JP2022125546A

JP2022125546A - セキュリティシステム、セキュリティ装置、方法、及びプログラム

Info

Publication number: JP2022125546A
Application number: JP2021023187A
Authority: JP
Inventors: 岳神宮寺; Takeshi Jinguji
Original assignee: NEC Platforms Ltd
Current assignee: NEC Platforms Ltd
Priority date: 2021-02-17
Filing date: 2021-02-17
Publication date: 2022-08-29

Abstract

【課題】セキュリティ処理を実施する装置における処理能力の低下を軽減とする。【解決手段】判定手段２２は、ユーザ装置３０から受信されたパケットが再送パケットであるか否かを判定する。パケット格納手段２３は、受信されたパケットが再送パケットではないと判定された場合、受信されたパケットをキュー２４に格納する。置換手段２５は、受信されたパケットが再送パケットであると判定された場合、キュー２４に格納されるパケットを、受信されたパケットで置き換える。応答パケット送信手段２８は、応答パケット生成手段２７が生成した回答パケットを、キュー２４に格納されるパケットに対する応答としてユーザ装置３０に送信する。【選択図】図１

Description

本開示は、セキュリティシステム、セキュリティ装置、セキュリティ装置における動作方法、及びプログラムに関する。

近年、企業を狙ったサーバ攻撃方法も日々進化しており、ファイアウォールのみで攻撃に対処することが難しくなっている。日々進化するサーバ攻撃に対処するために、ＵＴＭ（Unified Threat Management）をセキュリティ対策として導入をする企業が増加している。

しかしながら、ＵＴＭを有するセキュリティ装置（ＵＴＭ装置とも呼ぶ）はユーザ数やセッション数が多い場所では負荷が高くなり、処理性能などが低下しやすい。また、ＵＴＭでは、一部機能ではサーバへ問い合わせることで結果が得られることがあるが、処理性能が低下している中では問合せに時間がかかることが多い。そのため、タイムアウトが発生しやすく、再送パケットが送られる回数が多くなる。

関連技術として、特許文献１は、情報処理装置から他の装置への無線通信を中継する無線通信装置を開示する。特許文献１に記載の無線通信装置は、情報処理装置から他の装置に送信される複数のパケットを、ＦＩＦＯ（First-In First-Out）形式の送信バッファに一時的に保持する。無線通信装置は、送信バッファに保持されるパケットを順次に他の装置側に送信し、送信したパケットに対する確認応答を受信する。

特許文献１において、無線通信装置は、送信バッファに入力されたパケットが再送パケットであるか否かを判断する。特許文献１において、再送パケットとは、情報処理装置が他の装置から受信したパケットの再送要求に応じて送信するパケットを意味する。無線通信装置は、入力されたパケットが再送パケットであり、かつ送信バッファに同じパケットが存在している場合、入力されたパケットを破棄する。また、無線通信装置は、送信バッファから他の装置に出力されたパケットが再送パケットである場合、そのパケットに対する確認応答があるまで、パケットを送信バッファに維持する。

特開２０１０－５６９４０号公報

ＵＴＭを有する装置を稼働させた場合、通信量や利用するＵＴＭの機能に応じて負荷は異なるものの、通信量が多くなるほど装置負荷が高くなる。装置負荷が高い場合、ＵＴＭなど様々な機能の処理速度が低下する。処理速度が低下することで端末への応答が遅くなり、端末からタイムアウトに起因する再送パケットがＵＴＭを有する装置へ送られてくる。しかし、処理速度が低下している装置では、再送パケットは装置内のキューへ積まれ続けたままタイムアウトを迎える。その後、端末から同様の再送パケットが再度送られるため、更なる通信速度の低下が発生し、或いは、ＵＴＭの処理が遅延する。

特許文献１は、無線通信装置において、送信バッファに入力されたパケットが再送パケットであり、かつ送信バッファに同じ再送パケットが存在している場合、入力された再送パケットを破棄することを開示する。しかしながら、特許文献１は、情報処理装置が他の装置から受信したパケットの再送要求に応じて送信する再送パケットを破棄することを開示するものの、セキュリティ装置における上記問題を解決するための手段を開示しない。

本開示は、上記事情に鑑み、セキュリティ処理を実施する装置における処理能力の低下を軽減可能なセキュリティシステム、セキュリティ装置、セキュリティ装置における動作方法、及びプログラムを提供することを目的とする。

上記目的を達成するために、本開示は、ユーザ装置からパケットを受信する受信手段と、前記受信されたパケットに基づいて問合せパケットを生成し、該生成した問合せパケットをサーバへ送信する問合せ手段と、前記サーバから問合せパケットに対する回答パケットを受信し、該受信した回答パケットに基づいて応答パケットを生成する応答パケット生成手段と、前記応答パケットを前記ユーザ装置に送信する応答パケット送信手段と、前記受信手段が前記パケットを受信した場合、該受信されたパケットが再送パケットであるか否かを判定する判定手段と、前記判定手段が前記受信されたパケットが再送パケットではないと判定した場合、前記受信されたパケットをキューに格納するパケット格納手段と、前記判定手段が前記受信されたパケットが再送パケットであると判定した場合、前記キューに格納されるパケットを、前記受信されたパケットで置き換える置換手段とを備え、前記応答パケット送信手段は、前記回答パケットを、前記キューに格納されるパケットに対する応答として前記ユーザ装置に送信する、セキュリティ装置を提供する。

本開示は、セキュリティ装置と、前記セキュリティ装置から問合せパケットを受信し、問合せパケットに対する回答パケットを前記セキュリティ装置に送信するサーバを有し、前記セキュリティ装置は、ユーザ装置からパケットを受信する受信手段と、前記受信されたパケットに基づいて問合せパケットを生成し、該生成した問合せパケットをサーバへ送信する問合せ手段と、前記サーバから前記回答パケットを受信し、該受信した回答パケットに基づいて応答パケットを生成する応答パケット生成手段と、前記応答パケットを前記ユーザ装置に送信する応答パケット送信手段と、前記受信手段が前記パケットを受信した場合、該受信されたパケットが再送パケットであるか否かを判定する判定手段と、前記判定手段が前記受信されたパケットが再送パケットではないと判定した場合、前記受信されたパケットをキューに格納するパケット格納手段と、前記判定手段が前記受信されたパケットが再送パケットであると判定した場合、前記キューに格納されるパケットを、前記受信されたパケットで置き換える置換手段とを備え、前記応答パケット送信手段は、前記回答パケットを、前記キューに格納されるパケットに対する応答として前記ユーザ装置に送信する、セキュリティシステムを提供する。

本開示は、ユーザ装置からパケットを受信し、前記受信されたパケットが再送パケットであるか否かを判定し、前記受信されたパケットが再送パケットではないと判定された場合、前記受信されたパケットをキューに格納し、前記受信されたパケットが再送パケットであると判定された場合、前記キューに格納されるパケットを、前記受信されたパケットで置き換え、前記受信されたパケットに基づいて問合せパケットを生成し、該生成した問合せパケットをサーバへ送信し、前記サーバから問合せパケットに対する回答パケットを受信し、該受信した回答パケットに基づいて応答パケットを生成し、前記応答パケットを、前記キューに格納されるパケットに対する応答として前記ユーザ装置に送信することを含む、セキュリティ装置における動作方法を提供する。

本開示は、ユーザ装置からパケットを受信し、前記受信されたパケットが再送パケットであるか否かを判定し、前記受信されたパケットが再送パケットではないと判定された場合、前記受信されたパケットをキューに格納し、前記受信されたパケットが再送パケットであると判定された場合、前記キューに格納されるパケットを、前記受信されたパケットで置き換え、前記受信されたパケットに基づいて問合せパケットを生成し、該生成した問合せパケットをサーバへ送信し、前記サーバから問合せパケットに対する回答パケットを受信し、該受信した回答パケットに基づいて応答パケットを生成し、前記応答パケットを、前記キューに格納されるパケットに対する応答として前記ユーザ装置に送信する処理をセキュリティ装置に実施させるためのプログラムを提供する。

本開示に係るセキュリティシステム、セキュリティ装置、セキュリティ装置における動作方法、及びプログラムは、セキュリティ処理を実施する装置における処理能力の低下を軽減可能することができる。

本開示に係るセキュリティシステムを概略的に示すブロック図。本開示の一実施形態に係るセキュリティシステムを示すブロック図。ＵＴＭ装置の構成例を示すブロック図。パケット情報ＤＢに記憶される情報の一例を示す図。ＵＴＭ装置における動作手順を示すフローチャート。コンピュータ装置の構成例を示すブロック図。

本開示の実施の形態の説明に先立って、本開示の概要を説明する。図１は、本開示に係るセキュリティシステムを概略的に示す。セキュリティシステム１０は、セキュリティ装置２０と、サーバ４０とを有する。セキュリティ装置２０は、受信手段２１、判定手段２２、パケット格納手段２３、キュー２４、置換手段２５、問合せ手段２６、応答パケット生成手段２７、及び応答パケット送信手段２８を有する。

受信手段２１は、ユーザ装置３０からパケットを受信する。問合せ手段２６は、受信手段２１が受信したパケットに基づいて問合せパケットを生成し、生成した問合せパケットをサーバ４０へ送信する。応答パケット生成手段２７は、サーバ４０から問合せパケットに対する回答パケットを受信し、受信した回答パケットに基づいて応答パケットを生成する。応答パケット送信手段２８は、回答パケットをユーザ装置３０に送信する。

判定手段２２は、受信手段２１がユーザ装置３０からパケットを受信した場合、受信されたパケットが再送パケットであるか否かを判定する。パケット格納手段２３は、判定手段２２が受信されたパケットが再送パケットではないと判定した場合、受信されたパケットをキュー２４に格納する。置換手段２５は、判定手段２２が受信されたパケットが再送パケットであると判定した場合、キュー２４に格納されるパケットを、受信されたパケットで置き換える。応答パケット送信手段２８は、応答パケット生成手段２７が生成した回答パケットを、キュー２４に格納されるパケットに対する応答としてユーザ装置３０に送信する。

本開示では、置換手段２５は、ユーザ装置３０から受信されたパケットが再送パケットであると判定された場合、キュー２４に格納されるパケットを、再送パケットで置き換える。このようにすることで、セキュリティ装置２０は、再送パケットがキュー２４に滞留することを抑制することができる。セキュリティ装置２０は、不要なパケットの滞留を抑制することで、処理負荷を軽減することができ、セキュリティ装置の処理能力の低下を軽減することができる。

以下、図面を参照し、本開示の実施の形態を詳細に説明する。図２は、本開示の一実施形態に係るセキュリティシステムを示す。セキュリティシステム１００は、ＵＴＭ装置１１０、及び問合せサーバ１５０を有する。セキュリティシステム１００は、図１に示されるセキュリティシステム１０に対応する。ＵＴＭ装置１１０は、図１に示されるセキュリティ装置２０に対応する。問合せサーバ（ＵＴＭサーバ）１５０は、図１に示されるサーバ４０に対応する。

ＵＴＭ装置１１０は、セキュリティ処理を実施するセキュリティ装置である。ＵＴＭ装置１１０は、例えばサーバ又はＰＣ（Personal Computer）などのコンピュータ装置として構成される。ＵＴＭ装置１１０は、ＬＡＮ（Local Area Network）又はインタネットなどのネットワークを介して１以上のユーザ装置１３０に接続される。ユーザ装置１３０は、例えばＰＣ、タブレット、又はスマートフォンなどのユーザが使用する情報処理装置として構成される。ユーザ装置１３０は、図１に示されるユーザ装置３０に対応する。

ＵＴＭ装置１１０は、ユーザ装置１３０からパケットを受信し、受信したパケットに対してＵＴＭ処理を行う。ＵＴＭ処理は、問合せサーバ１５０への問合せを伴う処理を含む。ＵＴＭ装置１１０は、問合せサーバ１５０への問合せが必要な場合、問合せパケットを問合せサーバ１５０に送信する。問合せサーバ１５０は、受信した問合せパケットに対して処理を行い、回答パケットをＵＴＭ装置１１０に送信する。ＵＴＭ装置１１０は、回答パケットに基づく応答パケットを、ユーザ装置１３０に送信する。

なお、ＵＴＭ装置１１０は、ユーザ装置１３０から、問合せサーバ１５０への問い合わせを伴わないパケットも受信し得る。ＵＴＭ装置１１０は、そのようなパケットを受信した場合、問合せサーバ１５０への問い合わせを伴わないＵＴＭ処理を実施する。ＵＴＭ装置１１０は、問合せサーバ１５０への問い合わせを伴わないＵＴＭ処理では、装置内に記憶するパターンファイルなどを用いて応答パケットを生成する。そのような、問合せサーバ１５０への問い合わせを伴わないＵＴＭ処理は、一般的なＵＴＭ装置において実施されるＵＴＭ処理と同様よく、以下において、詳細な説明は省略する。

図３は、ＵＴＭ装置１１０の構成例を示す。ＵＴＭ装置１１０は、パケット受信部１１１、再送パケット判定部１１２、パケット格納部１１３、待機キュー１１４、パケット情報登録部１１５、再送パケットＤＢ（Database）１１６、パケット置換部１１７、問合せ部１１８、応答パケット生成部１１９、及び応答パケット送信部１１２０を有する。ＵＴＭ装置１１０内の各部の機能は、例えば１以上のプロセッサがプログラムに従って処理を実行され得る。

パケット受信部１１１は、ユーザ装置１３０からパケットを受信する。問合せ部１１８は、受信されたパケットに基づいて問合せパケットを生成し、生成した問合せパケットを問合せサーバ１５０に送信する。パケット受信部１１１は、図１に示される受信手段２１に対応する。問合せ部１１８は、図１に示される問合せ手段２６に対応する。

応答パケット生成部１１９は、問合せサーバ１５０から問合せパケットに対する回答パケットを受信する。応答パケット生成部１１９は、受信した回答パケットに基づいて応答パケットを生成する。応答パケット送信部１２０は、ユーザ装置１３０に応答パケットを送信する。応答パケット生成部１１９は、図１に示される応答パケット生成手段２７に対応する。応答パケット送信部１２０は、図１に示される応答パケット送信手段２８に対応する。

再送パケット判定部１１２は、パケット受信部１１１が受信したパケットが、再送パケットであるか否かを判定する。再送パケット判定部１１２は、例えば、あるユーザ装置１３０から、既に受信され、かつ応答パケットの送信が完了してないパケットと同じデータのパケットが受信された場合、そのパケットは再送パケットであると判定する。再送パケット判定部１１２は、図１に示される判定手段２２に対応する。

パケット格納部１１３は、再送パケット判定部１１２において受信されたパケットが再送パケットではないと判定された場合、待機キュー１１４に受信されたパケットを格納する。待機キュー１１４には、応答パケット生成部１１９が問合せサーバ１５０から回答パケットを受信するまで、受信されたパケットが格納される。待機キュー１１４に格納されるパケットは、問合せサーバ１５０へ問合せ済みのパケットと、未問い合わせのパケットとを含み得る。パケット格納部１１３は、図１に示されるパケット格納手段２３に対応する。待機キュー１１４は、図１に示されるキュー２４に対応する。

パケット情報ＤＢ１１６は、待機キュー１１４に記憶されるパケットの情報を記憶するデータベースである。パケット情報登録部（情報登録手段）１１５は、再送パケット判定部１１２で受信されたパケットが再送パケットではないと判定された場合、受信されたパケットの情報をパケット情報ＤＢ１１６に登録する。

パケット情報登録部１１５は、例えば、受信されたパケットのデータ部分を所定のハッシュ関数を用いてハッシュ化する。パケット情報登録部１１５は、受信されたパケットの送信先を示す情報、送信元を示す情報、及びハッシュ化されたハッシュ値を、再送パケットＤＢ１１６に登録する。パケットの送信先を示す情報は、例えば、パケットの送信先のアドレス情報とポート番号とを含む。パケットの受信先を示す情報は、パケットの送信元のアドレス情報とポート番号とを含む。

図４は、パケット情報ＤＢ１１６に記憶される情報の一例を示す。パケット情報ＤＢ１１６は、再送パケットではないと判定されたパケット、別の言い方をすると待機キュー１１４（図３を参照）に格納されるパケットの情報を記憶する。パケット情報ＤＢ１１６は、各パケットについて、例えば、送信先ＩＰ（Internet Protocol）アドレス、送信先ポート番号、送信元ＩＰアドレス、送信元ポート番号、及びデータのハッシュ値を記憶する。

本実施形態において、再送パケット判定部１１２は、再送パケットＤＢ１１６を参照し、パケット受信部１１１が受信したパケットが、再送パケットであるか否かを判定する。再送パケット判定部１１２は、受信されたパケットの情報と、再送パケットＤＢ１１６に記憶されている情報とを比較する。再送パケット判定部１１２は、受信されたパケットの情報と一致する情報が再送パケットＤＢ１１６に記憶されている場合、受信されたパケットは再送パケットであると判定する。再送パケット判定部１１２は、受信されたパケットの情報と一致する情報が再送パケットＤＢ１１６に記憶されていない場合、受信されたパケットは再送パケットではないと判定する。

例えば、再送パケット判定部１１２は、受信されたパケットのデータ部分を所定のハッシュ関数を用いてハッシュ値に変換する。再送パケット判定部１１２は、再送パケットＤＢ１１６から、送信先ＩＰアドレス、送信先ポート番号、送信元ＩＰアドレス、送信元ポート番号、及びデータのハッシュ値の情報を取得する。再送パケット判定部１１２は、受信されたパケットの送信先ＩＰアドレス、送信先ポート番号、送信元ＩＰアドレス、送信元ポート番号、及びデータのハッシュ値と、再送パケットＤＢ１１６から取得したそれらの情報とを比較する。再送パケット判定部１１２は、受信されたパケットの情報と、再送パケットＤＢ１１６から取得した情報とが一致する場合、受信されたパケットと同一のパケットが待機キュー１１４に既に格納されていると判断する。その場合、再送パケット判定部１１２は、受信されたパケットは再送パケットであると判定する。

パケット置換部１１７は、再送パケット判定部１１２において受信されたパケットが再送パケットであると判定された場合、待機キュー１１４に格納されるパケットを、受信されたパケットで置き換える。例えば、再送パケット判定部１１２は、受信されたパケットが再送パケットであると判定した場合、待機キュー１１４に格納されるパケットのうち、受信されたパケットと同じ情報を有するパケットを特定する。再送パケット判定部１１２は、特定したパケットの情報をパケット置換部１１７に通知する。パケット置換部１１７は、待機キュー１１４上に存在する、受信されたパケットと同じ情報を有するパケットを削除し、受信されたパケット（再送パケット）で置き換える。パケット置換部１１７は、図１に示される置換手段２５に対応する。

本実施形態において、問合せ部１１８は、再送パケット判定部１１２で受信されたパケットが再送パケットではないと判定された場合、問合せパケットを生成し、生成した問合せパケットを問合せサーバ１５０に送信する。問合せ部１１８は、再送パケット判定部１１２で受信されたパケットが再送パケットではないと判定された場合は、新たに問合せパケットを送信しない。

また、本実施形態において、応答パケット送信部１２０は、応答パケット生成部１１９が生成した応答パケットを、待機キュー１１４に格納されるパケットに対する応答して、ユーザ装置１３０に送信する。応答パケット送信部１２０は、パケット置換部１１７が待機キュー１１４に格納されるパケットを再送パケットで置換した場合、応答パケットを、再送パケットに対する応答としてユーザ装置１３０に送信する。

図５は、ＵＴＭ装置１１０における動作手順（セキュリティ装置における動作方法）を示す。パケット受信部１１１は、ユーザ装置１３０からパケットを受信する（ステップＳ１）。再送パケット判定部１１２は、ステップＳ１で受信されたパケットが、再送パケットであるか否かを判定する（ステップＳ２）。再送パケット判定部１１２は、ステップＳ２では、例えばステップＳ１で受信されたパケットのデータ部分をハッシュ値に変換する。再送パケット判定部１１２は、再送パケットＤＢ１１６に、受信されたパケットの送信元、送信先、及びデータ部分のハッシュ値と一致する情報が記憶されているか否かを判断する。再送パケット判定部１１２は、再送パケットＤＢ１１６に、受信されたパケットの送信元、送信先、及びデータ部分のハッシュ値と一致する情報が記憶されている場合、受信されたパケットを再送パケットであると判定する。

パケット情報登録部１１５は、ステップＳ２で受信されたパケットが再送パケットではないと判定された場合、再送パケットＤＢ１１６に、ステップＳ１で受信されたパケットの情報を登録する（ステップＳ３）。また、パケット格納部１１３は、ステップＳ２で受信されたパケットが再送パケットではないと判定された場合、待機キュー１１４に、ステップＳ１で受信されたパケットを格納する（ステップＳ４）。問合せ部１１８は、ステップＳ１で受信されたパケットに対する問合せパケットを生成し、生成した問合せパケットを問合せサーバ１５０に送信する（ステップＳ５）。

パケット置換部１１７は、ステップＳ２で受信されたパケットが再送パケットであると判定された場合、待機キュー１１４に記憶されるパケットを、ステップＳ１で受信されたパケット（再送パケット）で置き換える（ステップＳ６）。パケット置換部１１７は、ステップＳ６では、待機キュー１１４において、送信元、送信先、及びデータ部分がステップＳ１で受信されるパケットのそれらと同じパケットを検索し、検索されたパケットをステップＳ１で受信されたパケットで置き換える。

応答パケット生成部１１９は、問合せサーバ１５０から回答パケットを受信する（ステップＳ７）。応答パケット生成部１１９は、既存のＵＴＭ動作に従って、受信した回答パケットに基づいて応答パケットを生成する（ステップＳ８）。応答パケット送信部１２０は、応答パケットを、ステップＳ１で受信されたパケットの送信元のユーザ装置１３０に送信する（ステップＳ９）。応答パケット送信部１２０は、ステップＳ９では、ステップＳ８で生成された応答パケットを、待機キュー１１４に格納されるパケットに対する応答として、ユーザ装置１３０に送信する。

続いて、ＵＴＭ装置１１０が問合せサーバ１５０に問合せパケットを送信する場合の処理の流れを説明する。ＵＴＭ装置１１０のパケット受信部１１１は、ステップＳ１において、ユーザ装置１３０からパケットを受信する。再送パケット判定部１１２は、ユーザ装置１３０からデータ部分が同じパケットが既に受信されていない場合、ステップＳ２において、受信されたパケットは再送パケットではないと判定する。

受信されたパケットが再送パケットではないと判定された場合、パケット情報登録部１１５は、ステップＳ３において、再送パケットＤＢ１１６にステップＳ１で受信されたパケットの情報を登録する。また、パケット格納部１１３は、ステップＳ４において、待機キュー１１４に、ステップＳ１で受信されたパケットを格納する。問合せ部１１８は、ステップＳ５において、問合せパケットを問合せサーバ１５０に送信する。問合せパケットの送信後、応答パケット生成部１１９は、問合せサーバ１５０から回答パケットが送信されるまで待機する。

次いで、ＵＴＭ装置１１０がユーザ装置１３０から再送パケットを受信した場合の処理の流れを説明する。ＵＴＭ装置１１０が問合せサーバ１５０に問合せパケットを送信した後、ユーザ装置１３０から送信されたパケットがタイムアウトし、ユーザ装置１３０が再送パケットを送信したとする。パケット受信部１１１は、ステップＳ１で、再送パケットを受信する。再送パケット判定部１１２は、ステップＳ２で、再送パケットＤＢ１１６を参照し、過去に受信され応答待機中であるパケットに、ステップＳ１で受信された再送パケットと同一のパケットが含まれるか否かを判定する。ユーザ装置１３０が再送パケットを送信した場合、再送パケットと同一の情報が、再送パケットＤＢ１１６に記憶されている。その場合、再送パケット判定部１１２は、ステップＳ１で受信されたパケットは再送パケットであると判定する。

パケット置換部１１７は、ステップＳ６において、待機キュー１１４に格納される、過去に受信され応答待機中であるパケットを削除し、新たに受信された再送パケットで置き換える。ステップＳ２で受信されたパケットが再送パケットであると判定された場合、問合せ部１１８は、新たな問合せパケットを生成しない。応答パケット生成部１１９は、置き換え前のパケットに対して生成された問合せパケットに対する回答パケットの受信を待機する。

問合せサーバ１５０は、回答パケットを生成し、ＵＴＭ装置１１０に送信する。応答パケット生成部１１９は、ステップＳ７において回答パケットを受信し、ステップＳ８において応答パケットを生成する。応答パケット送信部１２０は、ステップＳ９において、応答パケットをユーザ装置１３０に送信する。応答パケット送信部１２０は、ユーザ装置１３０が再送パケットを送信した場合、応答パケットを、ステップＳ６で置き換えられた最新の再送パケットに対する応答として、ユーザ装置１３０に送信する。

本実施形態では、再送パケット判定部１１２は、ユーザ装置１３０から受信されたパケットが、再送パケットであるか否かを判定する。パケット置換部１１７は、受信されたパケットが再送パケットであると判定された場合、待機キュー１１４に格納されるパケットを、再送パケットで置き換える。本実施形態において、ＵＴＭ装置１１０は、例えば、負荷が高くなり、ＵＴＭ装置１１０での処理能力が低下してユーザ装置１３０が複数回再送パケットを送信した場合、待機キュー１１４に格納される再送パケットを、最新のパケットに置き換える。このようにすることで、ＵＴＭ装置１１０において、同一の再送パケットが待機キュー１１４に滞留し、或いは待機キュー１１４に蓄積することを防止することができる。本実施形態は、待機キュー１１４内に不要なパケットが滞留することを抑制できるため、ＵＴＭ装置１１０の処理性能低下を軽減することができる。また、本実施形態において、ＵＴＭ装置１１０は、再送パケットを受信するたびに問合せを行われない。このため、本実施形態は、通信網の負荷を軽減することができる。

本実施形態において、応答パケット生成部１１９は、１つのユーザ装置１３０がデータ部分が同じパケットを複数回送信する場合でも、最初に受信されたパケットに対する回答パケットを問合せサーバ１５０から受信し、応答パケットを生成する。応答パケット送信部１２０は、過去に問い合わされた問合せパケットに対する回答パケットを、最新の再送パケットに対する応答パケットとして送信することができる。このため、本実施形態は、パケットロスを防止することができる。また、ＵＴＭ装置１１０は、最新の再送パケットに対する応答パケットを迅速にユーザ装置１３０に送信することができ、ユーザ装置１３０におけるタイムアウトを抑制することができる。

引き続き、ＵＴＭ装置１１０のハードウェア構成を説明する。図６は、ＵＴＭ装置１１０として用いられ得るコンピュータ装置の構成例を示す。コンピュータ装置５００は、制御部（ＣＰＵ：Central Processing Unit）５１０、記憶部５２０、ＲＯＭ（Read Only Memory）５３０、ＲＡＭ（Random Access Memory）５４０、通信インタフェース（ＩＦ：Interface）５５０、及びユーザインタフェース５６０を有する。

通信インタフェース５５０は、有線通信手段又は無線通信手段などを介して、コンピュータ装置５００と通信ネットワークとを接続するためのインタフェースである。ユーザインタフェース５６０は、例えばディスプレイなどの表示部を含む。また、ユーザインタフェース５６０は、キーボード、マウス、及びタッチパネルなどの入力部を含む。

記憶部５２０は、各種のデータを保持できる補助記憶装置である。記憶部５２０は、必ずしもコンピュータ装置５００の一部である必要はなく、外部記憶装置であってもよいし、ネットワークを介してコンピュータ装置５００に接続されたクラウドストレージであってもよい。

ＲＯＭ５３０は、不揮発性の記憶装置である。ＲＯＭ５３０には、例えば比較的容量が少ないフラッシュメモリなどの半導体記憶装置が用いられる。ＣＰＵ５１０が実行するプログラムは、記憶部５２０又はＲＯＭ５３０に格納され得る。記憶部５２０及びＲＯＭ５３０の少なくとも一方は、例えばＵＴＭ装置１１０内の各部の機能を実現するためのプログラムを記憶する。

上記プログラムは、様々なタイプの非一時的なコンピュータ可読媒体を用いて格納され、コンピュータ装置５００に供給することができる。非一時的なコンピュータ可読媒体は、様々なタイプの実体のある記憶媒体を含む。非一時的なコンピュータ可読媒体の例は、例えばフレキシブルディスク、磁気テープ、又はハードディスクなどの磁気記録媒体、例えば光磁気ディスクなどの光磁気記録媒体、ＣＤ（compact disc）、又はＤＶＤ（digital versatile disk）などの光ディスク媒体、及び、マスクＲＯＭ、ＰＲＯＭ（programmable ROM）、ＥＰＲＯＭ（erasable PROM）、フラッシュＲＯＭ、又はＲＡＭなどの半導体メモリを含む。また、プログラムは、様々なタイプの一時的なコンピュータ可読媒体を用いてコンピュータに供給されてもよい。一時的なコンピュータ可読媒体の例は、電気信号、光信号、及び電磁波を含む。一時的なコンピュータ可読媒体は、電線及び光ファイバなどの有線通信路、又は無線通信路を介して、プログラムをコンピュータに供給できる。

ＲＡＭ５４０は、揮発性の記憶装置である。ＲＡＭ５４０には、ＤＲＡＭ（Dynamic Random Access Memory）又はＳＲＡＭ（Static Random Access Memory）などの各種半導体メモリデバイスが用いられる。ＲＡＭ５４０は、データなどを一時的に格納する内部バッファとして用いられ得る。ＣＰＵ５１０は、記憶部５２０又はＲＯＭ５３０に格納されたプログラムをＲＡＭ５４０に展開し、実行する。ＣＰＵ５１０がプログラムを実行することで、ＵＴＭ装置１１０内の各部の機能が実現され得る。待機キュー１１４及び再送パケットＤＢ１１６（図３を参照）は、記憶部５２０、及びＲＡＭ５４０の少なくとも一方を用いて実現され得る。

以上、本開示の実施形態を詳細に説明したが、本開示は、上記した実施形態に限定されるものではなく、本開示の趣旨を逸脱しない範囲で上記実施形態に対して変更や修正を加えたものも、本開示に含まれる。

例えば、上記の実施形態の一部又は全部は、以下の付記のようにも記載され得るが、以下には限られない。

［付記１］
ユーザ装置からパケットを受信する受信手段と、
前記受信されたパケットに基づいて問合せパケットを生成し、該生成した問合せパケットをサーバへ送信する問合せ手段と、
前記サーバから問合せパケットに対する回答パケットを受信し、該受信した回答パケットに基づいて応答パケットを生成する応答パケット生成手段と、
前記応答パケットを前記ユーザ装置に送信する応答パケット送信手段と、
前記受信手段が前記パケットを受信した場合、該受信されたパケットが再送パケットであるか否かを判定する判定手段と、
前記判定手段が前記受信されたパケットが再送パケットではないと判定した場合、前記受信されたパケットをキューに格納するパケット格納手段と、
前記判定手段が前記受信されたパケットが再送パケットであると判定した場合、前記キューに格納されるパケットを、前記受信されたパケットで置き換える置換手段とを備え、
前記応答パケット送信手段は、前記回答パケットを、前記キューに格納されるパケットに対する応答として前記ユーザ装置に送信する、セキュリティ装置。

［付記２］
前記問合せ手段は、前記判定手段が前記受信されたパケットが再送パケットではないと判定した場合に前記問合せパケットを生成し、該生成した問合せパケットをサーバへ送信する付記１に記載のセキュリティ装置。

［付記３］
前記キューには、前記サーバから前記応答パケットが受信されるまで、前記パケットが格納される付記１又は２に記載のセキュリティ装置。

［付記４］
前記受信されたパケットの情報を、前記キューに登録されるパケットの情報を記憶するデータベースに登録する情報登録手段を更に有し、
前記判定手段は、前記受信手段が前記パケットを受信した場合、前記データベースを参照し、前記受信されたパケットが再送パケットであるか否かを判定する付記１から３何れか１つに記載のセキュリティ装置。

［付記５］
前記情報登録手段は、前記判定手段が前記受信されたパケットが再送パケットではないと判定した場合、前記受信されたパケットの情報を前記データベースに登録する付記４に記載のセキュリティ装置。

［付記６］
前記判定手段は、前記受信されたパケットの情報と前記データベースに記憶されている情報とを比較し、前記受信されたパケットの情報と一致する情報が前記データベースに記憶されている場合、前記受信されたパケットは再送パケットであると判定する付記４又は５に記載のセキュリティ装置。

［付記７］
前記情報登録手段は、前記受信されたパケットの送信先を示す情報と、前記受信されたパケットの送信元を示す情報と、前記受信されたパケットのデータ部分をハッシュ化した値とを、前記受信されたパケットの情報として前記データベースに登録する付記４から６何れか１つに記載のセキュリティ装置。

［付記８］
前記受信されたパケットの送信先を示す情報は、前記送信先のアドレス情報とポート番号とを含み、前記受信されたパケットの送信元を示す情報は、前記送信元のアドレス情報とポート番号とを含む付記７に記載のセキュリティ装置。

［付記９］
セキュリティ装置と、
前記セキュリティ装置から問合せパケットを受信し、問合せパケットに対する回答パケットを前記セキュリティ装置に送信するサーバを有し、
前記セキュリティ装置は、
ユーザ装置からパケットを受信する受信手段と、
前記受信されたパケットに基づいて問合せパケットを生成し、該生成した問合せパケットをサーバへ送信する問合せ手段と、
前記サーバから前記回答パケットを受信し、該受信した回答パケットに基づいて応答パケットを生成する応答パケット生成手段と、
前記応答パケットを前記ユーザ装置に送信する応答パケット送信手段と、
前記受信手段が前記パケットを受信した場合、該受信されたパケットが再送パケットであるか否かを判定する判定手段と、
前記判定手段が前記受信されたパケットが再送パケットではないと判定した場合、前記受信されたパケットをキューに格納するパケット格納手段と、
前記判定手段が前記受信されたパケットが再送パケットであると判定した場合、前記キューに格納されるパケットを、前記受信されたパケットで置き換える置換手段とを備え、
前記応答パケット送信手段は、前記回答パケットを、前記キューに格納されるパケットに対する応答として前記ユーザ装置に送信する、セキュリティシステム。

［付記１０］
前記問合せ手段は、前記判定手段が前記受信されたパケットが再送パケットではないと判定した場合に前記問合せパケットを生成し、該生成した問合せパケットをサーバへ送信する付記９に記載のセキュリティシステム。

［付記１１］
前記キューには、前記サーバから前記応答パケットが受信されるまで、前記パケットが格納される付記９又は１０に記載のセキュリティシステム。

［付記１２］
ユーザ装置からパケットを受信し、
前記受信されたパケットが再送パケットであるか否かを判定し、
前記受信されたパケットが再送パケットではないと判定された場合、前記受信されたパケットをキューに格納し、
前記受信されたパケットが再送パケットであると判定された場合、前記キューに格納されるパケットを、前記受信されたパケットで置き換え、
前記受信されたパケットに基づいて問合せパケットを生成し、該生成した問合せパケットをサーバへ送信し、
前記サーバから問合せパケットに対する回答パケットを受信し、該受信した回答パケットに基づいて応答パケットを生成し、
前記応答パケットを、前記キューに格納されるパケットに対する応答として前記ユーザ装置に送信することを含む、セキュリティ装置における動作方法。

［付記１３］
ユーザ装置からパケットを受信し、
前記受信されたパケットが再送パケットであるか否かを判定し、
前記受信されたパケットが再送パケットではないと判定された場合、前記受信されたパケットをキューに格納し、
前記受信されたパケットが再送パケットであると判定された場合、前記キューに格納されるパケットを、前記受信されたパケットで置き換え、
前記受信されたパケットに基づいて問合せパケットを生成し、該生成した問合せパケットをサーバへ送信し、
前記サーバから問合せパケットに対する回答パケットを受信し、該受信した回答パケットに基づいて応答パケットを生成し、
前記応答パケットを、前記キューに格納されるパケットに対する応答として前記ユーザ装置に送信する処理をセキュリティ装置に実施させるためのプログラム。

１０：セキュリティシステム
２０：セキュリティ装置
２１：受信手段
２２：判定手段
２３：パケット格納手段
２４：キュー
２５：置換手段
２６：問合せ手段
２７：応答パケット生成手段
２８：応答パケット送信手段
３０：ユーザ装置
４０：サーバ
１００：セキュリティシステム
１１０：ＵＴＭ装置
１１１：パケット受信部
１１２：再送パケット判定部
１１３：パケット格納部
１１４：待機キュー
１１５：パケット情報登録部
１１６：再送パケットＤＢ
１１７：パケット置換部
１１８：問合せ部
１１９：応答パケット生成部
１２０：応答パケット送信部
１３０：ユーザ装置
１５０：問合せサーバ

Claims

ユーザ装置からパケットを受信する受信手段と、
前記受信されたパケットに基づいて問合せパケットを生成し、該生成した問合せパケットをサーバへ送信する問合せ手段と、
前記サーバから問合せパケットに対する回答パケットを受信し、該受信した回答パケットに基づいて応答パケットを生成する応答パケット生成手段と、
前記応答パケットを前記ユーザ装置に送信する応答パケット送信手段と、
前記受信手段が前記パケットを受信した場合、該受信されたパケットが再送パケットであるか否かを判定する判定手段と、
前記判定手段が前記受信されたパケットが再送パケットではないと判定した場合、前記受信されたパケットをキューに格納するパケット格納手段と、
前記判定手段が前記受信されたパケットが再送パケットであると判定した場合、前記キューに格納されるパケットを、前記受信されたパケットで置き換える置換手段とを備え、
前記応答パケット送信手段は、前記回答パケットを、前記キューに格納されるパケットに対する応答として前記ユーザ装置に送信する、セキュリティ装置。
前記問合せ手段は、前記判定手段が前記受信されたパケットが再送パケットではないと判定した場合に前記問合せパケットを生成し、該生成した問合せパケットをサーバへ送信する請求項１に記載のセキュリティ装置。
前記キューには、前記サーバから前記応答パケットが受信されるまで、前記パケットが格納される請求項１又は２に記載のセキュリティ装置。
前記受信されたパケットの情報を、前記キューに登録されるパケットの情報を記憶するデータベースに登録する情報登録手段を更に有し、
前記判定手段は、前記受信手段が前記パケットを受信した場合、前記データベースを参照し、前記受信されたパケットが再送パケットであるか否かを判定する請求項１から３何れか１項に記載のセキュリティ装置。
前記情報登録手段は、前記判定手段が前記受信されたパケットが再送パケットではないと判定した場合、前記受信されたパケットの情報を前記データベースに登録する請求項４に記載のセキュリティ装置。
前記判定手段は、前記受信されたパケットの情報と前記データベースに記憶されている情報とを比較し、前記受信されたパケットの情報と一致する情報が前記データベースに記憶されている場合、前記受信されたパケットは再送パケットであると判定する請求項４又は５に記載のセキュリティ装置。
前記情報登録手段は、前記受信されたパケットの送信先を示す情報と、前記受信されたパケットの送信元を示す情報と、前記受信されたパケットのデータ部分をハッシュ化した値とを、前記受信されたパケットの情報として前記データベースに登録する請求項４から６何れか１項に記載のセキュリティ装置。
セキュリティ装置と、
前記セキュリティ装置から問合せパケットを受信し、問合せパケットに対する回答パケットを前記セキュリティ装置に送信するサーバを有し、
前記セキュリティ装置は、
ユーザ装置からパケットを受信する受信手段と、
前記受信されたパケットに基づいて問合せパケットを生成し、該生成した問合せパケットをサーバへ送信する問合せ手段と、
前記サーバから前記回答パケットを受信し、該受信した回答パケットに基づいて応答パケットを生成する応答パケット生成手段と、
前記応答パケットを前記ユーザ装置に送信する応答パケット送信手段と、
前記受信手段が前記パケットを受信した場合、該受信されたパケットが再送パケットであるか否かを判定する判定手段と、
前記判定手段が前記受信されたパケットが再送パケットではないと判定した場合、前記受信されたパケットをキューに格納するパケット格納手段と、
前記判定手段が前記受信されたパケットが再送パケットであると判定した場合、前記キューに格納されるパケットを、前記受信されたパケットで置き換える置換手段とを備え、
前記応答パケット送信手段は、前記回答パケットを、前記キューに格納されるパケットに対する応答として前記ユーザ装置に送信する、セキュリティシステム。
ユーザ装置からパケットを受信し、
前記受信されたパケットが再送パケットであるか否かを判定し、
前記受信されたパケットが再送パケットではないと判定された場合、前記受信されたパケットをキューに格納し、
前記受信されたパケットが再送パケットであると判定された場合、前記キューに格納されるパケットを、前記受信されたパケットで置き換え、
前記受信されたパケットに基づいて問合せパケットを生成し、該生成した問合せパケットをサーバへ送信し、
前記サーバから問合せパケットに対する回答パケットを受信し、該受信した回答パケットに基づいて応答パケットを生成し、
前記応答パケットを、前記キューに格納されるパケットに対する応答として前記ユーザ装置に送信することを含む、セキュリティ装置における動作方法。
ユーザ装置からパケットを受信し、
前記受信されたパケットが再送パケットであるか否かを判定し、
前記受信されたパケットが再送パケットではないと判定された場合、前記受信されたパケットをキューに格納し、
前記受信されたパケットが再送パケットであると判定された場合、前記キューに格納されるパケットを、前記受信されたパケットで置き換え、
前記受信されたパケットに基づいて問合せパケットを生成し、該生成した問合せパケットをサーバへ送信し、
前記サーバから問合せパケットに対する回答パケットを受信し、該受信した回答パケットに基づいて応答パケットを生成し、
前記応答パケットを、前記キューに格納されるパケットに対する応答として前記ユーザ装置に送信する処理をセキュリティ装置に実施させるためのプログラム。