス範囲として決定するようにしたことにより、攻撃等により発生した不正や過度のトラフィックの要因となるパケットの送信元アドレスの範囲をより速やかに特定することができる。
なお、上記の実施形態によれば、上記のように攻撃等により発生した不正や過度のトラフィックの要因となるパケットの送信元アドレスの範囲をより速やかに特定することを通して、攻撃等により発生した過度のトラフィックをより速やかに制限することが可能になる。
なお、上記の実施形態によれば、上記のように攻撃等により発生した不正や過度のトラフィックの要因となるパケットの送信元アドレスの範囲をより速やかに特定することを通して、攻撃等により発生した過度のトラフィックをより速やかに制限することが可能になる。
（第１の変形例）
第１の変形例について説明する。上記の実施形態の通信システム１についての説明では、通信制限範囲特定装置１９は、端末装置１７Ａに接続され、被害ノードとなった端末装置１７の被害を検出できるように、端末装置１７Ａとともにその端末装置１７（被害ノード）の近傍に設けられているものとして説明した。本変形例の通信システム１においては、これに代えて、通信制限範囲特定装置１９と端末装置１７Ａの各機能部を統合して端末装置１７Ｂとして一体のものとしてもよい。例えば、端末装置１７Ｂは、少なくとも、ＩＤＳ／ＩＰＳ部１７１と、制限範囲特定部１９２を備える。ＩＤＳ／ＩＰＳ部１７１は、一つ又は複数のアドレスを含むアドレス範囲ごとに測定点を通過するパケットの個数を計数する。制限範囲特定部１９２は、制限対象に該当する規制対象パケットの個数が一致する前記複数のアドレス範囲の中で、最も狭いアドレス範囲を含むように定めたアドレス範囲を、パケットの転送を制限する制限アドレス範囲として決定する。本実施形態の端末装置１７Ｂは、通信制御装置の一例である。
上記の第１の変形例によれば、実施形態と同様の効果を奏するものである。なお、上記の複数のアドレス範囲は互いに包含関係になるような範囲を対象にして、アドレス範囲を決定するための処理を実施してもよい。
第１の変形例について説明する。上記の実施形態の通信システム１についての説明では、通信制限範囲特定装置１９は、端末装置１７Ａに接続され、被害ノードとなった端末装置１７の被害を検出できるように、端末装置１７Ａとともにその端末装置１７（被害ノード）の近傍に設けられているものとして説明した。本変形例の通信システム１においては、これに代えて、通信制限範囲特定装置１９と端末装置１７Ａの各機能部を統合して端末装置１７Ｂとして一体のものとしてもよい。例えば、端末装置１７Ｂは、少なくとも、ＩＤＳ／ＩＰＳ部１７１と、制限範囲特定部１９２を備える。ＩＤＳ／ＩＰＳ部１７１は、一つ又は複数のアドレスを含むアドレス範囲ごとに測定点を通過するパケットの個数を計数する。制限範囲特定部１９２は、制限対象に該当する規制対象パケットの個数が一致する前記複数のアドレス範囲の中で、最も狭いアドレス範囲を含むように定めたアドレス範囲を、パケットの転送を制限する制限アドレス範囲として決定する。本実施形態の端末装置１７Ｂは、通信制御装置の一例である。
上記の第１の変形例によれば、実施形態と同様の効果を奏するものである。なお、上記の複数のアドレス範囲は互いに包含関係になるような範囲を対象にして、アドレス範囲を決定するための処理を実施してもよい。
（第２の変形例）
第２の変形例について説明する。本変形例の通信システム１においては、上記の実施形態の端末装置１７Ａと通信制限範囲特定装置１９との組み合わせ、或いは、端末装置１７Ｂに代えて、符号１７Ｃとして示すＩＤＳ／ＩＰＳを備える。ＩＤＳ／ＩＰＳ１７Ｃは、制限範囲特定部１９２を含む。ＩＤＳ／ＩＰＳ１７Ｃは、端末装置１７（被害ノード）もしくは端末装置１７の近傍に設置される。端末装置１７の近傍とは、同一物理ネットワーク内のことである。例えば、同一物理ネットワークは、ｅＭＬＢＲ１１において、端末装置１７が接続されたポートのミラーリングにより実現して、仮想的に、ＩＤＳ／ＩＰＳ１７Ｃを端末装置１７と同一物理ネットワーク内に配置してもよい。
上記の第２の変形例によれば、実施形態と同様の効果を奏するものである。
第２の変形例について説明する。本変形例の通信システム１においては、上記の実施形態の端末装置１７Ａと通信制限範囲特定装置１９との組み合わせ、或いは、端末装置１７Ｂに代えて、符号１７Ｃとして示すＩＤＳ／ＩＰＳを備える。ＩＤＳ／ＩＰＳ１７Ｃは、制限範囲特定部１９２を含む。ＩＤＳ／ＩＰＳ１７Ｃは、端末装置１７（被害ノード）もしくは端末装置１７の近傍に設置される。端末装置１７の近傍とは、同一物理ネットワーク内のことである。例えば、同一物理ネットワークは、ｅＭＬＢＲ１１において、端末装置１７が接続されたポートのミラーリングにより実現して、仮想的に、ＩＤＳ／ＩＰＳ１７Ｃを端末装置１７と同一物理ネットワーク内に配置してもよい。
上記の第２の変形例によれば、実施形態と同様の効果を奏するものである。
（第３の変形例）
図１６を参照して第３の変形例について説明する。図１６は、第３の変形例に係る通信システムの構成例を示す図である。上記の実施形態の説明では、端末装置１７の近傍に、他の端末装置１７、或いは、ＩＤＳ／ＩＰＳ部１７１（端末装置１７Ａ）及び通信制限範囲特定装置１９を備えるものとして説明したが、第３の変形例に係る通信システム１は、ＩＤＳ／ＩＰＳ部１７１Ａ及び通信制限範囲特定装置１９に関する機能部の一部又は全部を、ｅＭＬＢＲ１１又はｉＭＬＢＲ１２又はｂＭＬＢＲ１３が備えるように構成したものである。図１６に示すｅＭＬＢＲ１１又はｉＭＬＢＲ１２又はｂＭＬＢＲ１３は、ＩＤＳ／ＩＰＳ部１７１Ａ及び通信制限範囲特定装置１９Ａを備える。
図１６を参照して第３の変形例について説明する。図１６は、第３の変形例に係る通信システムの構成例を示す図である。上記の実施形態の説明では、端末装置１７の近傍に、他の端末装置１７、或いは、ＩＤＳ／ＩＰＳ部１７１（端末装置１７Ａ）及び通信制限範囲特定装置１９を備えるものとして説明したが、第３の変形例に係る通信システム１は、ＩＤＳ／ＩＰＳ部１７１Ａ及び通信制限範囲特定装置１９に関する機能部の一部又は全部を、ｅＭＬＢＲ１１又はｉＭＬＢＲ１２又はｂＭＬＢＲ１３が備えるように構成したものである。図１６に示すｅＭＬＢＲ１１又はｉＭＬＢＲ１２又はｂＭＬＢＲ１３は、ＩＤＳ／ＩＰＳ部１７１Ａ及び通信制限範囲特定装置１９Ａを備える。
ＩＤＳ／ＩＰＳ部１７１Ａは、前述のＩＤＳ／ＩＰＳ部１７１に対応する。通信制限範囲特定装置１９Ａは、通信制限範囲特定装置１９に関する機能部の一部又は全部に対応する。この場合、ｅＭＬＢＲ１１又はｉＭＬＢＲ１２又はｂＭＬＢＲ１３は、端末装置１７Ａ及び通信制限範囲特定装置１９の組み合わせによる検出結果に代えて、ＩＤＳ／ＩＰＳ部１７１Ａ及び通信制限範囲特定装置１９Ａの検出結果を取得するように構成する。
なお上記の場合、ｅＭＬＢＲ１１又はｉＭＬＢＲ１２又はｂＭＬＢＲ１３のコントローラは、ｅＭＬＢＲ１１又はｉＭＬＢＲ１２又はｂＭＬＢＲ１３が備えるＩＤＳ／ＩＰＳ及び通信制限範囲特定装置の検出結果を取得するように構成してもよく、自コントローラ又は自コントローラの周辺装置としてＩＤＳ／ＩＰＳの機能を備えていてもよい。ｅＭＬＢＲ１１又はｉＭＬＢＲ１２又はｂＭＬＢＲ１３の各コントローラ又は周辺装置は、通信制御装置の一例である。
上記の第３の変形例によれば、通信システム１が、上述までの実施形態と同様の効果を奏するものである。
上記の第３の変形例によれば、通信システム１が、上述までの実施形態と同様の効果を奏するものである。
本発明のいくつかの実施形態を説明したが、これらの実施形態は、例として提示したものであり、発明の範囲を限定することは意図していない。これら実施形態は、その他の様々な形態で実施されることが可能であり、発明の要旨を逸脱しない範囲で、種々の省略、置き換え、変更を行うことができる。これら実施形態やその変形は、発明の範囲や要旨に含まれると同様に、特許請求の範囲に記載された発明とその均等の範囲に含まれるものである。
例えば、通信システム１では、到来する各攻撃パケットの送信元ＩＰアドレスの範囲を、攻撃パケットと異なる通信のパケットの存在を評価して決定してもよい。通信制限範囲特定装置１９は、ＩＤＳ／ＩＰＳから取得したＤＲＭにより、廃棄パケットの属性データとパケット数をもとに評価する。上記のように廃棄パケットの属性データを評価の条件に加えることにより、パケットの属性データに基づいて攻撃パケットと他のパケットとを分離することが可能になる。通信制限範囲特定装置１９は、特定の分岐節（上位の節）、すなわち上位のネットワークアドレスより下位のネットワークアドレス内から到来したパケットの属性データを取得して、攻撃パケットの送信元ＩＰアドレス（attckrAddr）同士のアドレス空間における包含関係を評価して、その評価の結果に基づいて、廃棄要請を生成してもよい。
例えば、分岐節で求めたパケット数の合計値と、該分岐節より下位の節で求めたパケット数の合計値が同じであっても、上位の節のネットワークアドレスの範囲の方が下位の範囲を纏めた範囲よりも広いことがあり得る。そのため、正規のパケットを廃棄しないように、上位の節のネットワークアドレスは廃棄要請の対象から除き、下位の節のネットワークアドレスを対象範囲とする廃棄要請を生成する。
例えば、分岐節で求めたパケット数の合計値と、該分岐節より下位の節で求めたパケット数の合計値が同じであっても、上位の節のネットワークアドレスの範囲の方が下位の範囲を纏めた範囲よりも広いことがあり得る。そのため、正規のパケットを廃棄しないように、上位の節のネットワークアドレスは廃棄要請の対象から除き、下位の節のネットワークアドレスを対象範囲とする廃棄要請を生成する。
また、上記の図１４において、ネットワークアドレス0/8を起点とすることにより２つ分析起点節が存在すものとして説明したが、ネットワークアドレスの初期値はこれに限らない。例えば、ＩＰｖ４の場合、ルートアドレスは、0.0.0.0/0である。ネットワークアドレスを、ルートアドレスに遡れば、上述した２つ分析起点節も同じネットワーク範囲に含まれるネットワークアドレスが存在することになる。換言すれば、ルートアドレス、又は、ルートアドレスに比較的近いネットワークアドレスを起点とすることにより、１つ分析起点節を含むネットワークアドレスを抽出することができる。
また、通信制限範囲特定装置１９は、過去の同種攻撃の廃棄要請に基づいて、アドレスの変え方の法則性を検定し、ランダム性や一方向性などの検定結果を得る。コントローラ１１１は、その検定結果に基づいてアドレス詐称の範囲を示すネットワークアドレスを集約してもよい。通信制限範囲特定装置１９は、過去の廃棄要請の破棄指示を含む廃棄要請（集約廃棄要請）を生成してもよい。
なお、上記の実施形態の説明では、ＭＬＢＲ１０等のスイッチ部が攻撃パケットを“廃棄する”こととして説明したが、ＭＬＢＲ１０等は、当該パケットを、各スイッチ部内で廃棄せずに、特定のポートから外部記憶装置に出力して格納させてもよい。
なお、ネットワークＮＷ間でＤＲＭ（転送ＤＲＭ）を転送する場合には、既存の経路制御プロトコルとの整合性をとって、ＢＧＰ Ｆｌｏｗ Ｓｐｅｃｉｆｉｃａｔｉｏｎ（ＲＦＣ ５５７５）を拡張して適用してもよい。
１、２、３、４…通信システム、１０…ＭＬＢＲ、１１…ｅＭＬＢＲ、１２…ｉＭＬＢＲ、１３…ｂＭＬＢＲ、１４…中継装置、１５…管理装置、１７…端末装置、１７Ａ…端末装置（通信制御装置）、１８…データ端末、１９…通信制限範囲特定装置、１１１、１２１…コントローラ（通信制御装置））、１１２、１２２…スイッチ部（転送部）、１１３、１１４…ＩＦ部、１１５…記憶部、１７０…制御部、１７１…ＩＤＳ／ＩＰＳ部、１７２…制限アドレス範囲取得部、１７３…状況判定部、１７４…転送制御部、１７７…記憶部、１９０…制御部、１９１…情報取得部（取得部）、１９２…制限範囲特定部、１９３…制限範囲出力部、１９７…記憶部、ＮＷ、ＮＷ１、ＮＷ３、ＮＷ４…ネットワーク
Claims (11)
- 一つ又は複数のアドレスを含むアドレス範囲ごとに測定点を通過するパケットの個数を取得して、制限対象に該当する規制対象パケットの個数が一致する前記複数のアドレス範囲の中で、最も狭いアドレス範囲を含むように定めたアドレス範囲を、パケットの転送を制限する制限アドレス範囲として決定する制限範囲特定部
を備える通信制限範囲特定装置。 - 前記制限範囲特定部は、
前記制限アドレス範囲を、前記規制対象パケットの送信元アドレスに対応するネットワークアドレスまたはＩＰアドレスとして規定する、
請求項１記載の通信制限範囲特定装置。 - 請求項１又は請求項２記載の通信制限範囲特定装置により決定された前記制限アドレス範囲を取得する制限アドレス範囲取得部と、
前記制限アドレス範囲内のアドレスを送信元アドレスとして付与したパケットが前記規制対象パケットとして送信されている状況にあるかを判定する状況判定部と、
を備える通信制御装置。 - 前記状況判定部は、
前記制限アドレス範囲に該当する規制対象パケット数より、前記制限アドレス範囲を包含する包含アドレス範囲に該当する規制対象パケット数が多い場合、前記包含アドレス範囲内の複数のアドレスを送信元アドレスとして付与したパケットが前記規制対象パケットとして送信されている状況にあると判定する、
請求項３に記載の通信制御装置。 - 前記制限アドレス範囲に基づいて、当該アドレス範囲の送信元アドレスが付与されたパケットの転送を制限する転送制御部
を備える請求項３又は請求項４記載の通信制御装置。 - 前記転送制御部は、
前記制限アドレス範囲の送信元アドレスが付与されたパケットの転送を制限させる
請求項５記載の通信制御装置。 - 一つ又は複数のアドレスを含むアドレス範囲ごとに測定点を通過するパケットの個数が計数され、制限対象に該当する規制対象パケットの個数が一致する前記複数のアドレス範囲の中で、最も狭いアドレス範囲を含むように定めたアドレス範囲を、パケットの転送を制限する制限アドレス範囲として決定する制限範囲特定部と、
前記制限範囲特定部により決定された前記規制対象パケットを制限するアドレス範囲に基づいて、当該アドレス範囲の送信元アドレスが付与されたパケットを転送するスイッチ部と
を備える通信装置。 - 一つ又は複数のアドレスを含むアドレス範囲ごとに測定点を通過するパケットの個数が計数され、制限対象に該当する規制対象パケットの個数が一致する前記複数のアドレス範囲の中で、最も狭いアドレス範囲を含むように定めたアドレス範囲を、パケットの転送を制限する制限アドレス範囲として決定する制限範囲特定部と、
前記制限範囲特定部により決定された前記規制対象パケットを制限するアドレス範囲に基づいて、当該アドレス範囲の送信元アドレスが付与されたパケットを転送するスイッチ部と
を備える通信システム。 - 一つ又は複数のアドレスを含むアドレス範囲ごとに測定点を通過するパケットの個数が計数され、制限対象に該当する規制対象パケットの個数が一致する前記複数のアドレス範囲の中で、最も狭いアドレス範囲を含むように定めたアドレス範囲を、パケットの転送を制限する制限アドレス範囲として決定する制限範囲特定部
を備える通信制御装置。 - 一つ又は複数のアドレスを含むアドレス範囲ごとに測定点を通過するパケットの個数が計数され、制限対象に該当する規制対象パケットの個数が一致する前記複数のアドレス範囲の中で、最も狭いアドレス範囲を含むように定めたアドレス範囲を、パケットの転送を制限する制限アドレス範囲として決定するステップ
を含む通信制限範囲特定方法。 - 一つ又は複数のアドレスを含むアドレス範囲ごとに測定点を通過するパケットの個数が計数され、制限対象に該当する規制対象パケットの個数が一致する前記複数のアドレス範囲の中で、最も狭いアドレス範囲を含むように定めたアドレス範囲を、パケットの転送を制限する制限アドレス範囲として決定するステップ
を通信制限範囲特定装置のコンピュータに実行させるためのプログラム。
Priority Applications (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP2016092107A JP2017200152A (ja) | 2016-04-28 | 2016-04-28 | 通信制限範囲特定装置、通信制御装置、通信装置、通信システム、通信制限範囲特定方法、及びプログラム |
Applications Claiming Priority (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP2016092107A JP2017200152A (ja) | 2016-04-28 | 2016-04-28 | 通信制限範囲特定装置、通信制御装置、通信装置、通信システム、通信制限範囲特定方法、及びプログラム |
Publications (1)
| Publication Number | Publication Date |
|---|---|
| JP2017200152A true JP2017200152A (ja) | 2017-11-02 |
Family
ID=60238318
Family Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| JP2016092107A Pending JP2017200152A (ja) | 2016-04-28 | 2016-04-28 | 通信制限範囲特定装置、通信制御装置、通信装置、通信システム、通信制限範囲特定方法、及びプログラム |
Country Status (1)
| Country | Link |
|---|---|
| JP (1) | JP2017200152A (ja) |
Cited By (2)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| WO2023195090A1 (ja) * | 2022-04-06 | 2023-10-12 | 楽天モバイル株式会社 | 不正アクセスをブロックするためのネットワーク管理 |
| JP7434672B1 (ja) | 2023-03-03 | 2024-02-20 | エヌ・ティ・ティ・コミュニケーションズ株式会社 | 情報処理システム、情報処理方法および情報処理プログラム |
Citations (3)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| JP2003234762A (ja) * | 2002-02-07 | 2003-08-22 | Nippon Telegr & Teleph Corp <Ntt> | テーブル検索装置および方法およびプログラムおよび記録媒体 |
| JP2005210601A (ja) * | 2004-01-26 | 2005-08-04 | Nippon Telegr & Teleph Corp <Ntt> | 不正侵入検知装置 |
| JP2015231131A (ja) * | 2014-06-04 | 2015-12-21 | 株式会社ギデオン | ネットワーク中継装置、同装置を用いたＤＤｏＳ防御方法および負荷分散方法 |
-
2016
- 2016-04-28 JP JP2016092107A patent/JP2017200152A/ja active Pending
Patent Citations (3)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| JP2003234762A (ja) * | 2002-02-07 | 2003-08-22 | Nippon Telegr & Teleph Corp <Ntt> | テーブル検索装置および方法およびプログラムおよび記録媒体 |
| JP2005210601A (ja) * | 2004-01-26 | 2005-08-04 | Nippon Telegr & Teleph Corp <Ntt> | 不正侵入検知装置 |
| JP2015231131A (ja) * | 2014-06-04 | 2015-12-21 | 株式会社ギデオン | ネットワーク中継装置、同装置を用いたＤＤｏＳ防御方法および負荷分散方法 |
Cited By (2)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| WO2023195090A1 (ja) * | 2022-04-06 | 2023-10-12 | 楽天モバイル株式会社 | 不正アクセスをブロックするためのネットワーク管理 |
| JP7434672B1 (ja) | 2023-03-03 | 2024-02-20 | エヌ・ティ・ティ・コミュニケーションズ株式会社 | 情報処理システム、情報処理方法および情報処理プログラム |
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| US7823202B1 (en) | Method for detecting internet border gateway protocol prefix hijacking attacks | |
| Giotis et al. | Combining OpenFlow and sFlow for an effective and scalable anomaly detection and mitigation mechanism on SDN environments | |
| US9609018B2 (en) | System and methods for reducing impact of malicious activity on operations of a wide area network | |
| US9060019B2 (en) | Out-of band IP traceback using IP packets | |
| US8881281B1 (en) | Application and network abuse detection with adaptive mitigation utilizing multi-modal intelligence data | |
| US7921462B2 (en) | Identifying a distributed denial of service (DDOS) attack within a network and defending against such an attack | |
| JP6737610B2 (ja) | 通信装置 | |
| US11005865B2 (en) | Distributed denial-of-service attack detection and mitigation based on autonomous system number | |
| US11968174B2 (en) | Systems and methods for blocking spoofed traffic | |
| US20200389487A1 (en) | Methods and systems for reducing unwanted data traffic in a computer network | |
| US20200067851A1 (en) | Smart software-defined network (sdn) switch | |
| US9654493B2 (en) | Network accountability among autonomous systems | |
| François et al. | Network security through software defined networking: a survey | |
| JP2013201747A (ja) | ネットワークシステム、ネットワーク中継方法及び装置 | |
| Lee et al. | Study of detection method for spoofed IP against DDoS attacks | |
| Hua et al. | Flow misleading: Worm-hole attack in software-defined networking via building in-band covert channel | |
| Smyth et al. | Exploiting pitfalls in software-defined networking implementation | |
| JP6053561B2 (ja) | 偽装トラフィック検知を目的としたｂｇｐルートを基にしたネットワークトラフィックプロファイルを作成するシステム及び方法 | |
| JP6780838B2 (ja) | 通信制御装置及び課金方法 | |
| JP2017200152A (ja) | 通信制限範囲特定装置、通信制御装置、通信装置、通信システム、通信制限範囲特定方法、及びプログラム | |
| Liu et al. | DISCS: a distributed collaboration system for inter-AS spoofing defense | |
| JP6896264B2 (ja) | 通信装置、通信方法、及びプログラム | |
| Bae et al. | Zombie PC detection and treatment model on software-defined network | |
| JP6683480B2 (ja) | 通信装置及び通信システム | |
| Beitollahi et al. | A four-steptechnique fortackling ddos attacks |
Legal Events
| Date | Code | Title | Description |
|---|---|---|---|
| A80 | Written request to apply exceptions to lack of novelty of invention |
Free format text: JAPANESE INTERMEDIATE CODE: A80 Effective date: 20160502 |
|
| A521 | Request for written amendment filed |
Free format text: JAPANESE INTERMEDIATE CODE: A523 Effective date: 20160623 |
|
| A621 | Written request for application examination |
Free format text: JAPANESE INTERMEDIATE CODE: A621 Effective date: 20190425 |
|
| A977 | Report on retrieval |
Free format text: JAPANESE INTERMEDIATE CODE: A971007 Effective date: 20200122 |
|
| A131 | Notification of reasons for refusal |
Free format text: JAPANESE INTERMEDIATE CODE: A131 Effective date: 20200225 |
|
| A601 | Written request for extension of time |
Free format text: JAPANESE INTERMEDIATE CODE: A601 Effective date: 20200309 |
|
| A02 | Decision of refusal |
Free format text: JAPANESE INTERMEDIATE CODE: A02 Effective date: 20200901 |