JP2021040190A - ネットワーク管理装置及びネットワーク管理方法 - Google Patents

ネットワーク管理装置及びネットワーク管理方法 Download PDF

Info

Publication number
JP2021040190A
JP2021040190A JP2019158887A JP2019158887A JP2021040190A JP 2021040190 A JP2021040190 A JP 2021040190A JP 2019158887 A JP2019158887 A JP 2019158887A JP 2019158887 A JP2019158887 A JP 2019158887A JP 2021040190 A JP2021040190 A JP 2021040190A
Authority
JP
Japan
Prior art keywords
router
traffic
edge
defense
routers
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Pending
Application number
JP2019158887A
Other languages
English (en)
Inventor
孝通 西島
Takamichi Nishijima
孝通 西島
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Fujitsu Ltd
Original Assignee
Fujitsu Ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Fujitsu Ltd filed Critical Fujitsu Ltd
Priority to JP2019158887A priority Critical patent/JP2021040190A/ja
Priority to US16/984,719 priority patent/US20210067490A1/en
Publication of JP2021040190A publication Critical patent/JP2021040190A/ja
Pending legal-status Critical Current

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L45/00—Routing or path finding of packets in data switching networks
    • H04L45/74—Address processing for routing
    • H04L45/745—Address table lookup; Address filtering
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L43/00—Arrangements for monitoring or testing data switching networks
    • H04L43/08—Monitoring or testing based on specific metrics, e.g. QoS, energy consumption or environmental parameters
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L47/00—Traffic control in data switching networks
    • H04L47/10—Flow control; Congestion control
    • H04L47/24—Traffic characterised by specific attributes, e.g. priority or QoS
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/02—Network architectures or network communication protocols for network security for separating internal from external traffic, e.g. firewalls
    • H04L63/0227—Filtering policies
    • H04L63/0236—Filtering by address, protocol, port number or service, e.g. IP-address or URL
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/10—Network architectures or network communication protocols for network security for controlling access to devices or network resources
    • H04L63/101—Access control lists [ACL]
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
    • H04L63/1416—Event detection, e.g. attack signature detection
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
    • H04L63/1425—Traffic logging, e.g. anomaly detection
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1441—Countermeasures against malicious traffic
    • H04L63/1458—Denial of Service
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L43/00—Arrangements for monitoring or testing data switching networks
    • H04L43/08—Monitoring or testing based on specific metrics, e.g. QoS, energy consumption or environmental parameters
    • H04L43/0805—Monitoring or testing based on specific metrics, e.g. QoS, energy consumption or environmental parameters by checking availability
    • H04L43/0817—Monitoring or testing based on specific metrics, e.g. QoS, energy consumption or environmental parameters by checking availability by checking functioning
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L43/00—Arrangements for monitoring or testing data switching networks
    • H04L43/08—Monitoring or testing based on specific metrics, e.g. QoS, energy consumption or environmental parameters
    • H04L43/0876—Network utilisation, e.g. volume of load or congestion level
    • H04L43/0882—Utilisation of link capacity

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Environmental & Geological Engineering (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)

Abstract

【課題】 攻撃トラフィックの転送の抑制による他のトラフィックの転送処理の負荷の増加を抑制することができるネットワーク管理装置及びネットワーク管理方法を提供する。【解決手段】 ネットワーク管理装置は、複数のエッジルータと、複数のエッジルータの間の複数の中間ルータとを含むネットワークを管理し、各エッジルータが攻撃対象装置に転送するトラフィックの通信経路をそれぞれ算出する算出部と、通信経路同士が第１ルータで合流するように第２ルータに対しトラフィックの通信経路を設定する設定部と、第１ルータに攻撃トラフィックの転送の抑制を指示する指示部と、通信経路と、ルータの接続関係とに基づいて、エッジルータ及び中間ルータから、ネットワーク内のトラフィックの転送処理の負荷に関する条件が満たされ、かつ、トラフィックをループさせないように第１ルータ及び第２ルータを選択する選択部とを有する。【選択図】図４

Description

本件は、ネットワーク管理装置及びネットワーク管理方法に関する。
例えば、ネットワーク内のサーバを目標とした攻撃として、ＤｏＳ（Denial of Service）攻撃やＤＤｏＳ（Distributed Denial of Service）攻撃がある（例えば特許文献１及び２を参照）。この種の攻撃は、攻撃対象のサーバ（以下、「攻撃対象サーバ」と表記）に大量のＩＰ（Internet Protocol）パケットを送信することにより攻撃対象サーバのリソースを消費させて、攻撃対象サーバのサービスの提供を妨害して停止させるおそれがある。
このような攻撃から攻撃対象サーバを守る手段として、悪意のある攻撃目的のＩＰパケットを含むトラフィック（以下、「攻撃トラフィック」と表記）を検出する検出装置と、攻撃トラフィックの攻撃対象サーバへの転送を制限するファイアウォールなどの防御装置とが挙げられる。
検出装置は、攻撃対象サーバ及び防御装置の間に接続されてトラフィックを監視し、トラフィックの通信量及び挙動などを分析することにより、トラフィックが攻撃トラフィックであるか否かを判定する。これにより、検出装置は、攻撃トラフィックを検出して、攻撃トラフィックの検出通知に加え、攻撃トラフィックの宛先及び送信元を示すアドレス及びポートや攻撃トラフィックのプロトコル種別の情報をネットワークの管理サーバに通知する。
管理サーバは、検出装置から通知された情報に応じて攻撃トラフィックの遮断の設定を防御装置に対して行う。これにより、攻撃対象サーバへの攻撃トラフィックの流入が抑制され、攻撃対象サーバの負荷が低減される。
特開２０１７−５０８３２号公報 特開２００４−２４８１８５号公報
しかし、上記の手法によると、攻撃トラフィックの送信元の装置（以下、「攻撃元装置」と表記）から防御装置に至る通信経路では攻撃トラフィックが抑制されないため、他の通常のトラフィックの帯域が攻撃トラフィックにより圧迫され、正常な通信が妨害されるおそれがある。
これに対し、管理サーバの管理対象外のネットワークとの境に配置されるエッジルータのうち、攻撃トラフィックの流入元のエッジルータが攻撃トラフィックを抑制すれば、他のトラフィックの帯域が圧迫されることを防止することができる。ここで、エッジルータは、例えば、ＡＣＬ（Access Control List）に攻撃トラフィックのアドレス情報を設定登録することにより攻撃トラフィックを廃棄することができる。
しかし、エッジルータなどのルータは、ＩＰパケットの宛先アドレスに基づいてルーティングテーブルを検索することによりＩＰパケットの転送先の方路を決定するため、攻撃トラフィックの送信元アドレスなどの情報から攻撃トラフィックの流入元のエッジルータ（以下、「流入元ルータ」と表記）を特定することはできない。
このため、例えば管理サーバは、ネットワーク内の全てのエッジルータに上記の設定を行えば、流入元ルータを特定する必要がなく、他のトラフィックの帯域を圧迫せずに攻撃トラフィックを抑制することができる。しかし、この方法によると、全てのエッジルータに対して攻撃トラフィックを抑制する設定が行われるため、例えば各エッジルータにおける他のトラフィックの転送処理の負荷が増加するおそれがある。
そこで本件は、攻撃トラフィックの転送の抑制による他のトラフィックの転送処理の負荷の増加を抑制することができるネットワーク管理装置及びネットワーク管理方法を提供することを目的とする。
１つの態様では、ネットワーク管理装置は、複数のエッジルータと、前記複数のエッジルータの間に接続される複数の中間ルータとを含むネットワークを管理するネットワーク管理装置において、前記複数のエッジルータの各々が、前記ネットワークの外部から攻撃を受ける攻撃対象装置に転送するトラフィックの通信経路をそれぞれ算出する算出部と、
前記通信経路同士が第１ルータで合流するように第２ルータに対しトラフィックの前記通信経路を設定する設定部と、前記第１ルータに前記攻撃のトラフィックの転送の抑制を指示する指示部と、前記通信経路と、前記複数のエッジルータ及び前記複数の中間ルータの接続関係とに基づいて、前記複数のエッジルータ及び前記複数の中間ルータから、前記ネットワーク内のトラフィックの転送処理の負荷に関する条件が満たされ、かつ、トラフィックをループさせないように前記第１ルータ及び前記第２ルータを選択する選択部とを有する。
１つの態様では、ネットワーク管理方法は、複数のエッジルータと、前記複数のエッジルータの間に接続される複数の中間ルータとを含むネットワークを管理するネットワーク管理方法において、前記複数のエッジルータの各々が、前記ネットワークの外部から攻撃を受ける攻撃対象装置に転送するトラフィックの通信経路をそれぞれ算出し、前記通信経路同士が第１ルータで合流するように第２ルータに対しトラフィックの前記通信経路を設定し、前記第１ルータに前記攻撃のトラフィックの転送の抑制を指示し、前記通信経路と前記複数のエッジルータ及び前記複数の中間ルータの接続関係とに基づいて、前記複数のエッジルータ及び前記複数の中間ルータから、前記ネットワーク内のトラフィックの転送処理の負荷に関する条件が満たされ、かつ、トラフィックをループさせないように前記第１ルータ及び前記第２ルータを選択する方法である。
１つの側面として、攻撃トラフィックの転送の抑制による他のトラフィックの転送処理の負荷の増加を抑制することができる。
第１比較例のネットワークシステムを示す構成図である。 第２比較例のネットワークシステムを示す構成図である。 実施例のネットワーク管理サーバが経路情報を収集する動作の一例を示す図である。 実施例のネットワーク管理サーバが防御設定及び経路設定を行う動作例を示す図である。 ネットワーク管理サーバの一例を示す構成図である。 第１設定例における経路情報の取得動作を示す図である。 選択条件及び優先条件の一覧表と条件データベースの一例とを示す図である。 第１設定例における防御ルータ及び合流ルータの選択方法を示す図（その１）である。 第１設定例における経路設定時の経路データベース及び設定データベースを示す図（その１）である。 第１設定例における防御ルータ及び合流ルータの選択方法を示す図（その２）である。 第１設定例における経路設定時の経路データベース及び設定データベースを示す図（その２）である。 ネットワーク管理サーバの動作の一例を示すフローチャートである。 第１設定例における防御ルータ及び合流ルータの選択処理のフローチャートである。 第２設定例における経路情報の取得動作を示す図である。 第２設定例における経路データベース、隣接関係データベース、条件データベース、及びネットワーク情報データベースを示す図である。 第２設定例における防御ルータ及び合流ルータの組み合わせの選択方法を示す図である。 第２設定例における経路設定時の経路データベース及び設定データベースを示す図である。 第２設定例における防御ルータ及び合流ルータの選択処理のフローチャートである。 第３設定例における条件データベース及びネットワーク情報データベースを示す図である。 第３設定例における防御ルータ及び合流ルータの組み合わせの選択方法を示す図である。 第３設定例における経路設定時の経路データベース及び設定データベースを示す図である。 第３設定例における防御ルータ及び合流ルータの選択処理のフローチャートである。 第４設定例の設定方法を示す図である。 第４設定例における防御ルータ及び合流ルータの選択処理のフローチャートである。
（第１比較例）
図１は、第１比較例のネットワークシステムを示す構成図である。ネットワークシステムには、ＮＥ（Network Element）−ＯｐＳ（Operation System）などのネットワーク（ＮＷ）管理サーバ１ｘ、ファイアウォール２、検出装置３、攻撃対象サーバ４、及びネットワーク９が含まれる。
ＮＷ管理サーバ１ｘは、例えばＮＥ−ＯｐＳなどのサーバであり、ネットワーク９を管理する。ネットワーク９には、ネットワーク９と外部ネットワークＮＷａ〜ＮＷｄの境界にそれぞれ配置された複数のエッジルータ５、及び、エッジルータ５間に接続された複数の中間ルータ６が含まれる。ＮＷ管理サーバ１ｘは、不図示の管理用の他のネットワークを介して各エッジルータ５及び各中間ルータ６と通信する。
例えばエッジルータ５には、識別子としてルータＩＤ「＃１」〜「＃４」がそれぞれ付与されている。また、例えば中間ルータ６には、識別子としてルータＩＤ「＃５」及び「＃６」が付与されている。以降の説明では、例えば識別子「＃１」のエッジルータ５を「エッジルータ（＃１）」と表記し、識別子「＃５」の中間ルータ６を「中間ルータ（＃５）」と表記する。なお、各中間ルータ６としては、コアルータが挙げられるが、これに限定されない。
中間ルータ（＃６）６は、中間ルータ（＃５）６、及びエッジルータ（＃４）５と隣接し、中間ルータ（＃５）６は、エッジルータ（＃１）５、エッジルータ（＃２）５、及びエッジルータ（＃３）５と隣接する。また、エッジルータ（＃１）５〜エッジルータ（＃４）５は、外部ネットワークＮＷａ〜ＮＷｄにそれぞれ接続されている。ここで、攻撃対象サーバ４を攻撃するサーバなどの攻撃元装置７ａ，７ｄは、一例として外部ネットワークＮＷａ,ＮＷｄに接続されている。なお、攻撃対象サーバ４は、攻撃を受ける攻撃対象装置の一例である。
ファイアウォール２は、ネットワーク９内の中間ルータ（＃６）６と検出装置３の間に接続されている。ファイアウォール２は、攻撃元装置７ａ，７ｄから攻撃対象サーバ４への攻撃トラフィックの転送を制限する。
検出装置３は、ファイアウォール２及び攻撃対象サーバ４の間に接続され、攻撃トラフィックを検出する。検出装置３は、例えばネットワーク９から攻撃対象サーバ４に転送されるトラフィックを監視するソフトウェア及びハードウェアの少なくとも一方が実装されたコンピュータである。検出装置３は、トラフィックの通信量及び挙動などを分析することによりトラフィックが攻撃トラフィックであるか否かを判定する。
検出装置３は、攻撃トラフィックを検出すると、攻撃トラフィックの検出通知（「攻撃検出」参照）に加え、攻撃トラフィックの宛先及び送信元を示すアドレス及びポートや攻撃トラフィックのプロトコル種別の情報（以下、「攻撃情報」と表記）をネットワークの管理サーバに送信する。ＮＷ管理サーバ１ｘは、検出装置３から攻撃検出の通知を受けると、攻撃情報に基づいてファイアウォール２に攻撃トラフィックに対する防御設定を行う。
ファイアウォール２は、防御設定のアドレスリスト２０に基づき、例えば攻撃トラフィックを遮断する。アドレスリスト２０には、攻撃トラフィックの送信元アドレス、宛先アドレス、及び処理内容が設定される。送信元アドレスには、攻撃元装置７ａ，７ｄのアドレス「Ａ」，「Ｄ」が設定され、宛先アドレスには、攻撃対象サーバ４のアドレス「Ｘ」が設定され、処理内容には「遮断」が設定されている。なお、処理内容「遮断」は、送信元アドレス及び宛先アドレスが一致する攻撃トラフィックを廃棄することを意味する。
このため、攻撃元装置７ａの攻撃トラフィックは、矢印Ｒａで示さるように、エッジルータ（＃１）５を介しファイアウォール２まで転送されるが、攻撃対象サーバ４に到達しない。また、攻撃元装置７ｄの攻撃トラフィックは、矢印Ｒｄで示さるように、エッジルータ（＃４）５を介しファイアウォール２まで転送されるが、攻撃対象サーバ４に到達しない。これにより、攻撃対象サーバ４への攻撃トラフィックの流入が抑制され、攻撃対象サーバ４の負荷が低減される。
しかし、攻撃元装置７ａの攻撃トラフィックは、エッジルータ（＃１）５から中間ルータ（＃５）６に至る区間、及び中間ルータ（＃５）６からファイアウォール２に至る区間を伝送する。また、攻撃元装置７ｄの攻撃トラフィックは、エッジルータ（＃４）５から中間ルータ（＃６）６に至る区間、及び中間ルータ（＃６）６からファイアウォール２に至る区間を伝送する。
このため、外部ネットワークＮＷａ〜ＮＷｄからエッジルータ（＃１）５〜エッジルータ（＃４）５を介して転送される正常なトラフィックの帯域が、中間ルータ（＃６）６において攻撃トラフィックと合流することで圧迫され、正常な通信が妨害されるおそれがある。
これに対し、攻撃トラフィックの流入元のエッジルータ（＃１）５及びエッジルータ（＃４）５（以下、「流入元ルータ」と表記）が攻撃トラフィックを抑制すれば、他のトラフィックの帯域が圧迫されることを防止することができる。エッジルータ５及び中間ルータ６は、例えば、攻撃情報に基づいてＡＣＬに攻撃トラフィックのアドレス情報を登録することにより攻撃トラフィックを廃棄することができる。
しかし、エッジルータ５及び中間ルータ６は、ＩＰパケットの宛先アドレスに基づいてルーティングテーブルを検索することによりＩＰパケットの転送先の方路を決定するため、攻撃トラフィックの送信元アドレスなどの情報から流入元ルータを特定することはできない。
このため、例えばＮＷ管理サーバ１ｘは、ネットワーク９内の全てのエッジルータ５に攻撃トラフィックの制限設定を行う。
（第２比較例）
図２は、第２比較例のネットワークシステムを示す構成図である。図２において、図１と共通する構成には同一の符号を付し、その説明は省略する。
本例では、ＮＷ管理サーバ１ｘに代わって、ＮＷ管理サーバ１ｙがネットワーク９を管理する。ＮＷ管理サーバ１ｙは、検出装置３から攻撃トラフィックの検出通知を受けると、各エッジルータ５にそれぞれ攻撃トラフィックの防御設定を行う。これにより、各エッジルータ５のＡＣＬ５０には、アドレスリスト２０と同様の内容が設定される。
このため、攻撃元装置７ａの攻撃トラフィックは、矢印Ｒａで示されるように、エッジルータ（＃１）５において転送が制限され、中間ルータ（＃６）６に到達しない。また、攻撃元装置７ｄの攻撃トラフィックは、矢印Ｒｄで示されるように、エッジルータ（＃４）５において転送が制限され、中間ルータ（＃６）６に到達しない。
したがって、ＮＷ管理サーバ１ｙは、流入元ルータを特定する必要がなく、他のトラフィックの帯域を圧迫せずに攻撃トラフィックを抑制することができる。
しかし、この方法によると、全てのエッジルータ５に対して攻撃トラフィックの防御設定が行われるため、例えば各エッジルータ５における他の正常なトラフィックの転送処理の負荷が増加するおそれがある。
（実施例）
そこで実施例のＮＷ管理サーバ１は、攻撃対象サーバ４宛てのトラフィックの通信経路同士がエッジルータ５または中間ルータ６において合流するように他のエッジルータ５に対し通信経路を設定し、合流先のエッジルータ５または中間ルータ６に防御設定を行う。このため、防御設定対象のルータ数が第２比較例の場合より減少するので、ＮＷ管理サーバ１は、防御設定による他のトラフィックの転送処理の負荷の増加を抑制することができる。
図３は、実施例のＮＷ管理サーバ１が経路情報を収集する動作の一例を示す図である。図３において、図１と共通する構成には同一の符号を付し、その説明は省略する。ＮＷ管理サーバ１は、ネットワーク９を管理するネットワーク管理装置の一例である。なお、本例においてファイアウォール２は設けられなくてもよい。
ＮＷ管理サーバ１は、検出装置３から攻撃トラフィックの検出通知を受けると、各エッジルータ５が攻撃対象サーバ４に転送するトラフィックの通信経路Ｒを算出する。このため、例えばＮＷ管理サーバ１は、各エッジルータ５及び各中間ルータ６から経路情報を収集する。経路情報は、例えば各エッジルータ５及び各中間ルータ６のルーティングテーブルに登録されている。
経路情報には、それぞれ、トラフィックの宛先の識別子、及び次の転送先のエッジルータ５または中間ルータ６の識別子＃１〜＃６（ＮＥＸＴ ＨＯＰ）が含まれる。なお、経路情報には、実際には宛先及び転送先のＩＰアドレスが含まれるが、ＮＷ管理サーバ１はＩＰアドレスを識別子に変換して管理するため、ここではＩＰアドレスを識別子として説明する。
一例として、エッジルータ（＃１）５の経路情報５１は、攻撃対象サーバ４のアドレス「Ｘ」を宛先とするトラフィックの転送先を中間ルータ（＃５）６とする経路設定を示す。このため、エッジルータ（＃１）５は、経路情報５１に従って、宛先アドレス「Ｘ」のトラフィックを、通信経路Ｒ１５を介して中間ルータ（＃５）６に転送する。
また、エッジルータ（＃２）５は、経路情報５２に従って、宛先アドレス「Ｘ」のトラフィックを、通信経路Ｒ２５を介して中間ルータ（＃５）６に転送する。エッジルータ（＃３）５は、経路情報５３に従って、宛先アドレス「Ｘ」のトラフィックを、通信経路Ｒ３５を介して中間ルータ（＃５）６に転送する。なお、他のエッジルータ５及び中間ルータ６にも、経路情報５１〜５３と同様の経路情報を有する。
ＮＷ管理サーバ１は、各エッジルータ５及び各中間ルータ６の経路情報に基づいて攻撃対象サーバ４宛てのトラフィックの通信経路Ｒ１５，Ｒ２５，Ｒ３５，Ｒ５６，Ｒ４６を算出する。例えばエッジルータ（＃１）５が攻撃対象サーバ４に転送するトラフィックは、中間ルータ（＃５）６及び中間ルータ（＃５）６を経由する通信経路Ｒ１５，Ｒ５６を通る。
また、例えばエッジルータ（＃４）５が攻撃対象サーバ４に転送するトラフィックは、エッジルータ（＃４）５及び中間ルータ（＃６）６を経由する通信経路Ｒ４６を通る。なお、ＮＷ管理サーバ１は、上記の手法に限定されず、例えば操作者が入力した経路情報、または他のデータベースから取得した経路情報から通信経路を算出してもよい。
ＮＷ管理サーバ１は、通信経路同士がエッジルータ５または中間ルータ６で合流するように経路設定を行い、そのエッジルータ５または中間ルータ６に防御設定を行う。
図４は、実施例のＮＷ管理サーバ１が防御設定及び経路設定を行う動作例を示す図である。図４において、図３と共通する構成には同一の符号を付し、その説明は省略する。
ＮＷ管理サーバ１は、エッジルータ（＃１）５及びエッジルータ（＃２）５が攻撃対象サーバ４に転送するトラフィックの通信経路同士が合流するようにエッジルータ（＃２）５に通信経路を設定する（「経路設定」参照）。エッジルータ（＃２）５の経路情報５２が示す転送先は、経路設定によりエッジルータ（＃１）５に設定される。
エッジルータ（＃２）５は、経路情報５２に従って、攻撃対象サーバ４宛てのトラフィックの転送先をエッジルータ（＃３）５からエッジルータ（＃２）５に切り替える。このため、エッジルータ（＃２）５は、攻撃対象サーバ４宛てのトラフィックを、中間ルータ（＃５）６に向かう通信経路Ｒ２５（図３参照）ではなく、エッジルータ（＃１）５に向かう通信経路Ｒ２１に送信する。
したがって、エッジルータ（＃２）５から攻撃対象サーバ４に至るトラフィックは通信経路Ｒ２１，Ｒ１５，Ｒ５６を経由する。また、エッジルータ（＃１）５から攻撃対象サーバ４に至るトラフィックは通信経路Ｒ１５，Ｒ５６を経由する。このため、エッジルータ（＃２）５からの通信経路Ｒ２１，Ｒ１５，Ｒ５６、及びエッジルータ（＃１）５からの通信経路Ｒ１５，Ｒ５６はエッジルータ（＃１）５で合流する。つまり、エッジルータ（＃１）５及びエッジルータ（＃２）５のトラフィックが合流する。
ＮＷ管理サーバ１は、通信経路の合流位置のエッジルータ（＃１）５に防御設定を行う（「防御設定」参照）。これにより、エッジルータ（＃１）５は攻撃トラフィックの転送を抑制する。なお、防御設定のＡＣＬ５０の内容は上記のとおりである。
また、ＮＷ管理サーバ１は、エッジルータ（＃３）５及びエッジルータ（＃４）５が攻撃対象サーバ４に転送するトラフィックの通信経路同士が合流するようにエッジルータ（＃３）５に通信経路を設定する（「経路設定」参照）。エッジルータ（＃３）５の経路情報５３が示す転送先は、経路設定によりエッジルータ（＃４）５に設定される。
エッジルータ（＃３）５は、経路情報５３に従って、攻撃対象サーバ４宛てのトラフィックの転送先を中間ルータ（＃５）６からエッジルータ（＃４）５に切り替える。このため、エッジルータ（＃３）５は、攻撃対象サーバ４宛てのトラフィックを、中間ルータ（＃５）６に向かう通信経路Ｒ３５（図３参照）ではなく、エッジルータ（＃４）５に向かう通信経路Ｒ３４に送信する。
したがって、エッジルータ（＃３）５から攻撃対象サーバ４に至るトラフィックは通信経路Ｒ３４，Ｒ４６を経由する。また、エッジルータ（＃４）５から攻撃対象サーバ４に至るトラフィックは通信経路Ｒ４６を経由する。このため、エッジルータ（＃３）５からの通信経路Ｒ３４，Ｒ４６、及びエッジルータ（＃４）５からの通信経路Ｒ４６はエッジルータ（＃４）５で合流する。つまり、エッジルータ（＃３）５及びエッジルータ（＃４）５のトラフィックが合流する。
ＮＷ管理サーバ１は、通信経路の合流位置のエッジルータ（＃４）５に防御設定を行う（「防御設定」参照）。これにより、エッジルータ（＃４）５は攻撃トラフィックの転送を抑制する。
このように、ＮＷ管理サーバ１は、エッジルータ（＃２）５に対する経路設定により攻撃対象サーバ４宛てのトラフィックをエッジルータ（＃１）５に集め、エッジルータ（＃３）５に対する経路設定により攻撃対象サーバ４宛てのトラフィックをエッジルータ（＃４）５に集めることができる。ＮＷ管理サーバ１は、トラフィックが集まるエッジルータ（＃１）５及びエッジルータ（＃４）５に防御設定を行い、他のエッジルータ（＃２）５及びエッジルータ（＃３）５には防御設定を行わない。
したがって、ＮＷ管理サーバ１は、防御設定対象のエッジルータ５の数を第２比較例の場合より低減することができる。このため、ＮＷ管理サーバ１は、防御設定による他のトラフィックの転送処理の負荷の増加を抑制することができる。
なお、以下の説明では、防御設定対象のエッジルータ５を「防御ルータ」と表記し、経路設定対象のエッジルータ５を「合流ルータ」と表記する。
（ＮＷ管理サーバ１の構成）
図５は、ＮＷ管理サーバ１の一例を示す構成図である。ＮＷ管理サーバ１は、ＣＰＵ（Central Processing Unit）１０、ＲＯＭ（Read Only Memory）１１、ＲＡＭ（Random Access Memory）１２、ＨＤＤ（Hard Disk Drive）１３、通信ポート１４、入力装置１５、及び出力装置１６を有する。ＣＰＵ１０は、互いに信号の入出力ができるように、ＲＯＭ１１、ＲＡＭ１２、ＨＤＤ１３、通信ポート１４、入力装置１５、及び出力装置１６と、バス１９を介して接続されている。
ＲＯＭ１１は、ＣＰＵ１０を駆動するプログラムを格納する。ＲＡＭ１２は、ＣＰＵ１０のワーキングメモリとして機能する。通信ポート１４は、例えば無線ＬＡＮ（Local Area Network）カードやＮＩＣ（Network Interface Card）であり、エッジルータ５及び中間ルータ６とＣＰＵ１０の間の通信を処理する。
入力装置１５は、ユーザがＣＰＵ１０に情報を入力するための装置である。入力装置１５としては、例えばキーボード、マウス、及びタッチパネルなどが挙げられる。入力装置１５は、入力された情報を、バス１９を介しＣＰＵ１０に出力する。
出力装置１６は、ＣＰＵ１０の情報を外部に出力するための装置である。出力装置１６としては、例えばディスプレイ及びタッチパネルなどが挙げられる。出力装置１６は、ＣＰＵ１０からバス１９を介して情報を取得して出力する。
ＣＰＵ１０は、ＲＯＭ１１からプログラムを読み込むと、ソフトウェアの機能として、動作制御部１００、攻撃検出部１０１、経路算出部１０２、ネットワーク（ＮＷ）情報取得部１０３、ルータ選択部１０４、防御設定処理部１０５、及び経路設定処理部１０６を形成する。動作制御部１００、攻撃検出部１０１、経路算出部１０２、NW情報取得部１０３、ルータ選択部１０４、防御設定処理部１０５、及び経路設定処理部１０６は、ソフトウェアの機能とともに、またはソフトウェアの機能に代えて、例えばＦＰＧＡ（Field Programmable Gate Array）やＡＳＩＣ（Application Specified Integrated Circuit）などの回路として形成されてもよい。
また、ＨＤＤ１３は、経路データベース（ＤＢ）１３０、隣接関係ＤＢ１３１、ネットワーク（ＮＷ）情報ＤＢ１３２、条件ＤＢ１３３、及び設定ＤＢ１３４を格納する。なお、経路ＤＢ１３０、隣接関係ＤＢ１３１、ＮＷ情報ＤＢ１３２、条件ＤＢ１３３、及び設定ＤＢ１３４の格納手段は、ＨＤＤ１３に限定されず、ＨＤＤ１３に代えて、またはＨＤＤ１３とともに、メモリなどの他の格納手段であってもよい。
動作制御部１００は、ＮＷ管理サーバ１の全体の動作を制御する。動作制御部１００は、所定のアルゴリズムに従い攻撃検出部１０１、経路算出部１０２、ＮＷ情報取得部１０３、ルータ選択部１０４、防御設定処理部１０５、及び経路設定処理部１０６に対して動作を指示する。
攻撃検出部１０１は、検出装置３からの攻撃検出の通知に従って攻撃トラフィックを検出する。例えば攻撃検出部１０１は、通信ポート１４を介し、検出装置３から攻撃トラフィックの検出通知、及び攻撃トラフィックの送信元アドレス及び帯域などの攻撃情報を受信する。攻撃検出部１０１は、攻撃トラフィックの検出通知及び攻撃情報を動作制御に出力する。なお、攻撃検出部１０１は、検出装置３と同様の機能を備えることにより、ネットワーク９から攻撃対象サーバ４に送信されるトラフィックから直接的に攻撃トラフィックを検出してもよい。
経路算出部１０２は、算出部の一例であり、各エッジルータ５が攻撃対象サーバ４に転送するトラフィックの通信経路をそれぞれ算出する。このため、経路算出部１０２は、通信ポート１４を介し、各エッジルータ５及び各中間ルータ６から経路情報を取得する（図３参照）。なお、経路算出部１０２は、これに限定されず、例えば入力装置１５から入力された経路情報を取得してもよい。
経路算出部１０２は、経路情報を経路ＤＢ１３０に登録する。経路ＤＢ１３０には、転送元ルータＩＤと転送先ルータＩＤが登録されている。転送元ルータＩＤは、トラフィックの転送元のエッジルータ５または中間ルータ６のルータＩＤであり、転送先ルータＩＤは、トラフィックの転送先のエッジルータ５または中間ルータ６のルータＩＤである。
経路算出部１０２は、経路情報内のＩＰアドレスを転送元ルータＩＤ及び転送先ルータＩＤに変換する。なお、転送先が検出装置３である場合には、転送先ルータＩＤとして「−」が登録される。
経路算出部１０２は、経路ＤＢ１３０内の各経路情報を組み合わせることにより攻撃対象サーバ４宛てのトラフィックの通信経路を算出する。例えば経路算出部１０２は、ネットワーク９内の各エッジルータ５及び各中間ルータ６の経路情報に基づいて、各エッジルータ５から攻撃対象サーバ４に至るまでのトラフィックの転送先を順に辿る。
ＮＷ情報取得部１０３は、各エッジルータ５及び各中間ルータ６からＮＷ情報を取得する。ＮＷ情報取得部１０３は、通信ポート１４を介して各エッジルータ５及び各中間ルータ６にＮＷ情報を要求する。各エッジルータ５及び各中間ルータ６は、ＮＷ情報取得部１０３からの要求に応じてＮＷ情報をＮＷ管理サーバ１に送信する。
ＮＷ情報は、例えば各エッジルータ５及び各中間ルータ６のトラフィックの転送処理の負荷（％）であり、ルータ選択部１０４により防御ルータ及び合流ルータの選択に用いられる。各エッジルータ５及び各中間ルータ６は、トラフィックの転送処理を実行するＣＰＵの負荷（％）を送信する。
ＮＷ情報取得部１０３は、ＮＷ情報をＮＷ情報ＤＢ１３２に登録する。ＮＷ情報が各エッジルータ５及び各中間ルータ６のトラフィックの転送処理の負荷である場合、ＮＷ情報ＤＢ１３２には、例えばルータＩＤ及び負荷が登録される。例えばエッジルータ（＃１）５の負荷は３０（％）である。
ルータ選択部１０４は、経路ＤＢ１３０から算出した通信経路及び隣接関係ＤＢ１３１に基づいて、各エッジルータ５及び各中間ルータ６から、所定の選択条件が満たされ、かつ、トラフィックがループしないように防御ルータ及び合流ルータを選択する。なお、防御ルータは第１ルータの一例であり、合流ルータは第２ルータの一例である。
選択条件は、ネットワーク９内のトラフィックの転送処理の負荷に関する条件の一例である。例えばルータ選択部１０４は、防御ルータのトラフィックの転送処理の負荷が閾値以下とする選択条件を用いる場合、負荷を示すＮＷ情報ＤＢ１３２に基づき防御ルータを選択する。
ルータ選択部１０４は、負荷の閾値が５０（％）である場合、ＮＷ情報ＤＢ１３２に基づき、負荷が５０（％）以下であるエッジルータ（＃１）５、エッジルータ（＃３）５、及びエッジルータ（＃４）５から防御ルータを設定する。さらにルータ選択部１０４は、負荷が低いエッジルータ５及び中間ルータ６を優先する優先条件に従って防御ルータを最終的に選択する。選択条件及び優先条件は条件ＤＢ１３３に登録されている。なお、選択条件及び優先条件のバリエーションについては後述する。
これにより、ルータ選択部１０４は、できるだけ負荷が少ない防御ルータを選択することができる。このため、防御ルータは、防御設定による攻撃トラフィックの抑制を行っても、転送処理の負荷に余裕があるため、ネットワーク９内のトラフィックの転送処理の負荷に対する影響を抑えることができる。
また、ルータ選択部１０４は、通信経路及び隣接関係ＤＢ１３１に基づき、防御ルータに向かう通信経路を設定することができるエッジルータ５のうち、防御ルータとの間でトラフィックをループさせない合流ルータを選択する。このため、エッジルータ５は、経路設定によりトラフィックが攻撃対象サーバ４に到達できなくなることが防止される。なお、ルータ選択部１０４は、防御ルータに向かう通信経路を設定することができ、かつ選択条件を満たすエッジルータ５がない場合、合流ルータを選択せずに防御ルータのみを選択する。なお、ルータ選択部１０４は選択部の一例である。
隣接関係ＤＢ１３１は、各エッジルータ５及び各中間ルータ６の隣接関係を示す情報である。隣接関係ＤＢ１３１には、ルータＩＤ及び隣接ルータＩＤが登録される。隣接ルータＩＤは、ルータＩＤが示すエッジルータ５または各中間ルータ６に隣接するエッジルータ５及び各中間ルータ６のルータＩＤである。例えばエッジルータ（＃１）５は、エッジルータ（＃２）５及び中間ルータ（＃５）６に隣接する。
例えば動作制御部１００は、予め入力装置１５から入力されたネットワーク９内の各エッジルータ５及び各中間ルータ６の接続情報を隣接関係ＤＢ１３１に登録する。なお、隣接関係ＤＢ１３１が示す隣接関係は、各エッジルータ５及び各中間ルータ６の間の接続関係の一例である。
ルータ選択部１０４は、選択した防御ルータ及び合流ルータに基づいて設定ＤＢ１３４を設定する。設定ＤＢ１３４には、ルータＩＤ、ルータ種別、設定種別、及び防御ルータＩＤが登録される。ルータ種別は、ルータＩＤが示すルータが、エッジルータ５（「エッジ」）及び中間ルータ６（非エッジ）の何れであるかを示す。設定種別は、ルータＩＤが示すエッジルータ５または中間ルータ６に行われる設定の種類（防御設定、経路設定、または設定なし（「−」））を示す。防御ルータＩＤは、設定種別が経路設定であるルータ、つまり合流ルータである場合、合流ルータに対応する防御ルータのルータＩＤである。
例えば動作制御部１００は、予め入力装置１５から入力されたネットワーク９内の構成情報に基づいて設定ＤＢ１３４のルータＩＤ及びルータ種別を登録する。また、ルータ選択部１０４は、設定ＤＢ１３４の設定種別及び防御ルータＩＤを登録する。
ルータ選択部１０４は、防御ルータのルータＩＤに対応する設定種別に防御設定を登録し、合流ルータのルータＩＤに対応する設定種別に経路設定を登録する。さらにルータ選択部１０４は、合流ルータのルータＩＤに対応する防御ルータＩＤに、防御ルータのルータＩＤを登録する。
図４の例の場合、ルータ選択部１０４は、エッジルータ（＃１）５及びエッジルータ（＃４）５を防御ルータとして選択するため、設定ＤＢ１３４のルータＩＤ「＃１」及び「＃４」の設定種別に防御設定を登録する。また、ルータ選択部１０４は、エッジルータ（＃２）５及びエッジルータ（＃３）５を合流ルータとして選択するため、設定ＤＢ１３４のルータＩＤ「＃２」及び「＃３」の設定種別に経路設定を登録する。また、ルータ選択部１０４は、エッジルータ（＃１）５及びエッジルータ（＃２）５の組み合わせと、エッジルータ（＃４）５及びエッジルータ（＃３）５の組み合わせとが防御ルータ及び合流ルータの組み合わせとなるため、設定ＤＢ１３４のルータＩＤ「＃２」及び「＃３」に応じた防御ルータＩＤ「＃１」及び「＃４」をそれぞれ登録する。
また、防御設定処理部１０５は、指示部の一例であり、防御ルータに攻撃トラフィックの転送の抑制を指示する。例えば防御設定処理部１０５は、設定ＤＢ１３４に基づき、防御ルータに対し、通信ポート１４を介して防御設定の情報を送信する。例えば防御設定処理部１０５は、設定ＤＢ１３４の設定種別が防御設定であるエッジルータ（＃１）５及びエッジルータ（＃４）５に防御設定を行う。これにより、エッジルータ（＃１）５及びエッジルータ（＃４）５のＡＣＬ５０は、図４に示されるように設定される。
経路設定処理部１０６は、設定部の一例であり、通信経路同士が防御ルータで合流するように合流ルータに対しトラフィックの通信経路を設定する。例えば経路設定処理部１０６は、設定ＤＢ１３４に基づき、合流ルータに対し、通信ポート１４を介して経路設定のための経路情報を送信する。例えば経路設定処理部１０６は、設定ＤＢ１３４の設定種別が経路設定であるエッジルータ（＃２）５及びエッジルータ（＃３）５に経路設定を行う。
これにより、エッジルータ（＃２）５及びエッジルータ（＃３）５は、図４の例の場合、経路情報を更新することにより、攻撃対象サーバ宛てのトラフィックの出力先の方路を通信経路Ｒ２１，Ｒ３４に切り替える。このため、攻撃対象サーバ宛てのトラフィックは、エッジルータ（＃１）５及びエッジルータ（＃４）５に送信され、他の攻撃対象サーバ４宛てのトラフィックに合流する。
以下に防御ルータ及び合流ルータの設定例を述べる。
（第１設定例）
図６は、第１設定例における経路情報の取得動作を示す図である。図６において、図３と共通する構成には同一の符号を付し、その説明は省略する。
本例では、図３の例とは異なり、エッジルータ（＃３）５は、攻撃対象サーバ４宛てのトラフィックを、通信経路Ｒ３４を介してエッジルータ（＃４）５に転送する。エッジルータ（＃３）５の経路情報５３は、宛先がアドレス「Ｘ」であるトラフィックの転送先としてエッジルータ（＃４）５を示す。
図７は、選択条件及び優先条件の一覧表９０，９１と条件ＤＢ１３３の一例とを示す図である。例えばユーザは、出力装置１６に表示された選択条件の一覧表９０及び優先条件の一覧表９１から１以上の選択条件及び優先条件を選択する。
選択条件は、防御ルータの候補、または防御ルータ及び合流ルータの組み合わせの候補を、エッジルータ５及び中間ルータ６から選択するための条件である。また、優先条件は、防御ルータの候補、または防御ルータ及び合流ルータの組み合わせの候補から最終的に防御ルータ、または防御ルータ及び合流ルータの組み合わせを決定するための条件である。なお、選択条件及び優先条件は、互いに同一内容の条件がある。
一覧表９０の各選択条件にはＩＤ「＃１」〜「＃８」が付与されている。また、一覧表９１の各優先条件にはＩＤ「＃１」〜「＃７」が付与されている。ユーザは、１以上の選択条件のＩＤ、及び１以上の優先条件のＩＤを選択する。動作制御部１００は、入力装置から入力されたユーザの選択したＩＤに従って条件ＤＢ１３３を生成する。
ＩＤ「＃１」の選択条件「ルータ種別」は、防御ルータがエッジルータ５の１つであることである。図１を参照して述べたように、攻撃トラフィック以外の正常なトラフィックの帯域が圧迫されないように、防御ルータはエッジルータ５であることが望ましい。このため、本優先条件によると、エッジルータ５が防御ルータとして選択される。
ＩＤ「＃２」の選択条件「ルータの負荷」は、防御ルータのトラフィックの転送処理の負荷が閾値以下であることである。エッジルータ５及び中間ルータ６は、転送処理の負荷が高いと、攻撃トラフィックの検出及び廃棄を迅速に行うことができないため、負荷が高いエッジルータ５及び中間ルータ６は本選択条件により防御ルータの候補から除外される。
ＩＤ「＃３」の選択条件「ルータの性能」は、防御ルータのトラフィックの転送処理の性能の高さの指標値が閾値以上であることである。エッジルータ５及び中間ルータ６は、転送処理の性能が低いと、攻撃トラフィックの検出及び廃棄を迅速に行うことができないため、性能が低いエッジルータ５及び中間ルータ６は本選択条件により防御ルータの候補から除外される。
ＩＤ「＃４」の選択条件「ＡＣＬ設定量」は、防御ルータのＡＣＬ５０の設定量が閾値以下であることである。ＡＣＬ５０には、攻撃トラフィックなどの望ましくないトラフィックの流入を防止する設定が登録される。エッジルータ５及び中間ルータ６は、トラフィックの送信元アドレス及び宛先アドレスなどに基づいてＡＣＬ５０を検索することにより該当トラフィックを検出する。
このため、エッジルータ５及び中間ルータ６は、ＡＣＬ５０の設定量が高いほど、トラフィックの検索処理に時間がかかり、攻撃トラフィックの検出及び廃棄を迅速に行うことができないので、設定量が多いエッジルータ５及び中間ルータ６は、本選択条件により防御ルータの候補から除外される。
ＩＤ「＃５」の選択条件「リンク使用率」は、防御ルータと合流ルータの間の各リンクの帯域の使用率が閾値以下であることである。攻撃トラフィックが流れるリンクの使用率が高いほど、他の正常なトラフィックが圧迫されるため、使用率が高いリンクで結ばれるエッジルータ５及び中間ルータ６は、本選択条件により防御ルータ及び合流ルータの組み合わせの候補から除外される。
ＩＤ「＃６」の選択条件「リンク空き帯域」は、防御ルータと合流ルータの間の各リンクの空き帯域が閾値以下であることである。攻撃トラフィックが流れるリンクの空き帯域が少ないほど、他の正常なトラフィックが圧迫されるため、空き帯域が少ないリンクで結ばれるエッジルータ５及び中間ルータ６は、本選択条件により防御ルータ及び合流ルータの組み合わせの候補から除外される。
ＩＤ「＃７」の選択条件「ルータ間ホップ数」は、防御ルータと合流ルータの間のホップ数が閾値以下であることである。なお、ホップ数は距離の一例である。攻撃トラフィックが流れる距離が長いほど、他の正常なトラフィックが圧迫されるため、互いの距離が長いエッジルータ５及び中間ルータ６は、本選択条件により防御ルータ及び合流ルータの組み合わせの候補から除外される。
ＩＤ「＃８」の選択条件「距離増加量」は、経路設定による合流ルータから攻撃対象サーバ４までのホップ数の増加量が閾値以下であることである。なお、ホップ数は距離の一例である。経路設定により攻撃トラフィックだけでなく、通常のトラフィックの通信経路も変更される。通常のトラフィックが流れる距離が長いほど、そのトラフィックを転送処理するエッジルータ５または中間ルータ６の数が増加する。このため、攻撃対象サーバ４までの距離が大きく増加するエッジルータ５及び中間ルータ６は、本選択条件により防御ルータ及び合流ルータの組み合わせの候補から除外される。
ＩＤ「＃１」の優先条件「ルータ種別」は、防御ルータの選択においてエッジルータ５を優先することである。図１を参照して述べたように、攻撃トラフィック以外の正常なトラフィックの帯域が圧迫されないように、防御ルータはエッジルータ５であることが望ましい。このため、本優先条件によると、エッジルータ５が優先的に防御ルータとして選択される。
ＩＤ「＃２」の優先条件「ルータの負荷」は、防御ルータの選択においてトラフィックの転送処理の負荷が低いエッジルータ５及び中間ルータ６を優先することである。エッジルータ５及び中間ルータ６は、転送処理の負荷が高いと、攻撃トラフィックの検出及び廃棄を迅速に行うことができないため、負荷が低いエッジルータ５及び中間ルータ６は本優先条件により優先的に防御ルータとして選択される。
ＩＤ「＃３」の優先条件「ルータの性能」は、防御ルータの選択においてトラフィックの転送処理の性能の高さの指標値が高いエッジルータ５及び中間ルータ６を優先することである。エッジルータ５及び中間ルータ６は、転送処理の性能が低いと、攻撃トラフィックの検出及び廃棄を迅速に行うことができないため、性能が高いエッジルータ５及び中間ルータ６は本優先条件により優先的に防御ルータとして選択される。
ＩＤ「＃４」の優先条件「ＡＣＬ設定量」は、防御ルータの選択においてＡＣＬ５０の設定量が少ないエッジルータ５及び中間ルータ６を優先することである。エッジルータ５及び中間ルータ６は、ＡＣＬ５０の設定量が高いほど、トラフィックの検索処理に時間がかかり、攻撃トラフィックの検出及び廃棄を迅速に行うことができないため、設定量が少ないエッジルータ５及び中間ルータ６は、本優先条件により優先的に防御ルータとして選択される。
ＩＤ「＃５」の優先条件「ＡＣＬ設定残量」は、防御ルータの選択においてＡＣＬ５０の設定量の残りが多いエッジルータ５及び中間ルータ６を優先することである。エッジルータ５及び中間ルータ６は、ＡＣＬ５０の設定量が高いほど、トラフィックの検索処理に時間がかかり、攻撃トラフィックの検出及び廃棄を迅速に行うことができないため、設定量の残りが多いエッジルータ５及び中間ルータ６は、本優先条件により優先的に防御ルータとして選択される。
ＩＤ「＃６」の優先条件「合流ルータ数」は、防御ルータの選択において、防御ルータとして選択したときの合流ルータの数が多いエッジルータ５及び中間ルータ６を優先することである。１つの防御ルータにトラフィックを転送可能な合流ルータの数が多いほど、ネットワーク９内の防御ルータの数は減るため、防御ルータとして選択したときの合流ルータの数が多いエッジルータ５及び中間ルータ６は、本優先条件により優先的に防御ルータとして選択される。
ＩＤ「＃７」の優先条件「距離増加量」は、経路設定による合流ルータから攻撃対象サーバ４までのホップ数の増加量が閾値以下であることである。なお、ホップ数は距離の一例である。通常のトラフィックが流れる距離が長いほど、そのトラフィックを転送処理するエッジルータ５または中間ルータ６の数が増加する。このため、攻撃対象サーバ４までの距離が大きく増加するエッジルータ５及び中間ルータ６は、本優先条件により防御ルータ及び合流ルータの組み合わせの候補から除外される。
このように、選択条件及び優先条件は、ネットワーク９内のトラフィックの転送処理の負荷に関連する。したがって、ルータ選択部１０４は、選択条件及び優先条件に従って防御ルータ、または防御ルータ及び合流ルータの組み合わせを選択することによりトラフィックの転送処理の負荷が低減される。
本例において、ユーザは、ＩＤ「＃２」の選択条件「ルータの負荷」、ＩＤ「＃７」の選択条件「ルータ間ホップ数」、及びＩＤ「＃２」の優先条件「ルータの負荷」を一覧表９０，９１から選択する。動作制御部１００は、選択された選択条件及び優先条件を条件ＤＢ１３３に登録する。なお、各選択条件の閾値は、限定されず、ユーザが予め設定してもよいし、固定値であってもよい。
条件ＤＢ１３３には、条件種別、ＩＤ、及び閾値が登録される。条件種別は、選択条件及び優先条件の何れかを示す。ＩＤは選択条件または優先条件のＩＤである。閾値は、選択条件に用いられる閾値である。
本例では、ルータ選択部１０４は、ＩＤ「＃２」の選択条件「ルータの負荷」に従って、負荷が５０（％）以下のエッジルータ５及び中間ルータ６から防御ルータの候補を抽出する。さらにルータ選択部１０４は、ＩＤ「＃２」の優先条件「ルータの負荷」に従って、防御ルータの候補から最終的な防御ルータを選択する。
また、ルータ選択部１０４は、ＩＤ「＃７」の選択条件「ルータ間ホップ数」に従って、防御ルータとの距離が１ホップ以下であるエッジルータ５から合流ルータを選択する。以下に選択の方法を述べる。
図８は、第１設定例における防御ルータ及び合流ルータの選択方法を示す図（その１）である。ルータ選択部１０４は、経路ＤＢ１３０に基づくトラフィックの通信経路Ｒ１５，Ｒ２５，Ｒ５６，Ｒ３４，Ｒ４６のグラフＧａを生成する。
ルータ選択部１０４は、グラフＧａ上のエッジルータ５及び中間ルータ６から、ＩＤ「＃２」の選択条件「ルータの負荷」に従って、防御ルータの候補を抽出する。ルータ選択部１０４は、ＮＷ情報ＤＢ１３２から、５０（％）以下の負荷のエッジルータ（＃１）５、エッジルータ（＃３）５、及びエッジルータ（＃４）５を防御ルータの候補として抽出する。さらにルータ選択部１０４は、防御ルータの候補（点線枠参照）から、ＩＤ「＃２」の優先条件「ルータの負荷」に従い最低の負荷のエッジルータ（＃１）５を防御ルータとして選択する。
また、ルータ選択部１０４は、ＩＤ「＃７」の選択条件「ルータ間ホップ数」に従って、隣接関係ＤＢ１３１に基づいて、防御ルータとの距離が１ホップ以下であるエッジルータ５から合流ルータを選択する。ルータ選択部１０４は、防御ルータとして選択されたエッジルータ（＃１）５との距離が１ホップであるエッジルータ（＃２）５を合流ルータとして選択する。エッジルータ（＃２）５は、防御ルータであるエッジルータ（＃１）５と通信経路が合流するように経路設定される。
図９は、第１設定例における経路設定時の経路ＤＢ１３０及び設定ＤＢ１３４を示す図（その１）である。グラフＧｂは、エッジルータ（＃２）５に対する経路設定後のトラフィックの通信経路Ｒ１２，Ｒ１５，Ｒ５６，Ｒ３４，Ｒ４６を示す。合流ルータであるエッジルータ（＃２）５の通信経路Ｒ２５は、防御ルータに向かう通信経路Ｒ１２に切り替わる。
ルータ選択部１０４は、通信経路Ｒ１２，Ｒ１５から防御ルータ及び合流ルータの間でトラフィックがループするか否かを判定する。防御ルータ及び合流ルータの間でトラフィックのループ関係が成立しないため、ルータ選択部１０４は、経路ＤＢ１３０の更新及び設定ＤＢ１３４の登録を行う。
ルータ選択部１０４は、通信経路の切り替えに従って経路ＤＢ１３０を更新する。これにより、転送元ルータＩＤ「＃２」の転送先ルータＩＤが「＃５」から「＃１」に更新される。
また、ルータ選択部１０４は、防御ルータ及び合流ルータの選択結果に従って設定ＤＢ１３４に防御ルータ及び合流ルータを登録する。これにより、ルータＩＤ「＃１」の設定種別に防御設定が登録され、ルータＩＤ「＃２」の設定種別に経路設定が登録される。また、ルータＩＤ「＃２」の防御ルータＩＤに「＃１」が登録される。
ルータ選択部１０４は、ネットワーク９内の全てのエッジルータ５を防御ルータまたは合流ルータとして選択する。このため、ルータ選択部１０４は、残りのエッジルータ（＃３）５及びエッジルータ（＃４）５から防御ルータ及び合流ルータを選択する。
図１０は、第１設定例における防御ルータ及び合流ルータの選択方法を示す図（その２）である。ルータ選択部１０４は、防御ルータの残りの候補（点線枠参照）から、ＩＤ「＃２」の優先条件「ルータの負荷」に従い最低の負荷のエッジルータ（＃３）５を防御ルータとして選択する。
また、ルータ選択部１０４は、ＩＤ「＃７」の選択条件「ルータ間ホップ数」に従って、隣接関係ＤＢ１３１に基づいて、防御ルータとの距離が１ホップ以下であるエッジルータ５から合流ルータを選択する。ここで、合流ルータの候補としてエッジルータ（＃４）５だけが残っており、隣接関係ＤＢ１３１からエッジルータ（＃３）５とエッジルータ（＃４）５の距離が１ホップである。
したがって、ルータ選択部１０４は、エッジルータ（＃４）５を合流ルータとして選択する。エッジルータ（＃２）５は、防御ルータであるエッジルータ（＃１）５に通信経路が合流するように経路設定される。
グラフＧｃは、エッジルータ（＃２）５に対する経路設定後のトラフィックの通信経路Ｒ１２，Ｒ１５，Ｒ５６，Ｒ３４，Ｒ４３を示す。ここでは、合流ルータであるエッジルータ（＃４）５の通信経路Ｒ４６は、防御ルータに向かう通信経路Ｒ４３に切り替わる。
ルータ選択部１０４は、通信経路Ｒ３４，Ｒ４３から防御ルータ及び合流ルータの間でトラフィックがループするか否かを判定する。防御ルータ及び合流ルータの間でトラフィックのループ関係が成立するため、ルータ選択部１０４は防御ルータの選択をやり直す。このため、ルータ選択部１０４は、ＩＤ「＃２」の優先条件「ルータの負荷」に従い２番目に低い負荷のエッジルータ（＃４）５を防御ルータとして選択する。
図１１は、第１設定例における経路設定時の経路ＤＢ１３０及び設定ＤＢ１３４を示す図（その２）である。グラフＧｄは、エッジルータ（＃２）５に対する経路設定後のトラフィックの通信経路Ｒ１２，Ｒ１５，Ｒ５６，Ｒ３４，Ｒ４６を示す。なお、本例では、合流ルータであるエッジルータ（＃３）５の通信経路Ｒ３４は、経路設定の前後で変化しない。
ルータ選択部１０４は、通信経路Ｒ３４，Ｒ４６から防御ルータ及び合流ルータの間でトラフィックがループするか否かを判定する。防御ルータ及び合流ルータの間でトラフィックのループ関係が成立しないため、ルータ選択部１０４は、経路ＤＢ１３０の更新及び設定ＤＢ１３４の登録を行う。ただし、本例では、合流ルータであるエッジルータ（＃３）５の通信経路は変化しないため、更新前後で経路ＤＢ１３０の内容は変わらない。
ルータ選択部１０４は、防御ルータ及び合流ルータの選択結果に従って設定ＤＢ１３４に防御ルータ及び合流ルータを登録する。これにより、ルータＩＤ「＃４」の設定種別に防御設定が登録され、ルータＩＤ「＃３」の設定種別に経路設定が登録される。また、ルータＩＤ「＃３」の防御ルータＩＤに「＃４」が登録される。
このようにして、ルータ選択部１０４は、防御ルータ及び合流ルータの組み合わせを選択する。
図１２は、ＮＷ管理サーバ１の動作の一例を示すフローチャートである。攻撃検出部１０１は、検出装置３からの検出通知に基づいて攻撃トラフィックを検出したか否かを判定する（ステップＳｔ１）。攻撃トラフィックが検出されていない場合（ステップＳｔ１のＮｏ）、再びステップＳｔ１の処理が実行される。
次に経路算出部１０２は、エッジルータ５及び中間ルータ６から経路情報を取得する（ステップＳｔ２）。このとき、経路算出部１０２は、経路情報を経路ＤＢ１３０に登録する。次に経路算出部１０２は、経路ＤＢ１３０に基づき攻撃対象サーバ４宛てのトラフィックの通信経路を算出する（ステップＳｔ３）。
次にルータ選択部１０４は、防御ルータ及び合流ルータの組み合わせを選択する（ステップＳｔ４）。なお、選択処理については後述する。次に防御設定処理部１０５は、防御ルータに防御設定を行う（ステップＳｔ５）。次に経路設定処理部１０６は、合流ルータに経路設定を行う（ステップＳｔ６）。このようにして、ＮＷ管理サーバ１は動作する。
図１３は、第１設定例における防御ルータ及び合流ルータの選択処理のフローチャートである。選択処理は、上記のステップＳｔ４において実行される。
ＮＷ情報取得部１０３は、条件ＤＢ１３３に登録されたＩＤ「＃２」の選択条件「ルータの負荷」及びＩＤ「＃２」の優先条件「ルータの負荷」に応じて、エッジルータ５及び中間ルータ６から負荷情報を取得する（ステップＳｔ１１）。このとき、ＮＷ情報取得部１０３は、負荷情報をＮＷ情報ＤＢ１３２に登録する。
次にルータ選択部１０４は、ＩＤ「＃２」の選択条件「ルータの負荷」に従って、ＮＷ情報ＤＢ１３２から、負荷が５０（％）以下のエッジルータ５及び中間ルータ６を防御ルータの候補として抽出する（ステップＳｔ１２）。次にルータ選択部１０４は、ＩＤ「＃２」の優先条件「ルータの負荷」に従って、防御ルータの候補から、最低の負荷のエッジルータ５を防御ルータとして選択する（ステップＳｔ１３）。
次にルータ選択部１０４は、ＩＤ「＃７」の選択条件「ルータ間ホップ数」に従って、隣接関係ＤＢ１３１に基づいて、防御ルータとの距離が１ホップ以下であるエッジルータ５から合流ルータを選択する（ステップＳｔ１４）。このとき、ルータ選択部１０４は、防御ルータに向かう通信経路を設定することができる未選択のエッジルータ５がない場合、合流ルータを選択しない。
次にルータ選択部１０４は、攻撃対象サーバ４宛てのトラフィックの通信経路から、防御ルータと合流ルータの間にトラフィックのループ関係が成立するか否かを判定する（ステップＳｔ１５）。ルータ選択部１０４は、ループ関係が成立する場合（ステップＳｔ１５のＹｅｓ）、防御ルータの候補から、２番目に低い負荷のエッジルータ５を防御ルータとして選択する（ステップＳｔ１６）。その後、再びステップＳｔ１４以降の処理が行われる。
ルータ選択部１０４は、ループ関係が成立しない場合（ステップＳｔ１５のＮｏ）、防御ルータ及び合流ルータの情報を、上述したように設定ＤＢ１３４に登録する（ステップＳｔ１７）。次にルータ選択部１０４は、合流ルータの通信経路に従って経路ＤＢ１３０を更新する（ステップＳｔ１８）。
次にルータ選択部１０４は、防御ルータ及び合流ルータの選択結果に応じて防御ルータの候補を更新する（ステップＳｔ１９）。これにより、選択済みのエッジルータ５及び中間ルータ６は候補から除外される。
次にルータ選択部１０４は、防御ルータまたは合流ルータとして未選択のエッジルータ５の有無を判定する（ステップＳｔ２０）。未選択のエッジルータ５が無い場合（ステップＳｔ２０のＮｏ）、処理は終了する。また、未選択のエッジルータ５が有る場合（ステップＳｔ２０のＹｅｓ）、防御ルータの候補の有無を判定する（ステップＳｔ２１）。
候補が有る場合（ステップＳｔ２１のＹｅｓ）、ステップＳｔ１３以降の各処理が再び実行される。候補が無い場合（ステップＳｔ２１のＮｏ）、処理は終了する。このようにして、選択処理は実行される。
このように、ルータ選択部１０４は、ＩＤ「＃２」の選択条件「ルータの負荷」が満たされるように、負荷が５０（％）以下のエッジルータ５及び中間ルータ６を防御ルータとして選択する。このため、防御ルータは、防御設定による攻撃トラフィックの抑制を行っても、転送処理の負荷に余裕があるため、ネットワーク９内のトラフィックの転送処理の負荷に対する影響を抑えることができる。
また、ルータ選択部１０４は、ＩＤ「＃７」の選択条件「ルータ間ホップ数」が満たされるように、防御ルータとの距離が１ホップ以下であるエッジルータ５から合流ルータを選択する。このため、攻撃トラフィックが流れる距離が短縮され、他の正常なトラフィックの圧迫を低減することができる。
（第２設定例）
図１４は、第２設定例における経路情報の取得動作を示す図である。図１４において、図６と共通する構成には同一の符号を付し、その説明は省略する。
本例では、図６の例とは異なり、エッジルータ（＃３）５は、攻撃対象サーバ４宛てのトラフィックを、通信経路Ｒ３５を介して中間ルータ（＃５）６に転送する。エッジルータ（＃３）５の経路情報５３は、宛先がアドレス「Ｘ」であるトラフィックの転送先として中間ルータ（＃５）６を示す。また、エッジルータ（＃２）５及びエッジルータ（＃３）５は、図６の例と異なり、リンクを介して接続されている。
図１５は、第２設定例における経路ＤＢ１３０、隣接関係ＤＢ１３１、条件ＤＢ１３３、及びＮＷ情報ＤＢ１３２ａ，１３２ｂを示す図である。
経路ＤＢ１３０は、図１４に示された攻撃対象サーバ４宛てのトラフィックの通信経路に対応する。隣接関係ＤＢ１３１は、第１設定例の隣接関係ＤＢ１３１と比べると、エッジルータ（＃２）５及びエッジルータ（＃３）５が隣接関係にある点において相違する。
条件ＤＢ１３３には、第１設定例の条件ＤＢ１３３と比べると、ＩＤ「＃５」の優先条件「リンク使用率」が追加され、また、ＩＤ「＃２」の優先条件「ルータの負荷」に代えてＩＤ「＃６」の優先条件「合流ルータ数」が登録されている。
また、ＮＷ情報ＤＢ１３２ａには、エッジルータ５及び中間ルータ６の負荷が登録されている。また、ＮＷ情報ＤＢ１３２ｂは、エッジルータ５及び中間ルータ６の間の各リンクの帯域の使用率が登録されている。例えば、エッジルータ（＃１）５とエッジルータ（＃２）５の間のリンクを示すリンクＩＤは「＃１−＃２」と表記され、その使用率は６０（％）である。また、中間ルータ（＃５）６と中間ルータ（＃６）６の間のリンクを示すリンクＩＤは「＃５−＃６」と表記され、その使用率は４０（％）である。
ＮＷ情報ＤＢ１３２ａ，１３２ｂは、第１設定例のＮＷ情報ＤＢ１３２に代えてＨＤＤ１３に格納されている。ＮＷ情報取得部１０３は、エッジルータ５及び中間ルータ６から転送処理の負荷情報を取得してＮＷ情報ＤＢ１３２ａに登録し、エッジルータ５及び中間ルータ６からリンクの帯域情報を取得してＮＷ情報ＤＢ１３２ｂに登録する。ＮＷ情報ＤＢ１３２ａは、ＩＤ「＃１」の選択条件「ルータ種別」の成否の判定に用いられ、ＮＷ情報ＤＢ１３２ｂは、ＩＤ「＃５」の優先条件「リンク使用率」の成否の判定に用いられる。
ルータ選択部１０４は、条件ＤＢ１３３の選択条件及び優先条件に従って、防御ルータ及び合流ルータの組み合わせを選択する。
図１６は、第２設定例における防御ルータ及び合流ルータの組み合わせの選択方法を示す図である。ルータ選択部１０４は、符号Ｈａで示されるように、隣接関係ＤＢ１３１に基づき、ＩＤ「＃７」の選択条件「ルータ間ホップ数」を満たす防御ルータ及び合流ルータの組み合わせの候補を抽出する。符号Ｈａは、各エッジルータ５及び各中間ルータ６を防御ルータとしたときの防御ルータ及び合流ルータの対応関係を示す。なお、合流ルータＩＤは、合流ルータのルータＩＤを示す。合流ルータの候補はエッジルータ５から抽出される。
次にルータ選択部１０４は、符号Ｈｂで示されるように、ＩＤ「＃２」の選択条件「ルータの負荷」を満たす防御ルータの候補を残して、他の候補を削除する。このため、ＮＷ情報ＤＢ１３２ａが示す負荷が５０（％）以下のエッジルータ（＃１）５、エッジルータ（＃２）５、及びエッジルータ（＃４）５だけが防御ルータの候補として残る。
次にルータ選択部１０４は、符号Ｈｃで示されるように、ＩＤ「＃５」の選択条件「リンク使用率」を満たす防御ルータ及び合流ルータの組み合わせの候補を残して、他の候補を削除する。このため、ＮＷ情報ＤＢ１３２ｂが示す使用率が５０（％）以下であるリンクＩＤ「＃２−＃３」に応じたエッジルータ（＃２）５及びエッジルータ（＃３）５の組み合わせが残る。
次にルータ選択部１０４は、ＩＤ「＃６」の優先条件「合流ルータ数」に従って、合流ルータ数が最大である防御ルータ及び合流ルータの組み合わせを選択する（点線枠参照）。このため、合流ルータ数が最大数（１個）のエッジルータ（＃２）５及びエッジルータ（＃３）５の組み合わせが、防御ルータ及び合流ルータの組み合わせとして選択される。なお、他のエッジルータ（＃２）５及びエッジルータ（＃３）５は防御ルータ単体の候補として残り最終的に防御ルータとして選択される。
図１７は、第２設定例における経路設定時の経路ＤＢ１３０及び設定ＤＢ１３４を示す図である。グラフＧｅは、エッジルータ（＃３）５に対する経路設定後のトラフィックの通信経路Ｒ２５，Ｒ３２，Ｒ１５，Ｒ５６，Ｒ４６を示す。合流ルータであるエッジルータ（＃３）５の通信経路Ｒ３５は、その対応する防御ルータであるエッジルータ（＃２）５に向かう通信経路Ｒ３２に切り替わる。
ルータ選択部１０４は、通信経路Ｒ３２，Ｒ２５を確認することで防御ルータ及び合流ルータの間でトラフィックがループするか否かを判定する。防御ルータ及び合流ルータの間でトラフィックのループ関係が成立しないため、ルータ選択部１０４は、経路ＤＢ１３０の更新及び設定ＤＢ１３４の登録を行う。
ルータ選択部１０４は、通信経路の切り替えに従って経路ＤＢ１３０を更新する。これにより、転送元ルータＩＤ「＃３」の転送先ルータＩＤが「＃５」から「＃２」に更新される。
また、ルータ選択部１０４は、防御ルータ及び合流ルータの選択結果に従って設定ＤＢ１３４に防御ルータ及び合流ルータを登録する。これにより、ルータＩＤ「＃１」，「＃２」，「＃４」の設定種別に防御設定が登録され、ルータＩＤ「＃３」の設定種別に経路設定が登録される。また、ルータＩＤ「＃３」の防御ルータＩＤに「＃２」が登録される。
図１８は、第２設定例における防御ルータ及び合流ルータの選択処理のフローチャートである。図１８において、図１３と共通する処理には同一の符号を付し、その説明は省略する。
ＮＷ情報取得部１０３は、条件ＤＢ１３３に登録されたＩＤ「＃２」の選択条件「ルータの負荷」に応じて、エッジルータ５及び中間ルータ６から負荷情報を取得する（ステップＳｔ１１ａ）。このとき、ＮＷ情報取得部１０３は、負荷情報をＮＷ情報ＤＢ１３２ａに登録する。
次にＮＷ情報取得部１０３は、条件ＤＢ１３３に登録されたＩＤ「＃５」の選択条件「リンク使用率」に応じて、エッジルータ５及び中間ルータ６からリンクの帯域情報を取得する（ステップＳｔ１１ｂ）。このとき、ＮＷ情報取得部１０３は、帯域情報に基づきリンクごとの帯域の使用率を算出してＮＷ情報ＤＢ１３２ｂに登録する。
次にルータ選択部１０４は、ＩＤ「＃７」の選択条件「ルータ間ホップ数」を満たす防御ルータ及び合流ルータの組み合わせの候補を隣接関係ＤＢに基づき抽出する（ステップＳｔ１２ａ）。次にルータ選択部１０４は、防御ルータ及び合流ルータの組み合わせの候補を、ＩＤ「＃２」の選択条件「ルータの負荷」とＩＤ「＃５」の選択条件「リンク使用率」を満たす候補に限定する（ステップＳｔ１３ａ）。
次にルータ選択部１０４は、ＩＤ「＃６」の優先条件「合流ルータ数」に従って、合流ルータ数が最大の防御ルータ及び合流ルータの組み合わせを選択する（ステップＳｔ１４ａ）。
次にルータ選択部１０４は、攻撃対象サーバ４宛てのトラフィックの通信経路から、防御ルータと合流ルータの間にトラフィックのループ関係が成立するか否かを判定する（ステップＳｔ１５）。ルータ選択部１０４は、ループ関係が成立する場合（ステップＳｔ１５のＹｅｓ）、防御ルータ及び合流ルータの組み合わせの候補から、合流ルータ数が２番目に大きい防御ルータ及び合流ルータの組み合わせを選択する（ステップＳｔ１６ａ）。その後、再びステップＳｔ１５以降の処理が行われる。また、ループ関係が成立しない場合（ステップＳｔ１５のＮｏ）、ステップＳｔ１７以降の各処理が実行される。
また、ルータ選択部１０４は、防御ルータの候補が有る場合（ステップＳｔ２１のＹｅｓ）、合流ルータの候補の有無を判定する（ステップＳｔ２２）。合流ルータの候補が無い場合（ステップＳｔ２２のＮｏ）、防御ルータの候補を設定ＤＢ１３４に登録する（ステップＳｔ２３）。また、合流ルータの候補が有る場合（ステップＳｔ２２のＹｅｓ）、再びステップＳｔ１４ａ以降の各処理が実行される。このようにして、選択処理は実行される。
このように、ルータ選択部１０４は、ＩＤ「＃５」の選択条件「リンク使用率」が満たされるように、互いを結ぶリンクの帯域の使用率が５０（％）以下である防御ルータ及び合流ルータの組み合わせを選択する。このため、防御ルータ及び合流ルータの間のリンクの使用率が低いので、攻撃トラフィックの他の正常なトラフィックへの圧迫が低減される。
また、ルータ選択部１０４は、ＩＤ「＃６」の優先条件「合流ルータ数」に従って、合流ルータ数の多さを優先して防御ルータ及び合流ルータの組み合わせを選択する。このため、ネットワーク９内の防御ルータの数は減るので、攻撃対象サーバ４宛てのトラフィックの転送処理の負荷が低減される。
（第３設定例）
図１９は、第３設定例における条件ＤＢ１３３及びＮＷ情報ＤＢ１３２を示す図である。条件ＤＢ１３３は、第２設定例の条件ＤＢ１３３からＩＤ「＃２」の選択条件「ルータの負荷」を除いたものである。ＮＷ情報ＤＢ１３２は、第２設定例のＮＷ情報ＤＢ１３２ｂとは使用率の値が異なる。なお、経路ＤＢ１３０及び隣接関係ＤＢ１３１は第２設定例と同一である。
図２０は、第３設定例における防御ルータ及び合流ルータの組み合わせの選択方法を示す図である。符号Ｈｄ，Ｈｅで示される表は、上記の符号Ｈａ〜Ｈｃで示される表と同様である。
ルータ選択部１０４は、符号Ｈｄで示されるように、隣接関係ＤＢ１３１に基づき、ＩＤ「＃７」の選択条件「ルータ間ホップ数」を満たす防御ルータ及び合流ルータの組み合わせの候補を抽出する。
次にルータ選択部１０４は、符号Ｈｅで示されるように、ＩＤ「＃５」の選択条件「リンク使用率」を満たす防御ルータ及び合流ルータの組み合わせの候補を残して、他の候補を削除する。このため、ＮＷ情報ＤＢ１３２が示す使用率が５０（％）より大きいリンクＩＤの組み合わせは符号Ｈｄの表から削除される。
次にルータ選択部１０４は、ＩＤ「＃６」の優先条件「合流ルータ数」に従って、合流ルータ数が最大である防御ルータ及び合流ルータの組み合わせを選択する（点線枠参照）。このため、合流ルータ数が最大数（２個）のエッジルータ（＃３）５及びエッジルータ（＃２）５の組み合わせと、エッジルータ（＃３）５及びエッジルータ（＃４）５の組み合わせとが、防御ルータ及び合流ルータの組み合わせとして選択される。なお、他のエッジルータ（＃１）５は防御ルータ単体の候補として残り最終的に防御ルータとして選択される。
図２１は、第３設定例における経路設定時の経路ＤＢ１３０及び設定ＤＢ１３４を示す図である。ルータ選択部１０４は、ネットワーク９のグラフＧｆを生成する。グラフＧｆは、エッジルータ（＃３）５に対する経路設定後のトラフィックの通信経路Ｒ１５，Ｒ２３，Ｒ５６，Ｒ３５，Ｒ４３，Ｒ４６を示す。合流ルータであるエッジルータ（＃２）５の通信経路Ｒ２５は、その対応する防御ルータであるエッジルータ（＃３）５に向かう通信経路Ｒ２３に切り替わる。
ルータ選択部１０４は、通信経路Ｒ２３，Ｒ４３を確認することで防御ルータ及び合流ルータの間でトラフィックがループするか否かを判定する。防御ルータ及び合流ルータの間でトラフィックのループ関係が成立しないため、ルータ選択部１０４は、経路ＤＢ１３０の更新及び設定ＤＢ１３４の登録を行う。
ルータ選択部１０４は、通信経路の切り替えに従って経路ＤＢ１３０を更新する。これにより、転送元ルータＩＤ「＃２」の転送先ルータＩＤが「＃５」から「＃３」に更新される。
また、ルータ選択部１０４は、防御ルータ及び合流ルータの選択結果に従って設定ＤＢ１３４に防御ルータ及び合流ルータを登録する。これにより、ルータＩＤ「＃１」及び「＃３」の設定種別に防御設定が登録され、ルータＩＤ「＃２」及び「＃４」の設定種別に経路設定が登録される。また、ルータＩＤ「＃２」及び「＃４」の防御ルータＩＤに「＃３」が登録される。
図２２は、第３設定例における防御ルータ及び合流ルータの選択処理のフローチャートである。図２２において、図１８と共通する処理には同一の符号を付し、その説明は省略する。
ＮＷ情報取得部１０３は、条件ＤＢ１３３に登録されたＩＤ「＃５」の選択条件「リンク使用率」に応じて、エッジルータ５及び中間ルータ６からリンクの帯域情報を取得する（ステップＳｔ１１ｂ）。このとき、ＮＷ情報取得部１０３は、帯域情報に基づきリンクごとの帯域の使用率を算出してＮＷ情報ＤＢ１３２に登録する。
次にルータ選択部１０４は、ＩＤ「＃７」の選択条件「ルータ間ホップ数」を満たす防御ルータ及び合流ルータの組み合わせの候補を隣接関係ＤＢに基づき抽出する（ステップＳｔ１２ａ）。次にルータ選択部１０４は、防御ルータ及び合流ルータの組み合わせの候補を、ＩＤ「＃５」の選択条件「リンク使用率」を満たす候補に限定する（ステップＳｔ１３ｂ）。
その後、上記のステップＳｔ１４ａ以降の各処理が実行される。このようにして、選択処理は実行される。このように、ルータ選択部１０４は、ＩＤ「＃５」の選択条件「リンク使用率」、ＩＤ「＃７」の選択条件「ルータ間ホップ数」、及びＩＤ「＃６」の優先条件「合流ルータ数」を用いて合流ルータ及び防御ルータを選択するため、第２設定例と同様の効果が得られる。
（第４設定例）
図２３は、第４設定例の設定方法を示す図である。本例の経路ＤＢ１３０及び隣接関係ＤＢ１３１は第３設定例と同一であると仮定する。
条件ＤＢ１３３には、ＩＤ「＃３」の選択条件「ルータの性能」、ＩＤ「＃７」の選択条件「ルータ間ホップ数」、及びＩＤ「＃１」の優先条件「ルータの種別」が登録されている。本例では、第１〜第３設定例とは異なり、時間的に変動するネットワーク９の状態とは無関係なパラメータの選択条件及び優先条件が用いられる。
一例として「ルータの性能」の高さは、エッジルータ５及び中間ルータ６のＣＰＵの動作周波数を換算した指標値で表わされる。「ルータ性能」の高さの指標値は、一例として予めＮＷ情報ＤＢ１３２としてＨＤＤ１３に格納されている。
ＩＤ「＃３」の選択条件「ルータの性能」は、指標値が５点以上のエッジルータ５及び中間ルータ６を条件としている。例えばエッジルータ（＃１）５〜エッジルータ（＃３）５の指標値は３点であり、エッジルータ（＃４）５の指標値は５点であり、中間ルータ（＃５）６及び中間ルータ（＃６）６の指標値が７点であると仮定する。
このため、ルータ選択部１０４は、防御ルータの候補として、指標値が５点以上であるエッジルータ（＃４）５、中間ルータ（＃５）６、及び中間ルータ（＃６）６を抽出する。また、ルータ選択部１０４は、ＩＤ「＃１」の優先条件「ルータの種別」に従って、エッジルータ５を優先して防御ルータの候補を選択する。このため、ルータ選択部１０４は、エッジルータ（＃４）５を選択する。
ルータ選択部１０４は、隣接関係ＤＢ１３１に基づき、ＩＤ「＃７」の選択条件「ルータ間ホップ数」を満たす防御ルータ及び合流ルータの組み合わせを選択する。このため、防御ルータ及び合流ルータの組み合わせとして、エッジルータ（＃４）５及びエッジルータ（＃３）５が選択される。
また、ルータ選択部１０４は、残りの防御ルータの候補のうち、ＩＤ「＃７」の選択条件「ルータ間ホップ数」を満たす防御ルータ及び合流ルータの組み合わせとして、中間ルータ（＃５）６とエッジルータ（＃１）５及びエッジルータ（＃２）５を選択する。
ルータ選択部１０４は、ネットワーク９のグラフＧｇを生成する。グラフＧｇは、エッジルータ（＃３）５に対する経路設定後のトラフィックの通信経路Ｒ１５，Ｒ２５，Ｒ５６，Ｒ３４，Ｒ４６を示す。合流ルータであるエッジルータ（＃３）５の通信経路Ｒ３５は、その対応する防御ルータであるエッジルータ（＃４）５に向かう通信経路Ｒ３４に切り替わる。
ルータ選択部１０４は、通信経路Ｒ３４，Ｒ４６を確認することで防御ルータ及び合流ルータの間でトラフィックがループするか否かを判定する。防御ルータ及び合流ルータの間でトラフィックのループ関係が成立しないため、ルータ選択部１０４は、経路ＤＢ１３０の更新及び設定ＤＢ１３４の登録を行う。
ルータ選択部１０４は、通信経路の切り替えに従って経路ＤＢ１３０を更新する。これにより、転送元ルータＩＤ「＃３」の転送先ルータＩＤが「＃５」から「＃４」に更新される。
また、ルータ選択部１０４は、防御ルータ及び合流ルータの選択結果に従って設定ＤＢ１３４に防御ルータ及び合流ルータを登録する。これにより、ルータＩＤ「＃４」及び「＃５」の設定種別に防御設定が登録され、ルータＩＤ「＃１」〜「＃３」の設定種別に経路設定が登録される。また、ルータＩＤ「＃１」、「＃２」、及び「＃３」の防御ルータＩＤに「＃５」、「＃５」、及び「＃４」が登録される。
図２４は、第４設定例における防御ルータ及び合流ルータの選択処理のフローチャートである。図２４において、図１８と共通する処理には同一の符号を付し、その説明は省略する。
ルータ選択部１０４は、ＩＤ「＃３」の選択条件「ルータの性能」に従って、指標値が５点以上であるエッジルータ５及び中間ルータ６を、防御ルータの候補として抽出する（ステップＳｔ３０）。次にルータ選択部１０４は、ＩＤ「＃１」の優先条件「ルータの種別」に従って、防御ルータの候補にエッジルータ５が有るか否かを判定する（ステップＳｔ３１）。
ルータ選択部１０４は、エッジルータ５が有る場合（ステップＳｔ３１のＹｅｓ）、エッジルータ５を防御ルータとして選択する（ステップＳｔ３２）。また、ルータ選択部１０４は、エッジルータ５が無い場合（ステップＳｔ３１のＮｏ）、中間ルータ６を防御ルータとして選択する（ステップＳｔ３３）。次にルータ選択部１０４は、選択済みの防御ルータに応じて、ＩＤ「＃７」の選択条件「ルータ間ホップ数」を満たす防御ルータ及び合流ルータの組み合わせを隣接関係ＤＢ１３１に基づき選択する（ステップＳｔ３４）。
次にルータ選択部１０４は、攻撃対象サーバ４宛てのトラフィックの通信経路から、防御ルータと合流ルータの間にトラフィックのループ関係が成立するか否かを判定する（ステップＳｔ３５）。ルータ選択部１０４は、ループ関係が成立する場合（ステップＳｔ３５のＹｅｓ）、再びステップＳｔ３１以降の各処理を実行する。また、ループ関係が成立しない場合（ステップＳｔ３５のＮｏ）、ステップＳｔ１７以降の各処理が実行される。また、合流ルータの候補が有る場合（ステップＳｔ２２のＹｅｓ）、再びステップＳｔ３０以降の各処理が実行される。このようにして、選択処理は実行される。
このように、ルータ選択部１０４は、トラフィックの転送処理の性能の高さを優先して防御ルータを選択する。このため、防御ルータは、攻撃トラフィックの検出及び廃棄を迅速に行う性能を有するので、他の正常なトラフィックの転送処理への影響が低減される。
これまで述べたように、ルータ選択部１０４は、通信経路と、エッジルータ５及び中間ルータ６の接続関係とに基づいて、エッジルータ５及び中間ルータ６から、ネットワーク内のトラフィックの転送処理の負荷に関する選択条件が満たされ、かつ、トラフィックをループさせないように防御ルータ及び合流ルータを選択する。経路設定処理部１０６は、通信経路同士が防御ルータで合流するように合流ルータに対しトラフィックの通信経路を設定する。防御設定処理部１０５は、防御ルータに攻撃トラフィックの転送の抑制を指示する。
上記の構成によると、攻撃トラフィックの抑制を行う装置を防御ルータに限定することができ、さらにトラフィックのループの発生を抑制することができる。また、防御ルータ及び合流ルータは、ネットワーク９のトラフィックの転送処理の負荷に関する選択条件を満たすため、攻撃トラフィック以外の正常なトラフィックの転送処理の負荷の増加を抑制することができる。
したがって、ＮＷ管理サーバ１は、攻撃トラフィックの転送の抑制による他のトラフィックの転送処理の負荷の増加を抑制することができる。
上述した実施形態は本発明の好適な実施の例である。但し、これに限定されるものではなく、本発明の要旨を逸脱しない範囲内において種々変形して実施可能である。
なお、以上の説明に関して更に以下の付記を開示する。
（付記１） 複数のエッジルータと、前記複数のエッジルータの間に接続される複数の中間ルータとを含むネットワークを管理するネットワーク管理装置において、
前記複数のエッジルータの各々が、前記ネットワークの外部から攻撃を受ける攻撃対象装置に転送するトラフィックの通信経路をそれぞれ算出する算出部と、
前記通信経路同士が第１ルータで合流するように第２ルータに対しトラフィックの前記通信経路を設定する設定部と、
前記第１ルータに前記攻撃のトラフィックの転送の抑制を指示する指示部と、
前記通信経路と、前記複数のエッジルータ及び前記複数の中間ルータの接続関係とに基づいて、前記複数のエッジルータ及び前記複数の中間ルータから、前記ネットワーク内のトラフィックの転送処理の負荷に関する条件が満たされ、かつ、トラフィックをループさせないように前記第１ルータ及び前記第２ルータを選択する選択部とを有することを特徴とするネットワーク管理装置。
（付記２） 前記条件は、前記第１ルータのトラフィックの転送処理の負荷が閾値以下であることを特徴とする付記１に記載のネットワーク管理装置。
（付記３） 前記条件は、前記第１ルータと前記第２ルータの間の距離が閾値以下であることを特徴とする付記１または２に記載のネットワーク管理装置。
（付記４） 前記条件は、前記第１ルータと前記第２ルータの間のリンクの帯域の使用率が閾値以下であることを特徴とする付記１乃至３の何れかに記載のネットワーク管理装置。
（付記５） 前記条件は、前記第２ルータに対する前記通信経路の設定によって、前記第２ルータから前記攻撃対象装置までの距離の増加量が閾値以下であることを特徴とする付記１乃至４の何れかに記載のネットワーク管理装置。
（付記６） 前記条件は、前記第１ルータが前記複数のエッジルータの１つであることを特徴とする付記１乃至５の何れかに記載のネットワーク管理装置。
（付記７） 前記条件は、前記第１ルータのトラフィックを抑制する設定量が閾値以下であることを特徴とする付記１乃至６の何れかに記載のネットワーク管理装置。
（付記８） 前記選択部は、前記第２ルータの数の多さを優先して前記第１ルータ及び前記第２ルータを選択することを特徴とする付記１乃至７の何れかに記載のネットワーク管理装置。
（付記９） 前記選択部は、トラフィックの転送処理の性能の高さを優先して前記第１ルータを選択することを特徴とする付記１乃至８の何れかに記載のネットワーク管理装置。
（付記１０） 複数のエッジルータと、前記複数のエッジルータの間に接続される複数の中間ルータとを含むネットワークを管理するネットワーク管理方法において、
前記複数のエッジルータの各々が、前記ネットワークの外部から攻撃を受ける攻撃対象装置に転送するトラフィックの通信経路をそれぞれ算出し、
前記通信経路同士が第１ルータで合流するように第２ルータに対しトラフィックの前記通信経路を設定し、
前記第１ルータに前記攻撃のトラフィックの転送の抑制を指示し、
前記通信経路と、前記複数のエッジルータ及び前記複数の中間ルータの接続関係とに基づいて、前記複数のエッジルータ及び前記複数の中間ルータから、前記ネットワーク内のトラフィックの転送処理の負荷に関する条件が満たされ、かつ、トラフィックをループさせないように前記第１ルータ及び前記第２ルータを選択することを特徴とするネットワーク管理方法。
（付記１１） 前記条件は、前記第１ルータのトラフィックの転送処理の負荷が閾値以下であることを特徴とする付記１０に記載のネットワーク管理方法。
（付記１２） 前記条件は、前記第１ルータと前記第２ルータの間の距離が閾値以下であることを特徴とする付記１０または１１に記載のネットワーク管理方法。
（付記１３） 前記条件は、前記第１ルータと前記第２ルータの間のリンクの帯域の使用率が閾値以下であることを特徴とする付記１０乃至１２の何れかに記載のネットワーク管理方法。
（付記１４） 前記条件は、前記第２ルータに対する前記通信経路の設定によって、前記第２ルータから前記攻撃対象装置までの距離の増加量が閾値以下であることを特徴とする付記１０乃至１３の何れかに記載のネットワーク管理方法。
（付記１５） 前記条件は、前記第１ルータが前記複数のエッジルータの１つであることを特徴とする付記１０乃至１４の何れかに記載のネットワーク管理方法。
（付記１６） 前記条件は、前記第１ルータのトラフィックを抑制する設定量が閾値以下であることを特徴とする付記１０乃至１５の何れかに記載のネットワーク管理方法。
（付記１７） 前記第２ルータの数の多さを優先して前記第１ルータ及び前記第２ルータを選択することを特徴とする付記１０乃至１６の何れかに記載のネットワーク管理方法。
（付記１８） トラフィックの転送処理の性能の高さを優先して前記第１ルータを選択することを特徴とする付記１０乃至１７の何れかに記載のネットワーク管理方法。
１ ネットワーク管理サーバ
４ 攻撃対象サーバ
５ エッジルータ
６ 中間ルータ
９ ネットワーク
１０ ＣＰＵ
１０２ 経路算出部
１０４ ルータ選択部
１０５ 防御設定処理部
１０６ 経路設定処理部

Claims (10)

  1. 複数のエッジルータと、前記複数のエッジルータの間に接続される複数の中間ルータとを含むネットワークを管理するネットワーク管理装置において、
    前記複数のエッジルータの各々が、前記ネットワークの外部から攻撃を受ける攻撃対象装置に転送するトラフィックの通信経路をそれぞれ算出する算出部と、
    前記通信経路同士が第１ルータで合流するように第２ルータに対しトラフィックの前記通信経路を設定する設定部と、
    前記第１ルータに前記攻撃のトラフィックの転送の抑制を指示する指示部と、
    前記通信経路と、前記複数のエッジルータ及び前記複数の中間ルータの接続関係とに基づいて、前記複数のエッジルータ及び前記複数の中間ルータから、前記ネットワーク内のトラフィックの転送処理の負荷に関する条件が満たされ、かつ、トラフィックをループさせないように前記第１ルータ及び前記第２ルータを選択する選択部とを有することを特徴とするネットワーク管理装置。
  2. 前記条件は、前記第１ルータのトラフィックの転送処理の負荷が閾値以下であることを特徴とする請求項１に記載のネットワーク管理装置。
  3. 前記条件は、前記第１ルータと前記第２ルータの間の距離が閾値以下であることを特徴とする請求項１または２に記載のネットワーク管理装置。
  4. 前記条件は、前記第１ルータと前記第２ルータの間のリンクの帯域の使用率が閾値以下であることを特徴とする請求項１乃至３の何れかに記載のネットワーク管理装置。
  5. 前記条件は、前記第２ルータに対する前記通信経路の設定によって、前記第２ルータから前記攻撃対象装置までの距離の増加量が閾値以下であることを特徴とする請求項１乃至４の何れかに記載のネットワーク管理装置。
  6. 前記条件は、前記第１ルータが前記複数のエッジルータの１つであることを特徴とする請求項１乃至５の何れかに記載のネットワーク管理装置。
  7. 前記条件は、前記第１ルータのトラフィックを抑制する設定量が閾値以下であることを特徴とする請求項１乃至６の何れかに記載のネットワーク管理装置。
  8. 前記選択部は、前記第２ルータの数の多さを優先して前記第１ルータ及び前記第２ルータを選択することを特徴とする請求項１乃至７の何れかに記載のネットワーク管理装置。
  9. 前記選択部は、トラフィックの転送処理の性能の高さを優先して前記第１ルータを選択することを特徴とする請求項１乃至８の何れかに記載のネットワーク管理装置。
  10. 複数のエッジルータと、前記複数のエッジルータの間に接続される複数の中間ルータとを含むネットワークを管理するネットワーク管理方法において、
    前記複数のエッジルータの各々が、前記ネットワークの外部から攻撃を受ける攻撃対象装置に転送するトラフィックの通信経路をそれぞれ算出し、
    前記通信経路同士が第１ルータで合流するように第２ルータに対しトラフィックの前記通信経路を設定し、
    前記第１ルータに前記攻撃のトラフィックの転送の抑制を指示し、
    前記通信経路と、前記複数のエッジルータ及び前記複数の中間ルータの接続関係とに基づいて、前記複数のエッジルータ及び前記複数の中間ルータから、前記ネットワーク内のトラフィックの転送処理の負荷に関する条件が満たされ、かつ、トラフィックをループさせないように前記第１ルータ及び前記第２ルータを選択することを特徴とするネットワーク管理方法。
JP2019158887A 2019-08-30 2019-08-30 ネットワーク管理装置及びネットワーク管理方法 Pending JP2021040190A (ja)

Priority Applications (2)

Application Number Priority Date Filing Date Title
JP2019158887A JP2021040190A (ja) 2019-08-30 2019-08-30 ネットワーク管理装置及びネットワーク管理方法
US16/984,719 US20210067490A1 (en) 2019-08-30 2020-08-04 Network management device, method for managing network, and network system

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
JP2019158887A JP2021040190A (ja) 2019-08-30 2019-08-30 ネットワーク管理装置及びネットワーク管理方法

Publications (1)

Publication Number Publication Date
JP2021040190A true JP2021040190A (ja) 2021-03-11

Family

ID=74680287

Family Applications (1)

Application Number Title Priority Date Filing Date
JP2019158887A Pending JP2021040190A (ja) 2019-08-30 2019-08-30 ネットワーク管理装置及びネットワーク管理方法

Country Status (2)

Country Link
US (1) US20210067490A1 (ja)
JP (1) JP2021040190A (ja)

Families Citing this family (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP6939726B2 (ja) * 2018-07-17 2021-09-22 日本電信電話株式会社 攻撃対処箇所選択装置及び攻撃対処箇所選択方法

Family Cites Families (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2004248185A (ja) * 2003-02-17 2004-09-02 Nippon Telegr & Teleph Corp <Ntt> ネットワークベース分散型サービス拒否攻撃防御システムおよび通信装置
CN107743109B (zh) * 2016-10-31 2020-09-04 腾讯科技（深圳）有限公司 流量攻击的防护方法、控制装置、处理装置及系统
US10673704B2 (en) * 2017-02-15 2020-06-02 Arista Networks, Inc. System and method of dynamic hardware policer allocation
US10724867B1 (en) * 2017-08-07 2020-07-28 United Services Automobile Association (Usaa) Systems and methods for position-based building guidance

Also Published As

Publication number Publication date
US20210067490A1 (en) 2021-03-04

Similar Documents

Publication Publication Date Title
US11637845B2 (en) Method and apparatus for malicious attack detection in a software defined network (SDN)
JP5050781B2 (ja) マルウエア検出装置、監視装置、マルウエア検出プログラム、およびマルウエア検出方法
US10075338B2 (en) Relay control unit, relay control system, relay control method, and relay control program
US8141156B1 (en) Method and apparatus for mitigating routing misbehavior in a network
US10924413B2 (en) Transmission path determining method and apparatus
US7609629B2 (en) Network controller and control method with flow analysis and control function
JP5880560B2 (ja) 通信システム、転送ノード、受信パケット処理方法およびプログラム
US20110138463A1 (en) Method and system for ddos traffic detection and traffic mitigation using flow statistics
EP1705863A1 (en) Method and apparatus for traffic control of dynamic denial of service attacks within a communications network
RU2612599C1 (ru) Устройство управления, система связи, способ управления коммутаторами и программа
JP5870009B2 (ja) ネットワークシステム、ネットワーク中継方法及び装置
JP6433865B2 (ja) 通信装置
US7506372B2 (en) Method and apparatus for controlling connection rate of network hosts
JPWO2006043371A1 (ja) 防御装置、防御方法および防御プログラム並びにネットワーク攻撃防御システム
US8327444B2 (en) Suspicious autonomous system path detection
US20170078222A1 (en) Control device and method of controlling a plurality of network switches
JP6422677B2 (ja) ネットワーク中継装置、同装置を用いたＤＤｏＳ防御方法および負荷分散方法
KR101352553B1 (ko) 플로우별 통계정보를 이용한 분산 서비스 거부 공격(ｄｄｏｓ) 탐지 및 트래픽 경감 방법 및 그 시스템
JP2021040190A (ja) ネットワーク管理装置及びネットワーク管理方法
JP4398316B2 (ja) ネットワーク管理装置、ネットワーク管理方法、およびプログラム
CN102546587B (zh) 防止网关系统会话资源被恶意耗尽的方法及装置
JP2021016104A (ja) ネットワーク管理装置、ネットワーク管理方法、及びネットワーク管理プログラム
CN111885092A (zh) 一种边缘节点的DDoS攻击检测方法、处理方法及SDN
JP6441721B2 (ja) 制御装置、制御方法及びプログラム
CN111556054B (zh) 针对sdn的虫洞攻击的检测方法