JP2019165493A

JP2019165493A - System and method for detecting and preventing network intrusion of malicious data flow

Info

Publication number: JP2019165493A
Application number: JP2019099324A
Authority: JP
Inventors: シャチャー・スナピリ; Snapiri Shachar; エシェド・ガル−オア; Gal-Or Eshed; エラン・ガンペル; Gampel Eran; アヤル・バロン; Baron Ayal
Original assignee: Huawei Technologies Co Ltd
Current assignee: Huawei Technologies Co Ltd
Priority date: 2019-05-28
Filing date: 2019-05-28
Publication date: 2019-09-26
Anticipated expiration: 2036-06-22
Also published as: JP6801046B2

Abstract

To provide a system for detecting and preventing malicious data flow intrusion in an SDN (Software Defined Network).SOLUTION: A system 100 includes: at least one data storage or memory 101 for storing a flow state of data flow 103, share and update the flow state across the system; at least one shared state transfer element (FE102) for blocking, transferring, or replicating the received data flow on the basis of a comparison of the flow state of the data flow and/or data flow with a predetermined pattern; and at least one test element (IE104) for receiving the replicated data flow 105 and classifying whether the data flow is malicious or permitted. The IE changes the flow state of the data flow according to the classification result.SELECTED DRAWING: Figure 1

Description

本発明は、ネットワークの、詳細には複数のSDN（Software Defined Network）の保護された領域または保護されたサービスへの、悪意があるデータフローの侵入を検知および防止するシステムおよび方法に関する。 The present invention relates to a system and method for detecting and preventing intrusion of malicious data flows into a network, and in particular, a protected area or protected service of a plurality of software defined networks (SDNs).

組織セキュリティの主な構成要素の1つは、侵入検知システム（IDS）および侵入防止システム（IPS）である。これら2つのシステムには多くの共通点があり、例えば、両方共が、プライベートネットワーク（保護された領域）を攻撃する悪気のある試みを検知するため、および「Low＆Slow」なAPT（Advanced Persistent Threats）を検知するためのパターンを使用している。図7にみられるように、通常、IDSは回線外に配置され、複製されたデータストリームに作用する。IDSは、すべてのパケットを解析し、次いで、いわゆる「エキスパートシステム」（例えば、SIEM（Security Information and Event Management））へ報告し、これにより積極的対策を適切に始動させることができる。IPSは、ファイアウォールのように配置することができ、典型的にはネットワークのデータパスへ直接作用する。IPSはパケットを解析し、フローを分類し、それらをブロックまたは許可する。IPSは、IDSのように配置することもでき、複製されたデータパスを引き込むことができ、次いで、「悪意がある」として分類されたフローをブロックするために、ファイアウォールとの連携を利用することができる。 One of the main components of organizational security is an intrusion detection system (IDS) and an intrusion prevention system (IPS). These two systems have a lot in common, for example, both to detect malicious attempts to attack private networks (protected areas) and “Low & Slow” Advanced Persistent Threats (APT). A pattern is used to detect this. As can be seen in FIG. 7, IDS is usually placed off-line and operates on replicated data streams. The IDS can analyze all packets and then report to a so-called “expert system” (eg, SIEM (Security Information and Event Management)), which can properly initiate active measures. The IPS can be deployed like a firewall and typically operates directly on the data path of the network. The IPS parses the packets, classifies the flows, and blocks or allows them. IPS can also be deployed like IDS, pulling in replicated data paths, and then utilizing the integration with firewalls to block flows classified as "malicious" Can do.

通常、IPSは、IPSが分析しなければならないデータ量に対処するため、「Fast Path」メカニズム（通常、ハードウェアベースの転送要素により実施される）を付加しており、IPSは、すでに分類（「許可」または「ブロック」のいずれかとして）されたフローを「Fast Path」メカニズムに任せることができる。「Fast Path」が使用されているか否かにかかわらず、IPSが回線上に配置されている場合、IPSは、組織ネットワークに単一障害点（SPOF）を作り出し、例えば、IPSが誤動作しているときにサービス継続性を保証するために、高価な高可用性ソリューションの実装を必要とする。単一のIPSデバイスの処理能力は限られているため、IPSがデータ通信量に圧倒された場合にはfail−open（すなわち、すべてを許可する）するように、通常は構成されている。ただし、IPSを回線外に配置することによって、複製されたネットワークトラフィックを処理（典型的なIDSと同様に）すること、および「実行する」ネットワーク要素（例えばファイアウォール）に対する緊密な連携という代償を払って、回線上のIPSのこれらの問題のいくつかを緩和し、その結果、メインのデータパスへの悪意がある攻撃をブロックすることができる。また、回線外のIPSは、ネットワーク攻撃に対してはるかにゆっくりと反応する。 Typically, IPS has added a “Fast Path” mechanism (usually implemented by a hardware-based forwarding element) to deal with the amount of data that IPS must analyze, and IPS has already classified ( Flows (either as “permitted” or “blocked”) can be left to the “Fast Path” mechanism. Regardless of whether "Fast Path" is used or not, if the IPS is placed on the circuit, the IPS creates a single point of failure (SPOF) in the organizational network, for example, the IPS is malfunctioning Sometimes it is necessary to implement an expensive high availability solution to ensure service continuity. Since the processing capability of a single IPS device is limited, it is usually configured to fail-open (ie, allow everything) if the IPS is overwhelmed by data traffic. However, placing the IPS out of the line pays the price of handling replicated network traffic (similar to a typical IDS) and close coordination with “running” network elements (eg firewalls). Can alleviate some of these problems with IPS on the line and, as a result, block malicious attacks on the main data path. Also, IPS outside the line reacts much more slowly to network attacks.

要約すれば、一方では回線外のIDSおよびIPSにはいくつかの制限がある。検知時間および応答時間が遅い。また、システムは、ノイズが多くなる傾向があり、すなわちセキュリティの専門家が検討する必要のある大量のデータを生成する。システムは、一般にかなり多くのリソースをつぎ込んだものとなる。最終的には、積極的な保護を提供するためにカスタム的な連携が必要である。 In summary, off-line IDS and IPS, on the other hand, have some limitations. Detection time and response time are slow. The system also tends to be noisy, i.e. it generates a large amount of data that must be considered by a security expert. A system is typically a resource-intensive resource. Ultimately, custom coordination is needed to provide proactive protection.

もう一方で、回線内のIPSには、回線内のIPS独自の制限がある。先ず第1に、規模の変更が非常に困難である。また、回線内のIPSは分類されたトラフィックの「Fast Path」を処理するための専用のハードウェアを必要とする。上述のように、高価な高可用性モデルを必要とするSPOFを表している。さらには、回線内のIPSの限られた処理能力は、上述の、トラフィックの急増における「fail open」（すなわち、すべてを許可する）につながる。最終的には、典型的に使用されるIPSのサイロ型データモデルは、他のIT資産との情報共有を制限し、結果としてAPTを検出する能力を妨げる。 On the other hand, IPS within a line has its own restrictions within the line. First of all, changing the scale is very difficult. In addition, the IPS in the circuit requires dedicated hardware to handle the “Fast Path” of the classified traffic. As described above, it represents a SPOF that requires an expensive high availability model. Furthermore, the limited processing power of the IPS in the circuit leads to the “fail open” (ie, allow everything) in the traffic surge described above. Ultimately, the IPS silo data model that is typically used limits information sharing with other IT assets, and consequently hinders the ability to detect APT.

上記の問題および欠点に鑑みて、本発明は、従来のIDSおよびIPSを改善することを目的としている。セキュリティの観点から、本発明の目的は、悪意があるトラフィックをネットワーク全体にわたって即座にブロックすることができるシステムおよび方法を提供することである。さらには、より良好なAPT検出および緩和能力が達成されるべきである。本発明は、ネットワークからSPOFを取り除くことも目的としている。効率の観点から、悪意があるトラフィックを検出、検査、およびブロックする能力を損なうことなく、データパスから侵入検知を取り除いたシステムおよび方法を提供することが本発明の目的である。一般的目的は、例えば、疑わしいトラフィックを監視することのみによって、侵入検知および侵入防止の負荷を軽減することである。また、ベンダーを超えた連携が必要とされるべきではなく、全体のコストが削減されるべきである。 In view of the above problems and drawbacks, the present invention aims to improve conventional IDS and IPS. From a security perspective, an object of the present invention is to provide a system and method that can immediately block malicious traffic across the network. Furthermore, better APT detection and mitigation capabilities should be achieved. The present invention also aims to remove SPOF from the network. From an efficiency standpoint, it is an object of the present invention to provide a system and method that eliminates intrusion detection from the data path without compromising the ability to detect, inspect, and block malicious traffic. A general purpose is to reduce the load of intrusion detection and prevention, for example, only by monitoring suspicious traffic. Also, collaboration across vendors should not be required, and overall costs should be reduced.

上述の本発明の目的は、添付の独立請求項で提供されるソリューションによって達成されている。本発明の有益な実施態様は、従属請求項でさらに定義されている。 The above object of the invention is achieved by a solution provided in the attached independent claims. Advantageous embodiments of the invention are further defined in the dependent claims.

本発明の第1の態様は、データフローのフローステートを記憶し、システムにわたってフローステートを共有および更新するように構成される少なくとも1つのデータストレージまたはメモリと、データフローのフローステート、および／またはデータフローと所定のパターンとの比較に基づいて、受信されたデータフローをブロック、転送、または複製するように構成される少なくとも1つの共有ステート転送要素（FE）と、複製されたデータフローを受信し、データフローが、悪意があるかそれとも許可されているかを分類するように構成される少なくとも1つの検査要素（IE）とを備え、IEは、分類結果に応じてデータフローのフローステートを変化させるように構成される、SDNにおいて悪意があるデータフローの侵入を検知および防止するシステムを提供している。 A first aspect of the present invention is to store at least one data storage or memory configured to store a flow state of a data flow and share and update the flow state across the system; and Receives the replicated data flow with at least one shared state transfer element (FE) configured to block, forward, or replicate the received data flow based on a comparison of the data flow with a predetermined pattern And at least one test element (IE) configured to classify whether the data flow is malicious or allowed, and the IE changes the flow state of the data flow according to the classification result SDN is configured to detect and prevent malicious data flow intrusion in SDN. Provides a stem.

第1の態様に係る本発明は、データフローのフローステート、および好ましくは付加的なメタデータをシステムにわたって、すなわち詳細には、個々のFE、IE、および場合によってはサービスアプリケーションの間で共有するためのメカニズムを実施している。その結果、システムは、疑わしいかまたは検知された脅威に対して即座に、すなわち少なくとも従来のシステムよりもはるかに速く、反応することができる。例えば、少なくとも1つのFEは、FEが、疑わしいデータフローを悪意があると分類し、疑わしいデータフローのフローステートをそれに応じて更新した場合には、疑わしいデータフローを即座にブロックすることができる。フローステートの共有は、分散接続追跡（DCT）を介して都合よく実施することができ、分散接続追跡（DCT）は、特定のSDNの、システムにわたっての、ネットワークステートおよびフローステートのような情報の共有の実施である。 The invention according to the first aspect shares the flow state of the data flow, and preferably additional metadata, across the system, i.e. in particular between individual FEs, IEs and possibly service applications. To implement a mechanism. As a result, the system can react immediately to suspected or detected threats, that is, at least much faster than conventional systems. For example, at least one FE can immediately block a suspicious data flow if the FE classifies the suspicious data flow as malicious and updates the flow state of the suspicious data flow accordingly. Flow state sharing can be conveniently performed via distributed connection tracking (DCT), which is a network of information such as network state and flow state across specific SDNs, systems. Implementation of sharing.

少なくとも1つのIEへ疑わしいデータフローの複製のみを送信することによって、悪意があるトラフィックを検知、検査およびブロックする能力を損なうことなく、侵入検知が正規のパスから取り除かれる。IEへ疑わしいデータフローを送信することのみによって、およびFEにおいて所定のパターンおよび共有されたフローステートをさらに使用することによって、侵入検知および侵入防止の負荷が大幅に軽減される。 By sending only a duplicate of the suspicious data flow to at least one IE, intrusion detection is removed from the legitimate path without compromising the ability to detect, inspect and block malicious traffic. The burden of intrusion detection and prevention is greatly reduced by only sending suspicious data flows to IE and by further using predetermined patterns and shared flow states at the FE.

第1の態様に係るシステムの第1の実装の形態では、FEは、データフローのフローステートが「許可」である場合、および／またはデータフローが所定の許可されたトラフィックのパターンと一致する場合には、受信されたデータフローのパケットを転送し、データフローのフローステートが「ブロック」である場合、および／またはデータフローが所定の悪意があるトラフィックのパターンと一致する場合には、受信されたデータフローのパケットをブロックし、データフローのフローステートが「疑わしい」である場合、および／またはデータフローが所定の疑わしいトラフィックのパターンと一致する場合には、受信されたデータフローのパケットを複製するように構成されている。 In a first implementation form of the system according to the first aspect, the FE is when the flow state of the data flow is “permitted” and / or when the data flow matches a predetermined permitted traffic pattern Forwards received data flow packets and is received if the flow state of the data flow is “block” and / or if the data flow matches a predetermined malicious traffic pattern. If the data flow's flow state is “suspicious” and / or the data flow matches a given suspicious traffic pattern, the received data flow packet is duplicated. Is configured to do.

それに応じて、少なくとも1つのFEは、一方では共有されたフローステートに基づいて、そしてもう一方では所定のパターンに基づいて、データフローを処理することができる。それに応じて、システムの全体効率が高められ、それと同時にIEの負荷が軽減される。システムは、フローステートのいかなる変化または更新にも素早く反応することができる。さらに、システムは、十分に拡張性がある。 In response, the at least one FE can process the data flow based on the shared flow state on the one hand and on the other hand on the predetermined pattern. Accordingly, the overall efficiency of the system is increased and at the same time the IE load is reduced. The system can react quickly to any changes or updates in the flow state. Furthermore, the system is sufficiently scalable.

第1の態様それ自体に係るか、または第1の態様の第1の実装の形態に係るシステムの第2の実装の形態では、FEは、受信されたデータフローが、少なくとも1つのデータストレージまたはメモリに記憶されたフローステートをすでに有しているかどうかを判定し、受信されたデータフローが、記憶されたフローステートを有している場合にはデータフローのフローステート、または受信されたデータフローが、記憶されたフローステートを有していない場合にはデータフローと所定のパターンとの比較に基づいて、データフローをブロック、転送、または複製するように構成されている。 In a second implementation form of the system according to the first aspect itself or according to the first implementation form of the first aspect, the FE is provided that the received data flow is at least one data storage or Determine if it already has a flow state stored in memory, and if the received data flow has a stored flow state, the flow state of the data flow, or the received data flow However, if it does not have a stored flow state, it is configured to block, forward, or duplicate the data flow based on a comparison between the data flow and a predetermined pattern.

このように、共有されたフローステートが存在する場合には、所定のパターンとの比較を省略することができ、その結果として、トラフィックの処理がより素早くなる。また、この場合、IEへの負荷は発生しない。 Thus, when there is a shared flow state, the comparison with a predetermined pattern can be omitted, resulting in faster traffic processing. In this case, there is no load on IE.

第1の態様それ自体に係るか、または第1の態様の先のいずれかの実装の形態に係るシステムの第3の実装の形態では、FEは、IEが前記データフローのフローステートを「ブロック」に設定または更新した場合には、データフローのパケットを即座にブロックするように構成されている。 In a third implementation form of the system according to the first aspect itself or according to any previous implementation form of the first aspect, the FE `` blocks the flow state of the data flow '' When set or updated, the data flow packet is immediately blocked.

この結果として、システムは、脅威を検知するために非常に素早くかつ効率よく反応することができ、システムが存在するネットワークの安全性を高める。 As a result, the system can react very quickly and efficiently to detect threats, increasing the security of the network in which the system resides.

第1の態様それ自体に係るか、または第1の態様の先のいずれかの実装の形態に係るシステムの第4の実装の形態では、FEは、データフローが、所定の疑わしいトラフィックのパターンと一致した場合には、データフローのフローステートを「疑わしい」に設定または更新するように構成され、かつ前記データフローを、分類のためにIEへ複製するように構成されている。 In a fourth implementation form of the system according to the first aspect itself or according to any of the previous implementation forms of the first aspect, the FE has a predetermined suspicious traffic pattern and If there is a match, it is configured to set or update the flow state of the data flow to “suspicious” and to replicate the data flow to IE for classification.

それに応じて、疑わしいデータフローだけが分類のためにIEへ送信される。結果として、侵入検知および侵入防止の負荷が大幅に軽減される。 In response, only suspicious data flows are sent to IE for classification. As a result, the load of intrusion detection and prevention is greatly reduced.

第1の態様それ自体に係るか、または第1の態様の先のいずれかの実装の形態に係るシステムの第5の実装の形態では、FEは、受信された任意のデータフローのフローステートを「疑わしい」に変化させるように構成されている。 In a fifth implementation form of the system according to the first aspect itself or according to any previous implementation form of the first aspect, the FE is able to determine the flow state of any received data flow. It is configured to change to “suspicious”.

それに応じて、データフローを再検査することができる。このことにより、自身の攻撃ベクトルをランダム化する特定のAPTの克服を改善している。 Accordingly, the data flow can be rechecked. This improves overcoming specific APTs that randomize their attack vectors.

第1の態様の第4または第5の実装の形態に係るシステムの第6の実装の形態では、FEは、IEによる分類が完了するまで、所定の疑わしいトラフィックのパターンと一致するデータフローのパケットの転送を引き延ばし、次いで、分類の結果に応じて、パケットをブロックするかまたは普通に転送するように構成されている。 In a sixth implementation form of the system according to the fourth or fifth implementation form of the first aspect, the FE is a packet of data flow that matches a predetermined suspicious traffic pattern until classification by the IE is complete. Depending on the result of the classification, the packet is then blocked or forwarded normally.

この選択肢は、ネットワークの保護された領域またはサービスの安全性を高める。 This option increases the security of protected areas or services of the network.

第1の態様の第4または第5の実装の形態に係るシステムの第7の実装の形態では、FEは、IEに対して複製を行い、かつ、IEによる分類が完了するまで、所定の疑わしいトラフィックのパターンと一致するデータフローのパケットを普通に送信し、次いで、分類の結果に応じて、パケットをブロックするかまたは普通に転送を継続するように構成されている。 In the seventh implementation form of the system according to the fourth or fifth implementation form of the first aspect, the FE duplicates the IE and the predetermined suspicious until the classification by the IE is complete It is configured to normally transmit a packet of data flow that matches the traffic pattern and then block the packet or continue forwarding normally depending on the result of the classification.

この選択肢は、すなわち中断することなくトラフィックのフローを維持することによってトラフィックの効率を高める。 This option increases traffic efficiency by maintaining the flow of traffic without interruption.

第1の態様それ自体に係るか、または第1の態様の先のいずれかの実装の形態に係るシステムの第8の実装の形態では、FEは、分類の結果にかかわらず、所定の期間、データフローのフローステートを「疑わしい」のままにするように構成されている。 In an eighth implementation form of the system according to the first aspect itself or according to any previous implementation form of the first aspect, the FE is a predetermined period, regardless of the result of the classification, It is configured to leave the flow state of the data flow “suspicious”.

このことによって、IEは、「low＆slow」攻撃を特に検知することができ、すなわちAPTに対するするシステムの安全性を高める。 This allows IE to specifically detect “low & slow” attacks, ie increase the security of the system against APT.

第1の態様それ自体に係るか、または第1の態様の先のいずれかの実装の形態に係るシステムの第9の実装の形態では、IEは、複製されたデータフローのフローステートを「終了」に変化させるように構成され、かつ、FEは、IEがスローステートを「終了」に変化させた場合、前記データフローをIEへ複製することを停止するように構成されている。 In the ninth implementation form of the system according to the first aspect itself or according to any previous implementation form of the first aspect, the IE “ends” the flow state of the replicated data flow. And the FE is configured to stop replicating the data flow to the IE if the IE changes the slow state to “end”.

この結果として、疑わしいデータフローの複製を即座に停止することができ、これによって不必要なリソースの消費を回避する。 As a result, duplication of suspicious data flows can be stopped immediately, thereby avoiding unnecessary resource consumption.

第1の態様それ自体に係るか、または第1の態様の先のいずれかの実装の形態に係るシステムの第10の実装の形態では、FEは、許可として先に分類されてしまっているデータフローのパケットについてはIEをバイパスするように構成されている。 In the tenth implementation form of the system according to the first aspect itself or according to any previous implementation form of the first aspect, the FE is data that has been previously classified as a permit. The flow packet is configured to bypass IE.

これに応じて、侵入検知および侵入防止の負荷を大幅に軽減することができる。 Correspondingly, the load of intrusion detection and intrusion prevention can be greatly reduced.

第1の態様それ自体に係るか、または第1の態様の先のいずれかの実装の形態に係るシステムの第11の実装の形態では、少なくとも1つのデータストレージまたはメモリは、データフローのメタデータを記憶し、システムにわたってメタデータを共有および更新するように構成され、FEは、データフローのフローステートおよびメタデータに基づいて、受信されたデータフローをブロック、転送、または複製するように構成されている。 In an eleventh implementation form of the system according to the first aspect itself or according to any implementation form of the first aspect, the at least one data storage or memory is data flow metadata. And FE is configured to block, forward, or replicate the received data flow based on the flow state and metadata of the data flow. ing.

付加的なメタデータが共有される場合、システムにおける侵入検知および侵入防止は、さらにいっそう正確にかつ効率よくなる。 If additional metadata is shared, intrusion detection and prevention in the system becomes even more accurate and efficient.

第1の態様それ自体に係るか、または第1の態様の先のいずれかの実装の形態に係るシステムの第12の実装の形態では、FEは、SDNコントローラへ接続されており、SDNコントローラは、FEに所定のパターンを供給するように構成されている。 In a twelfth implementation form of the system according to the first aspect itself or according to any implementation form of the first aspect, the FE is connected to an SDN controller, and the SDN controller is The FE is configured to supply a predetermined pattern.

この実装の形態によって、少なくとも1つのFEの容易かつ柔軟な構成が可能になっている。この結果として、システムはカスタマイズすることができ、また十分な拡張性もある。 This implementation allows an easy and flexible configuration of at least one FE. As a result of this, the system can be customized and is also fully extensible.

本発明の第2の態様は、データフローのフローステートを記憶し、SDN（Software Defined Network）にわたってフローステートを共有および更新するステップと、データフローのフローステート、および／またはデータフローと所定のパターンとの比較に基づいて、受信されたデータフローをブロック、転送、または複製するステップと、複製されたデータフローが、悪意があるかそれとも許可されているかを分類するステップと、分類結果に応じてデータフローのフローステートを変化させるステップとを含む、SDNにおいて悪意があるデータフローの侵入を検知および防止する方法を提供している。 The second aspect of the present invention includes a step of storing a flow state of a data flow, sharing and updating the flow state over a software defined network (SDN), a flow state of the data flow, and / or a data flow and a predetermined pattern. Block, forward, or duplicate the received data flow, classify whether the duplicated data flow is malicious or allowed, and depending on the classification result A method for detecting and preventing malicious data flow intrusion in an SDN is provided that includes changing a flow state of the data flow.

第2の態様に係る方法の第1の実装の形態では、FEは、データフローのフローステートが「許可」である場合、および／またはデータフローが所定の許可されたトラフィックのパターンと一致する場合には、受信されたデータフローのパケットを転送し、データフローのフローステートが「ブロック」である場合、および／またはデータフローが所定の悪意があるトラフィックのパターンと一致する場合には、受信されたデータフローのパケットをブロックし、データフローのフローステートが「疑わしい」である場合、および／またはデータフローが所定の疑わしいトラフィックのパターンと一致する場合には、受信されたデータフローのパケットを複製するように構成されている。 In a first implementation form of the method according to the second aspect, the FE is when the flow state of the data flow is “permitted” and / or the data flow matches a predetermined permitted traffic pattern Forwards received data flow packets and is received if the flow state of the data flow is “block” and / or if the data flow matches a predetermined malicious traffic pattern. If the data flow's flow state is “suspicious” and / or the data flow matches a given suspicious traffic pattern, the received data flow packet is duplicated. Is configured to do.

第2の態様それ自体に係るか、または第2の態様の第1の実装の形態に係る方法の第2の実装の形態では、FEは、受信されたデータフローが、少なくとも1つのデータストレージまたはメモリに記憶されたフローステートをすでに有しているかどうかを判定し、受信されたデータフローが、記憶されたフローステートを有している場合にはデータフローのフローステート、または受信されたデータフローが、記憶されたフローステートを有していない場合にはデータフローと所定のパターンとの比較に基づいて、データフローをブロック、転送、または複製するように構成されている。 In a second implementation form of the method according to the second aspect itself or according to the first implementation form of the second aspect, the FE is provided that the received data flow is at least one data storage or Determine if it already has a flow state stored in memory, and if the received data flow has a stored flow state, the flow state of the data flow, or the received data flow However, if it does not have a stored flow state, it is configured to block, forward, or duplicate the data flow based on a comparison between the data flow and a predetermined pattern.

第2の態様それ自体に係るか、または第2の態様の先のいずれかの実装の形態に係る方法の第3の実装の形態では、FEは、IEが前記データフローのフローステートを「ブロック」に設定または更新した場合には、データフローのパケットを即座にブロックするように構成されている。 In a third implementation form of the method according to the second aspect itself or according to any implementation form of the second aspect, the FE `` blocks the flow state of the data flow '' When set or updated, the data flow packet is immediately blocked.

第2の態様それ自体に係るか、または第2の態様の先のいずれかの実装の形態に係る方法の第4の実装の形態では、FEは、データフローが、所定の疑わしいトラフィックのパターンと一致した場合には、データフローのフローステートを「疑わしい」に設定または更新するように構成され、かつ前記データフローを、分類のためにIEへ複製するように構成されている。 In a fourth implementation form of the method according to the second aspect itself or according to any previous implementation form of the second aspect, the FE has a data flow with a predetermined suspicious traffic pattern. If there is a match, it is configured to set or update the flow state of the data flow to “suspicious” and to replicate the data flow to IE for classification.

第2の態様それ自体に係るか、または第2の態様の先のいずれかの実装の形態に係る方法の第5の実装の形態では、FEは、受信された任意のデータフローのフローステートを「疑わしい」に変化させるように構成されている。 In a fifth implementation form of the method according to the second aspect itself or according to any previous implementation form of the second aspect, the FEs can determine the flow state of any received data flow. It is configured to change to “suspicious”.

第2の態様の第4または第5の実装の形態に係る方法の第6の実装の形態では、FEは、IEによる分類が完了するまで、所定の疑わしいトラフィックのパターンと一致するデータフローのパケットの転送を引き延ばし、次いで、分類の結果に応じて、パケットをブロックするかまたは普通に転送するように構成されている。 In a sixth implementation form of the method according to the fourth or fifth implementation form of the second aspect, the FE is a packet of data flow that matches a predetermined suspicious traffic pattern until classification by the IE is complete. Depending on the result of the classification, the packet is then blocked or forwarded normally.

第2の態様の第4または第5の実装の形態に係る方法の第7の実装の形態では、FEは、IEに対して複製を行い、かつ、IEによる分類が完了するまで、所定の疑わしいトラフィックのパターンと一致するデータフローのパケットを普通に送信し、次いで、分類の結果に応じて、パケットをブロックするかまたは普通に転送を継続するように構成されている。 In the seventh implementation form of the method according to the fourth or fifth implementation form of the second aspect, the FE duplicates the IE and the predetermined suspicious until the classification by the IE is complete It is configured to normally transmit a packet of data flow that matches the traffic pattern and then block the packet or continue forwarding normally depending on the result of the classification.

第2の態様それ自体に係るか、または第2の態様の先のいずれかの実装の形態に係る方法の第8の実装の形態では、FEは、分類の結果にかかわらず、所定の期間、データフローのフローステートを「疑わしい」のままにするように構成されている。 In an eighth implementation form of the method according to the second aspect itself or according to any implementation form of the second aspect, the FE is a predetermined period, regardless of the result of the classification, It is configured to leave the flow state of the data flow “suspicious”.

第2の態様それ自体に係るか、または第2の態様の先のいずれかの実装の形態に係る方法の第9の実装の形態では、IEは、複製されたデータフローのフローステートを「終了」に変化させるように構成され、かつ、FEは、IEがスローステートを「終了」に変化させた場合、前記データフローをIEへ複製することを停止するように構成されている。 In the ninth implementation form of the method according to the second aspect itself or according to any previous implementation form of the second aspect, IE “ends” the flow state of the replicated data flow. And the FE is configured to stop replicating the data flow to the IE if the IE changes the slow state to “end”.

第2の態様それ自体に係るか、または第2の態様の先のいずれかの実装の形態に係る方法の第10の実装の形態では、FEは、許可として先に分類されてしまっているデータフローのパケットについてはIEをバイパスするように構成されている。 In the tenth implementation form of the method according to the second aspect itself or according to any previous implementation form of the second aspect, the FE is data that has been previously classified as a permit. The flow packet is configured to bypass IE.

第2の態様それ自体に係るか、または第2の態様の先のいずれかの実装の形態に係る方法の第11の実装の形態では、少なくとも1つのデータストレージまたはメモリは、データフローのメタデータを記憶し、システムにわたってメタデータを共有および更新するように構成され、FEは、データフローのフローステートおよびメタデータに基づいて、受信されたデータフローをブロック、転送、または複製するように構成されている。 In an eleventh implementation form of the method according to the second aspect itself or according to any previous implementation form of the second aspect, the at least one data storage or memory is data flow metadata. And FE is configured to block, forward, or replicate the received data flow based on the flow state and metadata of the data flow. ing.

第2の態様それ自体に係るか、または第2の態様の先のいずれかの実装の形態に係る方法の第12の実装の形態では、FEは、SDNコントローラへ接続されており、SDNコントローラは、FEに所定のパターンを供給するように構成されている。 In a twelfth implementation form of the method according to the second aspect itself or according to any previous implementation form of the second aspect, the FE is connected to an SDN controller, and the SDN controller is The FE is configured to supply a predetermined pattern.

第2の態様それ自体の方法およびその実装の形態は、第1の態様それ自体のシステムおよびその実装の形態と同じ優位性をそれぞれ達成している。 The method of the second aspect itself and its implementation achieve the same advantages as the system of the first aspect itself and its implementation, respectively.

本発明の第3の態様は、演算装置上で実行された場合に、第2の態様それ自体に係るか、または第2の態様のいずれかの実装の形態に係る、SDN（Software Defined Network）において悪意があるデータフローのネットワーク侵入を検知および防止する方法を実施するコンピュータプログラム製品を提供している。 A third aspect of the present invention relates to a software defined network (SDN) according to the second aspect itself or according to any implementation form of the second aspect when executed on an arithmetic device. Provides a computer program product that implements a method for detecting and preventing network intrusion of malicious data flows.

第3の態様のコンピュータプログラム製品を用いて、第2の態様の方法およびその実装の形態のすべての優位性が達成される。 With the computer program product of the third aspect, all the advantages of the method of the second aspect and its implementation are achieved.

本願に記載しているすべてのデバイス、要素、ユニットおよび手段は、ソフトウェアもしくはハードウェア要素またはそのいかなる種類の組合せでも実施することができる可能性があることに留意しなければならない。本願に記載しているさまざまなエンティティによって実行されるすべてのステップ、およびさまざまなエンティティによって実行されると記載している機能は、それぞれのエンティティがそれぞれのステップおよび機能を実行するのに適応しているかまたは実行するように構成されていることを意味するものとする。次の具体的な実施形態の記載において、恒久的なエンティティによって全体に形成されるべき特定の機能またはステップが、その特定のステップまたは機能を実行するそのエンティティの特定の詳細な要素の記載に反映されていない場合でも、当業者には、これらの方法および機能は、それぞれのソフトウェアもしくはハードウェア要素、またはそのいかなる種類の組合せでも実施することができることは明らかなはずである。 It should be noted that all devices, elements, units and means described in this application may be implemented with software or hardware elements or any kind of combination thereof. All steps performed by the various entities described in this application, and the functions described as being performed by the various entities, are adapted to each entity performing its respective steps and functions. Or configured to execute. In the following description of a specific embodiment, a particular function or step that is to be formed entirely by a permanent entity is reflected in the description of a particular detailed element of that entity that performs that particular step or function. Even if not, it should be apparent to those skilled in the art that these methods and functions may be implemented by respective software or hardware elements, or any kind of combination thereof.

上記の本発明の態様および実装の形態を、次の具体的な実施形態の説明で、添付図面と関連付けて説明する。 The above aspects and implementations of the present invention will be described in the following description of specific embodiments in conjunction with the accompanying drawings.

本発明の一実施形態に係るシステムを示している。1 illustrates a system according to an embodiment of the present invention. 本発明の一実施形態に係るシステムを示している。1 illustrates a system according to an embodiment of the present invention. 本発明の一実施形態に係るシステムの構成要素を示している。1 shows components of a system according to an embodiment of the present invention. 本発明の一実施形態に係るシステムを示している。1 illustrates a system according to an embodiment of the present invention. 本発明の一実施形態に係るシステムを示している。1 illustrates a system according to an embodiment of the present invention. 本発明の一実施形態に係る方法を示している。1 illustrates a method according to an embodiment of the invention. 技術水準に係るIPS／IDSシステムを示している。The IPS / IDS system related to the technical level is shown.

図1は、本発明の一実施形態に係るシステム100を示している。システム100は、SDNにおいて悪意があるデータフローの侵入を検知および防止することができる。詳細には、システム100は、悪意があるデータフローの、ネットワークの保護された領域およびサービスへの侵入を防止することができる。 FIG. 1 shows a system 100 according to one embodiment of the present invention. System 100 can detect and prevent malicious data flow intrusions in SDN. In particular, the system 100 can prevent malicious data flows from entering the protected areas and services of the network.

システム100は、データフローのフローステートを記憶し、システム100にわたってフローステートを共有および更新するために、少なくとも1つのデータストレージまたはメモリ101を含んでいる。データストレージまたはメモリ101は、好ましくは、高速で低レイテンシの分散メモリ（分散メモリデータベースまたは類似の技術など）であり、システム100にわたってフローステートを共有するために、好ましくはシステムのエンティティによって、その分散メモリへフローステートが書き込まれ得、その分散メモリからフローステートを読み出すことができる。それに応じて、共有されたフローステートは、システム100にわたって提供され、システム100に対して脅威への素早い反応時間を可能にしている。好ましくは、データストレージまたはメモリ101は、データフローのメタデータを記憶し、フローステートと同じ方法で、システム100にわたってメタデータを共有および更新するようにも構成される。 System 100 includes at least one data storage or memory 101 for storing flow states of data flows and for sharing and updating flow states across system 100. Data storage or memory 101 is preferably a high-speed, low-latency distributed memory (such as a distributed memory database or similar technology) and its distribution, preferably by system entities, to share flow state across system 100 A flow state can be written to the memory, and the flow state can be read from the distributed memory. In response, a shared flow state is provided across the system 100, allowing the system 100 to have a quick reaction time to a threat. Preferably, the data storage or memory 101 is also configured to store metadata for the data flow and share and update the metadata across the system 100 in the same manner as the flow state.

システム100は、データフローのフローステートに基づいて、および／または前記テータフローと所定のパターンとの比較に基づいて、受信されたデータフロー103をブロック、転送、または複製するように構成された、少なくとも1つの共有ステートのFE102をさらに有している。好ましくは、所定のパターンは、FE102に、またはデータストレージまたはメモリ101にも記憶され得る。好ましくは、FE102は、SDNコントローラへ接続することができ、SDNコントローラは、FE102に所定のデータを提供することができる。 The system 100 is configured to block, forward, or duplicate the received data flow 103 based on the flow state of the data flow and / or based on a comparison of the data flow with a predetermined pattern, It further has at least one shared state FE 102. Preferably, the predetermined pattern may be stored in the FE 102 or in the data storage or memory 101. Preferably, the FE 102 can be connected to an SDN controller, and the SDN controller can provide predetermined data to the FE 102.

FE102は、受信されたデータフロー103のフローステートを、データストレージまたはメモリ101から得ることができる。例えば、FE102は、対応するフローステートについてデータストレージまたはメモリ101へ問い合わせを行うことができる。ただし、好ましくは、データストレージまたはメモリ101は、データのフローの最新のフローステートをすべてのFE102へ積極的に配布する。少なくとも1つのFE102は、システム100にわたって追加のメタデータも共有されている場合には、データフローのフローステートおよびかかるメタデータに基づいて、受信されたデータフロー103をブロック、転送、または複製するように特に構成され得る。 The FE 102 can obtain the flow state of the received data flow 103 from the data storage or memory 101. For example, the FE 102 can query the data storage or memory 101 for the corresponding flow state. However, preferably the data storage or memory 101 actively distributes the latest flow state of the flow of data to all FEs 102. At least one FE 102 may block, forward, or duplicate the received data flow 103 based on the flow state of the data flow and such metadata if additional metadata is also shared across the system 100. Can be specifically configured.

システム100は、少なくとも1つのFE102から、複製されたデータフロー105を受信し、データフローが悪意があるかそれとも許可されているかを分類するように構成された、少なくとも1つのIE104をさらに含んでいる。また、IE104は、分類結果に応じてデータフローのフローステートを変化させるように構成されている。つまり、IE104は、分類されたデータフローのフローステートを更新するために、データストレージまたはメモリ101へアクセスすることができる。次いで、更新されたフローステートは、最新のフローステートが少なくとも1つのFE102のそれぞれで利用可能であることを確実にするために、システム100にわたって共有することができる。この結果として、システム100は、検知された脅威に即座に反応することができる。 System 100 further includes at least one IE 104 configured to receive replicated data flow 105 from at least one FE 102 and to classify whether the data flow is malicious or allowed. . The IE 104 is configured to change the flow state of the data flow according to the classification result. That is, IE 104 can access data storage or memory 101 to update the flow state of the classified data flow. The updated flow state can then be shared across the system 100 to ensure that the latest flow state is available on each of the at least one FE 102. As a result of this, the system 100 can react immediately to detected threats.

図2は、本発明に係る一実施形態を示しており、図1に表されている実施形態に基づいている。図1のように、システム100は、少なくとも1つのFE102、少なくとも1つのデータストレージまたはメモリ101、および少なくとも1つのIE104を含んでいる。ここで、FE102は、例えば、コアルータである。また、図2は、2つのネットワーク端点、つまりクライアント201、およびネットワークの保護されたサービス202（または保護された領域）を示している。 FIG. 2 shows an embodiment according to the invention and is based on the embodiment represented in FIG. As shown in FIG. 1, the system 100 includes at least one FE 102, at least one data storage or memory 101, and at least one IE 104. Here, the FE 102 is, for example, a core router. FIG. 2 also shows two network endpoints: a client 201 and a protected service 202 (or protected area) of the network.

図2の表に示されるように、ネットワーク端点201は、ネットワークのデータフローを生成および／または受信し得、生成および／または受信されたデータフローを、正規のデータパス上でデータフロー103として少なくとも1つのFE102へ転送し得る。それに応じて、少なくとも1つのFE102が、クライアント201から、保護されたサービス202へのデータパス上に、備えられている。図2に示すように、FEには、「共有ステート転送要素」の機能を実装し得、すなわちFEは、データフローを転送することができ、データフローのフローステートを他のネットワーク要素および／またはサービスアプリケーションと共有することができる。少なくとも1つのIE104には、「共有ステートサービスアプリケーション」および「ステート共有」の機能を実装し得、すなわちネットワークステートおよびフローステートを他のネットワーク要素およびサービスアプリケーションと共有するサービスアプリケーションとして機能することができる。少なくとも1つのデータストレージまたはメモリ101も、「ステート共有」機能を実装し得、すなわちネットワークステートおよびフローステートを他のネットワーク要素およびサービスアプリケーションと共有することができる。 As shown in the table of FIG. 2, the network endpoint 201 may generate and / or receive a network data flow, and the generated and / or received data flow is at least as a data flow 103 on a regular data path. It can be transferred to one FE102. Accordingly, at least one FE 102 is provided on the data path from the client 201 to the protected service 202. As shown in FIG. 2, the FE may implement the function of a “shared state transfer element”, that is, the FE can transfer the data flow, and the flow state of the data flow is transferred to other network elements and / or Can be shared with service applications. At least one IE 104 may implement “shared state service application” and “state sharing” functionality, ie, function as a service application that shares network state and flow state with other network elements and service applications. . At least one data storage or memory 101 may also implement “state sharing” functionality, ie, network state and flow state may be shared with other network elements and service applications.

図2では、ネットワークパケットがクライアント201（例えばゲートウェイルータ、ファイアウォールなど）に到着した場合、これらのネットワークパケットは、データフロー103として少なくとも1つのFE102へ転送され得る。データフロー103のネットワークパケットは、次のグループの1つと関連付けることができる。「新規のかつ許可された」、すなわち到着しているネットワークパケットは、所定の許可されたトラフィックのパターンと一致する、新規のデータフロー103の最初のパケットである。「新規のかつ悪意がある」、すなわち到着しているネットワークパケットは、所定のブロックされたトラフィックのパターンと一致する、新規のデータフロー103の最初のパケットである。「新規のかつ疑わしい」、すなわち到着しているネットワークパケットは、所定のパターンと一致しないか、または所定の疑わしいトラフィックのパターンと一致する、新規のデータフロー103の最初のパケットである。「中間のかつ疑わしい」、すなわち到着しているネットワークパケットは、疑わしいデータフロー103の先に進んだパケットである。「中間のかつ許可された」、すなわち到着しているネットワークパケットは、許可されたデータフロー103の先に進んだパケットである。「中間のかつ悪意がある」、すなわち到着しているネットワークパケットは、悪意があるデータフロー103の先に進んだパケットである。少なくとも1つのFE102は、例えばデータフロー103と所定のパターンとの比較によって、到着しているネットワークパケットがどのグループに属するかを判定することができる。 In FIG. 2, when network packets arrive at a client 201 (eg, gateway router, firewall, etc.), these network packets may be forwarded as data flow 103 to at least one FE 102. The network packet of data flow 103 can be associated with one of the following groups: The “new and authorized” or arriving network packet is the first packet of a new data flow 103 that matches a predetermined authorized traffic pattern. A “new and malicious” or arriving network packet is the first packet of a new data flow 103 that matches a predetermined blocked traffic pattern. A “new and suspicious” or arriving network packet is the first packet of a new data flow 103 that does not match a predetermined pattern or matches a predetermined suspicious traffic pattern. An “intermediate and suspicious” or arriving network packet is a packet that has advanced beyond the suspicious data flow 103. An “intermediate and authorized” or arriving network packet is a packet that has advanced beyond the authorized data flow 103. An “intermediate and malicious”, ie arriving network packet, is a packet that has advanced beyond the malicious data flow 103. At least one FE 102 can determine to which group the arriving network packet belongs, for example, by comparing the data flow 103 with a predetermined pattern.

ただし、FE102は、少なくとも1つのデータストレージまたはメモリ101から、またはIE104から直接にも、「ステート共有」の機能を介して、データフローの共有されたフローステートを提供されもする。つまり、FE102は、共有されたフローステートに基づいて、到着しているネットワークパケットの種類を判定することもできる。好ましくは、FE102は、受信されたデータフロー103が、少なくとも1つのデータストレージまたはメモリ101に記憶されたフローステートをすでに有しているかどうかを判定し、受信されたデータフローが、記憶されたフローステートを有している場合には、データフローのフローステートだけに基づいてデータフローをブロック、転送、または複製するように構成される。別の方法として、FE102は、好ましくは、受信されたデータフロー103が、記憶されたフローステートを有していない場合には、データフローと所定のパターンとの比較のみに基づいてデータフロー103をブロック、転送、または複製するように構成される。 However, the FE 102 may also be provided with a shared flow state of the data flow via at least one data storage or memory 101 or directly from the IE 104 via a “state sharing” function. That is, the FE 102 can also determine the type of network packet that has arrived based on the shared flow state. Preferably, the FE 102 determines whether the received data flow 103 already has a flow state stored in at least one data storage or memory 101, and the received data flow is stored in the stored flow. If so, the data flow is configured to block, forward, or duplicate based only on the flow state of the data flow. Alternatively, the FE 102 preferably routes the data flow 103 based solely on the comparison of the data flow with a predetermined pattern if the received data flow 103 does not have a stored flow state. Configured to block, forward, or duplicate.

好ましくは、FE102は、データフローの、共有されたフローステートが「許可」である場合および／またはデータフローが、所定の許可されたトラフィックのパターンと一致する場合には、受信されたデータフロー103のネットワークパケットを（保護されたサービス202へ）転送するように構成される。別の方法として、FE102は、データフローの、共有されたフローステートが「ブロック」である場合、および／またはデータフローが所定の悪意があるトラフィックのパターンと一致する場合には、データフローのパケットをブロックするように構成される。別の方法として、FE102は、データフローのフローステートが「疑わしい」である場合、および／またはデータフローが所定の疑わしいトラフィックのパターンと一致するかもしくは所定のパターンと一致しない場合には、（IE104に対して）データフローのパケットを複製するように構成される。それに応じて、FE102は、疑わしいデータフローのパケットをIE104へ誘導し、許可されたデータフロー103に属するパケットについてはIE104をバイパスするようにし、悪意があるデータフロー103のパケットを完全にブロックするように構成される。その結果、IE104の負荷を最小限に抑えることができる。 Preferably, the FE 102 receives the received data flow 103 if the shared flow state of the data flow is “permitted” and / or if the data flow matches a predetermined permitted traffic pattern. Configured to forward network packets (to the protected service 202). Alternatively, the FE 102 may use the data flow packet if the shared flow state of the data flow is “block” and / or if the data flow matches a predetermined malicious traffic pattern. Configured to block. Alternatively, FE102 may (IE104) if the flow state of the data flow is “suspicious” and / or if the data flow matches or does not match the predetermined suspicious traffic pattern. Configured to replicate data flow packets). In response, FE102 directs suspicious data flow packets to IE104, bypasses IE104 for packets belonging to authorized dataflow 103, and completely blocks malicious dataflow 103 packets. Configured. As a result, the load on the IE 104 can be minimized.

疑わしいデータフロー103の複製されたパケットだけが、さらなる検査のためにIE104へ転送される。詳細には、疑わしいトラフィックの検査は、「共有ステートサービスアプリケーション」の機能を実装する少なくとも1つのIE104によって行われ得る。IE104は、少なくとも1つのデータストレージまたはメモリ101の中のデータフローのフローステートを変化させる（例えば「許可」から「ブロック」へ）ためにDCTメカニズムをさらに使用し得る。次いで、変化させられたフローステートが共有される。次いで、データフローのパケットの処理は、データストレージまたはメモリ101の中のデータフローのフローステートの変更（例えば「ブロック」へ）に反応するように構成されたFE102によって実行される。 Only duplicated packets of suspicious data flow 103 are forwarded to IE 104 for further examination. In particular, the inspection of suspicious traffic may be performed by at least one IE 104 that implements the functionality of a “shared state service application”. The IE 104 may further use a DCT mechanism to change the flow state of the data flow in at least one data storage or memory 101 (eg, from “grant” to “block”). The changed flow state is then shared. Processing of the data flow packet is then performed by the FE 102 configured to react to a change in the flow state of the data flow in the data storage or memory 101 (eg, to “block”).

図3は、DCTメカニズムを使用する一実施形態のための可能な構成要素を示している。FE102は、第1のネットワークノード（ノードA）に含まれ得る。ノードAは、受信されたデータフローに属する少なくとも1つのネットワークパケットについて接続追跡を実行するように構成された接続追跡モジュール302を備えたカーネル301も含み得る。少なくとも1つのデータストレージおよびメモリ101も、ノードAに備えられ得、少なくとも1つの接続追跡モジュール302によって得られた接続追跡データを記憶するように構成され得る。詳細には、フローステートは、接続追跡データの一部であり得る。好ましくは、メタデータも接続追跡データに含まれ得る。記憶された接続追跡データは、システム100にわたって共有される。IE104の「共有ステートサービスアプリケーション」の機能は、別のネットワークノード（ノードB）に含まれ得る。IE104は、疑わしいデータフローの分類の結果に基づいて、データストレージまたはメモリ101に記憶された接続追跡データ、詳細にはフローステートを更新するように構成されている。特許出願PCT／EP2015／070160およびPCT／EP2015／079117は、DCTメカニズムに関してさらなる詳細を提供している。詳細には、DCTは、PCT／EP2015／070160で説明されており、FE102とIE104との間でフローステートおよびメタデータを共有するために、ここで使用することができる。また、「DCTを使用する共通アプリケーションレイヤ」が、PCT／EP2015／079117で説明されており、IE104への疑わしいパケットフローの誘導を実施するためにここで使用することができる。 FIG. 3 shows possible components for one embodiment using a DCT mechanism. The FE 102 may be included in the first network node (Node A). Node A may also include a kernel 301 with a connection tracking module 302 configured to perform connection tracking for at least one network packet belonging to the received data flow. At least one data storage and memory 101 may also be provided at node A and configured to store connection tracking data obtained by at least one connection tracking module 302. Specifically, the flow state can be part of connection tracking data. Preferably, metadata can also be included in the connection tracking data. Stored connection tracking data is shared across the system 100. The functionality of the “shared state service application” of the IE 104 may be included in another network node (Node B). The IE 104 is configured to update the connection tracking data stored in the data storage or memory 101, specifically the flow state, based on the result of the suspicious data flow classification. The patent applications PCT / EP2015 / 070160 and PCT / EP2015 / 079117 provide further details regarding the DCT mechanism. Specifically, DCT is described in PCT / EP2015 / 070160 and can be used here to share flow state and metadata between FE 102 and IE 104. Also, a “common application layer using DCT” is described in PCT / EP2015 / 079117, and can be used here to perform suspicious packet flow guidance to the IE 104.

図4は、先の図1および図2の実施形態に基づき、またDCTの実装にも適した、本発明の一実施形態を示している。到着しているネットワークパケットのデータフロー103（1）は、上記のように新規および中間のパケットを含み得る。少なくとも1つのFE102（2）は、共有されたフローステートおよび／または所定のパターンに基づいて、データフローをブロック、許可（保護された領域202へ普通に転送する）、または許可およびIE104へ向けて複製する。一致し（3）、結果としてブロックされるデータフローは、FE102によって破棄される。一致し、結果として許可されるデータフローは、保護された領域202またはサービスへ普通に転送される（4）。疑わしいデータフローは、結果として、分類のためにIE104に向けて複製される（5）。この場合、FE102は、IE104による分類が完了するまで、疑わしいデータフローのパケットの転送を引き延ばすように構成され得る。別の方法として、FE102は、IE104による分類が完了するまで、保護された領域2β03へ疑わしいデータフローのパケットを普通に転送するように構成され得る。 FIG. 4 shows an embodiment of the present invention based on the previous embodiment of FIGS. 1 and 2 and also suitable for DCT implementation. The data flow 103 (1) of arriving network packets may include new and intermediate packets as described above. At least one FE 102 (2) blocks, permits (normally forwards to protected area 202), or permits and IE 104 based on shared flow state and / or predetermined pattern Duplicate. A data flow that matches (3) and is blocked as a result is discarded by the FE. The data flow that matches and is allowed as a result is normally forwarded to the protected area 202 or service (4). Suspicious data flows are consequently replicated to IE 104 for classification (5). In this case, the FE 102 may be configured to defer the transfer of a packet with a suspicious data flow until classification by the IE 104 is complete. Alternatively, FE 102 may be configured to normally forward packets of suspicious data flow to protected region 2β03 until classification by IE 104 is complete.

IE104は、さらなる分類のために、複製されたデータフロー105を受信する（6）。IE104は、データフローが悪意があるか否かを決定した時点で、データストレージおよび／またはメモリ101の中のデータフローのフローステートを、詳細にはDCTメカニズム（PCT／EP2015／070160およびPCT／EP2015／079117によって実装されるように。図3も参照のこと）を使用することによって更新する。さらに、好ましくは、IE104は、データフローの複製動作を解除する。つまり、好ましくは、IE104は、複製されたデータフロー105のフローステートを「終了」へ変更させるように構成され、次いで、好ましくは、FE102は、前記データフローをIE104へ複製することを停止するように構成される。 IE 104 receives the replicated data flow 105 for further classification (6). When the IE 104 determines whether the data flow is malicious or not, the flow state of the data flow in the data storage and / or memory 101 is described in detail, in particular the DCT mechanism (PCT / EP2015 / 070160 and PCT / EP2015 As implemented by / 079117. See also Figure 3). Further, preferably, the IE 104 cancels the data flow duplication operation. That is, preferably the IE 104 is configured to change the flow state of the replicated data flow 105 to “finished”, and then preferably the FE 102 stops replicating the data flow to the IE 104. Configured.

データフローのフローステートが変更された時点で、少なくとも1つのFE102がそれに応じて更新され、「ブロック」に設定されたデータフローについては、ブロックが実施される。好ましくは、FE102は、IE104が前記データフローのフローステートを「ブロック」に設定または更新した場合には、データフローのパケットを即座に（すなわち、データフローの次のデータパケットからすでに始めている）ブロックするように構成される。 At the time when the flow state of the data flow is changed, at least one FE 102 is updated accordingly, and for the data flow set to “block”, the block is executed. Preferably, the FE 102 blocks a data flow packet immediately (ie, already starting with the next data packet in the data flow) when the IE 104 sets or updates the flow state of the data flow to “block”. Configured to do.

図5は、図1および図2の実施形態に基づく本発明の一実施形態を示しており、いくつかの重要な点を示している。図1および図2のように、システム100は、少なくとも1つのFE102、少なくとも1つのデータストレージまたはメモリ101、および少なくとも1つのIE104を含んでいる。図2のように、システム100は、クライアント201および保護されたサービス202または領域を含み得る。 FIG. 5 illustrates one embodiment of the present invention based on the embodiment of FIGS. 1 and 2, and illustrates some important points. As shown in FIGS. 1 and 2, the system 100 includes at least one FE 102, at least one data storage or memory 101, and at least one IE 104. As in FIG. 2, the system 100 may include a client 201 and a protected service 202 or region.

保護されたサービス202へ向けた、クライアント201からのトラフィック（すなわちデータフロー）が、FE102へ到着する。FE102は、図5の表の中で「F1」という名前を付けられ、例えばデータストレージまたはメモリ101（例えば、DCTによって実装される）内でフローステータス「新規」を有する、新規のデータフローを生成し得る。IE104は、データフロー「F1」が悪意があることを積極的に疑い得、「複製」動作を伴って、データストレージまたはメモリ101の中の「F1」のステータスを「疑わしい」に更新することができる。それに応じて、FE102は、データフロー「F1」について、データストレージまたはメモリ101を経由してフローステータス「疑わしい」で更新され、その結果、少なくとも1つのIE104へ向けて送信される「F1R」という名前を付けられた複製されたデータフロー、すなわちクライアント201と保護されたサービス202との間のパケットフローの複製を再生するために、複製動作を実行する。その一方で、少なくとも1つのFE102は、保護されたサービス202へ向けてデータフロー「F1」を普通に転送し続け得る。 Traffic from the client 201 (ie, data flow) destined for the protected service 202 arrives at the FE 102. FE102 creates a new data flow named “F1” in the table of FIG. 5 and having a flow status of “new”, for example, in data storage or memory 101 (eg, implemented by DCT) Can do. IE104 may actively suspect that the data flow “F1” is malicious and may update the status of “F1” in the data storage or memory 101 to “suspicious” with a “duplicate” action it can. In response, FE102 is updated for data flow “F1” via data storage or memory 101 with the flow status “suspect” and as a result sent to at least one IE 104 as “F1R” A duplication operation is performed to replay the duplicated data flow labeled, ie, the packet flow duplicate between the client 201 and the protected service 202. On the other hand, at least one FE 102 may continue to forward the data flow “F1” normally to the protected service 202.

IE104は、複製されたデータフロー105を受信し、例えば、数パケット後にデータフローを分類することができる。次いで、IE104は、データストレージまたはメモリ101の中の「F1」のフローステートを、例えば、動作「ブロック」を伴う「悪意がある」に更新する。次いで、IE104は、データストレージまたはメモリ101の中の「F1R」のフローステートを「終了」に更新することもでき、これによって複製を停止させる。それに応じて、FE102は、データフロー「F1」について、データストレージまたはメモリ101を経由してフローステート「ブロック」で更新され、そのデータフロー「F1」を即座にブロックし、データフロー「F1R」についてはフローステート「解除」へ更新され、このデータフローの複製を即座に停止する。 The IE 104 can receive the replicated data flow 105 and, for example, can classify the data flow after several packets. The IE 104 then updates the flow state of “F1” in the data storage or memory 101 to “malicious” with an operation “block”, for example. The IE 104 can then update the flow state of “F1R” in the data storage or memory 101 to “finished”, thereby stopping replication. In response, FE102 updates data flow “F1” via data storage or memory 101 with flow state “block” and immediately blocks that data flow “F1” and data flow “F1R” Is updated to the flow state “Release” and replication of this data flow is immediately stopped.

図5に記載のシナリオでは、悪意があるデータフローは、そのように分類されるとすぐに、組織、すなわち保護されたサービス202へ入ることをブロックされる。データフローの分類は、ネットワークデータパスに追加の要素を一切配置することなく、「ぎりぎり間に合う」ように、また「まさに必要な時間」で実行される。 In the scenario described in FIG. 5, the malicious data flow is blocked from entering the organization, ie protected service 202, as soon as it is so classified. Data flow classification is performed "just in time" and in "just the time needed" without placing any additional elements in the network data path.

例えばDCTメカニズムを介して共有される、その共有されるフローステートのステート特性に起因して、IE104によってフローステートが更新される瞬間、例えばあるデータフローがブロックされる必要がある瞬間に、ブロックが、システム100のすべてのFE102によって、すなわちシステム100が存在するネットワークにわたって（スイッチ、ルータ、ロードバランサなど）即座に実施される。IE104は、保護された領域202へのクリティカルデータパスの外側に位置するため、処理が簡素化されており、可用性が高く、容易に拡張可能である。 At the moment when the flow state is updated by the IE 104, for example due to the shared flow state state characteristics shared via the DCT mechanism, for example, when a data flow needs to be blocked, , Implemented immediately by all FEs 102 of system 100, ie, across the network in which system 100 resides (switches, routers, load balancers, etc.). Since the IE 104 is located outside the critical data path to the protected area 202, the processing is simplified, the availability is high, and it can be easily expanded.

図1から図5における上述の実施形態は、追加の機能と共に提供することができる。例えば、許可されたデータフローおよびブロックされたデータフローの処理は、すでに分類されたデータフローについてはIE104をバイパスすることによって最適化することができる。詳細には、FE102は、許可として先に分類されてしまっているデータフローのパケットについて、IE104をバイパスするように構成し得る。 The above-described embodiments in FIGS. 1-5 can be provided with additional functionality. For example, the processing of allowed and blocked data flows can be optimized by bypassing IE 104 for already classified data flows. Specifically, the FE 102 may be configured to bypass the IE 104 for data flow packets that have been previously classified as grants.

また、FE102は、SDNコントローラへ接続することができ、SDNコントローラは、「許可」、「ブロック」および「複製」動作を実施するために、ネットワークデータフローと一致すべき所定のパターンとしてOpenFlowのルール（またはOpFlex、またはそのようなもの）を実装するために使用され得る。つまり、SDNコントローラは、FE102に所定のパターンを提供するように構成されている。 The FE102 can also be connected to an SDN controller, which uses OpenFlow rules as a predetermined pattern that should match the network data flow to perform “permit”, “block” and “duplicate” operations (Or OpFlex, or the like) can be used to implement. That is, the SDN controller is configured to provide the FE 102 with a predetermined pattern.

FE102は、疑わしいトラフィックのデータフローをIE104に向けて誘導し、データフローの分類が行われ、次いで、データフローがブロックされるか、またはIE104をバイパスしてその宛先へ直接誘導されるときまで、一時的にデータフローを回線内に置くようにも構成され得る。別の方法として、トラフィックの分類が行われ、次いで、ネットワークパケットフローがブロックされるかまたは許可されたままになり、IE104へ向けた複製が解除されるまで、トラフィックがその宛先へ普通に転送もされながら、FE102は、疑わしいデータフローの複製を開始し、その複製をIE104へ向けて誘導し得る。つまり、FE102は、IE104による分類が完了するまで、所定の疑わしいトラフィックのパターンと一致するデータフローのパケットの転送を引き延ばすか、または所定の疑わしいトラフィックのパターンと一致するデータフローのパケットをIE104へ複製し、かつ普通に転送するように構成される。 FE102 directs the data flow of suspicious traffic towards IE 104, classification of the data flow is performed, and then the data flow is blocked or until it is directed directly to its destination bypassing IE 104 It can also be configured to temporarily place the data flow in the line. Alternatively, the traffic is classified and then the network packet flow remains blocked or allowed, and traffic is normally forwarded to its destination until replication for IE 104 is released. While being done, FE 102 may initiate duplication of the suspicious data flow and direct that duplication towards IE 104. In other words, FE102 either defers the transfer of data flow packets that match a given suspicious traffic pattern, or replicates data flow packets that match a given suspicious traffic pattern to IE104 until classification by IE104 is complete. And configured to forward normally.

APTであると疑われるデータフローは、長期間それを「疑わしい」のままにし、IE104が「low＆slow」攻撃を検知できるようにすることによって処理することができる。このために、FE102は、分類結果にかかわらず、所定の期間データフローのフローステートを「疑わしい」のままにするように構成され得る。 A data flow suspected of being APT can be handled by leaving it “suspicious” for an extended period of time and allowing IE 104 to detect “low & slow” attacks. To this end, the FE 102 may be configured to leave the flow state of the data flow “suspect” for a predetermined period regardless of the classification result.

許可されたデータフローを、例えば再検査のために、および自身の攻撃ベクトルをランダム化する何らかのAPTを克服するために、「疑わしい」のフローステートにランダムに（または定期的に）入れ込むことも可能である。このために、少なくとも1つのFE102は、任意の受信されたデータフローのフローステートを「疑わしい」に変化させるように構成され得る。 The allowed data flow may be randomly (or periodically) entered into a “suspicious” flow state, eg for re-examination and to overcome some APT that randomizes its attack vector Is possible. To this end, at least one FE 102 may be configured to change the flow state of any received data flow to “suspicious”.

図6は、本発明の一実施形態に係る方法600を示している。方法600は、SDNにおいて悪意があるデータフローの侵入を検知および防止するために実行することができる。第1のステップ601では、データフローのフローステートが記憶され、SDNにわたって共有および更新される。第2のステップ602では、受信されたデータフローが、データフローのフローステート、および／またはデータフローと所定のパターンとの比較に基づいて、ブロック、転送、または複製される。次いで、第3のステップ603では、複製されたデータフローが、悪意があるかそれとも許可されているか分類される。最後に、第4のステップ604では、データフローのフローステートが、分類結果に応じて変化させられる。方法600は、もちろん、上のシステム100の機能の記載に従って追加のおよび詳細な方法ステップを付けて拡張することができる。 FIG. 6 illustrates a method 600 according to one embodiment of the present invention. The method 600 may be performed to detect and prevent malicious data flow intrusions in the SDN. In a first step 601, the flow state of the data flow is stored and shared and updated across the SDN. In a second step 602, the received data flow is blocked, forwarded, or replicated based on the flow state of the data flow and / or the comparison of the data flow with a predetermined pattern. Then, in a third step 603, the replicated data flow is classified as malicious or allowed. Finally, in the fourth step 604, the flow state of the data flow is changed according to the classification result. The method 600 can of course be extended with additional and detailed method steps according to the description of the functionality of the system 100 above.

要約すると、本発明の実施形態によれば、IPSは、悪意があるトラフィックを検知、検査およびブロックするIPSの能力を損なうことなくデータパスから取り除かれる。また、IPSは、SPOFとしてネットワークから取り除かれ、IPSへの負荷は、妥当な疑わしいデータフローだけを含むように軽減され、一方、すでに分類されたデータフローはすべて、一切IPSへ転送されない。悪意があるデータフローのブロックは、システムにわたって、したがってシステムが存在するネットワークにわたって、瞬時に行われる。また、IPSのブロックおよびデータフローの複製メカニズムを実装するためにベンダーを超えた連携を必要としない。 In summary, according to embodiments of the present invention, IPS is removed from the data path without compromising IPS 'ability to detect, inspect and block malicious traffic. Also, the IPS is removed from the network as a SPOF, and the load on the IPS is reduced to include only valid suspicious data flows, while all already classified data flows are not transferred to the IPS. Malicious data flow blocks occur instantaneously across the system and thus across the network in which the system resides. It also does not require cross-vendor collaboration to implement IPS block and data flow replication mechanisms.

本発明は、例および実施態様としてさまざまな実施形態と共に記載されている。ただし、他の変形例が、図面、本開示および独立請求項の検討に基づいて、当業者によって、そして請求項に記載の発明を実施することによって、理解され達成されることができる。請求項において、および記載において、「含む、備える」という語は、他の要素またはステップを除外せず、不定冠詞「a」または「an」は複数性を除外しない。単一の要素または他のユニットが、請求項に列挙されるいくつかのエンティティまたはアイテムの機能を果たし得る。特定の手段が、相互に異なる従属請求項に列挙されているという単なる事実は、これらの手段の組合せが有利な実施態様に使用されることができないということを示さない。 The present invention has been described in conjunction with various embodiments as examples and implementations. However, other variations can be understood and attained by those skilled in the art based on a study of the drawings, the present disclosure and the independent claims, and by practicing the claimed invention. In the claims and in the description, the word “comprising” does not exclude other elements or steps, and the indefinite article “a” or “an” does not exclude a plurality. A single element or other unit may fulfill the functions of several entities or items recited in the claims. The mere fact that certain measures are recited in mutually different dependent claims does not indicate that a combination of these measured cannot be used in advantageous embodiments.

100 システム
101 データストレージまたはメモリ
102 FE
103 データフロー
104 IE
105 複製されたデータフロー
201 クライアント
202 保護されたサービス
301 カーネル
302 接続追跡モジュール
600 方法
601 第1のステップ
602 第2のステップ
603 第3のステップ
604 第4のステップ 100 system
101 Data storage or memory
102 FE
103 Data flow
104 IE
105 Replicated data flow
201 clients
202 Protected services
301 kernel
302 Connection tracking module
600 methods
601 1st step
602 second step
603 3rd step
604 Fourth Step

関連出願の相互参照
本願は、2016年6月22日に出願された国際出願第PCT/EP2016/064422号の続きであり、その全体が参照により本明細書に組み込まれる。
本開示は、ネットワークの、詳細には複数のSDN（Software Defined Network）の保護された領域または保護されたサービスへの、悪意があるデータフローの侵入を検知および防止するシステムおよび方法に関する。 Cross-reference of related applications
This application is a continuation of International Application No. PCT / EP2016 / 064422 filed on June 22, 2016, the entirety of which is incorporated herein by reference.
The present disclosure relates to a system and method for detecting and preventing malicious data flow intrusion into a network, and in particular, a protected area or protected service of multiple software defined networks (SDNs).

上記の問題および欠点に鑑みて、本開示は、従来のIDSおよびIPSを改善することを目的としている。セキュリティの観点から、本開示の目的は、悪意があるトラフィックをネットワーク全体にわたって即座にブロックすることができるシステムおよび方法を提供することである。さらには、より良好なAPT検出および緩和能力が達成されるべきである。本開示は、ネットワークからSPOFを取り除くことも目的としている。効率の観点から、悪意があるトラフィックを検出、検査、およびブロックする能力を損なうことなく、データパスから侵入検知を取り除いたシステムおよび方法を提供することが本開示の目的である。一般的目的は、例えば、疑わしいトラフィックを監視することのみによって、侵入検知および侵入防止の負荷を軽減することである。また、ベンダーを超えた連携が必要とされるべきではなく、全体のコストが削減されるべきである。 In view of the above problems and disadvantages, the present disclosure aims to improve conventional IDS and IPS. From a security point of view, the purpose of this disclosure is to provide a system and method that can immediately block malicious traffic across the network. Furthermore, better APT detection and mitigation capabilities should be achieved. The present disclosure is also aimed at removing the SPOF from the network. It is an object of this disclosure to provide a system and method that eliminates intrusion detection from the data path without compromising the ability to detect, inspect, and block malicious traffic from an efficiency perspective. A general purpose is to reduce the load of intrusion detection and prevention, for example, only by monitoring suspicious traffic. Also, collaboration across vendors should not be required, and overall costs should be reduced.

上述の本開示の目的は、添付の独立請求項で提供されるソリューションによって達成されている。本開示の有益な実施態様は、従属請求項でさらに定義されている。 The objects of the present disclosure as described above are achieved by the solution provided in the attached independent claims. Useful embodiments of the present disclosure are further defined in the dependent claims.

本開示の第1の態様は、データフローのフローステートを記憶し、システムにわたってフローステートを共有および更新するように構成される少なくとも1つのデータストレージまたはメモリと、データフローのフローステート、および／またはデータフローと所定のパターンとの比較に基づいて、受信されたデータフローをブロック、転送、または複製するように構成される少なくとも1つの共有ステート転送要素（FE）と、複製されたデータフローを受信し、データフローが、悪意があるかそれとも許可されているかを分類するように構成される少なくとも1つの検査要素（IE）とを備え、IEは、分類結果に応じてデータフローのフローステートを変化させるように構成される、SDNにおいて悪意があるデータフローの侵入を検知および防止するシステムを提供している。 A first aspect of the present disclosure includes at least one data storage or memory configured to store a flow state of a data flow and share and update the flow state across the system; and a flow state of the data flow; and / or Receives the replicated data flow with at least one shared state transfer element (FE) configured to block, forward, or replicate the received data flow based on a comparison of the data flow with a predetermined pattern And at least one test element (IE) configured to classify whether the data flow is malicious or allowed, and the IE changes the flow state of the data flow according to the classification result SDN is configured to detect and prevent malicious data flow intrusion in SDN. Provides a stem.

第1の態様に係る本開示は、データフローのフローステート、および好ましくは付加的なメタデータをシステムにわたって、すなわち詳細には、個々のFE、IE、および場合によってはサービスアプリケーションの間で共有するためのメカニズムを実施している。その結果、システムは、疑わしいかまたは検知された脅威に対して即座に、すなわち少なくとも従来のシステムよりもはるかに速く、反応することができる。例えば、少なくとも1つのFEは、FEが、疑わしいデータフローを悪意があると分類し、疑わしいデータフローのフローステートをそれに応じて更新した場合には、疑わしいデータフローを即座にブロックすることができる。フローステートの共有は、分散接続追跡（DCT）を介して都合よく実施することができ、分散接続追跡（DCT）は、特定のSDNの、システムにわたっての、ネットワークステートおよびフローステートのような情報の共有の実施である。 The present disclosure according to the first aspect shares the flow state of data flow, and preferably additional metadata, across the system, i.e., in particular, between individual FEs, IEs, and possibly service applications. To implement a mechanism. As a result, the system can react immediately to suspected or detected threats, that is, at least much faster than conventional systems. For example, at least one FE can immediately block a suspicious data flow if the FE classifies the suspicious data flow as malicious and updates the flow state of the suspicious data flow accordingly. Flow state sharing can be conveniently performed via distributed connection tracking (DCT), which is a network of information such as network state and flow state across specific SDNs, systems. Implementation of sharing.

本開示の第2の態様は、データフローのフローステートを記憶し、SDN（Software Defined Network）にわたってフローステートを共有および更新するステップと、データフローのフローステート、および／またはデータフローと所定のパターンとの比較に基づいて、受信されたデータフローをブロック、転送、または複製するステップと、複製されたデータフローが、悪意があるかそれとも許可されているかを分類するステップと、分類結果に応じてデータフローのフローステートを変化させるステップとを含む、SDNにおいて悪意があるデータフローの侵入を検知および防止する方法を提供している。 A second aspect of the present disclosure includes a step of storing a flow state of a data flow, sharing and updating the flow state over a software defined network (SDN), a flow state of the data flow, and / or a data flow and a predetermined pattern Block, forward, or duplicate the received data flow, classify whether the duplicated data flow is malicious or allowed, and depending on the classification result A method for detecting and preventing malicious data flow intrusion in an SDN is provided that includes changing a flow state of the data flow.

本開示の第3の態様は、演算装置上で実行された場合に、第2の態様それ自体に係るか、または第2の態様のいずれかの実装の形態に係る、SDN（Software Defined Network）において悪意があるデータフローのネットワーク侵入を検知および防止する方法を実施するコンピュータプログラム製品を提供している。 A third aspect of the present disclosure relates to a software defined network (SDN) according to the second aspect itself, or according to any implementation form of the second aspect, when executed on an arithmetic device. Provides a computer program product that implements a method for detecting and preventing network intrusion of malicious data flows.

上記の本開示の態様および実装の形態を、次の具体的な実施形態の説明で、添付図面と関連付けて説明する。 The above aspects and implementations of the present disclosure will be described in the following description of specific embodiments in conjunction with the accompanying drawings.

本開示の一実施形態に係るシステムを示している。1 illustrates a system according to an embodiment of the present disclosure . 本開示の一実施形態に係るシステムを示している。1 illustrates a system according to an embodiment of the present disclosure . 本開示の一実施形態に係るシステムの構成要素を示している。 2 illustrates components of a system according to an embodiment of the present disclosure . 本開示の一実施形態に係るシステムを示している。1 illustrates a system according to an embodiment of the present disclosure . 本開示の一実施形態に係るシステムを示している。1 illustrates a system according to an embodiment of the present disclosure . 本開示の一実施形態に係る方法を示している。1 illustrates a method according to an embodiment of the present disclosure . 技術水準に係るIPS／IDSシステムを示している。The IPS / IDS system related to the technical level is shown.

図1は、本開示の一実施形態に係るシステム100を示している。システム100は、SDNにおいて悪意があるデータフローの侵入を検知および防止することができる。詳細には、システム100は、悪意があるデータフローの、ネットワークの保護された領域およびサービスへの侵入を防止することができる。 FIG. 1 illustrates a system 100 according to one embodiment of the present disclosure . System 100 can detect and prevent malicious data flow intrusions in SDN. In particular, the system 100 can prevent malicious data flows from entering the protected areas and services of the network.

図2は、本開示に係る一実施形態を示しており、図1に表されている実施形態に基づいている。図1のように、システム100は、少なくとも1つのFE102、少なくとも1つのデータストレージまたはメモリ101、および少なくとも1つのIE104を含んでいる。ここで、FE102は、例えば、コアルータである。また、図2は、2つのネットワーク端点、つまりクライアント201、およびネットワークの保護されたサービス202（または保護された領域）を示している。 FIG. 2 illustrates an embodiment according to the present disclosure and is based on the embodiment depicted in FIG. As shown in FIG. 1, the system 100 includes at least one FE 102, at least one data storage or memory 101, and at least one IE 104. Here, the FE 102 is, for example, a core router. FIG. 2 also shows two network endpoints: a client 201 and a protected service 202 (or protected area) of the network.

図4は、先の図1および図2の実施形態に基づき、またDCTの実装にも適した、本開示の一実施形態を示している。到着しているネットワークパケットのデータフロー103（1）は、上記のように新規および中間のパケットを含み得る。少なくとも1つのFE102（2）は、共有されたフローステートおよび／または所定のパターンに基づいて、データフローをブロック、許可（保護された領域202へ普通に転送する）、または許可およびIE104へ向けて複製する。一致し（3）、結果としてブロックされるデータフローは、FE102によって破棄される。一致し、結果として許可されるデータフローは、保護された領域202またはサービスへ普通に転送される（4）。疑わしいデータフローは、結果として、分類のためにIE104に向けて複製される（5）。この場合、FE102は、IE104による分類が完了するまで、疑わしいデータフローのパケットの転送を引き延ばすように構成され得る。別の方法として、FE102は、IE104による分類が完了するまで、保護された領域2β03へ疑わしいデータフローのパケットを普通に転送するように構成され得る。 FIG. 4 shows an embodiment of the present disclosure that is based on the previous embodiment of FIGS. 1 and 2 and that is also suitable for DCT implementation. The data flow 103 (1) of arriving network packets may include new and intermediate packets as described above. At least one FE 102 (2) blocks, permits (normally forwards to protected area 202), or permits and IE 104 based on shared flow state and / or predetermined pattern Duplicate. A data flow that matches (3) and is blocked as a result is discarded by the FE. The data flow that matches and is allowed as a result is normally forwarded to the protected area 202 or service (4). Suspicious data flows are consequently replicated to IE 104 for classification (5). In this case, the FE 102 may be configured to defer the transfer of a packet with a suspicious data flow until classification by the IE 104 is complete. Alternatively, FE 102 may be configured to normally forward packets of suspicious data flow to protected region 2β03 until classification by IE 104 is complete.

図5は、図1および図2の実施形態に基づく本開示の一実施形態を示しており、いくつかの重要な点を示している。図1および図2のように、システム100は、少なくとも1つのFE102、少なくとも1つのデータストレージまたはメモリ101、および少なくとも1つのIE104を含んでいる。図2のように、システム100は、クライアント201および保護されたサービス202または領域を含み得る。 FIG. 5 illustrates one embodiment of the present disclosure based on the embodiment of FIGS. 1 and 2, and illustrates some important points. As shown in FIGS. 1 and 2, the system 100 includes at least one FE 102, at least one data storage or memory 101, and at least one IE 104. As in FIG. 2, the system 100 may include a client 201 and a protected service 202 or region.

図6は、本開示の一実施形態に係る方法600を示している。方法600は、SDNにおいて悪意があるデータフローの侵入を検知および防止するために実行することができる。第1のステップ601では、データフローのフローステートが記憶され、SDNにわたって共有および更新される。第2のステップ602では、受信されたデータフローが、データフローのフローステート、および／またはデータフローと所定のパターンとの比較に基づいて、ブロック、転送、または複製される。次いで、第3のステップ603では、複製されたデータフローが、悪意があるかそれとも許可されているか分類される。最後に、第4のステップ604では、データフローのフローステートが、分類結果に応じて変化させられる。方法600は、もちろん、上のシステム100の機能の記載に従って追加のおよび詳細な方法ステップを付けて拡張することができる。 FIG. 6 illustrates a method 600 according to an embodiment of the present disclosure . The method 600 may be performed to detect and prevent malicious data flow intrusions in the SDN. In a first step 601, the flow state of the data flow is stored and shared and updated across the SDN. In a second step 602, the received data flow is blocked, forwarded, or replicated based on the flow state of the data flow and / or the comparison of the data flow with a predetermined pattern. Then, in a third step 603, the replicated data flow is classified as malicious or allowed. Finally, in the fourth step 604, the flow state of the data flow is changed according to the classification result. The method 600 can of course be extended with additional and detailed method steps according to the description of the functionality of the system 100 above.

要約すると、本開示の実施形態によれば、IPSは、悪意があるトラフィックを検知、検査およびブロックするIPSの能力を損なうことなくデータパスから取り除かれる。また、IPSは、SPOFとしてネットワークから取り除かれ、IPSへの負荷は、妥当な疑わしいデータフローだけを含むように軽減され、一方、すでに分類されたデータフローはすべて、一切IPSへ転送されない。悪意があるデータフローのブロックは、システムにわたって、したがってシステムが存在するネットワークにわたって、瞬時に行われる。また、IPSのブロックおよびデータフローの複製メカニズムを実装するためにベンダーを超えた連携を必要としない。 In summary, according to embodiments of the present disclosure , an IPS is removed from the data path without compromising IPS 'ability to detect, inspect and block malicious traffic. Also, the IPS is removed from the network as a SPOF, and the load on the IPS is reduced to include only valid suspicious data flows, while all already classified data flows are not transferred to the IPS. Malicious data flow blocks occur instantaneously across the system and thus across the network in which the system resides. It also does not require cross-vendor collaboration to implement IPS block and data flow replication mechanisms.

本開示は、例および実施態様としてさまざまな実施形態と共に記載されている。ただし、他の変形例が、図面、本開示および独立請求項の検討に基づいて、当業者によって、そして請求項に記載の実施形態によって、理解され達成されることができる。請求項において、および記載において、「含む、備える」という語は、他の要素またはステップを除外せず、不定冠詞「a」または「an」は複数性を除外しない。単一の要素または他のユニットが、請求項に列挙されるいくつかのエンティティまたはアイテムの機能を果たし得る。特定の手段が、相互に異なる従属請求項に列挙されているという単なる事実は、これらの手段の組合せが有利な実施態様に使用されることができないということを示さない。 The present disclosure has been described in conjunction with various embodiments as examples and implementations. However, other variations are drawings based on the consideration of the present disclosure and independent claims, by a person skilled in the art, and the implementation form of claim, it can be realized and attained. In the claims and in the description, the word “comprising” does not exclude other elements or steps, and the indefinite article “a” or “an” does not exclude a plurality. A single element or other unit may fulfill the functions of several entities or items recited in the claims. The mere fact that certain measures are recited in mutually different dependent claims does not indicate that a combination of these measured cannot be used in advantageous embodiments.

Claims

At least one data storage or memory (101) configured to store a flow state of a data flow and share and update said flow state across a system;
At least one shared state configured to block, forward, or duplicate the received data flow (103) based on the flow state of the data flow and / or a comparison of the data flow with a predetermined pattern Transfer element FE (102);
SDN (Software) comprising: a replicated data flow (105); and at least one test element IE (104) configured to classify whether the data flow is malicious or authorized A system (100) that detects and prevents malicious data flow intrusions in the Defined Network
The IE (104) is configured to change the flow state of the data flow in response to a classification result.

The FE (102) is
If the flow state of the data flow is “permitted” and / or if the data flow matches a predetermined permitted traffic pattern, forward the received data flow (103) packet;
Block the received data flow (103) packet if the flow state of the data flow is “block” and / or if the data flow matches a predetermined malicious traffic pattern;
Configured to replicate received data flow (103) packets if the flow state of the data flow is "suspicious" and / or if the data flow matches a predetermined suspicious traffic pattern The system (100) of claim 1, wherein:

The FE (102) is
Determining whether the received data flow (103) already has a flow state stored in the at least one data storage or memory (101);
If the received data flow has a stored flow state, the flow state of the data flow, or the received data flow (103) has a stored flow state. 3. A system (100) according to claim 1 or 2, wherein if not, the system (100) is configured to block, forward or duplicate the data flow based on a comparison of the data flow and the predetermined pattern. .

The FE (102) is configured to immediately block a packet of a data flow when the IE (104) sets or updates the flow state of the data flow to “Block”.
System (100) according to claim 1 or 2.

The FE (102) is configured to set or update the flow state of the data flow to “suspicious” if the data flow matches a predetermined suspicious traffic pattern; Configured to replicate to the IE (104) for
The system (100) according to any one of claims 1 to 4.

The FE (102) is configured to change the flow state of any received data flow (103) to "suspicious";
The system (100) according to any one of the preceding claims.

The FE (102) is
Until the classification by the IE (104) is complete, defer the transfer of data flow packets that match a given suspicious traffic pattern;
7. The system (100) according to claim 5 or 6, wherein the system (100) is then configured to block or normally forward the packet depending on the classification result.

The FE (102) is
Until the classification by the IE (104) is complete, duplicate and normally forward packets of data flow matching a predetermined suspicious traffic pattern to the IE (104);
The system (100) according to claim 5 or 6, wherein the system (100) is then configured to continue to block or normally forward the packet depending on the classification result.

The FE (102) is configured to leave the state of the data flow “suspicious” for a predetermined period of time regardless of the classification result;
A system (100) according to any one of the preceding claims.

The IE (104) is configured to change the flow state of the replicated data flow to “end”;
The FE (102) is configured to stop replicating the data flow to the IE (104) when the IE (104) changes the flow state to "end".
The system (100) according to any one of the preceding claims.

The FE (102) is configured to bypass the IE (104) for data flow packets that have been previously classified as allowed,
A system (100) according to any one of the preceding claims.

The at least one data storage or memory (101) is configured to store metadata of a data flow and share and update the metadata across the system (100);
The FE (102) is configured to block, forward, or duplicate the received data flow (103) based on the flow state and metadata of the data flow;
A system (100) according to any one of the preceding claims.

The FE (102) is connected to an SDN controller,
The SDN controller is configured to provide the predetermined pattern to the FE (102);
System (100) according to any one of the preceding claims.

Storing the flow state of the data flow (601), sharing and updating the flow state across a software defined network (SDN);
Blocking, forwarding or replicating the received data flow based on the flow state of the data flow and / or a comparison of the data flow with a predetermined pattern (602);
Categorizing whether the replicated data flow is malicious or allowed (603);
A method (600) of detecting and preventing intrusion of malicious data flow in the SDN, comprising: (604) changing a flow state of the data flow according to a classification result.

A computer program product that implements a method (600) for detecting and preventing malicious data flow network intrusion in an SDN (Software Defined Network) according to claim 14, when executed on a computing device.