JP4620070B2 - トラヒック制御システムおよびトラヒック制御方法 - Google Patents

Description

この発明は、トラヒック制御システムおよびトラヒック制御方法に関する。

従来より、ネットワークやネットワークに接続するユーザ端末の通信環境においては、不要なトラヒックに対する対策技術が不可欠である。すなわち、例えば、外部からの不正侵入や、大量の通信トラヒックを送りつけるサービス不能攻撃（ＤｏＳ攻撃：Denial of Service攻撃）、あるいは、サービス不能攻撃を同時多発的に仕掛ける分散型サービス不能攻撃（ＤＤｏＳ攻撃：Distributed Denial of Service攻撃）等に対する対策技術が不可欠である。

これらの攻撃による不要なトラヒックは、単に攻撃対象のユーザ端末（ユーザによって利用されるＰＣ（Personal Computer）やサーバ等）を使用不能やサービス停止にするばかりでなく、攻撃元から攻撃対象のユーザ端末に至るネットワーク内の経路上のリンクやアクセスラインの帯域を占有し、それらリンクやアクセスライン上を流れる攻撃対象のユーザ端末以外のユーザ端末宛のパケットにも遅延やロスを生じさせる。

このような不要なトラヒックに対する対策技術としては、予め設定されたルールに基づいてパケットの廃棄や流量の制限を行うファイアウォール（ＦＷ：FireWall）や、攻撃検知システム（ＩＤＳ：Intrusion Detection System）等がある。ＦＷやＩＤＳについて具体的に説明すると、まず、ＦＷは、ユーザ端末にインストールされるソフトウェアや、ルータ等のネットワーク装置（ＮＷ装置：NetWork装置）のパケットフィルタリング機能、あるいは、専用装置として提供される。例えば、ＦＷには、ユーザ端末が外部の端末に提供しているサービスのパケット、および、外部の端末が提供しているサービスをユーザ端末が利用するためのパケットのみを通過させ、それ以外のパケットを遮断するように、ユーザによってルールが設定されるなどする。

また、ＩＤＳも、ユーザ端末にインストールされるソフトウェアや、ルータ等のネットワーク装置の機能、あるいは、専用装置として提供される。なお、ＩＤＳには、ＩＤＳが取得したパケットを、予め設定されている攻撃パケットのパターンと比較することによって攻撃を検出するシグネチャ型や、ＩＤＳが取得したパケットあるいはＩＤＳがネットワーク機器から収集したフロー情報を用いてトラヒックを監視し、監視データを分析することによって異常なトラヒックを検出するトラヒックアノマリ型がある。

図５２は、ファイアウォールや攻撃検知システムによる対策を説明するための図であるが、ＦＷやＩＤＳは、図５２に示すように、一般に、ユーザサイトに設置され、外部端末から送出されネットワークを介してユーザサイトに送信される攻撃トラヒックを遮断し、攻撃トラヒックからユーザ端末を防御する。ところが、図５２に示すように、ＦＷやＩＤＳは、ネットワークとユーザサイトとを接続するアクセスラインを流れる攻撃トラヒックを排除することはできないことから、アクセスラインの帯域が大量の攻撃トラヒックに占有される結果、ユーザ端末と外部との通信が阻害され、また、ネットワークとアクセスラインとの接続点やアクセスラインの一部または全部を共用している他のユーザ端末宛のパケットに遅延やロスが生じやすくなる。さらに、ＦＷやＩＤＳは、ネットワーク内を流れる攻撃トラヒックを排除することもできないことから、ネットワーク内の帯域が大量の攻撃トラヒックに圧迫される結果、ネットワーク装置の過負荷が生じやすくなったり、ネットワークに接続する他のユーザ端末宛のパケットにも遅延やロスが生じやすくなる等の影響が出るようになる。

このため、例えば、特許文献１には、ユーザサイトのユーザ端末やネットワーク機器（ＣＰＥ：Customer Premises Equipment）における攻撃検知を契機として、ネットワーク装置が、ユーザ端末やＣＰＥごとの個別のパーソナルポリシを保持し、保持する個別のパーソナルポリシに基づいて攻撃トラヒックを遮断する手法が開示されている。図５３は、従来技術を説明するための図であるが、特許文献１に開示されている手法は、図５３に示すように、まず、ユーザ端末（あるいは、ＣＰＥ）が、外部端末から送出されネットワークを介してユーザサイトに送信される攻撃トラヒック（図５３の（１）および（２）を参照）を、パケット検査部においてパーソナルポリシに基づいて検査し、攻撃パケットを検出すると、攻撃パケットを廃棄してユーザ端末を防御するとともに（図５３の（３）を参照）、パーソナルポリシをＮＷ装置に送信する（図５３の（４）を参照）。すると、ＮＷ装置は、受信したパーソナルポリシを防御ポリシ保持部において保持するとともに（図５３の（５）を参照）、攻撃トラヒックを、パケット検査部において、防御ポリシ保持部に保持したパーソナルポリシに基づいて検査し、攻撃パケットを検出すると、攻撃パケットを廃棄してユーザ端末を防御する。

また、例えば、非特許文献１や非特許文献２には、トラヒックアノマリ型のＩＤＳが開示されている。これらのＩＤＳは、ネットワーク内に設置され、まず、ネットワーク内のトラヒックを監視する。次に、ＩＤＳは、ネットワーク内の通常の通信状況を学習したり解析したりすることによって攻撃トラヒックやファイル交換等の異常なトラヒックを検知し、そのような攻撃トラヒックや異常トラヒックを遮断することを目的として、ルータ等に設定するフィルタリングルールを作成する。そして、ＩＤＳは、作成したフィルタリングルールを、ネットワーク内のルータ等に設定する。

特開２００６−１４６８３７号公報 "ARBOR NETWORKS"、［online］、［平成１９年２月１６日検索］、インターネット＜http://www.cisco.com/jp/specialprog/avvidprog/partner/part_find/catalog/sec/secur-arbor.shtml_contact＞ "Cisco Guard XT 5650"、［online］、［平成１９年２月１６日検索］、インターネット＜http://www.cisco.com/japanese/warp/public/3/jp/product/hs/security/gdma/prodlit/gxt5600_ds.shtml＞

ところで、上記した従来の技術では、以下に説明するように、個別のパーソナルポリシに基づき不要なトラヒックを遮断又は抑制するにあたり、ユーザサイトのユーザ端末やネットワーク機器における検知を契機としなければ不要なトラヒックを遮断又は抑制することができず、また、不要なトラヒックの送信元の近くで不要なトラヒックを遮断又は抑制することができないという課題がある。

すなわち、特許文献１に開示されている技術では、ユーザ端末やＣＰＥにおける検知を契機としなければ不要なトラヒックを遮断又は抑制することができない。そうであるとすると、一般に、性能が低いユーザ端末やＣＰＥは過剰な攻撃によって瞬時に過負荷になりその動作が不安定になることから、ユーザ端末やＣＰＥは、過剰な攻撃を受けると、ネットワーク装置に対してパーソナルポリシ等を送信できなくなるおそれがあり、この結果、ネットワーク装置は、不要なトラヒックを遮断又は抑制することができなくなるおそれがある。また、特許文献１に開示されている技術では、攻撃パケットの送信元の近くで攻撃パケットを排除することができない。この結果、ネットワーク装置は、攻撃パケットによるネットワーク内の帯域圧迫を排除することができず、ネットワークに接続するユーザ端末等、その他のユーザ端末への影響を排除することができなくなる。なお、非特許文献１や非特許文献２に開示されている技術は、個別のパーソナルポリシに基づき不要なトラヒックを遮断又は抑制するものではない。

そこで、この発明は、上記した従来技術の課題を解決するためになされたものであり、ユーザサイトのユーザ端末やネットワーク機器における検知を契機とすることなく、不要なトラヒックの送信元の近くで、個別のパーソナルポリシに基づき不要なトラヒックを遮断又は抑制することが可能なトラヒック制御システムおよびトラヒック制御方法を提供することを目的とする。

上述した課題を解決し、目的を達成するため、請求項１に係る発明は、ユーザによって運用されるユーザ装置で構成されているユーザネットワークの各々が、複数の当該ユーザネットワーク同士を通信可能に接続する広域ネットワークに対して広域ネットワーク装置各々を介して接続されている場合に、所定のユーザネットワークから他のユーザネットワークに対して当該広域ネットワーク経由で送信されたトラヒックを制御するトラヒック制御システムであって、前記ユーザネットワークを構成するユーザ装置のいずれか一つまたは複数は、当該ユーザ装置と当該ユーザ装置で構成されている自ユーザネットワーク以外の他のユーザネットワークとの間で送受信されるトラヒック、および／または、前記自ユーザネットワーク内で当該ユーザ装置が管理するその他のユーザ装置と前記他のユーザネットワークとの間で送受信されるトラヒックについて、当該トラヒックを制御するルールを要素とする集合体である個別ポリシを、前記広域ネットワークに接続するポリシ集約サーバに対して送信するポリシ送信手段を備え、前記ポリシ集約サーバは、前記ポリシ送信手段によって送信された前記個別ポリシ各々を受信するポリシ受信手段と、前記ポリシ受信手段によって受信された前記個別ポリシ各々の要素である前記ルールを、当該ルールを設定すべき前記広域ネットワーク装置の各々に送信するルール送信手段とを備え、前記広域ネットワーク装置の各々は、前記ルール送信手段によって送信された前記ルールを受信するルール受信手段と、前記ルール受信手段によって受信された前記ルールに従って、前記トラヒックを制御するトラヒック制御手段と、を備えたことを特徴とする。

また、請求項２に係る発明は、上記の発明において、前記ルール送信手段は、前記ポリシ受信手段によって受信された前記個別ポリシ各々の要素である前記ルールから、当該ルールについて集約した集約ルールと当該集約ルールを要素とする集合体である集約ポリシとを作成し、当該集約ルールを、当該集約ルールを設定すべき前記広域ネットワーク装置の各々に送信することを特徴とする。

また、請求項３に係る発明は、上記の発明において、前記ポリシ受信手段は、前記個別ポリシ各々を受信する際に、当該個別ポリシ各々の正当性を検証することをさらに特徴とする。

また、請求項４に係る発明は、上記の発明において、前記ユーザ装置は、前記自ユーザネットワーク以外のネットワーク上で開示されない非開示アドレスおよび／または非開示ポート番号と、当該ネットワーク上で開示される開示アドレスおよび／または開示ポート番号とを変換するＮＡＴ機能を利用しており、前記ルールは、当該非開示アドレスおよび／または当該非開示ポート番号で記述されているものであって、前記ユーザネットワークを構成するユーザ装置のいずれか一つまたは複数は、前記ルールに記述された前記非開示アドレスおよび／または前記非開示ポート番号を、前記開示アドレスおよび／または前記開示ポート番号に変換するアドレス変換手段をさらに備え、前記ポリシ送信手段は、前記アドレス変換手段によって変換された前記ルールを要素とする個別ポリシを、前記ポリシ集約サーバに対して送信することを特徴とする。

また、請求項５に係る発明は、上記の発明において、前記ルール送信手段は、前記ルールに従ってトラヒックが制御されることになる前記ユーザ装置に関する情報を統計情報として作成することをさらに特徴とし、前記ポリシ集約サーバは、前記ルール送信手段によって作成された前記統計情報に基づいて、前記ルールを、当該ルールに従ってトラヒックが制御されることになる前記ユーザ装置以外の他のユーザ装置と前記他のユーザネットワークとの間で送受信されるトラヒックを制御するルールとして採用すべきか否かを判断する判断手段をさらに備えたことを特徴とする。

また、請求項６に係る発明は、上記の発明において、前記ポリシ集約サーバは、前記広域ネットワーク装置において検出した攻撃パケットを識別する識別情報および当該攻撃パケットに対する対策情報を含む攻撃対策情報を、当該広域ネットワーク装置から取得する攻撃対策情報取得手段と、前記攻撃対策情報取得手段によって取得された前記攻撃対策情報から、当該攻撃対策情報に基づいて前記トラヒックを制御する対策ルールを要素とする集合体である対策ポリシを作成する対策ポリシ作成手段とをさらに備え、前記ルール送信手段は、前記対策ポリシ作成手段によって作成された前記対策ポリシを、前記ルールに反映することを特徴とする。

また、請求項７に係る発明は、上記の発明において、前記ルール送信手段は、同種の前記ルールに基づいてトラヒックを制御されるユーザ装置のグループごとに当該ルールについて集約した集約ポリシを作成し、当該グループごとに仮想的なネットワークもしくは物理的なネットワークを形成するように前記広域ネットワーク装置の各々に設定させる設定情報、および、当該グループごとの集約ポリシを、当該設定情報および当該集約ポリシを設定すべき前記広域ネットワーク装置の各々に送信することをさらに特徴とする。

また、請求項８に係る発明は、ユーザによって運用されるユーザ装置で構成されているユーザネットワークの各々が、複数の当該ユーザネットワーク同士を通信可能に接続する広域ネットワークに対して広域ネットワーク装置各々を介して接続されている場合に、所定のユーザネットワークから他のユーザネットワークに対して当該広域ネットワーク経由で送信されたトラヒックを制御するトラヒック制御方法であって、前記ユーザネットワークを構成するユーザ装置のいずれか一つまたは複数は、当該ユーザ装置と当該ユーザ装置で構成されている自ユーザネットワーク以外の他のユーザネットワークとの間で送受信されるトラヒック、および／または、前記自ユーザネットワーク内で当該ユーザ装置が管理するその他のユーザ装置と前記他のユーザネットワークとの間で送受信されるトラヒックについて、当該トラヒックを制御するルールを要素とする集合体である個別ポリシを、前記広域ネットワークに接続するポリシ集約サーバに対して送信するポリシ送信工程を含み、前記ポリシ集約サーバは、前記ポリシ送信工程によって送信された前記個別ポリシ各々を受信するポリシ受信工程と、前記ポリシ受信工程によって受信された前記個別ポリシ各々の要素である前記ルールを、当該ルールを設定すべき前記広域ネットワーク装置の各々に送信するルール送信工程とを含み、前記広域ネットワーク装置の各々は、前記ルール送信工程によって送信された前記ルールを受信するルール受信工程と、前記ルール受信工程によって受信された前記ルールに従って、前記トラヒックを制御するトラヒック制御工程と、を含んだことを特徴とする。

また、請求項９に係る発明は、ユーザによって運用されるユーザ装置で構成されているユーザネットワークの各々が、複数の当該ユーザネットワーク同士を通信可能に接続する広域ネットワークに対して広域ネットワーク装置各々を介して接続されている場合に、当該広域ネットワークに接続するポリシ集約サーバが、前記ユーザ装置のいずれか一つまたは複数から送信された個別ポリシ各々を受信し、当該個別ポリシ各々の要素であるルールを当該ルールを設定すべき前記広域ネットワーク装置の各々に送信し、当該広域ネットワーク装置が、所定のユーザネットワークから他のユーザネットワークに対して当該広域ネットワーク経由で送信されたトラヒックを制御するトラヒック制御システムにおける前記ユーザ装置としてのユーザ端末であって、前記ユーザ端末と当該ユーザ端末で構成されている自ユーザネットワーク以外の他のユーザネットワークとの間で送受信されるトラヒックについて、当該トラヒックを制御するルールを要素とする集合体である個別ポリシを、前記ポリシ集約サーバに対して送信するポリシ送信手段を備えたことを特徴とする。

また、請求項１０に係る発明は、ユーザによって運用されるユーザ装置で構成されているユーザネットワークの各々が、複数の当該ユーザネットワーク同士を通信可能に接続する広域ネットワークに対して広域ネットワーク装置各々を介して接続されている場合に、当該広域ネットワークに接続するポリシ集約サーバが、前記ユーザ装置のいずれか一つまたは複数から送信された個別ポリシ各々を受信し、当該個別ポリシ各々の要素であるルールを当該ルールを設定すべき前記広域ネットワーク装置の各々に送信し、当該広域ネットワーク装置が、所定のユーザネットワークから他のユーザネットワークに対して当該広域ネットワーク経由で送信されたトラヒックを制御するトラヒック制御システムにおける前記ユーザ装置としてのユーザネットワーク機器であって、前記ユーザネットワーク機器と当該ユーザネットワーク機器で構成されている自ユーザネットワーク以外の他のユーザネットワークとの間で送受信されるトラヒックについて、当該トラヒックを制御するルールを要素とする集合体である個別ポリシを、前記ポリシ集約サーバに対して送信するポリシ送信手段を備えたことを特徴とする。

また、請求項１１に係る発明は、ユーザによって運用されるユーザ装置で構成されているユーザネットワークの各々が、複数の当該ユーザネットワーク同士を通信可能に接続する広域ネットワークに対して広域ネットワーク装置各々を介して接続されている場合に、当該広域ネットワークに接続するポリシ集約サーバが、前記ユーザ装置のいずれか一つまたは複数から送信された個別ポリシ各々を受信し、当該個別ポリシ各々の要素であるルールを当該ルールを設定すべき前記広域ネットワーク装置の各々に送信し、当該広域ネットワーク装置が、所定のユーザネットワークから他のユーザネットワークに対して当該広域ネットワーク経由で送信されたトラヒックを制御するトラヒック制御システムにおける前記ユーザ装置としてのユーザポリシサーバであって、前記ユーザポリシサーバで構成されている自ユーザネットワーク内で当該ユーザポリシサーバが管理するその他のユーザ装置と当該自ユーザネットワーク以外の他のユーザネットワークとの間で送受信されるトラヒックについて、当該トラヒックを制御するルールを要素とする集合体である個別ポリシを、当該その他のユーザ装置の各々から取得するポリシ取得手段と、前記ポリシ取得手段によって取得された前記個別ポリシ各々を、前記ポリシ集約サーバに対して送信するポリシ送信手段と、を備えたことを特徴とする。

また、請求項１２に係る発明は、ユーザによって運用されるユーザ装置で構成されているユーザネットワークの各々が、複数の当該ユーザネットワーク同士を通信可能に接続する広域ネットワークに対して広域ネットワーク装置各々を介して接続されている場合に、所定のユーザネットワークから他のユーザネットワークに対して当該広域ネットワーク経由で送信されたトラヒックを制御するトラヒック制御システムにおいて、当該広域ネットワークに接続するポリシ集約サーバであって、前記ユーザネットワークを構成するユーザ装置のいずれか一つまたは複数から、当該ユーザ装置と当該ユーザ装置で構成されている自ユーザネットワーク以外の他のユーザネットワークとの間で送受信されるトラヒック、および／または、前記自ユーザネットワーク内で当該ユーザ装置が管理するその他のユーザ装置と前記他のユーザネットワークとの間で送受信されるトラヒックについて、当該トラヒックを制御するルールを要素とする集合体である個別ポリシ各々を受信するポリシ受信手段と、前記ポリシ受信手段によって受信された前記個別ポリシ各々の要素である前記ルールを、当該ルールを設定すべき前記広域ネットワーク装置の各々に送信することで、当該広域ネットワーク装置の各々に当該ルールに従って前記トラヒックを制御させるルール送信手段と、を備えたことを特徴とする。

また、請求項１３に係る発明は、ユーザによって運用されるユーザ装置で構成されているユーザネットワークの各々が、複数の当該ユーザネットワーク同士を通信可能に接続する広域ネットワークに対して広域ネットワーク装置各々を介して接続されている場合に、所定のユーザネットワークから他のユーザネットワークに対して当該広域ネットワーク経由で送信されたトラヒックを制御するトラヒック制御システムにおいて、当該広域ネットワークに接続するポリシ集約サーバであって、前記ユーザネットワークを構成するユーザ装置のいずれか一つまたは複数から、当該ユーザ装置と当該ユーザ装置で構成されている自ユーザネットワーク以外の他のユーザネットワークとの間で送受信されるトラヒック、および／または、前記自ユーザネットワーク内で当該ユーザ装置が管理するその他のユーザ装置と前記他のユーザネットワークとの間で送受信されるトラヒックについて、当該トラヒックを制御するルールを要素とする集合体である個別ポリシ各々を受信するポリシ受信手段と、前記ポリシ受信手段によって受信された前記個別ポリシ各々の要素である前記ルールから、同種の前記ルールに基づいてトラヒックを制御されるユーザ装置のグループごとに当該ルールについて集約した集約ポリシを作成し、当該グループごとに仮想的なネットワークもしくは物理的なネットワークを形成するように前記広域ネットワーク装置の各々に設定させる設定情報、および、当該グループごとの集約ポリシを、当該設定情報および当該集約ポリシを設定すべき前記広域ネットワーク装置の各々に送信することで、当該広域ネットワーク装置の各々に当該ルールに従って前記トラヒックを制御させるルール送信手段と、を備えたことを特徴とする。

また、請求項１４に係る発明は、ユーザによって運用されるユーザ装置で構成されているユーザネットワークの各々が、複数の当該ユーザネットワーク同士を通信可能に接続する広域ネットワークに対して広域ネットワーク装置各々を介して接続されている場合に、当該広域ネットワークに接続するポリシ集約サーバが、前記ユーザ装置のいずれか一つまたは複数から送信された個別ポリシ各々を受信し、当該個別ポリシ各々の要素であるルールを当該ルールを設定すべき前記広域ネットワーク装置の各々に送信し、当該広域ネットワーク装置が、所定のユーザネットワークから他のユーザネットワークに対して当該広域ネットワーク経由で送信されたトラヒックを制御するトラヒック制御方法を、前記ユーザ装置としてのコンピュータであるユーザ端末に実行させるユーザ端末プログラムであって、前記ユーザ端末と当該ユーザ端末で構成されている自ユーザネットワーク以外の他のユーザネットワークとの間で送受信されるトラヒックについて、当該トラヒックを制御するルールを要素とする集合体である個別ポリシを、前記ポリシ集約サーバに対して送信するポリシ送信手順を前記コンピュータであるユーザ端末に実行させることを特徴とする。

また、請求項１５に係る発明は、ユーザによって運用されるユーザ装置で構成されているユーザネットワークの各々が、複数の当該ユーザネットワーク同士を通信可能に接続する広域ネットワークに対して広域ネットワーク装置各々を介して接続されている場合に、当該広域ネットワークに接続するポリシ集約サーバが、前記ユーザ装置のいずれか一つまたは複数から送信された個別ポリシ各々を受信し、当該個別ポリシ各々の要素であるルールを当該ルールを設定すべき前記広域ネットワーク装置の各々に送信し、当該広域ネットワーク装置が、所定のユーザネットワークから他のユーザネットワークに対して当該広域ネットワーク経由で送信されたトラヒックを制御するトラヒック制御方法を、前記ユーザ装置としてのコンピュータであるユーザネットワーク機器に実行させるユーザネットワーク機器プログラムであって、前記ユーザネットワーク機器と当該ユーザネットワーク機器で構成されている自ユーザネットワーク以外の他のユーザネットワークとの間で送受信されるトラヒックについて、当該トラヒックを制御するルールを要素とする集合体である個別ポリシを、前記ポリシ集約サーバに対して送信するポリシ送信手順を前記コンピュータであるユーザネットワーク機器に実行させることを特徴とする。

また、請求項１６に係る発明は、ユーザによって運用されるユーザ装置で構成されているユーザネットワークの各々が、複数の当該ユーザネットワーク同士を通信可能に接続する広域ネットワークに対して広域ネットワーク装置各々を介して接続されている場合に、当該広域ネットワークに接続するポリシ集約サーバが、前記ユーザ装置のいずれか一つまたは複数から送信された個別ポリシ各々を受信し、当該個別ポリシ各々の要素であるルールを当該ルールを設定すべき前記広域ネットワーク装置の各々に送信し、当該広域ネットワーク装置が、所定のユーザネットワークから他のユーザネットワークに対して当該広域ネットワーク経由で送信されたトラヒックを制御するトラヒック制御方法を、前記ユーザ装置としてのコンピュータであるユーザポリシサーバに実行させるユーザポリシサーバプログラムであって、前記ユーザポリシサーバで構成されている自ユーザネットワーク内で当該ユーザポリシサーバが管理するその他のユーザ装置と当該自ユーザネットワーク以外の他のユーザネットワークとの間で送受信されるトラヒックについて、当該トラヒックを制御するルールを要素とする集合体である個別ポリシを、当該その他のユーザ装置の各々から取得するポリシ取得手順と、前記ポリシ取得手順によって取得された前記個別ポリシ各々を、前記ポリシ集約サーバに対して送信するポリシ送信手順と、を前記コンピュータであるユーザポリシサーバに実行させることを特徴とする。

また、請求項１７に係る発明は、ユーザによって運用されるユーザ装置で構成されているユーザネットワークの各々が、複数の当該ユーザネットワーク同士を通信可能に接続する広域ネットワークに対して広域ネットワーク装置各々を介して接続されている場合に、所定のユーザネットワークから他のユーザネットワークに対して当該広域ネットワーク経由で送信されたトラヒックを制御するトラヒック制御方法を、当該広域ネットワークに接続するポリシ集約サーバとしてのコンピュータに実行させるポリシ集約サーバプログラムであって、前記ユーザネットワークを構成するユーザ装置のいずれか一つまたは複数から、当該ユーザ装置と当該ユーザ装置で構成されている自ユーザネットワーク以外の他のユーザネットワークとの間で送受信されるトラヒック、および／または、前記自ユーザネットワーク内で当該ユーザ装置が管理するその他のユーザ装置と前記他のユーザネットワークとの間で送受信されるトラヒックについて、当該トラヒックを制御するルールを要素とする集合体である個別ポリシ各々を受信するポリシ受信手順と、前記ポリシ受信手順によって受信された前記個別ポリシ各々の要素である前記ルールを、当該ルールを設定すべき前記広域ネットワーク装置の各々に送信することで、当該広域ネットワーク装置の各々に当該ルールに従って前記トラヒックを制御させるルール送信手順と、を前記ポリシ集約サーバとしてのコンピュータに実行させることを特徴とする。

また、請求項１８に係る発明は、ユーザによって運用されるユーザ装置で構成されているユーザネットワークの各々が、複数の当該ユーザネットワーク同士を通信可能に接続する広域ネットワークに対して広域ネットワーク装置各々を介して接続されている場合に、所定のユーザネットワークから他のユーザネットワークに対して当該広域ネットワーク経由で送信されたトラヒックを制御するトラヒック制御方法を、当該広域ネットワークに接続するポリシ集約サーバとしてのコンピュータに実行させるポリシ集約サーバプログラムであって、前記ユーザネットワークを構成するユーザ装置のいずれか一つまたは複数から、当該ユーザ装置と当該ユーザ装置で構成されている自ユーザネットワーク以外の他のユーザネットワークとの間で送受信されるトラヒック、および／または、前記自ユーザネットワーク内で当該ユーザ装置が管理するその他のユーザ装置と前記他のユーザネットワークとの間で送受信されるトラヒックについて、当該トラヒックを制御するルールを要素とする集合体である個別ポリシ各々を受信するポリシ受信手順と、前記ポリシ受信手順によって受信された前記個別ポリシ各々の要素である前記ルールから、同種の前記ルールに基づいてトラヒックを制御されるユーザ装置のグループごとに当該ルールについて集約した集約ポリシを作成し、当該グループごとに仮想的なネットワークもしくは物理的なネットワークを形成するように前記広域ネットワーク装置の各々に設定させる設定情報、および、当該グループごとの集約ポリシを、当該設定情報および当該集約ポリシを設定すべき前記広域ネットワーク装置の各々に送信することで、当該広域ネットワーク装置の各々に当該ルールに従って前記トラヒックを制御させるルール送信手順と、を前記ポリシ集約サーバとしてのコンピュータに実行させることを特徴とする。

請求項１、８〜１２、１４〜１７の発明によれば、ユーザによって運用されるユーザ装置で構成されているユーザネットワークの各々が、複数のユーザネットワーク同士を通信可能に接続する広域ネットワークに対して広域ネットワーク装置各々を介して接続されている場合に、所定のユーザネットワークから他のユーザネットワークに対して広域ネットワーク経由で送信されたトラヒックを制御するトラヒック制御システムであって、ユーザネットワークを構成するユーザ装置のいずれか一つまたは複数は、ユーザ装置とユーザ装置で構成されている自ユーザネットワーク以外の他のユーザネットワークとの間で送受信されるトラヒック、および／または、自ユーザネットワーク内でユーザ装置が管理するその他のユーザ装置と他のユーザネットワークとの間で送受信されるトラヒックについて、トラヒックを制御するルールを要素とする集合体である個別ポリシを、広域ネットワークに接続するポリシ集約サーバに対して送信し、ポリシ集約サーバは、送信された個別ポリシ各々を受信し、受信された個別ポリシ各々の要素であるルールを、ルールを設定すべき広域ネットワーク装置の各々に送信し、広域ネットワーク装置の各々は、送信されたルールを受信し、受信されたルールに従って、トラヒックを制御するので、ユーザサイトのユーザ装置（ユーザ端末やネットワーク機器など）における検知を契機とすることなく、不要なトラヒックの送信元の近くで、個別のパーソナルポリシに基づき不要なトラヒックを遮断又は抑制することが可能になる。

また、請求項２の発明によれば、ポリシ集約サーバは、個別ポリシ各々の要素であるルールから、ルールについて集約した集約ルールと集約ルールを要素とする集合体である集約ポリシとを作成し、集約ルールを、集約ルールを設定すべき広域ネットワーク装置の各々に送信するので、上記の効果に加え、集約ポリシを作成することで、総ルール数が少なくなる結果、広域ネットワーク装置のＦＷ処理やＩＤＳ処理の負荷を軽減する効果が得られることから、予め全ての広域ネットワーク装置に集約ポリシを設定し、不要なトラヒックを遮断又は抑制することが可能になる。

また、請求項３の発明によれば、ポリシ集約サーバは、個別ポリシ各々を受信する際に、個別ポリシ各々の正当性を検証するので、上記の効果に加え、広域ネットワーク装置が、正当でない個別ポリシに従って、トラヒックを不当に制御するおそれを回避することが可能になる。

また、請求項４の発明によれば、ユーザ装置は、自ユーザネットワーク以外のネットワーク上で開示されない非開示アドレスおよび／または非開示ポート番号と、ネットワーク上で開示される開示アドレスおよび／または開示ポート番号とを変換するＮＡＴ機能を利用しており、ルールは、非開示アドレスおよび／または非開示ポート番号で記述されているものであって、ユーザネットワークを構成するユーザ装置のいずれか一つまたは複数は、ルールに記述された非開示アドレスおよび／または非開示ポート番号を、開示アドレスおよび／または開示ポート番号に変換し、変換されたルールを要素とする個別ポリシを、ポリシ集約サーバに対して送信するので、上記の効果に加え、ユーザ装置（ユーザ端末やネットワーク機器など）がＮＡＴ機能を利用して広域ネットワークと接続されている環境においても、不要なトラヒックを遮断又は抑制することが可能になる。

また、請求項５の発明によれば、ポリシ集約サーバは、ルールに従ってトラヒックが制御されることになるユーザ装置に関する情報を統計情報として作成し、作成された統計情報に基づいて、ルールを、ルールに従ってトラヒックが制御されることになるユーザ装置以外の他のユーザ装置と他のユーザネットワークとの間で送受信されるトラヒックを制御するルールとして採用すべきか否かを判断するので、上記の効果に加え、広域ネットワーク装置が検出した異常なトラヒックを不要なトラヒックとして遮断又は抑制すべきか否かを判断するにあたり、統計情報（例えば、当該ルールが、何個の個別ポリシを集約したものであるか、何人のユーザのルールを集約したものであるか、など）を、当該ルールをユーザのコンセンサスとして解釈することが可能か否かの判断材料とすることが可能になる。

また、請求項６の発明によれば、ポリシ集約サーバは、広域ネットワーク装置において検出した攻撃パケットを識別する識別情報および攻撃パケットに対する対策情報を含む攻撃対策情報を、広域ネットワーク装置から取得し、取得した攻撃対策情報から、攻撃対策情報に基づいてトラヒックを制御する対策ルールを要素とする集合体である対策ポリシを作成し、作成した対策ポリシを、ルールに反映するので、上記の効果に加え、広域ネットワーク装置側で検出し対策を判断した異常なトラヒックを、不要なトラヒックとして遮断又は抑制することが可能になる。

また、請求項７、１３、あるいは１８の発明によれば、ポリシ集約サーバは、同種のルールに基づいてトラヒックを制御されるユーザ装置のグループごとにルールについて集約した集約ポリシを作成し、グループごとに仮想的なネットワークもしくは物理的なネットワークを形成するように広域ネットワーク装置の各々に設定させる設定情報、および、グループごとの集約ポリシを、設定情報および集約ポリシを設定すべき広域ネットワーク装置の各々に送信するので、上記の効果に加え、攻撃トラヒックではない大量トラヒックの発生時などの場合に、ユーザ間の公平性を確保することが可能になる。

以下に添付図面を参照して、この発明に係るトラヒック制御システムおよびトラヒック制御方法の実施例を詳細に説明する。なお、以下では、実施例で用いる主要な用語、実施例１に係るトラヒック制御システムの概要および特徴、実施例１に係るトラヒック制御システムの構成、実施例１に係るトラヒック制御システムによる処理の手順、実施例１の効果を順に説明し、続いて、他の実施例について説明する。

［用語の説明］
まず最初に、以下の実施例で用いる主要な用語を説明する。「ユーザネットワーク」とは、企業のネットワークや、自宅のネットワークなど、個人のユーザによって運用されるユーザサイトのネットワークのことである。より具体的には、「ユーザネットワーク」は、ユーザによって利用されるＰＣ（Personal Computer）やサーバ等の端末（以下、ユーザ端末）や、これらユーザ端末同士を接続しているネットワーク機器（以下、ＣＰＥ：Customer Premises Equipment）等によって構成されている。以下では、このようなユーザ端末やＣＰＥを区別せずに「ユーザネットワーク」を構成する同一の機能を有する装置と考える際には、「ユーザ装置」と表現し、ユーザ端末とＣＰＥとを区別して異なる機能を有する装置と考える際には、「ユーザ端末」や「ＣＰＥ」と表現することとする。なお、以下の実施例においては、「ユーザ装置」として、「ユーザポリシサーバ」も登場する。

ところで、通常、「ユーザ装置」は、同じ「ユーザネットワーク」内の「ユーザ装置」との間でのみトラヒックを送受信するものではない。インターネットサービス提供者（以下、ＩＳＰ：Internet Service Provider）等によって運営される「広域ネットワーク」によって、複数の「ユーザネットワーク」同士が通信可能に接続され、所定の「ユーザネットワーク」を構成している「ユーザ装置」は、他の「ユーザネットワーク」との間でトラヒックを送受信するものである。こうして、「ユーザ装置」が他の「ユーザネットワーク」との間でトラヒックを送受信するとなると、周知の通り、不要なトラヒックに対する対策技術が不可欠となってくる。

ここで、「不要なトラヒック」とは、攻撃トラヒックや、大量トラヒック等のことである。従来は、ＦＷ機能やＩＤＳ機能を備えた「ユーザ装置」が、パーソナルポリシ（特許請求の範囲に記載の「個別ポリシ」に対応する）に従ってトラヒックを制御することで、このような「不要なトラヒック」に対する対策を行ってきた。しかしながら、「不要なトラヒック」が、「広域ネットワーク」を経由して、所定の「ユーザネットワーク」から他の「ユーザネットワーク」に送信されることを考えるとわかるように、「不要なトラヒック」は、「広域ネットワーク」における入口のところにおいて遮断又は抑制されることが望ましい。このため、以下の実施例においては、「不要なトラヒック」が、所定の「ユーザネットワーク」から他の「ユーザネットワーク」に送信される際に経由することになる「広域ネットワーク装置」に、「不要なトラヒック」の対策を施すことになるが、どのようにしてパーソナルポリシを「広域ネットワーク装置」に設定するか、また、どのようにして「広域ネットワーク」における入口のところの「広域ネットワーク装置」に設定するかが、重要になってくる。

［実施例１に係るトラヒック制御システムの概要および特徴］
続いて、図１を用いて、実施例１に係るトラヒック制御システムの概要および特徴を説明する。図１は、実施例１に係るトラヒック制御システムの概要および特徴を説明するための図である。

実施例１に係るトラヒック制御システムは、上記したように、ユーザによって運用されるユーザ装置で構成されているユーザネットワークの各々が、複数のネットワークユーザ同士を通信可能に接続する広域ネットワークに対して広域ネットワーク装置各々を介して接続されている場合に、所定のユーザネットワークから他のユーザネットワークに対して広域ネットワーク経由で送信されたトラヒックを制御することを概要とし、ユーザサイトのユーザ装置における検知を契機とすることなく、不要なトラヒックの送信元の近くで、個別のパーソナルポリシに基づき不要なトラヒックを遮断又は抑制することを主たる特徴とする。

この主たる特徴について簡単に説明すると、実施例１に係るトラヒック制御システムは、図１に示すように、ユーザネットワークを構成するユーザ装置（ユーザ端末、ＣＰＥ、ユーザポリシサーバ）のいずれか一つまたは複数が、広域ネットワークに接続するポリシ集約サーバに送信する（図１の（１）を参照）。

具体的には、ユーザ装置のいずれか一つまたは複数が、ユーザ装置（ユーザ端末、ＣＰＥ、ユーザポリシサーバ）とユーザ装置で構成されている自ユーザネットワーク以外の他のユーザネットワークとの間で送受信されるトラヒックや、自ユーザネットワーク内でユーザ装置（ユーザポリシサーバ）が管理するその他のユーザ装置（ユーザ端末、ＣＰＥ）と他のユーザネットワークとの間で送受信されるトラヒックについて、トラヒックを制御するルールを要素とする集合体である個別ポリシを、ポリシ集約サーバに対して送信する。例えば、実施例１においては、ユーザ装置として、ユーザ端末４Ａ、ＣＰＥ５Ａ、およびユーザポリシサーバ６が、個別ポリシを、ポリシ集約サーバ７に対して送信する。

次に、ポリシ集約サーバは、送信された個別ポリシ各々を受信する（図１の（２）を参照）。例えば、実施例１においては、ポリシ集約サーバ７は、ユーザ端末４Ａ、ＣＰＥ５Ａ、およびユーザポリシサーバ６から送信された個別ポリシ各々を受信する。

続いて、ポリシ集約サーバは、受信された個別ポリシ各々の要素であるルールを、ルールを設定すべき広域ネットワーク装置の各々に送信する（図１の（３）を参照）。例えば、実施例１においては、ポリシ集約サーバ７は、個別ポリシ各々の要素であるルールを、広域ネットワーク装置３Ａ、３Ｂ、および３Ｃに送信する。

すると、広域ネットワーク装置は、送信されたルールを受信し（図１の（４）を参照）、受信したルールに従って、トラヒックを制御する（図１の（５）を参照）。例えば、実施例１においては、広域ネットワーク装置３Ａ、３Ｂ、および３Ｃは、ポリシ集約サーバ７から送信されたルールを受信し、受信したルールに従って、トラヒックを制御する。

このようなことから、実施例１に係るトラヒック制御システムによれば、ユーザサイトのユーザ装置（ユーザ端末やＣＰＥなど）における検知を契機とすることなく、不要なトラヒックの送信元の近くで、個別のパーソナルポリシに基づき不要なトラヒックを遮断又は抑制することが可能になる。

［実施例１に係るトラヒック制御システムの構成］
次に、図２〜図３５を用いて、実施例１に係るトラヒック制御システムの構成を説明する。図２は、実施例１に係るトラヒック制御システムの全体構成を示すブロック図であり、図３は、実施例１におけるユーザ端末の構成を示すブロック図であり、図４は、ユーザ端末のサービス情報記憶部を説明するための図であり、図５〜７は、ユーザ端末のルールセット記憶部を説明するための図であり、図８および９は、ユーザ端末のポリシ送信部を説明するための図であり、図１０は、実施例１におけるユーザネットワーク装置（ＣＰＥ）の構成を示すブロック図であり、図１１は、ＣＰＥのサービス情報記憶部を説明するための図であり、図１２〜１４は、ＣＰＥのルールセット記憶部を説明するための図であり、図１５および１６は、ＣＰＥのポリシ送信部を説明するための図であり、図１７は、実施例１におけるユーザポリシサーバの構成を示すブロック図であり、図１８は、ユーザポリシサーバのサービス情報記憶部を説明するための図であり、図１９〜２３は、ユーザポリシサーバのルールセット記憶部を説明するための図であり、図２４および２５は、ユーザポリシサーバのポリシ送信部を説明するための図であり、図２６は、実施例１におけるポリシ集約サーバの構成を示すブロック図であり、図２７は、ポリシ集約サーバのユーザ情報記憶部を説明するための図であり、図２８〜３１は、ポリシ集約サーバのポリシデータ記憶部を説明するための図であり、図３２は、ポリシ集約サーバの広域ネットワーク装置構成情報記憶部を説明するための図であり、図３３は、ポリシ集約サーバの攻撃対策情報取得部を説明するための図であり、図３４は、ポリシ集約サーバの対策ポリシ作成部を説明するための図であり、図３５は、ポリシ集約サーバのポリシ集約部を説明するための図である。

まず、図２を用いて、実施例１に係るトラヒック制御システムの構成について説明する。実施例１に係るトラヒック制御システムは、図２に示すように、ユーザによって利用されるユーザ端末４Ａ、４Ｂ、４Ｃ、４Ｄ、および４Ｅと、ユーザによって運用されるユーザネットワーク装置（ＣＰＥ）５Ａおよび５Ｂと、このようなユーザ端末やユーザネットワーク装置を含んで構成されているユーザネットワーク１Ｂ、１Ｃおよび１Ｄと、ユーザネットワークを構成するユーザポリシサーバ６と、ＩＳＰ等によって運営され、複数のユーザネットワーク同士を通信可能に接続する広域ネットワーク１Ａと、ユーザネットワークと広域ネットワーク１Ａとの間に設置される広域ネットワーク装置３Ａ、３Ｂ、および３Ｃと、広域ネットワーク１Ａに接続するポリシ集約サーバ７とからなる。

また、図２に示すように、ユーザ端末４Ａには、外部アドレス10.10.1.1が付与されており、ユーザ端末４Ｂには、内部アドレス192.168.1.1が付与されており、ユーザ端末４Ｃには、内部アドレス192.168.1.2が付与されており、ユーザ端末４Ｄには、内部アドレス192.168.1.1が付与されており、ユーザ端末４Ｅには、内部アドレス192.168.2.1が付与されており、ＣＰＥ５Ａには、外部アドレス10.10.1.2が付与されており、ＣＰＥ５Ｂには、外部アドレス10.10.1.3が付与されており、ユーザポリシサーバ６には、内部アドレス192.168.2.2が付与されており、ポリシ集約サーバ７には、外部アドレス10.10.180.120が付与されている。また、ユーザ端末４Ｅおよびユーザポリシサーバ６は、非武装地帯（ＤＭＺ：DeMilitarized Zone）に設置されている。

なお、実施例１においては、広域ネットワーク装置３Ａに、ユーザ端末４Ａ、ＣＰＥ５Ａ、およびＣＰＥ５Ｂが接続されている事例を説明するが、本発明はこれに限られるものではなく、より多くのユーザ端末やＣＰＥが接続されている事例や、ユーザ端末のみが接続されている事例など、いずれでもよい。また、実施例１においては、ＣＰＥ５ＡおよびＣＰＥ５Ｂに、ユーザ端末４Ｂ、４Ｃ、４Ｄ、および４Ｅが接続されている事例を説明するが、本発明はこれに限られるものではなく、より多くのユーザ端末が接続されている事例など、いずれでもよい。言い換えると、本発明に係るトラヒック制御システムは、ユーザネットワークの具体的な構成について、実施例１（図２の事例）に限られるものではなく、ユーザ端末、ＣＰＥ、およびユーザポリシサーバの数や接続形態等が異なるその他の構成についても、同様に適用することができるものである。

以下では、本発明に係るトラヒック制御システムを構成する代表的な装置として、ユーザ端末４Ａ、ユーザ端末４Ｂ、ＣＰＥ５Ａ、ユーザポリシサーバ６、ポリシ集約サーバ７、および広域ネットワーク装置３Ａについて、順に説明する。

［ユーザ端末４Ａ］
実施例１におけるユーザ端末４Ａは、図２に示すように、広域ネットワーク装置３Ａに直接接続されるユーザ端末であって、特に本発明に密接に関連するものとしては、図３に示すように、ポリシ送信部４０１と、サービス情報記憶部４０２と、アドレス変換部４０３と、ルールセット記憶部４０４とを備える。なお、ポリシ送信部４０１は、特許請求の範囲に記載の「ポリシ送信手段」に対応し、アドレス変換部４０３は、特許請求の範囲に記載の「アドレス変換手段」に対応する。

サービス情報記憶部４０２は、ポリシ集約サーバ７のアドレスや認証情報を予め記憶している。具体的には、サービス情報記憶部４０２は、ポリシ集約サーバ７のアドレスや認証情報を予め記憶しており、これらのアドレスや認証情報は、後述するポリシ送信部４０１によってユーザ端末ポリシがポリシ集約サーバ７に送信される際に利用される。例えば、サービス情報記憶部４０２は、図４に示すように、ポリシ集約サーバのアドレス「10.10.180.120」と、ポート番号「1025」と、認証データ「abcd」とを対応づけて、予め記憶している。

ルールセット記憶部４０４は、ユーザ端末ポリシを予め記憶している。具体的には、ルールセット記憶部４０４は、ユーザ端末ポリシとして、ＦＷ、ＩＤＳ、ＮＡＴ（Network Address Translation）等のルールを予め記憶しており、これらのルールは、後述するポリシ送信部４０１によってポリシ集約サーバ７に送信される。

例えば、ルールセット記憶部４０４は、図５に示すようなＦＷのルールと、図６に示すようなＩＤＳのルールと、図７に示すようなＩＤＳのルールとを予め記憶している。まず、ＦＷのルールについて説明すると、ルールセット記憶部４０４は、例えば、図５に示すように、入出力方向と、宛先アドレスと、送信元アドレスと、宛先ポート番号と、送信元ポート番号と、プロトコルと、プロトコル依存情報と、動作とを対応づけたＦＷのルールを予め記憶している。なお、プロトコル依存情報とは、例えば、プロトコルが「ＴＣＰ（Transmission Control Protocol）」ならば、「ＳＹＮ」、「ＡＣＫ」、「ＲＳＴ」、「ＦＩＮ」等のフラグを意味し、プロトコルが「ＩＣＭＰ（Internet Control Message Protocol）」ならば、「echo」、「echo-reply」等のメッセージタイプを意味する。

ここで、番号「４」のルールは、ユーザ端末４Ａにとって「INPUT」の方向のパケットであって、宛先アドレスが「any」（任意）で、送信元アドレスが「any」（任意）で、宛先ポート番号が「any」（任意）で、送信元ポート番号が「any」（任意）で、プロトコルが「any」（任意）で、プロトコル依存情報が無しのパケットについては、動作として「Reject」すると規定している。すなわち、ユーザ端末４Ａは、番号「４」のルールによって、全てのパケットを原則的に「廃棄」することを規定しているのである。一方で、ユーザ端末４Ａは、番号「１」〜「３」のルールによって、一部のパケットを例外的に「受信」することを規定している。例えば、番号「１」のルールは、ユーザ端末４Ａにとって「INPUT」の方向のパケットであって、宛先アドレスが「any」（任意）で、送信元アドレスが「any」（任意）で、宛先ポート番号が「8000」で、送信元ポート番号が「any」（任意）で、プロトコルが「ＴＣＰ」で、プロトコル依存情報が「SYN」のパケットについては、動作として「Accept」すると規定している。

次に、ＩＤＳのルールについて説明すると、ルールセット記憶部４０４は、例えば、図６に示すように、検出対象（入出力方向、宛先アドレス、送信元アドレス、宛先ポート番号、送信元ポート番号、プロトコル、およびプロトコル依存情報）と、検出条件（異常検出閾値および異常検出閾値超過時間）と、対策とを対応づけたＩＤＳのルールを予め記憶している。なお、プロトコル依存情報とは、例えば、プロトコルが「ＴＣＰ」ならば、「ＳＹＮ」、「ＡＣＫ」、「ＲＳＴ」、「ＦＩＮ」等のフラグを意味し、プロトコルが「ＩＣＭＰ」ならば、「echo」、「echo-reply」等のメッセージタイプを意味し、さらに、ＨＴＴＰ（HyperText Transfer Protocol）等のアプリケーションプロトコルやそのメッセージを含む。

ここで、番号「１」のルールは、ユーザ端末４Ａにとって「INPUT」の方向のパケットであって、宛先アドレスが「any」（任意）で、送信元アドレスが「any」（任意）で、宛先ポート番号が「any」（任意）で、送信元ポート番号が「HTTP(80)」で、プロトコルが「ＴＣＰ」で、プロトコル依存情報が無しのパケットを検出対象とし、「50Mpps」を閾値として、この閾値を「3分」超過した場合に当該パケットを検出することを検出条件とし、検出対象を検出した際の対策として、「レート制限10Mpps」を行うことを規定している。

次に、ＮＡＴのルールについて説明すると、ルールセット記憶部４０４は、例えば、図７に示すように、外部アドレスおよび外部ポート番号と、内部アドレスおよび内部ポート番号とを対応づけたＮＡＴのルールを予め記憶している。ここで、番号「１」のルールは、全ての内部アドレスが外部アドレス「10.10.1.1」に変換されることを規定している。

アドレス変換部４０３は、ＮＡＴを使用している場合に、ＮＡＴのルールに応じてアドレスやポート番号を変換する。具体的には、アドレス変換部４０３は、ルールセット記憶部４０４のＦＷのルールおよびＩＤＳのルールに含まれる宛先アドレスおよび宛先ポート番号を、ＮＡＴのルールに応じてネットワークで使用される宛先アドレスおよび宛先ポート番号へ変換する。

例えば、アドレス変換部４０３は、ルールセット記憶部４０４によって予め記憶されているＦＷのルール（図５を参照）に含まれる宛先アドレスを、ＮＡＴのルール（図７を参照）に応じて、外部アドレス「10.10.1.1」に変換する（図８を参照）。また、アドレス変換部４０３は、ルールセット記憶部４０４によって予め記憶されているＩＤＳのルール（図６を参照）に含まれる宛先アドレスを、ＮＡＴのルール（図７を参照）に応じて、外部アドレス「10.10.1.1」に変換する（図９を参照）。

ポリシ送信部４０１は、ユーザ端末ポリシをポリシ集約サーバ７に送信する。具体的には、ポリシ送信部４０１は、アドレス変換部４０３によってアドレス変換されたルールセット（ルールセット記憶部４０４によって予め記憶されているＦＷ、ＩＤＳ、ＮＡＴ等のルール）を、ポリシ集約サーバ７に送信する。例えば、ポリシ送信部４０１は、図８に示すようなＦＷのルールや、図９に示すようなＩＤＳのルールを、ポリシ集約サーバ７に送信する。なお、ポリシ送信部４０１は、ユーザ端末ポリシを、ポリシ集約サーバ７に適時送信してもよいし、ポリシ集約サーバ７のポリシ受信部７０１からの要求に応じて送信してもよい。

［ユーザ端末４Ｂ］
実施例１におけるユーザ端末４Ｂは、図２に示すように、広域ネットワーク装置３Ａに直接接続されるＣＰＥ５Ａを介して、間接的に広域ネットワーク装置３Ａに接続されるユーザ端末であって、ユーザ端末４Ａのように、ポリシ送信部４０１と、サービス情報記憶部４０２と、アドレス変換部４０３と、ルールセット記憶部４０４とを備える必要はない。

［ＣＰＥ５Ａ］
実施例１におけるＣＰＥ５Ａは、図２に示すように、広域ネットワーク装置３Ａに直接接続され、ユーザ端末４Ｂ等を間接的に広域ネットワーク装置３Ａに接続させるＣＰＥであって、特に本発明に密接に関連するものとしては、図１０に示すように、ポリシ送信部５０１と、サービス情報記憶部５０２と、アドレス変換部５０３と、ルールセット記憶部５０４とを備える。なお、ポリシ送信部５０１は、特許請求の範囲に記載の「ポリシ送信手段」に対応し、アドレス変換部５０３は、特許請求の範囲に記載の「アドレス変換手段」に対応する。

サービス情報記憶部５０２は、サービス情報記憶部４０２と同様、ポリシ集約サーバ７のアドレスや認証情報を予め記憶している。具体的には、サービス情報記憶部５０２は、ポリシ集約サーバ７のアドレスや認証情報を予め記憶しており、これらのアドレスや認証情報は、後述するポリシ送信部５０１によってユーザ端末ポリシがポリシ集約サーバ７に送信される際に利用される。例えば、サービス情報記憶部５０２は、図１１に示すように、ポリシ集約サーバのアドレス「10.10.180.120」と、ポート番号「1025」と、認証データ「efgh」とを対応づけて、予め記憶している。

ルールセット記憶部５０４は、ルールセット記憶部４０４と同様、ユーザネットワーク装置ポリシを予め記憶している。具体的には、ルールセット記憶部５０４は、ユーザネットワーク装置ポリシとして、ＦＷ、ＩＤＳ、ＮＡＴ等のルールを予め記憶しており、これらのルールは、後述するポリシ送信部５０１によってポリシ集約サーバ７に送信される。

例えば、ルールセット記憶部５０４は、図１２に示すようなＦＷのルールと、図１３に示すようなＩＤＳのルールと、図１４に示すようなＮＡＴのルールとを予め記憶している。まず、ＦＷのルールについて説明すると、ルールセット記憶部５０４は、例えば、図１２に示すように、入出力方向と、宛先アドレスと、送信元アドレスと、宛先ポート番号と、送信元ポート番号と、プロトコルと、プロトコル依存情報と、動作とを対応づけたＦＷのルールを予め記憶している。

ここで、番号「６」のルールは、ＣＰＥ５Ａにとって「INPUT」の方向のパケットであって、宛先アドレスが「any」（任意）で、送信元アドレスが「any」（任意）で、宛先ポート番号が「any」（任意）で、送信元ポート番号が「any」（任意）で、プロトコルが「any」（任意）で、プロトコル依存情報が無しのパケットについては、動作として「Reject」すると規定している。すなわち、ＣＰＥ５Ａは、番号「６」のルールによって、全てのパケットを原則的に「廃棄」することを規定しているのである。一方で、ＣＰＥ５Ａは、番号「１」〜「５」のルールによって、一部のパケットを例外的に「受信」することを規定している。例えば、番号「１」のルールは、ＣＰＥ５Ａにとって「INPUT」の方向のパケットであって、宛先アドレスが「192.168.1.1」で、送信元アドレスが「any」（任意）で、宛先ポート番号が「HTTP(80)」で、送信元ポート番号が「any」（任意）で、プロトコルが「ＴＣＰ」で、プロトコル依存情報が「SYN」のパケットについては、動作として「Accept」すると規定している。

次に、ＩＤＳのルールについて説明すると、ルールセット記憶部５０４は、例えば、図１３に示すように、検出対象（入出力方向、宛先アドレス、送信元アドレス、宛先ポート番号、送信元ポート番号、プロトコル、およびプロトコル依存情報）と、検出条件（異常検出閾値および異常検出閾値超過時間）と、対策とを対応づけたＩＤＳのルールを予め記憶している。

ここで、番号「１」のルールは、ＣＰＥ５Ａにとって「INPUT」の方向のパケットであって、宛先アドレスが「192.168.1.1」で、送信元アドレスが「any」（任意）で、宛先ポート番号が「HTTP(80)」で、送信元ポート番号が「any」（任意）で、プロトコルが「ＴＣＰ」で、プロトコル依存情報が「SYN」のパケットを検出対象とし、「50Mpps」を閾値として、この閾値を「3分」超過した場合に当該パケットを検出することを検出条件とし、検出対象を検出した際の対策として、「レート制限10Mpps」を行うことを規定している。

次に、ＮＡＴのルールについて説明すると、ルールセット記憶部５０４は、例えば、図１４に示すように、外部アドレスおよび外部ポート番号と、内部アドレスおよび内部ポート番号とを対応づけたＮＡＴのルールを予め記憶している。ここで、番号「１」のルールは、内部アドレス「192.168.1.1」および内部ポート番号「80」の組み合わせのパケットについては、外部アドレス「10.10.1.2」および外部ポート番号「HTTP(80)」の組み合わせのパケットに変換されることを規定している。

アドレス変換部５０３は、アドレス変換部４０３と同様、ＮＡＴを使用している場合に、ＮＡＴのルールに応じてアドレスやポート番号を変換する。具体的には、アドレス変換部５０３は、ルールセット記憶部５０４のＦＷのルールおよびＩＤＳのルールに含まれる宛先アドレスおよび宛先ポート番号を、ＮＡＴのルールに応じてネットワークで使用される宛先アドレスおよび宛先ポート番号へ変換する。

例えば、アドレス変換部５０３は、ルールセット記憶部５０４によって予め記憶されているＦＷのルール（図１２を参照）に含まれる宛先アドレスを、ＮＡＴのルール（図１４を参照）に応じて、外部アドレス「10.10.1.2」に変換する（図１５を参照）。また、アドレス変換部５０３は、ルールセット記憶部５０４によって予め記憶されているＩＤＳのルール（図１３を参照）に含まれる宛先アドレスを、ＮＡＴのルール（図１４を参照）に応じて、外部アドレス「10.10.1.2」に変換する（図１６を参照）。

ポリシ送信部５０１は、ポリシ送信部４０１と同様、ユーザネットワーク装置ポリシをポリシ集約サーバ７に送信する。具体的には、ポリシ送信部５０１は、アドレス変換部５０３によってアドレス変換されたルールセット（ルールセット記憶部５０４によって予め記憶されているＦＷ、ＩＤＳ、ＮＡＴ等のルール）を、ポリシ集約サーバ７に送信する。例えば、ポリシ送信部５０１は、図１５に示すようなＦＷのルールや、図１６に示すようなＩＤＳのルールを、ポリシ集約サーバ７に送信する。

［ユーザポリシサーバ６］
実施例１におけるユーザポリシサーバ６は、図２に示すように、広域ネットワーク装置３Ａに直接接続されるＣＰＥ５Ｂを介して、間接的に広域ネットワーク装置３Ａに接続されるユーザポリシサーバであって、特に本発明に密接に関連するものとしては、図１７に示すように、ポリシ送信部６０１と、サービス情報記憶部６０２と、アドレス変換部６０３と、ルールセット記憶部６０４と、ポリシ取得部６０５とを備える。なお、ポリシ送信部６０１は、特許請求の範囲に記載の「ポリシ送信手段」に対応し、アドレス変換部６０３は、特許請求の範囲に記載の「アドレス変換手段」に対応し、ポリシ取得部６０５は、特許請求の範囲に記載の「ポリシ取得手段」に対応する。また、以下の実施例においては、ユーザポリシサーバ６が単独の装置としてトラヒック制御システムを構成する事例を説明するが、本発明はこれに限られるものではなく、ユーザポリシサーバ６が、ＣＰＥに具備される機能としてトラヒック制御システムを構成する事例など、具体的な実現形態はいずれでもよい。

サービス情報記憶部６０２は、サービス情報記憶部４０２と同様、ポリシ集約サーバ７のアドレスや認証情報を予め記憶している。具体的には、サービス情報記憶部６０２は、ポリシ集約サーバ７のアドレスや認証情報を予め記憶しており、これらのアドレスや認証情報は、後述するポリシ送信部６０１によってポリシがポリシ集約サーバ７に送信される際に利用される。例えば、サービス情報記憶部６０２は、図１８に示すように、ポリシ集約サーバのアドレス「10.10.180.120」と、ポート番号「1025」と、認証データ「ijkl」とを対応づけて、予め記憶している。

ルールセット記憶部６０４は、ルールセット記憶部４０４と同様、ポリシを予め記憶している。具体的には、ルールセット記憶部６０４は、ポリシとして、ＦＷ、ＩＤＳ、ＮＡＴ等のルールを予め記憶しており、これらのルールは、後述するポリシ送信部６０１によってポリシ集約サーバ７に送信される。もっとも、ルールセット記憶部４０４は、ユーザ端末自身のユーザ端末ポリシを予め記憶しており、ルールセット記憶部５０４は、ユーザネットワーク装置自身のユーザネットワーク装置ポリを予め記憶しているが、ルールセット記憶部６０４は、ユーザポリシサーバ６が管理するユーザ端末のユーザ端末ポリシや、ユーザポリシサーバ６が管理するユーザネットワーク装置のユーザネットワーク装置ポリシを予め記憶するものである。

なお、ルールセット記憶部６０４がこれらユーザ端末ポリシやユーザネットワーク装置ポリシを保持する手法としては、ユーザポリシサーバ６がユーザによる設定を受け付けることで保持する手法や、後述するポリシ取得部６０５によって、例えば、ユーザ端末４Ｄのルールセット記憶部４０４や、ＣＰＥ５Ｂのルールセット記憶部５０４から取得して保持する手法など、いずれでもよい。

例えば、ルールセット記憶部６０４は、図１９および２０に示すようなＦＷのルールと、図２１および２２に示すようなＩＤＳのルールとを予め記憶している。ここで、図１９は、後述するポリシ取得部６０５が、ユーザ端末４Ｄのルールセット記憶部４０４から取得して、ルールセット記憶部６０４が保持したＦＷルールを示すものであり、図２０は、後述するポリシ取得部６０５が、ＣＰＥ５Ｂのルールセット記憶部５０４から取得して、ルールセット記憶部６０４が保持したＦＷルールを示すものである。同様に、図２１は、後述するポリシ取得部６０５が、ユーザ端末４Ｄのルールセット記憶部４０４から取得して、ルールセット記憶部６０４が保持したＩＤＳルールを示すものであり、図２２は、後述するポリシ取得部６０５が、ＣＰＥ５Ｂのルールセット記憶部５０４から取得して、ルールセット記憶部６０４が保持したＩＤＳルールを示すものである。

次に、ＮＡＴのルールについて説明すると、ルールセット記憶部６０４は、例えば、図２３に示すように、外部アドレスおよび外部ポート番号と、内部アドレスおよび内部ポート番号とを対応づけたＮＡＴのルールを予め記憶している。ここで、番号「１」のルールは、内部アドレス「192.168.1.1」および内部ポート番号「80」の組み合わせのパケットについては、外部アドレス「10.10.1.3」および外部ポート番号「HTTP(80)」の組み合わせのパケットに変換されることを規定している。

アドレス変換部６０３は、アドレス変換部４０３と同様、ＮＡＴを使用している場合に、ＮＡＴのルールに応じてアドレスやポート番号を変換する。具体的には、アドレス変換部６０３は、ルールセット記憶部６０４のＦＷのルールおよびＩＤＳのルールに含まれる宛先アドレスおよび宛先ポート番号を、ＮＡＴのルールに応じてネットワークで使用される宛先アドレスおよび宛先ポート番号へ変換する。

例えば、アドレス変換部６０３は、ルールセット記憶部６０４によって予め記憶されている一部のＦＷのルール（図１９および２０を参照）に含まれる宛先アドレスを、ＮＡＴのルール（図２３を参照）に応じて、外部アドレス「10.10.1.3」に変換する（図２４を参照）。また、アドレス変換部６０３は、ルールセット記憶部６０４によって予め記憶されているＩＤＳのルール（図２１および２２を参照）に含まれる宛先アドレスを、ＮＡＴのルール（図２３を参照）に応じて、外部アドレス「10.10.1.3」に変換する（図２５を参照）。

ポリシ送信部６０１は、ポリシ送信部４０１と同様、ユーザ端末ポリシやユーザネットワーク装置ポリシをポリシ集約サーバ７に送信する。具体的には、ポリシ送信部６０１は、アドレス変換部６０３によってアドレス変換されたルールセット（ルールセット記憶部６０４によって予め記憶されているＦＷ、ＩＤＳ、ＮＡＴ等のルール）を、ポリシ集約サーバ７に送信する。例えば、ポリシ送信部６０１は、図２４に示すようなＦＷのルールや、図２５に示すようなＩＤＳのルールを、ポリシ集約サーバ７に送信する。

ポリシ取得部６０５は、ユーザ端末やユーザネットワーク装置と、他のユーザネットワーク装置との間で送受信されるトラヒックについて、トラヒックを制御するルールを要素とする集合体であるユーザ端末ポリシやユーザネットワーク装置ポリシを、ユーザ端末やユーザネットワーク装置から取得する。

［ポリシ集約サーバ７］
実施例１におけるポリシ集約サーバ７は、図２に示すように、広域ネットワーク１Ａに接続され、特に本発明に密接に関連するものとしては、図２６に示すように、ポリシ受信部７０１と、ユーザ情報記憶部７０２と、ポリシ管理部７０３と、ポリシデータ記憶部７０４と、ポリシ集約部７０５と、制御管理部７０６と、対策ポリシ作成部７０７と、攻撃対策情報取得部７０８と、広域ネットワーク装置構成情報記憶部７０９とを備える。なお、ポリシ受信部７０１は、特許請求の範囲に記載の「ポリシ受信手段」に対応し、ポリシ管理部７０３は、特許請求の範囲に記載の「判断手段」に対応し、ポリシ集約部７０５および制御管理部７０６は、特許請求の範囲に記載の「ルール送信手段」に対応し、対策ポリシ作成部７０７は、特許請求の範囲に記載の「対策ポリシ作成手段」に対応し、攻撃対策情報取得部７０８は、特許請求の範囲に記載の「攻撃対策情報取得手段」に対応する。

ユーザ情報記憶部７０２は、個別ポリシの送信元の正当性の検証に必要な情報や、個別ポリシの要素であるＦＷルールやＩＤＳルールの正当性の検証に必要な情報を予め記憶している。具体的には、ユーザ情報記憶部７０２は、個別ポリシの送信元の正当性の検証に必要な情報として、ユーザ端末４Ａ、ＣＰＥ５Ａ、およびユーザポリシサーバ６のアドレスや認証情報等を予め記憶し、個別ポリシの要素であるＦＷルールやＩＤＳルールの正当性の検証に必要な情報として、ユーザ端末４Ａ、ＣＰＥ５Ａ、およびユーザポリシサーバ６が送信してくるＦＷルールやＩＤＳルールの宛先アドレスとして許容されるアドレス等を予め記憶し、記憶しているこれらの情報は、ポリシ受信部７０１における検証に利用されるなどする。

例えば、ユーザ情報記憶部７０２は、図２７に示すように、ユーザＩＤ（ＵＩＤ）「Ａ」と、送信元アドレス「10.10.1.1」と、認証情報「abcd」と、割当てアドレス「10.10.1.1」とを対応づけて、予め記憶している。

なお、実施例１においては、ユーザ情報記憶部７０２が、個別ポリシ各々の正当性を検証する情報として、上記のような情報を予め記憶している例を説明したが、本発明はこれに限られるものではなく、個別ポリシ各々の正当性を運用の形態に即して検証することができる情報であれば、具体的な情報はいずれでもよい。また、実施例１においては、ポリシ受信部７０１が、個別ポリシ各々を受信する際に個別ポリシ各々の正当性を検証する手法を採用することから、ポリシ集約サーバ７は、このユーザ情報記憶部７０２を備えているが、本発明はこれに限られるものではなく、ポリシ受信部７０１が、個別ポリシ各々の正当性を検証しない手法（個別ポリシ各々を検証せずにそのまま受信するなど）を採用する場合には、ポリシ集約サーバ７が、このユーザ情報記憶部７０２を備える必要もない。

ポリシデータ記憶部７０４は、個別ポリシ、集約ポリシ、および対策ポリシを記憶する。具体的には、ポリシデータ記憶部７０４は、ポリシ受信部７０１、ポリシ集約部７０５、および対策ポリシ作成部７０７から、ポリシ管理部７０３の仲介によって、個別ポリシ、集約ポリシ、あるいは、対策ポリシの引渡しを受けたり、記憶している個別ポリシ、集約ポリシ、あるいは対策ポリシを、ポリシ管理部７０３の仲介によって、ポリシ集約部７０５や制御管理部７０６に引き渡したりする。例えば、ポリシデータ記憶部７０４は、ポリシ受信部７０１によって受信された個別ポリシを記憶したり、ポリシ集約部７０５によって作成された集約ポリシを記憶したり、対策ポリシ作成部７０７によって作成された対策ポリシを記憶したりする。

例えば、ポリシデータ記憶部７０４は、図２８に示すような個別ポリシ（ＦＷのルール）や、図２９に示すような個別ポリシ（ＩＤＳのルール）を記憶する。また、例えば、ポリシデータ記憶部７０４は、図３０に示すような集約ポリシ（ＦＷのルール）や、図３１に示すような集約ポリシ（ＩＤＳのルール）を記憶する。また、例えば、ポリシデータ記憶部７０４は、図３４に示すような対策ポリシや、図３５に示すような、対策ポリシを反映した集約ポリシを記憶する。

広域ネットワーク装置構成情報記憶部７０９は、広域ネットワーク装置別ルールを作成するために必要な情報を予め記憶している。具体的には、広域ネットワーク装置構成情報記憶部７０９は、広域ネットワーク装置別ルールを作成するために必要な情報として、広域ネットワーク装置３Ａ、３Ｂ、および３Ｃの設定方法、設定可能なルール種別、ルール書式等を、予め記憶し、記憶しているこれらの情報は、制御管理部７０６における処理に利用されるなどする。

例えば、広域ネットワーク装置構成情報記憶部７０９は、図３２に示すように、装置番号「３Ａ」と、設定方法「telnet／CL1、10.10.10.1 passwd：xxxx」と設定可能ルール種別「ＦＷ」と、ルール書式「メーカＡフォーマット」とを対応づけて、予め記憶している。なお、攻撃対策情報取得方法は、攻撃対策情報取得部７０８によって利用される情報である。

なお、実施例１においては、広域ネットワーク装置構成情報記憶部７０９が、広域ネットワーク装置別ルールを作成するために必要な情報として、上記のような情報を予め記憶している例を説明したが、本発明はこれに限られるものではなく、運用の形態に即して広域ネットワーク装置別ルールを作成する情報であれば、具体的な情報はいずれでもよい。

ポリシ受信部７０１は、送信された個別ポリシ各々を受信する。具体的には、ポリシ受信部７０１は、ユーザ端末４Ａ、ＣＰＥ５Ａ、ユーザポリシサーバ６から送信された個別ポリシ各々を受信し、受信した個別ポリシ各々を、ポリシデータ記憶部７０４に記憶させる。また、実施例１におけるポリシ受信部７０１は、個別ポリシ各々を受信する際に、個別ポリシ各々の正当性を検証する。なお、ポリシ受信部７０１による具体的な処理については、後に、ポリシ集約サーバによる処理の手順（個別ポリシ受信時）を説明する際に、詳述することとする。

ポリシ集約部７０５は、集約ポリシを作成する。具体的には、ポリシ集約部７０５は、ポリシ受信部７０１によって受信され、ポリシデータ記憶部７０４に記憶された個別ポリシについて、個別ポリシ各々の要素であるルールから、ルールについて集約した集約ルールを作成し、集約ルールを要素とする集合体である集約ポリシを作成し、作成した集約ポリシを、ポリシ管理部７０３の仲介により、ポリシデータ記憶部７０４に記憶させる。

また、実施例１におけるポリシ集約部７０５は、集約ルールを作成する際に、集約ルールに従ってトラヒックが制御されることになるユーザ装置（ユーザ端末４Ａ、ＣＰＥ５Ａ、ユーザポリシサーバ６）に関する情報を統計情報として作成し、作成した統計情報は、ポリシ管理部７０３における判断に利用されるなどする。また、実施例１におけるポリシ集約部７０５は、後述する対策ポリシ作成部７０７によって作成され、ポリシデータ記憶部７０４に記憶された対策ポリシを、ポリシデータ記憶部７０４に記憶されている集約ポリシに反映する。なお、ポリシ集約部７０５による具体的な処理については、後に、ポリシ集約サーバによる処理の手順（個別ポリシ受信時）、および、ポリシ集約サーバによる処理の手順（攻撃対策情報受信時）を説明する際に、詳述することとする。

制御管理部７０６は、広域ネットワーク装置別ルールを、広域ネットワーク装置に設定する。具体的には、制御管理部７０６は、ポリシ集約部７０５によって作成され、ポリシデータ記憶部７０４に記憶された集約ポリシの要素である集約ルールから、集約ルールが設定される必要がある広域ネットワーク装置に適した形態の広域ネットワーク装置別ルール（ＦＷ処理やＩＤＳ処理のルール）を作成し、作成した広域ネットワーク装置別ルールを、当該広域ネットワーク装置別ルールが設定される必要がある広域ネットワーク装置に設定する。なお、制御管理部７０６による具体的な処理については、後に、ポリシ集約サーバによる処理の手順（個別ポリシ受信時）を説明する際に、詳述することとする。

ポリシ管理部７０３は、ポリシを管理する。具体的には、ポリシ管理部７０３は、ポリシ受信部７０１と、ポリシ集約部７０５と、制御管理部７０６と、対策ポリシ作成部７０７と、ポリシデータ記憶部７０４との間で、個別ポリシ、集約ポリシ、あるいは、対策ポリシ等の引渡しを仲介するなどして、ポリシを管理する。例えば、ポリシ管理部７０３は、ポリシ受信部７０１によって受信された個別ポリシを、ポリシデータ記憶部７０４に記憶させたり、ポリシ集約部７０５によって作成されポリシデータ記憶部７０４に記憶された集約ポリシを、制御管理部７０６に送信したり、対策ポリシ作成部７０７によって作成された対策ポリシを、ポリシデータ記憶部７０４に記憶させたりする。

また、実施例１におけるポリシ管理部７０３は、ポリシ集約部７０５によって作成された統計情報に基づいて、集約ルールを、集約ルールに従ってトラヒックが制御されることになるユーザ装置（ユーザ端末、ＣＰＥ、ユーザポリシサーバ）以外の他のユーザ装置と他のユーザネットワークとの間で送受信されるトラヒックを制御するルールとして採用すべきか否かを判断する機能（特許請求の範囲に記載の「判断手段」に対応する）を備える。なお、ポリシ管理部７０３による具体的な処理については、後に、ポリシ集約サーバによる処理の手順（個別ポリシ受信時）、および、ポリシ集約サーバによる処理の手順（攻撃対策情報受信時）を説明する際に、詳述することとする。

攻撃対策情報取得部７０８は、攻撃対策情報を取得する。具体的には、攻撃対策情報取得部７０８は、広域ネットワーク装置において検出した攻撃パケットを識別する識別情報、および、当該攻撃パケットに対する対策情報を含む攻撃対策情報を、広域ネットワーク装置から取得し、取得した攻撃対策情報は、対策ポリシ作成部７０７による処理に利用されるなどする。なお、攻撃対策情報取得部７０８による具体的な処理については、後に、ポリシ集約サーバによる処理の手順（攻撃対策情報受信時）を説明する際に、詳述することとする。

対策ポリシ作成部７０７は、対策ポリシを作成する。具体的には、対策ポリシ作成部７０７は、攻撃対策情報取得部７０８によって取得された攻撃対策情報から、当該攻撃対策情報に基づいてトラヒックを制御する対策ルールを要素とする集合体である対策ポリシを作成し、作成した対策ポリシを、ポリシ管理部７０３の仲介により、ポリシデータ記憶部７０４に記憶させる。また、実施例１においては、ポリシデータ記憶部７０４に記憶された対策ポリシは、ポリシ集約部７０５によって、集約ポリシに反映されるなどする。なお、攻撃対策情報取得部７０８による具体的な処理については、後に、ポリシ集約サーバによる処理の手順（攻撃対策情報受信時）を説明する際に、詳述することとする。

［広域ＮＷ装置３Ａ］
実施例１における広域ネットワーク装置３Ａ（３Ｂおよび３Ｃも同様）は、パケットフィルタ機能を有するルータやＦＷ装置、あるいは、ＩＤＳ機能を有するＦＷ装置等であり、設定されたＦＷのルールに従ってパケットを遮断又は抑制するとともに、設定されたＩＤＳのルールに従って攻撃を検出する。図示してはいないが、広域ネットワーク装置３Ａは、ポリシ集約サーバ７によって送信された広域ネットワーク装置別ルールを受信する部（特許請求の範囲に記載の「ルール受信手段」に対応する）と、受信した広域ネットワーク装置別ルールに従って、トラヒックを制御する部（特許請求の範囲に記載の「トラヒック制御手段」に対応する）とを備える。

［実施例１に係るトラヒック制御システムによる処理の手順］
次に、図３６〜４１を用いて、実施例１に係るトラヒック制御システムによる処理の手順を説明する。図３６は、ユーザ端末による処理の手順を示すフローチャートであり、図３７は、ＣＰＥによる処理の手順を示すフローチャートであり、図３８は、ユーザポリシサーバによる処理の手順を示すフローチャートであり、図３９は、ポリシ集約サーバによる処理の手順（個別ポリシ受信時）を示すフローチャートであり、図４０は、ポリシ集約サーバによる処理の手順（攻撃対策情報受信時）を示すフローチャートであり、図４１は、ポリシ集約サーバによるポリシ受信処理の手順を示すフローチャートである。

［ユーザ端末による処理の手順］
以下では、ユーザ端末４Ａによる処理の手順を一例として説明すると、図３６に示すように、まず、ユーザ端末４Ａは、アドレス変換部４０３において、ルールセット記憶部４０４によって記憶されているＦＷルール、ＩＤＳルール、およびＮＡＴルールのうち、ＮＡＴルール以外の各ルール（ＦＷルールおよびＩＤＳルール）について、宛先アドレスおよび／または宛先ポート番号を、ＮＡＴルールに基づいて変換し、変換したＦＷルールおよびＩＤＳルールを、ポリシ送信部４０１に引き渡す（ステップＳ１）。

例えば、ルールセット記憶部４０４によって記憶されているＮＡＴルール「１」で、ユーザ端末４Ａのアドレス「Ａ」が、アドレス「Ｂ」に変換されるように規定されていた場合には、ユーザ端末４Ａは、アドレス変換部４０３において、ＦＷルールおよびＩＤＳルールに含まれるアドレス「Ａ」の宛先アドレスを、アドレス「Ｂ」に変換する。また、ルールセット記憶部４０４によって記憶されているＮＡＴルール「２」で、ユーザ端末４Ａのアドレス「Ｃ」およびポート番号「Ｄ」の組み合わせが、アドレス「Ｅ」およびポート番号「Ｆ」の組み合わせに変換されるように規定されていた場合には、ユーザ端末４Ａは、アドレス変換部４０３において、ＦＷルールおよびＩＤＳルールに含まれるアドレス「Ｃ」およびポート番号「Ｄ」の組み合わせを、アドレス「Ｅ」およびポート番号「Ｆ」の組み合わせに変換する。

なお、ユーザ端末４ＡがＮＡＴ機能を備えていない場合には、ユーザ端末４Ａは、ルールセット記憶部４０４においてＮＡＴルールを記憶していないことから、ユーザ端末４Ａは、アドレス変換部４０３において、ルールセット記憶部４０４によって記憶されているＦＷルールおよびＩＤＳルールを、単にポリシ送信部４０１に引き渡す。

次に、ユーザ端末４Ａは、ポリシ送信部４０１において、アドレス変換部４０３から引き渡されたＦＷルールおよびＩＤＳルールを、個別ポリシとして、サービス情報記憶部４０２に記憶されている情報を用いて、ポリシ集約サーバ７に送信する（ステップＳ２）。ここで、サービス情報記憶部４０２は、送信先であるポリシ集約サーバ７のアドレスやポート番号、認証情報等、個別ポリシの送信に必要な情報を記憶している。

例えば、図５のＦＷルールや図６のＩＤＳルールの例では、各ＦＷルールやＩＤＳルールの宛先アドレスを「any」（任意）と規定しており、図７のＮＡＴルールの例では、全ての内部アドレスを外部アドレス「10.10.1.1」に変換することを規定している。したがって、ユーザ端末４Ａは、アドレス変換部４０３において、図５のＦＷルールや図６のＩＤＳルールを、図８のＦＷルールや図９のＩＤＳルールのように、全てのルールの宛先アドレスを「10.10.1.1」に変換する。

なお、実施例１においては、ルールセットが１つのみの場合について説明したが、本発明はこれに限られるものではなく、ルールセットが複数の場合など、いずれでもよい。なお、ルールセットが複数の場合には、個別ポリシでルールセットを区別するように、各ルールには、ルールセットを区別するためのルールセット番号を追加するなどする。

［ＣＰＥによる処理の手順］
以下では、ＣＰＥ５Ａによる処理の手順を一例として説明すると、図３７に示すように、まず、ＣＰＥ５Ａは、アドレス変換部５０３において、ルールセット記憶部５０４によって記憶されているＦＷルール、ＩＤＳルール、およびＮＡＴルールのうち、ＮＡＴルール以外の各ルール（ＦＷルールおよびＩＤＳルール）について、宛先アドレスおよび／または宛先ポート番号を、ＮＡＴルールに基づいて変換し、変換したＦＷルールおよびＩＤＳルールを、ポリシ送信部５０１に引き渡す（ステップＳ１１）。

例えば、ルールセット記憶部５０４によって記憶されているＮＡＴルール「１」で、ＣＰＥ５Ａのアドレス「Ａ」が、アドレス「Ｂ」に変換されるように規定されていた場合には、ＣＰＥ５Ａは、アドレス変換部５０３において、ＦＷルールおよびＩＤＳルールに含まれるアドレス「Ａ」の宛先アドレスを、アドレス「Ｂ」に変換する。また、ルールセット記憶部５０４によって記憶されているＮＡＴルール「２」で、ＣＰＥ５Ａのアドレス「Ｃ」およびポート番号「Ｄ」の組み合わせが、アドレス「Ｅ」およびポート番号「Ｆ」の組み合わせに変換されるように規定されていた場合には、ＣＰＥ５Ａは、アドレス変換部５０３において、ＦＷルールおよびＩＤＳルールに含まれるアドレス「Ｃ」およびポート番号「Ｄ」の組み合わせを、アドレス「Ｅ」およびポート番号「Ｆ」の組み合わせに変換する。

なお、ＣＰＥ５ＡがＮＡＴ機能を備えていない場合には、ＣＰＥ５Ａは、ルールセット記憶部５０４においてＮＡＴルールを記憶していないことから、ＣＰＥ５Ａは、アドレス変換部５０３において、ルールセット記憶部５０４によって記憶されているＦＷルールおよびＩＤＳルールを、単にポリシ送信部５０１に引き渡す。

次に、ＣＰＥ５Ａは、ポリシ送信部５０１において、アドレス変換部５０３から引き渡されたＦＷルールおよびＩＤＳルールを、個別ポリシとして、サービス情報記憶部５０２に記憶されている情報を用いて、ポリシ集約サーバ７に送信する（ステップＳ１２）。ここで、サービス情報記憶部５０２は、送信先であるポリシ集約サーバ７のアドレスやポート番号、認証情報等、個別ポリシの送信に必要な情報を記憶している。

例えば、図１４のＮＡＴルールの例では、内部アドレス「192.168.1.1」および内部ポート番号「80」の組み合わせを、外部アドレス「10.10.1.2」および外部ポート番号「80」の組み合わせに変換し、内部アドレス「192.168.1.2」および内部ポート番号「80」の組み合わせを、外部アドレス「10.10.1.2」および外部ポート番号「3000」の組み合わせに変換し、その他の内部アドレスおよび内部ポート番号の組み合わせについては、任意の内部アドレスを外部アドレス「10.10.1.2」に変換することを規定している。したがって、ＣＰＥ５Ａは、アドレス変換部５０３において、図１２のＦＷルールや図１３のＩＤＳルールを、図１５のＦＷルールや図１６のＩＤＳルールのように、内部アドレス「192.168.1.1」および内部ポート番号「80」の組み合わせを、外部アドレス「10.10.1.2」および外部ポート番号「80」の組み合わせに変換し、内部アドレス「192.168.1.2」および内部ポート番号「80」の組み合わせを、外部アドレス「10.10.1.2」および外部ポート番号「3000」の組み合わせに変換し、その他の内部アドレスおよび内部ポート番号の組み合わせについては、任意の内部アドレスを外部アドレス「10.10.1.2」に変換する。

なお、実施例１においては、ルールセットが１つのみの場合について説明したが、本発明はこれに限られるものではなく、ルールセットが複数の場合など、いずれでもよい。なお、ルールセットが複数の場合には、個別ポリシでルールセットを区別するように、各ルールには、ルールセットを区別するためのルールセット番号を追加するなどする。

［ユーザポリシサーバによる処理の手順］
以下では、ユーザポリシサーバ６による処理の手順を一例として説明する。なお、ユーザ端末４Ｄは、ルールセット記憶部４０４において、複数のＦＷルールおよびＩＤＳルールを予め記憶しており、ＣＰＥ５Ｂは、ルールセット記憶部５０４において、複数のＦＷルール、ＩＤＳルールおよびＮＡＴルールを予め記憶しているものとする。図３８に示すように、まず、ユーザポリシサーバ６は、ポリシ取得部６０５において、ユーザ端末４Ｄのルールセット記憶部４０４、および、ＣＰＥ５Ｂのルールセット記憶部５０４から、各々のルールセットを取得し、ルールセット記憶部６０４に記憶する。また、ユーザポリシサーバ６が、ルールセット記憶部６０４に記憶するルールセットは、ユーザから直接入力されてもよい（ステップＳ２０）。

次に、ユーザポリシサーバ６は、アドレス変換部６０３において、ルールセット記憶部６０４によって記憶されているＦＷルール、ＩＤＳルール、およびＮＡＴルールのうち、ＮＡＴルール以外の各ルール（ＦＷルールおよびＩＤＳルール）について、宛先アドレスおよび／または宛先ポート番号を、ＮＡＴルールに基づいて変換し、変換したＦＷルールおよびＩＤＳルールを、ポリシ送信部６０１に引き渡す（ステップＳ２１）。

例えば、ルールセット記憶部６０４によって記憶されているＮＡＴルール「１」で、ユーザポリシサーバ６のアドレス「Ａ」が、アドレス「Ｂ」に変換されるように規定されていた場合には、ユーザポリシサーバ６は、アドレス変換部６０３において、ＦＷルールおよびＩＤＳルールに含まれるアドレス「Ａ」の宛先アドレスを、アドレス「Ｂ」に変換する。また、ルールセット記憶部６０４によって記憶されているＮＡＴルール「２」で、ユーザポリシサーバ６のアドレス「Ｃ」およびポート番号「Ｄ」の組み合わせが、アドレス「Ｅ」およびポート番号「Ｆ」の組み合わせに変換されるように規定されていた場合には、ユーザポリシサーバ６は、アドレス変換部６０３において、ＦＷルールおよびＩＤＳルールに含まれるアドレス「Ｃ」およびポート番号「Ｄ」の組み合わせを、アドレス「Ｅ」およびポート番号「Ｆ」の組み合わせに変換する。

なお、ユーザポリシサーバ６がＮＡＴ機能を備えていない場合には、ユーザポリシサーバ６は、ルールセット記憶部６０４においてＮＡＴルールを記憶していないことから、ユーザポリシサーバ６は、アドレス変換部６０３において、ルールセット記憶部６０４によって記憶されているＦＷルールおよびＩＤＳルールを、単にポリシ送信部６０１に引き渡す。

次に、ユーザポリシサーバ６は、ポリシ送信部６０１において、アドレス変換部６０３から引き渡されたＦＷルールおよびＩＤＳルールを、個別ポリシとして、サービス情報記憶部６０２に記憶されている情報を用いて、ポリシ集約サーバ７に送信する（ステップＳ２２）。ここで、サービス情報記憶部６０２は、送信先であるポリシ集約サーバ７のアドレスやポート番号、認証情報等、個別ポリシの送信に必要な情報を記憶している。

例えば、図２３のＮＡＴルールの例では、内部アドレス「192.168.1.1」および内部ポート番号「80」の組み合わせを、外部アドレス「10.10.1.3」および外部ポート番号「80」の組み合わせに変換し、内部アドレス「192.168.1.2」および内部ポート番号「53」の組み合わせを、外部アドレス「10.10.1.3」および外部ポート番号「53」の組み合わせに変換し、内部アドレス「192.168.1.2」および内部ポート番号「25」の組み合わせを、外部アドレス「10.10.1.3」および外部ポート番号「25」の組み合わせに変換し、その他の内部アドレスおよび内部ポート番号の組み合わせについては、任意の内部アドレスを「外部アドレス「10.10.1.3」に変換することを規定している。したがって、ユーザポリシサーバ６は、アドレス変換部５０３において、図１９および２０のＦＷルールや図２１および２２のＩＤＳルールを、図２４のＦＷルールや図２５のＩＤＳルールのように、内部アドレス「192.168.1.1」および内部ポート番号「80」の組み合わせを、外部アドレス「10.10.1.3」および外部ポート番号「80」の組み合わせに変換し、内部アドレス「192.168.1.2」および内部ポート番号「53」の組み合わせを、外部アドレス「10.10.1.3」および外部ポート番号「53」の組み合わせに変換し、内部アドレス「192.168.1.2」および内部ポート番号「25」の組み合わせを、外部アドレス「10.10.1.3」および外部ポート番号「25」の組み合わせに変換し、その他の内部アドレスおよび内部ポート番号の組み合わせについては、任意の内部アドレスを「外部アドレス「10.10.1.3」に変換する。

なお、ルールセットが複数の場合であるので、個別ポリシでルールセットを区別するように、各ルールには、ルールセットを区別するためのルールセット番号を追加するなどする。

このように、アドレス変換部４０３、５０３および６０３によって、ポリシ送信部４０１、５０１および６０１がポリシ集約サーバ７に送信する個別ポリシのＦＷルールおよびＩＤＳルールに含まれる宛先アドレスおよび宛先ポート番号は、ネットワーク１Ａ、１Ｃおよび１Ｄで使用されるアドレスおよびポート番号に変換されているので、この個別ポリシを用いて集約ポリシが作成され、集約ポリシから広域ネットワーク装置別ルールが作成され、広域ネットワーク装置に広域ネットワーク装置別ルールが設定されると、広域ネットワーク装置３Ａ、３Ｂおよび３Ｃにおいて、ＦＷ処理やＩＤＳ処理を行うことが可能になる。

［ポリシ集約サーバによる処理の手順（個別ポリシ受信時）］
以下では、ポリシ集約サーバ７による処理の手順（ポリシ集約サーバ７が、ユーザ端末４Ａ、ＣＰＥ５Ａ、およびユーザポリシサーバ６から個別ポリシを受信した時の処理の手順）を一例として説明すると、図３９に示すように、まず、ポリシ集約サーバ７は、ポリシ受信部７０１において、ユーザ端末４Ａのポリシ送信手段４０１、ＣＰＥ５Ａのポリシ送信手段５０１、およびユーザポリシサーバ６のポリシ送信手段６０１から送信された個別ポリシ各々を受信し、ユーザ情報記憶部７０２によって記憶された情報を用いて、個別ポリシの正当性の確認、並びに、個別ポリシに含まれる各ルールに必要な補完を施し、ポリシ管理部７０３に引き渡す（ステップＳ３０１）。

ここで、ポリシ受信部７０１の具体的な処理の手順を説明すると、図４１に示すように、ポリシ集約サーバ７は、ポリシ受信部７０１において、ユーザ端末４Ａのポリシ送信手段４０１、ＣＰＥ５Ａのポリシ送信手段５０１、およびユーザポリシサーバ６のポリシ送信手段６０１から送信された個別ポリシ各々を受信する（ステップＳ４０１）。

ユーザ情報記憶部７０２には、図２７のユーザ情報の例のように、個別ポリシの送信元の正当性の検証に必要な情報（ユーザ端末４Ａ、ＣＰＥ５Ａ、およびユーザポリシサーバ６のアドレスや認証情報等）や、個別ポリシの要素であるＦＷルールやＩＤＳルールの正当性の検証に必要な情報（ユーザ端末４Ａ、ＣＰＥ５Ａ、およびユーザポリシサーバ６が送信してくるＦＷルールやＩＤＳルールの宛先アドレスとして許容されるアドレス等）が予め記憶されている。

このため、ポリシ集約サーバ７は、ポリシ受信部７０１において、ユーザ情報記憶部７０２によって記憶されている情報を用いて、個別ポリシの送信元の正当性と、個別ポリシに含まれるＦＷルールおよびＩＤＳルールの正当性とを検証し、不正な個別ポリシについては、受信を拒否する、もしくは、破棄するなどする（ステップＳ４０２）。

例えば、実施例１においては、ポリシ集約サーバ７は、ポリシ受信部７０１において、送信元アドレスが、「10.10.1.1」、「10.10.1.2」、あるいは「10.10.1.3」以外の個別ポリシを破棄する。また、ポリシ集約サーバ７は、ポリシ受信部７０１において、送信元アドレスが、「10.10.1.1」、「10.10.1.2」、あるいは「10.10.1.3」でも、認証情報が不一致の場合は、個別ポリシの受信を拒否したり、受信後破棄するなどする。正当性が確認された個別ポリシについて、ポリシ集約サーバ７は、ポリシ受信部７０１において、次に、ルールの正当性を検証する。実施例１においては、送信元アドレスが「10.10.1.1」のユーザの割り当てアドレスは「10.10.1.1」であるので、送信元アドレス「10.10.1.1」から受信した個別ポリシのルールの送信アドレスの値は、「10.10.1.1」あるいは任意の値を示す「any」でなければならない。このため、ポリシ集約サーバ７は、ポリシ受信部７０１において、送信元アドレスが「10.10.1.1」あるいは「any」以外のルールを含む個別ポリシを、不正なものとして破棄する。

続いて、ポリシ集約サーバ７は、ポリシ受信部７０１において、ルールの正当性が確認された個別ポリシの各ルールの内、宛先アドレスが特定されていないルールについては、その個別ポリシの送信元に許容されている宛先アドレスを、ユーザ情報記憶部７０２によって記憶されている情報を用いて補完する（ステップＳ４０３）。

例えば、実施例１においては、送信元アドレス「10.10.1.2」のユーザ装置は、ＣＰＥ５Ａであり、その割り当てアドレスは「10.10.1.2」であるので、図１５のＣＰＥ５ＡのＦＷルールの例のＲ１０１５およびＲ１０１６、図１６のＣＰＥ５ＡのＩＤＳルールの例のＲ１１１３の宛先アドレス「any」は、割り当てアドレス「10.10.1.2」に置き換えられ、図２８のＲ２１１５およびＲ２１１６、図２９のＲ２５１３になる。また、割り当てアドレスが「10.10.1.1」および「10.10.2.0/24」（ネットワークアドレス）のように複数の場合、宛先アドレスは、「10.10.1.1」および「10.10.2.0/24」のように複数のアドレスに置き換えられる。この検証および補完を行うことで、後述するポリシ集約部７０５でのポリシ集約処理において、不正な送信者からの個別ポリシの混入や、不正な個別ポリシの混入を回避することが可能になる。

そして、ポリシ集約サーバ７は、ポリシ受信部７０１において、個別ポリシを、ポリシ管理部７０３に引き渡す（ステップＳ４０４）。

すると、ポリシ集約サーバ７は、ポリシ管理部７０３において、ポリシ受信部７０１から引き渡された個別ポリシ、後述するポリシ集約部７０５で作成された集約ポリシ、および対策ポリシ作成部７０７で作成された対策ポリシをポリシデータ記憶部７０４に保持し管理する（Ｓ３０２）。

実施例１においては、図２８のＦＷルールの例と、図２９のＩＤＳルールの例が、ポリシ受信部７０１からポリシ管理部７０３に引き渡され、ポリシデータ記憶部７０４に保存される。

その後、ポリシ集約サーバ７は、ポリシ受信部７０１から引き渡された個別ポリシと、ポリシデータ記憶部７０４に保持されている集約ポリシとを、ポリシ集約部７０５に引渡し、ポリシ集約部７０５は、個別ポリシと集約ポリシとから、新たな集約ポリシを作成する（ステップＳ３０３）。

このポリシ集約部７０５は、各個別ポリシに含まれるＦＷルール、ＩＤＳルール等を同種のルール単位で集約し、ポリシ受信部７０１が受信した個別ポリシのルール数の総和より、ルール数が少ない集約ポリシを作成する。この集約方法としては、例えば、全ての個別ポリシにある属性（例えば、宛先アドレスなど）以外の属性の値が全て同じルールが存在する場合は、その属性の値を「any」とすることで１つのルールとすることができる。本例では、図２８のＲ２０１４、Ｒ２１１６、Ｒ２３１４、およびＲ２３２５のルールは、宛先アドレス以外の全ての属性が同じであることから、図３０のＲ２７０９のルールに集約される。

また、ある属性の値（例えば、宛先アドレスなど）以外の属性の各値が全て同じルールが過半数以上の個別ポリシに存在しているルールについては、全ての個別ポリシに存在しているものとして、宛先アドレスを指定しない一つのルールと、そのルールを含んでいない個別ポリシに許容される宛先アドレスを指定したそのルールと動作が逆のルールとすることで、個別ポリシの過半数のルール数を、少なくとも個別ポリシの過半数以下のルール数に削減することができる。

例えば、実施例１においては、図２８のＲ２１１１およびＲ２３１１は、宛先アドレス以外の属性の各値が全て同じで、ルールセット単位でみると、４つのルールセット中２つ、ユーザ装置単位でみると、３ユーザ装置中２ユーザ装置のルールセット中に存在するので、図３０では、宛先アドレスを「any」とするＲ２７０４のルールと、Ｒ２１１１のルールの宛先アドレスを、宛先アドレス以外がＲ２１１１およびＲ２３１１と同じルールを持たないユーザ装置Ａに許容される宛先アドレス（10.10.1.1）として、反対の動作をするＲ２７０３のルールとに集約される。実施例１においては、ユーザ装置の数が３であることから、２つのルールが２つになるだけであるが、同種のルールを持つユーザ装置が多くなれば、集約の効果は大きくなる。

また、ある属性（例えば、宛先アドレスなど）の値だけが異なり、その他の属性の値の全てが同じルールが複数あった場合、その属性の値が連続した値であれば、その属性値を範囲で表したルールとすることができる。実施例１では、図２９のＲ２５１１のルールおよびＲ２６１１のルールが、宛先アドレスだけが異なり、その他の属性の値が全て同じであり、宛先アドレスが連続しているため、図３１のＲ２８０３のルールに集約される。

以上のように、このポリシ集約部７０５によって総ルール数が少なくなることで、ネットワーク装置におけるＦＷ処理やＩＤＳ処理の負荷を軽減する効果が得られるため、ネットワーク１Ａのすべてのネットワーク装置に予めＦＷルールおよびＩＤＳルールを設定し、攻撃パケットを遮断または抑制、検出することが可能になる。なお、ポリシ集約部７０５は、作成した集約ポリシを、ＩＳＰのオペレータに提示するなどしてもよい。

また、ポリシ集約サーバ７は、ポリシ集約部７０５において、集約した個別ポリシの数と、集約したルールがどの個別ポリシのルールを集約したものかという統計情報を作成する。そして、ポリシ集約サーバ７は、ポリシ管理部７０３において、集約ポリシとともに、この統計情報をもポリシデータ記憶部７０４に保持し管理する。ポリシ集約サーバ７は、この統計情報を保持することで、広域ＮＷ装置３Ａ、３Ｂ、および３ＣのＩＤＳ機能が検出した異常を、攻撃として遮断又は抑制できるか否かの判断基準として、集約ポリシの各ルールがユーザのコンセンサスとして解釈可能か否かを判断材料とすることができる。

実施例１においては、図３０および図３１のＴ１およびＴ２が集約ポリシの統計情報であり、各ルールについて、集約元、セット単位の統計、およびユーザ単位の統計が記載されている。例えば、図３０のＲ２７０４のルールは、集約元が「Ｂ１、Ｃ１」とされており、これは、ユーザＢのルールセット１のルールと、ユーザＣのルールセット１のルールとを集約したものであることを示している。また、セット単位統計は、集約に用いたルールセットの総数４の内、２つのルールセットから集約したので、「５０％」となっている。また、ユーザ単位統計は、３人のユーザの個別ポリシを集約し、その内の２人のユーザの個別ポリシから集約されたので、「６６％」となっている。例えば、Ｒ２８０３のルールでは、宛先ポート番号が「８０」の「ＴＣＰ」の「ＳＹＮ」パケットが、毎秒「５０Ｍ」パケット以上３分間継続して流れたら、異常として、毎秒「１０Ｍ」パケットにレートを制限するというポリシーを、ユーザの半分以上が持っているので、これをユーザのコンセンサスと判断し、宛先が「10.10.1.2」および「10.10.1.3」では無かったとしても、異常トラヒックを攻撃と判断して抑制する判断基準とできる。

そして、ポリシ集約サーバ７は、ポリシ集約部７０５において新たに作成された集約ポリシを、ポリシ管理部７０３において、ポリシデータ記憶部７０４に保存する（ステップＳ３０４）。

続いて、ポリシ集約サーバ７は、新たに作成された集約ポリシを、ポリシデータ記憶部７０４から制御管理部７０６に引き渡す。制御管理部７０６は、引き渡された集約ポリシから、広域ＮＷ装置構成情報記憶部７０９に保持されている広域ＮＷ装置の情報に基づき、各ＮＷ装置のＦＷルールおよびＩＤＳルールを作成し、これらの広域ＮＷ装置に設定する（ステップＳ３０５）。

広域ＮＷ装置構成情報記憶部７０９は、広域ネットワーク装置別ルールを作成するために必要な情報として、広域ネットワーク装置３Ａ、３Ｂ、および３Ｃの設定方法、設定可能なルール種別、ルール書式等を予め記憶している。図３２は、ネットワーク装置構成情報の例であり、ＮＷ装置３Ａについては、アドレス「10.10.10.1」に「telnet」し、パスワード「xxxx」でログインし、コマンドラインインタフェース（CLI）で設定を行うことが示されている。そして、設定可能ルール種別では、この広域ＮＷ機器に設定可能なルールは「ＦＷ」と記されており、CLIで入力するルール書式は、メーカＡのフォーマットであることが記されている。このような広域ＮＷ装置の設定は、一般にPerl等のスクリプト言語を使用することで可能である。

また、広域ＮＷ装置構成情報記憶部７０９が、既に広域ＮＷ装置３Ａ、３Ｂ、および３Ｃに設定されているＦＷルールおよびＩＤＳルールを既存設定ルールとして保持することで、制御管理部７０６が、広域ＮＷ装置３Ａ、３Ｂおよび３Ｃに設定するルールは、新たに作成したＦＷルールおよびＩＤＳルールと、既存のＦＷルールおよびＩＤＳルールとの差分だけとすることもできる（ステップＳ３０５）。

以上の動作によって、ポリシ集約サーバ７は、広域ＮＷ装置３Ａ、３Ｂおよび３Ｃに、各装置の設定書式を用いて集約ポリシの各ルールを設定する。設定されるルールの具体例は、図３０のＦＷルールおよび図３１のＩＤＳルールの通りであるが、セット種別および統計情報は含まれない。なお、広域ＮＷ装置３Ａ、３Ｂ、および３Ｃは、具体的には、パケットフィルタ機能を有するルータやＦＷ装置、ＩＤＳ機能を有するＦＷ装置などである。

すると、パケットフィルタ機能を有するルータやＦＷ装置は、受信したパケットの宛先アドレス、送信元アドレス、宛先ポート番号、送信元ポート番号、プロトコル、プロトコル特有の属性（プロトコル依存情報）を、設定された各ルールと順次比較し、パケットの宛先アドレス、送信元アドレス、宛先ポート番号、送信元ポート番号、プロトコル、プロトコル特有の属性と、ルールのパケットの宛先アドレス、送信元アドレス、宛先ポート番号、送信元ポート番号、プロトコル、プロトコル特有の属性とが一致した場合、その一致したルールで指定されている動作をパケットに対して実施する。図３０のＦＷルールの例では、Ｒ２７０１のルールは、宛先アドレスが「10.10.1.1」で、宛先ポート番号が「8000」で、プロトコルが「TCP」で、TCPフラグが「SYN」のパケットは、通過が許可される。このＦＷルールの例の動作は、通過を許可する「Accept」や、通過を拒否する「Reject」のみが記載されているが、任意のレートでのレート制限等、その他の動作も可能である。

ＩＤＳ機能を有するＦＷ装置は、上記の動作に加え、検出対象のパケットが検出条件を満たしたとき、指定されている対策を実施する。図３１のＩＤＳのルールの例では、Ｒ２８０２のルールの検出対象である宛先アドレスが「10.10.1.2」で、宛先ポート番号が「3000」で、プロトコルが「TCP」で、TCPフラグが「SYN」のパケットが、検出条件の異常検出閾値の「50Mpps」のレートで閾値超過時間が「3分以上」超過した場合、対策として、パケットのレートを「10Mpps」に制限する。一般に、検出対象のパケットが検出条件を満たす事象が発生し、対策が実施された場合、および、その事象が終了し、対策が解除された場合、ＦＷ装置は、その検出対象および検出条件を満たしたパケットの属性情報と、実施した対策またはその対策の解除を、ログに記録したりオペレータに通知したりするが、本実施例では、この記録やオペレータの通知を、攻撃対策情報として使用する。図３３の対策実施時の攻撃対策情報の例は、図３１のＩＤＳルールの例のＲ２８０２のルールの事象が発生し、対策が実施された場合の攻撃対策情報の例であり、図３４の対策解除時の攻撃対策情報の例は、その対策が解除された場合の攻撃対策情報の例である。

［ポリシ集約サーバによる処理の手順（攻撃対策情報受信時）］
以下では、ポリシ集約サーバ７による処理の手順（ポリシ集約サーバ７が、広域ＮＷ装置３Ａ、３Ｂおよび３Ｃまたはオペレータから攻撃対策情報を受信した時の処理の手順）を一例として説明する。なお、攻撃対策情報には、パケットの宛先アドレス、送信元アドレス、宛先ポート番号、送信元ポート番号、プロトコル、プロトコル依存情報等の検出対象と、異常検出閾値超過時間等の検出条件と、実施した対策と、対策を実施あるいは解除した装置を特定する情報と、この攻撃対策情報が対策の実施に関する情報か、対策の解除に関する情報かの種別とを含む。

図４０に示すように、まず、ポリシ集約サーバ７は、攻撃対策情報取得部７０８において、広域ＮＷ装置３Ａ、３Ｂおよび３Ｃから、ＩＤＳ機能が検出し、遮断または抑制を実施した攻撃パケットの識別情報と、その対策の内容を含む攻撃対策情報とを取得する（ステップＳ３０６）。

この攻撃対策情報の取得は、広域ＮＷ装置３Ａ、３Ｂおよび３Ｃからの能動的な通知の受信でもよいし、広域ＮＷ装置構成情報記憶部７０９に保持されている情報に基づいて、攻撃対策情報取得部７０８が、広域ＮＷ装置３Ａ、３Ｂおよび３Ｃから問い合わせて取得してもよい。また、オペレータから直接入力されてもよい。例えば、図３３の（ａ）の攻撃対策情報の例は、図３１のＩＤＳルールの例のＲ２８０２のルールの事象が発生し、対策が実施された場合の攻撃対策情報の例であり、図３３の（ｂ）の攻撃対策情報の例は、図３１のＩＤＳのルールの例のＲ２８０２のルールの事象が収束し、対策が解除された場合の攻撃対策情報の例である。ポリシ集約サーバ７は、攻撃対策情報取得部７０８において、取得した攻撃対策情報を、対策ポリシ作成部７０７に引き渡す。

次に、ポリシ集約サーバ７は、対策ポリシ作成部７０７において、攻撃対策情報から作成したＦＷルールを含む対策ポリシを作成する（ステップＳ３０７）。まず、ポリシ集約サーバ７は、対策ポリシ作成部７０７において、受信した攻撃対策情報から、攻撃対策情報の検出条件の宛先アドレス、送信元アドレス、宛先ポート番号、送信元ポート番号、プロトコル、プロトコル依存情報の値を、それぞれ、宛先アドレス、送信元アドレス、宛先ポート番号、送信元ポート番号、プロトコル、プロトコル依存情報の値とするＦＷルールを作成する。このＦＷルールの「動作」の値は、攻撃対策情報の「対策」の値である。また、ユーザＩＤの値は、対策を実施または解除した装置のＩＤの値とする。

そして、ポリシ集約サーバ７は、ポリシ管理部７０３を用いて、ポリシデータ記憶部７０４より対策ポリシを取得する。攻撃対策情報の種別が対策の実施の場合は、ポリシ集約サーバ７は、作成したＦＷルールを取得した対策ポリシに追加し、攻撃対策情報の種別が対策の解除の場合は、作成したＦＷルールを取得した対策ポリシから削除して、対策ポリシをポリシ管理部７０３に引き渡す。したがって、図３３の（ａ）の攻撃対策情報の例からは、図３４の対策ポリシが作成される。

その後、ポリシ集約サーバ７は、作成した対策ポリシをポリシ管理部７０３に引渡し、ポリシデータ記憶部７０４に保存する（ステップＳ３０８）。

続いて、ポリシ集約サーバ７は、ポリシ管理部７０３において、対策ポリシ作成部７０７から引き渡された対策ポリシと、ポリシデータ記憶部７０４に保持されている集約ポリシとをポリシ集約部７０５に引渡し、ポリシ集約部７０５は、引き渡された個別ポリシと集約ポリシとから、新たな集約ポリシを作成する（ステップＳ３０９）。

次に、ポリシ集約サーバ７は、ポリシ集約部７０５において新たに作成された集約ポリシを、ポリシ管理部７０３によってポリシデータ記憶部７０４に保存する（ステップＳ３１０）。

そして、ポリシ集約サーバ７は、ポリシ集約部７０５において新たに作成された集約ポリシを、制御管理部７０６に引渡し、制御管理部７０６において、各広域ＮＷ装置に集約ポリシのＦＷルールやＩＤＳルールを設定する（ステップＳ３１１）。

この攻撃対策情報取得部７０８、対策ポリシ作成部７０７により、広域ＮＷ装置３Ａ、３Ｂ、３ＣのＩＤＳ機能が検出し、対策を判断した攻撃からも、ユーザ端末４Ａ、４Ｂ、４Ｃや、ＣＰＥ５Ａ、５Ｂおよびアクセスラインやネットワークを防御することが可能になる。

また、実施例１においては、図３１のＩＤＳルールは、図３２のＮＷ装置構成情報によれば、広域ＮＷ装置３Ｃにしか設定されていないが、広域ＮＷ装置３Ｃで実施した攻撃対策がＦＷルールに反映され、広域ＮＷ装置３Ａおよび３Ｂでも、レート制限が実現されるようになる。

［実施例１の効果］
上記してきたように、実施例１によれば、ユーザによって運用されるユーザ装置で構成されているユーザネットワークの各々が、複数のユーザネットワーク同士を通信可能に接続する広域ネットワークに対して広域ネットワーク装置各々を介して接続されている場合に、所定のユーザネットワークから他のユーザネットワークに対して広域ネットワーク経由で送信されたトラヒックを制御するトラヒック制御システムであって、ユーザネットワークを構成するユーザ装置のいずれか一つまたは複数は、ユーザ装置とユーザ装置で構成されている自ユーザネットワーク以外の他のユーザネットワークとの間で送受信されるトラヒック、および／または、自ユーザネットワーク内でユーザ装置が管理するその他のユーザ装置と他のユーザネットワークとの間で送受信されるトラヒックについて、トラヒックを制御するルールを要素とする集合体である個別ポリシを、広域ネットワークに接続するポリシ集約サーバに対して送信し、ポリシ集約サーバは、送信された個別ポリシ各々を受信し、受信された個別ポリシ各々の要素であるルールを、ルールを設定すべき広域ネットワーク装置の各々に送信し、広域ネットワーク装置の各々は、送信されたルールを受信し、受信されたルールに従って、トラヒックを制御するので、ユーザサイトのユーザ装置（ユーザ端末やネットワーク機器など）における検知を契機とすることなく、不要なトラヒックの送信元の近くで、個別のパーソナルポリシに基づき不要なトラヒックを遮断又は抑制することが可能になる。

具体的に説明すると、ユーザサイトのユーザ装置（ユーザ端末やネットワーク機器など）における攻撃検知を契機として、ユーザ装置が広域ネットワーク装置に対してパーソナルポリシ等を送信する従来の手法とは異なり、本発明によれば、例えば、ユーザ装置が過剰な攻撃を受けた場合であっても、その攻撃トラヒックがユーザ装置に到達する前に、広域ネットワークにおけるユーザネットワークへの出口のところで、攻撃トラヒックを遮断又は抑制することが可能になる。また、本発明によれば、広域ネットワークにおけるユーザネットワークへの出口のところばかりでなく、広域ネットワークにおける攻撃トラヒックの入口のところにおいても、攻撃トラヒックを遮断又は抑制することが可能になり、この結果、攻撃トラヒックによる広域ネットワーク内の帯域圧迫を排除することができ、広域ネットワークに接続するユーザ端末等、その他のユーザ端末への影響を排除することができるようになる。

また、実施例１によれば、ポリシ集約サーバは、個別ポリシ各々の要素であるルールから、ルールについて集約した集約ルールと集約ルールを要素とする集合体である集約ポリシとを作成し、集約ルールを、集約ルールを設定すべき広域ネットワーク装置の各々に送信するので、上記の効果に加え、集約ポリシを作成することで、総ルール数が少なくなる結果、広域ネットワーク装置のＦＷ処理やＩＤＳ処理の負荷を軽減する効果が得られることから、予め全ての広域ネットワーク装置に集約ポリシを設定し、不要なトラヒックを遮断又は抑制することが可能になる。

また、実施例１によれば、ポリシ集約サーバは、個別ポリシ各々を受信する際に、個別ポリシ各々の正当性を検証するので、上記の効果に加え、広域ネットワーク装置が、正当でない個別ポリシに従って、トラヒックを不当に制御するおそれを回避することが可能になる。

また、実施例１によれば、ユーザ装置は、自ユーザネットワーク以外のネットワーク上で開示されない非開示アドレスおよび／または非開示ポート番号と、ネットワーク上で開示される開示アドレスおよび／または開示ポート番号とを変換するＮＡＴ機能を利用しており、ルールは、非開示アドレスおよび／または非開示ポート番号で記述されているものであって、ユーザネットワークを構成するユーザ装置のいずれか一つまたは複数は、ルールに記述された非開示アドレスおよび／または非開示ポート番号を、開示アドレスおよび／または開示ポート番号に変換し、変換されたルールを要素とする個別ポリシを、ポリシ集約サーバに対して送信するので、上記の効果に加え、ユーザ装置（ユーザ端末やネットワーク機器など）がＮＡＴ機能を利用して広域ネットワークと接続されている環境においても、不要なトラヒックを遮断又は抑制することが可能になる。

具体的に説明すると、従来の手法では、ユーザ装置がＮＡＴ機能を利用して広域ネットワークと接続されている環境において、パーソナルポリシ等のルールには、自ユーザネットワーク内のみで開示される宛先アドレスや宛先ポート番号が記述されることになる。しかしながら、広域ネットワーク装置で攻撃トラヒックを遮断又は抑制するには、広域ネットワーク内で開示される宛先アドレスや宛先ポート番号が必要になることから、結局、このようなパーソナルポリシ等を広域ネットワーク装置に送信したところで、広域ネットワーク装置においては、攻撃トラヒックを遮断又は抑制することができないという課題があった。一方、本発明によれば、パーソナルポリシ等のルールに記述された宛先アドレスや宛先ポート番号を、広域ネットワーク内で開示される宛先アドレスや宛先ポート番号に変換した上でポリシ集約サーバに対して送信するので、上記の課題を解決することが可能になる。

また、実施例１によれば、ポリシ集約サーバは、ルールに従ってトラヒックが制御されることになるユーザ装置に関する情報を統計情報として作成し、作成された統計情報に基づいて、ルールを、ルールに従ってトラヒックが制御されることになるユーザ装置以外の他のユーザ装置と他のユーザネットワークとの間で送受信されるトラヒックを制御するルールとして採用すべきか否かを判断するので、上記の効果に加え、広域ネットワーク装置が検出した異常なトラヒックを不要なトラヒックとして遮断又は抑制すべきか否かを判断するにあたり、統計情報（例えば、当該ルールが、何個の個別ポリシを集約したものであるか、何人のユーザのルールを集約したものであるか、など）を、当該ルールをユーザのコンセンサスとして解釈することが可能か否かの判断材料とすることが可能になる。

具体的に説明すると、従来の手法では、パーソナルポリシに不備があった場合や、少量のパケットが不特定多数のユーザ装置に対して送信される場合等、広域ネットワークの過負荷を目的とした攻撃トラヒックは、パーソナルポリシでは攻撃トラヒックであるとみなさないことから、かかる攻撃トラヒックを遮断又は抑制することができないという課題があった。また、従来の手法では、広域ネットワーク側で異常なトラヒックを検出した場合であっても、広域ネットワーク側では、このような異常なトラヒックを不要なトラヒックとして遮断又は抑制すべきか否かユーザに確認が必要であることから（一般に、ＩＤＳは、内蔵されたアルゴリズムによって異常トラヒックの検出を行うので、その異常トラヒックが攻撃トラヒックであるか否かの判断は、ＩＤＳの使用者等に委ねられており、ＩＤＳ自身は判断基準を持たない）、直ちに不要なトラヒックとして遮断又は抑制することができないという課題があった。さらに、従来の手法では、攻撃トラヒックではない大量トラヒックの発生時などの場合には、大量トラヒックであってもユーザが必要とする正規のトラヒックであることから、広域ネットワーク側の判断でその流量を抑制することができず、ユーザ間の公平性を確保することができないという課題があった。本発明によれば、上記の課題を解決することが可能になる。

また、実施例１によれば、ポリシ集約サーバは、広域ネットワーク装置において検出した攻撃パケットを識別する識別情報および攻撃パケットに対する対策情報を含む攻撃対策情報を、広域ネットワーク装置から取得し、取得した攻撃対策情報から、攻撃対策情報に基づいてトラヒックを制御する対策ルールを要素とする集合体である対策ポリシを作成し、作成した対策ポリシを、ルールに反映するので、上記の効果に加え、広域ネットワーク装置側で検出し対策を判断した異常なトラヒックを、不要なトラヒックとして遮断又は抑制することが可能になる。

具体的に説明すると、従来の手法では、パーソナルポリシに不備があった場合や、少量のパケットが不特定多数のユーザ装置に対して送信される場合等、広域ネットワークの過負荷を目的とした攻撃トラヒックは、パーソナルポリシでは攻撃トラヒックであるとみなさないことから、かかる攻撃トラヒックを遮断又は抑制することができないという課題があった。一方、本発明によれば、上記の課題を解決することが可能になる。

ところで、これまで実施例１として、不要なトラヒックが攻撃トラヒックであることを前提とし、トラヒック制御システムが、かかる攻撃トラヒックを遮断又は抑制することを目的としてトラヒックを制御する手法について説明してきたが、本発明はこれに限られるものではない。例えば、不要なトラヒックが攻撃トラヒックではない大量トラヒックであることを前提とし、トラヒック制御システムが、かかる大量トラヒックの発生時にユーザ間の公平性を確保することを目的としてトラヒックを制御する手法にも、本発明を同様に適用することができる。そこで、以下では、実施例２として、トラヒック制御システムが、大量トラヒックの発生時にユーザ間の公平性を確保することを目的としてトラヒックを制御する手法を説明する。

なお、図４２は、実施例２におけるポリシ集約サーバの構成を示すブロック図であるが、図４２に示すように、実施例２に係るトラヒック制御システムは、実施例１とほぼ同様に構成されるが、広域ＮＷ装置３Ａ、３Ｂおよび３Ｃが、帯域を保証することが可能な仮想ネットワーク（以下、ＶＰＮ：Virtual Private Network）を構成するＶＰＮ機能を有する点や、ポリシ集約サーバ７に、ＶＰＮ情報記憶部７１０が追加される点が主に異なり、その他の点としては、ユーザ情報記憶部７０２およびポリシデータ記憶部７０４に記憶されている情報や、ポリシ管理部７０３および制御管理部７０６による処理に工夫がなされている点等が実施例１と異なる。

以下では、実施例１と異なる上記の点を中心に、図４２の他、図４３〜５１を用いて説明する。図４３は、ポリシ集約サーバのユーザ情報記憶部を説明するための図であり、図４４〜４９は、ポリシ集約サーバのポリシデータ記憶部を説明するための図であり、図５０は、ポリシ集約サーバの広域ネットワーク装置構成情報記憶部を説明するための図であり、図５１は、ポリシ集約サーバのＶＰＮ情報記憶部を説明するための図である。

［ポリシ集約サーバ７］
実施例２におけるユーザ情報記憶部７０２（図４３を参照）は、実施例１におけるユーザ情報記憶部７０２と同様（図２７を参照）、個別ポリシの送信元の正当性の検証に必要な情報や、個別ポリシの要素であるＦＷルールやＩＤＳルールの正当性の検証に必要な情報を予め記憶しているが、実施例１におけるユーザ情報記憶部７０２とは異なり、この他に、各ユーザが所属するＶＰＮの識別情報が保持されている。例えば、実施例２におけるユーザ情報記憶部７０２は、図４３に示すように、ユーザＩＤ（ＵＩＤ）「Ａ」と対応づけて、グループＩＤ（ＧＩＤ）「Ｇ−Ａ」を、予め記憶している。

実施例２におけるポリシデータ記憶部７０４（図４４〜４９を参照）は、実施例１におけるポリシデータ記憶部７０４と同様（図２８〜３１を参照）、個別ポリシ、集約ポリシ、よび対策ポリシを記憶するが、実施例１におけるポリシデータ記憶部７０４とは異なり、グループＩＤ（各ユーザが所属するＶＰＮの識別情報）が追加された形態の個別ポリシや、グループＩＤが追加された形態の集約ポリシを記憶する。

例えば、実施例２におけるポリシデータ記憶部７０４は、図４４に示すような個別ポリシ（ＦＷのルール）や、図４５に示すような個別ポリシ（ＩＤＳのルール）を記憶するが、いずれも、ユーザＩＤ（ＵＩＤ）と対応づけて、グループＩＤ（ＧＩＤ）を記憶していることがわかる。また、例えば、ポリシデータ記憶部７０４は、図４６および４７に示すような集約ポリシ（ＦＷのルール）や、図４８および４９に示すような集約ポリシ（ＩＤＳのルール）を記憶するが、いずれも、グループＩＤ（ＧＩＤ）ごとに集約ポリシを記憶していることがわかる。

実施例２における広域ネットワーク装置構成情報記憶部７０９（図５０を参照）は、実施例１における広域ネットワーク装置構成情報記憶部７０９と同様（図３２を参照）、広域ネットワーク装置別ルールを作成するために必要な情報を予め記憶している。

ＶＰＮ情報記憶部７１０（図５１を参照）は、各ユーザが所属するＶＰＮの識別情報であるグループＩＤ（ＧＩＤ）と、各ＮＷ装置間に設定されているＶＰＮを識別する識別情報（ＶＰＮ ＩＤ）とを対応づけて予め記憶している。例えば、ＶＰＮ情報記憶部７１０は、図５１に示すように、グループＩＤ（ＧＩＤ）「Ｇ−Ａ」と、ＶＰＮ ＩＤ「ＶＰＮ−Ａ」とを対応づけて、予め記憶している。

［広域ＮＷ装置３Ａ、３Ｂおよび３Ｃ］
実施例２におけるＮＷ装置３Ａ、３Ｂおよび３Ｃは、帯域を保証することが可能なＶＰＮを構成するＶＰＮ機能を有する。したがって、ポリシ集約サーバ７は、ＦＷルールおよびＩＤＳルールが対応するＶＰＮに対してのみ作用するように、これらのルールを、設定するＶＰＮを指定してＮＷ機器に設定することになる。なお、このＶＰＮの作成には、例えば、ＭＰＬＳ（Multi-Protocol Label Switching）等の技術を用いられる。また、図４２に示すように、８Ａおよび８Ｂは、広域ＮＷ装置３Ａ、３Ｂおよび３Ｃによって広域ＮＷ１Ａ内に構成されたＶＰＮである。

［実施例２に係るトラヒック制御システムによる処理の手順］
次に、実施例２に係るトラヒック制御システムによる処理の手順を、主に実施例１に係るトラヒック制御システムによる処理の手順と異なる点を中心に説明する。なお、実施例２に係るトラヒック制御システムが、実施例１に係るトラヒック制御システムと異なる処理の手順となるのは、ポリシ集約サーバによる処理（個別ポリシ受信時）についてであるので、以下では、ポリシ集約サーバ７による処理の手順（ポリシ集約サーバ７が、ユーザ端末４Ａ、ＣＰＥ５Ａ、およびユーザポリシサーバ６から個別ポリシを受信した時の処理の手順）を一例として説明する。

まず、ポリシ集約サーバ７は、実施例１と同様、ポリシ受信部７０１において、ユーザ端末４Ａのポリシ送信手段４０１、ＣＰＥ５Ａのポリシ送信手段５０１、およびユーザポリシサーバ６のポリシ送信手段６０１から送信された個別ポリシ各々を受信し、ポリシ管理部７０３に引き渡すが、実施例１と異なり、ポリシ受信部７０１は、ユーザ情報記憶部７０２を参照し、個別ポリシ各々に、各ユーザが所属するＶＰＮの識別情報としてグループＩＤ（ＧＩＤ）を追加した形態で、ポリシ管理部７０３に引き渡す。

すると、ポリシ集約サーバ７は、実施例１と同様、ポリシ管理部７０３において、ポリシ受信部７０１から引き渡された個別ポリシと、ポリシデータ記憶部７０４に保持されている集約ポリシとを、ポリシ集約部７０５に引渡し、ポリシ集約部７０５は、個別ポリシと集約ポリシとから、新たな集約ポリシを作成するが、実施例１と異なり、ポリシ管理部７０３は、ポリシ受信部７０１から引き渡された個別ポリシのグループＩＤ（ＧＩＤ）を用いて、ポリシデータ記憶部７０４に保持されている集約ポリシから個別ポリシと同じグループＩＤ（ＧＩＤ）の集約ポリシを取得し、個別ポリシと同じグループＩＤ（ＧＩＤ）の集約ポリシを、ポリシ集約部７０５に引渡し、ポリシ集約部７０５は、個別ポリシと同じグループＩＤ（ＧＩＤ）の集約ポリシとから、新たな集約ポリシを作成する。

この集約方法としては、実施例１と同様、例えば、全ての個別ポリシにある属性（例えば、宛先アドレスなど）以外の属性の値が全て同じルールが存在する場合は、その属性の値を「any」とすることで１つのルールとすることができ、実施例２では、図４４のＲ３１１６、Ｒ３３１４、およびＲ３３２５のルールは、宛先アドレス以外の全ての属性が同じであることから、図４７のＲ３７１２のルールに集約される。

また、ある属性（例えば、宛先アドレスなど）の値だけが異なり、その他の属性の値の全てが同じルールが複数あった場合、その属性の値が連続した値であれば、その属性値を範囲で表したルールとすることができ、実施例では、図４５のＲ３５１１のルールおよびＲ３６１１のルールが、宛先アドレスだけが異なり、その他の属性の値が全て同じであり、宛先アドレスが連続しているため、図４９のＲ３８０３のルールに集約される。

また、ポリシ集約サーバ７は、実施例１と同様、ポリシ集約部７０５において、集約した個別ポリシの数と、集約したルールがどの個別ポリシのルールを集約したものかという統計情報を作成する。実施例２においては、図４６〜図４９のＴ１１〜Ｔ１４が集約ポリシの統計情報であり、各ルールについて、集約元、セット単位の統計、およびユーザ単位の統計が記載されている。例えば、図４７のＲ３７０７のルールは、集約元が「Ｂ１、Ｃ１」とされており、これは、ユーザＢのルールセット１のルールと、ユーザＣのルールセット１のルールとを集約したものであることを示している。また、セット単位統計は、集約に用いたルールセットの総数３の内、２つのルールセットから集約したので、「６６％」となっている。また、ユーザ単位統計は、２人のユーザの個別ポリシを集約し、その内の２人のユーザの個別ポリシから集約されたので、「１００％」となっている。例えば、Ｒ３８０３のルールでは、宛先ポート番号が「８０」の「ＴＣＰ」の「ＳＹＮ」パケットが、毎秒「５０Ｍ」パケット以上３分間継続して流れたら、異常として、毎秒「１０Ｍ」パケットにレートを制限するというポリシを、ユーザの半分以上が持っているので、これをユーザのコンセンサスと判断し、宛先アドレスが「10.10.1.2」および「10.10.1.3」では無かったとしても、異常トラヒックを攻撃と判断して抑制する判断基準とできる。

そして、ポリシ集約サーバ７は、実施例１と同様、ポリシ集約部７０５において新たに作成された集約ポリシを、ポリシ管理部７０３において、ポリシデータ記憶部７０４に保存し、続いて、新たに作成された集約ポリシを、ポリシデータ記憶部７０４から制御管理部７０６に引き渡すが、実施例１と異なり、ポリシ管理部７０３によって制御管理部７０６に引き渡される集約ポリシには、グループを識別するグループＩＤ（ＧＩＤ）が含まれている。

そこで、制御管理部７０６は、実施例１と同様、引き渡された集約ポリシから、広域ＮＷ装置構成情報記憶部７０９に保持されているＮＷ装置の情報に基づき、各ＮＷ装置のＦＷルールおよびＩＤＳルールを作成し、これらのＮＷ装置に設定するが、実施例１と異なり、ＶＰＮ情報記憶部７１０に保持されている情報にも基づき、各ＮＷ装置のＦＷルールおよびＩＤＳルールを作成する。

すなわち、制御管理部７０６は、ＶＰＮ情報記憶部７１０に記憶されているグループＩＤ（ＧＩＤ）と、ＶＰＮ ＩＤとの対応付けに基づいて、集約ポリシが、そのグループＩＤに対応するＶＰＮ ＩＤで識別されるＶＰＮに適用されるように、各ＮＷ装置に設定する。例えば、グループＩＤが「Ｇ−Ａ」の集約ポリシは、「ＶＰＮ−Ａ」に設定される。

こうして、ポリシ集約サーバ７は、広域ＮＷ装置３Ａ、３Ｂおよび３Ｃに、各装置の設定書式を用いて集約ポリシの各ルールを設定する。実施例２においては、図４３に示すように、ユーザ「Ａ」がグループ「Ｇ−Ａ」に属し、ユーザ「Ｂ」および「Ｃ」が、グループ「Ｇ−Ｂ」に属しており、図５１に示すように、グループ「Ｇ−Ａ」は、「ＶＰＮ−Ａ」に収容され、グループ「Ｇ−Ｂ」は、「ＶＰＮ−Ｂ」に収容されているので、ユーザ「Ａ」が大量のトラヒックを送受信した場合でも、ユーザ「Ｂ」や「Ｃ」の通信には影響が及ばない。また、ユーザ「Ｂ」や「Ｃ」が共に大量のトラヒックを送受信した場合でも、影響を受けるのは、同種のポリシを持つユーザ「Ｂ」および「Ｃ」に限られ、ユーザ「Ａ」の通信には影響が及ばない。

このように、実施例２においては、類似の個別ポリシを持つユーザを、同一のＶＰＮに収容するようにＶＰＮ情報記憶部７１０を設定することで、ユーザ間の攻撃でない、例えば、ファイル共有等の大量トラヒック発生時においても、ユーザ間の公平性を確保することができる。

［実施例２の効果］
上記してきたように、実施例２によれば、ポリシ集約サーバは、同種のルールに基づいてトラヒックを制御されるユーザ装置のグループごとにルールについて集約した集約ポリシを作成し、グループごとに仮想的なネットワークもしくは物理的なネットワークを形成するように広域ネットワーク装置の各々に設定させる設定情報、および、グループごとの集約ポリシを、設定情報および集約ポリシを設定すべき広域ネットワーク装置の各々に送信するので、実施例１の効果に加え、攻撃トラヒックではない大量トラヒックの発生時などの場合に、ユーザ間の公平性を確保することが可能になる。

具体的に説明すると、例えば、ファイル交換を行うユーザのパーソナルポリシは、ファイル交換のためのパケットを通過させるようなルールを要素としている。したがって、本発明によれば、ファイル交換のためのパケットを通過させるユーザをグルーピングし、そのグループとそれ以外のグループとを、別の仮想的（又は物理的な）ネットワークに収容することから、ファイル交換を行うユーザが大量のファイル交換を行った場合でも、ファイル交換を行わないユーザの通信がファイル交換のパケットで阻害されるおそれがなくなり、ファイル交換を行うユーザと、そうでないユーザとの間の公平性を確保することが可能になる。

さて、これまで本発明の実施例について説明したが、本発明は上述した実施例以外にも、種々の異なる形態にて実施されてよいものである。

実施例１および２においては、ポリシ集約サーバが、個別ポリシから集約ポリシを作成し、集約ポリシから広域ネットワーク装置別ルールを作成して、広域ネットワーク装置別ルールを広域ネットワーク装置各々に設定する事例について説明したが、本発明はこれに限られるものではない。例えば、ポリシ集約サーバが、個別ポリシそのままを広域ネットワーク装置各々の送信し、広域ネットワーク装置において、個別ポリシから集約ポリシを作成したり、集約ポリシから広域ネットワーク装置別ルールを作成し、自ら作成した広域ネットワーク装置別ルールを設定する事例などにも、本発明を同様に適用することができる。また、広域ネットワーク装置の性能が高い環境においては、個別ポリシから集約ポリシを作成せずに、個別ポリシ自体から作成された広域ネットワーク装置別ルールを設定する事例などにも、本発明を同様に適用することができる。

また、実施例１および２においては、ポリシ集約サーバが、個別ポリシ各々を受信する際に、個別ポリシ各々の正当性を検証する手法について説明したが、本発明はこれに限られるものではなく、ポリシ集約サーバが、個別ポリシ各々の正当性を検証せずに、受信した個別ポリシを信頼して利用する手法などにも、本発明を同様に適用することができる。

また、実施例１および２においては、ユーザ装置がＮＡＴ機能を利用している事例を説明したが、本発明はこれに限られるものではなく、ユーザ装置がＮＡＴ機能を利用していない場合には、ユーザ装置は、個別ポリシのアドレスを変換することなくそのままポリシ集約サーバに送信すればよく、この場合にも、本発明を同様に適用することができる。

また、実施例１および２においては、ポリシ集約サーバが、統計情報を作成し、統計情報に基づいて判断する事例について説明したが、本発明はこれに限られるものではなく、ポリシ集約サーバが、統計情報を作成しない事例などにも、本発明を同様に適用することができる。

また、実施例１および２においては、ポリシ集約サーバが、広域ネットワーク装置から攻撃対策情報を取得し、攻撃対策情報から対策ポリシを作成する事例について説明したが、本発明はこれに限られるものではなく、ポリシ集約サーバが、広域ネットワーク装置から攻撃対策情報を取得せず、対策ポリシを作成しない事例などにも、本発明を同様に適用することができる。

［システム構成等］
また、本実施例において説明した各処理のうち、自動的におこなわれるものとして説明した処理の全部または一部を手動的におこなうこともでき、あるいは、手動的におこなわれるものとして説明した処理の全部または一部を公知の方法で自動的におこなうこともできる。この他、上記文書中や図面中で示した処理手順、制御手順、具体的名称、各種のデータやパラメータを含む情報については、特記する場合を除いて任意に変更することができる。

また、例えば、図３、１０、１７および２６に図示した各装置の各構成要素は機能概念的なものであり、必ずしも物理的に図示の如く構成されていることを要しない。すなわち、各装置の分散・統合の具体的形態は図示のものに限られず、その全部または一部を、各種の負荷や使用状況などに応じて、任意の単位で機能的または物理的に分散・統合して構成することができる。さらに、各装置にて行なわれる各処理機能は、その全部または任意の一部が、ＣＰＵおよび当該ＣＰＵにて解析実行されるプログラムにて実現され、あるいは、ワイヤードロジックによるハードウェアとして実現され得る。

なお、本実施例で説明したトラヒック制御方法は、あらかじめ用意されたプログラムをパーソナルコンピュータやワークステーションなどのコンピュータで実行することによって実現することができる。このプログラムは、インターネットなどのネットワークを介して配布することができる。また、このプログラムは、ハードディスク、フレキシブルディスク（ＦＤ）、ＣＤ−ＲＯＭ、ＭＯ、ＤＶＤなどのコンピュータで読み取り可能な記録媒体に記録され、コンピュータによって記録媒体から読み出されることによって実行することもできる。

以上のように、本発明に係るトラヒック制御システムおよびトラヒック制御方法は、ユーザによって運用されるユーザ装置で構成されているユーザネットワークの各々が、複数の当該ユーザネットワーク同士を通信可能に接続する広域ネットワークに対して広域ネットワーク装置各々を介して接続されている場合に、所定のユーザネットワークから他のユーザネットワークに対して当該広域ネットワーク経由で送信されたトラヒックを制御することに有用であり、特に、ユーザサイトのユーザ装置（ユーザ端末やネットワーク機器など）における検知を契機とすることなく、不要なトラヒックの送信元の近くで、個別のパーソナルポリシに基づき不要なトラヒックを遮断又は抑制することに適する。

実施例１に係るトラヒック制御システムの概要および特徴を説明するための図である。 実施例１に係るトラヒック制御システムの全体構成を示すブロック図である。 実施例１におけるユーザ端末の構成を示すブロック図である。 ユーザ端末のサービス情報記憶部を説明するための図である。 ユーザ端末のルールセット記憶部を説明するための図である。 ユーザ端末のルールセット記憶部を説明するための図である。 ユーザ端末のルールセット記憶部を説明するための図である。 ユーザ端末のポリシ送信部を説明するための図である。 ユーザ端末のポリシ送信部を説明するための図である。 実施例１におけるユーザネットワーク装置（ＣＰＥ）の構成を示すブロック図である。 ＣＰＥのサービス情報記憶部を説明するための図である。 ＣＰＥのルールセット記憶部を説明するための図である。 ＣＰＥのルールセット記憶部を説明するための図である。 ＣＰＥのルールセット記憶部を説明するための図である。 ＣＰＥのポリシ送信部を説明するための図である。 ＣＰＥのポリシ送信部を説明するための図である。 実施例１におけるユーザポリシサーバの構成を示すブロック図である。 ユーザポリシサーバのサービス情報記憶部を説明するための図である。 ユーザポリシサーバのルールセット記憶部を説明するための図である。 ユーザポリシサーバのルールセット記憶部を説明するための図である。 ユーザポリシサーバのルールセット記憶部を説明するための図である。 ユーザポリシサーバのルールセット記憶部を説明するための図である。 ユーザポリシサーバのルールセット記憶部を説明するための図である。 ユーザポリシサーバのポリシ送信部を説明するための図である。 ユーザポリシサーバのポリシ送信部を説明するための図である。 実施例１におけるポリシ集約サーバの構成を示すブロック図である。 ポリシ集約サーバのユーザ情報記憶部を説明するための図である。 ポリシ集約サーバのポリシデータ記憶部を説明するための図である。 ポリシ集約サーバのポリシデータ記憶部を説明するための図である。 ポリシ集約サーバのポリシデータ記憶部を説明するための図である。 ポリシ集約サーバのポリシデータ記憶部を説明するための図である。 ポリシ集約サーバの広域ネットワーク装置構成情報記憶部を説明するための図である。 ポリシ集約サーバの攻撃対策情報取得部を説明するための図である。 ポリシ集約サーバの対策ポリシ作成部を説明するための図である。 ポリシ集約サーバのポリシ集約部を説明するための図である。 ユーザ端末による処理の手順を示すフローチャートである。 ＣＰＥによる処理の手順を示すフローチャートである。 ユーザポリシサーバによる処理の手順を示すフローチャートである。 ポリシ集約サーバによる処理の手順（個別ポリシ受信時）を示すフローチャートである。 ポリシ集約サーバによる処理の手順（攻撃対策情報受信時）を示すフローチャートである。 ポリシ集約サーバによるポリシ受信処理の手順を示すフローチャートである。 実施例２におけるポリシ集約サーバの構成を示すブロック図である。 ポリシ集約サーバのユーザ情報記憶部を説明するための図である。 ポリシ集約サーバのポリシデータ記憶部を説明するための図である。 ポリシ集約サーバのポリシデータ記憶部を説明するための図である。 ポリシ集約サーバのポリシデータ記憶部を説明するための図である。 ポリシ集約サーバのポリシデータ記憶部を説明するための図である。 ポリシ集約サーバのポリシデータ記憶部を説明するための図である。 ポリシ集約サーバのポリシデータ記憶部を説明するための図である。 ポリシ集約サーバの広域ネットワーク装置構成情報記憶部を説明するための図である。 ポリシ集約サーバのＶＰＮ情報記憶部を説明するための図である。 ファイアウォールや攻撃検知システムによる対策を説明するための図である。 従来技術を説明するための図である。

符号の説明

１Ａ 広域ネットワーク
１Ｂ ユーザネットワーク
１Ｃ ユーザネットワーク
１Ｄ ユーザネットワーク
３Ａ 広域ネットワーク装置
３Ｂ 広域ネットワーク装置
３Ｃ 広域ネットワーク装置
４Ａ ユーザ端末
４０１ ポリシ送信部
４０２ サービス情報記憶部
４０３ アドレス変換部
４０４ ルールセット記憶部
４Ｂ ユーザ端末
４Ｃ ユーザ端末
４Ｄ ユーザ端末
４Ｅ ユーザ端末
５Ａ ＣＰＥ
５０１ ポリシ送信部
５０２ サービス情報記憶部
５０３ アドレス変換部
５０４ ルールセット記憶部
５Ｂ ＣＰＥ
６ ユーザポリシサーバ
６０１ ポリシ送信部
６０２ サービス情報記憶部
６０３ アドレス変換部
６０４ ルールセット記憶部
６０５ ポリシ取得部
７ ポリシ集約サーバ
７０１ ポリシ受信部
７０２ ユーザ情報記憶部
７０３ ポリシ管理部
７０４ ポリシデータ記憶部
７０５ ポリシ集約部
７０６ 制御管理部
７０７ 対策ポリシ作成部
７０８ 攻撃対策情報取得部
７０９ 広域ネットワーク装置構成情報記憶部
７１０ ＶＰＮ情報記憶部

Claims (18)

1. ユーザによって運用されるユーザ装置で構成されているユーザネットワークの各々が、複数の当該ユーザネットワーク同士を通信可能に接続する広域ネットワークに対して広域ネットワーク装置各々を介して接続されている場合に、所定のユーザネットワークから他のユーザネットワークに対して当該広域ネットワーク経由で送信されたトラヒックを制御するトラヒック制御システムであって、
   前記ユーザネットワークを構成するユーザ装置のいずれか一つまたは複数は、
   当該ユーザ装置と当該ユーザ装置で構成されている自ユーザネットワーク以外の他のユーザネットワークとの間で送受信されるトラヒック、および／または、前記自ユーザネットワーク内で当該ユーザ装置が管理するその他のユーザ装置と前記他のユーザネットワークとの間で送受信されるトラヒックについて、当該トラヒックを制御するルールを要素とする集合体である個別ポリシを、前記広域ネットワークに接続するポリシ集約サーバに対して送信するポリシ送信手段を備え、
   前記ポリシ集約サーバは、
   前記ポリシ送信手段によって送信された前記個別ポリシ各々を受信するポリシ受信手段と、
   前記ポリシ受信手段によって受信された前記個別ポリシ各々の要素である前記ルールを、当該ルールを設定すべき前記広域ネットワーク装置の各々に送信するルール送信手段とを備え、
   前記広域ネットワーク装置の各々は、
   前記ルール送信手段によって送信された前記ルールを受信するルール受信手段と、
   前記ルール受信手段によって受信された前記ルールに従って、前記トラヒックを制御するトラヒック制御手段と、
   を備えたことを特徴とするトラヒック制御システム。
2. 前記ルール送信手段は、前記ポリシ受信手段によって受信された前記個別ポリシ各々の要素である前記ルールから、当該ルールについて集約した集約ルールと当該集約ルールを要素とする集合体である集約ポリシとを作成し、当該集約ルールを、当該集約ルールを設定すべき前記広域ネットワーク装置の各々に送信することを特徴とする請求項１に記載のトラヒック制御システム。
3. 前記ポリシ受信手段は、前記個別ポリシ各々を受信する際に、当該個別ポリシ各々の正当性を検証することをさらに特徴とする請求項１または２に記載のトラヒック制御システム。
4. 前記ユーザ装置は、前記自ユーザネットワーク以外のネットワーク上で開示されない非開示アドレスおよび／または非開示ポート番号と、当該ネットワーク上で開示される開示アドレスおよび／または開示ポート番号とを変換するＮＡＴ機能を利用しており、前記ルールは、当該非開示アドレスおよび／または当該非開示ポート番号で記述されているものであって、
   前記ユーザネットワークを構成するユーザ装置のいずれか一つまたは複数は、
   前記ルールに記述された前記非開示アドレスおよび／または前記非開示ポート番号を、前記開示アドレスおよび／または前記開示ポート番号に変換するアドレス変換手段をさらに備え、
   前記ポリシ送信手段は、前記アドレス変換手段によって変換された前記ルールを要素とする個別ポリシを、前記ポリシ集約サーバに対して送信することを特徴とする請求項１〜３のいずれか一つに記載のトラヒック制御システム。
5. 前記ルール送信手段は、前記ルールに従ってトラヒックが制御されることになる前記ユーザ装置に関する情報を統計情報として作成することをさらに特徴とし、
   前記ポリシ集約サーバは、
   前記ルール送信手段によって作成された前記統計情報に基づいて、前記ルールを、当該ルールに従ってトラヒックが制御されることになる前記ユーザ装置以外の他のユーザ装置と前記他のユーザネットワークとの間で送受信されるトラヒックを制御するルールとして採用すべきか否かを判断する判断手段をさらに備えたことを特徴とする請求項１〜４のいずれか一つに記載のトラヒック制御システム。
6. 前記ポリシ集約サーバは、
   前記広域ネットワーク装置において検出した攻撃パケットを識別する識別情報および当該攻撃パケットに対する対策情報を含む攻撃対策情報を、当該広域ネットワーク装置から取得する攻撃対策情報取得手段と、
   前記攻撃対策情報取得手段によって取得された前記攻撃対策情報から、当該攻撃対策情報に基づいて前記トラヒックを制御する対策ルールを要素とする集合体である対策ポリシを作成する対策ポリシ作成手段とをさらに備え、
   前記ルール送信手段は、前記対策ポリシ作成手段によって作成された前記対策ポリシを、前記ルールに反映することを特徴とする請求項１〜５のいずれか一つに記載のトラヒック制御システム。
7. 前記ルール送信手段は、同種の前記ルールに基づいてトラヒックを制御されるユーザ装置のグループごとに当該ルールについて集約した集約ポリシを作成し、当該グループごとに仮想的なネットワークもしくは物理的なネットワークを形成するように前記広域ネットワーク装置の各々に設定させる設定情報、および、当該グループごとの集約ポリシを、当該設定情報および当該集約ポリシを設定すべき前記広域ネットワーク装置の各々に送信することをさらに特徴とする請求項１〜６のいずれか一つに記載のトラヒック制御システム。
8. ユーザによって運用されるユーザ装置で構成されているユーザネットワークの各々が、複数の当該ユーザネットワーク同士を通信可能に接続する広域ネットワークに対して広域ネットワーク装置各々を介して接続されている場合に、所定のユーザネットワークから他のユーザネットワークに対して当該広域ネットワーク経由で送信されたトラヒックを制御するトラヒック制御方法であって、
   前記ユーザネットワークを構成するユーザ装置のいずれか一つまたは複数は、
   当該ユーザ装置と当該ユーザ装置で構成されている自ユーザネットワーク以外の他のユーザネットワークとの間で送受信されるトラヒック、および／または、前記自ユーザネットワーク内で当該ユーザ装置が管理するその他のユーザ装置と前記他のユーザネットワークとの間で送受信されるトラヒックについて、当該トラヒックを制御するルールを要素とする集合体である個別ポリシを、前記広域ネットワークに接続するポリシ集約サーバに対して送信するポリシ送信工程を含み、
   前記ポリシ集約サーバは、
   前記ポリシ送信工程によって送信された前記個別ポリシ各々を受信するポリシ受信工程と、
   前記ポリシ受信工程によって受信された前記個別ポリシ各々の要素である前記ルールを、当該ルールを設定すべき前記広域ネットワーク装置の各々に送信するルール送信工程とを含み、
   前記広域ネットワーク装置の各々は、
   前記ルール送信工程によって送信された前記ルールを受信するルール受信工程と、
   前記ルール受信工程によって受信された前記ルールに従って、前記トラヒックを制御するトラヒック制御工程と、
   を含んだことを特徴とするトラヒック制御方法。
9. ユーザによって運用されるユーザ装置で構成されているユーザネットワークの各々が、複数の当該ユーザネットワーク同士を通信可能に接続する広域ネットワークに対して広域ネットワーク装置各々を介して接続されている場合に、当該広域ネットワークに接続するポリシ集約サーバが、前記ユーザ装置のいずれか一つまたは複数から送信された個別ポリシ各々を受信し、当該個別ポリシ各々の要素であるルールを当該ルールを設定すべき前記広域ネットワーク装置の各々に送信し、当該広域ネットワーク装置が、所定のユーザネットワークから他のユーザネットワークに対して当該広域ネットワーク経由で送信されたトラヒックを制御するトラヒック制御システムにおける前記ユーザ装置としてのユーザ端末であって、
   前記ユーザ端末と当該ユーザ端末で構成されている自ユーザネットワーク以外の他のユーザネットワークとの間で送受信されるトラヒックについて、当該トラヒックを制御するルールを要素とする集合体である個別ポリシを、前記ポリシ集約サーバに対して送信するポリシ送信手段を備えたことを特徴とするユーザ端末。
10. ユーザによって運用されるユーザ装置で構成されているユーザネットワークの各々が、複数の当該ユーザネットワーク同士を通信可能に接続する広域ネットワークに対して広域ネットワーク装置各々を介して接続されている場合に、当該広域ネットワークに接続するポリシ集約サーバが、前記ユーザ装置のいずれか一つまたは複数から送信された個別ポリシ各々を受信し、当該個別ポリシ各々の要素であるルールを当該ルールを設定すべき前記広域ネットワーク装置の各々に送信し、当該広域ネットワーク装置が、所定のユーザネットワークから他のユーザネットワークに対して当該広域ネットワーク経由で送信されたトラヒックを制御するトラヒック制御システムにおける前記ユーザ装置としてのユーザネットワーク機器であって、
    前記ユーザネットワーク機器と当該ユーザネットワーク機器で構成されている自ユーザネットワーク以外の他のユーザネットワークとの間で送受信されるトラヒックについて、当該トラヒックを制御するルールを要素とする集合体である個別ポリシを、前記ポリシ集約サーバに対して送信するポリシ送信手段を備えたことを特徴とするユーザネットワーク機器。
11. ユーザによって運用されるユーザ装置で構成されているユーザネットワークの各々が、複数の当該ユーザネットワーク同士を通信可能に接続する広域ネットワークに対して広域ネットワーク装置各々を介して接続されている場合に、当該広域ネットワークに接続するポリシ集約サーバが、前記ユーザ装置のいずれか一つまたは複数から送信された個別ポリシ各々を受信し、当該個別ポリシ各々の要素であるルールを当該ルールを設定すべき前記広域ネットワーク装置の各々に送信し、当該広域ネットワーク装置が、所定のユーザネットワークから他のユーザネットワークに対して当該広域ネットワーク経由で送信されたトラヒックを制御するトラヒック制御システムにおける前記ユーザ装置としてのユーザポリシサーバであって、
    前記ユーザポリシサーバで構成されている自ユーザネットワーク内で当該ユーザポリシサーバが管理するその他のユーザ装置と当該自ユーザネットワーク以外の他のユーザネットワークとの間で送受信されるトラヒックについて、当該トラヒックを制御するルールを要素とする集合体である個別ポリシを、当該その他のユーザ装置の各々から取得するポリシ取得手段と、
    前記ポリシ取得手段によって取得された前記個別ポリシ各々を、前記ポリシ集約サーバに対して送信するポリシ送信手段と、
    を備えたことを特徴とするユーザポリシサーバ。
12. ユーザによって運用されるユーザ装置で構成されているユーザネットワークの各々が、複数の当該ユーザネットワーク同士を通信可能に接続する広域ネットワークに対して広域ネットワーク装置各々を介して接続されている場合に、所定のユーザネットワークから他のユーザネットワークに対して当該広域ネットワーク経由で送信されたトラヒックを制御するトラヒック制御システムにおいて、当該広域ネットワークに接続するポリシ集約サーバであって、
    前記ユーザネットワークを構成するユーザ装置のいずれか一つまたは複数から、当該ユーザ装置と当該ユーザ装置で構成されている自ユーザネットワーク以外の他のユーザネットワークとの間で送受信されるトラヒック、および／または、前記自ユーザネットワーク内で当該ユーザ装置が管理するその他のユーザ装置と前記他のユーザネットワークとの間で送受信されるトラヒックについて、当該トラヒックを制御するルールを要素とする集合体である個別ポリシ各々を受信するポリシ受信手段と、
    前記ポリシ受信手段によって受信された前記個別ポリシ各々の要素である前記ルールを、当該ルールを設定すべき前記広域ネットワーク装置の各々に送信することで、当該広域ネットワーク装置の各々に当該ルールに従って前記トラヒックを制御させるルール送信手段と、
    を備えたことを特徴とするポリシ集約サーバ。
13. ユーザによって運用されるユーザ装置で構成されているユーザネットワークの各々が、複数の当該ユーザネットワーク同士を通信可能に接続する広域ネットワークに対して広域ネットワーク装置各々を介して接続されている場合に、所定のユーザネットワークから他のユーザネットワークに対して当該広域ネットワーク経由で送信されたトラヒックを制御するトラヒック制御システムにおいて、当該広域ネットワークに接続するポリシ集約サーバであって、
    前記ユーザネットワークを構成するユーザ装置のいずれか一つまたは複数から、当該ユーザ装置と当該ユーザ装置で構成されている自ユーザネットワーク以外の他のユーザネットワークとの間で送受信されるトラヒック、および／または、前記自ユーザネットワーク内で当該ユーザ装置が管理するその他のユーザ装置と前記他のユーザネットワークとの間で送受信されるトラヒックについて、当該トラヒックを制御するルールを要素とする集合体である個別ポリシ各々を受信するポリシ受信手段と、
    前記ポリシ受信手段によって受信された前記個別ポリシ各々の要素である前記ルールから、同種の前記ルールに基づいてトラヒックを制御されるユーザ装置のグループごとに当該ルールについて集約した集約ポリシを作成し、当該グループごとに仮想的なネットワークもしくは物理的なネットワークを形成するように前記広域ネットワーク装置の各々に設定させる設定情報、および、当該グループごとの集約ポリシを、当該設定情報および当該集約ポリシを設定すべき前記広域ネットワーク装置の各々に送信することで、当該広域ネットワーク装置の各々に当該ルールに従って前記トラヒックを制御させるルール送信手段と、
    を備えたことを特徴とするポリシ集約サーバ。
14. ユーザによって運用されるユーザ装置で構成されているユーザネットワークの各々が、複数の当該ユーザネットワーク同士を通信可能に接続する広域ネットワークに対して広域ネットワーク装置各々を介して接続されている場合に、当該広域ネットワークに接続するポリシ集約サーバが、前記ユーザ装置のいずれか一つまたは複数から送信された個別ポリシ各々を受信し、当該個別ポリシ各々の要素であるルールを当該ルールを設定すべき前記広域ネットワーク装置の各々に送信し、当該広域ネットワーク装置が、所定のユーザネットワークから他のユーザネットワークに対して当該広域ネットワーク経由で送信されたトラヒックを制御するトラヒック制御方法を、前記ユーザ装置としてのコンピュータであるユーザ端末に実行させるユーザ端末プログラムであって、
    前記ユーザ端末と当該ユーザ端末で構成されている自ユーザネットワーク以外の他のユーザネットワークとの間で送受信されるトラヒックについて、当該トラヒックを制御するルールを要素とする集合体である個別ポリシを、前記ポリシ集約サーバに対して送信するポリシ送信手順を前記コンピュータであるユーザ端末に実行させることを特徴とするユーザ端末プログラム。
15. ユーザによって運用されるユーザ装置で構成されているユーザネットワークの各々が、複数の当該ユーザネットワーク同士を通信可能に接続する広域ネットワークに対して広域ネットワーク装置各々を介して接続されている場合に、当該広域ネットワークに接続するポリシ集約サーバが、前記ユーザ装置のいずれか一つまたは複数から送信された個別ポリシ各々を受信し、当該個別ポリシ各々の要素であるルールを当該ルールを設定すべき前記広域ネットワーク装置の各々に送信し、当該広域ネットワーク装置が、所定のユーザネットワークから他のユーザネットワークに対して当該広域ネットワーク経由で送信されたトラヒックを制御するトラヒック制御方法を、前記ユーザ装置としてのコンピュータであるユーザネットワーク機器に実行させるユーザネットワーク機器プログラムであって、
    前記ユーザネットワーク機器と当該ユーザネットワーク機器で構成されている自ユーザネットワーク以外の他のユーザネットワークとの間で送受信されるトラヒックについて、当該トラヒックを制御するルールを要素とする集合体である個別ポリシを、前記ポリシ集約サーバに対して送信するポリシ送信手順を前記コンピュータであるユーザネットワーク機器に実行させることを特徴とするユーザネットワーク機器プログラム。
16. ユーザによって運用されるユーザ装置で構成されているユーザネットワークの各々が、複数の当該ユーザネットワーク同士を通信可能に接続する広域ネットワークに対して広域ネットワーク装置各々を介して接続されている場合に、当該広域ネットワークに接続するポリシ集約サーバが、前記ユーザ装置のいずれか一つまたは複数から送信された個別ポリシ各々を受信し、当該個別ポリシ各々の要素であるルールを当該ルールを設定すべき前記広域ネットワーク装置の各々に送信し、当該広域ネットワーク装置が、所定のユーザネットワークから他のユーザネットワークに対して当該広域ネットワーク経由で送信されたトラヒックを制御するトラヒック制御方法を、前記ユーザ装置としてのコンピュータであるユーザポリシサーバに実行させるユーザポリシサーバプログラムであって、
    前記ユーザポリシサーバで構成されている自ユーザネットワーク内で当該ユーザポリシサーバが管理するその他のユーザ装置と当該自ユーザネットワーク以外の他のユーザネットワークとの間で送受信されるトラヒックについて、当該トラヒックを制御するルールを要素とする集合体である個別ポリシを、当該その他のユーザ装置の各々から取得するポリシ取得手順と、
    前記ポリシ取得手順によって取得された前記個別ポリシ各々を、前記ポリシ集約サーバに対して送信するポリシ送信手順と、
    を前記コンピュータであるユーザポリシサーバに実行させることを特徴とするユーザポリシサーバプログラム。
17. ユーザによって運用されるユーザ装置で構成されているユーザネットワークの各々が、複数の当該ユーザネットワーク同士を通信可能に接続する広域ネットワークに対して広域ネットワーク装置各々を介して接続されている場合に、所定のユーザネットワークから他のユーザネットワークに対して当該広域ネットワーク経由で送信されたトラヒックを制御するトラヒック制御方法を、当該広域ネットワークに接続するポリシ集約サーバとしてのコンピュータに実行させるポリシ集約サーバプログラムであって、
    前記ユーザネットワークを構成するユーザ装置のいずれか一つまたは複数から、当該ユーザ装置と当該ユーザ装置で構成されている自ユーザネットワーク以外の他のユーザネットワークとの間で送受信されるトラヒック、および／または、前記自ユーザネットワーク内で当該ユーザ装置が管理するその他のユーザ装置と前記他のユーザネットワークとの間で送受信されるトラヒックについて、当該トラヒックを制御するルールを要素とする集合体である個別ポリシ各々を受信するポリシ受信手順と、
    前記ポリシ受信手順によって受信された前記個別ポリシ各々の要素である前記ルールを、当該ルールを設定すべき前記広域ネットワーク装置の各々に送信することで、当該広域ネットワーク装置の各々に当該ルールに従って前記トラヒックを制御させるルール送信手順と、
    を前記ポリシ集約サーバとしてのコンピュータに実行させることを特徴とするポリシ集約サーバプログラム。
18. ユーザによって運用されるユーザ装置で構成されているユーザネットワークの各々が、複数の当該ユーザネットワーク同士を通信可能に接続する広域ネットワークに対して広域ネットワーク装置各々を介して接続されている場合に、所定のユーザネットワークから他のユーザネットワークに対して当該広域ネットワーク経由で送信されたトラヒックを制御するトラヒック制御方法を、当該広域ネットワークに接続するポリシ集約サーバとしてのコンピュータに実行させるポリシ集約サーバプログラムであって、
    前記ユーザネットワークを構成するユーザ装置のいずれか一つまたは複数から、当該ユーザ装置と当該ユーザ装置で構成されている自ユーザネットワーク以外の他のユーザネットワークとの間で送受信されるトラヒック、および／または、前記自ユーザネットワーク内で当該ユーザ装置が管理するその他のユーザ装置と前記他のユーザネットワークとの間で送受信されるトラヒックについて、当該トラヒックを制御するルールを要素とする集合体である個別ポリシ各々を受信するポリシ受信手順と、
    前記ポリシ受信手順によって受信された前記個別ポリシ各々の要素である前記ルールから、同種の前記ルールに基づいてトラヒックを制御されるユーザ装置のグループごとに当該ルールについて集約した集約ポリシを作成し、当該グループごとに仮想的なネットワークもしくは物理的なネットワークを形成するように前記広域ネットワーク装置の各々に設定させる設定情報、および、当該グループごとの集約ポリシを、当該設定情報および当該集約ポリシを設定すべき前記広域ネットワーク装置の各々に送信することで、当該広域ネットワーク装置の各々に当該ルールに従って前記トラヒックを制御させるルール送信手順と、
    を前記ポリシ集約サーバとしてのコンピュータに実行させることを特徴とするポリシ集約サーバプログラム。

Images