JP5307238B2 - 通信ネットワークのための侵入防止方法およびシステム - Google Patents

Description

本発明は、通信システムの分野に関する。詳細には、本発明は、通信ネットワークのための侵入防止方法およびシステムに関する。

知られているように、通信ネットワークは、３つの論理的な主要プレーンを含み、それらはすなわち、ユーザデータを送信するのに適したプレーンであるデータプレーン、制御動作を実行するのに適したプレーンである制御プレーン、および管理動作を実行するのに適したプレーンである管理プレーンである。

通信ネットワークを管理することは、たとえば以下のような、いくつかの動作の実施を提供する：
− ネットワークパフォーマンスを監視すること、
− ネットワーク要素、およびそのリソース（ボード、ポート、相互接続など）を構成すること、
− ネットワークにおいて発生するエラーを管理すること、など。

典型的に、管理動作は、「ネットワーク管理局またはネットワーク管理システム」（または簡潔にＮＭＳ）と呼ばれる装置によって実施され、この装置は、管理されることになるネットワークの各ネットワーク要素に接続されている。

詳細には、「エージェント」と呼ばれるソフトウェアプリケーションと情報を交換することが可能な「マネジャ」と呼ばれるソフトウェアプリケーションが、ＮＭＳに提供され、そのエージェントは、ネットワーク要素に配置されている。マネジャおよびエージェントは、管理プロトコルを使用することによって、互いに管理情報を交換し、管理プロトコルは、管理プレーンにおいて実行され、通信ネットワークのタイプに依存している。管理プロトコルの例には、ＳＮＭＰ（Ｓｉｍｐｌｅ Ｎｅｔｗｏｒｋ Ｍａｎａｇｅｍｅｎｔ Ｐｒｏｔｏｃｏｌ／シンプルネットワーク管理プロトコル）、ＣＭＩＰ（Ｃｏｍｍｏｎ Ｍａｎａｇｅｍｅｎｔ Ｉｎｆｏｒｍａｔｉｏｎ Ｐｒｏｔｏｃｏｌ／共通管理情報プロトコル）、Ｑ３、およびＴＬ１がある。

それらの機能のおかげで、制御プレーンおよび管理プレーンは、特に、いわゆる「ハッカー」による攻撃にさらされる。以下の説明および特許請求の範囲において、用語「攻撃」は、通信ネットワークに不正なソフトウェアを導入する、および／または通信ネットワークを管理し制御する管理および制御ソフトウェアを、不正なやり方で操作する、ハッカーによるいかなる試みをも指す。可能性のある攻撃のタイプは以下である：
− ネットワーク要素の機能不全をもたらすことができる非能率を生成することを実質的に目的とするＤＯＳ（サービス妨害）攻撃、
− ネットワーク要素における、いわゆる「バックドア」を開くことを目的とし、それにより不正アクセスを促進するマルウェアの増殖、ならびに
− トロイの木馬、ワーム、キーロガー、およびウィルスの拡散。

一般的に言って、データプレーンは、ネットワーク要素のソフトウェアプリケーションといかなるやり方においても相互作用しないので、それ自体セキュアである。言い換えれば、ユーザデータは、データプレーンにおいて透過的なやり方において運ばれ、すなわち、ネットワーク要素のソフトウェアプリケーションは、ユーザデータを処理しない。

以下の説明および特許請求の範囲において、表現「侵入防止メカニズム−システム−方法」は、通信ネットワークにおいて実装され、攻撃にさらされている１つまたは複数のネットワーク要素を、ネットワークの他のネットワーク要素から切り離すのに適している、メカニズム−システム−方法を指すことになる。攻撃にさらされているネットワーク要素はまた、「感染ネットワーク要素」と呼ばれる。

当技術分野において、たとえば、非対称暗号、一方向性ハッシュ関数などのいくつかの侵入防止メカニズムが知られている。これらの知られている侵入防止メカニズムは、一般的に誰にでも知られる公開符号化／復号化鍵、および秘密にされる秘密符号化／復号化鍵などの、符号化／復号化鍵を一般的に提供する。公開符号化／復号化鍵と秘密符号化／復号化鍵とは、互いに関連している。詳細には、公開符号化鍵によって符号化された情報は、対応する秘密復号化鍵によってのみ復号化されることができ、逆もまた同様に、秘密符号化鍵によって符号化された情報は、対応する公開復号化鍵によってのみ復号化されることができる。

出願人は、通信ネットワークの分野において、ウェブ技術に基づいた管理システムを提供することが望ましいことに注目した。これは、主に、このやり方において動作する管理システムが、有利なことに、Ｍｏｚｉｌｌａ、Ｉｎｔｅｒｎｅｔ Ｅｘｐｌｏｒｅｒなどの、ウェブをブラウズするための現行のコンピュータプログラム（通常「ウェブブラウザ」と呼ばれる）の、グラフィックインターフェースに類似した管理グラフィックインターフェースの使用を可能にするという事実のためである。

出願人は、管理システムが、このようにＮＭＳによって実行されるブラウザを介して実装されることができ、かつウェブライクな管理グラフィカルインターフェースをサポートすることが可能であり、その中で、管理情報が、ウェブインターフェースに典型的なグラフィックオブジェクト、すなわちウィンドウ、アイコンなどとして、表示されることに注目した。

ウェブ技術に基づいたネットワーク管理システムを使用することは、「オープンソース」ソフトウェアのさらに普及した利用と共に、ネットワーク要素の脆弱性の増大をもたらす。したがって、一方では、ウェブ技術に基づいた管理システムの発展が、通信ネットワークのアクセスしやすさの点で利点をもたらし、他方では、それが不都合なことに、通信ネットワークを、および特に上記で触れた制御プレーンおよび管理プレーンを、「ハッカー」による攻撃に対してより脆弱にする。

出願人は、知られている侵入防止メカニズムが、上記で説明した通信ネットワークの管理システムに適用される場合に、いくつかの欠点を有することに注目した。

第１に、知られている侵入防止メカニズムは、決定的な観点から受動的なメカニズムである。言い換えれば、これらのメカニズムは、異常なトラフィックをネットワーク内で検出し、その異常なトラフィックが、一般的に通信ネットワークが攻撃を受けていることを示し、メカニズムは、視覚の、および／または音響のアラーム信号をオペレータに送信する。次いで、オペレータは、たとえば、異常なトラフィックがそれを介して通行するポートを閉じることにより、感染ネットワーク要素を切り離してトラフィックを停止し、ネットワークを分析して、それにより異常の原因を検出する。したがって、これらのメカニズムは、攻撃の検出時間と、感染ネットワーク要素がオペレータの介入によって切り離される時間との間に、遅延を呈する。その場合、不都合なことに、ダメージが既に著しく広がっているときに、オペレータが介入することがある。

第２に、知られている侵入防止メカニズムは、利用される計算リソースの点で負担になる。

さらに、たとえば、ハッカーが通信ネットワークの管理プレーンに入る場合、彼はネットワーク要素の管理構成を変更することがある。既存の侵入防止メカニズムは、不都合なことに、ネットワーク要素全体を、したがってユーザデータの処理も停止させることによって動作する。

したがって、出願人は、上記で触れた欠点のうちの少なくとも１つを克服することが可能である、通信ネットワークのための侵入防止方法およびシステムを提供するための問題に取り組んだ。

詳細には、出願人は、攻撃の検出時間と、感染ネットワーク要素が他のネットワーク要素から切り離される時間との間に、特に低減された遅延を呈する、通信ネットワークのための侵入防止方法およびシステムを提供するための問題に取り組んだ。

第１の態様によれば、本発明は、複数のネットワーク要素を含む通信ネットワークのための侵入防止方法を提供し、方法は、以下のステップを含む：
ａ）通信ネットワークと協働する、受動監視コンポーネント、意思決定コンポーネント、および措置実行コンポーネントを提供するステップ、
ｂ）受動監視コンポーネントにおいて、複数のネットワーク要素のうちの少なくとも１つのネットワーク要素に対する攻撃を示す管理情報を検出するステップと、管理情報を処理するステップにより感染データを生成するステップと、感染データを意思決定コンポーネントに送信するステップ、
ｃ）意思決定コンポーネントにおいて、感染データを受信するステップと、攻撃をブロックするために行われるべき措置について決定を下すステップと、決定を措置実行コンポーネントに送信するステップ、ならびに
ｄ）措置実行コンポーネントにおいて、決定に基づいて、少なくとも１つのネットワーク要素に措置を実施するよう指示するステップ。

好ましくは、ステップａ）が、受動監視コンポーネントを複数のネットワーク要素のそれぞれに提供するステップを含む。

有利には、ステップａ）が、意思決定コンポーネントおよび措置実行コンポーネントを複数のネットワークの要素のうちの１つに提供するステップをさらに含む。

代替的には、ステップａ）が、意思決定コンポーネントおよび措置実行コンポーネントを複数のネットワーク要素のそれぞれに提供するステップをさらに含む。

代替的には、ステップａ）が、意思決定コンポーネントを複数のネットワーク要素のうちの１つに提供するステップと、措置実行コンポーネントを複数のネットワーク要素のうちの別の１つに提供するステップとを含む。

代替的には、ステップａ）が、以下のステップのうちの少なくとも１つをさらに含む：
− 意思決定コンポーネントを、複数のネットワーク要素のうちの少なくとも２つに提供するステップ、それにより意思決定クラスタを形成するステップ、および
− 措置実行コンポーネントを、複数のネットワーク要素のうちの少なくとも別の２つに提供するステップ、それにより措置実行クラスタを形成するステップ。

好ましくは、ステップｃ）が、静的関連テーブルおよび動的関連テーブルのうちの少なくとも１つを使用することによって、決定を下すステップをさらに含み、静的関連テーブルおよび動的関連テーブルのそれぞれが、複数の行を含み、複数の行のそれぞれが、セキュリティ閾値、およびセキュリティ閾値に関連付けられた取りうる措置を含む。

第２の態様によれば、本発明は、複数のネットワーク要素を含む通信ネットワークのための侵入防止システムを提供し、システムは以下を含む：通信ネットワークと協働する、受動監視コンポーネント、意思決定コンポーネント、および措置実行コンポーネント：
− 受動監視コンポーネントが、複数のネットワーク要素のうちの少なくとも１つのネットワーク要素に対する攻撃を示す管理情報を検出し、管理情報を処理してそれにより感染データを生成し、感染データを意思決定コンポーネントに送信するのに適しており、
− 意思決定コンポーネントが、感染データを受信し、攻撃をブロックするために行われるべき措置について決定を下し、決定を措置実行コンポーネントに送信するのに適しており、
− 措置実行コンポーネントが、決定に基づいて、少なくとも１つのネットワーク要素に措置を実施するよう指示するのに適している。

好ましくは、受動監視コンポーネントが、複数のネットワーク要素のそれぞれに提供される。

有利には、意思決定コンポーネントおよび措置実行コンポーネントが、複数のネットワークの要素のうちの１つに提供される。

代替的には、意思決定コンポーネントおよび措置実行コンポーネントが、複数のネットワーク要素のそれぞれに提供される。

代替的には、意思決定コンポーネントが、複数のネットワーク要素のうちの１つに提供され、措置実行コンポーネントが、複数のネットワーク要素のうちの別の１つに提供される。

代替的には、意思決定コンポーネントが、複数のネットワーク要素のうちの少なくとも２つに提供され、それにより意思決定クラスタを形成し、および／または、措置実行コンポーネントが、複数のネットワーク要素のうちの少なくとも別の２つに提供され、それにより措置実行クラスタを形成する。

好ましくは、システムが、静的関連テーブルおよび動的関連テーブルのうちの少なくとも１つをさらに含み、静的関連テーブルおよび動的関連テーブルのそれぞれが、複数の行を含み、複数の行のそれぞれが、セキュリティ閾値、およびセキュリティ閾値に関連付けられた取りうる措置を含み、意思決定コンポーネントが、静的関連テーブルおよび動的関連テーブルのうちの少なくとも１つを使用することによって、決定を下すのに適している。

本発明は、添付の図面を参照して読まれるべき、限定ではなく例示として与えられる以下の詳細な説明を読むことによって、よりよく理解されるであろう。

本発明の第１の実施形態による侵入防止システムを備える通信ネットワークを概略的に示す図である。 図１の通信ネットワークの第１の要素の構造を、より詳細に示す図である。 図１の通信ネットワークの第２の要素の構造を、より詳細に示す図である。 本発明の第２の実施形態による侵入防止システムを備える通信ネットワークを概略的に示す図である。 本発明の第３の実施形態による侵入防止システムを備える通信ネットワークを概略的に示す図である。 図５の通信ネットワークの第１のネットワーク要素の構造を、より詳細に示す図である。 図５の通信ネットワークの第２のネットワーク要素の構造を、より詳細に示す図である。 本発明の第４の実施形態による侵入防止システムを備える通信ネットワークを概略的に示す図である。

図１は、本発明の第１の実施形態による侵入防止システムを備える通信ネットワークＣＮを概略的に示す。

簡略化のために、通信ネットワークＣＮは、４つのネットワーク要素、ＮＥ１、ＮＥ２、ＮＥ３’およびＮＥ４のみを含むと仮定する。通信ネットワークＣＮは、任意の数のネットワーク要素を含むことができるので、明らかにこれは例示にすぎない。各ネットワーク要素、ＮＥ１、ＮＥ２、ＮＥ３’およびＮＥ４は、それぞれのデータトラフィックのための１つまたは複数の入力／出力ポートを含む。簡略化のために、入力／出力ポートは、図１には示されていない。

好ましくは、ネットワーク要素、ＮＥ１、ＮＥ２、ＮＥ３’およびＮＥ４は、同じ計算グリッドＧの一部を形成する。知られているように、計算グリッドは、分散アプリケーションの実行を可能にし、すなわちそれは、グリッドを形成するすべてのコンピュータの中で、所与のアプリケーションの実行を共有することを可能にする。言い換えれば、アプリケーションは、グリッドを形成するすべてのコンピュータの中で共有される。好ましくは、グリッドを形成するコンピュータは、「ミドルウェア」と呼ばれるアプリケーションを用いて、ウェブを経由して互いに通信する。例示的な計算グリッドは、ミドルウェアＧｌｏｂｕｓを使用する、Ｇｌｏｂｕｓ Ａｌｌｉａｎｃｅによって提案されるものである。

この実施形態によれば、通信ネットワークＣＮのネットワーク要素、ＮＥ１、ＮＥ２、ＮＥ３’およびＮＥ４は、ミドルウェアを用いて、ウェブを経由して互いに接続されている。出願人は、上記で触れたミドルウェアＧｌｏｂｕｓを使用して、いくつかの実際的なテストを実施した。

好ましくは、通信ネットワークＣＮは、ブラウジングモジュールＢを実行するように構成される管理端末ＭＴにさらに接続され、管理端末ＭＴは、グリッドＧのネットワーク要素のいずれか、たとえば、ネットワーク要素ＮＥ１に接続されている。ブラウジングモジュールＢは、図においては簡略化のために示されていないウェブライクな管理グラフィックインターフェースをサポートすることが可能である。

ウェブライクな管理グラフィックインターフェースは、通信ネットワークＣＮの管理に関する管理情報、すなわち以下を、ウィンドウおよびアイコンなどのグラフィックオブジェクトとして表示するのに適している：ネットワーク要素、ＮＥ１、ＮＥ２、ＮＥ３’およびＮＥ４のリソース構成パラメータ、ネットワーク要素、ＮＥ１、ＮＥ２、ＮＥ３’およびＮＥ４のリソースパフォーマンスパラメータ、ならびにネットワーク要素、ＮＥ１、ＮＥ２、ＮＥ３’およびＮＥ４によって生成される任意のアラーム。

本発明の実施形態によれば、計算グリッドＧは、侵入防止モジュールＡＩＭ、および侵入防止監視モジュールＡＩＭＭと協働する。

本発明の第１の実施形態によれば、かつ図２を参照すると、侵入防止モジュールＡＩＭは、通信ネットワークＣＮのうちの１つのネットワーク要素、たとえば、ネットワーク要素ＮＥ３’にインストールされている。

好ましくは、侵入防止モジュールＡＩＭは以下を含む：受動監視コンポーネントＰＭＣ、通信コンポーネントＣＣ、意思決定コンポーネントＤＭＣ、および措置実行コンポーネントＡＭＣ。

受動監視コンポーネントＰＭＣは、好ましくは以下に適している：
− ネットワーク要素ＮＥ３’のポートを通過する管理情報トラフィックを、継続的なやり方でローカルに監視すること、
− これらの管理情報を処理して、可能性のある感染データを生成すること、および
− 可能性のある感染データを、意思決定コンポーネントＤＭＣに提供すること。

意思決定コンポーネントＤＭＣは、好ましくは以下に適している：
− 受動監視コンポーネントＰＭＣから来る、可能性のある感染データを受信する、および、他のネットワーク要素から来る、可能性のある感染データを通信コンポーネントＣＣを介して受信すること、
− 可能性のある攻撃をブロックするために行われるべき取りうる措置について、好ましくはリアルタイムに、決定を下すこと、ならびに
− そのような決定を、措置実行コンポーネントＡＭＣに送信すること。

措置実行コンポーネントＡＭＣは、意思決定コンポーネントＤＭＣから受信された決定に基づいて、通信ネットワークを防御するための最適なブロッキング措置を作動させるように構成されている。

好ましくは、意思決定コンポーネントＤＭＣは、関連テーブルのペア、すなわち、静的関連テーブルおよび動的関連テーブルに基づいて決定する。

静的関連テーブルは、侵入防止モジュールＡＩＭの構成ステップの間に、オペレータによって編集され、テーブルは一連の行を含み、それぞれの行がセキュリティ閾値を含む。好ましくは、各セキュリティ閾値が、侵入防止モジュールＡＩＭのそれぞれの挙動に関連付けられる。表１は、静的関連テーブルの例を示す。

これに対して、動的関連テーブルは、知られている自動学習技術を使用することにより、それ以前の通信ネットワークＣＮの挙動に基づいて、動的に編集される。好ましくは、静的関連テーブルおよび動的関連テーブルが１つのテーブルとして実装され、その中で、いくつかの行が静的なやり方で編集され、他の行が動的に編集される。

第１の実施形態によれば、ネットワーク要素、ＮＥ１、ＮＥ２およびＮＥ４に、それぞれの侵入防止監視モジュールＡＩＭＭが提供される。図３は、ネットワーク要素、ＮＥ１、ＮＥ２およびＮＥ４のうちの１つの構造を詳細に示す。

図３に示されるように、一般的なネットワーク要素ＮＥｉ（ｉ＝１，２，４）の侵入防止監視モジュールＡＩＭＭは、カスケード接続されている受動監視コンポーネントＰＭＣと通信コンポーネントＣＣとを含む。受動監視コンポーネントＰＭＣは、以下に適している：
− ネットワーク要素ＮＥｉ（ｉ＝１，２，４）のポートを流れる管理情報トラフィックを、継続的なやり方でローカルに監視すること、
− これらの管理情報を処理して、可能性のある感染データを生成すること、および
− 可能性のある感染データを、通信コンポーネントＣＣを用いて、ネットワーク要素ＮＥ３’の意思決定コンポーネントＤＭＣに送信すること。

通信コンポーネントＣＣは、したがって、ネットワーク要素ＮＥｉ（ｉ＝１，２，４）を、場合によっては計算グリッドＧの他のネットワーク要素を通じて、ネットワーク要素ＮＥ３’との通信状態に置くのに適している。

次に、第１の実施形態による侵入防止システムおよびそのコンポーネントの動作が、図１、２、および３を参照して詳細に説明される。

たとえば、ネットワーク要素ＮＥ４が、ハッカーによる攻撃、たとえばＤＯＳタイプの攻撃をされると仮定する。このケースでは、感染ネットワーク要素ＮＥ４は、たとえば、管理情報を複製し、通信ネットワークＣＮにおいてそれらをブロードキャストすることによって、ネットワーク要素間のリンクを過負荷状態にするように、通信ネットワークＣＮの他のネットワーク要素を攻撃する傾向がある。

２つのケースが起こり得る。第１のケースでは、ネットワーク要素ＮＥ４は、自身が攻撃されていることを、その受動監視コンポーネントＰＭＣを用いて自律的に検出し、このことを他のネットワーク要素、詳細には、ネットワーク要素ＮＥ３’に伝える。第２のケースでは、ネットワーク要素ＮＥ４は、感染されていることに気づかない。この後者のケースでは、通信ネットワークＣＮの他のネットワーク要素が、それらのそれぞれの受動監視コンポーネントＰＭＣを用いてグリッドＧで交換される管理情報を監視することによって、ネットワーク要素ＮＥ４の感染を検出する。

両方の状況において、ネットワーク要素ＮＥ４における管理情報のトラフィックの異常を検出したネットワーク要素の受動監視コンポーネントＰＭＣは、感染データを生成し、ネットワーク要素ＮＥ３’の意思決定コンポーネントＤＭＣに感染データを送信する。詳細には、感染が、ネットワーク要素ＮＥ３’の受動監視コンポーネントＰＭＣによって検出された場合、その受動監視コンポーネントＰＭＣが、直接感染データを意思決定コンポーネントＤＭＣに送信する。これに対し、感染が、任意の他のネットワーク要素の受動監視コンポーネントＰＭＣによって検出された場合、その受動監視コンポーネントＰＭＣは、その通信コンポーネントＣＣを介して、感染データを意思決定コンポーネントＤＭＣに送信する。

受信された感染データに基づいて、意思決定コンポーネントＤＭＣは、決定を下す。詳細には、意思決定コンポーネントＤＭＣは、その中に記憶されたセキュリティ閾値を有しており、そのセキュリティ閾値が、上の表１において列挙されたものの中で選択される。好ましくは、セキュリティ閾値は、通信ネットワークを使用する顧客のニーズに基づいて、通信ネットワークＣＮの管理を担当するオペレータによって設定されることができる。意思決定コンポーネントＤＭＣが、ネットワーク要素ＮＥ４の感染を示す感染データを受信するとき、意思決定コンポーネントＤＭＣは、好ましくは、セキュリティ閾値が克服されているかどうかを判定し、肯定においては、以前に記憶された静的関連テーブル内で対応する措置を選択する。

代替的には、意思決定コンポーネントＤＭＣは、新たなセキュリティ閾値、および新たな対応する措置を決定し、動的関連テーブルを更新する。たとえば、意思決定コンポーネントＤＭＣは、管理情報トラフィックがそれを介して流れるネットワーク要素ＮＥ４のポートを閉じることを決定し、したがって、措置実行コンポーネントＡＭＣに命令することができる。結果として、措置実行コンポーネントＡＣＭは、その通信コンポーネントＣＣを用いてポートの閉鎖を命令し、それにより、感染ネットワーク要素ＮＥ４を、通信ネットワークＣＮから切り離す。

したがって、有利なことに、上記で説明された侵入防止システムは、決定的な観点から能動的である。これは、有利なことに、ネットワーク要素のうちの１つまたは複数に影響するあらゆる感染の検出時に、実質的にリアルタイムに対処することを可能にし、それにより、通信ネットワークＣＮへの攻撃により引き起こされたダメージを封じ込める。

したがって、有利なことに、上記で説明された侵入防止システムは、攻撃の検出時間と、感染ネットワーク要素が切り離される時間との間に、特に低減された遅延を呈する。というのは、通信ネットワークＣＮそれ自体が、オペレータの介入を必要とせずに、自動的に外部からの攻撃に対処するからである。

さらに、上記で説明された侵入防止システムは、通信ネットワークのネットワーク要素において実装される。これは、有利なことに、侵入防止メカニズムの分散化をもたらし、したがって、管理端末ＭＴにおける侵入防止メカニズムの実装に専用の計算リソースの量を低減することを可能にする。

本発明の第２の実施形態によれば、図４に示される各ネットワーク要素、ＮＥ１’、ＮＥ２’、ＮＥ３’およびＮＥ４’に、それぞれの侵入防止モジュールＡＩＭが提供される。詳細には、ネットワーク要素、ＮＥ１’、ＮＥ２’、ＮＥ３’およびＮＥ４’はすべて、図２に示されるネットワーク要素ＮＥ３’の構造と類似した構造を有する。

その上、この第２の実施形態によれば、各ネットワーク要素、ＮＥ１’、ＮＥ２’、ＮＥ３’およびＮＥ４’は、可能性のある攻撃を独立して管理することが可能である。言い換えれば、攻撃が企てられた場合に、各ネットワーク要素は以下が可能である：
− 行われるべき措置を独立して、実質的にリアルタイムに決定すること（意思決定コンポーネントＤＭＣ）、および
− 決定された措置を講じること（措置実行コンポーネントＡＭＣ）。

したがって、有利なことに、ネットワーク要素のうちの１つの侵入防止モジュールＡＩＭが動作を停止した場合に、通信ネットワークＣＮの他のネットワーク要素が、上記で説明された侵入防止システム（監視、意思決定、措置実行）から提供されるすべての動作を実行するのに適し続ける。

本発明の第３の実施形態によれば、図５から図７に示される意思決定機能および措置実行機能が、通信ネットワークＣＮのそれぞれのネットワーク要素において、別個に実装される。

たとえば、各ネットワーク要素、ＮＥ１、ＮＥ４は、図３に示されたものと類似した、それぞれの侵入防止監視モジュールＡＩＭＭを含む。

さらに、たとえば、ネットワーク要素ＮＥ２”は、受動監視コンポーネントＰＭＣ、通信コンポーネントＣＣ、および意思決定コンポーネントＤＭＣを備えるモジュールＡＩＭ’を含む。

受動監視コンポーネントＰＭＣは、好ましくは以下に適している：
− ネットワーク要素ＮＥ２”のポートを流れる管理情報を、継続的なやり方でローカルに監視すること、
− これらの管理情報を処理し、それにより可能性のある感染データを生成すること、および
− 可能性のある感染データを、意思決定コンポーネントＤＭＣに送信すること。

意思決定コンポーネントＤＭＣは、好ましくは以下に適している：
− 受動監視コンポーネントＰＭＣから来る感染データを受信する、および、他のネットワーク要素から来る感染データを通信コンポーネントＣＣを用いて受信すること、
− あらゆる攻撃をブロックするために講じられるべき取りうる措置について、好ましくはリアルタイムに決定を下すこと、ならびに
− そのような決定を、通信コンポーネントＣＣを介して、ネットワーク要素ＮＥ３”に送信すること。

さらに、たとえば、ネットワーク要素ＮＥ３”は、受動監視コンポーネントＰＭＣ、通信コンポーネントＣＣ、および措置実行コンポーネントＡＭＣを備えるモジュールＡＩＭ”を含む。

受動監視コンポーネントＰＭＣは、好ましくは以下に適している：
− ネットワーク要素ＮＥ３”のポートを流れる管理情報トラフィックを、継続的なやり方でローカルに監視すること、
− これらの管理情報を処理し、それにより可能性のある感染データを生成すること、および
− 可能性のある感染データを、通信コンポーネントＣＣを用いて、ネットワーク要素ＮＥ２”に送信すること。

措置実行コンポーネントＡＭＣは、好ましくは以下に適している：
− ネットワーク要素ＮＥ２”から決定を受信すること、および
− 対応する指示を、通信コンポーネントＣＣを介して、他のネットワーク要素に送信すること。

したがって、有利なことに、意思決定機能および措置実行機能は、たとえば以下のようなさまざまな基準に従って、通信ネットワーク内で別個に配置されることができる：通信ネットワークＣＮのトポロジ、感染ネットワーク要素の位置、など。

本発明の第４の実施形態によれば、意思決定機能は、通信ネットワークＣＮのネットワーク要素の第１のグループにおいて実装され、以下ではこれを「意思決定クラスタ」と呼ぶ。加えて、または代替として、措置実行機能は、ネットワーク要素の第２のグループにおいて実装され、以下ではこれを「措置実行クラスタ」と呼ぶ。

たとえば、図８に示される実施形態では、意思決定機能は、その構造が、好ましくは図６に示されたものに類似するネットワーク要素ＮＥ２”において実装される。その一方で、措置実行機能は、ネットワーク要素、ＮＥ３”およびＮＥ４”によって形成される措置実行クラスタＡＣにおいて実装される。ネットワーク要素、ＮＥ３”およびＮＥ４”の構造は、好ましくは、図７に示されたものに類似する。最終的に、ネットワーク要素ＮＥ１は、監視機能のみを行い、したがって、ネットワーク要素ＮＥ１は、好ましくは図３に示されたものに類似した構造を有する。

意思決定クラスタおよび／または措置実行クラスタの構成は、オペレータ、または通信ネットワークＣＮそれ自体のいずれかによって、たとえば以下の異なる基準に従って決定されることができる：利用可能な計算リソース（ネットワーク要素、ＮＥ３”およびＮＥ４”は、最も大きな量の利用可能な計算リソースを有する要素であることがある）、通信ネットワークＣＮのトポロジ、感染ネットワーク要素と意思決定機能および措置実行機能を実装するネットワーク要素との間のホップ数。

さらに、有利なことに、通信ネットワークＣＮ内で、決定機能および／または措置機能を複製することにより、そのグループに属しているネットワーク要素のうちの１つが故障した場合であっても、そのような機能が実装され続けるのを保証することを有利に可能にする。

上記で説明された侵入防止システムは、制御プレーンおよび管理プレーンへの攻撃に対して、通信ネットワークＣＮを保護するのに特に適しているが、データプレーンへの攻撃に取り組むのにも、有利に使用されることができる。たとえば、ハッカーが、ネットワーク要素を流れる管理情報にアクセスするだけではなく、ネットワーク要素の構成パラメータに対して不正な値を適用するのにもまた成功した場合、これはデータプレーンにおける感染、すなわち利益になるトラフィックの感染の、可能性のあるリスクを伴う。この状況は、それが通信ネットワーク管理者に対してもたらすことになる経済的なダメージゆえに、回避されるべきである。

この欠点を未然に防ぐために、本発明の侵入防止システムは、好ましくは、利益になるトラフィックの送信を中断することよって、管理プレーンにおいて感染したネットワーク要素が故障をシミュレートすることを提供する。このようにして、通信ネットワークＣＮの他のネットワーク要素が、感染したネットワーク要素を含まない代替的なパスに沿って利益になるトラフィックのルートを変更する、修復メカニズムを作動させる。

したがって、有利なことに、本発明の第２、第３、および第４の実施形態によればまた、侵入防止システムは、決定的な観点から能動的である。これは、有利なことに、ネットワーク要素のうちの１つまたは複数に対する攻撃の検出時に、実質的にリアルタイムに対処することを可能にし、それにより、感染ネットワーク要素が、「感染」を他のネットワーク要素に送信するのを防ぐ。

したがって、有利なことに、上記で説明された侵入防止システムは、攻撃の検出時間と、感染ネットワーク要素が切り離される時間との間に、特に低減された遅延を呈する。というのは、通信ネットワークＣＮそれ自体が、オペレータの介入を必要とせずに、自動的に外部からの攻撃に対処するからである。

Claims (4)

1. 複数のネットワーク要素（ＮＥ１、ＮＥ２、ＮＥ３’、ＮＥ４；ＮＥ１’、ＮＥ２’、ＮＥ３’、ＮＥ４’；ＮＥ１、ＮＥ２”、ＮＥ３”、ＮＥ４；ＮＥ１、ＮＥ２”、ＮＥ３”、ＮＥ４”）を含む通信ネットワーク（ＣＮ）のための侵入防止方法であって、以下の、
   ａ）前記通信ネットワーク（ＣＮ）と協働する、受動監視コンポーネント（ＰＭＣ）、意思決定コンポーネント（ＤＭＣ）、および措置実行コンポーネント（ＡＭＣ）を提供するステップ、
   ｂ）前記受動監視コンポーネント（ＰＭＣ）において、前記複数のネットワーク要素のうちの少なくとも１つのネットワーク要素（ＮＥ４）に対する攻撃を示す管理情報を検出するステップと、前記管理情報を処理するステップにより感染データを生成するステップと、前記感染データを前記意思決定コンポーネント（ＤＭＣ）に送信するステップ、
   ｃ）前記意思決定コンポーネント（ＤＭＣ）において、前記感染データを受信するステップと、前記攻撃をブロックするために行われるべき措置について決定を下すステップと、前記決定を前記措置実行コンポーネント（ＡＭＣ）に送信するステップ、ならびに
   ｄ）前記措置実行コンポーネント（ＡＭＣ）において、決定に基づいて、前記少なくとも１つのネットワーク要素（ＮＥ４）に前記措置を実施するよう指示するステップ
   を含み、
   前記ステップａ）が、前記受動監視コンポーネント（ＰＭＣ）を前記複数のネットワーク要素のそれぞれに提供するステップを含み、
   前記ステップａ）が、以下の、
   前記意思決定コンポーネント（ＤＭＣ）を、前記複数のネットワーク要素のうちの少なくとも２つに提供するステップ、それにより意思決定クラスタを形成するステップ、および
   前記措置実行コンポーネント（ＡＭＣ）を、前記複数のネットワーク要素のうちの少なくとも別の２つ（ＮＥ３”、ＮＥ４”）に提供するステップ、それにより措置実行クラスタ（ＡＣ）を形成するステップ
   のうちの少なくとも１つをさらに含むことを特徴とする、方法。
2. 前記ステップｃ）が、静的関連テーブルおよび動的関連テーブルのうちの少なくとも１つを使用することによって、前記決定を下すステップをさらに含み、前記静的関連テーブルおよび前記動的関連テーブルのそれぞれが、複数の行を含み、前記複数の行のそれぞれが、セキュリティ閾値、および前記セキュリティ閾値に関連付けられた取りうる措置を含む、請求項１に記載の方法。
3. 複数のネットワーク要素（ＮＥ１、ＮＥ２、ＮＥ３’、ＮＥ４；ＮＥ１’、ＮＥ２’、ＮＥ３’、ＮＥ４’；ＮＥ１、ＮＥ２”、ＮＥ３”、ＮＥ４；ＮＥ１、ＮＥ２”、ＮＥ３”、ＮＥ４”）を含む通信ネットワーク（ＣＮ）のための侵入防止システムであって、前記通信ネットワーク（ＣＮ）と協働する、受動監視コンポーネント（ＰＭＣ）、意思決定コンポーネント（ＤＭＣ）、および措置実行コンポーネント（ＡＭＣ）を含み、
   前記受動監視コンポーネント（ＰＭＣ）が、前記複数のネットワーク要素のうちの少なくとも１つのネットワーク要素（ＮＥ４）に対する攻撃を示す管理情報を検出し、前記管理情報を処理してそれにより感染データを生成し、前記感染データを前記意思決定コンポーネント（ＤＭＣ）に送信するのに適しており、
   前記意思決定コンポーネント（ＤＭＣ）が、前記感染データを受信し、前記攻撃をブロックするために行われるべき措置について決定を下し、前記決定を前記措置実行コンポーネント（ＡＭＣ）に送信するのに適しており、
   前記措置実行コンポーネント（ＡＭＣ）が、前記決定に基づいて、前記少なくとも１つのネットワーク要素（ＮＥ４）に前記措置を実施するよう指示するのに適している、システムにおいて、
   前記受動監視コンポーネント（ＰＭＣ）が、前記複数のネットワーク要素のそれぞれに提供され、
   前記意思決定コンポーネント（ＤＭＣ）が、前記複数のネットワーク要素のうちの少なくとも２つに提供され、それにより意思決定クラスタを形成し、および／または、
   前記措置実行コンポーネント（ＡＭＣ）が、前記複数のネットワーク要素のうちの少なくとも別の２つ（ＮＥ３”、ＮＥ４”）に提供され、それにより措置実行クラスタ（ＡＣ）を形成することを特徴とする、システム。
4. 静的関連テーブルおよび動的関連テーブルのうちの少なくとも１つをさらに含み、
   前記静的関連テーブルおよび前記動的関連テーブルのそれぞれが、複数の行を含み、
   前記複数の行のそれぞれが、セキュリティ閾値、および前記セキュリティ閾値に関連付けられた取りうる措置を含み、
   前記意思決定コンポーネント（ＤＭＣ）が、前記静的関連テーブルおよび前記動的関連テーブルのうちの前記少なくとも１つを使用することによって、前記決定を下すのに適している、
   請求項３に記載のシステム。

Images