JP5460746B2

JP5460746B2 - 仮想レイヤ２サービスのための侵入検出

Info

Publication number: JP5460746B2
Application number: JP2011553555A
Authority: JP
Inventors: プルー，ドウニ・アルマン
Original assignee: アルカテル−ルーセント
Priority date: 2009-03-13
Filing date: 2010-03-11
Publication date: 2014-04-02
Anticipated expiration: 2030-03-11
Also published as: KR101266592B1; US20100235914A1; CN102349277B; CN102349277A; WO2010103407A2; EP2406932B1; KR20110115170A; JP2012520596A; EP2406932A2; WO2010103407A3

Description

本発明は、パケット交換通信ネットワークを対象とし、詳細には、仮想専用線（ＶＬＬ）および仮想プライベートＬＡＮサービス（ＶＰＬＳ）のサービスなどの、仮想の、開放型システム間相互接続（ＯＳＩ）レイヤ２サービスのための侵入検出を行うことを対象とする。

仮想専用線（ＶＬＬ）は、インターネットプロトコル（ＩＰ）ネットワークおよびマルチプロトコルラベルスイッチング（ＭＰＬＳ）ネットワーク（ＩＰ／ＭＰＬＳ）上で、イーサネット（登録商標）ベースのポイントツーポイント通信を提供するためのサービスである。この技術はまた、仮想プライベートワイヤサービス（ＶＰＷＳ）、またはイーサネットオーバーＭＰＬＳ（ＥｏＭＰＬＳ）とも呼ばれる。ＶＰＷＳサービスは、２つのカスタマーエッジ（ＣＥ）ルータ間でポイントツーポイント接続を提供する。ＶＰＷＳサービスは、２つの接続回線（ＡＣ）を、２つのプロバイダエッジ（ＰＥ）ルータを接続する擬似回線に結びつけることによってポイントツーポイント接続を提供し、ここで、各ＰＥルータは、接続回線のうちの１つを介して、ＣＥルータのうちの１つに接続されている。ＶＬＬは、通常、ＩＰ／ＭＰＬＳバックボーンを横切るＭＰＬＳトンネル上でイーサネットトラフィックを搬送するための擬似回線カプセル化を使用する。擬似回線についてのさらなる情報は、Ｓ．ＢｒｙａｎｔおよびＰ．Ｐａｔｅによる「ＰｓｅｕｄｏＷｉｒｅＥｍｕｌａｔｉｏｎＥｄｇｅ−ｔｏ−Ｅｄｇｅ（ＰＷＥ３）Ａｒｃｈｉｔｅｃｔｕｒｅ」、ＲＦＣ３９８５、ＩＥＴＦ、２００５年３月において見出すことができる。

仮想プライベートＬＡＮサービス（ＶＰＬＳ）は、ＶＰＬＳインスタンス化を介して、閉じたユーザグループを効果的に実装するイーサネットサービスである。ユーザグループ間での完全な分離を実現するために、ＶＰＬＳは、ＶＰＬＳインスタンスごとに、ネットワークルータ上で別個の転送情報ベース（ＦＩＢ）を割り当てる。

各ＶＰＬＳインスタンスは、擬似回線トンネルの専用のメッシュが、ＶＰＬＳの部分をなすＰＥルータ間でプロビジョニングされることをさらに必要とする。

ＶＬＬおよびＶＰＬＳの両方のサービスは、サービスアクセスポイント（ＳＡＰ）を使用して、ＰＥルータポートのトンネルエンドポイントをそれらの各サービスに結びつける。たとえば、ＶＰＬＳサービスのケースでは、ＳＡＰは、対応するポートの物理的識別子（たとえば、ノード、シェルフ、カード、ポート）、およびＶＰＬＳの識別子（たとえばＶＬＡＮ５）を指定することになる。

いくつかのケースでは、ＣＥルータは、リモートに、または別の場合にはネットワークセキュリティに対して脆弱な場所に配置される。これらのケースでは、ＶＬＬサービスまたはＶＰＬＳサービスなどの、ＣＥルータによって提供される仮想レイヤ２サービスに、関与する、または関与を試みる侵入者システムに応答することができるセキュリティ手段を、所定の位置に有することが望ましい。そのような侵入者システムは、仮想レイヤ２サービスに関与することを認証されていない、あらゆるシステムを含む。

Ｓ．ＢｒｙａｎｔおよびＰ．Ｐａｔｅによる「ＰｓｅｕｄｏＷｉｒｅＥｍｕｌａｔｉｏｎＥｄｇｅ−ｔｏ−Ｅｄｇｅ（ＰＷＥ３）Ａｒｃｈｉｔｅｃｔｕｒｅ」、ＲＦＣ３９８５、ＩＥＴＦ、２００５年３月

本発明は、パケット交換ネットワーク上で提供される、侵入者システムの、仮想レイヤ２サービスに関与する試みを検出することを対象とする。

本発明のいくつかの実施形態は、仮想レイヤ２サービスを提供するためにＣＥルータが通信可能に結合された、ＰＥルータのインターフェースポートの動作ステータスを監視し、前記ステータスの変化の結果として、ＣＥルータと関連があるはずの情報が変化したかどうかを判定し、それにより肯定である場合は、前記変化を、侵入者システムが仮想レイヤ２サービスに関与を試みたことを示すことであると解釈する。

本発明のいくつかの実施形態において、セキュリティ監視用に選択されたインターフェースポートの識別子が記憶され、そのインターフェースポートの動作ステータスが判定される。そのインターフェースポートが動作状態にあることを示すインターフェースポートの動作ステータスに応じて、仮想レイヤ２サービスを提供するためにインターフェースポートに通信可能に結合されたＣＥルータと関連がある情報の初期のバージョンが記録される。インターフェースポートの動作ステータスは次いで、状態変化について監視される。状態変化が検出されると、情報の最新のバージョンが取得され、情報の初期のバージョンと比較される。情報のバージョン間の差異を検出する結果として、侵入者システムが仮想レイヤ２サービスに関与を試みたことを示す警報が発せられる。

本発明のいくつかの実施形態において、特定の情報は、インターフェースポートが配置されたＰＥルータの転送情報ベース（ＦＩＢ）に記憶された、１つまたは複数のメディアアクセスコントロール（ＭＡＣ）アドレスまたはＩＰアドレスを含む。

本発明のいくつかの実施形態において、特定の情報は、ＣＥルータの１つまたは複数のＭＡＣアドレスまたはＩＰアドレスを含む。追加的に、または代替的に、いくつかの実施形態において、特定の情報は、ＣＥルータに対して発行されたコマンドラインインターフェース（ＣＬＩ）コマンドを介して取得可能な、ＣＥルータと関連がある他の情報を含む。

本発明のいくつかの実施形態において、ＣＥルータおよびＰＥルータは、パケット交換ネットワークのネットワーク管理システムに対して発行されたＣＬＩコマンドを介してアクセスされてもよく、インターフェースポートの動作ステータスは、ネットワーク管理システムによって発行されたイベント通知を介して監視されてもよい。

本発明の実施形態は、仮想レイヤ２サービスに関与する試みにおいて、侵入者システムがＣＥルータの代わりにＰＥルータに接続されたときに起こり得るような、仮想レイヤ２サービスを提供するためのＣＥルータとＰＥルータとの間の通信可能な接続が遮断されたときに、検出が可能である。有利には、この能力は、ＣＥルータとＰＥルータとの間で交換されるデータパケットのコンテンツに依存するがそれらのルータ間の通信可能な接続の動作ステータスには依存しない、ＭＡＣフィルタおよびアンチスプーフィングフィルタなどの、他のセキュリティ手段と補足し合う。

本発明の前述の、ならびに他の目的、特徴、および効果は、添付の図面において示されるような、以下の好ましい実施形態のより詳細な説明から明らかになるであろう。

本発明の実施形態による、侵入者システムの、レイヤ２サービスに関与する試みを検出するためのネットワーク構成を示す図である。図１に表された実施形態による、侵入者システムの、仮想レイヤ２サービスに関与する試みを検出する方法を示す図である。

図面において、同様の特徴は、同様の参照記号によって示される。

図１を参照すると、ＭＰＬＳネットワーク１２上でＶＰＬＳサービスを提供するためのネットワーク構成１０は、第１のプロバイダエッジルータＰＥ１と第２のプロバイダエッジルータＰＥ２との間で、ＭＰＬＳネットワーク１２を通してルーティングされる擬似回線トンネルＴ１を含む。擬似回線トンネルＴ１は、２つのエンドポイント、すなわち、第１のプロバイダエッジルータＰＥ１にある第１のエンドポイントと、第２のプロバイダエッジルータＰＥ２にある第２のエンドポイントとを有する。ＶＰＬＳサービスのサービスインスタンスＳＶＣが、プロバイダエッジルータＰＥ１、ＰＥ２のそれぞれにおいてインスタンス化され、擬似回線トンネルＴ１をＶＰＬＳサービスに関連付ける。したがって、ＶＰＬＳサービスに関連付けられたデータパケットは、第１のプロバイダエッジルータＰＥ１と第２のプロバイダエッジルータＰＥ２との間で、擬似回線トンネルＴ１を介して、ＭＰＬＳネットワーク１０を通って通信される。

典型的には、複数のプロバイダエッジルータを接続する複数の擬似回線トンネルが存在することになる。いくつかのケースでは、これらのトンネルが、プロバイダエッジルータを相互に接続する完全接続メッシュを形成する。任意のケースでは、あるプロバイダエッジルータで終端する、所与のサービスのための複数の擬似回線トンネルが存在するとき、そのルータにおいて転送情報ベースが使用されて、トンネルのうちのどれを介して、データパケットがその宛先に到着するのに転送されるべきかを決定する。この決定は、データパケットの宛先ＭＡＣアドレスまたはＩＰアドレスに基づいて行われる。ＭＡＣアドレスは、一般的には一意であり、データ通信システムの所与のネットワークインターフェースカードまたはネットワークインターフェースアダプタに専用の、４８ビットのアドレスである。ＭＡＣアドレスはまた、ハードウェアアドレスとしても知られている。ＩＰアドレスは、一般的にはネットワークインターフェースまたはネットワークシステムに一意であるが、ソフトウェアに割り当て可能な、３２ビット（ＩＰｖ４）または１２８ビット（ＩＰｖ６）のアドレスである。

第１のカスタマエッジルータＣＥ１が、第１の接続回線ＡＣ１を介して、第１のプロバイダエッジルータＰＥ１の第１のインターフェースポートＰ１に接続される。第１のカスタマエッジルータＣＥ１は、第１のＭＡＣアドレスＸを有する。同様に、第２のカスタマエッジルータＣＥ２が、第２の接続回線ＡＣ２を介して、第２のプロバイダエッジルータＰＥ２の第２のインターフェースポートＰ２に接続される。第２のカスタマエッジルータＣＥ２は、第２のＭＡＣアドレスＹを有する。

第１のプロバイダエッジルータＰＥ１は、サービスインスタンスＳＶＣに関連付けられた第１の転送情報ベースＦＩＢ１を含む。第１の転送情報ベースＦＩＢ１は、擬似回線トンネルＴ１のための第１のエントリＥ１を含む。第１のエントリＥ１は、第１のカスタマエッジルータＣＥ１と第２のカスタマエッジルータＣＥ２との間でデータパケットを通信する目的のために、第１のＭＡＣアドレスＸを第２のＭＡＣアドレスＹに関連付ける。同様に、第２のプロバイダエッジルータＰＥ２は、サービスインスタンスＳＶＣに関連付けられた第２の転送情報ベースＦＩＢ２を含む。第２の転送情報ベースＦＩＢ２は、擬似回線トンネルＴ１のための第２のエントリＥ２を含む。第２のエントリＥ２は、第１のカスタマエッジルータＣＥ１と第２のカスタマエッジルータＣＥ２との間でデータパケットを通信する目的のために、第１のＭＡＣアドレスＸを第２のＭＡＣアドレスＹに関連付ける。

ＶＰＬＳサービスに関連付けられた、第１の接続回線ＡＣ１から第１のインターフェースポートＰ１で受信されたデータパケットが、第１の転送情報ベースＦＩＢ１の情報に従って擬似回線トンネル上で転送されるように、第１のプロバイダエッジルータＰＥ１の第１のサービスアクセスポイントが、第１のインターフェースポートＰ１をサービスインスタンスＳＶＣに関連付ける。そのような情報は、第１の転送情報ベースＦＩＢ１の第１のエントリＥ１を含み、それがこのケースでは、第１のＭＡＣアドレスＸである送信元ＭＡＣアドレスを有するデータパケットを、その宛先ＭＡＣアドレスが第２のＭＡＣアドレスＹであるときに、擬似回線トンネルＴ１上で転送させる。同様に、ＶＰＬＳサービスに関連付けられた、擬似回線トンネルＴ１から第１のプロバイダエッジルータＰＥ１によって受信されたデータパケットが、第１のサービスアクセスポイントおよび第１の転送情報ベースＦＩＢ１の情報に従って、第１のインターフェースポートＰ１に転送される。

ＶＰＬＳサービスに関連付けられた、第２の接続回線ＡＣ２から第２のインターフェースポートＰ２で受信されたデータパケットが、第２の転送情報ベースＦＩＢ２の情報に従って擬似回線トンネル上で転送されるように、第２のプロバイダエッジルータの第２のサービスアクセスポイントが、第２のインターフェースポートＰ２をサービスインスタンスＳＶＣに関連付ける。そのような情報は、第２の転送情報ベースＦＩＢ２の第２のエントリＥ２を含み、それがこのケースでは、第２のＭＡＣアドレスＹである送信元ＭＡＣアドレスを有するデータパケットを、その宛先ＭＡＣアドレスが第１のＭＡＣアドレスＸであるときに、擬似回線トンネルＴ１上で転送させる。同様に、ＶＰＬＳサービスに関連付けられた、擬似回線トンネルＴ１から第２のプロバイダエッジルータＰＥ２によって受信されたデータパケットが、第２のサービスアクセスポイントおよび第１の転送情報ベースＦＩＢ１の情報に従って、第２のインターフェースポートＰ２に転送される。

上記を考慮すると、ＶＰＬＳサービスに関連付けられたデータパケットは、その各接続回線ＡＣ１、ＡＣ２、第１のプロバイダエッジルータＰＥ１および第２のプロバイダエッジルータＰＥ２、ならびに擬似回線トンネルＴ１を介して、第１のカスタマエッジルータＣＥ１と第２のカスタマエッジルータＣＥ２との間で通信され得ることが明らかであるはずである。しかしながら、先に触れたように、いくつかのケースでは、ＣＥルータは、リモートに、または別の場合にはネットワークセキュリティに対して脆弱な場所に配置される。これらのケースでは、ＶＬＬサービスまたはＶＰＬＳサービスなどの、ＣＥルータによって提供される仮想レイヤ２サービスに、関与する、または関与を試みる侵入者システムに応答することができるセキュリティ手段を、所定の位置に有することが望ましい。そのような侵入者システムは、仮想レイヤ２サービスに関与することを認証されていない、あらゆるシステムを含む。

引き続き図１を参照すると、ネットワーク構成１０は、制御接続１６およびＭＰＬＳネットワーク１２を介して、プロバイダエッジルータＰＥ１、ＰＥ２に通信可能に結合された管理エンティティ１４を含む。管理エンティティ１４は、典型的には、プロバイダエッジルータＰＥ１、ＰＥ２などの、ＭＰＬＳネットワーク１２のネットワーク要素上で、運用、管理、および保守（ｏｐｅｒａｔｉｏｎ、ａｄｍｉｎｉｓｔｒａｔｉｏｎａｎｄｍａｉｎｔｅｎａｎｃｅ：ＯＡＭ）タイプの機能を実行することが可能なネットワーク管理システムである。管理エンティティ１４のこの機能性は、とりわけ、そのそれぞれのインターフェースポートＰ１、Ｐ２の動作ステータスに関する、第１のプロバイダエッジルータＰＥ１および第２のプロバイダエッジルータＰＥ２からのイベント報告を含む、ＭＰＬＳネットワーク１２のネットワーク要素からのイベントに関連した機器、サービス、およびプロビジョニングの報告を受信する能力を含む。

ネットワーク構成１０はまた、オープンオペレーティングシステム（ＯＳ）インターフェース２０を介して、管理エンティティ１４に通信可能に結合されたサービスプラットフォーム１８を含む。オープンＯＳインターフェース２０を使用して、サービスプラットフォーム１８は、ネットワーク要素からのイベント報告に関連したイベント通知を含む、イベント通知２２へのアクセス権を持つ。さらにオープンＯＳインターフェース２０を使用して、サービスプラットフォーム１８は、プロバイダエッジルータＰＥ１、ＰＥ２におけるプロビジョニング変更をもたらすためのコマンドを含む、管理エンティティ１４に対する制御コマンド２４を発行することができる。サービスプラットフォーム１８は、典型的には、ラップトップもしくはデスクトップコンピュータ、またはワークステーションである。オープンＯＳインターフェースは、Ｊａｖａ（登録商標）メッセージサービス（ＪＭＳ）インターフェースであるが、他のタイプのメッセージインターフェースが使用されてもよい。

サービスプラットフォーム１８は、サービスプラットフォーム１８上でサービスデータベース２８と通信しているサービスアプリケーション２６を実行するが、サービスデータベース２８はまた、オープンＯＳインターフェース２０によって与えられるサービスプラットフォーム１８へのアクセス権を有して、管理エンティティ１４上に常駐してもよい。サービスアプリケーション２６は、本発明の実施形態による、侵入者システムの、仮想レイヤ２サービスに関与する試みを検出する方法を具体化するソフトウェアプログラムである。

方法によれば、サービスアプリケーション２６が、オープンＯＳインターフェース２０上で受信されたイベント通知２２を監視する。サービスアプリケーション２６は、イベント通知２２を検査して、イベント通知２２のうちのいずれかが、セキュリティ監視用に選択されたインターフェースポートの動作ステータスと関連があるかどうかを判定する。そのように選択された各ポートの識別子は、サービスデータベース２８の第１のレコードＲ１に記憶される。任意のそのようなポートでは、そのポートを介して提供されるＶＰＬＳサービスに対応したＦＩＢのＦＩＢエントリに収容されている情報が、関連付けられたＰＥルータから既に取り出されており、サービスデータベース２８に記憶されている。たとえば、第１のインターフェースポートＰ１の場合、第１の転送情報ベースＦＩＢ１の第１のエントリＥ１からの情報が、サービスデータベース２８の第２のレコードＲ２に記憶される。第１のポートＰ１の識別子は、他の手段によって第１のポートＰ１に関連付けられてもよいが、第２のレコードＲ２が、第１のポートＰ１の識別子を含む。追加的に、または代替的に、接続回線によってポートに通信可能に結合されたＣＥルータと関連がある他の情報が、そのＣＥルータから取り出されて、サービスデータベース２８に記憶されてもよい。たとえば、第１のカスタマエッジルータＣＥ１の構成データはまた、サービスデータベース２８の第２のレコードＲ２に記憶される。第２のレコードＲ２に収容されている情報は、他のやり方が機能してよいものの、好ましくは、ＯＳインターフェース２０上で管理エンティティ１４に対して発行された制御コマンドを使用して、サービスプラットフォーム１８によって取り出されることになる。そのような情報は、ポートがセキュリティ監視用に選択されたときに、またはセキュリティ監視がポート上で再初期化され、ポートが動作状態にあるときに、取り出されることになる。

第１のレコードＲ１および第２のレコードＲ２に収容されている情報のすべてまたはいくつかを記憶する多くのやり方があることが理解されるべきである。しかしながら、これらのやり方のいずれかは、セキュリティ監視が作動されており、ポートが動作状態にあったときに、そのようなセキュリティ監視が実行されることになるポートの識別を可能にし、そのポートに通信可能に結合されたＣＥルータと関連がある情報を提供する場合に、十分であるべきである。たとえば、第２のレコードＲ２が、第１のポートＰ１の識別を収容し、セキュリティ監視が実行されることになるポートに関連した情報を第２のレコードＲ２が収容したことを示すやり方で記憶された場合、第１のレコードＲ１は省略されてもよい。たとえば、そのようなやり方は、第２のレコードＲ２を、サービスデータベース２８の特別な部分に、または同様のレコードのグループに記憶することであってよい。

引き続き図１を参照すると、第１のカスタマエッジルータＣＥ１が、長期にわたりパケット交換ネットワークのサポートスタッフによって訪問されない、人の住んでいない地域の小さな建物または小屋などの、リモートオフィスにあるものとして示されている。そのような場所は、ネットワークセキュリティに対して脆弱な場所である例である。ＶＰＬＳサービスに関与する試みにおいて、侵入者システム３０は、第１のカスタマエッジルータＣＥ１の第１の接続回線ＡＣ１を切断し、第１の接続回線ＡＣ１を侵入者システム３０に再接続する（３２）ことによって、第１のポートＰ１に通信可能に接続される。しかしながら、第１の接続回路ＡＣ１を切断および再接続することは、第１のインターフェースポートＰ１を、動作状態から非動作状態へ、および再び動作状態に戻るように遷移させる。加えて、第１のプロバイダエッジルータＰＥ１で実行しているアドレス解決プロトコルが、第１の接続回線ＡＣ１上で侵入者システム３０によって送信されたデータパケットから、侵入者システム３０の第３のＭＡＣアドレスＺを知ることになる。第１のプロバイダエッジルータＰＥ１は、第１の転送情報ベースＦＩＢ１に収容されている情報を、最新のバージョンに更新することになる。例えば、第１のエントリＥ１が、第１のエントリの最新のバージョンＥ１’に更新されることになる。

サービスアプリケーション２６は、動作状態から非動作状態へ、およびその反対などのインターフェースポートの動作ステータスの遷移をそこから検出することができる、イベント通知２２を監視している。インターフェースポートの動作ステータスの変化を検出すると、サービスアプリケーション２６は、第１のレコードＲ１などの、サービスデータベース２８中にある情報にアクセスして、影響を受けたポートが、セキュリティ監視用に選択されているポートであるかどうかを判定する。そうである場合、サービスアプリケーション２６は、そのポートを介して提供されるＶＰＬＳサービスに対応したＦＩＢのＦＩＢエントリに収容されている最新の情報を取り出す。サービスアプリケーション２６は、この情報を、影響を受けたポートが属しているＰＥルータから取り出す。ＶＰＬＳサービスのインスタンスごとに、専用のＦＩＢがＰＥルータ中に存在していることから、関連のＦＩＢが、影響を受けたポートをサービスインスタンスに関連付ける、ＳＡＰに収容されている情報によって識別される。たとえば、第１のインターフェースポートＰ１の動作ステータスの変化を検出すると、サービスアプリケーション２６は、管理エンティティ１４に対して、第１の転送情報ベースＦＩＢ１の第１のエントリの最新のバージョンＥ１’を取り出すように制御コマンド２４を発行する。

サービスアプリケーション２６は次いで、サービスデータベース２８にアクセスして、第１のカスタマエッジルータＣＥ１と関連がある情報の初期のバージョンを取り出す。この情報は、影響を受けたポート上でのセキュリティ監視が有効にされた、または再初期化されたときに、情報がＰＥルータから取り出された、および代替的に、または追加的には、ＣＥルータから取り出されたという点において、初期と呼ばれる。たとえば、サービスプラットフォーム２６は、第２のレコードＲ２に収容されている情報を取り出す。情報の初期のバージョンは、情報の最新のバージョンと比較され、一致するはずである最新のバージョンおよび初期のバージョンに収容されている情報間の不一致の検出の結果として、サービスアプリケーション２６は、この不一致を、侵入者システムが仮想レイヤ２サービスに関与を試みたことを示すものと解釈する。たとえば、サービスアプリケーション２６は、第２のレコードＲ２に記憶されている第１の接続回線ＡＣ１に通信可能に結合されたＣＥルータのＭＡＣアドレスと、第１のエントリの最新のバージョンＥ１’のＭＡＣアドレスとを比較する。このケースでは、第２のレコードＲ２が第１のＭＡＣアドレスＸを収容し、第１のエントリの最新のバージョンＥ１’が第３のＭＡＣアドレスＺを収容するために、不一致が存在する。追加的に、または代替的に、同様のやり方で、影響を受けたポートに通信可能に結合されたＣＥルータまたはシステムと関連がある他の情報の初期のバージョンと最新のバージョンとが、不一致について比較されてもよい。たとえば、ＣＥルータから取り出し可能であり、侵入者システムによって複製される見込みがまずない、または複製されるには難しすぎる構成データなどの任意のデータが、比較のために使用されてもよい。

侵入者システムがセキュリティ監視用に選択されたインターフェースポートを介して仮想レイヤ２サービスに関与を試みたことを判定すると、サービスアプリケーション２６は、影響を受けたインターフェースポートを動作不能にし、ネットワークアラームを発する、または電子メールもしくは他のタイプの電子メッセージを事業者または仮想レイヤ２サービスのセキュアな動作に責任を負う他のエンティティに送信するなどして、事業者に対して警告を発行する。サービスアプリケーション２６は、影響を受けたインターフェースポートを非動作状態にするために、管理エンティティ１４に対して制御コマンドを発行することによって、影響を受けたインターフェースポートを動作不能にする。たとえば、サービスアプリケーション２６は、ＯＳインターフェース２０上で管理エンティティ１４に対して制御コマンド２４を発行して、第１のインターフェースポートＰ１を非動作状態に遷移させる。

次に、図２を参照しながら、仮想レイヤ２サービスに関与する侵入者システムの試みを検出する方法２００が、図１をさらに参照して説明される。方法２００は、選択されたインターフェースポートのイベント通知を監視するステップ２０２を含む。インターフェースポートの選択は、好ましくは、サービスアプリケーション２６を使用して実行されるが、サービスプラットフォーム１８上で実行している別のアプリケーション、または管理エンティティ１４によってまた実行されてもよい。これらの選択の記録は、好ましくは、たとえばサービスデータベース２８中のサービスプラットフォーム１８に記憶されることになるが、それらはまた管理エンティティ１４に記憶されてもよく、またはその両方の場所に記憶されてもよい。セキュリティ監視されることになるインターフェースポートの指示が、方法２００を人の介在なしに自動的に実行するサービスアプリケーション２６などのエンティティに利用可能であれば、方法２００を実行するには十分である。そのような指示は、セキュリティ監視されることになるそのような各ポートの識別子を含むことになる。イベント通知は、オープンＯＳインターフェース２０を介して、管理エンティティ１４からイベント通知２２を受信することによって、監視される。

選択されたインターフェースポートのイベント通知が、インターフェースポートの動作ステータスが変化したことを示すかどうかの判定２０４がなされる。影響を受けたポートの動作ステータスが、動作状態から非動作状態に変化した場合、方法は、動作状態へのさらなる変化が生じるのを待つ。非動作状態から動作状態への影響を受けたポートの動作状態の遷移を検出する（２０６）と、サービスアプリケーションは、影響を受けたインターフェースポートに通信可能に結合されたシステムと関連がある最新の情報を取り出す（２０８）。この情報は、好ましくは、システムのＭＡＣアドレスであるが、侵入者システムに常駐することが考えにくい構成データなどの、任意の他の情報であってもよい。

取り出された最新の情報が、影響を受けたインターフェースポートに通信可能に結合されたＣＥルータと関連して以前に取り出された情報と不一致であるかどうかの判定（２１０）がなされる。不一致が検出された結果として、影響を受けたインターフェースポートは動作不能にされ（２１２）、警告が発せられる（２１４）。方法２００は次いで、イベント通知２２を監視するステップ２０２に戻る。

多数の修正形態、変形形態、および適応形態が、特許請求の範囲において定義される本発明の範囲から逸脱することなく、上で説明された本発明の実施形態に対してなされ得る。

Claims

侵入者システムの、パケット交換ネットワークの仮想レイヤ２サービスに関与する試みを検出する方法であって、
仮想レイヤ２サービスを提供するためにカスタマエッジルータが通信可能に結合された、プロバイダエッジルータのインターフェースポートの動作ステータスを監視するステップと、
プロバイダエッジルータのインターフェースポートの動作ステータスにおいて変化が生じたことを検出するステップと、
変化が検出された場合、カスタマエッジルータに関連した情報の最新のバージョンを取り出すステップと、
情報の最新のバージョンを情報の初期のバージョンと比較するステップと、
情報のバージョン間の差異を、侵入者システムが仮想レイヤ２サービスに関与を試みたことを示すことであると解釈するステップと
を含む、方法。
インターフェースポートの識別子を記録し、それによりインターフェースポートがセキュリティ監視用に選択されたことを示すステップと、
インターフェースポートのセキュリティ監視が有効にされ、インターフェースポートが動作状態にあるときに、情報の初期のバージョンを記憶するステップと
をさらに含む、請求項１に記載の方法。
情報が、プロバイダエッジルータの転送情報ベースに記憶された、１つまたは複数のメディアアクセスコントロール（ＭＡＣ）アドレスまたはインターネットプロトコル（ＩＰ）アドレスを含む、請求項１に記載の方法。
情報が、管理エンティティを介してカスタマエッジルータから取得可能である、カスタマエッジルータと関連がある他の情報を追加的にまたは代替的に含む、請求項３に記載の方法。
監視するステップが、オペレーティングシステムインターフェース上でネットワーク管理エンティティによって報告されるイベント通知を監視するステップをさらに含む、請求項１に記載の方法。
侵入者システムの、パケット交換ネットワークの仮想レイヤ２サービスに関与する試みを検出するためのシステムであって、
オペレーティングシステムインターフェースを介して、パケット交換ネットワークのネットワーク管理エンティティに通信可能に結合するための手段と、
仮想レイヤ２サービスを提供するためにプロバイダエッジルータのインターフェースポートに通信可能に結合されたカスタマエッジルータと関連がある情報の初期のバージョンを記憶するためのサービスデータベースと
を含む、サービスプラットフォームに記憶されたサービスアプリケーションを実行するためのサービスプラットフォームを含む、システムにおいて、
サービスアプリケーションが、
プロバイダエッジルータのインターフェースポートの動作ステータスに関連がある、オペレーティングシステムインターフェース上でネットワーク管理エンティティによって報告されるイベント通知を監視し、
プロバイダエッジルータのインターフェースポートの動作ステータスにおいて変化が生じたことを検出し、
変化が検出された場合、カスタマエッジルータに関連した情報の最新のバージョンを取り出し、
情報の最新のバージョンを情報の初期のバージョンと比較し、
情報のバージョン間の差異を、侵入者システムが仮想レイヤ２サービスに関与を試みたことを示すことであると解釈するための、
サービスプラットフォームによって実行されることになる、コンピュータ可読媒体に記録された命令を含む、
システム。
サービスアプリケーションが、
インターフェースポートの識別子を記録し、それによりインターフェースポートがセキュリティ監視用に選択されたことを示し、
インターフェースポートのセキュリティ監視が有効にされ、インターフェースポートが動作状態にあるときに、情報の初期のバージョンを記憶する
ための命令をさらに含む、請求項６に記載のシステム。
情報が、プロバイダエッジルータの転送情報ベースに記憶された、１つまたは複数のメディアアクセスコントロール（ＭＡＣ）アドレスまたはインターネットプロトコル（ＩＰ）アドレスを含む、請求項６に記載のシステム。
情報が、管理エンティティを介してカスタマエッジルータから取得可能である、カスタマエッジルータと関連がある他の情報を追加的にまたは代替的に含む、請求項８に記載のシステム。
仮想レイヤ２サービスが、仮想プライベートローカルエリアネットワークサービスまたは仮想専用線サービスである、請求項９に記載のシステム。