JP2020072427A - ネットワークへの脅威の感染拡大を防ぐ制御装置、制御方法、システム、およびプログラム - Google Patents

Abstract

【課題】ルータにおいてパケットのフィルタリングを行う場合、セグメント間での感染拡大を防止することはできるが、セグメント内での感染拡大を防止することはできない。【解決手段】本発明にかかる制御装置は、ネットワークを構成する複数の通信装置を制御する制御装置であって、該複数の通信装置のうちのいずれかの通信装置から受信したパケットに基づいて、該パケットの送信元端末が脅威に感染しているか否かを判定する判定部と、該送信元端末が脅威に感染していると判定した場合、該複数の通信装置のうち、該送信元端末と接続する通信装置に対して、該パケットを転送させないための制御情報を送信する設定部と、を備えることを特徴とする。【選択図】 図１

Description

本発明は、脅威の感染拡大を防ぐ制御装置、脅威の感染拡大を防ぐ制御装置を備えたシステム、脅威の感染拡大を防ぐ方法、およびプログラムに関する。

近年、コンピュータウイルス等の脅威に感染した端末（以下、「感染端末」と記載する。）との通信を行うことにより、ネットワークに脅威の感染が拡大し、情報漏洩や不正アクセスが起こっている。

ネットワークに脅威の感染が拡大することを防止する発明として、特許文献１がある。

特許文献１には、感染端末を他の端末と通信不可能にする隔離サーバを備える通信システムが開示されている。

特許文献１の通信システムによると、ネットワークを構成するスイッチの各々は、自装置と接続する端末のＭＡＣアドレスと、該端末との接続ポート番号と、該端末が属するＶＬＡＮを示すＶＬＡＮ−ＩＤと、を含むＭＡＣアドレステーブルを保持しており、隔離サーバは、該スイッチ各々からＭＡＣアドレステーブルを定期的に取得し、保持している。隔離サーバは、感染端末を検知した場合、取得したＭＡＣアドレステーブルのＭＡＣアドレスのうちの該感染端末のＭＡＣアドレスに対応するＶＬＡＮ−ＩＤを、隔離サーバのみとの通信に用いるＶＬＡＮ−ＩＤ（隔離用ＶＬＡＮ−ＩＤ）に書き換える。

これにより、感染端末は、隔離サーバのみと通信するので、他の端末との通信は不可能になる。従って、感染端末の通信により、ネットワークに脅威の感染が拡大することを防ぐことができる。

しかしながら、特許文献１に開示のシステムは、ネットワークの全端末のＭＡＣアドレステーブルを取得するので、端末の数に比例して、ＭＡＣアドレステーブルを取得する際に生じるネットワークの通信負荷が増大してしまうという問題がある。

上記問題を解決する発明として、特許文献２がある。

特許文献２には、端末から受信したパケットのフィルタリングを行うルータを備える通信システムが開示されている。

特許文献２の通信システムによると、ルータは、認証サーバから受信したパケットフィルタリングポリシに基づいて、パケットフィルタリング規則を生成し、該パケットフィルタリング規則に従って、受信パケットを処理する。

認証サーバは、ルータが端末からパケットを受信したタイミングで該端末に関する情報のみを収集する。これにより、一括で情報を収集する場合に比べて、ネットワークの通信負荷が軽減しつつ、ネットワークが脅威の感染が拡大することを防ぐことができる。

特開２００６−１６５８７７ 特開２００５−３２８１０８

以下の分析は、本発明によりなされたものである。特許文献２では、ルータにおいてパケットのフィルタリングを行う。そのため、セグメント間での感染拡大を防止することはできるが、セグメント内での感染拡大を防止することはできない。

本発明は、上記課題を鑑みてなされたものであり、その目的は、セグメント内における脅威の感染拡大を防止することである。

本発明の第１の視点によれば、ネットワークを構成する複数の通信装置を制御する制御装置であって、該複数の通信装置のうちのいずれかの通信装置から受信したパケットに基づいて、該パケットの送信元端末が脅威に感染しているか否かを判定する判定部と、該送信元端末が脅威に感染していると判定した場合、該複数の通信装置のうち、該送信元端末と接続する通信装置に対して、該パケットを転送させないための制御情報を送信する設定部と、を備えることを特徴とする制御装置が提供される。

本発明の第２の視点によれば、ネットワークを構成する複数の通信装置と、該複数の通信装置を制御する制御装置と、該ネットワークと通信する端末が脅威に感染しているか否かを判定する判定装置と、を備え、該複数の通信装置のうちのいずれかの通信装置は、受信したパケットを該判定装置に送信し、該判定装置は、該通信装置から受信したパケットに基づいて、該パケットの送信元端末が脅威に感染しているか否かを判定し、該制御装置は、該送信元端末が脅威に感染していると判定された場合、該複数の通信装置のうち、該送信元端末と接続する通信装置に対して、該送信元端末から受信したパケットを転送させないための制御情報を送信することを特徴とする通信システムが提供される。

本発明の第３の視点によれば、ネットワークを構成する複数の通信装置を制御する制御装置における制御方法であって、該複数の通信装置のうちのいずれかの通信装置から受信したパケットに基づいて、該パケットの送信元端末が脅威に感染しているか否かを判定し、
該送信元端末が脅威に感染していると判定した場合、該複数の通信装置のうち、該送信元端末と接続する通信装置に対して、該パケットを転送させないための制御情報を送信する、ことを特徴とする制御方法が提供される。

本発明の第４の視点によれば、ネットワークを構成する複数の通信装置を制御する制御装置を構成するコンピュータに、該複数の通信装置のうちのいずれかの通信装置から受信したパケットに基づいて、該パケットの送信元端末が脅威に感染しているか否かを判定する処理と、該送信元端末が脅威に感染していると判定した場合、該複数の通信装置のうち、該送信元端末と接続する通信装置に対して、該送信元端末から受信したパケットを転送させないための制御情報を送信する処理と、を実行させることを特徴とするプログラムが提供される。

本発明によれば、制御装置は、通信装置に接続した端末が脅威に感染しているか否かを判定し、脅威に感染していると判定した場合に、該通信装置に対して、該端末との通信を遮断する指示を行う。

これにより、脅威に感染している端末と接続する通信装置において、脅威の感染拡大を防止することができるので、セグメント内において脅威の感染拡大を防止することができる。

第１の実施形態における通信システムの構成を示す図である。 第１の実施形態における制御装置の構成を示す図である。 第１の実施形態における制御装置が保持するルーティングテーブルの一例を示す図である。 第１の実施形態における制御装置が保持するパターンファイルの一例を示す図である。 第１の実施形態における制御装置が保持する位置情報テーブルの一例を示す図である。 第１の実施形態における通信装置の構成を示す図である。 第１の実施形態における制御装置の処理動作を説明するためのフローチャートである。 第２の実施形態における通信システムの構成を示す図である。 第２の実施形態におけるＯｐｅｎ Ｆｌｏｗ Ｃｏｎｔｏｒｏｌｌｅｒの構成を示す図である。 第２の実施形態におけるＯｐｅｎ Ｆｌｏｗ Ｃｏｎｔｏｒｏｌｌｅｒが保持するフローエントリの一例を示す図である。 第２の実施形態におけるＯｐｅｎ Ｆｌｏｗ Ｃｏｎｔｏｒｏｌｌｅｒが保持する位置情報テーブルの一例を示す図である。 第２の実施形態における判定装置の構成を示す図である。 第２の実施形態におけるＯｐｅｎ Ｆｌｏｗ Ｓｗｉｔｃｈの構成を示す図である。 第２の実施形態におけるＯｐｅｎ Ｆｌｏｗ Ｃｏｎｔｏｒｏｌｌｅｒが生成する、パケットを転送させないためのフローエントリの一例を示す図である。 第２の実施形態におけるＯｐｅｎ Ｆｌｏｗ Ｃｏｎｔｏｒｏｌｌｅｒが生成する、パケットを転送させないための制御情報の一例を示す図である。 第２の実施形態における通信システムを構成する装置の処理動作を説明するためのシーケンス図である。 第２の実施形態の第１の変形例におけるＯｐｅｎ Ｆｌｏｗ Ｃｏｎｔｏｒｏｌｌｅｒが生成するフローエントリの一例を示す図である。 第２の実施形態の第２の変形例におけるＯｐｅｎ Ｆｌｏｗ Ｃｏｎｔｏｒｏｌｌｅｒが生成するフローエントリの一例を示す図である。 第２の実施形態の第３の変形例における通信システムの構成を示す図である。

以下、本願における「脅威」とは、コンピュータウイルス、ワーム、トロイの木馬、マルウェア等、通信端末（パーソナルコンピュータ、モバイル端末など）やネットワーク装置に被害を与えるものを指す。

［第１の実施形態］
本発明の第１の実施形態について、図面を用いて詳細に説明する。

［構成の説明］
図１は、本発明にかかる第１の実施形態における通信システムの構成を示す図である。

図１の通信システムは、制御装置１０と、通信装置２０ａ、通信装置２０ｂ、通信装置２０ｃと、端末３０ａと、端末３０ｂと、を備える。

尚、通信装置２０ａ乃至２０ｃを特に区別する必要がない場合は、単に通信装置２０と記載する。また、端末３０ａおよび３０ｂを特に区別する必要がない場合は、単に端末３０と記載する。

制御装置１０は、通信装置２０と、それぞれ接続している。

通信装置２０ａは、通信装置２０ｂ、通信装置２０ｃ、端末３０ａとそれぞれ接続している。

通信装置２０ｂは、通信装置２０ｃ、端末３０ｂと、それぞれ接続している。

制御装置１０と通信装置２０は、それぞれ制御用の専用回線で接続しており、図１において接続関係を破線で示す。

以下では、通信装置２０は、それぞれ「１９２．１６８．１．２１」、「１９２．１６８．１．２２」、「１９２．１６８．１．２３」のＩＰアドレスが割り当てられている。

端末３０は、それぞれ「１９２．１６８．１．３１」、「１９２．１６８．１．３２」のＩＰアドレスが割り当てられている。

図２は、制御装置１０の構成を示す図である。

制御装置１０は、通信部１１と、記憶部１２と、位置情報管理部１３と、判定部１４と、生成部１５と、設定部１６と、を備える。

通信部１１は、通信装置２０と通信を行うための通信インターフェースである。

記憶部１２は、ルーティングテーブル、パターンファイル、および位置情報テーブルを保持している。

ルーティンテーブルは、図３に示すようにパケットの送信元端末のＩＰアドレスと、当該パケットの転送制御を行うためのパケット処理規則とを対応付けたルーティング情報を含む。また、ルーティング情報は、それぞれ設定先の通信装置と対応付けられている。例えば、ルーティング情報３Ａ乃至３Ｃは通信装置２０ａ向けのルーティング情報である。

パターンファイルは、図４に示すように脅威の種類と、各脅威を示すシグネチャ（換言すると、脅威に相当するデータ配列）を含む。パターンファイルは、パケットを送信した端末が脅威に感染しているか否かを判別するために使用する。

位置情報テーブルは、図５に示すように端末のＩＰアドレスと、該端末と接続する通信装置を示す通信装置情報と、該通信装置における該端末との接続インターフェースを示すインターフェース情報とを対応付けた情報（以下、この３種の情報の組み合わせを位置情報と記載する。）を含む。

通信装置情報は、端末が通信する通信装置のＩＰアドレスである。インターフェース情報は、通信装置の端末との接続ポート番号である。この位置情報テーブルを参照することで、各端末がどの通信装置とどのインターフェースで接続しているかを特定することができる。

例えば、位置情報５Ａは、ＩＰアドレス「１９２．１６８．１．３１」が割り当てられた端末（図１における端末３０ａ）が、通信装置２０ａのポート２と接続していることを示している。

位置情報管理部１３は、端末の位置情報を収集し、位置情報テーブルに格納する。位置情報の収集は、ＡＲＰ要求に対する応答パケットを通信装置２０から制御装置１０へ送信することで実現できる。位置情報管理部１３は、通信装置２０から応答パケットを受信すると、当該応答パケットから、応答した端末のＩＰアドレス、および通信装置情報を抽出し、位置情報テーブルに格納する。

また、位置情報管理部１３は、通信装置２０からインターフェース情報を収集し、上述したＩＰアドレス、および通信装置情報と対応付けて位置情報テーブルに格納する。

このようにすることで、新たな端末がネットワークに接続した場合や接続中の端末の位置が変更になった場合なども逐次、位置情報の蓄積や更新を行うことができる。

判定部１４は、通信装置２０から受信したパケットと、パターンファイルとを照合し、当該パケットの送信元が脅威に感染しているか否かを判定する。

生成部１５は、制御情報を生成する。

制御情報は、通信装置２０に対して、パケットを転送させないようにするための情報である。

設定部１６は、生成部１５が生成した制御情報を通信装置２０に送信する。

図６は、通信装置２０の構成を示す図である。通信装置２０は、通信部２１と、記憶部２２と、パケット処理部２３と、を備える。

通信部２１は、制御装置１０、通信装置２０、および端末３０と通信を行うための通信インターフェースである。

記憶部２２は、ルーティングテーブルを保持している。ルーティングテーブルには、制御装置１０から設定されたルーティング情報が格納されている。例えば、通信装置２０ａが保持するルーティングテーブルには、図３に示すルーティング情報３Ａ乃至３Ｃが格納されている。

ルーティング情報は、制御装置１０からの指示に応じて、追加、削除、および変更される。

パケット処理部２３は、ルーティング情報に従って、受信パケットを処理する。

［動作の説明］
本実施形態の通信システムの動作について説明する。

以下では端末３０ａが端末３０ｂへパケットを送信する場合について説明する。

説明の便宜上、端末３０ａが送信するパケットは、通信装置２０ａ、通信装置２０ｃ、通信装置２０ｂを経由して端末３０ｂに転送されるものとする。そのためのルーティング情報は設定済みであるものとする。

パケット転送経路上のいずれかの通信装置２０は、送信元端末３０ａが脅威に感染しているか否かを判定するために、制御装置１０に受信パケットを送信する。

本実施形態では、通信装置２０ｃが制御装置１０にパケットを送信するものとする。

通信装置２０ａは端末３０ａからパケットを受信すると、ルーティング情報に従い当該パケットを通信装置２０ｃに送信する。

通信装置２０ｃは、通信装置２０ａからパケットを受信すると、ルーティング情報に従い当該パケットを通信装置２０ｂに送信するとともに、当該パケットのコピーを制御装置１０に送信する。

通信装置２０ｂは通信装置２０ｃからパケットを受信すると、ルーティング情報に従い端末３０ｂに当該パケットを送信する。

制御装置１０が通信装置２０ｃからパケットを受信すると、判定部１４は、受信したパケットのデータ部分とパターンファイルを照合し、端末３０ａが脅威に感染しているか否かを判定する。

具体的には、受信したパケットのデータ部分に、パターンファイルに含まれる各シグネチャと同一のデータ配列が含まれるか否かを検索する。

例えば、判定部１４は、受信したパケットのデータ部分が「００００１１０１０」のデータ配列を含む場合、端末３０ａが脅威Ａに感染していると判定する。

一方、受信したパケットのデータ部分が、パターンファイルに含まれる各シグネチャ（換言すると、脅威に相当するデータ配列）を含まない場合、判定部１４は、端末３０ａが脅威に感染していないと判定する。

端末３０ａが脅威に感染している場合、判定部１４は、受信したパケットの送信元ＩＰアドレスと同一のＩＰアドレスを含む位置情報を位置情報テーブルから検索し、該当する位置情報を生成部１５に渡す。この場合、判定部１４は、位置情報５Ａを生成部１５に渡す。

生成部１５は、判定部１４から受け付けた位置情報５Ａに含まれる通信装置情報を参照し、制御対象の通信装置を特定する。

生成部１５は、特定した通信装置に対して、位置情報５Ａに含まれるＩＰアドレスと同一のＩＰアドレスに対応するパケット処理規則を破棄に書き換えさせる制御情報を生成する。

生成部１５は、生成した制御情報を設定部１６に渡す。

設定部１６は、生成部１５から受け付けた制御情報を通信装置２０ａに送信する。

通信装置２０ａのパケット処理部２３は、受信した制御情報に従って、該当するルーティング情報のパケット処理規則を「破棄」に書き換える。

一方、端末３０ａが脅威に感染していない場合、判定部１４は、通信装置２０ｃから次のパケットを受信するまで待機する。

端末３０ａが脅威に感染していない場合、設定部１６は、通信装置２０ｃに転送許可通知を送信するようにしてもよい。その場合、通信装置２０ｃは、通信装置２０ｂへのパケット送信は行わず、転送許可通知を受信するまで当該パケットをスタックしておく。

上記実施形態では、通信装置に対して、特定の端末から受信したパケットを破棄させる。

他の方法として、通信装置のポートを非アクティブ化して、パケットを遮断することにより、脅威の感染拡大を防止することもできる。

上記実施形態の場合、生成部１５は、取得した位置情報５Ａに含まれる通信装置情報とインターフェース情報を参照し、制御対象となる通信装置とポートを特定する。

すなわち、生成部１５は、制御対象の通信装置が通信装置２０ａで、制御対象のポートがポート２であることが特定する。

生成部１５は、特定した通信装置２０ａに対して、ポート２を遮断させるための制御情報を生成する。

設定部１６は、制御情報を通信装置２０ａに送信する。

通信装置２０ａのパケット処理部２３は、当該制御情報に従って、ポート２を遮断する。

このように、通信装置における感染端末との接続ポートを遮断することにより、感染端末の通信による脅威の感染拡大を防止することができる。

図７は、本実施形態にかかる制御装置１０が、ネットワークへの脅威の感染拡大を防止するための処理動作を説明するためのフローチャートである。

通信装置２０からパケットを受信すると（Ｓ７１）、当該パケットの送信元端末が脅威に感染しているか否かを判定する。

送信元端末が脅威に感染していると判定した場合（Ｓ７２のＹｅｓ）、当該パケットの送信元端末に対応する位置情報に基づいて、制御対象の通信装置を特定し（Ｓ７３）、当該パケットを転送させないための制御情報を生成する（Ｓ７４）。

制御装置１０は、生成した制御情報を、特定した通信装置２０に送信する（Ｓ７５）。

送信元端末が脅威に感染していないと判定した場合（Ｓ７２のＮｏ）、次のパケットを受信するまで待機する。

このように、送信元端末（端末３０）が脅威に感染している場合、制御装置１０は、位置情報に基づき端末３０が接続している通信装置２０に対し、パケットを転送させないための制御情報を送信する。

このように、端末が脅威に感染している場合、制御装置１０は位置情報に基づき端末と接続する通信装置に対してパケットを転送させないための制御を行う。これにより感染端末の通信によるネットワークへの脅威の感染拡大を防止することができる。

また、制御装置１０は、ＡＲＰ要求に対する応答パケットを通信装置２０から受信することで逐次位置情報を更新するので、端末が移動して他の通信装置（例えば、通信装置２０ｃ）と接続した場合も、同様の制御を行うことができる。

［効果］
本発明の第１の実施形態における通信システムでは、制御装置は、ネットワークを構成する制御対象の複数の通信装置のうちのいずれかの通信装置から受信したパケットに基づいて、該パケットの送信元端末が脅威に感染しているか否かを判定する。制御装置は、送信元端末が脅威に感染していると判定した場合、該送信元端末の位置情報に基づいて特定した通信装置に対して、該送信元端末から受信したパケットを転送させないための制御情報を送信する。

これにより、感染端末の通信によるネットワークへの脅威の感染拡大を防止することができる。

［第２の実施形態］
本発明の第２の実施形態について、図面を用いて詳細に説明する。

第２の実施形態の通信システムは、本発明をＯｐｅｎＦｌｏｗネットワークに適用した場合の通信システムである。

［構成の説明］
図８は、本発明にかかる第２の実施形態の通信システムの構成を示す図である。

図８の通信システムは、Ｏｐｅｎ Ｆｌｏｗ Ｃｏｎｔｏｒｏｌｌｅｒ（以下、「ＯＦＣ」と記載する。）１００と、判定装置２００と、Ｏｐｅｎ Ｆｌｏｗ Ｓｗｉｔｃｈ（以下、「ＯＦＳ」と記載する。）３００ａと、ＯＦＳ３００ｂと、ＯＦＳ３００ｃと、ＯＦＳ３００ｄと、端末４００ａと、端末４００ｂと、端末４００ｃと、を備える。

尚、ＯＦＳ３００ａ乃至３００ｄを特に区別する必要がない場合は、単にＯＦＳ３００と記載する。同様に、端末４００ａと４００ｂを特に区別する必要がない場合は、単に端末４００と記載する。

ＯＦＣ１００は、判定装置２００、ＯＦＳ３００ａ、ＯＦＳ３００ｂ、ＯＦＳ３００ｃ、およびＯＦＳ３００ｄ、とそれぞれ接続している。

判定装置２００は、ＯＦＳ３００ｄと接続している。

ＯＦＳ３００ａは、端末４００ａおよびＯＦＳ３００ｄとそれぞれ接続している。

ＯＦＳ３００ｂは、端末４００ｂおよびＯＦＳ３００ｄとそれぞれ接続している。

ＯＦＳ３００ｃは、端末４００ｃおよびＯＦＳ３００ｄとそれぞれ接続している。

ＯＦＳ３００は、それぞれ「１９２．１６８．２．３１」、「１９２．１６８．２．３２」、「１９２．１６８．２．３３」、「１９２．１６８．２．３４」のＩＰアドレスが割り当てられている。

端末４００は、それぞれ「１９２．１６８．２．４１」、「１９２．１６８．２．４２」、「１９２．１６８．２．４３」のＩＰアドレスが割り当てられている。

図９は、ＯＦＣ１００の構成を示す図である。

ＯＦＣ１００は、通信部１０１と、記憶部１０２と、位置情報管理部１０３と、取得部１０４と、経路計算部１０５と、生成部１０６と、設定部１０７と、を備える。

通信部１０１は、判定装置２００、ＯＦＳ３００と通信を行うための通信インターフェースである。

記憶部１０２は、フローテーブルと位置情報テーブルを保持している。

フローテーブルは、図１０に示すようにパケットと照合するためのマッチ条件と、該マッチ条件に合致したパケットを処理するためのインストラクションとを対応付けたフローエントリを含む。例えば、フローエントリ１０Ａは、送信元ＩＰアドレスが「１９２．１６８．２．４１」であるパケットを受信した場合のインストラクションとして、当該パケットを「ＯＦＳ３００ｄに送信」することが規定されている。

また、フローエントリは、それぞれ設定先のＯＦＳ３００と対応付けられている。例えば、フローエントリ１０Ａ乃至１０Ｃは、ＯＦＳ３００ａに設定するためのフローエントリである。

位置情報テーブルは、図１１に示すように端末のＩＰアドレスと、当該端末と接続するＯＦＳを示すＯＦＳ情報と、該ＯＦＳにおける該端末との接続インターフェースを示すインターフェース情報と、を対応付けた位置情報を含む。

ＯＦＳ情報は、ＯＦＳ３００のＩＰアドレスである。

インターフェース情報は、ＯＦＳの端末との接続ポート番号である。

この位置情報テーブルを参照することで、各端末が接続しているＯＦＳと接続インターフェースを特定することができる。

例えば、位置情報１１Ａは、ＩＰアドレス「１９２．１６８．２．４１」が割り当てられた端末４００ａが、ＯＦＳ３００ａのポート２と接続していることを示している。

位置情報管理部１０３は、第１の実施形態の位置情報管理部１３と同様の処理動作を行う。

取得部１０４は、位置情報テーブルから端末の位置情報を取得する。

経路計算部１０５は、パケット転送経路を計算する。

生成部１０６は、フローエントリおよび制御情報を生成する。

設定部１０７は、ＯＦＳ３００にフローエントリおよび制御情報を送信する。

図１２は、判定装置２００の構成を示す図である。

判定装置２００は、通信部２０１と、記憶部２０２と、判定部２０３と、を備える。

通信部２０１は、ＯＦＣ１００およびＯＦＳ３００と通信を行うための通信インターフェースである。

記憶部２０２は、パターンファイルを保持している。尚、パターンファイルの構成は第１の実施例で説明した図４に開示のものと同一であるため、詳細な説明および図示は割愛する。

判定部２０３は、受信したパケットと、パターンファイルと、を照合し、当該パケットの送信元端末が脅威に感染しているか否かを判定する。

判定部２０３は、送信元端末が脅威に感染していると判定した場合、該送信元端末のＩＰアドレスを含む感染通知を生成し、ＯＦＣ１００に送信する。

図１３は、ＯＦＳ３００の構成を示す図である。

ＯＦＳ３００は、通信部３０１と、記憶部３０２と、パケット処理部３０３と、を備える。

通信部３０１は、ＯＦＣ１００、判定装置２００、ＯＦＳ３００および端末４００と通信を行うための通信インターフェースである。

記憶部３０２は、フローテーブルを保持している。

フローテーブルには、フローエントリが格納されている。例えば、ＯＦＳ３００ａが保持するフローテーブルには、フローエントリ９Ａ乃至９Ｃが格納されている。

フローエントリは、ＯＦＣ１００からの指示に応じて、追加、削除、変更される。

パケット処理部３０３は、受信したパケットを処理する。具体的には、パケット処理部３０３は、受信したパケットと、フローエントリのマッチ条件と、を照合し、合致するマッチ条件がある場合、当該マッチ条件に対応するインストラクションに従って当該パケットを処理する。

一方、合致するマッチ条件がない場合、パケット処理部３０３は、ＯＦＣ１００に対して当該パケットを処理するためのフローエントリを要求する。

［動作の説明］
本実施形態の通信システムの動作について説明する。

尚、以下では、端末４００ａが端末４００ｂにパケットを送信する場合について説明する。

また、ＯＦＳ３００によるパケット転送はＯｐｅｎＦｌｏｗプロトコルに則って行われる。ＯＦＳ３００には、当該パケットが、ＯＦＳ３００ａ、ＯＦＳ３００ｄ、ＯＦＳ３００ｂの順で転送されるように、フローエントリが設定されているものとして、説明する。

パケット転送経路上のいずれかのＯＦＳ３００は、送信元端末４００ａが脅威に感染しているか否かを判定するために、判定装置２００に受信パケットを送信する。

ここでは、ＯＦＳ３００ｄが判定装置２００にパケットを送信するものとして説明する。

端末４００ａは、ＯＦＳ３００ａにパケットを送信する。

ＯＦＳ３００ａは、フローエントリに従ってＯＦＳ３００ｄに当該パケットを送信する。

ＯＦＳ３００ｄは、フローエントリに従ってＯＦＳ３００ｂに当該パケットを送信する。ＯＦＳ３００ｄは、フローエントリに従って判定装置２００に当該パケットのコピーを送信する。

判定部２０３は、ＯＦＳ３００ｄから受信したパケットのデータ部分と、記憶部２０２が保持するパターンファイルと、を照合し、端末４００ａが脅威に感染しているか否かを判定する。

例えば、判定部２０３は、受信したパケットのデータ部分が「００００１１０１０」のデータ配列を含む場合、当該パケットの送信元端末４００ａが、脅威Ａに感染していると判定する。

一方、判定部２０３は、受信したパケットのデータ部分が、パターンファイルに含まれる各シグネチャ（換言すると、脅威に相当するデータ配列）を含まない場合、当該パケットの送信元端末４００ａが脅威に感染していないと判定する。

判定部２０３は、送信元端末４００ａが脅威に感染していると判定した場合、端末４００ａのＩＰアドレスを含む感染通知を生成し、ＯＦＣ１００に送信する。

取得部１０４は、当該感染通知を受信した場合、該感染通知に含まれる端末４００ａのＩＰアドレスと同一のＩＰアドレスを含む位置情報を位置情報テーブルから取得する。

取得部１０４は、取得した位置情報を生成部１０６に渡す。

生成部１０６は、取得部１０４から受け付けた位置情報１１Ａに基づいて、端末４００ａが接続するＯＦＳを特定する。

生成部１０６は、特定したＯＦＳ３００ａに対して、送信元ＩＰアドレスが位置情報１１Ａに含まれるＩＰアドレスと同一のＩＰアドレスに合致するパケットを破棄させるフローエントリを生成する。

図１４にパケットを破棄させるためのフローエントリの一例を示す。図１４のフローエントリは、送信元ＩＰアドレスが「１９２．１６８．２．４１」の端末から受信したパケットに対するインストラクションとして「破棄」が規定されている。

設定部１０７は、生成したフローエントリをＯＦＳ３００ａに送信する。

このようにして、ＯｐｅｎＦｌｏｗを適用したネットワークにおいて、感染端末の通信によるネットワークへの脅威の感染拡大を防止する処理が実行される。

一方、判定部２０３は、送信元端末４００ａが脅威に感染していないと判定した場合、ＯＦＳ３００ｄから次のパケットを受信するまで待機する。

上記のように、ＯＦＳに対して、感染端末から受信したパケットを破棄させることにより、感染端末からの通信によるネットワークへの脅威の感染拡大を防止することができる。

上記の実施形態では、ＯＦＳに対して、特定の端末から受信したパケットを破棄させる。

他の方法として、ＯＦＳ３００のポートを非アクティブ化して、パケットを遮断することにより、脅威の感染拡大を防止することもできる。

上記実施例の場合、生成部１０６は、取得した位置情報１１Ａに含まれるＯＦＳ情報とインターフェース情報に基づいて、制御対象のＯＦＳ３００とポートを特定する。

すなわち、生成部１０６は、制御対象のＯＦＳがＯＦＳ３００ａで、制御対象のポートがポート２であることが特定する。

この場合、生成部１０６は、ＯＦＳ３００ａに対して、ポート２を遮断させるための制御情報（図１５を参照。）を生成する。

設定部１０７は、該制御情報をＯＦＳ３００ａに送信する。

このように、ＯＦＳ３００ａは、図１５に示す制御情報に従って感染端末との接続ポートを遮断することにより、感染端末の通信によるネットワークへの脅威の感染拡大を防止することができる。

図１６は、端末４００ａが端末４００ｂにパケットを送信する場合における、本実施形態の通信システムの処理動作を説明するためのシーケンス図である。

ＯＦＳ３００ａは、受信したパケットをＯＦＳ３００ｄに送信する（Ｓ１６０１）。

ＯＦＳ３００ｄは、受信したパケットを判定装置２００に送信する。（Ｓ１６０２）
判定装置２００は、当該パケットの送信元端末が脅威に感染しているか否かを判定する。

判定装置２００は、送信元端末４００ａが脅威に感染していると判定した場合（Ｓ１６０３のＹｅｓ）、感染通知をＯＦＣ１００に送信する（Ｓ１６０４）。

ＯＦＣ１００は、端末４００ａに対応する位置情報に基づいて、制御対象のＯＦＳ３００ａを特定し（Ｓ１６０５）、当該パケットを転送させないためのフローエントリを生成する（Ｓ１６０６）。

ＯＦＣ１００は、生成したフローエントリを特定したＯＦＳ３００ａに送信する（Ｓ１６０７）。

このように、端末４００ａが脅威に感染している場合、ＯＦＣ１００は、位置情報に基づき端末４００ａが接続しているＯＦＳ３００ａを特定し、該ＯＦＳ３００ａに対してパケットを転送させないためのフローエントリを送信する。

これにより、ＯＦＣ１００は、ＯＦＳ３００に対して受信パケットを転送させないよう制御することで、感染端末からの通信によるネットワークへの脅威の感染拡大を防止することができる。

一方、判定部２０３は、送信元端末４００ａが脅威に感染していないと判定した場合（Ｓ１６０３のＮｏ）、再びパケットを受信するまで待機する。

以上の一連の処理により、感染端末の通信によるネットワークへの感染拡大を防止することができる。

以上では、図１６を用いて、端末４００ａが端末４００ｂに送信するパケットがＯＦＳ３００ａとＯＦＳ３００ｄを介して転送される場合における各装置の一連の処理について説明したが、端末４００ｂや端末４００ｃが端末４００ａにパケットを送信する場合など、ＯＦＳ３００ｄを介してパケットが転送される場合は、上記と同様の処理が行われる。

この場合、ＯＦＣ１００は、送信元端末が端末４００ｂである場合はＯＦＳ３００ｂに対してパケットを転送させないためのフローエントリおよび制御情報を送信し、送信元端末が端末４００ｃである場合はＯＦＳ３００ｃに対してパケットを転送させないためのフローエントリおよび制御情報を送信する。

このように、送信元端末（端末４００）が脅威に感染している場合、ＯＦＣ１００は、位置情報に基づき端末４００が接続しているＯＦＳ３００に対し、パケットを転送させないためのフローエントリおよび制御情報を送信する。

このように、端末が脅威に感染している場合、ＯＦＣ１００は位置情報に基づき端末と接続するＯＦＳに対してパケットを転送させないための制御を行う。これにより感染端末の通信によるネットワークへの脅威の感染拡大を防止することができる。

［効果］
本発明の第２の実施形態における通信システムでは、判定装置は、ネットワークを構成する複数のＯＦＳのうちのいずれかのＯＦＳから受信したパケットに基づいて、該パケットの送信元端末が脅威に感染していると判定した場合、ＯＦＣに感染通知を送信する。ＯＦＣは、感染通知を受信すると、送信元端末の位置情報に基づいて特定したＯＦＳに対して、該送信元端末から受信したパケットを転送させないためのフローエントリおよび制御情報を送信する。

これにより、感染端末の通信によるネットワークへの脅威の感染拡大を防止することができる。


［第２の実施形態の変形例］
続いて、第２の実施形態の変形例について説明する。

＜第１の変形例＞
第２の実施形態の第１の変形例について説明する。

第２の実施形態の第１の変形例と上述した第２の実施形態は、ＯＦＣ１００が生成するフローエントリが、該フローエントリが消滅するまでの時間を示す閾値と、該フローエントリがＯＦＳ３００に設定されてから経過した時間（以下、「カウントアップタイマー」と記載する。）と、優先度と、を含む点で相違する。

図１７は、第２の実施形態の第１の変形例において、ＯＦＣ１００が生成し、ＯＦＳ３００ｄに対して送信するフローエントリの一例を示す図である。

図１７に示すフローエントリ１７Ａは、ＯＦＳ３００ｄがＯＦＳ３００ｂにパケットを送信するためのフローエントリである。このフローエントリ１７Ａは、ＯＦＳ３００ｄに設定されてから３０秒で消滅するように設定されており、カウントアップタイマーが閾値（図１７の例では、３０秒）以上になると消滅する。

図１７に示すフローエントリ１７Ｂは、ＯＦＳ３００ｄが判定装置２００にパケットを送信するためのフローエントリである。ＯＦＳ３００ｄは、フローエントリ１７Ａが消滅した後、フローエントリ１７Ｂに従って、判定装置２００にパケットを送信する。

この場合、ＯＦＳ３００ｄは、優先度の高いフローエントリ１７Ａに従って、受信パケットをＯＦＳ３００ｂに送信する。ＯＦＳ３００ｄは、フローエントリ１７Ａが消滅したら、フローエントリ１７Ｂに従って、受信パケットを判定装置２００に送信する。

以上のように、ＯＦＳ３００は、閾値に設定された時間ごとに、判定装置２００に対してパケットを送信するので、判定装置２００に対するパケット送信頻度が低減される。

これにより、判定装置２００は、ＯＦＳ３００が受信した全てのパケットに対して感染有無の判定処理を行う場合に比べて、判定装置２００における端末の感染有無の判定処理を軽減することができる、という効果を奏する。

＜第２の変形例＞
第２の実施形態の第２の変形例について説明する。

第２の実施形態の第２の変形例と上述した第２の実施形態とは、ＯＦＣ１００が生成するフローエントリが、該フローエントリのマッチ条件に合致するパケットの受信回数の閾値と、該フローエントリのマッチ条件に合致するパケットの受信回数（以下、「統計情報」と記載する。）と、優先度と、を含む点で相違する。

図１８は、第２の実施形態の第２の変形例において、ＯＦＣ１００が生成し、ＯＦＳ３００ｄに対して送信するフローエントリの一例を示す図である。

図１８に示すフローエントリ１８Ａは、ＯＦＳ３００ｄがＯＦＳ３００ｂにパケットを送信するためのフローエントリである。このフローエントリは、ＯＦＳ３００ｄがマッチ条件に合致するパケットを１０００回受信したら消滅するように設定されており、統計情報が閾値（図１８の例では、１０００回）以上になると消滅する。

図１８に示すフローエントリ１８Ｂは、ＯＦＳ３００ｄが判定装置２００にパケットを送信するためのフローエントリである。ＯＦＳ３００ｄは、フローエントリ１８Ａが消滅した後、フローエントリ１８Ｂに従って、判定装置２００にパケットを送信する。

この場合、ＯＦＳ３００ｄは、優先度の高いフローエントリ１８Ａに従って、受信パケットをＯＦＳ３００ｂに送信する。ＯＦＳ３００ｄは、フローエントリ１８Ａが消滅したら、フローエントリ１８Ｂに従って、受信パケットを判定装置２００に送信する。

以上のように、ＯＦＳ３００は、フローエントリのマッチ条件に該当するパケットを、閾値に設定されたパケット受信回数ごとに判定装置２００に送信するので、判定装置２００に対するパケット送信頻度が低減される。

これにより、判定装置２００は、ＯＦＳ３００が受信した全てのパケットに対して感染有無の判定処理を行う場合に比べて、端末の感染有無の判定処理を軽減することができる、という効果を奏する。

＜第３の変形例＞
第２の実施形態の第３の変形例について、図面を用いて説明する。

図１９は、本発明にかかる第２の実施形態の第３の変形例の通信システムの構成を示す図である。

第２の実施形態の第３の変形例は、端末４００ａが外部ネットワーク５００と通信しており、かつ判定装置２００が外部ネットワーク５００とのエッジに配置されている点で、第２の実施形態と相違する。

この場合、判定装置２００は、パケットを受信すると、該パケットの送信元端末が脅威に感染しているか否かを判定する。

送信元端末が脅威に感染していると判定した場合、判定装置２００は、ＯＦＣ１００に対して、感染通知と当該パケットを送信する。

一方、送信元端末が脅威に感染していないと判定した場合、判定装置２００は、受信したパケットを外部ネットワーク５００に送信する。

このように、判定装置を外部ネットワークとのエッジに配置することにより、感染端末の通信によるセグメント内および外部ネットワークへの脅威の感染拡大を防止することができる。

１０ 制御装置
１１ 通信部
１２ 記憶部
１３ 位置情報管理部
１４ 判定部
１５ 生成部
１６ 設定部
２０ａ 通信装置
２０ｂ 通信装置
２０ｃ 通信装置
２１ 通信部
２２ 記憶部
２３ パケット処理部
３０ａ 端末
３０ｂ 端末
１００ Ｏｐｅｎ Ｆｌｏｗ Ｃｏｎｔｏｒｏｌｌｅｒ
１０１ 通信部
１０２ 記憶部
１０３ 位置情報管理部
１０４ 取得部
１０５ 経路計算部
１０６ 生成部
１０７ 設定部
２００ 判定装置
２０１ 通信部
２０２ 記憶部
２０３ 判定部
３００ａ Ｏｐｅｎ Ｆｌｏｗ Ｓｗｉｔｃｈ
３００ｂ Ｏｐｅｎ Ｆｌｏｗ Ｓｗｉｔｃｈ
３００ｃ Ｏｐｅｎ Ｆｌｏｗ Ｓｗｉｔｃｈ
３００ｄ Ｏｐｅｎ Ｆｌｏｗ Ｓｗｉｔｃｈ
３０１ 通信部
３０２ 記憶部
３０３ パケット処理部
４００ａ 端末
４００ｂ 端末
４００ｃ 端末

Claims (10)

1. ネットワークを構成する複数の通信装置を制御する制御装置であって、
   前記複数の通信装置のうちのいずれかの通信装置から受信したパケットに基づいて、該パケットの送信元端末が脅威に感染しているか否かを判定する判定部と、
   前記送信元端末が脅威に感染していると判定した場合、前記複数の通信装置のうち、前記送信元端末と接続する通信装置に対して、前記パケットを転送させないための制御情報を送信する設定部と、
   を備えることを特徴とする制御装置。
2. 前記制御情報は、
   前記パケットを破棄させる制御情報である
   ことを特徴とする請求項１に記載の制御装置。
3. 前記制御情報は、
   前記パケットの受信ポートを遮断させる制御情報である
   ことを特徴とする請求項１に記載の制御装置。
4. 前記送信元端末の位置を示す位置情報を保持する記憶部を備え、
   前記生成部は、前記位置情報に基づいて、前記制御情報を生成する
   ことを特徴とする請求項１乃至３のいずれか一項に記載の制御装置。
5. 前記記憶部は、前記送信元端末が脅威に感染しているか否かの判定に用いる照合ファイルを保持し、
   前記判定部は、前記パケットのデータ部分と前記照合ファイルに含まれる情報とを照合することで、前記送信元端末が脅威に感染しているか否かを判定する
   ことを特徴とする請求項１乃至４のいずれか一項に記載の制御装置。
6. 前記制御情報は、フローエントリであって、
   前記フローエントリは、当該フローエントリが削除されるまでの時間を示す時間情報を含む
   ことを特徴とする請求項１に記載の制御装置。
7. ネットワークを構成する複数の通信装置と、
   前記複数の通信装置を制御する制御装置と、
   前記ネットワークと通信する端末が脅威に感染しているか否かを判定する判定装置と、
   を備え、
   前記複数の通信装置のうちのいずれかの通信装置は、
   受信したパケットを、前記判定装置に送信し、
   前記判定装置は、
   前記通信装置から受信したパケットに基づいて、前記パケットの送信元端末が脅威に感染しているか否かを判定し、
   前記制御装置は、
   前記送信元端末が脅威に感染していると判定された場合、前記複数の通信装置のうち、前記送信元端末と接続する通信装置に対して、前記送信元端末から受信したパケットを転送させないための制御情報を送信する
   ことを特徴とする通信システム。
8. 前記制御装置は、
   前記送信元端末が脅威に晒されていないと判定された場合、前記パケットの転送経路を計算し、
   前記送信元端末と接続する通信装置に対して、前記転送経路に従って前記パケットを転送させるための制御情報を送信する
   ことを特徴とする請求項７に記載の通信システム。
9. ネットワークを構成する複数の通信装置を制御する制御装置における制御方法であって、
   前記複数の通信装置のうちのいずれかの通信装置から受信したパケットに基づいて、該パケットの送信元端末が脅威に感染しているか否かを判定し、
   前記送信元端末が脅威に感染していると判定した場合、前記複数の通信装置のうち、前記送信元端末と接続する通信装置に対して、前記パケットを転送させないための制御情報を送信する、
   ことを特徴とする制御方法。
10. ネットワークを構成する複数の通信装置を制御する制御装置を構成するコンピュータに、
    前記複数の通信装置のうちのいずれかの通信装置から受信したパケットに基づいて、該パケットの送信元端末が脅威に感染しているか否かを判定する処理と、
    前記送信元端末が脅威に感染していると判定した場合、前記複数の通信装置のうち、前記送信元端末と接続する通信装置に対して、前記送信元端末から受信したパケットを転送させないための制御情報を送信する処理と、
    を実行させることを特徴とするプログラム。

Images